バーナード化

バーナード化は、カウント表の統計的開示制御の手法です。これは、表内のゼロ以外の内部セルの一部またはすべてに擬似ランダム方式で +1、0、または -1 を追加するものです。各内部セルの調整確率は、p/2 (1 を追加)、1-p (そのまま)、p/2 (1 を減算) として計算されます。表の合計は、調整後の内部カウントの合計として計算されます。^{[1] [2]}

バーナード化の手法は、エセックス大学の数学教授ジョージ・アルフレッド・バーナード教授（1915-2002）にちなんで名付けられたようです。当時王立統計学会会長であったバーナードは、1971年の英国国勢調査のデータセキュリティに関する政府委託のレビューに協力するため、王立統計学会評議会によって任命された3人のフェローの1人でした。^[3]結果として得られたレポートでは、小さな数字を最も近い5に丸めることが、回答者の機密性を保護するための最善の方法であるかどうかが疑問視されていました。^{[3] : パラグラフ 3.3.8}報告書に対する政府の公式回答では、1971 年の国勢調査では、小さなランダム調整という追加の安全策が導入されたと述べられており、その提案はバーナード教授によるものであると明確に述べられている ( ^{[3] : パラグラフ 4.20 および脚注)。}これは1973 年 7 月の New Scientist の記事でも同様である。 ^[4]少し混乱を招くが、この新しい安全策について論じた 1973 年の Journal of the Royal Statistical Society の論文では、「多くの議論の末、カナダで提案された手順の変形が採用された」と報告されている。^{[5] : p.520}おそらくバーナード教授はこれらの議論に関与し、変形を考案したのであろう。いずれにせよ、カナダでそのような安全策が適用されたという証拠は見つからず、カナダ統計局はすべてのカウントを最も近い 0 または 5 にランダムに丸める方法に固執しているようだ。^{[6] : p.13}

バーナード教授が考案したにもかかわらず、1971年の国勢調査に関する文書では、現在バーナード化として知られている調整方法は、単に「手順」^[5]、「値の調整」^[7]、「特別な手順」^[1] 、 「ランダムエラー注入のプロセス」^{[8] 、または「修正」または「調整」 [9]}と説明されていました。^[10]

印刷物で「バーナード化」という用語が使用されている最も古い例は、1979年にハキムが執筆した人口調査局の作業文書に遡ります。この文書では、この用語は引用もされず、GAバーナード教授の名義ともされていませんでした。^[11]しかし当時、ハキムによるこの用語の造語は、少なくとも印刷物では、広く見過ごされたか、無視されていたようです。これは、すでに上で引用した後のさまざまな出版物からも明らかです。

「バーナード化」という用語は、1995年にスタン・オープンショーの『国勢調査ユーザーズ・ハンドブック』が出版されるまで、印刷物に再び登場することはなかったようです。 ^[12]このハンドブックでは、2人の別々の章の著者と索引編集者がこの用語を使用しています。しかし、少なくとも1980年代後半には、この用語は英国の学術会議や会合ですでに広く会話の中で使用されていました。^[13]最近では、「バーナード化」という用語は、英国の公式統計機関などが作成する公式レポートの語彙にもしっかりと定着しています。^{[2] [14]}

1971 年の英国国勢調査で最初に考案され実施されたバーナード化には、別の地域の表をペアにして、2 つの地域に等しく反対の調整を適用するという特徴が追加されました。たとえば、エリア A の特定の表セルの値が 1 増加した場合、ペアになっているエリア B の同等の表セルの値は 1 減少します (値が負にならないことを条件とします)。このペアリングの目的は、バーナード化プロセスによってもたらされるノイズの量を、より集計的なレベルで可能な限り相殺することです。^[1]

1991年の英国国勢調査では、バーナード化を適用する前の地域のペアリングは廃止され、より詳細な地域ベース統計では、+1、0、または+1の調整を2回適用することで達成される-2、-1、0、+1、または+2の調整を含むように範囲が拡張されました。^[10]

英国では、公的機関が統計目的で情報を提供する際に、その情報に関連する個人のプライバシー権を侵害しないように、バーナード化がますます採用されるようになった（例： ^{[2] [15]}）。場合によっては、バーナード化手順のさらなる変更も必要になった。例えば、コモンサービスエージェンシーが実施したように、-1、0、または+1の調整は1から4のカウントにのみ適用され、0のカウントは変更されずに、0または+1を追加して調整された。^{[15] ：パラグラフ16}

^{2011年の英国国勢調査[14]}に先立つ統計開示管理方法の検討では、データ提供者の観点から、バーナード化の長所と短所を次のようにリストアップしました。

利点

• わかりやすい
• 簡単に実装できる
• 表の合計は内部セルの値と一致します
• 調整は偏りがない

デメリット

• 2つ以上の別々にバーナード化されたテーブルに同じセル数とテーブル合計が存在する場合、セル数とテーブル合計の値が不一致になります。
• 同じカウントや合計を共有する他のテーブルがある場合、またはバーナード化されたテーブルがネストされているより広い空間領域に対して調整されていない合計を提供する他のテーブルがある場合、調整は差分によって解除できます。
• 使用される調整の確率は通常小さいため、多くのセル値は調整されないままになります。

ユーザーの観点から見ると、バーナード化のもう一つの利点は、カナダ統計局が使用する5進数へのランダムな丸め、ニュージーランド統計局が使用する3進数へのランダムな丸め、英国国家統計局とオーストラリア統計局がさまざまな時点で使用する小セル調整などの統計開示制御手段よりも、一般的なユーザー分析への影響が小さいことが示されていることです。^[16]

1990 年代後半以降、機密性を保護するためのバーナード化の有効性に関する懸念が高まり、今ではバーナード化は「頼りになる」ツールとして推奨されなくなり、むしろ特別な状況でのみ使用される手法として推奨されるようになりました。この考え方の変化は、バーナード化によって小さな数値 (特に 1) が調整されないままになる可能性が比較的高いこと^{[2] [15]}と、次に、十分な重複するバーナード化表が公開された場合に元の値をリバース エンジニアリングする危険性を中心にしているようです。^[14]これらの理由とその他の理由により、2001 年以降の英国国勢調査ではバーナード化の使用が中止されています。2001 年、2011 年、2021 年に採用されたバーナード化の代替案とその根拠については、Spicer の優れたレビューを参照してください。^[17]

バーナード化がデータの完全な匿名化には至らないかどうかという問題と、1998年データ保護法の複雑な規定の下でのバーナード化されたデータの地位が、スコットランド情報コミッショナーによって検討された。コミッショナーによる当初の決定のいくつかの側面は貴族院への上訴により覆され、コミッショナーは当初の決定を再検討するよう求められた。コミッショナーの最終決定は、バーナード化はまれな事象（この場合は小児白血病）に対する開示保護が不十分であると判断し、当初の決定を部分的に覆した。「バーナード化されたデータは、それ自体で識別につながる可能性があり、［...］少なくともCSAによって展開されたバーナード化の実際の数字への影響は、彼［コミッショナー］が当初考えていたデータの隠蔽または偽装の効果はない。」^{[15] ：パラグラフ20}しかし、コミッショナーは書面による決定の中で、この主張の統計的正当性を示していない。代わりに、コミッショナーの決定は、主に、元のデータとバーナライズされたデータの性質に関する法律上の論点、およびこれが（機密性の高い）個人データの法的定義とどのように関係するかに焦点を当てていました。