JP7315032B2

JP7315032B2 - 暗号化データ分析装置、暗号化データ分析方法、プログラム

Info

Publication number: JP7315032B2
Application number: JP2021571075A
Authority: JP
Inventors: 亮菊池; 元高橋; 浩気濱田
Original assignee: Nippon Telegraph and Telephone Corp
Current assignee: Nippon Telegraph and Telephone Corp
Priority date: 2020-01-14
Filing date: 2020-01-14
Publication date: 2023-07-26
Anticipated expiration: 2040-01-14
Also published as: WO2021144840A1; JPWO2021144840A1; US20230090900A1

Description

本発明は、データを秘匿したまま分析する暗号化データ分析装置、暗号化データ分析方法、プログラムに関する。

「ある人が店舗や施設、駅などをどのように推移したか」を分析する動線分析は、店舗の配置の最適化や通路の必要性調査などに利用できる。動線分析の従来技術として、例えば非特許文献１などがある。

古崎晃司、横山輝明、深見嘉明、"GPS移動履歴の収集とオープンデータを用いた移動軌跡のLOD化－国際会議ISWC2016における実証実験を例として－"、情報処理学会デジタルプラクティスVol.9No.1(Jan.2018)

例えば店舗の来客データから動線データを作成しようとした場合、店舗の来客データをサーバに集める必要があるが、店舗の来客データは経営にかかわる情報であり店舗側が出しづらいという課題がある。また、動線分析を計算する主体と利用する主体が異なる場合、計算する主体にも動線分析結果が渡ってしまう。動線分析結果は個人のプライバシーにかかわる移動履歴であるため、計算する主体にも移動履歴が見えてしまうことは課題である。さらに、ある店舗からある店舗に移動した人が極端に少ない場合（例えば１人）、その移動をした個人を特定できてしまうリスクが高い。

そこで本発明では、暗号化データを秘匿したまま分析することができる暗号化データ分析装置を提供することを目的とする。

本発明の暗号化データ分析装置は、ソート部と、エンコード部と、等号判定部を含む。［ｘ］はｘの暗号化データを意味するものとする。

ソート部は、所定の場所に所定のユーザが所定の時刻に滞在したことを示す（場所ＩＤ，ユーザＩＤ，時刻情報）である分析対象データセットの各分析対象データをそれぞれ暗号化してなる（［場所ＩＤ］，［ユーザＩＤ］，［時刻情報］）である暗号化データセットを複数組含む暗号化データセット群を［時刻情報］でソートした後、［ユーザＩＤ］でソートする。エンコード部は、あらかじめ設定した場所の遷移回数をホップ数とし、［場所ＩＤ］をソートされた順序でホップ数ずつ切り出してエンコードして［フロー］を生成する。等号判定部は、隣り合う［ユーザＩＤ］同士が等しいか否かを判定し、等しくない場合に、対応する［フロー］を［無効を意味する所定値］に置き換える。

本発明の暗号化データ分析装置によれば、暗号化データを秘匿したまま分析することができる。

実施例１の暗号化データ分析装置の構成を示すブロック図。実施例１の暗号化データ分析装置の動作を示すフローチャート。コンピュータの機能構成例を示す図。

以下、本発明の実施の形態について、詳細に説明する。なお、同じ機能を有する構成部には同じ番号を付し、重複説明を省略する。

以下の実施例では秘密計算と呼ばれる、暗号化したまま計算ができる技術を用いて、例えば、店舗の来客データを暗号化したまま動線データを作成する装置、方法、プログラムを開示する。これにより、店舗の来客データは誰にも漏れることなく、必要な動線データを得ることができる。計算結果の動線データは暗号化されており、計算した主体も見ることはできない。また、個人を特定できてしまうリスクを低減するために、動線データのうち移動した人数が少ない部分を削除する方法もオプションとして開示する。

以下、図１を参照して実施例１の暗号化データ分析装置の構成を説明する。同図に示すように本実施例の暗号化データ分析装置１は、ソート部１１と、エンコード部１２と、等号判定部１３と、重複フロー削除部１４と、クロス集計部１５と、統計開示制御部１６を含む。

なお、所定の場所に所定のユーザが所定の時刻に滞在したことを示す（場所ＩＤ，ユーザＩＤ，時刻情報）を分析対象データセットと呼ぶ。分析対象データセット内の各分析対象データをそれぞれ暗号化して（［場所ＩＤ］，［ユーザＩＤ］，［時刻情報］）としたデータを暗号化データセットと呼ぶ。暗号化データ分析装置１には、暗号化データセットを複数組含む暗号化データセット群が入力される。なお、［ｘ］はｘの暗号化データを意味するものとする。

場所ＩＤ＝店舗のＩＤとした暗号化データセット群の例を表１、表２に開示する。

表１、表２から、例えばユーザ0001は店舗Ａ→Ｂに、ユーザ0003は店舗Ｂ→Ａに移動しているなどの情報がわかる。以下の表３、表４に示す動線分析を行うことができる。場所（店舗）の遷移回数（ホップ数）ごとに別の表で示した。

＜暗号化されたデータの動線分析＞
動線分析は概略、以下の４ステップからなる。
（ステップ１）各場所の端末（上記の例では各店舗の端末）が分析対象データセット群を暗号化して暗号化データセット群を生成し、暗号化データ分析装置１に送信する。
（ステップ２）暗号化データ分析装置１は暗号化された暗号化データセット群から、暗号化された状態での動線分析結果である（［フロー］、［カウント］）を得る。
（ステップ３）暗号化データ分析装置１は、動線分析の結果を受け取る主体である各場所の端末（上記の例では各店舗の端末）に暗号化された動線分析結果（［フロー］、［カウント］）を送信する。
（ステップ４）各場所の端末（上記の例では各店舗の端末）は動線分析結果（［フロー］、［カウント］）を復号して動線分析結果（フロー、カウント）を得る。

ステップ１の暗号化は秘密分散でも良いし完全準同型暗号などでも良い。ただし、暗号化したまま順番を並び替える安定ソート、および、２つの値を比較した結果で処理を分岐させるIf-thenが計算可能とする。

以下では、暗号化データ分析装置１の主要な動作であるステップ２について詳細に説明する。ステップ２については、表１、表２に示したデータ例が入力された場合に、動線分析結果を１ホップで計算する例を説明する。

まず店舗Ａと店舗Ｂが暗号化データセット群を暗号化データ分析装置１に送信する。暗号化データ分析装置１は、第三者機関であってもよいし、店舗Ａ、店舗Ｂの何れかが暗号化データ分析装置１として機能してもよい。

暗号化データ分析装置１のソート部１１は、暗号化データセット群を列結合して以下の結果を得る。

ソート部１１は、暗号化データセット群を［時刻情報］でソートした後、［ユーザＩＤ］でソートする（Ｓ１１）。ソート結果を表６に示す。

エンコード部１２は、［場所ＩＤ］をソートされた順序でホップ数（この例では、１つ）ずつ切り出してエンコードして［フロー］を生成する（Ｓ１２）。エンコード結果を表７に示す。

次に、ユーザが変わる境界部分の［フロー］を削除（無効化）する。具体的には、等号判定部１３は、隣り合う［ユーザＩＤ］同士が等しいか否かを判定し、等しくない場合に、対応する［フロー］を［無効を意味する所定値］=[NULL]に置き換える（Ｓ１３）。該当の［フロー］をNULLに置き換えた結果を表８に示す。なお、［場所ＩＤ（店舗ＩＤ）］と、[時刻情報]の表記は割愛した。

等号判定部１３は、この結果を［フロー］でソートする（Ｓ１３）。この時点で1hopsの経路は全て得られた。ソート結果を表９に示す。

現状では、あるユーザが同じ経路を２回移動している場合２回カウントされている。アプリケーションによっては、実際に移動したユニークな人数が欲しい場合があるため、重複を削除するためのオプションを示す。具体的には、重複フロー削除部１４は、隣り合う（［フロー］，［ユーザＩＤ］）が等しい場合に、対応する［フロー］を［無効を意味する所定値］=[NULL]に置き換える（Ｓ１４）。重複フロー削除（無効化）結果を表１０に示す。

重複フロー削除部１４は、この結果を［フロー］でソートする（Ｓ１４）。ソート結果を表１１に示す。

次に、オプションでクロス集計を行うことで、動線分析結果を得る。具体的には、クロス集計部１５は、復号結果が同じになる［フロー］の個数を集計した結果である［カウント］を生成する（Ｓ１５）。集計結果を表１２に示す。

最後に、オプションとして、個人が特定されるリスクを低減するために、Countの数が少ない場合にデータを削除（無効化）するといった方法が考えられる。また、集約後のデータを使ってさらに処理をしたい場合、レコード数を減らすようなオプションも考えられる。具体的には、統計開示制御部１６は、［カウント］が所定の閾値以下、または所定の閾値未満となる場合に、対応する［フロー］を［無効を意味する所定値］=[NULL]に置き換え、対応する［カウント］を［０］に置き換える（Ｓ１６）。閾値＝２として、閾値＝２以下の［フロー］を置き換えた場合の、置き換え結果を表１３に示す。

統計開示制御部１６は、不要なレコードを削除する（Ｓ１６）。レコード削除結果を表１４に示す。

＜アルゴリズム＞
以下、ステップＳ１１～Ｓ１６を実現するためのアルゴリズムについて解説し、各ステップについて補足説明する。

前述したように、xの暗号化データを[x]と書き、ベクトルをx→=(x₁,...,x_n)と書き、[x→]=([x₁],...,[x_n])とする。暗号化は秘密分散（例えば参考非特許文献１）や準同型暗号（例えば参考非特許文献２）など、暗号化したまま下記の演算が可能なものとする。
参考非特許文献１：D. Ikarashi, R. Kikuchi, K. Hamada, and K. Chida. Actively private and correct MPC scheme in t < n/2 from passively secure schemes with small overhead. IACR Cryptology ePrint Archive, 2014:304, 2014.
参考非特許文献２：Z. Brakerski, C. Gentry, and V. Vaikuntanathan. Fully homomorphic encryption without bootstrapping. Electronic Colloquium on Computational Complexity (ECCC), 18:111, 2011.

［加減算、定数倍］
秘密分散と準同型暗号は自然にサポートしている。c[a]±[b]±d=[ca±b±d]などとかく。

［乗算］
秘密分散であれば参考非特許文献１にある方法で、準同型暗号であれば準同型演算で計算可能である。これを[c]←Mult([a],[b])（ただしc=ab）とかく。

［安定ソート］
入力[x→]=([x₁],...,[x_n])を、i∈{1,...,n-1}についてx'_i≦x'_i+1であるような[x'→]=([x'₁],...,[x'_n])に並び替える動作。ただしx'_i=x'_i+1であるとき元々のx→の並び順が優先されるものとする。より具体的には以下に示す２つのアルゴリズム(GenPerm,Sort)からなる。
・[π]←GenPerm([x→]):x→を並び替える置換πを暗号化したものを出力する。
・[x→]'←Sort([π],[x→]):πをx→に適用し並び替えたものx→'を暗号化したまま計算する。

簡単のため、複数のベクトルを同じ置換でソートする際には([x→]',[y→'])←Sort([π],([x→],[y→]))などと書く。自明な構成方法はソーティングネットワークである。また秘密分散であれば参考非特許文献３など効率化されたものがある。
参考非特許文献３：K. Chida, K. Hamada, D. Ikarashi, R. Kikuchi, N. Kiribuchi, and B. Pinkas. An effcient secure three-party sorting protocol with an honest majority. IACR Cryptology ePrint Archive, 2019:695, 2019.

［等号判定］
[x],[y]を入力として，x=yならば1,x≠yならば0となるような[e]を出力するもの。

とかく。また、複数の要素の等号判定を行う場合、下記のようにも書く。

一般にビット表現でデータが暗号化されているならば、[x-y]の各ビットが0かどうかを回路計算すればよく、回路計算は加減算と乗算で計算可能である。整数表現で暗号化されている場合であれば、ビット分解（参考非特許文献４）を用いてビット表現に変更して同様に回路を計算すればよい。他にもmod p上で暗号化されているのであれば、[(x-y)^p-1]を乗算を使って計算しても良い。
参考非特許文献４：R. Kikuchi, D. Ikarashi, T. Matsuda, K. Hamada, and K. Chida. Efficient bit-decomposition and modulus-conversion protocols with an honest majority. In ACISP 2018, pages 64-82, 2018.

［比較］
[x], yを入力として、x≦yならば1,そうでなければ0となるような[e]を出力するもの。

一般にビット表現でデータが暗号化されているならば比較回路を計算すればよい。整数表現で暗号化されている場合であればビット分解（参考非特許文献４）を用いてビット表現に変更して同様に回路を計算すればよい。他にもmod p上で暗号化されているのであれば（参考非特許文献５）などを用いても良い。
参考非特許文献５：T. Nishide and K. Ohta. Multiparty computation for interval, equality, and comparison without bit-decomposition protocol. In Public Key Cryptography, pages 343-360, 2007.

［集約関数（カウント）］
クロス集計。[x→]を入力として、([x→'_i],[c→_i])を出力する。ただしx_iが取る値のパターンをmとしたとき、

であり、c_i=|{x'_j|x'_i=x'_j,1≦j≦n}| for 1≦i≦mかつc_i=0 for m+1≦i≦nである。([x→],[c→])←GroupBy.count([x→])
とかく。実現方法は、各x_iに対し、x_iの取りうる値と比較を行い、その結果を加算するといった方法がある。

また、もし集約関数の結果を公開する場合であれば、単に[x]を復号するだけでも良い。

［If-then］
フラグ[z]、ただしz∈{0,1}、と[x],[y]を入力として、z=1ならば[x]をz=0ならば[y]を出力する方法。

と書く。Mult([z],[x])+Mult([1-f],[y])などで実現できる。

［入力］
暗号化データ分析装置１の動作をアルゴリズムで表現するため、暗号化データ分析装置１への入力を表１５に示すように定義し、暗号化データ分析装置１からの出力を表１６のように定義する。特に列を[s→]などとも書く。

［具体的なアルゴリズム］
NULLはあらかじめ決められた特別な数とする。例えば-1など。Encodeは秘匿された入力が異なれば、出力が高い確率で異なるようなものであればよい。秘密計算で効率的に計算できるものが望ましく、例えば店舗ＩＤがhビットであり、[s'_i],[s'_i-1],...,[s'_i-n]をEncodeするとき、

などで良いし、シェアのサイズが大きければ確率的で良い場合には、

（ただしρ_iは乱数）暗号化されたままハッシュ関数を計算しても良い。

DelMultUsersは同じ経路を同じユーザが複数移動していた場合にそれを１回とカウントするようにデータを加工する処理であり、具体的には後述するAlgorithm2である。SDCには、度数が一定数の閾値k以下の場合に削除を行う処理であり、具体的には後述するAlgorithm3である。また、DelRecordは、NULLのレコードを削除する処理であり、具体的には後述するAlgorithm4である。

［Algorithm1］
Input:([s→],[u→],[t→]).
Inputは、暗号化データ分析装置１への入力を示す。
Output:([f→],[c→]).
Outputは、暗号化データ分析装置１からの出力を示す。
1:[π]←GenPerm([t→]).
2:([s→'],[u→'],[t→'])←Sort([π],([s→],[u→],[t→])).
１、２行目は、ソート部１１の動作（Ｓ１１）のうち、暗号化データセット群を［時刻情報］でソートする動作である。
3:[π']←GenPerm([u→']).
4:([s→''],[u→''],[t→''])←Sort([π'],([s→'],[u→'],[t→'])).
３、４行目は、ソート部１１の動作（Ｓ１１）のうち、暗号化データセット群を［ユーザＩＤ］でソートする動作である。
5:for i=n+1 to m in parallel do
6:[f_i]:=Encode([s''_i],[s''_i-1],...,[s''_i-n])
５行目は、繰り返し演算について記述した行である。６行目は、エンコード部１２の動作（Ｓ１２）を表す。
7:[e_i]←Eq([u''_i],[u''_i-n])
8:[f'_i]←Ifthen([e_i]?[f_i],[null])
9:[f→']:=([f'_n],[f'_n+1],...,[f'_m])
７～９行目は、等号判定部１３の動作（Ｓ１３）のうち、対応する［フロー］を［無効を意味する所定値］=[NULL]に置き換える動作を示す。
10:[π'']←GenPerm([f→']).
11:([f→''],[u→'''])←Sort([π''],([f→'],[u→''])).
１０、１１行目は、等号判定部１３の動作（Ｓ１３）のうち［フロー］でソートする動作を示す。
12:[f→''']←DelMultUsers([f→''],[u→'''])
１２行目は、重複フロー削除部１４の動作（Ｓ１４）を示す。DelMultUsersについては、Algorithm2に記載する。
13:([f→''''],[c→])←GroupBy.count([f→'''])
１３行目は、クロス集計部１５の動作（Ｓ１５）を示す。
14:([f→'''''],[c→'])←SDC(k,[f→''''],[c→])
１４行目は、統計開示制御部１６の動作（Ｓ１６）のうち、［カウント］が所定の閾値k以下となる場合に、対応する［フロー］を［無効を意味する所定値］=[NULL]に置き換え、対応する［カウント］を［０］に置き換える動作を示す。SDCについては、Algorithm3に記載する。
15:([f→''''''],[c→''])←DelRecord([f→'''''],[c→'])
１５行目は、統計開示制御部１６の動作（Ｓ１６）のうち、不要なレコードを削除する動作を示す。DelRecordについては、Algorithm4に記載する。
16:Output([f→''''''],[c→''])
１６行目は、暗号化データ分析装置１の（［フロー］，［カウント］）出力動作を示す。

［Algorithm2］
Input:Two share vectors ([f→],[u→]) of length m
ステップＳ１４の比較を行うために、二つの([f→],[u→])を入力することを示している。
Output:[f→'],where f'_i=NULL if f_i=f_i-1and u_i=u_i-1.
ステップＳ１４で、隣り合う（［フロー］，［ユーザＩＤ］）が等しい場合に、対応する［フロー］を［無効を意味する所定値］=[NULL]に置き換えて出力することを示している。
1:for i=2 to m in parallel do
１行目は、繰り返し演算について記述した行である。
2:[g_i]←Eq(([f_i],[u_i]),([f_i-1],[u_i-1]))
２行目は、隣り合う（［フロー］，［ユーザＩＤ］）が等しいか否かを判定する動作を示す。
3:[f'_i]←Ifthen([g_i]?[NULL]:[f_i])
３行目は、該当の［フロー］を［無効を意味する所定値］=[NULL]に置き換える動作を示す。
4:[π]←GenPerm([f'_i])
5:[f''_i]←Sort([π],[f'_i])
４、５行目は、重複フロー削除部１４の動作（Ｓ１４）のうち、［フロー］でソートする動作を示す。
6:Output[f→'']
６行目は、［フロー］出力動作を示す。

［Algorithm3］
Input:Two share vectors ([f→],[c→]) of length m and threshold k
不要なレコードを削除するために、（［フロー］，［カウント］）および閾値kを入力とすることを意味する。
Output:([f→'],[c→']),where c'_i=0 and f'_i=NULL if c_i≦k
カウントが、閾値k以下である場合に、カウントを０に置き換えて、フローをNULLに置き換えて、（［フロー］，［カウント］）を出力することを意味する。
1:for i=i to m in parallel do
１行目は、繰り返し演算について記述した行である。
2:[e_i]←Compare([c_i],k)
２行目は、［カウント］と閾値kの比較動作を示す。
3:([f→'],[c→'])←Ifthen([e_i]?([f_i],c_i),([NULL],[0]))
３行目は、比較結果[e_i]に基づいて、もとの（［フロー］，［カウント］）のままとするか、([NULL],[0])とするかの何れかの動作を実行することを示す。
4:Output([f→'],[c→'])
４行目は、（［フロー］，［カウント］）の出力動作を示す。

［Algorithm4］
Input:Two share vectors ([f→],[c→]) of length m, which includes t records whose f_i=NULL.
フローがNULLとなっているt個のレコードを含むm個の（［フロー］，［カウント］）を入力することを示す。
Output:Two share vectors ([f→'],[c→']) of length m-t, where the t records are deleted.
上述のt個のレコードを削除して、残りのm-t個の（［フロー］，［カウント］）を出力することを示している。
1:for i=i to m in parallel do
１行目は、繰り返し演算について記述した行である。
2:[e_i]←Eq([f_i],[NULL])//can be replaced with [e_i]←Eq([c_i],[0])
２行目は、［フロー］が[NULL]と等しいかの判断動作を示す。２行目は、［カウント］が［０］と等しいかの判断動作に置き換えてもよいことが示されている。
3:[t]:=Σ^m _i=1[e_i]
３行目は、［フロー］が[NULL]と等しいレコード数の数え上げ動作を意味する。
4:Reveal t
４行目は、[t]を復号する動作を意味する。
5:Delete last t records of([f→],[c→])

５行目は、t個のレコードを削除する動作を意味する。
＜実施例１の暗号化データ分析装置１がもたらす効果＞
実施例１の暗号化データ分析装置１によれば、各店舗・施設・場所のデータを暗号化したまま動線分析を行うことができる。また、一定数以下の人数しか移動していない部分を削除することで個人特定のリスクを低減することもできる。

＜補記＞
本発明の装置は、例えば単一のハードウェアエンティティとして、キーボードなどが接続可能な入力部、液晶ディスプレイなどが接続可能な出力部、ハードウェアエンティティの外部に通信可能な通信装置（例えば通信ケーブル）が接続可能な通信部、ＣＰＵ（Central Processing Unit、キャッシュメモリやレジスタなどを備えていてもよい）、メモリであるＲＡＭやＲＯＭ、ハードディスクである外部記憶装置並びにこれらの入力部、出力部、通信部、ＣＰＵ、ＲＡＭ、ＲＯＭ、外部記憶装置の間のデータのやり取りが可能なように接続するバスを有している。また必要に応じて、ハードウェアエンティティに、ＣＤ－ＲＯＭなどの記録媒体を読み書きできる装置（ドライブ）などを設けることとしてもよい。このようなハードウェア資源を備えた物理的実体としては、汎用コンピュータなどがある。

ハードウェアエンティティの外部記憶装置には、上述の機能を実現するために必要となるプログラムおよびこのプログラムの処理において必要となるデータなどが記憶されている（外部記憶装置に限らず、例えばプログラムを読み出し専用記憶装置であるＲＯＭに記憶させておくこととしてもよい）。また、これらのプログラムの処理によって得られるデータなどは、ＲＡＭや外部記憶装置などに適宜に記憶される。

ハードウェアエンティティでは、外部記憶装置（あるいはＲＯＭなど）に記憶された各プログラムとこの各プログラムの処理に必要なデータが必要に応じてメモリに読み込まれて、適宜にＣＰＵで解釈実行・処理される。その結果、ＣＰＵが所定の機能（上記、…部、…手段などと表した各構成要件）を実現する。

本発明は上述の実施形態に限定されるものではなく、本発明の趣旨を逸脱しない範囲で適宜変更が可能である。また、上記実施形態において説明した処理は、記載の順に従って時系列に実行されるのみならず、処理を実行する装置の処理能力あるいは必要に応じて並列的にあるいは個別に実行されるとしてもよい。

既述のように、上記実施形態において説明したハードウェアエンティティ（本発明の装置）における処理機能をコンピュータによって実現する場合、ハードウェアエンティティが有すべき機能の処理内容はプログラムによって記述される。そして、このプログラムをコンピュータで実行することにより、上記ハードウェアエンティティにおける処理機能がコンピュータ上で実現される。

上述の各種の処理は、図３に示すコンピュータの記録部１００２０に、上記方法の各ステップを実行させるプログラムを読み込ませ、制御部１００１０、入力部１００３０、出力部１００４０などに動作させることで実施できる。

この処理内容を記述したプログラムは、コンピュータで読み取り可能な記録媒体に記録しておくことができる。コンピュータで読み取り可能な記録媒体としては、例えば、磁気記録装置、光ディスク、光磁気記録媒体、半導体メモリ等どのようなものでもよい。具体的には、例えば、磁気記録装置として、ハードディスク装置、フレキシブルディスク、磁気テープ等を、光ディスクとして、ＤＶＤ（Digital Versatile Disc）、ＤＶＤ－ＲＡＭ（Random Access Memory）、ＣＤ－ＲＯＭ（Compact Disc Read Only Memory）、ＣＤ－Ｒ（Recordable）／ＲＷ（ReWritable）等を、光磁気記録媒体として、ＭＯ（Magneto-Optical disc）等を、半導体メモリとしてＥＥＰ－ＲＯＭ（Electrically Erasable and Programmable-Read Only Memory）等を用いることができる。

また、このプログラムの流通は、例えば、そのプログラムを記録したＤＶＤ、ＣＤ－ＲＯＭ等の可搬型記録媒体を販売、譲渡、貸与等することによって行う。さらに、このプログラムをサーバコンピュータの記憶装置に格納しておき、ネットワークを介して、サーバコンピュータから他のコンピュータにそのプログラムを転送することにより、このプログラムを流通させる構成としてもよい。

このようなプログラムを実行するコンピュータは、例えば、まず、可搬型記録媒体に記録されたプログラムもしくはサーバコンピュータから転送されたプログラムを、一旦、自己の記憶装置に格納する。そして、処理の実行時、このコンピュータは、自己の記録媒体に格納されたプログラムを読み取り、読み取ったプログラムに従った処理を実行する。また、このプログラムの別の実行形態として、コンピュータが可搬型記録媒体から直接プログラムを読み取り、そのプログラムに従った処理を実行することとしてもよく、さらに、このコンピュータにサーバコンピュータからプログラムが転送されるたびに、逐次、受け取ったプログラムに従った処理を実行することとしてもよい。また、サーバコンピュータから、このコンピュータへのプログラムの転送は行わず、その実行指示と結果取得のみによって処理機能を実現する、いわゆるＡＳＰ（Application Service Provider）型のサービスによって、上述の処理を実行する構成としてもよい。なお、本形態におけるプログラムには、電子計算機による処理の用に供する情報であってプログラムに準ずるもの（コンピュータに対する直接の指令ではないがコンピュータの処理を規定する性質を有するデータ等）を含むものとする。

また、この形態では、コンピュータ上で所定のプログラムを実行させることにより、ハードウェアエンティティを構成することとしたが、これらの処理内容の少なくとも一部をハードウェア的に実現することとしてもよい。

Claims

［ｘ］はｘの暗号化データを意味するものとし、所定の場所に所定のユーザが所定の時刻に滞在したことを示す（場所ＩＤ，ユーザＩＤ，時刻情報）である分析対象データセットの各分析対象データをそれぞれ暗号化してなる（［場所ＩＤ］，［ユーザＩＤ］，［時刻情報］）である暗号化データセットを複数組含む暗号化データセット群を前記［時刻情報］で安定ソートした後、前記［ユーザＩＤ］で安定ソートするソート部と、
あらかじめ設定した場所の遷移回数をホップ数とし、フローをユーザの動線分析結果とし、前記［場所ＩＤ］を安定ソートされた順序でホップ数に基づいて取り出してエンコードして［フロー］を生成するエンコード部と、
所定の［ユーザＩＤ］と所定の［ユーザＩＤ］よりもホップ数前の［ユーザＩＤ］とが等しいか否かを判定し、等しくない場合に、所定の［ユーザＩＤ］に対応する［フロー］を［無効を意味する所定値］に置き換える等号判定部を含む
暗号化データ分析装置。
請求項１に記載の暗号化データ分析装置であって、
隣り合う（［フロー］，［ユーザＩＤ］）が等しい場合に、対応する［フロー］を［無効を意味する所定値］に置き換える重複フロー削除部を含む
暗号化データ分析装置。
請求項１または２に記載の暗号化データ分析装置であって、
復号結果が同じになる［フロー］の個数を集計した結果である［カウント］を生成するクロス集計部を含む
暗号化データ分析装置。
請求項３に記載の暗号化データ分析装置であって、
前記［カウント］が所定の閾値以下、または所定の閾値未満となる場合に、対応する［フロー］を［無効を意味する所定値］に置き換え、対応する［カウント］を［０］に置き換える統計開示制御部を含む
暗号化データ分析装置。
暗号化データ分析装置が実行する暗号化データ分析方法であって、
［ｘ］はｘの暗号化データを意味するものとし、所定の場所に所定のユーザが所定の時刻に滞在したことを示す（場所ＩＤ，ユーザＩＤ，時刻情報）である分析対象データセットの各分析対象データをそれぞれ暗号化してなる（［場所ＩＤ］，［ユーザＩＤ］，［時刻情報］）である暗号化データセットを複数組含む暗号化データセット群を前記［時刻情報］で安定ソートした後、前記［ユーザＩＤ］で安定ソートするソートステップと、
あらかじめ設定した場所の遷移回数をホップ数とし、フローをユーザの動線分析結果とし、前記［場所ＩＤ］を安定ソートされた順序でホップ数に基づいて取り出してエンコードして［フロー］を生成するエンコードステップと、
所定の［ユーザＩＤ］と所定の［ユーザＩＤ］よりもホップ数前の［ユーザＩＤ］とが等しいか否かを判定し、等しくない場合に、所定の［ユーザＩＤ］に対応する［フロー］を［無効を意味する所定値］に置き換える等号判定ステップを含む
暗号化データ分析方法。
請求項５に記載の暗号化データ分析方法であって、
隣り合う（［フロー］，［ユーザＩＤ］）が等しい場合に、対応する［フロー］を［無効を意味する所定値］に置き換える重複フロー削除ステップを含む
暗号化データ分析方法。
請求項５または６に記載の暗号化データ分析方法であって、
復号結果が同じになる［フロー］の個数を集計した結果である［カウント］を生成するクロス集計ステップを含む
暗号化データ分析方法。
コンピュータを請求項１から４に記載の暗号化データ分析装置として機能させるプログラム。