(57)【要約】【課題】撹乱処理と再構築処理を用いたデータ集計処理において統計値の精度とデータ秘匿性とを両立させる技術を提供する。【解決手段】撹乱装置は、入力されたデータに対して、逆関数が定義可能な関数による変換処理を行い、変換処理によって得られた変換データに対して撹乱処理を行い、撹乱処理によって得られた撹乱データを送信する。再構築装置は、撹乱装置から撹乱データを受信し、その撹乱データに対して再構築処理を行うことにより、変換データから統計的に得られる統計値を算出し、その統計値に対して、変換処理に用いられた関数の逆関数による逆変換処理を行う。【選択図】図１
2010093424.tif 000002
【特許請求の範囲】
【請求項１】
入力されたデータに対して、逆関数が定義可能な関数による変換処理を行い、前記変換処理によって得られた変換データに対して撹乱処理を行い、前記撹乱処理によって得られた撹乱データを送信する撹乱装置と、
前記撹乱装置から前記撹乱データを受信し、該撹乱データに対して再構築処理を行うことにより、前記変換データから統計的に得られる統計値を算出し、前記統計値に対して、前記変換処理に用いられた前記関数の逆関数による逆変換処理を行う再構築装置と、を有するデータ集計システム。
【請求項２】
前記撹乱装置による前記変換処理は、逆関数が定義可能な関数Ｒを用いて、入力データｒi＝（ａi1，・・・，ａin）を、変換データＲ（ｒi）＝（ｂi1，・・・，ｂin）に変換する処理であり、
前記再構築装置による前記逆変換処理は、前記関数Ｒの逆関数を用いて、前記変換データＲ（ｒi）＝（ｂi1，・・・，ｂin）から統計的に得られる統計値を、前記入力データｒi＝（ａi1，・・・，ａin）から統計的に得られる統計値に変換する処理である、
請求項１に記載のデータ集計システム。
【請求項３】
入力されたデータに対して、逆関数が定義可能な関数による変換処理を行う変換手段と、
前記変換手段による前記変換処理によって得られた変換データに対して撹乱処理を行う撹乱手段と、を有する撹乱装置。
【請求項４】
データに対して、逆関数が定義可能な関数による変換処理が行われ、前記変換処理によって得られた変換データに対して撹乱処理が行われて得られた撹乱データを入力とし、該撹乱データに対して再構築処理を行うことにより、前記変換データから統計的に得られる統計値を算出する再構築手段と、
前記再構築手段によって得られた前記統計値に対して、前記変換処理に用いられた前記関数の逆関数による逆変換処理を行う逆変換手段と、を有する再構築装置。
【請求項５】
入力されたデータに対して、逆関数が定義可能な関数による変換処理を行い、
前記変換処理によって得られた変換データに対して撹乱処理を行い、
前記撹乱処理によって得られた撹乱データを収集し、該撹乱データに対して再構築処理を行うことにより、前記変換データから統計的に得られる統計値を算出し、
前記統計値に対して、前記変換処理に用いられた前記関数の逆関数による逆変換処理を行う、データ集計方法。
【請求項６】
前記変換処理は、逆関数が定義可能な関数Ｒを用いて、入力データｒi＝（ａi1，・・・，ａin）を、変換データＲ（ｒi）＝（ｂi1，・・・，ｂin）に変換する処理であり、
前記逆変換処理は、前記関数Ｒの逆関数を用いて、前記変換データＲ（ｒi）＝（ｂi1，・・・，ｂin）から統計的に得られる統計値を、前記入力データｒi＝（ａi1，・・・，ａin）から統計的に得られる統計値に変換する処理である、
請求項５に記載のデータ集計方法。
【請求項７】
入力されたデータに対して、逆関数が定義可能な関数による変換処理を行う変換手順と、
前記変換処理によって得られた変換データに対して撹乱処理を行う撹乱手順と、をコンピュータに実行させるための撹乱プログラム。
【請求項８】
データに対して、逆関数が定義可能な関数による変換処理が行われ、前記変換処理によって得られた変換データに対して撹乱処理が行われて得られた撹乱データを入力とし、該撹乱データに対して再構築処理を行うことにより、前記変換データから統計的に得られる統計値を算出する再構築手順と、
前記再構築手順によって得られた前記統計値に対して、前記変換処理に用いられた前記関数の逆関数による逆変換処理を行う逆変換手順と、をコンピュータに実行させるための再構築プログラム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、データベースにおける個々のデータを秘匿しつつ、それらのデータの集計結果として、統計的手法による統計値のみを得る技術に関する。
【背景技術】
【０００２】
企業等の各種組織が所有する顧客情報などの流通に対してセンシティブなデータは、学術研究、マーケティング分析、統計調査など様々な領域で価値のある情報となり得る。したがって、この種のデータの流通には十分なニーズがある。しかし、プライバシーや個人情報を保護する観点から、そのようなセンシティブなデータをそのまま流通させるべきではない。
【０００３】
そのような背景から、データを秘匿しつつ、流通させることを可能にする技術が提案されている。例えば、データベースにおける個々のデータを秘匿しつつ、統計的手法によりクロス集計結果のみを得る技術として、非特許文献１に開示されたプライバシー保護カウント演算がある。
【０００４】
非特許文献１に開示された処理は基本的に、個々のデータの秘匿性を高める処理（撹乱処理）と、撹乱されたデータ群から真の統計値の近似値を得る処理（再構築処理）からなる。
【０００５】
データを集計する側には撹乱処理後のデータが送られ、そこで元のデータを復元することなく統計値の近似値のみが算出される。これにより個々のデータの秘匿性を保ちつつ、その集計結果として有用な統計値を得ることができる。
【非特許文献１】高見澤  秀久，有次  正義、“プライバシーを保護するカウント演算の多値属性分類への適用”、ＤＥＷＳ２００７  Ａ２−３、電子情報通信学会
【発明の開示】
【発明が解決しようとする課題】
【０００６】
上述したような撹乱処理と再構築処理からなる集計処理では、一般的にデータ秘匿性の高さと統計値の精度の間にトレードオフが存在する。すなわち、データ数を固定としたとき、撹乱の度合いを高めるようとすると統計値の精度が低下し、逆に、統計値の精度を高めようとすると撹乱の度合いが低下する。そのため、撹乱処理と再構築処理を用いたデータ集計処理において統計値の精度の向上とデータ秘匿性の向上とを両立させる技術が求められている。
【０００７】
本発明の目的は、撹乱処理と再構築処理を用いたデータ集計処理において統計値の精度とデータ秘匿性とを両立させる技術を提供することである。
【課題を解決するための手段】
【０００８】
上記目的を達成するために、本発明のデータ集計システムは、
入力されたデータに対して、逆関数が定義可能な関数による変換処理を行い、前記変換処理によって得られた変換データに対して撹乱処理を行い、前記撹乱処理によって得られた撹乱データを送信する撹乱装置と、
前記撹乱装置から前記撹乱データを受信し、該撹乱データに対して再構築処理を行うことにより、前記変換データから統計的に得られる統計値を算出し、前記統計値に対して、前記変換処理に用いられた前記関数の逆関数による逆変換処理を行う再構築装置と、を有している。
【０００９】
また、前記撹乱装置による前記変換処理は、逆関数が定義可能な関数Ｒを用いて、入力データｒi＝（ａi1，・・・，ａin）を、変換データＲ（ｒi）＝（ｂi1，・・・，ｂin）に変換する処理であり、
前記再構築装置による前記逆変換処理は、前記関数Ｒの逆関数を用いて、前記変換データＲ（ｒi）＝（ｂi1，・・・，ｂin）から統計的に得られる統計値を、前記入力データｒi＝（ａi1，・・・，ａin）から統計的に得られる統計値に変換する処理であることにしてもよい。
【発明の効果】
【００１０】
本発明によれば、入力データに対して、撹乱処理だけでなく、変換処理を行うので、データの秘匿性が向上する。その一方で、変換処理および逆変換処理では統計値の精度は低下しないので、統計値の精度の低下は撹乱処理による分だけに抑えられる。したがって、本実施形態によれば、撹乱処理と再構築処理を用いたデータ集計処理において統計値の精度とデータ秘匿性とを両立させることができる。
【発明を実施するための最良の形態】
【００１１】
本発明を実施するための形態について図面を参照して詳細に説明する。
【００１２】
図１は、本発明の実施形態によるデータ集計システムの構成を示すブロック図である。データ集計システムは、各主体１０のデータベース１２における個々のデータを秘匿しつつ、それらのデータの集計結果として、統計的手法による統計値のみを得るシステムであり、再構築装置１３と複数の撹乱装置１１とを有している。撹乱装置１１にはそれぞれにデータベース１２が備えられている。
【００１３】
例えば、企業等である主体１０が撹乱装置１１およびデータベース１２を備え、各企業のデータベース１２の個々のデータを秘匿しつつ、再構築装置１３によってクロス集計の結果を取得するというような構成および運用が想定される。
【００１４】
撹乱装置１１は、データベース１２のデータを入力とし、その入力データに対して、逆関数が定義可能な関数Ｒによる変換処理を行う。この変換処理は、関数Ｒを用いて、入力データｒi＝（ａi1，・・・，ａin）を、変換データＲ（ｒi）＝（ｂi1，・・・，ｂin）に変換する処理である。そして更に、撹乱装置１１は、その変換処理によって得られた変換データに対して撹乱処理を行い、得られた撹乱データを再構築装置１３に送信する。
【００１５】
再構築装置１３は、撹乱装置１１のそれぞれから撹乱データを受信し、撹乱データに対して再構築処理を行う。再構築処理は、変換データから統計的に得られであろう統計値を、撹乱データから算出する処理である。撹乱データには、統計値の精度を低下させるような撹乱処理が行われているので、その撹乱データから算出される統計値は、変換データから統計的に得られる統計値の近似値となる。
【００１６】
そして更に、再構築装置１３は、変換データから統計的に得られる統計値（近似値）に対して、変換処理に用いられた関数Ｒの逆関数による逆変換処理を行う。この逆変換処理は、関数Ｒの逆関数を用いて、変換データＲ（ｒi）＝（ｂi1，・・・，ｂin）から統計的に得られる統計値を、入力データｒi＝（ａi1，・・・，ａin）から統計的に得られる統計値に変換する処理である。これにより、変換データから統計的に得られる統計値の近似値が、入力データから統計的に得られる統計値の近似値に変換される。
【００１７】
以上、説明したように、本実施形態のデータ集計システムでは、撹乱装置１１は、入力データに対して、統計値の精度との間にトレードオフが存在する撹乱処理だけでなく、逆関数が定義可能な関数Ｒによる変換処理も行う。撹乱処理と関数Ｒによる変換処理とを組み合わせることによりデータの秘匿性が向上する。その一方で、関数Ｒによる変換と、関数Ｒの逆関数による逆変換とによっては統計値の精度は低下しないので、統計値の精度の低下は撹乱処理による分だけに抑えられる。したがって、本実施形態によれば、撹乱処理と再構築処理を用いたデータ集計処理において統計値の精度とデータ秘匿性とを両立させることができる。
【００１８】
以下、本実施形態の構成および動作をより具体的に説明する。
【００１９】
図２は、データベース１２の一例を示す図である。図２に示すように、この例では、データベース１２は複数のレコードｒiで構成されている。各レコードｒiには複数の属性Ａjについての属性値ａjkが含まれている。
【００２０】
図３は、撹乱装置１１の構成を示すブロック図である。図３を参照すると、撹乱装置１１は、入力部２１、変換部２２、撹乱部２３、および送信部２４を有している。
【００２１】
入力部２１は、データベース１２からのデータを入力する。変換部２２は、入力部２１によって入力されたデータに対して、上述の関数Ｒを用いた変換処理を行うことにより、変換データを生成する。撹乱部２３は、変換部２２によって生成された変換データに対して、上述の撹乱処理を行うことにより、撹乱データを生成する。送信部２４は、撹乱部２３によって生成された撹乱データを再構築装置１３に送信する。
【００２２】
図４は、再構築装置１３の構成を示すブロック図である。図４を参照すると、再構築装置１３は、受信部３１、再構築部３２、および逆変換部３３を有している。
【００２３】
受信部３１は、撹乱装置１１から撹乱データを受信する。再構築部３２は、受信部３１によって受信された撹乱データから、変換データから得られる統計値の近似値を算出する。逆変換部３３は、再構築部３２によって算出された、変換データから得られる統計値の近似値に対して上述の逆変換処理を行うことにより、入力データから得られる統計値の近似値を得る。
【００２４】
ここでは、全主体１０のデータベース１２のレコードをクロス集計の対象とし、属性Ａ1，Ａ2，・・・，Ａmを対象とするものとする。なおＡjの取り得る属性値は、
【数１】
2010093424.tif 000003
のｎj個であるとする。すなわち、意中のクロス集計結果は、全主体１０のデータベース１２のうち、
【数２】
2010093424.tif 000004
となるｒ’iの個数Ｎ（ｒ’i）を意味する。ただしｒ’iはｒiの部分集合とし、１≦ｋl≦ｎlである。
【００２５】
本実施形態の撹乱装置１１の撹乱部２３による撹乱処理は、一例として、非特許文献１で提案されているものと同じ処理である。非特許文献１で提案されている手法は、再構築装置にｒ’iを知られること無く、Ｎ（ｒ’i）の近似値を計算するものである。例えば、ｒiに企業の機密情報や顧客のセンシティブな情報などが含まれており、ｒiを秘匿することによりプライバシー侵害や情報漏えいを防止しつつ、ｒiからマーケティングなどに有用となる統計値を得たいというときに有効である。
【００２６】
非特許文献１にて提案されている手法では、撹乱処理として、「維持確率」ρjを予め決めておく。そして、確率ρjでｒi内の属性値
【数３】
2010093424.tif 000005
を維持し、確率１−ρjで
【数４】
2010093424.tif 000006
を
【数５】
2010093424.tif 000007
の中からランダムに選択したものに変更する。
【００２７】
そして、このような規則で得られた属性値をｒ’iの撹乱データとして再構築装置に送信する。その撹乱データは確率的にｒ’iと異なるため、ｒiの秘匿性が高まる。
【００２８】
しかし、確率ρjが大きいほど再構築装置によって得られる統計値の近似値の精度が高いことが知られている。つまり、データの秘匿性と統計値の精度にはトレードオフの問題がある。
【００２９】
そこで、本実施形態では、上述した撹乱処理に加えて、関数Ｒによる変換処理とその逆変換処理を行うことにより、統計値の精度を維持したまま、データ秘匿性を高める。その結果、本実施形態によれば統計値の精度とデータ秘匿性を両立させることができる。
【００３０】
図５は、本実施形態による処理手順を示すフローチャートである。以下、図５を参照して、本実施形態における撹乱装置１１および再構築装置１３による処理の手順を説明する。
【００３１】
まず、撹乱装置１１による処理手順を示す。
【００３２】
撹乱装置１１の入力部２１は、レコードの部分集合
【数６】
2010093424.tif 000008
を変換部２２に入力する（ステップ１）。変換部２２は、事前に定められた確定的変換関数Ｒによってｒ’iを変換することにより、
【数７】
2010093424.tif 000009
を得る（ステップ２）。そのＲ（ｒ’i）は撹乱部２３に入力される。撹乱部２３による撹乱処理は特許文献１で提案されているのと同様の手法でよい。
【００３３】
撹乱部２３は、Ｒ（ｒ’i）の各要素を維持確率ρjで撹乱することにより撹乱データを生成して（ステップ３）、送信部２４に送る。送信部２４は、その撹乱データを再構築装置１３に送信する（ステップ４）。
【００３４】
再構築装置１３による処理手順を示す。この処理は、クロス集計結果の近似値を求めるための処理である。
【００３５】
先ず、受信部３１は、各主体の撹乱装置１１からの撹乱データを受信し（ステップ５）、その受信データを再構築部３２に入力する。再構築部３２による再構築処理は非特許文献１で提案されているのと同様の手法でよい。再構築部３２は、撹乱データから、
【数８】
2010093424.tif 000010
の集計値を求め（ステップ６）、逆変換部３３に入力する。逆変換部３３は、関数Ｒの逆関数を用いて、その撹乱データの集計値を
【数９】
2010093424.tif 000011
の集計値に変換することにより、ｒ’iに対するクロス集計の集計結果を求める（ステップ７）。
【００３６】
なお、上述した処理手順は、属性Ａ1，Ａ2，・・・，Ａmを対象としたクロス集計の集計結果を得るための手順である。さらに異なる属性の組み合わせに対するクロス集計の集計結果を得たい場合には、同様の手順を繰り返せばよい。
【００３７】
以上、説明した本実施形態における関数Ｒは、一例として置換関数である。ｒ’iを０以上Πnj未満の整数として一意に表現できるので、置換関数である［０，Πnj）からそれ自身への適当な写像を関数Ｒとみなすことができる。より具体的な例として、関数Ｒは、ランダム置換関数や、ｘを（ａｘ＋ｂ）％Πnjに変換する関数であってもよい。なお、ａおよびｂは任意の整数であり、％は剰余を求める演算を表す。
【００３８】
また、本実施形態では、複数の主体のデータベースが同じ属性のレコードからなる例を示した。しかしながら、本発明は、この例にされるものではない。他の例として、データベースが単一であってもよい。また、各主体のデータベースが単一のレコードからなるものであってもよい。これは、各主体が企業ではなく消費者である場合などを想定した例である。また、複数の主体のデータベースのそれぞれが異なる属性のレコードからなるものであってもよい。
【００３９】
データベースが単一の場合は、上述した実施形態において、主体を単一にして考えるだけでよい。その場合の実施形態の構成や動作は上述の実施形態の説明から明らかである。
【００４０】
また各主体のデータベースが単一のレコードからなるものである場合は、上述の実施形態において、主体から送信されるレコードを単一にして考えればよい。ただし、異なる属性の組み合わせに対するクロス集計を行う場合、各主体に撹乱装置１１から再構築装置１３へ、予め想定されるいくつかの属性の組み合わせに対する撹乱データを送信するようにしてもよい。
【００４１】
また各主体のデータベースのレコードにおける属性が互いに異なり、両方の主体の属性によるクロス集計を行う場合、再構築装置１３は、複数の主体の撹乱装置１１から受信した撹乱データを結合して用いてもよい。例えば、主体１が所有する属性Ａ1，Ａ2のレコードと主体２が所有する属性Ａ3，Ａ4，Ａ5のレコードを用いて、属性Ａ1，Ａ2，Ａ3，Ａ4，Ａ5の５重クロス集計を実行する場合が想定される。主体１の撹乱装置１１が属性Ａ1，Ａ2に対して変換処理および撹乱処理を実行し、主体２の撹乱装置１１が属性Ａ3，Ａ4，Ａ5に対して変換処理および撹乱処理を実行すればよい。再構築装置１３は、主体１の撹乱データと主体２の撹乱データを結合してから、再構築処理と逆変換処理を実行すればよい。
【００４２】
なお、上述した本実施形態の各装置は各部の処理手順を規定したソフトウェアプログラムをコンピュータに実行させることにより実現することもできる。
【００４３】
また、上述した本実施形態では、撹乱装置１１が再構築装置１３へ撹乱データを送信する例を示したが、本発明はこれに限定されるものではない。他の例として、撹乱装置１１で生成された撹乱データを記録媒体経由で再構築装置１３に移動あるいは複製してもよい。
【図面の簡単な説明】
【００４４】
【図１】本発明の実施形態によるデータ集計システムの構成を示すブロック図である。
【図２】データベース１２の一例を示す図である。
【図３】撹乱装置１１の構成を示すブロック図である。
【図４】再構築装置１３の構成を示すブロック図である。
【図５】本実施形態による処理手順を示すフローチャートである。
【符号の説明】
【００４５】
１０    主体
１１    撹乱装置
１２    データベース
１３    再構築装置
２１    入力部
２２    変換部
２３    撹乱部
２４    送信部
３１    受信部
３２    再構築部
３３    逆変換部
【図１】
2010093424.tif 000012
【図２】
2010093424.tif 000013
【図３】
2010093424.tif 000014
【図４】
2010093424.tif 000015
【図５】
2010093424.tif 000016