特開 2022-150525 処理システム、処理方法及び処理プログラム

(19)【発行国】日本国特許庁(JP)

(12)【公報種別】公開特許公報(A)

(11)【公開番号】P2022150525

(43)【公開日】2022-10-07

(54)【発明の名称】処理システム、処理方法及び処理プログラム

(51)【国際特許分類】

   G06F 21/62 20130101AFI20220929BHJP

【ＦＩ】

G06F21/62 354

【審査請求】有

【請求項の数】6

【出願形態】ＯＬ

(21)【出願番号】P 2021053163

(22)【出願日】2021-03-26

(11)【特許番号】

(45)【特許公報発行日】2022-08-15

(71)【出願人】

【識別番号】399035766

【氏名又は名称】エヌ・ティ・ティ・コミュニケーションズ株式会社

(74)【代理人】

【識別番号】110002147

【氏名又は名称】弁理士法人酒井国際特許事務所

(72)【発明者】

【氏名】田中 哲士

(72)【発明者】

【氏名】櫻井 陽一

(72)【発明者】

【氏名】澤田 匡史

(57)【要約】

【課題】秘密計算上のデータを利用する際に、個人情報の第三者提供による同意取得を不要とすることができる。
【解決手段】処理システム１００は、登録者装置が有する登録データを、断片化したシェアの状態で複数のサーバに分散保管する処理システムであって、複数のサーバ２０Ａ～２０Ｃのそれぞれは、シェアに対して匿名化を行う匿名化部と、匿名化が行われた匿名加工情報をシェアの状態で提供する加工情報提供部と、を有する。
【選択図】図１

【特許請求の範囲】

【請求項1】

登録者装置が有する登録データを、断片化したシェアの状態で複数のサーバに分散保管する処理システムであって、
前記複数のサーバのそれぞれは、
前記シェアに対して匿名化を行う匿名化部と、
前記匿名化が行われた匿名加工情報をシェアの状態で提供する提供部と、
を有することを特徴とする処理システム。

【請求項2】

前記匿名化部は、前記複数のサーバ間でデータの演算と交換とを行うマルチパーティ計算を行うことで、前記シェアに対する匿名化を行うことを特徴とする請求項１に記載の処理システム。

【請求項3】

前記登録者装置は、
前記登録データを複数のシェアに断片化し、分割したシェアを前記複数のサーバにそれぞれ分散して登録させる登録部と、
匿名化の加工方法を選択する選択部と、
前記匿名化部によって匿名化が行われた匿名加工情報に対する匿名性及び有用性に関する評価を行い、前記匿名加工情報が前記匿名性及び前記有用性を有する場合には、前記匿名加工情報の提供許可を前記複数のサーバに通知する評価部と、
を有し、
前記匿名化部は、前記選択部によって選択された匿名化の加工方法を用いて前記シェアに対する匿名化を行い、
前記提供部は、前記匿名加工情報の提供の許可を通知された前記匿名加工情報を提供することを特徴とする請求項１または２に記載の処理システム。

【請求項4】

前記選択部は、前記登録部によって前記シェアが前記複数のサーバにそれぞれ分散して登録された後に、前記匿名化の加工方法を選択することを特徴とする請求項３に記載の処理システム。

【請求項5】

前記選択部は、前記登録部によって前記シェアが前記複数のサーバにそれぞれ分散して登録された後であって、利用者装置から計算処理を要求された場合に、要求された計算処理に応じた匿名化の加工方法を選択することを特徴とする請求項３に記載の処理システム。

【請求項6】

登録者装置が有する登録データを、断片化したシェアの状態で複数のサーバに分散保管する処理システムが実行する処理方法であって、
前記複数のサーバのそれぞれは、
前記シェアに対して匿名化を行う工程と、
前記匿名化が行われた匿名加工情報をシェアの状態で提供する工程と、
を含んだことを特徴とする処理方法。

【請求項7】

方法をコンピュータに実行させる処理プログラムであって、
複数のサーバとしてのコンピュータに、
前記複数のサーバのそれぞれが、登録データを断片化したシェアの状態で分散保管するステップと、
前記複数のサーバのそれぞれが、前記シェアに対して匿名化を行うステップと、
前記複数のサーバのそれぞれが、前記匿名化が行われた匿名加工情報をシェアの状態で提供するステップと、
を実行させることを特徴とする処理プログラム。

【発明の詳細な説明】

【技術分野】

【0001】

本発明は、処理システム、処理方法及び処理プログラムに関する。

【背景技術】

【0002】

医療情報等の重要情報を取り扱う事業者は、法規制や特定分野ガイドラインに準拠したセキュリティ対策だけでなく、情報を安全に利活用することが求められている。特に、分野横断的なデータの蓄積やデータの利活用は、イノベーションを促進し、経済成長など様々な分野の発展につながることが期待される一方、データ開示に伴うリスクや、企業戦略等の保護の観点から、データ利活用促進を阻害する要因となっている。

【0003】

そこで、これら相反する要求を実現できる技術として、秘密計算が提案されている。秘密計算は、機微データを秘匿し、互いに開示することなく結果のみを返す技術である。

【先行技術文献】

【特許文献】

【0004】

【特許文献1】国際公開第２０１９／１２４２６０号

【特許文献2】特開２０２０－０４２１２８号公報

【非特許文献】

【0005】

【非特許文献1】日本電信電話株式会社，秘密計算のシステムとその原理, ［online］，［令和３年３月５日検索］、インターネット＜ＵＲＬ：ttps://www.rd.ntt/sc/project/data-security/NTT-himitsu-keisan.pdf＞

【非特許文献2】桐淵 直人, 五十嵐 大, 濱田 浩気, 菊池 亮, “プログラマブルな秘密計算ライブラリMEVAL3”, 暗号と情報セキュリティシンポジウム(SCIS), 2018.

【非特許文献3】Eizen Kimura, Koki Hamada, Ryo Kikuchi, Koji Chida, Kazuya Okamoto, Shirou Manabe, Tomohiro Kuroda, Yasushi Matsumura, Toshihiro Takeda, and Naoki Mihara, “Evaluation of Secure Computation in a Distributed Healthcare Setting”, Medical Informatics Europe (MIE) 2016: 152-156.

【非特許文献4】Koji Chida, Gembu Morohashi, Hitoshi Fuji, Fumihiko Magata, Akiko Fujimura, Koki Hamada, Dai Ikarashi, Ryuichi Yamamoto, “Implementation and evaluation of an efficient secure computation system using 'R' for healthcare statistics”, J Am Med Inform Assoc. 21, pp.326-331, 2014.

【発明の概要】

【発明が解決しようとする課題】

【0006】

秘密計算では、データを秘密分散で秘匿しているが、現行法では秘密分散も暗号化の一種であり、個人情報の取り扱いになる。このため、第三者が、秘密計算による、組織間のデータを連携した横断分析を実現しようとすると、分析時に第三者が暗号文の形式ではあるもののデータに触れることとなり、個人情報の第三者提供が発生する。したがって、秘密計算では、個人情報の第三者提供に対する同意取得を回避することができないという問題があった。

【0007】

本発明は、上記に鑑みてなされたものであって、秘密計算上のデータを利用する際に、個人情報の第三者提供による同意取得を不要とすることができる処理システム、処理方法及び処理プログラムを提供することを目的とする。

【課題を解決するための手段】

【0008】

上述した課題を解決し、目的を達成するために、本発明の処理システムは、登録者装置が有する登録データを、断片化したシェアの状態で複数のサーバに分散保管する処理システムであって、複数のサーバのそれぞれは、シェアに対して匿名化を行う匿名化部と、匿名化が行われた匿名加工情報をシェアの状態で提供する提供部と、を有することを特徴とする。

【発明の効果】

【0009】

本発明によれば、秘密計算上のデータを利用する際に、個人情報の第三者提供による同意取得を不要とすることができる。

【図面の簡単な説明】

【0010】

【図1】図１は、実施の形態に係る処理システムの構成の一例を示すブロック図である。

【図2】図２は、実施の形態に係る処理システムの処理の概要を説明する図である。

【図3】図３は、実施の形態に係る処理システムの処理の概要を説明する図である。

【図4】図４は、登録者装置の構成の一例を模式的に示す図である。

【図5】図５は、実施の形態に係る処理システムの処理の概要を説明する図である。

【図6】図６は、サーバの構成の一例を模式的に示す図である。

【図7】図７は、利用者装置の構成の一例を模式的に示す図である。

【図8】図８は、処理システムが実行する秘密計算の処理手順を示すシーケンス図である。

【図9】図９は、実施の形態に係る処理システムの処理の概要の他の例を説明する図である。

【図10】図１０は、処理システムが実行する秘密計算の他の処理手順を示すシーケンス図である。

【図11】図１１は、プログラムを実行するコンピュータを示す図である。

【発明を実施するための形態】

【0011】

以下に、本願に係る処理システム、処理方法及び処理プログラムの実施の形態を図面に基づいて詳細に説明する。なお、この実施の形態により本願に係る処理システム、処理方法及び処理プログラムが限定されるものではない。

【0012】

以下の実施の形態では、実施の形態に係る処理システム、処理方法及び処理プログラムの処理の流れを順に説明し、最後に実施の形態による効果を説明する。

【0013】

［実施の形態］
まず、実施の形態について説明する。実施の形態では、データを暗号化したまま計算できる秘密計算において、秘密計算上で、元のデータに匿名化を施すことで、個人が特定されない匿名加工情報を第三者に提供する。これによって、本実施の形態では、秘密計算上のデータを利用する際の、個人情報の第三者提供による同意取得を不要としている。

【0014】

［処理システムの構成及び処理の概要］
実施の形態に係る処理システムの構成及び処理システムにおける処理の概要を説明する。図１は、実施の形態に係る処理システムの構成の一例を示すブロック図である。図２及び図３は、実施の形態に係る処理システムの処理の概要を説明する図である。

【0015】

実施の形態に係る処理システム１００では、データを暗号化したまま計算できる秘密計算を実行するシステムである。処理システム１００では、データを、複数のシェアと呼ばれる断片に分割し、これらのシェアを複数のサーバに分散保管させた状態で、複数のサーバが、定められた手順に従って複数のサーバ間でデータの演算と交換を行うマルチパーティ計算を行うことで秘密計算を実行する。個々のシェアはそれぞれ意味のないデータになっており、シェア一つだけでは元データを復元できず情報は洩れないが、ある一定数以上のシェアが揃うと元のデータを復元することができる。

【0016】

以降では、処理システム１００が、図１に示すように、データ登録者Ａの登録者装置１０と、データセンター（ＤＣ）内のサーバ２０Ａ，２０Ｂ，２０Ｃと、計算依頼を行うデータ利用者Ｂの利用者装置３０とで構成される例について説明する。なお、図１に示す構成は一例に過ぎず、具体的な構成や各装置の数は特に限定されない。また、説明の容易化のために、登録者装置１０と利用者装置３０とを分けて説明するが、実際の運用では、登録者装置１０が有する機能を利用者装置３０が有していてもよい。

【0017】

まず、データ保管の処理について説明する。登録者装置１０は、ＤＣのサーバ２０Ａ～２０Ｃに登録データ（例えば、テーブルＴａ）をアップロードし登録を行う（図２の（１））。例えば、登録データは、医療の診療データや日々のバイタルデータ等である。登録者装置１０は、アップロード対象の元データＤａを、それぞれ、シェアＳａ１～Ｓａ３に断片化する（図３の（１））。登録者装置１０は、断片化した各シェアＳａ１～Ｓａ３を、ＤＣのサーバ２０Ａ～２０Ｃに、分散して保管させる（図３の（１））。

【0018】

例えば、図３に示すように、サーバ２０Ａは、シェアＳａ１を保管し、サーバ２０Ｂは、シェアＳａ２を保管し、サーバ２０Ｃは、シェアＳａ３，Ｓｂ３を保管する。そして、サーバ２０Ａ～２０Ｃ単体では、シェアＳａ１～Ｓａ３を、元データに復元することができない。このため、個々のシェアＳａ１～Ｓａ３からは情報が漏れない。

【0019】

これによって、元データＤａは、暗号化され参照不可となる。すなわち、攻撃者が断片化されたシェアの一部を不正取得しても元データを復元することはできない。また、元データを自身で保有するデータ登録者以外は、システム管理者であっても、ＤＣのサーバ２０Ａ～２０Ｃから元データを参照することはできない。このように、処理システム１００では、安全な環境にデータを分散保管、すなわち、秘密分散することができる（図３の（２））。

【0020】

そして、サーバ２０Ａ～２０Ｃは、それぞれ保管するシェアＳａ１～Ｓａ３に対して、匿名化を行う（図２の（２）、図３の（２））。サーバ２０Ａ～２０Ｃは、サーバ２０Ａ～２０Ｃ間でデータの演算と交換とを行うマルチパーティ計算を行うことで、シェアに対する匿名化を行う。マルチパーティ計算では、複数のサーバが一体となって計算を行う。そして、マルチパーティ計算では、常に秘密分散のシェアの状態でデータを扱う。サーバ２０Ａ～２０Ｃは、匿名化が行われた匿名加工情報（例えば、匿名加工テーブルＴａ´）をシェアの状態で、例えば、テナントＢに提供する（図２の（３））。

【0021】

そして、データ利用者Ｂが利用する利用者装置３０から、ＤＣのサーバ２０Ａ～２０Ｃが保管するデータに対する計算要求を行う（図２の（４））。この際、利用者装置３０では、要求に応じた計算処理の処理手順を設定し、設定した処理手順をサーバ２０Ａ～２０Ｃにそれぞれ送信する。

【0022】

そして、サーバ２０Ａ～２０Ｃは、匿名化において変換された匿名加工テーブルＴａ´を用いて、利用者装置３０が設定した処理手順に従って、要求された計算処理を行う。サーバ２０Ａ～２０Ｃは、復元することなく、シェアの状態でデータを扱うマルチパーティ計算を行うことで計算（秘密計算）を行う（図２の（５））。

【0023】

各サーバ２０Ａ～２０Ｃは、秘密計算が終了すると、暗号化されたままの計算結果を利用者装置３０にそれぞれ送信する（図２の（６））。利用者装置３０は、受信した各計算結果を復元することで、要求した計算結果のみを取得することができる。この計算結果は、個人が特定されない匿名化された情報を基に計算された結果である。したがって、秘密計算において、第三者による横断分析を行う際であっても、匿名化することで、個人が特定されない形の結果を得ることができ、第三者提供による同意の取得は不要となる。

【0024】

［登録者サーバ］
続いて、処理システム１００の各装置の構成について説明する。まず、登録者装置１０の構成について説明する。図４は、登録者装置１０の構成の一例を模式的に示す図である。図５は、実施の形態に係る処理システムの処理の概要を説明する図である。図４及び図５を参照して、登録者装置１０の構成について説明する。

【0025】

登録者装置１０は、ＲＯＭ（Read Only Memory）、ＲＡＭ（Random Access Memory）、ＣＰＵ（Central Processing Unit）等を含むコンピュータ等に所定のプログラムが読み込まれて、ＣＰＵが所定のプログラムを実行することで実現される。また、登録者装置１０は、ネットワーク等を介して接続された他の装置との間で、各種情報を送受信する通信インタフェースを有する。例えば、登録者装置１０は、ＮＩＣ（Network Interface Card）等を有し、ＬＡＮ（Local Area Network）やインターネットなどの電気通信回線を介した他の装置との間の通信を行う。そして、登録者装置１０は、タッチパネル、音声入力デバイス、キーボードやマウス等の入力デバイス、液晶ディスプレイなどの表示装置を有し、情報の入出力を行う。登録者装置１０は、登録データ選択部１１、登録部１２、匿名化の加工方法選択部１３（選択部）、及び、評価部１４を有する。

【0026】

登録データ選択部１１は、登録者装置１０の操作者の操作にしたがって、データ登録者ＡのＤＢに登録されているデータの中から、サーバ２０Ａ～２０Ｃに秘密分散にて保管するデータを選択する。

【0027】

登録部１２は、登録データ選択部１１が選択したデータを複数のシェアに分割し、分割したシェアをサーバ２０Ａ～２０Ｃにそれぞれ分散して登録させる（図５の（１））。例えば、登録者装置１０の操作者は、Ｗｅｂブラウザで展開された、処理システム１００用のＷｅｂＵＩ画面を介して、登録データの選択やシェアの分散保管要求を行う。

【0028】

匿名化の加工方法選択部１３は、データ登録者Ａによる操作にしたがって、サーバ２０Ａ～２０Ｃに登録されたデータ（図５のテーブルＴａ）に対する匿名化の加工方法を選択し、選択した匿名化の加工方法での匿名化を要求する（図５の（２－１））。匿名化の加工方法は、例えば、項目削除／レコード削除／セル削除、一般化、ミクロアグリゲーション、データ交換（スワップ）、ノイズ（誤差）の付加、疑似データ生成がある。匿名化の加工方法選択部１３は、登録部１２によってシェアがサーバ２０Ａ～２０Ｃにそれぞれ分散して登録された後に、匿名化の加工方法を選択する。なお、匿名化の加工方法選択部１３は、予め規定されたルールにしたがって、匿名化の加工方法を自動選択してもよい。

【0029】

評価部１４は、サーバ２０Ａ～２０Ｃによって匿名化が行われた匿名加工情報（例えば、図５の匿名加工テーブルＴａ´）に対する匿名性及び有用性に関する評価を行い（図５の（２－３））、匿名加工情報が匿名性及び有用性を有する場合には、匿名加工情報の提供許可をサーバ２０Ａ～２０Ｃに通知する。匿名性は、例えば、匿名加工情報がｋ－匿名性を満たすか否かを基に判定される。ｋの値は、元のデータの種別や記載内容に応じて設定される。また、有用性は、例えば、元のデータと匿名加工情報との文字列の照合や、匿名加工情報の記載内容の平均値或いは分散値の、元のデータからの乖離度を基に判定される。

【0030】

評価部１４は、サーバ２０Ａ～２０Ｃによって匿名化が行われた匿名加工テーブルＴａ´をデータ登録者Ａに提示し、データ登録者Ａの操作にしたがって、匿名加工テーブルＴａ´の匿名性及び有用性に関する評価の結果を受け付ける。そして、評価部１４は、匿名加工テーブルＴａ´が匿名性及び有用性を有するとの評価結果を受け付けた場合には、匿名加工テーブルＴａ´の提供許可をサーバ２０Ａ～２０Ｃに通知する。そして、評価部１４は、匿名加工テーブルＴａ´が匿名性及び有用性を有しないとの評価結果を受け付けた場合には、匿名加工テーブルＴａ´の廃棄をサーバ２０Ａ～２０Ｃに通知し、匿名化の加工方法選択部１３による匿名化の加工方法の選択から処理を繰り返す。

【0031】

評価部１４は、予め規定されたルールにしたがって、匿名性及び有用性を自動判定してもよい。例えば、元のデータの種別等に応じて、予め、ｋ－匿名性のｋ値や、有用性判定用の乖離度の閾値が設定されている。そして、評価部１４は、設定にしたがって、匿名加工情報のｋ－匿名性を求め、ｋ－匿名性を満たす場合には、匿名加工情報に匿名性があると判定する。続いて、評価部１４は、匿名加工情報の記載内容の平均値の、元のデータからの乖離度を求め、その乖離度が閾値以下である場合には、匿名加工情報に有用性があると判定する。

【0032】

［サーバ］
次に、サーバ２０Ａの構成について説明する。図６は、サーバ２０Ａの構成の一例を模式的に示す図である。なお、サーバ２０Ａ．２０Ｂは、サーバ２０Ａと同様の機能を有する。

【0033】

サーバ２０Ａは、ＲＯＭ、ＲＡＭ、ＣＰＵ等を含むコンピュータ等に所定のプログラムが読み込まれて、ＣＰＵが所定のプログラムを実行することで実現される。また、サーバ２０Ａは、ネットワーク等を介して接続された他の装置との間で、各種情報を送受信する通信インタフェースを有する。例えば、サーバ２０Ａは、ＮＩＣ等を有し、ＬＡＮやインターネットなどの電気通信回線を介した他の装置との間の通信を行う。そして、サーバ２０Ａは、タッチパネル、音声入力デバイス、キーボードやマウス等の入力デバイス、液晶ディスプレイなどの表示装置を有し、情報の入出力を行う。サーバ２０Ａは、シェアＤＢ２１、登録部２２、匿名化部２３、加工情報提供部２４（提供部）、計算手順受け取り部２５、計算処理部２６及び計算結果送信部７６を有する。

【0034】

シェアＤＢ２１は、登録者装置１０から登録を要求されたシェアを記憶する。

【0035】

登録部２２は、登録者装置１０からの登録要求を受け付け、登録者装置１０から登録を要求されたシェアを、シェアＤＢ２１に記憶する。

【0036】

匿名化部２３は、秘密計算上で、シェアに対して匿名化を行う。匿名化部２３は、登録者装置１０の匿名化の加工方法選択部１３によって選択された匿名化の加工方法を用いてシェアに対する匿名化を行う。匿名化部２３は、サーバ２０Ａ～２０Ｃ間でデータの演算と交換とを行うマルチパーティ計算を行うことで、シェアに対する匿名化を行う。このように、匿名化部２３は、マルチパーティ計算を行うことで、データ（例えば、図５のテーブルＴａ）を復元することなく匿名化を行うことで、匿名加工情報（例えば、図５の匿名加工テーブルＴａ´）を生成する（図５の（２－２）。匿名化部２３は、匿名加工情報を登録者装置１０に送信する。

【0037】

加工情報提供部２４は、登録者装置１０の評価部１４によって匿名加工情報の提供の許可を通知された匿名加工情報を、例えば、利用者装置３０に提供する。例えば、図５に示すように、加工情報提供部２４は、匿名加工テーブルＴａ´を、データ利用者Ｂが利用可能である、秘密計算上のテナントＢ領域に、テーブルコピーすることで（図５の（３））、利用者装置３０が匿名加工テーブルＴａ´を利用可能とする。このテナントＢ領域は、データ利用者Ｂ以外の利用者も利用可能である公開テナント領域であってもよい。

【0038】

計算手順受け取り部２５は、利用者装置３０によって設定された計算処理の処理手順を受け取る。

【0039】

計算処理部２６は、匿名加工情報を用いて、利用者装置３０が設定した処理手順に従って、要求された計算処理を行う。計算処理部２６は、他のサーバ２０Ｂ，２０Ｃとの間で、シェアの状態で統計情報の演算と交換を行うマルチパーティ計算を行うことで秘密計算を行う。計算結果送信部２７は、計算結果を利用者装置３０に送信する。

【0040】

［利用者装置］
次に、利用者装置３０の構成について説明する。図７は、利用者装置３０の構成の一例を模式的に示す図である。

【0041】

利用者装置３０は、ＲＯＭ、ＲＡＭ、ＣＰＵ等を含むコンピュータ等に所定のプログラムが読み込まれて、ＣＰＵが所定のプログラムを実行することで実現される。また、利用者装置３０は、ネットワーク等を介して接続された他の装置との間で、各種情報を送受信する通信インタフェースを有する。例えば、利用者装置３０は、ＮＩＣ等を有し、ＬＡＮやインターネットなどの電気通信回線を介した他の装置との間の通信を行う。そして、サーバ２０Ａは、タッチパネル、音声入力デバイス、キーボードやマウス等の入力デバイス、液晶ディスプレイなどの表示装置を有し、情報の入出力を行う。利用者装置３０は、計算依頼受付部３１、計算手順設定部３２、計算結果受信部３３及び計算結果出力部３４を有する。

【0042】

計算依頼受付部３１は、利用者装置３０の操作者（依頼者）の操作にしたがって、サーバ２０Ａ～２０Ｃが保管するデータに対する計算要求を受け付ける。

【0043】

計算手順設定部３２は、要求に応じた計算処理の処理手順を設定し、設定した処理手順とともに計算要求をサーバ２０Ａ～２０Ｃにそれぞれ送信する。

【0044】

計算結果受信部３３は、各サーバ２０Ａ～２０Ｃから暗号化されたままの計算結果を受信する。

【0045】

計算結果出力部３４は、受信した各計算結果を復元し、要求した計算結果のみを取得する。そして、計算結果出力部３４は、計算結果を出力する。例えば、利用者装置３０の操作者は、Ｗｅｂブラウザで展開された、処理システム１００用のＷｅｂＵＩ画面を介して、計算依頼の入力や、計算処理結果の表示形式（表、グラフ等）の指定を行う。

【0046】

［処理手順］
次に、処理システム１００における秘密計算の処理手順について説明する。図８は、処理システム１００が実行する秘密計算の処理手順を示すシーケンス図である。

【0047】

図８に示すように、登録者装置１０は、ＤＢに登録されているデータの中から保管するデータを選択し（ステップＳ１）、選択したデータを複数のシェアに断片化し（ステップＳ２）、これらのシェアをサーバ２０Ａ～２０Ｃにそれぞれ分散して登録させるシェア登録要求を行う（ステップＳ３）。

【0048】

登録者装置１０は、サーバ２０Ａ～２０Ｃに登録されたデータに対する匿名化の加工方法を選択し（ステップＳ４）、選択した匿名化の加工方法での匿名化を要求する（ステップＳ５）。

【0049】

サーバ２０Ａ～２０Ｃは、秘密計算上で、登録者装置１０によって選択された匿名化の加工方法を用いて、シェアに対する匿名化を行う（ステップＳ６）。そして、サーバ２０Ａ～２０Ｃは、匿名加工情報を登録者装置１０に送信する（ステップＳ７）。

【0050】

登録者装置１０は、登録者装置１０は、サーバ２０Ａ～２０Ｃによって匿名化が行われた匿名加工情報に対する匿名性及び有用性に関する評価を行う（ステップＳ８）。匿名加工情報が匿名性及び有用性を有しない場合（ステップＳ９：Ｎｏ）、登録者装置１０は、匿名加工情報の廃棄をサーバ２０Ａ～２０Ｃに通知し、ステップＳ４の匿名化の加工方法選択から処理を繰り返す。匿名加工情報が匿名性及び有用性を有する場合（ステップＳ９：Ｎｏ）、登録者装置１０は、匿名加工情報の提供許可をサーバ２０Ａ～２０Ｃに通知する（ステップＳ１０）。

【0051】

サーバ２０Ａ～２０Ｃは、登録者装置１０からの匿名加工情報の提供許可を受け、匿名加工情報の提供を許可された匿名加工情報を、他の利用者が共有可能に提供する（ステップＳ１１）。

【0052】

利用者装置３０では、計算要求を受け付けると（ステップＳ１２）、要求に応じた計算処理の処理手順を設定し（ステップＳ１３）、設定した処理手順とともに計算要求をサーバ２０Ａ～２０Ｃにそれぞれ送信する（ステップＳ１４）。

【0053】

サーバ２０Ａ～２０Ｃは、匿名加工情報を用いて、利用者装置３０が設定した処理手順に従った計算処理を行う（ステップＳ１５）。ステップＳ１５は、マルチパーティ計算を用いた秘密計算である。

【0054】

サーバ２０Ａ～２０Ｃは、それぞれ計算結果を利用者装置３０に送信する（ステップＳ１６）。利用者装置３０は、各サーバ２０Ａ～２０Ｃから暗号化されたままの計算結果を受信し、復元した後に計算結果を出力する（ステップＳ１７）。

【0055】

［実施の形態の効果］
このように、本実施の形態では、データを暗号化したまま計算できる秘密計算において、秘密計算上で、元のデータに匿名化を施すことで、個人が特定されない匿名加工情報を第三者に提供する。このため、本実施の形態では、第三者が、秘密計算上のデータを利用して横断分析を行う際であっても、各サーバ２０Ａ～２０Ｃが、個人が特定されない匿名加工情報を用いて秘密計算上で計算処理を行うため、個人が特定されない形の計算結果を返却することができる。

【0056】

したがって、本実施の形態によれば、秘密計算上のデータを利用する際の、個人情報の第三者提供による同意の取得は不要となる。また、本実施の形態では、データ登録者Ａが、登録データに対する匿名化の加工方法を自身で選択できるほか、匿名加工情報の匿名性及び有用性を評価した上で、匿名加工情報を第三者に提供するため、匿名性と有用性との双方を担保したデータを提供することができる。

【0057】

［変形例］
次に、実施の形態の変形例について説明する。図９は、実施の形態に係る処理システムの処理の概要の他の例を説明する図である。

【0058】

図９に示すように、処理システム１００では、登録部１２によってシェアがサーバ２０Ａ～２０Ｃにそれぞれ分散して登録された後であって（図９の（１））、利用者装置３０から計算処理を要求された場合（図９の（２））、登録者装置１０側では、登録加工方法選択部１７が、要求された計算処理に応じた匿名化の加工方法を選択してもよい。そして、サーバ２０Ａ～２０Ｃは、登録者装置１０によって選択された、データ利用者Ｂの計算方針に沿う匿名化の加工方法を用いて、秘密計算上で匿名化を実行する（図９の（３））。

【0059】

これによって、データ利用者Ｂの計算方針に沿う方法で匿名化が施された匿名化工テーブルＴａ´がテナントＢに提供され（図９の（４））、サーバ２０Ａ～２０Ｃは、加工された匿名加工情報を用いて計算処理を行う（図９の（５））。この結果、データ利用者Ｂに返却された計算結果（図９の（６））は、データ利用者Ｂの計算方針に沿うものとなり、分析の円滑化を図ることができる。

【0060】

［処理手順］
次に、処理システム１００における秘密計算の他の処理手順について説明する。図１０は、処理システム１００が実行する秘密計算の他の処理手順を示すシーケンス図である。

【0061】

図１０のステップＳ２１～ステップＳ２３は、図８に示すステップＳ１～ステップＳ３と同じ処理である。利用者装置３０では、計算要求を受け付けると（ステップＳ２４）、要求に応じた計算処理の処理手順を設定し（ステップＳ２５）、設定した処理手順とともに計算要求をサーバ２０Ａ～２０Ｃにそれぞれ送信する（ステップＳ２６）。サーバ２０Ａ～２０Ｃは、要求された計算の方針を通知する計算要求通知を登録者装置１０に送信する（ステップＳ２７）。

【0062】

登録者装置１０は、データ利用者Ｂの計算方針に沿う匿名化の加工方法を選択し（ステップＳ２８）、選択した匿名化の加工方法での匿名化を要求する（ステップＳ２９）。サーバ２０Ａ～２０Ｃは、登録者装置によって選択された匿名化の加工方法を用いて、秘密計算上で匿名化を実行する（ステップＳ３０）。図１０のステップＳ３１～ステップＳ３５は、図８のステップＳ７～ステップＳ１１と同じ処理である。

【0063】

サーバ２０Ａ～２０Ｃは、データ利用者Ｂの計算方針に沿う方法で匿名化が施された匿名加工情報を用いて、秘密計算上で計算処理を行う（ステップＳ３６）。図１０のステップＳ３７，Ｓ３８は、図８のステップＳ１６，Ｓ１７と同じ処理である。

【0064】

このように、データ登録者Ａ側で、データ利用者Ｂの計算方針に沿う匿名化の加工方法を選択することで、データ利用者Ｂによる分析の円滑化を図ることができる。

【0065】

［システム構成等］
また、図示した各装置の各構成要素は機能概念的なものであり、必ずしも物理的に図示の如く構成されていることを要しない。すなわち、各装置の分散・統合の具体的形態は図示のものに限られず、その全部または一部を、各種の負荷や使用状況などに応じて、任意の単位で機能的または物理的に分散・統合して構成することができる。さらに、各装置にて行なわれる各処理機能は、その全部または任意の一部が、ＣＰＵやＧＰＵ及び当該ＣＰＵやＧＰＵにて解析実行されるプログラムにて実現され、あるいは、ワイヤードロジックによるハードウェアとして実現され得る。

【0066】

また、本実施形態において説明した各処理のうち、自動的におこなわれるものとして説明した処理の全部または一部を手動的におこなうこともでき、あるいは、手動的におこなわれるものとして説明した処理の全部または一部を公知の方法で自動的におこなうこともできる。この他、上記文書中や図面中で示した処理手順、制御手順、具体的名称、各種のデータやパラメータを含む情報については、特記する場合を除いて任意に変更することができる。

【0067】

［プログラム］
また、上記実施形態において説明した登録者装置１０、サーバ２０Ａ～２０Ｃ及び利用者装置３０が実行する処理をコンピュータが実行可能な言語で記述したプログラムを作成することもできる。例えば、実施形態における登録者装置１０、サーバ２０Ａ～２０Ｃ及び利用者装置３００が実行する処理をコンピュータが実行可能な言語で記述したプログラムを作成することもできる。この場合、コンピュータがプログラムを実行することにより、上記実施形態と同様の効果を得ることができる。さらに、かかるプログラムをコンピュータ読み取り可能な記録媒体に記録して、この記録媒体に記録されたプログラムをコンピュータに読み込ませて実行することにより上記実施形態と同様の処理を実現してもよい。

【0068】

図１１は、プログラムを実行するコンピュータを示す図である。図１１に例示するように、コンピュータ１０００は、例えば、メモリ１０１０と、ＣＰＵ１０２０と、ハードディスクドライブインタフェース１０３０と、ディスクドライブインタフェース１０４０と、シリアルポートインタフェース１０５０と、ビデオアダプタ１０６０と、ネットワークインタフェース１０７０とを有し、これらの各部はバス１０８０によって接続される。

【0069】

メモリ１０１０は、図１１に例示するように、ＲＯＭ（Read Only Memory）１０１１及びＲＡＭ１０１２を含む。ＲＯＭ１０１１は、例えば、ＢＩＯＳ（Basic Input Output System）等のブートプログラムを記憶する。ハードディスクドライブインタフェース１０３０は、図１１に例示するように、ハードディスクドライブ１０９０に接続される。ディスクドライブインタフェース１０４０は、ディスクドライブ１１００に接続される。例えば磁気ディスクや光ディスク等の着脱可能な記憶媒体が、ディスクドライブ１１００に挿入される。シリアルポートインタフェース１０５０は、例えばマウス１１１０、キーボード１１２０に接続される。ビデオアダプタ１０６０は、例えばディスプレイ１１３０に接続される。

【0070】

ここで、図１１に例示するように、ハードディスクドライブ１０９０は、例えば、ＯＳ１０９１、アプリケーションプログラム１０９２、プログラムモジュール１０９３、プログラムデータ１０９４を記憶する。すなわち、上記の、プログラムは、コンピュータ１０００によって実行される指令が記述されたプログラムモジュールとして、例えばハードディスクドライブ１０９０に記憶される。

【0071】

また、上記実施形態で説明した各種データは、プログラムデータとして、例えばメモリ１０１０やハードディスクドライブ１０９０に記憶される。そして、ＣＰＵ１０２０が、メモリ１０１０やハードディスクドライブ１０９０に記憶されたプログラムモジュール１０９３やプログラムデータ１０９４を必要に応じてＲＡＭ１０１２に読み出し、各種処理手順を実行する。

【0072】

なお、プログラムに係るプログラムモジュール１０９３やプログラムデータ１０９４は、ハードディスクドライブ１０９０に記憶される場合に限られず、例えば着脱可能な記憶媒体に記憶され、ディスクドライブ等を介してＣＰＵ１０２０によって読み出されてもよい。あるいは、プログラムに係るプログラムモジュール１０９３やプログラムデータ１０９４は、ネットワーク（ＬＡＮ（Local Area Network）、ＷＡＮ（Wide Area Network）等）を介して接続された他のコンピュータに記憶され、ネットワークインタフェース１０７０を介してＣＰＵ１０２０によって読み出されてもよい。

【0073】

上記の実施形態やその変形は、本願が開示する技術に含まれると同様に、特許請求の範囲に記載された発明とその均等の範囲に含まれるものである。

【符号の説明】

【0074】

１０ 登録者装置
１１ 登録データ選択部
１２ 登録部
１３ 匿名化の加工方法選択部
１４ 評価部
２０Ａ～２０Ｃ サーバ
２１ シェアＤＢ
２２ 登録部
２３ 匿名化部
２４ 加工情報提供部
２５ 計算手順受け取り部
２６ 計算処理部
２７ 計算結果送信部
３０ 利用者装置
３１ 計算依頼受付部
３２ 計算手順設定部
３３ 計算結果受信部
３４ 計算結果出力部
１００ 処理システム

【図1】

【図2】

【図3】

【図4】

【図5】

【図6】

【図7】

【図8】

【図9】

【図10】

【図11】

【手続補正書】

【提出日】2022-06-22

【手続補正1】

【補正対象書類名】特許請求の範囲

【補正対象項目名】全文

【補正方法】変更

【補正の内容】

【特許請求の範囲】

【請求項1】

登録者装置が有する登録データを、断片化したシェアの状態で複数のサーバに分散保管する処理システムであって、
前記複数のサーバのそれぞれは、
前記シェアに対して匿名化を行う匿名化部と、
前記匿名化が行われた匿名加工情報をシェアの状態で提供する提供部を有し、
前記登録者装置は、
前記登録データを複数のシェアに断片化し、分割したシェアを前記複数のサーバにそれぞれ分散して登録させる登録部と、
匿名化の加工方法を選択する選択部と、
前記匿名化部によって匿名化が行われた匿名加工情報に対する匿名性及び有用性に関する評価を行い、前記匿名加工情報が前記匿名性及び前記有用性を有する場合には、前記匿名加工情報の提供許可を前記複数のサーバに通知する評価部を有し、
前記匿名化部は、前記選択部によって選択された匿名化の加工方法を用いて前記シェアに対する匿名化を行い、
前記提供部は、前記匿名加工情報の提供の許可を通知された前記匿名加工情報を提供する、
ことを特徴とする処理システム。

【請求項2】

前記匿名化部は、前記複数のサーバ間でデータの演算と交換とを行うマルチパーティ計算を行うことで、前記シェアに対する匿名化を行うことを特徴とする請求項１に記載の処理システム。

【請求項3】

前記選択部は、前記登録部によって前記シェアが前記複数のサーバにそれぞれ分散して登録された後に、前記匿名化の加工方法を選択することを特徴とする請求項１に記載の処理システム。

【請求項4】

前記選択部は、前記登録部によって前記シェアが前記複数のサーバにそれぞれ分散して登録された後であって、利用者装置から計算処理を要求された場合に、要求された計算処理に応じた匿名化の加工方法を選択することを特徴とする請求項１に記載の処理システム。

【請求項5】

登録者装置が有する登録データを、断片化したシェアの状態で複数のサーバに分散保管する処理方法であって、
前記複数のサーバのそれぞれは、
前記シェアに対して匿名化を行う工程と、
前記匿名化が行われた匿名加工情報をシェアの状態で提供する工程を有し、
前記登録者装置は、
前記登録データを複数のシェアに断片化し、分割したシェアを前記複数のサーバにそれぞれ分散して登録させる工程と、
匿名化の加工方法を選択する工程と、
匿名化が行われた匿名加工情報に対する匿名性及び有用性に関する評価を行い、前記匿名加工情報が前記匿名性及び前記有用性を有する場合には、前記匿名加工情報の提供許可を前記複数のサーバに通知する工程を有し、
選択された匿名化の加工方法を用いて前記シェアに対する匿名化を行い、
前記匿名加工情報の提供の許可を通知された前記匿名加工情報を提供する、
ことを特徴とする処理方法。

【請求項6】

方法をコンピュータに実行させる処理プログラムであって、
複数のサーバとしてのコンピュータに、
前記複数のサーバのそれぞれが、登録データを断片化したシェアの状態で分散保管するステップと、
前記複数のサーバのそれぞれが、前記シェアに対して匿名化を行うステップと、
前記複数のサーバのそれぞれが、前記匿名化が行われた匿名加工情報をシェアの状態で提供するステップを有し、
登録者装置に、
前記登録データを複数のシェアに断片化し、分割したシェアを前記複数のサーバにそれぞれ分散して登録させるステップと、
匿名化の加工方法を選択するステップと、
匿名化が行われた匿名加工情報に対する匿名性及び有用性に関する評価を行い、前記匿名加工情報が前記匿名性及び前記有用性を有する場合には、前記匿名加工情報の提供許可を前記複数のサーバに通知するステップを有し、
選択された匿名化の加工方法を用いて前記シェアに対する匿名化を行い、
前記匿名加工情報の提供の許可を通知された前記匿名加工情報を提供する、
ことを実行させることを特徴とする処理プログラム。