(57)【要約】【課題】個人情報を保護しつつ、データ分析の際の処理負荷が低くなるようして、大量のデータを保管する。【解決手段】データ分散サーバ装置１０４は、３つ以上の属性が含まれるデータを記憶しており、当該データに含まれる属性のうち、相互に分離すべき２つ以上の属性を準識別子として選択する。そして、データ分散サーバ装置１０４は、準識別子ごとに、準識別子でない属性の値と準識別子の値とを組み合わせた部分データを生成し、生成した２つ以上の部分データを、それぞれ異なるサブＤＢに格納する。【選択図】図１
2014026305.tif 000002
【特許請求の範囲】
【請求項１】
それぞれに項目値が記述されている３つ以上の項目が含まれるデータを記憶するデータ記憶部と、
前記データに含まれる項目のうち、相互に分離すべき２つ以上の項目を分離対象項目として選択する項目選択部と、
分離対象項目ごとに、前記データに含まれる項目のうち分離対象項目でない項目の項目値と分離対象項目の項目値とを組み合わせた部分データを生成して、分離対象項目の個数分の部分データを生成する部分データ生成部と、
前記部分データ生成部により生成された２つ以上の部分データを、それぞれ異なるデータベースに格納する部分データ格納部とを有することを特徴とするデータ処理装置。
【請求項２】
前記データ記憶部は、
ＩＤ（Ｉｄｅｎｔｉｆｉｅｒ）値が記述されているＩＤ値項目が含まれ、更に、前記ＩＤ値項目のＩＤ値が対象としている対象物の特性を表す特性値が記述されている特性値項目が２つ以上含まれるデータを記憶し、
前記項目選択部は、
前記特性値項目のそれぞれを分離対象項目として選択することを特徴とする請求項１に記載のデータ処理装置。
【請求項３】
前記項目選択部は、
前記データに含まれる項目の中から項目値を秘匿化すべき項目を秘匿化対象項目として選択し、前記データに含まれる項目のうち前記秘匿化対象項目以外の項目の中から２つ以上の項目を分離対象項目として選択し、
前記部分データ生成部は、
前記データに含まれる項目のうち秘匿化対象項目及び分離対象項目のいずれでもない通常項目の項目値と秘匿化対象項目の項目値とを組み合わせた部分データを第１の部分データとして生成し、
分離対象項目ごとに、通常項目の項目値と分離対象項目の項目値とを組み合わせた部分データを第２の部分データとして生成して、分離対象項目の個数分の第２の部分データを生成し、
前記データ処理装置は、更に、
前記秘匿化対象項目の項目値を秘匿化する秘匿化部を有し、
前記部分データ格納部は、
前記秘匿化対象項目の項目値が秘匿化された後の第１の部分データと、２つ以上の第２の部分データとを、それぞれ異なるデータベースに格納することを特徴とする請求項１又は２に記載のデータ処理装置。
【請求項４】
前記項目選択部は、
２つ以上の項目を秘匿化対象項目として選択する場合があり、
前記部分データ生成部は、
前記項目選択部により２つ以上の項目が秘匿化対象項目として選択された場合に、秘匿化対象項目ごとに第１の部分データを生成して、秘匿化対象項目の個数分の第１の部分データを生成し、
前記秘匿化部は、
前記項目選択部により２つ以上の項目が秘匿化対象項目として選択された場合に、各秘匿化対象項目の項目値を秘匿化し、
前記部分データ格納部は、
それぞれの秘匿化対象項目の項目値が秘匿化された後の２つ以上の第１の部分データと、２つ以上の第２の部分データとを、それぞれ異なるデータベースに格納することを特徴とする請求項３に記載のデータ処理装置。
【請求項５】
前記データ記憶部は、
ＩＤ（Ｉｄｅｎｔｉｆｉｅｒ）値が記述されているＩＤ値項目が含まれ、更に、前記ＩＤ値項目のＩＤ値が対象としている対象物の特性を表す特性値が記述されている特性値項目が２つ以上含まれるデータを記憶し、
前記項目選択部は、
前記ＩＤ値項目を秘匿化対象項目として選択し、前記特性値項目のそれぞれを分離対象項目として選択することを特徴とする請求項３又は４に記載のデータ処理装置。
【請求項６】
請求項１〜５のいずれかに記載の部分データを分散して保管する複数のデータベースを有することを特徴とするデータベースシステム。
【請求項７】
前記データベースシステムは、更に、
データベースごとに配置され、対象となるデータベースに保管されている部分データの分析を行う複数の部分分析装置と、
前記複数の部分分析装置から分析結果を収集し、収集した分析結果を所定の外部装置に出力する分析結果集計サーバ装置とを有することを特徴とする請求項６に記載のデータベースシステム。
【請求項８】
それぞれに項目値が記述されている３つ以上の項目が含まれるデータを記憶するコンピュータが、
前記データに含まれる項目のうち、相互に分離すべき２つ以上の項目を分離対象項目として選択する項目選択ステップと、
分離対象項目ごとに、前記データに含まれる項目のうち分離対象項目でない項目の項目値と分離対象項目の項目値とを組み合わせた部分データを生成して、分離対象項目の個数分の部分データを生成する部分データ生成ステップと、
前記部分データ生成部により生成された２つ以上の部分データを、それぞれ異なるデータベースに格納する部分データ格納ステップとを有することを特徴とするデータ処理方法。
【請求項９】
それぞれに項目値が記述されている３つ以上の項目が含まれるデータを記憶するコンピュータに、
前記データに含まれる項目のうち、相互に分離すべき２つ以上の項目を分離対象項目として選択する項目選択ステップと、
分離対象項目ごとに、前記データに含まれる項目のうち分離対象項目でない項目の項目値と分離対象項目の項目値とを組み合わせた部分データを生成して、分離対象項目の個数分の部分データを生成する部分データ生成ステップと、
前記部分データ生成部により生成された２つ以上の部分データを、それぞれ異なるデータベースに格納する部分データ格納ステップとを実行させることを特徴とするプログラム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、データを分割して保管する技術に関する。
【背景技術】
【０００２】
情報システム分野では、取り扱うデータ量が年々増大しつつある。
それにともなって、大量のデータを保管し、それを効率よく利用する技術の必要性が高まっている。
特に、アクセスログや入退室ログなどのログデータに関しては、データへのアクセスや建物の入退室のたびにデータが増えるため、データ量が時間とともに増加するという性質があり、そのような状況下でもデータをすべて保管できるような仕組みが求められる。
また、ログデータは単に保管するだけでなく、例えば毎週のアクセス数や入退室者数を割り出したり、深夜の入退室などの不正な挙動を検知したりといった分析にも用いるため、効率よく分析できるような仕組みも求められる。
さらに、ログデータにはアクセス者の氏名や年齢などの個人情報が含まれることもある。
例えば病院内の情報システムのログデータには、患者名や年齢のほか、病名、病歴、家族構成などの機微な情報が含まれることもある。
そのため、個人情報が適切に保護される仕組みも求められる。
このような背景から、データを保管しておくデータベース分野において、データを効率よく分析する方法や、個人情報を保護する方法が考えられてきた（例えば特許文献１、特許文献２、特許文献３）。
【先行技術文献】
【特許文献】
【０００３】
【特許文献１】特開２０１１−２０９９７４号公報
【特許文献２】特開平１１−１５７９７号公報
【特許文献３】特開平０７−１８２３６８号公報
【非特許文献】
【０００４】
【非特許文献１】Ｒａｊｅｅｖ  Ｍｏｔｗａｎｉ  ａｎｄ  Ｙｉｎｇ  Ｘｕ，“Ｅｆｆｉｃｉｅｎｔ  ａｌｇｏｒｉｔｈｍｓ  ｆｏｒ  ｍａｓｋｉｎｇ  ａｎｄ  ｆｉｎｄｉｎｇ  ｑｕａｓｉ−ｉｄｅｎｔｉｆｉｅｒｓ，”ＶＬＤＢ  ２００７，ＡＣＭ，２００７．
【発明の概要】
【発明が解決しようとする課題】
【０００５】
特許文献１に記載の分散型データベースシステムでは、１つのデータベースを属性ごとに複数のサブデータベースに分割してさらに暗号化することにより、個人情報を保護することが開示されている。
しかしながら、特許文献１に記載の分散型データベースシステムは、分散された暗号化データをすべて復号して集め直した上でなければデータ分析ができないような構成となっており、データ分析の際の処理の負荷が高いという課題がある。
これは、上述のログデータの場合には特に問題となる。
【０００６】
また、特許文献２に記載のデータ転送方式では、１つのデータベースの内容を、属性を一部重ねあわせつつ複数のデータベースに分割し、各サブデータベース上でデータ分析することにより、分析処理の負荷を軽減することが開示されている。
しかしながら、個人情報を保護しつつ分析する方法については開示されておらず、したがって個人情報保護が重要となるようなシステムでは安心して利用することができないという課題がある。
【０００７】
また、特許文献３に記載のデータ加工システムでは、１つのデータベースの内容を複数のサブデータベースに分割して格納し、分析の際には、各サブデータベースで情報を圧縮することによりデータベース間の通信負荷を低減し処理時間を短縮することが開示されている。
しかしながら、やはり個人情報を保護しつつ分析する方法については開示されておらず、したがって個人情報保護が重要となるようなシステムでは安心して利用することができないという課題がある。
【０００８】
本発明は、これらの課題を解決することを主な目的としており、個人情報を保護しつつ、データ分析の際の処理負荷が高くならないようにして、大量のデータを保管することを主な目的とする。
【課題を解決するための手段】
【０００９】
本発明に係るデータ処理装置は、
それぞれに項目値が記述されている３つ以上の項目が含まれるデータを記憶するデータ記憶部と、
前記データに含まれる項目のうち、相互に分離すべき２つ以上の項目を分離対象項目として選択する項目選択部と、
分離対象項目ごとに、前記データに含まれる項目のうち分離対象項目でない項目の項目値と分離対象項目の項目値とを組み合わせた部分データを生成して、分離対象項目の個数分の部分データを生成する部分データ生成部と、
前記部分データ生成部により生成された２つ以上の部分データを、それぞれ異なるデータベースに格納する部分データ格納部とを有することを特徴とする。
【発明の効果】
【００１０】
本発明によれば、個人情報に関連する２つ以上の項目を分離対象項目として選択することで、個人情報に関連する２つ以上の項目の項目値を相互に異なる部分データとすることができ、異なるデータベースに格納することができる。
このため、個人情報を保護することができる。
また、部分データ内の分離対象項目の項目値と分離対象項目でない項目の項目値とを組み合わせたきめ細かなデータ分析を行うことができ、また、部分データは、分割前のデータの一部であるため、データ分析の際の処理の負荷を低く抑えることができる。
また、部分データを、分散して異なるデータベースに格納するため、大量のデータを保管することができる。
【図面の簡単な説明】
【００１１】
【図１】実施の形態１に係るシステム構成例を示す図。
【図２】実施の形態１に係るデータ分散サーバ装置の構成例を示す図。
【図３】実施の形態１に係るログデータの例を示す図。
【図４】実施の形態１に係るデータ分散サーバ装置の動作例を示すフローチャート図。
【図５】実施の形態１に係る部分ログデータの例を示す図。
【図６】実施の形態１に係る部分ログデータの例を示す図。
【図７】実施の形態１に係る部分分析装置の動作例を示すフローチャート図。
【図８】実施の形態１に係る部分分析結果の例を示す図。
【図９】実施の形態１に係るデータ分散サーバ装置のハードウェア構成例を示す図。
【発明を実施するための形態】
【００１２】
実施の形態１．
本実施の形態では、データベース分野において、大量のデータを保管でき、データ分析の際の処理の負荷を低減させることができ、また、個人情報を保護することができる構成を説明する。
【００１３】
本実施の形態では、説明を容易にするために、病院におけるログ管理システムへ適用した場合を想定して説明する。
ただし、他のシステムであってももちろんよい。
【００１４】
はじめに図１を用いて、本実施の形態におけるシステム構成を述べる。
【００１５】
図１において、データ管理対象システム１００は、データ管理の対象となるシステムを抽象的に表したものである。
これは例えば病院の情報システム全体である。
データ管理対象システム１００の内部には、電子カルテなどのデータファイルを格納するファイルサーバ装置１０１や、医師や看護師の病院への入退室を管理する入退室管理サーバ装置１０２などがあり、これらは各サーバ装置のログデータを収集するデータ収集サーバ装置１０３に接続されている。
また、データ収集サーバ装置１０３は、データ分散サーバ装置１０４に接続されている。
ここで、データ分散サーバ装置１０４は、後述する方法に従って、アクセスログや入退室ログなど個人情報が含まれるログデータを複数のサブデータベースへ分割保管する処理を行うサーバ装置である。
データ分散サーバ装置１０４は、データ処理装置の例に相当する。
【００１６】
図１において、データ分散保管分析システム１１０は、ログデータの分散保管やログデータの分析を行うシステムである。
これは例えば、病院から委託を受けたクラウドサービス提供会社のシステムである。
データ分散保管分析システム１１０の内部は、複数のデータ分散保管分析サブシステムに分かれている。
各サブシステムは、分割されたログデータを保管するサブデータベース（サブＤＢ）１１１や、ログデータの部分分析を行う部分分析装置１１４から構成されている。
また、データ分散保管分析システム１１０には分析結果集計サーバ装置１１７がある。
分析結果集計サーバ装置１１７は、各サブシステムで得られた部分分析結果を集計し、ログデータ全体としての分析結果をまとめるサーバ装置である。
なお、データ分散保管分析システム１１０は、データベースシステムの例に相当する。
【００１７】
図１において、データ監視システム１２０は、ログデータを監視するためのシステムを抽象的に表したものである。
これは例えば病院内の情報システム部門である。
データ監視システム１２０の内部には、分析結果から定期レポートを作成したり、分析結果に基づいて医師や看護師の不審な行動（例えば自分の担当外であるはずの有名人の電子カルテを閲覧する行為）を発見したりする役割を果たすデータ監視サーバ装置１２１がある。
【００１８】
なお、以下では、主に、データ分散サーバ装置１０４、部分分析装置１１４〜１１６、および分析結果集計サーバ装置１１７について説明を行う。
【００１９】
次に、図２を用いて、データ分散サーバ装置１０４の内部構成例について述べる。
【００２０】
図２において、識別子・準識別子判断部２０１は、データの中で識別子および準識別子と呼ばれる属性（項目）を判断する。
識別子・準識別子判断部２０１は、項目選択部の例に相当する。
なお、識別子・準識別子判断部２０１の詳細は、後述する。
また、識別子および準識別子についても、図３の典型的なデータ例の説明の中で詳しく説明する。
【００２１】
データ分割部２０２は、識別子・準識別子判断部の判断に基づいてデータを分割する。
データ分割部２０２は、部分データ生成部の例に相当する。
データ分割部２０２の詳細も、後述する。
なお、データ分割部２０２により分割された後のデータを、部分データ又は部分ログデータという。
【００２２】
識別子暗号化部２０３は、分割されたデータのうち識別子と呼ばれる部分を暗号化する。
識別子暗号化部２０３は、秘匿化部の例に相当する。
識別子暗号化部２０３の詳細も、後述する。
【００２３】
データ記憶部２０４は、データ分割の元となるデータを記憶する。
【００２４】
入力部２０５は、データ記憶部２０４が記憶するデータをデータ収集サーバ装置１０３から入力する。
また、入力部２０５は、システム管理者等からの指示コマンドを入力する。
【００２５】
出力部２０６は、データ分割部２０２により分割された複数の部分データを、それぞれ、データ分散保管分析システム１１０内の異なるサブＤＢに格納する。
出力部２０６は、部分データ格納部の例に相当する。
【００２６】
次に、図３を用いて、典型的なデータの例を述べる。
【００２７】
図３は、病院におけるログ管理システムでのログデータ３０１の例である。
データは３つ以上の属性（項目）からなっている。
図３では、ログデータ３０１は、「日時」、「医師ＩＤ」、「操作履歴」、「操作結果」からなっており、このうち「操作結果」はより詳細に「患者氏名」、「年齢」、「病棟」、「病名」からなっている。
そして、医師が何らかの操作を行うたびに行が追加される。
例えば電子カルテの閲覧や記入により行が追加される。
【００２８】
図３において、「患者氏名」は、患者を基本的に一意に特定できる情報（ＩＤ（Ｉｄｅｎｔｉｆｉｅｒ）値）である。
例えば、病院の中で「鈴木一郎」といえば、多くの場合ただ一人を指している。
もちろん同姓同名の人物がいる可能性もあるが、それでも不特定多数を指すわけではなく極めて狭い範囲の人物に特定される。
このように、個人を一意に特定できる属性（項目）を識別子と呼ぶ。
すなわち、「患者氏名」は識別子である。
識別子として扱われる属性（項目）は、ＩＤ値項目に相当する。
そして、識別子として扱われる属性（項目）は、秘匿化すべき項目であり、秘匿化対象項目に相当する。
【００２９】
一方、図３において、「年齢」、「病棟」、「病名」は、それぞれ単独では患者を一意に特定できる情報にはならない。
例えば、年齢が５１歳の患者は中規模の病院であれば複数いると考えられるし、２棟の病棟にも通常は複数の患者がいると考えられるし、また肺ガンの患者も中規模の病院であれば複数いると考えられる。
ところが、これらの組合せ、すなわち、例えば２棟にいる５１歳の患者となると、患者を一意に特定できる情報になりうる。
同様に、２棟にいる肺ガンの患者も患者を一意に特定できる情報になりうる。
同様に、５１歳の肺ガン患者も患者を一意に特定できる情報になりうる。
このように、単独では個人を一意に特定できないが、組み合わせることで個人を一意に特定できる情報になりうるような属性を準識別子と呼ぶ。
すなわち、「年齢」、「病棟」、「病名」は準識別子である。
準識別子の値は、識別子である「患者氏名」が対象としている患者の特性を表す特性値である。
また、準識別子として扱われる属性（項目）は、同一のデータに含まれていると個人が一意に特定される可能性があるため、相互に分離して管理すべきである。
準識別子として扱われる属性（項目）は、特性値項目及び分離対象項目に相当する。
【００３０】
図３において、識別子、準識別子以外の情報、すなわち、日時、医師ＩＤ、操作履歴については、患者を一意に特定できる情報にはならない。
このような情報をその他の属性と呼ぶ。
なお、ここで医師ＩＤは患者を一意に特定できることにはならないが、医師を一意に特定できることにはなる。
ただし、個人情報の保護の対象は患者であり、このため、ここでは患者の一意特定の有無にのみ着目しており、医師の一意特定の有無には着目していないため、医師ＩＤはその他の属性として扱う。
このように、識別子、準識別子、その他の属性の決め方は、着目している個人情報に依存する。
なお、その他の属性として扱われる属性（項目）は、通常項目に相当する。
【００３１】
次に、図４を用いて、データ分散サーバ装置１０４上で、図３のようなデータを複数のサブデータベースに分散保管する手順について説明する。
なお、前提として、データはデータ収集サーバ装置１０３を通じて図３のような形式ですでに取得されているものとする。
つまり、データ分散サーバ装置１０４の入力部２０５がデータ収集サーバ装置１０３からログデータ３０１を入力し、データ記憶部２０４が図３の形式にてログデータ３０１を記憶しているものとする。
【００３２】
図４は、データ分散サーバ装置１０４上で、図３のようなログデータを複数のサブデータベースに分散保管する手順を説明するフローチャートである。
【００３３】
図４において、まずステップＳ４０１にて、識別子・準識別子判断部２０１が図３のデータの各属性のうち、識別子および準識別子を判断する。
これには機械的に判断する方法とシステム管理者などの人が指定する方法がある。
機械的に判断する方法は、例えば非特許文献１に示されているのでここでは割愛する。
一方、システム管理者などの人が指定する方法は、実際のデータの属性に基づいて判断し指定する。
属性の種類はデータ管理対象システム１００の設計時に決まっているものであり、またどのような情報が一意に特定されるべきでない情報であるかは、上述の通り着目している個人情報に依存するため、実際の使用用途などを勘案して判断し指定する。
【００３４】
次に、ステップＳ４０２にて、データ分割部２０２が、データのうち、その他の属性と識別子１だけからなる部分ログデータを作成する。
図３の例で言えば、「日時」、「医師ＩＤ」、「操作履歴」、「患者氏名」だけからなる部分ログデータ（第１の部分データ）を作成する。
【００３５】
次に、ステップＳ４０３にて、データ分割部２０２が、データのうち、その他の属性と準識別子１だけからなる部分ログデータ（第２の部分データ）を作成する。
図３の例で言えば、「日時」、「医師ＩＤ」、「操作履歴」、「年齢」だけからなる部分ログデータを作成する。
これを各準識別子について繰り返し、ステップＳ４０５にて、データ分割部２０２は、データのうち、その他の属性と識別子３だけからなる部分ログデータ（第２の部分データ）を作成する。
図３の例で言えば、「日時」、「医師ＩＤ」、「操作履歴」、「病名」だけからなる部分ログデータを作成する。
【００３６】
次に、ステップＳ４０６にて、識別子暗号化部２０３が、識別子を暗号化する。
つまり、ステップＳ４０２で生成された部分ログデータ中の識別子の値を暗号化する。
この際の暗号化鍵はデータ管理対象システム１００内で管理しておくものとする。
【００３７】
最後に、ステップＳ４０７にて、出力部２０６が、各部分ログデータを各サブデータベースに送信する。
つまり、出力部２０６は、各部分データを、相互に異なるサブデータベースに格納する。
【００３８】
このように、データ分散サーバ装置１０４において、識別子・準識別子判断部２０１が、ログデータ３０１に含まれる属性のうち、秘匿化すべき属性を識別子として選択し、また、相互に分離すべき２つ以上の属性を準識別子として選択する。
データ分割部２０２は、その他の属性と識別子とを組み合わせた部分データ（第１の部分データ）を生成する。
また、データ分割部２０２は、準識別子ごとに、その他の属性と準識別子とを組み合わせた部分データ（第２の部分データ）を生成する。
更に、識別子暗号化部２０３が、識別子の値を暗号化する。
そして、このようにして生成された２つ以上の部分データを、出力部２０６が、それぞれ異なるサブデータベースに格納する。
【００３９】
なお、図４では識別子が１つだけの場合を示したが、識別子が複数ある場合には、ステップＳ４０２を識別子の数だけ繰り返して識別子の数だけの部分データを作成する構成としてもよい。
また、複数の識別子全体をひとつの識別子と捉えて、図４のように１度だけ行い１つの大きな部分データを作成する構成としてもよい。
前者の構成とすれば、識別子の種類ごとに暗号化鍵を変えることで、後述のようにデータ監視サーバ装置１２１上で医師の不審な行動を発見しさらなる追跡を行う際、データ監視システム管理者に開示する情報を細かく制御できるという利点がある。
また、後者の構成とすれば、サブデータベースの数を減らせるという利点がある。
【００４０】
図５は、図４の処理によって作成される部分データの一例を示した図である。
【００４１】
図５において、「患者氏名」は識別子のため、値が暗号化されている。
また、準識別子の情報は取り除かれている。
そして、この部分ログデータ５０１は図４の処理によって例えばサブデータベース１へ格納される。
【００４２】
図６は、同じく図４の処理によって作成される部分データの一例を示した図である。
【００４３】
図６において、各部分データでは、その他の属性以外に１つの準識別子のみが現れている。
そして、図４の処理によって、例えば部分ログデータ６０１はサブデータベース２へ、部分ログデータ６０２はサブデータベース３へ、部分ログデータ６０３はサブデータベース４へ、それぞれ格納される。
【００４４】
次に、図７を用いて、部分分析装置１１４、１１５、１１６における部分分析の方法の一例を説明する。
なお、以下では、部分分析装置１１４の動作として説明するが、部分分析装置１１５、１１６の動作も同様である。
【００４５】
図７は、部分分析装置１１４における部分分析の手順を示したフローチャートである。
【００４６】
図７にて、部分分析装置１１４は、はじめにステップＳ７０１にて識別子、準識別子、その他の属性を指定する。
これはデータ分散サーバ装置１０４上でのデータ分散時にすでに指定されたものであるので、あらかじめデータ分散サーバ装置１０４から受け取った識別子、準識別子、その他の属性の情報を利用する。
次に、ステップＳ７０２にて、部分分析装置１１４は、準識別子が含まれているかを判断する。
もし準識別子が含まれている場合には、ステップＳ７０３にて、その他の属性と準識別子の組合せから統計情報を抽出する。
もし準識別子が含まれていない場合には、部分分析装置１１４は、ステップＳ７０４にて、その他の属性から統計情報を抽出する。
そして、部分分析装置１１４は、ステップＳ７０５にて、抽出した統計情報を分析結果集計サーバ装置１１７に送信し終了する。
【００４７】
図７の手順の中で、ステップＳ７０３やステップＳ７０４における統計情報の抽出方法は、データの内容やデータ監視システム１２０の管理者の要望によって異なってくる。
図８は、この統計情報の抽出結果の一例を示した図である。
【００４８】
図８において、サブシステム１の部分分析結果８０１では、医師ＩＤと操作履歴から、１２／０３／２６午後における医師ごとの操作数と操作種類が統計情報として得られている。
これは、図５の部分ログデータにおいて、「日時」属性によって必要な行を取り出し、その上で「医師ＩＤ」と「操作履歴」から統計を取ることで得られる。
サブシステム２の部分分析結果８０２では、１２／０３／２６午後における入院患者数が統計情報として得られている。
これは、図６の部分ログデータ６０１において、「日時」属性によって必要な行を取り出し、さらに「操作履歴」から「カルテ作成」を絞り込み、その上で「年齢」から入院患者の年代を抽出することで得られる。
サブシステム３の部分分析結果８０３では、各病棟とその病棟にいる患者のカルテの閲覧回数が統計情報として得られている。
これは、図６の部分ログデータ６０２において、「日時」属性によって必要な行を取り出し、さらに「病棟」属性を見ることによって得られる。
サブシステム４の部分分析結果８０４では、医師ＩＤと担当患者の疾患種が統計情報として得られている。
これは、図６の部分ログデータ６０３において、「日時」属性によって必要な行を取り出し、その上で「医師ＩＤ」と「病名」から統計を取ることで得られる。
【００４９】
図７の手順で得られた図８のような部分分析結果は、分析結果集計サーバ装置１１７にて集計され、データ監視サーバ装置１２１へ送られる。
【００５０】
データ監視サーバ装置１２１では、受け取った部分分析結果から、次のようなことがわかる。
１２／０３／２６午後には、４人の医師がカルテの閲覧や作成を行っている。
入院患者は７０代の１名だけである。
【００５１】
さらに、データ監視サーバ装置１２１では、受け取った部分分析結果から、例えば次のようなこともわかる。
この病院では、通常深夜に電子カルテを閲覧するような医療行為は発生しないものとする。
その場合、部分分析結果１から、１２／０３／２６午後に医師「ＦＧ８２０９６」が不正な閲覧を２回行っていたことが分かる。
また、この医師「ＦＧ８２０９６」は心疾患の患者を担当したことになっているが、もしこの医師「ＦＧ８２０９６」が本来は精神科の医師であった場合には、ますますこの履歴が本来あるべき医療行為でないことが明らかになる。
【００５２】
このように、不正な挙動が発見された場合、データ監視システム１２０の管理者は、各サブデータベースから当該日時のログデータを収集することによってさらに調査することもできる。
また、データ管理対象システム１００内に保管されている鍵を受け取って識別子のデータを復号することにより、さらに患者氏名を調べることもできる。
【００５３】
以上、本実施の形態に係るシステムを説明した。
以上のような構成とすれば、図３のような大きなデータを図５や図６のような小さな部分データに分割して複数のサブデータベースに格納するため、大量のデータを保管することができるという効果がある。
【００５４】
また、各サブデータベースでは、小さな部分データに関してのみ分析して統計情報を得ればよいので、データ分析の際の処理の負荷を低減できるという効果がある。
【００５５】
また、分析結果集計サーバ装置は部分データそのものではなく統計情報を集計する。
そのため、データ分散保管分析システム内の通信量は小さい。
したがって、データ集計の際の通信量を低減できるという効果がある。
【００５６】
また、部分データ内の準識別子の値とその他の属性の値とを組み合わせたきめ細かなデータ分析を行うことができる。
【００５７】
また、各サブデータベースでは、識別子は暗号化されており、また準識別子は分割されているため、部分データだけでは個人を一意に特定できないことから、個人情報を保護できるという効果がある。
【００５８】
以上、本発明について実施の形態を説明した。
しかし、本発明はこの実施の形態のみに限定されるものではなく、当業者であれば様々な応用が可能であることは明らかである。
例えば、サブシステムの下にさらにサブシステムを設けるような構成としてもよいし、準識別子が個人の特定につながらない範囲で複数のサブシステムを統合する構成としてもよい。
また、データ管理対象システム内でファイルサーバ装置と入退室管理サーバ装置の両方のデータを収集してから分散する構成としたが、これを各サーバ装置で独自にデータ分散保管分析システムに保管する構成としてもよい。
【００５９】
また、本実施の形態の説明では、説明を容易にするために、病院におけるログ管理システムへ適用した場合を想定して説明した。
しかし、工場におけるログ管理システム、ビルにおけるログ管理システムなど応用範囲は極めて広い。
また、ログ管理システムだけにかぎらず、一般のデータ管理システムに応用できることは当業者であれば自明である。
【００６０】
最後に、本実施の形態に示したデータ分散サーバ装置１０４のハードウェア構成例について説明する。
図９は、本実施の形態に示すデータ分散サーバ装置１０４のハードウェア資源の一例を示す図である。
なお、図９の構成は、あくまでもデータ分散サーバ装置１０４のハードウェア構成の一例を示すものであり、データ分散サーバ装置１０４のハードウェア構成は図９に記載の構成に限らず、他の構成であってもよい。
【００６１】
図９において、データ分散サーバ装置１０４は、プログラムを実行するＣＰＵ９１１（Ｃｅｎｔｒａｌ  Ｐｒｏｃｅｓｓｉｎｇ  Ｕｎｉｔ、中央処理装置、処理装置、演算装置、マイクロプロセッサ、マイクロコンピュータ、プロセッサともいう）を備えている。
ＣＰＵ９１１は、バス９１２を介して、例えば、ＲＯＭ（Ｒｅａｄ  Ｏｎｌｙ  Ｍｅｍｏｒｙ）９１３、ＲＡＭ（Ｒａｎｄｏｍ  Ａｃｃｅｓｓ  Ｍｅｍｏｒｙ）９１４、通信ボード９１５、表示装置９０１、キーボード９０２、マウス９０３、磁気ディスク装置９２０と接続され、これらのハードウェアデバイスを制御する。
更に、ＣＰＵ９１１は、ＦＤＤ９０４（Ｆｌｅｘｉｂｌｅ  Ｄｉｓｋ  Ｄｒｉｖｅ）、コンパクトディスク装置９０５（ＣＤＤ）、プリンタ装置９０６、スキャナ装置９０７と接続していてもよい。また、磁気ディスク装置９２０の代わりに、ＳＳＤ（Ｓｏｌｉｄ  Ｓｔａｔｅ  Ｄｒｉｖｅ）、光ディスク装置、メモリカード（登録商標）読み書き装置などの記憶装置でもよい。
ＲＡＭ９１４は、揮発性メモリの一例である。ＲＯＭ９１３、ＦＤＤ９０４、ＣＤＤ９０５、磁気ディスク装置９２０の記憶媒体は、不揮発性メモリの一例である。これらは、記憶装置の一例である。
本実施の形態で説明した「データ記憶部２０４」は、ＲＡＭ９１４、磁気ディスク装置９２０等により実現される。
通信ボード９１５、キーボード９０２、マウス９０３、スキャナ装置９０７などは、入力装置の一例である。
また、通信ボード９１５、表示装置９０１、プリンタ装置９０６などは、出力装置の一例である。
【００６２】
通信ボード９１５は、ネットワークに接続されている。
例えば、通信ボード９１５は、ＬＡＮ（ローカルエリアネットワーク）、インターネット、ＷＡＮ（ワイドエリアネットワーク）、ＳＡＮ（ストレージエリアネットワーク）などに接続されている。
【００６３】
磁気ディスク装置９２０には、オペレーティングシステム９２１（ＯＳ）、ウィンドウシステム９２２、プログラム群９２３、ファイル群９２４が記憶されている。
プログラム群９２３のプログラムは、ＣＰＵ９１１がオペレーティングシステム９２１、ウィンドウシステム９２２を利用しながら実行する。
【００６４】
また、ＲＡＭ９１４には、ＣＰＵ９１１に実行させるオペレーティングシステム９２１のプログラムやアプリケーションプログラムの少なくとも一部が一時的に格納される。
また、ＲＡＭ９１４には、ＣＰＵ９１１による処理に必要な各種データが格納される。
【００６５】
また、ＲＯＭ９１３には、ＢＩＯＳ（Ｂａｓｉｃ  Ｉｎｐｕｔ  Ｏｕｔｐｕｔ  Ｓｙｓｔｅｍ）プログラムが格納され、磁気ディスク装置９２０にはブートプログラムが格納されている。
データ分散サーバ装置１０４の起動時には、ＲＯＭ９１３のＢＩＯＳプログラム及び磁気ディスク装置９２０のブートプログラムが実行され、ＢＩＯＳプログラム及びブートプログラムによりオペレーティングシステム９２１が起動される。
【００６６】
上記プログラム群９２３には、本実施の形態の説明において「〜部」（「データ記憶部２０４」以外、以下同様）として説明している機能を実行するプログラムが記憶されている。プログラムは、ＣＰＵ９１１により読み出され実行される。
【００６７】
ファイル群９２４には、本実施の形態の説明において、「〜の判断」、「〜の生成」、「〜の作成」、「〜の暗号化」、「〜の設定」、「〜の選択」、「〜の入力」、「〜の出力」等として説明している処理の結果を示す情報やデータや信号値や変数値が、ディスクやメモリなどの記憶媒体にファイルとして記憶されている。
また、暗号鍵・復号鍵や乱数値やパラメータが、ディスクやメモリなどの記憶媒体にファイルとして記憶されてもよい。
「〜ファイル」や「〜データベース」は、ディスクやメモリなどの記憶媒体に記憶される。
ディスクやメモリなどの記憶媒体に記憶された情報やデータや信号値や変数値やパラメータは、読み書き回路を介してＣＰＵ９１１によりメインメモリやキャッシュメモリに読み出される。
そして、読み出された情報やデータや信号値や変数値やパラメータは、抽出・検索・参照・比較・演算・計算・処理・編集・出力・印刷・表示などのＣＰＵの動作に用いられる。
抽出・検索・参照・比較・演算・計算・処理・編集・出力・印刷・表示のＣＰＵの動作の間、情報やデータや信号値や変数値やパラメータは、メインメモリ、レジスタ、キャッシュメモリ、バッファメモリ等に一時的に記憶される。
また、本実施の形態で説明しているフローチャートの矢印の部分は主としてデータや信号の入出力を示す。
データや信号値は、ＲＡＭ９１４のメモリ、ＦＤＤ９０４のフレキシブルディスク、ＣＤＤ９０５のコンパクトディスク、磁気ディスク装置９２０の磁気ディスク、その他光ディスク、ブルーレイ（登録商標）ディスク、ＤＶＤ等の記憶媒体に記録される。
また、データや信号は、バス９１２や信号線やケーブルその他の伝送媒体によりオンライン伝送される。
【００６８】
また、本実施の形態の説明において「〜部」として説明しているものは、「〜回路」、「〜装置」、「〜機器」であってもよく、また、「〜ステップ」、「〜手順」、「〜処理」であってもよい。
すなわち、本実施の形態で説明したフローチャートに示すステップ、手順、処理により、本発明に係る「データ処理方法」を実現することができる。
また、「〜部」として説明しているものは、ＲＯＭ９１３に記憶されたファームウェアで実現されていても構わない。
或いは、ソフトウェアのみ、或いは、素子・デバイス・基板・配線などのハードウェアのみ、或いは、ソフトウェアとハードウェアとの組み合わせ、さらには、ファームウェアとの組み合わせで実施されても構わない。
ファームウェアとソフトウェアは、プログラムとして、磁気ディスク、フレキシブルディスク、光ディスク、コンパクトディスク、ブルーレイ（登録商標）ディスク、ＤＶＤ等の記憶媒体に記憶される。
プログラムはＣＰＵ９１１により読み出され、ＣＰＵ９１１により実行される。
すなわち、プログラムは、本実施の形態の「〜部」としてコンピュータを機能させるものである。あるいは、本実施の形態の「〜部」の手順や方法をコンピュータに実行させるものである。
【００６９】
このように、本実施の形態に示すデータ分散サーバ装置１０４は、処理装置たるＣＰＵ、記憶装置たるメモリ、磁気ディスク等、入力装置たるキーボード、マウス、通信ボード等、出力装置たる表示装置、通信ボード等を備えるコンピュータである。
そして、上記したように「〜部」として示された機能をこれら処理装置、記憶装置、入力装置、出力装置を用いて実現するものである。
【符号の説明】
【００７０】
１００  データ管理対象システム、１０１  ファイルサーバ装置、１０２  入退室管理サーバ装置、１０３  データ収集サーバ装置、１０４  データ分散サーバ装置、１１０  データ分散保管分析システム、１１１  サブＤＢ１、１１２  サブＤＢ２、１１３  サブＤＢｎ、１１４  部分分析装置、１１５  部分分析装置、１１６  部分分析装置、１１７  分析結果集計サーバ装置、１２０  データ監視システム、１２１  データ監視サーバ装置、２０１  識別子・準識別子判断部、２０２  データ分割部、２０３  識別子暗号化部、２０４  データ記憶部、２０５  入力部、２０６  出力部。
【図１】
2014026305.tif 000003
【図２】
2014026305.tif 000004
【図３】
2014026305.tif 000005
【図４】
2014026305.tif 000006
【図５】
2014026305.tif 000007
【図６】
2014026305.tif 000008
【図７】
2014026305.tif 000009
【図８】
2014026305.tif 000010
【図９】
2014026305.tif 000011