JP2015517144A - 分散計算システムと方法 - Google Patents

Abstract

【課題】分散計算システムと方法。【解決手段】多くの利害関係者によって潜在的に所有あるいは制御されるデータ・セットの上の分散計算を実行するためのシステムと方法が記述される。利害関係者の各々は、彼らの個々のデータへのアクセスあるいは他の使用を支配する自身のポリシーをセットすることができる。【選択図】図１

Description

多くの利害関係者によって潜在的に所有あるいは制御されるデータ・セットの上の分散計算を実行するためのシステムと方法が記述される。
［関連出願に関する相互参照］
この出願は、２０１２年３月２１日に出願された米国特許仮出願第６１／６１３８７８号、「分散計算システムと方法」の利益を主張するものである。この内容は、参照により、本願明細書に、その全体が組みこまれる。

［著作権認可］
本願明細書の開示の一部は、著作権保護の対象となる資料を含む。著作権者は、本願の特許文書または特許開示の、いかなる者によるファクシミリ複製にも、それが登録商標特許庁の特許ファイルまたは記録に現れているので、異議はない、しかし、その他の場合には、すべてのいかなる著作権をも留保する。

複数の自律的な自主的なコンピュータを使っている分散コンピューティングにおいて、演算速度を増やすため、および／または、計算問題の処理時間を減らすために、マップ・リデュース（ＭａｐＲｅｄｕｃｅ）のような種々のプログラミングモデルが使われる。そのようなフレームワークは、多数のコンピュータまたはノードを使う大きなデータ・セットにわたる並列問題を処理するために使用することができる。多数の比較的安価なコンピュータの使用することによって、処理パワーを増やすために主として用いられる。例えば、マップ・リデュース（ＭａｐＲｅｄｕｃｅ）などの分散コンピューティング・フレームワークの制限特性は、それらは、典型的には、データ資源への一貫したアクセスを仮定することである。

いくつかの実施例にしたがって、データ資源への潜在的に矛盾しているアクセスが存在する計算問題を解決するのに用いることができる分散コンピューティング・フレームワークが記述される。それらのアクセスや使用を支配する異なるポリシーにしたがって、種々のデータ資源が制御されるような場合である。

いくつかの実施例にしたがって、異なる関連するルールを有する分散デジタル・データ・リソースの上での分散コンピューティングのための方法が、記載されている。この方法は、計算タスクを分割することによって、複数の分散デジタル・データ・リソースを使用する計算タスクを、第１のデジタル・データ・リソースへのアクセスを有する第１のワーカー・ノード、および、第２のデジタル・データ・リソースへのアクセスを有する第２のワーカー・ノードを含む複数の分散ワーカー・ノードによって実行される複数のサブタスクに分散することを含む。第１のデジタル・データ・リソースは、第１のデジタル・データ・リソースへのアクセス（および／または、その上で行うことができる計算）の条件に対応するルールの第１のセットと結びついている。同様に、第２のデジタル・データ・ソースは、第２のデジタル・データ・リソースへのアクセス（および／または、その上で行うことができる計算）の条件に対応するルールの第２のセットと結びついている。第１の、および、第２のデジタル・データ・リソースにアクセスするための状況は、互いと異なることがありえる。いくつかの実施例にしたがって、この方法は、また、複数のデジタル・データ・リソースの上で複数のワーカー・ノードを使用して、複数のサブタスクを実行することを含む・このワーカー・ノードの各々は、それによって部分的な結果を生成し、前記部分的な結果を収集し、結合し、それによって、前記計算タスクに対する最終的結果を形成する。

いくつかの実施例にしたがって、データ・リソースに結びついたルールは、データ・リソースにおける１つ以上の利害関係者により、少なくとも部分的には決定され、利害関係者は、それらのアクセスと使用を支配するルールを、その後変更することができる。いくつかの実施例にしたがって、計算タスクの分散は、計算が複数のワーカー・ノードで実行されることを要求する能力を有することができるが、しかし、それらのワーカー・ノードによって管理されるデータ・リソースにダイレクト・アクセスを有さないエンティティによって実行される。場合によっては、これらのワーカー・ノードは、１つまたはいくつかのデータ・リソースへのアクセスを有するのみである。そしてそれらは、異なる町、地域、または国など、地理的に別々の場所にあることができる。データへのアクセスとそれの使用を支配する、これら地域や国のポリシーは、変化することができる。いくつかの実施例にしたがって、これらルールは、前記分散しているエンティティにより決定されない可能なルールの領域から選択される。

いくつかの実施例にしたがって、ルールは、データ・リソースへのアクセスや他の使用を支配しているデータ・リソースと結びついている。他の実施形態において、ルールは、また、（あるいは、代替的に）データ・リソースの特定のビューを提供するために、データ・リソースの上で行われる計算と結びつくことができる。この計算は、また、そのユーザまたはグループに情報を示す前に少なくとも１つの計算がデジタル・データ・リソースに適用されることを要求することによって、データ・リソースに含まれた情報への、そのユーザまたはグループのアクセスを制限するために、特定のユーザまたはユーザのグループと結びつくことができる。いくつかの実施例にしたがって、デジタル・データ・リソースのユニーク表現とデータ・リソースと結びつくべき計算のユニーク表現とのペアを含むデジタル署名文書をつくることにより、ルールと計算の間の結びつきが作られる。例えば、いくつか実施形態において、米国特許出願第１２／７７３５０１号、米国特許出願公開第２０１１／０２７７０３６号（「ｅ５０１出願」）公報として公開された「伝達情報のポリシー決定された正確さ（Ｐｏｌｉｃｙ Ｄｅｔｅｒｍｉｎｅｄ Ａｃｃｕｒａｃｙ ｏｆ Ｔｒａｎｓｍｉｔｔｅｄ Ｉｎｆｏｒｍａｔｉｏｎ）」に記載されたような技術が用いられる。この内容は、参照により、本願明細書に、その全体が組みこまれる。他の実施形態において、他の技術が使用される。

いくつかの実施例にしたがって、このデジタル・データ・リソースは、医療設備に格納された医療情報を含み、少なくとも、ルールのいくつかは、患者のプライバシーを保護するアクセス条件に対応する。いくつかの実施例にしたがって、そのルールは、患者によって部分的にセットされる。いくつかの実施例にしたがって、この医療情報は、ゲノム・データ、プロテオミクス・データ、ミクロビオーム・データ、および／または、他のタイプの「−ｏｍｉｃ」、医療、および／または、ヘルスケア関連データの内のいくつかまたはすべてを含むことができる。

いくつかの実施例にしたがって、異なる関連するルールを有する分散デジタル医療データ・リソースの上での分散コンピューティングのための方法が、記載されている。この方法は、ゲノム・データや他の医療データの上で動作するように設計された実行可能（または解釈可能）なコンピュータ・プログラムまたは仕様を、ゲノム・データや他の医療データの第１のセットへの少なくとも部分的なアクセスを有する少なくとも第１のワーカー・ノードと、ゲノム・データや他の医療データの第２のセットへの少なくとも部分的なアクセスを有する第２のワーカー・ノードとを含む複数の分散ワーカー・ノードに分散することを含む。データの第１のセットは、データの第１のセットにアクセスするための、および／または、データの第１のセットの上で行うことができる計算のための１つ以上の条件に対応するルールの第１のセットと結びついており、データの第２のセットは、データの第２のセットにアクセスするための１つ以上の条件に対応するルールの第２のセットと結びついている。ここで、ルールの第１および第２のセットからのデータの第１および第２のセットにアクセスするための１つ以上の条件の内のすくなくとのいくつかは、互いに異なるものである。

発明の本質的部分は、添付の図面と連携した以下の詳細な説明を参照することによって、容易に理解される。
図１は、いくつかの実施例にしたがう、潜在的に、多くの利害関係者によって所有・支配されるデータ・セットの上で分散計算を実行するためのデータ・フローの例を示す。 図２は、いくつかの実施例にしたがう、使用事例を図示するダイアグラムである。 図３は、いくつかの実施例にしたがう、別の使用事例の態様を図示するダイアグラムである。 図４は、いくつかの実施例にしたがう、別の使用事例の態様を図示するダイアグラムである。 図５は、いくつかの実施例にしたがう、健康記録の分散問い合わせを含む追加的な使用事例の態様を図示するダイアグラムである。 図６は、いくつかの実施例にしたがう、油田地震データを含む別の使用事例の態様を図示するダイアグラムである。 図７は、いくつかの実施例にしたがう、ゲノム・データを含む別の使用事例の態様を例示するダイアグラムである。 図８は、本願発明の本質的部分の実施形態を実施するのに用いられることができるシステムの例を示す。

本願発明の本質的部分の詳細な説明が、下で提供される。いくつかの実施形態が記述されているが、発明の本質的部分は、１つの実施形態のいずれにも限られてものではなく、多数の選択肢、修正、および、均等物を含むものであることが理解されるべきである。加えて、多数の特定の詳細が、以下の記載において、本願発明の本質的部分の完全な理解を提供するために記述されているが、いくつかの実施形態は、これらの詳細の一部もしくは全部がなくても実施することができる。さらに、明快さの目的で、関連技術において既知である特定の技術的項目については、本願発明の本質的部分を不必要に見えなくすることを避けるために、詳述しなかった。

本願開示の実施形態は、図面への参照によって、理解することができる。ここで、同様のパーツには、同様の数字が割り合てられる。開示された実施形態のコンポーネントは、本願図面においては、一般的に記述され、図示されているので、多種多様な異なる構成で、構築され、設計されることができる。したがって、種々の実施形態の以下の詳細な記載は、本願開示の範囲を制限することを目的とするものではなく、請求項に記載されているように、単に、可能な実施形態を表しているのみである。加えて、ここに開示される方法のアクションは、必ずしも、いかなる特定の順序ででも実行される必要はない。あるいは、特に明記しない限り、順次でさえなくてもよく、アクションは一度だけ実行されてはならないこともない。

潜在的に、多くの利害関係者によって所有・支配されるデータ・セットの上で分散計算を実行するシステムと方法が提示される。利害関係者の各々は、その個々のデータへのアクセスや使用を支配する自身のポリシーをセットする。

図１は、いくつかの実施例にしたがう潜在的に、多くの利害関係者によって所有・支配されるデータ・セットの上で分散計算を実行するためのデータ・フローの例を示す。図１に示される例題のデータ・フローは、ユーザ１１０、ディストリビュータ１１２、ワーカー（例題のワーカー１２０、１２２および１２４が示されている）、コレクタ１１４の４つの主要なタイプのアクターを含む。ユーザ１１０は、計算が実行されることを要求し、コレクタ１１４から結果を受け取る。ディストリビュータ１１２は、計算を下位計算の集合に分ける。それらの各々は、可能性として、異なるワーカーによって実行される。ワーカー（たとえば、ワーカー１２０、１２２および１２４）は、ディストリビュータ１１２によって指示されたように下位計算を実行するユニットの集合である。コレクタ（またはコレータ）１１４は、種々のワーカーの結果を集め、ユーザ１１０による消費のために、それらを最終的な形式に編成するエンティティである。

図１で示すように、ユーザ１１０は、分散データのセットの上で実行される計算を要求する。このワークは、ディストリビュータ１１２によって個々の作業ユニットに分けられ、各々が、ワーカー（例えば、ワーカー１２０、１２２および１２４）によって実行される。コレクタ１１４は、中間結果（部分結果）を記録して、照合し、ユーザ１１０に戻すために最終的結果を形成する。各々のアクターは、可能性として、計算システムの振る舞いを全体的に支配するポリシー（ｐ_ｄ、ｐ_１、ｐ_２、ｐ_Ｎ、ｐ_ｃなど）のセットを有する。

従来のシステムと違って、いくつか実施形態において、ワーカーは、同じ入力にアクセス（または、アクセスを得る能力）を有する、あるいは、さもなければ、ディストリビュータ１１２によってそうするように指示されるときに、同じデータを参照することができるリファレンスをつけることができると仮定されていない。加えて、いくつか実施形態において、ワーカーは、そのデータに関連した自身のポリシーを持つことができる、ワーカーは、ディストリビュータ１１２の指示の下だけで、動作する必要はない。加えて、いくつか実施形態において、コレクタ１１４は、単に、ワーカーからの出力をユーザ１１０に送る最終的結果に結合するより多くのことをすることができ、その代わりに、コレクタ１１４は、ポリシー計算を実行することができ、ユーザ１１０によって観察されるように、持続的に、その結果をポリシーのセットと結びつける。いくつか実施形態において、ユーザ１１０、ディストリビュータ１１２、ワーカー（例えば、１２０、１２２および１２４）、および、コレクタ１１４の処理の各段階におけるポリシーは、−整合した結果を導出するために結合される。

図１（および、それに続く更なる図）は、いくつの実施形態にしたがう分散計算システムにおける種々の役割を例示することのために提供され、ここに開示された原理を逸脱しない範囲で、多数の変更がなされ得ることが理解される。例えば、いくつか実施形態において、図１に（または、それに続く図において）図示された役割やアクターのいくつかは、少なくとも部分的に結合されるかもしれず、単一のエンティティまたはコンピュータシステムにより実行、または、取り込むことができることが理解される。および／または、複数のエンティティおよび／またはコンピュータシステムの間にさらに分散されることができる。

いくつかの実施例にしたがって、ここに記述される技術は、分散計算において必要とされるデータ処理を支配する単一の整合したポリシーのセットが存在しない状況に適用できる。ポリシーは、アクターのセットを通して分散されることができ、データの利害関係者によって独立して設定さることができる。加えて、他のポリシーのコンテキストで行われることは、ポリシーにとってしばしば望ましいことである。いくつかの実施例にしたがう、複数のポリシーの間のインタラクションのいくつかの例が、以下で提供される。

［分散されたデータの所有権］
いくつかの分散計算システムと対照的に、いくつかの実施例にしたがうと、データは、ディストリビュータ１１２によって排他的に所有される、および／または、アクセスできる、あるいは、ディストリビュータ１１２とすべてのワーカー（例えば、１２０、１２２と１２４）の間で共有されるとの仮定はなされない。むしろ、そのような実施形態においては、各々のワーカーは、このシステムにおけるデータのサブセットをコントロールするか、そこへのアクセスを有すること、各々のワーカーは、このデータへのアクセスを支配しているそれ自身のポリシーを潜在的に有することが仮定される。

いくつかの実施例にしたがって、ワーカーまたは他のどのアクターも、たとえば、（１）要求の際に、ポリシーを適用し、ワーカーで得られるポリシーにしたがって、所定の目的に対して認証されるか、許可されることを証明することができないシステムに対するサービスを拒否する、および／または、（２）それらのポリシーが外部的に実施されることができるように、それらが他のアクターと通信するデータにポリシーを添付すること、を含むいくつかのやり方でそのポリシーを実施することができる、

［証明書、計算、および、コンテキスト］
いくつかの実施例にしたがって、分散計算の各段階において、いかなるエンティティも、分散システムにおいて、他のエンティティとの対話を許されるために、適切な証明書を提示することを要求されることができる。例えば、ユーザ１１０は、計算をディスパッチする前でさえ、ディストリビュータ１１２に認証することを要求されることができる。同様に、ディストリビュータ１１２は、種々のワーカーに、それが既知の、信頼されたエンティティである証明することを要求されることができる。同様に、いくつか実施形態において、コレクタ１１４は、信頼されたワーカーのみから、部分結果を受け入れることができる。

いくつかの実施例にしたがって、証明書につづいて、ネットワークを通して、チェーンの下にある更なるアクターが、計算の起点、または部分結果または結果を調べることができるように、計算が続くことができる。他の実施形態において、システムにおける特定のエンティティと結びついた証明書は、計算のネットワークにおける種々のアクターにより参照されるデータベースに格納することができる。

多くの計算システムにおいて、ＳＳＬ／ＴＬＳのような安全な認証されたチャネル（ＳＡＣ）技術は、チャンネル・セキュリティとセンダー認証を提供する。いくつかの実施例にしたがって、そのような保護は、ポリシー管理分散計算を含むケースで使用される。しかしながら、いくつかの実施例にしたがって、同様に（または、その代わりに）適用することができる追加的な要求が存在する。例えば、ワーカーは、それが実行することになっている下位計算のソースを検証したくなるかもしれない。そのような検証は、受け入れワーカーの中で（例えば、チャンネル・セキュリティが取り除かれたあと）起こることができる。どちらが、下位計算に対して、個々に署名される（例えば、輸送チャネルの一部としてだけ署名されない）ことを望ましくする。

同様に、いくつかの実施例にしたがい、いくつかの状況において、認証証明書の表現のために、単にＳＡＣだけに頼るのでは、十分でありえない。それらの証明書は、また、それらがサード・パーティに提出されることになっているならば、チャネル・セットアップと暗号化／解読を越えて生き残る必要があり得るからである。例えば、ワーカーは、コレクタ１１４に、特定のワーク項目は、所定のディストリビュータ１１２によって要求されたこと、ディストリビュータ１１２は、要求しているユーザ１１０を認証したこと、等を証明する必要があるかもしれない。

各々の要求のコンテキストは、また、ポリシー決定をする際に、重要でありえる。具体的には、特定のアクションまたは計算を実行することになっているかどうか判断するために、それの要求をするアクターの意図を知っていることは、システムにおけるアクターにとって望ましいことが多い。これは、また、中間的なものかもしれない。−ディストリビュータ１１２は、ワーカーにその意図を伝えることができ、そして、ワーカーは、次に、そのプロセスにおける自身の意図を追加して、コレクタ１１４にそれを伝えることができる。いくつか実施形態において、意図は、コンテキストに依存する。例えば、ファースト・パーティは、セカンド・パーティがセカンド・パーティの結果で何をする意図があるかにしたがって、セカンド・パーティに何を与えるべきかという決定をすることができる。（例えば、セカンド・パーティは、私は、前のボブに私の結果を送る。私は、アリスに関する情報を有することができますか。」と宣言することができた。）これは、いくつかの実施例にしたがうポリシー決定の推移性を例示する。

［データ・プライバシー］
いくつかの実施例にしたがって、ワーカーは、それらが代理するエンティティに代わって、特定のデータへのアクセスや他の使用を管理するという意味において、自身のデータを所有する。例えば、ワーカーは、特定の病院での、計算／ストレージ・ユニットであり得る。このワーカーは、その病院で患者の健康記録を所有する（または少なくとも管理する）。調査を行っている研究者は、患者に関してある統計を集めるために、ワーカーに（他の病院の他のワーカーと並列に）問い合わせることを望むかもしれない。たとえば、研究者は、８５才を越える女性患者の何人が、卵巣がんにかからないままでいるのかを知りたいかもしれない。

いくつかの実施例にしたがって、この例のケースにおける病院のポリシーをコード化するワーカー（例えば１２０、１２２と１２４）のポリシーは、もしあれば、どのような情報を、コレクタ１１４に提供することができるかを述べる。問合せの特定性に依存して、ワーカーは、要求された情報、いかなる情報もなし、または、変更さえされた情報をもって応答することを望むことができる。例えば、もし、与えられた問合せによって、および／または、ワーカーが所定のコレクタ１１４またはユーザに１１０に回答を示した問合せの履歴によって、および／または、所定の患者に関してリリースされた全体的な情報量によって、あまりにたくさんの個人情報が明らかにされていると判断すると、いくつかヘルスケア情報システムは、結果をランダム化する。

［適用ポリシーおよび添付ポリシー］
いくつかの実施例にしたがって、ワーカーは、例えば、（１）ワーカーがコレクタユーザ、その他を、その後の情報の使用について暗黙に信頼していたケースで、サービスの際にすでにポリシーが適用された部分結果、および／または、（２）ルールのセット、キー、および／または、計算に、結果そのものを持続的に結びつける部分結果、の異なる種類の出力の内の１つあるいは両方をコレクタに転送することができる。（例えば、両方とも、「情報セキュリティ・システムおよび方法」と題された、２０１１年４月１１日に出願された仮出願第６１／４７４２１２号、および、２０１２年４月１１日に出願された米国特許出願第１３／４４４６２４号に記載されたように、である。各々の内容は、参照により、ここに、その全部が組み込まれる。）それが、システムを通って、下流に流れることにより、ポリシーを実施するのに用いられる。このアプローチは、ルールを適用して、結合計算を実行することができるワーカーの下流の計算機械に頼っている。

後者のケースにおいて、コレクタ１１４は、ポリシー管理された部分結果を受信し、結果を計算するための必要条件として、ルールを評価する。

いくつかの実施例にしたがい、コレクタ（または、コレータ）１１４のゴールは、ワーカーによって返される部分結果を集め、彼らをユーザ１１０へ提供する首尾一貫した応答に結合することである。そのようなシナリオにおいて、種々のワーカーからのポリシーを評価するために種々のアプローチを用いることができることが理解される。４つの図示的な例を以下に記す。

１．各々の部分結果と結びついたポリシーの下で許されるならば、コレクタ１１４は、連続的に部分結果を評価し、最終的結果計算の中へ各々のワーカーから収集することができるどんな情報でも含む。

２．部分結果と結びついたポリシーがそれを必要とするならば、コレクタ１１４は、コンテキストにおける部分結果を評価し、各々の部分結果のポリシーによって要求されるコンテキスト情報を提供する。それは、評価される他の部分結果に関する情報を含むことができる。

３．コレクタ１１４は、ポリシー管理された部分結果を、第２のコンテナの中にパッケージ化（例えば、デジタル署名された、および／または、暗号化された電子オブジェクト）する。おそらくは、自身のポリシーと計算と結びついており、ユーザ１１０に送付され、ユーザ１１０に対して、最終的な結果を計算する重荷を事実上委任する。

４．コレクタ１１４は部分結果の代表的サンプル、あるいは、ポリシー管理された部分結果を選択し、コレクタ・コンテナにパッケージ化して、最終的な評価のためにユーザ１１０に戻す。

いくつかの実施例にしたがって、第２のアプローチコンテキストにおけるポリシー評価、の例は、特定のワーカーが、他の機関において動作しているワーカーと組み合われるように提供される部分結果を許容することを望まないときに、起きる。例えば、部分結果を最終的な計算に寄与しようとしている２つのワーカーは、ビジネスの敵対者であるかもしれない。それらのポリシーは、それら部分結果を特定のワーカーからに部分結果と組み合わせることを認めないかもしれない。または、より明確にして、適切に信任されたワーカーからの部分結果との組合せのみを許すだけであるかもしれない。いくつか実施形態において、コレクタ１１４は、潜在的なポリシー・コンフリクトをワーカーのポリシーに違反することなくどのように解決するかを決定する。

いくつかの実施例にしたがって、記載されたフレームワークのいくつの特長は、データ・リソースにおける利害関係者は、時間とともに、データ・リソースへのアクセスや他の使用を支配しているポリシーを変更するか、改めることができることである。

次に、いくつかの使用事例が、説明のために記載される。

次に、ネットワークが、いくつの実施形態にしたがって記載される。ここで、データの利害関係者は、そのデータのカスタマと共存する。いくつか実施形態において、ネットワークは、インターネットなどのパブリックでも、または、例えば、専用の社内ネットワーク、または、プロジェクトのための共用リソースとして、いくつかの会社、アカデミックな機関などによって所有され、および／または、管理されるネットワーク、および／または、その組合せのようなプライベートでもあり得る。

図２は、いくつかの実施例にしたがう使用事例、を図示する図である。この例において、カスタマ２００は、少なくとも２つの利害関係者２１０と２２０とを含む複数の利害関係者によって所有されるデータの幅広い調査を実行したい。このデータは、データ自体へのアクセスが種々の利害関係者のコントロールとポリシーの下で動作するワーカー・プロセスにより管理されるように、分散されたやり方で格納されている。ワーカー２５０は、利害関係者２１０のポリシー２１２の下でデータにアクセスを支配するそのようなワーカーの１つである。２０２において、カスタマ２００は、コーディネータ２３０の計算を要求する。コーディネータ２３０は、種々の利害関係者によって管理される情報を取り込む分散計算を編成することに責任がある。

いくつかの実施例にしたがって、コーディネータ２３０は、計算を３つの下位計算に分割することによって、カスタマ２００によって要求される計算をもたらす。１つは、ディストリビュータ２４０によって実行されるものであり、１つは、ワーカー２５０と２６０とによって実行されるものであり、そして、もう１つは、コレクタ２７０によって実行されるものである。ディストリビュータ２４０のために生成される計算２３２は、全体的な計算タスクを種々のワーカーの間で分割するように、また、各々のワーカーに、そのワーカーによって管理されるデータの上で行われるように設計された第２の計算（または第２の計算のためのパラメータ）（例えば、２４２、２４４）を送るように設計される。ディストリビュータ計算２３２は、関心データの位置を決定し、適切に計算またはパラメータ２４２と２４４とを分散するために、例えば、インデックスを調べる機能（あるいは、例えば、分散されたハッシュテーブルまたはその種の他のもの）を含むことができる。いくつかの実施例にしたがって、ディストリビュータ２４０は、コーディネータ２３０によってディストリビュータ２４０に提供された計算２３２を使用する種々のワーカーに送る計算をつくる。他の実施形態において、コーディネータ２３０は、適格なワーカー（例えば２３４、２３６）に、直接、ワーカー計算を送り、ディストリビュータ２４０は、単に、それらの計算、例えば２４２と２４４とに、入力パラメータを提供する。

上記したように、コーディネータ２３０は、ワーカー（例えば２３４、２３６）に、直接、計算とパラメータを送ることができる。あるいは、このタスクをディストリビュータ２４０に委任することができる。コーディネータ２３０は、また、計算やパラメータのセット（２３８）を、カスタマ２００に戻すように最終的結果を与えるために、ワーカーによって生成された部分的な結果を組み合わせるコレクタ２７０に対して、生成する。

２４２と２４４とにおいて、ディストリビュータ２４０は、部分計算またはパラメータを生成し、それらを、それぞれワーカー２５０と２６０とに送る。次に、ワーカー２５０と２６０とは、（例えば、利害関係者２１０と２２０とによって、それぞれ、生成された）ポリシー２１２と２２２とにしたがい、すべてにおいて計算を実行するかどうかを決定する。一般に、ポリシー・セット２１２と、２２２とは、同じではない。利害関係者２１０と２２０とは、彼らのデータにおいて、潜在的に互いに異なる関心、および、対応して、彼らのデータがどのようにアクセスされ、あるいは、使用されるかを支配する異なるポリシーを有する。一般に、各々のワーカーの活動は、１つだけでなく、いくつかの利害関係者のポリシーによって支配することができることが認識される。種々の実施例にしたがい、すべてで計算を実行するという決定は、（ａ）計算２４２と２４４との上でデジタル署名を調べ、それらのデジタル署名は、信頼されたエンティティによって作成されたかどうかを判断すること、（ｂ）カスタマ２００によって表現され、これらの計算のために計算２４２と２４４、または、入力パラメータにおいて具体化された要求の目的または意図を評価すること、（ｃ）プライベートデータを明らかにする観点からもたらすリスクを決定するために、計算２４２と２４４との上で分析を実行すること、など、を含む種々の方法を行われることができる。しかし、これらのいくつか、もしくは全部に限られるものではない。

ワーカー２５０と２６０とは、計算２４２と２４４とを受け入れることに決定することを仮定すると、これらの計算は、ワーカー２５０と２６０とによって管理されるデータの上で行われる。計算２４２と２４４との実行の間、または、後に、ワーカーは、それらが要求にどのように応答するかを支配するさらなるポリシー計算を実行することができる。そのような計算は、応答によって明らかにされる情報量の計算を含むことができ、それは、問題のデータについて、すでに明らかにされた情報量に依存することができる。これらの計算は、また、どれだけ多くの情報が以前にカスタマ２００に示されたか、あるいは、どれだけ容易に、結果を傍受する悪意のパーティが、センシティブな情報を抽出できたかの推定に基づくこともできる。いくつか実施形態において、計算を走らせることによって生成される応答は、
（ａ）直接、計算の結果を返すことによって、
（ｂ）利害関係者により特定されるポリシー（例えば、ポリシー２１２および２２２）でのコンフリクトのために何も返さないことによって、
（ｃ）ポリシー・コンフリクトを示しているエラーメッセージ、プログラムにおけるエラー、ランタイム例外、等を返すこと、
（ｄ）明らかにされた情報を推論するか、利用することをより難しくする（特定の方法は、結果にランダム・ノイズを追加すること、結果の解像度を減少させること、結果を他のものと平均すること、等を含むことができる）計算結果の修正版を返すこと、あるいは、
（ｅ）（例えば、ｅ５０１出願に記載されているように）結果が明らかにされる前に、計算が、その結果の上で行わなければならないように、導出したリソース、例えば、特定の計算と確実に、そして、持続的に結びついている結果を戻すこと、を含む、いくつかの方法で造ことができる。ただし、これらのいくつか、あるいは、すべてに限られるものではない。いくつか実施形態において、これらの応答ストラテジーは、各々のワーカーによって、独立に評価される。

もう一度、図２を参照すること、要求された計算に対する結果を提供することを決定するワーカーの各々は、その部分的な結果（例えば、２５２、２６２）をコレクタ２７０に送る。コレクタ２７０は、オリジナルの計算要求２０２に、答え２７２を与えるために、コレクター計算２３８を使用して部分的な結果を一緒に組み合わせ、次に、コーディネータ２３０に送られる。この点で、コーディネータは、カスタマ要求に応じる方法に関して、自身のポリシーを適用することができる。これは、コレクタ・レスポンス２７２と異なるレスポンス２７４という結果になるかもしれない。コーディネータによって適用されることができる修正は、上に記述されたワーカー２５０と２６０とにおいて適用されるものに類似していることがあり得る。

いくつかの実施例にしたがって、図２に示される例題のケースを、拡大することができる。結果２７４に基づいて、このカスタマ２００は、以前の計算からの結果は、更なる調査を正当化することを決定することができる。例えば、ワーカー２５０および、他の利害関係者により提供されるデータが、より高い精度でカスタマ２００に利用可能となるならば、利益となる可能性がある場合であり得る。２０２と同様の第２の要求において、カスタマ２００は、例えば、支払いを増額するオファーをすることにより、より高く正確なデータに対する関心を表す。ワーカー２５０のポリシー２１２にしたがって、そのオファーが許容できるならば、ワーカー２５０は、カスタマ２００に提供された以前の結果を、より高い精度で、カスタマ２００に利用可能とすることを許す。

図３は、いくつかの実施例にしたがう、第３の使用事例の態様を図示しているダイアグラムである。この例において、カスタマ３００に代わっての動作するコーディネータ３３０は、ワーカー３５０および、他のワーカー（ワーカー３６０を含む）によって支配されるデータについて調査を実行している。この場合、その調査からのどの生データによればコーディネータ３３０は、サード・パーティに結果が提供される場合には、ポリシーの上で相互の同意を強制するその結果の導出物をつくるという条件で、コーディネータ３３０に自由に返されるかにしたがって、コーディネータ３３０は、ワーカー３５０および、他のワーカー（ワーカー３６０を含む）との信頼関係を有する。計算３７２の最終結果が返されたあとで、コーディネータ３３０は、サード・パーティ３８０のような他の研究者が利用できる結果の導出物をつくる。この導出物は、サード・パーティ研究者３８０の計算において（コーディネータ３３０とワーカー３５０と３６０を含む）利害関係者のポリシーを実施する。

図４は、いくつかの実施例にしたがう第４の使用事例の態様を図示しているダイアグラムである。この場合、利害関係者４２０と会社４８０は、競争相手である。さらに、利害関係者４２０は、会社４８０からのデータの上での演算の結果を差し控えることが、競合上利点であることを見出した。コーディネータ４３０および／またはディストリビュータ４４０が、利害関係者４２０と会社４８０の間での敵意についての知識または考慮なしで種々のワーカーへの調査計算の計画を立てる間、ワーカー４６０は、会社４８０のデータと連携して使用される利害関係者４２０のデータでの計算からの結果を妨げる導出物にポリシー・ルールを添付する。いくつかの実施例にしたがって、利害関係者４２０のポリシー・ルールのワーカー４６０の添付のために、コレクタ４７０かコーディネータ４３０は、調査結果４８４全体からワーカー４６０のデータを除外する、または、会社４８０に利害関係者４２０のデータの使用を妨げる導出物を戻す選択をしなければならない。

図５は、いくつかの実施例にしたがう、健康記録の分散問い合わせを含む、第５の使用事例の態様を図示しているダイアグラムである。この例において、病院５１０と５２０と含む、いくつかの病院は、彼らの医学データをデジタル形式に入れていることが仮定される。各々の病院は、それ自身のポリシー（５１２と５２２）、ならびに、いくつかの場合には、診断とサンプリングの間に患者と交渉した個々のポリシーを有する。例えば、病院が営利を目的とする調査を許しているが、いくらかの患者のポリシーは、営利を目的とする調査への参加を禁止するなどのように、いくつかのポリシーは互いに相容れないものである。一般に、アクセスと所有権、セキュリティの関心、および／または、データの圧倒的なサイズのために、データ・リソースは、行政的に、そして、地理的に分散することができることに留意する。例えば、（図７に関連しても記述される）ゲノム・データのような医学データに対して、そのデータを、患者や医療施設の所有やプライバシー／セキュリティの関心のために、ならびに、データ・リソースの圧倒的なサイズ、そして、これらのリソースを集中するための対応するコストのために分散することができる。

研究者５００は、営利を目的とする製薬会社からの研究者であり、新しく利用できるデジタル記録を調査したいと望んでいる。研究者５００は、コーディネータ５３０に接続し、調査と共にその証明書を提供する。ディストリビュータ５４０は、証明書と問合せを、調査において問い合わせられる、（病院５１０と５２０とのそれぞれの）データを管理するワーカー５５０と５６０とに配布し、（病院５１０のデータ・セットへのアクセスを管理する）ワーカー５５０は、次に、異なるサブ・ユニット（例えば、病院５１０の部門）への要求をつくる（そして、この意味において、ディストリビュータまたはサブ・ディストリビュータとして動作する）。この場合、サブ・ユニットは、心臓病棟５５４とおそらくいくつかの他の病棟を含む。患者５５６は、高齢者であるが、それ以外は健康な元心臓病患者である。心臓病棟での彼女の記録には、ポリシー５５７が添付されている。それは、彼女のデータは、米国心臓肺協会（Ａｍｅｒｉｃａｎ Ｈｅａｒｔ ａｎｄ Ｌｕｎｇ Ａｓｓｏｃｉａｔｉｏｎ）によって非営利であるという保障がある調査においてだけ使用することを許すものである。したがって、患者５５６のデータは、ワーカー５５０、コレクター５７０、および、コーディネータ５３０から差し控えられる。そして、彼女の結果は、より大規模な横断的病院調査に含まれない。

いくつかの実施例にしたがって、分散計算とグレードを下げられた部分結果を含む、第６の使用事例は、図５に関して記述される。この例において、研究者５００は、新しい価値ある調剤学的治療を発見した。この治療をテストするために、研究者５００は、身長が１７０ｃｍから１９０ｃｍの間にあり、特定のウイルスに感染していて、特定の地理的領域に住んでいるという特定の人口統計学からの男性を調査する必要がある。調査地域の病院５１０と５２０とは、各々、調査に応じることに対して、個人情報（および／または、病院が稼働する国には、その影響に対する法律が存在する）を明らかにするというようなポリシーを有する。種々のワーカー（例えば、５５０と５６０）において、病院に特有の結果の各々のセットは、サーベイのコンテキストにおいて調査される。この例において、１つの患者記録だけが、ワーカー５５０におけるサーベイ基準にマッチする。基準を満たす患者の記録が１つだけが見つかったので、低い解像度のデータによるサーベイ結果（または、代替的に、結果を解像度減少計算と結びつける導出物）が、コレクタ５７０と、それから研究者５００に提示される。

いくつかの実施例にしたがって、医学データ・リソースと結びついたポリシーのタイプに例は、一方的な商業コンテンツ・メッセージ（ターゲット・スパム電子メールなど）を防止、あるいは、阻止するポリシーである。さもなければ、これらのメッセージは、患者の医学データへのアクセスから生じるものである。例えば、医学データが、糖尿病の可能性がある患者を示すならば、商業サード・パーティは、糖尿病治療または防止製品をもって、その患者をターゲットとすることを望むかもしれない。患者または病院は、そのようなアクセスや結果として生じる一方的なメッセージを防ぐか、阻止するポリシーのタイプを追加することができる。

いくつかの実施例にしたがって、医学データと結びついたポリシーのタイプの別の例は、そのデータが、特定の地理的領域から離れることを防ぐポリシーである。例えば、特定の国には、特定のタイプの医学データが患者の明白な書面での同意なしで国を離れることを防ぐ国内法令があり得る。いくつかの実施例にしたがって、ここに記述される技術は、そのような状況で、情報を収集するために適用することができる。例えば、研究者は、種々の国における病院に送られるサーベイ計算アルゴリズムを準備し、直接それらの場所において、医学データの上で、データ処理を実行し、そして、次に、いかなる患者を識別する情報をも含まない（これは、例えば、ある場所においてあるポリシーによってセットされる条件であるかもしれない）結果（または部分的な結果）を送り返すことができる。

一般に、データ・リソースには、複数の利害関係者が存在し得ることに留意する。病院の医療記録の例では、病院ならびに、データが集められた患者の各々は、典型的には利害関係者である。また、場合によっては、ポリシーは、病院単独でセットされるが、しかし、その他の場合には、ポリシーは、データの利害関係者の１つ以上により、全部または一部においてセットされる。（例えば、図５に関連して上で記述された患者と心臓病棟の例）ことにも留意する。いくつかの実施例にしたがって、１つ以上の利害関係者は、ある金銭的な補償、または、他の補償がなされる場合にのみ、データ・リソースを使用することができるポリシーを持つことができる。

図６は、いくつかの実施例にしたがう、油田地震のデータを含む、第７の使用事例の態様を図示しているダイアグラムである。この例において、可能性として炭化水素を含む地下部の関心領域の地震のデータは、６１０と６２０を含むいくつかの地震のサーベイ・データ・セットの間に分散される。地球物理学サービス会社６００は、データ・セット６１０と６２０の各々について、所有権を有する、あるいは、他のアクセス権を有する。この例において、地球物理学サービス会社６００には、データ・セット６２０の独占的な所有権があるが、しかし、データ・セット６１０は、オイル会社６９０による、そのデータ・セットの取得コストの部分的資金提供のために、オイル会社６９０との共同所有である。オイル会社６９０は、前記データ・セット６１０に基づいた最高の解像度結果（または、ある実施形態、導出物における）は、会社６９０の直接の競争相手に提供されないという条件について交渉した。したがって、データ・セット６１０は、そういったポリシー６１２を含む。オイル会社６９０への直接の競争相手であるオイル会社６８０は、サーベイ・データ・セット６１０の一部を含む関心領域（「ＲＯＩ Ａ」）を評価するのに使用するために地震イメージング・データを要求する。データ・セット６１０に関するポリシーの結果として、低い解像度のイメージング・プロダクトが、オイル会社６８０に届けられる。しかしながら、オイル会社６９０が、これもまた、サーベイ・データ・セット６１０の一部を含む別の関心領域（ＲＯＩ Ｂ）を評価するのに使用するために地震イメージング・データを要求する場合には、高い解像度のイメージング・プロダクトが、オイル会社６９０に届けられる。いくつかの実施例にしたがって、解像度または他の品質測定値の異なるレベルのものを、価格あるいは他の要因に依存して提供することができる。例えば、オイル会社６８０が、１つ以上のカスタマに、より高品質の結果を販売、あるいは、再販売できるような、新規の、より高品質の処理アルゴリズムを開発するかもしれない。

図７は、いくつかの実施例にしたがう、ゲノム・データを含む、第８の使用事例の態様を図示しているダイアグラムである。示されているシステム（「エコシステム」）は、例えば、同時係属中の２０１２年１０月１７日に出願され、「ゲノムおよび他の情報の保護と管理のシステムと方法」と題された米国特許出願第１３／６５４３４９号などに記載された、遺伝子クラウド・システムである。そして、それは、参照により、ここに、その全体が組み込まれる。この例において、図７に示される遺伝子クラウド・システム、バイオ情報科学プログラムは、また、仮想診断テスト（ＶＤＴ）として参照され、ゲノム・データに送られる。他の実施形態において、このゲノム・データの一部もしくは全部は、ＶＤＴが行われる１つ以上のコンピュータシステムに送信される。しかしながら、スケールにおいて、小さなアーチファクト（プログラム）をそのデータに送る能力を有することが、より有利になる。そして、それは非常に大きいものになる傾向がある。いくつかの実施例にしたがって、診断プログラムが遺伝子のデータに送られるときに、（１）プログラムが忠実に実行されることを確実にする、（２）起こったことに関して（法医学的に）決定を実行することができるように、プログラム実行を監査する、および、（３）それらの結果を信頼することができるように、計算の結果を保護する、メカニズムが使用される。

図７において、ドクター７３２は、ＶＤＴ７４４に具体化された診断テストを、患者のゲノム・データ７１０の上で行いたいという願望を示す。このデータは、たとえば、セキュアな医学データ・ストレージ設備において格納されることができる。ドクター７３２は、要求をディストリビュータ７０２に送信する。ドクターの要求は、（例えば、ドクターのデジタル署名の形で）証明書、患者の識別情報、ならびに、診断テスト・プログラムの識別（および／または、診断プログラム自体）を含む。次に、コレクタ／ディストリビュータ７０２は、ドクターの証明書を検証し、患者の識別情報から、信頼された実行環境においてゲノム・データの上で計算を実行することができるワーカー・ノードを含む商業データ・センター７２０を識別する。商業データ・センター７２０は、患者のゲノム・データ７１０へのアクセスを有する。本願のある例によれば、データ・センター７２０は、ゲノム・データ７１０が格納されているセキュアなストレージ設備と結びついている。データ・センター７２０は、ドクターの要求を、ＶＤＴ７４４を、診断テストに適切なものであると識別するために、使用する。代替的に、ＶＤＴ７４４は、直接ドクター７３２によって、またはコレクタ／ディストリビュータ７０２によって、識別、あるいは、特定されることがきる。データ・センター７２０の中のワーカー・ノードは、その要求、ＶＤＴ７４４、および、ゲノム・データ７１０を認証し、検証する。センター７２０のワーカー・ノードは、また、データ、ＶＤＴ、または、ドクターの要求に結びつくことができるいかなるポリシーをも適用し、それに従う。ＶＤＴからの診断結果は、次に、ディストリビュータ７０２とドクター７３２とに返される。そして、ドクターは、その結果を、彼／彼女の医学的意見に組み込む。

他の分散計算フレームワークと違って、ここに記述される遺伝子クラウドの例のシステムでは、ワーカー・ノードは、同一の生データのすべてに、典型的には、アクセスを有するというわけではないことにおいて、等しい必要はないことに留意する。さらにまた、ポリシーの均一なセットが、すべての計算に、典型的には、適用されるというわけではない。

いくつか実施形態において、それが特定のポリシーを尊重するかどうかを判断するために、ＶＤＴの上で静的解析を実行することは可能ではない。例えば、（ｉ）特定の環境変数は、プログラムがシステムに取り入れられる時点で利用不可能であるかもしれないが、しかし、そのプログラムを最終的に実行するワーカーにおいて利用可能であるかもしれない。（ｉｉ）どのアクセスが実際に要求されるかを決定するために、そのプログラムは、走らせる必要があるかもしれない。および／または、（ｉｉｉ）プログラムの動作は、それが実行される地理的位置に依存するかもしれない。

ケース（ｉ）の例は、アカデミック・データ・センター７２０と結びついた信頼された実行環境に参加しているワーカー・ノードである。アカデミック・データ・センターは、特定のユーザは、１か月に１００００計算のみ要求することができるように、その計算リソースの使用を制限することを望む。ユーザにつき処理される要求の数を維持するカウンター変数は、センター７２０におけるワーカー・ノードだけに知られており、研究者７３０の要望によりそのジョブをディスパッチしているディストリビュータ７０２には知られていない。センター７２０におけるワーカー・ノードは、カウントが越えた場合には、その要求に対するサービスを拒絶することができ、ディストリビュータ７０２は、前もってこれを知らない。

ケース（ｉ）の第２の例は、ワーカー・ノードが、特定の情報を明らかにすることは、問題の個人のプライバシーを傷つけ、したがって、そのような情報を捜す要求に対するサービスを拒絶することを決定することができる場合である。

ケース（ｉｉ）の例は、ＶＤＴプログラム７４２が、２つの遺伝子、遺伝子Ａと遺伝子Ｂとの間での依存性を探しているものである。２つの遺伝子Ａと遺伝子Ｂとは、例えば、同一のゲノム・データ・セット７１０の一部であり得る。あるいは、それらは別々のデータ・セット、例えば、データ・セット７１０と７１２で見つかり得る。例えば、遺伝子Ａには特定の特性があるならば、プログラム７４２は、１７の変異体のうちいずれが遺伝子Ｂによって示されるかを報告することができる。遺伝子Ａには要求された特性がないならば、プログラムは、何も報告しない。この例において、遺伝子Ｂへのアクセスが、必要とされそうであるかどうかを、前もって知るのは可能ではない。この問題は、計算７４２が実行される際に、センター７２０のワーカー・ノードで決定されるのが最も適切である。

ケース（ｉｉｉ）の例として、研究者７３０は、まれな状況のセットを探して、いくつか国における多くのゲノム・データベースを問い合わせることに興味を持っている。研究者７３０は、テストを実行するためにＶＤＴ７４０を使用する要求をディストリビュータ７０４に送信する。応答において、ディストリビュータ７０４は、ＶＤＴの保証されたバージョン、７４０Ａと７４０Ｂ、を、それぞれ、データ・センター７２０と７２２に送る。国Ｂ（例えば、カナダ）は、５つの結果よりも少ないものを返すいかなる問合せも、プライバシーを保護するために、曖昧にする必要があることを命ずる健康データベース法を有する。国Ｂ７２２におけるデータ・センターは、国Ｂにおけるゲノム・データ・セット７１４の上でＶＤＴ７４０Ｂを走らせるために、使われる。どれだけの数の結果が所与の問合せにマッチするかを前もって知ることは、典型的には、可能でない。そうであるので、ランダム化／曖昧化を支配しているポリシーは、集中化したエンティティとは対照的に、個々のワーカー・ノード（この場合には、データ・センター７２２のワーカー・ノード）によって最もよく適用される。

いくつかの実施例にしたがって、特定のデータ・リソースと結びつくことができるポリシーのタイプは、アクセス制御プライバシー制御（例えば、共有される個人識別情報の量を制限する）、金銭的または非金銭的補償準備、アイデンティティ検証、アイデンティティ、目的、または、その要求者の他の属性に依存して、全体または部分的なアクセスを与えるか、拒絶するポリシー、および／または、特定のリソースへの以前の累積的なアクセスの量に依存して、アクセスを与えるか、拒絶するポリシー（例えば、履歴的に明らかにされた総情報量にセンシティブである、および／または、より多くのリソースがアクセスされると、次第により制限的になる特定の回数のアクセスを許容する）のうちのいくつかまたは全てを含む。しかし、それらに限定されるものではない。ポリシーのタイプの最後の例は、商業エンティティによって収集されるマーケット調査データである。収集されたデータは、複数の商用ユーザにおいて価値を有し、利害関係者は、すべてのデータをあきらめることを望まず、彼ら自身の使用のために最高の解像度／忠実度のデータを、競争的利点として保持する。いくつかの例のポリシーがリストされたが、いずれの適切なポリシーをも使用することができることが理解される。

発明の本質的部分のいくつかの実施形態は、次の一部もしくは全部を可能にするために用いることができる。ただし、それらに限られるものではない。

●データまたはそのお上で行われた導出物の所有者によって操作される環境において実行される移動可能な計算を許容する。

●分散計算による導出計算をまとめて、データ利害関係者のセットに渡し、これらの計算の結果を、データのオリジナルの利害関係者の権利とポリシーとが、計算を通して、そして、潜在的に縮小ステップを越えて保存されるように、更なる結果に縮小する。

●適用できるプロトコルと、結果とその結果の導出の構造に至るイベントについて交渉するためにデータの計算と導出を許容する。

●サード・パーティに関して結果を支配する中間的な導出物を生成する導出物と交渉する更なる計算を許容する。

図８は、本願発明の本質的部分の実施形態を実施するのに用いることができるシステム１１００の例を示す。例えば、システム１１００は、（例えば、ユーザ、ワーカー、ディストリビュータ、コーディネータ、コレクタ、等）上に記述された１つ以上のエンティティのより操作されるデバイスの実施形態を備えることができる。システム１１００は、たとえば、パーソナル・コンピュータのような多目的コンピューティング・デバイス、スマートフォン、タブレット型コンピュータ、または、ネットワークサーバー、または、その他を備えることができる。システム１１００は、典型的には、プロセッサ１１０２、メモリ１１０４、ユーザ・インターフェース１１０６、取り外し可能なメモリ１１０８を受け入れるためのポート１１０７、ネットワーク・インターフェース１１１０、および、前記の要素を接続するための１つ以上のバス１１１２を含む。システム１１００の動作は、典型的には、メモリ１１０４に格納されたプログラムのガイダンスの下で動作するプロセッサ１１０２によってコントロールされる。メモリ１１０４は、一般に、高速ランダムアクセスメモリ（ＲＡＭ）と、磁気ディスクやフラッシュＥＥＰＲＯＭのような不揮発性メモリとを含む。メモリ１１０４のいくらかの部分は、システム１１００の他のコンポーネントにより、読み出されたり、書き込まれたりすることができないように、制限することができる。ポート１１０７は、ＵＳＢドライブ、ＣＤ−ＲＯＭ、ＤＶＤ、メモリ・カード、ＳＤカード、他の磁気または光学的メディア、および／または、その他などのコンピュータ読取り可能媒体１１０８を受け入れるためのディスク・ドライブまたはメモリ・スロットを備えることができる。ネットワーク・インターフェース１１１０は、典型的には、システム１１００と他のコンピューティング・デバイス（および／または、コンピューティング・デバイスのネットワーク）との間の接続を、インターネットまたはイントラネット（例えば、ＬＡＮ、ＷＡＮ、ＶＰＮ、等）などのネットワーク１１２０を介して、提供するように動作可能である。また、物理的にそのような接続（例えば、無線、イーサネット、および／または、その他）をするために、１つ以上の通信技術を使用することができる。いくつか実施形態において、システム１１００は、また、システム１１００のユーザまたは他のエンティティによる不正操作から保護されている処理ユニット１１０３を含むことができる。例えば、いくつか実施形態において、米国特許第７４３０５８５号（「ｅ５８５特許」）、および／または、米国特許第５８９２９００号（「ｅ９００特許」）に記載されたようなＳＰＵ１１０３を、使用することができる。そのようなセキュアな処理ユニットは、鍵管理、署名照合、および、本願明細書の他のところに記載されたシステムと方法の他の態様など、センシティブな活動のセキュリティを強化するのに役立つ。

図８で示すように、コンピューティング・デバイス１１００のメモリ１１０４は、データ１１２８と、コンピューティング・デバイス１１００の動作を制御するための種々のプログラムまたはモジュールを含むことができる。例えば、メモリ１１０４は、典型的には、アプリケーション、周辺機器、および、その他の実行を管理するためのオペレーティング・システム１１２１を含む。メモリ１１０４は、また、保護データを取り入れる、そのようなデータで計算を実行するためのアプリケーションのような、種々のアプリケーション、および／または、その他、ＤＲＭエンジン１１３２、または、本明細書において、ほかで記載したようなポリシー制限を実施するための他のポリシー実施アプリケーション、および／または、図１−７に関して、上述の動作を実行するための１つ以上のプログラムも含むことができる。本明細書において、ほかで記載したように、ポリシー実施エンジン１１３２は、例えば、制御プログラムを実行するための仮想機械、センシティブな情報を保存する保護されたデータベース、および／または、内容を暗号化および／または解読する、ハッシュ関数とメッセージ認証コードとを計算する、デジタル署名を評価する、および／または、その他の暗号操作を実行するための１つ以上の暗号モジュール１１２６のような種々の他のモジュールを備えることができ、それらと相互運用し、および／または、制御することができる。メモリ１１０４は、また、典型的には、保護されたコンテンツ１１２８および、関連するライセンスと計算１１２９、ならびに、暗号鍵、証明書、その他（図示せず）を含む。ある実施形態において、ここに記載されたシステムと方法は、例えば、２００６年１０月１８日に出願され、米国特許出願公開第２００７／０１８０５１９Ａ１号（「ｅ６９３出願」）として公開された同時係属の米国特許出願第１１／５８３６９３号、米国特許第５８９２９００号、および、米国特許第６１５７７２１号（「ｅ７２１特許」）において記載されたようなセキュリティやデジタル権利管理（「ＤＲＭ」）技術、および／または、米国特許第８２３４３８７（「ｅ３８７特許」）に記載されたようなサービス編成またはＤＲＭ技術に関連して使用することができる。（ｅ６９３出願、ｅ５８５特許、ｅ９００特許、ｅ７２１特許、およびｅ３８７特許の内容は、ここに、その全体が、参照により組み込まれる。）例えば、ｅ６９３出願、ｅ３８７特許、および／または、ｅ９００特許において記載されてもののようなＤＲＭソフトウェアとシステムは、ルール、権利、および、ここに記述されるタイプのポリシーの表現と実施を容易にするために、ある実施形態で使用することができる。しかしながら、他のいかなる適切なセキュリティやポリシー実施ソフトウェア、システム、および／または、メカニズムが、それに代わって、または、それに加えて使用することができることが理解される。

当業者であれば、ここに記述されたシステムと方法は、図８に図示したものと同様の、あるいは、同一のコンピューティング・デバイスを用いて、または、図８に示されるコンポーネントのいくつかを備えていないコンピューティング・デバイス、および／または、示されない他のコンポーネントを備えているコンピューティング・デバイスを含む実質的に他のいかなる適切なコンピューティング・デバイスを用いてでも実施できることを理解する。したがって、図８は、図示する目的で提供されたものであって、制限するためではないこと、および、ここに開示されたシステムと方法は、いかなる特定のコンピュータ、電子制御ユニット、または、他の装置にも本質的に関連がなく、ハードウェア、ソフトウェア、および／またはファームウェアのいかなる適切な組合せによっても、インプリメントすることができることが理解されるべきである。ソフトウェア・インプリメンテーションは、プロセッサで実行されるとき、プロセッサに、少なくとも部分的には、実行可能命令によって定義された方法を実行させることができる実行可能コード／命令を備える１つ以上のコンピュータ・プログラムを含むことができる。コンピュータ・プログラムは、コンパイル言語あるいはインタプリター言語を含むプログラム言語のどんな形にでも書くことができ、および、独立型プログラムとして、または、モジュール、コンポーネント、サブルーチン、または、コンピューティング環境の使用に適している他のユニットとして、含むどんな形でも展開することができる。さらに、コンピュータ・プログラムは、１台のコンピュータで、または、１つのサイトの、あるいは、複数サイトに分散され、通信ネットワークによって相互接続された複数のコンピュータで実行されるために、展開されることができる。ソフトウェア実施形態は、プロセッサで実行されるときに、プロセッサが命令によって方法を実行させるように構成されたコンピュータ・プログラムと命令を格納するように構成されるストレージ・メディアを備えるコンピュータ・プログラム・プロダクトとしてインプリメントすることができる。ある実施形態において、ストレージ・メディアは、プロセッサで読取り可能な命令を格納することができるどんな形態でもとることができる。その例は、コンパクトディスクで表される固定記憶媒体、デジタル・ビデオ・ディスク、磁気テープ、磁気ディスク、フラッシュ・メモリ、集積回路、あるいは、いかなる他の固定デジタル・プロセシング装置メモリ素子、含むが、それらに限定されるものではない。

上の記載は、明快さのために、ある程度の詳細さで記述されたが、その原理を逸脱することなく、ある変更および修正を行うことができることは明らかである。ここに記述されるシステムと方法の両方をインプリメントする多くの代替的方法が存在することに留意する。したがって、本願の実施形態は、説明的なものであり、制限的なものではないと考えるべきものであり、また、本願発明は、ここに開示される詳細に制限されるものではない。本願発明は、添付の特許請求の範囲の中、および、その均等の範囲で修正することができる。

Claims (29)

1. 異なる結びついたルールを有する分散デジタル・データ・リソースの上での分散コンピューティングのための方法であって、
   該方法は、
   計算タスクを分割することによって、複数の分散デジタル・データ・リソースを使用する計算タスクを、第１のデジタル・データ・リソースへの少なくとも部分的なアクセスを有する少なくとも第１のワーカー・ノード、および、第２のデジタル・データ・リソースへの少なくとも部分的なアクセスを有する第２のワーカー・ノードと、を含む複数の分散ワーカー・ノードによって実行される複数のサブタスクに分散するステップであって、
   前記第１のデジタル・データ・リソースは、前記第１のデジタル・データ・リソース、および／または、前記第１のデジタル・データ・リソースの上で行われる計算にアクセスするための１つ以上の条件に対応するルールの第１のセットに結びついており、
   前記第２のデジタル・データ・リソースは、前記第２のデジタル・データ・リソースにアクセスするための１つ以上の条件に対応するルールの第２のセットと結びついており、
   ルールの前記第１および第２のセットから前記第１および第２のデジタル・データ・リソースにアクセスするための前記１つ以上の条件は、互いに異なるものである、ステップを含む、方法。
2. ルールの前記第１のセットは、前記第１のデジタル・データ・リソースの上で行われる１つ以上の計算に、さらに対応し、ルールの前記第２のセットは、前記第２のデジタル・データ・リソースの上で行われる１つ以上の計算に、さらに対応する、請求項１に記載の方法。
3. 複数のデジタル・データ・リソースの上で複数のワーカー・ノードを使用して、複数のサブタスクを実行するステップであって、前記ワーカー・ノードの各々は、それによって部分的な結果を生成する、ステップと、
   前記部分的な結果を収集し、結合し、それによって、前記計算タスクに対する最終的結果を形成するステップと、を更に含む請求項１に記載の方法。
4. ルールの前記第１のセットは、少なくとも部分的には、前記第１のデジタル・データ・リソースの１つ以上の利害関係者によって、決定され、ルールの前記第２のセットは、少なくとも部分的には、前記第２のデジタル・データ・リソースの１つ以上の利害関係者によって、決定される、請求項１に記載の方法。
5. ルールの前記第１のセットを、前記第１のデジタル・データ・リソースの１つ以上の利害関係者のうちの少なくとも１つが、変更するステップを更に含む請求項４に記載の方法。
6. 前記分散するステップは、前記ワーカー・ノードのうちの少なくともいくつかによって観察されるデータ・アクセス・ポリシーをセットすることができない分散しているエンティティによって実行される、請求項１に記載の方法。
7. 前記分散するステップは、前記第１のまたは前記第２のデジタル・データ・リソースのいずれかと結びついているデータ・アクセス・ポリシーをセットすることができない分散しているエンティティによって実行される、請求項１に記載の方法。
8. 前記分散するステップは、分散しているエンティティによって実行され、ルールの前記第１および第２のセットは、前記分散しているエンティティにより決定されない、可能なルールのドメインから選択される、請求項１に記載の方法。
9. 前記分散するステップは、前記第１および第２のデジタル・データ・リソースへのアクセスを有さない分散しているエンティティによって実行される、請求項１に記載の方法。
10. 前記第１のワーカー・ノードは、前記第２のデジタル・データ・リソースへのアクセスを有さず、前記第２のワーカー・ノードは、前記第１のデジタル・データ・リソースへのアクセスを有さない、請求項１に記載の方法。
11. 前記第１および前記第２のデジタル・データ・リソースは、地理的に別々の場所に位置する、請求項１に記載の方法。
12. 前記第１および前記第２のデジタル・データ・リソースは、異なる国に位置する、請求項１１に記載の方法。
13. ルールの前記第１のセットは、前記第１のデジタル・データ・リソースの特定の見方を提供するために、前記第１のデジタル・データ・リソースの上で行われる計算の第１のセットと結びついており、
    ルールの前記第２のセットは、前記第２のデジタル・データ・リソースの特定の見方を提供するために、前記第２のデジタル・データ・リソースの上で行われる計算の第２のセットと結びついている、請求項１に記載の方法。
14. 計算の前記第１セットのうちの少なくとも１つの計算は、前記第１のデジタル・データ・リソースと、および、前記少なくとも１つの計算が、前記第１のユーザに情報を示す前に前記第１のデジタル・データ・ソースに適用されることを要求することによって、前記第１のデジタル・データ・リソースに含まれる情報への前記第１のユーザのアクセスを制限するために第１のユーザと結びついている、請求項１３に記載の方法。
15. ルールの前記第１のセットと計算の前記第１セットとの結びつきは、前記第１のデジタル・データ・リソースのユニーク表現と第１のデジタル・データ・リソースと結びつくべき計算の前記第１セットのユニーク表現とのペアを含むデジタル署名文書をつくることにより、作られる、請求項１３に記載の方法。
16. 前記第１のデジタル・データ・リソースは、第１の医療設備に保存された医療情報を含み、前記第２のデジタル・データ・リソースは、第２の医療設備に保存された医療情報を含む、請求項１に記載の方法。
17. ルールの前記第１および前記第２のセットは、患者のプライバシーを保護する状況に対応したルールを含む、請求項１６に記載の方法。
18. 前記第１のデジタル・データ・リソースは、第１の患者と第２の患者を含む複数の患者における医療情報と、前記第１の患者における医療情報と、前記第２の患者における医療情報とが異なるアクセス状況に対応するルールの前記第１のセットとを含む、請求項１６に記載の方法。
19. ルールの前記第１のセットの少なくともいくつかは、少なくとも部分的には、前記複数の患者の１以上のセットである、請求項１８に記載の方法。
20. 前記医療情報は、複数の人に関するゲノム・データを含む、請求項１６に記載の方法。
21. 分散デジタル・データ・リソースは、１つ以上の地下の炭化水素を含んだ岩石構成に関係するデータを含む、請求項１に記載の方法。
22. 異なる結びついた規則を有する分散デジタル医療データ・リソースの上での分散コンピューティングのための方法であって、
    該方法は、医療情報の上で行われるように設計されたコンピュータ・プログラムまたは仕様を、複数の分散ワーカー・ノードに分散するステップであって、医療情報の第１のセットへの少なくとも部分的なアクセスを有する少なくとも第１のワーカー・ノード、および、医療情報の第２のセットへの少なくとも部分的なアクセスを有する第２のワーカー・ノードと含み、医療情報の前記第１セットは、医療情報の前記第１のセットにアクセスするための、および／または医療情報の前記第１のセットの上で行うことができる計算のための１つ以上の条件に対応するルールの第１のセットと結びついており、医療情報の前記第２のセットは、医療情報の前記第２のセットにアクセスするための１つ以上の条件に対応するルールの第２のセットと結びついており、ルールの前記第１および第２のセットからの医療情報の前記第１および前記第２のセットにアクセスするための前記１つ以上の条件は、互いに異なるものである、ステップを含む方法。
23. 医療情報の前記第１セットは、第１の地理的位置に保存され、医療情報の前記第２のセットは、第２の地理的位置に保存される、請求項２２に記載の方法。
24. 前記第１および前記第２の地理的位置は、異なる国に存在する、請求項２３に記載の方法。
25. 前記第１のワーカー・ノードは、医療情報の前記第２のセットへのアクセスを有さず、前記第２のワーカー・ノードは、医療情報の前記第１のセットへのアクセスを有さない、請求項２２に記載の方法。
26. 医療情報の前記第１セットにアクセスするための１つ以上の条件は、前記実行可能な診断コンピュータ・プログラムを受信した後に前記第１のワーカー・ノードのみが決定することができる少なくとも１つの条件を含む、請求項２２に記載の方法。
27. 少なくとも１つの条件は、前記第１のワーカー・ノードが利用可能な１つ以上の環境変数の評価に依存する、請求項２６に記載の方法。
28. 少なくとも１つの条件は、前記実行可能な診断コンピュータ・プログラムの前記第１のワーカー・ノードによる実行に依存する、請求項２６に記載の方法。
29. 前記少なくとも１つの条件は、前記実行可能な診断コンピュータ・プログラムが実行される地理的位置に依存する、請求項２６に記載の方法。

Images