JP4822842B2 - 匿名化識別情報生成システム、及び、プログラム。 - Google Patents

Description

本発明は、遺伝情報解析、特に、家系情報の解析を伴う遺伝情報の解析に適した匿名化識別情報の生成システムに関する。

近年、オーダーメイド治療などの実現に向け、遺伝子解析等の臨床研究が進められている。また、これら遺伝子解析をより有効なものとするために、医療機関が蓄積する被験者情報（家系情報）等を解析者が把握することは必要不可欠となっている。

しかしながら、家系情報等の被験者情報は個人のプライバシ情報であり、これらの被験者情報と検体識別情報（以下、検体ＩＤ）との関連性が解析者に露呈すると、プライバシが侵害されてしまう。

プライバシの侵害を防止する技術として、特許文献１には、検体の取得、被験者情報の収集等を行う匿名化システムが開示されている。この匿名化システムは、病院等に設置され、検体ＩＤ（非匿名）から匿名化識別情報（以下、匿名化ＩＤ）に識別情報（以下、ＩＤ）を振り替え、そのＩＤの振替を対応表として保管する。そして、診療情報等から個人特定情報（氏名、住所等）を削除したものを匿名化ＩＤと関連付けた対応表を作成し、病院側が保管しておくことにより、ブライバシ保護を実現している。

また、特許文献２には、病院と解析者の結託による不正行為に対処するために、病院と解析者の間に物理的・論理的に分離された中立な機関として匿名化端末を設置することにより、ブライバシ保護を実現する技術が開示されている。
特開２００２‐３１２３６１号公報 特開２００４‐２８７８４７号公報

しかしながら、特許文献１及び特許文献２に開示された方法では、病院から解析者へ解析を依頼する際、或いは、解析者が他の研究機関（解析者）に解析を依頼する際に、匿名化ＩＤを振る必要がある。このため、ＩＤが増加してしまい、管理が煩雑となる。

さらに、“検体ＩＤ（非匿名）と匿名化ＩＤ”および“匿名化ＩＤと診療情報”との関連性がわからなくなることによるヒューマンエラーが生じやすくなる。このため、匿名化ＩＤと診療情報との関連性を必要に応じて（関連性を確認してもよいプレーヤが）確認可能な仕組みが必要である。また、ＩＤと診療情報との関連性を隠すために、診療情報を解析者には渡さずに、匿名化システムおよび匿名化端末が常に管理する仕組みとしているため、解析者は家系情報などの解析にとって有益な情報を得る際には、その都度、匿名化システムおよび匿名化端末にアクセスして情報を取得する必要があり、一方、匿名化システムおよび匿名化端末は匿名化ＩＤを元に情報を検索・提供する必要が生じ、解析者および匿名化システム・匿名化端末の負荷が大きい。

そのため、診療情報のプライバシの保護を実現しながら、必要な情報を解析者に提供可能な仕組みが必要である。

この発明は、上記実情に鑑みてなされたものであり、プライバシの保護を実現しながら、必要な情報を解析者に提供可能な仕組みを提供とすることを目的とする。

上記目的を達成するため、本発明の第１の観点に係る遺伝情報解析用の匿名化識別情報生成システムは、
遺伝情報を解析する対象の被験者毎に固有の被験者識別情報と各被験者間の親子関係を示す被験者関係情報とを対応付けて記憶する第１のコンピュータ装置と、前記第１のコンピュータ装置とネットワークを介して相互に通信可能に接続される第２のコンピュータ装置と、第３のコンピュータ装置から構成される、匿名化識別情報生成システムであって、
前記第２のコンピュータ装置は、
前記第１のコンピュータ装置からネットワークを介して前記被験者識別情報と前記被験者識別情報に対応付けられている前記被験者関係情報とを取得する情報取得手段と、
前記情報取得手段が取得した前記被験者識別情報に所定の一方向性演算を施して、前記被験者識別情報と１対１で対応する関連情報を生成する関連情報生成手段と、
前記関連情報生成手段が生成した関連情報を含む暗号鍵を用いて前記情報取得手段が取得した前記被験者関係情報を暗号化し、暗号化識別情報を生成する識別情報暗号化手段と、
前記識別情報暗号化手段が生成した前記暗号化識別情報と前記暗号鍵とを連結して被験者関係情報を再生成可能な暗号化情報を生成する暗号化情報生成手段と、
前記暗号化情報生成手段が生成した前記暗号化情報を出力する暗号化情報出力手段と、
を備え、
前記３のコンピュータ装置は、
前記暗号化情報生成手段により生成された暗号化情報を外部記憶媒体から読み取る暗号化情報読み取り手段と、
前記暗号化情報読み取り手段が読み取った前記暗号化情報のうち、前記被験者関係情報を復号する暗号化情報復号手段と、
を備える、
ことを特徴とする。

また、前記第３のコンピュータ装置は、前記第２のコンピュータ装置とネットワークを介して相互に通信可能に接続され、
前記暗号化情報出力手段によって出力された暗号化情報を、前記ネットワークを介して取得する暗号化情報取得手段をさらに備える、
ことを特徴とするようにしてもよい。

さらに、前記匿名化識別情報生成システムにおいて、前記被験者関係情報は、前記被験者の遺伝解析に必要な遺伝情報を含む、ことを特徴とするようにしてもよい。

また、前記匿名化識別情報生成システムにおいて、前記被験者関係情報における前記被験者間の関係は、前記被験者識別情報に基づいて定義する、ことを特徴とするようにしてもよい。

上記目的を達成するため、本発明の第２の観点に係るプログラムは、
ネットワークを介して相互に通信可能に接続されたコンピュータ装置を、
遺伝情報を解析する対象の被験者毎に固有の被験者識別情報と、各被験者間の親子関係を示す被験者関係情報であって前記被験者識別情報に対応付けられている前記被験者関係情報とをネットワークを介して取得する情報取得手段、
前記情報取得手段で取得した前記被験者識別情報に所定の一方向性演算を施して、前記被験者識別情報と１対１で対応する関連情報を生成する関連情報生成手段、
前記関連情報生成手段で生成した関連情報を含む暗号鍵を用いて前記情報取得手段が取得した前記被験者関係情報を暗号化し、暗号化識別情報を生成する識別情報暗号化手段、
前記識別情報暗号化手段で生成した前記暗号化識別情報と前記暗号鍵とを連結して被験者関係情報を再生成可能な暗号化情報を生成する暗号化情報生成手段、
前記暗号化情報生成手段で生成した前記暗号化情報を出力する暗号化情報出力手段、
前記暗号化情報生成手段により生成された暗号化情報を外部記憶媒体から読み取る暗号化情報読み取り手段、
前記暗号化情報読み取り手段が読み取った前記暗号化情報のうち、前記被験者関係情報を復号する暗号化情報復号手段、
として機能させることを特徴とする。

本発明のシステムによれば、プライバシの保護を実現しながら、必要な情報を解析者に提供することができる。

本発明の実施の形態に係る匿名化識別情報生成システムについて、図面を参照して説明する。

本実施の形態に係る匿名化識別情報生成システム１００は、図１に示すように、ネットワーク１０４で相互に接続された病院用情報処理端末１０１と匿名化端末１０２と解析者用情報処理端末１０３、外部記憶媒体１０５とから構成される。

病院用情報処理端末１０１は、病院等に設置され、被験者のＩＤ（識別情報）、被験者の家系情報等の個人情報を記憶・管理する。

解析者用情報処理端末１０３は、家系情報を解析する解析者により使用され、家系情報の解析に使用される。

匿名化端末１０２は、機能的に、病院と解析者の中間に位置し、病院用情報処理端末１０１から提供される検体情報や家系情報を匿名化して解析者用情報処理端末１０３に提供する。

病院用情報処理端末１０１は、図２（Ａ）に示すように、制御部２０１と、ＲＡＭ２０２と、ＲＯＭ２０３と、データベース２０４と、通信部２０５と、バス２０６とから構成される。

制御部２０１は、ＣＰＵ（Ｃｅｎｔｒａｌ Ｐｒｏｃｅｓｓｉｎｇ Ｕｎｉｔ）等から構成され、ＲＡＭ２０２をワークエリアとして使用して、ＲＯＭ２０３に格納された動作プログラムを実行し、データベース２０４に格納された各被験者の遺伝情報を管理する。また、解析が必要となった遺伝情報を匿名化端末１０２に送信する。

ＲＡＭ２０２は、制御部２０１のワークエリアとして機能する。
ＲＯＭ２０３は、制御部２０１の動作プログラムを記憶する。図２（Ｂ）に示すように、ＲＯＭ２０３が記憶する動作プログラムは、データベース化プログラム２１０と送信プログラム２１１とを含む。

データベース化プログラム２１０は、データベース２０４を更新・維持管理するためのプログラムである。送信プログラム２１１は、解析対象の被験者のＩＤ（検体ＩＤ）とその個人情報とを匿名化端末に送信するためのプログラムである。

データベース２０４は、被験者別にその個人情報を格納する。各被験者には、識別情報（ＩＤ）が付与されている。また、個人情報としては、家系情報、住所・氏名・年齢・性別等の情報、診療情報（病歴、投薬歴、治療歴）などの情報を含む。

通信部２０５は、ネットワーク１０４を介して匿名化端末１０２と通信を行う。
バス２０６は、各部間のデータ送受信を伝送する。

匿名化端末１０２は、図３（Ａ）に示すように、制御部３０１と、ＲＡＭ３０２と、ＲＯＭ３０３と、記憶部３０４と、通信部３０５と、バス３０６と、外部メモリインターフェイス３０７とから構成される。

制御部３０１は、ＣＰＵ（Ｃｅｎｔｒａｌ Ｐｒｏｃｅｓｓｉｎｇ Ｕｎｉｔ）等から構成され、ＲＡＭ３０２をワークエリアとして使用して、ＲＯＭ３０３に格納された動作プログラムを実行し、病院用情報処理端末１０１から提供された検体ＩＤと家系情報とを匿名化して、解析者用端末１０３に提供する処理を行う。

ＲＡＭ３０２は、制御部３０１のワークエリアとして機能する。

ＲＯＭ３０３は、制御部３０１の動作プログラムを記憶する。図３（Ｂ）に示すように、ＲＯＭ３０３が記憶する動作プログラムは、匿名化ＩＤ生成プログラム３１０と転送プログラム３１１とを含む。匿名化ＩＤ生成プログラム３１０は、病院用情報処理端末１０１から提供された検体ＩＤと家系情報とを匿名化するためのプログラムである。この匿名化ＩＤは、この匿名化ＩＤを用いて家系図情報を再生することはできるが、検体ＩＤを直接導き出すことができない情報である。ただし、匿名化ＩＤの生成ルールを知る者（匿名化端末１０２）は、匿名化ＩＤから検体ＩＤを特定可能である。転送プログラム３１１は、生成した匿名化ＩＤを１０４に提供するためのプログラムである。

記憶部３０４は、生成した匿名化ＩＤとその元となった情報とを蓄積する。
通信部３０５は、１０４を介して病院用情報処理端末１０１及び解析者用情報処理端末１０３と通信を行う。
バス３０６は、これら各部の間でデータを伝送する。

外部メモリインターフェイス３０７は、制御部３０１で匿名化された検体ＩＤと家系情報とを、解析者用情報処理端末１０３に提供する媒体となるカード式メモリ等の外部記憶媒体１０５に記録するためのインターフェイスである。

解析者用情報処理端末１０３は、図４（Ａ）に示すように、制御部４０１と、ＲＡＭ４０２と、ＲＯＭ４０３と、記憶部４０４と、通信部４０５と、表示部４０６と、入力部４０７と、バス４０８と、外部メモリインターフェイス４０９とから構成される。

制御部４０１は、ＣＰＵ（Ｃｅｎｔｒａｌ Ｐｒｏｃｅｓｓｉｎｇ Ｕｎｉｔ）等から構成され、ＲＡＭ４０２をワークエリアとして使用して、ＲＯＭ４０３に格納された動作プログラムを実行し、匿名化端末１０２から提供された匿名化ＩＤを用いて家系図を再生し、これを表示部４０６に表示する。また、入力部４０７から入力される解析情報などを編集する。

ＲＡＭ４０２は、制御部４０１のワークエリアとして機能する。

ＲＯＭ４０３は、制御部４０１の動作プログラムを記憶する。図５（Ｂ）に示すように、ＲＯＭ４０３が記憶する動作プログラムは、鍵生成プログラム４１０とデータ復号化プログラム４１１と、表示プログラム４１２と、編集プログラム４１３とを含む。鍵生成プログラム４１０は、匿名化ＩＤから家系図を生成する際に使用する鍵を生成する。なお、鍵の技術的意味や生成手順は後述する。

データ復号化プログラム４１１は、生成した鍵を用いて、匿名化ＩＤから家系図情報を生成する。
表示プログラム４１２は、例えば、復号化した家系図情報を含む種々の情報を表示部４０６に表示する。

入力部４０７は、家系図を解析した情報を入力する。
バス４０８は、各部の間のデータを伝送する。

外部メモリインターフェイス４０９は、匿名化端末１０２から提供されるカード式メモリ等の外部記憶媒体１０５から、匿名化された検体ＩＤと家系情報とを読み取るためのインターフェイスである。

次に、上記構成のシステムを用いて、家系図情報を解析する手法（システムの動作）を説明する。

まず、本実施の形態における遺伝情報解析手順の全体像を図５と図６を参照して説明する。

まず、病院において、ある検査対象者（被験者）にＩＤ（検体ＩＤ）を割り当てる。この検体ＩＤは、被験者に固有のＩＤである。

また、この被験者の、被験者情報を被験者ＩＤに対応付けてデータベース２０４に登録する。被験者情報は、被験者のプライバシ情報であり、例えば、家系図情報、住所情報、氏名情報、年齢情報、性別情報、診療情報等の情報（病歴情報、診療履歴情報、投薬履歴情報等）等、個人を特定すると共に被験者の治療などに有効な種々の情報である。このうち、家系図情報は、親子関係等を定義し、家系図を生成できるデータである。

ある被験者について、遺伝情報の解析が必要となった場合、医師等は、病院用情報処理端末１０１を操作して、その被験者の被験者情報のうち解析に必要な情報のみを抽出する。例えば、個人を特定しうる情報を除いた、家系情報、年齢、性別、診療情報の一部などを抽出する。以下では、抽出した被験者情報を抽出被験者情報と呼ぶ。

続いて、遺伝情報の解析を依頼するため、検体ＩＤと抽出被験者情報とを対応付けて病院用情報処理端末１０１から匿名化端末１０２に送付する（ステップＳ１）。

例えば、親子の関係にあるＡさん（親）とＣさん（子）に関する遺伝情報を解析する必要がある場合には、Ａさん（親）とＣさん（子）の検体ＩＤとＡさんとＣさんの親子関係を示す家系図情報や、Ａさんの性別・年齢・病歴などの情報、Ｃさんの性別・年齢・病歴などの情報を対応付けて送信する。

匿名化端末１０２は、送付された情報を受信して記憶部３０４に格納する。続いて、匿名化端末１０２は、提供された検体ＩＤから、検体ＩＤとの関連性を示す情報である関連情報を生成し、記憶部３０４に格納する（ステップＳ２）。さらに、匿名化端末１０２は、関連情報を含む任意の匿名化ＩＤ’を生成する（ステップＳ３）。検体ＩＤと匿名化ＩＤ’との関連性は、検体ＩＤと匿名化ＩＤ’に埋め込まれている関連情報との対応表を持つ者しかわからない。

続いて、家系図情報を処理して家系情報を生成する（ステップＳ４）。ここで、家系情報は、家系図情報を処理して、後述する匿名化ＩＤのみから家系図を生成可能とするような情報である。

続いて、匿名化ＩＤ’を暗号鍵として用いて、家系情報を含む抽出被験者情報を暗号化し暗号化付加情報を生成する（ステップＳ５）。

続いて、匿名化ＩＤ’と暗号化付加情報とを連結して匿名化ＩＤを生成する（ステップＳ６）。この匿名化ＩＤは、この匿名化ＩＤから家系情報を再生することはできるが、検体ＩＤを推定することはできない情報である。

次に、匿名化端末１０２は、生成した匿名化ＩＤを外部メモリインターフェイス３０７を介して外部記憶媒体１０５に記録する（ステップＳ７）。そして、匿名化端末１０２の利用者は、その外部記憶媒体１０５を解析者用情報処理端末１０３の利用者に提供する。

次に、解析者用情報処理端末１０３の利用者は、匿名化端末１０２の利用者から送付された、その外部記憶媒体１０５を解析者用情報処理端末１０３の外部メモリインターフェイス４０９にセットする。そして、解析者用情報処理端末１０３は、この外部記憶媒体１０５が外部メモリインターフェイス４０９にセットされたことを検知して、次のステップＳ８の処理を開始する。

解析者用情報処理端末１０３は、外部記憶媒体１０５に記録された匿名化ＩＤを読み取り、記憶部４０４に格納し、匿名化ＩＤ’と暗号化付加情報とに分割する（ステップＳ８）。
次に、解析者用情報処理端末１０３は、匿名化ＩＤ’と予め格納されている秘密情報、とから付加情報復号・検証鍵を生成する（ステップＳ９）。この付加情報復号・検証鍵は、暗号化付加情報から家系情報を復号すると共に復号結果が正しいか否かを検証可能な鍵である。

ついで、復号及び検証した付加情報から家系図を生成する（ステップＳ１１）。解析用端末１０３では、家系情報或いは家系図から検体ＩＤを特定することはできず、解析している家系図がどこのだれのものであるか、或いは、どの検体ＩＤに対応するものであるかを特定することができない。

解析者は、再生した家系図及び家系図に現れる人物の抽出被験者情報から、遺伝情報を解析する（ステップＳ１２）。

解析者は、解析が終了すると、解析結果を匿名化ＩＤ’と共に、外部メモリインターフェイス４０９を介して、外部記憶媒体１０５に記録する（図６；ステップＳ１３）。そして、解析者は、その外部記憶媒体１０５を匿名化端末１０２の利用者に提供する。

匿名化端末１０２の利用者は、その外部記憶媒体１０５を匿名化ＩＤ’と共に、解析情報処理装置１０３から受け取ると、匿名化端末１０２の外部メモリインターフェイス３０７にその外部記憶媒体１０５をセットする。そして、匿名化端末１０２は、この外部記憶媒体１０５が外部メモリインターフェイス３０７にセットされたことを検知して、次のステップＳ１４の処理を開始する。

匿名化端末１０２は、匿名化ＩＤ’から検体ＩＤを再生し（ステップＳ１４）、再生した検体ＩＤと解析者用情報処理端末１０３から受け取った解析結果とを病院用情報処理端末１０１に送信する（ステップＳ１５）。

病院用情報処理端末１０１は、検体ＩＤと解析結果とを対応付けてデータベース２０４に格納し（ステップＳ１６）、以後の診療・治療等に活用する。

次に、図５と図６を参照して説明した遺伝情報解析手順を、詳細に説明する。

まず、病院用情報処理端末１０１は、データベース２０４に、各被験者のＩＤ（検体ＩＤ）と関連する被験者情報を格納している。前述のように、被験者情報は、被験者のプライバシ情報であり、例えば、家系図情報、住所情報、氏名情報、年齢情報、性別情報、診療情報等の情報（病歴情報、診療履歴情報、投薬履歴情報等）等、個人を特定すると共に被験者の治療などに有効な種々の情報である。このうち、家系図情報は、家系図を検体ＩＤの組み合わせで示したものである。

図７（ａ）に検体ＩＤのデータ構成の一例を示す。この例では、各検体ＩＤは、機関区分コード、検体区分コード、日付コード、連番コードから構成される。機関区分コードは病院の識別コードである。検体区分コードは、検体の種別（性別・年齢等の属性）を識別するコードである。日付コードは、その被験者の受付年月日などを特定するコードであるる。連番コードは、その受付日のうちの何番目の受け付け者であるかを示すコードである。ただし、コード体系自体は任意である。

また、家系図情報は、家系図を検体ＩＤの組み合わせで示すための情報であり、検体ＩＤ同士の関係を示す情報である。
例えば、母Ａと父Ｂと、子Ｃ，Ｄ、Ｅがいる場合に、それぞれの検体ＩＤを、ＩＤ_Ａ、ＩＤ_Ｂ，ＩＤ_Ｃ，ＩＤ_Ｄ、ＩＤ_Ｅと表現したときに、家系図は図８（Ａ）に示すように構成される。これが、１ファミリー分の家系図であり、ＩＤ_ＡとＩＤ_Ｂ、及び、ＩＤ_ＣとＩＤ_ＤとＩＤ_Ｅとがそれぞれ同一の１世代である。

医師などは、遺伝情報の解析が必要になると、解析が必要な被験者の検体ＩＤを特定し、さらに、被験者情報のうち、解析に必要な情報を抽出して抽出被験者情報を生成する。

例えば、図８（Ａ）の家系図において、ＡさんとＣさんの遺伝情報の分析が必要な場合には、例えば、Ｂさんを除く、Ａ、Ｃ〜Ｅさんの検体ＩＤと抽出被験者情報とが、匿名化端末１０２に送信される。必要に応じて、全員の情報を送っても、ＡさんとＣさんの情報のみを送ってもよい。

次に、病院用情報処理端末１０１の制御部２０１は、医師などの操作に従って、検体ＩＤと抽出被験者情報とを対応付けて、通信部２０５を介して匿名化端末１０２に送付する（ステップＳ１）。

匿名化端末１０２の制御部３０１は、病院用情報処理端末１０１から通信部３０５を介してこれらの情報を受信し、記憶部３０４に格納する。

制御部３０１は、続いて、匿名化ＩＤを生成する処理（ステップＳ２〜Ｓ６）を実行する。

まず、制御部３０１は、受信した検体ＩＤを所定の一方向性関数に適用して、そのハッシュ値を求め、これを関連情報とする（ステップＳ２）。制御部３０１は、検体ＩＤと関連情報との対応関係を示す情報を記憶部３０４に格納する。この関連情報は、検体ＩＤとの関連性を示す情報である。なお、ハッシュ値を所定のルールで暗号化したり、圧縮したり、乱数を発生してこれを付加してランダム性を持たせたりしてもよい。このようにして、例えば、図７（Ａ）に示す検体ＩＤから、図７（Ｂ）に示すような関連情報を生成する。

次に、制御部３０１は生成した関連情報を含む任意の匿名化ＩＤ’を生成する（ステップＳ３）。検体ＩＤと匿名化ＩＤ’との関係は、検体ＩＤと関連情報の対応表を持つ者（対応関係を知る者）しかわからない。図７（Ｃ）に、検体ＩＤの機関区分と検体区分に関連情報を連結して生成した匿名化ＩＤ’の例を示す。ただし、関連情報に連結するデータは任意である。また、連結のルールが確定していれば、関連情報は連続している必要はなく、匿名化ＩＤ’内で分割されて分散していてもよい。

次に、制御部３０１は、家系情報を生成する。即ち、図８（Ａ）に示すような検体ＩＤで定義されている家系情報を、上述と同様の手法により、図８（Ｂ）に示すような匿名化ＩＤ’で定義される家系情報に変換する。

続いて、家系図情報から家系情報を生成する。この家系情報は、匿名化ＩＤ’間の関係を示す情報である。
この家系情報の形態は任意であるが、図９（ａ）、（ｂ）に示すような境界情報Ｗを用いて形成することができる。
この境界情報の左側が親の情報を、右側が子の情報を示す
例えば、図８（Ｂ）の家系図上で、匿名化ＩＤ_Ａ’（ＩＤ_Ｂ’も同様である）の家系情報は、図９（ａ）に示すように、境界情報Ｗの右側に子供として、匿名化ＩＤ_Ｃ’、ＩＤ_Ｄ’、ＩＤ_Ｅ’がいることを示す。同様に、図８（Ｂ）の家系図上で、匿名化ＩＤ_Ｃ’（ＩＤ_Ｄ’とＩＤ_Ｅ’も同様である）の家系情報は、図９（ｂ）に示すように、境界情報Ｗの左側に親として、匿名化ＩＤ_Ａ’とＩＤ_Ｂ’がいることを示す。

続いて、制御部３０１は、匿名化ＩＤ’を暗号鍵として用いて、家系情報やその他の抽出被験者情報を暗号化し、これを、暗号化付加情報とする（ステップＳ５）。さらに、この際、適当なビット数の乱数を付加し、例えば、ＥｌＧａｍａｌ暗号などにより暗号化する。

例えば、注目している被験者がＡさんであり、その匿名化ＩＤ_Ａ’が図９（ａ）に示す内容であったとする。次に、図８（Ｂ）の家系図情報によれば、Ａさんの匿名化ＩＤ_Ａ’の家系情報は図１０（ｂ）に示すように、境界情報Ｗと匿名化ＩＤ_Ｃ’と、匿名化ＩＤ_Ｄ’と、匿名化ＩＤ_Ｅ’とを連結したものとなる。さらに、ここに、Ａさんの性別、年齢、病歴などのその他の被験者情報を結合する。

制御部３０１は、所定ビット数の乱数を発生し、図１０（ｃ）に示すように、この乱数を家系情報に結合する。なお、図１０（ｃ）は例示であり、乱数のビット数や連結位置や連結手法は任意である。

続いて、図１０（ｃ）に示す乱数が連結された家系情報を図１０（ａ）に示す匿名化ＩＤ_Ａ’で暗号化し、図１０（ｄ）に例示するような暗号化付加情報を生成する。

なお、遺伝情報の解析の対象がＡさんとＣとの関するものであれば、Ｃさんに関しても同様の処理を行って、匿名化ＩＤ_Ｃ’用の暗号化付加情報を生成する。

続いて、匿名化ＩＤ’と生成した暗号化付加情報とを連結して図１１（ａ）、（ｂ）に示すように匿名化ＩＤを生成する。即ち、暗号化鍵と暗号化の結果とを結合して匿名化ＩＤを生成する。

制御部３０１は、このようにして生成した匿名化ＩＤ、例えば、ＩＤ_ＡとＩＤ_Ｃとを外部メモリインターフェイス３０７を介して外部記憶媒体１０５に記録する（ステップＳ７）。

解析者用情報処理端末１０３の制御部４０１は、外部記憶媒体１０５に記録された匿名化ＩＤを外部メモリインターフェイス４０９を介して読み取り、記憶部４０４に一旦格納する。

続いて、制御部４０１は、ＲＡＭ４０２をワークエリアとして動作して、まず、受信した匿名化ＩＤを、例えば、匿名化ＩＤ’と暗号化付加情報とに分割する（ステップＳ８）。例えば、受信した図１１に示す各匿名化ＩＤを匿名化ＩＤ_Ａ’とその暗号化付加情報、及び匿名化ＩＤ_Ｃ’とその暗号化付加情報に分割する。これは、匿名化ＩＤ’のビット数が予め定められていれば、ＭＳＢより所定ビット数を匿名化ＩＤとし、残りを暗号化付加データとすることにより容易に実施可能である。

次に、権限ある解析端末に予め与えられている「秘密情報」を用いて、暗号化ＩＤ’を処理して、付加情報復号・検証鍵を生成する（ステップＳ９）。
この付加情報復号・検証鍵は、家系情報などを復号すると共に復号結果が正しいかどうか検証可能とする鍵である。
なお、「秘密情報」は、例えば、解析者が作成し、匿名化端末１０２が承認する方法、匿名化端末１０２が生成して配布する方法、センタを設けてそこから配布する方法などがある。また、付加情報復号・検証鍵自体を、解析者が作成し、匿名化端末１０２が承認する方法、匿名化端末１０２が生成して配布する方法、鍵センタを設けてそこから配布する等の方法をとってもよい。

次に、この付加情報復号・検証鍵を用いて暗号化付加情報を復号する。さらに、復号した暗号化付加情報をつきあわせることによりその正当性をチェックする。例えば、匿名化ＩＤ_Ａ’と匿名化ＩＤ_Ｃ’を考えると、匿名化ＩＤ_Ａ’の暗号化付加情報の復号化情報に含まれている家系情報と、匿名化ＩＤ_Ｃ’の暗号化付加情報の復号化情報に含まれている家系情報に矛盾があるか否かを判別し、復号したデータを検証する。

例えば、図８（Ｂ）の家系図を前提とすれば、匿名化ＩＤ_Ａ’については、復号化した暗号化付加情報から匿名化ＩＤ_Ｃ’が「子」であることを判別でき、一方、匿名化ＩＤ_Ｃ’については、復号化した暗号化付加情報からＩＤ_Ａ’が「親」であることを判別できたとすれば、両者に矛盾が無く、検証ＯＫである。従って、図１２（又は図８（Ｂ））に示すような、家系図を再生することができる。制御部４０１は、再生した家系図及び各人の性別・年齢や病歴などの情報を記憶部４０４に格納する。従って、このように復号・検証鍵を匿名化ＩＤ’から生成し、それを用いて復号することで、匿名化ＩＤ’と付加情報の組み合わせの検証を同時に行うことができ、ヒューマンエラーを防止することができる。

次に、解析者は、再生された家系図及びその他の情報を表示部４０６に表示させ、遺伝情報を解析する（ステップＳ１２）。また、解析結果を入力部４０７から入力・編集する。

解析者は、解析結果を、匿名化ＩＤ_Ａ’及び匿名化ＩＤ_Ｃ’と共に、外部メモリインターフェイス４０９を介して外部記憶媒体１０５に記録する（ステップＳ１３）。そして、解析者は、その外部記憶媒体１０５を、匿名化端末１０２の利用者に提供する。

次に、匿名化端末１０２の利用者は、その外部記憶媒体１０５を、匿名化端末１０２の外部メモリインターフェイス３０７にセットする。そして、匿名化端末１０２の制御部２０１は、外部メモリインターフェイス３０７を介して、外部記憶媒体１０５から匿名化ＩＤ_Ａ’と匿名化ＩＤ_Ｃ’とを読み取り、その匿名化ＩＤ_Ａ’と匿名化ＩＤ_Ｃ’とから、対応データに基づいて、ＩＤ_ＡとＩＤ_Ｃとを再生し、これを病院用情報処理端末１０１に送信する。

以上説明した手順により、解析者に個人を特定する情報を与えることなく、遺伝情報の解析が可能となる。また、解析者が病院と仮に結託しても、病院側に匿名化ＩＤ’を提供しても検体ＩＤを特定できないので、個人を特定することができない。

さらに、解析者は、受信した情報から家系情報を復元し、また、被験者の属性や病歴を知ることができる。即ち、必要な情報がそろった状態で解析作業を行うことができ、作業が容易であり、ミスの発生も少ない。

なお、この発明は上記実施の形態に限定されず、種々の変形及び応用が可能である。

例えば、上記実施の形態においては、家系情報を連結記号と匿名化ＩＤ’とを連結することにより形成したが、例えば、匿名化ＩＤ’のハッシュ値を用いてもよい。但し、復号時に、匿名化ＩＤ’のハッシュ値を求めて、連結されているデータのいずれが、どの匿名化ＩＤ’のハッシュ値に一致しているのかを判別することにより、匿名化ＩＤ’を特定する必要がある。

また、暗号化の手法や復号の手法も任意である。
例えば、次に式で示すような、解析者端末１０３で暗号化鍵を生成する手法も有効である。
解析者用情報処理端末１０３は、数１に示すように、０から素数ｐの整数値からなる集合Ｚｌのうちからランダムに選択して、これを秘密鍵Ｋｅｙpriv1とする。

次に、数２に示すように、位数がｐの巡回群Ｇでの原始元を利用して秘密鍵Ｋｅｙpriv1を暗号化して、公開鍵Ｋｅｙpubを生成する。

解析記者用情報処理端末１０３は、この公開鍵を匿名化端末１０２に送信する。
匿名化端末１０２は、病院用情報処理端末１０１より、被験者の検体ＩＤと抽出被験者情報Mprivacyとを受信し、数３で表される匿名化ＩＤを求め、解析者用情報処理端末１０３へ送る。

ここで、ID'は 関連情報を埋め込んだ匿名化ＩＤ’である。また、||は、データの結合を示す。ｒは、数４に示すように、集合Ｚｌに属す乱数である。ここで、ｒＧは、位数がｑの巡回群Ｇでの原始元を利用して求められる。ｍprivacyは、家系図情報等を含む抽出被験者情報である。また、抽出被験者情報ｍprivacyと排ハッシュ関数Ｈ２で暗号化したデータとの排他的論理和（Aで表す）を求める。
H1(ID')は、匿名化ＩＤ’を第１のハッシュＨ１に適用した値である。
（ｅ（Keypub, H1(ID'))^ｒ）は、Keypubと H1(ID')による暗号化である。
さらに、H2（ｅ（Keypub, H1(ID'))^ｒ）は、ｅ（Keypub, H1(ID'))^ｒ 第２のハッシュ関数Ｈ２に適用した値である。

これに対し、解析者端末１０３は、匿名化ＩＤを受領して、次のようにして抽出被験者情報を復号する。
数５により、暗号キーｃを求める。

続いて、抽出被験者情報ｍprivacyを数６に従って抽出する。

このような形態によっても、安全に抽出被験者情報を解析者用情報処理端末１０３に送信し、かつ、解析者用情報処理端末１０３で必要な情報を得る得ることができる。

また、上記実施の形態においては、解析者用情報処理端末１０３は、匿名化ＩＤ’と予め与えられた秘密情報とに基づいて、暗号化付加情報を復号したが、その手法は任意である。

上記実施の形態においては、暗号化符号化情報として、連結情報Ｗに連結した匿名化ＩＤ’を連結した。この様な手法は、１ファミリー単位で、暗号化付加情報を匿名化端末１０２から解析者情報処理端末１０３へ外部記憶媒体１０５に記録して提供する場合に、特に有効である。

但し、この発明はこれに限定されず、例えば、バッチ処理等で実施する場合などにおいて、複数の（又は全ての）ＩＤについてまとめて家系情報を送信するような場合には、個々に匿名化ＩＤ’を送信するのではなく、図１３に示すように、連結情報にファミリーの識別情報を付すようにしてもよい。
例えば、図１３では、ＩＤ_Ａ’〜ＩＤ_Ｅ’が、「１」番のファミリーに属しており、ＩＤ_Ａ’とＩＤ_Ｂ’に関しては子の情報が存在し、ＩＤ_Ｃ’〜ＩＤ_Ｅ’に関しては、親の情報が存在することが示されている。
そこで、解析者用情報処理端末１０３でこれらの情報を復号した後、ファミリー番号が一致するもの同士を組み合わせることにより、家系図情報を再生することができる。

この発明の各情報処理端末は、専用装置に限定されない。一般のコンピュータに、コンピュータを上記各端末として動作させるためのコンピュータプログラムを記録媒体などからインストールすることにより、上記各端末を実現することができる。

さらに、上記実施の形態においては、解析者用情報処理端末１０３は、ネットワーク１０４に接続されていないが、例えば、家系図や関連情報の匿名性確保のレベルが低くても構わない場合は、外部記憶媒体１０５を用いず、図１４のようにネットワーク１０４を介してデータを授受してもよい。この場合、解析者用情報処理端末１０３と匿名化端末１０２は、通信部３０５、または通信部４０５を介して、暗号化情報を授受する。

本実施形態に係る匿名化識別情報生成システムの構成を説明するための図である。 病院用情報処理端末の構成を説明するためのブロック図である。 匿名化端末の構成を説明するためのブロック図である。 解析者用情報処理端末の構成を説明するためのブロック図である。 本実施形態に係る匿名化識別情報生成システムの全体の動作を説明するための図である。 本実施形態に係る匿名化識別情報生成システムの全体の動作を説明するための図である。 検体ＩＤから匿名化ＩＤ’を生成する処理を説明するための図である。 （Ａ）は、検体ＩＤで定義されている家系情報を示す図である。（Ｂ）は、匿名化ＩＤ’で定義される家系情報を示す図である。 家系情報における境界情報の一例を示す図である。 （ａ）は、関連性検証鍵のビット列の一例を示す図である。（ｂ）（ｃ）は、家系情報のビット列の一例を示す図である。（ｄ）は、暗号化付加情報のビット列の一例を示す図である。 （ａ）は、匿名化ＩＤ’_Ａビット列の一例を示す図である。（ｂ）は、匿名化ＩＤ’ｃビット列の一例を示す図である。 家系図を生成する場合の家系情報の一例を示す図である。 家系図を生成する場合の家系情報の一例を示す図である。 解析者用情報処理端末をネットワークに接続した場合の実施形態に係る匿名化識別情報生成システムの構成図である。

符号の説明

１００ 匿名化識別情報生成システム
１０１ 病院用情報処理端末
１０２ 匿名化端末
１０３ 解析者用情報処理端末
１０４ ネットワーク
１０５ 外部記憶媒体

Claims (5)

1. 遺伝情報を解析する対象の被験者毎に固有の被験者識別情報と各被験者間の親子関係を示す被験者関係情報とを対応付けて記憶する第１のコンピュータ装置と、前記第１のコンピュータ装置とネットワークを介して相互に通信可能に接続される第２のコンピュータ装置と、第３のコンピュータ装置から構成される、匿名化識別情報生成システムであって、
   前記第２のコンピュータ装置は、
   前記第１のコンピュータ装置からネットワークを介して前記被験者識別情報と前記被験者識別情報に対応付けられている前記被験者関係情報とを取得する情報取得手段と、
   前記情報取得手段が取得した前記被験者識別情報に所定の一方向性演算を施して、前記被験者識別情報と１対１で対応する関連情報を生成する関連情報生成手段と、
   前記関連情報生成手段が生成した関連情報を含む暗号鍵を用いて前記情報取得手段が取得した前記被験者関係情報を暗号化し、暗号化識別情報を生成する識別情報暗号化手段と、
   前記識別情報暗号化手段が生成した前記暗号化識別情報と前記暗号鍵とを連結して被験者関係情報を再生成可能な暗号化情報を生成する暗号化情報生成手段と、
   前記暗号化情報生成手段が生成した前記暗号化情報を出力する暗号化情報出力手段と、
   を備え、
   前記３のコンピュータ装置は、
   前記暗号化情報生成手段により生成された暗号化情報を外部記憶媒体から読み取る暗号化情報読み取り手段と、
   前記暗号化情報読み取り手段が読み取った前記暗号化情報のうち、前記被験者関係情報を復号する暗号化情報復号手段と、
   を備える、
   ことを特徴とする匿名化識別情報生成システム。
2. 前記第３のコンピュータ装置は、前記第２のコンピュータ装置とネットワークを介して相互に通信可能に接続され、
   前記暗号化情報出力手段によって出力された前記暗号化情報を、前記ネットワークを介して取得する暗号化情報取得手段をさらに備える、
   ことを特徴とする請求項１に記載の匿名化識別情報生成システム。
3. 前記被験者関係情報は、前記被験者の遺伝解析に必要な遺伝情報を含む、
   ことを特徴とする請求項１又は２に記載の匿名化識別情報生成システム。
4. 前記被験者関係情報における前記被験者間の関係は、前記被験者識別情報に基づいて定義する、
   ことを特徴とする請求項１乃至３のいずれか１項に記載の匿名化識別情報生成システム。
5. ネットワークを介して相互に通信可能に接続されたコンピュータ装置を、
   遺伝情報を解析する対象の被験者毎に固有の被験者識別情報と、各被験者間の親子関係を示す被験者関係情報であって前記被験者識別情報に対応付けられている前記被験者関係情報とをネットワークを介して取得する情報取得手段、
   前記情報取得手段で取得した前記被験者識別情報に所定の一方向性演算を施して、前記被験者識別情報と１対１で対応する関連情報を生成する関連情報生成手段、
   前記関連情報生成手段で生成した関連情報を含む暗号鍵を用いて前記情報取得手段が取得した前記被験者関係情報を暗号化し、暗号化識別情報を生成する識別情報暗号化手段、
   前記識別情報暗号化手段で生成した前記暗号化識別情報と前記暗号鍵とを連結して被験者関係情報を再生成可能な暗号化情報を生成する暗号化情報生成手段、
   前記暗号化情報生成手段で生成した前記暗号化情報を出力する暗号化情報出力手段、
   前記暗号化情報生成手段により生成された暗号化情報を外部記憶媒体から読み取る暗号化情報読み取り手段、
   前記暗号化情報読み取り手段が読み取った前記暗号化情報のうち、前記被験者関係情報を復号する暗号化情報復号手段、
   として機能させることを特徴とするプログラム。

Images