(57)【要約】      （修正有）【課題】データ所有者に対してもデータ選択を秘匿化する。【解決手段】（Ａ）暗号化の順番が可換であり且つ復号化の順番が可換である暗号方式に従って第１の暗号鍵で暗号化された複数の第１暗号化データブロックを格納するデータ格納部に格納されているいずれかの第１の暗号化データブロックを、前記暗号方式に従って第２の暗号鍵で暗号化することで、第２の暗号化データブロックを生成する処理S11と、（Ｂ）第１の暗号鍵を保持するコンピュータに対して第２の暗号化データブロックを送信する処理S13と、（Ｃ）第１の暗号鍵を保持するコンピュータから、暗号方式に従って第１の暗号鍵で第２の暗号化データブロックを復号した結果である第３の暗号化データブロックを受信する処理S23と、（Ｄ）暗号方式に従って第２の暗号鍵で第３の暗号化データブロックを復号し、データ格納部に格納する処理S25とを含む。【選択図】図７
2013197642.tif 000002
【特許請求の範囲】
【請求項１】
暗号化の順番が可換であり且つ復号化の順番が可換である暗号方式に従って第１の暗号鍵で暗号化された複数の第１暗号化データブロックを格納するデータ格納部に格納されているいずれかの第１の暗号化データブロックを、前記暗号方式に従って第２の暗号鍵で暗号化することで、第２の暗号化データブロックを生成する処理と、
前記第１の暗号鍵を保持するコンピュータに対して前記第２の暗号化データブロックを送信する処理と、
前記第１の暗号鍵を保持するコンピュータから、前記暗号方式に従って前記第１の暗号鍵で前記第２の暗号化データブロックを復号した結果である第３の暗号化データブロックを受信する処理と、
前記暗号方式に従って前記第２の暗号鍵で前記第３の暗号化データブロックを復号し、前記データ格納部に格納する処理と、
を含み、コンピュータにより実行される暗号処理方法。
【請求項２】
前記第３の暗号化データブロックの再送を前記第１の暗号鍵を保持するコンピュータに要求する処理と、
前記第１の暗号鍵を保持するコンピュータから、要求に係る前記第３の暗号化データブロックを受信する処理と、
前記暗号方式に従って前記第２の暗号鍵で前記第３の暗号化データブロックを復号し、前記データ格納部に格納する処理と、
をさらに含む請求項１記載の暗号処理方法。
【請求項３】
前記複数の第１暗号化データブロックの各々に、少なくとも一部が匿名化されたデータが対応付けられている
請求項１又は２記載の暗号処理方法。
【請求項４】
暗号化の順番が可換であり且つ復号化の順番が可換である暗号方式に従って第１の暗号鍵で暗号化された複数の第１暗号化データブロックを格納するデータ格納部に格納されているいずれかの第１の暗号化データブロックを、前記暗号方式に従って第２の暗号鍵で暗号化することで、第２の暗号化データブロックを生成する処理と、
前記第１の暗号鍵を保持するコンピュータに対して前記第２の暗号化データブロックを送信する処理と、
前記第１の暗号鍵を保持するコンピュータから、前記暗号方式に従って前記第１の暗号鍵で前記第２の暗号化データブロックを復号した結果である第３の暗号化データブロックを受信する処理と、
前記暗号方式に従って前記第２の暗号鍵で前記第３の暗号化データブロックを復号し、前記データ格納部に格納する処理と、
を、コンピュータに実行させるためのプログラム。
【請求項５】
暗号化の順番が可換であり且つ復号化の順番が可換である暗号方式に従って第１の暗号鍵で暗号化された複数の第１暗号化データブロックを格納するデータ格納部に格納されているいずれかの第１の暗号化データブロックを、前記暗号方式に従って第２の暗号鍵で暗号化することで、第２の暗号化データブロックを生成する暗号処理部と、
前記第１の暗号鍵を保持するコンピュータに対して前記第２の暗号化データブロックを送信し、前記第１の暗号鍵を保持するコンピュータから、前記暗号方式に従って前記第１の暗号鍵で前記第２の暗号化データブロックを復号した結果である第３の暗号化データブロックを受信する通信部と、
を有し、
前記暗号処理部が、
前記暗号方式に従って前記第２の暗号鍵で前記第３の暗号化データブロックを復号し、前記データ格納部に格納する
情報処理装置。
【請求項６】
第１の暗号鍵を保持する第１のコンピュータと
第２の暗号鍵を保持する第２のコンピュータと、
を有し、
前記第２のコンピュータが、
暗号化の順番が可換であり且つ復号化の順番が可換である暗号方式に従って第１の暗号鍵で暗号化された複数の第１暗号化データブロックを格納するデータ格納部に格納されているいずれかの第１の暗号化データブロックを、前記暗号方式に従って第２の暗号鍵で暗号化することで、第２の暗号化データブロックを生成し、
前記第１のコンピュータに対して前記第２の暗号化データブロックを送信し、
前記第１のコンピュータが、
前記第２のコンピュータから前記第２の暗号化データブロックを受信し、
前記暗号方式に従って前記第１の暗号鍵で前記第２の暗号化データブロックを復号し、
前記第２のコンピュータに対して、復号の結果である第３の暗号化データブロックを送信し、
前記第２のコンピュータが、
前記第１のコンピュータから、前記第３の暗号化データブロックを受信し、
前記暗号方式に従って前記第２の暗号鍵で前記第３の暗号化データブロックを復号し、前記データ格納部に格納する
システム。
【発明の詳細な説明】
【技術分野】
【０００１】
本技術は、データの秘匿化技術に関する。
【背景技術】
【０００２】
例えば、データ所有者とデータ分析者とが連携する場合には、データ所有者が個人情報を含む平文データを匿名化して、データ分析者に渡すようなことがある。データ分析者は、匿名化されたデータを用いて各種分析を行うわけであるが、匿名化されたデータでの分析結果だけで十分な場合もあれば、分析結果からして特定の個人の平文データをデータ所有者に要求する場合もある。
【０００３】
例えば、購買履歴のようなデータの匿名化データを分析して、特定の個人が自社の有望な潜在顧客であることが分かった場合、特定の個人の個人情報を平文で取得できれば、有効な広告をその特定の個人に対して提示することができる。しかしながら、データ所有者に、特定の個人に興味があることが分かってしまう。
【０００４】
このような広告目的でなくても、特定の個人の個人情報などを共通する識別子で特定して要求すると、データ所有者には、特定の個人が分かってしまう。このような問題に着目している従来技術は存在していない。
【先行技術文献】
【特許文献】
【０００５】
【特許文献１】特開２００１−２１１１６８号公報
【発明の概要】
【発明が解決しようとする課題】
【０００６】
従って、本技術の目的は、一側面において、データ所有者に対してもデータ選択を秘匿化するための技術を提供することである。
【課題を解決するための手段】
【０００７】
本技術の第１の態様に係る暗号処理方法は、（Ａ）暗号化の順番が可換であり且つ復号化の順番が可換である暗号方式に従って第１の暗号鍵で暗号化された複数の第１暗号化データブロックを格納するデータ格納部に格納されているいずれかの第１の暗号化データブロックを、前記暗号方式に従って第２の暗号鍵で暗号化することで、第２の暗号化データブロックを生成する処理と、（Ｂ）第１の暗号鍵を保持するコンピュータに対して第２の暗号化データブロックを送信する処理と、（Ｃ）第１の暗号鍵を保持するコンピュータから、暗号方式に従って第１の暗号鍵で第２の暗号化データブロックを復号した結果である第３の暗号化データブロックを受信する処理と、（Ｄ）暗号方式に従って第２の暗号鍵で第３の暗号化データブロックを復号し、データ格納部に格納する処理とを含む。
【０００８】
本技術の第２の態様に係るシステムは、第１の暗号鍵を保持する第１のコンピュータと第２の暗号鍵を保持する第２のコンピュータとを有する。そして、第２のコンピュータが、（Ａ）暗号化の順番が可換であり且つ復号化の順番が可換である暗号方式に従って第１の暗号鍵で暗号化された複数の第１暗号化データブロックを格納するデータ格納部に格納されているいずれかの第１の暗号化データブロックを、上記暗号方式に従って第２の暗号鍵で暗号化することで、第２の暗号化データブロックを生成し、（Ｂ）第１のコンピュータに対して第２の暗号化データブロックを送信する。その後、第１のコンピュータが、（Ｃ）第２のコンピュータから第２の暗号化データブロックを受信し、（Ｄ）上記暗号方式に従って第１の暗号鍵で第２の暗号化データブロックを復号し、（Ｅ）第２のコンピュータに対して、復号の結果である第３の暗号化データブロックを送信する。そして、第２のコンピュータが、（Ｆ）第１のコンピュータから、第３の暗号化データブロックを受信し、（Ｇ）上記暗号方式に従って第２の暗号鍵で第３の暗号化データブロックを復号し、データ格納部に格納する。
【発明の効果】
【０００９】
データ所有者に対してもデータ選択を秘匿化できるようになる。
【図面の簡単な説明】
【００１０】
【図１】図１は、実施の形態のシステム構成例を示す図である。
【図２】図２は、第１の実施の形態に係る第１コンピュータの構成例を示す図である。
【図３】図３は、第１の実施の形態に係る第１データ格納部に格納されるデータの一例を示す図である。
【図４】図４は、暗号キーＤＢに格納されるデータの一例を示す図である。
【図５】図５は、顧客ＤＢに格納されるデータの一例を示す図である。
【図６】図６は、第１の実施の形態に係る第２コンピュータの構成例を示す図である。
【図７】図７は、第１の実施の形態に係る処理フローを示す図である。
【図８】図８は、第１の実施の形態において第１コンピュータの第２データ格納部に格納されるデータの一例を示す図である。
【図９】図９は、第１の実施の形態におけるデータの変換を説明するための図である。
【図１０】図１０は、第１の実施の形態におけるデータの変換を説明するための図である。
【図１１】図１１は、第１の実施の形態におけるデータ変換を説明するための図である。
【図１２】図１２は、第１の実施の形態における処理フローを示す図である。
【図１３】図１３は、第２の実施の形態に係る第１コンピュータの構成例を示す図である。
【図１４】図１４は、第２の実施の形態に係る第２コンピュータの構成例を示す図である。
【図１５】図１５は、第２の実施の形態における処理フローを示す図である。
【図１６】図１６は、第１コンピュータの第１データ格納部に格納されるデータの一例を示す図である。
【図１７】図１７は、匿名化処理を説明するための図である。
【図１８】図１８は、第１コンピュータの第２データ格納部に格納されるデータの一例を示す図である。
【図１９】図１９は、第１コンピュータの第２データ格納部に格納されるデータの一例を示す図である。
【図２０】図２０は、第２の実施の形態におけるデータ変換の例を示す図である。
【図２１】図２１は、第２の実施の形態におけるデータ変換の例を示す図である。
【図２２】図２２は、第２の実施の形態におけるデータ変換の例を示す図である。
【図２３】図２３は、第３の実施の形態における処理フローを示す図である。
【図２４】図２４は、第１コンピュータの第１データ格納部に格納されるデータの一例を示す図である。
【図２５】図２５は、第３の実施の形態における匿名化処理の説明をするための図である。
【図２６】図２６は、第１コンピュータの第２データ格納部に格納されるデータの一例を示す図である。
【図２７】図２７は、第３の実施の形態におけるデータ変換例を示す図である。
【図２８】図２８は、コンピュータの機能ブロック図である。
【発明を実施するための形態】
【００１１】
［実施の形態１］
本技術の第１の実施の形態に係るシステム構成例を図１に示す。
【００１２】
本実施の形態では、インターネットなどのネットワーク１に、データ所有者のコンピュータである第１コンピュータ３と、データ利用者のコンピュータである第２コンピュータ５と、データ利用者のコンピュータである第３コンピュータ７とが接続されている。但し、データ利用者のコンピュータの数は２に限定されるものではない。また、データ所有者のコンピュータについても、複数存在する場合もある。
【００１３】
図２に、第１コンピュータ３の構成例を示す。第１コンピュータ３は、第１データ格納部３１と、暗号処理部３３と、第２データ格納部３４と、第３データ格納部３５と、暗号キーＤＢ（データベース）３６と、顧客ＤＢ３７と、通信処理部３８と、決済処理部３９とを有する。
【００１４】
第１データ格納部３１は、平文のデータを格納している。本実施の形態では、例えば図３のように、商品ＩＤ、品名、概要、価格及び平文データが格納されるようになっている。なお、説明を簡単にするために価格については全ての商品について同じであるものとしているので、含まれない場合もある。
【００１５】
また、暗号キーＤＢ３６は、各データ利用者の暗号キーを保持している。本実施の形態では、図４のように、顧客名（データ利用者である顧客の識別子）と、暗号鍵生成日と、鍵データとを格納するようになっている。但し、暗号キーについては、有効期限を設けて生成から一定期間以上経過すると、自動的に消去するようにしても良い。また、暗号処理部３３が、要求に応じて生成する場合もある。
【００１６】
また、暗号処理部３３は、暗号化の順番が可換であり且つ復号の順番も可換である暗号方式で暗号化処理と復号処理を実施する。この暗号方式では、第１の鍵による暗号化をｆと表し、第２の鍵による暗号化をｇと表し、ｘを平文データとすると、ｆ（ｇ（ｘ））＝ｇ（ｆ（ｘ））が成立する。さらに、ｆ-1を第１の鍵による復号化を表し、ｇ-1を第２の鍵による復号化を表すとすると、ｆ-1（ｇ-1（ｆ（ｇ（ｘ））））＝ｇ-1（ｆ-1（ｆ（ｇ（ｘ））））が成立する。このような暗号方式は、バーナム暗号及びストリーム暗号が該当するが、これに限定されるものではない。
【００１７】
なお、暗号処理部３３は、第１データ格納部３１に格納されている平文データを暗号化する処理を行って、処理結果を第２データ格納部３４に格納する。また、暗号処理部３３は、第３データ格納部３５に格納されている暗号化データに対して復号処理を実施して、処理結果を第２データ格納部３４に格納する。
【００１８】
決済処理部３９は、顧客に対してよく知られた決済処理を実行する処理部である。
【００１９】
顧客ＤＢ３７については、データ利用者である顧客の購入履歴のデータを格納する。例えば図５に示すようなデータが格納される。図５の例では、顧客名と、顧客の連絡先（例えばメールアドレス）と、購入日と、購入データ（具体的には顧客から受信され且つ顧客の鍵で暗号化されたデータ）とが格納されるようになっている。連絡先については別のデータベースなどのデータを活用するため、このデータベースには格納しない場合もある。
【００２０】
また、通信処理部３８は、第２コンピュータ５及び第３コンピュータ７などと通信を行う。通信処理部３８は、第２コンピュータ５などから受信したデータについては、第３データ格納部３５に格納し、第２コンピュータ５などへ送信するデータについては、第２データ格納部３４から読み出す。
【００２１】
図６に、第２コンピュータ５の構成例を示す。なお、第３コンピュータ７も同様の構成を有する。第２コンピュータ５は、通信処理部５１と、第１データ格納部５２と、出力部５３と、暗号処理部５４と、第２データ格納部５５と、入力部５６と、暗号キー格納部５７と、第３データ格納部５８とを有する。通信処理部５１は、第１コンピュータ３と通信を行い、受信データについては第１データ格納部５２に格納し、送信するデータについては第３データ格納部５８から読み出す。
【００２２】
出力部５３は、第１データ格納部５２又は第２データ格納部５５に格納されているデータを、出力装置（例えばプリンタや表示装置）に出力する。入力部５６は、暗号処理部５４及び通信処理部５１に指示などを行う。暗号キー格納部５７は、暗号処理部５４で用いる暗号キーを格納する。
【００２３】
暗号処理部５４は、第１コンピュータ３における暗号処理部３３と同様の暗号方式で暗号化及び復号化を行う。特に、暗号処理部５４は、入力部５６からの指示に従って、第１データ格納部５２に格納されている暗号化データに対して重畳的に暗号化を行って、第１コンピュータ３に送信するために第３データ格納部５８に格納する。また、暗号処理部５４は、第１データ格納部５２に格納されている暗号化データに対して復号処理を実施し、第２データ格納部５５に格納する。
【００２４】
次に、図７乃至図１２を用いて図１に示したシステムの処理内容を説明する。
【００２５】
まず、第２コンピュータ５の入力部５６が、ユーザからデータ（例えばコンテンツ）のダウンロードの指示を受け付けると、通信処理部５１に対してダウンロード要求を送信するように指示する。これに対して通信処理部５１は、コンテンツ要求を第１コンピュータ３に送信する（図７：ステップＳ１）。
【００２６】
第１コンピュータ３の通信処理部３８は、コンテンツ要求を第２コンピュータ５から受信すると（ステップＳ３）、暗号処理部３３にコンテンツ要求を出力する。暗号処理部３３は、暗号キーＤＢ３６から要求元の顧客の暗号キーＫ１（但し、顧客が保持しているわけではなく第１コンピュータ３でのみ保持している）を読み出し、さらに第１データ格納部３１から平文のコンテンツデータを読み出して、コンテンツデータのタイトル毎に、コンテンツデータを所定の可換暗号方式にて暗号化することで、暗号化コンテンツデータを生成し、第２データ格納部３４に格納する。例えば、図８に示すようなデータが、第２データ格納部３４に格納される。図８の例では、価格と、品名と、概要と、暗号化コンテンツデータとを含む。このように暗号化コンテンツデータには暗号化コンテンツデータを選択するための付加データが添付される。なお、ｘを平文データとし、ｆを第１コンピュータ３における顧客の暗号キーＫ１による暗号化を表すとすると、ｆ（ｘ）を生成したことになる。
【００２７】
そして、通信処理部３８は、第２データ格納部３４に格納されている暗号化コンテンツデータ等を、要求元の第２コンピュータ５に送信する（ステップＳ５）。
【００２８】
第２コンピュータ５の通信処理部５１は、第１コンピュータ３から暗号化コンテンツデータ等を受信すると、第１データ格納部５２に格納する（ステップＳ７）。出力部５３は、第１データ格納部５２に格納されている暗号化コンテンツデータの付加データを表示装置などに出力することで、ユーザに対して暗号化コンテンツデータの選択を促す。価格と品名と概要とから、ユーザは、購入する暗号化コンテンツデータを選択する。そして、ユーザが購入希望コンテンツの指定を行うと、入力部５６は、ユーザから、購入希望コンテンツの指定を受け付け（ステップＳ９）、当該購入希望コンテンツの指示を暗号処理部５４に出力する。暗号処理部５４は、暗号キー格納部５７から自らの暗号キーＫ２を読み出し、さらに購入希望コンテンツの暗号化コンテンツデータを第１データ格納部５２から読み出し、所定の可換暗号方式にて重畳して暗号化処理を行い、処理結果を第３データ格納部５８に格納する（ステップＳ１１）。暗号キーＫ２による暗号化をｇとすると、この処理により、上で述べた例ではｆ（ｘ）をｇ（ｆ（ｘ））としたことになる。また、図８の例で、品名ＣＣＣを選択した場合、図９（ａ）に示すような暗号化コンテンツデータを、図９（ｂ）のような重畳して暗号化されたコンテンツデータに変換する。このようにすれば、第１コンピュータ３では、何を選択したか分からなくなる。
【００２９】
そして、通信処理部５１は、第３データ格納部５８に格納されており且つ重畳して暗号化されたコンテンツデータを、第１コンピュータ３に送信する（ステップＳ１３）。
【００３０】
第１コンピュータ３の通信処理部３８は、第２コンピュータ５から重畳して暗号化されたコンテンツデータを受信し、送信元を特定するデータ（顧客の識別子）と共に第３データ格納部３５に格納する（ステップＳ１５）。なお、通信処理部３８は、決済処理部３９に対して決済処理を実施させる（ステップＳ１７）。決済処理についてはクレジットカード決済などよく知られた方法で良い。この決済処理は本実施の形態の主旨ではないので、これ以上述べない。但し、決済処理に失敗した場合には、これ以降の処理を行うことはない。以下の処理は決済処理が成功した場合に行われる。
【００３１】
そして、暗号処理部３３は、決済処理が成功すると、第３データ格納部３５に格納されており且つ重畳して暗号化されたコンテンツデータに対して、暗号キーＤＢ３６に格納されている要求元の暗号キーＫ１にて可換暗号方式で復号処理を実施し、処理結果を第２データ格納部３４に格納する（ステップＳ１９）。上で述べた例では、ｇ（ｆ（ｘ））を受信することになるので、暗号キーＫ１による復号をｆ-1とすると、ｆ-1（ｇ（ｆ（ｘ））＝ｆ-1（ｆ（ｇ（ｘ））＝ｇ（ｘ）が得られる。また、図９（ｂ）（＝図１０（ａ））のようなデータを受信すると、暗号キーＫ１で復号して、図１０（ｂ）に示すような暗号キーＫ２で暗号化したコンテンツデータが得られる。このように、第１コンピュータ３で復号しても、暗号キーＫ２で暗号化されているので第１コンピュータ３においてはどのコンテンツが選択されたかは分からない。
【００３２】
また、通信処理部３８は、第２データ格納部３４に格納されている暗号化コンテンツデータを、顧客ＤＢ３７に登録する。これによって、顧客がコンテンツデータを誤って削除したなどの事態に対処できるようになる。図５の例では、今回の処理結果として、購入者Ｂについてのデータが登録される。そして、通信処理部３８は、第２データ格納部３４に格納されている暗号化コンテンツデータを、要求元の第２コンピュータ５へ送信する（ステップＳ２１）。
【００３３】
第２コンピュータ５の通信処理部５１は、第１コンピュータ３から暗号化コンテンツデータを受信すると、第１データ格納部５２に格納する（ステップＳ２３）。そうすると、暗号処理部５４は、第１データ格納部５２に格納されている暗号化コンテンツデータを、暗号キー格納部５７に格納されている暗号キーＫ２を用いて可換暗号方式で復号して、第２データ格納部５５に格納する。そして、出力部５３は、復号されたコンテンツデータを出力する（ステップＳ２５）。上で述べたように暗号化コンテンツデータｇ（ｘ）を受信しているので、暗号キーＫ２による復号をｇ-1で表すと、ｇ-1（ｇ（ｘ））＝ｘという平文データが得られる。また、図１１（ａ）に示すような暗号化コンテンツデータを受信しているので、図１１（ｂ）の平文データが得られることになる。
【００３４】
このようにして、データ所有者にいずれのコンテンツを選択したかを提示することなく、データ利用者は平文のコンテンツデータを購入することができるようになる。
【００３５】
なお、上でも述べたが顧客は平文のコンテンツデータを誤って削除したりする場合もある。そのため、例えば図１２に示すような処理を行って、購入したコンテンツデータを再度復号することができるようになる。
【００３６】
すなわち、入力部５６に対する再ダウンロード指示に応じて、通信処理部５１は、顧客の識別子を含む再ダウンロード要求を、第１コンピュータ３に送信する（ステップＳ３１）。第１コンピュータ３の通信処理部３８は、第２コンピュータ５から、顧客の識別子を含む再ダウンロード要求を受信すると（ステップＳ３３）、顧客の識別子で顧客ＤＢ３７を検索し、該当するデータを読み出す。そして、通信処理部３８は、読み出したデータから要求元の購入リストを生成し（ステップＳ３５）、当該要求元の購入リストを、第２コンピュータ５に送信する（ステップＳ３７）。上で述べたようにどのコンテンツデータを購入したかは分からないので、購入リストは、購入日（又は日時）等を含むものになる。
【００３７】
第２コンピュータ５の通信処理部５１は、第１コンピュータ３から購入リストを受信すると、出力部５３に出力して、例えば表示装置に表示させる（ステップＳ３９）。ユーザは、購入リストから再ダウンロードを求めるコンテンツデータの購入日などを指定する。入力部５６は、ユーザからコンテンツデータの購入日等の指定を受け付けると、当該購入日等の指定を含むコンテンツ再ダウンロードの指示を通信処理部５１に出力する。通信処理部５１は、購入日等の指定を含むコンテンツ再ダウンロード要求を第１コンピュータ３に送信する（ステップＳ４１）。
【００３８】
第１コンピュータ３の通信処理部３８は、第２コンピュータ５から購入日等の指定を含むコンテンツ再ダウンロード要求を受信すると（ステップＳ４３）、顧客ＤＢ３７から該当する暗号化コンテンツデータを読み出し、該当する暗号化コンテンツデータを第２コンピュータ５に送信する（ステップＳ４５）。
【００３９】
第２コンピュータ５の通信処理部５１は、第１コンピュータ３から暗号化コンテンツデータを受信すると、第１データ格納部５２に格納する（ステップＳ４７）。そして、暗号処理部５４は、第１データ格納部５２に格納されている暗号化コンテンツデータを、暗号キー格納部５７に格納されている暗号キーＫ２を用いて可換暗号方式で復号し、処理結果を第２データ格納部５５に格納する。そして、出力部５３は、第２データ格納部５５に格納されている平文のコンテンツデータを、表示装置などの出力装置に出力する（ステップＳ４９）。
【００４０】
このようにすれば、無くしてしまったコンテンツデータを、選択の秘匿性を維持しつつ且つ再度購入せずに取得し直すことができる。
【００４１】
［実施の形態２］
次に、第１の実施の形態とは異なる分野への応用について説明する。例えば、データ所有者が、一般ユーザに対するアンケート調査を行う企業である場合を想定する。例えば、データ所有者は、新製品などのアンケートを一般ユーザに依頼して、アンケート結果を収集し、集計処理などを行って、そのデータを保持している。なお、アンケート結果などについては、一部データについては匿名化することで個人情報がそのまま外部に出ないようにしてから、アンケート結果などを活用するデータ分析者に提供する。
【００４２】
一方、データ分析者は、匿名化されたアンケート結果や集計処理の結果などをデータ所有者から取得して、独自の分析処理を行う。但し、この分析処理に基づき個別に一般ユーザを選択して、当該選択した一般ユーザに対して広告を配信するなどの営業活動を行うと効率的である。しかしながら、匿名化されているので、具体的な個人情報をデータ所有者から取得することになるが、「どの一般ユーザ」ということを指定することになると、自身がどの一般ユーザに興味があるのかを、データ所有者に知らせてしまうことになる。そこで、以下に述べるような本実施の形態を採用すると良い。
【００４３】
本実施の形態でも、基本的なシステム構成は第１の実施の形態と同様である。但し、第１コンピュータ３については、図１３に示す第１コンピュータ３ｂのような構成に変更する。第１の実施の形態とほぼ同様の機能を有する構成要素であれば同じ参照番号を付与している。また、第２コンピュータ５についても、図１４に示す第２コンピュータ５ｂのような構成に変更する。
【００４４】
本実施の形態に係る第１コンピュータ３ｂは、第１データ格納部３１と、第２データ格納部３４と、第３データ格納部３５と、暗号キーＤＢ３６と、暗号処理部３３と、通信処理部３８と、匿名化処理部４０とを有する。匿名化処理部４０が追加されており、当該匿名化処理部４０は、匿名化されたデータを生成する。匿名化処理部４０は、暗号処理部３７に対して一部データを出力することで連携する。
【００４５】
また、本実施の形態に係る第２コンピュータ５ｂは、通信処理部５１と、第１データ格納部５２と、出力部５３と、暗号処理部５４と、第２データ格納部５５と、入力部５６と、暗号キー格納部５７と、第３データ格納部５８と、分析処理部５９とを有する。分析処理部５９は、第１データ格納部５２に格納されているデータ（匿名化データ）を用いて所定の分析処理を実施する。分析結果については、出力部５３により表示装置などに表示して、ユーザに提示する。出力部５３は、匿名化データをそのまま表示装置などに出力して、ユーザ自身が分析するようにしても良い。
【００４６】
次に、図１５乃至図２２を用いて、システムの処理内容について説明する。データ所有者は、一般ユーザからアンケート結果を取得して、集計処理などの結果と共に、第１データ格納部３１に格納する（図１５：ステップＳ５１）。この処理は、本実施の形態の主要部ではなく、第１コンピュータ３ｂ以外のコンピュータでも行われる場合があるので、点線ブロックで表している。例えば図１６に示すようなデータが格納される。図１６の例では、会員ＩＤと、会員氏名と、住所と、連絡先（電話番号）と、アンケート回答データとが会員毎に登録されるようになっている。アンケートに関係するユーザのことを一般ユーザとして説明したが、データ所有者からすれば会員となるので、以下会員として説明する。
【００４７】
そして、匿名化処理部４０は、予め定められたルールに従って、第１データ格納部３１に格納されているデータの個人情報部分に対して匿名化処理を実施することにより、匿名化データを生成して、アンケート結果と共に第２データ格納部３４に格納する。匿名化データに含まれる匿名化後の会員ＩＤについては、暗号処理部３３に出力する。例えば図１６のデータについては、図１７に模式的に示すように、会員氏名を削除し、住所の市より下の部分を削除し、連絡先を削除する。さらに、会員ＩＤをハッシュ関数などで異なる値に変換する。従って、図１８に示すようなデータが、第２データ格納部３４に格納される。変換後の会員ＩＤについては暗号処理部３３に出力する。
【００４８】
また、暗号処理部３３は、第１データ格納部３１に格納されているデータの一部（氏名、住所、連絡先）を、会員ＩＤ毎に、暗号キーＤＢ３６に格納されている顧客（すなわちデータ分析者）のための暗号キーＫ１を用いて可換暗号方式で暗号化して、第２データ格納部３４に格納する（ステップＳ５３）。暗号処理部３３の処理結果は、例えば図１９に示すようなデータである。図１９のデータの例では、匿名化処理部４０から得られた匿名化後の会員ＩＤの各々について、当該匿名化後の会員ＩＤに対応付けて、氏名、住所及び連絡先のデータを暗号化した結果が格納される例が示されている。
【００４９】
その後、通信処理部３８は、第２データ格納部３４に格納されているアンケート結果と個人情報の匿名化データ及び暗号化データとを、予め指定されたデータ分析者のコンピュータである第２コンピュータ５ｂに送信する（ステップＳ５５）。第２コンピュータ５ｂの通信処理部５１は、第１コンピュータ３ｂから、アンケート結果と個人情報の匿名化データ及び暗号化データとを受信し、第１データ格納部５２に格納する（ステップＳ５７）。
【００５０】
そうすると、分析処理部５９は、第１データ格納部５２に格納されているデータを用いて所定の分析処理を実施し、出力部５３から分析結果を出力する（ステップＳ５９）。なお、分析処理部５９の処理を行わずに、データ分析者自身が第１データ格納部５２に格納されているデータを分析する場合もある。このため、ステップＳ５９を図１５では点線ブロックで表している。
【００５１】
データ分析者は、分析結果に基づき、１又は複数の会員を指定する。入力部５６は、データ分析者から会員の指定を受け付けると、暗号処理部５４に対して当該会員の指定を出力する。暗号処理部５４は、第１データ格納部５２に格納されているデータのうち、指定された会員の個人情報の暗号化データを読み出して、当該暗号化データに対して、暗号キー格納部５７に格納されている暗号キーＫ２により重畳して可換暗号方式で暗号化し、処理結果を第３データ格納部５８に格納する（ステップＳ６１）。図１９のデータにおける２番目の会員の暗号化された個人情報（図２０（ａ））を、暗号キーＫ２で暗号化すれば、図２０（ｂ）に示すような重畳して暗号化された個人情報が得られる。
【００５２】
そして、通信処理部５１は、第３データ格納部５８に格納されており且つ重畳して暗号化された個人情報を、第１コンピュータ３ｂに送信する（ステップＳ６３）。そうすると、第１コンピュータ３ｂの通信処理部３８は、第２コンピュータ５ｂから重畳して暗号化された個人情報を受信し、例えば第２コンピュータ５ｂの識別子と共に第３データ格納部３５に格納する（ステップＳ６５）。
【００５３】
暗号処理部３３は、第３データ格納部３５に格納されている第２コンピュータ５ｂの識別子などから暗号キーＤＢ３６における要求元のための暗号キーＫ１を読み出して、第３データ格納部３５に格納されている重畳して暗号化された個人情報に対して暗号キーＫ１を用いた可換暗号方式での復号処理を実施し、処理結果を第２データ格納部３４に格納する（ステップＳ６７）。これによって、暗号キーＫ２で暗号化された個人情報が生成されたことになる。例えば、図２１（ａ）に示すような重畳して暗号化された個人情報は、暗号キーＫ１で復号すれば、図２１（ｂ）に示すような暗号キーＫ２で暗号化された個人情報が得られる。このように、第１コンピュータ３ｂには、どの会員を選択したかということは分からないようになっている。
【００５４】
従って、通信処理部３８は、暗号化された個人情報を第２データ格納部３４から読み出して、要求元の第２コンピュータ５ｂに送信する（ステップＳ６９）。第２コンピュータ５ｂの通信処理部５１は、暗号化された個人情報を第１コンピュータ３ｂから受信し、第１データ格納部５２に格納する（ステップＳ７１）。そうすると、暗号処理部５４は、第１データ格納部５２に格納されている暗号化個人情報に対して、暗号キー格納部５７に格納されている暗号キーＫ２を用いて可換暗号方式における復号処理を実施し、処理結果を第２データ格納部５５に格納する。図２２（ａ）に示すような暗号化個人情報は、図２２（ｂ）に示すような平文の個人情報に変換されて、利用することができるようになる。すなわち、出力部５３は、第２データ格納部５５に格納されている平文の個人情報を出力装置に出力すれば（ステップＳ７３）、データ分析者はこの個人情報を用いて営業活動などに活用できるようになる。
【００５５】
以上のように、第１コンピュータ３ｂには、暗号キーＫ２で暗号化した状態のデータしかわたらないので、第１コンピュータ３ｂでは、どの会員が選択されたかということは分からなくすることができる。
【００５６】
［実施の形態３］
本実施の形態では、さらに他の分野に対する適用例を説明する。本実施の形態は、医療分野への適用例を示すものであり、例えば個人情報を伏せた形で患者が病院で検診を行う場合に、市役所などのデータ所有者が、予め患者の識別番号を患者及びデータ分析者である病院に配布しておく。さらに、データ所有者が、患者の連絡先を含む個人情報を暗号化して検査データ等と共に病院に配布しておく。病院は、患者が病院に来て受診し、検査を行って、問題があると認識できた場合には、その患者の暗号化された個人情報を重畳的に暗号化してデータ所有者に送信する。データ所有者は、データ分析者である病院でも暗号化されているので、どの患者の個人情報であるかは分からない。ここで、データ所有者は、重畳して暗号化された個人情報を復号して、病院に返信する。病院では、さらに自身が有する暗号キーで復号して、平文の個人情報を取得すれば、患者に対して検査結果などを通知できるようになる。
【００５７】
このような処理は、第２の実施の形態におけるシステム構成と同様の構成で実行することができるが、以下、図２３に示すような処理フローで処理内容を説明する。
【００５８】
本実施の形態では、図２４に示すようなデータが第１データ格納部３１に格納されているものとする。図２４の例では、患者のシリアル番号と、氏名と、連絡先と、住所と、性別と、生年月日と、身長と、体重と、検査値Ａと、検査値Ｂとが、患者毎に含まれている。連絡先情報としてはメールアドレスを使用する例を示しているが、電話番号などであっても良い。
【００５９】
そして、秘匿化処理部４０は、第１データ格納部３１に格納されているデータの匿名化処理を実施し、処理結果を第２データ格納部３４に格納する（図２３：ステップＳ８１）。図２４のデータ例の場合、図２５に示すように、患者番号をランダムなＩＤに変換すると共に、住所を県より下の部分を削除するという匿名化処理が行われる。なお、ランダムなＩＤについては、患者自身にも通知することで、病院における受診をスムーズに行わせる。
【００６０】
また、暗号処理部３３は、第１データ格納部３１に格納されている連絡先情報を、暗号キーＤＢ３６に格納されている病院の暗号キーＫ１を用いて可換暗号方式で暗号化して、第２データ格納部３４に格納する（ステップＳ８３）。そうすると、図２６に示すようなデータが、第２データ格納部３４に格納されることになる。
【００６１】
第１コンピュータ３ｂの通信処理部３８は、第２データ格納部３４に格納されている匿名化個人情報及び暗号化連絡先情報などを、第２コンピュータ５ｂに送信する（ステップＳ８５）。第２コンピュータ５ｂの通信処理部５１は、第１コンピュータ３ｂから匿名化個人情報及び暗号化連絡先情報などを受信すると、第１データ格納部５２に格納する（ステップＳ８７）。
【００６２】
この後、患者は、病院に行き、通知されたＩＤを知らせて診察や検査などを受ける。病院の医師は、患者に対して診察や検査を行って、要再検査などの判断を行う。なお、分析処理部５９による分析が一部行われる場合もある（ステップＳ８９）。図では人手で行われるので点線ブロックで表している。そして、例えば、医師などが、要再検査となった患者のＩＤを入力部５６により第２コンピュータ５ｂに入力する。
【００６３】
第２コンピュータ５ｂの入力部５６は、患者のＩＤの入力を受け付けると、暗号処理部５４に対して患者のＩＤを出力する。暗号処理部５４は、患者のＩＤを受け付けると、第１データ格納部５２から患者のＩＤに対応付けられている暗号化連絡先情報を読み出し、当該暗号化連絡先情報を、暗号キー格納部５７に格納されている暗号キーＫ２を用いて可換暗号方式により重畳して暗号化し、第３データ格納部５８に格納する（ステップＳ９１）。例えば、図２５のＩＤ「４３９８」が入力されると、図２７（ａ）に示すような重畳して暗号化された連絡先情報が生成される。このように、暗号キーＫ２でも暗号化されているので、第１コンピュータ３ｂの方では、誰が再検査となった患者であるかを特定することはできない。
【００６４】
第２コンピュータ５ｂの通信処理部５１は、第３データ格納部５８に格納されており且つ重畳して暗号化された連絡先情報を、第１コンピュータ３ｂに送信する（ステップＳ９３）。第１コンピュータ３ｂの通信処理部３８は、第２コンピュータ５ｂから重畳して暗号化された連絡先情報を受信すると、第３データ格納部３５に格納する（ステップＳ９５）。
【００６５】
暗号処理部３３は、第３データ格納部３５に格納されており重畳して暗号化された連絡先情報を、暗号キーＤＢ３６に格納されている病院のための暗号キーＫ１を用いて可換暗号方式で復号化して、第２データ格納部３４に格納する（ステップＳ９７）。図２７（ｂ）に示すような暗号キーＫ２で暗号化された連絡先情報が得られる。
【００６６】
そして、通信処理部３８は、第２データ格納部３４に格納されている暗号化連絡先情報を、第２コンピュータ５ｂに送信する（ステップＳ９９）。第２コンピュータ５ｂの通信処理部５１は、第１コンピュータ３ｂから暗号化連絡先情報を受信し、第１データ格納部５２に格納する（ステップＳ１０１）。そうすると、暗号処理部５４は、第１データ格納部５２に格納されている暗号化連絡先情報を、暗号キー格納部５７に格納されている暗号キーＫ２で可換暗号方式で復号し、復号結果を第２データ格納部５５に格納する（ステップＳ１０３）。そして、出力部５３は、第２データ格納部５５に格納されている平文の連絡先情報を出力装置に出力する。復号結果は、図２７（ｃ）に示すように、連絡先情報である平文のメールアドレスであるので、これによって再検査などを通知できるようになる。
【００６７】
これによって病院側は、患者に対して再検査などの通知を行うことができるようになる。この際、データ保有者である市役所などには、誰が再検査なのかは秘匿されている。
【００６８】
以上本技術の実施の形態を説明したが、本技術はこれに限定されるものではない。例えば、上で述べたような適用分野は一例であり、他の分野にも応用可能である。
【００６９】
さらに、上で述べた第１及び第２コンピュータの機能構成は一例であり、必ずしも実際のプログラムモジュール構成と一致しない。また、データ格納部の構成は実際のファイル構成と一致しない場合もある。
【００７０】
また、処理フローについても処理結果が変わらない限り、処理ステップの順番を入れ替えたり、並列実行しても良い。
【００７１】
さらに、第１及び第２コンピュータも、１台のコンピュータではなく複数台のコンピュータにより実現する場合もある。さらに、第２コンピュータに対して最初に暗号化データをネットワーク１を介して配信している例を示したが、他の方法で配布するようにしても良い。すなわち、郵送などを行っても良い。
【００７２】
なお、上で述べた第１コンピュータ３、並びに第２及び第３コンピュータ５及び７は、コンピュータ装置であって、図２８に示すように、メモリ２５０１とＣＰＵ（Central Processing Unit）２５０３とハードディスク・ドライブ（ＨＤＤ：Hard Disk Drive）２５０５と表示装置２５０９に接続される表示制御部２５０７とリムーバブル・ディスク２５１１用のドライブ装置２５１３と入力装置２５１５とネットワークに接続するための通信制御部２５１７とがバス２５１９で接続されている。オペレーティング・システム（ＯＳ：Operating System）及び本実施例における処理を実施するためのアプリケーション・プログラムは、ＨＤＤ２５０５に格納されており、ＣＰＵ２５０３により実行される際にはＨＤＤ２５０５からメモリ２５０１に読み出される。ＣＰＵ２５０３は、アプリケーション・プログラムの処理内容に応じて表示制御部２５０７、通信制御部２５１７、ドライブ装置２５１３を制御して、所定の動作を行わせる。また、処理途中のデータについては、主としてメモリ２５０１に格納されるが、ＨＤＤ２５０５に格納されるようにしてもよい。本技術の実施例では、上で述べた処理を実施するためのアプリケーション・プログラムはコンピュータ読み取り可能なリムーバブル・ディスク２５１１に格納されて頒布され、ドライブ装置２５１３からＨＤＤ２５０５にインストールされる。インターネットなどのネットワーク及び通信制御部２５１７を経由して、ＨＤＤ２５０５にインストールされる場合もある。このようなコンピュータ装置は、上で述べたＣＰＵ２５０３、メモリ２５０１などのハードウエアとＯＳ及びアプリケーション・プログラムなどのプログラムとが有機的に協働することにより、上で述べたような各種機能を実現する。
【００７３】
以上述べた本実施の形態をまとめると、以下のようになる。
【００７４】
本実施の形態に係る暗号処理方法は、（Ａ）暗号化の順番が可換であり且つ復号化の順番が可換である暗号方式に従って第１の暗号鍵で暗号化された複数の第１暗号化データブロックを格納するデータ格納部に格納されているいずれかの第１の暗号化データブロックを、上記暗号方式に従って第２の暗号鍵で暗号化することで、第２の暗号化データブロックを生成する処理と、（Ｂ）第１の暗号鍵を保持するコンピュータに対して第２の暗号化データブロックを送信する処理と、（Ｃ）第１の暗号鍵を保持するコンピュータから、上記暗号方式に従って第１の暗号鍵で第２の暗号化データブロックを復号した結果である第３の暗号化データブロックを受信する処理と、（Ｄ）暗号方式に従って第２の暗号鍵で第３の暗号化データブロックを復号し、データ格納部に格納する処理とを含む。
【００７５】
このようにすれば、第１のコンピュータ側にどのデータブロックを選択したかを秘匿することができるようになる。
【００７６】
なお、上記暗号処理方法は、（Ｅ）第３の暗号化データブロックの再送を第１の暗号鍵を保持するコンピュータに要求する処理と、（Ｆ）第１の暗号鍵を保持するコンピュータから、要求に係る第３の暗号化データブロックを受信する処理と、（Ｇ）上記暗号方式に従って第２の暗号鍵で第３の暗号化データブロックを復号し、データ格納部に格納する処理とをさらに含むようにしても良い。もし平文のデータブロックを紛失した場合でも、このように再度第３の暗号化データブロックを取得できれば、平文のデータブロックを復元できるようになる。
【００７７】
さらに、上記暗号処理方法において、複数の第１暗号化データブロックの各々に、少なくとも一部が匿名化されたデータが対応付けられている場合もある。このような匿名化されたデータに基づきどの第１暗号化データブロックを選択すべきかを判断できるようになる。
【００７８】
なお、上で述べたような処理をコンピュータに実施させるためのプログラムを作成することができ、当該プログラムは、例えばフレキシブル・ディスク、ＣＤ−ＲＯＭなどの光ディスク、光磁気ディスク、半導体メモリ（例えばＲＯＭ）、ハードディスク等のコンピュータ読み取り可能な記憶媒体又は記憶装置に格納される。
【００７９】
以上の実施例を含む実施形態に関し、さらに以下の付記を開示する。
【００８０】
（付記１）
暗号化の順番が可換であり且つ復号化の順番が可換である暗号方式に従って第１の暗号鍵で暗号化された複数の第１暗号化データブロックを格納するデータ格納部に格納されているいずれかの第１の暗号化データブロックを、前記暗号方式に従って第２の暗号鍵で暗号化することで、第２の暗号化データブロックを生成する処理と、
前記第１の暗号鍵を保持するコンピュータに対して前記第２の暗号化データブロックを送信する処理と、
前記第１の暗号鍵を保持するコンピュータから、前記暗号方式に従って前記第１の暗号鍵で前記第２の暗号化データブロックを復号した結果である第３の暗号化データブロックを受信する処理と、
前記暗号方式に従って前記第２の暗号鍵で前記第３の暗号化データブロックを復号し、前記データ格納部に格納する処理と、
を含み、コンピュータにより実行される暗号処理方法。
【００８１】
（付記２）
前記第３の暗号化データブロックの再送を前記第１の暗号鍵を保持するコンピュータに要求する処理と、
前記第１の暗号鍵を保持するコンピュータから、要求に係る前記第３の暗号化データブロックを受信する処理と、
前記暗号方式に従って前記第２の暗号鍵で前記第３の暗号化データブロックを復号し、前記データ格納部に格納する処理と、
をさらに含む付記１記載の暗号処理方法。
【００８２】
（付記３）
前記複数の第１暗号化データブロックの各々に、少なくとも一部が匿名化されたデータが対応付けられている
付記１又は２記載の暗号処理方法。
【００８３】
（付記４）
暗号化の順番が可換であり且つ復号化の順番が可換である暗号方式に従って第１の暗号鍵で暗号化された複数の第１暗号化データブロックを格納するデータ格納部に格納されているいずれかの第１の暗号化データブロックを、前記暗号方式に従って第２の暗号鍵で暗号化することで、第２の暗号化データブロックを生成する処理と、
前記第１の暗号鍵を保持するコンピュータに対して前記第２の暗号化データブロックを送信する処理と、
前記第１の暗号鍵を保持するコンピュータから、前記暗号方式に従って前記第１の暗号鍵で前記第２の暗号化データブロックを復号した結果である第３の暗号化データブロックを受信する処理と、
前記暗号方式に従って前記第２の暗号鍵で前記第３の暗号化データブロックを復号し、前記データ格納部に格納する処理と、
を、コンピュータに実行させるためのプログラム。
【００８４】
（付記５）
暗号化の順番が可換であり且つ復号化の順番が可換である暗号方式に従って第１の暗号鍵で暗号化された複数の第１暗号化データブロックを格納するデータ格納部に格納されているいずれかの第１の暗号化データブロックを、前記暗号方式に従って第２の暗号鍵で暗号化することで、第２の暗号化データブロックを生成する暗号処理部と、
前記第１の暗号鍵を保持するコンピュータに対して前記第２の暗号化データブロックを送信し、前記第１の暗号鍵を保持するコンピュータから、前記暗号方式に従って前記第１の暗号鍵で前記第２の暗号化データブロックを復号した結果である第３の暗号化データブロックを受信する通信部と、
を有し、
前記暗号処理部が、
前記暗号方式に従って前記第２の暗号鍵で前記第３の暗号化データブロックを復号し、前記データ格納部に格納する
情報処理装置。
【００８５】
（付記６）
第１の暗号鍵を保持する第１のコンピュータと、
第２の暗号鍵を保持する第２のコンピュータと、
を有し、
前記第２のコンピュータが、
暗号化の順番が可換であり且つ復号化の順番が可換である暗号方式に従って第１の暗号鍵で暗号化された複数の第１暗号化データブロックを格納するデータ格納部に格納されているいずれかの第１の暗号化データブロックを、前記暗号方式に従って第２の暗号鍵で暗号化することで、第２の暗号化データブロックを生成し、
前記第１のコンピュータに対して前記第２の暗号化データブロックを送信し、
前記第１のコンピュータが、
前記第２のコンピュータから前記第２の暗号化データブロックを受信し、
前記暗号方式に従って前記第１の暗号鍵で前記第２の暗号化データブロックを復号し、
前記第２のコンピュータに対して、復号の結果である第３の暗号化データブロックを送信し、
前記第２のコンピュータが、
前記第１のコンピュータから、前記第３の暗号化データブロックを受信し、
前記暗号方式に従って前記第２の暗号鍵で前記第３の暗号化データブロックを復号し、前記データ格納部に格納する
システム。
【符号の説明】
【００８６】
３１  第１データ格納部
３４  第２データ格納部
３５  第３データ格納部
３６  暗号キーＤＢ
３３  暗号処理部
３８  通信処理部
４０  匿名化処理部
５１  通信処理部
５２  第１データ格納部
５３  出力部
５４  暗号処理部
５５  第２データ格納部
５６  入力部
５７  暗号キー格納部
５８  第３データ格納部
５９  分析処理部
【図１】
2013197642.tif 000003
【図２】
2013197642.tif 000004
【図３】
2013197642.tif 000005
【図４】
2013197642.tif 000006
【図５】
2013197642.tif 000007
【図６】
2013197642.tif 000008
【図７】
2013197642.tif 000009
【図８】
2013197642.tif 000010
【図９】
2013197642.tif 000011
【図１０】
2013197642.tif 000012
【図１１】
2013197642.tif 000013
【図１２】
2013197642.tif 000014
【図１３】
2013197642.tif 000015
【図１４】
2013197642.tif 000016
【図１５】
2013197642.tif 000017
【図１６】
2013197642.tif 000018
【図１７】
2013197642.tif 000019
【図１８】
2013197642.tif 000020
【図１９】
2013197642.tif 000021
【図２０】
2013197642.tif 000022
【図２１】
2013197642.tif 000023
【図２２】
2013197642.tif 000024
【図２３】
2013197642.tif 000025
【図２４】
2013197642.tif 000026
【図２５】
2013197642.tif 000027
【図２６】
2013197642.tif 000028
【図２７】
2013197642.tif 000029
【図２８】
2013197642.tif 000030