(57)【要約】ユーザが、自身のプライベートデータと相関している可能性がある自身に関する何らかのデータを公開したいと望む場合に、プライベートデータを保護する方法を開示する。具体的に、方法及び装置は、パブリックデータを、パブリックデータ及び関連するプライベートデータを有するサーベイデータと比較することを教示する。結合確率分布は、プライベートデータを予測するために実行され、この予測はある確率を有する。パブリックデータのうちの少なくとも１つは、確率が所定の閾値を超えることに応えて、変更又は削除される。
2016508006.tif 000002
【特許請求の範囲】
【請求項１】
ユーザデータを処理する方法であって、
前記ユーザデータはパブリックデータを有し、該ユーザデータにアクセスするステップと、
前記ユーザデータをサーベイデータと比較するステップと、
前記比較に応じてプライベートデータの確率を決定するステップと、
前記確率が所定の閾値よりも大きい値を有することに応えて前記パブリックデータを変更して、変更されたデータを生成するステップと
を有する方法。
【請求項２】
前記変更することは、前記パブリックデータを削除することを有する、
請求項１に記載の方法。
【請求項３】
前記変更されたデータをネットワークを介して送信するステップを更に有する
請求項１に記載の方法。
【請求項４】
前記変更されたデータの前記送信に応答してリコメンデーションを受け取るステップを更に有する
請求項３に記載の方法。
【請求項５】
前記ユーザデータは、複数のパブリックデータを有する、
請求項１に記載の方法。
【請求項６】
前記プライベートデータの確率を決定することは、前記パブリックデータと前記サーベイデータとの間の結合確率分布に応じて行われる、
請求項１に記載の方法。
【請求項７】
前記サーベイデータは、パブリックサーベイデータ及びプライベートサーベイデータを有する、
請求項１に記載の方法。
【請求項８】
ユーザプライベートデータを保護する方法であって、
ユーザに関連する複数のユーザパブリックデータを収集するステップと、
前記複数のパブリックデータを、複数のプライベートサーベイデータに関連する複数のパブリックサーベイデータと比較するステップと、
前記比較に応じて前記ユーザプライベートデータの確率を決定し、正確である該ユーザプライベートデータの確率は閾値を超えるステップと、
前記複数のユーザパブリックデータのうちの少なくも１つを変更して、複数の変更されたユーザパブリックデータを生成するステップと、
前記複数の変更されたユーザパブリックデータを前記複数のパブリックサーベイデータと比較するステップと、
前記複数の変更されたパブリックデータと前記複数のパブリックサーベイデータとの比較に応じて前記ユーザプライベートデータの確率を決定し、該ユーザプライベートデータの確率は前記閾値を下回るステップと
を有する方法。
【請求項９】
前記変更することは、前記複数のユーザパブリックデータのうちの少なくとも１つを削除することを有する、
請求項８に記載の方法。
【請求項１０】
前記複数の変更されたパブリックデータをネットワークを介して送信するステップを更に有する
請求項８に記載の方法。
【請求項１１】
前記複数の変更されたパブリックデータの前記送信に応答してリコメンデーションを受け取るステップを更に有する
請求項１０に記載の方法。
【請求項１２】
ユーザに関連する前記複数のユーザパブリックデータは、複数のプライベートユーザデータに関連する、
請求項８に記載の方法。
【請求項１３】
前記ユーザプライベートデータの確率を決定することは、前記複数のユーザパブリックデータと前記複数のパブリックサーベイデータとの間の結合確率分布に応じて行われる、
請求項８に記載の方法。
【請求項１４】
ユーザにリクエストを送信するステップを更に有し、
前記リクエストは、前記複数のユーザパブリックデータのうちの少なくとも１つを変更する許可を要求し、
前記複数のユーザパブリックデータのうちの前記少なくとも１つは、前記変更する許可を受け取らないことに応答して変更されない、
請求項８に記載の方法。
【請求項１５】
ユーザデータを処理する装置であって、
前記ユーザデータはパブリックデータを有し、該ユーザデータを記憶するメモリと、
前記ユーザデータをサーベイデータと比較し、該比較に応じてプライベートデータの確率を決定し、該確率が所定の閾値よりも大きい値を有することに応えて前記パブリックデータを変更して、変更されたデータを生成するプロセッサと、
前記変更されたデータを送信するネットワークインタフェースと
を有する装置。
【請求項１６】
前記変更することは、前記パブリックデータを前記メモリから削除することを有する、
請求項１５に記載の装置。
【請求項１７】
前記ネットワークインタフェースは、前記変更されたデータの前記送信に応答してリコメンデーションを受け取るよう更に動作する、
請求項１５に記載の装置。
【請求項１８】
前記ユーザデータは、複数のパブリックデータを有する、
請求項１５に記載の装置。
【請求項１９】
前記プライベートデータの確率を決定することは、前記パブリックデータと前記サーベイデータとの間の結合確率分布に応じて行われる、
請求項１５に記載の装置。
【請求項２０】
前記サーベイデータは、パブリックサーベイデータ及びプライベートサーベイデータを有する、
請求項１５に記載の装置。
【請求項２１】
請求項１乃至７のうちいずれか一項に記載の方法に従ってユーザのためのユーザデータのプライバシを改善する命令を記憶したコンピュータ可読記憶媒体。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、概して、プライバシを守るための方法及び装置に関し、特に、結合確率比較において使用される不適合の又は不完全なプライア（prior）を鑑みてプライバシ保護マッピングメカニズムを生成する方法及び装置に関する。
【背景技術】
【０００２】
ビッグデータの時代において、ユーザデータの収集及び検索は、多数の民間及び公共の団体による急成長している一般的なやり方となりつつある。例えば、技術系企業は、自身の顧客に個人向けサービスを提供するためにユーザデータを利用し、政府系機関は、様々な課題、例えば、国家安全保障、国民医療、予算及び外貨割当に対処するためにデータを当てにし、あるいは、医療機関は、病気の原因及び可能性がある治療法を見つけるためにデータを解析する。幾つかの場合において、第三機関によるユーザデータの収集、解析、又は共有は、ユーザの承諾又は自覚なしで行われる。他の場合において、データは、見返りとしてサービスを得るために、特定のアナリストに対してユーザによって自発的に公開される。例えば、製品評価は、リコメンデーションを得るために公開される。ユーザがユーザのデータへのアクセスを許可することで得るこのようなサービス又は他の利益は、ユーティリティと呼ばれることがある。いずれの場合にも、プライバシ・リスクは、収集されたデータの一部が、ユーザによって細心の注意を払うべきと見なされ得るか（例えば、政見、健康状態、所得水準）、あるいは、ひと目で無害であるように見える（例えば、製品評価は、それが相関するより慎重を期するデータの推論を未だもたらす。）場合に起こる。後者の脅威は、公開されたデータとの相関を利用することでプライベートデータを推論する技術である推論攻撃（inference  attack）を指す。
【０００３】
近年、オンラインのプライバシ悪用の多くの危険性が表面化しており、なりすまし犯罪、風説の流布、雇用の喪失、差別、ハラスメント、ネット上のいじめ、ストーキング及び自殺行為がある。同時に、違法なデータ収集を提示すること、ユーザの承諾なしでデータを共有すること、ユーザに知らせずにプライバシ設定を変更すること、ユーザのブラウジング挙動を追跡することに関してユーザを欺くこと、ユーザの削除動作を実行しないこと、並びに何のためにユーザのデータが使用されるのか及び他に誰がデータへのアクセスを得るのかに関してユーザに適切に知らせないことなどの、オンライン・ソーシャル・ネットワーク（ＯＳＮ）プロバイダに対する非難は、当たり前になりつつある。ＯＳＮの債務は、潜在的に、数千万から数億万ドルに高まる可能性がある。
【０００４】
インターネットにおいてプライバシを管理する中心問題のうちの１つは、パブリックデータ及びプライベートデータの両方の同時の管理にある。多くのユーザは、例えば、自身の映画鑑賞歴又は自身の性別などの自身に関する幾つかのデータを進んで公開する。彼らは、そのようなデータが有用なサービスを有効にするので、且つ、そのような属性がめったに個人的であると考えられないので、そのようにする。しかしながら、ユーザは、例えば所得水準、政治的な所属、又は病状などの、彼らが個人的であると考える他のデータも有する。この研究において、我々は、ユーザが自身のパブリックデータを公開することを可能にしながら、そのパブリックデータからユーザのプライベートデータを学習する可能性がある推論攻撃を防ぐことができる方法に焦点を当てる。推論攻撃によるユーザのプライベートデータの学習が成功しないように、ユーザが自身のパブリックデータを公開する前に、如何にしてそのパブリックデータを変形させるのかをユーザに知らせることが望ましい。同時に、変形は、原のサービス（例えば、リコメンデーション）が有用であり続けることができるように束縛されるべきである。
【０００５】
例えば映画の好み又は買い物習慣などの公開されたデータの解析の利益を得ることは、ユーザにとって望ましい。しかしながら、それは、第三機関がこのパブリックデータを解析し、例えば政治的な所属又は所得水準などのプライベートデータを推論することができる場合に好ましくない。ユーザ又はサービスが利益を得るためにパブリック情報の幾つかを公開しながら、プライベート情報を推論する第三機関の能力を制御することが望ましい。この制御メカニズムの困難な側面は、プライベートデータがしばしば、プライア記録の結合確率比較を用いて推論され、プライベート記録が、信頼できる比較を行うために容易に取得されない点である。プライベートデータ及びパブリックデータのこのような有限数のサンプルは、不適合のプライアの問題を生じさせる。従って、上記の問題を解決し、プライベートデータにとって安全である経験をユーザに提供することが望ましい。
【発明の概要】
【０００６】
本発明の態様に従って、装置が開示される。例となる実施形態に従って、ユーザデータを処理する装置は、前記ユーザデータはパブリックデータを有し、該ユーザデータを記憶するメモリと、前記ユーザデータをサーベイデータと比較し、該比較に応じてプライベートデータの確率を決定し、該確率が所定の閾値よりも大きい値を有することに応えて前記パブリックデータを変更して、変更されたデータを生成するプロセッサと、前記変更されたデータを送信するネットワークインタフェースとを有する。
【０００７】
本発明の他の態様に従って、プライベートデータを保護する方法が開示される。例となる実施形態に従って、方法は、前記ユーザデータはパブリックデータを有し、該ユーザデータにアクセスするステップと、前記ユーザデータをサーベイデータと比較するステップと、前記比較に応じてプライベートデータの確率を決定するステップと、前記確率が所定の閾値よりも大きい値を有することに応えて前記パブリックデータを変更して、変更されたデータを生成するステップとを有する。
【０００８】
本発明の他の態様に従って、プライベートデータを保護する第２の方法が開示される。例となる実施形態に従って、方法は、ユーザに関連する複数のユーザパブリックデータを収集するステップと、前記複数のパブリックデータを、複数のプライベートサーベイデータに関連する複数のパブリックサーベイデータと比較するステップと、前記比較に応じて前記ユーザプライベートデータの確率を決定し、正確である該ユーザプライベートデータの確率は閾値を超えるステップと、前記複数のユーザパブリックデータのうちの少なくも１つを変更して、複数の変更されたユーザパブリックデータを生成するステップと、前記複数の変更されたユーザパブリックデータを前記複数のパブリックサーベイデータと比較するステップと、前記複数の変更されたパブリックデータと前記複数のパブリックサーベイデータとの比較に応じて前記ユーザプライベートデータの確率を決定し、該ユーザプライベートデータの確率は前記閾値を下回るステップとを有する。
【図面の簡単な説明】
【０００９】
添付の図面と併せて検討される発明の実施形態についての下記の説明を参照して、本発明の上記及び他の特徴及び利点、並びにそれらを実現する様式はより明らかになり、そして、発明はより良く理解されるであろう。
【図１】本原理の実施形態に従って、プライバシを守るための方法を例示するフロー図である。
【図２】本原理の実施形態に従って、プライベートデータとパブリックデータとの間の結合分布が知られている場合にプライバシを守るための方法を例示するフロー図である。
【図３】本原理の実施形態に従って、プライベートデータとパブリックデータとの間の結合分布が知られておらず且つパブリックデータの周辺確率測度も知られていない場合にプライバシを守るための方法を例示するフロー図である。
【図４】本原理の実施形態に従って、プライベートデータとパブリックデータとの間の結合分布は知られていないがパブリックデータの周辺確率測度は知られている場合にプライバシを守るための方法を例示するフロー図である。
【図５】本原理の実施形態に従って、プライバシ・エージェントを例示するブロック図である。
【図６】本原理の実施形態に従って、複数のプライバシ・エージェントを有するシステムを例示するブロック図である。
【図７】本原理の実施形態に従って、プライバシを守るための方法を例示するフロー図である。
【図８】本原理の実施形態に従って、プライバシを守るための方法の第２の例を表すフロー図である。  ここで提示される例示は、発明の好適な実施形態を表し、かかる例示は、如何なる方法によっても発明の適用範囲を制限するものとして解釈されるべきでない。
【発明を実施するための形態】
【００１０】
これより図面、特に図１を参照すると、本発明の実装する例となる方法１００の図が示されている。
【００１１】
図１は、本原理に従ってプライバシを守るために、公開されるパブリックデータを変形させる例となる方法１００を表す。方法１００は１０５から開始する。ステップ１１０で、方法は、例えば、自身のパブリックデータ又はプライベートデータのプライバシについて心配していないユーザからの公開されたデータに基づき、統計情報を収集する。我々は、そのようなユーザを“パブリックユーザ”と呼び、公開されるパブリックデータを変形させたいと望むユーザを“プライベートユーザ”と呼ぶ。
【００１２】
統計値は、ウェブをクローリングし、異なるデータベースにアクセスすることによって収集されてよく、あるいは、データ・アグリゲータによって提供されてよい。どのような統計情報が収集され得るのかは、何をパブリックユーザが公開するのかに依存する。例えば、パブリックユーザがプライベートデータ及びパブリックデータの両方を公開する場合には、結合分布ＰＳ，Ｘの推定値が求められ得る。他の例において、パブリックユーザがパブリックデータのみを公開する場合には、周辺確率測度ＰＸの推定値が求められ得るが、結合分布ＰＳ，Ｘは求められ得ない。他の例において、我々は、パブリックデータの平均及び分散を得ることしかできないことがある。最悪の場合に、我々は、パブリックデータ又はプライベートデータに関する如何なる情報も得ることができないことがある。
【００１３】
ステップ１２０で、方法は、ユーティリティ制約を鑑みて、統計情報に基づきプライバシ保護マッピングを決定する。上述されたように、プライバシ保護マッピングメカニズムに対する解決法は、利用可能な統計情報に依存する。
【００１４】
ステップ１３０で、現在のプライベートユーザのパブリックデータは、それがステップ１４０で例えばサービス・プロバイダ又はデータ収集機関に公開される前に、先に決定されたプライバシ保護マッピングに従って変形される。プライベートユーザについて値Ｘ＝ｘを考えると、値Ｙ＝ｙは分布ＰＹ｜Ｘ＝ｘに従ってサンプリングされる。この値ｙは、真のｘの代わりに公開される。公開されるｙを生成するためのプライバシ・マッピングの使用は、プライベートユーザのプライベートデータＳ＝ｓの値を知る必要がない点に留意されたい。方法１００はステップ１９９で終了する。
【００１５】
図２乃至４は、異なる統計情報が利用可能である場合にプライバシを守るための例となる方法を更に詳細に表す。具体的に、図２は、結合分布ＰＳ，Ｘが知られている場合の方法２００を例示し、図３は、周辺確率測度ＰＸも結合分布ＰＳ，Ｘも知られていない場合の方法３００を例示し、図４は、周辺確率測度ＰＸが知られているが結合分布ＰＳ，Ｘが知られていない場合の方法４００を例示する。方法２００、３００及び４００は、以下で更に詳細に論じられる。
【００１６】
方法２００は２０５から開始する。ステップ２１０で、方法は、公開されたデータに基づき結合分布ＰＳ，Ｘを推定する。ステップ２２０で、方法は、最適化問題を定式化するために使用される。ステップ２３０で、基づかれるプライバシ保護マッピングが、例えば、凸問題として決定される。ステップ２４０で、現在のユーザのパブリックデータは、それがステップ２５０で公開される前に、先に決定されたプライバシ保護マッピングに従って変形される。方法２００はステップ２９９で終了する。
【００１７】
方法３００は３０５から開始する。ステップ３１０で、方法は、最大相関を介して最適化問題を定式化する。ステップ３２０で、方法は、基づかれるプライバシ保護マッピングを、例えば、べき乗法又はランチョス法を用いることによって、決定する。ステップ３００で、現在のユーザのパブリックデータは、それがステップ３４０で公開される前に、先に決定されたプライバシ保護マッピングに従って変形される。
【００１８】
方法４００は４０５から開始する。ステップ４１０で、方法は、公開されたデータに基づき分布ＰＸを推定する。ステップ４２０で、方法は、最大相関を介して最適化問題を定式化する。ステップ４３０で、方法は、プライバシ保護マッピングを、例えば、べき乗法又はランチョス法を用いることによって、決定する。ステップ４４０で、現在のユーザのパブリックデータは、それがステップ４５０で公開される前に、先に決定されたプライバシ保護マッピングに従って変形される。方法４００はステップ４９９で終了する。
【００１９】
プライバシ・エージェントは、プライバシ・サービスをユーザに提供するエンティティである。プライバシ・エージェントは、次のうちの何れかを実行してよい：
・どのようなデータをユーザが個人的であると考えているか、どのようなデータをユーザが公開してよいと考えているのか、及びどの程度のプライバシをユーザが望んでいるのかをユーザから受け取る；
・プライバシ保護マッピングを計算する；
・ユーザのためにプライバシ保護マッピングを実装する（すなわち、マッピングに従ってユーザのデータを変形させる）；及び
・変形したデータを、例えば、サービス・プロバイダ又はデータ収集機関に公開する。
【００２０】
本原理は、ユーザデータのプライバシを保護するプライバシ・エージェントにおいて使用され得る。図５は、プライバシ・エージェントが使用され得る例となるシステム５００のブロック図を表す。パブリックユーザ５１０は、プライベートデータ（Ｓ）及び／又はパブリックデータ（Ｘ）を公開する。上述されたように、パブリックユーザは、パブリックデータをそのままで公開してよい。すなわち、Ｙ＝Ｘ。パブリックユーザによって公開された情報は、プライバシ・エージェントにとって有用な統計情報となる。
【００２１】
プライバシ・エージェント５８０は、統計値収集モジュール５２０、プライバシ保護マッピング決定モジュール５３０、及びプライバシ保護モジュール５４０を有する。統計値収集モジュール５２０は、結合分布ＰＳ，Ｘ、周辺確率測度ＰＸ、並びに／又はパブリックデータの平均及び分散を収集するために使用されてよい。統計値収集モジュール５２０はまた、例えばbluekai.comなどのデータ・アグリゲータから統計値を受け取ってよい。利用可能な統計情報に応じて、プライバシ保護マッピング決定モジュール５３０は、プライバシ保護マッピングメカニズムＰＹ｜Ｘを設計する。プライバシ保護モジュール５４０は、プライベートユーザ５６０のパブリックデータを、それが公開される前に、条件付き確率ＰＹ｜Ｘに従って変形させる。一実施形態において、統計値収集モジュール５２０、プライバシ保護マッピング決定モジュール５３０、及びプライバシ保護モジュール５４０は、夫々、方法１００におけるステップ１１０、１２０、及び１３０を実行するのに使用され得る。
【００２２】
プライバシ・エージェントは、データ収集モジュールにおいて収集された全データを知らずに使える統計値のみを必要とする点に留意されたい。よって、他の実施形態では、データ収集モジュールは、データを収集し、次いで統計値を計算し、そして、プライバシ・エージェントの部分である必要がないスタンドアローンのモジュールであってよい。データ収集モジュールは、プライバシ・エージェントと統計値を共有する。
【００２３】
プライバシ・エージェントは、ユーザとユーザデータの受け側（例えば、サービス・プロバイダ）との間にある。例えば、プライバシ・エージェントは、ユーザ装置、例えば、コンピュータ又はセット・トップ・ボックス（ＳＴＢ）に配置されてよい。他の例では、プライバシ・エージェントは、別個のエンティティであってよい。
【００２４】
プライバシ・エージェントの全てのモジュールは、１つの装置に配置されてよく、あるいは、異なる装置にわたって配置されてよい。例えば、統計値収集モジュール５２０は、統計値をモジュール５３０にのみ公開するデータ・アグリゲータにおいて配置されてよく、プライバシ保護マッピング決定モジュール５３０は、モジュール５２０に接続されているユーザ装置上のユーザ・エンドにおいて又は“プライバシ・サービス・プロバイダ”において配置されてよく、プライバシ保護モジュール５４０は、ユーザ装置上のユーザ・エンドにおいて又はプライバシ・サービス・プロバイダにおいて配置されてよい。その場合に、プライバシ・サービス・プロバイダは、ユーザと、ユーザがデータを解放したいサービス・プロバイダとの間の媒介となる。
【００２５】
プライバシ・エージェントは、プライベートユーザが、公開されたデータに基づき受け取るサービスを改善するために、公開されたデータをサービス・プロバイダ、例えば、Comcast又はNetflix（登録商標）に提供してよい。例えば、リコメンデーション・システムは、ユーザが公開している映画評価に基づきそのユーザに映画のリコメンデーションを提供する。
【００２６】
図６において、我々は、システムにおいて複数のプライバシ・エージェントが存在することを示す。別の変形例では、プライバシ・システムが働くための必要条件でないとして、プライバシ・エージェントはどこにでも存在する必要はない。例えば、ユーザ装置において、サービス・プロバイダにおいて、又はその両方においてのみプライバシ・エージェントは存在してよい。図６において、我々は、Netflix（登録商標）又はFacebook（登録商標）の両方のための同じプライバシ・エージェント“Ｃ”を示す。他の実施形態では、Facebook（登録商標）及びNetflix（登録商標）にあるプライバシ・エージェントは同じであることができるが、そうである必要はない。
【００２７】
凸最適化に対する解決法としてプライバシ保護マッピングを考えることは、プライベート属性Ａ及びデータＢをリンクする事前分布ｐＡ，Ｂが知られており、アルゴリズムへの入力として供給され得るとの基本的仮説に依存する。実際に、真の事前分布は知られないことがあり、例えば、プライバシに対する懸念を有しておらず、自身の属性Ａ及び自身の原データＢの両方を公開するユーザの集合から観測され得るサンプルデータの組からむしろ推定され得る。非プライベートユーザからのこのサンプルの組に基づき推定されるプライアは、次いで、自身のプライバシについて心配している新しいユーザに適用されるプライバシ保護メカニズムを設計するのに使用される。実際に、例えば、観測されるサンプルの数が少ないこと、又は観測されるデータが不完全であることに起因して、推定されるプライアと真のプライアとの間には不一致が存在することがある。
【００２８】
これより図７を参照すると、膨大なデータを踏まえてプライバシを守る方法が表されている。例えば、利用可能なパブリックデータ項目が膨大であることに起因して、ユーザデータの基礎をなすアルファベットのサイズが非常に大きい場合に、スケーラビリティの問題は起こる。これに対処するよう、問題の次元を制限する量子化アプローチが示される。この制限に取り組むよう、方法は、変数から成るよりずっと小さい組を最適化することによって近似的に問題に当たることを教示する。方法は３つのステップを有する。最初に、アルファベットＢをＣ個の代表例、すなわち、クラスタに減じる。第２に、プライバシ保護マッピングがクラスタを用いて生成される。最後に、ｂのＣ個の代表例についての学習されたマッピングに基づき、入力されたアルファベットＢにおける全ての例ｂを
［外１］
2016508006.tif 000003
にマッピングする。
【００２９】
最初に、方法７００はステップ７０５から開始する。次に、全ての利用可能なパブリックデータは、全ての利用可能なソース７１０から収集されて集められる。原データは、次いで、特性化７１５され、有限な数の変数、又はクラスタにクラスタ化７２０される。データは、プライバシマッピングのために統計的に類似しているデータの特性に基づき、クラスタ化され得る。例えば、政治的な所属を示す複数の映画は、変数の数を減らすために一緒にクラスタ化されてよい。解析は、後のコンピュータ分析のために、重み付けされた値又は同様のものを提供するよう、夫々のクラスタに対して行われてよい。この量子化スキームの利点は、最適化された変数の数を、基礎をなす特徴アルファベットのサイズにおいて二次であることからクラスタの数において二次であることへと減じて、観測されるデータサンプルの数から最適化を独立させることによって、計算上効率的である点である。幾つかの現実世界の例に関し、このことは、次元における桁違いの縮退をもたらすことができる。
【００３０】
方法は、次いで、クラスタによって定義される空間において如何にしてデータを変形させるかを決定するのに使用される。データは、公開前に、１つ以上のクラスタの値を変更すること、又はクラスタの値を削除することによって、変形されてよい。プライバシ保護マッピング７２５は、変形制約を受けてプライバシ漏洩を最小限とする凸ソルバを用いて計算される。量子化によって導入される如何なる付加的な変形も、サンプルデータ点と最も近いクラスタ中心との間の最大距離とともに線形増大し得る。
【００３１】
データの変形は、プライベートデータ点がある閾確率を上回ると予想されなくなるまで、繰り返し実行されてよい。例えば、ある人の政治的な所属について７０％しか確信がないことは、統計的に望ましくないことがある。よって、クラスタ又はデータ点は、政治的な所属を予想する能力が７０％の確実性を下回るまで、変形されてよい。それらのクラスタは、予想確率を決定するよう事前データに対して比較されてよい。
【００３２】
プライバシマッピングに従うデータは、次いで、パブリックデータ又は保護されたデータとして公開７３０される。７００の方法は７３５で終了する。ユーザは、プライバシマッピングの結果を通知されてよく、プラバイしマッピングを使用すること又は変形されていないデータを公開することの選択肢を与えられてよい。
【００３３】
これより図８を参照すると、不適合のプライアに照らしてプライバシマッピングを決定するための方法８００が示されている。第１の課題は、この方法が、プライアと呼ばれる、プライベートデータとパブリックデータとの間の結合確率分布を知っていることに依存する点である。しばしば真の事前分布は利用可能でなく、代わりに、プライベートデータ及びパブリックデータのサンプルの限られた組のみが観測され得る。このことは、不適合のプライアの問題をもたらす。この方法はこの問題に取り組み、不適合のプライアに直面してさえ分布を提供し且つプライバシをもたらそうとする。我々の第１の寄与は、観測されるデータサンプルの組から始めることを軸として展開し、我々は、プライアの改善された推定を見出し、それに基づきプライバシ保護マッピングが導出される。我々は、所与のレベルのプライバシを保証するようこのプロセスが受ける如何なる付加的な変形に対しても何らかの境界を整備する。もっと正確に言えば、我々は、プライベート情報の漏洩が我々の推定とプライアとの間のＬ１ノルム距離とともに対数線形に増大すること、変形率が我々の推定とプライアとの間のＬ１ノルム距離とともに線形に増大すること、及び我々の推定とプライアとの間のＬ１ノルム距離が、サンプルサイズの増大するにつれて小さくなることを示す。
【００３４】
真の事前分布ｐＡ，Ｂの完ぺきな認識は存在せず、推定ｑＡ，Ｂが存在すると仮定する。その場合に、ｑＡ，ＢがｐＡ，Ｂの良好な推定であるとき、最適化問題への入力として不適合の分布ｑＡ，Ｂを供給することによって得られる解
［外２］
2016508006.tif 000004
は、ｐＡ，Ｂによる解と近いはずである。特に、不適合のプライアｑＡ，Ｂに対する、マッピング
［外３］
2016508006.tif 000005
による情報の漏洩
［外４］
2016508006.tif 000006
及び変形は、真のプライアｐＡ，Ｂに対する実際の漏洩
［外５］
2016508006.tif 000007
及び変形と同様であるはずである。この要求は、次の定理において定式化される。
【００３５】
定理１．
［外６］
2016508006.tif 000008
をｑＡ，Ｂに伴う最適化問題（６）に対する解であるとする。その場合に：
【００３６】
【数１】
2016508006.tif 000009
この式において、
［外７］
2016508006.tif 000010
は、特徴空間における最大距離である。
【００３７】
２つの分布のエントロピにおける距離の境界を示す次の補助定理は、定理１の証明において有用である。
【００３８】
補助定理１．
［外８］
2016508006.tif 000011
であるように、ｐ及びｑを同じサポートχを持った分布であるとする。その場合に：
【００３９】
【数２】
2016508006.tif 000012
この要求に基づき、我々は、次のようにｐＡ，ＢとｑＡ，Ｂとの間のＬ１ノルム誤差の境界を示すことができる：
【００４０】
【数３】
2016508006.tif 000013
従って、サンプルサイズｎが増大するにつれて、Ｌ１ノルム
［外９］
2016508006.tif 000014
誤差は、ｎ（−２／ｄ＋４）の割合でゼロまで小さくなる。
【００４１】
８００の方法は８０５から開始する。方法は、最初に、プライベートデータ及びパブリックデータの両方を回避する非プライベートユーザのデータからプライアを推定する。この情報は、公に利用可能なソースから取られてよく、あるいは、調査（サーベイ）又は同様のものにおけるユーザ入力を通じて生成されてよい。このデータの幾つかは、十分なサンプルが獲得され得ない場合に、又は一部のユーザが、入力に失敗することにより生じる不完全なデータを供給する場合に、不十分であることがある。この問題は、多数のユーザデータが取得される場合に補償され得る。しかしながら、そのような不十分さは、真のプライアと推定されるプライアとの間の不一致を生じさせ得る。よって、推定されるプライアは、複素ソルバに適用される場合に、完全に信頼できる結果を提供しないことがある。
【００４２】
次に、パブリックデータがユーザにおいて収集される８１５。このデータは、ユーザデータを推定されるプライアと比較することによって量子化８２０される。ユーザのプライベートデータは、次いで、比較及び代表的なプライアデータの決定の結果として予想される。プライバシ保護マッピングは、次いで決定される８２５。データは、プライバシ保護マッピングに従って変形され、次いで、パブリックデータ又は保護されたデータとして世間に公開される８３０。方法は８３５で終了する。
【００４３】
推定されるプライアが推定を生成するのに使用されることによれば、システムは、推定と不適合のプライアとの間のひずみを決定してよい。ひずみが許容可能なレベルを超える場合は、更なる記録が、ひずみを小さくするよう不適合のプライアに加えられるべきである。
【００４４】
ここで記載されるように、本発明は、パブリックデータのプライバシ保護マッピングを可能にするアーキテクチャ及びプロトコルを提供する。本発明は、好適な設計を有するものとして記載されてきたが、本発明は、本開示の主旨及び適用範囲の範囲内で更に変更され得る。従って、本願は、その一般的原理を用いて発明のあらゆる変形、使用、又は適合をカバーするよう意図される。更に、本願は、本開示からのそのような逸脱を、本発明が属し且つ添付の特許請求の範囲の制限範囲内にある技術における既知の又は通例のやり方の範囲内にあるものとしてカバーするよう意図される。
【００４５】
［関連出願の相互参照］
本願は、２０１３年２月８日付けで米国特許商標庁に出願された米国特許仮出願第６１／７６２４８０号に基づく優先権を主張するものである。
【図１】
2016508006.tif 000015
【図２】
2016508006.tif 000016
【図３】
2016508006.tif 000017
【図４】
2016508006.tif 000018
【図５】
2016508006.tif 000019
【図６】
2016508006.tif 000020
【図７】
2016508006.tif 000021
【図８】
2016508006.tif 000022
【国際調査報告】
2016508006.tif 000023
2016508006.tif 000024
2016508006.tif 000025