(57)【要約】【課題】情報のプライバシーのより効果的な保護を助けるために、望ましくない推論を検知するための方法及びシステムを提供すること。【解決手段】本発明の一実施形態は、文書から推論を検知するシステムを提供する。動作中、システムは、１つ又はそれ以上の文書を受信し、文書に関連した第１の組の知識を抽出する。システムは、さらに、第１の組の知識に基づいて１つ又はそれ以上の参照コーパスに対して１つ又はそれ以上のクエリを公式化する。次に、システムは、クエリに応答して受信した結果から第２の組の知識を抽出する。さらに、システムは、少なくとも１つの文書と、第１の組の知識内にはない第２の組の知識の部分との間のマッピング関係を生成し、このマッピング関係は、文書からの推論を示す。【選択図】図３
2008243205.tif 000002
【特許請求の範囲】
【請求項１】
文書から推論を検知する方法であって、
１つ又はそれ以上の文書を受信し、
前記文書に関連する第１の組の知識を抽出し、
前記第１の組の知識に基づいて、１つ又はそれ以上の参照コーパスに対して１つ又はそれ以上のクエリを公式化し、
前記クエリに応答して受信した結果から第２の組の知識を抽出し、
少なくとも１つの文書と、前記第１の組の知識内にはない前記第２の組の知識の部分との間のマッピング関係を生成する、
ステップを含み、前記マッピング関係は、前記文書からの推論を示すことを特徴とする方法。
【請求項２】
前記文書に関連する前記第１の組の知識を抽出する前記ステップは、各文書に関連する１組の語又は句を導き出すステップを含むことを特徴とする請求項１に記載の方法。
【請求項３】
前記語又は句の組を導き出す前記ステップは、前記文書内に含まれる語又は句について用語頻度逆文書頻度（ＴＦ．ＩＤＦ）重みを判断するステップをさらに含むことを特徴とする請求項２に記載の方法。
【請求項４】
前記第１の組の知識を抽出する前記ステップは、各文書から１組の語又は句を抽出するステップを含み、
前記クエリを公式化する前記ステップは、前記抽出された語又は句から、単一語のクエリ、多数語のクエリ、又は両方を構成するステップを含むことを特徴とする請求項１に記載の方法。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、インテリジェントなデータ処理の設計に関する。より具体的には、本発明は、１組の文書から引き出し得る望ましくない推論を検知するための方法及びシステムに関する。
【背景技術】
【０００２】
今日、インターネットの絶え間ない成長により、ワールドワイドウェブ（ウェブ）が、最大で最もアクセス可能な情報のプールになった。それに応じて、ユーザがウェブ上で関心ある文書を見つけ、取り出すのを助けるために、強力な検索エンジンが出現した。これらの検索エンジンは、次第により高速で、より完全で、より正確なものになっている。事実を調べ、イベントに遅れを取らず、ウェブページ、ブログ、オンライン・データ・リポジトリ、オンライン・ニュースペーパー、及びオンライン公記録などのウェブ・ベースのリソースを用いて人に追いつくことは、決して容易ではなかった。
【０００３】
しかしながら、これらのオンライン・リソースはまた、情報のプライバシー保護をさらに困難にした。検索エンジン又はウェブ情報の統合プールのおかげで、容易に事実を推論し、イベントを再構成し、異なるソースから集められた情報の部分からの識別をつなぎ合わせることができる。従って、情報を保護するには、情報自体を隠すことだけでなく、間接的に情報をもたらし得る無数の手がかりも必要である。外見上差し障りのない情報が人の秘密を漏らすこともあるので、情報を保護することは、知ってのとおり困難なことである。
【発明の開示】
【発明が解決しようとする課題】
【０００４】
従って、情報のプライバシーのより効果的な保護を助けるために、望ましくない推論を検知するための方法及びシステムに対する必要性がある。
【課題を解決するための手段】
【０００５】
本発明の一実施形態は、文書から推論を検知するシステムを提供する。動作中、システムは、さらに、第１の組の知識に基づいて１つ又はそれ以上の参照コーパスに対して１つ又はそれ以上のクエリを公式化する。次に、システムは、クエリに応答して受信した結果から第２の組の知識を抽出する。さらに、システムは、少なくとも１つの文書と、第１の組の知識内にはない第２の組の知識の部分との間のマッピング関係を生成し、このマッピング関係は、文書からの推論を示す。
【０００６】
この実施形態の変形において、文書に関連する第１の組の知識を抽出するステップは、各文書に関連する１組の語又は句を導き出すステップを含む。
更に別の変形において、語又は句の組を導き出すステップは、用語頻度逆文書頻度（ｔｅｒｍ−ｆｒｅｑｕｅｎｃｙ  ｉｎｖｅｒｓｅ−ｄｏｃｕｍｅｎｔ−ｆｒｅｑｕｅｎｃｙ、ＴＦ．ＩＤＦ）重みを判断するステップを含む。
【０００７】
この実施形態の変形において、第１の組の知識を抽出するステップは、各文書から１組の語又は句を抽出するステップを含む。さらに、クエリを公式化するステップは、抽出された語又は句から単語クエリ、多数語クエリ、又は両方を構成するステップを含む。
更に別の変形において、各文書から１組の語又は句を抽出するステップは、文書から所定の数の語又は句を抽出するステップを含む。
【０００８】
この実施形態の変形において、システムは、各クエリについて所定の数の結果を取り出す。
この実施形態の変形において、システムは、文書に関連する１組の機密知識を受信する。文書にマッピングされた第２の組の知識の部分も、機密知識の組の範囲内にある。さらに、マッピング関係を生成するステップは、機密知識の組と第２の組の知識の間の共通集合を決定するステップを含む。
【０００９】
この実施形態の変形において、マッピング関係を生成するステップは、文書から１つ又はそれ以上の語又は句を提示するステップを含み、これらの語又は句は、第１の組の知識、及びクエリ結果から抽出された１つ又はそれ以上の機密語又は句に対応する。
【００１０】
この実施形態の変形において、システムは、文書からの１つ又はそれ以上の語又は句、並びに１つ又はそれ以上の機密語又は句に基づいて第１のクエリによって戻された結果の数と、文書からの１つ又はそれ以上の語又は句に基づいて第２のクエリによって戻された結果の数との比を判断する。システムはさらに、比のサイズに基づいて、第１のクエリを生成するのに用いられる１つ又はそれ以上の語又は句からの推論をさらに判断する。
【００１１】
この実施形態の変形において、システムは、文書に基づいて１つ又はそれ以上の参照コーパス、意図される読者、又はその両方を選択する。
この実施形態の変形において、推論は、文書及びコーパスの和集合から抽出することができるが、文書又はコーパスだけからは抽出できない望ましくない推論である。
【発明を実施するための最良の形態】
【００１２】
概要
本発明の実施形態は、１つ又はそれ以上の文書から望ましくない推論を検知するためのシステムを提供する。プライベートな文書が部分的に公になるとき、こうした部分的な開示により、人々が、プライベートなままにすることが意図される特定の情報を推論できるようになったとき、望ましくない推論のリスクが生じる。
【００１３】
問題を説明するために、図１に示され、ｈｔｔｐ／／ｗｗｗ．ｊｕｄｉｃｉａｌｗａｔｃｈ．ｏｒｇ／ａｒｃｈｉｖｅ／２００５／ｏｓａｍａ．ｐｄｆで入手可能な、ＦＢＩによって公表されたオサマ・ビン・ラデン（Ｏｓａｍａ  Ｂｉｎ  Ｌａｄｅｎ）の編集済みの経歴について考える。文書を公開する前に、ＦＢＭは、その人物のアイデンティティを保護するために経歴を編集した。ファーストネーム及び姓のような直接アイデンティティ識別する情報の全てが、経歴から抹消された。編集された文書は、「異母兄弟」、「サウジアラビア人」、「有力者」、及び「イエメン」といった一般的に適用できる語だけを含む。これらの語のいずれも、それだけでは特定的にアイデンティティを識別しないが、全体として、これらの語によりオサマ・ビン・ラディンのほぼ確実なアイデンディティ識別が可能になる。実際に、図２は、Ｇｏｏｇｌｅクエリ「サウジアラビア人、有力者、異母兄弟」によって戻される上位１０ページが全てビン・ラディン一族に関するものであることを示している。現在のところ、この推論及び潜在的にその他多くのものを検知する方法はない。完全な編集プロセスにおいて、こうした望ましくない推論を予想し、これに対処することは重要である。
【００１４】
こうした望ましくない推論を検知するシステムは、広範囲の産業に利益をもたらし得る。例えば、法律サービス業界において、弁護士・顧客の機密特権によって保護される文書は、一般的に、関係者のプライベート情報を保護するように編集される。医療産業においては、医療記録を公表する前に、医療記録から、ＨＩＶの状態、薬物又はアルコールの乱用、及び精神衛生状態のような機密情報を編集することが一般的な方法であり、かつ、法によって義務付けられていることが多い。個人間では、匿名のブロガーが、匿名性を重んじる人の良い例である。しかしながら、強力な検索エンジンの助けにより、アイデンティティを推論するのに少量の個人情報で十分なので、残った匿名性は難問であり得る。
【００１５】
これらの例の全てにおいて、問題は、アクセスの制御だけでなく、推論の制御でもある。情報の部分集合へのアクセスを制御する機構が存在すると仮定すると、問題は、どの情報を、特定の秘密を漏らすことなく公に公表するかを判断することである。つまり、情報のどの部分を開示できるかである。この問題を困難にしているのは、公開されたデータが公知の背景及び外部データと組み合わされ、これらに対して解釈されるときに生じる推論の量と複雑さである。
本発明の実施形態は、推論検知のためのシステムを提供する。このシステムは、例えば、データベース・テーブル又は他の形態の構造化データを用いる制限された設定においてのみならず、非構造化データを用いる全ての一般原則においても動作する。基礎を成す動作原理は、ウェブ又は任意の知識のプールは、推論の生成及び推論の検知のために等しく良好に働くということである。
【００１６】
一実施形態において、システムは、最初に、公表を目的とするプライベート・データから顕著なキーワードを抽出する。次に、システムは、できるだけ多くの関連する公開知識をカプセル封入する参照コーパス（公開ウェブのような）内の、これらのキーワードの部分集合と合致する文書についての検索クエリを出す。次に、システムは、検索クエリによって戻された文書を構文解析し、将来公表されるオリジナル・データ内に存在しないキーワードを特定する。これらの付加的なキーワードにより、特定の推論の可能性を推定することが容易になる。次に、システムは、手作業により検討するために、潜在的に危険な推論にフラグを立てる。
この開示において、「コーパス」とは、文書の集合を指す。一実施形態においては、コーパスは、ウェブ上で入手可能な全ての文書を含むことができる。さらに、システムは、１つ又はそれ以上のコーパスに基づいて動作することができる。「文書」は、ここでは、テキスト形式の文書、スプレッドシート、プレゼンテーション、画像、ビデオ、音声、マルチメディア等を含む任意の形のコンテンツであると理解される。
【００１７】
ウェブ・ベースの推論検知
次の説明は、ウェブ・ベースの推論検知ツールの例示的な動作モデルを提示する。このモデルは、説明のためのものにすぎず、制限のためのものではない。さらに、このモデルを実施する種々の方法があり得る。例えば、本発明の実施形態は、コンピュータ・システムにおいて、或いは、サーバ・ファーム、コンピュータのクラスタ、又は分散化されたコンピュータ・コラボレーションのようなネットワーク化されたコンピュータの集まりによって実施することができる。ハードウェア及び／又はソフトウェアにおいて異なる実施形態を実施することもできる。動作モデルの数学的説明が、次のように提示される。
【００１８】
Ｃは、公に公表するために考慮されるプライベートな文書の集合を示し、Ｒは、コーパス又はコーパスの集合を示すものとする。コーパスは、参照文書の集合であることに留意されたい。例えば、集合Ｃは、著者のブログ・エントリを含むことができ、集合Ｒは、ウェブ上で公に入手可能な全ての文書を含むことができる。
Ｋ（Ｃ）は、プライベートな集合Ｃから計算することができ全ての知識を示すものとする。集合Ｋ（Ｃ）は、集合Ｃ内に含まれる情報から得ることができる全ての記述及び事実を表す。理論的には、全ての公理がＣにあると仮定すると、完全で欠陥のない定理証明器を用いて、集合Ｋ（Ｃ）を計算することができる。しかしながら、実際には、こうした計算のコストは、法外に高いものである。従って、本発明の一実施形態は、Ｋ（Ｃ）の近似表示を使用する。同様に、Ｋ（Ｒ）は、参照集合Ｒから計算することができる全ての知識を示すものとする。
望ましくない推論は、プライベート集合及び参照集合の和集合Ｋ（Ｃ∪Ｒ）から抽出することができる知識が、Ｃ及びＲから別個に抽出することができる知識の和集合Ｋ（Ｃ）∪Ｋ（Ｒ）より大きいときに生じ得る。従って、推論制御問題は、差
δ（Ｃ，Ｒ）＝Ｋ（Ｃ∪Ｒ）−｛Ｋ（Ｃ）∪Ｋ（Ｒ）｝
を制御する問題である。
【００１９】
例えば、集合Ｃは図１に示されるような機密解除された文書を含み、Ｒはウェブ上で公に入手可能な全ての情報を含むと仮定する。Ｓは、「機密解除されたＦＢＩ文書がオサマ・ビン・ラディンの経歴である」という記述を示すものとする。文書が関連する人物のアイデンティティが編集されたので、Ｃだけから記述Ｓを得ることは、不可能ではないにしても、非常に困難である。従って、
2008243205.tif 000003
である。Ｒだけから、Ｃ内にあるが、Ｒ内にはない文書についての記述を得ることはできないので、記述は、明らかにＫ（Ｒ）内にもない。従って、Ｓは、Ｋ（Ｃ）∪Ｋ（Ｒ）に属さない。しかしながら、先に示されるように、記述Ｓは、Ｋ（Ｃ∪Ｒ）に属する。つまり、文書が、キーワード「サウジアラビア人」、「有力者」、「異母兄弟」、「イエメン」等によって特徴付けられる個人に関連することを、Ｃから知ることができる。さらに、これらのキーワードが「オサマ・ビン・ラディン」と緊密に関連していることを、Ｒから知ることができる。上記に示されるように、これらの２つの情報源を組み合わせることによって、高い確率で記述が真であることを知ることができる。
【００２０】
Ｃの公開が、望ましくない推論を許容しないことを保証するために、プライベート文書の集合Ｃを公開する前に、公開者がδ（Ｃ，Ｒ）を理解することが重要である。Ｃの所有者は、差δ（Ｃ，Ｒ）の評価に基づいて、集合内の文書の公開部分又はその全てを差し控えるように選択することができる。時として、Ｋ※として示される、漏出すべきではない１組の機密知識が明示的に指定される。この場合、推論制御問題は、共通集合δ（Ｃ，Ｒ）∩Ｋ※が空であることを保証する問題になる。
【００２１】
基本的手法
ここでの説明において、プライベート集合Ｃは、文書の任意の集合を含むことができる。特に、これらの文書は、ＸＭＬベースの文書のような構造化データに制限されない。さらに、集合Ｒは、全ての公に入手可能な文書を含むように想定される。一実施形態において、Ｒは、ウェブ上で公に入手可能な全ての情報を含む。一般に、推論検知を容易にするシステムは、次の２つの動作を行なう。第１に、システムは、プライベート集合Ｃ内の文書のコンテンツを学習する。次に、システムは、Ｃ及びＲの組み合わせから引き出すことができる推論を判断する。
【００２２】
一実施形態において、Ｃ内の文書から知識を得るために、システムは、自動化されたコンテンツ分析を用いて、これらの文書内のキーワードを抽出する。システムは、テキスト抽出から綿密な言語分析に至る、任意の自然言語処理（ＮＬＰ）ツールを使用することができる。一実施形態において、システムは、「用語頻度・逆文書頻度（ｔｅｒｍ  ｆｒｅｑｕｅｎｃｙ−ｉｎｖｅｒｓｅ  ｄｏｃｕｍｅｎｔ  ｆｒｅｑｕｅｎｃｙ、ＴＦ．ＩＤＦ）分析に基づいてキーワードを選択する。本開示に用いられる「キーワード」という用語は、単一の語に制限されるものではなく、語、句、略語、同義語、又は言語記号の任意の組み合わせを含むことができる。
【００２３】
ＴＦ．ＩＤＦ分析において、システムは、ＴＦ．ＩＤＦ重みを文書内の各語に割り当てる。システムは、統計的尺度であるこの重みを用いて、その語がコーパス内の文書に対してどれだけ重要であるかを評価する。語の重要性は、その語が文書内で出現する回数に対して比例的に増大するが、コーパス内の語の出現頻度によってオフセットされる。例えば、所定の文書に関するｔiと示される用語ｉのＴＦ．ＩＤＦ重みは、次の：
2008243205.tif 000004
のように計算することができる。この式において、用語頻度
2008243205.tif 000005
は、文書内の全ての用語出現によって正規化された、文書内のｔiの出現数である。逆文書頻度
2008243205.tif 000006
は、用語の一般的な重要性の尺度であり、用語ｔiを含む文書数によって分割される、コーパス内の全文書数の対数として計算される。
ＴＦ．ＩＤＦ重みを計算するための上記の式は、ＴＦ．ＩＤＦ定義の一例にすぎない。異なる用途の場合には、異なるＴＦ．ＩＤＦ定義を採用することができる。さらに、本発明の実施形態はまた、文書から知識を得るために、他の言語分析手法を用いることもできる。
【００２４】
次に、Ｃ及びＲの組み合わせから引き出すことができる推論を判断するために、システムは、前に抽出されたキーワードの部分集合に合致する文書についての検索クエリを出す。システムは、できるだけ多くの関連する公開知識をカプセル封入する、公開ウェブのような参照コーパス内でこれらのクエリを出す。次に、システムは、オリジナルのプライベート文書内に存在しないキーワードについての検索クエリによって戻された文書を構文解析する。これらの付加的なキーワードに基づいて、システムは、特定の推論の可能性を自動的に推定することができる。一実施形態においては、手作業による検討のために、潜在的に危険な推論にフラグを立てる。
【００２５】
図３は、本発明の実施形態によるウェブ・ベースの推論検知プロセスを示す例示的なブロック図を提示する。システムは、最初に、プライベート集合Ｃを構成する１組のプライベート文書３０２を受信し、ＮＬＰ分析３０４をプライベート文書３０２に適用する。これに応答して、システムは、プライベート文書３０２についての１組の知識表示３０６を獲得する。一実施形態において、知識表示３０６は、多数のキーワードを含む。
【００２６】
知識表示３０６に基づいて、システムは、多数のクエリ３１０を公式化し、これらのクエリを検索エンジン３１２に出す。検索エンジン３１２は、１組の参照文書（コーパス）３０８において対応する検索を行なう。一実施形態において、コーパス３０８はウェブ上の全ての公開情報を含むが、コーパス３０８は、他の形の媒体も含み得ることに留意されたい。例えば、コーパス３０８は、全ての公の裁判所文書、医療記録、又は図書館内の全ての書籍とすることができる。
次に、検索エンジン３１２は、多数のヒット３１４を戻す。システムは、ヒット分析３１６を行い、分析結果を１組の機密情報３６８と比較する。その結果、システムは、プライベート文書３０２を編集するのに用いることができる推論３２０を得ることができる。
【００２７】
推論検知
ここに説明される推論検知システムは、本発明の一実施形態を説明するだけである。広範囲のＮＬＰツールを一般的な推論検知モデル内に組み込み、より良いというわけではないが、同じ結果を達成することができる。次のセクションは、一般的な推論検知モデルの入力、出力、及びパラメータを説明する。
入力：プライベートな文書Ｃ＝｛Ｃ1,・・・，Ｃn｝の集合、参照文書Ｒの集合、及び機密知識を表す機密キーワードＫ※のリスト。
【００２８】
出力：Ｃ及びＲの和集合から引き出すことができる推論のリストＬ。各々の推論は、形態
2008243205.tif 000007
からなり、ここで、
2008243205.tif 000008
は、Ｃ内の文書の部分集合であり、
2008243205.tif 000009
は、機密キーワードの部分集合である。推論
2008243205.tif 000010
は、Ｒ内に存在する知識と共に文書（Ｃij，．．．，Ｃik）が機密キーワードＷ※の推論を可能にすることを示す。システムの出力は、１つ又はそれ以上の文書と機密知識の部分の間のマッピング関係とし得ることに留意されたい。
【００２９】
パラメータ：この推論検知モデルは、４つのパラメータによってパラメータ化される。パラメータαは、Ｃ内の文書のＮＬＰ分析の深さを制御する。パラメータβ及びγは、Ｃに関連したＲ内の文書についての検索深さを制御する。パラメータδは、検索エンジンによって取り出された文書のＮＬＰ分析の深さを制御する。一実施形態において、α、β、γ、及びδの値は、全ての正の整数である。これらのパラメータを調整して、モデルの実行時間と推論検知の完全さ及び質の間で異なるトレードオフを達成することができる。
【００３０】
システムは、次の２つの段階において推論検知モデルを実装し、実行する。
Ｃ内の文書を理解する：システムは、ＴＦ．ＩＤＦ分析を行い、集合Ｃ内の各文書Ｃiから、Ｃiを最も表す上位α個のキーワードを抽出する。Ｓiは、文書Ｃiから抽出された上位α個のキーワードの集合を示すものとする。
【００３１】
推論検知：推論のリストＬは、最初は空である。次に、システムは、サイズ
2008243205.tif 000011
のあらゆる部分集合
2008243205.tif 000012
を考える。
2008243205.tif 000013
である、あらゆるこうした部分集合Ｃ’＝（Ｃil，．．．，Ｃik）の場合、システムは、次の動作を行なう。デカルト積Ｓil×．．．×Ｓｉｋ内のキーワード（Ｗil，．．．，Ｗik）のあらゆるベクトルについて：
１．システムは、検索エンジンを用いて、参照文書のコレクションＲから、全てのキーワード（Ｗil，．．．，Ｗik）を含む上位γ個の文書を取り出す。
２．ＴＦ．ＩＤＦ分析を用いて、システムは、このγ個の文書のコレクションから上位δ個のキーワードを抽出する。一実施形態において、これらのキーワードは、あたかもこれらの文書の全てが、個々の文書の各々からではなく、単一の大きい文書内に連結されたかのように、γ個の文書の集合体の集まりから抽出される。
３．Ｗ※は、機密キーワードの集合Ｋ※を用いて動作２から得られたδ個のキーワードの共通集合を示すものとする。Ｗ※が空でない場合には、システムは、推論Ｃ’⇒Ｗ※をＬに付加する。次に、システムは、リストＬを出力し、終了する。
【００３２】
システムは、リストＬを得た後、付加的なクエリをさらに使用し、オリジナルの文書内の識別された疑わしいキーワードと機密キーワードとの間の推論の強さ（ｓｔｒｅｎｇｔｈ  ｏｆ  ｉｎｆｅｒｅｎｃｅ）を測定又はランク付けすることができる。一実施形態において、システムは、機密ヒット率を計算し、この機密ヒット率は、一実施形態においては、疑わしいキーワードのみを含むクエリからの検索ヒット数に対するキーワード及び機密キーワードの両方を含むクエリからの検索ヒット数として定義される。次に、システムは、推論の強さ又は度合いに従ってオリジナルの文書内のキーワードをランク付けする。例えば、薬物ナルトキレソンを服用している患者がアルコール依存症である可能性を評価するために、システムは、「ナルトレキソン」についての第１のクエリを出してｘ個の文書を取り出し、「ナルトレキソン・アルコール依存症」についての第２のクエリを出して、ｙ個の文書を取り出すことができる。次に、システムは、比ｙ／ｘを計算することができる。この比がほとんど１に近い場合には、患者のアルコール依存症の状態を推論するのを回避するために、全ての医療記録からナルトレキソンを除去すべきであると決定することができる。
【００３３】
システムはまた、アドオン手法の代わりに、主な手法として上述の機密ヒット率計算法を使用し、推論を識別することもできる。一実施形態において、システムは、最初に、ＮＬＰツールを用いて１組の所定のプライベート文書からキーワードを抽出する。プライベート文書から抽出された各キーワードについて、次に、システムは、各々の機密語又は句に対する、各々の抽出されたキーワードについての機密ヒット率を計算する。キーワードと機密語又は句の間の機密ヒット率が所定の閾値より大きい場合には、システムは、このキーワードと機密語又は句の間の推論を識別する。さらに、システムはまた、１組の機密語又は句を受信することができ、抽出されたキーワードは、１つ又はそれ以上の多数の語句を含むことができる。例えば、システムが、３つの句、すなわち「充血した目（ｂｌｏｏｄ  ｓｈｏｔ  ｅｙｅｓ）」、「物忘れ（ｍｅｍｏｒｙ  ｌｏｓｓ）」、及び「肝臓病（ｌｉｖｅｒ  ｄｉｓｅａｓｅ）」を抽出し、「アルコール依存症」、「アルコール」、「アルコール依存症の人」、「酔った」、「飲酒」のようなアルコール依存症と関連した機密語についての機密ヒット率を計算する。機密ヒット率を計算するために、システムは、最初に、充血した目物忘れ肝臓病」についてのクエリを出し、次に、「充血した目物忘れ肝臓病ＡＮＤ（アルコール依存症ＯＲアルコールＯＲアルコール依存症の人ＯＲ酔ったＯＲ飲酒）」についてのクエリを出す。次に、システムは、第１のクエリによって戻されるヒット数に対する第２のクエリによって戻されるヒット数の比を計算する。一般に、システムは、クエリの生成時に、任意の数の抽出された語又は句を組み合わせることができる。
【００３４】
変形
上述の推論検知モデルは、種々の用途に合わせて調整することができる。
幾つかの実施形態において、システムは、多数のキーワードに基づいてクエリを公式化するとき、任意の所定の論理関係を用いることができる。ここに説明される例は、スペースで区切られたキーワードを含むクエリに基づいているが、システムは、ブール式に公式化された任意のクエリを採用することもできる。例えば、システムは、キーワード間に「ＡＮＤ」又は「ＯＲ」を挿入することができる。何らかの高度な検索エンジンを用いる場合、システムは、特定の数の段落、文、又は語の中など、キーワードが文書内で出現すべきか方法を指定することもできる。さらに、システムはまた、キーワードを分析し、分析に基づいてクエリを公式化することもできる。例えば、２つのキーワードが同義語であるか又は緊密に関連しているとシステムが判断した場合には、システムは、クエリを公式化するとき、キーワードの間に「ＯＲ」を随意的に挿入することができる。
【００３５】
更に別の実施形態において、システムは、試験用文書に従って異なるコーパスをインテリジェントに選択することができる。システムはまた、意図される読者に基づいてコーパスを選択することもできる。
幾つかの実施形態において、機密知識Ｋ※の組は、知られていないか、又は指定されていない可能性がある。従って、システムは、文書Ｃのコレクション及び参照コレクションＲの知識から生じる全ての可能な推論を識別する。推論検知モデルの変形は、この事例に対処する。推論検知段階の動作３において、システムは、Ｋ※内のキーワードを含む推論のみの代わりに、全ての推論を記録する。これは、機密知識の組Ｋ※が全ての知識を含むと推定することに相当することに留意されたい。システムはまた、各推論の出現数を追跡することもできるので、最多推論から最小推論までリストＬを分類することができる。
【００３６】
上述のモデルは、機密知識Ｋ※が１組のキーワードとして与えられると仮定する。他の表示の機密知識も可能である。一実施形態において、機密知識は、キーワードのリストの代わりに、アルコール依存者又は性感染症のようなトピックに基づくものにしてもよい。こういう事例に対処するために、システムは、機密トピックを機密キーワードのリストに変換する前処理操作を行なう。前処理操作を行なう１つの方法は、機密トピックを含む参照集合Ｒ内の文書についての検索クエリを出し、ＴＦ．ＩＤＦ分析を用いて、これらの文書から、機密トピックについての拡大された機密キーワードの組を抽出することである。
【００３７】
図４は、本発明の実施形態によるウェブ・ベースの推論検知プロセスを示す例示的なフローチャートを示す。動作中、システムは、１組のプライベート文書を受信する（動作４０２）。システムは、これらのプライベート文書を分析し（動作４０４）、対応する検索クエリを生成する（動作４０６）。次に、検索エンジンは、これらのクエリに基づいて、ウェブ上で検索を行い、多数のヒットを戻す（動作４０８）。
続いて、システムは、検索エンジンによって戻されたヒットを分析し（動作４１０）、これらのヒットからキーワードを生成する（動作４１２）。次に、システムは、全てのヒット・キーワードが機密語と比較されたかどうかを判断する（動作４１４）。比較された場合には、システムは推論記録を出力し（動作４２２）、終了する。そうでない場合には、システムは、現在のヒット・キーワードが任意の機密語に合致するかどうかをさらに判断する（動作４１６）。合致がある場合には、システムは推論を記録し（動作４１８）、次のヒット・キーワードに進む（動作４２０）。合致がない場合には、システムは、次のヒット・キーワードに進む（動作４２０）。
【００３８】
図５は、本発明の一実施形態による、ウェブ・ベースの推論検知を容易にするためのコンピュータ・システムを示す。コンピュータ・システム５０２は、プロセッサ５０４、メモリ５０６、及び記憶装置５０８を含む。コンピュータ・システム５０２はまた、ディスプレイ５１４、キーボード５１０、及びポインティング・デバイス５１２にも連結される。記憶装置５０８は、推論検知アプリケーション５１６、並びにアプリケーション５２０及び５２２を格納する。さらに、推論検知アプリケーション５１６は、推論検知中に文書からキーワードの抽出を行なうＴＦ．ＩＤＦ分析モジュール５１８を含む。動作中、推論検知アプリケーション５１６は、メモリ５０６内に読み込まれ、プロセッサ５０４によって実行される。コンピュータ・システム５０２は、インターネットにつなぐことができ、そのため、別個の検索エンジンによってウェブ検索が行なわれる。
【００３９】
例示的な用途
このセクションは、ウェブ・ベースの推論検知のための幅広い可能な用途を説明する。
医療記録の編集：医療記録は、保険会社、研究所、又は医療過誤訴訟の場合の弁護士といった第三者に公表されることが多い。州法及び連邦法は、公表前に医療記録から機密情報を編集することを命じている。例えば、薬物又はアルコール、メンタルヘルス、及びＨＩＶの状態への全ての言及は、典型的には編集される。この編集タスクは、最初に出現するよりはるかに複雑である。機密情報の推論を可能にする全ての手がかり及び手がかりの組み合わせを検知するために、通常、病気及び薬物についての広範囲にわたる最新の知識が必要とされる。この医療情報は、公のウェブサイトで容易に入手可能であるので、医療記録から機密情報を編集するプロセスは、ウェブ・ベースの推論制御と共に部分的に自動化することができる。
【００４０】
個別の匿名性の保護：情報機関及び他の政府機関は、特定の個人又は個人のグループに関する文書を公に公表することが、法によって（情報公開法などの）要求されることがよくある。関係者のプライバシーを保護するため、文書は、固有の識別を可能にしない形で公表される。外見上差し障りのない情報が固有の識別を可能にすることがあるので、この問題は知ってのとおり困難である。前に示された例において、ＦＢＩは、オサマ・ビン・ラディンのあまり編集されていない経歴を公表した。ファーストネーム及びラストネームのような直接的な識別情報は、経歴から適正に削除された。しかしながら、この経歴は、個人に適用されることが極めて稀であり、かつ、ビン・ラディンのアイデンティティを漏らす、「異母兄弟」、「サウジアラビア人」、「有力者」、及び「イエメン」のようなキーワードを依然として含んでいた。ウェブ・ベースの推論制御は、公に集種々の可能なデータに基づいた間接的な推論検知に完全に適合される。このツールを用いて、ｋ−匿名性を保護しながら、すなわち、機密情報が少なくともサイズｋの同様のエンティティのグループ内に隠されたままであり、グループ内でそれ以上正確に識別できないことを保証しながら、人物、エンティティ、又はイベントについてどれだけ多くの情報を公表することができるかを判断することができる。
【００４１】
編集規則の公式化：ウェブ・ベースの推論検知ツールを用いて、後にプライベート文書のコレクションに適用される１組の編集規則を予め計算することもできる。大きいプライベート文書のコレクションの場合、１つ１つの文書を分析するために、ウェブ・エースの推論検知を用いるよりも、編集規則を事前計算することがより効率的であり得る。例えば、１９９５年に、実行命令１２９５８により、数億ページを含む大量の政府資料の機密解除が命令された。文書の機密部分は、機密解除前に編集されることになっていた。編集規則は極めて複雑であり、それらの公式化は、伝えられるところによると、それらを適用すると同じくらい時間がかかるものである。ウェブ・ベースの推論検知は、小さい組のシード編集規則を自動的に拡張するための魅力的な手法である。例えば、キーワード「ミサイル」が機密であると仮定すると、ウェブ・ベースの推論検知は、例えば、「誘導システム」、「弾道学」、及び「固体燃料」などのミサイルに関連した他のキーワードを自動的に取り出し、それらを編集規則に付加することができる。
【００４２】
公開画像制御：この用途は、文書が、著者の意図に従うこと、及び、プライベート情報或いは容易に誤った解釈をする又は間違った文脈で理解する可能性がある情報を誤って漏らさないことを検証する問題を考察する。本用途は、望ましくない推論の組が既知のものである又は明示的に定義されていると仮定しない。代わりに、本用途の目的は、情報の脈絡化を助け、かつ、多数の潜在的な望ましくない推論に著者の注意を引き付けることができる広い汎用ツールを設計することである。例えば、ウェブ・ベースの推論検知は、いずれかの検索クエリの結果においてブログが顕著に現われるようにするキーワードの組み合わせを、特定の通知（ｐｏｓｉｔｎｇ）が含むという事実をブログの著者に警告することができる。
漏れ検知：本用途は、データ所有者が、前に公表されていなかった情報の偶発的な公表を回避するのを助ける。本用途において、機密知識Ｋ※の組は、前に公表されていなかった全ての情報を含む。言い換えれば、プライベート・データの公表は、公開知識に何も付加すべきではない。
【００４３】
実験
このセクションは、２つのウェブ・ベースの推論検知アプリケーションの検討、すなわち個々の匿名性及び医療記録の編集の保護に焦点を合わせた幾つかの実験を示す。
理想的には、ウェブ・ベースの推論検知は、プライバシーが主な関心事である真正の文書に適用される。例えば、召喚状に応じて公表の準備がなされる医療記録のコーパスは、機密トピックを識別するためのこれらの技術の能力を評価するのには理想的である。しかしながら、こうしたコーパスの取得は困難である。同様に、匿名ブログのコレクションは、個人を識別するためのこれらの技術の能力の試験には理想的であるが、こうしたブログは、効率的に見つけるのが困難である。
【００４４】
推論検知モデルを試験するために機密データを明白に見つける困難さがある場合、システムは、代わりに、個人のファーストネーム及びラストネームを除去することによって匿名にされた、個人に関する公に入手可能な情報を用いる。ほとんどの場合、個人に関する、よって匿名にされた公開情報は、その個人がブログ又はウェブページに書いたテキストに対する適正は優れた代替とまるように現われる。
一実施形態において、システムは、ｈｔｍｌからテキストを抽出するためのＪａｖａ（登録商標）、文書内のキーワードを識別するための拡張形式のＴＦ．ＩＤＦの計算、及びこれらのキーワードに基づいてウェブ・クエリを作製するためのＧｏｏｇｌｅ  ＳＯＡＰ検索ＡＰＩを利用する。
【００４５】
ここに用いられる例示的なコードは、ｈｔｍｌからテキストを抽出するためにｈｔｍｌタグを除去する。次の実験において、システムは、ウィキペディア経歴のような同様にフォーマットされたｈｔｍｌページから繰り返し抽出を行なう。
一実施形態において、文書内の語のＴＦ．ＩＤＦ「ランク」は、コーパスＣに対して定義される。ここでのＴＦ．ＩＤＦ定義は、前に与えられたものとはわずかに異なり、よって、異なる計算方法の採択に関して推論検知モデルの柔軟性を実証する。定義は、次のように与えられる。
【００４６】
定義１：Ｄは、語Ｗを含む文書とし、文書Ｃのコーパスの一部である。Ｄに対するＷの用語頻度（ＴＦ）は、ＤにおけるＷの出現回数である。コーパスＣに対するＷの文書頻度（ＤＦ）は、キーワードＷを含むＣ内の文書の総数である。Ｗと関連したＴＦ．ＩＤＦ値は、比：ＴＦ／ＤＦである。
一実施形態において、システムは、ＴＦ．ＩＤＦの変形を実装し、そこで、システムは、字句トークンのステミングするために、最初に大英国立コーパス（ＢＮＣ）を用いる。例えば、トークン「告発する（ａｃｃｕｓｅ）」、「告発された（ａｃｃｕｓｅｄ）」、「告発する（ａｃｃｕｓｅｓ）」、及び「告発している（ａｃｃｕｓｉｎｇ）」は、語幹「ａｃｃｕｓｅ」にマッピングされる。次に、システムは、再びＢＮＣを使用し、例えば、先の例における「ａｃｃｕｓｅ」のような対応する語幹のＤＦのトークンの各々と関連付ける。
【００４７】
ウェブ・ベースの非匿名化
この実験において、目的は、キーワード抽出を用いて差し迫った識別をエンドユーザに警告する方法を実証することである。一実施形態において、本発明の推論検知システムは、ユーザ（例えば、ブログ・エントリ）によって通知するために提案されたオンライン・コンテンツからキーワードを絶えず蓄積し、それらのキーワードに基づいてウェブ・クエリを出すことによって、この目的を達成する。これらのクエリによって戻されたヒットがそれらの名前を戻すとき、ユーザに警告が出され、よって、コンテンツの通知のリスクについての警告が出される。
この実験は、ユーザが著したコンテンツの代わりをするウィキペディア経歴に基づいている。経歴のサブジェクト名は、経歴から除去される。経歴内の個人的コンテンツは、情報の凝縮されたバージョンと見なされ、例えば、個人は、多くの通知によってそれらのブログに漏らすことがある。これらの「匿名にされた」経歴から、システムは、キーワードを抽出し、これらのキーワードの部分集合に基づいてＧｏｏｇｌｅへのクエリを形成する。
【００４８】
次に、システムは、経歴のサブジェクト名についての戻されたヒットの一部を検索し、ウィキペディア・ページでないヒットが経歴サブジェクトを記載するとき、フラグを上げる。効率性のために、システムは、調べられるウェブページの部分と数を制限する。特に、実験は、次の操作を含む。すなわち、
入力：ウィキペディア経歴Ｂ：
１．経歴ＢのサブジェクトＮを抽出し、ＮをファーストネームＮ1、随意的なミドルネーム又はミドルイニシャルＮ1’、及びラストネームＮ2に構文解析する（ここで、その位置における名前が経歴内に与えられていない場合、Ｎjは空である）。
２．ウィキペディア経歴Ｂから上位２０個のキーワードを抽出し、次のステップを通して、集合ＳBを形成する。すなわち：
（ａ）ＨＴＭＬファイルからテキストを抽出する。
（ｂ）抽出されたテキスト内の各語の強化したＴＦ．ＩＤＦランク付けを計算する。存在する場合には、このリストからＮ1、Ｎ1’及びＮ2を除去し、順序集合ＳBとして残りのテキストから上位２０語を選択する。
３．ｘ＝２０、１９、・・・，１について、ＳB内の上位ｘ個のキーワードについての検索エンジン・クエリを出す。このクエリをＱxと示す。例えば、Ｗ1、Ｗ2、Ｗ3が上位３個のキーワードである場合、検索クエリＱ3は、Ｗ1Ｗ2Ｗ3であり、付加的な句読点を有さない。Ｈxは、ヒットがｈｔｍｌファイル又はテキスト・ファイルのみを含み、ｅｎ．ｗｉｋｉｐｅｄｉａ．ｏｒｇからヒットが戻されないという制約を有する、検索エンジンによって戻されたヒットの集合を示すものとする。
４．
2008243205.tif 000014
は、それぞれ、クエリＱxから結果として得られる第１のヒット、第２のヒット、及び第３のヒットであるものとする。ｘ＝２０，１９，・・・、１について、Ｈx,1、Ｈx,2、及びＨx,3の各々の中のｈｔｍｌコードの最初の５０００行内のＮ1、Ｎ1’、及びＮ2の連続的な出現を検索することによって、Ｈx,1、Ｈx,2、及びＨx,3がサブジェクトＮへの言及を含むかどうかを判断する。あらゆるこうした出現を記録する。
【００４９】
出力：ＳB、調べられる３つのヒットの少なくとも１つの中に連続的にＮ1、Ｎ1’、及びＮ2を含むクエリＱxの各々、及び特定のヒットのＵＲＬ。
この実験において、システムは、ウィキペディア内に含まれるカリフォルニア州居住者の２３４の経歴、及びイリノイ州居住者の１０６の経歴について推論検知を行なう。両方の状態についての結果が図６及び図７に示され、これらは非常に似通っている。いずれの場合にも、ほぼ全ての個人を識別するのに、ウィキペディア経歴から抽出された１０又はそれより少ないキーワードで十分である。図６及び図７に示される統計は、機械出力にのみ基づいたものであり、人による検討は行なっていない。
2008243205.tif 000015
表１
【００５０】
表１は、キーワード、ＵＲＬ、及び経歴サブジェクトの間の例示的な推論を提示する。これらの結果は、人が有する関連性が、それらを個人的属性として識別するのに有用であり得ることを示す。例えば、検索クエリ「ｎｆｌ  ｎｉｃｏｌｅ  ｇｏｌｄｍａｎ  ｆｒａｎｃｉｓｃｏ  ｐｒｏ」から戻されたヒットの第１ページの５０％は、Ｏ．Ｊ．Ｓｉｍｐｓｏｎに関するものであるが（上位３ヒットを含む）、クエリ「ｎｆｌ  ｆｒａｎｃｉｓｃｏ  ｐｒｏ」によって戻されたヒットの第１ページのいずれにも、Ｏ．Ｊ．Ｓｉｍｐｓｏｎへの言及はない。従って、Ｏ．Ｊ．Ｓｉｍｐｓｏｎと彼の妻（Ｎｉｃｏｌｅ）及び妻の男友達（Ｇｏｌｄｍａｎ）との関連性は、かつてサンフランシスコ・フォーティナイナーズ（Ｓａｎ  Ｆｒａｎｃｉｓｃｏ  ４９ｅｒｓ）のメンバーだったプロのフットボール選手のプールにおいて彼を識別するのに非常に有用である。
【００５１】
ウェブ・ベースの推論検知
ウェブ・ベースの推論検知の別の用途は、医療記録の編集である。医療記録を、医療過誤訴訟の裁判官のような第三者に公表する前に、ＨＩＶ／Ａｉｄｓ、精神病、薬物及びアルコール濫用者などの病気についての全ての情報を編集することは、一般的なことである。今日、こうした保護の実施は、こうした状況及び診療と関連付けることができる全ての投薬、医師名、診断、及び症状に遅れないようにする編集実行者の完全さに左右される。ウェブ・ベースの推論検知を使用し、こうした状況の推論を可能にするキーワード識別プロセスを自動化することによって、このタスクの完全さを改善することができる。
【００５２】
一実施形態において、システムは、入力として、特定の病気についての権威あるページを利用する。この実験においては、システムは、アルコール依存症及び性感染症（ＳＴＤ）についてのページを供給するために、ウィキペディアを使用する。次に、システムは、ｈｔｍｌからテキストを抽出し、キーワードを識別する。関連した病気の推論を可能にするキーワードを識別するために、システムは、キーワードの部分集合についての検索クエリを出し、関連した病気への言及について上位ヒットを調べる。こうした言及が見出された場合には、システムは、潜在的に推論が可能なものとしてこれらのキーワードを記録する。実際には、次に、編集実行者は、この出力を用いて、患者のプライバシーを保護するために、医療記録を公表する前に医療記録からどの語を編集するかを決定することができる。下記は、この実験をより詳細に説明する。
【００５３】
入力：幾つかの正の整数ｂ及びページＢについての機密語Ｋ※＝｛ｖ1，．．．，ｖb｝の順序集合。Ｂは、アルコール依存症、ＳＴＤについてのウィキペディア・ページ、又は一般的な医療用語の「制御」ページのいずれかである。
１．Ｂがウィキペディア・ページである場合、Ｂから上位３０個のキーワードを抽出し、次のステップによって集合ＳBを形成する。すなわち：
（ａ）ｈｔｍｌからテキストを抽出する、
（ｂ）抽出されたテキスト内の各語の強化したＴＦ．ＩＤＦランク付けを計算する。上位３０語を順序集合ＳB＝｛Ｗ1，Ｗ2，．．．，Ｗ30｝として選択する。
２．Ｂが医療用語ページである場合、ウェブサイトのためにカスタマイズされたコードを用いて用語を抽出し、順序集合ＳB＝｛Ｗ1，Ｗ2，．．．，Ｗ30｝は、リストからの３０語の部分集合とし、ここで、選択方法は、実験の各々の実行によって変わる。
３．各語の対
2008243205.tif 000016
について、Ｑi,jは、付加的な句読点を有さない、これらの２つの語を含むクエリとし、ソース・ページＢのドメインからページは戻されず、かつ、全ての戻されたページはテキスト又はｈｔｍｌである（構文解析の問題を回避するために）という制約を有するものとする。Ｈi,jは、検索のためにＱi,jを出した後、周知の医療用語ウェブサイトが検索結果から除去された後に戻された最初のヒットを示す。
４．全ての
2008243205.tif 000017
及び
2008243205.tif 000018
について、Ｈi,jの最初の５０００行における文字列
2008243205.tif 000019
について検索する。ｖlが見出だされた場合、ｖl、ｗi、ｗj、並びにＨi,jを記録し、検索を中止する。
出力：操作３において、全てのトリプル（ｖl，Ｑi,j，Ｈi,j）を見出した。
【００５４】
ＳＴＤ実験についての結果。一実施形態において、システムは、ｈｔｔｐ：／／ｗｗｗ．ｍｅｄｔｅｒｍｓ．ｃｏｍ／ｓｃｒｉｐｔ／ｍａｉｎ．ｈｐ．ａｓｐで入手可能な医療用語索引からの３０個のキーワードのうち、ＳＴＤ  Ｂ及び選択された集合Ｂ’についてのウィキペディア・ページ上で上記の推論検知を行なう。医療用語索引内の４９番目のエントリで開始し、医療用語のランダム選択に近づくように、４００番目の語ごとに選択することによって、集合Ｂ’が選択された。入力されたＢからのキーワードの対は、Ｂ’からのキーワードの対（１０８／４３５＜２５％）と比べてＳＴＤについてずっと多くのヒット（３０６／４３５＞７０％）を生成することが観察される。結果が、図９に要約される。
【００５５】
アルコール依存症についての結果。一実施形態において、システムは、ｈｔｔｐ：／／ｗｗｗ．ｍｅｄｔｅｒｍｓ．ｃｏｍ／ｓｃｒｉｐｔ／ｍａｉｎ．ｈｐ．ａｓｐで入手可能な医療用語索引からの３０個のキーワードのうち、アルコール依存症Ｂ及び選択された集合Ｂ’についてのウィキペディア・ページ上で上記の推論検知を行なう。図９において分析された実行の場合、医療用語索引内の５２番目のエントリで開始し、医療用語のランダム選択に近づくように、３０個が蓄積されるまで１００番目の語ごとに選択することによって、集合Ｂ’が選択された。入力されたＢからのキーワードの対は、Ｂ（９．４３％）と比べてずっと多いアルコール依存症（４７．８２％）についてのヒットを生成することが観察される。さらに、外見上差し障りのないキーワードの対について
2008243205.tif 000020
におけるヒットをもたらしたＵＲＬ上で、手作業による検討が行なわれた。これらの結果は、図９に要約される。
【００５６】
上述の例は、望ましくない推論検知を例証するが、本発明の実施形態を容易に用いて、幅広い目的のために所望の推論又は中立の推論を検知することができる。さらに、本発明の実施形態の上記の説明は、例証及び説明のために提示されたものにすぎない。これらの説明は、網羅的であること、又は本発明を開示された形態に制限することを意図するものではない。従って、当業者であれば、多くの変更及び変形が明らかであろう。さらに、上記の開示は、本発明を制限することを意図するものではない。本発明の範囲は、添付の特許請求の範囲によって定められる。
【図面の簡単な説明】
【００５７】
【図１】例示的な編集された公開文書を示す。
【図２】図１に示される公開文書に基づいたクエリからの例示的な検索結果を示す。
【図３】本発明の実施形態によるウェブ・ベースの推論検知プロセスを示す例示的なブロック図を提示する。
【図４】本発明の実施形態によるウェブ・ベースの推論検知プロセスを示す例示的なフローチャートを提示する。
【図５】本発明の一実施形態によるウェブ・ベースの推論検知を容易にするためのコンピュータ・システムを示す。
【図６】本発明の一実施形態によるカリフォルニア州内の個人を識別するための、１組の推論検知結果を示す。
【図７】本発明の一実施形態によるイリノイ州内の個人を識別するための、１組の推論検知結果を示す。
【図８】本発明の一実施形態によるＳＴＤ推論を可能にするキーワードを識別するための実験の要約を示す。
【図９】本発明の一実施形態によるアルコール依存症推論を可能にするキーワードを識別するための実験の要約を示す。
【符号の説明】
【００５８】
３０２：プライベート文書
３０６：知識表示
３０８：コーパス
３１０：クエリ
３１２：検索エンジン
３１４：ヒット
３２０：推論
３６８：機密情報
５０２：コンピュータ・システム
５０４：プロセッサ
５０６：メモリ
５０８：記憶装置
５１６、５２０、５２２：アプリケーション
【図１】
2008243205.tif 000021
【図２】
2008243205.tif 000022
【図３】
2008243205.tif 000023
【図４】
2008243205.tif 000024
【図５】
2008243205.tif 000025
【図６】
2008243205.tif 000026
【図７】
2008243205.tif 000027
【図８】
2008243205.tif 000028
【図９】
2008243205.tif 000029