日本ソフトウェア科学会第 32 回大会 (2015 年度) 講演論文集

差分プライバシを満たすニューラルネットワークモデ
ル構築手法の提案
清 雄一

大須賀 昭彦

多数の個人に関するデータを保有していれば，年齢，性別，職業や身体の症状等の属性値から，年収や罹患している病名等のセンシティブ属性値を推測するニューラルネットワークモデルを構築することができる．さらにこの構築されたモデルを第三者に提供することで，受領者は研究やマーケティング等にモデルを活用することが可能となる．しかしモデル構築には個人のデータが利用されており，個人の同意なく第三者にモデルを提供することには注意が必要である．近年，データベースを匿名化して第三者に提供するシナリオにおいて，ϵ-差分プライバシと呼ばれる匿名化指標が盛んに研究されている．本研究では，ϵ-差分プライバシを満たすニューラルネットワークモデルを構築する手法を提案する．

がその匿名化されたデータベースを用いてデータマイ

1 はじめにニングを行うことを，プライバシ保護データマイニン

近年，ニューラルネットワーク等の機械学習が注目グと呼び，近年盛んに研究が行われている．しかし，を集めている．大規模データベースに対して機械学習

これまで対象とされているデータマイニングとはクを行うことにより，データに潜在的に存在する構造をロス集計分析 [4] [8] やある属性値を持つユーザ数の分抽出したり，未知の入力に対して出力を推測したりす析 [9] といった基本的な分析が対象であり，ニューラることができる．

ルネットワーク等の機械学習を行ってプライバシ保護

機械学習を行った結果モデルが得られ，そのモデルデータマイニングを行う研究はほとんど存在しない．

を用いて新しい入力に対応する出力を推測すること

本研究では，プライバシ保護データマイニングの分ができる．学習した結果得られるモデルは第三者と野で最も研究されている ϵ-差分プライバシをプライ共有することもできる．たとえば，複数の基本的検査バシ指標として用いる．この指標はプライバシパラの結果から甲状腺機能異常を発見するモデル構築 [12]メータ ϵ を持ち，この値を調整することでプライバシや，下顎前突患者の側貌パターンを入力として述語の保護レベルを調整する．本研究では ϵ-差分プライバ

軟組織側貌を予測するモデル構築 [11] 等，ニューラルシを満たした上でニュラルネットワークモデルを構築

ネットワークを用いたモデル構築の研究も盛んに行わする手法を検討する．

れている．しかしモデル構築には個人のデータが利用

本論文の構成を示す．2 章で関連研究について述べされているため，個人の同意なく第三者にモデルを提る．3 章で提案手法について述べ，4 章で評価を行う．

供することには注意が必要である [10]．

5 章で本論文をまとめる．

データベースを匿名化して第三者に提供し，第三者

2 関連研究Construction of Anonymized Neural Network Modelwith Diﬀerential Privacy.
Yuichi Sei and Akihiko Ohsuga, 電 気 通 信 大 学 大
学 院 情 報 シ ス テ ム 学 研 究 科, Graduate School ofInformation Systems, The University of ElectroCommunications.

2. 1 差分プライバシ
近年，匿名化の分野で広く利用されている指標に ϵ差分プライバシ（ϵ-Diﬀerential Privacy） [1] がある．
データ解析者がデータ保有者にクエリを投げ，そのクエリの回答に誤差を与えることで，データベースに格表1

データ保有者が保有しているデータベースの例

納されている個人のプライバシを保護する．直感的には，ある一人のデータがあってもなくても匿名化の結果がほとんど変わらないことを要請する．より詳細には，プライバシパラメータ ϵ を使って以下のとおり定義される．
定義 2.1 (ϵ-差分プライバシ) D と D′ を 高々1 レ

NameAgeJob

DiseaseAlexBob
Carl
DanielEdward

35
3840
4542

LawyerLawyerLawyerDoctorDoctorFever
AsthmaHepatitis
Hepatitis
Hepatitis

すランダム機構 R は，ϵ-差分プライバシを実現する．

コードだけ異なるデータベースとする．確率的メカニズム A が，出力のすべての集合 Y について以下

ここで Lap(∆f /ϵ) は，平均 0，尺度指数 σ が ∆f /ϵを満たすとき，ϵ-差分プライバシが満たされる．

であるラプラス分布を表し，RandomV ariate は引′

P (A(D) ∈ Y ) ≤ e P (A(D ) ∈ Y ) for all D, D
ϵ′

(1)[2] ではラプラス分布に従って生成されたノイズを加算することによって ϵ-差分プライバシを実現する手法が提案されており，多くの研究がこの Laplacemechanism を採用している．Laplace mechanism を説明するために，まず global sensitivity という概念を導入する．

数の確率分布から生成した乱数を返す関数である．
表 1 に示すデータベース D を使った例を示す．このデータベースに対して，[年齢が 30 代かつ職業が法律家である人数] というクエリを発行したとする．真の値は 2 である．この値を ϵ-差分プライバシで保護すると匿名化された値として 2 + RandomV alue(Lap(1/ϵ))が得られる．2 に限りなく近い値になる場合もある
し，マイナス値や真の値から数倍離れた値を取る場合

定義 2.2 (global sensitivity) 高々1 レコードのみもある．

異なるデータベース D1 及び D2 を考える．d を非負

この ϵ-差分プライバシ（プライバシパラメータ ϵ の整数とし，関数 f : D → Rd について，全ての D1 及値に特に注目していない場合は，以下では単に「差分び D2 に対して，プライバシ」と呼ぶ）は，元々は上述のようにデータ∆f = max ||f (D1 ) − f (D2 )||1
D1 ,D2(2)ベースに対するクエリへの回答に対して提案されてが成り立つとき，この ∆f を f の global sensitivityいるものである．近年では差分プライバシがプライと定義する．

バシ保護データマイニングにおけるプライバシ指標として標準的になっており，ソーシャルネットワーク

たとえば 1 レコードだけ異なるデータベース D1 と解析 [6] やヒストグラム共有 [4] [8] 等のように，あらゆD2 に対して，ある属性値を持つレコード数を取得するデータ共有のために利用され始めている．しかし，るクエリを投げた場合，その回答は最大 1 だけ異なる．

ニューラルネットワーク等の機械学習モデルに差分プ

したがって，∆f の値は 1 である．別の例として，あライバシを適用させた例はほとんど無い．

る属性値の最大値を取得するクエリを投げた場合を考える．その属性値が取り得る理論上の最小値を vmin ，2. 2 プライバシを考慮した統計モデル構築

理論上の最大値を vmax とすると ∆f =vmax − vmin

Yi らは本論文と同じ問題意識を持ち，プライバシとなる．何故なら，あるデータベース D1 における当を保護したまま回帰モデルを構築する手法を提案し該属性の最大値が vmin であり，1 レコードだけ異なている [10]．彼らの手法は回帰モデルには有効である

るデータベース D2 における当該属性値の最大値がが，ニューラルネットワークを対象としたものではなvmax である可能性があるためである．

い．また，プライバシ保護データマイニングの分野で定義 2.3 (Laplace Mechanism) データベース Dに対して f (D) + RandomV ariate(Lap(∆f /ϵ)) を返

標準的な指標となっている差分プライバシにも適用していない．

プライバシに基づく匿名化を行いながら機械学ᅮ੡ॹ‫ॱش‬ਃ༊৾ಆ୷ীউছॖং३प
੦तऎᅮ੡৲

েॹ‫ॱش‬

習を行う．
ᅮ੡ঔॹঝ

AnonymizingFirst 及び LearningFirst については，差分プライバシに基づく誤差の付与と機械学習は独立して行われる．前者は入力データに対して差分プライバシに基づく誤差を与え，後者は機械学習した結果のモデルに対して誤差を与える．一方で(a) AnonymizationFirst

AnonymizedLearning は誤差を与えながらモデルをেঔॹঝ୷ীউছॖং३प
੦तऎᅮ੡৲

ਃ༊৾ಆেॹ‫ॱش‬

構築することになる．次節以降で，各手法の詳細を述ᅮ੡ঔॹঝべる．

3. 1 AnonymizingFirst
Soria-Comas らの手法である eMDAV [4] を応用す(b) LearningFirst୷ীউছॖং३प੦तऎਃ༊৾ಆেॹ‫ॱش‬

る．eMDAV ではまずデータベースに対して k-匿名化 [3] を行う．ここでの k-匿名化は，全ての属性値が同一となるレコードが少なくとも k レコード存在すᅮ੡ঔॹঝ

るように，データベース内の属性値を一般化することを言う．一般化とは，たとえば年齢の属性である場合，“33” 歳や “34 歳” を “30 代” とするように，複(c) AnonymizedLearning
図1

3 つの方針数の属性値を区別できないように一つにまとめる操作を言う．
各レコードに対して ϵ-差分プライバシに基づく誤差を与える場合は大きな誤差を与える必要があるが，k 個のまとまったレコードに対して誤差を与える場合

3 提案手法は比較的小さい誤差を与えれば良いという，差分プラデータ保有者が保有するデータベースを生データ，イバシの特徴を活かした手法である．

生データに基づいて機械学習を行い得られたモデル

この eMDAV を入力データに対して適用させるこを生モデル，生データを差分プライバシに基づいて匿とで，ϵ-差分プライバシを満たした匿名データが得ら名化したデータベースを匿名データ，差分プライバシれる．この匿名データに対して通常の機械学習を行うを満たすモデルを匿名モデルと呼ぶ．匿名モデルを得ことで，ϵ-差分プライバシを満たす機械学習のモデルるための方針として，図 1 に示す 3 つの方針が考えが得られる．

られる．

• AnonymizingFirst まず生データを差分プライ

3. 2 LearningFirst

バシに基づいて匿名化する．匿名化した結果のニューラルネットワークモデルにおいて，i 層におデータ（匿名データ）に対して通常の機械学習をける j 番目のユニットを uij ，i 層におけるユニット数行う．

を ni と表す．

• LearningFirst まず生データに対して通常の機

iui−1から uik への結合荷重を Wj,kとおき，ユニッj

械学習を行い，生モデルを生成する．生モデルを

ト uik におけるバイアスを bik とおくと，これらの結差分プライバシに基づいて匿名化する．

合荷重及びバイアスの値が，学習すべきパラメータで• AnonymizedLearning 生データに対して，差分ある．

結合荷重及びバイアスの各値に対して，入力データが一つ違った場合に変わり得る値の最大値をまずにおける ∆f に相当する．
各 ∆f の値を用い，定義 2.3 に従ってラプラス分布に基づく誤差を結合荷重及びバイアスの各値に対して与えることで，ϵ-差分プライバシを満たす匿名化を実現する．

3. 3 AnonymizedLearning

Accuracy導出する必要がある．このそれぞれの最大値が，式 20.90.8
0.7
0.6
0.5
0.4
0.3
0.2
0.10(Original)

110100epsilon

図2

AnonymizationFirst の評価結果

まず第 1 層目において各活性化関数が取り得る値の最大値と最小値を求める，その差が各々の活性化関数における ∆f となる．

4. 3 評価結果
評価は 10 交差検定で実施した．まず匿名化しない

各 ∆f の値を用い，第 1 層目における各活性化関場合の精度を計測したところ，精度は 0.848 であった．

数の出力値に対して定義 2.3 に従ってラプラス分布にAnonymizationFirst に用いる eMDAV ではまず k-基づく誤差を与えながら学習することで，ϵ-差分プラ匿名化を行い，その結果に対して ϵ-差分プライバシイバシを満たす匿名化を実現する．に基づく誤差を与える．パラメータ k の値の決定方
法は示されていないが，本評価では 2，10，100，500

4 評価に設定してそれぞれ評価を行い，最も良い結果となっAnonymizingFirst のみを実装して評価を行った．

た設定を採用した．結果を図 2 に示す．

ϵ の値が増加するほど，つまりプライバシ保護レベ4. 1 データセットルが低下するほど精度が向上していることがわかる．

プライバシ保護データマイニングの研究分野で頻繁

しかし，ϵ の値が 100 の場合でも全く匿名化しない場に利用されているデータセットである，UCI Machine

合と比べて精度が約 0.05%低下しており，向上の余地

Learning Repository の Adult Data Set [7] を利用しがまだあると考えられる．

た．欠損値を含むレコードを除外して 45,222 レコードある．年齢，性別，人種等の 14 属性から，年収が500 万ドルを上回るか 500 万ドル以下かの 2 択を推定するモデルを構築した．

5 おわりに差分プライバシに基づく匿名化を行いながら ニュー ラ ル ネット ワ ー ク モ デ ル を 生 成 す る ことを目的とし，AnonymizingFirst，LearningFirst，4. 2 ニューラルネットワークモデル

AnonymizedLearning の 3 つの方針を提案した．

本論文では差分プライバシを満たすニューラルネッ

本論文では AnonymizaingFirst のみ具体的なアルトワークモデル構築に焦点を当て，ニューラルネットゴリズムを示したが，今後残り 2 手法についても詳ワークの最適化は行わなかった．確率的勾配降下法

細なアルゴリズムを提案する予定である．また，3 つにおけるバッチサイズを 100，エポック数を 20，中の方針を組み合わせて差分プライバシを満たすこと間層の数を 3，各層におけるユニット数を 100 に設定も可能だと考えられる．さらに，各方針に従うことでした．また，目的関数として交差エントロピー関数

差分プライバシに基づく匿名化が実現できているこを，活性化関数として Rectified linear unit (ReLU)とを証明する必要がある．また，他のデータセットにf (x) = max(x, 0) を利用し，ドロップアウト [5] の率提案手法を適用させるとともに，より最適化されたを 0.5 に設定した．

ニューラルネットワークに対して評価を行う．

謝辞 本研究は JSPS 科研費 24300005, 26330081,26870201 の助成を受けたものです．
参 考 文 献[ 1 ] Dwork, C.: Diﬀerential Privacy, Automata, Languages and Programming, Lecture Notes in Computer Science, Vol. 4052, Springer, 2006, pp. 1–12.
[ 2 ] Dwork, C., McSherry, F., Nissim, K., and Smith,A.: Calibrating Noise to Sensitivity in Private DataAnalysis, Proc. Theory of Cryptography (TCC),
2006, pp. 265–284.
[ 3 ] Samarati, P.: Protecting respondents’ identities
in microdata release, IEEE Trans. Knowl. Data
Eng., Vol. 13, No. 6(2001), pp. 1010–1027.
[ 4 ] Soria-Comas, J., Domingo-Ferrer, J., Sánchez,D., and Martı́nez, S.:Enhancing data utility in diﬀerential privacy via microaggregationbased k-anonymity, The VLDB Journal, Vol. 23,No. 5(2014), pp. 771–794.
[ 5 ] Srivastava, N., Hinton, G., Krizhevsky, A.,
Sutskever, I., and Salakhutdinov, R.: Dropout: asimple way to prevent neural networks from overfitting, The Journal of Machine Learning Research,
Vol. 15, No. 1(2014), pp. 1929–1958.
[ 6 ] Task, C. and Clifton, C.: A Guide to Diﬀer-ential Privacy Theory in Social Network Analysis, IEEE/ACM International Conference on Advances in Social Networks Analysis and Mining(ASONAM), 2012, pp. 411–417.
[ 7 ] UCI Machine Learning Repository: Adult Data
Set, http://archive.ics.uci.edu/ml/datasets/Adult.
[ 8 ] Xu, J., Zhang, Z., Xiao, X., Yang, Y., Yu,G., and Winslett, M.: Diﬀerentially private histogram publication, VLDB Endowment, Vol. 22,
No. 6(2013), pp. 797–822.
[ 9 ] Xue, M., Karras, P., Raı̈ssi, C., Vaidya, J.,
and Tan, K.-L.: Anonymizing set-valued data bynonreciprocal recoding, Proc. ACM KDD, 2012,
pp. 1050–1058.
[10] Yi, J., Wang, J., and Jin, R.: Privacy and Regression Model Preserved Learning, Proc. AAAI,2015, pp. 1341–1347.
[11] 坂井真実子, 玉置幸雄, 石川博之: 骨格性下顎前突患者の側貌パターンの違いが術後の軟組織側貌の予測に与える影響, 日本顎変形症学会雑誌, Vol. 24, No. 4(2014),
pp. 305–317.
[12] 青木空眞, 佐藤研, 星憲司, 川上準子, 佐藤憲一, 齋
藤芳彦, 森弘毅, 吉田克己: 複数の基本的検査を組み合わせて甲状腺機能異常を発見する診断支援ツール−人間ドックにおけるスクリーニングの実際−, 人間ドック,
Vol. 1, No. 26(2011), pp. 9–16.