特開2023-74901差分プライバシー処理方法、プログラム、および、差分プライバシー処理装置
(19)【発行国】日本国特許庁(JP)
(12)【公報種別】公開特許公報(A)
(11)【公開番号】P2023074901
(43)【公開日】2023-05-30
(54)【発明の名称】差分プライバシー処理方法、プログラム、および、差分プライバシー処理装置
(51)【国際特許分類】
G06F 21/62 20130101AFI20230523BHJP
【ＦＩ】
G06F21/62 345
【審査請求】未請求
【請求項の数】6
【出願形態】ＯＬ
(21)【出願番号】P 2021188081
(22)【出願日】2021-11-18
(71)【出願人】
【識別番号】393031586
【氏名又は名称】株式会社国際電気通信基礎技術研究所
(74)【代理人】
【識別番号】100143498
【弁理士】
【氏名又は名称】中西 健
(74)【代理人】
【識別番号】100136319
【弁理士】
【氏名又は名称】北原 宏修
(72)【発明者】
【氏名】三本 知明
(72)【発明者】
【氏名】橋本 真幸
(72)【発明者】
【氏名】横山 浩之
(57)【要約】
【課題】入力データと閾値との大小関係と、出力データと閾値との大小関係とを高い確率で維持し、プライバシー保護を実現しつつ適切なデータ錯乱メカニズムを実現する技術を実現する。
【解決手段】差分プライバシー処理装置１００では、閾値を考慮した二値化処理を行った後、第１プライバシーパラメータε１による二値ＬＤＰ処理を行うので、第１プライバシーパラメータε１にのみ依存した一定の確率で閾値を跨がない差分プライバシーを満たす摂動データを生成することができる。さらに、差分プライバシー処理装置１００では、二値ＬＤＰ処理で閾値を跨がないデータについては、閾値との大小関係を維持しつつ、第２プライバシーパラメータε２による多値ＬＤＰ処理を行うので、閾値との大小関係を維持した摂動データを生成することができる。
【選択図】図１
【解決手段】差分プライバシー処理装置１００では、閾値を考慮した二値化処理を行った後、第１プライバシーパラメータε１による二値ＬＤＰ処理を行うので、第１プライバシーパラメータε１にのみ依存した一定の確率で閾値を跨がない差分プライバシーを満たす摂動データを生成することができる。さらに、差分プライバシー処理装置１００では、二値ＬＤＰ処理で閾値を跨がないデータについては、閾値との大小関係を維持しつつ、第２プライバシーパラメータε２による多値ＬＤＰ処理を行うので、閾値との大小関係を維持した摂動データを生成することができる。
【選択図】図１
【特許請求の範囲】
【請求項1】
入力データに対して差分プライバシー処理を実行する差分プライバシー処理方法であって、
閾値を設定する閾値設定ステップと、
前記閾値により、前記入力データを二値化する処理を実行する二値化処理ステップと、
前記二値化処理後のデータに対して、第１プライバシーパラメータε１を用いた差分プライバシー処理であって、出力を二値とする差分プライバシー処理を行う二値差分プライバシー処理ステップと、
前記二値差分プライバシー処理ステップの入力データと出力データとが一致している場合、第２プライバシーパラメータε２を用いた差分プライバシー処理であって、当該差分プライバシー処理の出力データを多値とし、かつ、前記差分プライバシー処理の出力データのとりうる範囲である出力データ範囲に含まれる任意の出力データと前記閾値との大小関係を維持するように、前記出力データ範囲を設定し、前記入力データに対して、多値差分プライバシー処理を行う多値差分プライバシー処理ステップと、
を備える差分プライバシー処理方法。
閾値を設定する閾値設定ステップと、
前記閾値により、前記入力データを二値化する処理を実行する二値化処理ステップと、
前記二値化処理後のデータに対して、第１プライバシーパラメータε１を用いた差分プライバシー処理であって、出力を二値とする差分プライバシー処理を行う二値差分プライバシー処理ステップと、
前記二値差分プライバシー処理ステップの入力データと出力データとが一致している場合、第２プライバシーパラメータε２を用いた差分プライバシー処理であって、当該差分プライバシー処理の出力データを多値とし、かつ、前記差分プライバシー処理の出力データのとりうる範囲である出力データ範囲に含まれる任意の出力データと前記閾値との大小関係を維持するように、前記出力データ範囲を設定し、前記入力データに対して、多値差分プライバシー処理を行う多値差分プライバシー処理ステップと、
を備える差分プライバシー処理方法。
【請求項2】
前記多値差分プライバシー処理ステップは、
前記第２プライバシーパラメータε２により決定される値Ｃを導出し、
前記多値差分プライバシー処理の入力データのとりうる範囲である入力データ範囲を［－ｄ’，ｄ’］とすると、前記多値差分プライバシー処理の出力データのとりうる範囲である出力データ範囲を［－ｄ’Ｃ，ｄ’Ｃ］に設定し、前記入力データに対して、多値差分プライバシー処理を行う、
請求項１に記載の差分プライバシー処理方法。
前記第２プライバシーパラメータε２により決定される値Ｃを導出し、
前記多値差分プライバシー処理の入力データのとりうる範囲である入力データ範囲を［－ｄ’，ｄ’］とすると、前記多値差分プライバシー処理の出力データのとりうる範囲である出力データ範囲を［－ｄ’Ｃ，ｄ’Ｃ］に設定し、前記入力データに対して、多値差分プライバシー処理を行う、
請求項１に記載の差分プライバシー処理方法。
【請求項3】
前記多値差分プライバシー処理ステップは、
前記閾値、または、前記閾値をレンジ変換して取得されるレンジ変換後閾値を値Ｔｈとし、オフセット値をｏｆｆｓｅｔとすると、
ａｂｓ（ｄ’Ｃ）≦ａｂｓ（Ｔｈ）
ａｂｓ（ｘ）：値ｘの絶対値を返す関数
または、
ａｂｓ（－ｄ’Ｃ）≦ａｂｓ（Ｔｈ－ｏｆｆｓｅｔ）
を満たすように、値ｄ’を決定する、
請求項２に記載の差分プライバシー処理方法。
前記閾値、または、前記閾値をレンジ変換して取得されるレンジ変換後閾値を値Ｔｈとし、オフセット値をｏｆｆｓｅｔとすると、
ａｂｓ（ｄ’Ｃ）≦ａｂｓ（Ｔｈ）
ａｂｓ（ｘ）：値ｘの絶対値を返す関数
または、
ａｂｓ（－ｄ’Ｃ）≦ａｂｓ（Ｔｈ－ｏｆｆｓｅｔ）
を満たすように、値ｄ’を決定する、
請求項２に記載の差分プライバシー処理方法。
【請求項4】
前記多値差分プライバシー処理ステップは、
（１）前記多値差分プライバシー処理の入力データが、前記入力データ範囲［－ｄ’，ｄ’］内に入らないデータである場合であって、前記多値差分プライバシー処理の入力データが前記入力データ範囲の上限値ｄ’を超える場合、前記多値差分プライバシー処理の入力データを値ｄ’とし、
（２）前記多値差分プライバシー処理の入力データが、前記入力データ範囲［－ｄ’，ｄ’］内に入らないデータである場合であって、前記多値差分プライバシー処理の入力データが前記入力データ範囲の下限値－ｄ’未満の場合、前記多値差分プライバシー処理の入力データを値－ｄ’とする、
上限、下限リミット処理を行う、
請求項２または３に記載の差分プライバシー処理方法。
（１）前記多値差分プライバシー処理の入力データが、前記入力データ範囲［－ｄ’，ｄ’］内に入らないデータである場合であって、前記多値差分プライバシー処理の入力データが前記入力データ範囲の上限値ｄ’を超える場合、前記多値差分プライバシー処理の入力データを値ｄ’とし、
（２）前記多値差分プライバシー処理の入力データが、前記入力データ範囲［－ｄ’，ｄ’］内に入らないデータである場合であって、前記多値差分プライバシー処理の入力データが前記入力データ範囲の下限値－ｄ’未満の場合、前記多値差分プライバシー処理の入力データを値－ｄ’とする、
上限、下限リミット処理を行う、
請求項２または３に記載の差分プライバシー処理方法。
【請求項5】
請求項１から４のいずれかに記載の差分プライバシー処理方法をコンピュータに実行させるためのプログラム。
【請求項6】
入力データに対して差分プライバシー処理を実行する差分プライバシー処理方法であって、
閾値を設定するパラメータ設定部と、
前記閾値により、前記入力データを二値化する処理を実行する二値化処理部と、
前記二値化処理後のデータに対して、第１プライバシーパラメータε１を用いた差分プライバシー処理であって、出力を二値とする差分プライバシー処理を行う二値差分プライバシー処理部と、
前記二値差分プライバシー処理部の入力データと出力データとが一致している場合、第２プライバシーパラメータε２を用いた差分プライバシー処理であって、当該差分プライバシー処理の出力データを多値とし、かつ、前記差分プライバシー処理の出力データのとりうる範囲である出力データ範囲に含まれる任意の出力データと前記閾値との大小関係を維持するように、前記出力データ範囲を設定し、前記入力データに対して、多値差分プライバシー処理を行う多値差分プライバシー処理部と、
を備える差分プライバシー処理装置。
閾値を設定するパラメータ設定部と、
前記閾値により、前記入力データを二値化する処理を実行する二値化処理部と、
前記二値化処理後のデータに対して、第１プライバシーパラメータε１を用いた差分プライバシー処理であって、出力を二値とする差分プライバシー処理を行う二値差分プライバシー処理部と、
前記二値差分プライバシー処理部の入力データと出力データとが一致している場合、第２プライバシーパラメータε２を用いた差分プライバシー処理であって、当該差分プライバシー処理の出力データを多値とし、かつ、前記差分プライバシー処理の出力データのとりうる範囲である出力データ範囲に含まれる任意の出力データと前記閾値との大小関係を維持するように、前記出力データ範囲を設定し、前記入力データに対して、多値差分プライバシー処理を行う多値差分プライバシー処理部と、
を備える差分プライバシー処理装置。
【発明の詳細な説明】
【技術分野】
【0001】
本発明は、個人のプライバシーを保護しつつデータ分析を可能にするプライバシー保護技術に関する。
【背景技術】
【0002】
近年、個人のプライバシーを保護しつつデータ分析を可能にするプライバシー保護技術が種々開発されている。このようなプライバシー保護技術として、データ提供の際に提供者が自身のデータにノイズを付与してデータを提供する局所差分プライバシー（ＬＤＰ：Ｌｏｃａｌ Ｄｉｆｆｅｒｅｎｔｉａｌ Ｐｒｉｖａｃｙ）という方法を用いる技術が注目されている（例えば、非特許文献１～４を参照）。例えば、非特許文献１の技術や非特許文献２の技術は、ブラウザやＯＳ等で利用されており、プライバシー保護技術として注目されている。
【0003】
非特許文献１、２の技術は、二値の入力データ（入力データｔ∈｛０，１｝）に対する撹乱メカニズムを実現する技術である。一方、非特許文献３の技術は、多値入力データ（入力データｔ∈［－１，１］（－１から１の範囲に含まれる実数値をとるデータ）に対する撹乱メカニズムを実現する技術であるが、出力データは二値データ（出力データｔ＊∈｛－（ｅｘｐ（ε）－１）／（ｅｘｐ（ε）＋１），（ｅｘｐ（ε）－１）／（ｅｘｐ（ε）＋１）｝）である。
【0004】
近年では、非特許文献４の技術のように、多値入力データ（入力データｔ∈［－１，１］）に対して、その出力が多値出力データ（多値出力データｔ＊∈［－Ｃ，Ｃ］、Ｃ＝（ｅｘｐ（ε／２）＋１）／（ｅｘｐ（ε／２）－１）、ε：プライバシーパラメータ）となる錯乱メカニズムを実現する技術も開発されている。
【先行技術文献】
【非特許文献】
【0005】
【非特許文献1】Erlingsson Ulfar et al., "Rappor: Randomized aggregatable privacy-preserving ordinal response," Proceedings of the 2014 ACM SIGSAC conference on computer and communications security, 2014.
【非特許文献2】Cormode Graham et al., "Privacy at scale: Local differential privacy in practice," Proceedings of the 2018 International Conference on Management of Data, 2018.
【非特許文献3】J.C. Duchi et al., "Minimax optimal procedures for locally private estimation," Journal of the American Statistical Association, 2018.
【非特許文献4】Wang Ning et al., "Collecting and Analyzing Multidimensional Data with Local Differential Privacy," 2019 IEEE 35th International Conference on Data Engineering (ICDE), 2019.
【発明の概要】
【発明が解決しようとする課題】
【0006】
しかしながら、上記先行技術では、データの持つ意味が考慮されておらず、例えば、ある値（閾値）を境にデータの値の意味が大きく変化する場合、上記先行技術により、入力データを撹乱すると問題が生ずることがある。例えば、非特許文献４の技術では、出力データは高い確率で入力データに近い値を取るような確率分布に従うが、データの持つ意味を考慮できていない。例えば、入力データのドメイン（取り得る範囲）が［－１，１］の入力データに対して、ある値（閾値Ｔ、例えば、Ｔ＝０．５）を境に大きく意味が変わる場合を考える。非特許文献４の技術では、入力データｔがｔ＝０．４５である場合（ｔ＜Ｔの場合）、その出力データｔ＊が高い確率で０．５以上の値（ｔ＊≧０．５）となり、入力データと閾値との大小関係と、出力データと閾値との大小関係とが異なるものとなってしまう。このように、非特許文献４の技術では、僅かなデータの揺らぎであってもデータの持つ意味を大きく変化させてしまうような出力データを取得してしまうという問題がある。
【0007】
そこで、本発明では、上記問題点に鑑み、入力データと閾値との大小関係と、出力データと閾値との大小関係とを高い確率で維持し、プライバシー保護を実現しつつ適切なデータ錯乱メカニズムを実現する技術を実現することを目的とする。すなわち、本発明では、上記問題点に鑑み、データの閾値を考慮したノイズを付与する差分プライバシーメカニズムを実現する差分プライバシー処理装置、差分プライバシー処理方法、およびプログラムを実現することを目的とする。
【課題を解決するための手段】
【0008】
上記課題を解決するために、第１の発明は、入力データに対して差分プライバシー処理を実行する差分プライバシー処理方法であって、閾値設定ステップと、二値化処理ステップと、二値差分プライバシー処理ステップと、多値差分プライバシー処理ステップと、を備える。
【0009】
閾値設定ステップは、閾値を設定する。
【0010】
二値化処理ステップは、閾値により、入力データを二値化する処理を実行する。
【0011】
二値差分プライバシー処理ステップは、二値化処理後のデータに対して、第１プライバシーパラメータε１を用いた差分プライバシー処理であって、出力を二値とする二値差分プライバシー処理を行う。
【0012】
多値差分プライバシー処理ステップは、二値差分プライバシー処理ステップの入力データと出力データとが一致している場合、第２プライバシーパラメータε２を用いた差分プライバシー処理であって、当該差分プライバシー処理の出力データを多値とし、かつ、差分プライバシー処理の出力データのとりうる範囲である出力データ範囲に含まれる任意の出力データと閾値との大小関係を維持するように、出力データ範囲を設定し、入力データに対して、多値差分プライバシー処理を行う。
【0013】
この差分プライバシー処理方法では、閾値を考慮した二値化処理を行った後、第１プライバシーパラメータε１による二値差分プライバシー処理を行い、さらに、閾値との大小関係を維持する多値データを出力する多値差分プライバシー処理を行う。つまり、この差分プライバシー処理方法では、閾値を考慮した二値化処理を行った後、第１プライバシーパラメータε１による二値差分プライバシー処理を行うので、第１プライバシーパラメータε１にのみ依存した一定の確率で閾値を跨がない差分プライバシーを満たす摂動データを生成（取得）することができる。
【0014】
さらに、この差分プライバシー処理方法では、二値ＬＤＰ処理で閾値を跨がないデータについては、閾値との大小関係を維持しつつ、第２プライバシーパラメータε２による多値差分プライバシー処理を行うので、閾値との大小関係を維持した摂動データを生成（取得）することができる。
【0015】
したがって、この差分プライバシー処理方法では、入力データと閾値との大小関係と、出力データと閾値との大小関係とを高い確率で維持し、プライバシー保護を実現しつつ適切なデータ錯乱メカニズムを実現することができる。
【0016】
なお、データに対してランダム化する関数をｆ（）とし、入力データが関数ｆの定義域（ドメイン）において、値ｔ、または、値ｔ’をとり、関数ｆの任意の出力データをｔ＊とすると、
Ｐｒ［ｆ（ｔ）＝ｔ＊］≦ｅｘｐ（ε）×Ｐｒ［ｆ（ｔ’）＝ｔ＊］
Ｐｒ［］：確率（なお、ｆの出力が連続値をとる場合、確率密度）
ε：プライバシーパラメータ
を満たすとき、ε－局所差分プライバシーを満たすという（定義される）。
Ｐｒ［ｆ（ｔ）＝ｔ＊］≦ｅｘｐ（ε）×Ｐｒ［ｆ（ｔ’）＝ｔ＊］
Ｐｒ［］：確率（なお、ｆの出力が連続値をとる場合、確率密度）
ε：プライバシーパラメータ
を満たすとき、ε－局所差分プライバシーを満たすという（定義される）。
【0017】
したがって、「第１プライバシーパラメータε１による二値差分プライバシー処理」とは、ε１－局所差分プライバシーを満たす処理を意味し、「第２プライバシーパラメータε２による多値差分プライバシー処理」とは、ε２－局所差分プライバシーを満たす処理を意味する。
【0018】
第２の発明は、第１の発明であって、多値差分プライバシー処理ステップは、
（１）第２プライバシーパラメータε２により決定される値Ｃを導出し、
（２）多値差分プライバシー処理の入力データのとりうる範囲である入力データ範囲を［－ｄ’，ｄ’］とすると、多値差分プライバシー処理の出力データのとりうる範囲である出力データ範囲を［－ｄ’Ｃ，ｄ’Ｃ］に設定し、入力データに対して、多値差分プライバシー処理を行う。
（１）第２プライバシーパラメータε２により決定される値Ｃを導出し、
（２）多値差分プライバシー処理の入力データのとりうる範囲である入力データ範囲を［－ｄ’，ｄ’］とすると、多値差分プライバシー処理の出力データのとりうる範囲である出力データ範囲を［－ｄ’Ｃ，ｄ’Ｃ］に設定し、入力データに対して、多値差分プライバシー処理を行う。
【0019】
これにより、この差分プライバシー処理方法では、入力データ範囲を［－ｄ’，ｄ’］とし、出力データ範囲を［－ｄ’Ｃ，ｄ’Ｃ］とする多値差分プライバシー処理を行うことができる。
【0020】
第３の発明は、第２の発明であって、多値差分プライバシー処理ステップは、
閾値、または、閾値をレンジ変換して取得されるレンジ変換後閾値を値Ｔｈとし、オフセット値をｏｆｆｓｅｔとすると、
ａｂｓ（ｄ’Ｃ）≦ａｂｓ（Ｔｈ）
ａｂｓ（ｘ）：値ｘの絶対値を返す関数
または、
ａｂｓ（－ｄ’Ｃ）≦ａｂｓ（Ｔｈ－ｏｆｆｓｅｔ）
を満たすように、値ｄ’を決定する。
閾値、または、閾値をレンジ変換して取得されるレンジ変換後閾値を値Ｔｈとし、オフセット値をｏｆｆｓｅｔとすると、
ａｂｓ（ｄ’Ｃ）≦ａｂｓ（Ｔｈ）
ａｂｓ（ｘ）：値ｘの絶対値を返す関数
または、
ａｂｓ（－ｄ’Ｃ）≦ａｂｓ（Ｔｈ－ｏｆｆｓｅｔ）
を満たすように、値ｄ’を決定する。
【0021】
これにより、この差分プライバシー処理方法では、閾値、または、閾値をレンジ変換して取得されるレンジ変換後閾値（値Ｔｈ）を考慮して、値ｄ’を決定することができる。そして、この差分プライバシー処理方法では、上記のように処理することで、入力データ範囲を［－ｄ’，ｄ’］とし、出力データ範囲を［－ｄ’Ｃ，ｄ’Ｃ］とする多値差分プライバシー処理を、入力データと閾値との大小関係を維持しつつ、行うことができる。
【0022】
第４の発明は、第２または第３の発明であって、多値差分プライバシー処理ステップは、
（１）多値差分プライバシー処理の入力データが、入力データ範囲［－ｄ’，ｄ’］内に入らないデータである場合であって、多値差分プライバシー処理の入力データが入力データ範囲の上限値ｄ’を超える場合、多値差分プライバシー処理の入力データを値ｄ’とし、
（２）多値差分プライバシー処理の入力データが、入力データ範囲［－ｄ’，ｄ’］内に入らないデータである場合であって、多値差分プライバシー処理の入力データが入力データ範囲の下限値－ｄ’未満の場合、多値差分プライバシー処理の入力データを値－ｄ’とする、
上限、下限リミット処理を行う。
（１）多値差分プライバシー処理の入力データが、入力データ範囲［－ｄ’，ｄ’］内に入らないデータである場合であって、多値差分プライバシー処理の入力データが入力データ範囲の上限値ｄ’を超える場合、多値差分プライバシー処理の入力データを値ｄ’とし、
（２）多値差分プライバシー処理の入力データが、入力データ範囲［－ｄ’，ｄ’］内に入らないデータである場合であって、多値差分プライバシー処理の入力データが入力データ範囲の下限値－ｄ’未満の場合、多値差分プライバシー処理の入力データを値－ｄ’とする、
上限、下限リミット処理を行う。
【0023】
これにより、この差分プライバシー処理方法では、多値差分プライバシー処理の入力データが、入力データ範囲［－ｄ’，ｄ’］内に入らないデータである場合でも、入力データと閾値との大小関係を維持しつつ、多値差分プライバシー処理を行うことができる。
【0024】
第５の発明は、第１から第４のいずれかの発明である差分プライバシー処理方法をコンピュータに実行させるためのプログラムである。
【0025】
これにより、第１から第４のいずれかの発明と同様の効果を奏する差分プライバシー処理方法をコンピュータに実行させるためのプログラムを実現することができる。
【0026】
第６の発明は、入力データに対して差分プライバシー処理を実行する差分プライバシー処理方法であって、パラメータ設定部と、二値化処理部と、二値差分プライバシー処理部と、多値差分プライバシー処理部と、を備える。
【0027】
パラメータ設定部は、閾値を設定する。
【0028】
二値化処理部は、閾値により、入力データを二値化する処理を実行する。
【0029】
二値差分プライバシー処理部は、二値化処理後のデータに対して、第１プライバシーパラメータε１を用いた差分プライバシー処理であって、出力を二値とする差分プライバシー処理を行う。
【0030】
多値差分プライバシー処理部は、二値差分プライバシー処理部の入力データと出力データとが一致している場合、第２プライバシーパラメータε２を用いた差分プライバシー処理であって、当該差分プライバシー処理の出力データを多値とし、かつ、差分プライバシー処理の出力データのとりうる範囲である出力データ範囲に含まれる任意の出力データと閾値との大小関係を維持するように、出力データ範囲を設定し、入力データに対して、多値差分プライバシー処理を行う。
【0031】
これにより、第１の発明と同様の効果を奏する差分プライバシー処理装置を実現することができる。
【発明の効果】
【0032】
本発明によれば、入力データと閾値との大小関係と、出力データと閾値との大小関係とを高い確率で維持し、プライバシー保護を実現しつつ適切なデータ錯乱メカニズムを実現する技術を実現することができる。すなわち、本発明によれば、データの閾値を考慮したノイズを付与する差分プライバシーメカニズムを実現する差分プライバシー処理装置、差分プライバシー処理方法、およびプログラムを実現することができる。
【図面の簡単な説明】
【0033】
【図1】第１実施形態に係る差分プライバシー処理装置１００の概略構成図。
【図2】差分プライバシー処理装置１００で実行される処理のシーケンス図。
【図3】差分プライバシー処理装置１００で実行される処理のシーケンス図。
【図4】確率密度関数ｐｄｆ（ｔｉ
＊＊＝ｘ｜ｔｉ）を示す図。
【図5】入力データＤｉｎ（血圧値）が１００ｍｍＨｇ（＜Ｔｈ＿ｏｒｇ＝１３０ｍｍＨｇ）の場合の差分プライバシー処理装置１００による処理を説明するための図。
【図6】入力データＤｉｎ（血圧値）が１２５ｍｍＨｇ（＜Ｔｈ＿ｏｒｇ＝１３０ｍｍＨｇ）の場合の差分プライバシー処理装置１００による処理を説明するための図。
【図7】入力データＤｉｎ（血圧値）が１６０ｍｍＨｇ（＞Ｔｈ＿ｏｒｇ＝１３０ｍｍＨｇ）の場合の差分プライバシー処理装置１００による処理を説明するための図。
【図8】入力データＤｉｎ（血圧値）が１３５ｍｍＨｇ（＞Ｔｈ＿ｏｒｇ＝１３０ｍｍＨｇ）の場合の差分プライバシー処理装置１００による処理を説明するための図。
【図9】ユーザー端末ＵＥ１～ＵＥｎおよびアグリゲータＡｇｒ１の概略構成図。
【図10】ＣＰＵバス構成を示す図。
【発明を実施するための形態】
【0034】
［第１実施形態］
第１実施形態について、図面を参照しながら、以下、説明する。
第１実施形態について、図面を参照しながら、以下、説明する。
【0035】
＜１．１：差分プライバシー処理装置の構成＞
図１は、第１実施形態に係る差分プライバシー処理装置１００の概略構成図である。
図１は、第１実施形態に係る差分プライバシー処理装置１００の概略構成図である。
【0036】
差分プライバシー処理装置１００は、図１に示すように、パラメータ設定部１１と、データ変換部ＦＥ１と、二値化処理部１２と、二値ＬＤＰ処理部１３（ＬＤＰ：Ｌｏｃａｌ Ｄｉｆｆｅｒｅｎｔｉａｌ Ｐｒｉｖａｃｙ）と、多値ＬＤＰ処理部１４と、データ逆変換部ＢＥ１とを備える。
【0037】
パラメータ設定部１１は、各種パラメータ、閾値等を設定する機能部である。パラメータ設定部１１は、データ変換用のパラメータｐａｒａ１を設定し、当該パラメータｐａｒａ１をデータ変換部ＦＥ１に出力する。
【0038】
また、パラメータ設定部１１は、二値化処理用の閾値Ｔｈを設定し、当該閾値Ｔｈを二値化処理部１２および多値ＬＤＰ処理部１４に出力する。
【0039】
また、パラメータ設定部１１は、二値ＬＤＰ処理用のプライバシーパラメータである第１プライバシーパラメータε１を設定し、当該第１プライバシーパラメータε１を二値ＬＤＰ処理部１３に出力する。
【0040】
また、パラメータ設定部１１は、多値ＬＤＰ処理用のプライバシーパラメータである第２プライバシーパラメータε２を設定し、当該第２プライバシーパラメータε２を多値ＬＤＰ処理部１４に出力する。
【0041】
また、パラメータ設定部１１は、データ逆変換用のパラメータｐａｒａ２を設定し、当該パラメータｐａｒａ２をデータ逆変換部ＢＥ１に出力する。
【0042】
データ変換部ＦＥ１は、入力データＤｉｎを入力し、また、パラメータ設定部１１からデータ変換用パラメータｐａｒａ１を入力する。なお、入力データＤｉｎのデータ値をＤｉとすると、Ｄｉ∈［Ｄｓ，Ｄｅ］（Ｄｓ，Ｄｅ：実数、Ｄｓ≦Ｄｅ）を満たすものとする。つまり、入力データ値Ｄｉのとり得る範囲は、［Ｄｓ，Ｄｅ］（すなわち、Ｄｓ≦Ｄｉ≦Ｄｅ）であるものとする。なお、［ｘ，ｙ］は、ｘ以上ｙ以下の実数値の集合を表している（以下、同様）。
【0043】
データ変換部ＦＥ１は、入力データＤｉｎ（Ｄｉ）に対して、データ変換処理（とり得るレンジの変換処理）を行い、その取り得る範囲が［－ｄ，ｄ］（ｄ：実数）となる出力データｔｉを取得する。つまり、データ変換部ＦＥ１は、入力データＤｉｎ（Ｄｉ）に対して、下記数式に相当する処理を行い、出力データｔｉ（ｔｉ∈［－ｄ，ｄ］）を取得する。
ｔｉ＝（Ｄｉ－（Ｄｓ＋Ｄｅ）／２）×（ｄ－（－ｄ））／（Ｄｅ－Ｄｓ）
なお、データ変換部ＦＥ１は、データ変換用パラメータｐａｒａ１に基づいて、データ変換処理（とり得るレンジの変換処理）のオフセット、ゲイン（上記数式を決定する係数）、出力データのとり得る範囲を設定する。
ｔｉ＝（Ｄｉ－（Ｄｓ＋Ｄｅ）／２）×（ｄ－（－ｄ））／（Ｄｅ－Ｄｓ）
なお、データ変換部ＦＥ１は、データ変換用パラメータｐａｒａ１に基づいて、データ変換処理（とり得るレンジの変換処理）のオフセット、ゲイン（上記数式を決定する係数）、出力データのとり得る範囲を設定する。
【0044】
そして、データ変換部ＦＥ１は、取得したデータｔｉ（ｔｉ∈［－ｄ，ｄ］）を二値化処理部１２および多値ＬＤＰ処理部１４に出力する。
【0045】
二値化処理部１２は、データ変換部ＦＥ１から出力されるデータｔｉ（ｔｉ∈［－ｄ，ｄ］）と、パラメータ設定部１１から出力される閾値Ｔｈとを入力する。二値化処理部１２は、データｔｉ（ｔｉ∈［－ｄ，ｄ］）と閾値Ｔｈとを用いて、データｔｉ（ｔｉ∈［－ｄ，ｄ］）に対して二値化処理を実行し、二値化処理後のデータｔ’ｉ（ｔ’ｉ∈｛０，１｝）を取得する。なお、｛０，１｝は、とり得る値が「０」または「１」であること（その要素が「０」、「１」である集合）を示している（以下、同様）。
【0046】
そして、二値化処理部１２は、取得したデータｔ’ｉ（ｔ’ｉ∈｛０，１｝）を二値ＬＤＰ処理部１３および多値ＬＤＰ処理部１４に出力する。
【0047】
二値ＬＤＰ処理部１３は、二値化処理部１２から出力されるデータｔ’ｉ（ｔ’ｉ∈｛０，１｝）と、パラメータ設定部１１から出力される第１プライバシーパラメータε１とを入力する。二値ＬＤＰ処理部１３は、データｔ’ｉ（ｔ’ｉ∈｛０，１｝）に対して、二値ＬＤＰ処理を実行し、出力データｔｉ
＊（ｔｉ
＊∈｛０，１｝）を取得する（詳細については後述）。
【0048】
そして、二値ＬＤＰ処理部１３は、取得したデータｔｉ
＊（ｔｉ
＊∈｛０，１｝）を多値ＬＤＰ処理部１４に出力する。
【0049】
多値ＬＤＰ処理部１４は、二値化処理部１２から出力されるデータｔ’ｉ（ｔ’ｉ∈｛０，１｝）と、二値ＬＤＰ処理部１３から出力されるデータｔｉ
＊（ｔｉ
＊∈｛０，１｝）と、データ変換部ＦＥ１から出力されるデータｔｉ（ｔｉ∈［－ｄ，ｄ］）と、パラメータ設定部１１から出力される閾値Ｔｈおよび第２プライバシーパラメータε２とを入力する。多値ＬＤＰ処理部１４は、データｔ’ｉ（ｔ’ｉ∈｛０，１｝）およびデータｔｉ
＊（ｔｉ
＊∈｛０，１｝）と、閾値Ｔｈおよび第２プライバシーパラメータε２とを用いて、データｔｉ（ｔｉ∈［－ｄ，ｄ］）に対して、多値ＬＤＰ処理を実行し、出力データｔｉ
＊＊を取得する（詳細については後述）。
【0050】
そして、多値ＬＤＰ処理部１４は、取得したデータｔｉ
＊＊をデータ逆変換部ＢＥ１に出力する。
【0051】
データ逆変換部ＢＥ１は、多値ＬＤＰ処理部１４から出力されるデータｔｉ
＊＊を入力し、また、パラメータ設定部１１からデータ逆変換用パラメータｐａｒａ２を入力する。
【0052】
データ逆変換部ＢＥ１は、データｔｉ
＊＊に対して、データ逆変換処理（とり得るレンジの変換処理）（レンジをデータ変換部ＦＥ１によるデータ変換処理前のレンジに戻す処理）を行い、その取り得る範囲が［Ｄｓ，Ｄｅ］となる出力データＤｏを取得する。
【0053】
なお、データ逆変換部ＢＥ１は、データ変換用パラメータｐａｒａ２に基づいて、データ変換処理（とり得るレンジの変換処理）のオフセット、ゲイン等を設定する。
【0054】
そして、データ逆変換部ＢＥ１は、取得したデータＤｏを出力する。
【0055】
＜１．２：差分プライバシー処理装置の動作＞
以上のように構成された差分プライバシー処理装置１００の動作について、以下、説明する。
以上のように構成された差分プライバシー処理装置１００の動作について、以下、説明する。
【0056】
【0057】
以下では、差分プライバシー処理装置１００の動作を、フローチャートを参照しながら、説明する。
【0058】
説明便宜のため、閾値を境にデータの値の意味が大きく変化する例として、人間の血圧のデータを処理対象とする場合について、以下、説明する。また、人間の血圧において、高血圧か否かの閾値が１３０ｍｍＨｇであるので、差分プライバシー処理装置１００では、閾値Ｔｈ＿ｏｒｇ（＝１３０ｍｍＨｇ）とし、入力データＤｉｎの値Ｄｉのレンジを［０，２００］（つまり、０ｍｍＨｇ≦Ｄｉ≦２００ｍｍＨｇ）（Ｄｉ∈［０，２００］）として、処理（差分プライバシー処理）を実行する場合について、以下、説明する。
【0059】
（ステップＳ１）：
ステップＳ１において、データ変換処理が実行される。具体的には、以下の処理が実行される。
ステップＳ１において、データ変換処理が実行される。具体的には、以下の処理が実行される。
【0060】
データ変換部ＦＥ１は、入力データＤｉｎを入力し、また、パラメータ設定部１１からデータ変換用パラメータｐａｒａ１を入力する。入力データ値Ｄｉのとり得る範囲は、［０，２００］（［Ｄｓ，Ｄｅ］、Ｄｓ＝０、Ｄｅ＝２００）であるので、データ変換部ＦＥ１は、レンジ［Ｄｓ，Ｄｅ］（＝［０，２００］）の入力データＤｉが、正規化レンジ［－ｄ，ｄ］の出力データｔｉとなるように、下記数式に相当する処理（データ変換処理）を行う。
ｔｉ＝（Ｄｉ－（Ｄｓ＋Ｄｅ）／２）×（ｄ－（－ｄ））／（Ｄｅ－Ｄｓ）
＝（Ｄｉ－１００）×（ｄ－（－ｄ））／２００
なお、Ｄｓ、Ｄｅの値、（Ｄｓ＋Ｄｅ）／２の値、（Ｄｅ－Ｄｓ）の値、および、ｄの値は、パラメータ設定部１１により設定され、設定された上記値を含むパラメータｐａｒａ１がパラメータ設定部１１からデータ変換部ＦＥ１に出力される。
ｔｉ＝（Ｄｉ－（Ｄｓ＋Ｄｅ）／２）×（ｄ－（－ｄ））／（Ｄｅ－Ｄｓ）
＝（Ｄｉ－１００）×（ｄ－（－ｄ））／２００
なお、Ｄｓ、Ｄｅの値、（Ｄｓ＋Ｄｅ）／２の値、（Ｄｅ－Ｄｓ）の値、および、ｄの値は、パラメータ設定部１１により設定され、設定された上記値を含むパラメータｐａｒａ１がパラメータ設定部１１からデータ変換部ＦＥ１に出力される。
【0061】
データ変換部ＦＥ１は、パラメータｐａｒａ１を取得し、上記数式に相当するデータ変換処理を実行する。
【0062】
なお、説明便宜のため、ｄ＝１００として、以下説明する。データ変換部ＦＥ１は、上記処理により、入力データＤｉ（Ｄｉ∈［０，２００］）をデータ変換処理し、データ変換処理後のデータｔｉ（ｔｉ∈［－ｄ，ｄ］（ｄ＝１００］））を取得する。
【0063】
そして、データ変換部ＦＥ１は、取得したデータｔｉ（ｔｉ∈［－ｄ，ｄ］、ｄ＝１００）を二値化処理部１２および多値ＬＤＰ処理部１４に出力する。
【0064】
（ステップＳ２）：
ステップＳ２において、閾値Ｔｈによる二値化処理が実行される。具体的には、以下の処理が実行される。
ステップＳ２において、閾値Ｔｈによる二値化処理が実行される。具体的には、以下の処理が実行される。
【0065】
パラメータ設定部１１は、閾値Ｔｈ＿ｏｒｇ（＝１３０ｍｍＨｇ）をレンジ［－ｄ，ｄ］（ｄ＝１００）にレンジ変換した閾値Ｔｈ（＝３０（＝（１３０－１００）×（ｄ－（－ｄ））／２００））、ｄ＝１００）を二値化処理部１２に出力する。
【0066】
二値化処理部１２は、データ変換部ＦＥ１から出力されるデータｔｉ（ｔｉ∈［－ｄ，ｄ］、ｄ＝１００）と、パラメータ設定部１１から出力される閾値Ｔｈ（＝３０（閾値Ｔｈ＿ｏｒｇ（＝１３０ｍｍＨｇ）に対応するレンジ変換後の閾値）とを入力する。二値化処理部１２は、データｔｉ（ｔｉ∈［－ｄ，ｄ］、ｄ＝１００）と閾値Ｔｈ（＝３０）とを用いて、データｔｉ（ｔｉ∈［－ｄ，ｄ］、ｄ＝１００）に対して二値化処理を実行する。具体的には、二値化処理部１２は、
（１）ｔｉ≦Ｔｈである場合、
ｔ’ｉ＝０
（２）ｔｉ＞Ｔｈである場合、
ｔ’ｉ＝１
とする。
（１）ｔｉ≦Ｔｈである場合、
ｔ’ｉ＝０
（２）ｔｉ＞Ｔｈである場合、
ｔ’ｉ＝１
とする。
【0067】
そして、二値化処理部１２は、取得したデータｔ’ｉ（ｔ’ｉ∈｛０，１｝）を二値ＬＤＰ処理部１３および多値ＬＤＰ処理部１４に出力する。
【0068】
（ステップＳ３）：
ステップＳ３において、二値ＬＤＰ処理が実行される。具体的には、以下の処理が実行される。
ステップＳ３において、二値ＬＤＰ処理が実行される。具体的には、以下の処理が実行される。
【0069】
パラメータ設定部１１は、第１プライバシーパラメータε１を設定し（第１プライバシーパラメータε１は予め設定されていてもよい）、当該第１プライバシーパラメータε１を二値ＬＤＰ処理部１３に出力する。
【0070】
二値ＬＤＰ処理部１３は、二値化処理部１２から出力されるデータｔ’ｉ（ｔ’ｉ∈｛０，１｝）と、パラメータ設定部１１から出力される第１プライバシーパラメータε１とを入力する。二値ＬＤＰ処理部１３は、データｔ’ｉ（ｔ’ｉ∈｛０，１｝）に対して、二値ＬＤＰ処理を実行する。具体的には、二値ＬＤＰ処理部１３は、
（１）ｅｘｐ（ε１）／（ｅｘｐ（ε１）＋１）の確率で、ｔｉ ＊＝ｔ’ｉとし（入力データをそのまま出力データとし）、
（２）１／（ｅｘｐ（ε１）＋１）の確率で、ｔｉ ＊＝ＮＯＴ（ｔ’ｉ）とする（入力データを反転したデータを出力データとする）。なお、ＮＯＴ（ｘ）は、ｘを反転したデータを取得する関数であり、ｘ＝１のときＮＯＴ（ｘ）＝０であり、ｘ＝０のときＮＯＴ（ｘ）＝１である。
（１）ｅｘｐ（ε１）／（ｅｘｐ（ε１）＋１）の確率で、ｔｉ ＊＝ｔ’ｉとし（入力データをそのまま出力データとし）、
（２）１／（ｅｘｐ（ε１）＋１）の確率で、ｔｉ ＊＝ＮＯＴ（ｔ’ｉ）とする（入力データを反転したデータを出力データとする）。なお、ＮＯＴ（ｘ）は、ｘを反転したデータを取得する関数であり、ｘ＝１のときＮＯＴ（ｘ）＝０であり、ｘ＝０のときＮＯＴ（ｘ）＝１である。
【0071】
上記処理を実行するために、二値ＬＤＰ処理部１３は、例えば、レンジ［０，１］から、一様（レンジに含まれる数のそれぞれが取得される確率が一様）かつランダムに値ｘを取得し、
（１）ｘ＜ｅｘｐ（ε１）／（ｅｘｐ（ε１）＋１）を満たす場合、ｔｉ ＊＝ｔ’ｉとし（入力データをそのまま出力データとし）、
（２）ｘ＜ｅｘｐ（ε１）／（ｅｘｐ（ε１）＋１）を満たさない場合、ｔｉ ＊＝ＮＯＴ（ｔ’ｉ）とする（入力データを反転したデータを出力データとする）処理を実行すればよい。
（１）ｘ＜ｅｘｐ（ε１）／（ｅｘｐ（ε１）＋１）を満たす場合、ｔｉ ＊＝ｔ’ｉとし（入力データをそのまま出力データとし）、
（２）ｘ＜ｅｘｐ（ε１）／（ｅｘｐ（ε１）＋１）を満たさない場合、ｔｉ ＊＝ＮＯＴ（ｔ’ｉ）とする（入力データを反転したデータを出力データとする）処理を実行すればよい。
【0072】
そして、二値ＬＤＰ処理部１３は、上記により取得したデータｔｉ
＊（ｔｉ
＊∈｛０，１｝）を多値ＬＤＰ処理部１４に出力する。
【0073】
（ステップＳ４）：
ステップＳ４において、多値ＬＤＰ処理が実行される。具体的には、以下の処理が実行される。
ステップＳ４において、多値ＬＤＰ処理が実行される。具体的には、以下の処理が実行される。
【0074】
（ステップＳ４０１）：
ステップＳ４０１において、多値ＬＤＰ処理部１４は、二値ＬＤＰ処理において、出力値が閾値Ｔｈを跨ぐ値となるように、ノイズを付与すると決定されたか否かを判定する。つまり、多値ＬＤＰ処理部１４は、二値化処理部１２から出力されるデータｔ’ｉと、二値ＬＤＰ処理部１３から出力されるデータｔｉ ＊とを比較し、データｔ’ｉ（ｔ’ｉ∈｛０，１｝）の値とデータｔｉ ＊（ｔｉ ＊∈｛０，１｝）の値とが同じである否かを判定する。
ステップＳ４０１において、多値ＬＤＰ処理部１４は、二値ＬＤＰ処理において、出力値が閾値Ｔｈを跨ぐ値となるように、ノイズを付与すると決定されたか否かを判定する。つまり、多値ＬＤＰ処理部１４は、二値化処理部１２から出力されるデータｔ’ｉと、二値ＬＤＰ処理部１３から出力されるデータｔｉ ＊とを比較し、データｔ’ｉ（ｔ’ｉ∈｛０，１｝）の値とデータｔｉ ＊（ｔｉ ＊∈｛０，１｝）の値とが同じである否かを判定する。
【0075】
判定の結果、データｔ’ｉ（ｔ’ｉ∈｛０，１｝）の値とデータｔｉ
＊（ｔｉ
＊∈｛０，１｝）の値とが異なると判定された場合（ステップＳ４０１において「Ｙｅｓ」の場合）、ステップをステップＳ４０２に進める。
【0076】
一方、判定の結果、データｔ’ｉ（ｔ’ｉ∈｛０，１｝）の値とデータｔｉ
＊（ｔｉ
＊∈｛０，１｝）の値とが同じである判定された場合（ステップＳ４０１において「Ｎｏ」の場合）、ステップをステップＳ４０３に進める。
【0077】
（ステップＳ４０２）：
ステップＳ４０２において、多値ＬＤＰ処理部１４は、閾値Ｔｈ（＝３０（Ｔｈ＿ｏｒｇ＝１３０ｍｍＨｇに相当する値））（閾値Ｔｈは、パラメータ設定部１１から取得する）を超えるランダムな値を多値ＬＤＰ処理後のデータｔｉ ＊＊とする。なお、多値ＬＤＰ処理後のデータｔｉ ＊＊は、レンジ［－ｄ，ｄ］（ｄ＝１００）なので、多値ＬＤＰ処理部１４は、レンジ（Ｔｈ，ｄ］（Ｔｈよりも大きく、かつ、ｄ以下の範囲）に含まれるランダムな値を多値ＬＤＰ処理後のデータｔｉ ＊＊に設定し、処理をステップＳ４１０に進める。
ステップＳ４０２において、多値ＬＤＰ処理部１４は、閾値Ｔｈ（＝３０（Ｔｈ＿ｏｒｇ＝１３０ｍｍＨｇに相当する値））（閾値Ｔｈは、パラメータ設定部１１から取得する）を超えるランダムな値を多値ＬＤＰ処理後のデータｔｉ ＊＊とする。なお、多値ＬＤＰ処理後のデータｔｉ ＊＊は、レンジ［－ｄ，ｄ］（ｄ＝１００）なので、多値ＬＤＰ処理部１４は、レンジ（Ｔｈ，ｄ］（Ｔｈよりも大きく、かつ、ｄ以下の範囲）に含まれるランダムな値を多値ＬＤＰ処理後のデータｔｉ ＊＊に設定し、処理をステップＳ４１０に進める。
【0078】
（ステップＳ４０３）：
ステップＳ４０３において、パラメータ設定部１１は、第２プライバシーパラメータε２を設定し（第２プライバシーパラメータε２は予め設定されていてもよい）、当該第２プライバシーパラメータε２を多値ＬＤＰ処理部１４に出力する。
ステップＳ４０３において、パラメータ設定部１１は、第２プライバシーパラメータε２を設定し（第２プライバシーパラメータε２は予め設定されていてもよい）、当該第２プライバシーパラメータε２を多値ＬＤＰ処理部１４に出力する。
【0079】
多値ＬＤＰ処理部１４は、下記数式、すなわち、
Ｃ＝（ｅｘｐ（ε２／２）＋１）／（ｅｘｐ（ε２／２）－１）
に相当する処理を実行し、値Ｃを取得する。
Ｃ＝（ｅｘｐ（ε２／２）＋１）／（ｅｘｐ（ε２／２）－１）
に相当する処理を実行し、値Ｃを取得する。
【0080】
（ステップＳ４０４）：
ステップＳ４０４において、多値ＬＤＰ処理部１４は、閾値Ｔｈ（＝３０（Ｔｈ＿ｏｒｇ＝１３０ｍｍＨｇに相当する値））に基づいて、多値ＬＤＰ処理後のデータのレンジ（出力レンジ）を［－ｄ’Ｃ，ｄ’Ｃ］（または、［－ｄ’Ｃ＋ｏｆｆｓｅｔ，ｄ’Ｃ＋ｏｆｆｓｅｔ］）に設定する。具体的には、以下のように処理が実行される。
（１）閾値Ｔｈ以下の領域の処理（出力レンジを［－ｄ’Ｃ，ｄ’Ｃ］にする処理）について
多値ＬＤＰ処理部１４は、
ａｂｓ（ｄ’Ｃ）≦ａｂｓ（Ｔｈ）
を満たすように、値ｄ’を決定する。本実施形態では、閾値Ｔｈ＝３０であるので、多値ＬＤＰ処理部１４は、
ａｂｓ（ｄ’Ｃ）≦３０
を満たすように、値ｄ’を決定する。例えば、ε２＝２×ｌｏｇ（３）とすると、
Ｃ＝（ｅｘｐ（ε２／２）＋１）／（ｅｘｐ（ε２／２）－１）
＝（３＋１）／（３－１）＝２
となる。以下では、説明便宜のため、ε２＝２×ｌｏｇ（３）、Ｃ＝２の場合について、説明する。なお、ｌｏｇ（）は自然対数である。そして、この場合、ａｂｓ（ｄ’Ｃ）≦３０を満たすように、多値ＬＤＰ処理部１４は、
ｄ’＝１５
に設定したものとする。これにより、多値ＬＤＰ処理後のデータのレンジ（出力レンジ）は、［－３０，３０］（＝［－ｄ’Ｃ，ｄ’Ｃ］、ｄ’＝１５、Ｃ＝２）に設定される。
（２）閾値Ｔｈを超える領域の処理（出力レンジを［－ｄ’Ｃ＋ｏｆｆｓｅｔ，ｄ’Ｃ＋ｏｆｆｓｅｔ］にする処理）について
多値ＬＤＰ処理部１４は、
ａｂｓ（－ｄ’Ｃ）≦ａｂｓ（Ｔｈ－ｏｆｆｓｅｔ）
を満たすように、値ｄ’を決定する。ここで、オフセット値ｏｆｆｓｅｔ＝６０とする。本実施形態では、閾値Ｔｈ＝３０（Ｔｈ－ｏｆｆｓｅｔ＝－３０）であるので、多値ＬＤＰ処理部１４は、
ａｂｓ（－ｄ’Ｃ）≦３０（＝ａｂｓ（Ｔｈ－ｏｆｆｓｅｔ））
を満たすように、値ｄ’を決定する。例えば、ε２＝２×ｌｏｇ（３）とすると、
Ｃ＝（ｅｘｐ（ε２／２）＋１）／（ｅｘｐ（ε２／２）－１）
＝（３＋１）／（３－１）＝２
となる。
ステップＳ４０４において、多値ＬＤＰ処理部１４は、閾値Ｔｈ（＝３０（Ｔｈ＿ｏｒｇ＝１３０ｍｍＨｇに相当する値））に基づいて、多値ＬＤＰ処理後のデータのレンジ（出力レンジ）を［－ｄ’Ｃ，ｄ’Ｃ］（または、［－ｄ’Ｃ＋ｏｆｆｓｅｔ，ｄ’Ｃ＋ｏｆｆｓｅｔ］）に設定する。具体的には、以下のように処理が実行される。
（１）閾値Ｔｈ以下の領域の処理（出力レンジを［－ｄ’Ｃ，ｄ’Ｃ］にする処理）について
多値ＬＤＰ処理部１４は、
ａｂｓ（ｄ’Ｃ）≦ａｂｓ（Ｔｈ）
を満たすように、値ｄ’を決定する。本実施形態では、閾値Ｔｈ＝３０であるので、多値ＬＤＰ処理部１４は、
ａｂｓ（ｄ’Ｃ）≦３０
を満たすように、値ｄ’を決定する。例えば、ε２＝２×ｌｏｇ（３）とすると、
Ｃ＝（ｅｘｐ（ε２／２）＋１）／（ｅｘｐ（ε２／２）－１）
＝（３＋１）／（３－１）＝２
となる。以下では、説明便宜のため、ε２＝２×ｌｏｇ（３）、Ｃ＝２の場合について、説明する。なお、ｌｏｇ（）は自然対数である。そして、この場合、ａｂｓ（ｄ’Ｃ）≦３０を満たすように、多値ＬＤＰ処理部１４は、
ｄ’＝１５
に設定したものとする。これにより、多値ＬＤＰ処理後のデータのレンジ（出力レンジ）は、［－３０，３０］（＝［－ｄ’Ｃ，ｄ’Ｃ］、ｄ’＝１５、Ｃ＝２）に設定される。
（２）閾値Ｔｈを超える領域の処理（出力レンジを［－ｄ’Ｃ＋ｏｆｆｓｅｔ，ｄ’Ｃ＋ｏｆｆｓｅｔ］にする処理）について
多値ＬＤＰ処理部１４は、
ａｂｓ（－ｄ’Ｃ）≦ａｂｓ（Ｔｈ－ｏｆｆｓｅｔ）
を満たすように、値ｄ’を決定する。ここで、オフセット値ｏｆｆｓｅｔ＝６０とする。本実施形態では、閾値Ｔｈ＝３０（Ｔｈ－ｏｆｆｓｅｔ＝－３０）であるので、多値ＬＤＰ処理部１４は、
ａｂｓ（－ｄ’Ｃ）≦３０（＝ａｂｓ（Ｔｈ－ｏｆｆｓｅｔ））
を満たすように、値ｄ’を決定する。例えば、ε２＝２×ｌｏｇ（３）とすると、
Ｃ＝（ｅｘｐ（ε２／２）＋１）／（ｅｘｐ（ε２／２）－１）
＝（３＋１）／（３－１）＝２
となる。
【0081】
そして、ａｂｓ（－ｄ’Ｃ）≦３０を満たすように、多値ＬＤＰ処理部１４は、例えば、
ｄ’＝１５
に設定する。これにより、多値ＬＤＰ処理後のデータのレンジ（出力レンジ）は、［－３０＋ｏｆｆｓｅｔ，３０＋ｏｆｆｓｅｔ］（＝［－ｄ’Ｃ＋ｏｆｆｓｅｔ，ｄ’Ｃ＋ｏｆｆｓｅｔ］、ｄ’＝１５、Ｃ＝２、ｏｆｆｓｅｔ＝６０）に設定される。
ｄ’＝１５
に設定する。これにより、多値ＬＤＰ処理後のデータのレンジ（出力レンジ）は、［－３０＋ｏｆｆｓｅｔ，３０＋ｏｆｆｓｅｔ］（＝［－ｄ’Ｃ＋ｏｆｆｓｅｔ，ｄ’Ｃ＋ｏｆｆｓｅｔ］、ｄ’＝１５、Ｃ＝２、ｏｆｆｓｅｔ＝６０）に設定される。
【0082】
（ステップＳ４０５）：
ステップＳ４０５において、多値ＬＤＰ処理部１４は、以下の処理を行う。
（１）閾値Ｔｈ以下の領域の処理について
多値ＬＤＰ処理部１４は、多値ＬＤＰ処理の入力レンジを［－ｄ’，ｄ’］（＝［－１５，１５］（ｄ’＝１５））に設定する。さらに、多値ＬＤＰ処理部１４は、多値ＬＤＰ処理の入力データｔｉ（ｔｉ∈［－ｄ，ｄ］）の値が、設定した入力レンジ［－ｄ’，ｄ’］内とならない場合、リミット処理を行う。つまり、多値ＬＤＰ処理部１４は、
（１）ｔｉ＜－ｄ’である場合、ｔｉ＝－ｄ’とし、
（２）ｔｉ＞ｄ’である場合、ｔｉ＝ｄ’とする
上限、下限リミット処理を行う。
（２）閾値Ｔｈを超える領域の処理について
多値ＬＤＰ処理部１４は、多値ＬＤＰ処理の入力レンジを［－ｄ’＋ｏｆｆｓｅｔ，ｄ’＋ｏｆｆｓｅｔ］（＝［－１５＋ｏｆｆｓｅｔ，１５＋ｏｆｆｓｅｔ］（ｄ’＝１５、ｏｆｆｓｅｔ＝６０））に設定する。さらに、多値ＬＤＰ処理部１４は、多値ＬＤＰ処理の入力データｔｉ（ｔｉ∈［－ｄ，ｄ］）の値が、設定した入力レンジ［－ｄ’＋ｏｆｆｓｅｔ，ｄ’＋ｏｆｆｓｅｔ］内とならない場合、リミット処理を行う。つまり、多値ＬＤＰ処理部１４は、
（１）ｔｉ＜－ｄ’＋ｏｆｆｓｅｔである場合、ｔｉ＝－ｄ’＋ｏｆｆｓｅｔとし、
（２）ｔｉ＞ｄ’＋ｏｆｆｓｅｔである場合、ｔｉ＝ｄ’＋ｏｆｆｓｅｔとする
上限、下限リミット処理を行う。
ステップＳ４０５において、多値ＬＤＰ処理部１４は、以下の処理を行う。
（１）閾値Ｔｈ以下の領域の処理について
多値ＬＤＰ処理部１４は、多値ＬＤＰ処理の入力レンジを［－ｄ’，ｄ’］（＝［－１５，１５］（ｄ’＝１５））に設定する。さらに、多値ＬＤＰ処理部１４は、多値ＬＤＰ処理の入力データｔｉ（ｔｉ∈［－ｄ，ｄ］）の値が、設定した入力レンジ［－ｄ’，ｄ’］内とならない場合、リミット処理を行う。つまり、多値ＬＤＰ処理部１４は、
（１）ｔｉ＜－ｄ’である場合、ｔｉ＝－ｄ’とし、
（２）ｔｉ＞ｄ’である場合、ｔｉ＝ｄ’とする
上限、下限リミット処理を行う。
（２）閾値Ｔｈを超える領域の処理について
多値ＬＤＰ処理部１４は、多値ＬＤＰ処理の入力レンジを［－ｄ’＋ｏｆｆｓｅｔ，ｄ’＋ｏｆｆｓｅｔ］（＝［－１５＋ｏｆｆｓｅｔ，１５＋ｏｆｆｓｅｔ］（ｄ’＝１５、ｏｆｆｓｅｔ＝６０））に設定する。さらに、多値ＬＤＰ処理部１４は、多値ＬＤＰ処理の入力データｔｉ（ｔｉ∈［－ｄ，ｄ］）の値が、設定した入力レンジ［－ｄ’＋ｏｆｆｓｅｔ，ｄ’＋ｏｆｆｓｅｔ］内とならない場合、リミット処理を行う。つまり、多値ＬＤＰ処理部１４は、
（１）ｔｉ＜－ｄ’＋ｏｆｆｓｅｔである場合、ｔｉ＝－ｄ’＋ｏｆｆｓｅｔとし、
（２）ｔｉ＞ｄ’＋ｏｆｆｓｅｔである場合、ｔｉ＝ｄ’＋ｏｆｆｓｅｔとする
上限、下限リミット処理を行う。
【0083】
（ステップＳ４０６）：
ステップＳ４０６において、多値ＬＤＰ処理部１４は、レンジ［０，１］から、一様（レンジに含まれる数のそれぞれが取得される確率が一様）かつランダムに値ｘ’を取得する。
ステップＳ４０６において、多値ＬＤＰ処理部１４は、レンジ［０，１］から、一様（レンジに含まれる数のそれぞれが取得される確率が一様）かつランダムに値ｘ’を取得する。
【0084】
（ステップＳ４０７）：
ステップＳ４０７において、多値ＬＤＰ処理部１４は、ステップＳ４０６で取得した値ｘ’がｅｘｐ（ε２／２）／（ｅｘｐ（ε２／２）＋１）よりも小さい値である否かを判定する。
ステップＳ４０７において、多値ＬＤＰ処理部１４は、ステップＳ４０６で取得した値ｘ’がｅｘｐ（ε２／２）／（ｅｘｐ（ε２／２）＋１）よりも小さい値である否かを判定する。
【0085】
そして、多値ＬＤＰ処理部１４は、
（１）値ｘ’がｅｘｐ（ε２／２）／（ｅｘｐ（ε２／２）＋１）よりも小さい値である場合（ｘ＜ｅｘｐ（ε２／２）／（ｅｘｐ（ε２／２）＋１）を満たす場合）、処理をステップＳ４０８に進め、
（２）値ｘ’がｅｘｐ（ε２／２）／（ｅｘｐ（ε２／２）＋１）よりも小さい値ではない場合（ｘ≧ｅｘｐ（ε２／２）／（ｅｘｐ（ε２／２）＋１）を満たす場合）、処理をステップＳ４０９に進める。
（１）値ｘ’がｅｘｐ（ε２／２）／（ｅｘｐ（ε２／２）＋１）よりも小さい値である場合（ｘ＜ｅｘｐ（ε２／２）／（ｅｘｐ（ε２／２）＋１）を満たす場合）、処理をステップＳ４０８に進め、
（２）値ｘ’がｅｘｐ（ε２／２）／（ｅｘｐ（ε２／２）＋１）よりも小さい値ではない場合（ｘ≧ｅｘｐ（ε２／２）／（ｅｘｐ（ε２／２）＋１）を満たす場合）、処理をステップＳ４０９に進める。
【0086】
（ステップＳ４０８）：
ステップＳ４０８において、多値ＬＤＰ処理部１４は、高確率密度分布領域から、一様かつランダムに取得した値を多値ＬＤＰ処理の出力データｔｉ ＊＊に設定する。
ステップＳ４０８において、多値ＬＤＰ処理部１４は、高確率密度分布領域から、一様かつランダムに取得した値を多値ＬＤＰ処理の出力データｔｉ ＊＊に設定する。
【0087】
具体的には、以下の処理が実行される。
（１）閾値Ｔｈ以下の領域の処理について
多値ＬＤＰ処理部１４は、入力データ、出力データを、
入力データｔｉ∈［－ｄ’，ｄ’］（上限、下限リミット処理後のデータ）
出力データｔｉ ＊＊∈［－ｄ’Ｃ，ｄ’Ｃ］
とし、下記数式で規定される確率密度関数ｐｄｆ（ｔｉ ＊＊＝ｘ｜ｔｉ）（入力データｔｉが与えられたとき、出力データｔｉ ＊＊がｘである確率密度を返す関数）を用いて、多値ＬＤＰ処理を行う。
高確率密度分布領域は、上記において、確率密度関数ｐｄｆ（ｔｉ
＊＊＝ｘ｜ｔｉ）＝ｐとなる領域、すなわち、レンジ［ｌｅｆｔ（ｔｉ），ｒｉｇｈｔ（ｔｉ）］に相当する。なお、図４に、確率密度関数ｐｄｆ（ｔｉ
＊＊＝ｘ｜ｔｉ）を示す。図４（ａ）は、入力データｔｉ＝０の場合の確率密度関数ｐｄｆ（ｔｉ
＊＊＝ｘ｜ｔｉ）を示しており、図４（ｂ）は、入力データｔｉ＝０．５ｄ’の場合の確率密度関数ｐｄｆ（ｔｉ
＊＊＝ｘ｜ｔｉ）を示しており、図４（ｃ）は、入力データｔｉ＝１．０ｄ’の場合の確率密度関数ｐｄｆ（ｔｉ
＊＊＝ｘ｜ｔｉ）を示している。
（１）閾値Ｔｈ以下の領域の処理について
多値ＬＤＰ処理部１４は、入力データ、出力データを、
入力データｔｉ∈［－ｄ’，ｄ’］（上限、下限リミット処理後のデータ）
出力データｔｉ ＊＊∈［－ｄ’Ｃ，ｄ’Ｃ］
とし、下記数式で規定される確率密度関数ｐｄｆ（ｔｉ ＊＊＝ｘ｜ｔｉ）（入力データｔｉが与えられたとき、出力データｔｉ ＊＊がｘである確率密度を返す関数）を用いて、多値ＬＤＰ処理を行う。
【数1】
【0088】
図４において、「高密度分布領域」で示した領域が、確率密度関数ｐｄｆ（ｔｉ
＊＊＝ｘ｜ｔｉ）＝ｐとなる領域、すなわち、レンジ［ｌｅｆｔ（ｔｉ），ｒｉｇｈｔ（ｔｉ）］に相当する。また、図４において、「低密度分布領域」で示した領域が、確率密度関数ｐｄｆ（ｔｉ
＊＊＝ｘ｜ｔｉ）＝ｐ／ｅｘｐ（ε２）となる領域、すなわち、レンジ［－ｄ’Ｃ，ｌｅｆｔ（ｔｉ））∪（ｒｉｇｈｔ（ｔｉ），ｄ’Ｃ］に相当する。
【0089】
そして、多値ＬＤＰ処理部１４は、高確率密度分布領域（レンジ［ｌｅｆｔ（ｔｉ），ｒｉｇｈｔ（ｔｉ）］）から、一様かつランダムに取得した値を多値ＬＤＰ処理の出力データｔｉ
＊＊に設定する。これにより、閾値との大小関係を維持しつつ、入力データに対応する出力データに近い値が出力データｔｉ
＊＊として取得される。
（２）閾値Ｔｈを超える領域の処理について
多値ＬＤＰ処理部１４は、入力データ、出力データを、
入力データｔｉ∈［－ｄ’＋ｏｆｆｓｅｔ，ｄ’＋ｏｆｆｓｅｔ］（上限、下限リミット処理後のデータ）
出力データｔｉ ＊＊∈［－ｄ’Ｃ＋ｏｆｆｓｅｔ，ｄ’Ｃ＋ｏｆｆｓｅｔ］
とし、下記数式で規定される確率密度関数ｐｄｆ（ｔｉ ＊＊＝ｘ｜ｔｉ）（入力データｔｉが与えられたとき、出力データｔｉ ＊＊がｘである確率密度を返す関数）を用いて、多値ＬＤＰ処理を行う。
（２）閾値Ｔｈを超える領域の処理について
多値ＬＤＰ処理部１４は、入力データ、出力データを、
入力データｔｉ∈［－ｄ’＋ｏｆｆｓｅｔ，ｄ’＋ｏｆｆｓｅｔ］（上限、下限リミット処理後のデータ）
出力データｔｉ ＊＊∈［－ｄ’Ｃ＋ｏｆｆｓｅｔ，ｄ’Ｃ＋ｏｆｆｓｅｔ］
とし、下記数式で規定される確率密度関数ｐｄｆ（ｔｉ ＊＊＝ｘ｜ｔｉ）（入力データｔｉが与えられたとき、出力データｔｉ ＊＊がｘである確率密度を返す関数）を用いて、多値ＬＤＰ処理を行う。
【0090】
なお、下記数式では、
ｔｉ←ｔｉ－ｏｆｆｓｅｔ
とし、すなわち、値ｔｉを、値ｔｉ－ｏｆｆｓｅｔに置換して、多値ＬＤＰ処理部１４は、下記数式に相当する処理を行う。
高確率密度分布領域は、上記において、確率密度関数ｐｄｆ（ｔｉ
＊＊＝ｘ｜ｔｉ）＝ｐとなる領域、すなわち、レンジ［ｌｅｆｔ（ｔｉ），ｒｉｇｈｔ（ｔｉ）］に相当する。
ｔｉ←ｔｉ－ｏｆｆｓｅｔ
とし、すなわち、値ｔｉを、値ｔｉ－ｏｆｆｓｅｔに置換して、多値ＬＤＰ処理部１４は、下記数式に相当する処理を行う。
【数2】
【0091】
そして、多値ＬＤＰ処理部１４は、高確率密度分布領域（レンジ［ｌｅｆｔ（ｔｉ），ｒｉｇｈｔ（ｔｉ）］）から、一様かつランダムに取得した値を多値ＬＤＰ処理の出力データｔｉ
＊＊に設定する。さらに、多値ＬＤＰ処理部１４は、オフセット調整を行い、
ｔｉ ＊＊←ｔｉ ＊＊＋ｏｆｆｓｅｔ
とし、すなわち、値ｔｉ ＊＊を、値ｔｉ ＊＊＋ｏｆｆｓｅｔに置換する。そして、多値ＬＤＰ処理部１４は、オフセット調整後（上記置換後）の値ｔｉ ＊＊を、多値ＬＤＰ処理の出力データｔｉ ＊＊に設定する。
ｔｉ ＊＊←ｔｉ ＊＊＋ｏｆｆｓｅｔ
とし、すなわち、値ｔｉ ＊＊を、値ｔｉ ＊＊＋ｏｆｆｓｅｔに置換する。そして、多値ＬＤＰ処理部１４は、オフセット調整後（上記置換後）の値ｔｉ ＊＊を、多値ＬＤＰ処理の出力データｔｉ ＊＊に設定する。
【0092】
これにより、閾値との大小関係を維持しつつ、入力データに対応する出力データに近い値が出力データｔｉ
＊＊として取得される。
【0093】
（ステップＳ４０９）：
ステップＳ４０９において、多値ＬＤＰ処理部１４は、低確率密度分布領域から、一様かつランダムに取得した値を多値ＬＤＰ処理の出力データｔｉ ＊＊に設定する。
ステップＳ４０９において、多値ＬＤＰ処理部１４は、低確率密度分布領域から、一様かつランダムに取得した値を多値ＬＤＰ処理の出力データｔｉ ＊＊に設定する。
【0094】
具体的には、以下の処理が実行される。
（１）閾値Ｔｈ以下の領域の処理について
多値ＬＤＰ処理部１４は、入力データ、出力データを、
入力データｔｉ∈［－ｄ’，ｄ’］（上限、下限リミット処理後のデータ）
出力データｔｉ ＊＊∈［－ｄ’Ｃ，ｄ’Ｃ］
とし、上記（数式１）で規定される確率密度関数ｐｄｆ（ｔｉ ＊＊＝ｘ｜ｔｉ）（入力データｔｉが与えられたとき、出力データｔｉ ＊＊がｘである確率密度を返す関数）を用いて、多値ＬＤＰ処理を行う。
（１）閾値Ｔｈ以下の領域の処理について
多値ＬＤＰ処理部１４は、入力データ、出力データを、
入力データｔｉ∈［－ｄ’，ｄ’］（上限、下限リミット処理後のデータ）
出力データｔｉ ＊＊∈［－ｄ’Ｃ，ｄ’Ｃ］
とし、上記（数式１）で規定される確率密度関数ｐｄｆ（ｔｉ ＊＊＝ｘ｜ｔｉ）（入力データｔｉが与えられたとき、出力データｔｉ ＊＊がｘである確率密度を返す関数）を用いて、多値ＬＤＰ処理を行う。
【0095】
低確率密度分布領域は、上記（数式１）で示したように、確率密度関数ｐｄｆ（ｔｉ
＊＊＝ｘ｜ｔｉ）＝ｐ／ｅｘｐ（ε２）となる領域、すなわち、レンジ［－ｄ’Ｃ，ｌｅｆｔ（ｔｉ））∪（ｒｉｇｈｔ（ｔｉ），ｄ’Ｃ］に相当する。
【0096】
そして、多値ＬＤＰ処理部１４は、低確率密度分布領域（レンジ［－ｄ’Ｃ，ｌｅｆｔ（ｔｉ））∪（ｒｉｇｈｔ（ｔｉ），ｄ’Ｃ］から、一様かつランダムに取得した値を多値ＬＤＰ処理の出力データｔｉ
＊＊に設定する。これにより、閾値との大小関係を維持しつつ、ノイズを付与し大きく摂動させた出力データｔｉ
＊＊が取得される。
（２）閾値Ｔｈを超える領域の処理について
多値ＬＤＰ処理部１４は、入力データ、出力データを、
入力データｔｉ∈［－ｄ’＋ｏｆｆｓｅｔ，ｄ’＋ｏｆｆｓｅｔ］（上限、下限リミット処理後のデータ）
出力データｔｉ ＊＊∈［－ｄ’Ｃ＋ｏｆｆｓｅｔ，ｄ’Ｃ＋ｏｆｆｓｅｔ］
とし、上記（数式２）で規定される確率密度関数ｐｄｆ（ｔｉ ＊＊＝ｘ｜ｔｉ）（入力データｔｉが与えられたとき、出力データｔｉ ＊＊がｘである確率密度を返す関数）を用いて、多値ＬＤＰ処理を行う。
（２）閾値Ｔｈを超える領域の処理について
多値ＬＤＰ処理部１４は、入力データ、出力データを、
入力データｔｉ∈［－ｄ’＋ｏｆｆｓｅｔ，ｄ’＋ｏｆｆｓｅｔ］（上限、下限リミット処理後のデータ）
出力データｔｉ ＊＊∈［－ｄ’Ｃ＋ｏｆｆｓｅｔ，ｄ’Ｃ＋ｏｆｆｓｅｔ］
とし、上記（数式２）で規定される確率密度関数ｐｄｆ（ｔｉ ＊＊＝ｘ｜ｔｉ）（入力データｔｉが与えられたとき、出力データｔｉ ＊＊がｘである確率密度を返す関数）を用いて、多値ＬＤＰ処理を行う。
【0097】
なお、上記（数式２）では、
ｔｉ←ｔｉ－ｏｆｆｓｅｔ
とし、すなわち、値ｔｉを、値ｔｉ－ｏｆｆｓｅｔに置換して、多値ＬＤＰ処理部１４は、下記数式に相当する処理を行う。
ｔｉ←ｔｉ－ｏｆｆｓｅｔ
とし、すなわち、値ｔｉを、値ｔｉ－ｏｆｆｓｅｔに置換して、多値ＬＤＰ処理部１４は、下記数式に相当する処理を行う。
【0098】
低確率密度分布領域は、上記（数式２）で示したように、確率密度関数ｐｄｆ（ｔｉ
＊＊＝ｘ｜ｔｉ）＝ｐ／ｅｘｐ（ε２）となる領域、すなわち、レンジ［－ｄ’Ｃ，ｌｅｆｔ（ｔｉ））∪（ｒｉｇｈｔ（ｔｉ），ｄ’Ｃ］に相当する。
【0099】
そして、多値ＬＤＰ処理部１４は、低確率密度分布領域（レンジ［－ｄ’Ｃ，ｌｅｆｔ（ｔｉ））∪（ｒｉｇｈｔ（ｔｉ），ｄ’Ｃ］から、一様かつランダムに取得した値を多値ＬＤＰ処理の出力データｔｉ
＊＊に設定する。さらに、多値ＬＤＰ処理部１４は、オフセット調整を行い、
ｔｉ ＊＊←ｔｉ ＊＊＋ｏｆｆｓｅｔ
とし、すなわち、値ｔｉ ＊＊を、値ｔｉ ＊＊＋ｏｆｆｓｅｔに置換する。そして、多値ＬＤＰ処理部１４は、オフセット調整後（上記置換後）の値ｔｉ ＊＊を、多値ＬＤＰ処理の出力データｔｉ ＊＊に設定する。
ｔｉ ＊＊←ｔｉ ＊＊＋ｏｆｆｓｅｔ
とし、すなわち、値ｔｉ ＊＊を、値ｔｉ ＊＊＋ｏｆｆｓｅｔに置換する。そして、多値ＬＤＰ処理部１４は、オフセット調整後（上記置換後）の値ｔｉ ＊＊を、多値ＬＤＰ処理の出力データｔｉ ＊＊に設定する。
【0100】
これにより、閾値との大小関係を維持しつつ、ノイズを付与し大きく摂動させた出力データｔｉ
＊＊が取得される。
【0101】
（ステップＳ４１０）：
ステップＳ４１０において、多値ＬＤＰ処理部１４は、ステップＳ４０２、ステップＳ４０８、またはステップＳ４０９で取得（設定）した出力データｔｉ ＊＊をデータ逆変換部ＢＥ１に出力する。
ステップＳ４１０において、多値ＬＤＰ処理部１４は、ステップＳ４０２、ステップＳ４０８、またはステップＳ４０９で取得（設定）した出力データｔｉ ＊＊をデータ逆変換部ＢＥ１に出力する。
【0102】
（ステップＳ５）：
ステップＳ５において、データ逆変換処理（とり得るレンジの変換処理）（レンジをデータ変換部ＦＥ１によるデータ変換処理前のレンジに戻す処理）が実行される。具体的には、以下の処理が実行される。
ステップＳ５において、データ逆変換処理（とり得るレンジの変換処理）（レンジをデータ変換部ＦＥ１によるデータ変換処理前のレンジに戻す処理）が実行される。具体的には、以下の処理が実行される。
【0103】
データ逆変換部ＢＥ１は、多値ＬＤＰ処理部１４から出力されるデータｔｉ
＊＊を入力し、また、パラメータ設定部１１からデータ逆変換用パラメータｐａｒａ２を入力する。
【0104】
データ逆変換部ＢＥ１は、データｔｉ
＊＊に対して、データ逆変換処理（とり得るレンジの変換処理）（レンジをデータ変換部ＦＥ１によるデータ変換処理前のレンジに戻す処理）を行い、その取り得る範囲が［Ｄｓ，Ｄｅ］となる出力データＤｏを取得する。
【0105】
なお、データ逆変換部ＢＥ１は、データ変換用パラメータｐａｒａ２に基づいて、データ変換処理（とり得るレンジの変換処理）のオフセット、ゲイン等を設定する。
【0106】
そして、データ逆変換部ＢＥ１は、取得したデータＤｏを出力する。
【0107】
以上により、差分プライバシー処理装置１００により差分プライバシー処理が実行される。
【0108】
【0109】
図５は、入力データＤｉｎ（血圧値）が１００ｍｍＨｇ（＜Ｔｈ＿ｏｒｇ＝１３０ｍｍＨｇ）の場合の差分プライバシー処理装置１００による処理を説明するための図である。
【0110】
図６は、入力データＤｉｎ（血圧値）が１２５ｍｍＨｇ（＜Ｔｈ＿ｏｒｇ＝１３０ｍｍＨｇ）の場合の差分プライバシー処理装置１００による処理を説明するための図である。
【0111】
図７は、入力データＤｉｎ（血圧値）が１６０ｍｍＨｇ（＞Ｔｈ＿ｏｒｇ＝１３０ｍｍＨｇ）の場合の差分プライバシー処理装置１００による処理を説明するための図である。
【0112】
図８は、入力データＤｉｎ（血圧値）が１３５ｍｍＨｇ（＞Ｔｈ＿ｏｒｇ＝１３０ｍｍＨｇ）の場合の差分プライバシー処理装置１００による処理を説明するための図である。
【0113】
≪Ａ１：入力データＤｉｎが１００ｍｍＨｇ（＜Ｔｈ＿ｏｒｇ＝１３０ｍｍＨｇ）の場合≫
入力データＤｉｎが１００ｍｍＨｇ（＜Ｔｈ＿ｏｒｇ＝１３０ｍｍＨｇ）の場合、図５に示すように、データ変換部ＦＥ１によるデータ変換処理後の出力データｔｉは、
ｔｉ＝０（＝１００－１００）
となる（ステップＳ１）。
入力データＤｉｎが１００ｍｍＨｇ（＜Ｔｈ＿ｏｒｇ＝１３０ｍｍＨｇ）の場合、図５に示すように、データ変換部ＦＥ１によるデータ変換処理後の出力データｔｉは、
ｔｉ＝０（＝１００－１００）
となる（ステップＳ１）。
【0114】
また、閾値Ｔｈは、Ｔｈ＝Ｔｈ＿ｏｒｇ－１００＝３０であり、
ｔｉ＜Ｔｈ（＝３０）
であるので、二値化処理部１２は、ｔｉ’＝０に設定する（ステップＳ２）。
ｔｉ＜Ｔｈ（＝３０）
であるので、二値化処理部１２は、ｔｉ’＝０に設定する（ステップＳ２）。
【0115】
（Ａ１．１）（図５の（３Ａ）の場合に相当）：
二値ＬＤＰ処理部１３による二値ＬＤＰ処理により、ｔｉ ＊＝ＮＯＴ（ｔ’ｉ）となった場合（ｔｉ ＊＝ＮＯＴ（ｔ’ｉ）となる確率：１／（ｅｘｐ（ε１）＋１））、すなわち、ｔｉ ＊＝ＮＯＴ（ｔ’ｉ）＝１（ｔｉ’＝０）となった場合、多値ＬＤＰ処理部１４は、ｔｉ ＊＊として、Ｔｈを超える値をランダムに選択し、例えば、ｔｉ ＊＊＝５０（＞Ｔｈ＝３０）に設定する（ステップＳ４０２）。
二値ＬＤＰ処理部１３による二値ＬＤＰ処理により、ｔｉ ＊＝ＮＯＴ（ｔ’ｉ）となった場合（ｔｉ ＊＝ＮＯＴ（ｔ’ｉ）となる確率：１／（ｅｘｐ（ε１）＋１））、すなわち、ｔｉ ＊＝ＮＯＴ（ｔ’ｉ）＝１（ｔｉ’＝０）となった場合、多値ＬＤＰ処理部１４は、ｔｉ ＊＊として、Ｔｈを超える値をランダムに選択し、例えば、ｔｉ ＊＊＝５０（＞Ｔｈ＝３０）に設定する（ステップＳ４０２）。
【0116】
そして、データ逆変換部ＢＥ１によるデータ逆変換処理により、
Ｄｏ＝１５０ｍｍＨｇ（＝ｔｉ ＊＊＋１００）
として、出力データＤｏｕｔ＝Ｄｏ＝１５０ｍｍＨｇが取得される（ステップＳ５）。つまり、二値ＬＤＰ処理による摂動データ（閾値Ｔｈを超えるようにノイズが付与された摂動データ）が取得される。
Ｄｏ＝１５０ｍｍＨｇ（＝ｔｉ ＊＊＋１００）
として、出力データＤｏｕｔ＝Ｄｏ＝１５０ｍｍＨｇが取得される（ステップＳ５）。つまり、二値ＬＤＰ処理による摂動データ（閾値Ｔｈを超えるようにノイズが付与された摂動データ）が取得される。
【0117】
（Ａ１．２）（図５の（３Ｂ）の場合に相当）：
二値ＬＤＰ処理部１３による二値ＬＤＰ処理により、ｔｉ ＊＝ｔ’ｉとなった場合（ｔｉ ＊＝ｔ’ｉとなる確率：ｅｘｐ（ε１）／（ｅｘｐ（ε１）＋１））、すなわち、ｔｉ ＊＝ｔ’ｉ＝０となった場合、多値ＬＤＰ処理部１４は、ε２（＝２×ｌｏｇ（３））に基づいて、値Ｃを
Ｃ＝（ｅｘｐ（ε２／２）＋１）／（ｅｘｐ（ε２／２）－１）＝２
に設定する（ステップＳ４０３）。
二値ＬＤＰ処理部１３による二値ＬＤＰ処理により、ｔｉ ＊＝ｔ’ｉとなった場合（ｔｉ ＊＝ｔ’ｉとなる確率：ｅｘｐ（ε１）／（ｅｘｐ（ε１）＋１））、すなわち、ｔｉ ＊＝ｔ’ｉ＝０となった場合、多値ＬＤＰ処理部１４は、ε２（＝２×ｌｏｇ（３））に基づいて、値Ｃを
Ｃ＝（ｅｘｐ（ε２／２）＋１）／（ｅｘｐ（ε２／２）－１）＝２
に設定する（ステップＳ４０３）。
【0118】
そして、多値ＬＤＰ処理部１４は、
ａｂｓ（ｄ’Ｃ）≦ａｂｓ（Ｔｈ）
を満たすように、値ｄ’を決定する。閾値Ｔｈ＝３０であるので、多値ＬＤＰ処理部１４は、
ａｂｓ（ｄ’Ｃ）≦３０
を満たすように、値ｄ’を決定する。多値ＬＤＰ処理部１４は、例えば、
ｄ’＝１５
に設定する。これにより、多値ＬＤＰ処理後のデータのレンジ（出力レンジ）は、［－３０，３０］（＝［－ｄ’Ｃ，ｄ’Ｃ］、ｄ’＝１５、Ｃ＝２）に設定される（ステップＳ４０４）。
ａｂｓ（ｄ’Ｃ）≦ａｂｓ（Ｔｈ）
を満たすように、値ｄ’を決定する。閾値Ｔｈ＝３０であるので、多値ＬＤＰ処理部１４は、
ａｂｓ（ｄ’Ｃ）≦３０
を満たすように、値ｄ’を決定する。多値ＬＤＰ処理部１４は、例えば、
ｄ’＝１５
に設定する。これにより、多値ＬＤＰ処理後のデータのレンジ（出力レンジ）は、［－３０，３０］（＝［－ｄ’Ｃ，ｄ’Ｃ］、ｄ’＝１５、Ｃ＝２）に設定される（ステップＳ４０４）。
【0119】
そして、多値ＬＤＰ処理部１４は、多値ＬＤＰ処理の入力レンジを［－ｄ’，ｄ’］（＝［－１５，１５］（ｄ’＝１５））に設定する。さらに、多値ＬＤＰ処理部１４は、多値ＬＤＰ処理の入力データｔｉ（ｔｉ∈［－ｄ，ｄ］）の値が、設定した入力レンジ［－ｄ’，ｄ’］内とならない場合、リミット処理を行う。つまり、多値ＬＤＰ処理部１４は、
（１）ｔｉ＜－ｄ’である場合、ｔｉ＝－ｄ’とし、
（２）ｔｉ＞ｄ’である場合、ｔｉ＝ｄ’とする
上限、下限リミット処理を行う。
（１）ｔｉ＜－ｄ’である場合、ｔｉ＝－ｄ’とし、
（２）ｔｉ＞ｄ’である場合、ｔｉ＝ｄ’とする
上限、下限リミット処理を行う。
【0120】
図５の場合、ｔｉ＝０であり、多値ＬＤＰ処理の入力データｔｉ（ｔｉ∈［－ｄ，ｄ］）の値が、設定した入力レンジ［－ｄ’，ｄ’］内であるので、上限、下限リミット処理後のデータｔｉは変化せず、ｔｉ＝０である（ステップＳ４０５）。
【0121】
そして、多値ＬＤＰ処理部１４は、ステップＳ４０６、Ｓ４０７の処理により、（１）ｅｘｐ（ε２／２）／（ｅｘｐ（ε２／２）＋１）の確率で、ステップＳ４０８の処理を実行し、（２）１／（ｅｘｐ（ε２／２）＋１）の確率で、ステップＳ４０９の処理を実行する。
【0122】
図５は、ステップＳ４０８の処理が実行された場合を示している（図５の右下図）。この場合、多値ＬＤＰ処理部１４は、高確率密度分布領域（レンジ［ｌｅｆｔ（ｔｉ），ｒｉｇｈｔ（ｔｉ）］）から、一様かつランダムに取得した値を多値ＬＤＰ処理の出力データｔｉ
＊＊に設定する。例えば、多値ＬＤＰ処理部１４は、ｔｉ
＊＊＝８に設定する（図５の右下図）。ｔｉ
＊＊＝８は、レンジ［－ｄ’Ｃ，ｄ’Ｃ］に含まれており、多値ＬＤＰ処理部１４による多値ＬＤＰ処理後のデータｔｉ
＊＊が、閾値Ｔｈを超えないデータとなることが保証されている。
【0123】
これにより、閾値との大小関係を維持しつつ、入力データｔｉ（＝０）（１００ｍｍＨｇに対応）に対応する出力データに近い値が出力データｔｉ
＊＊（＝８）（１０８ｍｍＨｇに対応）として取得される。
【0124】
そして、データ逆変換部ＢＥ１によるデータ逆変換処理により、
Ｄｏ＝１０８ｍｍＨｇ（＝ｔｉ ＊＊＋１００）
として、出力データＤｏｕｔ＝Ｄｏ＝１０８ｍｍＨｇが取得される（ステップＳ５）。
Ｄｏ＝１０８ｍｍＨｇ（＝ｔｉ ＊＊＋１００）
として、出力データＤｏｕｔ＝Ｄｏ＝１０８ｍｍＨｇが取得される（ステップＳ５）。
【0125】
つまり、閾値との大小関係を維持しつつ、入力データＤｉ（＝１００ｍｍＨｇ）に対応する出力データに近い値が出力データＤＯ（＝１０８ｍｍＨｇに対応）として取得される。
【0126】
なお、ステップＳ４０６、Ｓ４０７の処理により、１／（ｅｘｐ（ε２／２）＋１）の確率で、ステップＳ４０９の処理が実行されることになった場合においても、出力データｔｉ
＊＊はレンジ［－ｄ’Ｃ，ｄ’Ｃ］となることが保証されるので、出力データＤｏが閾値Ｔｈ＿ｏｒｇ（＝１３０ｍｍＨｇ）以下のデータとなることが保証され、その結果、閾値との大小関係を維持しつつ、摂動データＤＯが取得される。
【0127】
≪Ａ２：入力データＤｉｎが１２５ｍｍＨｇ（＜Ｔｈ＿ｏｒｇ＝１３０ｍｍＨｇ）の場合≫
入力データＤｉｎが１２５ｍｍＨｇ（＜Ｔｈ＿ｏｒｇ＝１３０ｍｍＨｇ）の場合(入力データＤｉｎが閾値Ｔｈ＿ｏｒｇ近傍の値である場合)、図６に示すように、データ変換部ＦＥ１によるデータ変換処理後の出力データｔｉは、
ｔｉ＝２５（＝１２５－１００）
となる（ステップＳ１）。
入力データＤｉｎが１２５ｍｍＨｇ（＜Ｔｈ＿ｏｒｇ＝１３０ｍｍＨｇ）の場合(入力データＤｉｎが閾値Ｔｈ＿ｏｒｇ近傍の値である場合)、図６に示すように、データ変換部ＦＥ１によるデータ変換処理後の出力データｔｉは、
ｔｉ＝２５（＝１２５－１００）
となる（ステップＳ１）。
【0128】
また、閾値Ｔｈは、Ｔｈ＝Ｔｈ＿ｏｒｇ－１００＝３０であり、
ｔｉ＜Ｔｈ（＝３０）
であるので、二値化処理部１２は、ｔｉ’＝０に設定する（ステップＳ２）。
ｔｉ＜Ｔｈ（＝３０）
であるので、二値化処理部１２は、ｔｉ’＝０に設定する（ステップＳ２）。
【0129】
（Ａ２．１）（図６の（３Ａ）の場合に相当）：
二値ＬＤＰ処理部１３による二値ＬＤＰ処理により、ｔｉ ＊＝ＮＯＴ（ｔ’ｉ）となった場合（ｔｉ ＊＝ＮＯＴ（ｔ’ｉ）となる確率：１／（ｅｘｐ（ε１）＋１））、すなわち、ｔｉ ＊＝ＮＯＴ（ｔ’ｉ）＝１（ｔｉ’＝０）となった場合、多値ＬＤＰ処理部１４は、ｔｉ ＊＊として、Ｔｈを超える値をランダムに選択し、例えば、ｔｉ ＊＊＝５０（＞Ｔｈ＝３０）に設定する（ステップＳ４０２）。
二値ＬＤＰ処理部１３による二値ＬＤＰ処理により、ｔｉ ＊＝ＮＯＴ（ｔ’ｉ）となった場合（ｔｉ ＊＝ＮＯＴ（ｔ’ｉ）となる確率：１／（ｅｘｐ（ε１）＋１））、すなわち、ｔｉ ＊＝ＮＯＴ（ｔ’ｉ）＝１（ｔｉ’＝０）となった場合、多値ＬＤＰ処理部１４は、ｔｉ ＊＊として、Ｔｈを超える値をランダムに選択し、例えば、ｔｉ ＊＊＝５０（＞Ｔｈ＝３０）に設定する（ステップＳ４０２）。
【0130】
そして、データ逆変換部ＢＥ１によるデータ逆変換処理により、
Ｄｏ＝１５０ｍｍＨｇ（＝ｔｉ ＊＊＋１００）
として、出力データＤｏｕｔ＝Ｄｏ＝１５０ｍｍＨｇが取得される（ステップＳ５）。つまり、二値ＬＤＰ処理による摂動データ（閾値Ｔｈを超えるようにノイズが付与された摂動データ）が取得される。
Ｄｏ＝１５０ｍｍＨｇ（＝ｔｉ ＊＊＋１００）
として、出力データＤｏｕｔ＝Ｄｏ＝１５０ｍｍＨｇが取得される（ステップＳ５）。つまり、二値ＬＤＰ処理による摂動データ（閾値Ｔｈを超えるようにノイズが付与された摂動データ）が取得される。
【0131】
（Ａ２．２）（図６の（３Ｂ）の場合に相当）：
二値ＬＤＰ処理部１３による二値ＬＤＰ処理により、ｔｉ ＊＝ｔ’ｉとなった場合（ｔｉ ＊＝ｔ’ｉとなる確率：ｅｘｐ（ε１）／（ｅｘｐ（ε１）＋１））、すなわち、ｔｉ ＊＝ｔ’ｉ＝１となった場合、多値ＬＤＰ処理部１４は、ε２（＝２×ｌｏｇ（３））に基づいて、値Ｃを
Ｃ＝（ｅｘｐ（ε２／２）＋１）／（ｅｘｐ（ε２／２）－１）＝２
に設定する（ステップＳ４０３）。
二値ＬＤＰ処理部１３による二値ＬＤＰ処理により、ｔｉ ＊＝ｔ’ｉとなった場合（ｔｉ ＊＝ｔ’ｉとなる確率：ｅｘｐ（ε１）／（ｅｘｐ（ε１）＋１））、すなわち、ｔｉ ＊＝ｔ’ｉ＝１となった場合、多値ＬＤＰ処理部１４は、ε２（＝２×ｌｏｇ（３））に基づいて、値Ｃを
Ｃ＝（ｅｘｐ（ε２／２）＋１）／（ｅｘｐ（ε２／２）－１）＝２
に設定する（ステップＳ４０３）。
【0132】
そして、 多値ＬＤＰ処理部１４は、
ａｂｓ（ｄ’Ｃ）≦ａｂｓ（Ｔｈ）
を満たすように、値ｄ’を決定する。閾値Ｔｈ＝３０であるので、多値ＬＤＰ処理部１４は、
ａｂｓ（ｄ’Ｃ）≦３０
を満たすように、値ｄ’を決定する。多値ＬＤＰ処理部１４は、例えば、
ｄ’＝１５
に設定する。これにより、多値ＬＤＰ処理後のデータのレンジ（出力レンジ）は、［－３０，３０］（＝［－ｄ’Ｃ，ｄ’Ｃ］、ｄ’＝１５、Ｃ＝２）に設定される（ステップＳ４０４）。
ａｂｓ（ｄ’Ｃ）≦ａｂｓ（Ｔｈ）
を満たすように、値ｄ’を決定する。閾値Ｔｈ＝３０であるので、多値ＬＤＰ処理部１４は、
ａｂｓ（ｄ’Ｃ）≦３０
を満たすように、値ｄ’を決定する。多値ＬＤＰ処理部１４は、例えば、
ｄ’＝１５
に設定する。これにより、多値ＬＤＰ処理後のデータのレンジ（出力レンジ）は、［－３０，３０］（＝［－ｄ’Ｃ，ｄ’Ｃ］、ｄ’＝１５、Ｃ＝２）に設定される（ステップＳ４０４）。
【0133】
そして、多値ＬＤＰ処理部１４は、多値ＬＤＰ処理の入力レンジを［－ｄ’，ｄ’］（＝［－１５，１５］（ｄ’＝１５））に設定する。さらに、多値ＬＤＰ処理部１４は、多値ＬＤＰ処理の入力データｔｉ（ｔｉ∈［－ｄ，ｄ］）の値が、設定した入力レンジ［－ｄ’，ｄ’］内とならない場合、リミット処理を行う。つまり、多値ＬＤＰ処理部１４は、
（１）ｔｉ＜－ｄ’である場合、ｔｉ＝－ｄ’とし、
（２）ｔｉ＞ｄ’である場合、ｔｉ＝ｄ’とする
上限、下限リミット処理を行う。
（１）ｔｉ＜－ｄ’である場合、ｔｉ＝－ｄ’とし、
（２）ｔｉ＞ｄ’である場合、ｔｉ＝ｄ’とする
上限、下限リミット処理を行う。
【0134】
図６の場合、ｔｉ＝２５であり、多値ＬＤＰ処理の入力データｔｉ（ｔｉ∈［－ｄ，ｄ］＝［－１５，１５］）の値が、設定した入力レンジ［－ｄ’，ｄ’］内ではないので（上限を超えているので）、上限、下限リミット処理後のデータｔｉは、ｔｉ＝１５である（ステップＳ４０５）。
【0135】
そして、多値ＬＤＰ処理部１４は、ステップＳ４０６、Ｓ４０７の処理により、（１）ｅｘｐ（ε２／２）／（ｅｘｐ（ε２／２）＋１）の確率で、ステップＳ４０８の処理を実行し、（２）１／（ｅｘｐ（ε２／２）＋１）の確率で、ステップＳ４０９の処理を実行する。
【0136】
図６は、ステップＳ４０８の処理が実行された場合を示している（図６の右下図）。この場合、多値ＬＤＰ処理部１４は、高確率密度分布領域（レンジ［ｌｅｆｔ（ｔｉ），ｒｉｇｈｔ（ｔｉ）］）から、一様かつランダムに取得した値を多値ＬＤＰ処理の出力データｔｉ
＊＊に設定する。例えば、多値ＬＤＰ処理部１４は、ｔｉ
＊＊＝２３に設定する（図５の右下図）。ｔｉ
＊＊＝２３は、レンジ［－ｄ’Ｃ，ｄ’Ｃ］に含まれており、多値ＬＤＰ処理部１４による多値ＬＤＰ処理後のデータｔｉ
＊＊が、閾値Ｔｈを超えないデータとなることが保証されている。
【0137】
これにより、閾値との大小関係を維持しつつ、入力データｔｉ（＝２５）（１２５ｍｍＨｇに対応）に対応する出力データに近い値が出力データｔｉ
＊＊（＝２３）（１２３ｍｍＨｇに対応）として取得される。
【0138】
そして、データ逆変換部ＢＥ１によるデータ逆変換処理により、
Ｄｏ＝１２３ｍｍＨｇ（＝ｔｉ ＊＊＋１００）
として、出力データＤｏｕｔ＝Ｄｏ＝１２３ｍｍＨｇが取得される（ステップＳ５）。
Ｄｏ＝１２３ｍｍＨｇ（＝ｔｉ ＊＊＋１００）
として、出力データＤｏｕｔ＝Ｄｏ＝１２３ｍｍＨｇが取得される（ステップＳ５）。
【0139】
つまり、閾値との大小関係を維持しつつ、入力データＤｉ（＝１２５ｍｍＨｇ）に対応する出力データに近い値が出力データＤＯ（＝１２３ｍｍＨｇに対応）として取得される。
【0140】
なお、ステップＳ４０６、Ｓ４０７の処理により、１／（ｅｘｐ（ε２／２）＋１）の確率で、ステップＳ４０９の処理が実行されることになった場合においても、出力データｔｉ
＊＊はレンジ［－ｄ’Ｃ，ｄ’Ｃ］となることが保証されるので、出力データＤｏが閾値Ｔｈ＿ｏｒｇ（＝１３０ｍｍＨｇ）以下のデータとなることが保証され、その結果、閾値との大小関係を維持しつつ、摂動データＤＯが取得される。
【0141】
≪Ｂ１：入力データＤｉｎが１６０ｍｍＨｇ（＞Ｔｈ＿ｏｒｇ＝１３０ｍｍＨｇ）の場合≫
入力データＤｉｎが１６０ｍｍＨｇ（＞Ｔｈ＿ｏｒｇ＝１３０ｍｍＨｇ）の場合、図７に示すように、データ変換部ＦＥ１によるデータ変換処理後の出力データｔｉは、
ｔｉ＝６０（＝１６０－１００）
となる（ステップＳ１）。
入力データＤｉｎが１６０ｍｍＨｇ（＞Ｔｈ＿ｏｒｇ＝１３０ｍｍＨｇ）の場合、図７に示すように、データ変換部ＦＥ１によるデータ変換処理後の出力データｔｉは、
ｔｉ＝６０（＝１６０－１００）
となる（ステップＳ１）。
【0142】
また、閾値Ｔｈは、Ｔｈ＝Ｔｈ＿ｏｒｇ－１００＝３０であり、
ｔｉ＞Ｔｈ（＝３０）
であるので、二値化処理部１２は、ｔｉ’＝１に設定する（ステップＳ２）。
ｔｉ＞Ｔｈ（＝３０）
であるので、二値化処理部１２は、ｔｉ’＝１に設定する（ステップＳ２）。
【0143】
（Ｂ１．１）（図７の（３Ａ）の場合に相当）：
二値ＬＤＰ処理部１３による二値ＬＤＰ処理により、ｔｉ ＊＝ＮＯＴ（ｔ’ｉ）となった場合（ｔｉ ＊＝ＮＯＴ（ｔ’ｉ）となる確率：１／（ｅｘｐ（ε１）＋１））、すなわち、ｔｉ ＊＝ＮＯＴ（ｔ’ｉ）＝０（ｔｉ’＝１）となった場合、多値ＬＤＰ処理部１４は、ｔｉ ＊＊として、Ｔｈ以下の値をランダムに選択し、例えば、ｔｉ ＊＊＝０（＜Ｔｈ＝３０）に設定する（ステップＳ４０２）。
二値ＬＤＰ処理部１３による二値ＬＤＰ処理により、ｔｉ ＊＝ＮＯＴ（ｔ’ｉ）となった場合（ｔｉ ＊＝ＮＯＴ（ｔ’ｉ）となる確率：１／（ｅｘｐ（ε１）＋１））、すなわち、ｔｉ ＊＝ＮＯＴ（ｔ’ｉ）＝０（ｔｉ’＝１）となった場合、多値ＬＤＰ処理部１４は、ｔｉ ＊＊として、Ｔｈ以下の値をランダムに選択し、例えば、ｔｉ ＊＊＝０（＜Ｔｈ＝３０）に設定する（ステップＳ４０２）。
【0144】
そして、データ逆変換部ＢＥ１によるデータ逆変換処理により、
Ｄｏ＝１００ｍｍＨｇ（＝ｔｉ ＊＊＋１００）
として、出力データＤｏｕｔ＝Ｄｏ＝１００ｍｍＨｇが取得される（ステップＳ５）。つまり、二値ＬＤＰ処理による摂動データ（閾値Ｔｈを超えるようにノイズが付与された摂動データ）が取得される。
Ｄｏ＝１００ｍｍＨｇ（＝ｔｉ ＊＊＋１００）
として、出力データＤｏｕｔ＝Ｄｏ＝１００ｍｍＨｇが取得される（ステップＳ５）。つまり、二値ＬＤＰ処理による摂動データ（閾値Ｔｈを超えるようにノイズが付与された摂動データ）が取得される。
【0145】
（Ｂ１．２）（図７の（３Ｂ）の場合に相当）：
二値ＬＤＰ処理部１３による二値ＬＤＰ処理により、ｔｉ ＊＝ｔ’ｉとなった場合（ｔｉ ＊＝ｔ’ｉとなる確率：ｅｘｐ（ε１）／（ｅｘｐ（ε１）＋１））、すなわち、ｔｉ ＊＝ｔ’ｉ＝１となった場合、多値ＬＤＰ処理部１４は、ε２（＝２×ｌｏｇ（３））に基づいて、値Ｃを
Ｃ＝（ｅｘｐ（ε２／２）＋１）／（ｅｘｐ（ε２／２）－１）＝２
に設定する（ステップＳ４０３）。
二値ＬＤＰ処理部１３による二値ＬＤＰ処理により、ｔｉ ＊＝ｔ’ｉとなった場合（ｔｉ ＊＝ｔ’ｉとなる確率：ｅｘｐ（ε１）／（ｅｘｐ（ε１）＋１））、すなわち、ｔｉ ＊＝ｔ’ｉ＝１となった場合、多値ＬＤＰ処理部１４は、ε２（＝２×ｌｏｇ（３））に基づいて、値Ｃを
Ｃ＝（ｅｘｐ（ε２／２）＋１）／（ｅｘｐ（ε２／２）－１）＝２
に設定する（ステップＳ４０３）。
【0146】
そして、多値ＬＤＰ処理部１４は、
ａｂｓ（－ｄ’Ｃ）≦ａｂｓ（Ｔｈ－ｏｆｆｓｅｔ）
を満たすように、値ｄ’を決定する。ここで、オフセット値ｏｆｆｓｅｔ＝６０とする。閾値Ｔｈ＝３０（Ｔｈ－ｏｆｆｓｅｔ＝－３０）であるので、多値ＬＤＰ処理部１４は、
ａｂｓ（－ｄ’Ｃ）≦３０（＝ａｂｓ（Ｔｈ－ｏｆｆｓｅｔ））
を満たすように、値ｄ’を決定する。第２プライバシーパラメータε２＝２×ｌｏｇ（３）であり、Ｃ＝２であるので、多値ＬＤＰ処理部１４は、例えば、
ｄ’＝１５
に設定する。これにより、多値ＬＤＰ処理後のデータのレンジ（出力レンジ）は、［－３０＋ｏｆｆｓｅｔ，３０＋ｏｆｆｓｅｔ］（＝［－ｄ’Ｃ＋ｏｆｆｓｅｔ，ｄ’Ｃ＋ｏｆｆｓｅｔ］、ｄ’＝１５、Ｃ＝２、ｏｆｆｓｅｔ＝６０）に設定される（ステップＳ４０４）。
ａｂｓ（－ｄ’Ｃ）≦ａｂｓ（Ｔｈ－ｏｆｆｓｅｔ）
を満たすように、値ｄ’を決定する。ここで、オフセット値ｏｆｆｓｅｔ＝６０とする。閾値Ｔｈ＝３０（Ｔｈ－ｏｆｆｓｅｔ＝－３０）であるので、多値ＬＤＰ処理部１４は、
ａｂｓ（－ｄ’Ｃ）≦３０（＝ａｂｓ（Ｔｈ－ｏｆｆｓｅｔ））
を満たすように、値ｄ’を決定する。第２プライバシーパラメータε２＝２×ｌｏｇ（３）であり、Ｃ＝２であるので、多値ＬＤＰ処理部１４は、例えば、
ｄ’＝１５
に設定する。これにより、多値ＬＤＰ処理後のデータのレンジ（出力レンジ）は、［－３０＋ｏｆｆｓｅｔ，３０＋ｏｆｆｓｅｔ］（＝［－ｄ’Ｃ＋ｏｆｆｓｅｔ，ｄ’Ｃ＋ｏｆｆｓｅｔ］、ｄ’＝１５、Ｃ＝２、ｏｆｆｓｅｔ＝６０）に設定される（ステップＳ４０４）。
【0147】
そして、多値ＬＤＰ処理部１４は、多値ＬＤＰ処理の入力レンジを［－ｄ’＋ｏｆｆｓｅｔ，ｄ’＋ｏｆｆｓｅｔ］（＝［－１５＋ｏｆｆｓｅｔ，１５＋ｏｆｆｓｅｔ］（ｄ’＝１５、ｏｆｆｓｅｔ＝６０））に設定する。さらに、多値ＬＤＰ処理部１４は、多値ＬＤＰ処理の入力データｔｉ（ｔｉ∈［－ｄ，ｄ］）の値が、設定した入力レンジ［－ｄ’＋ｏｆｆｓｅｔ，ｄ’＋ｏｆｆｓｅｔ］内とならない場合、リミット処理を行う。つまり、多値ＬＤＰ処理部１４は、
（１）ｔｉ＜－ｄ’＋ｏｆｆｓｅｔである場合、ｔｉ＝－ｄ’＋ｏｆｆｓｅｔとし、
（２）ｔｉ＞ｄ’＋ｏｆｆｓｅｔである場合、ｔｉ＝ｄ’＋ｏｆｆｓｅｔとする
上限、下限リミット処理を行う。
（１）ｔｉ＜－ｄ’＋ｏｆｆｓｅｔである場合、ｔｉ＝－ｄ’＋ｏｆｆｓｅｔとし、
（２）ｔｉ＞ｄ’＋ｏｆｆｓｅｔである場合、ｔｉ＝ｄ’＋ｏｆｆｓｅｔとする
上限、下限リミット処理を行う。
【0148】
図７の場合、ｔｉ＝６０であり、多値ＬＤＰ処理の入力データｔｉ（ｔｉ∈［－ｄ，ｄ］）の値が、設定した入力レンジ［－ｄ’＋ｏｆｆｓｅｔ，ｄ’＋ｏｆｆｓｅｔ］内であるので、上限、下限リミット処理後のデータｔｉは変化せず、ｔｉ＝６０である（ステップＳ４０５）。
【0149】
そして、多値ＬＤＰ処理部１４は、ステップＳ４０６、Ｓ４０７の処理により、（１）ｅｘｐ（ε２／２）／（ｅｘｐ（ε２／２）＋１）の確率で、ステップＳ４０８の処理を実行し、（２）１／（ｅｘｐ（ε２／２）＋１）の確率で、ステップＳ４０９の処理を実行する。
【0150】
図７は、ステップＳ４０８の処理が実行された場合を示している（図７の右下図）。この場合、多値ＬＤＰ処理部１４は、高確率密度分布領域（レンジ［ｌｅｆｔ（ｔｉ），ｒｉｇｈｔ（ｔｉ）］）から、一様かつランダムに取得した値を多値ＬＤＰ処理の出力データｔｉ
＊＊に設定する。なお、多値ＬＤＰ処理部１４は、
ｔｉ←ｔｉ－ｏｆｆｓｅｔ
とし、すなわち、値ｔｉを、値ｔｉ－ｏｆｆｓｅｔに置換して、（数式２）に相当する処理を行う。
ｔｉ←ｔｉ－ｏｆｆｓｅｔ
とし、すなわち、値ｔｉを、値ｔｉ－ｏｆｆｓｅｔに置換して、（数式２）に相当する処理を行う。
【0151】
例えば、多値ＬＤＰ処理部１４は、ｔｉ
＊＊＝－８に設定する（図７の右下図）。ｔｉ
＊＊＝－８は、レンジ［－ｄ’Ｃ，ｄ’Ｃ］に含まれており、多値ＬＤＰ処理部１４による多値ＬＤＰ処理後のデータｔｉ
＊＊が、閾値Ｔｈを超えないデータとなることが保証されている。
【0152】
これにより、閾値との大小関係を維持しつつ、入力データｔｉ（＝６０）（１６０ｍｍＨｇに対応）に対応する出力データに近い値が出力データｔｉ
＊＊（＝－８＋ｏｆｆｓｅｔ＝５２）（１５２ｍｍＨｇに対応）として取得される。
【0153】
そして、データ逆変換部ＢＥ１によるデータ逆変換処理により、
Ｄｏ＝１５２ｍｍＨｇ（＝ｔｉ ＊＊＋１００）
として、出力データＤｏｕｔ＝Ｄｏ＝１５２ｍｍＨｇが取得される（ステップＳ５）。
Ｄｏ＝１５２ｍｍＨｇ（＝ｔｉ ＊＊＋１００）
として、出力データＤｏｕｔ＝Ｄｏ＝１５２ｍｍＨｇが取得される（ステップＳ５）。
【0154】
つまり、閾値との大小関係を維持しつつ、入力データＤｉ（＝１６０ｍｍＨｇ）に対応する出力データに近い値が出力データＤＯ（＝１５２ｍｍＨｇに対応）として取得される。
【0155】
なお、ステップＳ４０６、Ｓ４０７の処理により、１／（ｅｘｐ（ε２／２）＋１）の確率で、ステップＳ４０９の処理が実行されることになった場合においても、出力データｔｉ
＊＊はレンジ［－ｄ’Ｃ＋ｏｆｆｓｅｔ，ｄ’Ｃ＋ｏｆｆｓｅｔ］となることが保証されるので、出力データＤｏが閾値Ｔｈ＿ｏｒｇ（＝１３０ｍｍＨｇ）を超えるデータとなることが保証され、その結果、閾値との大小関係を維持しつつ、摂動データＤＯが取得される。
【0156】
≪Ｂ２：入力データＤｉｎが１３５ｍｍＨｇ（＞Ｔｈ＿ｏｒｇ＝１３０ｍｍＨｇ）の場合≫
入力データＤｉｎが１３５ｍｍＨｇ（＞Ｔｈ＿ｏｒｇ＝１３０ｍｍＨｇ）の場合(入力データＤｉｎが閾値Ｔｈ＿ｏｒｇ近傍の値である場合)、図８に示すように、データ変換部ＦＥ１によるデータ変換処理後の出力データｔｉは、
ｔｉ＝３５（＝１３５－１００）
となる（ステップＳ１）。
入力データＤｉｎが１３５ｍｍＨｇ（＞Ｔｈ＿ｏｒｇ＝１３０ｍｍＨｇ）の場合(入力データＤｉｎが閾値Ｔｈ＿ｏｒｇ近傍の値である場合)、図８に示すように、データ変換部ＦＥ１によるデータ変換処理後の出力データｔｉは、
ｔｉ＝３５（＝１３５－１００）
となる（ステップＳ１）。
【0157】
また、閾値Ｔｈは、Ｔｈ＝Ｔｈ＿ｏｒｇ－１００＝３０であり、
ｔｉ＞Ｔｈ（＝３０）
であるので、二値化処理部１２は、ｔｉ’＝１に設定する（ステップＳ２）。
ｔｉ＞Ｔｈ（＝３０）
であるので、二値化処理部１２は、ｔｉ’＝１に設定する（ステップＳ２）。
【0158】
（Ｂ２．１）（図８の（３Ａ）の場合に相当）：
二値ＬＤＰ処理部１３による二値ＬＤＰ処理により、ｔｉ ＊＝ＮＯＴ（ｔ’ｉ）となった場合（ｔｉ ＊＝ＮＯＴ（ｔ’ｉ）となる確率：１／（ｅｘｐ（ε１）＋１））、すなわち、ｔｉ ＊＝ＮＯＴ（ｔ’ｉ）＝０（ｔｉ’＝１）となった場合、多値ＬＤＰ処理部１４は、ｔｉ ＊＊として、Ｔｈ以下の値をランダムに選択し、例えば、ｔｉ ＊＊＝０（＜Ｔｈ＝３０）に設定する（ステップＳ４０２）。
二値ＬＤＰ処理部１３による二値ＬＤＰ処理により、ｔｉ ＊＝ＮＯＴ（ｔ’ｉ）となった場合（ｔｉ ＊＝ＮＯＴ（ｔ’ｉ）となる確率：１／（ｅｘｐ（ε１）＋１））、すなわち、ｔｉ ＊＝ＮＯＴ（ｔ’ｉ）＝０（ｔｉ’＝１）となった場合、多値ＬＤＰ処理部１４は、ｔｉ ＊＊として、Ｔｈ以下の値をランダムに選択し、例えば、ｔｉ ＊＊＝０（＜Ｔｈ＝３０）に設定する（ステップＳ４０２）。
【0159】
そして、データ逆変換部ＢＥ１によるデータ逆変換処理により、
Ｄｏ＝１００ｍｍＨｇ（＝ｔｉ ＊＊＋１００）
として、出力データＤｏｕｔ＝Ｄｏ＝１００ｍｍＨｇが取得される（ステップＳ５）。つまり、二値ＬＤＰ処理による摂動データ（閾値Ｔｈを超えるようにノイズが付与された摂動データ）が取得される。
Ｄｏ＝１００ｍｍＨｇ（＝ｔｉ ＊＊＋１００）
として、出力データＤｏｕｔ＝Ｄｏ＝１００ｍｍＨｇが取得される（ステップＳ５）。つまり、二値ＬＤＰ処理による摂動データ（閾値Ｔｈを超えるようにノイズが付与された摂動データ）が取得される。
【0160】
（Ｂ２．２）（図８の（３Ｂ）の場合に相当）：
二値ＬＤＰ処理部１３による二値ＬＤＰ処理により、ｔｉ ＊＝ｔ’ｉとなった場合（ｔｉ ＊＝ｔ’ｉとなる確率：ｅｘｐ（ε１）／（ｅｘｐ（ε１）＋１））、すなわち、ｔｉ ＊＝ｔ’ｉ＝１となった場合、多値ＬＤＰ処理部１４は、第２プライバシーパラメータε２（＝２×ｌｏｇ（３））に基づいて、値Ｃを
Ｃ＝（ｅｘｐ（ε２／２）＋１）／（ｅｘｐ（ε２／２）－１）＝２
に設定する（ステップＳ４０３）。
二値ＬＤＰ処理部１３による二値ＬＤＰ処理により、ｔｉ ＊＝ｔ’ｉとなった場合（ｔｉ ＊＝ｔ’ｉとなる確率：ｅｘｐ（ε１）／（ｅｘｐ（ε１）＋１））、すなわち、ｔｉ ＊＝ｔ’ｉ＝１となった場合、多値ＬＤＰ処理部１４は、第２プライバシーパラメータε２（＝２×ｌｏｇ（３））に基づいて、値Ｃを
Ｃ＝（ｅｘｐ（ε２／２）＋１）／（ｅｘｐ（ε２／２）－１）＝２
に設定する（ステップＳ４０３）。
【0161】
そして、多値ＬＤＰ処理部１４は、
ａｂｓ（－ｄ’Ｃ）≦ａｂｓ（Ｔｈ－ｏｆｆｓｅｔ）
を満たすように、値ｄ’を決定する。ここで、オフセット値ｏｆｆｓｅｔ＝６０とする。閾値Ｔｈ＝３０（Ｔｈ－ｏｆｆｓｅｔ＝－３０）であるので、多値ＬＤＰ処理部１４は、
ａｂｓ（－ｄ’Ｃ）≦３０（＝ａｂｓ（Ｔｈ－ｏｆｆｓｅｔ））
を満たすように、値ｄ’を決定する。第２プライバシーパラメータε２＝２×ｌｏｇ（３）であり、Ｃ＝２であるので、多値ＬＤＰ処理部１４は、例えば、
ｄ’＝１５
に設定する。これにより、多値ＬＤＰ処理後のデータのレンジ（出力レンジ）は、［－３０＋ｏｆｆｓｅｔ，３０＋ｏｆｆｓｅｔ］（＝［－ｄ’Ｃ＋ｏｆｆｓｅｔ，ｄ’Ｃ＋ｏｆｆｓｅｔ］、ｄ’＝１５、Ｃ＝２、ｏｆｆｓｅｔ＝６０）に設定される（ステップＳ４０４）。
ａｂｓ（－ｄ’Ｃ）≦ａｂｓ（Ｔｈ－ｏｆｆｓｅｔ）
を満たすように、値ｄ’を決定する。ここで、オフセット値ｏｆｆｓｅｔ＝６０とする。閾値Ｔｈ＝３０（Ｔｈ－ｏｆｆｓｅｔ＝－３０）であるので、多値ＬＤＰ処理部１４は、
ａｂｓ（－ｄ’Ｃ）≦３０（＝ａｂｓ（Ｔｈ－ｏｆｆｓｅｔ））
を満たすように、値ｄ’を決定する。第２プライバシーパラメータε２＝２×ｌｏｇ（３）であり、Ｃ＝２であるので、多値ＬＤＰ処理部１４は、例えば、
ｄ’＝１５
に設定する。これにより、多値ＬＤＰ処理後のデータのレンジ（出力レンジ）は、［－３０＋ｏｆｆｓｅｔ，３０＋ｏｆｆｓｅｔ］（＝［－ｄ’Ｃ＋ｏｆｆｓｅｔ，ｄ’Ｃ＋ｏｆｆｓｅｔ］、ｄ’＝１５、Ｃ＝２、ｏｆｆｓｅｔ＝６０）に設定される（ステップＳ４０４）。
【0162】
そして、多値ＬＤＰ処理部１４は、多値ＬＤＰ処理の入力レンジを［－ｄ’＋ｏｆｆｓｅｔ，ｄ’＋ｏｆｆｓｅｔ］（＝［－１５＋ｏｆｆｓｅｔ，１５＋ｏｆｆｓｅｔ］（ｄ’＝１５、ｏｆｆｓｅｔ＝６０））に設定する。さらに、多値ＬＤＰ処理部１４は、多値ＬＤＰ処理の入力データｔｉ（ｔｉ∈［－ｄ，ｄ］）の値が、設定した入力レンジ［－ｄ’＋ｏｆｆｓｅｔ，ｄ’＋ｏｆｆｓｅｔ］内とならない場合、リミット処理を行う。つまり、多値ＬＤＰ処理部１４は、
（１）ｔｉ＜－ｄ’＋ｏｆｆｓｅｔである場合、ｔｉ＝－ｄ’＋ｏｆｆｓｅｔとし、
（２）ｔｉ＞ｄ’＋ｏｆｆｓｅｔである場合、ｔｉ＝ｄ’＋ｏｆｆｓｅｔとする
上限、下限リミット処理を行う。
（１）ｔｉ＜－ｄ’＋ｏｆｆｓｅｔである場合、ｔｉ＝－ｄ’＋ｏｆｆｓｅｔとし、
（２）ｔｉ＞ｄ’＋ｏｆｆｓｅｔである場合、ｔｉ＝ｄ’＋ｏｆｆｓｅｔとする
上限、下限リミット処理を行う。
【0163】
図８の場合、ｔｉ＝３５であり、多値ＬＤＰ処理の入力データｔｉ（ｔｉ∈［－ｄ，ｄ］）の値が、設定した入力レンジ［－ｄ’＋ｏｆｆｓｅｔ，ｄ’＋ｏｆｆｓｅｔ］内ではないので（上限を下回っているので）、上限、下限リミット処理後のデータｔｉは、ｔｉ＝４５（＝－ｄ’＋ｏｆｆｓｅｔ＝－１５＋６０）である（ステップＳ４０５）。
【0164】
そして、多値ＬＤＰ処理部１４は、ステップＳ４０６、Ｓ４０７の処理により、（１）ｅｘｐ（ε２／２）／（ｅｘｐ（ε２／２）＋１）の確率で、ステップＳ４０８の処理を実行し、（２）１／（ｅｘｐ（ε２／２）＋１）の確率で、ステップＳ４０９の処理を実行する。
【0165】
図８は、ステップＳ４０８の処理が実行された場合を示している（図８の右下図）。この場合、多値ＬＤＰ処理部１４は、高確率密度分布領域（レンジ［ｌｅｆｔ（ｔｉ），ｒｉｇｈｔ（ｔｉ）］）から、一様かつランダムに取得した値を多値ＬＤＰ処理の出力データｔｉ
＊＊に設定する。なお、多値ＬＤＰ処理部１４は、
ｔｉ←ｔｉ－ｏｆｆｓｅｔ
とし、すなわち、値ｔｉを、値ｔｉ－ｏｆｆｓｅｔに置換して、（数式２）に相当する処理を行う。
ｔｉ←ｔｉ－ｏｆｆｓｅｔ
とし、すなわち、値ｔｉを、値ｔｉ－ｏｆｆｓｅｔに置換して、（数式２）に相当する処理を行う。
【0166】
例えば、多値ＬＤＰ処理部１４は、ｔｉ
＊＊＝－２２に設定する（図８の右下図）。ｔｉ
＊＊＝－２２は、レンジ［－ｄ’Ｃ，ｄ’Ｃ］に含まれており、多値ＬＤＰ処理部１４による多値ＬＤＰ処理後のデータｔｉ
＊＊が、閾値Ｔｈを超えるデータとなることが保証されている。
【0167】
これにより、閾値との大小関係を維持しつつ、入力データｔｉ（＝３５）（１３５ｍｍＨｇに対応）に対応する出力データに近い値が出力データｔｉ
＊＊（＝－２２＋ｏｆｆｓｅｔ＝３８）（１３８ｍｍＨｇに対応）として取得される。
【0168】
そして、データ逆変換部ＢＥ１によるデータ逆変換処理により、
Ｄｏ＝１３８ｍｍＨｇ（＝ｔｉ ＊＊＋１００）
として、出力データＤｏｕｔ＝Ｄｏ＝１３８ｍｍＨｇが取得される（ステップＳ５）。
Ｄｏ＝１３８ｍｍＨｇ（＝ｔｉ ＊＊＋１００）
として、出力データＤｏｕｔ＝Ｄｏ＝１３８ｍｍＨｇが取得される（ステップＳ５）。
【0169】
つまり、閾値との大小関係を維持しつつ、入力データＤｉ（＝１３５ｍｍＨｇ）に対応する出力データに近い値が出力データＤＯ（＝１３８ｍｍＨｇに対応）として取得される。
【0170】
なお、ステップＳ４０６、Ｓ４０７の処理により、１／（ｅｘｐ（ε２／２）＋１）の確率で、ステップＳ４０９の処理が実行されることになった場合においても、出力データｔｉ
＊＊はレンジ［－ｄ’Ｃ＋ｏｆｆｓｅｔ，ｄ’Ｃ＋ｏｆｆｓｅｔ］となることが保証されるので、出力データＤｏが閾値Ｔｈ＿ｏｒｇ（＝１３０ｍｍＨｇ）を超えるデータとなることが保証され、その結果、閾値との大小関係を維持しつつ、摂動データＤＯが取得される。
【0171】
≪まとめ≫
以上のように、差分プライバシー処理装置１００では、閾値を考慮した二値化処理を行った後、第１プライバシーパラメータε１による二値ＬＤＰ処理を行い、さらに、閾値との大小関係を維持する多値データを出力する多値ＬＤＰ処理を行う。つまり、差分プライバシー処理装置１００では、閾値を考慮した二値化処理を行った後、第１プライバシーパラメータε１による二値ＬＤＰ処理を行うので、第１プライバシーパラメータε１にのみ依存した一定の確率で閾値を跨がない差分プライバシーを満たす摂動データを生成（取得）することができる。
以上のように、差分プライバシー処理装置１００では、閾値を考慮した二値化処理を行った後、第１プライバシーパラメータε１による二値ＬＤＰ処理を行い、さらに、閾値との大小関係を維持する多値データを出力する多値ＬＤＰ処理を行う。つまり、差分プライバシー処理装置１００では、閾値を考慮した二値化処理を行った後、第１プライバシーパラメータε１による二値ＬＤＰ処理を行うので、第１プライバシーパラメータε１にのみ依存した一定の確率で閾値を跨がない差分プライバシーを満たす摂動データを生成（取得）することができる。
【0172】
さらに、差分プライバシー処理装置１００では、二値ＬＤＰ処理で閾値を跨がないデータについては、閾値との大小関係を維持しつつ、第２プライバシーパラメータε２による多値ＬＤＰ処理を行うので、閾値との大小関係を維持した摂動データを生成（取得）することができる。
【0173】
したがって、差分プライバシー処理装置１００では、入力データと閾値との大小関係と、出力データと閾値との大小関係とを高い確率で維持し、プライバシー保護を実現しつつ適切なデータ錯乱メカニズムを実現することができる。すなわち、差分プライバシー処理装置１００では、データの閾値を考慮したノイズを付与する差分プライバシーメカニズムを実現する差分プライバシー処理を行うことができる。
【0174】
なお、差分プライバシー処理装置１００は、例えば、ユーザー端末（例えば、携帯端末装置、携帯電話、パーソナルコンピュータ等）に搭載され、ユーザー端末で差分プライバシー処理を行ったデータを、ユーザー端末からアグリゲータへ送信する形態で使用される。
【0175】
例えば、図９に示すように、ｎ個（ｎ：自然数）のユーザー端末ＵＥ１～ＵＥｎのそれぞれに、差分プライバシー処理装置１００が搭載され、差分プライバシー処理を行ったデータＤ＿ＬＤＰ（ＵＥｋ）（ｋ：自然数、１≦ｋ≦ｎ）がアグリゲータＡｇｒ１に送信される。
【0176】
そして、アグリゲータＡｇｒ１は、ユーザー端末ＵＥｋから送信された差分プライバシー処理を行ったデータＤ＿ＬＤＰ（ＵＥｋ）を受信し、受信したデータを、例えば、記憶装置（例えば、データベース）に記憶保持する。そして、アグリゲータＡｇｒ１は、外部のユーザーから、アグリゲータＡｇｒ１で記憶保持されているデータの統計データの取得要求を受けたとき、アグリゲータＡｇｒ１が記憶保持している差分プライバシー処理済みのデータ（ユーザー端末ＵＥｋから送信された差分プライバシー処理を行ったデータＤ＿ＬＤＰ（ＵＥｋ））の統計データを、上記外部のユーザーに提供する。これにより、図９に示した形態により、アグリゲータＡｇｒ１から統計データの提供をしつつ、統計データの個々のデータのプライバシーを保護することができる。
【0177】
なお、上記では、差分プライバシー処理装置１００がユーザー端末に搭載される例であるが、アグリゲータＡｇｒ１に差分プライバシー処理装置１００を搭載し、アグリゲータＡｇｒ１側で、差分プライバシー処理装置１００による差分プライバシー処理を行うようにしてもよい。
【0178】
［他の実施形態］
なお、上記実施形態の差分プライバシー処理装置１００でのパラメータの設定値は一例であり、上記に限定されることはなく、差分プライバシー処理装置１００でのパラメータの設定値を他の設定値としてもよい。例えば、第１プライバシーパラメータε１、第２プライバシーパラメータε２については、設定したいプライバシー強度に応じて適切な値に設定するようにしてもよい。
なお、上記実施形態の差分プライバシー処理装置１００でのパラメータの設定値は一例であり、上記に限定されることはなく、差分プライバシー処理装置１００でのパラメータの設定値を他の設定値としてもよい。例えば、第１プライバシーパラメータε１、第２プライバシーパラメータε２については、設定したいプライバシー強度に応じて適切な値に設定するようにしてもよい。
【0179】
また、第２プライバシーパラメータε２については、例えば、ステップＳ４０５での上限、下限リミット処理にかかるデータが多い場合（上限を超えるデータ、および／または、下限を下回るデータが多い場合）、上限、下限リミット処理にかかるデータが減少するように調整してもよい。
【0180】
また、例えば、ステップＳ４０５での上限、下限リミット処理にかかるデータが多い場合（上限を超えるデータ、および／または、下限を下回るデータが多い場合）、上限、下限リミット処理にかかるデータが減少するように、第２プライバシーパラメータε２、値Ｃ、値ｄ’、ゲイン値（例えば、レンジ変換用のゲイン）および／または、オフセット値（例えば、レンジ変換用のオフセット値）等を調整してもよい。このような調整をすることで、リミットされるデータが減少し、入力データの分布と、差分プライバシー処理装置１００により差分プライバシー処理を施されたデータ（摂動データ）の分布とが近くなる。
【0181】
また、上記実施形態で説明した差分プライバシー処理装置１００において、各ブロックは、ＬＳＩなどの半導体装置により個別に１チップ化されても良いし、一部又は全部を含むように１チップ化されても良い。
【0182】
なお、ここでは、ＬＳＩとしたが、集積度の違いにより、ＩＣ、システムＬＳＩ、スーパーＬＳＩ、ウルトラＬＳＩと呼称されることもある。
【0183】
また、集積回路化の手法はＬＳＩに限るものではなく、専用回路又は汎用プロセサで実現してもよい。ＬＳＩ製造後に、プログラムすることが可能なＦＰＧＡ（Ｆｉｅｌｄ Ｐｒｏｇｒａｍｍａｂｌｅ Ｇａｔｅ Ａｒｒａｙ）や、ＬＳＩ内部の回路セルの接続や設定を再構成可能なリコンフィギュラブル・プロセッサーを利用しても良い。
【0184】
また、上記各実施形態の各機能ブロックの処理の一部または全部は、プログラムにより実現されるものであってもよい。そして、上記各実施形態の各機能ブロックの処理の一部または全部は、コンピュータにおいて、中央演算装置（ＣＰＵ）により行われる。また、それぞれの処理を行うためのプログラムは、ハードディスク、ＲＯＭなどの記憶装置に格納されており、ＲＯＭにおいて、あるいはＲＡＭに読み出されて実行される。
【0185】
また、上記実施形態の各処理をハードウェアにより実現してもよいし、ソフトウェア（ＯＳ（オペレーティングシステム）、ミドルウェア、あるいは、所定のライブラリとともに実現される場合を含む。）により実現してもよい。さらに、ソフトウェアおよびハードウェアの混在処理により実現しても良い。
【0186】
例えば、上記実施形態の各機能部を、ソフトウェアにより実現する場合、図１０に示したハードウェア構成（例えば、ＣＰＵ（ＧＰＵを含む）、ＲＯＭ、ＲＡＭ、入力部、出力部等をバスＢｕｓにより接続したハードウェア構成）を用いて、各機能部をソフトウェア処理により実現するようにしてもよい。
【0187】
また、上記実施形態における処理方法の実行順序は、必ずしも、上記実施形態の記載に制限されるものではなく、発明の要旨を逸脱しない範囲で、実行順序を入れ替えることができるものである。
【0188】
前述した方法をコンピュータに実行させるコンピュータプログラム及びそのプログラムを記録したコンピュータ読み取り可能な記録媒体は、本発明の範囲に含まれる。ここで、コンピュータ読み取り可能な記録媒体としては、例えば、フレキシブルディスク、ハードディスク、ＣＤ－ＲＯＭ、ＭＯ、ＤＶＤ、ＤＶＤ－ＲＯＭ、ＤＶＤ－ＲＡＭ、大容量ＤＶＤ、次世代ＤＶＤ、半導体メモリを挙げることができる。
【0189】
上記コンピュータプログラムは、上記記録媒体に記録されたものに限られず、電気通信回線、無線又は有線通信回線、インターネットを代表とするネットワーク等を経由して伝送されるものであってもよい。
【0190】
なお、本発明の具体的な構成は、前述の実施形態に限られるものではなく、発明の要旨を逸脱しない範囲で種々の変更および修正が可能である。
【符号の説明】
【0191】
１００ 差分プライバシー処理装置
１１ パラメータ設定部
１２ 二値化処理部
１３ 二値ＬＤＰ処理部
１４ 多値ＬＤＰ処理部
１１ パラメータ設定部
１２ 二値化処理部
１３ 二値ＬＤＰ処理部
１４ 多値ＬＤＰ処理部
【図1】
【図2】
【図3】
【図4】
【図5】
【図6】
【図7】
【図8】
【図9】
【図10】