特開2024-42933 | 知財ポータル「IP Force」

知財求人 - 知財ポータルサイト「IP Force」

▶ 株式会社国際電気通信基礎技術研究所の特許一覧

特開2024-42933局所差分プライバシー処理方法、プログラム、および、局所差分プライバシー処理システム、端末装置

書誌要約請求の範囲詳細な説明課題実施例実施するための形態図面の説明

目に優しい文字サイズ小中大 PDF Top

< >

1
2
3
4
5
6
7
8
9

(19)【発行国】日本国特許庁(JP)

(12)【公報種別】公開特許公報(A)

(11)【公開番号】P2024042933

(43)【公開日】2024-03-29

(54)【発明の名称】局所差分プライバシー処理方法、プログラム、および、局所差分プライバシー処理システム、端末装置

(51)【国際特許分類】

H04K 1/02 20060101AFI20240322BHJP

G06F 21/62 20130101ALI20240322BHJP

G06F 16/2458 20190101ALI20240322BHJP

【ＦＩ】

H04K1/02

G06F21/62 345

G06F16/2458

【審査請求】未請求

【請求項の数】8

【出願形態】ＯＬ

(21)【出願番号】P 2022147858

(22)【出願日】2022-09-16

(71)【出願人】

【識別番号】393031586

【氏名又は名称】株式会社国際電気通信基礎技術研究所

(74)【代理人】

【識別番号】100143498

【弁理士】

【氏名又は名称】中西健

(74)【代理人】

【識別番号】100136319

【弁理士】

【氏名又は名称】北原宏修

(72)【発明者】

【氏名】三本知明

(72)【発明者】

【氏名】松中隆志

(72)【発明者】

【氏名】横山浩之

【テーマコード（参考）】

5B175

【Ｆターム（参考）】

5B175BA01

5B175CA07

(57)【要約】

【課題】局所差分プライバシーを満たしつつ、多次元データをより低次元のデータに変換することができる差分プライバシー処理システムを実現する。
【解決手段】差分プライバシー処理システム１０００では、（１）アグリゲータ２が、端末装置ＵＥ_ｉにより、ランダムサンプリング処理および第１ＬＤＰ処理を実行することで取得されたデータを収集し、（２）アグリゲータ２が、収集したデータを考慮し決定したデータ整形アルゴリズムによる処理を端末装置ＵＥ_ｉにより実行させ、さらに、第２ＬＤＰ処理を実行させることで取得されたデータを、アグリゲータ２が収集する。これにより、差分プライバシー処理システム１０００では、ＬＤＰ（局所差分プライバシー）を満たすデータ集合を取得することができる。
【選択図】図４

【特許請求の範囲】

【請求項1】

複数の端末装置と、データ収集装置とを備える局所差分プライバシー処理システムに用いられる局所差分プライバシー処理方法であり、複数次元の入力データに対して次元削減処理を行いつつ、局所差分プライバシー処理を実行する局所差分プライバシー処理方法であって、
前記端末装置が、前記複数次元の入力データに対して、ランダムに当該入力データの次元を選択し、選択した次元のデータを抽出することで、次元削減したデータを取得する処理であるランダムサンプリング処理を実行するランダムサンプリング処理ステップと、
前記端末装置が、前記ランダムサンプリング処理後のデータに対して、プライバシーバジェットε_１での局所差分プライバシー処理である第１ＬＤＰ処理を実行する第１ＬＤＰ処理ステップと、
データ収集装置が、前記端末装置から、前記第１ＬＤＰ処理を実行することで取得したデータを収集する第１データ収集ステップと、
データ収集装置が、前記第１データ収集ステップで収集したデータの集合データを考慮して、データ整形アルゴリズムを決定するデータ整形アルゴリズム決定処理ステップと、
前記端末装置が、前記データ収集装置により決定された前記データ整形アルゴリズムにより、前記入力データに対して、データ整形処理を実行するデータ整形処理ステップと、
前記端末装置が、前記データ整形処理を実行されたデータに対して、プライバシーバジェットε_２での局所差分プライバシー処理である第２ＬＤＰ処理を実行する第２ＬＤＰ処理ステップと、
データ収集装置が、前記端末装置から、前記第２ＬＤＰ処理を実行することで取得したデータを収集する第２データ収集ステップと、
を備える局所差分プライバシー処理方法。

【請求項2】

第１グループに属する複数の端末装置と、第２グループに属する複数の端末装置と、データ収集装置とを備える局所差分プライバシー処理システムに用いられる局所差分プライバシー処理方法であり、複数次元の入力データに対して次元削減処理を行いつつ、局所差分プライバシー処理を実行する局所差分プライバシー処理方法であって、
前記第１グループに属する前記端末装置が、前記複数次元の入力データに対して、ランダムに当該入力データの次元を選択し、選択した次元のデータを抽出することで、次元削減したデータを取得する処理であるランダムサンプリング処理を実行するランダムサンプリング処理ステップと、
前記第１グループに属する前記端末装置が、前記ランダムサンプリング処理後のデータに対して、プライバシーバジェットε_１での局所差分プライバシー処理である第１ＬＤＰ処理を実行する第１ＬＤＰ処理ステップと、
データ収集装置が、前記第１グループに属する前記端末装置から、前記第１ＬＤＰ処理を実行することで取得したデータを収集する第１データ収集ステップと、
データ収集装置が、前記第１データ収集ステップで収集したデータの集合データを考慮して、データ整形アルゴリズムを決定するデータ整形アルゴリズム決定処理ステップと、
前記第２グループに属する前記端末装置が、前記データ収集装置により決定された前記データ整形アルゴリズムにより、前記入力データに対して、データ整形処理を実行するデータ整形処理ステップと、
前記第２グループに属する前記端末装置が、前記データ整形処理を実行されたデータに対して、プライバシーバジェットε_２での局所差分プライバシー処理である第２ＬＤＰ処理を実行する第２ＬＤＰ処理ステップと、
データ収集装置が、前記第２グループに属する前記端末装置から、前記第２ＬＤＰ処理を実行することで取得したデータを収集する第２データ収集ステップと、
を備える局所差分プライバシー処理方法。

【請求項3】

前記入力データは、ｍ次元（ｍ：自然数）のデータであり、
前記ランダムサンプリング処理ステップは、
確率ｋ／ｍ（ｋ：自然数、ｋ＜ｍ）で、ｍ次元の入力データから、ｋ次元分のデータをランダムに選択し、選択した次元のデータを抽出することで、前記ランダムサンプリング処理を実行する、
請求項１または２に記載の局所差分プライバシー処理方法。

【請求項4】

前記第１ＬＤＰ処理ステップは、
前記プライバシーバジェットε_１を
ε＝ｌｎ（（ｍ／ｋ）×（ｅｘｐ（ε_１）－１）＋１）
ｌｎ（）：自然対数
を満たす値に設定し、前記第１ＬＤＰ処理を実行する、
請求項３に記載の局所差分プライバシー処理方法。

【請求項5】

請求項１また２に記載の局所差分プライバシー処理方法をコンピュータに実行させるためのプログラム。

【請求項6】

複数の端末装置と、データ収集装置とを備える局所差分プライバシー処理システムであって、
前記端末装置は、
複数次元の入力データに対して、ランダムに当該入力データの次元を選択し、選択した次元のデータを抽出することで、次元削減したデータを取得する処理であるランダムサンプリング処理を実行するランダムサンプリング処理部と、
前記ランダムサンプリング処理後のデータに対して、プライバシーバジェットε_１での局所差分プライバシー処理である第１ＬＤＰ処理を実行する第１ＬＤＰ処理部と、
を備え、
データ収集装置は、
前記端末装置から、前記第１ＬＤＰ処理を実行することで取得したデータを収集し、第１データ収集データ集合を取得するデータアクセス処理部と、
前記第１データ収集データ集合を考慮して、データ整形アルゴリズムを決定するデータ整形アルゴリズム決定処理部と、
を備え、
前記端末装置は、さらに、
前記データ整形アルゴリズム決定処理部により決定された前記データ整形アルゴリズムにより、前記入力データに対して、データ整形処理を実行するデータ整形処理部と、
前記データ整形処理を実行されたデータに対して、プライバシーバジェットε_２での局所差分プライバシー処理である第２ＬＤＰ処理を実行する第２ＬＤＰ処理部と、
を備え、
前記データ収集装置の前記データアクセス処理部は、前記端末装置から、前記第２ＬＤＰ処理を実行することで取得したデータを収集し、第２データ収集データ集合を取得する、
局所差分プライバシー処理システム。

【請求項7】

第１グループに属する複数の端末装置と、第２グループに属する複数の端末装置と、データ収集装置とを備える局所差分プライバシー処理システムであって、
前記第１グループに属する前記端末装置は、
複数次元の入力データに対して、ランダムに当該入力データの次元を選択し、選択した次元のデータを抽出することで、次元削減したデータを取得する処理であるランダムサンプリング処理を実行するランダムサンプリング処理部と、
前記ランダムサンプリング処理後のデータに対して、プライバシーバジェットε_１での局所差分プライバシー処理である第１ＬＤＰ処理を実行する第１ＬＤＰ処理部と、
を備え、
データ収集装置は、
前記第１グループに属する前記端末装置から、前記第１ＬＤＰ処理を実行することで取得したデータを収集し、第１データ収集データ集合を取得するデータアクセス処理部と、
前記第１データ収集データ集合を考慮して、データ整形アルゴリズムを決定するデータ整形アルゴリズム決定処理部と、
を備え、
前記第２グループに属する前記端末装置は、
前記データ収集装置により決定された前記データ整形アルゴリズムにより、前記入力データに対して、データ整形処理を実行するデータ整形処理部と、
前記データ整形処理を実行されたデータに対して、プライバシーバジェットε_２での局所差分プライバシー処理である第２ＬＤＰ処理を実行する第２ＬＤＰ処理部と、
を備え、
データ収集装置の前記データアクセス処理部は、前記第２グループに属する前記端末装置から、前記第２ＬＤＰ処理を実行することで取得したデータを収集し、第２データ収集データ集合を取得する、
局所差分プライバシー処理システム。

【請求項8】

請求項６または７に記載の局所差分プライバシー処理システムに用いられる前記端末装置。

【発明の詳細な説明】

【技術分野】

【0001】

本発明は、個人のプライバシーを保護しつつデータ分析を可能にするプライバシー保護技術に関する。

【背景技術】

【0002】

近年、個人データがビッグデータとして収集され、その解析結果を活用することで、多くの課題が解決すると考えられている。そのようなデータの収集・活用にはプライバシー保護が重要である。そのため、個人のプライバシーを保護しつつデータ分析を可能にするプライバシー保護技術が種々開発されている。このようなプライバシー保護技術として、データ提供の際に提供者が自身のデータにノイズを付与してデータを提供する局所差分プライバシー（ＬＤＰ：ＬｏｃａｌＤｉｆｆｅｒｅｎｔｉａｌＰｒｉｖａｃｙ）という方法を用いる技術が注目されている（例えば、非特許文献１を参照）。局所差分プライバシーは、データ提供者自らがノイズを加えたデータを提供者に与えることで、データのプライバシーを保護しつつ、データ提供者は収集したノイズ付き全データをヒストグラムなどに活用できるという技術である。

【0003】

また、近年、多次元のデータを収集し、収集したデータに対して、プライバシーを保護しつつ、多様な解析処理を実行できるようにする技術が求められている。収集されるデータが多次元データである場合、特定の目的の解析処理を行うために、当該多次元データの全ての次元のデータに対して、解析処理を行うと効率的でないことが多い。これに対処するために、このような場合、データの次元を削減し、次元削減後のデータを解析処理の対象とすることが多い。したがって、多次元データに対して差分プライバシーを満たしつつ、次元削減を行う手法が求められている。

【0004】

局所差分プライバシー（ＬＤＰ）は、プライバシーバジェットεによってプライバシー強度が表され、１次元のデータｄに対しては、ε－ＬＤＰを満たす確率的撹乱ノイズを、データｄに加えることでε－ＬＤＰを満たす。ｍ次元データｄ＝｛ｄ_１，・・・，ｄ_ｍ｝（ｍ：自然数）に対しては、各データｄ_ｉ（ｉ：自然数、１≦ｉ≦ｍ）に、ε／ｍ－ＬＤＰを満たす確率的撹乱メカニズムを適用する、あるいは、ｍ次元データからＬ個（Ｌ：自然数、Ｌ＜ｍ）の次元のみをランダムに抽出し、抽出したデータにε／Ｌ－ＬＤＰを満たす確率的撹乱メカニズムを適用し、残りのｍ－Ｌ個の次元を破棄することで、ε－ＬＤＰを満たす処理を実行できることが知られている。

【0005】

例えば、非特許文献１には、上記手法により、ｍ次元データに対して、ε－ＬＤＰを満たす処理を実行可能とする技術の開示がある。

【先行技術文献】

【非特許文献】

【0006】

【非特許文献1】Wang Ning et al., "Collecting and Analyzing Multidimensional Data with Local Differential Privacy," 2019 IEEE 35th International Conference on Data Engineering (ICDE), 2019.

【発明の概要】

【発明が解決しようとする課題】

【0007】

しかしながら、局所差分プライバシー（ＬＤＰ）技術を多次元データに適用する場合、以下の課題がある。

【0008】

局所差分プライバシー（ＬＤＰ）では、プライバシーバジェットεの値が大きいほどプライバシーの強度が弱く、データに加える確率的ノイズが小さくなる。そのため、局所差分プライバシー（ＬＤＰ）では、プライバシーバジェットを一定値εと決め、かつ、すべての次元のデータを提供しようとする場合、次元数ｍに比例して各次元のデータ（ｍ次元データに含まれる各データ）に与えるノイズが大きくなり有用性が低下する。

【0009】

一方、非特許文献１の技術等では、データの次元数をＬ個に減らす場合、多次元データｄから、ランダムにＬ個の次元のデータを選択する処理が実行される。このようにランダムにＬ個の次元のデータを選択する処理を採用している理由は、データを直接確認してから恣意的に次元を選ぶと、次元の選び方にデータの情報が含まれてしまい、正確にプライバシーの評価ができなくなるからである。局所差分プライバシー（ＬＤＰ）は、複数のデータを収集する際に、各データ提供者が利用する技術であるため、各データ提供者が上記のような方法で処理を行ったデータをデータ収集者へ送信すると、データ収集者の元にはランダムに異なるＬ個の次元が選ばれたデータが集まることになり、非効率的である（データ収集者が、データ収集者の元に集められたデータの次元を適切に把握することができず、収集したデータに対して所定の処理を効率良く行うことができない）。

【0010】

したがって、ＬＤＰを満たした上で、多次元データをより低次元のデータに変換できる技術が求められている。

【0011】

本発明では、上記課題に鑑み、局所差分プライバシー（ＬＤＰ）を満たしつつ、多次元データをより低次元のデータに変換することができる局所差分プライバシー処理システム、端末装置、局所差分プライバシー処理方法、およびプログラムを実現することを目的とする。

【課題を解決するための手段】

【0012】

上記課題を解決するために、第１の発明は、複数の端末装置と、データ収集装置とを備える局所差分プライバシー処理システムに用いられる局所差分プライバシー処理方法であり、複数次元の入力データに対して次元削減処理を行いつつ、局所差分プライバシー処理を実行する局所差分プライバシー処理方法である。当該方法は、ランダムサンプリング処理ステップと、第１ＬＤＰ処理ステップと、第１データ収集ステップと、データ整形アルゴリズム決定処理ステップと、第２ＬＤＰ処理ステップと、第２データ収集ステップと、を備える。

【0013】

ランダムサンプリング処理ステップでは、端末装置が、複数次元の入力データに対して、ランダムに当該入力データの次元を選択し、選択した次元のデータを抽出することで、次元削減したデータを取得する処理であるランダムサンプリング処理を実行する。

【0014】

第１ＬＤＰ処理ステップでは、端末装置が、ランダムサンプリング処理後のデータに対して、プライバシーバジェットε_１での局所差分プライバシー処理である第１ＬＤＰ処理を実行する。

【0015】

第１データ収集ステップでは、データ収集装置が、端末装置から、第１ＬＤＰ処理を実行することで取得したデータを収集する。

【0016】

データ整形アルゴリズム決定処理ステップでは、データ収集装置が、第１データ収集ステップで収集したデータの集合データを考慮して、データ整形アルゴリズムを決定する。

【0017】

データ整形処理ステップでは、端末装置が、データ収集装置により決定されたデータ整形アルゴリズムにより、入力データに対して、データ整形処理を実行する。

【0018】

第２ＬＤＰ処理ステップでは、端末装置が、データ整形処理を実行されたデータに対して、プライバシーバジェットε_２での局所差分プライバシー処理である第２ＬＤＰ処理を実行する。

【0019】

第２データ収集ステップでは、データ収集装置が、端末装置から、第２ＬＤＰ処理を実行することで取得したデータを収集する。

【0020】

この局所差分プライバシー処理方法では、（１）データ収集装置が、端末装置により、ランダムサンプリング処理および第１ＬＤＰ処理を実行することで取得されたデータを収集し、（２）データ収集装置が、収集したデータを考慮し決定したデータ整形アルゴリズムによる処理を端末装置により実行させ、さらに、第２ＬＤＰ処理を実行させることで取得されたデータを、データ収集装置が収集する。これにより、この局所差分プライバシー処理方法では、ＬＤＰ（局所差分プライバシー）を満たすデータ集合を取得することができる。

【0021】

つまり、この差分プライバシー処理方法では、上記処理により、局所差分プライバシー（ＬＤＰ）を満たしつつ、多次元データをより低次元のデータに変換することができ、さらに、局所差分プライバシー（ＬＤＰ）を満たしつつ、多次元データをより低次元のデータに変換したデータ集合を取得することができる。

【0022】

第２の発明は、第１グループに属する複数の端末装置と、第２グループに属する複数の端末装置と、データ収集装置とを備える局所差分プライバシー処理システムに用いられる局所差分プライバシー処理方法であり、複数次元の入力データに対して次元削減処理を行いつつ、局所差分プライバシー処理を実行する局所差分プライバシー処理方法である。当該方法は、ランダムサンプリング処理ステップと、第１ＬＤＰ処理ステップと、第１データ収集ステップと、データ整形アルゴリズム決定処理ステップと、データ整形処理ステップと、第２ＬＤＰ処理ステップと、第２データ収集ステップと、を備える。

【0023】

ランダムサンプリング処理ステップでは、第１グループに属する端末装置が、複数次元の入力データに対して、ランダムに当該入力データの次元を選択し、選択した次元のデータを抽出することで、次元削減したデータを取得する処理であるランダムサンプリング処理を実行する。

【0024】

第１ＬＤＰ処理ステップでは、第１グループに属する端末装置が、ランダムサンプリング処理後のデータに対して、プライバシーバジェットε_１での局所差分プライバシー処理である第１ＬＤＰ処理を実行する。

【0025】

第１データ収集ステップでは、データ収集装置が、第１グループに属する端末装置から、第１ＬＤＰ処理を実行することで取得したデータを収集する。

【0026】

【0027】

データ整形処理ステップでは、第２グループに属する端末装置が、データ収集装置により決定されたデータ整形アルゴリズムにより、入力データに対して、データ整形処理を実行する。

【0028】

第２ＬＤＰ処理ステップでは、第２グループに属する端末装置が、データ整形処理を実行されたデータに対して、プライバシーバジェットε_２での局所差分プライバシー処理である第２ＬＤＰ処理を実行する。

【0029】

第２データ収集ステップでは、データ収集装置が、第２グループに属する端末装置から、第２ＬＤＰ処理を実行することで取得したデータを収集する。

【0030】

この差分プライバシー処理方法では、（１）データ収集装置が、第１グループに属する端末装置により、ランダムサンプリング処理および第１ＬＤＰ処理を実行することで取得されたデータを収集し、（２）データ収集装置が収集したデータに基づいて決定したデータ整形アルゴリズムによる処理を第２グループに属する端末装置により実行させ、さらに、第２ＬＤＰ処理を実行させることで取得されたデータを、データ収集装置が収集することで、ＬＤＰ（局所差分プライバシー）を満たすデータ集合Ｄを取得することができる。

【0031】

【0032】

第３の発明は、第１または第２の発明であって、入力データは、ｍ次元（ｍ：自然数）のデータである。

【0033】

そして、ランダムサンプリング処理ステップは、確率ｋ／ｍ（ｋ：自然数、ｋ＜ｍ）で、ｍ次元の入力データから、ｋ次元分のデータをランダムに選択し、選択した次元のデータを抽出することで、ランダムサンプリング処理を実行する。

【0034】

これにより、この局所差分プライバシー処理方法では、確率ｋ／ｍのランダムサンプリング処理により、次元削減処理を実現できる。

【0035】

第４の発明は、第３の発明であって、第１ＬＤＰ処理ステップは、プライバシーバジェットε_１を
ε＝ｌｎ（（ｍ／ｋ）×（ｅｘｐ（ε_１）－１）＋１）
ｌｎ（）：自然対数
を満たす値に設定し、第１ＬＤＰ処理を実行する。

【0036】

これにより、この局所差分プライバシー処理方法では、プライバシーバジェットε_１を消費するランダムサンプリング処理および第１ＬＤＰ処理を実現できる。

【0037】

第５の発明は、第１また第２の発明である局所差分プライバシー処理方法をコンピュータに実行させるためのプログラムである。

【0038】

これにより、第１また第２の発明と同様の効果を奏する局所差分プライバシー処理方法をコンピュータに実行させるためのプログラムを実現することができる。

【0039】

第６の発明は、複数の端末装置と、データ収集装置とを備える局所差分プライバシー処理システムである。

【0040】

端末装置は、ランダムサンプリング処理部と、第１ＬＤＰ処理部と、を備える。

【0041】

ランダムサンプリング処理部は、複数次元の入力データに対して、ランダムに当該入力データの次元を選択し、選択した次元のデータを抽出することで、次元削減したデータを取得する処理であるランダムサンプリング処理を実行する。

【0042】

第１ＬＤＰ処理部は、ランダムサンプリング処理後のデータに対して、プライバシーバジェットε_１での局所差分プライバシー処理である第１ＬＤＰ処理を実行する。

【0043】

データ収集装置は、データアクセス処理部と、データ整形アルゴリズム決定処理部と、を備える。

【0044】

データアクセス処理部は、端末装置から、第１ＬＤＰ処理を実行することで取得したデータを収集し、第１データ収集データ集合を取得する。

【0045】

データ整形アルゴリズム決定処理部は、第１データ収集データ集合を考慮して、データ整形アルゴリズムを決定する。

【0046】

端末装置は、さらに、データ整形処理部と、第２ＬＤＰ処理部と、を備える。

【0047】

データ整形処理部は、データ整形アルゴリズム決定処理部により決定されたデータ整形アルゴリズムにより、入力データに対して、データ整形処理を実行する。

【0048】

第２ＬＤＰ処理部は、データ整形処理を実行されたデータに対して、プライバシーバジェットε_２での局所差分プライバシー処理である第２ＬＤＰ処理を実行する。

【0049】

そして、データ収集装置のデータアクセス処理部は、端末装置から、第２ＬＤＰ処理を実行することで取得したデータを収集し、第２データ収集データ集合を取得する。

【0050】

これにより、第１の発明と同様の効果を奏する局所差分プライバシー処理システムを実現することができる。

【0051】

第７の発明は、第１グループに属する複数の端末装置と、第２グループに属する複数の端末装置と、データ収集装置とを備える局所差分プライバシー処理システムである。

【0052】

第１グループに属する端末装置は、ランダムサンプリング処理部と、第１ＬＤＰ処理部と、を備える。

【0053】

【0054】

【0055】

データ収集装置は、データアクセス処理部と、データ整形アルゴリズム決定処理部と、を備える。

【0056】

データアクセス処理部は、第１グループに属する端末装置から、第１ＬＤＰ処理を実行することで取得したデータを収集し、第１データ収集データ集合を取得する。

【0057】

データ整形アルゴリズム決定処理部は、第１データ収集データ集合を考慮して、データ整形アルゴリズムを決定する。

【0058】

第２グループに属する端末装置は、データ整形処理部と、第２ＬＤＰ処理部と、を備える。

【0059】

データ整形処理部は、データ収集装置により決定されたデータ整形アルゴリズムにより、入力データに対して、データ整形処理を実行する。

【0060】

【0061】

そして、データ収集装置のデータアクセス処理部は、第２グループに属する端末装置から、第２ＬＤＰ処理を実行することで取得したデータを収集し、第２データ収集データ集合を取得する。

【0062】

これにより、第２の発明と同様の効果を奏する局所差分プライバシー処理システムを実現することができる。

【0063】

第８の発明は、第６または第７の発明である局所差分プライバシー処理システムに用いられる端末装置である。

【0064】

これにより、第６または第７の発明である局所差分プライバシー処理システムに用いられる端末装置を実現できる。

【発明の効果】

【0065】

本発明によれば、局所差分プライバシー（ＬＤＰ）を満たしつつ、多次元データをより低次元のデータに変換することができる局所差分プライバシー処理システム、端末装置、局所差分プライバシー処理方法、およびプログラムを実現することができる。

【図面の簡単な説明】

【0066】

【図1】第１実施形態に係る差分プライバシー処理システム１０００の概略構成図。

【図2】第１実施形態に係る端末装置ＵＥ１の概略構成図。

【図3】第１実施形態に係るアグリゲータ２の概略構成図。

【図4】第１実施形態に係る差分プライバシー処理システム１０００で実行される処理のシーケンス図。

【図5】第１実施形態に係る差分プライバシー処理システム１０００での処理の実施例（一例）を示す図。

【図6】第１実施形態の第１変形例に係る差分プライバシー処理システム１０００Ａの概略構成図。

【図7】第１実施形態の第１変形例に係る差分プライバシー処理システム１０００Ａで実行される処理のシーケンス図。

【図8】第１実施形態の第１変形例の差分プライバシー処理システム１０００Ａでの処理の実施例（一例）を示す図。

【図9】ＣＰＵバス構成を示す図。

【発明を実施するための形態】

【0067】

［第１実施形態］
第１実施形態について、図面を参照しながら、以下、説明する。

【0068】

＜１．１：差分プライバシー処理システムの構成＞
図１は、第１実施形態に係る差分プライバシー処理システム１０００の概略構成図である。

【0069】

図２は、第１実施形態に係る端末装置ＵＥ_１の概略構成図である。

【0070】

図３は、第１実施形態に係るアグリゲータ２の概略構成図である。

【0071】

差分プライバシー処理システム１０００は、図１に示すように、ｎ個（ｎ：自然数）の端末装置ＵＥ_１～ＵＥ_ｎと、アグリゲータ２（データ収集装置）と、アグリゲータ２に接続され、データを記憶保持するデータ格納部ＤＢ１と、を備える。ｎ個（ｎ：自然数）の端末装置ＵＥ_１～ＵＥ_ｎとアグリゲータ２（データ収集装置）とは、例えば、ネットワーク（このネットワークは、有線、無線のいずれのネットワークでもよく、有線、無線のネットワークを複数組み合わせたネットワークであってもよい）を介して、互いにデータ通信を行うことができるように接続されている。

【0072】

端末装置ＵＥ_１は、図２に示すように、入力部１１と、ランダムサンプリング処理部１２と、第１ＬＤＰ処理部１３と、データ整形処理部１４と、第２ＬＤＰ処理部１５と、第１通信インターフェース１６とを備える。

【0073】

入力部１１は、データ入力を行うための機能部であり、例えば、外部および／または内部の記憶装置（不図示）からデータを、データＤｉｎとして、入力する。入力部１１は、データＤｉｎに対して、入力データ調整処理を行い、後段の機能部が要求する仕様（フォーマット）のデータを取得し、取得したデータを、データＤ１１として、ランダムサンプリング処理部１２および／またはデータ整形処理部１４に出力する。

【0074】

ランダムサンプリング処理部１２は、入力部１１から出力されるデータＤ１１を入力し、当該データＤ１１に対してランダムサンプリング処理を実行する。そして、ランダムサンプリング処理は、ランダムサンプリング処理後のデータを、データＤ１２として、第１ＬＤＰ処理部１３に出力する。

【0075】

第１ＬＤＰ処理部１３は、ランダムサンプリング処理部１２から出力されるデータＤ１２を入力し、当該データＤ１２に対して第１ＬＤＰ処理を実行する。そして、第１ＬＤＰ処理部１３は、第１ＬＤＰ処理後のデータを、データＤ１３として、第１通信インターフェース１６に出力する。

【0076】

データ整形処理部１４は、入力部１１から出力されるデータＤ１１と、第１通信インターフェース１６から出力されるデータＤ１４（データ整形処理のアルゴリズムを指定するデータを含むデータ）とを入力する。データ整形処理部１４は、データＤ１１に対して、データＤ１４で指示されているデータ整形処理アルゴリズムにより、データ整形処理を行う。そして、データ整形処理部１４は、データ整形処理後のデータを、データＤ１５として、第２ＬＤＰ処理部１５に出力する。

【0077】

第２ＬＤＰ処理部１５は、データ整形処理部１４から出力されるデータＤ１５を入力し、当該データＤ１５に対して第２ＬＤＰ処理を実行する。そして、第２ＬＤＰ処理部１５は、第２ＬＤＰ処理後のデータを、データＤ１６として、第１通信インターフェース１６に出力する。

【0078】

第１通信インターフェース１６は、アグリゲータ２と通信（外部装置と通信）を行うための通信インターフェースである。なお、第ｉ番目（ｉ：自然数、１≦ｉ≦ｎ）の端末装置ＵＥ_ｉの第１通信インターフェース１６が外部へ送信するデータをデータＤｏ＿ＵＥ（ＵＥ_ｉ）と表記し、第１通信インターフェース１６が外部から受信するデータをデータＤｉ＿ＵＥ（ＵＥ_ｉ）と表記する。

【0079】

第１通信インターフェース１６は、第１ＬＤＰ処理部１３から出力されるデータＤ１３を入力し、当該データＤ１３を含むデータであって外部に送信できるデータに変換したデータを、データＤｏ＿ＵＥ（ＵＥ_１）として、外部（例えば、アグリゲータ２）に送信する。また、第１通信インターフェース１６は、第２ＬＤＰ処理部１５から出力されるデータＤ１６を入力し、当該データＤ１６を含むデータであって外部に送信できるデータに変換したデータを、データＤｏ＿ＵＥ（ＵＥ_１）として、外部（例えば、アグリゲータ２）に送信する。

【0080】

また、第１通信インターフェース１６は、外部（アグリゲータ２）から受信したデータＤｉ＿ＵＥ（ＵＥ_１）から、データ整形処理のアルゴリズムを指定するデータを抽出し、データ整形処理のアルゴリズムを指定するデータを、データＤ１４として、データ整形処理部１４に出力する。

【0081】

なお、端末装置ＵＥ_２～ＵＥ_ｎは、端末装置ＵＥ_１と同様の構成、機能を有している。

【0082】

アグリゲータ２（データ収集装置）は、例えば、ネットワークを介して、通信可能に、端末装置ＵＥ_１～ＵＥ_ｎと接続されており、端末装置ＵＥ_１～ＵＥ_ｎから送信されるデータを収集する装置（例えば、サーバ装置）である。また、アグリゲータ２は、データ格納部ＤＢ１と接続されており、所定のデータをデータ格納部ＤＢ１に書き込み、および／または、所定のデータをデータ格納部ＤＢ１から読み出す。アグリゲータ２は、図３に示すように、第２通信インターフェース２１と、データアクセス処理部２２と、データ整形アルゴリズム決定処理部２３と、制御部２４と、バスＢｕｓ１とを備える。アグリゲータ２の各機能部は、バスＢｕｓ１に接続されており、アグリゲータ２の各機能部は、互いに、バスＢｕｓ１を介して、コマンド、データ等を送受信することができる。なお、アグリゲータ２は、各機能部が直接接続される構成を有するものであってもよい。

【0083】

第２通信インターフェース２１は、端末装置ＵＥ_１からＵＥ_ｎと通信（外部装置と通信）を行うための通信インターフェースである。なお、第２通信インターフェース２１が第ｉ番目（ｉ：自然数、１≦ｉ≦ｎ）の端末装置ＵＥ_ｉから受信するデータをデータＤｉ＿Ａｇｒ（ＵＥ_ｉ）と表記し、第２通信インターフェース２１が端末装置ＵＥ_ｋへ送信するデータをデータＤｏ＿Ａｇｒ（ＵＥ_ｉ）と表記する。

【0084】

第２通信インターフェース２１は、制御部２４からの指令に従い、端末装置ＵＥ_ｉから送信されるデータＤｉ＿Ａｇｒ（ＵＥ_ｉ）を受信し、当該データＤｉ＿Ａｇｒ（ＵＥ_ｉ）に対して所定の処理（データＤｉ＿Ａｇｒ（ＵＥ_ｉ）に含まれる所定のデータを抽出し、抽出したデータをデータアクセス処理部２２に出力する処理等）を行い、処理後のデータを、必要に応じて、所定の機能部に出力する。また、第２通信インターフェース２１は、制御部２４からの指令に従い、データ整形アルゴリズム決定処理部２３やデータアクセス処理部２２から出力されるデータであって、端末装置ＵＥ_ｉへ送信するデータを入力した場合、当該データを含む通信データ（送信データ）をデータＤｏ＿Ａｇｒ（ＵＥ_ｉ）として、端末装置ＵＥ_ｉへ送信する。

【0085】

データアクセス処理部２２は、制御部２４からの指令に従い、第２通信インターフェース２１が端末装置ＵＥ_ｉから受信したデータを入力し（バスＢｕｓ１を介して第２通信インターフェース２１から入力し）、当該データをデータ格納部ＤＢ１に書き込む処理を行う。また、データアクセス処理部２２は、制御部２４からの指令に従い、データ格納部ＤＢ１から所定のデータを読み出し、読み出したデータを、バスＢｕｓ１を介して、第２通信インターフェース２１に出力する。

【0086】

データ整形アルゴリズム決定処理部２３は、制御部２４の指令に基づいて、データ整形アルゴリズムを決定する処理（データ整形アルゴリズム決定処理）を実行し、当該処理の処理結果を含むデータを第２通信インターフェース２１に出力する。

【0087】

制御部２４は、アグリゲータ２の各機能部に指令（制御信号）を出力することで、アグリゲータ２の各機能部を制御する。また、制御部２４は、第２通信インターフェース２１が外部（端末装置ＵＥ_ｉ）から受信したデータ（コマンド、データ等）を解析し、当該解析結果に基づいて、アグリゲータ２の各機能部を制御する。制御部２４は、第２通信インターフェース２１が外部（端末装置ＵＥ_ｉ）から受信したデータであって、データアクセス処理部２２に出力され、データ格納部ＤＢ１に記憶されたデータの状況を考慮して、所定のタイミングで、データ整形アルゴリズム決定処理部２３に、データ整形アルゴリズム決定処理を実行するよう指示する指令（制御信号）を出力する。また、制御部２４は、所定のタイミングで、データ整形アルゴリズム決定処理部２３、および／または、データアクセス処理部２２から第２通信インターフェース２１に出力されたデータを、所定の送信先（端末装置ＵＥ_ｉ）に送信するよう指示する指令（制御信号）を、第２通信インターフェース２１に出力する。

【0088】

データ格納部ＤＢ１は、データアクセス処理部２２に接続されており、データアクセス処理部２２の指示に従い、データの書き込み処理および／または読み出し処理を行う。データ格納部ＤＢ１は、例えば、データベースにより実現される。

【0089】

＜１．２：差分プライバシー処理システムの動作＞
以上のように構成された差分プライバシー処理システム１０００の動作について、以下、説明する。

【0090】

図４は、差分プライバシー処理システム１０００で実行される処理のシーケンス図である。

【0091】

まず、前提知識として、局所差分プライバシーについて、説明する。

【0092】

≪局所差分プライバシー≫
局所差分プライバシーについて、説明する。

【0093】

局所差分プライバシーモデルでは、ｎ人のデータ提供者がそれぞれデータＤ_ｉ(１＜ｉ＜ｎ)を持つ。そして、各データＤ_ｉはｄ個の属性Ａ_１，・・・，Ａ_ｄを含む。各属性は離散値または連続値であり、離散値の場合では、ｋ個のカテゴリ１，２，・・・，ｋを持ち、連続値の場合では正規化され［－１，１］の領域を持つ。このとき各データ提供者はデータ収集者にランダムノイズ関数ｆを通したｆ（Ｄ_ｉ）を送信する．
＜定義＞局所差分プライバシー：
関数ｆが全ての２つの入力データの組み合わせＤ，Ｄ’と全てのｆが取りえる出力結果ｔ^＊に対して、以下の式を満たすとき関数ｆはε－局所差分プライバシーを満たすと言う。
Ｐｒ［ｆ（Ｄ）＝ｔ^＊］≦ｅｘｐ（ε）・Ｐｒ［ｆ（Ｄ’）＝ｔ^＊］
Ｐｒ []は、［］内の事象が起こる確率を意味する。すなわち、Ｐｒ［ｆ（Ｄ）＝ｔ^＊］は関数ｆにデータＤを入力した際に出力がｔ^＊となる確率を示す。データ提供者は、データ収集者に上記を満たす関数ｆを用いてノイズを加えたデータを送信する。そのため、データ収集者はある値ｔ^＊を受け取った際にそれがｆ（Ｄ）から作られたものかｆ（Ｄ’）から送られたものかを判別することが難しい。

【0094】

差分プライバシー処理システム１０００では、端末装置ＵＥ_１が、局所差分プライバシーを用いた処理を行うことで、局所差分プライバシー（ＬＤＰ）を満たしつつ、多次元データをより低次元のデータに変換する。

【0095】

以下、差分プライバシー処理システム１０００の動作を、図４を参照しながら、説明する。

【0096】

（ステップＳ１）：
ステップＳ１において、端末装置ＵＥ_１からＵＥ_ｎは、それぞれ、ランダムサンプリング処理を実行する。具体的には、以下の処理が実行される。

【0097】

端末装置ＵＥ_ｉ（ｉ：自然数、１≦ｉ≦ｎ）の入力部１１は、例えば、外部および／または内部の記憶装置（不図示）からデータを、データＤｉｎとして、入力する。データＤｉｎには、データ提供者（例えば、端末装置ＵＥ_ｉのユーザ）が保有するデータｄ_ｉ＝｛ｄ_ｉ１，・・・，ｄ_ｉｍ｝∈Ｓ^ｍ（ｍ次元（ｍ：自然数）のデータ）が含まれるものとする。

【0098】

入力部１１は、データＤｉｎに対して、入力データ調整処理を行い、データｄ_ｉ＝｛ｄ_ｉ１，・・・，ｄ_ｉｍ｝を取得する。そして、入力部１１は、データｄ_ｉを含むデータを、データＤ１１として、ランダムサンプリング処理部１２に出力する。

【0099】

ランダムサンプリング処理部１２は、確率β＝ｋ／ｍでランダムサンプリング処理を行う。つまり、ランダムサンプリング処理部１２は、ｍ次元データｄ_ｉから、ランダムにｋ次元分のデータを取得（選択）する（ｄ_ｉを構成するｍ個のデータ（属性）から、ランダムにｋ個のデータ（属性）を取得する）。すなわち、ランダムサンプリング処理部１２は、ｄ_ｉ＝｛ｄ_ｉ１，・・・，ｄ_ｉｍ｝∈Ｓ^ｍに対してランダムサンプリング処理を行い、ランダムサンプリング処理後のデータｄ^ｓ _ｉ＝｛ｄ^ｓ _ｉ１，・・・，ｄ^ｓ _ｉｋ｝∈Ｓ^ｋを取得する。

【0100】

そして、ランダムサンプリング処理部１２は、上記により取得したランダムサンプリング処理後のデータｄ^ｓ _ｉ（ｋ次元分のデータ）を含むデータを、データＤ１２として、第１ＬＤＰ処理部１３に出力する。

【0101】

（ステップＳ２）：
ステップＳ２において、端末装置ＵＥ_１からＵＥ_ｎは、それぞれ、第１ＬＤＰ処理を実行する。具体的には、以下の処理が実行される。

【0102】

端末装置ＵＥ_ｉの第１ＬＤＰ処理部１３は、ランダムサンプリング処理部１２から出力されるデータＤ１２に対して第１ＬＤＰ処理を実行する。具体的には、以下の処理が実行される。

【0103】

第１ＬＤＰ処理部１３は、プライバシーバジェットεを下記数式のように設定する。

【数1】

ε_１：端末装置ＵＥ_ｉで消費するプライバシーバジェット（端末装置ＵＥ_ｉがランダムサンプリング処理（確率β＝ｋ／ｍ）および第１ＬＤＰ処理（プライバシーバジェットεでのＬＤＰ処理）を実行したときに消費するプライバシーバジェット）
そして、第１ＬＤＰ処理部１３は、上記プライバシーバジェットεでＬＤＰメカニズムを適用し（上記プライバシーバジェットεによるＬＤＰ処理を実行し）、ＬＤＰ処理後のデータｄ^Ｍｓ _ｉ＝｛ｄ^Ｍｓ _ｉ１，・・・，ｄ^Ｍｓ _ｉｋ｝を取得する。つまり、第１ＬＤＰ処理部１３は、ランダムサンプリング処理後のデータｄ^ｓ _ｉ（ｋ次元分のデータ）に対して、プライバシーバジェットεによるＬＤＰ処理（メカニズムＭによる処理）を実行し、ＬＤＰ処理後のデータｄ^Ｍｓ _ｉ＝｛ｄ^Ｍｓ _ｉ１，・・・，ｄ^Ｍｓ _ｉｋ｝を取得する。すなわち、第１ＬＤＰ処理部１３は、
Ｍ_ｓ（ｄ_ｉ）＝Ｍ（ｄ^ｓ _ｉ）＝ｄ^Ｍｓ _ｉ＝｛ｄ^Ｍｓ _ｉ１，・・・，ｄ^Ｍｓ _ｉｋ｝
Ｍ（）：プライバシーバジェットεによるＬＤＰ処理を施した結果データを取得する関数
Ｍ_ｓ（）：ランダムサンプリング処理およびプライバシーバジェットεによるＬＤＰ処理を施した結果データを取得する関数
に相当する処理を行う。

【0104】

そして、第１ＬＤＰ処理部１３は、第１ＬＤＰ処理後のデータを含むデータを、データＤ１３として、第１通信インターフェース１６に出力する。

【0105】

（ステップＳ３）：
ステップＳ３において、端末装置ＵＥ_１からＵＥ_ｎは、それぞれ、第１ＬＤＰ処理後のデータを、アグリゲータ２に送信し、アグリゲータ２は、当該データを受信する処理を行う。具体的には、以下の処理が実行される。

【0106】

端末装置ＵＥ_ｉ（ｉ：自然数、１≦ｉ≦ｎ）の第１通信インターフェース１６は、第１ＬＤＰ処理部１３から出力されるデータＤ１３を入力し、当該データＤ１３を含むデータであって外部に送信できるデータに変換したデータを、データＤｏ＿ＵＥ（ＵＥ_ｉ）（この第１ＬＤＰ処理後のデータを含む送信データＤｏ＿ＵＥ（ＵＥ_ｉ）をＤ１＿ＬＤＰ（ＵＥ_ｉ）と表記する）として、アグリゲータ２に送信する。

【0107】

アグリゲータ２は、第２通信インターフェース２１により、端末装置ＵＥ_１からＵＥ_ｎのそれぞれから送信されるデータＤｏ＿ＵＥ（ＵＥ_１）～Ｄｏ＿ＵＥ（ＵＥ_ｎ）（データＤ１＿ＬＤＰ（ＵＥ_１）～Ｄ１＿ＬＤＰ（ＵＥ_ｎ））を、データＤｉ＿Ａｇｒ（ＵＥ_１）～Ｄｉ＿Ａｇｒ（ＵＥ_ｎ）として、受信する。

【0108】

（ステップＳ４）：
ステップＳ４において、アグリゲータ２は、データ収集処理を行う。具体的には、以下の処理が実行される。

【0109】

アグリゲータ２の制御部２４は、端末装置ＵＥ_ｉ（ｉ：自然数、１≦ｉ≦ｎ）から第１ＬＤＰ処理後のデータを含む送信データを受信した場合、第２通信インターフェース２１に対して、当該データに含まれる第１ＬＤＰ処理後のデータｄ^Ｍｓ _ｉ＝｛ｄ^Ｍｓ _ｉ１，・・・，ｄ^Ｍｓ _ｉｋ｝を取り出し、当該データｄ^Ｍｓ _ｉ＝｛ｄ^Ｍｓ _ｉ１，・・・，ｄ^Ｍｓ _ｉｋ｝を、データアクセス処理部２２に出力するよう指示する指令（制御信号）を出力する。

【0110】

第２通信インターフェース２１は、上記指令（制御信号）に従い、第１ＬＤＰ処理後のデータｄ^Ｍｓ _ｉ＝｛ｄ^Ｍｓ _ｉ１，・・・，ｄ^Ｍｓ _ｉｋ｝を取り出し、当該データｄ^Ｍｓ _ｉ＝｛ｄ^Ｍｓ _ｉ１，・・・，ｄ^Ｍｓ _ｉｋ｝を、データアクセス処理部２２に出力する。

【0111】

また、アグリゲータ２の制御部２４は、データアクセス処理部２２に対して、第２通信インターフェース２１から出力される第１ＬＤＰ処理後のデータｄ^Ｍｓ _ｉ＝｛ｄ^Ｍｓ _ｉ１，・・・，ｄ^Ｍｓ _ｉｋ｝をデータ格納部ＤＢ１に書き込む（記憶する）よう指示する指令（制御信号）を出力する。

【0112】

データアクセス処理部２２は、上記指令（制御信号）に従い、第１ＬＤＰ処理後のデータｄ^Ｍｓ _ｉ＝｛ｄ^Ｍｓ _ｉ１，・・・，ｄ^Ｍｓ _ｉｋ｝をデータ格納部ＤＢ１に書き込む（記憶する）。

【0113】

アグリゲータ２により上記処理を実行することで、端末装置ＵＥ_ｉ（ｉ：自然数、１≦ｉ≦ｎ）から送信された第１ＬＤＰ処理後のデータｄ^Ｍｓ _ｉ（＝Ｍ_ｓ（ｄ_ｉ））を収集し、データ格納部ＤＢ１に記憶させることができる。つまり、アグリゲータ２により上記処理を実行することで、端末装置ＵＥ_ｉにより取得された第１ＬＤＰ処理後のデータｄ^Ｍｓ _ｉ（＝Ｍ_ｓ（ｄ_ｉ））を収集したデータ集合Ｄ^Ｓ（下記数式に対応するデータ集合）を取得することができる。

【数2】

なお、「∪ｘ」は、データｘ（あるいは集合ｘ）の和集合を表す。

【0114】

（ステップＳ５）：
ステップＳ５において、アグリゲータ２は、データ整形アルゴリズム決定処理を行う。具体的には、以下の処理が実行される。

【0115】

アグリゲータ２の制御部２４は、ステップＳ４で収集したデータを考慮し、データ整形アルゴリズム決定処理部２３に対して、データ整形アルゴリズム決定処理を実行するよう指示する指令（制御信号）を出力する。

【0116】

データ整形アルゴリズム決定処理部２３は、制御部２４の上記指令に従い、ステップＳ４で収集したデータを考慮し、データ整形アルゴリズムを決定する処理（データ整形アルゴリズム決定処理）を実行し、当該処理の処理結果を含むデータを第２通信インターフェース２１に出力する。なお、ここでは、説明便宜のため、所定の次元データを抽出する処理をデータ整形アルゴリズムに決定したものとして、以下、説明する。なお、アグリゲータ２で決定（採用）されるデータ整形アルゴリズムは、端末装置ＵＥ_ｉから収集したデータであるデータ集合Ｄ^ｓを参照し、当該データ集合Ｄ^ｓの各データの属性や特性（特徴）に基づいて、データ集合Ｄ^ｓのデータに対してデータ整形処理を行うことを可能とするアルゴリズムであれば、いずれのアルゴリズムでもよい。

【0117】

（ステップＳ６）：
ステップＳ６において、アグリゲータ２は、端末装置ＵＥ_１からＵＥ_ｎのそれぞれへ、決定したデータ整形アルゴリズムを特定するデータを含む送信データを送信し、端末装置ＵＥ_１からＵＥ_ｎのそれぞれは、当該データを受信する処理を行う。具体的には、以下の処理が実行される。

【0118】

アグリゲータ２の制御部２４は、データ整形アルゴリズム決定処理部２３に対して、決定したデータ整形アルゴリズムを特定するデータを、第２通信インターフェース２１に出力するよう指示する指令（制御信号）を出力する。

【0119】

データ整形アルゴリズム決定処理部２３は、上記制御指令に従い、決定したデータ整形アルゴリズムを特定するデータを、第２通信インターフェース２１に出力する。

【0120】

アグリゲータ２の制御部２４は、第２通信インターフェース２１に対して、データ整形アルゴリズム決定処理部２３から入力した決定したデータ整形アルゴリズムを特定するデータを含めた送信データを、端末装置ＵＥ_１からＵＥ_ｎのそれぞれへ送信するよう指示する指令（制御信号）を出力する。

【0121】

第２通信インターフェース２１は、上記制御指令に従い、端末装置ＵＥ_１からＵＥ_ｎのそれぞれへ、決定したデータ整形アルゴリズムを特定するデータを含めた送信データ（この送信データをＤ＿ｄｅｃｉ＿Ｒ（ＵＥ_ｉ）（送信先：ＵＥ_ｉ）と表記する）を送信する。

【0122】

端末装置ＵＥ_１からＵＥ_ｎは、それぞれ、アグリゲータ２から送信されるＤ＿ｄｅｃｉ＿Ｒ（ＵＥ_１）～Ｄ＿ｄｅｃｉ＿Ｒ（ＵＥ_ｎ）を受信する。

【0123】

（ステップＳ７）：
ステップＳ７において、端末装置ＵＥ_１からＵＥ_ｎのそれぞれは、データ整形処理を実行する。具体的には、以下の処理が実行される。

【0124】

端末装置ＵＥ_ｉの第１通信インターフェース１６は、受信したデータＤ＿ｄｅｃｉ＿Ｒ（ＵＥ_ｉ）（＝Ｄｉ＿ＵＥ（ＵＥ_ｉ））から、決定したデータ整形アルゴリズムを特定するデータを抽出し、抽出したデータを含むデータを、データＤ１４として、データ整形処理部１４に出力する。

【0125】

データ整形処理部１４は、入力部１１から出力されるデータＤ１１と、第１通信インターフェース１６から出力されるデータＤ１４（データ整形処理のアルゴリズムを指定するデータを含むデータ）とを入力し、データＤ１１（データｄ_ｉ）に対して、データＤ１４で指示されているデータ整形処理アルゴリズムにより、データ整形処理を行う。つまり、データ整形処理部１４は、
ｄ^Ａ _ｉ＝Ａ（ｄ_ｉ）
ｄ^Ａ _ｉ＝｛ｄ^Ａ _ｉ１，・・・，ｄ^Ａ _ｉｐ｝
ｄ_ｉ：入力データ（ｄ_ｉ＝｛ｄ_ｉ１，・・・，ｄ_ｉｍ｝∈Ｓ^ｍ）
ｄ^Ａ _ｉ：出力データ（データ整形処理後のデータ）
Ａ（）：アグリゲータ２により決定されたデータ整形アルゴリズムによるデータ整形処理の処理結果を取得する関数
ｐ：次元削減後の次元数（ｐ：自然数、ｐ＜ｍ）
に相当する処理を実行することで、データ整形処理を行う。なお、本実施形態では、アグリゲータ２により決定されたデータ整形アルゴリズムによるデータ整形処理は、所定の次元のデータを取得（選択して抽出）する処理である。

【0126】

そして、データ整形処理部１４は、データ整形処理後のデータｄ^Ａ _ｉを、データＤ１５として、第２ＬＤＰ処理部１５に出力する。

【0127】

（ステップＳ８）：
ステップＳ８において、端末装置ＵＥ_１からＵＥ_ｎのそれぞれは、第２ＬＤＰ処理を実行する。具体的には、以下の処理が実行される。

【0128】

第２ＬＤＰ処理部１５は、データ整形処理部１４から出力されるデータＤ１５（＝ｄ^Ａ _ｉ）に対して、プライバシーバジェットεをε_２としたＬＤＰ処理である第２ＬＤＰ処理を実行する。つまり、第２ＬＤＰ処理部１５は、
ｄ^ＭＡ _ｉ＝Ｍ（ｄ^Ａ _ｉ）
ｄ^ＭＡ _ｉ＝｛ｄ^ＭＡ _ｉ１，・・・，ｄ^ＭＡ _ｉｐ｝
ｄ^Ａ _ｉ：入力データ（データ整形処理後のデータ）
ｄ^ＭＡ _ｉ：出力データ（第２ＬＤＰ処理後のデータ）
Ｍ（）：ＬＤＰ処理（プライバシーバジェットε＝ε_２でのＬＤＰ処理）の処理結果を取得する関数
に相当する処理を行うことで、第２ＬＤＰ処理後のデータｄ^ＭＡ _ｉ（＝Ｍ（ｄ^Ａ _ｉ）＝Ｍ（Ａ（ｄ_ｉ）））を取得する。

【0129】

そして、第２ＬＤＰ処理部１５は、第２ＬＤＰ処理後のデータｄ^ＭＡ _ｉ（＝Ｍ（Ａ（ｄ_ｉ）））を、データＤ１６として、第１通信インターフェース１６に出力する。

【0130】

（ステップＳ９）：
ステップＳ９において、端末装置ＵＥ_１からＵＥ_ｎは、それぞれ、第２ＬＤＰ処理後のデータ（データｄ^ＭＡ _ｉ（＝Ｍ（Ａ（ｄ_ｉ））））を、アグリゲータ２に送信し、アグリゲータ２は、当該データを受信する処理を行う。具体的には、以下の処理が実行される。

【0131】

端末装置ＵＥ_ｉ（ｉ：自然数、１≦ｉ≦ｎ）の第１通信インターフェース１６は、第２ＬＤＰ処理部１５から出力されるデータＤ１６を入力し、当該データＤ１６を含むデータであって外部に送信できるデータに変換したデータを、データＤｏ＿ＵＥ（ＵＥ_ｉ）（この第２ＬＤＰ処理後のデータを含む送信データＤｏ＿ＵＥ（ＵＥ_ｉ）をＤ２＿ＬＤＰ（ＵＥ_ｉ）と表記する）として、アグリゲータ２に送信する。

【0132】

アグリゲータ２は、第２通信インターフェース２１により、端末装置ＵＥ_１からＵＥ_ｎのそれぞれから送信されるデータＤｏ＿ＵＥ（ＵＥ_１）～Ｄｏ＿ＵＥ（ＵＥ_ｎ）（データＤ２＿ＬＤＰ（ＵＥ_１）～Ｄ２＿ＬＤＰ（ＵＥ_ｎ））を、データＤｉ＿Ａｇｒ（ＵＥ_１）～Ｄｉ＿Ａｇｒ（ＵＥ_ｎ）として、受信する。

【0133】

（ステップＳ１０）：
ステップＳ１０において、アグリゲータ２は、データ収集処理を行う。具体的には、以下の処理が実行される。

【0134】

アグリゲータ２の制御部２４は、端末装置ＵＥ_ｉ（ｉ：自然数、１≦ｉ≦ｎ）から第２ＬＤＰ処理後のデータを含む送信データを受信した場合、第２通信インターフェース２１に対して、当該データに含まれる第２ＬＤＰ処理後のデータｄ^ＭＡ _ｉ（＝Ｍ（Ａ（ｄ_ｉ）））を取り出し、当該データｄ^ＭＡ _ｉ（＝Ｍ（Ａ（ｄ_ｉ）））を、データアクセス処理部２２に出力するよう指示する指令（制御信号）を出力する。

【0135】

第２通信インターフェース２１は、上記指令（制御信号）に従い、第２ＬＤＰ処理後のデータｄ^ＭＡ _ｉ（＝Ｍ（Ａ（ｄ_ｉ）））を取り出し、当該データｄ^ＭＡ _ｉ（＝Ｍ（Ａ（ｄ_ｉ）））を、データアクセス処理部２２に出力する。

【0136】

また、アグリゲータ２の制御部２４は、データアクセス処理部２２に対して、第２通信インターフェース２１から出力される第２ＬＤＰ処理後のデータｄ^ＭＡ _ｉ（＝Ｍ（Ａ（ｄ_ｉ）））をデータ格納部ＤＢ１に書き込む（記憶する）よう指示する指令（制御信号）を出力する。

【0137】

データアクセス処理部２２は、上記指令（制御信号）に従い、第２ＬＤＰ処理後のデータｄ^ＭＡ _ｉ（＝Ｍ（Ａ（ｄ_ｉ）））をデータ格納部ＤＢ１に書き込む（記憶する）。

【0138】

アグリゲータ２により上記処理を実行することで、端末装置ＵＥ_ｉ（ｉ：自然数、１≦ｉ≦ｎ）から送信された第２ＬＤＰ処理後のデータｄ^ＭＡ _ｉ（＝Ｍ（Ａ（ｄ_ｉ）））を収集し、データ格納部ＤＢ１に記憶させることができる。つまり、アグリゲータ２により上記処理を実行することで、端末装置ＵＥ_ｉにより取得された第２ＬＤＰ処理後のデータｄ^ＭＡ _ｉ（＝Ｍ（Ａ（ｄ_ｉ）））を収集したデータ集合Ｄ（下記数式に対応するデータ集合）を取得することができる。

【数3】

なお、「∪ｘ」は、データｘ（あるいは集合ｘ）の和集合を表す。

【0139】

差分プライバシー処理システム１０００において、上記のように処理することで収集したデータＤ（取得したデータ集合Ｄ）は、（ε_１＋ε_２）－ＬＤＰ（プライバシーバジェットεが（ε_１＋ε_２）であるＬＤＰ（局所差分プライバシー））を満たす。

【0140】

≪まとめ≫
以上のように、差分プライバシー処理システム１０００では、（１）アグリゲータ２が、端末装置ＵＥ_ｉにより、ランダムサンプリング処理および第１ＬＤＰ処理を実行することで取得されたデータＭ_ｓ（ｄ_ｉ）を収集し、（２）アグリゲータ２が、収集したデータを考慮し決定したデータ整形アルゴリズムによる処理を端末装置ＵＥ_ｉにより実行させ、さらに、第２ＬＤＰ処理を実行させることで取得されたデータｄ^ＭＡ _ｉ（＝Ｍ（Ａ（ｄ_ｉ）））を、アグリゲータ２が収集することで、（ε_１＋ε_２）－ＬＤＰ（プライバシーバジェットεが（ε_１＋ε_２）であるＬＤＰ（局所差分プライバシー））を満たすデータ集合Ｄを取得することができる。

【0141】

つまり、差分プライバシー処理システム１０００では、上記処理により、局所差分プライバシー（ＬＤＰ）を満たしつつ、多次元データをより低次元のデータに変換することができ、さらに、局所差分プライバシー（ＬＤＰ）を満たしつつ、多次元データをより低次元のデータに変換したデータ集合を取得することができる。

【0142】

≪実施例１≫
ここで、差分プライバシー処理システム１０００での処理の実施例（一例）について、説明する。

【0143】

図５は、差分プライバシー処理システム１０００での処理の実施例（一例）を示す図である。

【0144】

差分プライバシー処理システム１０００での処理の実施例（一例）について、図５の場合について、説明する。

【0145】

図５の場合、データ提供者（例えば、端末装置ＵＥ_ｉのユーザ）が保有するデータｄ_ｉは、
ｄ_ｉ＝｛ｄ_ｉ１，・・・，ｄ_ｉ４｝（ｍ＝４（４次元データ））
である。ｄ_ｉ１～ｄ_ｉ４は、下記の通りである。
ｄ_ｉ１：年齢を示すデータ
ｄ_ｉ２：性別を示すデータ
ｄ_ｉ３：住所（都道府県）を示すデータ
ｄ_ｉ４：貯金を示すデータ
差分プライバシー処理システム１０００において、端末装置ＵＥ_ｉにより、ランダムサンプリング処理（図５の場合、確率β＝ｋ／ｍのランダムサンプリング処理、ｍ＝４、ｋ＝２）、および、第１ＬＤＰ処理が実行され、データＤ_ｓ（ｄ_ｉ）が取得される。

【0146】

図５の場合、端末装置ＵＥ_１では、ランダムサンプリング処理により、データｄ_ｉ１（年齢を示すデータ）およびデータｄ_ｉ３（住所（都道府県）を示すデータ）が選択され（第１次元のデータと第３次元のデータが選択され）、さらに、選択されたデータに対して、第１ＬＤＰ処理が実行されている。これにより、選択された次元のデータが撹乱されたデータ（プライバシーバジェットε＝ｌｎ（（ｍ／ｋ）×（ｅｘｐ（ε_１）－１）＋１）によるＬＤＰ処理が施されたデータ）が取得されている。

【0147】

また、端末装置ＵＥ_２では、ランダムサンプリング処理により、データｄ_ｉ２（性別を示すデータ）およびデータｄ_ｉ４（貯金を示すデータ）が選択され（第２次元のデータと第４次元のデータが選択され）、さらに、選択されたデータに対して、第１ＬＤＰ処理が実行されている。これにより、選択された次元のデータが撹乱されたデータ（プライバシーバジェットε＝ｌｎ（（ｍ／ｋ）×（ｅｘｐ（ε_１）－１）＋１）によるＬＤＰ処理が施されたデータ）が取得されている。

【0148】

端末装置ＵＥ_３～ＵＥ_ｎについても同様の処理が実行される。

【0149】

そして、端末装置ＵＥ_１～ＵＥ_ｎは、それぞれ、ランダムサンプリング処理および第１ＬＤＰ処理を行った後のデータＭ_ｓ（ｄ_ｉ）を、データＤ１＿ＬＤＰ（ＵＥ_１）～Ｄ１＿ＬＤＰ（ＵＥ_ｎ）として、アグリゲータ２に送信する。アグリゲータ２は、端末装置ＵＥ_１～ＵＥ_ｎから受信したデータを収集して、データ集合Ｄ^ｓを取得する。そして、アグリゲータ２は、データ整形アルゴリズムを決定し、決定したデータ整形アルゴリズムを、端末装置ＵＥ_１～ＵＥ_ｎに通知する。

【0150】

端末装置ＵＥ_１～ＵＥ_ｎは、それぞれ、アグリゲータ２から通知されたデータ整形アルゴリズム（Ａ（））によるデータ整形処理を実行する。図５の場合、データ整形アルゴリズム（Ａ（））は、第１次元のデータ（年齢のデータ）と、第４次元のデータ（貯金のデータ）とを選択（抽出）する処理（次元を削減する処理）を実現するアルゴリズムである。

【0151】

さらに、端末装置ＵＥ_１～ＵＥ_ｎは、それぞれ、データ整形処理後のデータに対して、第２ＬＤＰ処理（プライバシーバジェットε＝ε_２のＬＤＰ処理）を実行する。

【0152】

図５の場合、端末装置ＵＥ_１、ＵＥ_２は、それぞれ、データ整形アルゴリズム（Ａ（））による処理を行い、第１次元のデータ（年齢のデータ）と、第４次元のデータ（貯金のデータ）とを選択（抽出）し、さらに、第２ＬＤＰ処理を実行することで、撹乱されたデータ（プライバシーバジェットε＝ε_２によるＬＤＰ処理が施されたデータ）（ノイズ付与データ（摂動データ））が取得されている。

【0153】

端末装置ＵＥ_３～ＵＥ_ｎについても同様の処理が実行される。

【0154】

そして、端末装置ＵＥ_１～ＵＥ_ｎは、それぞれ、データ整形処理および第２ＬＤＰ処理を行った後のデータＭ（Ａ（ｄ_ｉ））を、データＤ２＿ＬＤＰ（ＵＥ_１）～Ｄ２＿ＬＤＰ（ＵＥ_ｎ）として、アグリゲータ２に送信する。アグリゲータ２は、端末装置ＵＥ_１～ＵＥ_ｎから受信したデータを収集して、次元削減後のデータ集合Ｄを取得する。

【0155】

そして、例えば、アグリゲータ２あるいは外部装置（外部ユーザ）が、データ集合Ｄを用いて、所定の統計解析処理等を行う場合であっても、プライバシーを保護しつつ、次元削減したデータを用いて効率良く処理を行うことができる。

【0156】

≪第１変形例≫
次に、第１実施形態の第１変形例について、説明する。なお、上記実施形態と同様の部分については、同一符号を付し、詳細な説明を省略する。

【0157】

図６は、第１実施形態の第１変形例に係る差分プライバシー処理システム１０００Ａの概略構成図である。

【0158】

図７は、差分プライバシー処理システム１０００Ａで実行される処理のシーケンス図である。

【0159】

第１実施形態の差分プライバシー処理システム１０００では、ランダムサンプリング処理および第１ＬＤＰ処理を行う端末装置ＵＥ１_ｉと、データ整形処理および第２ＬＤＰ処理を行う端末装置ＵＥ１_ｉとが同一であったが、第１実施形態の第１変形例の差分プライバシー処理システム１０００Ａでは、ランダムサンプリング処理および第１ＬＤＰ処理を行う端末装置ＵＥ１_ｉと、データ整形処理および第２ＬＤＰ処理を行う端末装置ＵＥ１_ｉとが同一ではない。これにより、第１実施形態では、（ε_１+ε_２）－ＬＤＰ処理が実現できるが、第２実施形態の第１変形例では、ｍａｘ（ε_１，ε_２）－ＬＤＰ処理（ｍａｘ（）：要素の最大値をとる関数）が実現できる。

【0160】

以下、本変形例の差分プライバシー処理システム１０００Ａについて説明する。

【0161】

図６に示すように、差分プライバシー処理システム１０００Ａは、ｎ１個（ｎ１：自然数）の端末装置ＵＥ_１～ＵＥ_ｎ１（これらの端末装置を第１グループＧｒｐ１の端末装置という）と、ｎ２個（ｎ２：自然数）の端末装置ＵＥ_ｎ１＋１～ＵＥ_{ｎ１＋ｎ２}（これらの端末装置を第１グループＧｒｐ２の端末装置という）と、を備える。なお、端末装置ＵＥ_１～ＵＥ_ｎ１、ＵＥ_ｎ１＋１～ＵＥ_{ｎ１＋ｎ２}の構成は、第１実施形態の端末装置ＵＥ_ｉと同様である。

【0162】

本変形例の差分プライバシー処理システム１０００Ａの動作について、以下、説明する。

【0163】

（ステップＳ１０１～Ｓ１０３）：
ステップＳ１０１～Ｓ１０３では、第１実施形態のステップＳ１～Ｓ３と同様の処理が実行される。なお、第１実施形態では、端末装置が端末装置ＵＥ_１～ＵＥ_ｎであったが、本変形例では、端末装置は、端末装置ＵＥ_１～ＵＥ_ｎ１である。

【0164】

（ステップＳ１０４～Ｓ１０５）：
ステップＳ１０４～Ｓ１０５では、第１実施形態のステップＳ４～Ｓ５と同様の処理が実行される。

【0165】

（ステップＳ１０６）：
ステップＳ１０６において、アグリゲータ２は、端末装置ＵＥ_ｎ１＋１からＵＥ_{ｎ１＋ｎ２}のそれぞれへ、決定したデータ整形アルゴリズムを特定するデータを含む送信データを送信し、端末装置ＵＥ_ｎ１＋１からＵＥ_{ｎ１＋ｎ２}のそれぞれは、当該データを受信する処理を行う。具体的には、以下の処理が実行される。

【0166】

【0167】

【0168】

アグリゲータ２の制御部２４は、第２通信インターフェース２１に対して、データ整形アルゴリズム決定処理部２３から入力した決定したデータ整形アルゴリズムを特定するデータを含めた送信データを、端末装置ＵＥ_ｎ１＋１からＵＥ_{ｎ１＋ｎ２}のそれぞれへ送信するよう指示する指令（制御信号）を出力する。

【0169】

第２通信インターフェース２１は、上記制御指令に従い、端末装置ＵＥ_ｎ１＋１からＵＥ_{ｎ１＋ｎ２}のそれぞれへ、決定したデータ整形アルゴリズムを特定するデータを含めた送信データ（この送信データをＤ＿ｄｅｃｉ＿Ｒ（ＵＥ_ｉ）（送信先：ＵＥ_ｉ）と表記する）を送信する。

【0170】

端末装置ＵＥ_ｎ１＋１からＵＥ_{ｎ１＋ｎ２}は、それぞれ、アグリゲータ２から送信されるＤ＿ｄｅｃｉ＿Ｒ（ＵＥ_ｎ１＋１）～Ｄ＿ｄｅｃｉ＿Ｒ（ＵＥ_{ｎ１＋ｎ２}）を受信する。

【0171】

（ステップＳ１０７）：
ステップＳ１０７において、端末装置ＵＥ_ｎ１＋１からＵＥ_{ｎ１＋ｎ２}のそれぞれは、データ整形処理を実行する。具体的には、以下の処理が実行される。

【0172】

端末装置ＵＥ_ｉ（ｉ：自然数、ｎ１＋１≦ｉ≦ｎ１＋ｎ２）の第１通信インターフェース１６は、受信したデータＤ＿ｄｅｃｉ＿Ｒ（ＵＥ_ｉ）（＝Ｄｉ＿ＵＥ（ＵＥ_ｉ））から、決定したデータ整形アルゴリズムを特定するデータを抽出し、抽出したデータを含むデータを、データＤ１４として、データ整形処理部１４に出力する。

【0173】

データ整形処理部１４は、入力部１１から出力されるデータＤ１１と、第１通信インターフェース１６から出力されるデータＤ１４（データ整形処理のアルゴリズムを指定するデータを含むデータ）とを入力し、データＤ１１（データｄ_ｉ（ｉ：自然数、ｎ１＋１≦ｉ≦ｎ１＋ｎ２））に対して、データＤ１４で指示されているデータ整形処理アルゴリズムにより、データ整形処理を行う。つまり、データ整形処理部１４は、
ｄ^Ａ _ｉ＝Ａ（ｄ_ｉ）
ｄ^Ａ _ｉ＝｛ｄ^Ａ _ｉ１，・・・，ｄ^Ａ _ｉｐ｝
ｄ_ｉ：入力データ（ｄ_ｉ＝｛ｄ_ｉ１，・・・，ｄ_ｉｍ｝∈Ｓ^ｍ）
ｄ^Ａ _ｉ：出力データ（データ整形処理後のデータ）
Ａ（）：アグリゲータ２により決定されたデータ整形アルゴリズムによるデータ整形処理の処理結果を取得する関数
ｐ：次元削減後の次元数（ｐ：自然数、ｐ＜ｍ）
に相当する処理を実行することで、データ整形処理を行う。なお、本変形例では、第１実施形態と同様に、アグリゲータ２により決定されたデータ整形アルゴリズムによるデータ整形処理は、所定の次元のデータを取得（選択して抽出）する処理である。

【0174】

そして、データ整形処理部１４は、データ整形処理後のデータｄ^Ａ _ｉを、データＤ１５として、第２ＬＤＰ処理部１５に出力する。

【0175】

（ステップＳ１０８）：
ステップＳ１０８において、端末装置ＵＥ_ｎ１＋１からＵＥ_{ｎ１＋ｎ２}のそれぞれは、第２ＬＤＰ処理を実行する。具体的には、以下の処理が実行される。

【0176】

【0177】

【0178】

（ステップＳ１０９）：
ステップＳ１０９において、端末装置ＵＥ_ｎ１＋１からＵＥ_{ｎ１＋ｎ２}は、それぞれ、第２ＬＤＰ処理後のデータ（データｄ^ＭＡ _ｉ（＝Ｍ（Ａ（ｄ_ｉ））））を、アグリゲータ２に送信し、アグリゲータ２は、当該データを受信する処理を行う。具体的には、以下の処理が実行される。

【0179】

端末装置ＵＥ_ｉ（ｉ：自然数、ｎ１＋１≦ｉ≦ｎ１＋ｎ２）の第１通信インターフェース１６は、第２ＬＤＰ処理部１５から出力されるデータＤ１６を入力し、当該データＤ１６を含むデータであって外部に送信できるデータに変換したデータを、データＤｏ＿ＵＥ（ＵＥ_ｉ）（この第２ＬＤＰ処理後のデータを含む送信データＤｏ＿ＵＥ（ＵＥ_ｉ）をＤ２＿ＬＤＰ（ＵＥ_ｉ）と表記する）として、アグリゲータ２に送信する。

【0180】

アグリゲータ２は、第２通信インターフェース２１により、端末装置ＵＥ_ｎ１＋１からＵＥ_{ｎ１＋ｎ２}のそれぞれから送信されるデータＤｏ＿ＵＥ（ＵＥ_ｎ１＋１）～Ｄｏ＿ＵＥ（ＵＥ_{ｎ１＋ｎ２}）（データＤ２＿ＬＤＰ（ＵＥ_ｎ１＋１）～Ｄ２＿ＬＤＰ（ＵＥ_{ｎ１＋ｎ２}））を、データＤｉ＿Ａｇｒ（ＵＥ_ｎ１＋１）～Ｄｉ＿Ａｇｒ（ＵＥ_{ｎ１＋ｎ２}）として、受信する。

【0181】

（ステップＳ１１０）：
ステップＳ１１０において、アグリゲータ２は、データ収集処理を行う。具体的には、以下の処理が実行される。

【0182】

アグリゲータ２の制御部２４は、端末装置ＵＥ_ｉ（ｉ：自然数、ｎ１＋１≦ｉ≦ｎ１＋ｎ２）から第２ＬＤＰ処理後のデータを含む送信データを受信した場合、第２通信インターフェース２１に対して、当該データに含まれる第２ＬＤＰ処理後のデータｄ^ＭＡ _ｉ（＝Ｍ（Ａ（ｄ_ｉ）））を取り出し、当該データｄ^ＭＡ _ｉ（＝Ｍ（Ａ（ｄ_ｉ）））を、データアクセス処理部２２に出力するよう指示する指令（制御信号）を出力する。

【0183】

【0184】

【0185】

【0186】

アグリゲータ２により上記処理を実行することで、端末装置ＵＥ_ｉ（ｉ：自然数、ｎ１＋１≦ｉ≦ｎ１＋ｎ２）から送信された第２ＬＤＰ処理後のデータｄ^ＭＡ _ｉ（＝Ｍ（Ａ（ｄ_ｉ）））を収集し、データ格納部ＤＢ１に記憶させることができる。つまり、アグリゲータ２により上記処理を実行することで、端末装置ＵＥ_ｉにより取得された第２ＬＤＰ処理後のデータｄ^ＭＡ _ｉ（＝Ｍ（Ａ（ｄ_ｉ）））を収集したデータ集合Ｄ（下記数式に対応するデータ集合）を取得することができる。

【数4】

なお、「∪ｘ」は、データｘ（あるいは集合ｘ）の和集合を表す。

【0187】

差分プライバシー処理システム１０００において、上記のように処理することで収集したデータＤ（取得したデータ集合Ｄ）は、ｍａｘ（ε_１，ε_２）－ＬＤＰ（プライバシーバジェットεがｍａｘ（ε_１，ε_２）（ε_１、ε_２のうち大きい方の値）であるＬＤＰ（局所差分プライバシー））を満たす。

【0188】

以上のように、差分プライバシー処理システム１０００Ａでは、（１）アグリゲータ２が、端末装置ＵＥ_ｉ（ｉ：自然数、１≦ｉ≦ｎ１）により、ランダムサンプリング処理および第１ＬＤＰ処理を実行することで取得されたデータＭ_ｓ（ｄ_ｉ）を収集し、（２）アグリゲータ２が収集したデータに基づいて決定したデータ整形アルゴリズムによる処理を端末装置ＵＥ_ｉ（ｉ：自然数、ｎ１＋１≦ｉ≦ｎ１＋ｎ２）により実行させ、さらに、第２ＬＤＰ処理を実行させることで取得されたデータｄ^ＭＡ _ｉ（＝Ｍ（Ａ（ｄ_ｉ）））を、アグリゲータ２が収集することで、ｍａｘ（ε_１，ε_２）－ＬＤＰ（プライバシーバジェットεがｍａｘ（ε_１，ε_２）であるＬＤＰ（局所差分プライバシー））を満たすデータ集合Ｄを取得することができる。

【0189】

つまり、差分プライバシー処理システム１０００Ａでは、上記処理により、局所差分プライバシー（ＬＤＰ）を満たしつつ、多次元データをより低次元のデータに変換することができ、さらに、局所差分プライバシー（ＬＤＰ）を満たしつつ、多次元データをより低次元のデータに変換したデータ集合を取得することができる。

【0190】

≪実施例２≫
ここで、第１実施形態の第１変形例の差分プライバシー処理システム１０００Ａでの処理の実施例（一例）について、説明する。

【0191】

図８は、第１実施形態の第１変形例の差分プライバシー処理システム１０００Ａでの処理の実施例（一例）を示す図である。

【0192】

差分プライバシー処理システム１０００Ａでの処理の実施例（一例）について、図８の場合について、説明する。

【0193】

図８の場合、データ提供者（例えば、端末装置ＵＥ_ｉ（ｉ：自然数、１≦ｉ≦ｎ１＋ｎ２）のユーザ）が保有するデータｄ_ｉは、
ｄ_ｉ＝｛ｄ_ｉ１，・・・，ｄ_ｉ４｝（ｍ＝４（４次元データ））
である。ｄ_ｉ１～ｄ_ｉ４は、下記の通りである。
ｄ_ｉ１：年齢を示すデータ
ｄ_ｉ２：性別を示すデータ
ｄ_ｉ３：住所（都道府県）を示すデータ
ｄ_ｉ４：貯金を示すデータ
差分プライバシー処理システム１０００Ａにおいて、端末装置ＵＥ_ｉ（ｉ：自然数、１≦ｉ≦ｎ１）により、ランダムサンプリング処理（図８の場合、確率β＝ｋ／ｍのランダムサンプリング処理、ｍ＝４、ｋ＝２）、および、第１ＬＤＰ処理が実行され、データＤ_ｓ（ｄ_ｉ）が取得される。

【0194】

図８の場合、端末装置ＵＥ_１では、ランダムサンプリング処理により、データｄ_ｉ１（年齢を示すデータ）およびデータｄ_ｉ３（住所（都道府県）を示すデータ）が選択され（第１次元のデータと第３次元のデータが選択され）、さらに、選択されたデータに対して、第１ＬＤＰ処理が実行されている。これにより、選択された次元のデータが撹乱されたデータ（プライバシーバジェットε＝ｌｎ（（ｍ／ｋ）×（ｅｘｐ（ε_１）－１）＋１）によるＬＤＰ処理が施されたデータ）が取得されている。

【0195】

【0196】

端末装置ＵＥ_３～ＵＥ_ｎ１についても同様の処理が実行される。

【0197】

そして、端末装置ＵＥ_１～ＵＥ_ｎ１は、それぞれ、ランダムサンプリング処理および第１ＬＤＰ処理を行った後のデータＭ_ｓ（ｄ_ｉ）を、データＤ１＿ＬＤＰ（ＵＥ_１）～Ｄ１＿ＬＤＰ（ＵＥ_ｎ）として、アグリゲータ２に送信する。アグリゲータ２は、端末装置ＵＥ_１～ＵＥ_ｎ１から受信したデータを収集して、データ集合Ｄ^ｓを取得する。そして、アグリゲータ２は、取得したデータ集合Ｄ^ｓを考慮してデータ整形アルゴリズムを決定し、決定したデータ整形アルゴリズムを、端末装置ＵＥ_ｎ１＋１～ＵＥ_{ｎ１＋ｎ２}に通知する。

【0198】

端末装置ＵＥ_ｎ１＋１～ＵＥ_{ｎ１＋ｎ２}は、それぞれ、アグリゲータ２から通知されたデータ整形アルゴリズム（Ａ（））によるデータ整形処理を実行する。図８の場合、データ整形アルゴリズム（Ａ（））は、第１次元のデータ（年齢のデータ）と、第４次元のデータ（貯金のデータ）とを選択（抽出）する処理（次元を削減する処理）を実現するアルゴリズムである。

【0199】

さらに、端末装置ＵＥ_ｎ１＋１～ＵＥ_{ｎ１＋ｎ２}は、それぞれ、データ整形処理後のデータに対して、第２ＬＤＰ処理（プライバシーバジェットε＝ε_２のＬＤＰ処理）を実行する。

【0200】

図８の場合、端末装置ＵＥ_ｎ１＋１、ＵＥ_ｎ１＋２は、それぞれ、データ整形アルゴリズム（Ａ（））による処理を行い、第１次元のデータ（年齢のデータ）と、第４次元のデータ（貯金のデータ）とを選択（抽出）し、さらに、第２ＬＤＰ処理を実行することで、撹乱されたデータ（プライバシーバジェットε＝ε_２によるＬＤＰ処理が施されたデータ）（ノイズ付与データ（摂動データ））が取得されている。

【0201】

端末装置ＵＥ_ｎ１＋３～ＵＥ_{ｎ１＋ｎ２}についても同様の処理が実行される。

【0202】

そして、端末装置ＵＥ_ｎ１＋１～ＵＥ_{ｎ１＋ｎ２}は、それぞれ、データ整形処理および第２ＬＤＰ処理を行った後のデータＭ（Ａ（ｄ_ｉ））を、データＤ２＿ＬＤＰ（ＵＥ_ｎ１＋１）～Ｄ２＿ＬＤＰ（ＵＥ_{ｎ１＋ｎ２}）として、アグリゲータ２に送信する。アグリゲータ２は、端末装置ＵＥ_ｎ１＋１～ＵＥ_{ｎ１＋ｎ２}から受信したデータを収集して、次元削減後のデータ集合Ｄを取得する。

【0203】

【0204】

［他の実施形態］
上記実施形態（変形例を含む）の差分プライバシー処理システム１０００、１０００Ａにおいて、端末装置ＵＥ_ｉのランダムサンプリング処理部１２では、ランダムサンプリング処理が実行される場合について説明したが、これに限定されることはない。例えば、端末装置ＵＥ_ｉのランダムサンプリング処理部１２において、ランダムサンプリング処理の代わりに、データ書き換え処理を伴うサンプリング処理を行うようにし、第１ＬＤＰ処理部１３において、適切なプライバシーバジェットεを選択し、当該プライバシーバジェットεによるＬＤＰ処理を行い、データ書き換えを伴うサンプリング処理および第１ＬＤＰ処理で、プライバシーバジェットε_１が消費されるようにすればよい。

【0205】

また、第１実施形態の第１変形例において、端末装置ＵＥ_ｉは、第１実施形態の端末装置ＵＥ_ｉと同様の構成を有している場合について説明したが、これに限定されることはない。例えば、第１実施形態の第１変形例の第１グループＧｒｐ１に属する端末装置ＵＥ_ｉは、データ整形処理部１４および第２ＬＤＰ処理部１５を有しない構成（削除した構成）としてもよい。また、第１実施形態の第１変形例の第２グループＧｒｐ２に属する端末装置ＵＥ_ｉは、ランダムサンプリング処理部１２および第１ＬＤＰ処理部１３を有しない構成（削除した構成）としてもよい。

【0206】

また、上記実施形態で説明した差分プライバシー処理システム１０００、１０００Ａ、端末装置ＵＥ_ｉ、アグリゲータ２において、各ブロックは、ＬＳＩなどの半導体装置により個別に１チップ化されても良いし、一部又は全部を含むように１チップ化されても良い。

【0207】

なお、ここでは、ＬＳＩとしたが、集積度の違いにより、ＩＣ、システムＬＳＩ、スーパーＬＳＩ、ウルトラＬＳＩと呼称されることもある。

【0208】

また、集積回路化の手法はＬＳＩに限るものではなく、専用回路又は汎用プロセサで実現してもよい。ＬＳＩ製造後に、プログラムすることが可能なＦＰＧＡ（ＦｉｅｌｄＰｒｏｇｒａｍｍａｂｌｅＧａｔｅＡｒｒａｙ）や、ＬＳＩ内部の回路セルの接続や設定を再構成可能なリコンフィギュラブル・プロセッサーを利用しても良い。

【0209】

また、上記各実施形態の各機能ブロックの処理の一部または全部は、プログラムにより実現されるものであってもよい。そして、上記各実施形態の各機能ブロックの処理の一部または全部は、コンピュータにおいて、中央演算装置（ＣＰＵ）により行われる。また、それぞれの処理を行うためのプログラムは、ハードディスク、ＲＯＭなどの記憶装置に格納されており、ＲＯＭにおいて、あるいはＲＡＭに読み出されて実行される。

【0210】

また、上記実施形態の各処理をハードウェアにより実現してもよいし、ソフトウェア（ＯＳ（オペレーティングシステム）、ミドルウェア、あるいは、所定のライブラリとともに実現される場合を含む。）により実現してもよい。さらに、ソフトウェアおよびハードウェアの混在処理により実現しても良い。

【0211】

例えば、上記実施形態の各機能部を、ソフトウェアにより実現する場合、図９に示したハードウェア構成（例えば、ＣＰＵ（ＧＰＵであってもよい）、ＲＯＭ、ＲＡＭ、入力部、出力部等をバスＢｕｓにより接続したハードウェア構成）を用いて、各機能部をソフトウェア処理により実現するようにしてもよい。

【0212】

また、上記実施形態の各機能部をソフトウェアにより実現する場合、当該ソフトウェアは、図９に示したハードウェア構成を有する単独のコンピュータを用いて実現されるものであってもよいし、複数のコンピュータを用いて分散処理により実現されるものであってもよい。

【0213】

また、上記実施形態における処理方法の実行順序は、必ずしも、上記実施形態の記載に制限されるものではなく、発明の要旨を逸脱しない範囲で、実行順序を入れ替えることができるものである。また、上記実施形態における処理方法において、発明の要旨を逸脱しない範囲で、一部のステップが、他のステップと並列に実行されるものであってもよい。

【0214】

前述した方法をコンピュータに実行させるコンピュータプログラム及びそのプログラムを記録したコンピュータ読み取り可能な記録媒体は、本発明の範囲に含まれる。ここで、コンピュータ読み取り可能な記録媒体としては、例えば、フレキシブルディスク、ハードディスク、ＣＤ－ＲＯＭ、ＭＯ、ＤＶＤ、ＤＶＤ－ＲＯＭ、ＤＶＤ－ＲＡＭ、大容量ＤＶＤ、次世代ＤＶＤ、半導体メモリを挙げることができる。

【0215】

上記コンピュータプログラムは、上記記録媒体に記録されたものに限られず、電気通信回線、無線又は有線通信回線、インターネットを代表とするネットワーク等を経由して伝送されるものであってもよい。

【0216】

なお、本発明の具体的な構成は、前述の実施形態に限られるものではなく、発明の要旨を逸脱しない範囲で種々の変更および修正が可能である。

【符号の説明】

【0217】

１０００、１０００Ａ局所差分プライバシー処理システム
ＵＥ_１～ＵＥ_ｎ、ＵＥ_１～ＵＥ_{ｎ１＋ｎ２} 端末装置
１２ランダムサンプリング処理部
１３第１ＬＤＰ処理部
１４データ整形処理部
１５第２ＬＤＰ処理部
２アグリゲータ（データ収集装置）
２２データアクセス処理部
２３データ整形アルゴリズム決定部

【図1】