JP2004318391A

JP2004318391A - Information providing device, information providing system, and distributed database system

Info

Publication number: JP2004318391A
Application number: JP2003110281A
Authority: JP
Inventors: Tatsuo Kuraoka; 立郎倉岡; Yuichi Nagasawa; 勇一永澤; Kaoru Abe; 薫阿部; Hideyuki Myogahara; 秀幸茗原; Tetsuji Oga; 哲二大賀; Isao Mizukura; 功水庫; Yasunari Ide; 康就井手
Original assignee: Mitsubishi Electric Corp
Current assignee: Mitsubishi Electric Corp
Priority date: 2003-04-15
Filing date: 2003-04-15
Publication date: 2004-11-11
Anticipated expiration: 2023-04-15
Also published as: JP4429619B2

Abstract

<P>PROBLEM TO BE SOLVED: To provide distributed data system securing privacy of personal information by using anonymity and to use the personal information effectively by relating a plurality of pieces of personal information about the same person stored in a plurality of database systems one another. <P>SOLUTION: A search condition confirmation part 30 checks a search condition included in a received personal information transmission request and outputs a confirmed search condition including no condition, allowing specification of an individual. A personal information extraction part 30 extract the personal information from a personal information storage part 40 on the basis of the confirmed search condition. A data ID generation part 50 generates a data ID by using the personal information extracted by the personal information extraction part 30 to applies it to the extracted personal information. A search result determination part 60 determines whether the individual cannot be specified or not from the personal information with the attached data ID, and when it is determined that the individual cannot be specified, transmits the anonymous personal information with the attached data ID. <P>COPYRIGHT: (C)2005,JPO&NCIPI

Description

【０００１】
【発明の属する技術分野】
この発明は、分散型データベースシステムに関する。また、ネットワークを通じて情報を提供する情報提供装置に関する。例えば、個人情報を送信する分散型データベースシステムに関する。また、例えば、ネットワークを通じて個人情報を提供する情報提供装置に関する。
【０００２】
【従来の技術】
実社会では、組織ごとに、さまざまな個人情報を収集し、保有・管理している。これら個人情報の多くはプライバシーに関わる情報を含んでいる。したがって、情報を保有・管理する組織は、個人情報に対する守秘義務を負っている。そのため、個人情報を含まない情報さえも開示できない状況にある。しかしながら、個人情報は、組み合せて分析等を行うことで新たな意味や価値を持ち、経済効果、学術的進歩を生む可能性を有する。
しかし、実データの入手にともなう守秘義務は情報提供者と利用者間の信頼関係に負う部分が大きい。また、個人情報を保護する法により、個人情報の取り扱いに規制がなされ、各組織が蓄積した情報の開示が停滞することも生じ得る。そのため、個人情報の有効な活用がなされていない。
【０００３】
従来の技術（例えば、特許文献１）では、個人情報を有するデータ提供者（データプロバイダ）が信託機関に個人情報の一部である個人識別情報を送り、個人識別情報を受け取った信託機関が識別子を生成し、信託機関が生成した識別子をもとに個人情報を「非個人化された形式」（個人の身元を明らかにすることのない形式）で個人情報を利用する技術が開示されている。
しかし、データ提供者が第三者である信託機関に個人情報を送るとすれば、個人の匿名性（プライバシー）を確保できない可能性が高くなる。
また、第三者である信託機関を別途設立するとなれば、その維持、管理等の必要が生じる。
【０００４】
【特許文献１】
特開２０００−３２４０９４号公報
【特許文献２】
特開２００２−１７５４３２号公報
【特許文献３】
特開平５−６３６９６号公報
【特許文献４】
特開平１０−２５４８０７号公報
【０００５】
【発明が解決しようとする課題】
本発明は、個人情報に関してプライバシーを高度に確保して、個人情報の有効な利用を可能とする分散データベースシステムの提供を目的とする。
また、本発明は、複数のデータベースシステムに格納された個人の情報を関連付けることにより、個人情報の有効な利用を可能とするデータベースシステムの提供を目的とする。
また、本発明は、第三者の介在を必要とすることなく、個人情報を提供する情報提供者と、個人情報を利用する情報利用者との２者間における個人情報の有効な利用を可能とするデータベースシステムの提供を目的とする。
【０００６】
【課題を解決するための手段】
この発明に係る情報提供装置は、
ネットワークを介してアクセス装置と通信可能であり、アクセス装置からの要求に基づきアクセス装置に情報提供を行う情報提供装置において、
個人に関する個人情報を記憶する個人情報記憶部と、
前記アクセス装置から個人情報を検索する検索条件を含む個人情報送信要求を受信する受信部と、
前記受信部が受信した個人情報送信要求に含まれる検索条件を確認し、前記個人情報送信要求に含まれる検索条件の中に個人を特定可能な条件が含まれるときは前記個人を特定可能な条件を削除し前記個人を特定可能な条件を削除した検索条件を確認後検索条件として出力し、前記個人情報送信要求に含まれる検索条件の中に個人を特定可能な条件が含まれないときは前記個人情報送信要求に含まれる検索条件をそのまま確認後検索条件として出力する検索条件確認部と、
前記検索条件確認部の出力した確認後検索条件を入力し入力した確認後検索条件に基づいて前記個人情報記憶部を検索し個人情報を抽出する個人情報抽出部と、
前記個人情報抽出部の抽出した個人情報を用いて、前記抽出した個人情報を識別するためのデータＩＤを所定の規則により生成し、生成したデータＩＤを前記抽出した個人情報に付与するデータＩＤ生成部と、
前記個人情報抽出部が抽出しデータＩＤが付与された個人情報から個人の特定が可能か否かを所定の規則により判断し、個人の特定が不可能と判断したときは前記データＩＤが付与された個人情報を前記アクセス装置に送信する検索結果判断部とを備えたことを特徴とする。
【０００７】
【発明の実施の形態】
実施の形態１．
実施の形態１は、個人情報を格納しているデータベースシステムに対して、外部システムから個人情報の送信を要求するアクセスがあったときに、前記データベースシステムは、格納する個人情報をアノニマス化（匿名化）し、および、データＩＤを生成し、匿名化した個人情報に生成したデータＩＤを付与してアクセスしてきた外部システムに返信するシステムに関する。
【０００８】
実社会では、勤務している会社やかかりつけの病院、健康保険組合等が、さまざまな個人情報を「組織ごと」に収集し、保有・管理している。これら情報の多くはプライバシーに関わる個人情報を含んでいるため、情報を保有・管理する組織は個人情報に対する守秘義務を負っており、個人情報を含まない情報についても効果的に外部へ開示できない状況にある。しかしながら、各組織が保有する情報は、「組み合せ」て分析等を行うことにより新たな意味や価値を持ち、情報を保有・管理する組織が想定していなかった経済効果や学術的進歩を生む可能性を秘めている。
しかし、学術・研究的な分野では実世界のデータをサンプルデータとして匿名性を確保した形態で取り扱っているが、実データの入手にともなう守秘義務は情報提供者（個人・組織）と利用者間の信頼関係に負う部分が大きい。しかし、個人情報を保護する法により、個人情報の取り扱いに規制がなされ、各組織が蓄積した情報の開示が停滞することも生じ得る。
各組織が持つ情報の開示を促進するためには、プライバシーの確保を技術的に保証するプラットフォームを実現するとともに、このようなプラットフォームが社会的に認知されることが必要である。そうすることにより、新たなサービス事業の展開が期待でき、当該環境そのものが新たなサービスになりうる。
以下の実施の形態１は、プライバシーの確保を個人データに対する匿名性の保証ととらえ、プライバシーを確保しながら、複数のデータベースシステムに格納された個人の情報を関連付けるデータベースシステムを構築するためのものである。
【０００９】
以下に示す実施の形態１におけるシステムでは、「プライバシーの確保」と「複数データベースに格納されている個人情報の関連付け」の２つを同時に実現することを目的とする。
まず、「プライバシーの確保」について説明する。
以下に示す実施の形態１におけるシステムでは、プラットフォームが各データの匿名性を保証することによりプライバシーの確保を図る。データの匿名性は、「個人の特定」に繋がる情報を外部システムに引き渡す情報から削除することにより保証する。個人を特定する情報の削除は各データベースシステム側装置で実施し、基本ルールは予め用意するものの、どの情報を「個人の特定」に繋がると位置付けるか否かについては、各データベースシステム側装置にパラメータ設定できる機能を付与する。
大きくは下記３つの機能からなる。
第１に、データベースシステムへのデータ検索条件から「個人の特定」に繋がる検索条件を削除する機能である。
第２に、検索結果から「個人の特定」に繋がる情報を削除する機能である。
第３に、検索結果が少数（絶対数が少数、あるいは比率が少数）の場合に、データを返送しない機能である。
次に、「データの関連付け」について説明する。各データベースシステムに蓄積されているデータを有意に分析するためには、複数データベースに格納されているデータを関連付ける必要がある（例えば、データベースシステム１に格納されている個人Ａの情報と、データベースシステム２に格納されている個人Ａの情報を組み合せることを実施する必要がある）。ただし、複数データベースシステム間のデータ関連付けは、前述の「プライバシーの確保」と同時に実現する必要がある。
実施の形態１におけるシステムでは、関連付けるべきデータにそのデータを生み出した個人を特定する識別子（以下、データＩＤともいう。）を付与する。データＩＤは、「個人」を特定することが目的ではなく、同じ個人から発生した「データ」であることを特定することが目的である。よって、データＩＤから個人を特定できる情報が生成できる必要はなく、むしろ出来てはならない。
データＩＤの生成手段として、各データベースシステムが等しく保持している個人名、性別、生年月日、住所等から所定の規則にしたがって生成する手段を想定している。
【００１０】
実施の形態１におけるシステムの構成例を以下に説明する。
図１は、実施の形態１の対象となるシステムの構成例を示す。複数のデータベースシステム３１０、３２０、３３０と、これらデータベースシステムにアクセスするアクセス装置３４０がデータを相互にやり取り可能なネットワーク３５０上に接続されている。ここで、図１のデータベースシステム３１０、３２０、３３０は、組織が管理・運営するシステムそのもの、あるいはその一部であり、各組織にとってはデータベースシステム単体で情報、および、機能が充足している。例えばデータベースシステムは、データベースシステム３１０のように、アクセス端末３１１と、データベース３１３と、もう一つのデータベース３１４と、ネットワーク３１２とによりネットワークシステムを形成したデータベースシステムでもよい。各データベースシステム３１０、３２０、３３０には、その組織内において有用な情報が個人情報を含んだ形式で蓄積されている。従来は、このような各データベースシステムを有する複数の事業者間で個人情報を含むデータの連携を行うような活用は出来なかった。
ここで、各データベースシステム３１０、３２０、３３０とアクセス装置３４０が接続されるネットワーク３５０には想定される制約は特になく、専用回線、公衆回線、インターネットＷＡＮ／ＬＡＮ等が考えられる。さらに、それぞれのネットワーク３５０に対して有線／無線の形態が想定可能である。
【００１１】
図２は、実施の形態１におけるシステムの実装の概要を示す図である。図２において、各データベースシステム３１０、３２０、３３０に外部システムからのアクセス用インタフェース３６０を定義し、他システムに対して公開するとともに、当該アクセス用インタフェース３６０を介してのみ外部システムからのアクセスを許すものとする（後述するエージェント方式においても、エージェント４４０が当該アクセス用インタフェース３６０を利用する）。当該アクセス用インタフェース３６０は下記機能を有する。
第１に、プライバシーに関わる検索条件の排除機能を有する。
第２に、データＩＤ（匿名性を保持しながらデータ所有者を特定するＩＤ）の生成、および、付与機能を有する。
第３に、検索結果にプライバシーに関わる情報が含まれているかのチェック、および、該当データ項目削除機能（特異点の削除機能を含む）を有する。
第４に、アクセス装置３４０やアクセス者の認証機能（必要に応じて）を有する。
第５に、通信データの暗号化・復号化機能（検索条件の暗号化・復号化機能含む）を有する。例えば、通信データを公開鍵、秘密鍵等で暗号化し、公開鍵、秘密鍵等で復号する。
第６に、データＩＤから個人を特定可能な情報生成機能（データベースシステム側装置のみ搭載）を有する。以下に、これら第１から第６の機能について説明する。
【００１２】
まず、前記第１の機能について説明する。外部システムから個人情報を要求するアクセスがあった場合に、アクセス用インタフェース３６０は、氏名や生年月日、住所等、個人やその家族を特定可能な条件が、外部システムからの検索条件に含まれているかどうかを、データベースシステム３１０、３２０、３３０の側の装置にてチェックする。検索条件に個人やその家族を特定可能な条件が含まれていた場合、アクセス用インタフェース３６０は、その条件を削除、あるいは、緩やかな条件に変更する。どのような条件を削除し、どのような条件をどのような条件に変換するかについては、各データベースシステム３１０、３２０、３３０の側にて予め設定しておくものとする（各データベースシステム３１０、３２０、３３０の側にて規則を変更可）。
プライバシーに関わる検索条件の排除機能の例を以下として、次のようなものが挙げられる。
例えば、「名字が田中」と言う検索条件があれば当該条件を削除する。また、「住所が神戸市兵庫区○○町△△丁目□□番地」と言う検索条件があれば、当該条件を削除、あるいは、「神戸在住」等の予め定められた規則に従って、検索条件を変換する。
【００１３】
次に、アクセス用インタフェース３６０の第２の機能である、データＩＤ（匿名性を保持しながらデータ所有者を特定するＩＤ）の生成、および、付与機能について説明する。
アクセス用インタフェース３６０は、データの発生源である個人を特定するためのデータＩＤを所定の規則に従って生成し、該当するデータに付与する。データＩＤの生成手段については、前記の「データの関連付け」において説明したように、個人名、性別、生年月日、住所等から所定の規則にしたがって生成する。
【００１４】
次に、アクセス用インタフェース３６０の第３の機能である、検索結果からプライバシーに関わる情報が含まれているかのチェック機能と該当データ項目の削除機能について説明する。
検索結果には、検索キーとして使用された項目以外にも個人のプライバシーに関連する情報が含まれている可能性が高い。このため、アクセス用インタフェース３６０は、検索結果に個人を特定可能な情報項目が含まれているかをチェックし、該当する情報項目を各データベースシステム側装置にて検索結果から削除する。
さらに、検索結果が所定件数（あるいは、比率）以下である場合は、当該検索結果に対応する個人は特異点であり、個人の推測が可能となる場合のあることを考慮し、アクセス用インタフェース３６０は、当該検索結果を返答しない仕組みを備える。
どのような情報項目を対象とするか、どのような検索結果を特異点とするかについては、各データベースシステム側にて予め設定しておくものとする（各データベースシステム３１０、３２０、３３０の側にて変更可）。
【００１５】
次に、アクセス用インタフェース３６０の第４の機能である、アクセス装置３４０やアクセス者の認証機能について説明する。
認証機能により、データベースシステムへのアクセス者管理を適切に実施する。アクセス者管理の目的は、主に下記２点がある。
第１に、許可してないアクセス装置３４０、アクセス者の排除を行うことである。
第２に、アクセス者の権限管理を行うことである。
【００１６】
次に、アクセス用インタフェース３６０の第５の機能である、通信データの暗号化・復号化機能（検索条件の暗号化・復号化機能含む）について説明する。
アクセス用インタフェース３６０では、データの「盗聴」に対する防御を実現するために、データの匿名性を確保した上で他システムにデータを送付する場合は暗号化する。データの盗聴は、ネットワーク３５０を流れるデータ、アクセス装置３４０内に保存されているデータ、他データベースシステム３１０、３２０、３３０内に処理の関係上「一時」保存されるデータが対象となる。また、盗聴のみでなく、データの「改ざん」に対する防御についても考慮する。
当該暗号化の特徴としては、下記２点がある。
第１に、検索条件を暗号化し、検索対象のデータベースシステムでのみ検索条件を参照可能な仕組みを付与する。
第２に、データフィールド毎に暗号化キーを変更し、データを受信したアクセス装置３４０においても操作者の権限にしたがって参照可能な情報を制御できる仕組みを付与する。
【００１７】
次に、アクセス用インタフェース３６０の第６の機能であるデータＩＤから個人を特定可能な情報を生成する機能（データベースシステム側装置のみ搭載）について説明する。
各データベースシステム３１０、３２０、３３０では、コンサルティング会社等から分析結果としてデータＩＤを渡される状況が想定できる。この際にデータベースシステム３１０、３２０、３３０側では、データＩＤから個人を特定したい場合があり、当該機能が必要となる。本実施の形態１は、データＩＤから個人を特定する情報に変換できないと想定する。よって、所定規則にしたがって、全データからデータＩＤを生成し、逐次比較するなどの手段を用いることが考えられる。
ただし、当該機能はアクセス装置３４０上に搭載してはならず、データ検索を行うためのアクセス装置３４０の備えるアクセス用インタフェース３６１と、当該機能が共存できない仕組みを埋め込む。
【００１８】
図３は、実施の形態１に係る情報提供装置１００の構成を示す。実施の形態１における各データベースシステム３１０、３２０、３３０等は、情報提供装置１００を備える。各データベースシステム３１０、３２０、３３０等は、情報提供装置１００の機能により、前記アクセス用インタフェース３６０の機能を実現することができる。
情報提供装置１００は、受信部１０と、検索条件確認部２０と、個人情報抽出部３０と、個人情報記憶部４０と、データＩＤ生成部５０と、検索結果判断部６０と、規則記憶部７０と、課金部８０とを備える。
さらに、受信部１０は認証部１１と復号部１２とを備える。データＩＤ生成部５０は対比ＩＤ生成部５１を備える。検索結果判断部６０は暗号作成部６１と送信部６２とを備える。
【００１９】
図４は、アクセス装置３４０から情報提供装置１００が個人情報の送信要求を受けた場合のフローを示す図である。以下、図４を用いて、図２におけるデータベースシステム３１０、３２０等が個人情報の送信要求を受けた場合の情報提供装置１００の動作について説明する。例えば、データベースシステム３１０の備える情報提供装置１００が個人情報の送信要求を受信した場合を想定する。
Ｓ１０において、情報提供装置１００の受信部１０が、アクセス装置３４０からの個人情報の送信要求（個人情報送信要求）を受信する。アクセス装置３４０は、個人情報の送信要求に個人情報を検索するための複数の検索条件を含めることができる。そして、含めた検索条件のそれぞれを異なる暗号化手段で暗号化して送信することができる。暗号化の手段としては、検索条件ごとに異なるアルゴリズムを用いることや、異なる暗号鍵を用いる。
Ｓ２０において、認証部１１は個人情報の送信要求の認証を行う。認証した場合はＳ３０に進む。
Ｓ３０において、データ受信の処理を開始する。受信したデータ（個人情報送信要求）が署名、暗号化されている場合は、復号部１２は公開鍵、秘密鍵等を用いて受信データの復号を行う。
Ｓ４０において、認証部１１は、外部システムからのアクセスかどうかを確認する。外部システムからのアクセスのときは、Ｓ５０に進む。
Ｓ５０において、検索条件確認部２０は、プライバシーに関わる検索条件の有無を確認する。すなわち、個人情報の送信要求に含まれる個人情報の検索条件の中に、個人を特定可能な検索条件があるかどうかを確認する。個人を特定可能な検索条件がある場合は、検索条件確認部２０は、その検索条件を削除する。この場合、特定できない条件に変更する場合も削除に含むものとする。いかなる検索条件を削除するかという規則は、予め規則記憶部７０に記憶されているものとする。プライバシーに関わる削除するべき検索条件がない場合、あるいは検索条件確認部２０が検索条件のうちプライバシーに関わる条件を削除した場合は、Ｓ６０に進む。
Ｓ６０において、個人情報抽出部３０は個人情報記憶部４０を参照して検索条件にしたがって個人情報を抽出する。
Ｓ７０において、検索結果判断部６０は、検索結果に対して個人ＩＤ（データＩＤ）が生成されているかを確認し、生成されていなければデータＩＤを生成する（Ｓ８０）。そして、抽出された個人情報に個人ＩＤ（データＩＤ）を付与する（Ｓ９０）。さらに、検索結果判断部６０は、抽出された個人情報の中にプライバシーに関わる情報が含まれていないかどうか（個人を特定可能な情報が含まれていないかどうか）を確認する（Ｓ１００）。データＩＤは、データＩＤ生成部５０が、個人情報抽出部３０の抽出した個人情報に基づいて生成する。データＩＤを作成する規則は、規則記憶部７０が記憶しており、データＩＤ生成部５０は当該規則を参照するものとする。また、検索結果判断部６０がプライバシーに関わる情報を確認するに際して、いかなる情報が該当するかということも予め規則記憶部７０が記憶しているものとする。検索結果判断部６０は、抽出された個人情報から個人の特定が不可能であると判断したときは、前記データＩＤを付して個人情報をアクセス装置３４０に送信する。このとき、暗号作成部６１は、必要があれば、送信する個人情報を暗号化する（Ｓ１１０）。送信するべき匿名化された個人情報が複数のデータ項目より形成されている場合、検索結果判断部６０の暗号作成部６１は、データ項目ごとに異なる暗号手段を用いて、データ項目のそれぞれを暗号化することが可能である。異なる暗号化の手段としては、異なるアルゴリズムを用いることや、データ項目ごとに異なる暗号鍵を用いて暗号化することが考えられる。
また、検索結果判断部６０は、抽出された個人情報から個人の特定が可能であると判断したときは、個人の特定が可能なデータを削除してアクセス装置３４０へ送信する。あるいは、個人の特定が可能なデータが存在する場合は、アクセス装置３４０へ送信を行わないものとする。いかなる処理を行うかは、予め規則として規則記憶部７０に記憶しておくことができる。
Ｓ１１０において個人情報をアクセス装置３４０に送信すると、Ｓ１２０で処理が終了する。
【００２０】
前記ではアクセス装置３４０と一つのデータベースシステムとが通信する場合を説明した。以下では、図２において、アクセス装置３４０がデータベースシステム３１０、３２０、３００の複数とやりとりした場合における、前記データベースシステム３１０、３２０、３３０から受けとった複数の各個人情報の関連付けについて説明する。
各データベースシステム３１０、３２０、３３０は、情報提供装置１００を備ている。そして、各データベースシステム３１０、３２０、３３０に備えられた情報提供装置１００のデータＩＤ生成部５０は、同一の生成規則によりデータＩＤを生成する。各データベースシステム３１０、３２０、３３０は、同一の生成規則により生成されたデータＩＤを匿名化した個人情報に付して、アクセス装置３４０に送信する。アクセス装置３４０は、各データベースシステム３１０、３２０、３３０から送信された個人情報について、付与されているデータＩＤにより、同じ個人から発生した個人情報であることを知ることができる。このように、各データベースシステム３１０、３２０、３３０において同一の生成規則により生成されたデータＩＤによって、アクセス装置３４０は、複数の個人情報の関連付けをすることが可能となる。
ここで、同一の生成規則により生成されるデータＩＤは、それぞれが同一であってもよいし、また、同じ個人から発生した個人情報であることがわかるものであれば、同一でなくとも構わない。
なお、図３の情報提供装置１００の対比ＩＤ生成部は、アクセス装置３４０からデータＩＤが送信された場合は、個人情報記憶部４０の記憶する個人情報を用いて対比ＩＤを生成する。「対比ＩＤ」とは、前記アクセス装置３４０から送信されたデータＩＤと対比するために生成されるＩＤである。データＩＤと対比ＩＤとは同じ規則で生成されるので、データＩＤと対比ＩＤとを対比すれば、アクセス装置３４０より送信されたデータＩＤから個人を特定することができる。通常データＩＤと対比ＩＤは同一であるが、データＩＤと対比ＩＤとが同一人に係ることがわかるものであれば、同一でなくとも構わない。
また、情報提供装置１００は、課金部８０を備えている。例えば、課金部８０は、アクセス装置３４０からの検索履歴を保存し、アクセス回数、検索結果のデータ量等からアクセス側に対して課金の処理を行う。
【００２１】
次に、データ（個人情報）を収集する場合のデータ収集方式について説明する。
システム実装時における各データベースシステム３１０、３２０、３３０からのデータ収集方式について述べる。
システムの実装概要を示す図２において、各データベースシステム３１０、３２０、３３０からアクセス装置３４０がデータを収集する代表的な方式として下記２方式が考えられる。
第１に、データベースシステム３１０、３２０等とアクセス装置３４０が１対１で収集する方式である。
第２に、エージェント方式（収集対象の情報を指示するとエージェントが各データベースシステムを周って、情報を集めアクセス装置３４０に帰ってくる）が考えられる。なお、エージェントについては、実施の形態４で詳述する。
エージェント方式を採用した場合、各データベースシステム３１０、３２０、３３０において検索結果を得た時点で、当該データベースシステム３１０、３２０、３３０に対する検索条件を破棄する等の処理により、前段のデータベースシステムで得られた検索結果が、どのような検索条件で抽出されたかを伝達しないようにしてセキュリティ度を向上する処理を行うことも可能である。
【００２２】
図２に示したシステムは、次のような事業への適用が考えられる。
例えば、環境提供サービスである。匿名性を保証するプラットフォームの運用、販売、リース、保守等のサービスを提供する。
また、介入サービスである。医療機関、健康保険組合、個人が所属する会社等を接続し、健康保険組合、個人等の特定集団に対して健康に関するアドバイスを実施するサービスを提供する。
また、介入サービス評価である。複数の介入サービスを適用した集団単位や個人単位でその介入サービスの適用効果を評価するサービスを提供する。
【００２３】
図５は、図２に示す実装概要を、前記に述べたサービス事業のうち、介入サービスに適用した具体例を示すものである。
前記適用例のうち、図５を用いて、より具体的に、ある集団の健康に対する介入サービス、および、介入サービスに対するコンサルティングサービスを例に説明する。
図５において、健康保険組合は、コンサルティング会社に「どのような個人に（誰にではない）」、「どのような介入サービス」を実施すればよいかを分析・調査するよう依頼する。その分析・調査のために、健康保険組合データベースシステム３７０の保有する情報（レセプト情報（診療報酬情報）等）と会社の人事データベースシステム３８０の保有する情報（勤怠情報等）と産業医データベースシステム３９０の保有する情報（身長、体重、血圧等の健診情報、疾病履歴、問診情報等）をコンサルティング会社（アクセス装置３４０）に開示する。
当該例の登場者は、コンサルティング会社、介入サービス委託の主体者である健康保険組合、情報の提供者である会社（人事）、産業医である。
当該システムを適用することにより、特定集団に対して、医療費と勤務時間と肥満の関係等を調査することが可能となるとともに、問診結果の情報とも比較することにより生活習慣病や成人病の予備軍を洗い出す等の分析が期待できる。
実施の形態１は、このようなシステムの構築に有効である。実施の形態１を適用することにより、コンサルティング会社ではデータの所有者個人を特定できないことは当然であるが、あるデータベースシステムの保有する情報が他のデータベースシステムにおいて参照できない仕組みを構築することができる（例えば、健康保険組合データベースシステム３７０のレセプト情報が人事データベースシステム３８０や産業医データベースシステム３９０から参照できない）。さらに、組織全体の傾向等を分析するために、各組織が保有する情報を「発生源」である個人を軸に関連付けることが可能となる。
【００２４】
以下に、前記介入サービスに適用した場合の処理の過程を説明する。
各データベースシステム３７０、３８０、３９０、および、コンサルティング会社にあるアクセス装置３４０に実施の形態１のシステムを適用する。例えば、コンサルティング会社（アクセス装置３４０）から人事データベースシステム３８０に対して、図６に示すような、「東京都在住の３０歳以上の三菱さん（人の氏）で、取得休暇日数が１０日以下の人」という検索要求が発行された場合を仮定する。アクセス装置３４０から各データベースシステム３７０、３８０、３９０への（検索条件を含む）検索依頼送信時に依頼情報も暗号化することが想定される。
認証やアクセス経路に問題が無ければ（図４におけるＳ１０〜Ｓ４０）、プライバシーに関わる検索条件の削除を行う（Ｓ５０）。氏名を特定することはプライバシーの侵害にあたるため、実施の形態１の適用により検索条件は、図７に示すように、「東京都在住の３０歳以上の社員で、休暇を１０日以上取得した人」と変更され、当該検索条件を用いて人事データベースシステム３８０を検索（Ｓ６０）することとなる。プライバシーに関わる検索条件の排除が発生した場合の要求依頼者への通知は、当該検索結果返送時、あるいは、別途手段により行うものとする。また、プライバシーに関わる検索条件には、氏名、誕生日、住所、電話番号は当然当てはまると考えられるが、特別疾病、賞罰等も当該範疇であると考えている。どのような情報をプライバシーに関わる情報ととらえるかは、データを提供する各データベースシステム側で設定（変更）可能とする。
その結果、図８のような情報が検索されたとする。
次にデータＩＤを生成（Ｓ８０，Ｓ９０）し、各データに付与する。図９に、データＩＤを付与した場合を示す。データＩＤは数字（１０進、１６進等には依存しない）であっても、アルファベット等の文字であっても、数字、文字の組み合せであってもかまわない。データＩＤの生成手段については、前記の「データの関連付け」で述べた手段等が考えられる。
次に、検索結果に対して、プライバシーに関わる情報を削除する（Ｓ１００）。図１０に、プライバシーに関わる情報を削除した場合を示す。ここで、前述した通りどのような情報をプライバシーに関わる情報ととらえるかは、データを提供する各データベースシステム側で設定（変更）可能とするとするが、当該指定のない情報は検索依頼者へ返送される。
図１０に示す情報をコンサルティング会社（アクセス装置３４０）に対して人事データベースシステム３８０が検索結果として返送する（Ｓ１１０）こととなる。ここで、アクセス装置３４０では、データＩＤである「Ｄａｓｆ１０４」から「三菱太郎」という名前は生成できない。ただし、「三菱太郎」の情報が他データベースシステム（例えば、産業医データベースシステム３９０）から検索結果として返される場合は、データＩＤとして「Ｄａｓｆ１０４」が付与されて返されるため、異なるデータベースシステムに格納されている同一個人から発生したデータを関連づけることが可能となる。この際、コンサルティング会社（アクセス装置３４０）から人事データベースシステム３８０等のデータベースシステム側にデータを返送した場合、権限のないデータ項目は内容を見ることが出来ないようにすることもできる。データは各フィールド単位で暗号化可能であり、例えば、人事データベースシステムでは、返送データに疾病情報が入っていても観る権限がないので、復号化できない。
データの返送時には、データの暗号化を行う。ここでいう暗号化は、ネットワーク３５０を介してデータの授受を行うために第三者がデータの参照を行うことを排除するためにデータ全体に施す暗号化と、アクセス装置３４０と操作者のそれぞれに許可（あるいは、その組み合せにより許可）された情報のみを参照可能とする暗号化を想定する。例えば、当該例では、人事データベースシステム３８０では、暗号化を性別、所得休暇数、職級等の項目ごとに施し、コンサルティング会社（アクセス装置３４０）に返送する。
例えば、人事データベースシステム３８０からのデータが故意の有無に関わらず、健康保険組合データベースシステム３７０に送付された場合でも暗号キーが異なるために健康保険組合の端末からはデータの参照ができない。さらに、コンサルティング会社にあるアクセス装置３４０へ適切に返送された場合でもログイン者の権限に従って参照可能なデータ項目を制限する仕組みを加える。
各データベースシステム３７０、３８０、３９０上では、データＩＤから個人を特定することが可能である。
当該例では、各データベースシステム３７０、３８０、３９０の内容からコンサルティング会社が介入サービス委託の主体である健康保険組合に対して、生活習慣病の予備軍となる組合員を指定し、その改善案を提示する等の手順が想定できる。しかし、コンサルティング会社が健康保険組合に提示可能な情報はあくまでデータＩＤであり、個人を特定するものではない。ここで、データＩＤを提示された健康保険組合は、保持する各個人のデータから対比ＩＤを生成し（図３の対比ＩＤ生成部５１が生成する）、コンサルティング会社から提示されたデータＩＤと対比ＩＤとを比較する等により、コンサルティング会社から提示されたデータＩＤから個人を特定することが可能である。例えば、コンサルティング会社は、「Ｄａｓｆ１０４」のデータＩＤを持つ個人が生活習慣病の予備軍であると健康保険組合に通知するとともに、その改善対策案を提示する。コンサルティング会社では「三菱太郎」ではなく、「Ｄａｓｆ１０４」である。しかし、健康保険組合において「Ｄａｓｆ１０４」では誰に介入サービスを実施すればよいか不明である。そこで、自らのデータベースシステム３７０を検索し、対比ＩＤを生成し、コンサルティング会社からのデータＩＤと生成した対比ＩＤとを対比して、「Ｄａｓｆ１０４」が「三菱太郎」であると特定する。これにより、「三菱太郎」に対して介入サービスを実施すればよいことを把握する。必要に応じて、健康保険組合は、介入サービスを提供するサービス提供業者に対して業務の委託を行い、サービス提供業者を介して健康保険組合に所属する個人に介入サービスを実施する場合もある。
ただし、コンサルティング会社は、データ参照する組織と守秘契約等を結び、守秘義務を負うことにより、他データベースシステム（例えば、人事データベースシステム３８０）から入手したデータを健康保険組合へは開示できないものとする。さらに、他データベースシステムの内容に関連する検索条件についても開示してはならない（後述するエージェントにより各データベースシステムからデータを取出す場合、検索条件を暗号化することは勿論であるが、あるデータベースシステムで使用した検索条件はそのデータベースシステムにおいて破棄し、他データベースシステムへは検索結果のみを送付するような実装手段を用いる）。コンサルティング会社は、何故「三菱太郎」が生活習慣病の予備軍であると推測されたかについては、「三菱太郎」に関する他データベースシステムの登録情報が推測できるため検索条件を健康保険組合へ開示してはならない。
【００２５】
図１１は、以上に述べた、実施の形態１におけるシステムの機能を示す図である。
実施の形態１の適用により、複数のデータベースシステム３１０、３２０、３３０とアクセス装置３４０との間において、匿名性を確保しながら、複数データベースシステム間の検索結果の関連付けを行うシステムの構築が容易である。また、各データベースシステムでは、コンサルティング会社等のアクセス装置３４０から指定されたデータＩＤに対応する個人の特定も可能となる（なお、個人が特定できるのは、各データベースシステム内においてのみである）。
【００２６】
本実施の形態１によれば、匿名化により匿名性を保証（個人のプライバシーを確保）して個人情報の有効活用を図ることができる。また、各データベースシステムに存在する同一人の個人情報に関して互いに関連付けるとともに、アノニマス化（匿名化）により匿名性を保証するので、個人情報を有効に活用することができる。
【００２７】
本実施の形態１に係る情報提供装置１００は、個人を特定可能なデータ項目を削除するので、個人情報の利用において匿名性を保証することができる。また、個人を特定可能なデータ項目を削除した検索条件で個人情報を抽出するので、匿名性を保証したうえで個人情報の利用を図ることができる。
【００２８】
本実施の形態１に係る情報提供装置１００は、個人を特定可能なデータ項目の内容を削除するので、個人情報の利用において匿名性を保証することができる。また、個人を特定可能なデータ項目の内容以外は利用されるので、個人情報の利用を図ることができる。
【００２９】
本実施の形態１に係る情報提供装置１００は、個人情報のデータ項目の内容が個人を特定可能と判断したときは、当該個人情報を送信しないので、個人情報について匿名性を保証することができる。
【００３０】
本実施の形態１に係る情報提供装置１００は、抽出した個人情報が所定の数以下のときは送信しないので、いわゆる特異点に該当する者が特定されることを防止することができ、匿名化を保証することができる。
【００３１】
本実施の形態１に係る情報提供装置１００は、抽出した所定の集団に属する個人情報に関する人数の比率が所定の値のときは当該個人情報を送信しないので、所定の集団に属するいわゆる特異点に該当する者が特定されることを防止することができ、匿名化を保証することができる。
【００３２】
本実施の形態１に係る情報提供装置１００は、対比ＩＤ生成部５１を備えたので、アクセス装置３４０から送信されたデータＩＤに相当する個人を特定することができるので、個人情報を用いた分析結果を有効に活用することができる。
【００３３】
本実施の形態１に係る情報提供装置１００は、課金部８０を備えたので、匿名化個人情報を用いた新たなサービス、新たなビジネスを展開することができる。
【００３４】
本実施の形態１は、各データベースシステムが同一の生成規則によりデータＩＤを生成することにより、同一人について異なるデータベースシステムに存在する個人情報を関連付けることができるので、個人情報の利用価値を高めることができる。
【００３５】
本実施の形態１は、各データベースシステムの外部に出力あるいは送信される個人情報は匿名化されているので、匿名化を保証することができる。また、データベースシステム外部へ送信される匿名化された個人情報は、複数のデータ項目からなるときはデータ項目ごとに暗号化できるので、個人情報の匿名性を高めることができる。
【００３６】
本実施の形態１は、信託機関のごとき第三者の介在を必要とすることなく、個人情報を提供する情報提供者（個人・組織）と、個人情報を利用する情報利用者（アクセス装置３４０）との２者間における匿名化された個人情報のやりとりを可能とすることができる。
【００３７】
本実施の形態１では、アクセス装置３４０が検索条件ごとに暗号化し、検索対象のデータベースシステムのみが復号することができるため、匿名化した個人情報の匿名性の確保を高めることができる。
【００３８】
実施の形態２．
実施の形態２は、データベースシステムにおいて、予めアノニマス化（匿名化）処理を行い、アノニマス化したデータを格納していく方式を示す（後述の実現案１）。
すなわち、予め匿名化した個人情報を格納しているので、アクセス装置３４０からのアクセスに迅速に応答することが可能である。また、匿名化した個人情報を予め格納しているため、アクセス装置３４０へ定期的に、あるいは不定期的に匿名化した個人情報を送信することが可能である。
【００３９】
図１２は、実施の形態２が想定するシステム構成概要を示す。複数のデータベースシステム３１０、３２０、３３０とこれらデータベースシステム３１０、３２０、３３０にアクセスするアクセス装置３４０がデータを相互にやり取り可能なネットワーク３５０上に接続されている。各データベースシステムとアクセス装置３４０が接続されるネットワーク３５０には想定される制約は特になく、専用回線、公衆回線、インターネットＷＡＮ／ＬＡＮ等が考えられる。さらに、それぞれに対して有線／無線の形態が想定できる。ここで、図１２中ではアクセス装置３４０と各データベースシステム３１０、３２０、３３０を別装置として記述しているが、いずれかのデータベースシステムを構成する装置がアクセス装置３４０であってもかまわない。
【００４０】
図１３は、実施の形態２における実現案１を示す図である。図１３は、アクセス装置３４０と、データベースシステム４００とがネットワークを介して接続されている。
実現案１は、データベースシステム４００において予めアノニマス化処理を行い、アノニマス化したデータを格納していく方式を示すものである。
データベースシステム４００において、アクセス装置３４０からのアクセス用データベースを用意し、当該データベースにアノニマス化したデータを適宜格納する実現案である。
ここで、各データをアノニマス化する方式については、特に制限はない。
異なるデータベースシステムにおいて、同じ基準を持つデータから同じデータＩＤを生成できる生成方式であれば、データＩＤの生成方式は、特に制限はない。
内部システム向けデータベースと外部システムからのアクセス用データベースが、同一装置内にあるか否か、同一データベース内にあるか否かについては特に制限はない（実際には、当該実装案を選択する場合、セキュリティの観点から内部システム向けと外部システムからのアクセス用データベースは別装置、別データベースとすることが望ましい。）。
外部システムであるアクセス装置３４０からのアクセス用データベースの更新タイミングは、内部システム向けデータベースの更新時処理や定時処理等が想定できるが、特に制限はない。
図１３におけるアクセス装置３４０やアクセス者の認証機能の有無や実現方式については、特に制限はない。
図１３におけるアクセス装置３４０とデータベースシステム４００、あるいはデータベースシステム間（データベースシステム４００が複数あるような場合）の通信において、検索依頼情報、および、検索条件や検索結果等に対する暗号化・復号化処理の有無、および、暗号化の方式については、特に制限はない。
【００４１】
図１４は、本実施の形態２に係る前記実現案１に使用する情報提供装置２００の構成を示すブロック図である。
図１３に示した実施の形態２におけるデータベースシステム４００は、この情報提供装置２００を備える。データベースシステム４００は、情報提供装置２００の機能により、匿名化した個人情報を図１３のアクセス装置３４０に送ることができる。
データベースシステム４００は、図１４に示す情報提供装置２００を構成している。情報提供装置２００は装置であってもよいし、また、データベースシステム４００のようにネットワークの形態であっても構わない。
【００４２】
情報提供装置２００は、個人情報記憶部１１０と、匿名化処理部１２０と、匿名化個人情報記憶部１３０と、受信部１４０と、送信部１５０とを備えている。さらに匿名化処理部１２０はデータＩＤ生成部１２１を備えている。
【００４３】
以下、情報提供装置２００の動作について説明する。
情報提供装置２００は、、予め匿名化個人情報記憶部１３０に匿名化した個人情報を適宜格納する構成である。
そして、情報提供装置２００は、アクセス装置３４０から個人情報の送信要求があったときには、すでに匿名化し匿名化個人情報記憶部１３０に格納している匿名化した個人情報をアクセス装置３４０に送信する。また、アクセス装置３４０からの送信要求にかかわらず、アクセス装置３４０に定期的、あるいは不定期的に匿名化した個人情報を送信できる。
個人情報記憶部１１０は匿名化していない個人情報（未アノニマス化データ）を格納している。匿名化処理部１２０は、個人情報記憶部１１０の記憶している未アノニマス化データを用いて匿名化を施した匿名化個人情報を生成する。匿名化個人情報記憶部１３０は、匿名化処理部１２０の生成した匿名化個人情報を記憶し格納する。そして、情報提供装置２００は、例えば、受信部１４０がアクセス装置３４０からの個人情報の送信要求を受けた場合には、匿名化個人情報記憶部１３０の格納する匿名化個人情報を送信部１５０を介してアクセス装置３４０に送信する。
また、匿名化処理部１２０のデータＩＤ生成部１２１は、個人情報を匿名化するときに個人情報を識別するデータＩＤを生成して匿名化個人情報に生成したデータＩＤを付与する。図１２の複数のデータベースシステム３１０、３２０、３３０のそれぞれがデータＩＤ生成部１２１を備え、それぞれのデータＩＤ生成部１２１は、同一の生成規則にしたがってデータＩＤを生成する。これは実施の形態１における情報提供装置１００のデータＩＤ生成部５０の機能と同様である。
【００４４】
図１５は、実施の形態２における別の例である関連付け分散データベースシステム５００を示す図である。図１５の関連付け分散データベースシステム５００は、第１プライベートデータベース装置６００と、第２プライベートデータベース装置７００と、データベースアクセス装置８００とを備える。なお、関連付け分散データベースシステム５００は、図１２において、前記の第１プライベートデータベース装置６００はデータベースシステム３１０に相当し、第２プライベートデータベース装置７００はデータベースシステム３２０に相当し、データベースアクセス装置８００はアクセス装置３４０に相当すると見ることができる。
【００４５】
第１プライベートデータベース装置６００は、第１識別子を生成する第１識別子生成部６１０と、第１組み合わせデータ作成部６２０と、第１記憶部６３０とを備える。そし第１組み合わせデータ作成部６２０は第１組み合わせデータ６２１を作成する。
第１記憶部６３０は第１プライベートデータ６３１を記憶する。第１プライベートデータ６３１は第１個人識別情報と第１個人データ情報からなる。
第２プライベートデータベース装置７００は、第１プライベートデータベース装置６００と同様の構成であり、第２プライベートデータ７３１の処理をおこなう。
データベースアクセス装置８００は、識別子照合部８１０と、関連データ記憶部８２０とを備える。関連データ記憶部８２０は関連記憶情報８２１を記憶する。
【００４６】
次に、関連付け分散データベースシステム５００の動作について説明する。
第１プライベートデータベース装置６００の動作をまず説明する。
第１記憶部６３０は、第１個人識別情報と第１個人データ情報とを第１のプライベートデータとして記憶している。ここで、個人識別情報とは、特定の個人を識別できる情報、あるいは特定の個人を識別できる可能性の大きい情報をいう。特定の個人を識別できる情報としては、保険証番号、運転免許免許番号や住民票コードがある。特定の個人を識別できる可能性の大きい情報としては、氏名（同姓同名も存在するので）や住所がある。
また、個人データ情報とは、例えば健康診断を受けた結果をデータベースに記憶し保存してある場合は、体重や血圧等が考えられる。その他、学歴や病歴、歯の治療歴等さまざまなものがある（個人識別、あるいは、識別可能性のある情報は除く）。
第１識別子生成部６１０は、第１の個人識別情報から所定の規則に基づいて個人を識別することができない第１識別子を生成する。ここで識別子とは前述したデータＩＤがその一例である。
第１組み合わせデータ作成部６２０は、第１識別子生成部６１０の生成した第１識別子と、第１記憶部６３０の記憶する第１個人データ情報とを組み合わせて、第１組み合わせデータ６２１として出力する。第１組み合わせデータ作成部６２０は、第１組み合わせデータ６２１を出力する場合に、第１の個人データ情報を暗号化して出力しても構わない。また、第１の個人データ情報が複数のデータ項目で形成されている場合は、データ項目ごとに異なる暗号化手段で暗号化しても構わない。データ項目ごとの異なる暗号化の手段としては、異なるアルゴリズムを用いることや、データ項目ごとに異なる暗号鍵を用いて暗号化する。以上のことは、後述する第２組み合わせデータ作成部７２０が、第２組み合わせデータ７２１を出力する場合も同様である。
第２プライベートデータベース装置７００も、同様に動作するが、その特徴点を説明する。
第２記憶部７３０は、第２個人識別情報と第２個人データ情報を記憶する。ここに、第２個人識別情報は第１個人識別情報と同じ内容である。一方、第２個人データ情報は第１個人データ情報とは異なる内容である。例えば、第１個人データ情報は、会社の人事における勤怠情報であり、第２個人データ情報が産業医における健康診断情報のような場合である。
第２識別子生成部７１０は、第２個人識別情報を用いて第１識別子生成部６１０と同じ規則に基づいて第２識別子を生成する。
第２組み合わせデータ作成部７２０は、第２識別子生成部７１０が生成した第２識別子と、第２記憶部７３０が記憶する第２個人データ情報とを組み合わせて、第２組み合わせデータ７２１を作成して出力する。
データベースアクセス装置８００は、前記第１プライベートデータベース装置６００が出力した第１組み合わせデータ６２１を入力し、また、第２プライベートデータベース装置７００が出力した第２組み合わせデータ７２１を入力する。
識別子照合部８１０は、第１組み合わせデータ６２１の第１識別子と第２組み合わせデータ７２１の第２識別子とが一致するかどうかを参照する。そして、一致した第１組み合わせデータ６２１の第１個人データ情報と第２組み合わせデータ７２１の第２個人データ情報とを関連付ける。
関連データ記憶部８２０は、識別子照合部８１０が関連付けたデータを記憶する。
【００４７】
前記実現案１とは別の例として、実現案２を示す。
図１６に、実施の形態２に係る実現案２を示す。実現案２は、前記「外部システムからアクセスがあったときに匿名化した個人情報を返信する方式」と「予めアノニマス化処理を行い、アノニマス化したデータを格納しておく方式」とを兼ね備える実現案である。これは、実施の形態１と、実施の形態２の実現案１とを混合させたシステムである。図１６（ａ）にその関係を示す。
「外部システムからアクセスがあったときに匿名化した個人情報を返信する方式」は、図１６（ｂ）のアクセス用インタフェース３６０及びデータベースシステム４１６で実現する。また、「予めアノニマス化処理を行いアノニマス化したデータを格納しておく方式」は、図１６（ｂ）のアノニマス化データベースシステム４１５により実現する。アノニマス化データベースシステム４１５は図１３のデータベースシステム４００と同様である。
【００４８】
以上、実施の形態２における実現案１では、予め匿名化した個人情報を格納しているので、アクセス装置３４０からのアクセスに迅速に応答することが可能である。また、予め匿名化した個人情報を格納しているので、アクセスの有無と関係なくアクセス装置３４０へ定期的に、あるいは不定期的に匿名化した個人情報を送信することができる。
【００４９】
実施の形態２にかかる情報提供装置２００は、データＩＤ生成部によりデータＩＤを生成し、匿名化した個人情報に生成したデータＩＤを付与するので、当該データＩＤをもとに匿名化した個人情報を利用することができる。
【００５０】
実施の形態２に係る関連付け分散データベースシステム５００は、同一人についての異なる内容の個人情報に関して匿名性を保証した上で前記異なる内容の個人情報を関連付けすることができるので、個人情報の利用価値を高めることができる。
【００５１】
実施の形態２に係る関連付け分散データベースシステム５００は、個人データ情報が複数のデータ項目で形成されている場合に、第１組み合わせデータ作成部６２０と第２組み合わせデータ作成部７２０とは、それぞれ出力する第１の個人データ情報と第２の個人情報データとのそれぞれのデータ項目を異なる暗号化手段で暗号化するので、個人情報の匿名性を確保した上で、異なるデータベースシステムの保有するそれぞれの個人情報を関連付けて有効に活用することができる。
【００５２】
実施の形態３．
実施の形態３は、実施の形態１及び実施の形態２で示したシステムについて、利便性を向上させるため、検索装置（管理装置の一例）を備えた構成である。すなわち、実施の形態３は実施の形態１及び実施の形態２に対して、新たな機能を付加した構成であるので、前記実施の形態２の実現案２に続き、実現案３として説明を続ける。
【００５３】
以下に実施の形態３に係る実現案３について説明する。
図１７は、実施の形態３に係る分散データシステムの実現案３を示す。なお、図１７は、実現案４及び実現案５をも示す図である。まず、図１７を用いて実現案３を説明する。
図１７は、どのデータベースシステムに、検索者が必要とする情報が格納されているかを示す「種別情報」を管理する検索装置４２０（管理装置の一例）を備えている。ここで、「種別情報」とは、例えば、データベースシステム３１０の有する個人情報は個人の医療費に関するものであり、データベースシステム３２０の有する個人情報は会社の人事管理における勤怠情報に関するものであるという情報を意味する。
アクセス者（アクセス装置３４０）は、いずれのデータベースシステム内にどのようなデータが格納されているかを示す前記の種別情報をすべて把握することは困難である。このような問題に対処するために、いずれのデータベースシステムに検索者の必要な情報が格納されているかを管理する検索装置４２０（管理装置の一例）を当該分散データベースシステム内に設置する。アクセス装置３４０が検索したい情報（データ）を検索装置４２０に指定すれば、いずれのデータベースシステムに検索したい情報が格納されているかを当該検索装置４２０がアクセス装置３４０に返す。ここで、検索装置４２０が検索対象データがいずれのデータベースシステムに格納されているかを管理する手段として、アドレス帳のような検索（したい）内容とそのデータを格納しているデータベースシステムの対応表を管理することにより実現することができる。
ここで、システム内に複数個の検索装置４２０を設置してもかまわないものとする。
【００５４】
次に別の例として、実現案４について説明する。
実現案３では、検索装置４２０が前記の対応表を有する場合は、対応表のメンテナンスが困難になることが想定される。そこで、実現案４では、このような問題に対応するため、図１７に示すシステムにおいて、アクセス装置３４０から検索装置４２０にデータベースシステム３１０、３２０、３３０の検索依頼があった際に、検索装置４２０は各データベースシステムに対して検索対象のデータ有無を問い合わせ、その結果をアクセス装置３４０に返す。
【００５５】
次に別の例として、実現案５について説明する。
実現案４では、アクセス装置３４０から検索装置４２０にデータベースシステム３１０、３２０、３３０への検索依頼が発行された時点で、検索装置４２０が各データベースシステム３１０、３２０、３３０へ問い合わせを行うため、検索装置４２０によるデータベースシステムの検索処理に時間を要することが想定される。
このため、図１７において、実現案５では、データベースシステム３１０、３２０、３３０の検索依頼がアクセス装置３４０より発行された場合、まず、検索装置４２０は、検索装置４２０内に備える内部テーブルを参照し、「検索したい内容とそのデータを格納しているデータベースシステムの対応」が内部テーブルに登録されていれば登録内容をアクセス装置３４０に返す。内部テーブルに登録されていない場合、検索装置４２０は各データベースシステム３１０、３２０、３３０へ問い合わせを行い、問い合わせ結果をアクセス装置３４０へ返すとともに、検索装置４２０の有する内部テーブルを更新する。前記手順により、データベースシステム３１０、３２０、３３０の検索処理を高速化するとともに、検索装置４２０の有する内部テーブルのメンテナンス作業を効率化する。
【００５６】
次に別の例として、実現案６について説明する。
実現案６（図示しない）は、対象システムが実現案２（実施の形態１と実現案１との混在（図１６（ａ）））の形態である場合、対象となるデータベースシステム３１０、３２０、３３０がどのようなインタフェース（特定のＡＰＩ（ＡｐｐｌｉｃａｔｉｏｎＰｒｏｇｒａｍＩｎｔｅｒｆａｃｅ）を使用してアクセスするか、ＳＱＬ（ＳｔｒｕｃｔｕｒｅｄＱｕｅｒｙＬａｎｇｕａｇｅ）等汎用なＡＰＩを使用してアクセスするか等）を公開しているかをアクセス装置３４０側が意識するシステムである。アクセス装置３４０の当該負荷を軽減することを目的に、実現案６は、実現案３〜実現案５に対してデータベースシステム３１０、３２０、３３０のインタフェース情報の管理機能を付加する。
【００５７】
次に別の例として、実現案７について説明する。
図１８に実現案７を示す。実現案７は、実現案３〜実現案６の検索装置４２０にデータ検索機能を付加し、ポータル装置４３０（管理装置の一例）として位置付ける。すなわち、ポータル装置４３０は、データ検索機能を備えるとともに、データベースシステム３１０、３２０、３３０がどのような種別の個人情報を有しているかの種別情報を備えている。
アクセス装置３４０は、ポータル装置４３０に検索依頼（第１の個人情報送信要求の一例）を送信する。前記検索依頼を受けたポータル装置４３０は、自己の有する種別情報と、アクセス装置３４０から受信した検索依頼（第１の個人情報送信要求の一例）とに基づき、所定のデータベースシステムに検索依頼（第２の個人情報送信要求の一例）を送信する。図１８では、ポータル装置４３０は、所定のデータベースシステムとしてデータベースシステム３１０に検索依頼を送信している。これは、ポータル装置４３０の有する種別情報によれば、該当する情報をデータベースシステム３１０が所有していることが判明したからである。データベースシステム３１０では、例えば、図３の情報提供装置１００を備えている。情報提供装置１００は、ポータル装置４３０からの検索依頼（第２の個人情報送信要求）を受信する。情報提供装置１００は、検索依頼に応答して、個人情報記憶部４０に記憶する個人情報を抽出する。データＩＤ生成部５０は、データＩＤを生成して抽出した個人情報に付与する。そして、送信部６２は、匿名化個人情報を前記ポータル装置４３０に送信する。前記ポータル装置４３０は分散データベースシステム内に複数個設置してもかまわない。
以上のように、ポータル装置４３０はアクセス装置３４０から受信した検索依頼に対して、対象データを格納しているデータベースシステム３１０、３２０、３３０を検索するとともに、対象データの検索を行い、データベースシステム３１０、３２０、３３０から検索結果の返信を受けアクセス装置３４０に検索結果を返送する。
以上のように、ポータル装置４３０は、データ検索機能を備えるとともに、種別情報を記憶したので、どのデータベースシステムにいかなる個人情報が保有されているかを迅速に知ることができるので、効率的に個人情報を収集することができる。
【００５８】
次に別の例として、実現案８について説明する。
実現案８（図示しない）は、実現案７において、１度に複数個のデータベースシステム３１０、３２０、３３０に問い合わせが必要となるデータの検索依頼が行われた場合、検索結果に対してデータＩＤによるマージ処理をポータル装置４３０内の処理として付与することを特徴とするアノニマスな分散データベースシステムである。
【００５９】
実施の形態３では、検索装置４２０（管理装置の一例）を備えたので、アクセス装置３４０からデータベースシステムへの個人情報の検索を効率化することができる。
【００６０】
実施の形態４．
実施の形態４は、実施の形態１〜実施の形態３に関して、利便性を向上させるため、各データベースシステム３１０、３２０、３３０を自立的に巡回するエージェント機能を付加した形態である。したがって、実施の形態１〜実施の形態３に付加的機能を追加したものであるため、前記の実施の形態３の実現案８に続き、実現案９として説明を続ける。
【００６１】
以下に、実施の形態４における実現案９について説明する。
図１９は、実施の形態４に係る実現案９の分散データベースシステムを示している。以下では、実施の形態４として実現案９〜実現案１３を説明するが、実現案９〜実現案１３の分散データベースシステムは、アノニマスなデータに対する検索を自立的に巡回するエージェント４４０により実現することを特徴とする。エージェント４４０が異常（対象データベースシステム３１０、３２０、３３０への経路異常や対象データベースダウン等）を検出した場合の処理については、特に制限はない。
エージェント４４０による検索処理が所定時間を超過した場合の処理については、特に制限はない。
【００６２】
次に、実施の形態４の別の例として実現案１０について説明する。
図２０は、実施の形態４における別の例である実現案１０を示す。
前記の実現案９では、エージェント４４０は（最悪）全データベースシステムを巡回する必要がある。このような問題を解決するため、図２０では、いずれのデータベースシステムに検索者の必要な情報が格納されているかを管理（前記「種別情報」を管理している）する機能、および、当該機能を利用してエージェント４４０の巡回経路計画の立案機能を付与したポータル装置４３０を当該システム内に設置する。
ここで、アクセス装置３４０とポータル装置４３０間の通信はエージェント４４０であるか否かは、特に制限はない。
【００６３】
次に別の例として、実現案１１について説明する。
実現案１１（図示しない）は、前記の実現案１０に対して、検索対象のデータとデータベースシステム３１０、３２０、３３０のみから経路計画を立案するのではなく、対象データベースシステム３１０、３２０、３３０への経路異常やデータベースダウン等の検索時のシステム状態（異常）を加味した巡回経路立案機能をポータル装置４３０に付与することを特徴とするアノニマスな分散データベースシステムである。ただし、構成制御情報の検出・更新機能の手段について、特に制限はない。
【００６４】
次に別の例として、実現案１２について説明する。
実現案１２（図示しない）は、実現案１０、および、実現案１１に対して、１度に複数個のデータベースシステム３１０、３２０、３３０に問い合わせが必要となるデータの検索依頼が行われた場合、検索結果に対してデータＩＤによるマージ処理をエージェント４４０が行うことを特徴とするアノニマスな分散データベースシステムである。
【００６５】
次に別の例として、実現案１３について説明する。
実現案１３（図示しない）は、実現案１０、あるいは、実現案１１の機能をエージェント４４０に持たせることを特徴とするアノニマスな分散データベースシステムである。
【００６６】
本実施の形態４においては、以上のようにエージェント方式を採用するので、アクセス装置３４０から個人情報を検索する効率を高めることができる。
【００６７】
以上、実施の形態１〜実施の形態４において種々機能を述べたが、「アノニマス（匿名化）・データベースシステムを構築するにあたり、実現が必要になると思われる機能、および、実現することにより便利になる機能、効率化につながる機能」について、以下にまとめ、実施の形態１〜実施の形態４において実現可能な機能として列挙する。
【００６８】
１．アノニマス・データの管理手段
各データベースシステム３１０、３２０、３３０が多段階の匿名化レベルを意識してデータを管理・制御することを特徴とするアノニマスな分散データベースシステムである。例えば、図１４における匿名化処理部１２０は、下記の規則に基づいて、個人情報記憶部１１０に記憶する個人情報を、レベルに分けて匿名化し、匿名化個人情報記憶部１３０に記憶して管理する。なお、下記の場合「匿名化」には、匿名化しない場合も含む。
すなわち、アクセス装置３４０やアクセス者の権限、および、使用目的等から匿名化レベルを制御する。ここで、データベースシステム３１０、３２０、３３０が同じ匿名化のレベルで個人情報を管理する必要はない。例えば、下記３つの匿名化の管理レベルが考えられる。
レベル１として、各データベースシステム３１０、３２０、３３０内で使用するデータであり、匿名化処理は施されていない。
レベル２として、外部システムにて処理されることを前提とすれば匿名化済みデータであるが、内部システムにおいてはデータＩＤから個人の特定が可能なデータである。
レベル３として、外部システムで処理されることを前提に匿名化を施したデータである。この匿名化したデータは、内部システムにおいても個人を特定することはできないデータである（例えば、統計処理を行うためのデータとして使用すること等を想定している。）。なお、例として匿名化のレベルを、レベル１〜レベル３に分けたが、これに限ることなく、匿名化のレベルは自由に設定できるものである。
前記のように、個人情報を匿名化のレベルに分けることにより、匿名性の確保を図るとともに、個人情報の利用性を高めることができる。
【００６９】
２．匿名性確保の確認
複数のアクセス装置３４０がある場合には、すべてのアクセス装置３４０、あるいは、アクセス者からの検索履歴（検索条件と検索結果）を保存し、アクセス履歴をルールベースにてチェックすることにより、当該システムの匿名性が確保されているかを確認することを特徴とするアノニマスな分散データベースシステムである。
ここで、検索履歴の保存期間やアクセス履歴のチェック期間（定期・不定期）について、特に制限はない。
【００７０】
３．課金システム
複数のアクセス装置３４０、あるいは、アクセス者からの検索履歴（検索条件と検索結果）を保存し、各データベースシステム３１０、３２０、３３０へのアクセス回数、あるいは、検索結果のデータ量からアクセス側の課金計算を行うことを特徴とするアノニマスな分散データベースシステムである。
同様に、検索履歴を情報提供者（個人・組織）（各データベースシステム３１０、３２０、３３０）への情報提供料の計算にも用いる。
【００７１】
４．セキュリティ
当該システムを構成する各機器は認証機能を有するとともに、ネットワーク３５０上を流れるデータを暗号化することを特徴とするアノニマスな分散データベースシステムである。例えば、通信データを公開鍵、秘密鍵等で暗号化し、公開鍵、秘密鍵等で復号する。
【００７２】
５．匿名性確保のための機能１
データの検索条件から「個人の特定」につながる検索条件を排除する機能を付与することを特徴とするアノニマスな分散データベースシステムである。どのような条件を排除するかを定義したルールベースをアクセス装置３４０のアクセス用インタフェース３６１やポータル装置４３０内、データベースシステム３１０、３２０、３３０内の機能として配置する。
【００７３】
６．匿名性確保のための機能２
各データベースシステム３１０、３２０、３３０から返送されるデータに対して、データ項目ごとに異なるキー、あるいは、異なる暗号化手段を用いて暗号化し、当該データに対するアクセス装置３４０やアクセス者の権限、データの利用目的にしたがって、参照可能なデータ項目を制御する仕組みを付与することを特徴とするアノニマスな分散データベースシステムである。例えば、異なるアルゴリズムや、異なる暗号鍵である。
当該機能の実現には、システム内にアクセス装置３４０、および、アクセス者に対する認証機能が必要となる。
【００７４】
７．匿名性確保のための機能３
各データベースシステム３１０、３２０、３３０に固有のキーを与え、アクセス装置３４０からデータベースシステム３１０、３２０、３３０へ送付する検索依頼情報（検索条件等）（個人情報送信要求の一例）を暗号化することにより、検索対象のデータベースシステム３１０、３２０、３３０でのみ暗号化した検索条件を前記の固有キーを用いて復号化できる仕組みを付与することを特徴とするアノニマスな分散データベースシステムである。検索条件が複数ある場合は、それぞれの条件を異なる暗号化手法で暗号化する。例えば、異なるアルゴリズムや、異なる暗号鍵である。なお、暗号化する場合は、前記のように検索条件ごとに暗号化してもよいし、また、データベースシステムごとに異なる暗号化としても構わない。
暗号化・復号化に使用する技術については、特に制限はない。
【００７５】
８．匿名性確保のための機能４
エージェント方式にてデータの収集を行う場合に、データ検索結果（個人情報）と引き換えにデータ検索条件をエージェント４４０内に保持する情報から削除する仕組みを付与することを特徴とするアノニマスな分散データベースシステムである。図１９を用いて説明する。図１９において、アクセス装置３４０は、個人情報を検索する複数の検索依頼（検索条件の一例）を設定する。そして、アクセス装置３４０は、データベースシステム３１０、３２０、３３０（複数の情報提供装置の一例）を巡回し個人情報を収集するエージェント４４０を生成し、生成したエージェント４４０に前記複数の検索依頼を付与してエージェント４４０を出力する。そして、アクセス装置３４０は、出力したエージェントにデータベースシステム３１０、３２０、３３０のいずれかから個人情報を収集させる。エージェント４４０がデータベースシステムから個人情報を収集したときは、エージェント４４０は、当該データベースシステムの個人情報の収集に用いた検索条件を消去する。
以上により、エージェント４４０に個人情報を収集させることで効率的に個人情報を収集することができる。また、ポータル装置４３０は、個人情報を収集した場合にエージェント４４０に当該個人情報を収集した検索条件を消去させるので、エージェント４４０は検索結果と当該検索結果に使用した検索条件とを同時に所有することはないので、エージェント４４０に個人情報を収集させる場合でも、匿名性を確保することができる。
【００７６】
９．匿名性確保のための機能５
検索結果のデータ数を判定し、所定数以下、あるいは、所定数に満たない場合は、匿名性が保証できない可能性があるため、検索結果を返送しないことを特徴とするアノニマスな分散データベースシステムである。
所定数は、各データベースシステム３１０、３２０、３３０において設定する。
【００７７】
１０．匿名性確保のための機能６
検索結果のデータ比率を判定し、所定比率以下、あるいは、所定比率に満たない場合は、匿名性が保証できない可能性があるため、検索結果を返送しないことを特徴とするアノニマスな分散データベースシステムである。
ここで、比率のベースとなる母集団の設定や所定比率は、各データベースシステム３１０、３２０、３３０において設定することができる。
【００７８】
１１．匿名性確保のための機能７
前記の「９．匿名性確保のための機能５」、および、「１０．匿名性確保のための機能６」を同時にデータベースシステム３１０、３２０、３３０に付与することを特徴とするアノニマスな分散データベースシステムである。
【００７９】
１２．匿名性確保のための機能８
前記の、「９．匿名性確保のための機能５」〜「１１．匿名性確保のための機能７」の機能を持つデータベースシステム３１０、３２０、３３０が混在することを特徴とするアノニマスな分散データベースシステムである。
【００８０】
１３．匿名性確保のための機能９
検索結果の所定データ項目にあらかじめ定めた特定データが含まれる場合は、匿名性が保証できない可能性があるため、検索結果そのものを返送しないことを特徴とするアノニマスな分散データベースシステムである。例えば、病歴のデータ項目として「白血病」が含まれる場合には返送しない等が想定できる。
ここで、どのようなデータ項目にどのようなデータが含まれていた場合に排除するかは各データベースシステム３１０、３２０、３３０において設定する。
【００８１】
１４．匿名性確保のための機能１０
検索結果の所定データ項目にあらかじめ定めた特定データが含まれる場合は、匿名性が保証できない可能性があるため、検索結果から該当するデータを削除した上で匿名化データを返送することを特徴とするアノニマスな分散データベースシステムである。
ここで、どのようなデータ項目にどのようなデータが含まれていた場合に排除するかは各データベースシステム３１０、３２０、３３０において設定する。
【００８２】
１５．匿名性確保のための機能１１
図１８を用いて説明する。本機能は、実現案７で説明したポータル装置４３０の機能についての付加的機能である。本機能は、図１８において、ポータル装置４３０がデータベースシステム３１０、３２０、３３０それぞれから送られてきた検索結果（匿名化された個人情報）に対して、それぞれの検索結果について匿名性が確保できているかどうかを判断する機能である。
具体的には、図１８のポータル装置４３０（管理装置の一例）は、前記の「９．匿名性確保のための機能５」〜「１４．匿名性確保のための機能１０」の各機能を備えている。ポータル装置４３０は、データベースシステム３１０、３２０、３３０等から検索結果（匿名化された個人情報）を受信した場合に、前記の各機能を用いて、それぞれのデータベースシステム３１０、３２０、３３０から受信したそれぞれの検索結果について、匿名性が保証できるかどうかを所定の基準に基づいて判断する。ポータル装置４３０は、匿名性が保証できると判断した場合に、検索結果をアクセス装置３４０へ送信する。以上を特徴とするアノニマスな分散データベースシステムである。以上の機能により、ポータル装置４３０が複数のデータベースシステム３１０、３２０、３３０等からの複数の検索結果（匿名化個人情報）を受信した場合に、それぞれのデータベースシステムからの個人情報の匿名性を確保することができる。
なお、以上説明したポータル装置４３０の機能である「データベースシステム３１０、３２０、３３０それぞれから送られてきた検索結果（匿名化された個人情報）に対して、それぞれの検索結果について匿名性が確保できているかどうかを判断する」ことは、前記に説明した実現案９〜実現案１３のエージェント４４０に持たせることも可能である。すなわち、エージェント４４０は、データベースシステム３１０、３２０、３３０等から検索結果（匿名化された個人情報）を収集した場合に、前記の「９．匿名性確保のための機能５」〜「１４．匿名性確保のための機能１０」の各機能を用いて、それぞれのデータベースシステム３１０、３２０、３３０から収集したそれぞれの検索結果について、匿名性が保証できるかどうかを所定の基準に基づいて判断する。エージェント４４０は、匿名性が保証できると判断した場合に、検索結果をアクセス装置３４０へ送信する。
【００８３】
１６．匿名性確保のための機能１２
図１８を用いて説明する。本機能は、前記の「１５．匿名性確保のための機能１１」と同様に、実現案７におけるポータル装置４３０の付加的機能である。図１８において、ポータル装置４３０は、複数のデータベースシステム３１０、３２０、３３０からの検索結果（匿名化された個人情報）を関連付け、関連付けた結果なお匿名性が確保できるかどうかチェックする。これは、例えば、データベースシステム３１０のみの検索結果であれば匿名性が確保できるが、データベースシステム３１０とデータベースシステム３２０との検索結果という複数の検索結果を関連付けると匿名性が確保できなくなる場合のあることを想定した機能である。
匿名性が確保できない場合には、ポータル装置４３０は検索結果をアクセス装置３４０に返送しないことを特徴とするアノニマスな分散データベースシステムである。どのような検索結果、あるいはデータ項目の組み合せを匿名性が確保できないとするかについては、自由に設定できるものとする。
以上の機能により、複数のデータベースシステムからの検索結果（匿名化個人情報）の匿名性を確保しつつ個人情報を互いに関連付けて、個人情報を効率的に利用することができる。
なお、以上説明したポータル装置４３０の機能である「複数のデータベースシステム３１０、３２０、３３０からの検索結果（匿名化された個人情報）を関連付け、関連付けた結果なお匿名性が確保できるかどうかチェックする」ことは、前記に説明した実現案９〜実現案１３のエージェント４４０に持たせることも可能である。
【００８４】
１７．匿名性確保のための機能１３
本機能も、図１８に示した実現案７におけるポータル装置４３０の付加的機能である。前記の「１６．匿名性確保のための機能１２」は、ポータル装置４３０が各データベースシステム３１０、３２０、３３０から得たそれぞれの検索結果を関連付けてチェックするものであった。この「１７．匿名性確保のための機能１３」は、ポータル装置４３０が、データベースシステム３１０等から時間を前後して得た検索結果を関連付けて匿名性の確保をチェックする機能である。すなわち、ポータル装置４３０（管理装置の一例）は、データベースシステム３１０等から過去に受信した検索結果（匿名化個人情報）を履歴として記憶している。そして、履歴としていない新たな検索結果をデータベースシステム３１０等から受信した場合、履歴としていない検索結果を履歴と関連付ける。そして、関連付けることによっても新たに受信した検索結果の匿名性が確保できると判断した場合に、ポータル装置４３０は、検索依頼（第１の個人情報送信要求）を受けたアクセス装置に新たに受信した検索結果（匿名化個人情報）を送信する。例えば、前記の「１６．匿名性確保のための機能１２」で述べたように、データベースシステム３１０、３２０、３３０の検索結果を関連付けることにより匿名性が確保できない場合が想定できるのと同様に、データベースシステム３１０のみの検索結果であっても過去の検索結果（検索履歴）と関連付けることにより、匿名性が確保できない場合も想定できるからである。
以上により、ポータル装置４３０は過去に受信した検索結果を履歴として記憶し新しく受信した検索結果と関連付けて匿名性が確保できるかどうか判断するので、過去の検索履歴をも含めて匿名性を確保することができる。
【００８５】
１８．データＩＤの生成手段１
データＩＤは、データ発生源等のある基準でデータを特定するためのＩＤであり、複数データベースシステム３１０、３２０、３３０から検索されたデータを関連付けるためのキーとなる。したがって、データＩＤから個人が特定可能な情報が生成できてはならない。ここで、各データベースシステム３１０、３２０、３３０が等しく保持している情報（個人名、性別、生年月日、住所等）を所定規則にしたがって変換し、データＩＤを生成することを特徴とするアノニマスな分散データベースシステムである。
【００８６】
１９．データＩＤの生成手段２
データＩＤの変換対象項目（および、その１項目）、あるいは、データの変換キー（および、その１項目）として、何らかの時刻情報（データ検索依頼時刻を想定している。特有情報の一例）を含むことを特徴とするアノニマスな分散データベースシステムである。
【００８７】
２０．データＩＤの生成手段３
データＩＤの変換対象項目（および、その１項目）、あるいは、データの変換キー（および、その１項目）として、データの検索依頼端末（アクセス送信者ＩＤの一例）、あるいは、検索依頼者のＩＤ（アクセス送信者ＩＤの一例）が含まれることを特徴とするアノニマスな分散データベースシステムである。
【００８８】
２１．データＩＤの生成手段４
前記データＩＤの生成手段２、および、前記データＩＤの生成手段３を組み合せたデータＩＤの生成手段を特徴とするアノニマスな分散データベースシステムである。
【００８９】
２２．データＩＤの生成手段５
１つのシステム内に複数のデータＩＤの生成手段が存在することを特徴とするアノニマスな分散データベースシステムである。
物理的に１つの分散型データベースシステムであるが、複数個の論理的なサブシステムとして扱う等により実現する。
【００９０】
２３．個人情報の他目的利用の許諾有無が混在する場合の処理手段１
個人情報の他目的利用に関する許諾を必須とし、許諾のない個人情報はすべて（匿名化している場合でも）返送しないことを特徴とするアノニマスな分散データベースシステムである。ここで「他目的利用」とは、当初予定した利用とは異なる、他の目的に利用する場合を意味する。例えば、集団の医療費の推移をみるために利用しようと予定していた個人情報を、個人の保健指導という他の目的に利用するような場合である。
【００９１】
２４．個人情報の他目的利用の許諾有無が混在する場合の処理手段２
個人情報の他目的利用に関する許諾の有無により、アクセス装置３４０へ返送する匿名化レベル（「１．アノニマス・データの管理手段」における匿名化レベル）を制御することを特徴とするアノニマスな分散データベースシステムである。例えば、図１４における情報提供装置２００の個人情報記憶部１１０は、個人情報の利用について利用許諾を受けている個人情報と利用許諾を受けていない個人情報との双方の個人情報を記憶している。匿名化処理部１２０は、利用許諾の有無により、所定のレベルの匿名化処理を行なう。利用許諾を受けているものであれば、前記の「１．アノニマス・データの管理手段」における、レベル２のような匿名化処理を行なう。あるいは、何の制限もなく自由に利用してよい旨の利用許諾を受けている個人情報であれば、前記の「１．アノニマス・データの管理手段」のレベル１のように、匿名化処理を施すことなくアクセス装置３４０に送信しても構わない。一方、利用許諾を受けていない場合は匿名化のレベルを高め、例えば、前記の「１．アノニマス・データの管理手段」におけるレベル３のように、統計情報としてのみ利用する。この点、許諾のない個人情報は返送しないとする、前記の「２３．個人情報の他目的利用の許諾有無が混在する場合の処理手段１」とは異なる。
以上のように、個人情報の利用許諾の有無により匿名化処理のレベルを変えることにより、個人情報の匿名性を確保した上で、個人情報の幅広い有効活用をすることができる。
【００９２】
２５．データＩＤから個人の特定を行う手段
各データベースシステム３１０、３２０、３３０において、データＩＤから個人を特定する仕組みを有することを特徴とするアノニマスな分散データベースシステムである。
データＩＤの生成処理をデータベースシステムに格納しているデータに対し、与えられたデータＩＤと等しいデータＩＤ生成できるデータを検索する手段により個人を特定する。
【００９３】
２６．許可者以外がデータＩＤから個人を特定できないための手段１
データＩＤから個人を特定する機能をデータ検索機能と同一機器に設置できないことを特徴とするアノニマスな分散データベースシステム（前記の「２５．データＩＤから個人の特定を行う手段」の拡張機能）である。
【００９４】
２７．許可者以外がデータＩＤから個人を特定できないための手段２
検索依頼時刻（特有情報の一例）や、検索依頼者を識別する識別子（特有情報の一例）等、各データベースシステム３１０、３２０、３３０には存在しない項目を用いてデータＩＤを生成する手段を選択するとともに、これらデータＩＤ生成時に必須となるデータ項目を暗号化してデータベースシステムへ送信することを特徴とするアノニマスな分散データベースシステムである。アクセス装置３４０側のみが有する特有の情報、例えば、「検索依頼時刻」、あるいは「検索依頼者を識別する識別子」などを加えることにより、所定のデータベースシステム、あるいは、データベースシステムにおける所定の操作者以外は、データＩＤから個人の特定をできないようにする。
すなわち、各データベースシステム３１０、３２０、３３０等において、データＩＤの生成に用いる個人情報のデータ項目としては、個人名、性別、生年月日、住所等があるが、さらにこれらの個人情報のデータ項目に加えて、検索依頼時刻のようなアクセス装置３４０のみが有する情報をデータＩＤ生成のデータ項目として追加する。
具体的な適用について、実施の形態１において述べた「介入サービスへの適用における処理の過程」を例にとり、説明する。以下では、図３と図５とを用い、データＩＤ生成と対比ＩＤ生成を中心に説明する。
（１）図５において、健康保険組合は、コンサルティング会社（アクセス装置３４０）に、どのような個人に、どのような健康促進のための介入サービスを実施すれば良いかの分析、調査を依頼する。コンサルティング会社は、この依頼に基づき、健康保険組合データベースシステム３７０に、例えばレセプト情報のような個人情報の個人情報送信要求を送信する。この個人情報送信要求には、個人情報を検索する検索条件と送信時の検索依頼時刻（特有情報の一例）が含まれている。
（２）健康保険組合データベースシステム３７０の情報提供装置１００（図３）は、前記個人情報送信要求を受信すると個人情報を抽出し、データＩＤ生成部５０がデータＩＤを生成する。このデータＩＤ生成部５０によるデータＩＤ生成において、アクセス装置３４０から受信した検索依頼時刻（特有情報の一例）はデータＩＤ生成の必須のデータ項目である。情報提供装置１００は、個人情報（図５ではレセプト情報）にデータＩＤを付与してアクセス装置３４０へ送信する。送信した個人情報のうちには、「三菱太郎」をデータＩＤ化した「Ｄａｓｆ１０４」のレセプト情報が含まれている。
（３）アクセス装置３４０は、健康保険組合データベースシステム３７０から収集した匿名化したレセプト情報と関連付けて分析、調査するため人事データベースシステム３８０へ勤怠情報の検索依頼を送信する。人事データベースシステム３８０は、この検索依頼に応答して、匿名化した勤怠情報をアクセス装置３４０へ送信する。人事データベースシステム３８０が送信した匿名化した勤怠情報の中には、「Ｄａｓｆ１０４」の勤怠情報が存在する。
（４）アクセス装置３４０は、健康保険組合データベースシステム３７０のレセプト情報と、人事データベースシステム３８０の勤怠情報とを分析する。そして生活習慣病予備軍として、「Ｄａｓｆ１０４」を決定する。アクセス装置３４０は、この分析結果を分析情報として保有する。そして、コンサルティング会社（アクセス装置３４０）は、健康保険組合からの分析、調査依頼に回答するべく分析情報（アクセス装置情報の一例）を健康保険組合データベースシステム３７０へ送信する。この分析情報には、以前にアクセス装置３４０から健康保険組合データベースシステム３７０への検索依頼時に送信した検索依頼時刻を含める。
（５）健康保険組合データベースシステム３７０の情報提供装置１００においては、アクセス装置３４０から受信した「Ｄａｓｆ１０４」が、いかなる個人であるかを特定するため、対比ＩＤ生成部５１が個人情報記憶部４０の記憶する個人情報と、分析情報（アクセス装置情報の一例）に含まれる検索依頼時刻とを用いて、「Ｄａｓｆ１０４」と対比して個人を特定するための対比ＩＤを生成する。この場合、分析情報に含まれる検索依頼時刻は、対比ＩＤを生成するための必須のデータであり、検索依頼時刻がなければ対比ＩＤを生成することはできない。例えば、「三菱太郎」の個人情報と検索依頼時刻とにより対比ＩＤが「Ｄａｓｆ１０４」と求められることで、介入の必要のある個人が、「三菱太郎」であることが判明する。
以上のように、本手段により、所定のデータベースシステムまたは所定の操作者以外はデータＩＤから個人の特定はできないようにして、個人情報の匿名性を確保することができる。
【００９５】
２８．許可者以外がデータＩＤから個人を特定できないための手段３
許可者以外がデータＩＤから個人を特定できないための前記の「２６．許可者以外がデータＩＤから個人を特定できないための手段１」と「２７．許可者以外がデータＩＤから個人を特定できないための手段２」とを組み合せた手段であることを特徴とするアノニマスな分散データベースシステムである。
【００９６】
２９．許可者以外がデータＩＤから個人を特定できないための手段４
アクセス装置３４０からの検索依頼以外でデータＩＤの生成を実施する場合、個人情報の他目的利用を許諾していない個人の情報はデータＩＤ生成ができないことを特徴とするアノニマスな分散データベースシステムである。
【００９７】
実施の形態５．
図２１〜図２５を用いて実施の形態５を説明する。実施の形態５では、実施の形態１〜実施の形態４に説明したシステムを具体的な事業におけるシステムに適用した、５つの適用例について説明する。
【００９８】
実施の形態１〜実施の形態４の適用例として、まずサンプルデータ提供システムについて以下に説明する。図２１は、サンプルデータ提供システムの概要を示す図である。
図２１は、情報収集者４５４が蓄積した実社会の個人情報を、匿名化した上で研究機関やコンサルティング会社等の情報利用者４５３へ提供するモデルである。サンプルデータ提供システムには、情報利用者４５３、情報収集者４５４、情報提供者４５５（使用許諾者）（個人・組織）、企業４５２、システム運営（構築）者４５１の５者が登場する。
情報利用者４５３は、研究等を進めるにあたり実社会のデータを欲する個人や組織を想定する。情報利用者４５３は、図２１に示すように、情報を入手する対価として、情報収集者４５４へ情報提供料、および、システム運営（構築）者４５１へシステム使用料を支払う。それぞれの費用として、従量制、定額制が考えられる。
情報収集者４５４は、本来、各自の業務を進めるためだけに個人の情報を収集、蓄積している。これら蓄積した情報に実施の形態１〜実施の形態４を適用することにより匿名化を保証し、他組織へ匿名化した個人情報を提供することが可能となる。情報収集者４５４は情報を提供する対価として、情報利用者４５３から情報提供料を受領することができる。ここで、情報提供料の算出手段として、提供データの情報量やアクセス者から検索された回数等による従量制と当該システムへの接続そのものに対しての定額制が考えられる。また、間接的なメリットとして、情報利用者４５３との関係強化や情報利用者４５３への情報提供そのものを商業的な宣伝に利用できる等が考えられる。
情報提供者４５５（使用許諾者）である個人、および、個人が所属する組織が何らかの社会活動を行うことにより、情報収集者４５４により個人情報が蓄積される。本例の場合は、実施の形態１〜実施の形態４の適用により個人情報の匿名化を保証するため、データの目的使用に関する個人の承諾は不要となると考える。また、サンプルデータ提供システムでは、情報提供者４５５（使用許諾者）（個人・組織）への明示的なリターンはない。
サンプルデータ提供システムにおける企業４５２は、情報利用者４５３に関連する機器やサービス等を提供する営利団体を想定している。検索画面や検索結果表示画面、メール等に企業広告を載せることにより、拡販の機会を提供する。企業４５２はその対価として広告料を支払う。情報収集者４５４、情報提供者４５５に対しても同様の広告を行ってもよい。
システム運営（構築）者４５１は、当該プラットフォームを前記４者へ提供する。その対価としてシステム使用料を徴収する。また、企業４５２に対して拡販の機会を提供することにより、広告料を徴収する。また、情報提供料を情報利用者４５３から徴収し、情報収集者４５４へ分配する。交付金、補助金、委託金等の公的な資金を利用して当該プラットフォームを構築することも想定する。
【００９９】
以上、サンプルデータ提供システムの適用例では、個人情報の保護については、実施の形態１〜実施の形態４の適用により解決可能である。
また、課金機能の構築については、課金ルールを作る。それに必要な場合は、ポータル装置４３０で各データベースシステム３１０等へのアクセス回数をカウントする仕組みを構築したり、また、ポータル装置４３０で各データベースシステム３１０等から検索したデータ量をカウントする仕組みを構築したりすることも可能である。
また、広告等の情報提示手段については、検索依頼画面にバーナーとして広告を表示（Ｗｅｂ画面イメージ）する機能や、検索結果ダウンロード画面にバーナーとして広告を表示（Ｗｅｂ画面イメージ）する機能等により実現することができる。
【０１００】
次に、実施の形態１〜実施の形態４の第２の適用例として、２種類のヘルスケアシステムを以下に説明する。まず、第１の適用例としてヘルスケアシステム例１を説明する。図２２は、ヘルスケアシステム例１の概要を示す図である。
図２２を用いて、ヘルスケアシステムの第１の例であるヘルスケアシステム例１について説明する。
図２２は、個人、および、個人が所属する組織の各種情報を分析することにより、個人、および、組織の健康状態を評価するとともに、個人や組織に対して健康を増進するため、あるいは、健康を保つための介入サービスを実施するためのモデルを示す。また、ヘルスケアシステム例１では、健康保険組合等の情報収集者４５４が中心となり、健康保険組合等の集団の健康を増進させることが主たる目的である。
図２１で述べたサンプル提供システムとは異なり、個人に対して分析結果を何らかの形態でフィードバックするため、個人情報の他目的利用、および、介入サービスの提供に関して各個人の許諾が必要となる。
ヘルスケアシステム例１には、情報利用者４５３（コンサルティング会社）、情報収集者４５４、情報提供者４５５（使用許諾者）（個人・組織）、情報提供者４５７（使用不許諾者）、サービス提供会社４５８、システム運営者４５１の６者が登場する。
ヘルスケアシステム例１の情報収集者４５４として、健康保険組合、企業（人事）、産業医等を想定している。介入サービスが軌道に乗ることにより、情報収集者４５４である健康保険組合は医療費の削減、企業は作業の効率化等の恩恵を得ることができる。各情報収集者４５４は、ヘルスケアシステム例１の運用をするにあたり、全情報提供者４５５（使用許諾者）（個人）から個人情報の他目的利用（ただし、情報の利用はヘルスケア関連に限る）、および、介入サービスの実施について許諾を得る必要がある。情報収集者４５４は、第三者であるコンサルティング会社（情報利用者４５３）に匿名化したデータを送付するとともに、データの分析を依頼する。分析内容の代表としては、個人、および、企業内組織単位の健康評価とその傾向、および、疾病予備軍の調査である。ここで、個人情報の他目的利用について許諾を得られない個人情報については、統計情報としてのみ使用する。
情報収集者４５４（例えば、健康保険組合を想定）は、情報利用者４５３であるコンサルティング会社（組織）から疾病予備軍である者のデータＩＤが送信されてきた場合に、このデータＩＤがいかなる個人を示すものか特定するために、自己の保有する個人情報をもとにデータＩＤを生成し、生成したデータＩＤと前記送信されたデータＩＤとを照合し、一致した個人を特定する。そして、特定した個人には、疾病予備軍に関する改善策を講じるために、疾病予備軍（不許諾者は除く）として健康増進サービスを提供する。ここで、健康増進サービスをサービス提供会社４５８に委託することもあり、その際には疾病予備軍に関する情報をサービス提供会社４５８へ提供する。
すなわち、情報利用者４５３であるコンサルティング会社（組織）は情報収集者４５４（当面は健康保険組合を想定）からの依頼に基づき、匿名化したデータの分析を行う。分析結果として、組織の健康評価と個人の健康評価を情報収集者４５４へ返送する。つまり、コンサルティング会社（組織）は、生活習慣病、成人病等の疾病予備軍の有無を検討し、疾病予備軍がいると判断したときは、その対象者をデータＩＤにて情報収集者４５４へ報告する。ここで、匿名化の保証ができなくなる恐れがあることを考慮し、コンサルティング会社（組織）は、依頼元（この事例では健康保険組合）に対して疾病予備軍の選定理由等を開示してはならないものとする。
ここで、コンサルティング会社（組織）と情報収集者４５４のいずれかが一致する場合は、分析を行う担当組織、あるいは（および）、担当者に対して契約等により守秘義務を科す必要がある。コンサルティング会社（組織）は、情報収集者４５４からの分析依頼に対する対価が収入となる。
情報収集者４５４から委託を受けるサービス提供会社４５８は情報収集者４５４より入手した対象者情報に従い、個人、および、個人の所属する組織に対して介入サービスを実施する。介入サービスには、運動指導や栄養指導、禁煙指導等が想定され、提供サービスの内容に応じて個人からも費用を徴収する場合がある。また、介入サービスの一環として、運動ジムの斡旋や配膳業者の斡旋等を行い、これら企業からのキックバックも収入源として想定できる。
また、健康保険の医療費抑制や作業効率の向上が明らかな場合は、その削減額の所定割合を成果報酬とすることを想定できる。
システム運営者４５１は、情報収集者４５４、あるいは、サービス提供会社４５８から委託を受け、個人情報の匿名化等を実施するシステムの運営を行う。ただし、システム運営者４５１は、情報収集者４５４、あるいは、サービス提供会社４５８と同一であってもかまわない。
情報提供者４５５（使用許諾者）（個人・組織）は、個人情報の他目的利用、および、介入サービスの提供を許諾した個人を想定する。ヘルスケアシステム例１における情報提供者４５５（使用許諾者）である組織は、情報収集者４５４（あるいはその一部）と一致すると想定しているため、組織が不許諾とすることはほぼないと考えられる。個人は健康向上・維持に関する情報が安価（あるいは、無償）で入手できるとともに、介入サービスにより斡旋を受けた運動ジムや配膳業者等の割引や健康保険組合等による費用の一部負担が期待できる。
情報提供者４５７（使用不許諾者）は、個人情報の他目的利用、および、介入サービスの提供を許諾しなかった個人を想定する。
【０１０１】
以上、ヘルスケアシステムの例１の適用例では、情報収集者４５４が提供する実データに対する匿名性保証については、実施の形態１〜実施の形態４の適用により解決可能である。
また、複数の情報収集者４５４からの匿名化したデータを関連付ける手段については、実施の形態１〜実施の形態４の適用により解決可能である。
また、データＩＤから個人を特定するための機能、および、その際の匿名性の確保手段については、実施の形態４で述べた「アノニマス（匿名化）・データベースシステムを構築するにあたり、実現が必要になると思われる機能、および、実現することにより便利になる機能、効率化につながる機能」における、「２５．データＩＤから個人の特定を行う手段」、「２６．許可者以外がデータＩＤから個人を特定できないための手段１」、「２７．許可者以外がデータＩＤから個人を特定できないための手段２」、「２８．許可者以外がデータＩＤから個人を特定できないための手段３」、「２９．許可者以外がデータＩＤから個人を特定できないための手段４」等の手段を利用することにより解決可能である。
また、健康評価手段については、個人に対する健康評価手段として「健康度」があり、当該健康度の適用を想定している。集団へ健康度を適用する場合については、個人の健康度を集積したものを想定している。
また、介入サービス適用効果の評価手段については、定期的にコンサルティング会社（組織）に組織の健康度分析を依頼する。また、介入サービスの提供履歴を管理する（サービス提供会社４５８からの報告義務、および、その蓄積）。当該情報を含めコンサルティング会社（組織）にて分析する。
また、情報提供に関する承諾をしない個人データの取り扱い、および、混在したデータの取り扱い機能の構築については、実施の形態４で述べた「アノニマス（匿名化）・データベースシステムを構築するにあたり、実現が必要になると思われる機能、および、実現することにより便利になる機能、効率化につながる機能」における「２３．個人情報の他目的利用の許諾有無が混在する場合の処理手段１」や「２４．個人情報の他目的利用の許諾有無が混在する場合の処理手段２」を利用することにより解決可能である。
また、医療費の削減や生産性向上等の間接的なメリットに対する評価手段については、特に制限しない。
【０１０２】
以下に、実施の形態１〜実施の形態４をヘルスケアに適用した第２の場合である、ヘルスケアシステム例２について説明する。図２３は、ヘルスケアシステム例２のシステムを示す図である。ヘルスケアシステム例２は、個人がコンサルティング会社へ依頼する場合を想定する。当該例では、従来はコンサルティング会社が保有するノウハウにて個人に対する介入方針等を決定していたが、それに加え個人が所属する組織の特性や個人の病歴等の情報を入手することが可能となり、コンサルティング会社（情報利用者４５３に該当する。以下同じ。）は、これら情報を加味して、詳細なアドバイスが可能となる。同一組織に所属する集団としての健康状態を分析することにより、個人にとって往々に注意外である外的要因の有無をコンサルティング会社が調査し、これまでは気が付かなかった要因を発見できる機会を広げる。
ヘルスケアシステム例２には、依頼者４６０、情報利用者４５３（コンサルティング会社）、情報収集者４５４、情報提供者４５５（使用許諾者）（個人・組織）、システム運営者４５１の５者が登場する。
依頼者４６０は、コンサルティング会社（組織）に健康等に関するサービス提供を依頼する。ここで、依頼者４６０は、情報提供者４５５（使用許諾者）（個人・組織）の構成員であることが前提である。
情報利用者４５３であるコンサルティング会社（組織）は依頼者４６０からの依頼に基づいて、依頼者個人、および、依頼者４６０の所属する組織について分析を行う。分析結果にしたがって、依頼者４６０への介入、あるいは、アドバイスの方針を決定する。
ヘルスケアシステム例２を利用する場合、コンサルティング会社はシステム運営者４５１へのシステム使用料支払い、情報収集者４５４への情報提供料支払い等、コストアップにつながる要因もあるが、過去に遡った詳細な個人情報など分析対象となる有意な情報を入手可能となるため、コンサルティング会社として保有するノウハウの精度を向上させることが期待でき、ひいては、医療費削減等が期待される。
システム運営者４５１は、コンサルティング会社（組織）からシステム使用料を徴収し、システムの運用・保守を行う。システム運営者４５１の位置付けは、前記サンプルデータ提供システムと大きな差異はない。
情報収集者４５４はコンサルティング会社へ匿名化した情報の提供を行う対価として、情報提供料を徴収する。ここで、コンサルティング会社へ提供する情報は、実データを匿名化し統計データとして使用、および、依頼者４６０本人の情報であり、情報提供者４５５（使用許諾者）（全員）に対する他目的利用許諾は不要であると考えている。
情報提供者４５５（使用許諾者）は情報収集者４５４が通常業務として行っているサービスを受けることにより、情報収集者４５４に個人情報が蓄積される。
【０１０３】
以上、ヘルスケアシステム例２の適用例では、情報収集者４５４が提供する実データに対する匿名性保証は、実施の形態１〜実施の形態４の適用により解決可能である。
また、複数の情報収集者４５４からの匿名化したデータを関連付ける手段は、実施の形態１〜実施の形態４の適用により解決可能である。
また、課金機能の構築は、前記サンプルデータ提供システムと同様である。すなわち、課金機能の構築については、課金ルールを作る。それに必要な場合は、ポータル装置４３０で各データベースシステム３１０等へのアクセス回数をカウントする仕組みを構築したり、また、ポータル装置４３０で各データベースシステム３１０等から検索したデータ量をカウントする仕組みを構築したりすることも可能である。
【０１０４】
次に、実施の形態１〜実施の形態４の別の適用例として２種類の介入サービス評価システムを説明する。まず、第１の例である介入サービス評価システム例１について説明する。図２４は、介入サービス評価システム例１の概要を示す。
集団又は個人の健康状態（健康の評価結果）の履歴を管理することにより、介入サービス等の有効度を評価する。介入サービスを評価するためのデータ取得に実施の形態１〜実施の形態４を使用する。図２４に示す介入サービス評価システム例１は、サービス提供会社４５８、情報収集者４５４（委託元）、情報提供者４５５（使用許諾者）（個人・組織）、システム運営者４５１、サービス評価会社４６１の５者が登場する。
ヘルスケアシステム例１と同様に、情報収集者４５４は、個人に対する介入サービスをサービス提供会社４５８へ委託する。さらに、情報収集者４５４は、サービス評価会社４６１に対して、当該サービス提供会社４５８が提供するサービスを評価するよう依頼する。サービス評価会社４６１へは、情報提供者４５５（使用許諾者）（個人・組織）の匿名化したデータを提供する。当該データから個人を特定する必要はないため、情報提供者４５５（使用許諾者）（個人）に対して個人情報の他目的利用の許諾は不要であると考える。
情報提供者４５５（使用許諾者）（個人・組織）は、サービス提供会社４５８よりサービスの提供を受ける。
サービス提供会社４５８は、情報収集者４５４からの委託に従い、個人に対して介入サービスを提供する。
サービス評価会社４６１は、情報収集者４５４より情報提供者４５５（使用許諾者）（個人・組織）の匿名化した情報を定期的に入手し、集団又は個人としての健康状態のトレンドを分析・評価する。その結果をサービス提供会社４５８の評価として情報収集者４５４へ提示する。
システム運営者４５１は、情報収集者４５４とサービス評価会社４６１との間のデータ通信において、匿名化するためのプラットフォームを提供する。システムの運用・保守の対価としてサービス評価会社４６１からシステム使用料を徴収する。
【０１０５】
以上、介入サービス評価システム例１の適用例では、情報収集者４５４が提供する実データに対する匿名性保証は、実施の形態１〜実施の形態４の適用により解決可能である。
また、複数の情報収集者４５４からの匿名化したデータを関連付ける手段は、実施の形態１〜実施の形態４の適用により解決可能である。
また、集団に対する健康度の評価機能の構築は、個人に対する健康評価手段として「健康度」があり、当該健康度の適用を想定している。集団の健康度については、個人の健康度を集積したものを想定している。
また、介入サービス適用効果の評価手段は、集団の健康度を蓄積し、トレンドを評価する。
【０１０６】
実施の形態１〜実施の形態４を適用した第２の介入評価サービスのシステムについて以下に説明する。
図２５は、介入サービス評価システム２のしくみの一例を示す。図２５において、サービス評価会社４６１は、サービス提供会社４５８の評価のみでなく、サービス提供会社４５８に対するコンサルティングをも行う。介入サービス評価システム２に必要となる基本的な仕組みは、図２４における前記介入サービス評価システム１と同様である。
サービス評価会社４６１は、サービス提供会社４５８のサービス提供先集団の健康状態（健康の評価結果）、および、その履歴を管理することにより介入サービス等の有効度を評価する。サービス評価会社４６１は、その結果から効果のあがっていない項目の有無、および、内容をサービス提供会社４５８に提示するとともに、その対策についてアドバイスする。
介入サービスを評価するためのデータ取得に実施の形態１〜実施の形態４を使用する。介入サービス評価システム２には、サービス提供会社４５８、情報収集者４５４（委託元）、情報提供者４５５（使用許諾者）（個人・組織）、システム運営者４５１、サービス評価会社４６１の５者が登場する。
情報収集者４５４は、サービス評価会社４６１に対して、情報提供者４５５（使用許諾者）（個人・組織）の匿名化したデータを提供する。その対価として、情報提供料を徴収することが可能となる。当該データから個人を特定する必要はないため、情報提供者４５５（使用許諾者）（個人）に対して個人情報の他目的利用の許諾は不要であると考える。
情報提供者４５５（使用許諾者）（個人・組織）は、サービス提供会社４５８よりサービスの提供を受ける。
サービス提供会社４５８は、個人に対して介入サービスを提供する。サービス提供会社４５８は、自社が提供するサービスに対するコンサルティングをサービス評価会社４６１に依頼する。
サービス評価会社４６１は、情報収集者４５４より情報提供者４５５（使用許諾者）（個人・組織）の匿名化した情報を定期的に入手し、集団としての健康状態のトレンドを分析・評価する。ここで、情報入手の対価として情報提供料を情報収集者４５４へ支払う。その結果からサービス提供会社４５８へコンサルティングを実施する。
システム運営者４５１は、情報収集者４５４からサービス評価会社４６１間とのデータ通信において、匿名化するためのプラットフォームを提供する。システムの運用・保守の対価としてサービス評価会社４６１からシステム使用料を徴収する。
【０１０７】
以上、介入サービス評価システム例２の適用例では、情報収集者４５４が提供する実データに対する匿名性保証については、実施の形態１〜実施の形態４の適用により解決可能である。
また、複数の情報収集者４５４からの匿名化したデータを関連付ける手段については、実施の形態１〜実施の形態４の適用により解決可能である。
また、集団に対する健康度の評価機能の構築については、個人に対する健康評価手段として「健康度」があるが、当該健康度の適用を想定している。ただし、集団の健康度については、個人の健康度を集積したものを想定している。
また、介入サービス適用効果の評価手段については、集団の健康度を蓄積し、トレンドを評価する。
【０１０８】
実施の形態５では、匿名化を保証するとともに個人情報を関連付けすることにより、個人情報の利用促進を図ることができるシステムを事業へ適用することによって、個人情報の利用に基づいた新たなサービス、新たなビジネスを提供することができる。
【０１０９】
【発明の効果】
本発明によれば、個人情報に関してプライバシーを高度に確保して、個人情報を有効に利用することができる。また、複数のデータベースシステムに格納された同一人についての個人情報を関連付けることにより、個人情報の有効利用を可能とすることができる。
【図面の簡単な説明】
【図１】実施の形態１のシステム構成例を示す図である。
【図２】実施の形態１の実装の概要を示す図である。
【図３】実施の形態１に係る情報提供装置１００の構成を示す図である。
【図４】個人情報の送信要求を受けた場合のフローを示す図である。
【図５】実施の形態１を介入サービスに適用したシステム適用例を示す図である。
【図６】検索条件の例を示す図である。
【図７】検索条件の一部を削除した図である。
【図８】データベースからの検索結果を示す図である。
【図９】データＩＤの付与を示す図である。
【図１０】プライバシーに関わる情報の削除の様子を示す図である。
【図１１】実施の形態１におけるシステムの機能を示す図である。
【図１２】実施の形態２におけるシステム構成概要を示す図である。
【図１３】実現案１を示す図である。
【図１４】情報提供装置２００の構成を示す図である。
【図１５】関連付け分散データベースシステム５００の構成を示す図である。
【図１６】実現案２を示す図である。
【図１７】実現案３〜実現案５を示す図である。
【図１８】実現案７を示す図である。
【図１９】実現案９を示す図である。
【図２０】実現案１０を示す図である。
【図２１】サンプルデータ提供システムの構成を示す図である。
【図２２】ヘルスケアシステム例１の構成を示す図である。
【図２３】ヘルスケアシステム例２の構成を示す図である。
【図２４】介入サービス評価システム例１の構成を示す図である。
【図２５】介入サービス評価システム例２の構成を示す図である。
【符号の説明】
１０受信部、１１認証部、１２復号部、２０検索条件確認部、３０個人情報抽出部、４０個人情報記憶部、５０データＩＤ生成部、５１対比ＩＤ生成部、６０検索結果判断部、６１暗号作成部、６２送信部、７０規則記憶部、８０課金部、１００情報提供装置、１１０個人情報記憶部、１２０匿名化処理部、１２１データＩＤ生成部、１３０匿名化個人情報記憶部、１４０受信部、１５０送信部、２００情報提供装置、３１０，３２０，３３０データベースシステム、３４０アクセス装置、３５０ネットワーク、３６０，３６１アクセス用インタフェース、３７０健康保険組合データベースシステム、３８０人事データベースシステム、３９０産業医データベースシステム、４００，４１０データベースシステム、４１５アノニマス化データベースシステム、４１６データベースシステム、４２０検索装置、、４３０ポータル装置、４４０エージェント、４５０国、４５１システム運営者、４５２企業、４５３情報利用者、４５４情報収集者、４５５情報提供者、４５７情報提供者（使用不許諾者）、４５８サービス提供会社、４６０依頼者、４６１サービス評価会社、５００関連付け分散データベースシステム、６００第１プライベートデータベース装置、６１０第１識別子生成部、６２０第１組み合わせデータ作成部、６３０第１記憶部、７００第２プライベートデータベース装置、７１０第２識別子生成部、７２０第２組み合わせデータ作成部、７３０第２記憶部、８００データベースアクセス装置、８１０識別子照合部、８２０関連データ記憶部。[0001]
TECHNICAL FIELD OF THE INVENTION
The present invention relates to a distributed database system. Further, the present invention relates to an information providing apparatus for providing information through a network. For example, the present invention relates to a distributed database system for transmitting personal information. Also, for example, the present invention relates to an information providing device that provides personal information through a network.
[0002]
[Prior art]
In the real world, organizations collect, store, and manage various types of personal information. Much of this personal information includes privacy-related information. Therefore, organizations that hold and manage information have a duty of confidentiality regarding personal information. For this reason, even information that does not include personal information cannot be disclosed. However, personal information has a new meaning and value when analyzed in combination, and has the potential to produce economic effects and academic progress.
However, the duty of confidentiality involved in obtaining actual data largely depends on the relationship of trust between the information provider and the user. In addition, the handling of personal information is regulated by the law for protecting personal information, and disclosure of information accumulated by each organization may be delayed. For this reason, personal information has not been effectively utilized.
[0003]
In the related art (for example, Patent Document 1), a data provider (data provider) having personal information sends personal identification information that is a part of personal information to a trust organization, and the trust organization that has received the personal identification information identifies the personal information. A technology is disclosed in which the personal information is used in a "non-personalized form" (a form that does not reveal the identity of the individual) based on the identifier generated by the trust organization. .
However, if the data provider sends personal information to a third-party trust organization, there is a high possibility that the anonymity (privacy) of the individual cannot be ensured.
If a third-party trust organization is to be established separately, it will need to be maintained and managed.
[0004]
[Patent Document 1]
JP 2000-324094 A
[Patent Document 2]
JP-A-2002-175432
[Patent Document 3]
JP-A-5-63696
[Patent Document 4]
JP-A-10-254807
[0005]
[Problems to be solved by the invention]
An object of the present invention is to provide a distributed database system that ensures the privacy of personal information at a high level and enables effective use of personal information.
Another object of the present invention is to provide a database system that enables effective use of personal information by associating personal information stored in a plurality of database systems.
In addition, the present invention enables effective use of personal information between an information provider that provides personal information and an information user that uses personal information without requiring the intervention of a third party. The purpose is to provide a database system.
[0006]
[Means for Solving the Problems]
An information providing device according to the present invention includes:
An information providing device capable of communicating with an access device via a network and providing information to the access device based on a request from the access device,
A personal information storage unit for storing personal information about an individual,
A receiving unit that receives a personal information transmission request including a search condition for searching for personal information from the access device,
The receiving unit confirms a search condition included in the personal information transmission request received, and when the search condition included in the personal information transmission request includes a condition capable of specifying an individual, a condition capable of specifying the individual Is deleted and the search condition from which the condition capable of identifying the individual is deleted is output as the search condition after confirmation.If the condition capable of identifying the individual is not included in the search condition included in the personal information transmission request, the A search condition checking unit that outputs the search condition included in the personal information transmission request as a search condition after checking the search condition as it is,
A personal information extraction unit that searches the personal information storage unit based on the inputted search condition after confirmation and outputs the personal information based on the inputted search condition after confirmation output by the search condition confirmation unit;
Using the personal information extracted by the personal information extraction unit, a data ID for identifying the extracted personal information is generated according to a predetermined rule, and a data ID generation for giving the generated data ID to the extracted personal information Department and
The personal information extraction unit determines whether or not an individual can be identified from the personal information to which the data ID has been extracted and to which the data ID has been assigned. When it is determined that the individual cannot be identified, the data ID is assigned. And a search result determining unit for transmitting the personal information to the access device.
[0007]
BEST MODE FOR CARRYING OUT THE INVENTION
Embodiment 1 FIG.
In the first embodiment, when there is an access requesting transmission of personal information from an external system to a database system storing personal information, the database system anonymizes the stored personal information (anonymous). And a system that generates a data ID, adds the generated data ID to the anonymized personal information, and returns the data to an external system that has accessed the system.
[0008]
In the real world, working companies, hospitals, and health insurance associations collect, store, and manage various types of personal information on an "organization-by-organization" basis. Since most of this information contains personal information related to privacy, the organization that owns and manages the information is obliged to keep it confidential, and information that does not contain personal information cannot be effectively disclosed to the outside. It is in. However, the information held by each organization can have new meaning and value by performing `` combination '' analysis, etc., which can produce economic effects and academic progress that was not assumed by the organization that owns and manages the information I have a secret.
However, in the academic and research fields, real-world data is handled as sample data in a form that ensures anonymity, but the confidentiality involved in obtaining real data is between the information provider (individual / organization) and the user. There is a great deal of trust. However, the handling of personal information is regulated by the law for protecting personal information, and disclosure of information accumulated by each organization may be delayed.
In order to promote the disclosure of information held by each organization, it is necessary to realize a platform that technically guarantees privacy as well as to have such a platform recognized by the public. By doing so, the development of a new service business can be expected, and the environment itself can be a new service.
The following first embodiment regards securing of privacy as guarantee of anonymity of personal data, and constructs a database system that associates personal information stored in a plurality of database systems while securing privacy. is there.
[0009]
The system according to the first embodiment described below aims at simultaneously realizing two of "securing privacy" and "associating personal information stored in a plurality of databases".
First, "securing privacy" will be described.
In the system according to the first embodiment described below, the platform ensures privacy by guaranteeing anonymity of each data. The anonymity of the data is assured by deleting information that leads to "identification of the individual" from the information passed to the external system. Deletion of information that specifies an individual is performed by each database system-side device, and although basic rules are prepared in advance, each database system-side device determines whether or not information to be positioned to lead to “personal identification”. Add a function that can be set.
It consists of the following three functions.
First, there is a function of deleting a search condition leading to “identification of an individual” from a data search condition to the database system.
Second, there is a function for deleting information related to “identification of an individual” from the search result.
Third, when the number of search results is small (the absolute number is small or the ratio is small), the function is not returned.
Next, "data association" will be described. In order to significantly analyze the data stored in each database system, it is necessary to associate the data stored in a plurality of databases (for example, the information of the individual A stored in the database system 1 with the database system). It is necessary to implement the combination of the information of the individual A stored in 2). However, data association between a plurality of database systems must be realized at the same time as the above-mentioned "ensure privacy".
In the system according to the first embodiment, an identifier (hereinafter, also referred to as a data ID) for specifying an individual who created the data is given to the data to be associated. The purpose of the data ID is not to identify “individual”, but to identify “data” generated from the same individual. Therefore, it is not necessary to generate information that can identify an individual from the data ID, but rather, it cannot be generated.
As a means for generating a data ID, a means for generating from a personal name, a gender, a date of birth, an address, and the like held in each database system according to a predetermined rule is assumed.
[0010]
A configuration example of the system according to the first embodiment will be described below.
FIG. 1 shows an example of the configuration of a system to which the first embodiment is applied. A plurality of database systems 310, 320, 330 and an access device 340 for accessing these database systems are connected on a network 350 capable of exchanging data. Here, the database systems 310, 320, and 330 in FIG. 1 are systems managed or operated by an organization, or a part thereof, and each organization has a database system alone that satisfies information and functions. For example, the database system may be a database system in which a network system is formed by the access terminal 311, the database 313, another database 314, and the network 312, like the database system 310. In each of the database systems 310, 320, and 330, useful information in the organization is stored in a format including personal information. Conventionally, it has not been possible to utilize data including personal information among a plurality of businesses having such database systems.
Here, the network 350 to which each of the database systems 310, 320, and 330 and the access device 340 are connected is not particularly limited, and may be a dedicated line, a public line, the Internet WAN / LAN, or the like. Further, a wired / wireless form can be assumed for each network 350.
[0011]
FIG. 2 is a diagram illustrating an outline of implementation of the system according to the first embodiment. In FIG. 2, an access interface 360 from an external system is defined in each of the database systems 310, 320, and 330, and is open to other systems, and access from the external system is permitted only through the access interface 360. (Even in the agent method described below, the agent 440 uses the access interface 360). The access interface 360 has the following functions.
First, it has a function of removing search conditions related to privacy.
Second, it has a function of generating and assigning a data ID (ID for specifying a data owner while maintaining anonymity).
Third, it has a function to check whether information related to privacy is included in the search result, and a function to delete the corresponding data item (including a function to delete a singular point).
Fourth, it has an access device 340 and an accessor authentication function (if necessary).
Fifth, it has a communication data encryption / decryption function (including a search condition encryption / decryption function). For example, communication data is encrypted with a public key, a secret key, or the like, and is decrypted with a public key, a secret key, or the like.
Sixth, it has an information generation function (only the database system side device is mounted) that can identify an individual from a data ID. Hereinafter, the first to sixth functions will be described.
[0012]
First, the first function will be described. When there is an access requesting the personal information from the external system, the access interface 360 includes a condition that can specify the individual and his / her family, such as a name, a date of birth, and an address, in the search condition from the external system. Is checked by the device on the database system 310, 320, 330 side. If the search condition includes a condition that can specify an individual or his or her family, the access interface 360 deletes the condition or changes the condition to a looser condition. It is assumed that what conditions are deleted and what conditions are converted into what conditions are set in advance in each of the database systems 310, 320, and 330 (each database system 310, The rules can be changed on the side of 320 and 330).
The following is an example of the function for eliminating the search condition related to privacy.
For example, if there is a search condition “Last name is Tanaka”, the condition is deleted. In addition, if there is a search condition such as “address is Hyogo-ku, Hyogo-ku, ○ machi △△ chome □□ address”, the search condition is deleted, or the search condition is changed according to a predetermined rule such as “resident in Kobe”. Convert.
[0013]
Next, a description will be given of a second function of the access interface 360, that is, a function of generating and assigning a data ID (ID for specifying a data owner while maintaining anonymity).
The access interface 360 generates a data ID for specifying an individual who is the source of the data according to a predetermined rule, and assigns it to the corresponding data. As described above, the data ID generating means generates the data ID from the personal name, gender, date of birth, address, and the like according to a predetermined rule.
[0014]
Next, a third function of the access interface 360, that is, a function of checking whether privacy-related information is included from the search result and a function of deleting the corresponding data item will be described.
The search result is likely to include information related to personal privacy in addition to the item used as the search key. Therefore, the access interface 360 checks whether the search result includes an information item that can identify an individual, and deletes the information item from the search result in each database system side device.
Further, when the number of search results is equal to or less than a predetermined number (or ratio), the access interface 360 is considered in consideration that the individual corresponding to the search result is a singular point and the individual may be able to guess. Has a mechanism that does not return the search result.
What information items are to be targeted and what search results are to be singularities are to be set in advance in each database system (each database system 310, 320, 330 side). Can be changed at
[0015]
Next, a fourth function of the access interface 360, that is, an authentication function of the access device 340 and the accessor will be described.
Appropriately manage the access to the database system by the authentication function. The purpose of accesser management is mainly the following two points.
The first is to eliminate unauthorized access devices 340 and accessers.
Second, authority management of the accessor is performed.
[0016]
Next, a fifth function of the access interface 360, that is, a communication data encryption / decryption function (including a search condition encryption / decryption function) will be described.
In the access interface 360, in order to realize protection against data "sniffing", the data is encrypted when the data is sent to another system while ensuring the anonymity of the data. Eavesdropping of data includes data flowing through the network 350, data stored in the access device 340, and data "temporarily" stored due to processing in the other database systems 310, 320, and 330. In addition, not only eavesdropping but also protection against data tampering is considered.
The encryption has the following two features.
First, the search condition is encrypted, and a mechanism is provided that allows the search condition to be referenced only in the database system to be searched.
Second, a mechanism is provided in which the encryption key is changed for each data field, and information that can be referred to is controlled according to the authority of the operator even in the access device 340 that has received the data.
[0017]
Next, a sixth function of the access interface 360, that is, a function of generating information that can identify an individual from the data ID (only the database system side device is mounted) will be described.
In each of the database systems 310, 320, and 330, a situation in which a data ID is passed as an analysis result from a consulting company or the like can be assumed. At this time, the database systems 310, 320, and 330 may want to specify an individual from the data ID, and this function is required. In the first embodiment, it is assumed that the data ID cannot be converted into information for identifying an individual. Therefore, it is conceivable to use a means such as generating a data ID from all the data according to a predetermined rule and successively comparing them.
However, the function must not be mounted on the access device 340, and an access interface 361 of the access device 340 for performing data search and a mechanism in which the function cannot coexist are embedded.
[0018]
FIG. 3 shows a configuration of the information providing apparatus 100 according to the first embodiment. Each of the database systems 310, 320, 330, and the like in the first embodiment includes the information providing device 100. Each of the database systems 310, 320, 330 and the like can realize the function of the access interface 360 by the function of the information providing apparatus 100.
The information providing apparatus 100 includes a reception unit 10, a search condition confirmation unit 20, a personal information extraction unit 30, a personal information storage unit 40, a data ID generation unit 50, a search result determination unit 60, a rule storage unit 70 And a billing unit 80.
Further, the receiving unit 10 includes an authentication unit 11 and a decryption unit 12. The data ID generation unit 50 includes a comparison ID generation unit 51. The search result determination unit 60 includes a cipher creation unit 61 and a transmission unit 62.
[0019]
FIG. 4 is a diagram showing a flow when the information providing apparatus 100 receives a request for transmitting personal information from the access apparatus 340. Hereinafter, the operation of the information providing apparatus 100 when the database systems 310 and 320 in FIG. 2 receive a request for transmitting personal information will be described with reference to FIG. For example, it is assumed that the information providing apparatus 100 included in the database system 310 receives a request for transmitting personal information.
In S10, the receiving unit 10 of the information providing device 100 receives a request for transmitting personal information (a request for transmitting personal information) from the access device 340. The access device 340 can include a plurality of search conditions for searching for personal information in the transmission request for personal information. Then, each of the included search conditions can be encrypted by different encryption means and transmitted. As an encryption means, a different algorithm is used for each search condition, or a different encryption key is used.
In S20, the authentication unit 11 authenticates a transmission request for personal information. If authenticated, the process proceeds to S30.
In S30, the data reception process starts. When the received data (personal information transmission request) is signed and encrypted, the decryption unit 12 decrypts the received data using a public key, a private key, and the like.
In S40, the authentication unit 11 checks whether the access is from an external system. If the access is from an external system, the process proceeds to S50.
In S50, the search condition check unit 20 checks whether there is a search condition related to privacy. That is, it is confirmed whether or not there is a search condition that can specify an individual among the search conditions of the personal information included in the transmission request of the personal information. If there is a search condition that can specify an individual, the search condition confirmation unit 20 deletes the search condition. In this case, the case where the condition is changed to an unspecified condition is also included in the deletion. It is assumed that the rule of what search condition is deleted is stored in the rule storage unit 70 in advance. If there is no search condition related to privacy to be deleted, or if the search condition confirmation unit 20 deletes a condition related to privacy from the search conditions, the process proceeds to S60.
In S60, the personal information extracting unit 30 extracts personal information according to the search condition with reference to the personal information storage unit 40.
In S70, the search result determination unit 60 checks whether a personal ID (data ID) has been generated for the search result, and if not, generates a data ID (S80). Then, a personal ID (data ID) is assigned to the extracted personal information (S90). Further, the search result determination unit 60 confirms whether the extracted personal information does not include information related to privacy (whether or not information that can specify an individual is not included) (S100). The data ID is generated by the data ID generation unit 50 based on the personal information extracted by the personal information extraction unit 30. The rule for creating the data ID is stored in the rule storage unit 70, and the data ID generation unit 50 refers to the rule. It is also assumed that the rule storage unit 70 stores in advance what information corresponds when the search result determination unit 60 confirms information related to privacy. When the search result determination unit 60 determines that it is impossible to specify an individual from the extracted personal information, the search result determination unit 60 sends the personal information to the access device 340 with the data ID. At this time, if necessary, the encryption creating unit 61 encrypts the personal information to be transmitted (S110). When the anonymized personal information to be transmitted is formed of a plurality of data items, the encryption creation unit 61 of the search result determination unit 60 encrypts each of the data items using a different encryption unit for each data item. It is possible to make. As a different encryption means, it is conceivable to use a different algorithm or to perform encryption using a different encryption key for each data item.
When the search result determination unit 60 determines that the individual can be specified from the extracted personal information, the search result determination unit 60 deletes the data that can specify the individual and transmits the data to the access device 340. Alternatively, if there is data that can specify an individual, transmission to the access device 340 is not performed. The type of processing to be performed can be stored in the rule storage unit 70 as a rule in advance.
When the personal information is transmitted to the access device 340 in S110, the process ends in S120.
[0020]
The case where the access device 340 communicates with one database system has been described above. In the following, in FIG. 2, when the access device 340 communicates with a plurality of database systems 310, 320, and 300, the association of a plurality of pieces of personal information received from the database systems 310, 320, and 330 will be described.
Each of the database systems 310, 320, and 330 includes the information providing device 100. Then, the data ID generation unit 50 of the information providing apparatus 100 provided in each of the database systems 310, 320, and 330 generates a data ID according to the same generation rule. Each of the database systems 310, 320, and 330 attaches the data ID generated according to the same generation rule to the anonymized personal information and transmits the data ID to the access device 340. The access device 340 can know that the personal information transmitted from each of the database systems 310, 320, and 330 is personal information generated from the same individual by the assigned data ID. As described above, the access device 340 can associate a plurality of pieces of personal information with the data IDs generated by the same generation rule in each of the database systems 310, 320, and 330.
Here, the data IDs generated by the same generation rule may be the same, or may not be the same as long as it is known that they are personal information generated from the same individual. .
When the data ID is transmitted from the access device 340, the comparison ID generation unit of the information providing device 100 of FIG. 3 generates a comparison ID using the personal information stored in the personal information storage unit 40. The “contrast ID” is an ID generated for comparison with the data ID transmitted from the access device 340. Since the data ID and the comparison ID are generated according to the same rule, by comparing the data ID and the comparison ID, an individual can be identified from the data ID transmitted from the access device 340. Although the normal data ID and the comparison ID are the same, the data ID and the comparison ID do not have to be the same as long as the data ID and the comparison ID indicate that they relate to the same person.
Further, the information providing apparatus 100 includes a billing unit 80. For example, the charging unit 80 stores a search history from the access device 340, and performs a charging process on the access side based on the number of accesses, the data amount of the search result, and the like.
[0021]
Next, a data collection method for collecting data (personal information) will be described.
A method of collecting data from each of the database systems 310, 320, and 330 when the system is implemented will be described.
In FIG. 2 showing the outline of the implementation of the system, the following two methods are considered as typical methods by which the access device 340 collects data from each of the database systems 310, 320, 330.
First, there is a method in which the database systems 310 and 320 and the access device 340 collect data on a one-to-one basis.
Secondly, an agent method (an agent goes around each database system and collects information and returns to the access device 340 when indicating information to be collected) can be considered. The agent will be described in detail in the fourth embodiment.
In the case of employing the agent method, when the search results are obtained in each of the database systems 310, 320, and 330, the search conditions for the database systems 310, 320, and 330 are discarded. It is also possible to perform processing for improving the degree of security by not transmitting the search result extracted under the search condition.
[0022]
The system shown in FIG. 2 can be applied to the following businesses.
For example, an environment providing service. Provide services such as operation, sales, leasing, and maintenance of platforms that guarantee anonymity.
It is also an intervention service. It connects medical institutions, health insurance unions, and companies to which individuals belong, and provides a service to provide health-related advice to specific groups such as health insurance unions and individuals.
It is also an intervention service evaluation. Provide a service that evaluates the application effect of the intervention service on a group or individual basis to which multiple intervention services are applied.
[0023]
FIG. 5 shows a specific example in which the implementation outline shown in FIG. 2 is applied to an intervention service in the service business described above.
Of the above application examples, more specifically, an intervention service for a certain group of health and a consulting service for the intervention service will be described with reference to FIG.
In FIG. 5, the health insurance union requests a consulting company to analyze and investigate "what kind of individual (not who)" and "what kind of intervention service" should be provided. For the analysis and investigation, the information (reception information (medical remuneration information), etc.) held by the health insurance union database system 370, the information (time attendance information, etc.) held by the company's personnel database system 380, and the industrial physician database system 390 (Health checkup information such as height, weight, blood pressure, disease history, consultation information, etc.) is disclosed to a consulting company (access device 340).
Applicants in this example are a consulting company, a health insurance union that is a subject of intervention service consignment, a company (human resources) that is a provider of information, and an industrial physician.
By applying this system, it is possible to investigate the relationship between medical expenses, working hours, and obesity, etc., for a specific group. It can be expected to analyze the reserve army.
Embodiment 1 is effective for constructing such a system. By applying the first embodiment, it is natural that a consulting company cannot identify an individual owner of data, but it is possible to construct a mechanism in which information held in a certain database system cannot be referred to in another database system. (For example, the receipt information of the health insurance union database system 370 cannot be referenced from the personnel database system 380 or the industrial physician database system 390). Further, in order to analyze the tendency of the entire organization, it is possible to associate the information held by each organization with the individual who is the "source" as the axis.
[0024]
Hereinafter, a process of processing when applied to the intervention service will be described.
The system of the first embodiment is applied to each of the database systems 370, 380, and 390 and the access device 340 in the consulting company. For example, as shown in FIG. 6, a consulting company (access device 340) instructs a personnel database system 380 that "Mitsubishi (man of person) who is 30 years old or older who lives in Tokyo and has less than 10 days of leave off. It is assumed that a search request of “person” is issued. It is assumed that the request information is also encrypted when the search request (including the search condition) is transmitted from the access device 340 to each of the database systems 370, 380, and 390.
If there is no problem in the authentication and the access route (S10 to S40 in FIG. 4), the search condition related to privacy is deleted (S50). Since specifying the name is an infringement of privacy, the search condition by applying Embodiment 1 is as shown in FIG. 7, and as shown in FIG. 7, "an employee who lives in Tokyo and is 30 years or older and has taken leave for 10 days or more. , And the personnel database system 380 is searched using the search condition (S60). Notification to the requester when the search condition related to privacy has been eliminated shall be made when the search result is returned or by a separate means. It is considered that the name, birthday, address, and telephone number are naturally applicable to the search condition relating to privacy, but special illness, prize and punishment are also considered to be in this category. What kind of information should be considered as information related to privacy can be set (changed) on each database system side that provides data.
As a result, it is assumed that information as shown in FIG. 8 is retrieved.
Next, a data ID is generated (S80, S90) and assigned to each data. FIG. 9 shows a case where a data ID is assigned. The data ID may be a number (not dependent on decimal, hexadecimal, etc.), a character such as an alphabet, or a combination of a number and a character. As the means for generating the data ID, the means described in the above-mentioned "Data association" can be considered.
Next, privacy-related information is deleted from the search result (S100). FIG. 10 shows a case where information related to privacy is deleted. Here, as described above, what kind of information should be considered as privacy-related information can be set (changed) at each database system that provides data. However, the information not specified is returned to the search requester. Is done.
The personnel database system 380 returns the information shown in FIG. 10 to the consulting company (the access device 340) as a search result (S110). Here, in the access device 340, the name “Mitsubishi Taro” cannot be generated from the data ID “Dasf104”. However, when the information of “Mitsubishi Taro” is returned from another database system (for example, the industrial physician database system 390) as a search result, “Dasf104” is added and returned as a data ID, so that it is stored in a different database system. Data generated from the same individual. At this time, when the data is returned from the consulting company (the access device 340) to the database system such as the personnel database system 380, it is possible to prevent the contents of the unauthorized data items from being viewed. Data can be encrypted for each field. For example, in a personnel database system, even if the returned data contains disease information, it cannot be decrypted because the user has no authority to view the disease information.
When returning the data, the data is encrypted. The encryption referred to here is an encryption applied to the entire data in order to prevent a third party from referring to the data in order to transfer the data via the network 350, and an encryption performed on the access device 340 and the operator. It is assumed that only the information permitted (or a combination thereof) can be referred to. For example, in this example, in the personnel database system 380, encryption is performed for each item such as gender, number of vacations, and job class, and the encrypted data is returned to the consulting company (access device 340).
For example, regardless of whether the data from the personnel database system 380 is intentional or not, even if it is sent to the health insurance union database system 370, the data cannot be referenced from the terminal of the health insurance union because the encryption key is different. Furthermore, a mechanism is added to limit the data items that can be referred to in accordance with the authority of the login user even when the data is appropriately returned to the access device 340 in the consulting company.
On each of the database systems 370, 380, and 390, it is possible to specify an individual from the data ID.
In this example, based on the contents of each database system 370, 380, 390, the consulting company designates a member who will be a reserve army for lifestyle-related diseases to the health insurance union which is the subject of the intervention service, and proposes an improvement plan. Procedures such as presentation can be assumed. However, the information that the consulting company can present to the health insurance union is only a data ID and does not specify an individual. Here, the health insurance union presented with the data ID generates a comparison ID from the retained individual data (generated by the comparison ID generation unit 51 in FIG. 3), and compares it with the data ID presented by the consulting company. It is possible to specify an individual from the data ID presented by the consulting company by comparing the ID with the ID. For example, the consulting company notifies the health insurance union that the individual having the data ID of “Dasf104” is a reserve army for lifestyle-related diseases, and presents a measure for improvement. In a consulting company, it is "Dasf104" instead of "Mitsubishi Taro". However, in the health insurance union, it is unclear to whom "Dasf104" the intervention service should be provided. Therefore, the system searches its own database system 370, generates a comparison ID, compares the data ID from the consulting company with the generated comparison ID, and specifies that “Dasf104” is “Mitsubishi Taro”. As a result, it is understood that the intervention service should be performed for "Mitsubishi Taro". If necessary, the health insurance union may outsource the work to a service provider that provides the intervention service, and may provide the intervention service to the individual belonging to the health insurance union via the service provider.
However, the consulting company shall not disclose data obtained from another database system (for example, the personnel database system 380) to the health insurance union by entering into a confidentiality agreement with the organization that refers to the data and by taking a duty of confidentiality. . Further, search conditions related to the contents of other database systems must not be disclosed. (When data is retrieved from each database system by an agent described later, search conditions are encrypted, of course. The used search condition is discarded in the database system, and an implementation means that sends only the search result to another database system is used). The consulting company disclosed the search conditions to the health insurance union as to why "Mitsubishi Taro" was presumed to be a reserve army for lifestyle-related diseases, because registration information of other database systems related to "Mitsubishi Taro" can be inferred. Not be.
[0025]
FIG. 11 is a diagram illustrating the functions of the system according to the first embodiment described above.
By applying the first embodiment, it is easy to construct a system for associating search results between a plurality of database systems 310, 320, 330 and the access device 340 while securing anonymity. is there. In each database system, an individual corresponding to the data ID specified by the access device 340 of a consulting company or the like can be specified (note that an individual can be specified only in each database system).
[0026]
According to the first embodiment, it is possible to guarantee the anonymity (ensure the privacy of an individual) by anonymizing and to effectively utilize personal information. Further, the personal information of the same person existing in each database system is associated with each other, and the anonymity is assured by anonymization (anonymization), so that the personal information can be effectively used.
[0027]
The information providing apparatus 100 according to the first embodiment deletes a data item that can specify an individual, and thus can guarantee anonymity in using personal information. Further, since the personal information is extracted under the search condition from which the data item capable of specifying the individual has been deleted, it is possible to use the personal information while assuring the anonymity.
[0028]
Since the information providing apparatus 100 according to the first embodiment deletes the contents of the data item that can specify an individual, it is possible to guarantee anonymity in using personal information. In addition, since the contents other than the contents of the data items that can identify the individual are used, the personal information can be used.
[0029]
When the information providing device 100 according to the first embodiment determines that the content of the data item of the personal information can identify the individual, the information providing device 100 does not transmit the personal information, so that the anonymity of the personal information can be guaranteed. .
[0030]
Since the information providing apparatus 100 according to the first embodiment does not transmit when the number of extracted personal information is equal to or smaller than a predetermined number, it is possible to prevent a person corresponding to a so-called singularity from being specified, and to perform anonymization. Can be guaranteed.
[0031]
The information providing apparatus 100 according to the first embodiment does not transmit the personal information when the ratio of the number of persons related to the extracted personal information belonging to the predetermined group is a predetermined value. It is possible to prevent the corresponding person from being specified, and to guarantee anonymization.
[0032]
Since the information providing apparatus 100 according to the first embodiment includes the comparison ID generation unit 51, an individual corresponding to the data ID transmitted from the access device 340 can be specified. The results can be used effectively.
[0033]
Since the information providing apparatus 100 according to the first embodiment includes the charging unit 80, a new service and a new business using the anonymized personal information can be developed.
[0034]
According to the first embodiment, since each database system generates a data ID according to the same generation rule, personal information existing in different database systems can be associated with the same person, thereby increasing the use value of personal information. Can be.
[0035]
In the first embodiment, since the personal information output or transmitted outside each database system is anonymized, the anonymization can be guaranteed. Further, when the anonymized personal information transmitted to the outside of the database system includes a plurality of data items, it can be encrypted for each data item, so that the anonymity of the personal information can be enhanced.
[0036]
In the first embodiment, an information provider (individual / organization) that provides personal information and an information user (access device 340) that uses personal information without requiring the intervention of a third party such as a trust organization. ) Can be exchanged between anonymized personal information.
[0037]
In the first embodiment, since the access device 340 can encrypt for each search condition and can decrypt only the database system to be searched, it is possible to enhance the anonymity of the anonymized personal information.
[0038]
Embodiment 2 FIG.
The second embodiment shows a method of performing anonymization (anonymization) in advance in a database system and storing anonymized data (implementation plan 1 described later).
That is, since anonymized personal information is stored in advance, it is possible to quickly respond to access from the access device 340. Further, since the anonymized personal information is stored in advance, the anonymized personal information can be transmitted to the access device 340 regularly or irregularly.
[0039]
FIG. 12 shows an outline of a system configuration assumed in the second embodiment. A plurality of database systems 310, 320, 330 and an access device 340 for accessing these database systems 310, 320, 330 are connected on a network 350 capable of exchanging data. There are no particular restrictions on the network 350 to which each database system and the access device 340 are connected, and a dedicated line, a public line, the Internet WAN / LAN, or the like may be used. Furthermore, a wired / wireless form can be assumed for each. Here, in FIG. 12, the access device 340 and each of the database systems 310, 320, and 330 are described as separate devices, but the device constituting any one of the database systems may be the access device 340.
[0040]
FIG. 13 is a diagram illustrating an implementation 1 according to the second embodiment. In FIG. 13, an access device 340 and a database system 400 are connected via a network.
Implementation plan 1 shows a method of performing anonymous conversion processing in advance in the database system 400 and storing the anonymized data.
In the database system 400, an access database from the access device 340 is prepared, and anonymized data is appropriately stored in the database.
Here, there is no particular limitation on the method of anonymizing each data.
In different database systems, the generation method of the data ID is not particularly limited as long as the generation method can generate the same data ID from the data having the same reference.
There is no particular limitation as to whether the database for the internal system and the database for access from the external system are in the same device or in the same database. (Actually, when selecting the implementation plan, It is desirable that the database for the internal system and the database for access from the external system be separate devices and separate databases from the viewpoint of security.)
The update timing of the access database from the access device 340, which is an external system, can be assumed to be a process at the time of update of the database for the internal system or a scheduled process, but is not particularly limited.
There is no particular limitation on the presence or absence of the access device 340 and the accessor authentication function in FIG.
In communication between the access device 340 and the database system 400 in FIG. 13 or between the database systems (when there are a plurality of database systems 400), encryption / decryption processing for search request information and search conditions and search results is performed. There is no particular limitation on the presence / absence and the encryption method.
[0041]
FIG. 14 is a block diagram illustrating a configuration of an information providing apparatus 200 used for the implementation plan 1 according to the second embodiment.
The database system 400 according to the second embodiment shown in FIG. 13 includes the information providing device 200. The database system 400 can send the anonymized personal information to the access device 340 in FIG. 13 by the function of the information providing device 200.
The database system 400 constitutes the information providing device 200 shown in FIG. The information providing device 200 may be a device, or may be in the form of a network like the database system 400.
[0042]
The information providing device 200 includes a personal information storage unit 110, an anonymization processing unit 120, an anonymized personal information storage unit 130, a reception unit 140, and a transmission unit 150. Further, the anonymization processing unit 120 includes a data ID generation unit 121.
[0043]
Hereinafter, the operation of the information providing apparatus 200 will be described.
The information providing device 200 is configured to appropriately store anonymized personal information in the anonymized personal information storage unit 130 in advance.
Then, when there is a transmission request for personal information from access device 340, information providing device 200 transmits anonymized personal information already stored in anonymized personal information storage unit 130 to access device 340. Also, regardless of the transmission request from the access device 340, the anonymized personal information can be transmitted to the access device 340 periodically or irregularly.
The personal information storage unit 110 stores non-anonymized personal information (non-anonymized data). The anonymization processing unit 120 uses the non-anonymized data stored in the personal information storage unit 110 to generate anonymized personal information that has been anonymized. The anonymized personal information storage unit 130 stores and stores the anonymized personal information generated by the anonymization processing unit 120. Then, for example, when the receiving unit 140 receives a request for transmitting personal information from the access device 340, the information providing apparatus 200 transmits the anonymized personal information stored in the anonymized personal information storage unit 130 to the transmitting unit 150. Via the access device 340.
Further, the data ID generation unit 121 of the anonymization processing unit 120 generates a data ID for identifying personal information when anonymizing personal information, and assigns the generated data ID to the anonymized personal information. Each of the plurality of database systems 310, 320, and 330 in FIG. 12 includes a data ID generation unit 121, and each data ID generation unit 121 generates a data ID according to the same generation rule. This is the same as the function of the data ID generation unit 50 of the information providing apparatus 100 according to the first embodiment.
[0044]
FIG. 15 is a diagram showing another example of the association distributed database system 500 according to the second embodiment. The association distributed database system 500 of FIG. 15 includes a first private database device 600, a second private database device 700, and a database access device 800. 12, the first private database device 600 corresponds to the database system 310, the second private database device 700 corresponds to the database system 320, and the database access device 800 corresponds to the access device in FIG. It can be seen that it corresponds to 340.
[0045]
The first private database device 600 includes a first identifier generation unit 610 that generates a first identifier, a first combination data generation unit 620, and a first storage unit 630. Then, the first combination data creation unit 620 creates the first combination data 621.
The first storage unit 630 stores the first private data 631. The first private data 631 includes first personal identification information and first personal data information.
The second private database device 700 has the same configuration as the first private database device 600, and performs processing of the second private data 731.
The database access device 800 includes an identifier matching unit 810 and a related data storage unit 820. The related data storage unit 820 stores related storage information 821.
[0046]
Next, the operation of the association distributed database system 500 will be described.
The operation of the first private database device 600 will be described first.
The first storage section 630 stores the first personal identification information and the first personal data information as first private data. Here, the personal identification information refers to information that can identify a specific individual or information that has a high possibility of identifying a specific individual. Information that can identify a specific individual includes an insurance card number, a driver's license number, and a resident card code. Information that has a high possibility of identifying a specific individual includes a name (because there is also the same name) and an address.
The personal data information may be, for example, weight or blood pressure when the result of the health check is stored and stored in a database. In addition, there are various things such as educational background, medical history, dental treatment history (excluding personally identifiable or identifiable information).
The first identifier generation unit 610 generates a first identifier that cannot identify an individual based on a predetermined rule from the first individual identification information. Here, the identifier is an example of the data ID described above.
The first combination data creation unit 620 combines the first identifier generated by the first identifier generation unit 610 with the first personal data information stored in the first storage unit 630, and outputs the first combination data 621. When outputting the first combination data 621, the first combination data creating unit 620 may encrypt and output the first personal data information. Further, when the first personal data information is formed of a plurality of data items, the data items may be encrypted by different encryption means. As a different encryption unit for each data item, a different algorithm is used, or encryption is performed using a different encryption key for each data item. The same applies to the case where the second combination data creation unit 720 described later outputs the second combination data 721.
The second private database device 700 operates in the same manner, but its features will be described.
The second storage unit 730 stores second personal identification information and second personal data information. Here, the second personal identification information has the same contents as the first personal identification information. On the other hand, the second personal data information is different from the first personal data information. For example, the first personal data information is the attendance information in the personnel affairs of the company, and the second personal data information is the case such as the health examination information of an industrial doctor.
The second identifier generation unit 710 generates a second identifier based on the same rules as the first identifier generation unit 610 using the second personal identification information.
The second combination data creation unit 720 creates the second combination data 721 by combining the second identifier generated by the second identifier generation unit 710 with the second personal data information stored in the second storage unit 730. Output.
The database access device 800 receives the first combination data 621 output from the first private database device 600 and the second combination data 721 output from the second private database device 700.
The identifier matching unit 810 refers to whether or not the first identifier of the first combination data 621 matches the second identifier of the second combination data 721. Then, the matching first personal data information of the first combination data 621 is associated with the second personal data information of the second combination data 721.
The related data storage unit 820 stores data associated with the identifier matching unit 810.
[0047]
As another example different from the realization plan 1, a realization plan 2 is shown.
FIG. 16 shows a realization plan 2 according to the second embodiment. The realization plan 2 has both the “method of returning anonymized personal information when accessed from an external system” and the “method of performing anonymized processing in advance and storing anonymized data”. It is a plan. This is a system in which the first embodiment and the implementation plan 1 of the second embodiment are mixed. FIG. 16A shows the relationship.
The “method of returning anonymized personal information when accessed from an external system” is realized by the access interface 360 and the database system 416 in FIG. The “method of storing anonymized data by performing anonymization processing in advance” is realized by the anonymized database system 415 in FIG. The anonymized database system 415 is similar to the database system 400 of FIG.
[0048]
As described above, in the realization plan 1 according to the second embodiment, since the anonymized personal information is stored in advance, it is possible to quickly respond to the access from the access device 340. Further, since the anonymized personal information is stored in advance, the anonymized personal information can be transmitted to the access device 340 periodically or irregularly regardless of the presence or absence of access.
[0049]
In the information providing apparatus 200 according to the second embodiment, the data ID is generated by the data ID generation unit, and the generated data ID is added to the anonymized personal information. Therefore, the anonymized personal information based on the data ID is used. Can be used.
[0050]
The associative distributed database system 500 according to the second embodiment can associate personal information with different contents while guaranteeing anonymity with respect to personal information with different contents about the same person, and therefore, the utility value of personal information can be reduced. Can be enhanced.
[0051]
In the distributed association database system 500 according to the second embodiment, when personal data information is formed of a plurality of data items, the first combination data creation unit 620 and the second combination data creation unit 720 respectively output the data. Since the respective data items of the first personal data information and the second personal information data are encrypted by different encryption means, it is possible to secure the anonymity of the personal information and to ensure that the individual personal information held by different database systems is maintained. Information can be used effectively by associating it.
[0052]
Embodiment 3 FIG.
Embodiment 3 is a configuration of the system shown in Embodiments 1 and 2 including a search device (an example of a management device) in order to improve convenience. That is, the third embodiment has a configuration in which a new function is added to the first and second embodiments. Therefore, the description is continued as the third implementation following the second implementation of the second embodiment. .
[0053]
Hereinafter, a realization plan 3 according to the third embodiment will be described.
FIG. 17 shows an implementation plan 3 of the distributed data system according to the third embodiment. FIG. 17 is a diagram illustrating the realization plan 4 and the realization plan 5 as well. First, implementation plan 3 will be described with reference to FIG.
FIG. 17 includes a search device 420 (an example of a management device) that manages “type information” indicating which database system stores information required by a searcher. Here, the “type information” means, for example, information that the personal information of the database system 310 relates to personal medical expenses, and the personal information of the database system 320 relates to attendance information in personnel management of a company. Means
It is difficult for the accessor (access device 340) to grasp all of the type information indicating what data is stored in which database system. In order to deal with such a problem, a search device 420 (an example of a management device) that manages which database system stores information required by a searcher is installed in the distributed database system. When the access device 340 specifies information (data) to be searched for in the search device 420, the search device 420 returns to the access device 340 which database system stores the information to be searched. Here, as a means for the search device 420 to manage which database system stores the search target data, a search table such as an address book (to be searched) and a correspondence table of the database system storing the data are used. It can be realized by management.
Here, a plurality of search devices 420 may be installed in the system.
[0054]
Next, as another example, implementation plan 4 will be described.
In the realization plan 3, when the search device 420 has the above-mentioned correspondence table, it is assumed that maintenance of the correspondence table becomes difficult. Therefore, in the realization plan 4, in order to deal with such a problem, in the system shown in FIG. 17, when the access device 340 requests the search device 420 to search the database systems 310, 320, and 330, the search device 420 Inquires of each database system whether or not there is data to be searched, and returns the result to the access device 340.
[0055]
Next, as another example, implementation plan 5 will be described.
In the realization plan 4, when the search request to the database systems 310, 320, and 330 is issued from the access device 340 to the search device 420, the search device 420 makes an inquiry to each of the database systems 310, 320, and 330. It is assumed that the search processing of the database system by the device 420 takes time.
For this reason, in FIG. 17, in the realization plan 5, when a search request for the database systems 310, 320, and 330 is issued from the access device 340, the search device 420 first refers to an internal table provided in the search device 420. If "correspondence between the contents to be searched and the database system storing the data" is registered in the internal table, the registered contents are returned to the access device 340. If not registered in the internal table, the search device 420 makes an inquiry to each of the database systems 310, 320, and 330, returns a result of the inquiry to the access device 340, and updates the internal table of the search device 420. According to the above procedure, the search processing of the database systems 310, 320, and 330 is speeded up, and the maintenance work of the internal table of the search device 420 is made more efficient.
[0056]
Next, as another example, implementation plan 6 will be described.
Implementation plan 6 (not shown) includes target database systems 310 and 320 when the target system is implementation plan 2 (embodiment 1 and implementation plan 1 mixed (FIG. 16A)). An access device which discloses what interface (for example, whether to access using a specific API (Application Program Interface) or to access using a general-purpose API such as SQL (Structured Query Language)) is disclosed. This is a system that the 340 side is aware of. In order to reduce the load on the access device 340, the realization plan 6 adds a management function of the interface information of the database systems 310, 320, and 330 to the realization plan 3 to the realization plan 5.
[0057]
Next, as another example, implementation plan 7 will be described.
FIG. 18 shows implementation plan 7. The realization plan 7 adds a data search function to the search devices 420 of the realization plans 3 to 6, and is positioned as a portal device 430 (an example of a management device). That is, the portal device 430 has a data search function and also has type information indicating what type of personal information the database systems 310, 320, and 330 have.
The access device 340 transmits a search request (an example of a first personal information transmission request) to the portal device 430. Upon receiving the search request, the portal device 430 requests a predetermined database system for a search request (first request) based on the type information of the portal device 430 and the search request received from the access device 340 (an example of a first personal information transmission request). 2) is transmitted. In FIG. 18, the portal device 430 transmits a search request to the database system 310 as a predetermined database system. This is because according to the type information of the portal device 430, it has been found that the database system 310 owns the corresponding information. The database system 310 includes, for example, the information providing apparatus 100 shown in FIG. The information providing apparatus 100 receives a search request (second personal information transmission request) from the portal apparatus 430. The information providing apparatus 100 extracts personal information stored in the personal information storage unit 40 in response to the search request. The data ID generation unit 50 generates a data ID and adds it to the extracted personal information. Then, the transmitting unit 62 transmits the anonymized personal information to the portal device 430. A plurality of portal apparatuses 430 may be installed in the distributed database system.
As described above, in response to the search request received from the access device 340, the portal device 430 searches the database systems 310, 320, and 330 that store the target data, and searches for the target data. , 320, and 330, and returns the search result to the access device 340.
As described above, the portal apparatus 430 has the data search function and stores the type information, so that it is possible to quickly know what personal information is held in which database system. Can be collected.
[0058]
Next, as another example, implementation plan 8 will be described.
In the realization plan 8 (not shown), in the realization plan 7, when a search request for data requiring an inquiry to a plurality of database systems 310, 320, and 330 is made at once, the data ID is assigned to the search result. Is an anonymous distributed database system characterized in that a merge process is provided as a process in the portal apparatus 430.
[0059]
In the third embodiment, since the search device 420 (an example of the management device) is provided, it is possible to efficiently search the personal information from the access device 340 to the database system.
[0060]
Embodiment 4 FIG.
The fourth embodiment is a mode in which an agent function for autonomously patroling each of the database systems 310, 320, and 330 is added to the first to third embodiments in order to improve convenience. Therefore, since additional functions are added to the first to third embodiments, the description is continued as a realization plan 9 following the realization plan 8 of the third embodiment.
[0061]
Hereinafter, implementation plan 9 in the fourth embodiment will be described.
FIG. 19 shows a distributed database system of implementation 9 according to the fourth embodiment. In the following, the realization plans 9 to 13 will be described as a fourth embodiment. The distributed database system of the realization plans 9 to 13 is realized by an agent 440 that autonomously traverses a search for anonymous data. It is characterized by. There is no particular limitation on the processing when the agent 440 detects an abnormality (a path abnormality to the target database system 310, 320, 330, a target database down, etc.).
There is no particular limitation on the processing when the search processing by the agent 440 exceeds a predetermined time.
[0062]
Next, a realization plan 10 will be described as another example of the fourth embodiment.
FIG. 20 shows another realization plan 10 according to the fourth embodiment.
In Implementation 9 above, the agent 440 would need to traverse (worst) all database systems. In order to solve such a problem, in FIG. 20, a function for managing which database system stores information necessary for a searcher (managing the “type information”), The portal device 430 provided with the function of planning the traveling route plan of the agent 440 using the agent 440 is installed in the system.
Here, whether communication between the access device 340 and the portal device 430 is performed by the agent 440 is not particularly limited.
[0063]
Next, as another example, implementation plan 11 will be described.
The realization plan 11 (not shown) does not create a route plan based on only the data to be searched and the database systems 310, 320, and 330 for the above-described realization plan 10, but sends it to the target database systems 310, 320, and 330. This is an anonymous distributed database system characterized by adding a traveling route planning function to the portal apparatus 430 in consideration of a system state (abnormality) at the time of search such as a path abnormality or a database down. However, there is no particular limitation on the means for detecting and updating the configuration control information.
[0064]
Next, as another example, the realization plan 12 will be described.
The realization plan 12 (not shown) is obtained by requesting the realization plan 10 and the realization plan 11 for data that requires inquiries to a plurality of database systems 310, 320, and 330 at one time. An anonymous distributed database system characterized in that an agent 440 performs a merge process on a search result by a data ID.
[0065]
Next, as another example, the realization plan 13 will be described.
The realization plan 13 (not shown) is an anonymous distributed database system in which the functions of the realization plan 10 or the realization plan 11 are provided to the agent 440.
[0066]
In the fourth embodiment, since the agent system is employed as described above, the efficiency of searching for personal information from access device 340 can be improved.
[0067]
As described above, various functions have been described in the first to fourth embodiments. However, “functions that need to be realized when constructing an anonymous (anonymized) database system” and more convenient by realizing Functions and functions leading to efficiency improvement "are summarized below and listed as functions that can be realized in the first to fourth embodiments.
[0068]
1. Anonymous data management
Each of the database systems 310, 320, and 330 is an anonymous distributed database system that manages and controls data in consideration of multiple levels of anonymization levels. For example, based on the following rules, the anonymization processing unit 120 in FIG. 14 anonymizes the personal information stored in the personal information storage unit 110 into different levels, stores the information in the anonymized personal information storage unit 130, and manages the information. I do. In the following cases, “anonymization” includes a case where anonymization is not performed.
That is, the anonymization level is controlled from the authority of the access device 340 or the accessor, the purpose of use, and the like. Here, there is no need for the database systems 310, 320, 330 to manage personal information at the same level of anonymization. For example, the following three anonymization management levels can be considered.
Level 1 is data used in each of the database systems 310, 320, and 330, and has not been subjected to anonymization processing.
Level 2 is anonymized data assuming that it is processed by an external system, but in an internal system, it is data that can identify an individual from a data ID.
Level 3 is anonymized data on the assumption that it is processed by an external system. The anonymized data is data that cannot identify an individual even in the internal system (for example, it is assumed that the data is used as data for performing statistical processing). The level of anonymization is divided into levels 1 to 3 as an example, but is not limited to this, and the level of anonymization can be freely set.
As described above, by dividing personal information into anonymized levels, anonymity can be ensured, and the usability of personal information can be improved.
[0069]
2. Confirmation of securing anonymity
When there are a plurality of access devices 340, the search histories (search conditions and search results) from all the access devices 340 or the accessor are stored, and the access histories are checked based on a rule base. This is an anonymous distributed database system that checks whether anonymity is maintained.
Here, there is no particular limitation on the storage period of the search history and the check period (regular / irregular) of the access history.
[0070]
3. Billing system
Search histories (search conditions and search results) from a plurality of access devices 340 or accessors are stored, and the number of accesses to each of the database systems 310, 320, and 330 or the amount of data of the search results is charged on the access side. This is an anonymous distributed database system that performs calculations.
Similarly, the search history is used to calculate an information provision fee to an information provider (individual / organization) (each database system 310, 320, 330).
[0071]
4. Security
Each device constituting the system has an authentication function and is an anonymous distributed database system characterized by encrypting data flowing on the network 350. For example, communication data is encrypted with a public key, a secret key, or the like, and is decrypted with a public key, a secret key, or the like.
[0072]
5. Function 1 for ensuring anonymity
This is an anonymous distributed database system characterized by adding a function of excluding a search condition leading to “identification of an individual” from data search conditions. A rule base that defines what conditions are excluded is arranged as a function in the access interface 361 of the access device 340, the portal device 430, and the database systems 310, 320, and 330.
[0073]
6. Function 2 for ensuring anonymity
The data returned from each of the database systems 310, 320, and 330 is encrypted using a different key or a different encryption unit for each data item, and the access device 340 or the accessor's authority for the data and the data This is an anonymous distributed database system characterized by providing a mechanism for controlling data items that can be referred to according to the purpose of use. For example, different algorithms or different encryption keys.
In order to realize the function, the access device 340 in the system and the authentication function for the access person are required.
[0074]
7. Function 3 for ensuring anonymity
Giving a unique key to each of the database systems 310, 320, 330, and encrypting search request information (search conditions, etc.) (an example of a personal information transmission request) sent from the access device 340 to the database systems 310, 320, 330. Thus, there is provided an anonymous distributed database system in which a mechanism capable of decrypting search conditions encrypted only in the database systems 310, 320, and 330 to be searched using the unique key is provided. When there are a plurality of search conditions, each condition is encrypted by a different encryption method. For example, different algorithms or different encryption keys. In the case of encryption, encryption may be performed for each search condition as described above, or different encryption may be performed for each database system.
There is no particular limitation on the technology used for encryption / decryption.
[0075]
8. Function 4 for ensuring anonymity
An anonymous distributed database system characterized by adding a mechanism for deleting data search conditions from information held in an agent 440 in exchange for data search results (personal information) when collecting data by the agent method. It is. This will be described with reference to FIG. In FIG. 19, access device 340 sets a plurality of search requests (an example of search conditions) for searching for personal information. Then, the access device 340 generates an agent 440 that circulates the database systems 310, 320, and 330 (an example of a plurality of information providing devices) and collects personal information, and assigns the plurality of search requests to the generated agent 440. And outputs the agent 440. Then, the access device 340 causes the output agent to collect personal information from any of the database systems 310, 320, and 330. When the agent 440 collects personal information from the database system, the agent 440 deletes the search condition used for collecting personal information of the database system.
As described above, the personal information can be efficiently collected by causing the agent 440 to collect the personal information. Further, when the portal device 430 collects personal information, the agent 440 deletes the search condition for collecting the personal information. Therefore, the agent 440 must own the search result and the search condition used for the search result at the same time. Therefore, even when the agent 440 collects personal information, anonymity can be ensured.
[0076]
9. Function 5 for ensuring anonymity
Judging the number of data in the search result, if the number is less than or equal to the predetermined number, or if the number is less than the predetermined number, there is a possibility that anonymity cannot be guaranteed, so an anonymous distributed database system characterized by not returning the search result is there.
The predetermined number is set in each of the database systems 310, 320, 330.
[0077]
10. Function 6 for ensuring anonymity
Determine the data ratio of the search results, if the ratio is less than the predetermined ratio, or if less than the predetermined ratio, there is a possibility that anonymity can not be guaranteed, so anonymous distributed database system characterized by not returning the search results is there.
Here, the setting of the population as a base of the ratio and the predetermined ratio can be set in each of the database systems 310, 320, and 330.
[0078]
11. Function 7 for ensuring anonymity
An anonymous distributed database characterized in that “9. Function 5 for ensuring anonymity” and “10. Function 6 for ensuring anonymity” are simultaneously provided to database systems 310, 320, and 330. System.
[0079]
12. Function 8 for ensuring anonymity
Anonymous distribution characterized by a mixture of database systems 310, 320 and 330 having the functions of "9. Function 5 for ensuring anonymity" to "11. Function 7 for ensuring anonymity". It is a database system.
[0080]
13. Function 9 for ensuring anonymity
This is an anonymous distributed database system that does not return the search result itself if the predetermined data item of the search result contains predetermined specific data, since anonymity may not be guaranteed. For example, if "leukemia" is included as a data item of the medical history, it may be assumed that it is not returned.
Here, in each of the database systems 310, 320, and 330, what data item is to be excluded when what data is included is set.
[0081]
14． Function 10 for ensuring anonymity
If the specified data item in the search result contains specified specific data, anonymity may not be guaranteed, so the anonymized data is returned after deleting the relevant data from the search result. It is an anonymous distributed database system.
Here, in each of the database systems 310, 320, and 330, what data item is to be excluded when what data is included is set.
[0082]
15. Function 11 for ensuring anonymity
This will be described with reference to FIG. This function is an additional function to the function of the portal device 430 described in the realization plan 7. In FIG. 18, the portal device 430 can secure anonymity of the search results (anonymized personal information) sent from the database systems 310, 320, and 330 in FIG. It is a function to determine whether or not there is.
Specifically, the portal device 430 (an example of a management device) in FIG. 18 performs the functions of “9. Function 5 for ensuring anonymity” to “14. Function 10 for ensuring anonymity”. Have. When the portal apparatus 430 receives a search result (anonymized personal information) from the database systems 310, 320, 330, etc., the portal apparatus 430 receives the search results from the respective database systems 310, 320, 330 using the above-described functions. For each search result, whether or not anonymity can be guaranteed is determined based on a predetermined criterion. If the portal device 430 determines that anonymity can be guaranteed, the portal device 430 transmits the search result to the access device 340. This is an anonymous distributed database system characterized by the above. With the above function, when the portal apparatus 430 receives a plurality of search results (anonymized personal information) from the plurality of database systems 310, 320, 330, etc., the anonymity of the personal information from each database system is ensured. can do.
In addition, for the search result (anonymized personal information) transmitted from each of the database systems 310, 320, and 330, which is a function of the portal apparatus 430 described above, anonymity can be secured for each search result. "Determining whether or not it is possible" can be provided to the agent 440 of the implementation plans 9 to 13 described above. That is, when the agent 440 collects the search results (anonymized personal information) from the database systems 310, 320, 330, etc., the above-mentioned “9. Function 5 for ensuring anonymity” to “14. For each search result collected from each of the database systems 310, 320, and 330, it is determined based on a predetermined criterion whether or not anonymity can be guaranteed, using the respective functions of the "function 10 for ensuring sex". If the agent 440 determines that anonymity can be guaranteed, the agent 440 transmits the search result to the access device 340.
[0083]
16. Function 12 for ensuring anonymity
This will be described with reference to FIG. This function is an additional function of the portal apparatus 430 in the realization plan 7, similarly to the above “15. Function 11 for ensuring anonymity”. In FIG. 18, the portal apparatus 430 associates search results (anonymized personal information) from a plurality of database systems 310, 320, and 330, and checks whether the anonymity can be ensured as a result of the association. For example, anonymity can be ensured if the search result is only the database system 310, but anonymity may not be ensured if a plurality of search results of the database system 310 and the database system 320 are associated with each other. It is a function that assumes this.
If the anonymity cannot be secured, the portal device 430 does not return the search result to the access device 340, and is an anonymous distributed database system. Any search result or combination of data items for which anonymity cannot be ensured can be freely set.
With the above functions, personal information can be efficiently used by associating personal information with each other while ensuring anonymity of search results (anonymized personal information) from a plurality of database systems.
It should be noted that the function of the portal apparatus 430 described above is "associating search results (anonymized personal information) from a plurality of database systems 310, 320, and 330, and checking whether anonymity can be ensured as a result of the association. This can be provided to the agents 440 of the realization plans 9 to 13 described above.
[0084]
17. Function 13 for ensuring anonymity
This function is also an additional function of the portal device 430 in the realization plan 7 shown in FIG. The above-mentioned “16. Function 12 for ensuring anonymity” is that the portal device 430 checks the search results obtained from the database systems 310, 320, 330 in association with each other. The “17. Function 13 for ensuring anonymity” is a function in which the portal device 430 checks the anonymity assurance by associating search results obtained from the database system 310 or the like around a certain time. That is, the portal device 430 (an example of the management device) stores, as a history, search results (anonymized personal information) received in the past from the database system 310 or the like. When a new search result that is not a history is received from the database system 310 or the like, the search result that is not a history is associated with the history. If the portal device 430 determines that the anonymity of the newly received search result can be ensured also by associating, the portal device 430 newly receives the search request (first personal information transmission request) by the access device. Send search results (anonymized personal information). For example, as described in “16. Function 12 for securing anonymity”, it is possible to assume that anonymity cannot be secured by associating search results of the database systems 310, 320, and 330, This is because it is possible to assume that anonymity cannot be ensured by associating the search result only with the database system 310 with a past search result (search history).
As described above, since the portal apparatus 430 stores the search results received in the past as a history and determines whether or not the anonymity can be secured in association with the newly received search results, the anonymity is secured including the past search history. be able to.
[0085]
18. Data ID generation means 1
The data ID is an ID for specifying data based on a certain standard such as a data source, and is a key for associating data retrieved from the multiple database systems 310, 320, and 330. Therefore, information that can identify an individual must not be generated from the data ID. Here, anonymous data is generated by converting the information (personal name, gender, date of birth, address, etc.) held in each of the database systems 310, 320, 330 equally according to a predetermined rule and generating a data ID. Is a simple distributed database system.
[0086]
19. Data ID generation means 2
As the conversion target item of the data ID (and one item thereof) or the data conversion key (and one item thereof), some time information (data search request time is assumed. An example of unique information) is included. This is an anonymous distributed database system.
[0087]
20. Data ID generation means 3
As a data ID conversion target item (and one item thereof) or a data conversion key (and one item), a data search request terminal (an example of an access sender ID) or a search requester ID (An example of an access sender ID) is included in the anonymous distributed database system.
[0088]
21. Data ID generation means 4
An anonymous distributed database system is characterized by a data ID generating means in which the data ID generating means 2 and the data ID generating means 3 are combined.
[0089]
22. Data ID generation means 5
This is an anonymous distributed database system characterized in that a plurality of data ID generating means exist in one system.
Although it is physically one distributed database system, it is realized by treating it as a plurality of logical subsystems.
[0090]
23. Processing means 1 in the case of mixed use of personal information for other purposes
This is an anonymous distributed database system that requires permission for other purposes of personal information and does not return any personal information without permission (even if anonymized). Here, “other purpose use” means a case where the purpose is different from the originally planned use and is used for another purpose. For example, there is a case where personal information that is to be used to check the transition of medical expenses of a group is used for another purpose such as personal health guidance.
[0091]
24. Processing means 2 in the case where permission for use of personal information for another purpose is mixed
An anonymous distributed database system characterized by controlling an anonymization level (anonymization level in "1. Anonymous data management means") to be returned to the access device 340 depending on whether or not permission is granted for another use of personal information. It is. For example, the personal information storage unit 110 of the information providing apparatus 200 in FIG. 14 stores both personal information for which use of personal information has been licensed and personal information for which use has not been licensed. . The anonymization processing unit 120 performs a predetermined level of anonymization processing depending on the presence or absence of a license. If the license is granted, an anonymization process such as level 2 in the above-mentioned “1. Anonymous data management means” is performed. Alternatively, if the personal information is licensed to use freely without any restrictions, the anonymization process is performed as in Level 1 of “1. Anonymous data management means” described above. It may be transmitted to the access device 340 without performing. On the other hand, when the license has not been received, the level of anonymization is increased, and for example, the information is used only as statistical information as in level 3 in “1. Anonymous data management means” described above. In this respect, this is different from the above-mentioned "23. Processing means 1 in a case where the presence / absence of permission for use of personal information for another purpose is mixed" where personal information without permission is not returned.
As described above, by changing the level of the anonymization process depending on whether or not the use of the personal information is permitted, the personal information can be widely and effectively utilized while ensuring the anonymity of the personal information.
[0092]
25. Means to identify individuals from data ID
Each of the database systems 310, 320, and 330 is an anonymous distributed database system characterized by having a mechanism for specifying an individual from a data ID.
An individual is specified by means for searching for data that can generate a data ID equal to a given data ID for data stored in a database system in a data ID generation process.
[0093]
26. Means 1 for non-authorized persons to identify individual from data ID
An anonymous distributed database system (extended function of "25. Means for specifying an individual from a data ID") characterized in that a function for specifying an individual from a data ID cannot be installed in the same device as the data search function. .
[0094]
27. Means 2 for non-authorized persons to identify individual from data ID
Select a unit that generates a data ID using items that do not exist in each of the database systems 310, 320, and 330, such as a search request time (an example of unique information) and an identifier for identifying a search requester (an example of unique information). In addition, an anonymous distributed database system is characterized in that data items that are essential when generating these data IDs are encrypted and transmitted to the database system. By adding unique information possessed only by the access device 340 side, for example, "search request time" or "identifier for identifying a search requester", a predetermined database system or a user other than a predetermined operator in the database system is added. Makes it impossible to identify an individual from the data ID.
That is, in each of the database systems 310, 320, 330, etc., data items of personal information used for generating a data ID include a personal name, gender, date of birth, address, and the like. In addition, information such as the search request time, which is possessed only by the access device 340, is added as a data item for generating a data ID.
Specific application will be described by taking the “process of application to intervention service” described in the first embodiment as an example. Hereinafter, the data ID generation and the comparison ID generation will be mainly described with reference to FIGS. 3 and 5.
(1) In FIG. 5, the health insurance union requests a consulting company (access device 340) to analyze and investigate what kind of individual and what kind of health promotion intervention service should be provided. . Based on this request, the consulting company transmits a request for transmitting personal information of personal information such as, for example, receipt information to the health insurance union database system 370. This personal information transmission request includes a search condition for searching for personal information and a search request time at the time of transmission (an example of unique information).
(2) The information providing apparatus 100 (FIG. 3) of the health insurance union database system 370 extracts the personal information when receiving the personal information transmission request, and the data ID generation unit 50 generates the data ID. In the data ID generation by the data ID generation unit 50, the search request time (an example of unique information) received from the access device 340 is an essential data item for data ID generation. The information providing apparatus 100 adds a data ID to personal information (reception information in FIG. 5) and transmits the personal information to the access device 340. The transmitted personal information includes the receipt information of “Dasf104”, which is a data ID of “Taro Mitsubishi”.
(3) The access device 340 sends a search request for attendance information to the personnel database system 380 in order to analyze and investigate in association with the anonymized receipt information collected from the health insurance union database system 370. The personnel database system 380 transmits the anonymized attendance information to the access device 340 in response to the search request. The anonymized attendance information transmitted by the personnel database system 380 includes attendance information of “Dasf104”.
(4) The access device 340 analyzes the receipt information of the health insurance union database system 370 and the attendance information of the personnel database system 380. Then, "Dasf104" is determined as a reserve for lifestyle-related diseases. The access device 340 holds this analysis result as analysis information. Then, the consulting company (the access device 340) transmits the analysis information (an example of the access device information) to the health insurance union database system 370 in order to respond to the analysis and survey request from the health insurance union. The analysis information includes the search request time previously transmitted at the time of the search request from the access device 340 to the health insurance union database system 370.
(5) In the information providing apparatus 100 of the health insurance union database system 370, the comparison ID generation unit 51 uses the personal information storage unit 40 to identify the “Dasf104” received from the access device 340 as an individual. Using the personal information to be stored and the search request time included in the analysis information (an example of the access device information), a comparison ID for identifying the individual is generated in comparison with “Dasf104”. In this case, the search request time included in the analysis information is indispensable data for generating the comparison ID, and the comparison ID cannot be generated without the search request time. For example, when the comparison ID is determined to be “Dasf104” based on the personal information of “Mitsubishi Taro” and the search request time, it is determined that the individual who needs intervention is “Mitsubishi Taro”.
As described above, according to the present means, it is possible to ensure the anonymity of personal information by preventing a person other than a predetermined database system or a predetermined operator from specifying a data ID.
[0095]
28. Means 3 for non-authorized persons to identify individual from data ID
The above-mentioned “26. Means 1 for non-authorized persons to identify individuals from data ID” and “27. Non-authorized persons cannot identify individuals from data ID” Means 2 in combination with the above means 2.
[0096]
29. Means 4 for non-authorized persons to identify individual from data ID
An anonymous distributed database system characterized in that, when a data ID is generated by a request other than a search request from the access device 340, data of an individual who is not permitted to use the personal information for another purpose cannot be generated. .
[0097]
Embodiment 5 FIG.
Embodiment 5 will be described with reference to FIGS. In the fifth embodiment, five application examples in which the system described in the first to fourth embodiments is applied to a system in a specific business will be described.
[0098]
First, a sample data providing system will be described below as an application example of the first to fourth embodiments. FIG. 21 is a diagram showing an outline of the sample data providing system.
FIG. 21 shows a model in which personal information of the real world accumulated by the information collector 454 is anonymized and provided to information users 453 such as research institutions and consulting companies. The sample data providing system includes five users: an information user 453, an information collector 454, an information provider 455 (licenser) (individual / organization), a company 452, and a system operator (constructor) 451.
The information user 453 is assumed to be an individual or an organization who wants real-world data when conducting research or the like. As shown in FIG. 21, the information user 453 pays an information providing fee to the information collector 454 and a system usage fee to the system operator (constructor) 451 as a price for obtaining the information. As each cost, a pay-as-you-go system and a flat-rate system can be considered.
The information collector 454 originally collects and accumulates personal information only for the purpose of proceeding with his / her own work. By applying the first to fourth embodiments to the stored information, it is possible to guarantee anonymity and to provide anonymized personal information to other organizations. The information collector 454 can receive an information provision fee from the information user 453 as a price for providing information. Here, as the means for calculating the information provision fee, a pay-as-you-go system based on the amount of information of the provided data and the number of times of searching by the accessor and a flat-rate system for connection to the system itself can be considered. Further, as indirect advantages, it is conceivable that the relationship with the information user 453 is strengthened, and the provision of information to the information user 453 itself can be used for commercial advertisement.
When the individual who is the information provider 455 (licenser) and the organization to which the individual belongs perform some social activity, personal information is accumulated by the information collector 454. In the case of this example, since the anonymization of personal information is guaranteed by applying the first to fourth embodiments, it is considered that individual consent for the purpose use of data is unnecessary. In the sample data providing system, there is no explicit return to the information provider 455 (licenser) (individual / organization).
The company 452 in the sample data providing system is assumed to be a for-profit organization that provides devices and services related to the information user 453. By providing corporate advertisements on search screens, search result display screens, e-mails, etc., we will provide opportunities for sales expansion. The company 452 pays the advertisement fee as the price. A similar advertisement may be given to the information collector 454 and the information provider 455.
The system operator (constructor) 451 provides the platform to the four parties. The system usage fee will be collected in return. In addition, an advertisement fee is collected by providing the company 452 with a sales expansion opportunity. Further, an information providing fee is collected from the information user 453 and distributed to the information collector 454. It is also assumed that the platform will be built using public funds such as grants, subsidies, and consignments.
[0099]
As described above, in the application example of the sample data providing system, the protection of personal information can be solved by applying the first to fourth embodiments.
For the construction of the billing function, a billing rule is created. If necessary, a mechanism for counting the number of accesses to each database system 310 or the like by the portal device 430 is constructed, or a mechanism for counting the amount of data retrieved from each database system 310 or the like by the portal device 430 is constructed. It is also possible to do.
The information presentation means such as advertisements is realized by a function of displaying an advertisement as a burner on a search request screen (Web screen image), a function of displaying an advertisement as a burner on a search result download screen (Web screen image), and the like. be able to.
[0100]
Next, two types of health care systems will be described below as a second application example of the first to fourth embodiments. First, a health care system example 1 will be described as a first application example. FIG. 22 is a diagram showing an outline of the first example of the health care system.
A first example of a health care system, which is a first example of the health care system, will be described with reference to FIG.
FIG. 22 is a diagram for analyzing various information of an individual and an organization to which the individual belongs to evaluate the health of the individual and the organization, and to improve the health of the individual and the organization, or A model for implementing an intervention service to maintain In the first example of the health care system, the main purpose is to improve the health of the group such as the health insurance union, mainly by the information collector 454 of the health insurance union.
Unlike the sample providing system described with reference to FIG. 21, the analysis result is fed back to the individual in some form, so that the individual is required to use the personal information for another purpose and to provide the intervention service.
Examples of the healthcare system 1 include an information user 453 (consulting company), an information collector 454, an information provider 455 (licenser) (individual / organization), an information provider 457 (non-licensor), and service provision. Six persons, a company 458 and a system operator 451, appear.
A health insurance union, a company (human resources), an industrial physician, and the like are assumed as the information collector 454 in the first example of the health care system. By getting the intervention service on track, the health insurance union, which is the information collector 454, can benefit from reducing medical expenses, and companies can benefit from more efficient work. In operating the healthcare system example 1, each information collector 454 uses personal information for other purposes from all information providers 455 (licensers) (individuals) (however, information use is limited to healthcare-related purposes). ) And the need to obtain permission for the implementation of intervention services. The information collector 454 sends the anonymized data to a consulting company (information user 453), which is a third party, and requests data analysis. Representatives of the analysis are health assessments and trends of individuals and organizational units within a company, as well as surveys of disease reserves. Here, the personal information for which the use of the personal information for another purpose is not obtained is used only as statistical information.
The information collector 454 (for example, assuming a health insurance union) transmits a data ID of a person who is a reserve sick force from a consulting company (organization) that is the information user 453, and when the data ID is transmitted to any individual, In order to specify whether the data ID indicates the data ID, a data ID is generated based on personal information held by the user, the generated data ID is collated with the transmitted data ID, and a matching individual is specified. The identified individuals will be provided with a health promotion service (excluding non-licensors) in order to take measures to improve the reserve illness. Here, the health promotion service may be outsourced to the service providing company 458, and in this case, information on the illness reserve is provided to the service providing company 458.
That is, the consulting company (organization) as the information user 453 analyzes the anonymized data based on the request from the information collector 454 (for the time being a health insurance union is assumed). As a result of the analysis, the health evaluation of the organization and the health evaluation of the individual are returned to the information collector 454. In other words, the consulting company (organization) examines whether there is a reserve army for diseases such as lifestyle-related diseases and adult diseases, and if it is determined that there is a reserve army, sends the target person to the information collector 454 by data ID. Report. Considering that the anonymization may not be guaranteed, the consulting company (organization) should not disclose to the requester (in this case, the health insurance union) the reasons for selecting a reserve illness, etc. Shall not.
Here, if any one of the consulting company (organization) and the information collector 454 matches, it is necessary to impose a confidentiality obligation on the organization in charge of the analysis and / or the person in charge by contract or the like. In the consulting company (organization), the fee for the analysis request from the information collector 454 becomes income.
The service provider 458 entrusted by the information collector 454 performs an intervention service for the individual and the organization to which the individual belongs according to the target person information obtained from the information collector 454. Exercise guidance, nutrition guidance, smoking cessation guidance, and the like are assumed for the intervention service, and there are cases where costs are collected from individuals according to the content of the provided service. In addition, as part of the intervention service, mediation of athletic gyms, mediation of catering companies, etc. are performed, and kickbacks from these companies can be assumed as sources of income.
In addition, when it is clear that the medical cost of the health insurance and the improvement of the work efficiency are obvious, it is possible to assume that a predetermined ratio of the reduction is used as the performance reward.
The system operator 451 is entrusted by the information collector 454 or the service provider 458, and operates a system that performs anonymization of personal information and the like. However, the system operator 451 may be the same as the information collector 454 or the service provider 458.
The information provider 455 (licenser) (individual / organization) is assumed to be an individual who is permitted to use personal information for another purpose and to provide an intervention service. Since the organization that is the information provider 455 (licenser) in the healthcare system example 1 is assumed to match the information collector 454 (or a part thereof), the organization rarely denies it. Conceivable. Individuals can obtain information on health improvement and maintenance at low cost (or free of charge), and can expect a discount on exercise gyms and catering companies, etc., which were provided by the intervention service, and a part of the cost of health insurance unions.
It is assumed that the information provider 457 (non-licensor) is an individual who has not permitted the use of personal information for another purpose and the provision of the intervention service.
[0101]
As described above, in the application example of the first example of the health care system, the assurance of anonymity for the actual data provided by the information collector 454 can be solved by applying the first to fourth embodiments.
The means for associating anonymized data from a plurality of information collectors 454 can be solved by applying the first to fourth embodiments.
The function for specifying an individual from the data ID and the means for securing anonymity at that time need to be realized when constructing the “anonymous (anonymization) / database system” described in the fourth embodiment. And 25. Means for specifying an individual from a data ID, and 26. Individuals other than authorized persons from a data ID. Means for preventing the identification of the individual from the data ID "," 27. means 2 for the individual other than the authorized person to identify the individual from the data ID "," 28. Means 3 for the individual other than the authorized person to identify the individual from the data ID "," 29. This can be solved by using means such as "Means 4 for preventing anyone other than the authorized person from identifying the individual from the data ID."
As for the health evaluation means, there is “health degree” as a health evaluation means for an individual, and it is assumed that the health degree is applied. When applying health to a group, it is assumed that the health of individuals is accumulated.
As for the means of evaluating the effect of applying the intervention service, a consulting company (organization) is periodically requested to analyze the health of the organization. In addition, it manages the provision history of the intervention service (reporting obligation from the service providing company 458 and accumulation thereof). The information is analyzed by a consulting company (organization).
Regarding the handling of personal data that does not consent to the provision of information, and the construction of a function to handle mixed data, it is necessary to realize the "anonymous (anonymized) database system" described in the fourth embodiment. And “Functions that will be more convenient and more efficient when implemented” and “Processing means 1 when mixed use of personal information for other purposes” and “24. This can be solved by using the "processing means 2 in the case where permission / non-use of information for other purposes is mixed".
In addition, there is no particular limitation on an evaluation method for indirect merits such as reduction of medical expenses and improvement of productivity.
[0102]
Hereinafter, a second example of the healthcare system, which is the second case in which the first to fourth embodiments are applied to healthcare, will be described. FIG. 23 is a diagram illustrating a system of a health care system example 2. The health care system example 2 assumes a case where an individual requests a consulting company. In this example, in the past, the intervention policy for individuals was determined based on the know-how held by the consulting company, but in addition to that, it became possible to obtain information such as the characteristics of the organization to which the individual belongs and the medical history of the individual, The consulting company (corresponding to the information user 453; the same applies hereinafter) can provide detailed advice in consideration of these information. By analyzing the health status of a group belonging to the same organization, a consulting company investigates the presence or absence of external factors that are often unattractive for individuals, and expands the opportunity to discover factors that were not previously noticed.
The health care system example 2 includes five persons: a requester 460, an information user 453 (consulting company), an information collector 454, an information provider 455 (licenser) (individual / organization), and a system operator 451. I do.
The client 460 requests a consulting company (organization) to provide services related to health and the like. Here, it is assumed that the requester 460 is a member of the information provider 455 (licenser) (individual / organization).
The consulting company (organization), which is the information user 453, analyzes the individual client and the organization to which the client 460 belongs based on the request from the client 460. According to the analysis result, a policy of intervention to the client 460 or advice is determined.
In the case of using the healthcare system example 2, the consulting company may cause a cost increase, such as payment of a system usage fee to the system operator 451 and payment of an information provision fee to the information collector 454. Since significant information to be analyzed, such as personal information, can be obtained, the accuracy of know-how held as a consulting company can be expected to be improved, and medical cost reduction and the like can be expected.
The system operator 451 collects a system usage fee from a consulting company (organization) and operates and maintains the system. The position of the system operator 451 is not much different from the sample data providing system.
The information collector 454 collects an information provision fee as a consideration for providing anonymized information to the consulting company. Here, the information provided to the consulting company is anonymized actual data and used as statistical data, and is information of the client 460 himself, and the information provider 455 (licensor) (all members) is not permitted to use other purposes. We think it is unnecessary.
The information provider 455 (licenser) receives a service that the information collector 454 performs as a normal task, and personal information is accumulated in the information collector 454.
[0103]
As described above, in the application example of the healthcare system example 2, assurance of anonymity for the actual data provided by the information collector 454 can be solved by applying the first to fourth embodiments.
Means for associating anonymized data from a plurality of information collectors 454 can be solved by applying the first to fourth embodiments.
The construction of the billing function is the same as that of the sample data providing system. That is, for the construction of the billing function, a billing rule is created. If necessary, a mechanism for counting the number of accesses to each database system 310 or the like by the portal device 430 is constructed, or a mechanism for counting the amount of data retrieved from each database system 310 or the like by the portal device 430 is constructed. It is also possible to do.
[0104]
Next, two types of intervention service evaluation systems will be described as other application examples of the first to fourth embodiments. First, a first example of an intervention service evaluation system example 1, which is a first example, will be described. FIG. 24 shows an outline of the first example of the intervention service evaluation system.
The effectiveness of intervention services and the like is evaluated by managing the history of the health status (health evaluation results) of the group or individual. Embodiments 1 to 4 are used for acquiring data for evaluating an intervention service. 24 is a service providing company 458, an information collector 454 (consignment source), an information provider 455 (licenser) (individual / organization), a system operator 451, and a service evaluating company 461. 5 people appear.
As in the first example of the health care system, the information collector 454 entrusts an intervention service for the individual to the service provider 458. Further, the information collector 454 requests the service evaluation company 461 to evaluate the service provided by the service provider 458. The service evaluation company 461 is provided with anonymized data of the information provider 455 (licenser) (individual / organization). Since there is no need to specify the individual from the data, it is considered that the information provider 455 (licenser) (individual) does not need to grant personal information for other purposes.
The information provider 455 (licenser) (individual / organization) receives the service from the service provider 458.
The service providing company 458 provides an intervention service to an individual in accordance with a consignment from the information collector 454.
The service evaluation company 461 periodically obtains anonymized information of the information provider 455 (licenser) (individual / organization) from the information collector 454, and analyzes and evaluates a trend of a health condition as a group or an individual. I do. The result is presented to the information collector 454 as an evaluation of the service provider 458.
The system operator 451 provides a platform for anonymizing data communication between the information collector 454 and the service evaluation company 461. A system usage fee is collected from the service evaluation company 461 as a consideration for the operation and maintenance of the system.
[0105]
As described above, in the application example of the first example of the intervention service evaluation system, the assurance of anonymity for the actual data provided by the information collector 454 can be solved by applying the first to fourth embodiments.
Means for associating anonymized data from a plurality of information collectors 454 can be solved by applying the first to fourth embodiments.
In the construction of the function of evaluating the degree of health for a group, there is “health degree” as a means of evaluating health for an individual, and application of the degree of health is assumed. As for the health of a group, it is assumed that the health of individuals is accumulated.
The means for evaluating the effect of applying the intervention service accumulates the health of the group and evaluates trends.
[0106]
A second intervention evaluation service system to which the first to fourth embodiments are applied will be described below.
FIG. 25 shows an example of the structure of the intervention service evaluation system 2. In FIG. 25, the service evaluation company 461 performs not only the evaluation of the service providing company 458 but also the consulting to the service providing company 458. The basic mechanism required for the intervention service evaluation system 2 is the same as that of the intervention service evaluation system 1 in FIG.
The service evaluation company 461 evaluates the effectiveness of an intervention service or the like by managing the health state (health evaluation result) of the service providing group of the service providing company 458 and its history. The service evaluation company 461 presents, to the service provider 458, the presence / absence of the ineffective item based on the result and the content, and advises on the countermeasure.
Embodiments 1 to 4 are used for acquiring data for evaluating an intervention service. The intervention service evaluation system 2 includes a service provider 458, an information collector 454 (consignment source), an information provider 455 (licensor) (individual / organization), a system operator 451, and a service evaluation company 461. To appear.
The information collector 454 provides the service evaluation company 461 with anonymized data of the information provider 455 (licenser) (individual / organization). As a price, an information provision fee can be collected. Since there is no need to specify the individual from the data, it is considered that the information provider 455 (licenser) (individual) does not need to grant personal information for other purposes.
The information provider 455 (licenser) (individual / organization) receives the service from the service provider 458.
Service provider 458 provides intervention services to individuals. The service providing company 458 requests the service evaluation company 461 for consulting on a service provided by the service providing company 458.
The service evaluation company 461 periodically obtains anonymized information of the information provider 455 (licenser) (individual / organization) from the information collector 454, and analyzes and evaluates the trend of the health condition as a group. Here, an information provision fee is paid to the information collector 454 as a price for obtaining the information. Based on the result, consulting is performed to the service providing company 458.
The system operator 451 provides a platform for anonymizing data communication between the information collector 454 and the service evaluation company 461. A system usage fee is collected from the service evaluation company 461 as a consideration for the operation and maintenance of the system.
[0107]
As described above, in the application example of the intervention service evaluation system example 2, assurance of anonymity with respect to actual data provided by the information collector 454 can be solved by applying the first to fourth embodiments.
The means for associating anonymized data from a plurality of information collectors 454 can be solved by applying the first to fourth embodiments.
As for the construction of a function for evaluating the degree of health for a group, there is “health degree” as a means of evaluating health for an individual, and application of the degree of health is assumed. However, as for the health of the group, it is assumed that the health of individuals is accumulated.
As for the means of evaluating the effect of applying the intervention service, the health of the group is accumulated and the trend is evaluated.
[0108]
In the fifth embodiment, a new service based on the use of personal information is provided by applying a system that can promote the use of personal information to a business by guaranteeing anonymization and associating personal information with business. New business can be provided.
[0109]
【The invention's effect】
ADVANTAGE OF THE INVENTION According to this invention, privacy regarding personal information is highly ensured and personal information can be used effectively. In addition, by associating personal information about the same person stored in a plurality of database systems, it is possible to effectively use personal information.
[Brief description of the drawings]
FIG. 1 is a diagram illustrating an example of a system configuration according to a first embodiment;
FIG. 2 is a diagram showing an outline of implementation of the first embodiment.
FIG. 3 is a diagram showing a configuration of an information providing apparatus 100 according to the first embodiment.
FIG. 4 is a diagram showing a flow when a transmission request for personal information is received.
FIG. 5 is a diagram illustrating a system application example in which the first embodiment is applied to an intervention service.
FIG. 6 is a diagram showing an example of a search condition.
FIG. 7 is a diagram in which a part of a search condition is deleted.
FIG. 8 is a diagram showing search results from a database.
FIG. 9 is a diagram showing assignment of a data ID.
FIG. 10 is a diagram illustrating how privacy-related information is deleted.
FIG. 11 is a diagram showing functions of a system according to the first embodiment.
FIG. 12 is a diagram showing an outline of a system configuration according to a second embodiment.
FIG. 13 is a diagram showing a realization plan 1;
FIG. 14 is a diagram showing a configuration of an information providing apparatus 200.
FIG. 15 is a diagram showing a configuration of an association distributed database system 500.
FIG. 16 is a diagram showing a realization plan 2;
FIG. 17 is a diagram illustrating implementation plans 3 to 5;
FIG. 18 is a diagram showing a realization plan 7;
FIG. 19 is a diagram showing a realization plan 9;
FIG. 20 is a diagram showing a realization plan 10;
FIG. 21 is a diagram showing a configuration of a sample data providing system.
FIG. 22 is a diagram illustrating a configuration of a health care system example 1;
FIG. 23 is a diagram illustrating a configuration of a health care system example 2;
FIG. 24 is a diagram illustrating a configuration of an example 1 of an intervention service evaluation system.
FIG. 25 is a diagram showing a configuration of an intervention service evaluation system example 2.
[Explanation of symbols]
Reference Signs List 10 receiving unit, 11 authentication unit, 12 decryption unit, 20 search condition confirmation unit, 30 personal information extraction unit, 40 personal information storage unit, 50 data ID generation unit, 51 comparison ID generation unit, 60 search result determination unit, 61 encryption Creation unit, 62 transmission unit, 70 rule storage unit, 80 charging unit, 100 information providing device, 110 personal information storage unit, 120 anonymization processing unit, 121 data ID generation unit, 130 anonymized personal information storage unit, 140 reception unit , 150 transmitting unit, 200 information providing device, 310, 320, 330 database system, 340 access device, 350 network, 360, 361 access interface, 370 health insurance union database system, 380 human resources database system, 390 industrial physician database system, 400, 410 database system, 41 Anonymous database system, 416 database system, 420 search device, 430 portal device, 440 agent, 450 country, 451 system operator, 452 company, 453 information user, 454 information collector, 455 information provider, 457 information provision 458 service provider company, 460 requester, 461 service evaluation company, 500 association distributed database system, 600 first private database device, 610 first identifier generation unit, 620 first combination data creation unit, 630 first storage unit, 700 second private database device, 710 second identifier generation unit, 720 second combination data generation unit, 730 second storage unit, 800 database access device, 810 identifier verification unit, 820 Over data storage unit.

Claims

An information providing device capable of communicating with an access device via a network and providing information to the access device based on a request from the access device,
A personal information storage unit for storing personal information about an individual,
A receiving unit that receives a personal information transmission request including a search condition for searching for personal information from the access device,
The receiving unit confirms a search condition included in the personal information transmission request received, and when the search condition included in the personal information transmission request includes a condition capable of specifying an individual, a condition capable of specifying the individual Is deleted and the search condition from which the condition capable of identifying the individual is deleted is output as the search condition after confirmation.If the condition capable of identifying the individual is not included in the search condition included in the personal information transmission request, the A search condition checking unit that outputs the search condition included in the personal information transmission request as a search condition after checking the search condition as it is,
A personal information extraction unit that searches the personal information storage unit based on the inputted search condition after confirmation and outputs the personal information based on the inputted search condition after confirmation output by the search condition confirmation unit;
Using the personal information extracted by the personal information extraction unit, a data ID for identifying the extracted personal information is generated according to a predetermined rule, and a data ID generation for giving the generated data ID to the extracted personal information Department and
The personal information extraction unit determines whether or not an individual can be identified from the personal information to which the data ID has been extracted and to which the data ID has been assigned, and determines that the individual cannot be identified. An information providing device, comprising: a search result determining unit that transmits the personal information to the access device.

The personal information storage unit,
Storing personal information comprising at least one data item for an individual,
The search result determination unit includes:
When it is determined that the extracted personal information includes a data item capable of identifying an individual, the data item capable of identifying the individual is deleted and the personal information is transmitted to the access device. The information providing device according to claim 1, wherein

The personal information storage unit,
Storing personal information comprising at least one or more data items having predetermined contents with respect to an individual,
The search result determination unit includes:
2. The method according to claim 1, wherein when it is determined that the content of the data item of the personal information extracted by the personal information extraction unit can specify an individual, the content of the data item is deleted and transmitted to the access device. Information providing device.

The personal information storage unit,
Storing personal information comprising at least one or more data items having predetermined contents with respect to an individual,
The search result determination unit includes:
2. The information providing apparatus according to claim 1, wherein when the personal information extracting unit determines that the content of the data item of the personal information extracted can identify the individual, the extracted personal information is not transmitted to the access device. apparatus.

The search result determination unit includes:
When the personal information extracting unit extracts the personal information of a plurality of persons, when the number of the extracted personal information of the plurality of persons is equal to or less than a predetermined number, the personal information of the plurality of persons is not transmitted to the access device. The information providing device according to claim 1, wherein:

The personal information storage unit,
Memorize personal information about individuals belonging to a given group,
The search result determination unit includes:
When the personal information extraction unit extracts the personal information of a plurality of persons, the number of the extracted personal information of the plurality of persons is converted into a ratio to the total number of the group to which the plurality of persons belong, and the converted value is a predetermined value. 2. The information providing apparatus according to claim 1, wherein the extracted personal information of the plurality of persons is not transmitted to the access device in the following cases.

The data ID generation unit includes:
A comparison ID generation unit configured to generate a comparison ID to be compared with a data ID generated using the personal information extracted by the personal information extraction unit by using the personal information stored in the personal information storage unit. 2. The information providing apparatus according to claim 1, wherein:

The information providing device further includes:
The information providing apparatus according to any one of claims 1 to 7, further comprising: a charging unit configured to store a personal information transmission request received from the access device as a search history and charge based on the stored search history. .

The personal information storage unit,
Storing personal information formed from a plurality of data items,
The search result determination unit includes:
2. The information providing apparatus according to claim 1, further comprising: an encryption creating unit that encrypts each of a plurality of data items forming the personal information with different encrypting means for the personal information transmitted to the access device. apparatus.

The receiving unit,
Receiving a personal information transmission request including a search condition for searching for personal information from the access device and unique information that the access device has,
The data ID generation unit includes:
2. The information providing apparatus according to claim 1, wherein a data ID is generated using the unique information received by the receiving unit and the personal information extracted by the personal information extracting unit.

The specific information is
Claims: It includes at least one of time information indicating a time at which a personal information transmission request is transmitted from the access device and an access sender ID for identifying a sender transmitting the personal information transmission request from the access device. Item 10. The information providing device according to Item 10.

The receiving unit,
Receiving access device information held by the access device including the specific information transmitted as a personal information transmission request from the access device,
The data ID generation unit includes:
In order to compare the unique information included in the personal information transmission request with the data ID generated using the personal information extracted by the personal information extracting unit, the unique information included in the access device information received by the receiving unit. A comparison ID generation unit configured to generate a comparison ID to be compared with the data ID using information and the personal information stored in the personal information storage unit, and to compare the generated comparison ID with the data ID; The information providing apparatus according to claim 10, wherein:

A plurality of information providing devices according to claim 1 are provided,
An access device for requesting personal information by transmitting a personal information transmission request including a search condition for searching for personal information to the information providing device according to claim 1 via a network,
Each data ID generation unit provided in the plurality of information providing apparatuses according to claim 1,
An information providing system for generating a data ID according to the same generation rule.

The access device,
14. The information providing system according to claim 13, wherein each of the search conditions including a plurality of search conditions included in the personal information transmission request is encrypted by different encryption means, and the personal information transmission request is transmitted.

The information providing system further includes:
14. The information providing system according to claim 13, further comprising a management device that stores and manages a type of personal information held by each of the information providing devices.

An information providing device capable of communicating with an access device via a network and providing information to the access device,
A personal information storage unit for storing personal information about an individual,
An anonymization processing unit that performs an anonymization process to prevent identification of an individual with respect to the personal information stored in the personal information storage unit and generates anonymized personal information,
An anonymized personal information storage unit that stores anonymized personal information generated by the anonymization processing unit,
A transmitting unit that transmits the anonymized personal information stored in the anonymized personal information storage unit to the access device via a network.

The anonymization processing unit,
17. The information providing apparatus according to claim 16, wherein a predetermined level of anonymization processing is performed on the personal information based on a predetermined rule to generate anonymized personal information.

The personal information storage unit,
Memorize the personal information with the license and the personal information without the license for the use of personal information,
The anonymization processing unit,
17. The information providing device according to claim 16, wherein anonymized personal information is generated by performing a predetermined level of anonymization processing on the personal information based on whether or not use of the personal information is permitted.

The anonymization processing unit,
When performing anonymization processing on the personal information stored in the personal information storage unit, a data ID generation unit that generates a data ID for identifying the anonymized personal information and adds the generated data ID to the anonymized personal information is provided. 17. The information providing apparatus according to claim 16, further comprising:

The first personal identification information and the first personal data information are stored as first private data, and a first identifier that cannot identify an individual is generated from the first personal identification information based on a predetermined rule. A first private database device that combines the generated first identifier and the first personal data information and outputs the combined data as first combined data;
The second personal identification information having the same content as the first personal identification information of the first private database device and the second personal data information having a content different from the first personal data information are stored as second private data. Then, a second identifier that cannot identify an individual is generated from the second personal identification information based on the same rule as the predetermined rule, and the generated second identifier and the second personal data information are combined. A second private database device for combining and outputting as second combination data;
The first combination data output by the first private database device is input, the second combination data output by the second private database device is input, the first identifier of the first combination data and the second combination data are input. A database access device that stores the first personal data information of the first combination data and the second personal data information of the second combination data in which the second identifier of the combination data matches with the second identifier of the combination data A distributed database system, characterized in that:

The first private database device is
The first personal data information formed from the plurality of data items is stored, and each of the plurality of data items forming the first personal data information included and output in the first combination data is differently encrypted by different encryption means. Encrypt and output,
The second private database device is
The second personal data information formed from the plurality of data items is stored, and each of the plurality of data items forming the second personal data information included in the second combination data and output is differently encrypted. 21. The distributed database system according to claim 20, wherein the data is output after being encrypted.

An access device for transmitting a first personal information transmission request for requesting personal information;
It has a personal information storage unit for storing a predetermined type of personal information, receives a second personal information transmission request for requesting personal information, and stores it in the personal information storage unit in response to the received second personal information transmission request. A plurality of information providing devices for anonymizing and transmitting anonymized personal information as anonymized personal information,
A first personal information transmission request received and received by receiving and receiving a first personal information transmission request transmitted by the access device, wherein the type of personal information stored by each of the plurality of information providing devices is stored and managed as type information. An information providing system, comprising: a management device that transmits a second personal information transmission request to the plurality of information providing devices based on the information and the type information.

The plurality of information providing devices,
Transmitting the anonymized personal information to the management device in response to the received second personal information transmission request;
The management device,
Anonymized personal information is received from at least one of the plurality of information providing devices, and whether the received anonymized personal information can be anonymized to prevent identification of an individual is determined based on a predetermined rule. 23. The information providing system according to claim 22, wherein, when it is determined that the anonymization can be secured, the received anonymized personal information is transmitted to the access device.

The plurality of information providing devices,
Transmitting the anonymized personal information to the management device in response to the received second personal information transmission request;
The management device,
A predetermined rule for receiving anonymized personal information from at least two information providing devices of the plurality of information providing devices and determining whether or not anonymization that prevents identification of an individual by associating the received anonymized personal information can be ensured; 23. The information providing system according to claim 22, wherein the information providing system transmits the received anonymized personal information to the access device when it is determined that the anonymization can be secured.

The management device,
Whether anonymization can be ensured by storing the received anonymized personal information as a history and associating the anonymized personal information stored as a history with the anonymized personal information not received as a history received from the information providing apparatus. 24. The information providing system according to claim 23, wherein the information providing system determines whether or not the anonymization is possible based on a predetermined rule, and transmits the received anonymized personal information to the access device when it is determined that the anonymization can be ensured.

An access device that collects personal information from a plurality of information providing devices that provide personal information,
The access device,
A plurality of search conditions for searching for personal information are set, an agent for traveling around the plurality of information providing devices and collecting personal information is generated, and the plurality of search conditions are assigned to the generated agent and the agent is output. An access device for causing an output agent to collect personal information from any of the information providing devices and delete a search condition used for collecting the personal information.