JP7778645B2 - 情報処理装置、情報処理方法、および情報処理プログラム - Google Patents

Description

本発明は、情報処理装置、情報処理方法、および情報処理プログラムに関する。

近年、オンラインサービスを利用したユーザのデータなどといった個人情報を特定の個人を識別できないように匿名加工した情報を第三者によるデータ分析などに利用する検討が行われている。例えば、特許文献１には、差分プライバシー（Differential Privacy）を用いて個人情報を保護する技術が提案されている。

国際公開第２０１８／１１６３６６号

しかしながら、従来における個人情報の利用方法では、各ユーザに個人情報の利用の許可または拒否のいずれかを選択してもらい、ユーザが許可した個人情報を一律に匿名加工して利用するものであり、より多くの個人情報を活用可能にする点で改善の余地がある。

本願は、上記に鑑みてなされたものであって、より多くの個人情報を活用可能にすることができる情報処理装置、情報処理方法、および情報処理プログラムを提供することを目的とする。

本願に係る情報処理装置は、分類部と、ノイズ付加処理部と、利用対象データ生成部とを備える。分類部は、ユーザによって利用が許諾されたデータをユーザが設定した利用条件に応じたグループに分類する。ノイズ付加処理部は、分類部によって同一のグループに分類された複数のデータを含むユーザデータ群に基づく演算結果のデータにグループに応じたノイズを付加したノイズ付加データまたはユーザデータ群にグループに応じたノイズを付加したノイズ付加データ群をグループ毎に生成する。利用対象データ生成部は、ノイズ付加処理部によって生成されたグループ毎のノイズ付加データまたはノイズ付加データ群を用いて利用対象データを生成する。

実施形態の一態様によれば、より多くの個人情報を活用可能にすることができる。

図１は、実施形態に係る情報処理の一例を示す図である。 図２は、実施形態に係る情報提供システムの構成の一例を示す図である。 図３は、実施形態に係る情報処理装置の構成の一例を示す図である。 図４は、実施形態に係る情報処理装置の組織情報記憶部に記憶される組織情報テーブルの一例を示す図である。 図５は、実施形態に係る情報処理装置のサービスログ記憶部に記憶されるサービスログテーブルの一例を示す図である。 図６は、情報処理装置の処理部が実行する情報処理の一例を示すフローチャートである。 図７は、情報処理装置の処理部が実行する匿名加工処理の一例を示すフローチャートである。 図８は、実施形態に係る情報処理装置の機能を実現するコンピュータの一例を示すハードウェア構成図である。

以下に、本願に係る情報処理装置、情報処理方法、および情報処理プログラムを実施するための形態（以下、「実施形態」と呼ぶ）について図面を参照しつつ詳細に説明する。なお、この実施形態により本願に係る情報処理装置、情報処理方法、および情報処理プログラムが限定されるものではない。また、各実施形態は、処理内容を矛盾させない範囲で適宜組み合わせることが可能である。また、以下の各実施形態において同一の部位には同一の符号を付し、重複する説明は省略される。

〔１．情報処理の一例〕
まず、図１を用いて、実施形態に係る情報処理の一例について説明する。図１は、実施形態に係る情報処理の一例を示す図である。

図１に示す情報処理装置１は、複数の組織（例えば、企業や自治体など）の各々から複数のユーザＵのデータを収集し、収集した複数のユーザＵのデータを個々のユーザＵのデータを特定できないように匿名加工する。

そして、情報処理装置１は、匿名加工したデータから利用対象データを生成し、かかる利用対象データを提供する。かかる利用対象データは、データ利用者による利用対象となるデータであり、かかる利用対象データによって、例えば、データ分析などを行うことができる。

図１に示すように、サーバ３_１～３_ｍの各々は、端末装置２のユーザＵに対してオンラインサービスを提供する（ステップＳ１_１～Ｓ１_ｍ）。ｍは２以上の整数である。サーバ３_１～３_ｍの各々は、例えば、互いに異なる組織が提供するオンラインサービスを提供するサーバである。

組織が提供するオンラインサービスは、組織が企業であれば、例えば、ショッピングサイト、ニュースサイト、オークションサイト、フリーマケットサイト、天気予報サイト、ファイナンス（株価）サイトなどによるオンラインサービスである。また、企業が提供するオンラインサービスは、例えば、検索サイト、地図提供サイト、旅行サイト、飲食店紹介サイト、ウェブブログサイト、またはＳＮＳサイトなどによるオンラインサービスであってもよい。

組織が提供するオンラインサービスは、組織が自治体であれば、行政サービスであり、例えば、電子申請、電子入札、電子申告、電子納税、公共施設予約、図書貸し出し予約、行政サービスに関する各種の情報提供などのオンラインサービスである。

サーバ３_１～３_ｍの各々は、ユーザＵに対して個人情報の利用可否に関する問い合わせを行い、ユーザＵからの個人情報の利用可否に関する応答を受け付ける（ステップＳ２_１～Ｓ２_ｍ）。個人情報は、例えば、サーバ３_１～３_ｍの各々が提供するオンラインサービスのユーザＵによる利用履歴およびユーザＵの属性情報などを含むユーザ情報である。

個人情報の利用可否に関する問い合わせは、個人情報の利用を拒否するか、個人情報の利用を条件付きで許諾するかの問い合わせであり、条件付きの許諾は、ユーザＵ毎の利用条件およびデータ毎の利用条件のうちの少なくとも１つを含む。ユーザＵ毎の利用条件およびデータ毎の利用条件の各々は、データが利用される際の個人情報の保護レベルで示され、各ユーザＵによって決定される。

例えば、各利用条件は、複数の保護レベルＡＬ_１，ＡＬ_２，・・・，ＡＬ_ｎの中からユーザＵによって選択される。保護レベルＡＬ_１，ＡＬ_２，・・・，ＡＬ_ｎのうち、保護レベルＡＬ_１は、個人情報の保護の度合いが最も低く、保護レベルＡＬ_２は、個人情報の保護の度合いが保護レベルＡＬ₁の次に低く、保護レベルＡＬ_ｎは、個人情報の保護の度合いが最も高い。以下において、保護レベルＡＬ_１，ＡＬ_２，・・・，ＡＬ_ｎのうちユーザＵによって選択された保護レベルを選択保護レベルＳＡＬと記載する場合がある。また、保護レベルＡＬ_１，ＡＬ_２，・・・，ＡＬ_ｎの各々を個別に区別せずに示す場合、保護レベルＡＬと記載する場合がある。

個人情報の利用を条件付きで許諾するユーザＵが上述した利用条件を選択しない場合、情報処理装置１は、ユーザＵの情報に基づいて、利用条件を決定することもできる。情報処理装置１は、例えば、ユーザＵの情報を入力とし、保護レベル毎のスコアを出力する保護レベル決定モデルによって、利用条件を決定することができる。

この場合、情報処理装置１は、利用条件を選択しないユーザＵを保護レベル決定モデルに入力し、保護レベル決定モデルから出力される保護レベル毎のスコアのうち最も高いスコアの保護レベルを、利用条件を選択しないユーザＵの保護レベルとして決定する。

情報処理装置１は、例えば、ユーザＵの情報とユーザＵが選択した保護レベルとを含むデータセットを学習用データとして用いて、保護レベル決定モデルを機械学習によって生成することができる。

保護レベル決定モデルは、例えば、ＧＢＤＴ（Gradient Boosting Decision Tree）によって生成される学習モデルまたはディープニューラルネットワーク（ＤＮＮ：Deep Neural Network）を利用した深層学習（Deep Learning）によって生成される学習モデルなどであるが、かかる例に限定されず、その他の機械学習方法で生成される学習モデルであってもよい。

サーバ３_１～３_ｍの各々は、情報処理装置１に情報を送信する（ステップＳ３_１～Ｓ３_ｍ）。サーバ３_１～３_ｍの各々から送信される情報は、オンラインサービスのサービスログのデータと、オンラインサービスのサービスログのデータの利用可否を示す情報とを含む。なお、サーバ３_１～３_ｍの各々から送信される情報には、オンラインサービスを提供する組織を示す提供組織情報、サービスログのデータの利用を許可する組織を示す許可組織情報などが含まれてもよい。

オンラインサービスのサービスログのデータは、サーバ３_１～３_ｍの各々が提供するオンラインサービスの利用ログのデータであり、例えば、ユーザＵによるオンラインサービスの利用履歴の情報およびユーザＵの登録情報などを含む。以下において、オンラインサービスのサービスログのデータをサービスログのデータまたはサービスログと記載する場合がある。サービスログのデータは、提供データの一例である。

ユーザＵの登録情報は、例えば、ユーザＵの属性情報および保護レベルの情報などを含む。保護レベルの情報には、複数の保護レベルＡＬ_１，ＡＬ_２，・・・，ＡＬ_ｎの中からユーザＵに選択された保護レベルである選択保護レベルＳＡＬを示す情報が含まれる。

サーバ３_１～３_ｍから情報処理装置１に送信される情報に含まれるサービスログのデータには、ユーザＵが個人情報の利用を拒否したデータが含まれない。すなわち、サーバ３_１～３_ｍの各々は、オンラインサービスを利用する複数のユーザＵのデータのうち個人情報の利用を条件付きでユーザＵが許諾したデータが含まれ、個人情報の利用をユーザＵが拒否したデータは含まれない。個人情報の利用をユーザＵが拒否したデータは、ユーザＵ単位で拒否されたデータまたはデータ単位で拒否されたデータである。

また、サービスログのデータの利用可否を示す情報には、サービスログのデータの利用を拒否する拒否情報およびサービスログのデータの利用を許諾する許諾情報のいずれかが含まれる。サービスログのデータの利用可否を示す情報は、例えば、オンラインサービスを提供する組織によって設定される情報である。

情報処理装置１は、サーバ３_１～３_ｍの各々から送信される情報を受信し、受信したサーバ３_１～３_ｍの各々の情報を対応する組織に紐付けて記憶する（ステップＳ４）。以下において、サーバ３_１～３_ｍの各々を個別に区別せずに示す場合、サーバ３と記載する場合があり、ステップＳ３_１～Ｓ３_ｍの各々を個別に区別せずに示す場合、ステップＳ３と記載する場合がある。

ステップＳ４の処理において、情報処理装置１は、各サーバ３から送信されるサービスログのデータを複数の組織のうち紐付け条件を満たす組織に紐付けて記憶する。紐付け条件を満たす組織は、例えば、オンラインサービスを提供する組織、またはサービスログのデータを提供した組織である。

例えば、情報処理装置１は、サーバ３_１がオンラインサービスを提供する組織が管理する組織のサーバである場合、サーバ３_１から送信されたサービスログのデータを、サーバ３_１を管理する組織に紐付ける。

また、情報処理装置１は、例えば、サーバ３_ｍがサーバ３_ｍを管理する組織とは異なる組織のオンラインサービスを提供するサーバである場合、サーバ３_ｍから送信されたサービスログのデータを、サーバ３_ｍによってオンラインサービスが提供される組織に紐付ける。

情報処理装置１は、ステップＳ３においてサーバ３から送信される情報にオンラインサービスを提供する組織を示す提供組織情報が含まれている場合、提供組織情報で示される組織を、紐付け条件を満たす組織として判定することができる。

また、紐付け条件を満たす組織は、関連性推定モデルから出力されるスコアが予め設定された条件を満たす組織であってもよい。関連性推定モデルは、例えば、サービスログのデータを入力とし、サービスログのデータの要求元との組織毎の関連性を示すスコアを出力とする学習モデルである。

関連性推定モデルは、各組織と関連性があると予め判定されたサービスログのデータを各組織の正解データとし、各組織の正解データが有する特徴をモデルに学習させることによって生成される。関連性推定モデルは、複数の組織に共通する学習モデルであるが、組織毎の学習モデルであってもよい。

情報処理装置１は、サービスログのデータを関連性推定モデルに入力し、関連性推定モデルから出力される組織毎のスコアのうち所定条件を満たすスコアの組織を、関連性推定モデルから出力されるスコアが予め設定された条件を満たす組織として特定する。所定条件を満たすスコアは、例えば、最も高いスコアであるが、例えば、閾値以上のスコアであってもよい。閾値以上のスコアの組織が複数ある場合、情報処理装置１は、サービスログのデータを複数の組織に紐付けることができる。

関連性推定モデルは、例えば、ＧＢＤＴによって生成される学習モデルまたはディープニューラルネットワークを利用した深層学習によって生成される学習モデルなどであるが、かかる例に限定されず、その他の機械学習方法で生成される学習モデルであってもよい。

例えば、関連性推定モデルは、線形回帰、重回帰、またはロジスティック回帰といった回帰手法やサポートベクタマシンなどの学習アルゴリズムなどのように他の学習アルゴリズムによる機械学習を用いて生成されてもよい。

情報処理装置１は、例えば、利用を不可とされたサービスログのデータを、組織に紐付けずに記憶することもできる。情報処理装置１は、サーバ３から送信される情報に含まれるサービスログのデータの利用可否を示す情報に基づいて、利用を不可とされたサービスログのデータであるか否かを判定することができる。

つづいて、情報処理装置１には、要求者装置４からのクエリをデータの提供要求として受け付ける（ステップＳ５）。要求者装置４からのクエリには、例えば、利用対象データまたは処理対象データなどを特定するためのデータ特定情報、および要求元の組織の組織ＩＤ（IDentifier）の組織特定情報などが含まれる。要求元の組織は、例えば、要求者装置４を操作する操作者が所属する組織またはかかる操作者が所属する組織に分析を依頼した組織などである。

データ特定情報には、対象組織情報および処理対象情報などが含まれる。対象組織情報には、利用対象となるデータを有する組織である対象組織の組織ＩＤなどが含まれる。例えば、要求元の組織が分析したいデータが組織Ｂによって提供されるオンラインサービスのサービスログのデータである場合、対象組織の組織ＩＤは、組織Ｂの組織ＩＤである。

処理対象情報には、処理対象となるデータである処理対象データの種別を示すデータ種別情報や処理対象データの処理内容を示す処理内容情報などが含まれる。データ種別情報は、例えば、オンラインサービスを利用したユーザＵである利用ユーザの位置を示す情報、利用ユーザによるオンラインサービスの利用履歴の種別を示す情報、利用ユーザの属性の種別を示す情報、学習モデルの入力情報および出力情報の種別を示す情報などである。

利用ユーザの位置を示す情報は、例えば、端末装置２に設けられた不図示の位置検出部によって検出された位置を示す情報であり、利用ユーザによるオンラインサービス時に端末装置２からサーバ３に送信される情報である。

オンラインサービスの利用履歴は、オンラインサービスの利用日時およびオンラインサービスの利用内容などを含む。オンラインサービスの利用内容は、例えば、オンラインサービスがショッピングサイトによるサービスであれば、取引対象の利用ユーザによる閲覧の内容、取引対象の利用ユーザによる購入の内容、取引対象に対する利用ユーザによる評価の内容、および取引対象に対する利用ユーザによるお気に入り登録の内容などである。

オンラインサービスの利用内容は、例えば、オンラインサービスが行政サービスであれば、利用ユーザによる電子申請の内容、利用ユーザによる電子入札の内容、利用ユーザによる電子申告の内容、利用ユーザによる電子納税の内容、利用ユーザによる公共施設予約の内容、利用ユーザによる図書貸し出し予約の内容、利用ユーザによる各種の情報の閲覧などである。

ユーザＵの属性は、デモグラフィック属性およびサイコグラフィック属性のうちの少なくともいずれか１つである。デモグラフィック属性は、人口統計学的属性であり、例えば、年齢、性別、職業、居住地、年収、家族構成などである。サイコグラフィック属性は、心理学的属性であり、例えば、ライフスタイル、価値観、興味関心などである。

処理内容情報は、例えば、平均、合計、分散といった統計演算種別や学習モデルのパラメータの生成演算種別などを示す情報を含む。処理対象情報によって特定される処理内容は、例えば、京都府の２０代の男性の平均年収、バイクが好きな人の平均の分散、電子納税を行ったユーザＵの合計数などでの算出や、ユーザＵの位置や属性を示す情報を入力とし、ユーザＵによるオンラインサービスの利用可能性を示すスコアを出力する学習モデルの生成などである。

つづいて、情報処理装置１は、ステップＳ５で受け付けたクエリで特定されるデータである提供候補データが、特定関係組織に紐付けられたデータであるか否かを判定する（ステップＳ６）。特定関係組織は、提供要求の要求元と予め定められた関係性を有する組織である。提供要求の要求元は、クエリに含まれる組織特定情報で示される組織ＩＤの組織である。

情報処理装置１は、例えば、対象組織情報に含まれる組織ＩＤで示される対象組織が提供要求の要求元と予め定められた競合関係にある組織である場合に、提供候補データが、特定関係組織のデータであると判定する。情報処理装置１は、例えば、予め定められた競合関係にある組織を示す情報を組織毎に含む関係性テーブルを有し、かかる関係性テーブルを用いて、提供候補データが特定関係組織のデータであるか否かを判定する。

情報処理装置１は、ステップＳ３においてサーバ３から送信される情報にサービスログのデータの利用を許可する組織を示す許可組織情報が含まれている場合、許可組織情報で示される組織を予め定められた競合関係にある組織として判定することもできる。

また、情報処理装置１は、競合関係にある組織の情報を正解データとし、競合関係にある組織の正解データが有する特徴を学習した関係組織推定モデルを用いて、競合関係にある組織であるかを推定することもできる。関係組織推定モデルは、提供要求の要求元の組織毎の学習モデルである。この場合、情報処理装置１は、例えば、提供要求の要求元の組織の関係組織推定モデルに各組織の情報を入力し、関係組織推定モデルから出力されるスコアが閾値以上である組織を競合関係の組織であると判定する。

なお、上述した例では、特定関係組織として、提供要求の要求元と予め定められた競合関係にある組織を例に挙げて説明したが、かかる例に限定されない。例えば、情報処理装置１は、提供要求の要求元と予め定められた競合関係にない組織を、特定関係組織として判定することもできる。

例えば、情報処理装置１は、予め定められた競合関係にない組織を示す情報を組織毎に含む関係性テーブルを有し、かかる関係性テーブルを用いて、特定関係組織を判定する。

また、情報処理装置１は、例えば、競合関係にない組織の情報を正解データとし、競合関係にない組織の正解データが有する特徴を学習した関係組織推定モデルを用いて、特定関係組織を判定することもできる。

つづいて、情報処理装置１は、提供候補データが特定関係組織に紐付けられたデータがあると判定した場合、特定関係組織に紐付けられたデータであってステップＳ５で受け付けたクエリに応じたデータの種別を特定する（ステップＳ７）。

ステップＳ５で受け付けたクエリには上述したように処理対象情報が含まれており、情報処理装置１は、処理対象情報に含まれるデータ種別情報に基づいて、クエリに応じたデータである対象データの種別を特定する。情報処理装置１は、例えば、データ種別情報が京都府の２０代の男性の年収を示す情報である場合、京都府の２０代の男性の年収を対象データの種別として特定する。

また、情報処理装置１は、データ種別情報が、学習モデルの入力情報および出力情報の各々の種別を示す情報を含む場合、学習モデルの入力情報および出力情報の各々の種別を対象データの種別として特定する。入力情報は、例えば、ユーザＵの位置や属性を示す情報であり、出力情報は、例えば、ユーザＵによるオンラインサービスの利用内容を示す情報であるが、かかる例に限定されない。

なお、情報処理装置１は、ステップＳ７の処理において、対象データの数や対象データの元となるユーザＵの数が閾値以上になるようにデータの指定を受け付けることもできる。例えば、情報処理装置１は、対象データの数や対象データの元となるユーザＵの数が閾値以上である属性のリストを要求者装置４に送信することで、操作者に属性のリストの中から属性を選択させることができる。

つづいて、情報処理装置１は、特定関係組織に紐付けられたデータであってステップＳ７で特定した種別のデータに匿名加工を行う（ステップＳ８）。

例えば、特定関係組織が組織Ｂであり、ステップＳ７で特定した種別がユーザＵの特定の属性であるとする。この場合、情報処理装置１は、組織Ｂのサービスログのデータのうち特定の属性のデータに対して匿名加工を行う。例えば、ステップＳ７で特定した種別が京都府の２０代の男性の年収である場合、京都府の２０代の男性である複数のユーザＵの年収を特定の属性のデータとして、匿名加工を行う。以下において、特定関係組織に紐付けられたデータであってステップＳ７で特定した種別のデータを匿名加工対象データと記載する。匿名加工対象データには、ステップＳ７で特定した種別のデータが複数含まれており、匿名加工対象データ群とも言える。

ステップＳ８において、情報処理装置１は、まず、匿名加工対象データに含まれる各データをユーザＵが設定した利用条件に応じたグループに分類する。匿名加工対象データに含まれるデータは、ユーザＵによって利用が許諾されたデータである。

例えば、ユーザＵによって設定された利用条件が、複数の保護レベルＡＬ_１，ＡＬ_２，・・・，ＡＬ_ｎの中からユーザＵによって選択された保護レベルで示されるとする。この場合、情報処理装置１は、複数の保護レベルＡＬ_１，ＡＬ_２，・・・，ＡＬ_ｎに対応する複数のグループＧ_１，Ｇ_２，・・・，Ｇ_ｎに匿名加工対象データに含まれるデータを分類する。

例えば、保護レベルＡＬ_１で示される利用条件が設定されたデータは、グループＧ_１に分類され、保護レベルＡＬ_２で示される利用条件が設定されたデータは、グループＧ_２に分類され、保護レベルＡＬ_ｎで示される利用条件が設定されたデータは、グループＧ_ｎに分類される。以下において、複数のグループＧ_１，Ｇ_２，・・・，Ｇ_ｎの各々を個別に区別せずに示す場合、グループＧと記載する場合がある。

情報処理装置１は、匿名加工対象データに含まれる各データをユーザＵが設定した利用条件に応じたグループＧに分類した後、同一のグループＧに分類された複数のデータを含むユーザデータ群に基づく演算結果（例えば、平均、合計、分散などの統計量）のデータをグループＧに応じたノイズを付加したノイズ付加データまたはユーザデータ群にグループＧに応じたノイズを付加したノイズ付加データ群をグループＧ毎に生成する。

情報処理装置１は、差分プライバシーによる匿名加工またはｋ－匿名化による匿名加工によって、ノイズ付加データまたはノイズ付加データ群を生成する。まず、差分プライバシーによる匿名加工について説明した後、ｋ－匿名化による匿名加工について説明する。

情報処理装置１は、クエリに含まれる処理内容情報で示される処理内容に基づいて、グループＧ毎のユーザデータ群からグループＧ毎の演算結果のデータを算出する。処理内容情報で示される処理内容は、例えば、特定のデータに対する平均、合計、分散といった統計演算や学習モデルのパラメータの生成などである。

例えば、処理内容情報で示される処理内容がユーザＵの平均年収であるとする。この場合、情報処理装置１は、グループＧ毎の演算結果のデータとして、グループＧ毎のユーザＵの平均年収を示すデータを算出する。

また、処理内容情報で示される処理内容がユーザＵの年齢の分布であるとする。この場合、情報処理装置１は、グループＧ毎の演算結果のデータとして、グループＧ毎のユーザＵの年齢の分布または分散を示すデータを算出する。

また、処理内容情報で示される処理内容が学習モデルのパラメータの生成であるとする。この場合、情報処理装置１は、確率的勾配降下法を使って学習モデルを最適化する際の、トレーニングデータのサンプルに起因する複数の勾配の平均値を示すデータをグループＧ毎に算出する。

また、情報処理装置１は、処理内容情報で示される処理内容に加えて、グループＧ毎のユーザＵの数（合計）を示すデータおよび統計処理対象のグループＧ毎の分散を示すデータの各々を演算結果のデータとして算出する。以下において、ユーザＵの数をユーザ数と記載する場合がある。

そして、情報処理装置１は、グループＧ毎の演算結果のデータにグループＧに応じたノイズを付加したグループＧ毎のノイズ付加データを生成する。例えば、複数の保護レベルＡＬ_１，ＡＬ_２，・・・，ＡＬ_ｎに対応する複数のグループＧ_１，Ｇ_２，・・・，Ｇ_ｎに匿名加工対象データに含まれるデータが分類されたとする。

この場合、情報処理装置１は、グループＧ_１，Ｇ_２，・・・，Ｇ_ｎの順に演算結果のデータにノイズレベルが高くなるノイズを付加する。このように、データの保護レベルＡＬが高い利用条件に応じたグループＧほどノイズレベルが高いノイズを付加したグループＧ毎のノイズ付加データを生成する。

ノイズは、例えば、固定ノイズ、ガウシアンノイズ、またはラプラスノイズなどである。情報処理装置１は、演算結果のデータに付加されるノイズが固定ノイズである場合、ノイズレベルが高い固定ノイズほど値を大きくする。

また、情報処理装置１は、演算結果のデータに付加されるノイズがガウシアンノイズである場合、ノイズの平均値の絶対値を大きくしたり、ノイズの標準偏差を大きくしたりすることで、ノイズレベルを高くすることができる。また、情報処理装置１は、演算結果のデータに付加されるノイズがラプラスノイズである場合、ノイズの平均値の絶対値を大きくしたり、ノイズの標準偏差を大きくしたりすることで、ノイズレベルを高くすることができる。

このように、情報処理装置１は、差分プライバシーによる匿名加工の処理において、グループＧ毎の演算結果のデータにグループＧに応じたノイズを付加したグループＧ毎のノイズ付加データを生成する。

次に、情報処理装置１におけるｋ－匿名化による匿名加工について説明する。ｋ－匿名化は、個人が特定される確率をｋ分の１以下に変換して個人の特定を困難にする技術であり、例えば、ユーザＵのデータに含まれる準識別子の組み合わせが同じであるユーザＵをｋ人以上にするように、匿名加工対象データにノイズを付加する。

準識別子の組み合わせは、例えば、年齢、性別、生年月日、および居住地（または位置）などといった属性項目の組み合わせである。情報処理装置１は、例えば、ある属性項目をアスタリスク「＊」などに変換することによってノイズを付加する抑制処理を行ったり、属性項目の階層を上げることによってノイズを付加する一般化処理を行ったりすることで、匿名加工を行う。一般化処理は、例えば、属性項目が居住地（または位置）である場合、「東京都千代田区」を「東京都」にするなどの処理である。

また、情報処理装置１は、ある閾値以上の値を１つのカテゴリにまとめるトップコーディング、またはある閾値以下の値を１つのカテゴリにまとめるボトムコーティングによってノイズを付加することもできる。トップコーディングは、例えば、属性項目が年齢である場合、「８０才」、「８１才」、および「９２才」などを「８０才以上」などとする処理である。また、ボトムコーティングは、例えば、属性項目が年齢である場合、「０才」、「１才」、および「３才」などを「３才以下」などとする処理である。

情報処理装置１は、データの保護レベルＡＬが高い利用条件に応じたグループＧのユーザデータ群ほどノイズレベルが高いノイズを付加したグループＧ毎のノイズ付加データ群を生成する。例えば、情報処理装置１は、データの保護レベルＡＬが高いグループＧほどノイズとして追加するデータの量である追加量を増やしたり、ノイズとして変更するデータの量である変更量を増やしたりする。

情報処理装置１は、一般化処理において、例えば、一般化のレベルを高くすることによってノイズレベルを高くすることができる。一般化のレベルは、１つ上の階層よりも２つ上の階層が高く、２つ上の階層よりも３つ上の階層が高い。

また、情報処理装置１は、例えば、抑制処理において、アスタリスク「＊」に変換する属性項目を増やすことによってノイズレベルを高くすることができる。また、情報処理装置１は、ある閾値以上の値を１つのカテゴリにまとめる際に閾値を小さくすることによってノイズレベルを高くすることができる。また、情報処理装置１は、ある閾値以下の値を１つのカテゴリにまとめる際に閾値を大きくすることによってノイズレベルを高くすることができる。

例えば、保護レベルＡＬ_１～ＡＬ_ｎのうちユーザＵによって選択された保護レベルである選択保護レベルＳＡＬに応じたグループＧに各ユーザＵが分類されたとする。この場合、情報処理装置１は、データの保護レベルＡＬが高いグループＧほどノイズレベルが高いノイズを付加する。

情報処理装置１は、グループＧ毎のユーザデータ群に対して、データの保護レベルＡＬが高い利用条件に応じた数または内容のダミーデータを追加するダミー追加処理を行うこともできる。ダミーデータは、例えば、グループＧ毎のユーザデータ群に含まれるデータと同じであってもよく、ユーザデータ群に含まれるデータを加工したデータであってもよい。また、ダミーデータは、ランダムまたは所定の規則に従って生成したデータであってもよい。

情報処理装置１は、例えば、データの保護レベルＡＬが高いほど、追加するダミーデータの数を多くしたり、ユーザデータ群に含まれるデータに対する加工度合いを高めたデータをダミーデータとしたりすることができる。

情報処理装置１は、各グループＧの全体的な傾向が変化しないようにダミーデータをユーザデータ群に付加することもできる。例えば、情報処理装置１は、各グループＧの全体的な傾向が変化しないように、ダミーデータを付加する前と後とでユーザデータ群に基づく演算結果（例えば、平均、合計、分散などの統計量）が閾値範囲内になるように、ダミーデータをユーザデータ群に付加する。

情報処理装置１は、保護レベルＡＬ毎に異なるノイズ付加方法でユーザデータ群にノイズを付加することもできる。ノイズ付加方法は、例えば、抑制処理、一般化処理、およびダミー追加処理などであり、抑制処理にも、アスタリスク「＊」への変換、トップコーティング、およびボトムコーティングなどのノイズ付加方法がある。なお、ノイズ付加方法は上述した例に限定されない。

このように、情報処理装置１は、ｋ－匿名化による匿名加工の処理において、グループＧ毎のユーザデータ群にグループＧに応じたノイズを付加したグループＧ毎のノイズ付加データ群を生成する。

次に、情報処理装置１は、ステップＳ８において匿名加工によって生成したグループＧ毎のノイズ付加データまたはグループＧ毎のノイズ付加データ群に基づいて、利用対象データを生成する（ステップＳ９）。

まず、ステップＳ８においてグループＧ毎のノイズ付加データが匿名加工によって生成された場合について説明する。この場合、情報処理装置１は、グループＧ毎のノイズ付加データを重み付け加算することによって、利用対象データを生成する。重み付けは、グループＧ毎のユーザデータ群に含まれるユーザ数にノイズを付加した値に応じた重み、またはグループＧ毎のユーザデータ群に含まれるユーザ数にノイズを付加した値をグループＧ毎の分散にノイズを付加した値で除算した値に応じた重みなどが用いられる。

例えば、グループＧ_１，Ｇ_２，・・・，Ｇ_ｎの演算結果をＭｓ_１，Ｍｓ_２，・・・，Ｍｓ_ｎとし、グループＧ_１，Ｇ_２，・・・，Ｇ_ｎのノイズをＭｎ_１，Ｍｎ_２，・・・，Ｍｎ_ｎとする。また、グループＧ_１，Ｇ_２，・・・，Ｇ_ｎの重みをｋ_１，ｋ_２，・・・，ｋ_ｎとする。

この場合、情報処理装置１は、下記式（１）で表される値Ｄａを利用対象データの値として算出することができる。
Ｄａ＝ｋ_１（Ｍｓ_１＋Ｍｎ_１）＋ｋ_２（Ｍｓ_２＋Ｍｎ_２）＋・・・
＋ｋ_ｎ・（Ｍｓ_ｎ＋Ｍｎ_ｎ） ・・・（１）

ここで、グループＧ_１，Ｇ_２，・・・，Ｇ_ｎのノイズ付きユーザ数をＮｇ_１，Ｎｇ_２，・・・，Ｎｇ_ｎとし、ノイズ付きユーザ数Ｎｇ_１，Ｎｇ_２，・・・，Ｎｇ_ｎの総数をＮｔとする。ノイズ付きユーザ数Ｎｇ_１，Ｎｇ_２，・・・，Ｎｇ_ｎは、グループＧ_１，Ｇ_２，・・・，Ｇ_ｎのユーザデータ群に含まれるユーザ数にグループＧに応じたノイズが付加されたユーザ数であり、上述したノイズ付加データと同様のノイズ付加処理によって生成される。

この場合、重みｋ_１，ｋ_２，・・・，ｋ_ｎは、ユーザ数Ｎｇ_１／Ｎｔ，Ｎｇ_２／Ｎｔ，・・・，Ｎｇ_ｎ／Ｎｔで表される。すなわち、ｋ_１＝Ｎｇ_１／Ｎｔであり、ｋ_２＝Ｎｇ_２／Ｎｔであり、・・・、ｋ_ｎ＝Ｎｇ_ｎ／Ｎｔである。

このように、情報処理装置１は、グループＧ毎のユーザデータ群に含まれるユーザ数に基づく重みを用いてグループＧ毎のノイズ付加データを重み付け加算することによって、利用対象データを生成することができる。

また、グループＧ_１，Ｇ_２，・・・，Ｇ_ｎのノイズ付き分散がσ_１ ^２、σ_２ ^２、・・・、σ_ｎ ^２であるとする。ノイズ付き分散σ_１ ^２、σ_２ ^２、・・・、σ_ｎ ^２は、グループＧ毎のユーザデータ群に含まれるデータで示される値の分散にグループＧに応じたノイズが付加されたノイズ付き演算結果のデータである。例えば、ノイズ付き分散σ_１ ^２、σ_２ ^２、・・・、σ_ｎ ^２は、統計処理対象がユーザＵの年収である場合、グループＧ毎のユーザＵの年収の分散にグループＧに応じたノイズが付加された分散である。

重みｋ_１，ｋ_２，・・・，ｋ_ｎは、ノイズ付きユーザ数Ｎｇ_１，Ｎｇ_２，・・・，Ｎｇ_ｎの各々をグループＧ毎のノイズ付き分散σ_１ ^２、σ_２ ^２、・・・、σ_ｎ ^２のうち対応する分散で除算した値に応じた値で表されてもよい。この場合、重みｋ_１，ｋ_２，・・・，ｋ_ｎは、例えば、ｋ_１＝Ｎｇ_１／Ｎｔ・σ_１ ^２、ｋ_２＝Ｎｇ_２／Ｎｔ・σ_２ ^２、・・・、ｋ_ｎ＝Ｎｇ_ｎ／Ｎｔ・σ_ｎ ^２などで表される。

このように、情報処理装置１は、グループＧ毎のノイズ付きユーザ数をグループＧ毎のノイズ付き分散で除算した値に応じた重みを用いてグループＧ毎のノイズ付加データを重み付け加算することによって、利用対象データを生成することができる。

なお、情報処理装置１は、上述した複数の勾配の平均値をグループＧ毎の演算結果とした場合、ノイズ付き演算結果のデータを用いた機械学習によって決定された学習モデルのパラメータを利用対象データとして算出する。

また、情報処理装置１は、ノイズ付きユーザ数Ｎｇ_１，Ｎｇ_２，・・・，Ｎｇ_ｎに代えて、ノイズが付加されないグループＧ毎のユーザ数を用いてグループＧ毎のノイズ付加データを重み付け加算することもできる。また、情報処理装置１は、ノイズが付加されないグループＧ毎のユーザ数と分散とを用いて、グループＧ毎のノイズ付加データを重み付け加算することもできる。なお、分散は、σ_１ ^２、σ_２ ^２、・・・、σ_ｎ ^２の平方根であってもよい。

情報処理装置１は、ノイズ付きユーザ数に応じた重みを用いた第１の加重平均方法と、ノイズ付きユーザ数をノイズ付き分散で除算した値に応じた重みを用いた第２の加重平均方法とを選択的に用いることができる。

情報処理装置１は、ユーザデータ群に含まれるデータのばらつきをグループＧ間で比較し、比較した結果に基づいて、第１の加重平均方法および第２の加重平均方法の一方の加重平均方法を選択する。そして、情報処理装置１は、選択した加重平均方法を用いて、グループＧ毎のノイズ付加データを重み付け加算する。

例えば、情報処理装置１は、ユーザデータ群に含まれるデータのばらつきをグループＧ毎に算出し、グループＧ間でのデータのばらつきの傾向の類似度である傾向類似度が高い場合に、第１の加重平均方法を選択し、傾向類似度が低い場合に第２の加重平均方法を選択する。

例えば、情報処理装置１は、グループＧ毎の分散の分散またはグループＧ毎の分散の標準偏差が閾値未満である場合に、傾向類似度が高いと判定し、グループＧ毎の分散の分散またはグループＧ毎の分散の標準偏差が閾値以上である場合に、傾向類似度が低いと判定する。

また、情報処理装置１は、グループＧ毎の標準偏差の分散またはグループＧ毎の標準偏差の標準偏差が閾値未満である場合に、傾向類似度が高いと判定し、グループＧ毎の標準偏差の分散またはグループＧ毎の標準偏差の標準偏差が閾値以上である場合に、傾向類似度が低いと判定することもできる。なお、情報処理装置１は、グループＧ毎のばらつきの比較結果に基づいて、加重平均方法を選択すればよく、上述した例に限定されない。

次に、ステップＳ８においてグループＧ毎のノイズ付加データ群が匿名加工データ群として生成された場合の利用対象データの生成方法について説明する。

情報処理装置１は、処理内容情報で示される処理内容に基づいて、匿名加工データ群に基づく演算結果（例えば、平均、合計、分散などの統計量）のデータを算出する。処理内容情報で示される処理内容は、平均、合計、分散といった統計演算種別や学習モデルのパラメータの生成演算種別などを示す情報を含む。

例えば、処理対象情報によって特定される処理内容がユーザＵの年収の平均であるとする。この場合、情報処理装置１は、匿名加工データ群に基づく演算結果のデータとして、匿名加工データ群に含まれるユーザＵの平均年収を示すデータを利用対象データとして算出する。

また、処理対象情報によって特定される処理内容がユーザＵの年齢の分散であるとする。この場合、情報処理装置１は、匿名加工データ群に基づく演算結果のデータとして、匿名加工データ群に含まれるユーザＵの年齢の分散を示すデータを利用対象データとして、算出する。

また、処理対象情報によって特定される処理内容が匿名加工対象データを学習用データとして用いて生成される学習モデルのパラメータであるとする。この場合、情報処理装置１は、例えば、確率的勾配降下法を使ってモデルを最適化する際の、匿名加工データ群から得られるトレーニングデータのサンプルに起因する複数の勾配の平均値を用いた機械学習によって決定された学習モデルのパラメータを利用対象データとして算出する。

次に、情報処理装置１は、ステップＳ９で生成した利用対象データを提供情報として要求者装置４に送信することで、操作者に対して提供情報を提供する（ステップＳ１０）。

このように、情報処理装置１は、ユーザＵによって利用が許諾されたデータをユーザＵが設定した利用条件に応じたグループＧに分類し、同一のグループＧに分類した複数のデータを含むユーザデータ群に基づく演算結果のデータにグループＧに応じたノイズを付加したノイズ付加データまたはユーザデータ群にグループＧに応じたノイズを付加したノイズ付加データ群をグループＧ毎に生成する。そして、情報処理装置１は、グループＧ毎のノイズ付加データまたはノイズ付加データ群を用いて利用対象データを生成する。これにより、情報処理装置１は、ユーザＵが設定した利用条件に応じたノイズを付加することで、保護レベルによっては個人情報の利用の許諾をするユーザＵのデータを用いることができ、より多くの個人情報を活用可能にすることができる。

また、情報処理装置１は、データの提供要求を受け付け、提供要求で特定されるデータである提供候補データが、提供要求の要求元と予め定められた関係性を有する組織である特定関係組織に紐付けられたデータであるか否かを判定する。そして、情報処理装置１は、提供候補データが要求元と予め定められた関係性を有する組織に紐付けられたデータであると判定した場合に、提供候補データに匿名加工を行って匿名加工データを生成し、生成した匿名加工データに基づいて、提供要求に応じたデータを提供する。これにより、情報処理装置１は、個人情報の提供をより適切に行うことができる。

以下、このような処理を行う情報処理装置１、端末装置２、サーバ３、および要求者装置４を含む情報提供システムの構成などについて、詳細に説明する。

〔２．情報提供システムの構成〕
図２は、実施形態に係る情報提供システムの構成の一例を示す図である。図２に示すように、実施形態に係る情報提供システム１００は、情報処理装置１と、複数の端末装置２と、複数のサーバ３_１～３_ｍと、要求者装置４とを含む。ｎは、例えば、３以上の整数である。

情報処理装置１、複数の端末装置２、複数のサーバ３_１～３_ｍ、および要求者装置４は、ネットワークＮを介して、有線または無線により互いに通信可能に接続される。なお、図２に示す情報提供システム１００には、情報処理装置１および要求者装置４の各々が複数含まれてもよい。

端末装置２は、例えば、デスクトップ型ＰＣ（Personal Computer）、ノート型ＰＣ、タブレット端末、スマートフォン、携帯電話機、またはＰＤＡ（Personal Digital Assistant）などである。なお、端末装置２は、上述した例に限定されず、例えば、スマートウォッチまたはウェアラブルデバイス（Wearable Device）などであってもよい。

サーバ３_１～３_ｍの各々は、端末装置２のユーザＵに対してオンラインサービスを提供する。サーバ３_１～３_ｍは、例えば、互いに異なる組織が提供するオンラインサービスを提供するサーバであるが、一部において同じ組織が提供するオンラインサービスを提供するサーバであってもよい。

組織が提供するオンラインサービスは、組織が企業であれば、例えば、ショッピングサイト、ニュースサイト、オークションサイト、フリーマケットサイト、天気予報サイト、ファイナンス（株価）サイトなどによるオンラインサービスである。また、企業が提供するオンラインサービスは、例えば、検索サイト、地図提供サイト、旅行サイト、飲食店紹介サイト、ウェブブログサイト、またはＳＮＳサイトなどによるオンラインサービスであってもよい。

組織が提供するオンラインサービスは、組織が自治体であれば、行政サービスであり、例えば、電子申請、電子入札、電子申告、電子納税、公共施設予約、図書貸し出し予約、行政サービスに関する各種の情報提供などのオンラインサービスである。

要求者装置４は、例えば、デスクトップ型ＰＣまたはノート型ＰＣであるが、タブレット端末、スマートフォン、携帯電話機、またはＰＤＡであってもよい。要求者装置４を操作する操作者は、自己が所属する組織または自己が所属する組織に分析を依頼した組織のサービスログのデータから演算によって得られる利用対象データなどを得るために、要求者装置４を操作する。

〔３．情報処理装置１の構成〕
図３は、実施形態に係る情報処理装置１の構成の一例を示す図である。図３に示すように、情報処理装置１は、通信部１０と、記憶部１１と、処理部１２とを有する。

〔３．１．通信部１０〕
通信部１０は、例えば、ＮＩＣなどによって実現される。そして、通信部１０は、ネットワークＮと有線または無線で接続され、他の各種装置との間で情報の送受信を行う。例えば、通信部１０は、端末装置２との間でネットワークＮを介して情報の送受信を行う。

〔３．２．記憶部１１〕
記憶部１１は、例えば、ＲＡＭ、フラッシュメモリなどの半導体メモリ素子、または、ハードディスク、光ディスクなどの記憶装置によって実現される。記憶部１１は、組織情報記憶部２０と、サービスログ記憶部２１とを有する。

〔３．２．１．組織情報記憶部２０〕
組織情報記憶部２０は、企業や自治体などの組織毎の情報を含む組織情報テーブルを記憶する。図４は、実施形態に係る情報処理装置１の組織情報記憶部２０に記憶される組織情報テーブルの一例を示す図である。

図４に示す例では、組織情報記憶部２０に記憶される組織情報テーブルは、「組織ＩＤ」、「組織名」、および「関係組織ＩＤ」といった項目の情報を含む。「組織ＩＤ」は、組織を識別する識別子である。「組織名」は、組織の名称を示す情報でわる。「関係組織ＩＤ」は、「組織ＩＤ」で示される組織と予め定められた関係性を有する組織の組織ＩＤである。

図４に示す例では、組織ＩＤ「Ｏ１」の組織は、組織名が「組織Ａ」であり、予め定められた関係性を有する組織が組織ＩＤ「Ｏ１」の組織Ｂであり、組織ＩＤ「Ｏ２」の組織は、組織名が「組織Ｂ」であり、予め定められた関係性を有する組織が組織ＩＤ「Ｏ３」の組織Ｃである。また、織ＩＤ「Ｏ１」の組織は、組織名が「組織Ｃ」であり、予め定められた関係性を有する組織が組織ＩＤ「Ｏ１，Ｏ２」の組織Ａ，Ｂである。

なお、組織情報記憶部２０に記憶される組織情報テーブルは、「組織ＩＤ」に代えて、「関係組織推定モデル」を有していてもよい。「関係組織推定モデル」は、関係組織推定モデルの情報であり、例えば、関係組織推定モデルのパラメータの情報である。

〔３．２．２．サービスログ記憶部２１〕
サービスログ記憶部２１は、組織が提供するオンラインサービスのサービスログのデータなどの情報を含むサービスログ情報テーブルを記憶する。図５は、実施形態に係る情報処理装置１のサービスログ記憶部２１に記憶されるサービスログテーブルの一例を示す図である。

図５に示す例では、サービスログ記憶部２１に記憶されるサービスログテーブルは、「組織ＩＤ」、「サービスログ」、および「利用条件情報」といった項目の情報を含む。「組織ＩＤ」は、組織を識別する識別子である。「サービスログ」は、組織が提供するオンラインサービスのサービスログのデータを示す情報でわる。

「利用条件情報」は、サービスログのデータに含まれる複数のデータのうち自己に対応するデータの利用を条件付きで許諾する各ユーザＵが選択した利用条件を示す情報である。利用条件を示す情報は、例えば、保護レベルＡＬ_１，ＡＬ_２，・・・，ＡＬ_ｎの中からユーザＵによって選択された保護レベルで示され、例えば、サービスログのデータに含まれるユーザＩＤなどに関連付けられる。

図５に示す例では、組織ＩＤ「Ｏ１」の組織は、サービスログのデータが「ＤＡ１」であり、利用条件情報が「ＲＡ１」であり、組織ＩＤ「Ｏ２」の組織は、サービスログのデータが「ＤＡ２」であり、利用条件情報が「ＲＡ２」である。また、組織ＩＤ「Ｏ３」の組織は、サービスログのデータが「ＤＡ３」であり、利用条件情報が「ＲＡ３」である。

なお、図５に示した例では、サービスログのデータを「ＤＡ１」～「ＤＡ３」などの抽象的な符号で表現したが、サービスログのデータは、例えば、各ユーザＵのデータを含むファイル形式のデータである。

また、図５に示した例では、利用条件情報を「ＲＡ１」～「ＲＡ３」などの抽象的な符号で表現したが、利用条件情報は、例えば、各ユーザＵのユーザＩＤと選択保護レベルＳＡＬとを含む情報をユーザＵ毎に含むデータを含むファイル形式のデータである。なお、利用条件情報は、「サービスログ」に含まれていてもよい。例えば、サービスログのデータに含まれるユーザＵのデータの一部として保護レベルＡＬの情報が含まれていてもよい。

〔３．３．処理部１２〕
処理部１２は、コントローラであり、例えば、ＣＰＵまたはＭＰＵなどのプロセッサによって、情報処理装置１内部の記憶装置（例えば、記憶部１１）に記憶されている各種プログラム（情報提供プログラムの一例）がＲＡＭを作業領域として実行されることにより実現される。また、処理部１２は、例えば、ＡＳＩＣやＦＰＧＡなどの集積回路により一部または全部が実現されてもよい。

図３に示すように、処理部１２は、受付部３０と、紐付部３１と、判定部３２と、匿名加工部３３と、提供部３４とを有し、以下に説明する情報処理の機能や作用を実現または実行する。なお、処理部１２の内部構成は、図３に示した構成に限られず、後述する情報処理を行う構成であれば他の構成であってもよい。

〔３．３．１．受付部３０〕
受付部３０は、各種のデータやクエリを受け付ける。受付部３０は、データ受付部４０と、提供要求受付部４１とを備える。

〔３．３．１．１．データ受付部４０〕
データ受付部４０は、各種の装置から送信されるデータを受け付け、受け付けたデータを記憶部１１に記憶させる。

例えば、データ受付部４０は、各サーバ３から情報処理装置１にアップロードされるサービスログのデータを受け付け、受け付けたデータを記憶部１１に記憶させる。また、データ受付部４０は、不図示の情報提供装置からアップロードされるデータを受け付け、受け付けたデータを記憶部１１に記憶させる。

〔３．３．１．２．提供要求受付部４１〕
提供要求受付部４１は、データの提供要求を受け付ける。例えば、提供要求受付部４１は、要求者装置４から送信されるクエリをデータの提供要求として受け付ける。

要求者装置４からのクエリには、例えば、利用対象データまたは処理対象データなどを特定するためのデータ特定情報、および要求元の組織の組織ＩＤの組織特定情報などが含まれる。要求元の組織は、例えば、要求者装置４を操作する操作者が所属する組織またはかかる操作者が所属する組織に分析を依頼した組織などである。

データ特定情報には、対象組織情報および処理対象情報などが含まれる。対象組織情報には、利用対象となるデータを有する組織である対象組織の組織ＩＤなどが含まれる。例えば、要求元の組織が分析したいデータが組織Ｂによって提供されるオンラインサービスのサービスログのデータである場合、対象組織の組織ＩＤは、組織Ｂの組織ＩＤである。

処理対象情報には、処理対象となるデータである処理対象データの種別を示すデータ種別情報や処理対象データの処理内容を示す処理内容情報などが含まれる。データ種別情報は、例えば、オンラインサービスを利用したユーザＵである利用ユーザの位置を示す情報、利用ユーザによるオンラインサービスの利用履歴の種別を示す情報、利用ユーザの属性の種別を示す情報、学習モデルの入力情報および出力情報の種別を示す情報などである。

利用ユーザの位置を示す情報は、例えば、端末装置２に設けられた不図示の位置検出部によって検出された位置を示す情報であり、利用ユーザによるオンラインサービス時に端末装置２からサーバ３に送信される情報である。

オンラインサービスの利用履歴は、オンラインサービスの利用日時およびオンラインサービスの利用内容などを含む。オンラインサービスの利用内容は、例えば、オンラインサービスがショッピングサイトによるサービスであれば、取引対象の利用ユーザによる閲覧の内容、取引対象の利用ユーザによる購入の内容、取引対象に対する利用ユーザによる評価の内容、および取引対象に対する利用ユーザによるお気に入り登録の内容などである。

オンラインサービスの利用内容は、例えば、オンラインサービスが行政サービスであれば、利用ユーザによる電子申請の内容、利用ユーザによる電子入札の内容、利用ユーザによる電子申告の内容、利用ユーザによる電子納税の内容、利用ユーザによる公共施設予約の内容、利用ユーザによる図書貸し出し予約の内容、利用ユーザによる各種の情報の閲覧などである。

ユーザＵの属性は、デモグラフィック属性およびサイコグラフィック属性のうちの少なくともいずれか１つである。デモグラフィック属性は、人口統計学的属性であり、例えば、年齢、性別、職業、居住地、年収、家族構成などである。サイコグラフィック属性は、心理学的属性であり、例えば、ライフスタイル、価値観、興味関心などである。

処理内容情報は、例えば、平均、合計、分散といった統計演算種別や学習モデルのパラメータの生成演算種別などを示す情報を含む。処理対象情報によって特定される処理内容は、例えば、京都府の２０代の男性の平均年収、バイクが好きな人の平均の分散、電子納税を行ったユーザＵの合計数などでの算出や、ユーザＵの位置や属性を示す情報を入力とし、ユーザＵによるオンラインサービスの利用可能性を示すスコアを出力する学習モデルの生成などである。

〔３．３．２．紐付部３１〕
紐付部３１は、データ受付部４０によって受け付けられた提供データを複数の組織のうちの紐付け条件を満たす組織に紐付ける。提供データは、例えば、サービスログのデータ、すなわち、オンラインサービスの利用ログのデータを含む。

紐付け条件を満たす組織は、例えば、オンラインサービスを提供する組織、またはサービスログのデータを提供した組織である。例えば、紐付部３１は、サーバ３_１がオンラインサービスを提供する組織が管理する組織のサーバである場合、サーバ３_１から送信されたサービスログのデータを、サーバ３_１を管理する組織に紐付ける。

また、紐付部３１は、例えば、サーバ３_ｍがサーバ３_ｍを管理する組織とは異なる組織のオンラインサービスを提供するサーバである場合、サーバ３_ｍから送信されたサービスログのデータを、サーバ３_ｍによってオンラインサービスが提供される組織に紐付ける。

紐付部３１は、サーバ３から送信される情報にオンラインサービスを提供する組織を示す提供組織情報が含まれている場合、提供組織情報で示される組織を、紐付け条件を満たす組織として判定することができる。

また、紐付け条件を満たす組織は、関連性推定モデルから出力されるスコアが予め設定された条件を満たす組織であってもよい。関連性推定モデルは、例えば、サービスログのデータを入力とし、サービスログのデータの要求元との組織毎の関連性を示すスコアを出力とする学習モデルである。

関連性推定モデルは、各組織と関連性があると予め判定されたサービスログのデータを各組織の正解データとし、各組織の正解データが有する特徴をモデルに学習させることによって生成される。関連性推定モデルは、複数の組織に共通する学習モデルであるが、組織毎の学習モデルであってもよい。

紐付部３１は、サービスログのデータを関連性推定モデルに入力し、関連性推定モデルから出力される組織毎のスコアのうち所定条件を満たすスコアの組織を、関連性推定モデルから出力されるスコアが予め設定された条件を満たす組織として特定する。所定条件を満たすスコアは、例えば、最も高いスコアであるが、例えば、閾値以上のスコアであってもよい。閾値以上のスコアの組織が複数ある場合、紐付部３１は、サービスログのデータを複数の組織に紐付けることができる。

関連性推定モデルは、例えば、ＧＢＤＴによって生成される学習モデルまたはディープニューラルネットワークを利用した深層学習によって生成される学習モデルなどであるが、かかる例に限定されず、その他の機械学習方法で生成される学習モデルであってもよい。

例えば、関連性推定モデルは、線形回帰、重回帰、またはロジスティック回帰といった回帰手法やサポートベクタマシンなどの学習アルゴリズムなどのように他の学習アルゴリズムによる機械学習を用いて生成されてもよい。

紐付部３１は、例えば、利用を不可とされたサービスログのデータを、組織に紐付けずに記憶することもできる。紐付部３１は、サーバ３から送信される情報に含まれるサービスログのデータの利用可否を示す情報に基づいて、利用を不可とされたサービスログのデータであるか否かを判定することができる。

〔３．３．３．判定部３２〕
判定部３２は、提供要求受付部４１によって受け付けられた提供要求であるクエリで特定されるデータである提供候補データが、特定関係組織に紐付けられたデータであるか否かを判定する。特定関係組織は、提供要求の要求元と予め定められた関係性を有する組織である。提供要求の要求元は、クエリに含まれる組織特定情報で示される組織ＩＤで示される組織である。

判定部３２は、例えば、対象組織情報に含まれる組織ＩＤで示される対象組織が提供要求の要求元と予め定められた競合関係にある組織である場合に、提供候補データが、特定関係組織のデータであると判定する。判定部３２は、例えば、予め定められた競合関係にある組織を示す情報を組織毎に含む関係性テーブルを有し、かかる関係性テーブルを用いて、提供候補データが特定関係組織のデータであるか否かを判定する。

判定部３２は、サーバ３から送信される情報にサービスログのデータの利用を許可する組織を示す許可組織情報が含まれている場合、許可組織情報で示される組織を予め定められた競合関係にある組織として判定することもできる。

また、判定部３２は、競合関係にある組織の情報を正解データとし、競合関係にある組織の正解データが有する特徴を学習した関係組織推定モデルを用いて、競合関係にある組織であるかを推定することもできる。関係組織推定モデルは、提供要求の要求元の組織毎の学習モデルである。この場合、判定部３２は、例えば、提供要求の要求元の組織の関係組織推定モデルに各組織の情報を入力し、関係組織推定モデルから出力されるスコアが閾値以上である組織を競合関係の組織であると判定する。

なお、上述した例では、特定関係組織として、提供要求の要求元と予め定められた競合関係にある組織を例に挙げて説明したが、かかる例に限定されない。例えば、判定部３２は、提供要求の要求元と予め定められた競合関係にない組織を、特定関係組織として判定することもできる。

例えば、判定部３２は、予め定められた競合関係にない組織を示す情報を組織毎に含む関係性テーブルを有し、かかる関係性テーブルを用いて、特定関係組織を判定する。

また、判定部３２は、例えば、競合関係にない組織の情報を正解データとし、競合関係にない組織の正解データが有する特徴を学習した関係組織推定モデルを用いて、特定関係組織を判定することもできる。

判定部３２は、提供候補データが特定関係組織に紐付けられたデータがあると判定した場合、特定関係組織に紐付けられたデータであって提供要求受付部４１によって受け付けられたクエリに応じたデータの種別を特定する。

提供要求受付部４１によって受け付けられたクエリには上述したように処理対象情報が含まれており、判定部３２は、処理対象情報に含まれるデータ種別情報に基づいて、クエリに応じたデータである対象データの種別を特定する。判定部３２は、例えば、データ種別情報が京都府の２０代の男性の年収を示す情報である場合、京都府の２０代の男性の年収を対象データの種別として特定する。

また、判定部３２は、データ種別情報が、学習モデルの入力情報および出力情報の各々の種別を示す情報を含む場合、学習モデルの入力情報および出力情報の各々の種別を対象データの種別として特定する。入力情報は、例えば、ユーザＵの位置や属性を示す情報であり、出力情報は、例えば、ユーザＵによるオンラインサービスの利用内容を示す情報であるが、かかる例に限定されない。

なお、判定部３２は、対象データの数や対象データの元となるユーザＵの数が閾値以上になるようにデータの指定を受け付けることもできる。例えば、判定部３２は、対象データの数や対象データの元となるユーザＵの数が閾値以上である属性のリストを要求者装置４に送信することで、操作者に属性のリストの中から属性を選択させることができる。

〔３．３．４．匿名加工部３３〕
匿名加工部３３は、判定部３２によって提供候補データが特定関係組織に紐付けられたデータであると判定された場合に、提供候補データに匿名加工を行って匿名加工データを生成する。匿名加工部３３は、分類部５０とノイズ付加処理部５１とを備える。

〔３．３．４．１．分類部５０〕
分類部５０は、匿名加工対象データに含まれる各データをユーザＵが設定した利用条件に応じたグループＧに分類する。匿名加工対象データに含まれる各データは、ユーザＵによって利用が許諾されたデータである。

例えば、ユーザＵによって設定された利用条件が、複数の保護レベルＡＬ_１，ＡＬ_２，・・・，ＡＬ_ｎの中からユーザＵによって選択された保護レベルで示されるとする。この場合、分類部５０は、複数の保護レベルＡＬ_１，ＡＬ_２，・・・，ＡＬ_ｎに対応する複数のグループＧ_１，Ｇ_２，・・・，Ｇ_ｎに匿名加工対象データに含まれるデータを分類する。

例えば、保護レベルＡＬ_１で示される利用条件が設定されたデータは、グループＧ_１に分類され、保護レベルＡＬ_２で示される利用条件が設定されたデータは、グループＧ_２に分類され、保護レベルＡＬ_ｎで示される利用条件が設定されたデータは、グループＧ_ｎに分類される。

〔３．３．４．２．ノイズ付加処理部５１〕
ノイズ付加処理部５１は、分類部５０によって同一のグループＧに分類された複数のデータを含むグループＧ毎のユーザデータ群に基づいて、ノイズ付加データまたはノイズ付加データ群をグループＧ毎に生成する。

ノイズ付加データは、分類部５０によって同一のグループＧに分類された複数のデータを含むユーザデータ群に基づく演算結果（例えば、平均、合計、分散などの統計量）のデータにグループＧに応じたノイズを付加したデータである。また、ノイズ付加データ群は、分類部５０によって同一のグループＧに分類された複数のデータを含むユーザデータ群にグループＧに応じたノイズを付加したデータ群である。

ノイズ付加処理部５１は、差分プライバシーによる匿名加工またはｋ－匿名化による匿名加工によって、ノイズ付加データまたはノイズ付加データ群を生成する。ノイズ付加処理部５１は、例えば、サーバ３から送信される情報にノイズ付加種別を示すノイズ付加種別情報が含まれている場合、差分プライバシーによる匿名加工およびｋ－匿名化による匿名加工のうちノイズ付加種別情報で示される匿名加工を行うことができる。

また、ノイズ付加処理部５１は、例えば、提供要求受付部４１によって受け付けられたクエリにノイズ付加種別を示すノイズ付加種別情報が含まれている場合、差分プライバシーによる匿名加工およびｋ－匿名化による匿名加工のうちノイズ付加種別情報で示される匿名加工を行うことができる。

まず、差分プライバシーによる匿名加工について説明する。ノイズ付加処理部５１は、提供要求受付部４１によって受け付けられたクエリに含まれる処理内容情報で示される処理内容に基づいて、グループＧ毎のユーザデータ群からグループＧ毎の演算結果のデータを算出する。処理内容情報で示される処理内容は、例えば、特定のデータに対する平均、合計、分散といった統計演算や学習モデルのパラメータの生成などである。

例えば、処理内容情報で示される処理内容がユーザＵの平均年収であるとする。この場合、ノイズ付加処理部５１は、グループＧ毎の演算結果のデータとして、グループＧ毎のユーザＵの平均年収を示すデータを算出する。

また、処理内容情報で示される処理内容がユーザＵの年齢の分布であるとする。この場合、ノイズ付加処理部５１は、グループＧ毎の演算結果のデータとして、グループＧ毎のユーザＵの年齢の分布または分散を示すデータを算出する。

また、処理内容情報で示される処理内容が学習モデルのパラメータの生成であるとする。この場合、ノイズ付加処理部５１は、確率的勾配降下法を使って学習モデルを最適化する際の、トレーニングデータのサンプルに起因する複数の勾配の平均値を示すデータをグループＧ毎に算出する。

また、ノイズ付加処理部５１は、処理内容情報で示される処理内容に加えて、グループＧ毎のユーザＵの数（合計）を示すデータおよび統計処理対象のグループＧ毎の分散を示すデータの各々を演算結果のデータとして算出する。以下において、ユーザＵの数をユーザ数と記載する場合がある。

そして、ノイズ付加処理部５１は、グループＧ毎の演算結果のデータにグループＧに応じたノイズを付加したグループＧ毎のノイズ付加データを生成する。例えば、複数の保護レベルＡＬ_１，ＡＬ_２，・・・，ＡＬ_ｎに対応する複数のグループＧ_１，Ｇ_２，・・・，Ｇ_ｎに匿名加工対象データに含まれるデータが分類されたとする。

この場合、ノイズ付加処理部５１は、グループＧ_１，Ｇ_２，・・・，Ｇ_ｎの順に演算結果のデータにノイズレベルが高くなるノイズを付加する。このように、データの保護レベルＡＬが高い利用条件に応じたグループＧほどノイズレベルが高いノイズを付加したグループＧ毎のノイズ付加データを生成する。

ノイズは、例えば、固定ノイズ、ガウシアンノイズ、またはラプラスノイズなどである。ノイズ付加処理部５１は、演算結果のデータに付加されるノイズが固定ノイズである場合、ノイズレベルが高い固定ノイズほど値を大きくする。

また、ノイズ付加処理部５１は、演算結果のデータに付加されるノイズがガウシアンノイズである場合、ノイズの平均値の絶対値を大きくしたり、ノイズの標準偏差を大きくしたりすることで、ノイズレベルを高くすることができる。また、ノイズ付加処理部５１は、演算結果のデータに付加されるノイズがラプラスノイズである場合、ノイズの平均値の絶対値を大きくしたり、ノイズの標準偏差を大きくしたりすることで、ノイズレベルを高くすることができる。

このように、ノイズ付加処理部５１は、差分プライバシーによる匿名加工の処理において、グループＧ毎の演算結果のデータにグループＧに応じたノイズを付加したグループＧ毎のノイズ付加データを生成する。

次に、ｋ－匿名化による匿名加工について説明する。ノイズ付加処理部５１は、例えば、ある属性項目をアスタリスク「＊」などに変換することによってノイズを付加する抑制処理を行ったり、属性項目の階層を上げることによってノイズを付加する一般化処理を行ったりすることで、匿名加工を行う。

また、ノイズ付加処理部５１は、ある閾値以上の値を１つのカテゴリにまとめるトップコーディング、またはある閾値以下の値を１つのカテゴリにまとめるボトムコーティングによってノイズを付加することもできる。

ノイズ付加処理部５１は、データの保護レベルＡＬが高い利用条件に応じたグループＧのユーザデータ群ほどノイズレベルが高いノイズを付加したグループＧ毎のノイズ付加データ群を生成する。例えば、ノイズ付加処理部５１は、データの保護レベルＡＬが高いグループＧほどノイズとして追加するデータの量である追加量を増やしたり、ノイズとして変更するデータの量である変更量を増やしたりする。

ノイズ付加処理部５１は、一般化処理において、例えば、一般化のレベルを高くすることによってノイズレベルを高くすることができる。一般化のレベルは、１つ上の階層よりも２つ上の階層が高く、２つ上の階層よりも３つ上の階層が高い。

また、ノイズ付加処理部５１は、例えば、抑制処理において、アスタリスク「＊」に変換する属性項目を増やすことによってノイズレベルを高くすることができる。また、ノイズ付加処理部５１は、ある閾値以上の値を１つのカテゴリにまとめる際に閾値を小さくすることによってノイズレベルを高くすることができる。また、ノイズ付加処理部５１は、ある閾値以下の値を１つのカテゴリにまとめる際に閾値を大きくすることによってノイズレベルを高くすることができる。

例えば、保護レベルＡＬ_１～ＡＬ_ｎのうちユーザＵによって選択された保護レベルである選択保護レベルＳＡＬに応じたグループＧに各ユーザＵが分類されたとする。この場合、ノイズ付加処理部５１は、データの保護レベルＡＬが高いグループＧほどノイズレベルが高いノイズを付加する。

ノイズ付加処理部５１は、グループＧ毎のユーザデータ群に対して、データの保護レベルＡＬが高い利用条件に応じた数または内容のダミーデータを追加するダミー追加処理を行うこともできる。ダミーデータは、例えば、グループＧ毎のユーザデータ群に含まれるデータと同じであってもよく、ユーザデータ群に含まれるデータを加工したデータであってもよい。また、ダミーデータは、ランダムまたは所定の規則に従って生成したデータであってもよい。

ノイズ付加処理部５１は、例えば、データの保護レベルＡＬが高いほど、追加するダミーデータの数を多くしたり、ユーザデータ群に含まれるデータに対する加工度合いを高めたデータをダミーデータとしたりすることができる。

ノイズ付加処理部５１は、各グループＧの全体的な傾向が変化しないようにダミーデータをユーザデータ群に付加することもできる。例えば、ノイズ付加処理部５１は、各グループＧの全体的な傾向が変化しないように、ダミーデータを付加する前と後とでユーザデータ群に基づく演算結果（例えば、平均、合計、分散などの統計量）が閾値範囲内になるように、ダミーデータをユーザデータ群に付加する。

ノイズ付加処理部５１は、保護レベルＡＬ毎に異なるノイズ付加方法でユーザデータ群にノイズを付加することもできる。ノイズ付加方法は、例えば、抑制処理、一般化処理、およびダミー追加処理などであり、抑制処理にも、アスタリスク「＊」への変換、トップコーティング、およびボトムコーティングなどのノイズ付加方法がある。なお、ノイズ付加方法は上述した例に限定されない。

このように、ノイズ付加処理部５１は、ｋ－匿名化による匿名加工の処理において、グループＧ毎のユーザデータ群にグループＧに応じたノイズを付加したグループＧ毎のノイズ付加データ群を生成する。

〔３．３．５．提供部３４〕
提供部３４は、匿名加工部３３によって生成された匿名加工データまたは匿名加工データ群に基づいて、提供要求受付部４１によって受け付けられた提供要求に応じたデータを分析対象データとして提供する。

提供部３４は、匿名加工部３３によって生成された匿名加工データまたは匿名加工データ群に基づいて、利用対象データを生成する利用対象データ生成部６０と、利用対象データ生成部６０によって生成された利用対象データなどを提供する提供処理部６１とを備える。

〔３．３．５．１．利用対象データ生成部６０〕
利用対象データ生成部６０は、匿名加工部３３によって生成された匿名加工データまたは匿名加工データ群を用いて、利用対象データを生成する。匿名加工データは、上述したように、グループＧ毎のノイズ付加データまたはノイズ付加データ群である。

利用対象データ生成部６０は、比較部７０と、選択部７１と、加重平均演算部７２と、演算処理部７３とを備える。

〔３．３．５．１．１．比較部７０〕
比較部７０は、ユーザデータ群に含まれるデータのばらつきをグループＧ間で比較する。例えば、比較部７０は、ユーザデータ群に含まれるデータのばらつきをグループＧ毎に算出し、グループＧ間でのデータのばらつきの傾向の類似度である傾向類似度を算出する。

傾向類似度は、例えば、グループＧ毎の分散の分散またはグループＧ毎の分散の標準偏差で示される値であるが、かかる例に限定されない。例えば、傾向類似度は、グループＧ毎の標準偏差の分散またはグループＧ毎の標準偏差の標準偏差で示される値であってもよい。

〔３．３．５．１．２．選択部７１〕
選択部７１は、比較部７０による比較結果に基づいて、複数の加重平均方法の中から１つの加重平均方法を選択する。複数の加重平均方法には、第１の加重平均方法および第２の加重平均方法などが含まれる。

第１の加重平均方法は、グループＧ毎のノイズ付きユーザ数に応じた重みを用いた加重平均方法であり、第２の加重平均方法は、ノイズ付きユーザ数をグループＧ毎のノイズ付き分散で除算した値に応じた重みを用いた加重平均方法である。

例えば、選択部７１は、傾向類似度が高い場合に、第１の加重平均方法を選択し、傾向類似度が低い場合に第２の加重平均方法を選択する。例えば、選択部７１は、グループＧ毎の分散の分散またはグループＧ毎の分散の標準偏差が閾値未満である場合に、傾向類似度が高いと判定し、グループＧ毎の分散の分散またはグループＧ毎の分散の標準偏差が閾値以上である場合に、傾向類似度が低いと判定する。

また、選択部７１は、グループＧ毎の標準偏差の分散またはグループＧ毎の標準偏差の標準偏差が閾値未満である場合に、傾向類似度が高いと判定し、グループＧ毎の標準偏差の分散またはグループＧ毎の標準偏差の標準偏差が閾値以上である場合に、傾向類似度が低いと判定することもできる。なお、選択部７１は、グループＧ毎のばらつきの比較結果に基づいて、加重平均方法を選択すればよく、上述した例に限定されない。

〔３．３．５．１．３．加重平均演算部７２〕
加重平均演算部７２は、匿名加工部３３によって生成された匿名加工データがグループＧ毎のノイズ付加データである場合に、匿名加工データに基づいて、利用対象データを生成する。例えば、加重平均演算部７２は、上記式（１）の演算によって、利用対象データを生成することができる。

加重平均演算部７２は、グループＧ毎のノイズ付加データを重み付け加算することによって、利用対象データを生成する。重み付けは、グループＧ毎のユーザデータ群に含まれるユーザ数にノイズを付加した値に応じた重み、またはグループＧ毎のユーザデータ群に含まれるユーザ数にノイズを付加した値をグループＧ毎の分散にノイズを付加した値で除算した値に応じた重みなどが用いられる。

例えば、加重平均演算部７２は、選択部７１によって第１の加重平均方法が選択された場合、グループＧ毎のユーザデータ群に含まれるユーザ数にノイズを付加した値（ノイズ付きユーザ数）に応じた重みを用いてグループＧ毎のノイズ付加データを重み付け加算することによって、利用対象データを生成する。

また、加重平均演算部７２は、選択部７１によって第２の加重平均方法が選択された場合、グループＧ毎のノイズ付きユーザ数をグループＧ毎のノイズ付き分散で除算した値に応じた重みを用いてグループＧ毎のノイズ付加データを重み付け加算することによって、利用対象データを生成する。

なお、加重平均演算部７２は、上述した複数の勾配の平均値をグループＧ毎の演算結果とした場合、ノイズ付き演算結果のデータを用いた機械学習によって決定された学習モデルのパラメータを利用対象データとして算出する。

また、加重平均演算部７２は、ノイズ付きユーザ数に代えて、ノイズが付加されないグループＧ毎のユーザ数を用いてグループＧ毎のノイズ付加データを重み付け加算することもできる。また、加重平均演算部７２は、ノイズが付加されないグループＧ毎のユーザ数と分散とを用いて、グループＧ毎のノイズ付加データを重み付け加算することもできる。なお、分散は、σ_１ ^２、σ_２ ^２、・・・、σ_ｎ ^２の平方根であってもよい。

〔３．３．５．１．４．演算処理部７３〕
演算処理部７３は、匿名加工部３３によってグループＧ毎のノイズ付加データ群、すなわち匿名加工データ群が生成された場合に、利用対象データを生成する。

演算処理部７３は、処理内容情報で示される処理内容に基づいて、匿名加工データ群に基づく演算結果（例えば、平均、合計、分散などの統計量）のデータを算出する。処理内容情報で示される処理内容は、平均、合計、分散といった統計演算種別や学習モデルのパラメータの生成演算種別などを示す情報を含む。

例えば、処理対象情報によって特定される処理内容がユーザＵの年収の平均であるとする。この場合、演算処理部７３は、匿名加工データ群に基づく演算結果のデータとして、匿名加工データ群に含まれるユーザＵの平均年収を示すデータを利用対象データとして算出する。

また、処理対象情報によって特定される処理内容がユーザＵの年齢の分散であるとする。この場合、演算処理部７３は、匿名加工データ群に基づく演算結果のデータとして、匿名加工データ群に含まれるユーザＵの年齢の分散を示すデータを利用対象データとして、算出する。

また、処理対象情報によって特定される処理内容が匿名加工対象データを学習用データとして用いて生成される学習モデルのパラメータであるとする。この場合、演算処理部７３は、例えば、確率的勾配降下法を使ってモデルを最適化する際の、匿名加工データ群から得られるトレーニングデータのサンプルに起因する複数の勾配の平均値を用いた機械学習によって決定された学習モデルのパラメータを利用対象データとして算出する。

〔３．３．５．２．提供処理部６１〕
提供処理部６１は、例えば、提供要求受付部４１によって受け付けられた提供要求に応じたデータを提供する。

例えば、提供処理部６１は、利用対象データ生成部６０によって生成された利用対象データを提供要求に応じたデータとして要求者装置４に送信することで、操作者に対して提供情報を提供する。これにより、提供処理部６１は、個人情報の提供をより適切に行うことができる。

〔４．処理手順〕
次に、図６用いて、実施形態に係る情報処理装置１の処理部１２が実行する情報処理の手順について説明する。図６は、情報処理装置１の処理部１２が実行する情報処理の一例を示すフローチャートである。

図６に示すように、情報処理装置１の処理部１２は、アップロードデータがあるか否かを判定する（ステップＳ２０）。例えば、処理部１２は、サーバ３からサービスログのデータが情報処理装置１に送信されて通信部１０で受信された場合に、アップロードデータがあると判定する。

処理部１２は、アップロードデータがあると判定した場合（ステップＳ２０：Ｙｅｓ）、アップロードデータであるサービスログのデータに組織を紐付ける（ステップＳ２１）。そして、処理部１２は、組織が紐付けられたアップロードデータであるサービスログのデータを記憶部１１に記憶させる（ステップＳ２２）。

処理部１２は、ステップＳ２２の処理が終了した場合、またはアップロードデータがないと判定した場合（ステップＳ２０：Ｎｏ）、データの提供要求があるか否かを判定する（ステップＳ２３）。例えば、処理部１２は、要求者装置４からクエリが情報処理装置１に送信されて通信部１０で受信された場合に、データの提供要求があると判定する。

処理部１２は、データの提供要求があると判定した場合（ステップＳ２３：Ｙｅｓ）、クエリで特定されるデータである提供候補データが、特定関係組織に紐付けられたデータであるか否かを判定する（ステップＳ２４）。

処理部１２は、提供候補データが特定関係組織に紐付けられたデータであると判定した場合（ステップＳ２４：Ｙｅｓ）、匿名加工処理を行う（ステップＳ２５）。匿名加工処理は、図７に示すステップＳ３０，Ｓ３１の処理であり、後で詳述する。

次に、処理部１２は、ステップＳ２５の匿名加工処理において生成したグループＧ毎のノイズ付加データを含む匿名加工データまたはグループＧ毎のノイズ付加データ群を含む匿名加工データ群に基づいて、利用対象データを生成する（ステップＳ２６）。そして、処理部１２は、ステップＳ２６で生成した利用対象データを提供要求の提供元に提供する（ステップＳ２７）。

処理部１２は、ステップＳ２７の処理が終了した場合、データの提供要求がないと判定した場合（ステップＳ２３：Ｎｏ）、または提供候補データが特定関係組織に紐付けられたデータでないと判定した場合（ステップＳ２４：Ｎｏ）、終了タイミングになったか否かを判定する（ステップＳ２８）。処理部１２は、例えば、情報処理装置１の電源がオフにされた場合、または情報処理装置１の不図示の操作部への操作によって終了操作が行われたと判定した場合に、終了タイミングになったと判定する。

処理部１２は、終了タイミングになっていないと判定した場合（ステップＳ２８：Ｎｏ）、処理をステップＳ２０へ移行し、終了タイミングになったと判定した場合（ステップＳ２８：Ｙｅｓ）、図６に示す処理を終了する。

図７は、情報処理装置１の処理部１２が実行する匿名加工処理の一例を示すフローチャートである。図７に示すように、処理部１２は、提供候補データに含まれる各データをユーザが設定した利用条件に応じたグループＧに分類する（ステップＳ３０）。

次に、処理部１２は、ユーザデータ群に基づく演算結果のデータまたはユーザデータ群にグループＧに応じたノイズを付加したノイズ付加データまたはノイズ付加データ群をグループＧ毎に生成し（ステップＳ３１）、図７に示す処理を終了する。

〔５．変形例〕
上述した例では、匿名加工処理の対象となるデータがサービスログのデータである例を説明したが、匿名加工処理の対象となるデータは、サービスログデータに限定されず、例えば、オフラインで収集したデータであってもよい。

また、上述した例では、ユーザＵが設定した利用条件で示される保護レベルに応じたノイズを付加する例を説明したが、かかる例に限定されない。例えば、匿名加工部３３は、サーバ３からサービスログのデータの保護レベルを示す保護レベル情報が情報処理装置１に送信される場合、保護レベル情報で示される保護レベルを最も低い保護レベルとすることができる。

例えば、サービスログのデータに含まれるデータの保護レベルとして保護レベルＡＬ_１，ＡＬ_２，・・・，ＡＬ_ｎが含まれるとする。この場合、匿名加工部３３は、保護レベル情報で示される保護レベルが保護レベルＡＬ_２であれば、ユーザＵが利用条件として設定した保護レベルＡＬ_１を保護レベルＡＬ_２に変更する。また、匿名加工部３３は、保護レベル情報で示される保護レベルが保護レベルＡＬ_ｎであれば、ユーザＵが利用条件として設定した保護レベルＡＬの保護レベルＡＬ_ｎに変更する。

また、保護レベル情報は、保護レベルＡＬを挙げるための値ｐを示す情報であってもよい。この場合、匿名加工部３３は、サービスログのデータに含まれるデータの保護レベルとして保護レベルＡＬ_１，ＡＬ_２，・・・，ＡＬ_ｎが含まれていれば、保護レベルＡＬ_１，ＡＬ_２，・・・，ＡＬ_ｎを保護レベルＡＬ_１＋ｐ，ＡＬ_２＋ｐ，・・・，ＡＬ_ｎ＋ｐに変更して、匿名加工処理を行う。

〔６．ハードウェア構成〕
上述してきた実施形態に係る情報処理装置１または端末装置２は、例えば図８に示すような構成のコンピュータ８０によって実現される。以下、情報処理装置１を例に挙げて説明する。図８は、実施形態に係る情報処理装置１の機能を実現するコンピュータ８０の一例を示すハードウェア構成図である。コンピュータ８０は、ＣＰＵ８１、ＲＡＭ８２、ＲＯＭ（Read Only Memory）８３、ＨＤＤ（Hard Disk Drive）８４、通信インターフェイス（Ｉ／Ｆ）８５、入出力インターフェイス（Ｉ／Ｆ）８６、およびメディアインターフェイス（Ｉ／Ｆ）８７を有する。

ＣＰＵ８１は、ＲＯＭ８３またはＨＤＤ８４に記憶されたプログラムに基づいて動作し、各部の制御を行う。ＲＯＭ８３は、コンピュータ８０の起動時にＣＰＵ８１によって実行されるブートプログラムや、コンピュータ８０のハードウェアに依存するプログラムなどを記憶する。

ＨＤＤ８４は、ＣＰＵ８１によって実行されるプログラム、および、かかるプログラムによって使用されるデータなどを記憶する。通信インターフェイス８５は、ネットワークＮ（図２参照）を介して他の機器からデータを受信してＣＰＵ８１へ送り、ＣＰＵ８１が生成したデータを、ネットワークＮを介して他の機器に送信する。

ＣＰＵ８１は、入出力インターフェイス８６を介して、ディスプレイやプリンタなどの出力装置、および、キーボードまたはマウスなどの入力装置を制御する。ＣＰＵ８１は、入出力インターフェイス８６を介して、入力装置からデータを取得する。また、ＣＰＵ８１は、入出力インターフェイス８６を介して生成したデータを出力装置へ出力する。

メディアインターフェイス８７は、記録媒体８８に記憶されたプログラムまたはデータを読み取り、ＲＡＭ８２を介してＣＰＵ８１に提供する。ＣＰＵ８１は、かかるプログラムを、メディアインターフェイス８７を介して記録媒体８８からＲＡＭ８２上にロードし、ロードしたプログラムを実行する。記録媒体８８は、例えばＤＶＤ（Digital Versatile Disc）、ＰＤ（Phase change rewritable Disk）などの光学記録媒体、ＭＯ（Magneto-Optical disk）などの光磁気記録媒体、テープ媒体、磁気記録媒体、または半導体メモリなどである。

例えば、コンピュータ８０が実施形態に係る情報処理装置１として機能する場合、コンピュータ８０のＣＰＵ８１は、ＲＡＭ８２上にロードされたプログラムを実行することにより、処理部１２の機能を実現する。また、ＨＤＤ８４には、記憶部１１内のデータが記憶される。コンピュータ８０のＣＰＵ８１は、これらのプログラムを記録媒体８８から読み取って実行するが、他の例として、他の装置からネットワークＮを介してこれらのプログラムを取得してもよい。

〔７．その他〕
また、上記実施形態において説明した各処理のうち、自動的に行われるものとして説明した処理の一部を手動的に行うこともできる。あるいは、手動的に行われるものとして説明した処理の全部または一部を公知の方法で自動的に行うこともできる。この他、上記文書中や図面中で示した処理手順、具体的名称、各種のデータやパラメータを含む情報については、特記する場合を除いて任意に変更することができる。例えば、各図に示した各種情報は、図示した情報に限られない。

また、図示した各装置の各構成要素は機能概念的なものであり、必ずしも物理的に図示の如く構成されていることを要しない。すなわち、各装置の分散・統合の具体的形態は図示のものに限られず、その全部または一部を、各種の負荷や使用状況などに応じて、任意の単位で機能的または物理的に分散・統合して構成することができる。

例えば、上述した情報処理装置１は、複数のサーバコンピュータで実現してもよく、また、機能によっては外部のプラットホームなどをＡＰＩやネットワークコンピューティングなどで呼び出して実現するなど、構成は柔軟に変更できる。

また、例えば、図３に示した記憶部１１の一部または全部は、各装置によって保持されるのではなく、ストレージサーバなどに保持されてもよい。この場合、各装置は、ストレージサーバにアクセスすることで、各種情報を取得する。

〔８．効果〕
上述してきたように、実施形態に係る情報処理装置１は、分類部５０と、ノイズ付加処理部５１と、利用対象データ生成部６０とを備える。分類部５０は、ユーザＵによって利用が許諾されたデータをユーザＵが設定した利用条件に応じたグループＧに分類する。ノイズ付加処理部５１は、分類部５０によって同一のグループＧに分類された複数のデータを含むユーザデータ群に基づく演算結果のデータにグループＧに応じたノイズを付加したノイズ付加データまたはユーザデータ群にグループＧに応じたノイズを付加したノイズ付加データ群をグループＧ毎に生成する。利用対象データ生成部６０は、ノイズ付加処理部５１によって生成されたグループＧ毎のノイズ付加データまたはノイズ付加データ群を用いて利用対象データを生成する。これにより、情報処理装置１は、ユーザＵが設定した利用条件に応じたノイズを付加することで、保護レベルによっては個人情報の利用の許諾をするユーザＵのデータを用いることができ、より多くの個人情報を活用可能にすることができる。

また、ノイズ付加処理部５１は、データの保護レベルが高い利用条件に応じたグループＧほどノイズレベルが高いノイズを付加したノイズ付加データまたはノイズ付加データ群を生成する。これにより、情報処理装置１は、ユーザＵが設定した利用条件に応じたノイズをより適切に付加することができる。

また、利用対象データ生成部６０は、ノイズ付加処理部５１によって生成されたグループＧ毎のノイズ付加データを、グループＧ毎のユーザデータ群に含まれるユーザＵの数にノイズを付加した値に基づく重みを用いて、加重平均して得られるデータを、利用対象データとして生成する。これにより、情報処理装置１は、ユーザＵが設定した利用条件に応じたノイズをより適切に付加することができる。

また、利用対象データ生成部６０は、ノイズ付加処理部５１によって生成されたグループＧ毎のノイズ付加データを、グループＧ毎のユーザデータ群に含まれるユーザＵの数を演算結果の算出に用いたデータのグループＧ毎の分散にノイズを付加した値で除算した値に応じた重みを用いて、加重平均して得られるデータを、利用対象データとして生成する。これにより、情報処理装置１は、ユーザＵが設定した利用条件に応じたノイズをより適切に付加することができる。

また、利用対象データ生成部６０は、比較部７０と、選択部７１と、加重平均演算部７２とを備える。比較部７０は、ユーザデータ群に含まれるデータのばらつきをグループＧ間で比較する。選択部７１は、比較部７０による比較結果に基づいて、グループＧ毎のユーザデータ群に含まれるユーザＵの数にノイズを付加した値に応じた重みを用いる方法と、グループＧ毎のユーザデータ群に含まれるユーザＵの数にノイズを付加した値を演算結果の算出に用いたデータのグループＧ毎の分散にノイズを付加した値で除算した値に応じた重みを用いる方法のいずれかを加重平均の方法として選択する。加重平均演算部７２は、選択部７１によって選択された加重平均の方法によって、ノイズ付加処理部５１によって算出されたグループＧ毎の演算結果のデータの加重平均を算出する。これにより、情報処理装置１は、ユーザＵが設定した利用条件に応じたノイズをより適切に付加することができる。

また、演算結果の算出に用いられるデータは、ユーザＵの属性のデータである。これにより、情報処理装置１は、ユーザＵの属性の保護を適切に行うことができる。

また、演算結果の算出に用いられるデータは、モデルの学習に用いられる勾配のデータである。これにより、情報処理装置１は、機械学習に用いるパラメータの算出の際にユーザＵの個人情報の保護を適切に行うことができる。

また、情報処理装置１は、提供部３４と、受付部３０とを備える。提供部３４は、利用対象データ生成部６０によって生成された利用対象データを提供する。受付部３０は、利用内容を指定するクエリを受け付ける。利用対象データ生成部６０は、クエリで指定される利用内容に対応する演算結果のデータをグループＧ毎に算出する。これにより、情報処理装置１は、個人情報の提供をより適切に行うことができる。

また、利用条件は、ユーザＵ毎の利用条件およびデータ毎の利用条件のうちの少なくとも１つを含む。これにより、情報処理装置１は、より多くの個人情報を活用可能にすることができる。

以上、本願の実施形態を図面に基づいて詳細に説明したが、これは例示であり、発明の開示の欄に記載の態様を始めとして、当業者の知識に基づいて種々の変形、改良を施した他の形態で本発明を実施することが可能である。

また、上述してきた「部（section、module、unit）」は、「手段」や「回路」などに読み替えることができる。例えば、提供部は、提供手段や提供回路に読み替えることができる。

１ 情報処理装置
２ 端末装置
３，３_１～３_ｍ サーバ
４ 要求者装置
１０ 通信部
１１ 記憶部
１２ 処理部
２０ 組織情報記憶部
２１ サービスログ記憶部
３０ 受付部
３１ 紐付部
３２ 判定部
３３ 匿名加工部
３４ 提供部
４０ データ受付部
４１ 提供要求受付部
５０ 分類部
５１ ノイズ付加処理部
６０ 利用対象データ生成部
６１ 提供処理部
７０ 比較部
７１ 選択部
７２ 加重平均演算部
７３ 演算処理部
１００ 情報提供システム

Claims (9)

1. ユーザによって利用が許諾されたデータを前記ユーザが設定した利用条件に応じたグループに分類する分類部と、
   前記分類部によって同一のグループに分類された複数のデータを含むユーザデータ群に基づく演算結果のデータに前記グループに応じたノイズを付加したノイズ付加データを前記グループ毎に生成するノイズ付加処理部と、
   前記ノイズ付加処理部によって生成された前記グループ毎の前記ノイズ付加データを用いて利用対象データを生成する利用対象データ生成部と、を備え、
   前記利用対象データ生成部は、
   前記ノイズ付加処理部によって生成された前記グループ毎の前記ノイズ付加データを、前記グループ毎の前記ユーザデータ群に含まれる前記ユーザの数にノイズを付加した値に基づく重みを用いて、加重平均して得られるデータを、前記利用対象データとして生成する
   ことを特徴とする情報処理装置。
2. 前記利用対象データ生成部は、
   前記ノイズ付加処理部によって生成された前記グループ毎の前記ノイズ付加データを、前記グループ毎の前記ユーザデータ群に含まれる前記ユーザの数にノイズを付加した値を前記演算結果の算出に用いたデータの前記グループ毎の分散にノイズを付加した値で除算した値に応じた重みを用いて、加重平均して得られるデータを、前記利用対象データとして生成する
   ことを特徴とする請求項１に記載の情報処理装置。
3. 前記利用対象データ生成部は、
   前記ユーザデータ群に含まれるデータのばらつきを前記グループ間で比較する比較部と、
   前記比較部による比較結果に基づいて、前記グループ毎の前記ユーザデータ群に含まれる前記ユーザの数にノイズを付加した値に応じた重みを用いる方法と、前記グループ毎の前記ユーザデータ群に含まれる前記ユーザの数にノイズを付加した値を前記演算結果の算出に用いたデータの前記グループ毎の分散にノイズを付加した値で除算した値に応じた重みを用いる方法のいずれかを前記加重平均の方法として選択する選択部と、
   前記選択部によって選択された前記加重平均の方法によって、前記ノイズ付加処理部によって算出された前記グループ毎の演算結果のデータの加重平均を算出する加重平均演算部と、を備える
   ことを特徴とする請求項２に記載の情報処理装置。
4. 前記演算結果の算出に用いられるデータは、
   前記ユーザの属性のデータである
   ことを特徴とする請求項１～３のいずれか１つに記載の情報処理装置。
5. 前記演算結果の算出に用いられるデータは、
   モデルの学習に用いられる勾配のデータである
   ことを特徴とする請求項１～３のいずれか１つに記載の情報処理装置。
6. 前記利用対象データ生成部によって生成された前記利用対象データを提供する提供部と、
   利用内容を指定するクエリを受け付ける受付部と、を備え、
   前記利用対象データ生成部は、
   前記クエリで指定される前記利用内容に対応する前記演算結果のデータを前記グループ毎に算出する
   ことを特徴とする請求項１～３のいずれか１つに記載の情報処理装置。
7. 前記利用条件は、
   前記ユーザ毎の利用条件および前記データ毎の利用条件のうちの少なくとも１つを含む
   ことを特徴とする請求項１～３のいずれか１つに記載の情報処理装置。
8. コンピュータが実行する情報処理方法であって、
   ユーザによって利用が許諾されたデータを前記ユーザが設定した利用条件に応じたグループに分類する分類工程と、
   前記分類工程によって同一のグループに分類された複数のデータを含むユーザデータ群に基づく演算結果のデータに前記グループに応じたノイズを付加したノイズ付加データを前記グループ毎に生成するノイズ付加処理工程と、
   前記ノイズ付加処理工程によって生成された前記グループ毎の前記ノイズ付加データを用いて利用対象データを生成する利用対象データ生成工程と、を含み、
   前記利用対象データ生成工程は、
   前記ノイズ付加処理工程によって生成された前記グループ毎の前記ノイズ付加データを、前記グループ毎の前記ユーザデータ群に含まれる前記ユーザの数にノイズを付加した値に基づく重みを用いて、加重平均して得られるデータを、前記利用対象データとして生成する
   ことを特徴とする情報処理方法。
9. ユーザによって利用が許諾されたデータを前記ユーザが設定した利用条件に応じたグループに分類する分類手順と、
   前記分類手順によって同一のグループに分類された複数のデータを含むユーザデータ群に基づく演算結果のデータに前記グループに応じたノイズを付加したノイズ付加データを前記グループ毎に生成するノイズ付加処理手順と、
   前記ノイズ付加処理手順によって生成された前記グループ毎の前記ノイズ付加データを用いて利用対象データを生成する利用対象データ生成手順と、をコンピュータに実行させ、
   前記利用対象データ生成手順は、
   前記ノイズ付加処理手順によって生成された前記グループ毎の前記ノイズ付加データを、前記グループ毎の前記ユーザデータ群に含まれる前記ユーザの数にノイズを付加した値に基づく重みを用いて、加重平均して得られるデータを、前記利用対象データとして生成する
   ことを特徴とする情報処理プログラム。