PWS Cup 2018: 匿名加工再識別コンテストの設計∼ 履歴データの一般化・再識別 ∼濱田 浩気1,2

荒井 ひろみ2 小栗 秀暢3 菊池 浩明4,2 黒政 敦史5 中川 裕志2 西山 賢志郎6
波多野 卓磨7 村上 隆夫8 山岡 裕司3 山田 明9 渡辺 知恵美10

概要：2017 年 5 月に改正個人情報保護法が施行され，データを「匿名加工情報」に加工することにより本人同意なしに第三者提供ができるようになった．しかしながら，匿名加工情報の標準的な加工手法や評価手法は定まっておらず，匿名加工情報の活用の活発化のために優れた加工手法や評価手法を明らかにすることが求められている．そこで我々は匿名加工したデータの安全性と有用性を競うコンテストを企画し，コンテストの実施を通して適切な評価手法の確立と高度な匿名加工技術の開発を図る．コンテストでは参加者は履歴データを加工し，再識別リスクに関する一定の条件を満たしながら元のデータにより近いデータを作成することを目指す．本稿では，このコンテストの基本定義について述べる．
キーワード：個人情報保護，匿名加工，匿名性

1. はじめに作成したガイドライン [1] 等に示された情報だけでは不十分である．

近年のデータ分析技術の進歩により，多くの企業でパー欧州連合 (EU) におけるデータ保護のアドバイザリー

ソナルデータを蓄積し，機械学習やデータマイニングなど機関である第 29 条作業部会は「匿名化技術に関する意見のデータ利活用を行っている．しかし，それらの利活用技

書 [2]」にて，匿名化アルゴリズムを選択する基準として以術は学習データが多量に必要であり，一つの機関のデータ下を定めている．

だけでは分析目的が達成できない場合がある．そこで，他( 1 ) 個人を識別すること (single out) は可能かの機関が保持するデータを使用し，データ分析の精度を向( 2 ) 個人に関する記録と紐付けることは可能か上させたいというニーズが高まっている．

( 3 ) 個人を推定することは可能か

2017 年 5 月 30 日に全面施行された改正個人情報保護法

これらの基準に合わせて匿名化技術を選定することが必要

によって，匿名加工情報という新たな情報の類型が定義さとされるが「それぞれの手法に長所と短所があるため，目れたことにより，一定の条件の下で，本人の同意がなくて的に即した適切な手法を選択すること」を求めている．

も第三者提供や目的外利用が可能となった．そこで，保持より良い匿名加工データを作成するには，個々のデータするデータを匿名加工して第三者に提供するという，新し加工技術者によって，有用性を維持する加工と，安全性指い情報流通方式が徐々に定着し始めている．

標の選択・検証作業が重要となる．しかし，匿名加工情報

しかしながら，データの特徴に応じて最適な匿名加工をの加工技術の公開は，既に流通している情報の安全性を損行う技術は，必ずしも自明ではない．匿名加工の手法や安ねる可能性があるため，安全に管理することが定められて全性指標は，数多く存在しており，個人情報保護委員会がおり，匿名加工の技術を高める機会は限られていることが1課題であった．

2345678910NTT セキュアプラットフォーム研究所
国立研究開発法人 理化学研究所
株式会社富士通研究所
明治大学
富士通クラウドテクノロジーズ株式会社
株式会社ジーニー
新日鉄住金ソリューションズ株式会社
国立研究開発法人 産業技術総合研究所
株式会社 KDDI 総合研究所
筑波大学

c 2018 Information Processing Society of Japan⃝

これらの課題により，個々の技術者，研究者による匿名加工技術の向上を促す機会と，特定の匿名加工情報に依存しない技術共有の場が求められていた．
このような状況において，情報処理学会コンピュータセキュリティ研究会 (CSEC) は，産学が共同してプライバシー保護技術の研究開発を活性化し，議論するため，2015

年にプライバシーワークショップ (PWS) を発足した．そには一定の基準を定めて，その基準を満たす範囲で，できの中でも匿名加工技術の発展のために，毎年行われているる限り元データに近い加工を行う方が自然である．のが，匿名加工・再識別コンテスト (PWS Cup)[3][4][5] である．
過去 3 回の PWS Cup では，毎回異なる有用性と安全性の指標を提案し，参加者間での技術の向上と知識の共有をそこで今回は，安全性に一定の基準を定め，その基準を満たした上で最も有用性の高いデータを作成することを目的とする．

1.1.3 安全性の評価方法の変更促してきた．第 4 回目となる PWS Cup 2018 では，加工昨年までのルールでは，匿名加工されたデータに対して，方法としての頻繁に利用されてきた「一般化」の手法に着他のプレイヤーが再識別攻撃を行い，その再識別された割目し，ルールの設計を行った．

合によって安全性を評価した．これは，安全性の定量的な本稿は，コンテストの概要，データセットの定義，有用測定方法として優れた手法であるが，その反面，ある個人性と安全性の基準などについて詳説することで，コンテスの識別されやすさには制限が無いことが課題であった．例

ト参加者の理解を深め，匿名加工技術に関する議論を活性えば，有用性を高めるために，最も購入数が多い個人を，化することを目的とする．

元データそのままで提出することが可能である．これにより安全性は 1 名分低くなるが，購入数が多いことから有用

1.1 本年度のコンテストの特徴
まず，本年度のルールについて検討する前に，昨年度までの課題と本年度の特徴についてまとめる，

1.1.1 一般化による加工過去に行われたコンテストでは，マスターデータ型，ト性は高くなるため，コンテストとしては有利に働くことがあった．これは求めるプライバシー保護基準としては不十分と判断した．
そこで今回は，全ての個人に対して，一定のしきい値以上に再識別されにくく加工されていることを，安全性の基ランザクション型 (履歴型)，トランザクション型の仮名制準とする．

御，というパーソナルデータの「型」に着目したルール設

1.1.4 攻撃者知識の設定計を行ってきた．

PWS Cup 開催の目的は，匿名加工技術の進展であり，しかし，その反面，データに含まれる値の加工方法につ最も強い攻撃者を想定した最大知識攻撃者モデル [6] は有

いては，摂動 (数値の変更，ノイズ付与，スワップ等の処益である．しかし，現実には部分的な知識のみを保持する理) が主に利用されており，広く利用されているデータの攻撃者 (部分知識攻撃者) も珍しくないと考えられ，部分知一般化 (抽象化，集合化，抑制等の処理) については，使用識攻撃者を想定した評価もできることが望ましい．

できる手法が制限されており，加工方法の効果を検証することができなかった．

そのため，昨年度のコンテストでは部分知識攻撃者モデルを想定してルールの設定を行った．しかしながら昨年度

一般化の処理を施した匿名加工データの有用性は，元のルールはすべてのコンテスト参加者がルールに従うことデータの分布に依存する部分が大きい．例えば，偏りの大を前提としており，参加者が悪意なく間違ってルールを逸きいロングテール型の性質を持つトランザクションデータ脱してしまった場合にもコンテスト運営を公正に行うことに一般化処理を施すと，情報の有用性が著しく低下する危が難しくなってしまうという問題があった．

険性があり，現実的には困難であると言われている．しかこの問題は依然解決できておらず，また，今回は匿名加し，常に元情報と矛盾しない情報を出力することから，分工データにどれだけの危険が含まれているかを安全に見積

析データに対する正確性が求められる分野において，広くもることを重視することとした．そのため，今回のコンテ活用されている．例えば災害や医療などの分野で匿名加工ストでは最大知識攻撃者モデルを採用する．

情報を利用する場合，摂動法を一部でも用いた場合，元情報の正確性が失われてしまい，利活用の目標が達成できない場合がある．

2. 準備
2.1 記法そこで PWS Cup 2018 では，元データの正確性が必要

行列 M の (i, j) 要素を M [i, j] で参照する．M の第 i 行

な分析分野を想定し，元データの値と匿名加工された値がベクトル，第 j 列ベクトルを，それぞれ M [i, ·]，M [·, j] で常に正しく対応するように，元データを必ず含む一般化の参照する．

加工に限定するようルールを定めた．これらの加工の制限については 5 節にて述べる．

1.1.2 安全性の基準の設定

集合 S の要素の数を |S| と表記する．

3. コンテストの概要

昨年までのルールでは，安全性の評価値と有用性の評価

本コンテストでは，表形式の購買履歴データを対象に，値は等価であり，その総和で総合評価を行ってきた．しか安全性の基準を満たしながら有用性の高いデータに加工すし，実際にデータ利活用する側の立場で考えると，安全性る技術を競う．

c 2018 Information Processing Society of Japan
⃝表 1

属性名

値域，数

表 2 本コンテストで使用する属性[7] での属性名 本稿での呼称 元のデータとの違い

レコード数397625

CustomerID

顧客 ID

顧客数4333

InvoiceDate

購入日

商品数3663

StockCode

商品 ID

2010/12/1 8:26

UnitPrice

単価– 2011/12/9/12:50

Quantity

数量

クレンジング後の Online Retail Data Set [7]

購入日時

表 3

3.1 加工対象のデータ

顧客 ID

本コンテストで扱うデータは，各行が 1 つの商品の購時刻を削除

トランザクション T の例
購入日
商品 ID
単価

数量14667

2011/11/1421745

3.75

2

入履歴を表す表形式のデータである．各行には，購入を

14974

2011/11/223392

2.081行った顧客ごとに固有の番号 (顧客 ID) と，購入内容が含17042

2011/4/6

22439

0.65

10

まれる．

15039

2011/5/9

21974

1.45

314911

2011/9/30

22818

0.42

12

3.2 加工後のデータに求められる性質
加工後のデータは，安全性の基準を満たし，有用性が高同じく Online Retail Data Set [7] を用いる．Online Retailいことが求められる．

Data Set は英国のオンラインショッピングサイトにおける3.2.1 安全性2010 年からの 1 年間の購買履歴であり，541909 行 8 列の本コンテストでは，加工後のデータに含まれるどの顧客データである．属性は InvoiceNo，StockCode，Description，(仮顧客と呼ぶ) についても攻撃者が元の加工対象のデータ

Quantity，InvoiceDate，UnitPrice，CustomerID，Country

上のどの顧客に対応しているかを正しく言い当てることからなり，昨年度 [5] と同様にデータをクレンジングし，(再識別と呼ぶ) が十分に難しいことを安全性の基準とし表 1 に示すような購買履歴データとした．さらに，表 2 にて要求する．攻撃者は，加工対象のデータを知っているが示す 5 属性を抜粋した．コンテストではこのデータセット(最大知識攻撃者)，加工に用いられたアルゴリズムは知らから必要な量をサンプリングして課題データとして使用ないものとする．

する．

3.2.2 有用性
本コンテストでは，加工後のデータと元のデータの遠さコンテストで課題データとして使用する上述の購買履歴データからサンプリングしたデータをトランザクション Tを表す評価関数を定め，その評価値が小さい (加工後のデーと呼ぶことにする．T は，m 行 5 列の行列タと元のデータが近い) ほど有用性が高いものとする．

T [1, 1]
..

T =
.
T [m, 1]

3.3 コンテストの流れコンテストは，審判 J と，複数のチーム P1 , P2 , . . . により行われる．コンテストは加工フェイズ，再識別フェイズ，...
..
.
...

T [1, 5]..
.
T [m, 5]である．T の各行は 1 種類の商品の購入履歴を，各列は評価フェイズの 3 つのフェイズにより構成され，順に実施

表 2 の順番に対応する 5 つの属性 (顧客 ID，購入日，商品される．

ID，単価，数量) をそれぞれ表す．T の例を表 3 に示す．

( 1 ) 加工フェイズ: 各チーム Pℓ は J から受け取った加工

T に含まれる顧客 ID の集合を C = {T [i, 1] | i ∈ [1, m]}

対象のデータを加工し，J に提出する．加工の際には，とする．T に含まれる顧客の人数を n = |C| とする．T の加工後のデータが安全性の基準を満たしながら元のj 列目 T [·, j] の取りうる値の集合を Dj とする．D1 は (9データに近い (有用性が高い) ことを目指す．

桁以下の自然数，のような) 可能な顧客 ID の集合，D2 は( 2 ) 再識別フェイズ: 各チーム Pℓ は他のチームが作成し(2010 年 1 月 1 日から 2011 年 12 月 31 日，のような)1 日た加工後のデータを J から受け取り，再識別を行う．

を単位とした年月日の (離散値の) 閉区間，D3 は (大文字

再識別により得た仮顧客と顧客の対応の推定結果を J

英字と数字の 1 文字以上の文字列，のような) 可能な商品に提出する．

ID の集合，D4 は (0.01 以上 99999.99 以下，のような)0.01( 3 ) 評価フェイズ: J は各チームから受け取った加工後のを単位とした実数の (離散値の) 閉区間，D5 は (6 桁以下のデータと推定結果から各加工後のデータの安全性と有自然数，のような)1 を単位とした自然数の (離散値の) 閉用性を評価する．

区間とする．

4. データセット
本コンテストでは，加工対象のデータとして，昨年度 [5] とc 2018 Information Processing Society of Japan⃝

5. 加工
加工フェイズでは，各 Pℓ は T を匿名加工したデータである公開加工トランザクション A′ℓ と，A′ℓ を作成する際のい．一般化は要素ごとに独立に行ってよい (いわゆる local

中間データである加工トランザクション Aℓ を作成する．

recoding でよい)．一般化として認められる加工は，以下Aℓ は T と同じ行数，列数 (m 行 5 列) の行列
Aℓ [1, 1] . . . Aℓ [1, 5]


..
..
..

Aℓ = .
.
.
Aℓ [m, 1] . . . Aℓ [m, 5]であり，T の各要素 (または行) に維持，削除，顧客 ID ので規定するように，属性値の尺度水準により異なる．

5.4.1 名義尺度 (商品 ID) の一般化
商品 ID のように，属性値が名義尺度 (カテゴリ値) であるときは，その属性値の取り得る値の集合を Dj として，元の値を含む，Dj の部分集合への一般化をしてもよい．例
えば，a, b, e, g ∈ Dj とするとき，変更，一般化のいずれかの加工を行って作成される．

a → {a, b, e, g} ,A′ℓ は Aℓ から削除された行を除去し，残った行を辞書順

a → {a}で整列することで得られる mℓ 行 5 列の行列で，

A′ℓ [1, 1]..
A′ℓ = .
A′ℓ [mℓ , 1]

...
..
.
...

A′ℓ [1, 5]..
.
A′ℓ [mℓ , 5]のような一般化が認められる．一方，c ̸∈ Dj であるとき，である．

Aℓ は A′ℓ の有用性および安全性を評価するために用いられる．Aℓ や A′ℓ に含まれる顧客 ID を特に仮名と呼び，A′ℓに含まれる仮名の集合をCℓ = {A′ℓ [i, 1] | i ∈ [1, mℓ ]}とする．

a → {b, e, g}(a ̸∈ {b, e, g} である*),a → {a, c}({a, c} ̸⊂ Dj である*)のような一般化は禁止される．

5.4.2 順序尺度の一般化
属性値が順序尺度 (値の差には意味がないが，大小には意味がある) である属性は T には含まれないため，順序尺度の一般化は定義しない．

5.4.3 間隔尺度 (購入日)，比例尺度 (単価，数量) の一般化
属性値が購入日のように間隔尺度 (値の差には意味があ5.1 維持T の要素の値を加工せずに対応する Aℓ の要素の値としてもよい．

るが比には意味がない) であるとき，または，単価や数量のように比例尺度 (値の比にも意味がある) であるときは，元の値を含む単一の閉区間への一般化をしてもよい．ただし，その属性値の取り得る値の集合を Dj とするとき，一5.2 削除
T に対する加工では行単位の削除と顧客 ID 以外の要素単位の削除を行ってもよい．行単位の削除の場合，その行般化後の閉区間は Dj の部分集合でなくてはならない．すなわち，購入日，単価，数量はそれぞれ D2 ，D4 ，D5 上での (離散値の) 閉区間への一般化が認められる．例えば，のすべての要素の値を，削除されたことを示す値 DEL に

3 → [3, 10],書き換える．要素単位の削除の場合，その要素の値を DEL

3 → [1, 10],に書き換える．特定の顧客に関する行をすべて削除しても構わない．

2.3 → [1.2, 5.6],
2011/9/6 → [2011/8/3, 2011/9/6],

5.3 顧客 ID の変更
顧客 ID (T の 1 列目) は D1 に含まれる任意の値 (仮2011/9/6 → [2011/9/1, 2011/9/30]名) へ変更してもよい．ただし，同一の顧客 ID は行単位の削除により削除される場合を除いてすべて同一の仮名に変更しなくてはならない (∀i∀i′ , T [i, 1] = T [i′ , 1] ⇒Aℓ [i, 1] = DEL ∨ Aℓ [i′ , 1] = DEL ∨ Aℓ [i, 1] = Aℓ [i′ , 1])．また，異なる顧客 ID を同一の仮名に変更することは禁止すのような一般化が認められる．例えば，購入日での2011/9/6 → 2011/9(2011/9 は閉区間はでない*)

数量でのる (∀i∀i′ , T [i, 1] ̸= T [i′ , 1] ⇒ Aℓ [i, 1] = DEL ∨ Aℓ [i′ , 1] =DEL ∨ Aℓ [i, 1] ̸= Aℓ [i′ , 1])．
5.4 一般化
顧客 ID 以外の属性の各要素は，一般化を行ってもよc 2018 Information Processing Society of Japan⃝

3 → [1.5, 10]
3 → [1, 10], [13, 18](1.5 ̸∈ D5 である*)(単一の閉区間ではない*)のような一般化は禁止される．

ため，x ∈ Dj と DEL の誤差は属性によらず一定の値とし，6. 再識別
再識別フェイズでは，各 Pℓ は各 A′ℓ′ (ℓ′ ̸= ℓ) に対して，Err(x, DEL) := 1A′ℓ′ に含まれる仮顧客の一部を選択して再識別を行う．再識別の結果，A′ℓ′ に含まれる仮名と T に含まれる顧客 IDの対応を推測した推定写像 fℓ′′ ,ℓ : Cℓ′ ′ ,ℓ → C が作成される．
ここで，Cℓ′ ′ ,ℓ ⊂ Cℓ′ は A′ℓ′ に含まれる仮名の集合 Cℓ′ の一部であり，再識別を行う Pℓ が自由に選択する．
昨年度までのコンテストとは異なり，すべての仮顧客に対して再識別を行う必要はない．また，fℓ′′ ,ℓ は単射でなくてよい．すなわち，複数の仮顧客に対して同一の顧客を推定してもよい．とする．

7.3 x ∈ Dj と Y ⊂ Dj の誤差
2 つの値のうち一方が一般化されているときの誤差を定義する．確率変数 Y ′ の分布を Y 上の一様分布として，x ∈ Dj と Y ⊂ Dj の誤差を Err(x, Y ′ ) の期待値と定義する．すなわち，

7. 有用性評価
公開加工トランザクション A′ℓ の有用性評価値 U (A′ℓ ) は小Err(x, Y ) := E[Err(x, Y ′ )].

さいほどよい (有用性が高い) 値であり，T と Aℓ の対応する要素ごと (第 1 列の要素を除く) の誤差 Err(T [i, j], Aℓ [i, j])の平均値として定義される．すなわち，∑U (A′ℓ ) :=i∈[1,m],j∈[2,5] Err(T [i, j], Aℓ [i, j])

7.3.1 Y が集合の場合の計算例
j = 3，すなわち属性が商品 ID の場合が該当する．

4m{である．なお，削除された行は，その行のすべてのセルがPr(Y ′ = y) =削除されたものとして扱う．

7.1 x ∈ Dj と y ∈ Dj の誤差7.1.1 T [·, j] が名義尺度のとき
T [·, j] が名義尺度のとき，x ∈ Dj と y ∈ Dj の誤差を以Err(x, y) :=0if x = y,1otherwise.

7.1.2 T [·, j] が順序尺度のとき
本コンテストでは順序尺度は扱わないため，定義しない．

7.1.3 T [·, j] が間隔尺度のとき
T [·, j] が間隔尺度のとき，Dj から任意の値 d を選び，Djの各値 x ∈ Dj を x − d で置き換え，T [·, j] を比例尺度とみなして Err(x, y) を計算する．

0otherwise

すると，Err(x, Y ) =∑Err(x, y) Pr(Y ′ = y)

y∈Y

=1 ∑
Err(x, y)|Y |y∈Y|Y | − 1|Y |
1= 1−.
|Y |=7.3.2 Y が要素間の間隔が一定の閉区間の場合の計算例

7.1.4 T [·, j] が比例尺度のとき
T [·, j] が比例尺度のとき，T [·, j] の標準偏差を σj として，x ∈ Dj と y ∈ Dj の誤差を以下のように定義する．

Err(x, y) :=if y ∈ Y,であるので，加工のルールにより x ∈ Y であることに注意

下のように定義する．

{

1|Y |

|x − y|.
σjj = 2, 4, 5，すなわち属性が購入日，単価，数量の場合が該当する．

Y = [a, b]，Y の k 番目に小さい要

素を yk ，δ = y2 − y1 とすると，a = y1 , b = y|Y | で，

yk = a + (k − 1)δ = b − (n − k)δ が成り立つ．

{

これは標準偏差で割ることによる標準化 [6] を行った値同士の絶対誤差と等しい．

′Pr(Y = y) =1|Y |if y ∈ Y,0otherwise7.2 x ∈ Dj と DEL の誤差
2 つの値のうち一方が削除されているときの誤差を定義する．7.1.4 節のように属性ごとに標準化を行なっている

c 2018 Information Processing Society of Japan⃝であるので，加工のルールにより x ∈ Y であることに注意
すると，x = yl として，

Err(x, Y ) =∑Err(x, y) Pr(Y ′ = y)

れ，審判 J と参加者 P1 , P2 , . . . により実行される．ただし，運用の効率化のために一部のデータの形式や作成者が

y∈Y|Y |

1 ∑=Err(x, yi )|Y |設計と異なって実装されている．本節では設計と実装の差異を指摘しながらコンテストの実装を説明する．

i=1|Y |

1 ∑ |x − yi |=|Y |σj

9.1 加工フェイズ
加工フェイズの実装は，5 節で述べた設計から変更され

i=1=1|Y |σj|Y |l∑∑(|x − yi | +|x − yi |)i=12i=l2ている．5 節では Pℓ が Aℓ と A′ℓ を作成するとしたが，実装では Pℓ は Aℓ のみを作成し，A′ℓ は Aℓ を受け取った後δ((l − 1) + (|Y | − l) + (|Y | − 1))
2|Y |σjに J が作成することとした．これにより，設計通りならば==(x − a)2 + (b − x)2 + (|Y | − 1)δ 2
2|Y |σj δ

更により Pℓ から J に A′ℓ を送る必要がなくなった．A′ℓ は(a − x)2 + (b − x)2 + (b − a)δ
=.
2(b − a + δ)σj

Pℓ から J には A′ℓ と Aℓ の両方を送る必要があったが，変Aℓ から決定的に計算可能であるので，この変更によりコンテストの結果が変わることはない．
加工フェイズの実装は以下の通りである．

( 1 ) J は T を公開する

8. 安全性評価
公 開 加 工 ト ラ ン ザ ク シ ョ ン A′ℓ の 安 全 性 評 価 値

S(A′ℓ ) は 小 さ い ほ ど よ い (安 全 性 が 高 い) 値 で あ り ，A′ℓ に 対 す る 推 定 写 像 の 集 合 を 推 定 写 像 集 合 Fℓ′ :=}{ ′fℓ,ℓ′ | (Pℓ′ が A′ℓ に対する再識別を実施) として，T ，Aℓ ，Fℓ′ により以下のように計算される．

{S(A′ℓ ) :=1′′′′if ∃fℓ,ℓ′ ∈ Fℓ , r(nℓ,ℓ′ ) ≤ Suc(fℓ , fℓ,ℓ′ ),0otherwise.

ここで，r : [0, n] → [0, n + 1] は J があらかじめ定める関数であり，再識別を試みられた人数 n′ ∈ [0, n] に対し，安( 2 ) 各 Pℓ は公開された T を加工して Aℓ を作成し，J に提出する( 3 ) J は A1 , A2 . . . からそれぞれ A′1 , A′2 , . . . を作成する
9.2 再識別フェイズ
再識別フェイズの実装では，各チーム Pℓ の提出する推′定写像 fℓ,ℓ′ の提出方法を明確化する．

Pℓ は A′ℓ′ に対する再識別結果である推定写像 fℓ′′ ,ℓ を Jに提出する際に，fℓ′′ ,ℓ の代わりに fℓ′′ ,ℓ を表す nℓ′ ,ℓ = |Cℓ′ ′ ,ℓ |行 2 列の行列である推定対応表 Fℓ′′ ,ℓ を提出する．Fℓ′′ ,ℓ は

1 列目に仮名，2 列目に顧客 ID を含み，Cℓ′ ′ ,ℓ に含まれる仮名を c1 , . . . , cnℓ′ ,ℓ として，

全性の基準を満たしていないと判断する再識別成功人数の′′′下限 r(n ) を与える．Suc(fℓ , fℓ,ℓ′ ) は fℓ,ℓ′ による再識別の
Fℓ′′ ,ℓ = 

成功数を表し，{}′′Suc(fℓ , fℓ,ℓq | fℓ,ℓ|′ ) := |′ (q) = fℓ (q)により定義される．また，fℓ : Cℓ → C は A′ℓ に含まれる仮名と T に含まれる顧客 ID の対応を表す写像であり，∀i ∈ [1, m], Aℓ [i, 1] = DEL ∨ T [i, 1] = fℓ (Aℓ [i, 1])c1..
.

fℓ′′ ,ℓ (c1 )..
.

cnℓ′ ,ℓfℓ′′ ,ℓ (cnℓ′ ,ℓ )である．
再識別フェイズの実装は以下の通りである．

( 1 ) J は各 A′1 , A′2 , . . . を公開する′( 2 ) 各 Pℓ は公開された A′ℓ′ に再識別を行い，fℓ,ℓ′ を作る′′( 3 ) 各 Pℓ は fℓ,ℓ′ から Fℓ,ℓ′ を作成し，J に提出するを満たす．fℓ を正解写像と呼ぶ．n′ℓ,ℓ′ は再識別を実施した
人数であり，n′ℓ,ℓ′ = |Cℓ′ ′ ,ℓ | である．

9.3 評価フェイズ′′S(A′ℓ ) は少なくとも一つの fℓ,ℓr(n′ℓ,ℓ′ ) ≤′ ∈ Fℓ について，′Suc(fℓ , fℓ,ℓ′ ) であった場合に 1，それ以外の場合に 0 とな′る．S(Aℓ ) = 1 であった場合，A′ℓ は安全性の基準を満たし( 1 ) J は各 A′ℓ に対し，T と Aℓ から U (A′ℓ ) を計算し，公ていないと判断される．

( 2 ) J は各 A′ℓ に対し，T ，Aℓ ，Fℓ′ から S(A′ℓ ) を計算し，9. コンテストの実装
本年のコンテストの実装について述べる．コンテストは3 節から 8 節までで述べた設計の通り加工フェイズ，再識別フェイズ，評価フェイズの 3 つのフェイズにより構成さ

c 2018 Information Processing Society of Japan⃝

評価フェイズの実装は，以下の通り設計通りである．
開する
公開する

10. まとめ
本稿では，購買履歴データを用いた匿名加工再識別コン
テストの基本ルールと安全性，有用性の提案を行った．

参考文献
[1]
[2]

[3]

[4]

[5]

[6]

[7]

個人情報保護委員会：個人情報の保護に関する法律についてのガイドライン (匿名加工情報編) (2016).
Emam, K. and Alvarez, C.: A critical appraisal of the article 29 working party opinion 05/2014 on data anonymisation techniques, Int Data Priv Law, Vol. 5, pp. 73–87(2015).
菊池浩明，山口高康，濱田浩気，山岡裕司，小栗秀暢，佐久間淳：匿名加工・再識別コンテスト Ice & Fire の設計，Vol. 2015, No. 3, pp. 363–370 (2015).
菊池浩明，小栗秀暢，野島 良，濱田浩気，村上隆夫，山岡裕司，山口高康，渡辺知恵美：PWSCUP: 履歴データを安全に匿名加工せよ， Vol. 2016, No. 2, pp. 271–278 (2016).
菊池浩明，小栗秀暢，中川裕志，野島 良，波多野卓磨，濱田浩気，村上隆夫，門田将徳，山岡裕司，山田 明，渡辺知恵美：PWSCUP2017: 長期間の履歴データの再識別リスクを競う， Vol. 2017, No. 2 (2017).
Domingo-Ferrer, J. and Torra, V.: Ordinal, continuousand heterogeneous k-anonymity through microaggregation, Data Mining and Knowledge Discovery, Vol. 11,
No. 2, pp. 195–212 (2005).
UCI
MachineLearning
Repository:
OnlineRetailDataSet,,availablefrom⟨https://archive.ics.uci.edu/ml/datasets/Online+Retail⟩(accessed 15 Aug 2018).

c 2018 Information Processing Society of Japan⃝