JP5475608B2 - 撹乱システム、撹乱装置、撹乱方法及びプログラム - Google Patents

Description

本発明は、データの秘匿性を確保するための撹乱システム、撹乱装置、撹乱方法及びプログラムに関する。

近年、データベースに記憶されたデータに含まれる値を統計的手法によって秘匿しつつ、データに含まれる値の集計結果であるクロス集計等を推定する技術が考えられている（例えば、非特許文献１，２参照。）。ここでいうデータとは例えば、個人情報等を含むアンケート結果等のことであり、保護されるべきデータのことである。

なお、クロス集計とは、データを構成する複数の項目のうち、２つまたはそれ以上の項目に着目してデータの集計や統計分析を行うことである。クロス集計は通常、１つまたは２つ程度の項目を縦軸にとり、別の項目を横軸にとった表として表される。

非特許文献１，２に開示されている技術では、データに含まれる値を、予め決められた維持確率に基づいて項目毎に確率的に変化させる。なお、維持確率とは値を確率的に変化させた後においても、その値がそのままの値を維持する確率のことである。つまり、維持確率は、データに含まれる値を置換しない確率ということができる。以降、このように維持確率に基づき、データに含まれる値を確率的に変化させることを撹乱という。また、データに含まれる値のことをデータ値という。

この撹乱によってデータ値が秘匿され、例えばそのデータ値が置換された値を含む撹乱データが漏洩した場合でもデータを保護することができる。

五十嵐 大，千田 浩司，高橋 克巳,「多値属性に適用可能な効率的プライバシー保護クロス集計」，コンピュータセキュリティシンポジウム２００８（２００８年１０月８日〜１０日） 高見澤 秀久，有次 正義，「プライバシーを保護するカウント演算の多値属性分類への適用」， ＤＥＷＳ２００７， ２００７

ここで、上述した撹乱の強度が弱いと判断された場合、すなわち、撹乱を行ったが、データの秘匿性が所望のレベルに達していないと判断された場合、データの秘匿性を所望のレベルまで高めるために、撹乱をやり直す必要がある。

例えば、データの提供者が撹乱を行ったが、データの秘匿性が所望のレベルに達していないと判断された場合、データを管理するデータベース管理者が撹乱のやり直しをすることが考えられる。

しかし、この場合、データベース管理者がデータに含まれるデータ値を知らなければ、撹乱をやり直すことができないという問題点がある。

一方で、データベース管理者がデータに含まれるデータ値を知っている場合、撹乱をやり直すと、結果として、そのデータに対して相互に独立した複数の撹乱が行われることとなる。

ところが、データに対して相互に独立した複数の撹乱が行われた場合に得られる情報を用いれば、撹乱が１回だけ行われた場合に得られる情報を用いた場合に比べ、そのデータに含まれるデータ値の推定が容易になる。

つまり、撹乱をやり直すことによって逆に、データの秘匿性のレベルが低下してしまうという問題点がある。

本発明は、データに含まれるデータ値を用いることなく、そのデータの秘匿性を所望のレベルまで高めることを可能にする撹乱システム、撹乱装置、撹乱方法及びプログラムを提供することを目的とする。

上記目的を達成するために本発明の撹乱システムは、複数の項目から構成され、前記複数の項目のそれぞれに対応付けられた複数の値のうちのいずれかであるデータ値を含むデータの秘匿性を所望のレベルで確保するために、前記データ値を前記複数の値のうちのいずれかの値に確率的に置換する撹乱システムであって、
第１の確率と、前記所望のレベルを確保するための第２の確率とを設定するサーバと、
前記第１の確率に基づいて前記データ値を前記複数の値のうちのいずれかの値に置換した第１の撹乱データを生成するクライアントと、を有し、
前記サーバは、前記第１及び第２の確率を用いて第３の確率を算出し、該算出した第３の確率に基づいて前記第１の撹乱データに含まれる値を前記複数の値のいずれかの値に置換した第２の撹乱データを生成する。

また、上記目的を達成するために本発明の撹乱装置は、複数の項目から構成され、前記複数の項目のそれぞれに対応付けられた複数の値のうちのいずれかであるデータ値を含むデータの秘匿性を所望のレベルで確保するために、前記データ値を前記複数の値のうちのいずれかの値に確率的に置換する撹乱装置であって、
第１の確率と、前記所望のレベルを確保するための第２の確率とを設定する維持確率設定部と、
前記第１の確率に基づいて前記データ値を前記複数の値のうちのいずれかの値に置換した第１の撹乱データを生成する撹乱部と、を有し、
前記維持確率設定部は、前記第１及び第２の確率を用いて第３の確率を算出し、
前記撹乱部は、前記算出された第３の確率に基づいて前記第１の撹乱データに含まれる値を前記複数の値のいずれかの値に置換した第２の撹乱データを生成する。

また、上記目的を達成するために本発明の撹乱方法は、サーバとクライアントとを有し、複数の項目から構成され、前記複数の項目のそれぞれに対応付けられた複数の値のうちのいずれかであるデータ値を含むデータの秘匿性を所望のレベルで確保するために、前記データ値を前記複数の値のうちのいずれかの値に確率的に置換する撹乱システムにおける撹乱方法であって、
前記サーバが、第１の確率を設定する処理と、
前記クライアントが、前記第１の確率に基づいて前記データ値を前記複数の値のうちのいずれかの値に置換した第１の撹乱データを生成する処理と、
前記サーバが、前記所望のレベルを確保するための第２の確率を設定する処理と、
前記サーバが、前記第１及び第２の確率を用いて第３の確率を算出する算出処理と、
前記サーバが、前記算出した第３の確率に基づいて前記第１の撹乱データに含まれる値を前記複数の値のいずれかの値に置換した第２の撹乱データを生成する処理と、を有する。

また、上記目的を達成するために本発明の攪乱方法は、複数の項目から構成され、前記複数の項目のそれぞれに対応付けられた複数の値のうちのいずれかであるデータ値を含むデータの秘匿性を所望のレベルで確保するために、前記データ値を前記複数の値のうちのいずれかの値に確率的に置換する撹乱装置における撹乱方法であって、
前記攪乱装置の維持確率設定部が、第１の確率と、前記所望のレベルを確保するための第２の確率とを設定する処理と、
前記維持確率設定部が、前記第１及び第２の確率を用いて第３の確率を算出する算出処理と、
前記攪乱装置の攪乱部が、前記第１の確率に基づいて前記データ値を前記複数の値のうちのいずれかの値に置換した第１の撹乱データを生成する処理と、
前記攪乱部が、前記算出された第３の確率に基づいて前記第１の撹乱データに含まれる値を前記複数の値のいずれかの値に置換した第２の撹乱データを生成する処理と、を有する。

また、上記目的を達成するために本発明のプログラムは、複数の項目から構成され、前記複数の項目のそれぞれに対応付けられた複数の値のうちのいずれかであるデータ値を含むデータの秘匿性を所望のレベルで確保するために、前記データ値を前記複数の値のうちのいずれかの値に確率的に置換する撹乱装置に、
第１の確率と、前記所望のレベルを確保するための第２の確率とを設定する機能と、
前記第１及び第２の確率を用いて第３の確率を算出する算出機能と、
前記第１の確率に基づいて前記データ値を前記複数の値のうちのいずれかの値に置換した第１の撹乱データを生成する機能と、
前記算出された第３の確率に基づいて前記第１の撹乱データに含まれる値を前記複数の値のいずれかの値に置換した第２の撹乱データを生成する機能と、を実現させる。

本発明は以上説明したように構成されているので、データに含まれるデータ値を用いることなく、そのデータの秘匿性を所望のレベルまで高めることが可能となる。

本発明の撹乱システムの実施の一形態の構成を示すブロック図である。 図１に示した記憶部２１に記憶されたデータの一例を示す図であり、（ａ）は記憶されたデータの構成を説明するための図、（ｂ）は記憶されたデータの具体例を説明するための図である。 図１及び図２に示した撹乱システムの動作を説明するためのフローチャートである。 本発明の撹乱装置の実施の一形態の構成を示すブロック図である。 図４に示した撹乱装置の動作を説明するためのフローチャートである。

以下に、本発明の実施の形態について図面を参照して説明する。
（第１の実施形態）
図１は、本発明の撹乱システムの実施の一形態の構成を示すブロック図である。

本実施形態の撹乱システムは図１に示すように、サーバ１０と、クライアント２０−１〜２０−ｎとを備えている。

クライアント２０−１〜２０−ｎのそれぞれは、記憶部２１と、撹乱部２２とを備えている。

記憶部２１は、データを記憶している。

図２は、図１に示した記憶部２１に記憶されたデータの一例を示す図であり、（ａ）は記憶されたデータの構成を説明するための図、（ｂ）は記憶されたデータの具体例を説明するための図である。

図１に示した記憶部２１に記憶されたデータは図２（ａ）に示すように、複数の項目（項目１〜ｎ）から構成されている。また、複数の項目のそれぞれに対応付けられた複数の値のいずれかであるデータ値を含んでいる。

図２（ｂ）は、図２（ａ）に示したデータの具体例を示している。図２（ｂ）に示すデータは、個人に関するデータとなっており、図中最も左の列は、個人名を識別するＩＤ（Ｉｄｅｎｔｉｆｉｃａｔｉｏｎ）が示されている。そして、項目１が個人の性別、項目２が個人の年齢、項目３が個人の趣味となっている。

図２（ｂ）に示す例の場合、各項目に対応付けられた値としては、性別（項目１）では例えば、男性の場合「０」、女性の場合「１」となる。従って、性別（項目１）に対応付けられた値の数は「２」となる。また、年齢（項目２）では、その個人の年齢となる。ここでは、対象となる個人の年齢は３０歳〜３９歳までとする。従って、年齢（項目２）に対応付けられた値の数は「１０」となる。また、趣味（項目３）では、例えば、スポーツを「１」とし、釣りを「２」とし、旅行を「３」とし、読書を「４」とすると、趣味（項目３）に対応付けられた値の数は「４」となる。

このように、記憶部２１に記憶されたデータにおいては、各項目に対応付けられた値と、各項目に対応付けられた値の数とが予め決められている。以降、各項目ｉに対応付けられた値の数をＭｉと表記し、各項目ｉに対応付けられた値をＶｉ₀〜Ｖｉ_Mi-1と表記する。

再度、図１を参照すると、撹乱部２２は、データの各項目ｉに対応付けられた値Ｖｉ₀〜Ｖｉ_Mi-1を記憶している。撹乱部２２は、サーバ１０から送信され、記憶部２１に記憶されたデータに含まれるデータ値を置換しない確率であり、第１の確率である第１の維持確率ρ₁を示す維持確率情報を受信する。そして、受信した維持確率情報が示す第１の維持確率ρ₁に基づき、記憶部２１に記憶されたデータに含まれるデータ値を項目ｉ毎に置換する。このとき、撹乱部２２は、実数の値を有する乱数ｒ_i（０≦ｒ_i≦１）を項目ｉ毎に生成する。そして、受信した維持確率情報が示す第１の維持確率ρ₁と、生成した乱数ｒ_iとを項目ｉ毎に比較する。この比較の結果、乱数ｒ_iの値が第１の維持確率ρ₁よりも大きな場合（ｒ_i＞ρ₁）、撹乱部２２は、その項目ｉのデータ値を、その項目ｉに対応付けられた値Ｖｉ₀〜Ｖｉ_Mi-1のいずれかに置換する。一方、この比較の結果、乱数ｒ_iの値が第１の維持確率ρ₁以下である場合（ｒ_i≦ρ₁）、撹乱部２２は、その項目ｉのデータ値を置換しない。そして、撹乱部２２は、上述した比較の結果に応じて置換されたデータ値及び置換されなかったデータ値を含む第１の撹乱データを生成してサーバ１０へ送信する。なお、第１の維持確率の詳細については後述する。

サーバ１０は、維持確率設定部１１と、撹乱部１２と、送受信部１３とを備えている。

維持確率設定部１１は、第１の維持確率ρ₁を設定する。このとき、維持確率設定部１１は、例えば、『五十嵐大、千田浩司、高橋克巳.「ｋ-匿名性の確率的指標への拡張とその応用例」コンピュータセキュリティシンポジウム２００９，２００９』のＰｋ-匿名性に基づいて第１の維持確率ρ₁を設定する。

ここで、Ｐｋ−匿名性について説明する。

Ｐｋ−匿名性では、どのような攻撃者も（１／ｋ）以上の確率で、データと撹乱データとを対応付けられないことを保証する。ｋは、以下に示す式１で表される。

維持確率設定部１１は、上記の式１において例えば（ｋ＝２）を満足するρを第１の維持確率ρ₁として設定する。そして、維持確率設定部１１は、設定した第１の維持確率ρ₁を示す維持確率情報をクライアント２０−１〜２０−ｎのそれぞれへ送信するために送受信部１３へ出力する。また、維持確率設定部１１は、クライアント２０−１〜２０−ｎに記憶されたデータの秘匿性を所望のレベルで確保するための第２の維持確率ρ₂を設定する。このとき、維持確率設定部１１は、上記の式１において例えば（ｋ＝１００）を満足するρを第２の確率である第２の維持確率ρ₂として設定する。このように、第２の維持確率ρ₂におけるｋの値は、第１の維持確率ρ₁におけるｋの値よりも大きい。この場合、第２の維持確率ρ₂に基づいて置換されたデータ値を含むデータの秘匿性のレベルは、第１の維持確率ρ₁に基づいて置換されたデータ値を含むデータの秘匿性のレベルよりも高い。第１の維持確率ρ₁に基づいて置換されたデータ値を含むデータは、例えばデータを悪用したりする可能性が低いデータベース管理者が参照可能なデータとなることを想定している。一方、第２の維持確率ρ₂に基づいて置換されたデータ値を含むデータは、例えば不特定多数の者がアクセス可能であり、攻撃者からの攻撃を受けやすい公開データとなることを想定している。また、維持確率設定部１１は、第１の撹乱データの秘匿性のレベルを、第２の維持確率ρ₂に基づいてデータ値を置換した場合と同じレベルまで高めるための維持確率であり、第３の確率である中間維持確率ρ_mを算出する。そして、維持確率設定部１１は、算出した中間維持確率ρ_mを示す中間維持確率情報を撹乱部１２へ出力する。なお、中間維持確率ρ_mを算出する方法の詳細については後述するが、中間維持確率ρ_mは、第１の維持確率ρ₁及び第２の維持確率ρ₂を用いて算出される。

送受信部１３は、維持確率設定部１１から出力された維持確率情報を受け付け、受け付けた維持確率情報をクライアント２０−１〜２０−ｎへ送信する。また、送受信部１３は、クライアント２０−１〜２０−ｎのそれぞれから送信された第１の撹乱データを受信し、受信した第１の撹乱データを撹乱部１２へ出力する。

撹乱部１２は、データの各項目ｉに対応付けられた値Ｖｉ₀〜Ｖｉ_Mi-1を記憶している。撹乱部１２は、送受信部１３から出力された第１の撹乱データを受け付ける。また、撹乱部１２は、維持確率設定部１１から出力された中間維持確率情報を受け付ける。そして、撹乱部１２は、受け付けた中間維持確率情報が示す中間維持確率ρ_mに基づき、受け付けた第１の撹乱データに含まれる値を項目ｉ毎に置換する。このとき、撹乱部１２は、実数の値を有する乱数ｒ_i（０≦ｒ_i≦１）を項目ｉ毎に生成する。そして、中間維持確率ρ_mと、生成された乱数ｒ_iとを項目ｉ毎に比較する。この比較の結果、乱数ｒ_iの値が中間維持確率ρ_mよりも大きな場合（ｒ_i＞ρ_m）、撹乱部２２は、その項目ｉの値を、その項目ｉに対応付けられた値Ｖｉ₀〜Ｖｉ_Mi-1のいずれかに置換する。一方、この比較の結果、乱数ｒ_iの値が維持確率ρ_m以下である場合（ｒ_i≦ρ_m）、撹乱部１２は、その項目ｉの値を置換しない。これにより、クライアント２０−１〜２０−ｎのそれぞれに記憶されたデータに含まれるデータ値が、第２の維持確率ρ₂に基づいて置換されたことになる。そして、撹乱部１２は、上述した比較の結果に応じて置換された値及び置換されなかった値を含む第２の撹乱データを生成する。なお、第２の撹乱データは、例えば不特定多数の者がアクセス可能なデータベース等に送信される。このデータベースはサーバ１０が備えていてもよいし、外部の装置が備えていてもよい。

次に、維持確率設定部１１が中間維持確率ρ_mを算出する方法について説明する。

まず、維持確率をρとしてデータの撹乱を行った場合に、各項目ｉのデータ値がそのままの値である確率は、以下に示す式２で表される。

一方、維持確率をρとしてデータの撹乱を行った場合に、各項目ｉのデータ値が他の値に置換される確率は、以下に示す式３で表される。

また、維持確率をρとしてデータの撹乱を行った場合に、各項目ｉのデータ値がその項目ｉに対応付けられた値のうちのある特定の値に置換される確率は、以下に示す式４で表される。

ここで、第１の維持確率ρ₁に基づいてデータ値が置換（１回目の撹乱）された後、中間維持確率ρ_mに基づいて置換（２回目の撹乱）されたときに、あるデータ値がそのままの値であるのは、以下に示す２通りの場合である。
（１）２回の撹乱の両方においてデータ値が元の値のままである場合
（２）１回目の撹乱でデータ値が他の値に置換され、２回目の撹乱でその他の値から元の値に置換される場合
従って、第１の撹乱データの秘匿性のレベルを、第２の維持確率ρ₂に基づいてデータ値を置換した場合と同じレベルまで高めるためには、上記の式２〜４を用いると、以下に示す式５の関係が成立する必要がある。

上記の式５を中間維持確率ρ_mについて解くと、ρ_m＝ρ₂／ρ₁となる。

また、第１の維持確率ρ₁に基づいてデータ値が置換（１回目の撹乱）された後、中間維持確率ρ_mに基づいて置換（２回目の撹乱）されたときに、あるデータ値がある特定の値に置換されるのは、以下に示す３通りの場合である。
（１）１回目の撹乱でデータ値が元の値のままであり、２回目の撹乱でその特定の値に置換される場合
（２）１回目の撹乱でデータ値がその特定の値に置換され、２回目の撹乱でその特定の値のままである場合
（３）１回目の撹乱でデータ値がその特定の値以外の値に置換され、２回目の撹乱でその特定の値に置換される場合
従って、第１の撹乱データの秘匿性のレベルを、第２の維持確率ρ₂に基づいてデータ値を置換した場合と同じレベルまで高めるためには、上記の式２〜４を用いると、以下に示す式６の関係が成立する必要がある。

上記の式６を中間維持確率ρ_mについて解くと、やはり、ρ_m＝ρ₂／ρ₁となる。

従って、第２の維持確率ρ₂を第１の維持確率ρ₁で除算した値を中間維持確率ρ_mとすることにより、第１の撹乱データの秘匿性のレベルを、第２の維持確率ρ₂に基づいてデータ値を置換した場合と同じレベルまで高めることができる。

次に、上記のように構成された撹乱システムの動作について説明する。

図３は、図１及び図２に示した撹乱システムの動作を説明するためのフローチャートである。

まず、サーバ１０の維持確率設定部１１は、上記のＰｋ−匿名性等によって第１の維持確率ρ₁を設定する（ステップＳ１）。ここでは、維持確率設定部１１は、上記の式１において、（ｋ＝２）としたときのρを第１の維持確率ρ₁として設定することとする。

そして、維持確率設定部１１は、設定した第１の維持確率ρ₁を示す維持確率情報をクライアント２０−１〜２０−ｎへ送信する。

クライアント２０−１〜２０−ｎのそれぞれの撹乱部２２は、サーバ１０から送信された維持確率情報を受信する。

次に、撹乱部２２は、乱数ｒ_iを項目ｉ毎に生成する（ステップＳ２）。

そして、撹乱部２２は、受信した維持確率情報が示す第１の維持確率ρ₁と、生成された乱数とを項目ｉ毎に比較する（ステップＳ３）。

ステップＳ３における比較の結果、生成した乱数ｒ_iの値が、受信した維持確率情報が示す第１の維持確率ρ₁よりも大きな場合（ｒ_i＞ρ₁）、撹乱部２２は、記憶部２１に記憶されたデータに含まれるデータ値のうち、その項目ｉのデータ値を、その項目ｉに対応付けられた値Ｖｉ₀〜Ｖｉ_Mi-1のうちいずれかの値に置換する（ステップＳ４）。

一方、ステップＳ３における比較の結果、生成した乱数ｒ_iの値が、受信した維持確率情報が示す第１の維持確率ρ₁以下である場合には（ｒ_i≦ρ₁）、撹乱部２２は、記憶部２１に記憶されたデータに含まれるデータ値のうち、その項目ｉのデータ値を置換しない。

次に、撹乱部２２は、置換されたデータ値及び置換されなかったデータ値を含む第１の撹乱データを生成する（ステップＳ５）。

そして、撹乱部２２は、生成した第１の撹乱データをサーバ１０へ送信する。

サーバ１０の送受信部１３は、クライアント２０−１〜２０−ｎから送信された第１の撹乱データを受信する。

そして、送受信部１３は、受信した第１の撹乱データを撹乱部１２へ出力する。

送受信部１３から出力された第１の撹乱データを受け付けた撹乱部１２は、乱数ｒ_iを項目毎に生成する（ステップＳ６）。

また、維持確率設定部１１は、第２の維持確率を設定する（ステップＳ７）。ここでは、維持確率設定部１１は、上記の式１において、（ｋ＝１００）としたときのρを第２の維持確率ρ₂として設定することとする。

さらに、維持確率設定部１１は、第２の維持確率ρ₂を第１の維持確率ρ₁で除算することにより、中間維持確率ρ_mを算出する（ステップＳ８）。

そして、維持確率設定部１１は、算出した中間維持確率ρ_mを示す中間維持確率情報を撹乱部１２へ出力する。

維持確率設定部１１から出力された中間維持確率情報を受け付けた撹乱部１２は、受け付けた中間維持確率情報が示す中間維持確率ρ_mと、生成した乱数ｒ_iとを項目ｉ毎に比較する（ステップＳ９）。

ステップＳ９における比較の結果、生成された乱数ｒ_iの値が、受け付けた中間維持確率情報が示す中間維持確率ρ_mよりも大きな場合（ｒ_i＞ρ_m）、撹乱部１２は、受け付けた第１の撹乱データに含まれる値のうち、その項目ｉの値を、その項目ｉに対応付けられた値Ｖｉ₀〜Ｖｉ_Mi-1のうちのいずれかの値に置換する（ステップＳ１０）。

一方、ステップＳ９における比較の結果、生成された乱数ｒ_iの値が、受け付けた中間維持確率情報が示す中間維持確率ρ_m以下である場合には（ｒ_i≦ρ_m）、撹乱部１２は、受け付けた第１の撹乱データに含まれる値のうち、その項目ｉの値を置換しない。

これにより、クライアント２０−１〜２０−ｎのそれぞれに記憶されたデータに含まれるデータ値が、第２の維持確率ρ₂に基づいて置換されたことになる。

そして、撹乱部１２は、置換された値及び置換されなかった値を含む第２の撹乱データを生成する（ステップＳ１１）。

このように本実施形態において撹乱システムは、データ値を置換しない確率である第１の維持確率ρ₁と、データ値を置換しない確率であり、所望のレベルを確保するための第２の維持確率ρ₂とを設定するサーバ１０を有する。

また、撹乱システムは、第１の維持確率ρ₁に基づいてデータ値を、その項目ｉに対応付けられた複数の値のうちのいずれかの値に置換した第１の撹乱データを生成するクライアント２０−１〜２０−ｎを有する。

そして、サーバ１０は、第１の撹乱データに含まれる値を置換しない確率である中間維持確率ρ_mを第１の維持確率ρ₁と第２の維持確率ρ₂とを用いて算出し、算出した中間維持確率ρ_mに基づいて第１の撹乱データに含まれる値を、その項目ｉに対応付けられた複数の値のいずれかの値に置換した第２の撹乱データを生成する。

従って、データに含まれるデータ値を用いることなく、そのデータの秘匿性を所望のレベルまで高めることが可能となる。

なお、上述したように、中間維持確率ρ_mに基づく置換は、クライアント２０−１〜２０−ｎから送信された第１の撹乱データをサーバ１０が受信した後に行われる。これにより、第１の維持確率ρ₁に基づいて置換された第１の撹乱データの秘匿性のレベルを確認した上で、第２の維持確率ρ₂を決定することができるという効果も期待できる。

但し、第１の維持確率ρ₁を設定したときに、第２の維持確率ρ₂も設定して中間維持確率ρ_mを算出するようにしても、データに含まれるデータ値を用いることなく、そのデータの秘匿性を所望のレベルまで高めることが可能となるのはいうまでもない。
（第２の実施形態）
上述した第１の実施形態では、クライアント２０−１〜２０−ｎにおいて、データに含まれるデータ値を第１の維持確率ρ₁に基づいて置換して第１の撹乱データを生成した。そして、サーバ１０において、第１の撹乱データに含まれる値を中間維持確率ρ_mに基づいて置換した。

本実施形態では、第１の維持確率ρ₁に基づく置換と、中間維持確率ρ_mに基づく置換とを１つの装置である撹乱装置にて行う場合について説明する。

図４は、本発明の撹乱装置の実施の一形態の構成を示すブロック図である。

本実施形態の撹乱装置３０は図４に示すように、維持確率設定部３１と、撹乱部３２と、データ受信部３３を備えている。

データ受信部３３は、例えば複数のクライアント（不図示）のそれぞれから送信されたデータを受信する。なお、複数のクライアントのそれぞれから送信されるデータは例えば、図２（ｂ）に示したようなデータである。そして、データ受信部３３は、受信したデータを記憶する。

維持確率設定部３１は、上述した第１の実施形態における維持確率設定部１１と同様に、上記のＰｋ−匿名性等によって第１の維持確率ρ₁及び第２の維持確率ρ₂を設定する。また、維持確率設定部３１は、第２の維持確率ρ₂を第１の維持確率ρ₁で除算することによって中間維持確率ρ_mを算出する。そして、第１の維持確率ρ₁を示す維持確率情報と、中間維持確率ρ_mを示す中間維持確率情報とを撹乱部３２へ出力する。

撹乱部３２は、データの各項目ｉに対応付けられた値Ｖｉ₀〜Ｖｉ_Mi-1を記憶している。また、撹乱部３２は、維持確率設定部３１から出力された維持確率情報と中間維持確率情報とを受け付ける。そして、撹乱部３２は、受け付けた維持確率情報が示す第１の維持確率ρ₁に基づき、データ受信部３３に記憶されたデータに含まれるデータ値を項目ｉ毎に、その項目に対応付けられた値Ｖｉ₀〜Ｖｉ_Mi-1のいずれかに置換する。これにより、第１の撹乱データが生成される。このとき、撹乱部３２は、上述した撹乱部１２，２２と同様に、実数の値を有する乱数ｒ_i（０≦ｒ_i≦１）を用いる。さらに、撹乱部３２は、受け付けた中間維持確率情報が示す中間維持確率ρ_mに基づき、第１の撹乱データに含まれる値を項目ｉ毎に、その項目ｉに対応付けられた値Ｖｉ₀〜Ｖｉ_Mi-1のいずれかに置換する。これにより、第２の撹乱データが生成される。このときも、撹乱部３２は、上述した撹乱部１２，２２と同様に、実数の値を有する乱数ｒ_i（０≦ｒ_i≦１）を用いる。

なお、第２の撹乱データは、例えば不特定多数の者がアクセス可能な公開データベース等に送信される。

次に、上記のように構成された撹乱装置３０の動作について説明する。

図５は、図４に示した撹乱装置の動作を説明するためのフローチャートである。

まず、維持確率設定部３１は、上記のＰｋ−匿名性等によって第１の維持確率ρ₁及び第２の維持確率を設定する（ステップＳ２１）。ここでは、維持確率設定部３１は、上記の式１において、（ｋ＝２）としたときのρを第１の維持確率ρ₁として設定し、（ｋ＝１００）としたときのρを第２の維持確率ρ₂として設定することとする。

また、維持確率設定部３１は、第２の維持確率ρ₂を第１の維持確率ρ₁で除算することにより、中間維持確率ρ_mを算出する（ステップＳ２２）。

そして、維持確率設定部３１は、第１の維持確率ρ₁を示す維持確率情報と、中間維持確率ρ_mを示す中間維持確率情報とを撹乱部３２へ出力する。

撹乱部３２は、維持確率設定部３１から出力された維持確率情報と中間維持確率情報とを受け付ける。

次に、撹乱部３２は、乱数ｒ_iを項目ｉ毎に生成する（ステップＳ２３）。

そして、撹乱部３２は、受け付けた維持確率情報が示す第１の維持確率ρ₁と、生成された乱数とを項目ｉ毎に比較する（ステップＳ２４）。

ステップＳ２４における比較の結果、生成された乱数ｒ_iの値が、受け付けた維持確率情報が示す第１の維持確率ρ₁よりも大きな場合（ｒ_i＞ρ₁）、撹乱部３２は、データ受信部３３に記憶されたデータに含まれるデータ値のうち、その項目ｉのデータ値を、その項目ｉに対応付けられた値Ｖｉ₀〜Ｖｉ_Mi-1のうちのいずれかの値に置換する（ステップＳ２５）。

一方、ステップＳ２４における比較の結果、生成された乱数ｒ_iの値が、受け付けた維持確率情報が示す第１の維持確率ρ₁以下である場合には（ｒ_i≦ρ₁）、撹乱部３２は、データ受信部３３に記憶されたデータに含まれるデータ値のうち、その項目ｉのデータ値を置換しない。

次に、撹乱部３２は、置換されたデータ値及び置換されなかったデータ値を含む第１の撹乱データを生成する（ステップＳ２６）。

次に、撹乱部３２は、乱数ｒ_iを項目ｉ毎に生成する（ステップＳ２７）。

そして、撹乱部３２は、受け付けた中間維持確率情報が示す中間維持確率ρ_mと、生成した乱数ｒ_iとを項目ｉ毎に比較する（ステップＳ２８）。

ステップＳ２８における比較の結果、生成した乱数ｒ_iの値が、受け付けた中間維持確率情報が示す中間維持確率ρ_mよりも大きな場合（ｒ_i＞ρ_m）、撹乱部３２は、生成した第１の撹乱データに含まれる値のうち、その項目ｉの値を、その項目ｉに対応付けられた値Ｖｉ₀〜Ｖｉ_Mi-1のうちのいずれかの値に置換する（ステップＳ２９）。

一方、ステップＳ２８における比較の結果、生成した乱数ｒ_iの値が、受け付けた中間維持確率情報が示す中間維持確率ρ_m以下である場合には（ｒ_i≦ρ_m）、撹乱部３２は、受け付けた第１の撹乱データに含まれる値のうち、その項目ｉの値を置換しない。

これにより、データ受信部３３に記憶されたデータに含まれるデータ値が、第２の維持確率ρ₂に基づいて置換されたことになる。

そして、撹乱部３２は、置換されたデータ値及び置換されなかったデータ値を含む第２の撹乱データを生成する（ステップＳ３０）。

このように本実施形態において撹乱装置３０は、データ値を置換しない確率である第１の維持確率ρ₁と、データ値を置換しない確率であり、所望のレベルを確保するための第２の維持確率ρ₂とを設定する。

そして、撹乱装置３０は、第１の撹乱データに含まれる値を置換しない確率である中間維持確率ρ_mを第１の維持確率ρ₁と第２の維持確率ρ₂とを用いて算出する。

そして、撹乱装置３０は、第１の維持確率ρ₁に基づいてデータ値を、その項目ｉに対応付けられた複数の値のうちのいずれかの値に置換した第１の撹乱データを生成する。

さらに、撹乱装置３０は、中間維持確率ρ_mに基づいて第１の撹乱データに含まれる値を、その項目ｉに対応付けられた複数の値のいずれかの値に置換した第２の撹乱データを生成する。

従って、データに含まれるデータ値を用いることなく、そのデータの秘匿性を所望のレベルまで高めることが可能となる。

なお、上述した第１の実施形態では、サーバ１０における中間維持確率ρ_mに基づいた置換をデータベース管理者の指示によって行う場合、そのデータベース管理者が悪意を持って中間維持確率ρ_mに基づいた置換を実施しないという不正を行うことも考えられる。この場合、第１の維持確率ρ₁に基づいた置換しか行われていないデータが不特定多数の者に公開されてしまう。つまり、秘匿性が所望のレベルまで達していないデータが公開されてしまうおそれがある。

一方、本実施形態においては、第１の維持確率ρ₁及び中間維持確率ρ_mに基づいた置換が１つの装置にて行われるため、データベース管理者が上述したような不正を行うのを回避することができる。

また、上述した第１及び第２の実施形態では、撹乱を２回行うことによってデータの秘匿性を所望のレベルまで高める場合について説明したが、撹乱を３回以上行うことによってデータの秘匿性を所望のレベルまで高めることも可能である。

例えば、上述した第１及び第２の実施形態においてさらにデータの秘匿性のレベルを高めたい場合を考えてみる。そのレベルを確保するための維持確率を第３の維持確率ρ₃とすると、第３の維持確率ρ₃を第２の維持確率ρ₂で除算した値（ρ₃／ρ₂）を中間維持確率とし、その中間維持確率（ρ₃／ρ₂）に基づいて第２の撹乱データに含まれる値を置換すればよい。これにより、第３の維持確率ρ₃に基づいてデータ値を置換したときと同じレベルの秘匿性を得ることができる。

また、第１の維持確率ρ₁はデータ値を置換しない確率であるため、（１−ρ₁）はデータ値を置換する確率となる。つまり、第１の維持確率ρ₁が設定されると、それとともに、データ値を置換する確率（１−ρ₁）の値も決定することになる。このとき、データ値は、第１の維持確率ρ₁に基づいて置換されても、確率（１−ρ₁）に基づいて置換されても、同じレベルの秘匿性を確保することができる。従って、第１の維持確率ρ₁の代わりに、確率（１−ρ₁）を第１の確率として、データ値を置換してもよいこととなる。これは、第２の維持確率ρ₂及び中間維持確率ρ_mについても同様である。

また、本発明においては、サーバ、クライアント及び撹乱装置内の処理は上述の専用のハードウェアにより実現されるもの以外に、その機能を実現するためのプログラムをサーバ、クライアント及び撹乱装置にて読取可能な記録媒体に記録し、この記録媒体に記録されたプログラムをサーバ、クライアント及び撹乱装置に読み込ませ、実行するものであっても良い。サーバ、クライアント及び撹乱装置にて読取可能な記録媒体とは、フレキシブルディスク、光磁気ディスク、ＤＶＤ、ＣＤなどの移設可能な記録媒体の他、サーバ、クライアント及び撹乱装置に内蔵されたＨＤＤなどを指す。

１０ サーバ
１１，３１ 維持確率設定部
１２，２２，３２ 撹乱部
１３ 送受信部
２０−１〜２０−ｎ クライアント
２１ 記憶部
３０ 撹乱装置
３３ データ受信部

Claims (9)

1. 複数の項目から構成され、前記複数の項目のそれぞれに対応付けられた複数の値のうちのいずれかであるデータ値を含むデータの秘匿性を所望のレベルで確保するために、前記データ値を前記複数の値のうちのいずれかの値に確率的に置換する撹乱システムであって、
   第１の確率と、前記所望のレベルを確保するための第２の確率とを設定するサーバと、
   前記第１の確率に基づいて前記データ値を前記複数の値のうちのいずれかの値に置換した第１の撹乱データを生成するクライアントと、を有し、
   前記サーバは、前記第１及び第２の確率を用いて第３の確率を算出し、該算出した第３の確率に基づいて前記第１の撹乱データに含まれる値を前記複数の値のいずれかの値に置換した第２の撹乱データを生成する撹乱システム。
2. 請求項１に記載の撹乱システムにおいて、
   前記第１及び第２の確率は、前記データ値を置換しない確率であり、
   前記サーバは、前記第２の確率を前記第１の確率で除算した値を前記第３の確率とする撹乱システム。
3. 複数の項目から構成され、前記複数の項目のそれぞれに対応付けられた複数の値のうちのいずれかであるデータ値を含むデータの秘匿性を所望のレベルで確保するために、前記データ値を前記複数の値のうちのいずれかの値に確率的に置換する撹乱装置であって、
   第１の確率と、前記所望のレベルを確保するための第２の確率とを設定する維持確率設定部と、
   前記第１の確率に基づいて前記データ値を前記複数の値のうちのいずれかの値に置換した第１の撹乱データを生成する撹乱部と、を有し、
   前記維持確率設定部は、前記第１及び第２の確率を用いて第３の確率を算出し、
   前記撹乱部は、前記算出された第３の確率に基づいて前記第１の撹乱データに含まれる値を前記複数の値のいずれかの値に置換した第２の撹乱データを生成する撹乱装置。
4. 請求項３に記載の撹乱装置において、
   前記第１及び第２の確率は、前記データ値を置換しない確率であり、
   前記維持確率設定部は、前記第２の確率を前記第１の確率で除算した値を前記第３の確率とする撹乱装置。
5. サーバとクライアントとを有し、複数の項目から構成され、前記複数の項目のそれぞれに対応付けられた複数の値のうちのいずれかであるデータ値を含むデータの秘匿性を所望のレベルで確保するために、前記データ値を前記複数の値のうちのいずれかの値に確率的に置換する撹乱システムにおける撹乱方法であって、
   前記サーバが、第１の確率を設定する処理と、
   前記クライアントが、前記第１の確率に基づいて前記データ値を前記複数の値のうちのいずれかの値に置換した第１の撹乱データを生成する処理と、
   前記サーバが、前記所望のレベルを確保するための第２の確率を設定する処理と、
   前記サーバが、前記第１及び第２の確率を用いて第３の確率を算出する算出処理と、
   前記サーバが、前記算出した第３の確率に基づいて前記第１の撹乱データに含まれる値を前記複数の値のいずれかの値に置換した第２の撹乱データを生成する処理と、を有する撹乱方法。
6. 請求項５に記載の撹乱方法において、
   前記第１及び第２の確率は、前記データ値を置換しない確率であり、
   前記算出処理は、前記サーバが、前記第２の確率を前記第１の確率で除算した値を前記第３の確率とする処理である撹乱方法。
7. 複数の項目から構成され、前記複数の項目のそれぞれに対応付けられた複数の値のうちのいずれかであるデータ値を含むデータの秘匿性を所望のレベルで確保するために、前記データ値を前記複数の値のうちのいずれかの値に確率的に置換する撹乱装置における撹乱方法であって、
   前記攪乱装置の維持確率設定部が、第１の確率と、前記所望のレベルを確保するための第２の確率とを設定する処理と、
   前記維持確率設定部が、前記第１及び第２の確率を用いて第３の確率を算出する算出処理と、
   前記攪乱装置の攪乱部が、前記第１の確率に基づいて前記データ値を前記複数の値のうちのいずれかの値に置換した第１の撹乱データを生成する処理と、
   前記攪乱部が、前記算出された第３の確率に基づいて前記第１の撹乱データに含まれる値を前記複数の値のいずれかの値に置換した第２の撹乱データを生成する処理と、を有する撹乱方法。
8. 請求項７に記載の撹乱方法において、
   前記第１及び第２の確率は、前記データ値を置換しない確率であり、
   前記算出処理において、前記維持確率設定部は、前記第２の確率を前記第１の確率で除算した値を前記第３の確率とする、撹乱方法。
9. 複数の項目から構成され、前記複数の項目のそれぞれに対応付けられた複数の値のうちのいずれかであるデータ値を含むデータの秘匿性を所望のレベルで確保するために、前記データ値を前記複数の値のうちのいずれかの値に確率的に置換するコンピュータを、請求項３または請求項４に記載の撹乱装置として機能させるためのプログラム。

Images