特開 2024-48309 データ共有システム、データ共有方法、およびデータ共有プログラム

(19)【発行国】日本国特許庁(JP)

(12)【公報種別】公開特許公報(A)

(11)【公開番号】P2024048309

(43)【公開日】2024-04-08

(54)【発明の名称】データ共有システム、データ共有方法、およびデータ共有プログラム

(51)【国際特許分類】

   G06F 21/62 20130101AFI20240401BHJP

   G06F 21/60 20130101ALI20240401BHJP

【ＦＩ】

G06F21/62

G06F21/60 320

【審査請求】有

【請求項の数】9

【出願形態】ＯＬ

(21)【出願番号】P 2022154284

(22)【出願日】2022-09-27

(11)【特許番号】

(45)【特許公報発行日】2023-04-03

(71)【出願人】

【識別番号】518334141

【氏名又は名称】ＥＡＧＬＹＳ株式会社

(74)【代理人】

【識別番号】100210815

【弁理士】

【氏名又は名称】西田 聡子

(72)【発明者】

【氏名】今林 広樹

(57)【要約】

【課題】各組織が保有するデータについて処理の権限を設定し、セキュリティに配慮しつつ、データの利活用を容易にする。
【解決手段】
本システムは、データ提供サーバと、共有データベースと、管理サーバと、を備える。データ提供サーバは、属性項目ごとの属性値を含む機微データを取得し、機微データの少なくとも一部の属性値を暗号化する。共有データベースは、データ提供サーバが暗号化した機微データを共有データとして記憶する。管理サーバは、機微データの属性項目ごとに設定される処理の権限を管理し、共有データに対する処理の要求を受け付けると、共有データの属性項目に設定された権限に基づいて、データ提供サーバに対し、当該属性項目に係る属性値の復号要求を行う。データ提供サーバは、復号要求に応じて、処理の要求に係る共有データの暗号化された属性値を復号し、復号された属性値を含む処理の要求に係る共有データを提供する。
【選択図】図１

【特許請求の範囲】

【請求項1】

データ提供サーバと、共有データベースと、管理サーバと、を備えるデータ共有システムであって、
前記データ提供サーバは、
属性項目ごとの属性値を含む機微データを取得する機微データ取得部と、
暗号鍵および復号鍵を管理する鍵管理部と、
前記暗号鍵を用いて、前記機微データの少なくとも一部の属性値を所定の暗号方式で暗号化する暗号化部と、
を有し、
前記共有データベースは、前記データ提供サーバにおいて前記暗号化された機微データを共有データとして記憶し、
前記管理サーバは、
前記機微データの前記属性項目ごとに設定される処理の権限を管理する権限管理部と、
前記共有データに対する処理の要求を受け付ける受付部と、
前記処理の要求に係る共有データの属性項目に設定された前記権限に基づいて、前記データ提供サーバに対し、当該属性項目に係る属性値の復号要求を行う復号要求部と、
を有し、
前記データ提供サーバは、
前記復号要求に応じて、前記復号鍵を用いて、前記処理の要求に係る共有データの前記暗号化された属性値を復号する復号部と、
前記復号された属性値を含む前記処理の要求に係る共有データを提供する提供部と、
をさらに有する、データ共有システム。

【請求項2】

前記処理の権限は、前記属性項目ごとの属性値の開示に関する権限を含む、請求項１に記載のデータ共有システム。

【請求項3】

前記属性値の開示に関する権限は、開示を許可するユーザに関する情報を含む、請求項２に記載のデータ共有システム。

【請求項4】

前記属性値の開示に関する権限は、前記属性値に対する開示レベルに関する情報を含む、請求項３に記載のデータ共有システム。

【請求項5】

前記提供部が提供する共有データに対し、前記開示レベルに関する情報に基づいて、所定の変換を行って、開示データを生成するデータ変換サーバをさらに備える、請求項４に記載のデータ共有システム。

【請求項6】

前記所定の変換は、、前記属性値の抽象化、ノイズ付加、または置換を行う処理のいずれか一つを含む請求項５に記載のデータ共有システム。

【請求項7】

前記属性値の開示に関する権限は、複数の段階を有する入力要素を用いて設定される、請求項６に記載のデータ共有システム。

【請求項8】

前記開示データは、前記復号された属性値、前記所定の変換がされた属性値、前記暗号化された属性値のうちの少なくとも一つを含む、
請求項７に記載のデータ共有システム。

【請求項9】

前記データ提供サーバは、少なくとも２以上の複数である、請求項１から請求項８のいずれか一項に記載のデータ共有システム。

【請求項10】

前記共有データは、複数の前記データ提供サーバにおいて前記暗号化された機微データを、当該機微データの前記属性項目として含まれる識別子に基づいて統合された機微データである、請求項９に記載のデータ共有システム。

【請求項11】

データ提供サーバと、共有データベースと、管理サーバと、を備えるシステムにおけるデータ共有方法であって、
前記データ提供サーバが、
属性項目ごとの属性値を含む機微データを取得するステップと、
暗号鍵および復号鍵を管理するステップと、
前記暗号鍵を用いて、前記機微データの少なくとも一部の属性値を所定の暗号方式で暗号化するステップと、
前記共有データベースが、
前記データ提供サーバにおいて前記暗号化された機微データを共有データとして記憶するステップと、
前記管理サーバが、
前記機微データの前記属性項目ごとに設定される処理の権限を管理するステップと、
前記共有データに対する処理の要求を受け付けるステップと、
前記処理の要求に係る共有データの属性項目に設定された前記権限に基づいて、前記データ提供サーバに対し、当該属性項目に係る属性値の復号要求を行うステップと、
前記データ提供サーバが、
前記復号要求に応じて、前記復号鍵を用いて、前記処理の要求に係る共有データの前記暗号化された属性値を復号するステップと、
前記復号された属性値を含む前記処理の要求に係る共有データを提供するステップと、
を備える、データ共有方法。

【請求項12】

データ提供サーバと、共有データベースと、管理サーバと、を備えるシステムにおけるデータ共有プログラムであって、
前記データ提供サーバの制御部が、
属性項目ごとの属性値を含む機微データを取得するステップと、
暗号鍵および復号鍵を管理するステップと、
前記暗号鍵を用いて、前記機微データの少なくとも一部の属性値を所定の暗号方式で暗号化するステップと、
前記共有データベースの記憶部が、
前記データ提供サーバにおいて前記暗号化された機微データを共有データとして記憶するステップと、
前記管理サーバの制御部が、
前記機微データの前記属性項目ごとに設定される処理の権限を管理するステップと、
前記共有データに対する処理の要求を受け付けるステップと、
前記処理の要求に係る共有データの属性項目に設定された前記権限に基づいて、前記データ提供サーバに対し、当該属性項目に係る属性値の復号要求を行うステップと、
前記データ提供サーバの制御部が、
前記復号要求に応じて、前記復号鍵を用いて、前記処理の要求に係る共有データの前記暗号化された属性値を復号するステップと、
前記復号された属性値を含む前記処理の要求に係る共有データを提供するステップと、
を備える、データ共有プログラム。

【請求項13】

共有データベースと、管理サーバと、に接続されるデータ提供サーバであって、
前記データ提供サーバは、
属性項目ごとの属性値を含む機微データを取得する機微データ取得部と、
暗号鍵および復号鍵を管理する鍵管理部と、
前記暗号鍵を用いて、前記機微データの少なくとも一部の属性値を所定の暗号方式で暗号化する暗号化部と、
を有し、
前記共有データベースは、前記データ提供サーバにおいて前記暗号化された機微データを共有データとして記憶し、
前記管理サーバは、
前記機微データの前記属性項目ごとに設定される処理の権限を管理する権限管理部と、
前記共有データに対する処理の要求を受け付ける受付部と、
前記処理の要求に係る共有データの属性項目に設定された前記権限に基づいて、前記データ提供サーバに対し、当該属性項目に係る属性値の復号要求を行う復号要求部と、
を有し、
前記データ提供サーバは、
前記復号要求に応じて、前記復号鍵を用いて、前記処理の要求に係る共有データの前記暗号化された属性値を復号する復号部と、
前記復号された属性値を含む前記処理の要求に係る共有データを提供する提供部と、
をさらに有する、データ提供サーバ。

【請求項14】

データ提供サーバと、共有データベースと、管理サーバと、を備えるデータ共有システムにおいて用いられる端末装置であって、
前記データ提供サーバは、
属性項目ごとの属性値を含む機微データを取得する機微データ取得部と、
暗号鍵および復号鍵を管理する鍵管理部と、
前記暗号鍵を用いて、前記機微データの少なくとも一部の属性値を所定の暗号方式で暗号化する暗号化部と、
を有し、
前記共有データベースは、前記データ提供サーバにおいて前記暗号化された機微データを共有データとして記憶し、
前記管理サーバは、
前記機微データの前記属性項目ごとに設定される処理の権限を管理する権限管理部と、
前記共有データに対する処理の要求を受け付ける受付部と、
前記処理の要求に係る共有データの属性項目に設定された前記権限及び前記端末装置の識別子に基づいて、前記データ提供サーバに対し、当該属性項目に係る属性値の復号要求を行う復号要求部と、
を有し、
前記データ提供サーバは、
前記復号要求に応じて、前記復号鍵を用いて、前記処理の要求に係る共有データの前記暗号化された属性値を復号する復号部と、
前記復号された属性値を含む前記処理の要求に係る共有データを提供する提供部と、
をさらに有し、
前記端末装置は、
前記管理サーバに、前記共有データに対する前記処理の要求、および端末を識別する前記識別子を送信する送信部と、
前記データ提供サーバの前記提供部から提供された前記処理の要求に係る共有データを出力する出力部と、を有する、端末装置。

【請求項15】

属性項目ごとの属性値を含む機微データを取得する機微データ取得部と、
暗号鍵および復号鍵を管理する鍵管理部と、
前記暗号鍵を用いて、前記機微データの少なくとも一部の属性値を所定の暗号方式で暗号化する暗号化部と、
前記暗号化された機微データを共有データとして記憶する記憶部と、
前記機微データの前記属性項目ごとに設定される処理の権限を管理する権限管理部と、
前記共有データに対する処理の要求を受け付ける受付部と、
前記処理の要求に係る共有データの属性項目に設定された前記権限に基づいて、当該属性項目に係る属性値の復号要求を行う復号要求部と、
前記復号要求に応じて、前記復号鍵を用いて、前記処理の要求に係る共有データの前記暗号化された属性値を復号する復号部と、
前記復号された属性値を含む前記処理の要求に係る共有データを提供する提供部と、
を有する、データ共有システム。

【発明の詳細な説明】

【技術分野】

【0001】

本開示は、データ共有システム、データ共有方法、およびデータ共有プログラムに関する。

【背景技術】

【0002】

インターネット上で提供される電子商取引サービスにおいて、自組織保有のデータはもとより、組織外のデータも活用し、利用者の性別、住所、取引情報などの個人情報を、サービス提供者側がマーケティング等を目的として統計分析を行う技術がある。例えば、特許文献１には、サービス提供者が利用者の個人情報を得ることなく、取引履歴の分析を得ることができる電子商取引システムが開示されている。

【先行技術文献】

【特許文献】

【0003】

【特許文献1】特開２０１９－１２５８８３号公報

【発明の概要】

【発明が解決しようとする課題】

【0004】

しかしながら、特許文献１に記載のシステムでは、統計分析を行いたいサービス提供サーバ側が、他のすべてのサービス提供サーバに対して暗号化鍵を送信し、他のサービス提供サーバは、当該送信された暗号化鍵を用いてデータを暗号化して、統計分析を行う第三者機関サーバに送信する。このため、他のサービス提供サーバにとっては、自身が保有するデータが他者の暗号化鍵によって暗号化されるため、情報漏洩や不正利用等の情報セキュリティ上の問題が発生する可能性が危惧される。

【0005】

また、自組織保有のデータを組織外の第三者と共有して活用するためには、セキュリティに配慮する必要があるが、全てのデータを同じセキュリティレベルで扱うような過度なデータ保護は、データの利活用促進を阻害するおそれがある。

【0006】

そこで、本開示は、上記課題を解決すべくなされたものであって、その目的は、各組織が保有するデータについて処理の権限を設定し、セキュリティに配慮しつつ、データの利活用を容易にすることができるデータ共有システムを提供することである。

【課題を解決するための手段】

【0007】

上記目的を達成するため、本開示に係るデータ共有システムは、データ提供サーバと、共有データベースと、管理サーバと、を備えるシステムであって、データ提供サーバは、属性項目ごとの属性値を含む機微データを取得する機微データ取得部と、暗号鍵および復号鍵を管理する鍵管理部と、暗号鍵を用いて、機微データの少なくとも一部の属性値を所定の暗号方式で暗号化する暗号化部と、を有し、共有データベースは、データ提供サーバにおいて暗号化された機微データを共有データとして記憶し、管理サーバは、機微データの属性項目ごとに設定される処理の権限を管理する権限管理部と、共有データに対する処理の要求を受け付ける受付部と、処理の要求に係る共有データの属性項目に設定された権限に基づいて、データ提供サーバに対し、当該属性項目に係る属性値の復号要求を行う復号要求部と、を有し、データ提供サーバは、復号要求に応じて、復号鍵を用いて、処理の要求に係る共有データの暗号化された属性値を復号する復号部と、復号された属性値を含む処理の要求に係る共有データを提供する提供部と、をさらに有する。

【0008】

また、上記目的を達成するため、本開示に係るデータ共有方法は、データ提供サーバと、共有データベースと、管理サーバと、を備えるシステムにおける方法であって、データ提供サーバが、属性項目ごとの属性値を含む機微データを取得するステップと、暗号鍵および復号鍵を管理するステップと、暗号鍵を用いて、機微データの少なくとも一部の属性値を所定の暗号方式で暗号化するステップと、共有データベースが、データ提供サーバにおいて暗号化された機微データを共有データとして記憶するステップと、管理サーバが、機微データの属性項目ごとに設定される処理の権限を管理するステップと、共有データに対する処理の要求を受け付けるステップと、処理の要求に係る共有データの属性項目に設定された権限に基づいて、データ提供サーバに対し、当該属性項目に係る属性値の復号要求を行うステップと、データ提供サーバが、復号要求に応じて、復号鍵を用いて、処理の要求に係る共有データの暗号化された属性値を復号するステップと、復号された属性値を含む処理の要求に係る共有データを提供するステップと、を備える。

【0009】

また、上記目的を達成するため、本開示に係るデータ共有プログラムは、データ提供サーバと、共通データベースと、管理サーバと、を備えるシステムに実行させるプログラムであって、データ提供サーバの制御部が、属性項目ごとの属性値を含む機微データを取得するステップと、暗号鍵および復号鍵を管理するステップと、暗号鍵を用いて、機微データの少なくとも一部の属性値を所定の暗号方式で暗号化するステップと、共有データベースの記憶部が、データ提供サーバにおいて暗号化された機微データを共有データとして記憶するステップと、管理サーバの制御部が、機微データの属性項目ごとに設定される処理の権限を管理するステップと、共有データに対する処理の要求を受け付けるステップと、処理の要求に係る共有データの属性項目に設定された権限に基づいて、データ提供サーバに対し、当該属性項目に係る属性値の復号要求を行うステップと、データ提供サーバの制御部が、復号要求に応じて、復号鍵を用いて、処理の要求に係る共有データの暗号化された属性値を復号するステップと、復号された属性値を含む処理の要求に係る共有データを提供するステップと、を備える。

【発明の効果】

【0010】

本開示によれば、データ共有システムにおいて、各組織が保有するデータについて、セキュリティに配慮しつつ、データの利活用を容易にすることができる。

【図面の簡単な説明】

【0011】

【図1】本実施形態に係るデータ共有システム１の構成を示す図である。

【図2】端末装置１００の機能構成の一例を示す機能ブロック図である。

【図3】データ提供サーバ２００の機能構成の一例を示す機能ブロック図である。

【図4】データ変換サーバ３００の機能構成の一例を示す機能ブロック図である。

【図5】管理サーバ４００の機能構成の一例を示す機能ブロック図である。

【図6】機微データのデータ構造の一例を示した図である。

【図7】処理の権限を設定する画面の一例を示す図である。

【図8】所定の変換の対応関係の一例を示す図である。

【図9】開示データの例を示す図である。

【図10】データ共有システム１において開示データが表示されるまでの処理の一例を示すフローチャートである。

【図11】管理サーバ４００のハードウェア構成を示すブロック図である。

【図12】本実施形態に係るデータ共有システム２の構成を示す図である。

【図13】実施形態２に係る機微データのデータ構造の一例を示した図である。

【図14】暗号化された機微データのデータ構造の一例を示す図である。

【図15】統合データのデータ構造の一例を示す図である。

【図16】管理サーバ７００の機能構成の一例を示す機能ブロック図である。

【発明を実施するための形態】

【0012】

以下、本開示の実施形態について図面を参照して説明する。実施形態を説明する全図において、共通の構成要素には同一の符号を付し、繰り返しの説明を省略する。なお、以下の実施形態は、特許請求の範囲に記載された本開示の内容を不当に限定するものではない。また、実施形態に示される構成要素のすべてが、本開示の必須の構成要素であるとは限らない。

【0013】

＜本発明の概要＞
近年、顧客情報などの大量の機微データを保有する組織が増加している。これにより、自組織だけでなく、他組織が保有する機微データも活用して統計的な分析処理等を行い、ビジネス上の新たな知見や、サービスにつなげるようなクラウドサービスが普及しつつある。機微データは、セキュリティへの配慮や、プライバシーの保護などデータの取り扱いに細心の注意が求められる情報であるため、自組織の保有する機微データの情報漏洩を防ぎつつ、検索や集計分析、統計などのデータ処理を行うことが必要である。

【0014】

そこで、本発明に係るデータ共有システムでは、当該システムに参加する組織等から提供される機微データを、所定の暗号方式（暗号化状態のまま、検索や分析等を含む演算を行うことができる暗号方式）で暗号化し、暗号化及び復号に用いる鍵は、当該機微データを提供した各組織において管理する。これにより、自組織の保有する機微データや、それに関連するデータ処理の実行結果に対する復号処理を自組織で管理することができる。

【0015】

その一方で、全てのデータを所定の暗号方式で暗号化し、上述のように暗号化したまま演算できたとしても、データの内容を全く開示しないような形態のデータ共有は、データの利活用促進を阻害するおそれがある。例えば、機微データの詳細な内容や演算結果を取得する必要はないが、全体としての傾向や、概要が分かれば、統計情報として十分な場合がある。また、例えば、他組織が保有する機微データを含めた共有データを、自組織のデータベースのごとく表示できれば、一覧性がよくなり、データ活用の利便性が高まる。

【0016】

そこで、本発明に係るデータ共有システムでは、属性項目ごとの属性値を含む機微データについて、属性項目ごとに開示レベルを設定し、開示レベルに基づいて、開示データを生成する。これにより、他組織と共有する機微データについて、セキュリティに配慮しつつ、利活用を容易にすることができる。

【0017】

＜実施形態１＞
実施形態１に係るデータ共有システム１は、プラットフォームに参加する組織である「会社Ａ」が保有する機微データを他組織のユーザと共有するシステムである。
（データ共有システム１の構成）

【0018】

図１は、本実施形態に係るデータ共有システム１の構成を示す図である。図１を参照して、実施形態１に係るデータ共有システム１の構成について説明する。

【0019】

データ共有システム１は、社内システム１０と、データセンタ２０と、端末装置６００－１，６００－２，…，６００－Ｎ（Ｎは自然数。特に区別する必要のない限り、「端末装置６００」と記載する。）と、を備え、ネットワークＮＷを介して通信可能に接続される。

【0020】

データ共有システム１は、当該システムに参加する組織が、自組織が保有する機微データについて、他組織が利用できる処理の権限を設定し、他組織と共有する機微データを利用させることができるプラットフォームである。なお、組織とは、システムを利用するユーザであって、企業や団体に限られず、役割ごとに区切られた部門、課、グループ、チーム等の集団、当該集団を構成する個人、システムを利用する個人等であってもよい。

【0021】

ネットワークＮＷは、例えば、ＷＡＮ（Wide Area Network）、ＬＡＮ（Local Area Network）、光回線網、イントラネット等であるが、任意のネットワークから構成されてもよい。また、データ共有システム１を構成する装置等は、ネットワークＮＷを介さず、ローカルに接続されてもよい。

【0022】

社内システム１０は、プラットフォームに参加する組織である会社Ａの社内システムである。社内システム１０は、端末装置１００－１，…，１００－Ｍ（Ｍは自然数。特に区別する必要のない限り、「端末装置１００」と記載する。）と、データ提供サーバ２００と、データ変換サーバ３００と、を有する。社内システム１０は、オンプレミスでもよいし、クラウド（プライベートクラウドや、ハイブリッドクラウドなど。）であってもよく、端末装置１００は、会社Ａ内に物理的に配置されていなくてよい。

【0023】

端末装置１００は、会社Ａの社内システム１０にアクセスする権限を有する者（例えば、会社Ａの従業員など。）が用いる情報処理装置であって、例えば、ＰＣ（Personal Computer）、スマートフォン、タブレット端末である。また、ヘッドマウントディスプレイ等のウェアラブル端末、ＡＲ（Augmented Reality）／ＶＲ（Virtual Reality）／ＭＲ（Mixed Reality）装置等であってもよい。端末装置１００は、データ提供サーバ２００に対し、属性項目（カラム）ごとの属性値を含む機微データを送信してもよい。なお、機微データのデータ構造については後述（図６等）する。

【0024】

データ提供サーバ２００は、会社Ａが保有する機微データをデータ共有システム１に提供するアプリケーションサーバである。データ提供サーバ２００は、端末装置１００等から取得した機微データの少なくとも一部の属性値を暗号化し、管理サーバ４００に送信する。また、管理サーバ４００からの復号要求に応じて、暗号化された属性値や、演算結果等を復号する。なお、データ提供サーバ２００は、暗号鍵および復号鍵を自サーバ内で記憶して管理してもよいし、他の情報処理装置に記憶させて管理（例えば、ＫＭＳ(Key Management System：鍵管理システム）に管理を委託）してもよい。

【0025】

データ変換サーバ３００は、データ提供サーバ２００から取得したデータに基づいて、データ共有システム１に参加する他組織（図１の例では、会社Ａ以外の組織）の者に開示するデータを生成するアプリケーションサーバである。データ変換サーバ３００が生成した開示データは、例えば、端末装置６００（後述）において表示される。データ変換サーバ３００は、図１の例では、データ提供サーバ２００と別々に構成されているが、データ提供サーバ２００が、データ変換サーバ３００の機能を有していてもよい。

【0026】

データセンタ２０は、データ共有システム１において共有するデータを管理し、ユーザからの要求に応じた処理を実行する。データセンタ２０は、管理サーバ４００と、共有データベース５００と、を有する。

【0027】

管理サーバ４００は、データ提供サーバ２００から取得した、暗号化された機微データを、共有データとして共有データベース５００に格納する。また、管理サーバ４００は、ユーザから受け付けた、共有データに対する処理の要求に応じて、当該共有データ（機微データ）を提供したデータ提供サーバ２００に対し、処理の要求に係る共有データの属性値の復号を要求する。

【0028】

共有データベース５００は、データ提供サーバ２００において暗号化された機微データを共有データとして記憶する。

【0029】

端末装置６００は、データ共有システム１を利用するユーザが用いる情報処理装置であって、上述の端末装置１００と同様の装置である。端末装置６００のユーザは、例えば、会社Ａ以外の組織に属するユーザや、社内システム１０にアクセスする権限がないユーザである。

【0030】

端末装置６００は、管理サーバ４００に対し、共有データベース５００に格納される共有データに対する処理の要求を行う。ここで、端末装置６００から要求される「処理」とは、例えば、共有データの閲覧、検索、集計処理、統計処理を含む。

【0031】

共有データに対する閲覧の要求は、ユーザが明示的に端末装置６００を操作して、管理サーバ４００に送信してもよいし、ユーザがデータ共有システム１にログインすると自動的に閲覧の要求が管理サーバ４００に送信され、ユーザの端末装置６００に予め設定された共有データが表示されるようにしてもよい。ユーザがデータ共有システム１にログインし、例えば、初期画面として他組織の共有データも表示されると、ユーザは、あたかも、自組織のデータベースのように共有データを閲覧することができる。

【0032】

なお、図１において、データ共有システム１は、１つのデータ提供サーバ２００を備えるが、データ共有システム１に複数の組織が参加する場合は、参加する各組織に関連付けられた複数のデータ提供サーバ２００を備える。

【0033】

以下、上述したデータ共有システム１を構成する各サーバ等の機能構成、処理について説明する。なお、各機能構成を示す機能ブロックや処理ブロックは、１つの装置やコンピュータプロセッサによって実現するのに限られず、分散したグループによって実現してもよい。

【0034】

（端末装置１００の機能構成）
図２は、端末装置１００の機能構成の一例を示す機能ブロック図である。図２を参照して、端末装置１００の機能構成の一例について説明する。なお、端末装置６００は、端末装置１００と同様の機能構成を有するため、本明細書では、端末装置６００の機能構成の説明は省略する。

【0035】

端末装置１００は、通信部１０１と、記憶部１０２と、入力部１０３と、出力部１０４と、制御部１０５と、を備える。端末装置１００は、上述したように、例えば、プラットフォーム（データ共有システム１）に参加する会社Ａの従業員等が操作する情報処理装置である。

【0036】

通信部１０１は、端末装置１００が社内システム１０内のネットワークや、ネットワークＮＷ（以下、「ネットワークＮＷ等」と記載する場合がある。）を介してサーバや装置等と所定の通信プロトコルに従って通信を行うための通信インタフェース回路を有する。所定の通信プロトコルは、ＴＣＰ／ＩＰ(Transmission Control Protocol/Internet Protocol）等である。通信部１０１は、端末装置を識別する識別子を送信してもよい。

【0037】

通信部１０１は、受信したデータを制御部１０５に送り、また、制御部１０５から受け取ったデータを、ネットワークＮＷ等を介してサーバや装置等に送信するが、通信部１０１は、端末装置１００内の制御部１０５以外の機能ブロックとデータのやり取りを行ってもよい。なお、通信部１０１は、ネットワークＮＷ等を介した装置やローカルに接続された装置等と、セキュリティが確保されたセキュアな通信チャンネルでデータを送受信する。セキュアな通信チャンネルの構築、通信方法は、セッション鍵（共通鍵）や公開鍵等を用いた周知の技術であるため、説明を省略する。

【0038】

記憶部１０２は、例えば、ＲＡＭ（Random Access Memory）、ＲＯＭ（Read Only Memory）等のメモリ装置や、ＨＤＤ（Hard Disk Drive）、ＳＳＤ（Solid State Drive）、フレキシブルディスク、光ディスク等の可搬型の記憶装置である。記憶部１０２は、端末装置１００の各種処理に用いられるコンピュータプログラム、機微データ等を記憶する。コンピュータプログラムは、コンピュータ読み取り可能な可搬型記録媒体から公知のセットアッププログラム等を用いて記憶部１０２にインストールされてもよい。可搬型記録媒体は、例えばＣＤ－ＲＯＭ（Compact Disc Read Only Memory）、ＤＶＤ－ＲＯＭ（Digital Versatile Disc Read Only Memory）等である。コンピュータプログラムは、所定のサーバ等からインストールされてもよい。また、記憶部１０２は、上述したセッション鍵を記憶してもよい。また、記憶部１０２に格納された機微データは、データ提供サーバ２００に送信した後は、情報漏洩を防ぐため、削除されるようにしてもよい。

【0039】

入力部１０３は、端末装置１００のユーザ入力を受け付けるインタフェースである。入力部１０３は、例えば、キーボードや、タッチパネル、音声入力を検出するマイクであるが、これらに限られない。入力部１０３は、ユーザから、例えば、機微データ等を受け付けてもよい。

【0040】

出力部１０４は、情報を出力してユーザに通知するインタフェースである。出力部１０４は、例えば、ディスプレイや、音声出力するスピーカであるが、これらに限られない。出力部１０４は、例えば、他の端末装置１００や端末装置６００、データ変換サーバ３００等から受信したデータをディスプレイに表示する。

【0041】

制御部１０５は、端末装置１００の各機能を制御し、予め記憶部１０２に記憶されているプログラムに基づいて動作するＣＰＵ（Central Processing Unit）等のプロセッサである。なお、制御部１０５として、ＤＳＰ（Digital Signal Processor）等が用いられてもよい。また、制御部１０５として、ＬＳＩ（Large Scale Integration）、ＡＳＩＣ（Application Specific Integrated Circuit）、ＦＰＧＡ（Field-Programming Gate Array）等の制御回路が用いられてもよい。

【0042】

制御部１０５は、入力部１０３を介したユーザからの指示に応じて、各種の処理を実行する。例えば、制御部１０５は、機微データ等を、通信部１０１を介してデータ提供サーバ２００に送信する。また、共有データに対する処理の要求を、通信部１０１を介して管理サーバ４００に送信してもよい。

【0043】

（データ提供サーバ２００の機能構成）
図３は、データ提供サーバ２００の機能構成の一例を示す機能ブロック図である。図３を参照して、データ提供サーバ２００の機能構成の一例について説明する。

【0044】

データ提供サーバ２００は、通信部２０１と、制御部２０２と、記憶部２０３と、鍵管理部２０４と、暗号化部２０５と、復号部２０６と、を備える。

【0045】

通信部２０１は、端末装置１００の通信部１０１と同様に、ネットワークＮＷ等を介してサーバや装置等と所定の通信プロトコルに従って通信を行うための通信インタフェース回路を有する。通信部２０１は、受信したデータを制御部２０２に送る。また、通信部２０１は、制御部２０２から受け取ったデータを、ネットワークＮＷを介してサーバや装置等に送信する。なお、通信部２０１は、ネットワークＮＷ等を介した装置等と、セキュリティが確保されたセキュアな通信チャンネルでデータを送受信する。

【0046】

通信部２０１は、属性項目ごとの属性値を含む機微データを取得する「機微データ取得部」として機能する。通信部２０１は、例えば、プラットフォームに参加する組織から、当該組織が保有する機微データを取得する。図１の例では、データ提供サーバ２００は、例えば、会社Ａの従業員が用いる端末装置１００から機微データを取得する。

【0047】

機微データは、例えば、会社Ａの各事業所の所在地、顧客、事業所ごとの製品の売り上げ等であり、各事業所の属性を示す項目である属性項目（カラム）とその属性値（文字列又は数値）を含む。機微データは、これらに限らず、例えば、個人に関する情報であってもよい。個人に関する情報とは、例えば、年齢、性別、収入、居住地域、購買情報、メールアドレス、電話番号、勤務先などである。また、機微データは、機器に関するログデータ等であってもよく、通信部２０１は、機器等からログデータを取得してもよい。機微データのデータ構造については後述（図６参照）する。

【0048】

また、通信部２０１は、復号部２０６（後述）において復号された属性値を含む処理の要求に係る共有データを提供する「提供部」として機能する。通信部２０１は、例えば、データ変換サーバ３００（図４において詳述。）に、復号された属性値を含む当該処理の要求に係る共有データを提供する。なお、通信部２０１は、例えば、処理として閲覧の要求をした端末装置６００（のユーザ）に設定された開示に関する権限が、少なくとも一部の属性値の生データの開示が許可された権限であった場合は、端末装置６００に対し、復号された属性値を含む当該処理の要求に係る共有データを送信してもよい。端末装置６００は、生データの開示が許可された属性値については、閲覧することができる。

【0049】

制御部２０２は、端末装置１００の制御部１０５と同様に、データ提供サーバ２００の各機能を制御し、予め記憶部２０３（後述）に記憶されているプログラムに基づいて動作するＣＰＵ等のプロセッサである。

【0050】

制御部２０２は、暗号化部２０５に対し、通信部２０１を介して取得した機微データについて暗号化するよう制御する。また、制御部２０２は、復号部２０６に対し、通信部２０１を介して取得した共有データの属性値について復号するよう制御する。

【0051】

記憶部２０３は、端末装置１００の記憶部１０２と同様の記憶装置等を有する。また、記憶部２０３は、データ提供サーバ２００の各種処理に用いられるコンピュータプログラム等が格納される。また、記憶部２０３は、例えば、暗号化された機微データや、後述する鍵管理部２０４が管理する暗号鍵や復号鍵などを記憶する。

【0052】

鍵管理部２０４は、暗号鍵および復号鍵を管理する。鍵管理部２０４は、例えば、暗号化部２０５の要求する暗号方式に応じた鍵を生成してもよい。暗号方式が、例えば、暗号化状態のまま加減算が可能な（加法的な）準同型暗号方式（Paillier方式）の場合は、公開鍵（暗号鍵）と秘密鍵（復号鍵）の組を生成する。

【0053】

また、暗号方式が、暗号文の大小関係と対応する平文の大小関係が一致する順序保存暗号方式（OPE方式:Order Preserving Encryption）や、暗号化状態のまま平文の一致判定が可能な検索可能暗号方式の場合は、秘密鍵（共通鍵）を生成する。このように、暗号鍵と復号鍵は、公開鍵と秘密鍵の組のように異なる鍵である場合と、共通鍵のように同じ鍵である場合とがある。なお、鍵生成アルゴリズムは、周知の技術であるので説明を省略する。

【0054】

鍵管理部２０４は、生成した鍵や鍵生成のためのパラメータ等を、例えば、記憶部２０３に記憶させる。鍵管理部２０４は、生成した鍵と、暗号方式やどのデータ（属性項目（カラム）ごとの属性値等）の暗号化に用いたか等とを対応付けて管理する。なお、鍵管理部２０４の機能を、データ提供サーバ２００外にある鍵管理サーバ（図１において不図示）に持たせ、データ共有システム１における鍵管理を、鍵管理サーバに行わせるようにしてもよい。

【0055】

暗号化部２０５は、通信部２０１が取得した機微データの少なくとも一部の属性値を所定の暗号方式で暗号化する。所定の暗号方式には、通信部２０１が取得した機微データの少なくとも一部の属性値を暗号化状態のまま演算可能な暗号方式を含み、例えば、準同型暗号方式、順序保存暗号方式、ＡＥＳ(Advanced Encryption Standard)、ＤＥＳ（Data Encryption Standard）、検索可能暗号、ＳＨＡ（Secure Hash Algorithm）、ＭＤ５（Message Digest algorithm 5）などである。なお、「演算」とは、加減乗除に関する計算、検索、分析に関する計算を含む。

【0056】

本実施形態では、暗号化部２０５は、機微データに含まれる属性項目の属性値のうち、データ形式が数値の場合は、準同型暗号方式（Paillier方式、Lifted-Ellgamal方式、Somewhat Homomorphic Encryption方式、Fully Homomorphic Encryption方式等）および／または順序保存暗号方式（OPE方式）を用いて暗号化する。なお、データ処理の内容に応じて、暗号方式により処理効率が異なるので、各属性項目は、準同型暗号方式で暗号化された属性値、順序保存暗号方式で暗号化された属性値、検索可能暗号方式で暗号化された属性値等、複数の暗号方式で保持しておいてもよい。また、データ形式が文字列の場合は、検索可能暗号方式、もしくは暗号文上で完全一致が可能なＡＥＳ暗号等を用いて暗号化する。なお、データ形式ごとに適用する上記暗号方式は一例であって、どの属性項目の属性値について暗号化するか、また、どの暗号方式で暗号化するか等は、機微データを保有する組織が適宜決定してもよい。

【0057】

復号部２０６は、管理サーバ４００からの復号要求（図５において詳述。）に応じ、復号鍵を用いて、管理サーバ４００が受け付けた処理の要求に係る共有データの暗号化された属性値を復号する。より詳しくは、復号部２０６は、管理サーバ４００からの復号要求がされた共有データのうち、鍵管理部２０４が管理する暗号鍵で暗号化した属性項目の属性値について、記憶部２０３から対応する復号鍵を取得して、暗号化した暗号方式に従って復号する。また、復号部２０６は、属性値だけでなく、上述の属性値を暗号化状態のまま演算可能な暗号方式で演算した実行結果も復号できる。なお、復号アルゴリズムは、周知の技術であるので説明を省略する。

【0058】

また、復号部２０６は、復号した属性値を含む共有データを制御部２０２に送る。制御部２０２は、通信部２０１を介して、共有データをネットワークＮＷ等に接続するサーバ等に送信する。

【0059】

（データ変換サーバ３００の機能構成）
図４は、データ変換サーバ３００の機能構成の一例を示す機能ブロック図である。図４を参照して、データ変換サーバ３００の機能構成の一例について説明する。

【0060】

データ変換サーバ３００は、通信部３０１と、制御部３０２と、記憶部３０３と、を備える。

【0061】

通信部３０１は、端末装置１００の通信部１０１と同様に、ネットワークＮＷ等を介してサーバや装置等と所定の通信プロトコルに従って通信を行うための通信インタフェース回路を有する。通信部３０１は、受信したデータを制御部３０２に送る。また、通信部３０１は、制御部３０２から受け取ったデータを、ネットワークＮＷ等を介してサーバや装置等に送信する。なお、通信部３０１は、ネットワークＮＷ等を介した装置等と、セキュリティが確保されたセキュアな通信チャンネルでデータを送受信する。

【0062】

制御部３０２は、端末装置１００の制御部１０５と同様に、データ変換サーバ３００の各機能を制御し、予め記憶部３０３（後述）に記憶されているプログラムに基づいて動作するＣＰＵ等のプロセッサである。制御部３０２は、データ提供サーバ２００が提供する共有データに対し、開示レベルに関する情報（図５において詳述。）に基づいて、所定の変換を行って、開示データを生成する。制御部３０２は、通信部３０１に対し、生成した開示データを、処理の要求を送信した端末装置６００へ送信するよう制御する。

【0063】

ここで、「所定の変換」は、属性値の抽象化、ノイズ付加、または置換を行う処理のいずれか一つを含む。属性値の抽象化とは、例えば、属性値の情報の粒度を粗くすることである。情報の粒度とは、情報の細かさであり、例えば、粒度が粗いほど、情報が単純化、概数化、グループ化され、粒度が細かいほど、具体化される。すなわち、粒度が粗いほど、情報を一意に特定することが困難になる。

【0064】

属性項目の内容に応じて、どのように属性値を変換するかは、予め、データを提供する者が開示レベルに関する情報として設定しておいてよい。

【0065】

例えば、属性項目が都道府県に対応する場合、開示レベルに関する情報として、都道府県名の粒度を変更し、都道府県名を地域名に変換して開示する旨の設定がされているときは、制御部３０２は、属性値の都道府県名を地域名に変換した開示データを生成してもよい。例えば、属性値が「東京」であった場合、制御部３０２は、「関東」（地域名）に変換した開示データを生成する。また、具体的な地域名ではなく、「地域１」のようなグループ名に変換した開示データを生成してもよい。また、属性項目が住所に対応する場合、丁目や番地を削除し、市町村や区名までに変換した開示データを生成してもよい。

【0066】

また、例えば、属性項目が売り上げに対応する場合、開示レベルに関する情報として、数値の粒度を変更し、数値を概数に変換して開示する旨の設定がされているときは、制御部３０２は、属性値の数値を概数に変換した開示データを生成してもよい。例えば、属性値が「4,329,450円」であった場合、制御部３０２は、「4,300,000円」のような概数に変換した開示データを生成する。なお、どの位までの概数にするかは、機微データの保有者等が開示レベルに応じて適宜設定することができる。例えば、百万の位までの概数、一万の位までの概数のように、段階的に異ならせてもよい。また、属性項目に係る属性値のうち、特徴値や最頻値のみ概数に変換して開示するようにしてもよい。

【0067】

また、例えば、属性項目が製品ＩＤ（製品名）に対応する場合、開示レベルに関する情報として、製品ＩＤの粒度を変更し、製品ＩＤを製品のカテゴリ（種類）に変換して開示する旨の設定がされているときは、制御部３０２は、属性値の製品ＩＤを製品のカテゴリに変換した開示データを生成してもよい。例えば、属性値が「SL9018BL」のような、製品を識別する製品ＩＤの場合は、製品のカテゴリである「事務用品」に変換した開示データを生成する。なお、設定される開示レベルによって、製品のサブカテゴリに変換するようにしてもよい。例えば、「事務用品」のサブカテゴリとして、「封筒」や「クリップ」というように、さらに製品の種類を特定するような情報を開示してもよい。

【0068】

また、例えば、属性項目が年齢に対応する場合は、数値の粒度を変更し、年齢によって区分けした層（年代）に変換した開示データを生成してもよい。例えば、属性値が「２６歳」であった場合、制御部３０２は、「２０代」に変換した開示データを生成する。

【0069】

また、制御部３０２は、所定の変換として、データ提供サーバ２００が提供する共有データに対し、属性値に所定の数値幅を付加して、開示データを生成してもよい。例えば、属性項目が年齢や体重に対応する場合は、差分プライバシー（Differential Privacy）の手法を用い、数値にノイズ（所定の数値幅）を付加する変換をしてもよい。例えば、属性値が「２６歳」であった場合は、「２３～２９歳」のように、３歳の幅を持たせる変換をして開示データを生成する。

【0070】

このように属性値を生データのまま開示するのではなく、所定の変換をして開示することで、機微データの内容を保護しつつ、分析対象として意味のあるデータとして共有することができる。なお、上述した所定の変換は、一例であり、これらに限られない。

【0071】

一方、開示が許可されていない属性項目の属性値については、暗号化された属性値のまま開示してもよいが、黒塗り等のマスキングや「＊」等の符号を用いた伏字に置換した開示データを生成してもよい。また、不可逆的なハッシュ等を含む暗号化データや、元のデータを学習して生成させたデータ、ランダムに生成させたデータに変換したり、付加して開示データを生成してもよい。また、開示が許可されていない属性項目の属性値について、非公開である旨のメッセージや、開示するために必要な課金額等の記載に置換した開示データを生成してもよい。

【0072】

また、本実施形態では、制御部３０２は、生成した開示データを、処理の要求を送信した端末装置６００に送信するが、制御部３０２は、生成した開示データを管理サーバ４００に送信し、管理サーバ４００から、処理の要求を送信した端末装置６００に、当該開示データを送信するようにしてもよい。

【0073】

記憶部３０３は、端末装置１００の記憶部１０３と同様の記憶装置等を有する。また、記憶部３０３は、データ変換サーバ３００の各種処理に用いられるコンピュータプログラム等が格納される。コンピュータプログラムは、コンピュータ読み取り可能な可搬型記録媒体から公知のセットアッププログラム等を用いて記憶部３０３にインストールされてもよい。記憶部３０３は、上述した、属性値に対する所定の変換について、変換の対応関係を示すテーブルを記憶する。対応関係を示すテーブルについては後述（図８）する。

【0074】

（管理サーバ４００の機能構成）
図５は、管理サーバ４００の機能構成の一例を示す機能ブロック図である。図５を参照して、管理サーバ４００の機能構成の一例について説明する。

【0075】

管理サーバ４００は、通信部４０１と、記憶部４１０と、制御部４２０と、を備える。

【0076】

通信部４０１は、端末装置１００の通信部１０１と同様に、管理サーバ４００がネットワークＮＷ等を介して各サーバや装置等と所定の通信プロトコルに従って通信を行うための通信インタフェース回路を有する。通信部４０１は、受信したデータを制御部４２０に送り、また、制御部４２０から受け取ったデータを、ネットワークＮＷ等を介してサーバや装置等に送信する。

【0077】

また、通信部４０１は、共有データベース５００に格納される共有データに対する処理の要求を受け付ける「受付部」として機能する。なお、通信部４０１は、ネットワークＮＷ等を介した装置等と、セキュリティが確保されたセキュアな通信チャンネルでデータを送受信する。

【0078】

記憶部４１０は、端末装置１００の記憶部１０３と同様の記憶装置等を有する。また、記憶部４１０は、管理サーバ４００の各種処理に用いられるコンピュータプログラム等が格納される。

【0079】

記憶部４１０は、機微データの属性項目ごとに設定される処理の権限に関する情報である設定ファイル４１１を有する。処理の権限は、属性項目ごとの属性値の開示に関する権限を含む。属性値の開示に関する権限は、開示を許可するユーザに関する情報を含み、例えば、プラットフォームに参加する組織のうち、機微データの開示を許可する組織を示す情報である。なお、当該組織のうち、部署やグループ、職位が一定以上の者、のように、組織内における集団や、職位に関する情報を含んでもよい。また、メールアドレスやドメイン、開示を許可する個人を特定する情報を含んでもよい。

【0080】

また、属性値の開示に関する権限は、属性値に対する開示レベルに関する情報を含む。例えば、開示レベルを複数の段階に分け、属性値の生データを開示する（レベル高）、属性値（数値や文字）を所定の変換をして開示する（レベル中）、属性値の開示を許可しない（レベル低）、のようにレベル分けしてもよい。

【0081】

また、属性値の開示に関する権限は、複数の段階を有する入力要素を用いて設定されてもよい。例えば、開示レベルの複数の段階について、数値入力や、スライドバー等の入力要素を用いて設定されてもよい。開示レベルを複数の段階（例えば、４以上の段階）に分けることで、情報の粒度をより細かく変更できるようにしてもよい。

【0082】

このように、開示レベルに応じて、属性値の開示内容を段階的に異ならせることができる。例えば、開示データは、復号された属性値、所定の変換がされた属性値、暗号化された属性値のうちの少なくとも一つを含む。したがって、開示レベルに関する情報に基づいて、開示データが生成され、ユーザの端末装置に表示されるため、機微データを提供したユーザにとっては、セキュリティレベルを管理しつつ共有することができ、また、機微データを利用するユーザにとっては、自組織内のデータベースであるかのようにデータ利用することができる。

【0083】

また、例えば、課金額によって、開示する内容を異ならせることで、すべてを非開示にする場合よりも、機微データを利用するユーザに対し、詳細な内容を知りたいという意欲を高め、利用動機やより高い料金を支払う動機付けを与える事ができる。

【0084】

制御部４２０は、全体制御部４２１と、権限管理部４２２と、演算実行部４２３と、復号要求部４２４と、を有する。全体制御部４２１は、端末装置１００の制御部１０５と同様に、管理サーバ４００の各機能を制御し、予め記憶部４１０に記憶されているプログラムに基づいて動作するＣＰＵ等のプロセッサである。

【0085】

権限管理部４２２は、機微データの属性項目ごとに設定される処理の権限を管理する。権限管理部４２２は、例えば、端末装置１００等において入力された、機微データの属性項目ごとに設定される処理の権限に関する情報を、通信部４０１を介して受け付け、設定ファイル４１１として記憶部４１０に記憶させる。なお、処理の権限に関する情報は、データ提供サーバ２００において設定され、管理サーバ４００と共有してもよいし、予め、データ共有システム１の運営者によって設定されていてもよい。

【0086】

また、権限管理部４２２は、機微データの属性項目の内容に応じて、開示レベルを設定しておいてもよい。例えば、属性項目が「氏名」のような、個人を特定する情報の場合は、属性値を非開示（開示レベル低）と自動的に設定してもよい。また、権限管理部４２２は、受け付けた処理の権限に関する情報に基づいて、属性項目の内容と、実際に行われた所定の変換との関係を学習し、開示レベルを自動的に設定するようにしてもよい。

【0087】

また、処理の権限に関する情報は、データを提供したデータ提供サーバ２００において管理してもよい。この場合、権限管理部４２２は、共有データに対する閲覧の処理の要求を通信部４０１が受け付けるごとに、当該共有データを提供したデータ提供サーバ２００に対し、開示可否等を問い合わせる。

【0088】

なお、本実施形態では、処理の権限は、管理サーバ４００において管理しているが、データ提供サーバ２００において管理するようにしてもよいし、データ提供サーバ２００および管理サーバ４００の両方で管理するようにしてもよい。

【0089】

演算実行部４２３は、共有データに対する演算の処理を実行する。そして、演算実行部４２３は、処理の実行結果を復号要求部４２４（後述）へ送る。ここで、演算の処理とは、共有データの属性項目の少なくとも一部を対象とする検索処理または統計処理またはその両方の処理を含む。本実施形態では、検索処理は、所定の条件を満たすレコードを抽出する処理のことをいう。また、統計処理は、例えば、集計用の関数により行う処理であって、代表的には、テーブルの行数（レコード）を数える処理（ＣＯＵＮＴ関数）、テーブルの数値列のデータを合計する処理（ＳＵＭ関数）、テーブルの数値列のデータを平均する処理（ＡＶＧ関数）、テーブルの任意列のデータの最大値を求める処理（ＭＡＸ関数）、テーブルの任意列のデータの最小値を求める処理（ＭＩＮ関数）などであるが、これらに限られない。対象セグメントごとにまとめる「ＧＲＯＵＰ ＢＹ」、順序を昇順・降順に並び替える「ＯＲＤＥＲ ＢＹ」のようなＳＱＬ構文であってもよい。

【0090】

なお、本実施形態では、演算の処理は、管理サーバ４００において実行しているが、データ提供サーバ２００や、共有データベース５００に、演算実行部４２３と同様の機能を持たせ、演算の処理を実行させてもよい。

【0091】

復号要求部４２４は、処理の要求に係る共有データの属性項目に設定された処理の権限に基づいて、データ提供サーバ２００に対し、当該属性項目に係る属性値の復号要求を行う。復号要求部４２４は、例えば、通信部４０１が閲覧の処理の要求を、端末装置６００－１から受け付けた場合、設定ファイル４１１にアクセスして、当該処理の要求に係る共有データの属性項目に設定された処理の権限を参照する。復号要求部４２４は、当該処理の権限と、端末装置６００－１に関連付けられたユーザの識別子等に基づいて、端末装置６００－１に関連付けられたユーザが、開示が許可されたユーザであるかを判断する。復号要求部４２４は、端末装置６００－１のユーザが、開示が許可されたユーザであると判断した場合は、データ提供サーバ２００に対し、処理の要求に係る共有データの属性値の復号要求を行う。なお、ユーザについて「開示が許可された」とは、生データの開示および、所定の変換をして開示されることが許可されていることを含む。

【0092】

なお、本実施形態では、上述の復号要求に、共有データベース５００に格納された共有データのうち、処理の要求に係る共有データを含ませる。しかしながら、データ提供サーバ２００において、管理サーバ４００に送信した機微データが記憶されている場合は、復号要求に共有データを含ませなくてもよい。また、復号要求には、開示レベルに関する情報を含ませてもよい。データ変換サーバ３００は、データ提供サーバ２００を介して取得した開示レベルに関する情報に基づいて、所定の変換を行う。

【0093】

また、復号要求部４２４は、処理の要求に係る共有データに含まれるレコード数に基づいて、復号要求を行ってもよい。処理の要求に係る共有データのレコード数が、所定の数以下（例えば、１個。）の場合は、共有データに所定の変換を行ったとしても、データが特定できるおそれがある。したがって、復号要求部４２４は、レコード数が所定の数以下の場合は、復号要求しないと判断してもよい。なお、データが特定できるおそれがある場合に復号要求しない条件については、レコード数に限らず、生データとして開示が許可されている属性項目の組み合わせなどに基づいてもよい。

【0094】

また、復号要求部４２４は、演算実行部４２３から実行結果を受け付けると、演算の処理の対象である属性項目を含む機微データを提供したデータ提供サーバ２００に対し、当該データ提供サーバ２００が管理する復号鍵によって実行結果を復号するよう要求する。すなわち、演算の処理の対象である属性項目の属性値について、統計処理のため暗号化状態のまま演算を行った実行結果は、当該属性項目を含む機微データを提供したデータ提供サーバ２００が管理する暗号鍵で暗号化されている。このため、復号処理は、暗号鍵に対応する復号鍵を管理するデータ提供サーバ２００によって行われる必要がある。そこで、復号要求部４２４は、処理の要求に係る機微データを提供したデータ提供サーバ２００に対し、実行結果の復号要求を行う。データ提供サーバ２００の復号部２０６は、実行結果の復号要求に応じて、上述の共有データの暗号化された属性値の復号と同様に、機微データを暗号化した暗号鍵に対応する復号鍵を用いて、実行結果を復号する。なお、演算の実行結果の開示に関しても、上述のように所定の変換をして開示データを生成してもよい。

【0095】

図６は、機微データのデータ構造の一例を示した図である。図６において、テーブル１０００と、テーブル１１００が示されている。

【0096】

本実施形態において、機微データは、会社Ａの顧客に関する情報である。テーブル１０００は、機微データとして、属性項目１０１０と、レコード１０２１，１０２２，１０２３と、を含む。

【0097】

属性項目１０１０は、項目（カラム名）として、「会員番号」、「氏名」、「住所」、「生年月日」、「年齢」、「性別」、「メールアドレス」、「購入金額」などを含む。

【0098】

レコードは、テーブルの一行分のデータであり、属性項目に対応する属性値を含む。図６の例では、レコード１０２１，１０２２，１０２３の３レコードが含まれている。例えば、レコード１０２１の属性項目「会員番号」に対応する属性値は「12345」である。同様に、「氏名」は「倉持修一」、「住所」は「東京都東大和市中央4-2-7」、「生年月日」は「1951年3月8日」、「年齢」は「71」、「性別」は「男」、「メールアドレス」は「[e-mail]」、「購入金額」は「35210」に対応する。

【0099】

テーブル１１００は、テーブル１０００で示される機微データの属性値がセルごとに暗号化されている。図３において述べたように、属性値が数値である場合は、準同型暗号方式および／または順序保存暗号方式で暗号化し、属性値が文字列である場合は、AESおよび／または検索可能暗号方式で暗号化してもよい。なお、暗号方式は例示であって、上述の方式に限らない。

【0100】

図６に示すように、属性値が暗号化されると、数字やアルファベット等のランダムな羅列になる。このため、暗号化された機微データをユーザが閲覧しても、データの意味を理解することはできない。なお、本実施形態では、属性項目は暗号化せず、プラットフォームに参加するユーザには属性項目名は共有される。どのような属性項目が共有データに含まれているかをユーザに知らせることで、データ開示のための料金を支払う動機付けを与えることができる。

【0101】

また、属性値は、セルごとに暗号化する他に、カラムごとに暗号化してもよい。属性値を、１レコードごとに暗号化したデータと、カラム全体で暗号化したデータとを生成し、要求される処理の内容に応じて復号する対象を選択できるようにしてもよい。１レコードごとに暗号化したデータは検索や統計の処理には適しているが、データサイズが大きくなる一方で、カラムごとに暗号化したデータは、閲覧の処理については、レコードごとに暗号化したデータよりも復号の処理工数が少なくなるという効果がある。

【0102】

図７は、処理の権限を設定する画面の一例を示す図である。図７を参照して、属性項目ごとの属性値の開示に関する権限の設定例について説明する。ユーザは、例えば、データ共有システム１のポータルサイトにアクセスし、端末装置等に管理画面を表示させ、当該システム１に提供する機微データの処理の権限を、ポータルサイトの管理画面を介して設定できるようにしてもよい。

【0103】

テーブル２０００は、属性値の開示に関する権限を、開示の対象であるユーザ（組織等）ごとに、段階的にスライドバーで開示レベルを示している。図７の例では、３段階の開示レベルがあり、開示レベル３は属性値を生データで開示、開示レベル２は属性値を所定の変換をして開示、開示レベル１は属性値を非開示、という開示に関する権限が設定される。すなわち、属性項目「項目１」では、会社Ｂおよび会社Ｃに対しては開示レベル３、会社Ｄに対しては開示レベル２、会社Ｅに対しては開示レベル１が設定されている。なお、開示レベル１（非開示）の場合、内容が分からないように開示されるが、例えば、属性値が暗号化された値で開示したり、属性値が「非開示」である旨の表示や、伏字等のマスキング、開示するための課金額等の表示にしてもよい。

【0104】

なお、属性値の開示に関する権限は、図７のようなスライドバー以外にも、数値入力であったり、チェックボックスであったり、複数の段階を有する入力要素を用いて設定されてよい。また、組織ごとに設定するのではなく、一括選択・解除できるようにしたり、属性項目の内容によって、よく設定される開示レベルを初期設定としてユーザに提示したりするようにしてもよい。また、図７では、開示レベルが３段階であるが、これよりも多い段階に区分して、開示する情報の粒度を細かく変更できるようにしてもよい。

【0105】

テーブル２０００において設定された処理の権限に関する情報は、管理サーバ４００の設定ファイル４１１として記憶される。

【0106】

図８は、所定の変換の対応関係の一例を示す図である。例えば、データ変換サーバ３００は、属性項目の属性値について、テーブル３０００に基づいて、所定の変換を行う。なお、テーブル３０００は、データ提供サーバ２００や、管理サーバ４００から取得してもよい。

【0107】

テーブル３０００は、属性項目ごとの属性値の変換例を示している。例えば、属性項目「会員番号」に対しては、「ランダマイズ」（数字をランダムに並べ替え）に変換する。例えば、属性項目「住所」に対しては、住所を市町村名までに変換する。属性項目「生年月日」に対しては、生年月日を西暦までに変換する。属性項目「年齢」に対しては、年齢を年代に変換する。属性項目「購入金額」に対しては、上１桁までの位の概数に変換する。

【0108】

なお、「所定の変換」として、開示レベルに応じて、さらに細かく変換を定義してもよい。例えば、住所は、市町村名ではなく、情報の粒度を粗くして、地域（関東、東北など）にしてもよいし、地域名ではなく、クラスタリングしたグループで表示するようにしてもよい。

【0109】

また、属性項目の属性値に対する「所定の変換」を、ユーザがプルダウンなどで複数の選択肢から選択できるようにしてもよい。例えば、図６において説明したテーブル１０００の属性項目を選択すると、プルダウンで、変換の方法が提示され、ユーザが提示された方法の中から選択できるようにしておいてもよい。選択肢として提示する変換は、予めシステムの運営側が設定しておいてもよいし、過去に選択された変換の方法を機械学習して、選択される可能性が高い方法を提案するようにしてもよい。また、選択された変換の方法は、テーブル１０００において、表示されるようにしておいてもよい。

【0110】

図９は、開示データの例を示す図である。図９を参照して、図６で示した機微データ（図６のテーブル１０００参照）に基づいて生成された開示データの例を説明する。共有データの閲覧を要求したユーザには、開示データ４０００や５０００のようなデータが提供され、ディスプレイなどに表示される。ユーザに設定された処理の権限によって、表示されるデータの内容が異なる。

【0111】

開示データ４０００において、属性項目「氏名」、「生年月日」、「メールアドレス」は、非開示のデータである。属性項目「氏名」、「生年月日」は暗号化された属性値が記載されており、属性項目「メールアドレス」は「＊＊＊＊＊＊」のような伏字（マスキング）が記載されている。暗号化した値のまま表示するか、マスキングで表示するかは、機微データを提供するユーザやシステム側の事業者が適宜設定してもよい。

【0112】

属性項目「性別」は、生データが開示されている。すなわち、暗号化された属性値を復号した属性値が記載されている。

【0113】

属性項目「会員番号」は、数字をランダムに並べ替えた値が記載されている。属性項目「住所」は、住所を市町村名までに変換したもの、属性項目「年齢」は、年齢を年代に変換したもの、属性項目「購入金額」は、金額を上１桁の概数に変換したものが記載されている。

【0114】

開示データ５０００は、機微データ１０００に基づいて生成された開示データであるが、開示データ４０００とは開示される内容が異なる。

【0115】

開示データ５０００において、下から２行分のレコードは、ダミーデータである。生データを学習して生成されたデータであったり、ランダムに生成させたデータであったりしてもよい。一定数以上のレコードを含むデータの閲覧を要求されたが、もともとの共有データに含まれるレコード数が足りない場合などにダミーデータが追加される。

【0116】

属性項目「住所」は、住所を地域名に変換したものが記載されている。属性項目「年齢」は、年齢に、「±３」をランダムに加算して変換した値が記載されている。なお、属性項目「年齢」について、具体的な年齢を開示データとする場合は、属性項目「生年月日」を強制的に非開示にする設定にしてもよい。年齢から、生年月日の誕生年が分かってしまう場合があるからである（その逆も同様である。）。属性項目の組み合わせによって、どちらかの生データが分かってしまうような場合を予め登録しておき、開示する組み合わせの禁忌としておいてもよい。

【0117】

属性項目「性別」は、男性か女性かの性別を数字に変換したものが記載されている。数字で表すことで、性別は明らかにはしないが、どちらかのグループとして開示することができる。

【0118】

属性項目「購入金額」は、非開示のデータであり、「開示には××円必要です」のように開示に必要な料金が表示されている。情報の粒度によって、異なる料金を比較できる態様で表示してもよい。

【0119】

図１０は、データ共有システム１において開示データが表示されるまでの処理の一例を示すフローチャートである。図１０を参照して、データ共有システム１における処理の流れの一例を説明する。なお、処理の流れは一例であり、図１０に示す順序に限られない。

【0120】

ステップＳ１０１において、管理サーバ４００の通信部４０１は、端末装置６００から共有データに対する閲覧の処理の要求を受け付ける。なお、処理の要求は、処理の要求をした端末装置６００のユーザ情報など、送信元を識別するための情報を含んでもよい。通信部４０１は、受け付けた処理の要求を復号要求部４２４に送る。

【0121】

ステップＳ１０２において、復号要求部４２４は、処理の要求に係る共有データの開示レベルの確認を行う。例えば、復号要求部４２４は、設定ファイル４１１にアクセスし、当該処理の要求に係る共有データの属性項目に設定された権限を参照する。

【0122】

ステップＳ１０３において、復号要求部４２４は、データ提供サーバ２００に対し、処理の要求に係る共有データの属性値の復号要求を行う。例えば、復号要求部４２４は、開示レベルとして、生データの開示が許可、または、所定の変換をして開示が許可されている属性値に関して復号要求を行う。ここで、開示が許可されていない（つまり、非開示）属性値に関しては、処理の要求に係る属性値を暗号化したままで、データ提供サーバ２００から、処理の要求をした端末装置６００に送信してもよい。また、開示が許可されていない属性値も含めて、処理の要求に係る共有データ全てについても復号要求し、後述するステップＳ１０５で、開示レベルに従って変換を行ってから、端末装置６００に送信するようにしてもよい。

【0123】

ステップＳ１０４において、データ提供サーバ２００の復号部２０６は、復号要求に応じて、共有データの属性値を暗号化した暗号鍵に対応する復号鍵を用いて、属性値を復号する。そして、復号部２０６は、復号された属性値を含む処理の要求に係る共有データを、通信部２０１を介して、データ変換サーバ３００に送信する。また、復号部２０６は、共有データとともに、開示レベルに関する情報をデータ変換サーバ３００に送信する。なお、ステップＳ１０２で参照した設定ファイル４１１において、生データの開示が許可されている属性項目の属性値は、復号部２０６から、通信部２０１を介して、閲覧の処理を送信した端末装置６００に送信してもよい。データ変換サーバ３００を介して端末装置６００に送信するよりも、通信工程を削減することができる。

【0124】

ステップＳ１０５において、データ変換サーバ３００の制御部３０２は、開示レベルに関する情報に基づいて、共有データに係る属性値に所定の変換を行って、開示データを生成する。また、制御部３０２は、開示が許可されていない属性値に関しては、マスキングしたり、非開示である旨の表示に変換して、開示データを生成してもよい。開示データの生成については、上述（図８，図９等参照）した通りであるため、説明を省略する。データ変換サーバ３００は、生成した開示データを、閲覧の処理の要求を送信した端末装置６００に送信する。

【0125】

なお、開示データは、データ変換サーバ３００から管理サーバ４００を介して、端末装置６００に送信されるようにしてもよい。管理サーバ４００が、データのルーティングを管理することで、データ共有システム１における通信制御を効率化することができる。

【0126】

ステップＳ１０６において、端末装置６００は、受信した開示データをディスプレイ等に表示させ、処理が終了する。

【0127】

（ハードウェア構成図）
図１１は、管理サーバ４００のハードウェア構成を示すブロック図である。管理サーバ４００は、コンピュータ９０１に実装される。コンピュータ９０１は、ＣＰＵ９０２と、主記憶装置９０３と、補助記憶装置９０４と、インタフェース９０５と、を備える。

【0128】

管理サーバ４００の各構成要素の動作は、プログラムの形式で補助記憶装置９０４に記憶されている。ＣＰＵ９０２は、プログラムを補助記憶装置９０４から読み出して主記憶装置９０３に展開し、当該プログラムに従って上記処理を実行する。また、ＣＰＵ９０２は、プログラムに従って、記憶領域を主記憶装置９０３に確保する。当該プログラムは、具体的には、コンピュータ９０１に、データ処理を行わせるプログラムである。

【0129】

なお、補助記憶装置９０４は、一時的でない有形の媒体の一例である。一時的でない有形の媒体の他の例としては、インタフェース９０５を介して接続される磁気ディスク、光磁気ディスク、ＣＤ－ＲＯＭ、ＤＶＤ－ＲＯＭ、半導体メモリ等が挙げられる。また、このプログラムがネットワークを介してコンピュータ９０１に配信される場合、配信を受けたコンピュータ９０１が当該プログラムを主記憶装置９０３に展開し、処理を実行してもよい。

【0130】

また、当該プログラムは、前述した機能の一部を実現するためのものであってもよい。さらに、当該プログラムは、前述した機能を補助記憶装置９０４に既に記憶されている他のプログラムとの組み合わせで実現するもの、いわゆる差分ファイル（差分プログラム）であってもよい。なお、図１１に示したハードウェア構成は、データ提供サーバ２００、データ変換サーバ３００および端末装置１００，６００も同様の構成としてもよい。これらの装置における各構成要素の動作も、上述の管理サーバ４００と同様に、補助記憶装置に記憶されたプログラムに従ったＣＰＵにより実現する。

【0131】

（効果の説明）
上述したように、本実施形態に係るデータ共有システムは、データ提供サーバと、共有データベースと、管理サーバと、を備え、管理サーバは、共有データベースに格納された共有データ（データ提供サーバにおいて暗号化された機微データ）に対する処理の要求を受け付ける。そして、管理サーバは、当該処理の要求に係る共有データの属性項目に設定された権限に基づいて、データ提供サーバに対し、当該属性項目に係る属性値の復号要求を行う。データ提供サーバが複数の場合は、管理サーバは、処理の要求に係る共有データの属性項目を含む機微データを提供したデータ提供サーバに対し、復号要求を行う。このように、管理サーバは機微データに対する復号鍵を取得せず、機微データを提供したデータ提供サーバに対して、復号要求を行うため、他者とデータを共有するシステム内においても、自己の保有する機微データを自己の鍵で管理することができ、漏洩防止になる。

【0132】

本実施形態においては、機微データの属性項目ごとに設定される処理の権限は、属性項目ごとの属性値の開示に関する権限を含む。これにより、機微データを提供するユーザは、閲覧の処理の要求があった共有データに係る属性値の開示の可否を、属性項目ごとに設定することができる。また、属性値の開示に関する権限は、開示を許可するユーザに関する情報を含むため、属性値の開示を許可するユーザを柔軟に設定することができる。

【0133】

また、本実施形態においては、属性値の開示に関する権限は、属性値に対する開示レベルに関する情報を含む。これにより、機微データの開示する内容を段階的に設定して共有することができるため、セキュリティに配慮しつつ、データの利活用を促進することができる。

【0134】

また、本実施形態においては、属性値の開示に関する権限は、複数の段階を有する入力要素を用いて設定される。これにより、段階的な開示レベルの入力が容易になる。

【0135】

また、本実施形態においては、開示レベルに関する情報に基づいて、共有データに係る属性値に所定の変換を行って、開示データを生成するデータ変換サーバをさらに備える。所定の変換を行った属性値を含む開示データをユーザに提供することにより、ユーザは、他組織の保有する機微データを、あたかも、自身のデータベースであるかのように扱うことができ、セキュリティに配慮しつつ、データの利活用を促進することができる。

【0136】

また、本実施形態においては、所定の変換は、属性値の抽象化、ノイズ付加、または置換を行う処理を含む。情報の粒度（細かさ）などを変更することで、機微データを具体的に開示することなく、データの概要を開示することができる。
。

【0137】

＜実施形態１の変形例１＞
実施形態１に係るデータ共有システム１では、機微データを提供するユーザである会社Ａ側において、鍵管理部、暗号化部、復号部、および開示データを生成するデータ変換サーバを有していた。変形例１に係る共有システムでは、データセンタ側において、上述の鍵管理部および暗号化部、復号部の機能、データ変換サーバの機能を有する。管理サーバでは、暗号化された属性値を復号して、処理の要求に係る共有データ（開示データ）を提供する。データ提供サーバでは、属性項目ごとの処理の権限を設定し、管理サーバは当該処理の権限を管理する。

【0138】

信頼できるデータセンタ側において、データの暗復号および所定の変換を行って共有データ（開示データ）を提供し、機微データの提供者は、自己の保有する機微データの処理の権限を設定できるようにすることで、機微データの開示範囲を制御してセキュリティに配慮しつつも、実施形態１と比較して、データ共有システム内の通信効率を向上させることができる。

【0139】

また、データセンタ側が鍵管理等を行うため、データ共有システムのプラットフォームに参加するユーザは、鍵管理等のセキュアな環境を導入、運営するコストを削減でき、プラットフォームに容易に参加することができる。

【0140】

＜実施形態２＞
実施形態２に係るデータ共有システム２は、プラットフォームに参加する組織である「会社Ａ」、「会社Ｂ」、「会社Ｃ」が保有する機微データを統合した共有データを他組織のユーザと共有するシステムである。

【0141】

図１２は、本実施形態に係るデータ共有システム２の構成を示す図である。図１２を参照して、実施形態２に係るデータ共有システム２の構成について説明する。なお、実施形態１と共通する構成要素には同一の符号を付し、繰り返しの説明を省略する。

【0142】

データ共有システム２は、社内システム１０，３０，４０と、データセンタ５０と、端末装置６００－１，…，６００－Ｎと、を備え、ネットワークＮＷを介して通信可能に接続される。

【0143】

社内システム１０，３０，４０は、それぞれ、会社Ａ，会社Ｂ，会社Ｃの社内システムである。社内システム１０は、端末装置１００－１，…，１００－Ｍと、データ提供サーバ２００－１と、データ変換サーバ３００－１と、を有する。社内システム３０は、端末装置１００－（Ｍ＋１），…，１００－Ｐ（Ｐは自然数。）と、データ提供サーバ２００－２と、データ変換サーバ３００－２と、を有する。社内システム４０は、端末装置１００－（Ｐ＋１），…，１００－Ｑ（Ｑは自然数。）と、データ提供サーバ２００－３と、データ変換サーバ３００－３と、を有する。データ提供サーバ２００－１およびデータ変換サーバ３００－１は、それぞれ、実施形態１に係るデータ提供サーバ２００およびデータ変換サーバ３００と同様の機能を有している。

【0144】

端末装置１００－１，…，１００－Ｑは、特に区別する必要のない限り「端末装置１００」と記載する。また、データ提供サーバ２００－１，２００－２，２００－３は、特に区別する必要のない限り「データ提供サーバ２００」と記載する。また、データ変換サーバ３００－１，３００－２，３００－３は、特に区別する必要のない限り「データ変換サーバ３００」と記載する。

【0145】

データ提供サーバ２００は、端末装置１００から機微データを取得する。機微データは、属性項目としてレコードを識別する識別子を含む。

【0146】

データセンタ５０は、管理サーバ７００と、共有データベース８００と、を有する。

【0147】

管理サーバ７００は、データ提供サーバ２００－１，２００－２，２００－３から、暗号化された機微データを取得し、共有データベース８００に格納する。

【0148】

共有データベース８００は、格納された機微データの属性項目として含まれる識別子に基づいて機微データを統合する。なお、機微データを統合する処理は、管理サーバ７００において実行されてもよい。

【0149】

また、本実施形態では、データ提供サーバ２００は３つであるが、少なくとも２以上の複数であってもよい。

【0150】

図１３は、実施形態２に係る機微データのデータ構造の一例を示した図である。本実施形態において、機微データは、個人に関する情報であって、年齢、性別、収入、居住地域、購買情報などの属性項目と、属性値（文字列又は数値）を含む。また、機微データは、統合キーとして、個人を一意に特定できる識別子（共通ＩＤ）を属性項目として含む。識別子は、数値、文字列またはそれらの組み合わせであってよい。なお、図１３において、説明を簡略化するため、所定の属性項目を示しているが、これに加え、図示しない属性項目を機微データに含ませてもよい。また、統合キーは個人を一意に特定できる識別子に限られず、複数のテーブルにおけるデータを一意に特定できる値であれば、任意の値を用いてもよい。

【0151】

図１３において、属性項目の属性値が格納されたテーブルＴ１，Ｔ２，Ｔ３が示されている。テーブルＴ１は、データ提供サーバ２００－１が提供する機微データ（すなわち、会社Ａが保有するデータ）を示している。テーブルＴ１において、機微データは、属性項目として、個人を一意に特定する識別子である「共通ＩＤ」、個人の年齢を示す「年齢」、個人の性別を示す「性別」、個人の収入を示す「収入」、個人の商品１に対する購買の有無を示す「購買フラグ１」を含む。テーブルＴ１において、属性項目「共通ＩＤ」，「年齢」，「収入」，「購買フラグ１」の属性値は数値である。なお、図１３において「性別」の属性値はカテゴリ（文字列）であるが、性別と数値を対応させる等して、カテゴリを数値で表すようにしてもよい。また、属性値は、視覚的に数値であっても、データ型として文字列で扱ってもよい。

【0152】

テーブルＴ１において、属性項目「共通ＩＤ」に対し属性値「１２３４５」、属性項目「年齢」に対し属性値「４５」、属性項目「性別」に対し属性値「女」、属性項目「収入」に対し属性値「４５０」、属性項目「購買フラグ１」に対し属性値「１」が格納されている。これは、共通ＩＤが１２３４５である個人は、年齢が４５歳、性別が女、収入が４５０（万円）、商品１を購入済み、ということを意味している。同様に、属性項目「共通ＩＤ」の属性値「６７８９０」，「２３４５６」，「９０１２３」，「８９０１２」，「３４５６７」についても、各属性項目に対し属性値が格納される。

【0153】

テーブルＴ２は、データ提供サーバ２００－２が提供する機微データ（すなわち、会社Ｂが保有するデータ）を示している。データ提供サーバ２００－２は、テーブルＴ１で示される機微データを保有する会社Ａとは異なる属性項目を含む機微データを提供する。

【0154】

テーブルＴ２において、機微データは、属性項目として、個人を一意に特定する識別子である「共通ＩＤ」、個人の居住する地域を示す「居住地域」、個人の商品２に対する購買の有無を示す「購買フラグ２」，個人の商品３に対する購買の有無を示す「購買フラグ３」を含む。テーブルＴ２において、属性項目「共通ＩＤ」，「購買フラグ２」，「購買フラグ３」の属性値は数値であり、属性項目「居住地域」の属性値は文字列である。なお、図１３において「居住地域」の属性値はカテゴリ（文字列）であるが、地域と数値を対応させる等して、カテゴリを数値で表すようにしてもよい。例えば、テーブルＴ２において、属性項目「共通ＩＤ」に対し属性値「６７８９０」、属性項目「居住地域」に対し属性値「東京」、属性項目「購買フラグ２」に対し属性値「１」、属性項目「購買フラグ３」に対し属性値「０」が格納されている。これは、共通ＩＤが６７８９０である個人は、居住する地域が東京、商品２を購入済み、商品３は未購入、ということを意味している。同様に、属性項目「共通ＩＤ」の属性値「２３４５６」，「８９０１２」，「１２３４５」，「９０１２３」，「３４５６７」についても、各属性項目に対し属性値が格納される。

【0155】

テーブルＴ１とテーブルＴ２とでは、「共通ＩＤ」以外の属性項目は異なっているが、同一の「共通ＩＤ」で示されるレコードは同一の個人に対応する。例えば、テーブルＴ１の「共通ＩＤ」の属性値「６７８９０」によって特定されるレコード（個人）は、テーブルＴ２の「共通ＩＤ」の属性値「６７８９０」によって特定されるレコード（個人）と同一である。

【0156】

テーブルＴ３は、データ提供サーバ２００－３が提供する機微データ（会社Ｃが保有するデータ）を示している。データ提供サーバ２００－３は、テーブルＴ１およびＴ２で示される機微データを保有する会社Ａおよび会社Ｂとは異なる機微データを提供する。

【0157】

テーブルＴ３において、機微データは、属性項目として、個人を一意に特定する識別子である「共通ＩＤ」、配偶者の有無を示す「配偶者フラグ」、扶養家族の人数を示す「扶養人数」、個人の商品４に対する購買の有無を示す「購買フラグ４」を含む。テーブルＴ３において、属性項目「共通ＩＤ」，「配偶者フラグ」，「扶養人数」，「購買フラグ４」の属性値は数値である。例えば、テーブルＴ３において、属性項目「共通ＩＤ」に対し属性値「２３４５６」、属性項目「配偶者フラグ」に対し属性値「１」、属性項目「扶養人数」に対し属性値「３」、属性項目「購買フラグ４」に対し属性値「１」が格納されている。これは、共通ＩＤが２３４５６である個人は、配偶者を有し、扶養人数は３人であり、商品４を購入済み、ということを意味している。同様に、属性項目「共通ＩＤ」の属性値「９０１２３」，「５６７８９」，「３４５６７」，「７８９０１」，「１２３４５」についても、各属性項目に対し属性値が格納される。

【0158】

テーブルＴ３と、テーブルＴ１及びＴ２とでは、「共通ＩＤ」以外の属性項目は異なっている。また、属性項目「共通ＩＤ」の属性値は、テーブルＴ３にのみ「５６７８９」および「７８９０１」が含まれている。すなわち、各テーブルには、同一のレコードの群ではなく、テーブルごとに異なるレコードを含む群であってもよい。なお、本実施形態においては、図１３で示したように、各データ提供サーバが提供する機微データに含まれる属性項目は、「共通ＩＤ」（識別子）以外は異なるものとしているが、他の実施形態として、同じ属性項目を含んでいてもよい。その場合、各データ提供サーバが提供する機微データを管理サーバ７００で管理してもよい。そして、統合データとしてどのデータ提供サーバが提供する属性値を優先するかは、システム管理者やデータを提供する者等が適宜設定して決定することができる。

【0159】

図１４は、暗号化された機微データのデータ構造の一例を示す図である。図１４において、「共通ＩＤ」以外の属性項目の属性値が暗号化されたテーブルＴ１ｅ，Ｔ２ｅ，Ｔ３ｅが示されている。

【0160】

テーブルＴ１ｅは、データ提供サーバ２００－１（会社Ａ）が管理する暗号鍵に基づいて、テーブルＴ１の「共通ＩＤ」以外の属性値が暗号化されている。例えば、属性値が数値である属性項目「年齢」，「収入」，「購買フラグ１」については、準同型暗号方式および／または順序保存暗号方式で暗号化し、属性値が文字列である属性項目「性別」については、検索可能暗号方式で暗号化する。なお、テーブルＴ１ｅにおいて、説明を簡単にするため、属性値が数値のデータは、例えば、準同型暗号方式で暗号化された値を示している（以下、テーブルＴ２ｅ，Ｔ３ｅにおいても同様）。

【0161】

テーブルＴ２ｅは、テーブルＴ１ｅと同様に、データ提供サーバ２００－２（会社Ｂ）が管理する暗号鍵に基づいて、テーブルＴ２の「共通ＩＤ」以外の属性値が暗号化されている。

【0162】

また、テーブルＴ３ｅも、テーブルＴ１ｅと同様に、データ提供サーバ２００－３（会社Ｃ）が管理する暗号鍵に基づいて、テーブルＴ３の「共通ＩＤ」以外の属性値が暗号化されている。

【0163】

図１５は、統合データのデータ構造の一例を示す図である。図１５において、統合テーブルＴｍは、図１４で示したテーブルＴ１ｅ，Ｔ２ｅ，Ｔ３ｅに含まれる属性項目「共通ＩＤ」の属性値（識別子）を統合キーとして、統合されたテーブルである。すなわち、統合データは、属性項目として「共通ＩＤ」，「年齢」，「収入」，「購買フラグ１」，「居住地域」，「購買フラグ２」，「購買フラグ３」，「配偶者フラグ」，「扶養人数」，「購買フラグ４」を含むテーブルＴｍであって、「共通ＩＤ」以外の各属性項目の属性値は、図１４において示したように、暗号化されている。図１５で示すようなデータ構造を有する統合データは、共有データとして、共有データベース５００に格納される。

【0164】

統合テーブルＴｍにおいて、属性項目「年齢」，「収入」，「購買フラグ１」（カラム）は、データ提供サーバ２００－１（会社Ａ）が提供する機微データである。属性項目「居住地域」，「購買フラグ２」，「購買フラグ３」（カラム）は、データ提供サーバ２００－２（会社Ｂ）が提供する機微データである。属性項目「配偶者フラグ」，「扶養人数」，「購買フラグ４」（カラム）は、データ提供サーバ２００－３（会社Ｃ）が提供する機微データである。

【0165】

テーブルＴ３に含まれ、テーブルＴ１およびＴ２には含まれていない「共通ＩＤ」の属性値「５６７８９」および「７８９０１」については、テーブルＴ１およびＴ２に含まれる属性項目の属性値は、ブランク（NULL）またはダミーの数値を格納するなど、データベースの設計者や管理サーバ４００の管理者等が適宜決定してもよい。または、統合データの属性項目「共通ＩＤ」以外の属性値が格納されていないレコードについては削除するようにしてもよい。

【0166】

すなわち、図１５の例では、図１４のテーブルＴ１ｅ，Ｔ２ｅ，Ｔ３ｅの属性項目「共通ＩＤ」を統合キーとして、横方向へテーブルを統合（「属性項目」（カラム）の追加）及び、縦方向へのテーブルの統合（「レコード」の追加）を含む統合処理が行われている。

【0167】

（管理サーバ７００の機能構成）
図１６は、管理サーバ７００の機能構成の一例を示す機能ブロック図である。図１６を参照して、管理サーバ７００の機能構成の一例について説明する。なお、実施形態１に係る管理サーバ４００と同様の機能構成については同一の符号を付し、重複する説明は省略する。

【0168】

管理サーバ７００は、通信部４０１と、記憶部７１０と、制御部７２０と、を備える。

【0169】

記憶部７１０は、実施形態１に係る管理サーバ４００の記憶部４１０と同様の機能構成を有し、管理サーバ７００の各種処理に用いられるコンピュータプログラム等が格納される。

【0170】

記憶部７１０は、機微データの属性項目ごとに設定される処理の権限に関する情報である設定ファイル７１１を有する。設定ファイル７１１は、属性項目ごとの属性値の開示に関する権限を規定しており、例えば、共有データの属性項目ごとに、開示が許可されるユーザ等が対応付けて記憶している。また、設定ファイル７１１は、統合データの属性項目ごとのデータ提供元などを対応付けて記憶している。処理の権限の設定については、図７等で述べた通りであるので、説明を省略する。

【0171】

また、記憶部７１０は、通信部４０１がデータ提供サーバ２００から受信した、暗号化された機微データを記憶する。
制御部７２０は、全体制御部４２１と、権限管理部７２２と、演算実行部４２３と、復号要求部７２４と、統合データ生成部７２５と、を有する。

【0172】

権限管理部７２２は、機微データの属性項目ごとに設定される処理の権限を管理し、例えば、各データ提供サーバ２００から当該処理の権限に関する情報を受け付け、設定ファイル７１１として記憶部７１０に記憶させる。各データ提供サーバ２００から処理の権限に関する情報を受け付ける点以外は、実施形態１に係る権限管理部４２２と機能構成は同じである。

【0173】

復号要求部７２４は、処理の要求に係る共有データの属性項目に設定された処理の権限に基づいて、データ提供サーバ２００に対し、当該属性項目に係る属性値の復号要求を行う。当該共有データが、複数の機微データを統合して生成されたデータの場合、復号要求部７２４は、設定ファイル７１１を参照して、処理の要求に係る属性項目に係る属性値の送信元であるデータ提供サーバ２００に対し、復号要求を行う。例えば、図１５で示した統合テーブルＴｍの例では、属性項目「年齢」、「性別」、「収入」、「購買フラグ１」の属性値については、データ提供サーバ２００－１へ復号要求を行う。

【0174】

統合データ生成部７２５は、通信部４０１を介して各データ提供サーバ２００から受信し、記憶部７１０に記憶される暗号化された機微データを、機微データに属性項目として含まれる識別子（図１３～図１５の例では共通ＩＤ）に基づいて統合して統合データを生成する。そして、統合データ生成部７２５は、生成した統合データを全体制御部４２１に送り、全体制御部４２１は、通信部４０１を介して、統合データを共有データとして共有データベース５００に格納する。また、統合データ生成部７２５は、統合データを生成した後、統合した機微データを記憶部７１０から削除するようにしてもよい。また、機微データを統合する処理は、管理サーバ７００ではなく、暗号化された機微データを取得した他の情報処理装置が行ってもよい。

【0175】

なお、復号要求部７２４が各データ提供サーバ２００に復号要求を行った後、処理の要求に係る共有データの属性値が復号され、データ変換サーバ３００において、開示データが生成される点は、実施形態１と同様である。各データ変換サーバ３００は、生成した開示データを、処理の要求を送信した端末装置６００に送信し、端末装置６００において各開示データを統合してもよい。また、各データ変換サーバ３００が生成した開示データを、管理サーバ７００に送信し、管理サーバ７００において、開示データを統合して、処理の要求を送信した端末装置６００に統合した開示データを送ってもよい。開示データの統合は、暗号化された機微データの統合処理と同様に行うことができる。

【0176】

なお、図１２において述べたように、統合データ生成部７２５が上記で行った統合データを生成する処理は、共有データベース８００において実行してもよい。

【0177】

（効果の説明）
上述したように、本実施形態に係るデータ共有システムは、複数のデータ提供サーバから提供された機微データを統合したデータを共有データとして、他組織に開示する。この際、管理サーバが、閲覧の処理の要求に係る共有データに含まれる属性値を提供したデータ提供サーバに対し、復号要求を行う。管理サーバは、復号鍵を取得せず、機微データを提供したデータ提供サーバに対して、復号要求を行うため、他者とデータを共有するシステム内においても、自己の保有する機微データを自己の鍵で管理することができ、漏洩防止になる。

【0178】

上記実施形態は、その他の様々な形態で実施されることが可能であり、発明の要旨を逸脱しない範囲で種々の省略、置き換え、変更を行うことができる。これら実施形態やその変形は、発明の範囲や要旨に含まれると同様に、特許請求の範囲に記載された発明とその均等の範囲に含まれるものとする。

【0179】

また、本発明は、以下の各付記に示す態様であってもよい。

【0180】

［付記１］
データ提供サーバと、共有データベースと、管理サーバと、を備えるデータ共有システムであって、
前記データ提供サーバは、
属性項目ごとの属性値を含む機微データを取得する機微データ取得部と、
暗号鍵および復号鍵を管理する鍵管理部と、
前記暗号鍵を用いて、前記機微データの少なくとも一部の属性値を所定の暗号方式で暗号化する暗号化部と、
を有し、
前記共有データベースは、前記データ提供サーバにおいて前記暗号化された機微データを共有データとして記憶し、
前記管理サーバは、
前記機微データの前記属性項目ごとに設定される処理の権限を管理する権限管理部と、
前記共有データに対する処理の要求を受け付ける受付部と、
前記処理の要求に係る共有データの属性項目に設定された前記権限に基づいて、前記データ提供サーバに対し、当該属性項目に係る属性値の復号要求を行う復号要求部と、
を有し、
前記データ提供サーバは、
前記復号要求に応じて、前記復号鍵を用いて、前記処理の要求に係る共有データの前記暗号化された属性値を復号する復号部と、
前記復号された属性値を含む前記処理の要求に係る共有データを提供する提供部と、
をさらに有する、データ共有システム。

【0181】

［付記２］
前記処理の権限は、前記属性項目ごとの属性値の開示に関する権限を含む、［付記１］に記載のデータ共有システム。

【0182】

［付記３］
前記属性値の開示に関する権限は、開示を許可するユーザに関する情報を含む、［付記２］に記載のデータ共有システム。

【0183】

［付記４］
前記属性値の開示に関する権限は、前記属性値に対する開示レベルに関する情報を含む、［付記２］または［付記３］に記載のデータ共有システム。

【0184】

［付記５］
前記提供部が提供する共有データに対し、前記開示レベルに関する情報に基づいて、所定の変換を行って、開示データを生成するデータ変換サーバをさらに備える、［付記４］に記載のデータ共有システム。

【0185】

［付記６］
前記所定の変換は、前記属性値の抽象化、ノイズ付加、または置換を行う処理のいずれか一つを含む［付記５］に記載のデータ共有システム。

【0186】

［付記７］
前記属性値の開示に関する権限は、複数の段階を有する入力要素を用いて設定される、［付記２］から［付記６］のいずれか１つに記載のデータ共有システム。

【0187】

［付記８］
前記開示データは、前記復号された属性値、前記所定の変換がされた属性値、前記暗号化された属性値のうちの少なくとも一つを含む、［付記７］に記載のデータ共有システム。

【0188】

［付記９］
前記データ提供サーバは、少なくとも２以上の複数である、［付記１］から［付記８］のいずれか１つに記載のデータ共有システム。

【0189】

［付記１０］
前記共有データは、複数の前記データ提供サーバにおいて前記暗号化された機微データを、当該機微データの前記属性項目として含まれる識別子に基づいて統合された機微データである、［付記９］に記載のデータ共有システム。

【符号の説明】

【0190】

１，２ データ共有システム、１００，６００ 端末装置、２００ データ提供サーバ、３００ データ変換サーバ、４００，７００ 管理サーバ、５００ 共有データベース、１０１，２０１，３０１，４０１ 通信部、１０５，２０２，３０２，４２０，７２０ 制御部、１０２，２０３，３０３，４１０，７１０ 記憶部、２０４ 鍵管理部、 ２０５ 暗号化部、２０６ 復号部、４１１ 設定ファイル、４２１ 全体制御部、４２２，７２２ 権限管理部、４２３ 演算実行部、４２４，７２４ 復号要求部、７２５ 統合データ生成部、１０３ 入力部、１０４ 出力部。

【図1】

【図2】

【図3】

【図4】

【図5】

【図6】

【図7】

【図8】

【図9】

【図10】

【図11】

【図12】

【図13】

【図14】

【図15】

【図16】

【手続補正書】

【提出日】2023-02-20

【手続補正1】

【補正対象書類名】特許請求の範囲

【補正対象項目名】全文

【補正方法】変更

【補正の内容】

【特許請求の範囲】

【請求項1】

データ提供サーバと、共有データベースと、管理サーバと、データ変換サーバと、を備えるデータ共有システムであって、
前記データ提供サーバは、
属性項目ごとの属性値を含む機微データを取得する機微データ取得部と、
暗号鍵および復号鍵を管理する鍵管理部と、
前記暗号鍵を用いて、前記機微データの少なくとも一部の属性値を所定の暗号方式で暗号化する暗号化部と、
を有し、
前記共有データベースは、前記データ提供サーバにおいて前記暗号化された機微データを共有データとして記憶し、
前記管理サーバは、
前記機微データの前記属性項目ごとに設定される前記属性値の開示に関する権限を管理する権限管理部と、
前記共有データに対する処理の要求を受け付ける受付部と、
前記処理の要求に係る共有データの属性項目に設定された前記権限に基づいて、前記データ提供サーバに対し、当該属性項目に係る属性値の復号要求を行う復号要求部と、
を有し、
前記データ提供サーバは、
前記復号要求に応じて、前記復号鍵を用いて、前記処理の要求に係る共有データの前記暗号化された属性値を復号する復号部と、
前記復号された属性値を含む前記処理の要求に係る共有データを提供する提供部と、
をさらに有し、
前記属性値の開示に関する権限は、前記属性値に対する開示レベルに関する情報を含み、
前記データ変換サーバは、前記提供部が提供する共有データに対し、前記開示レベルに関する情報に基づいて、所定の変換を行って、開示データを生成し、
前記所定の変換は、前記属性値の抽象化、またはノイズ付加を行う処理のいずれかを少なくとも含む、データ共有システム。

【請求項2】

前記属性値の開示に関する権限は、開示を許可するユーザに関する情報を含む、請求項１に記載のデータ共有システム。

【請求項3】

前記属性値の開示に関する権限は、複数の段階を有する入力要素を用いて設定される、請求項２に記載のデータ共有システム。

【請求項4】

前記開示データは、前記復号された属性値、前記所定の変換がされた属性値、前記暗号化された属性値のうちの少なくとも一つを含む、請求項３に記載のデータ共有システム。

【請求項5】

前記データ提供サーバは、少なくとも２以上の複数である、請求項１から請求項４のいずれか一項に記載のデータ共有システム。

【請求項6】

前記共有データは、複数の前記データ提供サーバにおいて前記暗号化された機微データを、当該機微データの前記属性項目として含まれる識別子に基づいて統合された機微データである、請求項５に記載のデータ共有システム。

【請求項7】

データ提供サーバと、共有データベースと、管理サーバと、データ変換サーバと、を備えるシステムにおけるデータ共有方法であって、
前記データ提供サーバが、
属性項目ごとの属性値を含む機微データを取得するステップと、
暗号鍵および復号鍵を管理するステップと、
前記暗号鍵を用いて、前記機微データの少なくとも一部の属性値を所定の暗号方式で暗号化するステップと、
前記共有データベースが、
前記データ提供サーバにおいて前記暗号化された機微データを共有データとして記憶するステップと、
前記管理サーバが、
前記機微データの前記属性項目ごとに設定される前記属性値の開示に関する権限を管理するステップと、
前記共有データに対する処理の要求を受け付けるステップと、
前記処理の要求に係る共有データの属性項目に設定された前記権限に基づいて、前記データ提供サーバに対し、当該属性項目に係る属性値の復号要求を行うステップと、
前記データ提供サーバが、
前記復号要求に応じて、前記復号鍵を用いて、前記処理の要求に係る共有データの前記暗号化された属性値を復号するステップと、
前記復号された属性値を含む前記処理の要求に係る共有データを提供するステップと、
を備え、
前記属性値の開示に関する権限は、前記属性値に対する開示レベルに関する情報を含み、
前記データ変換サーバが、前記データ提供サーバが提供する共有データに対し、前記開示レベルに関する情報に基づいて、所定の変換を行って、開示データを生成するステップをさらに備え、
前記所定の変換は、前記属性値の抽象化、またはノイズ付加を行う処理のいずれかを少なくとも含む、データ共有方法。

【請求項8】

データ提供サーバと、共有データベースと、管理サーバと、データ変換サーバと、を備えるシステムにおけるデータ共有プログラムであって、
前記データ提供サーバの制御部が、
属性項目ごとの属性値を含む機微データを取得するステップと、
暗号鍵および復号鍵を管理するステップと、
前記暗号鍵を用いて、前記機微データの少なくとも一部の属性値を所定の暗号方式で暗号化するステップと、
前記共有データベースの記憶部が、
前記データ提供サーバにおいて前記暗号化された機微データを共有データとして記憶するステップと、
前記管理サーバの制御部が、
前記機微データの前記属性項目ごとに設定される前記属性値の開示に関する権限を管理するステップと、
前記共有データに対する処理の要求を受け付けるステップと、
前記処理の要求に係る共有データの属性項目に設定された前記権限に基づいて、前記データ提供サーバに対し、当該属性項目に係る属性値の復号要求を行うステップと、
前記データ提供サーバの制御部が、
前記復号要求に応じて、前記復号鍵を用いて、前記処理の要求に係る共有データの前記暗号化された属性値を復号するステップと、
前記復号された属性値を含む前記処理の要求に係る共有データを提供するステップと、
を備え、
前記属性値の開示に関する権限は、前記属性値に対する開示レベルに関する情報を含み、
前記データ変換サーバが、前記データ提供サーバが提供する共有データに対し、前記開示レベルに関する情報に基づいて、所定の変換を行って、開示データを生成するステップをさらに備え、
前記所定の変換は、前記属性値の抽象化、またはノイズ付加を行う処理のいずれかを少なくとも含む、データ共有プログラム。

【請求項9】

属性項目ごとの属性値を含む機微データを取得する機微データ取得部と、
暗号鍵および復号鍵を管理する鍵管理部と、
前記暗号鍵を用いて、前記機微データの少なくとも一部の属性値を所定の暗号方式で暗号化する暗号化部と、
前記暗号化された機微データを共有データとして記憶する記憶部と、
前記機微データの前記属性項目ごとに設定される前記属性値の開示に関する権限を管理する権限管理部と、
前記共有データに対する処理の要求を受け付ける受付部と、
前記処理の要求に係る共有データの属性項目に設定された前記権限に基づいて、当該属性項目に係る属性値の復号要求を行う復号要求部と、
前記復号要求に応じて、前記復号鍵を用いて、前記処理の要求に係る共有データの前記暗号化された属性値を復号する復号部と、
前記復号された属性値を含む前記処理の要求に係る共有データを提供する提供部と、
を有し、
前記属性値の開示に関する権限は、前記属性値に対する開示レベルに関する情報を含み、
前記提供部が提供する共有データに対し、前記開示レベルに関する情報に基づいて、所定の変換を行って、開示データを生成するデータ変換部をさらに有し、
前記所定の変換は、前記属性値の抽象化、またはノイズ付加を行う処理のいずれかを少なくとも含む、データ共有システム。