はじめに — 法域についての注意

case03 との違い

あらすじ

ある 統計機関 が、小さな地区（住民7人）について集計統計を公表しました。

• 個票（誰が何歳か）は 出さない
• 人数・年齢の中央値・平均 を、性別・人種・配偶関係などのグループ別にまとめた表だけを公開
• しかも「人数の少ない欄は伏せれば安全」と考え、14行のうち 7行を秘匿

なぜ「統計にすれば安全」ではないのか

有名な 再構築定理 の考え方です。集計統計は、個票についての情報を 間接的に 含みます。

1つの統計だけなら曖昧さが残りますが、多くの正確な統計を重ねると、
それらを同時に満たす個票の組合せが 1通りに絞られて しまいます。

この問題が動かしたもの

元データと公開データ

攻撃者が手にできるのは 公表統計表だけ。

公表された 7 区分（数値あり）

公表しているのは、人数・中央値・平均という「まとめた数字」だけ。

伏せられた 7 区分（秘匿・数値は非公開）

「人数が少ないから伏せれば安全」と考えて公表しなかった区分です。

隠れた個票（統計機関だけが持つ・非公開）

答え合わせ用に真の個票を示します（residents）。属性は原典（米国センサスの例）の区分をそのまま用いた合成データです。

見るポイント（4つ）

この事例で効く3つの弱点

丸めがあっても縛れる — 平均36.7の例

公表の平均は小数第1位に丸められています。だから合計は1点ではなく 区間 になります。

中央値は「順序」の情報

• 平均 は「合計」を教えるので 足し算（線形） で書ける。
• 中央値 は「真ん中の人の値」＝ 順序 の情報。

人を年齢順に並べると、「この集団の k 番目の人 の年齢」を指せるようになり、中央値を制約として書けます。

各統計の役割（再構築での効き方）

攻撃の全体像

解が複数残れば曖昧さが残ります（統計が少ない／粗い場合）。この事例では 1 通りに決まってしまいます。

各ステップの狙い

なぜ「全解列挙」が必要なのか

1つ見つければ十分では？

再構築で怖いのは「唯一解」の場合です。
解が1つしかないなら、それは 間違いなく本物の個票 です。

このデモでは、7行の制約だけで解が1通りに決まり、伏せた7行が無くても個票が確定してしまいます。

小集団 × 多数の正確な統計 = 危険

前提と、変数の置き方

Notebook でやること

再構築の結果

公表統計表だけ（元の個票は不使用）を制約にして、CP-SAT で全解を数え尽くしました。

再構築された個票（論文と同じ記法）:

8FBS  18MWS  24FWS  30MWM  36FBM  66FBM  84MBM

答え合わせ

確認テスト結果（すべて合格）

• 公表統計が真の個票から再計算した値と整合する（独立検算）
• 公表統計だけからの再構築で、解が 一意（全解を数え尽くして1通り）
• 復元した個票が真の個票（residents）と 全員一致
• 14行中7行を秘匿しても一意に決まる（セル抑制は再構築を止めない）

25人に増やして確かめる

公表する統計はそのままで、人数だけ25人に。同じ“種類”の7区分の統計を出すと（合成データ）:

この統計だけを制約に再構築すると —— 個票は一意に定まりません。
「では安全か」というと、そうではありません。

差分攻撃 — たった1人を丸裸にする

全員をピタリ当てられなくても、重なり合う2つの集計の差を取ると、
たった1人だけが分離されて値が分かってしまいます。

この25人の 年収 について、次の2つが公表されたとします
（属性別の平均年収は、統計としてありふれた公表項目です）。

「白人男性」は5人、そのうち「既婚」は4人 —— 未婚は1人だけ。

2,400 − 2,220 = 180万 → この唯一の“未婚の白人男性”の年収は 180万円 だと、ぴたりと分かる。

たった2つの集計で、特定の1人の機微情報が丸裸

• 年収に限らず、病歴・借入・利用サービスなど、どんな機微な値でも同じ。
• 全員を復元できなくても、たった1人を分離できれば十分な侵害。
• しかも 集団を大きくしても、この「2つの集計の差」は防げません。

丸めても防げない → だから差分プライバシー

平均を丸く公表すれば安全では？

確かに差はぼやけますが、狭い範囲に絞られるだけで、ほぼ言い当てられます。
丸めだけでは不十分。

本当の効きどころ — 「人数」ではなく「統計量 ÷ 未知数」

再構築・部分開示のしやすさは、集団の人数そのものではなく、
公表する統計の量・精度 と 未知数（人数×属性） の バランス で決まります。

• 統計を増やさず人数だけ増やしても、部分開示（属性推論）は残ります（25人の例）。
• 人数に見合うだけ統計を増やす（細かいクロス集計を大量に公表する）と、大規模でも解が絞られ 再構築が成立 します。
  米国2020年国勢調査の再構築が全米規模でも成立したのは、膨大な公表統計があったからです。

安易な統計公表が危険な2つの理由

※ ここでの「法律」は、もし同種の事象を日本の制度に当てはめて考えたらという仮定の整理です。

まとめ — 4つの事例を貫くもの

1. case01 仮名加工: 利用目的から必要粒度を決め、規則で必須の項目を先に確定する。
2. case02 匿名加工: 連結符号を断ち、特異な記述を消す。規則を満たした ≠ 十分に匿名。
3. case03 再識別: ハッシュ化＝匿名化ではない。候補が少なければ総当りで戻る。
4. case04 再構築: 統計にすれば安全ではない。多数・高精度の統計は個票の方程式になる。