JP2022183596A - 機微データ管理システムおよび機微データ管理方法 - Google Patents

Abstract

【課題】利活用される機微データをその提供者の意図に沿って、検証可能かつ正しく管理可能とする。
【解決手段】機微データ管理システム１において、組織のノード４は、分散台帳において、各組織が所有する機微データのメタデータを保持し、プライベートストレージにおいて、自組織が所有者となっている機微データの実データを保持し、利用権限の申請及び承認をスマートコントラクトにより実行し、その結果を分散台帳に格納し、機微データに関する処理要求を受けた際、その利用権限に応じて処理を実行し、当該処理の経緯に関するログを分散台帳に格納し、処理結果のみを処理要求に応答する構成とする。
【選択図】図１

Description

本発明は、機微データ管理システムおよび機微データ管理方法に関するものである。

２０１９年に提唱されたＤＦＦＴ（Ｄａｔａ Ｆｒｅｅ Ｆｌｏｗ ｗｉｔｈ Ｔｒｕｓｔ）は、国や企業など組織間におけるデータ共有および利活用が焦点となっている。そこで、これを実現する一つの手段として、複数組織が同じ権限でシステム運用可能である、分散台帳技術の採用が想定される。
分散台帳技術は、従来において金融機関や政府といった信頼できる中央集権機関を経由して実施されてきた取引を、利用者間のＰ２Ｐ（Ｐｅｅｒ ｔｏ Ｐｅｅｒ）による直接的な取引で代替する技術といえる。

こうした分散台帳技術に関しては、様々な派生技術が提案され、進化を続けている。現状の主な特徴としては、（１）分散台帳への参加者間の取引において、中央集権機関ではなく（任意ないしは特定の）参加者による合意形成や承認によって取引を確定させること、（２）複数のトランザクションをブロックとしてまとめ、数珠つなぎにブロックチェーンと呼ばれる分散台帳に記録し、連続するブロックにハッシュ計算を施すことにより、改ざんを実質不可能にすること、（３）参加者全員が同一の台帳データを共有することにより、参加者全員での取引の確認を可能とすることが挙げられる。

このような特徴を有する分散台帳技術は、信頼できるデータの管理／共有や、契約に基づく取引の執行／管理を行う仕組みとして、金融や製造業等、幅広い分野での応用が検討されている。

一方で、分散台帳技術においては、参加組織全ての間で分散台帳を通じてデータ共有することになる。そのため、ＥＵ一般データ保護規則プライバシー保護（ＧＤＰＲ）などの法律に対応するためには、プライバシー保護が必要となる機微データを取り扱うことが困難である。

なお、データの利活用に関する従来技術としては、データ処理ツールに手を加えることなくデータリネージュを生成する情報処理装置（特許文献１参照）などが提案されている。

この情報処理装置は、自装置で実行中のプロセスの識別子を取得する取得部と、前記取得部によって取得された前記プロセスの識別子に基づいて、前記プロセスに対応するデータ処理ツールを特定する特定部と、前記特定部によって特定された前記データ処理ツールの動作中のスクリプトの記述内容を解析し、解析した結果に基づいて、入カデータ名と出カデータ名とを特定する解析部と、前記解析部によって特定された前記入カデータ名と前記出カデータ名とに基づいて、前記スクリプトに関するデータリネージュを生成する生成部と、を有するものである。

ＷＯ２０２０／１８８７７９

ところで、上述のような機微データの提供者としては、その預託先となる組織に対し、データ利活用に関する同意の剥奪や、データ自体の削除といった各種操作を依頼するケースもある。ところが、そうした操作が正しく行われたことを保証し、その監査を行う手立てが存在していない。この状況は、機微データたる個人情報や提供者の保護の観点からも、問題とすべき課題となっている。
そこで本発明の目的は、利活用される機微データをその提供者の意図に沿って、検証可能かつ正しく管理可能とする技術を提供することにある。

上記課題を解決する本発明の機微データ管理システムは、複数の組織により機微データの利活用を行う分散台帳システムであって、前記組織それぞれのノードは、自身の分散台帳において、各組織が所有する機微データのメタデータを保持し、プライベートストレージにおいて、自組織が所有者となっている機微データの実データを保持して、前記機微データに対する利用権限の申請および承認のワークフローをスマートコントラクトにより実行し、当該利用権限に関するワークフローの結果を前記分散台帳に格納する処理と、前記プライベートストレージに保管する機微データに関して処理要求を受けた場合、当該機微データに対する前記利用権限を確認し、当該利用権限に応じて処理を実行して、当該処理の経緯に関するログを分散台帳に格納し、前記処理の結果のみを前記処理要求の発信元に応答する処理を実行するものである、ことを特徴とする。
また、本発明の機微データ管理方法は、複数の組織により機微データの利活用を行う分散台帳システムにおいて、前記組織それぞれのノードが、自身の分散台帳において、各組織が所有する機微データのメタデータを保持し、プライベートストレージにおいて、自組織が所有者となっている機微データの実データを保持して、前記機微データに対する利用権限の申請および承認のワークフローをスマートコントラクトにより実行し、当該利用権限に関するワークフローの結果を前記分散台帳に格納する処理と、前記プライベートストレージに保管する機微データに関して処理要求を受けた場合、当該機微データに対する前記利用権限を確認し、当該利用権限に応じて処理を実行して、当該処理の経緯に関するログを分散台帳に格納し、前記処理の結果のみを前記処理要求の発信元に応答する処理、を実行することを特徴とする。

本発明によれば、利活用される機微データをその提供者の意図に沿って、検証可能かつ正しく管理可能となる。

本実施形態における分散台帳ネットワークの構成例を示す図である。 本実施形態の分散台帳ノードのハードウェア構成を示す図である。 本実施形態のタスク処理装置のハードウェア構成を示す図である。 本実施形態の監査装置のハードウェア構成を示す図である。 本実施形態のクライアントのハードウェア構成を示す図である。 本実施形態の分散台帳で管理されるデータカタログの構成を示す図である。 本実施形態の分散台帳で管理されるタスク一覧の構成を示す図である。 本実施形態の分散台帳で管理されるデータの関係性の構成を示す図である。 本実施形態の処理の流れを示す図である。 本実施形態の処理の中のデータ提供を示す図である。 本実施形態の処理の中のアクセス権依頼を示す図である。 本実施形態の処理の中のアクセス権承認を示す図である。 本実施形態の処理の中の解析依頼を示す図である。 本実施形態の処理の中の解析実行を示す図である。 本実施形態の処理の中の監査を示す図である。 本実施形態の監査処理の中のデータ整合性監査を示す図である。 本実施形態の監査処理の中のデータ削除監査を示す図である。 本実施形態の監査処理の中のデータ同意情報監査を示す図である。 本実施形態の監査処理の中のデータアクセス権監査を示す図である。 本実施形態の監査ＵＩを示す図である。

＜ネットワーク構成＞
以下に本発明の実施形態について図面を用いて詳細に説明する。図１は、本実施形態における機微データ管理システム１のネットワーク構成例を示す図である。本実施形態の機微データ管理システム１は、利活用される機微データをその提供者の意図に沿って、検証可能かつ正しく管理可能とする分散台帳システムである（以下、分散台帳システム１として説明する）。

本実施形態における分散台帳システム１は、図１で示すように、分散台帳ネットワーク２を介して通信可能に接続された、１つまたは複数の処理依頼組織３のシステム、１つまたは複数のデータ保有組織４のシステム、および１つまたは複数の監査組織５のシステムから構成される。よって、これらを総称して機微データ管理システム１としてもよい。

このうち処理依頼組織３のシステムは、分散台帳ノード１０及びクライアント５０を有している。処理依頼組織３のユーザは、クライアント５０を操作し、機微データに対する処理要求を生成・発信することとなる。

また、データ保有組織４のシステムは、分散台帳ノード１２、タスク処理装置２０、プライベートストレージ３０、及びクライアント５２を有している。

タスク処理装置２０は、処理依頼組織３の分散台帳ノード１０ないしクライアント５０から発信された処理要求に応じ、分散台帳で保持する機微データに対する処理を実行し、応答する。

また、プライベートストレージ３０は、分散台帳のごときノード間での同期は図られない記憶装置であって、他組織からは切り離された記憶装置である。

また、クライアント５２は、データ保有組織４のユーザが操作する端末である。

また、監査組織５のシステムは、分散台帳ノード１５、監査サーバ４０、及びクライアント５５を有している。監査サーバ４０は、分散台帳ノード１５と協働し、データ保有組織４の分散台帳ノード１２やプライベートストレージ３０で管理されている情報の正しさ、処理経緯の正しさ等に関する監査業務を主導するサーバ装置である。

また、クライアント５５は、監査組織５のユーザが操作する端末である。
＜＜ハードウェア構成＞＞
本実施形態の分散台帳管理システム１を構成する各装置のハードウェア構成を、以下に示す。図２は分散台帳ノード１０のハードウェア構成を示した図である。

本実施形態における分散台帳ノード１０は、記憶部２１０、演算部２４０、メモリ２５０、及び通信部２６０から構成され、それぞれはＢＵＳを介して接続されている。

このうち記憶部２１０は、ＳＳＤ（Ｓｏｌｉｄ Ｓｔａｔｅ Ｄｒｉｖｅ）やハードディスクドライブなど適宜な不揮発性記憶素子で構成される。

また、メモリ２５０は、ＲＡＭ（Ｒａｎｄｏｍ Ａｃｃｅｓｓ Ｍｅｍｏｒｙ）など揮発性記憶素子で構成される。

また、演算部２４０は、記憶部２１０に保持されるプログラム２１１をメモリ２５０に読み出すなどして実行し装置自体の統括制御を行なうとともに各種判定、演算及び制御処理を行なうＣＰＵ（Ｃｅｎｔｒａｌ Ｐｒｏｃｅｓｓｉｎｇ Ｕｎｉｔ）である。

また、記憶部２１０にはプログラム２１１、分散台帳２２０、及びステートデータベース２３０が保存されている。

このうち分散台帳２２０は、ブロックと呼ばれるトランザクションをまとめたデータを数珠つなぎのようにつなぎ合わせたデータであり、いわゆるブロックチェーンである。

また、ステートデータベース２３０は、分散台帳２２０にて管理されているトランザクションの実行時における最新のテーブルデータを保存するデータベースである。

なお、プログラム２１１は、メモリ２５０にロードされてから演算部２４０で計算処理が実行され、必要な機能を実現する。

こうしたプログラム２１１は、データ管理スマコン（スマートコントラクト）２１２、およびタスク管理スマコン２１３を有している。

このうちデータ管理スマコン２１２は、データ（機微データを含む各種データ）の管理を行うスマートコントラクトである。また、タスク管理スマコン２１３は、タスクの管理を行うスマートコントラクトである。このタスクは、処理依頼組織３から要求される処理内容に応じたものとなる。

続いて図３は、タスク処理装置３０のハードウェア構成を示した図である。このタスク処理装置３０は、記憶部３１０、演算部３３０、メモリ３４０、及び通信部３５０から構成され、それぞれはＢＵＳを介して接続されている。

このうち記憶部３１０は、ＳＳＤ（Ｓｏｌｉｄ Ｓｔａｔｅ Ｄｒｉｖｅ）やハードディスクドライブなど適宜な不揮発性記憶素子で構成される。

また、メモリ３４０は、ＲＡＭ（Ｒａｎｄｏｍ Ａｃｃｅｓｓ Ｍｅｍｏｒｙ）など揮発性記憶素子で構成される。

また、演算部３３０は、記憶部３１０に保持されるプログラム３１１をメモリ３４０に読み出すなどして実行し装置自体の統括制御を行なうとともに各種判定、演算及び制御処理を行なうＣＰＵ（Ｃｅｎｔｒａｌ Ｐｒｏｃｅｓｓｉｎｇ Ｕｎｉｔ）である。

また、演算部３３０は、メモリ３４０の領域の一部を暗号化するＴＥＥ（Ｔｒｕｓｔｅｄ Ｅｘｅｃｕｔｉｏｎ Ｅｎｖｉｒｏｎｍｅｎｔ）と呼ばれる暗号化領域作成部３３１を持つ。この暗号化領域作成部３３１により、メモリ３４０において暗号化領域３４１を生成することができる。

こうした暗号化領域３４１にプログラム３１１を読み込んで実行することで、このプログラム３１１は外部の攻撃者による攻撃および改ざんから守られることになる。これにより、分散台帳システム１は、プログラム３１１が正しく動作したことを保証することがで
きる。

続いて図４は、監査サーバ４０のハードウェア構成例を示した図である。監査サーバ４０は、記憶部４１０、演算部４３０、メモリ４３１、及び通信部４３２から構成され、それぞれはＢＵＳを介して接続されている。

このうち記憶部４１０は、ＳＳＤ（Ｓｏｌｉｄ Ｓｔａｔｅ Ｄｒｉｖｅ）やハードディスクドライブなど適宜な不揮発性記憶素子で構成される。

また、メモリ４３１は、ＲＡＭ（Ｒａｎｄｏｍ Ａｃｃｅｓｓ Ｍｅｍｏｒｙ）など揮発性記憶素子で構成される。

また、演算部４３０は、記憶部４１０に保持されるプログラム４１１をメモリ４３１に読み出すなどして実行し装置自体の統括制御を行なうとともに各種判定、演算及び制御処理を行なうＣＰＵ（Ｃｅｎｔｒａｌ Ｐｒｏｃｅｓｓｉｎｇ Ｕｎｉｔ）である。

なお、プログラム４１１は、ユーザインターフェイス提供プログラム４１２および監査実行プログラム４１３を含む。ユーザインターフェイス提供プログラム４１２は、監査業務のユーザが操作するクライアント５５に所定のユーザインターフェイスを配信し、監査業務の指示等の入力や監査結果の出力を行う。また、監査実行プログラム４１３は、監査業務に応じた各種処理を実行するためのプログラムである。

図５はクライアント５０のハードウェア構成を示した図である。クライアント５０は記憶部５１０、演算部５３０、メモリ５３１、および通信部５３２から構成され、それぞれはＢＵＳを介して接続されている。

このうち記憶部５１０は、ＳＳＤ（Ｓｏｌｉｄ Ｓｔａｔｅ Ｄｒｉｖｅ）やハードディスクドライブなど適宜な不揮発性記憶素子で構成される。

また、メモリ５３１は、ＲＡＭ（Ｒａｎｄｏｍ Ａｃｃｅｓｓ Ｍｅｍｏｒｙ）など揮発性記憶素子で構成される。

また、演算部５３０は、記憶部５１０に保持されるプログラム５１１をメモリ５３１に読み出すなどして実行し装置自体の統括制御を行なうとともに各種判定、演算及び制御処理を行なうＣＰＵ（Ｃｅｎｔｒａｌ Ｐｒｏｃｅｓｓｉｎｇ Ｕｎｉｔ）である。

なお、記憶部５１０のプログラム５１１は、クライアントインターフェイス５１２およびユーザ命令送受信部５１３を持つ。クライアントインターフェイス５１２は、上述の監査サーバ４０から配信される入出力画面である。

また、ユーザ命令送受信部５１３は、上述のクライアントインターフェイス５１２を介してユーザから受け付けた指示を監査サーバ４０に送信し、またその指示に応じた処理結果すなわち監査結果を監査サーバ４０から受信するものとなる。
＜データ構造例＞
続いて、本実施形態の機微データ管理システム１において用いる各種情報について説明する。図６に、本実施形態におけるデータカタログ２２１の一例を示す。このデータカタログ２２１は、分散台帳２２０で管理されるテーブルである。

データカタログ２２１は、機微データを一意に特定するデータＩＤ６００をキーとして、当該機微データのデータ名６０１、オーナー６０２、同意情報６０３、アクセス権６０
４、およびハッシュ値６０５が管理されている。

このうち、オーナー６０２は、当該機微データの保有者である。

また、同意情報６０３は、当該機微データの提供者が、上述のオーナー６０２による当該機微データの利活用に同意したかを示す値である。

また、アクセス権６０４は、当該機微データに対してアクセスが許可された組織を規定する値である。

また、ハッシュ値６０５は、当該機微データをハッシュ関数に入力して得たハッシュ値である。

また図７は、分散台帳２２０で管理されるタスク一覧２２２のデータ構成例を示した図である。このタスク一覧２２２は、タスクを一意に特定するタスクＩＤ７００をキーとして、当該タスクを依頼した依頼者７０１、そのタスクに使用する元データ（たる機微データ）のＩＤ７０２、タスクの内容７０３、およびそのタスクの実行結果７０４が管理されている。

また図８は、分散台帳２２０で管理されるデータ関係性２２３の構成例を示した図である。このデータ関係性２２３は、機微データの各間の関係性について管理するテーブルであり、レコードＩＤ８００をキーとして、処理対象となった機微データを示す元データ８０１、当該機微データの処理結果を示す結果データ８０２、当該処理の起因となったタスクを示すタスクＩＤ８０３、および正しさの保証８０４が管理されている。

このうち正しさの保証８０４は、監査サーバ４０による監査結果により真正性が認められた場合に設定される値である。図８の例では、チェックマークが設定されている。
＜フロー例：メインフロー＞
以下、本実施形態における機微データ管理方法の実際手順について図に基づき説明する。以下で説明する機微データ管理方法に対応する各種動作は、機微データ管理システム１を構成する各装置らがそれぞれのメモリ等に読み出して実行するプログラムによって実現される。そして、このプログラムは、以下に説明される各種の動作を行うためのコードから構成されている。

図９Ａは、本実施形態における機微データ管理方法のフロー例であり、全体フローの例を示す図である。なお、本実施形態では、処理依頼組織３、データ保有組織４、および監査組織５の各装置が分散台帳ネットワークにより接続されている。

まず、データ保有組織４のタスク処理装置２０が、データ提供（Ｓ１０）をする。ただしここでのデータ提供は、機微データのメタデータであって、例えば、データカタログ２２１やデータ関係性２２３の一部または全部を想定する。

次に、処理依頼組織３のクライアント５０にて、上述のデータ保有組織４の分散台帳２２０にて所有されている機微データに対する、アクセス権の付与依頼を実行する（Ｓ１１）。

次に、データ保有組織４のタスク処理装置２０にて、上述の処理依頼組織３のクライアント５０から受け付けたアクセス権付与依頼に応じて、アクセス権付与承認（Ｓ１２）の処理を実行する。

次に、処理依頼組織３のクライアント５０にて、上述の処理（Ｓ１２）の結果、アクセス権が得られた機微データに対する解析の処理依頼（Ｓ１３）を実行する。

次に、データ保有組織４のタスク処理装置２０にて、上述の処理依頼組織３のクライアント５０から依頼を受け付けた解析を実行（Ｓ１４）し、処理を終了する。

一方、監査組織５の監査サーバ４０は、こうしたデータ保有組織４のタスク処理装置２０における処理結果等について、所定の監査処理（Ｓ１５）を実行することとなる。
＜フロー例：データ提供＞
図９Ｂは本実施形態における機微データ管理方法の一部である、データ提供（Ｓ１０）の詳細例を示したフロー図である。この場合の処理の実行主体は、データ保有組織４のクライアント５２および分散台帳ノード１２となる。

なお、データ保有組織４の業務担当者等であるユーザ９００は、クライアント５２を操作し、上述のデータ提供の指示を行うものとする。クライアント５２は、この指示を受けて、自組織が適宜な記憶装置にて保有する機微データを読み出し、これを分散台帳ノード１２にデータ提供（９０１）する。この場合のデータ提供は、機微データの実データとなる。

次に、データ保有組織４の分散台帳ノード１２は、クライアント５２から機微データを受け取り（９０２）、この機微データをプライベートストレージ３０に書き込む（９０３）。

次に、データ保有組織４の分散台帳ノード１２は、クライアント５２から受け取った機微データからメタデータを作成し（９０４）、これを分散台帳２２０のデータカタログ２２１に書き込み（９０５）、処理を終了する。

なお、ここでの書き込み対象となるメタデータとは、データ名６０１、オーナー６０２、同意情報６０３、アクセス権６０４、およびハッシュ値６０５を含むデータである。
＜フロー例：アクセス権限の処理＞
図９Ｃは本実施形態における機微データ管理方法の一部であるアクセス権依頼に対応する処理フローを示した図である。ここでは、処理依頼組織３のクライアント５０および分散台帳ノード１０が協働するものとする。また、処理依頼組織３のユーザ９１０が、クライアント５０を操作し、当該フローのトリガーとなる依頼を実行することとする。

まず、処理依頼組織３のクライアント５０は、データ一覧取得依頼（９１１）を実行し、分散台帳ノード１０に対して、分散台帳２２０で管理されているデータカタログ２２１を要求する。

続いて、処理依頼組織３の分散台帳ノード１０は、データ一覧取得（９１２）を実行し、分散台帳２２０からデータカタログ２２１を取得して、これをクライアント５０に送信（９１３）する。これにより、機微データのデータカタログ２２１が、クライアント５０に渡されることになる。

一方、クライアント５０は、分散台帳ノード１０から送られてきたデータカタログ２２１を受信する（９１４）。クライアント５０は、このデータカタログ２２１を表示して、ユーザ９１０の閲覧向けに提示する。ユーザ９１０はデータカタログ２２１を参照し、利用希望の機微データを検討する。そして、当該機微データに関して、アクセス権を望むことになる。

そこでクライアント５０は、ユーザ９１０からの指示を受けて、上述の機微データのアクセス権を要求するため、アクセス権要求依頼（９１５）を実行する。

一方、分散台帳ノード１０は、クライアント５０からのアクセス権要求を受信し、上述の機微データに対するアクセス権の付与申請情報を分散台帳２２０に書き込み（９１６）、処理を終了する。
＜フロー例：アクセス権承認＞
図９Ｄは本実施形態における機微データ管理方法の一部である、アクセス権承認のフロー例を示した図である。この場合、データ保有組織４のクライアント５２および分散台帳ノード１２が協働するものとする。また、データ保有組織４のユーザ９２０は、クライアント５２を操作し、本フローのトリガーを与えることとなる。

データ保有組織４のクライアント５２は、アクセス権要求一覧取得依頼（９２１）を実行し、自組織が保有する機微データに対するアクセス権付与の要求が来ていることを確認する。このアクセス権付与の要求は、上述の図９Ｃのフローにおけるステップ９１６で分散台帳２２０に格納されたものである。

分散台帳ノード１２は、分散台帳２２０に書き込まれているアクセス権付与の申請情報を取得する（９２２）。

次に、分散台帳ノード１２は、上述のステップ９２２で取得したアクセス権付与申請情報を、クライアント５２に送信する（９２３）。

一方、クライアント５２は、アクセス権付与申請の情報を受け取り（９２４）、これに対する承認作業のワークフローを実行する（９２５）。このワークフローは、例えば、クライアント５２が、機微データの提供者の端末に対してアクセス権の付与可否についての問合せを実行して、その結果を取得するといったものを想定できる。

次に、分散台帳ノード１２は、分散台帳２２０にてアクセス権承認情報の書き込み（９２６）を実行し、また、当該機微データに関するアクセス権の承認情報を、分散台帳２２０のデータカタログ２２１のアクセス権６０４の項目に書き込み、処理を終了する。
＜フロー例：解析依頼＞
図９Ｅは本実施形態における機微データ管理方法の一部である、解析依頼フローの例を示した図である。この場合、データ保有組織４のクライアント５０および分散台帳ノード１０が協働するものとする。また、ユーザ９３０が、クライアント５０を操作し、本フローのトリガーとなる。

ユーザ９３０の操作を受けたクライアント５０は、アクセス権を取得した機微データに対して、例えば、所定の解析処理であるタスクの実行をするため、分散台帳ノード１０に対するタスク実行依頼（９３１）を実行する。

一方、分散台帳ノード１０は、タスク実行可否確認（９３２）を実行し、処理依頼組織３が正しくアクセス権を取得しているか、また、対象となる機微データがデータ提供者から正しく同意情報を得られているか等の確認を実行する。この確認は、データカタログ２２１における同意情報６０３が「Ａｇｒｅｅ」であるか、また、アクセス権６０４の値に、当該処理依頼組織３の識別情報が含まれているか、をチェックする処理となる。

次に、分散台帳ノード１０は、分散台帳２２０のタスク一覧２２２にタスクの内容を書き込み（９３３）、処理を終了する。なお、ここで書き込む内容は、依頼者７０１、元データ７０２、及びタスク内容７０３である。このうち元データ７０２は、解析対象とされ
た機微データのＩＤである。
＜フロー例：タスク処理＞
図９Ｆは本実施形態における機微データ管理方法の一部である、解析実行フローの例を示した図である。この場合、データ保有組織４のタスク処理装置２０および分散台帳ノード１５が協働するものとする。

まず、タスク処理装置２０が、分散台帳ノード１２の分散台帳２２０で管理されているタスク一覧２２２をポーリングする（９４１）。

一方、分散台帳ノード１２は、上述のポーリングを受けて、分散台帳２２０で管理されているタスクがある場合、これをタスク処理装置２０に渡す（９４２）。

次に、タスク処理装置２０は、分散台帳ノード１２からタスクを取得し（９４３）、当該タスクの対象となる機微データに関して、その実データを取得（９４４）する。ここで取得される実データは、プライベートストレージ３０にて管理されている実データである。

続いて、タスク処理装置２０は、タスク実行判定（９４５）を実行し、ステップ９４４で得ている実データが正しいものであるか確認する。

このタスク実行判定（９４５）における、実データが正しいものであるか確認する手法としては、例えば、取得した実データをハッシュ関数（分散台帳ノード１２が保持・利用するものと同じもの）に入力してハッシュ値を計算し、これを、分散台帳２２０のデータカタログ２２１にて保存されているハッシュ値６０５の値と比較するものを想定できる。この比較の結果、両者が一致する場合、正しいデータがロードされたことを確認できる。

次に、タスク処理装置２０は、タスク実行（９４６）を実行し、プライベートストレージ３０から読み込んだ実データに対して解析等の処理を実行する。

次に、タスク処理装置２０は、タスク実行結果返却（９４７）を実行し、分散台帳ノード１２に対して解析結果を応答する。

また、分散台帳ノード１２は、タスク実行結果書き込み（９４８）を実行し、分散台帳２２０で管理されているタスク一覧２２２の結果７０４に、解析に成功したか失敗したかを書き込む。

なお、タスク実行結果返却（９４７）で得られた結果データは、データ提供（Ｓ１０）と同様の処理により、プライベートストレージ３０および分散台帳２２０におけるデータカタログ２２１に新たなデータとして追加される。また、分散台帳２２０で管理されているデータ関係性２２３に、新たな項目として、元データ８０１、結果データ８０２、タスクＩＤ８０３が書き込まれることとなる。
＜フロー例：＞
図９Ｇは本実施形態における機微データ管理方法の一部である、監査フローの例を示した図である。この場合、監査組織５のクライアント５４、監査サーバ４０、および分散台帳ノード１４が協働するものとする。また、監査組織５のユーザ９５０が、クライアント５４を操作し、本フローのトリガーを与える。

まず、クライアント５４は、監査ＵＩ接続（９５１）を実行し、監査業務用のＵＩを監査サーバ４０に要求する。

一方、監査サーバ４０は、上述のクライアント５４に対し、監査ＵＩ提供（９５２）を行う。ここでクライアント５４に対して提供されるＵＩは、例えば、図１４に示す監査ＵＩ５００の出力画面を想定できる。

図１４は本実施形態における監査ＵＩ５００の例を示す図である。この監査ＵＩ５００において、ユーザはクライアント５４により監査種類選択インターフェイス５１０を操作し、監査種類を選択する。この監査種類には、後に図１０から図１２で示す、データ整合性監査、データ削除監査、同意情報監査、およびアクセス権監査がある。

また、上述のユーザは、監査対象設定５２０において、対象となる機微データを選択するか、または、全ての機微データを監査対象として選択できる。

また、上述のユーザは、クライアント５４により監査周期設定インターフェイス５３０を操作し、監査周期を設定可能である。監査を定期的に実行する設定か、一回のみ実行する設定を行うことが可能である。

また、監査結果表示領域５４０には、監査サーバ４０による監査結果が表示される。

次に、クライアント５４は、上述の監査ＵＩ５００を介して受けた監査内容について、監査サーバ４０に指示を送る、監査操作指示（９５３）を実行する。

一方、監査操作指示を受けた監査サーバ４０および分散台帳ノード１４は、互いにやり取りを行って、監査を実行（９５４）する。本監査の内容については図１０から図１３に基づき後述する。

続いて、監査サーバ４０が監査結果をクライアント５４に応答する一方、クライアント５４は、上述の監査ＵＩ５００（図１４）の監査結果表示領域５４０に監査結果を表示し（９５５）、処理を終了する。
＜フロー例：整合性監査＞
図１０はデータの監査実行（９５４）における監査内容の一部であり、データ整合性監査のフロー例を示す図である。

まず、監査サーバ４０は、データカタログ２２１から、監査対象の機微データに関するメタデータを取得（１００１）する。

次に、監査サーバ４０は、タスク一覧２２２を参照し、監査対象となる機微データを用いたタスクを取得（１００２）する。

次に、監査サーバ４０は、タスク実行結果から得られた結果データが正しいかを確認（１００３）する。この確認の手法としては、例えば、分散台帳２２０で当該機微データに対するタスク処理に関して保持するトランザクション（の内容）と、データ関係性２２３が示す当該タスクの結果データ８０２とを照合し、一致するか確認するものを想定できる。

次に、監査サーバ４０は、１００３の結果が正しい旨を示すものであれば、データ関係性２２３の正しさの保証８０４に正しい旨の値（図８でのチェック）を書き込む。

また、監査サーバ４０は、結果データ用いて更に解析が行われているか、タスク一覧２２２やデータ関係性２２３にて確認し、それがある場合は（１００４：ＹＥＳ）、そのデータを監査対象として１００１に戻る。一方、ない場合（１００４：ＮＯ）、監査サーバ
４０は、監査結果を監査ＵＩ５００の監査結果表示領域５４０に表示し（１００５）、処理を終了する。
＜フロー例：削減監査＞
図１１はデータの監査実行（９５４）における監査内容の一部であり、データ削除監査のフロー例を示す図である。

はじめに、監査サーバ４０は、データカタログ２２１から、監査対象となる機微データ管理システムのメタデータを取得（１１０１）する。

次に、監査サーバ４０は、監査対象の機微データが正しく削除されているかを確認（１１０２）する。この確認は、例えば、分散台帳２２０で当該機微データに対する削除処理に関して保持するトランザクション（の内容）の存在と、データカタログ２２１における該当機微データの不存在を確認するものを想定できる。

次に、監査サーバ４０は、タスク一覧２２２から、監査対象の機微データを用いたタスクを探索し、当該タスクある場合（１１０３：ＹＥＳ）、新たな監査対象として１１０１に戻る。

一方、ない場合（１１０３：ＮＯ）、監査サーバ４０は、監査ＵＩ５００の監査結果表示領域５４０に監査結果を表示し（１１０４）、処理を終了する。
＜フロー例：同意情報監査＞
図１２はデータの監査実行（９５４）における監査内容の一部であり、データ同意情報の監査フローの例を示す図である。

まず、監査サーバ４０は、データカタログ２２１から、監査対象の機微データに関するメタデータを取得（１２０１）する。

次に、監査サーバ４０は、分散台帳２２０におけるトランザクションから、当該機微データに関するアクセス権の同意情報の書き換え履歴を取得（１２０２）する。

次に、監査サーバ４０は、同意情報の変更履歴を監査（１２０３）する。この監査は、例えば、分散台帳２２０で当該機微データに対する同意情報に関してステップ１２０２で得ている書き換え履歴（の内容）と、データカタログ２２１における該当機微データの同意情報６０３の内容とが一致するか判定するものを想定できる。

次に、監査サーバ４０は、更に前の変更履歴があるかを確認（１２０４）し、ある場合（１２０４：ＹＥＳ）、処理を１２０２にもどる。

一方、ない場合（１２０４：ＮＯ）、監査サーバ４０は、監査ＵＩ５００の監査結果表示領域５４０に監査結果を表示し（１２０５）、処理を終了する。
＜フロー例：データアクセス権監査＞
図１３はデータの監査実行（９５４）における監査内容の一部であり、データアクセス権の監査フローの例を示す図である。

まず、監査サーバ４０は、データカタログ２２１から、監査対象の機微データに関するメタデータを取得（１３０１）する。

次に、監査サーバ４０は、分散台帳２２０におけるトランザクションから、上述の機微データに関するアクセス権の項目の書き換え履歴を取得（１３０２）する。

次に、監査サーバ４０は、アクセス権の申請および承認情報の監査（１３０３）をする。この場合の監査としては、例えば、分散台帳２２０で当該機微データに対するアクセス権付与に関してステップ１３０２で得ている書き換え履歴（の内容）と、データカタログ２２１における該当機微データのアクセス権６０４の内容とが一致するか判定するものを想定できる。

次に、監査サーバ４０は、更に前の書き換え履歴があるかを確認（１３０４）し、ある場合（１３０４：ＹＥＳ）、処理を１３０２に戻す。

一方、ない場合（１３０４：ＮＯ）、監査サーバ４０は、監査ＵＩ５００の監査結果表示領域５４０に監査結果を表示し（１３０５）、処理を終了する。

以上、本発明を実施するための最良の形態などについて具体的に説明したが、本発明はこれに限定されるものではなく、その要旨を逸脱しない範囲で種々変更可能である。

こうした本実施形態によれば、機微データの提供者は、提供先に関する利活用の同意情報の剥奪やデータ削除等が正しく行われたことを確認可能であり、正しく安全に保管、利活用されていることを知ることができる。すなわち、利活用される機微データをその提供者の意図に沿って、検証可能かつ正しく管理可能となる。

本明細書の記載により、少なくとも次のことが明らかにされる。すなわち、本実施形態の機微データ管理システムにおいて、前記組織のノードは、前記機微データに対する各種処理を、Ｔｒｕｓｔｅｄ Ｅｘｅｃｕｔｉｏｎ Ｅｎｖｉｒｏｎｍｅｎｔを用いて実行するものである、としてもよい。

これによれば、セキュアかつ真正性を保った処理が保証されることとなる。ひいては、利活用される機微データをその提供者の意図に沿って、より検証可能かつ正しく管理可能となる。

また、本実施形態の機微データ管理システムにおいて、前記組織のノードは、前記処理要求として、前記機微データの提供先たる前記組織に対する、当該機微データの提供者の意向であって、当該機微データの削除または利用権限の剥奪の要求を受けた場合、前記Ｔｒｕｓｔｅｄ Ｅｘｅｃｕｔｉｏｎ Ｅｎｖｉｒｏｎｍｅｎｔ上で、当該処理要求に対応する処理を実行し、当該処理の経緯に関するログを前記分散台帳に格納するものである、としてもよい。

これによれば、機微データの削除や利用権限剥奪といった各処理をセキュアかつ真正性を保って実行可能となる。ひいては、利活用される機微データをその提供者の意図に沿って、より検証可能かつ正しく管理可能となる。

また、本実施形態の機微データ管理システムにおいて、前記組織のノードは、前記機微データを起点に前記処理により順次生成されていく、一連のＮ次データの関係性を前記処理の経緯に関するログとして分散台帳にて管理するものである、としてもよい。

これによれば、機微データに関する処理で順次生じたデータの関係性を改竄不可能に管理可能となる。ひいては、利活用される機微データをその提供者の意図に沿って、より検証可能かつ正しく管理可能となる。

また、本実施形態の機微データ管理システムにおいて、前記機微データの利活用に関する監査用のノードは、分散台帳で保持する前記メタデータに基づいて監査対象の機微デー
タを特定して、前記分散台帳上で保持する当該機微データの処理のトランザクションを特定し、当該トランザクションと、前記機微データの前記ログが示す経緯とを照合することで、機微データを起点にした前記関係性の正しさ、または、機微データの正しさに関する監査処理を実行するものである、としてもよい。

これによれば、改竄不可能な上述の関係性の情報に基づいた各種監査が可能となる。ひいては、利活用される機微データをその提供者の意図に沿って、より検証可能かつ正しく管理可能となる。

また、本実施形態の機微データ管理方法において、前記組織のノードが、前記機微データに対する各種処理を、Ｔｒｕｓｔｅｄ Ｅｘｅｃｕｔｉｏｎ Ｅｎｖｉｒｏｎｍｅｎｔを用いて実行する、としてもよい。

また、本実施形態の機微データ管理方法において、前記組織のノードが、前記処理要求として、前記機微データの提供先たる前記組織に対する、当該機微データの提供者の意向であって、当該機微データの削除または利用権限の剥奪の要求を受けた場合、前記Ｔｒｕｓｔｅｄ Ｅｘｅｃｕｔｉｏｎ Ｅｎｖｉｒｏｎｍｅｎｔ上で、当該処理要求に対応する処理を実行し、当該処理の経緯に関するログを前記分散台帳に格納する、としてもよい。

また、本実施形態の機微データ管理方法において、前記組織のノードが、前記機微データを起点に前記処理により順次生成されていく、一連のＮ次データの関係性を前記処理の経緯に関するログとして分散台帳にて管理する、としてもよい。

また、本実施形態の機微データ管理方法において、前記機微データの利活用に関する監査用のノードが、分散台帳で保持する前記メタデータに基づいて監査対象の機微データを特定して、前記分散台帳上で保持する当該機微データの処理のトランザクションを特定し、当該トランザクションと、前記機微データの前記ログが示す経緯とを照合することで、機微データを起点にした前記関係性の正しさ、または、機微データの正しさに関する監査処理を実行する、としてもよい。

１ 機微データ管理システム
２ 分散台帳ネットワーク
３ 処理依頼組織
４ データ保有組織
５ 監査組織
１０ 分散台帳ノード（処理依頼組織）
１２ 分散台帳ノード（データ保有組織）
１５ 分散台帳ノード（監査組織）
２０ タスク処理装置
３０ プライベートストレージ
４０ 監査サーバ
５０ クライアント（処理依頼組織）
５２ クライアント（データ保有組織）
５５ クライアント（監査組織）
２１０ 記憶部
２１１ プログラム
２１２ データ管理スマコン
２１３ タスク管理スマコン
２２０ 分散台帳
２２１ データカタログ
２２２ タスク一覧
２２３ データ関係性
２３０ ステートＤＢ
２４０ 演算部
２５０ メモリ
３１０ 記憶部
３１１ プログラム
３３０ 演算部
３３１ 暗号化領域作成部
３４０ メモリ
３４１ 暗号化領域
３５０ 通信部
４１０ 記憶部
４１１ プログラム
４１２ ユーザインターフェイス提供プログラム
４１３ 監査実行プログラム
４３０ 演算部
４３１ メモリ
４３２ 通信部
５１０ 記憶部
５１１ プログラム
５１２ クライアントユーザインターフェイス
５１３ ユーザ命令送受信部
５３０ 演算部
５３１ メモリ
５３２ 通信部

Claims (10)

1. 複数の組織により機微データの利活用を行う分散台帳システムであって、
   前記組織それぞれのノードは、自身の分散台帳において、各組織が所有する機微データのメタデータを保持し、プライベートストレージにおいて、自組織が所有者となっている機微データの実データを保持して、
   前記機微データに対する利用権限の申請および承認のワークフローをスマートコントラクトにより実行し、当該利用権限に関するワークフローの結果を前記分散台帳に格納する処理と、前記プライベートストレージに保管する機微データに関して処理要求を受けた場合、当該機微データに対する前記利用権限を確認し、当該利用権限に応じて処理を実行して、当該処理の経緯に関するログを分散台帳に格納し、前記処理の結果のみを前記処理要求の発信元に応答する処理を実行するものである、
   ことを特徴とする機微データ管理システム。
2. 前記組織のノードは、
   前記機微データに対する各種処理を、Ｔｒｕｓｔｅｄ Ｅｘｅｃｕｔｉｏｎ Ｅｎｖｉｒｏｎｍｅｎｔを用いて実行するものである、
   ことを特徴とする請求項１に記載の機微データ管理システム。
3. 前記組織のノードは、
   前記処理要求として、前記機微データの提供先たる前記組織に対する、当該機微データの提供者の意向であって、当該機微データの削除または利用権限の剥奪の要求を受けた場合、前記Ｔｒｕｓｔｅｄ Ｅｘｅｃｕｔｉｏｎ Ｅｎｖｉｒｏｎｍｅｎｔ上で、当該処理要求に対応する処理を実行し、当該処理の経緯に関するログを前記分散台帳に格納するものである、
   ことを特徴とする請求項２に記載の機微データ管理システム。
4. 前記組織のノードは、
   前記機微データを起点に前記処理により順次生成されていく、一連のＮ次データの関係性を前記処理の経緯に関するログとして分散台帳にて管理するものである、
   ことを特徴とする請求項２に記載の機微データ管理システム。
5. 前記機微データの利活用に関する監査用のノードは、
   分散台帳で保持する前記メタデータに基づいて監査対象の機微データを特定して、前記分散台帳上で保持する当該機微データの処理のトランザクションを特定し、当該トランザクションと、前記機微データの前記ログが示す経緯とを照合することで、機微データを起点にした前記関係性の正しさ、または、機微データの正しさに関する監査処理を実行するものである、
   ことを特徴とする請求項４に記載の機微データ管理システム。
6. 複数の組織により機微データの利活用を行う分散台帳システムにおいて、
   前記組織それぞれのノードが、
   自身の分散台帳において、各組織が所有する機微データのメタデータを保持し、プライベートストレージにおいて、自組織が所有者となっている機微データの実データを保持して、
   前記機微データに対する利用権限の申請および承認のワークフローをスマートコントラクトにより実行し、当該利用権限に関するワークフローの結果を前記分散台帳に格納する処理と、前記プライベートストレージに保管する機微データに関して処理要求を受けた場合、当該機微データに対する前記利用権限を確認し、当該利用権限に応じて処理を実行して、当該処理の経緯に関するログを分散台帳に格納し、前記処理の結果のみを前記処理要
   求の発信元に応答する処理、
   を実行することを特徴とする機微データ管理方法。
7. 前記組織のノードが、
   前記機微データに対する各種処理を、Ｔｒｕｓｔｅｄ Ｅｘｅｃｕｔｉｏｎ Ｅｎｖｉｒｏｎｍｅｎｔを用いて実行する、
   ことを特徴とする請求項６に記載の機微データ管理方法。
8. 前記組織のノードが、
   前記処理要求として、前記機微データの提供先たる前記組織に対する、当該機微データの提供者の意向であって、当該機微データの削除または利用権限の剥奪の要求を受けた場合、前記Ｔｒｕｓｔｅｄ Ｅｘｅｃｕｔｉｏｎ Ｅｎｖｉｒｏｎｍｅｎｔ上で、当該処理要求に対応する処理を実行し、当該処理の経緯に関するログを前記分散台帳に格納する、
   ことを特徴とする請求項７に記載の機微データ管理方法。
9. 前記組織のノードが、
   前記機微データを起点に前記処理により順次生成されていく、一連のＮ次データの関係性を前記処理の経緯に関するログとして分散台帳にて管理する、
   ことを特徴とする請求項７に記載の機微データ管理方法。
10. 前記機微データの利活用に関する監査用のノードが、
    分散台帳で保持する前記メタデータに基づいて監査対象の機微データを特定して、前記分散台帳上で保持する当該機微データの処理のトランザクションを特定し、当該トランザクションと、前記機微データの前記ログが示す経緯とを照合することで、機微データを起点にした前記関係性の正しさ、または、機微データの正しさに関する監査処理を実行する、
    ことを特徴とする請求項９に記載の機微データ管理方法。

Images