(57)【要約】【課題】セキュリティを強化した統計的データ解析の精度を向上させ、秘匿化されたデータに対する仮説検定の精度向上を実現することを課題とする。【解決手段】解析装置１０では、解析の対象となるデータのなかから標本データを抽出する。そして、解析装置１０は、抽出された標本データの標準正規分布の信頼度を利用して累積分布関数の逆関数を漸近展開し、該展開した逆関数を用いて、標本データの平均が所定の値に一致するか否かを検定する１標本平均一致検定を行う。【選択図】図１
2014211761.tif 000002
【特許請求の範囲】
【請求項１】
解析の対象となるデータのなかから標本データを抽出する抽出部と、
前記抽出部によって抽出された標本データの標準正規分布の信頼度を利用して累積分布関数の逆関数を漸近展開し、該展開した逆関数を用いて、標本データの平均が所定の値に一致するか否かを検定する１標本平均一致検定を行う解析部と、
を備えたことを特徴とする解析装置。
【請求項２】
前記解析の対象となるデータのうち、数値に関するデータに、特定のパラメータを持つ分布に従う確率変数を付加する撹乱部をさらに備え、
前記撹乱部によって確率変数が付加されたデータのなかから標本データを抽出することを特徴とする請求項１に記載の解析装置。
【請求項３】
前記解析部は、前記漸近展開として、コーニッシュフィッシャ展開により前記累積分布関数の逆関数を展開し、前記１標本平均一致検定を行うことを特徴とする請求項１または２に記載の解析装置。
【請求項４】
前記解析部は、前記信頼度として、任意に設定された有意水準から求められる信頼度を利用して累積分布関数の逆関数を漸近展開し、前記１標本平均一致検定を行うことを特徴とする請求項１〜３のいずれか一つに記載の解析装置。
【請求項５】
解析装置によって実行される解析方法であって、
解析の対象となるデータのなかから標本データを抽出する抽出工程と、
前記抽出工程によって抽出された標本データの標準正規分布の信頼度を利用して累積分布関数の逆関数を漸近展開し、該展開した逆関数を用いて、標本データの平均が所定の値に一致するか否かを検定する１標本平均一致検定を行う解析工程と、
を含んだことを特徴とする解析方法。
【請求項６】
解析の対象となるデータのなかから標本データを抽出する抽出ステップと、
前記抽出ステップによって抽出された標本データの標準正規分布の信頼度を利用して累積分布関数の逆関数を漸近展開し、該展開した逆関数を用いて、標本データの平均が所定の値に一致するか否かを検定する１標本平均一致検定を行う解析ステップと、
をコンピュータに実行させるための解析プログラム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、解析装置、解析方法及び解析プログラムに関する。
【背景技術】
【０００２】
近年、ＢｉｇＤａｔａと呼ばれる大量のデータが注目を集めている。このような大量のデータに対して仮説検定などの統計的データ解析を施し、結果を利用する試みが進んでいる。その一方で、解析対象データに対する個人情報の保護などセキュリティ強化も求められており、解析対象データを秘匿化した撹乱データに対する仮説検定も必要となっている。仮説検定では、母集団からサンプリングした標本から統計量を求め、標本に関する性質（例えば、平均値が１００より大きいか等）を統計学的に評価することができる。
【０００３】
仮説検定には様々な手法があり、その中でも基本的で応用範囲が広い検定手法として、中心極限定理を用いた１標本平均一致検定手法が知られている。ここで１標本平均一致検定手法とは、平均と分散を持つと仮定した単一の母集団から標本を抽出し、分散が既知であると仮定したときに平均がある値に一致するか否かを判断する手法である。
【０００４】
また、解析の対象となるデータが個人情報を含むデータである場合には、データに対して非可逆な確率的な操作を施して、個人情報の漏洩を防止することが知られている。例えば、個人情報の漏洩を防止する手法として、どのような攻撃者も１／ｋ以上の確率で秘密データと撹乱データとを対応付けられないというｋ−匿名性を確率的指標に拡張した「Ｐｋ−匿名性」というプライバシー指標が提案されている。
【０００５】
また、個人情報の漏洩を防止する手法として、例えば、解析の対象となるデータのうち、数値属性のデータに対して、特定のパラメータを持つＬａｐｌａｃｅ分布に従う確率変数を値（以下、ノイズと呼ぶ）として加える技術が知られている。
【先行技術文献】
【特許文献】
【０００６】
【特許文献１】特開２０１１−１００１１６号公報
【非特許文献】
【０００７】
【非特許文献１】P.  Samarati  and  L.  Sweeney.  Generalizing  Data  to  Provide  Anonymity  When  Disclosing  Information（Extended  abstract）.  Proc.  Of  the  17  th  ACM-SIGMOD-SIGACT-SIGART  Symposium  on  the  Principles  of  Database  Systems,  p.  188,  Seattle,  WA,  1998.
【非特許文献２】五十嵐  大、千田  浩司、高橋  克己．  ｋ−匿名性の確率的指標への拡張とその適用例．CSS2009，2009
【非特許文献３】五十嵐  大、千田  浩司、高橋  克己．  数値属性における，ｋ−匿名性を満たすためのランダム化手法．  CSS2011，2011
【非特許文献４】菊池  亮、山中  章裕、五十嵐  大．プライバシー保護されたデータに対するｔ検定手法．LOIS2012，2012
【非特許文献５】竹内啓他.  統計学辞典．東宝経済新報社，1989
【非特許文献６】E.A.Cornish  and  R.A.Fisher.  Moments  and  cumulants  in  the  specification  of  distributions.  Revue  de  l´Institut  International  de  Statistique,  5:  307-320，1937
【発明の概要】
【発明が解決しようとする課題】
【０００８】
しかしながら、従来の中心極限定理を用いた１標本平均一致検定手法では、解析対象となる標本数の多少が、算出される危険率の値に影響を及ぼす場合があり、仮説検定の精度に問題がある場合があった。また、撹乱データに対する精度の高い１標本平均一致検定の手法が確立していないため、セキュリティを強化することができない場合があった。
【０００９】
そこで、この発明は、セキュリティを強化した統計的データ解析の精度を向上させ、秘匿化されたデータに対する仮説検定の精度向上を実現する統計的データ解析技術を提供することを目的とする。
【課題を解決するための手段】
【００１０】
上述した課題を解決し、目的を達成するため、解析装置は、解析の対象となるデータのなかから標本データを抽出する抽出部と、前記抽出部によって抽出された標本データの標準正規分布の信頼度を利用して累積分布関数の逆関数を漸近展開し、該展開した逆関数を用いて、標本データの平均が所定の値に一致するか否かを検定する１標本平均一致検定を行う解析部と、を備えたことを特徴とする。
【００１１】
また、解析方法は、解析の対象となるデータのなかから標本データを抽出する抽出工程と、前記抽出工程によって抽出された標本データの標準正規分布の信頼度を利用して累積分布関数の逆関数を漸近展開し、該展開した逆関数を用いて、標本データの平均が所定の値に一致するか否かを検定する１標本平均一致検定を行う解析工程と、を含んだことを特徴とする。
【００１２】
また、解析プログラムは、解析の対象となるデータのなかから標本データを抽出する抽出ステップと、前記抽出ステップによって抽出された標本データの標準正規分布の信頼度を利用して累積分布関数の逆関数を漸近展開し、該展開した逆関数を用いて、標本データの平均が所定の値に一致するか否かを検定する１標本平均一致検定を行う解析ステップと、をコンピュータに実行させる。
【発明の効果】
【００１３】
本願に開示する解析装置、解析方法及び解析プログラムは、セキュリティを強化した統計的データ解析の精度を向上させ、秘匿化されたデータに対する仮説検定の精度向上を実現する統計的データ解析技術を提供することが可能である。
【図面の簡単な説明】
【００１４】
【図１】図１は、第一の実施形態に係る解析装置の構成を説明するための図である。
【図２】図２は、解析対象データ記憶部によって記憶される解析対象データの一例を示す図である。
【図３】図３は、Ｐｋ匿名性を満たす撹乱処理について説明する図である。
【図４】図４は、秘密データに確率変数を加える撹乱処理について図である。
【図５】図５は、１標本平均一致検定の処理例について説明する図である。
【図６】図６は、仮説検定における２つの誤りについて説明する図である。
【図７】図７は、片側検定の実験結果例を示す図である。
【図８】図８は、第一の実施形態に係る解析装置における解析処理の流れを説明するためのフローチャートである。
【図９】図９は、解析プログラムを実行するコンピュータを示す図である。
【発明を実施するための形態】
【００１５】
以下に添付図面を参照して、この発明に係る解析装置、解析方法及び解析プログラムの実施形態を詳細に説明する。なお、この実施形態によりこの発明が限定されるものではない。
【００１６】
［第一の実施形態］
以下の実施形態では、第一の実施形態に係る解析装置の構成、解析装置による処理の流れを順に説明し、最後に第一の実施形態による効果を説明する。
【００１７】
［解析装置の構成］
最初に、図１を用いて、解析装置１０の構成を説明する。図１は、第一の実施形態に係る解析装置１０の構成を説明するための図である。図１に示すように、解析装置１０は、通信処理部１１、制御部１２および記憶部１３を有する。
【００１８】
通信処理部１１は、接続される端末装置２０との間でやり取りする各種情報に関する通信を制御する。例えば、通信処理部１１は、解析対象データに対する解析処理の要求を端末装置２０から受信する。また、例えば、通信処理部１１は、解析処理の処理結果を端末装置２０に対して送信する。
【００１９】
記憶部１３は、図１に示すように、解析対象データ記憶部１３ａ、撹乱データ記憶部１３ｂを有する。記憶部１３は、例えば、ＲＡＭ（Random  Access  Memory）、フラッシュメモリ（Flash  Memory）等の半導体メモリ素子、又は、ハードディスク、光ディスク等の記憶装置などである。
【００２０】
解析対象データ記憶部１３ａは、解析の対象となる解析対象データ（以下では、適宜、秘密データという）を記憶する。例えば、解析対象データ記憶部１３ａは、図２に示すように、社員を一意に識別する「社員ＩＤ」と、社員の住所を示す「住所」と、社員の年齢を示す「年齢」と、社員の最高血圧の数値を示す「最高血圧」とを対応付けて記憶する。
【００２１】
解析対象データ記憶部１３ａに記憶される秘密データは、例えば、「識別子」、「準識別子」、「センシティブ属性」の３つに分かれる。識別子とは、１つのレコードとその持ち主を一意的に結び付けるもので、例えば、図２における「社員ＩＤ」のようなものが該当する。識別子は、通常、撹乱処理の前段階で削除される。
【００２２】
準識別子とは、複数組み合わせることでレコードの持ち主が特定可能なもので、例えば、図２における「住所」や「年齢」などである。準識別子は、撹乱処理の対象になる。準識別子に関する情報は、入手が容易であるため、一般には秘密にしておくことが不可能であるが、これらを組み合わせることで、仮に識別子が削除されていてもレコードの持ち主を特定される恐れがある。そこで準識別子を左図のような方法で撹乱し、レコードの持ち主を特定できないようにする。準識別子は、撹乱データ公開後のデータ分析では不可欠なものと考えらえるため、完全に削除してしまうとデータ公開の意味がなくなってしまう場合がある。
【００２３】
センシティブ属性とは、秘密にしたいデータであり、例えば、図２における「血圧」のようなものであり、センシティブ属性も撹乱操作の対象になり得まるが、撹乱しない場合もある。つまり、ある属性が準識別子であるか、センシティブ属性であるかは問題に応じて決めることであり、場合によっては「準識別子でありセンシティブ属性である」こともあり得る。また、撹乱操作は、基本的にデータ分析の有用性を失わせるため、準識別子と考えにくいのであれば、撹乱せずに残しておいた方がよい。本実施形態では「準識別子」と「センシティブ属性」を撹乱操作の対象とする。ただし、仮説検定で利用するのは「センシティブ属性」のみで、かつセンシティブ属性が数値属性であると仮定している。例えば、数値属性の準識別子（年齢等）が存在している場合、その準識別子に関して仮説検定を実施することが可能であるが、データ分析の目的としては一般的でない。
【００２４】
撹乱データ記憶部１３ｂは、後述する撹乱部１２ａによって撹乱処理によりノイズが付加された撹乱データを記憶する。なお、撹乱処理については、後の撹乱部１２ａの説明で詳述する。
【００２５】
図１の説明に戻って、制御部１２は、撹乱部１２ａと、抽出部１２ｂ、解析部１２ｃとを有する。ここで、制御部１２は、ＣＰＵ（Central  Processing  Unit）やＭＰＵ（Micro  Processing  Unit）などの電子回路やＡＳＩＣ（Application  Specific  Integrated  Circuit）やＦＰＧＡ（Field  Programmable  Gate  Array）などの集積回路である。
【００２６】
撹乱部１２ａは、秘密データうち、数値に関するデータに、特定のパラメータを持つ分布に従う確率変数を付加する。例えば、撹乱部１２ａは、図３に示すように、秘密データのうち、数値属性のデータに対して特定のパラメータを持つＬａｐｌａｃｅ分布に従う確率変数を値（ノイズ）として加える撹乱処理を行うことで、Ｐｋ匿名性を満たす撹乱データを生成する。その後、撹乱部１２ａは、生成した撹乱データを撹乱データ記憶部１３ｂに格納する。
【００２７】
ここで、図４を用いて、秘密データに確率変数を加える撹乱処理例について説明する。図４に示すように、秘密データの値として、「１０」、「１５」、「１３」、「９」、「２１」があるものとする。そして、確率変数をＸとして、各秘密データにＸを加える。この結果、撹乱データとして、「８」、「１７」、「１３」、「９」、「１８」が生成される。ここで、例えば、Ｘが従う確率分布をμとすると、秘密データ「１０」が撹乱データ「８」に変化する確率は、Ｐ（１０＋Ｘ＝８）＝Ｐ（Ｘ＝−２）＝μ（−２）となる。
【００２８】
抽出部１２ｂは、解析の対象となるデータのなかから標本データを抽出する。具体的には、抽出部１２ｂは、撹乱データ記憶部１３ｂに記憶された撹乱データのうち、ｎ個の標本データを抽出し、解析部１２ｃに標本データを通知する。
【００２９】
解析部１２ｃは、抽出部１２ａによって抽出された標本データの標準正規分布の信頼度（例えば、後述するｚ（δ））を利用して累積分布関数の逆関数（例えば、後述するＦｎ（δ）−１）を漸近展開し、該展開した逆関数を用いて、標本データの平均が所定の値に一致するか否かを検定する１標本平均一致検定を行う。
【００３０】
例えば、解析部１２ｃは、標本データの標準正規分布の信頼度ｚ（δ）を利用する形で、Ｃｏｒｎｉｓｈ−Ｆｉｓｈｅｒ（コーニッシュフィッシャ）展開により累積分布関数の逆関数Ｆｎ（δ）−１を展開し、該逆関数Ｆｎ（δ）−１を用いて、１標本平均一致検定を行う。また、例えば、解析部１２ｃは、信頼度として、１の値を有意水準αの値で減算した１００×（１−α）％点を用いて、１標本平均一致検定を行う。
【００３１】
ここで、解析部１２ｃにより実行される処理を説明する前に、１標本平均一致検定について説明する。ここで１標本平均一致検定とは、平均と分散を持つと仮定した単一の母集団から標本を抽出し、分散が既知であると仮定したときに平均がある値に一致するかどうかを判断する手法である。
【００３２】
従来、１標本平均一致検定では、中心極限定理を用いることが一般的であった。中心極限定理は、標本数ｎを無限とした場合に、標本平均と真の平均の誤差が標準正規分布に従うことを利用するものであるが、収束速度については特に保証していないため、ｎが小さい場合には標本平均と真の平均がどの程度ずれるのかが不明確である。
【００３３】
特に、上記した撹乱処理を行う場合には、秘密データが正規分布に従うと仮定できても、撹乱操作のために加えるノイズの影響で撹乱データが一般に正規分布から離れてしまう。このため、標本データ数が少ない場合の１標本平均一致検定における中心極限定理の利用は適切でない場合がある。
【００３４】
ここで、図５の例を用いて、一般的な１標本平均一致検定の処理例を説明する。図５の例では、秘密データが従う分布の標準偏差σが既知であるものとする。そして、秘密データからｎ個の標本データＺ１、Ｚ２、・・・、Ｚｎを抽出する。そして、下記（１）式および（２）式を計算する。ここで、μ０の平均と想定される値である。μ０は、問題に応じて与えられるものとする。μ０は、多くの場合現実に与えられることがないため、何らかの値で代用する。例えば、解析対象のデータが、年収に関するデータであれば、日本全体の年収の平均などを与える。
【００３５】
【数１】
2014211761.tif 000003
【００３６】
【数２】
2014211761.tif 000004
【００３７】
そして、有意水準αの値を決め、標本統計量であるｓｎとｚ（１−α）の大小を比較する。なお、ここでｚ（１−α）とは、標準正規分布の信頼度である「１００×（１−α）％点」であり、例えば、α＝０．０５のとき、ｚ（０．９５）≒１．６４となる。
【００３８】
比較の結果から、帰無仮説μ＝μ０と、対立仮説μ＞μ０のどちらが正しいかを判断する。ここで、μ０とは、前述したように、秘密データの平均と想定される値であり、μとは、抽出したｎ個の平均の値である。つまり、比較の結果、ｓｎ＞ｚ（１−α）の場合には、「もし、秘密データの平均がμ０であるなら、ｓｎ＞ｚ（１−α）となる確率が高々αである。従って、実際には秘密データの平均はμ０ではない。すなわち、帰無仮説が正しくないものと判断する。通常は、対立仮説が主張したい命題である。
【００３９】
ここで、図６を用いて仮説検定における２つの誤りについて説明する。図６に示すように、仮説検定における２つの誤りには、第一種過誤と、第二種過誤がある。つまり、第一種過誤とは、真の状態として帰無仮説が正しい場合であって、かつ、検定結果が対立仮説を正しいとみなした場合、すなわち、帰無仮説が正しいが、対立仮説が正しいと判断してしまった場合における判断の誤りのことをいう。そして、この第一種過誤が生じる確率を危険率といい、危険率の上限を有意水準という。
【００４０】
また、第二種過誤とは、真の状態として対立仮説が正しい場合であって、かつ、検定結果が帰無仮説を正しいとみなした場合、すなわち、対立仮説が正しいが、帰無仮説が正しいと判断してしまった場合における判断の誤りのことをいう。第一種過誤が生じる確率と、第二種過誤が生じる確率を同時に下げることはない、いわゆるトレードオフの関係である。ただし、通常は危険率の上限（有意水準）を一定とした上で、検出力を最大化するような検定を行うことが望ましい。
【００４１】
上記したように、標本データ数が少ない場合の１標本平均一致検定における中心極限定理の利用は適切でない場合がある。これは、標本データ数が十分大きい場合には、与えられる有意水準αに対し、中心極限定理によりｓｎが標準正規分布に従うといえるため、標準正規分布の１００×（１−α）％点と、標本データから計算するｓｎの大小を比較すればよいが、標本データ数が小さい場合には、ｓｎが標準正規分布に従うといえないからである。すなわち、標本データ数が小さい場合には、中心極限定理では与えられない優位水準を達成しているかどうかが不明であり、検定の信頼性が低い。つまり、ｓｎの分布の仮定ができないので、ｓｎの分布の１００×（１−α）％点を厳密に求めることができない。ここで検出力とは、真の状態として対立仮説が正しく、検定結果として対立仮説が正しい（例えば、図６の例では、右下の「○」の部分に該当）とみなす確率のことである。
【００４２】
例えば、α＝０．０５として、中心極限定理に従い標準正規分布の９５％点を用いてしまうと、その点はｓｎにとって９０％点かもしれないし、９９％点かもしれない。すなわち、危険率を求めることができないため、検定の信頼性が損なわれる。
【００４３】
そこで、解析部１２ｃでは、Ｃｏｒｎｉｓｈ−Ｆｉｓｈｅｒ展開と呼ばれる手法により、撹乱データの累積分布関数の逆関数を展開することで、仮説検定における１００（１−α）％点を求める。
【００４４】
まず、解析部１２ｃは、抽出部１２ｂが抽出した仮説検定のためのｎ個の標本データを受信する。そして、解析部１２ｃは、データ（秘密データ、撹乱データ等に依らず、一般のデータ）を表す確率変数をＸｉ（ｉ＝１・・・ｎ）とし、その平均と標準偏差（いずれも母集団平均・標準偏差、すなわち、サンプリングから求められるものではなく、母集団が従う分布）からそれぞれ平均μ、標準偏差σとし、下記（３）、（４）式を計算する。
【００４５】
【数３】
2014211761.tif 000005
【００４６】
【数４】
2014211761.tif 000006
【００４７】
解析部１２ｃは、このＳｎが従う分布の累積分布関数をＦｎとする。すなわち、Ｓｎの確率密度関数をｆｎとしたとき、以下の（５）式で表されるものとする。なお、（５）式における一番左のＰ［Ｓｎ≦τ］は、Ｓｎ≦τとなる確率の意味である。
【００４８】
【数５】
2014211761.tif 000007
【００４９】
ここで、解析部１２ｃは、Ｆｎに対してＣｏｒｎｉｓｈ−Ｆｉｓｈｅｒ展開を行うと、δ＝１−αとして、以下の（６）式で、Ｓｎの１００×（１−α）％点を表現することができる。
【００５０】
【数６】
2014211761.tif 000008
【００５１】
ここで、上記の（６）式におけるキュムラントについて説明する。まず、モーメントを定義する。確率変数Ｘに対し、ｎ次のモーメントは、Ｘｎの期待値、すなわちＸの確率密度関数をｆとしたとき、下記（７）式のように定義される。以下では、μｎ＝Ｅ［Ｘｎ］と表記する。このとき、４次までのキュムラントｋｉ（ｉ＝１、２、３、４）については、以下の（８）式〜（１１）式で定義される。
【００５２】
【数７】
2014211761.tif 000009
【００５３】
【数８】
2014211761.tif 000010
【００５４】
【数９】
2014211761.tif 000011
【００５５】
【数１０】
2014211761.tif 000012
【００５６】
【数１１】
2014211761.tif 000013
【００５７】
上記した（６）式については、中心極限定理を高次項まで近似したものと考えられる。つまり、ｎ→∞で、中心極限定理と同じように、標準正規分布の１００×δ％点ｚ（δ）に収束する。しかし、（６）式をそのまま用いても、必ずしも危険率を下げる効果がない。つまり、中心極限定理と比較して危険率を下げるには、Ｆｎ（δ）−１＞ｚ（δ）となるようにする必要があるが、上記の（６）式の右辺第二項以降の符号は、ｚ（δ）の大きさによって正の場合も負の場合もあり得る。
【００５８】
このため、解析部１２ｃは、片側検定問題の場合は、（６）式の変わりに、下記（１２）式を用いる。（７）式もｎ→∞で、（６）式と同じ速さでｚ（δ）に収束する。また、解析部１２ｃは、両側検定問題の場合は、（６）式の変わりに、下記（１３）式を用いる。
【００５９】
【数１２】
2014211761.tif 000014
【００６０】
【数１３】
2014211761.tif 000015
【００６１】
また、秘密データを表す確率変数をＸ、撹乱操作で加えるノイズを表す確率変数をＹとし、それぞれのｉ次キュムラントをιｉ、λｉとすると、撹乱データＺ＝Ｘ＋Ｙのｉ次キュムラントκｉがκｉ＝ιｉ＋λｉとして表現できる。
【００６２】
これを用いて、下記（１４）式および（１５）式で表されるＳｎおよび撹乱データＺの平均の１００×（１−α）％点を上記の式（１２）もしくは式（１３）により近似することで、撹乱データに関する１標本平均値検定を実現することができる。
【００６３】
【数１４】
2014211761.tif 000016
【００６４】
【数１５】
2014211761.tif 000017
【００６５】
このように、第一の実施形態に係る解析装置１０では、標本平均検定の信頼度向上が可能となる。つまり、中心極限定理では、上記の（６）式における右辺第一項のみによる近似を行うのに対し、第一の実施形態に係る解析装置１０では、第二項以降の項を絶対値にした上記の（６）式および（７）式を用いて、第二項以降の項を利用することで、危険率を下げ、標本平均検定の信頼度向上が可能となる。
【００６６】
また、第一の実施形態に係る解析装置１０では、Ｃｏｒｎｉｓｈ−Ｆｉｓｈｅｒ展開と呼ばれる手法により累積分布関数を展開している。Ｃｏｒｎｉｓｈ−Ｆｉｓｈｅｒ展開では、今回のように累積分布関数を陽に求めることが困難な場合に有効であるが、そのまま用いると「仮説検定における危険率を下げる」という効果が生じない場合があるため、上記したように、危険率が下がるような補正を行っている。
【００６７】
以下では、仮説検定の処理について説明するが、片側検定問題を扱う場合と両側検定問題を扱う場合の処理例についてそれぞれ説明する。前提として、秘密データは正規分布に従うものとし、撹乱処理で付加するノイズはＬａｐｌａｃｅノイズであるものとする。
【００６８】
まず、片側検定問題を扱う場合の処理例について説明する。秘密データを表す確率変数をＸとしたとき、Ｘが従う正規分布はＮ（μ，σ２）、すなわち、以下の（１６）式の確率密度関数ｆＸで表されるものとする。
【００６９】
【数１６】
2014211761.tif 000018
【００７０】
また、撹乱操作で加えるノイズを表す確率変数をＹとしたとき、Ｙが従うＬａｐｌａｃｅノイズは、以下の（１７）式の確率密度関数ｆＹで表される。
【００７１】
【数１７】
2014211761.tif 000019
【００７２】
このとき、上記の（１７）式の「ｂ」は、下記（１８）式でもとめられるものであるとすれば、Ｐｋ匿名性が満たされる。すなわち、どのような攻撃者も１／ｋ以上の確率で秘密データと撹乱データを対応付けられない。なお、（１８）式において、｜Ｒ｜は、表の行数であり、νは、秘密データ（数値）の値域を示す。また、確率変数Ｘと確率変数Ｙを加えたＺ＝Ｘ＋Ｙが撹乱データとなる。
【００７３】
【数１８】
2014211761.tif 000020
【００７４】
撹乱データからｎ個の標本を採るものとする。ここで、ｓｎを下記（１９）式および（２０）式で定義する。ここでは、μ´＝μであって、μをＺの平均値と定義し、σ´を下記（２１）式で表される、Ｚの標準偏差と定義する。
【００７５】
【数１９】
2014211761.tif 000021
【００７６】
【数２０】
2014211761.tif 000022
【００７７】
【数２１】
2014211761.tif 000023
【００７８】
このとき、上記の（１２）式は、下記（２２）式のようになる。ここで、下記の式（２２）中のγ４は、下記（２３）式で求められる。
【００７９】
【数２２】
2014211761.tif 000024
【００８０】
【数２３】
2014211761.tif 000025
【００８１】
上記の式（２２）を用いると、有意水準αの片側検定問題として、帰無仮説Ｈ０：μ´＝μ０と、対立仮説Ｈ１：μ´＞μ０の２つの仮説からなる仮説検定を構築できる。実際にサンプリングしたデータをｚｉ（ｉ＝１，・・・，ｎ）とし、ｓｎを下記（２４）式で定義する。このときに、もしｓ０＞Ｆｎ（δ）−１（δ＝１−α）であれば、帰無仮説を棄却し、対立仮説を受理する。そうでなければ、帰無仮説を受理する。
【００８２】
【数２４】
2014211761.tif 000026
【００８３】
例えば、特定の薬を投与した後の最高血圧が有意に上昇したか否かという検定の場合であって、μ０を最高血圧の平均（薬を投与する前の平均や、一般の平均値等を用いる）とし、μ´を標本データの最高血圧の平均とし、ｓ０＞Ｆｎ（δ）−１であれば、帰無仮説を棄却し、ｓ０＞Ｆｎ（δ）−１でなければ、帰無仮説を受理する。つまり、ここで帰無仮説の棄却とは、もし投与前と投与後の平均が同じだとしたら、１００×（１−α）％の確率でしか生じない事象が生じた。従って、投与後の最高血圧が投与前に比べて有意に上昇したと判断することを意味し、帰無仮説の受理とは、投与後の最高血圧が投与前に比べて変化していないと判断することを意味する。
【００８４】
ここで、片側検定について、上記検定処理を行った場合の実験結果例を図７に示す。図７は、片側検定の実験結果例を示す図である。図７の例では、乱数から生成した撹乱データの９５％点を菱形で示し、中心極限定理の９５％点（標準分布の９５％点）を四角で示し、本実施形態に係る解析装置１０の手法による９５％点を三角で示す。また、乱数から生成した撹乱データの９５％点は、１００００回Ｓｎを計算し、９５００番目の値を表示している。また、図７において、縦軸は、９５％点の値を示すものであり、横軸は、標本数を示すものである。
【００８５】
図７に示すように、標本数によらず、本実施形態に係る解析装置１０の手法による９５％点の値が、中心極限定理の９５％点の値よりも大きいことが分かる。この値が大きいほど、危険率が低くなるので、本実施形態に係る解析装置１０では中心極限定理を用いる場合と比較して、常に危険率を低くすることが可能である。
【００８６】
次に、両側検定問題を扱う場合の処理例について説明する。両側検定問題を扱う場合においても、上記の片側検定問題を扱う場合と同様に、上記の（１７）式におけるパラメータｂを上記の（１８）式により決定し、上記の（１９）式および（２０）式でＳｎを定義する。このとき、上記の（１３）式は、下記（２５）式のようになる。ここで、上記の式（２２）中のγ４は、下記（２６）式で求められる。
【００８７】
【数２５】
2014211761.tif 000027
【００８８】
【数２６】
2014211761.tif 000028
【００８９】
上記の式（２５）を用いると、有意水準αの両側検定問題として、帰無仮説Ｈ０：μ´＝μ０と、対立仮説Ｈ１：μ´≠μ０の２つの仮説からなる仮説検定を構築できる。そして、Ｓ０を計算し、下記（２７）式もしくは下記（２８）式が成り立つか判定する。なお、（２７）式および（２８）式において、δ＝１−α／２となる。下記（２７）式もしくは下記（２８）式が成り立つ場合には、帰無仮説を棄却し、成り立たない場合には、帰無仮説を受理する。例えば、特定の薬を投与した後の血圧に、投与前と比べて有意な差があるか否かといった検定問題に利用可能である。
【００９０】
【数２７】
2014211761.tif 000029
【００９１】
【数２８】
2014211761.tif 000030
【００９２】
このように、第一の実施形態に係る解析装置１０では、「秘匿化された（撹乱された）データを精度良く統計的データ解析（仮説検定）できる。例えば、医療分野において、Ｐｋ匿名性を保証する範囲で、標本データに基づく仮説の確からしさを精度良く検定することが可能となる。
【００９３】
［解析装置による処理］
次に、図８を用いて、第一の実施形態に係る解析装置１０の処理を説明する。図８は、第一の実施形態に係る解析装置１０における解析処理の流れを説明するためのフローチャートである。
【００９４】
図８に示すように、解析装置１０の撹乱部１２ａは、端末装置２０から解析要求を受け付けると（ステップＳ１０１）、解析対象となる秘密データを解析対象データ記憶部１３ａから読み出す（ステップＳ１０２）。
【００９５】
そして、撹乱部１２ａは、読み出した秘密データに対してＬａｐｌａｃｅノイズを付加して撹乱データを生成する（ステップＳ１０３）。そして、解析部１２ｃは、撹乱データからｎ個の標本データを抽出する（ステップＳ１０４）。そして、解析部１２ｃは、上記した（１）式および（２）式を用いて、検定統計量「ｓｎ」を計算する（ステップＳ１０５）。
【００９６】
その後、解析部１２ｃは、ｓｎとｚ（１−α）の大小を比較する（ステップＳ１０６）。この結果、解析部１２ｃは、ｓｎ＞ｚ（１−α）であると判定した場合には（ステップＳ１０７肯定）、対立仮説が正しいと判定する（ステップＳ１０８）。また、ｓｎ＞ｚ（１−α）ではないと判定した場合には（ステップＳ１０７否定）、帰無仮説が正しいと判定する（ステップＳ１０９）。そして、解析部１２ｃは、解析結果を端末装置２０に対して出力する（ステップＳ１１０）。
【００９７】
例えば、解析部１２ｃは、解析結果として、特定の病気に罹っている人々の血圧が、血圧の平均値と比較して有意な差があるかどうかや、特定の薬を投与した後の被験者の血圧が、血圧の平均値と比較して有意な差があるかどうかなどを出力する。
【００９８】
[第一の実施形態の効果]
上述してきたように、第一の実施形態にかかる解析装置１０では、解析の対象となるデータのなかから標本データを抽出し、抽出された標本データの標準正規分布の信頼度を利用して累積分布関数の逆関数を漸近展開し、該展開した逆関数を用いて、標本データの平均が所定の値に一致するか否かを検定する１標本平均一致検定を行う。これにより、セキュリティを強化した統計的データ解析の精度を向上させ、秘匿化されたデータに対する仮説検定の精度向上を実現することが可能である。
【００９９】
また、第一の実施形態にかかる解析装置１０では、解析の対象となるデータのうち、数値に関するデータに、特定のパラメータを持つ分布に従う確率変数を付加し、確率変数が付加された解析対象データから標本データを抽出する。このため、データを秘匿化し、セキュリティを強化することが可能である。
【０１００】
また、第一の実施形態にかかる解析装置１０では、Ｃｏｒｎｉｓｈ−Ｆｉｓｈｅｒ展開により累積分布関数の逆関数を展開し、１標本平均一致検定を行う。このため、累積分関数を陽に求めることが可能である。
【０１０１】
また、第一の実施形態にかかる解析装置１０では、信頼度として、任意に設定された有意水準αから求められる信頼度を利用して累積分布関数の逆関数を漸近展開し、１標本平均一致検定を行う。例えば、解析装置１０では、標準正規分布の１００×（１−α）％点を求め、１００×（１−α）％点を利用して、1標本平均一致検定を実施する。このため、セキュリティを強化した統計的データ解析の精度を向上させ、秘匿化されたデータに対する仮説検定の精度向上を実現することが可能である。
【０１０２】
［システム構成等］
また、図示した各装置の各構成要素は機能概念的なものであり、必ずしも物理的に図示の如く構成されていることを要しない。すなわち、各装置の分散・統合の具体的形態は図示のものに限られず、その全部または一部を、各種の負荷や使用状況などに応じて、任意の単位で機能的または物理的に分散・統合して構成することができる。例えば、撹乱部１２ａと解析部１２ｂを統合してもよい。さらに、各装置にて行なわれる各処理機能は、その全部または任意の一部が、ＣＰＵおよび当該ＣＰＵにて解析実行されるプログラムにて実現され、あるいは、ワイヤードロジックによるハードウェアとして実現され得る。
【０１０３】
また、本実施例において説明した各処理のうち、自動的におこなわれるものとして説明した処理の全部または一部を手動的に行うこともでき、あるいは、手動的におこなわれるものとして説明した処理の全部または一部を公知の方法で自動的におこなうこともできる。この他、上記文書中や図面中で示した処理手順、制御手順、具体的名称、各種のデータやパラメータを含む情報については、特記する場合を除いて任意に変更することができる。
【０１０４】
［プログラム］
また、上記実施形態において説明した解析装置１０が実行する処理をコンピュータが実行可能な言語で記述したプログラムを作成することもできる。例えば、第一の実施形態に係る解析装置１０が実行する処理をコンピュータが実行可能な言語で記述した解析プログラムを作成することもできる。この場合、コンピュータが解析プログラムを実行することにより、上記実施形態と同様の効果を得ることができる。さらに、かかる解析プログラムをコンピュータ読み取り可能な記録媒体に記録して、この記録媒体に記録され解析プログラムをコンピュータに読み込ませて実行することにより上記第一の実施形態と同様の処理を実現してもよい。以下に、図２に示した解析装置１０と同様の機能を実現する解析プログラムを実行するコンピュータの一例を説明する。
【０１０５】
図９は、解析プログラムを実行するコンピュータ１０００を示す図である。図９に例示するように、コンピュータ１０００は、例えば、メモリ１０１０と、ＣＰＵ１０２０と、ハードディスクドライブインタフェース１０３０と、ディスクドライブインタフェース１０４０と、シリアルポートインタフェース１０５０と、ビデオアダプタ１０６０と、ネットワークインタフェース１０７０とを有し、これらの各部はバス１０８０によって接続される。
【０１０６】
メモリ１０１０は、図９に例示するように、ＲＯＭ（Read  Only  Memory）１０１１及びＲＡＭ１０１２を含む。ＲＯＭ１０１１は、例えば、ＢＩＯＳ（Basic  Input  Output  System）等のブートプログラムを記憶する。ハードディスクドライブインタフェース１０３０は、図９に例示するように、ハードディスクドライブ１０３１に接続される。ディスクドライブインタフェース１０４０は、図９に例示するように、ディスクドライブ１０４１に接続される。例えば磁気ディスクや光ディスク等の着脱可能な記憶媒体が、ディスクドライブ１０４１に挿入される。シリアルポートインタフェース１０５０は、図９に例示するように、例えばマウス１０５１、キーボード１０５２に接続される。ビデオアダプタ１０６０は、図９に例示するように、例えばディスプレイ１０６１に接続される。
【０１０７】
ここで、図９に例示するように、ハードディスクドライブ１０３１は、例えば、ＯＳ１０９１、アプリケーションプログラム１０９２、プログラムモジュール１０９３、プログラムデータ１０９４を記憶する。すなわち、上記の解析プログラムは、コンピュータ１０００によって実行される指令が記述されたプログラムモジュールとして、例えばハードディスクドライブ１０３１に記憶される。
【０１０８】
また、上記実施形態で説明した各種データは、プログラムデータとして、例えばメモリ１０１０やハードディスクドライブ１０３１に記憶される。そして、ＣＰＵ１０２０が、メモリ１０１０やハードディスクドライブ１０３１に記憶されたプログラムモジュール１０９３やプログラムデータ１０９４を必要に応じてＲＡＭ１０１２に読み出し、各種処理手順を実行する。
【０１０９】
なお、解析プログラムに係るプログラムモジュール１０９３やプログラムデータ１０９４は、ハードディスクドライブ１０３１に記憶される場合に限られず、例えば着脱可能な記憶媒体に記憶され、ディスクドライブ等を介してＣＰＵ１０２０によって読み出されてもよい。あるいは、解析プログラムに係るプログラムモジュール１０９３やプログラムデータ１０９４は、ネットワーク（ＬＡＮ（Local  Area  Network）、ＷＡＮ（Wide  Area  Network）等）を介して接続された他のコンピュータに記憶され、ネットワークインタフェース１０７０を介してＣＰＵ１０２０によって読み出されてもよい。
【符号の説明】
【０１１０】
１０  解析装置
１１  通信処理部
１２  制御部
１２ａ  撹乱部
１２ｂ  抽出部
１２ｃ  解析部
１３  記憶部
１３ａ  解析対象データ記憶部
１３ｂ  撹乱データ記憶部
２０  端末装置
【図１】
2014211761.tif 000031
【図２】
2014211761.tif 000032
【図３】
2014211761.tif 000033
【図４】
2014211761.tif 000034
【図５】
2014211761.tif 000035
【図６】
2014211761.tif 000036
【図７】
2014211761.tif 000037
【図８】
2014211761.tif 000038
【図９】
2014211761.tif 000039