(57)【要約】【課題】サンプリング、ｋ−匿名化、及びこれらの組み合わせによる安全性の統一指標を提供できる評価装置、評価方法及び評価プログラムを提供すること。【解決手段】評価装置１は、データセットに対して、サンプリング手法により匿名化した場合に、母集団においてレコードを一意に特定できる確率を統一指標として算出する第１算出部１１と、データセットにおいて、ｋ−匿名化手法によるｋ値に基づくレコードを一意に特定できる確率を統一指標として算出する第２算出部１２と、統一指標に対して、サンプリング手法におけるサンプリング率、及びｋ−匿名化手法におけるｋ値を対応付けて記憶する記憶部２０と、を備える。【選択図】図１
2018049437.tif 000002
【特許請求の範囲】
【請求項１】
データセットに対して、サンプリング手法により匿名化した場合に、母集団においてレコードを一意に特定できる確率を統一指標として算出する第１算出部と、
前記データセットにおいて、ｋ−匿名化手法によるｋ値に基づく前記レコードを一意に特定できる確率を前記統一指標として算出する第２算出部と、
前記統一指標に対して、前記サンプリング手法におけるサンプリング率、及び前記ｋ−匿名化手法におけるｋ値を対応付けて記憶する記憶部と、を備える評価装置。
【請求項２】
前記第１算出部は、前記サンプリング手法における安全性に関する第１指標と対応付けて、前記統一指標を算出し、
前記記憶部は、前記統一指標に対して、前記第１指標を対応付けて記憶する請求項１に記載の評価装置。
【請求項３】
前記サンプリング手法と前記ｋ−匿名化手法との組み合わせに対する安全性に関する第２指標と対応付けて、当該組み合わせにおいて用いたサンプリング率及びｋ値に基づく前記レコードを一意に特定できる確率の積を、前記統一指標として算出する第３算出部を備え、
前記記憶部は、前記統一指標に対して、前記第２指標を対応付けて記憶する請求項１又は請求項２に記載の評価装置。
【請求項４】
前記第２算出部は、前記データセットに対して、前記ｋ−匿名化手法により匿名化した場合に生成されるクラスタのサイズの平均値の逆数を前記統一指標として算出する請求項１から請求項３のいずれかに記載の評価装置。
【請求項５】
データセットに対して、サンプリング手法により匿名化した場合に、母集団においてレコードを一意に特定できる確率を統一指標として算出する第１算出ステップと、
前記データセットにおいて、ｋ−匿名化手法によるｋ値に基づく前記レコードを一意に特定できる確率を前記統一指標として算出する第２算出ステップと、
前記統一指標に対して、前記サンプリング手法におけるサンプリング率、及び前記ｋ−匿名化手法におけるｋ値を対応付けて記憶する記憶ステップと、をコンピュータが実行する評価方法。
【請求項６】
データセットに対して、サンプリング手法により匿名化した場合に、母集団においてレコードを一意に特定できる確率を統一指標として算出する第１算出ステップと、
前記データセットにおいて、ｋ−匿名化手法によるｋ値に基づく前記レコードを一意に特定できる確率を前記統一指標として算出する第２算出ステップと、
前記統一指標に対して、前記サンプリング手法におけるサンプリング率、及び前記ｋ−匿名化手法におけるｋ値を対応付けて記憶する記憶ステップと、をコンピュータに実行させるための評価プログラム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、プライバシデータの安全性に対する指標算出装置、指標算出方法及び指標算出プログラムに関する。
【背景技術】
【０００２】
従来、パーソナルデータのプライバシ保護のため、個人が特定されないようにデータセットを匿名化する手法として、サンプリング、ｋ−匿名化、及びこれらを組み合わせる手法が用いられている。
【０００３】
サンプリングでは、例えば、母集団一意確率（例えば、非特許文献１参照）、又は（１，ε，δ）−ｐｒｉｖａｔｅ（例えば、非特許文献２参照）と呼ばれる指標により、安全性が評価される。
また、ｋ−匿名化ではｋ−匿名性により、さらに、サンプリングとｋ−匿名化の組み合わせでは、例えば、（β，ε，δ）−ＤＰＳ（例えば、非特許文献３参照）と呼ばれる指標により、安全性が評価される。
【先行技術文献】
【非特許文献】
【０００４】
【非特許文献１】大森裕浩，“ミクロデータにおける母集団一意性の事後確率”，統計数理  ５１（２），２２３−２３９，２００３，統計数理研究所
【非特許文献２】Ｋａｍａｌｉｋａ  Ｃｈａｕｄｈｕｒｉ  ａｎｄ  Ｎｉｎａ  Ｍｉｓｈｒａ，  “Ｗｈｅｎ  Ｒａｎｄｏｍ  Ｓａｍｐｌｉｎｇ  Ｐｒｅｓｅｒｖｅｓ  Ｐｒｉｖａｃｙ，”  ２６ｔｈ  Ａｎｎｕａｌ  Ｉｎｔｅｒｎａｔｉｏｎａｌ  Ｃｒｙｐｔｏｌｏｇｙ  Ｃｏｎｆｅｒｅｎｃｅ  Ｓａｎｔａ  Ｂａｒｂａｒａ，  Ｃａｌｉｆｏｒｎｉａ，  ＵＳＡ，  ２００６  Ｐｒｏｃｅｅｄｉｎｇｓ，  ｐｐ．１９８−２１３．
【非特許文献３】Ｎｉｎｇｈｕｉ  Ｌｉ，  Ｗａｈｂｅｈ  Ｑａｒｄａｊｉ，  Ｄｏｎｇ  Ｓｕ，  “Ｏｎ  Ｓａｍｐｌｉｎｇ，  Ａｎｏｎｙｍｉｚａｔｉｏｎ，  ａｎｄ  Ｄｉｆｆｅｒｅｎｔｉａｌ  Ｐｒｉｖａｃｙ：  Ｏｒ，  ｋ−Ａｎｏｎｙｍｉｚａｔｉｏｎ  Ｍｅｅｔｓ  Ｄｉｆｆｅｒｅｎｔｉａｌ  Ｐｒｉｖａｃｙ，”  Ｐｒｏｃｅｅｄｉｎｇｓ  ｏｆ  ｔｈｅ  ７ｔｈ  ＡＣＭ  Ｓｙｍｐｏｓｉｕｍ  ｏｎ  Ｉｎｆｏｒｍａｔｉｏｎ，  Ｃｏｍｐｕｔｅｒ  ａｎｄ  Ｃｏｍｍｕｎｉｃａｔｉｏｎｓ  Ｓｅｃｕｒｉｔｙ（ＡＳＩＡＣＣＳ  ’１２），  ｐｐ．３２−３３．
【発明の概要】
【発明が解決しようとする課題】
【０００５】
ところで、前述のように、匿名化の手法に応じて用いられる安全性の指標は異なり、これらは、攻撃者のモデル等の前提が異なるため、直接の比較ができなかった。
したがって、例えば、安全性に基づいて適切な匿名化手法及びパラメータを選択することは難しかった。
【０００６】
本発明は、サンプリング、ｋ−匿名化、及びこれらの組み合わせによる安全性の統一指標を提供できる評価装置、評価方法及び評価プログラムを提供することを目的とする。
【課題を解決するための手段】
【０００７】
本発明に係る評価装置は、データセットに対して、サンプリング手法により匿名化した場合に、母集団においてレコードを一意に特定できる確率を統一指標として算出する第１算出部と、前記データセットにおいて、ｋ−匿名化手法によるｋ値に基づく前記レコードを一意に特定できる確率を前記統一指標として算出する第２算出部と、前記統一指標に対して、前記サンプリング手法におけるサンプリング率、及び前記ｋ−匿名化手法におけるｋ値を対応付けて記憶する記憶部と、を備える。
【０００８】
前記第１算出部は、前記サンプリング手法における安全性に関する第１指標と対応付けて、前記統一指標を算出し、前記記憶部は、前記統一指標に対して、前記第１指標を対応付けて記憶してもよい。
【０００９】
前記評価装置は、前記サンプリング手法と前記ｋ−匿名化手法との組み合わせに対する安全性に関する第２指標と対応付けて、当該組み合わせにおいて用いたサンプリング率及びｋ値に基づく前記レコードを一意に特定できる確率の積を、前記統一指標として算出する第３算出部を備え、前記記憶部は、前記統一指標に対して、前記第２指標を対応付けて記憶してもよい。
【００１０】
前記第２算出部は、前記データセットに対して、前記ｋ−匿名化手法により匿名化した場合に生成されるクラスタのサイズの平均値の逆数を前記統一指標として算出してもよい。
【００１１】
本発明に係る評価方法は、データセットに対して、サンプリング手法により匿名化した場合に、母集団においてレコードを一意に特定できる確率を統一指標として算出する第１算出ステップと、前記データセットにおいて、ｋ−匿名化手法によるｋ値に基づく前記レコードを一意に特定できる確率を前記統一指標として算出する第２算出ステップと、前記統一指標に対して、前記サンプリング手法におけるサンプリング率、及び前記ｋ−匿名化手法におけるｋ値を対応付けて記憶する記憶ステップと、をコンピュータが実行する。
【００１２】
本発明に係る評価プログラムは、データセットに対して、サンプリング手法により匿名化した場合に、母集団においてレコードを一意に特定できる確率を統一指標として算出する第１算出ステップと、前記データセットにおいて、ｋ−匿名化手法によるｋ値に基づく前記レコードを一意に特定できる確率を前記統一指標として算出する第２算出ステップと、前記統一指標に対して、前記サンプリング手法におけるサンプリング率、及び前記ｋ−匿名化手法におけるｋ値を対応付けて記憶する記憶ステップと、をコンピュータに実行させる。
【発明の効果】
【００１３】
本発明によれば、サンプリング、ｋ−匿名化、及びこれらの組み合わせによる安全性の統一指標が提供される。
【図面の簡単な説明】
【００１４】
【図１】実施形態に係る評価装置の機能構成を示すブロック図である。
【図２】実施形態に係る匿名化手法毎の個別の指標と統一指標との関係を示す図である。
【図３】実施形態に係る評価方法における統一指標の算出処理を例示するフローチャートである。
【発明を実施するための形態】
【００１５】
以下、本発明の実施形態の一例について説明する。
図１は、本実施形態に係る評価装置１の機能構成を示すブロック図である。
評価装置１は、第１算出部１１と、第２算出部１２と、第３算出部１３と、記憶部２０とを備える。
【００１６】
第１算出部１１は、対象のデータセット（パーソナルデータ）をサンプリング手法により指定されたサンプリング率で匿名化した場合に、サンプリング前の母集団においてレコードを一意に特定できる確率、すなわち母集団一意性の事後確率（非特許文献１参照）を統一指標として算出する。
【００１７】
母集団一意性の事後確率は、サンプリング後に一意に識別可能であるレコードがサンプリング前の母集団においても一意に識別可能である確率をあらわし、例えば多項分布モデルの場合、ｍ：標本一意のレコード数、π０：超母集団における各セルの相対頻度（例えば、１／ｎが適当）、Ｎ：母集団のレコード数、ｎ：標本のレコード数とおくと、
【数１】
2018049437.tif 000003
で得られる。
【００１８】
また、第１算出部１１は、サンプリング手法における安全性に関する既存の第１指標、例えば（１，ε，δ）−ｐｒｉｖａｔｅ（非特許文献２参照）と対応付けて、統一指標を算出する。
【００１９】
（１，ε，δ）−ｐｒｉｖａｔｅは、サンプリング手法について、差分プライバシに近い概念によって評価する指標である。具体的には、ｉ番目のレコードの値のみが異なるデータベースの対（Ｄｉ→ｖ及びＤｉ→ｖ’）に対して、サンプルデータベースＳが１−δの確率で、
【数２】
2018049437.tif 000004
を満たす、すなわちｉ番目のレコードのみ異なる任意のデータベースの対からサンプルデータベースＳが得られる確率がほぼ同じとなるサンプリングメカニズムは（１，ε，δ）−ｐｒｉｖａｔｅである。
【００２０】
サンプリング率ｐとε及びδとの関係性は、α：δ／２，ｋ：元のデータベースＤにおける異なるレコードの種類数，ｔ：データベースＤにおいて出現回数が高々２ｌｏｇ（ｋ／α）／ε回であるレコードの種類数とおくと、
【数３】
2018049437.tif 000005
の確率でサンプリングすることは、（１，ｍａｘ（２（ｐ＋ε），６ｐ），δ）−ｐｒｉｖａｔｅである。
【００２１】
第２算出部１２は、対象のデータセットをｋ−匿名化手法により、指定されたｋ値で匿名化した場合に、レコードを一意に特定できる確率、すなわちｋ−匿名性を統一指標として算出する。
ｋ−匿名性とは、あるデータセットにおいて、元のデータセットを持つ攻撃者が加工後のデータセットと比較した場合に、同一レコードを結びつけることができる確率が１／ｋであることを保証する指標である。したがって、第１算出部１１により算出される母集団一意性の事後確率と１／ｋとは、共に「あるレコードを一意に特定できる確率の上限」として直接比較することができる。
【００２２】
また、第２算出部１２は、ｋ−匿名化手法により匿名化した場合に生成されるクラスタのサイズの平均値の逆数を統一指標として算出してもよい。この場合、第１算出部１１により算出される母集団一意性の事後確率と「１／クラスタのサイズの平均値」とは、共に「あるレコードを一意に特定できる確率の平均」として直接比較することができる。
【００２３】
第３算出部１３は、サンプリング手法とｋ−匿名化手法との組み合わせに対する既存の安全性に関する第２指標、例えば（β，ε，δ）−ＤＰＳ（非特許文献３参照）と対応付けて、統一指標を算出する。
ここで、レコードを一意に特定できる確率として定義される統一指標は、サンプリング後にｋ−匿名化を行う匿名化手法の場合、この組み合わせにおいて用いたサンプリング率及びｋ値に基づいて、母集団一意性の事後確率×１／ｋとして算出される。
【００２４】
（β，ε，δ）−ＤＰＳは、サンプリング手法及びｋ−匿名化手法の組み合わせについて、差分プライバシによって評価する指標である。具体的には、ｋ−匿名化のアルゴリズムがε１−安全であり、サンプリング率をβとしたとき、以下の条件が成り立つ場合に（β，ε，δ）−ＤＰＳを満たす。
【数４】
2018049437.tif 000006
【００２５】
記憶部２０は、統一指標に対して、サンプリング単独による匿名化手法におけるサンプリング率及び第１指標、ｋ−匿名化単独による匿名化手法におけるｋ値、サンプリング＋ｋ−匿名化による匿名化手法における第２指標を、それぞれ対応付けて記憶する。
これにより、各匿名化手法における安全性が統一指標により評価される。
このとき、記憶部２０は、各指標及びパラメータ（サンプリング率及びｋ値）を表形式等で記憶してもよいし、各指標及びパラメータの関係性を、サンプルデータに基づき数理モデル化した数式により記憶してもよい。
【００２６】
図２は、本実施形態に係る匿名化手法毎の個別の指標と統一指標との関係を示す図である。
データセット（パーソナルデータ）に対してサンプリング手法により匿名化を行った際、サンプリング済みのパーソナルデータは、第１指標としての（１，ε，δ）−ｐｒｉｖａｔｅにより安全性が評価される。
【００２７】
また、サンプリング済みのパーソナルデータは、統一指標としての母集団一意性の事後確率によっても安全性を評価でき、この指標はｋ−匿名化手法におけるｋ−匿名性と同等の指標として、互いに比較が可能である。
【００２８】
サンプリング済みのパーソナルデータは、さらに、ｋ−匿名化手法によって加工される。サンプリング手法とｋ−匿名化手法との組み合わせにより生成された匿名加工情報は、第２指標としての（β，ε，δ）−ＤＰＳにより安全性が評価される。
【００２９】
また、匿名加工情報は、２つの匿名化手法それぞれの統一指標を、すなわち母集団一意性の事後確率とｋ−匿名性（例えば、１／ｋ）とを掛け合わせて、レコードを一意に特定できる確率である統一指標が求められ、サンプリング手法又はｋ−匿名化手法のいずれか単独で用いられた場合と同じ尺度で安全性が評価される。
【００３０】
図３は、本実施形態に係る評価方法における統一指標の算出処理を例示するフローチャートである。
この例では、評価装置１は、サンプリング手法の安全性に関する（１，ε，δ）−ｐｒｉｖａｔｅ（第１指標）と統一指標との関連性、及びサンプリングとｋ−匿名化の組み合わせ手法の安全性に関する（β，ε，δ）−ＤＰＳ（第２指標）と統一指標との関連性をモデル化する。
なお、ｋ−匿名化手法の安全性に関するｋ−匿名性は、１／ｋとする。
【００３１】
ステップＳ１において、評価装置１は、匿名化のパラメータとして、サンプリング率及びｋ値を設定する。
【００３２】
ステップＳ２において、評価装置１（第１算出部１１）は、対象となるデータセットに対して、ステップＳ１で設定されたサンプリング率を用いて、サンプリング手法による匿名化を行う。
【００３３】
ステップＳ３において、評価装置１（第１算出部１１）は、サンプリング手法における第１指標として（１，ε，δ）−ｐｒｉｖａｔｅを算出すると共に、統一指標として母集団一意性の事後確率を算出する。
【００３４】
ステップＳ４において、評価装置１（第２算出部１２）は、ステップＳ２でサンプリングされたデータセットに対して、ステップＳ１で設定されたｋ値を用いて、ｋ−匿名化を行う。
【００３５】
ステップＳ５において、評価装置１（第３算出部１３）は、サンプリング後にｋ−匿名化を行った場合の安全性の第２指標として（β，ε，δ）−ＤＰＳを算出すると共に、統一指標として母集団一意性の事後確率×１／ｋを算出する。
【００３６】
ステップＳ６において、評価装置１は、同一のパラメータによる匿名化が十分に試行され、各指標のサンプル数が統計的に信頼できるか否かを判定する。この判定がＹＥＳの場合、処理はステップＳ７に移り、判定がＮＯの場合、処理はステップＳ２に戻る。
【００３７】
ステップＳ７において、評価装置１（記憶部２０）は、統一指標と対応付けて、匿名化のパラメータ、並びに第１指標及び第２指標を記憶する。このとき、各指標は、複数回の試行結果が統計処理（例えば、平均化）されて記憶される。
また、評価装置１（記憶部２０）は、ｋ−匿名化手法の安全性の指標であるｋ−匿名性（＝１／ｋ）を統一指標としての母集団一意性の事後確率と同一とみなし、統一指標と対応付けてｋ値を記憶する。
【００３８】
ステップＳ８において、評価装置１は、パラメータの変動に対して、記憶された各指標の関連性がモデル化できる、すなわち相互に値が導出できる程度に十分なデータ量が収集できたかを判定する。この判定がＹＥＳの場合、処理は終了し、判定がＮＯの場合、処理はステップＳ１に戻り、異なるパラメータによる指標の算出が繰り返される。
【００３９】
なお、この処理例では、ｋ−匿名化手法に関して、実際に匿名化を行うことなくｋ値とｋ−匿名性（統一指標＝１／ｋ）との関係が導出されたが、例えばｋ−匿名性として前述の「１／クラスタのサイズの平均値」等を用いる場合、評価装置１（第２算出部１２）は、ステップＳ２〜Ｓ５と並列に、ｋ−匿名化のみを行い統一指標を算出してもよい。
【００４０】
本実施形態によれば、サンプリング手法、ｋ−匿名化手法、及びこれらの組み合わせによる手法それぞれに対して、レコードを一意に特定できる確率として統一指標が定義された。これにより、評価装置１は、サンプリング、ｋ−匿名化、及びこれらの組み合わせによる安全性の統一指標を提供でき、各手法により匿名化されたデータセットの安全性を同じ基準で比較することができる。
評価装置１は、入力部及び出力部を備え、匿名化の各パラメータに対応する安全性の指標を出力してもよいし、逆に、指定された安全性を満たす匿名化の手法及びパラメータを出力してもよい。
【００４１】
また、評価装置１は、サンプリング手法における安全性の第１指標、及び組み合わせ手法における安全性の第２指標を、統一指標と対応付けることにより、既存の各指標と統一指標とを相互に変換できる。
【００４２】
評価装置１は、ｋ−匿名化手法における安全性の指標であるｋ−匿名性を、クラスタのサイズを用いて統計的に算出することにより、実際のデータセットに応じて適切な統一指標として算出できる。
【００４３】
以上、本発明の実施形態について説明したが、本発明は前述した実施形態に限るものではない。また、本実施形態に記載された効果は、本発明から生じる最も好適な効果を列挙したに過ぎず、本発明による効果は、本実施形態に記載されたものに限定されるものではない。
【００４４】
本実施形態の評価装置１が備える各機能部は、複数の情報処理装置（コンピュータ）に分散されてもよい。
【００４５】
評価装置１による評価方法は、ソフトウェアにより実現される。ソフトウェアによって実現される場合には、このソフトウェアを構成するプログラムが、情報処理装置（コンピュータ）にインストールされる。また、これらのプログラムは、ＣＤ−ＲＯＭのようなリムーバブルメディアに記録されてユーザに配布されてもよいし、ネットワークを介してユーザのコンピュータにダウンロードされることにより配布されてもよい。さらに、これらのプログラムは、ダウンロードされることなくネットワークを介したＷｅｂサービスとしてユーザのコンピュータに提供されてもよい。
【符号の説明】
【００４６】
１  評価装置
１１  第１算出部
１２  第２算出部
１３  第３算出部
２０  記憶部
【図１】
2018049437.tif 000007
【図２】
2018049437.tif 000008
【図３】
2018049437.tif 000009