(57)【要約】  問い合わせの回数を設定せずにε−差分プライバシーを保証するクエリ応答データ出版を実現するため、本発明の情報処理装置は、ε−差分プライバシーを保証するクエリ応答データ出版において総計として満足する総計プライバシー強度と、問い合わせに対応して決定されたプライバシー強度を設定後に残るプライバシー強度の合計である残プライバシー強度の変化の割合である残プライバシー割合とを記憶するパラメータ記憶手段と、残プライバシー強度を記憶する残プライバシー強度記憶手段と、残プライバシー割合と残プライバシー強度とを基に、問い合わせに対するプライバシー強度を決定するプライバシー強度決定手段とを含む。
2016203752.tif 000002
【特許請求の範囲】
【請求項１】
ε−差分プライバシーを保証するクエリ応答データ出版において総計として満足する総計プライバシー強度と、問い合わせに対応して決定されたプライバシー強度を設定後に残るプライバシー強度の合計である残プライバシー強度の変化の割合である残プライバシー割合とを記憶するパラメータ記憶手段と、
前記残プライバシー強度を記憶する残プライバシー強度記憶手段と、
前記残プライバシー割合と前記残プライバシー強度とを基に、問い合わせに対するプライバシー強度を決定するプライバシー強度決定手段と
を含む情報処理装置。
【請求項２】
前記プライバシー強度決定手段が、
決定した前記プライバシー強度を基に、前記残プライバシー強度を更新する
請求項１に記載の情報処理装置。
【請求項３】
前記プライバシー強度決定手段が、
前記残プライバシー割合を公比とする等比級列を用いて前記プライバシー強度を決定する
請求項１又は２に記載の情報処理装置。
【請求項４】
前記プライバシー強度決定手段が、
前記残プライバシー割合をα、ｉ−１番目の問い合わせ後の前記残プライバシー強度をε＊ｉ−１、及び、ｉ番目の問い合わせに対するプライバシー強度をεｉとしたとき、前記プライバシー強度εｉを次の数式１
［数式１］
εｉ＝（１−α）×ε＊ｉ−１
を用いて算出する
請求項１ないし３のいずれか１項に記載の情報処理装置。
【請求項５】
前記プライバシー強度決定手段が、
前記残プライバシー割合をα、ｉ−１番目の問い合わせ後の前記残プライバシー強度をε＊ｉ−１、及び、ｉ番目の前記残プライバシー強度をε＊ｉとしたとき、ｉ番目の前記残プライバシー強度ε＊ｉを次の数式２
［数式２］
ε＊ｉ＝α×ε＊ｉ−１
を用いて算出する
請求項１ないし４のいずれか１項に記載の情報処理装置。
【請求項６】
前記プライバシー強度決定手段が、
問い合わせを受ける前の前記残プライバシー強度を前記総計プライバシー強度とする
請求項１ないし５のいずれか１項に記載の情報処理装置。
【請求項７】
前記プライバシー強度決定手段が、
１回以上の問い合わせを受けた後の前記残プライバシー強度を前記総計プライバシー強度とする
請求項１ないし５のいずれか１項に記載の情報処理装置。
【請求項８】
ε−差分プライバシーを保証するクエリ応答データ出版において総計として満足する総計プライバシー強度と、問い合わせに対応して決定されたプライバシー強度を設定後に残るプライバシー強度の合計である残プライバシー強度の変化の割合である残プライバシー割合とを記憶し、
前記残プライバシー強度を記憶し、
前記残プライバシー割合と前記残プライバシー強度とを基に、問い合わせに対するプライバシー強度を決定する
情報処理方法。
【請求項９】
ε−差分プライバシーを保証するクエリ応答データ出版において総計として満足する総計プライバシー強度と、問い合わせに対応して決定されたプライバシー強度を設定後に残るプライバシー強度の合計である残プライバシー強度の変化の割合である残プライバシー割合とを記憶する処理と、
前記残プライバシー強度を記憶する処理と、
前記残プライバシー割合と前記残プライバシー強度とを基に、問い合わせに対するプライバシー強度を決定する処理と
をコンピュータに実行させるプログラムを記憶するコンピュータ読み取り可能な記憶媒体。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、情報処理に関し、特に、個人に関する情報（個人情報、パーソナル情報、又は、プライバシー情報）を扱う情報処理装置、情報処理方法、及び記録媒体に関する。
【背景技術】
【０００２】
近年、様々なサービスにおいて、個人に関する情報（個人情報、パーソナルデータ、又は、プライバシー情報）が、情報処理装置に蓄積されるようになっている。【０００３】
このようなプライバシー情報としては、ヘルスケア（健康管理）に関するデータ（情報）が、挙げられる。ここで、健康管理に関するデータとは、例えば、健康管理データ、診療履歴、又は、レセプト（診療報酬明細書）である。【０００４】
あるいは、プライバシー情報としては、個人又は個人が所有する装置（例えば、端末又は乗用車）に関する位置の情報が、挙げられる。ここで、位置の情報とは、例えば、移動の履歴、又は、無線アクセスポイント等のような位置が特定される装置の利用履歴である。【０００５】
さらに、プライバシー情報であるレセプトを構成する情報（属性）には、生年、性別、傷病名、及び、薬剤名等がある。そのため、例えば、レセプトは、上記の属性に関するデータを含む情報（レコード）として構成される。そして、情報処理装置は、レコードから構成されたデータセット（集合）として、プライバシー情報（例えば、レセプト）を蓄積する。【０００６】
プライバシー情報が、オリジナルな情報（元の情報）の内容が判別できる状態で公開又は利用されると、そのプライバシー情報に関連する個人に対するプライバシー侵害の発生が、懸念される。つまり、プライバシー保護の観点からは、オリジナルな情報（元の情報）の内容が判別できる状態でのプライバシー情報の公開、又は、利用は、好ましくない。【０００７】
一方、プライバシー情報は、プライバシー侵害の懸念がなければ、有益性の高い二次活用をもたらす。ここで、二次活用（二次利用）とは、例えば、プライバシー情報を、そのプライバシー情報を生成又は蓄積しているサービス事業者とは異なる事業者（第三者）に提供し、その第三者のサービスに、プライバシー情報を利用させることである。あるいは、二次活用とは、第三者に対してプライバシー情報を提供し、第三者にプライバシー情報の分析などを依頼（アウトソーシング）することである。【０００８】
プライバシー情報の二次活用は、プライバシー情報の分析又は研究を促進する。そして、二次活用に基づく分析結果又は研究結果は、プライバシー情報を用いたサービスの強化に用いることができる。このように、第三者は、二次活用を基に、プライバシー情報の持つ高い有益性を享受できる。【０００９】
例えば、上記のような第三者として、製薬会社が、想定される。製薬会社は、診療情報を基に、薬品の共起関係又は相関関係を分析できる。つまり、製薬会社は、診療情報を用いて、薬品がどのように利用されているのかを知ることができる。さらに、製薬会社は、薬品の利用状態を分析することができる。【００１０】
しかしながら、プライバシー情報を含むデータセット（例えば、診療情報）は、プライバシー侵害の懸念から、そのまま状態では、二次活用することが難しい。そこで、プライバシー情報は、プライバシーを保護する処理を施されてから、第三者に提供される。【００１１】
プライバシーを保護した第三者へのプライバシー情報の提供を実現するデータの提供方法として、「クエリ（query）応答型データ出版」がある。クエリ応答型データ出版とは、データの利用者からの問い合わせ（クエリ）に対して、オリジナルのデータ又はオリジナルのデータを集計した集計データに対してノイズを付加したデータを提供するデータの提供方法である。つまり、クエリ応答型データ出版とは、オリジナルのデータの詳細を隠ぺいしたデータを提供するデータの提供方法である。【００１２】
ただし、プライバシー情報への攻撃者として、異なる状態又は時間におけるデータの変化（例えば、差分又は比率）を基に、プライバシーを侵害しようとする者がいる。以下、異なる状態又は時間におけるプライバシー情報のデータの変化を基に特定されるプライバシーをまとめて、「差分プライバシー（ＤＰ：Differential Privacy）」と呼ぶ。【００１３】
クエリ応答型データ出版を処理する情報処理装置は、差分プライバシーの保護を保証するために、所定の性質を満たすランダムなノイズの付加を用いて、データの細かな変化を隠ぺいする（非特許文献１及び２を参照）。例えば、このようなクエリ応答型データ出版を処理する情報処理装置は、任意の１レコード、つまり、任意の１個人のプライバシー情報の存在及び不在の変化にかかわらず、出力が得られる確率がほとんど変わらないことを保証する。【００１４】
ここで、上記における出力とは、例えば、オリジナルデータ又は集計データにノイズが付加された出力（出力値）である。また、「確率がほとんど変わらない」とは、上記の任意の１レコードが存在するときにおける出力値の生成確率と、不在の時における同じ値の出力値の生成確率との変化（差分又は比率）が、所定の値以下（又は、所定の範囲内）に制限されることである。【００１５】
差分プライバシーの保護を保証する代表的なモデルとして、ε−差分プライバシー（ε-Differential Privacy）がある。ここで、ε−差分プライバシーにおけるεとは、上述の確率の変化の絶対値の上界を規定するパラメータである。そして、ε−差分プライバシーを処理する情報処理装置は、パラメータ（ε）を基に、出力データの利用者におけるオリジナルデータ又は集計データに対する推論能力を制限する。具体的には、ε−差分プライバシーを処理する情報処理装置は、次に示す数式１を用いる。【００１６】
［数式１］
2016203752.tif 000003
【００１７】
数式１は、差分プライバシーに基づいて、出力（出力値）の確率の差異が制限されることを表す数式である。数式１において、Ｄ及びＤ’は、データベースを示す。データベースＤは、プライバシー情報のデータベースである。また、データベースＤ’は、データベースＤに対し、１レコードが異なるデータベースである。関数ｑ（・）は、データベースへの問い合わせ（クエリ）に対する応答を表す関数である。関数Ｍ（・）は、応答（ｑ（・））の値をランダム化（乱択）又は攪乱するメカニズムに対応する関数である。ｘは、関数Ｍ（・）が出力する値（データ）である。関数Ｐｒ（・）は、関数Ｍ（・）の出力値が「ｘ」となる確率を表す。関数ｅｘｐ（・）は、自然対数の底（ｅ）を底とし、引き数をべき指数とする指数関数である。つまり、数式１は、データベースＤに対するクエリの応答を攪乱した結果が「ｘ」となる確率と、データベースＤ’に対するクエリの応答を攪乱した結果が「ｘ」となる確率との比が、ｅｘｐ（ε）以下となることを保証することを表す。【００１８】
図６は、一般的な、ε−差分プライバシーを用いたクエリ応答型データ出版を処理する情報処理装置の一例を示す図である。図６に示すように、データの依頼者は、図示しない問い合わせ機器を操作して、データを保有する情報処理装置９０にデータのクエリ（問い合わせ（ｑ））を送信する。ここで、問い合わせ（ｑ）は、分析などのデータ処理、又は、そのようなデータ処理の依頼などである。また、以下、「データの依頼者が、問い合わせ機器を操作しての問い合わせ」を、単に、「依頼者からの問い合わせ」と呼ぶ。【００１９】
図６に示すように、情報処理装置９０は、パーソナルデータを保存するパーソナルデータ記憶部９１と、差分プライバシー処理部９２とを含む。【００２０】
パーソナルデータ記憶部９１は、パーソナルデータを、データベース（例えば、上記の「Ｄ」又は「Ｄ’」）として保存する。【００２１】
差分プライバシー処理部９２は、所定の差分プライバシーを満足するように、パーソナルデータを処理（ランダム化又は攪乱）する。【００２２】
情報処理装置９０は、上記の構成を用いて、次のように動作する。【００２３】
情報処理装置９０は、パーソナルデータ記憶部９１のデータベース（Ｄ）から、問い合わせ（ｑ）に対応したパーソナルデータを抽出する。以下、抽出されたパーソナルデータを、「ｑ（Ｄ）」とする。【００２４】
そして、差分プライバシー処理部９２は、抽出されたパーソナルデータ（ｑ（Ｄ））を所定の差分プライバシー（例えば、ε−差分プライバシーを示す数式１）を満足するように処理（例えば、ランダム化又は攪乱）する。この処理結果を、ｑ＊（Ｄ）とする。ｑ＊（Ｄ）は、依頼者が元のデータを推測困難なように加工された秘密情報である。【００２５】
そして、情報処理装置９０は、推測困難な秘密情報に加工されたデータ（ｑ＊（Ｄ））を依頼者に送信する。【００２６】
図７は、差分プライバシーを保証しないクエリ応答型データ出版を説明するための図である。つまり、図７は、差分プライバシー処理部９２を含まない情報処理装置９０の動作に相当する。【００２７】
図７に示すように、ある時点において、パーソナルデータ記憶部９１は、データベース（Ｄ）として、５人（Ａｎａ、Ｂｏｂ、Ｃｒｉｓ、Ｄａｖｉｄ、Ｅｌｓａ）の年収データを保存している。また、別のある時点において、パーソナルデータ記憶部９１は、上記のデータベース（Ｄ）の状態からＥｌｓａに関するデータが削除（異動）されたデータベース（Ｄ’）を保存している。そして、依頼者は、問い合わせ（ｑ）として、平均年収を依頼したとする。【００２８】
この問い合わせ(ｑ)に対し、図７に示すように、差分プライバシーを保証しないクエリ応答型データ出版は、Ａｌｉｃｅが異動前のデータベース（Ｄ）の時には、平均年収として８万ドル（ｑ（Ｄ）＝８万ドル）とのデータを出力（出版）する。また、差分プライバシーを保証しないクエリ応答型データ出版は、Ａｌｉｃｅが異動後のデータベース（Ｄ’）の時には、平均年収として５万ドル（ｑ（Ｄ’）＝５万ドル）とのデータを出力（出版）する。【００２９】
この場合、依頼者は、ｑ（Ｄ）とｑ（Ｄ’）との差を基に、異動者の年収が２０万ドルであることが分かる（推定可能である）。そのため、依頼者が、異動した者がＥｌｓａであることを知ると、依頼者は、Ｅｌｓａの年収を推定できる。【００３０】
図８は、差分プライバシーを保証するクエリ応答型データ出版を説明するための図である。つまり、図８は、情報処理装置９０の動作に相当する。なお、図８に示されている攪乱（Ｍ）は、差分プライバシー処理部９２の動作に相当する。また、図８において、問い合わせ（ｑ）など図７の同様の変数は、同様の動作及び機能を示す。【００３１】
図８において、パーソナルデータ記憶部９１がデータベース（Ｄ）を保存している場合、情報処理装置９０の差分プライバシー処理部９２は、応答（ｑ（Ｄ））を攪乱した値（ｑ＊（Ｄ）＝６２，０５０ドル）を算出する。そして、情報処理装置９０は、攪乱した値（ｑ＊（Ｄ）＝６２，０５０ドル）を依頼者に送信する。【００３２】
同様に、パーソナルデータ記憶部９１がデータベース（Ｄ’）を保存している場合、差分プライバシー処理部９２は、応答（ｑ（Ｄ’））を攪乱した値（ｑ＊（Ｄ’）＝６２，０５０ドル）を算出する。そして、情報処理装置９０は、攪乱した値（ｑ＊（Ｄ’）＝６２，０５０ドル）を依頼者に送信する。【００３３】
なお、図８は、一例として、最も差異が小さい場合である、ｑ＊（Ｄ）とｑ＊（Ｄ’）との値が同じである場合を示している。【００３４】
図８に示すように、依頼者は、撹乱された値を受信するため、異動した者がＥｌｓａと分かっても、Ｅｌｓａの年収を推定できない。【００３５】
なお、上記の動作において、差分プライバシー処理部９２は、出力として、数式１に沿った値を算出する。【００３６】
図９は、差分プライバシーを確保するための算出に用いる確率の一例を示す図である。差分プライバシー処理部９２は、図９に示すように、ラプラス分布に従う確率を基に、攪乱した後の値が、所定の差又は比率となるような出力値を生成する。つまり、情報処理装置９０が出力する値は、所定の差又は比率の範囲に含まれる。【００３７】
このように、依頼者は、情報処理装置９０が出力した値の差分を用いて、プライバシー情報（例えば、年収）を推定できない。つまり、依頼者は、異動者を知ることができても（例えば、Ｅｌｓａの存在及び不在を知っていても）、その異動者のプライバシー情報（例えば、年収）を推定できない。
【先行技術文献】
【非特許文献】
【００３８】
【非特許文献１】Cynthia Dwork, "Differential privacy", ICALP'06 Proceedings of the 33rd international conference on Automata, Languages and Programming - Volume Part II, p.p. 1-12, July 10, 2006 (Publisher: Springer-Verlag Berlin, Heidelberg)
【非特許文献２】Frank D. McSherry, "Privacy integrated queries: an extensible platform for privacy preserving data analysis", SIGMOD '09 Proceedings of the 2009 ACM SIGMOD International Conference on Management of data, pp. 19-30, June 29, 2009 (Publisher: ACM New York, NY, USA)
【発明の概要】
【発明が解決しようとする課題】
【００３９】
問い合わせの回数の増加は、ε−差分プライバシーを保証するクエリ応答型データ出版に対する、プライバシー情報の推定能力を向上させる（例えば、非特許文献２の構成可能性（composability）を参照）。【００４０】
例えば、ε−差分プライバシーを保証するクエリ応答型データ出版を処理する情報処理装置が、ｎ（ｎは任意の自然数）回の各問い合わせに対してε−差分プライバシー（ε）を保証する場合、差分プライバシーの総計は、「ｎ×ε」となる。【００４１】
あるいは、ε−差分プライバシーを保証するクエリ応答型データ出版を処理する情報処理装置が、ｎ回の問い合わせの総計としてε−差分プライバシー強度（ε）を保証する場合、プライバシー強度（εｉ）は、例えば、次のようになる。すなわち、各問い合わせ（ｑｉ）に対するプライバシー強度（εｉ）は、「εｉ＝ε／ｎ」となる。【００４２】
つまり、ε−差分プライバシーを保証するクエリ応答型データ出版を処理する情報処理装置は、全ての問い合わせに対するプライバシー強度の合計と、各プライバシー強度（εｉ）とを、予め設計する必要がある。例えば、全ての問い合わせに対するプライバシー強度の合計を「εＴ」とし、各プライバシー強度を「εｉ」とする。この場合、ε−差分プライバシーを保証するクエリ応答型データ出版を処理する情報処理装置は、「εＴ≧Σεｉ」を満足するように、プライバシー強度の合計及び各プライバシー強度を設計する必要がある。【００４３】
図１０は、複数（ｎ個）の問い合わせに対して所定のプライバシー強度（εＴ）を確保するように設定されたプライバシー強度（εｉ）の一例を示す図である。図１０において、個別のプライバシー強度（εｉ）は、その合計が所定のプライバシー強度（εＴ）となる（εＴ＝Σεｉ）ように、設計されている。【００４４】
このように、複数回の問い合わせに対して所定のプライバシー強度（εＴ）を確保するためには、予め、各問い合わせにおけるプライバシー強度（εｉ）を設計することが必要である。そして、個別のプライバシー強度（εｉ）を設計するためには、事前に、最大の問い合わせ回数（ｎ）を設定することが必要である。【００４５】
つまり、非特許文献１及び２に記載の技術は、予め設定した問い合わせ回数を超えた問い合わせに応答できないという問題点があった。【００４６】
本発明の目的は、上記問題点を解決し、予め問い合わせの回数を設定しなくてもε−差分プライバシーを保証するクエリ応答データ出版を処理できる情報処理装置、情報処理方法、及び、記憶媒体を提供することにある。
【課題を解決するための手段】
【００４７】
本発明の一形態における情報処理装置は、ε−差分プライバシーを保証するクエリ応答データ出版において総計として満足する総計プライバシー強度と、問い合わせに対応して決定されたプライバシー強度を設定後に残るプライバシー強度の合計である残プライバシー強度の変化の割合である残プライバシー割合とを記憶するパラメータ記憶手段と、残プライバシー強度を記憶する残プライバシー強度記憶手段と、残プライバシー割合と残プライバシー強度とを基に、問い合わせに対するプライバシー強度を決定するプライバシー強度決定手段とを含む。【００４８】
本発明の一形態におけるデータ処理方法は、ε−差分プライバシーを保証するクエリ応答データ出版において総計として満足する総計プライバシー強度と、問い合わせに対応して決定されたプライバシー強度を設定後に残るプライバシー強度の合計である残プライバシー強度の変化の割合である残プライバシー割合とを記憶し、残プライバシー強度を記憶し、残プライバシー割合と残プライバシー強度とを基に、問い合わせに対するプライバシー強度を決定する。【００４９】
本発明の一形態における記憶媒体は、ε−差分プライバシーを保証するクエリ応答データ出版において総計として満足する総計プライバシー強度と、問い合わせに対応して決定されたプライバシー強度を設定後に残るプライバシー強度の合計である残プライバシー強度の変化の割合である残プライバシー割合とを記憶する処理と、残プライバシー強度を記憶する処理と、残プライバシー割合と残プライバシー強度とを基に、問い合わせに対するプライバシー強度を決定する処理とをコンピュータに実行させるプログラムを記憶する。
【発明の効果】
【００５０】
本発明に基づけば、予め、問い合わせの回数を設定しなくても、ε−差分プライバシーを保証するクエリ応答データ出版を実現するとの効果を奏することができる。
【図面の簡単な説明】
【００５１】
【図１】図１は、本発明における第１の実施形態に係る情報処理装置の構成の一例を示すブロック図である。
【図２】図２は、第１の実施形態に係る情報処理装置における残プライバシー強度を初期設定する動作の一例を示すフローチャートである。
【図３】図３は、第１の実施形態に係る情報処理装置におけるプライバシー強度を決定する動作の一例を示すフローチャートである。
【図４】図４は、第１の実施形態に係る情報処理装置が決定するプライバシー強度の一例を示す図である。
【図５】図５は、第１の実施形態に係る情報処理装置の別の構成の一例を示すブロック図である。
【図６】図６は、一般的なε−差分プライバシーを用いたクエリ応答型データ出版を処理する情報処理装置の一例を示す図である。
【図７】図７は、差分プライバシーを保証しないクエリ応答型データ出版を説明するための図である。
【図８】図８は、差分プライバシーを保証するクエリ応答型データ出版を説明するための図である。
【図９】図９は、差分プライバシーを確保するための算出に用いられる確率の一例を示す図である。
【図１０】図１０は、複数の問い合わせに対して所定のプライバシー強度を確保するように設計されたプライバシー強度の一例を示す図である。
【発明を実施するための形態】
【００５２】
以下、本発明の実施の形態について、図面を参照して詳細に説明する。
【００５３】
なお、各図面は、本発明の実施形態を説明するものである。ただし、本発明は、各図面の記載に限られるわけではない。また、各図面の同様の構成には、同じ番号を付し、その繰り返しの説明を、省略する場合がある。
【００５４】
また、以下の説明に用いる図面において、本発明の説明に関係しない部分の構成については、記載を省略し、図示しない場合もある。
【００５５】
なお、説明に先立ち、以下の説明に用いる変数をまとめておく。
【００５６】
プライバシー強度（εＴ）は、ε−差分プライバシーにおける総計（トータル）として満足するプライバシー強度である。そのため、以下、プライバシー強度（εＴ）を、総計プライバシー強度とも呼ぶ。
【００５７】
問い合わせ（ｑｉ）は、ｉ番目の問い合わせ（クエリ）である。
【００５８】
プライバシー強度（εｉ）は、ｉ番目の問い合わせ（ｑｉ）に対して決定されるプライバシー強度である。
【００５９】
残プライバシー強度（ε＊）は、問い合わせ（例えば、ｑｉ）に対して決定されたプライバシー強度（例えば、εｉ）を設定した後に残る設定可能なプライバシー強度の合計である。つまり、残プライバシー強度（ε＊）は、トータルのプライバシー強度（εＴ）から、その時点までの問い合わせ（ｑ１、ｑ２、…、ｑｉ）に対して決定したプライバシー強度（ε１、ε２、…、εｉ）を除いた、残りのプライバシー強度である。
【００６０】
なお、問い合わせ（ｑｉ）の回数との関係を明確にする場合、残プライバシー強度（ε＊）にも、符号を付す。つまり、残プライバシー強度（ε＊ｉ）は、ｉ番目の問い合わせ（ｑｉ）に対してプライバシー強度（εｉ）を設定後の残プライバシー強度である。つまり、残プライバシー強度（ε＊）とプライバシー強度（ε）との関係は、次の数式２の通りである。
【００６１】
［数式２］
ε＊ｉ＝ε＊ｉ−１−εｉ
なお、最初の問い合わせ（ｑ１）を受ける前の残プライバシー強度、つまり、残プライバシー強度（ε＊）の初期値を、残プライバシー強度（ε＊０）とする。残プライバシー強度（ε＊０）は、トータルのプライバシー強度（εＴ）である（ε＊０＝εＴ）。
【００６２】
残プライバシー割合（α）は、各問い合わせ（ｑｉ）に対するプライバシー強度（εｉ）を設定後の残プライバシー強度（ε＊）の変化の割合である。残プライバシー割合（α）の値は、１未満の正の実数である（０＜α＜１）。
【００６３】
つまり、残プライバシー強度（ε＊ｉ）と、そのひとつ前の残プライバシー強度（ε＊ｉ−１）との関係は、次の数式３のようになる。
【００６４】
［数式３］
ε＊ｉ＝α×ε＊ｉ−１
ここで、最初の残プライバシー強度（ε＊０）は、プライバシー強度（εＴ）である。そのため、最初の残プライバシー強度（ε＊０）を除くと、残プライバシー強度（ε＊ｉ（ｉ＝１、２、…））の値は、ゼロより大きく、プライバシー強度（εＴ）未満の実数である（０＜ε＊ｉ＜εＴ、ｉ＝１、２、…）。
【００６５】
また、数式２に数式３を代入して変形すると、残プライバシー強度（ε＊ｉ−１）とプライバシー強度（εｉ）との関係は、次の数式４のようになる。
【００６６】
［数式４］
εｉ＝（１−α）×ε＊ｉ−１
つまり、プライバシー強度（εｉ）は、残プライバシー割合（α）と残プライバシー強度（ε＊ｉ−１）とを基に算出される。
【００６７】
なお、以下、「１−α」を「β」とする。つまり、残プライバシー強度（ε＊ｉ−１）とプライバシー強度（εｉ）との関係は、次の数式５ようにも表される。
【００６８】
［数式５］
εｉ＝β×ε＊ｉ−１
＜第１の実施形態＞
以下、図面を参照して、本発明における第１の実施形態に係る情報処理装置１０を説明する。
【００６９】
［構成の説明］
まず、第１の実施形態に係る情報処理装置１０の構成について説明する。
【００７０】
図１は、本発明における第１の実施形態に係る情報処理装置１０の構成の一例を示すブロック図である。
【００７１】
図１に示すように、情報処理装置１０は、プライバシー強度決定部１１と、残プライバシー強度記憶部１２と、パラメータ記憶部１３とを含む。
【００７２】
なお、情報処理装置１０は、決定したプライバシー強度（εｉ）を基に、応答を作成する。ただし、情報処理装置１０は、応答を作成する手法として、一般的なε−差分プライバシーを保証する処理を用いればよい。より具体的には、情報処理装置１０は、問い合わせ（ｑｉ）に対して、ε−差分プライバシーを保証した出力を応答するために、プライバシー強度（εｉ）を利用した差分プライベートに基づく攪乱又は乱択を用いればよい。ここで、攪乱又は乱択の手法としては、例えば、ラプラスメカニズム（Laplace Mechanism）、又は、指数メカニズム（Exponential Mechanism）が知られている。情報処理装置１０は、これらの手法を用いればよい。ただし、情報処理装置１０は、これらの手法に限らず、攪乱又はランダム化（乱択）のメカニズムとして、問い合わせ（ｑｉ）に応じて適切なものを選択してよい。そのため、ε−差分プライバシーを保証する応答を生成する構成及び動作の説明を省略する。
【００７３】
次に、情報処理装置１０の各部は、次のとおりである。なお、各部の動作については、後ほど詳細に説明する。
【００７４】
プライバシー強度決定部１１は、残プライバシー強度記憶部１２に記録された残プライバシー強度（ε＊ｉ−１）と、パラメータ記憶部１３に記録された残プライバシー割合（α）とに基づいて、問い合わせ（ｑｉ）に対するプライバシー強度（εｉ）を決定する。そして、プライバシー強度決定部１１は、決定したプライバシー強度（εｉ）を用いて、残プライバシー強度（ε＊）を更新する。つまり、プライバシー強度決定部１１は、プライバシー強度（εｉ）と残プライバシー強度（ε＊ｉ）とを算出する。
【００７５】
残プライバシー強度記憶部１２は、算出された残プライバシー強度（ε＊ｉ）を記録する。ここで、残プライバシー強度記憶部１２は、前の残プライバシー強度（ε＊ｉ−１）を保存する必要はない。つまり、残プライバシー強度記憶部１２は、算出された残プライバシー強度（ε＊ｉ）で、記録している残プライバシー強度（ε＊ｉ−１）を更新してもよい。
【００７６】
つまり、本実施形態では、説明の便宜のため、残プライバシー強度（ε＊）に符号を付して説明しているが、情報処理装置１０は、実際の処理としては、１つの変数として、残プライバシー強度（ε＊）を処理してもよい。
【００７７】
パラメータ記憶部１３は、パラメータを記憶する。パラメータは、既に説明した、総計（トータル）プライバシー強度（εＴ）、及び、残プライバシー割合（α）である。ただし、パラメータ記憶部１３は、パラメータとして、他の値を含めてもよい。
【００７８】
［動作の説明］
次の、図面を参照して、情報処理装置１０の動作について説明する。
【００７９】
本実施形態に係る情報処理装置１０は、問い合わせ（ｑｉ）に対して、ε−差分プライバシーを保証したプライバシー強度（εｉ）を出力する。そのため、情報処理装置１０は、残プライバシー強度（ε＊）及び残プライバシー割合（α）を基に、問い合わせ（ｑｉ）に対するプライバシー強度（εｉ）を決定（算出）する。ただし、後ほど説明するとおり、情報処理装置１０は、問い合わせの回数に制限のないようにプライバシー強度（εｉ）を決定する。
【００８０】
まず、情報処理装置１０における残プライバシー強度（ε＊）の初期設定について説明する。
【００８１】
図２は、第１の実施形態に係る情報処理装置１０における残プライバシー強度（ε＊）を初期設定する動作の一例を示すフローチャートである。
【００８２】
まず、情報処理装置１０は、以下で説明する処理の前に、初期設定として、パラメータである総計プライバシー強度（εＴ）及び残プライバシー割合（α）をパラメータ記憶部１３に記憶する（ステップＳ１１０）。情報処理装置１０は、パラメータとして、β（＝１−α）を含めて記憶してもよい。βを記憶すると、情報処理装置１０は、以下で説明する処理において、引き算処理の処理回数を削減できる。
【００８３】
なお、情報処理装置１０がパラメータを記憶する手法は、特に制限はない。例えば、情報処理装置１０の管理者が、情報処理装置１０を操作して、パラメータ記憶部１３に、パラメータを設定してもよい。あるいは、情報処理装置１０が、図示しない外部の装置からパラメータを受信し、パラメータ記憶部１３に記憶させてもよい。
【００８４】
続いて、情報処理装置１０のプライバシー強度決定部１１は、パラメータを基に、残プライバシー強度記憶部１２が記憶する残プライバシー強度（ε＊）を初期設定する（ステップＳ１２０）。具体的には、既に説明した通り、プライバシー強度決定部１１は、残プライバシー強度記憶部１２が記憶する残プライバシー強度（ε＊）の初期値（ε＊０）として、パラメータ記憶部１３に記憶したトータルのプライバシー強度（εＴ）の値を設定する。
【００８５】
そして、情報処理装置１０は、残プライバシー強度（ε＊）の初期設定の動作を終了する。
【００８６】
次の、情報処理装置１０における残プライバシー強度（ε＊）を更新について説明する。
【００８７】
図３は、第１の実施形態に係る情報処理装置１０のプライバシー強度（εｉ）を決定（算出）する動作の一例を示すフローチャートである。
【００８８】
情報処理装置１０のプライバシー強度決定部１１は、問い合わせ（ｑｉ）を受け取ると、残プライバシー強度（ε＊）及び残プライバシー割合（α）に基づいて、問い合わせ（ｑｉ）に対するプライバシー強度（εｉ）を決定する（ステップＳ２１０）。なお、詳細に説明すると、この時の残プライバシー強度（ε＊）は、残プライバシー強度（ε＊ｉ−１）である。
【００８９】
そして、プライバシー強度決定部１１は、決定したプライバシー強度（εｉ）又は残プライバシー強度（ε＊ｉ−１）、及び、残プライバシー割合（α）を基に、更新後の残プライバシー強度（ε＊ｉ）を算出する（ステップＳ２２０）。
【００９０】
そして、プライバシー強度決定部１１は、残プライバシー強度記憶部１２が記憶する残プライバシー強度（ε＊）を更新する（ステップＳ２３０）。より詳細には、プライバシー強度決定部１１は、算出した残プライバシー強度（ε＊ｉ）で、残プライバシー強度記憶部１２が記憶している残プライバシー強度（ε＊ｉ−１）を更新する。
【００９１】
そして、情報処理装置１０は、プライバシー強度を決定する動作を終了する。
【００９２】
次に、ステップＳ２１０及びＳ２２０の動作を詳細に説明する。
【００９３】
情報処理装置１０のプライバシー強度決定部１１は、既に説明した数式４を用いて、問い合わせ（ｑｉ）に対応したプライバシー強度（εｉ）を算出する。
【００９４】
このとき、プライバシー強度（εｉ）及び残プライバシー強度（ε＊ｉ）の最初の値は、具体的には、次のようになる。
【００９５】
まず、残プライバシー強度（ε＊）の初期値（ε＊０）は、次の数式６の通りである。
【００９６】
［数式６］
ε＊０＝εＴ
そのため、最初の問い合わせ（ｑ１）に対するプライバシー強度（ε１）は、次の数式７のようになる。
【００９７】
［数式７］
ε１＝（１−α）×ε＊０＝（１−α）×εＴ＝β×εＴ
その結果、残プライバシー強度（ε＊１）は、次の数式８のとおりである。
【００９８】
［数式８］
ε＊１＝ε＊０（＝εＴ）−ε１＝εＴ−（１−α）×εＴ＝α×εＴ（＝α×ε＊０）
なお、数式８は、残プライバシー割合（α）の定義からも示すことができる。
【００９９】
次の問い合わせ（ｑ２）に対するプライバシー強度（ε２）は、次の数式９のようになる。
【０１００】
［数式９］
ε２＝（１−α）×ε＊１＝（１−α）×α×εＴ＝α×β×εＴ＝α×ε１
このときの残プライバシー強度（ε＊２）は、次の数式１０のとおりである。
【０１０１】
［数式１０］
ε＊２＝ε＊１−ε２＝α×εＴ−α×β×εＴ＝α×（１−β）×εＴ＝α２×εＴ
次の問い合わせ（ｑ３）に対するプライバシー強度（ε３）は、次の数式１１のようになる。
【０１０２】
［数式１１］
ε３＝（１−α）×ε＊２＝（１−α）×α２×εＴ＝β×α２×εＴ＝α×ε２
このときの残プライバシー強度（ε＊３）は、次の数式１２のとおりである。
【０１０３】
［数式１２］
ε＊３＝ε＊２−ε３＝α２×εＴ−β×α２×εＴ＝α２×（１−β）×εＴ＝α３×εＴ
また、ここで、残プライバシー強度（ε＊ｉ−１）は「ε＊ｉ−１＝αｉ−１×εＴ」なので、「εｉ」及び「ε＊ｉ」は、それぞれ、次の数式１３及び数式１４のようになる。
【０１０４】
［数式１３］
εｉ＝（１−α）×ε＊ｉ−１＝αｉ−１×β×εＴ＝αｉ−１×ε１
［数式１４］
ε＊ｉ＝ε＊ｉ−１−εｉ＝αｉ−１×εＴ−β×αｉ−１×εＴ
＝αｉ−１×（１−β）×εＴ＝αｉ×εＴ＝αｉ−１×ε＊１
【０１０５】
つまり、プライバシー強度（εｉ）は、ε１（＝β×εＴ）を初項、及び、公比を残プライバシー割合（α）とする等比数列である。
【０１０６】
そのため、ｎ回の問い合わせにおけるプライバシー強度（εｉ）の和（Ｓｎ）は、次の数式１５のようになる。
【０１０７】
［数式１５］
2016203752.tif 000004
【０１０８】
ここで、残プライバシー割合（α）は、１未満の正の実数である（０＜α＜１）。そのため、プライバシー強度（εｉ）の和（Ｓｎ）は、次の数式１６のように、プライバシー強度（εＴ）より小さい。
【０１０９】
［数式１６］
Ｓｎ＝（１−αｎ）×εＴ＜εＴ
つまり、プライバシー強度（εｉ）の和（Ｓｎ）は、プライバシー強度（εＴ）を超えることはない。
【０１１０】
さらに、プライバシー強度（εｉ）の無限級数和（つまり、和（Ｓｎ）の極限）は、次の数式１７のように「εＴ」となる。
【０１１１】
［数式１７］
2016203752.tif 000005
【０１１２】
情報処理装置１０のプライバシー強度決定部１１は、上記のように、問い合わせ（ｑｉ）に対してプライバシー強度（εｉ）を決定する。
【０１１３】
そのため、情報処理装置１０は、問い合わせ（ｑｉ）の回数に制限なく、プライバシー強度（εｉ）を決定（算出）できる。あるいは、情報処理装置１０は、問い合わせ（ｑｉ）の回数に制限なく、残プライバシー強度（ε＊）決定できる。あるいは、情報処理装置１０は、いずれの問い合わせ（ｑｉ）についても、その問い合わせに続く問い合わせ（ｑｉ＋１）を必ず受け付けることができる。すなわち、情報処理装置１０は、回数に制限なく、全ての問い合わせ（ｑ１、ｑ２、…、ｑｉ、…）に対して、ε−差分プライバシーを保証することができる。
【０１１４】
図４は、第１の実施形態に係る情報処理装置１０が決定するプライバシー強度（εｉ）の一例を示す図である。
【０１１５】
図４に示すように、情報処理装置１０のプライバシー強度決定部１１は、数式４を基に、数式１３に示すプライバシー強度（εｉ）及び数式１４に示す残プライバシー強度（ε＊ｉ）を決定して、ε−差分プライバシーを保証する。
【０１１６】
なお、問い合わせ（ｑｉ）に対して設定されるプライバシー強度（εｉ）は、問い合わせ（ｑｉ）の回数を重ねるにしたがって、残プライバシー割合（α）の値に応じて減衰する。つまり、第１の実施形態に係る情報処理装置１０において、ε−差分プライバシーが保証された出力の精度は、残プライバシー割合（α）の値に応じて減衰する。例えば、ｉ回目の問い合わせ（ｑｉ）の出力の精度は、最初の問い合わせ（ｑ１）に対して「αｉ−１」に減衰される。そのため、情報処理装置１０は、残プライバシー割合（α）に基に、出力の精度の減衰度合いを制御できる。
【０１１７】
［効果の説明］
次に、本実施形態の効果について説明する。
【０１１８】
本実施形態に係る情報処理装置１０は、問い合わせの回数を設定しなくても、ε−差分プライバシーを保証するクエリ応答データ出版を実現するとの効果を奏する。
【０１１９】
その理由は、次のとおりである。
【０１２０】
情報処理装置１０のプライバシー強度決定部１１は、残プライバシー強度（ε＊）と残プライバシー割合（α）とを基に、プライバシー強度（εｉ）を決定する。さらに、情報処理装置１０は、プライバシー強度（εｉ）を、残プライバシー割合（α）を公比とする等比数列として決定する。
【０１２１】
そのため、プライバシー強度決定部１１は、問い合わせの回数に制限されずに、プライバシー強度（εｉ）を決定できるためである。
【０１２２】
また、本実施形態に係る情報処理装置１０は、残プライバシー割合（α）に基に、出力の精度の減衰度合いを制御できる。
【０１２３】
その理由は、情報処理装置１０が、残プライバシー割合（α）を公比とする等比数例を用いて、プライバシー強度（εｉ）を決定するためである。
【０１２４】
［変形例］
以上の説明した情報処理装置１０は、次のように構成される。
【０１２５】
例えば、情報処理装置１０の各構成部は、ハードウェア回路で構成されてもよい。
【０１２６】
また、情報処理装置１０は、各構成部が、ネットワークを介して接続した複数の装置を用いて、構成されてもよい。
【０１２７】
また、情報処理装置１０は、複数の構成部を１つのハードウェアで構成されてもよい。
【０１２８】
また、情報処理装置１０は、ＣＰＵ（Central Processing Unit）と、ＲＯＭ（Read Only Memory）と、ＲＡＭ（Random Access Memory）とを含むコンピュータ装置として実現されてもよい。情報処理装置１０は、上記構成に加え、さらに、入出力接続回路（ＩＯＣ：Input / Output Circuit）と、ネットワークインターフェース回路（ＮＩＣ：Network Interface Circuit）とを含むコンピュータ装置として実現されてもよい。
【０１２９】
図５は、本変形例に係る情報処理装置６００の構成の一例を示すブロック図である。
【０１３０】
情報処理装置６００は、ＣＰＵ６１０と、ＲＯＭ６２０と、ＲＡＭ６３０と、内部記憶装置６４０と、ＩＯＣ６５０と、ＮＩＣ６８０とを含み、コンピュータ装置として構成されている。
【０１３１】
ＣＰＵ６１０は、ＲＯＭ６２０からプログラムを読み込む。そして、ＣＰＵ６１０は、読み込んだプログラムに基づいて、ＲＡＭ６３０と、内部記憶装置６４０と、ＩＯＣ６５０と、ＮＩＣ６８０とを制御する。そして、ＣＰＵ６１０を含むコンピュータは、これらの構成を制御し、図１に示す、プライバシー強度決定部１１と、残プライバシー強度記憶部１２と、パラメータ記憶部１３としての各機能を実現する。
【０１３２】
ＣＰＵ６１０は、各機能を実現する際に、ＲＡＭ６３０又は内部記憶装置６４０を、プログラムの一時記憶として使用してもよい。
【０１３３】
また、ＣＰＵ６１０は、コンピュータで読み取り可能にプログラムを記憶した記憶媒体７００が含むプログラムを、図示しない記憶媒体読み取り装置を用いて読み込んでもよい。あるいは、ＣＰＵ６１０は、ＮＩＣ６８０を介して、図示しない外部の装置からプログラムを受け取り、ＲＡＭ６３０に保存して、保存したプログラムを基に動作してもよい。
【０１３４】
ＲＯＭ６２０は、ＣＰＵ６１０が実行するプログラム及び固定的なデータを記憶する。ＲＯＭ６２０は、例えば、Ｐ−ＲＯＭ（Programmable-ROM）又はフラッシュＲＯＭである。
【０１３５】
ＲＡＭ６３０は、ＣＰＵ６１０が実行するプログラム及びデータを一時的に記憶する。ＲＡＭ６３０は、例えば、Ｄ−ＲＡＭ（Dynamic-RAM）である。
【０１３６】
内部記憶装置６４０は、情報処理装置６００が長期的に保存するデータ及びプログラムを記憶する。内部記憶装置６４０は、残プライバシー強度記憶部１２及びパラメータ記憶部１３として動作する。また、内部記憶装置６４０は、ＣＰＵ６１０の一時記憶装置として動作してもよい。内部記憶装置６４０は、例えば、ハードディスク装置、光磁気ディスク装置、ＳＳＤ（Solid State Drive）、又はディスクアレイ装置である。
【０１３７】
ここで、ＲＯＭ６２０と内部記憶装置６４０とは、不揮発性（non-transitory）の記憶媒体である。一方、ＲＡＭ６３０は、揮発性（transitory）の記憶媒体である。そして、ＣＰＵ６１０は、ＲＯＭ６２０、内部記憶装置６４０、又は、ＲＡＭ６３０に記憶されているプログラムを基に動作可能である。つまり、ＣＰＵ６１０は、不揮発性記憶媒体又は揮発性記憶媒体を用いて動作可能である。
【０１３８】
ＩＯＣ６５０は、ＣＰＵ６１０と、入力機器６６０及び表示機器６７０とのデータを仲介する。ＩＯＣ６５０は、例えば、ＩＯインターフェースカード又はＵＳＢ（Universal Serial Bus）カードである。
【０１３９】
入力機器６６０は、情報処理装置６００の操作者からの入力指示を受け取る機器である。入力機器６６０は、例えば、キーボード、マウス、又はタッチパネルである。
【０１４０】
表示機器６７０は、情報処理装置６００の操作者に情報を表示する機器である。表示機器６７０は、例えば、液晶ディスプレイである。
【０１４１】
ＮＩＣ６８０は、ネットワークを介した図示しない外部の装置とのデータのやり取りを中継する。ＮＩＣ６８０は、例えば、ＬＡＮ（Local Area Network）カードである。
【０１４２】
このように構成された情報処理装置６００は、情報処理装置１０と同様の効果を得ることができる。
【０１４３】
その理由は、情報処理装置６００のＣＰＵ６１０が、プログラムに基づいて情報処理装置１０と同様の機能を実現できるためである。
【０１４４】
以上、実施の形態を参照して本願発明を説明したが、本願発明は上記実施の形態に限定されるものではない。本願発明の構成及び詳細には、本願発明のスコープ内で当業者が理解し得る様々な変更をすることができる。
【０１４５】
この出願は、２０１５年  ６月１５日に出願された日本出願特願２０１５−１２００４７を基礎とする優先権を主張し、その開示の全てをここに取り込む。
【符号の説明】
【０１４６】
１０  情報処理装置
１１  プライバシー強度決定部
１２  残プライバシー強度記憶部
１３  パラメータ記憶部
９０  情報処理装置
９１  パーソナルデータ記憶部
９２  差分プライバシー処理部
６００  情報処理装置
６１０  ＣＰＵ
６２０  ＲＯＭ
６３０  ＲＡＭ
６４０  内部記憶装置
６５０  ＩＯＣ
６６０  入力機器
６７０  表示機器
６８０  ＮＩＣ
７００  記憶媒体
【図１】
2016203752.tif 000006
【図２】
2016203752.tif 000007
【図３】
2016203752.tif 000008
【図４】
2016203752.tif 000009
【図５】
2016203752.tif 000010
【図６】
2016203752.tif 000011
【図７】
2016203752.tif 000012
【図８】
2016203752.tif 000013
【図９】
2016203752.tif 000014
【図１０】
2016203752.tif 000015
【手続補正書】
【提出日】平成29年12月1日(2017.12.1)
【手続補正１】
【補正対象書類名】特許請求の範囲
【補正対象項目名】全文
【補正方法】変更
【補正の内容】
【特許請求の範囲】
【請求項１】
ε−差分プライバシーを保証するクエリ応答データ出版において総計として満足する総計プライバシー強度と、問い合わせに対応して決定されたプライバシー強度を設定後に残るプライバシー強度の合計である残プライバシー強度の変化の割合である残プライバシー割合とを記憶するパラメータ記憶手段と、
前記残プライバシー強度を記憶する残プライバシー強度記憶手段と、
前記残プライバシー割合と前記残プライバシー強度とを基に、問い合わせに対するプライバシー強度を決定するプライバシー強度決定手段と
を含む情報処理装置。
【請求項２】
前記プライバシー強度決定手段が、
決定した前記プライバシー強度を基に、前記残プライバシー強度を更新する
請求項１に記載の情報処理装置。
【請求項３】
前記プライバシー強度決定手段が、
前記残プライバシー割合を公比とする等比級列を用いて前記プライバシー強度を決定する
請求項１又は２に記載の情報処理装置。
【請求項４】
前記プライバシー強度決定手段が、
前記残プライバシー割合をα、ｉ−１番目の問い合わせ後の前記残プライバシー強度をε＊ｉ−１、及び、ｉ番目の問い合わせに対するプライバシー強度をεｉとしたとき、前記プライバシー強度εｉを次の数式１
［数式１］
εｉ＝（１−α）×ε＊ｉ−１
を用いて算出する
請求項１ないし３のいずれか１項に記載の情報処理装置。
【請求項５】
前記プライバシー強度決定手段が、
前記残プライバシー割合をα、ｉ−１番目の問い合わせ後の前記残プライバシー強度をε＊ｉ−１、及び、ｉ番目の前記残プライバシー強度をε＊ｉとしたとき、ｉ番目の前記残プライバシー強度ε＊ｉを次の数式２
［数式２］
ε＊ｉ＝α×ε＊ｉ−１
を用いて算出する
請求項１ないし４のいずれか１項に記載の情報処理装置。
【請求項６】
前記プライバシー強度決定手段が、
問い合わせを受ける前の前記残プライバシー強度を前記総計プライバシー強度とする
請求項１ないし５のいずれか１項に記載の情報処理装置。
【請求項７】
前記プライバシー強度決定手段が、
１回以上の問い合わせを受けた後の前記残プライバシー強度を前記総計プライバシー強度とする
請求項１ないし５のいずれか１項に記載の情報処理装置。
【請求項８】
ε−差分プライバシーを保証するクエリ応答データ出版において総計として満足する総計プライバシー強度と、問い合わせに対応して決定されたプライバシー強度を設定後に残るプライバシー強度の合計である残プライバシー強度の変化の割合である残プライバシー割合とを記憶し、
前記残プライバシー強度を記憶し、
前記残プライバシー割合と前記残プライバシー強度とを基に、問い合わせに対するプライバシー強度を決定する
情報処理方法。
【請求項９】
ε−差分プライバシーを保証するクエリ応答データ出版において総計として満足する総計プライバシー強度と、問い合わせに対応して決定されたプライバシー強度を設定後に残るプライバシー強度の合計である残プライバシー強度の変化の割合である残プライバシー割合とを記憶する処理と、
前記残プライバシー強度を記憶する処理と、
前記残プライバシー割合と前記残プライバシー強度とを基に、問い合わせに対するプライバシー強度を決定する処理と
をコンピュータに実行させるプログラム。
【手続補正３】
【補正対象書類名】明細書
【補正対象項目名】０００１
【補正方法】変更
【補正の内容】
【０００１】
本発明は、情報処理に関し、特に、個人に関する情報（個人情報、パーソナル情報、又は、プライバシー情報）を扱う情報処理装置、情報処理方法、及びプログラムに関する。
【手続補正４】
【補正対象書類名】明細書
【補正対象項目名】００４６
【補正方法】変更
【補正の内容】
【００４６】
本発明の目的は、上記問題点を解決し、予め問い合わせの回数を設定しなくてもε−差分プライバシーを保証するクエリ応答データ出版を処理できる情報処理装置、情報処理方法、及び、プログラムを提供することにある。
【手続補正５】
【補正対象書類名】明細書
【補正対象項目名】００４９
【補正方法】変更
【補正の内容】
【００４９】
本発明の一形態におけるプログラムは、ε−差分プライバシーを保証するクエリ応答データ出版において総計として満足する総計プライバシー強度と、問い合わせに対応して決定されたプライバシー強度を設定後に残るプライバシー強度の合計である残プライバシー強度の変化の割合である残プライバシー割合とを記憶する処理と、残プライバシー強度を記憶する処理と、残プライバシー割合と残プライバシー強度とを基に、問い合わせに対するプライバシー強度を決定する処理とをコンピュータに実行させる。
【国際調査報告】
2016203752.tif 000016
2016203752.tif 000017
2016203752.tif 000018
2016203752.tif 000019