1348ー7345 ISSN ISSN一L 1348一7329オーストラリアのオンデマンド集計に関する調査研究NSTAC Working Paper No.33平成28年 8月独立行政法人統計センター製表技術参考資料は、独立行政法人統計センターの職員がその業務に関連して行った製表技術に関する研究の結果を紹介するためのものである。ただし、本資料に示された見解は、執筆者の個人的見解である。 ■      次
谷道正太郎*、伊藤伸介**、小島健一***
要旨
諸外国の政府統計(公的統計)のミクロデータにおいては、①匿名化ミクロデータ(個票データに匿名化処理が施されたデータ)の提供、②個票データの提供、③オーダーメード集計、 ④オンデマンド型の提供サービス(リモート集計)といった様々な形態による提供が進められてきた。一方、我が国においては、利用者が調査項目（表頭・表側）を選択するだけで集計結果を自動的に出力する、オンデマンド型の集計機能サービスに関する研究が現在進められている。平成26年3月25日に閣議決定された第II期「公的統計の整備に関する基本的な計画」では、統計データの有効活用の推進を図る観点から、オンデマンドによる統計作成に関する技術的検証等について実用化に向けた検討を行うことが言及されており、オンデマンド型の集計機能サービスについても、その実用性に関する議論が展開されている。諸外国においては、政府統計データの提供形態の１つとして、オンデマンドによる集計システムが展開されている国が存在する。このような諸外国におけるオンデマンド集計システムの安全性（調査客体の匿名性）の確保とニーズへの対応を検討するために、独立行政法人統計センターは、「政府統計オンデマンド集計等に関する調査研究」を実施することとした。本稿では、「政府統計オンデマンド集計等に関する調査研究」の成果に基づき、オーストラリアを対象としてオンデマンド集計システムの特徴を明らかにしている。オーストラリアでは、Table Builderというオンデマンド集計システムが開発されている。 Table Builderでは、インターネットを介してシステムにアクセスし、調査項目を指定することによって、自動集計された集計結果表をリアルタイムに受け取ることができる。本研究では、オーストラリア統計局が開発したオンデマンド集計システムであるTableBuilderの政府統計の二次的利用における位置付けを捉えるために、TableBuilderの法的根拠と秘匿処理の方法、さらに運用面での特徴を考察した。また、オンデマンド集計では、利用者のリクエストに応じて集計表を提供することになるため、集計表に含まれるセルの秘匿性をどのようにして確保するかが求められる。そのために、秘匿処理の方法として、出力された集計結果表のすべてのセルにノイズが導入されていることは、Table Builderにおける重要な特徴として指摘することができよう。 1
谷道正太郎、伊藤伸介、小島健一
1.本研究の背景と目的
諸外国の政府統計(公的統計)のミクロデータにおいては、①匿名化ミクロデータ(個票データに匿名化処理が施されたデータ)の提供、②個票データの提供、③オーダーメード集計、 ④オンデマンド型の提供サービス(リモート集計)といった様々な形態による提供が進められてきた(伊藤(2016a))。一方、我が国の統計法は、公的統計の体系的かつ効率的な整備及びその有用性の確保を図るため、公的統計の整備に関する基本的な計画を策定することや、統計データの二次的利用を促進すること等を踏まえ、2007年に改正され、2009年に全面施行された。現行の統計法では、学術研究等を主要な対象として、調査票情報の提供（統計法33条)、オーダーメード集計（統計法34条)、匿名データの提供（統計法36条）等の二次的利用が可能となっている。その中で、わが国においては、利用者が調査項目（表頭・表側）を選択するだけで集計結果を自動的に出力する、オンデマンド型の集計機能サービスに関する研究が現在進められている。平成26年3月25日に閣議決定された第Ⅱ期「公的統計の整備に関する基本的な計画」では、統計データの有効活用の推進を図る観点から、オンデマンドによる統計作成に関する技術的検証等について実用化に向けた検討を行うことが言及されており、オンデマンド型の集計機能サービスについても、その実用性に関する議論が展開されている。さらに、平成27年7月に開催された「第20回統計データの二次的利用促進に関する研究会」では、 「統計データの二次的利用の検討状況（全体像・イメージ）」が提案され、オーダーメード集計に関しては、「利用制限の緩和、『オンデマンド集計』の実用化」が今後の課題として指摘されている。諸外国においては、政府統計データの提供形態の１つとして、オンデマンドによる集計システムが展開されている国が存在する。その中に、オーストラリアで開発されたTable Builderがある。Table Builderでは、インターネットを介してシステムにアクセスし、調査項目を指定することによって、自動集計された集計結果表をリアルタイムに受け取ることができる。このような諸外国におけるオンデマンド集計システムの安全性（調査客体の匿名性）の確保とニーズへの対応を検討するために、独立行政法人統計センターは、「政府統計オンデマンド集計等に関する調査研究」を実施することとした1。本稿では、「政府統計オンデマンド集計等に関する調査研究」の成果に基づき、オーストラリアを対象としてオンデマンド集計システムの特徴を明らかにすることによって、オンデマンド集計システムにおけるその可能性を追究することにしたい。
2.オーストラリアにおけるオンデマンド方式による統計作成の実態
2-1オーストラリアにおけるオンデマンド集計の状況
「オンデマンド集計」は、利用者の要求に応じた集計表の作成及び提供として捉えられる。表1は、諸外国における政府統計の二次的利用について類型化を行ったものである。表1を見ると、統計データの二次的利用の種類に関しては、個票データへの直接的なアクセスの可能性および分析結果の提供形態によって、類別化が可能である。政府統計の個票データの二次的利用については、直接利用型、プログラム送付集計型とオーダーメード型に大別される。そして、オーダーメード型でリアルタイム提供型に整理される手法が、本研究で検討しているオンデマンド集計の方向性に近いものと考えられる。政府統計においては、集計結果表が公表される場合、調査客体が特定されないような秘匿措置が求められるが、一般には、結果表が詳細になるにつれ、また、関連する結果表が増えるにしたがって、秘匿の度合いや困難さは増大する。ゆえに、オンデマンド集計システムにおいて、利用者の様々な要求に応じて集計表を作成・提供するためには、作成された集計表の秘匿に関する十分な検討が求められる。一方、諸外国では、結果表の有用性と秘匿性のトレードオフ関係を何らかの方法で克服し、オンデマンド集計の提供を実現させている国が存在する。例えば、オランダ、オーストラリアが知られているが、特にオーストラリアは先進的な取組みを行っていることが確認されている。また、Andersson et al.  (2015)によると、スウェーデンがオーストラリアで運用されている方法を試みていることが紹介されている。そこで、本研究では、オンデマンド方式による統計作成・提供を実現しているオーストラリアを対象とした調査研究を行うことによって、オンデマンド方式による統計作成について、その技術的な側面を明らかにするだけでなく、実現に寄与していると思われる外的要因についても考察を行う。
l   2-2オーストラリアのオンデマンド方式による統計作成オーストラリアにおける統計の作成及び提供のサービスの全体像は、図１で示されている。オーストラリア統計局は、集計結果表の作成・公表を行うだけでなく、匿名化ミクロデータ(Confidentialised Unit Record Files=CURFs)の作成・提供、さらには、リモートアクセス(Remote Access Data Lab=RADL)による政府統計の個票データの利用サービスやオンサイト施設(ABS Data Lab)による個票データの利用サービスを行っている。オーストラリアのオンデマンド方式による統計作成については、図1の中で集計結果表(Publica- tion Output）の隣に位置する「TableBuilder」という集計システムが該当する。このシステムは、ミクロデータから表、グラフを作成するためのオンラインツールである。オーストラリア統計局は、このシステムがテーブルの表頭と表側を選ぶことによって、統計表やマップを「簡単に」作成できるツールであることを強調していた。なお、TableBuilderについては、2009年より、サービスが本格的に開始されている。 TableBuilderで利用可能なサービスは、センサスデータ(Census)とそれ以外のデータ(0thers)に関する集計サービスに大別されるが、それは表2のように体系づけられる。基本的な構成は、TableBuilder Proと呼ばれる有料のサービスとTableBuilder Basicと呼ばれる無料のサービスの２種類であり、アクセス可能な政府統計データもセンサスのデータとそれ以外のデータに分けられる。また、政府統計データの利用可能な年次（あるいはセンサスの実施時期）によって、異なるサービスが行われる。このように、サービスの体系は複雑であるが、それがセンサスのデータとそれ以外のデータに分けられる理由は、オーストラリア統計局の統計データを管轄している部局が異なるためであって、秘匿処理の違いといった技術的要素によって分かれているからではない。ただし、ツールの機能から見ると、センサスのデータとそれ以外のデータでは、機能がやや異なっている。センサス向けのTableBuilderでは、マッピング機能を使用することが可能であるが、センサス以外のTableBuilderにおいては、標本調査のデータセットから算出された基本統計量（ウェイト、RSE、連続データ項目、平均、カスタム範囲、分位点を含む）のみが、算出され、提供されている。つぎに、表３は、センサスデータを対象としたTableBuilder ProとTableBuilder Basicに関する特徴をまとめたものである。TableBuilder ProとTableBuilder Basicの場合、課金をするか否かという大きな違いがあるが、両者のいずれも、センサスの全てのデータを分析対象とすることができる。ただし、利用できる機能と利用可能な項目に違いがあることから、課金の有無が生じていることがわかる。とくに、TableBuilder  Basicでは、集計表に用いる変数は、予め設定された分類区分のみが利用可能であって、それらの変数を用いて作成された統計表がオンデマンドで提供可能であるのに対して、TableBuilder   Proにおいては、利用者がデータベースの中から希望する変数や分類区分を探索的に選定した上で、統計表を作成することが可能である。
出所   Elazar (2013)
スの後継である。なお、TableBuilder Basicの場合、国外から利用することも可能であるが、TableBuilder Proについては、国内に居住する者に限定されている。また、TableBuilder Proの利用者は通常、自身が所属する組織・団体を介して利用の申請を行うが、オーストラリア統計局は、その利用申請の段階で、組織・団体の確認を行っている4。したがって、国内外を問わず、組織の構造等の観点から、オーストラリア統計局がTableBuilder  Proの利用組織を判断しているものと推察される。さらに、表3では、TableBuilderのHPで紹介されているCensus
Topic、Census Dictionaryの詳細を示している。それによれば、文化、教育、雇用、所得、福祉等、様々な調査項目が集計項目として利用可能であることがわかる。 TableBuilderは、現在、表4に示されるような44個の統計データを利用することができる。この44個の統計データを見ると、その多くが世帯調査に係る政府統計であること、さらには、行政記録に基づく統計も含まれていることがわかる。利用可能な統計の選定は、計画的になされたものではなく、各統計担当部局の裁量によっ
6 http://www.abs.gov.au/websitedbs/D3310114.nsf/home/Expected+and+available+Microdataている。TableBuilderの担当者は、各統計担当部局に、TableBuilderで利用できる統計データの提供を要請しているが、その判断は、各統計担当部局に委ねられている。最終的には、各部局の判断で、提供される統計データが決定される。その意味では、44個の統計は、利用者のニーズに対応したものでもなければ、行政側の業務上の利用者に対する還元というものでもないと言える。 TableBuilderによるオンデマンドの集計表の提供については、その大半が、人口・世帯系のデータに基づいている。なお、オーストラリア統計局の担当者によれば、将来的には、度数表(frequency table)ではなく、量的な(Magnitude type)データを含む経済系のデータの提供を考えているとのことで、現在、そのための調査研究がオーストラリア統計局で行われている。 TableBuilderの利用者数と利用目的は、表５で示される7 。TableBuilder ProとTableBuilder Basicに関する調査時点(2016年2月)における利用者数はそれぞれ、約10, 000人と85, 000人である。本調査時点においても、利用者は増え続けており、Basicの利用者数は1ヶ月に220名、Proは110名程度増加しているとのことである。TableBuilder Proの場合、利用者は、主として研究機関や政府・地方公共団体であり、その利用目的は、地方公共団体の場合、人口や年齢の概略把握であるが、大学・研究機関では教育目的のために利用している。 TableBuilderの利用者が1万人規模で存在する理由として、オーストラリア統計局は、 TableBuilderが表、グラフやマップを作成するシンプルなツールであるだけでなく、センサスについて言えば、TableBuilderにおいて集計の対象となっている標本の規模が、他の二次的利用に係るサービスと比較して大きいことを指摘している。先述した図１の通り、オーストラリア統計局は、二次的利用に係る様々なチャンネルを提供しているが、それによって提供されている政府統計ミクロデータは、標本データであることが少なくない。例えば、人口センサスについては、CURF等の匿名化ミクロデータには、母集団の1%程度のレコード群が含まれているが、Remote Access Data LabおよびABS Data Labにおいては、標本抽出率が5%〜10%の人口センサスの個票データにアクセスすることが可能である。その一方で、 TableBuilderにおいては、人口センサスの全数データを対象にした集計を行うことができタ。

3. オーストラリアのTableBuilderにおける法的根拠について
TableBuilderは、十分に秘匿された集計表を提供するサービスであると考えられており、 TableBuilderの直接的な根拠となる法律や内規は存在しないことが知られている。このことは、オーストラリア統計局が提供する他の政府統計の二次的利用サービスと、決定的に異なる点だと指摘することができる。なお、表6は、オーストラリア統計局によって行われているTableBuilderを含む各種の政府統計の二次的利用のサービスに関する特徴を示したものである。その一方で、法制度上では直接的にTableBuilderを規制するものはないが、後述する利用規約（Terms & Condition）において、TableBuilderの利用上の規定や罰則が定められている。 TableBuilderで扱うデータセットを保護する義務は、オーストラリア統計局全体に課されており、“Census and Statistics Act 1905”で規定されている。付録1は、“Census and Statistics Act 1905"の抜粋であるが、法第12条の第1項では、「統計局長は、本法律に基づいて収集された統計情報を集約(集計)して分析しなければならず、そしてその集約・分析、又はそれら集計結果や要約(統計量)を、公表・提供しなくてはならない」ことが明記されている。また、法第12条の第2項では、「細節(1)に係る集計結果、又は要約は、特定の個人または組織の識別が可能になるようなやり方で公表・提供してはならない」ことが述べられている。これは、TableBuilderにおいてオンデマンドで作成された集計表における秘匿処理の必要性を表す条文であるだけでなく、オーストラリア統計局で公表されている集計結果表についても、攪乱的手法の適用を含む秘匿処理を必要とする法的根拠となっている。オーストラリアは、第二次世界大戦時に、欧州からの移民を多く受け入れてきた経緯もあり、政府統計の守秘義務に対して強い規制を強いてきた。とりわけセンサスにおいては、” Census and Statistics Act 1905"で規定された法第7条、第12条と第19条の遵守が、強く求められている。こうした法的根拠に基づいて、TableBuilderによる二次的利用のサービスが展開されたと言えなくはないだろうと推察される。
なお、センサスに関しては、オーストラリア統計局の役職員に対して厳しい法令遵守が求められている。その内容は、TableBuilder User Manualで紹介されている。その内容の一例を以下に抜粋する。 ● ● ● ●また、センサスに関しては、情報の収集から保存に関するプロセスがマニュアルで詳細に定められることによって、その秘匿性が確保されている。その内容の一例を以下に抜粋する。なお、オーストラリアでは、連邦プライバシーコミッショナー制度が存在するが、連邦プライバシーコミッショナーが、法制度の側面から、直接、政府統計データの秘匿処理の方法に関与してくることは無いとのことである。
4. オーストラリアのTableBuilderにおける秘匿処理について
先述の通り、“Census and Statistics Act 1905”では、いかなる秘匿情報も公開をさせないように、処理をした上で、結果を公表することが求められている(12　Publication etc. of statistics (2)が直接的に関係するものと推察される)。そのため、TableBuilderは、個票データ（非識別データ、deidentified data）を集計した「生の集計表」に対して、意図的に「ノイズ（攪乱値）を付加する」ことで、データの秘匿性を担保している。したがって、TableBuilderにおける秘匿処理の重要な特徴は、TableBuilderの集計システムによって得られる全ての集計表に対して攪乱的措置が施されていることにある。オーストラリア統計局は、秘匿性の担保の方法として、「わずか」なノイズ(攪乱値)を入れる手法が、利用者にとって、もっとも満足のいく技術であると主張している。この「わずか」な攪乱を行うことによって、真の値から乖離することから、オーストラリア統計局は、 TableBuilderの利用に際して、「小さい値やRSE (標本標準誤差)の大きい結果に対しては、そのデータに信頼を置かない(“No reliance should be placed on small number cells or cells with large percentage Relative Standard Error (RSE) values")」よう、注意喚起している。また、「生の集計表」を作った後でセルにノイズを付与していることから、作成された集計表内のセルの値を積み上げると(「加算性」)、合計値と合わなくなる場合もあることを注意喚起している（加算性については、後述で詳細に説明する）。以下では、この攪乱をどのように行っているのかについて、説明を行うことにしたい。わずかとは言え、ノイズを入れることで、分析の対象となる統計表の中の数値が大幅に変わった場合、利用者にとっての情報損失は小さくないと思われる。特に、表の平均値がずれたり、表のデータの分散・共分散構造が崩れたり、また、「0」という結果が「0でない」結果となってしまったりすることは、いずれも、分析対象となる集計表の価値を著しく減じることが考えられる。したがって、オーストラリア統計局は、以下を前提とした攪乱的手法を適用している。
特に第4の特徴は、” Differencing”と呼ばれる秘匿情報へのアクセスに対抗する手段である。提乱する値が、集計表の生成ごとに異なる場合、何度か集計表を生成し、中身を比較していくことで、集計表の中の小さい数値を判別し、その内容を推測することが可能となる場合もある。この行為に対抗するため、TableBuilderでは、同じ集計表を作成した場合には、必ず同じ値のノイズを入れる工夫がなされている。図2は、TableBuilderにおけるノイズ付与のプロセスとノイズ付与がなされた集計表の提供のプロセスをまとめたものである。以下に、それぞれの特徴を述べる。最初に、TableBuilderに用いられるデータであるが、このデータについては、 TableBuilder Pro、TableBuilder Basicのいずれも、調査票情報から名前や住所等の直接的な識別子を削除した非識別化（deidentified）されたミクロデータを用いている点は、 1つの特徴だと言える。個票データ（非識別データ、deidentified data）自体には、ノイズやスワッピング等の処理はされておらず、また、データキュープのような中間集計表も用いられていない。従って、幾つかのデータセットは非常に詳細なデータ項目を有する場合もある。ただし、 TableBuilderでは、最終的な生成物を得る前に、攪乱を入れているために、安全性に問題は無いとしている。つぎに、攪乱に用いる表(オーストラリア統計局はこの表を、pTable (Perturbation Table)と呼んでいる）は、TableBuilderによって作成される集計表が利用者に提供される前に、事前に用意されており、1つの統計に1つのpTableが設定される。pTableは、255行×最大30列の行列から構成される。このpTableの作成には、熟達した技能と経験が必要となっており、「秘匿性を担保しつつも」、「政府統計の収集からなるべく早期にTableBuilderでのサービス提供ができるよう、過去の経験を活用」した表となっている。実際、秘匿性の十分な確保を考慮しないのであれば、オーストラリア統計局は、半日程度で自動的に（プログラム等によって）pTableを作成することが可能としている。もっとも、様々な角度からpTableが秘匿性に問題が無いかを検証し、もし問題があれば、pTableを再度作成するという作業を人手で行っていることから、実際には数週間を経て、作成が完了した集計表が利用者に提供される場合もある。このようなpTableの作成方法については、今回のヒアリング調査に基づき、統計実務の観点から以下の5点を指摘することができる。上記の内容は、2006年に、Fraser  and  Wooten(2006)で論じられたTableBuilderに関する内容とは、大きく異なるものとなっている。論文の中では、pTableは、攪乱の効果を最大限にするために、数理的かつコンピューターを用いた数値計算によって決定されていた10。オーストラリア統計局は、この記述と実態の違いを基礎研究と実務との違いと説明しており、論文に記載した内容は、基礎研究として、あくまで学識者等との「コミュニケーション」のためのツールだとオーストラリア統計局の担当者は認識している。しかしながら、統計実務の面から見ると、pTableの作成方法に関するこのような基礎研究と実務での適用可能性を勘案した上で、pTableを作成していることが考えられる。最後に、オンデマンドで作成された表に、pTableに含まれるノイズを付与するために、参照用のRecord Keyを使っている点が攪乱的措置の特徴として指摘される。先述のように、 pTableは、255行×最大30列の行列で構成されるが、その中からどの数字を、どのように参照するかに関しては、Record Keyが用いられている。Record Keyとは、個票データ（非識別データ）の1レコードごとに割り振られた値であり、2³²の数字の中からランダムに付与された値である。この値は、1つのミクロデータに対して一意に決められることから、途中で変わることは無い。利用者がTableBuilderに集計表作成のための指示を行うと、 TableBuilder上で、集計表の中のセルの数値を見ながら、Record Keyとの対応を図り、このRecord Keyに対して数学的処理を行うことによって、pTableのどのセルを参照すればよいのかが決定される¹¹。これによって、同じ統計表を生成する場合は、常に同一のノイズ(捜乱値、pTableのセル値）を加えることが担保される。このような手法を用いて作られた、ノイズが付与された集計表は、秘匿上の安全性が高いとみなされ、実運用上では、オーストラリア統計局職員等の人手のチェックを介することなく、利用者に提供されている。利用者は、表頭、表側を自由に選ぶことができる。それによって、TableBuilderにおいては、任意の粒度で分析することも可能である。多次元クロス集計を、探索的に実施できる点は、TableBuilderの重要な特徴と言えるだろう。ただし、実運用から見ると、6～7次元のクロス集計表は、0が非常に多く入ることから、そうした集計表の提供は困難なものと言える。一方、地図へのマッピングについても、粒度の細かいレベルでの分析も可能であるが、オーストラリア統計局は安全性が担保されているとしている（もっとも、ノイズ(攪乱値)の付与だけでは秘匿が担保できない、または、0しか入らない場合には、そもそものサービスとして成立しないため、利用者に提供をしない（表頭・表側を選択させる際に、そもそも選択肢に載せない）ようにしている)。なお、地図の粒度は、オーストラリア統計地理標準(Australian Statistical Geography Standard=ASGS)に準拠しており、最も細かい粒度(Statistical Area Level 1=SA1)であれば、オーストラリアの54,805地区すべてに関する詳細な地域区分について地図上での分析が可能である（図３参照）。秘匿処理に関する技術的な論点として集計表内の数字の整合性（特に加算性）に関しては、以下のように述べることができる(表7)。先述の通り、TableBuilderは、各セルに対してノイズを入れる手法を採用しているため、基本的にはセルの合計と、予め提示された合計値とは一致しない。しかし、センサスに対しては、この加算性に係る整合性を担保するような処理がなされている。それによって、 TableBuilder  ProおよびTableBuilder  Basicで作られる全ての表は、加算性が担保される。もっとも、加算性は特定の1つの集計表の中でのみ担保されることから、例えば上述したSA1のデータは、SA2（SA1よりも粗い粒度）のデータと整合しない。なお、集計表に対して攪乱を行っている時点で、数字の加算に係る整合性を取る必要はないのではないか、という疑問も生じる。この点については、オーストラリアの国民性とも関係があるものと推察される。オーストラリアの感覚では、最低限、総計のみでもあっていればよいと考えられている可能性も否定できない。このように、TableBuilderの秘匿処理技術の特徴を明らかにしてきた。一方で、こうした攪乱的処理を用いた統計データの「正確性」については、我が国とは基本的な考え方が異なる可能性もある。オーストラリア統計局に対するヒアリング調査に基づけば、政府統計に対する攪乱的措置の考え方については、つぎの4点にまとめることができる。特に、オーストラリアの政府統計が、法12条第2項などの影響を受けてか、公表されるものも含めて、秘匿化されている点は、TableBuilderをサービスとして成立させるための重要な要件と言えるだろう。オーストラリアでは世帯・人口系の政府統計に対しては、 TableBuilderと同様のノイズ(攪乱値)を入れているだけでなく、事業所・企業系の政府統計に対しては、個体情報の秘匿性を確保するために関値を用いた秘匿処理を行う等、別の手法も導入している。
つぎに、オンデマンド集計システムの安全性を確保するために、TableBuilderの情報システムの構成について述べることにしたい。TableBuilderの情報システムの構成は図4 に示されている。その特徴としては、第１に、TableBuilderが参照しているデータは、表４における” ABS Database”に記載した通り、個票データ(非識別データ、deidentified data)であることが指摘される。ただし、前述の攪乱的な方法を用いることによって、 TableBuilderにおいてはレコードの属性情報は露見されないことから、個体情報（人、世帯、車、ビジネス等）の秘匿性は全て確保される。それゆえ、個人等のプライバシーが漏洩することがなく、Database層で、TableBuilderに係る特別なセキュリティ対策は実施されていない。同様に、秘匿性が破られることに対する危機管理マニュアル等も作成されていない。従来、セキュリティ対策は、「侵入者モデル(Intruder Model)」が念頭に置かれていたが、近年では「人間モデル(Human Model)」が重視されるようになり、ヒューマンエラーのリスクを低減する必要性が認識されている15。この考え方に基づき、近年はFive Safes Model (Safe Data, Safe Settings, Safe Project, Safe People, Safe Output)という考え方が提唱されている16。TableBuilderについては、 Safe Environmentを実現しているとオーストラリア統計局は自認している。つぎに、システム構成に関する特徴としては、データベースの構成と、TableBuilderのシステム開発において、民間企業のリソースを長らく活用していることが指摘される。この民間企業とは、Space Time Research Pty Ltd.  (https://spacetimeresearch.com/)であって、彼らはオーストラリア統計局と1986年以来関係を構築してきた。 TableBuilderの攪乱に係るアルゴリズム自体は、オーストラリア統計局によって開発されているが、システムの開発、コーディングおよび、データベース構造の設計・開発は、Space Time  Research社によって行われている。特にデータベースの設計に関しては、Space Time Research社の長年のノウハウが活かされている。それは、具体的には、オラクルやSQLサーバのような汎用のデータベース製品ではなく、Space Time Research社によって独自に開発されているが、その詳細については、オーストラリア統計局自体も把握していない。ただし、政府統計データの高速処理は可能となっており、データ処理の多くは、即時的に対応することが可能となっている（マッピング等で区分を細かくした場合には、その限りではない。オーストラリア統計局は、例えば地図上に500万のセルを表現しようとした場合には、システム負荷が高く、処理に24時間以上かかるものと考えている。よって、実運用上は、500万セルを上限にし、それ以上に負荷のかかる処理については、原則として受け付けないことにしている)。このようなシステムにかかる負荷が利用者側にとっての負担とならないように、システム構成には工夫がなされている。具体的には、利用者が重たいジョブをかけることで、サーバを独占してしまうことが無いよう、図4に示したアームを3つ設け、それによって負荷分散を図っている。現在、データベースを含め、すべての情報システムをオーストラリア統計局内部のサーバで運用がなされている。しかしながら、局外のサーバで運用することは禁止されていないとのことであり、将来的に安全性が担保されれば、局外で運用することも十分に考えられるということであった。連邦政府で運用するクラウドについては、そのような可能性も高いものと考えられている。
5. オーストラリアのTableBuilderにおける運用面の特徴
TableBuilderを利用する上には、利用者がオーストラリア統計局に登録をすることが求められる。これは、TableBuilder ProとTableBuilder Basicのいずれにおいても必要である。利用登録の手続きは、以下のとおりである。最初に、利用者は、オーストラリア統計局のウェブサイトにあるRegistration Centerに、自身で登録を行う。登録の際は、氏名、所属組織、電話番号、住所、メールアドレス、パスワード等の入力が必要である。その上で、オーストラリア統計局より、ユーザーIDとパスワードを獲得する。一度、自身のアカウントを作れば、利用者は、全ての無償サービスにアクセスすることができる。なお、利用者がTableBuilder  Proを利用したい場合、利用者が所属する組織を介しての登録が、別途求められる。つぎに、TableBuilderの利用者は、表8に示されるような利用規約を遵守することが求められる。具体的には、IDおよびパスワードに関しては、利用者に厳重な管理を求めており、違反者には罰則も設けている。具体的には、TableBuilderの利用者については、本人のID以外からの利用は認められておらず、また、自身のIDを他人に貸し出すことも禁じられている。本人のIDを利用しているか否かの確認は、システムで自動的に行うのではなく、オーストラリア統計局職員が、利用者に直接電話して行っている。なお、電話で確認した結果、利用者以外の人物がTableBuilderを利用していることが判明した場合には、その者に罰則を適用することとしている。なお、オーストラリア統計局のウェブサイトでは、「当人及び当人の所属する組織が解約されるケースもある」という記載のみがされているが、オーストラリア統計局の担当者に聴取を行ったところ、違反者（初回）に対しては、３ヶ月のTableBuilderの利用停止、２回目
の違反者には12ヶ月の利用停止措置を行っているとのことである。なお、3回以上の違反者については、これまでの運用上、経験はないとのことであった。 TableBuilderの申請有効期間および、価格体系は、表9で示されている。TableBuilderのアカウント有効期限は、最大1年である。毎年6月30日に、TableBuilder内のデータが更新されることから、その時点で有効期限は切れることになっている。したがって、継続の意向を持つ利用者は、再申請を行う必要がある。そのために、利用者は、最大で1年、短い場合には数ヶ月しかTableBuilderを利用することができない。これらの不公正を是正するために、TableBuilderでは、期限までの期間に応じた傾斜料金を採用しており、その課金体系は、4半期によって表9のように分類されている。なお、価格には商品サービス税（GST）が含まれている。また、組織の規模は、従業員規模で区分されており、従業員20名未満がsmall、200名未満がmedium、それ以上はLargeとされている。利用者数が多くなりうるLargeには高い課金をしているが、これについては、オーストラリア統計局は、厳密にユーザーID数等で管理をしていない。オーストラリア統計局の課金体系の考え方は、利益を出すことではなく、コストを回収することのみにある（ABS Pricing Policyによる)。オーストラリア統計局は、利用者が
TableBuilderの情報システムヘアクセスすることによって発生するシステムの運用及びデータセットのローディングにかかる費用を回収するが、データ収集やファイルの提供にかかる費用の回収は行っていない。ところで、TableBuilderでは攪乱を用いた表を利用者に提供している。この攪乱的措置の結果、どの程度データに信頼をおけるのかに関して、周知することが必要と考えられる。この点について、オーストラリア統計局はつぎのような対応を行っている。 ①利用者にはまず、TableBuilder利用者ガイド(オンラインで提供され、TableBuilderにおける利用上の制約を記載している）を読むことを要請している。 placed on small number cells or cells with large percentage Relative Standard Error (RSE) values")」と記載し、利用者に注意喚起しているただし、具体的に「どの数字以下を小さい」とするか、「RSEが大きいとはどの程度か」等を示したものは、TableBuilderの中では提供されない。オンデマンドで作成された集計表によっては、なお、RSEに関する記載がなされていない場合もあることから²¹、利用者は利用目的と照らし合わせながら、自身の判断で、データに対する信頼の範囲を決めることが求められている。 TableBuilderに係るオーストラリア統計局の人員体制については、まず、TableBuilderの専門組織というものは存在しないため、各部門（秘匿処理の部門、運用の部門等）の中にTableBuilderに関する担当者が含まれている。また、システムエンジニアに関する体制については、基本的にTableBuilderのコーディング等は、Space Time Researchが担当していることから、統計局内で担当職員を確保する必然性は低い。ただし、オーストラリア統計局は、TableBuilderの利用のサポートのために、技術スタッフを採用している。このスタッフの業務としては、新しいデータセットをリリースする（自身でデータセットを作り、テストする)、システムを停止する、または、システムを更新することが含まれる。オーストラリア統計局は現在、Census TableBuilderの更新と、TableBuilder ver9のデータセットの準備を行っている。また、TableBuilderを周知するための広報・啓発活動に関しては、オーストラリア統計局は、TableBuilderのみに焦点を絞っているのではなく、政府統計の二次的利用に係るサービスを各種提供しており、全体としてサービスを捉えている。そして、利用者は、それぞれのサービスの特徴を踏まえながら、ニーズに合わせた形で、政府統計の二次的利用を行っている。なお、TableBuilderの主要利用者である、大学や政府、地方公共団体に対しては、オーストラリア統計局の職員は、それらの各部門を訪問し、TableBuilderや他のABSのプロダクトに関する情報提供を行っている。オーストラリア統計局は、TableBuilderにおいて用いられる攪乱的な秘匿処理技術を、プロダクトとして販売したり、ライセンス供与したりしていない。オーストラリア統計局は、プログラムに関するアルゴリズムを全て公開にしており、TableBuilderの技術やアイデアを知的財産として保護していない。実際、カナダ統計局も、TableBuilderのアルゴリズムを活用している。また、ニュージーランド統計局も、秘匿処理の技術を導入しようといている²。特に、カナダとの取り組みは、CSPA (Common Statistical Production Architecture)のサービスカタログにも掲載されている。なお、オーストラリア統計局が開発した攪乱的措置の方法論は、論文等で外部に公表されており、オーストラリア統計局は、この方法論が自由に活用されることについて期待を持っている23。
6. むすびにかえて-オーストラリアのTableBuilderにおける今後の方向
本稿は、オーストラリア統計局が開発したオンデマンド集計システムであるTableBuilderの基本的な特徴を明らかにした。オーストラリアで展開されてきた政府統計の二次的利用におけるTableBuilderの位置付けを明らかにするために、本稿では、 TableBuilderの法的根拠と秘匿処理の方法、さらに運用面での特徴を明らかにした。オンデマンド集計では、利用者のリクエストに応じて集計表を作成・提供することから、集計表の秘匿性をどのようにして確保するかが重要な点だと言える。Table Builderの特徴としては、集計表における秘匿処理の方法として、出力された集計結果表のすべてのセルにノイズが導入されていることが指摘できる。ところで、オーストラリア統計局によれば、TableBuilderに関して、現在以下のような計画が進められている。第１は、TableBuilderの統合である。具体的には、センサスとそれ以外の標本データでは、それぞれ別のタイプのTableBuilderが開発されてきたが、将来的には複数のタイプのTableBuilderの統合が計画されている。第２は、利用可能な政府統計の範囲の拡大である。マーケティング等、ビジネスに関するデータは、これまでTableBuilderで提供されたことがなかったため、現在、個人や世帯とは異なる秘匿処理の手法を用いて提供することが検討されている。第３は、複数の統計調査のリンケージによるサービスの提供である。例えば、移民は、オーストラリアの人口の32%を占めているが、移民に関するデータとセンサスデータとのリンケージデータもTableBuilderで分析可能になることが計画されている。こうした、オーストラリア統計局におけるTableBuilderの展開方向については、我が国におけるオンデマンド型の提供サービスを議論する上でも参考になる点が少なくないように思われる。このような諸外国における政府統計の二次的利用の動向を踏まえつつ、我が国におけるオンデマンド集計の今後のあり方を検討することが求められよう。伊藤伸介(2016a)「わが国における政府統計のデータシェアリングの現状と課題」『情報管理』, Vol.58, No.11, 836～843頁伊藤伸介(2016b)「政府統計におけるリモートアクセスと秘密保護について—イギリスを例にー」, 『経済学論纂(中央大学)』第56巻第5・6合併号，  1～19頁伊藤伸介(2016c)「諸外国における政府統計データの提供の動向について」中央大学経済研究所Discussion Paper No.267, 1～13頁Andersson, K., Jansson, I., Kraft, K. (2015) "Protection of frequency tables – current work at Statistics Sweden" Paper Presented at UNECE/Eurostat Work Session on Statistical Data Confidentiality, Helsinki, Finland, pp1-20. Elazar, D. (2013) "Innovative Microdata Access - Confidentialising on the fly", UNECE Work Session on Statistical Data Confidentiality, Ottawa, Canada, http://www.unece.org/fileadmin/DAM/stats/documents/ece/ces/ge.46/2013/Topic_7_ABS. pptx Fraser, B., Wooten, J. (2006) "A Proposed Method for Confidentialising Tabular Output to Protect against Differncing", Paper Presented at UNECE/Eurostat work session on statistical data confidentiality, pp.1-6. Thompson, G., Broadfoot, S., Elazar, D. (2013) "Methodology for the Automatic Confidentialisation of Statistical Outputs from Remote Servers at the Australian Bureau of Statistics", Paper Presented at UNECE Work Session on Statistical Data Confidentiality, Ottawa, Canada, pp.1-37.筆者注:各条文の下に記載した日本語は、あくまで訳例であり、法律家からの確認を踏まえたものではない点に注意されたい。 Every officer executing any power or duty conferred or imposed on any officer under this Act or the regulations, shall, before entering upon his or her duties or exercising any power under this Act, sign, in the presence of a witness, an undertaking of fidelity and secrecy in accordance with the prescribed form. 7忠誠と機密保護の履行本法またはその規則に基づいて与えられた権限と義務を遂行する全ての職員は、本法に基づいて職務に入ったり、権限を行使したりする前に、規定の様式に、忠誠と機密保護の履行を証人の面前で署名をしなければならない。 The Statistician shall compile and analyse the statistical information (1) collected under this Act and shall publish and disseminate the results of any such compilation and analysis, or abstracts of those results. (2) The results or abstracts referred to in subsection (1) shall not be published or disseminated in a manner that is likely to enable the identification of a particular person or organization. (3) The Statistician may make charges for results and abstracts published and disseminated under this section. 12統計の公表等(1)統計局長は、本法律に基づいて収集された統計情報を集約(集計)して分析しなければならず、そしてその集約・分析、又はそれら集計結果や要約(統計量)を、公表・提供しなくてはならない。 (2)　細節(1)に係る集計結果、又は要約は、 (1)特定の個人または組織の識別が可能になるようなやり方で公表・提供してはならない。 (3) 統計局長は本節の下で公表・提供する集計結果や要約に係る費用を徴収してもよい。 19A  Non-disclosure of Census information Non-disclosure of Census information to Agencies (1) A person who is or has been the Statistician or an officer must not, at any time during the period of 99 years beginning on the Census day for a Census: (a)  be required to divulge or communicate to an Agency any information that is contained in a form that is given to the Statistician or an authorised officer under section 10 in relation to that Census; or (b)  voluntarily give such information to an Agency; other than in accordance with this Act. Non-disclosure of Census information to a court or tribunal (2) A person who is or has been the Statistician or an officer must not, at any time during the period of 99 years beginning on the Census day for a Census: (a) be required to divulge or communicate to a court or tribunal any information contained in a form that is given to the Statistician or an authorised officer under section 10 in relation to that Census; or (b) voluntarily give such information in evidence in proceedings before a court or tribunal. Definitions (3)  In this Act: "Agency" has the meaning given by section 7 of the Public Service Act 1999. "Census day" , for a Census, means the day appointed, under subsection 8(2), as the Census day for that Census. 19A　センサス情報の非開示政府機関へのセンサス情報の非開示(1)　現在又は過去に、統計局長又は職員であった者は、当該統計の公表日より99年間いかなる時も、本法に基づく範囲以外で、 (a)　当該センサスに関して、第10条に基づき、統計局長又は権限を有する職員に与えられる様式に含まれるいかなる情報も、政府機関へ開示する、又は口外することを要求されてはならない。 (b)　自発的にそのような情報を政府機関へ提供してはならない。裁判所や裁決機関へのセンサス情報の非開示(2)　現在又は過去に、統計局長又は職員であった者は、当該統計の公表日より99年間いかなる時も、 (a) 当該センサスに関して、第10条に基づき、統計局長又は権限を有する職員に与えられる様式に含まれるいかなる情報も、裁判所や裁決機関へ開示する、又は口外することを要求されてはならない。 (b)自発的にそのような情報を裁判所や裁決機関へ提供してはならない。この法律では、定義(3) “Agency”は、” the Public Service Act 1999”のセクション7の定義に基づく。 “Census  day”は、本法の8 (2)の記述に基づく。 pTableの作成方法は、各種論文で説明されているが、本調査研究では、TableBuilderの研究を分かりやすく、詳細に説明した“Protection of frequency tables - current work at Statistics Sweden”（スウェーデン統計局作成、2015年UNECE）の記述を一部抜する形で説明をする。 pTableは、m×nの行列で定義され、行数（mに相当）は256、列数（nに相当）は30以下と設定される。真の値をu、攪乱する値をpもとすると、TableBuilderから得られる値はu+pもで与えられる。このｉ及びｊは、pTableの中で、どのノイズ(攪乱値)を参照するかを示すものであるが、参照する値の決め方は、別途説明をする。この時、攪乱する値全体（これをΠ ;で表記する）は、情報エントロピーを最大化するように設定される。
ただし、前述の通り、攪乱には平均が0であること等を含め、幾つかの前提条件が存在するため、下記要件を満たしながら、情報エントロピーを最大化することが求められる。
この計算は、ラグランジュの未定乗数法を用いて計算されるが、線形な式ではないことから、数値計算手法（プログラム）によって算出することとなる。得られた結果を元に、R-U図（Rはリスク、Uは効用を指す）を用いて評価を行う。評価方法は各種存在するが、引用した論文では、以下の手法が利用されている。 (リスク測定手法①)分散の逆数をベクトルで表し、そのユークリッドノルムでリスクを表現。攪乱の度合いが低い場合は、算出結果が大きくなる。
(リスク測定手法②)攪乱されなかったセルの数の確率で定義する。されていない確率を算出するため、リスクが大きいほど、算出結果が大きくなる。
ここで紹介する論文では、Hellinger distanceを用いた効用測定手法が用いられていた。もっとも、効用といっても、原データと提乱されたデータとの差が大きいほど、値が大きくなるように設計されているため、効用損失を測定していると言った方が、より正確な表記であると考えられる。
これらの教値を元に、R-U図を作成する。紹介した論文では下図のような評価図が作成されていたが、具体的に、ここからどのように評価をするかについては記載が無かった。おそらく、RとUのそれぞれに何らかの閾値を設け、その閾値を満たすようなpTableが存在するかを確認することになるものと想定される。製　表　技　術　参　考　資　料　33平成28年8月発行編集・発行    独立行政法人統計センター 〒162－8668東京都新宿区若松町19－1電　話　代表　03 （ 5273 ） 1200掲載論文を引用する場合は、事前に下記まで連絡してください統計情報・技術部統計技術研究課      TEL : 03 0 5273 0 1368 E-mail : research@nstac.go.jp