(57)【特許請求の範囲】
【請求項１】
データ提供者、データ利用者およびデータ中間利用者を含む３者以上で構成されるシステムで適用されるデータ撹乱装置であって、
取得したデータに含まれる情報のうち、撹乱したい情報として設定された情報を撹乱するのに必要な撹乱用パラメータを算出する撹乱対象設定部と、
前記取得したデータに対して、前記撹乱用パラメータを用いた不可逆変換を行うことで、撹乱後のデータを生成するデータ撹乱部と、
を備え、
前記撹乱対象設定部は、データの有用性に関してあらかじめ設定された制約条件が与えられた場合に、前記制約条件に応じて、前記データ提供者の前記データ撹乱装置で前記データを撹乱して前記撹乱後のデータを生成する際に用いられる第１撹乱用パラメータと、前記データ中間利用者の前記データ撹乱装置で前記撹乱後のデータを再度撹乱して再撹乱後のデータを生成する際に用いられる第２撹乱用パラメータとを含む複数の撹乱用パラメータを算出する
データ撹乱装置。
【請求項２】
前記撹乱用パラメータは、凸最適化問題を解くことによって得られる条件付確率である
請求項１に記載のデータ撹乱装置。
【請求項３】
前記条件付確率は、撹乱前の前記取得したデータと前記撹乱後のデータとの距離の期待値を、あらかじめ設定された値未満にするという条件のもとで、前記撹乱したい情報として設定された情報と前記撹乱後のデータとの相互情報量を最小にするものである
請求項２に記載のデータ撹乱装置。
【請求項４】
請求項１に記載されたデータ撹乱装置である第１データ撹乱装置と、
前記第１データ撹乱装置で撹乱されたデータを利用する第１データ利用装置と、
前記第１データ利用装置で利用されたデータを再度撹乱する第２データ撹乱装置と、
前記第２データ撹乱装置で撹乱されたデータを利用する第２データ利用装置と、
により構成されるデータ撹乱システムであって、
前記第２データ撹乱装置は、前記第１データ撹乱装置で算出された複数の撹乱用パラメータの一方を用いてデータを再度撹乱する
データ撹乱システム。
【発明の詳細な説明】
【技術分野】
【０００１】
この発明は、取得したデータを撹乱して出力するデータ撹乱装置、およびデータ撹乱装置を用いたデータ撹乱システムに関する。
【背景技術】
【０００２】
近年、ＩｏＴ（Ｉｎｔｅｒｎｅｔ  ｏｆ  Ｔｈｉｎｇｓ）技術の発達に伴い、企業が詳細かつ膨大なデータを収集し分析することが可能となりつつある。特に、パーソナルデータ（ｐｅｒｓｏｎａｌ  ｄａｔａ）と呼ばれる個人に関するデータを、企業が収集および分析し、分析結果を個人にフィードバックしたり、自社内でサービス向上や新製品開発に活用したりする事例が増えつつある。
【０００３】
ここで、パーソナルデータには、個人のプライバシーに関わる情報が含まれる可能性があるため、プライバシーを保護するための様々な技術が提案されている。
【０００４】
例えば、特許文献１には、個人情報の属性値を一般化することで、一定数以上の個人を識別できないようにする「ｋ−匿名化（ｋ−ａｎｏｎｙｍｉｚａｔｉｏｎ）」と呼ばれる技術を用いて、個人情報を非個人情報化することにより、プライバシーを保護する方法が開示されている。
【０００５】
また、特許文献２には、多数の個人情報の中に特定の個人の情報が含まれているか否かを識別できないことを意味する「差分プライバシー（ｄｉｆｆｅｒｅｎｔｉａｌ  ｐｒｉｖａｃｙ）」と呼ばれる安全性基準を満たすように、ウェーブレット変換を用いてデータを撹乱することで、個人情報を非個人情報化してプライバシーを保護する方法が開示されている。
【０００６】
また、特許文献３には、スマートメーターで取得される電力データに対して、平均値や分散値等の統計情報を保存しつつ、加工前後の電力データ分布のカルバック・ライブラー情報量（Ｋｕｌｌｂａｃｋ−Ｌｅｉｂｌｅｒ  ｄｉｖｅｒｇｅｎｃｅ）が最大になるように、信号発生器とバッテリーとを用いて電力データを加工することにより、プライバシーを保護する方法が開示されている。
【先行技術文献】
【特許文献】
【０００７】
【特許文献１】国際公開ＷＯ２０１１／１４５４０１号
【特許文献２】特開２０１６−１２０７４号公報
【特許文献３】特開２０１３−１５３４２４号公報
【発明の概要】
【発明が解決しようとする課題】
【０００８】
しかしながら、特許文献１、２で開示されたｋ−匿名化技術や差分プライバシー技術には、データが必要以上に一般化されてしまい、データの有用性が損なわれるという問題がある。また、何をプライバシーと感じるかは、個人によって異なるにもかかわらず、個人のニーズに応じてプライバシーを保護することができないという問題もある。
【０００９】
また、特許文献３で開示されたプライバシー保護技術にも、データの有用性が損なわれるという問題や、個人のニーズに応じてプライバシーを保護することができないという問題がある。
【００１０】
この発明は、上記のような課題を解決するためになされたものであり、データの有用性を保ちつつ、個人のニーズに応じてプライバシーを保護することができるデータ撹乱装置を得ることを目的とする。
【課題を解決するための手段】
【００１１】
この発明に係るデータ撹乱装置は、データ提供者、データ利用者およびデータ中間利用者を含む３者以上で構成されるシステムで適用されるデータ撹乱装置であって、取得したデータに含まれる情報のうち、撹乱したい情報として設定された情報を撹乱するのに必要な撹乱用パラメータを算出する撹乱対象設定部と、取得したデータに対して、撹乱用パラメータを用いた不可逆変換を行うことで、撹乱後のデータを生成するデータ撹乱部と、を備え、撹乱対象設定部は、データの有用性に関してあらかじめ設定された制約条件が与えられた場合に、制約条件に応じて、データ提供者のデータ撹乱装置でデータを撹乱して撹乱後のデータを生成する際に用いられる第１撹乱用パラメータと、データ中間利用者のデータ撹乱装置で撹乱後のデータを再度撹乱して再撹乱後のデータを生成する際に用いられる第２撹乱用パラメータとを含む複数の撹乱用パラメータを算出するものである。
【発明の効果】
【００１２】
この発明に係るデータ撹乱装置によれば、撹乱対象設定部は、取得したデータに含まれる情報のうち、撹乱したい情報として設定された情報を撹乱するのに必要な撹乱用パラメータを算出し、データ撹乱部は、取得したデータに対して、撹乱用パラメータを用いた不可逆変換を行うことで、撹乱後のデータを生成する。
そのため、データの有用性を保ちつつ、個人のニーズに応じてプライバシーを保護することができる。
【図面の簡単な説明】
【００１３】
【図１】この発明の実施の形態１に係るデータ撹乱システムを示すブロック構成図である。
【図２】この発明の実施の形態１に係るデータ撹乱システムの各装置の機能構成を示すブロック図である。
【図３】この発明の実施の形態１に係るデータ撹乱システムの各装置のハードウェア構成を示すブロック図である。
【図４】この発明の実施の形態１に係るデータ撹乱システムのデータ撹乱装置において、生データに含まれる情報のうち、撹乱したい情報をデータ提供者が設定できるようにする手順を示すフローチャートである。
【図５Ａ】図４に示された手順によって得られた抽出用パラメータを示す説明図である。
【図５Ｂ】図４に示された手順によって得られた撹乱用パラメータを示す説明図である。
【図６】この発明の実施の形態１に係るデータ撹乱システムのデータ撹乱装置において、生データを撹乱して加工データを生成する手順を示すフローチャートである。
【図７】この発明の実施の形態２に係るデータ撹乱システムを示すブロック構成図である。
【図８】この発明の実施の形態２に係るデータ撹乱システムのデータ撹乱装置において、生データに含まれる情報のうち、撹乱したい情報をデータ提供者が設定できるようにする手順を示すフローチャートである。
【図９Ａ】図８に示された手順によって得られた第１撹乱用パラメータを示す説明図である。
【図９Ｂ】図８に示された手順によって得られた第２撹乱用パラメータを示す説明図である。
【発明を実施するための形態】
【００１４】
以下、この発明に係るデータ撹乱装置の好適な実施の形態につき図面を用いて説明するが、各図において同一、または相当する部分については、同一符号を付して説明する。
【００１５】
実施の形態１．
この実施の形態１では、スマートメーターシステムやＨＥＭＳ（Ｈｏｍｅ  Ｅｎｅｒｇｙ  Ｍａｎａｇｅｍｅｎｔ  Ｓｙｓｔｅｍ）等のように、データ提供者とデータ利用者との２者で構成されるシステムにおいて、データに含まれるデータ提供者のプライバシー情報を保護しつつ、データ利用者における有用なデータ分析を可能とするための技術について説明する。
【００１６】
図１は、この発明の実施の形態１に係るデータ撹乱システムを示すブロック構成図である。図１において、データ提供者１０１は、データ撹乱システム１００におけるデータの提供者であり、データ利用者１０２は、データ撹乱システム１００におけるデータの利用者である。
【００１７】
データ提供者１０１側には、データ取得装置１１１、データ撹乱装置１１２およびデータ提供装置１１３が設けられ、データ利用者１０２側には、データ利用装置１１４が設けられている。また、データ提供装置１１３とデータ利用装置１１４とは、ネットワーク１１５によって互いに接続されている。
【００１８】
データ取得装置１１１は、データを取得するための装置である。また、データ撹乱装置１１２は、取得したデータを後述する方法によって撹乱するための装置である。なお、これ以降、取得したデータを生データと称する。
【００１９】
データ提供装置１１３は、データ提供者１０１側からデータ利用者１０２側に撹乱後のデータを提供するための装置である。なお、これ以降、撹乱後のデータを加工データと称する。データ利用装置１１４は、データ提供者１０１側から提供された加工データを利用するための装置である。
【００２０】
ここで、スマートメーターシステムを例にとると、データ提供者１０１は各家庭の世帯主であり、データ利用者１０２は電力会社である。また、データ取得装置１１１は、電力センサである。また、データ撹乱装置１１２は、パーソナルコンピュータや専用機器である。
【００２１】
データ提供装置１１３は、パーソナルコンピュータやブロードバンドルータである。また、ネットワーク１１５は、インターネットである。また、データ利用装置１１４は、パーソナルコンピュータやメインフレームである。
【００２２】
図２は、この発明の実施の形態１に係るデータ撹乱システムの各装置の機能構成を示すブロック図である。図２において、データ取得装置１１１は、データを取得するデータ取得部２１１、および取得したデータをデータ撹乱装置１１２に送信するデータ送信部２１２で構成される。
【００２３】
データ撹乱装置１１２は、データ取得装置１１１から生データを受信するデータ受信部２２１、生データに含まれる情報のうち、撹乱したい情報をデータ提供者１０１が設定できるようにするための撹乱対象設定部２２２、撹乱に用いるパラメータを記憶するパラメータ記憶部２２３、実際に生データを撹乱するデータ撹乱部２２４、およびデータ提供装置１１３に加工データを送信するデータ送信部２２５で構成される。
【００２４】
データ提供装置１１３は、データ撹乱装置１１２から加工データを受信するデータ受信部２３１、およびネットワーク１１５に加工データを送信するデータ送信部２３２で構成される。
【００２５】
データ利用装置１１４は、ネットワーク１１５から加工データを受信するデータ受信部２４１、および受信した加工データに対して様々な分析を行うためのデータ分析部２４２で構成される。
【００２６】
図３は、この発明の実施の形態１に係るデータ撹乱システムの各装置のハードウェア構成を示すブロック図である。図３において、データ取得装置１１１は、主にデータ取得部２１１の機能を実現する電力センサ３１１、Ａ／Ｄ変換器３１２、プロセッサ３１３、メモリ３１４、および主にデータ送信部２１２の機能を実現するシリアルバス３１５で構成される。
【００２７】
データ撹乱装置１１２は、主にデータ受信部２２１の機能を実現するシリアルバス３２７、主に撹乱対象設定部２２２の機能を実現するディスプレイ３２１、キーボード３２２、マウス３２３、主にパラメータ記憶部２２３の機能を実現するＨＤＤ３２６、主にデータ撹乱部２２４の機能を実現するプロセッサ３２４、メモリ３２５、および主にデータ送信部２２５の機能を実現するＵＳＢホスト３２８で構成される。
【００２８】
データ提供装置１１３は、主にデータ受信部２３１の機能を実現するプロセッサ３３１、メモリ３３２、ＵＳＢホスト３３３、および主にデータ送信部２３２の機能を実現するネットワークインタフェース３３４で構成される。
【００２９】
データ利用装置１１４は、主にデータ受信部２４１の機能を実現するネットワークインタフェース３４７、および主にデータ分析部２４２の機能を実現するディスプレイ３４１、キーボード３４２、マウス３４３、プロセッサ３４４、メモリ３４５、ＨＤＤ３４６で構成される。
【００３０】
ここで、図２に示した機能構成と図３に示したハードウェア構成との対応について、さらに説明する。図２、３のデータ取得装置１１１において、データ取得部２１１は、電力センサ３１１で測定したアナログの電力データをＡ／Ｄ変換器３１２でデジタルの電力データに変換し、それをメモリ３１４に格納する。
【００３１】
また、データ送信部２１２は、メモリ３１４から電力データを読み出し、シリアルバス３１５を通じてデータ撹乱装置１１２に送信する。これらの一連の動作は、プロセッサ３１３がプログラムを実行することにより行われる。
【００３２】
図２、３のデータ撹乱装置１１２において、データ受信部２２１は、シリアルバス３２７を通じてデータ取得装置１１１から生データを受信し、それをメモリ３２５に格納する。撹乱対象設定部２２２は、まずディスプレイ３２１上に撹乱対象を表示する。また、撹乱対象設定部２２２は、データ提供者１０１がキーボード３２２やマウス３２３により入力した設定をもとに、撹乱に必要なパラメータを計算し、パラメータ記憶部２２３であるＨＤＤ３２６に格納する。
【００３３】
また、データ撹乱部２２４は、まずパラメータ記憶部２２３であるＨＤＤ３２６からパラメータを読み出し、このパラメータに基づいて、メモリ３２５に格納された生データを撹乱し加工データを生成し、加工データをメモリ３２５に格納する。データ送信部２２５は、メモリ３２５から加工データを読み出し、ＵＳＢホスト３２８を通じてデータ提供装置１１３に送信する。これらの一連の動作は、プロセッサ３２４がプログラムを実行することにより行われる。
【００３４】
図２、３のデータ提供装置１１３において、データ受信部２３１は、ＵＳＢホスト３３３を通じてデータ撹乱装置１１２から加工データを受信し、それをメモリ３３２に格納する。また、データ送信部２３２は、メモリ３３２から加工データを読み出し、ネットワークインタフェース３３４を通じてネットワーク１１５に送信する。これらの一連の動作は、プロセッサ３３１がプログラムを実行することにより行われる。
【００３５】
図２、３のデータ利用装置１１４において、データ受信部２４１は、ネットワークインタフェース３４７を通じてデータ提供装置１１３から加工データを受信し、それをメモリ３４５やＨＤＤ３４６に格納する。データ分析部２４２は、メモリ３４５やＨＤＤ３４６から加工データを読み出し、ディスプレイ３４１に表示する。
【００３６】
また、データ分析部２４２は、データ利用者１０２がキーボード３２２やマウス３４３により入力した分析内容に応じて、メモリ３４５上で分析を実行し、分析結果をディスプレイ３４１に表示する。これらの一連の動作は、プロセッサ３４４がプログラムを実行することにより行われる。
【００３７】
なお、図３では、電力データに対するデータ取得装置１１１の例を示したが、別の種類のデータであっても、同じような機能を持つデータ取得装置を構成できることは、当業者であれば容易に理解できることである。
【００３８】
次に、上記構成のデータ撹乱システムの動作について説明する。最初に、図４を参照しながら、データ撹乱装置１１２において、生データに含まれる情報のうち、撹乱したい情報をデータ提供者１０１が設定できるようにする方法について説明する。
【００３９】
図４は、この発明の実施の形態１に係るデータ撹乱システムのデータ撹乱装置において、生データに含まれる情報のうち、撹乱したい情報をデータ提供者が設定できるようにする手順を示すフローチャートである。
【００４０】
図４において、まず、撹乱したい情報をデータ提供者１０１が設定する（ステップＳ４０１）。これは、例えば、ディスプレイ３２１に表示された情報の候補の中から、撹乱したい情報をデータ提供者１０１が選択すること等により行われる。より具体的には、家庭内にある家電機器のリストの中から、プライバシーに抵触すると思われる機器、例えばトイレの電灯をデータ提供者１０１が選択することにより行われる。
【００４１】
続いて、生データから情報を抽出するのに必要な抽出用パラメータが学習される（ステップＳ４０２）。これは、パターン認識分野や機械学習分野で公知の方法により実現される。
【００４２】
より具体的には、電力データから各家電機器の稼働履歴を抽出するために隠れマルコフモデルを用いる場合、各家電機器の稼働履歴を抽出するのに必要なパラメータである遷移確率や出力分布を、ＥＭ（Ｅｘｐｅｃｔａｔｉｏｎ−Ｍａｘｉｍｉｚａｔｉｏｎ）アルゴリズムの一部を使って学習することにより実現される。なお、稼働履歴とは、例えば６：１０にトイレの電灯がＯＮになった、６：１２にトイレの電灯がＯＦＦになった、７：３４に炊飯器が保温状態になった、等である。
【００４３】
次に、情報を撹乱するのに必要な撹乱用パラメータが算出される（ステップＳ４０３）。これは、凸最適化問題を解くことにより実現される。より具体的には、以下のように行われる。
【００４４】
撹乱したい情報である、データ提供者１０１が選択した特定の家電機器の稼動状態、例えばトイレの電灯のＯＮ／ＯＦＦ状態を確率変数Ｘとし、データ、例えば電力データを確率変数Ｙとし、加工データ、例えば撹乱後の電力データを確率変数Ｚとする。
【００４５】
このとき、ＹとＺとの距離の期待値を、ある定められた値未満にする条件、例えば、ユークリッド距離の期待値Ｅ［｜｜Ｙ−Ｚ｜｜］＜ｄという条件のもとで、ＸとＺとの相互情報量Ｉ（Ｘ；Ｚ）を最小にするような条件付確率ＰＺ｜Ｙを求める問題は、凸最適化問題となることが知られている。
【００４６】
そこで、これを解くことにより、撹乱用パラメータＰＺ｜Ｙが算出される。なお、より詳細な方法については、この発明の発明者と同一の発明者によって発明され、２０１６年８月１日に米国出願された米国特許出願第１５／２２４，７４２号に記載されている。
【００４７】
続いて、撹乱用パラメータが記憶されて（ステップＳ４０４）、図４の処理が終了する。
【００４８】
図５Ａは、図４に示された手順によって得られた抽出用パラメータを示す説明図である。図５Ａでは、リビングの電灯の遷移確率５０１、炊飯器の遷移確率５０２、リビングの電灯の出力分布５０３および炊飯器の出力分布５０４を例示している。
【００４９】
ここで、遷移確率は、表の横方向が現在の状態を表し、縦方向が次の状態を表しており、値は遷移確率を表している。例えば、リビングの電灯の遷移確率５０１では、現在の状態がＯＮの場合、確率０．８で次の状態もＯＮであり、確率０．２で次の状態がＯＦＦになることを表している。
【００５０】
また、出力分布は、状態とその状態における電力値とを表している。例えば、炊飯器の出力分布５０４では、炊飯状態の電力値が３２５．１ワットであり、保温状態の電力値が１０７．２ワットであり、ＯＦＦ状態の電力値が０．３ワットであることを表している。
【００５１】
図５Ｂは、図４に示された手順によって得られた撹乱用パラメータを示す説明図である。図５Ｂでは、撹乱用パラメータＰＺ｜Ｙ５０５を例示している。ここで、表の横方向が生データＹを表し、縦方向が加工データＺを表しており、値は条件付確率ＰＺ｜Ｙを表している。
【００５２】
図５Ｂにおいて、例えば０−１０ワットの生データについては、確率０．９１５で同じく０−１０ワットが加工データとして選択され、確率０．０１１で１０−２０ワットが加工データとして選択される。
【００５３】
なお、ここでは、説明を簡単にするために、電力データに対して事前に適切な量子化が行われ、連続値である電力データが「０−１０ワット」のような離散値として扱われることを仮定している。
【００５４】
また、量子化を行わずに連続値として扱う場合であっても、条件付確率ＰＺ｜Ｙに対応する確率密度関数を適切に設定することで同様の加工ができることは、当業者であれば容易に理解できることである。
【００５５】
次に、図６を参照しながら、データ撹乱装置１１２において、生データを撹乱して加工データを生成する方法について説明する。図６は、この発明の実施の形態１に係るデータ撹乱システムのデータ撹乱装置において、生データを撹乱して加工データを生成する手順を示すフローチャートである。
【００５６】
図６において、まず、パラメータ記憶部２２３から撹乱用パラメータが読み出される（ステップＳ６０１）。続いて、データ受信部２２１で生データが受信される（ステップＳ６０２）。
【００５７】
次に、撹乱用パラメータの条件付確率に応じて、生データに対応する加工データが選択される（ステップＳ６０３）。より具体的には、以下のように行われる。
【００５８】
例えば、受信したデータが２９ワットである場合、図５Ｂに示した撹乱用パラメータの条件付確率を参照すると、確率０．００６で０−１０ワット、確率０．００７で１０−２０ワット、確率０．９８２で２０−３０ワット、等となっており、９８０ワット以上の加工データになる確率は０となっている。
【００５９】
そこで、このような条件付確率に従って加工データを選択する。この場合、非常に高い確率で加工データが２０−３０ワットとなるが、それ以外にも、場合によっては１０−２０ワット等になることがある。
【００６０】
続いて、加工データがデータ送信部２２５から送信される（ステップＳ６０４）。以下、このステップＳ６０２〜Ｓ６０４の処理を、各受信データに対して実行し、受信データがなくなれば、図６の処理が終了する。
【００６１】
なお、ステップＳ６０３のより詳細な方法については、この発明の発明者と同一の発明者によって発明され、２０１６年８月１日に米国出願された米国特許出願第１５／２２４，７４２号に記載されている。
【００６２】
なお、このような加工は、いわゆる不可逆変換である。すなわち、加工データから生データを完全に復元することはできない。このように不可逆変換をすることで、加工データと撹乱したい情報との相互情報量を低減することができる。
【００６３】
一方、生データに乱数を加算すること等により加工データを生成する、いわゆる可逆変換の場合、加工データには生データの持つ情報がそのまま残るため、加工データと撹乱したい情報との相互情報量を最小化することができない。
【００６４】
このように、生データに対し不可逆変換を行うことで加工データを生成することが、この発明の要点の一つである。
【００６５】
また、不可逆変換に用いる撹乱用パラメータは、上述の凸最適化問題を解くことにより得られた条件付確率である。したがって、与えられた条件のもとで、加工データと撹乱したい情報との相互情報量が最小化されていることを保証することができる。
【００６６】
一方、ｋ−匿名化や差分プライバシーのように、個人情報を非個人情報化する技術では、個人特定性を定量的に制御することはできるものの、プライバシー情報である撹乱したい情報に関する情報量を定量的に制御することはできない。
【００６７】
このように、撹乱したい情報に関する情報量を定量的に制御できることも、この発明の要点の一つである。
【００６８】
次に、データ提供装置１１３において加工データをネットワーク１１５に送信する方法、およびデータ利用装置１１４において加工データをネットワーク１１５から受信し、分析する方法は、公知のネットワーク技術およびデータ分析技術によって行われるものであり、説明を省略する。
【００６９】
以上、この実施の形態１の動作について説明した。この実施の形態１によれば、スマートメーターシステムやＨＥＭＳ等のように、データ提供者１０１とデータ利用者１０２との２者で構成されるシステムにおいて、データの有用性を保ちつつ、個人のニーズに応じてプライバシーを保護することができる。
【００７０】
これは、以下の理由による。すなわち、図４のステップＳ４０３に示した通り、この実施の形態１では、データ提供者１０１の選択内容に応じて撹乱用パラメータＰＺ｜Ｙが算出される。また、この撹乱用パラメータＰＺ｜Ｙは、「加工前後のデータの距離の期待値をある定められた値未満にする条件のもとで、データ提供者１０１が選択した情報と加工データとの相互情報量を最小にするような条件付確率」である。
【００７１】
したがって、このような条件付確率に従って加工データを選択することで、データの有用性を保ちつつ、加工データから得られるデータ提供者１０１のプライバシー情報を最小化することができる。
【００７２】
また、この実施の形態１によれば、加工データから得られるプライバシー情報が最小化されているため、データ利用者１０２に対して、プライバシー侵害の恐れを抱かせることなく様々なデータ分析を安心して実施できるようにするという効果もある。
【００７３】
実施の形態２．
上記実施の形態１では、データ提供者１０１とデータ利用者１０２との２者で構成されるシステムにおける技術を開示したが、この実施の形態２では、データ中間利用者を含む３者以上で構成されるシステムにおいて、データに含まれるデータ提供者のプライバシー情報を保護しつつ、データ中間利用者やデータ利用者における有用なデータ分析を可能とするための技術について説明する。
【００７４】
特に、データ中間利用者において、データの有用性に関する何らかの制約条件がある場合に、その制約条件を満足しつつ、プライバシー保護と有用なデータ分析の両立を図るための技術について説明する。
【００７５】
図７は、この発明の実施の形態２に係るデータ撹乱システムを示すブロック構成図である。なお、構成要素のうち、上記実施の形態１の図１と共通するものについては、同一名称、同一番号を付与し、説明を省略する。
【００７６】
図７において、この実施の形態２に特有の構成要素は、データ中間利用者７０１である。このデータ中間利用者７０１は、データ提供者１０１から加工データを受信して利用し、必要に応じて再加工した上で、再加工データをデータ利用者１０２に送信する者である。
【００７７】
ここで、スマートメーターシステムを例にとると、データ中間利用者７０１は、例えばデータ提供者１０１に対してデマンドレスポンス事業を行っているデマンドレスポンス事業者である。
【００７８】
なお、データ中間利用者７０１においては、データ利用者１０２とは異なる制約条件が生じる場合がある。例えば、デマンドレスポンス事業者においては、電力が逼迫している状況を正確に把握する必要があることから、例えば５００ワット以上の高電力データについては、撹乱されていない状態で利用できなければならないという制約条件がある。
【００７９】
したがって、上記実施の形態１のように、０ワットから１０００ワットまでのすべての電力データに対してデータの撹乱を行うことができず、０ワットから５００ワットまでの低電力データしか撹乱することができない。つまり、データ中間利用者７０１に対しては、データ提供者１０１のプライバシーを部分的にしか保護することができない。
【００８０】
しかしながら、一旦高電力データを利用できれば、この制約条件はもはや不要となる。したがって、データ中間利用者７０１からデータ利用者１０２にデータを送信する場合には、５００ワット以上の高電力データを再加工することで、データ利用者１０２に対してデータ提供者１０１のプライバシーを保護することができる。
【００８１】
次に、上記構成のデータ撹乱システムの動作について説明する。具体的には、図８を参照しながら、データ撹乱装置１１２において、生データに含まれる情報のうち、撹乱したい情報をデータ提供者１０１が設定できるようにする方法について説明する。
【００８２】
図８は、この発明の実施の形態２に係るデータ撹乱システムのデータ撹乱装置において、生データに含まれる情報のうち、撹乱したい情報をデータ提供者が設定できるようにする手順を示すフローチャートである。
【００８３】
図８において、ステップＳ４０１およびステップＳ４０２は、上記実施の形態１の図４と同一であるため、説明を省略する。
【００８４】
続いて、情報を撹乱するのに必要な第１撹乱用パラメータおよび第２撹乱用パラメータが算出される（ステップＳ８０１）。ここで、第１撹乱用パラメータは、データ提供者１０１のデータ撹乱装置１１２で生データを撹乱して加工データを生成する際に用いられるパラメータであり、第２撹乱用パラメータは、データ中間利用者７０１のデータ撹乱装置１１２で加工データを撹乱して再加工データを生成する際に用いられるパラメータである。
【００８５】
また、具体的な算出方法は、図４のステップＳ４０３と同様に、凸最適化問題を解くことにより行われる。ただし、この実施の形態２では、距離の定義に一部変更を加える。すなわち、加工前の生データＹと加工後の加工データＺとの距離として、単純なユークリッド距離を用いるのではなく、以下のように歪みのあるユークリッド距離を用いる。
【００８６】
ここでは、説明を簡単にするために、５００ワット以上の高電力データについては、撹乱されていない状態で利用できなければならないという制約条件がある場合について説明する。
【００８７】
まず、第１撹乱用パラメータを算出する場合には、５００ワット未満の電力データについてはユークリッド距離を用い、５００ワット以上の電力データについては、生データＹと加工データＺとが同一値のときのみ距離０、それ以外のときは距離を無限大とする。
【００８８】
一方、第２撹乱用パラメータを算出する場合には、５００ワット以上の電力データについてはユークリッド距離を用い、５００ワット未満の電力データについては、生データＹと加工データＺとが同一値のときのみ距離０、それ以外のときは距離を無限大とする。
【００８９】
ステップＳ８０１では、このような歪みのあるユークリッド距離を用いた上で凸最適化問題を解き、第１撹乱用パラメータおよび第２撹乱用パラメータを算出する。続いて、第１撹乱用パラメータが記憶される（ステップＳ８０２）。
【００９０】
次に、第２撹乱用パラメータがデータ中間利用者７０１のデータ撹乱装置１１２に送信される（ステップＳ８０３）。このとき、データ中間利用者７０１のデータ撹乱装置１１２は、第２撹乱用パラメータを受信して格納する。
【００９１】
図９Ａは、図８に示された手順によって得られた第１撹乱用パラメータを示す説明図であり、図９Ｂは、図８に示された手順によって得られた第２撹乱用パラメータを示す説明図である。
【００９２】
図９Ａ、９Ｂにおいて、第１撹乱用パラメータ９０１は、５００ワット以上の電力データＹについては、確率１で同一の電力データＺを選択するようになっている。また、第２撹乱用パラメータ９０２は、５００ワット未満の電力データＹについては、確率１で同一の電力データＺを選択するようになっている。
【００９３】
したがって、データ提供者１０１が生成する加工データは、５００ワット以上の高電力データが生データと同じ状態となる。また、データ中間利用者７０１が生成する再加工データは、５００ワット未満の低電力データが加工データと同じ状態となる。
【００９４】
なお、ここでは、５００ワットを境にして、低電力領域と高電力領域との２領域に分離した例を示したが、３領域以上に分離された場合であっても、同様にして撹乱用パラメータを算出できることは、当業者であれば容易に理解できることである。
【００９５】
また、領域が明確に分離されない場合であっても、距離関数を適切に設定することで、撹乱用パラメータを算出できることは、当業者であれば容易に理解できることである。
【００９６】
なお、データ提供者１０１のデータ撹乱装置１１２におけるデータ撹乱方法、およびデータ中間利用者７０１のデータ撹乱装置１１２におけるデータ撹乱方法については、上記実施の形態１の図６に示した方法と同一であるため、説明を省略する。
【００９７】
以上、この実施の形態２の動作について説明した。この実施の形態２によれば、デマンドレスポンスシステム等のように、データ提供者１０１、データ中間利用者７０１およびデータ利用者１０２のように３者以上で構成されるシステムにおいて、データの有用性を保ちつつ、個人のニーズに応じてプライバシーを保護することができる。
【００９８】
また、この実施の形態２によれば、加工データおよび再加工データから得られるプライバシー情報が、制約条件のもとに最小化されているため、データ中間利用者７０１およびデータ利用者１０２に対して、プライバシー侵害の恐れを抱かせることなく様々なデータ分析を安心して実施できるようにするという効果もある。
【００９９】
なお、上記実施の形態１、２では、電力データを例にとって説明したが、この発明の内容は電力データに限らず様々なデータに適用できるものであることは当業者であれば容易に理解できることである。
【０１００】
例えば、血圧、血流量、心拍数等のバイタルデータ、基地局情報、ＧＰＳセンサ等の移動履歴データ、商品の購入日時、商品内容等の購買履歴データ、等々である。これらのデータにこの発明を適用することで、データの有用性を保ちつつ、個人のニーズに応じてプライバシーを保護することができる。
【図１】
0006472509.tif 000002
【図２】
0006472509.tif 000003
【図３】
0006472509.tif 000004
【図４】
0006472509.tif 000005
【図５Ａ】
0006472509.tif 000006
【図５Ｂ】
0006472509.tif 000007
【図６】
0006472509.tif 000008
【図７】
0006472509.tif 000009
【図８】
0006472509.tif 000010
【図９Ａ】
0006472509.tif 000011
【図９Ｂ】
0006472509.tif 000012