特許 6619401 データ検索システム、データ検索方法およびデータ検索プログラム

(19)【発行国】日本国特許庁(JP)

(12)【公報種別】特許公報(B2)

(11)【特許番号】6619401

(24)【登録日】2019年11月22日

(45)【発行日】2019年12月11日

(54)【発明の名称】データ検索システム、データ検索方法およびデータ検索プログラム

(51)【国際特許分類】

   H04L 9/32 20060101AFI20191202BHJP

   G06F 21/62 20130101ALI20191202BHJP

   G06F 16/2452 20190101ALI20191202BHJP

   G06F 16/11 20190101ALI20191202BHJP

   G06Q 50/22 20180101ALI20191202BHJP

   G06Q 50/26 20120101ALI20191202BHJP

   G09C 1/00 20060101ALI20191202BHJP

   A61B 1/045 20060101ALI20191202BHJP

【ＦＩ】

   H04L9/00 673Z

   G06F21/62 345

   G06F16/2452

   G06F16/11

   G06Q50/22

   G06Q50/26 300

   G09C1/00 660D

   A61B1/045 621

【請求項の数】13

【全頁数】24

(21)【出願番号】特願2017-180966(P2017-180966)

(22)【出願日】2017年9月21日

(65)【公開番号】特開2019-57822(P2019-57822A)

(43)【公開日】2019年4月11日

【審査請求日】2019年8月6日

(73)【特許権者】

【識別番号】591102095

【氏名又は名称】三菱スペース・ソフトウエア株式会社

(73)【特許権者】

【識別番号】000006013

【氏名又は名称】三菱電機株式会社

(74)【代理人】

【識別番号】110002491

【氏名又は名称】溝井国際特許業務法人

(72)【発明者】

【氏名】野原 祥夫

(72)【発明者】

【氏名】谷嶋 成樹

(72)【発明者】

【氏名】平野 貴人

【審査官】 青木 重徳

(56)【参考文献】

【文献】 特開２００６−１７５２１５（ＪＰ，Ａ）

【文献】 米国特許出願公開第２００９／００７７０２４（ＵＳ，Ａ１）

【文献】 米国特許出願公開第２０１５／０１６９８８９（ＵＳ，Ａ１）

【文献】 星野 隆之，大量かつ複雑な非構造化データを扱う解析基盤の仕組み，UNISYS TECHNOLOGY REVIEW 第III号，日本，日本ユニシス株式会社，２０１２年 ３月３１日，Vol. 31 No. 4，p.59-67

【文献】 沖 俊吾，医療システムでの非構造化データ活用事例，UNISYS TECHNOLOGY REVEW 第III号，日本，日本ユニシス株式会社，２０１２年 ３月３１日，Vol. 31 No. 4，p. 67-77

【文献】 CURTMOLA, Reza, et al.，Searchable Symmetric Encryption: Improved Definitions and Efficient Constructions，Proceedings of the 13th ACM conference on Computer and communications security (CCS'06)，米国，ACM，２００６年１０月３０日，p.79-88

【文献】 HIRANO, Takato, et al.，Simple, Secure, and Efficient Searchable Symmetric Encryption with Multiple Encrypted Indexes，LNCS, Advances in Information and Computer Security, 11th International Workshop on Security (IWSEC，Springer，２０１６年 ９月１２日，Vol.9836，p.91-110

(58)【調査した分野】（Int.Cl.，ＤＢ名）

Ｈ０４Ｌ ９／３２

Ａ６１Ｂ １／０４５

Ｇ０６Ｆ １６／１１

Ｇ０６Ｆ １６／２４５２

Ｇ０６Ｆ ２１／６２

Ｇ０６Ｑ ５０／２２

Ｇ０６Ｑ ５０／２６

Ｇ０９Ｃ １／００

(57)【特許請求の範囲】

【請求項1】

個人情報を識別する匿名ＩＤ（ＩＤｅｎｔｉｆｉｅｒ）を、前記個人情報の開示範囲を埋め込んで暗号化した個人検索用ＩＤであって秘匿検索に用いる個人検索用ＩＤと、前記匿名ＩＤおよび前記個人情報を、前記個人情報の開示範囲を埋め込んで暗号化した個人暗号化ＩＤおよび暗号化個人情報とを記憶する個人情報記憶部と、
前記匿名ＩＤを、前記個人情報に対応する個人が受けた受領データの開示範囲を埋め込んで暗号化した受領検索用ＩＤであって秘匿検索に用いる受領検索用ＩＤと、前記匿名ＩＤを、前記受領データの開示範囲を埋め込んで暗号化した受領暗号化ＩＤと、前記受領データとを記憶するデータ記憶部と
を有する管理装置と、
ユーザから検索対象の匿名ＩＤを検索匿名ＩＤとして取得し、前記検索匿名ＩＤを、前記ユーザの属性情報を埋め込んで暗号化した検索クエリを生成する検索クエリ生成部と、
前記検索クエリを用いて、前記個人検索用ＩＤと前記受領検索用ＩＤとに対して秘匿検索を実行し、前記ユーザの属性情報と前記個人情報の開示範囲と前記受領データの開示範囲とに基づいて得られた検索結果を出力する検索部と
を有する検索装置と
を備えたデータ検索システム。

【請求項2】

前記受領データは、前記個人が受けた医療データであり、
前記受領検索用ＩＤは、前記匿名ＩＤを、前記医療データの開示範囲を埋め込んで暗号化した医療検索用ＩＤであって秘匿検索に用いる医療検索用ＩＤであり、
前記受領暗号化ＩＤは、前記匿名ＩＤを、前記医療データの開示範囲を埋め込んで暗号化した医療暗号化ＩＤである請求項１に記載のデータ検索システム。

【請求項3】

前記データ検索システムは、
秘匿検索用の公開鍵と、前記ユーザの属性情報が埋め込まれた秘匿検索用の秘密鍵とを記憶する秘匿検索用鍵記憶部と、
暗号化用の公開鍵と、前記ユーザの属性情報が埋め込まれた暗号化用の秘密鍵とを記憶する暗号化用鍵記憶部と、
前記個人情報の開示範囲と前記医療データの開示範囲とを含む権限設定情報を記憶する情報記憶部と、
前記秘匿検索用の公開鍵と、前記暗号化用の公開鍵と、前記権限設定情報とを含む公開鍵情報を送信する公開鍵情報送信部と
を有する鍵管理装置を備えた請求項２に記載のデータ検索システム。

【請求項4】

前記データ検索システムは、
前記公開鍵情報に含まれる前記秘匿検索用の公開鍵と前記権限設定情報とを用いて、前記個人情報の開示範囲を埋め込んで、前記匿名ＩＤを前記個人検索用ＩＤとして暗号化する個人検索用暗号化部と、
前記公開鍵情報に含まれる前記暗号化用の公開鍵と前記権限設定情報とを用いて、前記個人情報の開示範囲を埋め込んで、前記個人情報および前記匿名ＩＤを前記暗号化個人情報および前記個人暗号化ＩＤとして暗号化する個人復号用暗号化部と
を有する個人情報登録装置を備えた請求項３に記載のデータ検索システム。

【請求項5】

前記データ検索システムは、
前記公開鍵情報に含まれる前記秘匿検索用の公開鍵と前記権限設定情報とを用いて、前記医療データの開示範囲を埋め込んで、前記匿名ＩＤを前記医療検索用ＩＤとして暗号化する医療検索用暗号化部と、
前記公開鍵情報に含まれる前記暗号化用の公開鍵と前記権限設定情報とを用いて、前記医療データの開示範囲を埋め込んで、前記匿名ＩＤを前記医療暗号化ＩＤとして暗号化する医療復号用暗号化部と
を有する医療情報登録装置を備えた請求項３または請求項４に記載のデータ検索システム。

【請求項6】

前記検索クエリ生成部は、
前記秘匿検索用の秘密鍵を用いて、前記ユーザの属性情報が埋め込まれた前記検索クエリを生成する請求項３から請求項５のいずれか１項に記載のデータ検索システム。

【請求項7】

前記検索部は、
前記検索クエリに埋め込まれた前記ユーザの属性情報が前記個人情報の開示範囲を満たす前記個人検索用ＩＤに対応する前記個人暗号化ＩＤと前記暗号化個人情報とを、前記検索結果として出力する請求項６に記載のデータ検索システム。

【請求項8】

前記検索部は、
前記検索クエリに埋め込まれた前記ユーザの属性情報が前記医療データの開示範囲を満たす前記医療検索用ＩＤに対応する前記医療暗号化ＩＤと前記医療データを、前記検索結果として出力する請求項６または請求項７に記載のデータ検索システム。

【請求項9】

前記データ記憶部は、
前記匿名ＩＤを暗号化した前記医療検索用ＩＤであって前記医療データを研究目的に使用して良いか否かを表す前記医療検索用ＩＤと、前記匿名ＩＤを暗号化した前記医療暗号化ＩＤであって前記医療データを研究目的に使用して良いか否かを表す前記医療暗号化ＩＤと、前記医療データとを記憶する請求項８に記載のデータ検索システム。

【請求項10】

前記データ検索システムは、
前記検索結果として出力された前記個人暗号化ＩＤと前記医療暗号化ＩＤとを復号し、前記個人暗号化ＩＤと前記医療暗号化ＩＤとの復号結果が等しい場合に、前記検索結果として出力された前記暗号化個人情報と前記医療データとを結果情報として結合する情報生成部を備えた請求項８または請求項９に記載のデータ検索システム。

【請求項11】

前記情報生成部は、
前記暗号化用の秘密鍵を用いて、前記結果情報を閲覧情報に復号する請求項１０に記載のデータ検索システム。

【請求項12】

管理装置の個人情報記憶部が、個人情報を識別する匿名ＩＤ（ＩＤｅｎｔｉｆｉｅｒ）を、前記個人情報の開示範囲を埋め込んで暗号化した個人検索用ＩＤであって秘匿検索に用いる個人検索用ＩＤと、前記匿名ＩＤおよび前記個人情報を、前記個人情報の開示範囲を埋め込んで暗号化した個人暗号化ＩＤおよび暗号化個人情報とを記憶し、
管理装置のデータ記憶部が、前記匿名ＩＤを、前記個人情報に対応する個人が受けた受領データの開示範囲を埋め込んで暗号化した受領検索用ＩＤであって秘匿検索に用いる受領検索用ＩＤと、前記匿名ＩＤを、前記受領データの開示範囲を埋め込んで暗号化した受領暗号化ＩＤと、前記受領データとを記憶し、
検索装置の検索クエリ生成部が、ユーザから検索対象の匿名ＩＤを検索匿名ＩＤとして取得し、前記検索匿名ＩＤを、前記ユーザの属性情報を埋め込んで暗号化した検索クエリを生成し、
検索装置の検索部が、前記検索クエリを用いて、前記個人検索用ＩＤと前記受領検索用ＩＤとに対して秘匿検索を実行し、前記ユーザの属性情報と前記個人情報の開示範囲と前記受領データの開示範囲とに基づいて得られた検索結果を出力するデータ検索方法。

【請求項13】

個人情報を識別する匿名ＩＤ（ＩＤｅｎｔｉｆｉｅｒ）を、前記個人情報の開示範囲を埋め込んで暗号化した個人検索用ＩＤであって秘匿検索に用いる個人検索用ＩＤと、前記匿名ＩＤおよび前記個人情報を、前記個人情報の開示範囲を埋め込んで暗号化した個人暗号化ＩＤおよび暗号化個人情報とを記憶する個人情報記憶部と、
前記匿名ＩＤを、前記個人情報に対応する個人が受けた受領データの開示範囲を埋め込んで暗号化した受領検索用ＩＤであって秘匿検索に用いる受領検索用ＩＤと、前記匿名ＩＤを、前記受領データの開示範囲を埋め込んで暗号化した受領暗号化ＩＤと、前記受領データとを記憶するデータ記憶部と
を検索する検索装置のデータ検索プログラムにおいて、
ユーザから検索対象の匿名ＩＤを検索匿名ＩＤとして取得し、前記検索匿名ＩＤを、前記ユーザの属性情報を埋め込んで暗号化した検索クエリを生成する検索クエリ生成処理と、
前記検索クエリを用いて、前記個人検索用ＩＤと前記受領検索用ＩＤとに対して秘匿検索を実行し、前記ユーザの属性情報と前記個人情報の開示範囲と前記受領データの開示範囲とに基づいて得られた検索結果を出力する秘匿検索処理と
をコンピュータである検索装置に実行させるデータ検索プログラム。

【発明の詳細な説明】

【技術分野】

【0001】

本発明は、データ検索システム、データ検索方法およびデータ検索プログラムに関する。特に、病理診断情報あるいは遺伝子診断情報といった医療データを秘匿検索する医療データ検索システム、医療データ検索方法および医療データ検索プログラムに関する。

【背景技術】

【0002】

近年、遺伝子解析が安価にできるようになってきている。一方で、適切な診断、および、遺伝子解析の知見を増やすためには、遺伝子情報を他の様々な人の遺伝子情報と比較する、あるいは、様々な人の遺伝子情報の分析が必要不可欠となっている。
遺伝子情報のような医療データを扱う際には、プライバシーへの配慮が必要となる。データを暗号化したまま分析する方法もあるが、医療データはデータ量が膨大となるため、分析に長い時間が掛かる。よって、データを暗号化したまま分析する方法を医療データに適用することは、現状は困難である。そこで、医療データは平文であるが、一見誰の医療データかはわからなくしつつ、必要に応じて医療データを抽出する匿名ＩＤ（ＩＤｅｎｔｉｆｉｅｒ）管理技術のニーズが高まっている。

【0003】

匿名ＩＤ管理技術は、個人名ではなく、仮のＩＤを振ってデータを管理する技術である。確定的に生成されるハッシュ値を利用した仮のＩＤで管理する場合は、誰でもハッシュ値を計算できる。このため、ハッシュ値の入力を色々と試して計算をすることで、個人名が推測される危険性がある。また、一般的な共通鍵暗号の暗号文を利用する技術では、データの登録者全員に同じ鍵を渡す必要があり、鍵漏洩のリスクが大きくなる。また、一般的な公開鍵暗号の暗号文を利用する技術では、ユーザ数に依存した秘密鍵および暗号文の管理が必要となり、管理対象数が膨大となる。

【0004】

特許文献１には、秘匿検索技術と呼ばれる暗号化したままデータを検索できる暗号技術を使って医療データを管理する手法が開示されている。特許文献１の技術では、仮のＩＤは確率的に暗号化されているが、検索クエリを用いて結合可能である。そして、特許文献１の技術では、主治医のような権限のあるユーザが、個人情報と医療データを連結できる。

【先行技術文献】

【特許文献】

【0005】

【特許文献1】特開２０１５−０２２３９５号公報

【発明の概要】

【発明が解決しようとする課題】

【0006】

特許文献１では、ユーザに応じたデータ開示およびデータ連結といった制御が困難である。また、特許文献１では、ユーザ数の増加に伴い、公開鍵と秘密鍵のペアおよび暗号文の数も増加し、鍵管理および情報管理の負担が増大してしまう。

【0007】

本発明は、ユーザに応じたデータ開示およびデータ連結を可能としつつ、鍵管理および情報管理の負担を軽減することができる医療データ検索システムを提供することを目的とする。

【課題を解決するための手段】

【0008】

本発明に係る医療データ検索システムは、
個人情報を識別する匿名ＩＤ（ＩＤｅｎｔｉｆｉｅｒ）を、前記個人情報の開示範囲を埋め込んで暗号化した個人検索用ＩＤであって秘匿検索に用いる個人検索用ＩＤと、前記匿名ＩＤおよび前記個人情報を、前記個人情報の開示範囲を埋め込んで暗号化した個人暗号化ＩＤおよび暗号化個人情報とを記憶する個人情報記憶部と、
前記匿名ＩＤを、前記個人情報に対応する医療データの開示範囲を埋め込んで暗号化した医療検索用ＩＤであって秘匿検索に用いる医療検索用ＩＤと、前記匿名ＩＤを、前記医療データの開示範囲を埋め込んで暗号化した医療暗号化ＩＤと、前記医療データとを記憶する医療データ記憶部と
を有する管理装置と、
ユーザから検索対象の匿名ＩＤを検索匿名ＩＤとして取得し、前記検索匿名ＩＤを、前記ユーザの属性情報を埋め込んで暗号化した検索クエリを生成する検索クエリ生成部と、
前記検索クエリを用いて、前記個人検索用ＩＤと前記医療検索用ＩＤとに対して秘匿検索を実行し、前記ユーザの属性情報と前記個人情報の開示範囲と前記医療データの開示範囲とに基づいて得られた検索結果を出力する検索部と
を有する検索装置とを備えた。

【0009】

前記医療データ検索システムは、
秘匿検索用の公開鍵と、前記ユーザの属性情報が埋め込まれた秘匿検索用の秘密鍵とを記憶する秘匿検索用鍵記憶部と、
暗号化用の公開鍵と、前記ユーザの属性情報が埋め込まれた暗号化用の秘密鍵とを記憶する暗号化用鍵記憶部と、
前記個人情報の開示範囲と前記医療データの開示範囲とを含む権限設定情報を記憶する情報記憶部と、
前記秘匿検索用の公開鍵と、前記暗号化用の公開鍵と、前記権限設定情報とを含む公開鍵情報を送信する公開鍵情報送信部と
を有する鍵管理装置を備えた。

【0010】

前記医療データ検索システムは、
前記公開鍵情報に含まれる前記秘匿検索用の公開鍵と前記権限設定情報とを用いて、前記個人情報の開示範囲を埋め込んで、前記匿名ＩＤを前記個人検索用ＩＤとして暗号化する個人検索用暗号化部と、
前記公開鍵情報に含まれる前記暗号化用の公開鍵と前記権限設定情報とを用いて、前記個人情報の開示範囲を埋め込んで、前記個人情報および前記匿名ＩＤを前記暗号化個人情報および前記個人暗号化ＩＤとして暗号化する個人復号用暗号化部と
を有する個人情報登録装置を備えた。

【0011】

前記医療データ検索システムは、
前記公開鍵情報に含まれる前記秘匿検索用の公開鍵と前記権限設定情報とを用いて、前記医療データの開示範囲を埋め込んで、前記匿名ＩＤを前記医療検索用ＩＤとして暗号化する医療検索用暗号化部と、
前記公開鍵情報に含まれる前記暗号化用の公開鍵と前記権限設定情報とを用いて、前記医療データの開示範囲を埋め込んで、前記匿名ＩＤを前記医療暗号化ＩＤとして暗号化する医療復号用暗号化部と
を有する医療情報登録装置を備えた。

【0012】

前記検索クエリ生成部は、
前記秘匿検索用の秘密鍵を用いて、前記ユーザの属性情報が埋め込まれた前記検索クエリを生成する。

【0013】

前記検索部は、
前記検索クエリに埋め込まれた前記ユーザの属性情報が前記個人情報の開示範囲を満たす前記個人検索用ＩＤに対応する前記個人暗号化ＩＤと前記暗号化個人情報とを、前記検索結果として出力する。

【0014】

前記検索部は、
前記検索クエリに埋め込まれた前記ユーザの属性情報が前記医療データの開示範囲を満たす前記医療検索用ＩＤに対応する前記医療暗号化ＩＤと前記医療データを、前記検索結果として出力する。

【0015】

前記医療データ記憶部は、
前記匿名ＩＤを暗号化した前記医療検索用ＩＤであって前記医療データを研究目的に使用して良いか否かを表す前記医療検索用ＩＤと、前記匿名ＩＤを暗号化した前記医療暗号化ＩＤであって前記医療データを研究目的に使用して良いか否かを表す前記医療暗号化ＩＤと、前記医療データとを記憶する。

【0016】

前記医療データ検索システムは、
前記検索結果として出力された前記個人暗号化ＩＤと前記医療暗号化ＩＤとを復号し、前記個人暗号化ＩＤと前記医療暗号化ＩＤとの復号結果が等しい場合に、前記検索結果として出力された前記暗号化個人情報と前記医療データとを結果情報として結合する情報生成部を備えた。

【0017】

前記情報生成部は、
前記暗号化用の秘密鍵を用いて、前記結果情報を閲覧情報に復号する。

【0018】

本発明に係る医療データ検索方法は、
管理装置の個人情報記憶部が、個人情報を識別する匿名ＩＤ（ＩＤｅｎｔｉｆｉｅｒ）を、前記個人情報の開示範囲を埋め込んで暗号化した個人検索用ＩＤであって秘匿検索に用いる個人検索用ＩＤと、前記匿名ＩＤおよび前記個人情報を、前記個人情報の開示範囲を埋め込んで暗号化した個人暗号化ＩＤおよび暗号化個人情報とを記憶し、
管理装置の医療データ記憶部が、前記匿名ＩＤを、前記個人情報に対応する医療データの開示範囲を埋め込んで暗号化した医療検索用ＩＤであって秘匿検索に用いる医療検索用ＩＤと、前記匿名ＩＤを、前記医療データの開示範囲を埋め込んで暗号化した医療暗号化ＩＤと、前記医療データとを記憶し、
検索装置の検索クエリ生成部が、ユーザから検索対象の匿名ＩＤを検索匿名ＩＤとして取得し、前記検索匿名ＩＤを、前記ユーザの属性情報を埋め込んで暗号化した検索クエリを生成し、
検索装置の検索部が、前記検索クエリを用いて、前記個人検索用ＩＤと前記医療検索用ＩＤとに対して秘匿検索を実行し、前記ユーザの属性情報と前記個人情報の開示範囲と前記医療データの開示範囲とに基づいて得られた検索結果を出力する。

【0019】

本発明に係る医療データ検索プログラムは、
個人情報を識別する匿名ＩＤ（ＩＤｅｎｔｉｆｉｅｒ）を、前記個人情報の開示範囲を埋め込んで暗号化した個人検索用ＩＤであって秘匿検索に用いる個人検索用ＩＤと、前記匿名ＩＤおよび前記個人情報を、前記個人情報の開示範囲を埋め込んで暗号化した個人暗号化ＩＤおよび暗号化個人情報とを記憶する個人情報記憶部と、
前記匿名ＩＤを、前記個人情報に対応する医療データの開示範囲を埋め込んで暗号化した医療検索用ＩＤであって秘匿検索に用いる医療検索用ＩＤと、前記匿名ＩＤを、前記医療データの開示範囲を埋め込んで暗号化した医療暗号化ＩＤと、前記医療データとを記憶する医療データ記憶部と
を検索する検索装置の医療データ検索プログラムにおいて、
ユーザから検索対象の匿名ＩＤを検索匿名ＩＤとして取得し、前記検索匿名ＩＤを、前記ユーザの属性情報を埋め込んで暗号化した検索クエリを生成する検索クエリ生成処理と、
前記検索クエリを用いて、前記個人検索用ＩＤと前記医療検索用ＩＤとに対して秘匿検索を実行し、前記ユーザの属性情報と前記個人情報の開示範囲と前記医療データの開示範囲とに基づいて得られた検索結果を出力する秘匿検索処理と
をコンピュータである検索装置に実行させる。

【発明の効果】

【0020】

本発明に係る医療データ検索システムでは、個人情報記憶部が、秘匿検索に用いる個人検索用ＩＤと、復号用の個人暗号化ＩＤおよび暗号化個人情報とを記憶する。個人検索用ＩＤと個人暗号化ＩＤと暗号化個人情報には、個人情報の開示範囲が埋め込まれている。また、医療データ記憶部が、秘匿検索に用いる医療検索用ＩＤと、復号用の医療暗号化ＩＤとを記憶する。医療検索用ＩＤと医療暗号化ＩＤとには、個人情報に対応する医療データの開示範囲が埋め込まれている。検索クエリ生成部は、ユーザから取得した検索対象の検索匿名ＩＤを、ユーザの属性情報を埋め込んで暗号化した検索クエリを生成する。そして、検索部は、検索クエリを用いて、個人検索用ＩＤと医療検索用ＩＤとに対して秘匿検索を実行する。検索部は、ユーザの属性情報と個人情報の開示範囲と医療データの開示範囲とに基づいて得られた検索結果を出力する。本発明に係る医療データ検索システムによれば、ユーザの属性情報と個人情報の開示範囲と医療データの開示範囲とに基づくアクセス制御付きの秘匿検索を実行することができる。よって、ユーザの属性情報に応じた個人情報および医療データの閲覧制御を実現することができる。

【図面の簡単な説明】

【0021】

【図1】実施の形態１に係る医療データ検索システム１００の構成図。

【図2】実施の形態１に係る鍵管理装置２００の構成図。

【図3】実施の形態１に係る管理装置５００の構成図。

【図4】実施の形態１に係る個人情報登録装置３１０の構成図。

【図5】実施の形態１に係る医療データ登録装置３２０の構成図。

【図6】実施の形態１に係る検索装置４００の構成図。

【図7】実施の形態１に係る鍵管理装置２００と個人情報登録装置３１０と医療データ登録装置３２０と検索装置４００と管理装置５００との各装置のハードウェア構成の一例を示す図。

【図8】実施の形態１に係る個人情報登録処理Ｓ１１０のフローチャート。

【図9】実施の形態１に係る医療データ登録処理Ｓ１２０のフローチャート。

【図10】実施の形態１に係る個人情報登録処理Ｓ１１０と医療データ登録処理Ｓ１２０と示す模式図。

【図11】実施の形態１に係る検索処理Ｓ１３０のフローチャート。

【図12】主治医がユーザとして管理装置５００を検索する場合を表す模式図。

【図13】遺伝子カウンセラーがユーザとして管理装置５００を検索する場合を表す模式図。

【図14】研究者がユーザとして管理装置５００を検索する場合を表す模式図。

【発明を実施するための形態】

【0022】

以下、本発明の実施の形態について、図を用いて説明する。なお、各図中、同一または相当する部分には、同一符号を付している。実施の形態の説明において、同一または相当する部分については、その説明を適宜省略または簡略化する。

【0023】

実施の形態１．
＊＊＊構成の説明＊＊＊
図１を用いて、本実施の形態に係る医療データ検索システム１００の構成の概要について説明する。医療データ検索システム１００では、医療データは匿名ＩＤ管理技術により管理されている。匿名ＩＤは、個人情報を識別する匿名のＩＤである。個人情報とは、個人の氏名、年齢、および住所といった情報である。医療データとは、個人が医療機関で受けた病理診断情報、および、医療機関による所見データである遺伝子診断情報といった情報である。

【0024】

医療データ検索システム１００は、鍵管理装置２００と、個人情報登録装置３１０と、医療データ登録装置３２０と、検索装置４００と、管理装置５００と、ユーザ装置６００とを備える。鍵管理装置２００と、個人情報登録装置３１０と、医療データ登録装置３２０と、検索装置４００と、管理装置５００と、ユーザ装置６００とは、ネットワークを経由して接続される。ネットワークは、具体的には、インターネット、あるいは、ＬＡＮ（Ｌｏｃａｌ Ａｒｅａ Ｎｅｔｗｏｒｋ）であり、他の種類のネットワークが用いられてもよい。なお、医療データ検索システム１００の各装置は、ネットワークを経由せずに接続されていてもよい。また、医療データ検索システム１００の各装置のうち複数の装置が、１つのコンピュータ内に搭載されていてもよい。

【0025】

図２を用いて、本実施の形態に係る鍵管理装置２００の構成について説明する。
鍵管理装置２００は、コンピュータである。鍵管理装置２００は、確定的鍵記憶部２１０と、秘匿検索用鍵記憶部２２０と、暗号化用鍵記憶部２３０と、情報記憶部２４０と、公開鍵情報送信部２５０と、鍵送信部２６０とを有する。
確定的鍵記憶部２１０は、確定的暗号化のための公開鍵Ｋｐおよび秘密鍵Ｋｓを記憶する。確定的暗号化のための公開鍵Ｋｐおよび秘密鍵Ｋｓは、匿名ＩＤの暗号化および復号に用いられる。
秘匿検索用鍵記憶部２２０は、秘匿検索用の公開鍵ＳＫｐおよびユーザの属性情報が埋め込まれた秘匿検索用の秘密鍵ＳＫｓを記憶する。ユーザの属性情報とは、例えば、ユーザの職業である。具体的には、ユーザの属性情報は、主治医、遺伝子カウンセラー、および研究者といった医療データを扱う職業を表す情報である。秘匿検索用鍵記憶部２２０に記憶された公開鍵ＳＫｐは、管理装置５００の中にデータを登録したい時に、登録したいワードを検索してもよいユーザの属性情報とともに暗号化する時に用いられる。また秘匿検索用鍵記憶部２２０に記憶された秘密鍵ＳＫｓは、管理装置５００の中に登録された暗号化データを検索したい時に、検索したいデータを暗号化するために用いられる。
なお、登録データの暗号化時に含めるユーザの属性情報と、秘密鍵ＳＫｓに含まれるユーザの属性情報が一致する、かつ登録データと検索データが同じ場合は、これらのデータは一致していることを暗号化したまま判定することができる。一方で、登録データの暗号化時に含めるユーザの属性情報と、秘密鍵ＳＫｓに含まれるユーザの属性情報が異なる場合は、登録データと検索データが同じであっても、これらのデータは一致していないと判定される。
暗号化用鍵記憶部２３０は、暗号化用の公開鍵ＣＫｐおよびユーザの属性情報が埋め込まれた暗号化用の秘密鍵ＣＫｓを記憶する。暗号化用鍵記憶部２３０に記憶された公開鍵ＣＫｐは、管理装置５００の中にデータを登録したい時に、登録したいワードを検索してもよいユーザの属性情報とともに暗号化する時に用いられる。暗号化用鍵記憶部２３０に記憶された秘密鍵ＣＫｓは、管理装置５００の中に登録された暗号化データを復号するために用いられる。
なお、登録された暗号化データに含まれるユーザの属性情報と、秘密鍵ＣＫｓに含まれるユーザの属性情報が一致する場合は、その暗号化データを復号できる。
情報記憶部２４０は、個人情報の開示範囲と医療データの開示範囲とを含む権限設定情報２４１を記憶する。
公開鍵情報送信部２５０は、秘匿検索用の公開鍵ＳＫｐと、暗号化用の公開鍵ＣＫｐと、権限設定情報２４１とを含む公開鍵情報２５１を送信する。公開鍵情報２５１には、確定的暗号化のための公開鍵Ｋｐも含まれる。
鍵送信部２６０は、確定的暗号の公開鍵Ｋｐと、ユーザの属性情報に対応する秘密鍵ＳＫｓ，ＣＫｓとを検索装置４００に送信する。

【0026】

鍵管理装置２００は、例えば、ユーザからパラメータを取得し、確定的暗号化のための公開鍵Ｋｐおよび秘密鍵Ｋｓ、検索に利用する公開鍵ＳＫｐおよび秘密鍵ＳＫｓ、および暗号化に利用する公開鍵ＣＫｐおよび秘密鍵Ｃｋｓを作成してもよい。あるいは、鍵管理装置２００は、鍵管理装置２００の外部で作成された鍵を取得し、内部に記憶してもよい。具体的には、個人情報登録装置３１０により生成された鍵を取得し、内部に記憶してもよい。
確定的鍵記憶部２１０と秘匿検索用鍵記憶部２２０と暗号化用鍵記憶部２３０とは、鍵ＤＢ（データベース）の例である。

【0027】

また、権限設定情報２４１には、例えば、以下のような情報が含まれる。
図１に示すように、ユーザ装置６００は、具体的には、主治医、遺伝子カウンセラー、および研究者により利用される装置である。主治医、遺伝子カウンセラー、および研究者の各々は、以下のような権限を有する。
主治医は、患者の個人情報と病理診断情報と遺伝子診断情報とを連結して閲覧可能である。
遺伝子カウンセラーは、患者の個人情報と遺伝子診断情報とを連結して閲覧可能であるが、病理診断情報は見ることができない。
研究者は、医療データを二次利用するユーザである。研究者は、患者の同意があれば、病理診断情報と遺伝子診断情報とを連結して閲覧可能である。しかし、研究者は、患者の同意がなければ、病理診断情報と遺伝子診断情報とを連結できない。

【0028】

図３を用いて、本実施の形態に係る管理装置５００の構成について説明する。
管理装置５００は、具体的には、大容量の記憶装置を有するコンピュータである。管理装置５００は、個人情報記憶部５１と、医療データ記憶部５０１とを有する。医療データ記憶部５０１は、病理情報記憶部５２と、遺伝子情報記憶部５３とを有する。
個人情報記憶部５１には、匿名個人情報５１０が記憶されている。病理情報記憶部５２には、匿名病理情報５２０が記憶されている。遺伝子情報記憶部５３には、匿名遺伝子情報５３０が記憶されている。

【0029】

匿名個人情報５１０には、個人検索用ＩＤ５１１と、個人暗号化ＩＤ５１２と、暗号化個人情報５１３とが対応付けられている。個人検索用ＩＤ５１１は、秘匿検索に用いられる。個人検索用ＩＤ５１１は、個人情報を識別する匿名ＩＤを、個人情報の開示範囲を埋め込んで暗号化した情報である。また、個人暗号化ＩＤ５１２および暗号化個人情報５１３は、匿名ＩＤおよび個人情報を、個人情報の開示範囲を埋め込んで暗号化した情報である。
個人検索用ＩＤ５１１が秘匿検索により抽出されると、個人暗号化ＩＤ５１２は復号され、個人情報、病理診断情報、および遺伝子診断情報を連結する際に用いられる。

【0030】

匿名病理情報５２０には、病理検索用ＩＤ５２１と、病理暗号化ＩＤ５２２と、病理診断情報５２３とが対応付けられている。病理検索用ＩＤ５２１は、秘匿検索に用いられる。病理検索用ＩＤ５２１は、匿名ＩＤを、個人情報に対応する病理診断情報５２３の開示範囲を埋め込んで暗号化した情報である。病理暗号化ＩＤ５２２は、匿名ＩＤを、病理診断情報５２３の開示範囲を埋め込んで暗号化した情報である。医療データである病理診断情報５２３は暗号化せずに記憶されている。
病理検索用ＩＤ５２１が秘匿検索により抽出されると、病理暗号化ＩＤ５２２は復号され、個人情報、病理診断情報、および遺伝子診断情報を連結する際に用いられる。

【0031】

匿名遺伝子情報５３０には、遺伝子検索用ＩＤ５３１と、遺伝子暗号化ＩＤ５３２と、遺伝子診断情報５３３とが対応付けられている。遺伝子検索用ＩＤ５３１は、秘匿検索に用いられる。遺伝子検索用ＩＤ５３１は、匿名ＩＤを、個人情報に対応する遺伝子診断情報５３３の開示範囲を埋め込んで暗号化した情報である。遺伝子暗号化ＩＤ５３２は、匿名ＩＤを、遺伝子診断情報５３３の開示範囲を埋め込んで暗号化した情報である。医療データである遺伝子診断情報５３３は暗号化せずに記憶されている。
遺伝子検索用ＩＤ５３１が秘匿検索により抽出されると、遺伝子暗号化ＩＤ５３２は復号され、個人情報、病理診断情報、および遺伝子診断情報を連結する際に用いられる。

【0032】

病理検索用ＩＤ５２１と遺伝子検索用ＩＤ５３１とは、医療検索用ＩＤ５０１１の例である。病理暗号化ＩＤ５２２と遺伝子暗号化ＩＤ５３２とは、医療暗号化ＩＤ５０１２の例である。また、個人情報記憶部５１と、医療データ記憶部５０１とは、医療ＤＢの例である。

【0033】

図４を用いて、本実施の形態に係る個人情報登録装置３１０の構成について説明する。
個人情報登録装置３１０は、個人情報を管理装置５００に登録する。個人情報登録装置３１０は、具体的には、被験者リクルート機関である。なお、被験者リクルート機関である個人情報登録装置３１０が鍵管理装置２００に鍵を登録してもよい。
個人情報登録装置３１０は、公開鍵取得部３１１と、確定的暗号化部３１２と、個人検索用暗号化部３１３と、個人復号用暗号化部３１４と、登録部３１５とを有する。

【0034】

公開鍵取得部３１１は、鍵管理装置２００から公開鍵情報２５１を取得する。公開鍵情報２５１には、公開鍵Ｋｐ、秘匿検索用の公開鍵ＳＫｐ、暗号化用の公開鍵ＣＫｐ、および権限設定情報２４１が含まれる。
確定的暗号化部３１２は、公開鍵Ｋｐを用いて匿名ＩＤを匿名ＩＤ’に暗号化する。
個人検索用暗号化部３１３は、公開鍵情報２５１に含まれる秘匿検索用の公開鍵ＳＫｐと権限設定情報２４１とを用いて、個人情報の開示範囲を埋め込んで、匿名ＩＤ’を個人検索用ＩＤ５１１として暗号化する。
個人復号用暗号化部３１４は、公開鍵情報２５１に含まれる暗号化用の公開鍵ＣＫｐと権限設定情報２４１とを用いて、個人情報の開示範囲を埋め込んで、個人情報および匿名ＩＤ’を暗号化個人情報５１３および個人暗号化ＩＤ５１２として暗号化する。
登録部３１５は、個人検索用ＩＤ５１１、個人暗号化ＩＤ５１２、および暗号化個人情報５１３を管理装置５００に登録する。

【0035】

図５を用いて、本実施の形態に係る医療データ登録装置３２０の構成について説明する。
医療データ登録装置３２０は、医療データを管理装置５００に登録する。医療データ登録装置３２０は、具体的には、複数の医療機関の各々である。医療データ登録装置３２０は、例えば、病理診断情報を管理装置５００に登録する医療機関Ａおよび遺伝子診断情報を管理装置５００に登録する医療機関Ｂといった複数の医療機関の各々である。
医療データ登録装置３２０は、公開鍵取得部３２１と、確定的暗号化部３２２と、医療検索用暗号化部３２３と、医療復号用暗号化部３２４と、登録部３２５とを有する。

【0036】

公開鍵取得部３２１は、鍵管理装置２００あるいは個人情報登録装置３１０から公開鍵情報２５１を取得する。公開鍵情報２５１には、公開鍵Ｋｐ、秘匿検索用の公開鍵ＳＫｐ、暗号化用の公開鍵ＣＫｐ、および権限設定情報２４１が含まれる。
確定的暗号化部３２２は、公開鍵Ｋｐを用いて匿名ＩＤを匿名ＩＤ’に暗号化する。

【0037】

上述したように、医療機関Ａでは病理診断情報５２３を扱う。よって、医療機関Ａの医療データ登録装置３２０の機能は以下の通りである。
医療検索用暗号化部３２３は、公開鍵情報２５１に含まれる秘匿検索用の公開鍵ＳＫｐと権限設定情報２４１とを用いて、病理診断情報５２３の開示範囲を埋め込んで、匿名ＩＤ’を病理検索用ＩＤ５２１として暗号化する。
医療復号用暗号化部３２４は、公開鍵情報２５１に含まれる暗号化用の公開鍵ＣＫｐと権限設定情報２４１とを用いて、病理診断情報５２３の開示範囲を埋め込んで、匿名ＩＤ’を病理暗号化ＩＤ５２２として暗号化する。
登録部３２５は、病理検索用ＩＤ５２１、病理暗号化ＩＤ５２２、および病理診断情報５２３を管理装置５００に登録する。

【0038】

また、上述したように、医療機関Ｂでは遺伝子診断情報５３３を扱う。よって、医療機関Ｂの医療データ登録装置３２０の機能は以下の通りである。
医療検索用暗号化部３２３は、公開鍵情報２５１に含まれる秘匿検索用の公開鍵ＳＫｐと権限設定情報２４１とを用いて、遺伝子診断情報５３３の開示範囲を埋め込んで、匿名ＩＤ’を遺伝子検索用ＩＤ５３１として暗号化する。
医療復号用暗号化部３２４は、公開鍵情報２５１に含まれる暗号化用の公開鍵ＣＫｐと権限設定情報２４１とを用いて、遺伝子診断情報５３３の開示範囲を埋め込んで、匿名ＩＤ’を遺伝子暗号化ＩＤ５３２として暗号化する。
登録部３２５は、遺伝子検索用ＩＤ５３１、遺伝子暗号化ＩＤ５３２、および遺伝子診断情報５３３を管理装置５００に登録する。

【0039】

病理検索用ＩＤ５２１と遺伝子検索用ＩＤ５３１は医療検索用ＩＤ５０１１の一例である。病理暗号化ＩＤ５２２と遺伝子暗号化ＩＤ５３２は医療暗号化ＩＤ５０１２の一例である。

【0040】

図６を用いて、本実施の形態に係る検索装置４００の構成について説明する。
検索装置４００は、認証部４０１と、鍵取得部４０６と、確定的暗号化部４０２と、検索クエリ生成部４０３と、検索部４０４と、情報生成部４０５とを有する。
認証部４０１は、ユーザ装置６００からユーザを認証するためのユーザ情報を取得し、ユーザを認証する。
鍵取得部４０６は、確定的暗号の公開鍵Ｋｐと、ユーザの属性情報に対応する秘密鍵ＳＫｓ，ＣＫｓとを、鍵管理装置２００に要求する。そして、鍵取得部４０６は、鍵管理装置２００から送信された公開鍵Ｋｐと秘密鍵ＳＫｓ，ＣＫｓとを取得する。
確定的暗号化部３１２は、ユーザから検索対象の匿名ＩＤを検索匿名ＩＤとして取得し、公開鍵Ｋｐを用いて検索匿名ＩＤを暗号化する。
検索クエリ生成部４０３は、ユーザから検索対象の匿名ＩＤを検索匿名ＩＤとして取得し、検索匿名ＩＤを、ユーザの属性情報を埋め込んで暗号化した検索クエリＱを生成する。検索クエリ生成部４０３は、秘匿検索用の秘密鍵ＳＫｓを用いて、ユーザの属性情報が埋め込まれた検索クエリＱを生成する。
検索部４０４は、検索クエリＱを用いて、個人検索用ＩＤ５１１と医療検索用ＩＤ５０１１とに対して秘匿検索を実行する。検索部４０４は、ユーザの属性情報と個人情報の開示範囲と医療データの開示範囲とに基づいて得られた検索結果を出力する。
情報生成部４０５は、検索結果として出力された個人暗号化ＩＤ５１２と医療暗号化ＩＤ５０１２とを、秘密鍵ＣＫｓを用いて復号する。情報生成部４０５は、個人暗号化ＩＤ５１２と医療暗号化ＩＤ５０１２との復号結果が等しい場合に、検索部４０４から出力された検索結果を結果情報として結合する。情報生成部４０５は、秘密鍵ＣＫｓを用いて、結果情報を平文の閲覧情報に復号する。

【0041】

図７を用いて、鍵管理装置２００と個人情報登録装置３１０と医療データ登録装置３２０と検索装置４００と管理装置５００との各装置のハードウェア構成の一例について説明する。以下において、鍵管理装置２００と個人情報登録装置３１０と医療データ登録装置３２０と検索装置４００と管理装置５００との各装置を、医療データ検索システム１００の各装置と記載する場合がある。また、図２から図６に記載した医療データ検索システム１００の各装置の各部を、医療データ検索システム１００の各装置の「部」と記載する場合がある。なお、各装置の「部」には、「記憶部」は含まれないものとする。

【0042】

鍵管理装置２００と個人情報登録装置３１０と医療データ登録装置３２０と検索装置４００と管理装置５００との各装置はコンピュータである。
鍵管理装置２００と個人情報登録装置３１０と医療データ登録装置３２０と検索装置４００と管理装置５００との各装置は、プロセッサ９０１、補助記憶装置９０２、メモリ９０３、通信装置９０４、入力インタフェース９０５、出力インタフェース９０６といったハードウェアを備える。
プロセッサ９０１は、信号線９１０を介して他のハードウェアと接続され、これら他のハードウェアを制御する。

【0043】

入力インタフェース９０５は、入力装置９０７に接続されている。
出力インタフェース９０６は、出力装置９０８に接続されている。

【0044】

プロセッサ９０１は、演算処理を行うＩＣ（Ｉｎｔｅｇｒａｔｅｄ Ｃｉｒｃｕｉｔ）である。プロセッサ９０１は、具体例は、ＣＰＵ（Ｃｅｎｔｒａｌ Ｐｒｏｃｅｓｓｉｎｇ Ｕｎｉｔ）、ＤＳＰ（Ｄｉｇｉｔａｌ Ｓｉｇｎａｌ Ｐｒｏｃｅｓｓｏｒ）、ＧＰＵ（Ｇｒａｐｈｉｃｓ Ｐｒｏｃｅｓｓｉｎｇ Ｕｎｉｔ）である。
補助記憶装置９０２は、具体例は、ＲＯＭ（Ｒｅａｄ Ｏｎｌｙ Ｍｅｍｏｒｙ）、フラッシュメモリ、ＨＤＤ（Ｈａｒｄ Ｄｉｓｋ Ｄｒｉｖｅ）である。
メモリ９０３は、具体例は、ＲＡＭ（Ｒａｎｄｏｍ Ａｃｃｅｓｓ Ｍｅｍｏｒｙ）である。

【0045】

通信装置９０４は、データを受信するレシーバー９０４１およびデータを送信するトランスミッター９０４２を含む。通信装置９０４は、具体例は、通信チップまたはＮＩＣ（Ｎｅｔｗｏｒｋ Ｉｎｔｅｒｆａｃｅ Ｃａｒｄ）である。

【0046】

入力インタフェース９０５は、入力装置９０７のケーブル９１１が接続されるポートである。入力インタフェース９０５は、具体例は、ＵＳＢ（Ｕｎｉｖｅｒｓａｌ Ｓｅｒｉａｌ Ｂｕｓ）端子である。
出力インタフェース９０６は、出力装置９０８のケーブル９１２が接続されるポートである。出力インタフェース９０６は、具体例は、ＵＳＢ端子またはＨＤＭＩ（登録商標）（Ｈｉｇｈ Ｄｅｆｉｎｉｔｉｏｎ Ｍｕｌｔｉｍｅｄｉａ Ｉｎｔｅｒｆａｃｅ）端子である。
入力装置９０７は、具体例は、マウス、キーボードまたはタッチパネルである。
出力装置９０８は、具体例は、ディスプレイであり、例えばＬＣＤ（Ｌｉｑｕｉｄ Ｃｒｙｓｔａｌ Ｄｉｓｐｌａｙ）である。

【0047】

各装置の補助記憶装置９０２には、各装置の「部」の機能を実現するプログラムが記憶されている。なお、各装置の「記憶部」は、補助記憶装置９０２、あるいは、メモリ９０３に設けられる。

【0048】

「部」の機能を実現するプログラムは、１つのプログラムであってもよいし、複数のプログラムから構成されていてもよい。
このプログラムは、メモリ９０３にロードされ、プロセッサ９０１に読み込まれ、プロセッサ９０１によって実行される。

【0049】

更に、補助記憶装置９０２には、ＯＳ（Ｏｐｅｒａｔｉｎｇ Ｓｙｓｔｅｍ）も記憶されている。
そして、ＯＳの少なくとも一部がメモリ９０３にロードされ、プロセッサ９０１はＯＳを実行しながら、「部」の機能を実現するプログラムを実行する。
図７では、１つのプロセッサ９０１が図示されているが、各装置が複数のプロセッサ９０１を備えていてもよい。そして、複数のプロセッサ９０１が各装置の「部」の機能を実現するプログラムを連携して実行してもよい。
また、「部」の処理の結果を示す情報とデータと信号値と変数値との少なくともいずれかが、メモリ９０３、補助記憶装置９０２、または、プロセッサ９０１内のレジスタまたはキャッシュメモリに記憶される。
また、「部」の機能を実現するプログラムは、磁気ディスク、フレキシブルディスク、光ディスク、コンパクトディスク、ブルーレイ（登録商標）ディスク、ＤＶＤ等の記憶媒体に記憶される。

【0050】

「部」を「プロセッシングサーキットリー」で提供してもよい。
また、「部」を「回路」または「工程」または「手順」または「処理」に読み替えてもよい。
「回路」および「プロセッシングサーキットリー」は、プロセッサ９０１だけでなく、ロジックＩＣまたはＧＡ（Ｇａｔｅ Ａｒｒａｙ）またはＡＳＩＣ（Ａｐｐｌｉｃａｔｉｏｎ Ｓｐｅｃｉｆｉｃ Ｉｎｔｅｇｒａｔｅｄ Ｃｉｒｃｕｉｔ）またはＦＰＧＡ（Ｆｉｅｌｄ−Ｐｒｏｇｒａｍｍａｂｌｅ Ｇａｔｅ Ａｒｒａｙ）といった他の種類の処理回路をも包含する概念である。

【0051】

＊＊＊動作の説明＊＊＊
次に、本実施の形態に係る医療データ検索システム１００における医療データ検索方法６１０、および、医療データ検索プログラム６２０による医療データ検索処理Ｓ１００について説明する。
医療データ検索処理Ｓ１００は、個人情報登録処理Ｓ１１０と、医療データ登録処理Ｓ１２０と、検索処理Ｓ１３０とを有する。

【0052】

図８は、本実施の形態に係る個人情報登録処理Ｓ１１０のフローチャートである。
図９は、本実施の形態に係る医療データ登録処理Ｓ１２０のフローチャートである。
図１０は、個人情報登録処理Ｓ１１０と医療データ登録処理Ｓ１２０と示す模式図である。

【0053】

＜個人情報登録処理Ｓ１１０＞
個人情報登録処理Ｓ１１０は、個人情報登録装置３１０により実行される。
ステップＳ１１１において、公開鍵取得部３１１は、鍵管理装置２００から公開鍵情報２５１を取得する。具体的には、図１０の（１）のように、鍵管理装置２００が、公開鍵情報２５１を個人情報登録装置３１０に送付する。
ステップＳ１１２において、確定的暗号化部３１２は、公開鍵情報２５１に含まれる公開鍵Ｋｐを用いて匿名ＩＤを匿名ＩＤ’に暗号化する。ステップＳ１１２は、図１０の（２）に対応する。

【0054】

ステップＳ１１３において、個人検索用暗号化部３１３は、公開鍵情報２５１に含まれる秘匿検索用の公開鍵ＳＫｐと権限設定情報２４１とを用いて、匿名ＩＤ’を個人検索用ＩＤ５１１として暗号化する。
ステップＳ１１４において、個人復号用暗号化部３１４は、公開鍵情報２５１に含まれる暗号化用の公開鍵ＣＫｐと権限設定情報２４１とを用いて、匿名ＩＤ’および個人情報を個人暗号化ＩＤ５１２および暗号化個人情報５１３として暗号化する。
具体的には、図１０の（３）で、個人検索用暗号化部３１３は、個人情報の開示範囲である主治医と遺伝子カウンセラーを埋め込んで、匿名ＩＤ’を個人検索用ＩＤ５１１として暗号化する。また、個人復号用暗号化部３１４は、個人情報の開示範囲である主治医と遺伝子カウンセラーを埋め込んで、匿名ＩＤ’を個人暗号化ＩＤ５１２として暗号化する。また、図１０の（４）では、個人情報が生成される。図１０の（５）では、個人復号用暗号化部３１４は、個人情報の開示範囲である主治医と遺伝子カウンセラーを埋め込んで、個人情報を暗号化個人情報５１３として暗号化する。
ステップＳ１１５において、登録部３１５は、個人検索用ＩＤ５１１、個人暗号化ＩＤ５１２、および暗号化個人情報５１３を管理装置５００に送信する。具体的には、図１０の（６）で、管理装置５００に、匿名個人情報５１０の行が登録される。図１０の（７）で、公開鍵情報２５１が医療データ登録装置３２０である医療機関Ａに送付される。なお、公開鍵情報２５１は、鍵管理装置２００から医療データ登録装置３２０である医療機関Ａに送付されてもよい。

【0055】

＜医療データ登録処理Ｓ１２０＞
医療データ登録処理Ｓ１２０は、医療データ登録装置３２０により実行される。
ステップＳ１２１において、公開鍵取得部３２１は、個人情報登録装置３１０から公開鍵情報２５１を取得する。
ステップＳ１２２において、確定的暗号化部３２２は、公開鍵Ｋｐを用いて匿名ＩＤを匿名ＩＤ’に暗号化する。ステップＳ１２２は、図１０の（８）および（１４）に対応する。

【0056】

ステップＳ１２３において、医療検索用暗号化部３２３は、公開鍵情報２５１に含まれる秘匿検索用の公開鍵ＳＫｐと権限設定情報２４１とを用いて、医療データの開示範囲を埋め込んで、匿名ＩＤ’を医療検索用ＩＤ５０１１として暗号化する。
ステップＳ１２４において、医療復号用暗号化部３２４は、公開鍵情報２５１に含まれる暗号化用の公開鍵ＣＫｐと権限設定情報２４１とを用いて、医療データの開示範囲を埋め込んで、匿名ＩＤ’を医療暗号化ＩＤ５０１２として暗号化する。
ここで、医療検索用ＩＤ５０１１および医療暗号化ＩＤ５０１２の各々には、医療データを研究目的に使用して良いか否かを表すインフォームドコンセント（以下、ＩＣと表記する）に応じて開示範囲を決めてもよい。

【0057】

ＩＣとは、研究者が医療データを研究目的に使用することを許可（同意）しているか否かを表す情報である。すなわち、ＩＣの内容に応じて研究目的に使う研究者も開示範囲に含めるか否かを決めてもよい。もし、ＩＣが許可を表している場合は、研究者の属性情報を埋め込んで暗号化する。一方で、ＩＣが不許可を表している場合は、研究者の属性情報を埋め込まずに暗号化する。この時、医療検索用ＩＤ５０１１および医療暗号化ＩＤ５０１２は、研究者が検索や復号できるデータと、研究者でも検索や復号できないデータのいずれかになる。このような方法により、医療検索用ＩＤ５０１１および医療暗号化ＩＤ５０１２の各々が、医療データを研究目的に使用して良いか否かを表すようにしてもよい。
以下において、ＩＣが同意あるいは許可を表すことを、ＩＣがＯＫであると記載する場合がある。また、ＩＣが非同意あるいは不許可を表すことを、ＩＣがＮＧであると記載する場合がある。

【0058】

医療機関Ａでは、図１０の（９）で、医療検索用暗号化部３２３は、病理診断情報の開示範囲を有する主治医と研究者を埋め込んで、匿名ＩＤ’を病理検索用ＩＤ５２１として暗号化する。医療復号用暗号化部３２４は、病理診断情報の開示範囲を有する主治医と研究者を埋め込んで、匿名ＩＤ’を病理暗号化ＩＤ５２２として暗号化する。このとき、研究者は、ＩＣが病理診断情報の利用を許可する場合のみ埋め込まれる。研究者は、ＩＣが病理診断情報の利用を許可しない場合は埋め込まれない。つまり、ＩＣがＮＧの場合は、開示範囲として主治医のみが埋め込まれる。したがって、医療検索用暗号化部３２３は、主治医と研究者（ＩＣがＮＧの場合は主治医のみ）を埋め込んで、匿名ＩＤ’を病理検索用ＩＤ５２１として暗号化する。医療復号用暗号化部３２４は、主治医と研究者（ＩＣがＮＧの場合は主治医のみ）を埋め込んで、匿名ＩＤ’を病理暗号化ＩＤ５２２として暗号化する。
また、医療機関Ｂでは、図１０の（１５）で、医療検索用暗号化部３２３は、主治医と遺伝子カウンセラーと研究者（ＩＣがＮＧの場合は主治医と遺伝子カウンセラーのみ）を埋め込んで、匿名ＩＤ’を遺伝子検索用ＩＤ５３１として暗号化する。医療復号用暗号化部３２４は、主治医と遺伝子カウンセラーと研究者（ＩＣがＮＧの場合は主治医と遺伝子カウンセラーのみ）を埋め込んで、匿名ＩＤ’を遺伝子暗号化ＩＤ５３２として暗号化する。

【0059】

図１０の（１１）において、病理診断情報５２３が生成される。図１０の（１７）において、遺伝子診断情報５３３が生成される。医療機関Ｂは、遺伝子診断情報５３３を生成するために、病理診断情報５２３を図１０の（１３）で公開鍵情報２５１とともに受け取ってもよい。また、医療機関Ｂは、遺伝子診断情報５３３を生成するために、病理診断情報５２３を管理装置５００から受け取ってもよい。
ステップＳ１２５において、登録部３２５は、医療検索用ＩＤ５０１１、医療暗号化ＩＤ５０１２、および暗号化していない医療データを管理装置５００に送信する。具体的には、図１０の（１２）で、登録部３２５は、病理検索用ＩＤ５２１、病理暗号化ＩＤ５２２、および病理診断情報５２３を匿名病理情報５２０の行として管理装置５００に登録する。そして、図１０の（１３）で、公開鍵情報２５１が医療データ登録装置３２０である医療機関Ｂに送付される。なお、公開鍵情報２５１は、鍵管理装置２００から医療データ登録装置３２０である医療機関Ｂに送付されてもよい。また、図１０の（１８）で、登録部３２５は、遺伝子検索用ＩＤ５３１、遺伝子暗号化ＩＤ５３２、および遺伝子診断情報５３３を匿名遺伝子情報５３０の行として管理装置５００に登録する。

【0060】

＜検索処理Ｓ１３０＞
図１１は、本実施の形態に係る検索処理Ｓ１３０のフローチャートである。
図１２は、主治医がユーザとして管理装置５００を検索する場合を表す模式図である。
検索処理Ｓ１３０は、検索装置４００により実行される。ここでは、ユーザが主治医の場合の検索処理Ｓ１３０について説明する。

【0061】

ステップＳ１３１において、認証部４０１は、ユーザ情報に基づいて、ユーザを認証する。ステップＳ１３１は、図１２の（１）に対応する。
ステップＳ１３２において、認証が成功すると、ユーザである主治医が検索に用いる検索キーとして検索匿名ＩＤを入力する。ユーザ装置６００は、検索匿名ＩＤを含む検索要求を検索装置４００に送信する。ステップＳ１３２は、図１２の（２），（３）に対応する。
ステップＳ１３３において、鍵取得部４０６は、確定的暗号の公開鍵Ｋｐと、ユーザの属性情報に対応する秘密鍵ＳＫｓ，ＣＫｓとを、鍵管理装置２００に要求する。鍵取得部４０６は、鍵管理装置２００の鍵送信部２６０から送信された確定的暗号の公開鍵Ｋｐと、ユーザの属性を表す属性情報に対応する秘密鍵ＳＫｓ，ＣＫｓとを取得する。ステップＳ１３３は、図１２の（４），（５）に対応する。具体的には、鍵取得部４０６は、公開鍵Ｋｐおよび主治医に対応する秘密鍵ＳＫｓ，ＣＫｓを、鍵管理装置２００から取得する。

【0062】

ステップＳ１３４において、確定的暗号化部４０２は、公開鍵Ｋｐを用いて、検索匿名ＩＤに対して確定的暗号化を実行する。ステップＳ１３４は、図１２の（６）に対応する。
ステップＳ１３５において、検索クエリ生成部４０３は、秘匿検索用の秘密鍵ＳＫｓを用いて、ユーザの属性情報が埋め込まれた検索クエリＱを生成する。図１２の（７）では、検索匿名ＩＤとして１１１（確定的暗号化後）が埋め込まれ、ユーザの属性情報として主治医が埋め込まれた検索クエリＱが生成される。

【0063】

ステップＳ１３６において、検索部４０４は、検索クエリＱを用いて、個人検索用ＩＤ５１１と医療検索用ＩＤ５０１１とに対して秘匿検索を実行する。検索部４０４は、ユーザの属性情報と個人情報の開示範囲と医療データの開示範囲とに基づいて得られた検索結果を出力する。具体的には、検索部４０４は、検索クエリＱに埋め込まれたユーザの属性情報が、個人情報の開示範囲を満たす個人検索用ＩＤ５１１に対応する個人暗号化ＩＤ５１２と暗号化個人情報５１３を、検索結果（９）−１として出力する。また、検索部４０４は、検索クエリＱに埋め込まれたユーザの属性情報が医療データの開示範囲を満たす医療検索用ＩＤ５０１１に対応する医療暗号化ＩＤ５０１２と医療データを、検索結果（９）−２，（９）−３として出力する。

【0064】

図１２の（８），（９）では、検索部４０４は、検索匿名ＩＤが１１１（確定的暗号化後）で、かつ、主治医の検索クエリＱを用いて、匿名個人情報５１０と匿名病理情報５２０と匿名遺伝子情報５３０を検索する。
匿名個人情報５１０には主治医が開示範囲に含まれる。よって、検索部４０４は、個人検索用ＩＤ５１１が１１１の個人暗号化ＩＤ５１２と暗号化個人情報５１３とを検索結果として抽出する。
また、匿名病理情報５２０には主治医が開示範囲に含まれる。よって、検索部４０４は、病理検索用ＩＤ５２１が１１１の病理暗号化ＩＤ５２２と病理診断情報５２３とを検索結果として抽出する。
また、匿名遺伝子情報５３０には主治医が開示範囲に含まれる。よって、検索部４０４は、遺伝子検索用ＩＤ５３１が１１１の遺伝子暗号化ＩＤ５３２と遺伝子診断情報５３３とを検索結果として抽出する。

【0065】

ステップＳ１３７において、情報生成部４０５は、検索結果として出力された個人暗号化ＩＤ５１２と医療暗号化ＩＤ５０１２とを復号する。情報生成部４０５は、個人暗号化ＩＤ５１２と医療暗号化ＩＤ５０１２との復号結果が等しい場合に、検索結果として出力された暗号化個人情報５１３と医療データとを結果情報７１として結合する。すなわち、個人暗号化ＩＤ５１２と医療暗号化ＩＤ５０１２とは、個人情報あるいは医療データを結合する際に用いられる情報である。
図１２では、（９）−１の暗号化個人情報５１３と、（９）−２の病理診断情報５２３と、（９）−３の遺伝子診断情報５３３とが検索結果として出力される。図１２の（１０）では、情報生成部４０５は、（９）−１の個人暗号化ＩＤ５１２と、（９）−２の病理暗号化ＩＤ５２２と、（９）−３の遺伝子暗号化ＩＤ５３２とを主治医用の秘密鍵で復号する。情報生成部４０５は、（９）−１の個人暗号化ＩＤ５１２と、（９）−２の病理暗号化ＩＤ５２２と、（９）−３の遺伝子暗号化ＩＤ５３２との復号結果が全て１１１であれば、（９）−１の暗号化個人情報５１３と、（９）−２の病理診断情報５２３と、（９）−３の遺伝子診断情報５３３とを結果情報７１として結合する。情報生成部４０５は、暗号化用の主治医の秘密鍵ＣＫｓを用いて、結果情報７１を閲覧情報７２に復号する。図１２の（１１）では、情報生成部４０５は、結果情報７１のうち暗号化個人情報５１３を平文に復号する。病理診断情報５２３と遺伝子診断情報５３３は平文のままである。そして、情報生成部４０５は、閲覧情報７２を主治医のユーザ装置６００に送信する。

【0066】

次に、図１３を用いて、遺伝子カウンセラーがユーザとして管理装置５００を検索する場合について説明する。
図１３の（１）では、認証部４０１が、ユーザである遺伝子カウンセラーを認証する。
図１３の（２），（３）では、ユーザである遺伝子カウンセラーが検索する検索キーとして検索匿名ＩＤを入力する。ユーザ装置６００は、検索匿名ＩＤを含む検索要求を検索装置４００に送信する。
図１３の（４），（５）では、具体的には、鍵取得部４０６は、公開鍵Ｋｐと、遺伝子カウンセラーに対応する秘密鍵ＳＫｓ，ＣＫｓとを、鍵管理装置２００から取得する。
図１３の（６）では、確定的暗号化部４０２は、公開鍵Ｋｐを用いて、検索匿名ＩＤに対して確定的暗号化を実行する。
図１３の（７）では、検索匿名ＩＤとして１１１（確定的暗号化後）が埋め込まれ、ユーザの属性情報として遺伝子カウンセラーが埋め込まれた検索クエリＱが生成される。
図１３の（８），（９）では、検索部４０４は、検索匿名ＩＤが１１１（確定的暗号化後）で、かつ、遺伝子カウンセラーの検索クエリＱを用いて、匿名個人情報５１０と匿名病理情報５２０と匿名遺伝子情報５３０を秘匿検索する。
匿名個人情報５１０には遺伝子カウンセラーが開示範囲に含まれる。よって、検索部４０４は、個人検索用ＩＤ５１１が１１１の個人暗号化ＩＤ５１２と暗号化個人情報５１３とを検索結果（９）−１として抽出する。
また、匿名病理情報５２０には遺伝子カウンセラーが開示範囲に含まれない。よって、検索部４０４は、匿名病理情報５２０ではヒットしない。
また、匿名遺伝子情報５３０には遺伝子カウンセラーが開示範囲に含まれる。よって、検索部４０４は、遺伝子検索用ＩＤ５３１が１１１の遺伝子暗号化ＩＤ５３２と遺伝子診断情報５３３とを検索結果（９）−３として抽出する。
図１３では、（９）−１の暗号化個人情報５１３と、（９）−３の遺伝子診断情報５３３とが検索結果として出力される。
図１３の（１０）では、情報生成部４０５は、（９）−１の個人暗号化ＩＤ５１２と、（９）−３の遺伝子暗号化ＩＤ５３２との復号結果が全て１１１であれば、（９）−１の暗号化個人情報５１３と、（９）−３の遺伝子診断情報５３３とを結果情報７１として結合する。
図１３の（１１）では、情報生成部４０５は、暗号化用の遺伝子カウンセラーの秘密鍵ＣＫｓを用いて、結果情報７１を閲覧情報７２に復号する。そして、情報生成部４０５は、閲覧情報７２を遺伝子カウンセラーのユーザ装置６００に送信する。

【0067】

次に、図１４を用いて、研究者がユーザとして管理装置５００を検索する場合について説明する。図１４の匿名病理情報５２０と匿名遺伝子情報５３０では、説明を分かり易くするために、ＩＣがＯＫであるかＮＧであるかを表している。すなわち、ＩＣがＯＫの場合は研究者が開示範囲として埋め込まれているが、ＩＣがＮＧの場合は研究者が開示範囲として埋め込まれていない。

【0068】

図１４の（１）では、認証部４０１が、ユーザである研究者を認証する。
図１４の（２），（３）では、ユーザである研究者が検索する検索キーとして病理診断を入力する。ユーザ装置６００は、病理診断を含む検索要求を検索装置４００に送信する。ここでは、研究者が検索したい病理診断として「かぜ」が入力されたものとする。
図１４の（４），（５）では、具体的には、確定的暗号化部４０２は、公開鍵Ｋｐと、研究者に対応する秘密鍵ＳＫｓ，ＣＫｓとを、鍵管理装置２００から取得する。なお、研究者が、匿名ＩＤではなく、病理診断あるいは遺伝子診断を検索キーとして検索する場合には、公開鍵Ｋｐは取得しなくてもよい。
図１４の（６）では、検索部４０４は、「かぜ」を検索キーとして匿名病理情報５２０を検索する。検索部４０４は、病理診断情報５２３に「かぜ」を含む行を抽出する。抽出された行には、病理検索用ＩＤ５２１と病理暗号化ＩＤ５２２と病理診断情報５２３が含まれる。
図１４の（６）では、検索部４０４は、秘匿検索ではなく、病理診断を検索キーとする単純な検索を実行している。よって、検索部４０４は、病理診断情報５２３に「かぜ」を含む行を全て抽出する。図１４の（７）では、検索部４０４は、匿名ＩＤ’が２２２でＩＣがＮＧの行と、匿名ＩＤ’が３３３でＩＣがＯＫの行とを抽出している。

【0069】

図１４の（８）では、情報生成部４０５は、暗号化用の研究者の秘密鍵ＣＫｓで、抽出した行の匿名ＩＤ’（病理暗号化ＩＤ５２２）を復号する。このとき、図１４の（８）−１のように、ＩＣがＮＧの行の病理暗号化ＩＤ５２２には、研究者が埋め込まれていないため、匿名ＩＤ’を復号することはできない。また、図１４の（８）−２では、ＩＣがＯＫであり、病理暗号化ＩＤ５２２に研究者が埋め込まれているため、匿名ＩＤ’を復号することができる。

【0070】

図１４の（９）では、復号された匿名ＩＤ’である３３３が埋め込まれ、かつ、ユーザの属性情報として研究者が埋め込まれた検索クエリＱが生成される。
図１４の（１０），（１１）では、検索部４０４は、匿名ＩＤ’として３３３と、開示範囲として研究者とが埋め込まれた検索クエリＱを用いて、匿名個人情報５１０と匿名遺伝子情報５３０を秘匿検索する。
匿名個人情報５１０には研究者が開示範囲に含まれない。よって、図１４の（１１）−１のように、検索部４０４は、匿名個人情報５１０ではヒットしない。
また、匿名遺伝子情報５３０にはＩＣがＯＫの研究者が開示範囲に含まれる。よって、検索部４０４は、図１４の（１１）−２のように、遺伝子検索用ＩＤ５３１が３３３の行の遺伝子暗号化ＩＤ５３２と遺伝子診断情報５３３とを検索結果として抽出する。遺伝子検索用ＩＤ５３１が２２２の行は、ＩＣがＮＧであり、遺伝子暗号化ＩＤ５３２に研究者が埋め込まれていないため、抽出されない。
図１４では、（８）−１の病理診断情報５２３、（８）−２の病理暗号化ＩＤ５２２および病理診断情報５２３、および（１１）−２の遺伝子暗号化ＩＤ５３２および遺伝子診断情報５３３が検索結果として出力される。
図１４の（１２）では、情報生成部４０５は、（８）−２の病理暗号化ＩＤ５２２と、（１１）−２の遺伝子暗号化ＩＤ５３２との復号結果が等しければ、（８）−２の病理診断情報５２３と、（１１）−２の遺伝子診断情報５３３とを結果情報７１ａとして結合する。（８）−１の病理診断情報５２３は匿名ＩＤが不明であるため、他の情報と結合することはできない。
そして、検索装置４００は、結果情報７１と、（８）−１の病理診断情報５２３とを合わせて閲覧情報７２ａとして、研究者のユーザ装置６００に送信する。

【0071】

＊＊＊他の構成＊＊＊
本実施の形態では、医療データ検索システム１００の各装置の「部」の機能がソフトウェアで実現されるが、変形例として、医療データ検索システム１００の各装置の「部」の機能がハードウェアで実現されてもよい。医療データ検索システム１００の各装置は、プロセッサ９０１に替えて処理回路を備えていてもよい。

【0072】

処理回路は、上述した各装置の「部」の機能を実現する専用の電子回路である。処理回路は、具体的には、単一回路、複合回路、プログラム化したプロセッサ、並列プログラム化したプロセッサ、ロジックＩＣ、ＧＡ（Ｇａｔｅ Ａｒｒａｙ）、ＡＳＩＣ（Ａｐｐｌｉｃａｔｉｏｎ Ｓｐｅｃｉｆｉｃ Ｉｎｔｅｇｒａｔｅｄ Ｃｉｒｃｕｉｔ）、または、ＦＰＧＡ（Ｆｉｅｌｄ−Ｐｒｏｇｒａｍｍａｂｌｅ Ｇａｔｅ Ａｒｒａｙ）である。

【0073】

医療データ検索システム１００の各装置の「部」の機能は、１つの処理回路で実現されてもよいし、複数の処理回路に分散して実現されてもよい。

【0074】

別の変形例として、医療データ検索システム１００の各装置の「部」の機能がソフトウェアとハードウェアとの組合せで実現されてもよい。即ち、各装置の一部の機能が専用のハードウェアで実現され、残りの機能がソフトウェアで実現されてもよい。

【0075】

プロセッサ９０１、記憶装置９２０、および処理回路を、総称して「プロセッシングサーキットリー」という。つまり、医療データ検索システム１００の各装置の「部」の機能は、プロセッシングサーキットリーにより実現される。

【0076】

「部」を「工程」または「手順」または「処理」に読み替えてもよい。また、「部」の機能をファームウェアで実現してもよい。

【0077】

＊＊＊本実施の形態の効果の説明＊＊＊
本実施の形態に係る医療データ検索システム１００では、管理装置に記憶された個人情報および医療データに、開示範囲を埋め込みつつ秘匿検索技術により暗号化した匿名ＩＤを対応付けている。よって、本実施の形態に係る医療データ検索システム１００によれば、匿名ＩＤを暗号化したままアクセス制御付きの秘匿検索をすることができる。よって、ユーザに応じて、データの部分的な開示、あるいは、データの部分的な連結が可能となる。また、鍵管理および暗号文管理も煩雑にならず、管理の負担を軽減することができる。

【0078】

本実施の形態に係る医療データ検索システム１００では、個人情報および医療データの開示範囲を設定した権限設定情報に基づいて、個人情報および医療データを管理装置に登録できる。よって、本実施の形態に係る医療データ検索システム１００によれば、個人情報および医療データの開示範囲の変更が容易となる。

【0079】

本実施の形態に係る医療データ検索システム１００では、医療データを研究目的に使用して良いか否かを表すＩＣに応じて情報を暗号化できる。よって、本実施の形態に係る医療データ検索システム１００によれば、きめ細やかなアクセス制御が可能となる。

【0080】

本実施の形態に係る医療データ検索システム１００では、秘匿検索用及び復号用のどちらの匿名ＩＤもアクセス制御付きの秘匿検索技術により暗号化している。よって、本実施の形態に係る医療データ検索システム１００によれば、セキュリティ性が高く、かつ、的確なアクセス制御が可能となる。

【0081】

また、本実施の形態では、医療データ検索システムは、鍵管理装置、個人情報登録装置、医療データ登録装置、検索装置、および管理装置を備え、各装置が１つのコンピュータである場合について説明した。しかし、例えば、鍵管理装置と個人情報登録装置とが１つのコンピュータであってもよい。また、検索装置と管理装置とが１つのコンピュータであってもよい。また、全ての装置が１つのコンピュータで実現されていても構わない。上記の実施の形態で説明した機能を実現することができれば、医療データ検索システムの各装置をどのように組み合わせて医療データ検索システムを構成しても構わない。

【0082】

また、医療データ検索システムの各装置において、「部」として説明するもののうち、いずれか１つのみを採用してもよいし、いくつかの任意の組合せを採用してもよい。つまり、医療データ検索システムの各装置の機能ブロックは、上記の実施の形態で説明した機能を実現することができれば、任意である。これらの機能ブロックを、どのような組合せで各装置を構成しても構わない。

【0083】

また、本実施の形態のうち、複数を部分的に組合せて実施しても構わない。あるいは、本実施の形態のうち、１つの発明を部分的に実施しても構わない。その他、本実施の形態を、全体としてあるいは部分的に、どのように組合せて実施しても構わない。
なお、上記の実施の形態は、本質的に好ましい例示であって、本発明、その適用物や用途の範囲を制限することを意図するものではなく、必要に応じて種々の変更が可能である。

【符号の説明】

【0084】

１００ 医療データ検索システム、２００ 鍵管理装置、２１０ 確定的鍵記憶部、２２０ 秘匿検索用鍵記憶部、２３０ 暗号化用鍵記憶部、２４０ 情報記憶部、２４１ 権限設定情報、２５０ 公開鍵情報送信部、２５１ 公開鍵情報、２６０ 鍵送信部、３１０ 個人情報登録装置、３１１，３２１ 公開鍵取得部、３１２，３２２，４０２ 確定的暗号化部、３１３ 個人検索用暗号化部、３１４ 個人復号用暗号化部、３１５，３２５ 登録部、３２０ 医療データ登録装置、３２３ 医療検索用暗号化部、３２４ 医療復号用暗号化部、４００ 検索装置、４０１ 認証部、４０３ 検索クエリ生成部、４０４ 検索部、４０５ 情報生成部、４０６ 鍵取得部、５００ 管理装置、６００ ユーザ装置、５１ 個人情報記憶部、５０１ 医療データ記憶部、５２ 病理情報記憶部、５３ 遺伝子情報記憶部、５１０ 匿名個人情報、５１１ 個人検索用ＩＤ、５１２ 個人暗号化ＩＤ、５１３ 暗号化個人情報、５２０ 匿名病理情報、５２１ 病理検索用ＩＤ、５２２ 病理暗号化ＩＤ、５２３ 病理診断情報、５３０ 匿名遺伝子情報、５３１ 遺伝子検索用ＩＤ、５３２ 遺伝子暗号化ＩＤ、５３３ 遺伝子診断情報、５０１１ 医療検索用ＩＤ、５０１２ 医療暗号化ＩＤ、６１０ 医療データ検索方法、６２０ 医療データ検索プログラム、７１，７１ａ 結果情報、７２，７２ａ 閲覧情報、９０１ プロセッサ、９０２ 補助記憶装置、９０３ メモリ、９０４ 通信装置、９０４１ レシーバー、９０４２ トランスミッター、９０５ 入力インタフェース、９０６ 出力インタフェース、９０７ 入力装置、９０８ 出力装置、９１１，９１２ ケーブル、Ｓ１００ 医療データ検索処理、Ｓ１１０ 個人情報登録処理、Ｓ１２０ 医療データ登録処理、Ｓ１３０ 検索処理、Ｑ 検索クエリ、Ｋｐ，ＳＫｐ，ＣＫｐ 公開鍵、Ｋｓ，ＳＫｓ，ＣＫｓ 秘密鍵。

【図1】

【図2】

【図3】

【図4】

【図5】

【図6】

【図7】

【図8】

【図9】

【図10】

【図11】

【図12】

【図13】

【図14】