(57)【特許請求の範囲】
【請求項１】
複数のシードから複数の乱数を生成する乱数生成部と、
前記乱数生成部により生成された前記複数の乱数を用いて、秘匿化の対象となる秘匿化対象データを秘匿化する秘匿化部と、
前記秘匿化部により秘匿化された前記秘匿化対象データである秘匿化データをデータ分析装置に送信し、前記複数のシードのうちのいずれかのシードを前記データ分析装置に送信する送信部とを有する秘匿化装置。
【請求項２】
前記乱数生成部は、
前記複数のシードに乱数生成アルゴリズムを適用して前記複数の乱数を生成し、
前記送信部は、
シードに前記乱数生成アルゴリズムを適用して前記乱数生成部が生成する乱数と同じ乱数を復元することができ、復元した乱数を用いて前記秘匿化データから乱数を除去することができる前記データ分析装置に前記秘匿化データを送信する請求項１に記載の秘匿化装置。
【請求項３】
前記送信部は、
前記秘匿化データの前記データ分析装置への送信後に前記データ分析装置からシードの開示要求があり、シードの開示の許否判定を行う判定装置によりシードの開示が許可された場合に、前記複数のシードのうちのいずれかのシードを前記データ分析装置に送信する請求項１に記載の秘匿化装置。
【請求項４】
前記乱数生成部は、
Ｋ（Ｋ≧２）個のシードを用いてＫ個の乱数を生成し、
前記送信部は、
前記データ分析装置へのシードの送信総数が（Ｋ−１）個になるまで、前記データ分析装置からシードの開示要求があり、前記判定装置によりシードの開示が許可される度に、前記データ分析装置に未送信のシードを前記データ分析装置に送信する請求項３に記載の秘匿化装置。
【請求項５】
前記秘匿化部は、
複数の機器の消費電力量の集約値が示される電力使用量データを前記秘匿化対象データとして前記複数の乱数を用いて秘匿化し、
前記乱数生成部は、
前記複数の機器の中から消費電力量を秘匿する対象として選択された機器がとり得る最大消費電力を用いて前記複数の乱数を生成する請求項１に記載の秘匿化装置。
【請求項６】
秘匿化装置から、前記秘匿化装置により複数のシードから生成された複数の乱数を用いて秘匿化された秘匿化データを受信するデータ受信部と、
前記秘匿化装置から、前記複数のシードのうちのいずれかのシードを受信するシード受信部と、
前記シード受信部により受信されたシードから、前記複数の乱数のうちのいずれかの乱数を復元する乱数復元部と、
前記乱数復元部で復元された乱数を用いて前記秘匿化データから乱数を除去する分析部とを有するデータ分析装置。
【請求項７】
前記乱数復元部は、
前記秘匿化装置が前記複数のシードから前記複数の乱数を生成する際に適用した乱数生成アルゴリズムを前記シード受信部により受信されたシードに適用して、前記複数の乱数のうちのいずれかの乱数を復元する請求項６に記載のデータ分析装置。
【請求項８】
前記データ分析装置は、更に、
シードの開示の許否判定を行う判定装置に、シードの開示を要求するシード開示要求を送信する送信部を有し、
前記シード受信部は、
前記判定装置によりシードの開示が許可された場合に、前記秘匿化装置から、前記複数のシードのうちのいずれかのシードを受信する請求項６に記載のデータ分析装置。
【請求項９】
前記送信部は、
前記判定装置への前記シード開示要求の送信を繰り返し、
前記シード受信部は、
前記秘匿化装置からのシードの受信を繰り返す請求項８に記載のデータ分析装置。
【請求項１０】
前記データ受信部は、
複数の機器の消費電力量の集約値が示される電力使用量データが、前記複数の機器の中から消費電力量を秘匿する対象として選択された機器がとり得る最大消費電力を用いて生成された前記複数の乱数を用いて秘匿化されて得られた前記秘匿化データを受信する請求項６に記載のデータ分析装置。
【請求項１１】
コンピュータが、複数のシードから複数の乱数を生成し、
前記コンピュータが、生成された前記複数の乱数を用いて、秘匿化の対象となる秘匿化対象データを秘匿化し、
前記コンピュータが、秘匿化された前記秘匿化対象データである秘匿化データをデータ分析装置に送信し、前記複数のシードのうちのいずれかのシードを前記データ分析装置に送信する秘匿化方法。
【請求項１２】
コンピュータが、秘匿化装置から、前記秘匿化装置により複数のシードから生成された複数の乱数を用いて秘匿化された秘匿化データを受信し、
前記コンピュータが、前記秘匿化装置から、前記複数のシードのうちのいずれかのシードを受信し、
前記コンピュータが、受信されたシードから、前記複数の乱数のうちのいずれかの乱数を復元し、
前記コンピュータが、復元された乱数を用いて前記秘匿化データから乱数を除去するデータ分析方法。
【請求項１３】
複数のシードから複数の乱数を生成する乱数生成処理と、
前記乱数生成処理により生成された前記複数の乱数を用いて、秘匿化の対象となる秘匿化対象データを秘匿化する秘匿化処理と、
前記秘匿化処理により秘匿化された前記秘匿化対象データである秘匿化データをデータ分析装置に送信し、前記複数のシードのうちのいずれかのシードを前記データ分析装置に送信する送信処理とをコンピュータに実行させる秘匿化プログラム。
【請求項１４】
秘匿化装置から、前記秘匿化装置により複数のシードから生成された複数の乱数を用いて秘匿化された秘匿化データを受信するデータ受信処理と、
前記秘匿化装置から、前記複数のシードのうちのいずれかのシードを受信するシード受信処理と、
前記シード受信処理により受信されたシードから、前記複数の乱数のうちのいずれかの乱数を復元する乱数復元処理と、
前記乱数復元処理で復元された乱数を用いて前記秘匿化データから乱数を除去する分析処理とをコンピュータに実行させるデータ分析プログラム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、データの秘匿化に関する。
【背景技術】
【０００２】
近年、プライバシー情報を利活用するビジネスが増大している。例えば、高齢者の見守りサービス等のビジネスにプライバシー情報が利活用されている。近年ＨＥＭＳ（Ｈｏｍｅ  Ｅｎｅｒｇｙ  Ｍａｎａｇｅｍｅｎｔ  Ｓｙｓｔｅｍ）は一般家庭への普及が進んでおり、ＨＥＭＳで用いられるスマートメーターで収集される電力使用量データを分析することで個人の行動を推測することができる。つまり、電力使用量データというプライバシー情報を分析して高齢者の行動を推測することで、高齢者の見守りサービスを実現することができる。
しかし、個人の行動を必要以上に推測することはプライバシー侵害の危険性がある。例えば、見守りサービスを行うために電力使用量データを分析すると、特定の家電製品を使用している時間帯がわかるため、特定の時間帯で見守り対象者が当該家電製品に関連する行動をしていることがわかる。また、長期間にわたって電力使用量データを分析すると、個人の行動パターンが推測される。更には、データ分析技術が進むにつれて、究極的には個人の趣味又は嗜好なども露わになってしまう可能性もある。【０００３】
このようなプライバシー情報の必要以上な漏洩を回避する技術として、データに乱数を加える技術がよく知られている（例えば、非特許文献１、非特許文献２）。
例えば、元データにガウス分布などから生成された乱数を単純に加えることで、元データと異なるデータへ変換してプライバシーを保護する方法がある。このように元データに乱数を単純に加えてプライバシーを保護する技術は、近年提案された「差分プライバシー」と呼ばれる、プライバシーレベルを定量的に評価できるフレームワークと密接な関係があることが知られている。このため、乱数を元データに追加する手法が再び脚光を浴びている。【０００４】
差分プライバシーを満たすプライバシー保護技術によれば、データベース中の個人データに関してどのような背景知識があっても統計値から個々の値を推測することが困難である。また、差分プライバシーを満たすプライバシー保護技術によれば、データベース全体に対する統計的分析が可能である。
【先行技術文献】
【特許文献】
【０００５】
【特許文献１】特開２０１６−０１２０７４号公報
【特許文献２】特開２０１４−００３６０２号公報
【特許文献３】特開２０１０−０９３４２４号公報
【特許文献４】特開２０１４−１０９９２８号公報
【特許文献５】特開２０１２−１５９９３２号公報
【非特許文献】
【０００６】
【非特許文献１】Ｎ．Ｒ．Ａｄａｍ  ａｎｄ  Ｊ．Ｃ．Ｗｏｒｔｍａｎ．“Ｓｅｃｕｒｉｔｙ  ｃｏｎｔｒｏｌ  ｍｅｔｈｏｄｓ  ｆｏｒ  ｓｔａｔｉｓｔｉｃａｌ  ｄａｔａｂａｓｅｓ”．ＡＣＭ  ＣｏｍｐｕｔｅｒＳｕｒｖｅｙｓ  １９８９．
【非特許文献２】Ｘ．Ｘｉａｏ，Ｙ．Ｔａｏ，ａｎｄ  Ｍ．Ｃｈｅｎ．“Ｏｐｔｉｍａｌ  ｒａｎｄｏｍ  ｐｅｒｔｕｒｂａｔｉｏｎ  ａｔ  ｍｕｌｔｉｐｌｅ  ｐｒｉｖａｃｙ  ｌｅｖｅｌｓ”．ＶＬＤＢ  ２００９．
【非特許文献３】Ｃ．Ｄｗｏｒｋ．“Ｄｉｆｆｅｒｅｎｔｉａｌ  ｐｒｉｖａｃｙ”．ＩＣＡＬＰ  ２００６．
【発明の概要】
【発明が解決しようとする課題】
【０００７】
特許文献１〜５に開示される技術及び非特許文献１〜３に開示される技術は、それぞれ、差分プライバシー技術、暗号化技術、秘密分散技術のいずれかをベースとしたプライバシー保護技術である。
しかしながら、特許文献１〜５に開示される技術及び非特許文献１〜３に開示される技術では、秘匿化された秘匿化データの精度を段階的に上げていくことができないという課題がある。
つまり、特許文献１〜５に開示される技術及び非特許文献１〜３に開示される技術では、秘匿化データを段階的に秘匿化前のデータに近づけることができないため、精度のよい分析ができないという課題がある。
このため、特許文献１〜５に開示される技術及び非特許文献１〜３に開示される技術を上記のような見守りサービスに適用した場合には、精度のよい分析ができないため、家電製品の使用状況を正確に把握することができず、適切な見守りができない。【０００８】
本発明は、上記のような課題を解決することを主な目的としている。つまり、本発明は、秘匿化データを段階的に秘匿化前のデータに近づけることが可能な構成を得ることを主な目的とする。
【課題を解決するための手段】
【０００９】
本発明に係る秘匿化装置は、
複数のシードから複数の乱数を生成する乱数生成部と、
前記乱数生成部により生成された前記複数の乱数を用いて、秘匿化の対象となる秘匿化対象データを秘匿化する秘匿化部と、
前記秘匿化部により秘匿化された前記秘匿化対象データである秘匿化データをデータ分析装置に送信し、前記複数のシードのうちのいずれかのシードを前記データ分析装置に送信する送信部とを有する。
【発明の効果】
【００１０】
本発明では、秘匿化に用いられた乱数の生成に用いられたシードをデータ分析装置に送信する。このため、本発明によれば、データ分析装置において、送信されたシードを用いて乱数を復元し、復元した乱数を用いて秘匿化データを段階的に秘匿化前のデータに近づけることができる。
【図面の簡単な説明】
【００１１】
【図１】実施の形態１に係るプライバシー保護システムの構成例を示す図。
【図２】実施の形態１に係るプライバシー保護システムでのデータフロー例を示す図。
【図３】実施の形態１に係るデータ生成装置の構成例を示す図。
【図４】実施の形態１に係るデータ集積装置の構成例を示す図。
【図５】実施の形態１に係るデータ攪乱装置の構成例を示す図。
【図６】実施の形態１に係るデータ分析装置の構成例を示す図。
【図７】実施の形態１に係るデータ保管処理を示すフローチャート。
【図８】実施の形態１に係る保管データ開示処理を示すフローチャート。
【図９】実施の形態１に係るデータ攪乱処理を示すフローチャート。
【図１０】実施の形態１に係るシード開示処理におけるデータ分析装置の動作例を示すフローチャート。
【図１１】実施の形態１に係るシード開示処理におけるデータ生成装置の動作例を示すフローチャート。
【図１２】実施の形態１に係るシード開示処理におけるデータ攪乱装置の動作例を示すフローチャート。
【図１３】実施の形態１に係るデータ分析処理の動作例を示すフローチャート。
【図１４】実施の形態１に係るシード変更処理を示すフローチャート。
【図１５】実施の形態１に係るデータ集積装置に保管されるデータの例を表す図。
【発明を実施するための形態】
【００１２】
以下、本発明の実施の形態について、図を用いて説明する。以下の実施の形態の説明及び図面において、同一の符号を付したものは、同一の部分または相当する部分を示す。
【００１３】
実施の形態１．
本実施の形態では、電力使用量データから家電製品の稼働履歴や個人の行動を分析することで見守りを行うサービスに適用可能なプライバシー保護システムを説明する。
本実施の形態に係るプライバシー保護システムでは、分析対象のデータの劣化は抑えつつ（もしくは、劣化を段階的に制御しつつ）、必要以上に（言い換えると、見守りに必要としない）個人の行動が露わにならないような制御を行うことができる。
また、プライバシー侵害の考え方は人それぞれで異なるため、本実施の形態に係るプライバシー保護システムでは、ユーザーが保護したいプライバシー情報を柔軟に指定することができる。
【００１４】
＊＊＊構成の説明＊＊＊
図１は、本実施の形態に係るプライバシー保護システム１００の構成例を示す。
図１に示すように、プライバシー保護システム１００は、データ生成装置２００とデータ集積装置３００とデータ攪乱装置４００とデータ分析装置５００とを備える。
プライバシー保護システム１００は複数のデータ生成装置２００を備えていてもよい。また、プライバシー保護システム１００は複数のデータ集積装置３００を備えていてもよい。更に、プライバシー保護システム１００は複数のデータ攪乱装置４００を備えていてもよい。また、プライバシー保護システム１００は複数のデータ分析装置５００を備えていてもよい。
【００１５】
インターネット１０１は、データ生成装置２００とデータ集積装置３００とデータ攪乱装置４００とデータ分析装置５００とを接続する。
インターネット１０１は、ネットワークの例である。インターネット１０１の代わりに、他の種類のネットワークが用いられてもよい。例えば、データ生成装置２００とデータ集積装置３００とデータ攪乱装置４００とデータ分析装置５００は、ＬＡＮ（Ｌｏｃａｌ  Ａｒｅａ  Ｎｅｔｗｏｒｋ）で接続されていてもよい。
【００１６】
データ生成装置２００は、データ分析装置５００で分析されるデータを生成する。そして、データ生成装置２００は、生成したデータをデータ集積装置３００に送信する。データ生成装置２００は、例えば、家電機器の消費電力量データを集計して得られる電力使用量データを生成する。この場合は、データ生成装置２００は、例えばスマートメーターである。なお、データ生成装置２００がスマートメーターである場合は、データ生成装置２００は、図１に不図示の家電機器から消費電力量データを収集することができる。本実施の形態では、消費電力量データとは、図１に不図示のある１つの家電機器が消費した電力量を示す。また、電力使用量データとは、図１に不図示のすべての家電機器の消費電力量の集計値を示す。
以下では、データ生成装置２００は、図１に不図示のすべての家電機器の消費電力量の集約値である電力使用量データと、その電力使用量が生成された時刻が含まれる機器データ（Ｄ）を生成するものとする。
なお、上記の電力使用量データが秘匿化対象データに相当する。また、データ攪乱装置４００により秘匿化された後の電力使用量データが秘匿化データに相当する。
【００１７】
データ生成装置２００は、機器データ（Ｄ）と関連する基本情報をデータ集積装置３００へ送信する。具体的には、基本情報には、電力使用量データの生成の元になる家電機器の種類（例えば、テレビや電子レンジなど）及びその家電機器の取り得る最大の消費電力量などが含まれる。
データ生成装置２００は、このような基本情報を生成し、生成した基本情報をデータ集積装置３００に送信する。以下では、この基本情報を基本情報（Ｂ）という。多くの場合、基本情報（Ｂ）として同じデータが生成され続けるが、図１に不図示の家電機器が更新される度に基本情報（Ｂ）のデータも更新される。
【００１８】
また、データ生成装置２００は、プライバシー情報として消費電力量や稼働履歴を秘匿すべき家電機器が定義されたリストを生成し、生成したリストをデータ集積装置３００に送信する。
具体的には、データ生成装置２００は、複数の家電機器の消費電力量を集計して得られた電力使用量から、消費電力量や稼働履歴を秘匿すべき家電機器（以下、保護対象機器という）のリストを生成し、生成したリストをデータ集積装置３００に送信する。以下では、このリストを保護対象機器リスト（Ｌ）という。保護対象機器リスト（Ｌ）には、このように、複数の家電機器の消費電力量を集計して得られた電力使用量データから、消費電力量や稼働履歴を隠したい単一もしくは複数の家電機器の名前が示されている。
【００１９】
また、データ生成装置２００は、乱数を生成するためのシードの変更を要求する。すなわち、データ生成装置２００は、データ攪乱装置４００に対して、乱数のシードの変更を要求する。例えば、ある一定の時間が経過した時や、シードが悪意のある人物に盗み見られた時などシードの安全性が危殆化した時に、データ生成装置２００はデータ攪乱装置４００に対してシードの変更を要求する。
【００２０】
更に、データ生成装置２００は、乱数のシードの開示の許否を判定する。すなわち、データ生成装置２００は、データ分析装置５００から乱数のシードの開示要求が送信された場合に、シードの開示を許可するか否かを判定する。そして、シードの開示を許可する場合は、データ生成装置２００は、データ攪乱装置４００に乱数のシードの開示を指示する。
データ生成装置２００は、判定装置に相当する。
【００２１】
データ集積装置３００は、データ生成装置２００から収集したデータを蓄積する。このため、データ集積装置３００は、大容量の記録媒体を持つ。
【００２２】
データ攪乱装置４００は、プライバシー情報を保護するために乱数を電力使用量データに付与する。つまり、データ攪乱装置４００は、データ分析装置５００に送信する電力使用量データをプライバシー情報として保護する必要がある場合は、乱数を用いて電力使用量データを秘匿化する。
具体的には、データ攪乱装置４００は、データ集積装置３００から、データ生成装置２００で生成された機器データ（Ｄ）を受信する。そして、データ攪乱装置４００は、データ集積装置３００から受信した機器データ（Ｄ）に秘匿化対象の電力使用量データが含まれていれば、適切な乱数を付与して当該電力使用量データを攪乱する。データ攪乱装置４００は、攪乱後の電力使用量データをデータ分析装置５００に送信する。
より具体的には、データ攪乱装置４００は、データ集積装置３００から、機器データ（Ｄ）とともに、データ生成装置２００で生成された基本情報（Ｂ）と保護対象機器リスト（Ｌ）を受信する。この保護対象機器リスト（Ｌ）には、前述のように、電力使用量データから消費電力量や稼働履歴を秘匿すべき家電機器が示される。データ攪乱装置４００は、保護対象機器リスト（Ｌ）を参照し、基本情報（Ｂ）の中から保護対象機器リスト（Ｌ）に示された家電機器の取り得る最大の消費電力量をすべて読み出し、その中の一番大きな値に依存して秘匿するための乱数を生成する。なお、データ攪乱装置４００は、乱数の生成に先立ち、乱数の生成のためのシードを生成し、生成したシードを保管する。
【００２３】
また、データ攪乱装置４００は、データ生成装置２００からシードの変更要求があれば、シードを新たに生成し、乱数の生成に用いるシードを変更する。なお、データ攪乱装置４００は、過去に用いたシードは削除せず、過去に用いたシードを新しいシードと共に引き続き保管しておく。
また、データ攪乱装置４００は、攪乱に用いたシードの開示がデータ生成装置２００により指示された場合は、該当するシードをデータ分析装置５００へ送信する。データ生成装置２００により開示対象の期間が指定されている場合は、データ攪乱装置４００は、該当する期間に用いられたシードのみをデータ分析装置５００に開示する。
【００２４】
なお、データ攪乱装置４００は秘匿化装置に相当する。また、データ攪乱装置４００により行われる動作は、秘匿化方法及び秘匿化プログラムに相当する。
【００２５】
データ分析装置５００は、データ攪乱装置４００から送信された攪乱後の電力使用量データを分析する。データ分析装置５００は、例えば、データ攪乱装置４００から送信された攪乱後の電力使用量データを、単純な閾値法や隠れマルコフモデルなどの分析技術を用いて分析する。そして、データ分析装置５００は、分析結果に基づき、保護対象機器リスト（Ｌ）に示された以外の家電機器の消費電力量や稼働履歴からユーザーの行動を推測する。もしくは、データ分析装置５００は、データ攪乱装置４００から送信された攪乱後の電力使用量データを推定モデルを用いて分析し、電力需要と相関の強い属性（人数・面積など）を推定して、ユーザーの行動を分析・推測する。
また、データ分析装置５００は、データ生成装置２００に対して電力使用量データの攪乱に用いた乱数のシードの開示を要求する。
【００２６】
なお、データ分析装置５００により行われる動作は、データ分析方法及びデータ分析プログラムに相当する。
【００２７】
なお、データ生成装置２００、データ集積装置３００、データ攪乱装置４００、データ分析装置５００をまとめて１つのコンピュータで実現してもよい。ただし、この場合は、攪乱前の電力使用量データがデータ分析装置５００によって閲覧されないようにアクセス管理など安全管理措置を講ずる必要がある。
【００２８】
図２は、本実施の形態に係るプライバシー保護システム１００におけるデータフローの例を示す。
【００２９】
データ生成装置２００は、機器データ（Ｄ）、基本情報（Ｂ）及び保護対象機器リスト（Ｌ）を生成する。そして、データ生成装置２００は、機器データ（Ｄ）、基本情報（Ｂ）及び保護対象機器リスト（Ｌ）をデータ集積装置３００に送信する。
【００３０】
データ集積装置３００は、機器データ（Ｄ）、基本情報（Ｂ）及び保護対象機器リスト（Ｌ）を記憶する。
【００３１】
データ分析装置５００は、データ集積装置３００に保管データ開示要求を送信する。保管データ開示要求では、機器データ（Ｄ）のデータ分析装置５００への開示が要求される。
データ集積装置３００は、保管データ開示要求に応答して、機器データ（Ｄ）、基本情報（Ｂ）及び保護対象機器リスト（Ｌ）をデータ攪乱装置４００に送信する。
【００３２】
データ攪乱装置４００は、基本情報（Ｂ）及び保護対象機器リスト（Ｌ）を参照して、機器データ（Ｄ）を複数の乱数を用いて攪乱する。そして、攪乱後の機器データ（Ｄ）を、分析データ（Ａ）としてデータ分析装置５００に送信する。
【００３３】
データ分析装置５００は、分析データ（Ａ）を分析する。分析データ（Ａ）の分析精度を上げる必要がある場合、つまり、分析データ（Ａ）から乱数を部分的に除去する必要がある場合は、データ分析装置５００は、シード開示要求をデータ生成装置２００に送信する。シード開示要求では、分析データ（Ａ）の生成の際の攪乱に用いられた乱数の生成に用いられたシードの開示を要求する
【００３４】
データ生成装置２００は、シード開示要求を受信すると、データ分析装置５００にシードを開示するか否かを判定する。データ生成装置２００は、データ分析装置５００にシードを開示する場合は、データ攪乱装置４００にシード開示要求と許可通知を送信する。また、データ生成装置２００は、データ分析装置５００にシードを開示しない場合は、データ分析装置５００に不許可通知を送信する。
【００３５】
データ攪乱装置４００は、データ生成装置２００からシード開示要求と許可通知を受信した場合は、分析データ（Ａ）の生成の際の攪乱に用いた乱数の生成に用いた複数のシードのうちの一部のシードを部分シード（Ｓ’）としてデータ分析装置５００に送信する。
【００３６】
データ分析装置５００は、データ攪乱装置４００から部分シード（Ｓ’）を受信した場合は、部分シード（Ｓ’）から乱数を復元し、復元した乱数を用いて分析データ（Ａ）から乱数を除去する。この結果、分析データ（Ａ）は秘匿化前の電力使用量データに近づくため、分析精度が上がる。
【００３７】
また、データ生成装置２００は、シードの変更が必要になった場合に、データ攪乱装置４００にシード変更要求を送信する。シード変更要求では、乱数の生成に用いられるシードの変更が要求される。
データ攪乱装置４００は、シード変更要求を受信すると、新たにシードを生成し、生成した新たなシードを保管する。そして、データ攪乱装置４００は次に乱数を生成する際に新たなシードを用いる。
【００３８】
図３は、データ生成装置２００の構成例を示す。
データ生成装置２００は、コンピュータである。
データ生成装置２００は、ハードウェアとして、プロセッサ２１１、記憶装置２１２、受信インタフェース２１３、送信インタフェース２１４及び入力インタフェース２１５を備える。
また、データ生成装置２００は、機能構成として、データ生成部２０１、受信部２０２、入力部２０３及び送信部２０４を備える。
記憶装置２１２には、データ生成部２０１、受信部２０２、入力部２０３及び送信部２０４の機能を実現するプログラムが記憶されている。
そして、プロセッサ２１１がこれらプログラムを実行して、後述するデータ生成部２０１、受信部２０２、入力部２０３及び送信部２０４の動作を行う。
図３では、プロセッサ２１１がデータ生成部２０１、受信部２０２、入力部２０３及び送信部２０４の機能を実現するプログラムを実行している状態を模式的に表している。
受信インタフェース２１３は、各種データを受信する。送信インタフェース２１４は各種データを送信する。
入力インタフェース２１５は、オペレータから各種指示を取得する。
【００３９】
データ生成部２０１は、機器データ（Ｄ）と機器の基本情報（Ｂ）とを生成する。前述したように、例えば、機器データ（Ｄ）には、電力使用量データやそのデータを生成した時刻データを含む。本実施の形態では、電力使用量データを「Ｐ」、その生成した時刻データを「ＴＩＭＥ」と示し、また機器データ（Ｄ）をＤ＝（Ｐ，ＴＩＭＥ）と示す。
また、機器データ（Ｄ）の電力使用量データ（Ｐ）は、Ｎ個の家電機器（Ｍ１，…，ＭＮ）のそれぞれ消費電力量（Ｑ１，…，ＱＮ）の集約値Ｐ＝Ｑ１＋…＋ＱＮであり、また家電機器（Ｍ１，…，ＭＮ）のそれぞれの取り得る最大の消費電力量を（Ｅ１，…，ＥＮ）とした場合、基本情報（Ｂ）には、｛（Ｍ１，Ｅ１）…，（ＭＮ，ＥＮ）｝が示される。また、基本情報（Ｂ）には、他に、各家電機器の平均消費電力量や設置場所など機器の様々な情報が含まれていてもよい。
【００４０】
受信部２０２は、データ分析装置５００からシード開示要求を受信する。
【００４１】
入力部２０３は、受信部２０２がシード開示要求を受信した場合に、データ生成装置２００のオペレータからシード（Ｓ）の開示許可もしくは開示不許可を取得する。
また、入力部２０３は、オペレータからシード変更要求を取得する。
また、入力部２０３は、データ生成部２０１で生成した機器データ（Ｄ）に対して、保護対象機器リスト（Ｌ）をオペレータから取得する。例えば、保護対象機器リスト（Ｌ）として、（Ｍ’１，…，Ｍ’Ｈ）が示される。この「Ｍ’１，…，Ｍ’Ｈ」は、基本情報（Ｂ）に含まれるＮ個の家電機器（Ｍ１，…，ＭＮ）のいずれかに該当する。ただし、Ｈは１以上かつＮ以下の整数である。
【００４２】
送信部２０４は、機器データ（Ｄ）と機器の基本情報（Ｂ）と保護対象機器リスト（Ｌ）とをデータ集積装置３００に送信する。
また、送信部２０４は、オペレータからシード開示要求に対して開示許可が入力された場合は、シード開示要求と許可通知のペアをデータ攪乱装置４００に送信する。また、オペレータからシード開示要求に対して開示不許可が入力された場合は、送信部２０４は、不許可通知をデータ分析装置５００に送信する。なお、許可通知又は不許可通知が偽造されないように、許可通知又は不許可通知に電子署名などを付けてセキュリティを向上させることもできる。
また、送信部２０４は、シード変更要求を、データ攪乱装置４００に送信する。
【００４３】
図４は、データ集積装置３００の構成例を示す。
データ集積装置３００は、コンピュータである。
データ集積装置３００は、ハードウェアとして、プロセッサ３１１、記憶装置３１２、受信インタフェース３１３及び送信インタフェース３１４を備える。
また、データ集積装置３００は、機能構成として、受信部３０１、データ格納部３０２及び送信部３０３を備える。
記憶装置３１２には、受信部３０１、データ格納部３０２及び送信部３０３の機能を実現するプログラムが記憶されている。
そして、プロセッサ３１１がこれらプログラムを実行して、後述する受信部３０１、データ格納部３０２及び送信部３０３の動作を行う。
図４では、プロセッサ３１１が受信部３０１、データ格納部３０２及び送信部３０３の機能を実現するプログラムを実行している状態を模式的に表している。
受信インタフェース３１３は、各種データを受信する。送信インタフェース３１４は各種データを送信する。
【００４４】
受信部３０１は、データ生成装置２００から送信された機器データ（Ｄ）と基本情報（Ｂ）と保護対象機器リスト（Ｌ）とを受信する。
また、受信部３０１は、データ分析装置５００から送信された保管データ開示要求を受信する。
【００４５】
データ格納部３０２は、受信部３０１により受信された機器データ（Ｄ）と基本情報（Ｂ）と保護対象機器リスト（Ｌ）を、合わせて記憶装置３１２に格納する。例えば、図１５は記憶装置３１２に格納されているデータの組（Ｄ，Ｂ，Ｌ）を表しており、データ保管処理の度に各行に記載されたようなデータが記憶装置３１２に格納される。
また、データ格納部３０２は、受信部３０１により保管データ開示要求が受信された場合に、機器データ（Ｄ）と基本情報（Ｂ）と保護対象機器リスト（Ｌ）を記憶装置３１２から読み出す。保管データ開示要求に日時の指定も含まれている場合は、データ格納部３０２は、記憶装置３１２に保管されているすべての組（Ｄ，Ｂ，Ｌ）に対して、機器データ（Ｄ）に含まれる時刻データ（ＴＩＭＥ）を確認し、指定の日時と合致する場合はその機器データ（Ｄ）と基本情報（Ｂ）と保護対象機器リスト（Ｌ）の組を読み出す。ここで読み出された複数の組を（（Ｄ１，Ｂ１，Ｌ１），…，（ＤＴ，ＢＴ，ＬＴ））と示す。ただし、Ｔは１以上の整数である。もし、保管データ開示要求が指定した日時と合致するデータの組（Ｄ，Ｂ，Ｌ）が記憶装置３１２に存在しない場合は、データ格納部３０２は、読み出し結果に空集合を意味する値をセットする。例えば、０をセットする。
【００４６】
送信部３０３は、データ格納部３０２により読み出された機器データ（Ｄ）と基本情報（Ｂ）と保護対象機器リスト（Ｌ）とをデータ攪乱装置４００に送信する。
【００４７】
図５は、データ攪乱装置４００の構成例を示す。
データ攪乱装置４００は、ハードウェアとして、プロセッサ４１１、記憶装置４１２、受信インタフェース４１３及び送信インタフェース４１４を備える。
また、データ攪乱装置４００は、機能構成として、受信部４０１、シード生成部４０２、シード格納部４０３、乱数生成部４０４、データ攪乱部４０５及び送信部４０６を備える。
記憶装置４１２には、受信部４０１、シード生成部４０２、シード格納部４０３、乱数生成部４０４、データ攪乱部４０５及び送信部４０６の機能を実現するプログラムが記憶されている。
そして、プロセッサ４１１がこれらプログラムを実行して、後述する受信部４０１、シード生成部４０２、シード格納部４０３、乱数生成部４０４、データ攪乱部４０５及び送信部４０６の動作を行う。
図４では、プロセッサ４１１が受信部４０１、シード生成部４０２、シード格納部４０３、乱数生成部４０４、データ攪乱部４０５及び送信部４０６の機能を実現するプログラムを実行している状態を模式的に表している。
受信インタフェース４１３は、各種データを受信する。送信インタフェース４１４は各種データを送信する。
【００４８】
受信部４０１は、データ集積装置３００から送信されてきた機器データ（Ｄ）と基本情報（Ｂ）と保護対象機器リスト（Ｌ）の組（Ｄ，Ｂ，Ｌ）をＴ個受信する。ただし、Ｔは１以上の整数である。
また、受信部４０１は、データ生成装置２００からシード開示要求と許可通知とを受信する。
また、受信部４０１は、データ生成装置２００からシード変更要求を受信する。
【００４９】
シード生成部４０２は、機器データ（Ｄ）を攪乱するための乱数のシード（Ｓ）を生成する。なお、シード生成部４０２は、一度に複数のシード（Ｓ１，…，ＳＫ）（ただし、Ｋは２以上の整数）を生成する。なお、（Ｓ１，…，ＳＫ）をまとめてシード（Ｓ）という。
【００５０】
シード格納部４０３は、シード生成部４０２で生成されたシード（Ｓ＝（Ｓ１，…，ＳＫ））を記憶装置４１２に格納する。また、シード格納部４０３は、シード（Ｓ）の格納時刻も記憶装置４１２に格納する。
また、シード格納部４０３は、受信部４０１により受信されたシード開示要求に基づき、シード（Ｓ＝（Ｓ１，…，ＳＫ））の部分シード（Ｓ’＝（Ｓ’１，…，Ｓ’Ｊ））（ただし、Ｊは１以上かつＫ以下の整数で、Ｓ’１，…，Ｓ’ＪはＳ１，…，ＳＫのいずれかの値）を記憶装置４１２から読み出す。
【００５１】
乱数生成部４０４は、受信部４０１により受信された基本情報（Ｂ）と保護対象機器リスト（Ｌ）と、シード格納部４０３により読み出されたシード（Ｓ＝（Ｓ１，…，ＳＫ））を用いて、乱数（Ｒ＝（Ｒ１，…，ＲＫ））を生成する。
乱数生成部４０４により行われる動作は、乱数生成処理に相当する。
乱数生成部４０４は、例えば、以下の方法により、乱数を生成する。
【００５２】
まず、乱数生成部４０４は、受信部４０１により受信された（Ｄ，Ｂ，Ｌ）に対して、基本情報（Ｂ＝｛（Ｍ１，Ｅ１）…，（ＭＮ，ＥＮ）｝）と保護対象機器リスト（Ｌ＝（Ｍ’１，…，Ｍ’Ｈ））を用いて、基本情報（Ｂ）から保護対象機器リスト（Ｌ）に関連する情報｛（Ｍ’１，Ｅ’１）…，（Ｍ’Ｈ，Ｅ’Ｈ）｝を抽出し、その中で一番大きなとり得る最大の消費電力量（Ｅ）とその家電機器（Ｍ）を特定する。この特定された消費電力量（Ｅ）は、対象機器リスト（Ｌ）に含まれる家電機器のうち、取り得る最大の消費電力量の中で一番大きな値を表している。
次に、乱数生成部４０４は、規定の乱数生成アルゴリズムを適用して乱数を生成する。
【００５３】
乱数生成部４０４は、例えば、以下の確率密度関数を持つ、期待値＝０、分散＝２Ｒ２のラプラス分布ＬＡＰに従って乱数を生成する。
ＬＡＰ（ｘ｜Ｒ）＝（１／（２Ｒ））×（ＥＸＰ（−｜ｘ｜／Ｒ）
ただし、ＥＸＰ（ｙ）は自然対数ｅのｙ乗を意味する。
このとき、乱数生成部４０４は、オペレータが決めた、もしくはシステムで予め決められたプライバシーレベルを表すパラメーターεと、対象機器リスト（Ｌ）に含まれる家電機器うち取り得る最大の消費電力量の中で一番大きな消費電力量（Ｅ）に対して、シード（Ｓ）の一要素ＳＩを用いて、乱数ＲＩをＬＡＰ（ｘ｜Ｅ／ε）に従って生成する。ただし、Ｉは１以上かつＫ以下の整数である。このように、乱数生成部４０４は、シード（Ｓ＝（Ｓ１，…，ＳＫ））を用いて、各（Ｄ，Ｂ，Ｌ）に対して、乱数（Ｒ＝（Ｒ１，…，ＲＫ））を生成する。つまり、乱数生成部４０４は、１つの秘匿化対象の電力使用量データに対して複数の乱数を生成する。
なお、プライバシーレベルを表すパラメーターεは実数値である。パラメーターεは０に近い程プライバシーレベルが上がる。また、パラメーターεは０に近い程大きな乱数が生成される。オペレータは、データ分析装置５００において分析データ（Ａ）の分析ができるようにするためにパラメーターεを調節する必要がある。例えば、分析内容に応じてパラメーターεを事前に学習することで、パラメーターεの最適値を算出することができる。
【００５４】
また、乱数生成部４０４は、上記のようなラプラス分布ではなく、よく知られた期待値＝μ、分散＝σ２の正規分布Ｎ（μ，σ２）に従って乱数を生成してもよい。
正規分布Ｎ（μ，σ２）に従って乱数を生成する場合は、乱数生成部４０４は、オペレータが決めた、もしくはシステムで予め決められたプライバシーレベルを表すパラメーター（ε，δ）と、対象機器リスト（Ｌ）に含まれる家電機器うち取り得る最大の消費電力量の中で一番大きな消費電力量（Ｅ）に対して、まず以下のσを計算する。
σ＝（Ｅ／ε）×（２×ＬＯＧ（１．２５／δ））１／２
ただし、ＬＯＧ（ｙ）は自然対数ｅを底としたｙの対数を意味する。
その後、乱数生成部４０４は、シード（Ｓ）の一要素ＳＩを用いて、乱数ＲＩをＮ（０，σ２）に従って生成する。ただし、Ｉは１以上かつＫ以下の整数である。このように、シード（Ｓ＝（Ｓ１，…，ＳＫ））を用いて、乱数（Ｒ＝（Ｒ１，…，ＲＫ））を生成する。つまり、乱数生成部４０４は、１つの秘匿化対象の電力使用量データに対して複数の乱数を生成する。
ラプラス分布の場合と同様に、プライバシーレベルを表すパラメーターεとパラメーターδはそれぞれ実数値である。パラメーターεとパラメーターδは０に近いほどプライバシーレベルが上がる。パラメーターεとパラメーターδは０に近い程大きな乱数が生成される。オペレータは、データ分析装置５００において分析データ（Ａ）の分析ができるようにするためにパラメーターεとパラメーターδを調節する必要がある。例えば、分析内容に応じてパラメーターεとパラメーターδを事前に学習することで、パラメーターεの最適値を算出することができる。
【００５５】
上記の例では、ラプラス分布や正規分布を用いた乱数の生成方法について述べたが、差分プライバシー技術でも用いられる指数分布や、その他の様々な分布を用いて、プライバシーレベルを表すパラメーター（ε，δ）に依存して乱数を生成する方法を用いてもよい。更に、本実施の形態で用いる乱数の生成には、シード（Ｓ）がわかれば生成した乱数（Ｒ）を復元できるような乱数生成技術を用いる。例えば、シード（Ｓ＝（Ｓ１，…，ＳＫ））を用いて、ある機器データ（Ｄ＝（Ｐ，ＴＩＭＥ））に対して乱数（Ｒ＝（Ｒ１，…，ＲＫ））を生成する場合、シード（Ｓ）と時刻データ（ＴＩＭＥ）から一意的に（すなわち、確定的に）ラプラス分布または正規分布などに従った乱数（Ｒ）を生成できるものとする。より詳細には、入力に対して確定的に乱数を出力する関数Ｆを用いて、Ｒ１＝Ｆ（Ｓ１，ＴＩＭＥ），…，ＲＫ＝Ｆ（ＳＫ，ＴＩＭＥ）として乱数（Ｒ）を生成できる乱数生成技術を利用する。
【００５６】
データ攪乱部４０５は、受信部４０１により受信された機器データ（Ｄ）に、乱数生成部４０４により生成された乱数（Ｒ＝（Ｒ１，…，ＲＫ））を付与して分析データ（Ａ）を生成する。つまり、データ攪乱部４０５は、機器データ（Ｄ）の電力使用量データ（Ｐ）から保護対象機器リスト（Ｌ）に示される保護対象機器の消費電力量や稼働履歴を隠すために、複数の乱数を用いて秘匿化する。
具体的には、データ攪乱部４０５は、機器データ（Ｄ＝（Ｐ，ＴＩＭＥ））に対して、電力使用量データ（Ｐ）に複数の乱数を加算して保護対象機器の電力使用量データを秘匿化する。例えば、保護対象機器の電力使用量データの値が１００であり、生成された乱数が１１、３２、６５（Ｋ＝３）である場合は、データ攪乱部４０５は、１００＋１１＋３２＋６５＝２０８を得る。
このように、データ攪乱部４０５は、Ｃ＝Ｐ＋Ｒ１＋…＋ＲＫとして、電力使用量データ（Ｐ）を秘匿化して秘匿化後の電力使用量データ（Ｃ）を生成し、分析データ（Ａ＝（Ｃ，ＴＩＭＥ））を生成する。
分析データ（Ａ）内の秘匿化後の電力使用量データ（Ｐ）は秘匿化データに相当する。
データ攪乱部４０５は秘匿化部に相当する。また、データ攪乱部４０５により行われる動作は秘匿化処理に相当する。
【００５７】
送信部４０６は、データ攪乱部４０５により生成された分析データ（Ａ）をデータ分析装置５００に送信する。
また、送信部４０６は、分析データ（Ａ）をデータ分析装置５００に送信した後に、受信部４０１によりシード開示要求と許可通知とが受信された場合に、シード格納部４０３から取得した部分シード（Ｓ’＝（Ｓ’１，…，Ｓ’Ｊ））をデータ分析装置５００に送信する。
送信部４０６により行われる動作は、送信処理に相当する。
【００５８】
図６は、データ分析装置５００の構成例を示す。
データ分析装置５００は、コンピュータである。
データ分析装置５００は、ハードウェアとして、プロセッサ５１１、記憶装置５１２、受信インタフェース５１３、送信インタフェース５１４、入力インタフェース５１５及び出力インタフェース５１６を備える。
また、データ分析装置５００は、機能構成として、入力部５０１、送信部５０２、受信部５０３、シード格納部５０４、乱数復元部５０５、分析部５０６及び出力部５０７を備える。
記憶装置５１２には、入力部５０１、送信部５０２、受信部５０３、シード格納部５０４、乱数復元部５０５、分析部５０６及び出力部５０７の機能を実現するプログラムが記憶されている。
そして、プロセッサ５１１がこれらプログラムを実行して、後述する入力部５０１、送信部５０２、受信部５０３、シード格納部５０４、乱数復元部５０５、分析部５０６及び出力部５０７の動作を行う。
図６では、プロセッサ５１１が入力部５０１、送信部５０２、受信部５０３、シード格納部５０４、乱数復元部５０５、分析部５０６及び出力部５０７の機能を実現するプログラムを実行している状態を模式的に表している。
受信インタフェース５１３は、各種データを受信する。
送信インタフェース５１４は各種データを送信する。
入力インタフェース５１５は、データ分析者から各種指示を取得する。
出力インタフェース５１６は、各種情報を出力する。
【００５９】
入力部５０１は、データ分析者から保管データ開示要求を取得する。
また、入力部５０１は、データ分析者からシード開示要求を取得する。
【００６０】
送信部５０２は、保管データ開示要求をデータ集積装置３００に送信する。例えば、この保管データ開示要求には、取得対象の機器データ（Ｄ）の期間が示される。
また、送信部５０２は、シード開示要求をデータ生成装置２００に送信する。例えば、このシード開示要求には、分析精度を上げるべき分析データ（Ａ）の期間が示される。データ攪乱装置４００では、シード開示要求に応答して、シード開示要求に示される期間に生成された乱数の生成に用いられたシード（Ｓ）の部分シード（Ｓ’）を開示する。
【００６１】
受信部５０３は、データ攪乱装置４００から送信された分析データ（Ａ１，…，ＡＴ）を受信する。ただし、Ｔは１以上の整数である。
また、受信部５０３は、データ生成装置２００から不許可通知を受信する。また、受信部５０３は、データ攪乱装置４００から部分シード（Ｓ’）を受信する。
受信部５０３は、データ受信部及びシード受信部に相当する。また、受信部５０３により行われる動作は、データ受信処理及びシード受信処理に相当する。
【００６２】
シード格納部５０４は、入力部５０１で取得された保管データ開示要求と、受信部５０３で受信された部分シード（Ｓ’）とを合わせて記憶装置５１２に格納する。
また、シード格納部５０４は、受信部５０３で受信された分析データ（Ａ１，…，ＡＴ）に含まれる保管時刻の値に基づき、記憶装置５１２から部分シード（Ｓ’）を読み出す。もし、対応するシードがなければ、シード格納部５０４は、空データを示す値を乱数復元部５０５に返す。
【００６３】
乱数復元部５０５は、シード格納部５０４により読み出された部分シード（Ｓ’＝（Ｓ’１，…，Ｓ’Ｊ））を用いて、分析データ（Ａ＝（Ｃ，ＴＩＭＥ））の秘匿化データ（Ｃ）を生成するために使われた乱数の一部（Ｒ’＝（Ｒ’１，…，Ｒ’Ｊ））を復元する。
つまり、乱数復元部５０５は、データ攪乱装置４００の乱数生成部４０４がシード（Ｓ）から乱数を生成する際に適用した乱数生成アルゴリズムを部分シード（Ｓ’）に適用して、分析データ（Ａ）に含まれる秘匿化データ（Ｃ）を生成するために使われた乱数の一部（Ｒ’）を復元する。
例えば、ある分析データ（Ａ＝（Ｃ，ＴＩＭＥ））に含まれる秘匿化データ（Ｃ＝Ｄ＋Ｒ１＋…＋ＲＫ）から乱数の一部（Ｒ’＝（Ｒ’１，…，Ｒ’Ｊ））を復元するために、乱数復元部５０５は、前述した乱数復元方法の関数Ｆを用いて、部分シード（Ｓ’＝（Ｓ’１，…，Ｓ’Ｊ））と時刻データ（ＴＩＭＥ）に対して、Ｒ’１＝Ｆ（Ｓ’１，ＴＩＭＥ），…，Ｒ’Ｊ＝Ｆ（Ｓ’Ｊ，ＴＩＭＥ）として、乱数の一部（Ｒ’）を容易に復元できる。
乱数復元部５０５により行われる動作は、乱数復元処理に相当する。
【００６４】
分析部５０６は、受信部５０３で受信された分析データ（Ａ１，…，ＡＴ）を用いて分析を行う。分析部５０６は、例えば、分析データ（Ａ１，…，ＡＴ）に含まれる秘匿化された電力使用量データ（Ｐ）を用いて、各家電機器の消費電力量や稼働履歴を抽出して、使用傾向を分析する。
また、分析部５０６は、乱数復元部５０５から分析データ（Ａｉ＝（Ｃｉ，ＴＩＭＥ））の秘匿化データ（Ｃｉ）の生成に使われた乱数の一部（Ｒ’＝（Ｒ’１，…，Ｒ’Ｊ））を取得した場合は、Ｒ’ｉ＝（Ｒ’ｉ１，…，Ｒ’ｉＪ）を用いて秘匿化データ（Ｃｉ）から一部の乱数（Ｒ’ｉ）を除去する。具体的には、分析部５０６は、精度向上分析データ（Ａ’ｉ＝（Ｃ’ｉ，ＴＩＭＥ））をＣ’ｉ＝Ｃｉ−Ｒ’ｉ１−…−Ｒ’ｉＪにより生成し、この精度向上分析データ（Ａ’）を用いて分析する。
分析部５０６により行われる動作は、分析処理に相当する。
【００６５】
例えば、機器データ（Ｄ）に含まれる電力使用量データ（Ｐ）の値が１００であり、データ攪乱装置４００において攪乱に用いられた乱数が１１、３２、６５（Ｋ＝３）である場合は、分析データ（Ａ）に含まれる秘匿化データ（Ｃ）の値は、当該保護対象機器の電力使用量データの値は１００＋１１＋３２＋６５＝２０８である。例えば、データ攪乱装置４００から部分シードＳ’３が送信され、当該部分シードＳ’３から乱数として６５が得られた場合は、分析部５０６は、２０８−６５＝１４３を得ることができる。秘匿化された値である２０８に比べれば、乱数除去後の値である１４３は、元の値である１００に近い。このため、分析部５０６は、秘匿化前の電力使用量（Ｐ）について信頼性の高い値を得ることができ、分析精度を上げることができる。更に、データ攪乱装置４００から部分シードＳ’２が送信され、当該部分シードＳ’２から乱数として３２が得られた場合は、分析部５０６は、１４３−３２＝１１１を得ることができる。乱数除去後の値である１１１は、元の値である１００に更に近く、分析部５０６は、更に分析精度を上げることができる。
【００６６】
例えば、データ攪乱装置４００においてＫ（Ｋ≧２）個のシードを用いてＫ個の乱数が生成され、Ｋ個の乱数を用いて電力使用量データが攪乱されている場合は、送信部５０２は、部分シード（Ｓ’）の受信総数が（Ｋ−１）個になるまで、シード開示要求の送信を繰り返すことができる。そして、データ攪乱装置４００の送信部４０６は、部分シード（Ｓ’）の送信総数が（Ｋ−１）個になるまで、データ生成装置２００によりシードの開示が許可される度に、未送信の部分シード（Ｓ’）をデータ分析装置５００に送信する。また、データ分析装置５００の受信部５０３は、データ攪乱装置４００から部分シード（Ｓ’）が送信される度に、部分シード（Ｓ’）の受信を繰り返す。
このようにして、分析部５０６は、段階的に秘匿化データ（Ｃ）から乱数を除去していき、秘匿されている値を段階的に秘匿化前の値に近づけることができる。
なお、ここでは、データ分析装置５００が段階的に部分シード（Ｓ’）の開示を要求し、データ攪乱装置４００が段階的に部分シード（Ｓ’）を開示する例を説明したが、データ分析装置５００が（Ｋ−１）個の部分シード（Ｓ’）の開示を一度に要求し、データ攪乱装置４００が一度に（Ｋ−１）個の部分シード（Ｓ’）を開示するようにしてもよい。
【００６７】
分析部５０６は、秘匿化データ（Ｃ）から乱数を除去してより本来の値に近い値を得ることで、以下のようにして見守り対象者の状態を推定することができる。
例えば、毎日ある時間帯にある家電機器の電力消費量が既定の標準範囲内にある場合には見守り対象者に異常がないと推定するような推定基準が用いられる場合を想定する。例えば、標準範囲が８０〜１３０の範囲であるとする。前出の乱数除去前の電力使用量の値：２０８は標準範囲外と判定されるが、乱数除去後の電力使用量の値：１１１は標準範囲内と判定される。
【００６８】
また、分析部５０６は、より複雑な分析を行うこともできる。例えば、分析部５０６は、特許文献４に記載の分析を行ってもよい。また、分析部５０６は、特許文献５に記載の分析を行ってもよい。
【００６９】
出力部５０７は、分析部５０６の分析結果を出力する。例えば、出力部５０７は、分析結果として、ユーザーが活動している時間帯又は活動していない時間帯などの情報を出力する。
【００７０】
＊＊＊動作の説明＊＊＊
次に、本実施の形態に係るプライバシー保護システム１００の動作例をフローチャートを参照して説明する。
【００７１】
図７は、プライバシー保護システム１００のデータ保管処理を示すフローチャートである。
図７のステップＳ６０１〜Ｓ６０３はデータ生成装置２００によって実行される。ステップＳ６０４〜Ｓ６０５はデータ集積装置３００によって実行される。
【００７２】
ステップＳ６０１において、データ生成部２０１は、機器データ（Ｄ）と基本情報（Ｂ）を生成する。
【００７３】
ステップＳ６０２において、入力部２０３は、保護対象機器が記述される保護対象機器リスト（Ｌ）を取得する。
【００７４】
ステップＳ６０３において、送信部２０４は、ステップＳ６０１で生成された機器データ（Ｄ）と基本情報（Ｂ）、ステップＳ６０２で入力された保護対象機器リスト（Ｌ）をデータ集積装置３００に送信する。
【００７５】
ステップＳ６０４において、受信部３０１は、ステップＳ６０３で送信された機器データ（Ｄ）と基本情報（Ｂ）と保護対象機器リスト（Ｌ）を受信する。
【００７６】
ステップＳ６０５において、データ格納部３０２は、ステップＳ６０４で受信された機器データ（Ｄ）と基本情報（Ｂ）と保護対象機器リスト（Ｌ）を関連付けて記憶装置３１２に格納する。また、データ格納部３０２は、機器データ（Ｄ）と基本情報（Ｂ）と保護対象機器リスト（Ｌ）の格納時刻を記憶装置３１２に格納する。
以上により、データ保管処理が完了する。
【００７７】
図８は、プライバシー保護システム１００の保管データ開示処理を示すフローチャートである。
図９は、プライバシー保護システム１００のデータ攪乱処理を示すフローチャートである。
ステップＳ７０１〜Ｓ７０２とステップＳ７１３〜Ｓ７１５はデータ分析装置５００によって実行される。ステップＳ７０３〜Ｓ７０５はデータ集積装置３００によって実行される。ステップＳ７０６〜Ｓ７１２はデータ攪乱装置４００によって実行される。
【００７８】
ステップＳ７０１において、入力部５０１は、保管データ開示要求を取得する。前述のとおり、保管データ開示要求には、データ集積装置３００に保管されている機器データ（Ｄ）のうち取得対象の機器データ（Ｄ）の期間が示される。
【００７９】
ステップＳ７０２において、送信部５０２は、ステップＳ７０１で取得された保管データ開示要求をデータ集積装置３００に送信する。
【００８０】
ステップＳ７０３において、受信部３０１は、ステップＳ７０２で送信された保管データ開示要求を受信する。
【００８１】
ステップＳ７０４において、データ格納部３０２は、ステップＳ７０３で受信された保管データ開示要求を受信部３０１から取得し、保管データ開示要求に基づき、保管データを読み出す。保管データは、機器データ（Ｄ）と機器の基本情報（Ｂ）と保護対象機器リスト（Ｌ）との組である。データ格納部３０２は１組の保管データを読み出してもよいし、保管データ開示要求に複数の日時が指定されている場合は、複数組の保管データを読み出してもよい。
【００８２】
ステップＳ７０５において、送信部３０３は、ステップＳ７０４で抽出された保管データをデータ攪乱装置４００に送信する。
【００８３】
ステップＳ７０６において、受信部４０１は、ステップＳ７０５で送信された保管データを受信する。
【００８４】
ステップＳ７０７において、シード格納部４０３は、シード（Ｓ）が記憶装置４１２に保管されているかどうかを確認する。
【００８５】
シード（Ｓ）が記憶装置４１２に保管されている場合は、ステップＳ７０８において、シード格納部４０３は、保管されているシード（Ｓ）を記憶装置４１２から読み出す。
【００８６】
シード（Ｓ）が記憶装置４１２に保管されていない場合は、ステップＳ７０９において、シード生成部４０２がシード（Ｓ＝（Ｓ１，…，ＳＫ））を生成し、またシード格納部４０３が生成されたシード（Ｓ）を記憶装置４１２に格納する。
【００８７】
ステップＳ７１０において、乱数生成部４０４は、ステップＳ７０６で受信した保管データの中の基本情報（Ｂ）と保護対象機器リスト（Ｌ）を受信部４０１から取得する。また、乱数生成部４０４は、ステップＳ７０８で読み出されたシード（Ｓ）もしくはステップＳ７０９で生成されたシード（Ｓ）をシード格納部４０３から取得する。そして、乱数生成部４０４は、シード（Ｓ）と基本情報（Ｂ）と保護対象機器リスト（Ｌ）に基づいて前述の通り乱数（Ｒ＝（Ｒ１，…，ＲＫ））を生成する。
なお、なお、ステップＳ７０６で受信した機器データ（Ｄ）が複数個（Ｔ個）であった場合は、乱数生成部４０４は、Ｔ個の乱数Ｒ１＝（Ｒ１１，…，Ｒ１Ｋ），…，ＲＴ＝（ＲＴ１，…，ＲＴＫ）を生成する。
【００８８】
ステップＳ７１１において、データ攪乱部４０５は、ステップＳ７０６で受信された保管データの中の機器データ（Ｄ）を受信部４０１から取得する。また、データ攪乱部４０５は、ステップＳ７１０で生成された乱数（Ｒ＝（Ｒ１，…，ＲＫ））を乱数生成部４０４から取得する。そして、データ攪乱部４０５は、乱数（Ｒ＝（Ｒ１，…，ＲＫ））を用いて機器データ（Ｄ）に含まれる電力使用量データ（Ｐ）を攪乱し、分析データ（Ａ）を生成する。前述の通り、データ攪乱部４０５は、Ｃ＝Ｐ＋Ｒ１＋…＋ＲＫとして分析データ（Ａ＝（Ｃ，ＴＩＭＥ））を生成する。なお、ステップＳ７０６で受信した機器データ（Ｄ）が複数個（Ｔ個）であった場合は、データ攪乱部４０５は、複数個の機器データ（Ｄ１＝（Ｐ１，ＴＩＭＥ１），…，ＤＴ＝（ＰＴ，ＴＩＭＥＴ））に対して、Ｃ１＝Ｐ１＋Ｒ１１＋…＋Ｒ１Ｋ，…，ＣＴ＝ＰＴ＋ＲＴ１＋…＋ＲＴＫとして、Ｔ個の分析データ（Ａ１＝（Ｃ１，ＴＩＭＥ１），…，ＡＴ＝（ＣＴ，ＴＩＭＥＴ））を生成する。
【００８９】
ステップＳ７１２において、送信部４０６は、ステップＳ７１１で生成された分析データ（Ａ）をデータ攪乱部７０５から取得し、分析データ（Ａ）をデータ分析装置５００へ送信する。
【００９０】
ステップＳ７１３において、受信部５０３は、ステップＳ７１２で送信された分析データ（Ａ）を受信する。
【００９１】
ステップＳ７１４において、分析部５０６は、ステップＳ７１３で受信された分析データ（Ａ）を受信部５０３から取得し、分析データ（Ａ）を分析する。ステップＳ７１４の詳細は後述する。
【００９２】
ステップＳ７１５において、出力部５０７は、ステップＳ７１４で生成された分析結果を分析部５０６から取得し、分析結果を出力する。
以上により、データ分析処理が完了する。
【００９３】
図１０、図１１及び図１２は、プライバシー保護システム１００のシード開示処理を示すフローチャートである。
ステップＳ８０１〜Ｓ８０２及びステップＳ８１１〜Ｓ８１６はデータ分析装置５００によって実行される。ステップＳ８０３〜Ｓ８０７はデータ生成装置２００によって実行される。ステップＳ８０８〜Ｓ８１０はデータ攪乱装置４００によって実行される。
【００９４】
ステップＳ８０１において、入力部５０１は、データ分析者からシード開示要求を取得する。
【００９５】
ステップＳ８０２において、送信部５０２は、ステップＳ８０１で取得されたシード開示要求をデータ生成装置２００に送信する。
【００９６】
ステップＳ８０３において、受信部２０２は、ステップＳ８０２で送信されたシード開示要求を受信する。
【００９７】
ステップＳ８０４において、入力部２０３は、ステップＳ８０３で受信されたシード開示要求に対して、オペレータから、開示の許可又は不許可を取得する。
【００９８】
ステップＳ８０５において、送信部２０４は、ステップＳ８０４でオペレータから許可が入力されたか不許可が入力されたかを判定する。
【００９９】
オペレータから不許可が入力されている場合は、ステップＳ８０６において、送信部２０４は、不許可通知をデータ分析装置５００に送信する。この場合、以降のステップＳ８０７〜Ｓ８１０は実行されない。
【０１００】
一方、オペレータから許可が入力されている場合は、ステップＳ８０７において、送信部２０４は、シード開示要求と許可通知をデータ攪乱装置４００に送信する。なお、前述の通り、許可通知が偽造されないように、許可通知に電子署名を付加してセキュリティを向上させることもできる。
【０１０１】
ステップＳ８０８において、受信部４０１は、ステップＳ８０７で送信されたシード開示要求と許可通知を受信する。
【０１０２】
ステップＳ８０９において、シード格納部４０３は、ステップＳ８０８で受信されたシード開示要求と許可通知を受信部４０１から取得する。そして、シード格納部４０３は、シード開示要求に含まれる期間に関するデータを読み出し、対応するシード（Ｓ）の一部である部分シード（Ｓ’＝（Ｓ’１，…，Ｓ’Ｊ））を抽出する。
【０１０３】
ステップＳ８１０において、送信部４０６は、ステップＳ８０９で抽出された部分シード（Ｓ’＝（Ｓ’１，…，Ｓ’Ｊ））を、データ分析装置５００に送信する。
【０１０４】
ステップＳ８１１において、受信部５０３は、ステップＳ８０６で送信された不許可通知をデータ生成装置２００から受信する、もしくは、ステップＳ８１０で送信された部分シード（Ｓ’）をデータ攪乱装置４００から受信する。
【０１０５】
ステップＳ８１２において、受信部５０３は、ステップＳ８１１で受信されたデータが部分シード（Ｓ’）であるか否かを判定する。
【０１０６】
受信したデータが部分シード（Ｓ’）ではない場合、すなわち不許可通知を受信していた場合は、ステップＳ８１３において、出力部５０７が、シードの開示が不許可であった旨を出力する。
【０１０７】
一方、受信したデータが部分シード（Ｓ’）である場合は、ステップＳ８１４において、シード格納部５０４が、シード開示要求と部分シード（Ｓ’）を関連付けて記憶装置５１２に格納する。
【０１０８】
ステップＳ８１５において、出力部５０７は、シードの開示が許可された旨を出力する。
【０１０９】
ステップＳ８１６において、分析部５０６が図８のステップＳ７１４を行い、また、出力部５０７が図８のステップＳ７１５を行う。すなわち、分析部５０６が精度向上分析データ（Ａ’）の分析を行い、出力部５０７が分析結果を出力する。
以上により、シード開示処理が完了する。
【０１１０】
図１３は、図８のステップＳ７１４に示すデータ分析処理を示すフローチャートである。
【０１１１】
ステップＳ１００１において、乱数復元部５０５は、部分シード（Ｓ’）から、データ攪乱装置４００において攪乱に用いられた複数の乱数（Ｒ）のうちの一部の乱数（Ｒ’）を復元する。
より具体的には、乱数復元部５０５は、シード格納部５０４に部分シード（Ｓ’）の読み出しを指示する。シード格納部５０４は、記憶装置５１２から部分シード（Ｓ’）を読み出し、読み出した部分シード（Ｓ’）を乱数復元部５０５に転送する。乱数復元部５０５は、部分シード（Ｓ’）に、データ攪乱装置４００で適用される乱数生成アルゴリズムを適用して、一部の乱数（Ｒ’）を復元する。そして、乱数復元部５０５は、復元した一部の乱数（Ｒ’）を分析部５０６に転送する。
なお、記憶装置５１２に部分シード（Ｓ’）が保管されていない場合は、乱数復元部５０５は、分析部５０６に乱数が復元できない旨を通知する。この場合は、後述のステップＳ１００２は実行されない。
【０１１２】
ステップＳ１００２において、分析部５０６は、一部の乱数（Ｒ’）を分析データ（Ａ）の秘匿化データ（Ｃ）から除去して、精度向上分析データ（Ａ’）を生成する。
すなわち、分析部５０６は、精度向上分析データ（Ａ’＝（Ｃ’，ＴＩＭＥ））をＣ’＝Ｃ−Ｒ’１−…−Ｒ’Ｊにより生成する。
【０１１３】
ステップＳ１００３において、分析部５０６は、分析データ（Ａ）又は精度向上分析データ（Ａ’）を分析する。
データ攪乱装置４００から部分シード（Ｓ’）を未受信の場合は、分析部５０６は、分析データ（Ａ）を分析する。また、データ攪乱装置４００から部分シード（Ｓ’）を受信済みであり、ステップＳ１００２において精度向上分析データ（Ａ’）が生成されている場合は、分析部５０６は、精度向上分析データ（Ａ’）を分析する。
【０１１４】
図１４は、プライバシー保護システム１００のシード変更処理を示すフローチャートである。
ステップＳ９０１〜Ｓ９０２はデータ生成装置２００によって実行される。ステップＳ９０３〜Ｓ９０５はデータ攪乱装置４００によって実行される。
【０１１５】
ステップＳ９０１において、入力部２０３は、オペレータから乱数のシード変更要求を取得する。
【０１１６】
ステップＳ９０２において、送信部２０４は、ステップＳ９０１で取得されたシード変更要求をデータ攪乱装置４００に送信する。
【０１１７】
ステップＳ９０３において、受信部４０１は、ステップＳ９０２で送信されたシード変更要求を受信する。
【０１１８】
ステップＳ９０４において、シード生成部４０２は、ステップＳ９０３で受信されたシード変更要求に基づき、乱数のシード（Ｓ）を生成する。
【０１１９】
ステップＳ９０５において、シード格納部４０３は、ステップＳ９０４で生成されたシード（Ｓ）を記憶装置５１２に格納する。
以上により、シード変更処理が完了する。
【０１２０】
＊＊＊実施の形態の効果の説明＊＊＊
本実施の形態では、ユーザーが秘匿対象として選択したデータが攪乱されるため、ユーザーのプライバシーを保護することができる。
そして、攪乱後のデータを用いた分析において分析精度を上げる必要がある場合は、攪乱に用いられた乱数の生成に用いられたシードが開示され、攪乱後のデータから乱数を段階的に除去することができる。従って、本実施の形態によれば、シードの開示度に応じて、データ分析の精度を調整することができる。
また、本実施の形態では、電力使用量データからすべての家電機器の消費電力量や稼働履歴は隠すことはせず、ユーザーは秘匿対象としての家電機器を柔軟に選択することでデータの精度を必要以上に落とさずにすむため、データの秘匿化と分析を両立できる。
また、本実施の形態では、シードを更新することにより、攪乱後のデータの安全性を向上させることができる。
【０１２１】
＊＊＊ハードウェア構成の説明＊＊＊
最後に、データ生成装置２００、データ集積装置３００、データ攪乱装置４００及びデータ分析装置５００のハードウェア構成の補足説明を行う。
プロセッサ２１１、プロセッサ３１１、プロセッサ４１１及びプロセッサ５１１は、プロセッシングを行うＩＣ（Ｉｎｔｅｇｒａｔｅｄ  Ｃｉｒｃｕｉｔ）である。
プロセッサ２１１、プロセッサ３１１、プロセッサ４１１及びプロセッサ５１１は、ＣＰＵ（Ｃｅｎｔｒａｌ  Ｐｒｏｃｅｓｓｉｎｇ  Ｕｎｉｔ）、ＤＳＰ（Ｄｉｇｉｔａｌ  Ｓｉｇｎａｌ  Ｐｒｏｃｅｓｓｏｒ）等である。
記憶装置２１２、記憶装置３１２、記憶装置４１２及び記憶装置５１２は、ＲＡＭ（Ｒａｎｄｏｍ  Ａｃｃｅｓｓ  Ｍｅｍｏｒｙ）、ＲＯＭ（Ｒｅａｄ  Ｏｎｌｙ  Ｍｅｍｏｒｙ）、フラッシュメモリ、ＨＤＤ（Ｈａｒｄ  Ｄｉｓｋ  Ｄｒｉｖｅ）等である。
受信インタフェース２１３、受信インタフェース３１３、受信インタフェース４１３、受信インタフェース５１３は、送信インタフェース２１４、送信インタフェース３１４、送信インタフェース４１４及び送信インタフェース５１４は、例えば、通信チップ又はＮＩＣ（Ｎｅｔｗｏｒｋ  Ｉｎｔｅｒｆａｃｅ  Ｃａｒｄ）である。
入力インタフェース２１５及び入力インタフェース５１５は、マウス、キーボード等の入力装置とのインタフェースである。
出力インタフェース５１６は、ディスプレイ、スピーカ等の出力装置とのインタフェースである。
【０１２２】
また、記憶装置２１２、記憶装置３１２、記憶装置４１２及び記憶装置５１２には、ＯＳ（Ｏｐｅｒａｔｉｎｇ  Ｓｙｓｔｅｍ）も記憶されている。
プロセッサ２１１、プロセッサ３１１、プロセッサ４１１及びプロセッサ５１１はＯＳの少なくとも一部を実行する。
プロセッサ２１１、プロセッサ３１１、プロセッサ４１１及びプロセッサ５１１がＯＳを実行することで、タスク管理、メモリ管理、ファイル管理、通信制御等が行われる。
【０１２３】
また、データ生成装置２００では、データ生成部２０１、受信部２０２、入力部２０３及び送信部２０４の処理の結果を示す情報やデータや信号値や変数値が、記憶装置２１２、プロセッサ２１１内のレジスタ及びキャッシュメモリの少なくともいずれかに記憶される。
また、データ生成部２０１、受信部２０２、入力部２０３及び送信部２０４の機能を実現するプログラムは、磁気ディスク、フレキシブルディスク、光ディスク、コンパクトディスク、ブルーレイ（登録商標）ディスク、ＤＶＤ等の可搬記憶媒体に記憶されてもよい。
【０１２４】
また、データ集積装置３００では、受信部３０１、データ格納部３０２及び送信部３０３の処理の結果を示す情報やデータや信号値や変数値が、記憶装置３１２、プロセッサ３１１内のレジスタ及びキャッシュメモリの少なくともいずれかに記憶される。
また、受信部３０１、データ格納部３０２及び送信部３０３の機能を実現するプログラムは、磁気ディスク、フレキシブルディスク、光ディスク、コンパクトディスク、ブルーレイ（登録商標）ディスク、ＤＶＤ等の可搬記憶媒体に記憶されてもよい。
【０１２５】
また、データ攪乱装置４００では、受信部４０１、シード生成部４０２、シード格納部４０３、乱数生成部４０４、データ攪乱部４０５及び送信部４０６の処理の結果を示す情報やデータや信号値や変数値が、記憶装置４１２、プロセッサ４１１内のレジスタ及びキャッシュメモリの少なくともいずれかに記憶される。
また、受信部４０１、シード生成部４０２、シード格納部４０３、乱数生成部４０４、データ攪乱部４０５及び送信部４０６の機能を実現するプログラムは、磁気ディスク、フレキシブルディスク、光ディスク、コンパクトディスク、ブルーレイ（登録商標）ディスク、ＤＶＤ等の可搬記憶媒体に記憶されてもよい。
【０１２６】
また、データ分析装置５００では、入力部５０１、送信部５０２、受信部５０３、シード格納部５０４、乱数復元部５０５、分析部５０６及び出力部５０７の処理の結果を示す情報やデータや信号値や変数値が、記憶装置５１２、プロセッサ５１１内のレジスタ及びキャッシュメモリの少なくともいずれかに記憶される。
また、入力部５０１、送信部５０２、受信部５０３、シード格納部５０４、乱数復元部５０５、分析部５０６及び出力部５０７の機能を実現するプログラムは、磁気ディスク、フレキシブルディスク、光ディスク、コンパクトディスク、ブルーレイ（登録商標）ディスク、ＤＶＤ等の可搬記憶媒体に記憶されてもよい。
【０１２７】
また、データ生成部２０１、受信部２０２、入力部２０３、送信部２０４、受信部３０１、データ格納部３０２、送信部３０３、受信部４０１、シード生成部４０２、シード格納部４０３、乱数生成部４０４、データ攪乱部４０５、送信部４０６、入力部５０１、送信部５０２、受信部５０３、シード格納部５０４、乱数復元部５０５、分析部５０６及び出力部５０７の「部」を、「回路」又は「工程」又は「手順」又は「処理」に読み替えてもよい。
また、データ生成装置２００、データ集積装置３００、データ攪乱装置４００及びデータ分析装置５００は、ロジックＩＣ（Ｉｎｔｅｇｒａｔｅｄ  Ｃｉｒｃｕｉｔ）、ＧＡ（Ｇａｔｅ  Ａｒｒａｙ）、ＡＳＩＣ（Ａｐｐｌｉｃａｔｉｏｎ  Ｓｐｅｃｉｆｉｃ  Ｉｎｔｅｇｒａｔｅｄ  Ｃｉｒｃｕｉｔ）、ＦＰＧＡ（Ｆｉｅｌｄ−Ｐｒｏｇｒａｍｍａｂｌｅ  Ｇａｔｅ  Ａｒｒａｙ）といった電子回路により実現されてもよい。
なお、プロセッサ及び上記の電子回路を総称してプロセッシングサーキットリーともいう。
【符号の説明】
【０１２８】
１００  プライバシー保護システム、２００  データ生成装置、２０１  データ生成部、２０２  受信部、２０３  入力部、２０４  送信部、２１１  プロセッサ、２１２  記憶装置、２１３  受信インタフェース、２１４  送信インタフェース、２１５  入力インタフェース、３００  データ集積装置、３０１  受信部、３０２  データ格納部、３０３  送信部、３１１  プロセッサ、３１２  記憶装置、３１３  受信インタフェース、３１４  送信インタフェース、４００  データ攪乱装置、４０１  受信部、４０２  シード生成部、４０３  シード格納部、４０４  乱数生成部、４０５  データ攪乱部、４０６  送信部、４１１  プロセッサ、４１２  記憶装置、４１３  受信インタフェース、４１４  送信インタフェース、５００  データ分析装置、５０１  入力部、５０２  送信部、５０３  受信部、５０４  シード格納部、５０５  乱数復元部、５０６  分析部、５０７  出力部、５１１  プロセッサ、５１２  記憶装置、５１３  受信インタフェース、５１４  送信インタフェース、５１５  入力インタフェース、５１６  出力インタフェース。
【図１】
0006501989.tif 000002
【図２】
0006501989.tif 000003
【図３】
0006501989.tif 000004
【図４】
0006501989.tif 000005
【図５】
0006501989.tif 000006
【図６】
0006501989.tif 000007
【図７】
0006501989.tif 000008
【図８】
0006501989.tif 000009
【図９】
0006501989.tif 000010
【図１０】
0006501989.tif 000011
【図１１】
0006501989.tif 000012
【図１２】
0006501989.tif 000013
【図１３】
0006501989.tif 000014
【図１４】
0006501989.tif 000015
【図１５】
0006501989.tif 000016