JP2022102062A - データプライバシー管理のための方法、装置及びシステム - Google Patents

Abstract

【課題】本発明の態様は、プライバシーフィルタを用いて、プライベートに保持されたデータの外部分析によって収集される洞察の出力を管理することに関する。【解決手段】データの外部分析は、データ所有者のプライベートネットワークに含まれる信頼できる実行環境において、分析アルゴリズムによって実行される。分析から抽出される洞察は、分析前に事前に宣言され、改ざん防止ログにコミットされた目標に関して分析の結果を検証するように構成されたデータプライバシーフィルタによってフィルタリングされる。このように、データプライバシーを維持すると共に、外部分析の整合性を保証し、データ所有者とアルゴリズム所有者との間の信頼を促進することができる。更に、分析用のデータは、データ所有者の制御下に留まるため、データ送信中にデータ侵害が生じる可能性、又はアルゴリズム所有者側のセキュリティが損なわれる可能性を回避することができる。【選択図】図１１

Description

本開示は、一般に、データプライバシー管理に関し、より具体的には、プライベートに保持されたデータに対する分析結果の出力を管理するように構成されたプライバシーフィルタに関する。

近年、ストレージスペースの利用可能性、大規模データネットワークの存在、及びオンラインでのデータ共有の増加により、ビッグデータ分析が台頭している。このようなパラダイムの下で、人々、装置、企業、政府などは、分析、評価、認証などの目的のためにデータ所有者からデータを収集するが、この過程で、無関係なデータを、当該無関係なデータが本来の目的のために必要であるかどうかにかかわらず、収集することがある。このデータが収集され、データ間の関係がメタデータとして記録された後、データマイニングアプリケーションを用いて当該データを分析し、データ所有者に関する洞察を抽出することがある。

このようなパラダイムの下では、データ所有者は、自分に関するどの情報が収集されるか、このデータがどのように保持されるか、及びこのデータから抽出される洞察がどのように使用されるかについて、ますますコントロールできなくなっている。このデータ又は当該データから抽出された洞察が組み替えられ、再パッケージ化され、及び／又はデータ所有者と利害が一致しない他の業者に再販売されると、データ所有者のプライバシーに関する懸念が生じる可能性がある。場合によっては、データ所有者に関する機密データがインターネットを介して複製され、コンピューティングクラウド内で不滅となることがある。このような場合、コピーの冗長性のため、これらのデータ及び洞察を保護したり、削除したり、データアクセス制約の実施により確保したりすることが非常に困難である。

そこで、上記の課題に鑑み、データ所有者のデータプライバシーを保護するための方法がいくつか提案されている。例えば、Ｙａｄａｖ、 Ｐｏｏｎａｍ、 ｅｔ ａｌ．（非特許文献１）は、「屋内空間の効率的なエネルギー管理のための占有モデリングが近年、顕著に注目されている。残念ながら、多くのそのようなモデルは、第三者サービスによる処理を受けるために、センサデータをクラウドにコピーすることに依存し、プライバシー違反のリスクを生み出している。このような課題は、一般データ保護規則（Ｇｅｎｅｒａｌ Ｄａｔａ Ｐｒｏｔｅｃｔｉｏｎ Ｒｅｇｕｌａｔｉｏｎ、ＧＤＰＲ）の規定により、ＥＵ市民のデータを取り扱う会社に特に重要になってきている。本論文では、通常のモデルを反転させ、データをクラウドに送信して処理するのではなく、データが生成された場所で保持し、ローカルで計算を行う「Ｏｃｃｕｐａｎｃｙ－ａｓ－ａ－Ｓｅｒｖｉｃｅ」（ＯａａＳ）のエッジでの実装を紹介する。これにより、個人データをクラウドに移動させることに伴う多くのリスクを効果的に回避し、個人データを管理する際のデータサブジェクトのエージェンシーを増加させる。著者らは、Ｄａｔａｂｏｘアーキテクチャ、そのコアコンポーネント、及びＯａａＳ機能を記述する。このアプローチでは、占有者のプライバシーを向上させると共に、第三者サービスによって課されるネットワーク使用量、ストレージ、又は処理の制限に制約されない粒度で、データサブジェクトの制御下にある占有データをＤａｔａｂｏｘ上で実行されている他のアプリケーションに提供することができる」と開示している。

Ｙａｄａｖ， Ｐｏｏｎａｍ， ｅｔ ａｌ． "Ｐｒｏｖｉｄｉｎｇ Ｏｃｃｕｐａｎｃｙ ａｓ ａ Ｓｅｒｖｉｃｅ ｗｉｔｈ Ｄａｔａｂｏｘ．" Ｐｒｏｃｅｅｄｉｎｇｓ ｏｆ ｔｈｅ １ｓｔ ＡＣＭ Ｉｎｔｅｒｎａｔｉｏｎａｌ Ｗｏｒｋｓｈｏｐ ｏｎ Ｓｍａｒｔ Ｃｉｔｉｅｓ ａｎｄ Ｆｏｇ Ｃｏｍｐｕｔｉｎｇ． ２０１８．

非特許文献１には、データアクセスを仲介する管理コンポーネント（「Ｅｘｐｏｒｔ Ｄｒｉｖｅｒ」）を介した場合にのみ、個人データを第三者サービスに伝達するサービスが開示されている。このように、機密の個人データの第三者への暴露を回避することができ、データのプライバシー侵害の可能性を軽減させることができる。

しかしながら、非特許文献１に開示される技術は、個人から収集された個人データのプライバシーを保護することを目的としたものであり、ビジネスや政府部門におけるより広範なデータプライバシーの問題には適用することができない。また、非特許文献１には、プライバシーリスク評価の規定が開示されておらず、また、どのデータが公開され、どのデータが公開されていないかについて、人間の介入が認められていない。

そこで、本開示は、プライベートに保持されたデータの外部分析によって収集される洞察の出力を管理するように構成されたプライバシーフィルタを用いて、ユーザカスタマイズ可能なプライバシーポリシーに従ってプライバシーリスクの可能性を軽減するデータプライバシー管理のための方法、システム及び装置を提供することを目的とする。

本開示の代表的な例の一つは、データプライバシー管理方法に関し、当該方法は、元データのセットに対応する第１のセキュアコミットメントのセットを第１の改ざん防止ログに登録する工程と、制御されたランダムな摂動を用いて前記元データのセットに含まれる秘密情報を摂動させることで、前記元データの摂動済みコピーのセットを生成する工程と、前記元データのセット及び分析対象データの摂動済みコピーのセットを含む分析対象データのセットの分析の予測結果を示す予想分析結果ラベルのセットに対応する第２のセキュアコミットメントのセットと、分析に用いられる第１の分析アルゴリズムを識別する第１のアルゴリズム署名と、を第２の改ざん防止ログに登録する工程と、第２の分析アルゴリズムを用いて前記分析対象データのセットに対する分析を行うことで、分析結果ラベルのセットでラベル付けされ、且つ、前記第２の分析アルゴリズムの第２のアルゴリズム署名によって署名された分析結果のセットと、前記分析結果のセットに対応する第３のセキュアコミットメントのセットとを含む分析出力を生成する工程と、プライバシー制御基準のセットを達成しない情報を除去するプライバシーフィルタを用いて前記分析出力を検証することで、許可出力結果のセットを出力する工程とを含む。

本発明によれば、プライベートに保持されたデータの外部分析によって収集される洞察の出力を管理するように構成されたプライバシーフィルタを用いて、ユーザカスタマイズ可能なプライバシーポリシーに従ってプライバシーリスクの可能性を軽減するデータプライバシー管理のための方法、システム及び装置を提供することができる。

上記以外の課題、構成及び効果は、以下の発明を実施するための形態における説明により明らかにされる。

図１は、本開示の実施形態を実行するためのコンピューティングアーキテクチャの一例を示す。 図２は、実施形態に係るデータプライバシー管理システムの高レベルの概要を示す。 図３は、実施形態に係るデータプライバシー管理システムの機能的構成を示す図である。 図４は、実施形態に係るユースケースの一例を説明するための簡略化されたデータプライバシー管理システムを示す。 図５は、実施形態に係るデータプライバシー管理システムの全体的なフローを示す。 図６は、実施形態に係るデータ準備段階のフローを示す。 図７は、実施形態に係るアルゴリズム準備段階のフローを示す。 図８は、実施形態に係るアルゴリズム実行段階のフローを示す図である 図９は、実施形態に係るプライバシーフィルタリング段階のフローを示す。 図１０は、実施形態に係る情報リリース段階のフローを示す。 図１１は、実施形態に係るデータプライバシー管理システムのハードウェア構成を示す。

以下、本発明の実施の形態について図面を参照して説明する。なお、本明細書に記載された実施形態は特許請求の範囲に係る発明を限定するものではなく、実施形態に関連して記載された要素及びその組み合わせの各々は本発明の態様を実施するために厳密に必要なものではないことを理解されたい。

以下の説明及び関連する図面には、様々な態様が開示される。本開示の範囲から逸脱することなく、代替の態様を考案することができる。更に、本開示の関連する詳細を不明瞭にしないように、本開示の周知の要素は、詳細に説明されないか、または省略される。

本明細書では、「例示的な」及び／又は「例」という用語は「例、実例、または例示として示されている」ことを意味するために用いられる。本明細書で「例示的な」及び／又は「例」として本明細書で説明される任意の態様は必ずしも、他の態様よりも好ましい又は有利であると解釈されるべきではない。同様に、「本開示の態様」という用語は、本開示の全ての態様が特定の特徴、利点、又は動作モードを含むことを必要としない。

更に、多くの態様は、例えば、コンピューティングデバイスの要素によって実行されるべき動作のシーケンスに関して説明される。本明細書で説明される様々な動作は、特定の回路（例えば、特定用途向け集積回路（ＡＳＩＣ））、１つまたは複数のプロセッサによって実行されるプログラム命令、又はその両方の組み合わせによって実行され得ることが認識されるのであろう。更に、本明細書に記載の動作のシーケンスは、実行時に関連するプロセッサに本明細書に記載の機能を実行させるコンピュータ命令の対応するセットをその中に格納した任意の形態のコンピュータ可読記憶媒体内で完全に具体化されるとみなすことができる。従って、本開示の様々な態様は、いくつかの異なる形態で具現化されてもよく、それらのすべては請求の範囲内の内容であると考えられている。

図面を参照すると、図１は、本開示の様々な実施形態を実施するためのコンピュータシステム３００の高レベルブロック図を示す。本明細書で開示される様々な実施形態の機構及び装置は、任意の適切なコンピューティングシステムに適用されてもよい。コンピュータシステム３００の主要コンポーネントは、１つ以上のプロセッサ３０２、メモリ３０４、端末インターフェース３１２、ストレージインターフェース３１４、Ｉ／Ｏ（入出力）デバイスインターフェース３１６、及びネットワークインターフェース３１８を含む。これらのコンポーネントは、メモリバス３０６、Ｉ／Ｏバス３０８、バスインターフェースユニット３０９、及びＩ／Ｏバスインターフェースユニット３１０を介して、直接的又は間接的に通信可能に接続されてもよい。

コンピュータシステム３００は、本明細書ではプロセッサ３０２と総称される１つ又は複数の汎用プログラマブル中央処理装置（ＣＰＵ）３０２Ａ及び３０２Ｂを含んでもよい。ある実施形態では、コンピュータシステム３００は複数のプロセッサを備えてもよく、また別の実施形態では、コンピュータシステム３００は単一のＣＰＵシステムであってもよい。各プロセッサ３０２は、メモリ３０４に格納された命令を実行し、１つ以上のレベルのオンボードキャッシュを含んでもよい。

ある実施形態では、メモリ３０４は、データ及びプログラムを記憶又は符号化すするためのランダムアクセス半導体メモリ、記憶装置、又は記憶媒体（揮発性又は不揮発性のいずれか）を含んでもよい。ある実施形態では、メモリ３０４は、コンピュータシステム３００の仮想メモリ全体を表し、コンピュータシステム３００に結合された、またはネットワークを介して接続された他のコンピュータシステムの仮想メモリも含んでもよい。メモリ３０４は、概念的には単一のモノリシックエンティティと見なすことができるが、他の実施形態では、メモリ３０４は、キャッシュ及び他のメモリデバイスからなる階層構造のような、より複雑な構成であってもよい。例えば、メモリは、複数レベルのキャッシュ内に存在し、これらのキャッシュは機能によって更に分割されてもよい。従って、１つのキャッシュは命令を保持し、別のキャッシュは１つ以上のプロセッサによって使用される非命令データを保持してもよい。メモリは、いわゆるＮＵＭＡ(ｎｏｎ－ｕｎｉｆｏｒｍ ｍｅｍｏｒｙ ａｃｃｅｓｓ)コンピュータアーキテクチャのいずれかで知られているように、更に分散され、異なるＣＰＵ又はＣＰＵのセットに関連付けられてもよい。

メモリ３０４は、本明細書で説明するように、データ転送を処理するための様々なプログラム、モジュール、及びデータ構造のすべて又は一部を格納することができる。例えば、メモリ３０４は、データプライバシー管理アプリケーション３５０を格納することができる。ある実施形態では、データプライバシー管理アプリケーション３５０は、プロセッサ３０２上で実行する命令またはステートメント、あるいはプロセッサ３０２上で実行して以下でさらに説明する機能を実行する命令またはステートメントによって解釈される命令またはステートメントを含むことができる。実施形態では、データプライバシー管理アプリケーション３５０は、プロセッサ３０２上で実行される命令又は記述、もしくはプロセッサ３０２上で実行される命令又は記述によって解釈されて、後述する機能を実行する命令または記述を含んでもよい。
ある実施形態では、データプライバシー管理アプリケーション３５０は、プロセッサベースのシステムの代わりに、またはプロセッサベースのシステムに加えて半導体デバイス、チップ、論理ゲート、回路、回路カード、及び／又は他の物理ハードウェアデバイスを介してハードウェアで実装されてもよい。ある実施形態では、データプライバシー管理アプリケーション３５０は、命令又は記述以外のデータを含んでもよい。ある実施形態では、カメラ、センサ、または他のデータ入力デバイス（図示せず）を、バスインターフェースユニット３０９、プロセッサ３０２、又はコンピュータシステム３００の他のハードウェアと直接通信するように設けることができる。このような構成では、プロセッサ３０２がメモリ３０４及びデータプライバシー管理アプリケーション３５０にアクセスする必要性を低減することができる。

コンピュータシステム３００は、プロセッサ３０２、メモリ３０４、表示システム３２４、及びＩ／Ｏバスインターフェースユニット３１０の通信を行うバスインターフェースユニット３０９を含んでもよい。Ｉ／Ｏバスインターフェースユニット３１０は、様々なＩ／Ｏユニットとの間でデータを転送するためのＩ／Ｏバス３０８と連結していてもよい。Ｉ／Ｏバスインターフェースユニット３１０は、Ｉ／Ｏバス３０８を介して、Ｉ／Ｏプロセッサ（ＩＯＰ）又はＩ／Ｏアダプタ（ＩＯＡ）としても知られる複数のＩ／Ｏインターフェースユニット３１２、３１４、３１６及びと通信してもよい。表示システム３２４は、表示コントローラ、表示メモリ、又はその両方を含んでもよい。表示コントローラは、ビデオ、オーディオ、又はその両方のデータを表示装置３２６に提供することができる。また、コンピュータシステム３００は、データを収集し、プロセッサ３０２に当該データを提供するように構成された1つまたは複数のセンサ等のデバイスを含んでもよい。
例として、コンピュータシステム３００は、心拍数データやストレスレベルデータ等を収集するバイオメトリックセンサ、湿度データ、温度データ、圧力データ等を収集する環境センサ、及び加速度データ、運動データ等を収集するモーションセンサ等を含んでもよい。これ以外のタイプのセンサも使用可能である。表示メモリは、ビデオデータをバッファするための専用メモリであってもよい。表示システム３２４は、単独のディスプレイ画面、コンピュータモニタ、テレビ、タブレット又は携帯型デバイス等のような表示装置３２６に接続されてもよい。
ある実施形態では、表示装置３２６は、オーディオを再生するための１つ又は複数のスピーカを含んでもよい。あるいは、オーディオを再生するための１つ又は複数のスピーカは、Ｉ／Ｏインターフェースユニットに接続されてもよい。他の実施形態では、表示システム３２４によって提供される１つ又は複数の機能は、プロセッサ３０２を含む集積回路に実施されてもよい。更に、バスインターフェースユニット３０９によって提供される１つ又は複数の機能は、プロセッサ３０２を含む集積回路に実施されてもよい。

Ｉ／Ｏインターフェースユニットは、様々な記憶装置及びＩ／Ｏ装置と通信する機能を備える。例えば、端末インターフェースユニット３１２は、ユーザ出力デバイス（例えば、ビデオ表示装置、スピーカ、及び／又はテレビセット等）及びユーザ入力デバイス（キーボード、マウス、キーパッド、タッチパッド、トラックボール、ボタン、ライトペン、又は他のポインティングデバイス等）のようなユーザＩ／Ｏデバイス３２０の取り付けが可能である。ユーザは、ユーザインターフェースを使用して、ユーザ入力デバイスを操作することで、ユーザＩ／Ｏデバイス３２０及びコンピュータシステム３００に対して入力データや指示を入力したり、ユーザ出力デバイスを使用して出力データを受け取ってもよい。ユーザインターフェースは、例えば、ユーザＩ／Ｏデバイス３２０を介して、表示装置に表示されたり、スピーカによって再生されたり、プリンタを介して印刷されたりしてもよい。

ストレージインターフェース３１４は、１つ又は複数のディスクドライブや直接アクセスストレージ装置３２２（通常は磁気ディスクドライブストレージ装置であるが、ホストコンピュータへの単一の大型ストレージ装置として見えるように構成されたディスクドライブのアレイ、又はフラッシュメモリ等ソリッドステートドライブを含む他のストレージ装置であってもよい）の取り付けが可能である。ある実施形態では、ストレージ装置３２２は、任意の二次記憶装置として実装されてもよい。メモリ３０４の内容は、ストレージ装置３２２に格納され、必要に応じて読み出されてもよい。Ｉ／Ｏデバイスインターフェース３１６は、プリンタやファックス等のような様々な入出力装置のいずれかへのインターフェースを提供する。ネットワークインターフェース３１８は、コンピュータシステム３００から他のデジタル装置及びコンピュータシステムへの１つ以上の通信経路を提供する。これらの通信経路は例えば、１つ以上のネットワーク３３０を含んでもよい。

図１に示すコンピュータシステム３００は、プロセッサ３０２、メモリ３０４、バスインターフェースユニット３０９、表示システム３２４、及びＩ／Ｏバスインターフェースユニット３１０の間に直接通信経路を提供する特定のバス構造を示すが、他の実施形態では、コンピュータシステム３００は、階層構成、スター構成またはウェブ構成のポイント・ツー・ポイント・リンク、複数の階層バス、並列及び冗長経路、又は任意の他の適切なタイプの構成等、様々な形態で構成され得る異なるバスまたは通信経路を含んでもよい。更に、Ｉ／Ｏバスインターフェースユニット３１０及びＩ／Ｏバス３０８は、それぞれ単一のユニットとして示されているが、実際には、コンピュータシステム３００は、複数のＩ／Ｏバスインターフェースユニット３１０及び／又は複数のＩ／Ｏバス３０８を含んでもよい。また、Ｉ／Ｏバス３０８を、様々なＩ／Ｏ装置に走る他の通信経路から分離する複数のＩ／Ｏインターフェースユニットが示されているが、他の実施形態では、Ｉ／Ｏ装置のいくつか又はすべてが、１つまたは複数のシステムＩ／Ｏバスに直接接続される。

様々な実施形態では、コンピュータシステム３００は、マルチユーザメインフレームコンピュータシステム、シングルユーザシステム、又はサーバコンピュータ等の、直接的ユーザインターフェースを有しない、他のコンピュータシステム（クライアント）からの要求を受信するデバイスであってもよい。他の実施形態では、コンピュータシステム３００は、デスクトップコンピュータ、ポータブルコンピュータ、ラップトップコンピュータ又はノートブック・コンピュータ、タブレットコンピュータ、ポケットコンピュータ、電話、スマートフォン、または他の任意の適切なタイプの電子機器として実現されてもよい。

次に、図２を参照して、本開示の大まかな概念及び本開示の実施形態に係るデータプライバシー管理システムの高レベルの概要を説明する。

本開示の態様は、場合によっては、データ所有者は、データ所有者によってプライベートに保持されているデータのすべてまたは一部に対して外部分析又は評価を実行させることが望ましい場合があるという認識に関する。例えば、個人は、保険契約の適格性を検証するために、自分の診療録にアクセスする許可を保険会社に付与したり、又は、製造業者は、製品認証に必要な規制要件への準拠を満たすために、製品の品質管理評価を実行する許可を規制当局に付与したりする場合がある。

このような状況では、データ所有者のデータのプライバシーを維持しつつ、外部分析の整合性を保証することに関して、様々な課題が生じる可能性がある。例えば、データ所有者は、分析用のデータ（本明細書では「分析対象データのセット」）を外部クラウド又は第三者システムに転送する必要があり、データ転送又は受信側のセキュリティが侵害された場合に、プライバシーリスク又はデータ侵害につながる可能性がある。更に、分析のために提出されてから、データ所有者は、データからどのような洞察が抽出されるか、及びこれらの洞察がどのように使用されるかについて、コントロールが制限されている。一例として、悪意のある当事者は、無害とされる分析を実行することを装って、機密性が高い貴重なデータの洞察を抽出する可能性がある。このような課題は、データ所有者と分析を実行する当事者（本明細書では「アルゴリズム所有者」）との間に信頼の問題を引き起こす可能性がある。

これらの課題に鑑み、データのプライバシーを強化するために、いくつかの従来の方法が提案されている。
一例として、秘密計算（Ｅｎｃｒｙｐｔｅｄ ｃｏｍｐｕｔａｔｉｏｎ）では、データを暗号化した形式で送信し、分析することで、当該データを不正アクセスや改ざんから保護することができる。しかしながら、ある種類の評価／分析は、準同型的に暗号化されたデータに対して実行することが困難であり、性能／スケーラビリティの問題が生じる可能性がある。
別の例として、プライバシーを保護するために、機密データがランダム化されるランダム化モデルが知られている。しかし、このようなランダム化モデルでは、重要なデータが難読化された場合、分析の精度の低下につながる可能性がある。
更に、プライバシー保護データ開示又は信頼できる第三者はデータプライバシーを維持する他の方法となり得るが、依然として、信頼問題、データ分析精度の低下、又は過去のデータリリースから生じるプライバシー問題を引き起こす可能性がある。

したがって、本開示の態様は、プライベートに保持されたデータの外部分析によって収集される洞察の出力を管理するように構成されたプライバシーフィルタを用いて、ユーザカスタマイズ可能なプライバシーポリシーに従ってプライバシーリスクの可能性を軽減するデータプライバシー管理のための方法、装置及びシステムに関する。

本開示の実施形態では、データの外部分析は、データ所有者のプライベートネットワークに含まれる信頼できる実行環境において難読化されたアルゴリズムによって実行される。分析から抽出された洞察は、分析前に事前に宣言され、改ざん防止ログにコミットされた目標に関して分析の結果を検証するように構成されたデータプライバシーフィルタによってフィルタリングされる。このように、データプライバシーを維持すると共に、外部分析の整合性を保証し、データ所有者とアルゴリズム所有者との間の信頼を促進することができる。更に、分析のデータは、データ所有者の制御下に留まるため、データ送信中にデータ侵害が生じる可能性、又はアルゴリズム所有者側のセキュリティが損なわれる可能性を回避することができる。

図２は、実施形態に係るデータプライバシー管理システム２００の高レベルの概要を示す。図２に示すように、データプライバシー管理システム２００は、分析対象データのセット２０２を所有するデータ所有者２０４と、信頼できる実行環境２０６と、アルゴリズム所有者２０８と、プライバシーフィルタ２１０と、改ざん防止ログ２１２とを含む。

データ所有者２０４は、分析対象データのセット２０２を所有するエンティティである。図２に示すデータ所有者２０４は、個人、企業、又は他の組織によって所有されるコンピューティングデバイスを含んでもよい。図２に示すように、データ所有者２０４は、分析対象データのセット２０２を所有してもよい。分析対象データのセット２０２は、外部からの分析や評価が行われるデータであってもよい。分析対象データのセット２０２は、データ所有者２０４が所有又は管理する記憶媒体に格納されてもよい。例えば、分析対象データのセット２０２は、データ所有者２０４によって維持されるプライベートネットワーク内に含まれる１つ以上のデータサーバ上に格納されてもよい。

信頼できる実行環境２０６は、データを分析するために用いられる分析アルゴリズムの正しい実行を容易にするプラットフォームである。信頼できる実行環境２０６は、データ所有者２０４によって維持されるプライベートネットワーク内のエッジ装置上に構築されてもよい。ある実施形態では、信頼できる実行環境２０６は、孤立した実行、その中で実行されるアプリケーションの整合性、及び資産の機密性を保証するように構成された、エッジ装置の処理部のセキュア領域であってもよい。このように、分析対象データのセット２０２の分析は、データ所有者２０４のプライベートネットワーク内の信頼できる実行環境２０６内で実行されるため、分析対象データのセット２０２は外部のクラウド又は分析プラットフォームに送信される必要はない。

アルゴリズム所有者２０８は、データ所有者２０４によって所有される分析対象データのセット２０２を分析する許可が与えられたエンティティである。図２に示すアルゴリズム所有者２０８は、個人、企業、規制機関、政府機関などによって所有されるコンピューティングデバイスを含んでもよい。アルゴリズム所有者２０８は、信頼できる実行環境２０６において分析対象データのセット２０２を分析するために用いられる分析アルゴリズムを作成してもよい。

改ざん防止ログ２１２は、検証可能、永続的、否認不能な形態でデータを記録するように構成された公開分散型台帳である。例えば、改ざん防止ログ２１２は、許可型ブロックチェーンなどを用いて実装されてもよい。ある実施形態では、改ざん防止ログ２１２を用いて、アルゴリズム所有者２０８及びデータ所有者２０４によって行われたセキュアコミットメントを格納してもよい。後述するように、これらのコミットメントは、分析対象データのセット２０２に対して実行される分析の整合性を検証するために用いることができる。本開示では、「コミットメント」という用語（例えば、第１のセキュアコミットメントのセット、第２のセキュアコミットメントのセット、第３のセキュアコミットメントのセット）は、データの特定のセット（例えば、元データのセット、予想分析結果ラベルのセット、分析結果のセット）のキー付きハッシュを意味する。ある実施形態では、改ざん防止ログ２１２は、公開されていても公開されていなくてもよい。
以下では、１つまたは複数の改ざん防止ログ（例えば、第１の改ざん防止ログ、第２の改ざん防止ログ、第３の改ざん防止ログ）を参照する。ある実施形態では、これらの改ざん防止ログはすべて、単一の共有改ざん防止ログであってもよい。他の実施形態では、これらの改ざん防止ログはそれぞれ独立した改ざん防止ログであってもよい。

プライバシーフィルタ２１０は、分析対象データのセット２０２の分析によって収集される洞察の出力を管理するように構成されたコンポーネントである。プライバシーフィルタ２１０は、アルゴリズム所有者２０８にリリースされる情報（例えば、分析対象データのセット２０２から抽出された洞察）を検証したり、データ所有者２０４によってリリースされたデータの履歴を検証することで潜在的なプライバシーリスクを判定したり、リリースされる情報をデータ所有者２０４に検証させ、データ所有者２０４がプライベートのままにしておきたい情報を除去することを可能にするように構成されてもよい。
このように、データ所有者２０４は、任意の特定の出力のリリースを停止する権限が与えられる。任意の特定の出力のリリースを停止するデータ所有者２０４の判断は、客観的事実（例えば、定量化されたプライバシー損失の増加）又は主観的解釈（不安感）に基づいていてもよい。ある実施形態では、データ所有者２０８は、必要な情報のリリースを停止することが、アルゴリズム所有者２０８が下す判断（例えば、金融ローンの承認）に悪影響を及ぼす可能性があることを、プライバシーフィルタ２１０によって通知されてもよい。

ある実施形態では、図２に示すデータプライバシー管理システム２００は、アルゴリズム所有者によって実行される分析の整合性を保証すると共に、データ所有者のデータプライバシーを維持することに関連する利点を提供することができる。

次に、図３を参照して、データプライバシー管理システム２００の機能構成について説明する。

図３は、実施形態に係るデータプライバシー管理システム２００の機能構成を示す。データプライバシー管理システム２００における情報の流れは、図３に示されるステップ１～８に関して説明される。図３に示すように、データプライバシー管理システム２００は、分析対象データのセット２０２を所有するデータ所有者２０４と、信頼できる実行環境２０６と、分析アルゴリズム２０９を所有するアルゴリズム所有者２０８と、プライバシーフィルタ２１０と、改ざん防止ログ２１２とを含む。データプライバシー管理システム２００の構成要素は、図２に関して上述したため、ここでは説明を省略する。

まず、ステップ１では、データ所有者２０４は、分析要求をアルゴリズム所有者２０８に提出する。この分析要求は、データ所有者２０４によって所有される分析対象データのセット２０２に対して特定の種類の分析を実行するようにアルゴリズム所有者２０８に要求するアプリケーション、クエリ、または問い合わせであってもよい。ある実施形態では、分析要求は、分析される分析対象データのセット２０２の性質と、要求される分析の種類（例えば、品質証明分析、規制遵守分析）を指定してもよい。アルゴリズム所有者２０８から分析要求に対する承認を受けた後、データ所有者２０４は、元データのセットに対応する第１のセキュアコミットメントのセットを改ざん防止ログ２１２（例えば、第１の改ざん防止ログ）に登録する。この第１のセキュアコミットメントのセットは例えば、元データのセットのキー付きハッシュを含んでもよい。

次に、ステップ２では、データ所有者２０４は、制御されたランダムな摂動を用いて、元データのセットに含まれる秘密情報を摂動させることで、元データのセットの摂動済みコピーのセットを生成する。元データのセットの摂動済みコピーのセットと、元データのセット自体とが分析対象データのセット２０２を形成する。ある実施形態では、データ所有者２０４は、特定のプライベート情報が除去された元データのセットの代表的なモデルに対して摂動を実行することができる。したがって、ある実施形態では、摂動済みコピーのセットは、元データのセット又は元データの代表的なモデルに対してランダムな摂動を実行した結果として得られてもよい。
元データのセットに含まれる秘密情報を制御されたランダムな摂動を用いて摂動することで、仮に分析アルゴリズム２０９が秘密情報から無許可の洞察を抽出した場合、秘密のデータに対して実行される分析から出力される分析結果と、摂動済みコピーに対して実行される分析から出力される分析結果とは著しく異なる。これは、分析アルゴリズム２０９は、実行時に、データのどのコピーが秘密情報を含むオリジナルであり、データのどのコピーが摂動済みコピーであるかを把握していないからである。このように、分析の整合性を維持することができる。

次に、ステップ３では、アルゴリズム所有者２０８は、分析対象データのセット２０２の分析の予測結果を示す予想分析結果ラベルのセットに対応する第２のセキュアコミットメントのセットと、分析に用いられる分析アルゴリズム２０９を識別する第１のアルゴリズム署名と、を改ざん防止ログ２１２（例えば、第２の改ざん防止ログ）に登録する。このように、分析の目標及び分析に用いられる特定のアルゴリズムが改ざん防止ログ２１２に公的に記録される。後述するように、分析によって生成される分析出力、及び分析を実行するために用いられるアルゴリズムのアルゴリズム署名は、アルゴリズム所有者２０８によってコミットされたものに対して検証することができる。このように、データ所有者２０４とアルゴリズム所有者２０８との間の信頼を強化することができる。

次に、ステップ４では、アルゴリズム所有者２０８は、分析アルゴリズム２０９を、データ所有者２０４のプライベートネットワークにおけるエッジ装置上に実装された信頼できる実行環境２０６に送信する。ある実施形態では、アルゴリズム所有者２０８は、難読化された状態で分析アルゴリズム２０９を送信してもよい。例えば、分析アルゴリズム２０９は、改ざんを防止したり、リバースエンジニアリングを阻止したりするために、難読化された形式で作成されていてもよい。

次に、ステップ５では、データ所有者２０４は、アルゴリズム所有者２０８から受信した分析アルゴリズム２０９を、分析対象データのセット２０２に対してエッジ装置によって実行させてもよい。上述したように、ここで、分析対象データのセット２０２は、制御された摂動が実行される元データのセットと、元データのセットの摂動済みコピーのセットとの両方を含んでもよい。更に、分析アルゴリズム２０９は、実行時に、データのどのコピーが元データのセットであり、データのどのコピーが元データのセットの摂動済みコピーであるかを把握していない。分析対象データのセット２０２に対する分析アルゴリズム２０９の実行は、分析アルゴリズム２０９が意図された通りに動作することを保証するために、信頼できる実行環境２０６内で行われる。分析アルゴリズム２０９は、分析対象データのセット２０２に対する分析を実行することによって、分析結果ラベルのセットでラベル付けされ、且つ、分析アルゴリズム２０９の第２のアルゴリズム署名によって署名された分析結果のセットと、分析結果のセットに対応する第３のセキュアコミットメントのセットとを含む分析出力を生成する。
本明細書では、いくつかのアルゴリズム署名（例えば、第１のアルゴリズム署名、第２のアルゴリズム署名）を参照する。第１のアルゴリズム署名は、アルゴリズム所有者２０８が分析対象データのセット２０２を分析するために作成するアルゴリズムのアルゴリズム署名を意味する。第２のアルゴリズム署名は、分析対象データのセット２０２を分析するために実際に使用したアルゴリズムのアルゴリズム署名を意味する。したがって、第１のアルゴリズム署名と第２のアルゴリズム署名とが一致する場合、アルゴリズム所有者２０８によって事前に改ざん防止ログ２１２に記録されたものと一致する分析が実行されたと判定することができる。一方、第１のアルゴリズム署名と第２のアルゴリズム署名とが一致しない場合、アルゴリズム所有者２０８によって事前に改ざん防止ログ２１２に記録されたものと一致しない分析（例えば、不正の分析）が行われたと判定することができる。

次に、ステップ６では、分析結果ラベルのセットでラベル付けされ、且つ、分析アルゴリズム２０９の第２のアルゴリズム署名によって署名された分析結果のセットと、第３のセキュアコミットメントのセットとを共に含む分析出力が、プライバシーフィルタ２１０に転送される。ここで、プライバシーフィルタ２１０は、分析出力を検証し、プライバシー制御基準のセットを達成しないプライベートデータを除去し、許可出力結果のセットをアルゴリズム所有者２０８にリリースする。ここで、プライバシー制御基準のセットは、プライバシーリスクを引き起こすことなくデータ所有者によってリリースされてもよい情報及び洞察を定義するルールのセットを含んでもよい。プライバシー制御基準のセットは、プライバシーフィルタ２１０によって実行される一連の検証動作によって実装されてもよい。プライバシー制御基準のセットを実装するために用いられる検証動作の例は以下に記載される。
ある実施形態では、プライバシーフィルタ２１０は、ステップ５で分析結果ラベルのセットに署名するために用いられた第２のアルゴリズム署名を、ステップ３で改ざん防止ログ２１２に記録された第１のアルゴリズム署名に対して検証してもよい。同様に、プライバシーフィルタ２１０は、分析アルゴリズム２０９によって生成された分析結果ラベルのセットを、ステップ３で改ざん防止ログ２１２にコミットされた予想分析結果ラベルのセット（例えば、第２のセキュアコミットメントのセット）に対して検証してもよい。
さらに、プライバシーフィルタ２１０は、元データのセットに対応する分析結果と、摂動されたコピーのセットに対応する分析結果との間の差分を比較して、秘密情報が不正のラベルで分析アルゴリズム２０９によって漏洩されていないことを検証してもよい。
また、プライバシーフィルタ２１０は、分析出力を過去にデータ所有者２０４によってリリースされたデータ及び洞察を示す結果リリース履歴に対して比較することができる。この比較は例えば、アテンションベースニューラルネットワークを用いて実行してもよい。
プライバシーフィルタ２１０は、分析出力をユーザによって定義されたプライバシーポリシーに対して検証してもよい。
上述の検証動作の結果、プライバシーフィルタ２１０は、データ所有者２０４に潜在的なプライバシーリスクをもたらすと判定されたプライベートデータのセットを分析出力の中から除去することによって、許可出力結果のセットを生成するように構成されてもよい。ここで、プライベートデータのセットは、所定の閾値を超えるプライバシーリスクに関連するデータである。

ステップ７では、プライバシーフィルタ２１０は、第２のアルゴリズム署名と共に、分析された各データのセット（例えば、摂動されたコピーのセット及び元データのセットのそれぞれ）に対する第３のセキュアコミットメントのセットを改ざん防止ログ２１２に登録する。なお、この第３のセキュアコミットメントセットは、全ての分析結果のセットに対応しており、許可出力結果のセットのみに対応するものではないことに留意されたい。このように、データ所有者２０４とアルゴリズム所有者２０８との間に紛争が起きた場合、データ所有者２０４は、分析結果のセットに対応するこの第３のセキュアコミットメントのセットに基づいて、セキュアでない結果の存在を証明することができる。

ステップ８では、プライバシーフィルタ２１０は、許可出力結果のセットをアルゴリズム所有者２０８にリリースする。許可出力結果のセットは、プライバシーフィルタ２１０によって許可され、分析結果ラベルのセットでラベル付けされ、第２のアルゴリズム署名によって署名された分析結果のセットを含む。許可出力結果のセットを受信すると、アルゴリズム所有者２０８は、許可出力結果のセットに含まれる第２のアルゴリズム署名がステップ３で改ざん防止ログ２１２にコミットされた第１のアルゴリズム署名と一致すること、許可出力結果のセットに含まれる分析結果のセットがステップ７で改ざん防止ログ２１２に登録された第３のセキュアコミットメントのセットと一致すること、及び第３のセキュアコミットメントのセットが、元データのセットに対応し、ステップ１で改ざん防止ログ２１２に登録された第１のセキュアコミットメントのセットに対応することを検証してもよい。

ある実施形態では、図３に示すデータプライバシー管理システム２００は、アルゴリズム所有者によって実行される分析の整合性を保証すると共に、データ所有者のデータプライバシーを維持することに関連する利点を提供することができる。

次に、図４を参照して、本発明に係るデータプライバシー管理システムのユースケースの一例について説明する。

図４は、実施形態に係るユースケースの一例を説明するための簡略化されたデータプライバシー管理システム４００を示す。本明細書で説明するように、本開示に係るデータプライバシー管理システム４００は、個人、企業、政府機関などを含む様々な状況で収集される秘密データのデータプライバシーを促進するために用いられてもよい。一例として、データプライバシー管理システム２００は、製造事業（例えば、自動車等を製造するためのスマートファクトリ）のデータプライバシーを促進するために適用されてもよい。

図４に示すように、データプライバシー管理システム４００は、製造事業４０５と、評価サービス４１０と、製造事業４０５によって管理される工場のセット４１５Ａ、４１５Ｂ、４１５Ｃとを含む。

製造事業４０５は、工場のセット４１５Ａ、４１５Ｂ、４１５Ｃの製造工程を評価するために評価サービス４１０に契約することができる。製造事業４０５及び評価サービス４１０は、評価基準を定義することができ、評価サービス４１０は、この評価基準に従って、工場のセット４１５Ａ、４１５Ｂ、４１５Ｃの製造工程を評価するために用いられる分析アルゴリズムを作成することができる。

ここで、工場のセット４１５Ａ、４１５Ｂ、４１５Ｃの各工場は、分析用の元データのセットを所有するデータ所有者である。元データのセットは、リリースされた場合、製造事業４０５にプライバシーリスクをもたらす可能性がある機密情報を含むことがある。評価の前に、工場のセット４１５Ａ、４１５Ｂ、４１５Ｃの各工場は、その元データのセットの公的でセキュアなコミットメントを改ざん防止ログ（図４には図示せず）に登録する。次に、工場のセット４１５Ａ、４１５Ｂ、４１５Ｃの各工場は、元データのセットに対する戦略的な摂動を実行し、摂動済みコピーのセットを生成する。元データのセットは、摂動済みコピーのセットと共に、分析対象データのセットを構成する。

次に、評価サービス４１０（例えば、アルゴリズム所有者）は、分析結果ラベル、分析結果ラベルの記述、及び分析アルゴリズムのアルゴリズム署名の公的なコミットメントを改ざん防止ログに対して行う。このように、評価サービス４１０が分析対象データのセットから抽出しようとする情報、及び分析に用いられる分析アルゴリズムが公的に記録されることになる。次に、評価サービス４１０は、評価アルゴリズムを難読化し、難読化した評価アルゴリズムを工場のセット４１５Ａ、４１５Ｂ、４１５Ｃの各工場内のエッジ装置に送信する。ここでのエッジ装置は、工場が分析対象データのセットにアクセスする権限をエッジ装置に与えた場合、工場の外部に存在していてもよい。

エッジ装置は、セキュアで信頼できる実行環境において、分析アルゴリズムを元データのセットと、元データのセットの摂動済みコピーのセットとに対して実行する。エッジ装置は、分析するデータのバージョン毎に、アルゴリズム署名とコミットメントとを計算する。分析アルゴリズムは、結果を生成し、当該アルゴリズム署名を用いて署名する。エッジ装置上の信頼できる実行環境は、分析の結果、コミットメント及びアルゴリズム署名（例えば、分析出力）をプライバシーフィルタに出力する。

次に、プライバシーフィルタは、分析出力を過去に製造事業４０５によってリリースされたデータ及び洞察を示す結果リリース履歴に対して分析し、分析結果ラベルを評価サービス４１０によって改ざん防止ログに登録された分析結果ラベルの公的なコミットメントに対して検証し、分析を実行した分析アルゴリズムのアルゴリズム署名を評価サービス４１０によって改ざん防止ログにコミットされたアルゴリズム署名に対して検証し、戦略的な摂動を通して観察可能なプライバシー漏洩の有無を確認し、結果リリースのインフォームド・コンセントを提供するための人間の介入を可能にすることができる。プライバシーフィルタは、分析出力からプライベートデータを除去して、評価サービス４１０に公開するための許可出力結果のセットを生成することができる。更に、プライバシーフィルタは、分析の結果を改ざん防止ログにコミットすることができる。

次に、評価サービス４１０は、製造事業４０５によって改ざん防止ログに登録された元データのセットのコミットメント（例えば、第１のセキュアコミットメントのセット）を、分析アルゴリズムによって生成されたコミットメント（例えば、第２のセキュアコミットメントのセット）に対して検証してもよい。また、評価サービス４１０は、改ざん防止ログにコミットされた分析結果を、プライバシーフィルタから受信した分析結果と照合してもよい。部分開示の場合（例えば、製造事業４０５が情報又は洞察を差し控えた場合）、評価サービス４１０は、差し控えられた情報について、製造事業４０５に異議を唱えてもよい。最後に、評価サービス４１０は、結果（例えば、許可出力結果のセット）を集約し、それを製造事業４０５に送信してもよい。

次に、図５を参照して、データプライバシー管理システム２００の全体的な流れを説明する。

図５は、実施形態に係るデータプライバシー管理システム２００の全体的なフローを示す。本明細書で説明し、図５に示すように、本開示に係るデータプライバシー管理システム２００では、情報がデータ所有者２０４、アルゴリズム所有者２０８、信頼できる実行環境２０６、プライバシーフィルタ２１０、及び改ざん防止ログ２１２の間で送受信される。

図５に示すように、データプライバシー管理システム２００の全体的な流れは、データ準備段階５１０、アルゴリズム準備段階５２０、アルゴリズム実行段階５３０、プライバシーフィルタリング段階５４０、及び情報リリース段階５５０を主に含む。

データ準備段階５１０では、データ所有者２０４は、分析用に分析対象データのセットを準備し、元データのセットに対応する第１のセキュアコミットメントのセットを改ざん防止ログ２１２に対して登録する。アルゴリズム準備段階５２０では、アルゴリズム所有者は、分析対象データを分析するための分析アルゴリズムを準備し、分析対象データのセットの分析の予測結果を示す予想分析結果ラベルのセットに対応する第２のセキュアコミットメントのセットと、分析に用いられる分析アルゴリズムを識別する第１のアルゴリズム署名とを改ざん防止ログ２１２に登録する。
アルゴリズム実行段階５３０では、分析アルゴリズムは、分析対象データのセットに対して実行されることで、分析結果ラベルのセットでラベル付けされ、且つ、第２の分析アルゴリズムの第２のアルゴリズム署名によって署名された分析結果のセットと、分析結果のセットに対応する第３のセキュアコミットメントのセットとを含む分析出力を生成する。プライバシーフィルタリング段階５４０では、プライバシーフィルタ２１０は、分析によって生成された分析出力を改ざん防止ログ２１２に登録された以前のコミットメントに対して検証し、データ所有者２０４によって提供されたユーザ定義プライバシーポリシーを適用することで、許可出力結果のセットを生成する。情報リリース段階５５０では、プライバシーフィルタ２１０は、許可出力データのセットをアルゴリズム所有者２０８にリリースし、分析の結果を改ざん防止ログ２１２に登録する。
なお、データ準備段階５１０、アルゴリズム準備段階５２０、アルゴリズム実行段階５３０、プライバシーフィルタリング段階５４０、情報リリース段階５５０の詳細については、図６、図７、図８、図９、図１０を参照して説明するので、ここではその説明を省略する。

次に、図６を参照して、データ準備段階５１０を説明する。

図６は、実施形態に係るデータ準備段階５１０のフローを示す。図６に示すように、データ準備段階５１０は、データ所有者２０４及び改ざん防止ログ２１２によって実行され、ステップ６０１で開始し、ステップ６１４で終了する。

まず、ステップ６０２では、データ所有者２０４は、元データのセットに対応する第１のセキュアコミットメントのセットを生成する。例えば、第１のセキュアコミットメントのセットは、元データのセットの鍵付きハッシュであってもよい。ある実施形態では、データ所有者２０４は、元データのセットに対してハッシングアルゴリズムを実行することで、第１のセキュアコミットメントのセットを生成してもよい。

次に、ステップ６０４では、データ所有者２０４は、ステップ６０２において生成した第１のセキュアコミットメントのセットを改ざん防止ログ２１２に送信する。ある実施形態では、第１のセキュアコミットメントのセットは、インターネットなどの通信ネットワークのセキュアチャネルを介して送信されてもよい。本明細書で説明するように、改ざん防止ログ２１２は、ブロックチェーンなどの分散台帳として実装されてもよい。

次に、ステップ６０６では、改ざん防止ログ２１２は、ステップ６０４でデータ所有者２０４によって送信された第１のセキュアコミットメントのセットを受信する。

次に、ステップ６０８では、改ざん防止ログ２１２は、ステップ６０６で受信した第１のセキュアコミットメントのセットを記録する。ここで、第１のセキュアコミットメントのセットは、改ざん防止ログ２１２のブロック内に登録又は符号化することによって記録されてもよい。

次に、ステップ６１０では、データ所有者２０４は、制御されたランダムな摂動を用いて、元データのセットに含まれる秘密情報を摂動させることで、元データの摂動済みコピーのセットを生成する。

次に、ステップ６１２では、データ所有者２０４は、元データのセットと、元データのセットの摂動済みコピーのセットとを分析される分析対象データのセットとして保管する。ある実施形態では、データ所有者２０４は、分析対象データのセットを、データ所有者２０４のプライベートネットワーク内に配置されているストレージデバイス上でアルゴリズム所有者によって事前に決定された形式で準備してもよい。

上述したデータ準備段階５１０によれば、改ざん防止ログ２１２に登録された第１のセキュアコミットメントのセットを用いて、分析所有者によって実行された後続の分析の結果を検証することができる。更に、元データのセットの摂動済みコピーを生成することによって、プライバシーフィルタは、分析対象データのセットに含まれる秘密データに関連する洞察が分析アルゴリズムによって抽出されていないことを保証することができる。このように、アルゴリズム所有者によって実行される分析の整合性を保証すると共に、データ所有者のデータプライバシーを維持することに関連する利点を達成することができる。

次に、図７を参照して、アルゴリズム準備段階５２０について説明する。

図７は、実施形態に係るアルゴリズム準備段階５２０のフローを示す。図７に示すように、アルゴリズム準備段階５２０は、アルゴリズム所有者２０８、改ざん防止ログ２１２、及び信頼できる実行環境２０６によって実行され、ステップ７０１で開始し、ステップ７２６で終了する。

まず、ステップ７０２では、アルゴリズム所有者２０８は、予想分析結果ラベルのセットを生成する。予想分析結果ラベルのセットは、データ所有者の分析対象データのセットの分析の予測結果を示し、分析によって抽出される洞察の性質や種類の記述を含んでもよい。ある実施形態では、予想分析結果ラベルのセットは、キー値マップとして生成されてもよい。

次に、ステップ７０４では、アルゴリズム所有者２０８は、予想分析結果ラベルのセットに対応する第２のセキュアコミットメントのセットを改ざん防止ログ２１２に送信する。ある実施形態では、第２のセキュアコミットメントのセットは、インターネットなどの通信ネットワークのセキュアチャネルを介して送信されてもよい。

次に、ステップ７０６では、改ざん防止ログ２１２は、ステップ７０４でアルゴリズム所有者２０８によって送信された予想分析結果ラベルのセットに対応する第２のセキュアコミットメントのセットを受信する。

次に、ステップ７０８では、改ざん防止ログ２１２は、ステップ７０６で受信した第２のセットのセキュアコミットメントを記録する。ここで、第２のセキュアコミットメントのセットは、改ざん防止ログ２１２のブロック内に登録又は符号化することによって記録されてもよい。

次に、ステップ７１０では、アルゴリズム所有者２０８は、データ所有者の分析対象データのセットに対して分析を実行するために用いられる分析アルゴリズムを難読化させるか否かを判定する。アルゴリズム所有者２０８は、分析アルゴリズムを難読化させると判定した場合、本処理はステップ７１２に進む。アルゴリズム所有者２０８は、分析アルゴリズムを難読化させないと判定した場合、本処理はステップ７１４に進む。

ステップ７１２では、アルゴリズム所有者２０８は、分析アルゴリズムを難読化させることで、難読化済み分析アルゴリズムを生成する。本明細書で説明するように、アルゴリズム所有者２０８は、改ざんを防止したり、リバースエンジニアリングを阻止したりするために、難読化アルゴリズムを用いて分析アルゴリズムを処理して、難読化形式に変換することができる。

次に、ステップ７１４において、アルゴリズム所有者２０８は、分析アルゴリズムのためのアルゴリズム署名（例えば、第１のアルゴリズム署名）を生成する。ある実施形態では、アルゴリズム所有者２０８は、公開鍵暗号アルゴリズムを用いてアルゴリズム署名を生成してもよい。公開鍵暗号アルゴリズムは、公開鍵と秘密鍵からなる鍵ペアを用いてもよい。秘密鍵は、分析アルゴリズムのデジタル署名を生成するために用いられ、このデジタル署名は、対応する公開鍵を用いて検証することができる。このように、分析アルゴリズムを一意に識別し、検証することができる（例えば、データ所有者又は受信者は、分析アルゴリズムの真正性や、分析アルゴリズムが署名されてから修正されていないことを検証することができる）。

次に、ステップ７１６では、アルゴリズム所有者２０８は、ステップ７１４で分析アルゴリズムのために生成されたアルゴリズム署名（例えば、第１のアルゴリズム署名）を改ざん防止ログ２１２に送信する。ある実施形態では、アルゴリズム署名は、インターネットなどの通信ネットワークのセキュアチャネルを介して送信されてもよい。

次に、ステップ７１８では、改ざん防止ログ２１２は、ステップ７１４でアルゴリズム所有者２０８によって送信されたアルゴリズム署名を受信する。

次に、ステップ７２０では、改ざん防止ログ２１２は、ステップ７１８で受信したアルゴリズム署名を記録する。ここで、アルゴリズム署名は、改ざん防止ログ２１２のブロック内に登録又は符号化することによって記録されてもよい。

次に、ステップ７２２では、アルゴリズム所有者２０８は、分析アルゴリズム（または代替として、ステップ７１２で生成された難読化済みアルゴリズム）を信頼できる実行環境２０６に送信する。ある実施形態では、アルゴリズム署名は、インターネットなどの通信ネットワークのセキュアチャネルを介してデータ所有者のプライベートネットワーク内に配置されているエッジ装置に送信されてもよい。

次に、ステップ７２４では、信頼できる実行環境２０６は、アルゴリズム所有者２０８によって送信された分析アルゴリズムを受信する。本明細書に説明するように、この分析アルゴリズムは、データ所有者によって所有される分析対象データのセットを分析するために用いられてもよい。

上述したアルゴリズム準備段階５２０によれば、データ所有者の分析対象データのセットの分析の予測結果を示す分析結果ラベルと、分析に用いられる分析アルゴリズムを識別する第１のアルゴリズム署名との両方が、改ざん防止ログ２１２に登録される。このように、プライバシーフィルタは、分析結果ラベルと第１のアルゴリズム署名とを利用して、分析対象データのセットに対して実行された分析アルゴリズムの真正性を検証すると共に、分析アルゴリズムによって分析対象データのセットから抽出された洞察が、改ざん防止ログ２１２に予め登録された分析結果ラベルに対応することを検証することができる。

次に、図８を参照して、アルゴリズム実行段階５３０について説明する。

図８は、実施形態に係るアルゴリズム実行段階５３０のフローを示す。図８に示すように、アルゴリズム実行段階５３０は、信頼できる実行環境２０６及びプライバシーフィルタ２１０によって実行され、ステップ８０１で開始し、ステップ８１４で終了する。

まず、ステップ８０２では、信頼できる実行環境２０６は、アルゴリズム所有者から受信した分析アルゴリズムを分析対象データのセットに対して実行する。上述したように、ここで、分析対象データのセットは、制御された摂動が実行される元データのセットと、元データのセットの摂動済みコピーのセットとの両方を含んでもよい。ここで、分析アルゴリズムは、分析対象データのセットを１コピーずつ分析してもよい。
更に、分析アルゴリズムは、実行時に、データのどのコピーが元データのセットであり、データのどのコピーが元データのセットの摂動済みコピーであるかを把握していない。分析アルゴリズムは、分析対象データのセットを分析することによって、分析結果ラベルのセットでラベル付けされた分析結果のセットを含む分析出力を生成し、分析アルゴリズムのアルゴリズム署名（例えば、第２のアルゴリズム署名）で分析結果のセットに署名する。

次に、ステップ８０４では、信頼できる実行環境２０６は、分析結果のセットに対応する第３のセキュアコミットメントのセットを計算する。例えば、第３のセキュアコミットメントのセットは、分析結果のセットの鍵付きハッシュであってもよい。ある実施形態では、信頼できる実行環境２０６は、分析結果のセットに対してハッシングアルゴリズムを実行して、第３のセキュアコミットメントのセットを生成してもよい。

次に、ステップ８０６では、信頼できる実行環境２０６は、分析対象データのセットを分析するために用いられる分析アルゴリズムのアルゴリズム署名（例えば、第２のアルゴリズム署名）を計算する。

次に、ステップ８０８では、信頼できる実行環境２０６は、データの追加コピー（例えば、まだ分析されていない分析対象データのセットの追加データ）が存在するか否かを判定する。まだ分析されていないデータの追加コピーが存在する場合、本処理はステップ８０２に戻る。まだ分析されていないデータの追加コピーが存在しない場合、本処理はステップ８１０に進む。

次に、ステップ８１０では、信頼できる実行環境２０６は、分析出力をプライバシーフィルタ２１０に送信する。より具体的には、信頼できる実行環境２０６は、分析結果ラベルのセットでラベル付けされ、第２の分析アルゴリズムの第２のアルゴリズム署名によって署名された分析結果のセットと、分析結果のセットに対応する第３のセキュアコミットメントのセットと、ステップ８０６で計算されたアルゴリズム署名とをプライバシーフィルタ２１０に送信する。

次に、ステップ８１２では、プライバシーフィルタ２１０は、信頼できる実行環境２０６から分析出力を受信する。

上述のアルゴリズム実行段階５３０によれば、データ所有者の分析対象データのセットを、信頼できる実行環境２０６内で認証されているアルゴリズムによって検査することができる。このように、アルゴリズム所有者によって実行される分析の整合性を保証すると共に、データ所有者のデータプライバシーを維持することに関連する利点を達成することができる。

次に、図９を参照して、プライバシーフィルタリング段階５４０について説明する。

図９は、実施形態に係るプライバシーフィルタリング段階５４０のフローを示す。図９に示すように、プライバシーフィルタリング段階５４０は、データ所有者２０４、プライバシーフィルタ２１０、及び改ざん防止ログ２１２によって実行され、ステップ９０１で開始し、ステップ９２８で終了する。

まず、ステップ９０２では、改ざん防止ログ２１２は、アルゴリズム所有者によって改ざん防止ログ２１２に登録されたアルゴリズム署名（例えば、図７に示すアルゴリズム準備段階５２０のステップ７１７で改ざん防止ログ２１２に送信された第１のアルゴリズム署名）をプライバシーフィルタ２１０に送信してもよい。

次に、ステップ９０４では、プライバシーフィルタ２１０は、ステップ９０２において改ざん防止ログによって送信されたアルゴリズム署名（例えば、第１のアルゴリズム署名）を受信する。

次に、ステップ９０６では、プライバシーフィルタ２１０は、改ざん防止ログ２１２から受信したアルゴリズム署名（例えば、第１のアルゴリズム署名）を、図８に示すアルゴリズム実行段階８３０のステップ８０６で計算された、分析対象データのセットを分析するために用いられる分析アルゴリズムのアルゴリズム署名（例えば、第２のアルゴリズム署名）に対して検証する。例えば、プライバシーフィルタ２１０は、第２のアルゴリズム署名が第１のアルゴリズム署名と一致するか否かを検証してもよい。
より具体的には、ここで、プライバシーフィルタ２１０は、第２のアルゴリズム署名を第１のアルゴリズム署名に対して比較した後、第２のアルゴリズム署名が第１のアルゴリズム署名に対応しないプライベートデータのセットを分析出力の中から特定し、このプライベートデータのセットを分析出力から除去することで、許可出力結果のセットを生成してもよい。第２のアルゴリズム署名が第１のアルゴリズム署名に対応する場合、プライバシーフィルタ２１０は、分析アルゴリズムの真正性を確認することができる。

次に、ステップ９０８では、改ざん防止ログ２１２は、アルゴリズム所有者によって改ざん防止ログ２１２に登録された予想分析結果ラベルのセット（例えば、図７に示すアルゴリズム準備段階５２０のステップ７０４で改ざん防止ログ２１２に送信された予想分析結果ラベルのセット）をプライバシーフィルタ２１０に送信してもよい。

次に、ステップ９１０では、プライバシーフィルタ２１０は、改ざん防止ログ２１２から予想分析結果ラベルのセットを受信してもよい。

次に、ステップ９１２では、プライバシーフィルタ２１０は、改ざん防止ログ２１２から受信した予想分析結果ラベルのセットを、分析対象データのセットに対して行われた分析の結果として生成された分析結果ラベルのセット（例えば、図８に示すアルゴリズム実行段階５３０のステップ８０２で生成された分析結果ラベルのセット）に対して検証する。例えば、プライバシーフィルタ２１０は、予想分析結果ラベルのセットが分析結果ラベルのセットと一致するか否かを検証してもよい。
より具体的には、ここで、プライバシーフィルタは、分析結果ラベルのセットを改ざん防止ログから受信した予想分析結果ラベルのセットに対して比較した後、予想分析結果ラベルのセットに対する類似度閾値を達成しないプライベートデータのセットを分析出力の中から特定し、このプライベートデータのセットを分析出力から除去することで許可出力結果のセットを生成してもよい。分析結果ラベルのセットが予想分析結果ラベルのセットに対応する場合、プライバシーフィルタ２１０は、分析結果のセットの真正性を確認することができる。

次に、ステップ９１４では、プライバシーフィルタ２１０は、分析結果のセットを分析して、摂動済みコピーのセットから得られる情報又は洞察からプライバシーリスクが生じないことを検証してもよい。例えば、プライバシーフィルタ２１０は、元データのセットに対応する分析結果のセットを摂動済みコピーのセットに対応する分析結果と比較し、これらの分析結果のセット間の差分がデータ所有者２０４にプライバシーリスクを引き起こさないことを確認してもよい。
ある実施形態では、元データのセットに含まれる秘密情報を摂動させ、摂動済みコピーのセットを生成する処理、分析対象データのセットに対して分析アルゴリズムを実行する処理、及び分析結果のセットを分析する処理は、因果関係を特定することができるまで繰り返されてもよい。このように、データ所有者（又はデータ所有者の代理となるエージェント）は、摂動戦略を事前に準備する必要はなく、代わりに、摂動戦略を必要なときに動的に作成することができる。

次に、ステップ９１６では、プライバシーフィルタ２１０は、過去のデータリリースを示す結果リリース履歴を考慮して、分析出力のプライバシー影響評価を生成することができる。結果リリース履歴は、過去にプライバシーフィルタによってリリースされた情報及び洞察、並びに他の手段を介してデータ所有者によってリリースされた情報及び洞察を示してもよい。プライバシー影響評価を生成することは、分析出力に格付け（例えば、赤、黄、緑などのカテゴリベースの格付け、或いは０と１００との間の数として表されるスコア）を割り当て、過去のデータリリースを考慮して、分析出力のリリースに伴うリスクのレベルを入力することを含んでもよい。閾値を超えるリスクレベルに関連するデータは、分析出力から除去されてもよい。
より具体的には、プライバシーフィルタ２１０は、分析出力を結果リリース履歴に対して比較した後、結果リリース履歴と組み合わせてプライバシーリスクを生み出すプライベートデータのセットを分析出力の中から特定し、プライベートデータのセットを分析出力から除去することで許可出力結果のセットを生成してもよい。

次に、ステップ９１８では、プライバシーフィルタ２１０は、許可出力データのセットのリリースに関して、ユーザ介入が要求されているか否かを判定してもよい。ある実施形態では、プライバシーフィルタ２１０は、ダイアログプロンプトを用いてユーザに問い合わせて、ユーザの介入が必要であるか否かを確認してもよい。ある実施形態では、プライバシーフィルタ２１０は、許可出力結果のセットのリリースに関して、ユーザ定義プライバシーポリシーが適用されるべきか否かを判定してもよい。ユーザ介入が要求されない場合、本処理はステップ９２８に進み、終了してもよい。ユーザ介入が要求された場合、本処理はステップ９２０に進んでもよい。

次に、ステップ９２０では、プライバシーフィルタ２１０は、ステップ９１６で生成されたプライバシー影響評価を、ユーザ同意クエリと共にデータ所有者２０４に送信してもよい。ここで、プライバシー影響評価は、分析出力のリリースに関するリスクレベルの評価と共に、分析出力の記述を含んでもよい。

次に、ステップ９２２では、データ所有者２０４は、プライバシーフィルタ２１０から送信されたユーザ同意クエリと共に、プライバシー影響評価を受信してもよい。

次に、ステップ９２４では、データ所有者２０４は、プライバシー影響評価を評価し、リリースに向けて許可出力結果のセットの良否を判定してもよい。ある実施形態では、データ所有者２０４は、プライバシー影響評価に記載された分析出力をユーザ定義プライバシーポリシーに対して分析することで、ユーザ定義プライバシーポリシーを達成しないプライベートデータのセットを分析出力の中から特定し、当該プライベートデータのセットを分析出力から除去することによって許可出力結果のセットを生成してもよい。その後、データ所有者２０４は、許可出力結果のセットのリリースを許可するインフォームド・コンセントのステートメントを生成し、当該インフォームド・コンセントのステートメントをプライバシーフィルタ２１０に送信してもよい。

次に、ステップ９２６では、プライバシーフィルタ２１０は、許可出力結果のセットのリリースを許可するインフォームド・コンセントのステートメントを受信してもよい。

上述のプライバシーフィルタリング段階５４０によれば、プライバシーフィルタ２１０は、データ所有者２０４が所有する分析対象データのセットの分析によって生成される分析結果の出力を管理するために用いられる。プライバシーリスクに伴う可能性がある情報は、リリースされる出力分析データのセットから除去されてもよい。
このように、アルゴリズム所有者によって実行される分析の整合性を保証すると共に、データ所有者のデータプライバシーを維持することに関連する利点を達成することができる。

次に、図１０を参照して、情報リリース段階５５０について説明する。

図１０は、実施形態に係る情報リリース段階５５０のフローを示す。図１０に示すように、情報リリース段階５５０は、アルゴリズム所有者２０８、プライバシーフィルタ２１０、及び改ざん防止ログ２１２によって実行され、ステップ１００１で開始し、ステップ１０１２で終了する。

まず、ステップ１００２では、プライバシーフィルタ２１０は、分析されたデータの各セット（例えば、摂動済みコピーのセット及び元データのセットの各々）に関する分析結果のセットに対応する第３のセキュアコミットメントのセットと第２のアルゴリズム署名とを、改ざん防止ログ２１２に送信する。この第３のセキュアコミットメントのセットは、全ての分析結果のセットに対応しており、許可出力結果のセットのみに対応するものではないことに留意されたい。このように、データ所有者とアルゴリズム所有者２０８との間に紛争が起きた場合、データ所有者２０４は、当該第２のセキュアコミットメントのセットに基づいて、セキュアでない結果の存在を証明することができる。

次に、ステップ１００４では、改ざん防止ログ２１２は、第３のセキュアコミットメントと第２のアルゴリズム署名とを受信する。

次に、ステップ１００６では、改ざん防止ログ２１２は、ステップ１００４で受信した分析結果のセットに対応する第３のセキュアコミットメントのセットを登録する。ここで、第３のセキュアコミットメントのセットは、改ざん防止ログ２１２のブロック内に登録又は符号化することによって記録されてもよい。

次に、ステップ１００８では、プライバシーフィルタ２１０は、許可出力結果のセットをアルゴリズム所有者２０８にリリースしてもよい。ここで、許可出力結果のセットは、プライバシーフィルタリング段階５４０のステップ９０６、９１２、９１４、９１６、及び９２４においてプライベートデータを除去した後に、プライバシーフィルタ２１０及びデータ所有者２０４によって生成された許可出力結果のセットを含んでもよい。

次に、ステップ１０１０では、アルゴリズム所有者２０８は、許可出力結果のセットを受信してもよい。
許可出力結果のセットを受信すると、アルゴリズム所有者２０８は、許可出力結果のセットに含まれる第２のアルゴリズム署名がアルゴリズム準備段階５２０のステップ７２０で改ざん防止ログ２１２にコミットされた第１のアルゴリズム署名と一致すること、許可出力結果のセットに含まれる分析結果のセットがステップ１００６で改ざん防止ログ２１２に登録された第３のセキュアコミットメントのセットと一致すること、及び第３のセキュアコミットメントのセットが、データ準備段階５１０のステップ６０８でデータ所有者によって改ざん防止ログ２１２に登録された第１のセキュアコミットメントのセットに対応することを検証してもよい。

情報リリース段階５５０によれば、アルゴリズム所有者は、許可出力結果のセットが改ざん防止ログに登録されたコミットメントと一致することを検証することができ、それによって、分析対象データのセットに対して実行された分析の整合性を検証することができる。このように、アルゴリズム所有者側及びデータ所有者側での分析結果の透明性及び説明責任が促進され、アルゴリズム所有者によって実行される分析の整合性を保証すると共に、データ所有者のデータプライバシーを維持することに関連する利益を達成することができる。

次に、図１１を参照して、データプライバシー管理システム２００のハードウェア構成について説明する。

図１１は、実施形態に係るデータプライバシー管理システム２００のハードウェア構成を示す。図１１に示すように、データプライバシー管理システム２００は、分析対象データのセット２０２を所有するデータ所有者２０４と、データプライバシー管理装置１２１０と、プライバシーフィルタ２１０と、改ざん防止ログ２１２と、アルゴリズム所有者サーバ１２３０とを含んでもよい。ある実施形態では、図１１に示すデータ所有者、分析対象データのセット２０２、プライバシーフィルタ２１０、改ざん防止ログ２１２、及び信頼できる実行環境２０６は、図２及び図３を参照して説明したものに実質的に対応してもよい。したがって、ここでは、これらの構成要素の説明を省略する。

データプライバシー管理装置１２１０は、データ所有者によって管理されるプライベートネットワーク１２２４のネットワーク境界内に配置されるエッジ装置であってもよい。ある実施形態では、データプライバシー管理装置１２１０は、分析対象データのセット２０２に対する分析の実行を容易にするために用いられる信頼できる実行環境２０６を含んでもよい。更に、データプライバシー管理装置１２１０は、本開示の態様を実行するように構成された複数の機能部を含んでもよい。

例えば、図１１に示すように、データプライバシー管理装置１２１０は、データ所有者２０４の元データのセットに対応する第１のセキュアコミットメントのセットを改ざん防止ログ２１２に登録する第１の登録部１２１２と、制御されたランダムな摂動を用いて元データのセットに含まれる秘密情報を摂動させることで、元データのセットの摂動コピーのセットを生成する摂動部１２１４と、元データのセット及び分析対象データのセットの摂動済みコピーのセットを含む分析対象データのセット２０２に対して分析を実行することで、分析出力を生成する分析部１２１６と、プライバシーフィルタ２１０を用いて分析出力を検証することで、許可出力結果のセットをアルゴリズム所有者サーバ１２３０に出力する出力部１２１８とを含んでもよい。

アルゴリズム所有者サーバ１２３０は、アルゴリズム所有者によって管理されるサーバ装置であってもよい。図１１に示すように、アルゴリズム所有者サーバ１２３０は、分析アルゴリズム（図７に示すアルゴリズム準備段階５２０を参照）を準備するように構成されたアルゴリズム管理部１２３２と、データ所有者の分析対象データのセットの分析の予測結果を示す予想分析結果ラベルのセットに対応する第２のセキュアコミットメントのセットと、分析に用いられる分析アルゴリズムを識別する第１のアルゴリズム署名とを改ざん防止ログ２１２に登録するように構成された第２の登録部１２３４とを含んでもよい。

図１１に示すように、ある実施形態では、データ所有者２０４及びデータプライバシー管理装置１２１０は、データ所有者によって管理されるプライベートネットワーク１２２４に接続されてもよい。改ざん防止ログ２１２及びアルゴリズム所有者サーバ１２３０は、インターネットのような公的ネットワーク１２２６に接続されてもよい。ある実施形態では、信頼できる実行環境２０６からの唯一の出口ルートは、プライバシーフィルタ２１０への入口ルートである。このように、信頼できる実行環境２０６において実行されるアルゴリズムは、プライバシーフィルタ２１０以外で情報を出力する手段や、プライバシーフィルタ２１０を迂回する手段が他にない。

ある実施形態では、図１１に示すデータプライバシー管理システム２００は、アルゴリズム所有者によって実行される分析の整合性を保証すると共に、データ所有者のデータプライバシーを維持することに関連する利点を提供することができる。

本発明は、システム、方法、及び／又はコンピュータプログラム製品とすることができる。コンピュータプログラム製品は、プロセッサに本発明の態様を実行させるためのコンピュータ可読プログラム命令を有するコンピュータ可読記憶媒体を含んでもよい。

コンピュータ可読記憶媒体は、命令実行装置によって用いられる命令を保持し記憶することができる有形装置であってもよい。コンピュータ可読記憶媒体は、例えば、電子記憶装置、磁気記憶装置、光記憶装置、電磁記憶装置、半導体記憶装置、または前述の任意の適切な組合せとすることができるが、これらに限定されない。コンピュータ可読記憶媒体のより具体的な例の非網羅的なリストは、以下を含む：ポータブルコンピュータディスケット、ハードディスク、ランダムアクセスメモリ（ＲＡＭ）、読取専用メモリ（ＲＯＭ）、消去可能プログラマブル読取専用メモリ（ＥＰＲＯＭ又はフラッシュメモリ）、スタティックランダムアクセスメモリ（ＳＲＡＭ）、ポータブルコンパクトディスク読取し専用メモリ（ＣＤ－ＲＯＭ）、デジタル汎用ディスク（ＤＶＤ）、メモリスティック、フロッピーディスク、パンチカードや溝内で指示が記録された隆起構造物等の機械的にエンコードされたデバイス及び前述の任意の適切な組み合わせ。
本明細書で用いられるコンピュータ可読記憶媒体は、電波又は他の自由に伝播する電磁波、導波管又は他の伝送媒体（例えば、光ファイバケーブルを通過する光パルス）を通って伝播する電磁波、或いはワイヤを通って伝送される電デジタル時的な信号自体であると解釈されるべきではない。

本発明の態様は、本発明の実施形態に係る方法、装置（システム）、及びコンピュータプログラム製品を示すフローチャート図および／又はブロック図を参照して本明細書で説明されている。フローチャート図及び／又はブロック図の各ブロック、並びにフローチャート図及び／又はブロック図のブロックの組合せは、コンピュータ可読プログラム命令によって実装できることを理解されたい。

これらのコンピュータ可読プログラム命令は、汎用コンピュータ、専用コンピュータ、又は他のプログラマブルデータ処理装置のプロセッサに提供されて、コンピュータ又は他のプログラマブルデータ処理装置のプロセッサを介して実行されることで、フローチャート及び／又はブロック図の１つまたは複数のブロックで指定される機能／動作を実装するための手段を実現する機械が提供される。これらのコンピュータ可読プログラム命令はコンピュータ、プログラマブルデータ処理装置、及び／又は他のデバイスに特定の方法で機能させるように指示することができるコンピュータ可読記憶媒体に格納されてもよく、その結果、命令が格納されたコンピュータ可読記憶媒体は、フローチャート及び／又はブロック図のブロック又は複数のブロックで指定された機能／動作の態様を実施する命令を含む製造品となる。

コンピュータ可読プログラム命令はまた、コンピュータ、他のプログラマブルデータ処理装置、又は他のデバイス上にロードされて、コンピュータ、他のプログラマブル装置、又は他のデバイス上で実行される命令がフローチャート及び／又はブロック図の１つまたは複数のブロックで指定された機能／動作を実施するように、一連の動作ステップをコンピュータ、他のプログラマブル装置、又は他のデバイス上で実行させて、コンピュータ実装プロセスを生成することができる。

例えば、ある実施形態では、本開示の態様は、コンピュータ可読プログラムが記憶されたコンピュータ可読記憶媒体を含むコンピュータプログラム製品に関し、当該コンピュータ可読プログラムは、コンピューティングデバイス上で実行されると、当該コンピューティングデバイスに以下のことを実行させる：元データのセットに対応する第１のセキュアコミットメントのセットを第１の改ざん防止ログに登録する工程と、制御されたランダムな摂動を用いて前記元データのセットに含まれる秘密情報を摂動させることで、前記元データの摂動済みコピーのセットを生成する工程と、前記元データのセット及び分析対象データの摂動済みコピーのセットを含む分析対象データのセットの分析の予測結果を示す予想分析結果ラベルのセットに対応する第２のセキュアコミットメントのセットと、分析に用いられる第１の分析アルゴリズムを識別する第１のアルゴリズム署名と、を第２の改ざん防止ログに登録する工程と、第２の分析アルゴリズムを用いて前記分析対象データのセットに対する分析を行うことで、分析結果ラベルのセットでラベル付けされ、且つ、前記第２の分析アルゴリズムの第２のアルゴリズム署名によって署名された分析結果のセットと、前記分析結果のセットに対応する第３のセキュアコミットメントのセットとを含む分析出力を生成する工程と、プライバシー制御基準のセットを達成しない情報を除去するプライバシーフィルタを用いて前記分析出力を検証することで、許可出力結果のセットを出力する工程。

本開示に係る実施形態は、クラウド・コンピューティング・インフラストラクチャを介してエンドユーザに提供されてもよい。クラウドコンピューティングとは、一般に、スケーラブルなコンピューティングリソースをネットワーク上のサービスとして提供することを意味する。より形式的には、クラウドコンピューティングは、コンピューティングリソースとその基盤となる技術的アーキテクチャ（例えば、サーバ、ストレージ、ネットワーク）との間の抽象化を提供するコンピューティング能力として定義されてもよく、迅速に展開及びリリースできる、構成可能なコンピューティングリソースの共有プールへの便利なオンデマンドネットワークアクセスを最小限の管理労力やサービスプロバイダの介入で可能にする。したがって、クラウドコンピューティングによれば、ユーザは、コンピューティングリソースを提供するために用いられる基盤となる物理システム（またはそれらのシステムの場所）に関係なく、「クラウド」内の仮想コンピューティングリソース（ストレージ、データ、アプリケーション、更には完全な仮想化コンピューティングシステム等）にアクセスできる。

図中のフローチャート及びブロック図は、本発明の様々な実施形態に係るシステム、方法、及びコンピュータプログラム製品の可能な実装のアーキテクチャ、機能、及び動作を示す。この点に関して、フローチャート又はブロック図の各ブロックは、指定された論理機能を実装するための１つまたは複数の実行可能命令を備える、モジュール、セグメント、又は命令の一部を表してもよい。一部の代替実装形態では、ブロックに記載されている機能は図に記載されている順序と異なる順序で実行されてもよい。例えば、連続して示される２つのブロックは、実際には実質的に同時に実行されてもよく、または関連する機能によっては、ブロックは逆の順序で実行されてもよい。また、ブロック図及び／又はフローチャート図の各ブロック、並びにブロック図及び／又はフローチャート図のブロックの組み合わせは、指定された機能又は動作を実行する、或いは特別な目的のハードウェアとコンピュータの命令の組み合わせを実行する特殊目的ハードウェアベースのシステムによって実施され得ることに留意されたい。

上記は、例示的な実施形態に向けられているが、本発明の他の／更なる実施形態は、本発明の基本的な範囲から逸脱することなく考案することができ、本発明の範囲は以下の特許請求の範囲によって規定される。本開示の様々な実施形態の説明は例示の目的で提示されてきたが、網羅的であることも、開示された実施形態に限定されることも意図されていない。記載された実施形態の範囲及び趣旨から逸脱することなく、多くの変更及び変形が当業者には明らかであろう。本明細書で使用される用語は実施形態の原理や、市場で見られる技術に対する実際の適用又は技術的改善を説明するため、或いは当業者が本明細書で開示される実施形態を容易に理解することができるために選択された。

本明細書で用いられる用語は、特定の実施形態を説明するためだけのものであり、様々な実施形態を限定することを意図したものではない。本明細書で使用されるように、単数形「ａ」、「ａｎ」、及び「ｔｈｅ」は、文脈が明らかに他のことを示さない限り、複数形も含むことが意図される。「セット」、「グループ」、「一部」などは１つ又は複数を含むことが意図される。本明細書で使用されるように、「含む」及び／又は「含んでもよい」との用語は、記載された特徴、整数、ステップ、動作、要素、及び／又はコンポーネントの存在を指定するが、１つまたは複数の他の特徴、整数、ステップ、動作、要素、コンポーネント、又はそれらの組み合わせの存在又は追加を排除しない。様々な実施形態の例示的な態様の前述の詳細な説明において、本明細書の一部であり、様々な態様を実施するための特定の例示的な実施形態を例として示す添付の図面（同一の符号は同様の要素を表す）
を参照した。これらの実施形態は、当業者が実施形態を実施することを可能にするのに十分詳細に説明されたが、他の実施形態を用いることも可能であり、様々な実施形態の範囲から逸脱することなく、論理的、機械的、電気的な変更等を行うことができる。上述の説明では、様々な実施形態を完全に理解するために、多くの具体的な詳細が記載された。しかし、これらの具体的な詳細なしで、様々な実施形態を実施することができる。また、他の箇所では、実施形態を曖昧にしないように、周知の回路、構造、及び技術は詳細に示されていない。

２００ データプライバシー管理システム
２０２ 分析対象データのセット
２０４ データ所有者
２０６ 信頼できる実行環境
２０８ アルゴリズム所有者
２１０ プライバシーフィルタ
２１２ 改ざん防止ログ
１２１０ データプライバシー管理装置
１２１２ 第１の登録部
１２１４ 摂動部
１２１６ 分析部
１２１８ 出力部
１２２４ プライベートネットワーク
１２２６ 公的ネットワーク
１２３０ アルゴリズム所有者サーバ
１２３２ アルゴリズム管理部
１２３４ 第２の登録部

Claims (10)

1. データプライバシー管理方法であって、
   元データのセットに対応する第１のセキュアコミットメントのセットを第１の改ざん防止ログに登録する工程と、
   制御されたランダムな摂動を用いて前記元データのセットに含まれる秘密情報を摂動させることで、前記元データの摂動済みコピーのセットを生成する工程と、
   前記元データのセット及び分析対象データの摂動済みコピーのセットを含む分析対象データのセットの分析の予測結果を示す予想分析結果ラベルのセットに対応する第２のセキュアコミットメントのセットと、分析に用いられる第１の分析アルゴリズムを識別する第１のアルゴリズム署名と、を第２の改ざん防止ログに登録する工程と、
   第２の分析アルゴリズムを用いて前記分析対象データのセットに対する分析を行うことで、分析結果ラベルのセットでラベル付けされ、且つ、前記第２の分析アルゴリズムの第２のアルゴリズム署名によって署名された分析結果のセットと、前記分析結果のセットに対応する第３のセキュアコミットメントのセットとを含む分析出力を生成する工程と、
   プライバシー制御基準のセットを達成しない情報を除去するプライバシーフィルタを用いて前記分析出力を検証することで、許可出力結果のセットを出力する工程と、
   を含むことを特徴とするデータプライバシー管理方法。
2. プライバシー制御基準のセットを達成しない情報を除去するプライバシーフィルタを用いて前記分析出力を検証することは、
   前記分析出力を結果リリース履歴に対して比較した後、前記結果リリース履歴と組み合わせてプライバシーリスクを生み出すプライベートデータのセットを前記分析出力の中から特定する工程と、
   前記分析出力から前記プライベートデータのセットを除去することで前記許可出力結果のセットを生成する工程と、
   を含むことを特徴とする請求項１に記載のデータプライバシー管理方法。
3. プライバシー制御基準のセットを達成しない情報を除去するプライバシーフィルタを用いて前記分析出力を検証することは、
   前記分析結果ラベルのセットを前記予想分析結果ラベルのセットに対応する前記第２のセキュアコミットメントのセットに対して比較した後、前記予想分析結果ラベルのセットに対する類似度閾値を達成しないプライベートデータのセットを前記分析出力の中から特定する工程と、
   前記分析出力から前記プライベートデータのセットを除去することで前記許可出力結果のセットを生成する工程と、
   を含むことを特徴とする請求項１に記載のデータプライバシー管理方法。
4. プライバシー制御基準のセットを達成しない情報を除去するプライバシーフィルタを用いて前記分析出力を検証することは、
   前記第２のセキュアコミットメントのセットを署名するために用いられた前記第２のアルゴリズム署名を前記第２の改ざん防止ログに登録した前記第１のアルゴリズム署名に比較した後、前記第２のアルゴリズム署名が前記第１のアルゴリズム署名に対応しないプライベートデータのセットを前記分析出力の中から特定する工程と、
   前記分析出力から前記プライベートデータのセットを除去することで前記許可出力結果のセットを生成する工程と、
   を含むことを特徴とする請求項１に記載のデータプライバシー管理方法。
5. プライバシー制御基準のセットを達成しない情報を除去するプライバシーフィルタを用いて前記分析出力を検証することは、
   前記分析対象データのセットの摂動済みコピーのセットを分析することで、秘密情報を含むプライベートデータのセットを前記分析出力の中から特定する工程と、
   前記分析出力から前記プライベートデータのセットを除去することで前記許可出力結果のセットを生成する工程と、
   を含むことを特徴とする請求項１に記載のデータプライバシー管理方法。
6. プライバシー制御基準のセットを達成しない情報を除去するプライバシーフィルタを用いて前記分析出力を検証することは、
   ユーザ定義のプライバシーポリシーに基づいて前記分析出力を分析することで、前記ユーザ定義のプライバシーポリシーを達成しないプライベートデータのセットを前記分析出力の中から特定する工程と、
   前記分析出力から前記プライベートデータのセットを除去することで前記許可出力結果のセットを生成する工程と、
   を含むことを特徴とする請求項１に記載のデータプライバシー管理方法。
7. 前記分析結果のセットに対応する第３のセキュアコミットメントのセットを第３の改ざん防止ログに登録する工程を更に含むことを特徴とする請求項１に記載のデータプライバシー管理方法。
8. 前記分析結果のセットに対応する前記第３のセキュアコミットメントのセットを前記元データのセットに対応する前記第１のセキュアコミットメントのセットに比較することで、前記分析対象データの分析の整合性を検証する工程を更に含むことを特徴とする請求項７に記載のデータプライバシー管理方法。
9. データプライバシー管理装置であって、
   元データのセットに対応する第１のセキュアコミットメントのセットを第１の改ざん防止ログに登録する第１の登録部と、
   制御されたランダムな摂動を用いて前記元データのセットに含まれる秘密情報を摂動させることで、前記元データの摂動済みコピーのセットを生成する摂動部と、
   前記元データのセット及び分析対象データの摂動済みコピーのセットを含む分析対象データのセットに対する分析を行うことで、分析結果ラベルのセットでラベル付けされ、且つ、前記分析対象データのセットを分析する第２の分析アルゴリズムの第２のアルゴリズム署名によって署名された分析結果のセットと、前記分析結果のセットに対応する第３のセキュアコミットメントのセットとを含む分析出力を生成する分析部と、
   プライバシー制御基準のセットを達成しない情報を除去するプライバシーフィルタを用いて前記分析出力を検証することで、許可出力結果のセットを出力する出力部と、
   を含むことを特徴とするデータプライバシー管理装置。
10. データプライバシー管理システムであって、
    データ所有者のデータプライバシーを管理するように構成されたデータプライバシー管理装置と、
    公的なコミットメントを分散型台帳に記録するように構成された改ざん防止ログと、
    前記データ所有者の分析対象データのセットを分析する分析アルゴリズムを管理するように構成されたアルゴリズム所有者サーバと、
    を含み、
    前記データプライバシー管理装置と、前記改ざん防止ログと、前記アルゴリズム所有者サーバとがコミュニケーションネットワークを介して接続されており、
    前記アルゴリズム所有者サーバは、
    前記データ所有者の前記分析対象データのセットの分析の予測結果を示す予想分析結果ラベルのセットに対応する第２のセキュアコミットメントのセットと、分析に用いられる第１の分析アルゴリズムを識別する第１のアルゴリズム署名と、を前記改ざん防止ログに登録する第２の登録部を含み、
    前記データプライバシー管理装置は、
    前記データ所有者の元データのセットに対応する第１のセキュアコミットメントのセットを前記改ざん防止ログに登録する第１の登録部と、
    制御されたランダムな摂動を用いて前記元データのセットに含まれる秘密情報を摂動させることで、前記元データの摂動済みコピーのセットを生成する摂動部と、
    前記元データのセット及び分析対象データの摂動済みコピーのセットを含む前記分析対象データのセットに対する分析を行うことで、分析結果ラベルのセットでラベル付けされ、且つ、前記分析を行い、前記データプライバシー管理装置が前記アルゴリズム所有者サーバから受信した第２の分析アルゴリズムの第２のアルゴリズム署名によって署名された分析結果のセットと、前記分析結果のセットに対応する第３のセキュアコミットメントのセットとを含む分析出力を生成する分析部と、
    プライバシー制御基準のセットを達成しない情報を除去するプライバシーフィルタを用いて前記分析出力を検証することで、許可出力結果のセットを前記アルゴリズム所有者サーバに出力する出力部と、
    を含むことを特徴とするデータプライバシー管理システム。

Images