JP7255444B2 - 評価方法、評価プログラムおよび情報処理装置 - Google Patents

Description

本発明は、評価方法、評価プログラムおよび情報処理装置に関する。

従来、個人の様々なデータを本人の同意のもと収集・管理する、情報銀行と呼ばれる仕組みがある。例えば、情報銀行で管理されているデータを一定の条件下で事業者に提供することで、事業者はデータを活用して個人のニーズに合致した情報やサービスなどのオファーを配信することが可能になる（例えば、下記非特許文献１参照）。

ＪＴＢ、大日本印刷と「情報銀行」の実証実験、１２月から、［ｏｎｌｉｎｅ］、トラベルビジョン、［令和１年９月３０日検索］、インターネット＜ＵＲＬ：ｈｔｔｐ：／／ｗｗｗ．ｔｒａｖｅｌｖｉｓｉｏｎ．ｊｐ／ｎｅｗｓ／ｄｅｔａｉｌ．ｐｈｐ？ｉｄ＝８３７６７＞

しかしながら、従来技術では、個人データの流出リスクが高いという問題がある。例えば、オファーを作成する事業者へのデータ提供後は、情報銀行が事業者によるデータの取り扱いを監視することは困難であり、事業者の不注意によるデータ漏洩やデータ転売による流出が起こるおそれがある。

一つの側面では、本発明は、個人データの流出リスクを低減させることを目的とする。

一つの実施態様では、複数の個人の個人データに基づく所定の項目の項目値の分布を示す分布情報と、前記複数の個人のいずれかの個人の個人データとを入力として、前記いずれかの個人が情報提供の対象者であるか否かを示す情報を出力するプログラムを受け付け、所定の規則に基づき、前記分布情報が示す分布を変化させて、互いに異なる分布を示す複数の分布情報を生成し、生成した前記複数の分布情報それぞれと前記いずれかの個人の個人データとを入力として、前記プログラムを実行することで、前記複数の分布情報それぞれについて、前記いずれかの個人が情報提供の対象者であるか否かを示す情報を取得し、前記複数の分布情報それぞれについて取得した前記情報に相違が生じるか否かによって、前記プログラムの正当性を評価する、評価方法が提供される。

本発明の一側面によれば、個人データの流出リスクを低減させることができるという効果を奏する。

図１は、実施の形態にかかる評価方法の一実施例を示す説明図である。 図２は、情報提供システム２００のシステム構成例を示す説明図である。 図３は、情報処理装置１０１のハードウェア構成例を示すブロック図である。 図４は、個人端末２０２のハードウェア構成例を示すブロック図である。 図５は、個人データベースＤの記憶内容の一例を示す説明図である。 図６は、情報処理装置１０１の機能的構成例を示すブロック図である。 図７は、データ作成指定ｇの具体例を示す説明図である。 図８は、実行ファイルの具体例を示す説明図である。 図９は、プログラムｆの具体例を示す説明図である。 図１０は、統計データｓを作成する具体的な処理内容の一例を示す説明図である。 図１１は、プログラムｆを実行した際の動作例を示す説明図である。 図１２は、攻撃用のプログラムｆの具体例を示す説明図である。 図１３は、プログラムｆの評価例を示す説明図である。 図１４は、情報提供システム２００の動作例を示すシーケンス図である。 図１５は、情報処理装置１０１の評価処理手順の一例を示すフローチャート（その１）である。 図１６は、情報処理装置１０１の評価処理手順の一例を示すフローチャート（その２）である。 図１７は、結託攻撃の具体例を示す説明図である。

以下に図面を参照して、本発明にかかる評価方法、評価プログラムおよび情報処理装置の実施の形態を詳細に説明する。

（実施の形態）
図１は、実施の形態にかかる評価方法の一実施例を示す説明図である。図１において、情報処理装置１０１は、ある個人が情報提供の対象者であるか否かを示す情報を出力するプログラムｆを評価するコンピュータである。情報処理装置１０１は、例えば、情報銀行に適用される。プログラムｆは、例えば、情報提供の依頼元である事業者によって作成され、情報提供の提供先となる個人を決めるために用いられる。

情報銀行は、多種多様なオファーを作成する事業者が、個人の様々なデータを分析して、個人に最適なオファーを配信できるようにする仕組みである。しかし、事業者へのデータ提供後は、情報銀行が事業者によるデータの取り扱いを監視することは難しく、事業者へのデータ提供を前提とする既存の仕組みでは、個人データの流出リスクが高い。

信頼の上に成り立つ情報銀行にとっては、一度のデータ漏洩・流出が致命的であるため、データ提供なしで事業者がデータを利活用可能な仕組みが望まれる。

ここで、事業者へのデータ提供なしでオファー配信する仕組みとして、事業者が、情報銀行が事前に準備した条件を指定してオファー配信対象とする個人を指示することが考えられる。しかし、事前に準備された条件（選択肢）から選択することになるため、条件指定の自由度が低い。情報銀行が、事業者が選択したいデータ項目や、その組み合わせ方を全て網羅した条件を事前に準備しておくことは困難である。

また、事業者へのデータ提供なしでオファー配信する他の仕組みとして、事業者がオファー配信対象とする個人を指示するプログラムを作成し、情報銀行でプログラムを動作させ、プログラムの指示に応じてオファー配信を行うことが考えられる。

より詳細に説明すると、例えば、情報銀行は、『事業者が作成したプログラムによって、オファー配信の有無を判断するため』という利用目的に個人が同意した属性の個人データをレコードとするデータベースを持ち、属性の項目とデータ型を事業者へ公開する。属性の項目としては、例えば、住所、年齢、年収、位置情報、ＳＮＳ（Ｓｏｃｉａｌ Ｎｅｔｗｏｒｋｉｎｇ Ｓｅｒｖｉｃｅ）投稿などがある。

データ型としては、例えば、整数型、文字列型などがある。事業者は、情報銀行に対して、データベースを分析して個人に対するオファー配信の有無の指示を出力するプログラムとオファーを送付する。情報銀行は、事業者からのプログラムを実行して得られる出力結果に従って、個人へオファーを配信する。

このプログラム送付型オファー配信の方式によれば、事業者へ個人データを提供しないため、個人データの悪用や漏洩の発生リスクを低減したオファー配信機能を提供することができる。また、プログラムで柔軟に個人を指示できるため、情報銀行が事前に準備した条件を指定して個人を指示する場合に比べて自由度が高い。

しかしながら、この方式では、ある個人（結託個人）と結託した悪意ある事業者が、結託個人と攻撃対象の個人の両者の個人データを用いてオファー配信指示を意図的に変更する攻撃用プログラムを情報銀行に送付することで、攻撃対象の個人のデータを盗取する脅威（以下、「結託攻撃」という）がある。

結託攻撃の目的は、攻撃対象の個人について、未知のデータ（属性）を知ることである。攻撃者（悪意ある事業者）は、攻撃対象の個人が情報銀行を利用していることや、情報銀行のデータベースにおいて攻撃対象の個人を特定する情報を知識として持っている。個人を特定する情報としては、例えば、氏名、年齢、位置情報、購買履歴や、それらの組み合わせなどである。

また、前提として、情報銀行を利用する個人の中に、攻撃者と結託する個人（結託個人）が１人以上いるとする。攻撃者は、結託個人へのオファー配信の有無を知ることができ、結託個人が情報銀行に預託するデータの属性や属性値を操作可能であるとする。このような知識や前提のもと、事業者が個人と結託し、攻撃用プログラムを情報銀行に送付することで、攻撃対象の個人のデータを盗取される場合がある。

ここで、図１７を用いて、結託攻撃の具体例について説明する。

図１７は、結託攻撃の具体例を示す説明図である。ここでは、結託攻撃の目的を、攻撃対象の個人の年収が８００万円以上であるかを知ることとする。攻撃対象の個人を特定する情報を、氏名“タロウ”とする。攻撃者は、「攻撃対象の個人の年収が８００万円以上なら結託個人へオファーを配信し、それ以外なら結託個人へオファーを配信しない」プログラムを情報銀行に送付する。

図１７の例では、事業者が、個人（６６６）と結託する。そして、事業者が、攻撃対象の個人（氏名“タロウ”）の年収に反応して、結託個人（個人６６６）にオファーを配信するプログラムＴを情報銀行に送付する。これにより、事業者は、結託個人（個人６６６）へオファーが来たとき、攻撃対象のタロウ（個人２）の年収が８００万円以上であると知ることができる。

そこで、本実施の形態では、例えば、事業者へのデータ提供なしにオファー配信（情報提供）を実現するにあたり、プログラム送付型オファー配信により条件指定の自由度を確保しつつ、結託個人を介して攻撃対象のデータを盗取する結託攻撃を防いで、個人データの流出リスクを低減させる評価方法について説明する。

上述した従来方式のプログラム送付型オファー配信では、事業者が作成したプログラムが、個人全員のデータにアクセスできるため、攻撃による情報盗取が容易である。例えば、図１７の例では、タロウ（個人２）のデータを参照して、結託個人（個人６６６）へのオファーの配信有無を変更できるため、結託攻撃を容易に行うことができる。

本実施の形態では、事業者が作成したプログラムへのデータの入力を制限することで、攻撃による情報盗取を防ぐ。ただし、ある個人へのオファー配信の有無を指示するにあたり、他の個人のデータを一切使用できないようにすると、例えば、「他者と比べて疲れている」などの相対評価を行うことができず、正当な事業者にとって制限が強い。

このため、事業者が指定した方法によって作成した統計データ（分布情報）に限りアクセスできるようにする。統計データは、複数の個人のデータを統計処理して得られる情報であり、例えば、年収８００万円以上の人数などの情報である。統計データは、複数の個人のデータの分布を調べ、その結果を数値で表現したものであるため、個人を特定する情報ではない。

ところが、統計データからも、状況によっては情報盗取が可能な場合がある。例えば、統計処理して得られた値（統計値）が「１」の場合、個人を特定できてしまうため攻撃が可能となる。一例として、攻撃対象の個人（氏名“タロウ”）の年収が８００万円以上かを知りたい場合を想定する。なお、氏名“タロウ”は、個人を特定できるデータとする。

この場合、統計データの値（氏名“タロウ”、かつ、年収“８００万円以上”の人数）が「１」の場合に、結託個人へオファー配信するプログラムを作成することで、攻撃者が“タロウ”の年収が８００万円以上であることを知ることができる。このため、統計データが「１」の値を含む場合、統計データを開示しない対策を取ることで、情報盗取を防ぐことが考えられる。

しかし、値が２以上であっても、結託している個人の人数が多いと、攻撃が可能となる。例えば、攻撃者が、９人の個人と結託して、結託個人の氏名を“タロウ”とし、年収を“８００万円以上”として個人データを登録したとする。この場合、統計データの値（氏名“タロウ”、かつ、年収“８００万円以上”の人数）が「１０」の場合に、結託個人へオファー配信するプログラムを作成することで、攻撃者が“タロウ”の年収が８００万円以上であることを知ることができる。

すなわち、１０人中９人は結託個人のため、結託個人へオファー配信されたということは、残り１人の攻撃対象の“タロウ”の年収が８００万円以上であることがわかる。このように、統計データの値（人数）を監視するだけでは、結託攻撃による情報盗取を防ぐことは困難である。

そこで、本実施の形態では、情報盗取が攻撃対象の個人１人のデータに依存したプログラムにより実現されることに着目し、例えば、統計データの人数が少し変化するだけで、出力が変わるようなプログラムを攻撃とみなすことで、結託攻撃を防ぐ。以下、情報処理装置１０１の処理例について説明する。

（１）情報処理装置１０１は、プログラムｆを受け付ける。ここで、プログラムｆは、複数の個人の個人データに基づく所定の項目の項目値の分布を示す分布情報と、複数の個人のいずれかの個人の個人データとを入力として、当該いずれかの個人が情報提供の対象者であるか否かを示す情報を出力するプログラムである。プログラムｆ内の個人データに係る処理において、ある個人が情報提供の対象者であるかを決める際には、分布情報と同個人の個人データのみしか参照できないように制限される。

以下の説明では、複数の個人を「個人１～ｍ」と表記し（ｍ：２以上の自然数）、個人１～ｍのいずれかの個人を「個人ｉ」と表記する場合がある（ｉ＝１，２，…，ｍ）。

ここで、所定の項目は、各個人ｉの特徴をあらわすものであり、例えば、個人データに含まれる項目（例えば、年収）であってもよいし、また、個人データに含まれる複数の項目を組み合わせたもの（例えば、住所＋年収）であってもよい。項目値は、例えば、所定の項目を「年収」とすると、８５４万円などの具体的な値である。

分布情報は、個人１～ｍの所定の項目の項目値がどのように分布しているのかを特定する情報であり、例えば、個人１～ｍの所定の項目の項目値を統計処理して得られる複数の統計値（人数）を示す統計データである。例えば、統計値は、「年収が８００万円以上の人数」や「年収が８００万円未満の人数」などである。

図１の例では、情報処理装置１０１は、事業者Ｘからオファー（高級温泉プラン）の配信依頼とともに、データ作成指定ｇ_xとプログラムｆ_xとを受け付けた場合を想定する。データ作成指定ｇ_xは、個人データベースＤを統計処理して統計データｓを作成する際の条件の指定を示す。統計データｓは、分布情報に相当する。個人データベースＤは、個人１～ｎの個人データｄ₁～ｄ_mを記憶する。個人データｄ_iは、例えば、『事業者が作成したプログラムｆによって、オファー配信の有無を判断するため』という利用目的に個人ｉが同意した項目（属性）のデータである。

データ作成指定ｇ_xでは、例えば、情報銀行が公開している個人データの項目（例えば、年収）、その統計化の粒度（例えば、年収１００万円刻み）、統計値の算出方法（例えば、ＳＮＳ投稿に“温泉”が含まれていたら１人加算）などが指定される。プログラムｆ_xは、統計データｓと個人ｉの個人データｄ_iとを入力として、個人ｉが情報提供の対象者であるか否かを示す情報ｏ_iを出力する。

（２）情報処理装置１０１は、所定の規則に基づき、分布情報が示す分布を変化させて、互いに異なる分布を示す複数の分布情報を生成する。ここで、所定の規則は、任意に設定可能であり、例えば、分布情報（統計データｓ）が示す統計値を変化（増減）させる変化量を規定する。

具体的には、例えば、情報処理装置１０１は、個人データベースＤとデータ作成指定ｇ_xから統計データｓを作成する。つぎに、情報処理装置１０１は、統計データｓが示す統計値（人数）に所定のノイズ（例えば、「１」または「－１」）を加えることにより、互いに異なる複数の統計データｓ’を作成する。なお、統計データｓ’の一つとして、統計データｓを流用することにしてもよい。

図１の例では、統計データｓが示す４個の統計値それぞれにノイズ（人数を１減らす）を加えることにより、統計データｓ’₁～ｓ’₄が作成された場合を想定する。

（３）情報処理装置１０１は、生成した複数の分布情報それぞれと個人ｉの個人データとを入力として、プログラムｆを実行することで、複数の分布情報それぞれについて、個人ｉが情報提供の対象者であるか否かを示す情報を取得する。

図１の例では、情報処理装置１０１は、各統計データｓ’₁～ｓ’₄と個人ｉの個人データｄ_iとを入力として、プログラムｆ_xを実行することで、統計データｓ’₁～ｓ’₄それぞれについて、個人ｉが情報提供の対象者であるか否かを示す情報ｏ’₁～ｏ’₄を取得する。

（４）情報処理装置１０１は、複数の分布情報それぞれについて取得した情報に相違が生じるか否かによって、プログラムｆの正当性を評価する。ここで、プログラムｆの正当性を評価するとは、プログラムｆが、正当であるか、正当ではない（攻撃用）かを判定することである。

図１の例では、情報処理装置１０１は、例えば、情報ｏ’₁～ｏ’₄に相違が生じない場合（情報ｏ’₁～ｏ’₄が全て同じ情報）に、プログラムｆ_xが正当であると判定する。また、情報処理装置１０１は、情報ｏ’₁～ｏ’₄に相違が生じる場合（情報ｏ’₁～ｏ’₄の少なくともいずれかの情報が他の情報と異なる）には、プログラムｆ_xが正当ではないと判定する。

このように、情報処理装置１０１によれば、結託攻撃が攻撃対象となる個人１人のデータに依存したプログラムにより実現されることに着目して、個人ｉへの情報提供（オファー配信）の有無を指示するプログラムｆの正当性を評価することができる。これにより、プログラムｆを用いて事業者へのデータ提供なしにオファー配信を行うにあたり、攻撃用プログラムを検出して結託攻撃を防ぐことができ、個人データの流出リスクを低減させることができる。

図１の例では、プログラムｆ_xが正当ではないと判定された場合には、プログラムｆ_xを攻撃用プログラムとして検出でき、事業者Ｘによる結託攻撃を防いで、個人ｉの情報が盗取されるのを防ぐことができる。なお、プログラムｆ_xが正当であると判定された場合には、例えば、情報処理装置１０１は、プログラムｆ_xを実行して得られる出力結果に従って、個人ｉへオファー（高級温泉プラン）を配信する。

（情報提供システム２００のシステム構成例）
つぎに、図１に示した情報処理装置１０１を含む情報提供システム２００のシステム構成例について説明する。情報提供システム２００は、例えば、情報銀行を介して、事業者からのオファーを個人へ配信するコンピュータシステムに適用される。

図２は、情報提供システム２００のシステム構成例を示す説明図である。図２において、情報提供システム２００は、情報処理装置１０１と、複数の事業者端末２０１と、複数の個人端末２０２と、を含む。情報提供システム２００において、情報処理装置１０１、複数の事業者端末２０１および複数の個人端末２０２は、有線または無線のネットワーク２１０を介して接続される。ネットワーク２１０は、例えば、ＬＡＮ（Ｌｏｃａｌ Ａｒｅａ Ｎｅｔｗｏｒｋ）、ＷＡＮ（Ｗｉｄｅ Ａｒｅａ Ｎｅｔｗｏｒｋ）、インターネットなどである。

情報処理装置１０１は、個人データベースＤを有し、個人ｉが情報提供の対象者であるか否かを示す情報ｏ_iを出力するプログラムｆを評価する。情報処理装置１０１は、例えば、情報銀行が運用するサーバである。なお、個人データベースＤの記憶内容については、図５を用いて後述する。

事業者端末２０１は、オファー配信の依頼元である事業者が使用するコンピュータである。事業者端末２０１は、例えば、サーバであってもよく、また、ＰＣ（Ｐｅｒｓｏｎａｌ Ｃｏｍｐｕｔｅｒ）、タブレット型ＰＣなどであってもよい。

個人端末２０２は、情報提供システム２００のユーザ（個人ｉ）が使用するコンピュータである。個人端末２０２は、例えば、スマートフォン、タブレット型ＰＣなどである。

（情報処理装置１０１のハードウェア構成例）
つぎに、情報処理装置１０１のハードウェア構成例について説明する。

図３は、情報処理装置１０１のハードウェア構成例を示すブロック図である。図３において、情報処理装置１０１は、ＣＰＵ（Ｃｅｎｔｒａｌ Ｐｒｏｃｅｓｓｉｎｇ Ｕｎｉｔ）３０１と、メモリ３０２と、ディスクドライブ３０３と、ディスク３０４と、通信Ｉ／Ｆ（Ｉｎｔｅｒｆａｃｅ）３０５と、可搬型記録媒体Ｉ／Ｆ３０６と、可搬型記録媒体３０７と、を有する。また、各構成部は、バス３００によってそれぞれ接続される。

ここで、ＣＰＵ３０１は、情報処理装置１０１の全体の制御を司る。ＣＰＵ３０１は、複数のコアを有していてもよい。メモリ３０２は、例えば、ＲＯＭ（Ｒｅａｄ Ｏｎｌｙ Ｍｅｍｏｒｙ）、ＲＡＭ（Ｒａｎｄｏｍ Ａｃｃｅｓｓ Ｍｅｍｏｒｙ）およびフラッシュＲＯＭなどを有する。具体的には、例えば、フラッシュＲＯＭがＯＳ（Ｏｐｅｒａｔｉｎｇ Ｓｙｓｔｅｍ）のプログラムを記憶し、ＲＯＭがアプリケーションプログラムを記憶し、ＲＡＭがＣＰＵ３０１のワークエリアとして使用される。メモリ３０２に記憶されるプログラムは、ＣＰＵ３０１にロードされることで、コーディングされている処理をＣＰＵ３０１に実行させる。

ディスクドライブ３０３は、ＣＰＵ３０１の制御に従ってディスク３０４に対するデータのリード／ライトを制御する。ディスク３０４は、ディスクドライブ３０３の制御で書き込まれたデータを記憶する。ディスク３０４としては、例えば、磁気ディスク、光ディスクなどが挙げられる。

通信Ｉ／Ｆ３０５は、通信回線を通じてネットワーク２１０に接続され、ネットワーク２１０を介して外部のコンピュータ（例えば、図２に示した事業者端末２０１、個人端末２０２）に接続される。そして、通信Ｉ／Ｆ３０５は、ネットワーク２１０と装置内部とのインターフェースを司り、外部のコンピュータからのデータの入出力を制御する。通信Ｉ／Ｆ３０５には、例えば、モデムやＬＡＮアダプタなどを採用することができる。

可搬型記録媒体Ｉ／Ｆ３０６は、ＣＰＵ３０１の制御に従って可搬型記録媒体３０７に対するデータのリード／ライトを制御する。可搬型記録媒体３０７は、可搬型記録媒体Ｉ／Ｆ３０６の制御で書き込まれたデータを記憶する。可搬型記録媒体３０７としては、例えば、ＣＤ（Ｃｏｍｐａｃｔ Ｄｉｓｃ）－ＲＯＭ、ＤＶＤ（Ｄｉｇｉｔａｌ Ｖｅｒｓａｔｉｌｅ Ｄｉｓｋ）、ＵＳＢ（Ｕｎｉｖｅｒｓａｌ Ｓｅｒｉａｌ Ｂｕｓ）メモリなどが挙げられる。

なお、情報処理装置１０１は、上述した構成部のほかに、例えば、ＳＳＤ（Ｓｏｌｉｄ Ｓｔａｔｅ Ｄｒｉｖｅ）、入力装置、ディスプレイ等を有することにしてもよい。また、情報処理装置１０１は、上述した構成部のうち、例えば、ディスクドライブ３０３、ディスク３０４、可搬型記録媒体Ｉ／Ｆ３０６、可搬型記録媒体３０７を有していなくてもよい。図２に示した事業者端末２０１についても、情報処理装置１０１と同様のハードウェア構成により実現することができる。

（個人端末２０２のハードウェア構成例）
つぎに、個人端末２０２のハードウェア構成例について説明する。

図４は、個人端末２０２のハードウェア構成例を示すブロック図である。図４において、個人端末２０２は、ＣＰＵ４０１と、メモリ４０２と、ＧＰＳ（Ｇｌｏｂａｌ Ｐｏｓｉｔｉｏｎｉｎｇ Ｓｙｓｔｅｍ）ユニット４０３と、通信Ｉ／Ｆ４０４と、ディスプレイ４０５と、入力装置４０６と、可搬型記録媒体Ｉ／Ｆ４０７と、可搬型記録媒体４０８と、を有する。また、各構成部はバス４００によってそれぞれ接続される。

ここで、ＣＰＵ４０１は、個人端末２０２の全体の制御を司る。ＣＰＵ４０１は、複数のコアを有していてもよい。メモリ４０２は、例えば、ＲＯＭ、ＲＡＭおよびフラッシュＲＯＭなどを有する記憶部である。具体的には、例えば、フラッシュＲＯＭやＲＯＭが各種プログラムを記憶し、ＲＡＭがＣＰＵ４０１のワークエリアとして使用される。メモリ４０２に記憶されるプログラムは、ＣＰＵ４０１にロードされることで、コーディングされている処理をＣＰＵ４０１に実行させる。

ＧＰＳユニット４０３は、ＧＰＳ衛星からの電波を受信し、個人端末２０２の位置情報を出力する。個人端末２０２の位置情報は、例えば、緯度、経度などの地球上の１点を特定する情報である。また、情報処理装置１０１は、ＤＧＰＳ（Ｄｉｆｆｅｒｅｎｔｉａｌ ＧＰＳ）により、ＧＰＳユニット４０３から出力される位置情報を補正することにしてもよい。また、衛星として、例えば、準天頂衛星システムの衛星を用いることにしてもよい。

通信Ｉ／Ｆ４０４は、通信回線を通じてネットワーク２１０（図２参照）に接続され、ネットワーク２１０を介して外部のコンピュータ（例えば、情報処理装置１０１）に接続される。そして、通信Ｉ／Ｆ４０４は、ネットワーク２１０と自装置内部とのインターフェースを司り、外部装置からのデータの入出力を制御する。

ディスプレイ４０５は、カーソル、アイコンあるいはツールボックスをはじめ、文書、画像、機能情報などのデータを表示する表示装置である。ディスプレイ４０５としては、例えば、液晶ディスプレイや有機ＥＬ（Ｅｌｅｃｔｒｏｌｕｍｉｎｅｓｃｅｎｃｅ）ディスプレイなどを採用することができる。

入力装置４０６は、文字、数字、各種指示などの入力のためのキーを有し、データの入力を行う。入力装置４０６は、キーボードやマウスなどであってもよく、また、タッチパネル式の入力パッドやテンキーなどであってもよい。

可搬型記録媒体Ｉ／Ｆ４０７は、ＣＰＵ４０１の制御に従って可搬型記録媒体４０８に対するデータのリード／ライトを制御する。可搬型記録媒体４０８は、可搬型記録媒体Ｉ／Ｆ４０７の制御で書き込まれたデータを記憶する。

なお、個人端末２０２は、上述した構成部のほかに、例えば、ＨＤＤ（Ｈａｒｄ Ｄｉｓｋ Ｄｒｉｖｅ）、ＳＳＤ、スキャナ、プリンタなどを有することにしてもよい。また、個人端末２０２は、上述した構成部のうち、例えば、可搬型記録媒体Ｉ／Ｆ４０７、可搬型記録媒体４０８を有していなくてもよい。

（個人データベースＤの記憶内容）
つぎに、情報処理装置１０１が有する個人データベースＤの記憶内容について説明する。個人データベースＤは、例えば、図３に示したメモリ３０２、ディスク３０４などの記憶装置により実現される。

図５は、個人データベースＤの記憶内容の一例を示す説明図である。図５において、個人データベースＤは、個人ＩＤ、位置情報、年収、性別および年齢のフィールドを有し、各フィールドに情報を設定することで、個人データｄ₁～ｄ_mをレコードとして記憶する。個人データｄ_iは、『事業者が作成したプログラムｆによって、オファー配信の有無を判断するため』という利用目的に個人ｉが同意した項目（属性項目）のデータである。

ここで、個人ＩＤは、個人ｉを一意に識別する識別子である。位置情報は、個人ｉの現在地を示す位置情報（緯度、経度）である。位置情報は、例えば、個人端末２０２のＧＰＳユニット４０３（図４参照）により計測され、個人端末２０２から情報銀行（情報処理装置１０１）に定期的にアップされる。年収は、個人ｉの年収である（単位：万円）。性別は、個人ｉの性別である。年齢は、個人ｉの年齢である。

なお、図示は省略するが、個人データｄ_iには、例えば、住所、健康データ、購入履歴、趣味、ＳＮＳ投稿などの他のフィールド（項目）を有していてもよい。また、個人データｄ_iには、情報が未設定のフィールドが含まれていてもよい。

（情報処理装置１０１の機能的構成例）
図６は、情報処理装置１０１の機能的構成例を示すブロック図である。図６において、情報処理装置１０１は、受付部６０１と、作成部６０２と、生成部６０３と、評価部６０４と、提供部６０５と、出力部６０６と、を含む。具体的には、例えば、受付部６０１～出力部６０６は、図３に示したメモリ３０２、ディスク３０４、可搬型記録媒体３０７などの記憶装置に記憶されたプログラムをＣＰＵ３０１に実行させることにより、または、通信Ｉ／Ｆ３０５により、その機能を実現する。各機能部の処理結果は、例えば、メモリ３０２、ディスク３０４などの記憶装置に記憶される。

受付部６０１は、プログラムｆを受け付ける。ここで、プログラムｆは、統計データｓと個人ｉの個人データｄ_iとを入力として、個人ｉが情報提供の対象者であるか否かを示す情報ｏ_iを出力する（ｏ_i＝ｆ（ｓ，ｄ_i））。統計データｓは、個人１～ｍの個人データｄ₁～ｄ_mに基づく所定の項目の項目値の分布を示す分布情報である。プログラムｆ内の個人データに係る処理において、個人ｉへの情報提供（オファー配信）の有無を決める際には、統計データｓと同個人ｉの個人データｄ_iのみしか参照できないように制限される。

また、受付部６０１は、データ作成指定ｇを受け付ける。ここで、データ作成指定ｇは、個人１～ｍの個人データｄ₁～ｄ_mを統計処理して統計データｓを作成する際の条件の指定を示す。具体的には、例えば、受付部６０１は、事業者端末２０１（図２参照）からオファー配信依頼を受信することにより、当該オファー配信依頼に含まれるデータ作成指定ｇとプログラムｆとを受け付けることにしてもよい。

オファー配信依頼は、個人ｉへのオファーの配信を依頼するものである。オファーの内容は、例えば、事業者によって任意に設定可能である。なお、オファー配信依頼に含まれるデータ作成指定ｇおよびプログラムｆは、例えば、オファー配信依頼の依頼元の事業者と対応付けて管理される。

ここで、図７および図８を用いて、データ作成指定ｇの具体例について説明する。

図７は、データ作成指定ｇの具体例を示す説明図である。図７において、データ作成指定ｇは、個人データベースＤを統計処理して統計データｓ（分布情報）を作成する際の条件の指定を示す。データ作成指定ｇは、ファイル指定ｇ．Ｐと条件ｇ．Ｓとを含む。

ファイル指定ｇ．Ｐは、統計データｓの作成に用いる実行ファイル（例えば、図８参照）と実行ファイルの引数として利用する属性項目との組を示す。実行ファイルＩＤは、実行ファイルを一意に識別する識別子である。属性項目は、個人データｄ_iの項目（フィールド）に相当する。ファイル指定ｇ．Ｐは、統計データｓを作成するにあたり、個人ｉをカウントするか否かを決めるための情報である。

また、条件ｇ．Ｓは、統計データｓを作成する際の条件を示す。ここでは、条件ｇ．Ｓは、どの実行ファイルの組み合わせで統計データｓを作成するのかを示す。実行ファイルＩＤで指示された実行ファイルの戻り値に基づいて統計データｓが作成される。

図８は、実行ファイルの具体例を示す説明図である。図８において、実行ファイル８０１～８０４は、統計データｓの作成に用いられる実行ファイルのコード例を示す。実行ファイル８０１は、図７に示した実行ファイルＩＤ「１」の実行ファイル「ａ．ｅｘｅ」に相当する。

実行ファイル８０２は、図７に示した実行ファイルＩＤ「２」の実行ファイル「ｂ．ｅｘｅ」に相当する。なお、ｃａｌＤｉｓ（ｘ，ｙ）は、ｘ、ｙ間の距離（ｍ）を算出する関数である。実行ファイル８０３は、図７に示した実行ファイルＩＤ「３」の実行ファイル「ｃ．ｅｘｅ」に相当する。実行ファイル８０４は、図７に示した実行ファイルＩＤ「４」の実行ファイル「ｄ．ｅｘｅ」に相当する。

図７および図８に示したデータ作成指定ｇによれば、「武蔵中原駅／武蔵小杉駅から１ｋｍ以内」と「年収８００万円以上／未満」とを条件として統計データｓを作成するよう指定することができる。

つぎに、図９を用いて、プログラムｆの具体例について説明する。ここでは、高所得者（年収８００万円以上）が最多の駅周辺にいる個人ｉへ、駅近くの高級マンションのオファーを配信する場合を例に挙げて説明する。

図９は、プログラムｆの具体例を示す説明図である。図９において、プログラム９００は、統計データｓと個人ｉの個人データｄ_iとを入力として、個人ｉが情報提供の対象者であるか否かを示す情報ｏ_iを出力するプログラムｆの一例である。“ｄ．属性項目名”は、個人ｉの個人データｄ_iから抽出される、属性項目名で指定された属性項目の項目値を示す。

プログラム９００には、統計データｓの要素ｓ１，ｓ２のうち、要素ｓ１が示す統計値が大きいときは、個人ｉが、武蔵中原駅の１ｋｍ以内に存在し、かつ、年収８００万円以上の場合に「ｏ_i＝１」とし、それ以外は「ｏ_i＝０」とする処理が記述されている。要素ｓ１が示す統計値は、「武蔵中原駅の１ｋｍ以内に存在し、かつ、年収８００万円以上の人数」である。要素ｓ２が示す統計値は、「武蔵小杉駅の１ｋｍ以内に存在し、かつ、年収８００万円以上の人数」である。

また、要素ｓ１，ｓ２のうち、要素ｓ２が示す統計値が大きいときは、個人ｉが、武蔵小杉駅の１ｋｍ以内に存在し、かつ、年収８００万円以上の場合に「ｏ_i＝１」とし、それ以外は「ｏ_i＝０」とする処理が記述されている。なお、ｃａｌＤｉｓ（ｘ，ｙ）は、ｘ、ｙ間の距離（ｍ）を算出する関数である。ａｒｇｍａｘ（ｓ，ｉｎｄｅｘ）は、配列ｉｎｄｅｘの要素で指定された要素番号（今回は１と２）で参照されるｓの要素のうち、最大値となる要素の要素番号（今回は１または２）を返す関数である。

図６の説明に戻り、作成部６０２は、個人データベースＤを統計処理して統計データｓを作成する。具体的には、例えば、作成部６０２は、データ作成指定ｇを参照して、個人１～ｍの個人データｄ₁～ｄ_mに基づき所定の項目の項目値を統計処理することで、所定の項目に関する複数の統計値を示す統計データｓを作成する。

所定の項目は、個人データｄ_iに含まれる項目、または、個人データｄ_iに含まれる複数の項目の組合せによって指定される。所定の項目は、例えば、ファイル指定ｇ．Ｐで指定される。統計処理の内容は、例えば、条件ｇ．Ｓで指定される。

ここで、図１０を用いて、統計データｓを作成する際の具体的な処理内容について説明する。

図１０は、統計データｓを作成する具体的な処理内容の一例を示す説明図である。図１０において、（処理手順１．）作成部６０２は、統計データｓの全ての要素ｓ（ｓ［１］～ｓ［４］）に０を代入する。なお、ｓ［１］～ｓ［４］は、要素ｓ１～ｓ４に対応する。（処理手順２．）作成部６０２は、個人データベースＤ内の全ての個人データｄ_iについて、下記（ａ）、（ｂ）および（ｃ）の処理を実行する。

（ａ）作成部６０２は、ファイル指定ｇ．Ｐで指定された属性項目の項目値を個人データｄ_iから抽出して、実行ファイルに引数として入力する。

（ｂ）作成部６０２は、ファイル指定ｇ．Ｐの実行ファイルをサンドボックス上で実行する。

（ｃ）作成部６０２は、条件ｇ．Ｓの統計データＩＤ「ｋ」に紐付いた実行ファイルの戻り値の全てが“Ｔｒｕｅ"の場合に、「ｓ［ｋ］←ｓ［ｋ］＋１」を実行する。

これにより、要素ｓ１～ｓ４を含む統計データｓを作成することができる。要素ｓ１は、「武蔵中原駅の１ｋｍ以内に存在し、かつ、年収８００万円以上の人数」である。要素ｓ２は、「武蔵小杉駅の１ｋｍ以内に存在し、かつ、年収８００万円以上の人数」を示す。要素ｓ３は、「武蔵中原駅の１ｋｍ以内に存在し、かつ、年収８００万円未満の人数」である。要素ｓ４は、「武蔵小杉駅の１ｋｍ以内に存在し、かつ、年収８００万円未満の人数」を示す。

つぎに、図１１を用いて、情報処理装置１０１においてプログラムｆを実行した際の動作例について説明する。ここでは、プログラムｆとして、図９に示したプログラム９００を実行する場合を例に挙げて説明する。また、プログラムｆに入力として与える統計データｓとして、図１０に示した統計データｓを例に挙げて説明する。

図１１は、プログラムｆを実行した際の動作例を示す説明図である。図１１において、情報処理装置１０１は、個人データベースＤ内の全ての個人データｄ_iについて、下記（ｉ）、（ｉｉ）および（ｉｉｉ）の処理を実行する（ｍ回実行）。

（ｉ）情報処理装置１０１は、統計データｓと個人データｄ_iとを引数としてプログラムｆに与える。

（ｉｉ）情報処理装置１０１は、プログラムｆをサンドボックス上で実行する。サンドボックスとは、インターネットへの接続やプログラムによるファイル入出力、他のプログラムとの連携などを制限するセキュリティ機構（環境）である。

（ｉｉｉ）情報処理装置１０１は、戻り値をｏ_iへ代入する。

これにより、プログラムｆ（図９に示したプログラム９００）によれば、統計データｓから高所得者（年収８００万円以上）が最多の駅が武蔵中原駅であることを特定し、個人データｄ_iに基づき高所得者かつ武蔵中原駅周辺にいる個人ｉのｏ_iを「１」にすることができる。なお、プログラムｆは統計データｓと個人データｄ_iとを入力として処理を実行するため、個人ｉへのオファー配信の有無を示す結果（ｏ_i）は、統計データｓと個人データｄ_iに基づいてのみ決定される。

図６の説明に戻り、生成部６０３は、所定の規則に基づき、統計データｓ（分布情報）が示す分布を変化させて、互いに異なる分布を示す複数の統計データｓ’を生成する。具体的には、例えば、生成部６０３は、統計データｓが示す複数の統計値（要素）それぞれに所定のノイズを加えることにより、互いに異なる分布を示す複数の統計データｓ’を生成する。所定のノイズは、任意に設定可能であり、例えば、１または－１に設定される。

これにより、統計データｓが示す分布を変化させて、当該分布とは異なり、かつ、互いに異なる分布を示す複数の統計データｓ’を生成することができる。なお、複数の統計データｓ’の生成例については、図１３を用いて後述する。

評価部６０４は、生成された複数の統計データｓ’それぞれと個人ｉの個人データｄ_iとを入力として、プログラムｆを実行することで、複数の統計データｓ’それぞれについて、個人ｉが情報提供の対象者であるか否かを示す情報ｏ’_iを取得する。そして、評価部６０４は、複数の統計データｓ’それぞれについて取得した情報ｏ’_iに相違が生じるか否かによって、プログラムｆの正当性を評価する。

以下の説明では、複数の統計データｓ’を「統計データｓ’₁～ｓ’_n」と表記する場合がある（ｎ：２以上の自然数）。また、統計データｓ’₁～ｓ’_nのうちの任意の統計データを「統計データｓ’_j」と表記する場合がある（ｊ＝１，２，…，ｎ）。また、統計データｓ’_jと個人データｄ_iとを入力として、プログラムｆを実行することで得られる情報ｏ’_iを「ｏ’_j,i」と表記する場合がある。

具体的には、例えば、評価部６０４は、統計データｓ’_jそれぞれについて取得した情報ｏ’_j,iに相違が生じない場合に、プログラムｆが正当であると判定する。また、評価部６０４は、統計データｓ’_jそれぞれについて取得した情報ｏ’_j,iに相違が生じる場合には、プログラムｆが正当ではないと判定する。なお、プログラムｆの評価例については、図１３を用いて後述する。

提供部６０５は、プログラムｆが正当であると判定された場合、生成された統計データｓ’₁～ｓ’_nのいずれかの統計データｓ’_jと個人データｄ_iとを入力として、プログラムｆを実行して得られる出力結果（ｏ’_j,i）から、個人ｉが情報提供の対象者であるか否かを判断する。

具体的には、例えば、提供部６０５は、出力結果が「ｏ’_j,i＝１」の場合、個人ｉが情報提供の対象者であると判断する。また、提供部６０５は、出力結果が「ｏ’_j,i＝０」の場合には、個人ｉが情報提供の対象者ではないと判断する。

なお、提供部６０５は、統計データｓと個人データｄ_iとを入力として、プログラムｆを実行して得られる出力結果（ｏ_i）から、個人ｉが情報提供の対象者であるか否かを判断することにしてもよい。

また、提供部６０５は、情報提供の対象者であると判断した個人ｉに対する情報提供を行う。具体的には、例えば、提供部６０５は、情報提供の対象者であると判断した個人ｉの個人端末２０２に対して、事業者から配信依頼されたオファーを配信する。ただし個人ｉに対する情報提供は、情報処理装置１０１とは異なる他のコンピュータから行うことにしてもよい。

出力部６０６は、プログラムｆの評価結果を出力する。具体的には、例えば、出力部６０６は、プログラムｆが正当ではないと判定された場合に、情報提供の依頼元を特定する情報と対応付けて、プログラムｆの評価結果を出力することにしてもよい。情報提供の依頼元は、プログラムｆを含むオファー配信（情報提供）の依頼元の事業者である。

また、出力部６０６は、プログラムｆが正当ではないと判定された場合に、生成された統計データｓ’_j間で情報ｏ’_j,iの相違が生じた個人ｉを特定する情報を出力することにしてもよい。ここで、統計データｓ’_j間で情報ｏ’_j,iの相違が生じた個人ｉは、結託個人である可能性が高い個人である。

具体的には、例えば、出力部６０６は、プログラムｆが正当ではないと判定された場合に、情報提供の依頼元を特定する情報と、統計データｓ’_j間で情報ｏ’_j,iの相違が生じた個人ｉを特定する情報とを対応付けて、プログラムｆの評価結果を出力することにしてもよい。

なお、出力部６０６の出力形式としては、例えば、メモリ３０２、ディスク３０４などの記憶装置への記憶、通信Ｉ／Ｆ３０５による他のコンピュータへの送信、不図示のディスプレイへの表示、不図示のプリンタへの印刷出力などがある。

また、提供部６０５は、プログラムｆが正当でないと判定された場合には、配信停止等の処理を行うことにしてもよい。具体的には、例えば、提供部６０５は、正当でないと判定されたプログラムｆに対応する事業者から依頼されたオファーについて、全個人１～ｍへのオファー配信を行わないことにしてもよい。また、提供部６０５は、統計データｓ’_j間で情報ｏ’_j,iの相違が生じた個人ｉ（結託個人と予想される個人）へのオファー配信を確率的に変化させる処理を行うことにしてもよい。

（攻撃用のプログラムｆの具体例）
つぎに、図１２を用いて、攻撃用のプログラムｆの具体例について説明する。

図１２は、攻撃用のプログラムｆの具体例を示す説明図である。ここでは、攻撃者の目的は、攻撃対象の個人の年収が８００万円以上であるかを知ることであるとする。攻撃者の知識として、武蔵中原駅の１ｋｍ以内に個人１人しかおらず、その個人が攻撃対象であることを知っているとする。

また、前提として、攻撃者が結託個人を８０人用意し、以下のように個人データベースＤ内の個人データの属性項目の項目値を操作したとする。なお、「年齢：１２０歳」は、個人データベースＤ内に１人しかいない値であり、個人を特定可能な情報であるとする。

結託個人３０人⇒位置情報：武蔵中原駅の１ｋｍ以内、年収：９００万円
結託個人５０人⇒位置情報：武蔵中原駅の１ｋｍ以内、年収：４００万円
結託個人８０人のうちのいずれか１人の個人（個人６６６）⇒年齢：１２０歳

図１２において、プログラム１２００は、攻撃対象の個人６６６が年収８００万円以上であるかを知るための攻撃用のプログラムｆの一例である。プログラム１２００には、統計データｓ（図１０参照）の要素ｓ１が示す統計値から３０を減算した値が１であれば、属性項目「年齢」の項目値が「１２０」の個人ｉが情報提供の対象者であるか否かを示す情報ｏ_iを「ｏ_i＝１」とするコード１２０１が記述されている。

プログラム１２００によれば、何ら対策を講じなければ、攻撃者は、個人６６６にオファーが配信されると、攻撃対象である個人の年収が８００万円以上であると知ることができてしまう。

つぎに、図１３を用いて、プログラムｆの評価例について説明する。ここでは、評価対象のプログラムｆとして、図９に示したプログラム９００および図１２に示したプログラム１２００を例に挙げて説明する。

図１３は、プログラムｆの評価例を示す説明図である。図１３において、統計データｓは、事業者から評価対象のプログラムｆとともに受け付けた、図７に示したデータ作成指定ｇをもとに作成された情報であり、以下の４つの要素（要素ｓ１～ｓ４）を含む。

要素ｓ１：武蔵中原駅の１ｋｍ以内に存在し、かつ、年収８００万円以上の人数
要素ｓ２：武蔵小杉駅の１ｋｍ以内に存在し、かつ、年収８００万円以上の人数
要素ｓ３：武蔵中原駅の１ｋｍ以内に存在し、かつ、年収８００万円未満の人数
要素ｓ４：武蔵小杉駅の１ｋｍ以内に存在し、かつ、年収８００万円未満の人数

この場合、生成部６０３は、統計データｓが示す要素ｓ１～ｓ４それぞれに所定のノイズを加えることにより、互いに異なる分布を示す統計データｓ’₁～ｓ’₄を生成する。ここでは、所定のノイズを「－１」とする。

統計データｓ’₁は、統計データｓの要素ｓ１に「－１」を加えたものである。統計データｓ’₂は、統計データｓの要素ｓ２に「－１」を加えたものである。統計データｓ’₃は、統計データｓの要素ｓ３に「－１」を加えたものである。統計データｓ’₄は、統計データｓの要素ｓ４に「－１」を加えたものである。

評価部６０４は、生成された統計データｓ’₁～ｓ’₄それぞれと個人データｄ_iとを入力として、プログラムｆ（プログラム９００，１２００）を実行することで、統計データｓ’₁～ｓ’₄それぞれについて、個人ｉが情報提供の対象者であるか否かを示す情報ｏ’_1,i～ｏ’_4,iを取得する。

ここで、出力結果１３０１は、図９に示したプログラム９００を評価対象のプログラムｆとした場合の出力結果を示している。出力結果１３０２は、図１２に示したプログラム１２００を評価対象のプログラムｆとした場合の出力結果を示している。なお、出力結果１３０１，１３０２において、ｉ（縦）と各ｏ’₁～ｏ’₄（横）とに対応する値が情報ｏ’_1,i～ｏ’_4,iを示している。

評価部６０４は、各出力結果１３０１，１３０２を参照して、情報ｏ’_1,i～ｏ’_4,iに相違が生じるか否かによって、各プログラムｆ（プログラム９００，１２００）を評価する。ここでは、評価部６０４は、出力結果１３０１から、情報ｏ’_1,i～ｏ’_4,iに相違が生じないため、プログラムｆ（プログラム９００）が正当であると判定する。この場合、提供部６０５は、例えば、情報ｏ’_1,i～ｏ’_4,iからランダムに選択した情報ｏ’_j,iをもとに、個人ｉにオファーを配信するか否か判断する。

一方、出力結果１３０２では、情報ｏ’_1,2～ｏ’_4,2に相違が生じている。この場合、評価部６０４は、プログラムｆ（プログラム１２００）が正当ではないと判定する。すなわち、統計データｓ’_jが１人変わったくらいで出力が同一でなくなるのは攻撃の可能性が高いため、評価部６０４は、プログラムｆ（プログラム１２００）が、攻撃用のプログラムｆであると判定する。この場合、提供部６０５は、例えば、配信停止等の処理を行う。

（情報提供システム２００の動作例）
つぎに、情報提供システム２００の動作例について説明する。

図１４は、情報提供システム２００の動作例を示すシーケンス図である。図１４のシーケンス図において、個人ｉは、個人端末２０２を用いて、情報銀行に個人データｄ_iを提供する（ステップＳ１４０１）。個人ｉから提供された個人データｄ_iは、個人データベースＤに登録される。

事業者は、事業者端末２０１を用いて、情報処理装置１０１（情報銀行）にオファー配信依頼を送付する（ステップＳ１４０２）。オファー配信依頼には、データ作成指定ｇとプログラムｆとが含まれる。

情報処理装置１０１は、事業者からのオファー配信依頼に応じて、当該オファー配信依頼に含まれるプログラムｆの正当性を評価する評価処理を実行する（ステップＳ１４０３）。評価処理の具体的な処理手順については、図１５および図１６を用いて後述する。

情報処理装置１０１は、プログラムｆが正当であると判定した場合、プログラムｆを実行して得られた出力結果（後述する「ベクトルＯ’_j」）に従って、事業者から配信依頼されたオファーを個人ｉに配信する（ステップＳ１４０４）。

これにより、事業者からのオファー配信依頼に応じて、事業者が作成したプログラムｆの正当性が確認できた場合に、プログラムｆを実行して得られた出力結果に従って、個人ｉに対してオファーを配信することができる。

（情報処理装置１０１の評価処理手順）
つぎに、図１５および図１６を用いて、情報処理装置１０１の評価処理手順について説明する。

図１５および図１６は、情報処理装置１０１の評価処理手順の一例を示すフローチャートである。図１５のフローチャートにおいて、まず、情報処理装置１０１は、事業者からのオファー配信依頼に含まれるデータ作成指定ｇとプログラムｆとを受け付ける（ステップＳ１５０１）。

そして、情報処理装置１０１は、受け付けたデータ作成指定ｇを参照して、個人データベースＤの統計データｓを作成する（ステップＳ１５０２）。統計データｓは、個人データベースＤ内の個人データｄ₁～ｄ_mに基づき所定の項目の項目値を統計処理して得られる分布情報である。統計データｓは、データ作成指定ｇで指定された属性項目（所定の項目）に関するｎ個の要素（統計値）を含む。

つぎに、情報処理装置１０１は、統計データｓが示すｎ個の各要素に少量ノイズを加えることにより、互いに異なる分布を示す統計データｓ’₁～ｓ’_nを生成する（ステップＳ１５０３）。つぎに、情報処理装置１０１は、統計データｓ’_jの「ｊ」を「ｊ＝１」とし（ステップＳ１５０４）、個人データｄ_iの「ｉ」を「ｉ＝１」とする（ステップＳ１５０５）。

そして、情報処理装置１０１は、統計データｓ’_jと個人データｄ_iとを入力として、プログラムｆを実行することで、個人ｉが情報提供の対象者であるか否かを示す情報ｏ’_j,iを取得する（ステップＳ１５０６）。なお、プログラムｆは統計データｓ’_jと個人データｄ_iとを入力として処理を実行するため、個人ｉへの情報提供（オファー配信）の有無を示す結果（ｏ’_j,i）は、統計データｓ’_jと個人データｄ_iに基づいてのみ決定される。

つぎに、情報処理装置１０１は、「ｉ」をインクリメントして（ステップＳ１５０７）、「ｉ」が「ｍ」より大きくなったか否かを判断する（ステップＳ１５０８）。ここで、「ｉ」が「ｍ」以下の場合（ステップＳ１５０８：Ｎｏ）、情報処理装置１０１は、ステップＳ１５０６に戻る。一方、「ｉ」が「ｍ」より大きくなった場合（ステップＳ１５０８：Ｙｅｓ）、情報処理装置１０１は、ｉ番目の要素をｏ’_j,iとするベクトルＯ’_jを作成する（ステップＳ１５０９）。

つぎに、情報処理装置１０１は、「ｊ」をインクリメントして（ステップＳ１５１０）、「ｊ」が「ｎ」より大きくなったか否かを判断する（ステップＳ１５１１）。ここで、「ｊ」が「ｎ」以下の場合（ステップＳ１５１１：Ｎｏ）、情報処理装置１０１は、ステップＳ１５０５に戻る。一方、「ｊ」が「ｎ」より大きくなった場合（ステップＳ１５１１：Ｙｅｓ）、情報処理装置１０１は、図１６に示すステップＳ１６０１に移行する。

図１６のフローチャートにおいて、まず、情報処理装置１０１は、個人データｄ_iの「ｉ」を「ｉ＝１」とし（ステップＳ１６０１）、変数ｘを「ｘ＝０」とし（ステップＳ１６０２）、ベクトルＯ’_jの「ｊ」を「ｊ＝１」とする（ステップＳ１６０３）。

つぎに、情報処理装置１０１は、変数ｘを「ｘ＝ｘ＋ｏ’_j,i」とする（ステップＳ１６０４）。そして、情報処理装置１０１は、「ｊ」をインクリメントして（ステップＳ１６０５）、「ｊ」が「ｎ」より大きくなったか否かを判断する（ステップＳ１６０６）。ここで、「ｊ」が「ｎ」以下の場合（ステップＳ１６０６：Ｎｏ）、情報処理装置１０１は、ステップＳ１６０４に戻る。

一方、「ｊ」が「ｎ」より大きくなった場合（ステップＳ１６０６：Ｙｅｓ）、情報処理装置１０１は、変数ｘが「ｘ＝０」または「ｘ＝ｎ」であるか否かを判断する（ステップＳ１６０７）。ここで、変数ｘが「ｘ＝０」または「ｘ＝ｎ」の場合（ステップＳ１６０７：Ｙｅｓ）、情報処理装置１０１は、「ｉ」をインクリメントする（ステップＳ１６０８）。

そして、情報処理装置１０１は、「ｉ」が「ｍ」より大きくなったか否かを判断する（ステップＳ１６０９）。ここで、「ｉ」が「ｍ」以下の場合（ステップＳ１６０９：Ｎｏ）、情報処理装置１０１は、ステップＳ１６０２に戻る。

一方、「ｉ」が「ｍ」より大きくなった場合（ステップＳ１６０９：Ｙｅｓ）、情報処理装置１０１は、ベクトルＯ’₁～Ｏ’_nからベクトルＯ’_jをランダムに選択して（ステップＳ１６１０）、本フローチャートによる一連の処理を終了する。

また、ステップＳ１６０７において、変数ｘが「ｘ＝０」または「ｘ＝ｎ」ではない場合（ステップＳ１６０７：Ｎｏ）、情報処理装置１０１は、事業者から配信要求されたオファーの配信停止等の処理を行って（ステップＳ１６１１）、本フローチャートによる一連の処理を終了する。

これにより、事業者が作成したプログラムｆの正当性を評価することができる。また、プログラムｆが正当ではないと判定した場合には、事業者から配信要求されたオファーの配信停止等の処理を行うことができる。

なお、ステップＳ１６１１において、情報処理装置１０１は、例えば、オファー配信の依頼元である事業者を特定する情報と対応付けて、プログラムｆの評価結果を出力することにしてもよい。この際、情報処理装置１０１は、統計データｓ’_j間で情報ｏ’_j,iの相違が生じた個人ｉを特定する情報をあわせて出力することにしてもよい。

以上説明したように、実施の形態にかかる情報処理装置１０１によれば、個人データベースＤ（個人１～ｍの個人データｄ₁～ｄ_m）の統計データｓと、個人ｉの個人データｄ_iとを入力として、個人ｉが情報提供の対象者であるか否かを示す情報ｏ_iを出力するプログラムｆを受け付け、所定の規則に基づき、統計データｓが示す分布を変化させて、互いに異なる分布を示す複数の統計データｓ’₁～ｓ’_nを生成することができる。そして、情報処理装置１０１によれば、生成した複数の統計データｓ’_jそれぞれと個人データｄ_iとを入力として、プログラムｆを実行することで、複数の統計データｓ’_jそれぞれについて、個人ｉが情報提供の対象者であるか否かを示す情報ｏ’_j,iを取得し、複数の統計データｓ’_jそれぞれについて取得した情報ｏ’_j,iに相違が生じるか否かによって、プログラムｆの正当性を評価することができる。

これにより、結託攻撃が攻撃対象となる個人１人のデータに依存したプログラムにより実現されることに着目して、個人ｉへのオファー配信（情報提供）の有無を指示するプログラムｆの正当性を評価することができる。このため、プログラムｆを用いて事業者へのデータ提供なしにオファー配信を行うにあたり、攻撃用プログラムを検出して結託攻撃を防ぐことができ、個人データの流出リスクを低減させることができる。

また、情報処理装置１０１によれば、複数の統計データｓ’_jそれぞれについて取得した情報ｏ’_j,iに相違が生じない場合に、プログラムｆが正当であると判定し、複数の統計データｓ’_jそれぞれについて取得した情報ｏ’_j,iに相違が生じる場合には、プログラムｆが正当でないと判定することができる。

これにより、統計データｓの値（人数）が少し変化するだけで、出力（オファー配信の有無）が変わるようなプログラムｆを攻撃用プログラムとして検出することができる。また、正当な事業者のプログラムｆは統計的な情報に依存しており、例えば、人数が少し変化するだけで出力が変わることは少ないため、攻撃用プログラムの誤検出は少ないといえる。

また、情報処理装置１０１によれば、個人データベースＤを統計処理して所定の項目の項目値の分布を示す統計データｓを作成する際のデータ作成指定ｇの指定を受け付けることができる。そして、情報処理装置１０１によれば、データ作成指定ｇを参照して、個人データベースＤに基づき所定の項目の項目値を統計処理することで、統計データｓを作成することができる。

これにより、個人ｉへのオファー配信の有無を決める際に利用される統計データｓをどのように作成するのかを指定することが可能となり、オファー配信の依頼元である事業者による条件指定の自由度を高めることができる。

また、情報処理装置１０１によれば、統計データｓが示すｎ個の各要素に所定のノイズを加えることにより、互いに異なる分布を示す統計データｓ’₁～ｓ’_nを生成することができる。所定のノイズは、例えば、１または－１である。

これにより、統計データｓが表している個人１～ｍ全体の特徴（性質、傾向など）を残しつつ、互いに異なる統計データｓ’₁～ｓ’_nを生成することができる。

また、情報処理装置１０１によれば、プログラムｆが正当であると判定した場合、統計データｓ’₁～ｓ’_nのいずれかの統計データｓ’_jと個人データｄ_iとを入力として、プログラムｆを実行して得られる出力結果ｏ’_j,iから、個人ｉが情報提供の対象者であるか否かを判断することができる。

これにより、統計データｓに少量ノイズを加えると出力が変化するプログラムｆを攻撃とみなすという仕組みを、攻撃者に気付かれた場合の脅威を防ぐことができる。例えば、仕組みを知った攻撃者は、自身の攻撃が検出されないように、「統計データｓにノイズを加える」という処理を検出したら、オファーの配信有無の結果が全て「１」または「０」となるプログラムｆを作成することが考えられる。この場合、情報ｏ’_j,iに相違が生じないことになる。しかし、このような不正が行われたとしても、個人ｉへのオファー配信の有無を決める際に用いる統計データを、統計データｓではなく、統計データｓ’₁～ｓ’_nから選ぶことで、オファー配信の有無をコントロールできなくして、攻撃者による情報盗取を防ぐことができる。また、統計データｓに加えるノイズを少量（例えば、１または－１）とすることで、正当な事業者が期待する配信先にオファーが送られなくなるといった事態を防ぐことができる。

また、情報処理装置１０１によれば、プログラムｆの評価結果を出力することができる。これにより、攻撃用プログラムである可能性が高いプログラムｆを特定可能な情報を提供することができる。

また、情報処理装置１０１によれば、プログラムｆが正当でないと判定した場合、オファー配信の依頼元を特定する情報を出力することができる。これにより、攻撃者である可能性が高い事業者を特定可能な情報を提供することができる。

また、情報処理装置１０１によれば、プログラムｆが正当ではないと判定した場合、統計データｓ’_j間で情報ｏ’_j,iの相違が生じた個人ｉを特定する情報を出力することができる。これにより、結託個人である可能性が高い個人ｉを特定可能な情報を提供することができる。

これらのことから、情報処理装置１０１および情報提供システム２００によれば、情報銀行における安全なプログラム送付型オファー配信を実現して、個人データの利活用を促進することができる。例えば、事業者へのデータ提供なしにオファー配信を行うにあたり、個人データベースＤの統計データｓを利用して、個人ｉへのオファー配信の有無を指示することが可能となり、事業者による条件指定の自由度を高めることができる。また、結託攻撃が攻撃対象となる個人１人のデータに依存したプログラムにより実現されることを利用して、攻撃用プログラムを精度よく検出可能となり、結託攻撃による個人データの流出リスクを低減させることができる。

なお、本実施の形態で説明した評価方法は、予め用意されたプログラムをパーソナル・コンピュータやワークステーション等のコンピュータで実行することにより実現することができる。本評価プログラムは、ハードディスク、フレキシブルディスク、ＣＤ－ＲＯＭ、ＤＶＤ、ＵＳＢメモリ等のコンピュータで読み取り可能な記録媒体に記録され、コンピュータによって記録媒体から読み出されることによって実行される。また、本評価プログラムは、インターネット等のネットワークを介して配布してもよい。

また、本実施の形態で説明した情報処理装置１０１は、スタンダードセルやストラクチャードＡＳＩＣ（Ａｐｐｌｉｃａｔｉｏｎ Ｓｐｅｃｉｆｉｃ Ｉｎｔｅｇｒａｔｅｄ Ｃｉｒｃｕｉｔ）などの特定用途向けＩＣやＦＰＧＡなどのＰＬＤ（Ｐｒｏｇｒａｍｍａｂｌｅ Ｌｏｇｉｃ Ｄｅｖｉｃｅ）によっても実現することができる。

上述した実施の形態に関し、さらに以下の付記を開示する。

（付記１）複数の個人の個人データに基づく所定の項目の項目値の分布を示す分布情報と、前記複数の個人のいずれかの個人の個人データとを入力として、前記いずれかの個人が情報提供の対象者であるか否かを示す情報を出力するプログラムを受け付け、
所定の規則に基づき、前記分布情報が示す分布を変化させて、互いに異なる分布を示す複数の分布情報を生成し、
生成した前記複数の分布情報それぞれと前記いずれかの個人の個人データとを入力として、前記プログラムを実行することで、前記複数の分布情報それぞれについて、前記いずれかの個人が情報提供の対象者であるか否かを示す情報を取得し、
前記複数の分布情報それぞれについて取得した前記情報に相違が生じるか否かによって、前記プログラムの正当性を評価する、
処理をコンピュータが実行することを特徴とする評価方法。

（付記２）前記評価する処理は、
前記複数の分布情報それぞれについて取得した前記情報に相違が生じない場合に、前記プログラムが正当であると判定し、
前記複数の分布情報それぞれについて取得した前記情報に相違が生じる場合には、前記プログラムが正当でないと判定する、
ことを特徴とする付記１に記載の評価方法。

（付記３）前記複数の個人の個人データを統計処理して所定の項目の項目値の分布を示す分布情報を作成する際の条件の指定を受け付け、
前記条件を参照して、前記複数の個人の個人データに基づき前記所定の項目の項目値を統計処理することで、前記分布情報を作成する、
処理を前記コンピュータが実行することを特徴とする付記１または２に記載の評価方法。

（付記４）前記分布情報は、前記複数の個人の個人データに基づき前記所定の項目の項目値を統計処理して得られる前記所定の項目に関する複数の統計値を示し、
前記生成する処理は、
前記分布情報が示す前記複数の統計値それぞれに所定のノイズを加えることにより、前記複数の分布情報を生成する、ことを特徴とする付記１～３のいずれか一つに記載の評価方法。

（付記５）前記ノイズは、１または－１である、ことを特徴とする付記４に記載の評価方法。

（付記６）前記プログラムが正当であると判定した場合、前記複数の分布情報のいずれかの分布情報と前記いずれかの個人の個人データとを入力として、前記プログラムを実行して得られる出力結果から、前記いずれかの個人が情報提供の対象者であるか否かを判断する、
処理を前記コンピュータが実行することを特徴とする付記１～５のいずれか一つに記載の評価方法。

（付記７）評価した前記プログラムの評価結果を出力する、処理を前記コンピュータが実行することを特徴とする付記１～６のいずれか一つに記載の評価方法。

（付記８）前記プログラムが正当でないと判定した場合、情報提供の依頼元を特定する情報を出力する、処理を前記コンピュータが実行することを特徴とする付記１～７のいずれか一つに記載の評価方法。

（付記９）前記プログラムが正当ではないと判定した場合、前記いずれかの個人を特定する情報を出力する、処理を前記コンピュータが実行することを特徴とする付記２に記載の評価方法。

（付記１０）複数の個人の個人データに基づく所定の項目の項目値の分布を示す分布情報と、前記複数の個人のいずれかの個人の個人データとを入力として、前記いずれかの個人が情報提供の対象者であるか否かを示す情報を出力するプログラムを受け付け、
所定の規則に基づき、前記分布情報が示す分布を変化させて、互いに異なる分布を示す複数の分布情報を生成し、
生成した前記複数の分布情報それぞれと前記いずれかの個人の個人データとを入力として、前記プログラムを実行することで、前記複数の分布情報それぞれについて、前記いずれかの個人が情報提供の対象者であるか否かを示す情報を取得し、
前記複数の分布情報それぞれについて取得した前記情報に相違が生じるか否かによって、前記プログラムの正当性を評価する、
処理をコンピュータに実行させることを特徴とする評価プログラム。

（付記１１）複数の個人の個人データに基づく所定の項目の項目値の分布を示す分布情報と、前記複数の個人のいずれかの個人の個人データとを入力として、前記いずれかの個人が情報提供の対象者であるか否かを示す情報を出力するプログラムを受け付ける受付部と、
所定の規則に基づき、前記分布情報が示す分布を変化させて、互いに異なる分布を示す複数の分布情報を生成する生成部と、
前記生成部によって生成された前記複数の分布情報それぞれと前記いずれかの個人の個人データとを入力として、前記プログラムを実行することで、前記複数の分布情報それぞれについて、前記いずれかの個人が情報提供の対象者であるか否かを示す情報を取得し、前記複数の分布情報それぞれについて取得した前記情報に相違が生じるか否かによって、前記プログラムの正当性を評価する評価部と、
を有することを特徴とする情報処理装置。

１０１ 情報処理装置
２００ 情報提供システム
２０１ 事業者端末
２０２ 個人端末
２１０ ネットワーク
３００，４００ バス
３０１，４０１ ＣＰＵ
３０２，４０２ メモリ
３０３ ディスクドライブ
３０４ ディスク
３０５，４０４ 通信Ｉ／Ｆ
３０６，４０７ 可搬型記録媒体Ｉ／Ｆ
３０７，４０８ 可搬型記録媒体
４０３ ＧＰＳユニット
４０５ ディスプレイ
４０６ 入力装置
６０１ 受付部
６０２ 作成部
６０３ 生成部
６０４ 評価部
６０５ 提供部
６０６ 出力部
９００，１２００，ｆ プログラム
Ｄ 個人データベース
ｄ₁～ｄ_m，ｄ_i 個人データ
ｓ 統計データ
ｇ データ作成指定

Claims (8)

1. 複数の個人の個人データに基づく所定の項目の項目値の分布を示す分布情報と、前記複数の個人のいずれかの個人の個人データとを入力として、前記いずれかの個人が情報提供の対象者であるか否かを示す情報を出力するプログラムを受け付け、
   所定の規則に基づき、前記分布情報が示す分布を変化させて、互いに異なる分布を示す複数の分布情報を生成し、
   生成した前記複数の分布情報それぞれと前記いずれかの個人の個人データとを入力として、前記プログラムを実行することで、前記複数の分布情報それぞれについて、前記いずれかの個人が情報提供の対象者であるか否かを示す情報を取得し、
   前記複数の分布情報それぞれについて取得した前記情報に相違が生じるか否かによって、前記プログラムの正当性を評価する、
   処理をコンピュータが実行することを特徴とする評価方法。
2. 前記評価する処理は、
   前記複数の分布情報それぞれについて取得した前記情報に相違が生じない場合に、前記プログラムが正当であると判定し、
   前記複数の分布情報それぞれについて取得した前記情報に相違が生じる場合には、前記プログラムが正当でないと判定する、
   ことを特徴とする請求項１に記載の評価方法。
3. 前記複数の個人の個人データを統計処理して所定の項目の項目値の分布を示す分布情報を作成する際の条件の指定を受け付け、
   前記条件を参照して、前記複数の個人の個人データに基づき前記所定の項目の項目値を統計処理することで、前記分布情報を作成する、
   処理を前記コンピュータが実行することを特徴とする請求項１または２に記載の評価方法。
4. 前記分布情報は、前記複数の個人の個人データに基づき前記所定の項目の項目値を統計処理して得られる前記所定の項目に関する複数の統計値を示し、
   前記生成する処理は、
   前記分布情報が示す前記複数の統計値それぞれに所定のノイズを加えることにより、前記複数の分布情報を生成する、ことを特徴とする請求項１～３のいずれか一つに記載の評価方法。
5. 前記プログラムが正当であると判定した場合、前記複数の分布情報のいずれかの分布情報と前記いずれかの個人の個人データとを入力として、前記プログラムを実行して得られる出力結果から、前記いずれかの個人が情報提供の対象者であるか否かを判断する、
   処理を前記コンピュータが実行することを特徴とする請求項１～４のいずれか一つに記載の評価方法。
6. 評価した前記プログラムの評価結果を出力する、処理を前記コンピュータが実行することを特徴とする請求項１～５のいずれか一つに記載の評価方法。
7. 複数の個人の個人データに基づく所定の項目の項目値の分布を示す分布情報と、前記複数の個人のいずれかの個人の個人データとを入力として、前記いずれかの個人が情報提供の対象者であるか否かを示す情報を出力するプログラムを受け付け、
   所定の規則に基づき、前記分布情報が示す分布を変化させて、互いに異なる分布を示す複数の分布情報を生成し、
   生成した前記複数の分布情報それぞれと前記いずれかの個人の個人データとを入力として、前記プログラムを実行することで、前記複数の分布情報それぞれについて、前記いずれかの個人が情報提供の対象者であるか否かを示す情報を取得し、
   前記複数の分布情報それぞれについて取得した前記情報に相違が生じるか否かによって、前記プログラムの正当性を評価する、
   処理をコンピュータに実行させることを特徴とする評価プログラム。
8. 複数の個人の個人データに基づく所定の項目の項目値の分布を示す分布情報と、前記複数の個人のいずれかの個人の個人データとを入力として、前記いずれかの個人が情報提供の対象者であるか否かを示す情報を出力するプログラムを受け付ける受付部と、
   所定の規則に基づき、前記分布情報が示す分布を変化させて、互いに異なる分布を示す複数の分布情報を生成する生成部と、
   前記生成部によって生成された前記複数の分布情報それぞれと前記いずれかの個人の個人データとを入力として、前記プログラムを実行することで、前記複数の分布情報それぞれについて、前記いずれかの個人が情報提供の対象者であるか否かを示す情報を取得し、前記複数の分布情報それぞれについて取得した前記情報に相違が生じるか否かによって、前記プログラムの正当性を評価する評価部と、
   を有することを特徴とする情報処理装置。

Images