(57)【要約】【課題】匿名化状態を維持したままデータを名寄せする。【解決手段】第１データベースは、個人を識別可能なデータを格納し、第２データベースは、第１データベースに格納されるデータと関連付けられるデータを格納し、第１データベースは、個人を識別可能な個人識別情報と、第１データベースに格納されるデータを一意に識別可能な第１識別情報とを対応付けて記録し、第１データベースに格納されるデータと第２データベースに格納されるデータとは、第１識別情報を用いて関連付けられており、第１データベース又は他のデータベースは、個人識別情報に対応する第２識別情報と第１識別情報とを対応付けて記録し、第１識別情報を含む問い合わせに対して第２識別情報に対応する第３識別情報を出力し、第３データベースは、第３識別情報を参照して、第２データベースから取得したデータを同一人毎に纏めたデータを格納する。【選択図】図１
2016189078.tif 000002
【特許請求の範囲】
【請求項１】
第１データベースと第２データベースと第３データベースとが一つ又は複数のデータセンタ内に設けられる情報管理システムであって、
前記第１データベースは、個人を識別可能なデータを格納し、
前記第２データベースは、前記第１データベースに格納されるデータと関連付けられるデータを格納し、
前記第１データベースは、個人を識別可能な個人識別情報と、前記第１データベースに格納されるデータを一意に識別可能な第１識別情報とを対応付けて記録し、
前記第１データベースに格納されるデータと前記第２データベースに格納されるデータとは、前記第１識別情報を用いて関連付けられており、
前記第１データベース又は他のデータベースは、前記個人識別情報に対応する第２識別情報と前記第１識別情報とを対応付けて記録し、前記第１識別情報を含む問い合わせに対して前記第２識別情報に対応する第３識別情報を出力し、
前記第３データベースは、前記第３識別情報を参照して、前記第２データベースから取得したデータを同一人毎に纏めたデータを格納することを特徴とする情報管理システム。
【請求項２】
請求項１に記載の情報管理システムであって、
前記第３識別情報は、前記第２識別情報から所定の関数を用いて生成されることを特徴とする情報管理システム。
【請求項３】
請求項１に記載の情報管理システムであって、
前記第１データベースは、
検索可能暗号化技術を用いて前記データセンタ内で復号できない形式で暗号化して前記個人を識別可能なデータ及び前記個人識別情報を格納し、
前記第１データベースに新たにデータを格納する際、前記暗号化されたデータを検索し、前記データが新たな個人のものであれば、前記個人識別情報及び前記第１識別情報を新たに生成することを特徴とする情報管理システム。
【請求項４】
請求項１に記載の情報管理システムであって、
前記第１データベースは、
検索可能暗号化技術を用いて前記データセンタ内で復号できない形式で暗号化して前記個人を識別可能なデータ及び前記個人識別情報を格納し、
前記第１識別情報及び前記第２識別情報を格納することを特徴とする情報管理システム。
【請求項５】
請求項１に記載の情報管理システムであって、
前記第１データベースは、前記第２データベースを利用する組織及び前記第２データベースにデータが格納される個人を特定可能な第４識別情報を格納することを特徴とする情報管理システム。
【請求項６】
請求項５に記載の情報管理システムであって、
前記第２データベースは、前記第３データベースに格納されたデータを含む問い合わせに対し、当該データに対応する第１識別情報を出力し、
前記第１データベースは、前記第２データベースから出力された第１識別情報を含む問い合わせに対し、当該第１識別情報に対応する第４識別情報を出力することを特徴とする情報管理システム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、匿名化して管理されたデータを名寄せする情報管理システムに関する。
【背景技術】
【０００２】
これまでライフサイエンス・臨床医学分野でさまざまな研究開発が行われ、多くのデータベースが構築されてきた（非特許文献１）。しかし、多くの有用な情報が蓄積されているにもかかわらず、統一された識別情報を持たないため、異なるデータベースに別個に収集された準機微情報を突合することができず、蓄積された情報を真に活用できているとはいえない状況である。
【０００３】
本来、ライフサイエンスや臨床医学の発展のためには、準機微情報が含まれるデータを収集し、統合して解析する必要がある。例えば、がんの悉皆登録制度の成立等の背景により、堅牢な２重３重の匿名化を実現した疾患情報収集システム、及び、臨床情報を分析し、評価するための共有データベースの構築が急務である。
【０００４】
一方で、機微情報の漏洩は、本人の社会生活上、重大な損害をもたらすおそれがある。複数のデータベースを突合したデータに、遺伝情報のような一生変化することのない情報が含まれている場合、個人にとって甚大なリスクを伴う情報を事業者に提供することになり、このような情報を扱うにあたって特に注意が必要である。
【０００５】
近年のクラウド技術と併せて注目されているセキュリティ技術の一つに、検索可能暗号技術が知られている。検索可能暗号技術は、記憶装置に格納されたデータを暗号化したまま検索ができる技術であり、クラウドコンピューティングにおけるセキュリティ技術の代表的なものである。検索可能暗号化技術は、データベース自体が暗号化されており、さらに、データセンタ内でデータを復号化することなく検索処理を実行することができ、従来技術のセキュリティ上の脆弱性を解消している。このため、セキュリティやプライバシーに厳密に配慮する技術として注目されている。
【０００６】
本技術分野の背景技術として特開２０１２−１２３６１４号公報（特許文献１）がある。特許文献１に記載の検索可能暗号処理ステムは、データを預かるＤＢサーバと、ＤＢサーバにデータを預託する登録クライアントと、ＤＢサーバにデータを検索させる検索クライアントがネットワーク経由で連携する検索可能暗号処理ステムであって、登録クライアントは、ハッシュ値と準同型関数を用いたマスクによる確率的暗号化方式を用いて、暗号化したデータをサーバに預託し、検索クライアントは、検索クエリの暗号化に準同型関数を用いたマスクによる確率的暗号化を用い、ＤＢサーバにマスクを解除させずに、かつ、ＤＢサーバに検索に該当するデータの出現頻度が漏洩しないよう、検索クエリと該当しないデータを検索結果として出力させる。
【先行技術文献】
【特許文献】
【０００７】
【特許文献１】特開２０１２−１２３６１４号公報
【非特許文献】
【０００８】
【非特許文献１】「戦略プロポーザル  ライフサイエンス・臨床医学分野におけるデータベースの統合的活用戦略」，独立行政法人科学技術振興機構  研究開発戦略センター，http://www.jst.go.jp/crds/pdf/2012/SP/CRDS-FY2012-SP-06.pdf
【発明の概要】
【発明が解決しようとする課題】
【０００９】
このようにセキュリティやプライバシーに配慮した形態で保管されているデータは、それだけでは個人を識別できないので、複数のデータベースに格納されたデータを突き合わせた共有データベースを構築することは困難である。このため、匿名化されたデータを分析及び評価を行うことができなかった。
【００１０】
本発明は、個人を識別できるデータと、個人を識別できないデータとに分離してデータベースに格納されたデータを、匿名化状態を維持したまま名寄せし、データの分析及び評価するための共有データベースを構築することを目的とする。
【課題を解決するための手段】
【００１１】
本願において開示される発明の代表的な一例を示せば以下の通りである。すなわち、第１データベースと第２データベースと第３データベースとが一つ又は複数のデータセンタ内に設けられる情報管理システムであって、前記第１データベースは、個人を識別可能なデータを格納し、前記第２データベースは、前記第１データベースに格納されるデータと関連付けられるデータを格納し、前記第１データベースは、個人を識別可能な個人識別情報と、前記第１データベースに格納されるデータを一意に識別可能な第１識別情報とを対応付けて記録し、前記第１データベースに格納されるデータと前記第２データベースに格納されるデータとは、前記第１識別情報を用いて関連付けられており、前記第１データベース又は他のデータベースは、前記個人識別情報に対応する第２識別情報と前記第１識別情報とを対応付けて記録し、前記第１識別情報を含む問い合わせに対して前記第２識別情報に対応する第３識別情報を出力し、前記第３データベースは、前記第３識別情報を参照して、前記第２データベースから取得したデータを同一人毎に纏めたデータを格納する。
【発明の効果】
【００１２】
本発明の代表的な実施の形態によれば、データの匿名化状態を維持したまま名寄せをすることができる。前述した以外の課題、構成及び効果は、以下の実施例の説明により明らかにされる。
【図面の簡単な説明】
【００１３】
【図１】本発明の実施例の情報管理システムの構成を示す図である。
【図２】本発明の実施例のデータベース１の構成例を示す図である。
【図３】本発明の実施例のデータベース２の構成例を示す図である。
【図４】本発明の実施例のデータベース３の構成例を示す図である。
【図５】本発明の実施例のデータベース１及び２への治験等のデータの登録を示す図である。
【図６】本実施例のデータベース３への第三者提供用データの登録を示す図である。
【図７】本実施例のデータベース３から被験者のデータを登録した病院及び被験者を特定する処理を示す図である。
【発明を実施するための形態】
【００１４】
以下、本発明の実施例を、図面を参照して具体的に説明する。
【００１５】
図１は、本発明の一実施例の情報管理システムの構成を示す図である。
【００１６】
本実施例の情報管理システムは、匿名化した状態のデータの名寄せを実現するためのデータベース１、匿名化された研究や治験情報が登録されるデータベース２、データベース２の情報を名寄せ集約し匿名化されたデータの提供を行うデータベース３、ネットワークとは独立し個人情報を管理するデータベース４、及びデータベース１、２、３及び４にアクセスする端末５、６、７を有する。端末５は、病院に設置され、データベース１、２及び４にデータを登録し、問い合わせを行う。端末６は、治験を管理する機関に設置され、データベース２にデータを登録し、問い合わせを行う。端末７は、データベース３に問い合わせを行う。
【００１７】
本実施例において、端末５が設置される機関は、病院に限らず、個人情報を管理し登録する機関であって、医療行為、健康診断事業、保健指導事業などの健康管理事業を提供する、医療機関、健診機関、保健指導機関、個人の健康状態に応じて健康指導を行う民間事業者などである。端末５が設置される機関は、匿名状態でデータを保管する事業者であれば、治験を管理する機関に限らない。
【００１８】
データベース１，２，３及び４は、データを格納する不揮発性記憶装置（または、揮発性記憶装置）と、当該記憶装置に格納されたデータの入出力及び更新を制御するデータベースマネジメントシステム（ＤＢＭＳ）とによって構成される。データベースマネジメントシステムは、プロセッサ及びメモリを有するコンピュータリソース上で実行される。
【００１９】
データベース１は、検索可能暗号技術を適用して暗号化したデータを記憶装置に格納し、データセンタ１０内で復号せずにデータを出力する。データベース２、３及び４は、通常の平文データもしくは従来の暗号化方式が適用されたデータが格納されるデータベースである。データベース２、３及び４は、通常の暗号化技術が適用された（すなわち、暗号化されたデータが記憶装置に格納されるが、データセンタ２０、３０及び４０内で復号化されたデータが出力される）データベースでもよい。
【００２０】
このように構成されたデータベース１には、図２に示すように、内容を秘匿すべきデータ、すなわち特定の個人を識別できるデータ（氏名、生年月日、イニシャルなど）が格納される。データベース２には、図３に示すように、データベース１に格納されたデータと関連付けられるデータ、例えば、それだけでは個人を識別できないデータ（治験等の結果など）が格納される。データベース３には、図４に示すように、複数のデータベース２のデータと同じデータが格納される。また、暗号化ＩＤを含まない公開用の他のデータベースが存在していた場合、データベース３には、データを参照するリンクを格納してもよい。データベース４には、病院などが管理する特定の個人を識別できるデータ（氏名、生年月日、イニシャルなど）が格納される。
【００２１】
図１には、データベース１、２、３及び４は、各々一つのみを図示するが、各々が複数のデータベースを含んでもよい。この場合、後述するように、各データベースを関連付けるために複数の対応付け情報がデータベース１に記録される。また、データベース２，３及び４は、複数存在してもよい。特に、データベース２は、一つでも複数でもよいが、病院や治験実施機関毎に設けられる、すなわち、複数設けられることが望ましい。
【００２２】
データベース１、２、３及び４は、それぞれ異なるデータセンタ１０、２０、３０及び４０に収容されている。
【００２３】
データセンタ１０、２０、３０及び４０の各々は、一つの拠点に収容されたコンピュータ群や、複数の拠点に分散して配置され、ネットワークによって接続されるコンピュータ群であり、より具体的にはコンピュータ及びストレージ装置のリソースの一部を仮想化して提供するクラウドサービスである。また、データセンタ１０，２０、３０及び４０は、使用者（例えば、企業）が管理する設備内に設置されるもの（いわゆる、オンプレミス）でもよい。
【００２４】
さらに、データベース１、２，３及び４の各々を、複数のデータセンタ１０内に分散して収容してもよい。すなわち、別の事業者がデータベース１、２、３及び４を管理してもよい。
【００２５】
データベース１及び２に格納されるデータを関連付ければ個人の情報が一元的に管理され、把握されてしまう。しかし、本実施例のデータベース構造によれば、データベース１に格納されるデータは暗号化されており、データベース１から暗号化されたデータが出力されるので、一つのデータセンタ１０内にデータベース１及び２の両方、又はデータベース１及び３の両方を収容しても、個人の情報が一元的に管理されない。同様に、データベース２及び３の両方を収容しても、データベース１，２及び３を収容しても、個人の情報が一元的に管理されない。
【００２６】
なお、図示は省略するが、データセンタ１０、２０、３０及び４０内には、データベース１，２，３及び４を制御するためのサーバや、端末にアプリケーションを提供するサーバが設けられてもよい。そして、サーバがデータベース１，２、３及び４に格納されたデータを用いてサービスを提供してもよい。
【００２７】
端末５、６及び７は、プロセッサ、メモリ、ネットワークインターフェース及びユーザインターフェース（キーボード、マウス、表示装置など）を有するコンピュータである。コンピュータは、パーソナルコンピュータ（ＰＣ）の他、タブレット端末、スマートフォンなどでもよい。なお、図１には、端末５，６及び７の３台のみを図示するが、通常は端末５、６及び７の各々は複数台設けられる。
【００２８】
端末５は、データベース１及び２にアクセスするために用いる。端末５では、データベース１及び２にアクセスするための専用のアプリケーションプログラムが動作しても、ウェブブラウザが動作してもよい。当該専用アプリケーションプログラム及びウェブブラウザは、端末５がデータベース１へアクセスするためのキーを管理し、データセンタ１０内のサーバにリクエストを送信する。なお、端末５がデータベース１へアクセスするためのキーは、許可されるアクセスの種類（検索のみ、検索及び復号）によって複数準備される。また、アクセスするためのキーは、組織内のユーザで同一にしてもよいし、ユーザ毎に異なってもよい。キーの管理は、情報の管理者及び利用者が決定することができる。 鍵は、ディジタル証明書として管理され、有効期限や所有者を認証時に確認してもよい。
【００２９】
端末６は、データベース２にアクセスするために用いられ、端末７は、データベース３にアクセスするために用いられる。端末６では、データベース２にアクセスするための専用のアプリケーションプログラムが動作しても、ウェブブラウザが動作してもよい。また、端末７では、データベース３にアクセスするための専用アプリケーションプログラムが動作しても、ウェブブラウザが動作してもよい。当該専用アプリケーションプログラム及びウェブブラウザは、端末５の場合と異なり、データベース１へアクセスするためのキーを管理しないため、データセンタ１０内のサーバにリクエストを送信できない。
【００３０】
各データセンタ１０、２０、３０、４０と端末５、６、７とは、ネットワーク によって接続される。
【００３１】
端末５から、新たに個人とデータを登録する場合、個人の氏名等で照合し、一致する個人がいないことを確認した後に、データベース１内部で個人を識別する個人ＩＤ、病院ごとに個人を識別するＨＩＤ、データベース２にデータを格納するための暗号化ＩＤ、及び暗号化セットＩＤの生成元となるセットＩＤを発行し、照合に用いる氏名、生年月日、イニシャル等の情報をデータベース１に格納する。これらのＩＤは、データセンタ１０（ＤＢＭＳ）が発行する。データベース１は、端末５にＨＩＤを返信する。端末５は、受信したＨＩＤを、個人情報を管理するデータベース４に保存する。ＨＩＤは、病院であれば、電子カルテ上に保管してもよい。端末５上で、ＨＩＤと暗号化ＩＤの両者と名前で関連付けて管理する（例えば、これらを関連付けてデータベース４に記録する）ことはセキュリティ上好ましくないため、暗号化ＩＤはデータベース１に都度問い合わせることが望ましい。なお、セットＩＤは、新たな個人データを登録する際に生成してもよいが、暗号化セットＩＤを生成するときに生成してもよい。
【００３２】
端末５は、データベース２にデータを登録する際には、まずデータベース１にＨＩＤを送信する。データベース１は、受信したＨＩＤに対応する暗号化ＩＤを端末５に返信する。
【００３３】
端末５は、匿名化されたデータ及び発行された暗号化ＩＤを含む書込要求をデータベース２に送信する。データベース２は、端末５からの書込要求に従ってデータを格納する。
【００３４】
データベース２へのデータ格納は、端末５から行わない場合がある。例えば、端末５の利用者から端末６の利用者に研究の検体が送付され、端末６の利用者が、検査結果をデータベース２に格納する場合がある。その場合、端末５は、データベース１から発行された暗号化ＩＤと検体を、端末６の利用者に送付する。送付の方法は、検体が保管されている容器の側面に文字列として印刷してもよいし、バーコードの形式で貼り付けてもよい。端末６の利用者は、匿名化されている検査結果と、送付された暗号化ＩＤを含む書込要求をデータベース２に送信する。データベース２は、端末６からの書込要求に従ってデータを格納する。
【００３５】
データベース２から、データベース３に新たにデータを登録する場合、データベース３にデータを格納するための暗号化セットＩＤを発行する。暗号化セットＩＤの発行時に、データベース１にセットＩＤが格納されていなければ、このタイミングでセットＩＤを生成する。データベース暗号化セットＩＤは、データベース１が発行する。暗号化セットＩＤは、データベース２に提供される暗号化ＩＤを個人単位で関連付ける識別情報であり、データベース１に登録されているセットＩＤのハッシュ値を計算するなど、対応表を持たない方法で発行される。被験者の情報は、複数のデータベース２のそれぞれに異なる暗号化ＩＤで登録されている。データベース３にデータが格納される際、被験者の暗号化セットＩＤで名寄せされてデータが登録される。
【００３６】
データベース２は、格納された匿名化情報及び発行された暗号化セットＩＤを第三者に提供するタイミングで、書込要求をデータベース３に送信する。データベース３は、データベース２からの書込要求に従ってデータを格納する。データベース３は、暗号化セットＩＤにより、異なるデータベースのデータを名寄せした状態で格納することができる。データベース１は、複数存在するデータベース２毎に暗号化ＩＤを発行する。暗号化ＩＤは、データベース２にデータを登録する際に照合しても、データベース３に暗号化セットＩＤを登録する際に照合してもよい。個人の特定を病院ごとに制限する場合、データベース３に送信される際に暗号化ＩＤを発行する方が好ましい。
【００３７】
図２は、本実施例のデータベース１の構成例を示す図である。
【００３８】
図２に示すデータベース１は、個人を一意に識別するための個人ＩＤ１０１、個人照合用のデータである氏名１０２、生年月日１０３及びイニシャル１０４、医療機関ごとに個人を特定するためのＨＩＤ１０５、ＨＩＤ１０５と対応してデータベース２において個人の特定する暗号化ＩＤ１０６、及び複数の暗号化ＩＤに対応するセットＩＤ１０７など、個人の存否を特定できる個人情報を格納する。データベース１は、暗号化ＩＤ１０６、セットＩＤ１０７以外のデータに検索可能暗号技術を適用して暗号化して記憶装置に格納し、データセンタ１０内で復号せずにデータを出力する。
【００３９】
データベース１では、個人を照合する目的で個人情報を保持するので、本事例のように氏名、生年月日、イニシャルを保持してもよいし、個人情報を保持してもよい。また、本実施例の情報管理システムを会社で使用する場合、データベース１に人事情報を格納してもよい。
【００４０】
ＨＩＤ１０５、暗号化ＩＤ１０６は、一例として病院ごとに生成しても、同一病院の診療科ごとに生成しても、個人ごとに生成してもよい。より多くの組織ごとに生成することで、たとえば、病院ごとに生成するよりも、診療科ごとにした方が、ＨＩＤ１０５や暗号化ＩＤ１０６が離散化するため、セキュリティレベルは高くなるが、ＩＤの取り扱いが煩雑になるなどの弊害もあるため、適切な組織単位で生成することが望ましい。 また、セットＩＤ１０７は平文で保存しているが、外部に提供する際には保存された情報に基づいてハッシュ値を計算するなど、直接外部に出さないようにする。セットＩＤ１０７は、個人ＩＤ１０１に対応し、データベース１にデータを登録する際に生成される。
【００４１】
実装上は、データベース２からデータベース１に、暗号化ＩＤ及びセットＩＤの問い合わせが頻発する可能性があるので、データベース１のうち、暗号化ＩＤとセットＩＤ情報のみを含む、データベース１と同期した参照系の他のデータベースを構築してもよいし、データベース１を物理的に分離し他のデータベースを用意し、負荷分散を図る構成としてもよい。
【００４２】
暗号化ＩＤ１０６は、データベース１に格納されたデータとデータベース２に格納されたデータとを関連付けるための識別情報であり、データベース２に格納された暗号化ＩＤ２０２と一致する。データベース１が個人ＩＤ１０１と暗号化ＩＤ１０６とを対応付けることによって、データベース１とデータベース２とを関連付けることができる。
【００４３】
セットＩＤ１０７は、データベース２に格納されたデータとデータベース３に格納されたデータとを関連付けるための識別情報である。セットＩＤ１０７は、データベース３の暗号化セットＩＤ３０２と、単純に対応はせず、両者の対応表は保持されない。セットＩＤ１０７のハッシュ値を計算するなど所定の処理を行うことによって、データベース２とデータベース３とを関連付けることができる。ただし、セキュリティ上、データベース３とデータベース１は連携させない。
【００４４】
複数のデータベース２が関連付けられる場合、データベース間及びデータ間を関連付けるための複数の暗号化ＩＤ１０６がデータベース１に記録される。
【００４５】
なお、データベース１は、データベース１へアクセスするためのパスワードやアクセスキーを格納してもよい。また、データベース１に格納される暗号化情報は、データベース１へのアクセスごとに変更及び更新すれば、さらにセキュリティレベルを向上することができる。より具体的には、データ登録時の暗号文が毎回異なるように生成し、アクセスごとに情報を書き換える。
【００４６】
図３は、本実施例のデータベース２の構成例を示す図である。
【００４７】
図３に示すデータベース２は、研究や治験によって取得される個人の健康に関する情報を格納するデータベースであって、データを一意に識別するデータＩＤ２０１、暗号化ＩＤ２０２、データ登録日２０３及び各種検査数値 （検査値２０４、２０５、２０６）などを格納する。このように、データベース２は、個人を特定できる個人情報を格納しない。なお、データベース２は、データベース２へアクセスするためのパスワードやアクセスキーを保存してもよい。
【００４８】
従来、データベース１とデータベース２とを関連付ける情報はデータベース２と共に管理することが望ましかったが、当該関連付け情報を暗号化してデータベース１に格納したので、データベース１とデータベース２とを一元的に管理しても、個人の情報が一元的に管理されることはない。
【００４９】
データベース１に格納されたデータとデータベース２に格納されたデータとを関連付けるための情報の管理は、個人情報の分離において重要である。関連付け情報の管理によって、データ管理が連結可能匿名化か連結不可能匿名化が決まる。このため、例えば、臨床研究分野の倫理指針では、関連付け情報の厳重な管理が要求される。より、具体的には、関連付け情報にアクセスできない又は関連付け情報が破棄されていれば、データベース２に格納されたデータに対応する個人を識別できず、連結不可能匿名化となる。一方、関連付け情報にアクセスできれば、データベース２に格納されたデータに対応する個人を識別でき、連結可能匿名化となる。このため、連結可能匿名化では、関連付け情報の厳重な管理が大きな負担になる。
【００５０】
本実施例では、関連付け情報を検索可能暗号化してデータベース１に格納したので、関連付け情報は、データセンタ１０内で複合化できない形式で暗号化されてデータベース１に格納される。このため、関連付け情報はデータセンタ１０の外部に格納されているといえる。関連付け情報をデータセンタ１０内に持たないので、個人情報を安全に管理することができる。
【００５１】
図４は、本実施例のデータベース３の構成例を説明する図である。
【００５２】
図４に示すデータベース３は、個人の健康に関する複数のデータベースに格納されるデータを、匿名化した状態で名寄せ統合し、公開するデータベースであって、データを一意に識別するデータＩＤ３０１、暗号化セットＩＤ３０２、データ登録日３０３、及び各種検査数値（検査値３０４〜３０７）などを格納する。
【００５３】
暗号化セットＩＤ３０２は、個人と対応するものなので、データベース３から出力されないように管理されることが望ましい。
【００５４】
このようにデータベース３は、個人を特定できる個人情報を格納しない。なお、データベース３は、データベース３へアクセスするためのパスワードやアクセスキーを保存してもよい。
【００５５】
本実施例では、データベース２及びデータベース３を結びつける情報は、データベース１からデータベース２に提供される。データベース３は、データベース２から出力される暗号化ＩＤに対応する暗号化セットＩＤを用いて名寄せを行う。暗号化セットＩＤは、暗号化ＩＤのハッシュ値を用いるなど対応表がない形で管理される。データベース３は、登録される情報が誰の情報であるかを意識せずに、名寄せを実現することができる。
【００５６】
図５は、本実施例のデータベース１及び２への治験等のデータの登録を示す図である。
【００５７】
データベース１、２はシステム上結合しておらず、データベース１に格納されている個人を特定する情報は端末５を設置している病院からアクセス可能である。
【００５８】
データベース２に治験等のデータを登録する場合、図５に示すように、端末５１はリクエストをデータベース１に送信し、検索処理によってデータベース１に格納されたデータを取得する。データベース４に予め被験者のＨＩＤ１を保有していない場合、データベース１に被験者の個人情報（氏名、生年月日、イニシャル等）を含むリクエストを送信し、被験者の情報を登録する。登録の際、端末５１は被験者を示すＨＩＤ１をデータベース１から取得する。被験者を示すＨＩＤ１は病院が管理するデータベース４に個人情報と共に格納する。端末５１はＨＩＤ１を含むリクエストをデータベース１に送信し、検索処理によってデータベース１に格納されている暗号化ＩＤ１を取得する。端末５１は、データベース２に暗号化ＩＤ１及び治験等のデータを含むリクエストを送信し、データベース２にデータを格納する。
【００５９】
端末５１は、取得した暗号化ＩＤ１を用いて、個人情報とデータベース２へ登録する情報を結合し、ディスプレイ装置に表示してもよい。
【００６０】
複数の病院が治験に参加する場合、最初に登録を行う端末５１が属する病院１と異なる病院２に属する端末５２から同一の被験者の情報を登録することがある。すでに登録されている被験者の情報を異なる病院の端末５２から登録する場合、データベース１に被験者の個人情報（氏名・生年月日・イニシャル等）を送信する。データベース１は、受信した個人情報（氏名・生年月日・イニシャル等）に合致する登録が見付かるため、個人ＩＤを生成せず、病院２が個人を識別するために用いるＨＩＤ２及び暗号化ＩＤ２を新規に生成する。このようにして、本実施例では、同一の被験者が異なる病院を受診したデータは、名寄せが可能な形式でデータベース１に登録することができる。
【００６１】
図６は、本実施例のデータベース３への第三者提供用データの登録、すなわち、複数のデータベース２格納されている情報の名寄せを示す図である。
【００６２】
データベース１、２及び３はシステム上結合しておらず、データベース１に格納されている個人を特定する情報は端末５を設置している病院からアクセス可能である。
【００６３】
第三者へ提供するための第三者提供用データをデータベース３に登録する場合、図６に示すように、データベース２は、データベース１にリクエストを送信し、検索処理によってデータベース１に格納されたデータを取得する。データベース１へのリクエストは暗号化ＩＤを含み、データベース１は暗号化ＩＤに対応する暗号化セットＩＤを返却する。暗号化セットＩＤは、暗号化ＩＤに関連する個人を識別するＩＤであり、データベース１内に保存される個人を識別するセットＩＤのハッシュ値等を用いて、対応表を保持しない形で管理される。データベース２は、取得した暗号化セットＩＤを、データベース２に格納されているデータと共に、データベース３に送信する。データベース３は、暗号化セットＩＤを個人を識別する情報としてデータに関連付けて保持することにより、複数のデータベース２から送信されるデータを、匿名状態のまま名寄せすることができる。
【００６４】
データベース２１は、それだけでは個人を識別できない情報及び暗号化ＩＤ２１１を含む。データベース２２は、それだけでは個人を識別できない情報及びＩＤ２１１と異なる暗号化ＩＤ２２１を含む。データベース１には、個人の情報は個人ＩＤ（又は、セットＩＤ）で名寄せされており、暗号化ＩＤ２１１及び暗号化ＩＤ２２１に対応して同一の個人の情報が保管されている。
【００６５】
データベース３にデータを登録する際、データベース２１は、暗号化ＩＤ２１１を含むリクエストをデータベース１に送信し、暗号化セットＩＤ１１を取得する。データベース２１は、暗号化セットＩＤ１１と匿名化された研究データの書込要求をデータベース３に送信する。同様に、データベース２２は、暗号化ＩＤ２２１を含むリクエストをデータベース１に送信し、暗号化セットＩＤ１１を取得する。データベース２１がデータベース１から取得する暗号化セットＩＤ１１と、データベース２２がデータベース１から取得する暗号化セットＩＤ１１とは、同一人については同じである。データベース２２は、暗号化セットＩＤ１１と匿名化されたデータの書込要求をデータベース３に送信する。データベース３は、データベース２１及びデータベース２２のそれぞれから、暗号化セットＩＤ１１と関連付けられたデータの書込要求を受け付け、暗号化セットＩＤ１１と共にデータを格納する。その結果、データベース３には名寄せされたデータが登録される。
【００６６】
図７は、本実施例のデータベース３から被験者のデータを登録した病院及び被験者を特定する処理を示す図である。
【００６７】
データベース３からデータを取得する場合、端末７はリクエストをデータベース３に送信し、検索処理によってデータベース３に格納されたデータを取得する。端末６は、データベース３から取得した暗号化セットＩＤ３０２では、データベース２に格納された暗号化ＩＤを特定できないため、システム上で、データベース３に格納されたデータから個人ＩＤまで辿ることはできない。
【００６８】
端末７の利用者は、データベース３に格納される各種検査情報（データ登録日３０３、検査値３０４〜３０６）から、その情報の登録元のデータベース２に問い合わせる。データベース２は、端末７から直接アクセスできるネットワークにあるとは限らないため、端末７の利用者は、データベース２の管理者に該当する検査情報を送付する。データベース２の管理者は、端末６から検査情報をデータベース２送信して、暗号化ＩＤを問い合わせる。データベース２は、該当する検査情報に対応する暗号化ＩＤ２０２を特定し、暗号化ＩＤ２０２を登録した病院に暗号化ＩＤ２０２と該当するデータを提供する。
【００６９】
病院の端末５は、暗号化ＩＤ２０２をデータベース１に送信し、ＨＩＤ１０６を取得する。端末５は、データベース１から取得したＨＩＤ１０６によって、データベース４を検索し、暗号化ＩＤ２０２に対応する個人を特定することができる。このようにして、端末６の利用者は、匿名状態で名寄せされたデータベース３から、被験者を特定することができる。
【００７０】
以上に説明したように、本発明の実施例によると、個人の照合に用い、かつセキュリティやプライバシーに配慮すべきデータ（例えば、生存する個人に関する情報であって、氏名、生年月日、その他の記述等により特定の個人を識別できる情報）と、それ以外のそれだけでは個人を識別できないデータ（検査数値等）に分離し、個人を識別できるデータは、検索可能暗号化によって保護し、同一個人を照合しデータベースを連携するためのＩＤを発行し、管理する。一方、個人を識別できないデータは、発行されたＩＤに基づき異なるデータベースで管理する。発行されたＩＤをさらに対応表を用いない方法で変換されたＩＤを用いて、このような方法で複数のデータベースで管理された個人を識別できないデータを匿名化した状態で名寄せをし、別なデータベースに格納する。このような方法により、データセンタ内では、特定の個人を識別するデータを複合化できず、それだけでは個人を識別できない情報のみがデータセンタ内で複合化するため、セキュリティや、プライバシー上の課題を解決しつつ、匿名化されたデータを名寄せした状態で第三者に提供可能なデータベースを構築できる。
【００７１】
すなわち、データベース１は、個人を識別可能な個人情報を格納し、データベース２は、データベース１に格納されるデータと関連付けられるデータ（例えば、個人の検査値）を格納し、データベース１は、個人を識別可能な個人ＩＤと、データベース１に格納されるデータを一意に識別可能な暗号化ＩＤ（第１識別情報）とを対応付けて記録し、データベース１に格納されるデータとデータベース２に格納されるデータとは暗号化ＩＤを用いて関連付けられており、データベース１又は他のデータベースは、暗号化ＩＤとセットＩＤとを対応付けて記録し、暗号化ＩＤを含む問い合わせに対し暗号化セットＩＤを出力し、データベース３は、暗号化セットＩＤを参照して、データベース２から取得したデータを同一人毎に纏めたデータを格納するので、匿名化状態を維持したままデータを名寄せしたデータベースを構築でき、匿名化状態で名寄せされたデータを第三者に提供することができる。
【００７２】
また、暗号化セットＩＤは、セットＩＤから所定の関数（例えば、ハッシュ値の計算）によって生成されるので、セットＩＤと暗号化セットＩＤとの対応表を管理する必要がなくなる。
【００７３】
また、データベース１は、検索可能暗号化技術を用いてデータセンタ内で復号できない形式で暗号化して個人情報及び個人ＩＤを格納し、データベース１に新たに登録すべきデータが未登録の個人のものであれば、個人ＩＤ及びセットＩＤを新たに生成するので、データベース１に格納されたデータの暗号化状態を維持したままデータを名寄せしたデータベースを構築できる。
【００７４】
また、データベース１は、検索可能暗号化技術を用いて前記データセンタ内で復号できない形式で暗号化して個人情報及び個人ＩＤを格納し、暗号化ＩＤ及びセットＩＤを平文で格納した場合、直接的に個人が特定可能な機微情報のみを検索可能暗号で保護して、検索可能暗号化されるデータ量を少なくして、処理時間を短縮し、コンピュータリソースを削減できる。この処理時間の低減量及びコンピュータリソースの削減量は、検索可能暗号化されるデータ量に依存する。暗号化ＩＤおよびセットＩＤを暗号化して保存しても構わないが、その際には、セキュリティレベルが向上する半面、処理時間増大およびコンピュータリソースの増大につながり、データベース１および２の間における鍵管理機能も必要となる。実際には、特定の個人を識別できる情報は比較的少なく、それだけでは個人を識別できない情報の量は十分に大きい。このため、直接的に個人が特定可能な機微情報のみを検索可能暗号化することによって、大幅な処理時間の低減及びコンピュータリソースの削減をすることができる。さらに、平文状態又は通常の暗号化によって保管されたデータ（それだけでは個人を識別できない情報）は、少ないコンピュータリソースで複雑な解析や分析を行うことができ、研究分野等で行われている一次匿名化、二次匿名化など、数次匿名化された情報の取り扱いと遜色なく取り扱うことができる。
【００７５】
また、データベース１は、データベース２を利用する組織（例えば、病院、診療科など）及びデータベース２にデータが格納される個人を特定可能なＨＩＤを格納するので、当該組織が独自に構築したデータベースを関連付けてデータを管理することができる。
【００７６】
また、データベース２は、データベース３に格納されたデータを含む問い合わせに対し、当該データに対応する暗号化ＩＤを出力し、データベース１は、データベース２から出力された暗号化ＩＤを含む問い合わせに対し、当該暗号化ＩＤに対応するＨＩＤを出力するので、匿名状態で名寄せされたデータベース３から個人を特定することができる。
【００７７】
また、従来のクラウドでは、全てのデータがネットワークの同一経路上を転送されるが、データベース１とデータベース２とを別のデータセンタに配置してデータ転送経路を分離して、転送経路上の暗号化（ＳＳＬやＶＰＮなど）をして、更に検索可能暗号化を適用することによって、多重の暗号化且つ情報の経路の分離をすることができ、他ノードで情報を共有しても、十分なセキュリティ及びプライバシーへの配慮を実現できる。
【００７８】
また、データベース２に格納されたデータをデータベース３に名寄せして第三者に提供する場合、データベース２に格納されたデータをそのまま提供してもよい。また、更にｋ−匿名化技術などを適用して提供することによって、再識別リスクを考慮し、セキュリティやプライバシーを向上した情報を第三者にスムーズに提供することができる。
【００７９】
本発明のうち、特許請求の範囲に記載しなかった観点として下記のものがあげられる。
【００８０】
（１）個人を識別可能なデータを格納する第１データベースであって、
個人を識別可能な個人識別情報と、前記第１データベースに格納されるデータを一意に識別可能な第１識別情報とを対応付けて記録し、
前記第１データベースに格納されるデータと第２データベースに格納されるデータとは、前記第１識別情報を用いて関連付けられており、
検索可能暗号化技術を用いて前記データセンタ内で復号できない形式で暗号化して前記個人を識別可能なデータ及び前記個人識別情報を格納し、
前記第１データベースに新たにデータを格納する際、前記暗号化されたデータを検索し、前記データが新たな個人のものであれば、前記個人識別情報及び前記第１識別情報を新たに生成することを特徴とする第１データベース。
【００８１】
（２）前記第１データベースは、前記個人識別情報に対応する第２識別情報と前記第１識別情報とを対応付けて記録し、前記第１識別情報を含む問い合わせに対して前記第２識別情報に対応する第３識別情報を出力することを特徴とする第１データベース。
【００８２】
（３）前記第１データベースは、
検索可能暗号化技術を用いて前記データセンタ内で復号できない形式で暗号化して前記個人を識別可能なデータ及び前記個人識別情報を格納し、
前記第１識別情報及び前記第２識別情報を格納することを特徴とすることを特徴とする第１データベース。
【００８３】
なお、本発明は前述した実施例に限定されるものではなく、添付した特許請求の範囲の趣旨内における様々な変形例及び同等の構成が含まれる。例えば、前述した実施例は本発明を分かりやすく説明するために詳細に説明したものであり、必ずしも説明した全ての構成を備えるものに本発明は限定されない。また、ある実施例の構成の一部を他の実施例の構成に置き換えてもよい。また、ある実施例の構成に他の実施例の構成を加えてもよい。また、各実施例の構成の一部について、他の構成の追加・削除・置換をしてもよい。
【００８４】
また、前述した各構成、機能、処理部、処理手段等は、それらの一部又は全部を、例えば集積回路で設計する等により、ハードウェアで実現してもよく、プロセッサがそれぞれの機能を実現するプログラムを解釈し実行することにより、ソフトウェアで実現してもよい。
【００８５】
各機能を実現するプログラム、テーブル、ファイル等の情報は、メモリ、ハードディスク、ＳＳＤ（Solid State Drive）等の記憶装置、又は、ＩＣカード、ＳＤカード、ＤＶＤ等の記録媒体に格納することができる。
【００８６】
また、制御線や情報線は説明上必要と考えられるものを示しており、実装上必要な全ての制御線や情報線を示しているとは限らない。実際には、ほとんど全ての構成が相互に接続されていると考えてよい。
【符号の説明】
【００８７】
１、２、２１、２２、３、４  データベース
５、５１、５２、６、７、  端末
２０、３０、４０  データセンタ
【図１】
2016189078.tif 000003
【図２】
2016189078.tif 000004
【図３】
2016189078.tif 000005
【図４】
2016189078.tif 000006
【図５】
2016189078.tif 000007
【図６】
2016189078.tif 000008
【図７】
2016189078.tif 000009