Vol.2015-DBS-162 No.22
2015/11/26

情報処理学会研究報告
IPSJ SIG Technical Report

ソーシャルメディアにおける非構造化テキストデータのk-匿名化によるプライバシー保護
前田 若菜1,a)鈴木 優1

吉野 幸一郎1

Graham Neubig1

中村 哲1

概要：ソーシャルメディアなどに存在する大量のテキストデータは，新たな価値を創出するビッグデータの一つとして注目されている．しかし，プライバシー保護のために，利用に際して個人情報に相当する文
字列を匿名化する必要がある．従来手法では，秘匿属性の設定や固有名詞抽出などを行う必要があった．
しかし，属性設定漏れによる匿名化漏れや固有名詞以外の文字列から匿名化済み文字列を特定できるおそれがある．さらに，話し言葉のようなくだけた文には対応できない．文の差異に基づく手法では，有効範
囲が定型句で構成されたテキストに限定される．そこで本研究では，文字 n-gram フレーズの出現回数に基づいた k-匿名化を提案した．これは，事前の秘匿属性設定が不要，匿名化文字列を固有名詞に限定しないことで文脈からの特定を防止可能，定型句を含まないような多様なテキストに有効，構文解析や単語分析が不要なため話し言葉や未知語にも対応可能という利点がある．実験結果より，k の値の変化と匿名化された文字数の割合が n の値によって異なることを明らかにした．さらに，適切な匿名化状態を定義し，文字特定率から特定不可能性を，人手評価で理解可能性を測った．

1. はじめに果の公開は，予期せぬ個人情報流出をまねくおそれがある．
例えば，コールセンターのテキスト化データや自由記述のソーシャルメディアとは，個人が自由に情報を送受信でアンケートなど個人情報を含んだこれらのデータは契約のきるメディアである．従来の一方的な送受信とは異なり，範囲内での利用に限定されている．しかし，データの公開

双方向のコミュニケーションに開かれている特徴がある．

範囲が広がれば，多くの分析・解析が行われ，新たな価値

そのため，人々がコミュニティや社会を構築するメディ創出につながる．これを可能にするためには，匿名化の処アとして機能している．代表的なものとして，SNS(Social

理が必要である．一方，SNS に投稿されたメッセージは，

Networking Service) がある．これは，インターネットを投稿者による自発的な公開情報である．そのため，SNS の介して情報交換を行い，ソーシャルネットワークを構築すメッセージに対して，プライバシーの保護は期待されておるサービスである．例えば，Facebook や Twitter，ブログ

らず，自由にデータを利用し公開してよいと考えられていなどがある．これらの普及に伴い，テキストデータは高いる．しかし，SNS は積極的な情報公開と共有を目的とした頻度で作成されている．さらに，コールセンターの顧客とサービスであり，投稿者の多くは特定の聴衆を念頭においのやりとり音声のテキスト化や市場調査における自由記述て投稿している．そのため，自発的な公開情報であっても，文の電子化などがなされ，多種多様なテキストが蓄積されプライバシー領域に属する場合がある（社会ネットワークている．これらのデータから有益な情報を取り出すことがにおける情報の伝播可能性 [6]）．これらの問題を解決する期待されている．しかし，個人情報およびプライバシー保ためには，匿名化処理が必要である．

護の観点で問題がある．ここでは個人情報を個人に関する

ところが，匿名化研究の主流は構造化データを対象としデータとする．プライバシーは私生活情報，非公知情報，たものである．テキストデータは構造定義がなされておら個人が公知を望まない情報とする．個人を特定・識別できず，情報や属性，並びにその単位は自明ではない．そのたるに関わらず，プライバシーは保護を期待される領域であめ従来は，あらかじめ抽出したい固有名詞の属性を設定し，る．蓄積されたテキストデータ中には，大量の個人情報がテキスト中の固有名詞を除去 [1] あるいは一般化 [2]，[3] す含まれている．そのため，収集データの公開やその解析結る手法がとられていた．しかし，属性設定に不備があれば

1a)

奈良先端科学技術大学院大学
Nara Institute of Science and Technology
maeda.wakana.mo7@is.naist.jpⓒ 2015 Information Processing Society of Japan

個人情報流出防止効果が低下する．また，匿名化する文字
列を固有名詞に限定することによって，それ以外の文字列

1Vol.2015-DBS-162 No.22
2015/11/26

情報処理学会研究報告
IPSJ SIG Technical Reportから匿名化された文字列を復元できる可能性がある．さらや地名などを曖昧化する汎化 (一般化)[2]，[3] などの手法に，これらは構文解析や単語分析を必要とするため，話しを提案している．しかし，問題点として次の二つがある．

言葉のようなくだけた文や未知語には対応できない．これ

一つは，あらかじめ消したい単語のカテゴリ，属性を設定

らの問題を解決する手法として，文の差異に基づく匿名化する必要がある．Chakaravarth ら [1] は，カルテのテキス手法がある [5]．しかし，この手法の有効範囲は定型句を多トデータを対象とし，システム設計の段階で秘匿属性を定く含むようなテキストに限定される．

義している．Nguyen ら [3] や，Kataoka ら [2] の SNS のテ

そこで，本研究では，文字 n-gram の出現回数に基づいた

キストメッセージを対象とした手法は，プロフィールに設

匿名化手法を提案する．すべての文字 n-gram が秘匿情報定した属性に基づいて匿名化している．つまり，秘匿情報である可能性があると仮定し，出現回数の低い文字 n-gramとしたい属性を利用者が手動で設定できる．しかし，何をを秘匿情報と仮定する．そして，同じ文字 n-gram フレー

秘匿情報とすべきかを決定するのは難しい．なぜなら，秘ズが k 回以上出現する状態になるように部分文字列を代匿としたい属性を網羅的に把握するのは困難であるからで替文字に置換する．この手法は，従来法と比較して次の四ある．事前設定に不備があれば，匿名化漏れが発生するたつの利点がある．はじめに，事前の秘匿属性設定が不要なめ，個人情報流出の防止の効果は低下する．もう一つの問ため，属性設定漏れによる匿名化漏れを生じない．次に，題として，除去や一般化した固有名詞・固有表現以外の文

文字 n-gram フレーズに基づいて匿名化するため，固有名

中の表現から匿名化された文字列を特定できる可能性があ

詞以外の文字列からの特定を防止できる．三つ目に，文字る．例えば，「滋賀県を観光．日本最大の湖を見た．
」といn-gram フレーズの出現回数に基づいて匿名化しているのう文について考える．秘匿情報として属性・地名を匿名化

で，定型句を含まないような多種多様なテキストに有効でするならば，固有名詞「滋賀県」は除去される．あるいは，ある．最後に，文字 n-gram フレーズに基づいて匿名化す「関西」や「西日本」など，より上位の単語・概念に一般化るため，構文解析や単語分析が困難な文である話し言葉やされる．しかし，知識があれば，あるいは，検索や調査を未知語を含む文を匿名化対象とすることができる．

行えば，「日本最大の湖」は「滋賀県にある琵琶湖」だと推実験では，適切な匿名化を定義し，匿名化率と文字匿名測できる．結果，匿名化された固有名詞「滋賀県」は特定化率を測った．その結果，k の値の変化と匿名化された文される．このような事象を，本研究では「文脈から特定で字数の割合が n の値によって異なることを明らかにした．

きる」状態と定義する．

さらに，適切な匿名化状態を定義し，文字特定率から特定

これらの問題を解決するため，荒牧ら [5] は文を単位と不可能性を，人手評価で理解可能性を測った．文字特定率

した k-匿名化を提案している．これは，どのような文字列から特定不可能性は評価できなかったが，人手評価によりで検索してもヒットする文が k 個以上になるようにテキス

理解可能性を算出することができた．

トの文字列を除去する手法である．任意の一文 Sx に対し，

2. 関連研究順序も一致する最長共通部分列の長さ（「ABC」と「CAB」
では，「AB」のみマッチ）を算出し，値が大きい順に (k − 1)

Sweeney[4] は ．識 別 の 困 難 さ を 示 す k-匿 名 性（k-個の類似文 Si を抽出する．そして，抽出された Si との最anonymity）という指標を提案している．これは，個人

長共通部分列以外の文字列を Sx から削除，あるいは代替文を識別することができる情報を k 個未満に絞り込むことが字列（＊など）に置換する．この手法は，固有名詞に限定

できないことを表す，匿名性の尺度である．同じ情報や属せずに文字列を削除することによって，文脈からの匿名化性をもつ個人が k 個以上になる状態を k-匿名性を満たすと済み文字列の特定を防ぐことができる．さらに，比較する呼ぶ．そして，k-匿名性を満たすようにデータを加工する

文同士の差異に基づいて匿名化を行うので，あらかじめ消ことを k-匿名化と呼ぶ．

したい属性を設定する必要がない．ただし，荒牧らが用い

しかし，Sweeney の指標が想定としているデータは，リた実験データは日本語のカルテテキスト EHR(Electronic

レーショナルモデルをベースとした構造化データである．

Health Record) である．カルテのようなテキストデータは一方，テキストデータは通常構造定義がなされていない．

定型句が多く含まれており，文の多くが似通う可能性が高Sweeney の指標をテキストデータにあてはめるためには，い．そのため，k 個の文の差異を除去したとき，もとの文を情報や属性，並びにその単位を独自に設定する必要がある．

一定量保持することができる．しかし，この手法は多様性

しかし，これらは自明ではない．さらに，どのように設定のあるテキストには適合しない．例えば，SNS のテキストするのが妥当なのかは明らかではない．そのため，従来のデータに手法を適用した場合，多くの文中の部分文字列が匿名化手法の多くは構造化データを対象としていた．

除去される．SNS には共通の定型表現はなく，個々人が自そのなかで，テキストデータを対象とした研究では，匿由に多種多様なメッセージを投稿しているからである．し名化したい単語の属性を事前に設定したうえで，名前や病たがって，この手法は，有効なテキストの種類が定型句を名，症状などの固有名詞の除去 (サニタイズ) [1] や，職業多く含むようなテキストに限定されるという問題がある．

ⓒ 2015 Information Processing Society of Japan2

Vol.2015-DBS-162 No.22
2015/11/26

情報処理学会研究報告
IPSJ SIG Technical Reportධຊ䝕䞊䝍

3. 文字 n-gram に基づく k-匿名化
本研究では，文字 n-gram を情報とする．秘匿すべき属
性は設定しない．そのため，すべての文字 n-gram が秘匿ϭ͘䝟䝷䝯䞊䝍䛾タᐃ

情報である可能性があると仮定する．そして，n-gram の䛾ᣦᐃ

出現回数を単位として数え上げる．出現回数の低い文字

n-gram は，秘匿情報であると仮定する．そして，秘匿情報である文字 n-gram フレーズを少なくとも k 個未満に絞り込めないことを匿名性の尺度とする．したがって，本研Ϯ͘㒊ศᩥᏐิᢳฟ

究における匿名化とは，同じ文字 n-gram フレーズが k 回ᩥᏐ ͲŐƌĂŵ䝣䝺䞊䝈 䛾ᢳฟ

以上出現する状態になることである．この状態を本研究では k-匿名性を満たすと呼ぶ．そして，k-匿名性を満たすよᩥᏐ ͲŐƌĂŵ䝣䝺䞊䝈䛾ฟ⌧ᅇᩘ䜢䜹䜴䞁䝖

うにデータを加工することを k-匿名化と呼ぶ．
提案手法の利点は次の四つである．

䛷䛒䜛㒊ศᩥᏐิ

事前の秘匿属性設定が不要
従来法では，消したい単語のカテゴリ，属性を事前に設定する必要があった [1]，[2]，[3]．しかし，何を秘匿情報とすべきかを決定するのは難しく，秘匿属性をϯ͘ඹ㏻ᩥᏐิ䛾⨨᥮㒊ศᩥᏐิ 䛸䛾ඹ㏻㒊ศᩥᏐิ䜢䠆䛻⨨᥮

網羅するのは困難である．さらに，属性設定に不備があった場合，匿名化漏れが生じる．提案手法では，秘匿属性を設定せず，すべての文字 n-gram を秘匿情報である可能性があると仮定している．そのため，属性໬䝕䞊䝍ǯ

設定不備による匿名化漏れを生じない．
文脈からの特定を防止可能

図 1

システムの枠組み

従来法では，固有名詞に基づいて秘匿情報を匿名化している [1]，[2]，[3]．しかし，固有名詞以外の文字列から，匿名化された文字列を特定できる可能性がある．

ない．そのため，文のくずれに由来する構文解析誤り提案手法では，全ての文字 n-gram の出現回数に基づや未知語の影響を受けない．

いて匿名化を行う．出現回数の低い秘匿情報となる可能性のある文字 n-gram は，固有名詞に限らず匿名化される．そのため，固有名詞に限定された匿名化よりも，文脈から特定できる状態を回避できる．
広範囲のテキストに有効
従来法では，比較する k 個の文同士の差異に基づいて

3.1 システム構成
提案手法は図 1 のような枠組みで成り立っている．入力
データとして，あらかじめ空白文字を除去した匿名化した
い N 個のデータを要素とする群 D ={d0 , ..., dN −1 } を用いる．そして，次の処理に従って入力データを匿名化する．

匿名化している [5]．しかし，定型句を含まないよう( 1 ) パラメータの設定

な多様性のあるテキストに対しては，ほとんどの文字( 2 ) 部分文字列抽出

列が匿名化される．そのため，適合するテキストの種類が限定される．提案手法では，文字 n-gram の出現( 3 ) 共通部分文字列の置換
以下，詳細を記述する．

回数に基づいて匿名化するため，文型の影響をうけない．そのため，文の差異に基づいた匿名化よりも，広範囲のテキストに対して有効である．
話し言葉や未知語に対応可能

3.2 パラメータの設定
パラメータとして文字 n-gram の n, k-匿名化の k(≥2) の値を設定する．n の値によって，何文字の部分文字列を抽従来法では，単語分析や構文解析などを用いて匿名化出するかを決定する．また，k の値によって，全データ中する単語を抽出している [1]，[2]，[3]．しかし，SNSの部分文字列の最低出現回数を指定する．

のような，話し言葉や文法に従わない文では，解析が例えば，n = 5 かつ k = 10 のとき，D から文字 5-gram困難である．加えて，未知語に対応することができな

フレーズを抽出する．そして，D 中に，出現回数が 10 回

い．提案手法では，文字 n-gram に基づいて匿名化す

未満の文字 n-gram フレーズが現れないように匿名化する．

るため，テキストを構文解析や単語分析をする必要が

なお，ここで記述した処理の詳細は以下の項で説明する．

ⓒ 2015 Information Processing Society of Japan3

Vol.2015-DBS-162 No.22
2015/11/26

情報処理学会研究報告
IPSJ SIG Technical Report

により，匿名化が達成される．

3.3 部分文字列抽出
ここでの目的は，D 中の出現回数が k 回未満の部分文字

表 3 に比較する部分文字列 C を，表 4 に共通部分文字列を抽出することである． そのため，次の処理に従って部

列の置換の例を示す．示す．入力データ d1 =”福岡県北九分文字列を抽出する．

州市早瀬区新垣 5” と部分文字列 C を比較する．n = 2 よ( 1 ) 文字 n-gram フレーズの抽出

り，2 文字連続で C と d1 が一致するインデックス j を求

( 2 ) 文字 n-gram フレーズの出現回数をカウント

めればよい．これは，表 4 の色つきのセルにあたる．したがって，j =2, 3, 4, 5, 7, 11, である．ゆえに，j = 2 のと

以下，順を追って説明する．

き，Ad1 [2], Ad1 [3] にそれぞれ 1 を加える．同様に，j = 3

3.3.1 文字 n-gram フレーズの抽出
dh (h = 0, ..., N − 1) から，文字 n-gram フレーズを取りのとき，Ad1 [3], Ad1 [4] に，j = 4 のとき，Ad1 [4], Ad1 [5]出す．dh の文字数が ldh (> 0) 文字のとき，phi (i = 0, ...,に，j = 5 のとき，Ad1 [5], Ad1 [6] に, j = 7 のとき，Ad1 [7],l − n + 1)∈P (P は文字 n-gram フレーズの全体集合) を取Ad1 [8] に， j = 11 のとき，Ad1 [11], Ad1 [12] に，それぞれり出す．ただし，phg =phi (i<g≤l) の場合，phg は重複する

1 を加える．Ad1 の要素が１以上になるのは，j = 2, 3, 4,ので破棄する．

5, 6, 7, 8, 11, 12 のときである．したがって，d1 は d1 ′ =”例として，表 1 を用いて文字 2-gram フレーズ p の抽出を説明する．d0 の文字数 ld0 = 12 より，文字 2-gram フレー
ズ p0 は l − n + 1 = 12 − 2 + 1 = 11 個取り出せる．しか福岡＊＊＊＊＊＊＊区新＊＊”と匿名化される．

4. 実験

し，i = 0, 3 のとき，p00 =p03 =”福岡”と重複している (表本実験では，提案手法の結果を分析し，評価する．

1 の p0 の行の色のついたセル)．そのため，p03 は破棄す

提案手法を評価するにあたって，本研究では「適切な匿′る．したがって，処理を適用した p0 を d0 から抽出した文

名化」状態を「匿名化された文字列を完全に特定できない

字 2-gram フレーズ群とする．同様の処理を d1 , d2 にも行が，内容は理解できる・分析は可能である」状態と定義す

い，抽出する．

る．そして，適切な匿名化であるかを評価するために，特3.3.2 文字 n-gram フレーズの出現回数をカウント

定不可能性と理解可能性という二つの指標を用いる．

p の出現回数を調べる．p を key に格納していき，その都

匿名化処理は，はじめにで述べたように「個人情報を含

度 key の出現回数 mkey (初期値 0) に 1 加算していく．重んだ収集データやその解析結果の公開」を可能にすること複する p がある場合，p は key へ新たに格納せず，mkey にを目的としている．つまり，匿名化データを用いてなんら

1 加算する処理のみ行う．mkey が k 未満の p を部分文字かの分析や理解ができる必要がある．すなわち，過度の匿列 c∈C(C は c の全体集合) とする．補足すると C⊆key⊆P

名化はデータ中の情報量を過度に減少させ，分析や理解がという関係が成り立っている．

できなくなるため有効ではない．さらに，匿名化が不十分

表 2 を用いて，処理の例を示す．ここで用いる D，P はなデータは個人情報流出を引き起こすため妥当ではない．

表 1 と共通である．k = 2 のとき，出現回数 mkey < k = 2

したがって，手法によって適切な匿名化状態を実現できる′となる key を抽出すればよい．まず，p0 から文字 n-gram

かを評価する必要がある．そこで，本研究では匿名化されフレーズを key に格納し，mkey に 1 加算する．次に，p1 のた文字列を完全に特定できないことを測る指標として特定

文字 n-gram フレーズをみていく．このとき，p10 =”福岡”

不可能性を，内容は理解できる・分析は可能であることをは，すでに key0 に格納されている．そのため，”福岡”を新測る指標として理解可能性を用いる．

たに key に格納はしない．ただし，mkey0 には 1 を加算す

実験データとして，適切な匿名化状態を観測しやすい事

る．p2 に対しても同様の処理を行う．最終的に，mkey0 = 2

業所名を利用した．事業所名は，事業の内容や形態をあらより，key =”福岡”は匿名性を満たすとして部分文字列とわす部分文字列が繰り返し出現する特徴をもつ．たとえして利用しない．一方，表 2 の mkey の列で色のついたセ

ば，株式会社や医療法人などがある．一方，出現回数の低

ルは mkey < k = 2 を満たす．これらは，部分文字列 c としい部分文字列は，事業所名を特定できる情報である．そのて抽出する．

ため，出現回数の低い部分文字列を匿名化すれば，「事業所を特定することはできない（特定不可能性）が，その事業

3.4 共通部分文字列の置換
文字数が l 文字のデータ d に対し，要素数 l，初期値 0 のの内容はわかる（理解可能性）」状態になる．このように事業所名は適切な匿名化状態を観測しやすい．

配列 Ad を用意する．次に，d と C を比較していく．d の j
番目の文字 sj (j = n − 1, ..., l − n − 1) が sj+n−1 まで連続

4.1 実験 1：事業所名による匿名化実験・評価

して c と一致するとき，Ad [j] から Ad [j + n − 1] までの要

4.1.1 実験方法

素に 1 を加える．C と比較後，Ad の要素が 1 以上になっ実験データとして，福岡市の事業所名 387 データを利用ているインデックスに対応する sj を＊に置換する．これした．これらに対し，提案手法である n-gram・k-匿名化をⓒ 2015 Information Processing Society of Japan4

Vol.2015-DBS-162 No.22
2015/11/26

情報処理学会研究報告
IPSJ SIG Technical Report
表 1

文字 n-gram フレーズ抽出

h

dh

i

0

1

2

3

4

5

6

7

8

9

10

11

0

福岡県福岡市早通区新谷 3

p0

福岡

岡県

県福

福岡

岡市

市早

早通

通区

区新

新谷

谷3

-

0

福岡県福岡市早通区新谷 3

p0

′

福岡

岡県

県福

岡市

市早

早通

通区

区新

新谷

谷3

-

-

1

福岡県北九州市早瀬区新垣 5

p1

福岡

岡県

県北

北九

九州

州市

市早

早瀬

瀬区

区新

新垣

垣5

2

福島県福島市瀬区新垣

p2

福井

井県

県福

井市

市瀬

瀬区

区新

新垣

-

-

-

-

ϯ

ϰ

ϳ

ϴ

表 2 部分文字列抽出
mkey
c
key
mkey

key

ϭ͘Ϭ
Ϭ͘ϵ
Ϭ͘ϴ
Ϭ͘ϳ
Ϭ͘ϲ
Ϭ͘ϱ
Ϭ͘ϰ
Ϭ͘ϯ
Ϭ͘Ϯ
Ϭ͘ϭ
Ϭ͘Ϭ

c

福岡

2

-

北九

1

北九

岡県

2

-

九州

1

九州

県福

2

-

州市

1

州市

岡市

1

岡市

早瀬

1

早瀬

市早

2

-

瀬区

2

-

早通

1

早通

新垣

2

-

通区

1

通区

垣5

1

垣5

区新

3

-

福井

1

福井

新谷

1

新谷

井県

1

井県

谷3

1

谷3

井市

1

井市

県北

1

県北

市瀬

1

市瀬

ϭ

Ϯ

༏ྡ໬⋡
表 3

2-gram・k-匿名化において比較する部分文字列
岡市
新谷
北九
早瀬
井県
早通

谷3

九州

垣5

井市

通区

県北

州市

福井

市瀬

ϱ

ϲ

Ŷ

図 2

㠀༏ྡ໬⋡

᏶඲༏ྡ໬⋡

n-gram・2-匿名化における匿名化率の変化

定義した．そのため，一文字も匿名化されない非匿名化状
態は，前者の特定不可能性に反する．また，全文字匿名化

表 4 2-gram・k-匿名化の例
ｊ

0

1

2

3

4

5

6

7

8

9

10

11

12

という完全匿名化状態は，後者の理解可能性に反する．こ

d

福

岡

県

北

九

州

市

早

瀬

区

新

垣

5

のことから，非匿名化や完全匿名化は不適切な状態である

Ad

0

0

1

2

2

2

1

1

1

0

0

1

1

d’

福

岡

＊

＊

＊

＊

＊

＊

＊

区

新

＊

＊

といえる．したがって，全体から非匿名化率と完全匿名化
率をのぞいた匿名化率が，適切に匿名化された割合を表す．

行う．評価指標として，匿名化率，文字匿名化率を用いる．

文字匿名化率

そして，n や k の値によってこれらの指標がどのように変文字匿名化率は，全データの文字数に対し，匿名化され化するか比較する．評価指標は以下のように定義する．

た文字数の割合を表す．つまり，全データの文字数に対す

匿名化率

る＊の数の割合である．

匿名化率を定義する前に，非匿名化率，完全匿名化率を4.1.2 結果定義する．非匿名化率とは，全データに対する一文字も匿

図 2 は，n = 2, 3, · · · , 8，k = 2 のときの n-gram・2-匿

名化されなかったデータ数の割合である．たとえば，d=”名化の完全匿名化率・非匿名化率・匿名化率を示したもの

福岡県”が匿名化されず”福岡県”のままであったとき，d はである．匿名化率は，n = 2 のとき最大となり，n≥3 のと非匿名化されたと呼ぶ *1 ．完全匿名化率とは，全データにき減少する．これは，完全匿名化率が増すからである．完対する全文字が匿名化されたデータ数の割合である．d=”

全匿名化率は，n = 2, 3,· · ·, 7 のとき増加し，n = 8 のとき福岡県”の全文字が匿名化されて”＊＊＊”となったとき，d減少する．非匿名化率は 2≤n≤4 のとき減少しているが，は完全匿名化されたと呼ぶ．そして，全データにおける匿n≥5 のとき増加する．例えば，n = 5 のとき，共通部分文

名化率を，次のように定義する．
匿名化率 = 1−(非匿名化率 + 完全匿名化率)
本実験における，適切な匿名化状態は，先に「匿名化さ字列として 5 文字未満の文字列は抽出されない．そのため，5 文字未満のデータは匿名化されない．結果，非匿名化率が増加する．

れた文字列を完全に特定できない（特定不可能性）が，内

図 3 は，n-gram・k-匿名化の匿名化率の変化を示したも容は理解できる・分析は可能である（理解可能性）」状態とのである．n =2, 3, 4, 1 の順で匿名化率が高い．n = 1 は，なお，非匿名化データを含んでいたとしても，必ずしも k-匿名化の定義には反しない．なぜなら，一文字も匿名化されていなくとも他に類似した文字列が出てくることで，データを k1 以上に特定できないからである．

2≤k≤20 の範囲で増加，n = 1 のとき匿名化率は最大値１*1ⓒ 2015 Information Processing Society of Japanをとる．n≥21 の範囲で減少していく．n = 2 は，2≤k≤4の範囲で増加．k≥5 の範囲で減少していく．n≥3 のとき，

5

Vol.2015-DBS-162 No.22
2015/11/26

情報処理学会研究報告
IPSJ SIG Technical Report

ͳ

ʹ

͵

Ͷ

ͷ

͸

͹

ͳǤͲ
ͲǤͺ
ͲǤ͸
ͲǤͶ
ͲǤʹ
ͲǤͲ
ʹ

Ͷ

͸

図 3

ͺ

ͳͲ ͳʹ ͳͶ ͳ͸ ͳͺ ʹͲ ʹʹ ʹͶ ʹ͸ ʹͺ


図 5

回答画面例

n-gram・k-匿名化における匿名化率の変化いうことである．しかし，特定不可能性や理解可能性を達
ͳ

ʹ

͵

Ͷ

ͷ

͸

͹

成できているかを評価することはできない．そのため，別の指標を用いて特定不可能性や理解可能性といった匿名性ͳǤͲ

を測る必要がある．したがって，適切な匿名化状態である
ͲǤͺかを測るために，実験 2 の被験者実験による評価を行う．

ͲǤ͸
ͲǤͶ

4.2 実験 2：被験者実験による評価

ͲǤʹ

実験 1 では，k や n の値によって，部分文字列がどれだͲǤͲ

け匿名化されたかを評価した．しかし，実際に特定不可能
ʹ

Ͷ

図 4

͸

ͺ

ͳͲ ͳʹ ͳͶ ͳ͸ ͳͺ ʹͲ ʹʹ ʹͶ ʹ͸ ʹͺn-gram・k-匿名化における文字匿名化率の変化性と理解可能性を達成した適切な匿名化状態になっているかはわからなかった．そこで，適切な匿名化状態であるかを測るために，被験者実験による評価を行う．

4.2.1 方法k の増加とともなって匿名化率は減少していく．

実験データの説明をする．元データとして福岡市の事業

図 4 は，n-gram・k-匿名化の文字匿名化率の変化を示し

所名 387 データを利用する．元データに対し，1-gram・2-

たものである．n = 1 のとき，文字匿名化率が低い．この

匿名化したデータと 2-gram・2-匿名化したデータを作成すことを，1-gram・k-匿名化は文の保存率が高いとも言い換る．適切に匿名化された 1-gram・2-匿名化データ 133 デー

えられる．n の値が増すごとに，文字匿名化率は増加してタから 3 データ，適切に匿名化された 2-gram・2-匿名化いる．また，k の値が増加した場合にも文字匿名化率が増

データ 353 データから 9 データ取り出す．これらを合わせ加している．

た 12 データを実験データとする．なお，元データの重複

4.1.3 考察

は許す．

n の値が増加するにつれて，匿名化率は増加する．しか

実験方法として，被験者は問題回答型システムを用いてし，匿名化率が最大値を過ぎると，完全匿名化率が増加し，匿名化された文字列を特定する．図 5 に，システムの回

非匿名化率と匿名化率は減少する．そして，ある値を境に答画面例を示す．システムはまだ出題されていない出題

非匿名化率が増加し，完全匿名化率と匿名化率が減少する．

文集合からランダムに 1-gram・2-匿名化されたデータか，n の値がある値より小さいとき，匿名化率は最大値をとる

2-gram・2-匿名化されたデータを出題する．被験者は出題まで増加し，その後減少する．n の値がある値より大きい

文中の＊に変換された匿名済み文字列を前後の文字列からとき，k の増加につれて匿名化率は単調減少する．n の値推測する．そして，入力フォーム内に記入された出題文のが小さいほど，文字列の保存率が高い．n や k の値の増加＊部分を推測した文字に置き換え，回答する．わからないにつれて，文字匿名化率は単調増加する．

場合は「わからない」ボタンを押すか，回答に＊を含んだ

匿名化率の増減は完全匿名率と非完全匿名率の増減が関まま「回答する」ボタンを押す．

係している．匿名化率が増加するのは，出現回数 k の値が評価に用いる指標について説明する．特定不可能性を測増すことで，非匿名化率が減少するからである．匿名化率

る指標として文字特定率を用いる．文字特定率を定義するが減少するのは，出現回数 k の値が増すことで，完全匿名ために，先に匿名済み文字数と正解文字数を説明する．匿化率が増加するからである．

名済み文字数は，出題文中の匿名化済みの文字数をあらわ

以上のように，実験 1 の結果からわかることは，k や nす．つまり，出題文中の＊の個数をあらわす．正解文字数の値によって，部分文字列がどれだけ匿名化されるか，とは，被験者が匿名済み文字を特定できた文字数をあらわす．

ⓒ 2015 Information Processing Society of Japan

6

Vol.2015-DBS-162 No.22
2015/11/26

情報処理学会研究報告
IPSJ SIG Technical Report

そして，文字特定率は，匿名済み文字数に対する正解文字という文字から文字列「病院」を推測するのは難しいと考数の割合である．これは，被験者がどのくらいの割合文字えられる．この匿名化データは「事業の内容はわかるが，を復元できたかを示す．

その事業所を特定することができない状態」を達成できてさらに，被験者の回答から，被験者は事業所の事業内容を理解できるかを人手で評価する．被験者が事業の内容をいない．

4.2.3 考察

出題文から理解できるならば○，理解できないなら×と評不適切に匿名化されたものの中ｎに，ほとんどの文字列価する．この指標を用いて，匿名後のデータから事業内容を匿名化したことによって理解できない状態になったものを理解できるかという「理解可能性」を測る．

があった．これは，出現頻度の低い文字 n-gram フレーズ

4.2.2 結果

によって事業所名が構成されているからである．この問題

表 5，表 6 は実験結果の例をまとめたものである．n はへの対処方法として，出現頻度の高い部分文字列を残す方

どの文字 n-gram・2-匿名化によって匿名化されたかをあら法が考えられる．他に，匿名化したい文字列と残しておき

わす．n = 1 のとき文字 1-gram，n = 2 のとき文字 2-gram

たい文字列が逆転して匿名化されたものがあった．これは，である．匿名化データの列は，実際に被験者に出題した問出現頻度の高い部分文字列で事業所名が構成されているか題文である．回答の列は，被験者の回答をのせている．正らである．さらに，事業の内容を表す文字 n-gram フレー

解の列では，匿名化前の元データをのせている．全体の結ズの出現頻度が低かったことも関係している．例えば，「千果として，特定率は平均 25%，事業内容の理解ができてい早病院」は「早病」の出現頻度が低いために，事業内容をるのは 62%であった．追って，結果の詳細を記述していく．

表す「病院」の「病」が匿名化されている．この問題に対

表 5 は，適切に匿名化された例である．被験者の回答を処する方法として次の方法が考えられる．まず，保持してみると，その事業所名を特定できていない．また，事業内

おきたい属性を設定しておき，それに属する単語を非匿名

容の理解については，出題文から i = 0 は税務署，i = 1 は化フレーズとして用意する．そして，n-gram フレーズを株式会社，i = 2, 3 は医療系，i = 4 は学校関係ということ匿名化する際，非匿名化フレーズを含んでいるならば匿名がわかる．i = 2 の回答を取り上げる．被験者は「医」とい化しない．さきほどの例で言えば，「千早病院」を匿名化しう文字を回答している．被験者の回答である「医院」と正たとき，「病」が匿名化される．しかし，非匿名化フレーズ

解データの「病院」はともに医療系の事業内容である．こに「病院」が含まれているならば，匿名化された「病」を復の結果から，被験者は匿名後のデータから，医療系の事業元する．結果，事業内容を表す「病院」は匿名化されない．

であると理解できている．しかし，事業所を特定する「原文字特定率からは，特定不可能性を測ることはできな

土井」の文字列は特定できていない．このことから，提案

かった．これは，文字特定化率の高いデータは，文字匿名手法が「事業の内容はわかるが，その事業所を特定するこ化率が低く，さらに前後の文字が推測できる事業の内容をとができない状態」を達成できていることがわかる．

あらわす文字列が匿名化されているからである．また，出表 6 は，不適切に匿名化された例である．i = 0 は，ほと現頻度の高い部分文字列で構成された事業所名であること

んどの文字列が匿名化されている．そのため，事業所を特も関係している．したがって，文字特定化率は必ずしも特定することができないと同時に，事業内容を理解すること

定不可能性を表していなかった．そのため，文字特定率にができない．被験者の回答をみると，事業内容が運送系でかわる，特定不可能性を測る指標を考える必要がある．

あることを理解していないことがわかる．この匿名化デー

事業所の種類の理解からは，提案手法の理解可能性を算

タは「事業の内容はわかるが，その事業所を特定すること

出することができた．この指標を用いて，他の手法と比較ができない状態」を達成できていない．i = 1 は，被験者することが可能になると考えられる．

の回答をみると，被験者は事業所名を特定できておらず，かつ事業の内容が金融系であることも理解できていないこ

5. おわりにとがわかる．匿名化データでは，「金」という文字が匿名化

本研究では，文字 n-gram フレーズの出現回数に基づいされているため「金庫」という文字列が出現しない．残さたテキストの k-匿名化を実装し，評価した．その結果，kれた「庫」という文字から文字列「金庫」を推測するのはの値の変化と匿名化された文字数の割合が n の値によって難しいと考えられる．この匿名化データは「事業の内容は異なることを明らかにした．さらに，適切な匿名化状態をわかるが，その事業所を特定することができない状態」を定義し，文字特定率から特定不可能性を，人手評価で理解達成できていない．i = 2 は，被験者の回答をみると，被可能性を測った．

験者は事業所を特定する「千早」の文字列を特定できてい今後の課題として，次の四つがあげられる．

ないが，事業の内容が医療系であることも理解できていな• 本研究で観測された不適切な匿名化への対処法を考案

い．匿名化データでは，「病」という文字が匿名化されているため「病院」という文字列が出現しない．残された「院」ⓒ 2015 Information Processing Society of Japanし，システムを改良する．

• ソーシャルメディアのテキストデータとして Twitter
7Vol.2015-DBS-162 No.22
2015/11/26

情報処理学会研究報告
IPSJ SIG Technical Report
表 5

適切な匿名化の例
正解
文字数

匿名済み
文字数

文字
特定率

事業内容
の理解

香椎税務署

0

アビスパ福岡株式会社

1

2

0%

○

5

20%

医療法人***医院

医療法人原土井病院

○

1

5

20%

○

医療法人原*井病院

医療法人原田井病院

福****学

福****学

医療法人原土井病院

0

1

0%

○

福岡女子大学

0

4

0%

○

i

n

匿名化データ

回答

正解

0

1

**税務署

福岡税務署

1

2

*****岡株式会社

九州大学福岡株式会社

22

医療法*****院

3

1

4

2

表 6

不適切な匿名化の例
正解
文字数

匿名済み
文字数

文字
特定率

事業内容
の理解

九州運輸局福岡運輸支局

1

10

10%

×

商******庫福****ンタ****

商工組合中央金庫
福岡流通センター出張所

0

14

0%

×

国家公務員*∗ 済組合連合****院

国家公務員等共済組合連合会千早病院

1

7

14%

×

i

n

匿名化データ

回答

正解

0

2

九**********

九州大学理工学研究科

12

商******庫福****ンタ****2

2

国家公務**∗ 済組合連合****院などを実験データとして利用する．

• 文字特定率に代わる特定可能性を測る評価指標を作成する• 従来手法と比較し，提案手法の有効性を確認する．
謝辞 本研究の一部は，NAIST ビッグデータプロジェ
クトおよび JSPS 科研費 23700113 によるものである．
参考文献
[1]

[2]

[3]

[4]

[5]

[6]

Venkatesan T Chakaravarthy, Himanshu Gupta, PrasanRoy, and Mukesh K Mohania. Eﬃcient techniques for
document sanitization. In Proceedings of the 17th ACM
conference on Information and knowledge management,
pp. 843–852. ACM, 2008.
Haruno Kataoka, Natsuki Watanabe, Keiko Mizutani, andHiroshi Yoshiura. Dcnl: Disclosure control of natural
language information to enable secure and enjoyable ecommunications. In U-and E-Service, Science and Technology, pp. 131–140. Springer, 2009.
Hoang-Quoc Nguyen-Son, TRAN Minh-Triet, Hiroshi
Yoshiura, Noboru Sonehara, and Isao Echizen. Anonymizing personal text messages posted in online social networks and detecting disclosures of personal information.
IEICE TRANSACTIONS on Information and Systems,
Vol. 98, No. 1, pp. 78–88, 2015.
Latanya Sweeney. k-anonymity: A model for protecting
privacy. International Journal of Uncertainty, Fuzzinessand Knowledge-Based Systems, Vol. 10, No. 05, pp. 557–
570, 2002.
荒牧英治, 増川佐知子, 宮部真衣, 森田瑞樹. テキストの k匿名化. 情報処理学会研究報告. データベース・システム研究会報告, Vol. 2012, No. 9, pp. 1–8, 2012.
松前恵環. Sns におけるプライバシーの期待と保護のあり
方: Lj ストゥラホラヴィッツの 「プライバシーの社会ネッ
トワーク理論」 を手がかりに. Journal of Global Media
Studies, Vol. 13, pp. 75–84, 2014.

ⓒ 2015 Information Processing Society of Japan

8