統計数理（2003）
第 51 巻 第 2 号 223–239
c 2003 統計数理研究所


特集「個票開示問題の統計理論」［原著論文］

ミクロデータにおける母集団一意性の事後確率
大森 裕浩

†

（受付 2003 年 2 月 6 日；改訂 2003 年 4 月 16 日）

要旨ミクロデータを開示する際には，ある観測値が調査対象となった特定の個人や企業の観測値であると知られるリスクが生じる．このことは官庁統計として得られたミクロデータをそのまま公開することが個人や企業の情報を暴露してプライバシーを侵害する可能性を意味する．実際に調査の結果として得られた標本の観測値は標本一意である（他のどの標本の観測値とも異なる）ことが多いが，それは母集団でも一意であることを必ずしも意味しない．そこで本稿では母集団における一意性の事後確率をミクロデータ開示のリスクとして評価し，これをどのように用いるべきかについて考察する．
キーワード： ミクロデータ，開示リスク，母集団一意性，事後確率，マルコフ連鎖モンテカルロ法．
1.

はじめに

近年，官庁統計のミクロデータに対する需要が計量経済分析などの対象として高まりつつあ
る．これまでは経済主体の集計値であるマクロ経済データを用いた分析が主として行われていたが，家計や企業などの経済主体に関するデータが収集されていることから，これら経済主体の行動分析に関心が高まっている．これにともなって欧米ではセンサスデータを始めとしたミクロデータの公開が進んでおり，我が国においてもこれまで厳しく公開を制限されていた官庁
統計が少しずつ公開される方向へ進んでいる．公開に際しては調査対象である個人や企業のプ
ライバシーを保護するための配慮が必要であり，そのためのデータ秘匿の方法も数多く提案されている．
一方，ミクロデータ開示にともなうリスクの評価についても提案がなされてきたが，広く用いられている基準はまだ存在しない（Duncan and Lambert（1986, 1989）, Paass（1988）, Bethlehem．そet al.（1990）, Marsh et al.（1991）, Mokken et al.（1992）, Willenborg and de Waal（1996））
こで本稿では比較的解釈のしやすい母集団一意性という概念を用いることにより，ミクロデー
タの開示によって観測値に含まれる特定の個人に関する情報が暴露されるリスク（識別リスク,の評価を試み，その利用について考察する（識別リスクについては
identiﬁcation disclosure risk）
Bethlehem et al.（1990）, Lambert（1993）, Willenborg and de Waal（1996）を参照）．以下では
調査にはカテゴリーデータが多いこと，連続なデータであってもカテゴリーデータに簡単に加工できることを考慮して，カテゴリーデータであるようなミクロデータの開示リスクについて考えていく．
調査の結果得られた標本の観測値が他のどの観測値とも異なる，一意である場合にその観測†

東京大学大学院 経済学研究科：〒113-0033 東京都文京区本郷 7–3–1; omori@e.u-tokyo.ac.jp

224

統計数理

第 51 巻

第 2 号 2003

値のことを「標本一意（sample unique）である」というが，この標本一意である観測値が「母集団において一意（population unique）である」かどうかはわからない．もし観測値が母集団一意であれば特定の個人や企業に関する情報が暴露されることになるが，標本一意であることは必
ずしも母集団一意である危険を意味するわけではない．従って標本一意であるような観測値が少ない場合には，そのミクロデータを公開しても識別リスクは低いと考えられる．しかし実際のデータでは標本一意である観測値が非常に多く，これを公開すればデータの中に特定の個人や企業と関連づけられるものがないとはいえず，リスクの評価を行うことが必要になる．
そこでもし標本一意である観測値が得られたときにその観測値が母集団一意でもある確率（母集団一意性の事後確率）
はどの程度であるかを評価することができれば，それは識別リスクの尺度となりうるはずである．もちろん実際には標本一意であっても観測誤差なども考慮すれば，相異なるカテゴリーデータであっても観測値の類似度は高いと考えられ，また実際に母集団でも似たような個人が多く存在するので母集団一意性の事後確率が示すほど危険ではないと思われる．しかし，標本一意である観測値が，特殊な職業であるとか所得が際だって高いなどという情報をもち，そのような個人や企業が母集団においてもあまり存在しない場合には，母集団一意性の事後確率がそのリスクの目安となるであろう．
以下ではまず第２節でカテゴリーの頻度（セル頻度）に関する基本的な確率モデルを紹介し，そのモデルのもとでの母集団一意性の事後確率を試算する．次に第３節でカテゴリーの相関構
造を考慮したモデルを構成し，これにより事後確率を推定する方法について説明する．最後に第４節で結論を述べる．
2.

超母集団モデルポアソン=ガンマモデルは数学的に扱いやすいこともあり，カテゴリーデータの確率モデル
としてしばしば用いられている．このモデルでは観測値の個数を N としたとき，第 i 番目のカテゴリー（セルともいう）に属する観測値の頻度は，そのセルの比率 πi を所与として平均 N πiのポアソン分布に従うとする．ポアソン分布では平均と分散が同じであるが，現実のデータは分散は平均より大きい傾向が見られるため，πi が互いに独立にガンマ分布に従うと考える．
Bethlehem et al.（1990）では，ポアソン=ガンマモデルに基づいて母集団セルの期待頻度を推定し，これを識別リスクの尺度としている．
しかし，このモデルにおいて仮定されるカテゴリー間の独立性や母集団におけるカテゴリー
頻度の期待値が等しいことなどは現実のデータに対しては必ずしも適当であるとはいえないため，いくつかの代替的なモデルが提案されている．例えば Skinner and Holmes（1993）, Skinneret al.（1994）はポアソン=対数正規モデルを提案し，Takemura（1997）はセルの観測頻度が多項分布でその確率 πi がディリクレ分布に従うと考えるディリクレ多項分布によってカテゴリー間の相関を考慮したモデルを提案している．この他にも Crescenzi（1993）は母集団におけるセルの頻度が既知であるときに母集団一意性の期待値を推定し，Greenberg and Zayatz（1992）はセルの周辺頻度が超幾何分布に従うとして母集団一意性の事後確率を求めているが，いずれも母集団におけるセル頻度に関する事前情報が存在すると仮定しており，必ずしも現実的であるとはいえない．また Kanoh（1997）では，セル頻度が多変量超幾何分布に従うときに標本一意であるセルのなかに母集団一意であるような観測値が存在するかどうかの尤度比検定を提案している．
この節では Takemura（1997）におけるようにミクロデータの標本は母集団から非復元抽出されるとし，母集団は既知ではない限り確率的に変動すると考えて，ある確率関数で定義された手順により更にその上の母集団（超母集団, superpopulation）から抽出されていると考える．

225

ミクロデータにおける母集団一意性の事後確率

まず母集団には N 人の個人がおり K 個のセルに属しているとする．また第 i セルの頻度をFi (i = 1, 2, . . . , K) とする．このとき母集団から n 人の標本を非復元抽出すれば，標本において第 i セルに属する人数を fi (fi = 0, 1, . . . , Fi ) として，f = (f1 , . . . , fK ) は次のような確率関．
数を持つ多変量超幾何分布に従う（(n; f ) ∼ M H(N ; F ) と表記する）

   
K

Pr(f |F ) =

(2.1)

Fi
fi

i=1

ただし，


K

N=


K

Fi ,

n=

i=1

fi ,

N
n

,

F = (F1 , . . . , FK ) ,

i=1

とする．
2.1 多項分布モデル
もし超母集団における第 i セルの相対頻度 πi が既知であり，母集団が単純復元抽出によって超母集団から抽出されたと考えれば，F は次のような確率関数をもつ多項分布に従う（F ∼ M N (N ; π)と表記する）．
Pr(F |π) =

(2.2)

N!
FK
,
π F 1 · · · πK
F1 ! · · · FK ! 1

π = (π1 , . . . , πK ) ,これは式（2.1）における母数 F の事前分布と解釈することができる．式
（2.1）
（2.2）
より，母数 Fの事後分布はPr(F |π, f ) =

(2.3)



(N − n)!

K
j=1 (Fj − fj )!

FK −fK
π1F1 −f1 · · · πK,

Fj ≥ fj ,となる．標本のなかに現れなかったセルについては関心がないので，これを除くセルについて考えればよい．従って一般性を失うことなく fj ≥ 1 (j = 1, . . . , K) とおくことができる．最初の m 個のセルが標本一意であったとき (f1 = · · · = fm = 1, m < K) 対応する母集団セル頻度
F1 , . . . , Fm の事後確率はPr(F1 , . . . , Fm |f1 = · · · = fm = 1)=

(N − n −(N − n)!
m
j=1 Fj + m)!



  

N−n−

m

m
j=1 (Fj − 1)!

1−



m
j=1 Fj +m

πj

j=1


m

F −1

πj j

j=1

である．実際には πi は未知であることが多いから，仮に πi = π0 (i = 1, . . . , m) とおくとPr(Fi1 , . . . , Fir |f1 = · · · = fm = 1)=

(N − n −(N − n)!

r
j=1 Fij + r)!

(1 − rπ0 )
rj=1 (Fij − 1)!

N−n−



r
j=1 Fij +rπ0{i1 , . . . , ir } ⊆ {1, . . . , m} ,r
j=1 Fij −r,

1 ≤ r ≤ m,を得る．従って標本一意であったセルが母集団一意でもある事後確率は(2.4)

Pr(Fi1 = · · · = Fir = 1|f1 = · · · = fm = 1) = (1 − rπ0 )N−nとなる．ここで π0 の値を 1/n（つまり標本一意であったセルは母集団から平均して 1 個抽出されたものと考える）としたり，1/N（標本一意であったセルの母集団セルは超母集団から平均して 1 個抽出されたものと考える）としたりすることによって式（2.4）を評価することができる．
この結果を拡張すると以下の定理を得ることができる（証明は補論を参照）．

226

第 51 巻統計数理

第 2 号 2003

定理 2.1. (n; f ) ∼ M H(N ; F ), F ∼ M N (N ; π) であるとき，π1 = · · · = πm = π0 とする．また {i1 , . . . , ik } ⊆ {1, . . . , m} とし αk = Pr( 少なくとも１組の {i1 , . . . , ik } に対して Fi1 = · · · =Fik = 1|f1 = · · · = fm = 1), 1 ≤ k ≤ m と表記すると  
m

（i）

αk =

r=k

m
r

m−r

(−1)

j=0

j



m−r
j



(1 − (r + j)π0 )N−n（ii）もし n(N ) が十分大きく π0 = 1/n(1/N ) であるならば
(2.5)

 

αk = 1 − G(k − 1; m, p) ,ただし G(x; m, p) = xk=0 m
pk (1 − p)m−k は母数 (m, p) の 2 項分布の分布関数であり，またk
抽出率を θ = n/N とすると p = exp(1 − θ−1 ), (exp(θ − 1)) である．
これを用いれば k = 1 のときつまり標本一意であるもののなかに母集団一意であるものが少なくとも１つある事後確率は次のようになる．
系 2.1.

（i） α1 =mr−1
r=1 (−1)mr(1 − rπ0 )N−n .

（ii） もし n(N ) が十分大きく π0 = 1/n(1/N ) であるならば
α1 = 1 − (1 − p)m .

この（ii）で Pr(Fj = 1|f1 = · · · = fm = 1) = (1 − π0 )N−n ≈ exp −(N − n)π0 = p であることに注意すると α1 = 1 − m
j=1 (1 − Pr(Fj = 1|f1 = · · · = fm = 1)) から {Fj = 1} j = 1, 2, . . . , m が条件付きで独立になっており，m 個の標本一意なセルのうち母集団一意であるセルの期待値はm(1 − π0 )N−n となる．
さて表 1 は式（2.5）
を用いて m = 100 (m = 10) と θ = 0.1, 0.15, 0.2 のときについて αj を計算した結果である．π0 = 1/n と考えると 100 個の標本一意な個体が存在したとしても，そのうち少なくともひとつの個体が母集団一意である確率は，標本抽出率が 10％であれば 0.0123 と非常に低い．少なくとも 2 つあるいは 3 つの個体が母集団一意である確率はさらに低くなる．しかし，標本抽出率が 20％になるとその確率は急激に上昇し 0.8425 となる．この傾向は m = 10のときでも同様である．式（2.5）で α1 = 0.05 とおいて m について解いてみると，θ = 0.1(0.05)のとき m = 416(9154945) となり 5％抽出はかなり安全である．
一方，π0 = 1/N と考えるといずれの場合でも母集団一意である事後確率は非常に高い．ただ π0 = 1/N と考えるのは，標本一意のセルすべてが母集団一意であるという強い事前情報を
表 1.

m = 100 (m = 10)．

227

ミクロデータにおける母集団一意性の事後確率

用いることになるので，開示リスクの評価としては適切ではない．むしろ母集団に関する情報がない状態では，π0 = 1/n として標本に 1 個あれば平均的には母集団に N/n 個あると考えるのが自然であろう．
2.2 ディリクレ多項分布モデル
これまで πj は既知であるとした仮定を本節では緩めて，ポアソン=ガンマモデルで独立とされていたカテゴリー間の相関を取り入れるように πj が多次元分布に従う確率変数であると考える．具体的には以下のように πj が λ = (λ1 , . . . , λK ) (λj > 0) を母数とするディリクレ分布に従うとする．
f (π|λ) =




K

Γ(λ．
)

K
i=1 Γ(λj ) j=1

λ −1

πj j


K

,

λ．=

λi ,

i=1

F と π の同時分布 Pr(F |π, λ)f (π|λ) を π に関して積分すると以下のようなディリクレ多項分布を得る（F ∼ DM (N, λ) と表記する）．

K

Pr(F |λ) =(2.6)

N !Γ(λ．
)
Γ(λi + Fi )Γ(λ．
+ N ) i=1 Γ(λi )Fi !

この事前分布を用いると式（2.1）（2.6）より F の事後分布は

K

Pr(F |f ) =(N − n)!Γ(λ．
+ n)Γ(λi + Fi )
Γ(λ
Γ(λ．
+ N)
i + fi )(Fi − fi )!
i=1となる．前節と同様に f1 = · · · = fm = 1 であったとすると (Fi1 , . . . , Fir ), ({i1 , . . . , ir } ⊆{1, . . . , m}, 1 ≤ r ≤ m) の周辺事後分布は
Pr(Fi1 , . . . , Fir |f1 = · · · = fm = 1) =
×



−
Γ(λ．

Γ(λ．
−





r
Γ(λij + Fij )(N − n)!Γ(λ．
+ n)
Γ(λ
Γ(λ．
+ N)
ij + 1)(Fij − 1)!
j=1




r
j=1 λij + N −r
j=1 λij + n − r)(N −r
j=1 Fij )r
j=1 Fij − n + r)!

となる．このことを用いて以下を導くことができる．
補題 2.1. (n; f ) ∼ M H(N ; F ), F ∼ DM (N ; λ) とし， {i1 , . . . , ir } ⊆ {1, . . . , m} (1 ≤ r ≤ m)
とすると
（i）

 

Pr(Fi1 , . . . , Fir |f1 = · · · = fm = 1)



N−n

=

i=1

1−

wi

r
j=1 λijλ．

+ (1 − wi )

r
N −i


,

wi =

λ．
.
λ．
+N −i

（ii） もし λ．が十分大きく，かつ N が小さいならば重みは wi ≈ 1 (i = 1, . . . , N − n) であるから
Pr(Fi1 , . . . , Fir |f1 = · · · = fm = 1) =

 
1−

r
j=1 λij



N−n

λ．

さらに λ1 = · · · = λm = λ0 で λ0 /λ．が小さいならば Pr(Fi1 = · · · = Fir = 1|f1 = · · · = fm =1) = pr , p = exp(N − n)λ0 /λ．となる．

228

統計数理

第 51 巻

第 2 号 2003（iii） もし λ．が十分小さいならば重みは wi ≈ 0 (i = 1, . . . , N − n) となりr

Pr(Fi1 , . . . , Fir | f1 = · · · = fm = 1) =

n−i
.
N
−i
i=1

さらに r  N ならば Pr(Fi1 = · · · = Fir = 1|f1 = · · · = fm = 1) = θr (θ = n/N ) となる．
重み wi は事前情報の重みであると解釈でき，λ．→ 0 のとき wi → 0 で λ．→ ∞ のとき wi → 1となる．もし事前情報がほとんどなく (λ．≈ 0)，N が十分大きい場合には Pr(Fj = 1|f1 = · · · =fm = 1) は標本抽出率 θ となり {Fij = 1} は条件付き独立になる．従ってこのようなときには
Bethlehem et al. (1990) のように Fj に独立性を仮定してポアソン=ガンマモデルをあてはめても同じ結果となる．そして母集団一意であるようなセルの個数の期待値は m(n − 1)/(N − 1) となる．この補題を用いると母集団一意である事後確率が以下のように求められる．
定理 2.2. (n; f ) ∼ M H(N ; F ), F ∼ DM (N ; λ) とし，{i1 , . . . , ik } ⊆ {1, . . . , m} とする．
（i）λ．が十分大きく N が小さく，かつ λ1 = · · · = λm = λ0 であるとすると

  
m

αk =

m
r

r=k

m−r

(−1)

j

j=0



m−r
j



1−

λ0
(r + j)λ．

N−nである．さらに λ0 /λ．が小さければ αk = 1 − G(k − 1; m, p), p = exp(N − n)λ0 /λ．である．
（ii）λ．が十分小さければ

  
m

αk =

r=k

m
r

m−r

(−1)

j



j=0

m−r
j



r+j

n−i
,
N
−i
i=1

であり，さらに m  N ならば
αk = 1 − G(k − 1; m, θ) ,(2.7)

θ = n/N ,である．
もし（i）で λ0 /λ．= π0 とおけば定理 2.1 と同じ結果を得ることができる．また標本抽出率 θ はexp(1 − θ−1 ) < θ < exp(θ − 1) であることから，定理 2.1 で 1/N < π0 < 1/n である π0 のなかに（ii）を満たすものがある．



 



系 2.2. （i）λ．が十分大きく N が小さいとする．もし λ1 = · · · = λm = λ0 ならば α1 =mr−1
r=1 (−1)mr

1 − r λ0
λ．

N−nn)λ0 /λ．である．
（ii）λ．が十分小さいとき α1 =α1 = 1 − (1 − θ)m である．

. さらに λ0 /λ．
が小さいならば α1 = 1−(1−p)m , p = − exp(N −



m
r−1
r=1 (−1)

 
m
r

r
n−i
i=1 N−iであり，さらに m  N ならば

表 2 は式（2.7）を用いて αj を m = 100 (m = 10) のときに計算した結果である．この結果は多項分布のモデルで 1/n < π0 < 1/N であるような π0 に対して得られる結果に該当するため，
π0 = 1/n の場合に比べると厳しい数値になっている．例えば m = 100 のときで標本抽出率 θを 0.1 ととると α1 ≈ 1 とほぼ確率 1 で母集団一意になり，また標本抽出率をさげてもなかなかミクロデータにおける母集団一意性の事後確率
表 2.

表 3.

229

母集団一意性の事後確率．m = 100 (m = 10)．

α1 = 0.05（α1 = 0.01）であるような標本一意の個数．

この確率は下がらない．これは πj に関する事前情報がばらついたため標本一意であるようなセルの πi が非常に小さい場合も含めて考慮してしまうからであると考えられる．
表 3 は母集団一意である事後確率が α1 = 0.05(0.01) であるような標本一意の個数 m を計算した結果である．近似的に m = α1 /θ が成り立っており，抽出率が 1％であっても標本一意である個数が 5 個となっている．
以上のことからディリクレ多項分布モデルのように πi に関する情報をあまり漠然とした形で想定すると，すべての πj に対して同じような事前のウェイトを与えてしまい，結果として得られるリスク評価の意味が曖昧になりやすいということもできる．ミクロデータの開示リス
ク評価においては，データの性質によって標本一意であることの危険性が異なるので，むしろ多項分布モデルで π0 の値をいろいろと変えながらリスクを評価することも必要である．しかし，どの場合においても母集団一意である確率は厳密には 0 にはならないので，確実にリスクを避けたい場合にはデータに対して秘匿のための加工を行う必要がある．
本節の結果は標本一意の観測値の母集団一意性についてであったが，標本におけるセル数が 2個のカテゴリーが，母集団においても頻度が 2 である事後確率を計算することもできる（Omori（1999））．しかし，それらの確率は標本一意である場合の数値よりも低くなるため，リスク評
価の基準としては標本一意である観測値の母集団一意性の事後確率が適当である．
3.

カテゴリ間の相関構造のモデル

前節でみたように多項分布モデルのパラメータ πj に関する事前分布のとりかたによって計算されるリスクは変わってしまう．このためミクロデータの開示に慎重な人々からは母集団一意である危険性は高いという指摘がなされて，開示をすすめる人々からは危険性が直観よりも高すぎるという不満が生じたりしている．実はカテゴリ間の相関を考慮しなくても π0 = 1/nと考えれば比較的安全であるし，π0 = 1/N と考えると危険であることになる．相関構造を考えた場合に πj にディリクレ分布を仮定すると比較的危険であるという結果になるが，これも

230

統計数理
表 4.

第 51 巻

第 2 号 2003

ミクロデータの形式の例．

他の仮定をおけばまた変わってくる．
以下ではカテゴリーの相関構造をモデル化し，開示リスクを評価する代替的な方法について考える．カテゴリーの相関構造はミクロデータごとに異なっているので各カテゴリーの特徴を明らかにしたうえでカテゴリー間の関係を考えることが必要である．通常，ミクロデータは質的な変数の項目と量的な変数の項目からなっているが，量的な変数は正確な値で得られる場合もあるが，区間で打ち切られていることが多いのでここでは区間の両端が既知であるような量的データを考慮する．
すべての変数の項目の合計を J 項目とし，質的な変数のうち，順序のない項目は J1 個, 順序のある項目は J2 個あるとする．そして量的な変数の項目は J3 個とし，合計で J = J1 + J2 + J3
個の項目となる．例えば表 4 のようなミクロデータである．
第 i 個体の第 j 項目についての回答を，順序のない質的な変数，順序のある質的な変数, 区間で打ち切られた量的な変数について，それぞれ Xij , Yij , Zij とする．すると
Xij = k ,k = 1, . . . , Kj ,j = 1, . . . , J1 ,Yij = l ,l = 1, . . . , Lj ,j = 1, . . . , J2 ,Zij = m ,m = 1, . . . , Mj ,j = 1, . . . , J3 ,Zij = m ということは，変数 Wij が区間 [aj,m−1 , ajm ) で打ち切られているということを表す（区間の両端 aj0 , . . . , ajMj は既知）．そこで Xi = (Xi1 , . . . , XiJ1 ) , Yi = (Yi1 , . . . , YiJ2 ) , Zi =(Zi1 , . . . , ZiJ3 ) , とすると，第 i 個体の回答は観測値 (Xi , Yi , Zi ) , で表現される．このとき同時確率密度関数は
f (xi , yi , zi ) = f (xi )g(yi |xi )h(zi |xi , yi )となる．
ミクロデータの開示リスク評価は，これに基づいて得られたパラメータの事後分布から標本
一意なサンプルについて行う．まず標本一意なサンプルが (x0 , y0 , z0 ) として与えられたときの確率 f (x0 , y0 , z0 |x, y, z) の推定値を求め，母集団の総数を N としたとき標本に含まれなかった
観測値が同じセルになる頻度の期待値を (N − n)f (x0 , y0 , z0 |x, y, z) として求める．また標本一意かつ母集団一意でもある事後確率は {1 − f (x0 , y0 , z0 |x, y, z)}N−n と考えればよい．
3.1 順序のない質的変数のモデル
順序のない質的変数の項目のモデルとして一般的にすべてのカテゴリの組み合わせを考えるとパラメータ数が非常に大きくなってしまい，推定が困難になる．そこで以下ではパラメータを節約した多変量多項ロジット・プロビットモデルを基礎として考える．多項ロジットモデル

ミクロデータにおける母集団一意性の事後確率

の場合，



Kj −1

f (xij )=1 − f (xij )

log

231

αjk Dijk = αj Dij ,k=1

ただし，D はダミー変数で
1 xij = k のとき ,Dijk =

0 それ以外のとき ,であり，αj = (αj1 , . . . , αjKj −1 ), Dij = (Dij1 , . . . , DijKj −1 ) , j = 1, . . . , J1 , である．さらに
α = (α1 , . . . , αJ1 ) とおき，その事前分布として多変量正規分布を仮定し，項目間の相関を共分
散を通じて考慮する．たとえばα ∼ N (0, Σ) ,

Σ−1 ∼ W (ν0 , H0 ) として Σ−1 の事前分布には Wishart 分布を仮定する．
1
exp − trH0−1 Σ−1 .
2
一方，多項プロビットモデルを仮定する場合には項目ごとに潜在変数 Uij = (Uij1 , . . . , Uij,Kj −1 )
j = 1, . . . , J1 を考えてπ(Σ−1 ) ∝ Σ−1(ν0 −J1 −1)/2

Pr(Xij = k) = Pr max
U

k

ijk

= Uijk > 0と定義する．Uij は多変量正規分布に従い，Uij ∼ N (αj , I) とし，さらに α については多項
ロジットのように多変量正規分布を想定する．ここでは α が与えられたもとでは各項目は独立であると考えているが，これらに相関構造をさらに考えて拡張することもできる．例えばUij ∼ N (αj , Σ) とすることもできるが（識別のため Σ の（1,1）要素は 1 とおく必要がある），計算は複雑になる．その場合，逐次プロビットモデルに相関構造を考慮したモデルを利用することも考えられる．
もしカテゴリーのセル頻度が滑らかに変化する構造が想定されるならば，パラメータ αj について平滑化する事前分布の重みを強くすることにより，事後確率を平滑化し母集団一意の事
後確率を低くすることができる．しかし，平滑化の仮定を正当化できない限りそうした事前分
布を機械的に用いることは無意味である．例えば性別というアイテムに属するカテゴリーである男性・女性のセル頻度を考えてみると，母集団の男女比率は必ずしもいつも 50％ずつではな
い．母集団が化粧品の購入者となれば女性の比率が圧倒的に高くなり，わずかな男性の比率を平滑化によって大きくすることはデータの構造を歪曲することになってしまう．従って母集団一意性が特に問題となるようなセルについては平滑化の仮定がそもそも適当でない可能性が高く，事前分布の仮定には注意が必要である．
推定の方法は潜在変数が多いためマルコフ連鎖モンテカルロ法を用いて行う．多項ロジット
モデルの場合，パラメータ αj の事後分布は正規分布ではないので，対数事後分布をモード α̂jのまわりでテーラー展開することにより正規分布で近似して Metropolis-Hastings アルゴリズ
ムを適用すればよい．α\j を αj を除く α の要素とすると
αj |Σ, α\j ∼ N (mj , Sj ) ,mj = Σ11 Σ−122 α\j ,Sj = Σ11 − Σ12 Σ−1
22 Σ21 ,(Σ11 = E(αj αj ), Σ12 = Σ21 = E(αj α\j ), Σ22 = E(α\j α\j )) であるから，事後分布は

nf (αj |x, Σ, α\j ) ∝exp(αj Dij )1
× exp −(αj − mj ) Sj−1 (αj − mj )

1
+
exp(α
1
2
Kj −1 )
j
i=1

232

統計数理

第 51 巻

第 2 号 2003となり
log f (αj |x, Σ, α\j )= const + αjnDij − n log{1 + exp(αj 1Kj −1 )} −i=1

1
(αj − mj ) Sj−1 (αj − mj )2

を 2 次の項までテーラー展開することにより近似分布の提案分布としてµ∗ = Σ∗


n

i=1

Σ∗ =

Dij −

n exp(α̂j 1Kj −1 )nα̂j 1Kj −1 exp(α̂j 1Kj −1 )+1Kj −1 + Sj−1 mj
1K−1j
1 + exp(α̂j 1Kj −1 ){1 + exp(α̂j 1Kj −1 )}2

n exp(α̂j 1Kj −1 )1K −1 1Kj −1 + Sj−1
{1 + exp(α̂j 1Kj −1 )}2 j

,

−1

,

を平均，分散共分散行列とする N (µ∗ , Σ∗ ) を用いればよい．Σ−1 の事後分布は Wishart 分布で
Σ−1 |x, α ∼ W (ν0 + 1, {H0−1 + αα }−1 )となる．
同様に多項プロビットモデルを仮定する場合にも項目ごとに考える．まず空間 Rj を
Rj ={Uij : uijxij = maxk uijk > 0} ,xij = Kj

{Uij : uijxij < 0} ,xij = Kjとおくと Uij の αj が与えられたときの条件付き事後分布は切断正規分布 Uij |αj , xij ∼ T NRj (αj , I)である
（多変量切断正規分布からのサンプリングは例えば Geweke（1991）
参照）．また αj の U (ただし U  = (U1 , . . . , Un ), Ui = (Ui1 , . . . , UiJ )) が与えられたときの条件付き事後分布は
α | U, Σ ∼ N (µ∗ , Σ∗ ) ,µ∗ = Σ∗


n

Ui ,



Σ∗ = Σ−1 + nI

−1

i=1

である．Σ のサンプリングは多項ロジットモデルの場合と同様である．
3.2 順序のある質的変数のモデル
次に，順序のある変数の項目について多変量順序プロビットモデルを用いてカテゴリの構造をモデル化する．ここでは順序のない質的変数に関する回答 x は与えられたものとし，条件つき分布 g(y|x) について考える．回答 yi は順序尺度であるから，潜在変数 Vi = (Vi1 , . . . , ViJ2 )
を考えて
Yij |xi , vij = l ,if γj,l−1 ≤ vij < γjl ,j = 1, . . . , J2 ,ただし，−∞ = γj0 ≤ γj1 ≤ · · · ≤ γj,Lj −1 ≤ γj,Lj = ∞ とする．パラメータを識別可能とするために γj1 = 0 とおき，γ = (γ1 , . . . , γJ 2 ), γj = (γj2 , . . . , γj,Lj −1 ) と表記する．また潜在変数の分布は x が与えられたとき
Vi |γ, xi ∼ N (Ai β, Ω) ,であるとする．Ai β は回帰部分で第 i 個体の特徴を表し，Ai = diag{Ai1 , . . . , AiJ2 }, Aij = (1, Dij),（従っ
β  = (β1 , . . . , βJ 2 ) とする．また識別性のために分散共分散行列 Ω の対角要素は 1 とおくて Ω は相関行列）とE(Vij |γ, xi ) = Aij βj = βj0 +

J1 Kh −1h=1 k=1

βj,hk Dihk

233

ミクロデータにおける母集団一意性の事後確率となる．これを用いれば

g(yi |xi , β, γ, Ω)=1(2π)−n/2 |Ω|−n/2 exp − (vi − Ai β) Ω−1 (vi − Ai β)dvi ,2
Ri

Ri = (γ1,yi1 −1 , γ1,yi1 ] × . . . × (γJ2 ,yiJ2 −1 , γJ2 ,yiJ2 ] ,と表現できる．潜在変数を導入することによりパラメータのサンプリングが容易になるが，相関行列 Ω のサンプリングが難しくなるため，以下のように Nandram and Chen（1996）の変数変換を行う．Ω の（i, j ）要素を ωij とおき∗γjk= ξj γjk ,ξj = 1/γjLj −1 ,（従って ξj =βj∗ = ξj βj ,



∗
vij
= ξj vij ,∗ωij= ξi ξj ωij ,j = 1, . . . , J2 , k = 2, . . . , Lj ,∗
ωjj）と変換すると∗
Yij | xi , vij
= l,

∗
∗
∗
if γj,l−1
≤ vij
< γjl
,

j = 1, . . . , J2 ,Vi∗ | γ ∗ , xi ∼ N (Ai β ∗ , Ω∗ ) ,
∗
∗
∗
∗
∗
≤ 0 ≤ γj2
≤ · · · ≤ γjL≤ γjL= 1 ≤ γjL= ∞,− ∞ = γj0
j −2
j −1
j

となる．これにより Ω∗ の事前分布に Ω∗−1 ∼ W (ν1 , H1 ) とおくと事後分布も Wishart 分布か
∗∗
ら簡単にサンプリングできるようになる．特に γ ∗ = (γ1∗ , . . . , γJ∗2 ) , γj∗ = (γj2
, . . . , γjL
) が
j −2
∗
∗
∗
与えられたとき，β の事前分布を N (β0 , Ω0 ) とするならば・ Ω∗−1 |x, v∗ , β ∗ , γ ∗ ∼ W

ν1 + n,H1−1 +

n−1(vi∗ − Ai β ∗ )(vi∗ − Ai β ∗ )



i=1
∗

∗

∗

∗

∗

= Ω∗1



・ β |x, v , Ω , γ ∼ N (β̂β̂∗, Ω∗1 ) ただし

Ω∗−1
β0∗ +
0


n

Ai Ω∗−1 vi∗



i=1

,



Ω∗1 =



Ω∗−1
+
0




n

i=1



−1

Ai Ω∗−1 Ai



.



∗
∗
・ vi∗ |x, β ∗ , Ω∗ , γ ∗ ∼ T NRi (Ai β ∗ , Ω∗ ) ただし Ri = γ1,y, γ1,y×. . .× γJ∗2 ,yiJ −1 , γJ∗2 ,yiJ .
i1 −1
i1
2
2

である．
γ ∗ のサンプリングには Albert and Chib（1993）, Nandram and Chen（1996）, Chen and Dey∗（1996）による方法があるが，Albert and Chib（1993）は vi∗ と γ\jt
で両端が決まる一様分布を用いるので得られたサンプルの相関が高くなり収束が遅くなりやすい（特に n ≥ 50 のとき）．
Nandram and Chen（1996）
はディリクレ分布を近似分布の提案分布として Metropolis-Hastings
アルゴリズムを行うが，あるセルの度数が 0 に近くなるような場合にはよい提案分布として機能しない（Chen et al.（2000））．このため Chen and Dey（1996）に従って次のような変数変換を
行う．
∗
γjl
=

∗
γj,l−1+ exp(ζjl ),1 + exp(ζjl )l = 2, . . . , Lj − 2 ,j = 1, . . . , J2 . そして vi∗ を上のように発生させるのではなく∗, γk∗ (k = j), x, β ∗ , Ω∗ を発生させる．
（1）まず ζj2 , . . . , ζjLj −2 |vik∗∗∗（2）次に vij |vik (k = j), γ , x, β ∗ , Ω∗ (i = 1, . . . , n) を発生させる．

234

統計数理

第 51 巻

第 2 号 2003∗∗というように γj∗ と vij(i = 1, . . . , n) を同時にサンプリングする．vik(k = j) が与えられたと∗2∗
きの vij の分布を N (mij , sij ) (i = 1, . . . , n) とする (各個人の vi の同時分布における第 j 変数の条件付き分布）と条件つき周辺尤度は n Lj −2Φ

i=1 t=1

∗
γjt
− mij
sij

 
−Φ

∗
γj,t−1
− mij
sij



であるから，（1）
ではこれをモード ζ̂j のまわりでテーラー展開して正規分布で近似し，MetropolisHastings アルゴリズムを用いて ζj をサンプリングする．ζj（従って γj∗ ）が得られたら
（2）では
∗
2
∗
∗
vij
を切断正規分布 T N(γj,y(m,s)
からサンプリングする．
jij−1 ,γj,y ]ij

ij

3.3 区間で打ち切られた量的変数のモデル
最後に，区間で打ち切られた量的変数の項目に関するモデルを考える．ここでは打ち切られる前の変数 wij に対して一般化線形モデルを仮定し指数型分布族の密度関数をもつとする．区間の両端 ajm ’s の値は既知であり
h(zij = m | x, y, ηij , φj ) =ajm

aj,m−1p(wij |x, y, ηij , φj )dwij ,p(wij | x, y, ηij , φj ) = exp{[wij θij − a(θij ) + b(wij )]/φj }µij = E(wij | x, y, ηij , φj ) = a (θij ) ,τij = var(wij | x, y, ηij , φj ) = a (θij ) ,q(µij ) = ηij ,τij = r(µij )φj ,j = 1, . . . , J3 ,となる．ここで q, r はそれぞれ既知のリンク及び分散関数である．また連続変数の項目間には相関関係があるので，wi = (wi1 , . . . , wiJ3 ) の多変量分布を考える必要があるが，ここでは母数 ηi が与えられた時には wij は条件付きで独立とし，ηi を通じて階層的に相関構造を考えていく．そこでηi = Bi δ ,δ ∼ N (δ0 , Q) ,ηi = (ηi1 , . . . , ηiJ3 ) ,i = 1, . . . , n ,






∗
と仮定する．Bi δ は回帰部分であり Bi = diag{Bi1, . . . , BiJ}, Bij= (1, Dij
, Dij), j = 1, . . . , J2 ,3
δ = (δ1 , . . . , δJ3 ) とする．ここでは順序のある質的変数の潜在変数 v を説明変数とするとサン∗
プリングが難しくなるため，順序のない質的変数と同様にして定義されるダミー変数 Dijを用いることとする．従ってηij = Bijδj = δj0 +

J1 Kh −1h=1 k=1

J2 Kh −1

δj,hk Dihk +∗ψj,kh Dihk,

h=1 k=1と仮定する．分散のパラメータ φj が未知の場合は事前分布としてガンマ分布を考える．するとパラメータのサンプリングは次のようになる．

・ wij | δ, Q, φ は，区間 (aj,m−1 , ajm ] で切断された指数型分布族に従って発生させる．
・ Q|δ, w, φ. Q の事前分布を Q−1 ∼ W (ν2, H2 ) とすれば事後分布は
Q−1 | δ, w, φ ∼ W (ν2 + 1, {H2−1 + (δ − δ0 )(δ − δ0 ) }−1 ) .

235

ミクロデータにおける母集団一意性の事後確率φ−1の事前分布を Gamma(ϕ0j , ϕ1j ) とすればj・ φj |δ, Q, wij .

φ−1∼ Gamma
j

ϕ−1
1j +

ϕ0j + n,−1nwij θij − a(θij ) + b(wij )


.

i=1

また回帰係数 δ の事後分布 δ|Q, w, φ では 尤度関数をテーラー展開することにより得られる正規分布を近似する提案分布として Metropolis-Hastings アルゴリズムによりサンプリングする．
Q, w, φ が与えられたときの対数尤度関数 l(δ) は定数項部分と δ0 の事前分布に関する部分を除
いて




n

l(δ) =J3

φ−1
j {wij θij − a(θij )}i=1 j=1nJ3≈ l(δ̂) +(δj − δ̂j ) lij(δ̂j ) +i=1 j=1nJ3= l(δ̂) +{Bij(δj − δ̂j )}i=1 j=1

1(δj − δ̂j ) Cij (δ̂j )(δj − δ̂j )2(δj − δ̂j )}2{Bij
wij − µ̂ij
−



φj a (θ̂ij )q (µ̂ij )2φj a (θ̂ij ){q  (µ̂ij )}2

ただし

lij
(δj ) =∂li (δ)wij − µij
=
Bij ,
∂δj
φj a (θij )q  (µij )Cij (δj ) = E

1∂ 2 li (δ)
=−Bij Bij,∂δj ∂δj
φj a (θij ){q  (µij )}2であるから，
∗

wij
≡ Bij
δ̂j + (wij − µ̂ij )q  (µ̂ij )と定義し Pij = φj a (θ̂ij )(q  (µ̂ij ))2 として w の分布を以下のような w∗ の正規分布で近似する．
δj の事前分布の条件付き分布を δj ∼ N (mj , Qj ) とおくと
∗

wij
= Bij
δj + ij ,すると近似する分布のモードは


n

δ̂j =

−1

Bij Pij−1 Bij
+ Q−1
j

i=1

ij ∼ N (0, Pij ) ,n∗Bij Pij−1 wij
+ Q−1
j mj

,

i=1

となり，その分散共分散行列はnΣ(δ̂j ) =−1

Bij Pij−1 Bij
+ Q−1
j

i=1

となるので δj の近似分布として N (δ̂j , Σ(δ̂j )) を用いればよい．実際に δ̂ を求めるには，適当な初期値から始めて P, w∗ を評価して δ̂ を求め，その値を利用して P, w∗ を評価して δ̂ を求めるということを数回繰り返せばよい．なぜならそのプロセスは最尤推定量を求めるためのスコア
リング法になっているからである．また近似分布では厳密なモードが必要とされているわけではないので，近似分布を得る目的としては数回程度の繰り返しで十分である．

236

4.

統計数理

第 51 巻

第 2 号 2003

結論

本稿ではミクロデータにおいて数多く観察される標本一意である観測値がミクロデータの開示リスクとなるかどうかについて，母集団一意性の事後確率を用いて評価する方法について提案した．まずカテゴリ間に詳しい相関構造を考えない場合，多項分布やディリクレ多項分布を用いて事後確率を試算した．特に事前分布に構造を考えることができない場合には，標本一意であるようなカテゴリーのセルの頻度は母集団では N/n 程度（標本抽出率の逆数）であるという事前分布を用いると母集団一意である事後確率は比較的低いことがわかった．しかし，標本一意であるようなセルは母集団一意であるとする事前分布を用いたり，母集団のセル頻度が大
きくばらつく事前分布を用いたりするとその事後確率は必要以上に高くなってしまう傾向があり，事前分布の選択はミクロデータの性質によって慎重に行わなければならない．
一方，ミクロデータの構造を詳細に反映したい場合には相関構造をモデル化する必要があり，
多項ロジット・プロビットモデル，多変量順序プロビットモデル，切断正規分布モデルなどを組み合わせて推定する必要がある．推定の方法は潜在変数が多いためにマルコフ連鎖モンテカ
ルロ法によるが，計算の負荷は大きくならざるを得ない．またいろいろな現実のデータに適用し，その妥当性について検討を重ねていくことも今後の課題である．
本稿ではどのセルについても同じく重要であると考えて議論を進めたが，実際の応用においてその仮定は常に適当であるとは限らない．例えば職業が俳優で住所がある地域であるという特定のセルについてのリスクが実際には問題になると考えられるため，単純に標本一意である
ようなセルの個数を考えるのではなく，プライバシーの侵害につながるような標本一意のセルの個数を用いて本稿で提案した開示リスクの評価を行うといった柔軟な適用も必要である．
補 論
定理 2.1 の証明.
（i） Pr(少なくとも一組の {i1 , . . . , ik } について Fi1 = · · · = Fik = 1|f1 = · · · = fm = 1)

 
 
m

=

Pr(Fi1 = · · · = Fir = 1, Fi = 1, i ∈/ {i1 , . . . , ir }|f1 = · · · = fm = 1)

r=k i1 <···<ir
m

=

m
r

r=k

Pr(F1 = · · · = Fr = 1, Fi = 1, i = r + 1, . . . , m|f1 = · · · = fm = 1)

であることからPr(F1 = · · · = Fr = 1, Fi = 1, i = r + 1, . . . , m|f1 = · · · = fm = 1)
= Pr(F1 = · · · = Fr = 1|f1 = · · · = fm = 1)

m−

Pr(F1 = · · · = Fr = Fi = 1|f1 = · · · = fm = 1)

i=r+1





+ · · · + (−1)m−r Pr(F1 = · · · = Fm = 1|f1 = · · · = fm = 1)



m−r

=

j=0

(−1)j

m−r
j

(1 − (r + j)π0 )N−nより結果を得る．
（ii）n が十分に大きく π0 = 1/n であるとき Pr(F1 = · · · = Fs = 1|f1 = · · · = fm =1) = 1 − nsn(θ −1 −1)≈ ps , p = exp(1 − θ−1 ), θ = n/N である．同様に N が十分に大きく237

ミクロデータにおける母集団一意性の事後確率

π0 = 1/N であるとき，この確率は ps , p = exp(θ − 1) となる．従って (1 − (r + j)π)N−n =pr+j を用いると Pr(F1 = · · · = Fr = 1, Fi = 1, i = r + 1, . . . , m|f1 = · · · = fm = 1) =
m−r
j m−r
pr+j = pr (1 − p)m−r となるから結果を得る． 2
j=0 (−1)
j







 



定理 2.2 の証明.（i）Pr(F1 = · · · = Fr = 1, Fi = 1, i = r + 1, . . . , m|f1 = · · · = fm = 1) =m−rjj=0 (−1)

m−r
j



N−n



1 − λ0 (r + j)
より最初の等号を得る．もし λ0 /λ．が小さいならば補λ．
j m−r
題 2.1 の（ii）によりその確率は m−r
pr+j = pr (1 − p)m−r , p = exp − λ0 (N − n) でj=0 (−1)jλ．
あるから結果を得る．
j m−r（ii）Pr(F1 = · · · = Fr = 1, Fi = 1, i = r + 1, . . . , m|f1 = · · · = fm = 1) = m−r
j=0 (−1)jr+j n−ir+j n−ir+jとなり同様に結果
i=1 N−i , より最初の等号を得る．N が十分大きければ
i=1 N−i = θを得ることができる． 2











系 2.1 の証明． Pr(F1 = · · · = Fr = 1|f1 = · · · = fm = 1) = (1 − rπ0 )N−n およびm
Pr(ある j について Fj = 1|f1 = · · · = fm = 1) =i=1 Pr(Fi = 1|f1 = · · · = fm = 1) −
m−1
Pr(F
=
1,
F
=
1|f
=
·
·
·
=
f
=
1)
+
·
·
·
+
(−1)
Pr(F1 = · · · = Fm = 1|f1 = · · · =
i
j
1
m
i<j
fm = 1) より結果を得る． 2



参 考 文 献Albert, J. H. and Chib, S.（1993）. Bayesian analysis of binary and polychotmous response data, J.
Amer. Statist. Assoc., 88, 669–679.
Bethlehem, J. G., Keller, W. J. and Pannekoek, J.（1990）. Disclosure control of microdata, J. Amer.
Statist. Assoc., 85, 38–45.
. Bayesian analysis and computation for correlated ordinal data,
Chen, M.-H. and Dey, D. K.（1996）
Tech. Report, Department of Statistics, University of Connecticut, Storrs, Connecticut.
Chen, M.-H., Shao, Q.-M. and Ibrahim, J. G.（2000）. Monte Carlo Methods in Bayesian Computation, Springer-Verlag, New York.
Crescenzi, F.（1993）. On estimating population uniques: Methodological proposals and applications
on Italian census data, Proceedings of the International Seminar on Statistical Conﬁdentiality,
Dublin.
Duncan, G. T. and Lambert, D.（1986）. Disclosure-limited data dissemination, J. Amer. Statist.
Assoc., 81, 10–28.
. The risk of disclosure for microdata, J. Bus. Econom.
Duncan, G. T. and Lambert, D.（1989）
Statist., 7, 207–217.
. Eﬃcient simulation from the multivariate normal and Student-t distributions
Geweke, J.（1991）
subject to linear constraints, Computing Science and Statistics: Proceedings of the TwentyThird Symposium on the Interface, 571–578, Interface Foundation of North America Inc.,
Fairfax Station, Virginia.
Greenberg, B. V. and Zayatz, L. V.（1992）. Strategies for measuring risk in public use microdata
ﬁles, Statist. Neerlandica, 46, 33–48.
Kanoh, S.（1997）. Statistical disclosure control of microdata for public use, Bulletin of the International Statistical Institute, 51st session, Contributed papers TOME LVII, 425–426.
. Measure of disclosure risk and harm, Journal of Oﬃcial Statistics, 9, 313–331.
Lambert, D.（1993）
Marsh, C., Skinner, C. J., Arber, S., Penhale, B., Openshaw, S., Hobcraft, J., Lievesley, D. and Walford,

238

統計数理

第 51 巻

第 2 号 2003

N.（1991）. The case for samples of anonymized records from the 1991 census, J. Roy. Statist.
Soc. Ser. A, 154, 305–340.
Mokken, R. J., Kooiman, P., Pannekoek, J. and Willenborg, L.（1992）. Disclosure risks for microdata,
Statist. Neerlandica, 46, 49–67.
Nandram, B. and Chen, M.-H.（1996）. Reparameterizing the generalized linear model to accelerate
Gibbs sampler convergence, J. Statist. Comput. Simulation, 545, 129–144.
Omori, Y.（1999）. Measuring identiﬁcation disclosure risk for categorical microdata by posterior population uniqueness, Statistical Data Protection-Proceedings of the Conference, Lisbon, 25 to
27 March 1998–1999 Edition, 59–76, Oﬃce for Oﬃcial Publications of the European Communities, Luxembourg.
Paass, G.（1988）. Disclosure risk and disclosure avoidance for microdata, J. Bus. Econom. Studies,6, 487–500.
. Modeling population uniques, Proceedings of the InternaSkinner, C. J. and Holmes, D. J.（1993）
tional Seminar on Statistical Conﬁdentiality, Dublin.
. Disclosure control for census microSkinner, C. J., Marsh, C., Openshaw, S. and Wymer, C.（1994）
data, Journal of Oﬃcial Statistics, 10, 31–51.
Takemura, A.（1997）. Some superpopulation models for estimating the number of population uniques,
Discussion Paper 97-F-29, Faculty of Economics, University of Tokyo, Tokyo.
. Statistical Disclosure and Control in Practice, Lecture Notes
Willenborg, L. and de Waal, T.（1996）
in Statist., 111, Springer, New York.

Proceedings of the Institute of Statistical Mathematics Vol. 51, No. 2, 223–239 (2003)

239

Posterior Probability of Population Uniqueness in Microdata
Yasuhiro Omori(Faculty of Economics, University of Tokyo)

There is always an identiﬁcation disclosure risk when we release microdata. Some
individuals or companies might be identiﬁed by sample unique observations in the dataset
and then their privacy would be violated. Thus, the identiﬁcation disclosure risk needs tobe evaluated when we disclose microdata such as oﬃcial statistics. We usually have many
sample unique observations in the microdata, but most of them are not considered to be
population unique. This article evaluates a probability of identiﬁcation disclosure of any
individual using the posterior probability of population uniqueness, and discusses how weshould use it as a criterion of disclosure risk.

Key words: Identiﬁcation disclosure risk, Markov chain Monte Carlo, microdata, population uniqueness, posterior probability.