(57)【特許請求の範囲】
【請求項１】
人物の個人情報を含まない第１データを記憶し、かつ、前記個人情報を含む第２データを記憶しない記憶部と、
第１装置からの要求に応じて前記第１データを前記第１装置に出力する第１出力部と、
第２装置から前記第２データを取得し、前記個人情報と前記第１データとを結合した第３データを前記第２装置に出力する第２出力部と、
を備える情報処理システム。
【請求項２】
前記第２データは、前記個人情報と前記第１データとの対応関係を一意に特定する識別データを含む、
請求項１に記載の情報処理システム。
【請求項３】
前記第１データは、複数のデータ項目を含み、
前記識別データは、前記第１データに含まれる前記複数のデータ項目のうちの少なくとも２つを含む、
請求項２に記載の情報処理システム。
【請求項４】
前記第１装置からの要求に応じて、前記第１データとはデータ値が異なる第４データを生成し、前記第１装置に出力する第３出力部、
をさらに備える請求項３に記載の情報処理システム。
【請求項５】
前記識別データは、少なくとも前記人物から前記第１データを取得した機器の識別子と、前記第１データの取得日時とを含む、
請求項２又は３に記載の情報処理システム。
【請求項６】
前記記憶部は第１サーバ、前記第１出力部は第２サーバ、前記第２出力部は第３サーバにそれぞれ設けられ、
前記第１サーバは、前記第２サーバ及び前記第３サーバのそれぞれと通信可能であり、
前記第２サーバと前記第３サーバとの間の通信は制限されている、
請求項１乃至５のいずれか１項に記載の情報処理システム。
【請求項７】
前記記憶部は、前記第１データの種類ごとに前記第１データを分類して記憶する複数の記憶装置を含み、
前記第１出力部は、前記第１装置において指定された前記種類に対応する記憶装置から前記第１データを取得し、前記第１装置に出力する、
請求項１乃至６のいずれか１項に記載の情報処理システム。
【請求項８】
人物の個人情報を含まない第１データを記憶し、かつ、前記個人情報を含む第２データを記憶しない記憶装置を含む情報処理システムにより実行される情報処理方法であって、
第１装置からの要求に応じて前記第１データを前記第１装置に出力するステップと、
第２装置から前記第２データを取得し、前記個人情報と前記第１データとを結合した第３データを前記第２装置に出力するステップと、
を備える情報処理方法。
【請求項９】
前記第２データは、前記個人情報と前記第１データとの対応関係を一意に特定する識別データを含む、
請求項８に記載の情報処理方法。
【請求項１０】
人物の個人情報を含まない第１データを記憶し、かつ、前記個人情報を含む第２データを記憶しない記憶装置を含むコンピュータに、
第１装置からの要求に応じて前記第１データを前記第１装置に出力するステップと、
第２装置から前記第２データを取得し、前記個人情報と前記第１データとを結合した第３データを前記第２装置に出力するステップと、
を実行させるためのプログラム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、情報処理システム、情報処理方法及びプログラムに関する。
【背景技術】
【０００２】
特許文献１には、電子カルテシステムを用いて効率よくスクリーニング作業を行いつつ、スクリーニング結果に含まれる患者の情報を制限することによって、患者の個人情報の漏洩を防止する電子カルテスクリーニングシステムが開示されている。
【先行技術文献】
【特許文献】
【０００３】
【特許文献１】特開２０１４−５２８２２号公報
【発明の概要】
【発明が解決しようとする課題】
【０００４】
特許文献１に例示されているシステムは、患者の個人情報とスクリーニング結果とを関連付ける際に、スクリーニング結果を保管しているサーバと患者の個人情報を保管しているサーバとが直接通信を行うように構成されている。しかし、外部ネットワークを介して一方のサーバへの不正アクセスが行われると、他方のサーバに保管されているデータも同時に漏洩する可能性があり、セキュリティの観点では改善の余地があった。
【０００５】
そこで、本発明は、上述の問題に鑑み、個人情報の漏洩を防止しつつ、個人情報を含まないデータの利用を促進できる情報処理システム、情報処理方法及びプログラムを提供することを目的とする。
【課題を解決するための手段】
【０００６】
本発明の一つの観点によれば、人物の個人情報を含まない第１データを記憶し、かつ、前記個人情報を含む第２データを記憶しない記憶部と、第１装置からの要求に応じて前記第１データを前記第１装置に出力する第１出力部と、第２装置から前記第２データを取得し、前記個人情報と前記第１データとを結合した第３データを前記第２装置に出力する第２出力部と、を備える情報処理システムが提供される。
【０００７】
本発明の他の観点によれば、人物の個人情報を含まない第１データを記憶し、かつ、前記個人情報を含む第２データを記憶しない記憶装置を含む情報処理システムにより実行される情報処理方法であって、第１装置からの要求に応じて前記第１データを前記第１装置に出力するステップと、第２装置から前記第２データを取得し、前記個人情報と前記第１データとを結合した第３データを前記第２装置に出力するステップと、を備える情報処理方法が提供される。
【０００８】
本発明のさらに他の観点によれば、人物の個人情報を含まない第１データを記憶し、かつ、前記個人情報を含む第２データを記憶しない記憶装置を含むコンピュータに、第１装置からの要求に応じて前記第１データを前記第１装置に出力するステップと、第２装置から前記第２データを取得し、前記個人情報と前記第１データとを結合した第３データを前記第２装置に出力するステップと、を実行させるためのプログラムが提供される。
【発明の効果】
【０００９】
本発明によれば、個人情報の漏洩を防止しつつ、個人情報を含まないデータの利用を促進できる情報処理システム、情報処理方法及びプログラムを提供することができる。
【図面の簡単な説明】
【００１０】
【図１】第１実施形態における情報処理システムの全体構成の一例を示すブロック図である。
【図２】第１実施形態におけるデータ管理装置のハードウェア構成の一例を示すブロック図である。
【図３】第１実施形態におけるセンサデータの収集処理の一例を示すシーケンス図である。
【図４】第１実施形態における業務端末が記憶する利用履歴データの一例を示す図である。
【図５】第１実施形態におけるセンサデータＤＢが記憶するセンサデータの一例を示す図である。
【図６】第１実施形態における個人情報とセンサデータとを関連付けて表示する処理の一例を示すシーケンス図である。
【図７】第１実施形態における業務端末に表示されるマージデータの一例を示す図である。
【図８】第１実施形態におけるサンプルデータの閲覧処理の一例を示すシーケンス図である。
【図９】第１実施形態におけるユーザ端末に表示されるサンプルデータの一例を示す図である。
【図１０】第１実施形態におけるセンサデータの閲覧処理の一例を示すシーケンス図である。
【図１１】第２実施形態における情報処理システムの全体構成の一例を示すブロック図である。
【図１２】第２実施形態におけるセンサデータの分類処理の一例を示すフローチャートである。
【図１３】第２実施形態におけるセンサデータの閲覧処理の一例を示すシーケンス図である。
【図１４】第３実施形態における情報処理装置の全体構成の一例を示すブロック図である。
【図１５】変形実施形態における情報処理システムの全体構成の一例を示すブロック図である。
【図１６】変形実施形態における情報処理システムの全体構成の一例を示すブロック図である。
【発明を実施するための形態】
【００１１】
以下、図面を参照して、本発明の例示的な実施形態を説明する。図面において同様の要素又は対応する要素には同一の符号を付し、その説明を省略又は簡略化することがある。
【００１２】
［第１実施形態］
図１は、情報処理システム１の全体構成の一例を示すブロック図である。本実施形態の情報処理システム１は、センサ機器１０において測定されたセンサデータを収集して記憶装置に保管するとともに、記憶装置に保管されているセンサデータをインターネット等のネットワークＮＷ１を介してユーザ端末３０に公開するコンピュータシステムである。
【００１３】
センサ機器１０は、被検者Ｔについて測定したセンサデータを出力する測定機器である。センサ機器１０は、ＬＡＮやインターネット等のネットワークＮＷ２を介して情報処理システム１のデータ管理装置１０１に接続されている。センサ機器１０の種類及び台数は、任意である。以下では、センサ機器１０として、被検者Ｔの睡眠時の姿勢状態を測定する姿勢センサと、被検者Ｔの脈拍を測定する心拍センサの２種類が用いられる場合を例として説明する。本実施形態では、被検者Ｔが児童であるものとして説明する。
【００１４】
業務端末２０は、センサ機器１０を操作してセンサデータの収集作業を行う検査員Ｉが、自身の業務に利用する端末装置である。本実施形態では、検査員Ｉは、児童の健康状態を管理している看護師や保育士等とする。業務端末２０は、ＬＡＮやインターネット等のネットワークＮＷ３を介して情報処理システム１のデータ管理装置１０１に接続される。業務端末２０は、センサ機器１０の利用履歴データ及び被検者Ｔの個人情報を記憶する記憶部２１を有している。本実施形態において、“個人情報”とは、任意の一人の個人に関する情報であり、かつ、その情報に含まれる記述等によって特定の個人を識別できるものを指す。
【００１５】
ユーザ端末３０は、情報処理システム１が公開するセンサデータを閲覧する際に、ユーザＵが利用する端末装置である。本実施形態では、ユーザＵは、被検者Ｔ（児童）の睡眠時の情報を研究している研究者や医師等とする。業務端末２０及びユーザ端末３０の具体例としては、パーソナルコンピュータ、スマートフォン、タブレット端末等が挙げられるが、これらに限られない。なお、ネットワークＮＷ１、ＮＷ２、ＮＷ３は、同一の広域ネットワークを構成する場合もあり得るが、ユーザ端末３０は業務端末２０に対して直接アクセスできないものとする。
【００１６】
図１に示すように、情報処理システム１は、データ管理装置１０１と、センサデータＤＢ１０２と、データ処理装置１０３と、閲覧制御装置１０４とを備える。各装置は、例えばサーバコンピュータであり、ＬＡＮ等のネットワークを介して接続されている。ただし、データ管理装置１０１は、センサ機器１０、業務端末２０及びセンサデータＤＢ１０２にのみ接続されており、データ処理装置１０３及び閲覧制御装置１０４からは直接アクセスできないように構成されている。
【００１７】
データ管理装置１０１は、データ収集プログラムＰＧ１とデータ表示プログラムＰＧ２を備える。データ収集プログラムＰＧ１は、センサ機器１０で測定されたセンサデータを収集し、センサデータＤＢ１０２に登録するプログラムである。
【００１８】
データ表示プログラムＰＧ２は、業務端末２０からの表示要求に応じて、業務端末２０及びセンサデータＤＢ１０２にそれぞれ記憶されたデータを紐づけ、紐づけたデータを業務端末２０に表示させるプログラムである。
【００１９】
具体的には、データ表示プログラムＰＧ２は、センサデータＤＢ１０２に保管されているセンサデータ（第１データ）と、業務端末２０（記憶部２１）に記憶されている個人情報を含むデータ（第２データ）とを結合したマージデータ（第３データ）を業務端末２０に表示させる機能を有する。ただし、データ表示プログラムＰＧ２が、データ管理装置１０１の記録媒体にマージデータを非一時的に保管することはできない構成とする。
【００２０】
センサデータＤＢ１０２は、データ管理装置１０１において複数のセンサ機器１０から収集されたセンサデータを記憶する記憶装置である。すなわち、センサデータＤＢ１０２は、センサデータを一元的に保管している。センサデータＤＢ１０２に記憶されたセンサデータは、データ管理装置１０１及びデータ処理装置１０３のみから参照及び取得可能とする。
【００２１】
データ処理装置１０３は、例えばアプリケーションサーバである。データ処理装置１０３は、センサデータ抽出プログラムＰＧ３とサンプルデータ生成プログラムＰＧ４を備える。センサデータ抽出プログラムＰＧ３は、閲覧制御装置１０４からの要求に応じて、センサデータＤＢ１０２からセンサデータを抽出するプログラムである。閲覧制御装置１０４からの要求としては、サンプルデータの閲覧要求と、センサデータ（実データ）の閲覧要求がある。
【００２２】
サンプルデータ生成プログラムＰＧ４は、閲覧制御装置１０４からのサンプルデータの閲覧要求に応じて、センサデータＤＢ１０２に記憶されたセンサデータの各データ項目に属する１つの値を項目毎にランダムで取得して組み合わせることにより、サンプルデータ（第４データ）を生成するプログラムである。すなわち、サンプルデータは、センサデータＤＢ１０２に記憶されているセンサデータと同一のデータ項目を有するが、データ値は異なる。なお、サンプルデータの生成アルゴリズムは、これに限られない。
【００２３】
閲覧制御装置１０４は、データ閲覧プログラムＰＧ５を備える。データ閲覧プログラムＰＧ５は、ユーザ端末３０からの閲覧要求に応じて、データ処理装置１０３から取得したデータ（サンプルデータ又はセンサデータ）をユーザ端末３０に表示させるプログラムである。
【００２４】
閲覧制御装置１０４が、ユーザ端末３０からセンサデータの閲覧要求を受信した場合には、データ処理装置１０３（センサデータ抽出プログラムＰＧ３）は、閲覧制御装置１０４からの要求に応じて、センサデータＤＢ１０２に記憶されているセンサデータを抽出して閲覧制御装置１０４に送信する。
【００２５】
閲覧制御装置１０４が、ユーザ端末３０からサンプルデータの閲覧要求を受信した場合には、データ処理装置１０３（サンプルデータ生成プログラムＰＧ４）は、閲覧制御装置１０４からの要求に応じて、センサデータＤＢ１０２に記憶されているセンサデータからサンプルデータを生成して閲覧制御装置１０４に送信する。
【００２６】
図２は、データ管理装置１０１のハードウェア構成の一例を示すブロック図である。データ管理装置１０１は、ＣＰＵ１１と、ＲＡＭ（Random Access Memory）１２と、ＲＯＭ（Read Only Memory）１３と、ＨＤＤ（Hard Disk Drive）１４と、通信Ｉ／Ｆ（Interface）１５と、入力装置１６と、出力装置１７とを備える。ＣＰＵ１１、ＲＡＭ１２、ＲＯＭ１３、ＨＤＤ１４、通信Ｉ／Ｆ１５、入力装置１６及び出力装置１７は、信号線を介して相互に接続される。
【００２７】
図２では、データ管理装置１０１を構成する各部が一体の装置として図示されているが、これらの機能の一部は外付け装置により提供されるものであってもよい。例えば、入力装置１６及び出力装置１７は、ＣＰＵ１１等を含むコンピュータの機能を構成する部分とは別の外付け装置であってもよい。
【００２８】
ＣＰＵ１１は、ＲＯＭ１３、ＨＤＤ１４等に記憶されたプログラムに従って所定の演算を行うとともに、データ管理装置１０１の各部を制御する機能を有するプロセッサである。ＲＡＭ１２は、揮発性記憶媒体から構成され、ＣＰＵ１１の動作に必要な一時的なメモリ領域を提供する。ＲＯＭ１３は、不揮発性記憶媒体から構成され、データ管理装置１０１の動作に用いられるプログラム等の必要な情報を記憶する。ＨＤＤ１４は、不揮発性記憶媒体から構成され、データベースの記憶、データ管理装置１０１の動作用プログラムの記憶等を行う記憶装置である。
【００２９】
通信Ｉ／Ｆ１５は、イーサネット（登録商標）等の規格に基づく通信インターフェースであり、他の装置との通信を行うためのモジュールである。
【００３０】
入力装置１６は、キーボード、ポインティングデバイス等であって、情報処理システム１の管理者がデータ管理装置１０１を操作するために用いられる。ポインティングデバイスの例としては、マウス、トラックボール、タッチパネル、ペンタブレット等が挙げられる。
【００３１】
出力装置１７は、液晶ディスプレイ、ＯＬＥＤ（Organic Light Emitting Diode）ディスプレイ、スピーカ等であって、管理者等のユーザに対する情報の提示、ＧＵＩ（Graphical User Interface）の表示等に用いられる。入力装置１６及び出力装置１７は、タッチパネルとして一体に形成されていてもよい。
【００３２】
なお、図２に示されているハードウェア構成は例示であり、これら以外の装置が追加されていてもよく、一部の装置が設けられていなくてもよい。また、一部の装置が同様の機能を有する別の装置に置換されていてもよい。さらに、本実施形態の一部の機能がネットワークを介して他の装置により提供されてもよく、本実施形態の機能が複数の装置に分散されて実現されるものであってもよい。
【００３３】
データ処理装置１０３、閲覧制御装置１０４、業務端末２０及びユーザ端末３０のハードウェア構成は、図２に示されているものと同様であるため、説明を省略する。
【００３４】
以下、図面を参照しながら、上述のように構成された情報処理システム１における動作を説明する。
【００３５】
（Ａ）センサデータの収集
図３は、センサデータの収集処理の一例を示すシーケンス図である。この処理は、例えば検査員Ｉがセンサ機器１０を用いて被検者Ｔのデータを測定するときに実行される。
【００３６】
先ず、センサ機器１０は、被検者Ｔに関するセンサデータを取得すると（ステップＳ１０１）、接続先のデータ管理装置１０１へセンサデータを送信する（ステップＳ１０２）。
【００３７】
このとき、業務端末２０は、ステップＳ１０１とステップＳ１０２と並行して、検査員Ｉの入力操作に応じて、センサ機器１０の利用に関する利用履歴データを生成し（ステップＳ１０３）、利用履歴データを記憶部２１に登録する（ステップＳ１０４）。利用履歴データは、センサデータと個人情報との対応関係を一意に特定する識別データを含む。
【００３８】
図４は、業務端末２０(記憶部２１)が記憶する利用履歴データの一例を示す図である。ここでは、利用履歴データのデータ項目として、センサＩＤ、被検者名、利用時刻が挙げられている。センサＩＤは、センサ機器１０に固有な識別子である。被検者名は、被検者Ｔである児童の氏名であり、個人情報に該当する。利用時刻は、センサ機器１０を利用して被検者Ｔに関するセンサデータを測定した時刻である。このように、検査員Ｉは、業務端末２０に対して、どのセンサ機器１０を用いて、誰についてセンサデータを測定したのかを示す利用履歴データを登録する。
【００３９】
なお、識別データは、センサデータ（第１データ）に含まれる複数のデータ項目のうちの少なくとも２つを含むものとする。識別データに含まれるデータ項目は、必ずしも一項目でセンサデータを一意に特定できる識別情報でなくてもよい。本実施形態では、センサデータと個人情報との対応関係を一意に特定する識別データとして、センサＩＤと利用時刻との組み合わせを用いるものとする。以下、センサＩＤと利用時刻との組み合わせを“識別データ”と称する。
【００４０】
ステップＳ１０５において、データ管理装置１０１は、センサ機器１０からセンサデータを受信すると、データ収集プログラムＰＧ１を起動する。
そして、データ管理装置１０１は、センサデータＤＢ１０２に対してセンサデータを登録する（ステップＳ１０６）。
【００４１】
図５は、センサデータＤＢ１０２が記憶するセンサデータの一例を示す図である。ここでは、センサデータのデータ項目として、センサＩＤ、年齢、性別、脈伯、睡眠時の姿勢、測定時刻が挙げられている。年齢及び性別は、被検者Ｔの属性情報であるが、これらの情報のみから被検者Ｔを一意に特定することはできない。このように、センサデータには、被検者Ｔを一意に特定する個人情報は含まれない。
【００４２】
（Ｂ）業務端末２０における個人情報及びセンサデータの表示
図６は、個人情報とセンサデータとを関連付けて表示する処理の一例を示すシーケンス図である。この処理は、所望の被検者Ｔに関する個人情報及びセンサデータを業務端末２０に表示するときに実行される。
【００４３】
先ず、業務端末２０は、データ管理装置１０１に対してログイン要求を出力する（ステップＳ２０１）。データ管理装置１０１は、業務端末２０からのログイン要求に応じて、認証処理を実行すると（ステップＳ２０２）、その認証結果を業務端末２０に送信する（ステップＳ２０３）。
【００４４】
次に、業務端末２０は、データ管理装置１０１における認証結果に基づいて、ログインに成功したか否かを判定する（ステップＳ２０４）。ここで、業務端末２０が、ログインに成功したと判定すると（ステップＳ２０４：ＹＥＳ）、処理はステップＳ２０６へ移行する。これに対し、業務端末２０は、ログインに失敗したと判定すると（ステップＳ２０４：ＮＯ）、ログインに失敗したことを示すエラーメッセージをディスプレイに表示する（ステップＳ２０５）。
【００４５】
ステップＳ２０６において、業務端末２０は、検査員Ｉの入力操作に応じて、センサデータと個人情報との対応関係を一意に特定する識別データを指定する。例えば、検査員Ｉは、図４に示すような利用履歴データを一覧で表示する画面の中で利用履歴データに含まれる識別データを指定できるとよい。
【００４６】
次に、業務端末２０は、データ管理装置１０１に対してセンサデータの表示要求を出力する（ステップＳ２０７）。この表示要求には、利用履歴データ（識別データ、個人情報）が含まれる。
【００４７】
次に、データ管理装置１０１は、業務端末２０からの表示要求に応じて、データ表示プログラムＰＧ２を起動する（ステップＳ２０８）、識別データをキーとしてセンサデータＤＢ１０２をデータ検索する（ステップＳ２０９）。
【００４８】
次に、データ管理装置１０１は、センサデータＤＢ１０２からセンサデータを取得すると（ステップＳ２１０）、識別データに基づいてセンサデータと個人情報とを関連付けたマージデータを生成する（ステップＳ２１１）。
【００４９】
次に、データ管理装置１０１は、マージデータを含む画面データを生成すると（ステップＳ２１２）、画面データを業務端末２０へ送信する（ステップＳ２１３）。そして、業務端末２０は、データ管理装置１０１から画面データを受信すると、マージデータをディスプレイに表示し（ステップＳ２１４）、処理を終了する。
【００５０】
図７は、業務端末２０に表示されるマージデータの一例を示す図である。ここでは、センサデータのデータ項目として、センサＩＤ、被検者名、年齢、性別、脈伯、睡眠時の姿勢、測定時刻が挙げられている。すなわち、図７に示すマージデータは、上述した図４の個人情報が含まれる利用履歴データと、図５のセンサデータとを、センサＩＤと利用時刻（測定時刻）の組み合わせからなる識別データに基づいて紐づけることで生成されている。本実施形態において、当該マージデータを表示可能な装置は、センサデータと対応関係にある個人情報を保管している業務端末２０に限られる。
【００５１】
（Ｃ）サンプルデータの閲覧
図８は、サンプルデータの閲覧処理の一例を示すシーケンス図である。この処理は、ユーザＵが情報処理システム１により公開されているセンサデータのデータ様式を例示するサンプルデータを閲覧するときに実行される。
【００５２】
先ず、ユーザ端末３０は、閲覧制御装置１０４に対してサンプルデータの閲覧要求を出力する（ステップＳ３０１）。閲覧制御装置１０４は、ユーザ端末３０からの閲覧要求に応じて、データ閲覧プログラムＰＧ５を起動する（ステップＳ３０２）。
【００５３】
図９は、ユーザ端末３０に表示されるサンプルデータの一例を示す図である。ここでは、サンプルデータのデータ項目として、利用機器名、年齢、性別、脈拍、睡眠時の姿勢、測定時刻が挙げられている。利用機器名は、センサ機器１０の機種の名称であり、センサ機器１０に固有なセンサＩＤとは異なる。サンプルデータは、元のセンサデータとはデータ値が異なるデータであることが好ましい。サンプルデータは、例えば、図７に示すセンサデータの組み合わせや、データの一部を変換することで生成される。
【００５４】
次に、閲覧制御装置１０４（データ閲覧プログラムＰＧ５）は、データ処理装置１０３に対してサンプルデータの生成要求を出力する（ステップＳ３０３）。
【００５５】
次に、データ処理装置１０３は、サンプルデータ生成プログラムＰＧ４を起動する（ステップＳ３０４）。データ処理装置１０３（サンプルデータ生成プログラムＰＧ４）は、指定された項目条件に基づいてセンサデータＤＢ１０２をデータ検索し（ステップＳ３０５）、センサデータＤＢ１０２から項目条件に合致するデータ項目のデータ値を取得する（ステップＳ３０６）。
【００５６】
次に、データ処理装置１０３（サンプルデータ生成プログラムＰＧ４）は、センサデータＤＢ１０２から取得した複数のデータ項目のデータ値をランダムに組み合わせることによりサンプルデータを生成する（ステップＳ３０７）。次に、データ処理装置１０３（サンプルデータ生成プログラムＰＧ４）は、閲覧制御装置１０４に対してサンプルデータを送信する（ステップＳ３０８）。
【００５７】
次に、閲覧制御装置１０４（データ閲覧プログラムＰＧ５）は、サンプルデータの閲覧用の画面データを生成すると（ステップＳ３０９）、閲覧要求を行ったユーザ端末３０に対して画面データを送信する（ステップＳ３１０）。
【００５８】
そして、ユーザ端末３０は、閲覧制御装置１０４から画面データを受信すると、サンプルデータを画面に表示し（ステップＳ３１１）、処理を終了する。
【００５９】
（Ｄ）センサデータの閲覧
図１０は、センサデータの閲覧処理の一例を示すシーケンス図である。この処理は、ユーザＵが情報処理システム１内のセンサデータを閲覧するときに実行される。なお、本実施形態では、センサデータの閲覧条件として、ユーザＵが情報処理システム１に対して事前にユーザ登録を完了していることを要求するものとする。
【００６０】
先ず、ユーザ端末３０は、ユーザＵの入力操作に基づいて、閲覧制御装置１０４にログイン要求を出力する（ステップＳ４０１）。ログイン要求には、ユーザＵが入力したユーザＩＤ及びパスワード等の認証情報が含まれる。
【００６１】
次に、閲覧制御装置１０４は、受信したログイン要求に含まれる認証情報に基づいてユーザＵの認証処理を実行すると（ステップＳ４０２）、その認証結果をユーザ端末３０へ送信する（ステップＳ４０３）。
【００６２】
次に、ユーザ端末３０は、閲覧制御装置１０４における認証結果に基づいて、ログインに成功したか否かを判定する（ステップＳ４０４）。ここで、ユーザ端末３０が、ログインに成功したと判定すると（ステップＳ４０４：ＹＥＳ）、処理はステップＳ４０６へ移行する。
【００６３】
これに対し、ユーザ端末３０は、ログインに失敗したと判定すると（ステップＳ４０４：ＮＯ）、ログインに失敗したことを示すエラーメッセージをディスプレイに表示する（ステップＳ４０５）。
【００６４】
ステップＳ４０６において、ユーザ端末３０は、ユーザＵの入力操作に基づいて、センサデータの抽出条件を指定する。抽出条件としては、例えばセンサデータのデータ項目や、センサデータの種類、測定時刻等が挙げられる。
【００６５】
次に、ユーザ端末３０は、閲覧制御装置１０４に対してセンサデータの閲覧要求を出力する（ステップＳ４０７）。閲覧要求には、ステップＳ４０６において指定された抽出条件が含まれる。
【００６６】
次に、閲覧制御装置１０４は、ユーザ端末３０からの閲覧要求に応じて、データ閲覧プログラムＰＧ５を起動する（ステップＳ４０８）。
【００６７】
次に、閲覧制御装置１０４（データ閲覧プログラムＰＧ５）は、データ処理装置１０３に対してセンサデータの送信要求を出力する（ステップＳ４０９）。送信要求には、ステップＳ４０６において指定された抽出条件が含まれる。
【００６８】
次に、データ処理装置１０３は、センサデータ抽出プログラムＰＧ３を起動する（ステップＳ４１０）。データ処理装置１０３（センサデータ抽出プログラムＰＧ３）は、指定された抽出条件に基づいてセンサデータＤＢ１０２をデータ検索し（ステップＳ４１１）、センサデータＤＢ１０２から抽出条件に合致するセンサデータを取得する（ステップＳ４１２）。
【００６９】
次に、データ処理装置１０３（センサデータ抽出プログラムＰＧ３）は、閲覧制御装置１０４に対してセンサデータを送信する（ステップＳ４１３）。
【００７０】
次に、閲覧制御装置１０４（データ閲覧プログラムＰＧ５）は、受信したセンサデータの閲覧用の画面データを生成すると（ステップＳ４１４）、閲覧要求を行ったユーザ端末３０に対して画面データを送信する（ステップＳ４１５）。
【００７１】
そして、ユーザ端末３０は、閲覧制御装置１０４から画面データを受信すると、サンプルデータを画面に表示し（ステップＳ４１６）、処理を終了する。
【００７２】
本実施形態の情報処理システム１によれば、取得したデータを公開する際に、個人情報に関わるリスク対処が不要になる効果を奏する。その理由は、第三者が、公開されたデータから個人を特定するには個人情報を含まないデータと個人情報が含まれるデータの双方を取得しなければならないからである。本実施形態の情報処理システム１によれば、第三者は、個人情報が含まれないデータが保管されているデータベースに不正アクセスを行ったとしても、当該データに関連する個人情報が保管されているデータベースを特定することはできない。このように、不正アクセスを受けづらいだけでなく、万が一データが流出した場合であっても、個人情報が特定されないで済む。
【００７３】
本実施形態の情報処理システム１は、個人情報を含まないデータ（センサデータ）を収集すると、個人情報を保管する装置とは別の記憶装置に収集データを保管する。個人情報が含まれないデータはそのまま公開される構成のため、特別なアルゴリズムなどを用いずに実現できる。
【００７４】
また、情報処理システム１の管理者等は、従来のように、収集したデータを公開するために追加の作業（例えば、公開するデータの選別作業、個人情報の公開が事業に悪影響を及ぼさないようにするデータの加工作業、公開前に被検者Ｔからの合意を得る手続等）や対策を行う必要がなくなる。さらに、第三者は、公開されたデータを自由に閲覧できるようになる。このため、情報処理システム１は、収集したデータから技術やビジネスの発展にも寄与できる。
【００７５】
本実施形態の情報処理システム１では、個人情報を含まないセンサデータはセンサデータＤＢ１０２に格納されている。検査員Ｉが児童の健康管理等の本来の用途で利用する際は、個人情報が格納されている別のデータベース（業務端末２０の記憶部２１）とセンサデータＤＢ１０２のデータをデータ管理装置１０１（データ表示プログラムＰＧ２）が別々に取得し、データを動的に紐づけて表示して利用できる。
【００７６】
また、第三者（ユーザＵ）は、ユーザ端末３０からセンサデータＤＢ１０２に記憶されているセンサデータに対して直接アクセスできない。しかし、閲覧制御装置１０４は、ユーザ端末３０からの要求に応じて、センサデータＤＢ１０２を参照するプログラムを介してユーザ端末３０にセンサデータを閲覧させることができる。これにより、個人情報の漏洩のリスクを回避しつつ、データの閲覧を希望する第三者に対しては幅広くデータを公開できる。
【００７７】
例えば、医療分野や介護、保育、学校などの現場では、人物に関して様々な情報を収集できる機会が多い。しかし、従来は、収集されたデータには個人情報が含まれるために、収集データの利用が制限されていた。これに対し、本実施形態の情報処理システム１によれば、いままで外部に公開できなかった、国や交通機関のインフラの保守データ等も公衆に幅広く公開できる。今まで公開されていなかったデータの利用を促進することで、従来はデータが簡単に入手できておらず足かせとなっていた様々な分野の発展に寄与することに繋がり、データの価値が向上する。
【００７８】
［第２実施形態］
以下、第２実施形態における情報処理システム２について説明する。なお、第１実施形態の図中において付与した符号と共通する符号は同一の対象を示す。第１実施形態と共通する箇所の説明は省略し、異なる箇所について詳細に説明する。
【００７９】
図１１は、本実施形態における情報処理システム２の全体構成の一例を示すブロック図である。図１１に示すように、本実施形態における情報処理システム２は、センサデータ抽出装置１０５と、複数の抽出センサデータＤＢ１０６と、サンプルデータ生成装置１０７とをさらに備える点で第１実施形態の情報処理システム１とは異なっている。各装置は、例えばサーバコンピュータである。
【００８０】
本実施形態において、センサデータＤＢ１０２は、データ管理装置１０１、センサデータ抽出装置１０５及びサンプルデータ生成装置１０７に接続されている。また、閲覧制御装置１０４は、抽出センサデータＤＢ１０６、サンプルデータ生成装置１０７及びユーザ端末３０に接続されているが、センサデータ抽出装置１０５とセンサデータＤＢ１０２には直接接続されていない。すなわち、閲覧制御装置１０４は、センサデータＤＢ１０２を直接参照することはできない。
【００８１】
センサデータ抽出装置１０５は、センサデータ抽出プログラムＰＧ３を備える。本実施形態のセンサデータ抽出プログラムＰＧ３は、センサデータＤＢ１０２から抽出したセンサデータを所定の分類条件に基づいて分類し、複数の抽出センサデータＤＢ１０６のいずれかに登録する点で第１実施形態と異なる。
【００８２】
抽出センサデータＤＢ１０６は、センサデータ抽出プログラムＰＧ３によって分類・抽出されたセンサデータをそれぞれ記憶する。例えば、ある被検者Ｔについてそれぞれ測定された複数種のセンサデータは、センサデータの種類ごとに異なる抽出センサデータＤＢ１０６に分けて保管され得る。センサデータの種類は、例えばセンサデータを構成するデータ項目の数や内容によって定められる。
【００８３】
サンプルデータ生成装置１０７は、サンプルデータ生成プログラムＰＧ４を備える。すなわち、上述した第１実施形態のデータ処理装置１０３が備える２つの機能は、センサデータ抽出装置１０５とサンプルデータ生成装置１０７とに分離して実装されている。
【００８４】
図１２は、センサデータの分類処理の一例を示すフローチャートである。この処理は、例えばセンサデータ抽出装置１０５（センサデータ抽出プログラムＰＧ３）が所定の周期で実行する。
【００８５】
先ず、センサデータ抽出装置１０５は、センサデータＤＢ１０２からセンサデータを抽出すると（ステップＳ５０１）、センサデータの種類を判定する（ステップＳ５０２）。センサデータの種類は、例えばセンサデータを構成するデータ項目の種類や、センサ機器１０の種類等によって判定される。
【００８６】
次に、センサデータ抽出装置１０５は、センサデータの種類に応じてセンサデータの登録先を決定すると（ステップＳ５０３）。そして、センサデータ抽出装置１０５は、登録先の抽出センサデータＤＢ１０６にセンサデータを登録する（ステップＳ５０４）。
【００８７】
図１３は、センサデータの閲覧処理の一例を示すシーケンス図である。この処理は、ユーザＵが情報処理システム２により公開されているセンサデータの閲覧を希望したときに実行される。なお、ステップＳ４０１〜ステップＳ４０８、ステップＳ４１４〜ステップＳ４１６の処理は上述した図１０と同様であるため、以下ではステップＳ４０８とステップＳ４１４の間に実行される処理についてのみ説明する。
【００８８】
ステップＳ６０１において、閲覧制御装置１０４は、ステップＳ４０６において指定された抽出条件に基づいて検索先のデータベースを選択する。具体的には、複数の抽出センサデータＤＢ１０６のうち、抽出条件で指定されたデータ項目を記憶しているデータベースを選択する。
【００８９】
ステップＳ６０２において、閲覧制御装置１０４は、ステップＳ６０１で選択された抽出センサデータＤＢ１０６に対してデータ検索を実行する。そして、閲覧制御装置１０４は、抽出条件に合致するセンサデータを抽出センサデータＤＢ１０６から取得する（ステップＳ６０３）。その後、処理はステップＳ４１４へ移行する。
【００９０】
閲覧制御装置１０４は、ユーザ端末３０からの要求に応じて必要なデータ項目のデータが記憶されている特定の抽出センサデータＤＢ１０６からセンサデータを取得し、ユーザ端末３０にデータを参照させる。
【００９１】
本実施形態の情報処理システム２によれば、ユーザ端末３０側から個人情報を保管している業務端末２０や、センサデータを一元的に記憶しているセンサデータＤＢ１０２にアクセスすることは困難である。また、閲覧制御装置１０４に対する不正アクセスによって抽出センサデータＤＢ１０６からのデータ漏洩が発生したとしても、第三者はそのデータが何を表している値なのかを特定することはできない。このように、不正アクセスを受けづらいだけでなく、万が一データが流出した場合であっても、個人情報が特定されないで済む。
【００９２】
［第３実施形態］
図１４は、本実施形態における情報処理装置１００の全体構成の一例を示すブロック図である。情報処理装置１００は、記憶部１００Ａと、第１出力部１００Ｂと、第２出力部１００Ｃとを備える。記憶部１００Ａは、人物の個人情報を含まない第１データを記憶し、かつ、個人情報を含む第２データを記憶しない。第１出力部１００Ｂは、第１装置からの要求に応じて記憶部１００Ａの第１データを第１装置に出力する。第２出力部１００Ｃは、第２装置から個人情報を含む第２データを取得し、個人情報と第１データとを結合した第３データを第２装置に出力する。
【００９３】
本実施形態によれば、個人情報の漏洩を防止しつつ、個人情報を含まないデータの利用を促進できる情報処理装置１００が提供される。
【００９４】
［変形実施形態］
本発明は、上述の実施形態に限定されることなく、本発明の趣旨を逸脱しない範囲において適宜変更可能である。
【００９５】
図１５は、変形実施形態における情報処理システム３の全体構成の一例を示すブロック図である。本実施形態はデータが保管されている機器同士を直接接続しないこと、及び外部からの不正アクセスリスクの２点を考慮した構成を示している。ここでは、上述の第１実施形態でデータ処理装置１０３と閲覧制御装置１０４がそれぞれ備えていた各プログラムを全て閲覧制御装置１０４が備える構成を示している。
【００９６】
データの収集を行う検査員Ｉのフローは第１実施形態と同様である。データの参照を行うユーザＵ（第三者）は、ユーザ端末３０から参照したいデータの有無を確認するために閲覧制御装置１０４にアクセスする。ユーザＵは、参照したいデータの有無を閲覧制御装置１０４が生成したサンプルデータにより確認し、参照したいデータがあった場合は閲覧制御装置１０４に閲覧要求を出力する。閲覧制御装置１０４は、ユーザＵに閲覧させるデータを一時的な揮発性データとして保持し、ユーザ端末３０からのアクセスが完了した時点で破棄してもよい。
【００９７】
図１６は、変形実施形態における情報処理システム４の全体構成の一例を示すブロック図である。本実施形態の情報処理システム４は、データ収集プログラムＰＧ１とデータ表示プログラムＰＧ２の実装先が、データ管理装置１０１と表示制御装置１０８に分離された構成である。また、センサデータ抽出プログラムＰＧ３とサンプルデータ生成プログラムＰＧ４の実装先は、センサデータ抽出装置１０５とサンプルデータ生成装置１０７に分離されている。
【００９８】
さらに、システムを構成する各装置の設置場所は同じでなくてもよい。例えば、データ管理装置１０１、センサデータＤＢ１０２、データ処理装置１０３、閲覧制御装置１０４を１つの場所に設置し、センサデータＤＢ１０２のみを別の場所に設置してもよい。
【００９９】
また、上述した実施形態においては、業務端末２０とセンサ機器１０とを直接接続しない構成について説明した。このような場合、業務端末２０とセンサ機器１０とを直接接続しなくても、業務端末２０が識別データを容易に取得できるように構成してもよい。例えば、センサ機器１０が識別データをバーコード等によって画面表示する機能を有する場合には、業務端末２０において当該バーコードを読み取ることで識別データを取得するとともに、検査員Ｉが入力した個人情報と識別データとを紐づけて記憶部２１に記憶できる。
【０１００】
上述の実施形態の機能を実現するように該実施形態の構成を動作させるプログラムを記憶媒体に記録させ、記憶媒体に記録されたプログラムをコードとして読み出し、コンピュータにおいて実行する処理方法も各実施形態の範疇に含まれる。すなわち、コンピュータ読取可能な記憶媒体も各実施形態の範囲に含まれる。また、上述のプログラムが記録された記憶媒体だけでなく、そのプログラム自体も各実施形態に含まれる。また、上述の実施形態に含まれる１又は２以上の構成要素は、各構成要素の機能を実現するように構成されたＡＳＩＣ（Application Specific Integrated Circuit）、ＦＰＧＡ（Field Programmable Gate Array）等の回路であってもよい。
【０１０１】
該記憶媒体としては例えばフロッピー（登録商標）ディスク、ハードディスク、光ディスク、光磁気ディスク、ＣＤ（Compact Disk）−ＲＯＭ、磁気テープ、不揮発性メモリカード、ＲＯＭを用いることができる。また該記憶媒体に記録されたプログラム単体で処理を実行しているものに限らず、他のソフトウェア、拡張ボードの機能と共同して、ＯＳ上で動作して処理を実行するものも各実施形態の範疇に含まれる。
【０１０２】
上述の各実施形態の機能により実現されるサービスは、ＳａａＳ（Software as a Service）の形態でユーザに対して提供することもできる。
【０１０３】
なお、上述の実施形態は、いずれも本発明を実施するにあたっての具体化の例を示したものに過ぎず、これらによって本発明の技術的範囲が限定的に解釈されてはならないものである。すなわち、本発明はその技術思想、又はその主要な特徴から逸脱することなく、様々な形で実施することができる。
【０１０４】
上述の実施形態の一部又は全部は、以下の付記のようにも記載されうるが、以下には限られない。
【０１０５】
（付記１）
人物の個人情報を含まない第１データを記憶し、かつ、前記個人情報を含む第２データを記憶しない記憶部と、
第１装置からの要求に応じて前記第１データを前記第１装置に出力する第１出力部と、
第２装置から前記第２データを取得し、前記個人情報と前記第１データとを結合した第３データを前記第２装置に出力する第２出力部と、
を備える情報処理システム。
【０１０６】
（付記２）
前記第２データは、前記個人情報と前記第１データとの対応関係を一意に特定する識別データを含む、
付記１に記載の情報処理システム。
【０１０７】
（付記３）
前記第１データは、複数のデータ項目を含み、
前記識別データは、前記第１データに含まれる前記複数のデータ項目のうちの少なくとも２つを含む、
付記２に記載の情報処理システム。
【０１０８】
（付記４）
前記第１装置からの要求に応じて、前記第１データとはデータ値が異なる第４データを生成し、前記第１装置に出力する第３出力部、
をさらに備える付記３に記載の情報処理システム。
【０１０９】
（付記５）
前記識別データは、少なくとも前記人物から前記第１データを取得した機器の識別子と、前記第１データの取得日時とを含む、
付記２又は３に記載の情報処理システム。
【０１１０】
（付記６）
前記記憶部は第１サーバ、前記第１出力部は第２サーバ、前記第２出力部は第３サーバにそれぞれ設けられ、
前記第１サーバは、前記第２サーバ及び前記第３サーバのそれぞれと通信可能であり、
前記第２サーバと前記第３サーバとの間の通信は制限されている、
付記１乃至５のいずれかに記載の情報処理システム。
【０１１１】
（付記７）
前記記憶部は、前記第１データの種類ごとに前記第１データを分類して記憶する複数の記憶装置を含み、
前記第１出力部は、前記第１装置において指定された前記種類に対応する記憶装置から前記第１データを取得し、前記第１装置に出力する、
付記１乃至６のいずれかに記載の情報処理システム。
【０１１２】
（付記８）
人物の個人情報を含まない第１データを記憶し、かつ、前記個人情報を含む第２データを記憶しない記憶装置を含む情報処理システムにより実行される情報処理方法であって、
第１装置からの要求に応じて前記第１データを前記第１装置に出力するステップと、
第２装置から前記第２データを取得し、前記個人情報と前記第１データとを結合した第３データを前記第２装置に出力するステップと、
を備える情報処理方法。
【０１１３】
（付記９）
前記第２データは、前記個人情報と前記第１データとの対応関係を一意に特定する識別データを含む、
付記８に記載の情報処理方法。
【０１１４】
（付記１０）
人物の個人情報を含まない第１データを記憶し、かつ、前記個人情報を含む第２データを記憶しない記憶装置を含むコンピュータに、
第１装置からの要求に応じて前記第１データを前記第１装置に出力するステップと、
第２装置から前記第２データを取得し、前記個人情報と前記第１データとを結合した第３データを前記第２装置に出力するステップと、
を実行させるためのプログラム。
【符号の説明】
【０１１５】
ＮＷ１、ＮＷ２、ＮＷ３・・・ネットワーク
ＰＧ１・・・データ収集プログラム
ＰＧ２・・・データ表示プログラム
ＰＧ３・・・センサデータ抽出プログラム
ＰＧ４・・・サンプルデータ生成プログラム
ＰＧ５・・・データ閲覧プログラム
Ｉ・・・検査員
Ｔ・・・被検者
Ｕ・・・ユーザ
１、２、３、４・・・情報処理システム
１０・・・センサ機器
２０・・・業務端末
３０・・・ユーザ端末
１００・・・情報処理装置
１００Ａ・・・記憶部
１００Ｂ・・・第１出力部
１００Ｃ・・・第２出力部
１０１・・・データ管理装置
１０２・・・センサデータＤＢ
１０３・・・データ処理装置
１０４・・・閲覧制御装置
１０５・・・センサデータ抽出装置
１０６・・・抽出センサデータＤＢ
１０７・・・サンプルデータ生成装置
１０８・・・表示制御装置
【要約】
【課題】個人情報の漏洩を防止しつつ、個人情報を含まないデータの利用を促進する。
【解決手段】本発明における情報処理システムは、人物の個人情報を含まない第１データを記憶し、かつ、前記個人情報を含む第２データを記憶しない記憶部と、第１装置からの要求に応じて前記第１データを前記第１装置に出力する第１出力部と、第２装置から前記第２データを取得し、前記個人情報と前記第１データとを結合した第３データを前記第２装置に出力する第２出力部と、を備える。
【選択図】図１【図１】
0006902214.tif 000002
【図２】
0006902214.tif 000003
【図３】
0006902214.tif 000004
【図４】
0006902214.tif 000005
【図５】
0006902214.tif 000006
【図６】
0006902214.tif 000007
【図７】
0006902214.tif 000008
【図８】
0006902214.tif 000009
【図９】
0006902214.tif 000010
【図１０】
0006902214.tif 000011
【図１１】
0006902214.tif 000012
【図１２】
0006902214.tif 000013
【図１３】
0006902214.tif 000014
【図１４】
0006902214.tif 000015
【図１５】
0006902214.tif 000016
【図１６】
0006902214.tif 000017