JP7442995B2 - 多次元クロス度数表の秘匿変換処理による個票データの匿名化装置 - Google Patents

Description

１．発明の名称
多次元クロス度数表の秘匿変換処理による個票データの匿名化装置

２．技術分野
本発明は、統計分野における統計調査及びアンケート調査等の個票データについて、個
人情報を含むリスクレコードを匿名化し、プライバシー保護の観点から安全にデータ利用
を行うことができるようにするための匿名化技術に関するものである。本発明を用いるこ
とで、統計調査及びアンケート調査等の個票データにおける個人や世帯等について、孤立
した属性を持つリスクレコードの匿名化を行うことが可能となる。

３．背景技術
統計調査やアンケート調査等において、個人情報が含まれる個票データを用いて統計表
の集計や分析を行う場合は、個人や世帯等を識別できる情報を除去した上で利用する必要
がある。しかし、個票データから単純に個人や世帯等の識別情報を除去するだけでは個人
情報の秘匿は不十分であり、個人や世帯等の属性別度数表において度数が１や２などのよ
うに少ない場合は個人が特定される可能性があるリスクセルとなるため、さらに秘匿処理
を加える必要がある。
統計分野では、統計表の秘匿処理は統計を集計するための製表技術の一部として用いら
れており、結果表の集計前に個票データのリスクレコードの匿名化処理を行う方法が事前
秘匿と呼ばれるのに対して、集計後の統計表においてリスクセルの安全処理を行う方法は
事後秘匿と呼ばれている。
個票データにおけるリスクレコードは、結果表集計後に検出されることから、集計結果
表の秘匿処理は集計後の集計結果表上で事後秘匿として行うのが一般的であるが、事後秘
匿は全ての表に矛盾が生じないように行う必要がある。これに対して、事前秘匿は集計前
の個票データ上でリスクレコードの匿名化処理を行うことで集計表間に矛盾が生じる心配
がなくなることや、個票データを利用する際に公表結果表と矛盾なく分析を行うことがで
きるメリットがある。

３．１ 一般的な匿名化手法
統計データの個票データを用いて分析を行う際に、最も重要となるのはデータの安全性
と結果の再現性であり、匿名化処理を行ったデータはプライバシー保護の観点から安全で
あると同時に集計結果の再現性を維持する必要がある。データの安全性の観点からは、匿
名化処理によって削られる情報が多いほど安全性は高くなるが、データの有用性が下がる
という問題が生じるため、十分な安全性を確保しつつ、結果表の再現性を実現する方法が
求められる。
個人情報を含む個票データの一般的な匿名化手法としては、(1)粗分類化、(2)レコード
削除（Suppression）、(3)移し換え（度数が大きい属性等への属性変更）、(4)交換（Swa
pping）、(5)並び替え（Permutation）、(6)置き換え（リサンプリング）、(7)水増し、(
8)乱数撹乱、(9)合成法（乱数合成値による置き換え）等が知られている。

３．２ 一般的な匿名化手法の問題点
(1) 粗分類化
個人や世帯等の個票データにおいて、属性項目別の度数が極端に少ない場合は、個人が
特定されるリスクが高いため、個票データの匿名化手法として、属性項目の分類を粗くし
て粗分類化を行うことで孤立したレコードを匿名化する手法が用いられる。リスクレコー
ドが含まれる属性分類の上端を粗くするトップコーディングや、下端を粗くするボトムコ
ーティングは粗分類化の手法に含まれる。粗分類化の手法を用いると、属性項目の組合わ
せが増えるほど分類を粗くする必要があるため、細かい属性分類による集計ができなくな
ることから、集計結果の再現性に問題がある。

(2) レコード削除
属性項目別の度数が極端に少ないリスクレコードについて、粗分類化を行う代わりにリ
スクレコードを単純に削除する方法が用いられる場合がある。しかし、リスクレコードを
単純に削除してしまうと公表結果表の合計値との差分からリスクレコードの逆算が可能で
あり、単純削除ではリスクレコードの秘匿は行えないという問題がある。これを回避する
ために無作為に選んだ非リスクレコードを合わせて削除することでリスクレコードを特定
できないようにするお供秘匿の手法が用いられる。しかし、この方法では本来は削除する
必要のないレコードまで削除することになるため、秘匿後のデータを集計しても基データ
と同じ結果表を得ることができないという問題が生じる。さらに、同一の表を繰り返し集
計する場合は集計の都度に異なるレコードが無作為に削除されるため、秘匿パターンの異
なる複数の表を照合することで、削除されたレコードの値がわかってしまうという安全性
の問題がある。
また、属性別の度数が基準以上になるように一定度数未満のレコードを一律に削除して
秘匿処理を行うと、組合わせによる属性が詳細になるほど削除されるレコードが増えてい
き、有効なレコード数が基データと比べて大幅に減少して集計結果が一致しなくなること
から、集計結果の再現性に問題が生じる。

(3) 移し換え
リスクレコードの属性項目について、近隣レコードと同じ属性に変更する移し換えの方
法が用いられる場合があるが、移し換えによって歪みが生じるため、公表結果表（真値）
との差分によって秘匿内容が露出してしまうことがあり、安全性に問題がある。また、匿
名化処理後のデータは歪みを含むため、集計結果の再現性に問題がある。

(4) 交換（スワッピング）
部分的に共通な属性項目を持つレコードについて、非共通属性項目をレコード単位で交
換することで、リスクレコードを匿名化する方法。レコード数および共通属性項目の集計
値が変わらないというメリットがあるが、より詳細な属性項目の組合わせで集計結果表が
公表されている場合は、真値との差から交換内容が判明してしまうことがある。また、同
じ個票データを繰り返して匿名化すると、交換レコードの組合わせの差分からリスクレコ
ードが特定されてしまう可能性があり、安全性の問題がある。また、共通項目以外の詳細
な集計を行うと、公表結果表（真値）と一致しないため、集計結果の再現性に問題が生じ
る。

(5) 並び替え
２レコード間で行う交換（スワッピング）について、リスクレコードと共通な属性項目
を持つグループ内で並び替えを行うことでリスクレコードの匿名化を行う手法。複数レコ
ードのグループ内で項目の並び替えを行うことで、スワッピングよりも安全性が高くなる
ことが期待できるが、安全性の問題が完全に解消されるわけではないため、交換（スワッ
ピング）と同様に安全性と集計結果の再現性に問題が生じる。

(6) 置き換え（リサンプリング）
別の方法として、リスクレコードを削除する代わりにリサンプリングした他のレコード
で置き換える方法があるが、同じ集計結果表を繰り返し作成すると、異なる乱数パターン
の組み合わせでリサンプリングされるため、リスクレコードが集計結果表の差分によって
特定されてしまうという問題や、公表されている集計結果表との差により、置き換えたレ
コードの値が逆算されるという問題が生じる。また、リサンプリングによって置き換えら
れたレコードがノイズとなるため、秘匿後のデータを集計しても基データと同じ結果表を
得ることができなくなることから、集計結果の再現性に問題がある。

(7) 水増し
リスクレコードを削除する代わりに、同じ属性項目のレコードを重複させて水増しする
ことで見かけ上の安全性を確保する方法があるが、水増しによって集計結果表に歪みが生
じるため、集計結果の再現性に問題がある。

(8) 乱数撹乱
リスクレコードが含まれる属性項目の組合わせについて、乱数によるノイズを加えるこ
とによって、安全性を確保する乱数撹乱の手法がある。ノイズは、レコード単位で加える
場合と項目ごとに加える場合がある。リスクレコードのみにノイズを加えると公表結果表
との差分によりノイズが特定できてしまうため、安全性を高めるために複数レコードもし
くは全レコードにノイズを加える必要があるが、ノイズが混入したデータは正確な結果表
を集計できないため、集計結果の再現性に問題がある。

(9) 合成法
乱数撹乱による方法の１つとして、平均値（統計量）等が基データと一致するように乱
数を発生させた合成値を用いる方法があるが、平均以外の標準偏差や相関係数等の統計量
も全て一致するような合成値を作成する方法は実現されていないため、再現性が不十分と
なる。また、統計量を緻密に再現するとリスクレコードを逆算できる場合や、項目間の矛
盾や異常値によりリスクレコードが特定できる可能性があるため、安全性に問題がある。

３．３ 匿名化技術関連の既存特許
匿名化関連の既存特許に用いられている手法は、大別して(1)粗分類化、(2)乱数撹乱、
(3)レコード水増し、(4)秘密計算、(5)複合法等に分けられる。

３．３．１ 粗分類化
粗分類化のベースとなる考え方はｋ匿名化と呼ばれており、個人情報を含む個票データ
の中に件数の少ない孤立レコードが存在すると個人が特定されるリスクとなるが、同じ属
性のレコードがｋ件以上存在すれば個人を特定できなくなるため安全とされる。ｋ匿名化
を利用して個票データの中の同じ属性のレコードが複数存在するように属性分類を粗くす
る方法が粗分類化と呼ばれている。
粗分類化の手法を用いた特許技術は2013年から2017年までに以下の特許が取得許可されて
いる。粗分類化の考え方については、ｋ匿名化の概念が定義される以前から統計の製表技
術分野において用いられている手法であり、関連特許は単純な粗分類化を行うのではなく
、これをベースにした応用技術となっている。
粗分類化関連の手法（自動分類、削除等を含む）を用いている例として、特許文献(1)
～(18)が挙げられる。

３．３．２ 乱数撹乱
個人情報を含むデータの匿名化手法として、乱数によるノイズをデータに含めることで
匿名化を行う撹乱手法が用いられる。ノイズによる乱数撹乱は、基データの分類区分を変
更せずに利用できるというメリットがある一方で、データにノイズが含まれることになる
ため、分析結果が必ずしも正しい値に一致しないという問題があり、対策としてノイズの
平均値がゼロになるように撹乱を行う手法等が用いられる。
乱数撹乱による匿名化技術は、諸外国（オーストラリア等）において統計表の標準的な
秘匿手法として用いられているが、日本では以下の関連特許が取得されており、粗分類化
の代替手法として利用されている。
乱数撹乱関連の手法を用いている例として、特許文献(19)～(21)が挙げられる。

３．３．３ レコード水増し
乱数による撹乱手法は乱数に起因する異常値やはずれ値が発生して実際のデータと性質
が異なるデータになるという問題がある。そこで、ノイズを加えて撹乱する代わりに、リ
スクレコードと同様の性質を持つレコードを水増ししてL多様性秘匿を行う方法が用いら
れる。リスクレコードと同じ属性のレコードを水増しすることで、重複IDを含むデータも
秘匿できるというメリットがある。
水増しによる匿名化技術は以下の特許が取得されているが、匿名化データの集計結果が
変わってしまうというデミリットが大きいため、統計分野の匿名化技術として用いること
はできない。
レコード水増し関連の手法を用いている例として、特許文献(22)が挙げられる。

３．３．４ 秘密計算
秘密計算は、個人情報が含まれるデータを暗号化し、複数データに分散して保存した上
で、暗号化したまま複合せずに統計量を計算する手法。利用者は個票を見ないで計算処理
を行うため、データ利用時の安全性を高めることができるが、秘密計算自体には集計結果
を匿名化する機能がないため、集計結果から個人情報が特定されることを防ぐために別途
、集計結果の出力制限機能が必要となる。
秘密計算関連の手法を用いている例として、特許文献(23)が挙げられる。

３．３．５ 複合手法
複合手法は、上記の粗分類化、乱数撹乱、秘密計算、置換、削除等を組合わせるか、選
択して匿名化処理を行う手法で、複合手法を用いている例として、特許文献(24)～(27)が
挙げられる。

３．４ 既存特許の問題点
匿名化技術関連の既存特許については、それぞれ下記の問題がある。
(1) 粗分類化
匿名化技術関連の既存特許の内、粗分類化については集計に用いる分類を粗くしてしま
うため、例えば各歳年齢が区分の粗い10歳階級になったり、都道府県が区分の粗い地方別
になったりするなど、基データの集計結果表を再現できなくなるという問題がある。

(2) 乱数撹乱
乱数撹乱については、ノイズ（偽データ）が混入することで結果表の再現性を維持でき
ないため、統計データの秘匿には適さない。また、反復利用すると差分によって秘匿が露
出する可能性があり、安全性を確保できない。

(3) レコード水増し
レコード水増しについては、匿名化後の集計結果が変わってしまうため、統計データの
秘匿には適さないという問題がある。

(4) 秘密計算
秘密計算については、暗号化して統計計算を行う技術であることから利用時の安全性向
上に貢献できるが、結果の安全性を確保するための技術ではないため、匿名化データの作
成技術としては利用できないという問題がある。

統計分野の個票データのリスクレコード匿名化の技術については、安全性を確保しつつ
、基データと同等の統計表の再現性を維持できる技術が十分に確立されていないのが現状
となっている。

３．５ 先行技術文献
個票データの匿名化に関連する先行技術の文献として、特許文献と特許以外の非特許文
献がある。
３．５．１ 特許文献
個票データの匿名化に関連する先行技術の特許文献として、以下が挙げられる。

(1) 特許6127774（2017年 日本電気株式会社） 情報処理装置、及び、データ処理方法（特徴：病名を有効期間で粗分類化し、個人属性をｋ匿名化） (2) 特許6097774（2017年 ソフトバンク株式会社） 匿名化処理方法、匿名化処理プログラム、及び匿名化処理装置（特徴：データを空間距離でグループ化し、追加レコードをグループ代表値で分類） (3) 特許6079783（2017年 日本電気株式会社） 匿名化を実行する情報処理装置及び匿名化方法、及びプログラム（特徴：ｌ多様性を満たすグループの遷移ベクトルの類似度を用いた秘匿） (4) 特許6078437（2017年 株式会社日立ソリューションズ） パーソナル情報匿名化システム（特徴：抽象化（粗分類化）によるｋ匿名化を行うための一般化階層木の編集） (5) 特許6065833（2017年 日本電気株式会社） 分散匿名化システム、分散匿名化装置及び分散匿名化方法（特徴：グループごとに追加したダミーレコードが分散するように個人属性を粗分類化） (6) 特許6015658（2016年 日本電気株式会社） 匿名化装置、及び、匿名化方法（特徴：個人属性の粗分類化による秘匿） (7) 特許6007969（2016年 日本電気株式会社） 匿名化装置及び匿名化方法（特徴：複数あるデータ提供元が特定されないように粗分類化） (8)特許5974858（2016年 富士通株式会社） 匿名化処理方法及び装置（特徴：データブロックの距離計算による粗分類化） (9)特許5875536（2016年 日本電信電話株式会社） 匿名化装置、匿名化方法、プログラム（特徴：文字列の遷移確率行列を用いた秘匿（粗分類化）） (10)特許5875535（2016年 日本電信電話株式会社） 匿名化装置、匿名化方法、プログラム（特徴：文字列の遷移確率またはハミング距離を用いた秘匿（粗分類化）） (11)特許5858292（2016年 日本電気株式会社） 匿名化装置及び匿名化方法（特徴：レコードを汎化（粗分類化）して追加する場合に、基データの一部にも同じ汎化規則を適用） (12)特許5782637（2015年 西日本電信電話株式会社） 属性選択装置、情報匿名化装置、属性選択方法、情報匿名化方法、属性選択プログラム、及び情報匿名化プログラム（特徴：一般化属性の出現率と残存率による選択と粗分類化によるｋ匿名化） (13)特許5684165（2015年 株式会社日立製作所） 個人情報匿名化装置および方法（特徴：多肢選択属性の個人情報の一般化階層木による抽象化（粗分類化）） (14)特許5626733（2014年 株式会社日立製作所） 個人情報匿名化装置及び方法（特徴：一般化階層木により匿名化したデータの増分レコードを匿名化） (15)特許5492296（2014年 株式会社日立製作所） 個人情報匿名化装置（特徴：個人情報の一般化階層木による抽象化（粗分類化）） (16)特許5416614（2014年 ＫＤＤＩ株式会社） 公開情報のプライバシー保護装置、公開情報のプライバシー保護方法およびプログラム（特徴：一般化（粗分類化）によるレコード流量ｎを考慮した(k+n)匿名化） (17)特許5288066（2013年 日本電気株式会社） 匿名化装置（特徴：汎化（粗分類化）による特異グループについて、他グループの一部を加えて汎化処理） (18)特許5282121（2013年 エヌイーシー（チャイナ）カンパニー，リミテッド） データ匿名化の方法と装置（特徴：２レコード間の距離計算を行い、一般化及び削除によるｋ匿名化） (19)特許6002712（2016年 日本電信電話株式会社） 情報処理システム、情報処理方法、及びプログラム（特徴：ダミーデータによるデータベースの匿名化） (20)特許5983611（2016年 日本電気株式会社） 匿名化装置、匿名化方法、及びそのためのプログラムを記録した記録媒体（特徴：匿名性が閾値を満たすように改変した不正確な解析結果を出力） (21)特許5962472（2016年 富士通株式会社） 匿名化データ生成方法、装置及びプログラム（特徴：直近データブロックを結ぶ線分上の点を乱数選択） (22) 特許6015777（2016年 富士通株式会社） 秘匿化データ生成方法及び装置（特徴：データブロック内レコードの水増しによるL多様性秘匿） (23) 特許6009698（2016年 日本電信電話株式会社） 秘密計算方法、秘密計算システム、ランダム置換装置及びプログラム（特徴：乱数により暗号化したデータを分散して秘密計算） (24)特許6000175（2016年 日本電信電話株式会社） 匿名化システム、匿名化装置、利用者装置、匿名化方法、およびプログラム（特徴：固体情報を複数に分割し、変換、置換、削除等によるPk匿名化処理） (25)特許5979004（2016年 日本電気株式会社） 情報処理システム及び匿名化方法（特徴：汎化、切落し、分離、置換、摂動等の処理順序を匿名化ポリシーに従って選択） (26)特許5758315（2015年 日本電信電話株式会社） 匿名データ提供システム、匿名データ装置、及びそれらが実行する方法（特徴：削除、置換、乱数撹乱等により匿名化したデータをフィールドごとに分割して秘密計算） (27)特許5670366（2015年 日本電信電話株式会社） 匿名データ提供システム、匿名データ装置、それらが実行する方法、およびプログラム（特徴：削除、置換、乱数撹乱等により匿名化したデータをフィールドごとに分割して秘密計算（空集合を含む））

３．５．２ 非特許文献特許以外の関連文献は多数あるが、特に以下を挙げる。(1) 個人特定のリスクを低減させる匿名化技術（2016年、千田、オペレーションズ・リサーチVol.61 No.5） (2) ミクロデータにおける匿名化技法の適用可能性の検証―全国消費実態調査と家計調査を用いて―（2014年、伊藤、村田、高野、統計研究彙報第71号） (3) 集計表におけるセル秘匿問題とその研究動向（2003年、瀧、統計数理（2003）第51巻第2号）

４．発明の概要
個票データについてプライバシー保護のための匿名化を行うための既存手法は、安全性
の確保と集計結果の再現性の維持を両立する技術が十分に確立されておらず、安全性を確
保できても分布に歪みやノイズを生じるため、集計すると基の個票データと同等の分布の
度数表を得ることができないなどの問題がある。本発明は基の個票データについてプライ
バシー保護の観点から安全性を確保しつつ、基の個票データを集計して得られる秘匿度数
表の再現性を維持することができる、個票形式の匿名化データを作成するための手段を提
供することを課題とする。

本発明は、個票データについて多次元クロス度数表を集計して秘匿処理を行った上で、
総数と内訳合計の差分計算を行い、多次元秘匿度数表の再現性を維持したまま個票データ
形式に変換することで、匿名化した個票データを作成する手段を用いている。
本発明による個票データの匿名化手法は、個票データと多次元クロス度数表について、
個票データから多次元クロス度数表の集計処理と、多次元クロス度数表から個票形式デー
タへの変換処理を可逆的に行うことで、多次元クロス度数表の秘匿処理を匿名化データに
反映させると共に、匿名化データを集計して得られる度数表について多次元クロス秘匿度
数表の再現性を維持することを可能とする。

５．匿名化装置
匿名化装置は、市販のパーソナルコンピュータ（以下、PCという。）に匿名化処理プロ
グラムをインストールし、入力データと出力データを保存する記憶装置を接続して構成す
る。プログラムのインストールは電子媒体を介して行うが、インストールの方法はインタ
ーネット等のネットワーク経由でもPCへのプレインストールの方法でもよい。
利用者は、PCにインストールされた実行形式ファイルのプログラムを実行することで装
置を起動し、実行画面のメニューから入力データとしてPCに接続された記憶媒体上の個票
データのファイル名を指定し、安全基準（K）、丸め基数（B）、及び変換縮尺（R）等の
パラメータを指定して処理を実行し、作成した匿名化データのファイル名を指定して出力
データとして保存する（図１）。
なお、多次元クロス度数表の秘匿手法については、実施形態として消去秘匿及び丸め秘
匿を用いているが、度数表の秘匿手法は多様に存在することから、度数表について属性別
の内訳合計と総数の差分計算を行うことができる手法であれば、どのような秘匿手法を用
いてもよい。

６．匿名化処理プログラム
個票データの秘匿処理を行うための匿名化処理プログラムは、(1)多次元度数表集計処
理部、及び(2)秘匿変換処理部を構成する各プログラムにより構成する（図２）。
多次元度数表集計処理部は、個票データを入力データとし、(1)多次元クロス度数表集
計プログラムにより構成する（図３）。秘匿変換処理部は、多次元クロス度数表を入力デ
ータとし、(2)消去秘匿、(3)丸め秘匿、(4)差分計算、及び(5)個票形式変換の各プログラ
ムにより構成する（図４）。
(1)多次元度数表集計処理部については、個票データを入力データとして用いて多次元
度数表を集計することから、外部アクセスから遮断された閉鎖環境で利用することを想定
している。(2)秘匿変換処理部については秘匿処理を行う機能と度数表を個票形式に変換
する機能を有しており、多次元度数表の秘匿処理については閉鎖環境で行う必要がある。
ただし、秘匿処理後の秘匿度数表を入力データとして個票データ形式に変換する場合は、
外部アクセスが可能な解放環境で利用する可能性を視野に入れた設計としている。プログ
ラム作成については、どのようなプログラミング言語を用いてもよい。

６．１多次元クロス度数表集計プログラム
多次元クロス度数表集計プログラムは、属性フィールドの全ての組合わせごとに内訳合
計の計算処理を行う。計算方法としては、合計キーを付与したデータを基データに結合し
、属性キーで並び替えを行った上で、同一属性ごとに度数及び加重度数の合算を行う方法
を用いて、再帰計算により全組合わせ別の合計計算処理を行う（図５）。
(1) 前処理
下記の前処理を行う。
・処理対象とする属性項目フィールドを選択
・不要なフィールドを除去
・フィールドに加重度数（Weight）が無い場合は加重度数（Weight）フィールドを追加
し、各レコードの値を１にセット
・度数（Freauency）フィールドを追加して、各レコードの値を１にセット
(2) フィールド番号j = 0
指定したフィールドについて、カウンターｊの初期化を行う。
(3) 処理フィールドj = j+1
処理対象となる指定フィールドをカウンターｊによりカウントする。
(4) 全レコードコピーD1
入力ファイルの全レコードをコピーしてファイルD1として出力する。
(5) レコード番号i = 0
入力レコードのカウンターｉについて初期化を行う。
(6) レコード読込
個票データのレコード読込を行う。
(7) i = i + 1
処理対象となるレコードをカウンターｉによりカウントする。
(8) 属性ｊ番目分類=”~”
処理対象となるレコードについて、属性ｊ番目の属性を合計符号”~”に置き換える。
(9) 最終レコード？
全レコードについて処理が完了したか判定を行う。
Yes ⇒処理(6)
No ⇒処理(10)
(10) 結合D1＋全レコード
属性ｉ番目について処理済の全レコードをファイルD1に結合する。
(11) クロス属性並び替え
結合ファイルについて、属性別に並び替えを行う。
(12) 属性別度数合算
属性項目の同一組合せごとに度数（Frequency）の合算処理を行う。
(13) 属性別加重度数合算
属性項目の同一組合せごとに加重度数（Weight）の合算処理を行う。
(14) 処理対象データ置換
再帰計算を行うために、処理対象データを処理済データに置き換える。
(15) 最終フィールド？
全フィールドについて処理が完了したか判定を行う。
Yes ⇒終了
No ⇒処理(3)

６．２消去秘匿プログラム
消去秘匿プログラムは、属性項目の組合わせごとに分類符号を付与して分類符号ごとの
最小度数の検査を行い、最小度数が安全基準Kに満たない場合は、その属性項目組合わせ
のレコードについて内訳をゼロ値に置き換えることで多次元クロス度数表の消去秘匿処理
を行う（図６、図７、図８）。

属性組合わせ符号付与（２A）
(1)レコード番号i=0
レコード番号のカウンタｉを初期化する。
(2)レコード読込
対象ファイルについて、属性項目（F1～Fj）、加重度数（Weight）、度数（Frequency
）をレコード読込。
(3) i = i + 1
カウンタｉを＋１増分する。
(4)属性番号j=0
属性番号ｊを初期化する。
(5) j = j + 1
属性番号ｊを＋１増分する。
(6)番号j 分類”~”?
属性番号ｊのフィールドについて、分類＝”~”かどうかを判定する。
Yes ⇒処理(8)
No ⇒処理(7)
(7)符号F0 j桁目=”0”
分類符号F0のｊ桁目を”0”に設定する。
(8)符号F0 j桁目=”~”
分類符号F0のｊ桁目を”~”に設定する。
(9)j番全属性？
属性番号ｊについて、全て処理したか判定する。
Yes ⇒処理(9)
No ⇒処理(5)
(10)レコード出力
分類符号F0、属性項目（F1～Fj）、加重度数（Weight）、度数（Frequency）をレコー
ド出力。
(11)全レコード？
全レコードについて、処理が完了したか判定する。
Yes ⇒処理(12)
No ⇒処理(2)
(12)符号F0順 並び替え
分類符号F0でレコードを並び替える。

組合わせ別最小度数検査（２B）
(13)レコード読込
分類符号F0、属性項目（F1～Fj）、度数（Frequency）についてレコード読込
(14) Key = F0
分類符号F0をKeyに代入
(15)最小度数＝度数
最小度数に度数（Frequency）を代入
(16)レコード読込
分類符号F0、属性項目（F1～Fj）、度数（Frequency）についてレコード読込
(17) Key = F0？
分類符号F0とKeyの一致判定
Yes ⇒処理(20)
No ⇒処理(18)
(18) Key，最小度数出力
Keyと最小度数をレコード出力
(19) Key = F0
分類符号F0をKeyに代入
(20)度数＞最小？
度数＞最小度数の大小判定
Yes ⇒処理(22)
No ⇒処理(21)
(21)最小度数＝度数
最小度数に度数（Frequency）を代入
(22)最終レコード？
全レコードの終了判定
Yes ⇒処理(23)
No ⇒処理(16)
(23) Key，最小度数出力
Keyと最小度数をレコード出力

リスク表内訳消去（２C）
(24)基準値Ｋ設定
最小度数の基準値Ｋの設定
(25)レコード読込
分類符号F0、属性項目（F1～Fj）、加重度数（Weight）、度数（Frequency）をレコー
ド読込
(26) Key = F0
KeyにF0を代入
(27)F0最小度数読込
分類符号F0をKeyとする最小度数読込
(28)度数＞最小？
度数（Frequency）＞最小度数の判定
Yes ⇒処理(30)
No ⇒処理(29)
(29)度数＝０
度数（Frequency）に０を代入
(30)レコード出力
分類符号F0、属性項目（F1～Fj）、加重度数（Weight）、度数（Frequency）をレコー
ド出力
(31)レコード読込
分類符号F0、属性項目（F1～Fj）、加重度数（Weight）、度数（Frequency）をレコー
ド読込
(32) Key = F0？
Key = F0の判定
Yes ⇒処理(35)
No ⇒処理(33)
(33)F0最小度数読込
分類符号F0をKeyとする最小度数読込
(34) Key = F0
KeyにF0を代入
(35)度数＞最小？
度数（Frequency）＞最小度数の判定
Yes ⇒処理(37)
No ⇒処理(36)
(36)度数＝０
度数（Frequency）に０を代入
(37)レコード出力
分類符号F0、属性項目（F1～Fj）、加重度数（Weight）、度数（Frequency）をレコー
ド出力
(38)最終レコード？
最終レコードの判定
Yes ⇒終了
No ⇒処理(31)

６．３丸め秘匿プログラム
丸め秘匿プログラムは、消去秘匿処理済みの多次元クロス度数表について、丸め基数B
で除算して小数点以下を四捨五入することにより度数及び加重度数の丸め処理を行い、度
数表の秘匿を補強する（図９）。

丸め秘匿
(1)基数Ｂ設定
丸め基数Ｂ値を設定
(2)レコード読込
丸め処理対象データのレコード読込
(3)度数基数Ｂ丸め
度数（Frequency）を基数Ｂ値で丸め処理
計算式：Frequency = Int(Frequency / B ) * B
関数Int() は整数値計算
(4)加重度数基数Ｂ丸め
加重度数（Weight）を基数Ｂ値で丸め処理
計算式：Weight = Int(Weight / (Sum(Weight) / Sum(B))) * (Sum(Weight) / Sum(B))
関数Int() は整数値計算
関数Sum() は全レコードの合計値計算
(5)レコード出力
属性項目、加重度数（Weight）、度数（Frequency）のレコード出力
(6)最終レコード？
最終レコードの判定
Yes ⇒終了
No ⇒処理(2)

６．４差分計算プログラム
差分計算プログラムは、内訳合計と総数の差分計算を行う。差分計算は、度数表集計の
逆処理を行う方法で計算し、属性項目の組合わせごとの内訳について正負の符号を反転さ
せて合計と合算していくことで、全ての属性項目の組合わせごとの差分計算を再帰計算に
より行う。正負を反転させた内訳は、属性フィールドを合計符号“～”に置き換えて、基
の度数表データと結合し、属性項目別に並び替えを行った上で、同一属性キーごとに度数
及び加重度数の合算を行うことで差分を計算する（図１０）。

差分計算
(1)フィールド番号j = 0
フィールド番号ｊの初期化
(2) j = j + 1
フィールド番号ｊの＋１増分
(3)対象データ コピーC1
入力データをC1にコピー
(4)レコード番号i = 0
レコード番号ｉの初期化
(5)レコード読込
属性項目（F1～Fj）、加重度数（Weight）、度数（Frequnecy）のレコード読込
(6) i = i + 1
レコード番号ｉの＋１増分
(7)番号ｊ分類=”~”？
フィールド番号ｊの属性項目について、合計符号判定
Yes ⇒処理(12)
No ⇒処理(8)
(8)属性ｊ分類=”~”
フィールド番号ｊの属性項目を合計符号”~”に置き換え
(9)度数 正負反転
度数（Frequency）の値を正負反転
(10)加重度数 正負反転
加重度数（Weight）の値を正負反転
(11)レコード出力D1
属性項目（F1～Fj）、加重度数（Weight）、度数（Frequnecy）のレコード出力
(12)最終レコード？
最終レコードの判定
Yes ⇒処理(13)
No ⇒処理(5)
(13)結合 C1＋D1
出力データC1とD1の結合
(14)属性項目別並び替え
結合データの属性項目別並び替え
(15)属性別度数合算
属性項目別度数の合算
(16)属性別加重度数合算
属性項目別加重度数の合算
(17)対象データ置換
対象データを結合データで置換
(18)最終フィールド？
最終フィールドの判定
Yes ⇒終了
No ⇒処理(2)

６．５個票形式変換プログラム
個票形式変換プログラムは、差分計算を行った度数表の内訳と差分について、縮尺Ｒで
度数または加重度数を除算して整数化した値を出力レコード数とし、度数または加重度数
を出力レコード数で除算した値をウェイトとして、属性ごとにレコード出力を行う（図１
１）。

個票形式変換
(1)縮尺Ｒ設定
度数ベースか加重度数ベースかを選択して縮尺Ｒを設定
(2)レコード読込
属性項目（F1～Fj）、加重度数（Weight）、度数（Frequency）のレコード読込
(3)属性”~” NULL置換
レコードの属性項目が”~”のフィールドをNULLに置換
(4)出力数ｎ=Int(度数/R)
出力数ｎの計算
度数ベースの場合 ：ｎ=Int(Frequency / R)
加重度数ベースの場合：ｎ=Int(Weight / R)
関数Int()は整数値計算
(5)ｎ＞１？
ｎ＞１の判定
Yes ⇒処理(7)
No ⇒処理(6)
(6)出力数ｎ= 1
ｎ= 1を設定
(7)レコード番号j = 0
レコード番号jの初期化
(8) j = j + 1
レコード番号jの＋１増分
(9)ウェイトW = Weight / J
出力ウェイトWの計算
計算式：W = Weight / J
(10)レコード出力
属性項目（F1～Fj）、出力ウェイト（Weight＝W）のレコード出力
(11) j = ｎ？
レコード番号j＞ｎの判定
Yes ⇒処理(12)
No ⇒処理(8)
(12)最終レコード？
最終レコードの判定
Yes ⇒終了
No ⇒処理(2)

７．個票データの匿名化手法
個票データの匿名化手法について、本発明における実施形態の１つとして(1)基データ
の前処理、(2)多次元度数表集計、(3)全項目組合わせ検査及びリスク表の内訳消去、(4)
多次元度数表の丸め処理による秘匿補強、(5)多次元度数表の個票データ形式変換の順に
処理を行う。

７．１ 基データの前処理
入力に用いる個票データは、統計調査やアンケート調査等の調査票の内容を入力した男
女、年齢、世帯類型等の個人属性や世帯属性の項目から成る。氏名や個人番号、世帯番号
等の識別情報が含まれている場合には前処理としてあらかじめその情報を削除しておく必
要がある。

個票データのファイルはどのような形式でもよいが、本発明の装置では簡便のためCSV
（コンマ区切り）形式のファイルを用いている。データの先頭行はフィールド名とし、２
行目以降を個人あるいは世帯ごとの分類符号や分類ラベルのデータとする。フィールド名
については、最終項目をWeightフィールドとし、標本調査の場合は復元ウェイト、全数調
査の場合はWeightを１とする。Weightフィールドがない場合はWeightを１と見なして処理
を行う。前処理としては、ファイル読込みと丸め基数等のパラメータ設定を行う。また、
Weightフィールドの後に１レコードを１度数とするFrequencyフィールドを設定し、単純
度数の集計に用いる。

例）CSV形式の個票データ
F1 Gender, F2 Age, Weight, Frequency
a)男, a)20～29歳, 1, 1
a)男, b)30～39歳, 1, 1
b)女, d)50～59歳, 1, 1
b)女, e)60～69歳, 1, 1
a)男, c)40～49歳, 1, 1
（以下省略）
Gender：性別、Age：年齢階級、Weight：復元ウェイト、Frequency：単純度数

７．２ 多次元クロス度数表集計
度数表については、選択した属性項目ごとに度数を集計し、さらに、項目の全組み合わ
せごとに合計値を計算して多次元クロス度数表を集計する。
度数表は多次元クロス度数表として立体的に作成する必要があり、入力データの再帰処
理により属性項目の全ての組み合わせについて合計計算を行う。計算方法としては、第１
番目の属性項目について合計符号（“～”）に置き換えたレコードを入力データに追加し
て出力し、次にこの出力データを入力データとして用いる再帰処理により、第２番目の属
性項目を合計符号（“～”）に置き換えたレコードを入力データに追加して出力し、これ
を全ての属性項目について繰り返すことで多次元クロス度数表を立体的に集計する。
多次元クロス度数表は後述の差分計算を行う際に１セル１レコードのセルデータ形式に
変換する必要があるが、プログラム上は多次元クロス度数表を直接セルデータ形式で作成
することによってセルデータ形式への変換を省略している。
なお、ここでは再帰計算による多次元クロス度数集計について説明しているが、属性項
目の全ての組合わせ別に合計を求める方法であれば、再帰計算を用いない方法で集計して
もよい。

多次元クロス度数の再帰計算方法
属性項目Ｆ1,Ｆ2,・・・,Ｆjのj次元データについて、属性項目の組合わせ別にレコー
ド単位の度数（FrequencyまたはWeight）を合算して合計度数ｎを集計し、第i番目までの
属性別度数ｎiを求める。属性別度数ｎiは、単純度数の場合はレコードごとのFrequency
、加重度数の場合はレコードごとのWeightを属性項目の組合わせ別に合算して求める。得
られた属性別度数ｎiについて、以下の再帰計算により属性項目の組合わせ別の多次元ク
ロス度数を集計する。
属性別度数ｎi
Ｆ1 Ｆ2 ・・・ Ｆjｎ（FrequencyまたはWeightの合計）
C1,1 C1,2 ・・・ C1,jn1
C2,1 C2,2 ・・・ C2,jn2
C3,1 C3,2 ・・・ C3,jn3
・・・
Ci,1 Ci,2 ・・・ Ci,jni

第１番目の再帰計算
Ｆ1 Ｆ2 ・・・ Ｆjｎ（FrequencyまたはWeightの合計）
~ C1,2 ・・・ C1,jn1
~ C2,2 ・・・ C2,jn2
~ C3,2 ・・・ C3,jn3
・・・
~ Ci,2 ・・・ Ci,jni
C1,1 C1,2 ・・・ C1,jn1
C2,1 C2,2 ・・・ C2,jn2
C3,1 C3,2 ・・・ C3,jn3
・・・
Ci,1 Ci,2 ・・・ Ci,jni
上記の出力データについて、同一属性別に度数ｎ（FrequencyまたはWeightの合計）の足
し上げを行う。合計を示す分類符号”～”は、他の記号を用いてもよい。

第２番目の再帰計算
入力データとして第１番目の再帰計算結果を用いて計算処理を行う。
Ｆ1 Ｆ2 ・・・ Ｆjｎ（FrequencyまたはWeightの合計）
~ ~ ・・・ C1,jn1
~ ~ ・・・ C2,jn2
~ ~ ・・・ C3,jn3
・・・
~ ~ ・・・ Ci,jni
C1,1 ~ ・・・ C1,jn1
C2,1 ~ ・・・ C2,jn2
C3,1 ~ ・・・ C3,jn3
・・・
Ci,1 ~ ・・・ Ci,jni
~ C1,2 ・・・ C1,jn1
~ C2,2 ・・・ C2,jn2
~ C3,2 ・・・ C3,jn3
・・・
~ Ci,2 ・・・ Ci,jni
C1,1 C1,2 ・・・ C1,jn1
C2,1 C2,2 ・・・ C2,jn2
C3,1 C3,2 ・・・ C3,jn3
・・・
Ci,1 Ci,2 ・・・ Ci,jni
上記の出力データについて、同一属性別に度数ｎ（FrequencyまたはWeight）の足し上げ
を行う。

第ｊ番目の再帰計算
Ｆ1 Ｆ2 ・・・ Ｆj ｎ（FrequencyまたはWeightの合計）
~ ~ ・・・ ~ n1
~ ~ ・・・ ~ n2
~ ~ ・・・ ~ n3
・・・
~ ~ ・・・ ~ ni
C1,1 ~ ・・・ ~ n1
C2,1 ~ ・・・ ~ n2
C3,1 ~ ・・・ ~ n3
・・・
Ci,1 ~ ・・・ ~ ni
~ C1,2 ・・・ ~ n1
~ C2,2 ・・・ ~ n2
~ C3,2 ・・・ ~ n3
・・・
~ Ci,2 ・・・ ~ ni
C1,1 C1,2 ・・・ ~ n1
C2,1 C2,2 ・・・ ~ n2
C3,1 C3,2 ・・・ ~ n3
・・・
Ci,1 Ci,2 ・・・ ~ ni
・・・（途中省略）
~ ~ ・・・ C1,j n1
~ ~ ・・・ C2,j n2
~ ~ ・・・ C3,j n3
・・・
~ ~ ・・・ Ci,j ni
C1,1 ~ ・・・ C1,j n1
C2,1 ~ ・・・ C2,j n2
C3,1 ~ ・・・ C3,j n3
・・・
Ci,1 ~ ・・・ Ci,j ni
~ C1,2 ・・・ C1,j n1
~ C2,2 ・・・ C2,j n2
~ C3,2 ・・・ C3,j n3
・・・
~ Ci,2 ・・・ Ci,j ni
C1,1 C1,2 ・・・ C1,j n1
C2,1 C2,2 ・・・ C2,j n2
C3,1 C3,2 ・・・ C3,j n3
・・・
Ci,1 Ci,2 ・・・ Ci,j ni
・・・（以下省略）

上記の出力データについて、同一属性別に度数ｎ（FrequencyまたはWeight）の足し上
げを行う。再帰計算をｊ回繰り返し、同一属性別に度数の足し上げ計算を行うことにより
、項目の全ての組合わせについて度数の合計を計算する。
再帰計算の結果
Ｆ1 Ｆ2 ・・・ Ｆj ｎ（FrequencyまたはWeightの合計）
~ ~ ・・・ ~ t(~,~,・・・,~)
~ ~ ・・・ C1,j t(~,~,・・・,C1,j)
~ ~ ・・・ C2,j t(~,~,・・・,C2,j)
~ ~ ・・・ C3,j t(~,~,・・・,C3,j)
・・・
~ ~ ・・・ Ci,j t(~,~,・・・,Ci,j)
・・・
~ C1,2 ・・・ ~ t(~,C1,2,・・・,~)
~ C2,2 ・・・ ~ t(~,C2,2,・・・,~)
~ C3,2 ・・・ ~ t(~,C3,2,・・・,~)
・・・
~ Ci,2 ・・・ ~ t(~,Ci,2,・・・,~)
・・・
~ C1,2 ・・・ C1,j t(~,C1,2,・・・,C1,j)
~ C2,2 ・・・ C2,j t(~,C2,2,・・・,C2,j)
~ C3,2 ・・・ C3,j t(~,C3,2,・・・,C3,j)
・・・
~ Ci,2 ・・・ Ci,j t(~,Ci,2,・・・Ci,j)
・・・
C1,1 ~ ・・・ ~ t(C1,1,~ ,・・・,~)
C2,1 ~ ・・・ ~ t(C2,1,~ ,・・・,~)
C3,1 ~ ・・・ ~ t(C3,1,~ ,・・・,~)
・・・
Ci,1 ~ ・・・ ~ t(Ci,1,~ ,・・・,~)
・・・
C1,1 ~ ・・・ C1,j t(C1,1,~ ,・・・,C1,j)
C2,1 ~ ・・・ C2,j t(C2,1,~ ,・・・,C2,j)
C3,1 ~ ・・・ C3,j t(C3,1,~ ,・・・,C3,j)
・・・
Ci,1 ~ ・・・ Ci,j t(Ci,1,~ ,・・・,Ci,j)
・・・
C1,1 C1,2 ・・・ ~ t(C1,1,C1,2,・・・,~)
C2,1 C2,2 ・・・ ~ t(C2,1,C2,2,・・・,~)
C3,1 C3,2 ・・・ ~ t(C3,1,C3,2,・・・,~)
・・・
Ci,1 Ci,2 ・・・ ~ t(Ci,1,Ci,2,・・・,~)
・・・
C1,1 C1,2 ・・・ C1,j n1
C2,1 C2,2 ・・・ C2,j n2
C3,1 C3,2 ・・・ C3,j n3
・・・
Ci,1 Ci,2 ・・・ Ci,j ni
合計度数t(Ci,1,Ci,2,・・・,Ci,j)は、属性(Ci,1,Ci,2,・・・,Ci,j)のレコードについ
て、度数を合算した値を示す。

例）
属性項目Ｆ1(a1,a2)とＦ2(b1,b2,b3)の２次元データについて、下記の度数が得られた
場合の２次元クロス度数表計算
Ｆ1 Ｆ2 ｎ（FrequencyまたはWeightの合計）
a1 b1 n1
a1 b2 n2
a1 b3 n3
a2 b1 n4
a2 b2 n5
a2 b3 n6

(1)第１番目の再帰計算
Ｆ1 Ｆ2 ｎ（FrequencyまたはWeightの合計）
~ b1 n1
~ b2 n2
~ b3 n3
~ b1 n4
~ b2 n5
~ b3 n6
a1 b1 n1
a1 b2 n2
a1 b3 n3
a2 b1 n4
a2 b2 n5
a2 b3 n6
上記の出力データについて、同一属性別に度数ｎ（FrequencyまたはWeightの合計）の合
算を行う。
計算結果
Ｆ1 Ｆ2 ｎ（FrequencyまたはWeightの合計）
~ b1 n1 + n4
~ b2 n2 + n5
~ b3 n3 + n6
a1 b1 n1
a1 b2 n2
a1 b3 n3
a2 b1 n4
a2 b2 n5
a2 b3 n6

(2)第２番目の再帰計算
Ｆ1 Ｆ2 ｎ（FrequencyまたはWeightの合計）
~ ~ n1 + n4
~ ~ n2 + n5
~ ~ n3 + n6
a1 ~ n1
a1 ~ n2
a1 ~ n3
a2 ~ n4
a2 ~ n5
a2 ~ n6
~ b1 n1 + n4
~ b2 n2 + n5
~ b3 n3 + n6
a1 b1 n1
a1 b2 n2
a1 b3 n3
a2 b1 n4
a2 b2 n5
a2 b3 n6
上記の出力データについて、同一属性別に度数ｎ（FrequencyまたはWeightの合計）の足
し上げを行う。
計算結果
Ｆ1 Ｆ2 ｎ（FrequencyまたはWeightの合計）
~ ~ n1+n2+n3+n4+n5+n6
a1 ~ n1+n2+n3
a2 ~ n4+n5+n6
~ b1 n1+n4
~ b2 n2+n5
~ b3 n3+n6
a1 b1 n1
a1 b2 n2
a1 b3 n3
a2 b1 n4
a2 b2 n5
a2 b3 n6

７．３ 多次元クロス度数表の秘匿処理
度数表の秘匿手法としては多様な方法が存在するが、個票データを直接的に処理して匿
名化する事前秘匿の場合と異なり、集計後に行う度数表の秘匿処理は度数表の一部を秘匿
しても、縦計、横計などの合計や、他の項目との組合わせの値を用いることで、秘匿した
値が逆算されてしまうことがある。このため、本発明では、度数表のリスクセルの値が逆
算できないように、属性項目の全ての組合わせについてリスク検査を行い、リスクセルを
含む属性項目の組合わせについて、クロス表単位で内訳を消去する消去秘匿の方法を用い
ている。この方法を用いることにより、多次元クロス度数表の他の部分からリスクセルが
逆算できないように秘匿処理を行うことができる。
ただし、クロス表単位で内訳を消去する方法は、高い安全性が期待できる一方で、消去
されるセル数が多いため、度数表の有用性が著しく低下するという問題がある。そこで、
本発明では、消去秘匿と丸め秘匿により複合的に秘匿処理を行い、最小限の消去秘匿を行
った多次元クロス度数表の各セルについて丸め処理を加えることで、多次元クロス秘匿度
数表の安全性と有用性を維持する方法を用いている。消去秘匿と丸め秘匿による複合的な
秘匿処理を行うことで、個票データの有用性を維持しつつ、より高い秘匿効果を得られる
ことが期待できる。

７．３．１ 属性項目の全組合わせ検査及び消去秘匿
多次元クロス度数表の消去秘匿は、属性項目の組合わせごとに多次元クロス度数表の最
小セルの検査を行い、最小セルが基準を下回っている場合はその属性項目の組合わせにつ
いて内訳度数を全てゼロ値に置き換えて消去することで秘匿を行う方法である。
多次元クロス度数表には、属性項目のあらゆる組合わせについて、合計及び内訳の度数が
集計されて含まれていることから、集計対象となるレコードの属性項目について全ての組
合わせでリスク検査を行って、最小セルが基準を下回るようなリスクセルが含まれている
場合は、その組み合わせの度数表をリスク表と判定する。リスクセルが含まれているリス
ク表については、該当のリスクセルを消去するだけでは安全性が十分に確保できないため
、リスクセルを含む組合わせ表を表単位で消去することで秘匿を行う必要がある。このた
め、消去秘匿を行う場合は、多次元クロス度数表のリスクセルを含む属性項目の組合わせ
について全てのセルの内訳度数を消去することで消去秘匿を行う。
例えば、安全基準を３度数以上とする場合について、性別と年齢について多次元クロス
度数表を集計して性別の内訳度数と年齢の内訳度数の最小セルがそれぞれ３以上となって
いるが、性別と年齢をクロスした内訳度数の最小セルが１となっていて安全基準を満たさ
ないような場合については、性別と年齢をクロスした度数表はリスクセルを含むリスク表
となるため、性別と年齢をクロスした内訳度数を全てゼロ値に置き換えを行い、性別と年
齢をクロスしない表についてのみの内訳度数を残すことで多次元クロス度数表の秘匿を行
う。
消去秘匿を行うデータについて、属性項目がnull値となっているレコードが含まれてい
る場合については、null値の度数を秘匿対象から除外して処理を行う。これは、null値を
秘匿対象としてしまうとnull値が１レコード１属性フィールドのみに含まれているような
場合にそのフィールドを含む組合わせが全て消去対象となってしまい、秘匿が正常に行わ
れないためである。一般に、null値のフィールドはその属性項目が不詳である場合と解釈
されるが、不詳であること自体は秘匿対象ではないと見なして処理を行っている。属性項
目が不詳の場合についても孤立レコードが秘匿対象となる場合は不詳の項目をnull値とす
るのではなく、不詳の符合を付与してnull値と区別する必要がある。

例）
ある個票データについて、就業状態と性別、年齢をクロスした３次元クロス表を集計し
たところ、下記のクロス度数表が得られたとする。安全基準を３とすると、クロス表の最
小セルは「60～69歳の女」の度数が１、「60～69歳の男」の度数が２となっているため、
就業状態と性別、年齢の３項目をクロスすることによりリスクセルが発生することがわか
る。
クロス度数表（３次元の場合）
性別 年齢 総数 a)有業 b)無業
総数 総数 100 53 47
総数 a)20～29歳 19 11 8
総数 b)30～39歳 24 15 9
総数 c)40～49歳 23 15 8
総数 d)50～59歳 18 9 9
総数 e)60～69歳 9 3 6
総数 f)70歳以上 7 0 7
a)男 総数 50 32 18
a)男 a)20～29歳 10 6 4
a)男 b)30～39歳 13 10 3
a)男 c)40～49歳 12 9 3
a)男 d)50～59歳 8 5 3
a)男 e)60～69歳 4 2 2
a)男 f)70歳以上 3 0 3
b)女 総数 50 21 29
b)女 a)20～29歳 9 5 4
b)女 b)30～39歳 11 5 6
b)女 c)40～49歳 11 6 5
b)女 d)50～59歳 10 4 6
b)女 e)60～69歳 5 1 4
b)女 f)70歳以上 4 0 4

この表について、１セル１レコードのセルデータ形式（総数については符号「～」とす
る。）に変換し、属性の組合わせごとに分類符号を付与する。分類符号は、それぞれの属
性項目について合計の項目を「～」、内訳の項目を「０」として表す。
セルデータ形式のクロス度数表（３次元の場合）
F0符号 F1就業状態 F2性別 F3年齢 ｎ（Frequency合計）
~~~ ~ ~ ~ 100
~~0 ~ ~ a)20～29歳 19
~~0 ~ ~ b)30～39歳 24
~~0 ~ ~ c)40～49歳 23
~~0 ~ ~ d)50～59歳 18
~~0 ~ ~ e)60～69歳 9
~~0 ~ ~ f)70歳以上 7
~0~ ~ a)男 ~ 50
~00 ~ a)男 a)20～29歳 10
~00 ~ a)男 b)30～39歳 13
~00 ~ a)男 c)40～49歳 12
~00 ~ a)男 d)50～59歳 8
~00 ~ a)男 e)60～69歳 4
~00 ~ a)男 f)70歳以上 3
~0~ ~ b)女 ~ 50
~00 ~ b)女 a)20～29歳 9
~00 ~ b)女 b)30～39歳 11
~00 ~ b)女 c)40～49歳 11
~00 ~ b)女 d)50～59歳 10
~00 ~ b)女 e)60～69歳 5
~00 ~ b)女 f)70歳以上 4
0~~ a)有業 ~ ~ 53
0~0 a)有業 ~ a)20～29歳 11
0~0 a)有業 ~ b)30～39歳 15
0~0 a)有業 ~ c)40～49歳 15
0~0 a)有業 ~ d)50～59歳 9
0~0 a)有業 ~ e)60～69歳 3
00~ a)有業 a)男 ~ 32
000 a)有業 a)男 a)20～29歳 6
000 a)有業 a)男 b)30～39歳 10
000 a)有業 a)男 c)40～49歳 9
000 a)有業 a)男 d)50～59歳 5
000 a)有業 a)男 e)60～69歳 2
00~ a)有業 b)女 ~ 21
000 a)有業 b)女 a)20～29歳 5
000 a)有業 b)女 b)30～39歳 5
000 a)有業 b)女 c)40～49歳 6
000 a)有業 b)女 d)50～59歳 4
000 a)有業 b)女 e)60～69歳 1
0~~ b)無業 ~ ~ 47
0~0 b)無業 ~ a)20～29歳 8
0~0 b)無業 ~ b)30～39歳 9
0~0 b)無業 ~ c)40～49歳 8
0~0 b)無業 ~ d)50～59歳 9
0~0 b)無業 ~ e)60～69歳 6
0~0 b)無業 ~ f)70歳以上 7
00~ b)無業 a)男 ~ 18
000 b)無業 a)男 a)20～29歳 4
000 b)無業 a)男 b)30～39歳 3
000 b)無業 a)男 c)40～49歳 3
000 b)無業 a)男 d)50～59歳 3
000 b)無業 a)男 e)60～69歳 2
000 b)無業 a)男 f)70歳以上 3
00~ b)無業 b)女 ~ 29
000 b)無業 b)女 a)20～29歳 4
000 b)無業 b)女 b)30～39歳 6
000 b)無業 b)女 c)40～49歳 5
000 b)無業 b)女 d)50～59歳 6
000 b)無業 b)女 e)60～69歳 4
000 b)無業 b)女 f)70歳以上 4

分類符号ごとの最小セルについてリスクチェックを行うと、下記の検査結果が得られる。
検査結果（就業状態／性別／年齢）
符号 最小度数
[000] 1
[~00] 3
[0~0] 3
[~~0] 7
[00~] 18
[0~~] 47
[~0~] 50
[~~~] 100

この検査結果から、組合わせ分類[000]は度数１のリスクセルを含むリスク表となってい
ることがわかる。そこで、分類[000]の組合わせについては内訳度数を全てゼロ値に置き
換えることで消去秘匿を行う。
F0符号 F1就業状態 F2性別 F3年齢 ｎ（Frequency合計）
~~~ ~ ~ ~ 100
~~0 ~ ~ a)20～29歳 19
~~0 ~ ~ b)30～39歳 24
~~0 ~ ~ c)40～49歳 23
~~0 ~ ~ d)50～59歳 18
~~0 ~ ~ e)60～69歳 9
~~0 ~ ~ f)70歳以上 7
~0~ ~ a)男 ~ 50
~00 ~ a)男 a)20～29歳 10
~00 ~ a)男 b)30～39歳 13
~00 ~ a)男 c)40～49歳 12
~00 ~ a)男 d)50～59歳 8
~00 ~ a)男 e)60～69歳 4
~00 ~ a)男 f)70歳以上 3
~0~ ~ b)女 ~ 50
~00 ~ b)女 a)20～29歳 9
~00 ~ b)女 b)30～39歳 11
~00 ~ b)女 c)40～49歳 11
~00 ~ b)女 d)50～59歳 10
~00 ~ b)女 e)60～69歳 5
~00 ~ b)女 f)70歳以上 4
0~~ a)有業 ~ ~ 53
0~0 a)有業 ~ a)20～29歳 11
0~0 a)有業 ~ b)30～39歳 15
0~0 a)有業 ~ c)40～49歳 15
0~0 a)有業 ~ d)50～59歳 9
0~0 a)有業 ~ e)60～69歳 3
00~ a)有業 a)男 ~ 32
000 a)有業 a)男 a)20～29歳 0 （ゼロ値置換）
000 a)有業 a)男 b)30～39歳 0 （ゼロ値置換）
000 a)有業 a)男 c)40～49歳 0 （ゼロ値置換）
000 a)有業 a)男 d)50～59歳 0 （ゼロ値置換）
000 a)有業 a)男 e)60～69歳 0 （ゼロ値置換）
00~ a)有業 b)女 ~ 21
000 a)有業 b)女 a)20～29歳 0 （ゼロ値置換）
000 a)有業 b)女 b)30～39歳 0 （ゼロ値置換）
000 a)有業 b)女 c)40～49歳 0 （ゼロ値置換）
000 a)有業 b)女 d)50～59歳 0 （ゼロ値置換）
000 a)有業 b)女 e)60～69歳 0 （ゼロ値置換）
0~~ b)無業 ~ ~ 47
0~0 b)無業 ~ a)20～29歳 8
0~0 b)無業 ~ b)30～39歳 9
0~0 b)無業 ~ c)40～49歳 8
0~0 b)無業 ~ d)50～59歳 9
0~0 b)無業 ~ e)60～69歳 6
0~0 b)無業 ~ f)70歳以上 7
00~ b)無業 a)男 ~ 18
000 b)無業 a)男 a)20～29歳 0 （ゼロ値置換）
000 b)無業 a)男 b)30～39歳 0 （ゼロ値置換）
000 b)無業 a)男 c)40～49歳 0 （ゼロ値置換）
000 b)無業 a)男 d)50～59歳 0 （ゼロ値置換）
000 b)無業 a)男 e)60～69歳 0 （ゼロ値置換）
000 b)無業 a)男 f)70歳以上 0 （ゼロ値置換）
00~ b)無業 b)女 ~ 29
000 b)無業 b)女 a)20～29歳 0 （ゼロ値置換）
000 b)無業 b)女 b)30～39歳 0 （ゼロ値置換）
000 b)無業 b)女 c)40～49歳 0 （ゼロ値置換）
000 b)無業 b)女 d)50～59歳 0 （ゼロ値置換）
000 b)無業 b)女 e)60～69歳 0 （ゼロ値置換）
000 b)無業 b)女 f)70歳以上 0 （ゼロ値置換）
上記の方法により消去秘匿を行ったクロス度数表について、合計と内訳の差分計算と個
票形式への変換を行うことで、リスクセルに関する情報を含まない個票形式のデータを得
ることができる。

７．３．２ 多次元度数表の丸め秘匿
(1) 多次元度数表の丸め秘匿
多次元クロス度数表において、度数が安全基準に満たない場合、そのセルに含まれるデ
ータは度数表におけるリスクセル、個票データにおけるリスクレコードとなるため、度数
表の丸め処理を行うことで、リスクレコードを含むセルの秘匿を行うことができる。例と
して、丸め基数５で四捨五入による丸め処理を行う場合は、度数を基数５で除算して小数
点以下を四捨五入した値に基数５を乗じることで度数表の丸め処理を行う。
丸め処理の計算式
t(Ｃ1,Ｃ2, ,・・・,Ｃi)’ = ROUND( t(Ｃ1,Ｃ2, ,・・・,Ｃi) )
注）ROUND( )は、丸め処理を行う関数を表す。
丸め処理の計算結果
Ｆ1 Ｆ2 ・・・ Ｆj Ｎ’
~ ~ ・・・ ~ t(~,~,・・・,~)’
~ ~ ・・・ C1,j t(~,~,・・・,C1,j)’
~ ~ ・・・ C2,j t(~,~,・・・,C2,j)’
~ ~ ・・・ C3,j t(~,~,・・・,C3,j)’
・・・
~ ~ ・・・ Ci,j t(~,~,・・・,Ci,j)’
・・・
~ C1,2 ・・・ ~ t(~,C1,2,・・・,~)’
~ C2,2 ・・・ ~ t(~,C2,2,・・・,~)’
~ C3,2 ・・・ ~ t(~,C3,2,・・・,~)’
・・・
~ Ci,2 ・・・ ~ t(~,Ci,2,・・・,~)’
・・・
~ C1,2 ・・・ C1,j t(~,C1,2,・・・,C1,j)’
~ C2,2 ・・・ C2,j t(~,C2,2,・・・,C2,j)’
~ C3,2 ・・・ C3,j t(~,C3,2,・・・,C3,j)’
・・・
~ Ci,2 ・・・ Ci,j t(~,Ci,2,・・・Ci,j)’
・・・
C1,1 ~ ・・・ ~ t(C1,1,~ ,・・・,~)’
C2,1 ~ ・・・ ~ t(C2,1,~ ,・・・,~)’
C3,1 ~ ・・・ ~ t(C3,1,~ ,・・・,~)’
・・・
Ci,1 ~ ・・・ ~ t(Ci,1,~ ,・・・,~)’
・・・
C1,1 ~ ・・・ C1,j t(C1,1,~ ,・・・,C1,j)’
C2,1 ~ ・・・ C2,j t(C2,1,~ ,・・・,C2,j)’
C3,1 ~ ・・・ C3,j t(C3,1,~ ,・・・,C3,j)’
・・・
Ci,1 ~ ・・・ Ci,j t(Ci,1,~ ,・・・,Ci,j)’
・・・
C1,1 C1,2 ・・・ ~ t(C1,1,C1,2,・・・,~)’
C2,1 C2,2 ・・・ ~ t(C2,1,C2,2,・・・,~)’
C3,1 C3,2 ・・・ ~ t(C3,1,C3,2,・・・,~)’
・・・
Ci,1 Ci,2 ・・・ ~ t(Ci,1,Ci,2,・・・,~)’
・・・
C1,1 C1,2 ・・・ C1,j n1’
C2,1 C2,2 ・・・ C2,j n2’
C3,1 C3,2 ・・・ C3,j n3’
・・・
Ci,1 Ci,2 ・・・ Ci,j ni’

例）多次元クロス度数表の丸め処理（２次元の場合）
Ｆ1 Ｆ2 Ｎf (Frequency)
~ ~ (n1+n2+n3+n4+n5+n6)’ = ROUND(n1+n2+n3+n4+n5+n6)
a1 ~ (n1+n2+n3)’ = ROUND(n1+n2+n3)
a2 ~ (n4+n5+n6)’ = ROUND(n4+n5+n6)
~ b1 (n1+n4)’ = ROUND(n1+n4)
~ b2 (n2+n5)’ = ROUND(n2+n5)
~ b3 (n3+n6)’ = ROUND(n3+n6)
a1 b1 (n1)’ = ROUND(n1)
a1 b2 (n2)’ = ROUND(n2)
a1 b3 (n3)’ = ROUND(n3)
a2 b1 (n4)’ = ROUND(n4)
a2 b2 (n5)’ = ROUND(n5)
a2 b3 (n6)’ = ROUND(n6)
注）ROUND( ) は丸め処理を行う関数を表す。

例）丸め基数５の四捨五入の場合
度数 丸め値 丸め計算
０ ０ Round( 0 / 5 ) * 5 = 0
１ ０ Round( 1 / 5 ) * 5 = 0
２ ０ Round( 2 / 5 ) * 5 = 0
３ ５ Round( 3 / 5 ) * 5 = 5
４ ５ Round( 4 / 5 ) * 5 = 5
５ ５ Round( 5 / 5 ) * 5 = 5
６ ５ Round( 6 / 5 ) * 5 = 5
７ ５ Round( 7 / 5 ) * 5 = 5
８ １０ Round( 8 / 5 ) * 5 = 10
９ １０ Round( 9 / 5 ) * 5 = 10
１０ １０ Round(10 / 5 ) * 5 = 10
注）Round() は、小数点以下を四捨五入で丸める関数を示す。

例）多次元クロス度数表（２次元の場合）
年齢 総数 a)男 b)女
総数 100 50 50
a)20～29歳 19 10 9
b)30～39歳 24 13 11
c)40～49歳 23 12 11
d)50～59歳 18 8 10
e)60～69歳 9 4 5
f)70歳以上 7 3 4
度数表の丸め処理（丸め基数５の場合）
年齢 総数 a)男 b)女
総数 100 50 50
a)20～29歳 20 10 10
b)30～39歳 25 15 10
c)40～49歳 25 10 10
d)50～59歳 20 10 10
e)60～69歳 10 5 5
f)70歳以上 5 5 5

(2) 丸め秘匿の基数と安全性
四捨五入による丸め秘匿に用いる丸め基数は、５以上とする必要がある。これは、５未
満の基数で丸め処理を行った場合は十分な秘匿ができない可能性があるためである。丸め
基数を５とした場合、丸め値が５となる基の度数は３～７の範囲で存在しており、基の度
数がいくつであるかを丸め値のみから特定することはできない。度数表は個々の属性別の
セル値だけではなく、合計値も丸める必要があり、度数表のセルの基の度数が１または２
の場合で切捨てとなる場合も他のセルの丸めによる切捨てと切上げが混在することで切捨
てとなったセルを特定することはできないため、丸め基数５以上で丸め処理を行った度数
表はリスクデータの特定可能性という観点からある程度の安全性が確保できることが期待
できる。ただし、個票データの属性別分布によっては丸め基数５でも秘匿強度がやや不十
分な場合があり得るため、プログラム上は丸め基数の安全基準をデフォルトで１０として
いる。丸め基数については安全基準をさらに大きく設定することで、より高い安全性を確
保することが可能である。

丸め処理による丸め誤差は表全体に等確率で発生するため、丸め処理を行うと統計表と
しての精度は下がるものの有意な歪みは発生しないことが期待でき、有効桁数を十分に確
保できれば科学的な観点で歪みのない表として利用することができる。
度数表の丸め処理は統計表を秘匿する方法としては一般的に用いられる手法であるが、
その対象は個票データではなく集計済みの統計表であるため、そのままでは個票データの
秘匿に利用することはできない。本発明における度数表を個票形式に変換する方法を応用
して初めて有効な手法として個票データの秘匿に転用することが可能となる。
本発明では簡便のため単純な丸め処理による秘匿を用いているが、他にも乱数丸め等の
手法を転用することも可能である。また、統計表を秘匿する手法は丸め秘匿以外にも多様
に存在しており、本発明による度数表を個票形式に変換する方法を応用することで、様々
な統計表の秘匿手法を個票データの秘匿手法として転用することが可能となる。
なお、丸め処理の方法には「四捨五入」以外に「切上げ」あるいは「切捨て」を用いる
ことも可能であるが、丸め処理が異なる度数表を作成してしまうと差分によってリスクデ
ータを特定できる可能性が生じるため、度数表の丸め処理の方法は統一して用いる必要が
ある。

(3) 丸め秘匿の脆弱性
多次元クロス度数表は、秘匿手法として丸め処理を行うことで、ある程度の安全性が確
保できることが期待できる。しかし、丸め秘匿を行っていない結果表が事前に公表されて
いる場合については、丸め処理を行っていない合計値から内訳の逆算が可能となるケース
がある。
例えば、内訳が５と１で合計が６の組合わせの場合、基数５で丸め処理を行った内訳は
５と０で合計は５となるが、丸めていない合計が６であることが公表されている場合は、
丸めた内訳が５と０となる組合わせは、内訳５と１、または内訳６と０しか存在しないた
め、１度数のセルが特定される可能性が生じるという問題がある。同様に、１０と１、あ
るいは１００と１といった組合わせについても１度数のセルが特定されてしまう可能性が
ある。
このため、度数表の秘匿処理としては、丸め秘匿のみでは秘匿強度が不十分になること
から、他の秘匿手法を組合わせて秘匿補強を行う必要がある。

７．３．３ 多次元度数表の複合秘匿
多次元クロス度数表の消去秘匿はリスクセルを含む属性項目について、項目組合わせの
表単位で消去することになるため、秘匿の安全性を上げるために消去秘匿の安全基準を大
きくしてしまうと多次元クロス度数表に含まれる情報が大幅に削られることになり、デー
タの有用性が損なわれることになる。そこで、消去秘匿の安全基準は必要最小限に留めて
、丸め秘匿等の補強手法を併用して複合秘匿を行うことで安全性と有用性のバランスを図
る必要がある。
複合秘匿の場合の手順としては、多次元クロス度数表の集計を行った上で、(1)消去秘
匿、(2)丸め秘匿（複合秘匿）、(3)差分計算、(4)個票形式変換の順で秘匿処理を行うこ
とで秘匿済みの個票データを作成する。

例）消去秘匿と丸め秘匿による複合秘匿
(1)多次元クロス度数表の消去秘匿（３次元の場合）
F0符号 F1就業状態 F2性別 F3年齢 ｎ（Frequency合計）
~~~ ~ ~ ~ 100
~~0 ~ ~ a)20～29歳 19
~~0 ~ ~ b)30～39歳 24
~~0 ~ ~ c)40～49歳 23
~~0 ~ ~ d)50～59歳 18
~~0 ~ ~ e)60～69歳 9
~~0 ~ ~ f)70歳以上 7
~0~ ~ a)男 ~ 50
~00 ~ a)男 a)20～29歳 10
~00 ~ a)男 b)30～39歳 13
~00 ~ a)男 c)40～49歳 12
~00 ~ a)男 d)50～59歳 8
~00 ~ a)男 e)60～69歳 4
~00 ~ a)男 f)70歳以上 3
~0~ ~ b)女 ~ 50
~00 ~ b)女 a)20～29歳 9
~00 ~ b)女 b)30～39歳 11
~00 ~ b)女 c)40～49歳 11
~00 ~ b)女 d)50～59歳 10
~00 ~ b)女 e)60～69歳 5
~00 ~ b)女 f)70歳以上 4
0~~ a)有業 ~ ~ 53
0~0 a)有業 ~ a)20～29歳 11
0~0 a)有業 ~ b)30～39歳 15
0~0 a)有業 ~ c)40～49歳 15
0~0 a)有業 ~ d)50～59歳 9
0~0 a)有業 ~ e)60～69歳 3
00~ a)有業 a)男 ~ 32
000 a)有業 a)男 a)20～29歳 0 （ゼロ値置換）
000 a)有業 a)男 b)30～39歳 0 （ゼロ値置換）
000 a)有業 a)男 c)40～49歳 0 （ゼロ値置換）
000 a)有業 a)男 d)50～59歳 0 （ゼロ値置換）
000 a)有業 a)男 e)60～69歳 0 （ゼロ値置換）
00~ a)有業 b)女 ~ 21
000 a)有業 b)女 a)20～29歳 0 （ゼロ値置換）
000 a)有業 b)女 b)30～39歳 0 （ゼロ値置換）
000 a)有業 b)女 c)40～49歳 0 （ゼロ値置換）
000 a)有業 b)女 d)50～59歳 0 （ゼロ値置換）
000 a)有業 b)女 e)60～69歳 0 （ゼロ値置換）
0~~ b)無業 ~ ~ 47
0~0 b)無業 ~ a)20～29歳 8
0~0 b)無業 ~ b)30～39歳 9
0~0 b)無業 ~ c)40～49歳 8
0~0 b)無業 ~ d)50～59歳 9
0~0 b)無業 ~ e)60～69歳 6
0~0 b)無業 ~ f)70歳以上 7
00~ b)無業 a)男 ~ 18
000 b)無業 a)男 a)20～29歳 0 （ゼロ値置換）
000 b)無業 a)男 b)30～39歳 0 （ゼロ値置換）
000 b)無業 a)男 c)40～49歳 0 （ゼロ値置換）
000 b)無業 a)男 d)50～59歳 0 （ゼロ値置換）
000 b)無業 a)男 e)60～69歳 0 （ゼロ値置換）
000 b)無業 a)男 f)70歳以上 0 （ゼロ値置換）
00~ b)無業 b)女 ~ 29
000 b)無業 b)女 a)20～29歳 0 （ゼロ値置換）
000 b)無業 b)女 b)30～39歳 0 （ゼロ値置換）
000 b)無業 b)女 c)40～49歳 0 （ゼロ値置換）
000 b)無業 b)女 d)50～59歳 0 （ゼロ値置換）
000 b)無業 b)女 e)60～69歳 0 （ゼロ値置換）
000 b)無業 b)女 f)70歳以上 0 （ゼロ値置換）

(2) 多次元度数表の丸め秘匿（丸め基数５の場合）
F0符号 F1就業状態 F2性別 F3年齢 ｎ（Frequency合計）
~~~ ~ ~ ~ 100
~~0 ~ ~ a)20～29歳 20
~~0 ~ ~ b)30～39歳 25
~~0 ~ ~ c)40～49歳 25
~~0 ~ ~ d)50～59歳 20
~~0 ~ ~ e)60～69歳 10
~~0 ~ ~ f)70歳以上 5
~0~ ~ a)男 ~ 50
~00 ~ a)男 a)20～29歳 10
~00 ~ a)男 b)30～39歳 15
~00 ~ a)男 c)40～49歳 10
~00 ~ a)男 d)50～59歳 10
~00 ~ a)男 e)60～69歳 5
~00 ~ a)男 f)70歳以上 5
~0~ ~ b)女 ~ 50
~00 ~ b)女 a)20～29歳 10
~00 ~ b)女 b)30～39歳 10
~00 ~ b)女 c)40～49歳 10
~00 ~ b)女 d)50～59歳 10
~00 ~ b)女 e)60～69歳 5
~00 ~ b)女 f)70歳以上 5
0~~ a)有業 ~ ~ 55
0~0 a)有業 ~ a)20～29歳 10
0~0 a)有業 ~ b)30～39歳 15
0~0 a)有業 ~ c)40～49歳 15
0~0 a)有業 ~ d)50～59歳 10
0~0 a)有業 ~ e)60～69歳 5
00~ a)有業 a)男 ~ 30
000 a)有業 a)男 a)20～29歳 0
000 a)有業 a)男 b)30～39歳 0
000 a)有業 a)男 c)40～49歳 0
000 a)有業 a)男 d)50～59歳 0
000 a)有業 a)男 e)60～69歳 0
00~ a)有業 b)女 ~ 20
000 a)有業 b)女 a)20～29歳 0
000 a)有業 b)女 b)30～39歳 0
000 a)有業 b)女 c)40～49歳 0
000 a)有業 b)女 d)50～59歳 0
000 a)有業 b)女 e)60～69歳 0
0~~ b)無業 ~ ~ 45
0~0 b)無業 ~ a)20～29歳 10
0~0 b)無業 ~ b)30～39歳 10
0~0 b)無業 ~ c)40～49歳 10
0~0 b)無業 ~ d)50～59歳 10
0~0 b)無業 ~ e)60～69歳 5
0~0 b)無業 ~ f)70歳以上 5
00~ b)無業 a)男 ~ 20
000 b)無業 a)男 a)20～29歳 0
000 b)無業 a)男 b)30～39歳 0
000 b)無業 a)男 c)40～49歳 0
000 b)無業 a)男 d)50～59歳 0
000 b)無業 a)男 e)60～69歳 0
000 b)無業 a)男 f)70歳以上 0
00~ b)無業 b)女 ~ 30
000 b)無業 b)女 a)20～29歳 0
000 b)無業 b)女 b)30～39歳 0
000 b)無業 b)女 c)40～49歳 0
000 b)無業 b)女 d)50～59歳 0
000 b)無業 b)女 e)60～69歳 0
000 b)無業 b)女 f)70歳以上 0

(3)複合秘匿済多次元度数表の差分計算（属性符号「～」は差分を示す。）
F1就業状態 F2性別 F3年齢 ｎ（Frequency合計）
a)有業 a)男 ～ 30
a)有業 b)女 ～ 20
a)有業 ～ a)20～29歳 10
a)有業 ～ b)30～39歳 15
a)有業 ～ c)40～49歳 15
a)有業 ～ d)50～59歳 10
a)有業 ～ e)60～69歳 5
a)有業 ～ ～ -50
b)無業 a)男 ～ 20
b)無業 b)女 ～ 30
b)無業 ～ a)20～29歳 10
b)無業 ～ b)30～39歳 10
b)無業 ～ c)40～49歳 10
b)無業 ～ d)50～59歳 10
b)無業 ～ e)60～69歳 5
b)無業 ～ f)70歳以上 5
b)無業 ～ ～ -55
～ a)男 a)20～29歳 10
～ a)男 b)30～39歳 15
～ a)男 c)40～49歳 10
～ a)男 d)50～59歳 10
～ a)男 e)60～69歳 5
～ a)男 f)70歳以上 5
～ a)男 ～ -55
～ b)女 a)20～29歳 10
～ b)女 b)30～39歳 10
～ b)女 c)40～49歳 10
～ b)女 d)50～59歳 10
～ b)女 e)60～69歳 5
～ b)女 f)70歳以上 5
～ b)女 ～ -50
～ ～ a)20～29歳 -20
～ ～ b)30～39歳 -25
～ ～ c)40～49歳 -20
～ ～ d)50～59歳 -20
～ ～ e)60～69歳 -10
～ ～ f)70歳以上 -10
～ ～ ～ 105

(4)個票データ形式変換（縮尺１の場合）
F1就業状態 F2性別 F3年齢 Weight
a)有業 a)男 ～ 1 （ 30レコード出力）
a)有業 b)女 ～ 1 （ 20レコード出力）
a)有業 ～ a)20～29歳 1 （ 10レコード出力）
a)有業 ～ b)30～39歳 1 （ 15レコード出力）
a)有業 ～ c)40～49歳 1 （ 15レコード出力）
a)有業 ～ d)50～59歳 1 （ 10レコード出力）
a)有業 ～ e)60～69歳 1 （ 5レコード出力）
a)有業 ～ ～ -1 （ 50レコード出力）
b)無業 a)男 ～ 1 （ 20レコード出力）
b)無業 b)女 ～ 1 （ 30レコード出力）
b)無業 ～ a)20～29歳 1 （ 10レコード出力）
b)無業 ～ b)30～39歳 1 （ 10レコード出力）
b)無業 ～ c)40～49歳 1 （ 10レコード出力）
b)無業 ～ d)50～59歳 1 （ 10レコード出力）
b)無業 ～ e)60～69歳 1 （ 5レコード出力）
b)無業 ～ f)70歳以上 1 （ 5レコード出力）
b)無業 ～ ～ -1 （ 55レコード出力）
～ a)男 a)20～29歳 1 （ 10レコード出力）
～ a)男 b)30～39歳 1 （ 15レコード出力）
～ a)男 c)40～49歳 1 （ 10レコード出力）
～ a)男 d)50～59歳 1 （ 10レコード出力）
～ a)男 e)60～69歳 1 （ 5レコード出力）
～ a)男 f)70歳以上 1 （ 5レコード出力）
～ a)男 ～ -1 （ 55レコード出力）
～ b)女 a)20～29歳 1 （ 10レコード出力）
～ b)女 b)30～39歳 1 （ 10レコード出力）
～ b)女 c)40～49歳 1 （ 10レコード出力）
～ b)女 d)50～59歳 1 （ 10レコード出力）
～ b)女 e)60～69歳 1 （ 5レコード出力）
～ b)女 f)70歳以上 1 （ 5レコード出力）
～ b)女 ～ -1 （ 50レコード出力）
～ ～ a)20～29歳 -1 （ 20レコード出力）
～ ～ b)30～39歳 -1 （ 25レコード出力）
～ ～ c)40～49歳 -1 （ 20レコード出力）
～ ～ d)50～59歳 -1 （ 20レコード出力）
～ ～ e)60～69歳 -1 （ 10レコード出力）
～ ～ f)70歳以上 -1 （ 10レコード出力）
～ ～ ～ 1 （105レコード出力）

７．４ 多次元クロス秘匿度数表の個票データ形式変換
秘匿処理を行った多次元クロス秘匿度数表は、差分計算を行った上で個票データ形式に
変換処理を行う。

(1)差分計算
丸め処理を行った度数表は丸め誤差のため、総数と内訳合計が一致しない場合が多い。
そこで、総数と内訳合計の差分について計算を行う。
差分計算については、多次元クロス度数表の逆処理により再帰計算を行う。すなわち、
第１番目の属性項目について合計符号（“～”）の度数をゼロ値、それ以外の度数をマイ
ナスとして属性項目を合計符号（“～”）に置き換えたレコードを入力データのレコード
に追加して出力し、次にこの出力データを入力データとして用いる再帰処理により、第２
番目の属性項目について合計符号（“～”）の度数をゼロ値、それ以外の度数をマイナス
として属性項目を合計符号（“～”）に置き換えたレコードを入力データのレコードに追
加して出力し、これを全ての属性項目について第ｊ番目まで繰り返すことで多次元クロス
度数表の立体的な差分計算を行う。差分計算において総数符号（“～”）は差分を示す差
分符号として扱い、計算後にnull値に置換えを行う。
なお、プログラム上は計算量と計算時間を節約するため、再帰計算の都度、同一属性レ
コードごとに出力データの度数について足し上げ計算を行っている。また、ここでは再帰
計算による多次元クロス度数表の差分計算について説明しているが、属性項目の全ての組
合わせ別に差分を求める方法であれば、再帰計算を用いない方法で計算してもよい。

第１番目の再帰差分計算
再帰計算による多次元クロス度数表データについて丸め処理を行って、入力データとし
て用いる。
［前段］入力データを変更せずに出力
Ｆ1 Ｆ2 ・・・ Ｆj ｎ’
~ ~ ・・・ ~ t(~,~,・・・,~)’ 第１項が~
~ ~ ・・・ C1,j t(~,~,・・・,C1,j)’ 第１項が~
~ ~ ・・・ C2,j t(~,~,・・・,C2,j)’ 第１項が~
~ ~ ・・・ C3,j t(~,~,・・・,C3,j)’ 第１項が~
・・・
~ ~ ・・・ Ci,j t(~,~,・・・,Ci,j)’ 第１項が~
・・・
~ C1,2 ・・・ ~ t(~,C1,2,・・・,~)’ 第１項が~
~ C2,2 ・・・ ~ t(~,C2,2,・・・,~)’ 第１項が~
~ C3,2 ・・・ ~ t(~,C3,2,・・・,~)’ 第１項が~
・・・
~ Ci,2 ・・・ ~ t(~,Ci,2,・・・,~)’ 第１項が~
・・・
~ C1,2 ・・・ C1,j t(~,C1,2,・・・,C1,j)’ 第１項が~
~ C2,2 ・・・ C2,j t(~,C2,2,・・・,C2,j)’ 第１項が~
~ C3,2 ・・・ C3,j t(~,C3,2,・・・,C3,j)’ 第１項が~
・・・
~ Ci,2 ・・・ Ci,j t(~,Ci,2,・・・,Ci,j)’ 第１項が~
・・・
C1,1 ~ ・・・ ~ t(C1,1,~ ,・・・,~)’ 第１項がC1,1
C2,1 ~ ・・・ ~ t(C2,1,~ ,・・・,~)’ 第１項がC2,1
C3,1 ~ ・・・ ~ t(C3,1,~ ,・・・,~)’ 第１項がC3,1
・・・
Ci,1 ~ ・・・ ~ t(Ci,1,~ ,・・・,~)’ 第１項がCi,1
・・・
C1,1 ~ ・・・ C1,j t(C1,1,~ ,・・・,C1,j)’ 第１項がC1,1
C2,1 ~ ・・・ C2,j t(C2,1,~ ,・・・,C2,j)’ 第１項がC2,1
C3,1 ~ ・・・ C3,j t(C3,1,~ ,・・・,C3,j)’ 第１項がC3,1
・・・
Ci,1 ~ ・・・ Ci,j t(Ci,1,~ ,・・・,Ci,j)’ 第１項がCi,1
・・・
C1,1 C1,2 ・・・ ~ t(C1,1,C1,2,・・・,~)’ 第１項がC1,1
C2,1 C2,2 ・・・ ~ t(C2,1,C2,2,・・・,~)’ 第１項がC2,1
C3,1 C3,2 ・・・ ~ t(C3,1,C3,2,・・・,~)’ 第１項がC3,1
・・・
Ci,1 Ci,2 ・・・ ~ t(Ci,1,Ci,2,・・・,~)’ 第１項がCi,1
・・・
C1,1 C1,2 ・・・ C1,j n1’ 第１項がC1,1
C2,1 C2,2 ・・・ C2,j n2’ 第１項がC2,1
C3,1 C3,2 ・・・ C3,j n3’ 第１項がC3,1
・・・
Ci,1 Ci,2 ・・・ Ci,j ni’ 第１項がCi,1
［後段］入力データを変更して出力（変更前）
~ ~ ・・・ ~ 0 第１項が~
~ ~ ・・・ C1,j 0 第１項が~
~ ~ ・・・ C2,j 0 第１項が~
~ ~ ・・・ C3,j 0 第１項が~
・・・
~ ~ ・・・ Ci,j 0 第１項が~
・・・
~ C1,2 ・・・ ~ 0 第１項が~
~ C2,2 ・・・ ~ 0 第１項が~
~ C3,2 ・・・ ~ 0 第１項が~
・・・
~ Ci,2 ・・・ ~ 0 第１項が~
・・・
~ C1,2 ・・・ C1,j 0 第１項が~
~ C2,2 ・・・ C2,j 0 第１項が~
~ C3,2 ・・・ C3,j 0 第１項が~
・・・
~ Ci,2 ・・・ Ci,j 0 第１項が~
・・・
~ ~ ・・・ ~ -t(C1,1,~ ,・・・,~)’ 第１項がC1,1
~ ~ ・・・ ~ -t(C2,1,~ ,・・・,~)’ 第１項がC2,1
~ ~ ・・・ ~ -t(C3,1,~ ,・・・,~)’ 第１項がC3,1
・・・
~ ~ ・・・ ~ -t(Ci,1,~ ,・・・,~)’ 第１項がCi,1
・・・
~ ~ ・・・ C1,j -t(C1,1,~ ,・・・,C1,j)’ 第１項がC1,1
~ ~ ・・・ C2,j -t(C2,1,~ ,・・・,C2,j)’ 第１項がC2,1
~ ~ ・・・ C3,j -t(C3,1,~ ,・・・,C3,j)’ 第１項がC3,1
・・・
~ ~ ・・・ Ci,j -t(Ci,1,~ ,・・・,Ci,j)’ 第１項がCi,1
・・・
~ C1,2 ・・・ ~ -t(C1,1,C1,2,・・・,~)’ 第１項がC1,1
~ C2,2 ・・・ ~ -t(C2,1,C2,2,・・・,~)’ 第１項がC2,1
~ C3,2 ・・・ ~ -t(C3,1,C3,2,・・・,~)’ 第１項がC3,1
・・・
~ Ci,2 ・・・ ~ -t(Ci,1,Ci,2,・・・,~)’ 第１項がCi,1
・・・
~ C1,2 ・・・ C1,j -n1’ 第１項がC1,1
~ C2,2 ・・・ C2,j -n2’ 第１項がC2,1
~ C3,2 ・・・ C3,j -n3’ 第１項がC3,1
・・・
~ Ci,2 ・・・ Ci,j -ni’ 第１項がCi,1
上記の出力データについて、同一属性別に度数Nの足し上げを行う。

第２番目の再帰差分計算
入力データとして、第１番目の再帰差分計算結果を入力に用いる。
［前段］入力データを変更せずに出力
Ｆ1 Ｆ2 ・・・ Ｆj ｎ’
~ ~ ・・・ ~ t(~,~,・・・,~)’ 第２項が~
~ ~ ・・・ C1,j t(~,~,・・・,C1,j)’ 第２項が~
~ ~ ・・・ C2,j t(~,~,・・・,C2,j)’ 第２項が~
~ ~ ・・・ C3,j t(~,~,・・・,C3,j)’ 第２項が~
・・・
~ ~ ・・・ Ci,j t(~,~,・・・,Ci,j)’ 第２項が~
・・・
~ C1,2 ・・・ ~ t(~,C1,2,・・・,~)’ 第２項がC1,2
~ C2,2 ・・・ ~ t(~,C2,2,・・・,~)’ 第２項がC2,2
~ C3,2 ・・・ ~ t(~,C3,2,・・・,~)’ 第２項がC3,2
・・・
~ Ci,2 ・・・ ~ t(~,Ci,2,・・・,~)’ 第２項がCi,2
・・・
~ C1,2 ・・・ C1,j t(~,C1,2,・・・,C1,j)’ 第２項がC1,2
~ C2,2 ・・・ C2,j t(~,C2,2,・・・,C2,j)’ 第２項がC2,2
~ C3,2 ・・・ C3,j t(~,C3,2,・・・,C3,j)’ 第２項がC3,2
・・・
~ Ci,2 ・・・ Ci,j t(~,Ci,2,・・・,Ci,j)’ 第２項がCi,2
・・・
C1,1 ~ ・・・ ~ t(C1,1,~ ,・・・,~)’ 第２項が~
C2,1 ~ ・・・ ~ t(C2,1,~ ,・・・,~)’ 第２項が~
C3,1 ~ ・・・ ~ t(C3,1,~ ,・・・,~)’ 第２項が~
・・・
Ci,1 ~ ・・・ ~ t(Ci,1,~ ,・・・,~)’ 第２項が~
・・・
C1,1 ~ ・・・ C1,j t(C1,1,~ ,・・・,C1,j)’第２項が~
C2,1 ~ ・・・ C2,j t(C2,1,~ ,・・・,C2,j)’第２項が~
C3,1 ~ ・・・ C3,j t(C3,1,~ ,・・・,C3,j)’第２項が~
・・・
Ci,1 ~ ・・・ Ci,j t(Ci,1,~ ,・・・,Ci,j)’第２項が~
・・・
C1,1 C1,2 ・・・ ~ t(C1,1,C1,2,・・・,~)’ 第２項がC1,2
C2,1 C2,2 ・・・ ~ t(C2,1,C2,2,・・・,~)’ 第２項がC2,2
C3,1 C3,2 ・・・ ~ t(C3,1,C3,2,・・・,~)’ 第２項が~
・・・
Ci,1 Ci,2 ・・・ ~ t(Ci,1,Ci,2,・・・,~)’ 第２項がCi,2
・・・
C1,1 C1,2 ・・・ C1,j n1’ 第２項がC1,2
C2,1 C2,2 ・・・ C2,j n2’ 第２項がC2,2
C3,1 C3,2 ・・・ C3,j n3’ 第２項がC3,2
・・・
Ci,1 Ci,2 ・・・ Ci,j ni’ 第２項がCi,2
~ ~ ・・・ ~ 0 第２項が~
~ ~ ・・・ C1,j 0 第２項が~
~ ~ ・・・ C2,j 0 第２項が~
~ ~ ・・・ C3,j 0 第２項が~
・・・
~ ~ ・・・ Ci,j 0 第２項が~
・・・
~ C1,2 ・・・ ~ 0 第２項がC1,2
~ C2,2 ・・・ ~ 0 第２項がC2,2
~ C3,2 ・・・ ~ 0 第２項がC3,2
・・・
~ Ci,2 ・・・ ~ 0 第２項がCi,2
・・・
~ C1,2 ・・・ C1,j 0 第２項がC1,2
~ C2,2 ・・・ C2,j 0 第２項がC2,2
~ C3,2 ・・・ C3,j 0 第２項がC3,2
・・・
~ Ci,2 ・・・ Ci,j 0 第２項がCi,2
・・・
~ ~ ・・・ ~ -t(C1,1,~ ,・・・,~)’ 第２項が~
~ ~ ・・・ ~ -t(C2,1,~ ,・・・,~)’ 第２項が~
~ ~ ・・・ ~ -t(C3,1,~ ,・・・,~)’ 第２項が~
・・・
~ ~ ・・・ ~ -t(Ci,1,~ ,・・・,~)’ 第２項が~
・・・
~ ~ ・・・ C1,j -t(C1,1,~ ,・・・,C1,j)’第２項が~
~ ~ ・・・ C2,j -t(C2,1,~ ,・・・,C2,j)’第２項が~
~ ~ ・・・ C3,j -t(C3,1,~ ,・・・,C3,j)’第２項が~
・・・
~ ~ ・・・ Ci,j -t(Ci,1,~ ,・・・,Ci,j)’第２項が~
・・・
~ C1,2 ・・・ ~ -t(C1,1,C1,2,・・・,~)’ 第２項がC1,2
~ C2,2 ・・・ ~ -t(C2,1,C2,2,・・・,~)’ 第２項がC2,2
~ C3,2 ・・・ ~ -t(C3,1,C3,2,・・・,~)’ 第２項がC3,2
・・・
~ Ci,2 ・・・ ~ -t(Ci,1,Ci,2,・・・,~)’ 第２項がCi,2
・・・
~ C1,2 ・・・ C1,j -n1’ 第２項がC1,2
~ C2,2 ・・・ C2,j -n2’ 第２項がC2,2
~ C3,2 ・・・ C3,j -n3’ 第２項がC3,2
・・・
~ Ci,2 ・・・ Ci,j -ni’ 第２項がCi,2

［後段］入力データを変更して出力（変更前）
~ ~ ・・・ ~ 0 第２項が~
~ ~ ・・・ C1,j 0 第２項が~
~ ~ ・・・ C2,j 0 第２項が~
~ ~ ・・・ C3,j 0 第２項が~
・・・
~ ~ ・・・ Ci,j 0 第２項が~
・・・
~ ~ ・・・ ~ -t(~,C1,2,・・・,~)’ 第２項がC1,2
~ ~ ・・・ ~ -t(~,C2,2,・・・,~)’ 第２項がC2,2
~ ~ ・・・ ~ -t(~,C3,2,・・・,~)’ 第２項がC3,2
・・・
~ ~ ・・・ ~ -t(~,Ci,2,・・・,~)’ 第２項がCi,2
・・・
~ ~ ・・・ C1,j -t(~,C1,2,・・・,C1,j)’ 第２項がC1,2
~ ~ ・・・ C2,j -t(~,C2,2,・・・,C2,j)’ 第２項がC2,2
~ ~ ・・・ C3,j -t(~,C3,2,・・・,C3,j)’ 第２項がC3,2
・・・
~ ~ ・・・ Ci,j -t(~,Ci,2,・・・,Ci,j)’ 第２項がCi,2
・・・
C1,1 ~ ・・・ ~ 0 第２項が~
C2,1 ~ ・・・ ~ 0 第２項が~
C3,1 ~ ・・・ ~ 0 第２項が~
・・・
Ci,1 ~ ・・・ ~ 0 第２項が~
・・・
C1,1 ~ ・・・ C1,j 0 第２項が~
C2,1 ~ ・・・ C2,j 0 第２項が~
C3,1 ~ ・・・ C3,j 0 第２項が~
・・・
Ci,1 ~ ・・・ Ci,j 0 第２項が~
・・・
C1,1 ~ ・・・ ~ -t(C1,1,C1,2,・・・,~)’ 第２項がC1,2
C2,1 ~ ・・・ ~ -t(C2,1,C2,2,・・・,~)’ 第２項がC2,2
C3,1 ~ ・・・ ~ -t(C3,1,C3,2,・・・,~)’ 第２項が~
・・・
Ci,1 ~ ・・・ ~ -t(Ci,1,Ci,2,・・・,~)’ 第２項がCi,2
・・・
C1,1 ~ ・・・ C1,j -n1’ 第２項がC1,2
C2,1 ~ ・・・ C2,j -n2’ 第２項がC2,2
C3,1 ~ ・・・ C3,j -n3’ 第２項がC3,2
・・・
Ci,1 ~ ・・・ Ci,j -ni’ 第２項がCi,2
~ ~ ・・・ ~ 0 第２項が~
~ ~ ・・・ C1,j 0 第２項が~
~ ~ ・・・ C2,j 0 第２項が~
~ ~ ・・・ C3,j 0 第２項が~
・・・
~ ~ ・・・ Ci,j 0 第２項が~
・・・
~ ~ ・・・ ~ -0 第２項がC1,2
~ ~ ・・・ ~ -0 第２項がC2,2
~ ~ ・・・ ~ -0 第２項がC3,2
・・・
~ ~ ・・・ ~ -0 第２項がCi,2
・・・
~ ~ ・・・ C1,j -0 第２項がC1,2
~ ~ ・・・ C2,j -0 第２項がC2,2
~ ~ ・・・ C3,j -0 第２項がC3,2
・・・
~ ~ ・・・ Ci,j -0 第２項がCi,2
・・・
~ ~ ・・・ ~ 0 第２項が~
~ ~ ・・・ ~ 0 第２項が~
~ ~ ・・・ ~ 0 第２項が~
・・・
~ ~ ・・・ ~ 0 第２項が~
・・・
~ ~ ・・・ C1,j 0 第２項が~
~ ~ ・・・ C2,j 0 第２項が~
~ ~ ・・・ C3,j 0 第２項が~
・・・
~ ~ ・・・ Ci,j 0 第２項が~
・・・
~ ~ ・・・ ~ -(-t(C1,1,C1,2,・・・,~)’) 第２項がC1,2
~ ~ ・・・ ~ -(-t(C2,1,C2,2,・・・,~)’) 第２項がC2,2
~ ~ ・・・ ~ -(-t(C3,1,C3,2,・・・,~)’) 第２項がC3,2
・・・
~ ~ ・・・ ~ -(-t(Ci,1,Ci,2,・・・,~)’) 第２項がCi,2
・・・
~ ~ ・・・ C1,j -(-n1’) 第２項がC1,2
~ ~ ・・・ C2,j -(-n2’) 第２項がC2,2
~ ~ ・・・ C3,j -(-n3’) 第２項がC3,2
・・・
~ ~ ・・・ Ci,j -(-ni’) 第２項がCi,2
上記の出力データについて、同一属性別に度数Ｎ’の足し上げを行う。

第ｊ番目の再帰差分計算
入力データとして、第ｊ－１番目の再帰差分計算結果を入力に用いる。
［前段］入力データを変更せずに出力
Ｆ1 Ｆ2 ・・・ Ｆj ｎ’
~ ~ ・・・ ~ t(~,~,・・・,~)’ 第ｊ項が~
~ ~ ・・・ C1,j t(~,~,・・・,C1,j)’ 第ｊ項がC1,j
~ ~ ・・・ C2,j t(~,~,・・・,C2,j)’ 第ｊ項がC2,j
~ ~ ・・・ C3,j t(~,~,・・・,C3,j)’ 第ｊ項がC3,j
・・・
~ ~ ・・・ Ci,j t(~,~,・・・,Ci,j)’ 第ｊ項がCi,j
・・・
~ C1,2 ・・・ ~ t(~,C1,2,・・・,~)’ 第ｊ項が~
~ C2,2 ・・・ ~ t(~,C2,2,・・・,~)’ 第ｊ項が~
~ C3,2 ・・・ ~ t(~,C3,2,・・・,~)’ 第ｊ項が~
・・・
~ Ci,2 ・・・ ~ t(~,Ci,2,・・・,~)’ 第ｊ項が~
・・・
~ C1,2 ・・・ C1,j t(~,C1,2,・・・,C1,j)’ 第ｊ項がC1,j
~ C2,2 ・・・ C2,j t(~,C2,2,・・・,C2,j)’ 第ｊ項がC2,j
~ C3,2 ・・・ C3,j t(~,C3,2,・・・,C3,j)’ 第ｊ項がC3,j
・・・
~ Ci,2 ・・・ Ci,j t(~,Ci,2,・・・,Ci,j)’ 第ｊ項がCi,j
・・・（以下省略）
［後段］入力データを変更して出力（変更前）
~ ~ ・・・ ~ 0 第ｊ項が~
~ ~ ・・・ ~ -(t(~,~,・・・,C1,j)’) 第ｊ項がC1,j
~ ~ ・・・ ~ -(t(~,~,・・・,C2,j)’) 第ｊ項がC2,j
~ ~ ・・・ ~ -(t(~,~,・・・,C3,j)’) 第ｊ項がC3,j
・・・
~ ~ ・・・ ~ -(t(~,~,・・・,Ci,j)’) 第ｊ項がCi,j
・・・
~ C1,2 ・・・ ~ 0 第ｊ項が~
~ C2,2 ・・・ ~ 0 第ｊ項が~
~ C3,2 ・・・ ~ 0 第ｊ項が~
・・・
~ Ci,2 ・・・ ~ 0 第ｊ項が~
・・・
~ C1,2 ・・・ ~ -(t(~,C1,2,・・・,C1,j)’) 第ｊ項がC1,j
~ C2,2 ・・・ ~ -(t(~,C2,2,・・・,C2,j)’) 第ｊ項がC2,j
~ C3,2 ・・・ ~ -(t(~,C3,2,・・・,C3,j)’) 第ｊ項がC3,j
・・・
~ Ci,2 ・・・ ~ -(t(~,Ci,2,・・・,Ci,j)’) 第ｊ項がCi,j
・・・（以下省略）
上記の出力データについて、同一属性別に度数ｎ’の足し上げを行う。

例）
属性項目Ｆ1(a1,a2)とＦ2(b1,b2,b3)の２次元クロス度数表について、丸め処理後に差
分計算を行う場合
Ｆ1 Ｆ2 ｎ（Frequency合計）
~ ~ (n1+n2+n3+n4+n5+n6)’
a1 ~ (n1+n2+n3)’
a2 ~ (n4+n5+n6)’
~ b1 (n1+n4)’
~ b2 (n2+n5)’
~ b3 (n3+n6)’
a1 b1 (n1)’
a1 b2 (n2)’
a1 b3 (n3)’
a2 b1 (n4)’
a2 b2 (n5)’
a2 b3 (n6)’

第１番目の再帰差分計算
Ｆ1 Ｆ2 ｎ’
［前段］
~ ~ +(n1+n2+n3+n4+n5+n6)’
a1 ~ +(n1+n2+n3)’
a2 ~ +(n4+n5+n6)’
~ b1 +(n1+n4)’
~ b2 +(n2+n5)’
~ b3 +(n3+n6)’
a1 b1 +(n1)’
a1 b2 +(n2)’
a1 b3 +(n3)’
a2 b1 +(n4)’
a2 b2 +(n5)’
a2 b3 +(n6)’
［後段］
~ ~ 0
~ ~ -(n1+n2+n3)’
~ ~ -(n4+n5+n6)’
~ b1 0
~ b2 0
~ b3 0
~ b1 -(n1)’
~ b2 -(n2)’
~ b3 -(n3)’
~ b1 -(n4)’
~ b2 -(n5)’
~ b3 -(n6)’
上記の出力データについて、同一属性別に度数ｎ’の足し上げを行う。
第１番目の再帰差分計算結果
Ｆ1 Ｆ2 ｎ’
~ ~ +(n1+n2+n3+n4+n5+n6)’ - (n1+n2+n3)’ - (n4+n5+n6)’
~ b1 +(n1+n4)’ - (n1)’ - (n4)’
~ b2 +(n2+n5)’ - (n2)’ - (n5)’
~ b3 +(n3+n6)’ - (n3)’ - (n6)’
a1 ~ +(n1+n2+n3)’
a2 ~ +(n4+n5+n6)’
a1 b1 +(n1)’
a1 b2 +(n2)’
a1 b3 +(n3)’
a2 b1 +(n4)’
a2 b2 +(n5)’
a2 b3 +(n6)’

第２番目の再帰差分計算
Ｆ1 Ｆ2 ｎ’
［前段］
~ ~ +(n1+n2+n3+n4+n5+n6)’-(n1+n2+n3)’-(n4+n5+n6)’
a1 ~ +(n1+n2+n3)’
a2 ~ +(n4+n5+n6)’
~ b1 +(n1+n4)’-(n1)’-(n4)’
~ b2 +(n2+n5)’-(n2)’-(n5)’
~ b3 +(n3+n6)’-(n3)’-(n6)’
a1 b1 +(n1)’
a1 b2 +(n2)’
a1 b3 +(n3)’
a2 b1 +(n4)’
a2 b2 +(n5)’
a2 b3 +(n6)’
［後段］
~ ~ 0
a1 ~ 0
a2 ~ 0
~ ~ -(+(n1+n4)’-(n1)’-(n4)’)
~ ~ -(+(n2+n5)’-(n2)’-(n5)’)
~ ~ -(+(n3+n6)’-(n3)’-(n6)’)
a1 ~ -(n1)’
a1 ~ -(n2)’
a1 ~ -(n3)’
a2 ~ -(n4)’
a2 ~ -(n5)’
a2 ~ -(n6)’
上記の出力データについて、同一属性別に度数ｎ’の足し上げを行う。
第２番目の再帰差分計算結果
Ｆ1 Ｆ2 ｎ’
~ ~ +(n1+n2+n3+n4+n5+n6)’-(n1+n2+n3)’-(n4+n5+n6)’
-(n1+n4)’+(n1)’+(n4)’-(n2+n5)’+(n2)’+(n5)’
-(n3+n6)’+(n3)’+(n6)’
a1 ~ +(n1+n2+n3)’-(n1)’-(n2)’-(n3)’
a2 ~ +(n4+n5+n6)’-(n4)’-(n5)’-(n6)’
~ b1 +(n1+n4)’-(n1)’-(n4)’
~ b2 +(n2+n5)’-(n2)’-(n5)’
~ b3 +(n3+n6)’-(n3)’-(n6)’
a1 b1 +(n1)’
a1 b2 +(n2)’
a1 b3 +(n3)’
a2 b1 +(n4)’
a2 b2 +(n5)’
a2 b3 +(n6)’

(2) 個票データ形式変換
差分計算を行った多次元クロス度数表について、個票データ形式に変換を行う。その際
に、総数よりも内訳合計が大きい場合は差分が負値になるため、負値のセルについてはWe
ightの値をマイナスとすることで総数と内訳合計が一致するように変換を行う。
個票形式への変換は、差分表をセルごとの属性項目と度数を用いて１セルを１レコード
とするセルデータ形式で作成し、次にセルデータについてセルごとの属性レコードを度数
分出力することで個票データ形式に変換する。

差分表セルデータ
Ｆ1 Ｆ2 ・・・ Ｆj ｎ’
C1,1 C1,2 ・・・ C1,j n1
C2,1 C2,2 ・・・ C2,j n2
・・・
Ci,1 Ci,2 ・・・ Ci,j ni
個票形式データ
Ｆ1 Ｆ2 ・・・ Ｆj Weight
C1,1 C1,2 ・・・ C1,j 1
C1,1 C1,2 ・・・ C1,j 1
・・・
C1,1 C1,2 ・・・ C1,j 1 （n1回レコード出力）
C2,1 C2,2 ・・・ C2,j 1
C2,1 C2,2 ・・・ C2,j 1
・・・
C2,1 C2,2 ・・・ C2,j 1 （n2回レコード出力）
・・・
Ci,1 Ci,2 ・・・ Ci,j 1
Ci,1 Ci,2 ・・・ Ci,j 1
・・・
Ci,1 Ci,2 ・・・ Ci,j 1 （ni回レコード出力）

秘匿処理を行って得られた個票データ形式の秘匿データについて、度数集計を行うと基
の個票データを集計して丸め処理を行った度数表と一致する度数表を得ることができる。
秘匿データは丸め処理を行った度数表を変換して作成するため、丸め処理を行った度数表
が安全であれば得られた秘匿データも安全であるといえる。
下記の例では、２次元の個票データについてクロス度数表の集計を行った上で、(1)丸
め処理、(2)差分計算、(3)差分表、(4)セルデータ形式、(5)個票データ形式の順に秘匿処
理を行っている。

例）多次元クロス度数表（２次元の場合）
年齢 総数 a)男 b)女
総数 100 50 50
a)20～29歳 19 10 9
b)30～39歳 24 13 11
c)40～49歳 23 12 11
d)50～59歳 18 8 10
e)60～69歳 9 4 5
f)70歳以上 7 3 4
(1)度数表の丸め処理（丸め基数５の場合）
年齢 総数 a)男 b)女
総数 100 50 50
a)20～29歳 20 10 10
b)30～39歳 25 15 10
c)40～49歳 25 10 10
d)50～59歳 20 10 10
e)60～69歳 10 5 5
f)70歳以上 5 5 5
(2)差分計算（２次元の場合）
年齢 総数 a)男 b)女 差分
総数 100 50 50 0
a)20～29歳 20 10 10 0
b)30～39歳 25 15 10 0
c)40～49歳 25 10 10 5
d)50～59歳 20 10 10 0
e)60～69歳 10 5 5 0
f)70歳以上 5 5 5 -5
差分 -5 -5 0 0
(3)差分表
年齢 a)男 b)女 差分
a)20～29歳 10 10 0
b)30～39歳 15 10 0
c)40～49歳 10 10 5
d)50～59歳 10 10 0
e)60～69歳 5 5 0
f)70歳以上 5 5 -5
差分 -5 0 0
(4)セルデータ形式
F1性別 F2年齢 ｎ（Frequency合計）
a)男 a)20～29歳 10
a)男 b)30～39歳 15
a)男 c)40～49歳 10
a)男 d)50～59歳 10
a)男 e)60～69歳 5
a)男 f)70歳以上 5
a)男 差分 -5
b)女 a)20～29歳 10
b)女 b)30～39歳 10
b)女 c)40～49歳 10
b)女 d)50～59歳 10
b)女 e)60～69歳 5
b)女 f)70歳以上 5
差分 c)40～49歳 5
差分 f)70歳以上 -5
(5)個票データ形式
F1性別 F2年齢 Weight
a)男 a)20～29歳 1 （10レコード出力）
a)男 b)30～39歳 1 （15レコード出力）
a)男 c)40～49歳 1 （10レコード出力）
a)男 d)50～59歳 1 （10レコード出力）
a)男 e)60～69歳 1 （ 5レコード出力）
a)男 f)70歳以上 1 （ 5レコード出力）
a)男 差分 -1 （ 5レコード出力）
b)女 a)20～29歳 1 （10レコード出力）
b)女 b)30～39歳 1 （10レコード出力）
b)女 c)40～49歳 1 （10レコード出力）
b)女 d)50～59歳 1 （10レコード出力）
b)女 e)60～69歳 1 （ 5レコード出力）
b)女 f)70歳以上 1 （ 5レコード出力）
差分 c)40～49歳 1 （ 5レコード出力）
差分 f)70歳以上 -1 （ 5レコード出力）
注）差分については、属性区分をnull値に置き換えて出力する。

７．５ ウェイト付データの秘匿
標本調査の個票データの場合は、母集団復元のためのウェイト付データを扱う必要があ
る。ウェイト付データの場合は、加重度数表を集計して秘匿処理を行う。

７．５．１ ウェイト付データの丸め秘匿
統計調査等が標本調査の場合、個票データには母集団推定のための復元ウェイトが付与
されている。この復元ウェイトは、抽出率の逆数に比推定乗率を乗算して計算されており
、度数に復元ウェイトを乗算して積算することにより母集団度数の推定を行うことができ
る。例えば、１％標本の抽出調査の場合、標本１度数は母集団100度数に相当することに
なり、度数にウェイトを乗算して計算した加重度数を母集団の推定度数として用いる。
属性別加重度数データ
Ｆ1 Ｆ2 ・・・ Ｆj ｎ（Weight合計）
C1,1 C1,2 ・・・ C1,j n1 n1 = Σ(f1m * w1m)
C2,1 C2,2 ・・・ C2,j n2 n2 = Σ(f2m * w2m)
C3,1 C3,2 ・・・ C3,j n3 n3 = Σ(f3m * w3m)
・・・
Ci,1 Ci,2 ・・・ Ci,j ni ni = Σ(fim * wim)
ni：属性iの加重度数合計
fim：属性iの度数
wim：属性iのウェイト
基の個票データがウェイト付データの場合は、上記について前述の再帰計算による度数
表集計、丸め処理、差分計算、個票データ形式への変換を行う。

母集団度数については、ウェイトで除算することにより標本度数の推定に用いることが
可能であるため、ウェイトを用いて計算した加重度数についてもリスクレコードの秘匿を
行う必要がある。加重度数を秘匿する場合は、単純に標本度数の安全基準を丸め基数とし
てしまうと秘匿強度が不十分であり、安全基準に復元ウェイトを乗算した値を丸め基数と
して丸め処理を行う必要がある。
加重度数の丸め処理の方法としては、属性区分別の最大ウェイトに安全基準度数を乗じ
て丸め基数とする方法や、属性区分別の平均ウェイトに安全基準度数を乗じた値を丸め基
数とする方法、全体の平均ウェイトに安全基準度数を乗じた値を丸め基数とする方法など
が考えられる。
基の個票データにおいて、ウェイトが突出して高い属性区分が存在する場合は属性区分
別ごとの平均ウェイトに安全基準度数を乗じた値を丸め基数に設定することで安全に丸め
処理を行うことができるが、丸め基数が属性区分別にまちまちであると全体平均の有効桁
数が不明確になるデメリットがある。このため、本発明の秘匿装置では全体の平均ウェイ
トに安全基準度数を乗じた値をウェイト付個票データの場合の丸め基数として処理を行っ
ている。
丸め基数B ＝ 平均ウェイトW ＊ 安全基準度数S
丸め度数Nij’ ＝ ROUND( Nij / B ) * B
ただし、全体の平均ウェイトは整数ではなく小数点以下の端数を含む場合が多いため、
10の累乗値またはその２分の１の値から、平均ウェイトを切り上げた最も近い値を計算し
てデフォルトの候補値としてプログラムの実行画面に表示される設計にしている。

例）CSV形式データ（ウェイトが一律100の場合）
F1Gender, F2 Age, Weight
a)男, a)20～29歳, 100
a)男, b)30～39歳, 100
b)女, d)50～59歳, 100
b)女, e)60～69歳, 100
a)男, c)40～49歳, 100
（以下省略）
Gender：性別、Age：年齢階級、Weight：復元ウェイト

例）多次元クロス度数表（ウェイトが一律100で２次元の場合）
年齢 総数 a)男 b)女
総数 10000 5000 5000
a)20～29歳 1900 1000 900
b)30～39歳 2400 1300 1100
c)40～49歳 2300 1200 1100
d)50～59歳 1800 800 1000
e)60～69歳 900 400 500
f)70歳以上 700 300 400

例）度数表の丸め処理（ウェイトが一律100で安全基準５の場合）
年齢 総数 a)男 b)女
総数 10000 5000 5000
a)20～29歳 2000 1000 1000
b)30～39歳 2500 1500 1000
c)40～49歳 2500 1000 1000
d)50～59歳 2000 1000 1000
e)60～69歳 1000 500 500
f)70歳以上 500 500 500
丸め基数B ＝ 平均ウェイト100＊安全基準５
＝100＊５
＝500
丸め度数
ｎij’ ＝ ROUND( ｎij / B ) * B＝ ROUND( ｎij / 500 ) * 500

７．５．２ ウェイト付データの複合秘匿
多次元クロス度数表の消去秘匿を行う際に、秘匿処理を行う個票データにウェイトが付
与されている場合は、ウェイト付度数を集計し、平均ウェイトで除算した値を最小セルの
判定に用いる。従って、標本の度数に加えてウェイト付度数を平均ウェイトで除算した値
について最小セルが安全基準を満たさない場合は、消去秘匿による秘匿処理を行う。消去
秘匿による秘匿処理を行う場合は、消去秘匿の安全基準を必要最小限に留めて、丸め秘匿
を併用して複合秘匿を行うことで安全性と有用性のバランスを図る。
ウェイト付データの複合秘匿は以下の手順で行う。
(1) 多次元クロス加重度数表の集計
(2) セルデータの分類符号付与
(3) リスクチェック
(4) 消去秘匿
(5) 複合秘匿（丸め秘匿）
(6) 差分計算
(7) セルデータ形式の差分表作成
(8) 個票データ形式への変換

(1) 多次元クロス加重度数表の例（ウェイトが一律100で３次元の場合）
性別 年齢 総数 a)有業 b)無業
総数 総数 10000 5300 4700
総数 a)20～29歳 1900 1100 800
総数 b)30～39歳 2400 1500 900
総数 c)40～49歳 2300 1500 800
総数 d)50～59歳 1800 900 900
総数 e)60～69歳 900 300 600
総数 f)70歳以上 700 0 700
a)男 総数 5000 3200 1800
a)男 a)20～29歳 1000 600 400
a)男 b)30～39歳 1300 1000 300
a)男 c)40～49歳 1200 900 300
a)男 d)50～59歳 800 500 300
a)男 e)60～69歳 400 200 200
a)男 f)70歳以上 300 0 300
b)女 総数 5000 2100 2900
b)女 a)20～29歳 900 500 400
b)女 b)30～39歳 1100 500 600
b)女 c)40～49歳 1100 600 500
b)女 d)50～59歳 1000 400 600
b)女 e)60～69歳 500 100 400
b)女 f)70歳以上 400 0 400

(2) セルデータの分類符号付与
F0分類 F1就業状態 F2性別 F3年齢 加重度数ｎw
~~~ 総数 総数 総数 10000
~~0 総数 総数 a)20～29歳 1900
~~0 総数 総数 b)30～39歳 2400
~~0 総数 総数 c)40～49歳 2300
~~0 総数 総数 d)50～59歳 1800
~~0 総数 総数 e)60～69歳 900
~~0 総数 総数 f)70歳以上 700
~0~ 総数 a)男 総数 5000
~00 総数 a)男 a)20～29歳 1000
~00 総数 a)男 b)30～39歳 1300
~00 総数 a)男 c)40～49歳 1200
~00 総数 a)男 d)50～59歳 800
~00 総数 a)男 e)60～69歳 400
~00 総数 a)男 f)70歳以上 300
~0~ 総数 b)女 総数 5000
~00 総数 b)女 a)20～29歳 900
~00 総数 b)女 b)30～39歳 1100
~00 総数 b)女 c)40～49歳 1100
~00 総数 b)女 d)50～59歳 1000
~00 総数 b)女 e)60～69歳 500
~00 総数 b)女 f)70歳以上 400
0~~ a)有業 総数 総数 5300
0~0 a)有業 総数 a)20～29歳 1100
0~0 a)有業 総数 b)30～39歳 1500
0~0 a)有業 総数 c)40～49歳 1500
0~0 a)有業 総数 d)50～59歳 900
0~0 a)有業 総数 e)60～69歳 300
0~0 a)有業 総数 f)70歳以上 0
00~ a)有業 a)男 総数 3200
000 a)有業 a)男 a)20～29歳 600
000 a)有業 a)男 b)30～39歳 1000
000 a)有業 a)男 c)40～49歳 900
000 a)有業 a)男 d)50～59歳 500
000 a)有業 a)男 e)60～69歳 200
000 a)有業 a)男 f)70歳以上 0
00~ a)有業 b)女 総数 2100
000 a)有業 b)女 a)20～29歳 500
000 a)有業 b)女 b)30～39歳 500
000 a)有業 b)女 c)40～49歳 600
000 a)有業 b)女 d)50～59歳 400
000 a)有業 b)女 e)60～69歳 100
000 a)有業 b)女 f)70歳以上 0
0~~ b)無業 総数 総数 4700
0~0 b)無業 総数 a)20～29歳 800
0~0 b)無業 総数 b)30～39歳 900
0~0 b)無業 総数 c)40～49歳 800
0~0 b)無業 総数 d)50～59歳 900
0~0 b)無業 総数 e)60～69歳 600
0~0 b)無業 総数 f)70歳以上 700
00~ b)無業 a)男 総数 1800
000 b)無業 a)男 a)20～29歳 400
000 b)無業 a)男 b)30～39歳 300
000 b)無業 a)男 c)40～49歳 300
000 b)無業 a)男 d)50～59歳 300
000 b)無業 a)男 e)60～69歳 200
000 b)無業 a)男 f)70歳以上 300
00~ b)無業 b)女 総数 2900
000 b)無業 b)女 a)20～29歳 400
000 b)無業 b)女 b)30～39歳 600
000 b)無業 b)女 c)40～49歳 500
000 b)無業 b)女 d)50～59歳 600
000 b)無業 b)女 e)60～69歳 400
000 b)無業 b)女 f)70歳以上 400

(3) リスクチェック
安全基準を３としてウェイト100を乗じた300よりも最小値が小さい組合せについてリス
クチェックを行う。リスクチェックにより、項目組合わせの分類[000]についてリスクセ
ルを含むことがわかる。
分類 最小値
[000] 100
[~00] 300
[0~0] 300
[~~0] 700
[00~] 1800
[0~~] 4700
[~0~] 5000
[~~~] 10000

(4) 消去秘匿
多次元クロス加重度数表のリスクセルを含む分類[000]について、加重度数をゼロ値に
置き換えて消去秘匿を行う。
F0分類 F1就業状態 F2性別 F3年齢 加重度数ｎw
~~~ 総数 総数 総数 10000
~~0 総数 総数 a)20～29歳 1900
~~0 総数 総数 b)30～39歳 2400
~~0 総数 総数 c)40～49歳 2300
~~0 総数 総数 d)50～59歳 1800
~~0 総数 総数 e)60～69歳 900
~~0 総数 総数 f)70歳以上 700
~0~ 総数 a)男 総数 5000
~00 総数 a)男 a)20～29歳 1000
~00 総数 a)男 b)30～39歳 1300
~00 総数 a)男 c)40～49歳 1200
~00 総数 a)男 d)50～59歳 800
~00 総数 a)男 e)60～69歳 400
~00 総数 a)男 f)70歳以上 300
~0~ 総数 b)女 総数 5000
~00 総数 b)女 a)20～29歳 900
~00 総数 b)女 b)30～39歳 1100
~00 総数 b)女 c)40～49歳 1100
~00 総数 b)女 d)50～59歳 1000
~00 総数 b)女 e)60～69歳 500
~00 総数 b)女 f)70歳以上 400
0~~ a)有業 総数 総数 5300
0~0 a)有業 総数 a)20～29歳 1100
0~0 a)有業 総数 b)30～39歳 1500
0~0 a)有業 総数 c)40～49歳 1500
0~0 a)有業 総数 d)50～59歳 900
0~0 a)有業 総数 e)60～69歳 300
0~0 a)有業 総数 f)70歳以上 0
00~ a)有業 a)男 総数 3200
000 a)有業 a)男 a)20～29歳 0 （ゼロ値置換）
000 a)有業 a)男 b)30～39歳 0 （ゼロ値置換）
000 a)有業 a)男 c)40～49歳 0 （ゼロ値置換）
000 a)有業 a)男 d)50～59歳 0 （ゼロ値置換）
000 a)有業 a)男 e)60～69歳 0 （ゼロ値置換）
000 a)有業 a)男 f)70歳以上 0 （ゼロ値置換）
00~ a)有業 b)女 総数 2100
000 a)有業 b)女 a)20～29歳 0 （ゼロ値置換）
000 a)有業 b)女 b)30～39歳 0 （ゼロ値置換）
000 a)有業 b)女 c)40～49歳 0 （ゼロ値置換）
000 a)有業 b)女 d)50～59歳 0 （ゼロ値置換）
000 a)有業 b)女 e)60～69歳 0 （ゼロ値置換）
000 a)有業 b)女 f)70歳以上 0 （ゼロ値置換）
0~~ b)無業 総数 総数 4700
0~0 b)無業 総数 a)20～29歳 800
0~0 b)無業 総数 b)30～39歳 900
0~0 b)無業 総数 c)40～49歳 800
0~0 b)無業 総数 d)50～59歳 900
0~0 b)無業 総数 e)60～69歳 600
0~0 b)無業 総数 f)70歳以上 700
00~ b)無業 a)男 総数 1800
000 b)無業 a)男 a)20～29歳 0 （ゼロ値置換）
000 b)無業 a)男 b)30～39歳 0 （ゼロ値置換）
000 b)無業 a)男 c)40～49歳 0 （ゼロ値置換）
000 b)無業 a)男 d)50～59歳 0 （ゼロ値置換）
000 b)無業 a)男 e)60～69歳 0 （ゼロ値置換）
000 b)無業 a)男 f)70歳以上 0 （ゼロ値置換）
00~ b)無業 b)女 総数 2900
000 b)無業 b)女 a)20～29歳 0 （ゼロ値置換）
000 b)無業 b)女 b)30～39歳 0 （ゼロ値置換）
000 b)無業 b)女 c)40～49歳 0 （ゼロ値置換）
000 b)無業 b)女 d)50～59歳 0 （ゼロ値置換）
000 b)無業 b)女 e)60～69歳 0 （ゼロ値置換）
000 b)無業 b)女 f)70歳以上 0 （ゼロ値置換）

(5) 複合秘匿（丸め秘匿）
安全基準を５とし、ウェイト100を乗じた500を丸め基数として加重度数の丸め秘匿を行う
。
F1就業状態 F2性別 F3年齢 加重度数ｎw
総数 総数 総数 10000
総数 総数 a)20～29歳 2000
総数 総数 b)30～39歳 2500
総数 総数 c)40～49歳 2500
総数 総数 d)50～59歳 2000
総数 総数 e)60～69歳 1000
総数 総数 f)70歳以上 500
総数 a)男 総数 5000
総数 a)男 a)20～29歳 1000
総数 a)男 b)30～39歳 1500
総数 a)男 c)40～49歳 1000
総数 a)男 d)50～59歳 1000
総数 a)男 e)60～69歳 500
総数 a)男 f)70歳以上 500
総数 b)女 総数 5000
総数 b)女 a)20～29歳 1000
総数 b)女 b)30～39歳 1000
総数 b)女 c)40～49歳 1000
総数 b)女 d)50～59歳 1000
総数 b)女 e)60～69歳 500
総数 b)女 f)70歳以上 500
a)有業 総数 総数 5500
a)有業 総数 a)20～29歳 1000
a)有業 総数 b)30～39歳 1500
a)有業 総数 c)40～49歳 1500
a)有業 総数 d)50～59歳 1000
a)有業 総数 e)60～69歳 500
a)有業 a)男 総数 3000
a)有業 a)男 a)20～29歳 0
a)有業 a)男 b)30～39歳 0
a)有業 a)男 c)40～49歳 0
a)有業 a)男 d)50～59歳 0
a)有業 a)男 e)60～69歳 0
a)有業 b)女 総数 2000
a)有業 b)女 a)20～29歳 0
a)有業 b)女 b)30～39歳 0
a)有業 b)女 c)40～49歳 0
a)有業 b)女 d)50～59歳 0
a)有業 b)女 e)60～69歳 0
b)無業 総数 総数 4500
b)無業 総数 a)20～29歳 1000
b)無業 総数 b)30～39歳 1000
b)無業 総数 c)40～49歳 1000
b)無業 総数 d)50～59歳 1000
b)無業 総数 e)60～69歳 500
b)無業 総数 f)70歳以上 500
b)無業 a)男 総数 2000
b)無業 a)男 a)20～29歳 0
b)無業 a)男 b)30～39歳 0
b)無業 a)男 c)40～49歳 0
b)無業 a)男 d)50～59歳 0
b)無業 a)男 e)60～69歳 0
b)無業 a)男 f)70歳以上 0
b)無業 b)女 総数 3000
b)無業 b)女 a)20～29歳 0
b)無業 b)女 b)30～39歳 0
b)無業 b)女 c)40～49歳 0
b)無業 b)女 d)50～59歳 0
b)無業 b)女 e)60～69歳 0
b)無業 b)女 f)70歳以上 0

(6) 差分計算
総数と内訳合計について、差分計算を行う。
性別 年齢 a)有業 b)無業 ｎ’
a)男 a)20～29歳 0 0 1000
a)男 b)30～39歳 0 0 1500
a)男 c)40～49歳 0 0 1000
a)男 d)50～59歳 0 0 1000
a)男 e)60～69歳 0 0 500
a)男 f)70歳以上 0 0 500
a)男 差分 3000 2000 -5500
b)女 a)20～29歳 0 0 1000
b)女 b)30～39歳 0 0 1000
b)女 c)40～49歳 0 0 1000
b)女 d)50～59歳 0 0 1000
b)女 e)60～69歳 0 0 500
b)女 f)70歳以上 0 0 500
b)女 差分 2000 3000 -5000
差分 a)20～29歳 1000 1000 -2000
差分 b)30～39歳 1500 1000 -2500
差分 c)40～49歳 1500 1000 -2000
差分 d)50～59歳 1000 1000 -2000
差分 e)60～69歳 500 500 -1000
差分 f)70歳以上 0 500 -1000
差分 差分 -5000 -5500 10500

(7) セルデータ形式の差分表作成
セルデータ形式の差分表を作成する。（差分は～で表す。）
F1就業状態 F2性別 F3年齢 ｎ’
a)有業 a)男 ～ 3000
a)有業 b)女 ～ 2000
a)有業 ～ a)20～29歳 1000
a)有業 ～ b)30～39歳 1500
a)有業 ～ c)40～49歳 1500
a)有業 ～ d)50～59歳 1000
a)有業 ～ e)60～69歳 500
a)有業 ～ ～ -5000
b)無業 a)男 ～ 2000
b)無業 b)女 ～ 3000
b)無業 ～ a)20～29歳 1000
b)無業 ～ b)30～39歳 1000
b)無業 ～ c)40～49歳 1000
b)無業 ～ d)50～59歳 1000
b)無業 ～ e)60～69歳 500
b)無業 ～ f)70歳以上 500
b)無業 ～ ～ -5500
～ a)男 a)20～29歳 1000
～ a)男 b)30～39歳 1500
～ a)男 c)40～49歳 1000
～ a)男 d)50～59歳 1000
～ a)男 e)60～69歳 500
～ a)男 f)70歳以上 500
～ a)男 ～ -5500
～ b)女 a)20～29歳 1000
～ b)女 b)30～39歳 1000
～ b)女 c)40～49歳 1000
～ b)女 d)50～59歳 1000
～ b)女 e)60～69歳 500
～ b)女 f)70歳以上 500
～ b)女 ～ -5000
～ ～ a)20～29歳 -2000
～ ～ b)30～39歳 -2500
～ ～ c)40～49歳 -2000
～ ～ d)50～59歳 -2000
～ ～ e)60～69歳 -1000
～ ～ f)70歳以上 -1000
～ ～ ～ 10500

(8) 個票データ形式への変換
ウェイト（例：縮尺100）を指定して個票形式に変換する。
F1就業状態 F2性別 F3年齢 Weight
a)有業 a)男 ～ 100 （ 30レコード出力）
a)有業 b)女 ～ 100 （ 20レコード出力）
a)有業 ～ a)20～29歳 100 （ 10レコード出力）
a)有業 ～ b)30～39歳 100 （ 15レコード出力）
a)有業 ～ c)40～49歳 100 （ 15レコード出力）
a)有業 ～ d)50～59歳 100 （ 10レコード出力）
a)有業 ～ e)60～69歳 100 （ 5レコード出力）
a)有業 ～ ～ -100 （ 50レコード出力）
b)無業 a)男 ～ 100 （ 20レコード出力）
b)無業 b)女 ～ 100 （ 30レコード出力）
b)無業 ～ a)20～29歳 100 （ 10レコード出力）
b)無業 ～ b)30～39歳 100 （ 10レコード出力）
b)無業 ～ c)40～49歳 100 （ 10レコード出力）
b)無業 ～ d)50～59歳 100 （ 10レコード出力）
b)無業 ～ e)60～69歳 100 （ 5レコード出力）
b)無業 ～ f)70歳以上 100 （ 5レコード出力）
b)無業 ～ ～ -100 （ 55レコード出力）
～ a)男 a)20～29歳 100 （ 10レコード出力）
～ a)男 b)30～39歳 100 （ 15レコード出力）
～ a)男 c)40～49歳 100 （ 10レコード出力）
～ a)男 d)50～59歳 100 （ 10レコード出力）
～ a)男 e)60～69歳 100 （ 5レコード出力）
～ a)男 f)70歳以上 100 （ 5レコード出力）
～ a)男 ～ -100 （ 55レコード出力）
～ b)女 a)20～29歳 100 （ 10レコード出力）
～ b)女 b)30～39歳 100 （ 10レコード出力）
～ b)女 c)40～49歳 100 （ 10レコード出力）
～ b)女 d)50～59歳 100 （ 10レコード出力）
～ b)女 e)60～69歳 100 （ 5レコード出力）
～ b)女 f)70歳以上 100 （ 5レコード出力）
～ b)女 ～ -100 （ 50レコード出力）
～ ～ a)20～29歳 -100 （ 20レコード出力）
～ ～ b)30～39歳 -100 （ 25レコード出力）
～ ～ c)40～49歳 -100 （ 20レコード出力）
～ ～ d)50～59歳 -100 （ 20レコード出力）
～ ～ e)60～69歳 -100 （ 10レコード出力）
～ ～ f)70歳以上 -100 （ 10レコード出力）
～ ～ ～ 100 （105レコード出力）

７．５．３ 出力データの変換縮尺
前述の方法により加重度数について丸め処理を行う場合、秘匿処理の対象となる加重度
数は標本度数に比べて大きな値になるため、これをそのまま個票形式に変換すると膨大な
レコード数になってしまうことが多い。そこで、変換縮尺を指定することで、標本相当の
レコード数に変換する機能を付与している。
具体的には、個票データ形式に変換する際に変換縮尺を指定し、母集団ベースの場合は
加重度数を変換縮尺で除算した値をレコード数とし、ウェイト1.0に変換縮尺を乗じた値
を各レコードのウェイトとして変換を行う。また、標本ベースの場合は属性区分別に基の
個票データの標本数をレコード数とし、加重度数を基の個票データの標本数で除算した値
をウェイトとして変換を行う。丸め基数と変換縮尺が一致している場合、丸め基数が整数
であれば変換後のウェイトも丸め基数と同じ整数値になるメリットがある。
ウェイト付データの丸め処理は加重度数の丸め基数による除算で行っており、変換縮尺
の処理は加重度数の変換縮尺による除算で行うことから、丸め処理と変換縮尺の処理には
共通する部分が多い。丸め処理の場合はウェイトがゼロ値になる属性は秘匿上の観点から
ウェイトゼロ値のレコードとして出力しない。また、変換縮尺の処理についても秘匿上の
観点からゼロ値を出力しない処理としており、基の個票データにウェイトがゼロ値のレコ
ードが含まれている場合は、変換後の標本レコード数は基のレコード数と一致しなくなる
。
なお、秘匿処理を行った出力データには四捨五入による丸め誤差の差分レコードが含ま
れるため、変換後の標本レコード数は変換前のレコード数よりも多くなるのが通常である
。

例）差分表（ウェイトが一律100で丸め基数500の場合）
年齢 a)男 b)女 ｎ’
a)20～29歳 1000 1000 0
b)30～39歳 1500 1000 0
c)40～49歳 1000 1000 500
d)50～59歳 1000 1000 0
e)60～69歳 500 500 0
f)70歳以上 500 500 -500
差分 -500 0 0

(1) セルデータ形式の差分表
F1性別 F2年齢 ｎ'
a)男 a)20～29歳 1000
a)男 b)30～39歳 1500
a)男 c)40～49歳 1000
a)男 d)50～59歳 1000
a)男 e)60～69歳 500
a)男 f)70歳以上 500
a)男 差分 -500
b)女 a)20～29歳 1000
b)女 b)30～39歳 1000
b)女 c)40～49歳 1000
b)女 d)50～59歳 1000
b)女 e)60～69歳 500
b)女 f)70歳以上 500
b)女 差分 0
差分 a)20～29歳 0
差分 b)30～39歳 0
差分 c)40～49歳 500
差分 d)50～59歳 0
差分 e)60～69歳 0
差分 f)70歳以上 -500
差分 差分 0

(2)個票データ形式（縮尺100の場合）
F1性別 F2年齢 Weight
a)男 a)20～29歳 100 （10レコード出力）
a)男 b)30～39歳 100 （15レコード出力）
a)男 c)40～49歳 100 （10レコード出力）
a)男 d)50～59歳 100 （10レコード出力）
a)男 e)60～69歳 100 （ 5レコード出力）
a)男 f)70歳以上 100 （ 5レコード出力）
a)男 差分 -100 （ 5レコード出力）
b)女 a)20～29歳 100 （10レコード出力）
b)女 b)30～39歳 100 （10レコード出力）
b)女 c)40～49歳 100 （10レコード出力）
b)女 d)50～59歳 100 （10レコード出力）
b)女 e)60～69歳 100 （ 5レコード出力）
b)女 f)70歳以上 100 （ 5レコード出力）
b)女 差分 0
差分 a)20～29歳 0
差分 b)30～39歳 0
差分 c)40～49歳 100 （ 5レコード出力）
差分 d)50～59歳 0
差分 e)60～69歳 0
差分 f)70歳以上 -100 （ 5レコード出力）
差分 差分 0
注）差分の属性については、分類区分をnull値として出力する。

８．発明の効果
本発明により、統計調査及びアンケート調査等の個票データにおけるリスクレコードを
秘匿して匿名化個票データを作成する手段を提供し、個票データを利用する際に個人が特
定されるリスクを減免させることが可能となる。また、本発明による匿名化装置を用いる
ことで、個票データ等について以下の利用方法が可能となる。
(1) 秘匿データ作成（標準機能）
個票データ⇒匿名化装置⇒匿名化データ
匿名化装置を利用して、個票データから匿名化データを作成する。
(2) 秘匿データの再利用
個票データ⇒匿名化装置⇒親匿名化データ⇒項目選択⇒匿名化装置⇒匿名化データ
匿名化装置を利用して親匿名化データを作成し、匿名化装置を再適用して匿名化データ
を作成
(3) 秘匿度数表作成
個票データ⇒匿名化装置⇒秘匿度数表
匿名化装置を利用して、個票データから秘匿度数表を作成
(4) 秘匿度数表の再利用
個票データ⇒匿名化装置⇒秘匿度数表⇒匿名化装置⇒匿名化データ
匿名化装置を利用して秘匿度数表を作成し、匿名化装置を再適用して匿名化データを作
成
(5) 秘匿データ変換
多次元クロス度数表⇒匿名化装置⇒匿名化データ
匿名化装置を利用して、外部作成した多次元クロス度数表から匿名化データを作成

（図１）匿名化装置の機器構成図 秘匿装置は、市販のパーソナルコンピュータ（PC）にプログラムをインストールし、入出力データと中間データを保存する記憶装置を接続して構成する。 （図２）匿名化処理プログラムの流れ図（全体） 個票データの匿名化処理プログラムは、多次元度数表集計処理部と秘匿変換処理部により構成する。 （図３）多次元度数表集計処理部のブロック図 多次元度数表集計処理部は、個票データを読み込んで集計処理を行い、後段の秘匿変換処理において入力に用いる多次元クロス度数表を作成する。 （図４）秘匿変換処理部のブロック図 秘匿変換処理部は、多次元クロス度数表を読み込んで消去秘匿、丸め秘匿、差分計算及び個票データ形式変換を行い、個票データから作成した多次元クロス度数表の秘匿処理を行って、個票データ形式に変換する。 （図５）多次元クロス度数集計プログラムの流れ図 多次元クロス度数集計プログラムは、個票データを入力して多次元クロス度数表を集計する。 （図６）消去秘匿プログラム処理２Ａ（属性組合わせ符号付与）の流れ図 消去秘匿プログラムは、多次元クロス度数表について度数チェックを行い、安全基準を満たさない属性項目の組合せについて、内訳をゼロ値に置き換えることで消去秘匿を行う。 （図７）消去秘匿プログラム処理２Ｂ（組合わせ別最小度数検査）の流れ図 消去秘匿プログラムは、多次元クロス度数表について度数チェックを行い、安全基準を満たさない属性項目の組合せについて、内訳をゼロ値に置き換えることで消去秘匿を行う。 （図８）消去秘匿プログラム処理２Ｃ（リスク表内訳消去）の流れ図 消去秘匿プログラムは、多次元クロス度数表について度数チェックを行い、安全基準を満たさない属性項目の組合せについて、内訳をゼロ値に置き換えることで消去秘匿を行う。 （図９）丸め秘匿プログラムの流れ図 丸め秘匿プログラムは、多次元クロス度数表について度数の丸め処理を行い、丸め秘匿により度数表の秘匿強度を補強する。 （図１０）差分計算プログラムの流れ図 差分計算プログラムは、属性の全ての組合せについて、内訳合計と総数の差分計算を行う。 （図１１）個票形式変換プログラムの流れ図 個票形式変換プログラムは、属性組合せごとの内訳度数と差分度数を用いて、度数表を個票形式データに変換する。

７．産業上の利用可能性
本発明を用いることにより、統計調査等の個票データの利用において、集計や分析をよ
り安全に行うことが可能となることが期待できる。具体的には、「公的統計の整備に関す
る基本的な計画（平成30年3月６日閣議決定）」において、統計調査の二次利用として、
オンサイト集計、オンデマンド集計等が挙げられており、これらに関連する研究開発業務
に利用できる可能性がある他、統計センターが行っているオーダーメード集計、匿名デー
タ作成等の業務においても利用できる可能性がある。
また、行政記録を用いて統計を作成する場合の秘匿手法として用いることができる可能
性がある他、インターネットの普及に伴い急速に利用が増えているビッグデータ等の利用
においても個人情報の保護が重要な課題となっており、個人情報保護の観点でデータの安
全性を向上させるために本発明が利用できる可能性が期待できる。

Claims (1)

1. 統計調査の対象の属性項目により構成される個票データ（個人等が統計調査の対象であること）を読み込み、秘匿処理（乱数ノイズを用いない方法に限る）を行って匿名化した個票データを出力する匿名化装置であって、前記個票データを読み込んで多次元クロス度数表（個票データの属性項目の組み合わせごとの総数を含めることにより属性別の内訳合計と総数の差分計算を行うことが可能なもの）を集計して作成する手段を備え、前記多次元クロス度数表を読み込んで秘匿処理（多次元クロス度数表に個票データの属性項目の組み合わせごとの総数を含めることにより属性別の内訳合計と総数の差分計算を行うことが可能なもので、乱数ノイズを用いない方法に限る）を行った秘匿済多次元クロス度数表を出力する手段を備え、前記秘匿済多次元クロス度数表を読み込んで属性項目の組み合わせごとの総数と内訳合計の差分を計算することにより個票データに変換可能な秘匿済多次元クロス度数表を出力する手段を備え、前記個票データに変換可能な秘匿済多次元クロス度数表を読み込んで負値を含むウェイトを付与した個票データ形式に変換して出力する手段を備える、個票データの匿名化を実現するための匿名化装置。

Images