JP2014139736A

JP2014139736A - Ｉｄ識別子生成方法及びｉｄ識別子生成システム

Info

Publication number: JP2014139736A
Application number: JP2013008424A
Authority: JP
Inventors: Fukio Handa; 富己男半田
Original assignee: Dai Nippon Printing Co Ltd
Current assignee: Dai Nippon Printing Co Ltd
Priority date: 2013-01-21
Filing date: 2013-01-21
Publication date: 2014-07-31
Anticipated expiration: 2033-01-21
Also published as: JP6098182B2

Abstract

【課題】医療等の機微性の高い個人情報を扱う分野で用いることが可能なＩＤ識別子を効率良く生成可能なＩＤ識別子生成方法及びＩＤ識別子生成システムを提供する。
【解決手段】１以上のコンピュータにより実行されるＩＤ識別子生成方法であって、第１のＩＤ識別子を取得するステップと、前記取得された第１のＩＤ識別子を１対１写像で変換して中間値を算出するステップと、前記算出された前記中間値を取得するステップと、前記第１のＩＤ識別子が付与されたユーザにより指定されたユーザ情報を用いて、前記取得された中間値に対してパーソナライズ変換を行うことで第２のＩＤ識別子を生成するステップと、前記生成された前記第２のＩＤ識別子を、前記ユーザに固有の情報を検索するためのキーとして取得するステップと、を含む。
【選択図】図３

Description

本発明は、個人に付番されるＩＤ識別子の生成方法等の技術分野に関する。

近年、複数の機関に存在する個人の情報を同一人の情報であるということの確認を行うための基盤として、社会保障と税に関わる番号制度の検討が進められている。この制度において、個人に付番されるＩＤ識別子（ＩＤ番号）は、氏名等の個人情報と一対となり、関係分野で流通させて利用可能な視認性を持つ「見える番号」として管理される。このようなＩＤ識別子は、（ａ）「悉皆性（例えば住民票を有する全員に付番）、（ｂ）唯一無二性（１人１番号で重複の無いように付番）、（ｃ）「民−民−官」の関係で流通させて利用可能な視認性（見える番号）、及び（ｄ）最新の基本４情報（氏名、住所、性別、生年月日）と関連付けられている、という特徴を有する。一方で、ＩＤ識別子は、「個人番号カード」のカード券面や社会保障・納税に関わる書類に氏名等の個人情報とともに印字される「見える番号」であり、誰でも他人のＩＤ識別子と個人情報の組み合わせを知りうる。そのため、医療・介護分野等の、機微性の高い個人情報を扱う分野で上記ＩＤ識別子を用いると、機微な個人情報の主体者である特定の個人を容易に識別できてしまうため、プライバシーが侵害されるという問題がある。

一方、例えば特許文献１に開示されるように、複数の認証サーバ間で個人情報を開示すること無くシングルサインオンができる認証システムが提案されている。この認証システムでは、例えば、企業ＡのユーザＡ１が企業ＢのＷｅｂ系アプリケーションにアクセスする場合、企業Ａの認証サーバ２ａと企業Ｂの認証サーバ２ｂ間でユーザＡ１のユーザＩＤから生成した変換ＩＤ及び属性情報を含む認証連携用トークンを用いて認証を行うため、企業ＡはユーザＡ１を特定するユーザＩＤを企業Ｂに開示せずともシングルサインオンにて企業ＢのＷｅｂ系アプリケーションにアクセスすることができるようになっている。このため、このような変換ＩＤを用いて、プライバシーが侵害されるという問題を解決することが考えられる。

特開２０１２−２０３７８１号公報

しかしながら、特許文献１の技術では、企業Ａのイントラネット１０ａには、ユーザ情報テーブル３１ａやＩＤ変換ログテーブル３２を記録したリポジトリ３ａが設けられており、リポジトリ３ａは企業Ａ内にあるとはいえ、リポジトリ３ａのＩＤ変換ログテーブル３２にて、ユーザＩＤと変換ＩＤの対応関係が記録されているので、変換ＩＤからユーザＩＤが知りえてしまうことが懸念される。そのため、このような変換ＩＤは、医療・介護分野等（以下、単に、医療等という）の機微性の高い個人情報を扱う分野で上記ＩＤ識別子を用いることが難しい。

そこで、本発明は、上記点等に鑑みてなされたものであり、医療等の機微性の高い個人情報を扱う分野で用いることが可能なＩＤ識別子を効率良く生成可能なＩＤ識別子生成方法及びＩＤ識別子生成システムを提供することを目的とする。

上記課題を解決するために、請求項１に記載の発明は、１以上のコンピュータにより実行されるＩＤ識別子生成方法であって、第１のＩＤ識別子を取得するステップと、前記取得された第１のＩＤ識別子を１対１写像で変換して中間値を算出するステップと、前記算出された前記中間値を取得するステップと、前記第１のＩＤ識別子が付与されたユーザにより指定されたユーザ情報を用いて、前記取得された中間値に対してパーソナライズ変換を行うことで第２のＩＤ識別子を生成するステップと、前記生成された前記第２のＩＤ識別子を、前記ユーザに固有の情報を検索するためのキーとして取得するステップと、を含むことを特徴とする。

請求項２に記載の発明は、電子情報媒体と、情報処理装置と、を備えるＩＤ識別子生成システムであって、前記情報処理装置は、電子情報媒体に記憶又は前記電子情報媒体に印字された第１のＩＤ識別子を取得する第１取得手段と、前記取得された第１のＩＤ識別子を１対１写像で変換して中間値を算出する算出手段と、を備え、前記電子情報媒体は、前記算出された前記中間値を取得する第２取得手段と、前記第１のＩＤ識別子が付与されたユーザにより指定されたユーザ情報を用いて、前記取得された中間値に対してパーソナライズ変換を行うことで第２のＩＤ識別子を生成する生成手段と、を備え、前記情報処理装置は、前記生成手段により生成された前記第２のＩＤ識別子を、前記ユーザに固有の情報を検索するためのキーとして取得する第３取得手段と、を備えることを特徴とする。

請求項３に記載の発明は、請求項１に記載のＩＤ識別子生成方法において、前記第２のＩＤ識別子を生成するステップは、前記ユーザ情報を一方向性ハッシュ関数で変換して得た値から、所定数の要素からなる中間値ベクトルと挿入位置変位ベクトルとを取り出し、前記中間値を文字列として、当該文字列の先頭から前記挿入位置変位ベクトルで示される変位の位置に、中間値ベクトルの要素を挿入及び結合することにより前記第２のＩＤ識別子を生成することを特徴とする。

本発明によれば、医療等の機微性の高い個人情報を扱う分野で用いることが可能なＩＤ識別子を効率良く生成することができる。

第１のＩＤ識別子から第２のＩＤ識別子が生成される流れを示す概念図である。本実施形態に係る電子カルテシステムの概要構成例を示すブロック図である。本実施形態に係る電子カルテシステムの動作を示すシーケンス図である。本実施形態に係る電子カルテシステムの動作を示すシーケンス図である。

以下、図面を参照して本発明の実施形態について詳細に説明する。

［１．本発明の原理］
先ず、本発明の原理について説明する。本発明では、悉皆性と唯一無二性を有して付番され、「見える番号」として配付されているＩＤ識別子（以下、「第１のＩＤ識別子」という)から、悉皆性と唯一無二性を保ちつつ変換し、機微性の高い分野に利用できる第２のＩＤ識別子を生成する。第１のＩＤ識別子とは、個人情報に対して、情報処理する上で（情報処理する範囲内で）一意に個人を識別するために用いられる符号という。例えば、被保険者番号、診察券番号、基礎年金番号、社会保障と税に関わる番号（以下、「マイナンバー」という）や医療等ＩＤ（仮称）もこれに当たる。

第２のＩＤ識別子を「見えない番号」として機微性の高い分野で運用するためには、第２のＩＤ識別子から第１のＩＤ識別子を導出することが困難でなければならない。そこで、本発明では、次の２段階の変換を含むＩＤ識別子生成処理（ＩＤ識別子発行処理）を１以上のコンピュータが行う。すなわち、コンピュータは、第１段階として、第１のＩＤ識別子を１対１写像で変換し（ＩＤ変換（第１段階）処理）、第２段階として、第１段階での変換結果に対して、更に個別化（パーソナライズ）変換を行う（ＩＤ変換（第２段階）個別化処理）ことで第２のＩＤ識別子を生成（発行）する。

図１は、第１のＩＤ識別子から第２のＩＤ識別子が生成される流れを示す概念図である。

第１段階の変換は、１対１写像であれば何でもよい。１対１写像とは、集合Ｘから集合Ｙへの写像をｆとし、ｘ_１∈Ｘ，ｘ_２∈Ｘに対して、それらの像ｆ（ｘ_１）∈Ｙ，ｆ（ｘ_２）∈Ｙが、
ｘ_１≠ｘ_２ならば、ｆ（ｘ_１）≠ｆ（ｘ_２）
を満たすとき、写像ｆをＸからＹへの１対１写像という。

ここで、第１段階の１対１写像の一例を以下に説明する。

第１のＩＤ識別子が、１０進数ｋ桁の整数ｘ、すなわち、
ｘ∈Ｚ／ｎＺ，ｎ＝１０^ｋ
の場合に（ここで「ｘ∈Ｚ／ｎＺ」は、整数ｘをｎで割ったときの余りの集合を示す）、写像ｆ：Ｚ／ｎＺ→Ｚ／ｎＺを、
ｆ（ｘ）＝ａｘ＋ｂ（ｍｏｄｎ）
ａ，ｂ∈（Ｚ／ｎＺ）^＊，（Ｚ／ｎＺ）^＊は既約剰余類群
と定めると、この写像は１対１写像である。ここで、ｆ（ｘ）は、「ａｘ＋ｂ」をｎで割ったときの余りを示す。第１のＩＤ識別子ｘに対して、第１段階の１対１写像による変換を施した結果を中間値ｙ_１とすると、
ｙ_１＝ｆ（ｘ）＝ａｘ＋ｂ（ｍｏｄｎ）
となる。

なお、第１段階の１対１写像の別の例として、共通鍵暗号（ブロック暗号）で暗号化により中間値ｙ_１を求めるように構成してもよい。例えば、鍵ｋを用いて平文ｘを共通鍵ブロック暗号で暗号化することをＥｎｃ（ｋ、ｘ）で表すと、第１のＩＤ識別子が１０進数ｋ桁の整数ｘ、すなわち、ｘ∈Ｚ／ｎＺの場合、
ｆ（ｘ）＝Ｅｎｃ（ｋ、ｘ）
により得られたｆ（ｘ）の値（バイナリ）を数字の文字列に変換して中間値ｙ_１を得る。

次に、第２段階の個別化(パーソナライズ)変換の一例を以下に説明する。

ＩＤ識別子を付与される主体（ユーザ）のみが知り得るユーザ情報（暗証番号、パスワードや生体情報メトリックス等)を一方向性ハッシュ関数で変換して得られた値から、ｍ個（所定数）の要素からなる中間値ベクトルｙ_２と、挿入位置変位ベクトルｄを、抽出アルゴリズムにより取り出す。このとき、ハッシュ関数の代わりに対称鍵暗号を用いてもよい。

ｙ_２＝{ｔ_１，ｔ_２，・・・，ｔ_ｍ}，０≦ｔ_ｉ≦ｋ
ｄ＝{ｄ_１，ｄ_２，・・・，ｄ_ｍ}，
第１段階の写像による変換結果ｙ_１を文字列として表現し、文字列の先頭からの変位ｄ_１の位置（つまり、挿入位置変位ベクトルｄで示される変位ｄ_１の位置）にｔ_１（つまり、中間値ベクトルｙ_２の要素）、変位ｄ_２の位置にｔ_２を（文字列として）挿入、結合していき、これを中間値ベクトルｙ_２の要素数ｍに達するまで反復する。

以下、第１のＩＤ識別子が１１桁の数値で構成されている場合の数値例で説明する。
例えばＡ氏の第１のＩＤ識別子ｘを、ｘ＝16592411302とする。第１段階の１対１写像として、ここでは、ｘに対する１０の補数をｙ_１とする変換式で計算すると、ｙ_１＝83407588698、と算出される。第２段階の個別化（パーソナライズ）変換で生成された中間値ベクトルｙ_２と挿入位置変位ベクトルｄをそれぞれ、ｙ_２＝{64, 38}, ｄ＝{3, 7}とすると、ｙ_１＝83407588698 の変位３と変位７に、ｙ_２＝{64,38}を挿入すると、第２のＩＤ識別子ｚとして、ｚ＝834640758388698が得られる。

以上説明したように、第１段階の１対１写像による変換の変換規則(例えば、変換パラメータａ，ｂ，ｎ)として、ＩＤ識別子が付番される全員に対して、同一の変換規則を適用すれば、第１のＩＤ識別子ｘが有している悉皆性と唯一無二性は、中間結果ｙ_１においても維持される。第１のＩＤ識別子を付番・管理している機関（以下、「番号管理機関」という）は、変換パラメータａ，ｂ，ｎを知っているので、第１のＩＤ識別子ｘと中間値ｙ_１を双方向に容易に変換できる。しかし、第２段階の個別化（パーソナライズ）変換で生成された中間値ベクトルｙ_２と挿入位置変位ベクトルｄの変換パラメータは、ＩＤ識別子を付与される主体（ユーザ）のみが生成可能であり、番号管理機関といえどもｙ_２とｄを知ることができないので、上記方法で生成された第２のＩＤ識別子を知っても、当該主体の第１のＩＤ識別子を容易に知ることはできない。このため、上記方法で変換、生成された第２のＩＤ識別子は、医療等の機微性の高い分野での利用に適している。上述したＩＤ識別子生成処理は、機微性の高い情報を扱うサービスを提供するコンピュータに実装することが考えられる。第２段階の個別化（パーソナライズ）変換については、サービスを提供するコンピュータに実装する方法のほかに、個人に配付する個人番号カード（ＩＣカード）に実装することも考えられる。個人番号カード（ＩＣカード）に実装することにより、ＩＤ識別子を付与される主体のみが第１のＩＤ識別子から第２のＩＤ識別子への変換を実行できることが保証され、機微な個人情報分野におけるビッグブラザーの存在といった危惧を払拭することができる。

［２．本発明の適用例］
次に、本発明のＩＤ識別子生成システムが適用された電子カルテシステムについて、図２〜図４を用いて説明する。図２は、本実施形態に係る電子カルテシステムの概要構成例を示すブロック図である。図３及び図４は、本実施形態に係る電子カルテシステムの動作を示すシーケンス図である。

本実施形態に係る電子カルテシステムＳは、図２に示すように、業務サーバ１、業務記録データベース２、クライアント端末３、及びＩＣカード４（電子情報媒体の一例）を備えて構成される。なお、業務サーバ１及びクライアント端末３は、本発明における情報処理装置の一例である。また、以下の説明では、クライアント端末３及びＩＣカード４のユーザに付与された第１のＩＤ識別子の一例としてマイナンバーを例にとって説明する。業務サーバ１及びクライアント端末３は、例えばインターネット等から構成されるネットワークに接続される。業務記録データベース２は、業務サーバ１に備えられてもよいし、業務サーバ１に以外のサーバに備えられてもよい。クライアント端末３は、例えばリーダライタを介してＩＣカード４と無線又は有線で通信可能になっている。

業務サーバ１は、例えばサーバコンピュータから構成され、ＩＤ変換（第１段階）処理を行うＩＤ変換部１１、及び業務アプリ１２（アプリケーションプログラムによる）等を備える。業務アプリ１２は、例えば、クライアント端末３からのリクエストに応じてカルテ検索処理等を行い、そのレスポンスをクライアント端末３へ返す機能を有する。業務記録データベース２には、医療等ＩＤ、診察日、診療記録、処方、検査記録、及び医療スタッフ名等を対応付けて含む業務記録２１が蓄積されている。業務サーバ１は、業務記録データベース２にアクセス可能になっている。クライアント端末３は、例えばパーソナルコンピュータ、又はスマートホン等の携帯情報端末等から構成され、例えばＷｅｂブラウザによりネットワークを介して業務サーバ１にアクセスして各種リクエストを行うことが可能になっている。

ＩＣカード４は、ユーザに配布された例えば医療等カードであり、ＩＣチップが搭載されている。ＩＣチップは、ＣＰＵ（マイクロコンピュータ）、ＲＡＭ、フラッシュメモリ（又はＥＥＰＲＯＭ）、及びＩ／Ｏ回路を備えて構成される。フラッシュメモリには、各種データ及びプログラムが記憶されており、このデータには、上記マイナンバーが含まれる。このマイナンバーは、例えば、ＩＣカード４上に印字されている。ＣＰＵは、各種プログラムを実行するコントローラであり、ＩＤ変換（第２段階）個別化処理を行うＩＤ個別化部４１を備える。Ｉ／Ｏ回路は、有線又は無線によりクライアント端末３とのデータ通信を行うためのものである。

以上の構成において、図３に示すように、クライアント端末３は、ユーザによる読出し指示に応じて、ＩＣカード４へマイナンバー読出しコマンドを送信する（ステップＳ１）。ＩＣカード４は、クライアント端末３からのマイナンバー読出しコマンドに応じて、フラッシュメモリに記憶されているマイナンバーを読み出してこれをクライアント端末３へ送信する（ステップＳ２）。クライアント端末３は、ＩＣカード４からマイナンバーを受信（取得）すると、ネットワークを介して業務サーバ１へアクセスし、業務サーバ１へマイナンバーを含むリクエストを送信する（ステップＳ３）。なお、クライアント端末３は、ＩＣカード４上に印字されたマイナンバーをユーザが当該クライアント端末３から入力することで取得するように構成してもよい。

業務サーバ１のＩＤ変換部１１は、クライアント端末３からマイナンバーを含むリクエストを受信すると、当該マイナンバーを取得し、ＩＤ変換（第１段階）処理を実行する（ステップＳ４）。このＩＤ変換（第１段階）処理では、取得されたマイナンバーが１対１写像で変換されて中間値ｙ_１が算出される。そして、業務サーバ１は、算出した中間値ｙ_１を含むレスポンスをクライアント端末３へ送信する（ステップＳ５）。

クライアント端末３は、業務サーバ１から中間値ｙ_１を含むレスポンスを受信すると、ユーザによる入力指示に応じて、ＰＩＮ（Personal identification number）を入力する（ステップＳ６）。なお、ＰＩＮは、マイナンバーが付与されたユーザにより指定されたユーザ情報の一例である。そして、クライアント端末３は、業務サーバ１から受信された中間値ｙ_１と入力されたＰＩＮ（つまり、当該ユーザにより指定されたＰＩＮ）とを含むＩＤ個別化コマンドをＩＣカード４へ送信する（ステップＳ７）。ＩＣカード４のＩＤ個別化部４１は、クライアント端末３からのＩＤ個別化コマンドに応じて、ＩＤ変換（第２段階）個別化処理を実行する（ステップＳ８）。このＩＤ変換（第２段階）個別化処理において、ＩＤ個別化部４１は、ＩＤ個別化コマンドに含まれるＰＩＮ及び中間値ｙ_１を取得する。そして、ＩＤ個別化部４１は、取得したＰＩＮを例えば一方向性ハッシュ関数で変換して得た値から、上述したように、複数の要素からなる中間値ベクトルｙ_２と、挿入位置変位ベクトルｄとを取り出し、取得した中間値ｙ_１を文字列として、当該文字列の先頭から挿入位置変位ベクトルｄで示される変位の位置に、中間値ベクトルｙ_２の要素を挿入及び結合する（中間値ベクトルｙ_２の要素数に達するまで反復する）ことにより第２のＩＤ識別子である医療等ＩＤを生成（算出）する。そして、ＩＣカード４は、生成した医療等ＩＤをクライアント端末３へ送信する（ステップＳ９）。これにより、クライアント端末３は、当該ユーザに固有の情報を検索するためのキーとして医療等ＩＤを取得する。

クライアント端末３は、例えば業務サーバ１から取得したカルテ検索画面を表示し（ステップＳ１０）、当該カルテ検索画面を通じてユーザによる検索指示があった場合、ＩＣカード４から取得した医療等ＩＤを含むリクエストを業務サーバ１へ送信する（ステップＳ１１）。業務サーバ１は、クライアント端末３から医療等ＩＤを含むリクエストを受信（ユーザに固有の情報を検索するためのキーとして医療等ＩＤを取得）すると、当該医療等ＩＤをキーとしてカルテ検索処理を実行し、業務記録データベース２から該当患者のカルテ・データ（ユーザに固有の情報の一例）を取得する（ステップＳ１２）。そして、業務サーバ１は、取得したカルテ・データを含むレスポンスをクライアント端末３へ送信する（ステップＳ１３）。クライアント端末３は、業務サーバ１からカルテ・データを含むレスポンスを受信すると、カルテ・データに従ってカルテをカルテ編集画面に表示する（ステップＳ１４）。

なお、図３に示す動作例では、業務サーバ１がＩＤ変換（第１段階）処理を実行するように構成したが、図４に示すように、クライアント端末３は、ＩＣカード４からマイナンバーを受信（取得）すると、業務サーバ１へマイナンバーを送信することなく、ＩＤ変換（第１段階）処理を実行する（ステップＳ３ａ）ように構成してもよい。なお、図４に示すその他の処理については図３に示す処理と同様であるので、重複する説明を省略する。

以上説明したように上記実施形態によれば、第１段階として、マイナンバーを１対１写像で変換し、第２段階として、第１段階での変換結果に対して、更にパーソナライズ変換を行うことで、ユーザに固有の情報を検索するためのキーとして第２のＩＤ識別子を生成するように構成したので、医療等の機微性の高い個人情報を扱う分野で用いることが可能な第２のＩＤ識別子を効率良く生成することができる。

なお、上記実施形態においては、電子カルテシステムＳでは、複数のコンピュータにより第２のＩＤ識別子を生成するように構成したが、１つのコンピュータにより第２のＩＤ識別子を生成するように構成してもよい。また、本発明は電子カルテシステム以外の種々のシステムにも適用可能である。

１業務サーバ
２業務記録データベース
３クライアント端末
４ＩＣカード

Claims

１以上のコンピュータにより実行されるＩＤ識別子生成方法であって、
第１のＩＤ識別子を取得するステップと、
前記取得された第１のＩＤ識別子を１対１写像で変換して中間値を算出するステップと、
前記算出された前記中間値を取得するステップと、
前記第１のＩＤ識別子が付与されたユーザにより指定されたユーザ情報を用いて、前記取得された中間値に対してパーソナライズ変換を行うことで第２のＩＤ識別子を生成するステップと、
前記生成された前記第２のＩＤ識別子を、前記ユーザに固有の情報を検索するためのキーとして取得するステップと、
を含むことを特徴とするＩＤ識別子生成方法。
電子情報媒体と、情報処理装置と、を備えるＩＤ識別子生成システムであって、
前記情報処理装置は、
電子情報媒体に記憶又は前記電子情報媒体に印字された第１のＩＤ識別子を取得する第１取得手段と、
前記取得された第１のＩＤ識別子を１対１写像で変換して中間値を算出する算出手段と、
を備え、
前記電子情報媒体は、
前記算出された前記中間値を取得する第２取得手段と、
前記第１のＩＤ識別子が付与されたユーザにより指定されたユーザ情報を用いて、前記取得された中間値に対してパーソナライズ変換を行うことで第２のＩＤ識別子を生成する生成手段と、
を備え、
前記情報処理装置は、
前記生成手段により生成された前記第２のＩＤ識別子を、前記ユーザに固有の情報を検索するためのキーとして取得する第３取得手段と、
を備えることを特徴とするＩＤ識別子生成システム。
前記第２のＩＤ識別子を生成するステップは、前記ユーザ情報を一方向性ハッシュ関数で変換して得た値から、所定数の要素からなる中間値ベクトルと挿入位置変位ベクトルとを取り出し、前記中間値を文字列として、当該文字列の先頭から前記挿入位置変位ベクトルで示される変位の位置に、中間値ベクトルの要素を挿入及び結合することにより前記第２のＩＤ識別子を生成することを特徴とする請求項１に記載のＩＤ識別子生成方法。