特許 7568127 データ保存システム、データ保存方法、及びコンピュータプログラムを記憶したコンピュータ読み取り可能な非一過性記憶媒体

(19)【発行国】日本国特許庁(JP)

(12)【公報種別】特許公報(B2)

(11)【特許番号】

(24)【登録日】2024-10-07

(45)【発行日】2024-10-16

(54)【発明の名称】データ保存システム、データ保存方法、及びコンピュータプログラムを記憶したコンピュータ読み取り可能な非一過性記憶媒体

(51)【国際特許分類】

   G06F 21/64 20130101AFI20241008BHJP

   G06F 21/62 20130101ALI20241008BHJP

【ＦＩ】

G06F21/64

G06F21/62

【請求項の数】 7

(21)【出願番号】P 2023551262

(86)(22)【出願日】2022-01-18

(65)【公表番号】

(43)【公表日】2024-02-21

(86)【国際出願番号】 JP2022001555

(87)【国際公開番号】W WO2022185755

(87)【国際公開日】2022-09-09

【審査請求日】2023-08-23

(31)【優先権主張番号】63/156,737

(32)【優先日】2021-03-04

(33)【優先権主張国・地域又は機関】US

(73)【特許権者】

【識別番号】000004260

【氏名又は名称】株式会社デンソー

(74)【代理人】

【氏名又は名称】矢作 和行

(74)【代理人】

【識別番号】100121991

【弁理士】

【氏名又は名称】野々部 泰平

(74)【代理人】

【識別番号】100145595

【弁理士】

【氏名又は名称】久保 貴則

(72)【発明者】

【氏名】黄 浩倫

(72)【発明者】

【氏名】徐 ▲シン▼

【審査官】上島 拓也

(56)【参考文献】

【文献】国際公開第２０２０／２１０４０５（ＷＯ，Ａ１）

【文献】国際公開第２０２０／２１９１７８（ＷＯ，Ａ１）

【文献】米国特許出願公開第２０２０／０００４８５５（ＵＳ，Ａ１）

(58)【調査した分野】(Int.Cl.，ＤＢ名)

Ｇ０６Ｆ ２１／６４

Ｇ０６Ｆ ２１／６２

(57)【特許請求の範囲】

【請求項1】

ブロックチェーン（ＢＣ）を保存するように構成されているノード（１６、３０）と、
データ保存サーバ（２６）と、を備え、
前記ノード（１６、３０）は、データソースからデータを受信したことに基づいて、
前記データを機密データと公開データとに分けることと、
前記機密データの非改ざん証明データを取得することと、
前記データ保存サーバ（２６）に前記機密データを送信することと、
前記公開データと前記非改ざん証明データを前記ブロックチェーンに保存することと、を実施し、
前記ノード（１６、３０）は、さらに、データ利用者からデータ要求を受信したことに基づいて、
前記データ要求に対応する前記機密データの前記非改ざん証明データを前記ブロックチェーン（ＢＣ）から取得することと、
前記データ要求に対応する前記公開データを前記ブロックチェーン（ＢＣ）から取得することと、を実行するように構成されており、
前記データ保存サーバ（２６）は、
前記ノード（１６、３０）から前記機密データを受信したことに基づいて、前記機密データを保存することと、
前記データ利用者から前記データ要求を受信したことに基づいて、前記データ要求に対応する前記機密データを前記データ利用者に送信することと、を実施するように構成されており、
前記ノードは、アクセスゲートウェイ（３０）と複数のノードとを含み、
前記ノードは、前記アクセスゲートウェイ（３０）を介して前記データ要求を受信し、
前記データ保存サーバ（２６）は、複数の前記ノード（１６）のそれぞれに対応する複数のサーバを含み、
複数の前記サーバは、それぞれ異なる前記機密データを保存し、
前記ノードは、各機密データの保存場所を示すロケーションテーブル（３４）を前記ブロックチェーン（ＢＣ）上に保存するように構成されており、
前記アクセスゲートウェイ（３０）は、前記データ利用者から前記データ要求を受信したことに基づいて、
前記ブロックチェーン（ＢＣ）から取得される前記公開データと前記非改ざん証明データを、前記データ利用者に向けて送信することと、
前記ロケーションテーブル（３４）を参照することにより前記データ要求に対応する前記機密データの保存場所を取得することと、
取得した保存場所に基づいて、複数の前記サーバのうち、要求された機密データを保存している前記サーバに向けて前記データ要求を送信することと、を実行するように構成されている、データ保存システム。

【請求項2】

前記ノード（１６、３０）は、前記データ利用者から前記データ要求を受信したことに基づいて、前記データ保存サーバ（２６）に前記非改ざん証明データを送信するように構成されており、
前記データ保存サーバ（２６）は、
前記非改ざん証明データを用いて前記機密データが改ざんされているかを判定することと、
前記機密データは改ざんされていないと判定したことに基づいて、前記機密データを前記データ利用者に送信することと、を実行するように構成されている、
請求項１に記載のデータ保存システム。

【請求項3】

前記非改ざん証明データは、前記機密データのハッシュ値を計算することで取得される、
請求項１又は２に記載のデータ保存システム。

【請求項4】

少なくとも１つのプロセッサ（１６ａ、２６ａ）によって実行される、データを保存するための方法であって、
前記少なくとも１つのプロセッサ（１６ａ、２６ａ）が、
データソースから受信したデータを機密データと公開データとに分けることと、
前記機密データの非改ざん証明データを取得することと、
前記公開データと前記非改ざん証明データをブロックチェーン（ＢＣ）に保存することと、
前記機密データを、複数のサーバ（２６）のうち、前記データソースから前記データを受信したノードに紐づくサーバに保存することと、
前記機密データの保存場所を示すロケーションテーブル（３４）を前記ブロックチェーン（ＢＣ）上に保存することと、
データ利用者からデータ要求を受信することと、
前記データ要求に対応する前記機密データの前記非改ざん証明データを前記ブロックチェーン（ＢＣ）から取得することと、
前記データ要求に対応する前記公開データを前記ブロックチェーン（ＢＣ）から取得することと、
前記非改ざん証明データと前記公開データを前記データ利用者に送信することと、
前記ロケーションテーブル（３４）を参照することにより前記データ要求に対応する前記機密データの保存場所を取得することと、
取得した保存場所に基づいて、複数の前記サーバのうち、要求された機密データを保存している前記サーバに向けて前記データ要求を送信することと、
前記データ要求に対応する前記機密データを前記データ利用者に送信することと、
を含む、データを保存するための方法。

【請求項5】

前記少なくとも１つのプロセッサ（１６ａ、２６ａ）が、
前記サーバ（２６）に保存されている前記機密データが改ざんされているかを、前記ブロックチェーン（ＢＣ）から取得される前記非改ざん証明データを用いて判定することと、
前記機密データは改ざんされていないと判定したことに基づいて、前記機密データを前記データ利用者に送信することと、
を含む、請求項４に記載の方法。

【請求項6】

少なくとも１つのプロセッサ（１６ａ、２６ａ）に、
データソースから受信したデータを機密データと公開データとに分けることと、
前記機密データの非改ざん証明データを取得することと、
前記公開データと前記非改ざん証明データをブロックチェーンに保存することと、
前記機密データを、複数のサーバ（２６）のうち、前記データソースから前記データを受信したノードに紐づくサーバに保存することと、
前記機密データの保存場所を示すロケーションテーブル（３４）を前記ブロックチェーン（ＢＣ）上に保存することと、
データ利用者からデータ要求を受信することと、
前記データ要求に対応する前記機密データの前記非改ざん証明データを前記ブロックチェーン（ＢＣ）から取得することと、
前記データ要求に対応する前記公開データを前記ブロックチェーン（ＢＣ）から取得することと、
前記非改ざん証明データと前記公開データを前記データ利用者に送信することと、
前記ロケーションテーブル（３４）を参照することにより前記データ要求に対応する前記機密データの保存場所を取得することと、
取得した保存場所に基づいて、複数の前記サーバのうち、要求された機密データを保存している前記サーバに向けて前記データ要求を送信することと、
前記データ要求に対応する前記機密データを前記データ利用者に送信することと、
を実行させるように構成されたコンピュータプログラムを記憶しているコンピュータ読み取り可能な非一過性記憶媒体。

【請求項7】

前記少なくとも１つのプロセッサ（１６ａ、２６ａ）に、
前記サーバに保存されている前記機密データが改ざんされているかを、前記ブロックチェーン（ＢＣ）から取得される前記非改ざん証明データを用いて判定することと、
前記機密データは改ざんされていないと判定したことに基づいて、前記機密データを前記データ利用者に送信することと、
をさらに実行させるように構成されたコンピュータプログラムを記憶している請求項６に記載のコンピュータ読み取り可能な非一過性記憶媒体。

【発明の詳細な説明】

【関連出願の相互参照】

【0001】

本出願は、２０２１年３月４日に米国に出願された仮出願第６３／１５６７３７号を基礎としており、当該仮出願の内容は、全体的に、参照により本明細書に組み込まれる。

【技術分野】

【0002】

本明細書に記載される主題は、データ保存システム、データ保存方法、及びコンピュータプログラムを記憶したコンピュータ読み取り可能な非一過性記憶媒体に関する。

【背景技術】

【0003】

近年、様々な企業や組織において、相互に関連する事業活動を強化するために、互いにデータを共有する必要性が高まっている。例えば、自動車メーカー（ＯＥＭ）同士は、走行性能を向上させるために自律走行データを共有している。また、自動車メーカーは、自動車のリサイクル事業のために、例えば走行距離や修理履歴などといった、車両関連データを保存及び共有する。しかし、データの共有に際してデータの使いやすさと信頼性のバランスを保つことは、解決すべき最も重要な課題の１つである。

【0004】

近年、保存データを違法に又は不正に変更することを困難にする分散型のデータ保存メカニズムを提供するために、ブロックチェーン技術が開発されてきた。例えば、Hyperledger（登録商標） Fabricは、ブロックチェーンネットワーク内の複数のコンソーシアム間で機密データを保護するために、限定的な情報チャネルベースの共有システムを提供している（非特許文献１参照）。しかしながら、非特許文献１に開示されるメカニズムは、各参加者が自分自身のデータを取り扱う点において十分な柔軟性を有していない。そのため、各参加者が柔軟にデータを取り扱えるようデータ保存システムの改善が求められていた。

【先行技術文献】

【非特許文献】

【0005】

【文献】“Hyperledger Fabric: A Distributed Operating System for Permissioned Blockchains” arXiv:1801.10228v2 [cs.DC]， ２０１８年４月１７日

【発明の概要】

【0006】

本節は、本開示の一般的な要約を記載したものであり、その全範囲又は全特徴を包括的に開示するものではない。

【0007】

本開示の第１の態様によれば、データ保存システムは、ブロックチェーン（ＢＣ）を保存するように構成されているノード（１６、３０）と、データ保存サーバ（２６）と、を備え、ノード（１６、３０）は、データソースからデータを受信したに基づいて、データを機密データと公開データとに分けることと、機密データの非改ざん証明データを取得することと、データ保存サーバ（２６）に機密データを送信することと、公開データと非改ざん証明データをブロックチェーンに保存することと、を実施し、ノード（１６、３０）は、さらに、データ利用者からデータ要求を受信したことに基づいて、データ要求に対応する機密データの非改ざん証明データをブロックチェーン（ＢＣ）から取得することと、データ要求に対応する公開データをブロックチェーン（ＢＣ）から取得することと、を実行するように構成されており、データ保存サーバ（２６）は、ノード（１６、３０）から機密データを受信したことに基づいて、機密データを保存することと、データ利用者からデータ要求を受信したことに基づいて、データ要求に対応する機密データをデータ利用者に送信することと、を実施するように構成されており、ノードは、アクセスゲートウェイ（３０）と複数のノードとを含み、ノードは、アクセスゲートウェイ（３０）を介してデータ要求を受信し、データ保存サーバ（２６）は、複数のノード（１６）のそれぞれに対応する複数のサーバを含み、複数のサーバは、それぞれ異なる機密データを保存し、ノードは、各機密データの保存場所を示すロケーションテーブル（３４）をブロックチェーン（ＢＣ）上に保存するように構成されており、アクセスゲートウェイ（３０）は、データ利用者からデータ要求を受信したことに基づいて、ブロックチェーン（ＢＣ）から取得される公開データと非改ざん証明データを、データ利用者に向けて送信することと、ロケーションテーブル（３４）を参照することによりデータ要求に対応する機密データの保存場所を取得することと、取得した保存場所に基づいて、複数のサーバのうち、要求された機密データを保存しているサーバに向けてデータ要求を送信することと、を実行するように構成されている。

【0008】

本開示の第２の側面によれば、データ保存方法は、少なくとも１つのプロセッサ（１６ａ、２６ａ）によって実行される、データを保存するための方法であって、少なくとも１つのプロセッサ（１６ａ、２６ａ）が、データソースから受信したデータを機密データと公開データとに分けることと、機密データの非改ざん証明データを取得することと、公開データと非改ざん証明データをブロックチェーン（ＢＣ）に保存することと、機密データを、複数のサーバ（２６）のうち、データソースからデータを受信したノードに紐づくサーバに保存することと、機密データの保存場所を示すロケーションテーブル（３４）をブロックチェーン（ＢＣ）上に保存することと、データ利用者からデータ要求を受信することと、データ要求に対応する機密データの非改ざん証明データをブロックチェーン（ＢＣ）から取得することと、データ要求に対応する公開データをブロックチェーン（ＢＣ）から取得することと、非改ざん証明データと公開データをデータ利用者に送信することと、ロケーションテーブル（３４）を参照することによりデータ要求に対応する機密データの保存場所を取得することと、取得した保存場所に基づいて、複数のサーバのうち、要求された機密データを保存しているサーバに向けてデータ要求を送信することと、データ要求に対応する機密データをデータ利用者に送信することと、を含む。

【0009】

本開示の第３の態様によれば、コンピュータ読み取り可能な非一過性の記憶媒体は、少なくとも１つのプロセッサに、データソースから受信したデータを機密データと公開データとに分けることと、機密データの非改ざん証明データを取得することと、公開データと非改ざん証明データをブロックチェーンに保存することと、機密データの保存場所を示すロケーションテーブル（３４）をブロックチェーン（ＢＣ）上に保存することと、機密データを、複数のサーバ（２６）のうち、データソースからデータを受信したノードに紐づくサーバに保存することと、データ利用者からデータ要求を受信することと、データ要求に対応する機密データの非改ざん証明データをブロックチェーン（ＢＣ）から取得することと、データ要求に対応する公開データをブロックチェーン（ＢＣ）から取得することと、非改ざん証明データと公開データをデータ利用者に送信することと、ロケーションテーブル（３４）を参照することによりデータ要求に対応する機密データの保存場所を取得することと、取得した保存場所に基づいて、複数のサーバのうち、要求された機密データを保存しているサーバに向けてデータ要求を送信することと、データ要求に対応する機密データをデータ利用者に送信することと、を実行させるように構成されたコンピュータプログラムを記憶している。

【図面の簡単な説明】

【0010】

本明細書に組み込まれ、本明細書の一部を構成する添付の図面は、本開示の様々なシステム、方法、及び他の実施形態を示す。図中の図示された要素の境界（例えば、ボックス、ボックス群、又は他の形状）は、一実施形態を表すものと解されてよい。いくつかの実施形態では、要素は縮尺通りに描かれていない場合がある。

【図1】データストレージシステムの１つの実施形態の全体構成を模式的に示す図である。

【図2】本実施形態による事業体の構成を示すブロック図である。

【図3】各サーバに格納される機密データと、ブロックチェーンに格納される公開データ、非改ざん証明データ、及びデータ位置の一例を示す図である。

【図4】データ保存処理のフローチャートである。

【図5】データ提供処理のフローチャートである。

【発明を実施するための形態】

【0011】

以下、本開示の一実施形態について、図面を参照しながら説明する。

【0012】

図１は、本実施形態に係るデータ保存システム（以下、「システム」という）１０の一例を模式的に示す図である。システム１０は、オンチェーン及びオフチェーンの両方のレイヤを使用して、自動車、オートバイ、スマートホーム、製品、商品、美術品、作物、デジタル資産等といった、様々なタイプの物事や資産に関連するデータを格納するように構成される。上記のような対象物のデータは、自動車や、オートバイ、スマートホームの所有者、及び、システム１０を提供する事業体の労働者又は従業員などといった、様々な種類のデータソースから提供される。また、システム１０は、保存されているデータを、様々なタイプのデータ利用者からのデータ要求を受信したときに、データ利用者に提供するように構成されている。データ利用者には、システム１０を構成する参加事業体、システム１０を構成しないがシステム１０の使用を許可された非参加事業体、及びシステム１０の使用を許可された個人が含まれ得る。

【0013】

システム１０は、後述するように、機密データをオフチェーン（すなわち、ローカルサーバ）に格納する一方、公開データをオンチェーン（すなわち、ブロックチェーンＢＣ）に格納するように構成されている。システム１０は、データ要求を受信した場合、ローカルサーバから機密データを取得するとともに、ブロックチェーンＢＣから公開データを取得することによって、要求されたデータをデータ利用者に提供する。図１に示すように、システム１０は、認可又は許可された事業体ＢＥ（又はコンソーシアム）のみが参加を許されるブロックチェーンコンソーシアムを形成する。この実施形態では、システム１０は、複数の事業体ＢＥとアクセスゲートウェイノード３０とで形成されている。アクセスゲートウェイノード３０は、システム１０のゲートウェイとして機能するように構成されており、データ利用者からのデータ要求は、アクセスゲートウェイノード３０を介してシステム１０に入力される。

【0014】

参加している事業体ＢＥには、複数の自動車メーカー（ＯＥＭ）、保険会社、修理工場（又はディーラー）、銀行などが含まれるが、必ずしもこれらに限定されない。各事業体ＢＥは、対象物の公開データを格納するブロックチェーンネットワーク１４を形成するノードとして機能することができる。各事業体ＢＥは、対象物の機密データを自身のデータベース（ＤＢ）に格納するローカルサーバとしても機能する。したがって、各事業体ＢＥは、オンチェーン層とオフチェーン層の両方で動作する。

【0015】

図１に示すように、本実施形態では、システム１０は、３つの事業体ＢＥ（例えば、ＯＥＭ、保険会社、修理工場）を含む。各事業体ＢＥは、コンソーシアムノード１６（以下、「ノード」という）と、データ保存サーバ２６（以下、「サーバ」という）とを含み、参加事業体ＢＥの全てのノード１６が互いに接続されてブロックチェーンネットワーク１４を形成している。全てのノード１６は、対象物の公開データが記録されたブロックチェーンＢＣを保存及び保護する。より具体的には、各ノード１６は、ブロックチェーンＢＣ上の公開データ記憶部３２に公開データを保存するように構成されている。さらに、ノード１６は、後述するように、ブロックチェーンＢＣ上にあるロケーションテーブル３４及び非改ざん証明データ記憶部３６に、データの保存場所及び機密データの非改ざん証明データをそれぞれ格納する。ノード１６は、EthereumやHyperledger Fabric等といった、様々な公知のプラットフォーム上で動作してよい。

【0016】

図２に示すように、ノード１６は、少なくとも１つのプロセッサ（又はノードプロセッサ１６ａ）及び少なくとも１つのメモリ（又はノードメモリ１６ｂ）を含む。１つの局面において、ノードプロセッサ１６ａは、ノードメモリ１６ｂに記憶されたプログラムを実行するときに、本明細書で説明するような様々な機能を実行することができるマイクロプロセッサなどの電子プロセッサであってよい。１つの実施形態では、ノードメモリ１６ｂは、ランダムアクセスメモリ（ＲＡＭ）、読み出し専用メモリ（ＲＯＭ）、ハードディスクドライブ、フラッシュメモリ、又は、プログラムを記憶するための他の適切なメモリであってよい。プログラムは、ノードプロセッサ１６ａによって実行されると、ノードプロセッサ１６ａに本明細書に開示される様々な機能を実行させるコンピュータ読み取り可能な命令である。以下で詳細に説明するように、所定条件が満たされたことを受けてブロックチェーンＢＣ上に格納されたスマートコントラクトが実行されることによって、オンチェーン層のノードプロセッサ１６ａによる一部の機能は、アプリケーション（アプリ）を介して提供される。

【0017】

ノード１６がデータソースから対象物に関連するデータを受信すると、ノードプロセッサ１６ａは、各事業体ＢＥによって事前に定義されたデータポリシーに基づいて、データを機密データと公開データとに分離するようにプログラムされている。データは、複数のデータ項目を含むデータセットの形態でノード１６に提供される。複数のデータ項目は、１つ又は複数のデータカテゴリに分類される。データポリシーは、データソースから提供されたデータがどのように扱うべきか、すなわち、ブロックチェーンＢＣに公開保存されるか、又はローカルサーバに秘密に保存されるかを定義する規則である。各事業体ＢＥは、そのビジネス目的やデータソースからの要求に応じて、データポリシーを自由に作成又は変更する。例えば、事業体ＢＥは、データソースの個人データ又は個人を特定可能なデータを「機密データ」に分類するようにデータポリシーを定義してよい。データポリシーは、事業体ＢＥにとって事業価値の高いデータ（例えば、企業秘密）を「機密データ」に分類するように設定されていてもよい。対称的に、データソースの非個人データ又は個人を特定できないデータは「公開データ」に分類されるよう、データポリシーは定義されていてよい。さらに、データポリシーは、高いビジネス価値を持たないデータを「公開データ」に分類するよう設定されていても良い。

【0018】

図３は、各事業体ＢＥにおいて秘密に保存されたデータと、ブロックチェーンＢＣに公開保存されたデータを模式的に示している。この例では、対象は、所有者が所有する特定の自動車（「車両Ａ」と称する）である。事業体ＢＥの一例としての自動車メーカー（ＯＥＭ）は、車両Ａの車両関連情報を収集することができる。車両関連情報には、例えば、所有者情報、速度、位置、走行距離、及び車載カメラ画像データなどが含まれる。この例では、車両関連情報がデータカテゴリであり、所有者情報、位置情報、及び車載カメラ画像データといったデータ項目は、個人データ又は個人を特定可能なデータに分類することができる。したがって、ノードプロセッサ１６ａは、これらのデータ項目を「機密データ」に分類する。逆に、速度及び走行距離のデータ項目は、個人を特定できないデータであるため、公に共有することができ、ノードプロセッサ１６ａはこれらのデータ項目を「公開データ」に分類する。この例では、車両Ａの所有者が、車両Ａの車両関連情報を提供するデータソースである。

【0019】

事業体ＢＥの他の例としての修理工場は、例えば、車両Ａに関する「修理項目」と「修理代情報」の２つのデータカテゴリを収集することができる。修理項目のデータカテゴリには、修理工場で修理された車両Ａの部品である「部品Ａ」及び「部品Ｂ」が含まれ得る。また、修理代情報のデータカテゴリには、データ項目として、「修理代金」及び「アカウント情報」が含まれてもよい。この例では、修理項目のデータカテゴリの情報（すなわち、部品Ａ及び部品Ｂ）はすべて、ノードプロセッサ１６ａによって公開データに分類される。これらのデータ項目は、個人又は個人を特定できる性質を有していないためである。これに対して、修理代情報のデータカテゴリでは、ノードプロセッサ１６ａによって、すべてのデータ項目が機密データに分類される。修理代情報に含まれる情報は秘密に保管されるべきものだからである。なお、修理工場（すなわち、ノードプロセッサ１６ａ）は、車両Ａの修理が終了した後、修理工場の整備士等がこれらの情報をＤＢに入力することにより、これらの情報を取得する。従って、この例では、このような整備士がデータソースとなる。

【0020】

保険会社も事業体ＢＥの他の例である。保険会社は、「保険内容」という１つのデータカテゴリに属するデータを収集することができる。保険内容のデータカテゴリは、「被保険者情報」、「保険約款」、及び「支払情報」のデータ項目を含む。この例では、ノードプロセッサ１６ａは、「保険内容」に含まれるすべてのデータ項目を「機密データ」に分類する。保険会社（すなわち、ノードプロセッサ１６ａ）は、保険契約の成立後、保険会社の従業員が情報をデータベースに入力する際に、これらのデータ項目を受け取る。したがって、このような保険会社の従業員が、データソースとしての役割を担いうる。

【0021】

ノードプロセッサ１６ａは、受信データを機密データと公開データとに分離した後、機密データの非改ざん証明データを取得するようにプログラムされている。この例では、非改ざん証明データは、ハッシュ関数を使用して機密データから計算されたハッシュ値である。さらに、ノードプロセッサ１６ａは、データのカテゴリごとに機密データのハッシュ値を計算するようにプログラムされている。上述した図３の例では、「車両関連情報」のデータカテゴリには、３つのデータ項目（すなわち、所有者情報、位置情報、及び車載カメラ画像データ）が機密データとして含まれている。このような場合、ノードプロセッサ１６ａは、ハッシュ関数を用いて３つのデータ項目全体に対するハッシュ値を算出する。ハッシュ値の計算には、一般に公開されているハッシュ関数を用いられて良い。一般に公開されているハッシュ関数の例としては、ＳＨＡ－２５６やＳＨＡ３－２５６等がある。

【0022】

ノードプロセッサ１６ａは、公開データ及び非改ざん証明データを、ブロックチェーンＢＣ上のデータマネージャ３８に送信する。データマネージャ３８は、スマートコントラクトが実行されるときに動作するアプリケーション（アプリ）である。データマネージャ３８は、公開データを受信すると、その公開データをブロックチェーンＢＣ上の公開データ記憶部３２に格納するようにプログラムされている。また、データマネージャ３８は、機密データの非改ざん証明データをブロックチェーンＢＣ上の非改ざん証明データ記憶部３６に格納するようにプログラムされている。データマネージャ３８は、公開データ記憶部３２に、公開データをそのデータカテゴリとともに格納する。図３に示すように、「速度」及び「走行距離」のデータ項目は、車両関連情報のデータカテゴリの下に格納され、「部品Ａ」及び「部品Ｂ」のデータ項目は、修理項目のデータカテゴリの下に格納される。なお、保険内容のデータカテゴリに含まれるデータ項目は何れも「機密データ」に分類されるため、これらの項目がブロックチェーンＢＣ上の公開データ記憶部３２に格納されることはない。

【0023】

データマネージャ３８は、非改ざん証明データ記憶部３６に、各データカテゴリの非改ざん証明データ（すなわち、ハッシュ値）を記憶するようにプログラムされている。図３の例では、車両関連情報のデータカテゴリの非改ざん証明データは「ＸＸＸ」であり、修理代情報のデータカテゴリの非改ざん証明データは「ＹＹＹ」であり、保険内容のデータカテゴリの非改ざん証明データは「ＺＺＺ」である。

【0024】

ノードプロセッサ１６ａはさらに、ブロックチェーンＢＣ上にロケーションテーブル３４を格納するようにプログラムされている。ロケーションテーブル３４は、機密データとその保存場所との対応関係を示すテーブルである。ロケーションテーブル３４は、ノード１６がデータソースからデータを受信すると、データマネージャ３８によって更新される。本実施形態では、ロケーションテーブル３４は、データカテゴリ毎に、機密データの保存場所を指し示す。図３に示す上述の例では、ロケーションテーブル３４は、「修理代情報」のデータカテゴリは、修理工場に位置している（すなわち、保存されている）ことを示している。さらに、ロケーションテーブル３４は、「車両関連情報」のデータカテゴリがＯＥＭに、「保険内容」のデータカテゴリが保険会社に、それぞれ配置されている（すなわち、格納されている）ことを示している。この例に示すように、ロケーションテーブル３４には、データ項目自体は含んでいない。

【0025】

ノードプロセッサ１６ａはさらに、データ要求が承認されているかどうかを確認するようにプログラムされている。データ要求の承認は、データユーザがシステム１０を通じてデータを取得することを適切に許可されていることを証明する証明書をデータ要求が含むかどうかを確認することによって実行される。データ要求が承認されていると判定された場合、ノードプロセッサ１６ａは、要求された機密データを取得してデータユーザに提供するようサーバ２６に指示するようにプログラムされている。

【0026】

アクセスゲートウェイノード３０は、データ要求を受信し、データ要求によって要求された機密データを格納する適切な事業体ＢＥ（より具体的には、適切なノード１６）に向けて、データ要求を転送するゲートウェイとして機能する。事業体ＢＥのノード１６と同様に、アクセスゲートウェイノード３０は、少なくとも１つのプロセッサ及び少なくとも１つのメモリ（図示せず）を含む。アクセスゲートウェイノード３０がデータ利用者からデータ要求を受信すると、アクセスゲートウェイノード３０は、データマネージャ３８を介してロケーションテーブル３４から要求された機密データの保存場所を取得する。本実施形態では、データ要求によりデータカテゴリ単位でデータが要求される。データマネージャ３８は、ロケーションテーブル３４を参照して要求されたデータカテゴリの保存場所を取得する。そして、データマネージャ３８は、取得した保存場所の情報をアクセスゲートウェイノード３０に送信する。アクセスゲートウェイノード３０は、保存場所情報にて特定されるノードに向けてデータ要求を転送するように構成されている。

【0027】

また、アクセスゲートウェイノード３０は、データマネージャ３８から公開データと機密データの非改ざん証明データを取得するように構成されている。例えば、データ利用者が車両関連情報のデータカテゴリのデータを要求した場合、データマネージャ３８は、公開データ記憶部３２から「速度」及び「走行距離」のデータ項目を取得する。また、データマネージャ３８は、非改ざん証明データ記憶部３６から車両関連情報の非改ざん証明データ「ＸＸＸ」を取得する。そして、データマネージャ３８は、取得した公開データと非改ざん証明データとをアクセスゲートウェイノード３０に送信する。アクセスゲートウェイノード３０は、公開データと非改ざん証明データとをデータ利用者に送信する。後述するように、非改ざん証明データは、データ利用者が、機密データが保存されてから改ざんされていないかどうかを検証するために使用される。取得された非改ざん証明データは、要求された機密データを格納している事業体ＢＥにも送信される。

【0028】

各事業体ＢＥは、データベース（以降、ＤＢ）２８を有するサーバ２６（すなわち、ローカルサーバ）を含む。ノード１６から送信された機密データは、ＤＢ２８に格納される。図２に示すように、サーバ２６は、少なくとも１つのプロセッサ（又はサーバプロセッサ２６ａ）と、少なくとも１つのメモリ（又はサーバメモリ２６ｂ）とを含む。サーバプロセッサ２６ａは、サーバメモリ２６ｂに記憶されたプログラムを実行する際に、本明細書で説明するような様々な機能を実行可能なマイクロプロセッサであってもよい。サーバメモリ２６ｂは、ランダムアクセスメモリ（ＲＡＭ）、読み出し専用メモリ（ＲＯＭ）、ハードディスクドライブ、フラッシュメモリ、又はプログラムを記憶するための他の適切なメモリであってよい。プログラムは、サーバプロセッサ２６ａによって実行されると、サーバプロセッサ２６ａに本明細書に開示される様々な機能を実行させるコンピュータ読み取り可能な命令である。

【0029】

各事業体ＢＥのサーバ２６は、１つ以上の対象物の機密データをＤＢ２８に格納するように構成されている。また、サーバ２６は、データソースから更新された情報を受信すると、ＤＢ２８に保存されている機密データを更新するように構成されている。本実施形態では、各サーバ２６は、対象物に関する１つ以上のデータカテゴリをＤＢ２８に格納する。各データカテゴリは、機密データに分類される１つ以上のデータ項目を含む。機密データを収容する１つ以上のデータカテゴリは、サーバ２６毎に固有である。したがって、あるサーバ２６に格納されている機密データの１つ以上のデータカテゴリは、他のサーバ２６に格納されている機密データのデータカテゴリとは異なる。図２の例では、ＤＢ２８は、データカテゴリＡとデータカテゴリＢとに分類されたデータを記憶する。データカテゴリＡは、２つのデータ項目（データ項目１及びデータ項目２）を含み、データカテゴリＢは、１つのデータ項目（データ項目１）を含む。

【0030】

より具体的には、図３に示す例では、ＯＥＭのサーバ２６（ＤＢ２８）は、「機密データ」として、車両関連情報のデータカテゴリの下に、所有者情報、位置情報、及び車載カメラ画像データを保管している。修理工場のサーバ２６は、「機密データ」として、修理代情報のデータカテゴリの下に修理代金及びアカウント情報を格納する。保険会社のサーバ２６は、「機密データ」として、保険内容のデータカテゴリの下に、被保険者情報、保険約款、及び支払情報を格納する。

【0031】

サーバプロセッサ２６ａは、ノードプロセッサ１６ａから命令を受信すると、データ要求によって要求された機密データを検索するようにプログラムされている。また、サーバプロセッサ２６ａは、読み出した機密データのハッシュ値を計算し、計算されたハッシュ値をアクセスゲートウェイノード３０から受信した非改ざん証明データと比較するようにプログラムされている。サーバプロセッサ２６ａは、ハッシュ値が非改ざん証明データの値と一致する場合にのみ（すなわち、読み出した機密データが改ざんされていないと判定された場合にのみ）、その読み出した機密データをデータ利用者に送信するようにプログラムされている。

【0032】

次に、本実施形態に係るシステム１０が実行する処理全体の一例について説明する。一般に、システム１０は、データ提供元からデータが提供された場合にはデータ保存処理を行い、データ利用者からデータ要求が発行された場合にはデータ提供処理を行う。まず、図１乃至図４を参照して、データ保存処理について説明する。図１では、データ保存処理におけるデータの流れを黒塗り矢印で示している。以下の説明では、車両Ａの所有者が、図３で説明したように、車両Ａに関するデータをＯＥＭに提供するものとする。所有者から提供されるデータは、所有者情報、位置情報、車載カメラ画像データ、速度、及び走行距離を含む、車両関連情報の単一のデータカテゴリで形成される。

【0033】

ステップ１０にてＯＥＭのノード１６が所有者からデータを受信すると、データ保存処理が開始される。ステップ２０では、ノードプロセッサ１６ａが予め定義されたデータポリシーに従って、受信データを機密データと公開データに分離する。この例では、ノードプロセッサ１６ａは、所有者情報、位置情報、及び車載カメラ画像データを機密データに分類する。また、ノードプロセッサ１６ａは、残りのデータ（すなわち、速度及び走行距離）を公開データに分類する。次に、ノードプロセッサ１６ａは、ステップ３０において、データカテゴリごとに、機密データの非改ざん証明データを取得する。この例では、ノードプロセッサ１６ａは、全ての機密データ（すなわち、所有者情報、位置情報、及び車載カメラ画像データ）のハッシュ値を非改ざん証明データとして算出する。

【0034】

次に、ノードプロセッサ１６ａは、ステップ４０で、非改ざん証明データ及び公開データ（すなわち、速度及び走行距離）をデータマネージャ３８に送信する。次に、データマネージャ３８は、ステップ５０で、公開データと非改ざん証明データをそれぞれ公開データ記憶部３２と非改ざん証明データ記憶部３６に格納する。この例では、速度及び走行距離は、図３に示すように、公開データ記憶部３２の車両関連情報のデータカテゴリの下に格納される。機密データ（すなわち、所有者情報、位置情報、車載カメラ画像データ）の非改ざん証明データ（ＹＹＹ）は、非改ざん証明データ記憶部３６において、車両関連情報のデータカテゴリの下に格納される。また、データマネージャ３８は、ステップ６０において、車両関連情報のデータカテゴリの保存場所（すなわち、ＯＥＭ）を示すデータをロケーションテーブル３４に登録する。

【0035】

次に、ノードプロセッサ１６ａは、ステップ７０で、機密データ（すなわち、所有者情報、位置情報、車載カメラ画像データ）をＯＥＭのサーバ２６に送信する。ＯＥＭのサーバ２６は、機密データを受信すると、ステップ８０において、ＤＢ２８に機密データを格納する。その後、データ保存処理は終了する。

【0036】

上述したように、ノードプロセッサ１６ａは、データポリシーに従って、受信したデータを機密データと公開データとに分離する。したがって、公開データのみがブロックチェーンＢＣに保存され、機密データは事業体ＢＥのサーバ２６に保存される。このように、機密データは各事業体ＢＥにおいて秘密に保管されうる。さらに、データポリシーの設定に応じて、各事業体ＢＥはデータを機密データと公開データとに自由に分類することができる。したがって、事業体ＢＥは、その事業目的やデータの価値に応じて柔軟にデータを取り扱うことができる。さらに、サーバ２６は、機密データのみを自己のＤＢ２８に格納し、残りの公開データをブロックチェーンＢＣに格納する。従って、各サーバ２６に保存されるデータ量を削減することができ、保存効率の向上やコスト削減を図ることができる。

【0037】

非改ざん証明データ及び公開データは、ブロックチェーンＢＣ上の非改ざん証明データ記憶部３６及び公開データ記憶部にそれぞれ格納される。したがって、非改ざん証明データ及び公開データは、違法に又は不正に変更される危険性が低い状態で、安全に保管されうる。

【0038】

次に、図１及び図５を参照して、データ提供処理について説明する。図１では、データ提供処理におけるデータの流れを白抜き矢印で示している。以下の説明では、保険会社から車両Ａの修理に関するデータを取得するためのデータ要求が発行されたものとする。この場合、データ要求には、修理代情報及び修理項目の２つのデータカテゴリの取得要求が含まれる。また、データ要求には、保険会社がシステム１０を通じてデータを取得することを許可されたことを証明する証明書も含まれる。したがって、この例では、保険会社は、データ利用者であると同時に、システム１０を構成する１つの事業体ＢＥでもある。

【0039】

ステップ１００でアクセスゲートウェイノード３０が保険会社からデータ要求を受信すると、データ提供処理が開始される。アクセスゲートウェイノード３０は、ステップ１１０で、データマネージャ３８に、要求されたデータカテゴリの機密データの保存場所、要求されたデータカテゴリの公開データ、及び、要求されたデータカテゴリの機密データの非改ざん証明データを取得するための指示を送信する。この例では、アクセスゲートウェイノード３０は、データマネージャ３８に、データ要求によって要求された修理代情報の保存場所を取得するよう要求する。また、アクセスゲートウェイノード３０は、データ要求によって要求された修理項目の公開データを取得するようにデータマネージャ３８に要求する。さらに、アクセスゲートウェイノード３０は、データマネージャ３８に対して、データ要求によって要求された修理代情報の非改ざん証明データを取得するよう要求する。

【0040】

データマネージャ３８は、アクセスゲートウェイノード３０からの指示を受けて、ステップ１２０にてロケーションテーブル３４を参照し、修理代情報の保存場所（すなわち、修理工場）を取得する。また、データマネージャ３８は、ステップ１３０において、公開データ記憶部３２及び非改ざん証明データ記憶部３６から、それぞれ修理品（すなわち、部品Ａ及び部品Ｂ）の公開データ及び修理代情報の非改ざん証明データ（すなわち、「ＹＹＹ」）を取得する。次に、データマネージャ３８は、ステップ１４０において、アクセスゲートウェイノード３０に、取得した保存場所情報、公開データ、及び非改ざん証明データを送信する。

【0041】

アクセスゲートウェイノード３０は、データマネージャ３８から上述の情報を受信すると、ステップ１５０において、公開データ（すなわち、部品Ａ及び部品Ｂ）及び非改ざん証明データ（すなわち、「ＹＹＹ」）をデータ利用者に送信する。次に、アクセスゲートウェイノード３０は、ステップ１６０において、データ要求及び非改ざん証明データを、保存場所情報によって識別される事業体ＢＥのノード１６に転送する。この例では、保存場所情報は、修理代情報は修理工場に格納されていることを示す。そのため、アクセスゲートウェイノード３０は、データ要求と非改ざん証明データを修理工場のノード１６に送信する。

【0042】

修理工場のノード１６がアクセスゲートウェイノード３０からデータ要求を受信すると、修理工場のノードプロセッサ１６ａは、ステップ１７０において、データ要求に含まれる証明書に基づいて、データ要求が承認されているか否かを検証する。ノードプロセッサ１６ａは、データ要求が適切に承認されていることを確認すると（ステップ１７０：Ｙｅｓ）、処理をステップ１８０に進める。逆に、ノードプロセッサ１６ａはデータ要求が適切に承認されていると判断しない場合（ステップ１７０：Ｎｏ）、データ提供処理は終了する。この例では、保険会社（データ利用者）が適切に承認されているので、処理はステップ１８０に進む。

【0043】

ステップ１８０で、ノードプロセッサ１６ａは、要求された機密データを読み出す命令をサーバ２６に送信する。また、ノードプロセッサ１６ａは、アクセスゲートウェイノード３０から受信した非改ざん証明データをサーバ２６に送信する。この例では、データ要求にて修理代情報のデータカテゴリが要求されているため、修理工場のノードプロセッサ１６ａは、修理代情報に分類されるデータ項目を読み出すよう修理工場のサーバ２６に指示する。サーバ２６は、ノードプロセッサ１６ａから指示を受けると、ステップ１９０において、サーバプロセッサ２６ａは、要求された機密データをＤＢ２８から取得する。この例では、修理工場のサーバ２６は、修理代金情報に分類されるデータ項目を検索するように指示されているので、サーバプロセッサ２６ａは、ＤＢ２８から修理代金及びアカウント情報を検索する。

【0044】

次に、サーバプロセッサ２６ａは、ステップ２００において、読み出された機密データのハッシュ値を計算する。この例では、サーバプロセッサ２６ａは、ハッシュ関数を用いて修理代金及びアカウント情報のハッシュ値を計算する。次に、サーバプロセッサ２６ａは、ステップ２１０において、読み出された機密データが改ざんされていないかどうかを検証する。より具体的には、サーバプロセッサ２６ａは、算出されたハッシュ値と、アクセスゲートウェイノード３０から受信した非改ざん証明データとを比較する。そして、算出されたハッシュ値が非改ざん証明データと一致する場合、サーバプロセッサ２６ａは、読み出された機密データが改ざんされていないものであることを認め（ステップ２１０：Ｙｅｓ）、処理がステップ２２０に進められる。逆に、計算されたハッシュ値が非改ざん証明データと一致しない場合、サーバプロセッサ２６ａは、取り出された機密データが改ざんされていると判断し（ステップ２１０：Ｎｏ）、データ提供プロセスは終了する。ステップ２２０において、サーバプロセッサ２６ａは、取り出した機密データをデータ利用者に送信する。本例においては、サーバプロセッサ２６ａは、データ利用者としての保険会社に修理代金及びアカウント情報を送信する。その後、データ提供処理は終了する。

【0045】

以上のように、本実施形態のシステム１０によれば、データ利用者は、要求されたデータを、機密データの非改ざん証明データとともに取得する。したがって、データ利用者は、取得した機密データのハッシュ値を算出し、算出したハッシュ値と非改ざん証明データを比較することにより、機密データが改ざんされているか否かを確認することができる。さらに、サーバ２６は、データ利用者に機密データを送信する前に、読み出された機密データが改ざんされていないことを確認する。このように、システム１０は、改ざんの危険性が極めて低い状態で、要求された機密データを提供することができる。

【0046】

アクセスゲートウェイノード３０は、ロケーションテーブル３４から機密データの保存場所を取得する。したがって、アクセスゲートウェイノード３０は、保存場所に基づいて、要求された機密データを格納している適切な事業体ＢＥを特定することができる。

【0047】

（実施形態の変形例）
上述した実施形態では、アクセスゲートウェイノード３０のみが、データ要求を受信及び処理する。しかし、事業体ＢＥのノード１６がアクセスゲートウェイノード３０と同様の機能を果たすようにしてもよい。この場合、アクセスゲートウェイノード３０は省略されてもよい。さらに、アクセスゲートウェイノード３０は、データソースからデータを受信し、受信したデータを適切な事業体ＢＥに配信するように構成されてもよい。

【0048】

上述の実施形態では、アクセスゲートウェイノード３０が非改ざん証明データを取得し、事業体ＢＥのノード１６に送信する。しかし、ノード１６は、機密データが改ざんされていないことを確認するために、データマネージャ３８を介して非改ざん証明データを直接取得してもよい。上述した実施形態では、複数の事業体ＢＥがシステム１０を構成している。しかし、単一の事業体がシステム１０を構成してもよい。

【0049】

上述した実施形態では、データ利用者は、１つ以上のデータカテゴリを指定してデータ要求を発行する。しかし、データ要求は、１つ以上のデータカテゴリを指定する代わりに、各データ項目を指定するものであってもよい。

【図1】

【図2】

【図3】

【図4】

【図5】