(19)【発行国】日本国特許庁(JP)
(12)【公報種別】特許公報(B1)
(11)【特許番号】
(24)【登録日】2024-05-22
(45)【発行日】2024-05-30
(54)【発明の名称】情報処理装置及び情報処理方法
(51)【国際特許分類】
G06F 21/62 20130101AFI20240523BHJP
【ＦＩ】
G06F21/62 354
【請求項の数】
12
(21)【出願番号】P 2023202916
(22)【出願日】2023-11-30
【審査請求日】2023-11-30
【早期審査対象出願】
(73)【特許権者】
【識別番号】000208891
【氏名又は名称】ＫＤＤＩ株式会社
(74)【代理人】
【識別番号】110004222
【氏名又は名称】弁理士法人創光国際特許事務所
(72)【発明者】
【氏名】披田野 清良
(72)【発明者】
【氏名】黒川 茂莉
(72)【発明者】
【氏名】山口 求
(72)【発明者】
【氏名】浅川 善則
(72)【発明者】
【氏名】宮嵜 仁志
【審査官】吉田 歩
(56)【参考文献】
【文献】国際公開第２０１６／２０３７５２（ＷＯ，Ａ１）
【文献】特表２０２３－５４３７１６（ＪＰ，Ａ）
【文献】特開２０２１－０５６９２１（ＪＰ，Ａ）
【文献】特開２０１８－０１０４２４（ＪＰ，Ａ）
【文献】特開２０２１－１１７６７９（ＪＰ，Ａ）
【文献】国際公開第２００８／１０２７５４（ＷＯ，Ａ１）
【文献】米国特許出願公開第２０１７／０１６９２５３（ＵＳ，Ａ１）
【文献】ZetaSQL Query syntax，2023年11月10日，<URL https://github.com/google/zetasql/blob/master/docs/query-syntax.md>
(58)【調査した分野】(Int.Cl.，ＤＢ名)
Ｇ０６Ｆ ２１／６２
(57)【特許請求の範囲】
【請求項1】
データを識別するためのデータ識別情報と第１データとを関連付けた複数の第１レコードを含む第１データ群と、前記データ識別情報と第２データとを関連付けた複数の第２レコードを含む第２データ群とのうちの前記第１データ群に含まれる複数の前記第１データそれぞれに、前記第１データ群と前記第２データ群とを統合して統合データ群とした場合における、前記統合データ群に含まれる複数のデータに対して所定の確率でノイズが付与されているようにノイズを付与するクエリである第１ノイズ付与クエリと、前記第１データ群に含まれる複数の前記データ識別情報を所定の方法により不可逆変換するクエリである第１不可逆変換クエリとを生成する第１生成部と、前記第２データ群に含まれる複数の前記第２データそれぞれに、前記統合データ群に含まれる複数のデータに対して前記所定の確率でノイズが付与されているようにノイズを付与するクエリである第２ノイズ付与クエリと、前記第２データ群に含まれる複数の前記データ識別情報を前記所定の方法により不可逆変換するクエリである第２不可逆変換クエリとを生成する第２生成部と、
前記第１生成部が生成した前記第１ノイズ付与クエリと前記第１不可逆変換クエリとを前記第１データ群の提供元に対応する第１装置に送信するとともに、前記第２生成部が生成した前記第２ノイズ付与クエリと前記第２不可逆変換クエリとを前記第２データ群の提供元に対応する第２装置に送信する送信部と、
前記第１不可逆変換クエリに基づいて変換された前記データ識別情報と、前記第１ノイズ付与クエリに基づいてノイズが付与された複数の第１データとを関連付けた複数の第１レコードを含む変換後の第１データ群と、前記第２不可逆変換クエリに基づいて変換された前記データ識別情報と、前記第２ノイズ付与クエリに基づいてノイズが付与された複数の第２データとを関連付けた複数の第２レコードを含む変換後の第２データ群とを取得するデータ群取得部と、
前記データ群取得部が取得した前記変換後の第１データ群に含まれる複数の第１レコードそれぞれの前記データ識別情報と、前記データ群取得部が取得した前記変換後の第２データ群に含まれる複数の第２レコードそれぞれの前記データ識別情報とに基づいて、前記変換後の第１データ群と前記変換後の第２データ群とを統合した前記統合データ群を生成する統合部と、
を有する情報処理装置。
【請求項2】
前記第１レコードは、ｎ１個の属性それぞれに対応する複数の第１データを含み、前記第２レコードは、ｎ２個の属性それぞれに対応する複数の第２データを含み、
前記統合データ群に含まれる複数のデータは、プライバシーの強度を示すパラメータをεとするε－局所型差分プライバシーを満たしており、
前記第１生成部は、前記ｎ１個の属性それぞれの第１データにノイズが付与された場合に、ノイズが付与された前記ｎ１個の属性それぞれの第１データがε１－局所型差分プライバシー（ただし、プライバシーの強度を示すパラメータε１はε１＝ε／（ｎ１＋ｎ２）である）を満たすようにノイズを付与する前記第１ノイズ付与クエリを生成し、
前記第２生成部は、前記ｎ２個の属性それぞれの第２データにノイズが付与された場合に、ノイズが付与された前記ｎ２個の属性それぞれの第２データがε２－局所型差分プライバシー（ただし、プライバシーの強度を示すパラメータε２はε２＝ε／（ｎ１＋ｎ２）である）を満たすようにノイズを付与する前記第２ノイズ付与クエリを生成する、
請求項１に記載の情報処理装置。
【請求項3】
前記データ識別情報に関連付けられているデータ群はｋ個（ただし、ｋは３以上の整数）存在し、第ｋデータ群に含まれる複数の第ｋデータそれぞれに、ｋ個のデータ群を統合して前記統合データ群とした場合における、前記統合データ群に含まれる複数のデータに対して所定の確率でノイズが付与されているようにノイズを付与するクエリである第ｋノイズ付与クエリと、前記第ｋデータ群に含まれる複数の前記データ識別情報を所定の方法により不可逆変換するクエリである第ｋ不可逆変換クエリとを生成する第ｋ生成部をさらに有し、
前記第ｋデータ群に含まれる第ｋレコードは、ｎｋ個の属性それぞれに対応する複数の第ｋデータを含み、
前記第ｋ生成部は、前記ｎｋ個の属性それぞれの第ｋデータにノイズが付与された場合に、ノイズが付与された前記ｎｋ個の属性それぞれの第ｋデータがεｋ－局所型差分プライバシー（ただし、プライバシーの強度を示すパラメータεｋはεｋ＝ε／（ｎ１＋ｎ２＋・・・＋ｎｋ）である）を満たすようにノイズを付与する前記第ｋノイズ付与クエリを生成する、
請求項２に記載の情報処理装置。
【請求項4】
前記第１装置から前記第１レコードを構成する複数の属性それぞれに対応する項目を示す第１項目情報を取得するとともに、前記第２装置から前記第２レコードを構成する複数の属性それぞれに対応する項目を示す第２項目情報を取得し、取得した前記第１項目情報に基づいて前記第１データに対応する属性の個数である前記ｎ１を特定し、取得した前記第２項目情報に基づいて前記第２データに対応する属性の個数である前記ｎ２を特定し、特定した属性の個数である前記ｎ１及び前記ｎ２に基づいて、ノイズが付与された後の前記第１データ及び前記第２データが満たす局所型差分プライバシーにおけるプライバシーの強度を示す第１パラメータε１及び第２パラメータε２を決定する決定部を有する、請求項２に記載の情報処理装置。
【請求項5】
前記第１ノイズ付与クエリ及び前記第２ノイズ付与クエリの少なくともいずれかは、ノイズが付与されるデータ群に含まれる複数の属性それぞれに対応する複数のデータのうち、少なくとも一つの属性に対応するデータが取り得る値の数を減少させ、当該データが取り得る値の数を減少させた後に、当該複数のデータそれぞれに前記ノイズを付与するクエリである、
請求項１に記載の情報処理装置。
【請求項6】
前記第１生成部は、前記変換後の第１データ群に含まれる前記第１レコードに含まれる第１データを、第１の割合で他の第１レコードに含まれる前記第１データと入れ替えることにより前記変換後の第１データ群を更新するクエリである第１更新クエリを生成し、前記第２生成部は、前記変換後の第２データ群に含まれる前記第２レコードに含まれる第２データを、第２の割合で他の第２レコードに含まれる前記第２データと入れ替えることにより前記変換後の第２データ群を更新するクエリである第２更新クエリを生成し、
前記送信部は、前記第１生成部が生成した前記第１更新クエリを前記第１装置に送信し、前記第２生成部が生成した前記第２更新クエリを前記第２装置に送信する、
請求項１に記載の情報処理装置。
【請求項7】
前記統合データ群に含まれるレコードに含まれるデータを、第３の割合で他のレコードに含まれるデータと入れ替えることにより前記統合データ群を更新する更新部を有する、請求項１に記載の情報処理装置。
【請求項8】
前記第１生成部は、前記第１データ群に含まれる複数の前記データ識別情報それぞれに、ランダムデータを付加してから前記所定の方法により不可逆変換する前記第１不可逆変換クエリを生成し、前記第２生成部は、前記第２データ群に含まれる複数の前記データ識別情報それぞれに、当該データ識別情報に対応する、前記第１データ群に含まれるデータ識別情報に付加されたランダムデータと同一のランダムデータを付加してから前記所定の方法により不可逆変換する前記第２不可逆変換クエリを生成する、
請求項１に記載の情報処理装置。
【請求項9】
前記統合部は、前記統合データ群をさらに加工して統計データを生成し、当該統計データに対して前記ノイズの付与に用いられる前記所定の確率を用いて前記ノイズを除去するよう補正を行う、請求項１に記載の情報処理装置。
【請求項10】
前記第１データ群及び前記第２データ群には、新たに追加されたレコードを特定するために用いることができる特定用データが含まれており、前記第１生成部は、前記第１不可逆変換クエリを再生成する場合、前記特定用データに基づいて新たに追加された第１レコードに対して前記ノイズを付与する前記第１ノイズ付与クエリを生成し、
前記第２生成部は、前記第２不可逆変換クエリを再生成する場合、前記特定用データに基づいて新たに追加された第２レコードに対して前記ノイズを付与する前記第２ノイズ付与クエリを生成する、
請求項１に記載の情報処理装置。
【請求項11】
前記統合部は、前記変換後の第１データ群に含まれる複数の第１レコードそれぞれの前記データ識別情報と、前記変換後の第２データ群に含まれる複数の第２レコードそれぞれの前記データ識別情報とに基づいて、前記変換後の第１データ群と前記変換後の第２データ群とを統合し、前記データ識別情報を除外して、前記統合データ群を生成する、請求項１に記載の情報処理装置。
【請求項12】
情報処理装置が実行する、データを識別するためのデータ識別情報と第１データとを関連付けた複数の第１レコードを含む第１データ群と、前記データ識別情報と第２データとを関連付けた複数の第２レコードを含む第２データ群とのうちの前記第１データ群に含まれる複数の前記第１データそれぞれに、前記第１データ群と前記第２データ群とを統合して統合データ群とした場合における、前記統合データ群に含まれる複数のデータに対して所定の確率でノイズが付与されているようにノイズを付与するクエリである第１ノイズ付与クエリと、前記第１データ群に含まれる複数の前記データ識別情報を所定の方法により不可逆変換するクエリである第１不可逆変換クエリとを生成するステップと、
前記第２データ群に含まれる複数の前記第２データそれぞれに、前記統合データ群に含まれる複数のデータに対して前記所定の確率でノイズが付与されているようにノイズを付与するクエリである第２ノイズ付与クエリと、前記第２データ群に含まれる複数の前記データ識別情報を前記所定の方法により不可逆変換するクエリである第２不可逆変換クエリとを生成するステップと、
生成した前記第１ノイズ付与クエリと前記第１不可逆変換クエリとを前記第１データ群の提供元に対応する第１装置に送信するとともに、生成した前記第２ノイズ付与クエリと前記第２不可逆変換クエリとを前記第２データ群の提供元に対応する第２装置に送信するステップと、
前記第１不可逆変換クエリに基づいて変換された前記データ識別情報と、前記第１ノイズ付与クエリに基づいてノイズが付与された複数の第１データとを関連付けた複数の第１レコードを含む変換後の第１データ群と、前記第２不可逆変換クエリに基づいて変換された前記データ識別情報と、前記第２ノイズ付与クエリに基づいてノイズが付与された複数の第２データとを関連付けた複数の第２レコードを含む変換後の第２データ群とを取得するステップと、
取得した前記変換後の第１データ群に含まれる複数の第１レコードそれぞれの前記データ識別情報と、取得した前記変換後の第２データ群に含まれる複数の第２レコードそれぞれの前記データ識別情報とに基づいて、前記変換後の第１データ群と前記変換後の第２データ群とを統合した前記統合データ群を生成するステップと、
を有する情報処理方法。
【発明の詳細な説明】
【技術分野】
【0001】
本発明は、情報処理装置及び情報処理方法に関する。
【背景技術】
【0002】
従来、複数の事業者からユーザに関する情報であるユーザ情報を収集し、データ分析を行うことが実施されている。この場合、ユーザのプライバシーを保護するために、複数の事業者から収集したユーザ情報の少なくとも一部を匿名化することが行われている。例えば、特許文献１には、複数のユーザ情報を結合するための結合キーとなるデータに対して不可逆変換等を行い、変換後の結合キーを用いて複数の事業者それぞれに対応するユーザの個人情報を結合し、結合後のデータに対して追加的に匿名化処理を行うシステムが開示されている。
【先行技術文献】
【特許文献】
【0003】
【文献】特開２０２１－１１７６７９号公報
【発明の概要】
【発明が解決しようとする課題】
【0004】
従来の技術では、複数の事業者それぞれからユーザ情報を収集してから匿名化処理を行うため、ユーザ情報を収集する過程で、匿名化処理が行われていないユーザ情報が流出してしまうおそれがある。
【0005】
そこで、本発明はこれらの点に鑑みてなされたものであり、ユーザ情報を収集する過程で、匿名化処理が行われていないユーザ情報が流出しないようにすることを目的とする。
【課題を解決するための手段】
【0006】
本発明の第１の態様に係る情報処理装置は、データを識別するためのデータ識別情報と第１データとを関連付けた複数の第１レコードを含む第１データ群と、前記データ識別情報と第２データとを関連付けた複数の第２レコードを含む第２データ群とのうちの前記第１データ群に含まれる複数の前記第１データそれぞれに、前記第１データ群と前記第２データ群とを統合して統合データ群とした場合における、前記統合データ群に含まれる複数のデータに対して所定の確率でノイズが付与されているようにノイズを付与するクエリである第１ノイズ付与クエリと、前記第１データ群に含まれる複数の前記データ識別情報を所定の方法により不可逆変換するクエリである第１不可逆変換クエリとを生成する第１生成部と、前記第２データ群に含まれる複数の前記第２データそれぞれに、前記統合データ群に含まれる複数のデータに対して前記所定の確率でノイズが付与されているようにノイズを付与するクエリである第２ノイズ付与クエリと、前記第２データ群に含まれる複数の前記データ識別情報を前記所定の方法により不可逆変換するクエリである第２不可逆変換クエリとを生成する第２生成部と、前記第１生成部が生成した前記第１ノイズ付与クエリと前記第１不可逆変換クエリとを前記第１データ群の提供元に対応する第１装置に送信するとともに、前記第２生成部が生成した前記第２ノイズ付与クエリと前記第２不可逆変換クエリとを前記第２データ群の提供元に対応する第２装置に送信する送信部と、前記第１不可逆変換クエリに基づいて変換された前記データ識別情報と、前記第１ノイズ付与クエリに基づいてノイズが付与された複数の第１データとを関連付けた複数の第１レコードを含む変換後の第１データ群と、前記第２不可逆変換クエリに基づいて変換された前記データ識別情報と、前記第２ノイズ付与クエリに基づいてノイズが付与された複数の第２データとを関連付けた複数の第２レコードを含む変換後の第２データ群とを取得するデータ群取得部と、前記データ群取得部が取得した前記変換後の第１データ群に含まれる複数の第１レコードそれぞれの前記データ識別情報と、前記データ群取得部が取得した前記変換後の第２データ群に含まれる複数の第２レコードそれぞれの前記データ識別情報とに基づいて、前記変換後の第１データ群と前記変換後の第２データ群とを統合した前記統合データ群を生成する統合部と、を有する。
【0007】
前記第１レコードは、ｎ１個の属性それぞれに対応する複数の第１データを含み、前記第２レコードは、ｎ２個の属性それぞれに対応する複数の第２データを含み、前記統合データ群に含まれる複数のデータは、プライバシーの強度を示すパラメータをεとするε－局所型差分プライバシーを満たしており、前記第１生成部は、前記ｎ１個の属性それぞれの第１データにノイズが付与された場合に、ノイズが付与された前記ｎ１個の属性それぞれの第１データがε１－局所型差分プライバシー（ただし、プライバシーの強度を示すパラメータε１はε１＝ε／（ｎ１＋ｎ２）である）を満たすようにノイズを付与する前記第１ノイズ付与クエリを生成し、前記第２生成部は、前記ｎ２個の属性それぞれの第２データにノイズが付与された場合に、ノイズが付与された前記ｎ２個の属性それぞれの第２データがε２－局所型差分プライバシー（ただし、プライバシーの強度を示すパラメータε２はε２＝ε／（ｎ１＋ｎ２）である）を満たすようにノイズを付与する前記第２ノイズ付与クエリを生成してもよい。
【0008】
前記データ識別情報に関連付けられているデータ群はｋ個（ただし、ｋは３以上の整数）存在し、第ｋデータ群に含まれる複数の第ｋデータそれぞれに、ｋ個のデータ群を統合して前記統合データ群とした場合における、前記統合データ群に含まれる複数のデータに対して所定の確率でノイズが付与されているようにノイズを付与するクエリである第ｋノイズ付与クエリと、前記第ｋデータ群に含まれる複数の前記データ識別情報を所定の方法により不可逆変換するクエリである第ｋ不可逆変換クエリとを生成する第ｋ生成部をさらに有し、前記第ｋデータ群に含まれる第ｋレコードは、ｎｋ個の属性それぞれに対応する複数の第ｋデータを含み、前記第ｋ生成部は、前記ｎｋ個の属性それぞれの第ｋデータにノイズが付与された場合に、ノイズが付与された前記ｎｋ個の属性それぞれの第ｋデータがεｋ－局所型差分プライバシー（ただし、プライバシーの強度を示すパラメータεｋはεｋ＝ε／（ｎ１＋ｎ２＋・・・＋ｎｋ）である）を満たすようにノイズを付与する前記第ｋノイズ付与クエリを生成してもよい。
【0009】
前記情報処理装置は、前記第１装置から前記第１レコードを構成する複数の属性それぞれに対応する項目を示す第１項目情報を取得するとともに、前記第２装置から前記第２レコードを構成する複数の属性それぞれに対応する項目を示す第２項目情報を取得し、取得した前記第１項目情報に基づいて前記第１データに対応する属性の個数である前記ｎ１を特定し、取得した前記第２項目情報に基づいて前記第２データに対応する属性の個数である前記ｎ２を特定し、特定した属性の個数である前記ｎ１及び前記ｎ２に基づいて、ノイズが付与された後の前記第１データ及び前記第２データが満たす局所型差分プライバシーにおけるプライバシーの強度を示す第１パラメータε１及び第２パラメータε２を決定する決定部を有してもよい。
【0010】
前記第１生成部及び前記第２生成部の少なくともいずれかは、データ群に含まれる複数の属性それぞれに対応する複数のデータのうち、少なくとも一つの属性に対応するデータが取り得る値の数を減少させ、当該データが取り得る値の数を減少させた後に、複数のデータそれぞれに前記ノイズを付与する前記ノイズ付与クエリを生成してもよい。
【0011】
前記第１生成部は、前記変換後の第１データ群に含まれる前記第１レコードに含まれる第１データを、第１の割合で他の第１レコードに含まれる前記第１データと入れ替えることにより前記変換後の第１データ群を更新するクエリである第１更新クエリを生成し、前記第２生成部は、前記変換後の第２データ群に含まれる前記第２レコードに含まれる第２データを、第２の割合で他の第２レコードに含まれる前記第２データと入れ替えることにより前記変換後の第２データ群を更新するクエリである第２更新クエリを生成し、前記送信部は、前記第１生成部が生成した前記第１更新クエリを前記第１装置に送信し、前記第２生成部が生成した前記第２更新クエリを前記第２装置に送信してもよい。
【0012】
前記情報処理装置は、前記統合データ群に含まれるレコードに含まれるデータを、第３の割合で他のレコードに含まれるデータと入れ替えることにより前記統合データ群を更新する更新部を有してもよい。
【0013】
前記第１生成部は、前記第１データ群に含まれる複数の前記データ識別情報それぞれに、ランダムデータを付加してから前記所定の方法により不可逆変換する前記第１不可逆変換クエリを生成し、前記第２生成部は、前記第２データ群に含まれる複数の前記データ識別情報それぞれに、当該データ識別情報に対応する、前記第１データ群に含まれるデータ識別情報に付加されたランダムデータと同一のランダムデータを付加してから前記所定の方法により不可逆変換する前記第２不可逆変換クエリを生成してもよい。
【0014】
前記統合部は、前記統合データ群をさらに加工して統計データを生成し、当該統計データに対して前記ノイズの付与に用いられる前記所定の確率を用いて前記ノイズを除去するよう補正を行ってもよい。
【0015】
前記第１データ群及び前記第２データ群には、新たに追加されたレコードを特定するために用いることができる特定用データが含まれており、前記第１生成部は、前記第１不可逆変換クエリを再生成する場合、前記特定用データに基づいて新たに追加された第１レコードに対して前記ノイズを付与する前記第１ノイズ付与クエリを生成し、前記第２生成部は、前記第２不可逆変換クエリを再生成する場合、前記特定用データに基づいて新たに追加された第２レコードに対して前記ノイズを付与する前記第２ノイズ付与クエリを生成してもよい。
【0016】
前記統合部は、前記変換後の第１データ群に含まれる複数の第１レコードそれぞれの前記データ識別情報と、前記変換後の第２データ群に含まれる複数の第２レコードそれぞれの前記データ識別情報とに基づいて、前記変換後の第１データ群と前記変換後の第２データ群とを統合し、前記データ識別情報を除外して、前記統合データ群を生成してもよい。
【0017】
本発明の第２の態様に係る情報処理方法は、情報処理装置が実行する、データを識別するためのデータ識別情報と第１データとを関連付けた複数の第１レコードを含む第１データ群と、前記データ識別情報と第２データとを関連付けた複数の第２レコードを含む第２データ群とのうちの前記第１データ群に含まれる複数の前記第１データそれぞれに、前記第１データ群と前記第２データ群とを統合して統合データ群とした場合における、前記統合データ群に含まれる複数のデータに対して所定の確率でノイズが付与されているようにノイズを付与するクエリである第１ノイズ付与クエリと、前記第１データ群に含まれる複数の前記データ識別情報を所定の方法により不可逆変換するクエリである第１不可逆変換クエリとを生成するステップと、前記第２データ群に含まれる複数の前記第２データそれぞれに、前記統合データ群に含まれる複数のデータに対して前記所定の確率でノイズが付与されているようにノイズを付与するクエリである第２ノイズ付与クエリと、前記第２データ群に含まれる複数の前記データ識別情報を前記所定の方法により不可逆変換するクエリである第２不可逆変換クエリとを生成するステップと、生成した前記第１ノイズ付与クエリと前記第１不可逆変換クエリとを前記第１データ群の提供元に対応する第１装置に送信するとともに、生成した前記第２ノイズ付与クエリと前記第２不可逆変換クエリとを前記第２データ群の提供元に対応する第２装置に送信するステップと、前記第１不可逆変換クエリに基づいて変換された前記データ識別情報と、前記第１ノイズ付与クエリに基づいてノイズが付与された複数の第１データとを関連付けた複数の第１レコードを含む変換後の第１データ群と、前記第２不可逆変換クエリに基づいて変換された前記データ識別情報と、前記第２ノイズ付与クエリに基づいてノイズが付与された複数の第２データとを関連付けた複数の第２レコードを含む変換後の第２データ群とを取得するステップと、取得した前記変換後の第１データ群に含まれる複数の第１レコードそれぞれの前記データ識別情報と、取得した前記変換後の第２データ群に含まれる複数の第２レコードそれぞれの前記データ識別情報とに基づいて、前記変換後の第１データ群と前記変換後の第２データ群とを統合した前記統合データ群を生成するステップと、を有する。
【発明の効果】
【0018】
本発明によれば、ユーザ情報を収集する過程で、匿名化処理が行われていないユーザ情報が流出しないようにすることができるという効果を奏する。
【図面の簡単な説明】
【0019】
【図1】情報処理システムの概要を説明する図である。
【図2】情報処理装置の機能構成を示す図である。
【図3】第１データ群と第２データ群との一例を示す図である。
【図4】変換後の第１データ群と変換後の第２データ群との一例を示す図である。
【図5】統合データ群の一例を示す図である。
【図6】情報処理装置が統合データ群を生成するまでの処理の流れを示すシーケンス図である。
【発明を実施するための形態】
【0020】
［情報処理システムＳの概要］
図１は、情報処理システムＳの概要を説明する図である。情報処理システムＳは、情報処理装置１と、第１データ群を管理する第１装置２と、第２データ群を管理する第２装置３とを有し、第１データ群及び第２データ群に含まれるユーザ情報の匿名化を行ったうえで第１データ群と第２データ群とを統合した統合データ群を生成するシステムである。
図１は、情報処理システムＳの概要を説明する図である。情報処理システムＳは、情報処理装置１と、第１データ群を管理する第１装置２と、第２データ群を管理する第２装置３とを有し、第１データ群及び第２データ群に含まれるユーザ情報の匿名化を行ったうえで第１データ群と第２データ群とを統合した統合データ群を生成するシステムである。
【0021】
情報処理装置１は、例えばデータを集約し、集約後のデータを提供するサービスを提供する集約事業者により運用されており、第１装置２及び第２装置３等の外部装置と、インターネットや携帯電話回線等の通信ネットワーク（不図示）を介して通信可能に接続されている。
【0022】
第１装置２は、例えば第１の事業者により運用されており、データを識別するためのデータ識別情報としてのデータＩＤと第１データとを関連付けた複数の第１レコードを含む第１データ群を管理している。第２装置３は、例えば第２の事業者により運用されており、第１データ群に含まれているデータＩＤと共通のデータＩＤと、第２データとを関連付けた複数の第２レコードを含む第２データ群を管理している。
【0023】
情報処理装置１は、第１データ群に含まれる複数の第１データそれぞれにノイズを付与する第１ノイズ付与クエリと、第１データ群に含まれる複数のデータＩＤを所定の方法により不可逆変換するクエリである第１不可逆変換クエリとを生成する。第１ノイズ付与クエリは、例えば、第１データ群に含まれる複数の第１データそれぞれに、第１データ群と第２データ群とを統合して統合データ群とした場合における、統合データ群に含まれる複数のデータに対して所定の確率でノイズが付与されているようにノイズを付与するクエリである。クエリは、例えば、リレーショナルデータベース管理システムにおいて実行可能なＳＱＬ（Structured Query Language）文であるものとする。
【0024】
情報処理装置１は、第２データ群に含まれる複数の第２データそれぞれにノイズを付与する第２ノイズ付与クエリと、第２データ群に含まれる複数のデータＩＤを所定の方法により不可逆変換するクエリである第２不可逆変換クエリとを生成する。第２ノイズ付与クエリは、第１ノイズ付与クエリと同様に、第２データ群に含まれる複数の第２データそれぞれに、第１データ群と第２データ群とを統合して統合データ群とした場合における、統合データ群に含まれる複数のデータに対して所定の確率でノイズが付与されているようにノイズを付与するクエリである。
【0025】
情報処理装置１は、生成した第１ノイズ付与クエリと、第１不可逆変換クエリとを第１装置２に送信するとともに、生成した第２ノイズ付与クエリと、第２不可逆変換クエリとを第２装置３に送信する。
【0026】
第１装置２は、情報処理装置１から受信した第１ノイズ付与クエリと、第１不可逆変換クエリとを実行し、第１不可逆変換クエリに基づいて変換されたデータＩＤと、第１ノイズ付与クエリに基づいてノイズが付与された複数の第１データとを関連付けた複数の第１レコードを含む変換後の第１データ群を生成する。第１装置２は、生成した変換後の第１データ群を情報処理装置１に送信する。
【0027】
第２装置３は、情報処理装置１から受信した第２ノイズ付与クエリと、第２不可逆変換クエリとを実行し、第２不可逆変換クエリに基づいて変換されたデータＩＤと、第２ノイズ付与クエリに基づいてノイズが付与された複数の第２データとを関連付けた複数の第２レコードを含む変換後の第２データ群を生成する。第２装置３は、生成した変換後の第２データ群を情報処理装置１に送信する。
【0028】
このように、第１装置２及び第２装置３それぞれにおいて、データ群の匿名化処理を行ったうえでデータ群を情報処理装置１に送信することができるので、ユーザ情報を収集する過程で、匿名化処理が行われていないユーザ情報が流出しないようにすることができる。
【0029】
情報処理装置１は、第１装置２から受信した変換後の第１データ群に含まれる複数の第１レコードそれぞれのデータＩＤと、第２装置３から受信した変換後の第２データ群に含まれる複数の第２レコードそれぞれのデータＩＤとに基づいて、変換後の第１データ群と変換後の第２データ群とを統合した統合データ群を生成する。
【0030】
このようにして統合された統合データ群に含まれる複数のデータには、所定の確率でノイズが付与されることとなる。また、データＩＤは、不可逆変換クエリにより変換されることから、変換後のデータＩＤに基づいて個人を特定するのが困難となる。これにより、情報処理装置１は、統合データに含まれるユーザ情報のプライバシーを確保することができる。
【0031】
［情報処理装置１の機能構成］
続いて、情報処理装置１の機能構成について説明する。図２は、情報処理装置１の機能構成を示す図である。
続いて、情報処理装置１の機能構成について説明する。図２は、情報処理装置１の機能構成を示す図である。
【0032】
図２に示すように、情報処理装置１は、通信部１１と、記憶部１２と、制御部１３とを有する。
通信部１１は、第１装置２及び第２装置３等と通信ネットワークを介してデータを送受信するための通信インターフェースである。
通信部１１は、第１装置２及び第２装置３等と通信ネットワークを介してデータを送受信するための通信インターフェースである。
【0033】
記憶部１２は、各種のデータを記憶する記憶媒体であり、ＲＯＭ（Read Only Memory）、ＲＡＭ（Random Access Memory）、ハードディスク、ＳＳＤ（Solid State Drive）、及びフラッシュメモリ等を有する。記憶部１２は、制御部１３が実行するプログラムを記憶する。記憶部１２は、制御部１３を、決定部１３１、生成部１３２、送信部１３３、データ群取得部１３４及び統合部１３５として機能させるプログラムを記憶する。
【0034】
制御部１３は、例えばＣＰＵ（Central Processing Unit）である。制御部１３は、記憶部１２に記憶されたプログラムを実行することにより、決定部１３１、生成部１３２、送信部１３３、データ群取得部１３４及び統合部１３５として機能する。
【0035】
以下、制御部１３が有する機能について説明するにあたり、第１データ群と、第２データ群とについて説明する。図３は、第１データ群と第２データ群との一例を示す図である。図３において、（Ａ）は第１データ群を示しており、（Ｂ）は第２データ群を示している。
【0036】
第１データ群は、第１の事業者が管理するデータ群であり、第１装置２に設けられたデータベース、又は第１装置２がアクセス可能なサーバに設けられたデータベースに格納されている。図３に示すように、第１データ群は、データを識別するためのデータ識別情報としてのデータＩＤと、ｎ１個の属性それぞれに対応する複数の第１データとを関連付けた複数の第１レコードを含んでいる。データＩＤは、例えば、第１の事業者と第２事業者とがユーザに対して付与している共通のユーザＩＤである。
【0037】
図３に示す例では、第１データ群は、第１の事業者が運営する店舗における売上とユーザの年齢とを関連付けたデータ群であり、複数の属性それぞれに対応する「年齢」、「商品カテゴリ食料品」、「商品カテゴリ日用品」、「購入ランキング」という項目の第１データが含まれている。第１データ群は、１つのテーブル、又は複数のテーブルを連結することにより生成されたテーブルを示すものとするが、これに限らず、一以上のテーブルを参照するビューであってもよい。
【0038】
第２データ群は、第２の事業者が管理するデータ群であり、第２装置３に設けられたデータベース、又は第２装置３がアクセス可能なサーバに設けられたデータベースに格納されている。図３に示すように、第２データ群は、データを識別するためのデータ識別情報としてのデータＩＤと、ｎ２個の属性それぞれに対応する複数の第２データとを関連付けた複数の第２レコードを含んでいる。図３に示す例では、第２データ群は、ユーザの年齢と、施設への訪問履歴とを関連付けたデータ群であり、複数の属性それぞれに対応する「性別」、「訪問場所スーパー」、「訪問場所公園」という項目の第２データが含まれている。第２データ群は、１つのテーブル、又は複数のテーブルを連結することにより生成されたテーブルを示すものとするが、これに限らず、一以上のテーブルを参照するビューであってもよい。
【0039】
第１データ群と、第２データ群とには、同一のユーザの情報が含まれており、第１データ群と第２データ群とにおいて、同一のユーザのデータＩＤは共通であるものとする。これにより、データＩＤをキーとして第１データ群に含まれる第１レコードと第２データ群に含まれる第２レコードとを連結することができる。
【0040】
続いて、制御部１３が有する機能について説明する。
決定部１３１は、第１データ群と第２データ群とを統合した統合データ群に含まれる複数のデータに対して所定の確率でノイズが付与されるように、第１データ群にノイズが付与される確率と、第２データ群にノイズが付与される確率とを決定する。
決定部１３１は、第１データ群と第２データ群とを統合した統合データ群に含まれる複数のデータに対して所定の確率でノイズが付与されるように、第１データ群にノイズが付与される確率と、第２データ群にノイズが付与される確率とを決定する。
【0041】
決定部１３１は、ノイズが付与された後の第１データ及び第２データが満たす局所型差分プライバシーにおけるプライバシーの強度を示す第１パラメータε１及び第２パラメータε２を決定する。
【0042】
決定部１３１が第１パラメータε１及び第２パラメータε２を決定するにあたり、局所型差分プライバシーについて説明する。まず、あるデータ群における任意のデータペアをｘ１、ｘ２とする。そして、データｘに対し、ランダムでノイズを付与する関数をＲ（ｘ）とし、その出力をｙとした場合に、以下の式（１）が成立するとき、関数Ｒは局所型差分プライバシーを満たすと定義される。
【0043】
【数1】
【0044】
ここで、Ｐｒ［］は、確率変数である。また、ｅは自然対数であり、εはプライバシーの強度を示すパラメータである。また、εはプライバシーの強度がεである局所型差分プライバシーをε－局所型差分プライバシーという。
【0045】
ε－局所型差分プライバシーが満たされるようなデータの加工例としては、以下に示す加工例が挙げられる。例えば、データｘがｋ個の値を取り得るものとした場合、以下の式（２）に基づいて、データｘの入力に対して、データｙが出力される。
【0046】
【数2】
【0047】
決定部１３１は、第１装置２から第１レコードを構成する複数の属性それぞれに対応する項目を示す第１項目情報を取得するとともに、第２装置３から第２レコードを構成する複数の属性それぞれに対応する項目を示す第２項目情報を取得する。項目情報は、第１レコードに含まれる複数の項目のうち、統合データに含める項目を示す情報である。図３に示す例では、決定部１３１は、「年齢」、「商品カテゴリ食料品」、「商品カテゴリ日用品」、「購入ランキング」という４つの項目を示す第１項目情報を取得する。また、決定部１３１は、「性別」、「訪問場所スーパー」、「訪問場所公園」という３つの項目を示す第１項目情報を取得する。
【0048】
決定部１３１は、取得した第１項目情報に基づいて第１データに対応する属性の個数であるｎ１を特定し、取得した第２項目情報に基づいて第２データに対応する属性の個数であるｎ２を特定する。第１データに対応する属性の個数であるｎ１と、第２データに対応する属性の個数であるｎ２との和は、統合データ群に含まれる属性の個数である。決定部１３１は、特定した属性の個数であるｎ１及びｎ２に基づいて、ノイズが付与された後の複数の属性それぞれの第１データ及び第２データが満たす局所型差分プライバシーにおけるプライバシーの強度を示す第１パラメータε１及び第２パラメータε２を決定する。例えば、決定部１３１は、以下の式（３）に示すように、複数の属性それぞれのデータが、（ε／ｎ１＋ｎ２）－局所型差分プライバシーが適用されるように、第１パラメータε１及び第２パラメータε２を決定する。
【0049】
【数3】
【0050】
これにより、（ε／ｎ１＋ｎ２）－局所型差分プライバシーが適用された、ｎ１＋ｎ２の属性のデータを集約した統合データ群は、ε－局所型差分プライバシーが満たされることとなる。
【0051】
生成部１３２は、第１生成部として機能し、第１ノイズ付与クエリを生成する。第１ノイズ付与クエリは、第１データ群に含まれる複数の第１データそれぞれに、第１データ群と第２データ群とを統合して統合データ群とした場合における、統合データ群に含まれる複数のデータに対して所定の確率でノイズが付与されているようにノイズを付与するクエリである。所定の確率は、ε－局所型差分プライバシーが満たされる確率であり、プライバシーの強度を示すパラメータεにより決定されるものとする。例えば、所定の確率は、式（２）を用いて算出される。式（２）に示されるように、εが小さいほど、高い確率でデータｘが他の値に変換される。
【0052】
例えば、生成部１３２は、第１項目情報が示すｎ１個の属性それぞれの第１データにノイズが付与された場合に、ノイズが付与されたｎ１個の属性それぞれの第１データがε１－局所型差分プライバシーを満たすようにノイズを付与する第１ノイズ付与クエリを生成する。ここで、ε１は、決定部１３１が決定した第１パラメータである。
【0053】
また、生成部１３２は、第１データ群に含まれる複数のデータ識別情報としてのデータＩＤを所定の方法により不可逆変換するクエリである第１不可逆変換クエリを生成する。所定の方法は、例えば、ハッシュ関数を用いてデータＩＤを不可逆変換する方法であるが、これに限らず、不可逆変換可能な方法であれば他の方法を用いてもよい。
【0054】
また、生成部１３２は、第２生成部として機能し、第２ノイズ付与クエリを生成する。第２ノイズ付与クエリは、第２データ群に含まれる複数の第２データそれぞれに、統合データ群に含まれる複数のデータに対して所定の確率でノイズが付与されているようにノイズを付与するクエリである。例えば、生成部１３２は、第２項目情報が示すｎ２個の属性それぞれの第２データにノイズが付与された場合に、ノイズが付与されたｎ２個の属性それぞれの第２データがε２－局所型差分プライバシーを満たすようにノイズを付与する第２ノイズ付与クエリを生成する。ここで、ε２は、決定部１３１が決定した第２パラメータである。
【0055】
また、生成部１３２は、第２データ群に含まれる複数のデータＩＤを、第１不可逆変換クエリと同様に所定の方法により不可逆変換するクエリである第２不可逆変換クエリを生成する。
【0056】
なお、生成部１３２は、第１データ群及び第２データ群に含まれる複数の属性それぞれに対応する複数のデータのうち、少なくとも一つの属性に対応するデータが取り得る値の数を減少させ、当該データが取り得る値の数を減少させた後に、複数のデータそれぞれにノイズを付与するノイズ付与クエリを生成してもよい。例えば、生成部１３２は、属性が「年齢」のデータが、複数のユーザそれぞれの実年齢を示している場合に、当該データについて、「１０代」、「２０代」といったように年代を示すデータに変更することにより、当該データが取り得る値を減少させる処理を含むノイズ付与クエリを生成する。このようにすることで、ユーザのプライバシーを高めることができる。
【0057】
また、生成部１３２は、第１データ群に含まれる複数のデータＩＤそれぞれに、ランダムデータを付加してから所定の方法により不可逆変換する第１不可逆変換クエリを生成し、第２データ群に含まれる複数のデータＩＤそれぞれに、当該データＩＤに対応する、第１データ群に含まれるデータＩＤに付加されたランダムデータと同一のランダムデータを付加してから所定の方法により不可逆変換する第２不可逆変換クエリを生成してもよい。このようにすることで、情報処理装置１は、変換後のデータＩＤを変換前のデータＩＤに復号されるリスクを低減することができる。
【0058】
また、生成部１３２は、変換後の第１データ群に含まれる第１レコードに含まれる第１データを、第１の割合で他の第１レコードに含まれる第１データと入れ替えることにより変換後の第１データ群を更新するクエリである第１更新クエリを生成してもよい。また、生成部１３２は、変換後の第２データ群に含まれる第２レコードに含まれる第２データを、第２の割合で他の第２レコードに含まれる第２データと入れ替えることにより変換後の第２データ群を更新するクエリである第２更新クエリを生成してもよい。
【0059】
ここで、第１の割合及び第２の割合は同じであってもよいし、異なっていてもよい。また、第１の割合及び第２の割合は、データが取り得る値の数によって変化させてもよい。例えば、データが取り得る値の数が多い場合には、当該データが入れ替えられる割合を高くするようにしてもよい。
【0060】
また、後述の統合部１３５により、統合データ群が生成された後、第１データ群及び第２のデータ群のそれぞれに対して新たにレコードが追加され、新たなレコードを追加した統合データ群の生成が要求されることがある。全ての第１データ群と、全ての第２データ群とに対して、ノイズの付与が複数回繰り返されると、同一のデータ群に対応する複数のバリエーションのデータ群が生成される。この場合、複数のバリエーションのデータ群を分析することにより、匿名化が行われる前のデータ群の内容を推測しやすくなり、ユーザの識別性が上がる等のプライバシーリスクが増大するという問題が発生する。これに対し、生成部１３２は、新たに追加されたレコードのみに対してノイズを付与するノイズ付与クエリを生成してもよい。
【0061】
この場合、第１データ群及び第２データ群には、新たに追加されたレコードを特定するために用いることができる特定用データが含まれている。特定用データは、例えば、日付を示す日付データや、レコードが統合データに含まれているか否かを示すフラグである。そして、生成部１３２は、第１不可逆変換クエリを再生成する場合、特定用データに基づいて、新たに追加された第１レコードに対してノイズを付与する第１ノイズ付与クエリを生成し、第２不可逆変換クエリを再生成する場合、特定用データに基づいて新たに追加された第２レコードに対してノイズを付与する第２ノイズ付与クエリを生成する。このようにすることで、情報処理装置１は、統合データ群を提供する場合にプライバシーリスクの増大を抑制することができる。
【0062】
送信部１３３は、生成部１３２が生成した第１ノイズ付与クエリと第１不可逆変換クエリとを、第１データ群の提供元に対応する第１装置２に送信する。また、送信部１３３は、生成部１３２が生成した第２ノイズ付与クエリと第２不可逆変換クエリとを、第２データ群の提供元に対応する第２装置３に送信する。送信部１３３は、例えば、予め情報処理装置１と第１装置２との間に設けられた第１のクラウドサービスで提供されるインターネットＶＰＮ（Virtual private network）を介して、第１ノイズ付与クエリと第１不可逆変換クエリとを第１装置２に送信する。同様に、送信部１３３は、例えば、予め情報処理装置１と第２装置３との間に設けられた第２のＶＰＮを介して、第２ノイズ付与クエリと第２不可逆変換クエリとを第２装置３に送信する。
【0063】
また、送信部１３３は、生成部１３２により、第１更新クエリと第２更新クエリとが生成された場合には、第１更新クエリを第１装置２に送信するとともに、第２更新クエリを第２装置３に送信する。
【0064】
第１装置２は、情報処理装置１から受信したクエリを実行することにより、第１不可逆変換クエリに基づいてデータＩＤから変換されたデータ識別情報としての変換後のデータＩＤと、第１ノイズ付与クエリに基づいてノイズが付与された複数の第１データとを関連付けた複数の第１レコードを含む変換後の第１データ群を生成する。第１装置２は、例えば、情報処理装置１から、第１更新クエリを受信した場合には、第１ノイズ付与クエリに基づいて複数の第１データにノイズを付与する前に第１更新クエリを実行する。その後、第１装置２は、例えば第１のＶＰＮを介して、変換後の第１データ群を情報処理装置１に送信する。なお、第１装置２とは異なる装置が、変換後の第１データ群を情報処理装置１に送信してもよい。
【0065】
第２装置３は、情報処理装置１から受信した第２ノイズ付与クエリと第２不可逆変換クエリとを実行することにより、第２不可逆変換クエリに基づいてデータＩＤから変換されたデータ識別情報としての変換後のデータＩＤと、第２ノイズ付与クエリに基づいてノイズが付与された複数の第２データとを関連付けた複数の第２レコードを含む変換後の第２データ群を生成する。第２装置３は、例えば、情報処理装置１から、第２更新クエリを受信した場合には、第２ノイズ付与クエリに基づいて複数の第２データにノイズを付与する前に第２更新クエリを実行する。その後、第２装置３は、例えば第２のＶＰＮを介して、変換後の第２データ群を情報処理装置１に送信する。なお、第２装置３とは異なる装置が、変換後の第２データ群を情報処理装置１に送信してもよい。
【0066】
データ群取得部１３４は、変換後の第１データ群と、変換後の第２データ群とを取得する。例えば、データ群取得部１３４は、第１装置２から送信された変換後の第１データ群を受信し、第２装置３から送信された変換後の第２データ群を受信することにより、変換後の第１データ群と、変換後の第２データ群とを取得する。
【0067】
図４は、変換後の第１データ群と変換後の第２データ群との一例を示す図である。図４において、（Ａ）は変換後の第１データ群を示しており、（Ｂ）は変換後の第２データ群を示している。また、図４において、第１データ群と第２データ群とに含まれている同じデータＩＤが、同じ文字列に変換されていることが確認できる。また、図４において、太枠のセルで囲まれたデータが変換されていることが確認できる。
【0068】
統合部１３５は、データ群取得部１３４が取得した変換後の第１データ群に含まれる複数の第１レコードそれぞれのデータＩＤ（変換後のデータＩＤ）と、データ群取得部１３４が取得した変換後の第２データ群に含まれる複数の第２レコードそれぞれのデータＩＤ（変換後のデータＩＤ）とに基づいて、変換後の第１データ群と変換後の第２データ群とを統合した統合データ群を生成する。具体的には、統合部１３５は、変換後のデータＩＤをキーとして、第１データ群と第２データ群とを結合することにより、統合データ群を生成する。図５は、統合データ群の一例を示す図である。図５に示すように、第１データ群と第２データ群との双方に含まれている変換後のデータＩＤに関連付けられている第１データと第２データとが関連付けられていることが確認できる。
【0069】
統合部１３５は、変換後のデータＩＤと、変換後の第１データ群と、変換後の第２データ群とを含む統合データ群を生成したが、これに限らない。統合部１３５は、変換後の第１データ群に含まれる複数の第１レコードそれぞれのデータＩＤと、変換後の第２データ群に含まれる複数の第２レコードそれぞれのデータＩＤとに基づいて、変換後の第１データ群と変換後の第２データ群とを統合し、データＩＤを除外して、統合データ群を生成してもよい。このようにすることで、統合データにはデータＩＤが含まれなくなるので、データＩＤに基づいて、統合データから、第１レコード及び第２レコードを復元されるリスクを低減することができる。
【0070】
また、統合部１３５は、生成した統合データ群をさらに加工して統計データを生成してもよい。そして、統合部１３５は、生成した統計データに対してノイズの付与に用いられる所定の確率を用いてノイズを除去するよう補正を行うようにしてもよい。例えば、統合部１３５は、統合データを用いて統計値を計算する際に、第１データ群及び第２データ群に付与されたノイズの影響を排除するために、プライバシー強度のパラメータε、ε１及びε２の値の少なくともいずれかを用いて統計的に統計値を補正する。
【0071】
例えば、統合データに含まれる、ある属性のデータにノイズを付与する際の遷移行列をＰとし、遷移行列Ｐに含まれる要素をｐｉ，ｊとする。ｐｉ，ｊは、ある属性の値ｉが値ｊにランダムに遷移する確率を示しており、例えば、上述した式（２）のｘをｉ、ｙをｊと置き換えた式を用いて決定される。統合部１３５は、統合データを加工して得られる、ある属性の分布Ｑ＝（ｑ１，…，ｑｄ）Ｔを、遷移行列Ｐと、以下の式（４）とを用いて分布Ｑ’に補正する。
【0072】
【数4】
【0073】
ここで、ある属性のデータが第１データ群に含まれる場合には、式（２）に含まれるεに対し、第１パラメータε1が適用され、ある属性のデータが第２データ群に含まれる場合には、式（２）に含まれるεに対し、第２パラメータε2が適用されて遷移行列Ｐが構成される。また、εのみ分かる場合には、式（３）を用いて第１パラメータε1及び第２パラメータε２を導出し、同様に遷移行列Ｐが構成されるものとする。このようにすることで、情報処理装置１は、ノイズが付与される前の第１データ群及び第２データ群に対応する確率が高い統計データを生成することができる。
【0074】
なお、統合部１３５により統合された統合データ群は、送信部１３３により、第１装置２及び第２装置３に送信されてもよい。このようにすることで、第１事業者において、第２事業者が収集した第２データに基づいてデータ分析を行うことができるとともに、第２事業者において、第１事業者が収集した第１データに基づいてデータ分析を行うことができる。
【0075】
［動作シーケンス］
続いて、情報処理装置１に係る処理の流れについて説明する。図６は、情報処理装置１が統合データ群を生成するまでの処理の流れを示すシーケンス図である。
続いて、情報処理装置１に係る処理の流れについて説明する。図６は、情報処理装置１が統合データ群を生成するまでの処理の流れを示すシーケンス図である。
【0076】
まず、決定部１３１は、第１装置２から第１レコードを構成する複数の属性それぞれに対応する項目を示す第１項目情報を取得するとともに（Ｓ１）、第２装置３から第２レコードを構成する複数の属性それぞれに対応する項目を示す第２項目情報を取得する（Ｓ２）。
【0077】
続いて、決定部１３１は、取得した第１項目情報と、取得した第２項目情報とに基づいて、データに対応する属性の数を特定する（Ｓ３）。具体的には、決定部１３１は、第１データに対応する属性の個数ｎ１と、第２データに対応する属性の個数ｎ２とを特定する。そして、決定部１３１は、特定した属性の個数ｎ１、ｎ２に基づいて、ノイズが付与された後の複数の属性それぞれの第１データ及び第２データが満たす局所型差分プライバシーにおけるプライバシーの強度を示す第１パラメータε１及び第２パラメータε２を決定する（Ｓ４）。
【0078】
続いて、生成部１３２は、第１ノイズ付与クエリ、第２ノイズ付与クエリ、第１不可逆変換クエリ及び第２不可逆変換クエリを生成する（Ｓ５）。生成部１３２は、取得した第１項目情報と、決定部１３１が決定した第１パラメータε１とに基づいて、第１ノイズ付与クエリを生成し、取得した第２項目情報と、決定部１３１が決定した第２パラメータε２とに基づいて、第２ノイズ付与クエリを生成する。また、生成部１３２は、第１データに含まれるデータＩＤを不可逆変換する第１不可逆変換クエリ、及び、第２データに含まれるデータＩＤを不可逆変換する第２不可逆変換クエリを生成する。
【0079】
続いて、送信部１３３は、第１ノイズ付与クエリ及び第１不可逆変換クエリを第１装置２に送信し（Ｓ６）、第２ノイズ付与クエリ及び第２不可逆変換クエリを第２装置３に送信する（Ｓ７）。
【0080】
第１装置２は、情報処理装置１から受信したクエリを実行することにより変換後の第１データ群を生成する（Ｓ８）。第２装置３は、情報処理装置１から受信したクエリを実行することにより変換後の第２データ群を生成する（Ｓ９）。第１装置２は、変換後の第１データ群を情報処理装置１に送信し（Ｓ１０）、第２装置３は、変換後の第２データ群を情報処理装置１に送信する（Ｓ１１）。データ群取得部１３４は、第１装置２から送信された変換後の第１データ群を受信し、第２装置３から送信された変換後の第２データ群を受信する。
【0081】
統合部１３５は、データ群取得部１３４が受信した変換後の第１データ群に含まれる複数の第１レコードそれぞれの変換後のデータＩＤと、データ群取得部１３４が取得した変換後の第２データ群に含まれる複数の第２レコードそれぞれの変換後のデータＩＤとに基づいて、変換後の第１データ群と変換後の第２データ群とを統合した統合データ群を生成する（Ｓ１２）。
【0082】
［変形例１］
上述の実施の形態において、情報処理装置１は、第１データ群と第２データ群とに対応して、２つのノイズ付与クエリ及び２つの不可逆変換クエリを生成したが、これに限らない。情報処理装置１は、３つ以上のデータ群に対応して、ノイズ付与クエリ及び不可逆変換クエリを生成してもよい。
上述の実施の形態において、情報処理装置１は、第１データ群と第２データ群とに対応して、２つのノイズ付与クエリ及び２つの不可逆変換クエリを生成したが、これに限らない。情報処理装置１は、３つ以上のデータ群に対応して、ノイズ付与クエリ及び不可逆変換クエリを生成してもよい。
【0083】
例えば、データ識別情報としてのデータＩＤに関連付けられているデータ群がｋ個（ただし、ｋは３以上の整数）存在し、第ｋデータ群に含まれる第ｋレコードは、ｎｋ個の属性それぞれに対応する複数の第ｋデータを含んでいるものとする。
【0084】
この場合、生成部１３２は、第ｋ生成部として機能し、第ｋデータ群に含まれる複数の第ｋデータそれぞれに、ｋ個のデータ群を統合して統合データ群とした場合における、統合データ群に含まれる複数のデータに対して所定の確率でノイズが付与されているようにノイズを付与するクエリである第ｋノイズ付与クエリと、第ｋデータ群に含まれる複数のデータ識別情報を所定の方法により不可逆変換するクエリである第ｋ不可逆変換クエリとを生成する。そして、生成部１３２は、ｎｋ個の属性それぞれの第ｋデータにノイズが付与された場合に、ノイズが付与されたｎｋ個の属性それぞれの第ｋデータがεｋ－局所型差分プライバシーを満たすようにノイズを付与する第ｋノイズ付与クエリを生成する。ただし、プライバシーの強度を示すパラメータεｋはεｋ＝ε／（ｎ１＋ｎ２＋・・・＋ｎｋ）である。
【0085】
また、生成部１３２は、第ｋデータ群に含まれる複数のユーザを所定の方法により不可逆変換するクエリである第ｋ不可逆変換クエリを生成する。送信部１３３は、生成された第ｋノイズ付与クエリと、第ｋ不可逆変換クエリとを第ｋ装置に送信する。
【0086】
データ群取得部１３４は、第ｋ装置から、変換後の第ｋデータ群を取得し、統合部１３５は、データ群取得部１３４が取得した変換後の第ｋデータ群に含まれる複数の第ｋレコードそれぞれのデータ識別情報に基づいて、ｋ個のデータ群を結合することにより、統合データ群を生成する。このようにすることで、情報処理装置１は、データ群が３つ以上存在する場合にも、ε－局所型差分プライバシーを満たす統合データを生成することができる。
【0087】
［変形例２］
上述の実施の形態では、生成部１３２が、変換後の第１データ群に含まれる第１レコードに含まれる第１データを、他の第１レコードに含まれる第１データと入れ替える第１更新クエリと、変換後の第２データ群に含まれる第２レコードに含まれる第２データを、他の第２レコードに含まれる第２データと入れ替える第２更新クエリとを生成し、第１装置２が第１更新クエリを実行し、第２装置３が第２更新クエリを実行したが、これに限らない。情報処理装置１が、データの入れ替えを実行してもよい。
上述の実施の形態では、生成部１３２が、変換後の第１データ群に含まれる第１レコードに含まれる第１データを、他の第１レコードに含まれる第１データと入れ替える第１更新クエリと、変換後の第２データ群に含まれる第２レコードに含まれる第２データを、他の第２レコードに含まれる第２データと入れ替える第２更新クエリとを生成し、第１装置２が第１更新クエリを実行し、第２装置３が第２更新クエリを実行したが、これに限らない。情報処理装置１が、データの入れ替えを実行してもよい。
【0088】
この場合、制御部１３は、統合データ群に含まれるレコードに含まれるデータを、第３の割合で他のレコードに含まれるデータと入れ替えることにより統合データ群を更新する更新部を有する。例えば、更新部は、統合データ群に含まれるレコードに含まれる複数の項目それぞれに対応するデータのうちの一部のデータを、第３の割合で他のレコードに含まれている、当該一部のデータと同じ項目のデータと入れ替えることにより、統合データ群を更新する。
【0089】
また、更新部は、データ群取得部１３４が取得した変換後の第１データ群に含まれる第１レコードに含まれる第１データを、第１の割合で他の第１レコードに含まれる第１データと入れ替えることにより変換後の第１データ群を更新するとともに、データ群取得部１３４が取得した変換後の第２データ群に含まれる第２レコードに含まれる第２データを、第２の割合で他の第２レコードに含まれる第２データと入れ替えることにより変換後の第２データ群を更新してもよい。例えば、更新部は、生成部１３２により生成された第１更新クエリ及び第２更新クエリを実行することにより、変換後の第１データ群及び変換後の第２データ群を更新する。そして、統合部１３５が、更新された第１データ群と、更新された第２データ群とを統合することにより統合データを生成する。このようにすることで、情報処理装置１は、第１装置２及び第２装置３におけるデータ群の変換に係る負荷を軽減することができる。
【0090】
［情報処理装置１による効果］
以上説明したように、本実施の形態に係る情報処理装置１は、第１データ群と第２データ群とを統合して統合データ群とした場合における、統合データ群に含まれる複数のデータに対して所定の確率でノイズが付与されているように第１データ群にノイズを付与する第１ノイズ付与クエリと、第２データ群にノイズを付与する第２ノイズ付与クエリと、第１データ群に含まれる複数のデータ識別情報を不可逆変換するクエリである第１不可逆変換クエリと、第２データ群に含まれる複数のデータ識別情報を不可逆変換するクエリである第２不可逆変換クエリとを生成し、第１ノイズ付与クエリと第１不可逆変換クエリとを第１装置２に送信し、第２ノイズ付与クエリと第２不可逆変換クエリとを第２装置３に送信する。そして、情報処理装置１は、第１不可逆変換クエリに基づいて変換されたデータ識別情報と、第１ノイズ付与クエリに基づいてノイズが付与された複数の第１データとを関連付けた複数の第１レコードを含む変換後の第１データ群と、第２不可逆変換クエリに基づいて変換されたデータ識別情報と、第２ノイズ付与クエリに基づいてノイズが付与された複数の第２データとを関連付けた複数の第２レコードを含む変換後の第２データ群とを取得し、これらのデータ群に含まれるデータ識別情報に基づいて、これらのデータ群を統合し、前記データ識別情報を除外して、統合データ群を生成する。このようにすることで、情報処理装置１は、ユーザ情報を収集する過程で、匿名化処理が行われていないユーザ情報が流出しないようにすることができる。
以上説明したように、本実施の形態に係る情報処理装置１は、第１データ群と第２データ群とを統合して統合データ群とした場合における、統合データ群に含まれる複数のデータに対して所定の確率でノイズが付与されているように第１データ群にノイズを付与する第１ノイズ付与クエリと、第２データ群にノイズを付与する第２ノイズ付与クエリと、第１データ群に含まれる複数のデータ識別情報を不可逆変換するクエリである第１不可逆変換クエリと、第２データ群に含まれる複数のデータ識別情報を不可逆変換するクエリである第２不可逆変換クエリとを生成し、第１ノイズ付与クエリと第１不可逆変換クエリとを第１装置２に送信し、第２ノイズ付与クエリと第２不可逆変換クエリとを第２装置３に送信する。そして、情報処理装置１は、第１不可逆変換クエリに基づいて変換されたデータ識別情報と、第１ノイズ付与クエリに基づいてノイズが付与された複数の第１データとを関連付けた複数の第１レコードを含む変換後の第１データ群と、第２不可逆変換クエリに基づいて変換されたデータ識別情報と、第２ノイズ付与クエリに基づいてノイズが付与された複数の第２データとを関連付けた複数の第２レコードを含む変換後の第２データ群とを取得し、これらのデータ群に含まれるデータ識別情報に基づいて、これらのデータ群を統合し、前記データ識別情報を除外して、統合データ群を生成する。このようにすることで、情報処理装置１は、ユーザ情報を収集する過程で、匿名化処理が行われていないユーザ情報が流出しないようにすることができる。
【0091】
なお、本発明により、国連が主導する持続可能な開発目標（ＳＤＧｓ）の目標９「産業と技術革新の基盤をつくろう」に貢献することが可能となる。
【0092】
以上、本発明を実施の形態を用いて説明したが、本発明の技術的範囲は上記実施の形態に記載の範囲には限定されず、その要旨の範囲内で種々の変形及び変更が可能である。例えば、装置の全部又は一部は、任意の単位で機能的又は物理的に分散・統合して構成することができる。また、複数の実施の形態の任意の組み合わせによって生じる新たな実施の形態も、本発明の実施の形態に含まれる。組み合わせによって生じる新たな実施の形態の効果は、もとの実施の形態の効果を併せ持つ。
【符号の説明】
【0093】
１ 情報処理装置
２ 第１装置
３ 第２装置
１１ 通信部
１２ 記憶部
１３ 制御部
１３１ 決定部
１３２ 生成部
１３３ 送信部
１３４ データ群取得部
１３５ 統合部
Ｓ 情報処理システム
２ 第１装置
３ 第２装置
１１ 通信部
１２ 記憶部
１３ 制御部
１３１ 決定部
１３２ 生成部
１３３ 送信部
１３４ データ群取得部
１３５ 統合部
Ｓ 情報処理システム
【要約】 （修正有）
【課題】ユーザ情報を収集する過程で、匿名化処理が行われていないユーザ情報が流出しない情報処理装置及び情報処理方法を提供する。
【解決手段】情報処理装置１は、第１データ群と第２データ群とを統合して統合データ群とした場合における、統合データ群に含まれる複数のデータに対して所定の確率でノイズが付与されているように第１データ群にノイズを付与する第１ノイズ付与クエリと、第２データ群にノイズを付与する第２ノイズ付与クエリと、第１データ群に含まれる複数のデータ識別情報を不可逆変換するクエリである第１不可逆変換クエリと、第２データ群に含まれる複数のデータ識別情報を不可逆変換するクエリである第２不可逆変換クエリとを生成する生成部１３２と、第１ノイズ付与クエリと第１不可逆変換クエリとを第１装置２に送信し、第２ノイズ付与クエリと第２不可逆変換クエリとを第２装置３に送信する送信部１３３と、を有する。
【選択図】図２
【解決手段】情報処理装置１は、第１データ群と第２データ群とを統合して統合データ群とした場合における、統合データ群に含まれる複数のデータに対して所定の確率でノイズが付与されているように第１データ群にノイズを付与する第１ノイズ付与クエリと、第２データ群にノイズを付与する第２ノイズ付与クエリと、第１データ群に含まれる複数のデータ識別情報を不可逆変換するクエリである第１不可逆変換クエリと、第２データ群に含まれる複数のデータ識別情報を不可逆変換するクエリである第２不可逆変換クエリとを生成する生成部１３２と、第１ノイズ付与クエリと第１不可逆変換クエリとを第１装置２に送信し、第２ノイズ付与クエリと第２不可逆変換クエリとを第２装置３に送信する送信部１３３と、を有する。
【選択図】図２
【図1】
【図2】
【図3】
【図4】
【図5】
【図6】