(57)【要約】マイクロ・データの分析的な品質を維持しつつ、カテゴリ的なまたは連続的なマイクロ・データの統計的開示制限（ＳＤＬ）を確実にするための方法及びシステム。新しいＳＤＬ方法は、（１）情報を欠落するために、帰属を含む、幾つかの調整と一緒に、（国勢調査の代わりに）サンプルを取ることと、（２）未だ開示危険にある記録のための幾つかの調整と一緒に、オリジナル・データ・セットの代わりに、サブセットを公表することとの間の類似性を利用する。調査サンプリングは、国勢調査に比較して金銭的コストを減少するが、情報の幾つかの損失を伴う。同様に、サブセットを公表すれば、全データベースに比較して開示コストを減少するが、情報の幾つかの損失を伴う。従って、最適な調査サンプリング方法が統計的開示正弦のために用いられ得る。該方法は、データベースを、危険階層、最適な確率置換、最適な確率サブサンプリング、及び最適なサンプリング重み較正に区分けすることを含む。
2005537582.tif 000002
【特許請求の範囲】
【請求項１】
複数の記録を含むオリジナル・データベースの秘密及び分析的効用を保存する方法であって、
複数の記録を、複数の識別変数に基づいて、各々が少なくとも１つの記録を含む複数の危険階層に区分けする段階と、
複数の危険階層内の各危険階層ごとに唯一のものの発生のそれぞれの割合を決定する段階と、
を含む方法。
【請求項２】
区分けする段階は、
複数の識別変数のコアー・サブセットにおける各識別変数に対して唯一のデータ値を有する複数の記録におけるそれらの記録を含むコアー危険階層を決定する段階と、
複数の識別変数の選択されたサブセットであって、コアー・サブセットにおける各識別変数を含む該選択されたサブセットにおける各識別変数に対して唯一のデータ値を有する複数の記録におけるそれらの記録を含むさらなる危険階層を決定する段階と、
を含む請求項１に記載の方法。
【請求項３】
さらなる危険階層を決定する段階を繰返す段階をさらに含む請求項２に記載の方法。
【請求項４】
複数の識別変数のすべてに対して唯一のデータ値を有さない複数の記録におけるそれらの記録を含む残りの危険階層を決定する段階をさらに含む請求項２に記載の方法。
【請求項５】
低い分析的効用及び高い識別値を有する複数の識別変数における変数に関連したデータ値を、複数の記録において抑制する段階をさらに含む請求項１に記載の方法。
【請求項６】
複数の記録における唯一の記録の数を減少させるために、複数の識別変数の少なくとも１つのためのカテゴリ的変換を行なう段階をさらに含む請求項１に記載の方法。
【請求項７】
置換されたデータベースを創成するために複数の記録における少なくとも１つの記録における少なくとも１つのデータ値を置換する段階をさらに含む請求項１に記載の方法。
【請求項８】
置換されたデータベースから記録のサブサンプルを選択する段階をさらに含む請求項７に記載の方法。
【請求項９】
所定セットの変数に対して、サンプル重みの較正されたセットによって重み付けされた記録のサブサンプリングにおけるデータ値の合計が、オリジナル・データベースにおけるデータ値の合計と整合するように、記録のサブサンプルと関連したサンプリング重みのセットを較正する段階をさらに含む請求項８に記載の方法。
【請求項１０】
較正する段階は、
所定のセットの変数のための記録のサブサンプルにおけるデータ値の合計にかかる制約に従属する距離関数を最小化する段階
を含む請求項９に記載の方法。
【請求項１１】
記録のサブサンプルを選択する段階は、
複数の危険階層における各危険階層を、少なくとも１つの結果変数に基づいて少なくとも２つの下層に区分けする段階であって、それにより、各々が少なくとも１つの記録を含む複数の下層を形成する前記区分けする段階と、
複数の下層における各下層ごとにそれぞれのサブサンプリング確率を決定する段階と、
それぞれのサブサンプリング確率及び複数の下層に基づいて記録のサブサンプルを、置換されたデータベースから選択する段階と、
を含む請求項８に記載の方法。
【請求項１２】
それぞれのサブサンプリング確率を決定する段階は、
分散制約のセットに従属する開示コスト関数を最小化する段階を
を含む請求項１１に記載の方法。
【請求項１３】
置換する段階は、
複数の記録における各記録のためのパートナー記録を選択する段階と、
複数の危険階層における各危険階層を、少なくとも１つの結果変数に基づいて少なくとも２つの下層に区分けする段階であって、それにより、各々が少なくとも１つの記録を含む複数の下層を形成する前記区分けする段階と、
複数の下層における各下層のためのそれぞれの置換確率を決定する段階と、
複数の記録から選択された記録のサンプルにおける各記録内の複数の識別変数の少なくとも１つに関連したデータを置き換える段階であって、ここに、（１）記録のサンプルはそれぞれの置換確率に基づいて選択され、（２）置き換えられたデータは対応のパートナー記録から得られる、前記置き換える段階と、
を含む請求項７に記載の方法。
【請求項１４】
それぞれの置換確率を決定する段階は、
バイアス制約に従属する開示コスト関数を最小化する段階
を含む請求項１３に記載の方法。
【請求項１５】
パートナー記録を選択する段階は、
記録及び候補パートナー記録間の距離関数を複数の識別変数に対して最小化することにより、複数の記録における各記録ごとにパートナー記録を選択する段階
を含む請求項１３に記載の方法。
【請求項１６】
複数の危険階層における各危険階層を、少なくとも１つの結果変数に基づいて少なくとも２つの置換下層に区分けする段階であって、それにより、各々が少なくとも１つの記録を含む複数の置換下層を形成する前記区分けする段階と、
複数の危険階層における各危険階層を、少なくとも１つの結果変数に基づいて少なくとも２つのサブサンプリング下層に区分けする段階であって、それにより、各々が少なくとも１つの記録を含む複数のサブサンプリング下層を形成する前記区分けする段階と、
複数の置換下層における各置換下層ごとのそれぞれの置換確率を決定する段階と、
複数のサブサンプリング下層における各サブサンプリング下層ごとのそれぞれのサブサンプリング確率を決定する段階と、
複数の記録における各記録ごとのそれぞれの誤分類確率を決定する段階であって、各誤分類確率は、対応の記録が記録のサブサンプル内の唯一でないものの記録として誤分類される確率である、前記決定する段階と、
それぞれの置換確率、それぞれのサブサンプリング確率、それぞれの誤分類確率、及びそれぞれの唯一のものの発生割合を用いて開示危険の尺度を、複数の記録における各記録ごとに計算する段階と、
をさらに含む請求項１に記載の方法。
【請求項１７】
複数のサブサンプリング下層における各サブサンプリング下層ごとに、少なくとも１つの研究変数に対してそれぞれの平均を決定する段階と、
複数のサブサンプリング下層における各サブサンプリング下層ごとに、少なくとも１つの研究変数に対してそれぞれの分散を決定する段階と、
それぞれの置換確率、それぞれのサブサンプリング確率、それぞれの平均、及びそれぞれの分散を用いて、少なくとも１つの研究変数のための分析的効用の尺度を計算する段階と、
をさらに含む請求項１６に記載の方法。
【請求項１８】
複数の記録を含むデータベース内の少なくとも１つの記録における少なくとも１つのデータ値を置換する方法であって、
複数の記録における各記録ごとにパートナー記録を選択する段階と、
複数の記録を複数の識別変数に基づいて複数の危険階層に区分けする段階と、
を含む方法。
【請求項１９】
バイアス制約に従属する開示損失関数を最小化することによって、複数の危険階層における各危険階層ごとにそれぞれの置換確率を決定する段階と、
複数の記録から選択された記録のサンプルにおける各記録内の複数の識別変数の少なくとも１つに関連したデータを置き換える段階であって、ここに、（１）記録のサンプルはそれぞれの置換確率に基づいて選択され、（２）置き換えられたデータは対応のパートナー記録から得られる、前記置き換える段階と、
をさらに含む請求項１８に記載の方法。
【請求項２０】
複数の記録を含むデータベースから記録のサブサンプルを選択する方法であって、
複数の記録を、複数の識別変数に基づいて複数の危険階層に区分けする段階と、
分散制約に従属する開示損失関数を最小化することによって複数の危険階層における各危険階層ごとにそれぞれのサブサンプリング確率を決定する段階と、
を含む方法。
【請求項２１】
複数の危険階層及びそれぞれのサブサンプリング確率に基づいて記録のサブサンプルを複数の記録から選択する段階をさらに含む請求項２０に記載の方法。
【請求項２２】
請求項１乃至２１のいずれかに記載のステップを行なうことによって複数の記録からなるオリジナル・データベースの秘密及び分析的効用を保存するよう構成されたシステム。
【請求項２３】
コンピュータによって実行されるとき、コンピュータに請求項１乃至２１のいずれかに記載のステップを行なわせる複数のコンピュータ・プログラム命令を記憶するよう構成されたコンピュータ・プログラム・プロダクト。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、概して、オリジナル・データベースの秘密及び分析的な有用性もしくは効用を保護しつつ公共の使用のための開示処理されるデータベースを創成するための方法及びシステムに関する。
【０００２】
本発明は、刊行物の著者及び年によって以下の「参考文献のリスト」内で識別されている参考文献を参照して記載される種々の技術の使用を含み、該参考文献は、それぞれの参考文献の括弧［］内のそれぞれの番号を参照して明細書全体を通して相互参照される。
【０００３】
「参考文献のリスト」
［１］Ｃｏｘ，Ｌ．（１９８０）「抑制方法及び統計的開示制御」、ＪＡＳＡ，７５：３７７−３８５
【０００４】
［２］Ｃｏｘ，Ｌ．Ｈ．（１９９６）「小さい集団の健康及び環境統計における秘密の保護」Ｓｔａｔｉｓｔｉｃｓ  ｉｎ  Ｍｅｄｉｃｉｎｅ，１５：１８９５−１９０５
【０００５】
［３］Ｄｏｙｌｅ，Ｐ．，Ｌａｎｅ，Ｊ．Ｉ．，Ｔｈｅｅｕｗｅｓ，Ｊ．Ｊ．Ｍ．，及びＺａｙａｔｚ，Ｌ．，ｅｄｓ．（２００１）  「秘密、開示、及びデータ・アクセス」Ｎｏｒｔｈ−Ｈｏｌｌａｎｄ：Ｅｌｓｅｖｉｅｒ
【０００６】
［４］Ｄｕｎｃａｎ，Ｇ．Ｔ．及びＬａｍｂｅｒｔ，Ｄ．（１９８９）「マイクロデータに対する開示（発覚もしくは暴露）の危険」Ｊｏｕｒｎａｌ  ｏｆ  Ｂｕｓｉｎｅｓｓ  ａｎｄ  Ｅｃｏｎｏｍｉｃ  Ｓｔａｔｉｓｔｉｃｓ，７：２０７−２１７
【０００７】
［５］Ｆｅｄｅｒａｌ  Ｃｏｍｍｉｔｔｅｅ  ｏｎ  Ｓｔａｔｉｓｔｉｃａｌ  Ｍｅｔｈｏｄｏｌｏｇｙ（１９７８）「統計的開示及び開示回避技術に関する報告」Ｓｔａｔｉｓｔｉｃａｌ  Ｐｏｌｉｃｙ  ｗｏｒｋｉｎｇ  ｐａｐｅｒ  ２，ＵＳ  Ｏｆｆｉｃｅ  ｏｆ  Ｍａｎａｇｅｍｅｎｔ  ａｎｄ  Ｂｕｄｇｅｔ，Ｗａｓｈｉｎｇｔｏｎ，ＤＣ
【０００８】
［６］Ｆｅｄｅｒａｌ  Ｃｏｍｍｉｔｔｅｅ  ｏｎ  Ｓｔａｔｉｓｔｉｃａｌ  Ｍｅｔｈｏｄｏｌｏｇｙ（１９９４）「統計的開示制限方法に関する報告」Ｓｔａｔｉｓｔｉｃａｌ  Ｐｏｌｉｃｙ  ｗｏｒｋｉｎｇ  ｐａｐｅｒ  ２２，ＵＳ  Ｏｆｆｉｃｅ  ｏｆ  Ｍａｎａｇｅｍｅｎｔ  ａｎｄ  Ｂｕｄｇｅｔ，Ｗａｓｈｉｎｇｔｏｎ，ＤＣ
【０００９】
［７］Ｆｏｌｓｏｍ，Ｒ．Ｅ．Ｊｒ．，及びＳｉｎｇｈ，Ａ．Ｃ．（２０００）「非応答、後階層化、及び極端な重み調整に対する統合化された方法のためのサンプリング重み較正の一般化された指数関数的なモデル」Ｐｒｏｃｅｅｄｉｎｇｓ  ｏｆ  ｔｈｅ  Ａｍｅｒｉｃａｎ  Ｓｔａｔｉｓｔｉｃａｌ  Ａｓｓｏｃｉａｔｉｏｎ，Ｓｅｃｔｉｏｎ  ｏｎ  Ｓｕｒｖｅｙ  Ｒｅｓｅａｒｃｈ  Ｍｅｔｈｏｄｓ，５９８−６０３
【００１０】
［８］Ｆｕｌｌｅｒ，Ｗ．Ａ．（１９９３）「マイクロデータ開示制限のためのマスキング手順」ＪＯＳ，９：３８３−４０６
【００１１】
［９］Ｈｕｎｄｅｐｏｏｌ，Ａ．，及びＷｉｌｌｅｎｂｏｒｇ，Ｌ．（１９９９）「ＡＲＧＵＳ：ＳＤＣプロジェクトからのソフトウェア」Ｐｒｅｓｅｎｔｅｄ  ａｔ  ｔｈｅ  ｊｏｉｎｔ  ＥＣＥ／Ｅｕｒｏｓｔａｔ  Ｗｏｒｋ  Ｓｅｓｓｉｏｎ  ｏｎ  Ｓｔａｔｉｓｔｉｃａｌ  Ｄａｔａ  Ｃｏｎｆｉｄｅｎｔｉａｌｉｔｙ，Ｔｈｅｓｓａｌｏｎｉｋｉ，Ｇｒｅｅｃｅ，Ｗｏｒｋｉｎｇ  Ｐａｐｅｒ  ７
【００１２】
［１０］Ｊｅｗｅｔｔ，Ｒ．（１９９３）  「１９９２年の経済的国勢調査のための開示分析」（公表されない原稿）  Ｗａｓｈｉｎｇｔｏｎ，ＤＣ：Ｅｃｏｎｏｍｉｃ  Ｐｒｏｇｒａｍｍｉｎｇ  Ｄｉｖｉｓｉｏｎ，Ｕ．Ｓ．Ｂｕｒｅａｕ  ｏｆ  ｔｈｅ  Ｃｅｎｓｕｓ
【００１３】
［１１］Ｋｅｎｎｉｃｋｅｌｌ，Ａ．Ｂ．（１９９８）「消費者の財政の調査における多数インピュテーション」ＡＳＡ  Ｐｒｏｃｅｅｄｉｎｇｓ，Ｄａｌｌａｓ
【００１４】
［１２］Ｌａｍｂｅｒｔ，Ｄ．（１９９３）「開示危険及び損害の測定」Ｊｏｕｒｎａｌ  ｏｆ  Ｏｆｆｉｃｉａｌ  Ｓｔａｔｉｓｔｉｃｓ，９：３１３−３３１
【００１５】
［１３］Ｌｉｔｔｌｅ，Ｒ．Ｊ．（１９９３）  「マスキングされたデータの統計的分析」ＪＯＳ，９：４０７−４２６
【００１６】
［１４］Ｎｏｒｄｈｏｌｔ，Ｅ．Ｓ．（１９９９）「統計的オランダ雇用者及び収入データに関する統計的開示制御」Ｐｒｅｓｅｎｔｅｄ  ａｔ  ｔｈｅ  ｊｏｉｎｔ  ＥＣＥ／Ｅｕｒｏｓｔａｔ  Ｗｏｒｋ  Ｓｅｓｓｉｏｎ  ｏｎ  Ｓｔａｔｉｓｔｉｃａｌ  Ｄａｔａ  Ｃｏｎｆｉｄｅｎｔｉａｌｉｔｙ，Ｔｈｅｓｓａｌｏｎｉｋｉ，Ｇｒｅｅｃｅ，Ｗｏｒｋｉｎｇ  Ｐａｐｅｒ  ２
【００１７】
［１５］Ｒａｏ，Ｃ．Ｒ．（１９８２）「ダイバーシチ：その測定、分解、分配、及び分析」Ｓａｎｋｈｙａ：Ｉｎｄｉａｎ  ｊｏｕｒｎａｌ  ｏｆ  Ｓｔａｔｉｓｔｉｃｓ，  Ｓｅｒ  Ａ，４４：１−２２
【００１８】
［１６］Ｒｅｉｔｅｒ，Ｊ．（２００１）「開示制限を満足させるための合成データ・セットの使用」ＦＣＳＭ  ｐｒｏｃｅｅｄｉｎｇｓ  （Ｔｈｕｒｓｄａｙ，  Ａ  Ｓｅｓｓｉｏｎｓ）１１−１９
【００１９】
［１７］Ｒｏｂｅｒｔｓｏｎ，Ｄ．（１９９３）「統計カナダにおけるセルの抑制」Ｐｒｏｃｅｅｄｉｎｇｓ  ｏｆ  ｔｈｅ  １９９３  Ａｎｎｕａｌ  Ｒｅｓｅａｒｃｈ  Ｃｏｎｆｅｒｅｎｃｅ，Ｕ．Ｓ．Ｂｕｒｅａｕ  ｏｆ  ｔｈｅ  Ｃｅｎｓｕｓ，１０７−１３１
【００２０】
［１８］Ｒｕｂｉｎ，Ｄ．Ｂ．（１９９３）「統計的開示制限の論議」Ｊｏｕｒｎａｌ  ｏｆ  Ｏｆｆｉｃｉａｌ  Ｓｔａｔｉｓｔｉｃｓ，９：４６１−４６８
【００２１】
［１９］Ｓａｎｄｅ，Ｇ．（１９８４）「ビジネス統計の秘密を保存するための自動セル抑制」Ｓｔａｔｉｓｔｉｃａｌ  Ｊｏｕｒｎａｌ  ｏｆ  ｔｈｅ  Ｕｎｉｔｅｄ  Ｎａｔｉｏｎｓ  ＥＣＥ，２：３３−４１
【００２２】
［２０］Ｓｃｈａｆｅｒ，Ｊ．Ｌ，Ｋｈａｒｅ，Ｍ．，及びＥｚｚａｔｉ−Ｒｉｃｅ，Ｔ．Ｍ．（１９９３）「ＮＨＡＮＥＳＩＩＩにおける欠落データの多数インピュテーション」Ｐｒｏｃ．ＡＲＣ，Ｂｕｒｅａｕ  ｏｆ  ｔｈｅ  Ｃｅｎｓｕｓ，４５９−４８７
【００２３】
［２１］Ｓｉｎｇｈ，Ａ．Ｃ．及びＲ．Ｅ．Ｆｏｌｓｏｍ，Ｊｒ．（２０００）「後階層のために調整された分散推定のためのバイアス修正推定関数方法」Ｐｒｏｃｅｅｄｉｎｇｓ  ｏｆ  ｔｈｅ  Ａｍｅｒｉｃａｎ  Ｓｔａｔｉｓｔｉｃａｌ  Ａｓｓｏｃｉａｔｉｏｎ，Ｓｅｃｔｉｏｎ  ｏｎ  Ｓｕｒｖｅｙ  Ｒｅｓｅａｒｃｈ  Ｍｅｔｈｏｄｓ，６１０−６１５
【００２４】
［２２］Ｓｋｉｎｎｅｒ，Ｃ．Ｊ．及びＨｏｌｍｅｓ，Ｄ．Ｊ．（１９９８）「マイクロデータにおける記録ごとの再識別危険の推定」Ｊｏｕｒｎａｌ  ｏｆ  Ｏｆｆｉｃｉａｌ  Ｓｔａｔｉｓｔｉｃｓ，１４：３６１−３７２
【００２５】
［２３］Ｚａｓｌａｖｓｋｙ，Ａ．Ｍ．及びＨｏｒｔｏｎ，Ｎ．Ｊ．（１９９８）「非公開の損失に対する開示危険の平衡」Ｊｏｕｒｎａｌ  ｏｆ  Ｏｆｆｉｃｉａｌ  Ｓｔａｔｉｓｔｉｃｓ，１４：４１１−４１９
【００２６】
この「参考文献のリスト」にリストアップされた各参考文献の全内容は、参照によりここに組込まれる。
【背景技術】
【００２７】
しばしば、関連の個人に対する明示的な秘密協定の下に、多量のマイクロ・データが政府及び私的機関によって収集される。このようなマイクロ・データの秘密を保護することの問題は、数十年間の間、重要となってきており、このことは、例えば、統計方法に関する米国連邦委員会の２つの報告（１９７８、１９９４）［参考文献のリスト５、６］、もっぱら秘密保護に充てられた公式の統計学の学術誌の２つの問題（１９９３、１９９８）、殆どすべての主な統計学会議でのこの主題に関する最近の活動の顕著性、及びこの話題に関する幾つかの専用の会議（最も最近のものは、２００２年の１月にあり、Ｄｏｙｌｅ等によって編集された本の中の論文［参考文献のリスト３］から成る）によって反映されている。
【００２８】
開示制限に対する単純な方法は、例えば、名前、住所、誕生日、電話番号、及び社会保障番号等の個人識別子のデータを取り去ることから成る。それらの変数は、分析用の値を殆どまたは全く持たない詳細情報を含む。このような処理は必要だけれども、適切なものからほど遠い。個人データは、運転免許証、投票者登録情報、車両の免許証、固定資産税の記録、逮捕記録、及び政治献金のような広い範囲の情報源から入手可能なので、マーケティング担当者は、データを見つけ、検索し、そして相互参照するためのソフトウェアを用いて、これらの情報源を、詳細な消費者のプロフィールと共にメーリング・リストに容易に編集することができる。プロフィールは、侵入者が、独特のプロフィールまたは共分散特性を有する目標データベース記録を暴くために整合させることができる外部ファイルとして用いられ得る。このような筋書きにおいては、侵入者は、まず、独特の記録を識別するためにマイクロ・データを見、次に、それらを暴くもしくは明らかにすることを試みる。別の筋書きにおいては、侵入者（例えば、保険業者）が、個人識別子並びに顧客の詳細プロフィールを既に知っている。この場合には、侵入者は、個人を暴露するために外部の整合（一致判定）ファイルを必要としない。目的は、マイクロ・データから秘密情報を引き出すことだけである。この筋書きにおいては、最初のものとは違って、侵入者は、先ず、目標記録を見付け、次に、マイクロ・データを見る。
【００２９】
データ製造者は、マイクロレベルのデータを、例えば、研究者及び科学的追跡に従事する政策アナリスト等の使用者に公表するための一定の圧力下にいる。しかしながら、データの提供者が信用を失うにはただ１つの発覚を必要とするだけであることに注意すべきである。明らかに、侵入者に対して保護することは非常に重要である。上述した発覚の筋書きによれば、外部の侵入者と内部の侵入者との２つの型の侵入者がいる。外部の侵入者は、彼または彼女が目標について良くは精通していないので、目標がデータ内にあるかどうかを知らないが、特性を識別する制限されたまたは“コア−・セット”を知っている者である。外部の侵入者は、他の必要とされる個人識別子を見つけるために、外部のファイルと整合させることを試みる。ここで、目標記録は、侵入者が、変数を識別するコア−・セットに対してデータベース内に独特のプロフィールを有していると信じているデータベース記録である。内部の侵入者は、目標がデータ内に存在するということを知っており、彼がコア−のものに加えて、特性を識別する他の非コア−をも知っており得るという点において、目標に良く精通しているかもしれない者である。ここに、“コア−”とは、侵入者が見つけ出すのに比較的容易なそれらの識別変数を意味し、他方、非コア−識別変数は、得るのに一層困難である。
【００３０】
Ｃｏｘ［２］に続いて、秘密を保護するための方法は、（１）データ略語（抑制及びサブサンプリングのような）、（２）データ集合（記録及びマイクロ平均のような）、（３）データ変更（ランダム・ラウンディング及び追加のランダム・ノイズのような）、そして（４）データ製造（データ交換及びインピューテーションのような）として分類され得る。これらの方法は、しばしば、互いと共に用いられる。上述の秘密保護手順は、２つの主なカテゴリー：すなわち、サブサンプリング（二段抽出法）及び置換に広く分類され得る。その理由は、サブサンプリングが、一般的な意味においてデータ抑制の形態であり、他方、置換は、データ摂動の形態であるということである。公共使用のファイル（ＰＵＦ）を生成するためのこれらの技術に基づく幾つかの良く知られたソフトウェア・プログラムは、（１）Ｃｏｘ（１９８０）及びＪｅｗｅｔｔ［１０］によって開発された米国国勢調査局のＩＮＴＲＡ、（２）Ｓａｎｄｅ［１９］によって開発され、Ｒｏｂｅｒｔｓｏｎ［１７］によってさらに議論された統計カナダのＣＯＮＦＩＤ、及び（３）Ｈｕｎｄｅｎｐｏｏｌ及びＷｉｌｌｅｎｂｏｒｇ［９］による統計オランダのＡｒｇｕｓ−Ｔａｕ並びにＮｏｒｄｈｏｌｔ［１４］によるＡｕｇｕｓ−Ｍｕの最近の追加である。
【００３１】
統計的開示（発覚）制限の現存する方法は、幾つかの制限を有する。これらの方法のほとんどにおいて、（識別変数のコア−・セットに対して定義された）すべての独特の記録は、変数のコア−・セットを置き換えることによって処理される。この方法での固有の問題は、コアー・セットが、侵入者から侵入者に変化し得るということである。さらに、データベースがサブセットである集団の特性が代表的には未知であるので、発覚の危険性の程度を限定することは困難である。確率モデル仮定に基づく幾つかの試みが、Ｄｕｎｃａｎ及びＬａｍｂｅｒｔ［４］、Ｌａｍｂｅｒｔ［１２］、Ｓｋｉｎｎｅｒ及びＨｏｌｍｅｓ［２２］、並びにＺａｓｌａｖｓｋｙ及びＨｏｒｔｏｎ［２３］によって為されてきた。さらに、このような発覚が処理されるデータの分析は、全く挑戦的かつ非標準的なものとなっている。種々の処理方法での分析に対しては、例えば、Ｆｕｌｌｅｒ［８］及びＬｉｔｔｌｅ［１３］を参照されたし。
【００３２】
代替的な現存の発覚処理方法は、代表的には敏感な結果変数のみに対して、合成データを生成することから成る。非合成データ方法の場合においては、（任意の敏感結果変数を含む必要はない）識別変数だけが置き換えられることに注意されたし。合成データは、（独特または非独特の記録に対して）データベース内におけるすべての敏感結果変数が処理されるので、発覚に対して最高の保護を、ほぼ間違いなく提供する。このことは、Ｒｕｂｉｎ［１８］によって示唆された複数インピュテーションのＢａｙｅｓｉａｎ技術を用いて共分散及び全ての敏感結果変数の仮定された同時確率分布から新しいデータベースを発生することにより達成される。Ｓｃｈａｆｅｒ等［２０］、Ｋｅｎｎｉｃｋｅｌｌ［１１］、及びＲｅｉｔｅｒ［１６］も参照されたし。多様に帰属させられたデータでの分析の既知の方法は、このように発覚処理されたデータを分析するために用いられ得る。概念的かつ理論的には、この方法は、魅力的に見える。しかしながら、非常に多くの変数を結合的にモデル化することは、計算的にほとんど不可能であり得ると言うことが良く知られている。また、制限された数のパラメータだけを適切な精度でもって適合させることができるだけであるので、変数間の複雑な関係を獲得することが不可能である。さらに、実際のデータが収集された場合、合成データを公表することにおけるユーザの不信に関する何よりも大事な問題がある。
【発明の開示】
【発明が解決しようとする課題】
【００３３】
従って、本発明の目的は、オリジナル・データベースの秘密及び分析的効用の双方を保護するための方法、システム及びコンピュータ・プログラム・プロダクトを提供することである。
【００３４】
本発明のもう１つの目的は、オリジナル・データベースの秘密及び分析的効用の双方を保護するために、確率的データ置換を行なうための最適な方法を提供することである。
【００３５】
本発明のさらなる目的は、オリジナル・データベースの秘密及び分析的効用の双方を保護するために、確率的データベース・サブサンプリングを行なうための最適な方法を提供することである。
【課題を解決するための手段】
【００３６】
本発明の重要な態様は、非合成の発覚制限方法の使用である。このため、本発明は、データの分析的効用に対して秘密を平衡させるための固有の最適条件の考察を含む。本発明は、統計学的開示制限の新しい公式化の下にデータの秘密及び分析的効用の双方を保護するための実際的な方法を提供する。
【００３７】
本発明のもう１つの重要な態様は、オリジナル・データベースを国勢調査として観察することにより、そして公用のためにサブサンプルだけを解放もしくは公表することにより、開示危険（またはコスト）を定義するための新しいパラダイムを用いることである。この方法で、データベースの分析的公用を維持しつつ、解放されるサブサンプルまたは公用ファイル（ＰＵＦ）における（オリジナル・データベース内の）危険な記録の存在に関して充分な不確かさがもたらされる。
【００３８】
上述及び他の目的を扱うために、本発明は、以下のステップを含む方法を提供する。すなわち、（１）危険階層を定義するために記録をグループ化すること、並びにサンプルの唯一のものの数をチェックして減少させることを含む、マイクロアグロメレーションのステップ、（２）データベースの唯一のものに関するが、しかしまた目標の既知の存在にも関する不確かさを導入するための、帰属もしくは転嫁（インピュテーション）を介しての確率置換のステップ、（３）目標の既知の存在に関するが、しかしまたデータベースの唯一のものにも冠する不確かさを導入するための、確率サブサンプリングのステップ、そして（４）サブサンプリングに起因する分散インフレーション及び置換に起因するバイアスを減少するための、較正のステップ、を含む方法を提供する。プロセスの終りで、開示処理の妥当性及び分析的効用を評価するための診断測定を含む固有のチェックがある。それらのステップは、結果が妥当であると見なされるまで、修正された仕様で繰返され得る。
【００３９】
本発明の方法は、未知の集団の唯一のものに対して保護する伝統的な目的とは対照をなす、既知のデータベースの唯一のものに対して保護する慎重な目的を用いる。換言すれば、本発明においては、データベースにおける目標の存在を知っている内部の侵入者に対しての保護が追及される。このことは、次に、データベースにおける目標の存在を知らない外部の侵入者に対しても保護する。この構成は、集団に関する強いモデル化の仮定を必要とする伝統的な方法とは異なって、データの効用及び秘密の保護を実証的に定量化することを実現可能にする。
【００４０】
特に、データの効用（ε）及び秘密（δ）の革新的な尺度が定義されて分析され得る。従って、性能の目的は、幾つかのキー結果変数の（オリジナル・データベースから得られたパラメータの本当の値に対する）二乗平均平方根誤差が多くともεであり、他方、（オリジナル・データベースに与えられる識別変数のセットに対する）唯一のものの再識別の確率が多くともδであるということであり得る。再識別の確率は、４つの量の積として定義される、すなわち、唯一のものの発生確率もしくは割合、非置換確率、サンプル含有確率、及び唯一のものを正しく分類する確率の積として定義される。さらに、開示処理は、確率置換（欠落データのための帰属もしくは転嫁（インピュテーション）に類似している置換）及び確率サブサンプリングを伴うので、ＳＵＤＡＡＮのような調査データのための標準のソフトウェア・パッケージが、処理されたデータ・セットを分析するために用いられ得る。
【００４１】
本発明の一層完全な理解及びその多くの付随の長所は、添付図面と共に考察するとき、以下の詳細な説明を参照することによって一層良く理解されるであろう。
【発明を実施するための最良の形態】
【００４２】
本発明は、オリジナル・データベースの秘密及び分析的効用の双方を保護しつつ、開示処理される公用ファイルを創成するためのデータ・プライバシー技術においては、その種類の第１級のものであると信じられるものであり、カテゴリー的及び連続的データの双方に適用可能なものである。好適な方法は、（１）データベースの統計的開示制限、（２）開示処理されるデータの分析的効用の保存、及び（３）開示処理の適切さのアセスメント、の原理の革新的な公式化の上に作られる。本発明で用いられる原理は、幾つかの理由で革新的である。
【００４３】
第１に、好適な方法は、有限な集団からのサンプリングと、データベースからの記録の公表との間の類似性を利用する。高い金銭コストに起因して、国勢調査ではないサンプルが試みられるということに注意されたし。同様に、高い開示リスクまたはコストに起因して、全データ・セットではないサンプルだけが公表される。従って、オリジナル・データベースは、国勢調査として考慮され得、そして、サブサンプルだけがＰＵＦに解放もしくは公表され得る。この方法で、オリジナル・データベースにおける既知の危険な記録の存在に関する制御された不確かさの量がサブサンプル内に導入され得る。この不確かさは、サブサンプリングの前に、記録のランダムに選択されたサブセットを、識別変数の値に置き換えることによって増加され得る（調査サンプリングにおける項目を欠落させるために帰属させることに類似している）。不確かさを導入することは、２つの型の侵入者：内部及び外部、に対して保護する。（内部の侵入者の目標は、データベース内に存在することを知られており、他方、外部の侵入者の目標は、データベース内に存在するということを知られていないが、普通でないまたは独特であると信じられる。）すべての危険な記録を処理することなしに充分な不確かさを導入することのアイデアは、全体として公衆及びユーザによる認識の幾つかの発展をおそらく必要とするであろう統計的開示制限における新しいパラダイムを導入するということに注意されたし。
【００４４】
第２に、好適な方法は、記録のランダムに選択されたサブセットをサンプリング・アウトすることにより、主に、目標の既知の存在に関するが、またデータベースの独自性にも関する不確かさを導入するためにサブサンプリングのための確率選択のアイデアを援用する。各記録は、サンプリング・アウトされる正の確率を有する。好適な方法は、また、データベースの独自性に主に関するが、また、目標の既知の存在にも関する不確かさを導入するために、サブサンプリングの前に、（帰属もしくは転嫁を介して）置換のための確率をベースにした選択のアイデアをも援用する。識別変数の値だけが、欠測値の帰属の一般に用いられる方法によって置換される。各記録は、置換のために選択される正の確率を有するが、ランダムに選択されたサブセットだけが置換によって処理されるということに注意されたし。置換のための独自性の１００％選択は、データベースにおける独自性の部分も高い状況において高いバイアスをもたらし得るので、不合理であるということにも注意されたし。
【００４５】
第３に、好適な方法の基本的な主題は、オリジナル・データベースの置換及びサブサンプリングのための確率をベースにした選択方法が、統計的開示制限における信頼性を確実にするという目標から当然に生じるということである。確率をベースにした選択に対し、本発明は、調査サンプリングにおける当該技術状態における方法を修正している。それは、調査サンプリングの幾つかの基本的な原理、例えば、（１）置換のために選択された（従って、欠落として処理された）記録のための項目帰属、（２）変形及びバイアス（すなわち、ＭＳＥ−平均二乗誤差）制約を受ける発覚の危険性を最小にするための最適なサンプル設計、そして（３）オリジナル・データから知られているキー変数全制約を再生するための最適重み較正、を適合させる。上述の最適化ステップで用いられる制約は、処理されるデータ・セットの分析的効用に関する制御を提供する。
【００４６】
普通の開示制限の慣行において、１つは、集団の唯一のものであっても良いデータベース内の（コア−識別変数に対して）唯一のものと主に関係する。外部の侵入者が目標とするかも知れないのは、正にこれらの唯一のものである。データベースがサンプルである場合には、これは、集団の唯一のものであるサンプルの独自のものに関する不確かさを自動的に導入する。しかしながら、一般に、サンプルの唯一のものが集団の唯一のものであるか否かを確認するのは困難である。保守的な慣行は、全てのサンプルの唯一のもの（または独自のもの）を処理することであり得、それらを、コアー識別変数上の類似のプロフィールでドナー記録からの値を置換することによって、唯一でないものまたは擬似的に唯一のもののいずれかにすることであり得る（すなわち、それらはもはや元の唯一のものではないが、処理されたサブサンプルにおいてそう見える）。置換の後、幾つかの値は、ドナーが同じ値を有し得るので変化しないかも知れないということに注意されたし。しかしながら、かなりの数の唯一のものを有するデータベースにとって、全ての唯一のものに対する置換は、バイアスに起因して、データ品質を減少し得る。代わりに、好適な方法は、確率の置換、すなわち、置換のための記録の確率をベースにした選択を用い、それは、多すぎるバイアスを導入することなく唯一のものに関する充分な不確かさを導入するものと予想される。換言すれば、侵入者は、確率の置換の後の唯一のものが、元の唯一のものまたは擬似の唯一のものであるかどうかを知らないであろう。
【００４７】
しかしながら、さらなる問題がある。何人かの外部の侵入者は、また、追加の識別変数に関する、すなわち、非コア−変数の幾つかに関する情報を有しているかも知れない。この場合、コア−識別変数に対する唯一でないものは、コア−及び幾つかの非コア−変数に対する唯一のものに成り得、従って、初期に識別された唯一のものに対する上述の確率をベースにした置換を用いては保護されない。この問題を扱うために、好適な方法は、識別変数の異なった組：コア−、コア−と１つの非コア−、コア−と２つの非コア−、等、を用いて唯一のものを層に配列する。各階層は、先の階層には含まれていなかった新しい唯一のもの（または独自のもの）から成る。非コア−識別変数は、第１に、これらの変数を得る際に侵入者の認知された困難性の増加する程度においてランク付けされる。そのように形成された階層にとって、唯一のものに対する発覚の危険性は、より少ない識別変数に対する唯一のものが、より多い識別変数に対する唯一のものよりも一層多い危険性を提起するので、減少する程度にあるものとみなされる。上述の階層は、“危険階層”と称され、そして各危険階層内で確率置換が行なわれる。追加の保護に対して、好適な方法は、確率的な置換の後に確率をベースにした選択を用いてデータベースをサブサンプリングする。処理されたデータベースにおける唯一のものの全ては、オリジナルの唯一でないものが、置換またはサブサンプリングに起因して擬似の唯一のものに成り得るか、またはオリジナルの唯一のものが置換に起因して擬似の唯一のものに成り得るので、擬似の唯一のものである機会を有するということに注意されたし。
【００４８】
もう１つの問題は、代表的にはコア−及び非コア−の双方の識別変数を知っているかも知れない内部の侵入者が、データベースの唯一のもの（今はコア−及び非コア−に対して定義される）である記録を目標とするだけでなく、唯一のものでない記録をもターゲットにするかも知れないが、敏感結果変数の共通の値を有するかも知れないということである。内部の侵入者の場合においては、データベースにおける記録の高い部分がコア−及び非コア−識別変数に対して唯一のものであるかも知れないので、多すぎるバイアスを導入することなしで、置換を介してそれらを唯一のものでないものにすることは、実際的ではないことが明瞭である。しかしながら、上述した確率のサブサンプリングでもって、唯一のものとしてまたは唯一でないものとしてのいずれかでターゲットの存在に関する不確かさの合理的な量を導入することができる。さらに、サブサンプリングの前の確率の置換でもって、幾つかの唯一のものが置換の後に唯一でないものに変換され得るので、唯一でないものが結果変数の共通の値を有することを一層困難にするという理由で、さらなる不確かさが追加され得る。
【００４９】
本発明は上で説明した問題の各々を扱うものである。全体のデータベース（唯一のもののサブセットだけではない）からの確率サブサンプリングは、全ての記録（唯一のもの及び唯一のものでないもの）がサンプリング・アウトされた正の確率を必要としないという理由で必要とされることに注意されたし。また、置換において、これらの変数に関する類似のプロフィールを有したドナーからのコア−及び非コア−の識別変数の値は、置換される。
【００５０】
本発明を説明するに際し、調査サンプリングを有したデータベースからの記録を解放もしくは公表することの類似性を心に留めることが有用である。この点に関して、前調査の動作は、代表的には、フレーム構成、調査設計及びサンプリング率を見つけるための金銭的なコストの可変性の最適化を含むということが留意される。後調査の動作は、編集及び帰属（置換として観察され得る）、単位非応答のための調整、並びに後階層化または較正を介した包括誤差のための調整を含む。
【００５１】
さて、図を参照すると、同様の参照数字は、幾つかの図を通して同じまたは対応の部品を指し示し、特に図１に対して、本発明の方法における好適なステップが示されている。
【００５２】
ステップ１０１において、危険階層を創成するために、抑制及びカテゴリー変換を用いてデータベース内における唯一のものの記録の数を最適に減らすために、及び各危険階層のための唯一のものの発生の割合を計算するために、マイクロアグロメレーションが行なわれる。唯一のものの記録の数は、最適に減らされ、それにより、処理目標を達成するために最小のカテゴリー変換がある。
【００５３】
ステップ１０２において、各危険階層は、下層もしくは基層に分割もしくは区分化され、そして確率的データベース置換が、各下層のための最適の置換確率を用いて行なわれる。
【００５４】
ステップ１０３において、各危険階層は、下層もしくは基層に分割もしくは区分化され、そして確率的サブサンプリングが、各下層のための最適のサブサンプリング確率を用いて行なわれる。
【００５５】
ステップ１０４において、サンプリング重み較正（後階層化に対して）が、オリジナル・データベース内の或るキー変数の全数を再生するために用いられる。較正ステップ１０４は、最適に行なわれ、それにより、サブサンプリングの後に得られるサンプリング重みと、最終較正された重みとの間の適切な距離関数が最小化され、それにより、キー変数の全数に対応する種々の均等制約が満足される。以下に一層詳細に、最適な較正を説明する。
【００５６】
ステップ１０５において、処理されたデータベースの発覚の危険性及び分析的用途は、種々の診断量の計算を通して評価される。第１に、外部及び内部の侵入者について開示制限の革新的な公式化が、分析的効用を維持しつつ充分な不確かさを導入するために、確率的置換及びサンプリングの双方の必要性を立証することに注意されたし。置換及びサブサンプリングのための確率をベースにした選択の重要な副産物は、データの秘密及び分析的効用を保護することにおける処理の成功を測定するための量的診断が、好適な方法の部分として得られる、ということである。一層詳細には、好適な方法は、マイクロアグロメレーション、置換及びサブサンプリングのステップにおける秘密を保護する新しい公式を用い、そして置換、サブサンプリング及び較正のステップにおける開示処理されたデータの分析的効用を維持する新しい公式を用いる。ステップ１０５は、図５を参照して以下に一層詳細に説明される。
【００５７】
ステップ１０６において、計算された処理診断は、所定の処理目標に対して検査される。以下に一層詳細に説明する表２（ａ）〜２（ｄ）は、開示処理の適切さを調査するために用いられる診断対策を要約している。もし、所定の処理目標が満足されなかったならば、ステップ１０１−１０５が繰り返される。分析的効用に対する診断の部分として、上述の較正ステップ１０４において、サブサンプルからの較正制御として用いられる結果変数のための較正された推定値が全サンプルからのものと整合すべきであるということが留意されるべきである。最後に、好適な方法は、各ステップの処理結果が処理目標に対して評価され得るという相互作用的な態様で履行され得る。
【００５８】
図２は、マイクロ・アグロメレーションのステップを示す。ステップ２０１において記録のコアー危険階層は、識別変数のコア−・サブセットに基づいて形成される。コアー危険階層における記録は、各々、識別変数のコアー・サブセットに対する識別データ値のただ１つのもののセットを有する。
【００５９】
次に、ステップ２０２において、さらなる危険階層が、識別変数のコアー・セット及び追加の非コアー識別変数を用いて形成される。
【００６０】
ステップ２０３は、全ての識別変数が、さらなる危険ストラタを形成するために用いられてきたか否かを検査する。もし、用いられてきていないならば、ステップ２０２は、コアー・サブセットを常に含む識別変数の異なったセットで繰り返される。代表的には、１つの新しい非コアー識別変数が、ステップ２０２が行なわれるごとに追加される。
【００６１】
ステップ２０４において、すべての非コアー識別変数が用いられてしまうと、唯一のものでない記録の残りの危険階層が形成される。残りの危険階層は、先に決定された危険階層に含まれていない全ての記録を含む。
【００６２】
次に、ステップ２０５において、唯一のものの発生の１つの割合（及び唯一のものの発生の全ての割合）が、各危険階層ごとに決定される。例えば、データベースにおける記録の全数によって割られた危険階層（残っている残留階層を除く）における記録の数は、危険階層に対する唯一のものの発生の割合として用いられ得る。この割合は、残留階層に対してはゼロであることに注意されたし。
【００６３】
次に、ステップ２０６において、データベースに対する開示の危険性の第１の対策を一緒に構成する、唯一のものの割合は、所定の危険目標に対して評価される。もし、開示の危険性が適切であると見なされたならば、マイクロアルゴメレーションのステップは完了する。そうでなければ、該方法は、ステップ２０７に進む。
【００６４】
ステップ２０７において、高い識別値及び低い分析的効用を有する変数が、開示の危険性を減らすように抑制される。代表的には、データベースからの記録を解放もしくは公表するに際し、初期のデータベースの準備は、自明のまたは直接の識別子、並びに分析的に重要でないと信じられる詳細情報を取り除くことを含む。極端な値を有する幾つかの結果変数は、また、それらが識別変数として効果的に動作するとみなされる場合には、処理されなければならないかも知れない。
【００６５】
ステップ２０８において、１つまたは２つ以上のカテゴリー的な変換が、唯一のものの記録の数を減らすために行なわれる。カテゴリー的な変換の１つの形態は、記録することである。記録することは、唯一のものの範囲を減少するために、できるだけ多く用いられる。換言すれば、唯一のものである記録、すなわち、サイズ１のマイクロアグロメレートまたはグループを形成する記録が、サイズ２またはそれ以上のマイクロアグロメレートに属するよう記録される。すなわち、それらは、今や、識別変数の与えられたセットに対して、同じプロフィールを他の記録と分担する。
【００６６】
ステップ２０８に続いて、ステップ２０１−２０６が繰り返される。識別変数の数及び識別変数の幾つかのカテゴリー的な定義が、ステップ２０７及び２０８において変化したかも知れないので、新しい危険性階層が決定されなければならない。
【００６７】
図３は、好適な方法の置換ステップにおけるサブステップを示す。第１に、ステップ３０１において、置換または帰属（インピュテーション）パートナーが選択される。置換ステップで用いられる異なった危険階層から唯一のものの記録に対する帰属もしくは転嫁（インピュテーション）パートナーを見つけるために、識別変数の値における最小の変化が、分析的効用を保存するために望まれる。これを達成するために、好適な方法は、各コアー及び非コアー識別変数に対する、各対のレシピエントとドナー記録との間の距離を計算する。複合の距離は、次に、全ての個々の変数の標準化された距離の重み付けされた合計として定義される。（二次エントロピーの概念は、非連続変数を標準化するために用いられる。）複合の距離関数における相対的な重みは、高い重みが、分析的に一層重要であると見なされるそれらの変数と関連するように選択される。従って、これらの変数は、置換の後にできるだけ小さく摂動されるはずである。次に、帰属もしくは転嫁（インピューテーション）の精通した最も近くの近隣のＨｏｔ  Ｄｅｃｋ方法を用いて、距離に関してレシピエントに最も近いドナーが、置換パートナーとなるように選択される。ドナー記録間の連絡の場合、記録はランダムに選択される。レシピエントとそのパートナーとの間の距離に対するゼロの値は、唯一でないものから成る残留危険階層における記録に対し、置換パートナーでないことの可能性を避けるためには、許容されない。識別変数、及び任意の関連の変数（内部の一貫性のために）の値だけが、多変数インピュテーション（帰属または転嫁）の場合におけるように、与えられることに注意されたし。また、本発明は、各記録、唯一のものまたはそうでないものを欠落したものと見なすことによって全データベース内の全ての記録のためのインピュテーション（帰属または転嫁）を介して置換パートナーを得ることにも注意されたし。インピューテーション（帰属または転嫁）のこの適用は、調査サンプリングにおける伝統的なインピューテーション（帰属または転嫁）から離れたものである。
【００６８】
ステップ３０１は、以下の数学的記述を参照して一層良好に理解され得る。幾つかが離散的もしくはカテゴリー的であり得るが、他は連続的である識別変数を、ｘ１，ｘ２，・・・，ｘｑによって示すことにする。もしｘｉが実数値とするならば、２つの記録（レシピエントｉ及びドナーまたは置換パートナーｊ）間の距離を限定するために、ユークリッドの距離を用いることが一般的であり、それは、
【数１】
2005537582.tif 000003
によって与えられる。記録がデータベースからランダムに選択される場合のｘに対する２つの記録ｉ及びｊ間の平均距離は、
【数２】
2005537582.tif 000004
であり、ここに、
【数３】
2005537582.tif 000005
である。従って、記録ｉ及びｊ間の標準化された距離は、
【数４】
2005537582.tif 000006
という意味において、
【数５】
2005537582.tif 000007
として定義され得る。
【００６９】
ｘは、γ素子を有する多変数である場合、次に、対応の距離は、γ×γの共分散行列Σによって定義され得る。しかしながら、実際には、多変数ｘの一般化された分散としてスカーラ距離測定を定義することが好ましい。それは、−ｔｒ（ΔΣ）としてΣから得ることができ、ここに、ｔｒ（）はトレース・オペレータを示し、重みマトリクスΔはΔΣが正でない有限数であるようなものであり、Δの選択は、主題の考察に依存する。一般化された分散のこの定義は、Ｒａｏの二次エントロピー［１５］の一般化である。
【００７０】
４つ以上の多分割（ポリトマス）χの特別の場合（例えば、変わり易い配偶者関係）、Σは、ｄｉａｇ（ｐ）−ｐｐ’の形態を取り、ここに、ｐは、寸法γの多くの名前をもつ確率ベクトルである。この場合において、Δは、Ｒａｏ［１５］によって観察されるように重要な実際的な解釈を有する。マトリクスΔは、一対の多くの名前をもつカテゴリに起因すると考えられる主観的な距離のマトリクスを表す。Δの対角線には、代表的には、ゼロの値が割り与えられる。カテゴリの通常の性質も、また、Δを定義する際に考慮され得る。従って、カテゴリの値ｋ及びｌを有する任意の２つの記録間の平均距離は、
【数６】
2005537582.tif 000008
である。ポリトノスの場合、スコアは、各カテゴリに割り当てられないということに注意されたし。むしろ、スコアは、主観性がより少ないと実際に見なされ得る、任意の２つのカテゴリ間の距離に割り当てられる。ｉ≠ｊに対してΔｉｊ＝１である場合、二次エントロピー（４）は、
【数７】
2005537582.tif 000009
すなわち、不等式のＧｉｎｉ−Ｓｉｍｐｓｏｎ測定に減少される。
【００７１】
さて、その幾つかまたは全てがカテゴリ的であり得る、χ−変数の数の場合、一般化された分散−ｔｒ（ΔΣ）を計算するために、全体の共分散行列を定義することは、容易でないかも知れない。代替的には、２つの記録ｉ及びｊ間のスカーラ距離を
【数８】
2005537582.tif 000010
として定義することができ、ここに、ａχ（ｈ）は、類似の記録を見つけるプロセスにおいて、ｑ変数の内のその重要性の程度に依存する変数χｈに割り当てられた相対重みである。重み関数の選択は、幾分従属的であり、例えば、それは１及びＭ（例えば、＝１００）間の値を取り得、ここに、１は、重要性の少ないχに対応し、そしてＭは最も重要性のあるものに対応する。χｈは、増加した重要性の程度において、１からｑまでにランク付けされるものとし、Ｒ（χｈ）は、ランクを示すものとする。適切に定義された定数β０、β１、及びλ（＞０）に対して
【数９】
2005537582.tif 000011
である。さて、与えられたλに対して、パラメータβ０、β１は、以下の式から得ることができる。
【数１０】
2005537582.tif 000012
（λ、Ｍ）を変えることによって、一対の（λ、Ｍ）を経験的に選択することができ、これにより、各χに対して、各レシピエント記録に対するχ変数の値と、その置換パートナーとの間の差の配分が極端すぎることはなくなる、すなわち、レシピエントとドナー記録との間に多すぎる変化も少なすぎる変化もない。さらに、幾つかのさらなる制御が差の配分上に必要とされ、それにより、分析的に重要なχ変数に対して、レシピエントとドナー記録との間の値における変化に関して比較的少ない比例関係がある。
【００７２】
次に、ステップ３０２において、各危険階層は、さらに、結果または研究（もしくは学習）変数のデータ値に基づく下層に分割もしくは区分される。これらの「最終の」危険階層の構成は、クラスタリングまたは分類アルゴリズムを用いて決定され得る。
【００７３】
ステップ３０３において、開示のコスト・バイアスの最適性は、置換のためのサンプリングに対する選択確率を見つけるために行なわれる。開示コスト（または危険性）は、予想される全損失として定義される。与えられた階層における記録に関連する損失は、もし記録が置換されるならばゼロであり、そしてもし記録が置換されないならば、置換割合に逆比例したものとして取られる。この選択は、より多くの置換の場合に、より少ない発覚があるので、合理的である。置換が、処理されたデータからの推定値におけるバイアスの導入を伴うので、分散の代わりに、バイアスの概念が生じるということに注意されたし。全ての記録は、内部の侵入者からの潜在的な発覚問題に鑑みて識別変数の値を帰属させる（インピュートする）ための割り当てられた置換パートナーであるけれども、全ての記録が、確率的な置換のために識別変数と置換されるのではなく、そして識別変数の全ての値が、ドナーとレシピエントとの間の可能な共通の値に起因して、選択された記録と置換されるのではないということに注意されたし。従って、確率的な置換は、項目の非応答を誘起するものとして観察され得、それは、記録のサブセットのための調査サンプリングの文脈において普通生じる。この類似性をもって、調査サンプリングにおける帰属（インピューテーション）の任意の標準の方法は、置換のための値を見つけるために使用されることができるが、ただし、全データベースの利用可能性のために、帰属（インピューテーション）モデルを適合させる際の無視し得ない非応答のための応答傾向型の調整が必要とされないということは除外する。
【００７４】
ステップ３０３における置換確率の決定は、以下の数学的な説明を参照して一層良く理解され得る。ｓ１は、マイクロアグロメレーション・ステップにおける識別変数のカテゴリ的変換の後の変更されたデータベースを示すものとし、ｓ１・は、置換ステップの後の置換されたデータベースを示すものとする。ｓ１・において、置換のために選択された各記録ごとに、識別変数だけが置換され、そして敏感であり得る結果変数の値は置換されない。しかしながら、研究（学習）変数が、結果及び識別変数の双方に依存するならば（例えば、年齢層における医薬品の使用）、次に、研究（学習）変数の値も、また、置換に起因して影響されるようになり得る。ｙｋ・が、以下のように定義される研究（学習）変数を示すものとする。
【数１１】
2005537582.tif 000013
ここに、
【数１２】
2005537582.tif 000014
は、置換によって可能に影響される研究変数の値を示す。また、Ψｈは、置換のためのｈ番目の設計階層のための置換の確率を示すものとする。
【００７５】
損失関数は、
【数１３】
2005537582.tif 000015
として置換設計階層ｈにおける各記録に対して定義される。上の損失関数は、Ψｈの減少関数である（Ψｈが大きければ大きいほど、発覚は小さい）。定数ｃｈ（ｌ）は、階層を横切る損失関数における変動上に余分の制御を提供する調整定数である。従って、階層ｈにおける記録に起因する発覚コスト（または予想される損失）は、
【数１４】
2005537582.tif 000016
であり、そして全発覚コストは、
【数１５】
2005537582.tif 000017
によって与えられる。Ψｈ≧Ψｍｉｎ＞０と仮定する。この条件は、各記録が置換の正の確率を有するということを確実にするので、実際的に望ましい。
【００７６】
調整定数ｃｈ（ｌ）は、置換における距離関数の相対重みを定義する場合に類似した指数関数モデルを用いて定義され得る。これは、
【数１６】
2005537582.tif 000018
であり、ここに、Ｒ（ｈ）は、発覚危険性の増加の程度における設計階層ｈのランクを示し、危険性は、危険階層内の全ての下層に対して同じである。上述のように、ｃｈ（ｌ）は、与えられたλ＞０に対して、ｌとＭとの間で変化する。
【００７７】
Ψｈ’Sが与えられると仮定し、サイズＮｈΨｈ（＝ｍｈ）の置き換えなしで単純なランダム・サンプルが、階層ｈｉから引き出されると仮定する。研究変数ｙに対してパラメータθｙの評価を考察する。ここに、θｙ＝Σｓ１ｙｋｗｋであり、ｗｋは、オリジナルのデータベースｓ１がそれ自身サンプルである場合にサンプリング重みであり、それ以外は、ｗｋ＝１である。θｙ・は、ｓ１・に基づくθｙの評価を示すものとし、すなわち、
θｙ・＝Σｓ１・ｙｋ・ｗｋである。θｙ・に与えられたｓ１・におけるバイアスは、θｙ・−θである。置換は、選択確率Ψｈを用いてサブサンプルに対してランダムに行なわれるので、ＥΨ（バイアス）２を定義することができ、ここに、ＥΨは、置換確率Ψを用いて無作為化に対する予想を示す。従って、
【数１７】
2005537582.tif 000019
であり、ここに
【数１８】
2005537582.tif 000020
であり、かつ
【数１９】
2005537582.tif 000021
である。分析的効用のために、ＥΨ(バイアス)２  がθｙ２に対して多くともαであるように、Ψｈ’S  を選択することが望ましい。財源Ψｈ’S  のこの問題は、Ｌ研究変数（ｔｈｅ  ｙ’ｓ）に対応するＬ制約に対し、
【数２０】
2005537582.tif 000022
に同時に従属する
【数２１】
2005537582.tif 000023
の非線形プログラミング（ＮＬＰ）フレームワークに向けられ（キャスティングされ）得る。Ψｈ≧Ψｍｉｎ＞０の追加の制約も課され得る。上述の最適化問題から得られる最適のΨｈ’ｓは、最適な置換を定義する。
【００７８】
ステップ３０４において、記録のランダムなサンプルは、置換の確率に基づいて選択され、そして、コアー及び非コアー識別変数における“欠落（ミッシング）”として指定される。
【００７９】
ステップ３０５において、類似の（パートナー）記録からのデータを用いる置換は、帰属させるために（インピュートするために）用いられ、すなわち、“欠落（ミッシング）”値に満たすために用いられる。
【００８０】
図４は、好適な方法のサブサンプリングのステップにおけるサブステップを示す。第１に、ステップ４０１において、各危険階層は、置換されたデータベースにおける研究変数のデータ値に基づいて下層にさらに区分けされる。ステップ４０１におけるサブサンプリングのための下層（サブストラタ）の決定は、ステップ３０１における置換のための下層の決定と類似していることに注意されたし。事実、本発明の１つの実施形態において、同じ下層は、置換ステップ１０２及びサブサンプリング・ステップ１０３の双方のために使用される。
【００８１】
次に、ステップ４０２において、適切に定義された発覚コスト−分散最適化は、定義された危険階層内のサブサンプリングのための選択確率を見つけるために用いられる。ここで、発覚コスト（または危険性）は、予想された損失として定義される。与えられた階層内の記録と関連した損失は、記録がサンプリング・アウトされる場合にゼロであるが、他方、記録がサンプリング・インされる場合には、該損失は、サンプリング・アウト割合の逆数に比例する。この選択は、増加されたサンプリング・アウトと共に発覚がより少ないので合理的である。
【００８２】
サブサンプリング確率の選択の一層詳細な説明を以下に行なう。置換されたデータベースｓ１・及びサブサンプリング確率φｈが与えられ、ｓ２・がサブサンプリングされたデータベースを示すものとする。合計のバイアスされない評価θｙ・＝Σｓ１・ｙｋ・ｗｋは、
【数２２】
2005537582.tif 000024
によって与えられ、ここに、ｗｋ・＝ｗｋ／φｈである。さて、最適な置換の場合におけるように、分析的効用のために、φｈ’ｓは、幾つかの研究変数ｙ’ｓに対し、
【数２３】
2005537582.tif 000025
に関する制御が同時に、存在するように選択されるべきである。ここで、シンボル
【数２４】
2005537582.tif 000026
は、置換されたデータベースｓ１・が集団として処理されることを与えるサブサンプリングに起因した条件付け無作為化（ランダム化）を示す。
【数２５】
2005537582.tif 000027
は、θｙのバイアスされた評価であることに注意されたし。
【００８３】
上述の問題を最適化問題に向ける（キャストする）ことは、
【数２６】
2005537582.tif 000028
としてサブサンプリングのための発覚コスト関数を定義し、ここに、φｈＮｈ（＝ｎｈ）は、サブサンプリング階層ｈにおけるサンプリング・インされた記録の予想された数であり、発覚損失関数は、サンプリング・アウト割合に逆比例し、そしてｃｈ（２）は、置換におけるものと類似の対応で定義された調整定数である。損失関数（ｌ−φｈ）−１において、サンプリング・アウト割合が高ければ高いほど、発覚損失が低いということに注意されたし。φｈ≦φｍａｘ＜１ということ仮定する。最適のサブサンプリングの仕様を完全にするために
【数２７】
2005537582.tif 000029
が特定されなければならない。階層ｈからのｎｈ記録の置き換えの無い単純なランダム・サンプリングのもとでは、
【数２８】
2005537582.tif 000030
ということになる。従って、ＮＬＰは、最適値φｈを見つけるために用いられることができ、それにより、幾つかの研究変数ｙ’ｓに対して同時に
【数２９】
2005537582.tif 000031
を満たす。分散制約は、相対標準誤差（ＳＥ）が、本当の値θｙに対し多くても√βであるということを意味する。
【００８４】
最適なサブサンプリング及び最適な置換の上述の公式でもって、
【数３０】
2005537582.tif 000032
の合計の平均二乗誤差（ＭＳＥ）は、θｙ２に対して多くともα＋β（＝ε２）であるということになる。これを見るために
【数３１】
2005537582.tif 000033
であることに注意されたし。
【００８５】
ステップ４０３において、選択確率が一度得られると、サイズに比例した確率（ＰＰＳ）サンプルが、元のサンプル設計の各主サンプリング・ユニット（ＰＳＵ）内に取込まれ得、そこで、記録が属する危険下層のサンプリング割合として、ＰＳＵ内の各記録のためのサイズ測定が行われる。ここで、ＰＳＵとは、さらにサブサンプリングするための集団の部分の選択によって創成される、集団の副分割の第１のレベルに言及している。例えば、社会調査においては、主サンプリング・ユニットは、町または領域ブロックであって良い。ＰＰＳは、ユニットが選択される確率がユニットのサイズの測定に基づいている良く知られたサンプリング技術である。従って、結果のサブサンプルは、（ＰＳＵ内の）ネスト状の（入れ子状態の）２つの相のサンプルとして観察され得る。このように、単一相の設計のための一層簡単な方法は、データ分析のために用いられ得る。上述のサブサンプリング方法は、オリジナルのデータベースが、それ自体、ＰＳＵから成るサンプルであるということを仮定する。上述の方法は、また、ＰＳＵが確かさをもって取込まれた場合に、すなわち、それらが階層である場合に用いられる。しかしながら、データベースがサンプルでなければ、次に、階層化された簡単なランダム・サンプリング設計がこのステップにおいて用いられ得る。
【００８６】
さて、較正ステップ１０４に戻ると、上述で定義したように、
【数３２】
2005537582.tif 000034
である。最適な較正において、目標は、多くの研究（もしくは学習）変数に対して、較正された推定値が本当の値θｙと整合するように、係数aｋによって１／φｈをできる限り小さく調整することである。最適の aｋ’ｓ を見つけるために、適切な距離関数
Ｆ（φｈ−１，φｈ−１aｋ）が、幾つかの選択された ｙ’ｓ に対する
【数３３】
2005537582.tif 000035
に従属させて最小化される。Ｆｏｌｓｏｍ及びＳｉｎｇｈ［７］の論文は、aｋ及び適切な距離関数Ｆ(.,.)に対する一般化された指数関数モデルを提案する。
【００８７】
図５は、本発明による発覚（開示）危険の測定（尺度）を計算する方法を示す。特定の記録の秘密を保護するために導入された不確かさを測定するために、再識別の確率は、処理されないデータベースに対して定義される。というのは、処理されたデータ・セットが元のセットの確率サブサンプルであるからである。従って、侵入者がオリジナル・データベース内に目標記録の存在を知っていて、該目標記録であるべきＰＵＦ内の特定の記録を要求すると仮定すると、侵入者は、要求された記録が目標記録に匹敵することを確証することが必要である。匹敵させるためには、（１）記録は、識別変数の侵入者のセットに対して独特でなければならず、（２）記録は、置換の後も存続すべきであり、すなわち、その識別変数が置換されるようになるべきではなく、（３）記録は、サブサンプリングの後も存続しなければならず、すなわち、それは、サンプリング・アウトされるようになるべきではなく、そして（４）記録は、処理されたサブサンプルに非独自のものとして誤分類されるようになるべきではなく、すなわち、記録を非独自のものにするように、置換の後に幾つかの他の記録が、識別変数の同じセットを共有するべきではない。
【００８８】
ステップ５０１において、データベースは、複数の危険階層に区分けされる。次に、ステップ５０２において、各危険階層は、さらに、下層に区分けされる。
【００８９】
ステップ５０３において、それが属する危険階層に依存する独自性発生割合について独自である記録の確率（π）が計算される。
【００９０】
ステップ５０４において、区分けされたデータベースを与えられると、置換されない確率（１−Ψ）、すなわち、一マイナス置換割合が、各下層ごとに決定される。
【００９１】
次に、ステップ５０５において、置換されたデータベースを与えられると、サンプリング・インされた確率（φ）、すなわち、サブサンプリング確率もしくは割合が、各下層ごとに決定される。
【００９２】
ステップ５０３−５０５の結果は一緒になって、処理されたサブサンプルに、独自でないものとして誤分類されない全データベースにおける独自の記録の確率（１−χ）に影響を与える。この誤分類の確率は、各記録ごとにステップ５０６で計算される。
【００９３】
従って、ステップ５０７において、侵入者が記録を暴くことができるチャンスは、これらの４つの確率の積π（１−Ψ）φ（１−χ）として計算される。このチャンスは、記録が属する下層に依存する。経験法則として、この積が多くともδ（例えば、５％程度）であるならば、侵入者の心に充分な不確かさがあると言うことができる。時には、δを５０％と同じ位の大きさであることを許容することは合理的であるかも知れない。δのこと値での筋書きは、もし、数２を有するセル内の他の人が侵入者であるとは見なされない場合には、表データの場合における少なくとも２つの数でセルを開放するのと幾分類似している。上述の対策は、処理されたデータ・セットにおける充分な不確かさが達成されるように、異なった危険階層に対する観察された独自性の割合及び予想された誤分類の割合と共に、初期に予想された置換及びサブサンプリング割合の仕様における暴露処理目標を特定するために用いられ得る。もし侵入者が外部者であったならば、次に、記録を暴露するチャンスは一層小さくなる。というのは、確率π（１−Ψ）φ（１−χ）は、目標がサンプル内にあるチャンスによって前に乗算されるようになり、そして目標記録を整合させるために侵入者によって用いられる外部ファイルが独自の記録を与えるチャンスによって後に乗算されるようになるからである。
【００９４】
さて、分析的効用を維持するために、好適な方法は、置換ステップ１０２におけるバイアス制約と、サブサンプリング・ステップ１０３における分散制約と、ステップ１０４における較正制約とを用いる。分析的効用の診断を発展させるために、オリジナル・データベースに対して、処理されたサブサンプルからの種々の研究変数のための点推定及びそれらの標準誤差を容易に比較することができる。研究変数は、また、研究変数間の相関関係がいかに良く保存されているかに関する幾つかの考えを得るために、相互分類によって定義される領域をも含み得る。ここで再度、秘密診断の場合におけるように、オリジナル・データベースは、処理されたデータ・セットが確率サブサンプルであるので、便利な基準ベースとして働く。さらに、標準誤差の改善された尺度は、調査データの分析において行なわれるように、帰属（インピュテーション）及び較正のために調整することにより得られ得る。
【００９５】
好適な方法の制限は、調査データ分析において遭遇されるものと同様である。例えば、帰属されたデータの部分が比較的高いならば、次に、結果の推定におけるバイアスは、制御することが困難であり得る。さらに、欠落したデータの場合、多変数の関係は、特に、欠落した変数の割合が高い場合には、保存するのが困難である。このことは、置換割合が高すぎるべきではないということを意味する。同様に、サブサンプリング割合が小さすぎるならば、全データベースに対する推定の信頼性を維持することが困難であろう。これらの考察は、もちろん、分析的効用に対し秘密保護を平衡させることを試みている本方法にとって肝要なものである。実際、前述したように、独自性の与えられた発生割合及び予想された誤分類割合にとって、置換及びサブサンプリング割合は、侵入者のための結果の不確かさがバイアス及び分散への適切な制御でもって充分であるように、選択される。
【００９６】
最後に、本発明は、カテゴリー及び連続データの双方に適用されることを注意されたし。調査サンプリング方法を用いることにより、好適な方法は各記録を処理し、該処理は、記録が有するデータの型に依存しない。好適な方法のバージョンは、ＲＴＩインターナショナルにおいて、現存のソフトウェアの修正を用いた大規模調査データ・セットに適用されており、そして非常に良く働くことが分かった。
【００９７】
図１に示されたステップは、添付の表を参照して一層良く理解され得る。表１（ａ）
は、独自のものもしくは唯一のものの発生のための観察された割合と、置換、サブサンプリング、及び異なった危険階層のための処理されたサブサンプルにおける唯一のものの誤分類（すなわち、コアと、コア＋１等を有する唯一のもの、及びコアと、非コアを有する唯一でないもの）のための予想された割合とをリスト・アップしている。唯一のもののための危険階層は、唯一のものの異なった型のための異なった処理割合が望ましいので必要とされる。秘密のための処理目標は、これらの４つの割合の積を見ることにより、かつ該積が充分な不確かさを提供するか否かをチェックすることにより確証され得る。表１（ａ）は、また、最適な置換及びサブサンプリング・ステップのために、置換割合に対しては下限（Ψｍｉｎ＞０）を提供し、サブサンプリング割合に対しては上限（φｍａｘ＜１）を提供し、これにより、唯一のものであってもなくても、各記録は、置換される及びサンプリング・アウトされる正の確率を有する。
【００９８】
表１（ｂ）は、好適な方法に対して必要とされる、バイアス制約、分散制約、及び較正制約のセットをリスト・アップしている。該好適な方法は、また、（１）置換に起因した、予想平方バイアスまたはＭＳＥにおける、インフラレーション上の上限α、及び（２）サブサンプリングに起因したサンプリングの多様性におけるインフラレーション上のβ、に関して、開示処理後の分析的効用のための処理目標をも創成する。さらに、好適な方法は、開示処理にかかわらず、較正制約において用いられる変数のキー・セットの点推定を保存する。
【００９９】
表２（ａ）は、予想されかつ観察された唯一のものの処理及び唯一のものの再識別の割合に関して、処理の適切性に対する開示診断をリスト・アップしている。該割合は、それらの計算が最適な置換及びサブサンプリング割合を含むという点において、単に予想された割合であり、実際に観察された割合ではない。観察された（もしくは実現された）割合は、各ＰＳＵまたは階層内のサンプル・サイズの切り上げ機能のために異なり得る。表２（ａ）は、また、唯一のものの誤分類に対する割合を与える、すなわち、置換及びサブサンプリングの後も存続するが、処理されたデータベース内で誤分類されるようになる、オリジナルの唯一のものの割合を与える。後に存続する唯一のものは、他の幾つかの記録（唯一のものまたは唯一のものではないもの）が、置換後の識別変数に対して同じプロフィルを取り得るので、誤分類されるようになり得る。
【０１００】
表２（ｂ）は、置換及びサブサンプリング後の種々の階層におけるオリジナルの唯一のものの発生の観察された割合に関しての開示診断を提供する。表２（ｂ）は、また、置換またはサブサンプリングによって創成される擬似の唯一のものの割合をも含む。処理された記録は、それらが、置換された識別変数の幾つかの値を有する元の唯一のものであるか、もしくは置換またはサブサンプリングに起因して独自のものとされる唯一でないものであるかのいずれかであるという点において、擬似の唯一のものに成り得る。擬似の唯一のものの数が多ければ多いほど、侵入者に対する混乱は大きくなる。というのは、任意の侵入者にとっての開始点は、処理されたデータ・セットにおける唯一のもののセットであるからである。
【０１０１】
表２（ｃ）は、多くのキー結果変数のための較正前後の、本当のパラメータ値、点推定、及び標準誤差に関しての開示処理後の分析的効用の診断をリスト・アップしている。較正制約に用いられる結果変数に対して、点推定及び標準誤差の双方が、全データ・セットからのものと整合すべきであるということに注意されたし。開示処理されたデータ・セットの適切な分散計算に対して、サンドイッチ型のＴａｙｌｏｒ法［２１］またはＢＲＲのような複製法が用いられ得る。表２（ｃ）は、また、較正前後の相対予想バイアス及び相対ＲＭＳＥをも提供する。
【０１０２】
表２（ｄ）は、元の及び処理されたデータ・セットの双方のためのモデル・パラメータの点推定及び標準誤差に関しての分析的品質の他の診断尺度を提供する。
【０１０３】
表３（ａ）及び３（ｂ）は、それぞれ、置換及びサブサンプリングのステップに対する設計最適化のために使用される代表的な階層を示す。設計の下層は、置換のためのバイアス減少階層で、かつサブサンプリングのための分散減少階層で、危険階層を相互分類することにより得られる。各階層内の記録が、研究変数のセットに対してできる限り均一であるように、バイアス及び分散減少階層を形成するために、クラストリング・アルゴリズムが一般に用いられ得る。もしオリジナル・データ・セットが等しくない初期のサンプリング重みを有するサンプルであるならば、オリジナル・データ・セットにおけるサンプリング重みの大きさ（低い、中位、または高い）が分散減少階層を定義するために用いられ得る。重みに基づくこのような階層化は有用であり、その理由は、分散制約において、初期の重みが結果変数の部分である役割を果たし、従って、高い重みが分散に大きい影響を与えるからである。従って、分散を制御下に保ちつつ、階層が重みのサイズに依存するのを許容することによって、サンプリング割合の一層効率的な配分が実現され得る。
【０１０４】
本発明を履行するためのシステムが図６に示されている。このシステムにおいて、処理診断ユニット６０５は、所定の処理目標に対して、元の処理されないデータベース６１０の評価を行なう。マイクロアグロメレーション・ユニット６０１は、オリジナル・データベースにおける独特の記録の数を最適に減少し、変更されたデータベースを形成し、そして変更されたデータベースにおける記録を危険階層に区分けする。その結果は、処理されたデータベース６２０として記憶され得る。置換ユニット６０２は、変更されたデータベースにおける記録に、最適な置換を行い、処理されたデータベース６２０にその結果を記憶する。同様に、サブサンプリング・ユニット６０３は、サブサンプリングされたデータベースを形成するように、置換されたデータベースのサブサンプルを最適に選択する。較正ユニット６０４は、元の全データベースのキー変数の対応の統計を評価もしくは推定するために、サブサンプリングされたデータベースにおける各記録と関連したサンプリング重みを最適に調整する。最後に、処理診断ユニット６０５は、処理されたデータベース６２０の評価を行なう。
【０１０５】
本発明は、好適な方法の各ステップにおける或るパラメータ選択が、社会調査データへの応用において用いられるという例を通して、一層良く理解され得る。しかしながら、基本的なアイデアは、選択に制限されるものではなく、代替的な公式化のもとに適用され得る。
【０１０６】
第１に、マイクロアグロメレーション・ステップにおいて、詳細な地理的情報、名称、住所、及び電話番号のような明らかなまたは直接的な全ての識別変数は、データベースから取り除かれる。次に、危険階層が、コア−識別変数（例えば、年齢、性別、人種、最終学歴、配偶者関係、家族の大きさ、仕事状況、及び人口密度）及び非コア−識別変数（例えば、１８以下の子供の人数、６５以上の家族のメンバーの数、個人的収入、家族の収入、現在の教育、及び私的な健康保険）によって定義される。危険階層を定義するに際し、非コア−識別変数は、侵入者のための認識された困難レベルに対してランク付けされる。また、置換、サブサンプリング、及び唯一のものの誤分類のための初期の予想された割合が、各階層ごとに選択される。これらの割合は、主題の考察及び経験に基づいてセットされる。
【０１０７】
また、各危険階層（コア−、コア−・プラス１つの非コア−、等）における観察された唯一のものの発生割合が、全体の割合と同様に計算される。全体の唯一のものの発生割合が０．７であり、置換割合が０．８５であり、サブサンプリング割合が０．８であり、そして誤分類の割合が０．９であると仮定する。次に、内部の侵入者のための不確かさの尺度は、４つの割合の積であり、０．４３に等しく、これは０．５０よりも下であり、或るデータ・セットに対する処理目標として合理的であると見なされ得る。実際、不確かさの尺度もまた、各階層ごとに計算されるはずである。もし唯一のものの発生割合が一層高かったならば、例えば、０．９であったならば、次に、不確かさの尺度は、０．５５で、より高くなっていたであろう。これは、唯一のものの発生割合を減少することによって減少されることができ、それは、より高い分析的値を有する変数のより少ない記録でもって、かつ、より低い分析的値を有する変数のより多い記録でもって、識別変数を記録することによって達成され得る。
【０１０８】
次に、置換ステップにおいて、ＳＡＳマクロを用いて、各記録ごとの置換パートナーは、コア−及び非コア−識別変数の双方が距離関数のために用いられるという、最も近い近隣のＨｏｔ  Ｄｅｃｋのような適切な帰属（インピュテーション）法を介して見つけられる。距離関数は、各識別変数ごとのレシピエントとドナーとの間の標準化されたペアーワイズの距離の重み付けされた線形結合である。配偶者関係のようなカテゴリ的な変数に対し、任意の２つのカテゴリ間の距離を、もしそれらが等しくないならば、１として定義することができ、もしそれらが等しいならば、ゼロとして定義することができる。この距離は、それをその予想された値で割ることによって標準化される。距離を結合するために用いられる重みは、低くても高くても良く、例えば、１から１００までである。重みが高ければ高いほど、置換後の対応の変数における変化は、少なくなるように見える。
【０１０９】
また、置換ステップにおいて、開示損失関数は、（代表的には、０．０１から０．９９まで変化し得る）置換割合の逆数として、各設計階層ごとに定義され、次に、予想された損失が、この損失と、置換されない記録との積（すなわち、置換割合と階層サイズとの積）として定義される。開示コスト関数は、次に、すべての階層に渡る予想される全損失として定義される。このコストを定義するに際し、異なった相対重みが、階層を横切る置換割合の配分を良好に制御するために、調整定数を介して割当てられる。さて、開示コスト関数は、ＳＡＳ＿ＮＬＰまたは適切なＩＭＳＬサブルーチンを用いてＭＳＥ制約のセットに従属させて最小化され得る。予想された平方バイアスの上限αは、例えば、約０．０１として取られ得る。バイアス制約は、一組のキー結果変数を、重要な社会人口統計学の領域（例えば、性別、年齢、人種／民族、教育レベル、等）とクロスさせることに基づいている。最適な置換プログラムの結果は、階層の各々ごとの置換選択確率である。各ＰＳＵは、異なった設計階層及び対応の置換割合からの記録を有し得る。これらの割合の合計は、次の整数まで切り上げられる、ＰＳＵから選択されるべき置換のための予想されたサンプル・サイズを与える。例えば、調査選択のＳＡＳ手順を用いて、ＰＰＳサンプルは、各ＰＳＵ内に選択され得る。或る状況においては、ＰＳＵは、設計階層を表し得る。オリジナル・データ・セットがサンプルではないならば、次に、置換設計階層（表３（ａ））内の階層化された単純ランダム・サンプルは、置換のための記録を選択するために用いられ得る。置換のために選択された記録は、それらの置換パートナーの識別変数の値に関して取る。
【０１１０】
サブサンプリング・ステップにおいて、開示損失関数は、（代表的には、０．０１から０．９９まで変化し得る）サンプリング・アウト割合の逆数として各設計階層ごとに定義され、次に、予想された損失は、この損失と、サンプリングされた記録の数との積（すなわち、サンプリング割合と階層サイズとの積）として定義される。開示コスト関数は、すべての階層に渡る予想された全損失として定義される。この全コストを定義するに際し、異なった相対重みも、階層を横切るサブサンプリング割合の配分を良好に制御するために、調整定数を介して割当てられる。さて、ＳＡＳ  ＮＬＰを用いて、サンプリングのための階層内選択確率は、分散制約のセットに従属して、開示コストが最小であるように、決定され得る。分散インフレーションに関する上限βは、例えば、０．０１として取られ得る。置換におけるように、制約のセットは、キー結果測定を種々の社会経済の領域とクロスさせることにより定義される。しかしながら、サブサンプリング制約セットは、置換制約セットと同じである必要はない。サブサンプリングのためにそのように得られる各階層ごとの選択割合でもって、各ＰＳＵ内のＰＰＳサンプル、または適切とみなされるサブサンプリング階層を有した階層化された単純ランダム・サンプル、を取込むために、上述したようにＳＡＳ  ＳＵＲＶＥＹ  ＳＥＬＥＣＴを用いることができる。
【０１１１】
較正の第４のステップは、人口統計的及び社会経済的な領域のための集団カウントの推定、並びに処理されたサブサンプルに基づく種々の領域のためのキー変数のための全合計が、オリジナルの全データベースのための対応の推定を再生するように、（サブサンプリング係数を組込む）サンプリング重みを調整することを含む。較正制約の代表的な例は、年齢、人種、性別、及び州によるラテンアメリカ系によって定義される領域のための集団カウントである。ＳＡＳ＿ＩＭＬに基づいているＲＴＩのＧＥＭマクロは、この目的のために用いられ得る。Ｆｏｌｓｏｍ及びＳｉｎｇｈ［７］を参照されたし。
【０１１２】
本明細書で述べられた機構及びプロセスは、当業者によって理解されるように、本明細書における教示に従って、コンピュータ・プログラムされるか、もしくは通常の汎用マイクロプロセッサを用いて履行され得る。適切なソフトウェア・コーディングは、当業者にはまた明白でもあるように、本明細書の教示に基づいて熟達したプログラマによって容易に準備され得る。しかしながら、当業者にとって容易に明白であるように、本発明は、また、応用特定の集積回路を準備することによって、または通常の構成回路の適切な回路網を相互接続することによっても履行され得る。従って、本発明は、本発明によるプロセスを行なうよう汎用のマイクロプロセッサまたはコンピュータをプログラムするために用いられ得る命令を含んで、記憶媒体上でホストされ得る、コンピュータをベースにしたプロダクトをも含む。この記憶媒体は、それに限定するのではないが、フロッピ・ディスク、光ディスク、ＣＤ−ＲＯＭ、磁気光ディスク、ＲＯＭ、ＲＡＭ、ＥＰＲＯＭ、ＥＥＰＲＯＭ、フラッシュ・メモリ、磁気または光カードを含む任意の型のディスク、または電子的な命令を記憶するために適切な任意の型の媒体を含み得る。
【０１１３】
本発明の方法は、ＲＴＩインターナショナルにおいて、大規模調査データに適用されて首尾よく検査されてきた。しかしながら、本発明の根底をなすアイデアは、全く一般的であり、開示制限の任意の問題に適用可能である。
【０１１４】
本発明は、説明のためだけに、好適な実施形態について説明してきた。この説明から、当業者は、本発明が記載された実施形態に制限されるものではなく、特許請求の範囲の精神及び範囲によってのみ制限される修正及び変更でもって実行され得るということを認識するであろう。
【０１１５】
【表１（ａ）】
2005537582.tif 000036
【０１１６】
【表１（ｂ）】
2005537582.tif 000037
【０１１７】
【表２（ａ）】
2005537582.tif 000038
【０１１８】
【表２（ｂ）】
2005537582.tif 000039
【０１１９】
【表２（ｃ）】
2005537582.tif 000040
【０１２０】
【表２（ｄ）】
2005537582.tif 000041
【０１２１】
【表３（ａ）】
2005537582.tif 000042
【０１２２】
【表３（ｂ）】
2005537582.tif 000043
【図面の簡単な説明】
【０１２３】
【図１】本発明の方法における開示処理の、マイクロアグロメレーション、置換、サブサンプリング、較正、及び評価の好適なステップを示す図である。
【図２】好適な方法のマイクロアグロメレーション・ステップのサブステップを示す図である。
【図３】好適な方法の置換ステップのサブステップを示す図である。
【図４】好適な方法のサブサンプリングのサブステップを示す図である。
【図５】本発明における開示危険の尺度を計算するステップを示す図である。
【図６】本発明の方法を履行するためのシステムを示す図である。
【符号の説明】
【０１２４】
６０１・・・マイクロアグロメレーション・ユニット、６０２・・・置換ユニット、６０３・・・サブサンプリング・ユニット、６０４・・・較正ユニット、６０５・・・処理診断ユニット、６１０・・・オリジナル・データベース、６２０・・・処理されたデータベース。
【図１】
2005537582.tif 000044
【図２】
2005537582.tif 000045
【図３】
2005537582.tif 000046
【図４】
2005537582.tif 000047
【図５】
2005537582.tif 000048
【図６】
2005537582.tif 000049
【国際調査報告】
2005537582.tif 000050