JP2015130022A - 匿名化パラメータ選択装置、方法及びプログラム - Google Patents

Abstract

【課題】データの利用者の利益と、そのデータが利用されることによって特定される可能性のあるユーザのリスクとの関係における最適なパラメータｋを選択することができる匿名化パラメータ選択装置、方法及びプログラムを提供すること。【解決手段】匿名化パラメータ選択装置１０は、選択したユーザ分布モデルと情報量モデルとに基づいて、同意したユーザの割合と情報量とによって利用者が得る利益と、パラメータｋとの関係を表わす利益モデルを生成し、ユーザが特定されるリスクとパラメータｋとの関係を表わすリスクモデルを選択し、生成した利益モデルと、選択したリスクモデルとに基づいて、利益とリスクとの関係を表わす利益−リスクモデルを生成し、生成した利益−リスクモデルにおいて、利得が最大となるパラメータｋを選択する。【選択図】図５

Description

本発明は、匿名化パラメータ選択装置、方法及びプログラムに関する。

従来より、データを統計処理することによって、データの有効活用が図られている。例えば、特定の病気にかかりやすい年代、性別、地域、人種といった情報を含む大量のデータが広く公開され、統計処理されて、その傾向分析や予防対策に用いられている。

このようなデータを公開する場合には、プライバシーを慎重に保護する必要があるため、そのデータの所有者が特定されないように、データの変形処理を行う必要がある。そのため、今までにも、プライバシーを保護するためのデータの変形処理に関する技術が多く開示されている。例えば、データの一部を一般化やあいまい化することにより、データを組み合わせても個人が特定されないようにする技術（例えば、ｋ‐匿名化処理等）が開示されている（例えば、非特許文献１参照）。

Ｌａｔａｎｙａ Ｓｗｅｅｎｅｙ， ｋ−ａｎｏｎｙｍｉｔｙ： ａ ｍｏｄｅｌ ｆｏｒ ｐｒｏｔｅｃｔｉｎｇ ｐｒｉｖａｃｙ， Ｉｎｔｅｒｎａｔｉｏｎａｌ Ｊｏｕｒｎａｌ ｏｆ Ｕｎｃｅｒｔａｉｎｔｙ， Ｆｕｚｚｉｎｅｓｓ ａｎｄ Ｋｎｏｗｌｅｄｇｅ−Ｂａｓｅｄ Ｓｙｓｔｅｍｓ， Ｖｏｌｕｍｅ １０ Ｉｓｓｕｅ ５， Ｏｃｔｏｂｅｒ ２００２， Ｐａｇｅｓ ５５７ − ５７０．

しかしながら、ｋ−匿名化の際のパラメータｋの値は、プライバシー要件によって事前に設定されており、データの利用者の利益や、データが利用されることによって個人が特定されるリスクを考慮して、パラメータｋを選択することはできなかった。

そこで、データの利用者の利益と、そのデータが利用されることによって特定される可能性のあるユーザのリスクとの関係における最適なパラメータｋを選択することができる装置が求められている。

本発明は、データの利用者の利益と、そのデータが利用されることによって特定される可能性のあるユーザのリスクとの関係における最適なパラメータｋを選択することができる匿名化パラメータ選択装置、方法及びプログラムを提供することを目的とする。

本技術は、最適なパラメータｋを導出する手法であって、本手法は、ユーザ分布モデルと情報量モデルとを選択することにより、利益モデルを構築し、リスクモデルの選択を行い、利益モデル、リスクモデルから、利益−リスクモデルを構築し、そのモデルにおいて利得が最大となるパラメータｋを選択することによって、最適なパラメータｋを得る手法である。
また、本手法は、ユーザ分布モデルとして正規分布を用いる。
また、本手法は、情報量モデルとしてシャノンエントロピーを用いる。
また、本手法は、リスクモデルにおいてストックオプションプライシングモデルを用いる。

具体的には、以下のような解決手段を提供する。
（１） データを利用する利用者の利益と、前記データが利用されることによって特定される可能性のあるユーザのリスクとに基づいて、前記データの匿名化を表わすパラメータｋを選択する匿名化パラメータ選択装置であって、前記データが利用されることに同意する前記ユーザの割合の分布であって前記パラメータｋに対する分布を表わすユーザ分布モデルを選択するユーザ分布モデル選択手段と、前記データの情報量と前記パラメータｋとの関係を表わす情報量モデルを選択する情報量モデル選択手段と、前記ユーザ分布モデル選択手段によって選択された前記ユーザ分布モデルと、前記情報量モデル選択手段によって選択された前記情報量モデルとに基づいて、同意した前記ユーザの割合と前記情報量とによって前記利用者が得る利益と、前記パラメータｋとの関係を表わす利益モデルを生成する利益モデル生成手段と、前記ユーザが特定されるリスクと前記パラメータｋとの関係を表わすリスクモデルを選択するリスクモデル選択手段と、前記利益モデル生成手段によって生成された前記利益モデルと、前記リスクモデル選択手段によって選択された前記リスクモデルとに基づいて、前記利益と前記リスクとの関係を表わす利益−リスクモデルを生成する利益−リスクモデル生成手段と、前記利益−リスクモデル生成手段によって生成された前記利益−リスクモデルにおいて、利得が最大となるパラメータｋを選択するパラメータ選択手段と、を備える匿名化パラメータ選択装置。

（１）の構成によれば、匿名化パラメータ選択装置は、ユーザ分布モデルと情報量モデルとを選択し、選択したユーザ分布モデルと情報量モデルとに基づいて、同意したユーザの割合と情報量とによって利用者が得る利益とパラメータｋとの関係を表わす利益モデルを生成する。次に、匿名化パラメータ選択装置は、ユーザが特定されるリスクとパラメータｋとの関係を表わすリスクモデルを選択し、生成した利益モデルと、選択したリスクモデルとに基づいて、利益とリスクとの関係を表わす利益−リスクモデルを生成し、生成した利益−リスクモデルにおいて、利得が最大となるパラメータｋを選択する。

すなわち、（１）に係る匿名化パラメータ選択装置は、選択したユーザ分布モデル及び情報量モデルに基づいて利益モデルを生成し、生成した利益モデルと選択したリスクモデルとに基づいて生成した利益−リスクモデルにおいて、利得が最大となるパラメータｋを選択する。
したがって、（１）に係る匿名化パラメータ選択装置は、データの利用者の利益と、そのデータが利用されることによって特定される可能性のあるユーザのリスクとの関係における最適なパラメータｋを選択することができる。

（２） 前記ユーザ分布モデル選択手段は、前記ユーザ分布モデルとして正規分布を選択する（１）に記載の匿名化パラメータ選択装置。

したがって、（２）に係る匿名化パラメータ選択装置は、データの利用者の利益と、そのデータが利用されることによって特定される可能性のあるユーザのリスクとの関係における最適なパラメータｋを精度よく選択することができる。

（３） 前記情報量モデル選択手段は、前記情報量モデルとしてシャノンエントロピーを選択する（１）又は（２）に記載の匿名化パラメータ選択装置。

したがって、（３）に係る匿名化パラメータ選択装置は、データの利用者の利益と、そのデータが利用されることによって特定される可能性のあるユーザのリスクとの関係における最適なパラメータｋをより精度よく選択することができる。

（４） 前記リスクモデル選択手段は、前記リスクモデルとしてストックオプションプライシングモデルを選択する（１）から（３）のいずれかに記載の匿名化パラメータ選択装置。

したがって、（４）に係る匿名化パラメータ選択装置は、データの利用者の利益と、そのデータが利用されることによって特定される可能性のあるユーザのリスクとの関係における最適なパラメータｋをさらにより精度よく選択することができる。

（５） 前記パラメータｋを選択するためのモデルを記憶するモデル記憶手段と、前記パラメータｋを選択するための条件を受け付ける条件受付手段と、をさらに備え、ユーザ分布モデル選択手段は、前記条件受付手段によって受け付けられた条件及び前記モデル記憶手段に基づいて、前記ユーザ分布モデルを選択し、前記情報量モデル選択手段は、前記条件受付手段によって受け付けられた条件及び前記モデル記憶手段に基づいて、前記情報量モデルを選択し、前記リスクモデル選択手段は、前記条件受付手段によって受け付けられた条件及び前記モデル記憶手段に基づいて、前記リスクモデルを選択する、（１）から（４）のいずれかに記載の匿名化パラメータ選択装置。

したがって、（５）に係る匿名化パラメータ選択装置は、記憶するモデルの中から条件に応じて選択したモデルに基づいて、データの利用者の利益と、そのデータが利用されることによって特定される可能性のあるユーザのリスクとの関係における最適なパラメータｋをさらにより精度よく選択することができる。

（６） （１）に記載の匿名化パラメータ選択装置が実行する方法であって、前記ユーザ分布モデル選択手段が、前記データが利用されることに同意する前記ユーザの割合の分布であって前記パラメータｋに対する分布を表わすユーザ分布モデルを選択するユーザ分布モデル選択ステップと、前記情報量モデル選択手段が、前記データの情報量と前記パラメータｋとの関係を表わす情報量モデルを選択する情報量モデル選択ステップと、前記利益モデル生成手段が、前記ユーザ分布モデル選択ステップによって選択された前記ユーザ分布モデルと、前記情報量モデル選択ステップによって選択された前記情報量モデルとに基づいて、同意した前記ユーザの割合と前記情報量とによって前記利用者が得る利益と、前記パラメータｋとの関係を表わす利益モデルを生成する利益モデル生成ステップと、前記リスクモデル選択手段が、前記ユーザが特定されるリスクと前記パラメータｋとの関係を表わすリスクモデルを選択するリスクモデル選択ステップと、前記利益−リスクモデル生成手段が、前記利益モデル生成ステップによって生成された前記利益モデルと、前記リスクモデル選択ステップによって選択された前記リスクモデルとに基づいて、前記利益と前記リスクとの関係を表わす利益−リスクモデルを生成する利益−リスクモデル生成ステップと、前記パラメータ選択手段が、前記利益−リスクモデル生成ステップによって生成された前記利益−リスクモデルにおいて、利得が最大となるパラメータｋを選択するパラメータ選択ステップと、を備える方法。

したがって、（６）に係る方法は、データの利用者の利益と、そのデータが利用されることによって特定される可能性のあるユーザのリスクとの関係における最適なパラメータｋを選択することができる。

（７） コンピュータに、（６）に記載の方法の各ステップを実行させるためのプログラム。

したがって、（７）に係るプログラムは、コンピュータに、データの利用者の利益と、そのデータが利用されることによって特定される可能性のあるユーザのリスクとの関係における最適なパラメータｋを選択させることができる。

本発明によれば、データの利用者の利益と、そのデータが利用されることによって特定される可能性のあるユーザのリスクとの関係における最適なパラメータｋを選択することができる。すなわち、本発明によれば、ｋ−匿名化の際に最適なパラメータｋを選択することが可能となり、データの利用者の利益と、そのデータが利用されることによって特定される可能性のあるユーザのリスクとの相反する関係において、データの利用における利益を最大化することができるようなパラメータｋを選択し、提供することができる。
その結果、データをｋ−匿名化する装置は、本発明によるパラメータｋを用いて、利用者の利益と、ユーザのリスクとの相反する関係において、データの利用者の利益が最大になるようにｋ−匿名化を施したデータを作成することができる。

本発明の一実施形態に係る匿名化パラメータ選択装置が生成する利益モデルの一例を示す図である。 本発明の一実施形態に係る匿名化パラメータ選択装置が選択するリスクモデルの一例を示す図である。 本発明の一実施形態に係る匿名化パラメータ選択装置が生成する利益−リスクモデルの一例を示す図である。 本発明の一実施形態に係る匿名化パラメータ選択装置が生成した利益−リスクモデルの一例において、パラメータｋを一定にした場合の開示時間との関係の一例を示す図である。 本発明の一実施形態に係る匿名化パラメータ選択装置の構成を示す図である。 本発明の一実施形態に係る匿名化パラメータ選択装置が記憶するモデル記憶手段の例を示す図である。 本発明の一実施形態に係る匿名化パラメータ選択装置の処理を示すフローチャートである。 本発明の一実施形態に係る匿名化パラメータ選択装置が選択したパラメータｋに基づいて、データにｋ−匿名化処理が行われた例を示す図である。

以下、本発明の実施形態について、図を参照しながら説明する。図１から４は、本発明の一実施形態に係る匿名化パラメータ選択装置１０がパラメータｋを選択する手法を、説明するための図である。図１は、利益モデルの一例を示す図であり、図２は、リスクモデルの一例を示す図であり、図３は、利益−リスクモデルの一例を示す図であり、図４は、利益−リスクモデルの一例において、パラメータｋを一定にした場合の開示時間との関係の一例を示す図である。図１から図３において、曲線１０１は、データの開示時間が９０である場合を示し、曲線１０２は、データの開示時間が６０である場合を示し、曲線１０３は、データの開示時間が３０である場合を示し、曲線１０４は、データの開示時間が１０である場合を示している。また、図４において、曲線２０１は、パラメータｋが１００である場合を示し、曲線２０２は、パラメータｋが５０である場合を示し、曲線２０３は、パラメータｋが２０である場合を示し、曲線２０４は、パラメータｋが１０である場合を示している。

匿名化パラメータ選択装置１０は、以下の手順を実行して最適なパラメータｋを導出する。まず、ユーザの分布をモデル化する。これは、ユーザによってデータを出してもよいと考えるパラメータｋ値が異なるという仮定のもと、あるパラメータｋを定めた場合のデータ提供に同意するユーザの割合を導出するものである。このとき、各ユーザは、あるパラメータｋ以上であれば同意する。パラメータｋに対して、そのパラメータｋが最適だと思うユーザの分布を選択する。例えば、正規分布でモデル化するとしたとき、データ提供が期待できるユーザの数は以下のようになる。

ここで、Ｎはデータの件数（すなわち、ユーザの総人数）であり、ｋ’はパラメータｋの平均値、σは標準偏差である。

次に情報量のモデルを選択する。例えば、シャノンエントロピーに従うと仮定したとき、１つの情報の価値は、以下のように表わされる。すなわち、パラメータｋが小さい方が１つの情報の価値が高い。

ここで、αは、選択されたモデルや、後述するβとの比により決められる定数である。匿名化パラメータ選択装置１０は、別途、αを入力する。

匿名化パラメータ選択装置１０は、上記２つのモデルから、以下の式で与えられる利益モデルを生成する。これはデータの開示時間ｔ（データの開示からの経過時間）とパラメータｋによって決定される関数である。具体例として次式の形で表わされる。

すなわち、一般形で表わすと次のようになる。

ここで、γは、選択されたモデルにより決められる定数である。例えば、γが大きいと、データの開示時間に伴って利益の増加率は減少する。匿名化パラメータ選択装置１０は、別途、γを入力する。数３をグラフで表わすと、図１で示されるグラフのような形になる。

次にリスクモデルを選択する。リスクとは、データを提供した場合に、そのデータから個人が特定（再識別化）されるリスクを指す。例えば、市場価格の変動による損失のリスクをモデル化したストックオプションプライシングモデルを選択すると、リスクは、以下のように表わされる。

ここで、βは、選択されたモデルにより決められる定数であり、データの種類やデータを利用するサービスの種類によって、αとの比によって決められるとしてもよい。例えば、メディカルデータのようにユーザが特定されるとリスクが高い場合、αを小さく、βを大きくすることが考えられる。匿名化パラメータ選択装置１０は、別途、βを入力する。

また、パラメータｋは変わらないとした場合に、開示時間と共にリスクがｕずつ増大することをｎｕで表わしている。すなわち、数４の式は、開示時間と共に解析が進むことによって、ユーザが特定されるリスクが高まることを表わしている。数４の式をグラフで表わすと、図２で示されるグラフのような形になる。
なお、Ｑ（ｎ）は、次式で表わされる。

また、ｌｏｇｉｔ^−１（ｘ）は、次式で表わされる。

最後に、利益モデルとリスクモデルの両方を考慮した利益−リスクモデルは、具体例として次式の形で表わされる。

すなわち、一般形で表わすと次のようになる。

このモデルは、利益／リスクで定量化を試みたものである。匿名化パラメータ選択装置１０は、このモデルを使って最適なパラメータｋ値を導出する。例えば、上記式から導出される値は、図３に示されるようなグラフになるため、グラフの値が最大となるパラメータｋを選択することで、最適なパラメータｋを導出することができる。

なお、パラメータｋを固定した場合の時刻ｔについても最適値が存在する。グラフで表すと、図４で示すようなグラフになる。

匿名化パラメータ選択装置１０は、最適なパラメータｋを出力して終了する。例えば、プライバシー保護装置（図示せず）は、匿名化パラメータ選択装置１０によって出力されたパラメータｋの値を用いてデータを加工し、データにｋ−匿名化処理を施す。

図５は、本発明の一実施形態に係る匿名化パラメータ選択装置１０の構成を示す図である。匿名化パラメータ選択装置１０は、条件受付手段１１と、ユーザ分布モデル選択手段１２と、情報量モデル選択手段１３と、利益モデル生成手段１４と、リスクモデル選択手段１５と、利益−リスクモデル生成手段１６と、パラメータ選択手段１７と、モデル記憶手段３１とを備え、データを利用する利用者の利益と、データが利用（例えば、公表等）されることによって特定される可能性のあるユーザのリスクとにおける、データの匿名化を表わすパラメータｋを選択する。各手段ごとに説明する。

ここで、ユーザは、例えば、ホームページを閲覧する個人を含む。利用者は、例えば、ユーザにサービスを提供する事業者等を含む。データは、例えば、インターネット上のウェブサイトの閲覧履歴、電子商取引サイトにおける購買決済履歴、携帯端末の位置情報等の、ライフログのデータを含む。
ｋ‐匿名化は、行動履歴の一部を一般化やあいまい化することにより、組み合わせることで個人を推定できる可能性のある情報（準識別子と呼ぶ。）の組み合わせ（準識別子群）と同じ準識別子群を少なくともｋ個以上存在する状態を作り出す処理を含む。

モデル記憶手段３１は、パラメータｋを選択するためのモデルを記憶する。後述する図６に示すように、モデル記憶手段３１は、モデル化する対象である対象モデルに対応付けて具体的なモデルである具体的モデルを記憶している。

条件受付手段１１は、パラメータｋを選択するための条件を受け付ける。具体的には、条件受付手段１１は、ユーザ分布モデル、情報量モデル及びリスクモデルを選択するための条件や、モデルによって決定される値（例えば、上述のα、β、γ）を受け付ける。

ユーザ分布モデル選択手段１２は、データが利用されることに同意するユーザの割合の分布であってパラメータｋに対する分布を表わすユーザ分布モデルを選択する。具体的には、ユーザ分布モデル選択手段１２は、条件受付手段１１によって受け付けられた条件及びモデル記憶手段３１に基づいて、ユーザ分布モデルを選択する。ユーザ分布モデル選択手段１２は、ユーザ分布モデルとして正規分布を選択するとしてもよい。

情報量モデル選択手段１３は、データの情報量とパラメータｋとの関係を表わす情報量モデルを選択する。具体的には、情報量モデル選択手段１３は、条件受付手段１１によって受け付けられた条件及びモデル記憶手段３１に基づいて、情報量モデルを選択する。データの情報量は、データが開示されて利用されることによって有用となる情報量であって、パラメータｋの値が大きい程、多くなり、パラメータｋの値が小さい程、少なくなる。
情報量モデル選択手段１３は、情報量モデルとしてシャノンエントロピーを選択するとしてもよい。

利益モデル生成手段１４は、ユーザ分布モデル選択手段１２によって選択されたユーザ分布モデルと、情報量モデル選択手段１３によって選択された情報量モデルとに基づいて、同意したユーザの割合と情報量とによって利用者が得る利益と、パラメータｋとの関係を表わす利益モデルを生成する。具体的には、利益モデル生成手段１４は、上述の数４の式で表わされるような利益モデルを生成する。この場合の利益モデルは、データの開示の時間ごとの、利用者が得る利益とパラメータｋとの関係として、図１のように表わされる。

リスクモデル選択手段１５は、ユーザが特定されるリスクとパラメータｋとの関係を表わすリスクモデルを選択する。具体的には、リスクモデル選択手段１５は、条件受付手段１１によって受け付けられた条件及びモデル記憶手段３１に基づいて、リスクモデルを選択する。リスクモデル選択手段１５は、リスクモデルとしてストックオプションプライシングモデルを選択するとしてもよい。ストックオプションプライシングモデルは、市場価格の変動による損失のリスクのモデルであって時間の経過と共に不確実性が増大するモデルであり、データの開示時間によってリスクが高まるリスクモデルにも適用可能である。
この場合、リスクモデル選択手段１５は、上述の数４の式で表わされるようなリスクモデルを生成する。このリスクモデルは、図２のように表わされる。

利益−リスクモデル生成手段１６は、利益モデル生成手段１４によって生成された利益モデルと、リスクモデル選択手段１５によって選択されたリスクモデルとに基づいて、利益とリスクとの関係を表わす利益−リスクモデルを生成する。具体的には、利益−リスクモデル生成手段１６は、上述の数９の式で表わされるような利益−リスクモデルを生成する。この利益−リスクモデルは、データの開示の時間ごとの、定量化された利益／リスクとパラメータｋとの関係として、例えば、図３のように表わされる。
また、利益−リスクモデルは、パラメータｋごとの、定量化された利益／リスクとデータの開示時間との関係として、例えば、図４のように表わされる。

パラメータ選択手段１７は、利益−リスクモデル生成手段１６によって生成された利益−リスクモデルにおいて、利得が最大となるパラメータｋを選択する。具体的には、パラメータ選択手段１７は、例えば、図３において、データの開示時間（例えば、所定の値として設定されていてもよいし、パラメータｋを選択する際に入力されてもよい。）により利益−リスクモデルのグラフを選択し、選択したグラフの最大値を算出し、算出した最大値に対応するパラメータｋを最適なパラメータｋとして選択する。

また、パラメータ選択手段１７は、例えば、図４において、パラメータｋごとの利益−リスクモデルのグラフにより、データの開示時間（例えば、所定の値として設定されていてもよいし、パラメータｋを選択する際に入力されてもよい。）における、最大の利益／リスクをもたらすパラメータｋ（例えば、開示時間＝１００における最大の利益／リスクをもたらすパラメータｋは、パラメータｋ＝５０であり、開示時間＝４００における最大の利益／リスクをもたらすパラメータｋは、パラメータｋ＝２０）を選択するとしてもよい。

図６は、本発明の一実施形態に係る匿名化パラメータ選択装置１０が記憶するモデル記憶手段３１の例を示す図である。図６が示すように、モデル記憶手段３１は、対象モデル（ユーザ分布モデル、情報量モデル、リスクモデル）に対応付けて、それぞれの具体的モデルを記憶する。具体的モデルは、条件受付手段１１によって受け付けられた条件によって、選択される。

図７は、本発明の一実施形態に係る匿名化パラメータ選択装置１０の処理を示すフローチャートである。匿名化パラメータ選択装置１０は、コンピュータ及びその周辺装置が備えるハードウェア並びに該ハードウェアを制御するソフトウェアによって構成され、以下の処理は、制御部（例えば、匿名化パラメータ選択装置１０のＣＰＵ）が所定のソフトウェアに従い実行する処理である。

ステップＳ１０１において、ＣＰＵ（条件受付手段１１）は、条件を受け付ける。より具体的には、ＣＰＵは、ユーザ分布モデル、情報量モデル及びリスクモデルを選択するための条件や、モデルによって決定される値（例えば、上述のα、β、γ）を受け付ける。

ステップＳ１０２において、ＣＰＵ（ユーザ分布モデル選択手段１２）は、ユーザ分布モデルを選択する。より具体的には、ＣＰＵは、ステップＳ１０１において受け付けた条件及びモデル記憶手段３１に基づいて、ユーザ分布モデル（例えば、正規分布）を選択する。

ステップＳ１０３において、ＣＰＵ（情報量モデル選択手段１３）は、情報量モデルを選択する。より具体的には、ＣＰＵは、ステップＳ１０１において受け付けた条件及びモデル記憶手段３１に基づいて、情報量モデル（例えば、シャノンエントロピー）を選択する。

ステップＳ１０４において、ＣＰＵ（利益モデル生成手段１４）は、利益モデルを生成する。より具体的には、ＣＰＵは、上述の数４の式で表わされるような利益モデルを生成する。

ステップＳ１０５において、ＣＰＵ（リスクモデル選択手段１５）は、リスクモデルを選択する。より具体的には、ＣＰＵは、ステップＳ１０１において受け付けた条件及びモデル記憶手段３１に基づいて、リスクモデル（例えば、ストックオプションプライシングモデル）を選択する。

ステップＳ１０６において、ＣＰＵ（利益−リスクモデル生成手段１６）は、利益−リスクモデルを生成する。より具体的には、ＣＰＵは、上述の数９の式で表わされるような利益−リスクモデルを生成する。

ステップＳ１０７において、ＣＰＵ（パラメータ選択手段１７）は、パラメータｋを選択する。より具体的には、ＣＰＵは、所定の値として設定されているデータの開示時間により利益−リスクモデルのグラフを選択し、選択したグラフの最大値を算出し、算出した最大値に対応するパラメータｋを最適なパラメータｋとして選択する。

ステップＳ１０８において、ＣＰＵ（パラメータ選択手段１７）は、選択したパラメータｋを出力する。より具体的には、ＣＰＵは、パラメータｋに基づいてデータを加工する装置に、選択したパラメータｋを送信する。

図８は、本発明の一実施形態に係る匿名化パラメータ選択装置１０が選択したパラメータｋに基づいて、データにｋ−匿名化処理が行われた例を示す図である。
図８（１）は、データ処理装置（例えば、プライバシー保護装置）によって、データにｋ−匿名化処理が行われる前の例である。
図８（２）は、匿名化パラメータ選択装置１０によって選択されたパラメータｋの値を用いて、データ処理装置（例えば、プライバシー保護装置）によって、データにｋ−匿名化処理が行われた後の例である。図８（２）は、ｋ−匿名化処理によって、データの準識別子がｋ個以上存在する状態に加工されていることを、示している。

本実施形態によれば、匿名化パラメータ選択装置１０は、パラメータｋを選択するための条件を受け付け、受け付けた条件及びモデル記憶手段３１に基づいて、データが利用されることに同意するユーザの割合の分布であってパラメータｋに対する分布を表わすユーザ分布モデルを選択し、受け付けた条件及びモデル記憶手段３１に基づいて、データの情報量とパラメータｋとの関係を表わす情報量モデルを選択し、選択したユーザ分布モデルと、選択した情報量モデルとに基づいて、同意したユーザの割合と情報量とによって利用者が得る利益と、パラメータｋとの関係を表わす利益モデルを生成する。次に、匿名化パラメータ選択装置１０は、受け付けた条件及びモデル記憶手段３１に基づいて、ユーザが特定されるリスクとパラメータｋとの関係を表わすリスクモデルを選択し、生成した利益モデルと、選択したリスクモデルとに基づいて、利益とリスクとの関係を表わす利益−リスクモデルを生成し、生成した利益−リスクモデルにおいて、利得が最大となるパラメータｋを選択する。さらに、匿名化パラメータ選択装置１０は、ユーザ分布モデルとして正規分布を選択し、情報量モデルとしてシャノンエントロピーを選択し、リスクモデルとしてストックオプションプライシングモデルを選択する。
したがって、匿名化パラメータ選択装置１０は、データの利用者の利益と、そのデータが利用されることによって特定される可能性のあるユーザのリスクとの関係における最適なパラメータｋを選択することができる。
その結果、匿名化パラメータ選択装置１０は、データをｋ−匿名化する装置に、利用者の利益と、ユーザのリスクとの相反する関係において、データの利用者の利益が最大になるようなパラメータｋを提供することができる。

以上、本発明の実施形態について説明したが、本発明は上述した実施形態に限るものではない。また、本発明の実施形態に記載された効果は、本発明から生じる最も好適な効果を列挙したに過ぎず、本発明による効果は、本発明の実施形態に記載されたものに限定されるものではない。

１０ 匿名化パラメータ選択装置
１１ 条件受付手段
１２ ユーザ分布モデル選択手段
１３ 情報量モデル選択手段
１４ 利益モデル生成手段
１５ リスクモデル選択手段
１６ 利益−リスクモデル生成手段
１７ パラメータ選択手段
３１ モデル記憶手段

Claims (7)

1. データを利用する利用者の利益と、前記データが利用されることによって特定される可能性のあるユーザのリスクとに基づいて、前記データの匿名化を表わすパラメータｋを選択する匿名化パラメータ選択装置であって、
   前記データが利用されることに同意する前記ユーザの割合の分布であって前記パラメータｋに対する分布を表わすユーザ分布モデルを選択するユーザ分布モデル選択手段と、
   前記データの情報量と前記パラメータｋとの関係を表わす情報量モデルを選択する情報量モデル選択手段と、
   前記ユーザ分布モデル選択手段によって選択された前記ユーザ分布モデルと、前記情報量モデル選択手段によって選択された前記情報量モデルとに基づいて、同意した前記ユーザの割合と前記情報量とによって前記利用者が得る利益と、前記パラメータｋとの関係を表わす利益モデルを生成する利益モデル生成手段と、
   前記ユーザが特定されるリスクと前記パラメータｋとの関係を表わすリスクモデルを選択するリスクモデル選択手段と、
   前記利益モデル生成手段によって生成された前記利益モデルと、前記リスクモデル選択手段によって選択された前記リスクモデルとに基づいて、前記利益と前記リスクとの関係を表わす利益−リスクモデルを生成する利益−リスクモデル生成手段と、
   前記利益−リスクモデル生成手段によって生成された前記利益−リスクモデルにおいて、利得が最大となるパラメータｋを選択するパラメータ選択手段と、
   を備える匿名化パラメータ選択装置。
2. 前記ユーザ分布モデル選択手段は、前記ユーザ分布モデルとして正規分布を選択する請求項１に記載の匿名化パラメータ選択装置。
3. 前記情報量モデル選択手段は、前記情報量モデルとしてシャノンエントロピーを選択する請求項１又は２に記載の匿名化パラメータ選択装置。
4. 前記リスクモデル選択手段は、前記リスクモデルとしてストックオプションプライシングモデルを選択する請求項１から３のいずれか一項に記載の匿名化パラメータ選択装置。
5. 前記パラメータｋを選択するためのモデルを記憶するモデル記憶手段と、
   前記パラメータｋを選択するための条件を受け付ける条件受付手段と、をさらに備え、
   ユーザ分布モデル選択手段は、前記条件受付手段によって受け付けられた条件及び前記モデル記憶手段に基づいて、前記ユーザ分布モデルを選択し、
   前記情報量モデル選択手段は、前記条件受付手段によって受け付けられた条件及び前記モデル記憶手段に基づいて、前記情報量モデルを選択し、
   前記リスクモデル選択手段は、前記条件受付手段によって受け付けられた条件及び前記モデル記憶手段に基づいて、前記リスクモデルを選択する、
   請求項１から４のいずれか一項に記載の匿名化パラメータ選択装置。
6. 請求項１に記載の匿名化パラメータ選択装置が実行する方法であって、
   前記ユーザ分布モデル選択手段が、前記データが利用されることに同意する前記ユーザの割合の分布であって前記パラメータｋに対する分布を表わすユーザ分布モデルを選択するユーザ分布モデル選択ステップと、
   前記情報量モデル選択手段が、前記データの情報量と前記パラメータｋとの関係を表わす情報量モデルを選択する情報量モデル選択ステップと、
   前記利益モデル生成手段が、前記ユーザ分布モデル選択ステップによって選択された前記ユーザ分布モデルと、前記情報量モデル選択ステップによって選択された前記情報量モデルとに基づいて、同意した前記ユーザの割合と前記情報量とによって前記利用者が得る利益と、前記パラメータｋとの関係を表わす利益モデルを生成する利益モデル生成ステップと、
   前記リスクモデル選択手段が、前記ユーザが特定されるリスクと前記パラメータｋとの関係を表わすリスクモデルを選択するリスクモデル選択ステップと、
   前記利益−リスクモデル生成手段が、前記利益モデル生成ステップによって生成された前記利益モデルと、前記リスクモデル選択ステップによって選択された前記リスクモデルとに基づいて、前記利益と前記リスクとの関係を表わす利益−リスクモデルを生成する利益−リスクモデル生成ステップと、
   前記パラメータ選択手段が、前記利益−リスクモデル生成ステップによって生成された前記利益−リスクモデルにおいて、利得が最大となるパラメータｋを選択するパラメータ選択ステップと、
   を備える方法。
7. コンピュータに、請求項６に記載の方法の各ステップを実行させるためのプログラム。

Images