JP7464555B2 - データ提供装置、集計システム及びデータ提供プログラム - Google Patents

Description

本発明は、分散されたデータの差分プライバシを実現するシステムに関する。

従来、個人情報を収集し解析結果を提供する際に、個々のデータを復元できないように解析結果を加工する差分プライバシの実現が求められている。さらに、解析を行う集積ノード（アグリゲータ）に対しても個人情報を秘匿できる分散差分プライバシに関する技術が提案されている（例えば、非特許文献１参照）。

Vibhor Rastogi and Suman Nath, "Differentially Private Aggregation of Distributed Time-Series with Transformation and Encryption," Proceedings of the 2010 ACM SIGMOD International Conference on Management of data, June 2010, pp. 735-746

しかしながら、従来の手法では、個人情報を収集するアグリゲータは、集計値を計算するために、秘匿されたデータを用いた秘密計算を行う必要があった。

本発明は、差分プライバシを保ったまま、アグリゲータが容易に集計値を計算できるデータ提供装置、集計システム及びデータ提供プログラムを提供することを目的とする。

本発明に係るデータ提供装置は、複数のノードに分散された数値を集計する集積ノードに対して、当該数値を提供するノードとしての装置であって、プライバシを保護すべき前記数値をｘ個に分割した値それぞれにノイズを加算し、ｘ回に分けて前記集積ノードに送信するデータ送信部を備え、前記集積ノードにおいて、前記複数のノードの全てから受信した値の累計処理をｘ回実行させることでノイズ付きの集計値を算出させる。

前記データ送信部は、前記数値をｘ個に等分してもよい。

前記ノイズは、０をピークとした正負対称な第１の分布に従った値であってもよい。

前記第１の分布は、ラプラス分布であってもよい。

前記データ送信部は、総計が０となるｘ個の乱数を生成し、前記分割した値それぞれに前記ノイズと共に加算してもよい。

前記乱数は、０をピークとした正負対称な第２の分布に従った値であってもよい。

前記第２の分布は、ラプラス分布であってもよい。

前記データ提供装置は、前記集積ノードから、前記累計処理の度に、計算結果のハッシュ値を受信する結果取得部を備えてもよい。

本発明に係る集計システムは、前記複数のデータ提供装置と、前記複数のデータ提供装置からそれぞれ値を受信し、前記累計処理を実行する前記集積ノードとしての集積装置と、を備える。

前記集積装置は、受信したデータの記憶容量が所定以下に制限されてもよい。

本発明に係るデータ提供プログラムは、前記データ提供装置としてコンピュータを機能させるためのものである。

本発明によれば、差分プライバシを保ったまま、アグリゲータが容易に集計値を計算できる。

実施形態における集計システムの全体構成を示す図である。 実施形態におけるデータ提供装置の機能構成を示す図である。 実施形態における集積装置の機能構成を示す図である。 実施形態における集計システムによる利用者への情報提供の流れを示す図である。 実施形態における集積装置におけるデータ集計の流れを例示するフローチャートである。

以下、本発明の実施形態の一例について説明する。
図１は、本実施形態における集計システム１の全体構成を示す図である。

集計システム１は、複数（Ｎ個）のデータ提供装置１０と、集積装置２０とを備える。
データ提供装置１０は、分散データが保持されたデータベース（ＤＢ）を含むノードであり、集積装置２０（アグリゲータ）は、これら複数のデータ提供装置１０からそれぞれ分散データ（数値）を受信し、利用者からの要求に応じて集計値を提供する集積ノードである。

図２は、本実施形態におけるデータ提供装置１０の機能構成を示す図である。
データ提供装置１０は、サーバ装置又はパーソナルコンピュータ等の情報処理装置（コンピュータ）であり、制御部１１及び記憶部１２の他、各種データの入出力デバイス及び通信デバイス等を備える。

制御部１１は、データ提供装置１０の全体を制御する部分であり、記憶部１２に記憶された各種プログラムを適宜読み出して実行することにより、本実施形態における各機能を実現する。制御部１１は、ＣＰＵであってよい。

記憶部１２は、ハードウェア群をデータ提供装置１０として機能させるための各種プログラム、及び各種データ等の記憶領域であり、ＲＯＭ、ＲＡＭ、フラッシュメモリ又はハードディスクドライブ（ＨＤＤ）等であってよい。具体的には、記憶部１２は、本実施形態の各機能を制御部１１に実行させるためのプログラム（データ提供プログラム）の他、複数のデータ提供装置１０に分散されたデータを保持するデータベース、集積装置２０から受信した検証用のデータ等を記憶する。

制御部１１は、データ送信部１１１と、結果受信部１１２とを備える。
データ送信部１１１は、データ提供装置１０がデータベースに保持しているプライバシを保護すべき数値を、複数（ｘ個）に分割（例えば、等分割）した値それぞれにノイズを加算し、ｘ回に分けて集積装置２０に送信する。

集積装置２０は、複数のデータ提供装置１０の全てから受信した値の累計処理をｘ回実行することで、ノイズ付きの集計値（総計）を算出できる。
ここで、加算されるノイズは、０をピークとした正負対称な第１の分布に従った値であることが好ましい。第１の分布は、例えば、ラプラス分布又は正規分布等である。

また、データ送信部１１１は、総計が０となる、あるいは確率的にほぼ０に近くなるｘ個の乱数を生成し、分割した値それぞれにノイズと共に加算してもよい。
このとき、乱数は、０をピークとした正負対称な第２の分布に従った値であることが好ましい。第２の分布は、例えば、ラプラス分布又は正規分布等である。

結果受信部１１２は、集積装置２０から、累計処理が行われる度に、計算結果のハッシュ値を受信し、この集積装置２０が正しく集計値を算出したか否かを後で再計算によって検証できるように保存する。

図３は、本実施形態における集積装置２０の機能構成を示す図である。
集積装置２０は、データ提供装置１０と同様に、サーバ装置又はパーソナルコンピュータ等の情報処理装置（コンピュータ）であり、制御部２１及び記憶部２２の他、各種データの入出力デバイス及び通信デバイス等を備える。

制御部２１は、集積装置２０の全体を制御する部分であり、記憶部２２に記憶された各種プログラムを適宜読み出して実行することにより、本実施形態における各機能を実現する。制御部２１は、ＣＰＵであってよい。

記憶部２２は、ハードウェア群を集積装置２０として機能させるための各種プログラム、及び各種データ等の記憶領域であり、ＲＯＭ、ＲＡＭ、フラッシュメモリ又はハードディスクドライブ（ＨＤＤ）等であってよい。具体的には、記憶部２２は、本実施形態の各機能を制御部２１に実行させるためのプログラムの他、複数のデータ提供装置１０から受信したデータの集計値等を記憶する。

制御部２１は、データ受信部２１１と、累計処理部２１２と、結果送信部２１３と、要求処理部２１４とを備える。

データ受信部２１１は、複数のデータ提供装置１０のそれぞれから、ｘ個に分割されノイズ（及び乱数）が加算された数値データを、ｘ回に分けて受信する。
ここで、受信したデータは、ストレージ（記憶部２２）に一時保存されてもよいが、この受信したデータの記憶容量は所定以下に制限され、全てのデータを保存しておくことはできない。

累計処理部２１２は、複数のデータ提供装置１０の全てから受信した値を累計する。累計処理部２１２は、この累計処理をｘ回実行することで、複数のデータ提供装置１０が保持している全ての数値のノイズ付きの集計値（総計）を算出する。

結果送信部２１３は、累計処理部２１２が累計処理を実行する度に、計ｘ回、その時点での計算結果のハッシュ値を算出し、全てのデータ提供装置１０へ送信する。

要求処理部２１４は、利用者の端末から総計又は平均値等の集計値のリクエストを受信すると、累計処理部２１２により算出された総計に基づいて、要求された集計値をノイズ付きで計算して要求元へ提供する。

図４は、本実施形態における集計システム１による利用者への情報提供の流れを示す図である。

ｎ個のデータ提供装置１０（ＤＢ_１～ＤＢ_ｎ）は、それぞれ数値データＤ_ｉを保持しており、Ｄ_ｉをｘで割り（Ｄ_ｉ／ｘ）、ｘ回に分割して集積装置２０（集積ノード）へ送信する。
このとき、ｊ（１≦ｊ≦ｘ）回目の送信データには、乱数Ｒ_ｉｊと、１／ｘの大きさとなったデータの差分プライバシを満足するノイズ（ｎｏｉｓｅ_ｉ／ｘ）とが加算される。

全ノード（ＤＢ_１～ＤＢ_ｎ）が１回目の送信を終えると、集積ノードでは、累積値として（（Ｄ_１＋Ｄ_２＋…＋Ｄ_ｎ）／ｘ）＋（ｓｕｍ（ｎｏｉｓｅ／ｘ））＋Ｒ_１１＋Ｒ_２１＋…＋Ｒ_ｎ１が得られる。
このとき、ｘ分割されたデータの和に対して、ノイズの和ｓｕｍ（ｎｏｉｓｅ／ｘ）によって差分プライバシが確保され、かつ、乱数によって各値もマスクされている。

この１回目の累計処理により得られた値に対して、ハッシュ値が計算され、全てのノード（ＤＢ_１～ＤＢ_ｎ）に返送され、各ノードは、送信したデータと共にこのハッシュ値を保管する。

次に、集積ノードは、この累計値に対して、さらに２回目のデータを累計し、１回目と同様にハッシュ値を計算して全てのノード（ＤＢ_１～ＤＢ_ｎ）に返送する。ｘ回目の累計値は、（Ｄ_１＋Ｄ_２＋…＋Ｄ_ｎ）＋ｓｕｍ（ｎｏｉｓｅ）となり、乱数がキャンセルされ、ノイズによって差分プライバシを満たした累計値が得られる。
そして、集積ノードは、利用者からの要求に応じて、この累計値又はｎで割った平均値等、差分プライバシを保った集計結果を提供する。

図５は、本実施形態における集積装置２０におけるデータ集計の流れを例示するフローチャートである。
ステップＳ１において、累計処理部２１２は、集計結果である累計値を０に初期化する。

ステップＳ２において、データ受信部２１１は、ｎ個のデータ提供装置１０のいずれかから、分割されノイズが加算された数値データを受信する。

ステップＳ３において、データ受信部２１１は、全て（ｎ個）のデータ提供装置１０から数値データを受信したか否かを判定する。この判定がＹＥＳの場合、処理はステップＳ４に移り、判定がＮＯの場合、処理はステップＳ２に戻る。

ステップＳ４において、累計処理部２１２は、受信したｎ個の数値データを累計値に加算する。なお、累計処理部２１２は、ステップＳ２で数値データを１件受信する度に累計値に加算してもよい。

ステップＳ５において、結果送信部２１３は、累計値のハッシュ値を計算し、全て（ｎ個）のデータ提供装置１０へ送信する。

ステップＳ６において、累計処理部２１２は、データ提供装置１０それぞれからｘ回ずつ数値データを受信したか否かを判定する。この判定がＹＥＳの場合、処理は終了し、判定がＮＯの場合、処理はステップＳ２に戻る。

本実施形態によれば、集計システム１は、分散データを保持している各ノード（データ提供装置１０）がデータをｘ分割し、それぞれにノイズを加算し、ｘ回に分けてアグリゲータ（集積装置２０）に送信する。
したがって、データ提供装置１０は、加算されたノイズにより差分プライバシを保ったまま、アグリゲータにデータを送信し、アグリゲータは、受信した数値データを累計することで、処理の重い秘密計算をすることなく、容易に集計値を計算できる。
また、集計システム１は、データを分割することにより、差分プライバシを満足するノイズの幅を小さくでき、この結果、集計値におけるノイズの幅も抑制できるため、誤差の小さい有用な情報を提供できる。

データ提供装置１０は、数値データをｘ等分することで、分割処理を容易にし、また、適切な大きさ（１／ｘ）のノイズを容易に加算することができる。

データ提供装置１０は、０をピークとした正負対称な第１の確率分布に従った値をノイズとして加算することにより、確率的に元の値からの誤差を小さく、また、ｘ個を総和したときのノイズの総和も確率的に小さくすることができる。この結果、集計システム１は、集計値として有用なデータを提供することができる。
具体的には、データ提供装置１０は、ノイズの確率分布をラプラス分布又は正規分布とすることで、安全性及び有用性の点で適切なノイズを加算できる。

データ提供装置１０は、総計が０となるｘ個の乱数を生成し、分割した値それぞれにノイズと共に加算する。
これにより、集積装置２０に送信されるデータが秘匿されると共に、加算された乱数をキャンセルするためには、ｘ個全てを足す必要があるため、集積装置２０に確実に計算を実行させることができる。

データ提供装置１０は、０をピークとした正負対称な第２の確率分布に従った値を乱数として加算することにより、確率的に元の値からの誤差を小さくできる。
具体的には、データ提供装置１０は、乱数の確率分布をラプラス分布又は正規分布とすることで、安全性及び有用性の点で適切な乱数を加算できる。

データ提供装置１０は、累計処理の度に、計算結果のハッシュ値を集積装置２０から受信して保存しておく。
これにより、例えば、別の集積ノードに代えた場合の計算結果のハッシュ値と比較することにより、集積装置２０が正しく計算を実行していることを確認することができる。

集積装置２０において、累計値以外、受信した数値データを保存できない、あるいは一部のみしか保存できないように、ストレージサイズを制限することにより、元データを復元されるリスクをさらに低減でき、安全性が向上する。

なお、本実施形態により、例えば、プライバシを確保したデータ解析を容易にできることから、国連が主導する持続可能な開発目標（ＳＤＧｓ）の目標９「レジリエントなインフラを整備し、持続可能な産業化を推進するとともに、イノベーションの拡大を図る」に貢献することが可能となる。

以上、本発明の実施形態について説明したが、本発明は前述した実施形態に限るものではない。また、前述した実施形態に記載された効果は、本発明から生じる最も好適な効果を列挙したに過ぎず、本発明による効果は、実施形態に記載されたものに限定されるものではない。

集計システム１による集計方法は、ソフトウェアにより実現される。ソフトウェアによって実現される場合には、このソフトウェアを構成するプログラムが、情報処理装置（コンピュータ）にインストールされる。また、これらのプログラムは、ＣＤ－ＲＯＭのようなリムーバブルメディアに記録されてユーザに配布されてもよいし、ネットワークを介してユーザのコンピュータにダウンロードされることにより配布されてもよい。さらに、これらのプログラムは、ダウンロードされることなくネットワークを介したＷｅｂサービスとしてユーザのコンピュータに提供されてもよい。

１ 集計システム
１０ データ提供装置
１１ 制御部
１２ 記憶部
２０ 集積装置
２１ 制御部
２２ 記憶部
１１１ データ送信部
１１２ 結果受信部
２１１ データ受信部
２１２ 累計処理部
２１３ 結果送信部
２１４ 要求処理部

Claims (9)

1. 複数のノードに分散された数値を集計する集積ノードとしての集積装置と、当該集積装置に対して当該数値を提供するノードとしての複数のデータ提供装置と、を備えた集計システムであって、
   前記データ提供装置は、前記数値をｘ個に按分し、当該按分した値それぞれに対して差分プライバシを満たす大きさの分布に従ったノイズを生成し、当該ノイズを加算したｘ個の値をｘ回に分けて前記集積装置に送信するデータ送信部を備え、
   前記集積装置は、
   全ての前記データ提供装置から、それぞれ前記ｘ個の値をｘ回に分けて受信するデータ受信部と、
   受信した値の累計処理をｘ回実行することでノイズ付きの集計値を算出する累計処理部と、を備える集計システム。
2. 前記データ送信部は、前記数値をｘで割った値にｘ個の前記ノイズをそれぞれ加算して前記ｘ個の値を算出する請求項１に記載の集計システム。
3. 前記ノイズは、０をピークとした正負対称な第１の分布に従った値である請求項１又は請求項２に記載の集計システム。
4. 前記第１の分布は、ラプラス分布である請求項３に記載の集計システム。
5. 前記データ送信部は、総計が０となるｘ個の乱数を生成し、前記按分した値それぞれに前記ノイズと共に加算する請求項１又は請求項２に記載の集計システム。
6. 前記乱数は、０をピークとした正負対称な第２の分布に従った値である請求項５に記載の集計システム。
7. 前記第２の分布は、ラプラス分布である請求項６に記載の集計システム。
8. 前記集積装置は、前記累計処理の度に計算結果のハッシュ値を算出し、全ての前記データ提供装置へ送信する結果送信部を備え、
   前記データ提供装置は、前記集積装置から、前記計算結果のハッシュ値を受信する結果受信部を備える請求項１から請求項７のいずれかに記載の集計システム。
9. 前記集積装置は、受信したデータの記憶容量が所定以下に制限される請求項１から請求項８のいずれかに記載の集計システム。

Images