知財求人 - 知財ポータルサイト「IP Force」
特許7549222秘密情報管理プログラム、秘密情報管理方法、データ登録装置、および秘密情報管理システム
(19)【発行国】日本国特許庁(JP)
(12)【公報種別】特許公報(B2)
(11)【特許番号】
(24)【登録日】2024-09-03
(45)【発行日】2024-09-11
(54)【発明の名称】秘密情報管理プログラム、秘密情報管理方法、データ登録装置、および秘密情報管理システム
(51)【国際特許分類】
G09C 1/00 20060101AFI20240904BHJP
G06F 21/62 20130101ALI20240904BHJP
G06F 16/21 20190101ALI20240904BHJP
【ＦＩ】
G09C1/00 660D
G06F21/62 345
G06F16/21
【請求項の数】
17
(21)【出願番号】P 2021048542
(22)【出願日】2021-03-23
(65)【公開番号】P2022147342
(43)【公開日】2022-10-06
【審査請求日】2023-12-07
(73)【特許権者】
【識別番号】000005223
【氏名又は名称】富士通株式会社
(74)【代理人】
【識別番号】110002918
【氏名又は名称】弁理士法人扶桑国際特許事務所
(72)【発明者】
【氏名】舟久保 利昭
(72)【発明者】
【氏名】前田 一穂
【審査官】行田 悦資
(56)【参考文献】
【文献】特開２０２１－０１８５１７（ＪＰ，Ａ）
【文献】国際公開第２０１８／１３８８５７（ＷＯ，Ａ１）
【文献】国際公開第２０１６／１２０９７５（ＷＯ，Ａ１）
【文献】特開２０１２－２４８９４０（ＪＰ，Ａ）
【文献】特開２０１８－０６３６３８（ＪＰ，Ａ）
【文献】特開２００７－１１４８５５（ＪＰ，Ａ）
【文献】特開２０１３－００８１７５（ＪＰ，Ａ）
【文献】特開２０１４－１６４１４５（ＪＰ，Ａ）
【文献】特開２００７－０１１９０３（ＪＰ，Ａ）
【文献】伊藤 隆 ほか，頻度分析耐性を持つ高速秘匿検索方式，電子情報通信学会技術研究報告，日本，社団法人電子情報通信学会，2011年02月24日，第110巻, 第443号，pp.1-6
(58)【調査した分野】(Int.Cl.，ＤＢ名)
Ｇ０９Ｃ １／００
Ｇ０６Ｆ ２１／６２
Ｇ０６Ｆ １６／２１
(57)【特許請求の範囲】
【請求項1】
コンピュータに、秘匿対象の秘匿レコードを１つ以上含む秘匿レコード群における前記秘匿レコード内の一の項目に設定可能な複数の第１項目値それぞれに対して、ｎ個（ｎは自然数）の第２項目値を対応付け、
複数の項目値集合それぞれが、同一の前記第１項目値に対応付けられた２個以上の前記第２項目値のうちの１個からｎ－１個のいずれかの個数の前記第２項目値を含むように、前記第２項目値それぞれを前記複数の項目値集合のいずれかに分類し、
前記秘匿レコード内の前記一の項目に設定されている前記第１項目値を、対応付けられた前記第２項目値のいずれかに確率的に変換し、
前記秘匿レコード群に基づいて、ダミーの前記第２項目値の追加により、同一の項目値集合に属する前記第２項目値に対する検索のヒット件数の均等化を図った攪乱レコード群を生成し、
前記攪乱レコード群内のレコードに、前記レコードに含まれる前記第２項目値の真偽を示すフラグを付与し、
前記攪乱レコード群を暗号化する、
処理を実行させる秘密情報管理プログラム。
【請求項2】
前記第１項目値の前記第２項目値への変換では、前記第２項目値の選択確率がランダムに決定されており、前記第１項目値に対応付けられた前記第２項目値のうちの１つを前記選択確率に従った確率で選択し、前記第１項目値を選択した前記第２項目値に変換する、請求項１記載の秘密情報管理プログラム。
【請求項3】
前記第２項目値の分類では、２以上の前記項目値集合において、属する前記第２項目値に対応する前記第１項目値の組み合わせが同じとなることを抑止する、請求項１または２に記載の秘密情報管理プログラム。
【請求項4】
前記攪乱レコード群の生成では、前記項目値集合に属する前記第２項目値それぞれを同一の前記項目値集合に属する異なる前記第２項目値に全単射する全単射関係に従って、前記秘匿レコードそれぞれの前記一の項目に設定された前記第２項目値それぞれに対応するダミー値を生成し、
前記ダミー値が前記一の項目に設定された、前記秘匿レコードと同数のダミーレコードを有するダミーレコード群を生成し、
前記秘匿レコード群と前記ダミーレコード群とを含む前記攪乱レコード群を生成する、
請求項１ないし３のいずれかに記載の秘密情報管理プログラム。
【請求項5】
前記ダミーレコード群の生成では、前記ダミーレコード群が複数あるとき、前記秘匿レコードの前記一の項目に設定された前記第２項目値が、前記ダミーレコード群ごとに異なる前記第２項目値に変換されるように、前記ダミーレコード群ごとに異なる前記全単射関係を利用する、請求項４記載の秘密情報管理プログラム。
【請求項6】
前記フラグの付与では、前記秘匿レコードに真を示す第１フラグを付与し、前記ダミーレコードに偽を示す第２フラグを付与し、前記暗号化では、前記秘匿レコードと前記ダミーレコードそれぞれの前記一の項目に設定された前記第２項目値、前記秘匿レコードに付与された前記第１フラグ、および前記ダミーレコードに付与された前記第２フラグを暗号化する、
請求項４または５に記載の秘密情報管理プログラム。
【請求項7】
前記第２フラグの付与では、１または複数生成された前記ダミーレコード群ごとに異なり、前記第１フラグとも異なる値の前記第２フラグを、前記ダミーレコード群それぞれに含まれる前記ダミーレコードに付与する、請求項６記載の秘密情報管理プログラム。
【請求項8】
前記第１フラグの付与では、前記秘匿レコードの識別子と前記秘匿レコード群の群番号を示す値とを含む前記第１フラグを前記秘匿レコードに付与し、前記第２フラグの付与では、前記ダミーレコードの識別子と、属する前記ダミーレコード群の群番号とを含む前記第２フラグを前記ダミーレコードに付与する、
請求項７記載の秘密情報管理プログラム。
【請求項9】
前記攪乱レコード群の生成では、前記秘匿レコード内の前記一の項目に設定されている変換前の前記第２項目値を、変換前の前記第２項目値が属する項目値集合に対応付けられ、同じ前記項目値集合に属するいずれの前記第２項目値に対する検索にもヒットする第３項目値に変換することで攪乱レコードを生成し、前記攪乱レコードを含む前記攪乱レコード群を生成する、
請求項１ないし３のいずれかに記載の秘密情報管理プログラム。
【請求項10】
前記フラグの付与では、前記攪乱レコードに、変換前の前記第２項目値を示す情報を含む第３フラグを付与し、前記暗号化では、前記攪乱レコードの前記一の項目に設定された前記第３項目値、および付与された前記第３フラグを暗号化する、
請求項９記載の秘密情報管理プログラム。
【請求項11】
前記第３フラグの付与では、前記秘匿レコードの識別子と、変換前の前記第２項目値に対応する要素の前記項目値集合内での要素番号とを含む前記第３フラグを、前記秘匿レコードに付与する、請求項１０記載の秘密情報管理プログラム。
【請求項12】
前記分類では、前記複数の第１項目値が数値の場合、第１数値範囲内の連続する複数の数値それぞれに対応する前記第２項目値を含む項目値集合に、前記第１数値範囲と重複しない第２数値範囲内の連続する数値それぞれに対応する前記第２項目値が含まれるように、前記第２項目値を前記複数の項目値集合のいずれかに分類する、請求項１ないし１１のいずれかに記載の秘密情報管理プログラム。
【請求項13】
コンピュータが、秘匿対象の秘匿レコードを１つ以上含む秘匿レコード群における前記秘匿レコード内の一の項目に設定可能な複数の第１項目値それぞれに対して、ｎ個（ｎは自然数）の第２項目値を対応付け、
複数の項目値集合それぞれが、同一の前記第１項目値に対応付けられた２個以上の前記第２項目値のうちの１個からｎ－１個のいずれかの個数の前記第２項目値を含むように、前記第２項目値それぞれを前記複数の項目値集合のいずれかに分類し、
前記秘匿レコード内の前記一の項目に設定されている前記第１項目値を、対応付けられた前記第２項目値のいずれかに確率的に変換し、
前記秘匿レコード群に基づいて、ダミーの前記第２項目値の追加により、同一の項目値集合に属する前記第２項目値に対する検索のヒット件数の均等化を図った攪乱レコード群を生成し、
前記攪乱レコード群内のレコードに、前記レコードに含まれる前記第２項目値の真偽を示すフラグを付与し、
前記攪乱レコード群を暗号化する、
秘密情報管理方法。
【請求項14】
秘匿対象の秘匿レコードを１つ以上含む秘匿レコード群を記憶する記憶部と、前記秘匿レコード群における前記秘匿レコード内の一の項目に設定可能な複数の第１項目値それぞれに対して、ｎ個（ｎは自然数）の第２項目値を対応付け、
複数の項目値集合それぞれが、同一の前記第１項目値に対応付けられた２個以上の前記第２項目値のうちの１個からｎ－１個のいずれかの個数の前記第２項目値を含むように、前記第２項目値それぞれを前記複数の項目値集合のいずれかに分類し、
前記秘匿レコード内の前記一の項目に設定されている前記第１項目値を、対応付けられた前記第２項目値のいずれかに確率的に変換し、
前記秘匿レコード群に基づいて、ダミーの前記第２項目値の追加により、同一の項目値集合に属する前記第２項目値に対する検索のヒット件数の均等化を図った攪乱レコード群を生成し、
前記攪乱レコード群内のレコードに、前記レコードに含まれる前記第２項目値の真偽を示すフラグを付与し、
前記攪乱レコード群を暗号化する、
処理部と、
を有するデータ登録装置。
【請求項15】
データベースを有するサーバと、秘匿対象の秘匿レコードを１つ以上含む秘匿レコード群における前記秘匿レコード内の一の項目に設定可能な複数の第１項目値それぞれに対して、ｎ個（ｎは自然数）の第２項目値を対応付け、
複数の項目値集合それぞれが、同一の前記第１項目値に対応付けられた２個以上の前記第２項目値のうちの１個からｎ－１個のいずれかの個数の前記第２項目値を含むように、前記第２項目値それぞれを前記複数の項目値集合のいずれかに分類し、
前記秘匿レコード内の前記一の項目に設定されている前記第１項目値を、対応付けられた前記第２項目値のいずれかに確率的に変換し、
前記秘匿レコード群に基づいて、ダミーの前記第２項目値の追加により、同一の項目値集合に属する前記第２項目値に対する検索のヒット件数の均等化を図った攪乱レコード群を生成し、
前記攪乱レコード群内のレコードに、前記レコードに含まれる前記第２項目値の真偽を示すフラグを付与し、
前記攪乱レコード群を暗号化し、
前記攪乱レコード群を前記データベースに格納する、
データ登録装置と、
検索条件に示される前記一の項目の検索項目値を、前記検索項目値と同じ値の前記第１項目値に対応する１または複数の前記第２項目値それぞれに変換し、
変換により得られた前記第２項目値を暗号文のまま検索する検索クエリを前記サーバに送信し、
前記サーバから、前記データベース内の前記検索クエリにヒットした検出レコードを取得し、
前記検出レコードに付与された前記フラグに基づいて、前記検出レコード内の前記第２項目値にヒットした値の真偽を判断する、
データ利用装置と、
を有する秘密情報管理システム。
【請求項16】
前記データ登録装置は、前記攪乱レコード群の生成では、
前記項目値集合に属する前記第２項目値それぞれを同一の前記項目値集合に属する異なる前記第２項目値に全単射する全単射関係に従って、前記秘匿レコードそれぞれの前記一の項目に設定された前記第２項目値それぞれに対応するダミー値を生成し、
前記ダミー値が前記一の項目に設定された、前記秘匿レコードと同数のダミーレコードを有するダミーレコード群を生成し、
前記秘匿レコード群と前記ダミーレコード群とを含む前記攪乱レコード群を生成し、
前記フラグの付与では、
前記秘匿レコードに真を示す第１フラグを付与し、
前記ダミーレコードに偽を示す第２フラグを付与し、
前記暗号化では、
前記秘匿レコードと前記ダミーレコードそれぞれの前記一の項目に設定された前記第２項目値、前記秘匿レコードに付与された前記第１フラグ、および前記ダミーレコードに付与された前記第２フラグを暗号化し、
前記秘匿レコード群と前記ダミーレコード群とを前記サーバの前記データベースに格納し、
前記データ利用装置は、
変換により得られた前記第２項目値それぞれの暗号文を含む検索クエリを前記サーバに送信し、
前記サーバから、前記データベース内の前記検索クエリによる検索結果を取得し、
前記検索結果に含まれる前記秘匿レコードと前記ダミーレコードそれぞれに設定された前記第１フラグまたは前記第２フラグに基づいて、前記検索結果から前記検索条件を満たす前記秘匿レコードを取得する、
請求項１５記載の秘密情報管理システム。
【請求項17】
前記データ登録装置は、前記攪乱レコード群の生成では、前記秘匿レコード内の前記一の項目に設定されている変換前の前記第２項目値を、変換前の前記第２項目値が属する項目値集合に対応付けられ、同じ前記項目値集合に属するいずれの前記第２項目値に対する検索にもヒットする第３項目値に変換することで攪乱レコードを生成し、前記攪乱レコードを含む前記攪乱レコード群を生成し、
前記フラグの付与では、前記攪乱レコードに、変換前の前記第２項目値を示す情報を含む第３フラグを付与し、
前記暗号化では、前記攪乱レコードの前記一の項目に設定された前記第３項目値、および付与された前記第３フラグを暗号化し、
前記データ利用装置は、
変換により得られた前記第２項目値それぞれを、前記第２項目値に対応する前記第３項目値に変換し、前記第３項目値の暗号文を含む検索クエリを前記サーバに送信し、
前記サーバから、前記データベース内の前記検索クエリによる検索結果を取得し、
前記検索結果に含まれる前記攪乱レコードそれぞれに設定された前記第３項目値と前記第３フラグとを復号し、
前記第３フラグに基づいて前記第３項目値の変換元の前記第２項目値を判断し、
前記検索条件を満たす前記第１項目値に対応する前記第２項目値の暗号文が格納された前記攪乱レコードを、前記検索結果から抽出する、
請求項１５記載の秘密情報管理システム。
【発明の詳細な説明】
【技術分野】
【0001】
本発明は、秘密情報管理プログラム、秘密情報管理方法、データ登録装置、および秘密情報管理システムに関する。
【背景技術】
【0002】
コンピュータシステムでは、ビッグデータと呼ばれる大量のデータを扱うことができる。例えばコンピュータでビッグデータを解析すれば、様々な知見を得ることが可能である。解析に用いるビッグデータの量が多いほど、そのビッグデータから多様な知識を得ることができ、得られた知識の信頼性も向上する。そこで企業などの組織ごとにビッグデータ用の独自のデータベース（ＤＢ）を構築するのではなく、複数の組織のデータを統合したＤＢを、複数の組織で利用することが考えられる。このような統合したＤＢサービスは、例えばクラウドコンピューティングシステム（以下、「クラウド」と呼ぶ）を用いて実現できる。
【0003】
複数の組織のデータを統合したＤＢをクラウドで管理する場合において、データ提供元の組織は、提供したデータの利用を、データ提供元の組織が許可した他の組織のみに制限したい場合がある。またデータ提供元の組織およびデータを利用する組織は、提供されるデータの内容やＤＢ内のデータへの検索内容を、クラウドの管理者にも知られたくない場合もある。これらの場合、ビッグデータを管理するクラウドは、例えば各組織から暗号化されたデータの提供を受け、暗号データをＤＢに格納する。そしてクラウドは、暗号データのままデータの同一性を判定できる照合技術を用いて、データ提供元の組織から渡された鍵で暗号化された検索要求に応じて、ＤＢ内のデータ検索を行う。これにより、データ提供元の組織は、鍵を渡した組織に対してのみ、提供したデータの利用を許可することができる。またクラウドでは、提供されたデータと検索要求とが暗号化されたままであるため、クラウドの管理者にデータの内容を知られることも抑止できる。
【0004】
ＤＢ内のデータの秘匿化に関連する技術としては、例えば頻度分析への耐性を持つ秘匿検索を実現する検索システムが提案されている。また、暗号化により情報提供者のプライバシーを保護しつつ、分析の処理効率を向上できるデータ集計分析システムも提案されている。
【先行技術文献】
【特許文献】
【0005】
【文献】国際公開第２０１２／１１５０３１号公報
【文献】国際公開第２０１６／１２０９７５号公報
【発明の概要】
【発明が解決しようとする課題】
【0006】
暗号データのまま検索を行うことができる秘匿検索技術を用いても、暗号化されたデータの安全性は十分とはいえない。すなわち、暗号データを格納したＤＢに対して頻度分析攻撃が可能であり、検索クエリの内容または検索結果が類推されてしまう場合がある。
【0007】
１つの側面では、本件は、暗号化されたデータへの頻度分析攻撃に対する安全性を向上させることを目的とする。
【課題を解決するための手段】
【0008】
１つの案では、コンピュータに以下の処理を実行させる秘密情報管理プログラムが提供される。
コンピュータは、秘匿対象の秘匿レコードを１つ以上含む秘匿レコード群における秘匿レコード内の一の項目に設定可能な複数の第１項目値それぞれに対して、ｎ個（ｎは自然数）の第２項目値を対応付ける。次にコンピュータは、複数の項目値集合それぞれが、同一の第１項目値に対応付けられた２個以上の第２項目値のうちの１個からｎ－１個のいずれかの個数の第２項目値を含むように、第２項目値それぞれを複数の項目値集合のいずれかに分類する。次にコンピュータは、秘匿レコード内の一の項目に設定されている第１項目値を、対応付けられた第２項目値のいずれかに確率的に変換する。次にコンピュータは、秘匿レコード群に基づいて、ダミーの第２項目値の追加により、同一の項目値集合に属する第２項目値に対する検索のヒット件数の均等化を図った攪乱レコード群を生成する。次にコンピュータは、攪乱レコード群内のレコードに、レコードに含まれる第２項目値の真偽を示すフラグを付与する。そしてコンピュータは、攪乱レコード群を暗号化する。
コンピュータは、秘匿対象の秘匿レコードを１つ以上含む秘匿レコード群における秘匿レコード内の一の項目に設定可能な複数の第１項目値それぞれに対して、ｎ個（ｎは自然数）の第２項目値を対応付ける。次にコンピュータは、複数の項目値集合それぞれが、同一の第１項目値に対応付けられた２個以上の第２項目値のうちの１個からｎ－１個のいずれかの個数の第２項目値を含むように、第２項目値それぞれを複数の項目値集合のいずれかに分類する。次にコンピュータは、秘匿レコード内の一の項目に設定されている第１項目値を、対応付けられた第２項目値のいずれかに確率的に変換する。次にコンピュータは、秘匿レコード群に基づいて、ダミーの第２項目値の追加により、同一の項目値集合に属する第２項目値に対する検索のヒット件数の均等化を図った攪乱レコード群を生成する。次にコンピュータは、攪乱レコード群内のレコードに、レコードに含まれる第２項目値の真偽を示すフラグを付与する。そしてコンピュータは、攪乱レコード群を暗号化する。
【発明の効果】
【0009】
１態様によれば、暗号化されたデータへの頻度分析攻撃に対する安全性を向上させることができる。
【図面の簡単な説明】
【0010】
【図1】第１の実施の形態に係る秘密情報管理システムの一例を示す図である。
【図2】秘密情報管理システムの一例を示す図である。
【図3】データ管理サーバのハードウェアの一構成例を示す図である。
【図4】頻度分析攻撃の一例を示す図である。
【図5】ダミー要素を用いた変換集合の生成例を示す図である。
【図6】ダミー要素を用いた場合の項目値の変換例を示す図である。
【図7】ダミー要素を用いた場合のダミー値の生成例を示す図である。
【図8】ダミー要素を用いた場合の登録データの一例を示す図である。
【図9】暗号文の均一化を説明する図である。
【図10】適切な群数Ｇについて説明する図である。
【図11】頻度攪乱後の頻度分布の一例を示す図である。
【図12】ダミー要素を用いた場合の組み合わせ頻度の一例を示す図である。
【図13】構造的ゼロを利用した検索対象の絞り込みの一例を示す図である。
【図14】分割キーワードへの確率的変換の一例を示す図である。
【図15】変換集合による分割キーワードからダミー値への変換の一例を示す図である。
【図16】変換集合の他の生成例を示す第１の図である。
【図17】変換集合の他の生成例を示す第２の図である。
【図18】秘密情報管理システムの機能を示すブロック図である。
【図19】ダミーデータを用いた出現頻度の攪乱処理の一例を示す図である。
【図20】平文の患者データのＤＢの一例を示す図である。
【図21】データ登録サーバ内の変換情報記憶部に格納される情報の一例を示す図である。
【図22】キーワード一覧の一例を示す図である。
【図23】変換集合の第１の生成例を示す図である。
【図24】変換集合の第２の生成例を示す図である。
【図25】分割キーワードを用いて生成した登録データの一例を示す図である。
【図26】秘匿化ＤＢの一例を示す図である。
【図27】データ登録処理の手順の一例を示すフローチャートである。
【図28】変換集合生成処理の手順の一例を示すフローチャートである。
【図29】ダミーデータ生成処理の手順の一例を示すフローチャートである。
【図30】検索条件入力画面の一例を示す図である。
【図31】端末装置内の変換情報記憶部に格納される情報の一例を示す図である。
【図32】分割キーワードへの変換の一例を示す図である。
【図33】攪乱クエリの生成の一例を示す図である。
【図34】検索処理の一例を示す図である。
【図35】検索処理の手順の一例を示すフローチャートである。
【図36】ダミー値の逆変換の一例を示す図である。
【図37】検索結果表示画面の一例を示す図である。
【図38】分割キーワードによる頻度攪乱の一例を示す図である。
【図39】頻度分析攻撃の一例を示す図である。
【図40】共通キーワードへの変換の一例を示す図である。
【図41】共有集合の他の生成例を示す第１の図である。
【図42】第３の実施の形態におけるデータ登録サーバの変換情報記憶部に格納される情報の一例を示す図である。
【図43】共有集合の生成例を示す図である。
【図44】共有キーワードが格納された秘匿化ＤＢの一例を示す図である。
【図45】データ登録処理の手順の一例を示すフローチャートである。
【図46】共有キーワードへ変換する処理手順の詳細を示すフローチャートである。
【図47】分割キーワードから共有キーワードへの変換の一例を示す図である。
【図48】登録データのレコードの一例を示す図である。
【図49】第３の実施の形態における端末装置の変換情報記憶部に格納される情報の一例を示す図である。
【図50】秘匿化検索クエリの一例を示す図である。
【図51】共有キーワードを用いた秘匿化検索の一例を示す図である。
【図52】検索処理の手順の一例を示すフローチャートである。
【図53】共有キーワードを用いた場合の頻度分析攻撃の困難性を示す図である。
【図54】数値範囲検索の一例を示す図である。
【図55】年齢の共有集合の生成例（比較例）を示す図である。
【図56】年齢の共有集合の生成例を示す図である。
【図57】群数を３とした場合の共有集合の生成例を示す図である。
【発明を実施するための形態】
【0011】
以下、本実施の形態について図面を参照して説明する。なお各実施の形態は、矛盾のない範囲で複数の実施の形態を組み合わせて実施することができる。
〔第１の実施の形態〕
まず、第１の実施の形態について説明する。第１の実施の形態は、キーワードを複数の分割キーワードに確率的に変換し、分割キーワードを暗号化してデータベース（ＤＢ）に登録することで、秘密情報として管理するキーワードの頻度攪乱を実現するものである。このようにして頻度攪乱をしたデータ登録方法およびそのデータの検索方法を含む秘密情報管理方法は、ＳＣＰＤＫ（Share Ciphertext with Probabilistically Divided Keywords）と呼ぶことができる。
〔第１の実施の形態〕
まず、第１の実施の形態について説明する。第１の実施の形態は、キーワードを複数の分割キーワードに確率的に変換し、分割キーワードを暗号化してデータベース（ＤＢ）に登録することで、秘密情報として管理するキーワードの頻度攪乱を実現するものである。このようにして頻度攪乱をしたデータ登録方法およびそのデータの検索方法を含む秘密情報管理方法は、ＳＣＰＤＫ（Share Ciphertext with Probabilistically Divided Keywords）と呼ぶことができる。
【0012】
図１は、第１の実施の形態に係る秘密情報管理システムの一例を示す図である。図１には、秘密情報管理システムを用いた秘密情報管理方法の実現例を示している。秘密情報管理システムは、データ登録装置１、サーバ２、およびデータ利用装置３を有している。データ登録装置１、サーバ２、およびデータ利用装置３それぞれは、例えば秘密情報管理方法を実現するための各装置における処理手順が記述されたプログラムを実行することにより、秘密情報管理方法における各装置の処理を実施することができる。
【0013】
データ登録装置１は、秘密情報管理方法を実現するために、記憶部１ａと処理部１ｂとを有する。記憶部１ａは、例えばデータ登録装置１が有するメモリ、またはストレージ装置である。処理部１ｂは、例えばデータ登録装置１が有するプロセッサ、または演算回路である。図示していないが、サーバ２とデータ利用装置３も、記憶部と処理部とを有する。例えばサーバ２の記憶部は、秘匿化データベース（ＤＢ）２ａを記憶する。
【0014】
データ登録装置１の記憶部１ａは、秘匿対象の秘匿レコードを１つ以上含む秘匿レコード群４を記憶する。
データ登録装置１の処理部１ｂは、第２項目値の生成と分類とを行う（ステップＳ１）。具体的には処理部１ｂは、まず秘匿対象の秘匿レコードを１つ以上含む秘匿レコード群４における秘匿レコード内の一の項目に設定可能な複数の第１項目値それぞれに対して、ｎ個（ｎは自然数）の第２項目値を対応付ける。図１の例では、第１項目値「小児科」は第２項目値「小児科０」、「小児科１」に対応付けられ、第１項目値「婦人科」は第２項目値「婦人科０」、「婦人科１」に対応付けられ、第１項目値「内科」は第２項目値「内科０」、「内科１」に対応付けられている。
データ登録装置１の処理部１ｂは、第２項目値の生成と分類とを行う（ステップＳ１）。具体的には処理部１ｂは、まず秘匿対象の秘匿レコードを１つ以上含む秘匿レコード群４における秘匿レコード内の一の項目に設定可能な複数の第１項目値それぞれに対して、ｎ個（ｎは自然数）の第２項目値を対応付ける。図１の例では、第１項目値「小児科」は第２項目値「小児科０」、「小児科１」に対応付けられ、第１項目値「婦人科」は第２項目値「婦人科０」、「婦人科１」に対応付けられ、第１項目値「内科」は第２項目値「内科０」、「内科１」に対応付けられている。
【0015】
なお一部の第１項目値については、対応する第２項目値が１つであることも許容される。対応する第２項目値が１つの場合、第１項目値と第２項目値とは同じ値であってもよい。
【0016】
処理部１ｂは、複数の項目値集合５ａ～５ｃそれぞれが、同一の第１項目値に対応付けられた２個以上の第２項目値のうちの１個からｎ－１個のいずれかの個数の第２項目値を含むように、第２項目値それぞれを複数の項目値集合５ａ～５ｃのいずれかに分類する。例えば処理部１ｂは、項目値集合５ａに「小児科０」と「内科０」を分類し、項目値集合５ｂに「小児科１」と「婦人科０」を分類し、項目値集合５ｃに「婦人科１」と「内科１」を分類する。このとき処理部１ｂは、複数の項目値集合において、属する第２項目値に対応する第１項目値の組み合わせが同じとなることを抑止する。
【0017】
次に処理部１ｂは、秘匿レコード内の一の項目に設定されている第１項目値を、対応付けられた第２項目値のいずれかに確率的に変換する（ステップＳ２）。例えば各第２項目値には、ランダムに決定された選択確率が設定されている。処理部１ｂは、第１項目値に対して、対応付けられた第２項目値のうちの１つを、それぞれの選択確率に従った確率で選択し、その第１項目値を選択した第２項目値に変換する。
【0018】
処理部１ｂは、秘匿レコード群４に基づいて、ダミーの第２項目値の追加により、同一の項目値集合に属する第２項目値に対する検索のヒット件数の均等化を図った攪乱レコード群６を生成する（ステップＳ３）。例えば処理部１ｂは、項目値集合に属する第２項目値それぞれを同一の項目値集合に属する異なる第２項目値に全単射する全単射関係に従って、秘匿レコードそれぞれの一の項目に設定された第２項目値それぞれに対応するダミー値を生成する。次に処理部１ｂは、ダミー値が一の項目に設定された、秘匿レコードと同数のダミーレコードを有するダミーレコード群を生成する。そして処理部１ｂは、秘匿レコード群とダミーレコード群とを含む攪乱レコード群６を生成する。
【0019】
さらに処理部１ｂは、攪乱レコード群６内のレコードに、そのレコードに含まれる第２項目値の真偽を示すフラグを付与する（ステップＳ４）。例えば処理部１ｂは、秘匿レコードに真を示す第１フラグを付与し、ダミーレコードに偽を示す第２フラグを付与する。
【0020】
処理部１ｂは、攪乱レコード群を暗号化する（ステップＳ５）。例えば処理部１ｂは、秘匿レコードとダミーレコードそれぞれの一の項目に設定された第２項目値、秘匿レコードに付与された第１フラグ、並びにダミーレコードに付与された第２フラグを暗号化する。
【0021】
そして処理部１ｂは、暗号化された攪乱レコード群６を、例えばサーバ２の秘匿化ＤＢ２ａに格納する。
このようにして、ダミーレコードの追加によって頻度分析攻撃に対する安全性を向上させた攪乱レコード群６が、サーバ２の秘匿化ＤＢ２ａに格納される。サーバ２は、秘匿化ＤＢ２ａに格納されたデータに対する検索サービスをデータ利用装置３に提供する。
このようにして、ダミーレコードの追加によって頻度分析攻撃に対する安全性を向上させた攪乱レコード群６が、サーバ２の秘匿化ＤＢ２ａに格納される。サーバ２は、秘匿化ＤＢ２ａに格納されたデータに対する検索サービスをデータ利用装置３に提供する。
【0022】
データ利用装置３は、データ登録装置１が生成した項目値集合５ａ～５ｃの情報、および第１項目値と第２項目値との対応関係を示す情報を有している。例えばデータ利用装置３は、これらの情報をデータ登録装置１から取得する。またデータ利用装置３はデータ登録装置１の処理部１ｂと同じアルゴリズムで第１項目値に基づく第２項目値の生成および第２項目値の項目値群への分類を行ってもよい。
【0023】
データ利用装置３は、検索者から検索条件の入力を受け付ける。検索条件には、例えば秘匿化ＤＢ２ａの一の項目の検索項目値が示される。データ利用装置３は、検索条件に応じた検索クエリをサーバ２に送信する。例えばデータ利用装置３は、検索条件に示される一の項目の検索項目値を、検索項目値と同じ値の第１項目値に対応する第２項目値それぞれに変換する。データ利用装置３は、変換により得られた第２項目値を暗号文のまま検索する検索クエリをサーバ２に送信する。例えばデータ利用装置３は、第２項目値の暗号文の論理和を含む検索クエリをサーバ２に送信する。
【0024】
サーバ２では、受信した検索クエリに応じて暗号文のまま検索を行う。例えばサーバ２は、検索クエリ内の暗号文のままの第２項目値と、秘匿化ＤＢ２ａ内の各レコードの暗号文の項目値とを照合する。サーバ２は、検索項目値に一致する項目値が設定されたレコードを含む検索結果をデータ利用装置３に送信する。
【0025】
データ利用装置３は、サーバ２から、秘匿化ＤＢ２ａ内の検索クエリにヒットした検出レコードを取得する。そしてデータ利用装置３は、検出レコードに付与されたフラグに基づいて、検出レコード内の第２項目値にヒットした値の真偽を判断し、真の検索結果を表示する。
【0026】
例えばデータ利用装置３は、検索結果に含まれる秘匿レコードとダミーレコードそれぞれの一の項目に設定された項目値、秘匿レコードに付与された第１フラグ、およびダミーレコードに付与された第２フラグを復号する。次にデータ利用装置３は、第１フラグおよび第２フラグに基づいて、検索結果からダミーレコードを除去し、検索条件を満たす秘匿レコードを取得する。そしてデータ利用装置３は、真の検索結果を例えば表示画面に表示する。
【0027】
このようにして秘匿レコード群４内での第１項目値それぞれの出現頻度を攪乱し、秘匿化ＤＢ２ａに対する頻度分析攻撃への安全性を向上させることができる。
なお処理部１ｂは、ダミーレコード群が複数ある場合、秘匿レコードの一の項目に設定された第２項目値が、ダミーレコード群ごとに異なる第２項目値に変換されるように、ダミーレコード群ごとに異なる全単射関係を利用することができる。これにより、頻度分析攻撃に対する安全性をさらに向上させることができる。
なお処理部１ｂは、ダミーレコード群が複数ある場合、秘匿レコードの一の項目に設定された第２項目値が、ダミーレコード群ごとに異なる第２項目値に変換されるように、ダミーレコード群ごとに異なる全単射関係を利用することができる。これにより、頻度分析攻撃に対する安全性をさらに向上させることができる。
【0028】
処理部１ｂは、１または複数生成されたダミーレコード群ごとに異なり、第１フラグとも異なる値の第２フラグを、ダミーレコード群それぞれに含まれるダミーレコードに設定してもよい。例えば処理部１ｂは、秘匿レコードの識別子と秘匿レコード群の群番号を示す値とを含む第１フラグを秘匿レコードに付与し、ダミーレコードの識別子と、属するダミーレコード群の群番号とを含む第２フラグをダミーレコードに設定する。これにより、第２フラグの値に基づいてダミーレコードが属するダミーレコード群を識別することができる。その結果、ダミーレコード内の第２項目値を第１項目値に逆変換することで、ダミーレコードに基づいて元のレコードを再現することが可能となる。
【0029】
データ登録装置１は、ダミーレコードを用いずに頻度攪乱を実現することもできる。例えば処理部１ｂは、秘匿レコード内の一の項目に設定されている第２項目値を、第２項目値が属する項目値集合に対応付けられ、同じ項目値集合に属するいずれの第２項目値に対する検索にもヒットする第３項目値に変換することで攪乱レコードを生成する。そして処理部１ｂは、生成した攪乱レコードを含む攪乱レコード群を生成する。これにより、ダミーレコードを用いずに済み、秘匿化ＤＢ２ａに登録するデータ量を削減することができる。
【0030】
第２項目値を第３項目値に変換する場合、処理部１ｂは、例えば攪乱レコードに、変換前の第２項目値を示す情報を含む第３フラグを付与する。処理部１ｂは、例えば秘匿レコードの識別子と、変換前の第２項目値に対応する要素の項目値集合内での要素番号とを含む第３フラグを、秘匿レコードに付与する。さらに処理部１ｂは、攪乱レコードの一の項目に設定された第３項目値、および付与された第３フラグを暗号化する。
【0031】
データ利用装置３は、第３フラグを用いて第３項目値を変換元の第２項目値に戻し、その第２項目値に対応する第１項目値を取得できる。例えばデータ利用装置３は、検索条件に示される一の項目の検索項目値を、検索項目値と同じ値の第１項目値に対応する１または複数の第２項目値それぞれに変換後、第２項目値を、その第２項目値に対応する第３項目値に変換する。そしてデータ利用装置３は、第３項目値の暗号文を含む検索クエリをサーバ２に送信する。
【0032】
その後、データ利用装置３は、サーバ２から、秘匿化ＤＢ２ａ内の検索クエリによる検索結果を取得する。次にデータ利用装置３は、検索結果に含まれる攪乱レコードそれぞれに設定された第３項目値と第３フラグとを復号する。さらにデータ利用装置３は、第３フラグに基づいて第３項目値の変換元の第２項目値を判断する。そしてデータ利用装置３は、検索条件を満たす第１項目値に対応する第２項目値の暗号文が格納された攪乱レコードを、検索結果から抽出する。
【0033】
第１項目値が数値の場合、数値範囲検索が行われることにより、暗号文の元の平文の数値の並びが解析され、検索対象の絞り込みに利用される可能性がある。処理部１ｂは、複数の第１項目値が数値の場合、第２項目値を複数の項目値集合５ａ～５ｃのいずれかに分類する際に、数値の連続性を考慮した分類を行う。例えば処理部１ｂは、複数の第１項目値が数値の場合、第１数値範囲内の連続する複数の数値それぞれに対応する第２項目値を含む項目値集合に、第１数値範囲と重複しない第２数値範囲内の連続する数値それぞれに対応する第２項目値が含まれるようにする。これにより、数値の検索が行われた場合に、攻撃者によって、その数値の候補が、狭い数値範囲内の値に絞り込まれてしまうことを抑止できる。
【0034】
〔第２の実施の形態〕
次に第２の実施の形態について説明する。第２の実施の形態は、多数の医療機関が有する患者データを、患者データ収集活用基盤を用いて有効活用するものである。例えば患者データ収集活用基盤により、複数の病院のデータを統合してビッグデータ化し、ビッグデータを複数の製薬企業で活用できるようにする。これにより、製薬企業や病院は、新薬開発のための調査（対象疾患の患者数や所在地域など）を容易に把握できるようになる。
次に第２の実施の形態について説明する。第２の実施の形態は、多数の医療機関が有する患者データを、患者データ収集活用基盤を用いて有効活用するものである。例えば患者データ収集活用基盤により、複数の病院のデータを統合してビッグデータ化し、ビッグデータを複数の製薬企業で活用できるようにする。これにより、製薬企業や病院は、新薬開発のための調査（対象疾患の患者数や所在地域など）を容易に把握できるようになる。
【0035】
患者データ収集活用基盤は、ＩＣＴ（Information and Communications Technology）企業が管理するクラウドを用いて実現するのが効率的である。クラウドを用いることで、病院や製薬企業からのビッグデータへのアクセスが容易となる。しかしながら、患者データは要配慮個人情報であり、法的に参照が許される手続きを経たとしても、漏洩や目的外利用のリスクを考慮し、クラウドの管理者に対しても秘匿しておくのが適切である。また製薬企業による検索の内容は製薬企業の戦略に関する重要な企業秘密に結びつくため、検索内容についても秘匿しておくことが望ましい。そこで、患者データ収集活用基盤を実現するクラウドは、例えば暗号化したまま検索可能な暗号化方式を用いて、暗号化された患者データをＤＢで管理すると共に、暗号化された検索キーワードを用いて、暗号文のままでデータ検索を行う。これにより、クラウドの管理者に対しても、患者データと検索クエリの内容を秘匿しておくことができる。
【0036】
複数の組織（例えば病院）のデータを同じ仕組みで使用する場合、ＤＢのフォーマットや格納する属性名と値の仕様は、共通の仕様として公開される。しかもシステム開発も担うクラウドの管理者は、秘匿化のアルゴリズムを熟知している。すると、クラウドの管理者の中に悪意を有する者が存在した場合、患者データを暗号文のまま管理するだけでは不十分な場合があり得る。
【0037】
ここで、絞り込み検索などを用いて効率よく検索を行うために、データは行列形式で格納することを想定する。この場合、例えば項目「性別」のラベルが振られた列では平文候補が「男」または「女」の２種類しかなく、秘匿化ＤＢ内には同じ平文に基づく暗号文が多数存在することとなる。そして、攻撃者となり得るクラウドの管理者はこれらの暗号文を比較参照できる。
【0038】
さらに、大きな病院では広報の一環として疾患別患者数などの情報を公開している。同様にあらゆる情報について、このような頻度情報が公開される可能性がある。そのため、すべてのデータの頻度分布は公知となる場合がある。例えば複数の項目の値の組み合わせ頻度（肺がんの男性の人数など）についても公知となり得る。また、医療情報は日々新たな情報が追加され、利活用者は最新の情報を求める。よって、秘匿化ＤＢは逐次最新の平文ＤＢとの差分が反映できることが重要である。
【0039】
以上により、第２の実施の形態では、以下の条件（ｉ）～（ｖ）下でも秘匿化ＤＢの内容や検索内容が、秘匿化ＤＢを管理するクラウド管理者を含む攻撃者に対し秘匿できることを、セキュリティ要件とする。
（ｉ）平文の種類や値は公知であり、極めて種類が少ない場合もあり得る。
（ｉｉ）攻撃者は、秘匿化ＤＢ内に存在するすべての暗号文と暗号化された検索クエリおよびこれに合致した秘匿化ＤＢ内の暗号文をすべて参照可能である。
（ｉｉｉ）意図的に秘密情報として管理する情報（秘密鍵）以外の、暗号化や照合のアルゴリズムは公知である。
（ｉｖ）すべてのデータの頻度分布は組み合わせも含めて公知である。
（ｖ）秘匿化ＤＢは逐次更新され、攻撃者は差分情報を参照可能である。
（ｉ）平文の種類や値は公知であり、極めて種類が少ない場合もあり得る。
（ｉｉ）攻撃者は、秘匿化ＤＢ内に存在するすべての暗号文と暗号化された検索クエリおよびこれに合致した秘匿化ＤＢ内の暗号文をすべて参照可能である。
（ｉｉｉ）意図的に秘密情報として管理する情報（秘密鍵）以外の、暗号化や照合のアルゴリズムは公知である。
（ｉｖ）すべてのデータの頻度分布は組み合わせも含めて公知である。
（ｖ）秘匿化ＤＢは逐次更新され、攻撃者は差分情報を参照可能である。
【0040】
条件（ｉ）～（ｖ）を満たす秘匿化ＤＢがあるとき、容易に想定される攻撃手法としては総当たり攻撃が考えられる。平文の種類が少なく公知なため、暗号化鍵が公知である場合、攻撃者は全種類の平文を暗号化して平文と暗号文の辞書を作成することで、秘匿化ＤＢ内のデータや検索クエリを容易に解読できてしまう。よって、セキュリティ要件を満たすには、暗号化鍵は秘密鍵とすることとなる。
【0041】
また、秘匿化ＤＢの管理者でもある攻撃者は照合判定の結果を参照できる。そのため、ある検索クエリに対し一致判定された暗号文はすべて同じ平文に対応することが分かってしまう。よって、同じ平文でも暗号化するたびに異なる暗号文となる確率的暗号を用いても、攻撃者は同じ平文が同じ暗号文となる確定的暗号のような暗号文に変換できてしまう。そして、攻撃者はデータの頻度分布を知っているため、暗号文の頻度と比較することで容易に秘匿データの内容を推定できてしまう。頻度分布を正確に知らない場合でも、例えば婦人科の性別データを参照すると、多い方の暗号文の平文は「女」であると容易に特定できる。よって、暗号化だけでなく頻度攪乱などの対策を採ることが重要となる。
【0042】
そこで第２の実施の形態では、条件（ｉ）～（ｖ）下でも秘匿化ＤＢの内容や検索内容を、攻撃者に対し秘匿できる秘密情報管理システムを提供する。第２の実施の形態に係る秘密情報管理システムでは、ダミーデータを追加することで頻度攪乱を実現する。この際、秘密情報管理システムは、データの増加率は一定に保ち、不要なストレージや検索処理の増加を防止する。そして秘密情報管理システムは、ダミーレコードを追加することにより、ある１種類の項目値に対し、出現頻度が同程度となる他の種類の項目値の絞り込みを抑止する。例えば秘密情報管理システムは、攻撃者が検索クエリにヒットしたレコード数からその検索クエリで指定された項目値の候補を絞り込もうとしても、容易には絞り込めないようにする。
【0043】
図２は、秘密情報管理システムの一例を示す図である。第２の実施の形態では、患者データ収集活用基盤１２がクラウドによって構築されている。患者データ収集活用基盤１２はデータ管理サーバ１００を有している。データ管理サーバ１００は、患者データを暗号文のままで管理するコンピュータである。データ管理サーバ１００は、ネットワーク２０を介して、病院１３，１４のデータ登録サーバ２００，３００と製薬企業１５，１６の端末装置４００，５００に接続されている。
【0044】
病院１３のデータ登録サーバ２００は、病院１３で受診した患者の電子カルテなどの患者データを蓄積し、その患者データを暗号化してデータ管理サーバ１００に提供するコンピュータである。同様に、病院１４のデータ登録サーバ３００は、病院１４で受診した患者の電子カルテなどの患者データを蓄積し、その患者データを暗号化してデータ管理サーバ１００に提供する。
【0045】
製薬企業１５の端末装置４００は、データ管理サーバ１００で管理されている患者データを検索するために、製薬企業１５の社員が使用するコンピュータである。製薬企業１６の端末装置５００は、データ管理サーバ１００で管理されている患者データを検索するために、製薬企業１６の社員が使用するコンピュータである。
【0046】
このような秘密情報管理システムは、例えば医療情報を活用した新薬開発の効率化に有用である。例えば、製薬企業１５，１６が、治験を行う場合、対象疾患の患者がどの程度存在するか等を考慮して計画を立案することで、治験の成功率を向上させることができる。そこで、患者データ収集活用基盤１２で多数の病院１３，１４に分散する患者の電子カルテから抽出した患者データを集中管理することで、目的の疾患を有する患者の情報を容易に得ることが可能となる。
【0047】
なおデータ登録サーバ２００，３００は、第１の実施の形態におけるデータ登録装置１の一例である。データ管理サーバ１００は、第１の実施の形態におけるサーバ２の一例である。端末装置４００，５００は、第１の実施の形態におけるデータ利用装置３の一例である。
【0048】
図３は、データ管理サーバのハードウェアの一構成例を示す図である。データ管理サーバ１００は、プロセッサ１０１によって装置全体が制御されている。プロセッサ１０１には、バス１０９を介してメモリ１０２と複数の周辺機器が接続されている。プロセッサ１０１は、マルチプロセッサであってもよい。プロセッサ１０１は、例えばＣＰＵ（Central Processing Unit）、ＭＰＵ（Micro Processing Unit）、またはＤＳＰ（Digital Signal Processor）である。プロセッサ１０１がプログラムを実行することで実現する機能の少なくとも一部を、ＡＳＩＣ（Application Specific Integrated Circuit）、ＰＬＤ（Programmable Logic Device）などの電子回路で実現してもよい。
【0049】
メモリ１０２は、データ管理サーバ１００の主記憶装置として使用される。メモリ１０２には、プロセッサ１０１に実行させるＯＳ（Operating System）のプログラムやアプリケーションプログラムの少なくとも一部が一時的に格納される。また、メモリ１０２には、プロセッサ１０１による処理に利用する各種データが格納される。メモリ１０２としては、例えばＲＡＭ（Random Access Memory）などの揮発性の半導体記憶装置が使用される。
【0050】
バス１０９に接続されている周辺機器としては、ストレージ装置１０３、ＧＰＵ（Graphics Processing Unit）１０４、入力インタフェース１０５、光学ドライブ装置１０６、機器接続インタフェース１０７およびネットワークインタフェース１０８がある。
【0051】
ストレージ装置１０３は、内蔵した記録媒体に対して、電気的または磁気的にデータの書き込みおよび読み出しを行う。ストレージ装置１０３は、コンピュータの補助記憶装置として使用される。ストレージ装置１０３には、ＯＳのプログラム、アプリケーションプログラム、および各種データが格納される。なお、ストレージ装置１０３としては、例えばＨＤＤ（Hard Disk Drive）やＳＳＤ（Solid State Drive）を使用することができる。
【0052】
ＧＰＵ１０４には、モニタ２１が接続されている。ＧＰＵ１０４は、プロセッサ１０１からの命令に従って、画像をモニタ２１の画面に表示させる。ＧＰＵ１０４は、グラフィックコントローラと呼ばれることもある。モニタ２１としては、有機ＥＬ（Electro Luminescence）を用いた表示装置や液晶表示装置などがある。
【0053】
入力インタフェース１０５には、キーボード２２とマウス２３とが接続されている。入力インタフェース１０５は、キーボード２２やマウス２３から送られてくる信号をプロセッサ１０１に送信する。なお、マウス２３は、ポインティングデバイスの一例であり、他のポインティングデバイスを使用することもできる。他のポインティングデバイスとしては、タッチパネル、タブレット、タッチパッド、トラックボールなどがある。
【0054】
光学ドライブ装置１０６は、レーザ光などを利用して、光ディスク２４に記録されたデータの読み取りを行う。光ディスク２４は、光の反射によって読み取り可能なようにデータが記録された可搬型の記録媒体である。光ディスク２４には、ＤＶＤ（Digital Versatile Disc）、ＤＶＤ－ＲＡＭ、ＣＤ－ＲＯＭ（Compact Disc Read Only Memory）、ＣＤ－Ｒ（Recordable）／ＲＷ（ReWritable）などがある。
【0055】
機器接続インタフェース１０７は、データ管理サーバ１００に周辺機器を接続するための通信インタフェースである。例えば機器接続インタフェース１０７には、メモリ装置２５やメモリリーダライタ２６を接続することができる。メモリ装置２５は、機器接続インタフェース１０７との通信機能を搭載した記録媒体である。メモリリーダライタ２６は、メモリカード２７へのデータの書き込み、またはメモリカード２７からのデータの読み出しを行う装置である。メモリカード２７は、カード型の記録媒体である。
【0056】
ネットワークインタフェース１０８は、ネットワーク２０に接続されている。ネットワークインタフェース１０８は、ネットワーク２０を介して、他のコンピュータまたは通信機器との間でデータの送受信を行う。
【0057】
データ管理サーバ１００は、以上のようなハードウェア構成によって、第２の実施の形態の処理機能を実現することができる。なおデータ登録サーバ２００，３００および端末装置４００，５００も、データ管理サーバ１００と同様のハードウェアにより実現することができる。さらに図１に示したデータ登録装置１、サーバ２、およびデータ利用装置３も、データ管理サーバ１００と同様のハードウェアにより実現することができる。
【0058】
データ管理サーバ１００は、例えばコンピュータ読み取り可能な記録媒体に記録されたプログラムを実行することにより、第２の実施の形態の処理機能を実現する。データ管理サーバ１００に実行させる処理内容を記述したプログラムは、様々な記録媒体に記録しておくことができる。例えば、データ管理サーバ１００に実行させるプログラムをストレージ装置１０３に格納しておくことができる。プロセッサ１０１は、ストレージ装置１０３内のプログラムの少なくとも一部をメモリ１０２にロードし、プログラムを実行する。またデータ管理サーバ１００に実行させるプログラムを、光ディスク２４、メモリ装置２５、メモリカード２７などの可搬型記録媒体に記録しておくこともできる。可搬型記録媒体に格納されたプログラムは、例えばプロセッサ１０１からの制御により、ストレージ装置１０３にインストールされた後、実行可能となる。またプロセッサ１０１が、可搬型記録媒体から直接プログラムを読み出して実行することもできる。
【0059】
次に、暗号データを格納するＤＢ（秘匿化ＤＢ）に対する頻度分析攻撃について説明する。
図４は、頻度分析攻撃の一例を示す図である。平文のデータを記憶するＤＢ３１に基づいて、秘匿化ＤＢ３２が生成されているものとする。例えばＤＢ３１の各レコードに含まれる項目ごとの項目値が個別に暗号化され、秘匿化ＤＢ３２に格納されている。なお第２の実施の形態では、各項目に設定される項目値をキーワードと呼ぶこともある。
図４は、頻度分析攻撃の一例を示す図である。平文のデータを記憶するＤＢ３１に基づいて、秘匿化ＤＢ３２が生成されているものとする。例えばＤＢ３１の各レコードに含まれる項目ごとの項目値が個別に暗号化され、秘匿化ＤＢ３２に格納されている。なお第２の実施の形態では、各項目に設定される項目値をキーワードと呼ぶこともある。
【0060】
図４の例では、同一の平文からは同一の暗号データが生成される確定的暗号化技術によって暗号化が行われているものとする。また攻撃者３３は、元のＤＢ３１の項目に用いられている項目名（「診療科」、「性別」、「年齢層」）および各項目に格納され得るキーワードの候補（キーワード一覧）のすべてを知っているものとする。
【0061】
攻撃者３３は、暗号文の出現頻度と公知の頻度情報を比較して、暗号文に対応する平文を類推することができる。例えば秘匿化ＤＢ３２の２列目には、値が２種類しか登録されていない。そのため攻撃者３３は、秘匿化ＤＢ３２の２列目の項目「性別」に該当すると類推することができる。
【0062】
さらに攻撃者３３は、秘匿化ＤＢ３２の２列目の値「ｔｍｕｅｓｆ」と「ｕｙｌｇｍ」との出現頻度を比較し、「ｕｙｌｇｍ」の方が多いことを確認できる。すると攻撃者３３は、人口分布を考えると出現頻度が多い方の「ｕｙｌｇｍ」が、「女」に対応する暗号データであると類推できる。
【0063】
攻撃者３３は、複数の項目値の組み合わせによっても内容を類推できる。例えば攻撃者３３は、秘匿化ＤＢ３２の１列目の値「ｓＥｆｇｓｒ」に対応する２列目の値は「ｕｙｌｇｍ」のみであることを確認できる。すると攻撃者３３は、片方の性別との組み合わせしかない値は、診療科における「婦人科」であると類推することができ、「ｕｙｌｇｍ」の平文が「女」であることを強く確信できる。
【0064】
また攻撃者３３は、秘匿化ＤＢ３２の１列目の値「：ｏｐｆｙｙ」に対応する３列目の値は「ｊｒ８ｏｌｔ」のみであることを確認できる。すると攻撃者３３は、残りの３列目は年齢層であり、特定の年齢層との組み合わせしかない診療科は「小児科」であり、対応する年齢層は「児童」であると類推できる。
【0065】
なお、図４の例では、確定的暗号化によって暗号化された場合を想定しているが、確率的暗号化で暗号化された秘匿化ＤＢに対しても頻度分析攻撃は可能である。確率的暗号化とは、同じ平文でも暗号化するたびに異なる暗号文に暗号化する暗号化技術である。確率的暗号化を行うと、同じ平文から生成された複数の暗号文のそれぞれの値が異なるため、暗号化ＤＢ内を参照しただけでは、元の平文の出現頻度を数えられない。そのため、確率的暗号化で暗号することで、確定的暗号化よりも頻度分析攻撃が困難となる。
【0066】
ただし、確率的暗号化を用いても、秘匿化ＤＢを検索対象とする秘匿化検索を許容すると、攻撃者３３は、検索クエリに一致した暗号文はすべて同じ平文の暗号文であることが分かり、それらの暗号文は確定的暗号に変換できてしまう。そのため確率的暗号化を用いても、攻撃者３３は、データが活用されるに従って秘匿化ＤＢ内の多数の暗号文を確定的暗号に変換でき、確定的暗号化で暗号化した場合と同様に頻度分析攻撃が可能となる。
【0067】
このように頻度分析攻撃は、平文と暗号文に使用される文字や文字列の出現頻度を手掛りとして平文を類推し、盗み見る攻撃手法である。そして、元の平文の項目値に偏りがある場合に、その平文を暗号化した暗号文は、頻度分析攻撃に対して脆弱となる。
【0068】
そこで頻度分析攻撃に対する安全性を高めるために、ダミーデータを用いて、元の平文の出現頻度を攪乱させることが考えられる。このとき、元の平文での項目値の種類や、各項目値の出現頻度を考慮せずにダミーデータ内の各項目の項目値（ダミー値）を追加しても、出現頻度を適切に攪乱させることはできない。
【0069】
例えば元の平文のデータにおける項目値の出現頻度を考慮して、適切な内容のダミー値を有するダミーデータを登録することで、確実な頻度攪乱を実現することができる。この場合、データ登録サーバ２００，３００は、真のデータの頻度分布と同じ分布であるが、それぞれの値が別の値に変換されたダミーレコード群を生成する。このダミーレコード群の各ダミーレコードは真のデータのレコードに紐付き、１対１で対応する。そしてデータ登録サーバ２００，３００は、真のデータのレコードの項目値を別の項目値に変換して対応するダミーレコードのダミー値として設定する。この変換規則を定めたものを変換集合と呼ぶ。
【0070】
以下に、第２の実施の形態に使用する文字または用語の意味について説明する。
「ｋ」は、予め設定されたセキュリティパラメータであり、２以上の整数が設定される。システムの管理者は、１つの項目の複数のキーワードのうち、頻度分析攻撃を受けたときに攻撃者３３が絞り込むことを許容可能な最小のキーワード数をｋに設定する。
「ｋ」は、予め設定されたセキュリティパラメータであり、２以上の整数が設定される。システムの管理者は、１つの項目の複数のキーワードのうち、頻度分析攻撃を受けたときに攻撃者３３が絞り込むことを許容可能な最小のキーワード数をｋに設定する。
【0071】
「真のデータ」は、平文のＤＢに格納されているデータである。「真のデータのレコード」は、真のデータ内のキーワードを含むレコードである。なお真のデータのレコードは、第１の実施の形態の秘匿レコードの一例である。「ダミー値」は、真のデータの頻度分布を攪乱するために追加した値である。「ダミーレコード」は、ダミー値を含むレコードである。「真の値」は、平文のＤＢに設定可能なキーワードである。真の値は、第１の実施の形態における第１項目値の一例である。
【0072】
「Ｇ」は群数であり、ダミーデータの追加によりデータ量が平文データの何倍になるかを示す値でもある。「群」は、複数のレコードの集合である。真のデータのレコードの集合が群「０」である。真のデータのレコード数と同数のダミーレコードを含むＧ－１個の群「１，２，・・・，Ｇ－１」が生成される。群「０」に含まれる１つのレコードに対し、Ｇ－１個のダミーレコードが生成され、Ｇ－１個のダミーレコードは、それぞれ群「１，２，・・・，Ｇ－１」に１つずつ追加される。「フラグ」は、端末装置４００，５００がダミーレコードを見分けられるように、ダミーレコードに付与される値である。
【0073】
「変換集合」は、各列（項目）について、真の値、分割キーワード（真の値から１つまたは複数生成されたキーワード）、またはダミー要素を含む集合である。変換集合には、１つの真の値に対してどのような値のダミーレコードを追加するかを決定するためのルールが表されている。変換集合の要素数は群数Ｇと等しい。変換集合は、分割クエリの攪乱や、秘匿化検索結果の復元にも用いられる。
【0074】
「ｊ」は列番号である。ｊは、レコードに登録された値の項目を特定するインデックスとして用いられる。「Ｘj」は、レコード内のｊ番目の列のフィールドに設定可能な項目値（キーワード）の種類数である。
【0075】
「ダミー要素」は、ＸjがＧより小さいかまたはＧの倍数でない場合、変換集合に含める要素の不足を埋めるためのダミーの要素である。ダミー要素は、キーワード一覧には含まれない値である。
【0076】
次に、元の平文のデータにおける項目値の出現頻度を考慮したダミーデータの登録手法について説明する。
ダミーデータの登録手法の一例として、ダミー要素を用いる方法が考えられる。ダミー要素を用いる場合、データ登録サーバ２００，３００は、各項目の取り得るキーワードまたはダミー値から任意にＧ個選んだものを要素として変換集合を生成する。そしてデータ登録サーバ２００，３００は、各項目の取り得るキーワードがいずれか１つの変換集合の要素として含まれるまで変換集合を生成する。
ダミーデータの登録手法の一例として、ダミー要素を用いる方法が考えられる。ダミー要素を用いる場合、データ登録サーバ２００，３００は、各項目の取り得るキーワードまたはダミー値から任意にＧ個選んだものを要素として変換集合を生成する。そしてデータ登録サーバ２００，３００は、各項目の取り得るキーワードがいずれか１つの変換集合の要素として含まれるまで変換集合を生成する。
【0077】
図５は、ダミー要素を用いた変換集合の生成例を示す図である。図５の例では、真のデータのレコードは、「血圧」と「血液型」の項目が含まれているものとする。キーワードリスト３４には、項目ごとに、その項目に設定可能なキーワードが登録されている。図５の例では、「血圧」に設定可能な項目値が３種類（正常、低血圧、高血圧）であり、「血液型」に設定可能な項目値が８種類（Ａ＋、Ｂ＋、Ｏ＋、ＡＢ＋、Ａ－、Ｂ－、Ｏ－、ＡＢ－）である。
【0078】
図５の変換集合一覧３５には、ｋ＝３，Ｇ＝４の場合に、３種類のキーワードをもつ項目「血圧」と８種類のキーワードをもつ項目「血液型」の２項目それぞれに対応して生成された変換集合３５ａ，３５ｂ，３５ｃが示されている。項目「血圧」に対しては、｛正常、低血圧、高血圧、Ｄ１｝を要素として含む変換集合３５ａが１つだけ生成されている。「Ｄ１」は、ダミー要素である。項目「血液型」に対しては、｛Ａ＋，Ｂ＋，Ｏ＋，ＡＢ＋｝を要素として含む変換集合３５ｂと、｛Ａ－，Ｂ－，Ｏ－，ＡＢ－｝を要素として含む変換集合３５ｃとの２つが生成されている。
【0079】
変換集合３５ａ，３５ｂ，３５ｃは、循環リスト構造となっており、要素が順番に配置されている。変換集合３５ａ，３５ｂ，３５ｃ内の各要素には、先頭から順に、０から昇順の要素番号が付与される。例えば変換集合３５ａでは、図中の左端を先頭とすると、「正常」が先頭の要素（要素番号「０」）であり、「低血圧」が次の要素（要素番号「１」）である。循環リスト構造となっているため、例えば最後の要素「Ｄ１」の次の要素は「正常」となる。
【0080】
データ登録サーバ２００，３００は、真のデータのレコードのキーワードを、変換集合３５ａ，３５ｂ，３５ｃに基づいて変換することで、ダミーレコードに設定するダミー値を生成する。例えばデータ登録サーバ２００，３００は、真のデータのレコードの１つのキーワードに基づいて、ダミーレコード群ごとに、そのダミーレコード群内のダミーレコードに設定するダミー値を１つ生成する。
【0081】
図６は、ダミー要素を用いた場合の項目値の変換例を示す図である。例えばデータ登録サーバ２００，３００は、真のデータのレコードについて、項目ごとに登録されているキーワードを参照し、そのキーワードが含まれる変換集合と、そのキーワードに該当する要素ｂaを特定する。ａは０以上の整数の要素番号であり、要素ｂaは要素番号ａの要素である。そしてデータ登録サーバ２００，３００は、真のデータに含まれるキーワードの要素ｂaに基づいて、以下の式（１）により、群番号ｇのダミーレコード群のダミー値ｃa,gを、変換集合を参照して決定する。
ｃa,g＝ｂmod(a+g,G) （１）
図６の例では、真のデータのレコードに出現する項目値は「低血圧」であるものとする。ダミーレコード群が３つである（Ｇ＝４）ため、データ登録サーバ２００，３００は、キーワード「低血圧」を含む変換集合３５ａに基づいて、３つのダミーレコード群（ｇ＝１，２，３）それぞれのダミーレコードに設定するダミー値を生成する。まずデータ登録サーバ２００，３００は、キーワード「低血圧」に対応する要素の変換集合３５ａ内での要素番号「１」（ａ＝１）を取得する。
ｃa,g＝ｂmod(a+g,G) （１）
図６の例では、真のデータのレコードに出現する項目値は「低血圧」であるものとする。ダミーレコード群が３つである（Ｇ＝４）ため、データ登録サーバ２００，３００は、キーワード「低血圧」を含む変換集合３５ａに基づいて、３つのダミーレコード群（ｇ＝１，２，３）それぞれのダミーレコードに設定するダミー値を生成する。まずデータ登録サーバ２００，３００は、キーワード「低血圧」に対応する要素の変換集合３５ａ内での要素番号「１」（ａ＝１）を取得する。
【0082】
データ登録サーバ２００，３００は、群番号「１」（ｇ＝１）のダミーレコード群のダミー値ｃ1,1を生成する場合、まず、ｍｏｄ（１＋１，４）＝２を計算する。そしてデータ登録サーバ２００，３００は、計算して得られた値「２」を要素番号とする変換集合３５ａ内の要素ｂ2に対応するキーワード「高血圧」を、群番号「１」のダミーレコード群に設定するダミー値に決定する。
【0083】
データ登録サーバ２００，３００は、群番号「２」（ｇ＝２）のダミーレコード群のダミー値ｃ1,2を生成する場合、まず、ｍｏｄ（１＋２，４）＝３を計算する。そしてデータ登録サーバ２００，３００は、計算して得られた値「３」を要素番号とする変換集合３５ａ内の要素ｂ3に対応するダミー要素「Ｄ１」を、群番号「２」のダミーレコード群に設定するダミー値に決定する。
【0084】
データ登録サーバ２００，３００は、群番号「３」（ｇ＝３）のダミーレコード群のダミー値ｃ1,3を生成する場合、まず、ｍｏｄ（１＋３，４）＝０を計算する。そしてデータ登録サーバ２００，３００は、計算して得られた値「０」を要素番号とする変換集合３５ａ内の要素ｂ0に対応するキーワード「正常」を、群番号「３」のダミーレコード群に設定するダミー値に決定する。
【0085】
なお、図６に示したようなキーワードの変換元と変換先との関係は、全単射の関係の一例である。全単射関係を満たしていれば、図６に示す例とは別の規則で変換元のキーワードと変換先のキーワードまたはダミー要素との関係を定義してもよい。
【0086】
データ登録サーバ２００，３００は、図６に示したようなダミー値の生成を、真のデータに出現する項目値それぞれについて行う。なお、以下の説明では、ある平文に対応する暗号文をＨ（平文）と表すこととする。
【0087】
図７は、ダミー要素を用いた場合のダミー値の生成例を示す図である。図７の例では、真のデータ３６には、項目「血圧」のキーワードとして、「正常」が２回出現し、「低血圧」と「高血圧」とがそれぞれ１回ずつ出現している。また項目「血液型」の項目値として、「Ａ＋」が２回出現し、「Ｏ－」と「ＡＢ－」とがそれぞれ１回ずつ出現している。
【0088】
真のデータ３６に出現するキーワードそれぞれに基づいて、ダミーレコード群それぞれに設定するダミー値が生成されている。例えば血圧「正常」に基づいて、群番号１（ｇ＝１）のダミーレコード群用のダミー値「低血圧」、群番号２（ｇ＝２）のダミーレコード群用のダミー値「高血圧」、群番号３（ｇ＝３）のダミーレコード群用のダミー値「Ｄ１」が生成されている。また例えば血液型「Ａ＋」に基づいて、群番号１（ｇ＝１）のダミーレコード群用のダミー値「Ｂ＋」、群番号２（ｇ＝２）のダミーレコード群用のダミー値「Ｏ＋」、群番号３（ｇ＝３）のダミーレコード群用のダミー値「ＡＢ＋」が生成されている。
【0089】
データ登録サーバ２００，３００は、生成したダミー値をダミーレコードに割り当て、項目値を暗号化することで登録データを生成する。
図８は、ダミー要素を用いた場合の登録データの一例を示す図である。登録データ３７には、真のデータ３６のレコード群３７ａとダミーレコード群３７ｂ，３７ｃ，３７ｄが含まれている。登録データ３７内の各レコードにはフラグが付与されている。そして登録データ３７に含まれるキーワード（フラグ値も含む）が暗号化されている。
図８は、ダミー要素を用いた場合の登録データの一例を示す図である。登録データ３７には、真のデータ３６のレコード群３７ａとダミーレコード群３７ｂ，３７ｃ，３７ｄが含まれている。登録データ３７内の各レコードにはフラグが付与されている。そして登録データ３７に含まれるキーワード（フラグ値も含む）が暗号化されている。
【0090】
フラグ値は、真のデータのレコードとダミーレコードとを識別するために用いられる。例えば真のデータのレコードにはフラグ値「０」を設定し、ダミーレコードにはフラグ値「１」を設定することができる。この場合、Ｇ≧３のときにはフラグ値「０」の暗号文（Ｈ（０））よりもフラグ値「１」の暗号文（Ｈ（１））の方が多くなる。すると、攻撃者３３は、フラグ値の暗号文の出現頻度に基づいて、そのレコードが真のデータのレコードなのかを判断できてしまう。そこでデータ登録サーバ２００，３００は、フラグ値の暗号文についても頻度攪乱を行う。
【0091】
例えばデータ登録サーバ２００，３００は、図８に示すように各レコードが属する群の群番号を、そのレコードのフラグとして使用することができる。各群に属するレコード数は等しいため、これによりフラグ値の出現頻度がすべて等しくなる。
【0092】
またデータ登録サーバ２００，３００は、フラグ値を決定するために、真のデータのレコード群およびダミーレコード群それぞれについて、同一の変数の値に対して異なる値を出力する異なる関数を用意してもよい。この場合、データ登録サーバ２００，３００は、用意した関数にＩＤ列の値を変数ｘとして入力した値をフラグ値とする。
【0093】
群番号ｇの群（真のデータのレコード群またはダミーレコード群）のフラグ値生成関数をｆg（ｘ）としたとき、例えば以下のようなフラグ値生成関数を用いることができる。
ｆg（ｘ）＝（Ｇ＋１）ｘ＋ｇ （２）
図８の例ではＧ＝４である。従って、真のデータのレコード群３７ａ（群番号「０」）のフラグ値生成関数は「ｆ0（ｘ）＝４ｘ＋０」となる。ダミーレコード群３７ｂ（群番号「１」）のフラグ値生成関数は「ｆ1（ｘ）＝４ｘ＋１」となる。ダミーレコード群３７ｃ（群番号「２」）のフラグ値生成関数は「ｆ2（ｘ）＝４ｘ＋２」となる。ダミーレコード群３７ｄ（群番号「３」）のフラグ値生成関数は「ｆ3（ｘ）＝４ｘ＋３」となる。
ｆg（ｘ）＝（Ｇ＋１）ｘ＋ｇ （２）
図８の例ではＧ＝４である。従って、真のデータのレコード群３７ａ（群番号「０」）のフラグ値生成関数は「ｆ0（ｘ）＝４ｘ＋０」となる。ダミーレコード群３７ｂ（群番号「１」）のフラグ値生成関数は「ｆ1（ｘ）＝４ｘ＋１」となる。ダミーレコード群３７ｃ（群番号「２」）のフラグ値生成関数は「ｆ2（ｘ）＝４ｘ＋２」となる。ダミーレコード群３７ｄ（群番号「３」）のフラグ値生成関数は「ｆ3（ｘ）＝４ｘ＋３」となる。
【0094】
端末装置４００，５００は、検索の際には、真のデータのレコード群３７ａまたはいずれか１つのダミーレコード群３７ｂ，３７ｃ，３７ｄを検索対象として指定した検索クエリを発行する。データ管理サーバ１００は、検索クエリに対する応答として、検索条件に合致したレコードを検索結果として応答する。そのときデータ管理サーバ１００は、検索結果にＩＤ列とフラグ列のフラグ値とを含める。端末装置４００，５００は、検索結果に示されるレコードのＩＤを、群ごとのフラグ値生成関数それぞれに入力し、得られた関数値を暗号化する。そして端末装置４００，５００は、フラグ値生成関数の関数値の暗号文とレコードのフラグ値（暗号文）と比較する。端末装置４００，５００は、比較の結果が一致したフラグ値生成関数に対応する群が、そのレコードが属する群であると判断する。
【0095】
このようにして生成された登録データ３７では、同一の変換集合に属する要素に対応する暗号文の出現頻度の均一化が図られている。
図９は、暗号文の均一化を説明する図である。例えば血圧の項目に設定可能なキーワードは、すべて１つの変換集合３５ａ（図５参照）に属している。真のデータ３６におけるキーワード「正常」の出現頻度は「２」、キーワード「低血圧」の出現頻度は「１」、キーワード「高血圧」の出現頻度は「１」である。
図９は、暗号文の均一化を説明する図である。例えば血圧の項目に設定可能なキーワードは、すべて１つの変換集合３５ａ（図５参照）に属している。真のデータ３６におけるキーワード「正常」の出現頻度は「２」、キーワード「低血圧」の出現頻度は「１」、キーワード「高血圧」の出現頻度は「１」である。
【0096】
登録データ３７では、各キーワードおよびダミー要素の値それぞれの暗号文の出現頻度が均一化されている。例えばキーワード「正常」の暗号文「Ｈ（正常）」、キーワード「低血圧」の暗号文「Ｈ（低血圧）」、キーワード「高血圧」の暗号文「Ｈ（高血圧）」、およびダミー要素の値「Ｄ１」の暗号文「Ｈ（Ｄ１）」それぞれの出現頻度は、いずれも「４」である。
【0097】
図５に示した変換集合の生成例からも分かるように、各変換集合にはｋ個（図５の例ではｋ＝３）以上のキーワードが含まれる。従って攻撃者３３は、特定の暗号文の出現頻度が分かっても、その暗号文が、同一の変換集合に属するキーワードのうちのどのキーワードの暗号文なのかを特定することはできない。すなわち攻撃者３３は、暗号文に対応するキーワードの候補をｋ個までしか絞り込めない。その結果、頻度分析攻撃に対する安全性が向上している。
【0098】
なお、暗号文に対応するキーワードの候補をｋ個までしか絞り込めないようにするためには、群数Ｇの値を適切に決定することが重要となる。
図１０は、適切な群数Ｇについて説明する図である。群数Ｇは、ｋに応じて決定される。前述のようにｋは、暗号文に対応するキーワードの候補をｋ個までしか絞れないようにするために予め設定するセキュリティパラメータである。従ってｋは、システムに求められる頻度分析攻撃に対する安全性の度合いに応じて決められる。
図１０は、適切な群数Ｇについて説明する図である。群数Ｇは、ｋに応じて決定される。前述のようにｋは、暗号文に対応するキーワードの候補をｋ個までしか絞れないようにするために予め設定するセキュリティパラメータである。従ってｋは、システムに求められる頻度分析攻撃に対する安全性の度合いに応じて決められる。
【0099】
このとき設定可能なキーワードの種類数Ｘj＜ｋとなる項目も存在する。このような項目は、変換集合内にｋ個以上のキーワードを含めることができない。そのため攻撃者３３は、該当項目の暗号文に対応するキーワードが、Ｘj個（ｋ＜）のキーワードのどれかであることが分かる。しかしこのような項目の暗号文に対応するキーワードが、Ｘj個のどれかであることは、公知の情報であり、攻撃者３３が知っていても問題ない。例えば図１０の例では、項目「性別」について設定可能なキーワードは「男」か「女」の２つしかない。しかし性別が「男」と「女」のいずれかであることは、攻撃者３３が知っていても問題ない情報である。
【0100】
他方、設定可能なキーワードの種類数Ｘj≧ｋとなる項目であれば、変換集合内にｋ個以上のキーワードが含まれるようにするのが適切である。そこで、Ｘjがｋの倍数でない項目がある場合、データ登録サーバ２００，３００は、Ｇを調整することで、ｋ個以上のキーワードが各変換集合に含まれるようにする。
【0101】
例えば図１０の「血液型」の例では、ｋ＝３に対し、Ｘj＝４である。このとき変換集合一覧３８のようにＧ＝３にすると、検索者が「Ｏ」または「ＡＢ」を検索した際、その検索結果を見た攻撃者３３は、検索対象が「Ｏ」と「ＡＢ」の２つのどちらかだと分かってしまう。そこで、Ｘj≧ｋの項目について該当項目に設定可能なキーワードが各変換集合にｋ個以上含まれるようにするためには、Ｇ≧ｋのうちＧ＝３以外となるようにＧが決定される。例えば変換集合一覧３９のようにＧ＝４にすれば、いずれの変換集合にも、対応する項目に設定可能なキーワードが３つ以上含まれる。
【0102】
図１１は、頻度攪乱後の頻度分布の一例を示す図である。図１１に示す頻度分布表４０は、５種類のキーワード「Ａ」、「Ｂ」、「Ｃ」、「Ｄ」、「Ｅ」を設定可能な項目を有するＤＢにおける頻度攪乱後の各キーワードおよびダミー要素の値「Ｆ」の出現頻度を表している。図１１の例ではＧ＝３である。変換集合は、「Ａ，Ｂ，Ｃ」と「Ｄ，Ｅ，Ｆ」の２つである。
【0103】
群番号「１」のダミーレコード群のダミー値は、真のデータの項目値を変換集合に基づいて「Ａ→Ｂ」、「Ｂ→Ｃ」、「Ｃ→Ａ」、「Ｄ→Ｅ」、「Ｅ→Ｆ」、「Ｆ→Ｄ」と変換することで生成される。群番号「２」のダミーレコード群のダミー値は、真のデータの項目値を変換集合に基づいて「Ａ→Ｃ」、「Ｂ→Ａ」、「Ｃ→Ｂ」、「Ｄ→Ｆ」、「Ｅ→Ｄ」、「Ｆ→Ｅ」と変換することで生成される。
【0104】
真のデータにおける「Ａ」の出現頻度は「１０」、「Ｂ」の出現頻度は「７」、「Ｃ」の出現頻度は「２」、「Ｄ」の出現頻度は「１」、「Ｅ」の出現頻度は「５」、「Ｆ」の出現頻度は「０」である。すると、頻度攪乱後の変換集合「Ａ，Ｂ，Ｃ」に含まれる各キーワードの出現頻度は、すべて「１９」となる。また頻度攪乱後の変換集合「Ｄ，Ｅ，Ｆ」に含まれる各キーワードまたはダミー要素の値の出現頻度は、すべて「６」となる。すなわち項目値の３つずつの集合ごとに、集合内での項目値の出現頻度の均一化が図られている。
【0105】
また各ダミーレコード群のダミー値は、真のデータのキーワードを１対１で変換することで生成されている。そのためキーワードの出現頻度のばらつき度合いは変わらない。例えば出現頻度が多い順にその出現頻度の値を並べた場合、真のデータのレコード群および２つのダミーレコード群のいずれにおいても「１０，７，５，２，１，０」である。このように、ダミーレコード群ごとの項目値の出現頻度のばらつき度合いは、すべてのダミーレコード群について真のデータと等しくなる。その結果、どのレコード群が真のデータのレコード群なのかを、キーワードの出現頻度のばらつき度合いから判断することが困難となる。また、すべてのダミーレコード群に真のデータの各レコードに１対１で対応するダミーレコードが存在する。そのため真のデータのあるレコードを削除する際には対応するダミーレコードを合わせて削除することで、データの秘匿性を維持したまま真のデータの任意のレコードを削除することができる。
【0106】
このようにダミー要素を用いることで、頻度分析攻撃に対する安全性を向上させることが可能である。ただし、ダミー要素を用いたとしても、複数の項目のキーワード間の組合せ頻度を知っている攻撃者３３に対しては、検索条件に含まれるキーワードの候補がｋ個未満に絞られてしまう可能性がある。
【0107】
例えば図１１の「変換集合２」が項目「性別」についての変換集合であるものとする。性別のキーワードが「男」と「女」しかなければ、ｋ＝３の場合であっても図１１に示すような変換集合を生成することが許容される。このとき複数の項目のキーワード間の組合せ頻度を用いた頻度分析攻撃が行われると、「変換集合１」に含まれるキーワードについても、ｋ未満に絞り込まれる可能性がある。
【0108】
【0109】
変換集合一覧４１には血圧と性別との変換集合が示されている。血圧の変換集合には「正常」、「低血圧」、「高血圧」が含まれる。性別の変換集合には「男」、「女」、およびダミー要素の値「Ｄ１」が含まれる。
【0110】
組み合わせ頻度表４２には、血圧の値と性別の値との組み合わせ（論理積）に対応するレコードの出現頻度が示されている。真の頻度は、真のデータのレコード群内の該当するレコードの数である。攪乱後頻度は、真のデータのレコード群とダミーレコード群とにおける該当するレコードの数である。
【0111】
例えば血圧が「正常」で性別が「男」のレコードは、真のデータのレコード群に「ｎ１」件含まれる。血圧が「低血圧」で性別が「女」のレコードは、真のデータのレコード群に「ｎ２」件含まれる。血圧が「高血圧」で性別が「Ｄ１」のレコードは、真のデータのレコード群に「ｎ３」（ｎ３＝０）件含まれる。血圧が「正常」で性別が「女」のレコードは、真のデータのレコード群に「ｎ４」件含まれる。血圧が「低血圧」で性別が「Ｄ１」のレコードは、真のデータのレコード群に「ｎ５」（ｎ５＝０）件含まれる。血圧が「高血圧」で性別が「男」のレコードは、真のデータのレコード群に「ｎ６」件含まれる。血圧が「正常」で性別が「Ｄ１」のレコードは、真のデータのレコード群に「ｎ７」（ｎ７＝０）件含まれる。血圧が「低血圧」で性別が「男」のレコードは、真のデータのレコード群に「ｎ８」件含まれる。血圧が「高血圧」で性別が「女」のレコードは、真のデータのレコード群に「ｎ９」件含まれる。
【0112】
ここで群番号「１」（ｇ＝１）のダミーレコード群において、血圧のダミー値が「正常」で性別のダミー値が「男」となるレコードは、真のデータのレコード群内の血圧が「低血圧」で性別が「女」のレコードに基づいて生成される。そのため血圧が「正常」で性別が「男」のレコードは、群番号「１」（ｇ＝１）のダミーレコード群に「ｎ２」件含まれる。群番号「２」（ｇ＝２）のダミーレコード群において、血圧のダミー値が「正常」で性別のダミー値が「男」となるレコードは、真のデータのレコード群内の血圧が「高血圧」で性別が「Ｄ１」のレコードに基づいて生成される。そのため血圧が「正常」で性別が「男」のレコードは、群番号「２」（ｇ＝２）のダミーレコード群に「ｎ３」（ｎ３＝０）件含まれる。
【0113】
すると、秘匿化ＤＢにおける血圧が「正常」で性別が「男」のレコードの出現頻度（攪乱後頻度）は「ｎ１＋ｎ２」となる。同様に、秘匿化ＤＢにおける血圧が「低血圧」で性別が「女」のレコードの出現頻度（攪乱後頻度）、秘匿化ＤＢにおける血圧が「高血圧」で性別が「Ｄ１」のレコードの出現頻度（攪乱後頻度）も「ｎ１＋ｎ２」となる。
【0114】
図１２に示すような攪乱後頻度を有する秘匿化ＤＢに対して検索者が検索を行ったとき、複数の項目値の組合せ頻度を知っている攻撃者３３は、検索条件に含まれるキーワードの候補をｋ個（図１２の例では３個）未満に絞ることが可能である。例えば検索者が「正常∧男」（∧は論理積）の検索または「低血圧∧女」の検索を行ったものとする。これらのいずれの検索結果も錯乱後頻度は「ｎ１＋ｎ２」である。すなわち検索条件にヒットしたレコード数は「ｎ１＋ｎ２」である。なお検索者がダミー要素を検索することはない。
【0115】
ここで、血圧のキーワードと性別のキーワードとの間の組み合わせ頻度（真の頻度）を知っている攻撃者３３は、攪乱後頻度が「ｎ１＋ｎ２」となるのが「正常∧男」または「低血圧∧女」のみであることも知っている。すると攻撃者３３は、少なくとも「高血圧」が検索対象外であることを認識できる。これは、検索者の関心の対象が血圧については「正常」または「低血圧」であり、「高血圧」は関心の対象外であると、攻撃者３３に知られてしまうことを意味する。すなわち、検索の対象がｋ（＝３）未満に絞られてしまう。
【0116】
このようにキーワードの種類数Ｘj（「男」、「女」の２種類）が少なく、Ｘj＜ｋとなる項目値と他の項目値とが組み合わさると、他の項目値も性別列のＸj個の値に絞られてしまう。
【0117】
図１２の例では、ダミー要素に対する検索が行われることがないという事実が、検索対象の絞り込みに利用されている。そして要素の組み合わせを考慮にいれた場合、ダミー要素を含む検索以外にも検索が行われることがない要素の組み合わせが存在する。例えば患者ごとのレコードが登録されたＤＢの項目に「診療科」と「年齢層」とが含まれている場合があり得る。ここで、小児科を成人や老人が受診することはない。そのため診療科の値が「小児科」のレコードにおいて、年齢層の値が「成人」、「老人」などであることはない。
【0118】
このように１つの項目の値がある項目値であるとき他の項目に設定されることがあり得ない値を、構造的ゼロと呼ぶことができる。それに対して、１つの項目の値がある項目値であるとき他の項目に設定されることがあり得る唯一の値（例えば診療科「小児科」に対する年齢層「児童」）を、非構造的ゼロと呼ぶことができる。構造的ゼロも検索対象の絞り込みに利用可能である。
【0119】
図１３は、構造的ゼロを利用した検索対象の絞り込みの一例を示す図である。図１３の例では、ＤＢ４３には「診療科」、「性別」、および「年齢層」の項目が設けられている。このＤＢ４３の各項目の値が暗号化された秘匿化ＤＢ４４が生成されている。ここで診療科については、「内科」、「婦人科」、「小児科」を含む１つの変換集合が生成されているものとする。また年齢層については、「老人」、「成人」、「Ｄ２」（ダミー要素）を含む変換集合と、「青年」、「児童」、「Ｄ３」（ダミー要素）を含む変換集合とが生成されているものとする。
【0120】
この場合、「内科∧成人」、「婦人科∧Ｄ２」、「小児科∧老人」それぞれの組み合わせの頻度攪乱後の出現頻度が同じとなる。図１３の例では、これらの組み合わせの出現頻度は「１３３」である。
【0121】
ここで検索者４５が「内科∧成人」の検索を、秘匿化ＤＢ４４に対して行った場合を想定する。この検索に対しては、１３３件のレコードがヒットする。攻撃者３３が検索者４５による検索を監視していた場合、攻撃者３３は、各項目に設定可能な値の出現頻度を組み合わせて、出現頻度が「１３３」となる値の組み合わせを調べる。これにより攻撃者３３は、検索対象の候補を「内科∧成人」、「婦人科∧Ｄ２」、「小児科∧老人」の３つまで絞り込むことができる。
【0122】
次に攻撃者３３は、ダミー要素である「Ｄ２」が検索対象となることはないため、「婦人科∧Ｄ２」を検索対象の候補から除外する。さらに攻撃者３３は、小児科に老人という検索が行われることはない（構造的ゼロの検索をする理由がない）ため、「小児科∧老人」も検索対象の候補から除外する。その結果、検索者４５が送信した検索クエリは「内科∧成人」であることを攻撃者３３が認識できる。
【0123】
このようにダミー要素や構造的ゼロが存在することによって検索クエリに含まれるキーワードが絞り込まれてしまう。このことを前提とすると、各項目に設定可能なキーワードの組み合わせの出現頻度に基づいて、ｋ個程度にまで初期段階で絞り込まれていることに問題がある。そこで、データ登録サーバ２００，３００は、データを登録する際に、各項目に設定可能なキーワードの出現頻度が分かっていても、その情報からは検索クエリに含まれるキーワードの絞り込みが十分にできないようにする。具体的には以下の通りである。
【0124】
データ登録サーバ２００，３００は、ＤＢ４３に登録可能なキーワードを、複数のキーワードのいずれかに確率的に変換する。以下、変換先となるキーワードを分割キーワードと呼ぶこととする。
【0125】
図１４は、分割キーワードへの確率的変換の一例を示す図である。例えばデータ登録サーバ２００は、診療科、性別、年齢層の項目を含むＤＢ２１０を有する。データ登録サーバ２００は、ＤＢ２１０の各項目に登録可能なキーワードに基づいて、分割キーワード選択テーブル２３３を生成する。
【0126】
分割キーワード選択テーブル２３３には、ＤＢ２１０内の項目ごとに、該当項目に登録可能なキーワードに対応する分割キーワードと、分割キーワードの選択確率とが設定されている。例えば項目「診療科」に登録可能なキーワード「小児科」に対応する分割キーワードとして「小児科０」と「小児科１」とがある。
【0127】
分割キーワードの選択確率は、乱数を生成することによって決定され、データ登録サーバ２００外には秘密となるように管理される。従って、ＤＢ２１０に登録可能なキーワードそれぞれに対して２つの分割キーワードが存在する場合でも、分割キーワードごとに選択確率は異なる。例えば分割キーワード「小児科０」の選択確率は「０．７２」であり、「小児科１」の選択確率は「０．２８」である。また分割キーワード「婦人科０」の選択確率は「０．６０」であり、「婦人科１」の選択確率は「０．４０」である。なお、ＤＢ２１０に登録可能な１つのキーワードに対応する複数の分割キーワードの選択確率の合計は「１」となる。
【0128】
データ登録サーバ２００は、データ管理サーバ１００にＤＢ２１０内のデータを登録する際に、ＤＢ２１０内の各レコードの項目値を、分割キーワード選択テーブル２３３を参照して、確率的に対応する分割キーワードのいずれかに変換する。例えば「小児科」を変換する場合、７２％の確率で「小児科０」に変換され、残りの２８％の確率で「小児科１」に変換される。ＤＢ２１０内のキーワードを変換することで、分割済データ２１１が生成される。
【0129】
なお図１４の例では、すべてのキーワードを分割キーワードに変換しているが、一部のキーワードについては変換せずに、ＤＢ２１０に登録可能なキーワードのまま秘匿化を行うことも可能である。
【0130】
データ登録サーバ２００は、分割キーワード選択テーブル２３３に示される分割キーワードを要素として含む変換集合を生成し、その変換集合を用いてダミーデータを生成する。その際、データ登録サーバ２００は、各変換集合について、以下の生成条件を満たすようにする。
【0131】
変換集合の生成条件は、その変換集合の要素のうちの少なくとも１つが分割キーワードであり、かつその分割キーワードと変換元のキーワードが共通の他の分割キーワードが他の変換集合に含まれることである。換言すると変換集合は、１つのキーワードに対応するｎ個の分割キーワードのうちのｎ－１個以下の分割キーワードを含む。
【0132】
図１５は、変換集合による分割キーワードからダミー値への変換の一例を示す図である。変換集合一覧２３２には、診療科についての３つの変換集合２３２ａ～２３２ｃ、性別についての３つの変換集合２３２ｄ～２３２ｆ、および年齢層についての４つの変換集合２３２ｇ～２３２ｊが含まれている。各変換集合２３２ａ～２３２ｊには、２つずつの要素が含まれている。変換集合２３２ａ～２３２ｊに含まれる要素は、例えば分割キーワード、またはダミー要素である。また分割しないキーワードがある場合、そのキーワードも変換集合２３２ａ～２３２ｊの要素となる。
【0133】
なお図１５における変換集合２３２ａ～２３２ｊ内の「：」の左の数字は要素番号である。「：」の右の文字列が要素として設定された分割キーワードである。
図１５の例では、ＤＢ２１０に登録可能なキーワードはすべて分割されるため、変換集合２３２ａ～２３２ｊに要素として含まれるのは分割キーワードとダミー要素である。例えば診療科の変換集合２３２ａには、分割キーワード「小児科０」、「内科０」が含まれる。また性別の変換集合２３２ｄには、分割キーワード「男０」とダミー要素「Ｄ１」が含まれる。
図１５の例では、ＤＢ２１０に登録可能なキーワードはすべて分割されるため、変換集合２３２ａ～２３２ｊに要素として含まれるのは分割キーワードとダミー要素である。例えば診療科の変換集合２３２ａには、分割キーワード「小児科０」、「内科０」が含まれる。また性別の変換集合２３２ｄには、分割キーワード「男０」とダミー要素「Ｄ１」が含まれる。
【0134】
変換集合２３２ａ～２３２ｊのいずれも、少なくとも１つの分割キーワードを要素として含んでいる。そしてその分割キーワードを含む変換集合とは別の変換集合に、その分割キーワードと変換元のキーワードが共通の他の分割キーワードが含まれている。例えば変換集合２３２ａには、分割キーワード「小児科０」が含まれている。「小児科０」の変換元のキーワードは「小児科」である。「小児科」の分割キーワードとしては「小児科０」以外に「小児科１」が存在する。「小児科１」は、変換集合２３２ａとは別の変換集合２３２ｂに含まれている。従って変換集合２３２ａは、変換集合の生成条件を満たしている。また変換集合２３２ｄは、分割キーワードを「男０」しか含んでおらず、もう１つの要素はダミー要素「Ｄ１」である。ただし「男０」と変換元のキーワードが共通の他の分割キーワード「男１」が他の変換集合２３２ｅに含まれている。従って変換集合２３２ｄについても変換集合の生成条件が満たされている。
【0135】
データ登録サーバ２００は、変換集合２３２ａ～２３２ｊに従いダミーデータを生成する。ダミーデータは、Ｇ－１個のダミーレコード群である。ダミーレコードに設定するダミー値の生成方法は、図６を参照して説明した通りである。
【0136】
分割済データ２１１内の真のデータのレコードとダミーレコードとを混在させることで、秘匿化ＤＢへの登録用の登録データ４６が生成される。登録データ４６は、第１の実施の形態における攪乱レコード群６の一例である。
【0137】
登録データ４６においては、同じ変換集合に含まれるＧ個の要素の出現頻度が等しくなる。しかもそれら要素の出現頻度とＤＢ２１０データの頻度とを比較しても、平文を特定できないようになる。例えば変換集合２３２ｇに含まれる「老人０」と「児童０」の頻度とそれぞれの元データの頻度との相関は秘密の選択確率によって隠されている。そのため各変換集合の要素の頻度を合計しても、真のデータの２以上のキーワードの頻度の合計と一致しない。
【0138】
またデータ登録サーバ２００は、検索時に暗号文がどの群に属しているかを見分けることができるようにするために、登録データ４６内の各レコードに群番号を含むフラグ値を追加する。例えばデータ登録サーバ２００は、群番号の分類攻撃を防ぐため、フラグ値に生成の元のレコードのＩＤを加え、すべてのフラグ値をユニークな値にする。
【0139】
登録データ４６の先頭のレコードは分割済データ２１１の先頭（ＩＤ「０」）のレコードであり、真のデータのレコード群（群番号「０」）に属するため、フラグ値は「０，０」である。登録データ４６の２つ目のレコードは分割済データ２１１の先頭（ＩＤ「０」）のレコードに基づくダミーレコードであり、ダミーレコード群（群番号「１」）に属するため、フラグ値は「０，１」である。
【0140】
図１４、図１５には、ＤＢ２１０に登録可能なすべてのキーワードについて分割キーワードに変換する例を示しているが、すべての変換集合が生成条件を満たせるのであれば、一部のキーワードについては分割しなくてもよい。
【0141】
図１６は、変換集合の他の生成例を示す第１の図である。図１６に示す変換集合一覧４７には、診療科についての３つの変換集合４７ａ～４７ｃ、性別についての２つの変換集合４７ｄ～４７ｅ、および年齢層についての３つの変換集合４７ｆ～４７ｈが含まれている。図１６の例では、診療科の「内科」、性別のキーワード「女」、年齢層のキーワード「青年」および「児童」については分割キーワードへの変換が行われない。そのため、これらのキーワードはそのまま変換集合の要素となっている。
【0142】
このような変換集合一覧４７に含まれる各変換集合４７ａ～４７ｈは、変換集合の生成条件を満たしている。例えば変換集合４７ｄには、分割キーワード「男０」と分割されていないキーワード「女」が含まれている。このうち「男０」の変換元のキーワードは「男」である。「男」の分割キーワードとしては「男０」以外に「男１」が存在する。「男１」は、変換集合４７ｄとは別の変換集合４７ｅに含まれている。従って変換集合４７ｄは、変換集合の生成条件を満たしている。
【0143】
ただし変換集合一覧４７を用いてダミー値への変換を行うと、図１５に示した変換集合一覧２３２を用いた場合に比べて、平文推定の難易度が下がる。例えば変換集合一覧４７を用いてダミー値への変換を行った秘匿化ＤＢに対して、攻撃者３３は以下のような攻撃が可能である。
【0144】
攻撃者３３が性別に対する検索の検索対象の特定を試みる場合を想定する。攻撃者３３は、性別の変換集合４７ｄ，４７ｅごとの攪乱後頻度を得る。例えば攻撃者３３は、検索者が性別「女」のレコードを検索した場合にヒットしたレコード数を取得することで、変換集合４７ｄの攪乱後頻度（「男０」の頻度と「女」の頻度との合計）を得ることができる。攻撃者３３は、変換集合４７ｄの攪乱後頻度から平文の「女」の頻度を減算する。すると「男０」の頻度となる。さらに攻撃者３３は、減算結果にもう１つの変換集合４７ｅの攪乱後頻度を加算する。加算後の頻度は、「男０」の頻度と「男１」の頻度との合計である。
【0145】
攻撃者３３は、加算結果が「男」の頻度と等しくなることが確認できれば、変換集合４７ｄの攪乱後頻度となる検索が行われた場合、対応する変換集合４７ｄには「女」が含まれると判断できる。以後、攻撃者３３は、検索者により変換集合４７ｄの攪乱後頻度となる検索のみが行われた場合、「女」を検索したと特定することができる。
【0146】
攻撃者３３がこのような試行を繰り返すことで検索対象の絞り込みが可能となるが、同じ項目に登録可能なキーワード数が多くなるほど、このような攻撃の試行回数が増加し、検索対象が特定される危険性は低下する。
【0147】
このように、変換集合一覧４７に示すような変換集合４７ａ～４７ｈでは、性別のように登録可能なキーワード数が少ない項目がある場合に、頻度分析攻撃に対する安全性が低下してしまう。ただし、各項目の登録可能なキーワード数が多ければ、攻撃者３３が行う攻撃で用いるキーワード（攻撃において該当キーワードの頻度の加減算を行う）の組み合わせ数が膨大となる。その結果、変換集合一覧４７に示すように一部の要素が、ＤＢ２１０に登録されるキーワードのまま（分割キーワードに変換されていない）であっても十分に安全となる。
【0148】
なお、すべてのキーワードを分割キーワードに変換したとしても、変換集合を適切に生成しないと、頻度分析攻撃に対する安全性が不十分となる場合がある。
図１７は、変換集合の他の生成例を示す第２の図である。図１７に示す変換集合一覧４８には、診療科についての３つの変換集合４８ａ～４８ｃ、性別についての３つの変換集合４８ｄ～４８ｆ、および年齢層についての４つの変換集合４８ｇ～４８ｊが含まれている。図１７の例では、年齢層の変換集合４８ｇ～４８ｊの要素が、図１５に示した変換集合２３２ｇ～２３２ｊと異なっている。
図１７は、変換集合の他の生成例を示す第２の図である。図１７に示す変換集合一覧４８には、診療科についての３つの変換集合４８ａ～４８ｃ、性別についての３つの変換集合４８ｄ～４８ｆ、および年齢層についての４つの変換集合４８ｇ～４８ｊが含まれている。図１７の例では、年齢層の変換集合４８ｇ～４８ｊの要素が、図１５に示した変換集合２３２ｇ～２３２ｊと異なっている。
【0149】
変換集合４８ｇ～４８ｊでは、「老人」の分割キーワード「老人０」、「老人１」が、それぞれ変換集合４８ｇと変換集合４８ｈとに格納されている。また「青年」の分割キーワード「青年０」、「青年１」が、それぞれ変換集合４８ｇと変換集合４８ｈとに格納されている。すなわち変換集合４８ｇと変換集合４８ｈとは、属する分割キーワードの変換元のキーワードの組み合わせ（「老人」、「青年」）が同じである。同様に、変換集合４８ｉと変換集合４８ｊとも、属する分割キーワードの変換元のキーワードの組み合わせ（「成人」、「児童」）が同じである。
【0150】
このような変換集合４８ｇ～４８ｊが生成された場合、変換集合４８ｇに属する分割キーワードの攪乱後頻度と変換集合４８ｈに属する分割キーワードの攪乱後頻度との合計が、ＤＢ２１０における「老人」と「青年」との出現頻度の合計に等しくなる。そうすると「老人」または「青年」の検索が行われたとき、ヒットしたレコードの件数から、検索対象のキーワードが「老人」または「青年」であると攻撃者３３が推定できてしまう。すなわち検索対象のキーワードの候補が２つに絞り込まれてしまう。
【0151】
このような頻度分析攻撃を困難にするために、データ登録要求サーバ２００，３００は、図１５に示すように、変換集合内の分割キーワードの変換元のキーワードの組み合わせが同じとなる複数の変換集合が生じないようにする。
【0152】
次に、確率的に分割キーワードへの変換を行うことで頻度分析攻撃に対する安全性を向上させた秘密情報管理システムの各装置の機能について説明する。
図１８は、秘密情報管理システムの機能を示すブロック図である。データ管理サーバ１００は、秘匿化ＤＢ１１０、データ登録部１２０、鍵提供依頼部１３０、および検索部１４０を有する。秘匿化ＤＢ１１０は、データ管理サーバ１００が有するメモリ１０２またはストレージ装置１０３によって実現される。データ登録部１２０、鍵提供依頼部１３０、および検索部１４０は、データ管理サーバ１００が有するプロセッサ１０１によって実現される。
図１８は、秘密情報管理システムの機能を示すブロック図である。データ管理サーバ１００は、秘匿化ＤＢ１１０、データ登録部１２０、鍵提供依頼部１３０、および検索部１４０を有する。秘匿化ＤＢ１１０は、データ管理サーバ１００が有するメモリ１０２またはストレージ装置１０３によって実現される。データ登録部１２０、鍵提供依頼部１３０、および検索部１４０は、データ管理サーバ１００が有するプロセッサ１０１によって実現される。
【0153】
秘匿化ＤＢ１１０は、データ登録サーバ２００，３００から収集した暗号文の患者データを、暗号文のまま管理するＤＢである。
データ登録部１２０は、データ登録サーバ２００，３００からのデータ登録要求に応じて、暗号文の患者データを秘匿化ＤＢ１１０に登録する。
データ登録部１２０は、データ登録サーバ２００，３００からのデータ登録要求に応じて、暗号文の患者データを秘匿化ＤＢ１１０に登録する。
【0154】
鍵提供依頼部１３０は、端末装置４００，５００からの鍵取得要求を受信すると、端末装置４００，５００への鍵提供依頼を、データ登録サーバ２００，３００に送信する。
検索部１４０は、端末装置４００，５００からの暗号化された検索キーワードを含むデータ検索クエリに応じて、秘匿化ＤＢ１１０に登録された患者データを検索する。この際、検索部１４０は、患者データと検索キーワードとを暗号文のまま照合し、検索キーワードに合致するレコードを、秘匿化ＤＢ１１０から抽出する。そして検索部１４０は、抽出したレコードを、検索クエリの送信元の端末装置４００，５００に送信する。
検索部１４０は、端末装置４００，５００からの暗号化された検索キーワードを含むデータ検索クエリに応じて、秘匿化ＤＢ１１０に登録された患者データを検索する。この際、検索部１４０は、患者データと検索キーワードとを暗号文のまま照合し、検索キーワードに合致するレコードを、秘匿化ＤＢ１１０から抽出する。そして検索部１４０は、抽出したレコードを、検索クエリの送信元の端末装置４００，５００に送信する。
【0155】
データ登録サーバ２００は、ＤＢ２１０、鍵記憶部２２０、変換情報記憶部２３０、鍵生成部２４０、データ登録要求部２５０、および鍵提供部２６０を有する。ＤＢ２１０、鍵記憶部２２０、および変換情報記憶部２３０は、データ登録サーバ２００が有するメモリまたはストレージ装置によって実現される。また鍵生成部２４０、データ登録要求部２５０、および鍵提供部２６０は、データ登録サーバ２００が有するプロセッサによって実現される。
【0156】
ＤＢ２１０は、患者データを平文で格納するＤＢである。
鍵記憶部２２０は、データ管理サーバ１００に登録する患者データの暗号化に使用する暗号鍵を記憶する。暗号鍵は、データ管理サーバ１００からアクセスできないように管理される。
鍵記憶部２２０は、データ管理サーバ１００に登録する患者データの暗号化に使用する暗号鍵を記憶する。暗号鍵は、データ管理サーバ１００からアクセスできないように管理される。
【0157】
変換情報記憶部２３０は、真のデータのレコード群に示されるキーワードを、ダミーレコードに登録するダミー値に変換するために使用する情報を記憶する。例えば変換集合一覧などの情報が変換情報記憶部２３０に格納される。
【0158】
鍵生成部２４０は、暗号鍵を生成する。鍵生成部２４０は、生成した暗号鍵を鍵記憶部２２０に格納する。
データ登録要求部２５０は、データ管理サーバ１００への登録対象の患者データの暗号文を含むデータ登録要求を、データ管理サーバ１００に送信する。例えばデータ登録要求部２５０は、まず登録対象の患者データをＤＢ２１０から取得し、秘匿化ＤＢ１１０のフォーマットに合わせて、患者データを加工する。この際、データ登録要求部２５０は、送信するデータ登録要求にダミーデータを含める。ダミーデータは複数のダミーレコードを含む。ダミーレコード内にはダミー値が登録されている。データ登録要求部２５０は、変換情報記憶部２３０に格納されている情報を用いて、真のデータ内の値をダミー値に変換し、ダミーレコードに登録する。
データ登録要求部２５０は、データ管理サーバ１００への登録対象の患者データの暗号文を含むデータ登録要求を、データ管理サーバ１００に送信する。例えばデータ登録要求部２５０は、まず登録対象の患者データをＤＢ２１０から取得し、秘匿化ＤＢ１１０のフォーマットに合わせて、患者データを加工する。この際、データ登録要求部２５０は、送信するデータ登録要求にダミーデータを含める。ダミーデータは複数のダミーレコードを含む。ダミーレコード内にはダミー値が登録されている。データ登録要求部２５０は、変換情報記憶部２３０に格納されている情報を用いて、真のデータ内の値をダミー値に変換し、ダミーレコードに登録する。
【0159】
さらにデータ登録要求部２５０は、暗号鍵を用いて、秘匿化ＤＢ１１０に登録する項目値ごとに、患者データに含まれる値を暗号化する。そしてデータ登録要求部２５０は、項目値ごとに暗号化された、暗号文の患者データを含むデータ登録要求を、データ管理サーバ１００に送信する。
【0160】
鍵提供部２６０は、データ管理サーバ１００からの鍵提供依頼に応じて、登録した患者データの利用を許可する製薬企業の端末装置４００，５００へ、暗号鍵を送信する。なお鍵提供部２６０は、暗号鍵を、データ管理サーバ１００を経由せずに端末装置４００，５００に送信する。データ管理サーバ１００を経由せずに暗号鍵を送信することで、暗号鍵がデータ管理サーバ１００から隔離される。その結果、データ管理サーバ１００の管理者による、秘匿化ＤＢ１１０内のデータの復号が抑止される。
【0161】
以上、データ登録サーバ２００が有する機能を説明したが、データ登録サーバ３００もデータ登録サーバ２００と同様の機能を有する。
端末装置４００は、鍵記憶部４１０、変換情報記憶部４２０、鍵取得部４３０、および検索要求部４４０を有する。鍵記憶部４１０と変換情報記憶部４２０は、端末装置４００が有するメモリまたはストレージ装置によって実現される。また鍵取得部４３０、および検索要求部４４０は、端末装置４００が有するプロセッサによって実現される。
端末装置４００は、鍵記憶部４１０、変換情報記憶部４２０、鍵取得部４３０、および検索要求部４４０を有する。鍵記憶部４１０と変換情報記憶部４２０は、端末装置４００が有するメモリまたはストレージ装置によって実現される。また鍵取得部４３０、および検索要求部４４０は、端末装置４００が有するプロセッサによって実現される。
【0162】
鍵記憶部４１０は、検索クエリに含める検索キーワードの暗号化に使用する暗号鍵を記憶する。暗号鍵は、データ管理サーバ１００からアクセスできないように管理される。
変換情報記憶部４２０は、検索者が指定した検索条件に示されるキーワードをダミー値に変換するために使用する情報を記憶する。変換情報記憶部４２０に格納されている情報は、データ登録サーバ２００の変換情報記憶部２３０に格納されている情報と同じである。
変換情報記憶部４２０は、検索者が指定した検索条件に示されるキーワードをダミー値に変換するために使用する情報を記憶する。変換情報記憶部４２０に格納されている情報は、データ登録サーバ２００の変換情報記憶部２３０に格納されている情報と同じである。
【0163】
鍵取得部４３０は、データ登録サーバ２００，３００で提供される暗号鍵を取得する。例えば鍵取得部４３０は、データ管理サーバ１００に、鍵取得要求を送信する。するとデータ管理サーバ１００の鍵提供依頼部１３０により、データ登録サーバ２００，３００に鍵提供依頼が送信される。鍵提供依頼に応じて、例えばデータ登録サーバ２００の鍵提供部２６０が、暗号鍵を端末装置４００に送信する。そして鍵取得部４３０は、端末装置４００から送信された暗号鍵を取得する。鍵取得部４３０は、取得した暗号鍵を、鍵記憶部４１０に格納する。
【0164】
検索要求部４４０は、患者データの利用者（検索者）が入力した検索キーワードを取得する。次に検索要求部４４０は、取得した検索キーワードを、暗号鍵を用いて暗号化し、暗号文の検索キーワードを含む検索クエリをデータ管理サーバ１００に送信する。検索要求部４４０は、データ管理サーバ１００から検索結果を受信すると、検索結果の内容（例えば検索キーワードに合致した真のデータのレコード数）を表示する。
【0165】
なお検索要求部４４０は、ダミーデータを検索対象とする検索クエリを送信することもできる。その場合、検索要求部４４０は、変換情報記憶部４２０に格納されている情報を用いて、検索キーワードをダミー値に変換し、暗号化したダミー値を含む検索クエリを送信する。この場合、検索要求部４４０は、検索結果に示されるレコードから所定のダミーレコードを抽出し、そのダミーレコード内のダミー値を、変換情報記憶部４２０に格納されている情報を用いて、真のデータに設定されていた値に変換する。そして検索要求部４４０は、変換後の値を有するレコードの内容を検索結果として表示する。
【0166】
以上、端末装置４００が有する機能を説明したが、端末装置５００も端末装置４００と同様の機能を有する。
図１８に示した機能により、データ管理サーバ１００の管理者に対しても患者データと検索クエリの内容を秘匿したまま、データ管理サーバ１００において患者データを管理すると共に、製薬企業１５，１６による患者データの利用を可能とすることができる。なお、図１８に示した各要素の機能は、例えば、その要素に対応するプログラムモジュールをコンピュータに実行させることで実現することができる。
図１８に示した機能により、データ管理サーバ１００の管理者に対しても患者データと検索クエリの内容を秘匿したまま、データ管理サーバ１００において患者データを管理すると共に、製薬企業１５，１６による患者データの利用を可能とすることができる。なお、図１８に示した各要素の機能は、例えば、その要素に対応するプログラムモジュールをコンピュータに実行させることで実現することができる。
【0167】
次に、図１８に示したシステムによる出現頻度攪乱処理の概要について説明する。
図１９は、ダミーデータを用いた出現頻度の攪乱処理の一例を示す図である。データ登録サーバ２００は、データ５４の使用を許可する製薬企業（例えば製薬企業１５）の端末装置４００へ、鍵生成部２４０が生成した暗号鍵５１を送信する（ステップＳ１１）。例えば端末装置４００の鍵取得部４３０がデータ管理サーバ１００に鍵取得要求を送信する。データ管理サーバ１００では、鍵提供依頼部１３０が、データ登録サーバ２００に暗号鍵５１の提供を依頼する。データ登録サーバ２００の鍵提供部２６０は、暗号鍵５１の提供依頼を受信すると、管理者による暗号鍵５１の提供の許可を示す入力を受け付ける。鍵提供部２６０は、暗号鍵５１の提供を許可する旨の入力が行われると、暗号鍵５１を鍵記憶部２２０から取得し、取得した暗号鍵５１と同じ暗号鍵５２を、データ管理サーバ１００を経由させずに端末装置４００に送信する。端末装置４００では、鍵取得部４３０が受信した暗号鍵５２を鍵記憶部４１０に格納する。これにより、データ登録サーバ２００と端末装置４００とで、暗号鍵の共有化が図られる。
図１９は、ダミーデータを用いた出現頻度の攪乱処理の一例を示す図である。データ登録サーバ２００は、データ５４の使用を許可する製薬企業（例えば製薬企業１５）の端末装置４００へ、鍵生成部２４０が生成した暗号鍵５１を送信する（ステップＳ１１）。例えば端末装置４００の鍵取得部４３０がデータ管理サーバ１００に鍵取得要求を送信する。データ管理サーバ１００では、鍵提供依頼部１３０が、データ登録サーバ２００に暗号鍵５１の提供を依頼する。データ登録サーバ２００の鍵提供部２６０は、暗号鍵５１の提供依頼を受信すると、管理者による暗号鍵５１の提供の許可を示す入力を受け付ける。鍵提供部２６０は、暗号鍵５１の提供を許可する旨の入力が行われると、暗号鍵５１を鍵記憶部２２０から取得し、取得した暗号鍵５１と同じ暗号鍵５２を、データ管理サーバ１００を経由させずに端末装置４００に送信する。端末装置４００では、鍵取得部４３０が受信した暗号鍵５２を鍵記憶部４１０に格納する。これにより、データ登録サーバ２００と端末装置４００とで、暗号鍵の共有化が図られる。
【0168】
その後、データ登録サーバ２００は、ＤＢ２１０内のデータ２１０ａに対して、ダミーデータ５５を追加する（ステップＳ１２）。例えばデータ登録要求部２５０は、ＤＢ２１０から取得した真のデータ５４に含まれるレコードの数のＧ－１倍のダミーレコードを、ダミーデータ５５として追加する。この際、データ登録要求部２５０は、追加したダミーレコードの項目値（ダミー値）として、真のデータ５４に設定されている項目値を用い、各項目値の出現頻度の偏りを減少させる。さらにデータ登録要求部２５０は、各レコードに、真のデータ５４のレコードなのかダミーレコードなのか、ダミーレコードであればどのダミーレコード群に属するのかを識別するためのフラグ５６を付与する。
【0169】
データ登録要求部２５０は、真のデータ５４とダミーデータ５５との各レコード内の項目値（フラグを含む）を暗号鍵５１で暗号化して、登録データ５３を生成する（ステップＳ１３）。そしてデータ登録要求部２５０は、登録データ５３を含むデータ登録要求を、データ管理サーバ１００に送信する（ステップＳ１４）。データ管理サーバ１００では、データ登録部１２０が、登録データ５３を受信し、受信した登録データ５３を秘匿化ＤＢ１１０に格納する。
【0170】
製薬企業１５の担当者がデータ５４を利用する場合、担当者は、端末装置４００に検索キーワードを入力する。すると検索要求部４４０は、入力された検索キーワードを暗号鍵５２で暗号化して、暗号文の検索キーワードを含む検索クエリ５７を生成する（ステップＳ１５）。なお検索要求部４４０は、いずれかのダミーレコード群を検索対象とする場合、入力された検索キーワードを、ダミーレコード群におけるその検索キーワードに対応するダミー値に変換する。そして検索要求部４４０は、変化で得られたダミー値を暗号化した値を含む検索クエリ５７を生成する。そして検索要求部４４０は、検索クエリ５７をデータ管理サーバ１００に送信する（ステップＳ１６）。
【0171】
データ管理サーバ１００では、検索部１４０が、データを秘匿化したままで、登録データ５３と検索クエリ５７とを照合する（ステップＳ１７）。そして検索部１４０は、検索クエリ５７による検索にヒットしたレコードを、検索結果５８として端末装置４００に送信する（ステップＳ１８）。検索結果５８には、真のデータ５４のレコードとダミーデータ５５のダミーレコードとが含まれる。
【0172】
端末装置４００では検索要求部４４０が検索結果５８を受信する。検索要求部４４０は、真のデータを検索対象とした場合には、例えばフラグに基づいて、検索結果５８からダミーレコードを破棄する（ステップＳ１９）。そして検索要求部４４０は、検索結果５８内の真のデータ５４のレコードのみを含む真の結果５９を、モニタなどに表示する。
【0173】
なお検索要求部４４０は、ダミーレコード群を検索対象とした場合には、例えばフラグに基づいて、検索結果５８から検索対象のダミーレコード群に属するダミーレコードを抽出し、その他のレコードを破棄する。検索要求部４４０は、ダミーレコード内のダミー値を、そのダミー値の変換元であったキーワードに変換する。そして検索要求部４４０は、元のキーワードに変換された値を含むレコードを真の結果５９として表示する。
【0174】
このようにダミーデータ５５を追加することで、各項目値の頻度攪乱が可能となる。端末装置４００は、フラグを用いてダミーデータ５５と真のデータ５４とを識別して、真の結果５９を得ることができる。
【0175】
次に、データ登録サーバ２００，３００が有する平文の患者データのＤＢ２１０について説明する。
図２０は、平文の患者データのＤＢの一例を示す図である。ＤＢ２１０には、真のデータ２１０ａが平文のまま格納されている。真のデータ２１０ａには、例えば患者ごとのレコードが、レコードの識別子（ＩＤ）に対応付けて登録されている。各レコードには、項目ごとの列に、その項目に対応するキーワードが設定されている。図２０の例では、項目として「診療科」、「性別」、「年齢層」がある。ＤＢ２１０に登録されている各レコード内の値は、例えば平文の文字コードである。
図２０は、平文の患者データのＤＢの一例を示す図である。ＤＢ２１０には、真のデータ２１０ａが平文のまま格納されている。真のデータ２１０ａには、例えば患者ごとのレコードが、レコードの識別子（ＩＤ）に対応付けて登録されている。各レコードには、項目ごとの列に、その項目に対応するキーワードが設定されている。図２０の例では、項目として「診療科」、「性別」、「年齢層」がある。ＤＢ２１０に登録されている各レコード内の値は、例えば平文の文字コードである。
【0176】
データ登録要求部２５０は、患者のレコードをデータ管理サーバ１００に登録する場合、そのレコードに設定された値（平文）を、確定的暗号化技術により暗号化する。そして暗号化されたレコードが、データ管理サーバ１００の秘匿化ＤＢ１１０に登録される。その際、データ登録要求部２５０は、分割キーワード選択テーブル２３３（図１４参照）に基づいてキーワードを確率的に分割キーワードに変換する。さらにデータ登録要求部２５０は、変換情報記憶部２３０を参照して、頻度分析攻撃に対する攪乱のためにダミーデータを生成する。
【0177】
図２１は、データ登録サーバ内の変換情報記憶部に格納される情報の一例を示す図である。変換情報記憶部２３０には、キーワード一覧２３１、変換集合一覧２３２、および分割キーワード選択テーブル２３３が記憶されている。キーワード一覧２３１は、項目ごとに、その項目に設定可能なキーワードのリストが示されたデータである。変換集合一覧２３２は、変換集合の内容を示すデータである。分割キーワード選択テーブル２３３は、キーワードを分割して秘匿化ＤＢ１１０に登録する場合における分割後のキーワード（分割キーワード）のリストを示すデータである。なお変換集合一覧２３２と分割キーワード選択テーブル２３３とは、キーワード一覧２３１に基づいて、データ登録要求部２５０によって生成されるデータである。変換集合一覧２３２と分割キーワード選択テーブル２３３とは、データ登録サーバ２００の外部からアクセスできないように秘密に管理される。
【0178】
図２２は、キーワード一覧の一例を示す図である。キーワード一覧２３１には、ＤＢ２１０の項目ごとに、該当項目に設定可能なキーワードのリストが登録されている。図２２の例では、「診療科」の項目に登録できるキーワードは３個であり、「性別」の項目に登録できるキーワードは２個であり、「年齢層」の項目に登録できるキーワードは４個である。
【0179】
図２３は、変換集合の第１の生成例を示す図である。キーワードリスト２３１ａには、年齢層に設定可能な４個のキーワードが示されている。またＧ＝２であり、各変換集合２３２ｇ～２３２ｊには２つずつの分割キーワードが含まれる。図１４に示した分割キーワード選択テーブル２３３に基づいて分割キーワードを生成する場合、年齢層に関する分割キーワードは８個となる。
【0180】
データ登録要求部２５０は、まず４個の変換集合２３２ｇ～２３２ｊの要素の格納領域を生成する。またデータ登録要求部２５０は、変換集合２３２ｇ～２３２ｊの識別子をそれぞれ「２－０」～「２－３」とする。識別子の左側の数値は「年齢層」に対応する値であり、右側の数値は「年齢層」の変換集合２３２ｇ～２３２ｊに対する通し番号である。
【0181】
データ登録要求部２５０は、例えばキーワードリスト２３１ａから、所定の順番あるいはランダムな順番ですべてのキーワードを１回ずつ選択する。図２３の例では、キーワードリスト２３１ａの左から順にキーワードを選択するものとする。
【0182】
データ登録要求部２５０は、選択したキーワードの分割キーワードを番号の小さい変換集合から順に、変換集合の格納領域に格納していく。このとき、データ登録要求部２５０は、同じキーワードに対応する分割キーワードは異なる変換集合に格納する。またデータ登録要求部２５０は、変換集合内の分割キーワードの変換元のキーワードの組み合わせが同じとなる複数の変換集合が生じないようにする。
【0183】
例えばデータ登録要求部２５０は、最初に選択したキーワードの１つ目の分割キーワードを先頭の変換集合２３２ｇに登録する。次にデータ登録要求部２５０は、そのキーワードの２つ目の分割キーワードを２番目の変換集合２３２ｈに登録する。例えば「老人」が最初に選択された場合、「老人０」が変換集合２３２ｇに登録され、「老人１」が変換集合２３２ｈに登録される。
【0184】
データ登録要求部２５０は、２番目に選択したキーワードの１つ目の分割キーワードを、直前に選択したキーワードの２つ目の分割キーワードと同じ変換集合２３２ｈに登録する。次にデータ登録要求部２５０は、そのキーワードの２つ目の分割キーワードを次の変換集合２３２ｉに登録する。例えば「成人」が２番目に選択された場合、「成人０」が変換集合２３２ｈに登録され、「成人１」が変換集合２３２ｉに登録される。
【0185】
データ登録要求部２５０は、３番目以降に選択した各キーワードの分割キーワードについても、２番目に選択したキーワードと同様の手順で変換集合に登録する。例えば「青年」が３番目に選択された場合、「青年０」が変換集合２３２ｉに登録され、「青年１」が変換集合２３２ｊに登録される。
【0186】
データ登録要求部２５０は、最後に選択したキーワードの分割キーワードについては、格納領域が空いている変換集合に登録する。例えば「児童」が最後に選択された場合、「児童０」が変換集合２３２ｇに登録され、「児童１」が変換集合２３２ｊに登録される。
【0187】
このような手順で変換集合２３２ｇ～２３２ｊが生成される。変換集合２３２ｇ～２３２ｊそれぞれは、属する要素のうちの少なくとも１つが分割キーワードであり、かつその分割キーワードと変換元のキーワードが共通の他の分割キーワードが他の変換集合に含まれる。そのため変換集合の生成条件を満たしている。また変換集合２３２ｇ～２３２ｊ内の分割キーワードの変換元のキーワードの組み合わせが同じとなる複数の変換集合は生じていない。
【0188】
図２３には年齢層の変換集合２３２ｇ～２３２ｊの生成例を示したが、診療科および性別についても同様の手順でそれぞれの変換集合２３２ａ～２３２ｆを生成することができる。その結果、図１５に示したような変換集合一覧２３２が生成される。
【0189】
図２３に示したのは、Ｇ＝２，Ｌ＝２，Ｘj＝４，Ｍj（ｊ番目の項目の変換集合数）＝４の場合の例であるが、これらのパラメータの値が別の値であっても、同様に適切な変換集合を生成することができる。
【0190】
図２４は、変換集合の第２の生成例を示す図である。図２４には、Ｇ＝３，Ｌ＝４，Ｘj＝４，Ｍj＝６の場合における変換集合４９ａ～４９ｆの生成例が示されている。
例えばデータ登録要求部２５０は、最初に選択したキーワードの１つ目の分割キーワードを先頭の変換集合４９ａの要素番号「０」の要素に登録する。次にデータ登録要求部２５０は、そのキーワードの２つ目以降の分割キーワードを、変換集合番号と要素番号を１ずつ加算しながら、該当する番号の要素に登録していく。なおデータ登録要求部２５０は、加算後の要素番号がＬとなる場合、要素番号を「０」に戻す。
例えばデータ登録要求部２５０は、最初に選択したキーワードの１つ目の分割キーワードを先頭の変換集合４９ａの要素番号「０」の要素に登録する。次にデータ登録要求部２５０は、そのキーワードの２つ目以降の分割キーワードを、変換集合番号と要素番号を１ずつ加算しながら、該当する番号の要素に登録していく。なおデータ登録要求部２５０は、加算後の要素番号がＬとなる場合、要素番号を「０」に戻す。
【0191】
例えば「老人」が最初に選択された場合、「老人０」が変換集合４９ａの要素番号「０」の要素に登録される。続けて、「老人１」が変換集合４９ｂの要素番号「１」の要素に登録され、「老人２」が変換集合４９ｃの要素番号「２」の要素に登録され、「老人３」が変換集合４９ｄの要素番号「０」の要素に登録される。
【0192】
データ登録要求部２５０は、２つ目以降に選択されたキーワードの１つ目の分割キーワードを、直前に選択されたキーワードの１つ目の分割キーワードを格納した変換集合に対して変換集合番号で次の変換集合に登録する。次にデータ登録要求部２５０は、そのキーワードの２つ目以降の分割キーワードを、変換集合番号と要素番号を１ずつ加算しながら、該当する番号の要素に登録していく。なおデータ登録要求部２５０は、加算後の要素番号がＬとなる場合、要素番号を「０」に戻す。
【0193】
例えば２つ目のキーワードとして「成人」が選択されると、「成人０」が変換集合４９ｂの要素番号「０」の要素に登録される。続けて、「成人１」が変換集合４９ｃの要素番号「１」の要素に登録され、「成人２」が変換集合４９ｄの要素番号「２」の要素に登録され、「成人３」が変換集合４９ｅの要素番号「０」の要素に登録される。
【0194】
次に「青年」が選択されると、「青年０」が変換集合４９ｃの要素番号「０」の要素に登録される。続けて、「青年１」が変換集合４９ｄの要素番号「１」の要素に登録され、「青年２」が変換集合４９ｅの要素番号「２」の要素に登録され、「青年３」が変換集合４９ｆの要素番号「０」の要素に登録される。
【0195】
データ登録要求部２５０は、最後に選択したキーワードの分割キーワードについては、格納領域が空いている変換集合に登録する。例えば「児童」が最後に選択された場合、「児童０」が変換集合４９ａの要素番号「１」の要素に登録される。続けて「児童１」が変換集合４９ｂの要素番号「２」の要素に登録され、「児童２」が変換集合４９ｅの要素番号「１」の要素に登録され、「児童３」が変換集合４９ｆの要素番号「２」の要素に登録される。
【0196】
データ登録要求部２５０は、すべての分割キーワードを登録後に空いている要素にダミー要素を登録する。例えば変換集合４９ｆの要素番号「１」の要素に「Ｄ０」が登録され、変換集合４９ａの要素番号「２」の要素に「Ｄ１」が登録される。
【0197】
このようにＧ、Ｌ、Ｘj、Ｍjの値が増えても、適切な変換集合を生成することができる（変換集合生成手順の詳細は図２８参照）。データ登録要求部２５０は、変換集合一覧２３２を生成後、図１４に示すような分割キーワード選択テーブル２３３を生成する。データ登録要求部２５０は、生成した変換集合一覧２３２と分割キーワード選択テーブル２３３とを変換情報記憶部２３０に格納する。そしてデータ登録要求部２５０は、分割キーワード選択テーブル２３３に基づいてＤＢ２１０内のキーワードを確率的に分割キーワードに変換後、秘匿化ＤＢ１１０に登録するための登録データを生成する。
【0198】
図２５は、分割キーワードを用いて生成した登録データの一例を示す図である。ＤＢ２１０に格納されていた真のデータに示される各キーワードが分割キーワード選択テーブル２３３に示される選択確率で確率的に分割キーワードに変換され、分割済データ２１１が生成される。そして、分割済データ２１１に基づいて登録データ６０が生成される。
【0199】
登録データ６０には、分割済データ２１１のレコードの集合である真のデータのレコード群６０ａと、分割済データ２１１のレコードの各分割キーワードを変換して得られたダミーレコード群６０ｂが含まれている。真のデータのレコード群６０ａの群番号は「０」であり、ダミーレコード群６０ｂの群番号は「１」である。
【0200】
各レコードにはランダムにＩＤが付与されている。登録データ６０内の各レコードにはフラグが付与されている。そして登録データ６０に含まれるキーワード（フラグ値も含む）が暗号化される。なおフラグ値は、変換元のレコードの分割済データ２１１内でのＩＤと、属する群の群番号との組である。
【0201】
データ登録要求部２５０は、登録データ６０の各項目値を暗号化し、登録データ６０のレコードをＩＤでソートした後、データ管理サーバ１００の秘匿化ＤＢ１１０に登録する。
【0202】
図２６は、秘匿化ＤＢの一例を示す図である。秘匿化ＤＢ１１０に登録されたレコードはＩＤによってソートされており、真のデータのレコードとダミーレコードが混在して登録されている。
【0203】
【0204】
［ステップＳ１０１］データ登録要求部２５０は、群数Ｇとキーワード分割数Ｌの設定入力を受け付ける。ＧとＬは共に２以上の整数である。ＧとＬの値が大きいほど安全性が向上するが登録するダミーレコード数も増加する。そこで、ＧとＬの値は、秘匿化ＤＢ１１０に求められる頻度分析攻撃に対する安全性の度合いと、秘匿化ＤＢ１１０に許容されるダミーレコード数とを勘案して、データ登録サーバ２００の管理者が決定する。
【0205】
［ステップＳ１０２］データ登録要求部２５０は、項目ごとの変換集合数を決定する。例えばｊ番目の項目の変換集合数Ｍjは、天井関数を用いて以下の式（３）で表される。
【0206】
【数1】
【0207】
ｊ番目の項目のキーワードの種類数Ｘjにキーワード分割数Ｌを乗算した値（Ｌ×Ｘj）が、その項目の分割キーワード数である。分割キーワード数を群数Ｇで除算した結果の天井関数（除算結果以上の最小の整数）と「３」とのうちの大きい方の値が、変換集合数となる。
【0208】
変換集合数が「３」以上となるようにしたことで、Ｇ＝２の場合において、性別のように２種類のキーワードしか存在しない項目についても、３つの変換集合が生成される。これにより性別についても、異なる変換集合において、それぞれの分割キーワードの変換元のキーワードの組み合わせが同じとなることを抑止することができる。
【0209】
［ステップＳ１０３］データ登録要求部２５０は、すべての項目それぞれについて、ステップＳ１０２で決定した変換集合数分の変換集合を生成する。なお、データ登録要求部２５０は、変換集合の格納領域の数よりも分割キーワード数が少ない場合には、ダミー要素を変換集合の要素として登録する。生成される各変換集合は少なくとも１つの分割キーワードを含み、その分割キーワードと変換元のキーワードが共通の他の分割キーワードが他の変換集合に含まれる。これにより、図１５の変換集合一覧２３２に示すような変換集合２３２ａ～２３２ｊが生成される。なお、変換集合生成手順の詳細は後述する（図２８参照）。
【0210】
［ステップＳ１０４］データ登録要求部２５０は、分割キーワード選択テーブル２３３を生成する。例えばデータ登録要求部２５０は、キーワード一覧２３１に示されるキーワードごとに「０」～「１」のＬ－１個の乱数を生成する。そしてデータ登録要求部２５０は、生成した乱数を境界値とし、「０」～「１」の数値範囲を境界値で分割して得られる複数の数値範囲それぞれの大きさを、分割キーワードのそれぞれの選択確率とする。
【0211】
例えばデータ登録要求部２５０は、Ｌ＝２の場合、１つのキーワードについて１個の乱数を生成する。例えば図１４に示した分割キーワード選択テーブル２３３では、「小児科」について乱数「０．７２」が生成されている。そこでデータ登録要求部２５０は、「０」から乱数までの数値範囲の大きさ「０．７２」を、１つ目の分割キーワード「小児科０」の選択確率として設定している。またデータ登録要求部２５０は、乱数から「１」までの数値範囲の大きさ「０．２８」を、２つ目の分割キーワード「小児科１」の選択確率として設定している。
【0212】
キーワードごとに乱数が生成されるため、すべての分割キーワードの選択確率は不統一な値となる。データ登録要求部２５０は、分割キーワードに対応付けてその選択確率を分割キーワード選択テーブル２３３に設定する。これにより、図１４に示すような分割キーワード選択テーブル２３３が生成される。
【0213】
［ステップＳ１０５］データ登録要求部２５０は、ＤＢ２１０から平文のデータを読み込む。
［ステップＳ１０６］データ登録要求部２５０は、読み込んだ平文のデータのレコードに登録されているキーワードを、分割キーワード選択テーブル２３３に示される選択確率で確率的に分割キーワードに変換する。例えばデータ登録要求部２５０は、平文のデータに含まれるキーワードを１つずつ選択する。次にデータ登録要求部２５０は、選択したキーワードの分割キーワードの選択確率に応じた大きさの「０」～「１」内の数値範囲を分割キーワードに割り当てる。例えば図１４に示した分割キーワード選択テーブル２３３の場合において「小児科」が選択されると、データ登録要求部２５０は「０」から「０．７２」の数値範囲に「小児科０」を割り当て、「０．２８」から「１」の数値範囲に「小児科１」を割り当てる。そしてデータ登録要求部２５０は、「０」～「１」の範囲内の乱数を生成し、生成した乱数を含む数値範囲に割り当てられた分割キーワードに、選択したキーワードを変換する。
［ステップＳ１０６］データ登録要求部２５０は、読み込んだ平文のデータのレコードに登録されているキーワードを、分割キーワード選択テーブル２３３に示される選択確率で確率的に分割キーワードに変換する。例えばデータ登録要求部２５０は、平文のデータに含まれるキーワードを１つずつ選択する。次にデータ登録要求部２５０は、選択したキーワードの分割キーワードの選択確率に応じた大きさの「０」～「１」内の数値範囲を分割キーワードに割り当てる。例えば図１４に示した分割キーワード選択テーブル２３３の場合において「小児科」が選択されると、データ登録要求部２５０は「０」から「０．７２」の数値範囲に「小児科０」を割り当て、「０．２８」から「１」の数値範囲に「小児科１」を割り当てる。そしてデータ登録要求部２５０は、「０」～「１」の範囲内の乱数を生成し、生成した乱数を含む数値範囲に割り当てられた分割キーワードに、選択したキーワードを変換する。
【0214】
［ステップＳ１０７］データ登録要求部２５０は、群数Ｇ－１個のダミーレコード群を含むダミーデータを生成する。なお、ダミーデータ生成処理の詳細は後述する（図２９参照）。
【0215】
［ステップＳ１０８］データ登録要求部２５０は、真のデータとダミーデータとのレコードそれぞれに、ランダムにＩＤを付与する。
［ステップＳ１０９］データ登録要求部２５０は、各レコードにフラグを付与する。例えばデータ登録要求部２５０は、各レコードについて、そのレコードの変換元となったレコードのＤＢ２１０内でのＩＤと、そのレコードが属する群の群番号との組をフラグ値として生成する。元のレコードのＩＤと群番号との組をフラグ値とすることで、各レコードにユニークなフラグ値が生成される。
［ステップＳ１０９］データ登録要求部２５０は、各レコードにフラグを付与する。例えばデータ登録要求部２５０は、各レコードについて、そのレコードの変換元となったレコードのＤＢ２１０内でのＩＤと、そのレコードが属する群の群番号との組をフラグ値として生成する。元のレコードのＩＤと群番号との組をフラグ値とすることで、各レコードにユニークなフラグ値が生成される。
【0216】
［ステップＳ１１０］データ登録要求部２５０は、各レコードをＩＤでソートする。
［ステップＳ１１１］データ登録要求部２５０は、ソートされたレコード群を暗号化して、秘匿化ＤＢ１１０に登録する。例えばデータ登録要求部２５０は、レコード内の項目値ごとに暗号化し、暗号化された値を有するレコード群を、登録データとしてデータ管理サーバ１００に送信する。データ管理サーバ１００では、データ登録部１２０が登録データを受信し、受信した登録データを秘匿化ＤＢ１１０に格納する。
［ステップＳ１１１］データ登録要求部２５０は、ソートされたレコード群を暗号化して、秘匿化ＤＢ１１０に登録する。例えばデータ登録要求部２５０は、レコード内の項目値ごとに暗号化し、暗号化された値を有するレコード群を、登録データとしてデータ管理サーバ１００に送信する。データ管理サーバ１００では、データ登録部１２０が登録データを受信し、受信した登録データを秘匿化ＤＢ１１０に格納する。
【0217】
【0218】
［ステップＳ１２１］データ登録要求部２５０は、変換集合の生成処理を行っていない項目のうちの１つを、処理対象項目として選択する。
［ステップＳ１２２］データ登録要求部２５０は、キーワード一覧２３１の中から、処理対象項目のキーワードのうち変換集合に未設定のキーワードを１つ選択する。
［ステップＳ１２２］データ登録要求部２５０は、キーワード一覧２３１の中から、処理対象項目のキーワードのうち変換集合に未設定のキーワードを１つ選択する。
【0219】
［ステップＳ１２３］データ登録要求部２５０は、設定対象の分割キーワードを示す分割キーワード番号ｌに初期値「０」を設定する（ｌ＝０）。
［ステップＳ１２４］データ登録要求部２５０は、変換集合における値が未設定の要素のうちの要素番号が最小の要素の要素番号を、設定先の要素番号ｇに設定する。
［ステップＳ１２４］データ登録要求部２５０は、変換集合における値が未設定の要素のうちの要素番号が最小の要素の要素番号を、設定先の要素番号ｇに設定する。
【0220】
［ステップＳ１２５］データ登録要求部２５０は、値が未設定の要素番号ｇの要素のうちの変換集合番号が最小の要素の変換集合の変換集合番号を、設定先の変換集合番号ｍに設定する。
【0221】
［ステップＳ１２６］データ登録要求部２５０は、ｘm,gの要素にｌ番目の分割キーワードを設定する。
［ステップＳ１２７］データ登録要求部２５０は、キーワード番号ｌがＬ－１に達したか否かを判断する（ｌ＝Ｌ－１？）。データ登録要求部２５０は、Ｌ－１に達していなければ処理をステップＳ１２８に進める。またデータ登録要求部２５０は、Ｌ－１に達していれば処理をステップＳ１３０に進める。
［ステップＳ１２７］データ登録要求部２５０は、キーワード番号ｌがＬ－１に達したか否かを判断する（ｌ＝Ｌ－１？）。データ登録要求部２５０は、Ｌ－１に達していなければ処理をステップＳ１２８に進める。またデータ登録要求部２５０は、Ｌ－１に達していれば処理をステップＳ１３０に進める。
【0222】
［ステップＳ１２８］データ登録要求部２５０は、設定先の要素番号ｇと設定先の変換集合番号ｍとを更新する。例えばデータ登録要求部２５０は、設定先の要素番号を「ｇ＝ｍｏｄ（ｇ＋１，Ｇ）」に更新する。またデータ登録要求部２５０は、設定先の変換集合番号ｍを「ｍ＝ｍｏｄ（ｍ＋１，Ｍ）」に更新する。さらにデータ登録要求部２５０は、分割キーワード番号ｌに１を加算する（ｌ＝ｌ＋１）。
【0223】
［ステップＳ１２９］データ登録要求部２５０は、ｘm,gの要素に値が未設定か否かを判断する。データ登録要求部２５０は、値が未設定であれば処理をステップＳ１２６に進める。またデータ登録要求部２５０は、値が設定済であれば、処理をステップＳ１２４に進める。
【0224】
［ステップＳ１３０］データ登録要求部２５０は、処理対象項目のキーワードのうち未設定のキーワードが残っているか否かを判断する。データ登録要求部２５０は、未設定のキーワードがあれば、処理をステップＳ１２２に進める。またデータ登録要求部２５０は、未設定のキーワードがなければ処理をステップＳ１３１に進める。
【0225】
なおデータ登録要求部２５０は、選択した項目のすべてのキーワードに対応する分割キーワードを変換集合の要素に設定完了後に、その項目に対応する変換集合に値が未設定の領域が残っている場合、該当領域にダミー要素を設定する。
【0226】
［ステップＳ１３１］データ登録要求部２５０は、未処理の項目があるか否かを判断する。データ登録要求部２５０は、すべての項目について変換集合を生成する処理が完了していれば、変換集合生成処理を終了する。またデータ登録要求部２５０は、未処理の項目があれば処理をステップＳ１２１に進める。
【0227】
このような手順で変換集合を生成することで、適切な変換集合を生成することができる。次に、ダミーデータ生成処理について詳細に説明する。
図２９は、ダミーデータ生成処理の手順の一例を示すフローチャートである。以下、図２９に示す処理をステップ番号に沿って説明する。
図２９は、ダミーデータ生成処理の手順の一例を示すフローチャートである。以下、図２９に示す処理をステップ番号に沿って説明する。
【0228】
［ステップＳ１４１］データ登録要求部２５０は、ステップＳ１０２で算出した群数Ｇを取得する。
［ステップＳ１４２］データ登録要求部２５０は、真のデータをＧ－１個コピーし、Ｇ－１個のダミーレコード群を生成する。
［ステップＳ１４２］データ登録要求部２５０は、真のデータをＧ－１個コピーし、Ｇ－１個のダミーレコード群を生成する。
【0229】
［ステップＳ１４３］データ登録要求部２５０は、真のデータの全項目それぞれについて、ステップＳ１４４～Ｓ１４６の処理を実行する。
［ステップＳ１４４］データ登録要求部２５０は、全ダミーレコードそれぞれについて、ステップＳ１４５の処理を実行する。
［ステップＳ１４４］データ登録要求部２５０は、全ダミーレコードそれぞれについて、ステップＳ１４５の処理を実行する。
【0230】
［ステップＳ１４５］データ登録要求部２５０は、ダミーレコードの項目値を変換する。例えばデータ登録要求部２５０は、処理対象の項目に対応する変換集合の中から、ダミーレコードにおける処理対象の項目値（変換対象項目値）を含む変換集合を選択する。次にデータ登録要求部２５０は、処理対象のダミーレコードの属するダミーレコード群の群番号を取得する。データ登録要求部２５０は、選択した変換集合内の変換対象項目値に対応する要素から群番号の分だけ巡回的に右の要素を、その変換集合から取得する。そしてデータ登録要求部２５０は、変換処理対象のダミーレコード内の変換対象項目値を、取得した要素の値（ダミー値）に変換する。
【0231】
［ステップＳ１４６］データ登録要求部２５０は、全ダミーレコードそれぞれについて、ステップＳ１４５の処理が完了した場合、処理をステップＳ１４７に進める。
［ステップＳ１４７］データ登録要求部２５０は、全項目それぞれについて、ステップＳ１４４～Ｓ１４６の処理が完了した場合、ダミーデータ生成処理を終了する。
［ステップＳ１４７］データ登録要求部２５０は、全項目それぞれについて、ステップＳ１４４～Ｓ１４６の処理が完了した場合、ダミーデータ生成処理を終了する。
【0232】
このようにして、真のデータの項目値を、変換集合内の他の要素に置き換えることで、ダミーデータが生成される。そしてデータ登録要求部２５０が、生成したダミーデータとフラグ値を含む登録データを暗号化して秘匿化ＤＢ１１０に登録する。
【0233】
秘匿化ＤＢ１１０内のデータを検索しようとする検索者は、例えば端末装置４００の検索条件入力画面を介して検索キーワードを端末装置４００に入力する。
図３０は、検索条件入力画面の一例を示す図である。検索条件入力画面６１には、例えば検索変数としてＤＢ２１０内の各項目の名称が設定されている。そして検索変数に対応付けて、その検索変数の指定値を検索キーワードとして入力するための指定値入力領域６２が設けられている。検索者が指定値入力領域６２に、検索変数として示されている項目の指定値を入力すると、端末装置４００は、入力された指定値を検索キーワードとする検索を行う。
図３０は、検索条件入力画面の一例を示す図である。検索条件入力画面６１には、例えば検索変数としてＤＢ２１０内の各項目の名称が設定されている。そして検索変数に対応付けて、その検索変数の指定値を検索キーワードとして入力するための指定値入力領域６２が設けられている。検索者が指定値入力領域６２に、検索変数として示されている項目の指定値を入力すると、端末装置４００は、入力された指定値を検索キーワードとする検索を行う。
【0234】
端末装置４００は、秘匿化検索を実施するために、変換情報記憶部４２０に格納された情報を用いて検索キーワードの分割キーワードへの変換などの処理を行う。
図３１は、端末装置内の変換情報記憶部に格納される情報の一例を示す図である。変換情報記憶部４２０には、キーワード一覧４２１、変換集合一覧４２２、および分割キーワード一覧４２３が格納されている。このうちキーワード一覧４２１および変換集合一覧４２２は、それぞれデータ登録サーバ２００が有するキーワード一覧２３１および変換集合一覧２３２と同じ内容のデータである。
図３１は、端末装置内の変換情報記憶部に格納される情報の一例を示す図である。変換情報記憶部４２０には、キーワード一覧４２１、変換集合一覧４２２、および分割キーワード一覧４２３が格納されている。このうちキーワード一覧４２１および変換集合一覧４２２は、それぞれデータ登録サーバ２００が有するキーワード一覧２３１および変換集合一覧２３２と同じ内容のデータである。
【0235】
分割キーワード一覧４２３は、ＤＢ２１０に登録可能なキーワードそれぞれと分割キーワードとの対応関係を示すデータである。分割キーワード一覧４２３の内容は、データ登録サーバ２００が有する分割キーワード選択テーブル２３３から選択確率の情報を削除したものと同じである。端末装置４００は、分割キーワード一覧４２３に基づいて、検索キーワードを分割キーワードに変換する。
【0236】
図３２は、分割キーワードへの変換の一例を示す図である。端末装置４００は、入力された検索条件を示す平文検索クエリ６３を分割する。例えば端末装置４００は、検索者から検索条件として「年齢層＝老人」（左辺が項目名、右辺がキーワード（項目値）を表す）の入力を受け付けたものとする。端末装置４００は、分割キーワード選択テーブル２３３から、キーワード「老人」に対応付けられた分割キーワードを取得する。図３２の例では、「老人０」と「老人１」とが分割キーワードとして取得される。端末装置４００は、検索キーワード「老人」を分割キーワード「老人０」および「老人１」に分割して、それらの論理和を示す分割クエリ６４を生成する。
【0237】
端末装置４００は、変換集合一覧４２２に基づいて、分割クエリ６４から攪乱クエリを生成する。
図３３は、攪乱クエリの生成の一例を示す図である。端末装置４００が有する変換集合一覧４２２の内容は変換集合一覧２３２と同じであり、ＤＢ２１０の項目に対応する変換集合４２２ａ～４２２ｊが含まれる。
図３３は、攪乱クエリの生成の一例を示す図である。端末装置４００が有する変換集合一覧４２２の内容は変換集合一覧２３２と同じであり、ＤＢ２１０の項目に対応する変換集合４２２ａ～４２２ｊが含まれる。
【0238】
端末装置４００は、分割クエリ６４に含まれる分割キーワード「老人０」および「老人１」それぞれについて、検索対象の群をランダムに決定する。例えば「老人０」の検索対象の群は「１」、「老人１」の検索対象の群は「０」に決定されたものとする。
【0239】
端末装置４００は、変換集合一覧４２２を参照し、決定された群に基づいて、分割クエリ６４内の分割キーワードを変換して攪乱クエリ６５を生成する。例えば「老人０」は、変換集合４２２ｇに従って、群「１」の要素「児童０」に変換される。また「老人１」は検索対象の群が「０」（真のデータのレコード群）であるため、変換されない。
【0240】
そして端末装置４００は、攪乱クエリ６５内のキーワードを暗号化する。これにより暗号文のキーワードを含む秘匿化検索クエリ６６が生成される。端末装置４００は、秘匿化検索クエリ６６を含む検索要求をデータ管理サーバ１００に送信する。
【0241】
図３４は、検索処理の一例を示す図である。データ管理サーバ１００は、秘匿化検索クエリ６６を受信すると、秘匿化検索クエリ６６に示される条件を満たすレコードを秘匿化ＤＢ１１０から検索する。例えば「Ｈ（年齢層＝児童０）」の条件を満たすレコードは、ＩＤ「９」とＩＤ「１０」のレコードである。また「Ｈ（年齢層＝老人１）」の条件を満たすレコードは、ＩＤ「３」とＩＤ「８」のレコードである。秘匿化検索クエリ６６は、「Ｈ（年齢層＝児童０）」と「Ｈ（年齢層＝老人１）」との論理和であるため、これらの条件のいずれかを満たすレコードが秘匿化検索結果６７に含められる。データ管理サーバ１００は、秘匿化検索結果６７を端末装置４００に送信する。
【0242】
端末装置４００は、秘匿化検索結果６７を受信すると、秘匿化検索結果６７内の項目値を復号する。端末装置４００は、復号することにより、秘匿化検索結果６７における３つ目と４つ目のレコードが「年齢層＝児童０」を満たしており、１つ目と２つ目のレコードが「年齢層＝老人１」を満たしていることを認識する。
【0243】
端末装置４００は、復号して得られた各レコードのフラグに基づいて、そのレコードが属する群の群番号を判断する。そして端末装置４００は、各レコードが属する群が、検索群か否かを判断する。例えば「年齢層＝児童０」の検索群は「１」であるため「年齢層＝児童０」を満たすレコードのうち、群番号「１」のレコードのみが検索対象のレコードである。また「年齢層＝老人１」の検索群は「０」であるため「年齢層＝老人１」を満たすレコードのうち、群番号「０」のレコードのみが検索対象のレコードである。
【0244】
端末装置４００は、秘匿化検索結果６７に含まれていたレコードのうち検索群に属していないレコードを除去し、残りのレコードを復元する。なお真のデータのレコード群（群番号「０」）に属していたレコードについては、復元処理は不要である。端末装置４００は、ダミーレコード群（群番号「１」）に属していたレコードの項目値を、データ登録サーバ２００が有する変換集合一覧２３２（図１５参照）と同じ内容の変換集合一覧４２２（図３３参照）に基づいて、攪乱クエリ６５の生成時と逆の変換を行う。その結果、群番号「１」に属するダミーレコードにおける「小児科１」は「婦人科０」に変換され、「男１」は「女０」に変換され、「児童０」は「老人０」に変換される。
【0245】
端末装置４００は、各レコードに項目値として設定されている分割キーワードを元のキーワードに変換し、フラグを除去することで検索結果６８を生成する。図３４の例では、分割キーワードの最後の数字を削除することで、元のキーワードに変換することができる。
【0246】
図３５は、検索処理の手順の一例を示すフローチャートである。以下、図３５に示す処理をステップ番号に沿って説明する。
［ステップＳ２０１］検索要求部４４０は、ユーザからの検索条件として入力された検索キーワードと、その検索キーワードに対応する項目を、平文検索クエリとして取得する。
［ステップＳ２０１］検索要求部４４０は、ユーザからの検索条件として入力された検索キーワードと、その検索キーワードに対応する項目を、平文検索クエリとして取得する。
【0247】
［ステップＳ２０２］検索要求部４４０は、変換集合一覧４２２と分割キーワード一覧４２３を生成する。例えば検索要求部４４０は、データ登録要求部２５０における項目ごとの変換集合生成処理と同様の処理を行い、変換集合一覧４２２を生成する。検索要求部４４０によって生成される変換集合一覧４４２は、データ登録要求部２５０で生成された変換集合一覧２３２と同じものとなる。
【0248】
データ登録要求部２５０が乱数を用いてステップＳ１２２（図２８参照）のキーワードの選択順を決定している場合、検索要求部４４０は、データ登録要求部２５０が乱数の生成に使用した乱数シードをデータ登録サーバ２００から取得する。検索要求部４４０は、取得した乱数シードに基づいて、データ登録要求部２５０が変換集合に用いたものと同じ乱数を生成して、キーワードの選択順を決定する。その結果、データ登録サーバ２００が有する変換集合一覧２３２と同じ内容の変換集合一覧４２２を生成することができる。なお検索要求部４４０は、データ登録サーバ２００から変換集合一覧２３２を取得し、端末装置４００の変換集合一覧４２２として変換情報記憶部４２０に格納してもよい。
【0249】
検索要求部４４０が生成する分割キーワード一覧４２３は、データ登録サーバ２００における分割キーワード選択テーブル２３３から選択確率の情報を除いたものである。例えば検索要求部４４０は、データ登録サーバ２００と同じアルゴリズムで分割キーワードを生成する。例えば検索要求部４４０は、キーワード一覧４２１に示されるキーワードの後ろに、分割キーワードを識別する０から昇順の番号を追加することで、分割キーワードを生成する。
【0250】
［ステップＳ２０３］検索要求部４４０は、取得した平文検索クエリを分割する。例えば検索要求部４４０は、平文検索クエリに含まれる検索キーワードを分割キーワードに分割する。そして検索要求部４４０は、分割によって得られた分割キーワードごとの分割クエリを生成する。図３２に示すような分割キーワード一覧４２３が生成されているとき、検索キーワード「老人」は「老人０」と「老人１」とに分割される。そして検索キーワード「老人０」を含む分割クエリと検索キーワード「老人１」を含む分割クエリとが生成される。分割により生成された分割クエリの検索結果の論理和が、取得した平文検索クエリの検索結果である。
【0251】
取得した平文検索クエリには、複数の検索キーワードが含まれる場合がある。複数の検索キーワードの論理和検索の場合、検索要求部４４０は、各検索キーワードを分割キーワードに分解し、分割キーワードごとの分割クエリを生成する。複数生成された分割クエリによる検索結果の論理和が、取得した平文検索クエリの検索結果である。
【0252】
また複数の検索キーワードの論理積検索の場合、検索要求部４４０は、項目が異なる分割キーワード間のすべての組み合わせを生成する。３つ以上の項目それぞれの検索キーワードの論理積の場合であれば、検索要求部４４０は、各項目から１ずつ分割キーワードを選択することで生成可能な分割キーワードのすべての組み合わせを生成する。そして検索要求部４４０は、生成した分割キーワードの組み合わせごとの論理積の平文検索クエリを生成する。この場合も、複数生成された分割クエリによる検索結果の論理和が、取得した平文検索クエリの検索結果である。
【0253】
例えば取得した平文検索クエリが「Ａ∧Ｂ」であり、検索キーワード「Ａ」は「Ａ０」と「Ａ１」に分割され、検索キーワード「Ｂ」は「Ｂ０」と「Ｂ１」に分割されるものとする。この場合、検索要求部４４０は、分割クエリとして、「Ａ０∧Ｂ０」、「Ａ０∧Ｂ１」、「Ａ１∧Ｂ０」、「Ａ１∧Ｂ１」を生成する。
【0254】
［ステップＳ２０４］検索要求部４４０は、生成された分割クエリのうち未選択のものを１つ選択する。
［ステップＳ２０５］検索要求部４４０は、真のデータのレコード群とダミーレコード群とを含むすべての群の中から、１つの群を確率的に選択する。検索要求部４４０は、選択したレコード群を対象として検索を行うこととなる。なお、秘匿化ＤＢ１１０内のすべてのダミーレコード群は真のデータのレコード群と値は異なるものの同一の頻度分布を有している。そのためダミーレコード群を検索対象としたとしても、検索結果として得られたダミーレコード内のダミー値を変換集合に従って逆変換することで正しい検索結果を得ることができる。
［ステップＳ２０５］検索要求部４４０は、真のデータのレコード群とダミーレコード群とを含むすべての群の中から、１つの群を確率的に選択する。検索要求部４４０は、選択したレコード群を対象として検索を行うこととなる。なお、秘匿化ＤＢ１１０内のすべてのダミーレコード群は真のデータのレコード群と値は異なるものの同一の頻度分布を有している。そのためダミーレコード群を検索対象としたとしても、検索結果として得られたダミーレコード内のダミー値を変換集合に従って逆変換することで正しい検索結果を得ることができる。
【0255】
このように分割クエリを変換集合に従って変換（攪乱）すれば、どの群を検索しても、平文データ群を検索した際と同一の結果が得られる。そのため、検索クエリの攪乱を行いながらも、検索クエリの数は増加しない。また検索要求部４４０が検索対象とする群をランダムに決定することで、攻撃者３３が検索される群の偏りによって秘匿化ＤＢの各レコードの群番号を特定することが抑止される。
【0256】
［ステップＳ２０６］検索要求部４４０は、ダミーレコード群を選択したか否かを判断する。検索要求部４４０は、選択したのがダミーレコード群であれば、処理をステップＳ２０７に進める。また検索要求部４４０は、選択したのが真のデータのレコード群であれば、処理をステップＳ２１２に進める。
【0257】
［ステップＳ２０７］検索要求部４４０は、生成した分割クエリを、変換集合に基づいて攪乱する。例えば検索要求部４４０は、分割クエリにおいて、検索対象の項目と分割キーワードが指定されている場合、まず検索対象の項目に対応する１以上の変換集合の中から、指定された分割キーワードに対応する要素を含む変換集合を特定する。次に検索要求部４４０は、選択したダミーレコード群の群番号を取得する。検索要求部４４０は、検索対象の分割キーワードに対応する変換集合内の要素から群番号の分だけ巡回的に右の要素を、その変換集合から取得する。そして検索要求部４４０は、分割クエリ内の変換対象の分割キーワードを、取得した要素の値（ダミー値）に変換する。
【0258】
［ステップＳ２０８］検索要求部４４０は、ステップＳ２０７で変換された後の分割クエリを暗号化して秘匿化検索クエリを生成する。検索要求部４４０は、生成した秘匿化検索クエリをデータ管理サーバ１００に送信する。
【0259】
［ステップＳ２０９］検索要求部４４０は、データ管理サーバ１００から秘匿化検索の検索結果（秘匿化検索結果）を取得する。検索要求部４４０は、秘匿化検索結果から、ステップＳ２０６で選択されたダミーレコード群に属するダミーレコードのみを抽出する。このとき検索要求部４４０は、各レコードのフラグ値に基づいて、選択されたダミーレコード群に属するダミーレコードを特定できる。
【0260】
［ステップＳ２１０］検索要求部４４０は、秘匿化検索結果に含まれる、抽出したダミーレコード内の項目値（ダミー値）を、予めデータ登録サーバ２００から取得した暗号鍵を用いて復号する。
【0261】
［ステップＳ２１１］検索要求部４４０は、ステップＳ２０６で選択されたダミーレコード群に属するダミーレコードの復号されたダミー値を変換集合に基づいて逆変換し、平文の真の値が設定された検索結果を復元する。
【0262】
図３６は、ダミー値の逆変換の一例を示す図である。例えば検索要求部４４０は、ダミー値が属する項目に対応する１以上の変換集合の中からダミー値に対応する要素を含む変換集合を特定する。図３６の例では、変換集合６９が特定されたものとする。次に検索要求部４４０は、ステップＳ２０６で選択したダミーレコード群の群番号を取得する。検索要求部４４０は、ダミー値に対応する変換集合６９内の要素から、群番号の分だけ巡回的に左の要素を、その変換集合６９から取得する。そして検索要求部４４０は、復号されたダミー値を、取得した要素の値（真のデータの分割キーワード）に変換する。例えば群番号「２」のダミーレコード群に属するダミーレコードのダミー値が「児童１」の場合、そのダミー値は変換集合６９において「児童１」の左側に２つ目の要素「成人１」に逆変換される。
【0263】
図３６に示した逆変換の関係は、データ登録サーバ２００がデータ登録時に行った項目値の変換に用いた写像の逆写像となる全単射関係である。選択されたダミーレコード群に属するダミーレコード内のすべてのダミー値に対してこのような逆変換を行うことで、ダミー値に対応する分割キーワードが得られる。検索要求部４４０は、分割キーワード一覧に基づいて、分割キーワードを元のキーワード（真の値）に変換する。これにより真の検索結果が生成される。その後、検索要求部４４０は、処理をステップＳ２１５に進める。
【0264】
以下、図３５の説明に戻る。
［ステップＳ２１２］検索要求部４４０は、検索条件に真のデータのレコード群に対応するフラグ値を追加した検索クエリを暗号化して秘匿化検索クエリを生成し、秘匿化検索クエリをデータ管理サーバ１００に送信する。
［ステップＳ２１２］検索要求部４４０は、検索条件に真のデータのレコード群に対応するフラグ値を追加した検索クエリを暗号化して秘匿化検索クエリを生成し、秘匿化検索クエリをデータ管理サーバ１００に送信する。
【0265】
［ステップＳ２１３］検索要求部４４０は、データ管理サーバ１００から秘匿化検索クエリを用いた秘匿化検索結果を取得する。
［ステップＳ２１４］検索要求部４４０は、秘匿化検索結果に含まれる、真のデータのレコード群のレコード内の項目値を復号する。なお検索要求部４４０は、ステップＳ２１０と同様に、選択した群のレコード（真のデータのレコード）を特定する。検索要求部４４０は、真のデータのレコード内の分割キーワードを、分割キーワード一覧に基づいて元のキーワードに変換し、平文の真の値が設定された検索結果を得る。
［ステップＳ２１４］検索要求部４４０は、秘匿化検索結果に含まれる、真のデータのレコード群のレコード内の項目値を復号する。なお検索要求部４４０は、ステップＳ２１０と同様に、選択した群のレコード（真のデータのレコード）を特定する。検索要求部４４０は、真のデータのレコード内の分割キーワードを、分割キーワード一覧に基づいて元のキーワードに変換し、平文の真の値が設定された検索結果を得る。
【0266】
［ステップＳ２１５］検索要求部４４０は、平文の検索結果を出力する。
［ステップＳ２１６］検索要求部４４０は、すべての分割クエリが選択されたか否かを判断する。検索要求部４４０は、未選択の分割クエリがある場合、処理をステップＳ２０４に進める。また検索要求部４４０は、すべての分割クエリが選択され、対応する秘匿化検索クエリによる検索が終了した場合、検索処理を終了する。
［ステップＳ２１６］検索要求部４４０は、すべての分割クエリが選択されたか否かを判断する。検索要求部４４０は、未選択の分割クエリがある場合、処理をステップＳ２０４に進める。また検索要求部４４０は、すべての分割クエリが選択され、対応する秘匿化検索クエリによる検索が終了した場合、検索処理を終了する。
【0267】
検索結果は、例えば検索結果表示画面に表示される。
図３７は、検索結果表示画面の一例を示す図である。検索結果表示画面７０には、例えば患者に関する検索条件と、その検索条件に適合する患者の数が表示されている。また検索結果表示画面７０には、検索でヒットしたレコードの平文のデータが表示されている。
図３７は、検索結果表示画面の一例を示す図である。検索結果表示画面７０には、例えば患者に関する検索条件と、その検索条件に適合する患者の数が表示されている。また検索結果表示画面７０には、検索でヒットしたレコードの平文のデータが表示されている。
【0268】
このような検索により、Ｇ個の分割キーワードの集合ごとに項目値の出現頻度が均等化される。その結果、項目値ごとの出現頻度の偏りが抑止され、頻度分析攻撃に対する安全性が向上する。しかも分割キーワードの出現頻度は秘密の選択確率によって決まっているため、頻度攪乱後のあるキーワードの出現頻度に基づいて、そのキーワードの候補を絞り込むことは困難である。
【0269】
以下、図３８と図３９を参照して、秘匿化ＤＢ１１０頻度分析攻撃の困難性について説明する。
図３８は、分割キーワードによる頻度攪乱の一例を示す図である。例えばＤＢ２１０内の年齢層の項目について、「老人」の出現頻度が「９８」、「成人」の出現頻度が「３５」、「青年」の出現頻度が「９１」、児童の出現頻度が「６３」であるものとする。各キーワードは２つずつに分割され、図１５に示す変換集合２３２ｇ～２３２ｊによって群「１」のダミーレコードの項目値がダミー値への変換が行われることで、出現頻度攪乱が実現される。
図３８は、分割キーワードによる頻度攪乱の一例を示す図である。例えばＤＢ２１０内の年齢層の項目について、「老人」の出現頻度が「９８」、「成人」の出現頻度が「３５」、「青年」の出現頻度が「９１」、児童の出現頻度が「６３」であるものとする。各キーワードは２つずつに分割され、図１５に示す変換集合２３２ｇ～２３２ｊによって群「１」のダミーレコードの項目値がダミー値への変換が行われることで、出現頻度攪乱が実現される。
【0270】
秘匿化ＤＢ１１０には頻度攪乱後のデータが登録され、変換集合ごとに分割キーワードの出現頻度が均等化されている。図中、実線の矩形内の数字は群「０」（真のデータのレコード群）における出現頻度であり、破線の矩形内の数字は群「１」（ダミーレコード群）における出現頻度である。
【0271】
図３８の例では、「Ｈ（老人０）」と「Ｈ（児童０）」の出現頻度は共に「６５」である。「Ｈ（老人１）」と「Ｈ（成人０）」の出現頻度は共に「８１」である。「Ｈ（成人１）」と「Ｈ（青年０）」の出現頻度は共に「８０」である。「Ｈ（青年１）」と「Ｈ（児童１）」の出現頻度は共に「６１」である。
【0272】
図３９は、頻度分析攻撃の一例を示す図である。例えば攻撃者３３は、秘匿化ＤＢ１１０への検索状況を盗み見ることで、検索によってヒットしたレコード数により攪乱後頻度「６５，８１，８０，６１」の４パターンであることを把握できたものとする。
【0273】
攻撃者３３がＤＢ２１０における各キーワードの出現頻度を知っているとき、攻撃者３３がそれらの出現頻度を組み合わせても攪乱後頻度とはならない。そこで攻撃者３３は、分割頻度と変換集合の要素の組み合わせを総当たりで、組み合わせごとの攪乱後頻度を算出することが考えられる。
【0274】
例えば「老人」であれば、「老人０」と「老人１」それぞれの分割頻度の比率は「０：９８」、「１：９７」、「２：９６」、・・・、「９８：０」の９９通り存在する。同様に「成人」についての分割頻度の比率は３６通り、「青年」についての分割頻度の比率は９２通り、「児童」についての分割頻度の比率は６４通り存在する。
【0275】
また同じ変換集合の要素となる分割キーワードの組み合わせも、多数のパターンが考えられる。例えば「老人０」と同じ変換集合に属する分割キーワードは、「児童０」以外にも「成人０」の場合、「青年０」の場合も考えられる。変換集合の生成アルゴリズムが既知であったとしても、変換集合を生成する前にキーワードをランダムに並べ替えておけば、どのような組み合わせの変換集合が生成されるのかを秘密にしておくことは可能である。
【0276】
攻撃者３３は、これらのすべての組み合わせの可能性を考慮して、攪乱後頻度「６５，８１，８０，６１」それぞれの検索対象のキーワードを探し出すこととなる。しかし、攪乱後頻度が「６５，８１，８０，６１」となるような分割頻度と変換集合のパターンは多数存在する。例えば図１５に示す通りの変換集合２３２ｇ～２３２ｊであったとしても、変換集合２３２ｇ～２３２ｊそれぞれの分割キーワードの攪乱後頻度が「６５，８１，８０，６１」となる分割頻度の組み合わせは、図３９に示すように３５通り存在する。
【0277】
また変換集合２３２ｇ～２３２ｊそれぞれの分割キーワードの攪乱後頻度が「６１，８０，８１，６５」の場合（出現頻度例７２）がある。この出現頻度例７２の場合を、変換集合２３２ｇ～２３２ｊそれぞれの分割キーワードの攪乱後頻度が「６５，８１，８０，６１」の場合（出現頻度例７１）と区別することはできない。変換集合２３２ｇ～２３２ｊそれぞれの分割キーワードの攪乱後頻度が「６１，８０，８１，６５」の場合（出現頻度例７２）についても、そのような攪乱後頻度となる分割頻度の組み合わせは多数存在する。
【0278】
そのため攻撃者３３は、検索が実行されたときにヒットしたレコード数から検索対象のキーワードを絞り込もうとしても、いずれのキーワードもあり得ることとなり、絞り込みは困難である。例えば検索にヒットしたレコード数が「８１」であったとしても、出現頻度例７１または出現頻度例７２があり得ることを考慮すると、検索対象のキーワードとしてはいずれのキーワードもあり得ることとなる。このように頻度分析攻撃が困難となっている。
【0279】
また端末装置４００では、検索結果としてダミーレコードを取得した場合でも、そのダミーレコードのダミー値に基づいて、入力された検索条件に適合する真のデータの項目値を取得することができる。そのため、攻撃者３３がデータ管理サーバ１００から送信された検索結果を取得したとしても、検索結果に含まれる項目値が真のデータの項目値なのかダミー値なのかを、攻撃者３３は判別することができない。その結果、真のデータの機密性が向上する。
【0280】
なお、変換集合一覧２３２は秘密情報であり、秘匿化ＤＢ１１０にデータを登録するデータ登録サーバ２００と、その秘匿化ＤＢ１１０の検索が許可されている端末装置４００のみが変換集合一覧２３２を有する。また１レコードごとのレコードの追加・削除を行うと、追加・削除された暗号文と平文の対応付けが可能となる。そのためデータ登録サーバ２００は、１行単位での変換集合が特定されるため、１レコードごとのレコードの追加・削除は行わない。すなわちデータ登録サーバ２００は、所定数以上の量のレコードを纏めて、ＤＢ２１０および秘匿化ＤＢ１１０への追加または削除を行う。
【0281】
〔第３の実施の形態〕
次に第３の実施の形態について説明する。第３の実施の形態は、ダミーレコードを用いずに頻度攪乱を行うものである。
次に第３の実施の形態について説明する。第３の実施の形態は、ダミーレコードを用いずに頻度攪乱を行うものである。
【0282】
前述の第２の実施の形態では複数のダミーレコードを有するダミーデータを追加しているため、秘匿化ＤＢ１１０内のレコード数は、元のデータのレコード数の整数倍となる。第３の実施の形態ではデータ登録サーバ２００は、ダミーレコードの生成に代えて、分割キーワードを所定数ずつの変換集合に纏め、同じ変換集合に属する分割キーワードを共通の値（共有キーワード）に変換することで頻度攪乱を行う。すなわち、複数の値が共通の値に変換されることで、秘匿化ＤＢ内の各値の出現頻度は、真のデータの各値の出現頻度とは異なる数となる。このときデータ登録サーバ２００は、各レコードに、共有キーワードの変換元の分割キーワードを示す情報をフラグとして設定する。
【0283】
図４０は、共通キーワードへの変換の一例を示す図である。第３の実施の形態では、データ登録サーバ２００は、第２の実施の形態における変換集合一覧に代えて、共有集合一覧２３４を生成する。
【0284】
共有集合一覧２３４には、項目ごとの１以上の共有集合２３４ａ～２３４ｊが含まれる。共有集合２３４ａ～２３４ｊの生成条件は、少なくとも１つの要素が分割キーワードであり、かつその分割キーワードと変換元のキーワードが共通の他の分割キーワードが他の変換集合に含まれることである。換言すると共有集合２３４ａ～２３４ｊそれぞれは、１つのキーワードに対応するｎ個の分割キーワードのうちのｎ－１個以下の分割キーワードを含む。
【0285】
図４０の例では、共有集合一覧２３４には、診療科についての３つの共有集合２３４ａ～２３４ｃ、性別についての３つの共有集合２３４ｄ～２３４ｄｆ、および年齢層についての４つの共有集合２３４ｇ～２３４ｊが含まれている。共有集合２３４ｄ，２３４ｆには１つの要素が含まれ、それ以外の共有集合２３４ａ～２３４ｃ，２３４ｅ，２３４ｇ～２３４ｊには、２つずつの要素が含まれている。共有集合２３４ａ～２３４ｊに含まれる要素は、すべて分割キーワードである。また分割しないキーワードがある場合、そのキーワードも共有集合２３４ａ～２３４ｊの要素となる。
【0286】
データ登録サーバ２００は、第２の実施の形態と同様に、分割キーワード選択テーブル２３３（図１４参照）を参照して、平文のＤＢ２１０に格納されていたキーワードを、そのキーワードに対応する複数の分割キーワードのうちの１つに確率的に変換する。そしてデータ登録サーバ２００は、分割済データ２１１を生成する。
【0287】
さらにデータ登録サーバ２００は、分割済データ２１１内の分割キーワードを、共有集合一覧２３４に基づいて共有キーワードへ変換する。例えばデータ登録サーバ２００は、１つの共有集合内の要素それぞれに対応する分割キーワードは、同じ共有キーワードに変換する。図４０の例では、共有集合２３４ａ～２３４ｊに含まれる要素を列挙した文字列が共有キーワードとなっている。
【0288】
なお図４０における共有集合２３４ａ～２３４ｊ内の「：」の左の数字は要素番号である。「：」の右の文字列が要素として設定された分割キーワードである。
例えば共有集合２３４ａには「小児科０」と「内科０」とが要素として含まれる。そのため分割済データ２１１内の分割キーワード「小児科０」と「内科０」は、いずれも共通キーワード「小児科０，内科０」に変換される。なお共有集合２３４ｄには、要素が「男０」のみである。そのため共有集合２３４ｄに対応する共有キーワードは、分割キーワードと同じ「男０」である。
例えば共有集合２３４ａには「小児科０」と「内科０」とが要素として含まれる。そのため分割済データ２１１内の分割キーワード「小児科０」と「内科０」は、いずれも共通キーワード「小児科０，内科０」に変換される。なお共有集合２３４ｄには、要素が「男０」のみである。そのため共有集合２３４ｄに対応する共有キーワードは、分割キーワードと同じ「男０」である。
【0289】
分割済データ２１１内の各レコードに対応するレコードが、登録データ８１として生成される。そしてデータ登録サーバ２００は、登録データ８１内に各レコードにフラグを付与する。登録データ８１は、第１の実施の形態に示した攪乱レコード群６の一例である。
【0290】
フラグは、変換元の分割キーワードに対応する要素の要素番号と、変換元のレコードのＩＤを含んでいる。例えば分割済データ２１１のＩＤ「０」のレコードは、診療科「内科０」、性別「男１」、年齢層「老人１」を含む。「内科０」は「小児科０，内科０」に変換されている。共有集合２３４ａにおける「内科０」の要素番号は「１」である。「男１」は「男１，女０」に変換されている。共有集合２３４ｄにおける「男１」の要素番号は「０」である。「老人１」は「老人１，成人０」に変換されている。「老人１」の要素番号は「０」である。すると変換後のレコードには、レコードのＩＤ「０」、「内科０」の要素番号「１」、「男１」の要素番号「０」、および「老人１」の要素番号「０」を含むフラグ「０（１，０，０）」が付与される。
【0291】
データ登録サーバ２００は、登録データ８１を項目値ごと（フラグも含め）に暗号化して、秘匿化ＤＢ１１０に登録する。その際、データ登録サーバ２００は、登録データ８１の各レコードにランダムなＩＤを付与し、ＩＤでソートしてもよい。
【0292】
端末装置４００は、図３２に示す分割キーワード一覧４２３を有すると共に、データ登録サーバ２００が有する共有集合一覧２３４と同じ内容の共有集合一覧を有する。そして端末装置４００は、秘匿化ＤＢ１１０を検索する場合、検索キーワードを対応する分割キーワードそれぞれに変換後、さらに分割キーワードを共有キーワードに変換する。そして端末装置４００は、共有キーワードを含む秘匿化検索クエリをデータ管理サーバ１００に送信する。
【0293】
なお、共有集合一覧２３４は秘密情報であり、秘匿化ＤＢ１１０にデータを登録するデータ登録サーバ２００と、その秘匿化ＤＢ１１０の検索が許可されている端末装置４００のみが共有集合一覧２３４を有する。また１レコードごとのレコードの追加・削除を行うと、追加・削除された暗号文と平文の対応付けが可能となる。そのためデータ登録サーバ２００は、１行単位での共有集合が特定されるため、１レコードごとのレコードの追加・削除は行わない。すなわちデータ登録サーバ２００は、所定数以上の量のレコードを纏めて、ＤＢ２１０および秘匿化ＤＢ１１０への追加または削除を行う。
【0294】
データ管理サーバ１００は、秘匿化検索クエリに基づいて、秘匿化ＤＢ１１０から、該当する共有キーワードを含むレコードを検索する。秘匿化ＤＢ１１０内の共有キーワードの出現頻度は、共有キーワードの変換元となった各分割キーワードの出現頻度の合計である。また、分割キーワードは確率的に生成されている。そのため攻撃者３３が共有キーワードの出現頻度を取得したとしても、元の検索キーワードを推定するのは困難である。
【0295】
端末装置４００は、秘匿化検索クエリにヒットしたレコードをデータ管理サーバ１００から取得すると、そのレコードのフラグに基づいて、共通キーワードを、変換元の分割キーワードに変換することができる。そして端末装置４００は、分割キーワード一覧４２３に基づいて分割キーワードを元のキーワードに変換する。これにより端末装置４００は、検索キーワードを含むレコードを取得することができる。
【0296】
またフラグ値にはレコードのＩＤが含まれているため、フラグ値を暗号化したときの暗号文がレコードごとにユニークな値となる。これにより、フラグ値の頻度分析攻撃を防ぐことができる。
【0297】
図４０には、ＤＢ２１０に登録可能なすべてのキーワードについて分割キーワードに変換する例を示しているが、すべての共有集合が生成条件を満たせるのであれば、一部のキーワードについては分割しなくてもよい。
【0298】
図４１は、共有集合の他の生成例を示す第１の図である。図４１に示す共有集合一覧８２には、診療科についての３つの共有集合８２ａ～８２ｃ、性別についての２つの共有集合８２ｄ～８２ｅ、および年齢層についての３つの共有集合８２ｆ～８２ｈが含まれている。図４１の例では、診療科の「内科」、性別のキーワード「女」、年齢層のキーワード「青年」および「児童」については分割キーワードへの変換が行われない。そのため、これらのキーワードはそのまま共有集合の要素となっている。なお共有集合８２ｃ，８２ｅに含まれる要素は１つである。第２の実施の形態における変換集合と異なり、共有集合は、要素が１つであってもよい。
【0299】
共有集合一覧８２に示す各共有集合８２ａ～８２ｈは、共有集合の生成条件を満たしている。ただし共有集合一覧８２を用いて共有キーワードへの変換を行うと、図４０に示した共有集合一覧２３４を用いた場合に比べて、平文推定の難易度が下がる。例えば共有集合一覧８２を用いて共有キーワードへの変換を行った秘匿化ＤＢ１１０に対して、攻撃者３３は以下のような攻撃が可能である。
【0300】
例えば攻撃者３３が性別に対する検索の検索対象の特定を試みる場合を想定する。攻撃者３３は、性別の共有集合８２ｄ，８２ｅそれぞれの共有キーワードごとの攪乱後頻度を得る。例えば攻撃者３３は、検索者が性別「女」のレコードを検索した場合にヒットしたレコード数を取得することで、共有集合８２ｄに対応する共有キーワードの攪乱後頻度（「男０」の頻度と「女」の頻度との合計）を得ることができる。攻撃者３３は、共有集合８２ｄに対応する共有キーワードの攪乱後頻度から平文の「女」の頻度を減算する。すると「男０」の頻度となる。さらに攻撃者３３は、減算結果にもう１つの共有集合８２ｅに対応する共有キーワードの攪乱後頻度を加算する。加算後の頻度は、「男０」の頻度と「男１」の頻度との合計である。
【0301】
攻撃者３３は、加算結果が「男」の頻度と等しくなることが確認できれば、共有集合８２ｄに対応する共有キーワードの攪乱後頻度となる検索が行われた場合、対応する共有集合８２ｄには「女」が含まれると判断できる。以後、攻撃者３３は、検索者により共有集合８２ｄに対応する共有キーワードの攪乱後頻度となる検索のみが行われた場合、「女」を検索したと特定することができる。
【0302】
攻撃者３３がこのような試行を繰り返すことで検索対象の絞り込みが可能となるが、同じ項目に登録可能なキーワード数が多くなるほど、このような攻撃の試行回数が増加し、検索対象が特定される危険性は低下する。
【0303】
このように、共有集合一覧８２に示すような共有集合８２ａ～８２ｈでは、性別のように登録可能なキーワード数が少ない項目がある場合に、頻度分析攻撃に対する安全性が低下してしまう。ただし、各項目の登録可能なキーワード数が多ければ、攻撃者３３が行う攻撃で用いるキーワード（攻撃において該当キーワードの頻度の加減算を行う）の組み合わせ数が膨大となる。その結果、共有集合一覧８２に示すように一部の要素が、ＤＢ２１０に登録されるキーワードのまま（分割キーワードに変換されていない）であっても十分に安全となる。
【0304】
なお第３の実施の形態においても、第２の実施の形態における変換集合と同様、含まれる分割キーワードの変換元のキーワードの組み合わせが同じとなる共有集合が複数ある場合、頻度分析攻撃に対して脆弱となる。そのためデータ登録要求部２５０は、含まれる分割キーワードの変換元のキーワードの組み合わせが互いに異なるように、複数の共有集合を生成する。
【0305】
第３の実施の形態を実現するために各装置が有する要素は、図１８に示した第２の実施の形態の各装置の要素と同じである。ただし第３の実施の形態では、各要素の処理内容の一部または記憶する情報の一部が第２の実施の形態と異なる。
【0306】
第３の実施の形態ではデータ登録サーバ２００の変換情報記憶部２３０に格納される情報が、第２の実施の形態と異なる。
図４２は、第３の実施の形態におけるデータ登録サーバの変換情報記憶部に格納される情報の一例を示す図である。変換情報記憶部２３０は、キーワード一覧２３１、共有集合一覧２３４、および分割キーワード選択テーブル２３３を記憶する。図２１に示した第２の実施の形態の変換情報記憶部２３０と比較すると、第２の実施の形態における変換集合一覧２３２が第３の実施の形態では共有集合一覧２３４となっている。
図４２は、第３の実施の形態におけるデータ登録サーバの変換情報記憶部に格納される情報の一例を示す図である。変換情報記憶部２３０は、キーワード一覧２３１、共有集合一覧２３４、および分割キーワード選択テーブル２３３を記憶する。図２１に示した第２の実施の形態の変換情報記憶部２３０と比較すると、第２の実施の形態における変換集合一覧２３２が第３の実施の形態では共有集合一覧２３４となっている。
【0307】
共有集合一覧２３４は、データ登録要求部２５０によって生成される。データ登録要求部２５０は、例えば第２の実施の形態における変換集合生成手順と同じ手順で共有集合を生成することができる。
【0308】
図４３は、共有集合の生成例を示す図である。キーワードリスト２３１ａには、年齢層に設定可能な４個のキーワードが示されている。またＧ＝２であり、各共有集合２３４ｇ～２３４ｊには２つずつの分割キーワードが含まれる。図１４に示した分割キーワード選択テーブル２３３に基づいて分割キーワードを生成する場合、年齢層に関する分割キーワードは８個となる。
【0309】
データ登録要求部２５０は、まず４個の共有集合２３４ｇ～２３４ｊの要素の格納領域を生成する。またデータ登録要求部２５０は、共有集合２３４ｇ～２３４ｊの識別子をそれぞれ「２－０」～「２－３」とする。識別子の左側の数値は「年齢層」に対応する値であり、右側の数値は「年齢層」の共有集合２３４ｇ～２３４ｊに対する通し番号である。
【0310】
データ登録要求部２５０は、例えばキーワードリスト２３１ａから、所定の順番あるいはランダムな順番ですべてのキーワードを１回ずつ選択する。図４３の例では、キーワードリスト２３１ａの左から順にキーワードを選択するものとする。
【0311】
データ登録要求部２５０は、選択したキーワードの分割キーワードを番号の小さい共有集合から順に、共有集合の格納領域に格納していく。このとき、データ登録要求部２５０は、同じキーワードに対応する分割キーワードは異なる共有集合に格納する。またデータ登録要求部２５０は、共有集合内の分割キーワードの変換元のキーワードの組み合わせが同じとなる複数の共有集合が生じないようにする。
【0312】
例えばデータ登録要求部２５０は、最初に選択したキーワードの１つ目の分割キーワードを先頭の共有集合２３４ｇに登録する。次にデータ登録要求部２５０は、そのキーワードの２つ目の分割キーワードを２番目の共有集合２３４ｈに登録する。例えば「老人」が最初に選択された場合、「老人０」が共有集合２３４ｇに登録され、「老人１」が共有集合２３４ｈに登録される。
【0313】
データ登録要求部２５０は、２番目に選択したキーワードの１つ目の分割キーワードを、直前に選択したキーワードの２つ目の分割キーワードと同じ共有集合２３４ｈに登録する。次にデータ登録要求部２５０は、そのキーワードの２つ目の分割キーワードを次の共有集合２３４ｉに登録する。例えば「成人」が２番目に選択された場合、「成人０」が共有集合２３４ｈに登録され、「成人１」が共有集合２３４ｉに登録される。
【0314】
データ登録要求部２５０は、３番目以降に選択した各キーワードの分割キーワードについても、２番目に選択したキーワードと同様の手順で共有集合に登録する。例えば「青年」が３番目に選択された場合、「青年０」が共有集合２３４ｉに登録され、「青年１」が共有集合２３４ｊに登録される。
【0315】
データ登録要求部２５０は、最後に選択したキーワードの分割キーワードについては、格納領域が空いている共有集合に登録する。例えば「児童」が最後に選択された場合、「児童０」が共有集合２３４ｇに登録され、「児童１」が共有集合２３４ｊに登録される。
【0316】
このような手順で共有集合２３４ｇ～２３４ｊが生成される。共有集合２３４ｇ～２３４ｊそれぞれは、属する要素のうちの少なくとも１つが分割キーワードであり、かつその分割キーワードと変換元のキーワードが共通の他の分割キーワードが他の共有集合に含まれる。そのため共有集合の生成条件を満たしている。また共有集合２３４ｇ～２３４ｊ内の分割キーワードの変換元のキーワードの組み合わせが同じとなる複数の共有集合は生じていない。
【0317】
図４３には年齢層の共有集合２３４ｇ～２３４ｊの生成例を示したが、診療科および性別についても同様の手順でそれぞれの共有集合２３４ａ～２３４ｆを生成することができる。その結果、図４０に示したような共有集合一覧２３４が生成される。
【0318】
ｊ番目の項目のキーワードの種類数をＸj、ｊ番目の項目の共有集合数をＭ’jとしたとき、図４３に示したのは、Ｇ＝２，Ｌ＝２，Ｘj＝４，Ｍ’j＝４の場合の例である。これらのパラメータの値が別の値であっても、同様に適切な共有集合を生成することができる。
【0319】
データ登録サーバ２００は、共有集合一覧２３４を用いて分割キーワードを共有キーワードに変換することで生成された登録データ８１の各レコードにランダムなＩＤを付与し、ＩＤでソートした後、各レコードを秘匿化ＤＢ１１０に格納する。
【0320】
図４４は、共有キーワードが格納された秘匿化ＤＢの一例を示す図である。秘匿化ＤＢ１１０に登録されたレコードはＩＤによってソートされており、真のデータにおける変換元のレコードとは異なる順番で登録されている。
【0321】
【0322】
［ステップＳ３０１］データ登録要求部２５０は、群数Ｇとキーワード分割数Ｌの設定入力を受け付ける。ＧとＬは共に２以上の整数である。ＧとＬの値が大きいほど安全性が向上するが登録するダミーレコード数も増加する。そこで、ＧとＬの値は、秘匿化ＤＢ１１０に求められる頻度分析攻撃に対する安全性の度合いと、秘匿化ＤＢ１１０に許容されるダミーレコード数とを勘案して、データ登録サーバ２００の管理者が決定する。
【0323】
［ステップＳ３０２］データ登録要求部２５０は、項目ごとの共有集合数を決定する。例えばｊ番目の項目の共有集合数Ｍ’jは、天井関数を用いて以下の式（４）で表される。
【0324】
【数2】
【0325】
ｊ番目の項目のキーワードの種類数Ｘjにキーワード分割数Ｌを乗算した値（Ｌ×Ｘj）が、その項目の分割キーワード数である。分割キーワード数を群数Ｇで除算した結果の天井関数（除算結果以上の最小の整数）と「３」とのうちの大きい方の値が、共有集合数となる。
【0326】
共有集合数が「３」以上となるようにしたことで、Ｇ＝２の場合において、性別のように２種類のキーワードしか存在しない項目についても、３つの共有集合が生成される。これにより性別についても、異なる共有集合において、それぞれの分割キーワードの変換元のキーワードの組み合わせが同じとなることを抑止することができる。
【0327】
［ステップＳ３０３］データ登録要求部２５０は、すべての項目それぞれについて、ステップＳ３０２で決定した共有集合数分の共有集合を生成する。なお、データ登録要求部２５０は、共有集合の格納領域の数よりも分割キーワード数が少ない場合には、共有集合の要素の格納領域の一部を空欄のままとする。生成される各共有集合は少なくとも１つの分割キーワードを含み、その分割キーワードと変換元のキーワードが共通の他の分割キーワードが他の共有集合に含まれる。これにより、図４０の共有集合一覧２３４に示すような共有集合２３４ａ～２３４ｊが生成される。
【0328】
［ステップＳ３０４］データ登録要求部２５０は、分割キーワード選択テーブル２３３を生成する。この処理の詳細は、図２７に示したステップＳ１０４の処理と同様である。
［ステップＳ３０５］データ登録要求部２５０は、ＤＢ２１０から平文のデータを読み込む。
［ステップＳ３０５］データ登録要求部２５０は、ＤＢ２１０から平文のデータを読み込む。
【0329】
［ステップＳ３０６］データ登録要求部２５０は、読み込んだ平文のデータのレコードに登録されているキーワードを、分割キーワード選択テーブル２３３に示される選択確率で確率的に分割キーワードに変換する。この処理の詳細は、図２７に示したステップＳ１０６の処理と同様である。
【0330】
［ステップＳ３０７］データ登録要求部２５０は、各レコードの分割キーワードを共有キーワードに変換する。なお、共有キーワードへ変換する処理の詳細は後述する（図４６参照）。
【0331】
［ステップＳ３０８］データ登録要求部２５０は、共有キーワードを含むレコードそれぞれに、ランダムにＩＤを付与する。
［ステップＳ３０９］データ登録要求部２５０は、各レコードにフラグ値を付与する。例えばデータ登録要求部２５０は、各レコードについて、そのレコードの変換元となった平文のＤＢ２１０内のレコードのＩＤと、各項目の共有キーワードへの変換元となった分割キーワードの共有集合内での要素番号との組をフラグ値として生成する。変換元のレコードのＩＤを含むことにより、すべてのフラグ値をユニークな値にすることができ、フラグ値の頻度分析攻撃を防ぐことができる。また変換元の分割キーワードの共有集合での要素番号がフラグ値に含まれていることにより、フラグ値を参照すれば、共有キーワードを元の分割キーワードに戻すことが可能となる。
［ステップＳ３０９］データ登録要求部２５０は、各レコードにフラグ値を付与する。例えばデータ登録要求部２５０は、各レコードについて、そのレコードの変換元となった平文のＤＢ２１０内のレコードのＩＤと、各項目の共有キーワードへの変換元となった分割キーワードの共有集合内での要素番号との組をフラグ値として生成する。変換元のレコードのＩＤを含むことにより、すべてのフラグ値をユニークな値にすることができ、フラグ値の頻度分析攻撃を防ぐことができる。また変換元の分割キーワードの共有集合での要素番号がフラグ値に含まれていることにより、フラグ値を参照すれば、共有キーワードを元の分割キーワードに戻すことが可能となる。
【0332】
［ステップＳ３１０］データ登録要求部２５０は、各レコードをＩＤでソートする。
［ステップＳ３１１］データ登録要求部２５０は、ソートされたレコード群を暗号化して、秘匿化ＤＢ１１０に登録する。例えばデータ登録要求部２５０は、レコード内の項目値ごとに暗号化し、暗号化された値を有するレコード群を、登録データとしてデータ管理サーバ１００に送信する。データ管理サーバ１００では、データ登録部１２０が登録データを受信し、受信した登録データを秘匿化ＤＢ１１０に格納する。
［ステップＳ３１１］データ登録要求部２５０は、ソートされたレコード群を暗号化して、秘匿化ＤＢ１１０に登録する。例えばデータ登録要求部２５０は、レコード内の項目値ごとに暗号化し、暗号化された値を有するレコード群を、登録データとしてデータ管理サーバ１００に送信する。データ管理サーバ１００では、データ登録部１２０が登録データを受信し、受信した登録データを秘匿化ＤＢ１１０に格納する。
【0333】
次に分割キーワードを共有キーワードへ変換する処理について詳細に説明する。
図４６は、共有キーワードへ変換する処理手順の詳細を示すフローチャートである。以下、図４６に示す処理をステップ番号に沿って説明する。
図４６は、共有キーワードへ変換する処理手順の詳細を示すフローチャートである。以下、図４６に示す処理をステップ番号に沿って説明する。
【0334】
［ステップＳ３２１］データ登録要求部２５０は、項目値が分割キーワードに変換された分割済データ２１１（図４０参照）に含まれる分割キーワードを１つ選択する。
［ステップＳ３２２］データ登録要求部２５０は、共有集合一覧２３４から、選択した分割キーワードが属する項目の共有集合を特定し、特定した共有集合から選択した分割キーワードを含む共有集合を検索する。
［ステップＳ３２２］データ登録要求部２５０は、共有集合一覧２３４から、選択した分割キーワードが属する項目の共有集合を特定し、特定した共有集合から選択した分割キーワードを含む共有集合を検索する。
【0335】
［ステップＳ３２３］データ登録要求部２５０は、選択した分割キーワードを、その分割キーワードを含む共有集合に対応する共有キーワードに置き換える。例えばデータ登録要求部２５０は、選択した分割キーワードが属する共有集合のすべての要素を文字列結合し、共有キーワードとして出力する。またデータ登録要求部２５０は、予め共有集合ごとに特定の共有キーワードを設定しておき、選択した分割キーワードが属する共有集合に設定された共有キーワードに、分割キーワードを変換してもよい。
【0336】
［ステップＳ３２４］データ登録要求部２５０は、分割済データ２１１内に未選択の分割キーワードがあるか否かを判断する。データ登録要求部２５０は、未選択の分割キーワードがある場合、処理をステップＳ３２１に進める。またデータ登録要求部２５０は、すべての分割キーワードの共有キーワードへの置き換えが完了した場合、共有キーワードへ変換する処理を終了する。
【0337】
図４７は、分割キーワードから共有キーワードへの変換の一例を示す図である。例えば分割キーワード「老人１」が選択されたものとする。「老人１」は、共有集合２３４ｈに含まれている。共有集合２３４ｈの要素は、「老人１」と「成人０」である。そこで「老人１」と「成人０」の文字列をコンマを挟んで結合した「老人１，成人０」が共有キーワードとして出力される。
【0338】
【0339】
図４８は、登録データのレコードの一例を示す図である。分割キーワードが設定されたレコード８３は、ＩＤ「０」であり、診療科「内科０」、性別「男１」、年齢層「老人１」を有する。分割キーワード「内科０」は、「小児科０」と「内科０」とを含む共有集合２３４ａの要素であるため、共有キーワード「小児科０，内科０」に変換される。分割キーワード「男１」は、「男１」と「女０」とを含む共有集合２３４ｅの要素であるため、共有キーワード「男１，女０」に変換される。分割キーワード「老人１」は、「老人１」と「成人０」とを含む共有集合２３４ｈの要素であるため、共有キーワード「老人１，成人０」に変換される。
【0340】
共有キーワードを有するレコード８４には、ランダムにＩＤ「５」が付与されている。またレコード８４のフラグ値には、レコード８３のＩＤ「０」が含まれる。またレコード８４のフラグ値には、レコード８３内の分割キーワードについての、その分割キーワードが属する共有集合における要素番号が含まれる。
【0341】
このようにして生成されたレコード８４は、項目値とフラグ値とが暗号化され、秘匿化ＤＢ１１０に登録される。秘匿化ＤＢ１１０に対する検索は、共有キーワードを用いて行われる。
【0342】
第３の実施の形態では端末装置４００の変換情報記憶部４２０に格納される情報が、第２の実施の形態と異なる。
図４９は、第３の実施の形態における端末装置の変換情報記憶部に格納される情報の一例を示す図である。変換情報記憶部４２０は、キーワード一覧４２１、共有集合一覧４２４、および分割キーワード一覧４２３を記憶する。図３１に示した第２の実施の形態の変換情報記憶部４２０と比較すると、第２の実施の形態における変換集合一覧４２２が第３の実施の形態では共有集合一覧４２４となっている。
図４９は、第３の実施の形態における端末装置の変換情報記憶部に格納される情報の一例を示す図である。変換情報記憶部４２０は、キーワード一覧４２１、共有集合一覧４２４、および分割キーワード一覧４２３を記憶する。図３１に示した第２の実施の形態の変換情報記憶部４２０と比較すると、第２の実施の形態における変換集合一覧４２２が第３の実施の形態では共有集合一覧４２４となっている。
【0343】
共有集合一覧４２４は、例えば検索要求部４４０によって、データ登録要求部２５０による共有集合一覧２３４の生成手順と同じ手順で生成される。また検索要求部４４０は、データ登録サーバ２００から共有集合一覧２３４を取得し、自身の共有集合一覧４２４として変換情報記憶部４２０に格納してもよい。
【0344】
検索要求部４４０は、検索要求が入力されると分割キーワード一覧４２３と共有集合一覧４２４とを用いて、秘匿化検索クエリを生成する。
図５０は、秘匿化検索クエリの一例を示す図である。検索要求部４４０は、検索条件が入力されると、検索条件に示される検索キーワードを含む平文検索クエリ９１を生成する。次に検索要求部４４０は、分割キーワード一覧４２３を参照して、検索キーワードを、対応する複数の分割キーワードそれぞれに分割し、複数の分割キーワードの論理和検索を行う分割クエリ９２を生成する。例えば検索キーワードが「老人」の場合、「老人０」と「老人１」の論理和検索を行う分割クエリ９２が生成される。
図５０は、秘匿化検索クエリの一例を示す図である。検索要求部４４０は、検索条件が入力されると、検索条件に示される検索キーワードを含む平文検索クエリ９１を生成する。次に検索要求部４４０は、分割キーワード一覧４２３を参照して、検索キーワードを、対応する複数の分割キーワードそれぞれに分割し、複数の分割キーワードの論理和検索を行う分割クエリ９２を生成する。例えば検索キーワードが「老人」の場合、「老人０」と「老人１」の論理和検索を行う分割クエリ９２が生成される。
【0345】
さらに検索要求部４４０は、共有集合一覧４２４を参照し、分割キーワードを、その分割キーワードが属する共有集合に対応する共有キーワードに変換することで攪乱クエリ９３を生成する。例えば分割キーワード「老人０」の共有キーワード「老人０，児童０」と分割キーワード「老人１」の共有キーワード「老人１，成人０」との論理和検索を行う攪乱クエリ９３が生成される。
【0346】
そして検索要求部４４０は、攪乱クエリ９３内の共有キーワードを暗号化した秘匿化検索クエリ９４を生成する。検索要求部４４０は、秘匿化検索クエリ９４をデータ管理サーバ１００に送信する。するとデータ管理サーバ１００において、秘匿化検索クエリ９４に応じた秘匿化検索が行われる。
【0347】
図５１は、共有キーワードを用いた秘匿化検索の一例を示す図である。秘匿化検索クエリ９４を取得したデータ管理サーバ１００では、検索部１４０が秘匿化検索クエリ９４に示されている共有キーワードの暗号文を含むレコードを秘匿化ＤＢ１１０から検索する。そして検索部１４０は、該当するレコードを含む秘匿化検索結果９５を端末装置４００に送信する。
【0348】
端末装置４００の検索要求部４４０は、秘匿化検索結果９５内の項目値を復号して、攪乱検索結果９６を生成する。検索要求部４４０は、攪乱検索結果９６の各レコードのフラグに基づいて、該当レコード内の共有キーワードの変換元の分割キーワードを判断する。そして検索要求部４４０は、復号された秘匿化検索結果９５から、分割クエリ９２に含まれる分割キーワードに基づいて変換された共有キーワードを有するレコードを検索する。
【0349】
検索要求部４４０は、分割クエリ９２に示される分割キーワードを有するレコードの共有キーワードを分割キーワードに逆変換し、さらにその分割キーワードをＤＢ２１０に登録可能なキーワードに変換する。そして検索要求部４４０は、フラグを除去した後、ＤＢ２１０に登録可能なキーワードを有するレコードを検索結果９７として出力する。
【0350】
図５２は、検索処理の手順の一例を示すフローチャートである。以下、図５２に示す処理をステップ番号に沿って説明する。
［ステップＳ４０１］検索要求部４４０は、ユーザからの検索条件として入力された検索キーワードと、その検索キーワードに対応する項目を、平文検索クエリとして取得する。
［ステップＳ４０１］検索要求部４４０は、ユーザからの検索条件として入力された検索キーワードと、その検索キーワードに対応する項目を、平文検索クエリとして取得する。
【0351】
［ステップＳ４０２］検索要求部４４０は、共有集合一覧４２４と分割キーワード一覧４２３を生成する。例えば検索要求部４４０は、データ登録要求部２５０における項目ごとの共有集合生成処理と同様の処理を行い、共有集合一覧４２４を生成する。検索要求部４４０によって生成される共有集合一覧は、データ登録要求部２５０で生成された共有集合一覧と同じものとなる。
【0352】
［ステップＳ４０３］検索要求部４４０は、取得した平文検索クエリを分割する。例えば検索要求部４４０は、平文検索クエリに含まれる検索キーワードを分割キーワードに分割する。そして検索要求部４４０は、分割によって得られた分割キーワードの論理和を示す分割クエリを生成する。
【0353】
取得した平文検索クエリには、複数の検索キーワードが含まれる場合がある。複数の検索キーワードの論理和検索の場合、検索要求部４４０は、各検索キーワードを分割キーワードに分解し、すべての分割キーワードの論理和を示す分割クエリを生成する。また複数の検索キーワードの論理積検索の場合、検索要求部４４０は、項目が異なる分割キーワード間のすべての組み合わせを生成する。３つ以上の項目それぞれの検索キーワードの論理積の場合であれば、検索要求部４４０は、各項目から１ずつ分割キーワードを選択することで生成可能な分割キーワードのすべての組み合わせを生成する。そして検索要求部４４０は、生成した分割キーワードの組み合わせごとの論理積を示す論理式を生成する。さらに検索要求部４４０は、分割キーワードの組み合わせごとに生成した論理積の論理式間の論理和を示す分割クエリを生成する。
【0354】
例えば取得した平文検索クエリが「Ａ∧Ｂ」であり、検索キーワード「Ａ」は「Ａ０」と「Ａ１」に分割され、検索キーワード「Ｂ」は「Ｂ０」と「Ｂ１」に分割されるものとする。この場合、検索要求部４４０は、分割クエリとして、「（Ａ０∧Ｂ０）∨（Ａ０∧Ｂ１）∨（Ａ１∧Ｂ０）∨（Ａ１∧Ｂ１）」を生成する。
【0355】
［ステップＳ４０４］検索要求部４４０は、生成した分割クエリを、共有集合に基づいて攪乱クエリに変換する。例えば検索要求部４４０は、分割クエリにおいて、検索対象の項目と分割キーワードが指定されている場合、まず検索対象の項目に対応する１以上の共有集合の中から、指定された分割キーワードに対応する要素を含む共有集合を特定する。次に検索要求部４４０は、特定した共有集合に対応する共有キーワードに、分割クエリ内の変換対象の分割キーワードを変換する。
【0356】
［ステップＳ４０５］検索要求部４４０は、ステップＳ４０４で変換された後の共有キーワードを暗号化して秘匿化検索クエリを生成する。検索要求部４４０は、生成した秘匿化検索クエリをデータ管理サーバ１００に送信する。
【0357】
［ステップＳ４０６］検索要求部４４０は、データ管理サーバ１００から秘匿化検索の検索結果（秘匿化検索結果）を取得する。
［ステップＳ４０７］検索要求部４４０は、秘匿化検索結果に含まれる項目値（暗号文）を予めデータ登録サーバ２００から取得した暗号鍵を用いて復号し、平文の共有キーワードを含む攪乱検索結果を生成する。
［ステップＳ４０７］検索要求部４４０は、秘匿化検索結果に含まれる項目値（暗号文）を予めデータ登録サーバ２００から取得した暗号鍵を用いて復号し、平文の共有キーワードを含む攪乱検索結果を生成する。
【0358】
［ステップＳ４０８］検索要求部４４０は、攪乱検索結果から、分割クエリに含まれていた分割キーワードに基づいて変換された共有キーワードを含むレコードを検索する。例えば検索要求部４４０は、復号して得られた共有キーワードを、その共有キーワードに対応する共有集合の要素である分割キーワードに分割する。検索要求部４４０は、分割して得られた分割キーワードのうち、フラグ値に示される要素番号に対応する分割キーワードを抽出する。検索要求部４４０は、抽出した分割キーワードが、分割クエリに示される分割キーワードのいずれかと一致するか否かを判断する。検索要求部４４０は、一致した場合、その分割キーワードを含むレコードを、真の検索結果として抽出する。また検索要求部４４０は、抽出した分割キーワードが、分割クエリに示される分割キーワードのいずれとも一致しない場合、抽出した分割キーワードの抽出元のレコードを削除する。
【0359】
［ステップＳ４０９］検索要求部４４０は、真の検索結果として抽出したレコードの共有キーワードそれぞれを、ＤＢ２１０に設定されていたキーワードに復元する。例えば検索要求部４４０は、各共有キーワードを、その共有キーワードに対応する共有集合内の、フラグ値で示される要素番号の分割キーワードに変換する。そして検索要求部４４０は、分割キーワードを、分割キーワード一覧４２３においてその分割キーワードに対応するキーワードに変換する。
【0360】
［ステップＳ４１０］検索要求部４４０は、平文の検索結果を出力する。
このようにして、端末装置４００を用いて秘匿化ＤＢ１１０に対する検索結果を得ることができる。この際、データ管理サーバ１００に対して送信される秘匿化検索クエリでは共有キーワードが指定されている。そのため、検索条件として入力された検索キーワードの平文のＤＢ２１０内での出現頻度と、秘匿化検索クエリにヒットするレコード数（秘匿化ＤＢ１１０内での共有キーワードの出現頻度）とは異なり、攻撃者３３による頻度分析攻撃が困難となっている。
このようにして、端末装置４００を用いて秘匿化ＤＢ１１０に対する検索結果を得ることができる。この際、データ管理サーバ１００に対して送信される秘匿化検索クエリでは共有キーワードが指定されている。そのため、検索条件として入力された検索キーワードの平文のＤＢ２１０内での出現頻度と、秘匿化検索クエリにヒットするレコード数（秘匿化ＤＢ１１０内での共有キーワードの出現頻度）とは異なり、攻撃者３３による頻度分析攻撃が困難となっている。
【0361】
図５３は、共有キーワードを用いた場合の頻度分析攻撃の困難性を示す図である。例えばＤＢ２１０において、「小児科」の出現頻度は「２７」、「婦人科」の出現頻度は「８４」、「内科」の出現頻度は「９５」であるものとする。「小児科」は１９個の分割キーワード「小児科０」と８個の分割キーワード「小児科１」とに確率的に変換されている。「婦人科」は５０個の分割キーワード「婦人科０」と３４個の分割キーワード「婦人科１」とに確率的に変換されている。「内科」は５２個の分割キーワード「内科０」と４３個の分割キーワード「内科１」とに確率的に変換されている。
【0362】
分割キーワード数は６個である。分割キーワードを２個ずつ含む共有集合が３個生成され、その共有集合に基づいて共有キーワードが生成され、秘匿化ＤＢ１１０に暗号化された共有キーワードが登録されている。秘匿化ＤＢ１１０では、共有キーワード「小児科０，内科０」の出現頻度が「７１」、共有キーワード「小児科１，婦人科０」の出現頻度が「５８」、共有キーワード「婦人科１，内科１」の出現頻度が「７７」となっている。
【0363】
攻撃者３３は、キーワード数が３個であり、共有集合数が３個であり、各キーワードが２つずつに分割され共有集合内の分割キーワード数が２個であることを知っているものとする。しかし各キーワードがどのような比率で分割キーワードに分割されたのかは攻撃者３３には分からない。そのため攻撃者３３が各共有キーワードの出現頻度がそれぞれ「７１」、「５８」、「７７」であることを知ったとしても、その共有キーワードに含まれる分割キーワードを絞り込むことはできない。そのため頻度分析攻撃は困難である。
【0364】
〔第４の実施の形態〕
次に第４の実施の形態について説明する。第４の実施の形態は、第３の実施の形態を改良し、数値範囲の検索に対する頻度分析攻撃の困難性を向上させたものである。
次に第４の実施の形態について説明する。第４の実施の形態は、第３の実施の形態を改良し、数値範囲の検索に対する頻度分析攻撃の困難性を向上させたものである。
【0365】
データ管理サーバ１００は、データを暗号化したままで検索を行う。暗号化したままでの検索は、原則として完全一致検索である。完全一致検索の場合、数値の大小関係を比較することはできない。そこである範囲内の数値を有するレコードの検索を行う場合、端末装置４００は、その範囲内に存在し得るすべての数値の論理和を検索キーワードとする。
【0366】
図５４は、数値範囲検索の一例を示す図である。データ登録サーバ２００のＤＢ２１０には、患者に関するレコードが登録されており、各レコードは診療科、性別、年齢の項目値を有している。各項目値は確率的に分割キーワードに変換され、さらに共有キーワードに変換されて秘匿化ＤＢ１１０に登録される。分割キーワードは、各年齢の数値の後に「＿０」、「＿１」を追加した文字列であるものとする。例えば年齢「１８」の分割キーワードは「１８＿０」と「１８＿１」となる。
【0367】
端末装置４００は、年齢の範囲を指定した検索条件６０１が入力されると、その範囲内の全年齢の分割キーワードの論理和を示す分割クエリ６０２を生成する。端末装置４００は、分割クエリ６０２内の分割キーワードを共有キーワードに変換することで攪乱クエリ６０３を生成し、共有キーワードを暗号化することで秘匿化検索クエリ６０４を生成する。そして端末装置４００が秘匿化検索クエリ６０４をデータ管理サーバ１００に送信すると、データ管理サーバ１００が秘匿化ＤＢ１１０の検索を行う。
【0368】
図５５は、年齢の共有集合の生成例（比較例）を示す図である。年齢のキーワードリスト６１１には、「０～１００」の１０１個の整数が設定されている。各キーワードは、２個ずつの分割キーワードを有する。したがって分割キーワード数は２０２となる。要素を２個（Ｇ＝２）ずつ含む共有集合を生成した場合、１０１個の共有集合１－１～１－３，・・・，１－５１～１－５３，・・・，１－９９～１－１０１が生成される。図５５の例では、第３の実施の形態において図４３に示した手順で共有集合１－１～１－３，・・・，１－５１～１－５３，・・・，１－９９～１－１０１が生成されている。
【0369】
共有集合１－１～１－３，・・・，１－５１～１－５３，・・・，１－９９～１－１０１それぞれに要素として含まれる分割キーワードは、その共有集合に対応する共有キーワードに変換される。例えばキーワード「０」の分割キーワード「０＿０」は共有キーワード「０＿０，１００＿０」に変換され、分割キーワード「０＿１」は共有キーワード「０＿１，１＿０」に変換される。共有キーワードが暗号化され、秘匿化ＤＢ１１０に格納される。そして暗号文の共有キーワードに対する秘匿化検索が行われる。
【0370】
年齢を指定した検索では、数値範囲を指定した検索が可能となる。数値範囲の検索は、図５４に示すように、該当範囲内の数値の論理和検索に置き換えられる。すると攻撃者３３は、発行される秘匿化検索クエリの論理和の項が多いことにより、数値の項目に対する検索であることが推定できる。攻撃者３３は、秘匿化検索クエリに同時に含まれる暗号文は連番であると仮定することで、共有キーワードの暗号文の前後関係を特定できる。
【0371】
例えば「０～１」の数値範囲の検索が行われると、共有キーワード「０＿０，１００＿０」、「０＿１，１＿０」、「１＿１，２＿０」のいずれかの暗号文を有するレコードがヒットする。攻撃者３３は、これらのレコードに含まれる共有キーワードの変換元の分割キーワードには連番の数値が含まれると推定できる。そこで攻撃者３３は、共有キーワード「０＿０，１００＿０」、「０＿１，１＿０」、「１＿１，２＿０」の暗号文が連続するように並べる。攻撃者３３は、様々な数値範囲の検索が行われるごとに、ヒットしたレコードに含まれる共有キーワードの暗号文が連続するように暗号文を並べていく。攻撃者３３は、最終的には、図５５の共有キーワードの並びと同じ順に、共有キーワードの暗号文を並べることができる。
【0372】
なお図５５の例では、分割キーワード「１００＿０」を除き、上位の共有集合ほど、小さい数値のキーワードの分割キーワードが含まれている。このとき攻撃者３３は共有キーワード間の連続関係が分かるのみであり、共有キーワードの暗号文を並べても、その配列の先頭と後方のうちのどちらの数値が小さく、どちらの数値が大きいのかは判別できない。
【0373】
しかし共有キーワードの暗号文の中盤の値を含むレコードが検索された場合、攻撃者３３は、全体の数値範囲「０～１００」の内の中盤の数値が検索されたことを認識できる。すなわち検索条件の絞り込みが可能となってしまう。
【0374】
そこで第４の実施の形態では、データ登録サーバ２００のデータ登録要求部２５０は、キーワードリストに数値が設定されている場合、ある数値範囲の連続する数値を含む共有集合に、範囲が重複しない他の数値範囲の連続する数値範囲が含まれるように共有集合を生成する。
【0375】
【0376】
データ登録要求部２５０は、例えばキーワードリスト６１１から値の小さい順に数値を選択する。データ登録要求部２５０は、選択した数値の分割キーワードを最上位の共有集合２－１から順に下位に向かって１つずつ設定する。２つ目以降に選択した数値の分割キーワードは、前に選択した数値を設定した共有集合の次の共有集合に設定する。
【0377】
データ登録要求部２５０は、すべての共有集合２－１～２－１０２に１つずつの分割キーワードが設定されると、各共有集合に対する２つ目の要素を設定する。ただし最上位の共有集合２－１と最下位の共有集合２－１０２は、２つ目の分割キーワードの設定対象外とされる。そこでデータ登録要求部２５０は、選択した数値の分割キーワードを下位から２番目の共有集合２－１０１から順に上位に向かって１つずつ設定する。
【0378】
このように共有集合を生成することで、ある数値範囲の連続する数値を含む共有集合には、範囲が重複しない別の数値範囲の連続する数値も含まれることとなる。その結果、攻撃者３３が、数値の連続性に基づいて共有集合２－１～２－１０２に対応する共有キーワードの暗号文を並べることができたとしても、ある暗号文を含むレコードが検索されたときの検索された数値範囲の絞り込みは困難となる。例えば攻撃者３３は、「０～２」付近の検索、「９８～１００」付近の検索、「４８～５０」付近の検索、「５１～５３」付近の検索、「４８～５３」付近の検索を見分けることが困難である。
【0379】
群数Ｇ（共有集合の最大要素数）を増やすと、検索にヒットする件数が他の共有キーワードの影響で増加する。年齢のキーワード数が多い項目は、各キーワードの頻度がキーワード数に応じた減少が見込まれる。そこで項目値が数値の場合における該当項目に対応する群数を増やしてもよい。
【0380】
【0381】
データ登録要求部２５０は、例えばキーワードリスト６１１から値の小さい順に数値を選択する。データ登録要求部２５０は、選択した数値の分割キーワードを最上位の共有集合３－１から順に下位に向かって１つずつ設定する。データ登録要求部２５０は、すべての共有集合３－１～３－６，・・・，３－６３～３－６８に１つずつの分割キーワードが設定されると、各共有集合に対する２つ目の要素を設定する。ただし最下位の共有集合３－６８は、２つ目の分割キーワードの設定対象外とされる。そこでデータ登録要求部２５０は、選択した数値の分割キーワードを下位から２番目の共有集合３－６７から順に上位に向かって１つずつ設定する。データ登録要求部２５０は、すべての共有集合３－１～３－６，・・・，３－６３～３－６８に２つずつの分割キーワードが設定されると、各共有集合に対する３つ目の要素を設定する。ただし最上位の共有集合３－１は、３つ目の分割キーワードの設定対象外とされる。そこでデータ登録要求部２５０は、選択した数値の分割キーワードを上位から２番目の共有集合３－２から順に下位に向かって１つずつ設定する。
【0382】
このように群数Ｇを増やすことで、数値範囲の検索が行われても、ヒットしたレコードに含まれる数値範囲の数が多数となり、検索対象の絞り込みがより困難となる。
〔その他の実施の形態〕
第２～第４の実施の形態では、病院が有するデータに対する秘匿検索の例を示したが、他の分野でも利用可能である。
〔その他の実施の形態〕
第２～第４の実施の形態では、病院が有するデータに対する秘匿検索の例を示したが、他の分野でも利用可能である。
【0383】
また第２～第４の実施の形態ではデータ登録サーバ２００，３００とデータ管理サーバ１００とを分けているが、データ登録サーバ２００，３００がデータ管理サーバ１００の機能を有していてもよい。
【0384】
以上、実施の形態を例示したが、実施の形態で示した各部の構成は同様の機能を有する他のものに置換することができる。また、他の任意の構成物や工程が付加されてもよい。さらに、前述した実施の形態のうちの任意の２以上の構成（特徴）を組み合わせたものであってもよい。
【符号の説明】
【0385】
１ データ登録装置
１ａ 記憶部
１ｂ 処理部
２ サーバ
２ａ 秘匿化ＤＢ
３ データ利用装置
４ 秘匿レコード群
５ａ～５ｃ 項目値集合
６ 攪乱レコード群
１ａ 記憶部
１ｂ 処理部
２ サーバ
２ａ 秘匿化ＤＢ
３ データ利用装置
４ 秘匿レコード群
５ａ～５ｃ 項目値集合
６ 攪乱レコード群
【図1】
【図2】
【図3】
【図4】
【図5】
【図6】
【図7】
【図8】
【図9】
【図10】
【図11】
【図12】
【図13】
【図14】
【図15】
【図16】
【図17】
【図18】
【図19】
【図20】
【図21】
【図22】
【図23】
【図24】
【図25】
【図26】
【図27】
【図28】
【図29】
【図30】
【図31】
【図32】
【図33】
【図34】
【図35】
【図36】
【図37】
【図38】
【図39】
【図40】
【図41】
【図42】
【図43】
【図44】
【図45】
【図46】
【図47】
【図48】
【図49】
【図50】
【図51】
【図52】
【図53】
【図54】
【図55】
【図56】
【図57】