How it works
公開データをk-匿名にする手順
ステップ 1 / 6
元データ
各行が一人に対応する表。名前は消してあっても、属性の組み合わせから個人が浮かび上がることがあります。
詳しい解説
なぜ名前を消すだけでは足りないのか
k-匿名化の出発点は、直接の識別子（氏名・IDなど）を消しても人は特定されうる、という洞察です。Latanya Sweeneyは、郵便番号・生年月日・性別の3つだけで米国人口の約87%が一意に特定できると示しました。k-匿名化はこの「準識別子」を丸めて、少なくともk人が同じ組み合わせを共有する状態を作ります。
連結攻撃という弱点
k-匿名化は単独では万能ではありません。攻撃者が別の公開データを持ち込んで突き合わせる「連結攻撃」に弱いのです。Narayanan と Shmatikov は、匿名化されたNetflixの視聴履歴を公開のIMDbと照合し、わずか数件の評価から加入者を再識別しました。高次元でまばらなデータほど、群れに紛れさせるのが難しくなります。
l-多様性と t-近接性による補強
k人に紛れても、そのk人全員が同じ病名なら機微情報は漏れます。これを防ぐのがl-多様性（各グループ内で機微属性を十分ばらつかせる／Machanavajjhalaら 2007）と、t-近接性（グループ内分布を全体分布に近づける／Liら 2007）です。ARXのようなツールは、これらの基準を満たすよう一般化を自動探索します。
主要パラメータ・設計要素
準識別子
単独では識別子でなくても、組み合わせで個人を絞り込める列（郵便番号・生年月日・性別・職業など）。どれを準識別子とみなすかが保護の要。
k の値
各行が最低何人に紛れるか。kを大きくするほど匿名性は上がるが、データは粗くなり有用性が下がる。
一般化・抑制
値を粗くする（一般化）か、まれな行を伏せる（抑制）か。両者のバランスで、丸めすぎと消しすぎの間を取る。
l-多様性
各k-匿名グループ内で、機微属性が少なくともl種類はばらついていることを要求し、同質性攻撃を防ぐ。
t-近接性
各グループ内の機微属性の分布を、全体分布からt以内に保ち、背景知識を使った推論を抑える。
産業・ユースケース
この技術が実際に価値を生んでいる領域と、その使われ方。
医療・非識別化
HIPAAのSafe Harbor方式などで、年齢や郵便番号といった準識別子を一般化・丸めて、同じ属性を持つ人が少なくともk人存在する状態にする。個人特定を防ぎつつ研究用途に耐える。
公共・オープンデータ
行政がオープンデータを公開する際、地域や属性を粗くまとめて各グループが最低k件になるよう匿名化する。個票の再識別を防ぎつつ市民や研究者が利用できる形にする。
市場調査
調査会社が回答データを共有・公表する際、細かな属性の組み合わせを一般化してk-匿名を満たす。少数のセグメントから個人が逆算されるのを防ぐ。
交通・移動データ
交通機関が乗降や移動のオープンデータセットを公開する際、時間帯や地点を丸めて各グループがk件以上になるよう調整する。個人の移動軌跡の特定を防ぐ。
最新の動向
高次元・まばらなデータ（購買・位置・ゲノム）では単独のk-匿名化が破られやすく、差分プライバシーへの置き換え・併用が進む。
ARX（arx.deidentifier.org）などのオープンソース・ツールが、k・l・tの同時最適化とリスク定量化を実務者に開放。
位置情報・軌跡データ向けに、時空間の一般化を扱うk-匿名化の拡張が研究の中心のひとつに。
規制（GDPR等）では、k-匿名化は『仮名化』にとどまり真の匿名化には不十分と評価される場面が増えている。
ベンチマーク・実測の目安
米国人口の一意特定率
約87%
Latanya Sweeney (2000/2002)：{5桁郵便番号, 生年月日, 性別} だけで米国人口の約87%が一意に特定可能。
追試による一意特定率
約63%
Golle (2006)「Revisiting the Uniqueness of Simple Demographics」：2000年国勢調査では同じ3属性での一意特定率は約63%と再推定。
Netflix匿名データの再識別
8件の評価で99%を一意特定
Narayanan & Shmatikov (2008)：8件の映画評価（うち2件は誤りでも可、日付±14日）で、加入者レコードの99%を一意に特定。
※数値は各出典に基づく参考値です。前提条件により大きく変わります。実装時は一次情報をご確認ください。