JP2017091515A - 匿名化のために属性を自動的に識別するコンピュータ実装システムおよび方法 - Google Patents

Abstract

【課題】匿名化のために属性を自動的に識別するコンピュータ実装システムおよび方法を提供する。
【解決手段】属性のデータセットがアクセスされ、データセットにおける各属性は、複数の値に関連付けられている。データセットの値が暗号化され、属性は、属性のそれぞれに対して機密レベルを割り当てられ、属性の内の１つ以上は、割り当てられた機密レベルに基づいて、匿名化のデータセットから選択される。
【選択図】図２

Description

本特許出願は、一般に、データを匿名化することに関し、特に、匿名化のため属性を自動的に識別するコンピュータ実装システムおよび方法に関する。

事業の通常の過程において、企業は、大量のデータを蓄積する。近年、いくつかの企業は、広告主、研究者または共同パートナーなどの第三者とそれらのデータを共有することによってこのデータを収益化し始めている。第三者は、一定の金銭料金を支払い、これと引き換えに、データ所有者から関連データを受信する。そして、第三者は、広告をターゲッティングするかまたは研究を行うためにデータを使用することができる。しかしながら、第三者によって要求されるデータは、大抵の場合、データが収集される１人以上の個人にとってプライベートな情報を含む。

データが収集された個人のプライバシーを保護するために、データの匿名化が第三者に提供される前に生じることができる。データ匿名化は、機密情報を保護しながら要求した第三者がデータを使用するのを可能とする機能を維持するためにデータの改変を含む。データの改変は、ノイズを付加すること、データの精度を低下させること、または、データ自体の一部を除去することを含むことができる。一般に、データ所有者は、匿名化に関する十分な知識を有さず、それゆえに、匿名化のために機密情報を識別するためにならびに第三者にデータを提供する前にそれらのデータを匿名化するために第三者をあてにする。

匿名化するための１つのアプローチは、データ匿名化を支援するように個々の個人を提供する匿名化サービスプロバイダに接触することを含む。匿名化に割り当てられた個人は、信頼できない第三者であるにもかかわらず、データへのアクセスを有する。現在、多くの企業は、データが匿名化される前後においてデータを保護するための覚書または機密保持契約などの秘密保持契約に署名するために匿名化サービスを依頼する。さらなるアプローチは、匿名化のためのソフトウェアアプリケーションをあてにすることを含む。しかしながら、ソフトウェアは、一般に、データに対するフルアクセスを与えられなければならず、セキュリティ上の懸念がなおも発生する。さらに、ほとんどのソフトウェアは、通常、どのデータ属性を匿名化するかを識別するためにおよび匿名化パラメータを識別するためにデータ所有者を必要とする。残念ながら、ほとんどのデータ所有者は、どの属性が匿名化を必要とするかおよび個人の身元が開示されるのを防止するために必要な匿名化レベルを正確に識別するための知識および見解を欠いている。それゆえに、データが匿名化される必要があるかどうかを判定する前に匿名化のために分析されるべきデータが個人またはソフトウェアのいずれかに開示されなければならず、機密情報が信頼できない者によって発見されるのを可能とすることに技術的課題が存在する。

したがって、データの開示または違反を防止してデータ保護を確実にするために、匿名化のために特定のデータ属性を識別することを含むデータ匿名化を自動化するためにアプローチする必要性がある。

情報の開示を防止しながら匿名化のために機密情報を識別する際に企業を支援するために、アノニマイザは、データをブラインドで分析し、どのデータ項目が匿名化されるべきかを識別することができる。具体的には、分析のためのデータセットは、暗号化されることができ、処理のためにデータ所有者からアノニマイザに提供されることができる。アノニマイザは、データセット内のどの属性が匿名化されるべきかおよび必要とされる匿名化レベルを判定することができる。そして、識別された属性は、属性の確認のためにデータ所有者に提供されることができる。データ所有者によって承認されると、アノニマイザは、属性のそれぞれについてのデータ値を匿名化する。

実施形態は、匿名化のために属性を自動的に識別するコンピュータ実装システムおよび方法を提供する。属性のデータセットがアクセスされる。データセットにおける各属性は、複数の値に関連付けられている。データセットの値は暗号化され、属性は、属性のそれぞれに対して機密レベルを割り当てることによって処理される。属性のうちの１つ以上は、割り当てられた機密レベルに基づいて匿名化のためのデータセットから選択される。

本発明のさらに他の実施形態は、以下の詳細な説明から当業者にとって容易に明らかになるものであり、本発明を実施するための最良の形態を例示することよって本発明の実施形態について記載される。実現されるように、本発明は、他のおよび異なる実施形態が可能であり、そのいくつかの詳細は、全て本発明の精神および範囲から逸脱することなく、様々な明白な点において変更が可能である。したがって、図面および詳細な説明は、限定ではなく本質的に例示としてみなされるべきである。

図１は、１つの実施形態にかかる匿名化のために属性を自動的に識別するコンピュータ実装システムを示すブロック図である。 図２は、１つの実施形態にかかる匿名化のために属性を識別するコンピュータ実装方法を示すフロー図である。 図３は、一例として、規則ベース分類についてのプロセスを示すフロー図である。 図４は、一例として、統計ベース分類についてのプロセスを示すフロー図である。 図５は、一例として、郵便番号の分布についてのグラフを示すブロック図である。 図６は、一例として、データセット内の郵便番号の分布についてのグラフを示すブロック図である。 図７は、一例として、データセット内の郵便番号の異なる分布についてのグラフを示すブロック図である。 図８は、一例として、平文サンプリングについてのプロセスを示すフロー図である。

ビジネスの通常の過程において大量のデータを収集する企業および機関は、現在、データを匿名化し、市場調査または医学研究などの研究のために他の企業および機関にデータを提供することによってそれらのデータを収益化することができる。しかしながら、データの一部は、機密であると考えることができるかまたはデータが保護されかつデータの参照先である個人の身元が秘密のままであるのを確実にするために連邦政府によって規制される。機密情報を含むかまたは連邦政府によって規制されるデータ収集は、データへのアクセスを防止するために匿名化されなければならない。現在、多くの企業は、どのデータが匿名化される必要がありかつ第三者がデータに関連付けられている個人を特定するのを防止するためにどのくらいの匿名化が必要であるかの識別において経験または見解を有しない。機密情報を保護しかつデータの開示を防止するために、情報は、暗号化されることができ、匿名化の自動判定が行われることができる。

自動匿名化は、暗号化されたデータをブラインドに処理するアノニマイザを介して行うことができる。図１は、１つの実施形態にかかる匿名化のために属性を自動的に識別するコンピュータ実装システムを示すブロック図である。データ所有者は、時間をかけて収集されたデータ２５を大量に保持する。データ２５は、ビジネスのデータ所有者の場所またはリモートに位置する信頼できるサーバ２１に相互接続されたデータベース２４に記憶されることができる。あるいは、データ２５は、複数のサーバ上のプールに含めてクラウド内に記憶されることができる。データ所有者は、デスクトップ１１Ａもしくはラップトップ１１Ｂのコンピュータを介してまたはモバイルコンピューティングデバイス（図示しない）などの他の種類のコンピューティングデバイスを介してデータ２５にアクセスすることができる。記憶されたデータ２５は、複数の属性にそれぞれ関連付けられた１つ以上のデータセット２５を含むことができる。さらに、各属性は、個人群についてのデータ値に関連付けられている。

信頼できるサーバ２１は、暗号化部２２と、送信部２３とを含む。金銭と引き換えるものなどのデータ所有者が第三者に提供したいデータ２５は、暗号化部２２を介して暗号化されることができ、送信部２３は、アノニマイザ１３に暗号化されたデータ２６を送信することができる。アノニマイザ１３は、信頼できるかまたは信頼できず、インターネットまたは専用ネットワークなどの相互ネットワーク１２を介して信頼できるデータサーバ２１に相互接続されることができる。アノニマイザ１３は、比較部１４と、選択部１５と、機密割り当てモジュール１６と、検証部２８と、匿名化モジュール１７とを含むことができる。

アノニマイザによるデータセットの処理中において、比較部１４は、擬似識別子を指す関連付けられた文字列のアレイについての辞書１９、分配モデル２０または正規表現２９のいずれかとデータセットの属性を比較する。比較中において、機密モジュール１６は、各属性に対して機密値を割り当て、割り当てられた機密値に基づいて機密として１つ以上の属性を識別することができる。機密値は、データが対応する個人の識別を防止するために強く十分にマスクされるのに確実にするのに必要な匿名化量を反映する。例えば、より機密性がある属性は、機密性が少ない属性よりも強く匿名化されなければならない。匿名化は、ノイズを付加すること、データの精度を低下させること、または、データの一部を除去することなどによって機密情報を保護するためにデータを変更する。その後、匿名化モジュール１７は、機密レベルに基づいて機密属性を匿名化する。そして、匿名化データ２７は、第三者に提供するためにデータ所有者に返送される。

コンピューティングデバイスおよびサーバは、それぞれ、中央処理装置、ランダムアクセスメモリ（ＲＡＭ）、入力／出力ポート、ハードドライブまたはＣＤ−ＲＯＭドライブなどの不揮発性二次記憶装置、ネットワークインターフェース、キーボードおよびディスプレイなどのユーザインターフェース手段を含む周辺装置、ならびに、本願明細書に開示された実施形態を実行するための１つ以上のモジュールを含むことができる。ソフトウェアプログラムを含むプログラムコード、およびデータは、ＣＰＵによって実行および処理するためにＲＡＭにロードされ、その結果は、表示、出力、伝送または記憶のために生成される。

モジュールは、従来のプログラミング言語のソースコードとして書かれたコンピュータプログラムまたはプロシージャとして実装されることができ、オブジェクトまたはバイトコードとして中央処理装置による実行のために提示される。あるいは、モジュールはまた、集積回路としてハードウェアで実装されるかまたは読み出し専用メモリ要素に焼き付けられることができ、コンピューティングデバイスおよびサーバのそれぞれは、専用コンピュータとして機能することができる。例えば、モジュールがハードウェアとして実装されている場合、その特定のハードウェアは、メッセージ優先順位付けを行うように特化され、他のコンピュータを使用することができない。さらに、モジュールが読み出し専用メモリ要素に焼き付けられた場合、読み出し専用メモリを記憶するコンピューティングデバイスまたはサーバは、他のコンピュータができないメッセージ優先順位付けを行うように特化されることになる。他の種類の専用コンピュータが可能である。さらに、管理システムは、クライアントを特定しかつ管理システムが実装されるハードウェアを特定するように制限されることができるとともに、クライアントをサブスクライブするのみであるサブスクリプションサービスによって制限される。ソースコードおよびオブジェクトおよびバイトコードの様々な実装は、フロッピーディスク、ハードドライブ、ディジタルビデオディスク（ＤＶＤ）、ランダムアクセスメモリ（ＲＡＭ）、読み出し専用メモリ（ＲＯＭ）および同様の記憶媒体などのコンピュータ読み取り可能な記憶媒体上に保持されることができる。他の種類のモジュールおよびモジュール機能が可能であるとともに、他の物理的ハードウェア要素も可能である。

各属性についての機密レベルを判定することは、アノニマイザが匿名化および必要な匿名化レベルのために１つ以上の属性を識別するのを可能とする。図２は、１つの実施形態にかかる匿名化のために属性を自動的に識別するコンピュータ実装方法を示すフロー図である。データ所有者は、潜在的な匿名化のためのデータセットを識別する。データセットは、１人以上の個人についての名称、社会保障番号、住所、電話番号、病状および口座番号などの属性と、各属性についてのデータ値とを含むことができる。例えば、郵便番号についての属性は、シアトル北部に位置する第１の個人についての９８１２５という値と、シアトルのダウンタウンに位置する第２の個人についての９８１０１という値とを含むことができる。他の属性およびデータ値が可能である。

データ値は、属性のそれぞれについて暗号化されることができ（ブロック３１）、そして、暗号化されたデータ値は、処理のためにアノニマイザに送信される（ブロック３２）。さらなる実施形態において、属性自体もまた暗号化される。暗号化は、ＣＢＣモードにおける高度暗号化標準（ＡＥＳ）などの決定論的対称鍵暗号化方式を使用してまたは順序保存暗号化を使用して行うことができる。順序保存暗号化の際に、データ値は、非暗号化データ値の順序を維持しながら、各データ値に暗号化された値を割り当てる擬似乱数発生器を介して実行される。ＡＥＳなどのほとんどの暗号化アルゴリズムとは異なり、順序保存暗号化は、それらの暗号化された形式で平文データの順序を維持する。

例えば、データ値の平文バージョンは、番号０〜５を含む。平文データ値の順序は、順序付けられた暗号文データ値を生成するために順序保存暗号化の際に維持される。具体的には、擬似乱数発生器は、暗号文値としての暗号値を順序維持するように平文値の擬似ランダムマッピングを行う。暗号化を順序維持するための唯一の基準は、平文値および暗号文値の順序が保存されるということである。１つの例において、番号０は４５７にマッピングされるとともに、１は４７３にマッピングされ、２は５１０にマッピングされ、３は６２５にマッピングされ、４は６３５にマッピングされ、５は１００１にマッピングされる。ゼロは、最小平文データ値であり、ゼロの暗号化された値である４５７は、データセットの最小の暗号文値である。さらに、平文値５は最大であるとともに、５についての暗号化された値１００１もまた最大である。暗号化された値の順序を保存することは、暗号化されているにもかかわらず、データが制限された量の処理および推論のためになおも有用であるのを確実にするのに役立つ。

暗号化されたデータセットの処理中において、データ値は、割り当てられた機密値に基づいて匿名化のために１つ以上の属性を選択するために（ブロック３３）、規則ベース分類、統計ベース分類または平文サンプリングを使用して分析されることができる。規則ベース分類に基づいて、暗号化されたデータ値の属性は、それぞれ機密値に関連付けられている様々な辞書文字列と比較される。所定の閾値を超える機密値を有するそれらの属性は、機密性として識別されて匿名化のために選択されることができる。規則ベース分類を介して機密属性を識別することは、図３を参照して以下にさらに特定される。統計ベース分類に関しては、各属性のデータ値はモデル化され、アノニマイザに既に知られている属性の分布と比較される。その後、既知の分布とアノニマイザによって観察された分布との間の相違の尺度が判定され、１つ以上の機密属性を識別して各属性についての機密レベルを判定するために所定の閾値と比較される。統計ベース判定は、規則ベース分類の結果を確認するためにまたは属性値自体が暗号化されている場合などに属性を識別するために使用されることができる。統計ベース判定は、図４を参照してさらに記載される。

最後に、平文サンプリングに基づいて、データセットの一部は、暗号化前にアノニマイザに提供される。アノニマイザは、暗号化されていないデータに基づいて１つ以上の属性についての表現のセットを生成する。その後、データセットの残りが暗号化され、特定の属性およびそれらの機密性を識別するように表現と比較される。平文サンプリングは、図８を参照して以下にさらに説明されるように、属性および属性についての機密値を識別するために使用されることができる。

選択されると、属性は、その後、再検討および検証のためにデータ所有者に必要に応じて提供されることができる（ブロック３４）。選択された属性を再検討することにより、データ所有者は、匿名化のために選択された属性のうちの１つ以上を除去すること、１つ以上の属性を付加することまたは選択された属性を検証することを含むフィードバックを提供することができる（ブロック３５）。そして、アノニマイザは、割り当てられた機密レベルに応じて選択された属性のデータ値を匿名化する（ブロック３６）。１つの実施形態において、匿名化は、２０１５年１１月３日に出願された代理人整理番号０２２．１４５５．ＵＳ．ＵＴＬの「暗号化されたデータを匿名化するためのコンピュータ実装システムおよび方法」と題された米国特許出願第１４／９３１，７７４号に記載されたように行うことができる。匿名化するための他の方法が可能である。

匿名化のために属性を自動的に識別するために、アノニマイザは、過去の経験に基づいてデータセットを処理する。図３は、一例として、規則ベース分類についてのプロセスを示すフロー図である。アノニマイザは、１つの実施形態において、暗号化されていない属性および暗号化されたデータ値を含めることができるデータ所有者から暗号化されたデータセットを受信し、既知の属性などの擬似識別子および機密値を指す文字列の辞書にアクセスする（ブロック４１）。アノニマイザは、属性を分析する以前の経験に基づいて文字列の辞書をコンパイルすることができる。例えば、非常に高い機密性に関連付けられているとしてアノニマイザが社会保障番号を以前に識別した場合、辞書における機密値もまた高い値を反映し、または、年齢などの属性が一般に低い機密性に関連付けられている場合、機密値は、それに応じて設定される。

各機密値は、文字列がその属性についてのデータ値に関連付けられた個人を識別するために使用することができる擬似識別子または属性をおそらく含む程度を表す。１つの例において、機密値は、より高い尤度を表すより高い値を有する０から１の範囲とすることができ、擬似識別子データ値は、個人に関連付けることができる。例えば、辞書は、社会保障、位置、名称および心拍数モニタによるものなどのセンサ読取値を含む擬似識別子についての文字列を含むことができる。社会保障データ値は、その特定の社会保障番号に関連付けられた個人の身元を開示することから、社会保障は、１．０の重みに関連付けられる。対照的に、位置は、０．６の重みに関連付けられ、フルネームは、１の重みに関連付けられ、センサ読取値は、０．０１の重みに関連付けられる。

０から１００または−１から１などの他の重みとともに、病状、クレジットカード番号および等級などの他の擬似識別子が可能である。さらなる実施形態において、機密値は、辞書内の全ての文字列の両端値が１の合計を有し、各機密値がゼロ以上であるように構成可能であることができる。さらに他の実施形態において、機密値は、匿名化される可能性が高い属性を表す辞書内の文字列が匿名化されにくい属性に関連付けられた文字列よりも高い機密値に関連付けられるように確率として解釈されることができる。他の種類の機密値が可能である。

そして、データセットにおける属性のそれぞれは、辞書と比較され（ブロック４２）、１つ以上の一致が各属性のそれぞれについて識別されることができる（ブロック４３）。一致は、文字列部分一致または類似度メトリックに基づくものを含む複数の方法で判定することができる。文字列一致は、辞書文字列エントリのそれぞれと属性を比較することと、属性または属性内に含まれている１つ以上のエントリを識別することとを含む。例えば、属性「電話番号」は、辞書エントリと比較されることができ、「電話番号（ｔｅｌｅｐｈｏｎｅ ｎｕｍｂｅｒ）」、「電話番号（ｔｅｌｅｐｈｏｎｅ ｎｏ．）」および「電話番号（ｐｈｏｎｅ ｎｏ）」についての１つ以上のエントリは、エントリのそれぞれが用語「電話（ｐｈｏｎｅ）」を含むことから、一致として識別されることができる。文字列一致は、Ｎａｉｖｅの文字列検索アルゴリズムまたは他の種類のパターンアルゴリズムを介して行うことができる。用語「番号（ｎｕｍｂｅｒ）」の類似度に起因して「社会保障番号」についての辞書エントリと一致した「電話番号（ｐｈｏｎｅ ｎｕｍｂｅｒ）」についての属性などの誤った一致を防止するために、アルゴリズムは、異なるフレーズを分離するためにトレーニングされることができる。あるいは、各属性についての規則が適用されることができる。例えば、社会保障番号の規則は、３つの数字の後にダッシュが続き、その後に２つの数字が続き、その後にダッシュが続き、その後に４つの数字が続くものを含むことができる。対照的に、電話番号の規則は、３つの数字の後にダッシュが続き、その後に３つの数字が続き、その後にダッシュが続き、その後に４つの数字が続くものを含むことができる。

さらに、類似度メトリックを介した属性の比較は、各属性と各辞書文字列との間の類似度を計算することを含む。類似度閾値が定義され、属性に最も類似している辞書文字列を判定するために各類似度に適用される。類似度は、コサイン類似度、相互相関または対数表現ならびに他の類似度メトリックを使用して判定されることができる。例えば、コサイン類似度が使用される場合、辞書内の各文字列および各属性についてベクトルが生成され、属性および各文字列についてのベクトル間で類似度が算出される。各ベクトルは、対応する属性の名称から判定される。例えば、候補属性「年齢」についてのベクトルは、［「ａ」、「ｇ」、「ｅ」］を含む。判定されると、ベクトルは、匿名化されるべきデータベース内の他の属性についてのベクトルとどの程度密接に一致するかを判定するために編集距離計算に使用されることができる。そして、類似度は、どの辞書文字列が属性に一致または最も密接に一致するかを識別するために使用される。具体的には、属性に一致するとして識別される閾値を超える類似度に関連付けられた属性および辞書文字列についての各類似度に閾値が適用される。

一致する文字列が識別されると、その文字列に関連付けられた重みは、属性に割り当てられ、機密値に所定の閾値が適用される（ブロック４５）。機密値が閾値を超えた場合、属性は、識別された機密性に基づいて匿名化するために推薦される（ブロック４６）。しかしながら、機密値が閾値を超えていない場合、匿名化の推薦は提供されない（ブロック４７）。また、一致が識別されない場合、データセット内の全ての属性が処理されるまで他の属性が選択される（図示しない）。

あるいは、匿名化の必要性および匿名化レベルは、単に単一の閾値よりもむしろ機密値の範囲に基づいて判定されることができる。例えば、０から０．２の機密値を有する属性は、匿名化される必要はなく、０．３から０．５の重みを有する属性は、低レベルの匿名化を必要とし、０．６から０．７の重みを有する属性は、中間の匿名化を必要とし、０．８から１の重みを有する属性は、最高レベルの匿名化を必要とする。

規則ベース分類のさらなる実施形態において、データ所有者は、機密値を判定するためにアノニマイザを要求するよりもむしろ属性のリストおよび関連する機密値を有するアノニマイザを提供することができる。受信すると、アノニマイザは、匿名化レベルを判定するために機密値を利用し、判定された匿名化レベルに応じて各属性についてのデータ値を匿名化する。具体的には、アノニマイザは、以前の匿名化経験に基づいてまたは閾値を介して匿名化レベルを判定することができる。例えば、１つの例において、アノニマイザは、それらの属性の過去の匿名化に基づいて匿名化されるべき属性のリストを保持することができる。その後、リストに含まれるデータ所有者の属性は匿名化されることができる。あるいは、属性の匿名化が必要であるかどうかを判定するために閾値が使用されることができる。例えば、０．７を超える機密値を有する全ての属性は匿名化されなければならない。また、単一の閾値の代わりに、機密値の範囲は、上述したように、匿名化が必要であるかどうかおよび行うべき匿名化レベルを判定するために使用されることができる。

匿名化のために属性を識別すると、属性のリストが生成されることができ、再検討のためにデータ所有者に提供されることができる。１つの実施形態において、機密レベルおよび対応する匿名化レベルはまた提供されることができる。受信すると、データ所有者は、リスト上の属性を確認し、拒否し、付加しまたは削除することができるとともに、他の種類のフィードバックを提供することができる。データ所有者のフィードバックに応じて、アノニマイザは、統計ベース分類を使用して匿名化のための属性のリストを修正することができる。しかしながら、さらなる実施形態において、統計ベース分類は、例えば属性自体が暗号化されている場合または属性が暗号化されていない場合であっても、匿名化のための属性を識別するために規則ベース分類の代わりに使用されることができる。図４は、一例として、統計ベース分類についてのプロセス５０を示すフロー図である。アノニマイザは、各属性についてのデータ値の既知の分布をそれぞれ表しかつ与えられた値を表す特定のデータ値の尤度を記載する確率密度関数（ＰＤＦ）にアクセスする（ブロック５１）。各ＰＤＦは、その属性についてのデータ値に関連付けられた個人の識別を防止するために必要な匿名化レベルを示す機密値に関連付けることができる。

例えば、米国内の全ての郵便番号および米国内の１つ以上の州についての全ての郵便番号の分布を含む１つ以上のＰＤＦが郵便番号のために提供されることができる。図５は、一例として、米国内の全ての郵便番号の分布についてのグラフ６０を示すブロック図である。グラフのｘ軸６１は、連続した米国内の全ての郵便番号を表すとともに、ｙ軸６２は、各郵便番号の人口を表している。郵便番号分布についての関数６３は、軸内にマッピングされる。最も多い人口の郵便番号は、東海岸の一部、具体的には、ニューヨーク市をカバーするおよそ１００００範囲、カリフォルニアのほとんどをカバーする９００００範囲、および、太平洋岸北西部をカバーする９５０００範囲であると表示される。一方、最も少ない人口の郵便番号は、中西部に表示される。一般に、少ない人口の郵便番号は、より多くの人々が同じ郵便番号を共有しているため、より多い人口の郵便番号よりも個人に関する情報を開示する可能性が高くなる。他の属性およびグラフが可能である。例えば、姓または名は、名称の人気に基づいてマッピングされることができ、給与は、年齢または場所に基づいてマッピングされることができ、口座番号は、地理的地域によってマッピングされることができ、電話番号は、エリアコードに関連付けられた場所に基づくことができる。

図４に関する説明に戻ると、アノニマイザは、その後、データセット内の各属性についてのデータ値の分布をマッピングする（ブロック５２）。暗号化されているにもかかわらず、データ値は、順序保存暗号化が使用される場合、データの順序が維持されることから、それらの暗号化された値に基づいてマッピングされることができる。データセットについての各属性分布が既知の各ＰＤＦと比較される（ブロック５３）。ＰＤＦのいずれかがそのデータセットの属性についての分布と一致するかどうかを判定するためにデータセットの属性と既知の各ＰＤＦとの間の発散が測定される（ブロック５４）。発散は、既知のＰＤＦの分布とデータセットの属性の分布との間の距離を測定するためにカルバック−ライブラー発散、ジェンセン−シャノン発散または変分距離を使用して測定されることができる。しかしながら、他の発散測定が可能である。

その後、所定の閾値が発散測定に適用されることができる。発散の尺度が閾値未満である場合（ブロック５５）、類似性の高い測定値が存在し、分布が一致すると考えられる。そして、一致するＰＤＦの属性は、暗号化された属性に割り当てられる（ブロック５６）。さらに、一致するＰＤＦに関連付けられた機密値はまた、暗号化された属性に割り当てられることができ（ブロック５６）、暗号化された属性のデータ値についての匿名化レベルを判定するために使用されることができる。しかしながら、発散の尺度が閾値を超えた場合、非類似性の高い測定値が存在するため、分布間の一致は識別されない（ブロック５７）。データセット内の各属性は、データセットの属性を特定して匿名化されるべき属性を判定するための試みにおいて既知のＰＤＦの全てと比較される。

１つの例において、統計に基づく分類を使用して、暗号化された属性は、マッピングおよびＰＤＦとの比較のためにデータセットから選択される。図６は、一例として、データセット内の郵便番号の分布についてのグラフ７０を示すブロック図である。グラフのｘ軸７１は、データ所有者からのデータセットに含まれる郵便番号を表すとともに、ｙ軸７２は、各郵便番号の頻度を表している。具体的には、頻度は、１つの郵便番号を表すデータセット内のデータ値の数に基づいて判定される。データセットの郵便番号分布についての関数７３は、軸内にマッピングされる。関数７３は、およそ１００００郵便番号範囲、およそ９００００範囲およびおよそ９５０００範囲の山を含む。さらに、関数は、およそ５００００および６００００郵便番号範囲にトラフを含む。そして、分布は、既知のＰＤＦのそれぞれと比較され、発散尺度が判定される。閾値は、発散の尺度のそれぞれに適用され、閾値は、閾値を満たす発散尺度で既知のＰＤＦを判定するために適用される。そして、暗号化された属性は、既知のＰＤＦの属性として識別され、既知のＰＤＦに関連付けられている機密レベルは、識別された属性に割り当てられる。

あるいは、属性が既に既知の場合、比較は、その属性のデータ値についての匿名化レベルを判定するために使用されることができる。例えば、図７は、一例として、データセット内の郵便番号の異なる分布についてのグラフ８０を示すブロック図である。グラフのｘ軸８１は、データ所有者からのデータセットに含まれる郵便番号を表すとともに、ｙ軸８２は、各郵便番号の頻度を表している。頻度は、１つのそのような郵便番号を表すデータセット内のデータ値の数に基づいて判定される。データセットの郵便番号分布についての関数８３は、軸内にマッピングされる。具体的には、この場合、データセットは、主に、およそ９００００郵便番号から始まる曲線の成長によって表されるように、西海岸に沿った郵便番号を含む。それゆえに、データセットは、データセット内の郵便番号についての属性値の異なる表現によって示されるＰＤＦによって表される郵便番号の一部のみを含む。

表現の比較に基づいて、アノニマイザは、匿名化レベルを判定することができる。例えば、この例において、郵便番号についての既知のＰＤＦは、低レベルの匿名化が必要であることを示す０．４という機密値に関連付けられることができる。しかしながら、データセットは、西海岸に集中している郵便番号属性値の小さい集合を表していることから、郵便番号についての既知のＰＤＦによって示されるものなど、データが国全体に対して全てが西海岸に沿って存在する個人の小さいグループに関する情報を明らかにしているので、より高い匿名化レベルが必要とされることができる。機密レベルは、アノニマイザの以前の経験に基づいてまたは郵便番号の範囲に基づいて割り当てられることができる。例えば、アノニマイザは、西海岸に焦点をあてた郵便番号が以前に匿名化されているかどうか、その場合にはどの匿名化レベルかを判定することによって郵便番号を匿名化する際に以前の経験を使用することができる。そして、匿名化レベルは、データセットの郵便番号属性に割り当てられることができる。

あるいは、郵便番号の範囲は、機密値、それゆえに匿名化レベルを判定するために使用されることができる。１つの実施形態において、範囲は、郵便番号の数に基づいている。例えば、データセット内で提供される１〜２５個の異なる郵便番号は、個人の身元の判定が国全体の中よりも特定のエリア内で容易であることから、高い機密値と関連付けられることができる。さらに、２６〜１００個の異なる郵便番号は、中間の機密レベルに関連付けられることができ、１００個以上の異なる郵便番号は、低い機密レベルまたはその属性についてのＰＤＦに関連付けられた機密レベルに関連付けられることができる。

さらに、２つ以上の属性は、共同分布とともにマッピングされることができる。例えば、年齢および医学的状態がデータセットにマッピングされることができる。共同分布についての既知のＰＤＦは、利用可能な場合、アクセスされることができ、データセットからマッピングされた分布と比較されることができる。分布の差異が識別されることができ、値がＰＤＦとは異なるデータセットのマッピングされた分布を形成しているデータセットに固有の特性が存在することを示唆する。差異は、図７に関して記載された例において提供されるように、特定の地理的位置、人口統計学グループまたは年齢グループに制限されているデータセットの値に起因して発生することがある。そして、機密レベルおよび対応する匿名化レベルは、差異に基づいて判定される。例えば、機密の平均レベルよりも高いレベルは、データ値がそれらの値に関連付けられた個人の開示を防止するために制限される属性に割り当てられることができる。

さらに、データセットの属性のマッピングされた表現は、非常に相関がある属性のうちの他の１つについての機密レベルを判定するために使用されることができる。例えば、データセットからの第１の属性は、既に機密値に関連付けられている。第１の属性のマッピングは、第１の属性および相関がある属性のデータ値が同様に匿名化されるべきであるとデータセット内の他の属性が、非常に密接に相関があるかどうかを判定するためにデータセット内の他の属性のマッピングと比較される。具体的には、属性の分布が比較され、発散尺度が判定される。所定の閾値が適用され、発散尺度が閾値未満である場合、データセットからの２つの属性が一致するように判定され、既知の機密レベルは、一致する属性に割り当てられる。２つの非常に相関がある属性の例は、国や郵便番号を含むことができる。

属性が識別されて機密レベルが割り当てられると、匿名化のために選択された属性は、再検討および確認のためにデータ所有者に機密レベルまたは匿名化レベルを提供することができる。しかしながら、データ所有者からのフィードバックの前後において、匿名化のための属性は、平文サンプリングを使用して検証されることができる。さらに、平文サンプリングはまた、規則ベース分類または統計ベース分類の代わりに匿名化のための属性の識別に使用されることもできる。

平文サンプリングは、分析されるべきデータセットからの既知のサンプルを利用することを含む。図８は、一例として、平文サンプリングについてのプロセス９０を示すフロー図である。アノニマイザは、分析されるべきデータセットの平文サンプルについての要求をデータ所有者に送信する（ブロック９１）。サンプルは、データセット内のデータ値の一部を含むことができる。１つの実施形態において、各属性についての所定数のデータ値は、サンプルとして提供されることができる。あるいは、所定数のデータ値または１％などのデータ値の所定部分は、データセットからランダムに提供されることができる。さらにまた、データ所有者は、サンプルのサイズおよびサンプルとして提供するためにデータ値を判定することができる。

要求に応じて、データ所有者は、サンプルとともにアノニマイザを提供する（ブロック９２）。１つの実施形態において、暗号化された形式の完全なデータセットはまた、平文サンプルとともに提供されることができる。サンプルの受信前に、同時にまたは後において、アノニマイザは、表現のリストにアクセスすることができる（ブロック９３）。表現リストは、各属性の少なくとも１つのパターンと、各パターンに関連付けられた機密値とを含むことができる。例えば、社会保障番号についての表現は、３つのスペースの後にダッシュが続き、その後に２つのスペースが続き、その後に他のダッシュが続き、その後に４つのスペースが続くものを含むことができる。スペースは、ゼロから９までの数値をそれぞれ表すことができる。一方、年齢についてのパターンは、１つから３つのスペースの範囲を含むことができ、車両のナンバープレートについてのパターンは、数字および文字の特定のシリーズを含むことができる。例えば、古いワシントン州のナンバープレートは、３つの数字の後にダッシュが続き、その後に３つの文字が続く一方で、新たなナンバープレートは、数字で始まる７文字と、その後に続く１文字と、その後に続く２つの数字と、その後に続く３文字とを含む。さらに他の例において、２つの大文字についての表現は、州を表すことができる。表現は、属性データ値を識別して分類する際のアノニマイザの以前の経験に基づいてアノニマイザによって生成されることができる。

平文サンプルにおける各データ値は表現と比較され（ブロック９４）、そのデータ値が表現のいずれかと一致するかどうかに関して判定が行われる（ブロック９５）。平文サンプリングが、統計ベース分類が行われた後などに属性を検証するために使用される場合、識別された一致は、属性の以前の分類を裏付けるかまたは矛盾することができる。例えば、データ値９８１２５についての属性は、統計ベース分類を使用して郵便番号として識別されている。そして、データ値は、平文サンプルの一部として提供され、表現のリストと比較される。郵便番号についての表現は、ゼロから９の間の５つの数字を含むことができ、９８１２５というデータ値に一致すると判定される。一致に基づいて、データ値は、統計ベース分類を使用した郵便番号としての属性の以前の割り当てに一致する郵便番号の属性に属すると考えられる（ブロック９６）。さらに、表現に関連付けられた機密値は、データ値に割り当てられることができる。機密値は、統計ベース分類時に割り当てられた機密値と同じかまたは異なることができる。しかしながら、一致がなされない場合、データ値は、比較された表現についての属性に属するとして識別または分類されない。さらに、一致がなされない場合、データ値は、機密性がないと考えることができる。

そして、処理されたサンプルは、データセットの暗号化されたデータ値をさらに処理するために使用されることができる。具体的には、処理されたデータ値のいずれかは、サンプルから選択され、処理されたデータ値が属するデータセットのグループまたは属性が識別される。そして、平文データ値に割り当てられた属性および関連する機密値は、匿名化のための対応するデータ値および匿名化レベルを含むそれらの属性を識別するためにデータセットについての同じグループまたは属性におけるデータ値のそれぞれに割り当てられる。

さらなる実施形態において、平文サンプリングが匿名化のための属性を識別するために使用される場合、規則ベース分類および統計ベース分類の代わりに、平文データ値と表現との一致は、平文データ値の属性を分類するために使用されることができる。例えば、平文データ値は、ナンバープレートについての表現と一致し、それゆえに、データ値が属する属性は、ナンバープレートとして識別される。さらに、属性に関連付けられた全ての暗号化されたデータ値はまた、ナンバープレート番号として識別されることができる。ナンバープレートに関連付けられた機密値は、データ値に割り当てられ、上述したように、データ値が匿名化されるべきかどうか、そうである場合にはどのレベルかを判定するために使用されることができる。しかしながら、表現がデータ値に一致するように判定されない場合、データ値は、機密ではないとして分類されることができ、それゆえに、いかなる匿名化も不要である。

上述したように、サンプルは、処理されると、データ値が匿名化されるべきかを判定するためにデータセットからの暗号化されたデータ値に機密値を割り当てるために使用される。例えば、処理されたデータ値のいずれかがサンプルから選択され、処理されたデータ値が属するデータセットのグループまたは属性が識別される。そして、処理された平文データ値に割り当てられた属性および関連する機密値は、匿名化するために対応するデータ値および匿名化レベルを含むそれらの属性を識別するためにデータセットについての同じグループまたは属性のデータ値のそれぞれに割り当てられる。

Claims (10)

1. 匿名化のために属性を自動的に識別するコンピュータ実装システムであって、
   各属性が複数の値に関連付けられた属性のデータセットを記憶するデータベースと、
   前記データセットの値を暗号化する暗号化モジュールと、
   前記属性のそれぞれに対して機密レベルを割り当てることによって前記属性を処理する処理モジュールと、
   前記割り当てられた機密レベルに基づいて、匿名化のために前記データセットから前記属性のうちの１つ以上を選択する選択モジュールと、
   前記モジュールを実行するプロセッサと
   を備える、コンピュータ実装システム。
2. 各属性の機密レベルに対して所定の閾値を適用することによっておよび匿名化のために前記選択された属性として前記所定の閾値を満たす機密レベルを有するそれらの属性を指定することによって匿名化のために前記選択された属性を識別する識別モジュール
   をさらに備える、請求項１に記載のシステム。
3. 前記割り当てられた機密レベルに基づいて、前記属性のそれぞれについての匿名化レベルを判定する判定モジュール
   をさらに備える、請求項１に記載のシステム。
4. 前記匿名化レベルが判定され、
   機密レベルのうちの２つ以上の範囲であって前記範囲のそれぞれが匿名化レベルに関連付けられた範囲に各属性の機密レベルを適用するアプリケーションモジュールと、
   各データセット属性について、前記機密レベルが含まれる範囲を識別する識別モジュールと、
   そのデータセット属性に対して前記識別された範囲について匿名化レベルを割り当てる割り当てモジュールと
   を備える、請求項３に記載のシステム。
5. 前記機密レベルを判定する判定モジュールを備え、前記判定モジュールが、
   機密レベルにそれぞれ関連付けられた既知の属性の辞書と前記属性を比較する比較モジュールと、
   前記属性のうちの少なくとも１つについての前記辞書における既知の属性の一致を識別する識別モジュールと、
   少なくとも１つの属性に対する既知の属性の一致の前記機密レベルを指定する指定モジュールと
   をさらに備える、請求項１に記載のシステム。
6. 匿名化のために属性を自動的に識別するコンピュータ実装方法であって、
   各属性が複数の値に関連付けられた属性のデータセットにアクセスすることと、
   前記データセットの値を暗号化することと、
   属性のそれぞれに対して機密レベルを割り当てることによって前記属性を処理することと、
   前記割り当てられた機密レベルに基づいて、匿名化のために前記データセットから前記属性のうちの１つ以上を選択することと
   を備える、方法。
7. 匿名化のためにそれらの属性を識別すること
   をさらに備え、
   識別することが、
   各属性の前記機密レベルに所定の閾値を適用することと、
   匿名化のために前記選択された属性として前記所定の閾値を満たす機密レベルを有するそれらの属性を指定することと
   を備える、請求項６に記載の方法。
8. 前記割り当てられた機密レベルに基づいて、属性のそれぞれについての匿名化レベルを判定すること
   をさらに備える、請求項６に記載の方法。
9. 前記匿名化レベルが判定され、
   機密レベルの２つ以上の範囲であって範囲のそれぞれが匿名化レベルに関連付けられた範囲に各属性の機密レベルを適用することと、
   各データセット属性について前記機密レベルが含まれる範囲を識別することと、
   そのデータセット属性に対して識別された範囲について匿名化レベルを割り当てることと
   を備える、請求項８に記載の方法。
10. 前記機密レベルを判定すること
    をさらに備え、
    前記機密レベルを判定することが、
    機密レベルにそれぞれ関連付けられた既知の属性の辞書と前記属性を比較することと、
    前記属性のうちの少なくとも１つについての前記辞書における既知の属性の一致を識別することと、
    前記少なくとも１つの属性に一致する既知の属性の前記機密レベルを指定することと
    を備える、請求項６に記載の方法。

Images