(57)【要約】映画に対し、ユーザーに公表する情報を決定することと、情報をユーザーに送信することと、ユーザーからの難読化されたデータを受け入れることと、ユーザーの非プライベートな特徴ベクトルを推定することと、を含むリコメンダ・システムにおいてユーザーのプライバシーを保護する方法および装置を記載する。さらに、映画情報を受信することと、ユーザーの映画フィードバックを受け入れることと、ユーザーのプライベートな情報を受け入れることと、難読化値を計算することと、難読化値を送信することと、を含むリコメンダ・システムにおいてユーザーのプライバシーを保護する方法および装置を記載する。
2016512628.tif 000002
【特許請求の範囲】
【請求項１】
リコメンダ・システムにおいてユーザーのプライバシーを保護する方法であって、
映画についての、ユーザーに公表する情報を決定することと、
前記情報を前記ユーザーに送信することと、
前記ユーザーからの難読化されたデータを受け入れることと、
前記ユーザーの非プライベートな特徴ベクトルを推定することと、
を含む、前記方法。
【請求項２】
前記ユーザーからの前記難読化されたデータは、前記ユーザーのプライベートな情報を保護するために難読化された映画フィードバックを含む、請求項１に記載の方法。
【請求項３】
前記映画フィードバックは、映画レーティングまたは映画ランク付けを含む、請求項２に記載の方法。
【請求項４】
リコメンダ・システムにおいてユーザーのプライバシーを保護する方法であって、
映画情報を受信することと、
ユーザーの映画フィードバックを受け入れることと、
前記ユーザーのプライベートな情報を受け入れることと、
難読化値を計算することと、
前記難読化値を送信することと、を含む、前記方法。
【請求項５】
前記ユーザーからの前記難読化されたデータは、前記ユーザーのプライベートな情報を保護するために難読化された映画フィードバックを含む、請求項４に記載の方法。
【請求項６】
前記映画フィードバックは、映画レーティングまたは映画ランク付けを含む、請求項５に記載の方法。
【請求項７】
前記ユーザーのプライベートな情報は、特性、特徴、値、またはデータを含む、請求項４に記載の方法。
【請求項８】
前記難読化値は、前記ユーザーの映画フィードバックから前記ユーザーのプライベートな情報の寄与を差し引くことによって計算される、請求項４に記載の方法。
【請求項９】
リコメンダ・システムにおいてユーザーのプライバシーを保護する装置であって、
映画についての、ユーザーに公表する情報を決定する手段と、
前記情報を前記ユーザーに送信する手段と、
前記ユーザーからの難読化されたデータを受け入れる手段と、
前記ユーザーの非プライベートな特徴ベクトルを推定する手段と、を含む、前記装置。
【請求項１０】
前記ユーザーからの前記難読化されたデータは、前記ユーザーのプライベートな情報を保護するために難読化された映画フィードバックを含む、請求項９に記載の装置。
【請求項１１】
前記映画フィードバックは、映画レーティングまたは映画ランク付けを含む、請求項１０に記載の装置。
【請求項１２】
前記装置は、前記リコメンダ・システムのリコメンダ部分である、請求項９に記載の装置。
【請求項１３】
リコメンダ・システムにおいてユーザーのプライバシーを保護する装置であって、
ユーザーの映画フィードバックを受け入れる手段と、
前記ユーザーのプライベートな情報を受け入れる手段と、
難読化値を計算する手段と、
前記難読化値を送信する手段と、を含む、前記装置。
【請求項１４】
前記ユーザーからの前記難読化されたデータは、前記ユーザーのプライベートな情報を保護するために難読化された映画フィードバックを含む、請求項１３に記載の装置。
【請求項１５】
前記映画フィードバックは、映画レーティングまたは映画ランク付けを含む、請求項１４に記載の装置。
【請求項１６】
前記ユーザーのプライベートな情報は、特性、特徴、値、またはデータを含む、請求項１３に記載の装置。
【請求項１７】
前記難読化値は、前記ユーザーの映画フィードバックから前記ユーザーのプライベートな情報の寄与を差し引くことによって計算される、請求項１３に記載の装置。
【発明の詳細な説明】
【技術分野】
【０００１】
本出願は、「多くの情報の収集を望むリコメンダに対するプライバシー保護（ＰＲＩＶＡＣＹ  ＰＲＯＴＥＣＴＩＯＮ  ＡＧＡＩＮＳＴ  ＣＵＲＩＯＵＳ  ＲＥＣＯＭＭＥＮＤＥＲＳ）」と題された２０１３年２月６日付で出願された米国仮特許出願第６１／７６１，３３０号の優先権を主張するものであり、その開示内容を本明細書に盛り込んだものとする。
【０００２】
本発明は、リコメンダが、関連する個人向の推薦内容を提供することを可能にしつつ、プライバシー情報を保護することに関する。
【背景技術】
【０００３】
幾つかの近年の刊行物では、ユーザーが生成したデータから人口統計学的な情報を推測することに対する脅威が研究されている。本発明に最も関連があるものとして、Ｗｅｉｎｓｂｅｒｇ  ｅｔ  ａｌ.、Ｂｌｕｒｍｅ著の「レーティングに基づくユーザー性別の推定および難読化（ｉｎｆｅｒｒｉｎｇ  ａｎｄ  ｏｂｆｕｓｃａｔｉｎｇ  ｕｓｅｒ  ｇｅｎｄｅｒ  ｂａｓｅｄ  ｏｎ  ｒａｔｉｎｇｓ）」、リコメンダ・システムについての第６回ＡＣＭ会議の議事録（２０１２年）は、性別が映画のレーティングから推定可能であることを示し、結果として生ずるプライバシーのリスクを軽減する発見的問題解決方法を提案している。しかしながら、Ｗｅｉｎｓｂｅｒｇの提案する難読化方法は、性別を推測するためのロジスティック回帰方法を具体的に対象とするものである。これに対し、本発明は、原理的なアプローチに従って、任意の推定方法から強固にプライバシーが守られることを保証するものである。
【０００４】
本発明におけるプライバシーの定義は、差分プライバシーの考え方に動機付けられて生まれたものであり、この差分プライバシーの考え方によるケースに限定されたものである。差分プライバシーは、データマイニング、ソーシャル・レコメンデーション、およびリコメンダ・システムのような分野に適用されている。これらの研究は、信頼性のあるデータベースの所有者を想定しており、差分プライバシーでの用途で成果を出すことに焦点を当てている。これに対し、本発明においては、リコメンダがユーザーから情報を収集することを望んでおり、ユーザーがリコメンダに対して提供するフィードバックから個人情報が統計的に推測されないように保護されることユーザーが望んでいるという設定で検証されている。
【０００５】
統計的な推測が行われることからプライバシーを保護することをモデル化する幾つかの理論的なフレームワークには、精度の点で制約が存在する。これらのアプローチは、プライベートな変数および非プライベートな変数をリンクした一般確率モデルの仮定に基づいており、非プライベートな変数をその公表の前に歪めることによってプライバシーを確保するものである。一般的な傾向ではあるが、これらのフレームワークの適用には、プライベートなデータと公表されるべきデータとの間の同時分布についての知識が必要となり、この知識は、実用的な設定では得ることが難しい場合がある。本発明における線形モデルの仮定は、経験的な証拠によって強固に支持されており、問題を取り扱いやすくなっている。重要な点としては、これにより、本発明の方法が最適なプライバシーと精度とのトレードオフを得るためにリコメンダの側で必要なデータ開示の程度を特徴付けできるようになる。この態様は、上述した研究のいずれにも存在しない。
【発明の概要】
【０００６】
リコメンダ・システムは、性別、年齢、または、政治的な関係などの人口統計的な情報をユーザーのフィードバックから推測することができる。本発明は、リコメンダとユーザーとの間のデータ交換プロトコル（ステップ、動作）のためのフレームワークを提案し、推薦の精度と、ユーザーのプライバシーと、リコメンダによって開示される情報との間のトレードオフを得るものである。
【０００７】
本発明は、リコメンダが、関連し個別化された推薦内容をユーザーに依然として提供できるようにする一方で、ユーザーが隠すことを望んでいる何らかの人口統計的な情報をリコメンダが推測できないようにユーザーが自己のレーティングの歪められたバージョンをリコメンダ・システムへ送ることを可能にする。
【０００８】
オンライン・サービスのユーザーは、日常的に自己の体験および嗜好についてのフィードバックを提供することが求められる。このフィードバックは、明示的でも、暗示的なものでもよく、完全なレビューから、５つ星のレーティングまで、メニューからの選択肢までといったように、数多くの形態をとることができる。このような情報は、ユーザーをターゲットとする推薦内容を提供し、ユーザーに提供されるコンテンツを個別化するために、日常的にリコメンダ・システムによって使用される。推薦内容を作成するために、統計を用いた方法を使用する場合には、ユーザーの「プロファイル」または特徴ベクトルを生成することが多い。このようなプロファイルは、ユーザーがプライベートなものであると考える、ユーザーの年齢、性別、政治的な志向などの、個人情報をさらしてしまうことがある。この可能性は、公開されているデータセットで広く実証されている。このような可能性に鑑み、プライバシーを意識しているユーザーがリコメンダ・システムからの便益を受けることができるようにし、その一方で、ユーザーが保護したいと望む情報がユーザーのフィードバックを通じて不注意に開示されたり、漏洩されたりしないようにすることによって、ユーザーがサービスに参加することを促すメカニズムが求められている。
【０００９】
このような開示や漏洩を低減する共通のアプローチは、リコメンダに対して報告されるフィードバックを歪めることによって行われる。推薦の品質とユーザーのプライバシーとの間には起こるべきして起こるトレードオフが存在する。歪みが大きくなると、より難読化され、それと共に、プロファイルの精度が低下することになるであろう。本発明の寄与は、このトレードオフにおける第３の条件の存在を特定することであり、この第３の条件とは、リコメンダがユーザーのプライベートな値を曖昧にするためにユーザーに開示するデータである。これを例示するために述べると、リコメンダがユーザーのプロファイルを生成するために使用するデータおよびアルゴリズムの全てをユーザーに開示すると、絶対的なプライバシーが得られるであろう点に留意すべきである。そのようにすると、ユーザーは、リコメンダにフィードバックを全く送信することなく、リコメンダ・システムのローカルなコピーを実行できるようになる。この場合には、プライベートが確保されるのは明らかである。しかしながら、そのようにすることは、リコメンダの視点からすると、実用的な理由（効率性およびコード・メンテナンス）からも、そして、重要なこととして、商業的な理由からも、リコメンダが課金を行って、収集したデータおよび自己が開発したアルゴリズムから利益を得るようにすることがあるため、受け入れられるものではない。ユーザーに対し、または、想定される競合者に対してデータおよびアルゴリズムを開示することに不利益があるのは明らかである。
【００１０】
その一方で、ある程度はデータの開示もまた必要である。ユーザーが自己のフィードバックを公表する前に自己の支持政党を隠すことを望んでいる場合には、支持政党によってもたらされるあらゆる偏見の知識をユーザーが用いることで、この効果を生じないようにすることができる。収集したデータからこのような偏見を検出するリコメンダは、プライバシーを意識しているユーザーに対し、偏見について開示することができる。
【００１１】
この状況では、幾つかの疑問が生する。プライバシーを意識しているユーザーに対し、そのようなユーザーの参加を促すために、最小限どのくらいの量の、どのような性質の情報をリコメンダは開示しなければならないか？  プライベートな特徴（性別、年齢、支持政党など）を保護し、その一方で、リコメンダがそれ以外のプライベートな特徴を推定できるようにするために、どのようにこの情報を使用すればフィードバックを歪めることができるか？  どのような推定方法を歪められたフィードバックに適用すると最高の精度が得られるか？
【００１２】
本発明は、上記の問題を取り扱うための、以下の３つのプロトコルを含む、形式数学的なフレームワークを提案する。
（ａ）リコメンダが取り扱うデータの開示
（ｂ）ユーザーによるレーティングに適用される難読化方法
（ｃ）非プライベートなユーザーの特徴を推測するために適用される推定方法
【００１３】
上述した３つのプロトコルの特定の実施態様は、ユーザーのプライベートな情報を完全に保護し、その一方で、リコメンダが、最善の精度で非プライベートな情報を推定できるようにする。重要な点として、リコメンダのデータ開示は最小限である。これ以上開示を少なくしても、提案する実施態様以上の精度を得られることはない。
【００１４】
提案されているプロトコルを実際のデータセット上で評価したところ、これらのプロトコルは、実際上、推薦精度に有意な影響を及ぼすことなく、確かに良好にプライバシーを保証することが実証された。
【００１５】
映画についての、ユーザーに公表する情報を決定することと、ユーザーに情報を送信することと、ユーザーからの難読化されたデータを受け入れることと、ユーザーの非プライベートな特徴ベクトルを推定することと、を含む、リコメンダ・システムにおいてユーザーのプライバシーを保護する方法および装置が記載される。さらに、映画情報を受信することと、ユーザーの映画についてのフィードバックを受け入れることと、ユーザーのプライベートな情報を受け入れることと、難読化値を計算することと、難読化値を送信することと、を含む、リコメンダ・システムにおいてユーザーのプライバシーを保護する方法および装置が記載される。
【００１６】
本発明は、添付図面と併せて以下の詳細な説明を読むことによって最も良好な理解が得られる。図面は、概略的には、以下の図を含む。
【図面の簡単な説明】
【００１７】
【図１（ａ）】ＭｏｖｉｅＬｅｎｓデータセットおよびロジスティック推測を使用した選択を用いた標準的な難読化スキームを実施する前の男性および女性の推測確率の分布を示した図である。
【図１（ｂ）】ＭｏｖｉｅＬｅｎｓデータセットおよびロジスティック推定を使用した選択を用いた標準的な難読化スキームが実施された後の男性および女性の推測確率の分布を示した図である。
【図１（ｃ）】ＲＭＳＥ−ＡＵＣトレードオフを示す図である。
【図２】本発明のリコメンダ・システムのフローチャートである。
【図３】本発明のリコメンダ・システムのリコメンダ部分の拡大図である。
【図４】本発明のリコメンダ・システムのユーザー部分の拡大図である。
【図５】本発明のリコメンダ・システムのリコメンダ部分のブロック図である。
【図６】本発明のリコメンダ・システムのユーザー部分のブロック図である。
【発明を実施するための形態】
【００１８】
本発明において考慮される設定は、リコメンダおよびユーザーを含む。リコメンダがユーザーのフィードバックを求める項目を、説明を簡潔にするために、「映画」と呼ぶ。各項目に対するユーザーのフィードバック（例えば、１〜５の星のレーティング）は、２つのベクトル、すなわち、映画プロファイルｖｉおよびユーザ・プロファイルｘによってパラメータ化される確率分布から個別にサンプリングされる。ユーザーのプロファイルｘは、（ｘ０；ｘ）の形式である。ここで、ｘ０は、ユーザーがプライベートにしておきたいと望む区別可能なバイナリ特徴（例えば、自己の性別）であり、ｘは、非プライベートなコンポーネントである。なお、ユーザーは、ｘ０を認識しているが、ｘについては認識していない。すなわち、これには、例えば、リコメンダによって使用される特徴がユーザーに知られていない、または、行列因子分解と呼ばれる処理によって計算されており、よって、潜在的であるケースが考えられる。
【００１９】
リコメンダは、映画のプロファイルｖｉを知っており、ユーザーのプロファイルｘを学習することを望んでいる。リコメンダの目的は、他の映画に対して、ユーザーのフィードバックを予測し、推薦を行うことにある。ユーザーは、推薦内容から便益を受けることを望んでいるが、自己の変数ｘ０に関してプライバシーを意識しており、これをリコメンダに公表することを望んでいない。ユーザーの参加を促すために、本発明の目的は、リコメンダとユーザーとの間で情報交換を行うための３つの顕著な特性を有するプロトコルを設計することにある。略式に述べると、３つの顕著な特性は、以下の通りである。
【００２０】
（ａ）プロトコルの結果として、リコメンダは、可能な限り高精度に、ｘの非プライベートな部分であるｘを推定する。
【００２１】
（ｂ）リコメンダは、ｘ０、すなわち、ユーザーのプライベートな変数については、何も学習しない。
【００２２】
（ｃ）ユーザーは、各項目ｉの映画プロファイルｖｉについては最小限の学習をする。
【００２３】
第１の特性により、プロトコルの終わりに
、リコメンダは、ユーザーのプロファイルの非プライベートな部分を学習し、それを使用して、ユーザーに対して新たな映画を提案でき、それによって、リコメンダの主な機能を実現できるようになる。第２の特性によって、プライバシーを意識しているユーザーが、自己のプライベートな変数を開示することなく、推薦内容から便益を受けるようにして、これによってユーザーの参加が促されるようになる。最後に、第３の特性によって、映画のプロファイルが完全には公に利用可能とはならないようになる。これは、リコメンダの競合者が、計算にリソースを必要とし、推薦内容を通じて収益を生み出すプロファイルを使用できないようにするものである。
【００２４】
これらの３つの特性の間の相互的な関係に焦点を当てるために、３つの「非解決法」について述べる。まず、ユーザーがリコメンダに対する自己のフィードバックを隠さずに（ｉｎ  ｔｈｅ  ｃｌｅａｒ）開示するプロトコルを考える。これにより、適切な推測方法を通じてリコメンダがｘおよびｘ０の双方を推定できるようになるため、（ａ）および（ｃ）を満たすが（ｂ）を満たさない。第２のプロトコルでは、まず、リコメンダは、全ての映画プロファイルｖｉをユーザーに対して明らかにする。この場合、リコメンダは、再び、推測を通じてｘをローカルで推測し、その後に、これをリコメンダに送信する。これは、（ａ）および（ｂ）を満たすが、（ｃ）を満たさない。最後に、「空の（ｅｍｐｔｙ）」プロトコル（情報交換が無し）は、（ｂ）および（ｃ）を満たすが（ａ）を満たさない。
【００２５】
より具体的には、ユーザーは、特徴ベクトル
2016512628.tif 000003
によって特徴付けられるものと仮定する。この特徴ベクトルは、ユーザーがプライベートにしておきたいと望む特徴に対応する１つのコンポーネントを有する。この特徴がバイナリであり、複数のバイナリ特徴に一般化することは容易であると仮定される。形式的には、ｘ＝（ｘ０，ｘ）であり、ここで、
2016512628.tif 000004
であり、ｘ０∈｛＋１，−１｝は、プライベートな特徴である。今回の例では、ユーザーが自己の性別をプライベートにしておくことを望んでいると仮定することができ、これは、ｘ０∈｛＋１，−１｝として符号化される。
【００２６】
リコメンダは、Ｍ個の映画に対するフィードバックを求める。これらの映画の集合は、［Ｍ］≡｛１，…，Ｍ｝で表される。特に、各映画は、特徴ベクトル
2016512628.tif 000005
によって特徴付けられる。ここで、
2016512628.tif 000006
である。なお、ベクトルｖｉは、ｖｉ≠０である。このようなベクトルの全ての集合は、
2016512628.tif 000007
によって表され、フィードバックが求められる映画の特徴ベクトルは、
2016512628.tif 000008
によって表される。
【００２７】
リコメンダがデータベース内に特徴ベクトルを保持するもの仮定する。このようなデータベースの構築は、日常的に、リコメンダ・アルゴリズムによって行われる。特徴は、通常は、行列因子分解技術の組み合わせを通じて計算される（したがって、特徴は潜在的である）こともあれば、映画の記述子（例えば、ジャンル、プロット要約、またはキャスト・メンバの人気度など）の陽関数を通じて計算されることもある。いずれの場合にも、これらのベクトル（または、関連すると特定された特徴でさえも）は、競合者によって使用される場合もあり、したがって、非開示の対象となる。
【００２８】
映画ｉ∈［Ｍ］に対するユーザーのフィードバックを
2016512628.tif 000009
によって表す。ｒｉは、特定の双線形モデルに限定され、これは、リコメンダおよびユーザーの双方によって知られている。特に、
2016512628.tif 000010
を
2016512628.tif 000011
における通常のスカラー積とする。全てのｉ∈［Ｍ］に対し、以下のようになるように、
2016512628.tif 000012
上に確率分布Ｑが存在するものと仮定する。
【数１】
2016512628.tif 000013
ここで、ｚｉは、個々の「ノイズ」変数であり、Ｅ（ｚ）＝０であり、Ｅ（ｚ２）＝σ２＜∞である。
【００２９】
このモデルは、その単純さにもかかわらず、経験的な証拠によって強固に支持されている。実際、これは、行列因子分解や特異値分解などの低ランク近似に基づいた多くの予測方法の基礎をなすモデルである。なお、
2016512628.tif 000014
における映画ベクトルへの制限は、式（１）から理解できる。実際、リコメンダの目的がｘを取得することにある場合は、ｖ＝０となる映画に対するフィードバックには、情報価値がないことは明らかである。リコメンダは、データベース内に特徴ベクトル
2016512628.tif 000015
を保持するものとする。このようなデータベースの構築は、日常的に、リコメンダ・アルゴリズムによって行われている。特徴は、通常は、行列因数分解技術の組み合わせを通じて計算される（したがって、特徴は潜在的である）こともあれば、ジャンル、プロット要約、またはキャスト・メンバの人気度などの映画の記述子の陽関数を通じて計算されることもある。これらのベクトル（または、関連すると特定される特徴である場合さえある）は、競合者によって使用される場合もあり、したがって、非開示の対象となる。
【００３０】
ユーザーは、このデータベースにアクセスすることができず、これらの特徴ベクトルの事前値を知っているものでもない。さらに、ユーザーは、自己のプライベートな変数ｘ０を知っており、各映画ｉ∈［Ｍ］に対する自己のフィードバックｒｉを知っているか、容易に生成することができる。しかしながら、ユーザーは、ｖｉの各座標に対応する「特徴」は「潜在的なもの」であるか、開示されていないので、事前に残りの特徴値
2016512628.tif 000016
を知っているものではない。
【００３１】
本発明のプライバシーを保護する推薦方法およびシステムは、以下の、３つのステップを含む、ユーザーとリコメンダとの間のプロトコルを含む。
【００３２】
１．データ開示プロトコル
これはマッピングＬ、即ち、
2016512628.tif 000017
である。ここで、
2016512628.tif 000018
は、一般集合である。
2016512628.tif 000019
およびγは、測定可能な空間であり、これは、
2016512628.tif 000020
を含む。このマッピングは、リコメンダ側で実施され、公にリコメンダのデータベース
2016512628.tif 000021
から開示されたデータ量を記述する。特に、各映画ｉ∈［Ｍ］に対し、リコメンダは、幾らかの情報
2016512628.tif 000022
をユーザーに公表する。
2016512628.tif 000023
は、座標
2016512628.tif 000024
を有するベクトル
2016512628.tif 000025
を表す。実際には、
2016512628.tif 000026
は、リコメンダと通信することを望んでいる潜在的にプライバシーを意識している全てのユーザーにとって必要であるため、公表される。
【００３３】
２．難読化プロトコル
これは、マッピングＹ、すなわち、
2016512628.tif 000027
に対し、
2016512628.tif 000028
となる。ここでもまた、γは、一般集合である。このマッピングは、リコメンダに対して公表される前にどのようにユーザーのフィードバックが変更される（難読化される）かについて記述する。マッピングは、ユーザーの自己のコンピュータ上のプログラムとして実施される。特に、ユーザ（ユーザのコンピュータ上のアルゴリズム）は、フィードバック値
2016512628.tif 000029
の自己のベクトル、自己のプライベートな特性ｘ０をデータ開示
2016512628.tif 000030
と共に入力する。プログラムは、これらの量を組み合わせ、リコメンダに難読化された値
2016512628.tif 000031
を返す。
【００３４】
３．推定部
これは、定式
2016512628.tif 000032
のマッピング、すなわち、
2016512628.tif 000033
である。映画特徴ベクトル
2016512628.tif 000034
およびこれに対応する難読化されたユーザーのフィードバック
2016512628.tif 000035
が与えられると、マッピングにより、ユーザーの非プライベートな特徴ベクトルｘの推定値
2016512628.tif 000036
が得られる。推定部は、リコメンダ側でプログラムとして実施される。
【００３５】
トリプレット
2016512628.tif 000037
を推薦システムと称する。なお、これらのコンポーネントの３つ全ての関数形式（ｆｕｎｃｔｉｏｎａｌ  ｆｏｒｍ）は、双方の当事者によって知られている。例えば、リコメンダは、難読化プロトコルＹを知っている。双方の当事者は誠実であるが、多くの情報の収集を望む。すなわち、双方の当事者（リコメンダおよびユーザ）は、プロトコルに従うが、任意の段階で、いずれかの当事者が意図的に公表するものよりも多くの情報を抽出可能である場合には、その当事者はその情報の抽出を行う。双方のプロトコルＬおよびＹは、ランダム化可能である。以下の説明において、フィードバック・モデル、さらに、プロトコル・ランダム化についての確率および期待値は、所与のｘについて、
2016512628.tif 000038
は、
2016512628.tif 000039
と表される。
【００３６】
次に、上述した特性（ａ）〜（ｃ）に対応する、推薦システムの精度、ユーザーのプライバシー、およびデータ開示の程度を含む、プライバシーを保護する推薦システムに対する基本的な品質尺度について述べる。
【００３７】
難読化されたフィードバックＹのためのプライバシーの定式化は、差分プライバシーに動機付けられて行われたものである。本発明の状況は、従来技術のものとは、
2016512628.tif 000040
が、ｘ、
2016512628.tif 000041
、およびｘ０に依存するが、本発明では、プライベートな情報ｘ０に関するプライバシーにのみ関与する点で異なる。
【００３８】
定義１．
推薦システムは、任意の
2016512628.tif 000042
および任意の
2016512628.tif 000043
に対し、以下が発生する場合には、ε−差分プライベートである。
2016512628.tif 000044
がデータベース
2016512628.tif 000045
から漏出した、または漏洩した情報を表し、
2016512628.tif 000046
がユーザーのフィードバックを表す場合には、任意のイベント
2016512628.tif 000047
に対し、
【数２】
2016512628.tif 000048
が成り立つ。
【００３９】
システムがε＝０であるε差分プライベートである場合には、システムは、プライベートを保護するものであるか、プライベートであると言える。
【００４０】
本発明は、プライバシーを保護する推薦システム、すなわち、ε＝０であるシステムに焦点を当てるものである。直感的には、プライバシーを保護するシステムにおいて、難読化値Ｙは、ｘ０に依存しない確率変数である。ユーザーの性別に関わらず、Ｙの分布は同じである。第２の定義は、推定量
2016512628.tif 000049
が、最小の
2016512628.tif 000050
損失でユーザーの非プライベートな特徴を再構築するのであれば、最適な精度を有することについて記載している。この選択は自然であるが、補足として、
2016512628.tif 000051
損失を通じて精度を定量化する理由について述べる。
【００４１】
定義２．
推薦システム
2016512628.tif 000052
は、全ての項目
2016512628.tif 000053
に対し、
2016512628.tif 000054
となれば、
2016512628.tif 000055
よりも精度が高いといえる。ここで、
2016512628.tif 000056
である。さらに、上述の不等式が何らかの
2016512628.tif 000057
に対して厳密に当てはる場合には、厳密により精度が高いと言える。
【００４２】
最終的には、データ開示プロトコル間の順序付けを定義することができる。直感的には、プロトコルＬは、Ｌ’がＬから取得可能であれば、Ｌ’と同じくらい多くの情報を開示する。
【００４３】
定義３．
測定可能なマッピングφが存在する場合、すなわち、各
2016512628.tif 000058
に対し
2016512628.tif 000059
となるように
2016512628.tif 000060
である場合には、推薦システム
2016512628.tif 000061
がシステム
2016512628.tif 000062
と同じくらい多くの情報を開示するといえる。何らかのφ、φ’に対し、
2016512628.tif 000063
および
2016512628.tif 000064
であれば、
2016512628.tif 000065
および
2016512628.tif 000066
が同じくらいの量の情報を開示しているといえる。最後に、何らかのφに対し、
2016512628.tif 000067
であるが、
2016512628.tif 000068
となるφ’が存在しない場合には、
2016512628.tif 000069
が厳密には
2016512628.tif 000070
よりも多い情報を開示しているといえる。
【００４４】
以下、線形モデルの下で、「標準スキーム」と称する以下の推薦システムが最適な特性を有することが示されている。
【００４５】
１．データ開示プロトコルは、プライベートなユーザー特徴ｘ０に対応するエントリｖ０を公表する。すなわち、
2016512628.tif 000071
であり、全ての
2016512628.tif 000072
に対し、
2016512628.tif 000073
である。
【００４６】
２．難読化プロトコルは、各フィードバックｒｉからプライベートな特徴の寄与を差し引き、この値をリコメンダに開示する。すなわち、
2016512628.tif 000074
であり、
2016512628.tif 000075
に対しては、
2016512628.tif 000076
となる。
【００４７】
３．最終的に、推定方法は、以下の最小二乗問題を解くことと同じことになる。
【数３】
2016512628.tif 000077
ここで、ｙｉは、難読化されたフィードバック
2016512628.tif 000078
のｉ番目の成分、すなわち、
2016512628.tif 000079
である。
【００４８】
式（３）における推定量は、最小二乗推定量と呼ばれ、これは
2016512628.tif 000080
で表される。なお、式（１）の下で、標準スキームの精度は、以下の
2016512628.tif 000081
損失で与えられる。全ての
2016512628.tif 000082
に対し、
【数４】
2016512628.tif 000083
となる。ここで、σ２は、（１）におけるノイズの分散であり、ｔｒ（・）は、トレースである。
【００４９】
以下の定理は、標準スキームの特性を要約したものである。
【００５０】
定理１．  線形モデルでは、以下のようになる。
【００５１】
１．標準スキームは、プライバシーを保護するものである。
【００５２】
２．（１）におけるノイズはガウシアンであると仮定する。ゆえに、標準スキームよりも厳密に精度の高いプライバシーを保護する推薦システムは存在しない。
【００５３】
３．標準スキームほどの情報は開示しない如何なるプライバシーを保護する推薦システムでも、厳密には精度が低下するに違いない。
【００５４】
この定理は、以下のように証明される。第２および第３のステートメントは、標準スキームの最適性を形式的に確立する。ガウス・ノイズの元では、より良好な精度を達成するプライバシーを保護するシステムは存在しない。驚くべきことではあるが、このことは、標準スキームの場合よりも厳密により多くの情報を開示するスキームの間においてもさえ当てはまる。各映画に対し、ｖｉ０を超えるものを開示する理由は存在しない。第３のステートメントは、同じ精度を得るために、リコメンダ・システムが少なくともｖｉ０を開示しなければならないことを示唆している。実際、この証明は、このようなシナリオにおいては、標準スキームの下では有限であった
2016512628.tif 000084
の損失が非有界のものになることを立証するものである。
【００５５】
定理１の証明：
【００５６】
プライバシー：定理１．１が成り立つことを確かめるために、各ｉ∈Ｍに対し，ユーザーが
2016512628.tif 000085
を公表することを考える。ｙｉの分布は、したがって、ｘ０に依存せず、標準スキームがプライバシーを保護するものであることは明らかである。
【００５７】
最大精度：
定理１．２は、以下の標準結果を使用して、背理法によって証明される。
【００５８】
補助定理１．
2016512628.tif 000086
を
2016512628.tif 000087
となるポイントの集合とする。ここで、ｚｉは、独立して等しく分布したゼロ平均ガウス確率変数である。さらに、
2016512628.tif 000088
を最小二乗推定量
2016512628.tif 000089
とする。そして、任意の推定量
2016512628.tif 000090
に対し、
2016512628.tif 000091
となる。
【００５９】
標準スキーム
2016512628.tif 000092
よりも厳密にはより精度の高いプライバシーを保護するシステム
2016512628.tif 000093
が存在することを想定する。
2016512628.tif 000094
を標準スキームの下での開示とし、
2016512628.tif 000095
を
2016512628.tif 000096
での開示とする。さらに、
2016512628.tif 000097
を標準スキームの下でのｉ∈［Ｍ］に対する難読化された値であるとし、
2016512628.tif 000098
によってベクトル
2016512628.tif 000099
を表す。システム
2016512628.tif 000100
がプライバシーを保護するものであるため、その難読化は、以下を満たす。
【数５】
2016512628.tif 000101
すなわち、２つのランダムな出力は、同等に分布する。
【００６０】
Ｌ’、Ｙ’、および
2016512628.tif 000102
は、最小二乗推定量よりも少ない
2016512628.tif 000103
損失を有する推定量
2016512628.tif 000104
を構築するために使用される。特に、新たな推薦システム
2016512628.tif 000105
を考える。ここで、（ａ）Ｌ”（ｖｉ）＝（Ｌ（ｖｉ），Ｌ‘（ｖｉ））である。すなわち、リコメンダは、Ｌ（ｖｉ）＝ｖｉ０と同様に、
2016512628.tif 000106
における場合と同じ情報を開示する。（ｂ）Ｙ”＝Ｙ、すなわち、難読化は、標準スキームにおける場合と同様であり、ｉ∈［Ｍ］に対し、
2016512628.tif 000107
が公表される。さらに、（ｃ）リコメンダは、以下の２つのステップを実行することによってｘを推定する。第１に、リコメンダは、性別が＋１であると仮定して、難読化Ｙ’を
2016512628.tif 000108
に適用し、
2016512628.tif 000109
を計算する。第２に、リコメンダは、推定量
2016512628.tif 000110
をこの出力に適用する。要約すると、
2016512628.tif 000111
であり、ここで、
2016512628.tif 000112
となる。なお、重要なこととして、新たなシステム
2016512628.tif 000113
は
2016512628.tif 000114
と同じ精度を有する。この理由は、推定量
2016512628.tif 000115
に対する入力ｗが入力ｙ’と同じように分布するからである。これは、ｘ０＝＋１である場合には、普通に真であるが、式（５）により、ｘ０＝−１にも成り立つ。これは、しかしながら、最小二乗推定量の下で対応する損失よりも厳密には少ない損失
2016512628.tif 000116
を導出する推定量
2016512628.tif 000117
が構築され、補助定理１に対する矛盾がある。
【００６１】
最小限開示：
最終的に、定理１．３が証明され、開示Ｌ（ｖｉ）＝ｖｉｏが最小限であることを形式的に確立する。「より情報が少ない」どのような開示も、精度の損失につながる。標準スキーム
2016512628.tif 000118
ほどの情報を開示しないプライバシーを保護する推薦システム
2016512628.tif 000119
を考える。ここで、ｄは、特徴プロファイルの次元である、Ｍ＝ｄである設定を考える。さらに、
2016512628.tif 000120
は、行列
2016512628.tif 000121
が可逆であるものとし、
2016512628.tif 000122
により、座標Ｖｉ０のベクトルを表す。
【００６２】
任意の
2016512628.tif 000123
に対し、
2016512628.tif 000124
を
2016512628.tif 000125
によって与えられる分布を有する確率変数とする。ここで、
2016512628.tif 000126
は、分布Ｑからサンプリングされた独立して等しく分布した座標のベクトルである。すなわち、
2016512628.tif 000127
は、
2016512628.tif 000128
であり、性別がｘ０であるときの難読化の出力である。そして、以下のことが成り立つ。
【００６３】
補助定理２．Ｍ＝ｄと仮定し、行列
2016512628.tif 000129
が可逆であると仮定する。
2016512628.tif 000130
とする。すると、全ての
2016512628.tif 000131
に対し、
2016512628.tif 000132
である。
【００６４】
証明.  式（５）により、全ての
2016512628.tif 000133
に対し、
2016512628.tif 000134
となる。結論は、ｘ＝Ｖ−１（ｓ−ｖ０）に対する
2016512628.tif 000135
の定義により成り立つ。
【００６５】
2016512628.tif 000136
は、標準スキームほど情報を漏出（漏洩、開示）しないため、定義として、全ての
2016512628.tif 000137
に対し、ｖ０＝φ（L’（ｖ））となるマップφは存在しない。特に、ｖ０≠ｖ０’となり、さらにＬ’（ｖ）＝Ｌ’（ｖ）となるようなベクトル
2016512628.tif 000138
が存在する。以下の２つの事例を考える。
【００６６】
事例１．
ｖ，ｖ’交差の台、すなわち、ｖｋ≠０およびｖ’ｋ≠０となるｋ∈［ｄ］が存在する。この場合、
2016512628.tif 000139
であるシナリオを考える。ここで
2016512628.tif 000140
であり、ベクトルは、ｌ番目の座標が１であり、全ての他の座標が零である。明らかに、
2016512628.tif 000141
であり、Ｖ＝［ｖｉ］ｉ∈［ｄ］は可逆である。補助定理２により、
2016512628.tif 000142
とする。全ての
2016512628.tif 000143
に対し、
2016512628.tif 000144
となる。ここで、
2016512628.tif 000145
は、座標１では１であり、他の座標では、全て、０である。同様に、
2016512628.tif 000146
となるシナリオでは、補助定理２の条件が再び満たされる。重要なこととして、
2016512628.tif 000147
であり、再び、全ての
2016512628.tif 000148
に対し、
2016512628.tif 000149
となる。これらの２つの式は、全ての
2016512628.tif 000150
に対し、以下のようになることを示唆している。
【数６】
2016512628.tif 000151
ここで、ξ≡２（ｖ０−ｖ０’）である。換言すれば、難読化は、映画ｖに対するレーティングに関して周期的である。
【００６７】
任意の
2016512628.tif 000152
および任意の
2016512628.tif 000153
に対し、（ａ）ｘ，ｘ’が座標ｋ∈｛１，２，…，ｄ｝のみで異なり、（ｂ）
2016512628.tif 000154
となり、（ｃ）
2016512628.tif 000155
となるように、
2016512628.tif 000156
および
2016512628.tif 000157
が構築され得る。このことが分かるように、Ｋを
2016512628.tif 000158
となる十分に大きな整数とする。｛０，１，・・・，ｄ｝における全ての他の１に対し、ｘｋ’＝ｘｋ＋Ｋξ／ｖｋおよびｘ’ｌ＝ｘｌとすれば、所望の特性を満たすｘ’が得られる。
【００６８】
したがって、ｘ０＝＋１であるユーザーに対し、推薦システム
2016512628.tif 000159
が
2016512628.tif 000160
に適用される。大きなＭ＞０を固定する。上述したように構築された各ｘおよびｘ’に対し、式（６）により、Ｙ’によって生成された難読化された値は、同一分布を有する。したがって、どのように推定量
2016512628.tif 000161
が実装されるかに関わらず、
2016512628.tif 000162
と
2016512628.tif 000163
との間の最大値はΩ（Ｍ２）とならなければならず、これは、
2016512628.tif 000164
であることを示唆する。これに対し、
2016512628.tif 000165
におけるプロファイルは線形独立であるため、
2016512628.tif 000166
は、正定値であり、したがって、可逆である。よって、標準スキームの損失（４）は、有限であり、定理が得られる。
【００６９】
事例２
ｖ、ｖ’の台は、互いに素である。この場合、ｖ、ｖ’は、双方が
2016512628.tif 000167
に属していることから、線形独立であり、特に、ｖｋ≠０およびｖｋ’≠０となる１≦ｋ、ｋ’≦ｄ、ｋ≠ｋ’を満たすものが存在する。
2016512628.tif 000168
が構築され、そして、
2016512628.tif 000169
および行列Ｖ＝［ｖｉ］ｉ∈［ｄ］もまた、可逆である。したがって、ｖおよびｖ’の位置を入れ替えることによって、事例１の場合と同様の理論を使用して、全ての
2016512628.tif 000170
に対し、
2016512628.tif 000171
となり、ここで、ξ≡２（ｖ０−ｖ０’）および
2016512628.tif 000172
となる、すなわち、Ｚ＋が方向ｅ１−ｅ２に周期的であることが分かる。さらに、任意の
2016512628.tif 000173
および任意の
2016512628.tif 000174
に対し、同様に、（ａ）ｘ，ｘ’が座標ｋ，ｋ’∈｛１，２，…，ｄ｝のみで異なり、（ｂ）
2016512628.tif 000175
となり、（ｃ）
2016512628.tif 000176
となるように
2016512628.tif 000177
および
2016512628.tif 000178
が構築される。この構築により、ｋ番目の座標でＫξ／Ｖｋが加算され、ｋ’番目の座標からＫξ／Ｖｋ’が減算される。ここで、Ｋ＞Ｍｍａｘ（Ｖｋ，Ｖ’ｋ）／ξである。よって、事例１の場合と同様の理論により、定理を導出する。
【００７０】
本発明のモデルの幾つかの態様には、より詳細な説明が必要である。
【００７１】
漏出（開示、漏洩）解釈
標準スキームにおいては、開示された（漏洩された、漏出された）情報ｖｉ０は、ユーザーのフィードバックに対するプライベートな特徴の影響を測るパラメータである。本例においては、これは、映画ｉのユーザーの評価に対する性別の影響である。線形モデル（１）に対し、このパラメータは、他の特徴ｘが性別とは独立して分布するようなユーザーの人口の中にあれば、単純な解釈を有する。実際、ｘがｘ０から独立するような（ｘ０，ｘ）上の事前分布を想定する。すると、
2016512628.tif 000179
となる。よって、ユーザーがプライバシーを意識しておらず性別が開示されている場合に、ユーザーのフィードバックのデータセットに対するアクセスが与えられると、リコメンダに必要となるのは、性別毎の映画の平均レーティングを計算することだけである。ｖｊ０を開示することは、これらの２つの値の間の半分の距離を公表することと同じである。
【００７２】
映画選択からの推測
実際上、［Ｍ］における全てのレーティングを生成することは、時間的にコストが高くなる場合がある。したがって、以下の制約を考えることが妥当である。すなわち、難読化されたレーティングの集合がＳ⊆Ｓ０を満たさなくてはならないような集合Ｓ０（例えば、ユーザが視聴した映画）が存在する。この場合、Ｓ０自体によりユーザーの性別が明らかとなることがある。
【００７３】
視聴している複数のイベントが独立している場合、すなわち、
2016512628.tif 000180
である場合の解決法を提供する。ここでｐｉｘ０は、ユーザーの性別Ｘ０の値により条件付されている、ユーザーが映画ｉを視聴した確率である以下の難読化プロトコルを考える。まず、所与のＳ０について、ユーザーは、映画ｉ∈Ｓ０に対するフィードバックを個々に生成、開示し、これにより、集合Ｓを構築する。ここで、ｘ０に対し、
【数７】
2016512628.tif 000181
がｘ０の余集合となる。この標準スキームを適用した後、ｉ∈Ｓに対するレーティングが明らかになる。
【００７４】
この難読化は、以下の所望の特性を有する。まず、Ｓ⊆Ｓ０である。第２に、これは、プライバシーを保護するものである。このことが分かるように述べると、Ｐｘ０（ｉ∈Ｓ）＝ｍａｘ（１，ｐｉｘ０／ｐｉｘ０）×ｐｉｘ０＝ｍｉｎ（ｐｉｘ０，ｐｉｘ０）となり、即ち、ｘ０に依存しない点に留意すべきである。最後に、集合Ｓは、最大限となる。すなわち、Ｅ｛｜Ｓ’｜｝＞Ｅ｛｜Ｓ｜｝となる集合Ｓ’⊂Ｓ０を作成するプライバシーを保護する方法は存在しない。このことが分かるように述べると、Ｅ｛｜Ｓ’｜｝＞Ｅ｛｜Ｓ｜｝となる場合の任意のスキームに対し、Ｐｘ０（ｉ∈Ｓ’）＞Ｐｘ０（ｉ∈Ｓ）＝ｍｉｎ（ｐｉ＋,ｐｉ−）となるｉが存在することに留意すべきである。スキームがプライバシーを保護するものである場合には、これは、双方のｘ０に当てはまらなければならない。しかしながら、Ｓ⊆Ｓ０であることから、双方のｘ０に対し、Ｐｘ０（ｉ∈Ｓ）≦ｐｉｘ０とならなければならず、矛盾である。この難読化スキームが最大限のものであることを考慮して、以下、ユーザーによってレーティングされた映画のサブセットのみを選択する手段として使用される。
【００７５】
本発明の標準スキームは、映画リコメンダ・システム上で評価される。システムのユーザーは、視聴した映画に対し、１〜５の間の整数値のレーティングを提供し、そしてその見返りに、システムに対し、有用な推薦内容を提供するように期待する。ユーザーが推薦者に対して明らかにすることを望まないプライベートな値として、性別が定義される。性別は、映画のレーティングから、高精度に推測可能であることが知られている。２つの映画レーティングサービスからのデータセットが使用される。これらは、ＭｏｖｉｅｌｅｎｓおよびＦｌｉｘｓｔｅｒである。双方は、各ユーザーの性別を含む。このデータセットは、少なくとも２０本の映画をレーティングしたユーザーと、少なくとも２０人のユーザーによってレーティングされた映画に限定されている。結果として、ＭｏｖｉｅＬｅｎｓデータセットは、６，０００人のユーザー（４，３１９人の男性ユーザーおよび１，７０３人の女性ユーザー）、３，０４３本の映画、および９９５，０００個のレーティングを有する。Ｆｌｉｘｓｔｅｒデータセットは、２６，０００人のユーザー（９，６０４人の男性ユーザーおよび１６，４３３人の女性ユーザー）、９，９２１本の映画、および５６，０００，０００個のレーティングを有する。
【００７６】
実際の難読化の成功を査定するために、幾つかの標準的な方法を適用してレーティングから性別を推測することを提案する。これらの方法には。ナイーブベイズ（ＮＢ）、ロジスティック回帰（ＬＲ）、およびサポート・ベクトル・マシン（ＳＶＭ）、これに加えて、線形分類分析（ＬＤＡ）に類似する新たな方法が含まれる。後者の方法は、線形モデル（１）に基づいており、ｘに対してガウス事前分布、性別ｘ０に対してベルヌーイ事前分布を想定している。これらの事前分布の下で、通常、レーティングは、ｘ０によって決定される平均を有するように分布し、ｘ０の最尤推定量は、視聴された映画の数の次元の空間内で正確に、ＬＤＡである。各推定方法は、曲線下面積（ＡＵＣ）の観点で評価される。ＬＲ、ＮＢ、およびＳＶＭ方法に対する入力は、ユーザーによって与えられる全ての映画のレーティングと、レーティングされてない映画の「零」とを含む。その一方で、ＬＤＡは、ユーザーが提供したレーティングのみを処理する。
【００７７】
標準的な難読化スキームは、選択スキームを用いた場合と選択スキームを用いない場合との双方について調べられ、これは、上述した最大限のスキーム（７）を使用して行われる。映画ベクトル
2016512628.tif 000182
は、以下のように構築される。各映画に対し、性別に関する偏見ｖ０が、各性別毎の平均映画レーティング間の距離の半分として計算される。これらの値を使用して、残りの特徴ｖがｄ＝２０の行列因子分解を通じて計算された。これらは、難読化されていないレーティングから計算される。行列因子分解が勾配降下法、２０回の反復で、クロス検証を通じて選択された、０．０２の正則化パラメータを使用して行われた。
【００７８】
標準スキームを使用する場合、新たなレーティングは、整数値ではないことがあり、潜在的には、リコメンダ・システムによって予期されたレーティング値の範囲外にあることさえある。そのため、レーティング値を［１，５］の範囲にある整数に端数処理する変形例について考える。２つの整数ｋ＝［ｒ］およびｋ＋１の間にある非整数の難読化されたレーティングｒが与えられると、確率ｒ−ｋをレーティングｋに割り当て、確率１−（ｒ−ｋ）をレーティングｋ＋１に割り当てることによって端数処理が行われる。これは、レーティングが５を超えるとき、または、１未満であるときに、それぞれ、５または１に切り捨て（切り上げ）される場合には、期待値として、所望のレーティングｒを与える。簡略化して述べると、この処理全体を「端数処理」と称する。難読化のための２つのベースラインがさらに考慮される。映画平均スキームは、映画の平均レーティングでユーザーのレーティングを置き換える。性別平均スキームは、各々が０．５の確率である男性または女性によって提供される平均レーティングでユーザーのレーティングを置きえる。
【００７９】
レーティングの平均二乗誤差（ＲＭＳＥ）の観点から推薦内容の精度が測定される。このため、ユーザーのレーティングがトレーニング・セットおよび評価セットに分けられる。まず、難読化方法がトレーニング・セットに適用され、次に、０．１の正則化パラメータを用いて難読化されたレーティングに対するリッジ回帰を通じてｘが推定される。評価セットにおける映画のレーティングは、線形モデル（１）を使用して予測され、ここで、ｘ０は、ＬＤＡ推測方法から与えられる。他の推測方法を用いた実験を実施したところ、同様の結果が得られた。
【００８０】
提案されている難読化方法および推定方法が双方のデータセット上で実行された。ユーザーに対して１０分割交差確認が使用され、これらの分割にわたった平均ＡＵＣおよびＲＭＳＥが計算された。全ての評価の概要が表１に示されている。この表は、既に詳細に説明した様々な難読化方法の下での複数の異なる推測方法によって得られるＡＵＣと共に、各難読化方法に対するＲＭＳＥを示している。
【００８１】
幾つかの観察結果は、２つのデータセットを通じて一貫している。まず、推測方法は、難読化方法によって異なる影響を受ける。選択スキームによって最も影響を受けているものは、ＬＲ、ＮＢ、およびＳＶＭであり、その一方で、本発明の標準的な難読化スキームによって最も影響を受けているものはＬＤＡである。しかしながら、選択スキームおよび標準的な難読化スキームの双方が使用されている場合、全ての方法のＡＵＣは、概ね０．５まで減少する。またさらに、ＲＭＳＥに対する難読化方法の影響は大きくなく、最大でも増加は１．５％である。これは、難読化スキームが性別を隠すことをできるものの、レーティング予測には殆ど影響がないことを示している。本発明の標準的な難読化スキームは、端数処理が導入された場合でも、概ね同じ成果を出すことができる。標準スキーム（ＳＳ）と比較して、ベースライン・スキームでは、ＡＵＣは同様の結果となるが、ＲＭＳＥはより高くなる。これは、積極的な難読化を行うと、ＡＵＣにおける顕著な改善を得ることなく、推薦精度が低下することを示している。
【００８２】
難読化がどのように推測精度に影響するかを例示するために、図１（ａ）および図１（ｂ）は、標準スキームおよび選択を用いた難読化を実施する前の、そして、難読化を実施した後の、ロジスティック回帰を通じて得られるＰＭａｌｅ／ＰＦｅｍａｌｅにおけるｌｏｇ（ＰＭａｌｅ／ＰＦｅｍａｌｅ）の分布をそれぞれ示している。難読化の前では、男性の分布と女性の分布とが明らかに分かれており、性別の推測を正しく行うことが可能である。しかしながら、難読化の後は、２つの分布を区別することができない。
【表１】
2016512628.tif 000183
表１：難読化結果    ＳＳは、標準スキームを表す。
【００８３】
プライバシーと精度との間のトレードオフは、確率αを用いた難読化スキームを適用することによって、且つ、確率１−αを用いた実際のレーティングを公表することによって分析することができる。図１（ｃ）は、３つの難読化スキームに対し、結果として得られるＲＭＳＥ−ＡＵＣトレードオフ曲線を示している。この図は、選択と組み合わせた標準スキームが最良のプライバシーと精度との間のトレードオフを提供し、同一のプライバシー（推測ＡＵＣ）に対して一貫してより良好な精度（より低いＲＭＳＥ）を得られることを示している。最終的に、表１に示されているように、端数処理は、結果に大きな影響を及ぼさず、これらの曲線は、ほぼ完全に重なる。
【００８４】
本研究において取り上げた問題は、当然に、ここで分析したリニア・モデルの範囲を超えて、より一般的な推測設定に拡張されるものである。特に、より一般的なパラメトリック問題の下でプライバシーと精度を確保するために公表が必要となる情報の量を定量化することは、依然として興味深い未決問題である。さらに、ここで焦点を当てたのは、プライバシーを保護する推薦システムについてである。ε＞０である差分プライバシーの使用を含み、プライバシーの制約を緩和するには幾つかの方法がある。
【００８５】
図２は、本発明のリコメンダ・システムのフローチャートである。リコメンダ・システムは、ユーザー部分とリコメンダ部分を含む。図２は、リコメンダ・システムの例示的な実施形態の全体的な動作のフローチャートである。リコメンダ・システムの目的は、ユーザーに精度の良い推薦を提供し、その一方でユーザーのプライベートな情報を保護することにある。本発明は、プライベートな情報（特性、特徴）として性別を使用して説明したが、他の特徴が年齢、支持政党などを含むことがある。すなわち、本発明は、ユーザーのプライベートな情報として性別のみを使用するものとして限定されるものではない。ステップ２０５において、リコメンダ・システムのデータ・プロトコル部分が実行される。ステップ２１０において、リコメンダ・システムの難読化プロトコル部分が実行される。ステップ２１５において、リコメンダ・システムの推定プロトコル部分が実行される
【００８６】
図３は、本発明のリコメンダ・システムのリコメンダ部分について詳細に説明した図である。具体的には、図３は、図２の要素２０５および要素２１５について詳細に説明するものを含む。ステップ３０５において、マッピングＬが行われる。すなわち、
2016512628.tif 000184
となる。各映画ｉについての、ユーザーに公表する情報が決定される。これは、勿論、情報をユーザーに公表する（伝送する、搬送する、転送する、送信する）ことを含む。映画情報は、映画プロファイルであってもよく、映画特徴ベクトルであってもよい。ステップ３１０において、リコメンダ・システムのリコメンダ部分は、難読化されたユーザー情報を受信する（受け入れる）。ステップ３１５において、定式
2016512628.tif 000185
のマッピングが行われる。すなわち、
2016512628.tif 000186
となる。リコメンダ・システムのリコメンダ部分は、ユーザーの非プライベートな特徴ベクトルを推定する。
【００８７】
図４は、本発明のリコメンダ・システムのユーザー部分について詳細に説明した図である。具体的には、図４は、図２の要素２１０を詳細に説明したものである。ステップ４０５において、リコメンダ・システムのユーザー部分は、リコメンダ・システムのリコメンダ部分（データ開示プロトコル部分）からの映画情報を受信する（受け入れる）。ステップ４１０において、リコメンダ・システムのユーザー部分は、フィードバック値を受け入れる（受信する）。ステップ４１５において、リコメンダ・システムのユーザー部分は、ユーザーのプライベートな情報（特性、特徴、値、データ）を受け入れる（受信する）。ステップ４２０において、リコメンダ・システムのユーザー部分は、難読化値を計算する。この計算は、各フィードバックからユーザーのプライベートな情報（特徴、特性、値、データ）の寄与を差し引くことによって行われる。ステップ４２５において、計算された難読化値がリコメンダ・システムのリコメンダ部分に送信される。
【００８８】
図５は、本発明のリコメンダ・システムのリコメンダ部分のブロック図である。本発明のリコメンダ・システムのリコメンダ部分は、メインフレーム・コンピュータまたはデスクトップ、ラップトップ、タブレット、ｉＰｏｄ、ｉＰｈｏｎｅ、ｉＰａｄ、デュアルモード・スマートフォン、或いは、他の有線または無線のコンピューティング・デバイス上で実施することができる。リコメンダ・システムのリコメンダ部分は、有線通信インタフェースおよび無線通信インタフェースの少なくとも一方を含み、両方のタイプの通信インタフェースを含むこともある。無線通信インタフェースは、適切なアンテナをさらに含む。通信インタフェースは、データ（情報、特徴、値）を受け入れ、データ（情報、特徴、値）を伝送（送信、転送）するように動作する。データ開示モジュールおよび推定モジュールは、別個のプロセッサまたは単一のプロセッサ上で実施することができる。データ開示モジュールおよび推定モジュールは、（単一のプロセッサ上で実施されている場合でなければ）互いに双方向通信し、通信インタフェースと双方向通信する。データ開示モジュールおよび推定モジュールは、さらに、記憶システムまたはメモリ・システムと双方向通信し、この記憶システムまたはメモリ・システムは、着脱可能な記憶システムおよび固定式の記憶システムを含むどのようなメモリであってもよい。データ開示モジュールは、映画に対し、何の情報をユーザーに公表するかを決定する手段を含む。通信インタフェース（有線または無線）は、上記情報を前記ユーザーに送信する手段と、ユーザーからの難読化された入力を受け入れる手段と、を含む。推定モジュールは、ユーザーの非プライベートな特徴ベクトルを推定する手段を含む。
【００８９】
図６は、本発明のリコメンダ・システムのユーザー部分のブロック図である。本発明のリコメンダ・システムのユーザー部分は、デスクトップ、ラップトップ、タブレット、ｉＰｏｄ、ｉＰｈｏｎｅ、ｉＰａｄ、デュアルモード・スマートフォン、或いは、他の有線または無線のコンピューティング・デバイス上で実施することができる。リコメンダ・システムのユーザー部分は、有線通信インタフェースおよび無線通信インタフェースの少なくとも一方を含み、両方のタイプの通信インタフェースを含むこともある。無線通信インタフェースは、適切なアンテナをさらに含む。通信インタフェースは、データ（情報、特徴、値）を受け入れ、データ（情報、特徴、値）を伝送（送信、転送）するように動作する。難読化モジュールは、１つ以上のプロセッサ上で実施することができる。難読化モジュールは、通信インタフェースと双方向通信する。難読化モジュールは、さらに、記憶システムまたはメモリ・システムと双方向通信し、この記憶システムまたはメモリ・システムは、着脱可能な記憶システムおよび固定式の記憶システムを含むどのようなメモリであってもよい。難読化モジュールは、難読化値を計算する手段を含む。通信インタフェース（有線または無線）は、ユーザーの映画フィードバックを受け入れる手段と、ユーザーのプライベートな情報を受け入れる手段と、難読化値を送信する手段と、を含む。
【００９０】
本発明は、ハードウェア、ソフトウェア、ファームウェア、特定用途向けプロセッサ、またはこれらを組み合わせた様々な形態で実施される場合があることが理解されよう。特定用途向けプロセッサは、特定用途向け集積回路（ＡＳＩＣ）、縮小命令セットコンピュータ（ＲＩＳＣ）、および／または、フィールド・プログラマブル・ゲート・アレイ（ＦＰＧＡ）を含むことがある。好ましくは、本発明は、ハードウェアとソフトウェアとを組み合わせて実施される。さらに、ソフトウェアは、好ましくは、プログラム記憶装置上に現実的に実装されるアプリケーション・プログラムとして実施される。アプリケーション・プログラムは、任意の適切なアーキテクチャからなるマシンにアップロードされ、このマシンによって実行されるようにしてもよい。好ましくは、このマシンは、１つ以上の中央処理装置（ＣＰＵ）、ランダム・アクセス・メモリ（ＲＡＭ）、入出力（Ｉ／Ｏ）インタフェースなどのハードウェアを有するコンピュータ・プラットフォーム上で実施される。また、コンピュータ・プラットフォームは、オペレーティング・システムおよびマイクロインストラクション・コードを含む。本明細書中で開示される様々な処理および機能は、マイクロインストラクション・コードの一部を構成するものでもよいし、オペレーション・システムを通じて実行されるアプリケーション・プログラムの一部を構成するものであってもよいし、これらを組み合わせたものであってもよい。さらに、追加的なデータ記憶装置や印刷機等、コンピュータ・プラットフォームに様々な他の周辺機器を結合するようにしてもよい。
【００９１】
さらに、添付図面に描かれたシステムの構成要素および方法ステップの幾つかは、好ましくは、ソフトウェアの形態によって実施されるため、システムの構成要素（または処理ステップ）間の実際の接続は、本発明がプログラムされる方法によって異なる場合があることが理解できよう。本明細書の開示する内容に基づいて、関連する技術における当業者であれば、これらの実施態様または構成、さらに、類似した実施態様または構成を企図できるであろう。
【図１（ａ）】
2016512628.tif 000187
【図１（ｂ）】
2016512628.tif 000188
【図１（ｃ）】
2016512628.tif 000189
【図２】
2016512628.tif 000190
【図３】
2016512628.tif 000191
【図４】
2016512628.tif 000192
【図５】
2016512628.tif 000193
【図６】
2016512628.tif 000194
【国際調査報告】
2016512628.tif 000195
2016512628.tif 000196