(57)【要約】【課題】データベースの公開の結果としての潜在的なプライバシー侵害を検出する方法等を提供する。【解決手段】例となる、コンピュータにより実施される方法は、データベースを匿名化することと、匿名化されたデータベースの公開に起因するエントロピーの測度を、その匿名化されたデータベースを公開することなしに計算することとを含んでよい。方法は、計算されたエントロピーの測度がプライバシー閾値を満たすかどうかを判定することと、計算されたエントロピーの測度がプライバシー閾値を満たすとの決定に応答して、匿名化されたデータベースを公開することとを更に含んでよい。方法は、計算されたエントロピーの測度がプライバシー閾値を満たさないとの決定に応答して、匿名化されたデータベースの公開を許可しないことを更に含んでよい。【選択図】図３
2019197535.tif 000002
【特許請求の範囲】
【請求項１】
コンピュータにより実施される方法であって、データベースの公開の結果としての潜在的なプライバシー侵害を検出する前記方法において、
前記データベースを匿名化することであり、前記データベースは、１以上のユーザと、前記データベース内の各ユーザごとの１以上のカラムとを含む、前記匿名化することと、
前記匿名化されたデータベースの公開に起因するエントロピーの測度を、前記匿名化されたデータベースを公開することなしに計算することと、
前記計算されたエントロピーの測度がプライバシー閾値を満たすかどうかを判定することと、
前記計算されたエントロピーの測度が前記プライバシー閾値を満たすとの決定に応答して、前記匿名化されたデータベースを公開することと
を有する方法。
【請求項２】
前記匿名化されたデータベースの公開の結果としての前記エントロピーの測度を計算することは、
前記匿名化されたデータベースの公開の結果としての前記匿名化されたデータベース内の各ユーザごとの残留エントロピーを計算することと、
最小の計算された残留エントロピーを、前記匿名化されたデータベースの公開に起因する前記エントロピーの測度として選択することと
を有する、
請求項１に記載の方法。
【請求項３】
前記匿名化されたデータベースは、該匿名化されたデータベース内の各ユーザごとに１カラムを含み、
各ユーザごとの前記残留エントロピーを計算することは、対数項：
【数２４】
2019197535.tif 000029
に従う、
請求項２に記載の方法。
【請求項４】
前記匿名化されたデータベースは、該匿名化されたデータベース内の各ユーザごとに複数のカラムを含み、
各ユーザごとの前記残留エントロピーを計算することは、対数項：
【数２５】
2019197535.tif 000030
に従う、
請求項２に記載の方法。
【請求項５】
前記データベースを匿名化することは、前記データベース内の各ユーザのユーザ識別子を、ランダム追跡データ、ランダム番号、又はランダム識別子のうちの少なくとも１つと置き換えることを有する、
請求項１に記載の方法。
【請求項６】
前記匿名化されたデータベースの公開に起因する前記エントロピーの測度を計算することより前に、前記匿名化されたデータベースをサニタイズすることを更に有する
請求項１に記載の方法。
【請求項７】
前記計算されたエントロピーの測度が前記プライバシー閾値を満たさないとの決定に応答して、前記匿名化されたデータベースの公開を許可しないことを更に有する
請求項１に記載の方法。
【請求項８】
前記計算されたエントロピーの測度がエントロピーの第１測度であり、
当該方法は、
前記匿名化されたデータベースをサニタイズすることと、
前記サニタイズされた匿名化されたデータベースの公開に起因するエントロピーの第２測度を、前記サニタイズされた匿名化されたデータベースを公開することなしに計算することと、
前記計算されたエントロピーの第２測度が前記プライバシー閾値を満たすかどうかを判定することと
を更に有する、
請求項７に記載の方法。
【請求項９】
１以上のプロセッサによって実行される場合に、データベースの公開の結果としての潜在的なプライバシー侵害を検出するようプロセスが実行されるようにする命令により符号化された１以上の非一時的なマシン読出可能な媒体を含むコンピュータプログラム製品であって、
前記プロセスは、
アノニマイザーによって前記データベースを匿名化することであり、前記データベースは、１以上のユーザと、前記データベース内の各ユーザごとの１以上のカラムとを含む、前記匿名化することと、
サニタイザーによって前記匿名化されたデータベースをサニタイズして、サニタイズされた匿名化されたデータベースを生成することと、
プライバシー侵害検出部によって、前記サニタイズされた匿名化されたデータベースの公開に起因するエントロピーの測度を、前記サニタイズされた匿名化されたデータベースを公開することなしに計算することと、
前記プライバシー侵害検出部によって、前記計算されたエントロピーの測度がプライバシー閾値を満たすかどうかを判定することと、
前記計算されたエントロピーの測度が前記プライバシー閾値を満たすとの決定に応答して、前記プライバシー侵害検出部によって、前記サニタイズされた匿名化されたデータベースの公開を許可することと
を有する、
コンピュータプログラム製品。
【請求項１０】
前記サニタイズされた匿名化されたデータベースの公開の結果としての前記エントロピーの測度を計算することは、
前記サニタイズされた匿名化されたデータベースの公開の結果としての前記サニタイズされた匿名化されたデータベース内の各ユーザごとの残留エントロピーを計算することと、
最小の計算された残留エントロピーを、前記サニタイズされた匿名化されたデータベースの公開に起因する前記エントロピーの測度として選択することと
を有する、
請求項９に記載のコンピュータプログラム製品。
【請求項１１】
前記サニタイズされた匿名化されたデータベースは、該サニタイズされた匿名化されたデータベース内の各ユーザごとに１カラムを含み、
各ユーザごとの前記残留エントロピーを計算することは、対数項：
【数２６】
2019197535.tif 000031
に従う、
請求項１０に記載のコンピュータプログラム製品。
【請求項１２】
前記サニタイズされた匿名化されたデータベースは、該サニタイズされた匿名化されたデータベース内の各ユーザごとに複数のカラムを含み、
各ユーザごとの前記残留エントロピーを計算することは、対数項：
【数２７】
2019197535.tif 000032
に従う、
請求項１０に記載のコンピュータプログラム製品。
【請求項１３】
前記データベースを匿名化することは、マッピング関数τをＤｏｍａｉｎ  Ｕｓｅｒｓに適用することを有する、
請求項９に記載のコンピュータプログラム製品。
【請求項１４】
前記匿名化されたデータベースをサニタイズすることは、前記匿名化されたデータベースの値を無秩序化することを有する、
請求項９に記載のコンピュータプログラム製品。
【請求項１５】
前記計算されたエントロピーの測度がエントロピーの第１測度であり、
前記プロセスは、
前記計算されたエントロピーの測度が前記プライバシー閾値を満たさないとの決定に応答して、前記サニタイズされた匿名化されたデータベースを更にサニタイズすることと、
前記更にサニタイズされた匿名化されたデータベースの公開に起因するエントロピーの第２測度を、前記更にサニタイズされた匿名化されたデータベースを公開することなしに計算することと、
前記計算されたエントロピーの第２測度が前記プライバシー閾値を満たすかどうかを判定することと
を更に有する、
請求項９に記載のコンピュータプログラム製品。
【請求項１６】
データベースの公開の結果としての潜在的なプライバシー侵害を検出するシステムであって、
命令を記憶するよう構成された１以上の非一時的なマシン読出可能な媒体と、
前記１以上の非一時的なマシン読出可能な媒体に記憶されている前記命令を実行するよう構成された１以上のプロセッサと
を有し、
前記命令の実行は、前記１以上のプロセッサに、
前記データベースを匿名化することであり、前記データベースは、１以上のユーザと、前記データベース内の各ユーザごとの１以上のカラムとを含む、前記匿名化することと、
前記匿名化されたデータベースをサニタイズして、サニタイズされた匿名化されたデータベースを生成することと、
前記サニタイズされた匿名化されたデータベースの公開に起因するエントロピーの測度を、前記サニタイズされた匿名化されたデータベースを公開することなしに計算することと、
前記計算されたエントロピーの測度がプライバシー閾値を満たすかどうかを判定することと、
前記計算されたエントロピーの測度が前記プライバシー閾値を満たすとの決定に応答して、前記サニタイズされた匿名化されたデータベースを公開することと
を実行させる、
システム。
【請求項１７】
前記サニタイズされた匿名化されたデータベースの公開の結果としての前記エントロピーの測度を計算することは、
前記サニタイズされた匿名化されたデータベースの公開の結果としての前記サニタイズされた匿名化されたデータベース内の各ユーザごとの残留エントロピーを計算することと、
最小の計算された残留エントロピーを、前記サニタイズされた匿名化されたデータベースの公開に起因する前記エントロピーの測度として選択することと
を有する、
請求項１６に記載のシステム。
【請求項１８】
前記サニタイズされた匿名化されたデータベースは、該サニタイズされた匿名化されたデータベース内の各ユーザごとに１カラムを含み、
各ユーザごとの前記残留エントロピーを計算することは、対数項：
【数２８】
2019197535.tif 000033
に従う、
請求項１７に記載のシステム。
【請求項１９】
前記サニタイズされた匿名化されたデータベースは、該サニタイズされた匿名化されたデータベース内の各ユーザごとに複数のカラムを含み、
各ユーザごとの前記残留エントロピーを計算することは、対数項：
【数２９】
2019197535.tif 000034
に従う、
請求項１７に記載のシステム。
【請求項２０】
前記計算されたエントロピーの測度がエントロピーの第１測度であり、
前記命令の実行は更に、前記１以上のプロセッサに、
前記計算されたエントロピーの測度が前記プライバシー閾値を満たさないとの決定に応答して、前記サニタイズされた匿名化されたデータベースを更にサニタイズすることと、
前記更にサニタイズされた匿名化されたデータベースの公開に起因するエントロピーの第２測度を、前記更にサニタイズされた匿名化されたデータベースを公開することなしに計算することと、
前記計算されたエントロピーの第２測度が前記プライバシー閾値を満たすかどうかを判定することと
を実行させる、
請求項１６に記載のシステム。
【発明の詳細な説明】
【技術分野】
【０００１】
本開示は、プライバシー保護に概して関係がある。
【背景技術】
【０００２】
データ公開は、匿名性を解除する攻撃（de-anonymization  attacks）を受ける可能性がある。匿名性を解除する攻撃は、何らかの特定の公開データに関連した個人を特定しようと試みることがある。個人は、名前、電話番号、住所、社会保障及び／又は他の一意の識別番号、などのような、伝統的に個人的な識別子が公開データにおいて見られない場合でさえ、データに関連付けられ得る。例えば、アメリカ合衆国の人口のうちの約８７パーセントは、性別、生年月日、及び５桁の郵便番号に基づき一意に識別され得ることが観測されている。よって、匿名性は、データに含まれる個人についての伝統的な識別子をデータが含まない場合でさえ、達成され得ない。
【０００３】
本開示の請求される主題は、上述されたような環境でしか動作しない実施形態、又は上述されたようなあらゆる欠点を解消する実施形態に制限されない。むしろ、この背景は、本開示で記載されているいくつかの実施形態が実施され得る技術範囲の一例を説明するためにのみ与えられている。
【発明の概要】
【０００４】
いくつかの例に従って、コンピュータにより実施される方法であって、データベースの公開の結果としての潜在的なプライバシー侵害を検出する方法が記載される。例となる、コンピュータにより実施される方法は、データベースを匿名化することと、匿名化されたデータベースの公開に起因するエントロピーの測度を、その匿名化されたデータベースを公開することなしに計算することとを含んでよい。方法は、計算されたエントロピーの測度がプライバシー閾値を満たすかどうかを判定することと、計算されたエントロピーの測度がプライバシー閾値を満たすとの決定に応答して、匿名化されたデータベースを公開することとを更に含んでよい。方法は、計算されたエントロピーの測度がプライバシー閾値を満たさないとの決定に応答して、匿名化されたデータベースの公開を許可しないことを更に含んでよい。
【０００５】
実施形態の目的及び利点は、少なくとも、特許請求の範囲で特に指し示されている要素、特徴、及び組み合わせによって、実現及び達成され得る。
【０００６】
前述の概要及び以下の詳細な説明は両方とも、例として与えられており、請求される本発明の限定ではなく説明である。
【図面の簡単な説明】
【０００７】
例となる実施形態は、添付の図面の使用を通じて更なる特定及び詳細をもって記載及び説明されることになる。
【０００８】
【図１】例となるターゲティング広告システムを表す図である。
【図２】例となるデータ公開システムの選択された構成要素を表すブロック図である。
【図３】プライバシー侵害を検出及び防止する、例となるプロセスを表すフロー図である。
【図４】本開示で様々に記載される技術のいずれかを実行するために使用され得る、例となるコンピュータシステムの選択された構成要素を表すブロック図である。
【０００９】
以上の図は、本開示の少なくともいくつかの実施形態に従う。
【発明を実施するための形態】
【００１０】
データ公開は、匿名性を解除する攻撃を受ける可能性がある。いくつかの既存の技術は、匿名性を解除する攻撃を阻止する方法でデータを匿名化しようと試みている。いくつかの従来の匿名化技術は、匿名性の解除を受けやすいままであることがあり、且つ／あるいは、いくつかの用途についてそれらの技術を次善なものとしうる方法でデータを匿名化することがある。例えば、いくつかの従来の匿名化技術は、公に利用可能なデータとの比較を通じて特定のユーザに関連付けられ得るデータをもたらす可能性がある。また、いくつかの従来の匿名化技術は、結果として現れるデータを受信するシステムに関係があり得る情報を消し去る可能性がある。例えば、従来の匿名化技術は、オンライン広告システムのようなレコメンダシステムと不適合であり得る。例えば、いくつかの従来の匿名化技術では、ロウ（row）の照会又はデータへのトレースバックが容易にならないことがある。
【００１１】
いくつかの場合に、従来の匿名化技術により匿名化された個人的データは、公的データ（公然の情報）との比較を通じて匿名性を解除される可能性がある。例を挙げると、個人的評定データが、顧客識別情報を取り除かれて公開されることがある。個人的評定データは、ユーザによって製品及び／又はサービスに割り当てられた個人的な評価を反映し得る。公的評定データは、ユーザによって製品及び／又はサービスに割り当てられた公然の評価を反映し得る。個人的評定データは、公的評定データと関連すると知られているユーザに個人的データを関連付けるべく公的評定データと比較される可能性がある。このようにして、例えば、公的データに含まれ得ない個人的データのような、ユーザが個人的であると信じているデータは、ユーザによって認められない方法で個人的データを使用し得る、匿名性を解除する攻撃によって、公然とユーザと関連付けられ得る。
【００１２】
更に、従来の匿名化アルゴリズムは、匿名性を解除する攻撃に耐えようとする試みの中で、関連データを消し去ることがある。例えば、いくつかの匿名化アルゴリズムは、特定のユーザに関連する識別特徴が同じデータベース内の数人の別のユーザと整合するように属性を消去及び／又は一般化することがある。然るに、関連情報は消去又は一般化される可能性がある。
【００１３】
他の従来の匿名化アルゴリズムは、個人的データを公的データと照合することを阻止しようとする個々みの中で、個人的データ及び公的データに共通する個人的なデータベース入力を消し去ることがある。しかし、いくつかの場合に、機械学習が、消去された入力を期待値で満たし、次いで、満たされた個人的データを公的データと関連付けるために用いられ得る。従来の匿名化技術では、公然の情報の存在下で、粗雑に使用される、個別化されたデータのための立証可能な定量的プライバシーが容易にならないことがある。
【００１４】
このために、本願では、新しいデータ（新しい情報）の公開により生じ得るプライバシーの新しい測度を定量化し、新しいデータの公開がプライバシー侵害をもたらす可能性がある場合にはその新しいデータを公開しない技術が、開示される。プライバシー侵害は、例えば、新しいデータを公開した結果としてのプライバシーの測度がプライバシー閾値を満たすことができない場合に、起こる可能性がある。よって、本明細書で開示される実施形態のうちのある実施形態に従って、改善されたデータ公開技術は、新しいデータの公開により生じ得るプライバシーの信頼できる定量化、定量化されたプライバシーとプライバシー閾値との比較に基づくプライバシー侵害の発生の決定、及び新しいデータを公開しないことによるプライバシー侵害の防止を提供する。それらの技術は、ユーザのプライバシーが侵害されないことを確かにする方法で新しいデータの公開を促す。ここで使用されるように、語「プライバシー」は、その一般的且つ通常の意味に加えて、不確実性又は秩序若しくは予測可能性の欠如をいう。語「エントロピー」は、不確実性の標準測度であり、より高い不確実性はより高いプライバシーを示す。
【００１５】
本開示のいくつかの実施形態に従って、データ公開システムは、ここで開示される改善されたデータ公開技術の一部又は全てを実装してよい。例となる実施において、データ公開システムは、新しいデータの公開に起因するエントロピーの測度を決定するよう構成されるデータ公開部を含んでよい。例となる実施形態において、データ公開部は、例えば、新しいデータの公開の結果としての、新しいデータに関連した各ユーザごとのエントロピーの新しい測度を計算し、エントロピーの最小の計算された新しい測度（例えば、所与のユーザについての最小の計算された新しいエントロピー）を、新しいデータの公開により生じ得る新しいエントロピーであると決定してよい。いずれの場合にも、データ公開部は、新しいデータの公開の結果として残存し得るエントロピーの新しい測度を計算する。
【００１６】
それら及び他の実施形態において、データ公開部は、計算された新しいエントロピーがプライバシー閾値を満たすかどうかを判定するよう構成されてもよい。プライバシー閾値が満たされないことに応答して、プライバシー侵害検出部は、プライバシー侵害を検出してよい（例えば、プライバシー侵害が新しいデータの公開によって起こる可能性があると決定する。）。この場合に、データ公開システムは、例えば、新しいデータを更に無秩序化及び／又は匿名化することによって、新しいデータをサニタイズし、再び、そのサニタイズされたデータがプライバシー侵害のリスクを低減されて公開され得るかどうかを判定してよい。いくつかの実施形態において、データ公開システムは、データを無秩序化し、ノイズをデータに加え、データの量若しくはボリュームを減らし、又は別なふうに何らかの適切な代替若しくは変更を行って新しいデータの不確実性を増大させることによって、新しいデータをサニタイズしてよい。
【００１７】
プライバシー閾値が満たされることに応答して、データ公開部は、新しいデータの公開によってプライバシー侵害が起こる可能性がないと決定し、新しいデータの公開を許可する。いずれの場合にも、データ公開システムは、新しいデータにおけるユーザの属性の不確実性が、新しいデータの公開によってさえ、指定されたプライバシー閾値を満たすレベルにある点で、プライバシーを保護するものである。いくつかの実施形態において、新しいデータは、データベース内のユーザの身元が匿名化される（例えば、隠される）ところの匿名化されたデータベースに含まれてよい。例えば、匿名化されたデータベース内のユーザ識別子は、対応する追跡データ又は他の適切なランダム番号により置き換えられてよい。
【００１８】
開示されている技術は、新しいデータの公開によりもたらされる立証可能な定量的測度を促進することと、新しいデータの公開がプライバシー侵害を生じさせる可能性があるかどうかの、プライバシー閾値に基づく判定とにおいて、精度及び効率を大いに改善する。意味のある利点は、プライバシーを正確に且つ定量的に測定するとともに、新しいデータの公開により生じる可能性があるプライバシー侵害を、新しいデータを実際に公開する必要なしに検出する能力を含め、実現され得る。それら及び他の利点及び代替の実施形態は、本開示に照らして明らかである。
【００１９】
これより図を参照すると、図１は、本開示の少なくともいくつかの実施形態に従って、例となるターゲティング広告システム１００を表す図である。表されるように、システム１００は、ユーザ１０２と、関連するユーザデバイス１０４とを含んでよい。ユーザデバイス１０４は、インターネットへ接続すること及び／又はワールドワイドウェブをナビゲートすることが可能なデバイスを含んでよい。例えば、ユーザデバイス１０４は、デスクトップコンピュータ、ラップトップコンピュータ、タブレットコンピュータ、携帯電話機、ウェアラブルデバイス、若しくは同様のもの又はそれらのあらゆる組み合わせを含んでよい。
【００２０】
ユーザデバイス１０４は、パブリッシャー１０６と相互作用し、パブリッシャー１０６からコンテンツを受け取ってよい。パブリッシャー１０６は、ユーザデバイス１０４へコンテンツを供給するか、又は別なふうにそれを利用可能にしてよい。コンテンツは、ウェブサイト、ウェブページ、インターネット接続アプリケーション、若しくは同様のもの又はそれらのあらゆる組み合わせを含んでよい。
【００２１】
更に、広告が、市場サービス１０８からユーザデバイス１０４へ配信されてよい。広告は、パブリッシャー１０６からのコンテンツと一緒に表示されるか、パブリッシャー１０６からのコンテンツに組み込まれるか、パブリッシャー１０６からのコンテンツに対して別個のフレーム、ウィンドウ、又はタブにおいて表示されるか、若しくは同様にして又はそれらのあらゆる組み合わせにおいて提供されてよい。広告をユーザデバイス１０４へ配信する機会は、広告インプレッションとして記載されることがある。
【００２２】
市場サービス１０８は、広告交換サービス、広告オークションサービス、若しくは同様のもの又はそれらのあらゆる組み合わせを含んでよい。市場サービス１０８は、一般に、ユーザ１０２のようなユーザ、及び／又はユーザデバイス１０４のようなユーザデバイスを、ターゲティング広告と照合してよい。市場サービス１０８は、例えば、ユーザデバイス１０４及び／又はユーザ１０２に関連するインターネットクッキーデータを受信してよい。
【００２３】
市場サービス１０８は、広告ネットワーク１１０ａ及び広告ネットワーク１１０ｂ（集合的に“広告ネットワーク１１０”）のような広告ネットワークとクッキーデータを共有してよい。広告ネットワーク１１０は、市場サービス１０８に付け値を提示してよい。付け値は、特定の広告がユーザデバイス１０４へ配信される場合に広告ネットワーク１１０が支払う意思がある金額、若しくはユーザ１０２が広告に関連した位置へナビゲートする場合に広告ネットワーク１１０が支払う意思がある金額、又は同様のもの、あるいは、それらのあらゆる組み合わせを反映してよい。
【００２４】
広告ネットワーク１１０は、一般に、広告エンティティ１１２ａ、広告エンティティ１１２ｂ、及び広告エンティティ１１２ｃ（集合的に“広告エンティティ１１２”）のような広告エンティティに関連した広告キャンペーンを管理してよい。広告エンティティ１１２は、一般的に、ビジネス、チャリティ、政治団体、若しくは同様もの又はそれらのあらゆる組み合わせを含んでよい。広告キャンペーンは、広告がユーザ１０２のようなユーザによって見られ得るように、ユーザデバイス１０４のようなユーザデバイスへ配信されるべき広告を含んでよい。
【００２５】
例となる使用ケースとして、広告キャンペーンは、広告エンティティ１１２ａのような自動車メーカー広告エンティティに関連した特定の自動車のための１つ以上の広告を含んでよい。広告エンティティ１１２ａは、車両広告を広告ネットワーク１１０ａへ供給してよい。追加的に、又は代替的に、広告エンティティ１１２ａは、広告が配信され得る１つ以上の（購買）層を識別し得るルールを供給してよい。識別された１つ以上の層はユーザ１０２を含んでよい。広告エンティティ１１２ａは、代替的に、又は追加的に、広告がユーザデバイス１０４へ配信されるか、若しくはユーザによってクリックスルーされるか、又は同様のことが起こる場合に広告エンティティ１１２ａが支払う意思がある金額を特定し得る支払いルールを供給してよい。
【００２６】
広告ネットワーク１１０は、複数の広告エンティティからの複数の広告キャンペーンを有してよく、そして、付け値を広告サービス１０８へ示してよい。落札価格に関連した広告がユーザ１０２へ配信されてよい。例えば、広告ネットワーク１１０ａは、広告エンティティ１１２ａに関連した広告を配信すべく０．００３ドルの付け値を提示してよく、広告ネットワーク１１０ｂは、広告エンティティ１１２ｂに関連した広告を配信すべく０．０２ドルの付け値を提示してよい。０．００３ドルの付け値は落札価格であることができ、広告エンティティ１１２ａに関連した広告がユーザデバイス１０４へ配信され得る。
【００２７】
市場サービス１０８及び広告ネットワーク１１０は、ユーザ１０２、ユーザデバイス１０４、他のユーザ、及び他のユーザデバイスに関するデータを保持してよく且つ共有してよい。データは、広告インプレッション機会に入札をすべきかどうかを判定することを広告ネットワーク１１０に可能にし得る。代替的に、又は追加的に、データは、広告インプレッション機会に入札すべく金額を決定することを広告ネットワーク１１０に可能にし得る。例えば、広告エンティティ１１２は、特定の層へ広告を配信するよう支払ってよく、且つ／あるいは、他の層へ広告を配信するよう相対的に更に支払ってよい。
【００２８】
通常、そのようなデータは、匿名性を解除する攻撃を受けやすい可能性がある。例えば、データは、異なるユーザに関連した夫々のロウ（row）を有するデータベースを含んでよい。匿名性を解除する攻撃者は、データを他のデータベースからの公然の情報、例えば、ソーシャルネットワークからの情報、評価及びレビューサービス、議論ウェブサイト、公記録、一般人口内の特質を記述するデータ、若しくは同様のもの又はそれらのあらゆる組み合わせと比較してよい。
【００２９】
いくつかの実施形態において、サニタイズされたデータベースが、広告ネットワーク１１０及び市場サービス１０８による使用のために生成されてよい。サニタイズされたデータベースは、例えば、無秩序化されたデータベース又は別なふうに適切に変更されたデータベースであってよい。サニタイズされたデータベースは、広告ネットワーク１１０及び市場サービス１０８に、ユーザ１０２及び／又はユーザデバイス１０４に関する関連情報を提供するために使用されてよい。サニタイズされたデータベースは、代替的に、又は追加的に、匿名性を解除する試みに抵抗するよう構成されてよい。いくつかの実施形態において、サニタイズされたデータベースは、ユーザ１０２の興味及び行動に関する情報を含んでよい。例えば、サニタイズされたデータベースに含まれている情報は、ユーザ１０２のプライバシーを保つよう無秩序化されるか又は適切に変更されてよい。サニタイズされたデータベースは、ユーザ１０２のようなユーザ各人に関連し得る追跡データによって索引付けされてよい。追跡データは、追跡データが関連するユーザの特定の身元に関する情報を提供し得ないように、ランダムに選択されてよい。例えば、ユーザ身元情報を提供しないよう、ユーザに関連した追跡データを用いて、サニタイズされたデータベースを索引付けすることは、匿名化されたサニタイズされたデータベースを生成し得る。いくつかの実施形態において、追跡データは、市場サービス１０８及び／又は広告ネットワーク１１０によるサニタイズされたデータベースへのロウ（row）の照会又はトレースバック要求を容易にし得る。
【００３０】
いくつかの構成において、ユーザ１０２に関する情報は、サニタイズされたデータベースから市場サービス１０８及び／又は広告ネットワーク１１０へ供給されてよい。例えば、ユーザ１０２及び／又はユーザデバイス１０４に関連したデータのロウが市場サービス１０８及び／又は広告ネットワーク１１０へ供給されてよい。広告ネットワーク１１０は、サニタイズされたデータベースからの情報を使用して、ユーザ１０２に対する広告インプレッションに入札をすべく金額を決定してよい。
【００３１】
いくつかの実施形態において、システム１００は、データ公開システム１１４を含んでよい。データ公開システム１１４は、サニタイズされたデータベースを生成してよい。データ公開システム１１４は、サニタイズされたデータベースからの情報を市場サービス１０８及び／又は広告ネットワーク１１０へ供給してよい。いくつかの構成において、データ公開システム１１４は、市場サービス１０８に含まれてもよく、サニタイズされたデータベースからの情報は、広告ネットワーク１１０へ供給されてよい。データ公開システム１１４は、サニタイズされたデータベース内の情報へのトレースバック要求を受け取ってよい。例えば、データ公開システム１１４は、サニタイズされたデータベースの追跡データに関連したデータに対する要求を受け、それに応えてよい。そのようなものとして、データ公開システム１１４は、様々な様態において、アノニマイザーとして機能してよい。
【００３２】
いくつかの実施形態において、データ公開システム１１４は、サニタイズされたデータベースを公開すること又は別なふうに利用可能にすることより前に、サニタイズされたデータベースの公開に起因し得るエントロピーを決定してよい。データ公開システム１１４は、次いで、サニタイズされたデータベースの公開に起因するエントロピーがプライバシー閾値を満たすかどうかを判定してよい。プライバシー閾値が満たされないことに応答して、データ公開システム１１４は、サニタイズされたデータベースの公開によってプライバシー侵害が起こる可能性があると決定してよい。そのような場合に、データ公開システム１１４は、プライバシー侵害が起こる可能性があるとの決定に応答して、サニタイズされたデータベースの公開を許可しない。対照的に、データ公開システム１１４は、プライバシー侵害が起こる可能性がないとの決定に応答して、サニタイズされたデータベースの公開を許可する。
【００３３】
図２は、本開示の少なくともいくつかの実施形態に従って、例となるデータ公開システム２００の選択された構成要素を表すブロック図である。データ公開システム２００は、特定の実施形態において、図１のデータ公開システム１１４に概して対応してよい。図２に示されるように、データ公開システム２００は、プロセッサ２０４及びデータ公開部２０６を含むコンピュータ装置２０２を含む。コンピュータ装置２０２は、データ公開部２０６を実行するよう構成される。データ公開部２０６は、アノニマイザー２０８、サニタイザー２１０、及びプライバシー侵害検出部２１２を含む。様々な実施形態において、コンピュータ装置２０２は、２、３例を挙げると、デスクトップコンピュータ、ノートブック、ラップトップ、タブレット、スマートフォン、モバイル機器、及び携帯電話機のような、パーソナルコンピュータ装置であってよい。他の実施形態において、コンピュータ装置２０２は、データ公開部２０６によって提供される機能性のような機能性を他のデバイス及びアプリケーションへ提供するよう構成されたサーバコンピュータ装置であってもよい。
【００３４】
様々な実施形態において、追加の構成要素（図示せず。例えば、ディスプレイ、ユーザ入力デバイス、非一時的メモリ、など）、又は表されている構成要素の一部が、本開示の適用範囲から外れることなしに用いられてもよい。例えば、他の実施形態は、アノニマイザー２０８、サニタイザー２１０、及びプライバシー侵害検出部２１２の様々な機能性をより少ないモジュール（例えば、１つ若しくは２つ）又は更なるモジュール（例えば、４若しくは５、又はそれ以上）へと一体化してもよい。その上、コンピュータ装置２０２の様々な構成要素は、いくつかの実施形態に従ってスタンドアローンのコンピュータシステム内に全てあってもよく、一方で、他では、複数のマシンにわたって分散されてもよいことが更に留意されるべきである。例えば、実施形態に従って、データ公開部２０６又はアノニマイザー２０８、サニタイザー２１０、及びプライバシー侵害検出部２１２の様々な機能性は、コンピュータ装置２０２とは別のコンピュータシステムに設けられてもよい。より一般的な意味では、ここで提供される機能コンポーネントの一体化及び分散の程度は、本開示を鑑みて明らかなように、実施形態ごとに大いに異なってよい。
【００３５】
データ公開部２０６は、必要に応じて、アノニマイザー２０８、サニタイザー２１０、及びプライバシー侵害検出部２１２のサービス及び機能性を利用して、新しいデータの公開に起因するプライバシー侵害の検出及び防止の全体的な制御を概して提供するよう構成される。特に、いくつかの実施形態に従って、データ公開部２０６は、例えば、新しいデータの公開より前に、新しいデータの匿名化及び／又はサニタイズを開始してよい。例となる実施において、新しいデータは、新データ・データベースＤにおいて供給されてよい。データベースＤは、所与のユーザごとに１つのロウである一連のロウと、ユーザの属性の組とを含んでよい。ここで、各ユーザは、Ｕと表され得る世界中の個人又は‘ユーザ’ｕ１、ｕ２、・・・の集合の中のユーザｕであってよい。ユーザの関心のある属性であるデータベースＤ内のカラム（column）の組のドメインは、Ｘと表され得る。データベースＤにおいて、ユーザｕについてのカラム値は、Ｄｕと表され得る。然るに、データベースＤは、ユーザの集合から、そのユーザの集合に含まれる各ユーザごとの属性Ｘの対応する組へのマッピングを提供する。更に、全てのそのようなデータベースＤは、ＵからＸまでの関数の組であるドメインｄに含まれてよい。上記の関係は、次のように表され得る：
【数１】
2019197535.tif 000003
【００３６】
このために、世界中にユーザの一定の集合が存在し、それらのユーザの身元は公に知られている（公的データ）との妥当な推論（reasonable  inference）がデータ公開部２０６によってなされ得る。更に、各ユーザごとに、属性Ｘの集合に関する先見分布（priori  distribution）が存在し、全てのユーザにわたって総計された分布は、次によって表されるように、Ｐと表され得る：
データベースに関する分布Ｐ：ｄ→［０，１］      ［３］。
【００３７】
いくつかの実施形態において、データ公開部２０６は、匿名化された、いくつかの場合には、更にサニタイズされた新データ・データベースの公開に起因するエントロピーの測度の計算と、新データ・データベースの公開によってプライバシー侵害が起こる可能性があるかどうかを判定するための計算されたエントロピーとプライバシー閾値との比較とを開始してよい。プライバシー侵害が起こる可能性があるとの決定の場合に、データ公開部２０６は、新データ・データベース内の新しいデータの更なるサニタイズを開始し、更にサニタイズされた新データ・データベースの公開によってプライバシー侵害が起こる可能性があるかどうかを判定してよい。さもなければ、プライバシー侵害が起こる可能性がない場合に、データ公開部２０６は、匿名化された新データ・データベースを公開してよい。
【００３８】
プライバシー閾値は、例えば、新しいデータの提供者によって、適切な値であるよう予め設定又は指定されてよい。１つの実施形態に従って、プライバシー閾値は、データベースＤのような新データ・データベース内のカラムの数に基づいてよい。例えば、カラムがバイナリカラムである（例えば、値１又は０を含む）場合に、新データ・データベース内のいずれかのユーザがｘビットの情報（ｘ個のバイナリカラム）を有するならば、プライバシー閾値は、０からｘの間のいずれかの数であってよい。いくつかの実施形態において、プライバシー閾値は、調整可能なパラメータであってよい。例えば、プライバシー閾値は、データ公開システム２００によってアクセス可能であるコンフィグレーションファイルにおいて指定されてよく、システムアドミニストレータ（又は他の認定ユーザ）は、データ公開システム２００の特定の性能を達成するようプライバシー閾値を調整又は調節してよい。そのようなものとして、システムアドミニストレータは、新しいデータの公開による特定のプライバシーレベルを実現するようプライバシー閾値を調整してよい。本開示を鑑みて明らかなように、プライバシー閾値のレベルは、３つ例を挙げれば、新しいデータのタイプ、新しいデータの繊細さ、及び新しいデータのボリュームのような因子に基づきセットされてよい。例えば、医療及び金融データは、音楽又は食べ物の好みデータよりも細心の注意を払うべきである。より高いプライバシー閾値は、より低いプライバシー閾値と比べて、より高いレベル又は程度のプライバシーを提供するということで、プライバシー閾値は、細心の注意を払うべき新しいデータの場合に高いレベル（又は値）にセットされてよく、新しいデータがより細心の注意を払うべきであるほどレベルはますます高くなる。なお、より低いプライバシー閾値は、より高いプライバシー閾値と比較して、公開される新しいデータの有用性に関してより高いレベル又は程度を提供することに留意されたい。例えば、データコンシューマは、提供されるデータの一定レベルの正確さに依存する有効性を持ったアプリケーションを有することがある。そのような場合に、高いプライバシー閾値に基づきプライバシーを保つよう新しいデータをサニタイズ（無秩序化、ランダム化、など）することは、公開される新しいデータの有用性を事実上無効化し得る。
【００３９】
アノニマイザー２０８は、新データ・データベースを匿名化するよう構成される。１つの実施形態に従って、アノニマイザー２０８は、ユーザのドメインＵ内のユーザｕを匿名化するよう、ユーザのドメインＵにマッピング関数τを適用してよい。例となる実施において、マッピング関数τは、ユーザのドメインＵに含まれる各ユーザｕを、ランダムな追跡データ、ランダム番号、又は他の適切なランダム識別子のような索引の組と対にする全単射関数であってよい。ここで、マッピング関数τをユーザのドメインＵに適用することは、ユーザの対応する匿名化されたドメインＵ′を生成する。これは、次のように表され得る：
マッピング関数τ：Ｕ→Ｕ′        ［４］
本開示を鑑みて明らかなように、アノニマイザー２０８は、マッピング関数τを、データベースＤに含まれているユーザｕに適用して、対応する匿名化されたデータベースＤ′を生成してよい。これは、次のように表され得る：
マッピング関数τ：Ｄ→Ｄ′        ［５］
ここで、データベースＤ′は、いくつかの実施形態に従って、データベースＤに含まれているユーザｕの識別子がデータベースＤ′内の対応するランダムな追跡データにより置き換えられ得るところの匿名化されたデータベースである。
【００４０】
サニタイザー２１０は、新データ・データベースＤをサニタイズするよう構成される。１つの実施形態に従って、サニタイザー２１０は、サニタイズされたデータベースＤ′を生成するよう、Ｐ及びデータベースＤを入力としてとる適切なメカニズムＭを適用してよい。これは、次のように表され得る：
メカニズムＭ：Ｄ→Ｄ′        ［６］
ここで、サニタイズされたデータベースＤ′は、データベースのサニタイズされたバージョンである。
【００４１】
１つの実施形態に従って、メカニズムＭは、サニタイズされたデータベースＤ′を生成するようにデータベースＤの値を無秩序化するよう動作してよい。データベースの値を無秩序化することは、無秩序化されたデータベース内でデータの細かさ、精度、及び／又は正確性を低減することを概して含んでよい。例えば、データベース値が実数を含む場合に、ガウス雑音のような、先験的に定義された分散からのノイズが値に適用又は付加され得る。追加的に、又は代替的に、データベース値がカテゴリー値を含む場合に、値は、より少ないカテゴリーを提供するよう無秩序化されてよい。例えば、データベース値が郵便番号入力を含む場合に、郵便番号は切り捨てられてよい。例えば、郵便番号９４０８５は９４０８＊に無秩序化されてよく、あるいは、９４０＊＊に無秩序化されてよい。データベースを無秩序化することはまた、例えば、３つ例を挙げれば、データベースから１以上のカラムを落とすこと、データベース内の他のカラムよりも細心の注意を払うべきであると見なされるカラムを落とすこと、及びデータベース内で類似している行をクラスタ化し、データベース内の各行ごとの対応するクラスタ平均を公開することを含んでよい。
【００４２】
いくつかの実施形態において、比較的有用性が高い入力は、相対的にそれほど無秩序化されなくてよい。追加的に、又は代替的に、比較的有用性が低い入力は、相対的に更に無秩序化されてよい。例えば、いくつかの実施において、サニタイズされたデータベースからの情報の受信者、例えば、図１の市場サービス１０８及び／又は広告ネットワーク１１０にとって比較的関心が高い入力は、相対的にそれほど無秩序化されなくてよい。然るに、例えば、比較的有用性が低い入力は、受信者によって利用され得る情報を提供するよう、比較的有用性が高い入力よりも相対的に更に無秩序化されてよい。例として、郵便番号入力が比較的高い有用性を有し、年齢入力が比較的低い有用性を有している場合に、郵便番号入力は、無秩序化され得ず、あるいは、軽くしか無秩序化され得ず、年齢入力は、例えば、特定の年齢を年齢範囲、例えば、１８歳未満、１８〜２９歳、３０〜４４歳、４５〜６０歳、６１歳以上、などに変更することによって、大いに無秩序化され得る。いずれのそのような場合にも、サニタイザー２１０は、データベースＤの値を無秩序化して、サニタイズされたデータベースＤ′を生成するよう、メカニズムＭを適用してよい。
【００４３】
プライバシー侵害検出部２１２は、新しいデータの公開に起因するプライバシー侵害の発生を検出するよう構成される。いくつかの実施において、例えば、新しいデータは、データベースＤにおいて提供されてよい。そのような場合に、上述されたように、データベースＤは、匿名化及びサニタイズされてよく、匿名化され且つサニタイズされたデータベースＤは、τ（Ｍ（Ｄ，Ｐ））と表されてよい。１つの実施形態に従って、プライバシー侵害検出器２１２は、匿名化され且つサニタイズされたデータベースτ（Ｍ（Ｄ，Ｐ））の公開に起因するエントロピーの測度を計算するよう構成される。計算されたエントロピーの測度は、τ（Ｍ（Ｄ，Ｐ））の公開後の残留又は“余りの”エントロピーである。
【００４４】
特に、１つの実施形態に従って、τ（Ｍ（Ｄ，Ｐ））の公開によりもたらされる、全世界の全てのユーザＵの中のユーザｕについての残留エントロピーは、次のように表現されてよい：
【数２】
2019197535.tif 000004
上記の式において、Ｈは、エントロピー測定のための標準記法であり、ＨＤ←Ｐ（ｕ，Ｄｕ）は、データベースτ（Ｍ（Ｄ，Ｐ））内の新しいデータの公開前の公的データを前提としたユーザｕについての現在のエントロピーの測度である。すなわち、ＨＤ←Ｐ（ｕ，Ｄｕ）は、データベースτ（Ｍ（Ｄ，Ｐ））の公開前の公的データに基づくユーザｕのプライバシーの以前の程度である。式［７］から、当然、データベースτ（Ｍ（Ｄ，Ｐ））の公開の結果としてのユーザｕについてのエントロピー損失は、データベースτ（Ｍ（Ｄ，Ｐ））の公開前の現在のエントロピーと、データベースτ（Ｍ（Ｄ，Ｐ））の公開後の残留エントロピーとの差であるということになり、これは、次のように表現されてよい：
【数３】
2019197535.tif 000005
よって、ユーザｕについてのプライバシー損失ΔＰｒｉｖａｃｙｕは、データベースτ（Ｍ（Ｄ，Ｐ））の公開の結果としてユーザｕに関して学習された情報の量である。更に、データベースτ（Ｍ（Ｄ，Ｐ））の公開の結果としての全ユーザについてのプライバシー損失は、夫々の個々のユーザｕについてのプライバシー損失の最大数（例えば、最大）であり、これは、次のように表現されてよい：
【数４】
2019197535.tif 000006
【００４５】
小規模ドメインのデータベース公開についての例となる使用ケース及び実施形態において、新データ・データベースＤがｎ人のユーザｕ１，ｕ２，・・・，ｕｎを含むとする。また、データベースＤは、各ユーザｕｉごとに単一ビット（例えば、単一のバイナリカラム）を含み、
（外１）
2019197535.tif 000007
は、ビットｓｉが１である確率であるとする。例えば、ビット（カラム）は、４つ例を挙げれば、“犬を飼っている”、“トラックを所有している”、“家を所有している”、及び“既婚”といったユーザ属性に関する情報を提供してよい。ここで、カラムは、夫々の属性の値が１又は０のどちらか一方をとり得るという点で、単ビット属性である。値は、カラムによって特定されている属性がそのユーザについて真（１）又は偽（０）であるかどうかを示す。単一ビットの場合に、データベースＤのドメインサイズは、単一ビットが１又は０のどちらか一方をとり得るという点で、２であることに留意されたい。上記のデータベースＤの匿名化されたバージョンがｔ個の多数の１を有して公開されるならば、ユーザｕｉについての残留エントロピーは、次の通りである：
【数５】
2019197535.tif 000008
上記の式において、ｑｉは、ユーザｕｉの属性（ビット）が１である確率であり、これは更に、次のように表現されてよい：
【数６】
2019197535.tif 000009
ここで表されている対数は、底２に関することに留意されたい。
【００４６】
１つの実施形態に従って、式［１１］は、表を数えるコイントス確率計算技術を適用することによって、評価されてよい。表を数える技術は、ｎ個のバイアスコインが独立して無作為に投げられるときに正確にｋ回の表を得る確率を決定するために利用されてよい。なお、ｐｉは、ｉ番目のコインが表になる確率である。ｎ個のバイアスコインの組は、Ｓｎ＝｛ｃｏｉｎ１，・・・ｃｏｉｎｎ｝と表現されてよい。φ＝Ｓ０⊂Ｓ１⊂Ｓ２・・・⊂Ｓｎ＝｛ｃｏｉｎ１，・・・ｃｏｉｎｎ｝であり、ｉ番目の偏ったコインについての組Ｓは、Ｓｉ＝Ｓｉ−１∪｛ｃｏｉｎｉ｝と表されてよい。Ｐ（ｉ，ｋ）は、組Ｓｉに含まれるコインを投げるときに正確にｋ回の表を得る確率を表すとする。この場合に、ｉ∈［１，ｎ］の場合に、Ｐ（ｉ，０）は、次のように表現されてよい：
【数７】
2019197535.tif 000010
ｉ∈［２，ｎ］、ｋ∈［０，ｉ−１］の場合に、Ｐ（ｉ，ｋ）は、次のように表現されてよい：
【数８】
2019197535.tif 000011
Ｐ（ｉ，ｋ）は、高速フーリエ変換に基づく多項式乗算技術を用いて、Ｏ（ｎ２）回の計算により、時間Ｏ（ｎ（ｌｏｇｎ）２）において計算され得ることが理解されよう。
【００４７】
上記のｑｉの式［１１］にコイントス法を適用すると、式［１１］の分子は、
（外２）
2019197535.tif 000012
と（コインｓｉを差し引いた組Ｓからコインを投げるときの正確にｔ−１回の表の確率）との積として評価される。コインｓｉはユーザｕｉに関連し、コインｓｉを投げることは、ユーザｕｉのビットが１（表）又は０（裏）であるかどうかを判定することに留意されたい。また、式［１１］の分母は、（組Ｓからコインを投げるときの正確にｔ回の表の確率）として評価されてよい。このようにして、データベースτ（Ｍ（Ｄ，Ｐ））が各ユーザｕｉごとに単一ビットｓｉを含み、データベースτ（Ｍ（Ｄ，Ｐ））がｔ個の多数の１を有して公開される場合について、プライバシー侵害検出部２１２は、上述されたように、−（ｑｉｌｏｇｑｉ＋（１−ｑｉ）ｌｏｇ（１−ｑｉ））であるユーザｕｉについての残留エントロピーを計算し得る。ユーザｕｉについての計算された残留エントロピーは、各ユーザごとに単一ビットを含むデータベースτ（Ｍ（Ｄ，Ｐ））の公開により生じる残りのエントロピーであることに留意されたい。更に、残りのエントロピーを決定するために計算された確率は、データベースτ（Ｍ（Ｄ，Ｐ））内の新しいデータが公開されて公にされたとして、公的データに関することに留意されたい。
【００４８】
上述されたように、ユーザｕｉについての残留エントロピーを決定するための対数項［１０］の評価は、データベースＤが各ユーザｕｉごと単一ビットを含む場合に当てはまる。本開示を鑑みて明らかなように、対数項［１０］は、複数のカラム（例えば、２つのカラム、３つのカラム、など）のようなより大きいドメインサイズへ拡張されてよい。特に、コイントス法は、以下で詳述されるように、各ユーザｕｉごとに複数のビット（例えば、複数のカラム）を含むデータベースＤの公開の結果としてのユーザｕｉについての残留エントロピーを計算するために適用されてよい。
【００４９】
コイントス法を、より大きいドメインサイズを有するデータベースの公開に拡張するならば、公開されたデータベースは、各ユーザｕごとにドメインサイズＴを有し、
（外３）
2019197535.tif 000013
は、ｊ∈［１，ｔ］の場合に、ｉ番目のコインがｓｔａｔｅｊを出力（例えば、生成）する確率であるとする。ここで、データベースは、データベースに含まれている各ユーザごとにｌｏｇ（Ｔ）個のビットを含む。上述されたように、単ビット属性の場合に、夫々の属性は１又は０のどちらか一方をとり得る。次いで、当然、Ｎ個の単ビット属性の場合に、ドメインサイズＴは、Ｎ個の属性についてのとり得る値の総数が２Ｎであるという点で、２Ｎ（Ｔ＝２Ｎ）であるということになる。一般的な意味において、データベースのドメインサイズは、データベースに含まれている情報の量に基づく。更に、ｓｔａｔｅｊは、１人の特定のユーザｕの属性の状態を指す。例えば、ｉ番目のコインがｓｔａｔｅｊを出力する場合に、例えば、ｓｔａｔｅｊはユーザｕｊの属性の状態を指す。Ｐ（ｉ，ｋ１，ｋ２，・・・，ｋＴ）は、組Ｓｉに含まれるコインを投げるときに、ｊ∈［１，ｔ］として、正確にｋｊ個の多数のｓｔａｔｅｊを得る確率を表し、これは、Σｊ＝１Ｔｋｊ＝ｉと表現されてよい。Ｐ（ｉ，ｋ１，ｋ２，・・・，ｋＴ）は、次いで、次のように表現されてよい：
【数９】
2019197535.tif 000014
Ｐ（ｉ，ｋ１，ｋ２，・・・，ｋＴ）は、Ｔ次元の動的プログラミングを用いて時間Ｏ（ｎＴ）において推定され得ることが理解されよう。
【００５０】
複数カラムのデータベースの公開についての例となる使用ケース及び実施形態において、データベースτ（Ｍ（Ｄ，Ｐ））のような新データ・データベースは、ｋ１個の多数のｓｔａｔｅ１、ｋ２個の多数のｓｔａｔｅ２、・・・、及びｋＴ個の多数のｓｔａｔｅＴを有して公開されているとする。この場合に、ユーザｕｉについての残留エントロピーは、次の通りである：
【数１０】
2019197535.tif 000015
上記の式でｑｉｊは、ユーザｕｉの属性がｓｔａｔｅｊにある確率であり、これは更に、次のように表現されてよい：
【数１１】
2019197535.tif 000016
【００５１】
上記のＰ（ｉ，ｋ１，ｋ２，・・・，ｋＴ）と同様に、Ｐ（Ｓ，ｋ１，ｋ２，・・・，ｋＴ）は、組Ｓの中のコインを投げるときに、正確にｋ１個の多数のｓｔａｔｅ１、ｋ２個の多数のｓｔａｔｅ２、・・・、及びｋＴ個の多数のｓｔａｔｅＴを得る確率を表す。ｊ∈［１，Ｔ］についての全てのＰ（Ｓ＼｛ｉ｝，ｋ１，ｋ２，・・・，ｋｊ−１，・・・，ｋＴ）項は、より高次の項Ｐ（Ｓ＼｛ｉ｝，ｋ１，ｋ２，・・・，ｋｊ，・・・，ｋＴ）を計算するときに評価されることに留意されたい。
【００５２】
このようにして、データベースτ（Ｍ（Ｄ，Ｐ））が各ユーザｕｉごとに複数のビットｓｉを含み、データベースτ（Ｍ（Ｄ，Ｐ））がｋ１個の多数のｓｔａｔｅ１、ｋ２個の多数のｓｔａｔｅ２、・・・、及びｋＴ個の多数のｓｔａｔｅＴを有して公開される場合について、プライバシー侵害検出部２１２は、上述されたように、−（Σｊ＝１Ｔｑｉｊｌｏｇｑｉｊ）であるユーザｕｉについての残留エントロピーを計算してよい。ユーザｕｉについての計算された残留エントロピーは、各ユーザごとに複数のビットを含むデータベースτ（Ｍ（Ｄ，Ｐ））の公開により生じる残りのエントロピーであることに留意されたい。更に、残りのエントロピーを決定するために計算された確率は、データベースτ（Ｍ（Ｄ，Ｐ））内の新しいデータが公開されて公にされたとして、公的データに関することに留意されたい。
【００５３】
プライバシー侵害検出部２１２は更に、計算されたエントロピーの測度を使用して、匿名化され且つサニタイズされたデータベースτ（Ｍ（Ｄ，Ｐ））の公開がプライバシー侵害を生じさせる可能性があるかどうかを判定するよう構成される。より具体的に、プライバシー侵害検出部２１２は、計算されたエントロピーの測度とプライバシー閾値との比較に基づき、潜在的なプライバシー侵害を検出してよい。如何なるそのような場合でも、プライバシー侵害検出部２１２は、新しいデータを実際に公開すること又は公開する必要なしで、新しいデータの公開の結果としての潜在的なプライバシー侵害を検出することができる。
【００５４】
図３は、本開示の少なくともいくつかの実施形態に従って、プライバシー侵害を検出及び防止するための例となるプロセス３００を表すフロー図である。例となるプロセス３００において表されている手順、機能、又は動作は、いくつかの実施形態においては、データ公開システム２００によって、より具体的には、図２のコンピュータ装置２０２のデータ公開部２０６によって、実行されてよ。例となるプロセス３００の夫々のブロックにおいて記載されている手順、機能、又は動作はまた、コンピュータシステム４００のメモリ４０４及び／又はデータストレージ４０６のような、非一時的なコンピュータ可読媒体に、コンピュータ実行可能命令として記憶されてもよい。いくつかの場合に、プロセス３００は、コンピュータ装置２０２の構成要素によって実行されてよい。
【００５５】
本開示を鑑みて更に明らかなように、ここで開示されるこの及び他のプロセス及び方法について、プロセス及び方法において実行される機能は、別の順序で実装されてもよい。追加的に、又は代替的に、２以上の動作は、同時に、又はさもなければ、重なり合った同時発生的な様式で、実行されてもよい。更に、説明される動作及び手順は、開示されている実施形態の本質から外れることなしに、任意であっても、又はより少ない動作及び手順へとまとめられても、又は追加の動作及び手順へと拡張されてもよい。
【００５６】
図３を参照して、プロセス３００はブロック３０２から開始される。例となる使用ケースとして、広告交換サービスは、様々な広告ネットワークへユーザデータを供給しながらユーザプライバシーを保つことに関心を持ち得る。ユーザに関する新しいデータを広告ネットワークに公開する前に、広告交換サービスは、データ公開システム２００のようなデータ公開システムを利用して、新しいデータを公開することにより生じる可能性がある潜在的なプライバシー侵害をチェックしてよい。
【００５７】
ブロック３０４で、公開すべき新データ・データベースが、データ公開部２０６によって受け取られるか、又は別なふうにデータ公開部２０６に利用可能にされてよい。上記の広告交換サービスの例を続けると、新しいデータは、新データ・データベースに含まれてよい。
【００５８】
ブロック３０６で、アノニマイザー２０８は、新データ・データベースを匿名化する。例えば、新データ・データベースは、新データ・データベース内のユーザの識別子をランダムな追跡データにより置き換えることによって、匿名化されてよい。いくつかの実施形態において、アノニマイザー２０８は、新データ・データベースをサニタイザー２１０へ供給するか、又は別なふうにサニタイザー２１０に利用可能にしてよい。サニタイザー２１０は、次いで、新データ・データベース内の情報をサニタイズしてよい。例えば、サニタイザー２１０は、新データ・データベース内の１以上の値を無秩序化してよい。
【００５９】
ブロック３０８で、プライバシー侵害検出部２１２は、匿名化され、更には、いくつかの場合にサニタイズされた新データ・データベースの公開に起因する新しいエントロピーを計算する。例となる実施に従って、プライバシー侵害検出部２１２は、新データ・データベース内の各ユーザごとに、匿名化された新データ・データベースの公開に起因する残留エントロピーを計算してよい。新データ・データベース内の各ユーザごとの計算された各々の残留エントロピーから、プライバシー侵害検出部２１２は、最小の計算された残留エントロピー（例えば、最小の測度又は値を有している計算された残留エントロピー）を、匿名化された新データ・データベースの公開に起因する新しいエントロピーとして選択する。例えば、ユーザＡ及びユーザＢが新データ・データベースに含まれており、ユーザＡについての計算された残留エントロピーがユーザＢについての計算された残留エントロピーよりも小さいとする。この場合に、ユーザＡについての計算された残留エントロピー（例えば、秩序の欠如がより少ないことを表すより小さいエントロピー測度）が、匿名化された新データ・データベースに起因する新しいエントロピーとして選択される。すなわち、データベースについてのエントロピー（例えば、秩序の欠如）の新しい測度は、データベース内のあるユーザについての最小又は最低のエントロピー測度によって表される。
【００６０】
決定ブロック３１０で、プライバシー侵害検出部２１２は、匿名化された新データ・データベースの公開に起因する新しいエントロピーがプライバシー閾値を満たすかどうかを判定する。上記の広告交換サービスの例を続けると、プライバシー閾値は、例えば、広告交換サービスによって指定されてよい。上述されたように、より高いプライバシー閾値は、より高いプライバシーレベルを提供する。よって、潜在的なプライバシー侵害を検出するよう、匿名化された新データ・データベース内のあるユーザについての最小のエントロピー測度は、匿名化された新データ・データベースについての新しいエントロピーとして選択され、プライバシー閾値と比較されてよい。匿名化された新データ・データベースの公開に起因する新しいエントロピーがプライバシー閾値を満たさない場合には、次いで、プライバシー侵害検出部２１２は、匿名化された新データ・データベースの公開によってプライバシー侵害が起こる可能性があると決定し、そして、新データ・データベースの公開を許可しない。いくつかの実施において、プライバシー侵害検出部２１２は、プライバシー侵害の検出をユーザに警告するよう、警告メッセージ又は他の適切な視覚表示のような指示を供給してよい。いくつかの実施形態において、プライバシー侵害検出部２１２は、匿名化された新データ・データベースをサニタイザー２１０へ供給するか、又は別なふうにサニタイザー２１０に利用可能にしてよい。ブロック３１２で、サニタイザー２１０は更に、匿名化された新データ・データベースをサニタイズしてよい。いずれの場合にも、更にサニタイズされた新データ・データベースは、更にサニタイズされた新データ・データベースがプライバシー侵害のリスクを低減されて公開され得るかどうかを判定するよう、先と同じく処理されてよい。
【００６１】
さもなければ、決定ブロック３１０で、匿名化された新データ・データベースの公開に起因する新しいエントロピーがプライバシー閾値を満たす場合には、プライバシー侵害検出部２１２は、匿名化された新データ・データベースがプライバシー侵害のリスクを低減されて公開され得ると決定する。この場合に、プライバシー侵害検出部２１２は、匿名化された新データ・データベースの公開を許可する。例えば、プライバシー侵害検出部２１２は次いで、匿名化された新データ・データベースを公開のためにデータ公開部２０６へ供給するか、又は別なふうにデータ公開部２０６に利用可能にしてよい。
【００６２】
ブロック３１４で、データ公開部２０６は、匿名化された新データ・データベースを公開する。プロセス３００は次いで、ブロック３１４で終了する。
【００６３】
いくつかの実施形態において、追加又は代替の動作が実行されてもよい。例えば、１つの実施形態において、プライバシー侵害検出部２１２は、匿名化された新データ・データベースの公開に起因する新しいエントロピーがプライバシー閾値を満たすことができないとの決定時に、匿名化された新データ・データベースを更なる処理のためにサニタイザー２１０へ供給しなくてもよい。例えば、この場合に、プライバシー侵害検出部２１２は更に、プライバシー侵害の検出をログファイルに記録してよく、プロセス３００は、匿名化された新データ・データベースを公開しようと再度試みることなしに終了し得る。
【００６４】
図４は、本開示の少なくともいくつかの実施形態に従って、本開示で様々に記載される技術のいずれかを実行するために使用され得る、例となるコンピュータシステム４００の選択された構成要素を表すブロック図である。いくつかの実施形態において、コンピュータシステム４００は、図２のデータ公開システム２００に関連したエンジン、コンポーネント及び／又はモジュールの一部又は全てに関連した１つ以上の動作を実装又は指示するよう構成されてよい。例えば、アノニマイザー２０８、無秩序化部２１０、及びプライバシー侵害検出部２１２、又はそれらのあらゆる組み合わせを含むデータ公開部２０６が、コンピュータシステム４００において及び／又はそれを用いて実装されてよい。一例となるケースにおいて、例えば、データ公開部２０６、アノニマイザー２０８、無秩序化部２１０、及びプライバシー侵害検出部２１２の夫々は、メモリ４０４にロードされ、プロセッサ４０２によって実行され、新データ・データベースは、データストレージ４０６に含まれる。コンピュータシステム４００は、ワークステーション、デスクトップコンピュータ、サーバ、ラップトップ、携帯型コンピュータ、タブレットコンピュータ（例えば、ｉＰａｄ（登録商標）タブレットコンピュータ）、モバイルコンピュータ若しくは通信装置（例えば、ｉＰｈｏｎｅ（登録商標）モバイル通信装置、Ａｎｄｒｏｉｄ（登録商標）モバイル通信装置、など）、又は通信機能を有し、本開示で記載される動作を実行するのに十分なプロセッサ出力及びメモリ容量を備えている他の形態のコンピュータ若しくは電気通信装置のような、如何なるコンピュータシステムであってもよい。分散コンピュータシステムが設けられてもよく、これは、そのようなコンピュータシステムを複数含む。表されているように、コンピュータシステム４００は、プロセッサ４０２、メモリ４０４、及びデータストレージ４０６を含んでよい。プロセッサ４０２、メモリ４０４、及びデータストレージ４０６は、通信上結合されてよい。
【００６５】
一般に、プロセッサ４０２は、様々なコンピュータハードウェア、ファームウェア、又はソフトウェアモジュールを含む如何なる適切な特別目的又は汎用のコンピュータ、コンピュータエンティティ、又はコンピュータ若しくはプロセッシング装置も含んでよく、如何なる適用可能なコンピュータ可読記憶媒体にも記憶されるプログラム命令のような命令を実行するよう構成されてよい。例えば、プロセッサ４０２は、マイクロプロセッサ、マイクロコントローラ、デジタル信号プロセッサ（ＤＳＰ）、特定用途向け集積回路（ＡＳＩＣ）、フィールドプログラマブルゲートアレイ（ＦＰＧＡ）、あるいは、プログラム命令を解釈及び／若しくは実行するよう並びに／又はデータを処理するよう構成されたあらゆる他の適切なデジタル又はアナログ回路構成を含んでよい。図４では単一のプロセッサとして表されているが、プロセッサ４０２は、本開示で記載される動作をいくつでも個々に又は集合的に実行するよう又はその実行を指示するよう構成されたプロセッサ及び／又はプロセッサコアをいくつでも含んでよい。更に、プロセッサのうちの１以上は、異なるサーバのような１以上の異なる電子機器において存在してもよい。
【００６６】
いくつかの実施形態において、プロセッサ４０２は、メモリ４０４、データストレージ４０６、又はメモリ４０４及びデータストレージ４０６に記憶されているプログラム命令を解釈及び／若しくは実行するよう並びに／又は記憶されているデータを処理するよう構成されてよい。いくつかの実施形態において、プロセッサ４０２は、データストレージ４０６からプログラム命令をフェッチし、そのプログラム命令をメモリ４０４にロードしてよい。プログラム命令がメモリ４０４にロードされた後、プロセッサ４０２はプログラム命令を実行し得る。
【００６７】
例えば、いくつかの実施形態において、データ公開システム２００のエンジン、コンポーネント及び／又はモジュールのうちのいずれか１以上は、プログラム命令としてデータストレージ４０６に含まれてよい。プロセッサ４０２は、プログラム命令の一部又は全てをデータストレージ４０６からフェッチしてよく、フェッチされたプログラム命令をメモリ４０４にロードしてよい。プログラム命令をメモリ４０４にロードすることに続いて、プロセッサ４０２は、コンピュータシステムが命令によって指示されるように動作を実装し得るように、プログラム命令を実行してよい。
【００６８】
いくつかの実施形態において、仮想化がコンピュータシステム４００で用いられてもよく、それにより、コンピュータシステム４００におけるインフラストラクチャ及びリソースは動的に共有され得る。例えば、仮想マシンが、複数のプロセッサで実行されるプロセスを扱うよう設けられてもよく、それにより、プロセスは、複数の計算リソースよりむしろ、ただ１つの計算リソースを使用しているように見える。複数の仮想マシンも１つのプロセッサにより使用され得る。
【００６９】
メモリ４０４及びデータストレージ４０６は、コンピュータ実行可能命令又はデータ構造を運ぶか又は記憶しているコンピュータ可読記憶媒体を含んでよい。そのようなコンピュータ可読記憶媒体は、プロセッサ４０２のような汎用又は特別目的のコンピュータによってアクセスされ得る如何なる利用可能な媒体も含んでよい。例として、制限なしに、そのようなコンピュータ可読記憶媒体は、ランダムアクセスメモリ（ＲＡＭ）、リードオンリーメモリ（ＲＯＭ）、電気的消去可能なプログラム可能リードオンリーメモリ（ＥＥＰＲＯＭ）、コンパクトディスク型リードオンリーメモリ（ＣＤ−ＲＯＭ）若しくは他の光ディスクストレージ、磁気ディスクストレージ若しくは他の磁気記憶装置、フラッシュメモリデバイス（例えば、固体状態メモリ装置）、又はコンピュータ実行可能命令若しくはデータ構造の形で特定のプログラムコードを搬送若しくは記憶するために使用されてよく、且つ、汎用若しくは特別目的のコンピュータによってアクセスされ得る如何なる他の記憶媒体も含む非一時的なコンピュータ可読記憶媒体を含んでもよい。上記のものの組み合わせも、コンピュータ可読記憶媒体の適用範囲内に含まれてよい。コンピュータ実行可能命令は、例えば、プロセッサ４０２に特定の動作又は動作群を実行させるよう構成された命令及びデータを含んでよい。
【００７０】
変更、追加又は省略は、本開示の適用範囲から逸脱することなしにコンピュータシステム４００に対して行われてよい。例えば、いくつかの実施形態において、コンピュータシステム４００は、ここで明示的に図示又は記載されていない他の構成要素をいくつでも含んでよい。
【００７１】
上述されたように、本開示で記載される実施形態は、ここで更に詳細に論じられるように、様々なコンピュータハードウェア又はソフトウェアモジュールを含む特別目的又は汎用のコンピュータ（例えば、図４のプロセッサ４０２）の使用を含んでよい。明らかなように、汎用コンピュータが、本開示の実施形態に従って機能を実行するようプログラムされるか又は別なふうに構成されると、その汎用コンピュータは特別目的のコンピュータになる。更に、上述されたように、本開示で記載されている実施形態は、コンピュータ実行可能命令又はデータ構造を運ぶか又は記憶しているコンピュータ可読媒体（例えば、図４のメモリ４０４）を用いて実装されてもよい。
【００７２】
１つの例となる使用ケース及び実施形態において、ここで開示されるデータ公開システムは、医学研究のための医療データのプライバシー保護公開のために使用されてもよい。医学研究は、例えば、病気の診断及び観測可能な特性の間の相関を観測するために広範囲な患者データに依存し得る。また、特定の患者からのデータの一部は、医学研究機関が既に処理又は所有している情報であって、そのような特定の患者の識別にリンク付けされている情報と相関し得る。この場合に、病院が、患者に関する研究結果を得るために、それらの患者に関する匿名化されたデータを医学研究機関に公開することを望むとする。患者データの大部分は、２つ例を挙げると、インジケータの有無及び薬物の量のヒストグラム範囲のような、小規模のドメインにマッピングされてよい。いずれの場合にも、病院は、患者に関して何が公に知られているか、及び医学研究機関が患者に関して何を既に知っているかの既存の知識を有している。病院は次いで、病院が公開したい患者データをデータベースに含め、適切な匿名化メカニズムを適用して、匿名化されたデータベースを生成してよい。例えば、病院は、データ公開システムを使用して、データベース内の患者識別子（例えば、患者身元）を匿名化し、匿名化されたデータベースを生成してよい。病院はまた、データ公開システムを使用して、データベースをサニタイズし、患者の匿名化されたサニタイズされたデータベースを公開することがプライバシー侵害を生じさせる可能性があるかどうかを判定してよい。
【００７３】
他の例となる使用ケース及び実施形態において、データ公開システムは、匿名化された顧客データベースをプライバシー侵害のリスクの低下を伴って公開するために、企業によって使用されてもよい。例えば、企業は、研究団体がデータを解析し、特定の結果を生み出すための改善された予測子を生成し得るように、匿名化された顧客データベースを公開すること望むことがある。一例として、Ｎｅｔｆｌｉｘ社のようなエンターテイメント企業は、映画推薦を最適化するために、匿名化されたデータセットを公開するか、又は別なふうに提供することがある。他の例として、Ｙｅｌｐのような、クラウドソースされたレビュー及び推薦を提供するオンラインのサービスは、ビジネス推薦を最適化するために、匿名化されたデータセットを公開することがある。いずれのそのような場合にも、公開されたデータセットは、匿名性を解除する攻撃を受けやすく、そのようなデータセットを公開する企業へのダメージ及び個人のプライバシーの喪失が生じる可能性がある。それらの企業は、データセットを匿名化し、データセットの公開がプライバシー侵害を引き起こす可能性がない場合にそのデータセットを公開するよう、ここで開示されているデータ公開システムを使用することができる。
【００７４】
多数の例となる変形及び構成は、本開示の照らして明らかである。いくつかの例に従って、データベースの公開の結果としての潜在的なプライバシー侵害を検出する、コンピュータにより実施される方法が、記載される。例となる、コンピュータにより実装される方法は、データベースを匿名化することであり、前記データベースは、１以上のユーザと、前記データベース内の各ユーザごとの１以上のカラムとを含む、前記匿名化することと、前記匿名化されたデータベースの公開に起因するエントロピーの測度を、前記匿名化されたデータベースを公開することなしに計算することと、前記計算されたエントロピーの測度がプライバシー閾値を満たすかどうかを判定することと、前記計算されたエントロピーの測度が前記プライバシー閾値を満たすとの決定に応答して、前記匿名化されたデータベースを公開することとを含んでよい。
【００７５】
いくつかの例において、前記匿名化されたデータベースの公開の結果としての前記エントロピーの測度を計算することは、前記匿名化されたデータベースの公開の結果としての前記匿名化されたデータベース内の各ユーザごとの残留エントロピーを計算することと、最小の計算された残留エントロピーを、前記匿名化されたデータベースの公開に起因する前記エントロピーの測度として選択することとを含んでよい。他の例において、前記匿名化されたデータベースは、該匿名化されたデータベース内の各ユーザごとに１カラムを含み、各ユーザごとの前記残留エントロピーを計算することは、対数項：
【数１２】
2019197535.tif 000017
に従う。更なる他の例において、前記匿名化されたデータベースは、該匿名化されたデータベース内の各ユーザごとに複数のカラムを含み、各ユーザごとの前記残留エントロピーを計算することは、対数項：
【数１３】
2019197535.tif 000018
に従う。更なる他の例において、前記データベースを匿名化することは、前記データベース内の各ユーザのユーザ識別子を、ランダム追跡データ、ランダム番号、又はランダム識別子のうちの少なくとも１つと置き換えることを含んでよい。更なる他の例において、当該方法は、前記匿名化されたデータベースの公開に起因する前記エントロピーの測度を計算することより前に、前記匿名化されたデータベースをサニタイズすることを更に含んでもよい。更なる例において、当該方法は、前記計算されたエントロピーの測度が前記プライバシー閾値を満たさないとの決定に応答して、前記匿名化されたデータベースの公開を許可しないことを更に含んでもよい。また更なる例において、前記計算されたエントロピーの測度がエントロピーの第１測度であり、当該方法は、前記匿名化されたデータベースをサニタイズすることと、前記サニタイズされた匿名化されたデータベースの公開に起因するエントロピーの第２測度を、前記サニタイズされた匿名化されたデータベースを公開することなしに計算することと、前記計算されたエントロピーの第２測度が前記プライバシー閾値を満たすかどうかを判定することとを更に含んでもよい。
【００７６】
いくつかの例に従って、１以上のプロセッサによって実行される場合に、データベースの公開の結果としての潜在的なプライバシー侵害を検出するようプロセスが実行されるようにする命令により符号化された１以上の非一時的なマシン読出可能な媒体を含むコンピュータプログラム製品が、記載される。例となるプロセスは、アノニマイザーによって前記データベースを匿名化することであり、前記データベースは、１以上のユーザと、前記データベース内の各ユーザごとの１以上のカラムとを含む、前記匿名化することと、サニタイザーによって前記匿名化されたデータベースをサニタイズして、サニタイズされた匿名化されたデータベースを生成することと、プライバシー侵害検出部によって、前記サニタイズされた匿名化されたデータベースの公開に起因するエントロピーの測度を、前記サニタイズされた匿名化されたデータベースを公開することなしに計算することと、前記プライバシー侵害検出部によって、前記計算されたエントロピーの測度がプライバシー閾値を満たすかどうかを判定することと、前記計算されたエントロピーの測度が前記プライバシー閾値を満たすとの決定に応答して、前記プライバシー侵害検出部によって、前記サニタイズされた匿名化されたデータベースの公開を許可することとを含んでよい。
【００７７】
いくつかの例において、前記サニタイズされた匿名化されたデータベースの公開の結果としての前記エントロピーの測度を計算することは、前記サニタイズされた匿名化されたデータベースの公開の結果としての前記サニタイズされた匿名化されたデータベース内の各ユーザごとの残留エントロピーを計算することと、最小の計算された残留エントロピーを、前記サニタイズされた匿名化されたデータベースの公開に起因する前記エントロピーの測度として選択することとを含む。他の例において、前記サニタイズされた匿名化されたデータベースは、該サニタイズされた匿名化されたデータベース内の各ユーザごとに１カラムを含み、各ユーザごとの前記残留エントロピーを計算することは、対数項：
【数１４】
2019197535.tif 000019
に従う。更なる他の例において、前記サニタイズされた匿名化されたデータベースは、該サニタイズされた匿名化されたデータベース内の各ユーザごとに複数のカラムを含み、各ユーザごとの前記残留エントロピーを計算することは、対数項：
【数１５】
2019197535.tif 000020
に従う。更なる他の例において、前記データベースを匿名化することは、マッピング関数τをＤｏｍａｉｎ  Ｕｓｅｒｓに適用することを含む。更なる例において、前記匿名化されたデータベースをサニタイズすることは、前記匿名化されたデータベースの値を無秩序化することを含む。また更なる例において、前記計算されたエントロピーの測度がエントロピーの第１測度であり、前記プロセスは、前記計算されたエントロピーの測度が前記プライバシー閾値を満たさないとの決定に応答して、前記サニタイズされた匿名化されたデータベースを更にサニタイズすることと、前記更にサニタイズされた匿名化されたデータベースの公開に起因するエントロピーの第２測度を、前記更にサニタイズされた匿名化されたデータベースを公開することなしに計算することと、前記計算されたエントロピーの第２測度が前記プライバシー閾値を満たすかどうかを判定することとを更に含む。
【００７８】
他の例に従って、データベースの公開の結果としての潜在的なプライバシー侵害を検出するシステムが、記載される。例となるシステムは、命令を記憶するよう構成された１以上の非一時的なマシン読出可能な媒体と、前記１以上の非一時的なマシン読出可能な媒体に記憶されている前記命令を実行するよう構成された１以上のプロセッサとを含んでよい。前記１以上のプロセッサによる前記命令の実行は、前記１以上のプロセッサに、前記データベースを匿名化することであり、前記データベースは、１以上のユーザと、前記データベース内の各ユーザごとの１以上のカラムとを含む、前記匿名化することと、前記匿名化されたデータベースをサニタイズして、サニタイズされた匿名化されたデータベースを生成することと、前記サニタイズされた匿名化されたデータベースの公開に起因するエントロピーの測度を、前記サニタイズされた匿名化されたデータベースを公開することなしに計算することと、前記計算されたエントロピーの測度がプライバシー閾値を満たすかどうかを判定することと、前記計算されたエントロピーの測度が前記プライバシー閾値を満たすとの決定に応答して、前記サニタイズされた匿名化されたデータベースを公開することとを実行させてよい。
【００７９】
いくつかの例において、前記サニタイズされた匿名化されたデータベースの公開の結果としての前記エントロピーの測度を計算することは、前記サニタイズされた匿名化されたデータベースの公開の結果としての前記サニタイズされた匿名化されたデータベース内の各ユーザごとの残留エントロピーを計算することと、最小の計算された残留エントロピーを、前記サニタイズされた匿名化されたデータベースの公開に起因する前記エントロピーの測度として選択することとを含む。他の例において、前記サニタイズされた匿名化されたデータベースは、該サニタイズされた匿名化されたデータベース内の各ユーザごとに１カラムを含み、各ユーザごとの前記残留エントロピーを計算することは、対数項：
【数１６】
2019197535.tif 000021
に従う。更なる他の例において、前記サニタイズされた匿名化されたデータベースは、該サニタイズされた匿名化されたデータベース内の各ユーザごとに複数のカラムを含み、各ユーザごとの前記残留エントロピーを計算することは、対数項：
【数１７】
2019197535.tif 000022
に従う。更なる他の例において、前記計算されたエントロピーの測度がエントロピーの第１測度であり、前記命令の実行は更に、前記１以上のプロセッサに、前記計算されたエントロピーの測度が前記プライバシー閾値を満たさないとの決定に応答して、前記サニタイズされた匿名化されたデータベースを更にサニタイズすることと、前記更にサニタイズされた匿名化されたデータベースの公開に起因するエントロピーの第２測度を、前記更にサニタイズされた匿名化されたデータベースを公開することなしに計算することと、前記計算されたエントロピーの第２測度が前記プライバシー閾値を満たすかどうかを判定することとを実行させる。
【００８０】
本開示において使用されるように、語「エンジン」又は「モジュール」又は「コンポーネント」は、エンジン若しくはモジュール若しくはコンポーネントの動作を実行するよう構成された特定のハードウェア実施、並びに／又はコンピュータシステムの汎用ハードウェア（例えば、コンピュータ可読媒体、プロセッシング装置、など）によって記憶及び／若しくは実行され得るソフトウェアオブジェクト若しくはソフトウェアルーチンを指し得る。いくつかの実施形態において、本開示で記載される異なるコンポーネント、モジュール、エンジン、及びサービスは、コンピュータシステムで実行するオブジェクト又はプロセッサとして（例えば、別個のスレッドとして）実装されてもよい。本開示で記載されるシステム及び方法のうちのいくつかは、概して、（汎用ハードウェアによって記憶及び／又は実行される）ソフトウェアにおいて実装されるものとして記載されているが、特定のハードウェア実施、ファームウェア実施、又はそれらのあらゆる組み合わせも可能であり考えられている。本明細書において、「コンピュータエンティティ」は、本開示で以前に記載されたいずれかのコンピュータシステム、又はコンピュータシステムで実行されるいずれかのモジュール若しくはモジュールの組み合わせであってよい。
【００８１】
本開示において及び添付の特許請求の範囲（例えば、添付の特許請求の範囲の本文）において使用される用語は、一般的に「非限定的な（open）」用語として意図されている（例えば、「含んでいる（including）」という用語は、「・・・を含んでいるが限定されない（including,  but  not  limited  to）」と解釈されるべきであり、「有している（having）」という用語は、「少なくとも・・・を有している（having  at  least）」と解釈されるべきであり、「含む（includes）」という用語は、「・・・を含むが限定されない（includes,  but  is  not  limited  to）」と解釈されるべきである。）。
【００８２】
加えて、導入されたクレーム記載（introduced  claim  recitation）において特定の数が意図される場合、そのような意図は当該クレーム中に明確に記載され、そのような記載がない場合は、そのような意図も存在しない。理解を促すために、例えば、後続の添付する特許請求の範囲では、「少なくとも１つの（at  least  one）」及び「１以上の（one  or  more）」といった導入句を使用し、クレーム記載を導入することがある。しかし、このような句を使用するからといって、「a」又は「an」といった不定冠詞によりクレーム記載を導入した場合に、たとえ同一のクレーム内に、「１以上の」又は「少なくとも１つの」といった導入句と「a」又は「an」といった不定冠詞との両方が含まれるとしても、当該導入されたクレーム記載を含む特定のクレームが、当該記載事項を１つのみ含む例に限定されるということが示唆されると解釈されるべきではない（例えば、「a」及び／又は「an」は、通常は、「少なくとも１つの」又は「１以上の」を意味すると解釈されるべきである。）。定冠詞を使用してクレーム記載を導入する場合にも同様のことが当てはまる。
【００８３】
加えて、導入されたクレーム記載において特定の数が明示されている場合であっても、そのような記載は、通常、「少なくとも」記載された数を意味するように解釈されるべきであることは、当業者には理解されるであろう（例えば、他に修飾語のない、単なる「２つの記載事項」という記載がある場合、この記載は、「少なくとも」２つの記載事項、又は「２以上の」記載事項を意味する。）。更に、「Ａ、Ｂ及びＣなどのうち少なくとも１つ」又は「Ａ、Ｂ及びＣのうちの１以上」に類する表記が使用される場合、一般的に、そのような構造は、Ａのみ、Ｂのみ、Ｃのみ、Ａ及びＢの両方、Ａ及びＣの両方、Ｂ及びＣの両方、並びに／又はＡ及びＢ及びＣの全て、などを有するものとして意図される。
【００８４】
本開示で挙げられている全ての例及び条件付き語は、当該技術の促進に対して発明者によって寄与される概念及び発明を読者が理解するのを助ける教育上の目的を意図され、そのような具体的に挙げられている例及び条件に制限されないものとして解釈されるべきである。本開示の実施形態が詳細に記載されてきたが、様々な変更、置換及び代替は、本開示の主旨及び適用範囲から逸脱することなしに行われてよいことが理解されるべきである。然るに、本開示の適用範囲は、個の詳細な説明によってではなく、むしろ、添付の特許請求の範囲によって制限されることが意図される。
【００８５】
上記の実施形態に加えて、以下の付記を開示する。
（付記１）
コンピュータにより実施される方法であって、データベースの公開の結果としての潜在的なプライバシー侵害を検出する前記方法において、
前記データベースを匿名化することであり、前記データベースは、１以上のユーザと、前記データベース内の各ユーザごとの１以上のカラムとを含む、前記匿名化することと、
前記匿名化されたデータベースの公開に起因するエントロピーの測度を、前記匿名化されたデータベースを公開することなしに計算することと、
前記計算されたエントロピーの測度がプライバシー閾値を満たすかどうかを判定することと、
前記計算されたエントロピーの測度が前記プライバシー閾値を満たすとの決定に応答して、前記匿名化されたデータベースを公開することと
を有する方法。
（付記２）
前記匿名化されたデータベースの公開の結果としての前記エントロピーの測度を計算することは、
前記匿名化されたデータベースの公開の結果としての前記匿名化されたデータベース内の各ユーザごとの残留エントロピーを計算することと、
最小の計算された残留エントロピーを、前記匿名化されたデータベースの公開に起因する前記エントロピーの測度として選択することと
を有する、
付記１に記載の方法。
（付記３）
前記匿名化されたデータベースは、該匿名化されたデータベース内の各ユーザごとに１カラムを含み、
各ユーザごとの前記残留エントロピーを計算することは、対数項：
【数１８】
2019197535.tif 000023
に従う、
付記２に記載の方法。
（付記４）
前記匿名化されたデータベースは、該匿名化されたデータベース内の各ユーザごとに複数のカラムを含み、
各ユーザごとの前記残留エントロピーを計算することは、対数項：
【数１９】
2019197535.tif 000024
に従う、
付記２に記載の方法。
（付記５）
前記データベースを匿名化することは、前記データベース内の各ユーザのユーザ識別子を、ランダム追跡データ、ランダム番号、又はランダム識別子のうちの少なくとも１つと置き換えることを有する、
付記１に記載の方法。
（付記６）
前記匿名化されたデータベースの公開に起因する前記エントロピーの測度を計算することより前に、前記匿名化されたデータベースをサニタイズすることを更に有する
付記１に記載の方法。
（付記７）
前記計算されたエントロピーの測度が前記プライバシー閾値を満たさないとの決定に応答して、前記匿名化されたデータベースの公開を許可しないことを更に有する
付記１に記載の方法。
（付記８）
前記計算されたエントロピーの測度がエントロピーの第１測度であり、
当該方法は、
前記匿名化されたデータベースをサニタイズすることと、
前記サニタイズされた匿名化されたデータベースの公開に起因するエントロピーの第２測度を、前記サニタイズされた匿名化されたデータベースを公開することなしに計算することと、
前記計算されたエントロピーの第２測度が前記プライバシー閾値を満たすかどうかを判定することと
を更に有する、
付記７に記載の方法。
（付記９）
１以上のプロセッサによって実行される場合に、データベースの公開の結果としての潜在的なプライバシー侵害を検出するようプロセスが実行されるようにする命令により符号化された１以上の非一時的なマシン読出可能な媒体を含むコンピュータプログラム製品であって、
前記プロセスは、
アノニマイザーによって前記データベースを匿名化することであり、前記データベースは、１以上のユーザと、前記データベース内の各ユーザごとの１以上のカラムとを含む、前記匿名化することと、
サニタイザーによって前記匿名化されたデータベースをサニタイズして、サニタイズされた匿名化されたデータベースを生成することと、
プライバシー侵害検出部によって、前記サニタイズされた匿名化されたデータベースの公開に起因するエントロピーの測度を、前記サニタイズされた匿名化されたデータベースを公開することなしに計算することと、
前記プライバシー侵害検出部によって、前記計算されたエントロピーの測度がプライバシー閾値を満たすかどうかを判定することと、
前記計算されたエントロピーの測度が前記プライバシー閾値を満たすとの決定に応答して、前記プライバシー侵害検出部によって、前記サニタイズされた匿名化されたデータベースの公開を許可することと
を有する、
コンピュータプログラム製品。
（付記１０）
前記サニタイズされた匿名化されたデータベースの公開の結果としての前記エントロピーの測度を計算することは、
前記サニタイズされた匿名化されたデータベースの公開の結果としての前記サニタイズされた匿名化されたデータベース内の各ユーザごとの残留エントロピーを計算することと、
最小の計算された残留エントロピーを、前記サニタイズされた匿名化されたデータベースの公開に起因する前記エントロピーの測度として選択することと
を有する、
付記９に記載のコンピュータプログラム製品。
（付記１１）
前記サニタイズされた匿名化されたデータベースは、該サニタイズされた匿名化されたデータベース内の各ユーザごとに１カラムを含み、
各ユーザごとの前記残留エントロピーを計算することは、対数項：
【数２０】
2019197535.tif 000025
に従う、
付記１０に記載のコンピュータプログラム製品。
（付記１２）
前記サニタイズされた匿名化されたデータベースは、該サニタイズされた匿名化されたデータベース内の各ユーザごとに複数のカラムを含み、
各ユーザごとの前記残留エントロピーを計算することは、対数項：
【数２１】
2019197535.tif 000026
に従う、
付記１０に記載のコンピュータプログラム製品。
（付記１３）
前記データベースを匿名化することは、マッピング関数τをＤｏｍａｉｎ  Ｕｓｅｒｓに適用することを有する、
付記９に記載のコンピュータプログラム製品。
（付記１４）
前記匿名化されたデータベースをサニタイズすることは、前記匿名化されたデータベースの値を無秩序化することを有する、
付記９に記載のコンピュータプログラム製品。
（付記１５）
前記計算されたエントロピーの測度がエントロピーの第１測度であり、
前記プロセスは、
前記計算されたエントロピーの測度が前記プライバシー閾値を満たさないとの決定に応答して、前記サニタイズされた匿名化されたデータベースを更にサニタイズすることと、
前記更にサニタイズされた匿名化されたデータベースの公開に起因するエントロピーの第２測度を、前記更にサニタイズされた匿名化されたデータベースを公開することなしに計算することと、
前記計算されたエントロピーの第２測度が前記プライバシー閾値を満たすかどうかを判定することと
を更に有する、
付記９に記載のコンピュータプログラム製品。
（付記１６）
データベースの公開の結果としての潜在的なプライバシー侵害を検出するシステムであって、
命令を記憶するよう構成された１以上の非一時的なマシン読出可能な媒体と、
前記１以上の非一時的なマシン読出可能な媒体に記憶されている前記命令を実行するよう構成された１以上のプロセッサと
を有し、
前記命令の実行は、前記１以上のプロセッサに、
前記データベースを匿名化することであり、前記データベースは、１以上のユーザと、前記データベース内の各ユーザごとの１以上のカラムとを含む、前記匿名化することと、
前記匿名化されたデータベースをサニタイズして、サニタイズされた匿名化されたデータベースを生成することと、
前記サニタイズされた匿名化されたデータベースの公開に起因するエントロピーの測度を、前記サニタイズされた匿名化されたデータベースを公開することなしに計算することと、
前記計算されたエントロピーの測度がプライバシー閾値を満たすかどうかを判定することと、
前記計算されたエントロピーの測度が前記プライバシー閾値を満たすとの決定に応答して、前記サニタイズされた匿名化されたデータベースを公開することと
を実行させる、
システム。
（付記１７）
前記サニタイズされた匿名化されたデータベースの公開の結果としての前記エントロピーの測度を計算することは、
前記サニタイズされた匿名化されたデータベースの公開の結果としての前記サニタイズされた匿名化されたデータベース内の各ユーザごとの残留エントロピーを計算することと、
最小の計算された残留エントロピーを、前記サニタイズされた匿名化されたデータベースの公開に起因する前記エントロピーの測度として選択することと
を有する、
付記１６に記載のシステム。
（付記１８）
前記サニタイズされた匿名化されたデータベースは、該サニタイズされた匿名化されたデータベース内の各ユーザごとに１カラムを含み、
各ユーザごとの前記残留エントロピーを計算することは、対数項：
【数２２】
2019197535.tif 000027
に従う、
付記１７に記載のシステム。
（付記１９）
前記サニタイズされた匿名化されたデータベースは、該サニタイズされた匿名化されたデータベース内の各ユーザごとに複数のカラムを含み、
各ユーザごとの前記残留エントロピーを計算することは、対数項：
【数２３】
2019197535.tif 000028
に従う、
付記１７に記載のシステム。
（付記２０）
前記計算されたエントロピーの測度がエントロピーの第１測度であり、
前記命令の実行は更に、前記１以上のプロセッサに、
前記計算されたエントロピーの測度が前記プライバシー閾値を満たさないとの決定に応答して、前記サニタイズされた匿名化されたデータベースを更にサニタイズすることと、
前記更にサニタイズされた匿名化されたデータベースの公開に起因するエントロピーの第２測度を、前記更にサニタイズされた匿名化されたデータベースを公開することなしに計算することと、
前記計算されたエントロピーの第２測度が前記プライバシー閾値を満たすかどうかを判定することと
を実行させる、
付記１６に記載のシステム。
【符号の説明】
【００８６】
１００          ターゲティング広告システム
１０２          ユーザ
１０４          ユーザデバイス
１０６          パブリッシャー
１０８          市場サービス
１１０          広告ネットワーク
１１２          広告エンティティ
１１４，２００  データ公開システム
２０２          コンピュータ装置
２０４，４０２  プロセッサ
２０６          データ公開部
４００          コンピュータシステム
４０４          メモリ
４０６          データストレージ
【図１】
2019197535.tif 000035
【図２】
2019197535.tif 000036
【図３】
2019197535.tif 000037
【図４】
2019197535.tif 000038