特許 7579478 情報処理装置、情報処理システム及び情報処理方法

(19)【発行国】日本国特許庁(JP)

(12)【公報種別】特許公報(B1)

(11)【特許番号】

(24)【登録日】2024-10-29

(45)【発行日】2024-11-07

(54)【発明の名称】情報処理装置、情報処理システム及び情報処理方法

(51)【国際特許分類】

   G06F 21/62 20130101AFI20241030BHJP

【ＦＩ】

G06F21/62 354

【請求項の数】 14

(21)【出願番号】P 2024081002

(22)【出願日】2024-05-17

【審査請求日】2024-05-17

【早期審査対象出願】

(73)【特許権者】

【識別番号】000208891

【氏名又は名称】ＫＤＤＩ株式会社

(74)【代理人】

【識別番号】110004222

【氏名又は名称】弁理士法人創光国際特許事務所

(72)【発明者】

【氏名】披田野 清良

(72)【発明者】

【氏名】黒川 茂莉

(72)【発明者】

【氏名】山口 求

(72)【発明者】

【氏名】浅川 善則

【審査官】田中 啓介

(56)【参考文献】

【文献】国際公開第２０１６／００２０８６（ＷＯ，Ａ１）

【文献】米国特許出願公開第２０１７／０３５９３６４（ＵＳ，Ａ１）

【文献】紀伊 真昇 他，反復ベイズ法を用いた垂直分割データからのプライバシ保護データ合成，マルチメディア，分散，協調とモバイル（ＤＩＣＯＭＯ２０２３）シンポジウム論文集 情報処理学会シンポジウムシリーズ Ｖｏｌ．２０２３ Ｎｏ．１ ［ＤＶＤ－ＲＯＭ］ IPSJ Symposium Series，日本，一般社団法人情報処理学会，2023年08月18日，第2023巻、第1号，pp1055-1065

(58)【調査した分野】(Int.Cl.，ＤＢ名)

Ｇ０６Ｆ１２／１４

Ｇ０６Ｆ１６／００－１６／９５８

Ｇ０６Ｆ２１／００－２１／８８

Ｇ０６Ｑ５０／００－５０／２０

Ｇ０６Ｑ５０／２６－９９／００

(57)【特許請求の範囲】

【請求項1】

複数の属性それぞれのデータを含むデータ群を管理する装置から、前記属性の数を示す属性数情報と、複数の前記属性それぞれのデータの所定の期間における更新頻度を示す更新頻度情報とを受信する受信部と、
受信した前記属性数情報が示す属性の数と、前記更新頻度情報が示す更新頻度と、前記データ群に対して付与できるノイズの量を示すプライバシー予算とに基づいて、前記データ群に含まれる１つの属性のデータに前記ノイズを１回付与するのに対して減少させるプライバシー予算の量である予算消費量を決定する決定部と、
前記プライバシー予算と、前記決定部が決定した前記予算消費量とを前記装置に送信する送信部と、
を有する情報処理装置。

【請求項2】

前記受信部は、複数の異なるデータ群それぞれを管理する複数の装置から、前記装置が管理するデータ群に対応する前記属性数情報と前記更新頻度情報とを受信し、
前記決定部は、複数の装置それぞれから受信した前記属性数情報が示す属性の数と、前記更新頻度情報が示す更新頻度と、前記複数の異なるデータ群に対して付与できるノイズの量を示す前記プライバシー予算に基づいて、複数の前記装置それぞれが管理する複数のデータ群それぞれに対する前記予算消費量を決定し、複数のデータ群それぞれに対する前記予算消費量と、複数のデータ群それぞれに対する前記属性の数とに基づいて、複数のデータ群それぞれに対応するプライバシー予算である個別プライバシー予算を決定し、
前記送信部は、複数の前記装置それぞれに、当該装置に対応する前記データ群に対して前記決定部が決定した個別プライバシー予算と、前記予算消費量とを送信する、
請求項１に記載の情報処理装置。

【請求項3】

前記決定部は、前記更新頻度情報が示す複数の属性それぞれのデータの更新頻度のうち最大の更新頻度を特定し、前記属性数情報が示す属性の数と、特定した前記最大の更新頻度と、前記プライバシー予算とに基づいて、前記予算消費量を決定する、
請求項１に記載の情報処理装置。

【請求項4】

複数の属性それぞれのデータを含むデータ群を管理する情報処理装置であって、
前記属性の数と、複数の前記属性それぞれのデータの所定の期間における更新頻度とを特定する特定部と、
前記特定部が特定した前記属性の数を示す属性数情報と、前記更新頻度を示す更新頻度情報とを、前記データ群に対して付与できるノイズの量を示すプライバシー予算を管理する管理装置に送信する送信部と、
前記管理装置から、前記属性数情報が示す属性の数と、前記更新頻度情報が示す更新頻度と、前記プライバシー予算とに基づいて決定された、前記データ群に含まれる１つの属性のデータにノイズを１回付与するのに対して減少させるプライバシー予算の量である予算消費量と、前記プライバシー予算とを示す予算情報を受信する受信部と、
受信した前記プライバシー予算を記憶部に記憶させる記憶制御部と、
前記データ群に含まれる一以上の属性それぞれのデータである対象データにノイズを付与する場合に、前記予算消費量に基づいて、当該ノイズの付与に対応する前記プライバシー予算の減算量を特定し、前記記憶部に記憶されているプライバシー予算が、特定した減算量以上であることを条件として前記対象データに対してノイズを付与するノイズ付与部と、
前記ノイズ付与部がノイズを付与したことに応じて、前記記憶部に記憶されているプライバシー予算から当該ノイズの付与に対応する前記減算量を減算する減算部と、
を有する情報処理装置。

【請求項5】

前記管理装置から、前記対象データの取得要求を受け付ける受付部をさらに有し、
前記ノイズ付与部は、前記受付部が受け付けた前記取得要求に対応する前記対象データにノイズを付与する場合に、当該ノイズの付与に対応する前記減算量を特定し、前記記憶部に記憶されているプライバシー予算が、特定した減算量以上であることを条件として前記対象データに対してノイズを付与し、
前記送信部は、前記ノイズ付与部によりノイズが付与された前記対象データであるノイズ付与済データを前記管理装置に送信する、
請求項４に記載の情報処理装置。

【請求項6】

前記記憶制御部は、前記ノイズ付与済データを前記記憶部に記憶させ、
前記送信部は、前記受付部が受け付けた前記取得要求に対応する前記対象データに対して前記ノイズ付与部がノイズを付与しなかった場合に、前記記憶部に記憶されている当該対象データに対応する前記ノイズ付与済データを前記管理装置に送信する、
請求項５に記載の情報処理装置。

【請求項7】

前記記憶制御部は、前記ノイズ付与済データを前記記憶部に記憶させ、
前記ノイズ付与部は、前記受付部が受け付けた前記取得要求に対応する前記対象データにノイズを付与する場合に、前記記憶部に記憶されているプライバシー予算が、特定した減算量以上であることを条件として、前記記憶部に記憶されている、前記対象データに対応する前記ノイズ付与済データに対してノイズを付与する、
請求項５に記載の情報処理装置。

【請求項8】

前記記憶制御部は、前記ノイズ付与済データを前記記憶部に記憶させ、
前記ノイズ付与部は、前記受付部が受け付けた前記対象データに対応する前記ノイズ付与済データが前記記憶部に記憶されている場合において、前記ノイズ付与済データが前記記憶部に記憶された後に、当該対象データに対する更新があったときには、前記記憶部に記憶されている当該対象データに対してノイズを付与する、
請求項７に記載の情報処理装置。

【請求項9】

前記ノイズ付与部は、前記データ群のうち、前記ノイズが付与されていないデータ群の全体に対してノイズを付与した場合における前記減算量を第２減算量として特定し、前記プライバシー予算が前記第２減算量以上であるともに、前記プライバシー予算から前記取得要求に対応する減算量を減算した後のプライバシー予算が前記第２減算量未満となる場合に、前記ノイズが付与されていないデータ群の全体に対してノイズを付与し、
前記減算部は、前記ノイズ付与部が、前記ノイズが付与されていないデータ群の全体に対してノイズを付与したことに応じて、前記記憶部に記憶されているプライバシー予算から当該ノイズの付与に対応する前記減算量を減算する、
請求項５に記載の情報処理装置。

【請求項10】

前記ノイズ付与部は、前記データ群の全体に対しノイズを付与するとともに、前記予算消費量に基づいて、当該ノイズの付与に対応する前記プライバシー予算の減算量を特定し、
前記減算部は、前記ノイズ付与部が前記データ群の全体に対してノイズを付与したことに応じて、前記記憶部に記憶されているプライバシー予算から当該ノイズの付与に対応する前記減算量を減算し、
前記記憶制御部は、ノイズが付与された前記データ群をノイズ付与済データ群として前記記憶部に記憶させ、
前記管理装置から、前記対象データの取得要求を受け付ける受付部をさらに有し、
前記送信部は、前記ノイズ付与済データ群のうち、前記受付部が受け付けた前記取得要求が示す対象データに対応するデータをノイズ付与済データとして前記管理装置に送信する、
請求項４に記載の情報処理装置。

【請求項11】

前記ノイズ付与部は、前記対象データが有する属性の数に、前記予算消費量を乗算することにより、前記プライバシー予算の減算量を特定する、
請求項４に記載の情報処理装置。

【請求項12】

複数の属性それぞれのデータを含むデータ群を管理するデータ管理装置と、情報処理装置とを有する情報処理システムであって、
前記データ管理装置は、
前記属性の数と、複数の前記属性それぞれのデータの所定の期間における更新頻度とを特定する特定部と、
前記特定部が特定した前記属性の数を示す属性数情報と、前記更新頻度を示す更新頻度情報とを、前記データ群に対して付与できるノイズの量を示すプライバシー予算を管理する管理装置に送信する送信部と、
を有し、
前記情報処理装置は、
前記データ管理装置から、前記属性数情報と、前記更新頻度情報とを受信する受信部と、
受信した前記属性数情報が示す属性の数と、前記更新頻度情報が示す更新頻度と、前記データ群に対して付与できるノイズの量を示すプライバシー予算とに基づいて、前記データ群に含まれる１つの属性のデータに前記ノイズを１回付与するのに対して減少させるプライバシー予算の量である予算消費量を決定する決定部と、
前記プライバシー予算と、前記決定部が決定した前記予算消費量とを示す予算情報を前記データ管理装置に送信する送信部と、
を有し、
前記データ管理装置は、
前記情報処理装置から、前記予算情報を受信する受信部と、
受信した前記プライバシー予算を記憶部に記憶させる記憶制御部と、
前記データ群に含まれる一以上の属性それぞれのデータである対象データにノイズを付与する場合に、前記予算消費量に基づいて、当該ノイズの付与に対応する前記プライバシー予算の減算量を特定し、前記記憶部に記憶されているプライバシー予算が、特定した減算量以上であることを条件として前記対象データに対してノイズを付与するノイズ付与部と、
前記ノイズ付与部がノイズを付与したことに応じて、前記記憶部に記憶されているプライバシー予算から当該ノイズの付与に対応する前記減算量を減算する減算部と、
をさらに有する、
情報処理システム。

【請求項13】

コンピュータが実行する、
複数の属性それぞれのデータを含むデータ群を管理する装置から、前記属性の数を示す属性数情報と、複数の前記属性それぞれのデータの所定の期間における更新頻度を示す更新頻度情報とを受信するステップと、
受信した前記属性数情報が示す属性の数と、前記更新頻度情報が示す更新頻度と、前記データ群に対して付与できるノイズの量を示すプライバシー予算とに基づいて、前記データ群に含まれる１つの属性のデータに前記ノイズを１回付与するのに対して減少させるプライバシー予算の量である予算消費量を決定するステップと、
前記プライバシー予算と、決定した前記予算消費量とを前記装置に送信するステップと、
を有する情報処理方法。

【請求項14】

複数の属性それぞれのデータを含むデータ群を管理するコンピュータが実行する、
前記属性の数と、複数の前記属性それぞれのデータの所定の期間における更新頻度とを特定するステップと、
特定した前記属性の数を示す属性数情報と、前記更新頻度を示す更新頻度情報とを、前記データ群に対して付与できるノイズの量を示すプライバシー予算を管理する管理装置に送信するステップと、
前記管理装置から、前記属性数情報が示す属性の数と、前記更新頻度情報が示す更新頻度と、前記プライバシー予算とに基づいて決定された、前記データ群に含まれる１つの属性のデータにノイズを１回付与するのに対して減少させるプライバシー予算の量である予算消費量と、前記プライバシー予算とを示す予算情報を受信するステップと、
受信した前記プライバシー予算を記憶部に記憶させるステップと、
前記データ群に含まれる一以上の属性それぞれのデータである対象データにノイズを付与する場合に、前記予算消費量に基づいて、当該ノイズの付与に対応する前記プライバシー予算の減算量を特定し、前記記憶部に記憶されているプライバシー予算が、特定した減算量以上であることを条件として前記対象データに対してノイズを付与するステップと、
前記対象データに対してノイズを付与したことに応じて、前記記憶部に記憶されているプライバシー予算から当該ノイズの付与に対応する前記減算量を減算するステップと、
を有する情報処理方法。

【発明の詳細な説明】

【技術分野】

【0001】

本発明は、情報処理装置、情報処理システム及び情報処理方法に関する。

【背景技術】

【0002】

従来、ユーザに関する情報であるユーザ情報を収集し、データ分析を行うことが実施されている。この場合、ユーザのプライバシーを保護するために、ユーザ情報の少なくとも一部に対してノイズの付与等を行い、ユーザ情報を匿名化することが行われている（例えば、特許文献１参照）。

【先行技術文献】

【特許文献】

【0003】

【文献】特開２０１１－１１７６７９号公報

【発明の概要】

【発明が解決しようとする課題】

【0004】

データ分析を行う場合、様々な観点からデータ分析を行うことが多く、同一のデータ群の取得要求が複数回行われることがある。同一のデータ群に対する取得要求が複数回行われる場合に、同一のデータ群に対してユーザ情報の匿名化が複数回繰り返されると、同一のデータ群に対応する複数のバリエーションのデータ群が生成される。この場合、複数のバリエーションのデータ群を分析することにより、匿名化が行われる前のデータ群の内容を推測しやすくなり、ユーザの識別性が上がる等のプライバシーリスクが増大するという問題が発生する。特に、複数事業者が連携してデータ分析を行う場合はプライバシーリスク増大が顕著になる。

【0005】

そこで、本発明はこれらの点に鑑みてなされたものであり、匿名化したデータ群を提供する場合にプライバシーリスクの増大を抑制することを目的とする。

【課題を解決するための手段】

【0006】

本発明の第１の態様に係る情報処理装置は、複数の属性それぞれのデータを含むデータ群を管理する装置から、前記属性の数を示す属性数情報と、複数の前記属性それぞれのデータの所定の期間における更新頻度を示す更新頻度情報とを受信する受信部と、受信した前記属性数情報が示す属性の数と、前記更新頻度情報が示す更新頻度と、前記データ群に対して付与できるノイズの量を示すプライバシー予算とに基づいて、前記データ群に含まれる１つの属性のデータに前記ノイズを１回付与するのに対して減少させるプライバシー予算の量である予算消費量を決定する決定部と、前記プライバシー予算と、前記決定部が決定した前記予算消費量とを前記装置に送信する送信部と、を有する。

【0007】

前記受信部は、複数の異なるデータ群それぞれを管理する複数の装置から、前記装置が管理するデータ群に対応する前記属性数情報と前記更新頻度情報とを受信し、前記決定部は、複数の装置それぞれから受信した前記属性数情報が示す属性の数と、前記更新頻度情報が示す更新頻度と、前記複数の前記データ群に対して付与できるノイズの量を示す前記プライバシー予算に基づいて、複数の前記装置それぞれが管理する複数のデータ群それぞれに対する前記予算消費量を決定し、複数のデータ群それぞれに対する前記予算消費量と、複数のデータ群それぞれに対する前記属性の数とに基づいて、複数のデータ群それぞれに対応するプライバシー予算である個別プライバシー予算を決定し、前記送信部は、複数の前記装置それぞれに、当該装置に対応する前記データ群に対して前記決定部が決定した個別プライバシー予算と、前記予算消費量とを送信してもよい。

【0008】

前記決定部は、前記更新頻度情報が示す複数の属性それぞれのデータの更新頻度のうち最大の更新頻度を特定し、前記属性数情報が示す属性の数と、特定した前記最大の更新頻度と、前記プライバシー予算とに基づいて、前記予算消費量を決定してもよい。

【0009】

本発明の第２の態様に係る情報処理装置は、複数の属性それぞれのデータを含むデータ群を管理する情報処理装置であって、前記属性の数と、複数の前記属性それぞれのデータの所定の期間における更新頻度とを特定する特定部と、前記特定部が特定した前記属性の数を示す属性数情報と、前記更新頻度を示す更新頻度情報とを、前記データ群に対して付与できるノイズの量を示すプライバシー予算を管理する管理装置に送信する送信部と、前記管理装置から、前記属性数情報が示す属性の数と、前記更新頻度情報が示す更新頻度と、前記プライバシー予算とに基づいて決定された、前記データ群に含まれる１つの属性のデータにノイズを１回付与するのに対して減少させるプライバシー予算の量である予算消費量と、前記プライバシー予算とを示す予算情報を受信する受信部と、受信した前記プライバシー予算を記憶部に記憶させる記憶制御部と、前記データ群に含まれる一以上の属性それぞれのデータである対象データにノイズを付与する場合に、前記予算消費量に基づいて、当該ノイズの付与に対応する前記プライバシー予算の減算量を特定し、前記記憶部に記憶されているプライバシー予算が、特定した減算量以上であることを条件として前記対象データに対してノイズを付与するノイズ付与部と、前記ノイズ付与部がノイズを付与したことに応じて、前記記憶部に記憶されているプライバシー予算から当該ノイズの付与に対応する前記減算量を減算する減算部と、を有する。

【0010】

前記情報処理装置は、前記管理装置から、前記対象データの取得要求を受け付ける受付部をさらに有し、前記ノイズ付与部は、前記受付部が受け付けた前記取得要求に対応する前記対象データにノイズを付与する場合に、当該ノイズの付与に対応する前記減算量を特定し、前記記憶部に記憶されているプライバシー予算が、特定した減算量以上であることを条件として前記対象データに対してノイズを付与し、前記送信部は、前記ノイズ付与部によりノイズが付与された前記対象データであるノイズ付与済データを前記管理装置に送信してもよい。

【0011】

前記記憶制御部は、前記ノイズ付与済データを前記記憶部に記憶させ、前記送信部は、前記受付部が受け付けた前記取得要求に対応する前記対象データに対して前記ノイズ付与部がノイズを付与しなかった場合に、前記記憶部に記憶されている当該対象データに対応する前記ノイズ付与済データを前記管理装置に送信してもよい。

【0012】

前記記憶制御部は、前記ノイズ付与済データを前記記憶部に記憶させ、前記ノイズ付与部は、前記受付部が受け付けた前記取得要求に対応する前記対象データにノイズを付与する場合に、前記記憶部に記憶されているプライバシー予算が、特定した減算量以上であることを条件として、前記記憶部に記憶されている、前記対象データに対応する前記ノイズ付与済データに対してノイズを付与してもよい。

【0013】

前記記憶制御部は、前記ノイズ付与済データを前記記憶部に記憶させ、前記ノイズ付与部は、前記受付部が受け付けた前記対象データに対応する前記ノイズ付与済データが前記記憶部に記憶されている場合において、前記ノイズ付与済データが前記記憶部に記憶された後に、当該対象データに対する更新があったときには、前記記憶部に記憶されている当該対象データに対してノイズを付与してもよい。

【0014】

前記ノイズ付与部は、前記データ群のうち、前記ノイズが付与されていないデータ群の全体に対してノイズを付与した場合における前記減算量を第２減算量として特定し、前記プライバシー予算が前記第２減算量以上であるともに、前記プライバシー予算から前記取得要求に対応する減算量を減算した後のプライバシー予算が前記第２減算量未満となる場合に、前記ノイズが付与されていないデータ群の全体に対してノイズを付与し、前記減算部は、前記ノイズ付与部が、前記ノイズが付与されていないデータ群の全体に対してノイズを付与したことに応じて、前記記憶部に記憶されているプライバシー予算から当該ノイズの付与に対応する前記減算量を減算してもよい。

【0015】

前記ノイズ付与部は、前記データ群の全体に対しノイズを付与するとともに、前記予算消費量に基づいて、当該ノイズの付与に対応する前記プライバシー予算の減算量を特定し、前記減算部は、前記ノイズ付与部が前記データ群の全体に対してノイズを付与したことに応じて、前記記憶部に記憶されているプライバシー予算から当該ノイズの付与に対応する前記減算量を減算し、前記記憶制御部は、ノイズが付与された前記データ群をノイズ付与済データ群として前記記憶部に記憶させ、前記情報処理装置は、前記管理装置から、前記対象データの取得要求を受け付ける受付部をさらに有し、前記送信部は、前記ノイズ付与済データ群のうち、前記受付部が受け付けた前記取得要求が示す対象データに対応するデータをノイズ付与済データとして前記管理装置に送信してもよい。

【0016】

前記ノイズ付与部は、前記対象データが有する属性の数に、前記予算消費量を乗算することにより、前記プライバシー予算の減算量を特定してもよい。

【0017】

本発明の第３の態様に係る情報処理システムは、複数の属性それぞれのデータを含むデータ群を管理するデータ管理装置と、情報処理装置とを有する情報処理システムであって、前記データ管理装置は、前記属性の数と、複数の前記属性それぞれのデータの所定の期間における更新頻度とを特定する特定部と、前記特定部が特定した前記属性の数を示す属性数情報と、前記更新頻度を示す更新頻度情報とを、前記データ群に対して付与できるノイズの量を示すプライバシー予算を管理する管理装置に送信する送信部と、を有し、前記情報処理装置は、前記データ管理装置から、前記属性数情報と、前記更新頻度情報とを受信する受信部と、受信した前記属性数情報が示す属性の数と、前記更新頻度情報が示す更新頻度と、前記データ群に対して付与できるノイズの量を示すプライバシー予算とに基づいて、前記データ群に含まれる１つの属性のデータに前記ノイズを１回付与するのに対して減少させるプライバシー予算の量である予算消費量を決定する決定部と、前記プライバシー予算と、前記決定部が決定した前記予算消費量とを示す予算情報を前記データ管理装置に送信する送信部と、を有し、前記データ管理装置は、前記情報処理装置から、前記予算情報を受信する受信部と、受信した前記プライバシー予算を記憶部に記憶させる記憶制御部と、前記データ群に含まれる一以上の属性それぞれのデータである対象データにノイズを付与する場合に、前記予算消費量に基づいて、当該ノイズの付与に対応する前記プライバシー予算の減算量を特定し、前記記憶部に記憶されているプライバシー予算が、特定した減算量以上であることを条件として前記対象データに対してノイズを付与するノイズ付与部と、前記ノイズ付与部がノイズを付与したことに応じて、前記記憶部に記憶されているプライバシー予算から当該ノイズの付与に対応する前記減算量を減算する減算部と、をさらに有してもよい。

【0018】

本発明の第４の態様に係る情報処理方法は、コンピュータが実行する、複数の属性それぞれのデータを含むデータ群を管理する装置から、前記属性の数を示す属性数情報と、複数の前記属性それぞれのデータの所定の期間における更新頻度を示す更新頻度情報とを受信するステップと、受信した前記属性数情報が示す属性の数と、前記更新頻度情報が示す更新頻度と、前記データ群に対して付与できるノイズの量を示すプライバシー予算とに基づいて、前記データ群に含まれる１つの属性のデータに前記ノイズを１回付与するのに対して減少させるプライバシー予算の量である予算消費量を決定するステップと、前記プライバシー予算と、決定した前記予算消費量とを前記装置に送信するステップと、を有する。

【0019】

本発明の第５の態様に係る情報処理方法は、複数の属性それぞれのデータを含むデータ群を管理するコンピュータが実行する、前記属性の数と、複数の前記属性それぞれのデータの所定の期間における更新頻度とを特定するステップと、特定した前記属性の数を示す属性数情報と、前記更新頻度を示す更新頻度情報とを、前記データ群に対して付与できるノイズの量を示すプライバシー予算を管理する管理装置に送信するステップと、前記管理装置から、前記属性数情報が示す属性の数と、前記更新頻度情報が示す更新頻度と、前記プライバシー予算とに基づいて決定された、前記データ群に含まれる１つの属性のデータにノイズを１回付与するのに対して減少させるプライバシー予算の量である予算消費量と、前記プライバシー予算とを示す予算情報を受信するステップと、受信した前記プライバシー予算を記憶部に記憶させるステップと、前記データ群に含まれる一以上の属性それぞれのデータである対象データにノイズを付与する場合に、前記予算消費量に基づいて、当該ノイズの付与に対応する前記プライバシー予算の減算量を特定し、前記記憶部に記憶されているプライバシー予算が、特定した減算量以上であることを条件として前記対象データに対してノイズを付与するステップと、前記対象データに対してノイズを付与したことに応じて、前記記憶部に記憶されているプライバシー予算から当該ノイズの付与に対応する前記減算量を減算するステップと、を有する。

【発明の効果】

【0020】

本発明によれば、匿名化したデータ群を提供する場合にプライバシーリスクの増大を抑制することができるという効果を奏する。

【図面の簡単な説明】

【0021】

【図1】情報処理システムの概要を説明する図である。

【図2】情報処理装置の機能構成を示す図である。

【図3】第１装置の機能構成を示す図である。

【図4】情報処理装置１が第１装置及び第２装置からデータを収集するまでの情報処理システムＳにおける処理の流れを示すシーケンス図である。

【図5】第１装置が対象データに対してノイズを付与する処理の流れを示すフローチャートである。

【発明を実施するための形態】

【0022】

［情報処理システムＳの概要］
図１は、情報処理システムＳの概要を説明する図である。情報処理システムＳは、情報処理装置１と、第１データ群を管理する第１装置２と、第２データ群を管理する第２装置３とを有し、情報処理装置１にデータ群を集約するためのシステムである。

【0023】

情報処理装置１は、例えばデータを集約し、集約後のデータを提供するサービスを提供する集約事業者により運用されており、第１装置２及び第２装置３等の外部装置と、インターネットや携帯電話回線等の通信ネットワーク（不図示）を介して通信可能に接続されている。

【0024】

第１装置２は、例えば第１の事業者により運用されているコンピュータである。第１装置２は、データを識別するためのデータ識別情報としてのデータＩＤと第１データとを関連付けた複数の第１レコードを含む第１データ群を管理する第１データ管理装置として機能する。第２装置３は、例えば第２の事業者により運用されているコンピュータである。第２装置３は、第１データ群に含まれているデータＩＤと共通のデータＩＤと、第２データとを関連付けた複数の第２レコードを含む第２データ群を管理する第２データ管理装置として機能する。第１データ群及び第２データ群は、複数の属性それぞれのデータを含んでいる。

【0025】

情報処理装置１は、第１装置２及び第２装置３からデータを集約する際に、集約するデータのプライバシーリスクが増大することを抑制するために、データ群に付与できるノイズの量を示すプライバシー予算を管理する予算管理装置として機能する。そして、情報処理装置１は、データ群に含まれる１つの属性のデータにノイズを１回付与するのに対して減少させるプライバシー予算の量である予算消費量を決定する。

【0026】

具体的には、情報処理装置１は、第１装置２及び第２装置３のそれぞれから、データ群に含まれているデータの属性の数を示す属性数情報と、複数の属性それぞれのデータの所定の期間における更新頻度を示す更新頻度情報とを受信する。そして、情報処理装置１は、属性数情報が示す属性の数と、更新頻度情報が示す更新頻度と、プライバシー予算とに基づいて、データ群に含まれる１つの属性のデータにノイズを１回付与するのに対して減少させるプライバシー予算の量である予算消費量を決定する。情報処理装置１は、決定した予算消費量と、プライバシー予算とを第１装置２と第２装置３とに送信する。

【0027】

第１装置２と第２装置３とのそれぞれは、情報処理装置１から受信したプライバシー予算と予算消費量に基づいて、プライバシー予算がなくならないようにデータ群に対してノイズを付与してノイズが付与されたデータ群であるノイズ付与済データを生成する。そして、第１装置２と第２装置３とのそれぞれは、生成したノイズ付与済データを情報処理装置１に送信する。このようにすることで、情報処理システムＳでは、同一のデータ群に対してノイズ付与が複数回繰り返されることにより、匿名化が行われる前のデータ群の内容を推測しやすくなることを抑制し、プライバシーリスクが増大することを抑制することができる。

【0028】

［情報処理装置１の機能構成］
続いて、情報処理装置１の機能構成について説明する。図２は、情報処理装置１の機能構成を示す図である。

【0029】

図２に示すように、情報処理装置１は、通信部１１と、記憶部１２と、制御部１３とを有する。
通信部１１は、第１装置２及び第２装置３等と通信ネットワークを介してデータを送受信するための通信インターフェースである。

【0030】

記憶部１２は、各種のデータを記憶する記憶媒体であり、ＲＯＭ（Read Only Memory）、ＲＡＭ（Random Access Memory）、ハードディスク、ＳＳＤ（Solid State Drive）、及びフラッシュメモリ等を有する。記憶部１２は、制御部１３が実行するプログラムを記憶する。記憶部１２は、制御部１３を、受信部１３１、決定部１３２及び送信部１３３として機能させるプログラムを記憶する。

【0031】

制御部１３は、例えばＣＰＵ（Central Processing Unit）である。制御部１３は、記憶部１２に記憶されたプログラムを実行することにより、受信部１３１、決定部１３２及び送信部１３３として機能する。制御部１３の詳細については後述する。

【0032】

［第１装置２及び第２装置３の機能構成］
続いて、第１装置２及び第２装置３の機能構成について説明する。図３は、第１装置２の機能構成を示す図である。第２装置３の機能構成は、第１装置２の機能構成と同じであるので説明を省略する。

【0033】

図３に示すように、第１装置２は、通信部２１と、記憶部２２と、制御部２３とを有する。
通信部２１は、情報処理装置１等と通信ネットワークを介してデータを送受信するための通信インターフェースである。

【0034】

記憶部２２は、各種のデータを記憶する記憶媒体であり、ＲＯＭ、ＲＡＭ、ハードディスク、ＳＳＤ、及びフラッシュメモリ等を有する。記憶部２２は、制御部２３が実行するプログラムを記憶する。記憶部２２は、制御部２３を、特定部２３１、送信部２３２、受信部２３３、記憶制御部２３４、受付部２３５、ノイズ付与部２３６及び減算部２３７として機能させるプログラムを記憶する。

【0035】

また、記憶部２２には、第１データ群が記憶されている。第１データ群は、不定期で更新されるものとし、例えば、第１データ群のバージョンと、当該バージョンに対応する第１データ群が関連付けて記憶部２２に記憶されているものとする。また、記憶部２２には、第１データ群に含まれる一以上の属性それぞれのデータである対象データに対してノイズが付与されたノイズ付与済データであって、過去に情報処理装置１に送信されたノイズ付与済データが記憶されているものとする。

【0036】

制御部２３は、例えばＣＰＵである。制御部２３は、記憶部２２に記憶されたプログラムを実行することにより、特定部２３１、送信部２３２、受信部２３３、記憶制御部２３４、受付部２３５、ノイズ付与部２３６及び減算部２３７として機能する。

【0037】

［プライバシー予算と予算消費量との通知］
続いて、制御部１３及び制御部２３の詳細についてシーケンス図及びフローチャートを参照しながら説明する。まず、情報処理装置１が第１装置２及び第２装置３からデータを収集するまでの情報処理システムＳにおける処理の流れについて説明する。

【0038】

図４は、情報処理装置１が第１装置２及び第２装置３からデータを収集するまでの情報処理システムＳにおける処理の流れを示すシーケンス図である。
まず、第１装置２の特定部２３１は、複数の属性それぞれのデータを含む第１データ群における、属性の数と、複数の属性それぞれのデータの所定の期間における更新頻度とを特定する（Ｓ１）。

【0039】

例えば、特定部２３１は、第１データ群を構成する複数のカラムそれぞれに対応するデータの属性を特定することにより、属性の数を特定する。また、第１装置２の記憶部２２には、所定の期間における異なるバージョンの第１データ群が記憶されており、特定部２３１は、異なるバージョンの複数の第１データ群におけるデータの更新回数を特定することにより、複数の属性それぞれのデータの所定の期間における更新頻度を特定する。

【0040】

送信部２３２は、特定部２３１が特定した属性の数を示す属性数情報と、更新頻度を示す更新頻度情報とを、データ群に対して付与できるノイズの量を示すプライバシー予算を管理する情報処理装置１に送信する（Ｓ２）。

【0041】

同様に、第２装置３は、属性の数と複数の属性それぞれのデータの所定の期間における更新頻度とを特定し（Ｓ３）、属性数情報及び更新頻度情報を情報処理装置１に送信する（Ｓ４）。

【0042】

受信部１３１は、複数の属性それぞれのデータを含むデータ群を管理する複数の装置である第１装置２及び第２装置３それぞれから、当該データ群に含まれるデータの属性の数を示す属性数情報と、複数の属性それぞれのデータの所定の期間における更新頻度を示す更新頻度情報とを受信する。

【0043】

決定部１３２は、第１装置２及び第２装置３それぞれにおいて管理されているデータ群に含まれる１つの属性のデータにノイズを１回付与するのに対して減少させるプライバシー予算の量である予算消費量を決定する（Ｓ５）。

【0044】

決定部１３２は、受信部１３１が受信した属性数情報が示す、データ群に含まれるデータに対応する属性の数と、受信した更新頻度情報が示す、複数の属性それぞれのデータの所定の期間における更新頻度と、データ群に対して付与できるノイズの量を示すプライバシー予算とに基づいて、データ群に含まれる１つの属性のデータにノイズを１回付与するのに対して減少させるプライバシー予算の量である予算消費量を決定する。

【0045】

具体的には、決定部１３２は、第１装置２及び第２装置３それぞれから受信した属性数情報が示す属性の数と、更新頻度情報が示す更新頻度と、複数のデータ群に対して付与できるノイズの総量を示す総プライバシー予算に基づいて、第１装置２及び第２装置３それぞれが管理する複数のデータ群それぞれに対する予算消費量を決定する。

【0046】

例えば、決定部１３２は、複数の属性それぞれのデータの所定の期間における更新頻度のうち、最大の更新頻度を特定する。そして、決定部１３２は、第１装置２及び第２装置３それぞれから受信した属性数情報が示す属性の数と、特定した最大の更新頻度と、総プライバシー予算とに基づいて、予算消費量を決定する。第１装置２が管理する第１データ群に含まれるデータの属性の数ｎ_Ａ、第２装置３が管理する第２データ群に含まれるデータの属性の数をｎ_Ｂ、総プライバシー予算をε、複数のデータ群に含まれる１つの属性のデータにノイズを１回付与したときの予算消費量ε_１、最大の更新頻度をｋとした場合、決定部１３２は、予算消費量ε_１を以下の式（１）により決定する。

【0047】

【数1】

【0048】

また、決定部１３２は、複数のデータ群それぞれに対して決定した予算消費量ε_１と、複数のデータ群それぞれに対する属性の数ｎ_Ａ及びｎ_Ｂとに基づいて、複数のデータ群それぞれに対応するプライバシー予算である個別プライバシー予算を決定する（Ｓ６）。第１データ群に対応する個別プライバシー予算をε_Ａ、第２データ群に対応する個別プライバシー予算をε_Ｂとした場合、決定部１３２は、以下の式（２）、（３）により、個別プライバシー予算をε_Ａ、ε_Ｂを決定する。

【0049】

【数2】

【数3】

【0050】

なお、決定部１３２は、最大の更新頻度に基づいて個別プライバシー予算を決定したが、これに限らない。決定部１３２は、複数の属性それぞれのデータの所定の期間における更新頻度に基づいて、更新頻度の平均回数や更新頻度の総和を特定してもよい。そし、決定部１３２は、最大の更新頻度の代わりに、更新頻度の平均回数や更新頻度の総和に基づいて個別プライバシー予算を決定してもよい。

【0051】

送信部１３３は、プライバシー予算と、決定部１３２が決定した予算消費量とを、データ群を管理する装置に送信する。具体的には、送信部１３３は、複数の装置である第１装置２及び第２装置３に、これらの装置に対応するデータ群に対して決定部１３２が決定した個別プライバシー予算と、予算消費量とを示す予算情報を送信する（Ｓ７、Ｓ８）。

【0052】

第１装置２の受信部２３３は、情報処理装置１から予算情報を受信する。受信部２３３は、情報処理装置１から、予算消費量と、第１装置２に対して決定部１３２が決定した個別プライバシー予算とを示す予算情報とを受信する。同様に、第２装置３も、情報処理装置１から予算情報を受信する。

【0053】

第１装置２の記憶制御部２３４は、受信部２３３が受信した予算情報を記憶部１２に記憶させることにより、予算消費量と、個別プライバシー予算とを記憶部１２に記憶させる（Ｓ９）。同様に、第２装置３も、受信した予算情報を自身の記憶部に記憶させることにより、予算消費量と、個別プライバシー予算とを自身の記憶部に記憶させる（Ｓ１０）。

【0054】

続いて、情報処理装置１の送信部１３３は、第１装置２に、第１装置２が管理する第１データ群に含まれる一以上の属性それぞれのデータである対象データの取得要求を行う（Ｓ１１）。対象データの取得要求には、対象データに対してノイズを付与し、ノイズが付与された対象データを取得するクエリが含まれている。

【0055】

第１装置２の受付部２３５は、情報処理装置１から、第１データ群に含まれる一以上の属性それぞれのデータである対象データの取得要求を受け付ける。第１装置２のノイズ付与部２３６は、受付部２３５が受け付けた取得要求に対応する対象データにノイズを付与することにより、ノイズが付与された対象データであるノイズ付与済データを取得する（Ｓ１２）。ノイズ付与部２３６の詳細については後述する。

【0056】

第１装置２の送信部２３２は、ノイズ付与部２３６が取得したノイズ付与済データを情報処理装置１に送信する（Ｓ１３）。なお、第１装置２の送信部２３２は、ノイズ付与部２３６がノイズ付与済データを取得できなかった場合には、ノイズ付与済データが取得できなかったことを示すエラー情報を情報処理装置１に送信する。情報処理装置１の受信部１３１は、第１装置２からノイズ付与済データを受信し、記憶部１２に記憶させる。

【0057】

また、情報処理装置１の送信部１３３は、第２装置３に対しても、第２装置３が管理する第２データ群に含まれる一以上の属性それぞれのデータである対象データの取得要求を行う（Ｓ１４）。第２装置３は、情報処理装置１から受け付けた取得要求に対応する対象データにノイズを付与することにより、ノイズが付与された対象データであるノイズ付与済データを取得し（Ｓ１５）、ノイズ付与済データを情報処理装置１に送信する（Ｓ１６）。情報処理装置１の受信部１３１は、第２装置３からノイズ付与済データを受信し、記憶部１２に記憶させる。

【0058】

［対象データに対するノイズの付与の詳細］
続いて、第１装置２及び第２装置３が対象データに対してノイズを付与する処理の流れについて説明する。図５は、第１装置２が対象データに対してノイズを付与する処理の流れを示すフローチャートである。なお、第２装置３が対象データに対してノイズを付与する処理の流れは、第１装置２が対象データに対してノイズを付与する処理の流れと同じであるので説明を省略する。

【0059】

ノイズ付与部２３６は、受付部２３５が受け付けた取得要求に対応する対象データにノイズを付与する場合に、予算消費量に基づいて、当該ノイズの付与に対応するプライバシー予算の減算量を特定する（Ｓ１０１）。

【0060】

例えば、ノイズ付与部２３６は、受付部２３５が受け付けた取得要求に含まれるクエリに基づいて、抽出対象のデータのカラム数を、ノイズを付与する属性数と特定する。そして、ノイズ付与部２３６は、特定した属性数に、記憶部２２に記憶されている予算消費量を乗算することにより、対象データにノイズを付与することによるプライバシー予算の減算量を特定する。

【0061】

ノイズ付与部２３６は、記憶部２２に記憶されているプライバシー予算が、特定した減算量以上であることを条件として対象データに対してノイズを付与し、ノイズ付与済データを取得する。例えば、ノイズ付与部２３６は、記憶部２２に記憶されているプライバシー予算が、特定した減算量以上であるか否かを判定する（Ｓ１０２）。ノイズ付与部２３６は、プライバシー予算が、特定した減算量以上であると判定すると（Ｓ１０２のＹＥＳ）、Ｓ１０３に処理を移す。また、ノイズ付与部２３６は、プライバシー予算が、特定した減算量未満であると判定すると（Ｓ１０２のＮＯ）、Ｓ１０６に処理を移し、受付部２３５が受け付けた取得要求に対応する対象データに対してノイズを付与しないように制御する。

【0062】

Ｓ１０３において、ノイズ付与部２３６は、対象データに対してノイズを付与することにより、ノイズ付与済データを取得する。ここで、ノイズ付与部２３６は、受付部２３５が受け付けた取得要求に対応する対象データにノイズを付与する場合において、記憶部２２に当該対象データに対応するノイズ付与済データが記憶されている場合には、当該ノイズ付与済データに対してノイズを付与するようにしてもよい。

【0063】

また、ノイズ付与部２３６は、受付部２３５が受け付けた対象データに対応するノイズ付与済データが記憶部２２に記憶されている場合において、ノイズ付与済データが記憶部２２に記憶された後に、当該対象データに対する更新があったときには、記憶部２２に記憶されている当該対象データに対してノイズを付与するようにしてもよい。このようにすることで、第１装置２は、最新の対象データに対応するノイズ付与済データを生成することができる。

【0064】

続いて、減算部２３７は、ノイズ付与部２３６が対象データに対してノイズを付与し、ノイズ付与済データを取得したことに応じて、記憶部２２に記憶されているプライバシー予算から、Ｓ１０１において特定された、当該ノイズの付与に対応する減算量を減算する（Ｓ１０４）。

【0065】

続いて、記憶制御部２３４は、ノイズ付与部２３６によりノイズが付与された対象データであるノイズ付与済データを記憶部２２に記憶させる（Ｓ１０５）。例えば、記憶制御部２３４は、受付部２３５が受け付けた取得要求が示すクエリと、当該クエリに対応するノイズ付与済データとを関連付けて記憶部２２に記憶させる。

【0066】

Ｓ１０６において、ノイズ付与部２３６は、記憶部１２に、取得要求に対応する対象データに対してノイズが付与されたノイズ付与済データが記憶されているか否かを判定する。例えば、ノイズ付与部２３６は、取得要求が示すクエリと関連付けてノイズ付与済データが記憶部２２に記憶されているか否かを判定することにより、取得要求に対応する対象データに対してノイズが付与されたノイズ付与済データが記憶されているか否かを判定する。

【0067】

ノイズ付与部２３６は、記憶部１２にノイズ付与済データが記憶されていると判定すると（Ｓ１０６のＹＥＳ）、Ｓ１０７に処理を移し、記憶部２２に記憶されているノイズ付与済データを取得する。
また、ノイズ付与部２３６は、記憶部１２にノイズ付与済データが記憶されていないと判定すると（Ｓ１０６のＮＯ）、本フローチャートに係る処理を終了する。

【0068】

なお、プライバシー予算が減算量未満であるとともに、記憶部１２にノイズ付与済データが記憶されていない場合には、ノイズ付与済データが情報処理装置１に送信されないこととなる。これを防ぐために、ノイズ付与部２３６が、予めデータ群の全体に対しノイズを付与することにより、ノイズが付与されたデータ群であるノイズ付与済データ群を生成し、記憶制御部２２４が、当該ノイズ付与済データ群を記憶部２２に記憶させてもよい。

【0069】

この場合、ノイズ付与部２３６は、受信部２３３が情報処理装置１から予算情報を受信したことに応じて、データ群の全体に対しノイズを付与してノイズ付与済データ群を生成するとともに、予算消費量に基づいて、当該ノイズの付与に対応する個別プライバシー予算の減算量を特定する。

【0070】

減算部２３７は、ノイズ付与部２３６がデータ群の全体に対してノイズを付与したことに応じて、記憶部２２に記憶されているプライバシー予算から当該ノイズの付与に対応する減算量を減算する。また、記憶制御部２３４は、ノイズが付与されたデータ群をノイズ付与済データ群として記憶部２２に記憶させる。

【0071】

その後、受付部２３５は、情報処理装置１から、対象データの取得要求を受け付け、送信部２３２は、記憶部２２に記憶されているノイズ付与済データ群のうち、受付部２３５が受け付けた取得要求が示す対象データに対応するデータをノイズ付与済データとして情報処理装置１に送信する。

【0072】

また、ノイズ付与部２３６は、受付部２３５が対象データの取得要求を受け付けたことに応じて、第１データ群のうち、ノイズが付与されていないデータ群の全体に対してノイズを付与した場合における減算量を第２減算量として特定してもよい。そして、ノイズ付与部２３６は、プライバシー予算が第２減算量以上であるともに、プライバシー予算から、取得要求に対応する減算量を減算した後のプライバシー予算が、第２減算量未満となる場合に、ノイズが付与されていないデータ群の全体に対してノイズを付与してもよい。

【0073】

そして、減算部２３７は、ノイズ付与部２３６が、ノイズが付与されていないデータ群の全体に対してノイズを付与したことに応じて、記憶部２２に記憶されているプライバシー予算から当該ノイズの付与に対応する第２減算量を減算する。また、記憶制御部２３４は、ノイズが付与されていないデータ群の全体に対してノイズを付与することにより生成されたノイズ付与済データを記憶部２２に記憶させる。このようにすることで、情報処理装置１は、第１データ群全体に予めノイズを付与してノイズ付与済データ群を生成するのと同様に、ノイズ付与済データが情報処理装置１に送信されないことを防止することができる。

【0074】

［情報処理装置１による効果］
以上説明したように、本実施の形態に係る情報処理システムＳにおいて、情報処理装置１は、複数の属性それぞれのデータを含むデータ群を管理する第１装置２及び第２装置３から、属性の数を示す属性数情報と、複数の属性それぞれのデータの所定の期間における更新頻度を示す更新頻度情報とを受信し、当該属性数情報が示す属性の数と、当該更新頻度情報が示す更新頻度と、データ群に対して付与できるノイズの量を示すプライバシー予算とに基づいて、データ群に含まれる１つの属性のデータにノイズを１回付与するのに対して減少させるプライバシー予算の量である予算消費量を決定し、プライバシー予算と、決定した予算消費量とを第１装置２及び第２装置３に送信する。

【0075】

また、本実施の形態に係る情報処理システムＳにおいて、第１装置２及び第２装置３は、属性数情報と、更新頻度情報とを、情報処理装置１に送信し、情報処理装置１から、属性数情報が示す属性の数と、更新頻度情報が示す更新頻度と、プライバシー予算とに基づいて決定された予算消費量と、プライバシー予算とを示す予算情報を受信して記憶部２２に記憶させる。そして、第１装置２及び第２装置３は、データ群に含まれる一以上の属性それぞれのデータである対象データにノイズを付与する場合に、予算消費量に基づいて、当該ノイズの付与に対応するプライバシー予算の減算量を特定し、記憶部２２に記憶されているプライバシー予算が、特定した減算量以上であることを条件として対象データに対してノイズを付与し、記憶部２２に記憶されているプライバシー予算から当該ノイズの付与に対応する減算量を減算する。このようにすることで、情報処理システムＳは、匿名化したデータ群を提供する場合にプライバシーリスクの増大を抑制することができる。

【0076】

なお、本発明により、国連が主導する持続可能な開発目標（ＳＤＧｓ）の目標９「産業と技術革新の基盤をつくろう」に貢献することが可能となる。

【0077】

以上、本発明を実施の形態を用いて説明したが、本発明の技術的範囲は上記実施の形態に記載の範囲には限定されず、その要旨の範囲内で種々の変形及び変更が可能である。例えば、上述の実施の形態では、情報処理装置１が、第１装置２及び第２装置３の２つの装置が管理する２つのデータ群に対して、予算消費量と個別プライバシー予算とを決定したが、これに限らない。情報処理装置１は、３つ以上の装置に対して予算消費量と個別プライバシー予算とを決定してもよい。

【0078】

また、装置の全部又は一部は、任意の単位で機能的又は物理的に分散・統合して構成することができる。また、複数の実施の形態の任意の組み合わせによって生じる新たな実施の形態も、本発明の実施の形態に含まれる。組み合わせによって生じる新たな実施の形態の効果は、もとの実施の形態の効果を併せ持つ。

【符号の説明】

【0079】

１ 情報処理装置
２ 第１装置
３ 第２装置
１１ 通信部
１２ 記憶部
１３ 制御部
２１ 通信部
２２ 記憶部
２３ 制御部
１３１ 受信部
１３２ 決定部
１３３ 送信部
２３１ 特定部
２３２ 送信部
２３３ 受信部
２３４ 記憶制御部
２３５ 受付部
２３６ ノイズ付与部
２３７ 減算部
Ｓ 情報処理システム

【要約】

【課題】匿名化したデータ群を提供する場合にプライバシーリスクの増大を抑制する。
【解決手段】情報処理装置１は、複数の属性それぞれのデータを含むデータ群を管理する第１装置２から、属性の数を示す属性数情報と、複数の属性それぞれのデータの所定の期間における更新頻度を示す更新頻度情報とを受信する受信部１３１と、受信した属性数情報が示す属性の数と、更新頻度情報が示す更新頻度と、データ群に対して付与できるノイズの量を示すプライバシー予算とに基づいて、データ群に含まれる１つの属性のデータにノイズを１回付与するのに対して減少させるプライバシー予算の量である予算消費量を決定する決定部１３２と、プライバシー予算と、決定部１３２が決定した前予算消費量とを第１装置２に送信する送信部１３３と、を有する。
【選択図】図２

【図1】

【図2】

【図3】

【図4】

【図5】