分散PDS
2015-10-05 橋⽥浩⼀

パーソナルデータの管理(1)
事業者に集中
⾃分の許可なしにデータが使われているかも⾃分のデータが活⽤できない+ 個⼈に分散
⾃分のデータの使われ⽅を把握できる

⾃分のデータを⾃ら指定した他者に⾃由に開⽰してサービスを享受できる

利⽤者
データの流れ事業者

⼤量の個⼈データを蓄積・管理せねばならない

顧客のニーズがよくわからない

⼤量データが⼀挙に漏洩するリスク

2

⾃社由来のデータしか得られない

⼤量の個⼈データを蓄積・管理する必要なし
⼤量データが⼀挙に漏洩しない

顧客のニーズがよくわかる
他社由来のデータも得られる

パーソナルデータの管理(2)
物理的集中・分散ではなく管理権限の集中・分散
z集中管理
 管理者の意思または過失により多数の個⼈のデータが利⽤または漏洩可能∗ ベネッセや年⾦機構の個⼈情報漏洩事件
 本⼈に直接メリットのないデータ利⽤(〜⼆次利⽤)に適する
 顧客の連絡先や契約書の集中管理は事業者にとって必須

z分散管理

 管理者(本⼈または代理⼈)の意思または過失により⾼々1⼈分のデータが利⽤または漏洩可能∗ データを盗むコスト > メリット
 本⼈に直接メリットのあるデータ利⽤(〜⼀次利⽤)に適する
 多数のアカウントをシングルサインオンでまとめることにより個⼈ごとのセキュリティも向上

3

集中管理はスケールしない
z単⼀の集中型サービスが市場を独占するのは不可能

単⼀の医療介護SNSが全国に広がったり病院のデータをすべて取り込んだりすることはあり得ない

z複数の集中型サービスを統合するのも無理
技術的に⾼コスト
競合する事業者同⼠は連携しない

z特定事業者(病院等)がデータを抱え込んでいると顧客のメリットが⾼まらない

4

EHRの利⽤者は対象地域の⼈⼝の2%以下∗ 上野 智明(2014) ITを利⽤した全国地域医療連携の概況 (⽇医総研ワーキングペーパー No.321)

集めないビッグデータ
zパーソナルデータの集中管理(集めるビッグデータ)は必要だが問題が多い。
⾃⼰情報コントロールが困難情報漏洩のリスク
産業振興の阻害∗ 事業者による囲い込み∗ 本⼈の利益が最⼤化されないz個⼈に分散した管理(集めないビッグデータ)との組み合わせでこれらの問題を解決したい。
5

データ管理を個⼈に分散(集めないビッグデータ)

分散PDS

分散PDS

分散PDS

分散PDS

分散PDS

少数(1,000程度以下?)主体のデー
タの処理

多数主体のデータの処理(検索、情報抽出、統計分析、マッチングなど)

データ管理を事業者に集中(集めるビッグデータ)
6

PDS: Personal Data Store個⼈が本⼈のデータを⾃ら蓄積・管理し、他者と⾃由に共有して活⽤する仕組み
z星新⼀(1970) 声の網.
情報銀⾏…東⼤・慶⼤・JIPDEC

z2,000年ごろに提案された?
Gordon Bell (2001) A Personal Digital Store.
Communications of the ACM, 44: 86–91.

7

PDSの分類
z集中PDS 〜 メディエータ(後述)EHR、従来のPHR、情報銀⾏、代理機関、…

z分散PDS
P2P⽅式: 個⼈端末間のP2P通信でデータ共有∗ Personal Server
中継⽅式: サーバを介してデータ共有∗ サーバ主導: サーバが特別な機能を持つ¾Persona、VIS、PDV、PrPl、openPDS、
RespectNetwork、…

∗ 端末主導: 端末もサーバも既存のコモディティ

8¾PLR (個⼈⽣活録; personal life repository)

分散PDSとしてのPLR
個⼈が特定事業者に依存せず本⼈のデータを管理して他者と安全に共有
z 1つの集中型サービスであらゆる個⼈データを管理するのは不可能かつ不適切。
z 複数の集中型サービスにわたる多種の個⼈データを組合せて活⽤するには、本⼈がPLRでそれらのデータを名寄せすることが必須。
個⼈地図

写真共有

Drive
SNS
メール
動画共有

PLR

G社

税⾦

社会保障
預貯⾦

⽇本政府
マイナンバー

レシピ共有 トラベル
クラウド

レンタル店

オークション
Y社
A社

D社

B社
C社

メディエータ9

クラウド型電⼦カルテなど
病院

診療所
介護事業所

カフェ

雑貨店
コンビニ

C社

PLRの構成個⼈

個⼈端末

PLRアプリPLRアプリPLRアプリ

PLRサーバ

暗号化や通信の詳細を気にせず開発

暗号化された
個⼈データ
データ

…
10

PLRクラウド複数サーバの連携
zPLRクラウドは複数のサーバ(Googleドライブ、Dropbox等)からなり得る
z各利⽤者は⾃分がアカウントを持たないサーバにもanonymousでアクセスできるので、全利⽤者の間でデータ共有が可能
Dropboxのア
カウントのみを持つ利⽤者

Googleドライブのアカウントのみを持つ利⽤者

PLRクラウド11

ID連携との⽐較
個⼈

個⼈ = IdP

PLR
IdP
RP

ID連携
RP

ID連携
z 個⼈には本⼈のデータの流れがわかることが望ましい
z IdPにはデータの内容がわからないことが望ましい
z RPは他のどのRPにどんなデータを提供したかがわからないことが望ましい

12

ID連携

事業者

事業者

z 個⼈には本⼈のデータの流れがわかる
z 事業者は個⼈経由で他の事業者にどんなデータを提供したかがわからない
z 複数のID連携の仕組みを統合可能
z 本⼈認証は外部のIdPによる

PLRのセキュリティ
データの不正使⽤を防⽌し、共有・活⽤を促進
1. 集めない: データの管理を個⼈に分散
 1⼈分のデータを盗むコスト > メリット
 たとえ集めても処理が終わったらすぐ消去

2. 個⼈主導のDRM (digital rights management)13

 ⾃分のデータ提供条件を厳格に適⽤∗ 個票データを⼈間が⾒ない、平⽂でファイルに書き出したり外部に送信したりしない、など① 暗号化∗ 暗号化されたデータの鍵をデータ共有相⼿の公開鍵で暗号化して渡す② データにアクセスするアプリの限定
現状: PLRアプリが少ない
予定: 暗号化されたデータとその鍵にアクセスするハードウェアとソフトウェアを認証

サービスの間のデータ連携
zサービス⾃動化の前提
zサービス(センサ)の出⼒データを他のサービスで活⽤
zデータの仕様の標準は利⽤者主導で普及
体重体組成計

睡眠計

活動量計

⾎圧計

介護
学習

PLR

資産管理

14

医療SNS

名簿管理

購買イベント開催

データ管理の責任分界
z個⼈は本⼈のデータを⾃らの権限と責任で管理
 他の個⼈や事業者とのデータ共有を⾃由に設定・解除
 PLRによってデータを⾃ら作成・利⽤

z事業者は個⼈が管理するデータに責任を負わない
 顧客の連絡先や契約書やその他法律等で定められたデー
タだけを保管すれば良いので低コストかつ低リスク

zパーソナルデータに関する法令等を満たす
 個⼈情報保護法、医療情報システムの安全管理に関するガイドライン(厚労省)、EUのデータ保護規令則など

15

PLRによるパーソナルデータの利活⽤
z⾃律分散協調エネルギー管理

 太陽光発電システム等の保守 スマートグリッド … 配電系統の安定化

z⾃律分散協調ヘルスケア

 医療・健康データの⾃⼰管理
 医療機関や介護施設が個⼈を介してデータ連携

z⾃律分散協調学習 学習者の興味や進度に応じたアドバイスと協調学習

z⾃律分散協調資産管理

 ⾦融資産や不動産の管理・相続等
 データに基づく住宅・建物保守

z⾃律分散協調マーケティング16

 購買等のデータを顧客が蓄積・管理 → 収集・分析
 事業者が売り⽅を最適化(CRM) 顧客が買い⽅を最適化(VRM)

PLR介護記録アプリ
z恵信福祉会(⼭梨県の介護事業者)で被介護者70名以上を対象に運⽤中z他の介護施設や病院にも展開する予定
zオントロジー(データのスキーマ)の変更が容易

17

 訪問医療や訪問看護⽤のカスタマイズ がん連携⼿帳やお薬⼿帳の実装
 電⼦カルテシステムの簡易版も

パーソナルデータの本⼈(代理⼈)管理
z介護記録のデータを本⼈(の家族)が管理して複数の事業者等と共有
z恵信福祉会で2015年8⽉14⽇から運⽤中
家族
個⼈⽤端末

PLRクラウド
介護記録等
医療機関

本⼈
介護施設

18

介護者

医師

医療制度改⾰19

医療制度改⾰(続)z医療機関等の間でのデータ共有が必須に

 before: データを共有しても儲からない。
 after: データを共有しないと経営が成り⽴たない。

z病院(病床)の機能分類を2018年から運⽤

 ⾼度急性期、急性期、回復期、療養期、診療所

z異種病院間のデータ共有

 急性期病院は、退院患者の再⼊院を防ぐため、受⼊先の回復期病院や診療所に患者のデータを渡さねばならない。
 回復期病院や診療所は、急性期病院等からの退院患者を多く受け⼊れるため、患者のデータを受け取って治療の成績を⾼める必要がある。

z診療所同⼠のデータ共有

 各患者に24時間365⽇の在宅医療を提供するため、複数の診療所(各々はほとんどが医師1⼈)がグループを組
20 んで患者のデータを共有せねばならない。

データ共有集中(EHRなど) 分散(PLRなど)の⽅法
内容
費⽤
拡張性
普及可能性

21

事業者が多数の個個⼈のデータを本
⼈のデータを集中⼈(代理⼈)が管理
管理
既存の安価な端末
集中管理システムやストレージを⽤なので⾼価いるので安価
集中管理システム
集中管理システム
同⼠の直接連携は同⼠の連携を仲介
⼀般には不可能対象地域の⼈⼝の2%未満

100%

⾃律分散協調ヘルスケアz 地域包括ケアや地域医療連携を実現するために、
z 事業者同⼠が直接データ共有するのは無理な場合が多いので、z 現実的には、個⼈(患者や被介護者や家族)が中⼼になって多数のヘルスケア関連事業者を連携させる(下図)しかない。
個⼈家族

病院

PLR

配⾷事業者

介護施設

スポーツクラブクラウド型
電⼦カルテ診療所

22

薬局

医療介護
SNS

訪問看護ステーション

メタ連携
z 集中PDS(EHRや医療介護SNSや代理機関)同⼠の直接的連携は困難
 技術的に⾼コスト、事業者同⼠の競合など
 例: 京都のまいこネットとポケットカルテ

z 集中PDS(事業者)と分散PDS(個⼈)との連携は容易⇒ 集中PDS同⼠の間接的連携⇒ ⾃⼰情報コントロールに基づくパーソナルデータの流通

個⼈
PLR
API

EHR

23

API

代理機関

⾃律分散協調ヘルスケアプロジェクトz宮崎 はにわネットのPLRによる拡張
 他のサービスへの展開 … ⼤学の同窓会など

z⼭梨 恵信グループ(社会福祉法⼈恵信福祉会・ 医療法⼈恵信会)の介護施設にPLR介護記録アプリを導⼊済∗ 2015年8⽉からデータの本⼈(家族)管理を運⽤
 さらに同グループ内の療養型病院や地域の他のヘルスケ
ア事業者をPLRで結ぶz愛知

 藤⽥保健衛⽣⼤学・名古屋⼤学等との共同研究
 まずは医療法⼈陽明会の診療所と介護施設をPLRで結ぶ

z⽶⼦、東京、湯河原、春⽇井、他
24

千年カルテプロジェクトとの連携
PLR

25

http://www.seagaia.org/~sg2015/_src/sc243/150516yoshihara.pdf

ITベンダと医療ビッグデータ
z医療ビッグデータ事業の構築が必須。
電⼦カルテシステムやEHRの事業が⼤きく成⻑することはあり得ない。

zだが、医療データは医療機関が管理しており、ITベンダはアクセスできない。
z医療データを個⼈に渡せば、ITベンダも個⼈から直接データを取得できる。
電⼦カルやEHRの事業もそのまま継続可能。
医療機関も他の医療機関に由来するデータを個⼈から取得できる。

26

VRM: 業者関係管理
Vender Relationship Management
zCRM (顧客関係管理; customer relationshipmanagement)の逆
z顧客が⾃らの意思とデータに基づいて業者からのサービスや商品の買い⽅を最適化顧客のソフトウェアエージェントが当⼈のデータに適合するサービスや商品を選択

z広告や推薦よりはるかに⾼精度で安価
zBerkman Center for Internet and Society,
Harvard Univ.の研究プロジェクト2727

VRMの基本形
z 利⽤者の個⼈データに適合する広報等を分散PDSがPULL
z 事業者は個⼈情報を⾒ずに⾏動ターゲティング以上のことができる
8⽉25⽇までに健康診断を受けて下さい

内科の病院を受診しましょう

PLR

PLR

PLR

PLR

PLR

利⽤者の個⼈データに適合する広報等をPULL

事業者

28z ???という症状は???という病気の可能性が⾼いz 7⽉1⽇から8⽉25⽇までXY町の70歳代の住⺠を対象とする健康診断を実施中

PLR

PLR

メディエータ(個⼈と事業者との仲介)
z 双⽅の取引条件を構造化することでマッチングを⾃動化(⼈⼯知能)z マッチングの結果を個⼈に開⽰
z 市場のニーズ等を事業者に開⽰集めない
ビッグデータ集める
ビッグデータ29

PLR

メディエータ

PLR

PLR

メディエータ

PLR

PLR

メディエータ●●のデータを開⽰して○○のサービスを受けたい。
××円払っても良い。

マッチング◎◎のデータを開⽰いただければ△△のサービスをご提供します。▼▼円いただきます。

メディエータ(⼀般化)
z多数の主体(個⼈と事業者)からデータを集めて共通する処理を代⾏
マッチング(前⾴)分析(前⾴)
検索…分析結果と個票との照合もブローカ…匿名化して第三者提供

z集中PDS?
個⼈の⾃⼰情報コントロールを担保
EHR、従来のPHR、情報銀⾏、代理機関、他

30

個⼈

zデータ開⽰条件のマッチングz詳細な個⼈データと財・サービスのデータとのマッチング

PLR

第三者機関

標準辞書・スクリプト

個⼈を特定できない

事業者
標準辞書・スクリプト

標準辞書・スクリプト財・サービス

パーソナルデータ

標準辞書やスクリプトの登録・更新

メディエータ(集中PDS)

31

メディエータのチェック

登録認定機関個⼈
PLR(3) 問診、検査結果、診療明細、処⽅、満⾜度、バイタルデータ、⾷事、etc.

(4)z 私みたいな⼈があの病院にかかると5年⽣存率は60%z 私に似た⼈達にはこの薬が効いているみたいz 私みたいな病状の⼈は世の中に2%ぐらい

メディエータ32

ビッグパーソナルデータ

z データ提供の⼿続きがオンラインで簡単に
z 本⼈の条件を遵守しつつデータが流通→ 安⼼してデータを提供

PLR

PLR

PLR

分析はするが元データを取得しない(DRM)

分析者

33

PLR

PLR

PLR

PLR

パーソナルデータ

与信
ビッグデータ

個票データを⾒ない(DRM)

メディエータ

個⼈

事業者

34

本⼈同意によるデータ開⽰

例: ECサイトが顧客から他サイトでの購買データ等を収集し、分析結果を商品の開発や仕⼊れに活⽤

PLRビジネスモデルzヘルスケア
 介護アプリは低価格ゆえに代理店による拡販が困難なので、付加サービスによる単価の向上が望ましい
 分散PDSに基づく診療所⽤電⼦カルテは、医療制度改⾰に伴うデータ共有へのニーズが顕在化すれば拡販可能?
 患者や家族へのデータの還元には保険を適⽤?

z他の産業領域
 事業者間で購買データ等を直接共有するのは困難 消費者に購買データ等を電⼦的に提供するのもコストがかかる
 個⼈のエンパワメント∗ 個⼈が保有するデータの活⽤

35

地域包括ケア付加サービス?
z複数のカメラの映像を⼀覧(下図)zカメラ等のセンサデータから検出されたイベントの通知
 宅内での⼈やペットの動き、来訪者など

z宅内の家族や来訪者と宅外から映像通話
zセンサデータ(ライブまたは録画の映像など)への⼀時的なアクセス権限を他のPLR利⽤者に安全に付与 家族、近隣住⺠、警察、⾃治体など

寝室

居間

各フレームをタップして全画⾯表⽰
⾞庫

⽞関

マイクとスピー
カをフレームごとにON/OFF

異常検知

36

名簿(1)友⼈
阿部 正

090-8722-4473

abe0925@foo.ne.jp

井上 浩⼦

070-4327-3276

inoueh@ab-c.co.jp

加藤 和美

03-3471-8759

佐々 ウメ

080-8922-3216

h.sasaki@t.utokyo.ac.jp

鈴⽊ 典⼦

050-5482-3981

noriko-s@puppy.org

⽥中 光047-651-4489

h347891@sloppy.com

中村 綾

0898-49-3276

yuichi@jcss.gr.jp

開⽰
⾃宅住所、⾃宅電話番号、メールアドレス

37

PLR利⽤者なので本⼈が情報を管理

PLR利⽤者ではないので私が情報を管理

⾃分がグループメンバーに開⽰している情報名簿(2)
地域包括ケア新浦

新浦安クリニック047-211-4411

gp@shinurayasucl
inic.co.jp

YVC

⼭⽥訪問介
護

043-412-1237

info@yamadacare.com

浦安病院

047-311-4862

rec@urayasuh.co.
jp

CLINIC開⽰
医療記録、介護記録、投薬記録、⽣活⾏動記録、宅内カメラ

38

追記可能な
開⽰は別途

制度に関する課題(1)z 運⽤ルールの策定と実効性の担保

 運⽤ルール∗ 事業者が取得したデータの消去に関わる時期や条件∗ 事業者間でのデータ共有の制限∗ メディエータが事業者に提供しうる情報の範囲
 トラストフレームワーク∗ 同意取得⼿続の標準化∗ ルールの実効性を担保する⼿段¾ 個⼈主導DRMなど

 個⼈情報保護委員会等の関与?

z 同意取得のあり⽅と事業者間共有

 分散PDSは本⼈同意に基づいてパーソナルデータを活⽤∗ 機微性の⾼いデータの流通も容易
 個⼈のデータはすべて本⼈が管理しているので第三者提供が不要∗ DRMを使えば第三者提供も可?
∗ 匿名加⼯情報等の事業者間共有?

39

制度に関する課題(2)z 個⼈の認知限界の緩和

 分散PDSにおけるデータの管理 ＝ 使⽤許可の判断
 個⼈の認知限界∗ 事業者からのデータ提供要請が頻繁∗ 使⽤条件の記述が複雑
 わかりやすい標準的インタフェースと⼿続
 メディエータが顧客の意思決定を⽀援∗ 個⼈と事業者とのマッチング等∗ 実質的な本⼈意思に基づくデータ流通¾ 明⽰的な本⼈同意なしで本⼈の意思に基づくデータ活⽤∗ データ管理の委託・信託の可能性

z 顧客へのデータ還元に関わる制度枠組

 分散PDSの普及には、個⼈が⾃分のデータを電⼦的に活⽤可能な形で保有することが必要
 スマートディスクロージャ: 機械判読可能な標準形式でのデータ還元∗ 英国のmidata、EUのデータ保護規則など∗ エネルギーやヘルスケアなど公共性の⾼い分野から?

40

個⼈と事業者とのデータ共有の動向
z個⼈に由来するデータを本⼈が蓄積して⾃ら利⽤するようになる。
ウェアラブルセンサ、IoT、⼈⼯知能の普及等により、個⼈のエンパワメントが進む。

z事業者は個⼈からそのデータを取得したい。
zそれには、個⼈のエンパワメントを促進して個⼈由来のデータの質と量を向上させ、さらにそのような個⼈と信頼関係を築く必要がある。
z信頼関係の構築にはデータの⼀⽅的な取得ではなく共有が必須。
41

展望
⼈⼯知能技術等の発達

⾃動データ連携、分析、学習、ビジネスルールの運⽤の⾃動化

⽣産と消費のマッチング

間接業務の⾃動化 〜 バックオフィスの消滅

個⼈と⼩組織のエンパワメント 〜 ⼤組織の凋落分散PDS

⽣産性の向上42

おわりにz分散PDSは⾃⼰情報コントロールに基づくパーソナルデータの流通を促進する。
z分散PDSの普及につれて、多数主体(個⼈と事業者)のデータの処理(検索、分析、マッチング)を担うメディエータ(集中PDS)が必要になる。
集中PDS同⼠を連携させるために分散PDSが必要

z分散・集中PDSの処理を⾃動化する⼈⼯知能技
術により社会全体の⽣産性が⾼まる。
⼈⼯知能にはPDSによるデータの流通が必要

43