JP5307499B2 - データ集計システム、撹乱装置、再構築装置、データ集計方法、撹乱プログラム、および再構築プログラム - Google Patents

Description

本発明は、データベースにおける個々のデータを秘匿しつつ、それらのデータの集計結果として、統計的手法による統計値のみを得る技術に関する。

企業等の各種組織が所有する顧客情報などの流通に対してセンシティブなデータは、学術研究、マーケティング分析、統計調査など様々な領域で価値のある情報となり得る。したがって、この種のデータの流通には十分なニーズがある。しかし、プライバシーや個人情報を保護する観点から、そのようなセンシティブなデータをそのまま流通させるべきではない。

そのような背景から、データを秘匿しつつ、流通させることを可能にする技術が提案されている。例えば、データベースにおける個々のデータを秘匿しつつ、統計的手法によりクロス集計結果のみを得る技術として、非特許文献１に開示されたプライバシー保護カウント演算がある。

非特許文献１に開示された処理は基本的に、個々のデータの秘匿性を高める処理（撹乱処理）と、撹乱されたデータ群から真の統計値の近似値を得る処理（再構築処理）からなる。

データを集計する側には撹乱処理後のデータが送られ、そこで元のデータを復元することなく統計値の近似値のみが算出される。これにより個々のデータの秘匿性を保ちつつ、その集計結果として有用な統計値を得ることができる。
高見澤 秀久，有次 正義、"プライバシーを保護するカウント演算の多値属性分類への適用"、ＤＥＷＳ２００７ Ａ２−３、電子情報通信学会

上述したような撹乱処理と再構築処理からなる集計処理では、一般的にデータ秘匿性の高さと統計値の精度の間にトレードオフが存在する。すなわち、データ数を固定としたとき、撹乱の度合いを高めるようとすると統計値の精度が低下し、逆に、統計値の精度を高めようとすると撹乱の度合いが低下する。そのため、撹乱処理と再構築処理を用いたデータ集計処理において統計値の精度の向上とデータ秘匿性の向上とを両立させる技術が求められている。

本発明の目的は、撹乱処理と再構築処理を用いたデータ集計処理において統計値の精度とデータ秘匿性とを両立させる技術を提供することである。

上記目的を達成するために、本発明のデータ集計システムは、
入力されたデータに対して、逆関数が定義可能な関数による変換処理を行い、前記変換処理によって得られた変換データに対して撹乱処理を行い、前記撹乱処理によって得られた撹乱データを送信する撹乱装置と、
前記撹乱装置から前記撹乱データを受信し、該撹乱データに対して再構築処理を行うことにより、前記変換データから統計的に得られる統計値を算出し、前記統計値に対して、前記変換処理に用いられた前記関数の逆関数による逆変換処理を行う再構築装置と、を有している。

また、前記撹乱装置による前記変換処理は、逆関数が定義可能な関数Ｒを用いて、入力データｒ_i＝（ａ_i1，・・・，ａ_in）を、変換データＲ（ｒ_i）＝（ｂ_i1，・・・，ｂ_in）に変換する処理であり、
前記再構築装置による前記逆変換処理は、前記関数Ｒの逆関数を用いて、前記変換データＲ（ｒ_i）＝（ｂ_i1，・・・，ｂ_in）から統計的に得られる統計値を、前記入力データｒ_i＝（ａ_i1，・・・，ａ_in）から統計的に得られる統計値に変換する処理であることにしてもよい。

本発明によれば、入力データに対して、撹乱処理だけでなく、変換処理を行うので、データの秘匿性が向上する。その一方で、変換処理および逆変換処理では統計値の精度は低下しないので、統計値の精度の低下は撹乱処理による分だけに抑えられる。したがって、本実施形態によれば、撹乱処理と再構築処理を用いたデータ集計処理において統計値の精度とデータ秘匿性とを両立させることができる。

本発明を実施するための形態について図面を参照して詳細に説明する。

図１は、本発明の実施形態によるデータ集計システムの構成を示すブロック図である。データ集計システムは、各主体１０のデータベース１２における個々のデータを秘匿しつつ、それらのデータの集計結果として、統計的手法による統計値のみを得るシステムであり、再構築装置１３と複数の撹乱装置１１とを有している。撹乱装置１１にはそれぞれにデータベース１２が備えられている。

例えば、企業等である主体１０が撹乱装置１１およびデータベース１２を備え、各企業のデータベース１２の個々のデータを秘匿しつつ、再構築装置１３によってクロス集計の結果を取得するというような構成および運用が想定される。

撹乱装置１１は、データベース１２のデータを入力とし、その入力データに対して、逆関数が定義可能な関数Ｒによる変換処理を行う。この変換処理は、関数Ｒを用いて、入力データｒ_i＝（ａ_i1，・・・，ａ_in）を、変換データＲ（ｒ_i）＝（ｂ_i1，・・・，ｂ_in）に変換する処理である。そして更に、撹乱装置１１は、その変換処理によって得られた変換データに対して撹乱処理を行い、得られた撹乱データを再構築装置１３に送信する。

再構築装置１３は、撹乱装置１１のそれぞれから撹乱データを受信し、撹乱データに対して再構築処理を行う。再構築処理は、変換データから統計的に得られであろう統計値を、撹乱データから算出する処理である。撹乱データには、統計値の精度を低下させるような撹乱処理が行われているので、その撹乱データから算出される統計値は、変換データから統計的に得られる統計値の近似値となる。

そして更に、再構築装置１３は、変換データから統計的に得られる統計値（近似値）に対して、変換処理に用いられた関数Ｒの逆関数による逆変換処理を行う。この逆変換処理は、関数Ｒの逆関数を用いて、変換データＲ（ｒ_i）＝（ｂ_i1，・・・，ｂ_in）から統計的に得られる統計値を、入力データｒ_i＝（ａ_i1，・・・，ａ_in）から統計的に得られる統計値に変換する処理である。これにより、変換データから統計的に得られる統計値の近似値が、入力データから統計的に得られる統計値の近似値に変換される。

以上、説明したように、本実施形態のデータ集計システムでは、撹乱装置１１は、入力データに対して、統計値の精度との間にトレードオフが存在する撹乱処理だけでなく、逆関数が定義可能な関数Ｒによる変換処理も行う。撹乱処理と関数Ｒによる変換処理とを組み合わせることによりデータの秘匿性が向上する。その一方で、関数Ｒによる変換と、関数Ｒの逆関数による逆変換とによっては統計値の精度は低下しないので、統計値の精度の低下は撹乱処理による分だけに抑えられる。したがって、本実施形態によれば、撹乱処理と再構築処理を用いたデータ集計処理において統計値の精度とデータ秘匿性とを両立させることができる。

以下、本実施形態の構成および動作をより具体的に説明する。

図２は、データベース１２の一例を示す図である。図２に示すように、この例では、データベース１２は複数のレコードｒ_iで構成されている。各レコードｒ_iには複数の属性Ａ_jについての属性値ａ_jkが含まれている。

図３は、撹乱装置１１の構成を示すブロック図である。図３を参照すると、撹乱装置１１は、入力部２１、変換部２２、撹乱部２３、および送信部２４を有している。

入力部２１は、データベース１２からのデータを入力する。変換部２２は、入力部２１によって入力されたデータに対して、上述の関数Ｒを用いた変換処理を行うことにより、変換データを生成する。撹乱部２３は、変換部２２によって生成された変換データに対して、上述の撹乱処理を行うことにより、撹乱データを生成する。送信部２４は、撹乱部２３によって生成された撹乱データを再構築装置１３に送信する。

図４は、再構築装置１３の構成を示すブロック図である。図４を参照すると、再構築装置１３は、受信部３１、再構築部３２、および逆変換部３３を有している。

受信部３１は、撹乱装置１１から撹乱データを受信する。再構築部３２は、受信部３１によって受信された撹乱データから、変換データから得られる統計値の近似値を算出する。逆変換部３３は、再構築部３２によって算出された、変換データから得られる統計値の近似値に対して上述の逆変換処理を行うことにより、入力データから得られる統計値の近似値を得る。

ここでは、全主体１０のデータベース１２のレコードをクロス集計の対象とし、属性Ａ₁，Ａ₂，・・・，Ａ_mを対象とするものとする。なおＡ_jの取り得る属性値は、

のｎ_j個であるとする。すなわち、意中のクロス集計結果は、全主体１０のデータベース１２のうち、

となるｒ’_iの個数Ｎ（ｒ’_i）を意味する。ただしｒ’_iはｒ_iの部分集合とし、１≦ｋ_l≦ｎ_lである。

本実施形態の撹乱装置１１の撹乱部２３による撹乱処理は、一例として、非特許文献１で提案されているものと同じ処理である。非特許文献１で提案されている手法は、再構築装置にｒ’_iを知られること無く、Ｎ（ｒ’_i）の近似値を計算するものである。例えば、ｒ_iに企業の機密情報や顧客のセンシティブな情報などが含まれており、ｒ_iを秘匿することによりプライバシー侵害や情報漏えいを防止しつつ、ｒ_iからマーケティングなどに有用となる統計値を得たいというときに有効である。

非特許文献１にて提案されている手法では、撹乱処理として、「維持確率」ρ_jを予め決めておく。そして、確率ρ_jでｒ_i内の属性値

を維持し、確率１−ρ_jで

を

の中からランダムに選択したものに変更する。

そして、このような規則で得られた属性値をｒ’_iの撹乱データとして再構築装置に送信する。その撹乱データは確率的にｒ’_iと異なるため、ｒ_iの秘匿性が高まる。

しかし、確率ρ_jが大きいほど再構築装置によって得られる統計値の近似値の精度が高いことが知られている。つまり、データの秘匿性と統計値の精度にはトレードオフの問題がある。

そこで、本実施形態では、上述した撹乱処理に加えて、関数Ｒによる変換処理とその逆変換処理を行うことにより、統計値の精度を維持したまま、データ秘匿性を高める。その結果、本実施形態によれば統計値の精度とデータ秘匿性を両立させることができる。

図５は、本実施形態による処理手順を示すフローチャートである。以下、図５を参照して、本実施形態における撹乱装置１１および再構築装置１３による処理の手順を説明する。

まず、撹乱装置１１による処理手順を示す。

撹乱装置１１の入力部２１は、レコードの部分集合

を変換部２２に入力する（ステップ１）。変換部２２は、事前に定められた確定的変換関数Ｒによってｒ’_iを変換することにより、

を得る（ステップ２）。そのＲ（ｒ’_i）は撹乱部２３に入力される。撹乱部２３による撹乱処理は特許文献１で提案されているのと同様の手法でよい。

撹乱部２３は、Ｒ（ｒ’_i）の各要素を維持確率ρ_jで撹乱することにより撹乱データを生成して（ステップ３）、送信部２４に送る。送信部２４は、その撹乱データを再構築装置１３に送信する（ステップ４）。

再構築装置１３による処理手順を示す。この処理は、クロス集計結果の近似値を求めるための処理である。

先ず、受信部３１は、各主体の撹乱装置１１からの撹乱データを受信し（ステップ５）、その受信データを再構築部３２に入力する。再構築部３２による再構築処理は非特許文献１で提案されているのと同様の手法でよい。再構築部３２は、撹乱データから、

の集計値を求め（ステップ６）、逆変換部３３に入力する。逆変換部３３は、関数Ｒの逆関数を用いて、その撹乱データの集計値を

の集計値に変換することにより、ｒ’_iに対するクロス集計の集計結果を求める（ステップ７）。

なお、上述した処理手順は、属性Ａ₁，Ａ₂，・・・，Ａ_mを対象としたクロス集計の集計結果を得るための手順である。さらに異なる属性の組み合わせに対するクロス集計の集計結果を得たい場合には、同様の手順を繰り返せばよい。

以上、説明した本実施形態における関数Ｒは、一例として置換関数である。ｒ’_iを０以上Π_nj未満の整数として一意に表現できるので、置換関数である［０，Π_nj）からそれ自身への適当な写像を関数Ｒとみなすことができる。より具体的な例として、関数Ｒは、ランダム置換関数や、ｘを（ａｘ＋ｂ）％Π_njに変換する関数であってもよい。なお、ａおよびｂは任意の整数であり、％は剰余を求める演算を表す。

また、本実施形態では、複数の主体のデータベースが同じ属性のレコードからなる例を示した。しかしながら、本発明は、この例にされるものではない。他の例として、データベースが単一であってもよい。また、各主体のデータベースが単一のレコードからなるものであってもよい。これは、各主体が企業ではなく消費者である場合などを想定した例である。また、複数の主体のデータベースのそれぞれが異なる属性のレコードからなるものであってもよい。

データベースが単一の場合は、上述した実施形態において、主体を単一にして考えるだけでよい。その場合の実施形態の構成や動作は上述の実施形態の説明から明らかである。

また各主体のデータベースが単一のレコードからなるものである場合は、上述の実施形態において、主体から送信されるレコードを単一にして考えればよい。ただし、異なる属性の組み合わせに対するクロス集計を行う場合、各主体に撹乱装置１１から再構築装置１３へ、予め想定されるいくつかの属性の組み合わせに対する撹乱データを送信するようにしてもよい。

また各主体のデータベースのレコードにおける属性が互いに異なり、両方の主体の属性によるクロス集計を行う場合、再構築装置１３は、複数の主体の撹乱装置１１から受信した撹乱データを結合して用いてもよい。例えば、主体１が所有する属性Ａ₁，Ａ₂のレコードと主体２が所有する属性Ａ₃，Ａ₄，Ａ₅のレコードを用いて、属性Ａ₁，Ａ₂，Ａ₃，Ａ₄，Ａ₅の５重クロス集計を実行する場合が想定される。主体１の撹乱装置１１が属性Ａ₁，Ａ₂に対して変換処理および撹乱処理を実行し、主体２の撹乱装置１１が属性Ａ₃，Ａ₄，Ａ₅に対して変換処理および撹乱処理を実行すればよい。再構築装置１３は、主体１の撹乱データと主体２の撹乱データを結合してから、再構築処理と逆変換処理を実行すればよい。

なお、上述した本実施形態の各装置は各部の処理手順を規定したソフトウェアプログラムをコンピュータに実行させることにより実現することもできる。

また、上述した本実施形態では、撹乱装置１１が再構築装置１３へ撹乱データを送信する例を示したが、本発明はこれに限定されるものではない。他の例として、撹乱装置１１で生成された撹乱データを記録媒体経由で再構築装置１３に移動あるいは複製してもよい。

本発明の実施形態によるデータ集計システムの構成を示すブロック図である。 データベース１２の一例を示す図である。 撹乱装置１１の構成を示すブロック図である。 再構築装置１３の構成を示すブロック図である。 本実施形態による処理手順を示すフローチャートである。

符号の説明

１０ 主体
１１ 撹乱装置
１２ データベース
１３ 再構築装置
２１ 入力部
２２ 変換部
２３ 撹乱部
２４ 送信部
３１ 受信部
３２ 再構築部
３３ 逆変換部

Claims (6)

1. 入力されたデータに対して、逆関数が定義可能な関数による変換処理を行い、前記変換処理によって得られた変換データに対して撹乱処理を行い、前記撹乱処理によって得られた撹乱データを送信する撹乱装置と、
   前記撹乱装置から前記撹乱データを受信し、該撹乱データに対して再構築処理を行うことにより、前記変換データから統計的に得られる統計値を算出し、前記統計値に対して、前記変換処理に用いられた前記関数の逆関数による逆変換処理を行う再構築装置と、を有するデータ集計システム。
2. 前記撹乱装置による前記変換処理は、逆関数が定義可能な関数Ｒを用いて、入力データｒ_i＝（ａ_i1，・・・，ａ_in）を、変換データＲ（ｒ_i）＝（ｂ_i1，・・・，ｂ_in）に変換する処理であり、
   前記再構築装置による前記逆変換処理は、前記関数Ｒの逆関数を用いて、前記変換データＲ（ｒ_i）＝（ｂ_i1，・・・，ｂ_in）から統計的に得られる統計値を、前記入力データｒ_i＝（ａ_i1，・・・，ａ_in）から統計的に得られる統計値に変換する処理である、
   請求項１に記載のデータ集計システム。
3. データに対して、逆関数が定義可能な関数による変換処理が行われ、前記変換処理によって得られた変換データに対して撹乱処理が行われて得られた撹乱データを入力とし、該撹乱データに対して再構築処理を行うことにより、前記変換データから統計的に得られる統計値を算出する再構築手段と、
   前記再構築手段によって得られた前記統計値に対して、前記変換処理に用いられた前記関数の逆関数による逆変換処理を行う逆変換手段と、を有する再構築装置。
4. 撹乱装置において、
   入力されたデータに対して、逆関数が定義可能な関数による変換処理を行い、
   前記変換処理によって得られた変換データに対して撹乱処理を行い、
   再構築装置において、
   前記撹乱処理によって得られた撹乱データを収集し、該撹乱データに対して再構築処理を行うことにより、前記変換データから統計的に得られる統計値を算出し、
   前記統計値に対して、前記変換処理に用いられた前記関数の逆関数による逆変換処理を行う、データ集計方法。
5. 前記変換処理は、逆関数が定義可能な関数Ｒを用いて、入力データｒ_i＝（ａ_i1，・・・，ａ_in）を、変換データＲ（ｒ_i）＝（ｂ_i1，・・・，ｂ_in）に変換する処理であり、
   前記逆変換処理は、前記関数Ｒの逆関数を用いて、前記変換データＲ（ｒ_i）＝（ｂ_i1，・・・，ｂ_in）から統計的に得られる統計値を、前記入力データｒ_i＝（ａ_i1，・・・，ａ_in）から統計的に得られる統計値に変換する処理である、
   請求項４に記載のデータ集計方法。
6. コンピュータを
   データに対して、逆関数が定義可能な関数による変換処理が行われ、前記変換処理によって得られた変換データに対して撹乱処理が行われて得られた撹乱データを入力とし、該撹乱データに対して再構築処理を行うことにより、前記変換データから統計的に得られる統計値を算出する再構築手段、
   前記再構築手段によって得られた前記統計値に対して、前記変換処理に用いられた前記関数の逆関数による逆変換処理を行う逆変換手段、
   として機能させるための再構築プログラム。

Images