年月日

伸明

金沢大・経

星野

情報保護の統計モデル

情報保護の統計モデル

例として匿名性管理の問題を示す。

法に明示される社会的要請を、技術的な問題へ直接に「翻訳」して解けばよかろう。

機械学習の結果が解釈可能でないと使われにくいのと同じ。

研究成果と社会的要請との関係が必ずしも明らかでない。

しかし情報保護研究の成果は十分活用されていないように見える。

（ビッグ）データを社会で利用する際の問題の一つ：情報保護

概要

情報保護の統計モデル

ということ：万円以上と分かる。

情報保護の技術的研究はこれら暴露概念の詳細な定義から。

例） 職業＝首相 国籍＝日本 病状＝「識別暴露」：レコード情報の主が判明して分かる状態。

例）ある建物居住者は全員年収「推測暴露」：レコード情報の主が分からなくても分かる状態。

特定個体の秘密をデータが暴露する

秘密の自己情報は知られないようにコントロールしたい。

プライバシー概念：自己情報をコントロールする権利として理解する立場が有力。

情報保護はプライバシーを守るための手段である。

情報保護とは情報保護の統計モデル

多様性：個体属性所与で秘密変数の観測値が 通り以上あること。

例）差分プライバシー：秘密変数の尤度関数が平らということ（次頁）。

例） 近接性：個体属性所与で秘密変数の条件付き分布が、非条件付き分布と近いこと（＝郡内分散が落ちない）。

例）

推測暴露でない（分散が大きい）状態の技術的概念：

基本的には、個体属性所与で秘密変数の条件付き分布の分散が小さければ「暴露」と考える。

識別暴露よりも技術的に定義しやすい。

推測暴露について

情報保護の統計モデル

から、機構は「 差分プライバシー」を保証すると言う。

要素がフィールドなら、その変数の値が分からない。

要素がレコードなら、ある個体が公開データに入っているか分からない。

式
では母数の尤度比。これが全域でに近ければ尤度関数は平らになり、母数推定の精度は出ない。

ならについてにより（ランダムノイズを乗せて）保護したデータ一要素（レコードやフィールド）だけ違う元データを生成する。

差分プライバシー（流行中）

情報保護の統計モデル

を緩和すると保護はピンぼけ。

秘密変数の統計的利用を許すようなが必要。

データの分析価値が残るような情報保護概念を工夫しないと、技術的研究成果が社会で活用されない。

保護強度の問題ではなく、秘密変数への態度が問題。

技術的な情報保護概念が社会的要請とずれているのでは。

社会的にプライバシーが優先だが。

データ分析（秘密変数に興味）も社会的要請。

保護強度データの分析価値を著しく損なう。

推測暴露研究の問題 私見

情報保護の統計モデル

識別暴露抑止の方が社会的要請に近い。

例）個人情報の定義：「生存する個人に関する情報であって、当該情報に含まれる氏名、生年月日その他の記述等により特定の個人を識別することができるもの（他の情報と容易に照合することができ、それにより特定の個人を識別することができることとなるものを含む。）」

法的には、個体識別を避けたい。

法の文言は曖昧だが、更に曖昧な（プライバシー保護）概念を限定したもの。

法は最低限の社会的要請を明示。

社会的要請に適合する（情報保護）概念を構成するには、法の参照から始めてはどうか。

曖昧な社会的要請の具体化

情報保護の統計モデル

「非公開群」を 母集団

公開標本 と考える。

公開個体群と既知の個体群が同じとは限らない時、一意に一致、かつ非公開群に同属性の個体が存在しない なら個体識別と言える。

公開個体群と既知の個体群が同じ時、一意に一致なら個体識別と言える。

公開情報と既知の「攻撃用（個体）情報」を照合して、一意に一致したレコードは同じ個体かもしれない。

「照合」は個体識別の近道として知られている。

「個体が識別できる」のおおよその意味：あるレコードが特定個体の情報と分かること。

個体識別とは？

情報保護の統計モデル

さん 男才才さん 女才さん 男

攻撃用情報さん 男才さん 男

公開標本： 男

母集団：

才

才

さん 女

才

才

才さんだけなら非公開群はさん 男

例３）もし母集団が攻撃用情報

才さん 男

公開標本： 男

母集団：で識別可能。

さん 男

例２）非公開群に同属性の個体が存在しないので識別可能：

攻撃用情報

才さん 男

公開標本： 男

母集団：

例１）非公開群に同属性の個体が存在するので識別不可能：才

才

情報保護の統計モデル

では、性別と年齢がキー変数。

秘密変数はいじる必要がないのでデータの分析価値を保ちやすい。

危険なレコードを減らすには、キー変数を操作する。

従って、所与のキー変数について「標本一意」かつ「母集団一意」のレコードが個体識別の危険性が高いと考えられている。

例

照合に使う既知の変数を「キー変数」または「擬似識別子」と呼ぶ。

個体識別と言える条件を書き直すと「攻撃用情報と照合して一意に一致する標本の個体が母集団でも一意」。

情報保護の統計モデル

才

才

才さん 男

攻撃用情報さん 男

公開標本：

母集団：

才さん 男

才

才

才

は、標本一意かつ母集団三意さん 女さん 男

は、標本一意かつ母集団二意さん 女

例５）性別の「削除」によりますます識別不可能：

攻撃用情報

才さん 男さん 男

公開標本： 男

母集団：

例４）年齢の「再符号化」＝「一般化」により識別不可能：才

才

情報保護の統計モデル

匿名基準は過保護と思われる。

母集団で属性ベクトルとなる属性が母集団一意。

をインデクスとする確率変数が非負整数上の分布に従う。

サンプリングの不確実性を扱うには統計モデルが便利。

母集団一意数は通常は未知なので推定する。

一意を全て消す

標本中の母集団一意数を受容限界以下に管理したい。

識別暴露の管理

情報保護の統計モデル

同士に包含関係があると母集団一意は識別の条件にならない。

その場合、分割表の統計モデルが適切。

例）官庁統計では全レコードに同一基準の「大域的」再符号化を施すのが基本。この場合、高次元の「クロス集計表」と公開データセットは同値となる。

通常は属性空間を分割した「セル」に個体が分布するような匿名化をする。

例）公開レコード：才 男
才 男 、母集団でとする。しかし第二レコードは識別不可能。

公開レコードの属性属性空間の分割

情報保護の統計モデル

個票データ例と は一対一対応

分割表

大域的再符号化のみ使われる場合、個票データセットと分割表は一対一対応。

個票データの分割表表現

情報保護の統計モデル

以下ではを固定ししかし母集団サイズずしも適切でない。

が高いの極限をとる枠組みを説明。

所与で度数１のセル数に興味があるので、普通の漸近論は必は総セル数。に持ち込むのが普通。

例）現代的な漸近論：
例）古典的な漸近論：
ただし各キー変数のカテゴリー数が なら疎な分割表の統計モデルは漸近論

次元の呪いが強いので、「疎な分割表」をモデル化したい。

例）ライフログや軌跡などは各記録時点それぞれキー変数。

ビッグデータの匿名化ならではの特性：キー変数が多い＝分割表の次元

ビッグデータの匿名性

情報保護の統計モデル

総個体数を予測するよりの予測の方が楽なはず。

：「寸法指標」、「頻度の頻度」（スパース回帰で）一意数は個体数 のセル数

第 セルの個体数

セル総数（非確率変数）

分割表についての記法

情報保護の統計モデル

とすればモデルが発散するので、このときの条件付き分布とその極限を用いる。

は正の整数上の分布を与える。

以下の正準条件を課す：を固定するには極限で度数が のセル数は無限大なので、度数が 以上のセルの挙動、すなわち極限分布を用いる。ののポアソが固定されるように基準化。

二項分布の期待値を固定してとした極限は平均）となる。これを「小数法則」と呼ぶ。
ン分布（

単純に疎な分割表上の小数法則

情報保護の統計モデル

非負整数上の分布に従う確率変数

式

かつは互いに独立とする。

は、度数が正となる確率が「一様にほとんど無視できる」ということ。と以下の条件は同値である：

この時

命題

情報保護の統計モデル

とはならは互いに独立とすは以下の確率母関数で定義される「複合ポアソン分布」：

非負整数上の分布に従う確率変数はポアソン分布。の確率母関数。

は同値である。ただし

命題
る。この時

情報保護の統計モデル

拡張負の二項分布
ボレル分布

ラグランジュアン・ポアソン分布

対数級数分布ポアソン・パスカル分布

一般化逆ガウス＝ポアソン分布

対数正規＝ポアソン分布

負の二項分布

複合ポアソン分布の例

情報保護の統計モデル

上の分布を自然数の「確率分割」と呼ぶ。のそして基準化定数

確率関数を持つ分布を「母数布」と呼ぶ。

ただしある。

命題
所与での条件付き分布は、条件より以下の分布に収束する。とに分は「全ベル多項式」でを満たす極限操作

情報保護の統計モデル

対数級数分布 の分布
分布は分布：のではの場合のみ分布。

が負の二項分布なら、は負の超幾何分布に従う。この分布は多項分布のセル確率がディリクレ分布に従うサンプリングと同じ（ノンパラベイズの典型）。そのの極限分布が分布。

母数例）

情報保護の統計モデル

の分布はならとして所与で指数族。そして母数の十分統計量はをで条件付けしている。の周辺分布や期待値は次頁以下のように評価できる。

分布はである。の推定の挙動は良好。

母集団サイズを母数

未知母数分布による母集団一意数評価

情報保護の統計モデル

が母数

そして

命題を満たす全てのただしの分布に従うとする。このときについて同時階乗モメント

情報保護の統計モデル

周辺の確率関数を周辺階乗モメントで定める。

階乗モメントの逆転公式

情報保護の統計モデル

命題が母数の分布の周辺分布分布に従うとする。このときモメント逆転による情報保護の統計モデル

分布の階乗モメントは例）が与えている。結果として

分布

情報保護の統計モデル

問題を 割理解した時点で定式技術を社会的に利用するには人を説得しなければならない。

翻訳結果の技術は意味を説明でき、人を説得しやすい。

格言「定式化した時点で問題は 割解けている」
化できた（後知恵）。

数学的にハードな問題は解いていない。

社会的要請を割合うまく翻訳、定式化していると思われる例を紹介した。

情報保護の統計モデル