JP5848960B2

JP5848960B2 - 情報管理システム

Info

Publication number: JP5848960B2
Application number: JP2011254062A
Authority: JP
Inventors: 佐藤　恵一; 恵一佐藤
Original assignee: Hitachi Ltd
Current assignee: Hitachi Ltd
Priority date: 2011-11-21
Filing date: 2011-11-21
Publication date: 2016-01-27
Anticipated expiration: 2031-11-21
Also published as: JP2013109577A

Description

本発明は、健康管理や検査などを実施する際に、個人別の検査結果などの機微情報（匿名情報）に対し、氏名、住所などの個人情報である非匿名情報を分離した状態で管理することができる情報管理システムに関するものである。

身長、体重、血圧、血糖値などの健康管理情報や遺伝子の配列やタイプなどの遺伝情報などの生体情報は、自己の状態を知るうえで非常に価値の高い情報となる。しかしながら、これらが個人を識別できるような氏名、住所、電話番号、電子メールアドレスなどの生体情報以外の個人情報と結びついてしまうと、機微情報として取り扱われることとなる。
個人情報の保護に関する法律では、「この法律において「個人情報」とは、生存する個人に関する情報であって、当該情報に含まれる氏名、生年月日その他の記述等により特定の個人を識別することができるもの（他の情報と容易に照合することができ、それにより特定の個人を識別することができることとなるものを含む。）をいう。」と規定されている。

一方、機微情報については、JIS Q 15001によると、（１）思想、信条及び宗教に関する事項、（２）人種、民族、門地、本籍地（所在都道府県に関する情報を除く。）、身体・精神障害、犯罪歴その他社会的差別の原因となる事項。（３）勤労者の団結権、団体交渉及びその他団体行動の行為に関する事項。（４）集団示威行為への参加、請願権の行使、及びその他の政治的権利の行使に関する事項。（５）保健医療及び性生活といった幾つかの項目が挙げられている。これ以外にも機微情報(センシティブ情報)になり得るものは存在し、遺伝情報や容姿、趣味趣向などについても該当する可能性もあるが、明確な定義が存在しないのが現状である。

しかし、機微情報が漏洩することは、当該情報に基づく本人の社会生活上、重大な損害をもたらす恐れがある。さらに、個人情報が遺伝情報のような一生変化することのない情報と共に取得された場合は、個人にとって甚大なリスクを伴う情報を事業者に提供することにつながりかねず、こういった情報を扱うに当たっては特に気を使う必要がある。

こういった観点から、「経済産業分野のうち個人遺伝情報を用いた事業分野における個人情報保護ガイドライン」では、事業に用いる個人遺伝情報と法令に基づく場合を除き、機微情報の取得又は利用を禁じているし、個人情報保護条例を持つ地方自治体の多くが機微情報に関する規定を整備している。また、「個人データの処理に係る個人の保護及びその自由な流通に関する欧州議会及びＥＵ理事会指令（EU指令）」においては、「加盟国は、人種、民族、政治的見解、宗教、思想、心情、労働組合への加盟に関する情報を漏えいする個人データの処理、もしくは健康または性生活に関するデータ処理を禁止するものとする」と規定されている。このように、機微情報の取扱いについては様々な制約が存在するため、これらに対応することは大きな負担となるばかりでなく、機微情報を活用したサービスの提供が困難な場合もある。
本発明に関する文献としては、下記の特許文献１がある。

特開２００３−２１６７４０

上記のように、機微情報を活用した秘匿性のある安全なサービスを提供するためには、「個人情報」と「個人情報と連結したときに機微情報となる情報（準機微情報）」を分離し、連結しないようにデータを管理することが重要となる。実際の運用に当たっては、個人情報を蓄積する第１のデータベースと準機微情報を蓄積する第２のデータベースを分離することが好ましい。その上で、閲覧者ごとに閲覧できる情報を制御し、個人情報と準機微情報が連結しないようにすることで、個人を特定可能な機微情報の取扱いをすることなく、必要なサービスを提供することができるようにすることが必要である。

しかし、実際には、利用者の個人的理由（例えば、忘れっぽいなど）により、個人情報をサービス提供事業者に預かってもらいたいという要望がある。サービス提供事業者ではこのような要望に対し、平文のままの個人情報を預かった場合、サービス提供事業者のシステム内で準機微情報と連結してしまう恐れがあるので、暗号化して記憶させるようにするのが望ましい。
しかし、暗号化したとしても利用者が暗号鍵の変更を申し出た場合、暗号化して記憶させておいた変更前暗号鍵を一旦読み出して復号し、その復号結果を変更後の暗号鍵で再暗号化することになる。従って、再暗号化の過程でシステム内で一旦復号することになり、その復号結果の個人情報を用いて準機微情報と連結されてしまう恐れがある。

本発明の目的は、準機微情報に基づいた各種のサービスを提供する際に、個人を特定可能な情報（非匿名情報）と準機微情報（匿名情報）と直接的に結び付けることなく管理することができ、しかも個人情報を暗号化して預かる場合でも準機微情報との連結の可能性をなくすことができる情報管理システムを提供することにある。

上記目的を達成するために本発明に係る情報管理システムは、サービスの提供を受ける利用者の非匿名情報を受け付けた後、この受け付けた非匿名情報に対し固有の利用者識別情報を生成し、前記利用者に通知すると共に前記非匿名情報と前記利用者識別情報の組を第１の記憶手段に登録する第１の手段を備えた窓口機関情報装置と、
利用者に提供するサービス種別に応じたサービス識別情報を生成し、そのサービス識別情報と前記利用者識別情報との組を第２の記憶手段に登録する第２の手段と、前記サービス識別情報と当該サービス識別情報に対応した匿名情報の組を前記第２の記憶手段に登録する第３の手段とを備えたサービス事業者サーバと、
前記第２の記憶手段に登録された前記匿名情報に対する取得要求に対し、要求された匿名情報を読み出して要求元に送信する第４の手段を備えたデータセンタサーバとを有する情報管理システムであって、
前記サービス事業者サーバが、前記利用者から受付けた非匿名情報のみについて当該利用者から受付けた暗号鍵情報により暗号化して前記第２の記憶手段に登録する第５の手段を備え、
前記第１の記憶手段に、前記非匿名情報と前記利用者識別情報の組を記憶させつつ、前記第２の記憶手段に、前記暗号化された非匿名情報、前記サービス識別情報と前記利用者識別情報との組および前記サービス識別情報と当該サービス識別情報に対応した匿名情報の組を記憶させることを特徴とする。
また、前記匿名情報が健康診断結果等の機微情報であり、前記非匿名情報が利用者を特定可能な個人情報であることを特徴とする。
また、前記第５の手段は、前記第２の記憶手段に登録済みの暗号化非匿名情報の暗号鍵情報の利用者からの変更要求に対し、利用者端末から変更前の暗号鍵と変更後の暗号鍵との差分に相当する鍵情報を受付け、この鍵情報によって前記第２の記憶手段に登録されている暗号化非匿名情報を変換して前記第２の記憶手段に登録することを特徴とする。

本発明によれば、準機微情報に基づいた各種のサービスを提供する際に、個人を特定可能な非匿名情報と準機微情報などの匿名情報と直接に結び付けることなく管理することができる
なお、本発明におけるサービスとは、利用者から検体などの物、あるいは健康診断結果などのデータを受付け、この受け付けた物あるいはデータについて検査、分析、鑑定、評価などを行い、その結果を利用者に対するサービスとして提供するものである。具体的には、遺伝子や身体計測情報を検査するサービスや、機器等を介し身体計測情報等を取得し、蓄積するサービスなどがあり、アクセスする形態としては、一度のみの場合や、登録時ごとに利用される形態が考えられる。
また、サービス識別情報は、システム側でその都度生成する、あるいは予め生成されたものを用いるといった形態が考えられるが、本発明ではいずれであってもよい。

以下、本発明を実施するための最良の形態について図面を用いて詳細に説明する。
図１は、本発明に係る情報管理システムの一実施の形態の全体構成を示すシステム構成図である。
本システムは、身体情報計測などのサービスを受ける被験者（サービスの提供を受ける利用者）１０１が使用するパーソナルコンピュータで構成された被験者端末１０２、サービス依頼（検査依頼）を受け付ける窓口機関１０３、検査を実施し、検査結果のデータを被験者の氏名などの個人情報とは隔離して格納するサービス事業者サーバ１０４と、サービス事業者サーバ１０４が格納したデータを利用者からの要求に応じて提供するデータセンタサーバ１０５とから構成されている。
窓口機関１０３は、窓口端末１０３１、被験者１０１の個人情報を登録する第１のデータベース１０３２とから構成されている。

サービス提供機関１０４は、検体１０５２を検査する検査装置１０４１、検査結果とサービスＩＤ１０５１の組を第２のデータベース１０４５に登録する情報読み書き装置１０４２、被験者端末１０２から受付けた個人情報を暗号鍵で暗号化して第２データベース１０４５に格納する暗号化部１０４３とから構成されている。
データセンタサーバ１０５は、被験者端末１０２から指定されたユーザＩＤに対応したサービスＩＤの検査結果（匿名情報）を第２データベース１０４５から検索し、被験者端末１０２に返信する情報提供装置１０４３とから構成されている。
被験者端末１０２は、各種のデータを入力する入力装置（図示せず）を備えるほか、窓口機関１０４から受信したデータやデータセンタサーバ１０５から受信したデータを表示する表示装置１０２１を備えている。

ここで、被験者１０１が身体情報計測などのサービスを受けようとする場合、被験者１０１は窓口端末１０３１の係員に検査依頼を申し出る。すると、係員は被験者１０１自身に窓口端末１０３１を操作させ、被験者の住所、氏名などの個人情報を入力させる。
窓口端末１０３は、個人情報の入力が終わったならば、利用者毎に固有の識別情報（以下、ユーザＩＤ）を自動生成し、画面に表示して被験者１０１に通知すると共に、ユーザＩＤと個人情報とを対応付けて第１のデータベース１０３２に登録する。
ユーザ登録が終了したならば、窓口端末１０３１の係員は身体情報計測のための検体採取器具１０６を被験者１０１に渡す。この検体採取器具１０６には、サービス種別を示す識別情報（以下、サービスＩＤ）１０６１が予め印字されている。
被験者１０１は、検体採取器具１０６に検体１０６２を収納し、サービス事業者サーバ１０４の検査窓口に提出する。サービス事業者サーバ１０４の検査窓口では、検体１０６２を収納した検体採取器具１０６を検査装置１０４１に転送し、検査を実施する。
なお、被験者端末１０２とサービス事業者サーバ１０４とはインターネットなどの通信網を介して接続されている。

以上の構成において、被験者１０１がサービスの提供依頼（検査依頼）を行ってから検査結果を被験者端末１０２で閲覧するまでの過程を図２のシーケンス図を参照しつつ説明する。
まず、被験者１０１は自身の遺伝子などの身体計測情報の検査依頼を窓口機関１０３に対して行う。
検査依頼を受けた窓口端末１０３１の係員は、被験者１０１自身に窓口端末１０３１を操作させ、被験者の住所、氏名などの個人情報を入力させる（ステップ２０１）。
窓口端末１０３１は、個人情報の入力が終わったならば、ユーザＩＤを自動生成し、画面に表示して被験者１０１に通知すると共に、ユーザＩＤ１０３２１と個人情報１０３２２とを対応付けて第１のデータベース１０３２に登録する（ステップ２０２）。
個人情報とは、氏名、住所、電話番号などで構成され、個人を特定可能な情報である。

ユーザ登録が終了したならば、窓口端末１０３１の係員は身体情報計測のための検体採取器具１０６を被験者１０１に渡す（ステップ２０３）。この検体採取器具１０６には、サービス種別を識別するためのサービスＩＤ１０５１が予め印字されている。
サービス種別とは、健康診断、遺伝子解析、健康相談などのサービス事業者が実施するサービスの種別を表すものである。
被験者は、検体採取器具１０６に検体１０６２を収納し、サービス事業者サーバ１０４の検査窓口に提出する（ステップ２０４）。
検査窓口では、検体採取器具１０６を受け付けると共に、サービスＩＤを受け付ける。
サービス事業者サーバ１０４の検査係員は、検体１０６２を収納した検体採取器具１０６を検査装置１０４１に転送し、検査を実施する（ステップ２０５）。
検査装置１０４１は、検査結果のデータにサービスＩＤを付加して情報読み書き装置１０４２に転送する（ステップ２０６）。
情報読み書き装置１０４２は、検査結果とサービスＩＤの組を第２データベース１０４５に登録する（ステップ２０７）。

次に、被験者端末１０１における閲覧操作（結果確認操作）によりユーザＩＤとサービスＩＤが入力され、これが情報読み書き装置１０４２に送信されたならば、入力されたサービスＩＤを、入力されたユーザＩＤと同じユーザＩＤのグループに追加登録する（ステップ２０９）。
この場合、入力されたユーザＩＤと同じユーザＩＤのサービスＩＤグループが存在しない場合には、新規グループを作成する。

その後、同じユーザＩＤの他の検査結果データを登録する際には、その検査結果データのサービスＩＤが同じユーザＩＤのサービスＩＤグループに追加登録される。
図１の第２データベース１０４５には、１つのユーザＩＤに対し、３つのサービスＩＤが登録された例を示している。
情報読み書き装置１０４１は、サービスＩＤの登録が終了したならば、そのサービスＩＤを情報提供装置１０５１に転送する（ステップ２１０）。
情報提供装置１０４３は、受信したサービスＩＤと同じサービスＩＤ１０４５１に対応付けて第２データベース１０４５に登録されている検査結果のデータ１０４５２を検索し（ステップ２１１）、被験者端末１０２に送信する（ステップ２１２）。
被験者端末１０２は受信した検査結果データを表示画面に表示する（ステップ２１３）。

以上により、被験者は複数種類の検査結果データを最初に登録した検査結果データに順次追加して登録することができる。
なお、閲覧する場合、ユーザＩＤのみを指定した場合には、そのユーザＩＤに対応付けて登録されている全てのサービスＩＤに対応する検査結果データが検索されて表示される。
サービスＩＤのみを指定した場合、そのサービスＩＤのみに対応する検査結果データが検索されて表示される。
以上により、被験者端末１０２において利用者自身の検査結果のデータを閲覧することができる。

図３は、第１ＤＢ１０３２に格納される個人情報の例を示すものであり、各利用者には固有のユーザＩＤ４０１が付与され、そのユーザＩＤ別に、氏名４０２、住所４０３、電話番号４０４、その他４０５などの個人を特定可能な情報が登録されている。
この個人情報は、窓口機関にサービス提供依頼を行った際に、窓口端末から利用者自身または係員が入力したものである。
ユーザＩＤは、利用者の住所、氏名などの個人情報の入力が終わった段階で窓口端末１０３１が自動生成し、窓口端末の画面に表示して利用者に通知するものである。

図４（ａ），（ｂ）は、ユーザＩＤとユーザパスワードの例、サービスＩＤとサービス情報の例を示すものである。
図４（ｂ）のサービス情報は準機微情報とアドバイス情報で構成されている。
アドバイス情報は検査結果に対して医師や専門家がアドバイスした情報のことである。
このアドバイス情報は利用者が医師や専門家がアドバイスを希望した時に追加される。

図５は、第２ＤＢ１０４５に登録される準機微情報の例を示すものである。
この例では、サービスＩＤ毎に、年令、遺伝情報、身長などの準機微情報が登録されていることを示している。
この準機微情報は、利用者の検体を検査した結果を利用者に対するサービスとして提供するサービス内容のデータである。

図６に、被験者端末１０２に表示される検査結果の画面例を示す。
ここで示す画面は、ユーザＩＤとユーザ認証用のパスワードで被験者がログインした後に表示される。この画面には、利用者の遺伝情報などの準機微情報の他に、コンサルティングサービス事業者がアドバイスしたサービス情報が一覧として表示され、各項目を選択することにより、詳細なアドバイス情報を閲覧することができるようになっている。
また、遺伝情報および健康管理情報から最適なおすすめサービスを表示させることも可能となっている。
尚、健康管理情報中に表示される評価結果は、初期値は遺伝情報とそのときの健康管理データによって設定されるが、改善度合いにより評価を変化させることで、健康管理意欲の啓発を図ることが可能である。

図７は、サービス事業者サーバ１０４の暗号化部１０４３の暗号化処理の概要を説明する説明図であり、暗号化部１０４３は、暗号化対象データＲを変更前の暗号鍵Ｋａで暗号化し、暗号化データＫａ(Ｒ)を算出する。暗号鍵Ｋａを変更する場合には、変更前の暗号鍵Ｋａと変更後の暗号鍵Ｋｂとの差Ｋａ−Ｋｂを求め、この差の情報によって鍵変更前の暗号化データＫａ（Ｒ）をデータ変換することによって鍵変更後の暗号化データＫｂ（Ｒ）を算出する。すなわち、通常ならば、図８（Ｋ）のフローチャートに示すように、平文データである暗号化対象データＲを当初の暗号鍵Ｋａで暗号化したならば、その暗号化データを当初の暗号鍵Ｋａで復号して元の暗号化対象データＲを復元し、その復元した暗号化対象データＲを変更後の暗号鍵Ｋｂで再度暗号化し、鍵変更後の暗号化データＫｂ（Ｒ）を算出する手順をとるのであるが、本発明では図８（ｍ）のフローチャートに示すような手順で鍵変更後の暗号化データを求める。
このようにすることにより、復号処理を行うことなく鍵変更後の暗号化データを求めることができる。このため、復号した個人情報がサービス事業者サーバ１０５４内に残存することがなくなり、その結果、個人情報と機微情報とが連結されてしまういった恐れがなくなり、個人情報と連結した機微情報が漏洩することが未然に防止される。

鍵変更後の暗号化データＫｂ（Ｒ）を求める方法としては、図８〜図１３に示す加算暗号方式、減算暗号方式、乗算暗号方式、除算暗号方式、シフト暗号方式、累乗暗号方式が考えられる。

図８の加算暗号化方式では、暗号化対象データＲ（＝００１００１０１００１０）に対し暗号鍵Ｋａ（＝１００００００００００１）を２進演算による加算を行い当初暗号化データＫａ（Ｒ）（＝１０１００１０１００１１）を算出したのに対し、鍵変更後の暗号化演算では暗号化対象データＲ（＝００１００１０１００１０）に対し変更後暗号鍵Ｋｂ（＝１１００００００００１１）を２進演算による加算を行い鍵変更後の暗号化データＫｂ（Ｒ）（＝１１１００１０１０１０１）を求める代わりに、変更前暗号鍵Ｋａと変更後暗号鍵Ｋｂとの差（２進数演算での差）Ｋａ−Ｋｂを求め、この差Ｋａ−Ｋｂ（＝０１００００００００１０）と当初暗号化データＫａ（Ｒ）（＝１０１００１０１００１１）を加算演算することによって鍵変更後の暗号化データＫｂ（Ｒ）を求めるようにしたものである。
すなわち、ここで示す例は、暗号化データは暗号化対象データに対し暗号鍵を加算することによって求めるものであり、鍵変更後の暗号化データは鍵変更前の暗号化データに対し、２つの暗号鍵の差分に相当する値を加算することによって求めるというものである。

この他に、図９〜図１３に例示する計算方法でも求めることができる。

この図９〜図１３に示す計算方法では、図８と同様に（ａ）〜（ｉ）に各段階の計算結果を示している。内容については、公知の計算方法であるので、詳細な説明は省略する。

本発明に係る情報管理システムの実施の形態を示すシステム構成図である。図１におけるシステムの各部の動作をシーケンス図である。第１のデータベースに格納される個人情報の例を示す図である。第２のデータベースに格納されるユーザＩＤとサービスＩＤの組、サービスＩＤとサービス情報の組の例を示す図である。第２のデータベースに格納される準機微情報の例を示す図である。検査結果を検索して表示される画面の例を示す図である。本発明における暗号鍵変更に対する演算処理を説明する図である。暗号鍵変更に係る暗号化データの第１の演算例を示す図である。暗号鍵変更に係る暗号化データの第２の演算例を示す図である。暗号鍵変更に係る暗号化データの第３の演算例を示す図である。暗号鍵変更に係る暗号化データの第４の演算例を示す図である。暗号鍵変更に係る暗号化データの第５の演算例を示す図である。暗号鍵変更に係る暗号化データの第６の演算例を示す図である。

１０１被験者
１０２被験者端末
１０３窓口機関
１０４サービス事業者サーバ
１０５データセンタサーバ
１０６検体採取器具
１０３１窓口端末
１０４１検査装置
１０３２第１データベース
１０４５第２データベース
１０５１情報提供装置
１０３２２個人情報

Claims

サービスの提供を受ける利用者の非匿名情報を受け付けた後、この受け付けた非匿名情報に対し固有の利用者識別情報を生成し、前記利用者に通知すると共に前記非匿名情報と前記利用者識別情報の組を第１の記憶手段に登録する第１の手段を備えた窓口機関情報装置と、
利用者に提供するサービス種別に応じたサービス識別情報を生成し、そのサービス識別情報と前記利用者識別情報との組を第２の記憶手段に登録する第２の手段と、前記サービス識別情報と当該サービス識別情報に対応した匿名情報の組を前記第２の記憶手段に登録する第３の手段とを備えたサービス事業者サーバと、
前記第２の記憶手段に登録された前記匿名情報に対する取得要求に対し、要求された匿名情報を読み出して要求元に送信する第４の手段を備えたデータセンタサーバとを有する情報管理システムであって、
前記サービス事業者サーバが、前記利用者から受付けた非匿名情報のみについて当該利用者から受付けた暗号鍵情報により暗号化して前記第２の記憶手段に登録する第５の手段を備え、
前記第１の記憶手段に、前記非匿名情報と前記利用者識別情報の組を記憶させつつ、前記第２の記憶手段に、前記暗号化された非匿名情報、前記サービス識別情報と前記利用者識別情報との組および前記サービス識別情報と当該サービス識別情報に対応した匿名情報の組を記憶させることを特徴とする情報管理システム。
前記匿名情報が健康診断結果等の機微情報であり、前記非匿名情報が利用者を特定可能な個人情報であることを特徴とする請求項１に記載の情報管理システム。
前記第５の手段は、前記第２の記憶手段に登録済みの暗号化非匿名情報の暗号鍵情報の利用者からの変更要求に対し、利用者端末から変更前の暗号鍵と変更後の暗号鍵との差分に相当する鍵情報を受付け、この鍵情報によって前記第２の記憶手段に登録されている暗号化非匿名情報を変換して前記第２の記憶手段に登録することを特徴とする請求項１または２に記載の情報管理システム。