JP5382599B2 - 秘匿化アドレスマッチング処理システム - Google Patents

Description

本発明は、個人情報を秘匿化して外部提供する際に、個人情報を構成する住所情報の秘匿化をコンピュータ上で行うことを目的としたソフトウエア、及びその秘匿化ソフトウエアを適用したアドレスマッチングによる情報処理を行うシステムに関する。

顧客データ等の個人情報は、個人情報保護法に基づいた厳しい管理を必要とすることから、これらの大量なデータを用いた解析（データマイニング）は、組織内で対応が可能な一部の企業を除くと手つかずの状態であり、多くのデータが解析されず眠ったままの状態にある。これまで個人情報に関連するデータを外部提供する場合、データを保有する機関において個人情報から個人データを分離して、残った個人識別情報を信託機関に提供し識別子により管理することで非個人化を行い、外部機関に提供する方法が知られていた。

特開２０００-３２４０９４号公報

しかしながら、このような複雑なプロセスから成るシステム下で個人情報を外部提供するには、時間とコストがかかることが予想される。また、組織内で高度な解析を行う場合においても専門スタッフの確保を含めコストがかかり、一部の企業を除くとマーケティング等に関するデータマイニングを組織の内部で実施する事は難しい。さらに、データを外部提供する際の秘匿化に関しても、個人情報保護を担保する定められたルールが存在しないのが現状である。

一方で、大量のデータからマーケティング等に関する空間解析を実施する場合には、個人が持つ住所情報を住所座標に変える事で、カーネル密度関数等を利用して個人に付随した情報を元にGIS(地理情報システム)により特定集団の分布地図を作成する方法が実用化されており、この場合は正確に個人の住所情報を特定する必要がない。したがって、このような条件下で個人情報の秘匿化を行う場合、氏名を削除した後に個人が特定されないよう住所情報を住所座標に変換することが可能と考えられる。

変換によって得られた住所座標から個人が特定されないためには、個人が存在する地域の特性が大きく関わる。例えば、過疎地域における個人の位置情報は過密地域における位置情報と比較してより厳密な抽象化が求められる。例をあげると ○町△丁目Ｘ番地□号において、○町△丁目Ｘ番地を代表する住所座標で十分秘匿化される場合と、○町△丁目を代表する住所座標でないと十分秘匿化されない場合など、地域の特性や解析目的により要求されるアドレスマッチングの処理レベルも種々のケースが想定される。

そこで、本発明は個人情報を外部提供できる状態まで秘匿化する際に、コンピュータ上で地域の特性を考慮した最適の住所情報の抽象化プロセスを加え、外部機関において解析に支障をきたさない程度まで個人情報を秘匿化処理するシステムの実現を目的とする。

以上の課題を解決するため、国勢調査等で公表されている人口密度や世帯密度を元にした丁目単位等の密度分布地図をベースに位置情報の抽象化レベルを複数定め、アドレスマッチング処理をレベル別に実施可能とする。これらの基礎データを元に、解析目的に応じて地域の特性に合ったアドレスマッチングの処理レベルを自動的に判断し、コンピュータ上で種々の抽象化手法を用いたデータ処理を行うソフトウエアをシステム上で実行することで、外部提供する際に個人が特定されないよう秘匿化処理する。

本発明に基づくシステムを導入することで、企業のみならず自治体が保有する個人情報についても、法を遵守した上で外部委託機関において個人情報に付随するデータの空間解析が低いコストで可能となり、現状把握と解決すべき問題への介入等、多くの部署において保有データの有効活用が期待できる。

本システムにおける個人情報を含むデータの流れである。 住所情報から住所座標データへの抽象化処理方法である。 地域密度レベルに基づいた住所情報の抽象化処理方法の一例である。 住所情報を処理し、秘匿化された住所座標の一例である。 位置特定処理手段における抽象化処理方法である。

本発明の実施方法について図を用いて説明する。データ保有機関aが管理する個人情報が含まれた内部データを、解析を行う外部機関bに提供するまでの流れを図１に示す。個人情報を保有する機関aは、購入もしくはレンタルで本システムにおいて使用するソフトウエアをあらかじめ組織内部のサーバ装置１にロードし、個人情報の秘匿化処理についてプライベートLANの端末より指示が受けられる状態とする。

LANに接続された端末からの指示で、データベース２より対象となるファイルのデータから氏名を削除し、代わりに管理用IDが付与されたデータファイルを作成する。この操作の後に、あらかじめロードされた秘匿化ソフトウエアを用いて住所情報の抽象化処理をサーバ装置１で実施する。

秘匿化ソフトウエアによる住所データの処理過程を図２に示す。対象となるデータは、アドレスマッチング処理について指示を受ける入力手段２０より住所座標を特定する位置特定処理手段２１に送られ、位置辞書２２を用いて位置特定処理手段２１に設けた住所参照テーブル上で住所座標データを特定し、必要な抽象化処理を行った後に住所座標データとして出力手段２３より出力する。

個人の住所情報を地域密度に対応した住所座標に抽象化して変換するアドレスマッチングについて説明する。位置辞書２２内に住所に対応した位置座標データと国勢調査に基づいた人口密度や世帯密度等より得られた地域の密度レベルデータを格納し、位置特定処理手段２１に設けた、図３に示す住所欄と地域密度欄、座標欄からなる住所参照テーブルにおいて、個人の住所情報と地域密度別の住所座標(緯度経度等)の対応づけを行う。

住所座標の抽象化について図３で一例を示す。あらかじめ町字、丁目、番地、号まで可能な限り詳細な住所座標を設定し、地域密度が標準的な地域においては、詳細なアドレスマッチングを行った後、緯度経度の小数点N(図３ではN=5)桁以下(A,B)を乱数変換(C,D)する。人口密度の高い地域においては個人が特定され難いことから、詳細なアドレスマッチング処理を行った後に、必要に応じて緯度経度の小数点N+1桁以下をランダムに座標変換する。一方人口密度の低い地域においては、個人が特定され易い事を考慮して、同様のアドレスマッチング処理した後に、緯度経度の小数点以下N-1桁以下をランダムに座標変換する。このようにコンピュータ上で国勢調査に基づいた人口密度や世帯密度より得られた地域の密度レベルデータを元にアドレスマッチング精度を自動的に判断し、個人が特定されず解析に支障をきたさない必要十分なレベルで住所情報を抽象化処理する。

実際の住所に相当する位置座標 (x座標、y座標)を (x1、y1)とすると、抽象化処理をした後の座標 (x2、y2)との距離のずれＳは、以下の計算式より近似値が求められる。R0：平均曲率半径（引数は ）m0：座標系の原点における縮尺係数

10進法表示された緯度経度において、仮に小数点以下5桁目を乱数表示すると、図４に示すように実際の座標と最大100m程度のずれが生じる。個人が特定されないよう住所を座標変換して大量のデータから空間解析を行う場合、解析目的にもよるがこの値を超えないずれは、都道府県単位の解析を行う場合において結果に大きな影響を与えないと考えられ、過疎地を除けば、住所情報の抽象化レベルとして適当な情報処理と考えられる。さらに、人口密集地域を含む市区町村単位の解析を行う場合であれば、小数点以下6桁目の乱数表示により実際とのずれを最小にして精度の高い空間解析も可能であり、本発明におけるアドレスマッチングレベルの設定は、解析目的と人口密度や世帯密度といった地域特性に応じて変更することが可能である。

位置特定処理手段２１において、地域の密度レベルデータを元に住所情報を抽象化処理する他の方法を、図５に示す。Cに示すように、実際の座標A1を一定の範囲rにあるAの位置にランダムに座標変換する以外に、Dに示すように実際の座標B1を番地や号レベルのエリアを代表とする座標B(重心座標等)に変換処理する方法等がある。

最初のアドレスマッチングで、番地、号までマッチングできない場合は、最も近いレベルのデータを暫定的に出力し、空間解析への影響の有無を判断できるよう非マッチングデータとし、必要に応じて再処理できるようグループ化する

秘匿化処理が終わったデータは、アドレスマッチング処理のエラー等について検証した後に、共有IDにより匿名化データベース３で管理し、インターネットもしくはフラッシュメモリー等の記録媒体により専門的な解析を行う外部機関bのデータベース４に提供を行う。

外部機関bにおいて空間解析を実施し、はずれ値や非マッチングデータを含め不適切な秘匿化処理が疑われるデータについては、共有IDにより照会し必要に応じて個人情報を保有する機関aのシステム上でデータの再処理を行い匿名化データベース３の修正を行う。外部機関bは、完成した匿名化データベース３より作成されたデータベース４を用いて、依頼を受けたマーケティング等の解析を実施する。

１ サーバ装置
２ 個人情報が含まれたデータベース
３ 匿名化データベース
４ 外部機関データベース
５ 秘匿化を行う外部機関
a データ保有機関
b 解析を行う外部機関
２０ 入力手段
２１ 位置特定処理手段
２２ 位置辞書
２３ 出力手段
r 一定の範囲
A１ 実際の座標
A 変換後の座標
B１ 実際の座標
B 変換後の座標
C 一定の範囲にランダムに配置する抽象化
D エリアを代表する座標に配置する抽象化

Claims (1)

1. アドレスマッチング処理の対象となる住所が帰属する地域の人口密度や世帯密度の特性に応じて、出力する住所座標データに関する秘匿化のレベルを個人が特定されないよう自動的に判断することを特徴としたアドレスマッチング処理システム。