JP6501989B2 - 秘匿化装置、データ分析装置、秘匿化方法、データ分析方法、秘匿化プログラム及びデータ分析プログラム - Google Patents

秘匿化装置、データ分析装置、秘匿化方法、データ分析方法、秘匿化プログラム及びデータ分析プログラム Download PDF

Info

Publication number
JP6501989B2
JP6501989B2 JP2018557260A JP2018557260A JP6501989B2 JP 6501989 B2 JP6501989 B2 JP 6501989B2 JP 2018557260 A JP2018557260 A JP 2018557260A JP 2018557260 A JP2018557260 A JP 2018557260A JP 6501989 B2 JP6501989 B2 JP 6501989B2
Authority
JP
Japan
Prior art keywords
data
seed
unit
random number
concealed
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Active
Application number
JP2018557260A
Other languages
English (en)
Other versions
JPWO2018116366A1 (ja
Inventor
貴人 平野
貴人 平野
りな 清水
りな 清水
充洋 服部
充洋 服部
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Mitsubishi Electric Corp
Original Assignee
Mitsubishi Electric Corp
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Mitsubishi Electric Corp filed Critical Mitsubishi Electric Corp
Application granted granted Critical
Publication of JP6501989B2 publication Critical patent/JP6501989B2/ja
Publication of JPWO2018116366A1 publication Critical patent/JPWO2018116366A1/ja
Active legal-status Critical Current
Anticipated expiration legal-status Critical

Links

Images

Classifications

    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/10—Protecting distributed programs or content, e.g. vending or licensing of copyrighted material ; Digital rights management [DRM]
    • G06F21/12—Protecting executable software
    • G06F21/14—Protecting executable software against software analysis or reverse engineering, e.g. by obfuscation
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/60—Protecting data
    • G06F21/606—Protecting data by securing the transmission between two devices or processes
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/60—Protecting data
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/60—Protecting data
    • G06F21/62—Protecting access to data via a platform, e.g. using keys or access control rules
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/60—Protecting data
    • G06F21/62—Protecting access to data via a platform, e.g. using keys or access control rules
    • G06F21/6218—Protecting access to data via a platform, e.g. using keys or access control rules to a system of files or objects, e.g. local or distributed file system or database
    • G06F21/6245—Protecting personal data, e.g. for financial or medical purposes
    • G06F21/6254—Protecting personal data, e.g. for financial or medical purposes by anonymising data, e.g. decorrelating personal data from the owner's identification
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/70—Protecting specific internal or peripheral components, in which the protection of a component leads to protection of the entire computer
    • G06F21/81—Protecting specific internal or peripheral components, in which the protection of a component leads to protection of the entire computer by operating on the power supply, e.g. enabling or disabling power-on, sleep or resume operations
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/04—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks
    • H04L63/0428—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks wherein the data content is protected, e.g. by encrypting or encapsulating the payload
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/08—Key distribution or management, e.g. generation, sharing or updating, of cryptographic keys or passwords
    • H04L9/0861—Generation of secret information including derivation or calculation of cryptographic keys or passwords
    • H04L9/0869—Generation of secret information including derivation or calculation of cryptographic keys or passwords involving random numbers or seeds
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F7/00—Methods or arrangements for processing data by operating upon the order or content of the data handled
    • G06F7/58—Random or pseudo-random number generators
    • G06F7/588—Random number generators, i.e. based on natural stochastic processes
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L2209/00—Additional information or applications relating to cryptographic mechanisms or cryptographic arrangements for secret or secure communication H04L9/00
    • H04L2209/08—Randomization, e.g. dummy operations or using noise
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L2209/00—Additional information or applications relating to cryptographic mechanisms or cryptographic arrangements for secret or secure communication H04L9/00
    • H04L2209/16—Obfuscation or hiding, e.g. involving white box
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L2209/00—Additional information or applications relating to cryptographic mechanisms or cryptographic arrangements for secret or secure communication H04L9/00
    • H04L2209/42—Anonymization, e.g. involving pseudonyms

Landscapes

  • Engineering & Computer Science (AREA)
  • Theoretical Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Hardware Design (AREA)
  • General Engineering & Computer Science (AREA)
  • Software Systems (AREA)
  • General Physics & Mathematics (AREA)
  • Physics & Mathematics (AREA)
  • Health & Medical Sciences (AREA)
  • Bioethics (AREA)
  • General Health & Medical Sciences (AREA)
  • Signal Processing (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Computing Systems (AREA)
  • Medical Informatics (AREA)
  • Technology Law (AREA)
  • Databases & Information Systems (AREA)
  • Multimedia (AREA)
  • Information Retrieval, Db Structures And Fs Structures Therefor (AREA)
  • Management, Administration, Business Operations System, And Electronic Commerce (AREA)
  • Storage Device Security (AREA)
  • Remote Monitoring And Control Of Power-Distribution Networks (AREA)

Description

本発明は、データの秘匿化に関する。
近年、プライバシー情報を利活用するビジネスが増大している。例えば、高齢者の見守りサービス等のビジネスにプライバシー情報が利活用されている。近年ＨＥＭＳ（Ｈｏｍｅ Ｅｎｅｒｇｙ Ｍａｎａｇｅｍｅｎｔ Ｓｙｓｔｅｍ）は一般家庭への普及が進んでおり、ＨＥＭＳで用いられるスマートメーターで収集される電力使用量データを分析することで個人の行動を推測することができる。つまり、電力使用量データというプライバシー情報を分析して高齢者の行動を推測することで、高齢者の見守りサービスを実現することができる。
しかし、個人の行動を必要以上に推測することはプライバシー侵害の危険性がある。例えば、見守りサービスを行うために電力使用量データを分析すると、特定の家電製品を使用している時間帯がわかるため、特定の時間帯で見守り対象者が当該家電製品に関連する行動をしていることがわかる。また、長期間にわたって電力使用量データを分析すると、個人の行動パターンが推測される。更には、データ分析技術が進むにつれて、究極的には個人の趣味又は嗜好なども露わになってしまう可能性もある。
このようなプライバシー情報の必要以上な漏洩を回避する技術として、データに乱数を加える技術がよく知られている（例えば、非特許文献１、非特許文献２）。
例えば、元データにガウス分布などから生成された乱数を単純に加えることで、元データと異なるデータへ変換してプライバシーを保護する方法がある。このように元データに乱数を単純に加えてプライバシーを保護する技術は、近年提案された「差分プライバシー」と呼ばれる、プライバシーレベルを定量的に評価できるフレームワークと密接な関係があることが知られている。このため、乱数を元データに追加する手法が再び脚光を浴びている。
差分プライバシーを満たすプライバシー保護技術によれば、データベース中の個人データに関してどのような背景知識があっても統計値から個々の値を推測することが困難である。また、差分プライバシーを満たすプライバシー保護技術によれば、データベース全体に対する統計的分析が可能である。
特開２０１６−０１２０７４号公報 特開２０１４−００３６０２号公報 特開２０１０−０９３４２４号公報 特開２０１４−１０９９２８号公報 特開２０１２−１５９９３２号公報
Ｎ．Ｒ．Ａｄａｍ ａｎｄ Ｊ．Ｃ．Ｗｏｒｔｍａｎ．"Ｓｅｃｕｒｉｔｙ ｃｏｎｔｒｏｌ ｍｅｔｈｏｄｓ ｆｏｒ ｓｔａｔｉｓｔｉｃａｌ ｄａｔａｂａｓｅｓ"．ＡＣＭ ＣｏｍｐｕｔｅｒＳｕｒｖｅｙｓ １９８９． Ｘ．Ｘｉａｏ，Ｙ．Ｔａｏ，ａｎｄ Ｍ．Ｃｈｅｎ．"Ｏｐｔｉｍａｌ ｒａｎｄｏｍ ｐｅｒｔｕｒｂａｔｉｏｎ ａｔ ｍｕｌｔｉｐｌｅ ｐｒｉｖａｃｙ ｌｅｖｅｌｓ"．ＶＬＤＢ ２００９． Ｃ．Ｄｗｏｒｋ．"Ｄｉｆｆｅｒｅｎｔｉａｌ ｐｒｉｖａｃｙ"．ＩＣＡＬＰ ２００６．
特許文献１〜５に開示される技術及び非特許文献１〜３に開示される技術は、それぞれ、差分プライバシー技術、暗号化技術、秘密分散技術のいずれかをベースとしたプライバシー保護技術である。
しかしながら、特許文献１〜５に開示される技術及び非特許文献１〜３に開示される技術では、秘匿化された秘匿化データの精度を段階的に上げていくことができないという課題がある。
つまり、特許文献１〜５に開示される技術及び非特許文献１〜３に開示される技術では、秘匿化データを段階的に秘匿化前のデータに近づけることができないため、精度のよい分析ができないという課題がある。
このため、特許文献１〜５に開示される技術及び非特許文献１〜３に開示される技術を上記のような見守りサービスに適用した場合には、精度のよい分析ができないため、家電製品の使用状況を正確に把握することができず、適切な見守りができない。
本発明は、上記のような課題を解決することを主な目的としている。つまり、本発明は、秘匿化データを段階的に秘匿化前のデータに近づけることが可能な構成を得ることを主な目的とする。
本発明に係る秘匿化装置は、
複数のシードから複数の乱数を生成する乱数生成部と、
前記乱数生成部により生成された前記複数の乱数を用いて、秘匿化の対象となる秘匿化対象データを秘匿化する秘匿化部と、
前記秘匿化部により秘匿化された前記秘匿化対象データである秘匿化データをデータ分析装置に送信し、前記複数のシードのうちのいずれかのシードを前記データ分析装置に送信する送信部とを有する。
本発明では、秘匿化に用いられた乱数の生成に用いられたシードをデータ分析装置に送信する。このため、本発明によれば、データ分析装置において、送信されたシードを用いて乱数を復元し、復元した乱数を用いて秘匿化データを段階的に秘匿化前のデータに近づけることができる。
実施の形態１に係るプライバシー保護システムの構成例を示す図。 実施の形態１に係るプライバシー保護システムでのデータフロー例を示す図。 実施の形態１に係るデータ生成装置の構成例を示す図。 実施の形態１に係るデータ集積装置の構成例を示す図。 実施の形態１に係るデータ攪乱装置の構成例を示す図。 実施の形態１に係るデータ分析装置の構成例を示す図。 実施の形態１に係るデータ保管処理を示すフローチャート。 実施の形態１に係る保管データ開示処理を示すフローチャート。 実施の形態１に係るデータ攪乱処理を示すフローチャート。 実施の形態１に係るシード開示処理におけるデータ分析装置の動作例を示すフローチャート。 実施の形態１に係るシード開示処理におけるデータ生成装置の動作例を示すフローチャート。 実施の形態１に係るシード開示処理におけるデータ攪乱装置の動作例を示すフローチャート。 実施の形態１に係るデータ分析処理の動作例を示すフローチャート。 実施の形態１に係るシード変更処理を示すフローチャート。 実施の形態１に係るデータ集積装置に保管されるデータの例を表す図。
以下、本発明の実施の形態について、図を用いて説明する。以下の実施の形態の説明及び図面において、同一の符号を付したものは、同一の部分または相当する部分を示す。
実施の形態１．
本実施の形態では、電力使用量データから家電製品の稼働履歴や個人の行動を分析することで見守りを行うサービスに適用可能なプライバシー保護システムを説明する。
本実施の形態に係るプライバシー保護システムでは、分析対象のデータの劣化は抑えつつ（もしくは、劣化を段階的に制御しつつ）、必要以上に（言い換えると、見守りに必要としない）個人の行動が露わにならないような制御を行うことができる。
また、プライバシー侵害の考え方は人それぞれで異なるため、本実施の形態に係るプライバシー保護システムでは、ユーザーが保護したいプライバシー情報を柔軟に指定することができる。
＊＊＊構成の説明＊＊＊
図１は、本実施の形態に係るプライバシー保護システム１００の構成例を示す。
図１に示すように、プライバシー保護システム１００は、データ生成装置２００とデータ集積装置３００とデータ攪乱装置４００とデータ分析装置５００とを備える。
プライバシー保護システム１００は複数のデータ生成装置２００を備えていてもよい。また、プライバシー保護システム１００は複数のデータ集積装置３００を備えていてもよい。更に、プライバシー保護システム１００は複数のデータ攪乱装置４００を備えていてもよい。また、プライバシー保護システム１００は複数のデータ分析装置５００を備えていてもよい。
インターネット１０１は、データ生成装置２００とデータ集積装置３００とデータ攪乱装置４００とデータ分析装置５００とを接続する。
インターネット１０１は、ネットワークの例である。インターネット１０１の代わりに、他の種類のネットワークが用いられてもよい。例えば、データ生成装置２００とデータ集積装置３００とデータ攪乱装置４００とデータ分析装置５００は、ＬＡＮ（Ｌｏｃａｌ Ａｒｅａ Ｎｅｔｗｏｒｋ）で接続されていてもよい。
データ生成装置２００は、データ分析装置５００で分析されるデータを生成する。そして、データ生成装置２００は、生成したデータをデータ集積装置３００に送信する。データ生成装置２００は、例えば、家電機器の消費電力量データを集計して得られる電力使用量データを生成する。この場合は、データ生成装置２００は、例えばスマートメーターである。なお、データ生成装置２００がスマートメーターである場合は、データ生成装置２００は、図１に不図示の家電機器から消費電力量データを収集することができる。本実施の形態では、消費電力量データとは、図１に不図示のある１つの家電機器が消費した電力量を示す。また、電力使用量データとは、図１に不図示のすべての家電機器の消費電力量の集計値を示す。
以下では、データ生成装置２００は、図１に不図示のすべての家電機器の消費電力量の集約値である電力使用量データと、その電力使用量が生成された時刻が含まれる機器データ（Ｄ）を生成するものとする。
なお、上記の電力使用量データが秘匿化対象データに相当する。また、データ攪乱装置４００により秘匿化された後の電力使用量データが秘匿化データに相当する。
データ生成装置２００は、機器データ（Ｄ）と関連する基本情報をデータ集積装置３００へ送信する。具体的には、基本情報には、電力使用量データの生成の元になる家電機器の種類（例えば、テレビや電子レンジなど）及びその家電機器の取り得る最大の消費電力量などが含まれる。
データ生成装置２００は、このような基本情報を生成し、生成した基本情報をデータ集積装置３００に送信する。以下では、この基本情報を基本情報（Ｂ）という。多くの場合、基本情報（Ｂ）として同じデータが生成され続けるが、図１に不図示の家電機器が更新される度に基本情報（Ｂ）のデータも更新される。
また、データ生成装置２００は、プライバシー情報として消費電力量や稼働履歴を秘匿すべき家電機器が定義されたリストを生成し、生成したリストをデータ集積装置３００に送信する。
具体的には、データ生成装置２００は、複数の家電機器の消費電力量を集計して得られた電力使用量から、消費電力量や稼働履歴を秘匿すべき家電機器（以下、保護対象機器という）のリストを生成し、生成したリストをデータ集積装置３００に送信する。以下では、このリストを保護対象機器リスト（Ｌ）という。保護対象機器リスト（Ｌ）には、このように、複数の家電機器の消費電力量を集計して得られた電力使用量データから、消費電力量や稼働履歴を隠したい単一もしくは複数の家電機器の名前が示されている。
また、データ生成装置２００は、乱数を生成するためのシードの変更を要求する。すなわち、データ生成装置２００は、データ攪乱装置４００に対して、乱数のシードの変更を要求する。例えば、ある一定の時間が経過した時や、シードが悪意のある人物に盗み見られた時などシードの安全性が危殆化した時に、データ生成装置２００はデータ攪乱装置４００に対してシードの変更を要求する。
更に、データ生成装置２００は、乱数のシードの開示の許否を判定する。すなわち、データ生成装置２００は、データ分析装置５００から乱数のシードの開示要求が送信された場合に、シードの開示を許可するか否かを判定する。そして、シードの開示を許可する場合は、データ生成装置２００は、データ攪乱装置４００に乱数のシードの開示を指示する。
データ生成装置２００は、判定装置に相当する。
データ集積装置３００は、データ生成装置２００から収集したデータを蓄積する。このため、データ集積装置３００は、大容量の記録媒体を持つ。
データ攪乱装置４００は、プライバシー情報を保護するために乱数を電力使用量データに付与する。つまり、データ攪乱装置４００は、データ分析装置５００に送信する電力使用量データをプライバシー情報として保護する必要がある場合は、乱数を用いて電力使用量データを秘匿化する。
具体的には、データ攪乱装置４００は、データ集積装置３００から、データ生成装置２００で生成された機器データ（Ｄ）を受信する。そして、データ攪乱装置４００は、データ集積装置３００から受信した機器データ（Ｄ）に秘匿化対象の電力使用量データが含まれていれば、適切な乱数を付与して当該電力使用量データを攪乱する。データ攪乱装置４００は、攪乱後の電力使用量データをデータ分析装置５００に送信する。
より具体的には、データ攪乱装置４００は、データ集積装置３００から、機器データ（Ｄ）とともに、データ生成装置２００で生成された基本情報（Ｂ）と保護対象機器リスト（Ｌ）を受信する。この保護対象機器リスト（Ｌ）には、前述のように、電力使用量データから消費電力量や稼働履歴を秘匿すべき家電機器が示される。データ攪乱装置４００は、保護対象機器リスト（Ｌ）を参照し、基本情報（Ｂ）の中から保護対象機器リスト（Ｌ）に示された家電機器の取り得る最大の消費電力量をすべて読み出し、その中の一番大きな値に依存して秘匿するための乱数を生成する。なお、データ攪乱装置４００は、乱数の生成に先立ち、乱数の生成のためのシードを生成し、生成したシードを保管する。
また、データ攪乱装置４００は、データ生成装置２００からシードの変更要求があれば、シードを新たに生成し、乱数の生成に用いるシードを変更する。なお、データ攪乱装置４００は、過去に用いたシードは削除せず、過去に用いたシードを新しいシードと共に引き続き保管しておく。
また、データ攪乱装置４００は、攪乱に用いたシードの開示がデータ生成装置２００により指示された場合は、該当するシードをデータ分析装置５００へ送信する。データ生成装置２００により開示対象の期間が指定されている場合は、データ攪乱装置４００は、該当する期間に用いられたシードのみをデータ分析装置５００に開示する。
なお、データ攪乱装置４００は秘匿化装置に相当する。また、データ攪乱装置４００により行われる動作は、秘匿化方法及び秘匿化プログラムに相当する。
データ分析装置５００は、データ攪乱装置４００から送信された攪乱後の電力使用量データを分析する。データ分析装置５００は、例えば、データ攪乱装置４００から送信された攪乱後の電力使用量データを、単純な閾値法や隠れマルコフモデルなどの分析技術を用いて分析する。そして、データ分析装置５００は、分析結果に基づき、保護対象機器リスト（Ｌ）に示された以外の家電機器の消費電力量や稼働履歴からユーザーの行動を推測する。もしくは、データ分析装置５００は、データ攪乱装置４００から送信された攪乱後の電力使用量データを推定モデルを用いて分析し、電力需要と相関の強い属性（人数・面積など）を推定して、ユーザーの行動を分析・推測する。
また、データ分析装置５００は、データ生成装置２００に対して電力使用量データの攪乱に用いた乱数のシードの開示を要求する。
なお、データ分析装置５００により行われる動作は、データ分析方法及びデータ分析プログラムに相当する。
なお、データ生成装置２００、データ集積装置３００、データ攪乱装置４００、データ分析装置５００をまとめて１つのコンピュータで実現してもよい。ただし、この場合は、攪乱前の電力使用量データがデータ分析装置５００によって閲覧されないようにアクセス管理など安全管理措置を講ずる必要がある。
図２は、本実施の形態に係るプライバシー保護システム１００におけるデータフローの例を示す。
データ生成装置２００は、機器データ（Ｄ）、基本情報（Ｂ）及び保護対象機器リスト（Ｌ）を生成する。そして、データ生成装置２００は、機器データ（Ｄ）、基本情報（Ｂ）及び保護対象機器リスト（Ｌ）をデータ集積装置３００に送信する。
データ集積装置３００は、機器データ（Ｄ）、基本情報（Ｂ）及び保護対象機器リスト（Ｌ）を記憶する。
データ分析装置５００は、データ集積装置３００に保管データ開示要求を送信する。保管データ開示要求では、機器データ（Ｄ）のデータ分析装置５００への開示が要求される。
データ集積装置３００は、保管データ開示要求に応答して、機器データ（Ｄ）、基本情報（Ｂ）及び保護対象機器リスト（Ｌ）をデータ攪乱装置４００に送信する。
データ攪乱装置４００は、基本情報（Ｂ）及び保護対象機器リスト（Ｌ）を参照して、機器データ（Ｄ）を複数の乱数を用いて攪乱する。そして、攪乱後の機器データ（Ｄ）を、分析データ（Ａ）としてデータ分析装置５００に送信する。
データ分析装置５００は、分析データ（Ａ）を分析する。分析データ（Ａ）の分析精度を上げる必要がある場合、つまり、分析データ（Ａ）から乱数を部分的に除去する必要がある場合は、データ分析装置５００は、シード開示要求をデータ生成装置２００に送信する。シード開示要求では、分析データ（Ａ）の生成の際の攪乱に用いられた乱数の生成に用いられたシードの開示を要求する
データ生成装置２００は、シード開示要求を受信すると、データ分析装置５００にシードを開示するか否かを判定する。データ生成装置２００は、データ分析装置５００にシードを開示する場合は、データ攪乱装置４００にシード開示要求と許可通知を送信する。また、データ生成装置２００は、データ分析装置５００にシードを開示しない場合は、データ分析装置５００に不許可通知を送信する。
データ攪乱装置４００は、データ生成装置２００からシード開示要求と許可通知を受信した場合は、分析データ（Ａ）の生成の際の攪乱に用いた乱数の生成に用いた複数のシードのうちの一部のシードを部分シード（Ｓ’）としてデータ分析装置５００に送信する。
データ分析装置５００は、データ攪乱装置４００から部分シード（Ｓ’）を受信した場合は、部分シード（Ｓ’）から乱数を復元し、復元した乱数を用いて分析データ（Ａ）から乱数を除去する。この結果、分析データ（Ａ）は秘匿化前の電力使用量データに近づくため、分析精度が上がる。
また、データ生成装置２００は、シードの変更が必要になった場合に、データ攪乱装置４００にシード変更要求を送信する。シード変更要求では、乱数の生成に用いられるシードの変更が要求される。
データ攪乱装置４００は、シード変更要求を受信すると、新たにシードを生成し、生成した新たなシードを保管する。そして、データ攪乱装置４００は次に乱数を生成する際に新たなシードを用いる。
図３は、データ生成装置２００の構成例を示す。
データ生成装置２００は、コンピュータである。
データ生成装置２００は、ハードウェアとして、プロセッサ２１１、記憶装置２１２、受信インタフェース２１３、送信インタフェース２１４及び入力インタフェース２１５を備える。
また、データ生成装置２００は、機能構成として、データ生成部２０１、受信部２０２、入力部２０３及び送信部２０４を備える。
記憶装置２１２には、データ生成部２０１、受信部２０２、入力部２０３及び送信部２０４の機能を実現するプログラムが記憶されている。
そして、プロセッサ２１１がこれらプログラムを実行して、後述するデータ生成部２０１、受信部２０２、入力部２０３及び送信部２０４の動作を行う。
図３では、プロセッサ２１１がデータ生成部２０１、受信部２０２、入力部２０３及び送信部２０４の機能を実現するプログラムを実行している状態を模式的に表している。
受信インタフェース２１３は、各種データを受信する。送信インタフェース２１４は各種データを送信する。
入力インタフェース２１５は、オペレータから各種指示を取得する。
データ生成部２０１は、機器データ（Ｄ）と機器の基本情報（Ｂ）とを生成する。前述したように、例えば、機器データ（Ｄ）には、電力使用量データやそのデータを生成した時刻データを含む。本実施の形態では、電力使用量データを「Ｐ」、その生成した時刻データを「ＴＩＭＥ」と示し、また機器データ（Ｄ）をＤ＝（Ｐ，ＴＩＭＥ）と示す。
また、機器データ（Ｄ）の電力使用量データ（Ｐ）は、Ｎ個の家電機器（Ｍ１，…，ＭＮ）のそれぞれ消費電力量（Ｑ１，…，ＱＮ）の集約値Ｐ＝Ｑ１＋…＋ＱＮであり、また家電機器（Ｍ１，…，ＭＮ）のそれぞれの取り得る最大の消費電力量を（Ｅ１，…，ＥＮ）とした場合、基本情報（Ｂ）には、｛（Ｍ１，Ｅ１）…，（ＭＮ，ＥＮ）｝が示される。また、基本情報（Ｂ）には、他に、各家電機器の平均消費電力量や設置場所など機器の様々な情報が含まれていてもよい。
受信部２０２は、データ分析装置５００からシード開示要求を受信する。
入力部２０３は、受信部２０２がシード開示要求を受信した場合に、データ生成装置２００のオペレータからシード（Ｓ）の開示許可もしくは開示不許可を取得する。
また、入力部２０３は、オペレータからシード変更要求を取得する。
また、入力部２０３は、データ生成部２０１で生成した機器データ（Ｄ）に対して、保護対象機器リスト（Ｌ）をオペレータから取得する。例えば、保護対象機器リスト（Ｌ）として、（Ｍ’１，…，Ｍ’Ｈ）が示される。この「Ｍ’１，…，Ｍ’Ｈ」は、基本情報（Ｂ）に含まれるＮ個の家電機器（Ｍ１，…，ＭＮ）のいずれかに該当する。ただし、Ｈは１以上かつＮ以下の整数である。
送信部２０４は、機器データ（Ｄ）と機器の基本情報（Ｂ）と保護対象機器リスト（Ｌ）とをデータ集積装置３００に送信する。
また、送信部２０４は、オペレータからシード開示要求に対して開示許可が入力された場合は、シード開示要求と許可通知のペアをデータ攪乱装置４００に送信する。また、オペレータからシード開示要求に対して開示不許可が入力された場合は、送信部２０４は、不許可通知をデータ分析装置５００に送信する。なお、許可通知又は不許可通知が偽造されないように、許可通知又は不許可通知に電子署名などを付けてセキュリティを向上させることもできる。
また、送信部２０４は、シード変更要求を、データ攪乱装置４００に送信する。
図４は、データ集積装置３００の構成例を示す。
データ集積装置３００は、コンピュータである。
データ集積装置３００は、ハードウェアとして、プロセッサ３１１、記憶装置３１２、受信インタフェース３１３及び送信インタフェース３１４を備える。
また、データ集積装置３００は、機能構成として、受信部３０１、データ格納部３０２及び送信部３０３を備える。
記憶装置３１２には、受信部３０１、データ格納部３０２及び送信部３０３の機能を実現するプログラムが記憶されている。
そして、プロセッサ３１１がこれらプログラムを実行して、後述する受信部３０１、データ格納部３０２及び送信部３０３の動作を行う。
図４では、プロセッサ３１１が受信部３０１、データ格納部３０２及び送信部３０３の機能を実現するプログラムを実行している状態を模式的に表している。
受信インタフェース３１３は、各種データを受信する。送信インタフェース３１４は各種データを送信する。
受信部３０１は、データ生成装置２００から送信された機器データ（Ｄ）と基本情報（Ｂ）と保護対象機器リスト（Ｌ）とを受信する。
また、受信部３０１は、データ分析装置５００から送信された保管データ開示要求を受信する。
データ格納部３０２は、受信部３０１により受信された機器データ（Ｄ）と基本情報（Ｂ）と保護対象機器リスト（Ｌ）を、合わせて記憶装置３１２に格納する。例えば、図１５は記憶装置３１２に格納されているデータの組（Ｄ，Ｂ，Ｌ）を表しており、データ保管処理の度に各行に記載されたようなデータが記憶装置３１２に格納される。
また、データ格納部３０２は、受信部３０１により保管データ開示要求が受信された場合に、機器データ（Ｄ）と基本情報（Ｂ）と保護対象機器リスト（Ｌ）を記憶装置３１２から読み出す。保管データ開示要求に日時の指定も含まれている場合は、データ格納部３０２は、記憶装置３１２に保管されているすべての組（Ｄ，Ｂ，Ｌ）に対して、機器データ（Ｄ）に含まれる時刻データ（ＴＩＭＥ）を確認し、指定の日時と合致する場合はその機器データ（Ｄ）と基本情報（Ｂ）と保護対象機器リスト（Ｌ）の組を読み出す。ここで読み出された複数の組を（（Ｄ１，Ｂ１，Ｌ１），…，（ＤＴ，ＢＴ，ＬＴ））と示す。ただし、Ｔは１以上の整数である。もし、保管データ開示要求が指定した日時と合致するデータの組（Ｄ，Ｂ，Ｌ）が記憶装置３１２に存在しない場合は、データ格納部３０２は、読み出し結果に空集合を意味する値をセットする。例えば、０をセットする。
送信部３０３は、データ格納部３０２により読み出された機器データ（Ｄ）と基本情報（Ｂ）と保護対象機器リスト（Ｌ）とをデータ攪乱装置４００に送信する。
図５は、データ攪乱装置４００の構成例を示す。
データ攪乱装置４００は、ハードウェアとして、プロセッサ４１１、記憶装置４１２、受信インタフェース４１３及び送信インタフェース４１４を備える。
また、データ攪乱装置４００は、機能構成として、受信部４０１、シード生成部４０２、シード格納部４０３、乱数生成部４０４、データ攪乱部４０５及び送信部４０６を備える。
記憶装置４１２には、受信部４０１、シード生成部４０２、シード格納部４０３、乱数生成部４０４、データ攪乱部４０５及び送信部４０６の機能を実現するプログラムが記憶されている。
そして、プロセッサ４１１がこれらプログラムを実行して、後述する受信部４０１、シード生成部４０２、シード格納部４０３、乱数生成部４０４、データ攪乱部４０５及び送信部４０６の動作を行う。
図４では、プロセッサ４１１が受信部４０１、シード生成部４０２、シード格納部４０３、乱数生成部４０４、データ攪乱部４０５及び送信部４０６の機能を実現するプログラムを実行している状態を模式的に表している。
受信インタフェース４１３は、各種データを受信する。送信インタフェース４１４は各種データを送信する。
受信部４０１は、データ集積装置３００から送信されてきた機器データ（Ｄ）と基本情報（Ｂ）と保護対象機器リスト（Ｌ）の組（Ｄ，Ｂ，Ｌ）をＴ個受信する。ただし、Ｔは１以上の整数である。
また、受信部４０１は、データ生成装置２００からシード開示要求と許可通知とを受信する。
また、受信部４０１は、データ生成装置２００からシード変更要求を受信する。
シード生成部４０２は、機器データ（Ｄ）を攪乱するための乱数のシード（Ｓ）を生成する。なお、シード生成部４０２は、一度に複数のシード（Ｓ１，…，ＳＫ）（ただし、Ｋは２以上の整数）を生成する。なお、（Ｓ１，…，ＳＫ）をまとめてシード（Ｓ）という。
シード格納部４０３は、シード生成部４０２で生成されたシード（Ｓ＝（Ｓ１，…，ＳＫ））を記憶装置４１２に格納する。また、シード格納部４０３は、シード（Ｓ）の格納時刻も記憶装置４１２に格納する。
また、シード格納部４０３は、受信部４０１により受信されたシード開示要求に基づき、シード（Ｓ＝（Ｓ１，…，ＳＫ））の部分シード（Ｓ’＝（Ｓ’１，…，Ｓ’Ｊ））（ただし、Ｊは１以上かつＫ以下の整数で、Ｓ’１，…，Ｓ’ＪはＳ１，…，ＳＫのいずれかの値）を記憶装置４１２から読み出す。
乱数生成部４０４は、受信部４０１により受信された基本情報（Ｂ）と保護対象機器リスト（Ｌ）と、シード格納部４０３により読み出されたシード（Ｓ＝（Ｓ１，…，ＳＫ））を用いて、乱数（Ｒ＝（Ｒ１，…，ＲＫ））を生成する。
乱数生成部４０４により行われる動作は、乱数生成処理に相当する。
乱数生成部４０４は、例えば、以下の方法により、乱数を生成する。
まず、乱数生成部４０４は、受信部４０１により受信された（Ｄ，Ｂ，Ｌ）に対して、基本情報（Ｂ＝｛（Ｍ１，Ｅ１）…，（ＭＮ，ＥＮ）｝）と保護対象機器リスト（Ｌ＝（Ｍ’１，…，Ｍ’Ｈ））を用いて、基本情報（Ｂ）から保護対象機器リスト（Ｌ）に関連する情報｛（Ｍ’１，Ｅ’１）…，（Ｍ’Ｈ，Ｅ’Ｈ）｝を抽出し、その中で一番大きなとり得る最大の消費電力量（Ｅ）とその家電機器（Ｍ）を特定する。この特定された消費電力量（Ｅ）は、対象機器リスト（Ｌ）に含まれる家電機器のうち、取り得る最大の消費電力量の中で一番大きな値を表している。
次に、乱数生成部４０４は、規定の乱数生成アルゴリズムを適用して乱数を生成する。
乱数生成部４０４は、例えば、以下の確率密度関数を持つ、期待値＝０、分散＝２Ｒ２のラプラス分布ＬＡＰに従って乱数を生成する。
ＬＡＰ（ｘ｜Ｒ）＝（１／（２Ｒ））×（ＥＸＰ（−｜ｘ｜／Ｒ）
ただし、ＥＸＰ（ｙ）は自然対数ｅのｙ乗を意味する。
このとき、乱数生成部４０４は、オペレータが決めた、もしくはシステムで予め決められたプライバシーレベルを表すパラメーターεと、対象機器リスト（Ｌ）に含まれる家電機器うち取り得る最大の消費電力量の中で一番大きな消費電力量（Ｅ）に対して、シード（Ｓ）の一要素ＳＩを用いて、乱数ＲＩをＬＡＰ（ｘ｜Ｅ／ε）に従って生成する。ただし、Ｉは１以上かつＫ以下の整数である。このように、乱数生成部４０４は、シード（Ｓ＝（Ｓ１，…，ＳＫ））を用いて、各（Ｄ，Ｂ，Ｌ）に対して、乱数（Ｒ＝（Ｒ１，…，ＲＫ））を生成する。つまり、乱数生成部４０４は、１つの秘匿化対象の電力使用量データに対して複数の乱数を生成する。
なお、プライバシーレベルを表すパラメーターεは実数値である。パラメーターεは０に近い程プライバシーレベルが上がる。また、パラメーターεは０に近い程大きな乱数が生成される。オペレータは、データ分析装置５００において分析データ（Ａ）の分析ができるようにするためにパラメーターεを調節する必要がある。例えば、分析内容に応じてパラメーターεを事前に学習することで、パラメーターεの最適値を算出することができる。
また、乱数生成部４０４は、上記のようなラプラス分布ではなく、よく知られた期待値＝μ、分散＝σ２の正規分布Ｎ（μ，σ２）に従って乱数を生成してもよい。
正規分布Ｎ（μ，σ２）に従って乱数を生成する場合は、乱数生成部４０４は、オペレータが決めた、もしくはシステムで予め決められたプライバシーレベルを表すパラメーター（ε，δ）と、対象機器リスト（Ｌ）に含まれる家電機器うち取り得る最大の消費電力量の中で一番大きな消費電力量（Ｅ）に対して、まず以下のσを計算する。
σ＝（Ｅ／ε）×（２×ＬＯＧ（１．２５／δ））１／２
ただし、ＬＯＧ（ｙ）は自然対数ｅを底としたｙの対数を意味する。
その後、乱数生成部４０４は、シード（Ｓ）の一要素ＳＩを用いて、乱数ＲＩをＮ（０，σ２）に従って生成する。ただし、Ｉは１以上かつＫ以下の整数である。このように、シード（Ｓ＝（Ｓ１，…，ＳＫ））を用いて、乱数（Ｒ＝（Ｒ１，…，ＲＫ））を生成する。つまり、乱数生成部４０４は、１つの秘匿化対象の電力使用量データに対して複数の乱数を生成する。
ラプラス分布の場合と同様に、プライバシーレベルを表すパラメーターεとパラメーターδはそれぞれ実数値である。パラメーターεとパラメーターδは０に近いほどプライバシーレベルが上がる。パラメーターεとパラメーターδは０に近い程大きな乱数が生成される。オペレータは、データ分析装置５００において分析データ（Ａ）の分析ができるようにするためにパラメーターεとパラメーターδを調節する必要がある。例えば、分析内容に応じてパラメーターεとパラメーターδを事前に学習することで、パラメーターεの最適値を算出することができる。
上記の例では、ラプラス分布や正規分布を用いた乱数の生成方法について述べたが、差分プライバシー技術でも用いられる指数分布や、その他の様々な分布を用いて、プライバシーレベルを表すパラメーター（ε，δ）に依存して乱数を生成する方法を用いてもよい。更に、本実施の形態で用いる乱数の生成には、シード（Ｓ）がわかれば生成した乱数（Ｒ）を復元できるような乱数生成技術を用いる。例えば、シード（Ｓ＝（Ｓ１，…，ＳＫ））を用いて、ある機器データ（Ｄ＝（Ｐ，ＴＩＭＥ））に対して乱数（Ｒ＝（Ｒ１，…，ＲＫ））を生成する場合、シード（Ｓ）と時刻データ（ＴＩＭＥ）から一意的に（すなわち、確定的に）ラプラス分布または正規分布などに従った乱数（Ｒ）を生成できるものとする。より詳細には、入力に対して確定的に乱数を出力する関数Ｆを用いて、Ｒ１＝Ｆ（Ｓ１，ＴＩＭＥ），…，ＲＫ＝Ｆ（ＳＫ，ＴＩＭＥ）として乱数（Ｒ）を生成できる乱数生成技術を利用する。
データ攪乱部４０５は、受信部４０１により受信された機器データ（Ｄ）に、乱数生成部４０４により生成された乱数（Ｒ＝（Ｒ１，…，ＲＫ））を付与して分析データ（Ａ）を生成する。つまり、データ攪乱部４０５は、機器データ（Ｄ）の電力使用量データ（Ｐ）から保護対象機器リスト（Ｌ）に示される保護対象機器の消費電力量や稼働履歴を隠すために、複数の乱数を用いて秘匿化する。
具体的には、データ攪乱部４０５は、機器データ（Ｄ＝（Ｐ，ＴＩＭＥ））に対して、電力使用量データ（Ｐ）に複数の乱数を加算して保護対象機器の電力使用量データを秘匿化する。例えば、保護対象機器の電力使用量データの値が１００であり、生成された乱数が１１、３２、６５（Ｋ＝３）である場合は、データ攪乱部４０５は、１００＋１１＋３２＋６５＝２０８を得る。
このように、データ攪乱部４０５は、Ｃ＝Ｐ＋Ｒ１＋…＋ＲＫとして、電力使用量データ（Ｐ）を秘匿化して秘匿化後の電力使用量データ（Ｃ）を生成し、分析データ（Ａ＝（Ｃ，ＴＩＭＥ））を生成する。
分析データ（Ａ）内の秘匿化後の電力使用量データ（Ｐ）は秘匿化データに相当する。
データ攪乱部４０５は秘匿化部に相当する。また、データ攪乱部４０５により行われる動作は秘匿化処理に相当する。
送信部４０６は、データ攪乱部４０５により生成された分析データ（Ａ）をデータ分析装置５００に送信する。
また、送信部４０６は、分析データ（Ａ）をデータ分析装置５００に送信した後に、受信部４０１によりシード開示要求と許可通知とが受信された場合に、シード格納部４０３から取得した部分シード（Ｓ’＝（Ｓ’１，…，Ｓ’Ｊ））をデータ分析装置５００に送信する。
送信部４０６により行われる動作は、送信処理に相当する。
図６は、データ分析装置５００の構成例を示す。
データ分析装置５００は、コンピュータである。
データ分析装置５００は、ハードウェアとして、プロセッサ５１１、記憶装置５１２、受信インタフェース５１３、送信インタフェース５１４、入力インタフェース５１５及び出力インタフェース５１６を備える。
また、データ分析装置５００は、機能構成として、入力部５０１、送信部５０２、受信部５０３、シード格納部５０４、乱数復元部５０５、分析部５０６及び出力部５０７を備える。
記憶装置５１２には、入力部５０１、送信部５０２、受信部５０３、シード格納部５０４、乱数復元部５０５、分析部５０６及び出力部５０７の機能を実現するプログラムが記憶されている。
そして、プロセッサ５１１がこれらプログラムを実行して、後述する入力部５０１、送信部５０２、受信部５０３、シード格納部５０４、乱数復元部５０５、分析部５０６及び出力部５０７の動作を行う。
図６では、プロセッサ５１１が入力部５０１、送信部５０２、受信部５０３、シード格納部５０４、乱数復元部５０５、分析部５０６及び出力部５０７の機能を実現するプログラムを実行している状態を模式的に表している。
受信インタフェース５１３は、各種データを受信する。
送信インタフェース５１４は各種データを送信する。
入力インタフェース５１５は、データ分析者から各種指示を取得する。
出力インタフェース５１６は、各種情報を出力する。
入力部５０１は、データ分析者から保管データ開示要求を取得する。
また、入力部５０１は、データ分析者からシード開示要求を取得する。
送信部５０２は、保管データ開示要求をデータ集積装置３００に送信する。例えば、この保管データ開示要求には、取得対象の機器データ（Ｄ）の期間が示される。
また、送信部５０２は、シード開示要求をデータ生成装置２００に送信する。例えば、このシード開示要求には、分析精度を上げるべき分析データ（Ａ）の期間が示される。データ攪乱装置４００では、シード開示要求に応答して、シード開示要求に示される期間に生成された乱数の生成に用いられたシード（Ｓ）の部分シード（Ｓ’）を開示する。
受信部５０３は、データ攪乱装置４００から送信された分析データ（Ａ１，…，ＡＴ）を受信する。ただし、Ｔは１以上の整数である。
また、受信部５０３は、データ生成装置２００から不許可通知を受信する。また、受信部５０３は、データ攪乱装置４００から部分シード（Ｓ’）を受信する。
受信部５０３は、データ受信部及びシード受信部に相当する。また、受信部５０３により行われる動作は、データ受信処理及びシード受信処理に相当する。
シード格納部５０４は、入力部５０１で取得された保管データ開示要求と、受信部５０３で受信された部分シード（Ｓ’）とを合わせて記憶装置５１２に格納する。
また、シード格納部５０４は、受信部５０３で受信された分析データ（Ａ１，…，ＡＴ）に含まれる保管時刻の値に基づき、記憶装置５１２から部分シード（Ｓ’）を読み出す。もし、対応するシードがなければ、シード格納部５０４は、空データを示す値を乱数復元部５０５に返す。
乱数復元部５０５は、シード格納部５０４により読み出された部分シード（Ｓ’＝（Ｓ’１，…，Ｓ’Ｊ））を用いて、分析データ（Ａ＝（Ｃ，ＴＩＭＥ））の秘匿化データ（Ｃ）を生成するために使われた乱数の一部（Ｒ’＝（Ｒ’１，…，Ｒ’Ｊ））を復元する。
つまり、乱数復元部５０５は、データ攪乱装置４００の乱数生成部４０４がシード（Ｓ）から乱数を生成する際に適用した乱数生成アルゴリズムを部分シード（Ｓ’）に適用して、分析データ（Ａ）に含まれる秘匿化データ（Ｃ）を生成するために使われた乱数の一部（Ｒ’）を復元する。
例えば、ある分析データ（Ａ＝（Ｃ，ＴＩＭＥ））に含まれる秘匿化データ（Ｃ＝Ｄ＋Ｒ１＋…＋ＲＫ）から乱数の一部（Ｒ’＝（Ｒ’１，…，Ｒ’Ｊ））を復元するために、乱数復元部５０５は、前述した乱数復元方法の関数Ｆを用いて、部分シード（Ｓ’＝（Ｓ’１，…，Ｓ’Ｊ））と時刻データ（ＴＩＭＥ）に対して、Ｒ’１＝Ｆ（Ｓ’１，ＴＩＭＥ），…，Ｒ’Ｊ＝Ｆ（Ｓ’Ｊ，ＴＩＭＥ）として、乱数の一部（Ｒ’）を容易に復元できる。
乱数復元部５０５により行われる動作は、乱数復元処理に相当する。
分析部５０６は、受信部５０３で受信された分析データ（Ａ１，…，ＡＴ）を用いて分析を行う。分析部５０６は、例えば、分析データ（Ａ１，…，ＡＴ）に含まれる秘匿化された電力使用量データ（Ｐ）を用いて、各家電機器の消費電力量や稼働履歴を抽出して、使用傾向を分析する。
また、分析部５０６は、乱数復元部５０５から分析データ（Ａｉ＝（Ｃｉ，ＴＩＭＥ））の秘匿化データ（Ｃｉ）の生成に使われた乱数の一部（Ｒ’＝（Ｒ’１，…，Ｒ’Ｊ））を取得した場合は、Ｒ’ｉ＝（Ｒ’ｉ１，…，Ｒ’ｉＪ）を用いて秘匿化データ（Ｃｉ）から一部の乱数（Ｒ’ｉ）を除去する。具体的には、分析部５０６は、精度向上分析データ（Ａ’ｉ＝（Ｃ’ｉ，ＴＩＭＥ））をＣ’ｉ＝Ｃｉ−Ｒ’ｉ１−…−Ｒ’ｉＪにより生成し、この精度向上分析データ（Ａ’）を用いて分析する。
分析部５０６により行われる動作は、分析処理に相当する。
例えば、機器データ（Ｄ）に含まれる電力使用量データ（Ｐ）の値が１００であり、データ攪乱装置４００において攪乱に用いられた乱数が１１、３２、６５（Ｋ＝３）である場合は、分析データ（Ａ）に含まれる秘匿化データ（Ｃ）の値は、当該保護対象機器の電力使用量データの値は１００＋１１＋３２＋６５＝２０８である。例えば、データ攪乱装置４００から部分シードＳ’３が送信され、当該部分シードＳ’３から乱数として６５が得られた場合は、分析部５０６は、２０８−６５＝１４３を得ることができる。秘匿化された値である２０８に比べれば、乱数除去後の値である１４３は、元の値である１００に近い。このため、分析部５０６は、秘匿化前の電力使用量（Ｐ）について信頼性の高い値を得ることができ、分析精度を上げることができる。更に、データ攪乱装置４００から部分シードＳ’２が送信され、当該部分シードＳ’２から乱数として３２が得られた場合は、分析部５０６は、１４３−３２＝１１１を得ることができる。乱数除去後の値である１１１は、元の値である１００に更に近く、分析部５０６は、更に分析精度を上げることができる。
例えば、データ攪乱装置４００においてＫ（Ｋ≧２）個のシードを用いてＫ個の乱数が生成され、Ｋ個の乱数を用いて電力使用量データが攪乱されている場合は、送信部５０２は、部分シード（Ｓ’）の受信総数が（Ｋ−１）個になるまで、シード開示要求の送信を繰り返すことができる。そして、データ攪乱装置４００の送信部４０６は、部分シード（Ｓ’）の送信総数が（Ｋ−１）個になるまで、データ生成装置２００によりシードの開示が許可される度に、未送信の部分シード（Ｓ’）をデータ分析装置５００に送信する。また、データ分析装置５００の受信部５０３は、データ攪乱装置４００から部分シード（Ｓ’）が送信される度に、部分シード（Ｓ’）の受信を繰り返す。
このようにして、分析部５０６は、段階的に秘匿化データ（Ｃ）から乱数を除去していき、秘匿されている値を段階的に秘匿化前の値に近づけることができる。
なお、ここでは、データ分析装置５００が段階的に部分シード（Ｓ’）の開示を要求し、データ攪乱装置４００が段階的に部分シード（Ｓ’）を開示する例を説明したが、データ分析装置５００が（Ｋ−１）個の部分シード（Ｓ’）の開示を一度に要求し、データ攪乱装置４００が一度に（Ｋ−１）個の部分シード（Ｓ’）を開示するようにしてもよい。
分析部５０６は、秘匿化データ（Ｃ）から乱数を除去してより本来の値に近い値を得ることで、以下のようにして見守り対象者の状態を推定することができる。
例えば、毎日ある時間帯にある家電機器の電力消費量が既定の標準範囲内にある場合には見守り対象者に異常がないと推定するような推定基準が用いられる場合を想定する。例えば、標準範囲が８０〜１３０の範囲であるとする。前出の乱数除去前の電力使用量の値：２０８は標準範囲外と判定されるが、乱数除去後の電力使用量の値：１１１は標準範囲内と判定される。
また、分析部５０６は、より複雑な分析を行うこともできる。例えば、分析部５０６は、特許文献４に記載の分析を行ってもよい。また、分析部５０６は、特許文献５に記載の分析を行ってもよい。
出力部５０７は、分析部５０６の分析結果を出力する。例えば、出力部５０７は、分析結果として、ユーザーが活動している時間帯又は活動していない時間帯などの情報を出力する。
＊＊＊動作の説明＊＊＊
次に、本実施の形態に係るプライバシー保護システム１００の動作例をフローチャートを参照して説明する。
図７は、プライバシー保護システム１００のデータ保管処理を示すフローチャートである。
図７のステップＳ６０１〜Ｓ６０３はデータ生成装置２００によって実行される。ステップＳ６０４〜Ｓ６０５はデータ集積装置３００によって実行される。
ステップＳ６０１において、データ生成部２０１は、機器データ（Ｄ）と基本情報（Ｂ）を生成する。
ステップＳ６０２において、入力部２０３は、保護対象機器が記述される保護対象機器リスト（Ｌ）を取得する。
ステップＳ６０３において、送信部２０４は、ステップＳ６０１で生成された機器データ（Ｄ）と基本情報（Ｂ）、ステップＳ６０２で入力された保護対象機器リスト（Ｌ）をデータ集積装置３００に送信する。
ステップＳ６０４において、受信部３０１は、ステップＳ６０３で送信された機器データ（Ｄ）と基本情報（Ｂ）と保護対象機器リスト（Ｌ）を受信する。
ステップＳ６０５において、データ格納部３０２は、ステップＳ６０４で受信された機器データ（Ｄ）と基本情報（Ｂ）と保護対象機器リスト（Ｌ）を関連付けて記憶装置３１２に格納する。また、データ格納部３０２は、機器データ（Ｄ）と基本情報（Ｂ）と保護対象機器リスト（Ｌ）の格納時刻を記憶装置３１２に格納する。
以上により、データ保管処理が完了する。
図８は、プライバシー保護システム１００の保管データ開示処理を示すフローチャートである。
図９は、プライバシー保護システム１００のデータ攪乱処理を示すフローチャートである。
ステップＳ７０１〜Ｓ７０２とステップＳ７１３〜Ｓ７１５はデータ分析装置５００によって実行される。ステップＳ７０３〜Ｓ７０５はデータ集積装置３００によって実行される。ステップＳ７０６〜Ｓ７１２はデータ攪乱装置４００によって実行される。
ステップＳ７０１において、入力部５０１は、保管データ開示要求を取得する。前述のとおり、保管データ開示要求には、データ集積装置３００に保管されている機器データ（Ｄ）のうち取得対象の機器データ（Ｄ）の期間が示される。
ステップＳ７０２において、送信部５０２は、ステップＳ７０１で取得された保管データ開示要求をデータ集積装置３００に送信する。
ステップＳ７０３において、受信部３０１は、ステップＳ７０２で送信された保管データ開示要求を受信する。
ステップＳ７０４において、データ格納部３０２は、ステップＳ７０３で受信された保管データ開示要求を受信部３０１から取得し、保管データ開示要求に基づき、保管データを読み出す。保管データは、機器データ（Ｄ）と機器の基本情報（Ｂ）と保護対象機器リスト（Ｌ）との組である。データ格納部３０２は１組の保管データを読み出してもよいし、保管データ開示要求に複数の日時が指定されている場合は、複数組の保管データを読み出してもよい。
ステップＳ７０５において、送信部３０３は、ステップＳ７０４で抽出された保管データをデータ攪乱装置４００に送信する。
ステップＳ７０６において、受信部４０１は、ステップＳ７０５で送信された保管データを受信する。
ステップＳ７０７において、シード格納部４０３は、シード（Ｓ）が記憶装置４１２に保管されているかどうかを確認する。
シード（Ｓ）が記憶装置４１２に保管されている場合は、ステップＳ７０８において、シード格納部４０３は、保管されているシード（Ｓ）を記憶装置４１２から読み出す。
シード（Ｓ）が記憶装置４１２に保管されていない場合は、ステップＳ７０９において、シード生成部４０２がシード（Ｓ＝（Ｓ１，…，ＳＫ））を生成し、またシード格納部４０３が生成されたシード（Ｓ）を記憶装置４１２に格納する。
ステップＳ７１０において、乱数生成部４０４は、ステップＳ７０６で受信した保管データの中の基本情報（Ｂ）と保護対象機器リスト（Ｌ）を受信部４０１から取得する。また、乱数生成部４０４は、ステップＳ７０８で読み出されたシード（Ｓ）もしくはステップＳ７０９で生成されたシード（Ｓ）をシード格納部４０３から取得する。そして、乱数生成部４０４は、シード（Ｓ）と基本情報（Ｂ）と保護対象機器リスト（Ｌ）に基づいて前述の通り乱数（Ｒ＝（Ｒ１，…，ＲＫ））を生成する。
なお、なお、ステップＳ７０６で受信した機器データ（Ｄ）が複数個（Ｔ個）であった場合は、乱数生成部４０４は、Ｔ個の乱数Ｒ１＝（Ｒ１１，…，Ｒ１Ｋ），…，ＲＴ＝（ＲＴ１，…，ＲＴＫ）を生成する。
ステップＳ７１１において、データ攪乱部４０５は、ステップＳ７０６で受信された保管データの中の機器データ（Ｄ）を受信部４０１から取得する。また、データ攪乱部４０５は、ステップＳ７１０で生成された乱数（Ｒ＝（Ｒ１，…，ＲＫ））を乱数生成部４０４から取得する。そして、データ攪乱部４０５は、乱数（Ｒ＝（Ｒ１，…，ＲＫ））を用いて機器データ（Ｄ）に含まれる電力使用量データ（Ｐ）を攪乱し、分析データ（Ａ）を生成する。前述の通り、データ攪乱部４０５は、Ｃ＝Ｐ＋Ｒ１＋…＋ＲＫとして分析データ（Ａ＝（Ｃ，ＴＩＭＥ））を生成する。なお、ステップＳ７０６で受信した機器データ（Ｄ）が複数個（Ｔ個）であった場合は、データ攪乱部４０５は、複数個の機器データ（Ｄ１＝（Ｐ１，ＴＩＭＥ１），…，ＤＴ＝（ＰＴ，ＴＩＭＥＴ））に対して、Ｃ１＝Ｐ１＋Ｒ１１＋…＋Ｒ１Ｋ，…，ＣＴ＝ＰＴ＋ＲＴ１＋…＋ＲＴＫとして、Ｔ個の分析データ（Ａ１＝（Ｃ１，ＴＩＭＥ１），…，ＡＴ＝（ＣＴ，ＴＩＭＥＴ））を生成する。
ステップＳ７１２において、送信部４０６は、ステップＳ７１１で生成された分析データ（Ａ）をデータ攪乱部７０５から取得し、分析データ（Ａ）をデータ分析装置５００へ送信する。
ステップＳ７１３において、受信部５０３は、ステップＳ７１２で送信された分析データ（Ａ）を受信する。
ステップＳ７１４において、分析部５０６は、ステップＳ７１３で受信された分析データ（Ａ）を受信部５０３から取得し、分析データ（Ａ）を分析する。ステップＳ７１４の詳細は後述する。
ステップＳ７１５において、出力部５０７は、ステップＳ７１４で生成された分析結果を分析部５０６から取得し、分析結果を出力する。
以上により、データ分析処理が完了する。
図１０、図１１及び図１２は、プライバシー保護システム１００のシード開示処理を示すフローチャートである。
ステップＳ８０１〜Ｓ８０２及びステップＳ８１１〜Ｓ８１６はデータ分析装置５００によって実行される。ステップＳ８０３〜Ｓ８０７はデータ生成装置２００によって実行される。ステップＳ８０８〜Ｓ８１０はデータ攪乱装置４００によって実行される。
ステップＳ８０１において、入力部５０１は、データ分析者からシード開示要求を取得する。
ステップＳ８０２において、送信部５０２は、ステップＳ８０１で取得されたシード開示要求をデータ生成装置２００に送信する。
ステップＳ８０３において、受信部２０２は、ステップＳ８０２で送信されたシード開示要求を受信する。
ステップＳ８０４において、入力部２０３は、ステップＳ８０３で受信されたシード開示要求に対して、オペレータから、開示の許可又は不許可を取得する。
ステップＳ８０５において、送信部２０４は、ステップＳ８０４でオペレータから許可が入力されたか不許可が入力されたかを判定する。
オペレータから不許可が入力されている場合は、ステップＳ８０６において、送信部２０４は、不許可通知をデータ分析装置５００に送信する。この場合、以降のステップＳ８０７〜Ｓ８１０は実行されない。
一方、オペレータから許可が入力されている場合は、ステップＳ８０７において、送信部２０４は、シード開示要求と許可通知をデータ攪乱装置４００に送信する。なお、前述の通り、許可通知が偽造されないように、許可通知に電子署名を付加してセキュリティを向上させることもできる。
ステップＳ８０８において、受信部４０１は、ステップＳ８０７で送信されたシード開示要求と許可通知を受信する。
ステップＳ８０９において、シード格納部４０３は、ステップＳ８０８で受信されたシード開示要求と許可通知を受信部４０１から取得する。そして、シード格納部４０３は、シード開示要求に含まれる期間に関するデータを読み出し、対応するシード（Ｓ）の一部である部分シード（Ｓ’＝（Ｓ’１，…，Ｓ’Ｊ））を抽出する。
ステップＳ８１０において、送信部４０６は、ステップＳ８０９で抽出された部分シード（Ｓ’＝（Ｓ’１，…，Ｓ’Ｊ））を、データ分析装置５００に送信する。
ステップＳ８１１において、受信部５０３は、ステップＳ８０６で送信された不許可通知をデータ生成装置２００から受信する、もしくは、ステップＳ８１０で送信された部分シード（Ｓ’）をデータ攪乱装置４００から受信する。
ステップＳ８１２において、受信部５０３は、ステップＳ８１１で受信されたデータが部分シード（Ｓ’）であるか否かを判定する。
受信したデータが部分シード（Ｓ’）ではない場合、すなわち不許可通知を受信していた場合は、ステップＳ８１３において、出力部５０７が、シードの開示が不許可であった旨を出力する。
一方、受信したデータが部分シード（Ｓ’）である場合は、ステップＳ８１４において、シード格納部５０４が、シード開示要求と部分シード（Ｓ’）を関連付けて記憶装置５１２に格納する。
ステップＳ８１５において、出力部５０７は、シードの開示が許可された旨を出力する。
ステップＳ８１６において、分析部５０６が図８のステップＳ７１４を行い、また、出力部５０７が図８のステップＳ７１５を行う。すなわち、分析部５０６が精度向上分析データ（Ａ’）の分析を行い、出力部５０７が分析結果を出力する。
以上により、シード開示処理が完了する。
図１３は、図８のステップＳ７１４に示すデータ分析処理を示すフローチャートである。
ステップＳ１００１において、乱数復元部５０５は、部分シード（Ｓ’）から、データ攪乱装置４００において攪乱に用いられた複数の乱数（Ｒ）のうちの一部の乱数（Ｒ’）を復元する。
より具体的には、乱数復元部５０５は、シード格納部５０４に部分シード（Ｓ’）の読み出しを指示する。シード格納部５０４は、記憶装置５１２から部分シード（Ｓ’）を読み出し、読み出した部分シード（Ｓ’）を乱数復元部５０５に転送する。乱数復元部５０５は、部分シード（Ｓ’）に、データ攪乱装置４００で適用される乱数生成アルゴリズムを適用して、一部の乱数（Ｒ’）を復元する。そして、乱数復元部５０５は、復元した一部の乱数（Ｒ’）を分析部５０６に転送する。
なお、記憶装置５１２に部分シード（Ｓ’）が保管されていない場合は、乱数復元部５０５は、分析部５０６に乱数が復元できない旨を通知する。この場合は、後述のステップＳ１００２は実行されない。
ステップＳ１００２において、分析部５０６は、一部の乱数（Ｒ’）を分析データ（Ａ）の秘匿化データ（Ｃ）から除去して、精度向上分析データ（Ａ’）を生成する。
すなわち、分析部５０６は、精度向上分析データ（Ａ’＝（Ｃ’，ＴＩＭＥ））をＣ’＝Ｃ−Ｒ’１−…−Ｒ’Ｊにより生成する。
ステップＳ１００３において、分析部５０６は、分析データ（Ａ）又は精度向上分析データ（Ａ’）を分析する。
データ攪乱装置４００から部分シード（Ｓ’）を未受信の場合は、分析部５０６は、分析データ（Ａ）を分析する。また、データ攪乱装置４００から部分シード（Ｓ’）を受信済みであり、ステップＳ１００２において精度向上分析データ（Ａ’）が生成されている場合は、分析部５０６は、精度向上分析データ（Ａ’）を分析する。
図１４は、プライバシー保護システム１００のシード変更処理を示すフローチャートである。
ステップＳ９０１〜Ｓ９０２はデータ生成装置２００によって実行される。ステップＳ９０３〜Ｓ９０５はデータ攪乱装置４００によって実行される。
ステップＳ９０１において、入力部２０３は、オペレータから乱数のシード変更要求を取得する。
ステップＳ９０２において、送信部２０４は、ステップＳ９０１で取得されたシード変更要求をデータ攪乱装置４００に送信する。
ステップＳ９０３において、受信部４０１は、ステップＳ９０２で送信されたシード変更要求を受信する。
ステップＳ９０４において、シード生成部４０２は、ステップＳ９０３で受信されたシード変更要求に基づき、乱数のシード（Ｓ）を生成する。
ステップＳ９０５において、シード格納部４０３は、ステップＳ９０４で生成されたシード（Ｓ）を記憶装置５１２に格納する。
以上により、シード変更処理が完了する。
＊＊＊実施の形態の効果の説明＊＊＊
本実施の形態では、ユーザーが秘匿対象として選択したデータが攪乱されるため、ユーザーのプライバシーを保護することができる。
そして、攪乱後のデータを用いた分析において分析精度を上げる必要がある場合は、攪乱に用いられた乱数の生成に用いられたシードが開示され、攪乱後のデータから乱数を段階的に除去することができる。従って、本実施の形態によれば、シードの開示度に応じて、データ分析の精度を調整することができる。
また、本実施の形態では、電力使用量データからすべての家電機器の消費電力量や稼働履歴は隠すことはせず、ユーザーは秘匿対象としての家電機器を柔軟に選択することでデータの精度を必要以上に落とさずにすむため、データの秘匿化と分析を両立できる。
また、本実施の形態では、シードを更新することにより、攪乱後のデータの安全性を向上させることができる。
＊＊＊ハードウェア構成の説明＊＊＊
最後に、データ生成装置２００、データ集積装置３００、データ攪乱装置４００及びデータ分析装置５００のハードウェア構成の補足説明を行う。
プロセッサ２１１、プロセッサ３１１、プロセッサ４１１及びプロセッサ５１１は、プロセッシングを行うＩＣ（Ｉｎｔｅｇｒａｔｅｄ Ｃｉｒｃｕｉｔ）である。
プロセッサ２１１、プロセッサ３１１、プロセッサ４１１及びプロセッサ５１１は、ＣＰＵ（Ｃｅｎｔｒａｌ Ｐｒｏｃｅｓｓｉｎｇ Ｕｎｉｔ）、ＤＳＰ（Ｄｉｇｉｔａｌ Ｓｉｇｎａｌ Ｐｒｏｃｅｓｓｏｒ）等である。
記憶装置２１２、記憶装置３１２、記憶装置４１２及び記憶装置５１２は、ＲＡＭ（Ｒａｎｄｏｍ Ａｃｃｅｓｓ Ｍｅｍｏｒｙ）、ＲＯＭ（Ｒｅａｄ Ｏｎｌｙ Ｍｅｍｏｒｙ）、フラッシュメモリ、ＨＤＤ（Ｈａｒｄ Ｄｉｓｋ Ｄｒｉｖｅ）等である。
受信インタフェース２１３、受信インタフェース３１３、受信インタフェース４１３、受信インタフェース５１３は、送信インタフェース２１４、送信インタフェース３１４、送信インタフェース４１４及び送信インタフェース５１４は、例えば、通信チップ又はＮＩＣ（Ｎｅｔｗｏｒｋ Ｉｎｔｅｒｆａｃｅ Ｃａｒｄ）である。
入力インタフェース２１５及び入力インタフェース５１５は、マウス、キーボード等の入力装置とのインタフェースである。
出力インタフェース５１６は、ディスプレイ、スピーカ等の出力装置とのインタフェースである。
また、記憶装置２１２、記憶装置３１２、記憶装置４１２及び記憶装置５１２には、ＯＳ（Ｏｐｅｒａｔｉｎｇ Ｓｙｓｔｅｍ）も記憶されている。
プロセッサ２１１、プロセッサ３１１、プロセッサ４１１及びプロセッサ５１１はＯＳの少なくとも一部を実行する。
プロセッサ２１１、プロセッサ３１１、プロセッサ４１１及びプロセッサ５１１がＯＳを実行することで、タスク管理、メモリ管理、ファイル管理、通信制御等が行われる。
また、データ生成装置２００では、データ生成部２０１、受信部２０２、入力部２０３及び送信部２０４の処理の結果を示す情報やデータや信号値や変数値が、記憶装置２１２、プロセッサ２１１内のレジスタ及びキャッシュメモリの少なくともいずれかに記憶される。
また、データ生成部２０１、受信部２０２、入力部２０３及び送信部２０４の機能を実現するプログラムは、磁気ディスク、フレキシブルディスク、光ディスク、コンパクトディスク、ブルーレイ（登録商標）ディスク、ＤＶＤ等の可搬記憶媒体に記憶されてもよい。
また、データ集積装置３００では、受信部３０１、データ格納部３０２及び送信部３０３の処理の結果を示す情報やデータや信号値や変数値が、記憶装置３１２、プロセッサ３１１内のレジスタ及びキャッシュメモリの少なくともいずれかに記憶される。
また、受信部３０１、データ格納部３０２及び送信部３０３の機能を実現するプログラムは、磁気ディスク、フレキシブルディスク、光ディスク、コンパクトディスク、ブルーレイ（登録商標）ディスク、ＤＶＤ等の可搬記憶媒体に記憶されてもよい。
また、データ攪乱装置４００では、受信部４０１、シード生成部４０２、シード格納部４０３、乱数生成部４０４、データ攪乱部４０５及び送信部４０６の処理の結果を示す情報やデータや信号値や変数値が、記憶装置４１２、プロセッサ４１１内のレジスタ及びキャッシュメモリの少なくともいずれかに記憶される。
また、受信部４０１、シード生成部４０２、シード格納部４０３、乱数生成部４０４、データ攪乱部４０５及び送信部４０６の機能を実現するプログラムは、磁気ディスク、フレキシブルディスク、光ディスク、コンパクトディスク、ブルーレイ（登録商標）ディスク、ＤＶＤ等の可搬記憶媒体に記憶されてもよい。
また、データ分析装置５００では、入力部５０１、送信部５０２、受信部５０３、シード格納部５０４、乱数復元部５０５、分析部５０６及び出力部５０７の処理の結果を示す情報やデータや信号値や変数値が、記憶装置５１２、プロセッサ５１１内のレジスタ及びキャッシュメモリの少なくともいずれかに記憶される。
また、入力部５０１、送信部５０２、受信部５０３、シード格納部５０４、乱数復元部５０５、分析部５０６及び出力部５０７の機能を実現するプログラムは、磁気ディスク、フレキシブルディスク、光ディスク、コンパクトディスク、ブルーレイ（登録商標）ディスク、ＤＶＤ等の可搬記憶媒体に記憶されてもよい。
また、データ生成部２０１、受信部２０２、入力部２０３、送信部２０４、受信部３０１、データ格納部３０２、送信部３０３、受信部４０１、シード生成部４０２、シード格納部４０３、乱数生成部４０４、データ攪乱部４０５、送信部４０６、入力部５０１、送信部５０２、受信部５０３、シード格納部５０４、乱数復元部５０５、分析部５０６及び出力部５０７の「部」を、「回路」又は「工程」又は「手順」又は「処理」に読み替えてもよい。
また、データ生成装置２００、データ集積装置３００、データ攪乱装置４００及びデータ分析装置５００は、ロジックＩＣ（Ｉｎｔｅｇｒａｔｅｄ Ｃｉｒｃｕｉｔ）、ＧＡ（Ｇａｔｅ Ａｒｒａｙ）、ＡＳＩＣ（Ａｐｐｌｉｃａｔｉｏｎ Ｓｐｅｃｉｆｉｃ Ｉｎｔｅｇｒａｔｅｄ Ｃｉｒｃｕｉｔ）、ＦＰＧＡ（Ｆｉｅｌｄ−Ｐｒｏｇｒａｍｍａｂｌｅ Ｇａｔｅ Ａｒｒａｙ）といった電子回路により実現されてもよい。
なお、プロセッサ及び上記の電子回路を総称してプロセッシングサーキットリーともいう。
１００ プライバシー保護システム、２００ データ生成装置、２０１ データ生成部、２０２ 受信部、２０３ 入力部、２０４ 送信部、２１１ プロセッサ、２１２ 記憶装置、２１３ 受信インタフェース、２１４ 送信インタフェース、２１５ 入力インタフェース、３００ データ集積装置、３０１ 受信部、３０２ データ格納部、３０３ 送信部、３１１ プロセッサ、３１２ 記憶装置、３１３ 受信インタフェース、３１４ 送信インタフェース、４００ データ攪乱装置、４０１ 受信部、４０２ シード生成部、４０３ シード格納部、４０４ 乱数生成部、４０５ データ攪乱部、４０６ 送信部、４１１ プロセッサ、４１２ 記憶装置、４１３ 受信インタフェース、４１４ 送信インタフェース、５００ データ分析装置、５０１ 入力部、５０２ 送信部、５０３ 受信部、５０４ シード格納部、５０５ 乱数復元部、５０６ 分析部、５０７ 出力部、５１１ プロセッサ、５１２ 記憶装置、５１３ 受信インタフェース、５１４ 送信インタフェース、５１５ 入力インタフェース、５１６ 出力インタフェース。

Claims (14)

  1. 複数のシードから複数の乱数を生成する乱数生成部と、
    前記乱数生成部により生成された前記複数の乱数を用いて、秘匿化の対象となる秘匿化対象データを秘匿化する秘匿化部と、
    前記秘匿化部により秘匿化された前記秘匿化対象データである秘匿化データをデータ分析装置に送信し、前記複数のシードのうちのいずれかのシードを前記データ分析装置に送信する送信部とを有する秘匿化装置。
  2. 前記乱数生成部は、
    前記複数のシードに乱数生成アルゴリズムを適用して前記複数の乱数を生成し、
    前記送信部は、
    シードに前記乱数生成アルゴリズムを適用して前記乱数生成部が生成する乱数と同じ乱数を復元することができ、復元した乱数を用いて前記秘匿化データから乱数を除去することができる前記データ分析装置に前記秘匿化データを送信する請求項１に記載の秘匿化装置。
  3. 前記送信部は、
    前記秘匿化データの前記データ分析装置への送信後に前記データ分析装置からシードの開示要求があり、シードの開示の許否判定を行う判定装置によりシードの開示が許可された場合に、前記複数のシードのうちのいずれかのシードを前記データ分析装置に送信する請求項１に記載の秘匿化装置。
  4. 前記乱数生成部は、
    Ｋ（Ｋ≧２）個のシードを用いてＫ個の乱数を生成し、
    前記送信部は、
    前記データ分析装置へのシードの送信総数が（Ｋ−１）個になるまで、前記データ分析装置からシードの開示要求があり、前記判定装置によりシードの開示が許可される度に、前記データ分析装置に未送信のシードを前記データ分析装置に送信する請求項３に記載の秘匿化装置。
  5. 前記秘匿化部は、
    複数の機器の消費電力量の集約値が示される電力使用量データを前記秘匿化対象データとして前記複数の乱数を用いて秘匿化し、
    前記乱数生成部は、
    前記複数の機器の中から消費電力量を秘匿する対象として選択された機器がとり得る最大消費電力を用いて前記複数の乱数を生成する請求項１に記載の秘匿化装置。
  6. 秘匿化装置から、前記秘匿化装置により複数のシードから生成された複数の乱数を用いて秘匿化された秘匿化データを受信するデータ受信部と、
    前記秘匿化装置から、前記複数のシードのうちのいずれかのシードを受信するシード受信部と、
    前記シード受信部により受信されたシードから、前記複数の乱数のうちのいずれかの乱数を復元する乱数復元部と、
    前記乱数復元部で復元された乱数を用いて前記秘匿化データから乱数を除去する分析部とを有するデータ分析装置。
  7. 前記乱数復元部は、
    前記秘匿化装置が前記複数のシードから前記複数の乱数を生成する際に適用した乱数生成アルゴリズムを前記シード受信部により受信されたシードに適用して、前記複数の乱数のうちのいずれかの乱数を復元する請求項６に記載のデータ分析装置。
  8. 前記データ分析装置は、更に、
    シードの開示の許否判定を行う判定装置に、シードの開示を要求するシード開示要求を送信する送信部を有し、
    前記シード受信部は、
    前記判定装置によりシードの開示が許可された場合に、前記秘匿化装置から、前記複数のシードのうちのいずれかのシードを受信する請求項６に記載のデータ分析装置。
  9. 前記送信部は、
    前記判定装置への前記シード開示要求の送信を繰り返し、
    前記シード受信部は、
    前記秘匿化装置からのシードの受信を繰り返す請求項８に記載のデータ分析装置。
  10. 前記データ受信部は、
    複数の機器の消費電力量の集約値が示される電力使用量データが、前記複数の機器の中から消費電力量を秘匿する対象として選択された機器がとり得る最大消費電力を用いて生成された前記複数の乱数を用いて秘匿化されて得られた前記秘匿化データを受信する請求項６に記載のデータ分析装置。
  11. コンピュータが、複数のシードから複数の乱数を生成し、
    前記コンピュータが、生成された前記複数の乱数を用いて、秘匿化の対象となる秘匿化対象データを秘匿化し、
    前記コンピュータが、秘匿化された前記秘匿化対象データである秘匿化データをデータ分析装置に送信し、前記複数のシードのうちのいずれかのシードを前記データ分析装置に送信する秘匿化方法。
  12. コンピュータが、秘匿化装置から、前記秘匿化装置により複数のシードから生成された複数の乱数を用いて秘匿化された秘匿化データを受信し、
    前記コンピュータが、前記秘匿化装置から、前記複数のシードのうちのいずれかのシードを受信し、
    前記コンピュータが、受信されたシードから、前記複数の乱数のうちのいずれかの乱数を復元し、
    前記コンピュータが、復元された乱数を用いて前記秘匿化データから乱数を除去するデータ分析方法。
  13. 複数のシードから複数の乱数を生成する乱数生成処理と、
    前記乱数生成処理により生成された前記複数の乱数を用いて、秘匿化の対象となる秘匿化対象データを秘匿化する秘匿化処理と、
    前記秘匿化処理により秘匿化された前記秘匿化対象データである秘匿化データをデータ分析装置に送信し、前記複数のシードのうちのいずれかのシードを前記データ分析装置に送信する送信処理とをコンピュータに実行させる秘匿化プログラム。
  14. 秘匿化装置から、前記秘匿化装置により複数のシードから生成された複数の乱数を用いて秘匿化された秘匿化データを受信するデータ受信処理と、
    前記秘匿化装置から、前記複数のシードのうちのいずれかのシードを受信するシード受信処理と、
    前記シード受信処理により受信されたシードから、前記複数の乱数のうちのいずれかの乱数を復元する乱数復元処理と、
    前記乱数復元処理で復元された乱数を用いて前記秘匿化データから乱数を除去する分析処理とをコンピュータに実行させるデータ分析プログラム。
JP2018557260A 2016-12-19 2016-12-19 秘匿化装置、データ分析装置、秘匿化方法、データ分析方法、秘匿化プログラム及びデータ分析プログラム Active JP6501989B2 (ja)

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
PCT/JP2016/087854 WO2018116366A1 (ja) 2016-12-19 2016-12-19 秘匿化装置、データ分析装置、秘匿化方法、データ分析方法、秘匿化プログラム及びデータ分析プログラム

Publications (2)

Publication Number Publication Date
JP6501989B2 true JP6501989B2 (ja) 2019-04-17
JPWO2018116366A1 JPWO2018116366A1 (ja) 2019-04-25

Family

ID=62625999

Family Applications (1)

Application Number Title Priority Date Filing Date
JP2018557260A Active JP6501989B2 (ja) 2016-12-19 2016-12-19 秘匿化装置、データ分析装置、秘匿化方法、データ分析方法、秘匿化プログラム及びデータ分析プログラム

Country Status (4)

Country Link
US (1) US11163895B2 (ja)
JP (1) JP6501989B2 (ja)
CN (1) CN110088756B (ja)
WO (1) WO2018116366A1 (ja)

Families Citing this family (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN110755727B (zh) 2018-07-26 2023-11-28 林信涌 可电耦接云端监控系统的氢气产生器及其云端监控系统
EP3844905A1 (en) * 2018-10-25 2021-07-07 Sony Corporation Privacy-preserving mobility as a service supported by blockchain
US11271724B2 (en) * 2019-02-21 2022-03-08 Quantum Lock, Inc. One-time-pad encryption system and methods

Citations (7)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2005346005A (ja) * 2004-06-07 2005-12-15 Ntt Communications Kk データ秘匿装置、データ秘匿方法、及びデータ秘匿プログラム
JP2009290774A (ja) * 2008-05-30 2009-12-10 Central Res Inst Of Electric Power Ind データ収集システム、データ収集方法およびデータ収集プログラム
JP2012080345A (ja) * 2010-10-01 2012-04-19 Nippon Telegr & Teleph Corp <Ntt> 撹乱システム、撹乱装置、撹乱方法及びプログラム
JP2012133320A (ja) * 2010-12-03 2012-07-12 Mitsubishi Electric Research Laboratories Inc 複数データベースのための差分プライバシー集合分類器
WO2012121024A1 (ja) * 2011-03-04 2012-09-13 日本電気株式会社 乱数値特定装置、乱数値特定システム、および、乱数値特定方法
JP2012196059A (ja) * 2011-03-16 2012-10-11 Toshiba Corp 電力利用調整装置、システムおよびプログラム
JP2013171170A (ja) * 2012-02-21 2013-09-02 Mitsubishi Electric Corp 秘匿集計システム、秘匿集計方法、秘匿集計プログラム、データ撹乱装置、データ撹乱方法、データ撹乱プログラム、データ復元装置、データ復元方法およびデータ復元プログラム

Family Cites Families (27)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US7464171B2 (en) * 2004-10-01 2008-12-09 Microsoft Corporation Effective protection of computer data traffic in constrained resource scenarios
JP3814620B2 (ja) * 2004-10-15 2006-08-30 株式会社東芝 情報処理装置および情報処理方法
JP5307499B2 (ja) 2008-10-06 2013-10-02 日本電信電話株式会社 データ集計システム、撹乱装置、再構築装置、データ集計方法、撹乱プログラム、および再構築プログラム
JP2010231528A (ja) 2009-03-27 2010-10-14 Kddi Corp 秘匿性評価値の計算装置、計算方法、及び計算用プログラム
US8588410B2 (en) * 2009-04-06 2013-11-19 Elster Electricity, Llc Simplified secure symmetrical key management
JP5475610B2 (ja) 2009-10-07 2014-04-16 日本電信電話株式会社 撹乱装置、撹乱方法及びプログラム
JP2012058998A (ja) 2010-09-08 2012-03-22 Toshiba Corp サーバ、課金サーバ、電力使用量計算システム及びプログラム
WO2012063546A1 (ja) 2010-11-09 2012-05-18 日本電気株式会社 匿名化装置及び匿名化方法
KR20120070873A (ko) * 2010-12-22 2012-07-02 한국전자통신연구원 부채널 방지 마스킹 덧셈 연산 장치
JP5208226B2 (ja) 2011-01-31 2013-06-12 三菱電機株式会社 生活シーン特定装置、生活シーン特定プログラム、及び生活シーン特定方法
US9064123B2 (en) * 2011-03-10 2015-06-23 Nippon Telegraph And Telephone Corporation Secure product-sum combination system, computing apparatus, secure product-sum combination method and program therefor
US9559844B2 (en) * 2011-11-09 2017-01-31 Kddi Corporation Non-linear processor, stream-cipher encrypting device, stream-cipher decrypting device, mask processing method, stream-cipher encrypting method, stream-cipher decrypting method, and program
JP5639094B2 (ja) 2012-01-26 2014-12-10 日本電信電話株式会社 データベース撹乱パラメータ決定装置、データベース撹乱システム及び方法並びにデータベース撹乱装置
US8750508B2 (en) 2012-06-15 2014-06-10 Mitsubishi Electric Research Laboratories, Inc. Method for outsourcing data for secure processing by untrusted third parties
JP5914291B2 (ja) 2012-10-17 2016-05-11 日本電信電話株式会社 遷移確率算出装置、集計値算出装置、遷移確率算出方法、集計値算出方法
JP6021178B2 (ja) 2012-10-17 2016-11-09 日本電信電話株式会社 ノイズ加算装置、ノイズ加算方法、およびプログラム
US8893292B2 (en) 2012-11-14 2014-11-18 Mitsubishi Electric Research Laboratories, Inc. Privacy preserving statistical analysis for distributed databases
JP5575212B2 (ja) 2012-12-03 2014-08-20 三菱電機株式会社 異常検出装置、異常検出方法、及びプログラム
JP5875535B2 (ja) 2013-01-18 2016-03-02 日本電信電話株式会社 匿名化装置、匿名化方法、プログラム
JP5875536B2 (ja) 2013-01-18 2016-03-02 日本電信電話株式会社 匿名化装置、匿名化方法、プログラム
US10146958B2 (en) 2013-03-14 2018-12-04 Mitsubishi Electric Research Laboratories, Inc. Privacy preserving statistical analysis on distributed databases
JP2014211761A (ja) 2013-04-18 2014-11-13 日本電信電話株式会社 解析装置、解析方法及び解析プログラム
US20170161519A1 (en) 2013-11-28 2017-06-08 Nec Corporation Information processing device, information processing method and recording medium
JP6342700B2 (ja) 2014-05-01 2018-06-13 トヨタ自動車株式会社 電力消費行動推定装置
JP6310345B2 (ja) 2014-06-30 2018-04-11 株式会社Ｎｔｔドコモ プライバシー保護装置、プライバシー保護方法及びデータベース作成方法
JP6301767B2 (ja) 2014-07-28 2018-03-28 株式会社日立ソリューションズ パーソナル情報匿名化装置
US10325329B2 (en) * 2014-12-12 2019-06-18 Mcafee, Inc. Smart home security of metered data using a mask

Patent Citations (7)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2005346005A (ja) * 2004-06-07 2005-12-15 Ntt Communications Kk データ秘匿装置、データ秘匿方法、及びデータ秘匿プログラム
JP2009290774A (ja) * 2008-05-30 2009-12-10 Central Res Inst Of Electric Power Ind データ収集システム、データ収集方法およびデータ収集プログラム
JP2012080345A (ja) * 2010-10-01 2012-04-19 Nippon Telegr & Teleph Corp <Ntt> 撹乱システム、撹乱装置、撹乱方法及びプログラム
JP2012133320A (ja) * 2010-12-03 2012-07-12 Mitsubishi Electric Research Laboratories Inc 複数データベースのための差分プライバシー集合分類器
WO2012121024A1 (ja) * 2011-03-04 2012-09-13 日本電気株式会社 乱数値特定装置、乱数値特定システム、および、乱数値特定方法
JP2012196059A (ja) * 2011-03-16 2012-10-11 Toshiba Corp 電力利用調整装置、システムおよびプログラム
JP2013171170A (ja) * 2012-02-21 2013-09-02 Mitsubishi Electric Corp 秘匿集計システム、秘匿集計方法、秘匿集計プログラム、データ撹乱装置、データ撹乱方法、データ撹乱プログラム、データ復元装置、データ復元方法およびデータ復元プログラム

Also Published As

Publication number Publication date
WO2018116366A1 (ja) 2018-06-28
US11163895B2 (en) 2021-11-02
JPWO2018116366A1 (ja) 2019-04-25
CN110088756B (zh) 2023-06-02
CN110088756A (zh) 2019-08-02
US20190303593A1 (en) 2019-10-03

Similar Documents

Publication Publication Date Title
EP3132373B1 (en) Systems and methods for security management of multi-client based distributed storage
US8189778B2 (en) Adaptive generation of a pseudo random number generator seed
Gates et al. Generating summary risk scores for mobile applications
WO2018208451A1 (en) Real time detection of cyber threats using behavioral analytics
JP2016511891A (ja) 大規模データへの妨害攻撃に対するプライバシー
JP2016531513A (ja) 付加ノイズを用いる効用対応プライバシー保護写像のための方法および装置
Sharma et al. PrivateGraph: Privacy-preserving spectral analysis of encrypted graphs in the cloud
JP6501989B2 (ja) 秘匿化装置、データ分析装置、秘匿化方法、データ分析方法、秘匿化プログラム及びデータ分析プログラム
Cummings et al. Challenges towards the next frontier in privacy
Ding et al. Knowledge gradient for selection with covariates: Consistency and computation
JP2016535898A (ja) 結託および合成を考慮した効用対応プライバシー保護写像のための方法および装置
Siby et al. {WebGraph}: Capturing advertising and tracking information flows for robust blocking
KR102639227B1 (ko) 시간 데이터의 획득 또는 조작을 방지하면서 네트워크 데이터의 시퀀스 생성
Zhai et al. An untold story of redundant clouds: Making your service deployment truly reliable
Spooren et al. Leveraging battery usage from mobile devices for active authentication
JP2023002596A (ja) 暗号化されたネットワーク値の集約
Mather et al. Pinpointing side-channel information leaks in web applications
KR102588555B1 (ko) 다중 집계 서버를 사용하여 데이터 조작 방지
Zhang et al. Individual Attribute and Cascade Influence Capability‐Based Privacy Protection Method in Social Networks
Primault et al. Privacy-preserving crowd-sourcing of web searches with private data donor
JP6208029B2 (ja) 業務システムの監視装置及び監視装置の制御方法
Wang et al. Secret sharing scheme with dynamic size of shares for distributed storage system
Heo et al. Personalized DP-SGD using Sampling Mechanisms
KR102155007B1 (ko) 독립성 측정을 이용한 엔트로피 관리 장치 및 방법, 이를 이용한 난수 생성 장치
Christy Data Prevention Technique For Securing The Data

Legal Events

Date Code Title Description
A621 Written request for application examination

Free format text: JAPANESE INTERMEDIATE CODE: A621

Effective date: 20190123

A871 Explanation of circumstances concerning accelerated examination

Free format text: JAPANESE INTERMEDIATE CODE: A871

Effective date: 20190123

A975 Report on accelerated examination

Free format text: JAPANESE INTERMEDIATE CODE: A971005

Effective date: 20190213

TRDD Decision of grant or rejection written
A01 Written decision to grant a patent or to grant a registration (utility model)

Free format text: JAPANESE INTERMEDIATE CODE: A01

Effective date: 20190219

A61 First payment of annual fees (during grant procedure)

Free format text: JAPANESE INTERMEDIATE CODE: A61

Effective date: 20190319

R150 Certificate of patent or registration of utility model

Ref document number: 6501989

Country of ref document: JP

Free format text: JAPANESE INTERMEDIATE CODE: R150

R250 Receipt of annual fees

Free format text: JAPANESE INTERMEDIATE CODE: R250

R250 Receipt of annual fees

Free format text: JAPANESE INTERMEDIATE CODE: R250

R250 Receipt of annual fees

Free format text: JAPANESE INTERMEDIATE CODE: R250