case04（再構築デモ）: 開示リスク集 — 一見安全でも“わかってしまう”こと（③ 結果・付録）¶
③ 結果 の付録です。「個票は出していない」「平均や人数しか公表していない」——それでも、よく見ると特定の個人についてこれだけ分かってしまう、という例を集めました。題材は case04 の25人（合成データ。年齢・性別・人種・配偶関係・年収）です。
この付録の位置づけ
ここで挙げるのは「集計統計からの開示（ディスクロージャ）」の代表的な手口です。すべて合成データでの教材例で、実在の個人とは無関係です。狙いは、統計公表の安全性対策（後述）がなぜ必要かを実感してもらうことにあります。
1. スモールセル — 「1人」のマスは、その人そのもの¶
クロス集計（属性の組合せ別の表）を細かくすると、該当者が1人しかいないマスが生まれます。そのマスの「平均」は、その1人の値そのものです。
- 「既婚の黒人男性: 1人・平均年収 720万」→ その1人（この地区の最高所得の1人）が720万だと確定。
- 「未婚の白人男性: 1人・平均年収 180万」→ その1人が180万（低所得）だと確定。
表を細かくするほど「1人」のマスは増えます。人数の小さいセルは、平均・合計・割合のどれを出しても個人を名指しします。
2. 差分攻撃 — 重なる2つの集計の差で、はみ出た1人を分離¶
たとえ1人マスを公表しなくても、重なり合う2つの集計の差で同じことが起きます（③ 結果の補足で実演）。
- 「白人男性 5人・平均480万（合計2,400万）」と「うち既婚 4人・平均555万（合計2,220万）」の差 2,400 − 2,220 = 180万 ＝ 唯一の“未婚の白人男性”の年収。
「1人だけ違うグループ」を2つ出すと、その1人ぶんが差として露出します。
3. 自分が当事者なら — 平均から他人の値¶
あなた自身がデータに含まれるなら、公表された平均＋自分の値で他人を推定できます。
- あなたを含む小グループの平均年収が公表され、あなたが自分の年収を知っていれば、残り全員の合計が分かります。
- とくに2人だけのグループ（例: 同じ手当区分があなたと同僚の2人だけ）なら、平均から同僚の年収がぴたり分かります。
「平均は個人を出さない」——当事者にとっては、そうとは限りません。
4. 順序統計量 — 中央値・最大・最小は“特定の1人”の値¶
- 中央値は、その集団の真ん中の1人の値そのもの。例: 「黒人女性の年収中央値 260万」→ 黒人女性の誰か1人がちょうど260万。
- 最大・最小は、端の1人の値。例: 「地区の最高年収 720万」→ その額を稼ぐ人が実在すると分かり、上のスモールセル（既婚の黒人男性）と重ねれば誰かまで絞れます。
5. 全員一致（0% / 100%）— 小グループ全員の機微が確定¶
小さなグループで、ある割合が 0% か 100% だと、その全員の機微が確定します。
- 仮に「30代の黒人女性 3人のうち、ある給付の受給者が 3人（100%）」と公表されれば、その3人全員が受給者だと名指しされます（0%なら全員が非受給と確定）。
「割合だから安全」ではありません。分母が小さい割合は、個人の属性を丸ごと開示します。
6. 表の突き合わせ — 別々の統計を連立すると1マスが決まる¶
別々に公表した表（人種別・性別・地区別…）の合計（余白）を突き合わせると、あるマスの値が一意に決まることがあります。これは、この case04 でやった再構築の縮小版です。多くの正確な統計を出すほど、こうして埋まるマスが増えます。
だから、統計公表には体系的な安全対策が要る¶
上のどれも「個票を出していない」統計から起きます。防ぐには、思いつきの丸めやセル抑制だけでは足りず、次のような対策を組み合わせて設計する必要があります。
- 最小セルサイズの徹底（1人・少人数のマスを出さない）と、セル抑制の限界の理解（抑制しても差分・突き合わせで復元されうる）。
- トップコーディング・一般化（最大/最小・特異な値を丸める）。
- そして、数学的に開示量を制御する 差分プライバシー（集計に較正されたノイズを加え、「1人の出入り」の影響を隠す）。米国2020年国勢調査が採用したのはこれ。
「安全そうな統計」ほど、実は多くを語ります。何を・どれだけ・どの粒度で公表するかを、開示リスクを見積もったうえで設計することが、統計情報の安全性の要です。