JP2019512128A - データの秘匿性−実用性間のトレードオフを算出するためのシステムおよび方法 - Google Patents

Abstract

データの秘匿性−実用性間のトレードオフを算出するための方法およびシステムが開示される。データマーケットプレイスのような大規模なデータハブは、データの買い手にとって実用的となり得るデータソースである。しかしながら、データの売り手に提供される出力データは、データの売り手の秘匿性要件を満たす必要があり、同時に、データの買い手にとってのある程度の実用性レベルを維持する必要がある。データ秘匿性を達成する従来既知の方法は、データのコンポーネントを圧縮する傾向にあるが、これは、データの実用性を減少させることに繋がる。本発明のシステムおよび方法は、このトレードオフを算出し、データがデータの売り手と共有化される際の共有前のデータ変換の必要性を立証するものである。【選択図】図２

Description

関連出願への相互参照および優先権
本出願は、２０１６年２月２２日付けで出願されたインド国仮特許出願第２０１６２１００６１３６号に基づく優先権を主張し、該出願の開示の全てが、参照によりここに援用される。

本発明は、一般に、情報セキュリティに関し、より具体的には、データの秘匿性（privacy）と実用性（utility）との間のトレードオフを評価するためのシステムおよび方法に関する。

一般的に、秘匿性（プライバシー）は、公に公開されない状態、または、他の人によって観測または阻害されない状態を指す。分散された情報源の機密データが互いにリンクされる場合、秘匿性に対する脅威を考慮せざるを得なくなる。グローバル化の時代において、各組織は、競争力を維持するために、ビジネス上の関係者に対してマイクロデータ（micro-data）を公開する必要が出てくるであろう。このことは、個人のプライバシーをリスクに曝すことに繋がる。また、今日において、スマートフォンおよびタブレットに対する人々の依存は非常に大きなものとなっている。これらデバイスは、人々が実行可能な膨大な数の操作によって、大量の個人情報を保持している。人々は、自身の銀行口座にアクセスし、買い物を実行し、支払いを実行する。そのため、このようなデバイスが、サイバー犯罪の潜在的な標的となる。行動学的な側面もまた、プライバシーリスクを高める。人々は、だれが自分たちを追跡しているか、追跡情報がどのように用いられるかについて、いつも承知しているわけではない。そのため、身元情報（アイデンティティ）の窃盗を防止することは、健康業界、金融業、政府、製造業、銀行、小売りビジネス、保険業、外注業を含む大部分の分野において最も優先度の高い事項の１つである。

プライバシーリスクを克服するために、従来、名前、社会保障番号（ＳＳＮ）、運転免許証番号等のような個人を明確に特定可能な属性を除去または乱数値によって抑制（suppressed）することが一般的に行われている。例えば、医療データベースの一部分である以下の表を検討する。表（ａ）はマイクロデータに関するものであり、表（ｂ）は公開データまたは投票登録データである。
テーブル（ａ）：医療データ（マイクロデータ）

テーブル（ｂ）：投票登録データ（公開）

表（ａ）の属性「病気」は、機密属性である。個人が属性の開示を希望しない場合、または、敵対者がその属性の値を発見することを認めてはならない場合に、属性が機密と呼ばれる。属性｛性別、生年月日、郵便番号｝の集合は、準識別子（ＱＩ：Quasi Identifier）属性と呼ばれる。上の２つの表のＱＩ属性をリンクさせることによって、敵対者は、投票登録データから、属性「氏名」を特定することができてしまう。機密属性は、彼ら／彼女ら自身にとっては機密ではないが、特定の値またはそれらの組み合わせが外部の情報にリンクされ、個人の機密情報が間接的に暴露されてしまう可能性がある。そのため、準識別子は、組み合わされたとき、個人を特定する情報となり得る。準識別子は、公表されたデータに対するいくつかの攻撃の土台となってきている。したがって、準識別子を認識し、さらに、それらに適切な保護尺度を適用し、身元情報の公開リスクを低減させることは、非常に重要である。

抑制された医療データを有する表（ｃ）と上記の表（ｂ）とが自然結合されると、以下に説明するように、準識別子の助けによって、個人を容易に再特定することが可能となる。
表（ｃ）：抑制された医療データ（マイクロデータ）

表（ｄ）：抑制された表（ｃ）と表（ｂ）の結合：表（ｃ）からの氏名、性別、生年月日、郵便番号、病気を、表（ｂ）に自然結合させる。

データの秘匿性は、データ取引において非常に重要な役目を果たす。秘匿性を維持するためのデータ変換を実行するよう構成されたデータ公開技術が複数存在している。しかしながら、データの特定のコンポーネントの一般性と抑制は、消費者によって導出され得るデータの値およびデータの実用性に影響を与え得ることに留意すべきである。秘匿性と実用性との間のトレードオフを定量化することは、データの売り手およびデータの買い手が詳細な情報を得た上での決定を実行するために、対応が必要とされる課題である。

本発明の実施形態は、本発明者によって認識された従来のシステムにおける１つ以上の上述の技術的問題に対する解決法として、技術的改善を提供する。

１つの態様において、方法が提供される。該方法は、データ接続器（data connector）によって、１人以上のデータの買い手によるデータ消費を可能とするために、１つ以上のデータソースからデータを受信する工程と、流入データ分析器（inflow data analyzer）によって、受信されたデータを分析し、受信されたデータのメタデータを抽出および処理する工程と、流入データ分析器によって、データに関連付けられた事前定義された知識ベースに基づいて、処理されたメタデータから少なくとも１つの機密属性を含む検索空間を特定する工程と、敵対者モデル生成器（adversary model generator）によって、検索空間を、関連付けられた秘匿性データを有する少なくとも１つの機密属性にそれぞれ対応する複数のバケットの複数のセットに区分化することにより、敵対者モデルを生成する工程と、敵対者モデル生成器によって、複数のバケットの複数のセットのそれぞれのバケット数を算出し、さらに、複数のバケットの複数のセットから、複数のバケットの複数のバケット組み合わせを生成する工程と、敵対者モデル生成器によって、少なくとも１つの機密属性のそれぞれに関連付けられた秘匿性データを、複数のバケットから得られるマスキングバケット（masking bucket）に置き換える工程と、敵対者モデル生成器によって、秘匿性データに割り当てられたマスキングバケットに基づいて、複数のバケット組み合わせのそれぞれのエンティティー数（entity count）を算出する工程と、敵対者モデル生成器によって、算出されたエンティティー数および事前定義された秘匿性しきい値に基づいて、匿名性インデックス（anonymity index）を算出する工程と、データマスキングモジュールによって、算出された匿名性インデックスに基づいて、秘匿性データをサニタイズすることにより（sanitize：秘密にするべき情報を除去すること）、出力データを生成する工程と、を含む。

異なる１つの態様において、システムが提供される。該システムは、１つ以上のプロセッサーと、１つ以上のプロセッサーに動作可能に接続され、１つ以上のプロセッサーによって実行可能に構成された複数の命令を保存している１つ以上の内部データ記憶デバイスと、を含み、複数の命令は、１人以上のデータの買い手によるデータ消費を可能とするために、１つ以上のデータソースからデータを受信するよう構成されたデータ接続器と、受信されたデータを分析し、受信されたデータのメタデータを抽出および処理し、さらに、データに関連付けられた事前定義された知識ベースに基づいて、処理されたメタデータから少なくとも１つの機密属性を含む検索空間を特定するよう構成された流入データ分析器と、検索空間を、関連付けられた秘匿性データを有する少なくとも１つの機密属性にそれぞれ対応する複数のバケットの複数のセットに区分化することにより、敵対者モデルを生成し、複数のバケットの複数のセットのそれぞれのバケット数を算出し、さらに、複数のバケットの複数のセットから、複数のバケットの複数のバケット組み合わせを生成し、少なくとも１つの機密属性のそれぞれに関連付けられた秘匿性データを、複数のバケットから得られるマスキングバケットに置き換え、秘匿性データに割り当てられたマスキングバケットに基づいて、複数のバケット組み合わせのそれぞれのエンティティー数を算出し、算出されたエンティティー数および事前定義された秘匿性しきい値に基づいて、匿名性インデックスを算出し、受信されたデータに基づいて敵対者モデルを継続的に学習および更新するよう構成された敵対者モデル生成器と、算出された匿名性インデックスに基づいて、秘匿性データをサニタイズすることにより、出力データを生成するよう構成されたデータマスキングモジュールと、受信されたデータに基づいて、データの売り手に対する推奨を提供する決定支援モジュールと、１人以上のデータの買い手の要求にマッチングする出力データを評価するよう構成された流出データ分析器（outflow data analyzer）と、決定支援モジュールによる推奨に基づいて、公開計画を決定するよう構成されたデータ公開管理モジュールと、出力データに基づいて、評価報告および警告を生成するよう構成された報告および警告管理モジュールと、出力データに関連付けられたイベントを記録するよう構成されたイベント記録モジュールと、を含む。

１つの実施形態において、本発明のシステムは、さらに、秘匿性データとバランスされたバケットの中間点（mid-point）に基づいて、実用性インデックス（utility index）を算出し、複数のバケットと複数のバランスされたバケットとの間の変動の数に基づいて、属性変動を算出するよう構成されたデータ秘匿性−実用性トレードオフ計算器（data privacy-utility tradeoff calculator）を含む。

異なる１つの実施形態において、コンピュータープログラム製品が提供される。該コンピュータープログラム製品は、内部において具体化（embodied）されたコンピューター可読プログラムを有する非一時的コンピューター可読媒体（non-transitory computer readable medium）を含み、該コンピューター可読プログラムは、演算デバイスにおいて実行されたとき、演算デバイスに、１人以上のデータの買い手によるデータ消費を可能とするために、１つ以上のデータソースからデータを受信し、受信されたデータを分析し、受信されたデータのメタデータを抽出および処理し、データに関連付けられた事前定義された知識ベースに基づいて、処理されたメタデータから少なくとも１つの機密属性を含む検索空間を特定し、検索空間を、関連付けられた秘匿性データを有する少なくとも１つの機密属性にそれぞれ対応する複数のバケットの複数のセットに区分化することにより、敵対者モデルを生成し、複数のバケットの複数のセットのそれぞれのバケット数を算出し、さらに、複数のバケットの複数のセットから、複数のバケットの複数のバケット組み合わせを生成し、少なくとも１つの機密属性のそれぞれに関連付けられた秘匿性データを、複数のバケットから得られるマスキングバケットに置き換え、秘匿性データに割り当てられたマスキングバケットに基づいて、バケット組み合わせのそれぞれのエンティティー数を算出し、算出されたエンティティー数および事前定義された秘匿性しきい値に基づいて、匿名性インデックスを算出し、算出された匿名性インデックスに基づいて、秘匿性データをサニタイズすることにより、出力データを生成することを実行させる。

本発明の１つの実施形態において、少なくとも１つの機密属性は、２値データ、カテゴリーデータ、数値データ、および説明テキストの少なくとも１つを含む。

本発明の１つの実施形態において、敵対者モデル生成器は、（ａ）値の事前定義された範囲と、（ｂ）事前定義された知識ベースに基づく少なくとも１つの機密属性のそれぞれ用の事前定義された上限および下限とのいずれか一方に基づいて、複数のバケットの複数のセットを生成するようさらに構成されている。

本発明の１つの実施形態において、値の事前定義された範囲、並びに、上限および下限は、少なくとも１つの機密属性に基づいて、流入データ分析器によって算出されている。

本発明の１つの実施形態において、データマスキングモジュールは、（ｉ）階層マスキング技術（hierarchy masking techniques）、（ｉｉ）バケットマスキング技術、（ｉｉｉ）クラスタリング技術、または（ｉｖ）シャッフリング技術（shuffling technique）の１つによって、秘匿性データをサニタイズするよう構成されている。

本発明の１つの実施形態において、シャッフリング技術は、複数のバランスされたバケットを得るために実行され、複数のバケット組み合わせのそれぞれは、バランスされたエンティティー数を有する。

本明細書に記載の実施形態は、図面を参照し、以下の詳細な説明からより良く理解されるであろう。

図１は、本発明の実施形態に係る、データの秘匿性−実用性間のトレードオフを算出するためのシステムの例示的なブロック図を示している。

図２は、図１のシステムを含む機能モジュールの例示的な図である。

図３は、本発明の実施形態に係る、データの秘匿性−実用性間のトレードオフを算出するためのコンピューター実施方法を示す例示的なフロー図である。

図４は、本発明に係る、データの例示的なセットの正規化された匿名性インデックスｖｓ秘匿性しきい値の画像表示である。

図５は、属性「ワーククラス」の例示的な値の一般化階層（value generalization hierarchy）の概念的表示である。

図６は、本発明に係る、例示的なデータセットの正規化された属性変動ｖｓ秘匿性しきい値の画像表示である。

図７は、本発明に係る、データの例示的なセットの正規化された匿名性インデックスおよび正規化された属性変動ｖｓ秘匿性しきい値の画像表示である。

図８は、本発明に係る、曲線フィッティングを用いたデータの例示的なセットの前方シフト（forward shifting）属性変動グラフの画像表示である。

図９は、本発明に係る、曲線フィッティングを用いたデータの例示的なセットの後方シフト（backward shifting）属性変動グラフの画像表示である。

本分野における当業者であれば、図面の任意のブロック図が、本発明の内容の原理を具体化する図示されたシステムの概念を表していることを正確に理解できるであろう。同様に、任意のフローチャート、フロー図、状態遷移図、疑似コード等が、コンピューター可読媒体において実質的に表され、さらに、明示的に示された／明示的に示されない演算デバイスまたはプロセッサーによって実行される様々なプロセスを表すことを正確に理解できるであろう。

本発明の複数の実施形態、並びに、それらの様々な特徴および利点が、添付の図面に示され、さらに、以下の記述において詳細に述べられている非限定的な実施形態を参照して、より十分に説明される。本明細書で用いられている実施例は、本明細書中の実施形態を実施可能とし、さらに、本分野における当業者が、本明細書中の実施形態を実施可能となるような理解を容易にするためだけの意図で提供される。したがって、実施例は、本発明の実施形態の範囲の限定を構成するものではない。

用語「含む（comprising）」、「有する（having）」、「含む／含有する（containing）」、「備える（including）」、およびこれらの他の形式は、同等の意味を表すものであり、これらの任意の１つの用語に続く１つまたは複数の項目が含まれるオープンエンドなリストを意味し、これらの１つまたは複数の項目の排他的なリストを意味するものではなく、リストされた１つまたは複数の項目にのみ限定されるという意味ではない。

本明細書および添付の特許請求の範囲において用いられる単数形「ａ」、「ａｎ」、および「ｔｈｅ」は、文脈が明示的に示していない限り、複数への参照を含むことに留意すべきである。ここに記述されるものと同様または同等の任意のシステムおよび方法は、本発明の実施形態の実施またはテストにおいて使用可能であるが、好適なシステムおよび方法が、以下に記述される。

本発明の全ての特徴を示す、本発明のいくつかの実施形態は詳細には述べられない。開示の実施形態は、本発明の例示に過ぎず、様々な形態において実施可能である。以下の詳細な説明を述べる前に、以下の議論の全ては、記述される特定の実施とは無関係に、本質的に例示であり、限定ではない。

データの交換または取引、特に、データマケートプレイスのようなデータハブにおけるデータの交換または取引は、データの秘匿性とデータの実用性との間の予測されるトレードオフを考慮しなければならないという課題を有している。本発明のシステムおよび方法は、本課題を解決し、さらに、このトレードオフの算出を容易にし、データの買い手とデータの売り手が有意な取引を行えるようなデータ変換の必要性を立証(establish)するものである。

図面、特に図１から９を参照すると、各図面を通して、対応する特徴には同じ参照番号が一貫して付されている。複数の好適な実施形態が示され、これら実施形態が、以下の例示的なシステムおよび方法の文脈において記述される。

本開示の文脈における「データソース（data source）」との表現は、（ｉ）データ集積（data enrichments）および分析ソリューション（analytics solutions）を含むソリューションおよび製品をリスト化することによって、データを収益化することを希望する１つ以上のエンティティーまたはベンダー、（ｉｉ）指し値（bid）およびオファーを介して、サービスを受けたいという意思（intent of service）に応答する１つ以上のエンティティーまたはベンダー、（ｉｉｉ）ＡＰＩを介して、施設（premise）からデータボルト（data vault）へデータをプッシュする１つ以上のエンティティーまたはベンダー、（ｉｖ）１つ以上のデータ仲介者を介して個人データを販売するエンティティーの少なくとも１つを指す。

本開示の文脈における「出力データ」との表現は、以下に述べるように、匿名性インデックスに基づいて選択的に変換され得るデータまたはデータソースから受信される形式でデータの買い手に提供されるデータを指す。

本開示の文脈における「データ攻撃者（data attacker）」との表現は、悪意を有するエンティティーを指す。

図１は、本発明の実施形態に係る、データの秘匿性−実用性間のトレードオフを算出するためのシステム１００のブロック図を示している。図２は、本発明の実施形態に係る、システム１００を含む機能モジュールを例示的な図である。

１つの実施形態において、システム１００は、１つ以上のプロセッサー１０２と、通信インターフェースデバイスまたは入力／出力（Ｉ／Ｏ）インターフェース１０４と、１つ以上のプロセッサー１０２に動作可能に接続され、１つ以上のモジュール１０８を含む１つ以上のデータ記憶デバイスまたはメモリー１０６と、を備えている。１つ以上のプロセッサーは、１つ以上のマイクロプロセッサー、マイクロコンピューター、マイクロコントローラー、デジタル信号プロセッサー、中央処理ユニット（ＣＰＵ）、状態機械、論理回路、および／または、動作命令に基づいて信号を操作する任意のデバイスとして実施可能なハードウェアプロセッサーである。機能の中でも特に、プロセッサーは、メモリー内に保存されているコンピューター可読命令をフェッチおよび実行するよう構成されている。１つの実施形態において、システム１００は、ラップトップコンピューター、デスクトップコンピューター、ノートパソコン、ワークステーション、メインフレームコンピューター、サーバー、ネットワークサーバー、クラウド、携帯デバイス、ウェアラブルデバイス等のような１つ以上の演算システム内において実施することができる。

Ｉ／Ｏインターフェースデバイス１０４は、例えば、ウェブインターフェース、グラフィカルユーザーインターフェース、ＩＯＴインターフェース等の様々なソフトウェアおよびハードウェアインターフェースを含み得、さらに、有線ネットワーク（例えば、ＬＡＮ、ケーブル等）および無線ネットワーク（ＷＬＡＮ、セルラー、衛星等）を含む広範な種類のネットワークおよびプロトコルタイプにおける相互通信を容易にすることができる。１つの実施形態において、Ｉ／Ｏインターフェースデバイス１０４は、多数のデバイスを互いに接続、または、他のサーバーに接続するための１つ以上のポートを含み得る。

メモリー１０６は、例えば、揮発性メモリー（静的ランダムアクセスメモリー（ＳＲＡＭ）および動的ランダムアクセスメモリー（ＤＲＡＭ）等）および／または非揮発性メモリー（リードオンリーメモリー（ＲＯＭ）、消去可能プログラム可能ＲＯＭ、フラッシュメモリー、ハードディスク、光学ディスク、磁気テープ等）のような本分野において既知の任意のコンピューター可読媒体を含む。１つの実施形態において、図示のように、（図２の）システム１００の様々なモジュール１０８Ａ〜１０８Ｊをメモリー１０６内に保存することができる。

図３は、本発明の実施形態に係る、データの秘匿性−実用性間のトレードオフを算出するためのコンピューター実施方法２００を示す例示的なフロー図である。コンピューター実施方法２００の工程が、図１および図２に示されているようなシステム１００のコンポーネントを参照して、以下に説明される。１つの実施形態において、工程２０２において、システム１００は、データ接続器１０８Ａを介して、１つ以上のデータソース（データソース１、データソース２、．．．、データソースｎ）から取得または生成されたデータを受信し、データを１人以上のデータ買い手によって消費可能とするよう構成されている。また、１つの実施形態において、データ接続器１０８Ａは、データと共に、クエリー（query）および他のパラメーターを受信するよう構成されていてもよい。例えば、クエリーは、４０〜５０歳の年齢グループに属し、さらに、病気に苦しんでいる人、または、心臓疾患等を有する特定の領域に属する人に関するデータ等のためのリクエストの形式であってもよい。ここで、クエリーのパラメーターは、年齢、性別、居住地等を含んでいてもよい。本発明よれば、受信されたデータが分析または処理され、データに関連付けられた秘匿性を維持するプロセスにおいてデータの実用性を失うことなく、データが１人以上のデータの買い手への配布のために適したものとなる。１つの実施形態において、データ接続器１０８Ａは、１つ以上のデータソースに接続し、大規模フォーマット（bulk format）またはストリーミングコンテンツフォーマットで、取得または生成されたデータを受信する。大規模フォーマットのデータは、データの売り手によって、所定の間隔またはランダムでアップロードされ得る。ストリーミングコンテンツフォーマットのデータは、Ｆｉｔｂｉｔ（商標）デバイス、加速度計デバイス、温度計デバイス、および電力消費デバイスのような１つ以上のデータソースとの接続によって、リアルタイムで提供されるデータであってもよい。

工程２０４において、流入データ分析器１０８Ｂは、データ接続器１０８Ａによって受信されたデータを分析し、受信されたデータのメタデータを抽出および処理するよう構成されている。１つの実施形態において、工程２０６において、流入データ分析器１０８Ｂは、メタデータを処理し、プラットフォームの事前定義された知識ベースに基づいて、少なくとも１つの機密属性を含む検索空間を特定する。１つの実施形態において、事前定義された知識ベースは、ドメイン知識（domain knowledge）であってもよい。１つの実施形態において、知識ベースは、ＨＩＰＡＡ（医療保険の携行性（相互運用性）と責任に関する法律）のような法令／現行法のコンプライアンス要求に基づくものであってもよく、または、他の公的に利用可能なデータセットであってもよい。本発明によれば、機密属性は、１つ以上の２値データ、カテゴリーデータ、数値データ、および説明テキストの１つ以上を含む。例えば、機密属性は、本会計年度の税金支払い、心拍数、位置情報等や、名前、住所、ＳＳＮ（社会保障番号）、銀行口座番号、パスポート情報、ヘルスケア関連情報、クレジットおよびデビットカード番号、運転免許証および州発行の身分証明書情報、医療保険情報、学生情報等のような個人の情報を特定するものを含み得る。そのような機密属性を含むデータは、データの元々の形式で広まった場合、データ秘匿性侵害に繋がり得る。

工程２０８において、敵対者モデル生成器１０８Ｃは、検索空間を、複数のバケットの複数のセットに区分けするよう構成されている。各セットは、関連付けられた秘匿性データを有する機密属性に対応している。例えば、バケットセットは、年齢に関連し、バケット［０−９］、バケット［１０−１９］等を含んでいてもよい。別のバケットセットは、病気に関連し、［糖尿病］、［心臓病］、［肺病］等を含んでいてもよい。データの機密属性は、開示の２つの種類、すなわち、アイデンティティ開示（identity disclosure）および値開示（value disclosure）に関連付け可能である。アイデンティティ開示は、データ攻撃者がそのデータに関するデータ主体（data subject）を特定することが可能であることを意味する。さらに、データ攻撃者は、データ主体のＰＩＩを学習し、不正事項、なりすまし等を実行するにために利用することができる。値開示は、データ攻撃者が、利用可能なデータを用いて、機密属性の値を推定するものである。よって、アイデンティティまたは値開示に繋がり得る機密属性を保護することは必須事項である。

１つの実施形態において、敵対者モデル生成器１０８Ｃは、１つ以上のデータソースから、パブリックドメイン（public domain）において利用可能な、機密属性に関連する情報を特定するよう構成されている。１つの実施形態において、敵対者モデル生成器１０８Ｃは、ソーシャルメディア、協調フィルタリング（collaborative filtering）、クラウドソーシング、人口調査や病院データのような公衆衛生データ等を含む、全世界の公に利用可能なリソースの１つ以上、および、データの売り手によって提供されたデータから、継続的に学習を実行するよう構成されている。１つの実施形態において、敵対者モデル生成器１０８Ｃは、選択および編集するための１つ以上のデータソースに対する適切な初期設定テンプレート（default template）を学習および提供するよう構成されている。

プライバシー侵害を防止するためのデータ変換は、敵対者が検討中のデータの知識を持っている場合にのみ必要とされる。例示的なケースにおいて、敵対者の力量は、敵対者がどれだけの数の電子メールを同時に送信可能であるか、敵対者がどれだけの回数電子メールを送信可能であるか、敵対者がどれだけの量の背景知識を有しているか等のパラメーターに依存する。敵対者が同時に送信可能な電子メールの数が「ｋ」であり、敵対者が電子メールを送信可能な回数がデータベースのバケット数または区分け（partitions）数に相当する場合、敵対者は、自身が送信可能な数と同数のデータベース内の区分けを形成することになる。

本発明によれば、バケット技術（bucketing technique）は、事前定義された知識ベースに基づく機密属性のそれぞれ用に事前定義された上限および下限に基づく。代替的に、１つの実施形態において、機密データのそれぞれに関連付けられた秘匿性データは、流入データ分析器１０８Ｂによってスキャンされ、上限および下限が取得される。数値の属性用に、所定の間隔を入力した後に、複数のバケットが生成されてもよい。例えば、属性「年齢」の場合、下限が「４」であり、上限が「８７」であり、入力された間隔が「４０」である場合、属性用のバケットは、［４，４４］、［４５，８５］、［８６，１２６］となる。

属性「結婚ステータス」のようなカテゴリー属性用に、バケットは、［既婚］、［未婚］、［離婚済み］、［別居］、［死別］であってもよい。

本発明によれば、値の事前定義された範囲に基づく異なるバケット技術は、敵対者が０〜６０歳の範囲の年齢グループに属する人々に興味を示している例示的なケースを用いて説明される。ｒ_ｉ ^ｋｉが列ｉにおける各属性に沿ったバケットを示しているとする。ここで「ｋ_ｉ」は、ｉ番目の列内のバケットの数を示している。各ｒ_ｉ ^ｋｉは、ｉｎｄｅｘ_ｉ（ｒ_ｉ ^ｋｉ）＝ｊ（ここで、１≦ｊ≦ｋ_ｉ）となるよう、整数ｊに関連付けられており、ｉｎｄｅｘ_ｉ（．）は、ｉ番目の次元におけるエンティティーのバケット番号である。例えば、属性「年齢」、「性別」、および「郵便番号」の３次元テーブルが存在すると仮定する。属性「年齢」の場合、敵対者が、特定の人が「０−１０」、［１０−２０］、［２０−３０］、［３０−４０］、［４０−５０］、または［５０−６０］の年齢グループに属しているとの知識を有し得る。そのため、属性「年齢」用のｋ_ｉが６となり、それぞれをｒ^１ _年齢、ｒ^２ _年齢、．．．、ｒ^６ _年齢のように表すことができる。属性「性別」の場合、敵対者は、特定の人が男性または女性のいずれかであるかとの知識を有し得る。そのため、属性「性別」用のｋ_ｉが２となり、それぞれをｒ^１ _性別、ｒ^２ _性別（男性＝「１」、女性＝「２」とする）のように表すことができる。属性「郵便番号」の場合、範囲が１〜約１０^５なので、敵対者は、最大１０００バケットの知識を有し得る。単純化のため、１０^５が１０００個のバケットに分割され、そのため、バケットは、［０−１０００］、［１０００−２０００］、．．．、［９９９００−１０００００］となる。属性「郵便番号」用のｋ_ｉは１００であり、それぞれをｒ^１ _郵便番号、ｒ^２ _郵便番号、．．．、ｒ^１００ _郵便番号のように表すことができる。各エンティティー用に、「年齢」が１番目の次元であり、「性別」が２番目の次元であり、郵便番号が３番目の次元であるとする。そのため、ｒ^ｋｉの添え字において、「年齢」、「性別」、「郵便番号」を用いる代わりに、ｒ_ｉ ^ｋｉ（ここで、ｉ＝１，２，３）のような次元を使用可能である。１つの実施形態において、上述のバケット技術は、敵対者の知識が階層的である、または、敵対者が属性の特定の値に興味を示していることを考慮して、より複雑に構成されていてもよい。

異なる１つの例示的なケースにおいて、敵対者が、年齢が２０〜３０歳、性別が女性、および郵便番号が７０００〜８０００の間（この郵便番号の全ては、ニューヨーク市に属するものとする）という情報を有する人に興味を持っているとする。ｎ個の点の全てがｄ次元空間にプロットされる。その後、敵対者は、上述の範囲の情報によって形成されたｄ次元の矩形の条件を満たす全ての人を検索するであろう。敵対者がこの矩形内に要素を見つけられなかった場合には、彼／彼女は何も見つけられない。また、敵対者がこの矩形内に１人だけ対象者を発見した場合には、彼／彼女は特定の人を取得する。また、敵対者がこの矩形内に１人以上の対象者を発見した場合には、それらの人の全てが同様に等しいことになり、敵対者は混乱させられ、特定の人を特定することが困難になる。上述の例示的なケースにおいて、「年齢」、「性別」、「郵便番号」のｉｎｄｅｘ_ｉ（ｒ_ｉ ^ｋｉ）は、それぞれ「３」、「２」、「８」である。これは、１番目の次元で３番目のバケット、２番目の次元で２番目のバケット、３番目の次元で８番目のバケットであることを示す。そのため、その人のアイデンティティを、多次元の検索空間の単一次元表現であるインデックスフォーマット（index format）の形式で表すことができる。ｋ_ｉが所与のデータベースにおいて一定であると仮定すると、Ｏ（ｄ）回（ここで、回数は、次元の数に比例する）、同じ検索空間を用いることにより、個人のインデックスフォーマットが発見可能となっている。本発明によれば、区別可能なバケットの総数は、Ｂ＝Π^ｄ _ｉ＝１ｋ_ｉである。ここで、各バケットは、ｄ次元の矩形であり、ＤＲ_ｉ（ここで、１≦ｉ≦Ｂ）であるとする。サイズＢのアレイＡに関し、アレイの各エントリーは、整数ｐ_ｉを含み、ｐ_ｉは各バケットＤＲ_ｉ内のエンティティーの数を示す。

本発明によれば、エンティティーのインデックスフォーマットが既知の場合、以下の式が、エンティティーを、アレイ位置の正確な位置に配置する。アレイインデックスρは、以下の式から得られる。

本発明によれば、アレイＡがゼロから初期化される。アレイＡは、ブラケットＤＲ_ｉの全数を保持する。ここで、エンティティーの数は、各ブラケットＤＲのｉ番目の位置に対応する。本実施例においては、ＤＲ_ｉは、以下の表（ｆ）において定義された１８０個のバケット組み合わせを含む。エンティティー用のインデックスフォーマットが算出される。エンティティーのアレイインデックスρが、上述の式（１）を用いて算出され、アレイインデックスρのために、Ａ［ρ］がＡ［ρ］＋＝１のように、１だけ更新される。

本発明によれば、各バケットＤＲ_ｉ内のエンティティーの数を算出するための技術において、エンティティーの数を、データベースを介した１つのパスおよびアレイＡ内の１つのパスを用いるだけで特定することができる。また、各ブラケットＤＲ_ｉ内において算出される要素ｐ_ｉの数が適切であるか否かは、異なるインデックスフォーマットのエンティティーが異なるバケット内に入ることを、上述の式が示しているという事実によって検証される。

１つの実施形態において、工程２１０において、敵対者モデル生成器１０８Ｃは、複数のバケットの複数のセットのそれぞれのバケット数を算出し、さらに、複数のバケットの複数のセットから、複数のバケットの複数のバケット組み合わせを生成するよう構成されている。例えば、以下の表（ｅ）に示されているように、属性「年齢」、「性別」、「結婚ステータス」、「給料」、および「郵便番号」の５次元の表が存在し、３００人分の秘匿性データが利用可能となっている場合を想定する。
表（ｅ）：

（特に）以下の表（ｆ）に示されているように、本発明によれば、複数のバケット組み合わせが生成される。
表（ｆ）：

１つの実施形態において、工程２１２において、敵対者モデル生成器１０８Ｃは、少なくとも１つの機密属性のそれぞれに関連付けられた秘匿性データを、複数のバケットから得られるマスキングバケットに置き換える。そのため、少なくとも１つの機密属性のそれぞれに関連付けられた秘匿性データは、表（ｅ）において生成され、マスキングバケットとして機能するバケットに置き換えられる。例えば、利用可能な秘匿性データは、（特に）以下の表（ｇ）に示されているようなものである。
表（ｇ）：

表（ｇ）の秘匿性データは、（特に）以下の表（ｈ）によって示されているようなマスキングバケットによって置き換えられることになる。

表（ｈ）：

１つの実施形態において、工程２１４において、敵対者モデル生成器１０８Ｃは、以下の表（ｉ）に示されているように、表（ｈ）内の秘匿性データに割り当てられたマスキングバケットに基づいて、表（ｆ）の複数のバケット組み合わせのそれぞれのエンティティー数を算出するよう構成されている。
表（ｉ）：

表（ｆ）内の１つ以上の行の比較が同じ場合、エンティティー数が１つインクリメントされる。例えば、表（ｉ）は、年齢の範囲が４〜４４内にあり、性別が男性であり、結婚ステータスが既婚であり、給料が５０００〜１０５０００の間にあり、郵便番号が７０００〜５０７０００の範囲にある６人の人が存在することを示している。

データベースの秘匿性は、以下の原則に従う。
・エンティティーを包含する母集団が増加したときには、その特定のエンティティーの秘匿性が増加する。
・敵対者の力量が増加したときには、秘匿性が減少する。
・敵対者の知識の次元が増加したときには、秘匿性が減少する。
・母集団の合計が増加したときには、全体の秘匿性が増加する。
１つの実施形態において、秘匿性は、Ｋ−匿名性または集合の混合（K-anonymity or blending in a crowd）に基づく。

１つの実施形態において、工程２１６において、敵対者モデル生成器１０８Ｃは、受信されたデータに関連付けられた各エンティティーの匿名性インデックスを測定するよう構成されている。匿名性インデックスは、算出されたエンティティー数（表（ｉ））および事前定義された秘匿性しきい値に基づいて算出される。敵対者は、バケットのみに対する知識を有している。同じブラケット内に並ぶ複数の要素は、敵対者にとって等しいものとなる。匿名性インデックスが高ければ高いほど、関連付けられた秘匿性が高いことを示す。よって、本発明によれば、匿名性インデックスは、データベースの秘匿性の尺度となる。

匿名性インデックスは、敵対者に対して受信されたデータがどの程度安全であるかを示している。匿名性インデックスを算出するために、最初に、事前定義された秘匿性しきい値が設定される。本明細書において提供される例示的なケースにおいて、事前定義された秘匿性しきい値は、混合される集合のサイズである。秘匿性に関する法律が、事前に規定された秘匿性のしきい値に適用される。例えば、ＨＩＰＡＡ（医療保険の携行性（相互運用性）と責任に関する法律）の秘匿性ルールは、しきい値が２０，０００であるべきことを述べており、ＦＥＲＰＡ（家族の教育権およびプライバシーに関する法律）は、しきい値が５であるべきことを述べている。

本発明によれば、
エンティティー数＜秘匿性しきい値であれば、

その他の場合、匿名性インデックス＝１
したがって、秘匿性しきい値＝１０であり、表（ｉ）のエンティティー数が５の場合、エンティティー数＜事前定義された秘匿性しきい値なので、匿名性インデックス＝５／１０＝０．５となる。
秘匿性しきい値＝１０であり、表（ｉ）のエンティティー数＝１５の場合、エンティティー数≧事前定義された秘匿性しきい値なので、匿名性インデックス＝１５／１０＝１．５≒１となる（１．０以上は切り捨て、したがって、１．０より高くはならない）。
したがって、秘匿性しきい値＝１０であれば、（特に）以下の表（ｊ）に示されているような検討中の３００人の秘匿性データの匿名性インデックスが算出される。
表（ｊ）：

本発明によれば、匿名性インデックス＜１の場合、複数のエンティティーが別のバケットの組み合わせに移動させられる。正規化された匿名性インデックスと秘匿性しきい値の間の匿名性グラフの描画を容易にするために、データが正規化される。データの正規化は、匿名性インデックスの値を共通尺度に変換し、２つ以上の曲線の形状または位置の比較を容易にするために必要である。したがって、さらに、匿名性インデックスと属性変動の比較が、以下に説明するように実行される。

人の総数＝２０、秘匿性しきい値＝１０、および２つのバケット組み合わせのエンティティー数＝５および１５、これらのエンティティー数の匿名性インデックスが、それぞれ、０．５および１である場合、以下のようになる。

図４は、本発明に係る、３００人の秘匿性データの例示的なセットの正規化された匿名性インデックスｖｓ秘匿性しきい値の画像表示である。図４の匿名性グラフから分かるように、秘匿性しきい値が増加する限り、匿名性インデックスは減少し続けている。匿名性インデックスが秘匿性よりも高いことがあり得る。図４の水平ハッチパターンによって表されている２つの列は、正規化された匿名性インデックスの値が特定の限界を超えていることを示しており、これにより、秘匿性データの特定の例示的なセットのデータサニタイズが必要であることを示している。

１つの実施形態において、工程２１８において、データマスキングモジュール１０８Ｄは、算出された匿名性インデックスに基づいて、秘匿性データをサニタイズし、出力データを生成するよう構成されている。１つの実施形態において、データマスキングまたはデータサニタイズは、（ｉ）階層マスキング技術、（ｉｉ）バケットマスキング技術、（ｉｉｉ）クラスタリング技術、および（ｉｖ）シャッフリング技術の１つ以上によって実行され得る。１つの実施形態において、複数のバランスされたバケット（balanced buckets）を取得するためにシャッフリング技術が実行される。ここで、各バケット組み合わせは、バランスされたエンティティー数を有している。本発明によれば、データマスキングモジュール１０８Ｄは、有意な取引のためにマスクされたデータの実用性が確保されるよう、データをサニタイズする。実用性は、データの歪みの尺度である。ランダム化技術は、データを変化させすぎてしまい、さらに、元々に近いデータを生成することにもなる。

１つの実施形態において、階層／バケットマスキング技術は、秘匿性を維持すると同時に、ユーザーが、必要とされるデータ変換の量を制御することを可能とする。図５は、属性「ワーククラス」用の例示的な値の一般化階層の概念的な図である。ワーククラス階層の例示的な実施形態において、レベル０のルートノード（root node）は、ワーククラスを示し、レベル１の複数のノードは、ワーククラス、すなわち、自営業、政府、民間、非雇用を示し、レベル２の複数のノードは、自営業クラス用に、法人化されているか、法人化されていないかを示し、政府クラス用に、連邦、州、または地方を示し、非雇用クラス用に、無報酬または働いたことがない（never worked）というクラスを示している。１つの実施形態において、階層／バケットマスキング技術への入力は、上述のワーククラスの例において説明されたような一般化階層（generalized hierarchy）と、各クラス用の事前定義されたマスキングレベルと、隣接するバケット（隣接フラグ）の合併または分離とを含み得る。この技術は、レベル２のリーフノード（葉節点）の兄弟を合併した後に、人々の数が秘匿性しきい値を満たすか否かを特定するよう構成されている。人々の数が秘匿性しきい値を満たさない場合、レベル２のリーフノードが、レベル１のノードと合併されることになる。この合併は、レベル０において要求が満たされるまで続けられることになる。

本発明によれば、実用性インデックスは、各個人データ点に追加される歪みの合計の負数（negative）である。１つの実施形態において、データマスキングモジュール１０８Ｄは、さらに、クラスタリングベースのサニタイズ技術（clustering based sanitization technique）を用いて、データ点の最大歪みを最小化させるよう構成されている。本発明によれば、データが変換されたとき、変換されたデータは、事前定義された秘匿性しきい値τに基づく秘匿性要件を維持しなければならない。所与の秘匿性しきい値τおよびデータベースＤＢにおいて、データは、各バケットがデータの断片を含むか、バケットが空となるように、ＤＢからＤＢ^Ｔに変換されなければならない。本発明によれば、ＤＴからＤＢ^Ｔへの変換の際に満たされるべき別の制約は、事前定義されたメトリックに対するデータ歪みが可能な限り最小化されなければならないということである。１つの実施形態において、データベース内のエンティティーを実空間Ｒ^ｄ内の点と見なす場合、ユークリッドメトリックが検討される。

１つの実施形態において、データ点の最大歪みを最小化するためのクラスタリングベースのサニタイズ技術は、非常に強い敵対者に対する定数近似（constant factor approximation）を提供する。本分野において知られているようなｒ−収集用の２要素近似アルゴリズム（2-factor approximation algorithm for r-gathering）を用いて、クラスターＣ_ｉ（Ｃ_１，Ｃ_２，．．．，Ｃ_ｋ）が、各クラスターＣ_ｉが少なくともｒ個のデータベース点を含み、さらに、クラスターの半径が最小化されるように、特定される。データサニタイズのコンセプトと同様に、バランスされたバケットのそれぞれは、秘匿性しきい値以上の値を含む。続いて、各クラスターＣ_ｉの複数のバケットが特定される。ＤＲ^ｉ _１，ＤＲ^ｉ _２，．．．，ＤＲ^ｉ _ｊがＣ_ｉ内のバケットだとすると、Ｃ_ｉに属するデータ点の全てが、Ｃ_ｉの中心ｃを含むバケットＤＲ^ｃ _ｉにプッシュされる。

１つの実施形態において、クラスタリングベースのサニタイズ技術は、実際の値を重心に置き換えるためのＫ−平均クラスタリング（K-Means clustering）であってもよい。重心を算出するためにユークリッド距離が用いられ、マンハッタン距離（Manhattan distance）を用いて、クラスターを評価する。したがって、非同次データセット用のＫ−メドイドクラスタリングアルゴリズム（K-medoid clustering algorithm for heterogeneous datasets）が用いられてもよい。カテゴリーデータセット用に、このアルゴリズムは、共起性ベースのアプローチ（co-occurrence based approach）を用いる。数値データセット用に、Ｋ−メドイドは、マンハッタン距離を用いる。２値データセット用に、Ｋ−メドイドは、ハミング距離（０｜１）を用いる。

１つの実施形態において、データマスキングモジュール１０８Ｄは、さらに、ｋ−匿名性を生成するための発見的技術（heuristic technique）を提供し、さらに、それを単純な技術と比較することにより、データ点の最大歪みを最小化させるよう構成されている。１つの実施形態において、単純な技術は、第１のｋ個のエンティティーの全ての属性を、第１のエンティティーによって置き換える工程を含む。その後、次のｋ個のエンティティーが、（ｋ＋１）番目のエンティティーによって置き換えられ、同様の処理が続けられる。１つの実施形態において、発見的技術は、エンティティー数ｐ_ｉと共にアレイＡを入力する工程と、バケットＤＲ_ｉのエンティティー数（ｐ_ｉ＝０）または（ｐ_ｉ≧ｋ）と共にアレイＡ^Ｔを出力する工程とを含む。

１つの実施形態において、シャッフリングベースのサニタイズ技術は、エンティティーを、前方または後方の最も近い位置に移動させる工程を含む。
前方シフトの例：バケットＤＲ_ｉのエンティティー数Ａ（ｉ）のアレイＡを考える。
Ａ＝｛１，２，３，４，５，７，８｝
秘匿性しきい値＝１０であり、秘匿性しきい値以上となるように、要素が前方の第１の位置から移動させられる。エンティティー数がバランスされると、要素のシフトが次の位置から再開する。

前方シフトは、バランスされた値の全てが取得されるまで続けられる。

後方シフトの例：秘匿性しきい値以上となるまで、要素が最後の位置から移動させられる。前方シフトと同様に、後方シフトは、バランスされた値の全てが取得されるまで続けられる。

以下の表（ｋ）は、（特に）秘匿性しきい値＝１０の場合の３００人の秘匿性データのバランスされたエンティティー数を示している。
表（ｋ）：

各要素間の最小シャッフリングのため、バケット値の順番が、属性に基づいてソートまたは変更されてもよい。例えば、順番を属性「年齢」によってソートしてもよく、順番を属性「性別」によってソートしてもよく、順番を属性「結婚ステータス」によってソートしてもよく、順番を属性「給料」によってソートしてもよく、順番を属性「郵便番号」によってソートしてもよい。属性「年齢」によってソートされた順番は、以下の表（ｌ）に示されているようなものであり得る。
表（ｌ）：

バケット値の順番の同じようなソートが、提供された例示的な実施形態の属性「性別」、「結婚ステータス」、「給料」、および「郵便番号」に基づいて実行されてもよい。

属性の順番を変更した後、上述したような前方シフトおよび後方シフトが適用され、いくつかの特定の属性のデータに対する圧力（stress）の低減という結果をもたらす。よって、属性変動の前方シフトおよび後方シフトのために曲線フィッティングが実行されると、その後、Ｒの２乗（R squared）が１に近い値を有することになる。ここで、Ｒの２乗は、回帰直線近似が実際のデータ点にどの程度適合しているかを示す決定係数である。Ｒの２乗が１に近ければ、曲線フィッティングが、最良の曲線フィッティングであるとみなされる。

１つの実施形態において、実用性インデックスは、値が元々の位置からバランスされたポジションまで、どの程度移動されたかを提供する。１つの例として、ある人がニューヨークに属しており、別の人がワシントンに属している場合を考える。所望の量の秘匿性を取得するため、ニューヨークに属している人がワシントンに移動されると、ニューヨークとワシントンとの間の距離が、実用性インデックスを表す。

本発明によれば、工程２２０において、データ秘匿性−実用性間トレードオフ算出器１０８Ｅは、数値属性の実用性インデックスを算出するよう構成されている。
実用性インデックス＝バランスされたバケットの中間点−秘匿性データ（元々のバケットの最初の値）
例えば、属性「郵便番号」のバケット［６９９９，５０７０００］が、元々の位置から、バランスされた位置であるバケット［５０７００１，１００７００２］に移動されたものとする。
また、［６９９９，５０７０００］の最初の値が５０００１であり、［５０７００１，１００７００２］の中間点が７５７００１（（５０７００１＋１００７００２）／２）であるとすると、以下のようになる。
郵便番号の実用性インデックス＝７５７０１１−５０００１＝７０７０００

カテゴリー属性の場合、実用性インデックス＝１である。例えば、属性「結婚ステータス」の［既婚］が［未婚］に変更された場合、実用性インデックス＝１となる。

さらに、値の最大歪みを最小化するために、実用性インデックスが、以下のように正規化される。

例えば、数値属性の場合、属性「郵便番号」の実用性インデックスの既存の値＝７０７０００であり、最大値および最小値が、それぞれ、２６４２５４および７２２９７８であるとすると、以下のようになる。

カテゴリー属性に関し、正規化された実用性損失［０，１］＝１．００００００である。
以下の表（ｍ）は、（特に）秘匿性しきい値＝１０の場合の３００人の秘匿性データの実用性インデックスを示している。
表（ｍ）：

１つの実施形態において、工程２２２において、データ秘匿性−実用性トレードオフ算出器１０８Ｅは、複数のバケット（元々のバケット）と複数のバランスされたバケットとの間の変動の数に基づいて、属性変動を算出するよう構成されている。例えば、属性の１つの組み合わせの値が、［年齢−性別−結婚ステータス−給料−郵便番号］であり、［３，４４］−［男性］−［既婚］−［１０５００１，２０５００２］−［５０７００１，１００７００２］から、［３，４４］−［男性］−［未婚］−［４９９９，１０５０００］−［６９９９，５０７０００］に移動させられた場合を考えると、属性移動の総数＝３となる。
表（ｎ）は、秘匿性しきい値＝１０の場合の、（特に）３００人のプラバシーデータの属性変動を示している。
表（ｎ）：

さらに、全ての変数を互いに比例するものとするために、正規化された属性の移動は、以下のように行われる。

例えば、バケットの４つの組み合わせの属性移動が１、０、０、３であり、人の総数が２０であり、属性移動の最小値が１であり、属性移動の最大値が３である場合、以下のようになる。

図６は、本発明に係る、３００人のデータの例示的なセットの正規化された属性変動ｖｓ秘匿性しきい値の画像表示である。図６の属性変動グラフから、秘匿性しきい値が増加する限り、属性変動も増加し続けることがわかる。したがって、属性移動がより小さければ、データの変更もより少なくなるので、実用性損失が最小化される。

本発明によれば、データ秘匿性−実用性トレードオフ算出器１０８Ｅによる属性変動および匿名性インデックスの比較は、データの秘匿性−実用性間のトレードオフを提供する。本発明によれば、データの秘匿性−実用性間のトレードオフは、データの買い手が、出力データの実用性を判断することを容易にする。例えば、このトレードオフは、いくつかの特定の属性の一般化の詳細であり得る（例えば、郵便番号の最初の２桁のみが利用可能とされるか、ＳＳＮの最後の４桁のみが利用可能とされるか等である）。１つの実施形態において、データ秘匿性−実用性トレードオフ算出器１０８Ｅは、表（ｍ）に示されているように、実用性インデックスおよび実用性損失を算出可能である。

図７は、本発明に係る、データの例示的なセットの正規化された匿名性インデックスおよび正規化された属性変動ｖｓ秘匿性しきい値の画像表示である。図７の比較図から分かるように、秘匿性しきい値が増加する限り、匿名性インデックスが減少し続け、属性変動は増加し続ける。

図８は、本発明に係る、曲線フィッティングを用いた３００人のデータの例示的なセットの前方シフト属性変動グラフの画像表示である。図９は、本発明に係る、曲線フィッティングを用いた３００人のデータの例示的なセットの後方シフト属性変動グラフの画像表示である。属性移動の後方シフトのＲ^２（この決定係数は、回帰直線近似が実際のデータ点にどの程度適合しているかを示す統計尺度である）が０．９４であり、属性移動の前方シフトの０．９１よりも高いことが図から分かるであろう。そのため、上述の結果に基づいて、図示の例示的なデータセットに関し、後方シフトが前方シフトよりも優れていることがわかる。属性変動の前方シフトおよび後方シフトは、完全に、データの構造に依存する。

１つの実施形態において、工程２２４において、敵対者モデル生成器１０８Ｃは、受信されたデータに基づいて、学習および自身の更新を継続して実行する。１つの実施形態において、情報収集は、複数のウェブクローラー（web crawlers）によって実行されてもよい。そのため、これらウェブクローラーは、人々に関する利用可能とされた任意の新たな情報のためにパブリックドメインを継続してモニタリングし、これにより、敵対者モデル生成器１０８Ｃを改良する。

１つの実施形態において、上述の方法２００は、さらに、工程２２６を含み、決定支援モジュール１０８Ｆは、受信されたデータに基づいて、データの売り手へ、推奨を提供するよう構成されている。推奨は、年齢、人口統計学データ、データの種類等の受信されたデータと同様のデータ用のデータの売り手の選好セットから算出されてもよい。１つの実施形態において、推奨は、地域および／または国の規則に応じたものであってもよい。例えば、米国のＨＩＰＡＡ（医療保険の携行性（相互運用性）と責任に関する法律）は、秘匿性しきい値が最小で２０，０００であることを提唱している。そのため、決定支援モジュール１０８Ｆは、選択肢を提案する前に、これらの事項を考慮してもよい。

１つの実施形態において、上述の方法２００は、さらに、工程２２８を含み、流出データ分析器１０８Ｇは、出力データの質と信頼性を評価するよう構成されている。公開される前に、出力データが、データの買い手が求めているメタデータが、データの売り手が提供しているものなのか否かがチェックされる。

１つの実施形態において、上述の方法２００は、さらに、工程２３０を含み、データ公開管理モジュール１０８Ｈは、データの所持者／売り手によって設定されたリスクと褒賞に基づいて、公開プランを決定するよう構成されている。１つの実施形態において、データ公開管理モジュール１０８Ｈは、決定支援モジュール１０８Ｆと相談し、エンドユーザーに、手動での公開のための最終決定を与えてもよい。

工程２３２において、報告および警告管理モジュール１０８Ｉは、出力データに基づいて、報告および警告を生成するよう構成されている。

工程２３４において、イベント記録モジュール１０８Ｊは、モニタリングおよび証拠保持目的のため、全てのイベントを、出力データに関連付けられたログファイル内に記録するよう構成されている。

よって、算出されたデータの秘匿性−実用性間のトレードオフに基づくデータの変換は、データの売り手およびデータの買い手の双方が、有意な取引を実行するのに役に立つ。

記載された記述は、本発明を記述し、本分野における当業者が、本発明の実施形態を実施および使用することを可能とする。ここに規定される本発明の実施形態の範囲は、本分野における当業者が想到可能な他の変形を含んでいてもよい。このような他の変形は、特許請求の範囲の文言と異ならない同様の要素を有している、または、特許請求の範囲の文言とは非実質的に異なる同等の要素を含んでいたとしても、本発明の範囲に含まれるものである。

しかしながら、保護の範囲は、内部にメッセージを保持するコンピューター可読手段に加えて、プログラムにまで及ぶことは理解されるべきである。そのようなコンピューター可読保存手段は、プログラムが、サーバー、携帯デバイス、または任意の好適なプログラム可能デバイス上で実行されたときに、本方法の１つ以上の工程を実行するためのプログラムコード手段を含む。ハードウェアデバイスは、例えば、サーバー、パーソナルコンピューターのような任意の種類のコンピューター、および、これらの任意の組み合わせを含む任意の好適なプログラム可能デバイスである。また、デバイスは、ハードウェア手段（例えば、特定用途向け集積回路（ＡＳＩＣ）、フィールドプログラマブルゲートアレイ（ＦＰＧＡ））、ハードウェア手段とソフトウェア手段の組み合わせ（例えば、ＡＳＩＣとＦＰＧＡ）、少なくとも１つのマイクロプロセッサー、内部にソフトウェアモジュールを有する少なくとも１つのメモリーを含む手段であってもよい。よって、手段は、ハードウェア手段とソフトウェア手段の双方を含む。本明細書において記述された方法の実施形態は、ハードウェアおよびソフトウェアにおいて実施することができる。また、デバイスは、ソフトウェア手段を含む。代替的に、本発明は、例えば、複数のＣＰＵを用いて、複数の異なるハードウェアデバイス上において実施されていてもよい。

ここで記述された実施形態は、ハードウェア要素とソフトウェア要素を含み得る。ソフトウェアにおいて実施される実施形態は、これに限定されるものではないが、ファームウェア、常駐ソフトウェア、マイクロコード等を含む。本明細書で記述され、本発明のシステムを含む様々なモジュールによって実行される機能は、他のモジュールまたは他のモジュールの組み合わせにおいて実施されてもよい。記述の目的のため、コンピューター使用可能またはコンピューター可読媒体は、使用のために、命令実行システム、装置、またはデバイスと共に用いられ、または、接続され、プログラムを、含有、保存、通信、伝搬、または送信することができる任意の装置であってもよい。ここで記述された様々なモジュールは、ソフトウェアおよび／またはハードウェアモジュールとして実施されてもよく、任意の非一時的コンピューター可読媒体または他の記憶デバイスの任意の種類のものに保存されてもよい。非一時的コンピューター可読媒体の非限定的な例としては、ＣＤ、ＤＶＤ、ブルーレイディスク、フラッシュメモリー、ハードディスクドライブ等が挙げられる。

プログラムコードを保存および／または実行するために適したデータ処理システムは、システムバスを介してメモリー要素に直接または間接に接続された少なくとも１つのプロセッサーを備える。メモリー要素は、プログラムコードが実際に実行されている間に用いられるローカルメモリー、大容量記憶装置、および実行中に大容量記憶装置から読み出されなければならないコードの読み出し数を減少させるために少なくともいくつかのプログラムコードの一時保存を提供するキャッシュメモリーを含み得る。

さらに、プロセスの工程、方法の工程、技術等が一連の順番で記述されるが、そのようなプロセス、方法、および技術は、代替的な順番で動作するよう構成されていてもよい。換言すれば、記述された工程の任意の手順または順番は、各工程がその順番で実行されなければならないという要件を必ずしも示すものではない。ここに開示されたプロセスの工程は、任意の順番の実施で実行されてもよい。さらに、いくつかの工程は、同時に実行されてもよい。

以上の記述が、様々な実施形態を参照して提供された。本出願が属する分野および本分野における当業者であれば、本発明の原理、考え方、および範囲から有意に逸脱することなく、記述された構成および動作の方法における変形や変更が可能であることを理解できるであろう。

関連出願への相互参照および優先権
本出願は、２０１６年２月２２日付けで出願されたインド国特許出願第２０１６２１００６１３６号に基づく優先権を主張する２０１７年２月２０日付けで出願された国際出願第ＰＣＴ／ＩＢ２０１７／０５０９５０号の日本国内移行出願であり、該インド特許出願の開示の全てが、参照によりここに援用される。

図３Ａおよび図３Ｂは、本発明の実施形態に係る、データの秘匿性−実用性間のトレードオフを算出するためのコンピューター実施方法を示す例示的なフロー図を示している。

図３Ａおよび図３Ｂは、本発明の実施形態に係る、データの秘匿性−実用性間のトレードオフを算出するためのコンピューター実施方法２００を示す例示的なフロー図を示している。コンピューター実施方法２００の工程が、図１および図２に示されているようなシステム１００のコンポーネントを参照して、以下に説明される。１つの実施形態において、工程２０２において、システム１００は、データ接続器１０８Ａを介して、１つ以上のデータソース（データソース１、データソース２、．．．、データソースｎ）から取得または生成されたデータを受信し、データを１人以上のデータ買い手によって消費可能とするよう構成されている。また、１つの実施形態において、データ接続器１０８Ａは、データと共に、クエリー（query）および他のパラメーターを受信するよう構成されていてもよい。例えば、クエリーは、４０〜５０歳の年齢グループに属し、さらに、病気に苦しんでいる人、または、心臓疾患等を有する特定の領域に属する人に関するデータ等のためのリクエストの形式であってもよい。ここで、クエリーのパラメーターは、年齢、性別、居住地等を含んでいてもよい。本発明よれば、受信されたデータが分析または処理され、データに関連付けられた秘匿性を維持するプロセスにおいてデータの実用性を失うことなく、データが１人以上のデータの買い手への配布のために適したものとなる。１つの実施形態において、データ接続器１０８Ａは、１つ以上のデータソースに接続し、大規模フォーマット（bulk format）またはストリーミングコンテンツフォーマットで、取得または生成されたデータを受信する。大規模フォーマットのデータは、データの売り手によって、所定の間隔またはランダムでアップロードされ得る。ストリーミングコンテンツフォーマットのデータは、Ｆｉｔｂｉｔ（商標）デバイス、加速度計デバイス、温度計デバイス、および電力消費デバイスのような１つ以上のデータソースとの接続によって、リアルタイムで提供されるデータであってもよい。

Claims (17)

1. プロセッサー実施方法（２００）であって、
   データ接続器によって、１人以上のデータの買い手によるデータ消費を可能とするために、１つ以上のデータソースからデータを受信する工程（２０２）と、
   流入データ分析器によって、前記受信されたデータを分析し、前記受信されたデータのメタデータを抽出および処理する工程（２０４）と、
   前記流入データ分析器によって、前記データに関連付けられた事前定義された知識ベースに基づいて、前記処理されたメタデータから少なくとも１つの機密属性を含む検索空間を特定する工程（２０６）と、
   敵対者モデル生成器によって、前記検索空間を、関連付けられた秘匿性データを有する前記少なくとも１つの機密属性にそれぞれ対応する複数のバケットの複数のセットに区分化することにより、敵対者モデルを生成する工程（２０８）と、
   前記敵対者モデル生成器によって、前記複数のバケットの前記複数のセットのそれぞれのバケット数を算出し、さらに、前記複数のバケットの前記複数のセットから、前記複数のバケットの複数のバケット組み合わせを生成する工程（２１０）と、
   前記敵対者モデル生成器によって、前記少なくとも１つの機密属性のそれぞれに関連付けられた前記秘匿性データを、前記複数のバケットから得られるマスキングバケットに置き換える工程（２１２）と、
   前記敵対者モデル生成器によって、前記秘匿性データに割り当てられた前記マスキングバケットに基づいて、前記複数のバケット組み合わせのそれぞれのエンティティー数を算出する工程（２１４）と、
   前記敵対者モデル生成器によって、前記算出されたエンティティー数および事前定義された秘匿性しきい値に基づいて、匿名性インデックスを算出する工程（２１６）と、
   データマスキングモジュールによって、前記算出された匿名性インデックスに基づいて、前記秘匿性データをサニタイズすることにより、出力データを生成する工程（２１８）と、を含むことを特徴とするプロセッサー実施方法。
2. 前記少なくとも１つの機密属性は、２値データ、カテゴリーデータ、数値データ、および説明テキストの１つ以上を含む請求項１に記載のプロセッサー実施方法。
3. 前記敵対者モデルを生成する前記工程は、（ａ）値の事前定義された範囲と、（ｂ）前記事前定義された知識ベースに基づく前記少なくとも１つの機密属性のそれぞれ用の事前定義された上限および下限とのいずれか一方に基づいて、前記複数のバケットの前記複数のセットを生成する工程を含む請求項１に記載のプロセッサー実施方法。
4. 前記値の事前定義された範囲、並びに、前記上限および前記下限は、前記少なくとも１つの機密属性に基づいて、前記流入データ分析器によって算出されている請求項３に記載のプロセッサー実施方法。
5. 前記秘匿性データをサニタイズする前記工程は、（ｉ）階層マスキング技術、（ｉｉ）バケットマスキング技術、（ｉｉｉ）クラスタリング技術、または（ｉｖ）シャッフリング技術の１つによって、前記秘匿性データをサニタイズする工程を含む請求項１に記載のプロセッサー実施方法。
6. 前記シャッフリング技術は、複数のバランスされたバケットを得るために実行され、
   前記複数のバケット組み合わせのそれぞれは、バランスされたエンティティー数を有する請求項５に記載のプロセッサー実施方法。
7. データ秘匿性−実用性トレードオフ算出器によって、前記秘匿性データと前記バランスされたバケットの中間点に基づいて、実用性インデックスを算出する工程（２２０）をさらに含む請求項６に記載のプロセッサー実施方法。
8. 前記データ秘匿性−実用性トレードオフ算出器によって、前記複数のバケットと、前記複数のバランスされたバケットとの間の変動の数に基づいて、属性変動を算出する工程（２２２）をさらに含む請求項７に記載のプロセッサー実施方法。
9. 前記受信されたデータに基づいて、前記敵対者モデルを継続して学習および更新する工程（２２４）をさらに含む請求項１に記載のプロセッサー実施方法。
10. 決定支援モジュールによって、前記受信されたデータに基づいて、データの売り手に推奨を提供する工程（２２６）、
    流出データ分析器によって、前記１人以上のデータの買い手の要求にマッチングする前記出力データを評価する工程（２２８）、
    データ公開管理モジュールによって、前記決定支援モジュールによる前記推奨に基づいて、公開計画を決定する工程（２３０）、
    報告および警告管理モジュールによって、前記出力データに基づいて、評価報告および警告を生成する工程（２３２）、および
    イベント記録モジュールによって、前記出力データに関連付けられたイベントを記録する工程（２３４）の１つ以上をさらに含む請求項９に記載のプロセッサー実施方法。
11. システム（１００）であって、
    １つ以上のプロセッサー（１０２）と、
    前記１つ以上のプロセッサー（１０２）に動作可能に接続され、前記１つ以上のプロセッサー（１０２）によって実行可能に構成された複数の命令を保存している１つ以上の内部データ記憶デバイスと、を含み、
    前記複数の命令は、
    １人以上のデータの買い手によるデータ消費を可能とするために、１つ以上のデータソースからデータを受信するよう構成されたデータ接続器（１０８Ａ）と、
    流入データ分析器（１０８Ｂ）であって、
    前記受信されたデータを分析し、前記受信されたデータのメタデータを抽出および処理し、
    前記データに関連付けられた事前定義された知識ベースに基づいて、前記処理されたメタデータから少なくとも１つの機密属性を含む検索空間を特定するよう構成された前記流入データ分析器（１０８Ｂ）と、
    敵対者モデル生成器（１０８Ｃ）であって、
    前記検索空間を、関連付けられた秘匿性データを有する前記少なくとも１つの機密属性にそれぞれ対応する複数のバケットの複数のセットに区分化することにより、敵対者モデルを生成し、
    前記複数のバケットの前記複数のセットのそれぞれのバケット数を算出し、さらに、前記複数のバケットの前記複数のセットから、前記複数のバケットの複数のバケット組み合わせを生成し、
    前記少なくとも１つの機密属性のそれぞれに関連付けられた前記秘匿性データを、前記複数のバケットから得られるマスキングバケットに置き換え、
    前記秘匿性データに割り当てられた前記マスキングバケットに基づいて、前記複数のバケット組み合わせのそれぞれのエンティティー数を算出し、
    前記算出されたエンティティー数および事前定義された秘匿性しきい値に基づいて、匿名性インデックスを算出し、
    前記受信されたデータに基づいて、前記敵対者モデルを継続して学習および更新するよう構成された前記敵対者モデル生成器（１０８Ｃ）と、
    前記算出された匿名性インデックスに基づいて、前記秘匿性データをサニタイズすることにより、出力データを生成するよう構成されたデータマスキングモジュール（１０８Ｄ）と、
    前記受信されたデータに基づいて、データの売り手に推奨を提供するよう構成された決定支援モジュール（１０８Ｆ）と、
    前記１人以上のデータの買い手の要求にマッチングする前記出力データを評価するよう構成された流出データ分析器（１０８Ｇ）と、
    前記決定支援モジュールによる前記推奨に基づいて、公開計画を決定するよう構成されたデータ公開管理モジュール（１０８Ｈ）と、
    前記出力データに基づいて、評価報告および警告を生成するよう構成された報告および警告管理モジュール（１０８Ｉ）と、
    前記出力データに関連付けられたイベントを記録するよう構成されたイベント記録モジュール（１０８Ｊ）と、を含むことを特徴とするシステム。
12. 前記少なくとも１つの機密属性は、２値データ、カテゴリーデータ、数値データ、および説明テキストの１つ以上を含む請求項１１に記載のシステム。
13. 前記敵対者モデル生成器（１０８Ｃ）は、（ａ）値の事前定義された範囲と、（ｂ）前記事前定義された知識ベースに基づく前記少なくとも１つの機密属性のそれぞれ用の事前定義された上限および下限とのいずれか一方に基づいて、前記複数のバケットの前記複数のセットを生成するようさらに構成されている請求項１１に記載のシステム。
14. 前記値の事前定義された範囲、並びに、前記上限および前記下限は、前記少なくとも１つの機密属性に基づいて、前記流入データ分析器（１０８Ｂ）によって算出されている請求項１３に記載のシステム。
15. 前記データマスキングモジュール（１０８Ｄ）は、（ｉ）階層マスキング技術、（ｉｉ）バケットマスキング技術、（ｉｉｉ）クラスタリング技術、または（ｉｖ）シャッフリング技術の１つによって、前記秘匿性データをサニタイズするようさらに構成されている請求項１１に記載のシステム。
16. 前記シャッフリング技術は、複数のバランスされたバケットを得るために実行され、
    前記複数のバケット組み合わせのそれぞれは、バランスされたエンティティー数を有する請求項１５に記載のシステム。
17. 前記秘匿性データと前記バランスされたバケットの中間点に基づいて、実用性インデックスを算出し、さらに、前記複数のバケットと、前記複数のバランスされたバケットとの間の変動の数に基づいて、属性変動を算出するよう構成されたデータ秘匿性−実用性トレードオフ算出器（１０８Ｅ）をさらに含む請求項１６に記載のシステム。

Images