第４章 提案手法
４.３.１ ユーザ背景情報の影響を避ける手法
（１）開示属性制御
課題は，「プロバイダのユーザ背景情報を開示属性に反映させること．つまり背景 情報と開示属性を合わせてＬを確保できない場合は開示しないこと．」であった．そ の趣旨は，プライバシをプロバイダ（相手）に提供して，それに見合う何らかのサー ビスを受ける場合，万一そのプロバイダが既に自分に関するプライバシの一部を所有 していたとすれば，匿名度を損なう糸口を与えてしまうため，それは避けたいという ことである．このためには，何らかの方法によって事前にそのユーザ背景情報をモニ ターし，有していなければ意向を反映した情報を開示してサービスを受け，有してい れば再試行するなどの措置をとろうとするものである．トレードオフの観点より匿名 度や開示属性をきめ細かく制御しプライバシを保護しようとすれば，上記ポイントは 重要なその一つであると考える．
図４.７は，そのような考え方を取り入れ，表４.１の Alice を対象ユーザとした時 の開示属性の制御フローである．以下，概略説明である．
第 ４ 章 提 案 手 法
65
図 ４.７ 開示属性制御フロー
（１）ＰＰＳはＬにおけるすべての開示パターンをユーザに告げ，最も属性の多いパ ターンを推薦し，ユーザは開示の意向を応答する．このとき，ユーザは推薦以 外のパターンを選んだり，開示したくない属性を避けたりできる．図４.７の事 例では，L=2(S=3)で（職業：学生），（血液型：Ａ型），（初渡航：Yes），（職 業：学生，且つ初渡航：Yes）の４パターンが開示可能となり，（職業：学生，
且つ初渡航：Yes）がＰＰＳより推薦され，そのとおり開示する．
（２）ＰＰＳは候補プロバイダの探索を行い，ユーザはその中より複数の好みのプロ バイダを選ぶ．ＰＰＳはそれらのユーザ背景情報をマイニングし，その有無を Jaccard 係数を用いて判定し，背景情報マトリックスを生成する．
（３）コミュニティ状況1によっては（１）で選んだ開示パターンを調整する．事例 では変化なしとする．
1 人数などコミュニティ状況が変化すれば，匿名度が変化し開示パターンに影響でる．
第 ４ 章 提 案 手 法
66
（４）ＰＰＳは，属性開示に当たり 背景情報マトリックスによ って問題のないプロバイダ，
つまり開示属性と背景属性 とを合わせてもＬを損ねな いプロバイダを選定し，ユー ザの確認後，開示しサービス を受ける．事例では，(学生
且つ Yes)を開示するに当たり， 図 ４．８ 背景情報によるＳ値の変化 (米), (Ａ), (女性) の背
景情報が無いプロバイダが対 象になり（図４．８参照），
このようなプロバイダは（ａ）
（ｃ）であることから，これ
らの中よりユーザが選ぶ．
プロバイダにユーザ背景情報がある 場合，開示情報と背景情報とがリンク
されれば，実質的な匿名度が下がり， 図 ４.９ 背景情報の影響 希望した匿名度を守れなくなる場合が
発生することは，前述したとおりであるが，モデル的にその様子を図４.９に示す．ユ ーザは希望匿名度Ｌ＝２で開示可能属性ａ，ｂを開示するとき，プロバイダがすでに ｃに相当する属性を背景として有するとすれば，それらを組み合わせれば，匿名度は 実質Ｌ＝１に下がることを示している．
具体事例として，前述グループ（表４.１）において，Alice を対象にして，以下の ような状況が想定できる．
（１）L=2(S=3)で（職業：学生），（血液型：Ａ型），（初渡航：Yes），（職業：学 生，且つ初渡航：Yes）の４パターンが開示可能となり，（職業：学生，且つ初 渡航：Yes）がＰＰＳより推薦される．
（２）プロバイダは空港内の事業者で，搭乗者リスト（氏名，国籍，行先）などの情 報取得は可能であり，すでに，海外旅行に出かけようとしているあるグループ の氏名とそれぞれの目的地や初渡航かどうかの情報は得ているとする．つまり，
Ｂ社は初渡航者の情報，Ｃ社は目的地の情報を入手済みである．
（３）Alice は，Ｂ社には，（血液型：Ａ型）の情報を，Ｃ社には（職業：学生）を 開示して情報サービスを受けようとしている．
第 ４ 章 提 案 手 法
67
（４）初渡航者の背景情報を持つＢ社 に対して（血液型：Ａ型）を開 示してサービスを受けようとす るパターンは，３.４節で述べた 図３.２０と同じ状況であり，
血液Ａ型の情報は単独ではＳ＝
３を確保できるが，初渡航者の 情報と紐づけられるとＳ＝１と なりＳ＝３が守れない．Ｃ社に 対して（職業：学生）を開示す るときも同じことが言え，（学
生）単独ではＳ＝４であるが， 図 ４.１０ 開示情報と背景情報の紐付け 目的地情報と紐づけられるとＳ
＝２となりＳ＝３が守れない．図４.１０はこの様子を示す．
このような事態を避けるための考え方の一つとして，関連研究[59]において提案さ れているが，図４.１１に示すように希望匿名度Ｌより１段階の高い（Ｌ＋１）レベル を使ってＬより少ない情報を開示し，そこでヒットしたプロバイダより暫定サービス を取得し(②)，同時に背景情報の有無をも探り(③)，背景情報があれば暫定サービス をそのまま受領し(⑥)，なければ当初の希望匿名度Ｌにて情報開示し(④)，よりレベ ルの高いサービスを受ける(⑤)，という開示制御である．すなわち背景情報によって 匿名度が下がることを想定し，匿名度を予めプラスしたＬ´＝Ｌ＋１で決まる属性を 開示し同時に背景情報を探ろうという趣旨である．しかし，背景情報によってＬ´が どこまで下がるか分からず，また背景情報が無い場合の手続きが煩雑である．
これに対して，[59]は“予めプラス する匿名度をＬ＋１ではなく，関連す
る統計データやプロバイダの信用度よ り背景情報を予測したりシステムの セキュリティポリシーなどを勘案し，
Ｌ＋ｎ (ｎ：システム依存による正の 整数)に設定した処理が必要であると 考える．”とコメントしているがｎの 設定は容易ではなく現実的ではない．
そこで，この考え方をベースにした 改善提案として，希望匿名度で許容さ
れる属性を開示する前に何らかの方法 図 ４.１１ 開示制御[59]
第 ４ 章 提 案 手 法
68
でプロバイダのユーザ背景情報の有無を探り，その結果によってあとに続く開示コン トロールを変更する方法を提案する（提案手法）．図４.９のサンプルをそのまま使い，
図４.１２にその内容および手順などを示す．キーポイントは以下である．
（１）
候補プロバイダは，個人特定につながらない全員に共通する最小公倍数的な属 性によるクエリにより検索される．（２）各ユーザはヒットしたプロバイダのリストより自分の嗜好に合ったプロバイダ を数ヶ所（#Ｈ個，Ｈは集合）選択する．
（３）各ユーザが選んだＨのプロバイダごとにその素性や実態をよく表していると思 われるページをダウンロードし，各ユーザの属性がどの程度含まれているかを Jaccard 係数を利用して探り，その係数がある閾値Ｔを超えればそのプロバイダ にはその属性情報が有ると判断する（詳細は４.３.２項で述べる）．
（４）Ｌで開示可能な属性集合をＲ（図４.９のサンプルではａ，ｂ)，および属性Ｒ を開示したときＲと合わせてＬを損なう可能性のある属性集合をＱ（同ｃ，ｄ）
とし，Ｑを背景情報として所有していないプロバイダに対してのみ，Ｒの属性 を開示しサービスを受けることができる．
図 ４.１２ 背景情報探索フロー[26]
第 ４ 章 提 案 手 法
69
（５）それ以外のプロバイダは，Ｒの属性を開示した場合，Ｌを保持できない可能性 があるのでＬを変更して再試行するか，サービスを見送る．このステップは，
トレードオフ処理において重要な役割を果たす処理過程である．
この手法によれば，前述のような希望匿名度を守れないような事態は避けることが できる．
（２）開示情報と背景情報の紐付けの考え方
課題（プロバイダにユーザ背景がある場合の対処）に対する提案手法として，ユー ザ背景情報の影響を避ける手法について述べた．まとめると以下である．
（１）何らかのルートで，ＤＢの断片｛ａ｝が漏れ，ユーザ背景情報となる．
（２）同じＤＢの属性｛ｂ｝が開示されても，Ｌで 匿名化されていれば，｛ａ｝と紐 付けされ ない限りＬは確保される．
（３）｛ａ｝｛ｂ｝が紐付けされても，元のＤＢにおいてこれらの組合せがＬをキー プできてい れば問題ないが，キープできていなければＬを損なう．
表 ４.２ 紐付けマトリックスによるＳ値
第 ４ 章 提 案 手 法
70
これに対する対処の基本的考え方は，事前に背景情報を探索し，開示情報との紐付 けにより，Ｌを損なう可能性のあるプロバイダからはサービスを控えることである．
表４.２は，事例モデルにおける開示属性と背景属性のすべての組合せにおける集合 匿名性のＳ値である．この値が希望匿名度Ｌに相当するＳ値より下回るとき，それら の組合せ属性は相互に開示属性と背景属性の“対”になることはできないことを示す．
マークしてある属性は，４.３.１項，図４.７の事例，および図４.１０で説明した Ｂ社，Ｃ社の状況である．Ｂ社に初渡航：Ｙｅｓの背景があるとき，４パターンのう ち，血液Ａ型のみ開示できないことを示す．また，開示以前のマークは，背景属性に よっては，事前チェックにおいてそのプロバイダは利用できないことが判明し，ユー ザにその旨のアラームを出せることを示している．
ＤＢの断片情報がユーザ背景情報として漏れるのを防ぐには限界があり，開示情報 と紐付けられてＬを損なうリスクが発生する．事前に漏れている背景情報を探索し，
問題のあるプロバイダへの開示は控えるのが本研究の考え方である．背景情報として
“Alice は初渡航”があれば，本来“血液型：Ａ”の開示は控えられるが，あえて開 示されたとき何が起こるかを，背景情報の量，レベルによる違いで考えてみる．図４.
１３はその様子を示す．背景情報の状態１，２，３ともＡ社のＰＰＳのＤＢから漏れ た断片情報である．背景情報の状態によって個人特定の度合いは違うが，最悪個人特 定に繋がることが表されている．個人特定のためには，組合せて特定できる完全なＤ Ｂの列情報が必要であるが，全ユーザの背景情報を探索するには限界がある．よって
図 ４．１３ 背景情報の状態