(57)【要約】  ヒトゲノムおよび他の情報に関する試験を処理し、取り扱い、実行するための信頼性のある、プライバシ保護されたシステムおよび方法を開示する。一部の実施形態によれば、遺伝子および他の情報の信頼性のある記憶及び分析用のクラウドベースのシステムが開示される。システムの一部の実施形態は、認証され保証されたデータ源、認証され保証された診断試験、及び、ポリシーベースのデータへのアクセスのいくつか又は全てを含み又は支持してもよい。【選択図】図１３
2015502588.tif 000002
【特許請求の範囲】
【請求項１】
ヒトゲノムデータに関する信頼性のある計算を行う方法であって、
ゲノムデータセットと、ゲノムデータに作用するように設計されたコンピュータプログラムとを受信することと、
演算処理システムで、前記コンピュータプログラムの信頼性を評価することと、
演算処理システムで、前記ゲノムデータセットの少なくとも一部の信頼性を評価することと、
演算処理システムで、前記コンピュータプログラムが前記ゲノムデータに作用することを許可するか決めるために、前記ゲノムデータに関連するポリシーを評価することと、
前記信頼性およびポリシーの評価が十分なときに、前記ゲノムデータセットの少なくとも一部について、前記コンピュータプログラムを実行すること
を備える方法。
【請求項２】
前記コンピュータプログラムの信頼性と前記ゲノムデータセットの少なくとも一部の信頼性とを評価すること、及び、前記ゲノムデータに関連するポリシーを評価することは、自動的に実施される、請求項１に記載の方法。
【請求項３】
前記自動的に実施される評価は、信頼性のある医療コンピュータシステムにより実施される、請求項２に記載の方法。
【請求項４】
前記コンピュータプログラムの実行の少なくとも一部に基づいて医療診断に有益な診断結果を生成することをさらに備える、請求項１に記載の方法。
【請求項５】
前記コンピュータプログラムの信頼性と前記ゲノムデータセットの少なくとも一部の信頼性との前記評価の少なくとも一部に基づいて、前記生成された診断結果の信頼性を保証することをさらに備える、請求項４に記載の方法。
【請求項６】
前記コンピュータプログラムの信頼性の評価は、受信したコンピュータプログラムとともにパッケージ化された少なくとも一つのデジタル署名を検証することを含む、請求項１に記載の方法。
【請求項７】
前記受信したコンピュータプログラムとともにパッケージ化された情報に基づいて前記コンピュータプログラムのデータ条件を判断することをさらに備える、請求項１に記載の方法。
【請求項８】
前記ゲノムデータセットの少なくとも一部の信頼性の評価は、前記受信したゲノムデータセットとともにパッケージ化された少なくとも一つのデジタル署名を検証することを含む、請求項１に記載の方法。
【請求項９】
前記ゲノムデータセットを、データフォーマット異常について確認することをさらに備える、請求項１に記載の方法。
【請求項１０】
１又は複数のプライバシーポリシーに基づいて、前記ゲノムデータセットと関連するプライバシーを自動的に保つことをさらに備える、請求項１に記載の方法。
【請求項１１】
前記コンピュータプログラムは、一連の実行可能プログラムを含む、請求項１に記載の方法。
【請求項１２】
ゲノムデータセットの少なくとも一部とコンピュータプログラムとを格納するよう構成された安全な記憶装置と、
前記コンピュータプログラムの信頼性を評価し、前記ゲノムデータセットの少なくとも一部の信頼性を評価し、前記ゲノムデータセットの少なくとも一部に対する前記コンピュータプログラムの許可を評価し、前記信頼性評価および前記許可評価が十分なときに、前記ゲノムデータセットの少なくとも一部に対して前記コンピュータプログラムを実行するようプログラムされ構成された安全な演算処理システムと
を備える信頼性のある医療コンピュータシステム。
【請求項１３】
前記コンピュータプログラムの信頼性の評価は、前記コンピュータプログラムとともにパッケージ化された少なくとも一つのデジタル署名を検証することを含む、請求項１２に記載のシステム。
【請求項１４】
前記ゲノムデータセットの少なくとも一部の信頼性の評価は、前記ゲノムデータセットともにパッケージ化された少なくとも一つのデジタル署名を検証することを含む、請求項１２に記載のシステム。
【請求項１５】
前記安全な演算処理システムは、さらに、前記コンピュータプログラムの実行の少なくとも一部に基づいて医療診断に有益な診断結果を生成するようにプログラムされ構成される、請求項１２に記載のシステム。
【請求項１６】
前記安全な演算処理システムは、さらに、前記コンピュータプログラムの信頼性と前記ゲノムデータセットの少なくとも一部の信頼性との前記評価の少なくとも一部に基づいて、前記生成された診断結果の信頼性を保証するようにプログラムされ構成される、請求項１５に記載のシステム。
【請求項１７】
ＤＮＡ配列決定装置からゲノムデータを受信することと、
前記受信したゲノムデータを暗号化することと、
前記ゲノムデータについての後の検証を容易にするデジタル署名を生成することと、
前記ゲノムデータへのアクセスまたは使用を管理するよう構成されるポリシー情報を前記ゲノムデータと関連づけることと、
前記暗号化されたゲノムデータとともに前記デジタル署名をパッケージ化すること
を備えるパッケージ化されたゲノムデータを生成する方法。
【請求項１８】
前記デジタル署名は、前記ＤＮＡ配列決定装置に関連する秘密鍵を使用して生成される、請求項１７に記載の方法。
【請求項１９】
前記ＤＮＡ配列決定は配列決定施設によって行われ、前記デジタル署名は前記配列決定施設に関連する秘密鍵を使用して生成される、請求項１７に記載の方法。
【請求項２０】
前記ゲノムデータを生成するために用いるサンプルについてのサンプル収集情報およびサンプル・ソース情報を記述するメタデータを、前記暗号化されたゲノムデータとともにパッケージ化する、請求項１７に記載の方法。
【請求項２１】
第１の事業体から第１のデータセットを受信することと
第２の事業体から第２にデータセットを受信することと、
少なくとも第３の事業体から、前記第１のデータセットの少なくとも一部と前記第２のデータセットの少なくとも一部とを含むデータセットに作用するように設計されたコンピュータプログラムを受信することと、
演算処理システムで、前記コンピュータプログラムの信頼性を評価することと、
演算処理システムで、前記第１のデータセットと前記第２のデータセットとの少なくとも一部の信頼性を評価することと、
演算処理システムで、前記コンピュータプログラムが前記第１のデータセットに作用することを許可するかを決めるために、前記第１のデータセットに関連する第１のポリシーを評価することと、
演算処理システムで、前記コンピュータプログラムが前記第２のデータセットに作用することを許可するかを決めるために、前記第２のデータセットに関連する第２のポリシーを評価することと、
前記信頼性およびポリシーの評価が十分なときに、前記第１のデータセットの少なくとも一部と前記第２のデータセットの少なくとも一部とについて、前記コンピュータプログラムを実行して、前記第１のデータセットの少なくとも一部と前記第２のデータセットの少なくとも一部とによる結果を作成する、信頼性のある計算を行う方法。
【発明の詳細な説明】
【技術分野】
【０００１】
関連出願についてのクロス・リファレンス
本出願は２０１１年１０月１７日付出願の仮出願番号第６１／５４８１６１号及び２０１２年３月２９日付出願の仮出願番号第６１／６１７５９３号の優先権の利益を請求し、それらの全体が参照より本願明細書に組み込まれる。
【０００２】
著作権許可
この特許文献の一部の開示は、著作権の保護を受ける資料を含む。本著作権者は、本特許文書又は本特許の開示事項が米国特許商標局の特許ファイル又は記録に示されているので、本特許文書又は本特許の開示事項を誰かがファクシミリで複写することに異議を申立てないが、その外のものについては全著作権を留保するものである。
【背景技術】
【０００３】
遺伝子検査は一塩基多型（ＳＮＰｓ）、すなわち遺伝子コードにおいて分離された個々の化学的相違の検出から全ゲノム解読（ＷＧＳ）へ移り変わりつつあるが、ＷＧＳは遺伝子配列におけるあらゆる塩基ペアを記録するものである。現在、企業は個人用の全ゲノム解読を手ごろに実施し得る装置の製作に注力している。３年後には、１日とかからず５００ドル未満で全ゲノムの配列を決定可能な装置が市販されると予想されている。今日、業界が第一に注力していることは、塩基配列決定技術、生化学および第一段階のゲノムデータ処理（未加工データの処理と塩基解読の統計処理）への取り組みである。
【発明の概要】
【課題を解決するための手段】
【０００４】
一部の実施形態によると、ヒトゲノム又は他のデータに関する信頼性のある計算を行う方法が記載される。記載の方法は、ゲノム又は他のデータセットと、ゲノム又は他のデータに作用するように設計された実行可能な診断コンピュータプログラムとを受信することと、実行可能な診断コンピュータプログラムの信頼性を評価することと、データセットの少なくとも一部の信頼性を評価することと、信頼性の評価が十分なときに、データセットの少なくとも一部について、コンピュータプログラムを実行することを含む。一部の実施形態によると、コンピュータプログラムの実行に基づいて医療診断に有益な診断結果が生成される。当該方法は、結果の信頼性を保証することも含むことができる。診断コンピュータプログラムの信頼性の評価は、受信した診断コンピュータプログラムとともにパッケージ化されたデジタル署名を検証することを含むことができる。同様に、ゲノム又は他のデータの信頼性の評価は、データとともにパッケージ化されたデジタル署名を検証することを含むことができる。一部の実施形態によると、当該方法は、ひとつ又は複数のプライバシーポリシーに基づいて、データセットと関連するプライバシを守ることも含むことができる。
【０００５】
一部の実施形態によると、信頼性のあるコンピュータシステムであって、データセットの少なくとも一部と、データに対して動作するコンピュータプログラムを格納するよう構成された安全な記憶装置と、コンピュータプログラムの信頼性を評価し、データセットの少なくとも一部の信頼性を評価し、信頼性評価が十分なときに、データセットの少なくとも一部に対してコンピュータプログラムを実行するようプログラムされ構成された安全な演算処理システムとを含むシステムが記載される。
【０００６】
一部の実施形態によると、実行可能な診断コンピュータプログラムであって、少なくとも一部のデータセットを実行して、そこから診断結果（例えば、医療診断において有益である結果）を生成するよう構成された診断アルゴリズムと、実行可能プログラムの信頼性を証明する際に支援するよう構成されたデジタル署名とを含むプログラムが記載される。一部の実施形態によると、コンピュータプログラムは、診断アルゴリズム、アルゴリズムの使用目的、及び、アルゴリズムに関連するひとつ又は複数の予防措置を記載するメタデータと、有益な診断結果を生成するために期待されるアルゴリズムへの入力の技術的説明と、及び／又は、診断アルゴリズムからの期待される出力の態様を説明する情報とともにパッケージ化することもできる。
【０００７】
一部の実施形態によると、パッケージ化されたゲノムデータを生成する方法であって、ＤＮＡ配列決定装置からゲノムデータを受信することと、受信したゲノムデータを暗号化することと、ゲノムデータの次の検証を容易にしうるデジタル署名を生成することと、暗号化されたゲノムデータとともに生成されたデジタル署名をパッケージ化することを含む方法が記載される。デジタル署名は、ＤＮＡ配列決定装置に関連する秘密鍵、及び／又は、配列決定施設に関連する秘密鍵を使用して生成できる。
【０００８】
一部の実施形態によると、１又は複数のゲノムデータセットに作用する方法であって、１又は複数のゲノムデータセットを安全に受信することと、ゲノムデータの所有者によって特定された許可情報を、各ゲノムデータセットと関連づけることと、ゲノムデータに作用するアルゴリズムを受信することと、受信された１又は複数のゲノムデータセットに対してアルゴリズムを実行する要求を受信すること、要求を認証することと、ゲノムデータセットと関連する許可を検査することと、許可により許容される場合、アルゴリズムがゲノムデータセットにアクセス可能にし又は使用可能にすることを含む方法が記載される。
【０００９】
本明細書で使用するように、「ゲノムデータ」との用語は、概して、ゲノム又はゲノム配列の全部又は一部を表現し、表し又はそこから派生するデータである。このデータは、例えば、ＤＮＡ、ｍＲＮＡなどの化学構造でコード化される情報、タンパク質、メチル化状況など関連する調整情報を含むことができる。
【００１０】
本明細書で使用するように、「ゲノム」との用語は、生物の遺伝情報である。ゲノムは、ＤＮＡ又はＲＮＡ内にコード化されて、ｍＲＮＡとして表され、又は、これらの核酸配列から派生するタンパク質配列として表されることができる。「ゲノム」との用語は、遺伝子及びコード化していない配列を含むことができる。特定の生物に適用される場合、「ゲノム」という用語は、ミトコンドリアＤＮＡを含む、通常の細胞からのゲノムデータであり、腫瘍及び生物の他のマイクロバイオームなどの関連細胞からのゲノムデータとすることもできる。
【００１１】
一連の創作的内容は、添付図面とともに以下の詳細な説明を参照することによって容易に理解されよう。
【図面の簡単な説明】
【００１２】
【図１Ａ】物理的な医療装置を用いる密結合の遺伝子検査から、分離された配列決定及び検査工程までの遷移を図示し、検査工程は、オリジナルの配列について実行された一連のソフトウェア分析から構成される。
【図１Ｂ】物理的な医療装置を用いる密結合の遺伝子検査から、分離された配列決定及び検査工程までの遷移を図示し、検査工程は、オリジナルの配列について実行された一連のソフトウェア分析から構成される。
【図１Ｃ】物理的な医療装置を用いる密結合の遺伝子検査から、分離された配列決定及び検査工程までの遷移を図示し、検査工程は、オリジナルの配列について実行された一連のソフトウェア分析から構成される。
【図２】一部の実施形態による例示的な遺伝子クラウドエコシステムに関与する多くの潜在的なステイクホルダを示す図である。
【図３】一部の実施形態による、遺伝子クラウドエコシステムにおける一連の処理の保全性を保証する態様を例示する図である。
【図４】一部の実施形態による遺伝子クラウドシステム内に含まれる、いくつかのサブシステムを示す図である。
【図５】一部の実施形態による、委任された信頼マネージメントアプローチを図示する図であり、ここで、ルート局は、複数の特定の機能の中間ルートに対して、信用階層のための操作上の責任を委任する。
【図６】一部の実施形態による、装置メーカー信用ルートの態様を例示する図である。
【図７】一部の実施形態による、研究室信用ルートの態様を例示する図である。
【図８】一部の実施形態による、実行環境信用ルートの態様を例示する図である。
【図９】一部の実施形態による、行政信用ルートの態様を例示する図である。
【図１０】一部の実施形態による、検査プロバイダ信用ルートの態様を例示する図である。
【図１１】一部の実施形態による、民間の認証機関信用ルートの態様を例示する図である。
【図１２】一部の実施形態による、委任された信用モデル内の証明書の態様を例示する図である。
【図１３】実施例の遺伝子クラウド内の遺伝子情報のライフサイクルにおける１組のステージ例を示す図である。
【図１４】一部の実施形態による、データオブジェクト間のリンクを示す実体関連図である。
【図１５】一部の実施形態による、自動的に生成された承認リクエストのテンプレート２５２の例を示す。
【図１６】一部の実施形態による、仮想診断テスト（ＶＤＴ）を実行するための処理の動作を示すフローチャートである。
【図１７】一部の実施形態による、仮想診断テスト（ＶＤＴ）データ構造の一例を示す。
【図１８】一部の実施形態による、拡張したメタデータの例を示す。
【図１９】一部の実施形態による、仮想診断テスト（ＶＤＴ）アルゴリズム仕様の一例を示す。
【図２０】一部の実施形態による、例示的なセキュアアナライザの構成要素の概要を示す。
【図２１】一部の実施形態による、データがとられ、保護され、および／または遺伝子クラウドに提供される処理を示すフローチャートである。
【図２２】一部の実施形態による、組み立てられたゲノム・メタデータ・パッケージのとりうるフォーマットの一例を示す。
【図２３】一部の実施形態による、アナライザ・データ・パッケージ（ＡＤＰ）フォーマットの一例を示す。
【図２４】一部の実施形態による、アナライザの環境のキーと遺伝子クラウドシステムの摂取の際のキーの例示的な関係を示す。
【図２５】一部の実施形態による、アナライザにより作成されるデータの摂取の際の例示的な動作を示すフローチャートである。
【図２６】データへのアクセスを保護及び管理する例示的システムを示す。
【図２７】創作的内容の実用上の実施形態に用いうるシステムのより詳細な例を示す。
【発明を実施するための形態】
【００１３】
進歩性を有する一連の著作の詳細な説明は、以下で供される。いくつかの実施形態が記載されるが、進歩性を有する一連の著作は、あらゆる実施形態に限定されず、その代りに、多数の代替、変形、及び等価物を含むことは、理解されるべきである。更に、進歩性を有する一連の著作の充分な理解を提供するために、多数の特定の詳細な記述が以下の記述において示されるが、いくつかの実施形態は、これらの詳細な記述のいくつか又はすべてを伴わずに実施することができる。更に、明瞭さの目的で、関連する当該技術分野において既知の一部の技術的な材料は、進歩性を有する一連の著作を不必要に不明瞭にしないように、詳細には記載されない。
【００１４】
システム及び方法は、ゲノム情報及び／又は他の情報の信頼性のあるハンドリングを容易にするために示される。これらのシステム、及び方法は、多くの構成要素、システム、及び方法がそこで利用されるように、新規性を有することが認識されることになる。
【００１５】
ゲノムデータは、恐らく現在最も有効な個人を識別可能な健康データである。多くの従来の医学的検査では、一旦サンプルが得られ検査されれば、サンプルは廃棄され、それ以上、検査を行なうことができない。しかしながら、ゲノム全体の配列決定（ＷＧＳ：Whole Genome Sequencing）により、あなたの「データサンプル」は無期限に存続し続けることができる。追加的な研究室での作業を必要とせずに、新しい遺伝子が識別されるので、その後、検査をデータ上で行なうことができる。
【００１６】
データが充分に保護されなければ、患者は、現代で既知の検査に、更に、患者の生涯の間に発見されるかもしれない任意のものに、実質的に同意している。未知を解明する遺伝子情報には、わずかな例の挙げると、配偶者のセレクション／ディザイラビリティ、雇用のスクリーニング／エンプロイアビリティ、及びプロファイリング／ディスクリミネーションなどの広範囲にわたる影響があり得る。更に、個人のゲノムに関する未知を解明する情報は、遺伝学的に関連する家族メンバ（兄弟、子ども、及び双子）に関する情報を不注意に漏らすかもしれない。
【００１７】
図１Ａ〜図１Ｃは、物理的な医療装置を用いる密結合の遺伝子検査から分離された配列決定及び検査工程までの遷移を図示し、検査工程は、オリジナルの配列について実行された一連のソフトウェア分析から構成される。ここで、我々は、仮想の診断テスト又はＶＤＴのような分析的なモジュールを参照する。
【００１８】
図１Ａは、試験がどのように現在行なわれるのかを図示し、ここで、検査及び分析は、密結合である。患者のサンプル１１０は、その後結果１１４をもたらすマイクロアレイ又は「遺伝子チップ」１１２などのゲノム解析ツールを用いて、直接分析される。
【００１９】
図１Ｂは、配列出力１２２をもたらす配列決定装置１２０によって分析されている患者のサンプル１１０を図示する。その後、配列１２２は、分析のために直ちに用いることができる。しかしながら、配列出力１２２もまた、コンピュータ読み取り可能な形式で格納することができる。図１Ｃに示すように、いくつかの実施形態によれば、格納されたファイル上の配列１３０は、診断結果１５０をもたらす１つ以上のＶＤＴ１４２を有する信頼性のある実行環境１４０において処理される。図１Ｂ及び図１Ｃに示すプロセスにおいて、（配列決定装置１２０を用いて）配列決定が行なわれる際、診断テスト（例えばＶＤＴ１４２など）は、存在さえしなくてもよいことに留意されたい。従って、いくつかの実施形態によれば、検査装置及び診断装置の双方は、それぞれのタスクを安全且つ正確に実行するために、好ましくは独立して保証されるべきであり、また、それを保証するために、２つの装置間のインタフェースは、先験的に既知で信頼される。新しい検査が生じる際に、システムの他のユーザがそれらを認証することができるように、これら装置は適切に保証されるべきである。
【００２０】
例示的設計
【００２１】
いくつかの例示的な実施形態によれば、システムは、遺伝子データのような取り扱い機密情報に関連する信用、プライバシ及び／又はセキュリティの問題を解決するように設計される。いくつかの実施形態において、以下の特徴のいくつか又はすべてを含むことができる。
【００２２】
（１）ゲノムデータのプライバシ保護収集。好適な実施形態において、（収集のポイントので）データの発生からでさえ、個人のプライバシは保護される。装置は、それらのデータを暗号化された形式でサービスに対して直接出力する。サービスは、研究室職員又は処理のオブザーバーによって容易に推測することができないように、安全且つ個人的にできるように患者向け情報を関連づける。
【００２３】
（２）データは、匿名で、静止状態で保護される。好適な実施形態において、システム内では、ゲノムデータは、暗号化された形式で保存され、所属する個人の身元を漏らす情報から分離される。リンク情報に対するアクセスは、許可に従って緊密に保護され、リンク情報は、好ましくは、認証された目的のために安全な環境においてのみ用いられる。
【００２４】
（３）分散型信用モデル。診断結果を生成する端末相互間システムを信頼することができることを保証することが望ましい。分散型信用モデルを用いると、各独立パーティは、それらが制御する処理の一部の役割を担うことができ、医者及びエンドユーザは、独立して生成された（但し信用された）コンポーネントから最終結果が組み立てられて実行されることを信用することができる。
【００２５】
（４）ヘルスケア用途のための証明。ゲノミクスなどの迅速に発展する分野において、医者がすべての新しい発見に追従することができ、研究をオーダーされた診断テストに容易に変換することができることを期待することは合理的ではない。検査及び安全に関連する説明及び使用のための推奨のコード化によって、これは、検査を指定する簡素な方法を医者に与える。更に、産業及び行政機関が証明することを可能にすること及び共同検査は、それらがオーダーする検査がピアレビューされており、医学的に関連する結果を生成することになるという信頼度を医者に与える。
【００２６】
（５）仮想研究室プログラミングツール。ゲノムのプログラミング言語内の標準化された機能は、研究者が、標準検査を用いるのに容易にし、彼らの発見をコード化することを簡単にする。ＤＩＦＦ（２つのゲノム分節間の差を戻す）、ＩＦ／ＴＨＥＮ文、ブール論理、パターン認識、挿入／削除検出などの標準動作は、発見を商業化するために必要とするプログラミングを簡易化する。
【００２７】
（６）ＩＰの市場。かなりの資本金額、資源、及び時間は、特定の遺伝子配列、及びフェノタイプと疾病との関係を識別することに関連する。本明細書に記載されたシステム及び方法のいくつかの実施形態は、このような発見を、そのように選択した場合に、補償することができる機構を提供する。
【００２８】
（７）共同作業のための信頼性のあるシステム。いくつかの実施形態において、コード化されたサーチアルゴリズムを生成し分配する標準的手段が提供され、それによって、発見が研究者の間で容易に共有されることを可能にする。各種の検査は、無償又は価値交換のために、機関の間で共有される再利用可能な基礎的要素を形成するために相互に容易につなぐことができる。
【００２９】
（８）プライバシーバイデザイン。いくつかの実施形態において、システムは、そのクライアントのプライバシを保護するようにあらかじめ設計（デザイン）される。始めにプライバシ保護を設計することによって、プライベート及び匿名の分析は、ファイアウォールを互いに設けることができ、それによって、いずれかを危険にさらさずに両方の種類の使用を許可する。
【００３０】
例示的な遺伝子クラウドエコシステム
【００３１】
いくつかの実施形態において、信頼性のあるストレージ及び遺伝子情報及び／又は他の情報の分析のためのシステムが提供される。このシステムの実施形態は、本明細書において、時として「遺伝子クラウド」と呼ばれることになる。好適な実施形態において、遺伝子クラウドは、ゲノムの（及び／又は他の）データ内にステイクホルダによって指定されたプライバシ及び使用法のポリシーと一致する方式で、それらのデータの信頼性のある長期保管及び処理を提供するシステムである。単一のサーバ又はサーバのクラスタ、又は様々なネットワーク（例えば、インターネット、パブリック及び／又はプライベートネットワーク、及び／又はそのた同様なものなど）によって接続される異種混合のコンピュータシステムの分散型収集を限定されずに含むサーバ及び記憶媒体の任意の適切な構成を用いることができるであろうことが認識されることになる。
【００３２】
遺伝子クラウドのいくつかの実施形態は、次の項目のいくつか又はすべてを含んでもよいし、若しくは、次の項目のいくつか又はすべてをサポートしてもよい。（１）仮想診断テスト、（２）保護されたパーソナルゲノムデータ、（３）認証され保証されたデータソース、（４）認証され保証された診断テスト、（５）ルールによって管理されたゲノムデータに対するアクセス、（６）医学の分析のために用いることができる患者自身のデータ、（７）必要とする研究及びプライバシのレベルのためのデータに対するアクセスを患者が認証する能力、及び（８）患者が自身のゲノムの特定の検査を認証し、且つ結果に対してアクセスしてもよい者を指定する能力。
【００３３】
図２は、いくつかの実施形態による遺伝子クラウドエコシステム２００に関与する多くの潜在的なステイクホルダを示す図である。遺伝子クラウドシステム２００内の有望なステイクホルダとして示されるものは、証明機関２０１、研究者２０２、支払人２０３、研究室２０４、クライアント２０５、医療サービス提供者２０６、及びツールプロバイダ２０７である。これらのステイクホルダの各々は、純資産の特定のセットを有していてもよく、遺伝子データ又はそれらのデータの管理及び用途のいずれかにそれ自体関係する。用語「クライアント」が図２において用いられることに留意されたい。しかしながら、「クライアント」や「コンシューマ」という用語は、この明細書においては概して互換的に用いられる。図３に示すように、図２に示される有望なステイクホルダの多くは、データのセキュリティや、取り扱いの連鎖の保全性を保証する役割を果たす。
【００３４】
図３は、いくつかの実施形態による、遺伝子クラウドエコシステム内の取り扱いの連鎖の保全性を保証する態様を例示する図である。図示するように、信頼性のある結果２０９は、研究室２０４によって適切な処置がサンプル収集及び処理に後続したことを証明することによって、配列決定装置のメーカー２１０によって適切な配列データが所定のサンプルから得られることを証明することによって、信頼性のある遺伝子クラウド環境２００によって診断テストの実行が制御された環境及び服従するルールにおいて行なわれることを証明することによって、及び、ツールプロバイダ２０７によって検査が医学的に有効な診断をもたらすことを証明することによって、確実にされる。表１は、ステイクホルダの各々が遺伝子クラウドエコシステムの実施形態の動作にどのように関係することができるのかを更に例示的に詳細に説明する。
【表１−１】
2015502588.tif 000003
【表１−２】
2015502588.tif 000004
【表１−３】
2015502588.tif 000005
【００３５】
遺伝子クラウドの使用事例
【００３６】
表２は、各々のケースの信用及びセキュリティの態様を特に強調して、遺伝子クラウドシステムの一部の実施形態の機能のいくつかを記載するいくつかの使用事例を示す。使用事例のこのセットは、進歩性を有する一連の著作のいくつかの実施形態における様々な遺伝子クラウド機能の例示的であるが網羅的でない例を提供するように意図される。
【表２−１】
2015502588.tif 000006
【表２−２】
2015502588.tif 000007
【表２−３】
2015502588.tif 000008
【００３７】
進歩性を有する一連の著作の様々な態様を具体化するシステム及び方法の具体化の付加的で更に詳述のいくつかの例は、以下で提供される。
【００３８】
例：処方アシスタント
【００３９】
製薬会社は、アルツハイマー病の患者のサブセットに作用するように示された新しい反癌治療を生産した。治療が効果的であるサブセットは、一部の遺伝子型の特性を共有する。すなわち、それらは、有効性に関することを実験的に示した一部の方法と遺伝学的に同様である。更に、この薬の適切な投与量は、高精度の遺伝子型に依存する。特定の遺伝子型の患者にとって、過剰投与は危険で且つ長期的な副作用に結びつく。
【００４０】
ＦＤＡは薬を承認した。しかし、それが特定の種類の患者に効果的なことのみが示されるので、また、間違った投薬量で投与されたときに危険であるので、機関は、投薬を推奨しただけでなく、両方の見込みのある有効性を判定するために遺伝病スクリーニング検査を要求する。
【００４１】
製薬会社は、これらの要因を評価し、遺伝子クラウドＶＤＴとしてそれをパッケージ化するプログラムを作成する。会社が適切な機能を検証するために遺伝子クラウド内のＶＤＴを検査した後、会社は、それらの著者であることを主張するためにＶＤＴにデジタル的に署名する。その署名は、特にこの用途のために遺伝子クラウドによって、又は遺伝子クラウドに代わって、発行され保証されたキーを用いてなされた。
【００４２】
ＶＤＴに署名する際、製薬会社はＦＤＡのレビュープロセスに対してＶＤＴを提出する。ＦＤＡは、プログラムを検討し自分自身のデータ上の遺伝子クラウドにおいてそれを検査し、その後、自分自身の保証されたキーによりＶＤＴにデジタル的に署名することにより、彼らの承認を表示する。自分自身の保証されたキーはＦＤＡによってｐＨ調整（phcontrolled）された別のルート認証局（ＣＡ）に由来する。ＦＤＡの証明書に由来するルートＣＡは、ユーザにより信頼されてもよい「信頼性のあるルート」として遺伝子クラウド内に記録される。
【００４３】
一旦ＶＤＴが承認され、その署名のすべてが添付されれば、それは遺伝子クラウドの中へアップロードされ、有望な処方医に対して有効であると告知した。遺伝子クラウドは、臨床医が名前によってＶＤＴを検索することができ、特定の人のゲノムに対してそれを適用することができる機構を提供する。
【００４４】
患者は評価のために癌専門医に対して提示し、医者は、治療の最良の方針を判定するために、医者が遺伝子検査を実行したいということを患者に通知する。医者は、以下の事項を行なう。
【００４５】
・遺伝子クラウド内のアカウントにサインアップするように患者に依頼する。このアカウントを通じて、患者は、患者自身のゲノムデータの使用を直接制御し承認することができることになる。
【００４６】
・医者自身の遺伝子クラウドアカウントを用いて、医者は、患者のサンプルを関連するユニーク配列ＩＤを要求し、このサンプルＩＤを持つバーコードラベルをその上に印刷する。遺伝子クラウドは、このトランザクションを承認してもよい患者に通知する。
【００４７】
・研究室内でＤＮＡを配列することができ、バーコードとともにサンプルをパッケージ化してラベルづけし、研究室に対してサンプルを送信するように、血液サンプルを採る。
【００４８】
研究室は、サンプルからＤＮＡを取り出し、その後、配列決定し、それをアップロードする。配列決定マシンは、遺伝子クラウドの中へサンプルデータのアップロードを可能にするセキュアモジュールを取り入れ、そのモジュールは、サンプルのアップロードのための役割を担う研究室技術者にインタフェースを提供する。
【００４９】
配列決定のためにサンプルを準備する際、研究室技術者はマシンの隣のセンサに対してバッジを提示し、ＰＩＮコードを入力する。これは、技術者を認証し、彼の身元を記録する。
【００５０】
技術者は、一時的配列決定ＩＤを含むバーコードをスキャンする。一時的配列決定ＩＤはこの配列決定の実行をサンプルに関連づける。
【００５１】
配列が完成すると、技術者は、配列決定の実行に関連するあらゆる重要なメタデータを入力する。この場合、配列決定の実行は、通常、マシンエラーを伴わずに続行される。
【００５２】
研究室技術者は、サンプルのアップロードの研究室技術者の承認を表示する。
【００５３】
配列決定マシン内に埋め込まれたセキュアモジュールは、この目的のために特別に生成された一過性のキーによりデータを暗号化する。
【００５４】
セキュアモジュールは、研究室技術者の識別番号、サンプルＩＤ番号、技術者のノート、環境パラメータなどの重要なメタデータを添付し、そのメーカーによって、具体的にはこの装置毎に発行された、保証キーにより完成したパッケージに署名する。メーカーの証明書は、遺伝子クラウドによって管理された信用局によって、順々に発行されてある。
【００５５】
一過性の暗号鍵は、配列決定装置内のセキュアモジュールに知られている遺伝子クラウドの摂取位置の公開鍵を用いて、暗号化される。
【００５６】
配列決定パッケージは、暗号化された一過性のキーとともに遺伝子クラウドの中へアップロードされる。
【００５７】
遺伝子クラウドは、パッケージを受信し、その保全性及びソースを直ちに検証する。パッケージの署名がチェックされ、署名者の保全性の状態及びリストが将来の使用のために記録される。
【００５８】
遺伝子クラウドの摂取位置の秘密鍵は、一過性の暗号鍵を復号するために用いられ、その秘密鍵は、その後、データを復号するために用いられる。一過性のキーは、後の検査のためにアーカイブに保管され、データは、適切なフォーマットを保証するために前処理され、その後、遺伝子クラウドによって生成された新しいキーにより再暗号化される。
【００５９】
遺伝子クラウドは、一時的サンプルＩＤが誰に割り当てられたのかを判定することにより、サンプルの対応する患者を判定する。
【００６０】
サンプルの全体は、遺伝子クラウドによって生成された新しいＩＤを割り当てられ、古いサンプルＩＤは、法医学的目的のためにアーカイブに保管される。
【００６１】
遺伝子クラウドは、処方医及び患者の両方に対して、サンプルが受信されたという通知を送信する。この通知を受信する際、医者は、所望のＶＤＴを配置する遺伝子クラウドの検索ツールを用いて、自身の患者のゲノムに対して適用されることを要求する。医者は、結果が患者の目に見えることを要求してもよいし、要求しなくてもよい。
【００６２】
遺伝子クラウドは、検査を実行する承認を求める患者（又は患者の指定介護者）に対してリクエストを出す。承認要求リストは、平たく言えば、ＦＤＡ、検査の目的、及び検査を要求した者の身元によって承認された。代替え的に、患者は、医者との自身との関係を表示し、医者にこのような検査を実行するために事前の許可を与えてもよい。
【００６３】
一旦患者の承認が認可されれば、ＶＤＴが実行される。これは、ＶＤＴが関係当局によって承認されたことを証明し、動作されるデータの確実性を証明し、データを復号し、及びＶＤＴプログラムを実行することを包含する。
【００６４】
ＶＤＴの結果は要求する医者に戻され、監査記録が生成され、格納される。患者は、どの検査を誰がオーダーしたかなどの状態の表示と一緒に、検査が行なわれたという通知を受信する。医者がどのようにＶＤＴリクエストを構成したかによって、検査結果を含んでもよいし、含まなくてもよい。
【００６５】
医者は、ＶＤＴ結果を評価し、適切な処方箋を作成する。
【００６６】
例：腫瘍の分類及び治療
【００６７】
この例には、２つの部分がある。第１の部分において、研究集団は、乳癌腫瘍を、様々な薬剤とは異なって応答するクラスの中に分類するように試みている。この研究の彼らの目的地は、様々な治療に対する反応に関する遺伝子型及び情報に基づいてクラスを識別することである。
【００６８】
第２の部分において、医者は、癌であると最近診察された患者を治療している。医者は、採られた腫瘍の生体組織検査をオーダーし、そのＤＮＡの配列決定をオーダーする。医者は、腫瘍のＤＮＡを患者の通常のＤＮＡと比較し、腫瘍を過去に患者が有した他の腫瘍と比較する「仮想実験室検査」をオーダーする。これらの比較に基づいて、医者は、患者の遺伝子型に対して適切に構成した治療計画を処方する。
【００６９】
ここで、研究集団が乳癌腫瘍を分類することを試みている例の第１の部分に転じると、研究者は、癌の生物学的機構に関係する可能性のある１セットの７５の遺伝子を識別する仮説を有する。研究者らの目的地は、研究者らがこれらの腫瘍を様々な治療に対して反応するグループの中に分類することを学ぶのを支援する情報に対して、可能な限り多くの患者を評価することである。
【００７０】
研究者は、遺伝子クラウド内で実行一連のバイオインフォマティクスプログラムを作成する。
【００７１】
・第１のプログラムは、この場合、（ａ）女性である、（ｂ）乳癌と診察された、（ｃ）研究中の薬の１つ以上により乳癌のための治療を受けた、及び（ｄ）患者らがそれらの治療に対してどれくらいよく反応したのかを示すデータを有する患者のセットとして指定される研究中のコホートを識別するのを支援する。このプログラムは、この例において遺伝子クラウド内に格納される（又はアクセス可能になる）ものと仮定される患者のフェノタイプに関する情報に基づく。この第１のプログラムは、実験で用いられるコホートを選択するのを支援するので、この例においてセレクタ（Selector）と呼ばれる。セレクタは、例えば、適格のコホートの半分を学習集団として選び、検査目的のために他の半分を保存してもよい。
【００７２】
・第２のプログラムは、分離して単一のコホート参加者から１セットのゲノム（例えば、正常細胞、腫瘍細胞）上で動作するように設計されている。すなわち、このプログラムの特定の実例は、全参加者のゲノムにアクセスしない。このプログラムは、各々の変異体に注目して、７５の標的遺伝子に対して、通常のゲノム及び腫瘍ゲノムを評価する変異体は、ＳＮＰ、初期終止コドン、コピー数バリエーションなどの情報を含む。このプログラムは、この例において遺伝子プロファイラ（Gene Profiler.）と呼ばれる。
【００７３】
・第３のプログラムは、分類に用いられるデータを実行し導き出す個別の遺伝子プロファイラの全部の結果を入力として受け取る。幅広い種類のあらゆる個別の分類アルゴリズムをこのプログラムにおいて用いることができるが、この実施形態内の一般観念は、特別な治療に対してよく応答する患者をクラスタの中へグループ化することをアルゴリズムが試みることである。分類を習得するのに用いられなかった新規性を有するゲノムを評価する際に、その後、その新規性を有するゲノムがどのクラスタに分類されたのかを判定し、それにより、どのコースの治療が最も適切なのかを予測するだろう。このプログラムは、この例において分類学習装置（Classification Learner）と呼ばれる。
【００７４】
・第４のプログラム、ワークフローは、セレクタ、遺伝子プロファイラ、及び分類学習装置が、どのように相互に適合するのかを説明する、単なる宣言型のドキュメントではない。例えば、セレクタがコホートを判定することになり、しかも、そのコホートに関連するゲノムは、１セットの遺伝子プロファイラの実例に対して（個別の基準で）入力され、その出力は分類学習装置に対して対象にされることを指定してもよい。
【００７５】
研究者は、ＶＤＴリクエストの形式で、安全な研究リクエスト（ＳＲＲ）として遺伝子クラウドの中へこれらのプログラムをアップロードする。ワークフロー内で指定されるように、研究実験は、セレクタを皮切りとして実行し始める。
【００７６】
セレクタは、ゲノムデータではない、関連する表現型のデータに対してのみにアクセスすることを保証する信頼性のある実行環境内に動作中である。セレクタは、セレクタ内で指定された基準を満たす１セット１２００人の患者を識別する。
【００７７】
有望な各コホート部材が識別されて研究に対して追加されるとき、遺伝子クラウドは、患者に関連するゲノム（正常及び腫物）の固有のゲノム配列の識別子を調べるためにメンバーのユーザＩＤ（又はカルテＩＤ）を用いる。この例において、ゲノムＩＤのマッピングに対するユーザＩＤは、遺伝子クラウドによって実行され、セレクタ又は遺伝子プロファイラには目に見えず、それにより、ワークフロー全体がゲノムに個人の識別子を関連づけるのを防止する。
【００７８】
遺伝子クラウドは、有望なコホートメンバーのポリシーが、研究者が自身のゲノムデータから作成したいという使用法と一致していることを証明する。例えば、遺伝子クラウドは、自身のゲノムデータが研究用途のために採取されるための許可を、患者が認めたことをチェックする。何人かの患者は、どのような研究用途でも許可することを望むかもしれない。しかし、他の患者は、商用事業体ではなく、学術的機関又は公衆衛生機関に研究者が加入することを必要とするかもしれない。なお、他の患者は、各々の研究用途を明示的に承認することを求められ、自身のデータが調査研究に加わる場合に補償されることを実際要求してもよい。
【００７９】
ポリシーが参加を許可する各々のコホートメンバーに対して、遺伝子クラウドは、遺伝子プロファイラの１つの実例を作成し、通常ゲノム及び腫物ゲノムをその実例に対する入力として使用可能にする。
【００８０】
遺伝子プロファイラの実例は、各遺伝子クラウドによって新しく生成されたランダムＩＤが割り当てられる。このランダムなＩＤは、コホートメンバーに関するあらゆる情報も漏らさずに、コホートメンバーを識別するために用いられる。
【００８１】
セレクタのように、各遺伝子プロファイラは、データベース、ストレージ、及びネットワークを含む資源に対するアクセスを制限する信頼性のある実行環境内で動作する。例えば、遺伝子プロファイラは、例えば、第三者施設に対してＨＴＴＰリクエストを行なってゲノムデータをポストすることを防止してもよい。また、例えば、遺伝子クラウドによってそれに対して明示的に割り当てられなかったゲノムデータだけでなく、表現型のデータにアクセスすることも防止してもよい。
【００８２】
遺伝子プロファイラプログラムに対して入力可能になってもよい、いくつかの方法がある。この例において、遺伝子プロファイラは、正常細胞に対して１つ及び腫瘍細胞に対して１つの、アーギュメントとして２つのゲノムを有することが知らせられる。遺伝子クラウドによって提供された基準識別子を用いて、遺伝子プロファイラは、問題になっている７５の遺伝子に対する配列データを要求する。これらは、ゲノムＩＤを漏らさずに遺伝子プロファイラに対して提供され、それにより、遺伝子プロファイラが特定のコホートメンバーを識別するために、その後他の情報と組み合わせるゲノムＩＤ情報が漏れるのを防止する。
【００８３】
データがゲノムプロファイラプログラムに対して提供されるとき、それらは、監査され、その情報を管理してもよい任意の関連するユーザポリシーを受ける。例えば、特定のユーザは、自身のＢＲＣＡ２遺伝子の状態を、どのような目的のためでも、誰にも漏らすことはできないと指定してもよい。このデータを要求する遺伝子プロファイラは、その後、拒否され、その後、例えば、要求情報を伴わずにベストエフォートの結果を終了若しくは生成することによって、応答する方法を決定しなければならない。
【００８４】
これらのデータは、典型的なＶＤＴに対する入力と同一の方法で検証され、この検証は、入力データ、データフォーマットなどの質又はソース上の制約を含んでもよい。
【００８５】
遺伝子プロファイラは、割り当てられたデータ上で動作し、それはランダムに生成された識別子とともに遺伝子クラウドに戻され、分類学習装置に伝える回答を生成する。
【００８６】
信頼性のある実行環境で動作もする分類学習装置は、様々な遺伝子プロファイラ実例から結果を受信し始める。
【００８７】
分類学習装置は、どれだけの結果を受信することになるのかについて必ずしも知っているわけではない。コホートメンバーの数を確認することができる場合でさえ、ゲノムプロファイラの実例（又はポリシー違反）におけるエラーは、予想する数よりも実際に受信する数が少ないことを意味するかもしれない。ある時点で、分類学習装置は、そのアルゴリズムを実行することを決心しなければならないが、その間も、単純に入力を収集する。この例において、研究者によって作成されるワークフロー仕様は、サンプルサイズが１０００以上である場合、及び新しい受信データがない状態で１時間経過した場合に、分類学習装置を実行するべきであると判定する。
【００８８】
その分類データ構造を算出するために、分類学習装置は、（ここで収集された）様々なゲノムプロファイラの実例からの結果を必要とするだけでなく、コホートメンバーに関する情報、及びメンバーが特別な治療に対してどのように反応したかに関する情報についても必要とする。遺伝子クラウドは、それが、コホートメンバーのＩＤのためのプロキシとしてゲノムプロファイラに対して割り当てられたランダムな識別子を用いて非個人的に識別可能な表現型のプロパティを問い合わせることを可能にする分類学習装置に対してＡＰＩを提供する。この間接的メカニズムを用いると、分類学習装置は、名前、カルテ番号、住所などの個人識別情報にアクセスせずに、分類の習得に関連するそれらのプロパティに対してのみにアクセスして、遺伝子型・表現型の情報を関連づけることができる。
【００８９】
分類学習装置は、トレーニングセットの外のゲノム上に疾病の新しい実例を分類するために用いることができるデータ構造を含む、研究者のための出力結果を生成する。
【００９０】
分類装置の用途は、先行例に記載した「処方アシスタント」の用途と同様である。以上で学習した分類装置を検査及び適用するために、研究者は、以上で派生した学問的な分類情報を組み込む新しいＶＤＴプログラムを作成する。この分類装置プログラムは、必要な７５の遺伝子プロファイルを取り出し、以上で学習された分類を適用して、単一の患者（及び患者の腫物）からのゲノム上で動作する。
【００９１】
「処方アシスタント」のケースのように、ＶＤＴ（分類装置プログラム）は、第三者の当局によって保証されてもよい。この場合、分類装置は、一度だけ検査され、その結果、容認できると認められ、ＦＤＡ又は国立がん研究所などの事業体は、そのポリシーに対する分類装置の適合性を示すＶＤＴにデジタル的に署名してもよい。
【００９２】
例：ブラインド薬剤スクリーニング
【００９３】
超大型新薬の時代が終わり、薬剤の未来は、普遍的に適用可能な薬にではなく、患者に対する治療の更に高精度のターゲティングに依存することになると、多くの専門家は信じる。多くのケースにおいて、患者の遺伝子型は、所定の治療が効果的か否かを判定するために用いられるだろう。それは、直接販売又は事業参加のために臨床試験内に有有望な候補を配置する製薬会社にとって大きく興味がある。しかしながら、これは、患者のプライバシを維持する方法で行なわれるべきである。
【００９４】
この例において、製薬会社は、ゲノムの所有者が新規の抗精神病薬の有望な候補か否かを判定するゲノムスクリーニングプログラムを作成した。予備調査において、製薬会社は、特定の遺伝子型を有する人が特によく応答することを知った。
【００９５】
製薬会社は、１セットのバイオインフォマティクスプログラムを作成する。
【００９６】
・「腫物の分類及び治療」の例に類似している第１のプログラム、セレクタプログラムは、確保することが可能なできるだけ多くの参加者を望むので、「遺伝子クラウド内のすべての人々」のコホートを選択する。
【００９７】
・スクリーナプログラムは、コホートのために選択された人のゲノムを実際に検査し、それらが治療に対して応答する可能性を示す０から１００までの数を発行する。従来の例における遺伝子プロファイラのように、スクリーナは、一度に１つのゲノム上で動作する。
【００９８】
・コンタクトプログラムは、スクリーナの実例の結果を考慮に入れ、患者が望むコンタクト方法（例えば、電子メール、ＳＭＳ、サイト内の通知、など）を用いて、その可能性が７０％以上の任意の患者と匿名でコンタクトをとる。
【００９９】
・これらのすべてのプログラムが、どのように相互に動作するのかを指定するワークフロープログラム。
【０１００】
製薬会社は、研究リクエストを作成し、これらのプログラムが動作中の場合には、これらのプログラムに署名して、遺伝子クラウドの中にアップロードする。セレクタは、動作し続け、コホートメンバーがオンラインで到着するとき、更なる研究のためにコホートメンバーを識別することになる。
【０１０１】
最初、セレクタは、この治験のことを誰も知らないので整合するものを有しておらず、製薬会社によって彼らのゲノムデータをすべて自由に採取させることを選んでいない。言いかえれば、遺伝子クラウド内のゲノム情報の所有者によって設定されたポリシー、より正確には使用を許可するポリシーの欠如は、整合するものが生じることを妨げる。
【０１０２】
製薬会社は、遺伝子クラウドシステム内でホスティングされた患者のコミュニティ、又はさもなければ興味を持った参加者がこの無料のスクリーニングにサインアップすることを可能にするリンクを提供する患者のコミュニティに対して通知をポストする。
【０１０３】
このスクリーニング内に加わるための招待状は、何の検査を行うのか、且つその検査が検査される人にとってどのように有益になり得るのかを説明する。それは、製薬会社がすべての参加者の身元を学習することができず、参加者らが治療に整合するものであると認められた場合、参加者が自ら率先してフォローアップしなければならないということを、また明確に説明する。
【０１０４】
参加者が選択し始めるとき、彼らのユーザＩＤはセレクタによって整合される。「腫物の分類及び治療」の使用事例のように、これらのＩＤがゲノムＩＤの中へ秘密裡に変えられ、ランダム識別子を割り当てられ、その後、スクリーナの個人実例に対して入力として提供される。
【０１０５】
スクリーナが動作中のとき、スクリーナは、コンタクトプログラムに対して結果を提供する。コンタクトプログラムは、治療に対して反応する可能性の高い７０％以上のコホートメンバーの各々に対して通知が送信されることを要求するために、無作為に割り当てられた識別子を用いる。遺伝子クラウドは、ユーザＩＤを調べるためにランダムなＩＤを用い、それらの好適なコンタクト機構及びアドレスを発見し、それらが興味を持っている場合に、それらがどのようにフォローアップするべきであるかを示す総括的なメッセージを発送する。
【０１０６】
この手順を通じて、製薬会社は、その治療が有用になる人の適切なグループを識別し、患者は、自身の身元を漏洩せずに、無料のスクリーニングサービスを受け入れた。
【０１０７】
例：新生児及び生後初年度の評価
【０１０８】
女性は、病院に入院し、見たところ健康な男の子を出産する。型通りの健康診断の一部として（及び赤ん坊の生涯を通じての将来の利用のための記録として）、小児科医は、ＤＮＡサンプルのために赤ん坊のほおを拭き取り、処理するために研究室にサンプルを送信する。医者は、ＡＭＡ及び米国小児薬委員会（American Board of Pediatric Medicine）によって現在推奨されている遺伝子検査の標準設備をオーダーする。付加的な有効性として、小児科医は「生後初年度」の医療アラートシステムに対して赤ん坊を応募する。
【０１０９】
小児科医は、自分自身の研究室を有しておらず、もし精密検査が新規のサンプルを収集することを正当であるとしなければ、小児科医も新生児からサンプルを繰り返し収集したくない。小児科医は、いくつかの検査手順に関連するリスクがあることを知っている。他の検査は、費用がかかる上に秘伝的であり、それらに関連するコストは、ほとんどの場合保証されない。医者は、自身がＡＭＡによって推奨されるような現在のベストプラクティスに追従することを確信することを望む。医者は、また、遺伝子診断法におけるあらゆる発達が自身の若い患者のために有望な問題を発見するか否かの通知を受け取ることを保証されることを望む。
【０１１０】
医者は、新生児からＤＮＡサンプルを受け取り、固有のＩＤによりＤＮＡサンプルをラベルづけし、遺伝子クラウド設備に対してＤＮＡサンプルを送る。医者は、患者のための実験を以下のように定義する。
【０１１１】
・新生児にとって最も共通する問題のために優先度の高いスキャンを実行する。このスキャンは、更にコストのかかる優先度の高いキューに入れられるだろう。小児科医は、予防策として追加費用を認める。小児科医は、深刻な問題のことをできるだけ早く知りたい。小児科医は、「重篤な幼児の病状Ａ」の名前の下で公開された、ＡＭＡが保証したプログラムパッケージを用いる。小児科医は、このパッケージを以前に用いたことがあり、性能には全く満足している。
【０１１２】
・少ないコストの低い優先度にて、自身のその後の人生においてそれほど重篤でないか明らかな問題のためにスキャンを実行する。小児科医は、待つことができるもののためにコストを削減したい。赤ん坊が男性型脱毛症の問題を有しているという事実により、新しい赤ん坊に適合する両親の気を動転させる必要はない。小児科医が実行したいプログラムは、公に使用可能な第三者の２つのプログラムと、小児科医自身が作成する１つのプログラムパッケージである。
【０１１３】
・記述「幼児ＡＮＤ病状ＡＮＤ培地ＯＲ高リスク」に適合した新しく公開されたプログラムのために新生児のＤＮＡサンプルの周期的なスキャンを継続する。このプログラムの寿命は、幼児の人生の初年度をカバーする。実験に対する付加的なパラメータは、スキャンのコストがある量を超える場合に、プログラムが、まず、医者に対して手順及び疾病に関するドキュメンテーションを提供する必要があり、その後、その医者から動作の許可を受信する必要があることを指定する。
【０１１４】
小児科医は、幼児患者からＤＮＡサンプルを受け取る。サンプルは、患者のほおを拭き取ることにより得られる。スワブは、ＩＤのタグをつけられる。ＩＤは、患者に対して匿名性を与える。ＩＤは、ＩＤを患者まで容易に辿ることができないように構成される。小児科医は、遺伝子クラウドコンソールに接続する。一連のユーザインターフェースを介して、小児科医は、患者に行なうつもりの実験を指定する。保証されたＡＭＡプログラムは、実験のコンテキストの中にロードされ、パッケージの署名がチェックされる。このパッケージのための料金オプションは、小児科医に対して提示される。小児科医は、優先オプションを選択する。小児科医は、高いコストが、家族に対する利益によって、充分に相殺されると推定する。
【０１１５】
スワブは、サンプルが配列決定されるローカルの遺伝子クラウドセンタに送られる。配列は、遺伝子クラウド内に格納される。その後、最初の騒動が落ち着いた後、小児科医は、実験の残りの部分を定義するために着席する。小児科医は、遺伝子クラウドコンソールを用いて、以前に定義された実験に接続する。彼女は、主要な遺伝子クラウドソフトウェア市場の１つにおいて入手可能になったパッケージをまず選択する。パッケージは引退した小児科医によって作成され、引退した小児科医のレビューグループの信用証明書だけでなく、自身の信用証明書によって署名された。彼女は、著作者を知っており信用する。第２に、小児科医は、異なる第三者遺伝子クラウドソフトウェア市場内の年上の助産師の１人によるパッケージを選択する。この市場は、更なる研究フレーバーを有していることで知られている。パッケージが実験のコンテキストの中にロードされるとき、パッケージの署名がチェックされる。第３に、小児科医は、自分自身で作成したプログラムの１つを選ぶ。プログラムは、小児科医の実際の過去の経験のコード化である。実験をアップロードするために、小児科医は、プログラムをレビューした仲間集団の信用証明書とともに、遺伝子クラウドに対して自身の信用証明書を提供しなければならない。
【０１１６】
配列決定は、圧縮及びメタデータのタグ付けを含む初期処理を経る。高優先ジョブは、初期処理が行なわれるのと同じくらい早く配列上で実行される。ジョブは、ジョブの関連する通常より高いコストを有する。実験が部分的にのみに定義されたとしても、小児科医が指定した高優先ジョブは、まさに動作中である。低優先ジョブは、ここでは、遺伝子クラウド内で動作し始める。
【０１１７】
小児科医は、ここでは、患者に対して小児科医の実験の第３の部分、長期の「生後初年度」実験を定義する。実験のこの部分のためのパラメータがセットされる。まず、プロファイル「幼児ＡＮＤ病状ＡＮＤ培地ＯＲ高リスク」を有する新しいプログラムのみが、実行が許可される。プロファイル内に「広告」を含むプロファイルを有するすべてのプログラムは、実験の第１の部分が幼児患者内のわずかな乳糖不耐症を究明したので、乳児用調合乳を広告するプログラムの除外事項として明示的に拒絶される。広告が容認される度に実験のためのアカウントの中にリソースを注入するので、このプログラムも、また、遺伝子クラウド分析のコストを支援する。
【０１１８】
プロファイル「幼児ＡＮＤ病状ＡＮＤ培地ＯＲ高リスク」を持つプログラムを実行可能にする実行コストは、法外には高くない。もし以下の条件が満たされれば、プロファイル「幼児ＡＮＤ病状」を持つプログラムを実行する。
【０１１９】
・プログラムを実行するコストは、患者のゲノム毎に５セント未満である。
【０１２０】
・プログラムの実行コストが患者のゲノム毎に５セント以上であり、プログラムは、小児科医に関連する研究を表示することができ、プログラムは、患者のゲノム上で動作する署名入りの許可を取得する。
【０１２１】
・実験のこの部分は、赤ん坊の最初の誕生日の後に完了し期限切れになるように設定される。
【０１２２】
例：匿名の子孫の形質予測
【０１２３】
アリスは、遺伝子クラウドの中へ自身の遺伝物質を配列決定しておりアップロードしていた。彼女は、サードパーティベンダーによって遺伝子クラウド上に提供されるデートサービス（dating service）を予約する。デートサービスのインタフェースを用いて、彼女は、子孫に持たせたいいくつかの形質を選択する。彼女が子孫に持たせたい形質の１つは、誤りから学習する能力である。
【０１２４】
その後、アリスは、彼女の理想的な仲間の所望の非遺伝プロパティのリストを提出する。このリスト上で高いのは、教育、収入、及びアリスに対する近接度である。
【０１２５】
彼女の遺伝形質は、遺伝子クラウドに既に知られている。彼女に気づかれずに、彼女は、遺伝子型ＡＧを持つＤＲＤ２ ＴａｑｌＡ多型を有する。最近の研究は、彼女が誤りを回避することを学ぶことにおいて、それほど効率的ではないことを意味することを示した。
【０１２６】
デートサービスは、遺伝子クラウド内で動作するＶＤＴ内のＴａｑｌＡ多型に関するこれらの結果をコード化した。プログラムは２つの有力候補を比較し、子孫に影響を与えるＴａｑｌＡ形質の可能性及びその程度を計算する。プログラムは、デートサービスを同意しており、そのポリシーのセッティングがこの利用を可能にする人からのサンプル上でのみ作動可能にする。
【０１２７】
デートサービスパッケージプログラム内の第２の信頼性のあるプログラムは、有望な仲間のリストを得て、個人の非遺伝プロパティを評価する。このプログラムは、個人の身元及び遺伝子情報が秘密に保たれるように構成される。プログラムは、二次的な基準に適合する可能性のリストを短縮し、アリスがそれにアクセスすることができるウェブインタフェース内にリストを示す。有望な仲間が明らかにすることを望む整合の程度及び情報のみが公開される。
【０１２８】
アリスは、デートサイト（dating site）にログインし、匿名の有望な仲間及び子孫が、彼女が所望する形質を所有したという可能性のリストが示される。
【０１２９】
匿名の交渉セッションが続いて起こり、アリスは、有望な仲間のリストの範囲を絞る。アリスとリストのメンバーとの間のメッセージは、匿名の交換処理を介して取り扱われる。交渉セッションの後、当事者は、出会うことに合意する。
【０１３０】
アリスは、適切な仲間が見つかるまで、プロセスを繰り返す。
【０１３１】
進歩性を有する一連の著作の様々な実施形態の理解を容易にするために、前述の例が選択され、これらの例において特定の詳細な記述が、それらが明示する一般的原理の制限ではなく例証の目的のために選択されたことは、認識されるだろう。
【０１３２】
例示的な遺伝子クラウドのコンポーネント及びプロセス
【０１３３】
図４は、いくつかの実施形態による遺伝子クラウドシステム例内に含まれる、いくつかのサブシステムを示す図である。図４に示されるように、これらのサブシステムは、以下のいくつか又はすべてを含んでもよい。
【０１３４】
システムの動作に関連してもよい他の健康情報だけでなく、ゲノム及び他の遺伝物質を格納する、安全な遺伝子データベース２２０。
【０１３５】
・診断機能及び他のバイオインフォマティクスツールのプロバイダに、腫物の特殊な遺伝子検査を行ないたい病院などの遺伝子クラウドエコシステム内の他の参加者に対して彼らのツールの販売、又は他の場合にはアクセスの提供、及び／又は使用することを許可するＶＤＴ市場２２１。
【０１３６】
・参加者に対する保証されたデジタルの身元及びキーを提供し、システム、（自身のＶＤＴに署名するために自身の証明書を用いることになる）ＶＤＴプロバイダ、及び／又は同種のもののリソースにアクセスすることを望む配列決定マシン自体、医者、及び研究者を潜在的に含むシステムの構築に関係する事業体の証明を管理する信用局２２２。この信用局２２２は、例えば、完全に集中型の信用局、非集中型の中間局を持つ委任された信用局、又はワールドワイドウェブで作動するものと同様の信用モデルの非集中型のウェブを備えてもよい。
【０１３７】
・ＶＤＴ及び他のバイオインフォマティクスツールが実行される安全なコンピュータ環境であるＶＤＴ実行環境２２３。この実行環境２２３は、信頼性があり認証されたＶＤＴのみが実行され、遺伝学データベースに対する、信頼性があってポリシー管理されたアクセスなどの計算の態様を管理することができることを保証することができる。
【０１３８】
・例えば、研究者がシステムの中に研究を導入することを可能にする調査サービスのセット２２４。システムのコンポーネントは、ＶＤＴ実行環境内で実行されることになる。
【０１３９】
・例えば、支払い及び／又はシステム内の他の有用なものの交換を管理するトランザクションクリアリングハウス２２５。
【０１４０】
遺伝子クラウドのサブプロセス。表３は、進歩性を有する一連の著作のいくつかの実施形態の動作に関係するサブプロセスの例を記載する。これらの例示的なプロセスに関する操作上の詳細な記述は、本明細書に更に詳細に以下で記載される。
【表３−１】
2015502588.tif 000009
【表３−２】
2015502588.tif 000010
【０１４１】
信用管理。本明細書に記載された信用管理システムは、遺伝子クラウドシステム内で用いられてもよい、多くの可能的な信用管理スキームの１つの実例である。図５は、委任された信用マネージメントアプローチを図示する図であり、ここで、単一のルート局は、複数の特定の機能の中間ルートに対して、信用階層のための操作上の責任（operational responsibility）を委任する。
【０１４２】
図５に示される階層例において、ルート信用局３００は、６つのサブ当局に対する責任を委任する。装置メーカー信用ルート３０１は、装置が遺伝子クラウドエコシステム内の情報を通信するときに装置を認証するために用いられる。研究室信用ルート３０２は、遺伝子及び他の物質を取り扱うことに関係する研究室の人間の本人の認証のために用いられる。実行環境信用ルート３０３は、例えば、ＶＤＴ実行環境の保全性を示すために用いられる。行政機関信用ルート３０４は、問題になっているオブジェクトの行政機関の承認／レビューを示す、遺伝子クラウドシステム内のデジタルオブジェクトに政府行政機関が署名することを可能にする。検査プロバイダ信用ルート３０５は、ルート３０３の下で保証された信頼性のある環境で実行する診断機能ツール（例えばＶＤＴ）及び他のバイオインフォマティクスツールのプロバイダによって用いられる。民間の証明機関信用ルート３０６は、行政機関信用ルート３０４とある程度同様であるが、ある検査、ツール、又はデータのそれらの承認若しくはレビューを示すことを望む民間の事業体によって作動される。
【０１４３】
図６は、いくつかの実施形態による、装置メーカー信用ルートの態様を例示する図である。いくつかの実施形態において、装置メーカー信用ルートは、例えば、配列決定マシンなどの装置を含む、遺伝子クラウドエコシステムに関係する認証装置のために委任された信用局である。図６に示すように、装置メーカー信用ルート３０１は、更に、１以上のメーカーに特有の信用ルート３０７ａ、３０７ｂ、…、３０７ｎに対して権限を委任してもよく、その各々は、独立デバイスを保証するために（例えば、証明書３０８ａ、３０８ｂ、…、３０８ｎ）順々に用いられる。
【０１４４】
図７は、いくつかの実施形態による、研究室信用ルートの態様を例示する図である。研究室信用ルート３０２は、遺伝子クラウドエコシステム内の安全な情報を取り扱うことに関係する人間の本人及び設備を認定するために用いることができる。装置メーカー信用ルート３０１と同様に、研究室信用ルート３０２は、それ自体が個別の研究室３０９ａ、３０９ｂ、…、３０９ｎに対する権威を委任することができるように、委任されたルートになり得る。２つのケースが図７に示される。そのうちの１つのケースでは、研究室信用ルート３０２が、個別の研究室（３０９ａ、３０９ｎ）を保証するためにエンドエンティティ証明書を直接発行し、別のケースでは、研究室自体が、研究室（３１０ａ、３１０ｂ、…、３１０ｎ）の動作に関係する技術者などに対してエンドエンティティ証明書を発行する。
【０１４５】
図８は、いくつかの実施形態による、実行環境信用ルートの態様を例示する図である。実行環境信用ルート３０３は、ツール（ＶＤＴ）を実行するシステムの保全性を保証して証明するために用いることができる。いくつかの実施形態において、このルートは、例えば、ローカルの法上に基づいて異なる管轄権内で異なる実行環境（３１１ａ、３１１ｂ、…、３１１ｎ）を認証してもよいし、そのように認証された環境の各々が、ローカルの「仮想研究室」（例えば彼らの管轄権内に動作する実際の個別の実行環境）を順々に認証することができるだろうことを保証するのを支援してもよい。証明書３１１ａ、３１１ｂ、…、３１１ｎは、各「仮想研究室」の実行環境毎に示される。
【０１４６】
図９は、いくつかの実施形態による、行政信用ルートの態様を例示する図である。行政信用ルート３０４は、特定の法的な管轄権（３１３ａ、３１３ｂ、…、３１３ｎ）に対してローカルの行政権限を委任するために用いることができ、その各々は、独立してローカル条例に従って動作してもよい。いくつかの実施形態において、これらの管轄権は、それらの特定の管轄権に必要とされるような権限（３１４ａ、３１４ｂ、…、３１４ｎ）を更に委任する能力を有するだろう。
【０１４７】
この委任モデルは、関係するいくつかの行政権限に必要条件を課す必要はないが、むしろ、このような相互運用が望まれるならば、様々な行政管轄権のためのシステムが技術的な相互運用が可能であることを保証するのを支援することができる。別の信用モデルは、単一の行政信用ルートを含まないが、各システムが信頼性のある行政証明書のリストを維持することをむしろ可能にする。このモデルは、ワールドワイドウェブ上で有力な多対多信用アーキテクチャに非常に類似しているだろう。
【０１４８】
図１０は、いくつかの実施形態による、検査プロバイダ信用ルートの態様を例示する図である。検査プロバイダは、例えば、機関内のグループ及び／又は検査（例えばＶＤＴ）自体をコード化するデジタルオブジェクトを含む、それらのサブドメイン内の様々なアクターに対して身元を割り当てるために検査プロバイダ信用ルート３０５に由来した証明書を用いることができる。これらの様々な身元は、ＶＤＴの安全な実行の一部としてチェックし検証することができる。
【０１４９】
図１１は、いくつかの実施形態による、民間の認証機関信用ルートの態様を例示する図である。行政信用ルート３０４によく似た、民間の認証機関信用ルート３０６は、それらがＶＤＴ、配列決定、装置などの特定のオブジェクトをレビューしたか否かを承認したことを示す能力をもつ様々な事業体を提供するために用いることができる。例えば、ＣＬＩＡは、特定の研究用機器及び／又は保証された研究室手順をそれらが保証することを可能にする民間の認証機関信用ルートに由来するサブルートを有してもよい。米国医師会などの専門職協会は、構成などによってレビューされたことを示す、自分自身のデジタル認証を特定のＶＤＴに対して追加することを望んでもよい。各民間の機関は、民間の認証機関信用ルートによって署名されたそれ自身の証明書を発行されるだろう。民間の認証機関信用ルートは、自身の目的にふさわしいように更に証明書を発行する権限を順々に与えるだろう。
【０１５０】
図１２は、いくつかの実施形態による、委任された信用モデル内の証明の態様を例示する図である。委任された信用モデル２３０が示され、上記のように、各サブルートは、特にその領域内の証明のために様々な必要条件を課してもよい。図１２は、いくつかの実施形態による、可能的な証明プロセス、必要条件、及びアーティファクトのいくつかの例を図示する。
【０１５１】
機密性及び許可
【０１５２】
いくつかの実施形態による遺伝子クラウドシステムは、そのデータが遺伝子クラウドによって管理されるコンシューマのための機密性及びプライバシを保証する一方で、遺伝子配列上で研究者及び医療関係者が動作することを可能にする。このセクションは、いくつかの実施形態に用いることができるポリシー機構のいくつかの例を記載する。
【０１５３】
図１３は、いくつかの実施形態による、遺伝子クラウド内の遺伝子情報のライフサイクルにおける１セットのステージ例を示す図である。図１３は、また、これらの実施形態におけるセキュリティ及び機密性を維持するために用いられるオブジェクトのいくつかを示す。
【０１５４】
図１３を参照すると、ステージ１（２４０）において、遺伝子情報は安全なアナライザ環境内のサンプル収集システム（例えば、配列決定マシン）によって生成される。この例において、安全なアナライザ環境は、配列データを保護するために用いられるユニークな装置識別名及び暗号モジュールを所有する。安全なアナライザ環境は、例えば、どれがシーケンス装置の一部であってもよいし、又は、シーケンス装置と連結される外部ユニット内に存在してもよい。
【０１５５】
図１３に示す例において、配列データは、安全なアナライザ環境内で局所的に生成され、一過性の暗号鍵（アナライザー暗号鍵、又はＡＥＫ）を持つソースにおいて保護される。他の実施形態において、一過性の暗号鍵は、安全な経路上の遺伝子クラウドから取得される。このキーは、ステージ２（２４２）の安全なデータ受信環境に関連し、暗号化された配列データとともに安全なデータ受信環境に対して送信された公開鍵により暗号化される。安全なアナライザ環境は、例えば、インターネット内のそれらの公のＩＰアドレスなどの安全なデータ受信環境の他の属性及び／又は同種のものにこれらのキーを関連づけてもよいレジストリから、所定の安全なデータ受信環境に関連する共通暗号鍵を取得してもよい。
【０１５６】
データ生成の局面の間（２４０）で、サンプルは、１つの実施形態における患者が配列決定されることを望むポイントにおける遺伝子クラウドによって生成されたランダムな識別子であるＩＤ番号（例えば、ＳＥＱＩＤ又は「シーケンス識別子」）によって識別される。このランダムな識別子も配列決定進行において生成され、配列決定されるサンプルとともに、配列の中心に供給されてもよい。この識別子は、好ましくは、他の患者向け情報に対して接続しないが、但し、１つの実施形態において、遺伝子クラウドは、１組の保護されたリンクオブジェクト（図１３に「ＳＥＱ−ＳＡＭ」及び「ＳＡＭ−ＣＩＤ」として示される）として患者に対するリンケージを維持する。
【０１５７】
１つの実施形態において、これらのリンクオブジェクトの第１は、配列決定のために長期的な識別子に一過性のＳＥＱＩＤを関連づける。一旦サンプルが遺伝子クラウドの中へ摂取されたならば、最初のＳＥＱ識別子は、厳密に管理された内部監査プロセスを除いて、もはや用いられない。第２のリンクオブジェクトは、コンシューマＩＤ（ＣＩＤ）に特定のサンプルを関連づける。後の処理の間に、このリンクオブジェクトは、コンシューマプライバシを維持するためにＶＤＴ及び他の情報科学ツールから保護される。
【０１５８】
１つの実施形態において、遺伝子クラウド内の様々な識別子の間のリンクを維持するサブシステムは、安全な関連づけ管理システムと呼ばれる。安全な関連づけ管理システムは、匿名の患者向け情報に対するアクセスに対して可能的なきめの細かい制御をする。
【０１５９】
図１３を再度参照すると、摂取及び安全な関連づけステージ２４２において、配列データは、安全なデータ受信環境によって摂取される。これらのデータは、ＨＴＴＰ（ＨＴＴＰＳを含む）、ＦＴＰ、ＵＤＰ系プロトコル、及び／又は同種のものを含むが、これらに限定されない、あらゆる様々なネットワークプロトコルを介して、遺伝子クラウドに対して送信されてもよい。いくつかの実施形態において、（例えばディスクドライブ上の）物理的手段によって摂取位置にデータを供給することができるかもしれない。配列データのアップロードのための使用可能な複数の安全なデータ受信環境があってもよい。概して、安全なデータ受信環境は、好ましくは、無許可のアクセス及び異物混入を防止する高度に安全な設備（ＨＳＦ）内に設置されるべきである。
【０１６０】
１つの実施形態において、配列データは復号される。また、変遷において配列データを保護するために用いられる一過性のキーは、法医学的将来及び検査用途のためにアーカイブに保管される、但し、他の場合では、用いられる。ＳＥＱＩＤは、配列が属するコンシューマを判定するために用いられ、配列は、新しいキーによって保護されて、コンシューマＩＤの下で格納される。ＳＥＱＩＤは、歴史的目的及び検査目的のために、ＳＥＱ−ＳＡＭリンクオブジェクトの一部として維持されるが、ＳＥＱＩＤは、再び用いられない。
【０１６１】
１つの実施形態において、遺伝子配列のための使用ステージ（２４４）は、コンシューマアカウントに関連した許可に依存する。ほとんどの場合、シーケンス識別子にコンシューマＩＤを結び付けるリンクオブジェクトは、例えば、診断機能ツールに対して、露呈されない。従って、好適な実施形態において、ツールが低レベルの配列データに対してアクセスしても、それは、遺伝子クラウド内に格納されてもよい医療用又は他の表現型の情報を含む、配列決定されたコンシューマの身元に関する更なる情報を取得するために、その情報を用いることができない。例示的な許可のフレームワークの実施形態は、以下に記載される。
【０１６２】
１つの実施形態において、遺伝子クラウドシステムは、遺伝子、表現型、及び／又は他のデータに対するアクセスを管理するルールの安全な保管及び解釈のための役割を担うポリシー管理システムを含む。この管理システムは、特定のソース（特定の安全なアナライザー環境）から生成されたデータを自動的に関連づけるルートポリシーが供給されていてもよい。
【０１６３】
以下は、システムの１つの実施形態がどのように用いられるのかに関する例である。（ａ）医者は、システムにログインする。（ｂ）医者は、患者の記録を問い合わす。（ｃ）患者のＣＩＤが検索され、概要が表示される。（ｄ）医者は、患者の記録上のサンプルを閲覧する。（ｅ）ＣＩＤは、すべてのＳＡＭ−ＣＩＤオブジェクトを配置するために用いられる。（ｆ）ＳＡＭ−ＣＩＤオブジェクト内の許可は、サンプルデータに対するアクセス毎にチェックされ、医者は医療スタッフの一部であるので、アクセスが許可される。（ｇ）医者は、２つのサンプルを選択し、行なうべき検査を選択する。（ｈ）安全な環境は、検査を検証し、すべてのデータのロックを解除し、配列データを検索し、復号し、検査によって必要とされる入力データをすべて検証し、検査を行なう。（ｉ）料金が検査に関わる場合、料金請求システムは、適正な請求代金により更新される。
【０１６４】
図１３は、配列データが生成され、個人及びサンプルが対応するデータに関連づけられ、許可によって安全に処理される、様々な安全な環境を介したデータの典型的な流れを図示する。第１の段２４０において、安全なアナライザ環境は、配列データを生成し、暗号化し、且つデジタル的に署名するために用いられる。安全にされたデータ及び関連する識別子は、アナライザ・データ・パッケージ（ＡＤＰ）内にパッケージ化され、安全なデータ受信環境に送信される。ステージ２４０の追加的な好ましい実施形態に関する情報は、図２１に関連して更に記載される。安全なデータ受信環境内では、ＡＤＰデータは、遺伝子クラウドシステムの中で認証され、復号され、安全に摂取される。このステージ（２４２）において、ＡＤＰの内部の識別子は、特定遺伝子クラウドサンプルＩＤ及びコンシューマＩＤにデータを関連づけるために用いられ、配列データは、遺伝子クラウド内に配列データオブジェクト（ＳＤＯ）として転写され、保存される。ステージ２４２の追加的な好ましい実施形態に関する情報は、図２４及び図２５に関連して更に記載される。ステージ３（２４４）において、配列データは、検索要求及び仮想診断テストリクエスト（ＶＤＴｒｘ）に呼応して、検索され、復号され、処理される。配列データ及び後続の検査に対するアクセスは、安全な環境（例えば「仮想研究室」）内で、データの所有者によって割り当てられた許可に従って行なわれる。ステージ３（２４４）のための典型的なプロセスは、図１６において更に詳細に記載される。
【０１６５】
図１４は、いくつかの実施形態による、データオブジェクトの間のリンクを示す実体関連図である。図１４は、プライバシを維持するために遺伝子クラウドの１つの実施形態において用いられる各種データオブジェクト間の関係の更に詳細な図を提供する。
【０１６６】
許可フレームワーク
【０１６７】
このセクションは、患者向け情報が遺伝子クラウド内で安全に保つことができる１つの方法を例証する許可フレームワークの例を記載する。このセクションは、例として意図され、他の多くの種類の許可フレームワークが可能である。特に、ポリシースキームは、（同一出願人による米国特許出願第１１／５８３，６９３号（公開第２００７／０１８０５１９号）（「‘６９３出願」）及び／又は米国特許出願第１０／８６３，５５１号（公開第２００５／００２７８７１号）（「‘５５１出願」）に記載されたような、実行可能な言語を用いて表現された許可において用いることができる（‘６９３出願及び‘５５１出願の内容は、それらの全体の参照によって、本明細書に援用される）。許可は、また、例えばＸＭＬスキーマによって定義された宣言型言語でコード化されてもよい。
【０１６８】
いくつかの実施形態による、遺伝子クラウドは、遺伝子情報に対するアクセスがコンシューマプライバシとの平衡を保つように設計される。いくつかの好適な実施形態において、データがコンシューマの身元明示的に関連され、且つアクセスを許可するためにポリシーが明示的に変更されるまで、データはすべて匿名である。これは１つの種類のデフォルトポリシーの設定であるが、しかし、他の実施形態による他のものも可能である。
【０１６９】
遺伝子クラウドによって維持された許可ポリシーは、例えば、（１）データの原所有者（例えば、配列決定を行なった実体）、（２）配列が収集、処理、又は格納される地理において有効な法律及び条令、（３）介添人、及び／又は（４）患者を含む、複数のソース、から作り出されてもよい。遺伝子クラウド内で維持された異なる種類のプライベート情報に対して適正な保護を適用するために、異なる情報を、彼らの敏感さよるいくつかの可能的な種類の１つとして分類することができる。クラスの代表的な設定は、表４に示される。（３つの＊＊＊によってマークされた）最後の２列は、典型的には、高度にプライベート且つ敏感であり、最も厳格な保護要件を有する一方で、（単一の＊によってマークされた）最初の２列は、典型的には最小の機密情報を表現する。（２つの＊＊によってマークされた）２つの中央列内の情報は、典型的には、およそ中間である。
【表４】
2015502588.tif 000011
【０１７０】
１つの実施形態において、各々の種類のデータ要素に関しては、データを所有するコンシューマは、データのそのクラスに対してアクセスしてもよい当事者を指定してもよい。表５は、いくつかの実施形態による、システム内に定義されてもよいユーザ許可のいくつかの例を以下に示す。
【表５】
2015502588.tif 000012
【０１７１】
１つの実施形態において、様々なユーザがデータにアクセスする能力が一旦確立されれば、コンシューマ（又はコンシューマの代わりに機能する代理人）は、データにより許可される特定の使用を更に制限してもよい。表６は、例示的な遺伝子クラウドシステム内のデータに対して可能にされてもよい許可された使用のいくつかの例を以下に提供する。
【表６】
2015502588.tif 000013
【０１７２】
１つの実施形態において、コンシューマ許可は、別の許可テーブル又は他の適切なデータ構造内で保全され、その一例は、表７に示される。この許可テーブルは、遺伝子クラウド内の複数データの精度（granularities）において適用してもよい。例えば、この許可マトリックスは、コンシューマの全データセット、特定のデータプライバシクラス、及び／又は特定のデータ要素に関連づけられてもよい。
【表７】
2015502588.tif 000014
【０１７３】
１つの実施形態において、遺伝子クラウドの許可システムは、許可の更なる粗粒子状のセットからの変動を取り込む許可格子の例外の表現のために可能にする。例えば、コンシューマが、デフォルトですべてのデータに対する使用Ｕ００４を却下することを決心したならば、コンシューマは、特定のクラスの低機密情報に対して許可するＵ００４このポリシーの例外を挿入することを望むかもしれない。例外テーブルの一例は、表８に示される。
【表８】
2015502588.tif 000015
【０１７４】
プライバシデータクラス、許可された使用、例外などをもつ許可システムは、コンシューマを平均化するために複雑な構成の相当困難なレベルを示してもよい。従って、いくつかの実施形態による遺伝子クラウドは、ユーザが単純なインタフェースを介してベストプラクティス系のポリシーを選択することを可能にする１セットの合理的なデフォルトポリシーテンプレートを含んでいてもよい。特定のテンプレートを選択した後に、以上に記載されたプライバシ関連の設定は、選択されたレベルに対して適正に、システムによって自動的に割り当てられる。ポリシーテンプレートの例は、表９に示される。
【表９】
2015502588.tif 000016
【０１７５】
更に、いくつかの実施形態によれば、コンシューマのゲノム上のＶＤＴを実行するなどの遺伝子クラウド内の特殊動作が、明示的な許可リクエストを引き起こしてもよく、その一例は、以下に示される。このように、特定の使用（広範囲のカテゴリの使用とは対照的に）は、コンシューマによって認証されてもよい。図１５は、いくつかの実施形態による、自動的に生成された承認リクエストのためのテンプレート２５２の例を示す。
【０１７６】
仮想診断テストの設計及び実行
【０１７７】
複数のＶＤＴを実行。一部の実施形態によれば、仮想診断テスト（ＶＤＴ）を実行することは、以下の４つの過程を含む処理である。（１）許可を確認：要求される特定のデータに対してＶＤＴの実行が承認されているか検証すること。（２）認証及び検証：ＶＤＴ自体及び作用するデータオブジェクトが正しく検証されたと判断すること。例えば、一部の実施形態において、ＶＤＴは、特定の実行環境で動作するためにデジタル署名が必要な場合があり、明確に定義され、検証された一連の処理のデータに対してＶＤＴ自体を行うことができる。（３）実行：安全な実行環境でＶＤＴを行う。（４）出力：例えば、投薬情報、特定の遺伝子のコピー数多型などのＶＤＴ出力を生成する。
【０１７８】
図１６は、一部の実施形態による、仮想診断テスト（ＶＤＴ）を実行するための処理の動作を示すフローチャートである。当業者は、処理４００で実行されるＶＤＴが必ずしも単一で、モノリシックなプログラムである必要はなく、実際には各動作が調和した複数の下位コンポーネントから成ることができることを認識する。本明細書で用いられる「ＶＤＴ」という用語は、ＶＤＴが複数のコンポーネントから成る実施形態を含むよう理解されるべきである。このような実施形態において、図１６に示すフローチャートは、ＶＤＴの下位コンポーネントの各々に適用できる。ブロック４０１では、ＶＤＴ要求（ＶＤＴＲｘ）が遺伝子クラウドシステムで受信され、これは特定のユーザが特定のデータセットに対してＶＤＴを行いたいと表明したことを示す。
【０１７９】
一部の実施形態によると、ＶＤＴに使用されるデータセットは、表現型又は遺伝子型のデータの評価に依存する属性によって規定される。例えば、限定されるものではないが、（１）入力セットは、８５歳以上で、乳癌の家系でない日本人家系の全員のゲノムを収集することによって形成されることができる、又は、（２）入力セットは、所与の遺伝子の所与の変異体を持ち、特定の症状がまだ表れていない全員のゲノムを収集することによって形成されることができる、及び／又は、（３）他の選択手順又は基準による。
【０１８０】
ブロック４０２では、許可システムを用いて許可が確認される。このような許可システムの実施態様は、本書面の他の箇所に記載され、これに限定されるものではないが、‘６９３出願及び／又は‘５５１出願に記載の制御及び管理機構を有する。一部の実施形態によると、ＶＤＴを実行する許可があることを検証することは、以下のいくつかの要因の判断を含むことができる。例えば、（１）ＶＤＴの創作者が信頼のある者であるか、又は信頼のある役割を持つかどうか。例えば、ＶＤＴはバイオインフォマティクス人材の特定のグループによって作成されたか、又は、公的資金の助成を受けた研究に関与するアカデミックな研究室によって作成されたか。（２）ＶＤＴの実行を要求している人が特定の信頼のある者であるか、又は信頼のある役割があるかどうか。例えば、依頼人は、特定の臨床医であるか、又は、配列所有者の主治医であるか、又は、衛生行政機関の伝染病学者であるか。（３）オプションとして、システムは、電子メールＳＭＳ、遺伝子クラウドアカウントに送られるメッセージ、電話、認定されたメール若しくは他のメール、又は、他の手段を介して所有者と連絡をとることによって、配列の所有者に直接許可を求めることができる。このような条件が満たされるまで、ＶＤＴの実行をブロックできる。（４）ＶＤＴは、ゲノムのどの部分にアクセスすることになっているかについて示すことができ、その遺伝子座にアクセスするための特定の許可を確認してもよい。例えば、ゲノム所有者は、アルツハイマー病のリスクと強く相関するＡＰＯＥ４遺伝子へのアクセスを完全に制限するよう選択してもよい。ゲノムのこの部分へのＶＤＴ要求の許可はされないであろう。及び／又は、（５）特定のゲノム又はそのサブセットへのアクセス許可は、ゲノムや、明らかにされる個人情報の量などへの以前のアクセス履歴に依存してもよい。例えば、遺伝子クラウドは、特定の情報へのアクセスを、その情報が以前に公表された情報と組み合わせて対象を個人的に識別するのに使用できる場合、許可せず拒否することができる。なお、ＶＤＴの実行が、例えば、異なる人々が所有する一まとまりのゲノムに対して作用する場合、複数の当事者の同意によることができる。ここでは、許可はブロック４０２でまとめることができ、必要な許可が得られるまでＶＤＴの実行を停止させ、又は、ＶＤＴ実行は、許可が得られたゲノム所有者を表す入力のサブセットに移ることができる。
【０１８１】
ブロック４０３では、ＶＤＴの使用に支払いが必要な場合、関連するアカウントは請求可能であるか検証することができる。ブロック４０４では、上述の確認に基づいて続けるかどうか決定される。ブロック４０５では、ＶＤＴが上述の信頼モデルの下で適切な当局によって署名されたことの検証がなされる。この例では、明示的にこの検証が行われるが、代わりに暗示的に、又は、異なる時刻に行われてもよいことはいうまでもない。例えば、ＶＤＴが遺伝子クラウドシステムにアップロードされるときに、検証をしてもよい。検証に関する情報（例えばＶＤＴを作成した者の記録、ＶＤＴに署名した信頼のある者のリストなど）は、持続性のキャッシュに保存でき、ブロック４０５で考慮される。このキャッシュされたデータは、キャッシュされた証明書の満了などその他のために、随時一新されてもよい。この種の最適化は、システムの論理的な挙動には影響を及ぼさない。
【０１８２】
ＶＤＴの署名は、いくつかの使用可能な手法で取り付けてもよく、これらに限定されるものではないが、以下を含む。（１）ＶＤＴは、クライアント側ツールを用いて開発され、遺伝子クラウドにアップロードされる前に、デジタル署名されてもよく、及び／又は、（２）ＶＤＴは、認証されたユーザによって遺伝子クラウドにアップロードされて、オンライン・ツールを使用して開発され、アセンブルされ、そして、作成者の要求により明示的にデジタル署名されてツールの公式リリースにタグ付けされてもよい。この場合、デジタル署名は、所与のゲノムについて実行するＶＤＴが指定されたＶＤＴであって、変更なく動作したことを保証する手助けとなる。
【０１８３】
ブロック４０６では、ＶＤＴにより、又は、遺伝子クラウド環境自体により特定されるデータ条件を判定する。いくつかの実施例において、遺伝子クラウドは、最小のデータ確実性、品質又は他の条件をＶＤＴがアクセスするソース・データに課してもよい。このような実施例では、ＶＤＴ作成者は、環境上のデフォルトを越える追加規制を加えてもよい。
【０１８４】
例えば、ＶＤＴは、特定の研究室で収集されたデータにのみ作用するよう指示してもよい。この種のポリシーは、オリジナルデータ・パッケージが不可欠な研究室によってデジタル署名されたことを検証することで実施される。同様に、ＶＤＴ（又は遺伝子クラウド環境）は、研究室からのデータを、その研究室がＣＬＩＡ保証されていれば許容してもよい。技術的には、これは、オリジナルデータ・パッケージにデジタル署名するために使用する証明書は、ＣＬＩＡなどの当局によりそれ自体が署名されたことを検証することで実現されうる。他の許容する方針では、正しいフォーマットであり、有効な証明書を有する配列決定装置が生成したものであれば、入力を許容しうる。
【０１８５】
ＶＤＴは、入力フォーマット、データの出所及び品質などに特定の規制を課してもよい。例えば、ＶＤＴは、ゲノムが、４つの主な製造業者の１者の機械で配列決定されたこと、それら機械の型及びファームウェア・バージョンが最新であったこと、ゲノムが特定のアルゴリズムによって所与のパラメータセットでアセンブルされたこと、配列が未処理の遺伝物質の少なくとも４０ｘサンプリングに基づいて生成されたことなどを必要としてもよい。ＶＤＴへの入力データを準備する際に、遺伝子クラウドの一部の実施形態は、データを適当な入力フォーマットに自動的に変換してもよく、ブロック４１０で生成する出力報告のためにこのような変換動作を記録してもよい。
【０１８６】
ブロック４０７では、例えば、処理するデータについて一連の処理及びフォーマットを検証して適用可能な条件を満たすか検証される。ブロック４０８では、先の各ブロックの結果に基づいて、進めるかどうか決定される。ブロック４０９では、ＶＤＴが暗号化されている場合、ＶＤＴを復号化し、安全な実行環境で実行する。ＶＤＴ署名と同様に、ＶＤＴが遺伝子クラウドにアップロードされるときに、暗号化されたＶＤＴを復号化できるが、これは、必ずしも適当とは限らない一最適化である。例えば、ＶＤＴが遺伝子クラウド・サーバの一方から他方へ送られる場合、暗号化するようにして、（ａ）送信中にＶＤＴを保護し及び／又は（ｂ）ＶＤＴ暗号鍵へのアクセスを制限することでリモートサーバを認証するようにしてもよい。
【０１８７】
ＶＤＴの実行中に、ブロック４０２のように、追加許可を確認してもよい。ＶＤＴがゲノムのどの部分にアクセスするか具体的ではない場合、ゲノムへアクセスするための特定の要求は、ＶＤＴ実行の間、遺伝子クラウドによって監視されてもよい。この監視処理は、進めることが必要な情報の取得を失敗する場合があり、例外が生じる場合がある（例えば、ブロック４１１でエラー報告を作成する）。
【０１８８】
再び図１６を参照すると、ブロック４１０では、報告オブジェクトの形で依頼人のための出力を準備する。追加報告及び監査記録を種々の目的のために作成してもよく、特定のゲノムがアクセスされた方法に関して問題が生じたときの法医学的監査を含む。これらの報告は、例えば、タイムスタンプ、ＶＤＴ、入力データ及び／又は結果の署名されたハッシュを含んでもよい。この機構によって、遺伝子クラウドがデータに対して信頼性のある一連の処理が維持可能になる。
【０１８９】
ブロック４１１では、ブロック４０４又は４０８の決定が否定的である場合、許可失敗又は例外的なケースであることを示すエラー報告を作成する。
【０１９０】
ＶＤＴデータ構造
【０１９１】
以下の例は、一部の実施形態によるＶＤＴデータ構造自体を示す。図１７は、一部の実施形態による、メイン仮想診断テスト（ＶＤＴ）データ構造の一例を示す。データ構造例８００は、ハイレベルの構成要素を含む。ヘッダ情報ブロック８０２は、ＶＤＴを識別する情報を含む。このような識別情報の例は以下を含む。（１）固有の試験ＩＤ、（２）試験バージョン、（３）試験記述名称、（４）発行者情報、（５）発行者ＩＤ、（６）発行者名、（７）作成者情報、（８）作成者ＩＤ、及び／又は作成者名。この種の情報（例えば固有の試験ＩＤなど）の一部が、好ましくは、カタログ中のすべてのツールについて使用される。
【０１９２】
試験メタデータブロック８０３は、ツールがどの試験を実行するよう設計されているか、どのように使用することを意図しているか、予防措置及び／又はそのような他の情報を記述する情報を含む。この情報は、医師、研究者及び実務家が試験の適合性を判断するために使用する、公式で、承認された記述を表す。また、試験で何が明らかになるか、試験及び／又は結果の配布に同意する前に知っておくべき注意点について、ユーザのための素人の説明を含むこともできる。一部の実施形態における試験メタデータブロック８０３に含まれうる情報の例は、以下を含むが、これに限定されるものではない。（１）医学的説明（短い医学的説明、長い医学説明、承認ユーザ、他の診断上の留意点、及び／又は他の開示を含むことができる）、（２）素人説明（短い素人の説明、長い素人の説明、素人の予防措置、及び／又はプライバシ上の留意点を含むことができる）、及び／又は、（３）使用種別分類。
【０１９３】
入力仕様ブロック８０４は、使用可能な診断結果を得るために試験に必要な入力を記述する情報を含む。これには、試験の処方者用のテキストの記述、及び／又は期待されるフォーマット及び信憑性条件のコンピュータ読み取り可能な技術的記述を含むことができる。この例では、遺伝子クラウドは、適切に形式が設定され、認証されたデータだけがツールに入れられることを確実にするためにこれら条件を強いることになる。例として以下を含む。（１）入力説明、（２）入力種別、（３）期待されるフォーマット及びバージョン、及び、（４）信憑性条件。
【０１９４】
出力仕様ブロック８０５は、ツールが何の出力を作成するかを記述する情報を含む。一部の実施形態においてテキストの記述は、処方者にとって知ることが重要であり、それは一部の使用ケースでは、肯定的／否定的な結果だけが適切であり、その一方で、他の場合には、詳細な報告が適切な場合があるためである。適合性試験などの一部の使用ケースでは、カップルは、子供へのリスク要因を知りたいだけであり、望ましくない形質がどちらから生じるかは知りなくないかもしれない。
【０１９５】
技術的な観点から、このデータは、種々の試験を「連結する」して複雑な「試験セット」又は「試験束」を実行するために重要な場合がある。１つの試験の結果は、更に試験を行うべきか判断するための他の試験に入力してもよく、次にどの試験を行うべきか導いてもよい。例として以下を含む。（１）出力説明、（２）出力種別、（３）出力フォーマット及びバージョン、及び、（４）秘匿性条件。
【０１９６】
一部の実施形態において、試験アルゴリズム・ブロック８０６は、ＶＤＴ自体を含む。これは、実行可能プログラム、宣言型プログラム、その他、例えばＶＤＴ結果をもたらすために安全な実行環境によってそれに作用できるフォーマットとして書式が整えられてもよい。図１９の例に示す論理構造は、ゲノムの特定位置で特定パターンについて試験するか、又は、特定位置で特定ベースについて試験する簡単な機能を含む。複雑なパターンを、パターン資源ブロックに別に列挙されたパターン変数のライブラリとして格納することができる。種々の試験を、ブール論理を使用して組み合わせ、ひとつ又は複数の結果を得る複合試験を作成してもよい。
【０１９７】
署名ブロック８０７は、このＶＤＴの機能又は品質を作成し、保証し、チェックし、若しくは、証明した種々の者の署名を含む。
【０１９８】
その他ブロック８０８、例えば特定のベンダーにより追加された拡張など、他のデータも含むことができる。
【０１９９】
図１７は、説明のために提供するものであり、限定するものではないこと、及び、一部の実施形態では、異なるフォーマット又は種別のデータ構造を代わりに用いてもよいこと、及び、他の実施形態では、このようなデータ構造が全く用いられないことはいうまでもない。
【０２００】
図１８は、一部の実施形態による、拡張したメタデータの例を示す。検索支援情報８１０及び支払い情報８１２の構造化データが、図１７のその他ブロック８０８に現れる例として示されている。
【０２０１】
図１９は、一部の実施形態による、仮想診断テスト（ＶＤＴ）アルゴリズム仕様の一例を示す。仕様８０６は、図１７のＶＤＴ試験アルゴリズム・ブロック８０６の一例である。しかし、図１９は一例であり、ＶＤＴは適切な形態で定められ及び／又は実現されることができる。
【０２０２】
安全な調査要求
【０２０３】
一実施形態において、安全な調査要求（ＳＲＲ）は、学術的又は医学的な調査、遺伝子の検索サービスなどに関連した使用に合うように調整されたＶＤＴＲｘ（ＶＤＴ要求）の形式である。概して、処理及びＳＲＲの使用は、ＶＤＴＲｘについて特定したものと同じ手順に従うことになる。ＶＤＴＲｘのほとんどの使用ケースについて、医師又は認可された医療従事者が、アクセス許可されたひとり又は複数の患者に関連する既知の入力を使用して実行するために特定のＶＤＴを要求していると仮定する。しかし、調査用の使用ケースに適するためには、どの個人及び／又は配列を研究に含めるか、及び／又は、どの個人を研究に参加するよう誘うべきかを決定するために、追加ステップの実行が必要な場合がある。
【０２０４】
一実施形態において、ＳＲＲを作成する処理は、行われる試験に関する情報を特定すること、及び、入力を特定するための選択基準を特定することを備える。特定することが望ましい場合がある情報の種別の例は、以下を含むが、これに限定されるものではない。研究者又は機関の名称、連絡先、加盟機関（複数可）の識別、研究目的、研究期間、選択理由、必要とされる関与のレベル（例えば、消極的（さらなる努力は必要ない）積極的、アンケート、面談、訪問、複数回の訪問及び試験を含むこと）、使用種別分類、プライバシ関連の留意点（例えば、最小限のサイズの研究、匿名の関与（Ｙ／Ｎ）、アクセスされる特定の遺伝情報、アクセスされる健康記録情報及びアクセスされる個人情報を含む）、選択基準（例えば、遺伝子型選択基準、表現型選択基準及び／又は他の選択基準）、そして、ＶＤＴセット（例えば、サンプルに対して実行するＶＤＴのリスト又はサンプルに対して実行するＶＤＴセットの識別）。
【０２０５】
一実施形態において、遺伝子クラウド環境は、要求を前処理して、可能性のある参加者数及び／又は選択された基準を満たす存在する可能性のある配列数を判断する。一部の実施形態において、これは、データベースを調べて行い、所望の基準を満たし、データにアクセスする適切な許可がなされている（又は要求できる）個人又は配列の数を戻すことを含んでもよい。
【０２０６】
このハイレベル・データから、研究者は、研究に含めることができる群の最小サイズと（例えば、特定された選択基準を満たし、許可がすでに与えられたもの）、その群の考えられる最大サイズ（例えば、選択基準を満たすが、関与に同意する前に匿名で尋ねたいであろう許可マトリックスにおいて特定したものも含む）を決定することができる。プライバシを損なう場合がある、極めて狭く個人に焦点を絞ること（例えば、使用自体を正しく特定することなく家族的な検索にＳＲＲを使用すること）を防ぐために、安全な処理環境は、研究用の一群として対象にできる最小限の個人数又は配列数をオプションで課すことができる。
【０２０７】
研究者が、許可中を示す参加者を含めたく、要求で指定される使用のためにデータへのアクセスを許可する前に質問したい場合、研究者は、研究者を代表して参加する招待状を発送することをシステムに要求できる。これにより、参加又は辞退する機会が与えられる一方で、研究の潜在候補が匿名のままであることが確実になる。同様に、研究がユーザを代表した能動的な参加を必要とする場合には、システムは、参加する同意を確認するために認証された参加者と情報交換する研究者用設備を提供ことになる。
【０２０８】
ＳＲＲが、研究者により保存され、周期的に再評価されて、承認された参加及び／又は研究に含めることが認められた許可を有する個人数又は配列数を判断してもよい。研究者がこのサブグループで表される一群に満足するとき、実行のためにＳＲＲを提出し結果を判断してもよい。一実施形態において、ＳＲＲを提出することによって、研究者は関連するデータでの試験の実行を起動させ、また、支払い請求イベントを生じさせてもよい。支払い請求は、登録毎のものでもよいし、又は検索の種々の属性に基づくものでもよい（例えば、アクセスされる個人の記録の数、アクセスされる配列の数、検索されるベースの数、計算時間などの一つ以上である）。ＳＲＲが実行のために提出されると、プライバシ及びシステムの安全性を維持するために必要な許可確認及びセキュリティ関連動作を含む、予め規定された処理を用いて関連するＶＤＴを実行させる。
【０２０９】
一実施形態においては、データにアクセスする許可がＳＲＲの以降の各処理の間にユーザによって変更される場合、システムは、この状態にフラグを立て、データセットのサイズが変化したことを研究者に通知し、研究者は、修正されたデータセットで試験を続けるかを独立して決定することになる。
【０２１０】
一部の実施形態において、他のＶＤＴが消費者データにアクセスするのと同様に、各アクセスの監査可能な記録がシステムによって記録されて、消費者に利用可能となる。このようにして、システムは、データの所有者に対して、誰が、いつ、そして何の目的でそのデータにアクセスしているかについて透明性がある。
【０２１１】
ゲノム調査ツール
【０２１２】
上述のように、遺伝子クラウドの一部の実施形態は、ＶＤＴのアルゴリズムを実行する能力を提供することができるが、ゲノム調査ツールプロバイダ用のクラウドベースのプラットフォームとしても役立つことができる。一部の実施形態において、ＧＲＴは、これらに限定されないが例えば統計的計算又は視覚化、機械学習、高度なパターン認識などの追加能力を提供する遺伝子クラウド・プラットフォームに対するプラグインとして提供されてもよいツールである。このようなツールは、遺伝子クラウド・プラットフォームの初期能力として提供されてもよいし、又は、割増会費として、又は、利用毎の料金制で提供されることができる。研究者やＶＤＴ作成者などのユーザは、追加の特徴を望む場合、ＧＲＴマーケットプレイスからこれら追加ツールを選択するオプションを有しており、その使用に関連する追加料金にも同意することができる。例えば、研究者は、ＶＤＴ結果を閲覧するために特定の調査視覚化ツールを使用するために会費を選択してもよいし、又は、ＶＤＴ作成者は、ＶＤＴの実行中に用いられる、ツール提供者に割り当てられたＶＤＴの使用に関連する一部の料金に同意してもよい。遺伝子クラウドの安全性及び整合性を維持するため、このような特徴を利用するために書き込まれるＶＤＴは、遺伝子クラウドの信頼性マネージメント特徴を利用することがまだ可能であり、クライアント・データに関連する許可に従ってデータへのアクセスがなされる。
【０２１３】
安全なアナライザ・データを生成して、摂取すること
【０２１４】
一部の実施形態によれば、安全な環境から遺伝子クラウドに提供されるデータは、患者のプライバシ及びデータ整合性を収集時点から保護する。図２０は、一部の実施形態による、セキュアアナライザの構成要素の概要を示す。配列決定装置７００は、ＤＮＡ配列決定処理を自動化するために用いる機器である。遺伝子物質のサンプルが与えられると、配列決定装置７００は、例えば、ヌクレオチド・ベースの配列又はサンプル内に存在するアミノ酸を判断するために用いられる情報を作成する。データ収集ユニット７０４は、例えば、配列データを得るため、最新の自動化したＤＮＡ配列決定機器における既知の技術を含むことができる。ベース配列に加えて、配列決定装置７００は、例えば後成的なデータ、ベースコール品質スコアなど、サンプルの追加見解を出力してもよい。ゲノムデータは、安全な処理部７０５を用いて処理されて、安全な記憶装置７０７に格納される。ネットワーク・インターフェース７０６は、広域ネットワークとの通信のために提供される。
【０２１５】
図２１は、一部の実施形態による、データがとられ、保護され、及び／又は遺伝子クラウドに提供される処理を示すフローチャートである。一部の実施形態において、示される処理動作は、例えば、図２０に示すように配列決定装置７００内で実行される。他の実施形態によると、示される動作は、配列決定装置を有する信頼性のある環境にあるシステムで行われ、その一例は、配列決定装置と同じ施設内に位置する安全な専用演算処理システムを使用することである。説明を容易にするため、この例では、遺伝子配列決定の作業が終わると図２１に示す動作が開始し、ゲノムデータは保護されて、遺伝子クラウドへアップロードされると仮定する。しかし、物理的及び論理的な「攻撃面」を最小にするためにデータを生成してすぐ暗号化することもでき、場合によっては望ましくもある。一部の実施形態によると、例えば品質管理のために、配列決定データが露出される場合には、仮にそれが保護されていれば直ちに破壊される。
【０２１６】
ブロック７１２では、遺伝子配列情報は、アップロードのために準備され、フォーマット化される。ブロック７１３では、配列データにタグ付けするためのメタデータが、アセンブルされる。例えば、上記のようにＳＥＱＩＤ、タイムスタンプ、研究室識別情報など。図２２は、一部の実施形態による、アセンブルされたゲノム・メタデータ・パッケージのとりうるフォーマットの一例を示す。収集情報７５０及び試料ソース情報７５２を含むメタデータ・パッケージ７０８が示されている。
【０２１７】
図２１に示す実施例を再度参照すると、ブロック７１４では、暗号による安全な乱数又は疑似乱数発生器７２４を使用して、ランダムな短命な暗号鍵が、送信中のデータを保護するために生成される。この鍵をアナライザ暗号鍵（ＡＥＫ）と称する。代わりに、又は、付加的に、この鍵は、他の方法、例えば、（ａ）安全なネットワーク接続を介して遺伝子クラウドから、（ｂ）一組の鍵で準備した装置内の安全な格納モジュールから、（ｃ）スマートカードから、及び／又は、（ｄ）他の適宜の方法で得ることができる。これらの技術は、安全なキー・ストアを装置に埋め込むことを回避するために用いてもよく、それが装置を使用していないときの不正操作のリスクを減らす。
【０２１８】
ブロック７１５では、アナライザ・データがＡＥＫで暗号化される。ブロック７１６では、データ（ここでは、ＡＴＫと呼ぶ）の宛先に対応する公開鍵が、キー・ストア７２５を参照することで決定される。このデータベース７２５は、例えば、種々の場所における複数の摂取位置に対する複数の鍵を含んでもよく、又は、単一の集中化した遺伝子クラウド摂取位置に対する鍵を含むことができる。一実施形態においては、このキー・ストアのコンテンツは秘密ではなくて、不正操作に対して保護されて信頼できない宛先への不注意なアップロードを防止する。これらの公開鍵も、遺伝子クラウドによって保守されるレジストリから得てもよい。代替の実施形態では、遺伝子クラウド・サービスは、地理上の位置により、所与の配列決定装置に最も近い摂取位置を判断し、対応する摂取位置の公開鍵を配信してもよい。
【０２１９】
ブロック７１７では、短命な鍵ＡＥＫが、宛先の公開鍵ＡＴＫで暗号化される。ブロック７１８では、各成分が、摂取位置への輸送用パッケージにアセンブルされる。ブロック７１９では、研究室技術者でアナライザ・データをアップロードすることが確認される。一部の実施形態によれば、ブロック７１９は実行されず、むしろ、システムは、収集されるすべてのデータが自動的にアップロードされるように構成される。しかし、場合によっては、研究室の技術者にとっては、サンプルの処理が確立した手順に従って実行されたことを確認し、技術者のアイデンティティとパッケージ化されたデータが確実に関連するように自身を認証することが望ましい。また、技術者／操作者は、外部の情報（例えば、配列決定処理又は他のメタデータに関する注釈）をサンプルと関連付けてもよい。好ましくは、技術者が情報を配列と関連付ける処理は、サンプル・ドナーについての個人情報の開示を必要としない。
【０２２０】
一部の実施形態において、技術者認証を実現するには、ＰＩＮコード、パスワード及び／又はその他同類のものを入力するときに、特定の操作者だけが利用できる秘密鍵を有するデータ（ブロック７２０及び７２１のように）に署名することを含んでもよい。このような鍵の記憶は、本明細書の他の箇所に記載されるものと同様の機構によることができ、又は、例えばデータ収集システムに対する認証で用いられるスマートカードに格納されることができる。一部の実施形態によると、署名されたデータ７１９、７２０及び７２１は、メタデータとコード化されたものの暗号化されていない配列データを含み得る。これにより、下流処理の前にデータの適切な検証が可能になり、また、署名を損なわずに配列データが転写可能になる。
【０２２１】
図２１の示す実施形態において、ブロック７２０では、上述の装置製造者信頼ルートのもとで保証されたように、データは、アナライザ／配列決定装置の秘密鍵で署名される。この署名は、データが信頼性のある装置によって生成されたことを示すために検証され得る。この署名を適用するために用いる秘密鍵は、鍵の不正操作及び露出から保護する安全な記憶エリア７２６に格納される。ブロック７２１では、データは、例えば、上述の研究所信頼ルートで保証された秘密研究室鍵で署名される。この署名は、データが適切な証明書を有する研究室で収集されたことを検証するために確認され得る。ブロック７２２では、データ及び署名は、伝送のためにパッケージ化される。ブロック７２３では、アナライザデータパッケージ（ＡＤＰ）は、摂取位置にアップロードされる。一部の実施形態によれば、図２１に示すワークフローは、遺伝情報の原点位置での保護方法の例を提供する。図２１は説明のために設けられたものであり、他の実施形態においては、他のワークフローを用いることができ、他の暗号化、鍵管理及び／又は他のセキュリティ方式を用いることができ、及び／又は、その他同類のものを用いることができ、その全ては創作的内容の原理に従うことはいうまでもない。
【０２２２】
図２３は、一部の実施形態による、アナライザ・データ・パッケージ（ＡＤＰ）フォーマット７６０の一例を示す。
【０２２３】
一部の実施形態によると、一旦配列データが、例えば図２１について上述したワークフローに従って保護されると、データは遺伝子クラウドによって摂取される。摂取位置は、相互接続した成分のエコシステム内の多数の動作のひとつでもよく、又は、集中した摂取位置でもよい。
【０２２４】
図２４は、一部の実施形態による、アナライザ７００の環境の鍵と遺伝子クラウドシステム１４０の摂取の際の鍵の例示的な関係を示す。図２４は一例であり、他の実施形態では、他の関係が使用されてもよく、及び／又は、異なるタイプの暗号方法及び／又は他のセキュリティ技術が使用されてもよいことはいうまでもない。
【０２２５】
図２５は、一部の実施形態による、アナライザにより作成されるデータの摂取の際に実行する動作を示すフローチャートである。図２５に示す例では、処理９００は、以下の４つの過程を介して実行される。（１）検証及び解凍。例えばデータが信頼性のある装置、研究室などから来たことを検証し、データ・パッケージを解凍して有効化する。（２）転写及び複写。短命なパッケージングを取り外して、遺伝子クラウド内部フォーマットにデータをフォーマットする。（３）安全な関連性の作成。サンプルデータと消費者間の関連性を記録する。（４）アーカイブ及びクリーンアップ。長期間のアーカイブのためにデータを格納して、一時的な人工物を除去する。
【０２２６】
ブロック９３０では、データが、入力したキューからロードされる。ブロック９３１では、アナライザ・データ・パッケージの署名が有効か検証される。これは、例えば、図２１に示すアナライザ・ワークフローのブロック７２０及び７２１で適用された署名を検証することを含むことができる。ブロック９３２では、一時的なＳＥＱＩＤが、その短命なＳＥＱＩＤが発行された消費者ＩＤ（ＣＩＤ又はＣＵＩＤ）を探すのに用いられる。
【０２２７】
ブロック９３３では、データフォーマットの異常について、又は、ＳＥＱＩＤを含むＡＤＰが、処理などのためにＳＥＱＩＤが提供された者と通常は関連づけられていない予想外の出所から受信されたか確認される。ブロック９３４で、前述の動作に基づいて進めるかの決定がなされる。ブロック９３５で、必要であればエラー報告が作成される。ブロック９３６で、新規なＳＥＱＩＤが割り当てられて、一時的なものを置き換える。ブロック９３７で、配列データオブジェクト（ＳＤＯ）が構築される。一実施形態において、ＳＤＯは、ＡＤＯに含まれる情報の上位集合であり、例えば、摂取又は他のメタデータに応じて自動的に生成されたデータの注釈を含むことができる。ブロック９３８で、例えば図１４に示すＳＥＱＩＤ記録が読み込まれる。ブロック９３９で、サンプルＩＤ（ＳＡＭ  ＩＤ）が割り当てられる。ブロック９４０で、例えば図１４に示すＳＡＭ  ＩＤオブジェクトが読み込まれる。ブロック９４１で、ＳＥＱ−ＳＡＭリンクオブジェクトが構築され、配列及びサンプルデータを接続する。ブロック９４２で、ＳＡＭ−ＣＩＤリンクオブジェクトが構築され、ＳＥＱ及びＳＡＭをＣＩＤ／ＣＵＩＤに接続する。ブロック９４３で、リンクオブジェクトが、安全なデータベースに格納される。ブロック９４４では、後に法医学上の目的のために必要となる場合があるため、データは、監視目的（例えば短命なキー、ＩＤなど）のためにアーカイブされる。一部の実施形態において、これらは、好ましくは保護されていて、遺伝子クラウドの標準的な動作で使用する他のデータから分離される。クリーンアップ・ブロック９４５において、摂取は完了としてマークされ、入力オブジェクトはキューから取り除かれる。
【０２２８】
配列データが遺伝子クラウドにアップロードされて、ユーザ／患者のアイデンティティに関連づけられると（ブロック９４２）、そのアイデンティティに関連づけられた他の情報、例えば許可が、ＶＤＴによるデータへのアクセス及び使用を管理するために用いられてもよい。一部の実施形態によると、遺伝子クラウドは、同じユーザ・アイデンティティの下で、健康記録及び他の個人情報を格納することができるか又はインデックスを付けることができる。このように、ＶＤＴが特定の人（又は特定の属性をもつ人のグループ）の配列データに作用することができ、その一方で、ユーザ・アイデンティティと配列とのリンクは、間接的に格納されるだけである。一実施形態において、デフォルトの遺伝子クラウドポリシーは、ＶＤＴが、表現型的な（健康記録などの）データと遺伝子型のデータのリンクを見るのを禁ずる。
【０２２９】
信頼性のあるデータ分析プラットフォーム
【０２３０】
前述の説明の多くが遺伝学の分野の例を扱うが、本明細書で説明するデータ保護、処理及び分析システム及び方法は、さらに一般的にいえば、他の場面にも同様に適したものであり、限定されるものではないが、２、３例を挙げると、カスタマイズされた薬剤、エネルギー・マネージメント、ターゲット広告及びスマート自動車システムにも適している。
【０２３１】
例えば、データマイニング・アルゴリズムは、分析を実行するために分析されるデータに必然的にアクセスしなければならない。しかし、あまりに頻繁に、データセットへアクセスするアルゴリズムを提供することは、例えば情報工学者、データ科学者、研究者、ＩＴ職員などの所定の人々に、データへのアクセスを提供することも伴う。その人のデータがこのようなデータセットに含まれる人にとって、開示は、受け入れがたいリスクを構成する場合がある。例えば、健康管理データが損なわれると、情報が不注意に開示された患者及びそれを開示した機関の双方にとって回復不能な被害につながる場合がある。多くの場合、データの侵害は意図的でない。その代わり、不注意なポリシー、例えば個人情報が盗まれるか置き忘れる可能性があるラップトップ・コンピュータ又はフラッシュメモリ・ドライブに格納可能であるために起こる。
【０２３２】
他の場合には、未処理データへのフルアクセスを提供することで分析者に対する責任が生まれる。例えば、内科医がアルツハイマー病のリスク要因を調べるために遺伝子検査を行いたく、ゲノム配列の全てが入力として与えられる場合、ゲノム配列に含まれる他の情報に基づいた患者への通知、取扱いについての法律上及び倫理上の義務は不明である。患者のゲノムが、例えば、関係のない障害の非常に高いリスクの証拠を含む場合、２次的な障害に関する情報が、保有する情報の中で単に潜在的なだけものであっても、内科医は、患者に知らせて処置することが法的に、又は、倫理的に必要かもしれない。
【０２３３】
最終的には、データの大きさ又は法定規制のため、未処理のデータセットを移動することは、非実用的か実行不可能かもしれない。例えば、ヒトゲノムの全ゲノム配列決定は、一人当りおよそ３００ＧＢの情報を生じる可能性があり、さらに人間のマイクロバイオームから配列データによって増えるときでも情報はふくらむかもしれない。データマイニング・アルゴリズムにより分析されるようにこのようなデータを集中させることは、困難か、又は不可能な場合がある。また、国及び地域の法律が、このようなデータがその出所の国から出ることを明示的に禁止している場合がある。
【０２３４】
先の例は、現在大きなデータセットを分析する手法が不足していることを指摘している。本明細書で説明するシステム及び方法の実施形態は、信頼性のあるデータ分析プラットフォームを提供するために用いることができ（例えば、遺伝子クラウドシステムに関して先に説明で示されるように）、プラットフォームは、データ投資者のポリシーを尊重して個人情報の漏出を防止する方法で、信頼性のあるデータ分析プログラムが安全な環境の信頼性のあるデータに作用できるようにすることによってこの不足に対処する。
【０２３５】
分析者ではないプログラムが、未処理データにアクセスすることができること
【０２３６】
現在の慣例ではらたくデータ分析方法のひとつの課題は、分析プログラムを実行する分析者が、アルゴリズムへの入力となる未処理データに度々アクセスするという事実とともになされなければならない点である。これらの分析者自身が信頼性のある関係者である場合でさえも、データは依然としてリスクを含む。本明細書で説明するシステム及び方法の一部の実施形態において、この課題は、分析プログラムがデータに作用し、分析者がこれまでに未処理データへのアクセス又は制御したことを必要としない答えを生成可能にすることで対処される。この構成は、分析者がデータを格納して編成する必要を取り除き、同様に明白なプライバシ保護特性を有する。例えば、遺伝相談員が、２人の患者の子が、テイ・サックス病などの特定の遺伝的疾患で生まれてくる可能性を知りたいことを想定する。保因者スクリーニングプログラムＣは、１人の被験者のゲノムを入力し、被験者が疾患の保因者かどうか判断する。プログラムＣは、両被験者に実行され、結果を組み合わせて疾患をもつ子の確率を判断する。両親が保因者である場合、子には、疾患がある可能性が２５％及び保因者である可能性が５０％ある。両者が保因者でないことが事実な場合、子に疾患がある見込みはない。この場合、両方の患者にプログラムＣを走らせることは、１００％の確実性で、カウンセラーに、両患者の保因者状態を知らせるものである。
【０２３７】
一方、保因者スクリーニングプログラムＣが、カウンセラーに見えない方法でデータに作用し、結果が、両患者が保因者の場合「真」を返し、そうでなければ「誤」を返す追加プログラムＲによって結合された場合、両患者が保因者である場合にはだけ、個々の保因者状態が明らかにされる。これは非常にまれであり、確率としてはリスク人口が最も多いテイ・サックス病でさえ約０．１４％である。換言すれば、非常にプライベートな情報が明らかになる確率は、使用している既存の方法が１００％の確率であるのに対し、１％より大幅に小さい。この例が示すように、データ分析プログラムが人間オペレータの代わりにデータにアクセス可能にすることで、他では達成できないさらなるプライバシ特性を提供できる。
【０２３８】
従って、好ましい実施態様において、データ分析プログラムの考案者に、受け入れがたい量の中間情報を示さない方法で、データ分析プログラムを実行できる実行環境が提供される。
【０２３９】
分析プログラムを信頼すること
【０２４０】
上で示唆したように、データ分析がその回答に依存する人又は人々の視界の外で制御なく行われる場合、実際にデータに正しいプログラムが実行されたことを確実にすることが重要になる。例えば、悪意のある関係者が所与の分析プログラムを実行したと主張するが、実際には不正にその位置で他のプログラムで置換して、代わりにそのプログラムを実行したことを想定する。操作者が、悪意のない事務員の間違いによってうっかり誤ったプログラムを実行環境にアップロードしたことを想定する。それを頼りにする者は、もたらされる結果から、誤った結論を引き出す場合がある。
【０２４１】
このために、好ましい実施形態では、プログラムを信頼可能にする機構が用いられる。各者がプログラムの信頼性を主張できる機構により（考えられる実施態様は、本明細書の他の箇所で記載する）、システムは、とりわけ以下の一部又は全てをすることができる。
【０２４２】
・所与の入力セットに対して所与のプログラムを走らせたことを確実に証明すること。
【０２４３】
・プログラムが特定の認証信任状へのアクセスとともに特定の個人又は機構によって作成されたことを証明すること。及び／又は
【０２４４】
・権限のある第三者がプログラムを審査したか又はテストして、その有効性、精度、機能又は出所などの属性を保証したという保証を提供すること。
【０２４５】
本明細書の他の箇所に記載するＶＤＴは、このような信頼性のある分析プログラムの例である。
【０２４６】
入力データを信頼
【０２４７】
同様に、信頼性のある実行環境が、所定のデータセットに対して依存する者の直接手を加えることなく、信頼性のある分析プログラムを実行するのに用いられる場合、作用したデータが修正されてなく、データが既知の出所から生じ、データが特定日より前に生成されたことなどを信頼できることは同様に重要である。信頼性のあるデータにより、システムは例えば、以下を行うことができる。
【０２４８】
・データのプライバシを保護する。
【０２４９】
・データが所定の時刻に収集されたことを証明する。
【０２５０】
・収集された時から、データが修正されていないことを証明する。
【０２５１】
・特定の信頼性のある分析プログラムが所与の時刻にデータに作用したと主張する。及び／又は、
【０２５２】
・システム及びその収集関係者、収集時刻、データ収集に伴う環境状況などの情報の出所について信頼性のあるメタデータを維持する。
【０２５３】
一部の実施形態において、信頼性のある分析プログラムは消費する入力データの種類に関して条件をつけることができ、信頼条件を含む。例えば、信頼性のある分析プログラムは、所定の種類の機器のみによって収集されたデータ、又は所定のフォーマットのデータ、又は特定の第三者の当局により承認されたデータに作用するよう決めることができる。同様に、信頼性のあるデータは、特定の特性を有する信頼性のある分析プログラムだけによりアクセス可能であるというポリシーを有してもよい。
【０２５４】
ポリシーに基づくアクセス管理
【０２５５】
信頼性のあるデータ分析プラットフォームがデータの投資者を代表して信頼性のあるデータを格納する場合、投資者は通常、物理的な保護を介したデータへのアクセスを管理できない。投資者にそれらのデータの使用制御を提供するために、システムは、信頼性のある分析プログラムにより信頼性のあるデータへのアクセスを管理するポリシー・マネージメントシステムを実現してもよい。
【０２５６】
一実施形態において、信頼性のあるデータポリシーは、特定の信頼性のあるデータオブジェクトへのアクセスを管理するルールをコード化する機械読み取り可能なオブジェクトである。信頼性のあるデータポリシーは、信頼性のあるデータ内に投資者により作成され、信頼性のあるデータ分析プラットフォームにより実施される。遺伝子クラウドシステムの場合で示したように、ポリシー・マネージメントシステムは、異なる態様の多数の信頼性のあるデータアクセスを管理してもよい。例えば、信頼性のあるデータポリシーは、以下を行ってもよい。
【０２５７】
・所定の個人又は機構により作成された信頼性のある分析プログラムだけを、信頼性のあるデータに作用可能にする。
【０２５８】
・ポリシーを特定する投資者により作成されたホワイトリスト中の者により作成された信頼性のある分析プログラムのみへのアクセスを許容する。
【０２５９】
・特定の各アクセスが、ポリシーを特定する投資者により明示的に承認されない限り、信頼性のあるデータへの全アクセスを阻止する。
【０２６０】
・信頼性のあるデータについて信頼性のある分析プログラムを実行することを要求し、及び／又は、実行結果を受け取ることになる主体（例えば、要求元主体）のアイデンティティに基づいて、アクセスを認めること又は禁止することを決める。
【０２６１】
・信頼性のある分析プログラムの作成者又は要求元主体に応じて、信頼性のあるデータの所定の部分だけへのアクセスを許容する。
【０２６２】
・特定種類の特定の使用（例えば、要求元主体の意図）にだけ、信頼性のあるデータへのアクセスを許容する。及び／又は
【０２６３】
・例えば、信頼性のあるデータのうち誰にどれくらいの情報が過去明らかにされたかについての記録を含み、信頼性のあるデータ分析プラットフォームにより格納された履歴情報に基づいて、アクセスを許容するか又は禁止する。
【０２６４】
信頼性のあるデータ分析プラットフォームを実行する
【０２６５】
信頼マネージメントシステムは、システムの動作に関係する各種の関係者／主体が、他の主体、システム又はデータオブジェクトについての特性を検証可能な形で主張することができるシステムである。一実施形態において、信頼マネージメントシステムは、公開暗号鍵を明確に定義された被験者名と関連づける一組の関連デジタル証明書（例えばＸ．５０９ｖ３証明書）と、証明書がどのように使用されるかを判断する一組の証明書ポリシーを備える。これら証明書は、証明された公開鍵に対応する秘密鍵とともに、署名者の特定のポリシーが満たされると主張するためにデジタル署名アルゴリズムの一部として使われてもよい。デジタル署名及び証明書は、主張を検証するために用いることができる。
【０２６６】
証明可能な主張をすることに加えて、デジタル署名は、署名済みオブジェクトの状態の知識を証明するために用いる。デジタル署名は署名するオブジェクトのハッシュ値を計算することを含むため、依存する者は、オブジェクトの署名者が当該オブジェクトに対するこのハッシュを計算可能だったこと、法医学又は会計監査目的のために後日検証できる事実を検証できる。
【０２６７】
先に記載した例が示すように、信頼マネージメントシステムは、さまざまな方法で信頼性のあるデータ分析プラットフォームで使用でき、限定するものではないが、以下の一部又は全てを含む。
【０２６８】
・所定の種別のデータ分析に関して専門の証明機関は、信頼性のある分析プログラム（例えば、ＶＤＴ）にデジタル署名するために、その証明書を使用するかもしれず、その結果、プログラムを調査して、ポリシーに合致していることがわかったと主張する。具体例として、ＦＤＡは、特定の医薬の投薬を手助けするよう設計された信頼性のある分析プログラムに署名してもよい。署名は、信頼性のある分析プログラムがＦＤＡの承認を得たことを示す。
【０２６９】
・信頼性のある分析プログラムの創作者は、自身の証明された鍵を用いて自身のプログラムに署名してもよく、このようにして、彼がプログラムの実際の作成者であると主張する。
【０２７０】
・装置証明機関は、特定モデルの装置が許容可能なパラメータの範囲内で（その証明ポリシーによって規定される通り）実施することを証明してもよく、その装置について、自身の証明書で署名した証明書を発行する。
【０２７１】
・信頼性のあるデータ分析プラットフォーム（例えば、遺伝子クラウドシステム）は、自身の監査処理の一部としてアップロードされるときに、自身の署名を信頼性のある分析プログラムに加えてもよい。
【０２７２】
・信頼性のある分析プログラムが信頼性のあるデータ項目に対して実行されると、信頼性のある実行環境は、例えば、（ａ）プログラムに入力された信頼性のあるデータオブジェクト、（ｂ）状態又はプログラムへの環境入力、（ｃ）プログラム自体、（ｄ）プログラムが生成する応答、及び／又は（ｅ）タイムスタンプ、の各ハッシュ値をともにもたらす監査レコードを作成してもよい。この信頼性のある監査レコードは、信頼性のある実行環境により署名されて格納されてもよく、その結果、実行される計算の証明可能な記録を維持する。
【０２７３】
一部の実施形態において、信頼マネージメントシステムは、単独で根付いたシステムでもよく、そのシステムでは、自己署名されたルート証明書が、全て一組の証明書ポリシーの管理下で、末端の者の証明書か中間証明書（それ自身、他の中間証明書又は末端の者の証明書に用いる）すべてに署名するために用いられる。別の形態として、信頼マネージメントシステムは分散されて、ルートポリシーに合致する自身の証明書ポリシーを制御する分散信頼当局に中間証明書を発行するために、ルート証明書が用いられるようにしてもよい。信頼マネージメントシステムは、完全に分散化されたシステムでもよく、そこでは、各種ルート当局が、自身の証明書発行ポリシーを規定し、所与の事例における証明ポリシーも信頼性又は適合性に応じて依存するか、又は依存しない。この後者の方の、分散化されたモデルは、証明書がワールドワイドウェブ内で使用される方法と類似している。
【０２７４】
信頼性のある分析プログラム
【０２７５】
信頼性のある分析プログラム（その具体例は、先に本明細書に記載した種類のＶＤＴである）は、さまざまな方法で実現でき、所与のマシン（仮想マシンを含む）用にコンパイルされ、実行可能な又は解釈されたプログラムとして、又は、実行される分析を記載した宣言型文書として実現されることを含む。信頼性のある分析プログラムは、信頼性のあるデータ分析プラットフォームが提供するサービス又は機能の呼び出しによるものでもよい。
【０２７６】
一部の実施形態において、信頼性のある分析プログラムは、プログラムに関する情報を示すメタデータをもたらしてもよく、例えば、その作成者、意図する機能、作成日及び／又は他の同類のものに関する情報を含む。主張（例えば一連の証明書）を検証するのに必要な公開情報とともに、例えば、所与のコンプライアンス制度の下でテストされた、プログラムについて各種の特性を主張するひとつ又は複数のデジタル署名をもたらしてもよい。
【０２７７】
一部の実施形態において、信頼性のある分析プログラムは、入力として受け入れ可能な信頼性のあるデータの種別に関する条件を伴ってもよい。これらの条件は、データフォーマットとともに、データの起源、例えば、データを生成するのに用いた機器の型、装置証明書、それを発行した認証局及び／又は他の同類のものなど、についての条件を含んでもよい。また、信頼性のある分析プログラムは、その動作の一部として、信頼性のあるデータオブジェクトを、その分析への考えられる入力について能動的に評価する機能又はサブルーチンを含むことができる。例えば、健康管理のための信頼性のあるデータ分析プラットフォームにおいて動作する信頼性のある分析プログラムは、日本人の家系で、８５歳以上の癌の家族歴を有しないすべての人からその分析データに含めたいことを特定してもよい。
【０２７８】
一部の実施形態において、信頼性のある分析プログラムは、他の種々の信頼性のある分析プログラムがどのように所与の結果をもたらすために協力して機能するか示すワークフロー仕様書を含んでもよい。これら信頼性のある分析プログラムは、実際には異なる作成者によって作成されてもよい。
【０２７９】
信頼性のあるデータ
【０２８０】
一実施形態において、信頼性のあるデータオブジェクトは、セキュリティ主張を伴う情報セットである。例えば、電力測定への適用では、信頼性のあるデータ・パッケージは、家庭のエネルギーメーターの測定量とタイムスタンプの組と測定を取り扱う装置によって作成されたデジタル署名を含んでもよい。
【０２８１】
他の用途では、信頼性のあるデータオブジェクトは、複数の者によって署名されることができる。例えば、遺伝子配列決定の用途において、配列決定マシンにより生成された遺伝子配列は、２つの証明書によって署名されてもよく、ひとつはマシン自体に関連し、もうひとつは、マシンを動かした人間のオペレータであって、自身を認証し、配列決定マシンが配列決定時に正常に作動していたと主張するオペレータに関連する。
【０２８２】
一部の実施形態において、信頼性のあるデータは、データ、その収集状況、及び／又はその他を記載するメタデータによって付随してもよい。これらのメタデータは、メタデータがデータ自体に確実に検証可能な形で関連づけられるように、各種のデジタル署名によって扱われてもよい。
【０２８３】
データは、収集してすぐに署名される必要はない。一部の実施形態において、測定装置は、信頼性のある摂取位置の公開鍵を保持し、それ自身署名を付けることになる。オリジナルデータを生成する測定装置は、例えば、以下のように摂取位置にデータを確実に送ることができる。（ａ）短命な対称鍵を生成して（又はこのような鍵を安全な接続を介して又は信頼性のある記憶装置から得て）、データを暗号化する。（ｂ）信頼性のある摂取位置の公開鍵を有するこの短命な鍵を暗号化する。（ｃ）データ及び関連メタデータを短命な鍵で暗号化する。（ｄ）ステップ（ｂ）及び（ｃ）からの暗号化結果を信頼性のある摂取位置に送る。信頼性のある摂取位置はデータを復号化し、場合によっては、監査目的で短命な鍵を格納し、そして、データを再暗号化及びサインして真に信頼性のあるデータオブジェクトを生成する。
【０２８４】
一部の実施形態において、信頼性のあるデータオブジェクトは、最初に生成されるときに、一時的な識別子によって識別されてもよい。これは、場合によっては、プライバシを保護するために必要であり、例えば、信頼性のあるデータが健康測定から構成されるとき、それらの測定は研究室によってなされ、研究室は、患者のアイデンティティ又は信頼性のあるデータに使われることになる長期の識別情報を知るべきではない。そのような場合、ランダムで一時的な識別子を、原点位置で作成してもよく（又は信頼性のあるサービスから得てもよく）、信頼性のある摂取位置は、監査目的で識別子をアーカイブして新たな長期の識別子を割り当てることができる。
【０２８５】
信頼性あるデータポリシー
【０２８６】
信頼性のあるデータポリシーは、信頼性のあるデータ分析プラットフォームによって信頼性のあるデータの使用を管理するために用いる。信頼性のあるデータポリシーを作成し、信頼性のあるデータの投資者により、信頼性のあるデータと関連づけてもよい。信頼性のあるデータ分析プラットフォームの特定の実施形態は、典型的には信頼性のあるデータへアクセスする投資者及びその可視性に関する自身の慣例がついてくる。
【０２８７】
例えば、スマート自動車の用途において車の所有者は、信頼性のあるデータ分析プラットフォームのアカウントを持つことができる。所有者の車によって生成される信頼性のあるデータ（例えば、位置データを含む）は、メタデータにタグ付されてもよく、それにより、安全な摂取位置が、信頼性のあるデータオブジェクトと所有者のアカウントを関連付け可能にする。信頼性のあるデータ分析プラットフォームについてのウェブサイトフロントエンドを訪問することで、ドライバは、最も正確な位置データを配偶者及び娘と共有するが、ドライバの保険会社とは総走行距離だけ共有することを選択してもよい。信頼性のあるデータ分析プラットフォームのこの特定の実施形態では、例えば、このようなポリシーを特定可能な、信頼性のあるデータポリシー言語を使用することができる。
【０２８８】
上記の例で示すように、信頼性のあるデータポリシーは、用途に特有のものであり、必ずしも考えられる全ての実施形態に適用するわけではない。そのようなものとして、信頼性のあるデータポリシーは、多くの異なる方法でコード化されることができる。
【０２８９】
一部の実施形態において、信頼性のあるデータポリシーは、予め決められた又は標準化された意味を有するポリシーメニューから選択されることができる。健康管理の用途において、例えば、一組のこのようなポリシーは、ＨＤＬコレステロール、最大流量、心拍数、血液酸素及びその他などの条件を含んでもよく、正確な測定、所与の期間にわたる測定平均、最低値及び最大値、及び／又は同類のものに基づいて、データへのアクセスを許容してもよい。このようなケースにおいて、ポリシーが、叙述的な構文、例えばＸＭＬベースの言語で表されるのは自然なことである。しかし、適宜のポリシー表現及び実施機構又は複数の機構を用いることができることはいうまでもない。
【０２９０】
他のケースにおいては、‘５５１特許及び‘６９３特許に記載のシステムのように、信頼性のあるデータポリシーは、所与のマシン（例えば、１台又は複数台の仮想マシンを含む）で実行可能である。実行可能なポリシーを許容するポリシー・マネージメントシステムは、概して、新しい状況でさらに拡張可能であり、必ずしも予め定められたポリシーの意味の組に関する合意が必要なわけではない。この例及び先の例において、データポリシーは、例えば、前提条件として表されることができる、条件は、信頼性のあるデータへのアクセスを許容する前に、真と評価しなければならない。
【０２９１】
米国特許出願番号第１３／４４４６２４号が割り当てられ、「情報処理システム及び方法」との名称の出願（‘６２４出願）で概して記載されたように、その出願の内容全体を本明細書に参照として組み入れ、信頼性のあるデータポリシーは、信頼性のある分析プログラムに与える前に、信頼性のあるデータについて計算するために用いられてもよい。この種のポリシーは、例えば、所定クラスの主体によって分析が要求されたときに、ランダム化機能が信頼性のあるデータに適用されて正確な測定が不明瞭になることを、ユーザが特定できるようにする。上記の自動車の例のように、ユーザは、未処理の位置データを一部の要求者と共有して嬉しいかもしれないが、午前９時と午後５時の間に収集されなかったすべてのデータは、他の主体が要求したときに除去されることを要求するかもしれない。これは、信頼性のあるデータオブジェクトについての信頼性のあるデータポリシーの一部として計算を特定することで達成される場合がある。
【０２９２】
信頼性のあるデータの投資者は、投資者によって明示的に変更されない限り、信頼性のあるデータを自動的に管理するデフォルトポリシーを特定してもよい。信頼性のあるデータ分析プラットフォームの特定の実施形態は、自身のデフォルトポリシーを特定してもよく、例えば、適宜の投資者の組により承認されない限り、アクセスを何ら許容しないフェイルセーフ・ポリシーを含む。
【０２９３】
特定の信頼性のあるデータ分析プラットフォームにおいて実行されるポリシー言語及びスキーマに応じて、信頼性のあるデータポリシーを、信頼性のあるデータオブジェクトのサブセットに適用してもよい。例えば、信頼性のあるデータがヒトゲノムから成る場合、ある信頼性のあるデータポリシーは、特定の遺伝子へのアクセスを管理し、他の遺伝子は別のポリシーによって管理されてもよい。
【０２９４】
信頼性のある実行要求
【０２９５】
信頼性のある実行要求では、認証された主体が、所与の信頼性のある分析プログラムをひとつ又は複数の信頼性のあるデータオブジェクトに対して走らせるよう求める。一実施形態において、信頼性のある実行要求は、以下の一部又は全部を備えてもよい。
【０２９６】
・要求主体：例えば、分析を行うよう要求する人又は実体のアイデンティティ。これは、例えば、行われる分析を求めた人のユーザ識別子でもよい。
【０２９７】
・意図：例えば、要求主体が、信頼性のあるデータ分析プラットフォームの特定の実施形態によって実現されるポリシー・マネージメントシステムの範囲内で評価可能で方法で、分析要求をしている理由を特定する。例えば、遺伝子を保存してそこに作用する実施形態においては、その意図は「臨床診断法」として特定される場合がある。意図は、アクセスされる信頼性のあるデータの特定のサブセットに関する情報、例えば、ＢＲＣＡ２遺伝子を含んでもよい。
【０２９８】
・オプションとして、以下の一方又は両方：（ａ）分析されるひとつ又は複数の信頼性のあるデータオブジェクトのリスト、及び／又は、（ｂ）信頼性のあるデータオブジェクトが分析の候補であるために満たさなければならない属性。例えば、属性は、分析が５５歳以上のドライバからの駆動データ、又は、癌の病歴を有しない８５歳以上の日本人の家系の人からの健康管理データを含まなければならないことを示してもよい。なお、一部の実施形態において、信頼性のある分析プログラム自体が、分析に対する可能性がある入力について信頼性のあるデータオブジェクトを評価する属性を含んでもよく、これにより、別々の属性を不要にする。
【０２９９】
・動作する信頼性のある分析プログラムの仕様書
【０３００】
信頼性のある実行環境
【０３０１】
一部の実施形態において、信頼性のある実行環境は、以下の一部又は全てをともにもたらす。
【０３０２】
・信頼性のある実行要求
【０３０３】
・信頼性のある実行要求で特定したような、少なくとも一つの信頼性のあるデータオブジェクト
【０３０４】
・信頼性のある実行要求で特定したような、信頼性のある分析プログラム、及び／又は
【０３０５】
・信頼性のあるデータオブジェクトのうちの少なくともひとつと関連づけられた少なくともひとつの信頼性のあるデータポリシー
【０３０６】
一実施形態において、信頼性のある実行環境は、信頼性のある分析プログラムを実行するために、以下の工程を行う。
【０３０７】
・信頼性のあるデータオブジェクトごとに、信頼性のある実行要求において明示的に要求されたか、又は、信頼性のある実行要求の入力属性に適合するか。
【０３０８】
・信頼性のあるデータの整合性を検証する（例えば、信頼性のあるデータが摂取される場合、この動作は単にキャッシュされた情報を検索するだけかもしれない）。
【０３０９】
・信頼性のあるデータが、信頼性のあるデータに関する適用可能な条件を満たすかを検証する。
【０３１０】
・意図及び要求主体、作成者、証明書状況、及び／又は信頼性のある分析プログラムの他の属性、又は他の関連したポリシー変数が与えられると、信頼性のあるデータと関連づけられた信頼性のあるデータポリシーが、アクセスを許容することを検証する。
【０３１１】
・信頼性のあるデータオブジェクトが検証されたものに対して、信頼性のある分析プログラムを信頼性のあるデータについて走らせて、結果を得る。
【０３１２】
・信頼性のある分析プログラムの実行中に、他の各種の信頼性のあるデータへのアクセスが要求されてもよく、又は、実行前にすでに検証された信頼性のあるデータの異なる部分へのアクセスでもよい。そのような場合、信頼性のある分析プログラムにデータを公表する前に信頼性のあるデータポリシーがアクセスを許容することを検証する。
【０３１３】
・結果は、例えば、信頼性のある分析プログラムの実行に関係する特定の信頼性のあるデータについて明らかにされた情報の履歴に基づいて、公表されるか若しくは公表されなくてもよく、又は、修正されてもよい。‘６２４出願に記載されるように、結果は、結果へのアクセスを管理する、関連した条件及び計算を有する被保護資源から成ることができる。
【０３１４】
・安全な監査レコードを作成することで、実行を監査する。一実施形態において、この監査レコードは、参加した信頼性のあるデータの暗号ハッシュ値（又は他の一部の一方向関数の実行結果）、信頼性のある分析プログラム、信頼性のある分析プログラムにより用いられた他の環境又は状態データ、タイムスタンプ、及び／又は信頼性のある分析プログラムにより生じた結果の一部又はすべてをもたらす。一実施形態において、信頼性のあるデータ分析プラットフォームはオブジェクトを維持し、そのオブジェクトは、信頼性のある分析プログラムが法定で使用可能なように実行されたことをシステムが検証できるように、ハッシュされたものである。
【０３１５】
創作的内容の各種の態様を実施するシステム及び方法を実現したものの一部追加の、より詳細な例を以下に示す。
【０３１６】
実施例：匿名のエネルギー監視
【０３１７】
電力会社のような地方公共事業は、信頼性のあるデータ分析プラットフォームを使用して、匿名でエネルギー使用を監視し、負荷予測を助け、匿名で過剰なエネルギーを消費する顧客に対して使用を削減する方法に関する示唆とともに接触しようとすることができる。システムのアカウントをもつ消費者は、最も非効率的な使用に焦点を当てた新規な機器についての割引を受けるために、機器メーカー又は卸売業者に、又は、電力会社にアイデンティティを示さずに再びサインアップすることができる。
【０３１８】
電力会社は、消費者に対するスマートメーターシステムの初公開と連動して、信頼性のあるデータ分析プラットフォームの実例を作成する。スマートメータは、信頼性のあるデータ（例えば、電力使用に関する情報）をパッケージ化して、エネルギー監視プラットフォームの一部である信頼性のある摂取位置にアップロード可能にする信任状と関連づけられている。
【０３１９】
理解できるように、一部の顧客は、電力使用に関する情報について悪意のある関係者に利用可能になるのを心配しており、その者は、顧客が最も自宅にいそうな時に関する情報についてのデータを探し出すかもしれない。その結果、一部の顧客は、それらの情報がどのように収集されて、電力会社によって使用されるか、非常に敏感である。
【０３２０】
顧客の家のスマートメータは、メータ測定データを暗号化して署名することで、信頼性のあるデータオブジェクトを作成し、そして信頼性のあるデータを信頼性のある摂取位置に提供し、そこで回答し、鍵を付け替え、再特定し、信頼性のあるデータ分析プラットフォーム内で使用可能にする。
【０３２１】
電力会社は、顧客がそれらのデータへのアクセスを十分に制限できるように信頼性のあるデータ分析プラットフォームを設計することで顧客の懸念に応え、電力会社が顧客に請求するのに必要な情報のみ（例えば使用したキロワット時間の総数）を受信する。
【０３２２】
また、データを操作できた消費者は、電力会社を活用するために違法にデータを操作することができたため、電力会社は、メータ測定データで測っているデータを、信頼性のあるデータとして保護することを望む。
【０３２３】
顧客がより慎重に分析したデータがほしい場合、例えば、特定の負荷要求を分析し、使用する機器の種別を推定し、顧客のお金を節約し電力会社の電力需要全体を削減できる一組の省エネルギーのヒントを示唆するプログラムを選択できる。例えば、電力会社は、エアコン、又は冷蔵庫のような大型の電機器具によって生じる電流要求などの識別可能なパターンを探す、信頼性のある分析プログラムを構築するかもしれない。
【０３２４】
信頼性のある分析プログラムは、入力として受け取る信頼性のあるデータに条件をつけてもよい。例えば、信頼性のあるデータオブジェクトは、電力会社がそのスマートメータの１つに対して発行した証明書を使用してデジタル署名されること必要とすることができる。信頼性のある分析プログラムが、所与の顧客のメータ測定データについて走る前に、信頼性のあるデータ分析プラットフォームは、顧客の信頼性のあるデータポリシーを参照して、アクセスを許容するか又は許可しない。
【０３２５】
信頼性のある分析プログラムは、顧客のメータ測定データを分析するデジタル署名されたコンピュータプログラムという形態をとる。エネルギー使用パターンに応じて、信頼性のある分析プログラムは、電気代が減る可能性がある方法を示す通知を、顧客に自動的に送付してもよい。この通知は、使用パターンがシステム・オペレータに示されずに、匿名で送付される。
【０３２６】
電力会社が望む場合、その信頼性のあるデータ分析プラットフォームを開放して、第三者が匿名でその顧客のデータを探せるようにしてもよい。例えば、古い冷蔵庫はエネルギー効率が非常に悪いため、機器会社は、新たな冷蔵庫を必要とする顧客を識別したい場合がある。
【０３２７】
機器会社は、古くて非効率的な冷蔵庫の自動表示パターンのためにスマートメータ測定データをスキャンする信頼性のある分析プログラムを作成する。そのプラットフォームでの使用のために電力会社発行の証明鍵を使用して、信頼性のある分析プログラムに署名する。例えばベター・ビジネス・ビューローによる第三者の証明のため、プログラムを提出することもできる。
【０３２８】
機器メーカーがその顧客データを分析できるようにして利益を得ている電力会社は、顧客の毎月の電気代の新規プログラムの告知をする。電力会社のサービスにログインしサービスを選択している顧客はこのとき、機器会社の信頼性のある分析プログラムに送られるデータを有する。顧客は、新規な冷蔵庫の購入について１０％の割引を得る立場にあるため、選択するようインセンティブを受ける。アップグレードに適格であるとしてフラグが立っている顧客には、メーカーの割引クーポンが匿名で郵送される。
【０３２９】
実施例：信頼性のある健康データ
【０３３０】
ますます増える健康管理データは、各種の技術によって消費者が生成している。例えば、ＧＰＳユニット及び加速度計を有するスマートフォンは、未処理の遠隔測定法データを記録するために用いることができ、それは、エクササイズセッションを監視するために有益である。ワイヤレスの万歩計（登録商標）、心拍数モニタ、ｗｉ−ｆｉ使用可能な体重計及び他の未来技術は、人が健康を管理し向上させることを支援するために用いられる。現在のところ、正しい医学分析者によれば非常に有益であろうにもかかわらず、この種の技術を通じて収集されたデータは、臨床環境で広く使われていない。
【０３３１】
この増加している情報が十分に利用されていないのにはいくつかの理由がある。（ａ）データは、通常は、適切に校正されていない場合がある信頼できない情報源から収集され、医師は、起源が不明な情報に頼るのをためらう。（ｂ）消費者は、情報をプライベートに安全なままにするため、これらのデータを受信し扱うサービスを十分に信頼していない。（ｃ）たいていの場合、未処理で十分理解されていない情報が圧倒的であり、内科医及び他の介護者は、受信する情報を特定可能で、大きな束の未処理データよりはむしろ、意味ある方法でデータを配信するシステムを持ちたい。
【０３３２】
バイオセンサからの健康管理データを扱うよう作成された信頼性のあるデータ分析プラットフォームは、医師が、どの情報を受信するか、その情報がどのように未処理データから派生するかを、正確に特定できるようにする。また、患者が、それらの情報がどのように、誰に対して、どの程度の詳細なレベルで公表されるかを、容易に制御できようにする。また、未処理データを分配する必要なく、情報共有できるようにする。
【０３３３】
詳細例
【０３３４】
ダイアナは年老いた母親の介護者として活動しているが、母親は１人住まいである。母親のエリザベスには低ナトリウム血症の罹患歴があり、過去に入院に至ったてんかん様発作と度重なる転倒とが生じてきた。この病態は、通常は嗜眠性の状態が数日間先行し、エリザベスとともに生活する者が発見することは容易であるが、離れて暮らしていてはかなり困難であったと考えられる。ダイアナは、母親に家を売ってダイアナとその家族の家に転居するように依頼することをこれまでに考慮してきたが、母親はこの計画に断固として反対している。
【０３３５】
ダイアナは、両親が可能な限り自律的に生活することを容認しつつ年老いた両親に対する介護者のケアを支援するための信頼できるデータ分析プラットフォームを作成しているサービスについて理解している。その信頼できるデータ分析プラットフォームでは、信頼できるデータの作成が確実に可能であるように、さまざまなセンサ製造者と提携がなされている。とりわけ、（ａ）そのサービスでは、特定のデバイスが正常なパラメータ内で機能していることの確認に寄与する環境情報とともに、そのデバイスによりなされる特殊な状況下でセンサ測定値を有効化するために用いられ得るデバイス証明書を発行する委託管理システムを構築してきている。そのサービス提供者は、データ管理と保護技術とを同デバイス中に統合するために、少数の比較的有用なデバイス（例えば、ワイファイ対応重量計、家庭用モーションセンサ）の製造者と提携してきている。（ｂ）ベルトにクリップで留め、エネルギー収支が非常に厳しい活動モニタなど、有用度が劣ると考えられる他の種類のデバイスについては、本システムは、センサにセンサ自体の暗号化キーを持つことを要求することなくセンサから保護されたデータを受け取ることが可能な信頼できる取り込みポイントをすでに配備している。
【０３３６】
ダイアナは、サービス提供者とともに自分自身と母親に対するアカウントを作成し、エリザベスの同意を得て、自らがエリザベスの指定介護者であり、エリザベスのためにそのアカウントを管理できるとの事実を登録している。
【０３３７】
同サービスは、そのサービスに対応しているデバイス用のクーポン数枚をダイアナに送付している。ダイアナは母親が使用するために数枚のクーポンを購入し、簡単な記録用インタフェースを通じ、そのサービスを使用してそれらを登録している。デバイスの登録は、そのデバイスのユーザインターフェースの精巧度に依存して多様であるが、通常はデバイスのシリアルナンバーを入力するかＰＩＮコードを一致させることが必要である。ダイアナが購入したデバイスは次の通りであった。（ａ）エリザベスは通常毎朝行っている自らの体重計測の都度、体重および身体組成データを同サービスあてに自動でアップロードするワイファイ対応重量計。（ｂ）壁に組み込まれたモーションセンサ一式（各部屋に１個）。これらは低出力ラジオプロトコル（ＺｉｇｂｅｅまたはＢｌｕｅｔｏｏｔｈ（登録商標）  ＬＥなど）を通じて、エリザベスの自宅の基地局に交信している。（ｃ）以下のＢｌｕｅｔｏｏｔｈ（登録商標）  ＬＥプロトコルを用いたいくつかの活動モニタ。（ｉ）エリザベスの最もお気に入りのウォーキング用の靴にひもで結びつけた高性能歩数計１台。（ｉｉ）エリザベスがベルトの輪に取り付けることができるクリップ取付式活動モニタ１台。（ｉｉｉ）首の周りに装着するペンダント。そして最後に、（ｉｖ）活動モニタリングを組み入れたフィットネス腕時計１個。これらのデバイスは、上記の活動情報がアップロードされるＢｌｕｅｔｏｏｔｈ（登録商標）の基地局の範囲内にあれば、その活動情報をすべて保存している。
【０３３８】
このサービスは、ダイアナが母親の状況を把握する助けとなるために使用できるいくつかのモニタリングテンプレートを提供している。取り扱いが容易なインタフェースを通じて、ダイアナは自らが信頼できる分析プログラムを作成できるが、それは以下のコンピュータ操作を実行するものである。（ａ）エリザベスの記録デバイスが３時間の間何のデータも作成しない場合には、何かの過ちが生じた可能性があるため、ダイアナはＥ−メールによる警告に気が付くはずである。（ｂ）エリザベスの活動レベルは、センサからの入力を基に計算されている。それぞれの壁に組み込まれたモーションセンサ一が、観測された活動度を示しながら１０分毎にサンプル１件をアップロードしている。活動度数は０から９９までのスケールに規格化されており、０件ではまったく動作がないことを示す。エリザベスは通常は午前７時に起床し、午後１時から２時まで昼寝をして、午後１０：３０に就寝している。ダイアナの信頼できる分析プログラムでは、動作検出器の１つが朝および午後の散歩時間に５０を超えるレベルの動作を記録することを求めている。この条件が満たされなければ、ダイアナはＥ−メールの通知を受け取ることになっている。（ｃ）エリザベスの活動モニタのいずれかが自然転倒を記録した場合には、ダイアナは即座にＳＭＳメッセージを受け取ることになっており、エリザベスが１分以内に応答しなければ、一連の電話呼び出しが１分間隔でなされる。ダイアナが２分以内に到着できない場合には、システムが緊急係員に連絡することになっている。（ｄ）エリザベスが３日間続けて体重を測らなければ、エリザベスはいつもの習慣を守っていないことを意味することから、ダイアナはそれを知りたいのである。
【０３３９】
ダイアナがこのプログラムをいったん作成すれば、エリザベスのアカウントを用いてそれを登録して、プログラムは作動し始める。ダイアナは、当初パラメータの設定に過度に慎重であり、Ｅ−メールを受信した際にはパニック状態で母親に電話していたが、自らが母親の家にいないときでさえ、何が起こっているかを知るとの安心感をこのサービスから得ているため、全面的にこのサービスを利用してとても満足している。
【０３４０】
次の母の健康診断時に、エリザベスの担当医であるハワード医師はエリザベスの最近の体重増加について懸念しており、エリザベスに体重を追跡記録させ、毎日１万歩以上歩行させたいと伝えている。それを知って、エリザベスが家庭での健康状態監視サービスの申し込みを完了するとすぐに、ハワード医師は自らのアカウントにログインしてエリザベス宛に「医師と患者」の交信設定への案内状を送信している。エリザベスがこれに同意すれば、両者の関係を登録する予定である。エリザベスのポリシー設定内容では、彼女が許可し、担当医師として活動しているいずれかの者が署名していることが確認された信頼のおける分析プログラムにアクセスすることが認められている。ダイアナは母親のためにこの案内状を受け入れている。
【０３４１】
ハワード医師は、次の規則をコード化した信頼のおける分析プログラムの特別書式である「データ規定」をエリザベスに作成している。（ａ）エリザベスの体重がベースライン時から５ポンドを超えて増加した場合、ハワード医師の看護師にＥ−メールが送信される。（ｂ）エリザベスの平均歩行計測数が、特定の週に４万歩未満に減少すれば、同看護師にＥ−メールが送信される。（ｃ）３日を超えて連続で歩行データまたは活動データが収集されなかった場合、同看護師にＥ−メールが送信される。（ｄ）転倒などの緊急事態が検出された場合、ＳＭＳがハワード医師に送信される。
【０３４２】
上述したデータ規定が、理学療法レジメンを専門とする第三者により作成された。それは、医師または療法士が歩行数、連絡先などのパラメータを入力することを許可するパラメータ化がなされた信頼のおける分析プログラムである。このプログラムには、この目的のために医師または療法士に健康状態監視サービスが発行した証明書を用いて、第三者が署名している。ハワード医師は、過去にこの会社と共に働いており、その会社の製品に信頼を寄せている。彼が信頼のおける分析プログラムをアップロードする際には、彼は自ら選択したテンプレート化された信頼のおける分析プログラムとパラメータとの双方に署名している。
【０３４３】
ハワード医師は、エリザベスのアカウントに関係した信頼のおける分析プログラムとその要件とをアップロードしている。エリザベスのポリシー設定内容により、信頼のおける分析プログラムはエリザベスのデータを実行し、アクセスを開始している。
【０３４４】
ダイアナは仕事が大変忙しいが、直近の２日間は活動度低下をしめすＥ−メールを受け取っている。最初、風邪が蔓延しており、母親も風邪を引いた可能性があったため、ダイアナはそのことをあまり重要視していなかった。しかし、３度目のメッセージを受信した時に、ダイアナは母親が嗜眠状態になりつつあると考えられることを懸念し始め、電話することにした。母親は元気であり、恐らく少し風邪気味ではあるが、明日には良くなると確信していると告げた。
【０３４５】
翌日、ダイアナは活動度低下通知をもう１通受信し、ハワード医師に予約を取り、母親の自宅に車で行き、母親をハワード医師のところへ連れて行った。思った通り、エリザベスの血中ナトリウム値は低下していた。２〜３日の治療後、エリザベスは正常状態に回復し、高額な入院費は避けられた。
【０３４６】
上述の例は、創作的内容の各種実施形態の理解を容易にするために選ばれたものであり、これらの例における具体的な詳細は、説明の目的で選ばれたものであって、それらが示す一般原則の制限目的ではないことはいうまでもない。
【０３４７】
図２６は、創作的内容の実施形態による、データへのアクセスを保護及び管理する例示的システム１０００を示す。システム１０００は、例えば、信頼性のあるデータ分析プラットフォーム（例えば、遺伝子クラウドシステム）を備え、その動作の各種実施形態は、本明細書の他の箇所で説明している。図２６に示すように、電子データ（「Ｄ」）内の権利を所有する者１００２ａ−ｄは、データをパッケージ化し、信頼性のあるプラットフォーム１０００での格納のために信頼性のある摂取位置１００４ａ−ｃに送る。（権利所有者１００２ａ−ｄをまとめて「権利所有者ら１００２」と称する。文脈から明らかなように、参照番号１００２は権利所有者又は権利所有者らのコンピュータシステムを区別していない）。一部の実施形態において、データは、保護されていない形態で摂取位置１００４に送られることができ、摂取位置は、格納の前に保護を適用することができる。他の実施形態では、少なくとも部分的に、権利所有者の装置によって保護が適用される。
【０３４８】
データは、任意の分類のデータも備えることができ、その例としては、家庭のエネルギー消費データ、自動車位置及び力学データ、移動体電話の使用及び位置情報、医療情報、及び／又は同類のものが挙げられる。これらのデータは、信頼性のあるプラットフォーム１０００にあるひとつ又は複数のコンピュータシステム１００４、データベース１００５及び／又は他の格納手段に格納され、そこで、データは第三者１００７によって、権利所有者ら１００２及び第三者１００７の利益のために用いられる。例えば、第三者１００７（例えば、医療調査研究室、電力会社、ターゲット広告に興味がある販売業者及び／又は同類の物を含む）は、信頼性のある分析プログラム（「ＴＡＰ」）をプラットフォーム１０００に提出することができ、そこで、例えば権利所有者ら１００２で特定されたポリシー（「Ｐ」）に従って被保護データに対してプログラムが動作し、結果（「Ｒ」）を得る。図２６に示すように、ポリシーは、適宜の方法で、信頼性のあるプラットフォーム１０００に提出されることができ、その方法には、限定するものではないが、関連するデータとともに直接的に、又は、異なる時点で別々に、及び／又は、異なる通信方式を使用して、などを含む。本明細書の他の箇所に記載するように、信頼性のあるプラットフォーム１０００は、権利所有者らのデータが保護されることを確実にするのを助けながら、権利所有者らの要望に適合した有益な目的を第三者が利用できるようする。
【０３４９】
図２７は、創作的内容の実用上の実施形態に用いうるシステム１１００のより詳細な例を示す。例えば、システム１１００は、信頼性のある分析プラットフォーム１０００内の装置の実施形態を含みうる。システム１１００は、例えばパーソナル・コンピュータ又はネットワーク・サーバ等の汎用コンピュータを含むことができる。システム１１００は、概して、プロセッサ１１０２、メモリ１１０４、ユーザインターフェース部１１０６、着脱可能なメモリ１１０８を受けるためのポート１１０７、ネットワーク・インターフェース１１１０及び上述した要素を接続するひとつ又は複数のバス１１１２を含み得る。システム１１００の動作は、概して、メモリ１１０４に記憶されたプログラムの案内に従って動作するプロセッサ１１０２によって制御され得る。メモリ１１０４は、概して、高速のランダムアクセス・メモリ（ＲＡＭ）及び磁気ディスク及び／又はフラッシュＥＥＰＲＯＭなどの不揮発性メモリを含み得る。メモリ１１０４の一部は、システム１１００の他の構成要素によって読み書きできないように制限されてもよい。ポート１１０７は、例えばＵＳＢドライブ、ＣＤ−ＲＯＭ、ＤＶＤ、メモリカード、ＳＤカード、他の磁気又は光学媒体及び／又は同類のものなどのコンピュータ読み取り可能な媒体１１０８を受ける、ディスクドライブ又はメモリ・スロットを備えてもよい。ネットワーク・インターフェース１１１０は、概して、インターネット又はイントラネット（例えば、ＬＡＮ、ＷＡＮ、ＶＰＮ、その他）などのネットワーク１１２０を介して、システム１１００と他の計算装置（及び／又は計算装置のネットワーク）との接続を提供するように動作可能であり、物理的にこのような接続（例えば、無線、イーサネット（登録商標）及び／又は同類のもの）をするために、ひとつ又は複数の通信技術を使用してもよい。一部の実施形態において、システム１１００は、システム１１００のユーザ又は他の者による不正操作から保護されている処理部１１０３も含む可能性がある。このような安全な処理部は、キー管理、署名検証及び本明細書の他の箇所に記載されシステム及び方法の他の態様などの、センシティブな動作の安全性を強化することを助けることができる。
【０３５０】
図２７に示すように、計算装置１１００のメモリ１１０４は、計算装置１１００の動作を制御するためのデータ１１２８及び各種プログラム又はモジュールを含んでもよい。例えば、メモリ１１０４は、概して、アプリケーション、及び周辺機器などの実行を管理するためのオペレーティングシステム１１２１を含み得る。図２７に示す例では、メモリ１１０４も、信頼性のあるデータ・プラットフォームへ被保護データ１１２８を摂取するためのアプリケーション１１３０、ポリシー規制をデータの使用又はシステムの他の態様に実施するためのＤＲＭエンジン１１３２又は他のポリシー実施アプリケーション、及び／又は、被保護データ１１２８の分析を行うひとつ又は複数の信頼性のある分析プログラム１１２４を含む。本明細書の他の箇所に記載するように、ポリシー実施エンジン１１３２は、制御プログラムを実行するための仮想マシンなどの、各種の他のモジュールと連携し及び／又はそれらを制御し、センシティブな情報を記憶するための被保護データベース、及び／又は、暗号動作を行うためのひとつ又は複数の暗号モジュール１１２６と、例えば、コンテンツを暗号化及び／又は復号化し、ハッシュ関数及びメッセージ認証コードを計算し、デジタル署名を評価し、及び／又は同類のことを備えてもよい。メモリ１１０４は、概して、暗号鍵、証明書など（図示せず）とともに、被保護コンテンツ１１２８及び関連するライセンス及び計算１１２９を含み得る。
【０３５１】
当業者は、本明細書に記載するシステム及び方法は、図２７に示すものと類似又は同一の計算装置で、又は他の適宜の計算装置で仮想的に実装でき、図２７に示す構成要素の一部を有していない計算装置、及び／又は図示されない他の構成要素を有する計算装置含むことを理解し得る。このように、図２７は説明の目的であり限定のためにではなく設けられていることを理解すべきである。
【０３５２】
以上、明確にするためいくらか詳細に説明したが、その原理を逸脱しない範囲で所定の変更と修正が可能なことは明らかである。例えば、本明細書に記載するシステム及び方法の実施形態は、遺伝子及び他の医学情報に関連して使用することができ、一方、本明細書に記載するシステム及び方法の実施形態は、限定するものではないが、遺伝学又は医学の分野とは無関係なデータ及び他の情報の処理若しくは加工を含む他の場面にも直ちに適用できることはいうまでもない。また、多くの完成したシステム及び方法が提示されたが、そこで使用される構成要素、システム及び方法の多数が新規であるため、これらのシステム及び方法が新しいことはいうまでもない。本明細書に記載する処理及び装置を実現する数多くの代替手段がある点に留意すべきである。よって、本実施形態は、例示的であって限定的でないとみなされ、創作的内容は、本明細書で与えられる詳細に限定されず、添付の請求の範囲の範囲及び均等物の範囲内で変形されることができる。
【図１Ａ】
2015502588.tif 000017
【図１Ｂ】
2015502588.tif 000018
【図１Ｃ】
2015502588.tif 000019
【図２】
2015502588.tif 000020
【図３】
2015502588.tif 000021
【図４】
2015502588.tif 000022
【図５】
2015502588.tif 000023
【図６】
2015502588.tif 000024
【図７】
2015502588.tif 000025
【図８】
2015502588.tif 000026
【図９】
2015502588.tif 000027
【図１０】
2015502588.tif 000028
【図１１】
2015502588.tif 000029
【図１２】
2015502588.tif 000030
【図１３】
2015502588.tif 000031
【図１４】
2015502588.tif 000032
【図１５】
2015502588.tif 000033
【図１６】
2015502588.tif 000034
【図１７】
2015502588.tif 000035
【図１８】
2015502588.tif 000036
【図１９】
2015502588.tif 000037
【図２０】
2015502588.tif 000038
【図２１】
2015502588.tif 000039
【図２２】
2015502588.tif 000040
【図２３】
2015502588.tif 000041
【図２４】
2015502588.tif 000042
【図２５】
2015502588.tif 000043
【図２６】
2015502588.tif 000044
【図２７】
2015502588.tif 000045
【国際調査報告】
2015502588.tif 000046
2015502588.tif 000047