JP2021039143A - 秘匿情報処理システム及び秘匿情報処理方法 - Google Patents

秘匿情報処理システム及び秘匿情報処理方法 Download PDF

Info

Publication number
JP2021039143A
JP2021039143A JP2019158347A JP2019158347A JP2021039143A JP 2021039143 A JP2021039143 A JP 2021039143A JP 2019158347 A JP2019158347 A JP 2019158347A JP 2019158347 A JP2019158347 A JP 2019158347A JP 2021039143 A JP2021039143 A JP 2021039143A
Authority
JP
Japan
Prior art keywords
processing
data
secret
encrypted
key
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Granted
Application number
JP2019158347A
Other languages
English (en)
Other versions
JP7249248B2 (ja
Inventor
啓成 藤原
Hiroshige Fujiwara
啓成 藤原
尚宜 佐藤
Hisanobu Sato
尚宜 佐藤
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Hitachi Ltd
Original Assignee
Hitachi Ltd
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Hitachi Ltd filed Critical Hitachi Ltd
Priority to JP2019158347A priority Critical patent/JP7249248B2/ja
Priority to EP20193317.3A priority patent/EP3786828A1/en
Priority to US17/006,017 priority patent/US11475121B2/en
Publication of JP2021039143A publication Critical patent/JP2021039143A/ja
Application granted granted Critical
Publication of JP7249248B2 publication Critical patent/JP7249248B2/ja
Active legal-status Critical Current
Anticipated expiration legal-status Critical

Links

Images

Classifications

    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/50—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems
    • G06F21/52—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems during program execution, e.g. stack integrity ; Preventing unwanted data erasure; Buffer overflow
    • G06F21/53—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems during program execution, e.g. stack integrity ; Preventing unwanted data erasure; Buffer overflow by executing in a restricted environment, e.g. sandbox or secure virtual machine
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/60—Protecting data
    • G06F21/602—Providing cryptographic facilities or services
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/60—Protecting data
    • G06F21/62—Protecting access to data via a platform, e.g. using keys or access control rules
    • G06F21/6209—Protecting access to data via a platform, e.g. using keys or access control rules to a single file or object, e.g. in a secure envelope, encrypted and accessed using a key, or with access control rules appended to the object itself
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/60—Protecting data
    • G06F21/62—Protecting access to data via a platform, e.g. using keys or access control rules
    • G06F21/6218—Protecting access to data via a platform, e.g. using keys or access control rules to a system of files or objects, e.g. local or distributed file system or database
    • G06F21/6227—Protecting access to data via a platform, e.g. using keys or access control rules to a system of files or objects, e.g. local or distributed file system or database where protection concerns the structure of data, e.g. records, types, queries
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/60—Protecting data
    • G06F21/62—Protecting access to data via a platform, e.g. using keys or access control rules
    • G06F21/6218—Protecting access to data via a platform, e.g. using keys or access control rules to a system of files or objects, e.g. local or distributed file system or database
    • G06F21/6245—Protecting personal data, e.g. for financial or medical purposes
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/70—Protecting specific internal or peripheral components, in which the protection of a component leads to protection of the entire computer
    • G06F21/71—Protecting specific internal or peripheral components, in which the protection of a component leads to protection of the entire computer to assure secure computing or processing of information
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/70—Protecting specific internal or peripheral components, in which the protection of a component leads to protection of the entire computer
    • G06F21/71—Protecting specific internal or peripheral components, in which the protection of a component leads to protection of the entire computer to assure secure computing or processing of information
    • G06F21/74—Protecting specific internal or peripheral components, in which the protection of a component leads to protection of the entire computer to assure secure computing or processing of information operating in dual or compartmented mode, i.e. at least one secure mode
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/008—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols involving homomorphic encryption
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L2209/00—Additional information or applications relating to cryptographic mechanisms or cryptographic arrangements for secret or secure communication H04L9/00
    • H04L2209/04—Masking or blinding
    • H04L2209/046—Masking or blinding of operations, operands or results of the operations

Landscapes

  • Engineering & Computer Science (AREA)
  • Theoretical Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Hardware Design (AREA)
  • Physics & Mathematics (AREA)
  • Software Systems (AREA)
  • General Engineering & Computer Science (AREA)
  • General Physics & Mathematics (AREA)
  • Health & Medical Sciences (AREA)
  • Bioethics (AREA)
  • General Health & Medical Sciences (AREA)
  • Mathematical Physics (AREA)
  • Databases & Information Systems (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Medical Informatics (AREA)
  • Storage Device Security (AREA)
  • Information Retrieval, Db Structures And Fs Structures Therefor (AREA)

Abstract

【課題】個人情報等の機密情報を秘匿したまま、多様なデータを統計解析や機械学習によって分析する処理を実行し、さらに利用者に対する処理結果の応答時間を短縮する。【解決手段】秘匿情報処理サーバ３０において、処理クエリ実行部３０３が処理要求を受信すると、ＴＥＥ信頼領域処理部３０４が、処理要求とＴＥＥ信頼領域のみで利用可能な暗号鍵とに基づいて、処理要求における処理対象の条件に合致するデータの抽出を秘匿抽出によって行う秘匿抽出クエリを生成し、秘匿抽出処理部３０５が、秘匿抽出クエリの実行を指示することによって、暗号化ＤＢ部３０７から暗号化したまま処理対象の暗号化データを抽出し、ＴＥＥ信頼領域処理部３０４が、秘匿抽出処理部３０５が抽出した処理対象の暗号化データを暗号鍵で復号して、処理要求が要求するデータ処理を実行し、処理クエリ実行部３０３が、データ処理の実行結果を処理要求の送信元に返信する。【選択図】図１８

Description

本発明は、秘匿情報処理システム及び秘匿情報処理方法に関し、個人情報等の機密情報を秘匿したまま処理し利活用する秘匿情報処理システム及び秘匿情報処理方法に適用して好適なものである。
２０１６年１２月に、多様な主体による個人に関する官民データの適正な活用を促進する官民データ活用推進基本法が公布・施行され、２０１８年１２月には情報銀行の認定申請の受付が開始される等、官民が連携した個人データ活用スキームが進展している。さらに、総務省は、２０１９年３月には情報銀行の初号認定が出る見通しを明らかにしている。
こうした背景のもと、救急と警備会社等の官民が情報連携した公共サービスや、公共サービスとの相乗効果を生む製薬、保険、交通、及び情報銀行等の民間サービスの連携等、多様な情報を連携した新たな価値の創出が促進されている。多様なデータを分析して新たな価値を創出するには、回帰分析等の統計解析や機械学習等の分析処理が有効とされる。さらに、これらのサービスを実現するためには、病院や情報銀行といったデータホルダが所有する個人情報等の機密情報を、個人のプライバシーを保護したまま、公共サービスや民間サービスの提供者が分析し活用することを可能とする秘匿情報処理技術が求められる。
従来の秘匿情報処理技術では、データを暗号化したまま一定の処理を可能とすることで、個人情報等の機密情報の秘匿化を実現していた。しかし、従来の秘匿情報処理技術では、実行可能な処理は検索や順序比較等の基本的な演算に限定されており、処理の自由度に限界があった。また、処理の自由度に制限がない準同型暗号等の暗号技術は、実用的な処理速度では実現できない。このため、処理の高い自由度が必要とされる高度な統計処理や機械学習に対応する秘匿情報処理が課題となっている。
ここで、情報を暗号化したままでは実行できない処理に対する工夫として、例えば特許文献１が挙げられる。特許文献１には、クラウドサービスが、暗号化された機密データの処理を、信頼されているユーザデバイスに委任することを可能とするシステムが開示されている。
特表２０１８−５１５８３６号公報
しかし、上述した特許文献１に開示されたシステムでは、クラウドサービスが暗号化された機密データをユーザデバイスに送信して処理させるため、データ送信のオーバヘッドによって処理時間が長くなってしまうという問題があった。また、多様なデータを組み合わせて分析する処理において、特定のユーザデバイスに他ユーザのデータを含む多様なデータを送信し分析させることは、処理能力、機密情報の秘匿、及びプライバシー保護の観点から適切ではないという問題もあった。
ところで近年、主要なＣＰＵ（Central Processing Unit）にはＴＥＥ（Trusted Execution Environment）機能が標準搭載されつつあり、このＴＥＥ機能は秘匿情報の処理に有効であると考えられる。ＴＥＥ機能は、クラウド上のサーバ内に、サーバの管理者権限を奪われても情報を読み取られないハードウェア的な信頼領域を提供する機能であり、その信頼領域内でのみ暗号化データを復号して処理することで、安全に高度な処理が可能となる。但し、ＴＥＥ機能の実装においては、信頼領域で取り扱えるデータ量がサーバのメモリ量よりも小さく限られるため、多様なデータをすべて復号化して処理することは難しいという問題があった。
本発明は以上の点を考慮してなされたもので、利用者に対する処理結果の応答時間の増加を抑制しながらも、個人情報等の機密情報を秘匿したまま、多様なデータを統計処理や機械学習によって分析する処理を実行可能な秘匿情報処理システム及び秘匿情報処理方法を提案しようとするものである。
かかる課題を解決するため本発明においては、機密情報を含むデータを所有するデータホルダ端末から秘匿情報処理サーバに提供される前記データの暗号化データに対してデータ処理を行う以下の秘匿情報処理システムが提供される。この秘匿情報処理システムにおいて、前記秘匿情報処理サーバは、前記暗号化データに対する処理要求を受信する処理要求実行部と、前記暗号化データを暗号化したまま所定条件に合致するデータを抽出する秘匿抽出の実行を指示する秘匿抽出処理部と、安全な信頼領域において当該信頼領域のみで利用可能な暗号鍵を用いて前記暗号化データを復号し処理する信頼領域処理部と、前記秘匿抽出を実行可能な秘匿抽出可能暗号で暗号化された前記暗号化データを格納する暗号化データ保持部と、を備える。そして、前記処理要求実行部が前記処理要求を受信すると、前記信頼領域処理部が、前記処理要求及び前記暗号鍵に基づいて、前記処理要求における処理対象の条件に合致するデータの抽出を前記秘匿抽出によって行う秘匿抽出クエリを生成し、前記秘匿抽出処理部が、前記生成された前記秘匿抽出クエリの実行を指示することによって、前記暗号化データ保持部から暗号化したまま前記処理対象の暗号化データを抽出し、前記信頼領域処理部が、前記秘匿抽出処理部が抽出した前記処理対象の暗号化データを前記暗号鍵で復号して、前記処理要求が要求するデータ処理を実行し、前記処理要求実行部が、前記データ処理の実行結果を前記処理要求の送信元に返信する。
また、かかる課題を解決するため本発明においては、機密情報を含むデータを所有するデータホルダ端末から秘匿情報処理サーバに提供される前記データの暗号化データに対してデータ処理を行う以下の秘匿情報処理方法が提供される。ここで、前記秘匿情報処理サーバは、前記暗号化データに対する処理要求を受信する処理要求実行部と、前記暗号化データを暗号化したまま所定条件に合致するデータを抽出する秘匿抽出の実行を指示する秘匿抽出処理部と、安全な信頼領域において当該信頼領域のみで利用可能な暗号鍵を用いて前記暗号化データを復号し処理する信頼領域処理部と、前記秘匿抽出を実行可能な秘匿抽出可能暗号で暗号化された前記暗号化データを格納する暗号化データ保持部と、を有する。そしてこの秘匿情報処理方法は、前記処理要求実行部が前記処理要求を受信する処理要求受信ステップと、前記信頼領域処理部が前記処理要求受信ステップで受信した前記処理要求及び前記暗号鍵に基づいて、前記処理要求における処理対象の条件に合致するデータの抽出を前記秘匿抽出によって行う秘匿抽出クエリを生成する秘匿抽出クエリ生成ステップと、前記秘匿抽出処理部が前記秘匿抽出クエリ生成ステップで生成された前記秘匿抽出クエリの実行を指示することによって、前記暗号化データ保持部から暗号化したまま前記処理対象の暗号化データを抽出する秘匿データ抽出ステップと、前記信頼領域処理部が前記秘匿データ抽出ステップで抽出された前記処理対象の暗号化データを前記暗号鍵で復号して、前記処理要求が要求するデータ処理を実行する信頼領域内部データ処理ステップと、前記処理要求実行部が前記信頼領域内部データ処理ステップの実行結果を前記処理要求の送信元に返信する処理要求応答ステップと、を備える。
本発明によれば、個人情報等の機密情報を秘匿したまま、多様なデータを統計解析や機械学習によって分析する処理を実行することができ、さらに、利用者に対する処理結果の応答時間を短縮することができる。
本発明の一実施形態に係る秘匿情報処理システムのシステム構成例を示すブロック図である。 図１に示した秘匿情報処理システムのハードウェア構成例を示すブロック図である。 図１に示したデータホルダ端末の機能構成を示すブロック図である。 図１に示した処理結果利用者端末の機能構成を示すブロック図である。 図１に示した秘匿情報処理サーバの機能構成を示すブロック図である。 図５に示したＴＥＥ信頼領域処理部の詳細な機能構成を示すブロック図である。 図５に示した暗号化ＤＢ部の詳細な機能構成を示すブロック図である。 データ鍵登録処理の処理手順を示すシーケンス図である。 暗号化鍵管理テーブルの一例である。 鍵暗号化鍵変更処理の処理手順を示すフローチャートである。 鍵管理テーブルの一例である。 処理鍵登録処理の処理手順を示すシーケンス図である。 データ登録処理の処理手順を示すシーケンス図である。 データ登録処理に用いられるデータの一例である。 データ登録処理でデータホルダ端末側に登録される暗号化データの一例である。 データ登録処理で秘匿情報処理サーバ側に登録される暗号化データ（暗号化患者データテーブル）の一例である。 データ変換処理の処理手順を示すフローチャートである。 秘匿データ処理の処理手順を示すシーケンス図である。 処理クエリ生成画面の一例である。 処理クエリの一例である。 暗号化処理クエリの一例である。 秘匿抽出クエリの一例である。 秘匿抽出データの一例である。 データ処理によって得られる処理結果の一例である。 ＴＥＥ内部データ処理によって得られる暗号化処理結果の一例である。 処理結果表示画面の一例である。 秘匿抽出クエリ生成処理の処理手順を示すフローチャートである。 データ抽出クエリの一例である。 ＴＥＥ内部データ処理の処理手順を示すフローチャートである。 秘匿抽出データを復号した抽出データの一例である。 データ処理の処理手順を示すフローチャートである。
以下、図面を参照して、本発明の一実施形態を詳述する。
（１）秘匿情報処理システムの構成
図１は、本発明の一実施形態に係る秘匿情報処理システムのシステム構成例を示すブロック図である。
本実施形態に係る秘匿情報処理システム１は、個人情報等の機密情報を保持するデータホルダから暗号化したデータを預託され、そのデータを秘匿化したまま処理結果利用者の処理要求に応じて処理し、その処理結果を処理結果利用者に提供するためのシステムである。
図１に示したように、秘匿情報処理システム１は、データホルダがデータを暗号化し預託するために用いるデータホルダ端末１０、処理結果利用者が処理要求を生成して送信し、処理結果を参照する処理結果利用者端末２０、データホルダから預託されたデータに対し処理結果利用者から受信した処理要求の処理を秘匿化したまま実行し処理結果を送信する秘匿情報処理サーバ３０、及びこれらを接続するネットワーク４０から構成される。なお、図１に示したように、本実施形態に係る秘匿情報処理システム１では、複数のデータホルダ端末１０及び複数の処理結果利用者端末２０を接続可能とする。
図２は、図１に示した秘匿情報処理システムのハードウェア構成例を示すブロック図である。
データホルダ端末１０は、パーソナルコンピュータ、スマートフォン、サーバ装置等の情報処理装置または仮想マシンであり、例えば図２に示したように、ＣＰＵ１１、メモリ１２、ディスク１３、ネットワークインタフェース１４、表示装置１５、及び入力装置１６を備え、これらが内部通信線１７で互いに接続される。
処理結果利用者端末２０は、データホルダ端末１０と同様、パーソナルコンピュータ、スマートフォン、サーバ装置等の情報処理装置または仮想マシンであり、例えば図２に示したように、ＣＰＵ２１、メモリ２２、ディスク２３、ネットワークインタフェース２４、表示装置２５、及び入力装置２６を備え、これらが内部通信線２７で互いに接続される。
秘匿情報処理サーバ３０は、パーソナルコンピュータ、スマートフォン、サーバ装置等の情報処理装置または仮想マシンであり、例えば図２に示したように、ＣＰＵ３１、メモリ３２、ディスク３３、ネットワークインタフェース３４、表示装置３５、及び入力装置３６を備え、これらが内部通信線３７で互いに接続される。なお、秘匿情報処理サーバ３０において、ＣＰＵ３１は、ＴＥＥ機能を有するＴＥＥ対応のＣＰＵであり、メモリ３２は、ＴＥＥ対応のＣＰＵがメモリ上に確保するハードウェア的な信頼領域であるＴＥＥ信頼領域３８を有する。
ネットワーク４０は、有線通信または無線通信によるインターネット、社内ネットワーク、または衛星回線等の通信ネットワーク全般に相当する。
図３は、図１に示したデータホルダ端末の機能構成を示すブロック図である。
図３に示したように、データホルダ端末１０は、秘匿情報処理サーバ３０にデータ鍵１１２を暗号化して登録するデータ鍵登録部１０１と、秘匿情報処理サーバ３０に個人情報等の機密情報を暗号化して登録するデータ登録部１０２と、データホルダが登録したデータ１１１の利活用状況を閲覧するための機能を提供する登録データ状況閲覧部１０３と、データ１１１をＡＥＳ（Advanced Encryption Standard）等の基本的な暗号化技術によって暗号化する暗号化部１０４と、データ（暗号化データ１１４）を暗号化したまま検索できるようにする「検索可能暗号化」を行う検索可能暗号化部１０５と、データ（暗号化データ１１４）を暗号化したまま順序比較できるようにする「順序比較可能暗号化」を行う順序比較可能暗号化部１０６とを備える。これらの各機能部１０１〜１０６は、ＣＰＵ１１がメモリ１２に記憶されている所定のプログラムを読み出して実行することによって実現される。また、上記の検索可能暗号化及び順序比較可能暗号化は、データを暗号化したまま（秘匿したまま）、所定条件を満たす情報を抽出する処理（一致比較（検索）や順序比較等）を実行できる暗号化であり、以降ではこのような暗号化を「秘匿抽出可能暗号化」と総称することがある。
また、図３に示したように、データホルダ端末１０は、個人情報等の機密情報であるデータ１１１と、データ１１１の暗号化に使用するデータ鍵１１２と、データ鍵１１２を秘匿情報処理サーバ３０のＴＥＥ信頼領域３８に送り込むために暗号化する際に使用するＴＥＥ公開鍵１１３と、秘匿情報処理サーバ３０に預託するデータ１１１を暗号化した暗号化データ１１４と、秘匿情報処理サーバ３０のＴＥＥ信頼領域３８に預託するデータ鍵１１２を暗号化した暗号化データ鍵１１５とを有する。これらのデータは、上述したデータホルダ端末１０の各機能部１０１〜１０６による処理（プログラムの実行）に必要なデータや当該処理によって生成されるデータであり、メモリ１２またはディスク１３に記憶される。なお、秘匿情報処理システム１においてデータホルダ端末１０は複数であってもよく（図１参照）、複数の場合、各データホルダ端末１０は、同一のデータ鍵１１２を利用してもよいし、それぞれ異なるデータ鍵１１２を利用してもよい。
図４は、図１に示した処理結果利用者端末の機能構成を示すブロック図である。
図４に示したように、処理結果利用者端末２０は、秘匿情報処理サーバ３０に処理鍵２１１を暗号化して登録する処理鍵登録部２０１と、秘匿情報処理サーバ３０に送信する処理要求を生成する処理クエリ生成部２０２と、秘匿情報処理サーバ３０に処理クエリを暗号化して登録する処理クエリ登録部２０３と、処理結果利用者に対して秘匿情報処理サーバ３０から受領した処理結果を画面表示する処理結果表示部２０４と、秘匿情報処理サーバ３０に送信する処理要求等を暗号化する暗号化部２０５と、秘匿情報処理サーバ３０から受信する暗号化された処理結果等を復号する復号部２０６と、を備える。これらの各機能部２０１〜２０６は、ＣＰＵ２１がメモリ２２に記憶されている所定のプログラムを読み出して実行することによって実現される。
また、図４に示したように、処理結果利用者端末２０は、処理要求の暗号化及び暗号化された処理結果の復号に用いる処理鍵２１１と、処理鍵２１１を秘匿情報処理サーバ３０のＴＥＥ信頼領域３８に送り込むために暗号化する際に使用するＴＥＥ公開鍵２１２と、処理結果利用者が要求する処理対象データ及び処理内容を示す処理クエリ２１３と、処理鍵２１１がＴＥＥ公開鍵２１２を用いて暗号化された処理鍵である暗号化処理鍵２１４と、処理クエリ２１３が処理鍵２１１を用いて暗号化された処理クエリである暗号化処理クエリ２１５と、秘匿情報処理サーバ３０から受信した暗号化された処理結果を処理鍵２１１を用いて複合した処理結果２１６と、を有する。これらのデータは、上述した処理結果利用者端末２０の各機能部２０１〜２０６による処理（プログラムの実行）に必要なデータや当該処理によって生成されるデータであり、メモリ２２またはディスク２３に記憶される。なお、秘匿情報処理システム１において処理結果利用者端末２０は複数であってもよく（図１参照）、複数の場合、各処理結果利用者端末２０は、同一の処理鍵２１１を利用してもよいし、それぞれ異なる処理鍵２１１を利用してもよい。
図５は、図１に示した秘匿情報処理サーバの機能構成を示すブロック図である。
図５に示したように、秘匿情報処理サーバ３０は、データホルダ端末１０から受信した暗号化データ鍵１１５または処理結果利用者端末２０から受信する暗号化処理鍵２１４をＴＥＥ信頼領域処理部３０４の処理を介して暗号化鍵管理テーブル３１６に登録する鍵登録実行部３０１と、データホルダ端末１０から受信する暗号化データ１１４をＴＥＥ信頼領域処理部３０４の処理を介して暗号化ＤＢ部３０７に登録するデータ登録実行部３０２と、処理結果利用者端末２０から受信する暗号化処理クエリ２１５をＴＥＥ信頼領域処理部３０４の処理を介して実行し、その暗号化処理の結果を応答する処理クエリ実行部３０３と、ハードウェア的に安全なＴＥＥ機能の信頼領域を用いた処理を実行するＴＥＥ信頼領域処理部３０４と、処理クエリ実行部３０３からの秘匿抽出要求を受けて秘匿抽出クエリ３１５をＴＥＥ信頼領域処理部３０４の処理を介して生成し、暗号化ＤＢ部３０７に対する秘匿抽出を実行する秘匿抽出処理部３０５と、暗号化されていない通常のデータを格納する通常ＤＢ部３０６と、暗号化されたデータを格納する暗号化ＤＢ部３０７とを備える。これらの各機能部３０１〜３０７は、ＣＰＵ３１がメモリ３２に記憶されている所定のプログラムを読み出して実行することによって実現され、特にＴＥＥ信頼領域処理部３０４による処理は、ＴＥＥ対応のＣＰＵ３１がメモリ３２のＴＥＥ信頼領域３８上で処理を行う。
また、図５に示したように、秘匿情報処理サーバ３０は、ＴＥＥ信頼領域３８でのみ利用可能なＴＥＥローカル鍵（図６に示すＴＥＥローカル鍵３３４）により暗号化された暗号化ＴＥＥ秘密鍵３１１、暗号化データ鍵３１２、及び暗号化処理鍵３１３と、処理鍵により暗号化された処理クエリである暗号化処理クエリ３１４と、後述するＴＥＥローカル鍵３３４を用いて暗号化された抽出クエリである秘匿抽出クエリ３１５と、各種の暗号化した鍵を登録する暗号化鍵管理テーブル３１６と、秘匿情報処理サーバ３０内のデータ処理の履歴が記録される処理ログ３１７と、秘匿抽出クエリ３１５により暗号化ＤＢ部３０７から抽出された暗号化データである秘匿抽出データ３１８と、処理鍵により暗号化された処理結果である暗号化処理結果３１９とを有する。これらのデータは、上述した秘匿情報処理サーバ３０の各機能部３０１〜３０７による処理（プログラムの実行）に必要なデータや当該処理によって生成されるデータであり、メモリ３２またはディスク３３に記憶される。
さらに、図６及び図７を参照しながら、ＴＥＥ信頼領域処理部３０４及び暗号化ＤＢ部３０７の詳細な機能構成を説明する。
図６は、図５に示したＴＥＥ信頼領域処理部の詳細な機能構成を示すブロック図である。ＴＥＥ信頼領域処理部３０４による処理は、サーバＯＳの管理者権限を持つサーバ管理者やその管理者権限をサイバー攻撃により奪ったサイバー攻撃者であっても情報を読み取ることができないメモリ３２上のＴＥＥ信頼領域３８を用いて、ＴＥＥ対応のＣＰＵ３１によって提供される。すなわち、ＴＥＥ信頼領域処理部３０４による処理は、サーバの管理者権限を持つ管理者やサイバー攻撃者に対する秘匿性を確保したまま、機密情報や各種の鍵情報の平文処理を実行可能である。
図６に示したように、ＴＥＥ信頼領域処理部３０４は、機能部として、データ鍵や処理鍵の鍵暗号化鍵等を変更する鍵変更部３２１と、暗号化したまま検索や順序比較を可能とする秘匿抽出クエリを生成する秘匿抽出クエリ生成部３２２と、回帰分析等の解析処理や機械学習を実行するデータ処理実行部３２３と、処理対象データのデータ量がＴＥＥ信頼領域３８よりも大きい場合に実行される分割処理によって出力された複数の処理結果をまとめる処理結果集約処理部３２４と、ＡＥＳ等の基本的な暗号化を行う暗号化部３２５と、暗号化したまま検索を可能とする検索可能暗号化を行う検索可能暗号化部３２６と、暗号化したまま順序比較を可能とする順序比較可能暗号化を行う順序比較可能暗号化部３２７と、暗号化されたデータ、処理クエリ、及び各種鍵情報等を復号する復号部３２８とを備える。
また、図６に示したように、ＴＥＥ信頼領域処理部３０４は、ＴＥＥ信頼領域３８の内部でのみ使用可能なＴＥＥ公開鍵１１３のペア鍵であるＴＥＥ秘密鍵３３１と、ＴＥＥ公開鍵１１３で暗号化されたデータ鍵をＴＥＥ秘密鍵３３１で復号したデータ鍵３３２と、ＴＥＥ公開鍵１１３で暗号化された処理鍵をＴＥＥ秘密鍵３３１で復号した処理鍵３３３と、ＴＥＥ対応のＣＰＵ３１の固有情報から生成されてＴＥＥ信頼領域３８の内部でのみ使用されるＴＥＥローカル鍵３３４と、暗号化鍵管理テーブル３１６をＴＥＥローカル鍵３３４により復号した鍵管理テーブル３３５と、秘匿抽出クエリ生成部３２２が生成したデータ抽出クエリ３３６と、ＴＥＥ信頼領域処理部３０４に入力された秘匿抽出データを復号した抽出データ３３７と、データ処理実行部３２３がデータ処理を実行した結果である処理結果３３８とを有する。
図７は、図５に示した暗号化ＤＢ部の詳細な機能構成を示すブロック図である。図７では、暗号化ＤＢ３０７が暗号化データを登録するデータベースの一例として、暗号化患者データテーブル３５１を保持する場合について、暗号化ＤＢ３０７の詳細な機能構成が示されている。
図７に示したように、暗号化ＤＢ部３０７は、暗号化患者データテーブル３５１にデータを登録するデータ登録部３４１と、暗号化患者データテーブル３５１から秘匿抽出クエリに該当する暗号化データを抽出するデータ抽出部３４２と、暗号化患者データテーブル３５１から指定された条件に該当するデータを削除するデータ削除部３４３と、秘匿抽出クエリの実行において暗号化データと暗号化処理クエリの一致判定または順序比較判定を行う秘匿抽出クエリ判定部３４４とを備える。そして、暗号化患者データテーブル３５１には、データホルダ端末１０から登録されたデータが暗号化して登録される。
（２）処理
本実施形態に係る秘匿情報処理システム１で実行される処理について説明する。
全体的な処理の流れとして、まず、秘匿情報処理システム１は、データホルダから預託される個人情報等の機密情報を暗号化して秘匿情報処理サーバ３０に登録する「データ登録処理」を行うための事前準備として、データホルダ端末１０と秘匿情報処理サーバ３０との間でデータ鍵を登録する「データ鍵登録処理」と、処理結果利用者端末２０と秘匿情報処理サーバ３０との間で処理鍵を登録する「処理鍵登録処理」とを行う。データ鍵登録処理の詳細は図８に示され、処理鍵登録処理の詳細は図１２に示される。
次に、秘匿情報処理システム１は、データホルダ端末１０と秘匿情報処理サーバ３０との間で「データ登録処理」を行う。データ登録処理では、データホルダから預託された個人情報等の機密情報（データ）が、データホルダ端末１０においてデータ鍵を用いて暗号化され、さらに、秘匿情報処理サーバ３０において秘匿抽出可能暗号化されて登録される。データ登録処理の詳細は図１３に示される。
そして、データ登録処理が行われた後、秘匿情報処理システム１は、秘匿情報処理サーバ３０に登録された秘匿抽出可能暗号化された機密情報（秘匿データ）に対して、処理結果利用者が要望する処理を秘匿したまま実行し、その処理結果を処理結果利用者端末２０に表示する「秘匿データ処理」を行うことができる。秘匿データ処理の詳細は図１８に示される。
以下、上述した各処理について、図面を参照しながら詳しく説明する。
（２−１）データ鍵登録処理
図８は、データ鍵登録処理の処理手順を示すシーケンス図である。データ鍵登録処理は、データホルダ端末１０及び秘匿情報処理サーバ３０によって実行される。
図８によればまず、データホルダ端末１０のデータ鍵登録部１０１が、データ鍵１１２をＴＥＥ公開鍵１１３とともに暗号化部１０４に入力し、出力として暗号化データ鍵１１５を得るデータ鍵暗号化処理を実行する（ステップＳ１０１）。
次に、データホルダ端末１０のデータ鍵登録部１０１が、暗号化データ鍵１１５、所有元「データホルダ端末１０」、及び鍵タイプ「データ鍵」という情報からなるデータ鍵登録情報を、秘匿情報処理サーバ３０に送信する（ステップＳ１０２）。ステップＳ１０２の処理は、データホルダ端末１０から秘匿情報処理サーバ３０に対するデータ鍵の登録要求に相当する。
次に、秘匿情報処理サーバ３０の鍵登録実行部３０１は、ステップＳ１０２で送信されたデータ鍵登録情報を受信すると、ＴＥＥ信頼領域処理部３０４に、暗号化データ鍵１１５を含む鍵暗号化鍵変更要求を送信する（ステップＳ１０３）。
次に、ＴＥＥ信頼領域処理部３０４は、ステップＳ１０３の鍵暗号化鍵変更要求に応じて、図１０に後述する鍵暗号化鍵変更処理を実行し、鍵暗号化鍵をＴＥＥローカル鍵３３４に変更した暗号化データ鍵を生成して、鍵登録実行部３０１に送信する（ステップＳ１０４）。
次に、鍵登録実行部３０１は、所有元「データホルダ端末１０」、鍵タイプ「データ鍵」、及びステップＳ１０４においてＴＥＥローカル鍵３３４で暗号化された暗号化データ鍵（暗号化データ鍵３１２）からなるレコードを、暗号化鍵管理テーブル３１６に追加し、データホルダ端末１０に鍵登録の完了応答を返す（ステップＳ１０５）。なお、データホルダ端末１０が１台だけである場合等、ステップＳ１０４の鍵暗号化鍵変更処理が不要な場合には、鍵登録実行部３０１は、データホルダ端末１０から受信したデータ鍵登録情報に含まれる暗号化データ鍵１１５をそのまま暗号化鍵管理テーブル３１６に登録してもよい。
ここで、図９に、暗号化鍵登録の処理によって登録される暗号化鍵管理テーブルの一例を示す。図９に例示した暗号化鍵管理テーブル３１６は、鍵の所有元を示す「所有元」カラム、鍵のタイプを示す「鍵タイプ」カラム、及び暗号化された鍵を格納する「暗号化鍵」カラムから構成される。具体的には例えば、１行目のレコード３１６１は、データホルダ端末１０が所有元であるデータ鍵を暗号化した暗号化鍵が「tojqj5dscs77gkl5」であることを示す。一方、２行目のレコード３１６２は、処理結果利用者端末２０が所有元である処理鍵を暗号化した暗号化鍵が「f6hpjsgwmivexmhz」であることを示す。なお、後述する処理鍵登録処理における暗号化鍵登録の処理（図１２のステップＳ２０５）でも、図９と同様の形式で暗号化鍵管理テーブル３１６が登録される。
ステップＳ１０５の処理後、データホルダ端末１０は、秘匿情報処理サーバ３０（鍵登録実行部３０１）から鍵登録の完了応答を受信すると、データ鍵登録処理を終了する。
（２−１−１）鍵暗号化鍵変更処理
図１０は、鍵暗号化鍵変更処理の処理手順を示すフローチャートである。図８のステップＳ１０４で述べたように、鍵暗号化鍵変更処理は、鍵登録実行部３０１からの鍵暗号化鍵変更要求（図８のステップＳ１０３）に応じて、ＴＥＥ信頼領域処理部３０４が実行する処理である。
図１０によればまず、鍵登録実行部３０１から鍵暗号化鍵変更要求を受信すると、ＴＥＥ信頼領域処理部３０４は、ＴＥＥ秘密鍵３３１を読み出す（ステップＳ１１１）。
次に、ＴＥＥ信頼領域処理部３０４は、鍵暗号化鍵変更要求に含まれる暗号化された鍵（暗号化データ鍵１１５）を、ステップＳ１１１で読み出したＴＥＥ秘密鍵３３１とともに復号部３２８に入力して、復号する（ステップＳ１１２）。ここで、鍵暗号化鍵変更要求に含まれる暗号化データ鍵１１５はＴＥＥ公開鍵１１３で暗号化された鍵であり（図８のステップＳ１０１参照）、ステップＳ１１２の処理は、このような入力鍵をＴＥＥ秘密鍵３３１を用いて復号するものである。
次に、ＴＥＥ信頼領域処理部３０４が、ＴＥＥローカル鍵３３４を読み出す（ステップＳ１１３）。
次に、ＴＥＥ信頼領域処理部３０４は、ステップＳ１１２で復号した入力鍵とステップＳ１１３で読み出したＴＥＥローカル鍵３３４を暗号化部３２５に入力することにより、入力鍵をＴＥＥローカル鍵３３４で暗号化する（ステップＳ１１４）。
また、ＴＥＥ信頼領域処理部３０４は、ステップＳ１１２で復号した入力鍵を鍵管理テーブル３３５に登録する（ステップＳ１１５）。
ここで、図１１に、鍵管理テーブルの一例を示す。図１１に例示した鍵管理テーブル３３５は、鍵の所有元を示す「所有元」カラム、鍵のタイプを示す「鍵タイプ」カラム、及び鍵を格納する「鍵」カラムから構成される。具体的には例えば、１行目のレコード３３５１は、データホルダ端末１０が所有元であるデータ鍵が「vf0l04ugdqjsql1j」であることを示す。一方、２行目のレコード３１６２は、処理結果利用者端末２０が所有元である処理鍵が「mgyk3lvqbpdco4uo」であることを示す。このような鍵管理テーブル３３５に格納される「鍵」は、暗号化鍵管理テーブル３１６に格納される暗号化鍵（図９参照）をＴＥＥローカル鍵３３４によって復号した鍵ともいえる。なお、前述したように、鍵管理テーブル３３５はＴＥＥ信頼領域３８の内部に保持されるため、鍵の安全性が担保される。
最後に、ＴＥＥ信頼領域処理部３０４は、鍵暗号化鍵変更要求に対する出力として、この暗号化した入力鍵（暗号化データ鍵３１２）を鍵登録実行部３０１に送信し、鍵暗号化鍵変更処理を終了する。
（２−２）処理鍵登録処理
図１２は、処理鍵登録処理の処理手順を示すシーケンス図である。処理鍵登録処理は、処理結果利用者端末２０及び秘匿情報処理サーバ３０によって実行される。
図１２によればまず、処理結果利用者端末２０の処理鍵登録部２０１が、処理鍵２１１をＴＥＥ公開鍵２１２とともに暗号化部２０５に入力し、出力として暗号化処理鍵２１４を得る処理鍵暗号化処理を実行する（ステップＳ２０１）。
次に、処理鍵登録部２０１が、暗号化処理鍵２１４、所有元「処理結果利用者端末２０」、及び鍵タイプ「処理鍵」という情報からなる処理鍵登録情報を、秘匿情報処理サーバ３０に送信する（ステップＳ２０２）。ステップＳ２０２の処理は、処理結果利用者端末２０から秘匿情報処理サーバ３０に対する処理鍵の登録要求に相当する。
次に、秘匿情報処理サーバ３０の鍵登録実行部３０１は、ステップＳ２０２で送信された処理鍵登録情報を受信すると、ＴＥＥ信頼領域処理部３０４に、暗号化処理鍵２１４を含む鍵暗号化鍵変更要求を送信する（ステップＳ２０３）。
次に、ＴＥＥ信頼領域処理部３０４は、ステップＳ２０３の鍵暗号化鍵変更要求に応じて、図１０に示した鍵暗号化鍵変更処理を実行し、鍵暗号化鍵をＴＥＥローカル鍵３３４に変更した暗号化処理鍵を生成して、鍵登録実行部３０１に送信する（ステップＳ２０４）。
次に、鍵登録実行部３０１は、所有元「処理結果利用者端末２０」、鍵タイプ「処理鍵」、及びステップＳ２０４においてＴＥＥローカル鍵３３４で暗号化された暗号化データ鍵（暗号化処理鍵３１３）からなるレコードを、暗号化鍵管理テーブル３１６に追加し、処理結果利用者端末２０に鍵登録の完了応答を返す（ステップＳ２０５）。なお、処理結果利用者端末２０が１台だけである場合等、ステップＳ２０４の鍵暗号化鍵変更処理が不要な場合には、鍵登録実行部３０１は、処理結果利用者端末２０から受信した処理鍵登録情報に含まれる暗号化処理鍵２１４をそのまま暗号化鍵管理テーブル３１６に登録してもよい。
最後に、処理結果利用者端末２０は、秘匿情報処理サーバ３０（鍵登録実行部３０１）から鍵登録の完了応答を受信すると、処理鍵登録処理を終了する。
（２−３）データ登録処理
図１３は、データ登録処理の処理手順を示すシーケンス図である。データ登録処理は、データホルダ端末１０及び秘匿情報処理サーバ３０によって実行される。
図１３によればまず、データホルダ端末１０が、秘匿情報処理サーバ３０に登録するデータを事前に暗号化する処理を実行する（ステップＳ３０１）。詳しくは、データホルダ端末１０のデータ登録部１０２が、データ１１１及びデータ鍵１１２を暗号化部１０４に入力し、出力として暗号化データ１１４を得る。なお、秘匿情報処理システム１でデータホルダ端末１０が１台のみで構成される場合等、後述するステップＳ３０４のデータ変換処理が不要な場合には、ステップＳ３０１の処理において、データ１１１のうち、性別等の名義値のデータは検索可能暗号化部１０５を用いて検索可能暗号化し、年齢・身長等の数値データは順序比較可能暗号化部１０６を用いて順序比較可能暗号化するようにしてもよい。ここで、データ登録処理に用いられるデータ１１１、及びデータ登録処理でデータホルダ端末１０側に登録される暗号化データ１１４について、一例を図１４、図１５に示す。
図１４は、データ登録処理に用いられるデータの一例である。図１４では、データ登録処理に用いられるデータ１１１の一例として、病院が所有する患者データをまとめた患者データテーブル１１１０が示されている。
図１４の患者データテーブル１１１０は、氏名、住所、性別、年齢、伸長、及び体重のカラムを有して構成される。具体的には例えば、１行目のレコード１１１１は、鈴木花子さんの住所が東京都で、性別が女性、年齢が２８歳、身長が１７０．１ｃｍ、体重が７２．４ｋｇであることを示す。なお、当然ながら、本実施形態に係る秘匿情報処理システム１で利用できるデータ１１１は、上記のような患者データに限定されるものではなく、病院や情報銀行といったデータホルダが所有する個人情報等の機密情報全般を採用することができる。
図１５は、データ登録処理でデータホルダ端末側に登録される暗号化データの一例である。図１５では、データホルダ端末１０側に登録される暗号化データ１１４の一例として、図１４の患者データテーブル１１１０をデータ鍵１１２で暗号化した暗号化患者データテーブル１１４０が示されている。
図１５の暗号化患者データテーブル１１４０は、暗号化前の患者データテーブル１１１０（図１４参照）と同様に、氏名、住所、性別、年齢、伸長、及び体重のカラムを有して構成される。但し各レコードは、全てのカラムの値がデータ鍵１１２によって暗号化されている。例えば１行目のレコード１１４１は、図１４のレコード１１１１の各カラムの値が暗号化されたレコードである。
図１３の説明に戻る。ステップＳ３０１の処理に続いて、データホルダ端末１０のデータ登録部１０２が、秘匿情報処理サーバ３０のデータ登録実行部３０２に、暗号化データ１１４と所有元「データホルダ端末１０」の情報とからなるデータ登録要求を送信する（ステップＳ３０２）。
次に、秘匿情報処理サーバ３０のデータ登録実行部３０２は、ステップＳ３０２で送信されたデータ登録要求を受信すると、当該要求に含まれる暗号化データ１１４のデータ量がＴＥＥ信頼領域処理部３０４が一度に処理できるデータ量の上限を超えている場合に、データを分割する（ステップＳ３０３）。例えば、暗号化データ１１４のデータ量が１ＧＢであり、ＴＥＥ信頼領域処理部３０４が一度に処理できるデータ量の上限値が１００ＭＢである場合、データ登録実行部３０２は、暗号化データ１１４を１００ＭＢずつの１０個のデータに分割する。なお、データ登録要求に含まれる暗号化データ１１４のデータ量がＴＥＥ信頼領域処理部３０４が一度に処理できるデータ量の上限以内である場合は、データ分割を行わずに次の処理に進む。
次に、データ登録実行部３０２は、データ登録要求に含まれる所有元「データホルダ端末１０」の情報と、データ鍵登録処理で受信したデータ鍵登録情報に含まれる鍵タイプ「データ鍵」の情報とをキーとして、暗号化鍵管理テーブル３１６から対応する暗号化データ鍵を読み出し、データ登録要求に含まれた暗号化データ（ステップＳ３０３においてデータ分割した場合は、分割データの１つ）とともに、ＴＥＥ信頼領域処理部３０４に送信する。これを受けてＴＥＥ信頼領域処理部３０４は、受信した暗号化データを、後に実施される「暗号化したままの検索比較や順序比較」に備えたデータに変換するデータ変換処理を実行し、実行結果である変換後の暗号化データ（秘匿抽出可能暗号な暗号化データ）をデータ登録実行部３０２に応答する（ステップＳ３０４）。
詳細は図１７を参照しながら後述するが、データ変換処理では、ＴＥＥ信頼領域３８において、受信した暗号化データを復号した後、ＴＥＥローカル鍵３３４を用いて秘匿抽出可能暗号化が行われる。なお、前述したように秘匿情報処理システム１でデータホルダ端末１０が１台のみで構成される場合等に、ステップＳ３０１で検索可能暗号化や順序比較可能暗号化が行われている場合には、ステップＳ３０４の処理はスキップすることができる。
次に、データ登録実行部３０２は、暗号化ＤＢ部３０７に暗号化データの登録要求を送信する（ステップＳ３０５）。
そしてステップＳ３０５の登録要求を受信した暗号化ＤＢ部３０７は、データ登録部３４１を用いて、暗号化データを登録対象のデータベース（本例では暗号化患者データテーブル３５１とする）に登録し、登録が完了すると、データ登録実行部３０２に完了応答を送信する（ステップＳ３０６）。
ここで、図１６に、データ登録処理で秘匿情報処理サーバ側に登録される暗号化データ（暗号化患者データテーブル）の一例を示す。図１６には、ステップＳ３０６で暗号化ＤＢ部３０７に格納される暗号化データの一例として、ステップＳ３０２でデータホルダ端末１０からデータ登録が要求された暗号化データが図１５の暗号化患者データテーブル１１４０であるとしたときに、秘匿情報処理サーバ３０におけるステップＳ３０３〜Ｓ３０６の処理を経てＴＥＥローカル鍵３３４で秘匿抽出可能暗号化された、暗号化患者データテーブル３５１が示されている。
図１６の暗号化患者データテーブル３５１は、データ登録が要求されたときの暗号化患者データテーブル１１４０（図１５参照）や、暗号化前の患者データテーブル１１１０（図１４参照）と同様に、氏名、住所、性別、年齢、伸長、及び体重のカラムを有して構成される。但し各レコードは、暗号化患者データテーブル１１４０における各カラムの値が全て、別の鍵（ＴＥＥローカル鍵３３４）によって秘匿抽出可能に暗号化されている。例えば１行目のレコード３５１１は、図１５のレコード１１４１（言い換えれば図１４のレコード１１１１）に対応しており、レコード３５１１の各カラムの値は、レコード１１１１の各カラムの値がＴＥＥローカル鍵３３４によって、秘匿抽出可能に暗号化されたものである。
図１３の説明に戻る。ステップＳ３０６の処理に続いて、データ登録実行部３０２は、暗号化ＤＢ部３０７への登録が完了していない分割データ（未登録データ）の有無を確認する（ステップＳ３０７）。ステップＳ３０７において未登録データがある場合には（ステップＳ３０７のＹＥＳ）、未登録データに対するステップＳ３０４以降の処理が行われ、未登録データがない場合には（ステップＳ３０７のＮＯ）、データ登録実行部３０２は、データホルダ端末１０にデータ登録の完了応答を返す。
最後に、データホルダ端末１０は、秘匿情報処理サーバ３０のデータ登録実行部３０２から完了応答を受信すると、データ登録処理を終了する。
（２−３−１）データ変換処理
図１７は、データ変換処理の処理手順を示すフローチャートである。図１３のステップＳ３０４で述べたように、データ変換処理は、データ登録実行部３０２からの暗号化データ鍵及び暗号化データ（分割データの１つ）が入力されることに応じて、ＴＥＥ信頼領域処理部３０４が実行する処理である。
図１７によれば、まず、ＴＥＥ信頼領域処理部３０４は、データ登録実行部３０２から入力された暗号化データ鍵を読み出し（ステップＳ３１１）、さらにＴＥＥローカル鍵３３４を読み出す（ステップＳ３１２）。
次に、ＴＥＥ信頼領域処理部３０４は、ステップＳ３１１で読み出した暗号化データ鍵を、ステップＳ３１２で読み出したＴＥＥローカル鍵３３４とともに復号部３２８に入力して、復号する（ステップＳ３１３）。
次に、ＴＥＥ信頼領域処理部３０４は、ステップＳ３１３で復号して得たデータ鍵を用いて、データ登録実行部３０２から入力された暗号化データを復号する（ステップＳ３１４）。
次に、ＴＥＥ信頼領域処理部３０４は、ステップＳ３１４で復号したデータを、ステップＳ３１２で読み出したＴＥＥローカル鍵３３４を用いて、「秘匿抽出可能暗号化」する（ステップＳ３１５）。前述したように「秘匿抽出可能暗号化」は、データを暗号化したまま（秘匿したまま）、所定条件を満たす情報を抽出する処理（検索や順序比較）を実行できる暗号化であり、ステップＳ３１５における秘匿抽出可能暗号化をより具体的に説明すると、例えば、性別等の名義値のデータは検索可能暗号化部３２６を用いて検索可能暗号化し、年齢・身長等の数値データは順序比較可能暗号化部３２７を用いて順序比較可能暗号化する。なお、検索・順序比較等の秘匿抽出の対象としないデータについては、暗号化部３２５を用いてＡＥＳ等の基本的な暗号化を行ってもよい。
ステップＳ３１５の暗号化が完了すると、ＴＥＥ信頼領域処理部３０４は、暗号化したデータを処理の要求元に送信してデータ変換処理を終了する。
（２−４）秘匿データ処理
図１８は、秘匿データ処理の処理手順を示すシーケンス図である。秘匿データ処理は、処理結果利用者端末２０及び秘匿情報処理サーバ３０によって実行される。
図１８によればまず、処理結果利用者端末２０において、処理クエリ生成部２０２が、対象データの条件と処理内容とからなる処理クエリ２１３を生成する（ステップＳ４０１）。
なお、ステップＳ４０１で処理クエリ２１３を生成するために必要な、対象データ及び処理方法に関する情報は、処理クエリ生成画面４１０を介して処理結果利用者（ユーザ）によって入力される。処理クエリ生成画面４１０は、例えば処理クエリ生成部２０２の制御によって、表示装置２５等（秘匿情報処理サーバ３０の表示装置３５等でもよい）に表示され、当該画面に対して、ユーザが入力装置２６を使って入力操作を行う。そして、処理クエリ生成画面４１０に対するユーザの入力内容に応じて、処理クエリ生成部２０２は処理クエリ２１３を生成する。ここで、処理クエリ生成画面４１０及び処理クエリ２１３の一例を図１９、図２０に示す。
図１９は、処理クエリ生成画面の一例である。図１９に例示した処理クエリ生成画面４１０は、大別して、対象データ及びその絞り込み条件を入力するための対象データ入力領域（領域４１０１〜４１０６）と、対象データの処理方法を入力するための処理方法入力領域（領域４１０７〜４１１０）と、入力内容の決定またはキャンセルを入力するための入力決定領域（領域４１１１〜４１１２）と、を備えて構成されている。
具体的には、対象データ入力領域には、対象データのテーブル名を入力する領域４１０１と、対象データの絞り込み条件１の対象カラム名を入力する領域４１０２と、領域４１０２に入力したカラムの絞り込み条件となるキーワードを指定する領域４１０３と、対象データの絞り込み条件２の対象カラム名を入力する領域４１０４と、領域４１０４に入力したカラムの絞り込み条件となる値域の上限値及び下限値を入力する領域４１０５，４１０６と、が含まれる。
また、処理方法入力領域には、処理方法の種類を入力する領域４１０７と、領域４１０７に入力された処理方法（本例では「回帰分析」）に対して指定が必要な回帰モデルを入力する領域４１０８と、説明変数Ｘを指定する領域４１０９と、目的変数Ｙを指定する領域４１１０と、が含まれる。
また、入力決定領域には、入力内容を決定し処理を完了するための「ＯＫ」ボタンを示す領域４１１１と、入力内容をキャンセルし処理を完了するための「キャンセル」ボタンを示す領域４１１２と、が含まれる。
図２０は、処理クエリの一例である。図２０に例示したように、処理クエリ２１３は、処理対象データを示す領域２１３１と、処理方法を示す領域２１３２とから構成される。
より具体的には、図２０の処理クエリ２１３は、データ１１１に格納された患者データテーブル１１１０（図１４参照）から、性別カラムの値が「男性」であり、かつ年齢カラムの値が「０〜１５」であるレコード群を抽出し、その抽出したレコード群に対して、身長カラムを説明変数Ｘとし、年齢カラムを目的変数Ｙとする回帰分析を、回帰モデル「Ｙ＝ａＸ＋ｂ」で実行する処理を実行させるための処理クエリを意味する。
図１８の説明に戻る。ステップＳ４０１の処理に続いて、処理結果利用者端末２０では、処理クエリ登録部２０３が、ステップＳ３０１で生成された処理クエリ２１３を暗号化する（ステップＳ４０２）。具体的には、処理クエリ登録部２０３は、処理鍵２１１及び処理クエリ２１３を暗号化部２０５に入力し、出力として暗号化処理クエリ２１５を得る。
図２１は、暗号化処理クエリの一例である。図２１に例示したように、処理鍵２１１を使用して処理クエリ２１３を暗号化した暗号化処理クエリ２１５は、処理対象データを示す領域２１５１と、処理方法を示す領域２１５２とから構成される。より具体的には、領域２１５１には、図２０に示した処理クエリ２１３の領域２１３１に対応する暗号化データが示され、領域２１５２には、処理クエリ２１３の領域２１３２に対応する暗号化データが示される。
ステップＳ４０２の処理に続いて、処理結果利用者端末２０では、処理クエリ登録部２０３が、暗号化処理クエリ２１５及び所有元「処理結果利用者端末２０」の情報を、秘匿情報処理サーバ３０の処理クエリ実行部３０３に登録する（ステップＳ４０３）。
次に、秘匿情報処理サーバ３０では、処理クエリ実行部３０３が、ステップＳ４０３で受信した暗号化処理クエリ２１５と所有元情報「処理結果利用者端末２０」を入力とする秘匿抽出要求を、秘匿抽出処理部３０５に送信する（ステップＳ４０４）。
次に、秘匿抽出要求を受信した秘匿抽出処理部３０５は、所有元情報「処理結果利用者端末２０」と鍵タイプ「処理鍵」の情報をキーとして、暗号化鍵管理テーブル３１６から暗号化処理鍵３１３を抽出する。なお、鍵タイプ「処理鍵」の情報は、例えば、所有元情報「処理結果利用者端末２０」をキーとして暗号化鍵管理テーブル３１６を参照することにより取得できる。そして、秘匿抽出処理部３０５は、この暗号化処理鍵３１３と暗号化処理クエリ２１５とを入力として、秘匿抽出クエリ生成要求をＴＥＥ信頼領域処理部３０４に送信する（ステップＳ４０５）。
次に、ＴＥＥ信頼領域処理部３０４は、秘匿抽出クエリ生成要求で入力された暗号化処理鍵３１３と暗号化処理クエリ２１５を入力として、秘匿抽出クエリ生成処理を実行し、出力として得られる秘匿抽出クエリ３１５を秘匿抽出処理部３０５に応答する（ステップＳ４０６）。
詳細は図２７を参照しながら後述するが、秘匿抽出クエリ生成処理では、ＴＥＥ信頼領域３８において、暗号化処理クエリ２１５を復号した処理クエリに基づいて平文のデータ抽出クエリ３３６（後述する図２８参照）が生成され、データ抽出クエリ３３６の一部がＴＥＥローカル鍵３３４を使用して秘匿抽出可能暗号化された秘匿抽出クエリ３１５が生成される。
図２２は、秘匿抽出クエリの一例である。図２２に例示した秘匿抽出クエリ３１５は、データベースを検索するＳＱＬクエリとして構成され、特に、ＷＨＥＲＥ句の一致判定条件文を秘匿一致判定関数に置き換え、ＷＨＥＲＥ句の大小比較条件分を秘匿順序比較関数に置き換え、かつ、検索条件を示す検索キーワードを検索可能暗号クエリに置き換え、大小比較の境界条件を示す境界値を順序比較可能暗号クエリに置き換えて構成される。なお、上記の秘匿一致判定関数及び秘匿順序比較関数は、暗号化したままデータの条件判定を行って該当データを抽出する関数であることから、秘匿抽出判定関数と呼ぶことができる。
図２２に例示した秘匿抽出クエリ３１５は、後述する図２８に例示するデータ抽出クエリ３３６に対応したものであって、両者を比較することによって、秘匿可能暗号化に置き換えた箇所が分かる。具体的には、図２２において、秘匿抽出クエリ３１５は、「性別＝男性」という一致判定条件文を、秘匿一致判定関数と「男性」を検索可能暗号クエリ化した「sy78tk」という値を用いて置き換えており、さらに、「年齢≧０」と「年齢≦１５」という大小比較条件文を、秘匿数値比較関数と「０」と「１５」を順序比較可能暗号クエリ化した「9vyvga」と「eb4814」という値を用いて置き換えている。
次に、秘匿抽出処理部３０５は、ＴＥＥ信頼領域処理部３０４からの秘匿抽出クエリ生成処理の応答を受けると、受け取った秘匿抽出クエリ３１５を暗号化ＤＢ部３０７に送信して、クエリ実行を要求する（ステップＳ４０７）。
次に、暗号化ＤＢ部３０７は、ステップＳ４０７で受信した秘匿抽出クエリ３１５に基づいて、暗号化したままデータ抽出を行う秘匿抽出処理を実行する（ステップＳ４０８）。秘匿抽出処理では、まず、秘匿抽出クエリ３１５をデータ抽出部３４２に入力する。そして、データ抽出部３４２が、データベースのデータ抽出処理において、秘匿一致判定または秘匿順序判定が必要な条件文の判定処理について、秘匿抽出クエリ判定部３４４に条件文を入力することによって判定結果を得て、条件に合致するデータ（秘匿抽出データ３１８）を抽出する。そして、暗号化ＤＢ部３０７は、秘匿抽出処理の結果として、上記抽出された秘匿抽出データ３１８を秘匿抽出処理部３０５に応答する。
図２３は、秘匿抽出データの一例である。図２３の場合、秘匿抽出データ３１８は、秘匿抽出クエリ３１５に基づいて暗号化患者データテーブル３５１から抽出されたデータであって、性別カラム、年齢カラム、及び身長カラムから構成される。秘匿抽出データ３１８の各カラム値は暗号化されており、例えば１行目のレコード３１８１を見ると、秘匿抽出によって暗号化したまま抽出した当該レコードにおいて、各カラムの値が暗号化されたままであることが示される。
次に、秘匿抽出処理部３０５は、ステップＳ４０８で応答を受けた秘匿抽出データ３１８を、ステップＳ４０４における秘匿抽出要求の応答として、処理クエリ実行部３０３に応答する（ステップＳ４０９）。
次に、処理クエリ実行部３０３は、ステップＳ４０９で応答を受けた秘匿抽出データ３１８のデータ量と、ＴＥＥ信頼領域３８が取り扱えるデータ量の上限値とを比較し（ステップＳ４１０）、秘匿抽出データ３１８のほうが大きい場合は（ステップＳ４１０のＮＯ）、ステップＳ４１１を実行してからステップＳ４１２に進み、それ以外の場合は（ステップＳ４１０のＹＥＳ）ステップＳ４１１をスキップしてステップＳ４１２に進む。
ステップＳ４１１では、処理クエリ実行部３０３は、秘匿抽出データ３１８を分割する。例えば、秘匿抽出データ３１８のデータ量が１ＧＢで、ＴＥＥ信頼領域３８の上限値が１００ＭＢであった場合、１００ＭＢの１０個の分割データに分割する。
次に、処理クエリ実行部３０３は、秘匿抽出データ３１８（ステップＳ４１１で分割した場合は分割データの１つ）と暗号化処理クエリ２１５を入力とするデータ処理要求を、ＴＥＥ信頼領域処理部３０４に送信する（ステップＳ４１２）。
次に、ＴＥＥ信頼領域処理部３０４は、秘匿抽出データ３１８（ステップＳ４１１で分割した場合は分割データの１つ）と暗号化処理クエリ２１５を入力として、ＴＥＥ内部データ処理を実行し、その出力として得られる暗号化処理結果３１９を処理クエリ実行部３０３に応答する（ステップＳ４１３）。
詳細は図２９や図３１を参照しながら後述するが、ＴＥＥ内部データ処理では、データ処理（図２９のステップＳ４３４、図３１）によって平文の処理結果３３８が出力され、この処理結果３３８を処理鍵３３３で暗号化することによって暗号化処理結果３１９が得られる。ここで、処理結果３３８及び暗号化処理結果３１９の一例を図２４及び図２５に示す。
図２４は、データ処理によって得られる処理結果の一例である。図２４に例示したように、処理結果３３８は、領域３３８１及び領域３３８２を備えて構成される。例えば、領域３３８１には、対象データと処理内容のサマリが平文で示され、領域３３８２には、処理結果のサマリが平文で示されている。
図２５は、ＴＥＥ内部データ処理によって得られる暗号化処理結果の一例である。図２５に例示したように、暗号化処理結果３１９は、領域３１９１及び領域３１９２を備えて構成される。前述したように、暗号化処理結果３１９は、ＴＥＥ内部データ処理のなかで得られた平文の処理結果３３８（図２４参照）を、処理鍵３３３で暗号化したものである。したがって、各領域内は暗号文が示される。具体的には例えば、領域３１９１には、対象データと処理内容のサマリを暗号化した暗号文が示され、領域３１９２には、処理結果のサマリを暗号化した暗号文が示される。
次に、処理クエリ実行部３０３は、ＴＥＥ内部データ処理による暗号化処理結果３１９の応答を受け、未処理の分割データが残っているか否かを判定する（ステップＳ４１４）。未処理の分割データがある場合には（ステップＳ４１４のＹＥＳ）、未処理の分割データの１つと暗号化処理クエリ２１５を入力として、ステップＳ４１２，Ｓ４１３の処理を実行し、未処理の分割データがなくなった場合には（ステップＳ４１４のＮＯ）、ステップＳ４１５に進む。
ステップＳ４１５では、処理クエリ実行部３０３は、暗号化処理結果３１９の個数をカウントし、複数の暗号化処理結果３１９が得られたか否かを判定する。ステップＳ４１５において暗号化処理結果３１９が単一であった場合は（ステップＳ４１５のＮＯ）、ステップＳ４１１でデータ分割が実施されていないことを意味し、このとき、処理クエリ実行部３０３は、暗号化処理結果３１９を処理結果利用者端末２０に送信する。
一方、ステップＳ４１５において暗号化処理結果３１９が複数であった場合（ステップＳ４１５のＹＥＳ）、これらの暗号化処理結果３１９は、ステップＳ４１１でデータ分割された分割データの処理結果を意味する。この場合、処理クエリ実行部３０３は、複数の分割データに対する複数の暗号化処理結果３１９を入力とする処理結果集約要求を、ＴＥＥ信頼領域処理部３０４に送信する。
そして、処理結果集約要求を受信したＴＥＥ信頼領域処理部３０４は、入力された複数の暗号化処理結果３１９を処理鍵３３３により復号し、複数の処理結果３３８を連結する等してまとめた（集約した）うえで、再度、処理鍵３３３により暗号化した暗号化処理結果３１９を生成し、この暗号化処理結果３１９を処理クエリ実行部３０３に応答する（ステップＳ４１６）。なお、処理結果集約処理において、ＴＥＥ信頼領域処理部３０４は、複数の処理結果（暗号化処理結果３１９）を必ずしも１つにまとめる必要はなく、複数にまとめるとしてもよい。この場合、ＴＥＥ信頼領域処理部３０４は、複数の処理結果についてそれぞれ暗号化した暗号化処理結果３１９を、処理クエリ実行部３０３に応答する。そして、処理クエリ実行部３０３は、ＴＥＥ信頼領域処理部３０４から応答を受けた1つまたは複数の暗号化処理結果３１９を処理結果利用者端末２０に送信する。
次に、ステップＳ４１５またはステップＳ４１６を経て、処理クエリ実行部３０３から暗号化処理結果３１９を受信した処理結果利用者端末２０は、受信した１つまたは複数の暗号化処理結果３１９と処理鍵２１１を復号部２０６に入力することによって、暗号化処理結果３１９を復号し、その出力として平文の処理結果２１６を得る（ステップＳ４１７）。処理結果２１６の具体的な内容は、図２４に示した処理結果３３８と同様である。
そして最後に、処理結果利用者端末２０では、処理結果表示部２０４が、表示装置２５等に処理結果表示画面４２０を表示することによって、処理結果利用者（ユーザ）に対して処理結果２１６を出力し（ステップＳ４１８）、秘匿データ処理を終了する。
図２６は、処理結果表示画面の一例である。図２６に例示した処理結果表示画面４２０は、元々の処理条件のサマリを示す領域４２０１と、処理結果のサマリを示す領域４２０２と、処理結果表示画面４２０の参照を終了する際に押下する「ＯＫ」ボタンを示す領域４２０３と、を備えて構成されている。
具体的には、領域４２０１には、処理条件のサマリとして、対象データ「患者データテーブル」において、性別が「男性」かつ年齢が「０〜１５才」のレコードを対象とし、身長カラムを説明変数Ｘ、年齢カラムを目的変数Ｙとする単回帰分析（回帰モデルはＹ＝ａＸ＋ｂ）を実行することが示されている。また、領域４２０２には、領域４２０１に示された処理条件による処理結果のサマリとして、係数ａの値が「０．０１６」、切片ｂの値が「−９．６２」という回帰モデルが得られたことが示されている。
なお、上述した領域４２０１，４２０２の表示内容は、ステップＳ４１７で復号された平文の処理結果２１６（図２４に示した処理結果３３８と同様）に基づくものであり、図２４を参照すると、処理結果表示画面４２０における各表示内容と対応することが分かる。
（２−４−１）秘匿抽出クエリ生成処理
図２７は、秘匿抽出クエリ生成処理の処理手順を示すフローチャートである。図１８のステップＳ４０６で述べたように、秘匿抽出クエリ生成処理は、暗号化処理鍵３１３及び暗号化処理クエリ２１５を入力とする処理であって、ＴＥＥ信頼領域処理部３０４が実行する。
図２７によればまず、ＴＥＥ信頼領域処理部３０４は、暗号化処理鍵２１４とＴＥＥローカル鍵３３４を復号部３２８に入力することによって暗号化処理鍵２１４を復号し、出力として処理鍵３３３を得る（ステップＳ４２１）。
次に、ＴＥＥ信頼領域処理部３０４は、暗号化処理クエリ２１５と処理鍵３３３を復号部３２８に入力することによって暗号化処理クエリ２１５を復号し、出力として処理クエリを得る（ステップＳ４２２）。なお、ステップＳ４２２で得られる処理クエリは、図２０に示した処理クエリ２１３と同様のクエリとなる。
次に、ＴＥＥ信頼領域処理部３０４は、ステップＳ４２２で得た処理クエリに基づいて、処理クエリに記載されている処理対象データのテーブル名、絞り込み条件からなる平文のデータ抽出クエリ３３６を生成する（ステップＳ４２３）。
図２８は、データ抽出クエリの一例である。図２８に例示したように、データ抽出クエリ３３６は、データベースを検索するＳＱＬクエリとして構成される。具体的には、図２８のデータ抽出クエリ３３６は、患者データテーブルから、性別カラムの値が「男性」で、かつ年齢カラムの値が「０以上１５以下」であるレコードの、性別、年齢、及び身長カラムの値を抽出するというＳＱＬクエリであって、図２０の処理クエリ２１３に記載された処理対象データのテーブル名や絞り込み条件が用いられている。
次に、ＴＥＥ信頼領域処理部３０４は、ＴＥＥローカル鍵３３４を取得し（ステップＳ４２４）、このＴＥＥローカル鍵３３４を使用して、ステップＳ４２３で生成したデータ抽出クエリ３３６を秘匿抽出可能暗号化する（ステップＳ４２５）。より具体的には、ステップＳ４２５においてＴＥＥ信頼領域処理部３０４は、データ抽出クエリ３３６のうち、名義値属性の絞り込み条件のキーワードをＴＥＥローカル鍵３３４とともに検索可能暗号化部３２６に入力して検索可能暗号クエリを生成し、また、数値属性の絞り込み属性の境界値をＴＥＥローカル鍵３３４とともに順序比較可能暗号化部３２７に入力して順序比較可能暗号クエリを生成する。
次に、ＴＥＥ信頼領域処理部３０４は、データ抽出クエリ３３６のデータ抽出条件式を秘匿抽出クエリ判定部３４４が処理する関数名に置換し、絞り込みキーワードと境界値をステップＳ４２５で生成した検索可能暗号クエリと順序比較可能暗号クエリに置換した、秘匿抽出クエリ３１５を生成する（ステップＳ４２６）。そして最後に、ＴＥＥ信頼領域処理部３０４は、この秘匿抽出クエリ３１５を出力して秘匿抽出クエリ生成処理を終了する。なお、秘匿抽出クエリ３１５の具体例は、図２２に示した通りである。
（２−４−２）ＴＥＥ内部データ処理
図２９は、ＴＥＥ内部データ処理の処理手順を示すフローチャートである。図１８のステップＳ４１３で述べたように、ＴＥＥ内部データ処理は、秘匿抽出データ３１８（または分割データの１つ）及び暗号化処理クエリ２１５を入力とする処理であって、ＴＥＥ信頼領域処理部３０４が実行する。
図２９によればまず、ＴＥＥ信頼領域処理部３０４は、入力された秘匿抽出データ３１８及び暗号化処理クエリ２１５を復号するための処理鍵３３３及びＴＥＥローカル鍵３３４を読み出す（ステップＳ４３１）。
次に、ＴＥＥ信頼領域処理部３０４は、処理鍵３３３と暗号化処理クエリ２１５を復号部３２８に入力することによって暗号化処理クエリ２１５を復号し、出力として平文の処理クエリを得る（ステップＳ４３２）。なお、ステップＳ４３２で得られる平文の処理クエリは、図２０に示した処理クエリ２１３と同様のクエリである。
次に、ＴＥＥ信頼領域処理部３０４は、ＴＥＥローカル鍵３３４と秘匿抽出データ３１８を復号部３２８に入力することによって秘匿抽出データ３１８を復号し、出力として平文の抽出データ３３７を得る（ステップＳ４３３）。
ここで、図３０に、秘匿抽出データを復号した抽出データの一例を示す。図３０の抽出データ３３７は、図２３に示した秘匿抽出データ３１８を平文に復号したものである。そのため、図３０の抽出データ３３７は、図２３の秘匿抽出データ３１８と同様に、性別、年齢、及び身長のカラムを有して構成される。また、抽出データ３３７の各レコードには、データ抽出クエリ３３６（図２８参照）の条件に合致したレコードが抽出されている。
例えば１行目のレコード３３７１は、性別が男性、年齢が２歳、身長が７５．６ｃｍとなっているが、これは図２８に示したデータ抽出クエリ３３６の条件（性別カラムの値が男性、かつ年齢カラムの値が０以上１５以下であるレコードから、性別、年齢、身長カラムの値を抽出する）に合致している。また、図３０の他行のレコードも同様である。
次に、ＴＥＥ信頼領域処理部３０４は、ステップＳ４３２で得た平文の処理クエリ、及びステップＳ４３３で得た平文の抽出データ３３７を入力として、データ処理実行部３２３に所定のデータ処理（本例では単回帰分析）を実行させる（ステップＳ４３４）。詳細は図３１を参照しながら後述するが、データ処理の出力として、ＴＥＥ信頼領域処理部３０４は、平文の処理結果３３８を得る。処理結果３３８の具体例は、図２４に示した通りであって、処理条件と処理結果とを含んで構成される。
そして、ＴＥＥ信頼領域処理部３０４は、処理鍵３３３と処理結果３３８を暗号化部３２５に入力することによって、処理結果３３８を暗号化した暗号化処理結果３１９を得る（ステップＳ４３５）。暗号化処理結果３１９の具体例は、図２５に示した通りである。最後に、ＴＥＥ信頼領域処理部３０４は、この暗号化処理結果３１９を処理クエリ実行部３０３に応答し、ＴＥＥ内部データ処理を終了する。
図３１は、データ処理の処理手順を示すフローチャートである。図３１には、図２９のステップＳ４３４におけるデータ処理の具体的な処理手順例として、単回帰分析を用いた場合の処理手順が示されている。図２９の説明で前述したように、データ処理には、ステップＳ４３２で得られた平文の処理クエリ（図２０に示した処理クエリ２１３と同様のクエリ）と、ステップＳ４３３で得られた平文の抽出データ３３７（図３０参照）とが入力される。
図３１によればまず、ＴＥＥ信頼領域処理部３０４は、入力された平文の抽出データ３３７及び平文の処理クエリのうち、抽出データ３３７のレコード数をカウントし、変数Ｎに代入する（ステップＳ４４１）。
次に、ＴＥＥ信頼領域処理部３０４は、処理クエリに説明変数Ｘとして記載されている「身長」カラムのｉ行目の値を「Xi」という変数で参照するものとし、また、「身長」カラムの全レコードの平均値を「Xave」とする（ステップＳ４４２）。そして、ＴＥＥ信頼領域処理部３０４は、処理クエリに目的変数Ｙとして記載されている「年齢」カラムのｉ行目の値を「Yi」という変数で参照するものとし、また、「年齢」カラムの全レコードの平均値を「Yave」とする（ステップＳ４４３）。前述したように、本例の処理クエリは、図２０に示した処理クエリ２１３と同様としている。
次に、ＴＥＥ信頼領域処理部３０４は、変数ｉの初期値を１とし、「身長」カラムの分散の計算結果を示す変数「Xdist」の初期値を０とする（ステップＳ４４４）。
次に、ＴＥＥ信頼領域処理部３０４は、「Xdist + (Xi - Xave)^2」を計算し、その計算結果を「Xdist」の新たな値として代入する（ステップＳ４４５）。なお、「 ( )^2」という表現は、「( )」内の値の二乗値を示す。そして、ＴＥＥ信頼領域処理部３０４は、変数ｉの値を１増やす（ステップＳ４４６）。
次に、ＴＥＥ信頼領域処理部３０４は、変数ｉの値と変数Ｎの値（抽出データ３３７のレコード数）とを比較し、「ｉ≦Ｎ」の場合はステップＳ４４５，Ｓ４４６の処理を繰り返し、「ｉ＞Ｎ」の場合はステップＳ４４８の処理に進む（ステップＳ４４７）。すなわち、変数ｉを１ずつ増加させながら、抽出データ３３７のレコード数の回数分、ステップＳ４４５〜Ｓ４４７の処理を繰り返し、終了したらステップＳ４４８に進む。
ステップＳ４４８に進むと、ＴＥＥ信頼領域処理部３０４は、変数ｉの値を１に初期化し、また、「身長」カラムと「年齢」カラムの共分散の計算結果を示す変数「XYdist」の初期値を０とする。
次に、ＴＥＥ信頼領域処理部３０４は、「XYdist + (Xi - Xave) * (Yi - Yave)」を計算し、その計算結果を「XYdist」の新たな値として代入する（ステップＳ４４９）。そして、ＴＥＥ信頼領域処理部３０４は、変数ｉの値を１増やす（ステップＳ４５０）。
次に、ＴＥＥ信頼領域処理部３０４は、変数ｉの値と変数Ｎの値（抽出データ３３７のレコード数）とを比較し、「ｉ≦Ｎ」の場合はステップＳ４４９，Ｓ４５０の処理を繰り返し、「ｉ＞Ｎ」の場合はステップＳ４５２の処理に進む（ステップＳ４５１）。すなわち、変数ｉを１ずつ増加させながら、抽出データ３３７のレコード数の回数分、ステップＳ４４９〜Ｓ４５１の処理を繰り返し、終了したらステップＳ４５２に進む。
ステップＳ４５２に進むと、ＴＥＥ信頼領域処理部３０４は、「XYdist ÷ Xdist」の計算結果を、単回帰分析における「傾き」を表す変数ａに代入する（ステップＳ４５２）。また、ＴＥＥ信頼領域処理部３０４は、「Yave - a * Xave」の計算結果を、単回帰分析における「切片」を表す変数ｂに代入する（ステップＳ４５３）。
最後に、ＴＥＥ信頼領域処理部３０４は、処理クエリ、傾き「ａ」、及び切片「ｂ」から、平文の処理結果３３８を構成して出力し（ステップＳ４５４）、データ処理を終了する。処理結果３３８の具体的なデータ例は、図２４に示した通りである。
（３）まとめ
以上に説明したように、本実施形態に係る秘匿情報処理システム１によれば、多様なデータを含む暗号化データの処理において、暗号化データをユーザデバイスに送信することなく、さらに暗号化したまま検索または順序比較を可能な秘匿検索クエリによるデータ抽出を行って処理対象データを絞り込んだ上で、取り扱えるデータ量が限られる信頼領域（ＴＥＥ信頼領域３８）内で復号して処理を行うため、暗号化データの送信オーバヘッドをなくし、かつ、限られた信頼領域を効率的に利用して、利用者に対する処理結果の応答時間を短縮することができる。
また、本実施形態に係る秘匿情報処理システム１によれば、図１８のステップＳ４１０〜Ｓ４１４に説明したように、抽出した処理対象データのデータ量が信頼領域（ＴＥＥ信頼領域３８）が取り扱えるデータ量を超える場合には、処理対象データを分割して処理し、その後に処理結果をまとめる（集約する）ため、処理対象データのデータ量が大きい場合でも、頼領域を用いた高度な統計処理や機械学習等の分析処理を実行することができる。
また、本実施形態に係る秘匿情報処理システム１によれば、処理結果利用者の処理要求が、秘匿情報処理業者のサーバ（秘匿情報処理サーバ３０）において、信頼領域内部以外では処理鍵により暗号化したまま取り扱われるため、処理結果利用者の処理内容を秘匿情報処理サーバ３０のサーバ管理者やサイバー攻撃者に対して秘匿することができる。
これらのことから、秘匿情報処理システム１によって秘匿情報処理サービスを提供する秘匿情報処理業者は、サーバ（秘匿情報処理サーバ３０）上ではサーバの管理者権限を奪われても情報を読み取られないＴＥＥ機能の信頼領域でのみ平文処理を行うため、サーバ管理者やサイバー攻撃者に対し個人情報等の機密情報及び処理結果利用者の処理内容を秘匿したまま、高度な統計解析や機械学習等の分析処理結果を出力するサービスを提供することができる。
なお、本発明は上述した実施形態に限定されるものではなく、添付した特許請求の範囲の趣旨内における様々な変形例及び同等の構成が含まれる。例えば、上述した実施形態は本発明を分かりやすく説明するために詳細に説明したものであり、必ずしも説明した全ての構成を備えるものに本発明は限定されない。また、ある実施形態の構成の一部について、他の構成の追加・削除・置換をしてもよい。
また、前述した各構成、機能、処理部、処理手段等は、それらの一部又は全部を、例えば集積回路で設計する等により、ハードウェアで実現してもよく、プロセッサがそれぞれの機能を実現するプログラムを解釈し実行することにより、ソフトウェアで実現してもよい。
各機能を実現するプログラム、テーブル、ファイル等の情報は、メモリ、ハードディスク、ＳＳＤ（Solid State Drive）等の記憶装置、又は、ＩＣカード、ＳＤカード、ＤＶＤ等の記録媒体に格納することができる。
また、図面において制御線や情報線は説明上必要と考えられるものを示しており、実装上必要な全ての制御線や情報線を示しているとは限らない。実際には、ほとんど全ての構成が相互に接続されていると考えてよい。
また、本発明は、個人情報に加え、営業機密等、機密性が高く社内規則等で社外への公開が制限されている機密情報を秘匿化して社外組織等に提供する場合にも、同様の効果を得ることができる。
そして本発明は、顧客情報や医療情報等の個人情報、及び営業機密等の機密情報を扱う複数の組織において、個人情報や営業機密情報を秘匿したまま高度な統計処理や機械学習により分析することができるため、多様な機密情報を連携する公共・民間サービス向けの情報処理システムに広く適用することができる。
１…秘匿情報処理システム、１０…データホルダ端末、２０…処理結果利用者端末、３０…秘匿情報処理サーバ、４０…ネットワーク、１１，２１，３１…ＣＰＵ、１２，２２，３２…メモリ、１３，２３，３３…ディスク、１４，２４，３４…ネットワークインタフェース、１５，２５，３５…表示装置、１６，２６，３６…入力装置、１７，２７，３７…内部通信線、３８…ＴＥＥ信頼領域、１０１…データ鍵登録部、１０２…データ登録部、１０３…登録データ状況閲覧部、１０４…暗号化部、１０５…検索可能暗号化部、１０６…順序比較可能暗号化部、１１１…データ、１１２…データ鍵、１１３…ＴＥＥ公開鍵、１１４…暗号化データ、１１５…暗号化データ鍵、２０１…処理鍵登録部、２０２…処理クエリ生成部、２０３…処理クエリ登録部、２０４…処理結果表示部、２０５…暗号化部、２０６…復号部、２１１…処理鍵、２１２…ＴＥＥ公開鍵、２１３…処理クエリ、２１４…暗号化処理鍵、２１５…暗号化処理クエリ、２１６…処理結果、３０１…鍵登録実行部、３０２…データ登録実行部、３０３…処理クエリ実行部、３０４…ＴＥＥ信頼領域処理部、３０５…秘匿抽出処理部、３０６…通常ＤＢ部、３０７…暗号化ＤＢ部、３１１…暗号化ＴＥＥ秘密鍵、３１２…暗号化データ鍵、３１３…暗号化処理鍵、３１４…暗号化処理クエリ、３１５…秘匿抽出クエリ、３１６…暗号化鍵管理テーブル、３１７…処理ログ、３１８…秘匿抽出データ、３１９…暗号化処理結果、３２１…鍵変更部、３２２…秘匿抽出クエリ生成部、３２３…データ処理実行部、３２４…処理結果集約処理部、３２５…暗号化部、３２６…検索可能暗号化部、３２７…順序比較可能暗号化部、３２８…復号部、３３１…ＴＥＥ秘密鍵、３３２…データ鍵、３３３…処理鍵、３３４…ＴＥＥローカル鍵、３３５…鍵管理テーブル、３３６…データ抽出クエリ、３３７…抽出データ、３３８…処理結果、３４１…データ登録部、３４２…データ抽出部、３４３…データ削除部、３４４…秘匿抽出クエリ判定部、３５１…暗号化患者データテーブル、４１０…処理クエリ生成画面、４２０…処理結果表示画面

Claims (10)

  1. 機密情報を含むデータを所有するデータホルダ端末から秘匿情報処理サーバに提供される前記データの暗号化データに対してデータ処理を行う秘匿情報処理システムであって、
    前記秘匿情報処理サーバは、
    前記暗号化データに対する処理要求を受信する処理要求実行部と、
    前記暗号化データを暗号化したまま所定条件に合致するデータを抽出する秘匿抽出の実行を指示する秘匿抽出処理部と、
    安全な信頼領域において当該信頼領域のみで利用可能な暗号鍵を用いて前記暗号化データを復号し処理する信頼領域処理部と、
    前記秘匿抽出を実行可能な秘匿抽出可能暗号で暗号化された前記暗号化データを格納する暗号化データ保持部と、
    を備え、
    前記処理要求実行部が前記処理要求を受信すると、
    前記信頼領域処理部が、前記処理要求及び前記暗号鍵に基づいて、前記処理要求における処理対象の条件に合致するデータの抽出を前記秘匿抽出によって行う秘匿抽出クエリを生成し、
    前記秘匿抽出処理部が、前記生成された前記秘匿抽出クエリの実行を指示することによって、前記暗号化データ保持部から暗号化したまま前記処理対象の暗号化データを抽出し、
    前記信頼領域処理部が、前記秘匿抽出処理部が抽出した前記処理対象の暗号化データを前記暗号鍵で復号して、前記処理要求が要求するデータ処理を実行し、
    前記処理要求実行部が、前記データ処理の実行結果を前記処理要求の送信元に返信する
    ことを特徴とする秘匿情報処理システム。
  2. 前記処理要求実行部は、前記秘匿抽出処理部が抽出した前記処理対象の暗号化データを、前記信頼領域で取り扱い可能なデータ量を超えない分割データに分割して前記信頼領域処理部に送信する
    ことを特徴とする請求項１に記載の秘匿情報処理システム。
  3. 前記信頼領域処理部は、前記分割データごとに、前記暗号鍵で復号し、前記処理要求が要求するデータ処理を実行し、それぞれの実行結果をまとめて前記データ処理の実行結果とする
    ことを特徴とする請求項２に記載の秘匿情報処理システム。
  4. 前記秘匿抽出可能暗号は、暗号化したまま一致判定を可能とする検索可能暗号、または暗号化したまま大小比較判定を可能とする順序比較可能暗号を含む
    ことを特徴とする請求項１に記載の秘匿情報処理システム。
  5. 前記データホルダ端末は、前記暗号化データの暗号化に用いるデータ鍵を、前記信頼領域処理部が提供する公開鍵を用いて暗号化して前記秘匿情報処理サーバに登録し、
    前記データホルダ端末から前記秘匿情報処理サーバに前記暗号化データが登録されるとき、
    前記信頼領域処理部は、前記暗号化データを、前記公開鍵で暗号化されて前記登録された前記データ鍵を用いて復号した後、前記信頼領域のみで利用可能な前記暗号鍵を用いて前記秘匿抽出可能暗号に暗号化して、前記暗号化データ保持部に格納する
    ことを特徴とする請求項１に記載の秘匿情報処理システム。
  6. 前記処理要求を前記秘匿情報処理サーバに送信する利用者端末をさらに備え、
    前記利用者端末は、
    前記処理要求の暗号化に用いる処理鍵を、前記信頼領域処理部が提供する公開鍵を用いて暗号化して前記秘匿情報処理サーバに登録し、
    前記処理鍵を用いて前記処理要求を暗号化して前記処理要求実行部に送信する
    ことを特徴とする請求項１に記載の秘匿情報処理システム。
  7. 前記信頼領域処理部は、前記利用者端末から前記処理要求実行部が受信した前記暗号化された処理要求を、前記公開鍵で暗号化されて前記登録された前記処理鍵を用いて復号した後、前記信頼領域のみで利用可能な前記暗号鍵を用いて前記秘匿抽出可能暗号に暗号化することによって、前記秘匿抽出クエリを生成する
    ことを特徴とする請求項６に記載の秘匿情報処理システム。
  8. 前記処理要求が要求するデータ処理は単回帰分析である
    ことを特徴とする請求項１に記載の秘匿情報処理システム。
  9. 前記秘匿抽出クエリは、ＳＱＬ文と、暗号化したまま前記暗号化データの条件判定を行う秘匿抽出判定関数とから構成される
    ことを特徴とする請求項１に記載の秘匿情報処理システム。
  10. 機密情報を含むデータを所有するデータホルダ端末から秘匿情報処理サーバに提供される前記データの暗号化データに対してデータ処理を行う秘匿情報処理方法であって、
    前記秘匿情報処理サーバは、
    前記暗号化データに対する処理要求を受信する処理要求実行部と、
    前記暗号化データを暗号化したまま所定条件に合致するデータを抽出する秘匿抽出の実行を指示する秘匿抽出処理部と、
    安全な信頼領域において当該信頼領域のみで利用可能な暗号鍵を用いて前記暗号化データを復号し処理する信頼領域処理部と、
    前記秘匿抽出を実行可能な秘匿抽出可能暗号で暗号化された前記暗号化データを格納する暗号化データ保持部と、
    を有し、
    前記処理要求実行部が前記処理要求を受信する処理要求受信ステップと、
    前記信頼領域処理部が前記処理要求受信ステップで受信した前記処理要求及び前記暗号鍵に基づいて、前記処理要求における処理対象の条件に合致するデータの抽出を前記秘匿抽出によって行う秘匿抽出クエリを生成する秘匿抽出クエリ生成ステップと、
    前記秘匿抽出処理部が前記秘匿抽出クエリ生成ステップで生成された前記秘匿抽出クエリの実行を指示することによって、前記暗号化データ保持部から暗号化したまま前記処理対象の暗号化データを抽出する秘匿データ抽出ステップと、
    前記信頼領域処理部が前記秘匿データ抽出ステップで抽出された前記処理対象の暗号化データを前記暗号鍵で復号して、前記処理要求が要求するデータ処理を実行する信頼領域内部データ処理ステップと、
    前記処理要求実行部が前記信頼領域内部データ処理ステップの実行結果を前記処理要求の送信元に返信する処理要求応答ステップと、
    を備えることを特徴とする秘匿情報処理方法。
JP2019158347A 2019-08-30 2019-08-30 秘匿情報処理システム及び秘匿情報処理方法 Active JP7249248B2 (ja)

Priority Applications (3)

Application Number Priority Date Filing Date Title
JP2019158347A JP7249248B2 (ja) 2019-08-30 2019-08-30 秘匿情報処理システム及び秘匿情報処理方法
EP20193317.3A EP3786828A1 (en) 2019-08-30 2020-08-28 Confidential information processing system and confidential information processing method
US17/006,017 US11475121B2 (en) 2019-08-30 2020-08-28 Confidential information processing system and confidential information processing method

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
JP2019158347A JP7249248B2 (ja) 2019-08-30 2019-08-30 秘匿情報処理システム及び秘匿情報処理方法

Publications (2)

Publication Number Publication Date
JP2021039143A true JP2021039143A (ja) 2021-03-11
JP7249248B2 JP7249248B2 (ja) 2023-03-30

Family

ID=72290883

Family Applications (1)

Application Number Title Priority Date Filing Date
JP2019158347A Active JP7249248B2 (ja) 2019-08-30 2019-08-30 秘匿情報処理システム及び秘匿情報処理方法

Country Status (3)

Country Link
US (1) US11475121B2 (ja)
EP (1) EP3786828A1 (ja)
JP (1) JP7249248B2 (ja)

Cited By (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN113282959A (zh) * 2021-06-09 2021-08-20 支付宝(杭州)信息技术有限公司 业务数据处理方法、装置及电子设备
WO2022269862A1 (ja) * 2021-06-24 2022-12-29 日本電信電話株式会社 顧客抽出システム、情報管理システム、分析依頼装置、顧客抽出方法、プログラム
WO2023021931A1 (ja) * 2021-08-17 2023-02-23 株式会社日立製作所 情報処理プログラムおよび情報処理装置
WO2023085196A1 (ja) * 2021-11-09 2023-05-19 株式会社日立製作所 計算機システム及び情報処理方法

Citations (8)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JPH10303880A (ja) * 1997-05-01 1998-11-13 Digital Vision Lab:Kk サービス提供システム
JP2001069133A (ja) * 1999-08-27 2001-03-16 Ntt Communications Kk 情報処理方法及びその装置
JP2005242740A (ja) * 2004-02-27 2005-09-08 Open Loop:Kk 情報セキュリティシステムのプログラム、記憶媒体、及び情報処理装置
JP2012123614A (ja) * 2010-12-08 2012-06-28 Hitachi Ltd 検索可能暗号処理システム
US20130191650A1 (en) * 2012-01-25 2013-07-25 Massachusetts Institute Of Technology Methods and apparatus for securing a database
WO2015107561A1 (ja) * 2014-01-14 2015-07-23 三菱電機株式会社 検索システム、検索方法および検索プログラム
JP2016206918A (ja) * 2015-04-22 2016-12-08 株式会社日立製作所 秘匿化データベースシステム及び秘匿化データ管理方法
JP2018148493A (ja) * 2017-03-08 2018-09-20 日本放送協会 鍵生成装置、中間暗号化装置、委託暗号化装置、データ検索装置、復号装置およびそれらのプログラム

Family Cites Families (10)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP3813669B2 (ja) * 1995-10-27 2006-08-23 松下電器産業株式会社 端末装置及び端末装置の能力情報通知方法
US7395437B2 (en) * 2004-01-05 2008-07-01 International Business Machines Corporation System and method for fast querying of encrypted databases
JP4634392B2 (ja) * 2004-09-24 2011-02-16 富士通株式会社 コンテンツ配信プログラム、方法、サーバ、コンテンツ利用装置及びシステム
US8349256B2 (en) * 2008-11-21 2013-01-08 Sysmex Corporation Blood cell analyzer, blood cell analyzing method, and computer program product
US8838968B2 (en) * 2012-05-14 2014-09-16 Ca, Inc. System and method for virtual machine data protection in a public cloud
US9747456B2 (en) * 2013-03-15 2017-08-29 Microsoft Technology Licensing, Llc Secure query processing over encrypted data
US9225691B1 (en) * 2013-09-27 2015-12-29 Emc Corporation Deduplication of encrypted dataset on datadomain backup appliance
US20180063092A1 (en) 2015-04-10 2018-03-01 Pcms Holdings, Inc. System and method for delegation of cloud computing processes
US10789374B2 (en) * 2016-03-28 2020-09-29 Hitachi, Ltd. Database system and data retrieval method
JP2019158347A (ja) 2018-03-07 2019-09-19 日本電産株式会社 無線通信装置

Patent Citations (8)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JPH10303880A (ja) * 1997-05-01 1998-11-13 Digital Vision Lab:Kk サービス提供システム
JP2001069133A (ja) * 1999-08-27 2001-03-16 Ntt Communications Kk 情報処理方法及びその装置
JP2005242740A (ja) * 2004-02-27 2005-09-08 Open Loop:Kk 情報セキュリティシステムのプログラム、記憶媒体、及び情報処理装置
JP2012123614A (ja) * 2010-12-08 2012-06-28 Hitachi Ltd 検索可能暗号処理システム
US20130191650A1 (en) * 2012-01-25 2013-07-25 Massachusetts Institute Of Technology Methods and apparatus for securing a database
WO2015107561A1 (ja) * 2014-01-14 2015-07-23 三菱電機株式会社 検索システム、検索方法および検索プログラム
JP2016206918A (ja) * 2015-04-22 2016-12-08 株式会社日立製作所 秘匿化データベースシステム及び秘匿化データ管理方法
JP2018148493A (ja) * 2017-03-08 2018-09-20 日本放送協会 鍵生成装置、中間暗号化装置、委託暗号化装置、データ検索装置、復号装置およびそれらのプログラム

Cited By (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN113282959A (zh) * 2021-06-09 2021-08-20 支付宝(杭州)信息技术有限公司 业务数据处理方法、装置及电子设备
WO2022269862A1 (ja) * 2021-06-24 2022-12-29 日本電信電話株式会社 顧客抽出システム、情報管理システム、分析依頼装置、顧客抽出方法、プログラム
WO2023021931A1 (ja) * 2021-08-17 2023-02-23 株式会社日立製作所 情報処理プログラムおよび情報処理装置
WO2023085196A1 (ja) * 2021-11-09 2023-05-19 株式会社日立製作所 計算機システム及び情報処理方法

Also Published As

Publication number Publication date
EP3786828A1 (en) 2021-03-03
US11475121B2 (en) 2022-10-18
US20210064741A1 (en) 2021-03-04
JP7249248B2 (ja) 2023-03-30

Similar Documents

Publication Publication Date Title
JP7249248B2 (ja) 秘匿情報処理システム及び秘匿情報処理方法
US8447983B1 (en) Token exchange
KR101371608B1 (ko) Ｄｂｍｓ 및 데이터베이스에서 암호화 방법
US10664610B2 (en) Method and system for range search on encrypted data
CN107077469B (zh) 服务器装置、检索系统、终端装置以及检索方法
US7930560B2 (en) Personal information management system, personal information management program, and personal information protecting method
US10095719B2 (en) Method and system to perform secure Boolean search over encrypted documents
Pham et al. Survey on secure search over encrypted data on the cloud
US8769302B2 (en) Encrypting data and characterization data that describes valid contents of a column
CN103336929A (zh) 用于已加密文件访问的方法和系统
KR20140029984A (ko) 의료정보 데이터베이스 운영 시스템의 의료정보 관리 방법
JP6619401B2 (ja) データ検索システム、データ検索方法およびデータ検索プログラム
AU2017440029A1 (en) Cryptographic key generation for logically sharded data stores
JP4594078B2 (ja) 個人情報管理システムおよび個人情報管理プログラム
JP2017033305A (ja) 情報処理システム及び情報処理方法
Abouakil et al. Data models for the pseudonymization of DICOM data
JP7132506B2 (ja) 秘密情報検索システム、秘密情報検索プログラム、および秘密情報検索方法
Raj et al. Efficient mechanism for sharing private data in a secured manner
JP5969681B1 (ja) 秘密情報管理システム
WO2022137944A1 (ja) 情報処理装置、情報処理システム、及び情報処理方法
Rahman et al. A novel privacy preserving search technique for stego data in untrusted cloud
WO2023047926A1 (ja) データ共有システム、データ共有方法およびデータ共有プログラム
US11308233B2 (en) Method for information retrieval in an encrypted corpus stored on a server
Mathew et al. Facilitating efficient encrypted document storage and retrieval in a cloud framework
Rajkumar et al. An Authenticated Privacy Preserving Multiword Data Retrieval over Encrypted Cloud

Legal Events

Date Code Title Description
A621 Written request for application examination

Free format text: JAPANESE INTERMEDIATE CODE: A621

Effective date: 20220316

A131 Notification of reasons for refusal

Free format text: JAPANESE INTERMEDIATE CODE: A131

Effective date: 20230124

A977 Report on retrieval

Free format text: JAPANESE INTERMEDIATE CODE: A971007

Effective date: 20230125

A521 Request for written amendment filed

Free format text: JAPANESE INTERMEDIATE CODE: A523

Effective date: 20230227

TRDD Decision of grant or rejection written
A01 Written decision to grant a patent or to grant a registration (utility model)

Free format text: JAPANESE INTERMEDIATE CODE: A01

Effective date: 20230314

A61 First payment of annual fees (during grant procedure)

Free format text: JAPANESE INTERMEDIATE CODE: A61

Effective date: 20230317

R150 Certificate of patent or registration of utility model

Ref document number: 7249248

Country of ref document: JP

Free format text: JAPANESE INTERMEDIATE CODE: R150