(57)【要約】【課題】個人に関するデータの漏洩の可能性をより低減させることを目的とする。【解決手段】指定条件を満たす人物に関する指定項目のデータの要求を受付け、受付けられた要求に応じて、記憶部に個人に関するデータが記憶されている複数の人物の中から、指定条件を満たす人物を特定人物として特定し、特定された前記特定人物の数に基づいて、記憶部に記憶された特定人物に関する指定項目のデータである特定データの提供に際し特定人物の合意を要するか否かを決定し、特定データの提供に際し特定人物の合意を要しないことが決定された場合、要求元に特定データを提供し、特定データの提供に際し特定人物の合意を要することが決定され、特定人物の合意がある場合にも、要求元に特定データを提供する。【選択図】図５
2019049910.tif 000002
【特許請求の範囲】
【請求項１】
指定条件を満たす人物に関する指定項目のデータの要求を受付ける受付手段と、
前記受付手段により受付けられた前記要求に応じて、記憶部に個人に関するデータが記憶されている複数の人物の中から、前記指定条件を満たす人物を特定人物として特定する特定手段と、
前記特定手段により特定された前記特定人物の数に基づいて、前記記憶部に記憶された前記特定人物に関する前記指定項目のデータである特定データの提供に際し前記特定人物の合意を要するか否かを決定する第１の決定手段と、
前記第１の決定手段により前記特定データの提供に際し前記特定人物の合意を要しないことが決定された場合、前記要求の要求元に前記特定データを提供し、前記第１の決定手段により前記特定データの提供に際し前記特定人物の合意を要することが決定され、前記特定人物の合意がある場合にも、前記要求元に前記特定データを提供する提供手段と、
を有するシステム。
【請求項２】
前記第１の決定手段は、前記特定手段により特定された前記特定人物の数と第１の閾値とに基づいて、前記特定データの提供に際し前記特定人物の合意を要するか否かを決定する請求項１記載のシステム。
【請求項３】
前記第１の決定手段は、前記特定手段により特定された前記特定人物の数が前記第１の閾値以上である場合、前記特定データの提供に際し前記特定人物の合意を要しないと決定し、前記特定人物の数が前記第１の閾値未満である場合、前記特定データの提供に際し前記特定人物の合意を要すると決定する請求項２記載のシステム。
【請求項４】
前記第１の決定手段は、前記特定手段により特定された前記特定人物の数と、前記第１の閾値を含む複数の閾値と、に基づいて、前記特定データの提供に際し前記特定人物の合意を要するか否かを決定する請求項２又は３記載のシステム。
【請求項５】
前記第１の決定手段は、前記特定手段により特定された前記特定人物の数が前記第１の閾値以上である場合、前記特定データの提供に際し前記特定人物の合意を要しないと決定し、前記特定人物の数が前記第１の閾値未満であり前記第１の閾値よりも小さい前記複数の閾値に含まれる第２の閾値以上である場合、前記特定データの提供に際し前記特定人物の事前の合意を要すると決定し、前記特定人物の数が前記第２の閾値未満である場合、前記特定データの提供に際し前記特定人物の改めての合意を要すると決定し、
前記第１の決定手段により前記特定データの提供に際し前記特定人物の改めての合意を要することが決定された場合、前記特定データの前記要求元への提供に合意するか否かの問合せを、前記特定人物に行う問合手段を更に有し、
前記提供手段は、前記第１の決定手段により前記特定データの提供に際し前記特定人物の合意を要しないことが決定された場合、前記要求元に前記特定データを提供し、前記第１の決定手段により前記特定データの提供に際し前記特定人物の事前の合意を要することが決定され、前記特定人物の事前の合意がある場合にも、前記要求元に前記特定データを提供し、前記第１の決定手段により前記特定データの提供に際し前記特定人物の改めての合意を要することが決定され、前記問合手段による問合せに応じて前記特定人物の合意が得られた場合にも、前記要求元に前記特定データを提供する請求項４記載のシステム。
【請求項６】
前記特定データのうち前記指定項目について予め定められた範囲に含まれるデータの数と、前記指定項目について予め定められた第３の閾値と、に基づいて、前記特定データから、前記予め定められた範囲に含まれるデータに対応する人物のデータを除外するか否かを決定する第２の決定手段と、
前記第２の決定手段により前記特定データから前記予め定められた範囲に含まれるデータを除外することが決定された場合、前記特定データから前記予め定められた範囲から外れたデータを除外する除外手段と、
を更に有し、
前記提供手段は、前記第１の決定手段により前記特定データの提供に際し前記特定人物の合意を要しないことが決定され、前記第２の決定手段により前記特定データから前記予め定められた範囲に含まれるデータを除外することが決定された場合、前記要求元に前記除外手段によりデータが除外された前記特定データを提供し、前記第１の決定手段により前記特定データの提供に際し前記特定人物の合意を要することが決定され、前記特定人物の合意があり、前記第２の決定手段により前記特定データから前記予め定められた範囲に含まれるデータを除外することが決定される場合にも、前記要求元に前記除外手段によりデータが除外された前記特定データを提供する請求項１乃至５何れか１項記載のシステム。
【請求項７】
前記提供手段は、更に、前記要求元に前記特定データへのアクセスが許可されている場合、前記要求元に前記特定データを提供する請求項１乃至６何れか１項記載のシステム。
【請求項８】
前記提供手段は、前記要求元に前記特定データを提供する際に、併せて、前記要求元に前記特定人物のオープンＩＤを提供する請求項１乃至７何れか１項記載のシステム。
【請求項９】
前記指定条件は、人物の特定に関与する人物の属性として予め定められた項目に関する条件である請求項１乃至８何れか１項記載のシステム。
【請求項１０】
指定条件を満たす人物に関する指定項目のデータの要求を受付ける受付手段と、
前記受付手段により受付けられた前記要求に応じて、記憶部に個人に関するデータが記憶されている複数の人物の中から、前記指定条件を満たす人物を特定人物として特定する特定手段と、
前記特定手段により特定された前記特定人物の数に基づいて、前記記憶部に記憶された前記特定人物に関する前記指定項目のデータである特定データの提供に際し前記特定人物の合意を要するか否かを決定する第１の決定手段と、
前記第１の決定手段により前記特定データの提供に際し前記特定人物の合意を要しないことが決定された場合、前記要求の要求元に前記特定データを提供し、前記第１の決定手段により前記特定データの提供に際し前記特定人物の合意を要することが決定され、前記特定人物の合意がある場合にも、前記要求元に前記特定データを提供する提供手段と、
を有する情報処理装置。
【請求項１１】
システムが実行する情報処理方法であって、
指定条件を満たす人物に関する指定項目のデータの要求を受付ける受付ステップと、
前記受付ステップで受付けられた前記要求に応じて、記憶部に個人に関するデータが記憶されている複数の人物の中から、前記指定条件を満たす人物を特定人物として特定する特定ステップと、
前記特定ステップで特定された前記特定人物の数に基づいて、前記記憶部に記憶された前記特定人物に関する前記指定項目のデータである特定データの提供に際し前記特定人物の合意を要するか否かを決定する決定ステップと、
前記決定ステップで前記特定データの提供に際し前記特定人物の合意を要しないことが決定された場合、前記要求の要求元に前記特定データを提供し、前記決定ステップで前記特定データの提供に際し前記特定人物の合意を要することが決定され、前記特定人物の合意がある場合にも、前記要求元に前記特定データを提供する提供ステップと、
を含む情報処理方法。
【請求項１２】
コンピュータに、
指定条件を満たす人物に関する指定項目のデータの要求を受付ける受付ステップと、
前記受付ステップで受付けられた前記要求に応じて、記憶部に個人に関するデータが記憶されている複数の人物の中から、前記指定条件を満たす人物を特定人物として特定する特定ステップと、
前記特定ステップで特定された前記特定人物の数に基づいて、前記記憶部に記憶された前記特定人物に関する前記指定項目のデータである特定データの提供に際し前記特定人物の合意を要するか否かを決定する決定ステップと、
前記決定ステップで前記特定データの提供に際し前記特定人物の合意を要しないことが決定された場合、前記要求の要求元に前記特定データを提供し、前記決定ステップで前記特定データの提供に際し前記特定人物の合意を要することが決定され、前記特定人物の合意がある場合にも、前記要求元に前記特定データを提供する提供ステップと、
を実行させるためのプログラム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、システム、情報処理装置、情報処理方法及びプログラムに関する。
【背景技術】
【０００２】
個人に関するデータを蓄積しておき、データの要求を外部から受付け、蓄積したデータから要求に応じたデータを要求元に提供することが行われている。データを提供する際、個人情報等の個人に関する情報の漏洩を防止するための措置を講じられている。
個人に関するデータを提供する際に、そのデータが誰のデータであるかを分からないようにして提供することが行われている。例えば、「氏名」、「所属企業」、「誕生日」、「住所」等の個人の特定につながり得る情報として予め定められた情報について、伏せたり、暗号化したりした上で、各個人のデータが提供することが行われている。
特許文献１には、個人情報を加工処理して、ダミー情報に変換することで、情報漏洩を防止する技術が開示されている。
【先行技術文献】
【特許文献】
【０００３】
【特許文献１】特開２００６−３４３９４４号公報
【発明の概要】
【発明が解決しようとする課題】
【０００４】
ある条件を満たす個人に関するデータが要求され、その条件を満たす個人のデータを、個人の特定につながり得る情報を伏せたり、暗号化したりしたうえで提供する場合がある。
そのような場合、その条件を満たす個人の数によっては、データが誰のデータであるかを第三者に把握される可能性があるという問題がある。例えば、「住所」が地域Ａであり、「所属企業」が企業Ｂであり、「生年」がＣ年であるという条件を満たす個人が一人しかいない場合、地域Ａに住み企業Ｂに属しＣ年生まれの個人を知っている人は、提供されたデータがその個人のデータであることを把握してしまうこととなる。特許文献１では、このような場合、個人に関するデータの漏洩の可能性を低減させることができなかった。
そこで、本発明は、個人に関するデータの漏洩の可能性をより低減させることを目的とする。
【課題を解決するための手段】
【０００５】
本発明のシステムは、指定条件を満たす人物に関する指定項目のデータの要求を受付ける受付手段と、前記受付手段により受付けられた前記要求に応じて、記憶部に個人に関するデータが記憶されている複数の人物の中から、前記指定条件を満たす人物を特定人物として特定する特定手段と、前記特定手段により特定された前記特定人物の数に基づいて、前記記憶部に記憶された前記特定人物に関する前記指定項目のデータである特定データの提供に際し前記特定人物の合意を要するか否かを決定する第１の決定手段と、前記第１の決定手段により前記特定データの提供に際し前記特定人物の合意を要しないことが決定された場合、前記要求の要求元に前記特定データを提供し、前記第１の決定手段により前記特定データの提供に際し前記特定人物の合意を要することが決定され、前記特定人物の合意がある場合にも、前記要求元に前記特定データを提供する提供手段と、を有する。
【発明の効果】
【０００６】
本発明によれば、個人に関するデータの漏洩の可能性をより低減させることができる。
【図面の簡単な説明】
【０００７】
【図１】図１は、データ提供システムのシステム構成の一例を示す図である。
【図２】図２は、管理サーバ等のハードウェア構成の一例を示す図である。
【図３】図３は、管理サーバの機能構成の一例を示す図である。
【図４】図４は、管理されているデータの一例を説明する図である。
【図５】図５は、管理サーバの処理の一例を示す図である。
【発明を実施するための形態】
【０００８】
以下、本発明の実施形態について図面に基づいて説明する。
【０００９】
＜実施形態１＞
（システム構成）
図１は、本実施形態のデータ提供システムのシステム構成の一例を示す図である。
データ提供システムは、管理サーバ１００、データ提供デバイス１０１、データ要求デバイス１０２を含む。管理サーバ１００、データ提供デバイス１０１、データ要求デバイス１０２は、ネットワーク１０３を介して、相互に通信可能に接続されている。本実施形態では、データ提供システムは、データ提供デバイス１０１を複数含むとするが、１つのデータ提供デバイス１０１を含むこととしてもよい。また、本実施形態では、データ提供システムは、データ要求デバイス１０２を複数含むとするが、１つのデータ要求デバイス１０２を含むこととしてもよい。
【００１０】
管理サーバ１００は、データ提供者から提供された個人に関するデータを収集して、収集したデータを管理するパーソナルコンピュータ（ＰＣ）、サーバ装置等の情報処理装置である。個人に関するデータとは、個人を特定する個人情報や、個人の健康に関するデータ等の個人の属性を示すデータである。本実施形態では、管理サーバ１００は、個人に関するデータとして個人の健康に関するデータを収集して、収集したデータを管理するとする。本実施形態では、管理サーバ１００は、個人に関するデータを収集して、収集したデータから抽出したデータをデータの要求元に提供するサービスを行う団体に属するとする。
データ提供デバイス１０１は、管理サーバ１００にデータを提供するデータ提供者が保有するスマートホン、タブレット装置、ＰＣ等の情報処理装置である。
データ要求デバイス１０２は、管理サーバ１００に対して、データの要求を行い、データの提供を受けるＰＣ、サーバ装置、スマートホン、タブレット装置等の情報処理装置である。本実施形態では、データ要求デバイス１０２は、個人に関するデータを活用して、ビジネス・研究等を行う企業・研究所・学校等の団体に属するとする。
ネットワーク１０３は、インターネット等のネットワークである。
【００１１】
本実施形態では、管理サーバ１００は、データ提供デバイス１０１から、個人の健康に関するデータを受信し、受信したデータを、管理データとして記憶し、管理する。
そして、管理サーバ１００は、データ要求デバイス１０２から、ある条件を満たす個人の健康に関するデータの要求を受付ける。そして、管理サーバ１００は、管理データにデータが登録されている人物のうち、その条件を満たす人物を特定し、特定した人物の数に基づいて、要求に応じたデータの提供に際し、特定した人物の合意を要するか否かを決定する。管理サーバ１００は、要求に応じたデータの提供に際し、特定した人物の合意を要しないと決定した場合、要求元に要求に応じたデータを提供する。管理サーバ１００は、要求に応じたデータの提供に際し、特定した人物の合意を要すると決定した場合、特定した人物の合意が得られたことを条件に、要求元に要求に応じたデータを提供する。
【００１２】
（データ提供システムの各要素のハードウェア構成）
図２（ａ）は、管理サーバ１００のハードウェア構成の一例を示す図である。
管理サーバ１００は、ＣＰＵ２０１、主記憶装置２０２、補助記憶装置２０３、ネットワークＩ／Ｆ２０４を含む。各要素は、システム２０５を介して、相互に通信可能に接続されている。
ＣＰＵ２０１は、管理サーバ１００を制御する中央演算装置である。主記憶装置２０２は、ＣＰＵ２０１のワークエリアやデータの一時的な記憶場所として機能する記憶装置である。主記憶装置２０２は、Ｒａｎｄｏｍ  Ａｃｃｅｓｓ  Ｍｅｍｏｒｙ（ＲＡＭ）等の記憶媒体を用いて実装される。補助記憶装置２０３は、各種プログラム、各種設定情報、データ提供者から提供された各種データ、各種閾値の情報等を記憶する記憶装置である。補助記憶装置２０３は、Ｒｅａｄ  Ｏｎｌｙ  Ｍｅｍｏｒｙ（ＲＯＭ）、ハードディスクドライブ（ＨＤＤ）、ソリッドステートドライブ（ＳＳＤ）等の記憶媒体を用いて実装される。補助記憶装置２０３は、管理サーバ１００の記憶部の一例である。ネットワークＩ／Ｆ２０４は、データ提供デバイス１０１、データ要求デバイス１０２等の外部の装置とのネットワーク１０３を介した通信に用いられるインターフェースである。
【００１３】
ＣＰＵ２０１が、補助記憶装置２０３に記憶されたプログラムに基づき処理を実行することで、図３で後述する管理サーバ１００の機能、図５で後述するフローチャートの処理等が実現される。
本実施形態では、データ要求デバイス１０２のハードウェア構成は、図２（ａ）で示したハードウェア構成と同様であるとする。データ要求デバイス１０２のＣＰＵが、データ要求デバイス１０２の補助記憶装置に記憶されたプログラムに基づき処理を実行することで、データ要求デバイス１０２の機能、データ要求デバイス１０２の処理が実現される。
【００１４】
図２（ｂ）は、データ提供デバイス１０１のハードウェア構成の一例を示す図である。
データ提供デバイス１０１は、ＣＰＵ２１１、主記憶装置２１２、補助記憶装置２１３、センサ部２１４、デバイスＩ／Ｆ２１５、入力部２１６、ネットワークＩ／Ｆ２１７を含む。各要素は、システムバス２１８を介して、相互に通信可能に接続されている。
ＣＰＵ２１１は、データ提供デバイス１０１を制御する中央演算装置である。主記憶装置２１２は、ＣＰＵ２１１のワークエリアやデータの一時的な記憶場所として機能する記憶装置である。主記憶装置２１２は、ＲＡＭ等の記憶媒体を用いて実装される。補助記憶装置２１３は、各種プログラム、各種設定情報、管理サーバ１００に提供する各種データ等を記憶する記憶装置である。補助記憶装置２１３は、ＲＯＭ、ＨＤＤ、ＳＳＤ等の記憶媒体を用いて実装される。
【００１５】
センサ部２１４は、データ提供者の歩数等を検知する加速度センサや、画像を撮影する撮像素子等のセンサを含むセンサ部である。デバイスＩ／Ｆ２１５は、データ提供者の健康情報（例えば、脈拍、血圧、体脂肪率等の情報）を検知するセンサを含むデバイス（例えば、脈拍計、血圧計等）との間での情報の入出力に用いられるインターフェースである。ＣＰＵ２１１は、デバイスＩ／Ｆ２１５を介して、データ提供者の健康情報を検知するセンサを含むデバイスから、データ提供者の健康情報を取得する。
入力部２１６は、データ提供者等のユーザによるデータ提供デバイスへの情報の入力に用いられるタッチパネルやハードボタン等の入力部である。ＣＰＵ２１１は、データ提供者による入力部２１６を介して操作に基づいて、データ提供者に関する情報（例えば、氏名、住所、性別、所属企業、家族構成等のデータや健康に関するデータ等）の入力を受付ける。ネットワークＩ／Ｆ２１７は、管理サーバ１００等の外部の装置とのネットワーク１０３を介した通信に用いられるインターフェースである。
ＣＰＵ２１１が、補助記憶装置２１３に記憶されたプログラムに基づき処理を実行することで、データ提供デバイス１０１の機能、データ提供デバイス１０１の処理が実現される。
【００１６】
（管理サーバの機能構成）
図３は、管理サーバ１００の機能構成の一例を示す図である。管理サーバ１００は、受付部３０１、データ管理部３０２、判定部３０３、送信部３０４を含む。
受付部３０１は、データ提供デバイス１０１等から送信される個人に関するデータやデータ要求デバイス１０２から送信されるデータの要求を受付ける。データ管理部３０２は、データ提供デバイス１０１等から送信された個人に関するデータを、補助記憶装置２０３に記憶し管理し、データ要求デバイス１０２からの要求に応じたデータを管理しているデータから抽出する。以下では、データ管理部３０２が管理するデータを管理データとする。判定部３０３は、受付部３０１により受付けられた要求に応じてデータ管理部３０２により抽出されたデータを、要求元に提供するか否かを判定する。送信部３０４は、判定部３０３により要求元に提供すると判定されたデータを、要求元に送信する。
【００１７】
（管理データの詳細）
図４は、管理サーバ１００が管理する個人に関するデータの一例を説明する図である。
本実施形態では、データ管理部３０２は、データ提供デバイス１０１等から取得した個人に関するデータを複数の区分に分けて、区分毎に補助記憶装置２０３に記憶して、管理する。データ管理部３０２は、例えば、個人に関するデータを、図４に示すような６つの区分に分けて管理する。
６つの区分のそれぞれは、人物毎にまとめられた複数の項目の情報の組を含む。各区分には、人物毎に決定された識別情報である内部連携ＩＤを示す項目が含まれる。同一の内部連携ＩＤに対応する各区分の項目の情報それぞれは、その内部連携ＩＤに対応する人物の情報となる。そのため、データ管理部３０２は、内部連携ＩＤを介して、同一の人物に関する異なる区分に属する情報にアクセスすることとなる。
【００１８】
第１の区分（図４の「個人の属性情報−１」が示す区分）は、組み合わせによっては個人を識別する個人情報となり得る項目が属する区分である。第１の区分に属する項目は、例えば、「内部連携ＩＤ」、「ＯＰＥＮＩＤ」、「氏名」、「所属企業」、「誕生日」、「住所町村名」、「住所番地」等である。「内部連携ＩＤ」の項目は、管理データ内で人物を識別する識別情報を示す。「ＯＰＥＮＩＤ」の項目は、対応する人物のオープンＩＤを示す。「所属企業」の項目は、対応する人物が所属する企業を示す。「誕生日」の項目は、対応する人物の誕生日の月及び日を示す。「住所町村名」の項目は、対応する人物の住所の町村名の部分を示す。「住所番地」の項目は、対応する人物の住所の番地の部分を示す。
第２の区分（図４の「個人の属性情報−２」が示す区分）は、第１の区分に属する項目の情報と組み合わせることで、個人情報となり得る項目が属する区分である。第２の区分に属する項目は、例えば、「内部連携ＩＤ」、「生年」、「性別」、「住所都道府県」、「住所市」、「既婚・未婚」、「結婚年数」、「子供の数」、「職種」、「就業年数」等である。「内部連携ＩＤ」の項目は、管理データ内で人物を識別する識別情報を示す。「生年」の項目は、対応する人物が誕生した年を示す。「性別」の項目は、対応する人物の性別を示す。「住所都道府県」の項目は、対応する人物の住所の都道府県の部分を示す。「住所市」の項目は、対応する人物の住所の市の部分を示す。「既婚・未婚」の項目、対応する人物が既婚者か未婚者かを示す。「結婚年数」の項目は、対応する人物が結婚して何年目であるかを示す。「子供の数」の項目は、対応する人物の子供の数を示す。「職種」の項目は、対応する人物が従事している職業の種類を示す。「就業年数」の項目は、対応する人物が就業して何年目であるかを示す。
【００１９】
第３の区分（図４の「個人の属性情報−３」が示す区分）は、個人の習慣に関する項目が属する区分である。第３の区分に属する項目は、例えば、「内部連携ＩＤ」、「喫煙年数」、「平均本数」、「平均飲酒量」、「平均睡眠時間」、「平均運動量」等である。「内部連携ＩＤ」の項目は、管理データ内で人物を識別する識別情報を示す。「喫煙年数」の項目は、対応する人物が何年継続して喫煙しているかを示す。「平均本数」の項目は、対応する人物の１日の平均喫煙本数を示す。「平均飲酒量」の項目は、対応する人物の１日の平均飲酒量を示す。「平均睡眠時間」の項目は、対応する人物の１日の平均睡眠時間を示す。「平均運動量」の項目は、対応する人物の１日の平均運動量を示す。
第４の区分（図４の「個人の属性情報−４」が示す区分）は、個人が患った病気や怪我に関する項目が属する区分である。第４の区分に属する項目は、例えば、「内部連携ＩＤ」、「病歴」、「通院履歴」、「投薬履歴」、「健康診断情報履歴」等である。「内部連携ＩＤ」の項目は、管理データ内で人物を識別する識別情報を示す。「病歴」の項目は、対応する人物の病歴を示す。「通院履歴」の項目は、対応する人物の通院履歴を示す。「投薬履歴」の項目は、対応する人物の投薬履歴を示す。「健康診断情報履歴」の項目は、対応する人物の健康診断の診断結果の履歴を示す。
【００２０】
第５の区分（図４の「個人の属性情報−５」が示す区分）は、個人の身体の特徴に関する項目が属する区分である。第５の区分に属する項目は、例えば、「内部連携ＩＤ」、「体重履歴」、「身長履歴」、「肺活量履歴」、「腹囲履歴」、「聴力履歴」、「血圧履歴」、「尿酸値履歴」等である。「内部連携ＩＤ」の項目は、管理データ内で人物を識別する識別情報を示す。「体重履歴」の項目は、対応する人物の年齢毎の体重の履歴を示す。「身長履歴」の項目は、対応する人物の年齢毎の身長の履歴を示す。「肺活量履歴」の項目は、対応する人物の年齢毎の肺活量の履歴を示す。「腹囲履歴」の項目は、対応する人物の年齢毎の腹囲の履歴を示す。「聴力履歴」の項目は、対応する人物の年齢毎の聴力の履歴を示す。「血圧履歴」の項目は、対応する人物の年齢毎の血圧の履歴を示す。「尿酸値履歴」の項目は、対応する人物の年齢毎の尿酸値の履歴を示す。
第６の区分（図４の「個人の属性情報−６」が示す区分）は、人物の周囲に設置されたセンサを介して取得された情報を示す項目が属する区分である。第６の区分に属する項目は、例えば、「内部連携ＩＤ」、「脈拍」、「運動量」、「睡眠時間」、「食事」、「バイタル度」、「歩数」等である。内部連携ＩＤ」の項目は、管理データ内で人物を識別する識別情報を示す。「脈拍」の項目は、対応する人物の日毎の脈拍を示す。「運動量」の項目は、対応する人物の日毎の運動量を示す。「睡眠時間」の項目は、対応する人物の日毎の睡眠時間を示す。「食事」の項目は、対応する人物の日毎の食事を示す。「バイタル値」の項目は、対応する人物の日毎の血圧等のバイタル値を示す。「歩数」の項目は、対応する人物の日毎の歩数を示す。
【００２１】
第１の区分と第２の区分とに含まれる項目の情報は、人物の特定に関与する情報として予め定められた項目の情報である。また、第３〜６の区分に含まれる情報は、人物の特定に関与する情報として予め定められた項目以外の項目の情報である。
データ提供デバイス１０１のＣＰＵ２１１は、例えば、以下のようにして、データ提供者の健康に関するデータを、管理サーバ１００に送信する。ＣＰＵ２１１は、センサ部２１４に含まれる加速度センサ等を介して、データ提供者の歩数の情報を取得し、取得した歩数の情報を管理サーバ１００に送信する。また、ＣＰＵ２１１は、例えば、センサ部２１４に含まれるカメラ等を介して、データ提供者の食事の画像情報を取得し、取得した食事の画像情報を管理サーバ１００に送信する。ＣＰＵ２１１は、例えば、デバイスＩ／Ｆ２１５を介して血圧計から取得したデータ提供者の血圧の情報を管理サーバ１００に送信する。ＣＰＵ２１１は、入力部２１６を介して入力されたデータ提供者の平均睡眠時間等のデータを、管理サーバ１００に送信する。
【００２２】
データ管理部３０２は、データ提供デバイス１０１から、データ提供者の健康に関するデータが送信されると、送信されたデータが、管理データにおけるどの区分のどの項目の情報であるかを特定し、そのデータを、そのデータ提供者に対応する特定した項目に入力する。
例えば、データ提供デバイス１０１が、データ提供者のオープンＩＤの情報と、データ提供者のある日の歩数の情報と、の組を、管理サーバ１００に送信したとする。その場合、データ管理部３０２は、歩数の情報に対応する項目を、第６の区分における「歩数」の項目として特定する。また、データ管理部３０２は、管理データにおける第１の区分の情報から、送信されたオープンＩＤに対応する内部連携ＩＤを特定する。そして、データ管理部３０２は、管理データの第６の区分における特定した内部連携ＩＤに対応する「歩数」の項目に、送信されたその日の歩数の情報を入力する。
【００２３】
また、受付部３０１は、データ提供者の周囲に設置されたセンサを含むデバイスから、直接、データ提供者の健康に関するデータを受信することとしてもよい。例えば、データ提供者に設置された心拍計が、ある日のデータ提供者の心拍の情報と、データ提供者のオープンＩＤと、を管理サーバ１００に送信するとする。
その場合、データ管理部３０２は、心拍の情報に対応する項目を、第６の区分における「心拍」の項目として特定する。また、データ管理部３０２は、管理データにおける第１の区分の情報から、心拍計から送信されたオープンＩＤに対応する「内部連携ＩＤ」を特定する。そして、データ管理部３０２は、管理データの第６の区分における特定した「内部連携ＩＤ」に対応する「心拍」の項目に、送信されたその日の心拍の情報を入力する。
また、管理サーバ１００は、データ提供者が通院している病院のサーバや、データ提供者が加入している保険会社のサーバ等から、データ提供者の健康に関するデータを受信して、管理データを更新してもよい。
【００２４】
受付部３０１は、データ提供者からのデータの提供を受ける際、データ提供者に、提供を受けるデータの活用についての指針（ポリシー）を提示する。データ提供者は、このポリシーに同意し、データを提供することとなり、同意しない場合、データを提供しない。
受付部３０１は、データ提供者から初めてデータの提供受ける際、データ提供者の氏名、住所、オープンＩＤ等の第１の区分、第２の区分に属する項目の情報を併せて受け付ける。そして、データ管理部３０２は、そのデータ提供者を識別する内部連携ＩＤを生成し、生成した内部連携ＩＤに対応するデータとして、提供されたデータを補助記憶装置２０３に記憶する。
受付部３０１は、データ提供者からのデータの提供に際し、更に、データの要求に応じて指定された条件に該当する人物の数が図５で後述する第１の閾値未満であり、図５で後述する第２の閾値以上である場合、その条件に合致した人物となった際に、要求されたデータの提供に事前に合意するか否かを示す情報の提供を受付けてもよい。以下では、この合意を、事前合意とする。データ管理部３０２は、事前合意を示す情報の提供を受付けた場合、その情報を補助記憶装置２０３に記憶する。以下では、事前合意を示す情報を事前合意情報とする。
【００２５】
また、例えば、データ提供者が、管理データの第５〜６の区分の項目のデータについては自分が所属する企業にならアクセスを許可してもよいと考える場合や、管理データの第３〜６の区分の項目のデータについては自分の家族にならアクセスを許可してもよいと考える場合等がある。
そこで、受付部３０１は、あるデータ提供者が、ある要求元に対して、そのデータ提供者のある区分（又は項目）のデータへのアクセスを許可することを示す情報を受付けてもよい。以下では、あるデータ提供者が、ある要求元に対して、そのデータ提供者のある区分（又は項目）のデータへのアクセスを許可することを示す情報を許可情報とする。データ管理部３０２は、許可情報が受付けられた場合、補助記憶装置２０３に記憶する。
本実施形態では、管理サーバ１００は、図４に示すように、６つの区分に分けて個人に関するデータを記憶し、管理することとした。しかし、管理サーバ１００は、５以下の区分に分けて個人に関するデータを記憶し、管理してもよいし、７以上の区分に分けて個人に関するデータを記憶し、管理してもよい。また、管理サーバ１００は、複数の区分に分けずに個人に関するデータを記憶し、管理してもよい。
【００２６】
（データ提供処理の詳細）
図５は、データ提供システムに含まれる管理サーバ１００が実行するデータ提供処理の一例を示すフローチャートである。
Ｓ５０１において、受付部３０１は、ある条件を満たす人物に関するある項目のデータの要求を、データ要求デバイス１０２から受付ける。以下では、受付けられた要求が示す人物に関する条件を、指定条件とする。また、以下では、要求されたデータの項目を、指定項目とする。
本実施形態では、受付部３０１は、指定条件として、管理データにおける個人の識別に関与する情報を含む第１の区分と第２の区分とに含まれる項目に関する条件を受付けるとする。しかし、受付部３０１は、指定条件として、その他の区分に含まれる項目に関する条件を受付けてもよいし、第１の区分と第２の区分とに含まれる項目とその他の区分に含まれる項目とに関する条件を受付けてもよい。
【００２７】
Ｓ５０２において、データ管理部３０２は、管理データに個人に関する情報が記憶されている人物の中から、指定条件を満たす人物を特定する。以下では、Ｓ５０２で特定された人物を特定人物とする。
例えば、指定条件が「年齢＞５０  且つ  性別＝男  且つ  住所都道府県＝北海道札幌市  且つ  所属企業＝Ａ社  且つ  職種＝営業」である場合、データ管理部３０２は、例えば、以下のような処理を行う。即ち、データ管理部３０２は、対応する第２の区分に属する項目「生年」が現在の年よりも５０年よりも前の年であり、対応する第２の区分に属する項目「性別」が男であり、対応する第２の区分に属する項目「住所都道府県」が北海道であり、対応する第２の区分に属する項目「住所市」が札幌市であり、対応する第１の区分に属する項目「所属企業」がＡ社であり、対応する第２の区分に属する項目「職種」が営業である「内部連携ＩＤ」を、指定条件に合致した人物の情報として特定する。
また、データ管理部３０２は、補助記憶装置２０３に記憶されている管理データから、特定人物についての指定項目のデータを特定データとして特定する。
【００２８】
Ｓ５０３において、判定部３０３は、Ｓ５０２で特定した特定人物の数が予め定められた第１の閾値（例えば、１００００等）以上であるか否かを判定する。判定部３０３は、例えば、特定人物に対応する内部連携ＩＤの数に基づいて、特定人物の数が第１の閾値以上であるか否かを判定する。第１の閾値の情報は、補助記憶装置２０３に記憶されている。ＣＰＵ２０１は、管理サーバ１００の入力部を介したユーザの操作等に基づいて、補助記憶装置２０３に記憶された第１の閾値の値を更新することができる。特定人物の数が第１の閾値以上であるということは、特定人物それぞれについて、個人の特定が困難であることを示す。
判定部３０３は、特定人物の数が、第１の閾値以上であると判定した場合、特定人物に関する指定項目のデータの提供に際して特定人物の合意を要しないと決定して、Ｓ５０９の処理に進む。また、判定部３０３は、特定人物の数が、第１の閾値未満であると判定した場合、特定人物に関する指定項目のデータの提供に際して特定人物の合意を要すると決定して、Ｓ５０４の処理に進む。
【００２９】
Ｓ５０４において、判定部３０３は、Ｓ５０２で特定した特定人物の数が、第１の閾値よりも小さい予め定められた第２の閾値（例えば、１００）以上であるか否かを判定する。判定部３０３は、例えば、特定人物に対応する内部連携ＩＤの数に基づいて、特定人物の数が第２の閾値以上であるか否かを判定する。第２の閾値の情報は、補助記憶装置２０３に記憶されている。ＣＰＵ２０１は、管理サーバ１００の入力部を介したユーザの操作等に基づいて、補助記憶装置２０３に記憶された第２の閾値の値を更新することができる。特定人物の数が第１の閾値未満であり、第２の閾値以上であるということは、特定人物の数が第１の閾値以上の場合よりも、特定人物それぞれについて、個人が特定される可能性が高いことを示す。特定人物の数が第２の閾値未満であるということは、特定人物それぞれについて、個人が特定される可能性が否定できないことを示す。
判定部３０３は、特定人物の数が、第２の閾値以上であると判定した場合、特定人物に関する指定項目のデータの提供に際して特定人物から事前に取得される合意を要すると決定して、Ｓ５０５の処理に進む。また、判定部３０３は、特定人物の数が、第２の閾値未満であると判定した場合、特定人物に関する指定項目のデータの提供に際して特定人物による改めての合意を要すると決定して、Ｓ５０６の処理に進む。
【００３０】
Ｓ５０５において、判定部３０３は、特定人物から、第１の閾値未満、第２の閾値以上の数に数が絞られた場合に、個人に関するデータを提供することに合意することを示す事前合意が、特定人物について、得られているか否かを判定する。判定部３０３は、例えば、特定人物について、事前合意情報が補助記憶装置２０３に記憶されている場合、特定人物について、事前合意が得られていると判定する。また、判定部３０３は、例えば、特定人物について、事前合意情報が補助記憶装置２０３に記憶されていない場合、特定人物について、事前合意が得られていないと判定する。判定部３０３は、特定人物から事前合意が得られていると判定した場合、Ｓ５０９の処理に進み、特定人物から事前合意が得られていないと判定した場合、Ｓ５０６の処理に進む。
Ｓ５０４〜Ｓ５０５の処理により、Ｓ５０１で受付けられた要求の要求元は、特定人物の数が第１の閾値未満であっても、特定人物の数が第２の閾値以上であり、特定人物の事前合意が得られていれば、特定人物についての指定項目のデータの提供を受けることができるようになる。データ提供者は、特定人物の数が第１の閾値未満となる場合でも、第２の閾値以上ならば、データを提供してもよいと考える場合、事前の合意を行い、データを提供したくないという場合は、事前の合意を行わない。これにより、管理サーバ１００は、データの漏洩の可能性の低減と、データ活用の利便性と、のバランスをより詳細に調整できる。
【００３１】
Ｓ５０６において、送信部３０４は、特定人物に対して、個人に関するデータを提供することに合意するか否かの問合せを行う。送信部３０４は、例えば、特定人物の連絡先として予め定められた送信先に、個人に関するデータを提供することに合意するか否かの問合せを示す情報を送信することで、問合せを行う。例えば、データ提供デバイス１０１のユーザが、Ｓ５０２で特定人物の一人として特定されている場合、送信部３０４は、データ提供デバイス１０１に、個人に関するデータを提供することに合意するか否かの問合せを示す情報を送信する。
そして、受付部３０１は、Ｓ５０６での問合せの結果を受信する。また、受付部３０１は、予め定められた期間（例えば、２日等）、Ｓ５０６での問合せの結果を受信しなかった場合、合意が得られなかったとする。
また、送信部３０４は、データ要求デバイス１０２に対して、特定人物に関するデータを提供には、特定人物の合意を要することを示す情報を、特定人物のオープンＩＤと併せて、送信してもよい。その場合、データ要求デバイス１０２のＣＰＵは、送信されたオープンＩＤを用いて、特定人物に、人に関するデータを提供することに合意するか否かの問合せを行う。そして、データ要求デバイス１０２のＣＰＵは、問合せの結果を受信し、受信した結果を、管理サーバ１００に送信する。
【００３２】
Ｓ５０７において、判定部３０３は、Ｓ５０６での送信部３０４による問合せの結果、特定人物全員の合意が得られたか否かを判定する。判定部３０３は、Ｓ５０６での送信部３０４による問合せの結果、特定人物全員の合意が得られたと判定した場合、Ｓ５０９の処理に進む。判定部３０３は、Ｓ５０６での送信部３０４による問合せの結果、特定人物の中に合意が得られなかった人物がいると判定した場合、Ｓ５０８の処理に進む。
Ｓ５０８において、判定部３０３は、Ｓ５０１で受付けられた要求の要求元に特定人物についての指定項目のデータへのアクセスが許可されているか否かを判定する。判定部３０３は、例えば、Ｓ５０１で受付けられた要求の要求元に特定人物についての指定項目のデータへのアクセスが許可されていることを示す許可情報が記憶されている場合、その要求元に特定人物についての指定項目のデータへのアクセスが許可されていると判定する。判定部３０３は、例えば、Ｓ５０１で受付けられた要求の要求元に特定人物についての指定項目のデータへのアクセスが許可されていることを示す許可情報が記憶されていない場合、その要求元に特定人物についての指定項目のデータへのアクセスが許可されていないと判定する。
判定部３０３は、Ｓ５０１で受付けられた要求の要求元に特定人物についての指定項目のデータへのアクセスが許可されていると判定した場合、Ｓ５０９の処理に進み、その要求元に特定人物についての指定項目のデータへのアクセスが許可されていないと判定した場合、Ｓ５１２の処理に進む。Ｓ５０８の処理により、特定人物についての指定項目のデータへのアクセスが許可されている要求元は、特定人物の数や事前合意の有無によらず、特定人物についての指定項目のデータの提供を受けることができるようになる。これにより、管理サーバ１００は、個人に関するデータの漏洩の可能性を低減させつつ、利便性をより向上させることができる。
【００３３】
例えば、体重が１２０ｋｇある人物の数は、標準的な体重の人物の数に比べて、非常に少ない。そのため、例えば、ある県に在住の男性について、体重、身長、血圧、尿酸値等の指定項目のデータが要求された場合、ある県に在住の男性の数が第１の閾値以上である場合であっても、体重のデータの中で１２０ｋｇ以上のデータの数が１つしかないような場合、その県に在住の体重が１２０ｋｇ以上の男性を知る第三者が、提供されたデータを、その人物についての個人に関する情報であることを把握してしまう可能性がある。そこで、本実施形態では、管理サーバ１００は、Ｓ５０９〜Ｓ５１０の処理を行う。
Ｓ５０９において、判定部３０３は、データ管理部３０２によりＳ５０２で特定された特定データについて、指定項目毎に以下の処理を行う。即ち、判定部３０３は、項目毎に予め定められた範囲内に含まれるデータの数が、項目毎に予め定められた第３の閾値（例えば１００人等）以上であるか否かを判定する。補助記憶装置２０３は、項目毎に予め定められた範囲を示す情報である範囲情報を記憶している。範囲情報には、例えば、項目「体重」について、標準的な値を超える範囲として、４０ｋｇ未満の範囲を示す情報が含まれる。また、範囲情報には、例えば、項目「体重」について、標準的な値を超える範囲として、１２０ｋｇ以上の範囲を示す情報が含まれる。また、範囲情報には、例えば、項目「年齢」について、各年代（十代、二十代、三十代等）の年齢の範囲を示す情報が含まれる。
判定部３０３は、特定データに含まれる指定項目のデータのうち、その指定項目についての範囲情報が示す範囲に含まれるデータを特定する。そして、判定部３０３は、特定した数が、第３の閾値以上であると判定した場合、Ｓ５１１の処理に進む。また、判定部３０３は、第３の閾値未満であると判定した場合、特定したデータに対応する人物のデータを、特定データから除外することを決定し、Ｓ５１０の処理に進む。
例えば、指定項目が項目「年齢」を含むとする。また、範囲情報に、項目「年齢」について、各年代（十代、二十代、三十代等）の年齢の範囲を示す情報が含まれているとする。その場合、判定部３０３は、特定データの項目「年齢」のデータのうち、範囲情報が示す範囲（各年代を示す範囲）それぞれに含まれるデータを特定する。そして、判定部３０３は、例えば、十代の範囲に含まれると特定したデータの数が、項目「年齢」について予め定められた第３の閾値未満である場合、特定データから、十代の範囲に含まれる項目「年齢」のデータに対応する人物のデータを除外することを決定し、Ｓ５１０の処理に進む。
Ｓ５１０において、データ管理部３０２は、特定データの中から、範囲情報が示す範囲に含まれるデータであり、その数が第３の閾値未満であるデータに対応する人物に関するデータを除外する。Ｓ５０９〜Ｓ５１０の処理により、個人に関する情報が漏洩する可能性を更に低減できる。
また、送信部３０４は、Ｓ５０６と同様に、Ｓ５０９で範囲情報が示す範囲に含まれるデータとして特定されたデータに対応する人物に対して、そのデータの数が第３の閾値未満である場合、データの提供に合意するか否かを問い合わせてもよい。合意が得られた場合、データ管理部３０２は、特定データからその人物のデータを除外しないこととしてもよい。また、データ管理部３０２は、Ｓ５０１で受付けられた要求の要求元に特定人物についての指定項目のデータへのアクセスが許可されている場合、特定データの中から、範囲情報が示す範囲に含まれるデータであり、その数が第３の閾値未満であるデータに対応する人物に関するデータを除外しないこととしてもよい。
【００３４】
Ｓ５１１において、送信部３０４は、特定データを、Ｓ５０１で受付けられた要求の要求元に提供する。この際、送信部３０４は、特定人物それぞれについてのオープンＩＤの情報も、要求元に送信してもよい。これにより、データ要求デバイス１０２は、受信したオープンＩＤに対して、データの提供に対する報酬として、ポイントを付与したり、クーポンを付与したりすることができる。特定人物それぞれは、各自のオープンＩＤを利用する際に、そのオープンＩＤに紐づいた報酬を利用できる。これにより、データ要求デバイス１０２が属する団体は、特定人物それぞれを特定することなし、特定人物それぞれに対して、データの提供に対する報酬を払うことができる。
Ｓ５１２において、送信部３０４は、Ｓ５０１で受付けられた要求の要求元に、要求されたデータを提供することができないことを示す情報を送信する。
【００３５】
（まとめ）
以上、本実施形態では、管理サーバ１００は、データ要求デバイス１０２から、指定条件を満たす人物の指定項目のデータの要求を受付けた。そして、管理サーバ１００は、管理データにデータが登録されている人物のうち、指定条件を満たす人物を特定し、特定した人物の数が、第１の閾値以上である場合、要求に応じたデータの提供に際し、特定した人物の合意を要しないと決定し、要求元に要求に応じたデータを提供することとした。また、管理サーバ１００は、特定した人物の数が、第１の閾値未満であり、第２の閾値以上である場合、事前合意があることを示す情報が補助記憶装置２０３に記憶されていれば、要求元に要求に応じたデータを提供することとした。また、管理サーバ１００は、特定した人物の数が、第２の閾値未満である場合、改めて、特定した人物に合意を問合せ、合意が得られたら、要求元に要求に応じたデータを提供することとした。
これにより、管理サーバ１００は、個人に関するデータの漏洩の可能性をより低減させることができる。また、管理サーバ１００に対してデータ要求を行ったデータ要求デバイス１０２が属する団体は、個人に関するデータの漏洩の可能性をより低減されたデータを取得することができ、予め定められた個人に関する情報の取り扱いに対する制約等に制限されずに、取得したデータを活用できるようになる。
【００３６】
＜その他の実施形態＞
実施形態１では、管理サーバ１００は、単体の情報処理装置であるとした。しかし、管理サーバ１００は、ネットワーク（ＬＡＮやインターネット）を介して相互に通信可能に接続された複数の情報処理装置を含むシステムとして構成されることとしてもよい。その場合、管理サーバ１００に含まれる複数の情報処理装置それぞれのＣＰＵが、それぞれの情報処理装置の補助記憶装置に記憶されたプログラムに基づき処理を連携して実行することで、図３の機能及び図５のフローチャートの処理等が実現される。
実施形態１では、管理サーバ１００は、データ提供者の健康に関するデータの提供を受付け、受け付けたデータを管理データとして管理することとした。しかし、管理サーバ１００は、データ提供者の健康に関するデータ以外の個人に関するデータの提供を受付け、受け付けたデータを管理データとして管理することとしてもよい。例えば、管理サーバ１００は、データ提供者の従事する業務に関するデータ（例えば、平均就業時間、出社時間、退社時間、残業時間等）の提供を受付け、受け付けたデータを管理データとして管理することとしてもよい。
【００３７】
実施形態１では、データ要求デバイス１０２は、個人に関するデータを活用して、ビジネス・研究等を行う企業・研究所・学校等の団体に属するとした。しかし、データ要求デバイス１０２は、個人が保有するスマートホンやタブレット装置等であるとしてもよい。その場合、データ要求デバイス１０２のハードウェア構成は、図２（ｂ）で説明したデータ提供デバイス１０１のハードウェア構成と同様であるとする。
その場合、データ要求デバイス１０２は、データ要求デバイス１０２を保有する個人の家族や知り合いに関するデータを、管理サーバ１００に要求することとなる。管理サーバ１００は、実施形態１と同様の処理で、要求されたデータを提供する。また、管理サーバ１００は、データ要求デバイス１０２を保有する個人と、データ提供者であるその家族や知り合いと、が相互にメッセージ等をやり取りして、コミュニケーションをとれる機能を提供してもよい。
【００３８】
実施形態１では、管理サーバ１００は、第１の閾値と第２の閾値との２つの閾値を用いて、に基づいて、特定データの提供に際し、特定人物の合意を要するか否かを決定した。しかし、管理サーバ１００は、３つ以上の閾値を用いて、特定データの提供に際し、特定人物の許可を要するか否かを決定してもよい。管理サーバ１００は、例えば、予めデータ提供者から、そのデータ提供者が特定人物として特定された場合、特定人物の数が複数の閾値が示す値のうちどの値以上であれば、改めての合意なしでそのデータ提供者に関する情報を提供してもよいかを示す情報を、事前合意情報として、取得する。そして、管理サーバ１００は、特定人物の数が、複数の閾値のうちのどの閾値以上でどの閾値未満の範囲に属するかを特定し、特定した範囲と、データ提供者から取得した事前合意情報と、に基づいて、特定データを提供するか、改めてデータ提供者に合意を問い合わせるかを決定してもよい。
また、管理サーバ１００は、第１の閾値のみを用いて、特定データの提供に際し、特定人物の合意を要するか否かを決定してもよい。その場合、管理サーバ１００は、特定人物の数が、第１の閾値以上であれば、特定データの提供に際し、特定人物の許可を要しないことを決定し、特定データを要求元に送信する。また、管理サーバ１００は、第１の閾値未満であれば、特定データの提供に際し、特定人物から改めて合意を得る必要があることを決定し、データ提供者へ合意の問合せを行い、合意が得られた場合、特定データを要求元に送信する。
このように、管理サーバ１００は、１つの閾値を用いて、特定データの提供に際し、特定人物の許可を要するか否かを決定してもよいし、複数の閾値を用いて、特定データの提供に際し、特定人物の許可を要するか否かを決定してもよい。
【００３９】
以上、本発明の好ましい実施形態について詳述したが、本発明は係る特定の実施形態に限定されるものではない。
例えば、上述したデータ提供システムの機能構成の一部又は全てをハードウェアとして管理サーバ１００に実装してもよい。
【符号の説明】
【００４０】
１００  管理サーバ
１０１  データ提供デバイス
１０２  データ要求デバイス
【図１】
2019049910.tif 000003
【図２】
2019049910.tif 000004
【図３】
2019049910.tif 000005
【図４】
2019049910.tif 000006
【図５】
2019049910.tif 000007