JP2022075337A - 情報処理方法、情報処理システム及びコンピュータプログラム - Google Patents

Abstract

【課題】対象データの識別情報を変更する場合にも変更前後の識別情報の関係を正しく管理する。【解決手段】本実施形態に係る情報処理方法は、対象データと前記対象データに関する第１識別情報とを含む保管要求を受信した場合に、前記第１識別情報と異なる第２識別情報を生成し、前記第２識別情報と前記対象データとを含む第１仮名化データを生成し、前記第１仮名化データを第１データ保管部で保管し、前記第１識別情報と前記第２識別情報とを対応づけた第１仮名対応データを生成し、前記第１仮名対応データを第１記憶部に記憶し、前記第１仮名対応データに基づく演算により第１値を算出し、前記第１値と、前記第１識別情報に基づく第１情報とを含む第１記録情報を、前記第１記録情報を記憶する記憶システムに提供する。【選択図】図１

Description

本実施形態は、情報処理方法、情報処理システム及びコンピュータプログラムに関する。

ストレージに記録されたデータが改ざんされているか否かを検査する方法としてブロックチェーンを用いた方法が知られている。ストレージにデータを記録した際、記録されたデータのハッシュ値をブロックチェーンに記録しておく。ストレージからデータを読み出す際には、読み出したデータのハッシュ値と、ブロックチェーンに記録されたハッシュ値とを比較する。これにより、ストレージに記録されたデータが改ざんされているか否かを検査する。

データには当該データに関する識別情報（例えば個人を特定可能な識別情報）が含まれる。この識別情報を管理用の識別情報に変更する仮名化を行い、仮名化されたデータをストレージに保存する方法がある。この方法を用いた場合、前述した技術により仮名化されたデータの改ざんの有無を検査することが可能であるが、管理用の識別情報と元の識別情報との関係を正しく管理できる仕組みが必要である。

特許第6731783号公報

本発明の実施形態は、対象データの識別情報を変更する場合にも変更前後の識別情報の関係を正しく管理することを可能とする情報処理方法、情報処理システム及びコンピュータプログラムを提供する。

本実施形態に係る情報処理方法は、対象データと前記対象データに関する第１識別情報とを含む保管要求を受信した場合に、前記第１識別情報と異なる第２識別情報を生成し、前記第２識別情報と前記対象データとを含む第１仮名化データを生成し、前記第１仮名化データを第１データ保管部で保管し、前記第１識別情報と前記第２識別情報とを対応づけた第１仮名対応データを生成し、前記第１仮名対応データを第１記憶部に記憶し、前記第１仮名対応データに基づく演算により第１値を算出し、前記第１値と、前記第１識別情報に基づく第１情報とを含む第１記録情報を、前記第１記録情報を記憶する記憶システムに提供する。

第１の実施形態に係るデータ管理システムの構成例を示すブロック図。 第１の実施形態に係るデータ管理装置の機能ブロック図。 仮名対応データ及び仮名化データとの一例を示す。 仮名対応データ及び仮名化データとの他の例を示す。 記録処理部によって生成されたデータ受領記録情報の例を示す図。 ブロックチェーンに追加するブロックの例を示す図。 データ管理装置の動作の一例を示すフローチャート。 データ管理装置の動作の他の例を示すフローチャート。 第２の実施形態に係るデータ管理装置のブロック図。 仮名化処理部による仮名化処理の一例を説明するための図。 記録処理部によって生成されたデータ分析記録情報の例を示す図。 ブロックチェーンに追加するブロックの例を示す図。 データ管理装置の動作の一例を示すフローチャート。 データ管理装置の動作の他の例を示すフローチャート。 複数の個人データを利用したデータ分析を行う例を示す図。 複数の個人データを利用したデータ分析を行う他の例を示す図。 変形例３に係るデータ分析記録情報の一例を示す図。 ブロックチェーンに追加するブロックの例を示す図。 データ管理装置（情報処理装置）のハードウェア構成を示す図。

以下、図面を参照して、本発明の実施形態について説明する。
（第１の実施形態）
図１は、第１の実施形態に係る情報処理システムであるデータ管理システムの構成例を示すブロック図である。図１のデータ管理システムは、本実施形態に係る情報処理装置であるデータ管理装置１０、ブロックチェーンシステム２０及び情報装置３０を備える。データ管理装置１０は、通信ネットワークを介して情報装置３０より受信した対象となるデータの識別情報を管理用の識別情報に変換して保管するとともに、識別情報と変換後の識別情報との関係を管理する。ブロックチェーンシステム２０は、データ管理装置１０に保管されたデータ及び当該関係が改ざんされているか否かを検証するための情報又はデータを記録する。データ管理装置１０とブロックチェーンシステム２０は、通信ネットワークを介して安全な通信が可能である。通信路上でのデータの盗聴を防止し、データの改ざん検知が可能な安全な通信を実現する技術として、SSL／TLS、IPsecなど様々な技術が知られている。情報装置３０は任意の事業者又は個人により管理される装置である。情報装置３０は図では１台のみ示されているが、複数台の情報装置３０が設けられていてもよい。

各通信ネットワークは、インターネット又はモバイルネットワーク等のワイドエリアネットワークでも、イーサネット又は無線ＬＡＮ等のローカルエリアネットワークでもよいし、シリアル通信ケーブル等のケーブルでもよい。データ管理装置１０は、一例としてＣＰＵ等のプロセッサ及びメモリ等を含むコンピュータにより構成される。

ブロックチェーンシステム２０は、情報を含むトランザクションを１つ又は複数格納したブロックを時系列に沿って連結したデータ構造を有するブロックチェーンを、複数のノード（端末）で同期して管理するシステムである。ブロックチェーンは、ブロックに記録された情報の改ざんが困難であるという性質を有する。ブロックチェーンシステムの実現方法は様々知られているが、本実施形態ではどのような方法を用いてもよい。

ブロックチェーンシステム２０は、情報又はデータを記憶するシステムの一例であり、ブロックチェーンシステム２０の代わりに、データベースを用いてよい。ブロックチェーンシステム２０及びデータベースは記憶システムの一例である。

図２は、第１の実施形態に係るデータ管理装置１０の機能ブロック図である。図２のデータ管理装置１０は、入力部１０１と、匿名化管理部１０２と、データ保管部１０３と、出力部１０５とを備える。データ管理装置の事業者（保管事業者又は保管機関）は、他の保管事業者から当該他の保管事業者が保有している個人データを取得、または個人から個人データを取得し、取得した個人データを保管する。データ管理装置の事業者がある企業とした場合、他の保管事業者は健康保険組合、医療機関、保険会社などの機関又は組織等である。

入力部１０１は、情報装置３０からデータ保管要求を受信する。データ保管要求は、個人データと、データ保管要求元の事業者（提供者）を識別する提供者情報とを含む。
個人データは、保管対象となる対象データと、対象データに関する識別情報（第１識別情報）と、対象データのデータ項目（属性）の情報とを含む。対象データに関する識別情報は、一例として、対象データの所有者である個人の個人識別情報である。本実施形態では、対象データに関する識別情報が個人識別情報である場合を想定するが、これに限定されない。例えば、グループ又は組織の識別情報でもよいし、対象データが所属していたファイルディレクトリの識別情報でもよい。
提供者情報は、事業者名（提供者名）、提供者ＩＤ等を含む。提供者情報が示す提供者は事業者に限定されず、個人でもよい。
データ保管要求には、その他の情報が含まれていてもよい。例えば個人識別情報に含まれるデータ項目の情報が含まれていてもよい。
入力部１０１は、データ保管要求を受信した場合、データ保管要求を匿名化管理部１０２に送る。

匿名化管理部１０２の仮名化処理部１０２１は、データ保管要求に含まれる個人データに仮名化処理を行い、仮名化データ（第１仮名化データ）と仮名対応データ（第１仮名対応データ）とを生成する。

具体的には、仮名化処理部１０２１は、個人データに対して、個人識別情報と異なる管理用の識別情報である管理識別子（第２識別情報）を生成する。管理識別子の生成方法は任意でよい。一例として、カウンタで一定値ずつ上昇する値に基づき管理識別子を生成してもよいし、乱数により管理識別子を生成してもよい。また乱数は、個人データ又は個人識別情報等を入力とする関数により生成してもよいし、その他の方法で生成してもよい。

仮名化処理部１０２１は、生成した管理識別子と、個人データに含まれる個人識別情報とを対応づけることにより仮名対応データ（第１仮名対応データ）を生成する。生成した仮名対応データを対応関係記憶部１０２２に送り、対応関係記憶部１０２２は仮名対応データを、対応関係記憶部１０２２内の仮名化対応テーブルに格納する。

また、仮名化処理部１０２１は、生成した管理識別子と、個人データに含まれる対象データとを対応付けることにより仮名化データ（第１仮名化データ）を生成する。仮名化データをデータ保管部１０３に送り、データ保管部１０３は仮名化データを、内部の仮名化テーブルに格納する。データ保管部１０３は、仮名化データを記憶又は保持する第１データ保管部に対応する。

匿名化管理部１０２は、個人識別情報（例えば氏名等）に対してブロックチェーンシステムから個人ユーザのブロックチェーンユーザＩＤ（ＢＣユーザＩＤ）を取得する。匿名化管理部１０２は、個人識別情報と、ブロックチェーンユーザＩＤ（ＢＣユーザＩＤ）とをセットとしてユーザ情報記憶部１０２８のユーザテーブルに格納する。ＢＣユーザＩＤは、ブロックチェーンにおける管理用のＩＤであり、保管事業者の個人ユーザ（本装置１０の保管事業者に個人データを預ける個人、他の保管事業者に個人データを預ける個人）のＩＤである。ＢＣユーザＩＤは、個人ユーザ毎にユニークなＩＤである。ユーザテーブルに既にＢＣユーザＩＤが存在する場合は、新たにＢＣユーザＩＤを取得しなくてもよい。あるいはあらかじめ、個人識別情報と、ブロックチェーンユーザＩＤ（ＢＣユーザＩＤ）とを対応付けてユーザテーブルを保持しておいてもよい。この場合、ＢＣユーザＩＤの取得は不要である。

仮名化処理部１０２１による仮名化処理の一例を、図３を用いて説明する。

図３は、データ保管要求に含まれる個人データと、個人データに対して仮名化処理により生成された仮名対応データ及び仮名化データとの一例を示す。

図３の個人データは、複数のデータ項目である氏名、性別、生年月日、被保険者番号及び診療報酬明細と、各データ項目の値である“ＡＡＡＡ”、“男性”、“１９００／０１／０１”、“ＢＢＢＢ”及び“ＣＣＣＣ”を含む。氏名及び被保険者番号は、個人を特定可能なプライバシー情報であり、個人識別情報に対応する。性別、被保険者番号及び診療報酬明細は、保管の対象データに対応する。図の例ではデータ項目はテキストによって示されているが、データ保管要求に含まれるデータ項目の情報は、データ項目の種類を表すデータ項目ＩＤによって表されていてもよい。

仮名化処理部１０２１は、個人データに対して、管理識別子を生成する。図の例では、氏名“ＡＡＡＡ”と被保険者番号“ＢＢＢＢ”との組に対して、管理識別子“ｚ１０００１”を生成している。

仮名化処理部１０２１は、生成した管理識別子を、氏名と被保険者番号に対応づけることにより、仮名対応データを生成する。図３に示す仮名対応データは、管理識別子“ｚ１０００１”と、氏名“ＡＡＡＡ”と、被保険者番号“ＢＢＢＢ”とを含む。

仮名化処理部１０２１は、管理識別子と、個人データに含まれる対象データ（性別と、年月日と、診療報酬明細）とを対応づけて、仮名化データを生成する。図３に示す仮名化データは、管理識別子“ｚ１０００１”と、性別“男性”と、年月日“１９００／０１／０１”と、診療報酬明細“ＣＣＣＣ”とを含む。

仮名化データに含まれる管理識別子は、仮名対応データに含まれる管理識別子と同じである。仮名化データと仮名対応データとの両方を用いることで、元の個人データを復元できる。

仮名化処理部１０２１による仮名化処理の他の例を、図４を用いて説明する。
図４は、個人データと、個人データに対して仮名化処理により生成された仮名対応データ及び仮名化データとの一例を示す。

図４に示す個人データは、氏名、性別、生年月日、被保険者番号、健康診断結果を含む。氏名、誕生日（生年月日のうちの月日）、被保険者番号は、個人を特定可能なプライバシー情報であり、個人識別情報に対応する。性別、生年、健康診断結果は、保管の対象データに対応する。

仮名化処理部１０２１は、個人データに対して管理識別子を生成し、生成した管理識別子を、個人データに含まれる個人識別情報に対応づけることにより、仮名対応データを生成する。図４の中央に示す仮名対応データは、管理識別子“ｚ１０００２”と、氏名“ＤＤＤＤ”と、誕生日“０１／０１”と、被保険者番号“ＥＥＥＥ”とを含む。

仮名化処理部１０２１は、生成した管理識別子を、個人データに含まれる対象データに対応づけることにより、仮名化データを生成する。図４に示す仮名化データは、管理識別子“ｚ１０００２”と、性別“女性”と、生年“１９００”と、健康診断結果“ＦＦＦＦ”とを含む。

仮名化データに含まれる管理識別子は、仮名対応データに含まれる管理識別子と同じである。仮名化データと仮名対応データとの両方を用いることで、元の個人データを復元できる。

図３及び図４に示した匿名化処理は一例であり、図３及び図４に例示した方法に限定されない。また個人データのフォーマットも図３及び図４の例に限定されない。また個人データに含まれるどの部分のデータが個人識別情報に相当するかも、特定の方法に限定されない。

仮名化処理部１０２１は、仮名対応データ（第１仮名対応データ）を対応関係記憶部１０２２に送る。仮名化処理部１０２１は、仮名化データをデータ保管部１０３に送る。また、仮名化処理部１０２１は、仮名対応データと仮名化データとをハッシュ化処理部１０２３に送る。

同意情報記憶部１０２７は、個人データの所有者である個人の同意情報を含む同意情報テーブルを保持している。同意情報は、個人が個人データの受領（受信）、保有（保管又は保持）、及び分析等に関する同意の有無などをまとめた情報である。同意情報は、一例として、同意ＩＤ、署名者ＩＤ、年月日、本人ＩＤ（個人のＢＣユーザＩＤ）、受領者ＩＤ（受領者のＢＣユーザＩＤ）、データ項目、受領者による受領の同意の可否、提供者ＩＤ（提供者のＢＣユーザＩＤ）、受領者の利用目的、受領者による利用の同意の可否、受領者による保有（保管又は保持）の同意の可否、などを含む。受領者は、データ管理装置１０の事業者である。提供者はデータ保管要求を送信した事業者（個人の場合もあり得る）である。同意の可否が“同意”の場合は個人が同意していることを意味し、“撤回”の場合は同意していないこと（例えばいったん同意したが、その後に同意を撤回したこと）を意味する。“利用”とは、個人データを分析に利用したり、第３者に提供したりすることを意味する。

データ保管部１０３は、仮名化処理部１０２１で生成された仮名化データを内部の仮名化テーブルに格納する。仮名化データの保管は、個人データの所有者である個人が個人データの保管に同意していることを当該個人の同意情報に基づき確認したことを条件として行う。この場合、データ保管要求に含まれる個人識別情報から上述のユーザテーブルに基づき個人の本人ＩＤ（個人のＢＣユーザＩＤ）を特定し、本人ＩＤから、合致する同意情報を取得する。個人識別情報が本人ＩＤを含んでいてもよく、この場合、個人識別情報に含まれる本人ＩＤを用いてもよい。

対応関係記憶部１０２２は、仮名化処理部１０２１から受けた仮名対応データを内部の仮名化対応テーブルに格納する。仮名化データの保管の場合と同様、仮名対応データの保管は、個人データの所有者である個人が個人データの保管に同意していることを当該個人の同意情報に基づき確認したことを条件として行ってもよい。対応関係記憶部１０２２は、メモリ、ハードウェア又は光装置などの任意の記録媒体により構成される。対応関係記憶部１０２２及びデータ保管部１０３が同一の記録媒体であってもよい。対応関係記憶部１０２２は、仮名対応データを記憶又は保持する第１記憶部に対応する。

ハッシュ化処理部１０２３は、仮名対応データに基づく演算により、仮名対応データのハッシュ値（仮名対応データに基づく第１値）を算出する。つまり仮名対応データをハッシュ関数に入力として与え、ハッシュ関数の出力として仮名対応データのハッシュ値を得る。仮名対応データのハッシュ値（第１値）は、仮名対応データが改ざんされているか否かを検査するための情報である。ハッシュ値は、仮名対応データに暗号学的ハッシュ関数を用いることで計算できる。また、ハッシュ値は一例であり、仮名対応データに基づく演算による値であれば、他の値を算出してもよい。この際、出力値の予測不可能性を持つ関数、一方向関数又は疑似乱数発生器を用いることができる。

また、ハッシュ化処理部１０２３は、仮名化データに基づく演算により、仮名化データのハッシュ値（仮名化データに基づく第２値）を算出する。つまり仮名化データをハッシュ関数に入力として与え、ハッシュ関数の出力として仮名化データのハッシュ値を得る。仮名化データのハッシュ値（第２値）は、仮名化データが改ざんされているか否かを検査するための情報である。ハッシュ値は、仮名化データに暗号学的ハッシュ関数を用いることで計算できる。また、ハッシュ値は一例であり、仮名化データに基づく演算による値であれば、他の値を算出してもよい。この際、出力値の予測不可能性を持つ関数、一方向関数又は疑似乱数発生器を用いることができる。

記録処理部１０２４は、受領年月日と、同意ＩＤと、提供者ＩＤと、対象データのデータ項目と、仮名対応データのハッシュ値と、仮名化データのハッシュ値とを含むデータ受領記録情報（第１記録情報）を生成する。同意ＩＤは、仮名化データの保管可否の判定に用いた同意情報に含まれる同意ＩＤを用いる。同意ＩＤは、個人識別情報に対応する第１情報の一例である。受領年月日は、データ保管要求に含まれている年月日を用いてもよいし、データ保管要求を受信した年月日を用いてもよい。データ受領記録情報には、上述した項目以外の項目を追加してよい。

図５は、記録処理部１０２４によって生成されたデータ受領記録情報の例を示す。図示のデータ受領記録情報は、受領年月日、同意ＩＤ、提供者ＩＤ、データ項目ＩＤ（データ種別ＩＤ）、仮名対応データのハッシュ値（対応データ検査値）と、仮名化データのハッシュ値（仮名化データ検査値）を含む。提供者ＩＤは、名称、住所、代表者（事業者）と紐づいている。

記録処理部１０２４は、生成したデータ受領記録情報を含むトランザクションを生成する。記録処理部１０２４は、トランザクションをブロックに追加することを依頼する依頼情報を、ブロックチェーンシステム２０に送信する。ブロックチェーンシステム２０は、依頼情報によって示されるトランザクション（データ受領記録情報）を含むブロックを生成し、生成したブロックを新規ブロックとしてブロックチェーンに追加する。あるいは、記録処理部１０２４はトランザクションを含むブロックを生成し、ブロックを新規ブロックとして追加することを依頼する依頼情報をブロックチェーンシステム２０に送信してもよい。

図６は、記録処理部１０２４又はブロックチェーンシステム２０によって生成されたブロックの例を示す。トランザクションにはデータ受領記録情報、トランザクションを識別する情報（ＢＣトランザクションＩＤ又は記録ＩＤ）、保管事業者のＢＣユーザＩＤが含まれる。トランザクションＩＤはブロックチェーンシステム２０の管理サーバに問い合わせることによって取得する。またトランザクションは、ＢＣユーザＩＤで特定される保管事業者（ＢＣのユーザ）に対応するＢＣ用秘密鍵で生成されたデジタル署名を含む。記録処理部１０２４又はブロックチェーンシステム２０によって生成されるブロックには、ブロックチェーンにおける１つ前のブロックのハッシュ値が、前ブロック検査値として含められる。

記録処理部１０２４はブロックチェーンシステム２０からトランザクションの受領又はブロックが追加されたことを示す応答情報を受信する。出力部１０５は、応答情報が受信された後、データ保管要求の送信元の情報装置３０にデータ保管が完了したことを通知する情報を送信する。

入力部１０１は、情報装置３０から対象データの検査要求（データ検査要求）を受信する。データ検査要求は、データ管理装置１０に保管されている対象データが改ざんされていないかどうかを確認する要求である。データ検査要求は、対象データを特定するための情報として検査対象特定情報を含む。検査対象特定情報は、一例として対象データに係る個人識別情報を含む。その他、検査対象特定情報は、対象データをデータ管理装置に提供した事業者（対象データの保管要求を行った事業者）を識別する情報（提供者ＩＤ）、又は、検査要求の送信元の事業者のＩＤ（分析依頼者ＩＤ）を含んでもよい。入力部１０１は、データ検査要求を受信した場合、受信したデータ検査要求を匿名化管理部１０２に送る。

なお、データ検査要求を行う事業者と対象データの保管要求を行った事業者は同じでもよいし、異なってもよい。すなわち、データ検査要求を送信した情報装置３０と、データ保管要求を送信した情報装置３０とは同じ事業者の装置であっても、互いに異なる事業者の装置であってもよい。検査要求を行う事業者は、監査を行う監査機関でもよいし、データ保管を要求した事業者でもよい。

匿名化管理部１０２の参照処理部１０２６は、データ検査要求に含まれる検査対象特定情報（ここでは個人識別情報）に基づき、ブロックチェーンシステム２０からデータ受領記録情報を取得する。

具体的には、参照処理部１０２６は、対応関係記憶部１０２２の仮名化対応テーブルから、当該個人識別情報を含む仮名対応データを取得する。検査対象特定情報は、一例として、個人の氏名と被保険者番号とのデータ項目及び値を含む。データ項目は１つでもよい。上述の図３の例において、検査対象特定情報が氏名“ＡＡＡＡ”及び被保険者番号“ＢＢＢＢ”を指定する場合、これらのデータ項目として“ＡＡＡＡ”と“ＢＢＢＢ”の組を含む仮名対応データを取得する。検査対象特定情報は、複数人分の個別識別情報を指定してもよいし、１人について複数の個別識別情報を指定してもよい。被保険者番号を値の範囲で指定してもよい。また、検査対象特定情報は、氏名、誕生日及び秘本保険者番号の組、又はこれら３つの値のうちの少なくとも１つを指定してもよい（図４参照）。誕生日を値の範囲で指定してもよい。

参照処理部１０２６は、取得した仮名対応データに含まれる管理識別子を特定し、管理識別子を含む仮名化データを、データ保管部１０３の仮名化テーブルから取得する。そして、取得した仮名化データに含まれる対象データのデータ項目を特定する。上述した図３の例において、“ＡＡＡＡ”と“ＢＢＢＢ”の組を含む仮名対応データが取得された場合、仮名対応データに含まれる“ｚ１０００１”を特定し、“ｚ１０００１”を含む仮名化データ（図３の一番下に示す仮名化データ）を取得する。取得した仮名化データに含まれるデータ項目として性別、生年月日及び診療報酬明細を特定する。

なお、“ＡＡＡＡ”と“ＢＢＢＢ”の組を含む仮名対応データが複数存在する場合は、複数の仮名対応データのそれぞれから管理識別子を特定すればよい。そして、特定した管理識別子ごとに、仮名化データの取得と、対象データのデータ項目の特定とを行えばよい。

匿名化管理部１０２の参照処理部１０２６は、データ検査要求に含まれる個人識別情報（氏名等）に対応するＢＣユーザＩＤを、ユーザ情報記憶部１０２８のユーザテーブルから取得する。取得したＢＣユーザＩＤを本人ＩＤとして含む同意情報を同意情報記憶部１０２７の同意情報テーブルから取得し、取得した同意情報に含まれる同意ＩＤを特定する。

参照処理部１０２６は、特定した同意ＩＤと、上記で取得したデータ項目とに基づき、データ受領記録情報の検索（取得）を依頼する依頼情報をブロックチェーンシステム２０に送信する。

ブロックチェーンシステム２０は、依頼情報に含まれる同意ＩＤ及びデータ項目を有するトランザクションを特定する。ブロックチェーンシステム２０は、特定したトランザクションをデータ管理装置１０に送信する。

参照処理部１０２６はブロックチェーンシステム２０からトランザクションを受信すると、デジタル署名の検証を行い、トランザクションに含まれるデータ受領記録情報が公正に作成されたことを確認する。参照処理部１０２６は、データ受領記録情報をデータ検査部１０２５に渡す。

データ検査部１０２５は、参照処理部１０２６で取得された上記の仮名対応データと仮名化データとを取得し、ハッシュ化処理部１０２３に仮名対応データのハッシュ値と、仮名化データのハッシュ値とを算出させ、取得する。

データ検査部１０２５は、取得した仮名対応データのハッシュ値と仮名化データのハッシュ値とが、データ受領記録情報に含まれる仮名対応データのハッシュ値と仮名化データのハッシュ値とに一致するか否かを検査（改ざん検査）する。すなわち両者が一致するかに基づき、データ管理装置１０に保管されている個人識別情報及び対象データの少なくとも一方の改ざんの有無（正当性）を判定する。

両者とも一致する場合は、仮名対応データ及び仮名化データの改ざんが行われていないと判定する。すなわち、個人データ（個人識別情報及び対象データ）の改ざんが行われていないと判断する。

いずれか一方が一致しない場合に、個人データの改ざんが行われたと判定してもよい。具体的には、仮名対応データのハッシュ値が一致しない場合は、仮名対応データ又は個人識別情報の改ざんが行われたと判定してもよい。仮名化データのハッシュ値が一致しない場合は、仮名化データ又は対象データの改ざんが行われたと判定してもよい。

ブロックチェーンシステム２０から複数のトランザクションが受信された場合、受信したすべてのトランザクションについて仮名対応データのハッシュ値と仮名化データのハッシュ値とに基づく改ざん検査を行う。いずれかのトランザクションに、ハッシュ化処理部１０２３で取得されたこれらのハッシュ値と同じハッシュ値が含まれていれば、仮名対応データ及び仮名化データの改ざんは行われていないと判定する。

出力部１０５は、データ検査要求の送信元の情報装置３０に改ざん検査の結果情報を送信する。

図７は、入力部１０１が情報装置３０から対象データの保管要求（データ保管要求）を受信した場合のデータ管理装置１０とブロックチェーンシステム２０の動作の一例を示すフローチャートである。

入力部１０１は、情報装置３０からデータ保管要求を受信する（Ｓ１１）。データ保管要求は、一例として、個人データと、データ保管要求元の事業者（提供者）を識別する情報（提供者ＩＤ等）とを含む。個人データは、個人を識別可能な個人識別情報（第１識別情報）と、保管対象となる対象データと、対象データのデータ項目の情報等を含む。

匿名化管理部１０２の仮名化処理部１０２１は、データ保管要求に含まれる個人データに仮名化処理を行い、仮名化データ（第１仮名化データ）と仮名対応データ（第１仮名対応データ）とを生成する（Ｓ１２～Ｓ１５）。具体的には、匿名化管理部１０２は、個人識別情報（例えば氏名等）に対して個人ユーザのブロックチェーンユーザＩＤ（ＢＣユーザＩＤ）を取得し、個人識別情報とＢＣユーザＩＤとをセットとしてデータ保管部１０３のユーザテーブルに保持する。また、ＢＣユーザＩＤを含む同意情報を同意情報テーブルから取得し、個人データの所有（保管）に関する同意を確認する。仮名化処理部１０２１は、個人データに対して、個人識別情報と異なる識別情報である管理識別子（第２識別情報）を生成する（Ｓ１２）。仮名化処理部１０２１は、生成した管理識別子と、個人データに含まれる個人識別情報とを対応づけることにより仮名対応データ（第１仮名対応データ）を生成し、対応関係記憶部１０２２内の対応関係テーブルで保持する（Ｓ１３）。また、仮名化処理部１０２１は、生成した管理識別子と、個人データに含まれる対象データとを対応付けることにより仮名化データ（第１仮名化データ）を生成し、仮名化データをデータ保管部１０３内の仮名化テーブルで保持する（Ｓ１４）。

匿名化管理部１０２のハッシュ化処理部１０２３は、仮名対応データのハッシュ値（仮名対応データに基づく第１値）を算出する（Ｓ１５）。また、ハッシュ化処理部１０２３は、仮名化データのハッシュ値（仮名化データに基づく第２値）を算出する(同Ｓ１５)。

記録処理部１０２４は、受領年月日と、同意ＩＤと、提供者ＩＤと、対象データのデータ項目と、仮名対応データのハッシュ値と、仮名化データのハッシュ値等を含むデータ受領記録情報を生成する（Ｓ１６）。

記録処理部１０２４は、生成したデータ受領記録情報、ＢＣトランザクションＩＤ、ＢＣユーザＩＤ、デジタル署名等を含むトランザクションを生成、又は当該トランザクションを含むブロックを生成する（Ｓ１７）。記録処理部１０２４は、トランザクションをブロックに追加すること又は生成したブロックを追加する依頼情報をブロックチェーンシステム２０に送信する（同Ｓ１７）。ブロックチェーンシステム２０は、依頼情報に基づいて、トランザクションを含むブロックをブロックチェーンに追加する（同Ｓ１７）。

図８は、入力部１０１が、情報装置３０から対象データの検査要求（データ検査要求）を受信した場合のデータ管理装置１０及びブロックチェーンシステム２０の動作の一例を示すフローチャートである。

入力部１０１は、情報装置３０から対象データの検査要求（データ検査要求）を受信する（Ｓ２１）。データ検査要求は、対象データを特定するための情報として検査対象特定情報（個人識別情報等）を含む。検査対象特定情報は、対象データを提供した事業者（対象データの保管要求を行った事業者）を識別する情報（提供者ＩＤ又はユーザＩＤ）を含んでもよい。検査対象特定情報は、検査要求の送信元の事業者のＩＤ（分析依頼者ＩＤ）を含んでもよい。

参照処理部１０２６は、対応関係記憶部１０２２の仮名化対応テーブルから、当該個人識別情報を含む仮名対応データを取得する（Ｓ２２）。参照処理部１０２６は、取得した仮名対応データに含まれる管理識別子を特定し、管理識別子を含む仮名化データを、データ保管部１０３の仮名化テーブルから取得する（Ｓ２３）。そして、取得した仮名化データに含まれる対象データのデータ項目を特定する。

参照処理部１０２６は、データ検査要求に含まれる個人識別情報（氏名等）からユーザテーブルに基づきＢＣユーザＩＤを特定し、ＢＣユーザＩＤを含む同意情報を同意情報テーブルから取得する。参照処理部１０２６は、同意情報に含まれる同意ＩＤを特定し、特定した同意ＩＤと、上述のデータ項目に基づき、データ受領記録情報の検索（取得）を依頼する依頼情報をブロックチェーンシステム２０に送信する。参照処理部１０２６は、ブロックチェーンシステム２０から依頼情報に基づき検索されたトランザクションを受信する（Ｓ２４）。参照処理部１０２６はトランザクションに含まれるデジタル署名の検証を行った後、トランザクションに含まれるデータ受領記録情報を取得する。

ハッシュ化処理部１０２３は、上記で取得された仮名対応データからハッシュ値を算出し、さらに、上記で取得された仮名化データからハッシュ値を算出する（Ｓ２５）。データ検査部１０２５は、算出したこれらのハッシュ値が、データ受領記録情報に含まれる仮名対応データのハッシュ値と仮名化データのハッシュ値とに一致するか否かを検査（改ざん検査）する（Ｓ２６）。

両者とも一致する場合は（Ｓ２７のＹＥＳ）、仮名対応データ及び仮名化データの改ざんが行われていないと判定する（Ｓ２８）。すなわち、個人データ（個人識別情報及び対象データ）の改ざんが行われていないと判断する。いずれか一方が一致しない場合に（Ｓ２７のＮＯ）、個人データの改ざんが行われたと判定する。（Ｓ２９）具体的には、仮名対応データのハッシュ値が一致しない場合は、仮名対応データ又は個人識別情報の改ざんが行われたと判定する。仮名化データのハッシュ値が一致しない場合は、仮名化データ又は対象データの改ざんが行われたと判定する。出力部１０５は、データ検査要求の送信元の情報装置３０に改ざん検査の結果情報を送信する。

（変形例１）
上述した実施形態では仮名化データと仮名対応データとの両方を改ざんの有無の検出対象としたが、仮名対応データのみを改ざんの有無の検出対象としてもよい。この場合、仮名対応データのハッシュ値のみを算出し、仮名対応データのハッシュ値のみをデータ受領記録情報に格納してもよい。

（変形例２）
同意情報及びデータ受領記録情報に所有者（個人）を識別する所有者ＩＤを含めてもよい。所有者ＩＤは、個人のＢＣユーザＩＤでもよいし、他のＩＤでもよい。この場合、データ受領記録情報の取得を依頼する依頼情報に、同意ＩＤに代えて又は同意ＩＤとともに、所有者ＩＤを含めてもよい。データ保管要求及びデータ検査要求の少なくとも一方に所有者ＩＤを含めてもよい。同意ＩＤ及び所有者ＩＤの少なくとも一方は、個人識別情報に基づく第１情報の一例に相当する。上述した実施形態における同意情報テーブル及びユーザテーブルは、個人識別情報と第１情報とを対応付けた第１対応情報データの一例である。個人識別情報（第１識別情報）に基づく第１情報は、第１情報が個人識別情報そのものである場合（第１情報及び個人識別情報がいずれも所有者ＩＤである場合など）と、第１情報が第１対応情報データにおいて個人識別情報に対応付けられている場合（個人識別情報が氏名等であり、第１情報が同意ＩＤである場合など）とのいずれの場合も含む。

以上、第１実施形態によれば、対象データに対応する個人識別情報を管理識別子に変更する仮名化を行う場合に、個人識別情報と管理識別子とを含む仮名対応データを対応関係記憶部に記憶するとともに、仮名対応データのハッシュ値をブロックチェーンシステムに記録する。この仮名対応データの正当性（改ざんの有無）を検査したい場合には、ブロックチェーンシステムからハッシュ値を読み出すとともに、対応関係記憶部から読み出した仮名対応データのハッシュ値を計算する。計算したハッシュ値と、ブロックチェーンシステムから読み出したハッシュ値とが一致する場合は、仮名対応データは改ざんされていないと判定する。これにより仮名化を行った場合にも、対象データの個人識別情報を正しく特定できる。

さらに、本実施形態によれば、対象データを管理識別子と対応づけた仮名化データをデータ保管部に記憶するとともに、仮名化データのハッシュ値をブロックチェーンシステムに記録する。この仮名化データの正当性（改ざんの有無）を検査したい場合には、ブロックチェーンシステムから仮名化データのハッシュ値を読み出すとともに、データ保管部から読み出した仮名化データのハッシュ値を計算する。計算したハッシュ値と、ブロックチェーンシステムから読み出したハッシュ値とが一致する場合は、仮名化データは改ざんされていないと判定する。これにより仮名化を行った場合に、対象データの正当性（改ざんの有無）を判定できる。

（変形例３）
同意情報記憶部１０２７が保持する、個人データの所有者である個人の同意情報をブロックチェーンシステムに記録するように構成してもよい。
その場合、匿名化管理部１０２の参照処理部１０２６は、データ検査要求に含まれる個人識別情報（氏名等）に対応するＢＣユーザＩＤを、ユーザ情報記憶部１０２８のユーザテーブルから取得する。取得したＢＣユーザＩＤを本人ＩＤとして含む同意情報をブロックチェーンシステムから取得し、取得した同意情報に含まれる同意ＩＤを特定する。

（第２の実施形態）
第１の実施形態ではデータ管理装置１０が情報装置３０からデータ保管要求を受信した場合の形態を記載したが、第２の実施形態では、データ分析要求を受信した場合の形態を記載する。

図９は、第２の実施形態に係るデータ管理装置１０のブロック図を示す。第１の実施形態のブロック図にデータ分析部１０４が追加されている。第１の実施形態と同様のブロックには同一の符号を付して、適宜説明を省略する。第１の実施形態と同様、各種処理の変形・拡張が可能であるが、これらの説明は第１の実施形態の説明から自明であるため省略する。

入力部１０１は、情報装置３０からデータ分析要求を受信する。情報装置３０の事業者、すなわちデータ分析要求の送信元の事業者は分析依頼業者である。データ分析要求は、個人データ（対象データ）に基づくデータの分析を要求する。分析対象特定情報は、一例として、分析に用いる個人データの個人を特定する個人識別情報、分析対象となるデータ項目、分析方法を特定する情報（分析方法特定情報）、及び分析事業者（本実施形態ではデータ管理装置の事業者）を識別する情報（分析者ID）等を含む。分析対象特定情報は、分析依頼業者を識別する情報（分析依頼者ID）を含んでいてもよい。入力部１０１は、データ分析要求を受信した場合、データ分析要求を匿名化管理部１０２に送る。

匿名化管理部１０２の仮名化処理部１０２１は、データ分析要求に含まれる分析対象特定情報に基づき、データ保管部１０３の仮名化テーブルから、分析の対象となる仮名化データを取得する。仮名化処理部１０２１は、データ分析部１０４に、取得した仮名化データと分析方法特定情報とを送る。

データ分析部１０４は、仮名化データに含まれる対象データ、例えば分析対象特定情報で特定されるデータ項目のデータに対して、分析方法特定情報で特定される分析方法により分析処理を行うことにより、分析結果データを生成する。この際、匿名化管理部１０２は、分析に用いる対象データの所有者（個人）のＢＣユーザＩＤをユーザ情報記憶部１０２８のユーザテーブルから取得し、同意情報記憶部１０２７の同意情報テーブルから個人のＢＣユーザＩＤを含む同意情報を取得する。取得した同意情報において、個人が分析に同意している場合にのみ、分析処理を行う。

匿名化管理部１０２の仮名化処理部１０２１は、仮名化データに含まれていた管理識別子（管理識別子Ａと記載する）を仮管理識別子とし、仮管理識別子を分析結果データに対応づけた仮管理識別子付き分析結果データを生成する。仮管理識別子（管理識別子Ａ）とは異なる新たな管理識別子（管理識別子Ｂと記載する）を生成する。仮管理識別子（管理識別子Ａ）は、個人を特定可能なプライバシー情報に相当する。管理識別子Ｂの生成方法は第１の実施形態で記載した管理識別子の生成方法と同様でよい。

仮名化処理部１０２１は、仮管理識別子付き分析結果データの仮管理識別子を管理識別子Ｂに入れ替えることにおり、管理識別子Ｂを分析結果データに対応づけた、管理識別子付き分析結果データ（第２仮名化データ）を生成する。また仮名化処理部１０２１は、管理識別子付き分析結果データを、データ保管部１０３の内部の分析結果テーブルに格納する。管理識別子Ｂは、分析結果データを識別する第３識別情報に対応する。データ保管部１０３は第２仮名化データを保管する第２データ保管部に対応する。

また仮名化処理部１０２１は管理識別子Ｂと管理識別子Ａとを対応づけた分析対応データ（第２仮名対応データ）を生成する。仮名化処理部１０２１は、対応関係記憶部１０２２の内部の分析対応テーブルに分析対応データを格納する。対応関係記憶部１０２は、第２仮名対応データを記憶する第２記憶部に対応する。

仮名化処理部１０２１による仮名化処理の一例を、図１０を用いて説明する。

図１０は、仮名化処理部１０２１による仮名化処理の一例を説明するための図である。データ分析要求に応じて取得された仮名化データに含まれるデータ項目に対してデータ分析により分析結果データが生成されている。仮名化データは、管理識別子、性別、生年、健康診断結果を含む。仮名化データに含まれる管理識別子“ｚ１０００２”は上述の管理識別子Ａに相当する。分析対象となるデータ項目は性別、生年及び健康診断結果である。分析方法特定情報で生活習慣病リスク判定手法とがん罹患リスク判定分析手法が指定されている。データ分析結果として、生活習慣病リスクは“中“、がん罹患リスクは“低”である。 “ｚ１０００２”を仮管理識別子とし、“ｚ１０００２”を分析結果データに対応づけた仮管理識別子付き分析結果データが生成される。仮名化処理により、新たに管理識別子Ｂとして管理識別子“ａ１０００３”が生成され、管理識別子“ａ１０００３”をデータ分析結果に対応づけて、管理識別子付き分析結果データが生成されている。また管理識別子“ａ１０００３”を“ｚ１０００２”に対応づけて、分析対応データが生成されている。分析対応データは対応関係記憶部１０２２の分析対応テーブルに格納され、管理識別子付き分析結果データはデータ保管部１０３の分析結果テーブルに格納される。

匿名化管理部１０２のハッシュ化処理部１０２３は、分析対応データに基づく演算により、分析対応データのハッシュ値（分析対応データに基づく第３値）を算出する。分析対応データのハッシュ値は、分析対応データが改ざんされているか否かを検査するための情報である。ハッシュ値は、分析対応データに暗号学的ハッシュ関数を用いることで計算できる。また、ハッシュ値は一例であり、分析対応データに基づく演算による値であれば、他の値を算出してもよい。この際、出力値の予測不可能性を持つ関数、一方向関数又は疑似乱数発生器を用いることができる。

また、ハッシュ化処理部１０２３は、管理識別子付き分析結果データに基づく演算により、管理識別子付き分析結果データのハッシュ値（管理識別子付き分析結果データに基づく第４値）を算出する。管理識別子付き分析結果データのハッシュ値は、管理識別子付き分析結果データが改ざんされているか否かを検査するための情報である。ハッシュ値は、管理識別子付き分析結果データに暗号学的ハッシュ関数を用いることで計算できる。また、ハッシュ値は一例であり、管理識別子付き分析結果データに基づく演算による値であれば、他の値を算出してもよい。この際、出力値の予測不可能性を持つ関数、一方向関数又は疑似乱数発生器を用いることができる。

匿名化管理部１０２の記録処理部１０２４は、分析対応データのハッシュ値および管理識別子付き分析結果データのハッシュ値を含むデータ分析記録情報（第２記録情報）を生成する。より詳細には、記録処理部１０２４は、分析年月日と、同意ＩＤと、分析者ＩＤと、分析対象のデータ項目（データ種別ＩＤ）と、分析対応データのハッシュ値と、管理識別子付き分析結果データのハッシュ値とを含むデータ分析記録情報を生成する。例えば分析年月日は、データ分析要求に含まれている。データ分析記録情報には、他にも様々な項目を追加することができる。同意ＩＤは、データ分析に対する個人の同意の確認に用いた同意情報に含まれる同意ＩＤである。

図１１は、記録処理部１０２４によって生成されたデータ分析記録情報の例を示す。図示のデータ分析記録情報は、分析年月日、同意ＩＤ、分析者ＩＤ、データ項目ＩＤ（データ種別ＩＤ）、分析対応データのハッシュ値（対応データ検査値）と、管理識別子付き分析結果データのハッシュ値（分析データ検査値）を含む。分析者ＩＤは、名称、住所、代表者（事業者）と紐づいている。

記録処理部１０２４は、生成したデータ分析記録情報を含むトランザクションを生成する。トランザクションにはデータ分析記録情報（図１１参照）、トランザクションを識別する情報（ＢＣトランザクションＩＤ又は記録ＩＤ）、分析事業者のＢＣユーザＩＤが含まれる。またトランザクションは、ＢＣユーザＩＤで特定されるユーザ（分析事業者）のＢＣ用秘密鍵で生成されたデジタル署名を含む。記録処理部１０２４は、トランザクションをブロックに追加することを依頼する依頼情報を、ブロックチェーンシステム２０に送信する。ブロックチェーンシステム２０は、依頼情報によって示されるトランザクションを含むブロックを生成し、生成したブロックを新規ブロックとしてブロックチェーンに追加する。あるいは、記録処理部１０２４はトランザクションを含むブロックを生成し、ブロックを新規ブロックとして追加することを依頼する依頼情報をブロックチェーンシステム２０に送信してもよい。

図１２は、記録処理部１０２４又はブロックチェーンシステム２０によって生成されるブロックの例を示す。ブロックにはトランザクションと、ブロックには１つ前のブロックのハッシュ値（前ブロック検査値）とが含められる。前ブロック検査値を記録処理部１０２４が追加する場合、ブロックチェーンシステム２０に問い合わせることによって前ブロック検査値を取得する。

入力部１０１は、情報装置３０から検査対象の分析結果データのデータ検査要求を受信する。データ検査要求は、データ管理装置１０に保管されている分析結果データが改ざんされていないかどうかを要求する。データ検査要求は、検査対象の分析結果データを特定するための情報を、検査対象特定情報として含む。検査対象特定情報は、一例として、データ分析に用いたデータ項目とデータ項目の値、対象データの分析を行った事業者を識別する情報（分析者ＩＤ）とを含む。また、検査対象特定情報は、分析結果データの生成元となった個人データの個人の個人識別情報を含んでもよい。検査対象特定情報は、データ分析に用いた手法の情報を含んでもよい。入力部１０１は、データ検査要求を受信した場合、受信したデータ検査要求を匿名化管理部１０２に送る。

なお、データ検査要求を行う事業者とデータ分析要求を行った事業者は同じでもよいし、異なってもよい。すなわち、データ検査要求を送信した情報装置３０と、データ分析要求を送信した情報装置３０とは同じ事業者の装置であっても、互いに異なる事業者の装置であってもよい。

匿名化管理部１０２の参照処理部１０２６は、データ検査要求に含まれる検査対象特定情報に基づき、ブロックチェーンシステム２０からデータ分析記録情報を取得する。

具体的には、参照処理部１０２６は、データ保管部１０３の仮名化テーブルから、検査対象特定情報によって特定されるデータ項目とデータ項目の値とを含む仮名化データを取得する。上述の図１０の例において、検査対象特定情報が性別“女性”、生年“１９００”、及び健康診断結果“ＦＦＦＦ”を指定する場合、“女性”と“１９００”と“ＦＦＦＦ”との組を含む仮名化データを取得する。検査対象特定情報が個人を指定している場合は、当該個人に関する仮名化データを取得してもよい。

参照処理部１０２６は、取得した仮名対応データに含まれる管理識別子を仮管理識別子（管理識別子A）として特定し、仮管理識別子を含む分析対応データを、データ保管部１０３の分析対応テーブルから取得する。分析対応データにおいて仮管理識別子に対応する管理識別子（管理識別子B）を特定する。特定した管理識別子（管理識別子B）を含む管理識別子付き分析結果データをデータ保管部１０３の分析結果テーブルから取得する。取得した管理識別子付き分析結果データに含まれる対象データのデータ項目を特定する。上述した図１０の例において、取得した仮名対応データから仮管理識別子（管理識別子A）として“ｚ１０００２”が特定された場合、“ｚ１０００２”に対応する“a１０００３”が管理識別子（管理識別子B）として特定される。a１０００３”を含む管理識別子付き分析結果データが取得され、データ項目として生活習慣病リスクとがん罹患リスクが特定される。

匿名化管理部１０２の参照処理部１０２６は、仮名化データの個人の氏名（個人識別情報）に基づき、ユーザ情報記憶部１０２８のユーザテーブルからＢＣユーザＩＤを取得する。参照処理部１０２６は、取得したＢＣユーザＩＤを本人ＩＤとして含む同意情報を、同意情報記憶部１０２７の同意情報テーブルから取得し、同意情報に含まれる同意ＩＤを特定する。

参照処理部１０２６は、取得した同意ＩＤと、上述のデータ項目（例えば生活習慣病リスクとがん罹患リスク）とに基づき、データ分析記録情報の検索（取得）を依頼する依頼情報をブロックチェーンシステム２０に送信する。

ブロックチェーンシステム２０は、依頼情報に含まれる同意ＩＤ及びデータ項目を有するトランザクションを特定する。ブロックチェーンシステム２０は、特定したトランザクションをデータ管理装置１０に送信する。

参照処理部１０２６はブロックチェーンシステム２０からトランザクションを受信すると、デジタル署名の検証を行い、トランザクションに含まれるデータ分析記録情報が公正に作成されたことを確認する。参照処理部１０２６は、データ分析記録情報をデータ検査部１０２５に渡す。

データ検査部１０２５は、参照処理部１０２６で取得された上記の分析対応データと管理識別子付き分析結果データとを取得し、ハッシュ化処理部１０２３に、分析対応データのハッシュ値と、管理識別子付き分析結果データのハッシュ値とを算出させ、取得する。

データ検査部１０２５は、取得した分析対応データのハッシュ値と管理識別子付き分析結果データのハッシュ値とが、データ分析記録情報に含まれる分析対応データのハッシュ値と管理識別子付き分析結果データのハッシュ値とに一致するか否かを検査する。すなわち両者が一致するかに基づき、データ管理装置１０に保管されている分析結果データの改ざんの有無（正当性）を判定する。

両者とも一致する場合は、分析対応データ及び管理識別子付き分析結果データの改ざんが行われていないと判定する。すなわち、分析結果データの改ざんが行われていないと判断する。いずれか一方が一致しない場合に、分析結果データ又は分析対応データ等の改ざんが行われたと判定してもよい。具体的には、分析対応データのハッシュ値が一致しない場合は、分析対応データの改ざんが行われたと判定する。管理識別子付き分析結果データのハッシュ値が一致しない場合は、仮名化データ又は分析結果データの改ざんが行われたと判定する。

出力部１０５は、検査要求の送信元の情報装置３０に改ざん検査の結果情報を送信する。なお、出力部１０５は、同意情報に同意を撤回する情報が含まれていた場合、データ分析
及びデータ分析結果の保存の同意が撤回された旨の情報を送信してもよい。

図１３は、入力部１０１が情報装置３０からデータ分析要求を受信した場合のデータ管理装置１０とブロックチェーンシステム２０の動作の一例を示すフローチャートである。

入力部１０１は、情報装置３０からデータ分析要求を受信する（Ｓ３１）。データ分析要求は、分析対象のデータを特定する情報（分析対象特定情報）を含む。分析対象特定情報は、一例として、分析対象となるデータ項目、分析方法を特定する情報（分析方法特定情報）、及び分析事業者（本実施形態ではデータ管理装置の事業者）を識別する情報（分析者ID）等を含む。分析対象特定情報は、個人を特定する個人識別情報を含んでいてもよい。分析対象特定情報は、分析依頼業者を識別する情報（分析依頼者ID）を含んでいてもよい。

匿名化管理部１０２の仮名化処理部１０２１は、データ分析要求に含まれる分析対象特定情報に基づき、データ保管部１０３の仮名化テーブルから、対象となる仮名化データを取得する（Ｓ３２）。仮名化処理部１０２１は、データ分析部１０４に、取得した仮名化データと分析方法特定情報とを送る。

データ分析部１０４は、仮名化データに含まれる対象データ、例えば分析対象特定情報で特定されるデータ項目のデータに対して、分析処理を行うことにより、分析結果データを生成する（Ｓ３３）。この際、匿名化管理部１０２は、分析に用いる対象データの所有者（個人）のＢＣユーザＩＤをユーザ情報記憶部１０２８のユーザテーブルから取得し、同意情報記憶部１０２７の同意情報テーブルから個人のＢＣユーザＩＤを含む同意情報を取得する。取得した同意情報において、個人が分析に同意している場合にのみ、分析処理を行う。

匿名化管理部１０２の仮名化処理部１０２１は、仮名化データに含まれていた管理識別子を仮管理識別子とし、分析結果データに対して新たな管理識別子を生成する（Ｓ３４）。仮名化処理部１０２１は、新たな管理識別子を分析結果データに対応づけた、管理識別子付き分析結果データを生成する（Ｓ３５）。仮名化処理部１０２１は、管理識別子付き分析結果データをデータ保管部１０３の分析結果テーブルにおいて保持する（同Ｓ３５）。また仮名化処理部１０２１は仮名化データに含まれていた管理識別子を仮管理識別子とし、仮管理識別子と新たな管理識別子とを対応付けた分析対応データを生成する（Ｓ３６）。仮名化処理部１０２１は、分析対応データを対応関係記憶部１０２２の分析対応テーブルにおいて保持する（同Ｓ３６）。

匿名化管理部１０２のハッシュ化処理部１０２３は、分析対応データのハッシュ値を算出する（Ｓ３７）。また、ハッシュ化処理部１０２３は、管理識別子付き分析結果データのハッシュ値を算出する（同Ｓ３７）。

記録処理部１０２４は、分析年月日と、同意ＩＤと、分析者ＩＤと、分析対象のデータ項目と、分析対応データのハッシュ値と、管理識別子付き分析結果データのハッシュ値等を含むデータ分析記録情報を生成する（Ｓ３８）。同意ＩＤは、データ分析に対する個人の同意の確認に用いた同意情報に含まれる同意ＩＤである。

記録処理部１０２４は、生成したデータ分析記録情報、ＢＣトランザクションＩＤ、分析事業者のＢＣユーザＩＤ、デジタル署名等を含むトランザクションを生成、又は当該トランザクションを含むブロックを生成する（Ｓ３９）。記録処理部１０２４は、トランザクションをブロックに追加すること又は生成したブロックを追加する依頼情報をブロックチェーンシステム２０に送信する（同Ｓ３９）。ブロックチェーンシステム２０は、依頼情報に基づいて、当該トランザクションを含むブロックをブロックチェーンに追加する（同Ｓ３９）。

図１４は、入力部１０１が情報装置３０からデータ検査要求を受信した場合のデータ管理装置１０とブロックチェーンシステム２０の動作の一例を示すフローチャートである。

入力部１０１は、情報装置３０から検査対象の分析結果データのデータ検査要求を受信する（Ｓ４１）。データ検査要求は、検査対象の分析結果データを特定するための情報を、検査対象特定情報として含む。検査対象特定情報は、一例として、データ分析に用いたデータ項目とデータ項目の値、対象データの分析を行った事業者を識別する情報（分析者ＩＤ）とを含む。データ分析に用いた手法の情報を含んでもよい。データ分析の要求時に個人識別情報を指定した場合は、個人を識別する個人識別情報を含んでいてもよい。

参照処理部１０２６は、データ保管部１０３の仮名化テーブルから、検査対象特定情報によって特定されるデータ項目とデータ項目の値とを含む仮名化データを取得する（Ｓ４２）。上述の図１０の例において、検査対象特定情報が性別“女性”、生年“１９００”、及び健康診断結果“FFFF”を指定する場合、 “女性”と“１９００”と“FFFF”との組を含む仮名化データを取得する。検査対象特定情報が特定の個人を指定している場合は、当該個人に関する仮名化データを取得する。

参照処理部１０２６は、取得した仮名化データに含まれる管理識別子を仮管理識別子（管理識別子A）として特定し、仮管理識別子を含む分析対応データを、データ保管部１０３の分析対応テーブルから取得する（Ｓ４３）。分析対応データにおいて仮管理識別子に対応する管理識別子（管理識別子B）を特定する（Ｓ４４）。特定した管理識別子（管理識別子B）を含む管理識別子付き分析結果データをデータ保管部１０３の分析結果テーブルから取得する（Ｓ４５）。取得した管理識別子付き分析結果データに含まれる対象データのデータ項目を特定する（同Ｓ４５）。

匿名化管理部１０２の参照処理部１０２６は、上述の仮名化データに対応する仮名対応データの個人識別情報（個人の氏名等）に基づき、ユーザ情報記憶部１０２８のユーザテーブルからＢＣユーザＩＤを取得する。参照処理部１０２６は、取得したＢＣユーザＩＤを本人ＩＤとして含む同意情報を、同意情報記憶部１０２７の同意情報テーブルから取得し、同意情報に含まれる同意ＩＤを特定する。参照処理部１０２６は、同意ＩＤと、上記で特定されたデータ項目とを含むデータ分析記録情報を有するトランザクションの検索（取得）の依頼情報をブロックチェーンシステム２０に送信する。参照処理部１０２６は、ブロックチェーンシステム２０から依頼情報に基づき検索されたトランザクションを受信する（Ｓ４６）。参照処理部１０２６はトランザクションに含まれるデジタル署名の検証を行った後、トランザクションに含まれるデータ分析記録情報を取得する。

ハッシュ化処理部１０２３は上記の分析対応データのハッシュ値と、上記の管理識別子付き分析結果データのハッシュ値とを算出する（Ｓ４７）。ハッシュ化処理部１０２３を用いて、分析対応データのハッシュ値と、管理識別子付き分析結果データのハッシュ値とを取得する。

データ検査部１０２５は、取得した分析対応データのハッシュ値と管理識別子付き分析結果データのハッシュ値とが、データ分析記録情報に含まれる分析対応データのハッシュ値と管理識別子付き分析結果データのハッシュ値とに一致するか否かを検査する（Ｓ４８）。

両者とも一致する場合は（Ｓ４９のＹＥＳ）、分析対応データ及び管理識別子付き分析結果データの改ざんが行われていないと判定する（Ｓ５０）。すなわち、すなわち、分析結果データの改ざんが行われていないと判断する。いずれか一方が一致しない場合に（Ｓ４９のＮＯ）、分析結果データ又は分析対応データ等の改ざんが行われたと判定する（Ｓ５１）。具体的には、分析対応データのハッシュ値が一致しない場合は、分析対応データの改ざんが行われたと判定してもよい。管理識別子付き分析結果データのハッシュ値が一致しない場合は、仮名化データ又は分析結果データの改ざんが行われたと判定してもよい。出力部１０５は、データ検査要求の送信元の情報装置３０に改ざん検査の結果情報を送信する。

以上、第２実施形態によれば、対象データを分析して分析結果データを生成した場合に、仮名化として管理識別子を生成し、管理識別子を対象データの識別情報と対応づけた分析対応データを対応関係記憶部に記憶する。また分析対応データのハッシュ値をブロックチェーンシステムに記録する。この分析対応データの正当性（改ざんの有無）を検査したい場合には、ブロックチェーンシステムからハッシュ値を読み出すとともに、対応関係記憶部から読み出した分析対応データのハッシュ値を計算する。計算したハッシュ値と、ブロックチェーンシステムから読み出したハッシュ値とが一致する場合は、分析対応データは改ざんされていないと判定する。これにより分析結果データの仮名化を行った場合にも、データ分析の元となった対象データの識別を正しく行うことができる。

さらに、本実施形態によれば、分析結果データを管理識別子と対応づけた管理識別子付き分析結果データをデータ保管部に記憶するとともに、管理識別子付き分析結果データのハッシュ値をブロックチェーンシステムに記録する。この管理識別子付き分析結果データの正当性（改ざんの有無）を検査したい場合には、ブロックチェーンシステムから管理識別子付き分析結果データのハッシュ値を読み出す。読み出した管理識別子付き分析結果データのハッシュ値を計算する。計算したハッシュ値を、ブロックチェーンシステムから読み出したハッシュ値と比較し、両者が一致する場合は、管理識別子付き分析結果データは改ざんされていないと判定する。これにより仮名化を行った場合に、分析結果データの正当性（改ざんの有無）を判定できる。

（変形例１）
データ分析部１０４が複数の個人データを利用したデータ分析を行ってもよい。例えば複数人の個人データのあるデータ項目に対する統計処理がある。また、複数の個人データを学習データとしてAI（人工知能）モデルを構築する学習処理がある。複数の個人データ（仮名化データ）に対して複数の分析処理を行い、複数の分析結果を得る場合もある。

図１５は、データ分析部１０４が複数の個人データ（仮名化データ）を利用したデータ分析を行う例を示す。

データ分析部１０４は、管理識別子、性別、生年、健康診断結果を含む複数の仮名化データに対して、分析方法特定情報で指定された生活習慣病リスク判定手法とガン罹患リスク判定分析手法を適用する。生活習慣病リスク平均とガン罹患リスク平均とを分析結果データとして算出する。新たに生成した管理識別子（図のａ１０００３）を、分析結果データに対応づけて、管理識別子付き分析結果データを得る。

管理識別子（図のａ１０００３）と、データ分析に用いた全ての仮名化データの管理識別子とを含む分析対応データを生成する。管理識別子付き分析結果データはデータ保管部１０３の分析結果テーブルに記憶され、分析対応データは対応関係記憶部１０２２の分析対応テーブルに記憶される。

管理識別子付き分析結果データを分析対応データと併せて用いることで、データ分析に用いた仮名化データ全てを特定できる。これにより、通常時はプライバシーを保護した状態で分析結果データを管理できる。分析結果の再現実験を行ったり、分析結果の妥当性を検証したりする必要が生じた際に、分析結果を得るために用いた個人データの特定も容易となる。なお、上記はあくまでも一例であり、複数の個人データを用いたデータ分析は平均値に限られるものではない。任意の統計処理、AIモデル作成処理、AIを用いた推論処理を行ってもよい。

（変形例２）
図１６は、データ分析部１０４が複数の個人データ（仮名化データ）を利用したデータ分析を行う他の例を示す。

データ分析部１０４は、管理識別子、性別、生年、健康診断結果を含む複数の仮名化データに対して、分析方法特定情報で指定された生活習慣病リスク判定とガン罹患リスク判定分析手法を適用する。生活習慣病リスク平均とガン罹患リスク平均とを分析結果データとして算出する。管理識別子として仮管理識別子“ａ１０００３”を生成し、生成した仮管理識別子を、分析結果データに対応づけて、仮管理識別子付き分析結果データを得る。

また、データ分析部１０４は、仮管理識別子“ａ１０００３”と、分析に用いた全ての仮名化データの管理識別子とを対応付けた仮分析対応データを生成する。

データ分析部１０４は、新たな管理識別子“ｂ１０００４”を生成し、生成した管理識別子を、仮管理識別子付き分析結果データの仮管理識別子“ａ１０００３”と入れ替えることで、管理識別子付き分析結果データを生成する。また、生成した管理識別子“ｂ１０００４”を、仮分析対応データの仮管理識別子“ａ１０００３”と入れ替えることで、分析対応データを生成する。管理識別子付き分析結果データはデータ保管部１０３の分析結果テーブルに格納され、分析対応データは対応関係記憶部１０２２の分析対応テーブルに格納される。

このように仮管理識別子を介在させて管理識別子を付与することで、管理識別子の秘匿性をより高め、より強固なプライバシー保護を実現できる可能性がある。

（変形例３）
上述した変形例１又は変形例２において複数の個人データ（仮名化データ）を分析した場合に生成するデータ分析記録情報の一例を説明する。
図１７は、変形例３に係るデータ分析記録情報の一例を示す。データ分析記録情報は、分析年月日、同意ＩＤ又はリスト、分析者ＩＤ、データ項目ＩＤ（データ種別ＩＤ）と、分析対応データのハッシュ値（対応データ検査値）と、管理識別子付き分析結果データのハッシュ値（分析データ検査値）とを含む。個人ごとにデータ分析記録情報を記憶する場合は各個人の同意ＩＤを用い、人数分のデータ分析記録情報を生成する。複数人分をまとめたデータ分析記録情報を記憶する場合は、各個人の同意ＩＤをまとめたリストを用いる。

（変形例４）
同意情報記憶部１０２７が保持する、個人データの所有者である個人の同意情報をブロックチェーンシステムに記録するように構成してもよい。
その場合、匿名化管理部１０２は、分析に用いる対象データの所有者（個人）のＢＣユーザＩＤをユーザ情報記憶部１０２８のユーザテーブルから取得し、ブロックチェーンシステムから個人のＢＣユーザＩＤを含む同意情報を取得する。取得した同意情報において、個人が分析に同意している場合にのみ、分析処理を行う。

図１８は、記録処理部１０２４又はブロックチェーンシステム２０によって生成されるブロックの例を示す。ブロックの構成は上述した第２の実施形態と同様である。すなわち、ブロックは、トランザクションと、１つ前のブロックのハッシュ値（前ブロック検査値）とが含められる。トランザクションには、ＢＣトランザクションＩＤと、分析事業者のＢＣユーザＩＤと、データ分析記録情報と、デジタル署名とが含まれる。

（ハードウェア構成）
図１９は、データ管理装置１０（情報処理装置）のハードウェア構成を示す。データ管理装置１０は、コンピュータ６００により構成される。コンピュータ６００は、ＣＰＵ６０１と、入力インタフェース６０２と、表示装置６０３と、通信装置６０４と、主記憶装置６０５と、外部記憶装置６０６とを備え、これらはバス６０７により相互に接続されている。

ＣＰＵ（中央演算装置）６０１は、主記憶装置６０５上で、コンピュータプログラムである情報処理プログラムを実行する。情報処理プログラムは、データ管理装置１０の上述の各機能構成を実現するプログラムのことである。情報処理プログラムは、１つのプログラムではなく、複数のプログラムやスクリプトの組み合わせにより実現されていてもよい。ＣＰＵ６０１が、情報処理プログラムを実行することにより、各機能構成は実現される。

入力インタフェース６０２は、キーボード、マウス、及びタッチパネルなどの入力装置からの操作信号を、データ管理装置１０に入力するための回路である。

表示装置６０３は、データ管理装置１０から出力されるデータを表示する。表示装置６０３は、例えば、ＬＣＤ（液晶ディスプレイ）、有機エレクトロルミネッセンスディスプレイ、ＣＲＴ（ブラウン管）、又はＰＤＰ（プラズマディスプレイ）であるが、これに限られない。

通信装置６０４は、データ管理装置１０が外部装置と無線又は有線で通信するための回路である。データは、通信装置６０４を介して外部装置から入力することができる。外部装置から入力したデータを、主記憶装置６０５や外部記憶装置６０６に格納することができる。通信装置６０４は、図１の入力部１０１、出力部１０５、記録処理部１０２４及び参照処理部１０２６等が備える送受信機能に相当する。

主記憶装置６０５は、情報処理プログラム、情報処理プログラムの実行に必要なデータ、及び情報処理プログラムの実行により生成されたデータなどを記憶する。情報処理プログラムは、主記憶装置６０５上で展開され、実行される。主記憶装置６０５は、例えば、ＲＡＭ、ＤＲＡＭ、ＳＲＡＭであるが、これに限られない。データ管理装置１０のデータ保管部１０３は、主記憶装置６０５上に構築されてもよい。

外部記憶装置６０６は、情報処理プログラム、情報処理プログラムの実行に必要なデータ、及び情報処理プログラムの実行により生成されたデータなどを記憶する。これらの情報処理プログラムやデータは、情報処理プログラムの実行の際に、主記憶装置６０５に読み出される。外部記憶装置６０６は、例えば、ハードディスク、光ディスク、フラッシュメモリ、及び磁気テープであるが、これに限られない。データ管理装置１０のデータ保管部１０３は、外部記憶装置６０６上に構築されてもよい。

なお、情報処理プログラムは、コンピュータ６００にあらかじめインストールされていてもよいし、ＣＤ－ＲＯＭなどの記憶媒体に記憶されていてもよい。また、情報処理プログラムは、インターネット上にアップロードされていてもよい。

また、データ管理装置１０は、単一のコンピュータ６００により構成されてもよいし、相互に接続された複数のコンピュータ６００からなるシステムとして構成されてもよい。

なお、本発明は上記各実施形態そのままに限定されるものではなく、実施段階ではその要旨を逸脱しない範囲で構成要素を変形して具体化できる。また、上記各実施形態に開示されている複数の構成要素を適宜組み合わせることによって種々の発明を形成できる。また例えば、各実施形態に示される全構成要素からいくつかの構成要素を削除した構成も考えられる。さらに、異なる実施形態に記載した構成要素を適宜組み合わせてもよい。

１０ データ管理装置
２０ ブロックチェーンシステム
３０ 情報装置
１０１ 入力部
１０２ 匿名化管理部
１０３ データ保管部
１０４ データ分析部
１０５ 出力部
６００ コンピュータ
６０２ 入力インタフェース
６０３ 表示装置
６０４ 通信装置
６０５ 主記憶装置
６０６ 外部記憶装置
６０７ バス
１０２１ 仮名化処理部
１０２２ 対応関係記憶部
１０２３ ハッシュ化処理部
１０２４ 記録処理部
１０２５ データ検査部
１０２６ 参照処理部
１０２７ 同意情報記憶部
１０２８ ユーザ情報記憶部

Claims (21)

1. 対象データと前記対象データに関する第１識別情報とを含む保管要求を受信した場合に、前記第１識別情報と異なる第２識別情報を生成し、
   前記第２識別情報と前記対象データとを含む第１仮名化データを生成し、前記第１仮名化データを第１データ保管部で保管し、
   前記第１識別情報と前記第２識別情報とを対応づけた第１仮名対応データを生成し、前記第１仮名対応データを第１記憶部に記憶し、
   前記第１仮名対応データに基づく演算により第１値を算出し、
   前記第１値と、前記第１識別情報に基づく第１情報とを含む第１記録情報を、前記第１記録情報を記憶する記憶システムに提供する
   コンピュータによる情報処理方法。
2. 前記第１識別情報を含む検査要求を受信した場合に、前記第１データ保管部から、前記第１識別情報を含む第１仮名対応データを取得し、
   前記第１識別情報に基づく第１情報を含む前記第１記録情報を、前記記憶システムから取得し、
   取得した前記第１仮名対応データに基づく演算により第１値を算出し、
   算出した前記第１値と、前記第１記録情報に含まれる第１値とに基づいて、取得した前記第１仮名対応データの正当性を検証する
   請求項１に記載の情報処理方法。
3. 前記保管要求を受信した場合に生成した前記第１仮名化データに基づく演算により第２値を算出し、
   前記記憶システムに提供する前記第１記録情報は、前記第２値をさらに含み、
   前記検査要求を受信した場合に取得した前記第１仮名対応データに含まれる前記第２識別情報を特定し、特定した前記第２識別情報を含む第１仮名化データを、前記第１データ保管部から取得し、
   取得した前記第１仮名化データに基づく演算により第２値を算出し、
   前記第２値と、前記第１記録情報に含まれる第２値とに基づいて、取得した前記第１仮名化データの正当性を検証する
   請求項２に記載の情報処理方法。
4. 分析対象のデータを特定する第２情報を含む分析要求を受信した場合に、前記第１データ保管部から前記第２情報に応じた前記対象データを含む前記第１仮名化データを取得し、
   取得した前記第１仮名化データに含まれる前記対象データのうち前記第２情報により特定されるデータを用いてデータ分析を行い、
   前記データ分析の結果データを識別する第３識別情報を生成し、
   前記第３識別情報を前記結果データに対応づけた第２仮名化データを生成し、前記第２仮名化データを第２データ保管部に保管し、
   前記第３識別情報を、取得した前記第１仮名化データに含まれる前記第２識別情報に対応づけた第２仮名対応データを生成し、前記第２仮名対応データを第２記憶部に記憶し、
   前記第２仮名対応データに基づく演算により第３値を算出し、
   前記分析要求を受信した場合に取得した前記第１仮名化データに含まれる前記第２識別情報に対応する前記第１識別情報を、前記第２識別情報を含む前記第１仮名対応データに基づき特定し、
   前記第３値と、特定した前記第１識別情報に基づく第１情報とを含む第２記録情報を前記記憶システムに提供する
   請求項１～３のいずれか一項に記載の情報処理方法。
5. 前記第２情報を含む検査要求を受信した場合に、前記第１データ保管部から、前記第２情報に応じた前記対象データを含む前記第１仮名化データを取得し、
   取得した前記第１仮名化データに含まれる前記第２識別情報を含む第２仮名対応データを、前記第２記憶部から取得し、
   取得した前記第２仮名対応データに基づく演算により第３値を算出し、
   取得した前記第１仮名化データに含まれる前記第２識別情報に対応する第１識別情報を、前記第２識別情報を含む前記第１仮名対応データに基づき特定し、特定した前記第１識別情報に対応する第１情報を含む第２記録情報を、前記記憶システムから取得し、
   算出した前記第３値と、前記記憶システムから取得した前記第２記録情報に含まれる第３値とに基づいて、取得した前記第２仮名対応データの正当性を検証する
   請求項４に記載の情報処理方法。
6. 前記分析要求を受信した場合に生成した前記第２仮名化データに基づく演算により第４値を算出し、
   前記記憶システムに提供する前記第２記録情報は、前記第４値をさらに含み、
   前記検査要求を受信した場合に取得された前記第２仮名対応データに含まれる第３識別情報を特定し、前記第３識別情報を含む第２仮名化データを、前記第２データ保管部から取得し、
   取得した前記第２仮名化データに基づく演算により第４値を算出し、
   算出した前記第４値と、前記記憶システムから取得した前記第２記録情報に含まれる第４値とに基づいて、取得した前記第２仮名化データの正当性を検証する
   請求項５に記載の情報処理方法。
7. 前記分析要求を受信した場合に複数の前記第１仮名化データを取得し、
   前記第２仮名対応データは、前記第３識別情報を、複数の前記第１仮名化データに含まれる複数の前記第２識別情報に対応づける
   請求項４～６のいずれか一項に記載の情報処理方法。
8. 前記第１識別情報は、前記対象データの所有者を識別する情報である
   請求項１～７のいずれか一項に記載の情報処理方法。
9. 前記第１情報は、前記対象データの受信、保持及び分析の少なくとも１つに関する前記対象データの所有者の同意の有無を表した同意情報を識別する同意ＩＤである
   請求項１～８のいずれか一項に記載の情報処理方法。
10. 前記第１識別情報と前記第１情報とを対応付けた第１対応情報データに基づき、前記第１識別情報に対応する第１情報を取得し、取得した前記第１情報を、前記第１識別情報に基づく第１情報とする
    請求項１～９のいずれか一項に記載の情報処理方法。
11. 算出した前記第１値と、前記第１記録情報に含まれる第１値とが一致する場合、取得した前記第１仮名対応データは正当であると判定し、一致しない場合、取得した前記第１仮名対応データは正当でないと判定する
    請求項２に記載の情報処理方法。
12. 算出した前記第２値と、前記第１記録情報に含まれる第２値とが一致する場合、取得した前記第１仮名化データは正当であると判定し、一致しない場合、取得した前記第１仮名化データは正当でないと判定する
    請求項３に記載の情報処理方法。
13. 算出した前記第３値と、前記第２記録情報に含まれる第３値とが一致する場合、取得した前記第２仮名対応データは正当であると判定し、一致しない場合、取得した前記第２仮名対応データは正当でないと判定する
    請求項５に記載の情報処理方法。
14. 算出した前記第４値と、前記第２記録情報に含まれる第４値とが一致する場合、取得した前記第２仮名化データは正当であると判定し、一致しない場合、取得した前記第２仮名化データは正当でないと判定する
    請求項６に記載の情報処理方法。
15. 前記第１値として、前記第１仮名対応データのハッシュ値を算出する
    請求項１～１０のいずれか一項に記載の情報処理方法。
16. 前記第２値として、前記第１仮名化データのハッシュ値を算出する
    請求項３に記載の情報処理方法。
17. 前記第３値として、前記第２仮名対応データのハッシュ値を算出する
    請求項４～７のいずれか一項に記載の情報処理方法。
18. 前記第４値として、前記第２仮名化データのハッシュ値を算出する
    請求項６に記載の情報処理方法。
19. 前記記憶システムは、ブロックチェーンシステムである、
    請求項１～１８のいずれか一項に記載の情報処理方法。
20. 対象データと前記対象データに関する第１識別情報とを含む保管要求を受信した場合に、前記第１識別情報と異なる第２識別情報を生成するステップと、
    前記第２識別情報と前記対象データとを含む第１仮名化データを生成するステップと、
    前記第１仮名化データを第１データ保管部で保管するステップと、
    前記第１識別情報と前記第２識別情報とを対応づけた第１仮名対応データを生成するステップと、
    前記第１仮名対応データを第１記憶部に記憶するステップと、
    前記第１仮名対応データに基づく演算により第１値を算出するステップと、
    前記第１値と、前記第１識別情報に基づく第１情報とを含む第１記録情報を、前記第１記録情報を記憶する記憶システムに提供するステップと
    をコンピュータに実行させるためのコンピュータプログラム。
21. データ管理装置と、前記データ管理装置とネットワークを介して接続されたブロックチェーンシステムとを備え、
    前記データ管理装置は
    対象データと前記対象データに関する第１識別情報とを含む保管要求を受信した場合に、前記第１識別情報と異なる第２識別情報を生成し、前記第２識別情報と前記対象データとを含む第１仮名化データを生成し、前記第１識別情報と前記第２識別情報とを対応づけた第１仮名対応データを生成し、前記第１仮名対応データに基づく演算により第１値を算出する処理部と、
    前記第１仮名化データを保管する第１データ保管部と、
    前記第１仮名対応データを記憶する第１記憶部と、
    前記第１値と、前記第１識別情報に基づく第１情報とを含む第１記録情報をブロックチェーンに追加することを依頼する依頼情報を、ブロックチェーンシステムに送信する記録処理部と、
    を備え、
    前記ブロックチェーンシステムは、前記依頼情報に基づき前記第１記録情報を含むブロックを前記ブロックチェーンに追加する
    情報処理システム。

Images