(57)【要約】  臨床情報等の個人情報の匿名化処理後に被検体情報の所有者や閲覧権限所有者のみが匿名化処理された後に関連付けられ蓄積された情報及びそれに関連付けられた情報を特定可能にする。このため、連結不可能匿名化法において、個人を特定可能なＩＤ番号又は情報又はそのＩＤ情報と匿名化時の鍵記号又は単一では個人を特定不可能である検体番号など関連する情報の組合せ情報を、ハッシュ値計算等の一方向性関数によって匿名化番号を作成する。また、連結不可能匿名化により匿名化番号と個人情報の組合せ表を削除し、一方向性関数の利用により匿名化番号から元の個人又は検体番号の類推を防止し、匿名化後の情報のアクセスは匿名化鍵情報を知る情報の所有者又は受任者のみに限定する。
2008069011.tif 000002
【特許請求の範囲】
【請求項１】
個人を特定可能な個人ＩＤ番号を保持する個人ＩＤ記憶部と、
前記個人ＩＤ番号を基に一方向性関数により匿名化した匿名化番号を発行する匿名化番号作成部と、
前記個人ＩＤ番号と前記匿名化番号との対応表を廃棄する対応表廃棄部と
を具備する
情報管理システム。
【請求項２】
請求の範囲１に記載の情報管理システムであって、
単一では個人を特定不可能な検体属性情報を保持する検体属性情報記憶部と、
前記個人ＩＤ番号と前記検体属性情報とを連結して前記匿名化番号作成部に提供する情報連結部と
を更に具備する
情報管理システム。
【請求項３】
請求の範囲２に記載の情報管理システムであって、
前記検体属性情報を選択するために入力された検体抽出条件を前記検体属性情報記憶部に提供する検体抽出条件入力部と、
前記匿名化番号作成部から取得した前記匿名化番号に対応する検体解析情報を操作するための検体解析情報操作部と
を更に具備する
情報管理システム。
【請求項４】
請求の範囲２又は３に記載の情報管理システムであって、
匿名化鍵を作成するために用いられる匿名化鍵情報を入力するための匿名化鍵情報入力部と、
前記匿名化鍵情報に基づいて匿名化鍵を作成し、前記個人ＩＤ番号と匿名化鍵とを連結させるために前記情報連結部に提供する匿名化鍵作成部と、
前記匿名化鍵を用いて前記匿名化番号作成部から取得した前記匿名化番号を復号する匿名化番号復号部と
を更に具備する
情報管理システム。
【請求項５】
請求の範囲４に記載の情報管理システムであって、
前記匿名化鍵作成部により作成された前記匿名化鍵を廃棄する匿名化鍵廃棄部
を更に具備する
情報管理システム。
【請求項６】
請求の範囲４又は５に記載の情報管理システムであって、
前記匿名化番号作成部により作成された前記匿名化番号の一意性を検証する匿名化番号一意性検証部と、
前記匿名化番号一意性検証部から検証結果を取得する検証結果報告部と、
前記検証結果が陽性の場合に前記匿名化番号に対応する匿名化鍵情報又は単一では個人を特定不可能な検体属性情報を選択するための情報再選択部と
を更に具備する
情報管理システム。
【請求項７】
請求の範囲４乃至６のいずれかに記載の情報管理システムであって、
前記個人ＩＤ番号、前記匿名化鍵及び関連情報の組合せ情報に基づいて前記匿名化番号作成部により作成された第１匿名化番号を暗号化して第２匿名化番号を作成する情報暗号化部
を更に具備する
情報管理システム。
【請求項８】
請求の範囲４乃至６のいずれかに記載の情報管理システムであって、
前記個人ＩＤ番号、前記匿名化鍵及び関連情報の組合せ情報を暗号化して第１匿名化番号を作成する情報暗号化部
を更に具備し、
前記匿名化番号作成部は、前記第１匿名化番号を一方向性関数により匿名化した第２匿名化番号を発行する
情報管理システム。
【請求項９】
（ａ）個人を特定可能な個人ＩＤ番号を取得するステップと、
（ｂ）前記個人ＩＤ番号を基に一方向性関数により匿名化した匿名化番号を発行するステップと、
（ｃ）前記個人ＩＤ番号と前記匿名化番号との対応表を廃棄するステップと
を含む
匿名化方法。
【請求項１０】
請求の範囲９に記載の匿名化方法であって、
前記（ｂ）ステップは、
（ｂ１）単一では個人を特定不可能な検体属性情報を取得するステップと、
（ｂ２）前記個人ＩＤ番号と前記検体属性情報とを連結した組合せ情報を一方向性関数により匿名化した匿名化番号を発行するステップと
を含む
匿名化方法。
【請求項１１】
請求の範囲１０に記載の匿名化方法であって、
前記（ｂ）ステップは、
（ｂ３）前記検体属性情報を選択するために入力された検体抽出条件を取得するステップと、
（ｂ４）発行された前記匿名化番号に対応する検体解析情報を操作するステップと
を更に含む
匿名化方法。
【請求項１２】
請求の範囲１０又は１１に記載の匿名化方法であって、
前記（ｂ）ステップは、
（ｂ５）匿名化鍵を作成するために用いられる匿名化鍵情報を取得するステップと、
（ｂ６）前記匿名化鍵情報に基づいて匿名化鍵を作成し、前記個人ＩＤ番号と匿名化鍵とを連結した組合せ情報を一方向性関数により匿名化した匿名化番号を発行するステップと、
（ｂ７）前記匿名化鍵を用いて前記匿名化番号を復号するステップと
を更に含む
匿名化方法。
【請求項１３】
請求の範囲１２に記載の匿名化方法であって、
前記（ｃ）ステップは、
（ｃ１）作成された前記匿名化鍵を廃棄するステップ
を含む
匿名化方法。
【請求項１４】
請求の範囲１２又は１３に記載の匿名化方法であって、
（ｄ）作成された前記匿名化番号の一意性を検証するステップと、
（ｅ）前記匿名化番号の一意性の検証結果が陽性の場合に、前記匿名化番号に対応する匿名化鍵情報又は単一では個人を特定不可能な検体属性情報を選択するステップと
を更に含む
匿名化方法。
【請求項１５】
請求の範囲１２乃至１４のいずれかに記載の匿名化方法であって、
前記（ｂ）ステップは、
（ｂ８）前記個人ＩＤ番号、前記匿名化鍵及び関連情報の組合せ情報を一方向性関数により匿名化して第１匿名化番号を作成するステップと、
（ｂ９）前記第１匿名化番号を暗号化して第２匿名化番号を作成するステップと
を更に含む
匿名化方法。
【請求項１６】
請求の範囲１２乃至１４のいずれかに記載の匿名化方法であって、
前記（ｂ）ステップは、
（ｂ１０）前記個人ＩＤ番号、前記匿名化鍵及び関連情報の組合せ情報を暗号化して第１匿名化番号を作成するステップと、
（ｂ１１）前記匿名化番号作成部は、前記第１匿名化番号を一方向性関数により匿名化した第２匿名化番号を発行するステップと
を更に含む
匿名化方法。
【請求項１７】
（ａ）個人を特定可能な個人ＩＤ番号を取得するステップと、
（ｂ）前記個人ＩＤ番号を基に一方向性関数により匿名化した匿名化番号を発行するステップと、
（ｃ）前記個人ＩＤ番号と前記匿名化番号との対応表を廃棄するステップと
を、コンピュータに実行させるための匿名化プログラムを記憶した
記憶媒体。
【請求項１８】
請求の範囲１７に記載の記憶媒体であって、
前記（ｂ）ステップが、
（ｂ１）単一では個人を特定不可能な検体属性情報を取得するステップと、
（ｂ２）前記個人ＩＤ番号と前記検体属性情報とを連結した組合せ情報を一方向性関数により匿名化した匿名化番号を発行するステップと
を含む匿名化プログラムを記憶した
記憶媒体。
【請求項１９】
請求の範囲１８に記載の記憶媒体であって、
前記（ｂ）ステップが、
（ｂ３）前記検体属性情報を選択するために入力された検体抽出条件を取得するステップと、
（ｂ４）発行された前記匿名化番号に対応する検体解析情報を操作するステップと
を更に含む匿名化プログラムを記憶した
記憶媒体。
【請求項２０】
請求の範囲１８又は１９に記載の記憶媒体であって、
前記（ｂ）ステップが、
（ｂ５）匿名化鍵を作成するために用いられる匿名化鍵情報を取得するステップと、
（ｂ６）前記匿名化鍵情報に基づいて匿名化鍵を作成し、前記個人ＩＤ番号と匿名化鍵とを連結した組合せ情報を一方向性関数により匿名化した匿名化番号を発行するステップと、
（ｂ７）前記匿名化鍵を用いて前記匿名化番号を復号するステップと
を更に含む匿名化プログラムを記憶した
記憶媒体。
【請求項２１】
請求の範囲２０に記載の記憶媒体であって、
前記（ｃ）ステップが、
（ｃ１）作成された前記匿名化鍵を廃棄するステップ
を含む匿名化プログラムを記憶した
記憶媒体。
【請求項２２】
請求の範囲２０又は２１に記載の記憶媒体であって、
（ｄ）作成された前記匿名化番号の一意性を検証するステップと、
（ｅ）前記匿名化番号の一意性の検証結果が陽性の場合に、前記匿名化番号に対応する匿名化鍵情報又は単一では個人を特定不可能な検体属性情報を選択するステップと
を、更にコンピュータに実行させるための匿名化プログラムを記憶した
記憶媒体。
【請求項２３】
請求の範囲２０乃至２２のいずれかに記載の記憶媒体であって、
前記（ｂ）ステップが、
（ｂ８）前記個人ＩＤ番号、前記匿名化鍵及び関連情報の組合せ情報を一方向性関数により匿名化して第１匿名化番号を作成するステップと、
（ｂ９）前記第１匿名化番号を暗号化して第２匿名化番号を作成するステップと
を更に含む匿名化プログラムを記憶した
記憶媒体。
【請求項２４】
請求の範囲２０乃至２２のいずれかに記載の記憶媒体であって、
前記（ｂ）ステップが、
（ｂ１８）前記個人ＩＤ番号、前記匿名化鍵及び関連情報の組合せ情報を暗号化して第１匿名化番号を作成するステップと、
（ｂ１９）前記匿名化番号作成部は、前記第１匿名化番号を一方向性関数により匿名化した第２匿名化番号を発行するステップと
を更に含む匿名化プログラムを記憶した
記憶媒体。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、情報管理システムに関し、特に匿名化された情報を用いた情報管理システムに関する。なお、本出願は、日本出願番号２００６−３２６７３９に基づく優先権を主張するものであり、日本出願番号２００６−３２６７３９における開示内容は引用により本出願に組み込まれる。
【背景技術】
【０００２】
一般的に情報の匿名化においては、匿名化番号が用いられる。個人情報保護の観点から、特に医療機関では、被検体の情報も匿名化する必要がある。匿名化番号は、個人又は被検体を特定する一意のＩＤ（ＩＤｅｎｔｉｆｉｃａｔｉｏｎ）番号を暗号化等することにより得られる。この匿名化番号と元のＩＤ番号との対応を示した対応表を廃棄する匿名化法を「連結不可能匿名化法」と呼び、後の情報処理等を考慮して匿名化番号と元のＩＤ番号の対応表を安全な場所に隔離する匿名化法を「連結可能匿名化法」と呼ぶ。【０００３】
連結不可能匿名化法では、例えば、ＩＤ番号を暗号化等により解読不可能としたものを匿名化番号内に含めている。これにより、暗号化されたＩＤ番号を復号し、元のＩＤ番号と照合することで、匿名化後の情報が同一の個人又は被検体に由来するものであるとの判断を匿名化後でも行うことができるようにしている。この場合、匿名化番号において被検体番号や患者番号を暗号化した部分が特定可能なため、匿名化番号とＩＤ番号との対応表は破棄されていたとしても暗号が解読されれば、被検体や患者が特定される可能性が生じてしまう。【０００４】
また、匿名化処理後の患者予後情報を追跡して、匿名化後の被検体情報及び関連情報と関連付けたり、例えば患者のような情報提供者の意向変化に従って匿名化後の情報を抹消したりすることが想定されるシステムにおいては、連結不可能匿名化法に代わり連結可能匿名化法を採用する必要がある。連結可能匿名化法の場合、「匿名化前の情報を含むシステム」と「匿名化前の情報を含まないシステム」を物理的に隔離したり、高度なセキュリティー技術を用いて分離したり、アクセスログ等を記録して情報の漏洩を防護、検知したりするために煩雑なシステム構成が必要であった。また、場合によっては、情報を特定するために非常に複雑な確認処理を行う必要が生じていた。【０００５】
更に、単一では個人を特定不可能である情報（検体属性情報）の匿名化については、例えば、同時に複数情報を組合せたとしても個人が特定できない情報又はその複数情報の組合せ情報のみを抽出することで、検体属性情報の匿名化を実現する。この場合、情報抽出条件が曖昧となった場合に匿名性が低下すると共に、情報抽出システムにおいて結果解析に必要な条件が検体属性情報の匿名化により損なわれるため、研究に十分な情報が整えられないという問題が生じていた。【０００６】
このように、匿名化方法では個人情報の所有者又はその閲覧権利を委任された受任者、例えば医師や研究者から匿名化後の情報、例えば個人情報の所有者から得られた患者検体から得られたゲノム（Ｇｅｎｏｍｅ）解析情報を特定して閲覧・修正・削除することは不可能であった。【０００７】
また、連結不可能匿名化法により匿名化を行った場合、患者のインフォームドコンセントによる情報提供の意思が失われた場合に、匿名化後の情報及び関連情報を関連付け直し、患者に関連する情報の全てを抹消するような操作は不可能であった。これは患者等の情報提供者の大きな障害となっている。【０００８】
更に、連結不可能匿名化法又は連結可能匿名化法で匿名化を行った場合、匿名化前情報と匿名化後に蓄積された情報を関連付け直すことが困難である。この理由は、連結不可能匿名化法の場合、匿名化前情報と匿名化後情報を関連付け直す情報の対応表が破棄されているためである。また、連結可能匿名化法の場合、匿名化前情報と匿名化後情報が個人情報保護の観点から物理的に切り離され、再連結操作を著しく困難にすることをシステムの特徴としているためである。すなわち、被検体の状態、例えば患者予後情報を追跡して匿名化後の被検体情報及び関連情報を抽出して情報処理を行うようなトランスレーショナルリサーチ研究の進行を阻害するものである。【０００９】
関連する技術として、「特開２００４−３３４４３３号公報」にオンラインサービスにおける匿名化方法、ユーザの識別子の管理方法、匿名化装置、匿名化プログラム、及びプログラム記憶媒体が開示されている。この関連技術では、オンラインサービスを提供するシステムは、ネットワークを介して接続された、サービスの提供を受ける社員の社員端末と、この社員が属する企業のクライアント企業サーバと、社員にサービスの提供を行うカウンセリング業者のカウンセリング業者サーバとを含む。また、ＩＤ管理業者のＩＤ管理業者サーバが、このオンラインサービスにおける社員の情報を、企業の個人情報を匿名化する初期ＩＤと、カウンセリングに関する個人情報を匿名化するログインＩＤとで匿名化している。【００１０】
また、「特開２００５−３０１９７８号公報」に名寄せ制御方法が開示されている。この関連技術では、特定の個人を識別するための個人ＩＤをキーとするハッシュ関数（ｈａｓｈ  ｆｕｎｃｔｉｏｎ）により生成された匿名ＩＤと、１個以上の個人データ利用許可条件からなる匿名管理用データをクライアントから１個以上受信する処理を実行する。次に、受信された匿名ＩＤが、サーバが格納している匿名ＩＤと衝突するか否かを判定し、判定結果をクライアントに送信する処理を実行する。次に衝突が無かった場合にはデータベースに管理用匿名データを格納する処理を実行する。次に、受信された匿名ＩＤと同じ個人ＩＤから生成されたデータベース中の匿名ＩＤを、受信された匿名ＩＤで置換する処理を実行する。【００１１】
また、「特開平１１−２１２４６１号公報」に電子透かし方式及び電子情報配布システムが開示されている。この関連技術では、データに対する暗号処理及び電子透かし埋め込み処理を複数の手段又はエンティティで分散して行い、複数の手段又はエンティティで行われた暗号処理及び電子透かし埋め込み処理の少なくとも一方の正当性を、複数の手段又はエンティティとは別の手段又はエンティティで検証する。なお、複数の手段又はエンティティは、少なくとも３種以上の手段又はエンティティである。例えば、データに対して第１の暗号処理を行う手段を有する第１のエンティティと、電子透かし埋め込み処理を行う手段を有し、第１のエンティティからのデータを管理及び配付する第２のエンティティと、第２の暗号処理を行う手段を有し、電子透かし付きデータを利用する第３のエンティティとから成るものである。このとき、第２のエンティティは、第２の暗号処理が施されたデータを一方向性関数により変換した値を出力する場合がある。また、第２のエンティティは、一方向性関数により変換した値を第４のエンティティに送信する場合もある。【００１２】
また、「特開２００４−１８０２２９号公報」に匿名化プログラム及び匿名化方法が開示されている。この関連技術では、被匿名化データを構成する各位の数字を並べ替え２つの数字を作成する。これらの数字をそれぞれ２進数化した後、これらの各位の０／１の数字を並べ替えることにより２つの数字を作成し、これら並べ替えられた数字をそれぞれ１０進数化する。そして、１０進数化された数字を構成する数列と、別の１０進数化された数字を構成する数列とを並べ、５２進数化して第１の５２進数字を作成し、上記別の１０進数化された数字を構成する残りの数列のうち任意の数列を５２進数化する。最後に、これら５２進数化された数字と、上記１０進数化された数字を構成する残りの数列とを並べることにより、匿名化データを作成する。【００１３】
更に、「特許第３３５７０３９号公報」に匿名化臨床研究支援方法及びそのシステムが開示されている。この関連技術では、患者情報管理システムによって患者の個人情報や診察結果等の患者情報、及び患者から採取された検体の情報が管理される。匿名化システムは、検体に付与された検体番号を匿名化した匿名検体番号を生成し、検体番号と匿名検体番号を対応付けた連結可能匿名化コード表を記憶する。匿名化した患者情報と検体は、研究側に提供される。研究側の実験試料管理システムは、匿名化された検体及び患者情報を管理し、遺伝子解析に必要なｃＤＮＡ（ｃｏｍｐｌｅｍｅｎｔａｒｙ  ＤＮＡ：相補的ＤＮＡ）ライブラリやＰＣＲ（Ｐｏｌｙｍｅｒａｓｅ  Ｃｈａｉｎ  Ｒｅａｃｔｉｏｎ：ポリメラーゼ連鎖反応）による目的配列（塩基配列）の増幅を行い、ゲノム基本データ管理システムにおいて、ｃＤＮＡ配列決定、発現解析、ＳＮＰ（Ｓｉｎｇｌｅ  Ｎｕｃｌｅｏｔｉｄｅ  Ｐｏｌｙｍｏｒｐｈｉｓｍ：スニップ（一塩基多型））タイピング、目的領域の配列決定が行われる。
【発明の開示】
【００１４】
本発明の目的は、臨床情報等の被検体情報（個人情報）の匿名化処理後、被検体情報の所有者や閲覧権限所有者が、匿名化処理された情報に関連付けられて蓄積された情報を特定可能とする情報管理システム、匿名化方法、及び記憶媒体を提供することである。
【００１５】
本発明の情報管理システムは、個人を特定可能な個人ＩＤ番号を保持する個人ＩＤ記憶部と、個人ＩＤ番号を基に一方向性関数により匿名化した匿名化番号を発行する匿名化番号作成部と、個人ＩＤ番号と匿名化番号との対応表を廃棄する対応表廃棄部とを具備する。
【００１６】
本発明の匿名化方法は、（ａ）個人を特定可能な個人ＩＤ番号を取得するステップと、（ｂ）個人ＩＤ番号を基に一方向性関数により匿名化した匿名化番号を発行するステップと、（ｃ）個人ＩＤ番号と匿名化番号との対応表を廃棄するステップとを具備する。
【００１７】
本発明の匿名化プログラムは、上記の匿名化方法をコンピュータ等に搭載されたプロセッサ（ｐｒｏｃｅｓｓｏｒ：処理装置）に実行させる。なお、匿名化プログラムは、記憶装置又は記憶媒体（メディア）に記憶される。
【００１８】
連結不可能匿名化法において、個人を識別する個人ＩＤ番号等の識別情報と匿名化鍵記号及び検体番号等の関連情報との組合せ情報を用い、ハッシュ値計算等の一方向性関数によって匿名化番号を作成する。また、一方向性関数の逆関数演算計算の困難さにより安全性を確立しつつ、柔軟な情報解析を可能にする。
【図面の簡単な説明】
【００１９】
【図１】図１は、連結不可能匿名化システムの基本構成を示す図である。
【図２Ａ】図２Ａは、本発明の第１実施例を示す図である。
【図２Ｂ】図２Ｂは、本発明の第１実施例と比較するための参考事例を示す図である。
【図３】図３は、本発明の第２実施例を示す図である。
【図４】図４は、本発明の第３実施例を示す図である。
【図５】図５は、本発明の第４実施例を示す図である。
【図６】図６は、本発明の第５実施例を示す図である。
【図７】図７は、本発明の第６実施例を示す図である。
【図８Ａ】図８Ａは、本発明の第７実施例の匿名化後の暗号化の例を示す図である。
【図８Ｂ】図８Ｂは、本発明の第７実施例の暗号化後の匿名化の例を示す図である。
【発明を実施するための最良の形態】
【００２０】
以下に、本発明の実施例に係る連結不可能匿名化システムの構成例について添付図面を参照して説明する。
図１を参照すると、連結不可能匿名化システムは、匿名化システム１０と、情報抽出システム２０と、情報管理システム３０を含む。匿名化システム１０と情報管理システム３０は通信可能である。また、情報抽出システム２０と情報管理システム３０は通信可能である。各システムは、電気通信回線や公衆電話網、専用線のようなネットワークにより接続される場合もある。匿名化システム１０と情報管理システム３０の間には分離層５０が存在する。【００２１】
匿名化システム１０は、検体属性情報記憶部１１と、個人ＩＤ記憶部１２と、検体属性情報匿名化部１３と、匿名化番号発行部１４と、匿名化番号１５と、対応表廃棄部１６を備える。【００２２】
検体属性情報記憶部１１は、単一では個人を特定不可能である情報（検体属性情報）を記憶し、記憶された検体属性情報を検体属性情報匿名化部１３と匿名化番号発行部１４に提供する。個人ＩＤ記憶部１２は、情報所有者又は受任者（研究者）１から提供された個人ＩＤ番号１００を取得して記憶し、記憶された個人ＩＤ番号１００を匿名化番号発行部１４に提供する。個人ＩＤ番号１００は、個人を特定可能なＩＤ番号等の識別情報である。検体属性情報匿名化部１３は、検体属性情報記憶部１１から取得した検体属性情報を匿名化して匿名化検体属性情報を作成し、匿名化検体属性情報を情報管理システム３０側へ提供する。匿名化番号発行部１４は、検体属性情報記憶部１１から取得した検体属性情報と、個人ＩＤ記憶部１２から取得した個人ＩＤ番号１００とを組み合わせて匿名化した匿名化番号１５を発行する。すなわち、匿名化番号１５には、匿名化された個人ＩＤ番号１００と、匿名化された検体属性情報が含まれる。匿名化された検体属性情報は、検体属性情報匿名化部１３により作成された匿名化検体属性情報と一致する。このとき、匿名化番号発行部１４は、個人ＩＤ番号１００と匿名化番号１５とを対応させた対応表を作成する。従って、個人ＩＤ番号１００と匿名化番号１５とを対応させた対応表や匿名化検体属性情報を参照すれば、匿名化番号１５から個人ＩＤ番号１００や検体属性情報を特定することが可能である。また、匿名化番号１５は、情報管理システム３０側へ提供される。対応表廃棄部１６は、情報所有者又は受任者（研究者）１からの指示や、所定の条件に応じて、個人ＩＤ番号１００と匿名化番号１５とを対応させた対応表を廃棄する。【００２３】
情報抽出システム２０は、検体抽出条件入力部２１を備える。【００２４】
検体抽出条件入力部２１は、研究者２により入力された検体抽出条件を情報管理システム３０側へ提供し、情報管理システム３０側から検体抽出条件に応じて提供された検体解析情報を研究者２に提供する。【００２５】
情報管理システム３０は、匿名化検体属性情報記憶部３１と、匿名化番号記憶部３２と、検体解析情報抽出部３３と、検体解析情報入力部３４と、情報連結部３５と、検体解析情報記憶部３６を備える。【００２６】
匿名化検体属性情報記憶部３１は、検体属性情報匿名化部１３から取得した匿名化検体属性情報を記憶する。匿名化番号記憶部３２は、匿名化システム１０側から取得した匿名化番号１５を記憶する。検体解析情報抽出部３３は、検体抽出条件入力部２１から取得した検体抽出条件に基づいて、情報連結部３５から検体解析情報を抽出し、抽出された検体解析情報を検体抽出条件入力部２１に提供する。すなわち、検体解析情報抽出部３３は、研究者２により入力された検体抽出条件に基づいて、情報連結部３５から検体解析情報を抽出し、検体抽出条件入力部２１を介して抽出された検体解析情報を研究者２に提供する。検体解析情報入力部３４は、検体解析者３により入力された検体解析情報を情報連結部３５に提供する。情報連結部３５は、匿名化検体属性情報記憶部３１に記憶された匿名化検体属性情報、及び、匿名化番号記憶部３２に記憶された匿名化番号１５を取得し、取得された匿名化番号１５及び匿名化検体属性情報と、検体解析情報入力部３４から受け取った検体解析情報とを連結（関連付け）する。なお、情報連結部３５は、匿名化番号１５に含まれる匿名化された検体属性情報と、匿名化検体属性情報とを照合することで、匿名化番号１５と匿名化検体属性情報とを連結（関連付け）することも可能である。なお、情報連結部３５は、検体解析情報入力部３４から検体解析情報を取得できない場合、検体解析情報記憶部３６から予め記憶されている検体解析情報を取得するようにしても良い。情報連結部３５は、検体解析情報抽出部３３からの要求に応じて、連結後の検体解析情報を検体解析情報抽出部３３に提供する。検体解析情報記憶部３６は、事前に設定された検体解析情報、又は、過去に検体解析情報入力部３４に入力された検体解析情報を記憶する。このとき、検体解析情報記憶部３６は、情報連結部３５から連結後の検体解析情報を取得して記憶し、検体解析情報抽出部３３からの要求に応じて、連結後の検体解析情報を検体解析情報抽出部３３に提供するようにしても良い。【００２７】
分離層５０は、信頼性の高いネットワークと信頼性の低いネットワークを分離するために使用されることが多い。ここでは、分離層５０は、匿名化前情報を含むシステムと、匿名化前情報を含まないシステムとを、物理的に隔離するために使用される。また、分離層５０として複数の層を使用することで、複数の層の各々により１つ又は複数のホストやネットワークを他のホストやネットワークから隔離、分割、又は分離することが可能となる。【００２８】
以下に本発明の第１実施例について説明する。
本発明の第１実施例では、連結不可能匿名化において個人を特定可能なＩＤ番号等の識別情報を用い、一方向性関数によって匿名化番号を作成する。使用する一方向性関数は、ＭＤ５（Ｍｅｓｓａｇｅ  Ｄｉｇｅｓｔ  ５）やＳＨＡ（Ｓｅｃｕｒｅ  Ｈａｓｈ  Ａｌｇｏｒｉｔｈｍ）、ＲＳＡ（Ｒｉｖｅｓｔ  Ｓｈａｍｉｒ  Ａｄｌｅｍａｎ）関数を利用可能であるが、実際にはこれらの例に限定されない。具体例としては、個人を特定する患者ＩＤをＳＨＡハッシュ関数によってハッシュ値を作成して匿名化番号として採用する。作成された匿名化番号からは患者ＩＤを逆算することは困難であり、連結不可能匿名化により患者ＩＤと匿名化番号の対応表が削除されれば、匿名化番号から対応する患者ＩＤを解読することは現実的に不可能となる。【００２９】
図２Ａを参照して、本実施例について説明する。
ここでは、個人ＩＤ番号１００と、匿名化番号発行部１４と、匿名化番号１５と、対応表廃棄部１６を用いて説明する。【００３０】
個人ＩＤ番号１００は、個人を特定可能なＩＤ番号等の識別情報である。ここでは、個人ＩＤ番号１００は、図１に示す個人ＩＤ記憶部１２に記憶される。匿名化番号発行部１４は、個人ＩＤ番号１００に「一方向性関数」を適用して匿名化番号を作成する。匿名化番号１５は、匿名化番号発行部１４により作成される。対応表廃棄部１６は、匿名化番号１５の作成後、匿名化番号１５と個人ＩＤ番号１００との対応表を廃棄する。【００３１】
本実施例では、本実施例では、一方向性関数を適用した復号不可能な匿名化番号を使用しており、匿名化番号と個人ＩＤ番号との対応表を廃棄しているため、個人を特定することは不可能である。従って、個人ＩＤ番号１００から対応表廃棄部１６まで、データの流れが一方向となっている。【００３２】
本実施例の特徴を説明するため、図２Ｂを参照して、一方向性関数を適用しない場合を示す参考事例について説明する。ここでは、個人ＩＤ番号１００と、匿名化番号作成部１４０と、匿名化番号１５と、対応表廃棄部１６を用いて説明する。図２Ａの本実施例と参考事例との違いは、匿名化番号発行部１４と匿名化番号作成部１４０との違いにある。他の構成は図２Ａに準じている。匿名化番号作成部１４０は、個人ＩＤ番号１００に基づき、「暗号化」により匿名化番号を作成する。【００３３】
本実施例と異なり、前述の参考事例では、技術的に匿名化番号を復号可能なため、対応表が廃棄されたとしても匿名化番号から個人を特定できる可能性が存在する。【００３４】
以下に本発明の第２実施例について説明する。
本発明の第２実施例では、一方向性関数によって匿名化番号を作成する情報管理システムにおいて、任意の平文を総当り的に求める解読攻撃を回避するために、個人を特定可能なＩＤ番号等の識別情報と、単一では個人を特定不可能である検体番号等の関連情報との組合せを用い、一方向性関数によって匿名化番号を作成する。具体例としては、一方向性関数によって匿名化番号を作成する場合、個人を特定する患者ＩＤとその患者の生年月日及び性別を連結した後、一方向性関数によって匿名化番号を算出する。【００３５】
図３を参照して、本実施例について説明する。
ここでは、個人ＩＤ番号１００と、個人特定不可能情報１１０と、情報連結部１７と、匿名化番号発行部１４と、匿名化番号１５を用いて説明する。【００３６】
個人ＩＤ番号１００は、個人を特定可能なＩＤ番号等の識別情報である。ここでは、図１に示す個人ＩＤ記憶部１２から取得する。個人特定不可能情報１１０は、単一では個人を特定することが不可能な情報である。例えば、個人特定不可能情報１１０として、図１に示す検体属性情報記憶部１１に格納された検体属性情報が想定される。情報連結部１７は、個人ＩＤ番号１００と個人特定不可能情報１１０を連結し、匿名化番号発行部１４に提供する。匿名化番号発行部１４は、情報連結部１７から取得した情報を用いて、一方向性関数により匿名化番号を作成する。匿名化番号１５は、匿名化番号発行部１４により作成される。【００３７】
以下に本発明の第３実施例について説明する。
本発明の第３実施例では、匿名化番号から個人を特定することが不可能で、情報所有者又は受任者（研究者）のみが匿名化後の情報を検索・閲覧・修正・削除可能とするための、個人を特定可能なＩＤ番号等の識別情報を用い、一方向性関数によって匿名化番号を作成する。【００３８】
図４を参照すると、本実施例における連結不可能匿名化システムは、匿名化システム１０と、情報抽出システム２０と、情報管理システム３０を含む。匿名化システム１０と情報管理システム３０は通信可能である。また、情報抽出システム２０と情報管理システム３０は通信可能である。各システムは、電気通信回線や公衆電話網、専用線のようなネットワークにより接続される場合もある。匿名化システム１０と情報管理システム３０の間、及び、情報抽出システム２０と情報管理システム３０の間には、セキュリティー層６０が存在する。従って、匿名化システム１０及び情報抽出システム２０と、情報管理システム３０との通信の際には認証が行われる。【００３９】
匿名化システム１０は、個人ＩＤ記憶部１２と、匿名化番号発行部１４と、対応表廃棄部１６と、情報連結部１７と、一方向性関数計算部１８を備える。【００４０】
個人ＩＤ記憶部１２は、情報所有者又は受任者（研究者）１から個人ＩＤ番号１００を取得して記憶し、情報連結部１７に提供する。情報連結部１７は、情報抽出システム２０側から取得した検体属性情報と個人ＩＤ記憶部１２から取得した個人ＩＤ番号１００とを連結した組合せ情報を一方向性関数計算部１８に提供する。一方向性関数計算部１８は、匿名化に使用する一方向性関数を算出し、この一方向性関数と情報連結部１７から取得した組合せ情報とを匿名化番号発行部１４に提供する。匿名化番号発行部１４は、組合せ情報を一方向性関数により匿名化した匿名化番号を、対応表廃棄部１６や、情報抽出システム２０側、及び情報管理システム３０側に提供する。対応表廃棄部１６は、情報所有者又は受任者（研究者）１からの要求や、所定の条件に応じて、個人ＩＤ番号１００と匿名化番号とを対応させた対応表を廃棄する。【００４１】
情報抽出システム２０は、検体抽出条件入力部２１と、検体属性情報記憶部２２と、検体解析情報操作部２３を備える。【００４２】
検体抽出条件入力部２１は、情報所有者又は受任者（研究者）１により入力された検体抽出条件を検体属性情報記憶部２２へ提供する。検体属性情報記憶部２２は、検体抽出条件入力部２１から取得した検体抽出条件に基づいて検体属性情報を匿名化システム１０側へ提供する。検体解析情報操作部２３は、匿名化番号発行部１４から取得した匿名化番号に対応する検体解析情報を操作するために用いられ、操作された検体解析情報を情報管理システム３０側に提供する。なお、操作には、検索・閲覧・修正・削除のうち少なくとも１つが含まれる。【００４３】
情報管理システム３０は、匿名化番号記憶部３２と、検体解析情報抽出部３３と、検体解析情報入力部３４と、情報連結部３５と、検体解析情報記憶部３６を備える。【００４４】
匿名化番号記憶部３２は、匿名化番号発行部１４から取得した匿名化番号を情報連結部３５に提供する。検体解析情報抽出部３３は、検体解析情報操作部２３から取得した検体抽出条件及び検体解析情報を情報連結部３５に提供する。検体解析情報入力部３４は、検体解析者３により入力された検体解析情報を情報連結部３５に提供する。情報連結部３５は、検体抽出条件及び検体解析情報に基づいて、匿名化番号と検体属性情報を連結する。また、情報連結部３５は、検体解析情報入力部３４から検体解析情報を取得できない場合、検体解析情報記憶部３６に記憶されている検体解析情報を取得する。検体解析情報記憶部３６は、事前に設定された検体解析情報、又は、過去に検体解析情報入力部３４に入力された検体解析情報を記憶する。【００４５】
上記システムにおいて、検体解析者２０は検体解析情報を知りえるが、個人ＩＤ番号−匿名化番号対応表が廃棄されており、対象検体の個人を特定することはできない。一方、情報の所有者又は受任者は情報の匿名化後においても、再度匿名化システムを介することによって、匿名化後に匿名化番号に対応付けられた情報を辿ることが可能であり、該当匿名化後情報の削除等の操作を行うことができる。すなわち、情報の所有者又は受任者は、匿名化後においても、匿名化番号に対応付けられた情報をキーにして、匿名化番号と該当匿名化後情報とを関連付けることができる。従って、匿名化された匿名化番号を解読する必要が無いため、情報の一方向性維持が可能となる。【００４６】
検体属性情報は検体情報管理システム上に保存されないため、複数の情報を組合せることによって個人を特定できる可能性の生じる情報を検体解析者２０より一切隔離可能であり、匿名性の確保が可能である。【００４７】
以下に本発明の第４実施例について説明する。
本発明の第４実施例では、情報所有者又は受任者（研究者）のみが匿名化後の情報を閲覧・修正・削除可能であり、一方向性関数を用いて匿名化番号を作成する際に匿名化鍵を作成するコンポーネントと、個人を特定可能なＩＤ番号等の識別情報を連結させるコンポーネントと、匿名化鍵によって作成された匿名化番号を匿名化鍵情報を用いて個人ＩＤ番号に復号するコンポーネントを含む情報管理システムについて説明する。匿名化番号を算出するに当たり、匿名化鍵と組合せることで任意の平文を総当り的に求める解読攻撃を回避しつつ、情報所有者又は受任者（研究者）のみが知りえる情報やパスワードを用いることで、情報所有者又は受任者（研究者）を特定して匿名化後の情報を閲覧・修正・削除可能なシステムの構築を可能とする。【００４８】
図５を参照して、本実施例について説明する。
ここでは、個人ＩＤ記憶部１２と、匿名化番号発行部１４と、情報連結部１７と、一方向性関数計算部１８と、匿名化番号１９と、匿名化鍵情報入力部４１と、匿名化鍵作成部４２と、匿名化番号復号部４３と、復号後個人ＩＤ番号４４と、情報抽出システム連結部４５を用いて説明する。なお、個人ＩＤ記憶部１２、匿名化番号発行部１４、情報連結部１７、一方向性関数計算部１８、匿名化番号１９、匿名化鍵情報入力部４１、匿名化鍵作成部４２、匿名化番号復号部４３、復号後個人ＩＤ番号４４、及び情報抽出システム連結部４５は、図１又は図４に示す匿名化システム１０、又は匿名化システム１０と連携する装置が備えているものとする。【００４９】
個人ＩＤ記憶部１２は、個人ＩＤ番号１００を記憶し、情報連結部１７に提供する。情報連結部１７は、個人ＩＤ記憶部１２から取得した個人ＩＤ番号１００と、匿名化鍵作成部４２から取得した匿名化鍵とを連結た組合せ情報を一方向性関数計算部１８に提供する。一方向性関数計算部１８は、匿名化に使用する一方向性関数を算出し、この一方向性関数と情報連結部１７から取得した組合せ情報とを、匿名化番号発行部１４に提供する。匿名化番号発行部１４は、組合せ情報を匿名化鍵により匿名化した匿名化番号を、匿名化番号復号部４３に提供する。匿名化番号１９は、匿名化番号発行部１４により発行された、一方向性関数により匿名化され同一個人や属性情報が判別不可能な匿名化番号である。【００５０】
匿名化鍵情報入力部４１は、匿名化鍵を作成するために必要な情報を入力するために用いられる。匿名化鍵作成部４２は、匿名化鍵情報入力部４１から取得した情報に基づいて匿名化鍵を作成し、情報連結部１７に提供する。なお、匿名化鍵作成部４２は、匿名化システム１０の内部に存在していても良い。匿名化番号復号部４３は、匿名化番号１９を取得し、匿名化鍵情報入力部４１から取得した情報に基づいて作成した匿名化鍵により、匿名化番号１９を復号する。復号後個人ＩＤ番号４４は、匿名化番号復号部４３により作成される。情報抽出システム連結部４５は、復号後個人ＩＤ番号４４を取得し、情報抽出システム２０側に提供する。例えば、図４の検体解析情報操作部２３に提供する。或いは、復号後個人ＩＤ番号４４を、情報抽出システム２０側から取得した情報と共に情報管理システム３０側に提供するようにしても良い。【００５１】
なお、匿名化鍵情報入力部４１、匿名化鍵作成部４２、匿名化番号復号部４３、復号後個人ＩＤ番号４４、情報抽出システム連結部４５は、独立した装置である場合に限らず、情報抽出システム２０又は情報管理システム３０に含まれている場合も考えられる。【００５２】
以下に本発明の第５実施例について説明する。
本発明の第５実施例では、情報所有者又は受任者（研究者）のみが匿名化後の情報を閲覧・修正・削除可能であり、匿名化鍵の情報を廃棄するコンポーネントを含む情報管理システムについて説明する。匿名化鍵の情報を廃棄することで、匿名化鍵が漏洩せず匿名化鍵の情報を知りえる情報所有者又は受任者（研究者）のみがその匿名化後情報を元の個人ＩＤ番号と関連付け参照することが可能となる。【００５３】
図６を参照して、本実施例について説明する。
ここでは、個人ＩＤ記憶部１２と、情報連結部１７と、匿名化鍵情報入力部４１と、匿名化鍵作成部４２と、匿名化鍵廃棄部４６を用いて説明する。なお、個人ＩＤ記憶部１２、情報連結部１７、匿名化鍵情報入力部４１、匿名化鍵作成部４２、匿名化鍵廃棄部４６は、図１又は図４に示す匿名化システム１０、又は匿名化システム１０と連携する装置が備えているものとする。【００５４】
個人ＩＤ記憶部１２は、個人ＩＤ番号１００を記憶し、情報連結部１７に提供する。情報連結部１７は、個人ＩＤ記憶部１２から取得した個人ＩＤ番号１００と、匿名化鍵作成部４２から取得した匿名化鍵とを連結する。【００５５】
匿名化鍵情報入力部４１は、匿名化鍵を作成するために必要な情報を入力するために用いられる。匿名化鍵作成部４２は、匿名化鍵情報入力部４１から取得した情報に基づいて匿名化鍵を作成し、情報連結部１７に提供する。匿名化鍵廃棄部４６は、例えば情報所有者又は受任者（研究者）１からの指示や、所定の条件に応じて、匿名化鍵作成部４２が作成した匿名化鍵を廃棄する。なお、匿名化鍵作成部４２や匿名化鍵廃棄部４６は、匿名化システム１０の内部に存在していても良い。【００５６】
以下に本発明の第６実施例について説明する。
本発明の第６実施例では、一方向性関数によって作成された匿名化番号がシステム内に登録されている匿名化番号群の中で一意性を検証するステップと、検証結果を匿名化番号発行部に報告ステップと、一意性の検証結果が陽性の場合に匿名化番号について匿名化鍵情報又は単一では個人を特定不可能である情報（検体属性情報）の再選択を促すステップを含む匿名化方法について説明する。【００５７】
図７を参照して、本実施例について説明する。
ここでは、組合せ情報１２０と、匿名化番号発行部１４と、匿名化番号一意性検証部５１と、匿名化番号記憶部３２と、検証結果報告部５２と、情報再選択指定部５３と、情報再選択部５４を用いて説明する。なお、匿名化番号発行部１４、匿名化番号一意性検証部５１、検証結果報告部５２、情報再選択指定部５３、及び情報再選択部５４は、図１又は図４に示す匿名化システム１０、又は匿名化システム１０と連携する装置が備えているものとする。また、匿名化番号記憶部３２は、図１又は図４に示す情報管理システム３０が備えているものとする。【００５８】
組合せ情報１２０は、個人ＩＤ番号等の識別情報と匿名化鍵記号及び関連情報との組合せ情報である。この組合せ情報１２０は、図５又は図６の情報連結部１７により作成されたものでも良い。匿名化番号発行部１４は、組合せ情報１２０を用いて、一方向性関数により匿名化番号を作成する。この匿名化番号発行部１４は、図４又は図５に示す一方向性関数計算部１８を含んでいても良い。匿名化番号一意性検証部５１は、匿名化番号発行部１４により作成された匿名化番号の一意性を検証する。匿名化番号記憶部３２は、匿名化番号一意性検証部５１から取得した匿名化番号を記憶する。検証結果報告部５２は、匿名化番号一意性検証部５１から一意性の検証結果を取得する。情報再選択指定部５３は、一意性の検証結果が陽性の場合に匿名化番号について匿名化鍵情報又は単一では個人を特定不可能である情報の再選択を促し、再選択の指定を受け付ける。情報再選択部５４は、情報再選択指定部５３からの再選択の指定に応じて、対象となる情報を再選択する。【００５９】
以下に本発明の第７実施例について説明する。
本発明の第７実施例では、個人を識別する個人ＩＤ番号等の識別情報と匿名化鍵記号及び関連情報との組合せ情報を用い、一方向性関数によって第１匿名化番号又は第２匿名化番号を作成する方法について説明する。【００６０】
図８Ａと図８Ｂを参照して、本実施例について説明する。
図８Ａでは、個人ＩＤ番号と匿名化鍵記号を含む組合せ情報を匿名化した後に暗号化を行う。また、図８Ｂでは、個人ＩＤ番号と匿名化鍵記号を含む組合せ情報を暗号化した後に匿名化を行う。【００６１】
ここでは、組合せ情報１２０と、匿名化番号発行部１４と、情報暗号化部６１と、第１匿名化番号７１と、第２匿名化番号７２を用いて説明する。なお、匿名化番号発行部１４及び情報暗号化部６１は、図１又は図４に示す匿名化システム１０、又は匿名化システム１０と連携する装置が備えているものとする。【００６２】
図８Ａに示す例において、組合せ情報１２０は、個人ＩＤ番号等の識別情報と匿名化鍵記号及び関連情報と組合せ情報である。この組合せ情報１２０は、図５又は図６の情報連結部１７により作成されたものでも良い。匿名化番号発行部１４は、組合せ情報１２０を用いて、一方向性関数により匿名化番号を作成する。この匿名化番号発行部１４は、図４又は図５に示す一方向性関数計算部１８を含んでいても良い。第１匿名化番号７１は、匿名化番号発行部１４により作成される。すなわち、図８Ａに示す第１匿名化番号７１は、一方向性関数により組合せ情報１２０が匿名化されたものである。情報暗号化部６１は、第１匿名化番号７１を暗号化する。第２匿名化番号７２は、情報暗号化部６１により作成される。すなわち、図８Ａに示す第２匿名化番号７２は、第１匿名化番号７１が暗号化されたものである。従って、図８Ａに示す第２匿名化番号７２は、一方向性関数により組合せ情報１２０を匿名化されたものが、更に暗号化されたものである。【００６３】
図８Ｂに示す例において、組合せ情報１２０は、個人ＩＤ番号等の識別情報と匿名化鍵記号及び関連情報との組合せ情報である。この組合せ情報１２０は、図５又は図６の情報連結部１７により作成されたものでも良い。情報暗号化部６１は、組合せ情報１２０を暗号化する。第１匿名化番号７１は、情報暗号化部６１により作成される。すなわち、図８Ｂに示す第１匿名化番号７１は、組合せ情報１２０が暗号化されたものである。匿名化番号発行部１４は、第１匿名化番号７１を用いて、一方向性関数により匿名化番号を作成する。この匿名化番号発行部１４は、図４又は図５に示す一方向性関数計算部１８を含んでいても良い。第２匿名化番号７２は、匿名化番号発行部１４により作成される。すなわち、図８Ｂに示す第２匿名化番号７２は、一方向性関数により第１匿名化番号７１が匿名化されたものである。従って、図８Ｂに示す第２匿名化番号７２は、組合せ情報１２０が暗号化されたものが、更に一方向性関数により匿名化されたものである。【００６４】
本実施例では、第２匿名化番号７２が、図４又は図５の匿名化番号発行部１４により発行された匿名化番号となる。【００６５】
なお、本発明の夫々の実施例を組合せて使用することも可能である。例えば、処理開始時にいずれの実施例により処理するかを選択できるようにしても良い。また、入力情報の不足等の原因で特定の実施例が実施不可能な場合に、実施可能な他の実施例により処理することも考えられる。【００６６】
以上のように、本発明では連結不可能匿名化法において、個人を特定可能な個人ＩＤ番号等の識別情報や、この個人ＩＤ番号等の識別情報と匿名化時の鍵記号又は単一では個人を特定不可能である検体番号等の関連情報との組合せ情報を、ハッシュ値計算等の一方向性関数によって匿名化番号を作成する。【００６７】
また、匿名化番号を作成する際に匿名化番号の作成方法を類推させないために、匿名化鍵情報を用いて匿名化を行い、この匿名化鍵情報も同一システム内に記憶させないことで、当該匿名化手法を公開しても情報の匿名性を保つシステムの構築を可能にする。【００６８】
連結不可能匿名化により匿名化番号と個人情報の対応表は削除されていることから、一方向性関数の利用により匿名化番号から元の個人又は検体番号の類推は現実的に不可能であり、匿名化後の情報のアクセスは匿名化鍵情報を知る情報の所有者又は受任者（例えば医師）のみに限定可能なシステムを構築できる。
【図１】
2008069011.tif 000003
【図２Ａ】
2008069011.tif 000004
【図２Ｂ】
2008069011.tif 000005
【図３】
2008069011.tif 000006
【図４】
2008069011.tif 000007
【図５】
2008069011.tif 000008
【図６】
2008069011.tif 000009
【図７】
2008069011.tif 000010
【図８Ａ】
2008069011.tif 000011
【図８Ｂ】
2008069011.tif 000012
【手続補正書】
【提出日】平成20年2月8日(2008.2.8)
【手続補正１】
【補正対象書類名】特許請求の範囲
【補正対象項目名】全文
【補正方法】変更
【補正の内容】
【特許請求の範囲】
【請求項１】
個人データを匿名化番号と紐付けて管理し、個人を特定する個人ＩＤ番号と前記匿名化番号との対応表を保持しない情報管理システムであって、
個人ＩＤ番号の入力を受け付け、前記匿名化番号に紐付いた個人データを参照するために、前記匿名化番号を作成又は復元する際に、前記匿名化番号を算出するための匿名化鍵情報の入力を受け付ける匿名化鍵情報入力手段と、
前記匿名化鍵情報に基づいて、前記個人ＩＤ番号と前記匿名化鍵情報とを連結する情報連結手段と、
前記情報連結手段により連結された情報を一方向性関数により演算して前記匿名化番号を発行する匿名化番号作成手段と、
前記匿名化番号の作成後に、前記個人ＩＤ番号と前記匿名化番号との対応表を廃棄する対応表廃棄手段と
を具備する
情報管理システム。
【請求項２】
請求の範囲１に記載の情報管理システムであって、
前記匿名化鍵情報を廃棄する匿名化鍵廃棄手段
を更に具備する
情報管理システム。
【請求項３】
請求の範囲１又は２に記載の情報管理システムであって、
単一では個人を特定不可能な検体属性情報を保持する検体属性情報記憶手段と、を更に具備し、
前記情報連結手段は、前記個人ＩＤ番号と前記検体属性情報とを連結して前記匿名化番号作成手段に提供する
情報管理システム。
【請求項４】
（削除）
【請求項５】
（削除）
【請求項６】
請求の範囲１乃至３のいずれかに記載の情報管理システムであって、
前記匿名化番号作成手段により作成された前記匿名化番号の一意性を検証する匿名化番号一意性検証手段と、
前記匿名化番号一意性検証手段から検証結果を取得する検証結果報告手段と、
前記検証結果として前記匿名化番号が一意でない場合に、前記匿名化番号に対応する匿名化鍵情報の再入力、又は単一では個人を特定不可能な検体属性情報の再選択を行うための情報再選択手段と
を更に具備する
情報管理システム。
【請求項７】
請求の範囲１乃至６のいずれかに記載の情報管理システムであって、
前記個人ＩＤ番号に、前記匿名化鍵情報と前記検体属性情報のうち少なくとも１つを連結した組合せ情報に基づいて、前記匿名化番号作成手段により作成された第１匿名化番号を暗号化して第２匿名化番号を作成する情報暗号化手段
を更に具備する
情報管理システム。
【請求項８】
請求の範囲１乃至６のいずれかに記載の情報管理システムであって、
前記個人ＩＤ番号に、前記匿名化鍵情報と前記検体属性情報のうち少なくとも１つを連結した組合せ情報を暗号化して第１匿名化番号を作成する情報暗号化手段
を更に具備し、
前記匿名化番号作成手段は、前記第１匿名化番号を一方向性関数により匿名化した第２匿名化番号を発行する
情報管理システム。
【請求項９】
個人データを匿名化番号と紐付けし、個人を特定する個人ＩＤ番号と前記匿名化番号との対応表を保持しない匿名化方法であって、
匿名化鍵を作成するために用いられる前記個人ＩＤ番号を取得するステップと、
前記匿名化鍵を作成するために用いられる匿名化鍵情報を取得するステップと、
前記個人ＩＤ番号と前記匿名化鍵情報を連結し一方向性関数により匿名化した匿名化番号を発行するステップと、
前記匿名化番号の作成後に、前記個人ＩＤ番号と前記匿名化番号との対応表を廃棄するステップと
を含む
匿名化方法。
【請求項１０】
請求の範囲９に記載の匿名化方法であって、
前記匿名化鍵を廃棄するステップ
を更に含む
匿名化方法。
【請求項１１】
請求の範囲９又は１０に記載の匿名化方法であって、
前記匿名化番号を発行する際に、
単一では個人を特定不可能な検体属性情報を取得するステップと、
前記個人ＩＤ番号に、前記匿名化鍵情報と前記検体属性情報とを連結した組合せ情報を一方向性関数により匿名化した匿名化番号を発行するステップと
を含む
匿名化方法。
【請求項１２】
（削除）
【請求項１３】
（削除）
【請求項１４】
請求の範囲９乃至１１のいずれかに記載の匿名化方法であって、
前記匿名化番号の一意性を検証するステップと、
前記匿名化番号の一意性の検証結果として前記匿名化番号が一意でない場合に、前記匿名化番号に対応する匿名化鍵情報の再入力、又は単一では個人を特定不可能な検体属性情報の再選択を行うステップと
を更に含む
匿名化方法。
【請求項１５】
請求の範囲９乃至１４のいずれかに記載の匿名化方法であって、
前記匿名化番号を発行する際に、
前記個人ＩＤ番号に、前記匿名化鍵情報と前記検体属性情報のうち少なくとも１つを連結した組合せ情報を一方向性関数により匿名化して第１匿名化番号を作成するステップと、
前記第１匿名化番号を暗号化して第２匿名化番号を作成するステップと
を更に含む
匿名化方法。
【請求項１６】
請求の範囲９乃至１４のいずれかに記載の匿名化方法であって、
前記匿名化番号を発行する際に、
前記個人ＩＤ番号に、前記匿名化鍵情報と前記検体属性情報のうち少なくとも１つを連結した組合せ情報を暗号化して第１匿名化番号を作成するステップと、
前記第１匿名化番号を一方向性関数により匿名化した第２匿名化番号を作成するステップと
を更に含む
匿名化方法。
【請求項１７】
個人データを匿名化番号と紐付けし、個人を特定する個人ＩＤ番号と前記匿名化番号との対応表を保持しないコンピュータに実行させるための匿名化プログラムを記憶した記憶媒体であって、
匿名化鍵を作成するために用いられる前記個人ＩＤ番号を取得するステップと、
前記匿名化鍵を作成するために用いられる匿名化鍵情報を取得するステップと、
前記個人ＩＤ番号と前記匿名化鍵情報を連結し一方向性関数により匿名化した匿名化番号を発行するステップと、
前記匿名化番号の作成後に、前記個人ＩＤ番号と前記匿名化番号との対応表を廃棄するステップと
をコンピュータに実行させるための匿名化プログラムを記憶した
記憶媒体。
【請求項１８】
請求の範囲１７に記載の記憶媒体であって、
前記匿名化鍵を廃棄するステップ
を更にコンピュータに実行させるための匿名化プログラムを記憶した
記憶媒体。
【請求項１９】
請求の範囲１７又は１８に記載の記憶媒体であって、
前記匿名化番号を発行する際に、
単一では個人を特定不可能な検体属性情報を取得するステップと、
前記個人ＩＤ番号に、前記匿名化鍵情報と前記検体属性情報とを連結した組合せ情報を一方向性関数により匿名化した匿名化番号を発行するステップと
を更にコンピュータに実行させるための匿名化プログラムを記憶した
記憶媒体。
【請求項２０】
（削除）
【請求項２１】
（削除）
【請求項２２】
請求の範囲１７乃至１９のいずれかに記載の記憶媒体であって、
前記匿名化番号の一意性を検証するステップと、
前記匿名化番号の一意性の検証結果として前記匿名化番号が一意でない場合に、前記匿名化番号に対応する匿名化鍵情報の再入力、又は単一では個人を特定不可能な検体属性情報の再選択を行うステップと
を更にコンピュータに実行させるための匿名化プログラムを記憶した
記憶媒体。
【請求項２３】
請求の範囲１７乃至２２のいずれかに記載の記憶媒体であって、
前記匿名化番号を発行する際に、
前記個人ＩＤ番号に、前記匿名化鍵情報と前記検体属性情報のうち少なくとも１つを連結した組合せ情報を一方向性関数により匿名化して第１匿名化番号を作成するステップと、
前記第１匿名化番号を暗号化して第２匿名化番号を作成するステップと
を更にコンピュータに実行させるための匿名化プログラムを記憶した
記憶媒体。
【請求項２４】
請求の範囲１７乃至２２のいずれかに記載の記憶媒体であって、
前記匿名化番号を発行する際に、
前記個人ＩＤ番号に、前記匿名化鍵情報と前記検体属性情報のうち少なくとも１つを連結した組合せ情報を暗号化して第１匿名化番号を作成するステップと、
前記第１匿名化番号を一方向性関数により匿名化した第２匿名化番号を作成するステップと
を更にコンピュータに実行させるための匿名化プログラムを記憶した
記憶媒体。
【国際調査報告】
2008069011.tif 000013
2008069011.tif 000014
2008069011.tif 000015
2008069011.tif 000016