JP6880656B2 - 情報処理装置、情報処理システム、プログラム、及び情報処理方法 - Google Patents

Description

本発明は、情報処理装置、情報処理システム、プログラム、及び情報処理方法に関する。

近年、ビッグデータ分析に対するニーズがますます高まっている。ビッグデータ分析において、より正確で有用な分析結果を得るためには、可能な限り多くのデータサンプルの収集を行うことが望ましい。

政府は、国内の医療分野におけるビッグデータ分析を促進する施策を将来的に実施する計画を持っている。この施策によれば、病院の電子カルテのデータが収集され、収集されたデータが匿名データに加工され、匿名データがビッグデータ分析に利用可能なデータとして、データの利活用を希望する団体へ提供される予定である。

電子カルテは、患者のプライバシーに関わる個人情報を多く含むデータである。このため、これらのデータを大量に収集する際には、個人情報の流出が起こらないような対策を講じることが望まれる。

電子カルテ等の医療データを収集して利用する様々な技術も知られている（例えば、特許文献１〜特許文献５を参照）。

特開２０１０−１２８７１８号公報 特開２００４−２８７７７４号公報 特開２００９−１５８３５号公報 特表２０１３−５３７３２６号公報 特開２００９−２６６０７７号公報

上述した政府の施策に基づいて電子カルテを収集して解析する際、複数の病院で診察を受けた同じ患者の電子カルテが複数の異なる患者の電子カルテとして収集され、解析結果が不正確になる可能性がある。

なお、かかる問題は、病院における電子カルテを収集する場合に限らず、他の情報提供機関における他の個人情報を収集する場合においても生ずるものである。

１つの側面において、本発明は、複数の情報提供機関から収集した個人情報を秘匿化した秘匿化個人情報の中から、同じ人物の情報を特定することを目的とする。

１つの案では、情報処理装置は、記憶部、識別情報付与部、及び秘匿化部を含む。記憶部は、複数の情報提供機関の間で共通して個人を識別する共通識別情報を記憶する。識別情報付与部は、複数の情報提供機関それぞれの複数の運用データベースからストレージ装置へ転送される個人情報に対して、共通識別情報を付与する。秘匿化部は、共通識別情報が付与された個人情報を秘匿化して、秘匿化個人情報を生成する。

実施形態によれば、複数の情報提供機関から収集した個人情報を秘匿化した秘匿化個人情報の中から、同じ人物の情報を特定することができる。

電子カルテ解析システムの構成図である。 データ提供シーケンスを示す図である。 データ解析シーケンスを示す図である。 第１の情報処理システムの構成図である。 第１の秘匿化処理のフローチャートである。 第１の情報処理システムの具体例を示す図である。 サーバの機能的構成図である。 個人情報に含まれる基本テーブルを示す図である。 個人情報に含まれる診察テーブルを示す図である。 モードＭ１で用いられる秘匿化項目情報を示す図である。 モードＭ２で用いられる秘匿化項目情報を示す図である。 ＩＤテーブルを示す図である。 モードＭ１で用いられる日時テーブルを示す図である。 モードＭ２で用いられる日時テーブルを示す図である。 加工テーブルを示す図である。 秘匿化個人情報に含まれる基本テーブルを示す図である。 秘匿化個人情報に含まれる診察テーブルを示す図である。 データ形式を変換する処理を示す図である。 モードＭ１における情報提供シーケンスを示す図である。 モードＭ１における情報秘匿化シーケンスを示す図（その１）である。 モードＭ１における情報秘匿化シーケンスを示す図（その２）である。 モードＭ１における情報秘匿化シーケンスを示す図（その３）である。 モードＭ１における情報解析シーケンスを示す図である。 モードＭ２における動作シーケンスを示す図（その１）である。 モードＭ２における動作シーケンスを示す図（その２）である。 モードＭ２における動作シーケンスを示す図（その３）である。 第２の情報処理システムの構成図である。 第２の秘匿化処理のフローチャートである。 第２の情報処理システムの具体例を示す図である。 ＶＭの機能的構成図である。 第２の情報処理システムで用いられる日時テーブルを示す図である。 情報処理装置のハードウェア構成図である。

以下、図面を参照しながら、実施形態を詳細に説明する。
図１は、政府の施策に基づいて電子カルテを収集して解析する、仮想的な電子カルテ解析システムの構成例を示している。図１の電子カルテ解析システムにおいて、情報提供機関は、電子カルテのデータを提供する病院であり、情報解析機関は、電子カルテのデータを収集して解析する政府等の機関である。

図１の電子カルテ解析システムは、病院Ａの病院システム１０１−１、病院Ｂの病院システム１０１−２、及び情報解析機関の解析システム１０２を含む。病院システムの数は２つに限られず、病院の数が３つ以上である場合、病院システムの数も３つ以上になる。例えば、全国に存在する複数の病院が情報提供機関であってもよい。

病院システム１０１−ｉ（ｉ＝１，２）は、パーソナルコンピュータ（ＰＣ）１１１−ｉ、ＰＣ１１２−ｉ、サーバ１１３−ｉ、運用ストレージ装置１１４−ｉ、及びバックアップストレージ装置１１５−ｉを含む。ＰＣ１１１−ｉ、ＰＣ１１２−ｉ、サーバ１１３−ｉ、運用ストレージ装置１１４−ｉ、及びバックアップストレージ装置１１５−ｉは、例えば、Local Area Network（ＬＡＮ）によって接続されている。

サーバ１１３−ｉは、電子カルテ１５１−ｉを格納する。運用ストレージ装置１１４−ｉは、運用データベース（ＤＢ）１３１−ｉを含み、バックアップストレージ装置１１５−ｉは、バックアップＤＢ１３２−ｉを含む。

解析システム１０２は、サーバ１２１、ＰＣ１２２、及び収集ストレージ装置１２３を含む。収集ストレージ装置１２３は、収集ＤＢ１３３を含む。

図１の電子カルテ解析システムでは、例えば、以下の手順で電子カルテの解析が行われる。
（Ｐ１）各病院の医師は、ＰＣ１１１−ｉ又はＰＣ１１２−ｉを用いて、電子カルテ１５１−ｉに患者の診察情報を入力する。
（Ｐ２）サーバ１１３−ｉは、電子カルテ１５１−ｉを運用ＤＢ１３１−ｉに格納し、運用ストレージ装置１１４−ｉは、電子カルテ１５１−ｉの複製をバックアップＤＢ１３２−ｉに格納する。
（Ｐ３）各病院のシステム管理者は、バックアップＤＢ１３２−ｉに格納された電子カルテ１５１−ｉの複製を、Digital Versatile Disk（ＤＶＤ）１４１−ｉに保存する。
（Ｐ４）各病院は、ＤＶＤ１４１−ｉを情報解析機関へ配送する。
（Ｐ５）情報解析機関の解析者は、ＰＣ１２２を用いて、配送されたＤＶＤ１４１−ｉから電子カルテ１５１−ｉを読み出し、電子カルテ１５１−ｉの複製を収集ＤＢ１３３に格納する。
（Ｐ６）解析者は、ＰＣ１２２を用いて、収集ＤＢ１３３に格納された電子カルテ１５１−ｉを秘匿化して秘匿化電子カルテを生成する。これにより、電子カルテ１５１−ｉのデータが匿名データに加工される。
（Ｐ７）解析者は、ＰＣ１２２を用いて、複数の患者の秘匿化電子カルテを解析し、解析結果をサーバ１２１に格納する。解析結果は、研究機関、製薬会社等の情報利用者に対して提供される。

図２は、図１の病院システム１０１−１におけるデータ提供シーケンスの例を示している。ＰＣ１１１−１及びＰＣ１１２−１内には、アプリケーションである電子カルテクライアント２０１及び電子カルテクライアント２０２がそれぞれインストールされている。

まず、電子カルテクライアント２０２は、病院Ａの医師の操作に基づいて、サーバ１１３−１の電子カルテ１５１−１に患者の診察情報を入力する（ステップ２１１）。次に、サーバ１１３−１は、電子カルテ１５１−１を運用ストレージ装置１１４−１の運用ＤＢ１３１−１に書き込む（ステップ２１２）。その後、運用ストレージ装置１１４−１は、電子カルテ１５１−１の複製をバックアップストレージ装置１１５−１のバックアップＤＢ１３２−１に書き込む。

次に、サーバ１１３−１は、病院Ａのシステム管理者の指示に基づいて、書き出し指令をバックアップストレージ装置１１５−１へ送信する（ステップ２２１）。そして、バックアップストレージ装置１１５−１は、バックアップＤＢ１３２−１に格納された電子カルテ１５１−１の複製を、電子カルテ２０３−１としてＤＶＤ１４１−１に書き込む（ステップ２２２）。

病院システム１０１−２においても、図２と同様のデータ提供シーケンスによって、電子カルテ１５１−２が生成され、電子カルテ１５１−２の複製がＤＶＤ１４１−２に書き込まれる。

図３は、図１の解析システム１０２におけるデータ解析シーケンスの例を示している。ＰＣ１２２内には、解析アプリケーション３０１がインストールされている。

まず、ＰＣ１２２は、情報解析機関の解析者の指示に基づいて、ＤＶＤ１４１−１から電子カルテ２０３−１を読み出し（ステップ３１１）、電子カルテ２０３−１を収集ストレージ装置１２３の収集ＤＢ１３３に書き込む（ステップ３１２）。

次に、ＰＣ１２２は、解析者の指示に基づいて、ＤＶＤ１４１−２から電子カルテ２０３−２を読み出し（ステップ３１３）、電子カルテ２０３−２を収集ＤＢ１３３に書き込む（ステップ３１４）。

次に、解析アプリケーション３０１は、解析者の操作に基づいて、収集ＤＢ１３３から電子カルテ２０３−１及び電子カルテ２０３−２を読み出す（ステップ３１５）。そして、解析アプリケーション３０１は、電子カルテ２０３−１及び電子カルテ２０３−２を秘匿化して、秘匿化電子カルテを生成する（ステップ３１６）。

次に、解析アプリケーション３０１は、解析者の操作に基づいて、複数の患者の秘匿化電子カルテを解析し（ステップ３１７）、解析結果３０２をサーバ１２１に格納する（ステップ３１８）。

図１の電子カルテ解析システムでは、収集ＤＢ１３３を管理する情報解析機関の解析者が秘匿化されていない電子カルテを直接扱うことができ、電子カルテを秘匿化する作業は、解析者自身に任されている。このため、個人情報の保護に関して患者に不安を与えることになり、情報解析機関に対して電子カルテの提供を拒む病院が増加して、ビッグデータ分析に十分な量のデータを収集することが困難になる。

また、複数の病院が別々に電子カルテを生成して情報解析機関に提供するため、同じ患者が複数の病院で診察を受けた場合、それらの病院における電子カルテが互いに異なる患者の電子カルテとして収集ＤＢ１３３に格納される。このため、それらの電子カルテを同じ患者の電子カルテとして扱った場合とは異なる、不正確な解析結果が得られる可能性がある。

図４は、実施形態の第１の情報処理システムの構成例を示している。図４の情報処理システム４０１は、ストレージ装置４１１及び情報処理装置４１２（コンピュータ）を含み、情報処理装置４１２は、記憶部４２１、識別情報付与部４２２、及び秘匿化部４２３を含む。

ストレージ装置４１１は、複数の情報提供機関それぞれの複数の運用データベースから転送される個人情報を格納する。情報処理装置４１２の記憶部４２１は、複数の情報提供機関の間で共通して個人を識別する共通識別情報を記憶する。識別情報付与部４２２及び秘匿化部４２３は、共通識別情報を用いて秘匿化処理を行う。

図５は、図４の情報処理装置４１２が行う第１の秘匿化処理の例を示すフローチャートである。まず、識別情報付与部４２２は、ストレージ装置４１１に格納された個人情報に対して、共通識別情報を付与する（ステップ５０１）。そして、秘匿化部４２３は、共通識別情報が付与された個人情報を秘匿化して、秘匿化個人情報を生成する（ステップ５０２）。

このような情報処理システム４０１によれば、複数の情報提供機関から収集した個人情報を秘匿化した秘匿化個人情報の中から、同じ人物の情報を特定することができる。以下では、識別情報をＩＤと記載することがある。

図６は、図４の情報処理システム４０１の具体例を示している。図６の情報処理システム６０１は、病院Ａの病院システム６１１−１、病院Ｂの病院システム６１１−２、バックアップシステム６１２、及び情報解析機関の解析システム６１３を含む。図１の電子カルテ解析システムと同様に、病院システムの数は、３つ以上であってもよい。

病院システム６１１−ｉ（ｉ＝１，２）は、各病院の事務職員のＰＣ６２１−ｉ、医師のＰＣ６２２−ｉ、サーバ６２３−ｉ、及び運用ストレージ装置６２４−ｉを含む。ＰＣ６２１−ｉ、ＰＣ６２２−ｉ、サーバ６２３−ｉ、及び運用ストレージ装置６２４−ｉは、例えば、ＬＡＮによって接続されている。

サーバ６２３−ｉは、電子カルテ６６１−ｉを格納する。運用ストレージ装置６２４−ｉは、運用ＤＢ６５１−ｉ及び運用ＤＢ６５２−ｉを含む。運用ＤＢ６５１−ｉは、個人情報６６２−ｉを格納し、運用ＤＢ６５２−ｉは、秘匿化項目情報６６３−ｉを格納する。

個人情報６６２−ｉは、電子カルテ６６１−ｉに記録された患者の診察情報であり、秘匿化項目情報６６３−ｉは、個人情報６６２−ｉに含まれる複数の項目のうち秘匿化対象の項目を指定する情報である。秘匿化対象の項目は、例えば、患者自身によって指定され、その患者の個人情報６６２−ｉに対して適用される。

バックアップシステム６１２は、例えば、インターネット等の通信ネットワーク上のバックアップサイトに設けられ、バックアップストレージ装置６３１−１、バックアップストレージ装置６３１−２、及びサーバ６３２を含む。バックアップストレージ装置６３１−１及びバックアップストレージ装置６３１−２は、図４のストレージ装置４１１に対応し、サーバ６３２は、情報処理装置４１２に対応する。

バックアップストレージ装置６３１−１は、病院ＡのバックアップＤＢ６５３−１及びバックアップＤＢ６５４−１を含み、バックアップストレージ装置６３１−２は、病院ＢのバックアップＤＢ６５３−２及びバックアップＤＢ６５４−２を含む。

バックアップＤＢ６５３−ｉは、個人情報６６４−ｉを格納し、バックアップＤＢ６５４−ｉは、秘匿化項目情報６６５−ｉを格納する。個人情報６６４−ｉ及び秘匿化項目情報６６５−ｉは、それぞれ、個人情報６６２−ｉ及び秘匿化項目情報６６３−ｉの複製である。

解析システム６１３は、サーバ６４１、ＰＣ６４２、及び収集ストレージ装置６４３を含む。収集ストレージ装置６４３は、収集ＤＢ６５５及び収集ＤＢ６５６を含み、収集ＤＢ６５５は、秘匿化個人情報６６６を格納し、収集ＤＢ６５６は、秘匿化個人情報６６７を格納する。

図７は、図６のサーバ６３２の機能的構成例を示している。図７のサーバ６３２は、記憶部４２１、識別情報付与部４２２、秘匿化部４２３、日時管理部７０１、及び転送部７０２を含む。記憶部４２１は、ＩＤテーブル７１１、日時テーブル７１２、日時テーブル７１３、加工テーブル７１４、加工テーブル７１５、及び秘匿化項目情報７１６を記憶する。

ＩＤテーブル７１１は、個人情報６６４−ｉに含まれる個人識別情報（個人ＩＤ）と、共通識別情報（共通ＩＤ）とを対応付ける対応関係を含む。日時テーブル７１２及び日時テーブル７１３は、個人情報６６４−ｉに対する秘匿化処理の目標日時及び完了日時を含む。加工テーブル７１４及び加工テーブル７１５は、個人情報６６４−ｉに含まれる特定の項目の情報を簡略化された情報に変換するためのテーブルであり、変換前の情報と変換後の情報とを対応付ける対応関係を含む。

秘匿化項目情報７１６は、個人情報６６４−ｉに含まれる複数の項目のうち秘匿化対象の項目を指定する情報である。秘匿化項目情報７１６に含まれる秘匿化対象の項目は、例えば、政府のような、患者以外の機関によって指定される。

識別情報付与部４２２は、ＩＤテーブル７１１を参照して、個人情報６６４−ｉに含まれる個人ＩＤに対応する共通ＩＤを、個人情報６６４−ｉに対して付与する。秘匿化部４２３は、共通ＩＤが付与された個人情報６６４−ｉを秘匿化して、秘匿化個人情報６６６及び秘匿化個人情報６６７を生成する。日時管理部７０１は、日時テーブル７１２及び日時テーブル７１３のエントリを更新し、転送部７０２は、秘匿化個人情報６６６及び秘匿化個人情報６６７を収集ストレージ装置６４３へ転送する。

図６の情報処理システム６０１は、各病院からの依頼に基づいて秘匿化処理を行うモードＭ１の動作と、情報解析機関からの依頼に基づいて秘匿化処理を行うモードＭ２の動作とを行うことができる。モードＭ１では、サーバ６３２は、日時テーブル７１２、加工テーブル７１４、及び秘匿化項目情報６６５−ｉを用いて、個人情報６６４−ｉに対する秘匿化処理を行う。一方、モードＭ２では、サーバ６３２は、日時テーブル７１３、加工テーブル７１５、及び秘匿化項目情報７１６を用いて、個人情報６６４−ｉに対する秘匿化処理を行う。

図８は、個人情報６６２−ｉ及び個人情報６６４−ｉに含まれる基本テーブルの例を示している。図８の基本テーブルは、患者の基本情報が登録されたテーブルであり、患者ＩＤ、氏名、マイナンバー、生年月日、性別、住所、血液型、保険証ＩＤ、アレルギー、及び更新日時の項目を含む。患者ＩＤは、各病院によって患者に付与されるＩＤであり、マイナンバーは、政府によって国民に付与されるＩＤであり、保険証ＩＤは、保険者によって被保険者に付与されるＩＤである。更新日時は、各患者の基本情報が更新された日時を表す。

図９は、個人情報６６２−ｉ及び個人情報６６４−ｉに含まれる診察テーブルの例を示している。図９の診察テーブルは、患者の診察情報が登録されたテーブルであり、患者ＩＤ、処方、検査結果、病名、及び更新日時の項目を含む。処方は、診察によって決定された処方を表し、検査結果は、診察時に参照された検査結果を表し、病名は、診察によって決定された病名を表す。更新日時は、各患者の診察情報が更新された日時を表す。

図１０は、モードＭ１で用いられる秘匿化項目情報６６５−ｉの例を示している。図１０の秘匿化項目情報６６５−ｉの各エントリは、図８の基本テーブル及び図９の診察テーブルに含まれる各患者の個人情報に対応し、項目毎に“○”、“△”、又は“×”のいずれかの記号を含む。

“○”は、秘匿化することなく提供可能な情報を表し、“△”は、情報を加工して個人が特定されないようにすれば、提供可能な情報を表し、“×”は、一切の情報提供を行わない情報を表す。“△”又は“×”が設定された項目は、秘匿化対象の項目に対応する。“△”が設定された項目の情報は、加工テーブル７１４又は加工テーブル７１５を用いて、簡略化された情報に変換され、“×”が設定された項目の情報は、秘匿化されていることを示すデータに変換される。

情報処理システム６０１では、各患者の個人情報に対する考え方、又は各患者の病気の特性によって、提供可能な情報の範囲及び提供方法が異なる可能性がある。例えば、患者ＩＤ“１００１”の秘匿化項目情報では、生年月日、性別、保険証ＩＤ、処方、検査結果、及び病名に対して“○”が設定されている。また、氏名、マイナンバー、及び血液型に対して“×”が設定されており、住所及びアレルギーに対して“△”が設定されている。

一方、患者ＩＤ“１００４”の秘匿化項目情報では、すべての項目に対して“×”が設定されている。

図１１は、モードＭ２で用いられる秘匿化項目情報７１６の例を示している。図１１の秘匿化項目情報７１６は、すべての患者の個人情報６６４−ｉに対して適用される。この例では、性別、血液型、保険証ＩＤ、アレルギー、処方、検査結果、及び病名に対して“○”が設定されており、氏名、マイナンバー、生年月日、及び住所に対して“×”が設定されている。

図１２は、ＩＤテーブル７１１の例を示している。図１２のＩＤテーブル７１１は、共通ＩＤ及びマイナンバーを含み、個人情報６６４−ｉに含まれる個人ＩＤであるマイナンバーと、複数の病院の間で共通して個人を識別する共通ＩＤとを対応付ける、対応関係を表す。

図１３は、モードＭ１で用いられる日時テーブル７１２の例を示している。図１３の日時テーブル７１２は、病院ＩＤ、秘匿化完了日時、同時刻連番、秘匿化目標日時、及び処理完了フラグを含む。病院ＩＤは、病院を識別するＩＤであり、秘匿化完了日時は、個人情報６６４−ｉに対する秘匿化処理の進捗状況を表す日時である。例えば、図８の基本テーブル及び図９の診察テーブルの１人の患者の個人情報６６４−ｉが秘匿化される度に、その個人情報６６４−ｉの更新日時が秘匿化完了日時に転記される。

同時刻連番は、同じ更新日時を有する複数の個人情報６６４−ｉのうち、秘匿化処理が完了した個人情報６６４−ｉの順位を表す。例えば、同時刻連番“３”は、秘匿化完了日時に転記された更新日時を有する複数の個人情報６６４−ｉのうち、３番目の個人情報６６４−ｉまでの秘匿化処理が完了していることを表す。この場合、４番目以降の個人情報６６４−ｉの秘匿化処理は完了していない。

秘匿化目標日時は、秘匿化処理の対象となる個人情報６６４−ｉの範囲を指定する日時である。秘匿化目標日時と同じか又はそれよりも前の更新日時を有する個人情報６６４−ｉが、秘匿化処理の対象となる。処理完了フラグは、各病院において、秘匿化目標日時までの個人情報６６４−ｉに対する秘匿化処理が完了したか否かを表す。日時テーブル７１２に秘匿化目標日時が設定されたとき、処理完了フラグは“ｆａｌｓｅ”に設定され、秘匿化目標日時までの個人情報６６４−ｉに対する秘匿化処理が完了したとき、処理完了フラグは“ｔｒｕｅ”に設定される。

図１４は、モードＭ２で用いられる日時テーブル７１３の例を示している。情報解析機関からの依頼によって個人情報６６４−ｉの収集期間が指定された場合、日時管理部７０１は、収集開始日時及び収集終了日時に基づいて、日時テーブル７１３の秘匿化完了日時及び秘匿化目標日時を設定する。このとき、日時管理部７０１は、すべての病院ＩＤに対応する秘匿化完了日時を同じ日時に設定するとともに、すべての病院ＩＤに対応する秘匿化目標日時を同じ日時に設定する。

例えば、収集開始日時が“２０１５／０５／１３ ０：００”である場合、収集開始日時よりも１秒前の“２０１５／０５／１２ ２３：５９”が秘匿化完了日時に設定される。また、収集終了日時が“２０１５／０５／２０ ０：００”である場合、収集終了日時と同じ“２０１５／０５／２０ ０：００”が秘匿化目標日時に設定される。

図１５は、モードＭ１で用いられる加工テーブル７１４及びモードＭ２で用いられる加工テーブル７１５の例を示している。図１５の加工テーブルは、年齢及び年齢層を含み、変換前の情報である年齢と、変換後の情報である年齢層とを対応付ける、対応関係を表す。年齢は、図８の基本テーブルに含まれる生年月日から計算することができる。図１５の加工テーブルを用いることで、個人を特定可能な生年月日の情報が、匿名データである年齢層の情報に簡略化される。

また、簡略化される項目が住所である場合、住所の文字列から個人を特定可能な町名及び番地等の情報を削除して文字列を簡略化する、加工テーブルを用いることもできる。これにより、例えば、図８の“横浜市北区港南町１−２４−２”という住所を“横浜市”に簡略化することができる。

図１６は、秘匿化個人情報６６６及び秘匿化個人情報６６７に含まれる基本テーブルの例を示している。図１６の基本テーブルは、共通ＩＤ、氏名、マイナンバー、生年月日、性別、住所、血液型、保険証ＩＤ、及び更新日時の項目を含む。共通ＩＤは、識別情報付与部４２２によって付与された共通ＩＤである。

この例では、すべての患者の氏名及びマイナンバーが、秘匿化されていることを示すデータである文字列“秘匿情報”に変換されている。また、共通ＩＤ“１１１１１２３４”の患者の住所は、簡略化された文字列“横浜市”に変換されており、共通ＩＤ“１１１１１２３７”の患者の場合、すべての項目の情報が文字列“秘匿情報”に変換されている。

図１７は、秘匿化個人情報６６６及び秘匿化個人情報６６７に含まれる診察テーブルの例を示している。図１７の診察テーブルは、共通ＩＤ、病院ＩＤ、患者ＩＤ、処方、検査結果、病名、及び更新日時の項目を含む。

この例では、共通ＩＤ“１１１１１２３４”の患者が、病院ＩＤ“９８４３０”の病院では患者ＩＤ“５９４”の患者として登録され、病院ＩＤ“２０１”の病院では患者ＩＤ“１００１”の患者として登録されている。また、病院ＩＤ“３０２”の病院では、同じ患者が患者ＩＤ“３２１”の患者として登録されている。そして、病院ＩＤ“３０２”の病院における処方、検査結果、及び病名が、文字列“秘匿情報”に変換されている。

このように、秘匿化個人情報６６６及び秘匿化個人情報６６７に対して共通ＩＤを付与することで、複数の病院から収集した秘匿化個人情報の中から、同じ患者の情報を特定することができる。

ところで、病院Ａの個人情報６６４−１と病院Ｂの個人情報６６４−２とは、必ずしも同じデータ形式であるとは限らない。個人情報６６４−１と個人情報６６４−２のデータ形式が異なる場合、秘匿化部４２３は、各個人情報６６４−ｉのデータ形式を統一データ形式へ変換して、変換後の個人情報から秘匿化個人情報６６６及び秘匿化個人情報６６７を生成する。これにより、病院間におけるデータ形式の違いを吸収することができる。

例えば、各病院システム６１１−ｉのサーバ６２３−ｉは、運用ＤＢ６５１−ｉにおける個人情報６６２−ｉのデータ形式を統一データ形式へ変換する変換プログラムを生成して、事前にバックアップシステム６１２へ送信する。そして、サーバ６３２の秘匿化部４２３は、受信した変換プログラムを用いて、個人情報６６４−ｉのデータ形式を統一データ形式へ変換する。

図１８は、データ形式を変換する処理の例を示している。この例では、病院Ａ及び病院Ｂの個人情報６６４−ｉにおける生年月日の情報として、患者が生まれた「年」、「月」、及び「日」がそれぞれ個別の欄に記述されている。このうち、「年」の情報は、病院Ａの個人情報６６４−１では西暦で記述され、病院Ｂの個人情報６６４−２では年号で記述されている。

病院Ａの個人情報６６４−１を変換する場合、秘匿化部４２３は、個人情報６６４−１における「年（西暦）」、「月」、及び「日」のそれぞれの欄から文字列を読み取る。そして、秘匿化部４２３は、サーバ６２３−１から受信した変換プログラムを用いて、文字列同士を記号“／”によって連結し、統一データ形式の「生年月日」の文字列を生成する。

一方、病院Ｂの個人情報６６４−２を変換する場合、秘匿化部４２３は、個人情報６６４−２における「年（年号）」、「月」、及び「日」のそれぞれの欄から文字列を読み取る。そして、秘匿化部４２３は、サーバ６２３−２から受信した変換プログラムを用いて、年号の文字列を西暦の文字列に変換し、文字列同士を記号“／”によって連結して、統一データ形式の「生年月日」の文字列を生成する。

図６の情報処理システム６０１がモードＭ１で動作する場合、例えば、以下の手順で電子カルテの解析が行われる。
（Ｐ１１）各病院の事務職員又は患者は、ＰＣ６２１−ｉを用いて、電子カルテ６６１−ｉに患者が希望する秘匿化項目情報を入力する。秘匿化項目情報は、初診時に入力された後、患者からの申し出に基づいて変更することができる。
（Ｐ１２）サーバ６２３−ｉは、入力された秘匿化項目情報を、秘匿化項目情報６６３−ｉとして運用ＤＢ６５２−ｉに格納する。
（Ｐ１３）各病院の医師は、ＰＣ６２２−ｉを用いて、電子カルテ６６１−ｉに患者の診察情報を入力する。
（Ｐ１４）サーバ６２３−ｉは、入力された診察情報を、個人情報６６２−ｉとして運用ＤＢ６５１−ｉに格納する。
（Ｐ１５）各病院のシステム管理者は、定期的にバックアップを実行する。このとき、運用ストレージ装置６２４−ｉは、個人情報６６２−ｉ及び秘匿化項目情報６６３−ｉの複製をバックアップストレージ装置６３１−ｉへ転送する。そして、バックアップストレージ装置６３１−ｉは、個人情報６６２−ｉの複製を、個人情報６６４−ｉとしてバックアップＤＢ６５３−ｉに格納し、秘匿化項目情報６６３−ｉの複製を、秘匿化項目情報６６５−ｉとしてバックアップＤＢ６５４−ｉに格納する。
（Ｐ１６）サーバ６２３−ｉは、定期的に秘匿化依頼をサーバ６３２へ送信し、サーバ６３２の日時管理部７０１は、秘匿化依頼に基づいて、日時テーブル７１２に秘匿化目標日時を設定する。
（Ｐ１７）秘匿化部４２３は、日時管理部７０１に対して秘匿化処理を実施するか否かを問い合わせる。日時管理部７０１は、日時テーブル７１２の秘匿化完了日時及び秘匿化目標日時を参照して、秘匿化処理を実施するか否かを示す応答を秘匿化部４２３へ送信する。
（Ｐ１８）秘匿化処理を実施する場合、秘匿化部４２３は、日時テーブル７１２から秘匿化完了日時を取得し、個人情報６６４−ｉから、更新日時が秘匿化完了日時よりも新しいエントリを検索する。
（Ｐ１９）秘匿化部４２３は、各病院の変換プログラムを用いて、個人情報６６４−ｉの各エントリのデータ形式を統一データ形式へ変換する。
（Ｐ２０）識別情報付与部４２２は、ＩＤテーブル７１１を参照して、個人情報６６４−ｉの各エントリに含まれる個人ＩＤに対応する共通ＩＤを、そのエントリに対して付与する。
（Ｐ２１）秘匿化部４２３は、各エントリに対応する患者の秘匿化項目情報６６５−ｉを参照して、秘匿化対象の項目の情報を秘匿化し、秘匿化個人情報６６６を生成する。このとき、秘匿化個人情報６６６の各エントリに対して病院ＩＤが付与される。例えば、図１０の秘匿化項目情報６６５−ｉを用いた場合、“○”が設定された項目の情報は変換されず、“△”が設定された項目の情報は、加工テーブル７１４を用いて簡略化された情報に変換される。また、“×”が設定された項目の情報は、秘匿化されていることを示すデータに変換される。
（Ｐ２２）転送部７０２は、秘匿化個人情報６６６を収集ストレージ装置６４３へ転送し、収集ストレージ装置６４３は、秘匿化個人情報６６６を収集ＤＢ６５５に格納する。
（Ｐ２３）情報解析機関の解析者は、ＰＣ６４２を用いて、秘匿化個人情報６６６を解析し、解析結果をサーバ６４１に格納する。解析結果は、研究機関、製薬会社等の情報利用者に対して提供される。

一方、図６の情報処理システム６０１がモードＭ２で動作する場合、例えば、以下の手順で電子カルテの解析が行われる。
（Ｐ３１）病院システム６１１−ｉは、モードＭ１における（Ｐ１１）〜（Ｐ１５）と同様の動作を行う。
（Ｐ３２）情報解析機関の解析者は、ＰＣ６４２を用いて、加工テーブル７１５及び秘匿化項目情報７１６とともに情報提供依頼をサーバ６３２へ送信する。
（Ｐ３３）秘匿化部４２３は、秘匿化処理で参照する加工テーブルを、加工テーブル７１４から加工テーブル７１５へ切り替える。
（Ｐ３４）秘匿化部４２３は、秘匿化処理で参照する秘匿化項目情報を、秘匿化項目情報６６５−ｉから秘匿化項目情報７１６へ切り替える。
（Ｐ３５）日時管理部７０１は、情報提供依頼によって指定された収集期間に基づいて、日時テーブル７１３の秘匿化完了日時及び秘匿化目標日時を設定する。
（Ｐ３６）秘匿化部４２３は、秘匿化処理で参照する日時テーブルを、日時テーブル７１２から日時テーブル７１３へ切り替える。
（Ｐ３７）秘匿化部４２３は、日時テーブル７１３から秘匿化完了日時を取得し、個人情報６６４−１及び個人情報６６４−２から、更新日時が秘匿化完了日時よりも新しいエントリを検索する。
（Ｐ３８）秘匿化部４２３は、各病院の変換プログラムを用いて、個人情報６６４−１及び個人情報６６４−２の各エントリのデータ形式を統一データ形式へ変換する。
（Ｐ３９）識別情報付与部４２２は、ＩＤテーブル７１１を参照して、個人情報６６４−１及び個人情報６６４−２の各エントリに含まれる個人ＩＤに対応する共通ＩＤを、そのエントリに対して付与する。
（Ｐ４０）秘匿化部４２３は、秘匿化項目情報７１６を参照して、秘匿化対象の項目の情報を秘匿化し、秘匿化個人情報６６７を生成する。このとき、秘匿化個人情報６６７の各エントリに対して病院ＩＤが付与される。
（Ｐ４１）転送部７０２は、秘匿化個人情報６６７を収集ストレージ装置６４３へ転送し、収集ストレージ装置６４３は、秘匿化個人情報６６７を収集ＤＢ６５６に格納する。
（Ｐ４２）情報解析機関の解析者は、ＰＣ６４２を用いて、秘匿化個人情報６６７を解析し、解析結果をサーバ６４１に格納する。

このような情報処理システム６０１によれば、以下のような効果が得られる。
（１）通信ネットワーク上のバックアップサイトに秘匿化処理を行うバックアップシステム６１２を設けることで、病院システム６１１−ｉの運用から切り離して、個人情報６６４−ｉを秘匿化することができる。このため、各病院は、秘匿化処理を行う機構を新しく設ける必要がなく、業務の運用に対する負荷もかからない。
（２）情報解析機関の解析者が秘匿化されていない個人情報６６４−ｉを直接扱うことがないため、個人情報の保護に関して患者及び病院が抵抗を感じずに情報提供を行うことができる。したがって、ビッグデータ分析に十分な量のデータを収集することが可能になり、より望ましい解析結果が得られる。
（３）同じ患者が複数の病院で診察を受けた場合であっても、秘匿化個人情報６６６及び秘匿化個人情報６６７に対して共通ＩＤを付与することで、複数の病院から収集した秘匿化個人情報の中から、同じ患者の情報を特定することができる。したがって、病院間の境界を越えて同じ患者の情報を収集することが可能になり、それらの情報を同じ患者の情報として扱うことで、より正確な解析結果が得られる。
（４）患者毎に異なる秘匿化項目情報６６３−ｉを用いることで、患者の希望に合わせた秘匿化処理を行うことができる。
（５）各病院からの依頼に基づくモードＭ１の秘匿化処理と、情報解析機関からの依頼に基づくモードＭ２の秘匿化処理とを実装することで、情報解析機関の意向を柔軟に反映して個人情報６６４−ｉを収集することが可能になる。
（６）各病院が提供する変換プログラムを用いて個人情報６６４−ｉを統一データ形式へ変換することで、病院間においてデータ形式が異なっている場合であっても、秘匿化個人情報６６６及び秘匿化個人情報６６７を生成することができる。

例えば、情報処理システム６０１は、通常時にはモードＭ１の秘匿化処理を実行しており、緊急時に情報解析機関から依頼を受けた場合、モードＭ２の秘匿化処理を優先的に実行する。この場合、情報処理システム６０１は、すべての病院についてのモードＭ１の秘匿化処理を中断して、モードＭ２の秘匿化処理を開始する。

そして、モードＭ２の秘匿化処理が完了した後、情報処理システム６０１は、個人情報６６４−ｉ中の中断した箇所からモードＭ１の秘匿化処理を再開する。これにより、膨大な個人情報６６４−ｉの最初のエントリから秘匿化処理を再度実行する場合よりも短い時間で、すべての個人情報６６４−ｉを過不足なく秘匿化することができる。

具体的には、モードＭ１の秘匿化処理を中断する際に、秘匿化部４２３は、日時テーブル７１２、加工テーブル７１４、及び秘匿化項目情報６６５−ｉを、日時テーブル７１３、加工テーブル７１５、及び秘匿化項目情報７１６へ切り替える。さらに、秘匿化部４２３は、収集ＤＢ６５５を収集ＤＢ６５６へ切り替える。

そして、モードＭ１の秘匿化処理を再開する際に、秘匿化部４２３は、日時テーブル７１３、加工テーブル７１５、及び秘匿化項目情報７１６を、元の日時テーブル７１２、加工テーブル７１４、及び秘匿化項目情報６６５−ｉへ切り替える。さらに、秘匿化部４２３は、収集ＤＢ６５６を元の収集ＤＢ６５５へ切り替える。

このように、秘匿化処理の中断時に、秘匿化処理に使用するリソースを自動的に切り替え、秘匿化処理の再開時に元のリソースを再利用することで、中断した秘匿化処理を容易に再開することができる。

また、日時テーブル７１２に処理完了フラグを設けて、各病院における秘匿化処理が完了したか否かを記録することで、秘匿化処理を中断した病院を特定することが可能になる。さらに、日時テーブル７１２に秘匿化完了日時及び同時刻連番を記録することで、個人情報６６４−ｉに含まれるどのエントリまで秘匿化処理が完了したかが明確になるため、中断した箇所を容易に特定して、秘匿化処理を早期に再開することができる。

モードＭ１の秘匿化処理では、個人情報６６４−ｉがバックアップストレージ装置６３１−ｉへ転送されるタイミングは病院毎に異なっている。このため、モードＭ２の秘匿化処理を開始した時点では、必ずしも各病院の最新の個人情報６６４−ｉが収集されているとは限らない。

そこで、解析システム６１３は、各病院のサーバ６２３−ｉに対して、バックアップＤＢ６５３−ｉの最新化を指示する最新化依頼を送信する。そして、サーバ６２３−ｉは、バックアップＤＢ６５３−ｉの個人情報６６４−ｉが最新ではなく、かつ、個人情報６６４−ｉのバックアップが即時可能である場合、運用ストレージ装置６２４−ｉに対してバックアップを指示する。これにより、モードＭ２の秘匿化処理において、各病院の業務の運用に支障がない範囲で、すべての病院から最新の個人情報６６４−ｉを収集することが可能になる。

次に、図１９から図２１までを参照しながら、モードＭ１における動作シーケンスについて説明する。

図１９は、モードＭ１における情報提供シーケンスの例を示している。病院ＡのＰＣ６２１−１及びＰＣ６２２−１内には、アプリケーションである電子カルテクライアント１９０１及び電子カルテクライアント１９０２がそれぞれインストールされている。

まず、電子カルテクライアント１９０１は、病院Ａの事務職員又は患者の操作に基づいて、患者によって指定された秘匿化項目情報を、サーバ６２３−１の電子カルテ６６１−１に入力する（ステップ１９１１）。そして、サーバ６２３−１は、電子カルテ６６１−１に入力された秘匿化項目情報を、秘匿化項目情報６６３−１として運用ストレージ装置６２４−１の運用ＤＢ６５２−１に書き込む（ステップ１９１２）。

次に、電子カルテクライアント１９０２は、病院Ａの医師の操作に基づいて、電子カルテ６６１−１に患者の診察情報を入力する（ステップ１９１１）。そして、サーバ６２３−１は、電子カルテ６６１−１に入力された診察情報を、個人情報６６２−１として運用ストレージ装置６２４−１の運用ＤＢ６５１−１に書き込む（ステップ１９２２）。

その後、各病院のシステム管理者は、定期的にバックアップを実行する。このとき、サーバ６２３−１は、個人情報６６２−１のバックアップ指示を運用ストレージ装置６２４−１へ送信する（ステップ１９３１）。そして、運用ストレージ装置６２４−１は、個人情報６６２−１の複製を、個人情報６６４−１としてバックアップストレージ装置６３１−１のバックアップＤＢ６５３−１に書き込む（ステップ１９３２）。

次に、サーバ６２３−１は、秘匿化項目情報６６３−１のバックアップ指示を運用ストレージ装置６２４−１へ送信する（ステップ１９４１）。そして、運用ストレージ装置６２４−１は、秘匿化項目情報６６３−１の複製を、秘匿化項目情報６６５−１としてバックアップストレージ装置６３１−１のバックアップＤＢ６５４−１に書き込む（ステップ１９４２）。

病院Ｂにおいても、図１９と同様の情報提供シーケンスによって、個人情報６６２−２及び秘匿化項目情報６６３−２が運用ストレージ装置６２４−２に書き込まれる。そして、個人情報６６４−２及び秘匿化項目情報６６５−２がバックアップストレージ装置６３１−２に書き込まれる。

図２０Ａ〜図２０Ｃは、モードＭ１における情報秘匿化シーケンスの例を示している。まず、病院Ａのサーバ６２３−１は、秘匿化目標日時を含む秘匿化依頼をバックアップシステム６１２のサーバ６３２へ送信する（ステップ２０１１）。秘匿化依頼に含まれる秘匿化目標日時としては、例えば、個人情報６６４−１に含まれるいずれのエントリの更新日時よりも遅い日時を設定することができる。サーバ６３２の秘匿化部４２３は、秘匿化依頼を受信し、その秘匿化依頼を受け付ける（ステップ２０１２）。

次に、秘匿化部４２３は、日時管理部７０１に対して、秘匿化依頼に含まれる秘匿化目標日時の設定を指示する（ステップ２０１３）。日時管理部７０１は、指示された秘匿化目標日時を、日時テーブル７１２の病院Ａの病院ＩＤに対応する秘匿化目標日時に設定し、その秘匿化目標日時に対応する処理完了フラグに“ｆａｌｓｅ”を設定する。そして、秘匿化部４２３は、日時管理部７０１に対して秘匿化処理を実施するか否かを問い合わせる（ステップ２０１４）。

日時管理部７０１は、日時テーブル７１２から病院Ａの病院ＩＤに対応する秘匿化完了日時及び秘匿化目標日時を取得する（ステップ２０１５）。そして、日時管理部７０１は、秘匿化完了日時と秘匿化目標日時を比較して、秘匿化処理を実施するか否かを示す応答を秘匿化部４２３へ送信する（ステップ２０１６）。日時管理部７０１は、秘匿化目標日時が秘匿化完了日時よりも後である場合、秘匿化処理を実施すると判定し、秘匿化目標日時が秘匿化完了日時以前である場合、秘匿化処理を実施しないと判定する。

次に、秘匿化部４２３は、日時管理部７０１から受信した応答をチェックし（ステップ２０１７）、秘匿化処理を実施する場合（ステップ２０１７，ＹＥＳ）、バックアップストレージ装置６３１−１に対するコネクションを確立する（ステップ２０１８）。一方、秘匿化処理を実施しない場合（ステップ２０１７，ＮＯ）、秘匿化部４２３は、処理を終了する。

次に、秘匿化部４２３は、日時管理部７０１を介して日時テーブル７１２から、病院Ａの病院ＩＤに対応する秘匿化完了日時を取得する（ステップ２０２１）。そして、秘匿化部４２３は、バックアップＤＢ６５３−１の個人情報６６４−１から、更新日時が秘匿化完了日時よりも新しいエントリを検索し（ステップ２０２２）、そのようなエントリが存在するか否かをチェックする（ステップ２０２３）。

秘匿化完了日時よりも新しいエントリが存在する場合（ステップ２０２３，ＹＥＳ）、秘匿化部４２３は、個人情報６６４−１からそのエントリを取得する（ステップ２０２４）。そして、秘匿化部４２３は、病院Ａの変換プログラムを用いて、取得したエントリのデータ形式を統一データ形式へ変換する（ステップ２０２５）。

一方、秘匿化完了日時よりも新しいエントリが存在しない場合（ステップ２０２３，ＮＯ）、秘匿化部４２３は、処理完了通知を日時管理部７０１へ送信して（ステップ２０２６）、処理を終了する。そして、日時管理部７０１は、日時テーブル７１２の病院Ａの病院ＩＤに対応する処理完了フラグに“ｔｒｕｅ”を設定する（ステップ２０２７）。

ステップ２０２５の処理を行った後、秘匿化部４２３は、取得したエントリに含まれる個人ＩＤを用いて、識別情報付与部４２２に対して個人ＩＤに対応する共通ＩＤを問い合わせる（ステップ２０３１）。

識別情報付与部４２２は、ＩＤテーブル７１１から、個人ＩＤに対応する共通ＩＤを検索し（ステップ２０３２）、その共通ＩＤが存在するか否かをチェックする（ステップ２０３３）。個人ＩＤに対応する共通ＩＤが存在する場合（ステップ２０３３，ＹＥＳ）、識別情報付与部４２２は、その共通ＩＤを秘匿化部４２３に通知する（ステップ２０３４）。

一方、個人ＩＤに対応する共通ＩＤが存在しない場合（ステップ２０３３，ＮＯ）、識別情報付与部４２２は、その個人ＩＤに対して新たな共通ＩＤを付与する（ステップ２０３５）。そして、識別情報付与部４２２は、その個人ＩＤと付与した共通ＩＤとの対応関係をＩＤテーブル７１１に登録し（ステップ２０３６）、付与した共通ＩＤを秘匿化部４２３に通知する（ステップ２０３４）。

次に、秘匿化部４２３は、識別情報付与部４２２から通知された共通ＩＤを、取得したエントリに設定する（ステップ２０３７）。そして、秘匿化部４２３は、バックアップＤＢ６５４−１から、取得したエントリに対応する患者の秘匿化項目情報６６５−１を取得して（ステップ２０３８）、項目毎に記号が“○”であるか否かをチェックする（ステップ２０４１）。

記号が“○”である場合（ステップ２０４１，ＹＥＳ）、秘匿化部４２３は、エントリに含まれるその項目の情報をそのまま転送部７０２へ転送する（ステップ２０４２）。そして、転送部７０２は、受信した情報に病院ＩＤを付与して、解析システム６１３の収集ストレージ装置６４３へ転送する（ステップ２０４３）。一方、記号が“○”ではない場合（ステップ２０４１，ＮＯ）、秘匿化部４２３は、記号が“△”であるか否かをチェックする（ステップ２０４４）。

記号が“△”である場合（ステップ２０４４，ＹＥＳ）、秘匿化部４２３は、加工テーブル７１４を取得し（ステップ２０４５）、エントリに含まれるその項目の情報を、加工テーブル７１４を用いて簡略化された情報に変換する（ステップ２０４６）。そして、秘匿化部４２３は、変換後の情報を転送部７０２へ転送し（ステップ２０４７）、転送部７０２は、受信した情報に病院ＩＤを付与して、収集ストレージ装置６４３へ転送する（ステップ２０４８）。

一方、記号が“△”ではない場合（ステップ２０４４，ＮＯ）、秘匿化部４２３は、エントリに含まれるその項目の情報を、秘匿化されていることを示すデータに変換する（ステップ２０４９）。そして、秘匿化部４２３は、変換後の情報を転送部７０２へ転送し（ステップ２０５０）、転送部７０２は、受信した情報に病院ＩＤを付与して、収集ストレージ装置６４３へ転送する（ステップ２０５１）。

収集ストレージ装置６４３は、転送部７０２から受信した各項目の情報及び病院ＩＤを、個人情報６６４−１に対応する秘匿化個人情報６６６のエントリとして、収集ＤＢ６５５に格納する。

次に、秘匿化部４２３は、日時テーブル７１２の更新要求を日時管理部７０１へ送信する（ステップ２０５２）。このとき、日時管理部７０１は、転送が完了したエントリの更新日時のうち最も遅い更新日時を、日時テーブル７１２の病院Ａの病院ＩＤに対応する秘匿化完了日時に設定する。最も遅い更新日時を有するエントリが複数個存在する場合、日時管理部７０１は、転送が完了したエントリの順位を表す番号を、設定した秘匿化完了日時に対応する同時刻連番に設定する。

次に、秘匿化部４２３は、ステップ２０１４以降の処理を繰り返す。そして、秘匿化処理を実施しないことを示す応答を受信した場合（ステップ２０１７，ＮＯ）、又は秘匿化完了日時よりも新しいエントリが存在しない場合（ステップ２０２３，ＮＯ）、秘匿化部４２３は、処理を終了する。

病院Ｂの個人情報６６４−２に対しても、図２０Ａ〜図２０Ｃと同様の情報秘匿化シーケンスによって秘匿化処理が行われ、秘匿化された個人情報６６４−２が秘匿化個人情報６６６に追加される。

図２１は、モードＭ１における情報解析シーケンスの例を示している。解析システム６１３のＰＣ６４２内には、解析アプリケーション２１０１がインストールされている。まず、解析アプリケーション２１０１は、情報解析機関の解析者の操作に基づいて、収集ストレージ装置６４３の収集ＤＢ６５５から、秘匿化個人情報６６６を取得する（ステップ２１１１）。次に、解析アプリケーション２１０１は、解析者の操作に基づいて、秘匿化個人情報６６６を解析し（ステップ２１１２）、解析結果２１０２をサーバ６４１に格納する（ステップ２１１３）。

図２２Ａ〜図２２Ｃは、モードＭ２における動作シーケンスの例を示している。まず、解析システム６１３の解析アプリケーション２１０１は、情報解析機関の解析者の操作に基づいて、収集ＤＢ生成要求を収集ストレージ装置６４３へ送信する（ステップ２２１１）。収集ストレージ装置６４３は、収集ＤＢ６５６を生成する（ステップ２２１２）。

次に、解析アプリケーション２１０１は、解析者の操作に基づいて、加工テーブル７１５を生成して、収集ストレージ装置６４３へ送信する（ステップ２２１３）。収集ストレージ装置６４３は、受信した加工テーブル７１５を格納する（ステップ２２１４）。

次に、解析アプリケーション２１０１は、解析者の操作に基づいて、秘匿化項目情報７１６を生成して、収集ストレージ装置６４３へ送信する（ステップ２２１５）。収集ストレージ装置６４３は、受信した秘匿化項目情報７１６を格納する（ステップ２２１６）。

次に、解析アプリケーション２１０１は、解析者の操作に基づいて、加工テーブル７１５及び秘匿化項目情報７１６とともに、収集期間を含む情報提供依頼をバックアップシステム６１２のサーバ６３２へ送信する（ステップ２２１７）。

サーバ６３２の秘匿化部４２３は、モードＭ１における各病院の秘匿化処理を中断して（ステップ２２１８）、秘匿化処理で参照する加工テーブルを、加工テーブル７１４から加工テーブル７１５へ切り替える（ステップ２２１９）。次に、秘匿化部４２３は、秘匿化処理で参照する秘匿化項目情報を、秘匿化項目情報６６５−ｉから秘匿化項目情報７１６へ切り替える（ステップ２２２０）。

次に、秘匿化部４２３は、秘匿化処理で参照する日時テーブルを、日時テーブル７１２から日時テーブル７１３へ切り替える（ステップ２２２１）。このとき、日時管理部７０１は、情報提供依頼に含まれる収集期間の収集開始日時よりも前の日時を、日時テーブル７１３の各病院の秘匿化完了日時に設定し、収集終了日時を各病院の秘匿化目標日時に設定する。そして、日時管理部７０１は、各病院の処理完了フラグに“ｆａｌｓｅ”を設定する。

次に、秘匿化部４２３は、秘匿化個人情報の転送先を、収集ＤＢ６５５から収集ＤＢ６５６へ切り替える（ステップ２２２２）。

次に、解析システム６１３のサーバ６４１は、バックアップＤＢ６５３−１の最新化依頼をバックアップシステム６１２へ送信し（ステップ２２３１）、転送部７０２は、最新化依頼を病院Ａの病院システム６１１−１へ転送する。

病院システム６１１−１のサーバ６２３−１は、バックアップＤＢ６５３−１の最新化が可能か否かを判定する（ステップ２２３２）。サーバ６２３−１は、バックアップＤＢ６５３−１の個人情報６６４−１が最新ではなく、かつ、個人情報６６４−１のバックアップが即時可能である場合、最新化が可能であると判定する。また、サーバ６２３−１は、バックアップＤＢ６５３−１の個人情報６６４−１が最新である場合、又は、個人情報６６４−１のバックアップが即時可能ではない場合、最新化が不可能であると判定する。

最新化が可能である場合（ステップ２２３２，ＹＥＳ）、サーバ６２３−１は、個人情報６６２−１のバックアップ指示を運用ストレージ装置６２４−１へ送信する（ステップ２２３３）。そして、運用ストレージ装置６２４−１は、個人情報６６２−１の複製を、個人情報６６４−１としてバックアップストレージ装置６３１−１のバックアップＤＢ６５３−１に書き込む（ステップ２２３４）。

次に、サーバ６２３−１は、秘匿化項目情報６６３−１のバックアップ指示を運用ストレージ装置６２４−１へ送信する（ステップ２２３５）。そして、運用ストレージ装置６２４−１は、秘匿化項目情報６６３−１の複製を、秘匿化項目情報６６５−１としてバックアップストレージ装置６３１−１のバックアップＤＢ６５４−１に書き込む（ステップ２２３６）。

そして、サーバ６２３−１は、最新化完了を示す応答をサーバ６４１へ送信する（ステップ２２３７）。一方、最新化が不可能である場合（ステップ２２３２，ＮＯ）、サーバ６２３−１は、直ちに、最新化完了を示す応答をサーバ６４１へ送信する（ステップ２２３７）。

次に、サーバ６４１は、収集ストレージ装置６４３及びサーバ６３２に対して、収集ＤＢ６５６と秘匿化部４２３との間のコネクションの確立を指示する（ステップ２２４１）。そして、収集ストレージ装置６４３は、収集ＤＢ６５６と秘匿化部４２３との間のコネクションを確立し（ステップ２２４２）、サーバ６３２も、収集ＤＢ６５６と秘匿化部４２３との間のコネクションを確立する（ステップ２２４３）。

次に、秘匿化部４２３は、データ形式変換処理を行い（ステップ２２５１）、共通ＩＤ設定処理を行い（ステップ２２５２）、秘匿化項目情報７１６を取得して（ステップ２２５３）、秘匿化処理を行う（ステップ２２５４）。

ステップ２２５１では、図２０Ａのステップ２０１４〜図２０Ｂのステップ２０２７と同様の処理が行われ、ステップ２２５２では、図２０Ｂのステップ２０３１〜ステップ２０３７と同様の処理が行われる。また、ステップ２２５４では、図２０Ｃのステップ２０４１〜ステップ２０５２と同様の処理が行われ、ステップ２０５２の処理の後、ステップ２０１４以降の処理が繰り返される。これにより、秘匿化された個人情報６６４−１が、秘匿化個人情報６６７として収集ＤＢ６５６に格納される。

そして、収集期間に対応するエントリの秘匿化処理が終了すると、秘匿化部４２３は、病院Ａの個人情報６６４−１に対する秘匿化処理の完了を、解析システム６１３のＰＣ６４２に通知する。

病院Ｂの個人情報６６４−２に対しても、図２２Ｂと同様の動作シーケンスによって秘匿化処理が行われ、秘匿化された個人情報６６４−２が秘匿化個人情報６６７に追加される。

すべての病院の個人情報６６４−ｉに対する秘匿化処理が完了すると、解析アプリケーション２１０１は、解析者の操作に基づいて、収集ストレージ装置６４３の収集ＤＢ６５６から、秘匿化個人情報６６７を取得し（ステップ２２６１）、収集完了通知をサーバ６３２へ送信する（ステップ２２６２）。次に、解析アプリケーション２１０１は、解析者の操作に基づいて、秘匿化個人情報６６７を解析し（ステップ２２６３）、解析結果２２０１をサーバ６４１に格納する（ステップ２２６４）。

収集完了通知を受信したサーバ６３２の秘匿化部４２３は、秘匿化個人情報の転送先を、収集ＤＢ６５６から元の収集ＤＢ６５５へ切り替える（ステップ２２７１）。次に、秘匿化部４２３は、秘匿化処理で参照する加工テーブルを、加工テーブル７１５から元の加工テーブル７１４へ切り替える（ステップ２２７２）。

次に、秘匿化部４２３は、秘匿化処理で参照する秘匿化項目情報を、秘匿化項目情報７１６から元の秘匿化項目情報６６５−ｉへ切り替える（ステップ２２７３）。次に、秘匿化部４２３は、秘匿化処理で参照する日時テーブルを、日時テーブル７１３から元の日時テーブル７１２へ切り替える（ステップ２２７４）。

次に、秘匿化部４２３は、日時管理部７０１に対して、モードＭ１における秘匿化処理を中断した箇所を問い合わせる（ステップ２２７５）。日時管理部７０１は、日時テーブル７１２を参照して、処理完了フラグに“ｆａｌｓｅ”が設定されているエントリを検索する。そして、日時管理部７０１は、検索したエントリの病院ＩＤ、秘匿化完了日時、及び同時刻連番を含む応答を、秘匿化部４２３へ送信する（ステップ２２７６）。

処理完了フラグに“ｆａｌｓｅ”が設定されている病院は、モードＭ１における秘匿化処理を中断した病院に対応し、秘匿化完了日時及び同時刻連番は、その病院の個人情報６６４−ｉにおける中断箇所を表している。

秘匿化部４２３は、応答に含まれる病院ＩＤが示す病院の個人情報６６４−ｉのうち、応答に含まれる秘匿化完了日時以降の更新日時を有するエントリを対象として、モードＭ１における秘匿化処理を再開する（ステップ２２７７）。この場合、図２０Ｂのステップ２０２１以降の処理が再開される。

秘匿化完了日時と同じ更新日時を有するエントリが複数個存在する場合は、同時刻連番が示す順位の次のエントリから、秘匿化処理が再開される。一方、秘匿化完了日時と同じ更新日時を有するエントリが１個のみ存在する場合は、次の更新日時を有するエントリから、秘匿化処理が再開される。

ところで、図６の情報処理システム６０１において、図７のＩＤテーブル７１１、日時テーブル７１２、日時テーブル７１３、加工テーブル７１４、加工テーブル７１５、及び秘匿化項目情報７１６は、共有リソースである。モードＭ１及びモードＭ２において、サーバ６３２は、これらの共有リソースにアクセスしながら、複数の病院の個人情報６６４−ｉに対する秘匿化処理を行う。

特に、情報解析機関からの緊急の依頼に基づいてモードＭ２の動作を行う場合、サーバ６３２は、共有リソースにアクセスしながら、複数の病院の個人情報６６４−ｉに対する秘匿化処理を並列に行うことになる。処理対象の病院の数が少ない場合は、問題が生じないかもしれないが、病院の数が多い場合は、これらの共有リソースに対するアクセスが集中して、処理が遅延する可能性がある。

そこで、各病院の秘匿化処理を行う仮想マシン（ＶＭ）を、複数の物理サーバ又はクラウド上に配置することが考えられる。この場合、ＩＤテーブル７１１以外の共有リソースは病院間で同期する必要がないため、日時テーブル７１２、日時テーブル７１３、加工テーブル７１４、加工テーブル７１５、及び秘匿化項目情報７１６を、各病院のＶＭ内に配置することができる。一方、ＩＤテーブル７１１の情報は、病院間で同期することが望ましいため、ＶＭとは別の物理サーバに配置される。

図２３は、このような第２の情報処理システムの構成例を示している。図２３の情報処理システム２３０１は、ストレージ装置２３１１−１〜ストレージ装置２３１１−Ｎ（Ｎは２以上の整数）、情報処理装置２３１２−１〜情報処理装置２３１２−Ｎ、及び識別情報管理装置２３１３を含む。各情報処理装置２３１２−ｊ（ｊ＝１〜Ｎ）は、受信部２３２１−ｊ及び秘匿化部２３２２−ｊを含む。

ストレージ装置２３１１−１〜ストレージ装置２３１１−Ｎは、Ｎ個の情報提供機関それぞれのＮ個の運用データベースから転送される個人情報を格納する。情報処理装置２３１２−ｊの受信部２３２１−ｊは、複数の情報提供機関の間で共通して個人を識別する共通識別情報を、識別情報管理装置２３１３から受信する。秘匿化部２３２２−ｊは、共通識別情報を用いて秘匿化処理を行う。

図２４は、図２３の情報処理装置２３１２−ｊが行う第２の秘匿化処理の例を示すフローチャートである。まず、受信部２３２１−ｊは、Ｎ個の情報提供機関の間で共通して個人を識別する共通識別情報を、識別情報管理装置２３１３から受信する（ステップ２４０１）。

次に、秘匿化部２３２２−ｊは、ｊ番目の情報提供機関の運用データベースからストレージ装置２３１１−ｊへ転送される個人情報に対して、受信した共通識別情報を設定する（ステップ２４０２）。そして、秘匿化部２３２２−ｊは、共通識別情報を設定した個人情報を秘匿化して、秘匿化個人情報を生成する（ステップ２４０３）。

このような情報処理システム２３０１によれば、複数の情報提供機関から収集した個人情報を秘匿化した秘匿化個人情報の中から、同じ人物の情報を特定することができる。

図２５は、図２３の情報処理システム２３０１の具体例を示している。図２５の情報処理システム２５０１は、病院システム２５１１−１〜病院システム２５１１−Ｍ（ＭはＮ以上の整数）、バックアップシステム２５１２、及び解析システム２５１３を含む。

病院システム２５１１−ｉ（ｉ＝１〜Ｍ）は、ｉ番目の病院の病院システムであり、病院システム２５１１−ｉの構成は、図６の病院システム６１１−ｉと同様である。

バックアップシステム２５１２は、バックアップストレージ装置２５２１−１〜バックアップストレージ装置２５２１−Ｍ、サーバ２５２２−１〜サーバ２５２２−Ｎ、及びサーバ２５２３を含む。バックアップストレージ装置２５２１−ｉは、図２３のストレージ装置２３１１−ｉに対応し、サーバ２５２２−ｊは、情報処理装置２３１２−ｊに対応し、サーバ２５２３は、識別情報管理装置２３１３に対応する。

バックアップストレージ装置２５２１−ｉの構成は、図６のバックアップストレージ装置６３１−ｉと同様である。

各サーバ２５２２−ｊ内では、１つ以上の病院のＶＭが動作する。この例では、サーバ２５２２−１内で、１番目の病院のＶＭ２５２４−１、２番目の病院のＶＭ２５２４−２、及び３番目の病院のＶＭ２５２４−３が動作している。サーバ２５２２−２内では、４番目の病院のＶＭ２５２４−４及び５番目の病院のＶＭ２５２４−５が動作し、サーバ２５２２−Ｎ内では、（Ｍ−１）番目の病院のＶＭ２５２４−（Ｍ−１）及びＭ番目の病院のＶＭ２５２４−Ｍが動作している。

サーバ２５２３は、識別情報付与部２５２５を含み、ＩＤテーブル２５２６を記憶する。ＩＤテーブル２５２６は、図７のＩＤテーブル７１１に対応する。

解析システム２５１３は、サーバ２５３１、ＰＣ２５３２、及び収集ストレージ装置２５３３を含む。収集ストレージ装置２５３３の構成は、図６の収集ストレージ装置６４３と同様である。収集ストレージ装置２５３３は、病院の数の増加に伴ってスケールアウトが可能である。

図２６は、図２５のＶＭ２５２４−ｉの機能的構成例を示している。図２６のＶＭ２５２４−ｉは、秘匿化部２６０１、日時管理部２６０２、転送部２６０３、及びメモリ２６０４を含む。秘匿化部２６０１は、ＶＭ２５２４−ｉが実行するアプリケーションであり、図７の秘匿化部４２３及び図２３の秘匿化部２３２２−ｉと同様の機能を提供する。日時管理部２６０２及び転送部２６０３も、ＶＭ２５２４−ｉが実行するアプリケーションであり、図７の日時管理部７０１及び転送部７０２それぞれと同様の機能を提供する。

メモリ２６０４は、サーバ２５２２−ｊの記憶部内の記憶領域に対応し、日時テーブル２６１１、日時テーブル２６１２、加工テーブル２６１３、加工テーブル２６１４、及び秘匿化項目情報２６１５を記憶する。

日時テーブル２６１１及び日時テーブル２６１２は、図７の日時テーブル７１２及び日時テーブル７１３にそれぞれ対応する。ただし、日時テーブル７１２及び日時テーブル７１３とは異なり、ｉ番目の病院の個人情報６６４−ｉに対する秘匿化処理のエントリのみを含む。

図２７は、図２６の日時テーブル２６１１の例を示している。この例では、図１３に示した日時テーブル７１２のエントリのうち、病院ＩＤ“１００”のエントリのみが日時テーブル２６１１に含まれている。日時テーブル２６１２についても、日時テーブル２６１１と同様である。

加工テーブル２６１３、加工テーブル２６１４、及び秘匿化項目情報２６１５は、図７の加工テーブル７１４、加工テーブル７１５、及び秘匿化項目情報７１６にそれぞれ対応する。

図２５の情報処理システム２５０１は、図６の情報処理システム６０１と同様に、各病院からの依頼に基づいて秘匿化処理を行うモードＭ１の動作と、情報解析機関からの依頼に基づいて秘匿化処理を行うモードＭ２の動作とを行うことができる。

このとき、病院システム２５１１−ｉは、図６の病院システム６１１−ｉと同様に動作し、バックアップシステム２５１２のバックアップストレージ装置２５２１−ｉは、バックアップストレージ装置６３１−ｉと同様に動作する。

ＶＭ２５２４−ｉの秘匿化部２６０１、日時管理部２６０２、及び転送部２６０３は、図７の秘匿化部４２３、日時管理部７０１、及び転送部７０２と同様の機能を提供する。サーバ２５２３の識別情報付与部２５２５は、識別情報付与部４２２と同様に動作する。

解析システム２５１３のサーバ２５３１、ＰＣ２５３２、及び収集ストレージ装置２５３３は、図６のサーバ６４１、ＰＣ６４２、及び収集ストレージ装置６４３と同様に動作する。

モードＭ１における動作シーケンスは、図１９〜図２１と同様であり、モードＭ２における動作シーケンスは、図２２Ａ〜図２２Ｃと同様である。ただし、図２０Ａ〜図２０Ｃの動作シーケンスにおいて、各ＶＭ２５２４−ｉの秘匿化部２６０１及び日時管理部２６０２は、メモリ２６０４が記憶している日時テーブル２６１１及び加工テーブル２６１３を用いて処理を行う。そして、秘匿化部２６０１は、ＩＤテーブル２５２６を参照又は更新する際、サーバ２５２３にアクセスして識別情報付与部２５２５に処理を依頼する。

同様に、図２２Ａ〜図２２Ｃの動作シーケンスにおいて、各ＶＭ２５２４−ｉの秘匿化部２６０１及び日時管理部２６０２は、メモリ２６０４が記憶している日時テーブル２６１２及び加工テーブル２６１４を用いて処理を行う。そして、秘匿化部２６０１は、ＩＤテーブル２５２６を参照又は更新する際、サーバ２５２３にアクセスして識別情報付与部２５２５に処理を依頼する。

図２５の情報処理システム２５０１によれば、各病院のＶＭ２５２４−ｉが保持している個別リソースを用いて秘匿化処理が行われるため、処理対象の病院の数が多い場合であっても、複数の病院の秘匿化処理が遅延することなく並列に実行される。

また、各病院のＶＭ２５２４−ｉが処理する個人情報６６４−ｉをパスワードによって保護することも可能である。この場合、悪意のある人物がパスワードを取得して、バックアップシステム２５１２内のいずれかのＶＭ２５２４−ｉにアクセスした場合であっても、同じパスワードによる他のＶＭ２５２４−ｉへのアクセスはブロックされる。したがって、図６の情報処理システム６０１よりもセキュリティが向上する。

なお、各病院のＶＭ２５２４−ｉの代わりにコンテナ等を用いて、各病院の情報処理装置を仮想化してもよい。コンテナを用いた仮想化によって、秘匿化処理をさらに高速化することができる。

図６の情報処理システム６０１及び図２５の情報処理システム２５０１において、情報提供機関は、患者の診察情報を提供する病院以外の機関であってもよい。例えば、顧客の購買情報を提供する店舗、生徒の成績情報を提供する学校、予備校等の教育機関、又は顧客の預金残高、取引実績等を提供する銀行等の金融機関を、情報提供機関の例として挙げることができる。

情報提供機関が店舗である場合、顧客の購買情報が個人情報として収集され、顧客の嗜好等を表す解析結果が、レストラン等の情報利用者に対して提供される。情報提供機関が教育機関である場合、生徒の成績情報が個人情報として収集され、科目毎の傾向等を表す解析結果が、教育資材製作会社等の情報利用者に対して提供される。情報提供機関が金融機関である場合、顧客の預金残高、取引実績等が個人情報として収集され、ローンの利用状況等を表す解析結果が、ローン会社等の情報利用者に対して提供される。

図４の情報処理システム４０１、図６の情報処理システム６０１、図２３の情報処理システム２３０１、及び図２５の情報処理システム２５０１の構成は一例に過ぎず、情報処理システムの用途又は条件に応じて一部の構成要素を省略又は変更してもよい。例えば、図６の情報処理システム６０１において、バックアップストレージ装置６３１−１がバックアップＤＢ６５３−２及びバックアップＤＢ６５４−２を格納できる場合は、バックアップストレージ装置６３１−２を省略することができる。

図７のサーバ６３２の構成は一例に過ぎず、情報処理システム６０１の用途又は条件に応じて一部の構成要素を省略又は変更してもよい。図２６のＶＭ２５２４−ｉの構成は一例に過ぎず、情報処理システム２５０１の用途又は条件に応じて一部の構成要素を省略又は変更してもよい。

図５及び図２４のフローチャート及び図１９〜図２２Ｃの動作シーケンスは一例に過ぎず、情報処理システムの構成又は条件に応じて一部の処理を省略又は変更してもよい。例えば、モードＭ１の動作を行わない場合は、図１９〜図２１の動作シーケンスを省略することができ、モードＭ２の動作を行わない場合は、図２２Ａ〜図２２Ｃの動作シーケンスを省略することができる。

図８及び図９の個人情報、図１０及び図１１の秘匿化項目情報、図１５の加工テーブル、図１６及び図１７の秘匿化個人情報は一例に過ぎず、これらの情報は個人情報の内容に応じて変化する。図１２のＩＤテーブルは一例に過ぎず、別の形式のＩＤテーブルを用いることもできる。例えば、マイナンバー以外の氏名、保険証ＩＤ等の情報を個人ＩＤとして用いてもよい。図１３、図１４、及び図２７の日時テーブルは一例に過ぎず、別の形式の日時テーブルを用いることもできる。図１８のデータ形式を変換する処理は一例に過ぎず、データ形式は項目に応じて変化する。

図２８は、図４の情報処理装置４１２、図７のサーバ６３２、図２３の情報処理装置２３１２−ｊ、図２５のサーバ２５２２−ｊ、及びサーバ２５２３として用いられる情報処理装置のハードウェア構成例を示している。図２８の情報処理装置は、Central Processing Unit（ＣＰＵ）２８０１、メモリ２８０２、入力装置２８０３、出力装置２８０４、補助記憶装置２８０５、媒体駆動装置２８０６、及びネットワーク接続装置２８０７を含む。これらの構成要素はバス２８０８により互いに接続されている。

メモリ２８０２は、例えば、Read Only Memory（ＲＯＭ）、Random Access Memory（ＲＡＭ）、フラッシュメモリ等の半導体メモリであり、処理に用いられるプログラム及びデータを格納する。メモリ２８０２は、図４及び図７の記憶部４２１として用いることができる。

ＣＰＵ２８０１（プロセッサ）は、例えば、メモリ２８０２を利用してプログラムを実行することにより、図４及び図７の識別情報付与部４２２、秘匿化部４２３、及び図７の日時管理部７０１として動作する。ＣＰＵ２８０１は、メモリ２８０２を利用してプログラムを実行することにより、図２３の秘匿化部２３２２−ｊ及び図２５の識別情報付与部２５２５としても動作する。ＣＰＵ２８０１は、メモリ２８０２を利用してプログラムを実行することにより、図２６のＶＭ２５２４−ｉを動作させる。

入力装置２８０３は、例えば、キーボード、ポインティングデバイス等であり、オペレータ又はユーザからの指示又は情報の入力に用いられる。出力装置２８０４は、例えば、表示装置、プリンタ、スピーカ等であり、オペレータ又はユーザに対する問い合わせ又は処理結果の出力に用いられる。

補助記憶装置２８０５は、例えば、磁気ディスク装置、光ディスク装置、光磁気ディスク装置、テープ装置等である。補助記憶装置２８０５は、ハードディスクドライブであってもよい。情報処理装置は、補助記憶装置２８０５にプログラム及びデータを格納しておき、それらをメモリ２８０２にロードして使用することができる。補助記憶装置２８０５は、図４及び図７の記憶部４２１として用いることができる。

媒体駆動装置２８０６は、可搬型記録媒体２８０９を駆動し、その記録内容にアクセスする。可搬型記録媒体２８０９は、メモリデバイス、フレキシブルディスク、光ディスク、光磁気ディスク等である。可搬型記録媒体２８０９は、ＤＶＤ、Compact Disk Read Only Memory（ＣＤ−ＲＯＭ）、Universal Serial Bus（ＵＳＢ）メモリ等であってもよい。オペレータ又はユーザは、この可搬型記録媒体２８０９にプログラム及びデータを格納しておき、それらをメモリ２８０２にロードして使用することができる。

このように、処理に用いられるプログラム及びデータを格納するコンピュータ読み取り可能な記録媒体は、メモリ２８０２、補助記憶装置２８０５、又は可搬型記録媒体２８０９のような、物理的な（非一時的な）記録媒体である。

ネットワーク接続装置２８０７は、ＬＡＮ、Wide Area Network（ＷＡＮ）等の通信ネットワークに接続され、通信に伴うデータ変換を行う通信インタフェースである。ネットワーク接続装置２８０７は、図７の転送部７０２及び図２３の受信部２３２１−ｊとして用いることができる。情報処理装置は、プログラム及びデータを外部の装置からネットワーク接続装置２８０７を介して受信し、それらをメモリ２８０２にロードして使用することができる。

なお、情報処理装置が図２８のすべての構成要素を含む必要はなく、用途又は条件に応じて一部の構成要素を省略することも可能である。例えば、オペレータ又はユーザからの指示又は情報を入力する必要がない場合は、入力装置２８０３を省略してもよく、オペレータ又はユーザに対する問い合わせ又は処理結果を出力する必要がない場合は、出力装置２８０４を省略してもよい。可搬型記録媒体２８０９を利用しない場合は、媒体駆動装置２８０６を省略してもよい。

図６のＰＣ６２１−ｉ、ＰＣ６２２−ｉ、サーバ６２３−ｉ、サーバ６４１、及びＰＣ６４２としては、図２８と同様の情報処理装置を用いることができる。図２５のサーバ２５３１及びＰＣ２５３２としても、図２８と同様の情報処理装置を用いることができる。

開示の実施形態とその利点について詳しく説明したが、当業者は、特許請求の範囲に明確に記載した本発明の範囲から逸脱することなく、様々な変更、追加、省略をすることができるであろう。

図１乃至図２８を参照しながら説明した実施形態に関し、さらに以下の付記を開示する。
（付記１）
複数の情報提供機関の間で共通して個人を識別する共通識別情報を記憶する記憶部と、
前記複数の情報提供機関それぞれの複数の運用データベースからストレージ装置へ転送される個人情報に対して、前記共通識別情報を付与する識別情報付与部と、
前記共通識別情報が付与された前記個人情報を秘匿化して、秘匿化個人情報を生成する秘匿化部と、
を備えることを特徴とする情報処理装置。
（付記２）
前記記憶部は、前記個人情報に含まれる個人識別情報と前記共通識別情報とを対応付ける対応関係を記憶し、前記識別情報付与部は、前記対応関係によって前記個人識別情報に対応付けられた前記共通識別情報を、前記個人情報に対して付与し、前記秘匿化部は、前記個人情報に含まれる前記個人識別情報を秘匿化することを特徴とする付記１記載の情報処理装置。
（付記３）
前記ストレージ装置は、前記個人情報に含まれる複数の項目のうち秘匿化対象の項目を指定する秘匿化項目情報を記憶し、前記秘匿化部は、前記秘匿化項目情報が指定する前記秘匿化対象の項目の情報を秘匿化することを特徴とする付記１又は２記載の情報処理装置。
（付記４）
前記秘匿化項目情報は、前記秘匿化対象の項目のうち、情報を簡略化する処理の対象となる第１項目と、秘匿化されていることを示すデータに変換する処理の対象となる第２項目とを指定し、前記秘匿化部は、前記個人情報に含まれる前記第１項目の情報を簡略化し、前記個人情報に含まれる前記第２項目の情報を、前記秘匿化されていることを示すデータに変換することを特徴とする付記３記載の情報処理装置。
（付記５）
前記秘匿化個人情報を、情報解析機関が使用する収集ストレージ装置へ転送する転送部をさらに備え、
前記秘匿化部は、前記複数の情報提供機関各々からの依頼に基づいて、複数の個人情報それぞれから複数の秘匿化個人情報を生成する第１の処理と、前記情報解析機関からの依頼に基づいて、複数の個人情報それぞれから複数の秘匿化個人情報を生成する第２の処理とを行うことを特徴とする付記１乃至４のいずれか１項に記載の情報処理装置。
（付記６）
前記秘匿化部は、前記第１の処理において前記複数の個人情報のうち所定の個人情報から前記秘匿化個人情報を生成した後に前記情報解析機関からの前記依頼を受信した場合、前記第１の処理を中断して前記第２の処理を開始し、前記第２の処理を完了した後、前記所定の個人情報の次の個人情報から前記第１の処理を再開することを特徴とする付記５記載の情報処理装置。
（付記７）
前記秘匿化部は、前記複数の運用データベースそれぞれにおける個人情報のデータ形式が異なる場合、前記複数の運用データベースから転送される前記個人情報のデータ形式を統一データ形式へ変換し、前記統一データ形式の個人情報から前記秘匿化個人情報を生成することを特徴とする付記１乃至６のいずれか１項に記載の情報処理装置。
（付記８）
複数の情報提供機関それぞれの複数の運用データベースから転送される個人情報を格納するストレージ装置と、
前記ストレージ装置に格納された前記個人情報に対して、前記複数の情報提供機関の間で共通して個人を識別する共通識別情報を付与し、前記共通識別情報が付与された前記個人情報を秘匿化して、秘匿化個人情報を生成する情報処理装置と、
を備えることを特徴とする情報処理システム。
（付記９）
複数の情報提供機関それぞれの複数の運用データベースからストレージ装置へ転送される個人情報に対して、前記複数の情報提供機関の間で共通して個人を識別する共通識別情報を付与し、
前記共通識別情報が付与された前記個人情報を秘匿化して、秘匿化個人情報を生成する、
処理をコンピュータに実行させるプログラム。
（付記１０）
前記コンピュータは、前記個人情報に含まれる個人識別情報と前記共通識別情報とを対応付ける対応関係を記憶し、前記対応関係によって前記個人識別情報に対応付けられた前記共通識別情報を、前記個人情報に対して付与し、前記個人情報に含まれる前記個人識別情報を秘匿化することを特徴とする付記９記載のプログラム。
（付記１１）
前記ストレージ装置は、前記個人情報に含まれる複数の項目のうち秘匿化対象の項目を指定する秘匿化項目情報を記憶し、前記コンピュータは、前記秘匿化項目情報が指定する前記秘匿化対象の項目の情報を秘匿化することを特徴とする付記９又は１０記載のプログラム。
（付記１２）
コンピュータが、
複数の情報提供機関それぞれの複数の運用データベースからストレージ装置へ転送される個人情報に対して、前記複数の情報提供機関の間で共通して個人を識別する共通識別情報を付与し、
前記共通識別情報が付与された前記個人情報を秘匿化して、秘匿化個人情報を生成する、
ことを特徴とする情報処理方法。
（付記１３）
前記コンピュータは、前記個人情報に含まれる個人識別情報と前記共通識別情報とを対応付ける対応関係を記憶し、前記対応関係によって前記個人識別情報に対応付けられた前記共通識別情報を、前記個人情報に対して付与し、前記個人情報に含まれる前記個人識別情報を秘匿化することを特徴とする付記１２記載の情報処理方法。
（付記１４）
前記ストレージ装置は、前記個人情報に含まれる複数の項目のうち秘匿化対象の項目を指定する秘匿化項目情報を記憶し、前記コンピュータは、前記秘匿化項目情報が指定する前記秘匿化対象の項目の情報を秘匿化することを特徴とする付記１２又は１３記載の情報処理方法。
（付記１５）
複数の情報提供機関の間で共通して個人を識別する共通識別情報を、識別情報管理装置から受信する受信部と、
前記複数の情報提供機関それぞれの複数の運用データベースからストレージ装置へ転送される個人情報に対して、前記共通識別情報を設定し、前記共通識別情報を設定した前記個人情報を秘匿化して、秘匿化個人情報を生成する秘匿化部と、
を備えることを特徴とする情報処理装置。
（付記１６）
前記識別情報管理装置は、前記個人情報に含まれる個人識別情報と前記共通識別情報とを対応付ける対応関係を記憶し、前記対応関係によって前記個人識別情報に対応付けられた前記共通識別情報を、前記個人情報に対して付与し、前記秘匿化部は、前記個人情報に含まれる前記個人識別情報を秘匿化することを特徴とする付記１５記載の情報処理装置。
（付記１７）
前記ストレージ装置は、前記個人情報に含まれる複数の項目のうち秘匿化対象の項目を指定する秘匿化項目情報を記憶し、前記秘匿化部は、前記秘匿化項目情報が指定する前記秘匿化対象の項目の情報を秘匿化することを特徴とする付記１５又は１６記載の情報処理装置。
（付記１８）
複数の情報提供機関それぞれの複数の運用データベースから転送される個人情報を格納する複数のストレージ装置と、
前記複数のストレージ装置に格納された前記個人情報に対して、前記複数の情報提供機関の間で共通して個人を識別する共通識別情報を付与する識別情報管理装置と、
複数の情報処理装置とを備え、
前記複数の情報処理装置の各々は、前記識別情報管理装置から前記共通識別情報を受信し、前記個人情報に対して前記共通識別情報を設定し、前記共通識別情報を設定した前記個人情報を秘匿化して、秘匿化個人情報を生成する、
ことを特徴とする情報処理システム。
（付記１９）
複数の情報提供機関の間で共通して個人を識別する共通識別情報を、識別情報管理装置から受信し、
前記複数の情報提供機関それぞれの複数の運用データベースからストレージ装置へ転送される個人情報に対して、前記共通識別情報を設定し、
前記共通識別情報を設定した前記個人情報を秘匿化して、秘匿化個人情報を生成する、
処理をコンピュータに実行させるプログラム。
（付記２０）
コンピュータが、
複数の情報提供機関の間で共通して個人を識別する共通識別情報を、識別情報管理装置から受信し、
前記複数の情報提供機関それぞれの複数の運用データベースからストレージ装置へ転送される個人情報に対して、前記共通識別情報を設定し、
前記共通識別情報を設定した前記個人情報を秘匿化して、秘匿化個人情報を生成する、
ことを特徴とする情報処理方法。

１０１−１、１０１−２、６１１−１、６１１−２、２５１１−１〜２５１１−Ｍ 病院システム
１０２、６１３、２５１３ 解析システム
１１１−１、１１１−２、１１２−１、１１２−２、１２２、６２１−１、６２１−２、６２２−１、６２２−２、６４２、２５３２ ＰＣ
１１３−１、１１３−２、１２１、６２３−１、６２３−２、６３２、６４１、２５２２−１〜２５２２−Ｎ、２５２３、２５３１ サーバ
１１４−１、１１４−２、６２４−１、６２４−２ 運用ストレージ装置
１１５−１、１１５−２、６３１−１、６３１−２、２５２１−１〜２５２１−Ｍ バックアップストレージ装置
１２３、６４３、２５３３ 収集ストレージ装置
１３１−１、１３１−２、６５１−１、６５１−２、６５２−１、６５２−２ 運用ＤＢ
１３２−１、１３２−２、６５３−１、６５３−２、６５４−１、６５４−２ バックアップＤＢ
１３３、６５５、６５６ 収集ＤＢ
１４１−１、１４１−２ ＤＶＤ
１５１−１、１５１−２、２０３−１、６６１−１、６６１−２ 電子カルテ
２０１、２０２、１９０１、１９０２ 電子カルテクライアント
３０１、２１０１ 解析アプリケーション
３０２、２１０２、２２０１ 解析結果
４０１、６０１、２３０１、２５０１ 情報処理システム
４１１、２３１１−１〜２３１１−Ｎ ストレージ装置
４１２、２３１２−１〜２３１２−Ｎ 情報処理装置
４２１ 記憶部
４２２、２５２５ 識別情報付与部
４２３、２３２２−１〜２３２２−Ｎ、２６０１ 秘匿化部
６１２、２５１２ バックアップシステム
６６２−１、６６２−２、６６４−１、６６４−２ 個人情報
６６３−１、６６３−２、６６５−１、６６５−２、７１６、２６１５ 秘匿化項目情報
６６６、６６７ 秘匿化個人情報
７０１、２６０２ 日時管理部
７０２、２６０３ 転送部
７１１、２５２６ ＩＤテーブル
７１２、７１３、２６１１、２６１２ 日時テーブル
７１４、７１５、２６１３、２６１４ 加工テーブル
２３２１−１〜２３２１−Ｎ 受信部
２３１３ 識別情報管理装置
２５２４−１〜２５２４−Ｍ ＶＭ
２８０１ ＣＰＵ
２８０２ メモリ
２８０３ 入力装置
２８０４ 出力装置
２８０５ 補助記憶装置
２８０６ 媒体駆動装置
２８０７ ネットワーク接続装置
２８０８ バス
２８０９ 可搬型記録媒体

Claims (11)

1. 複数の情報提供機関の間で共通して個人を識別する共通識別情報を記憶する記憶部と、
   前記複数の情報提供機関それぞれの複数の運用データベースからストレージ装置へ転送される個人情報に対して、前記共通識別情報を付与する識別情報付与部と、
   前記共通識別情報が付与された前記個人情報を秘匿化して、秘匿化個人情報を生成する秘匿化部と、
   前記秘匿化個人情報を、情報解析機関が使用する収集ストレージ装置へ転送する転送部とを備え、
   前記秘匿化部は、前記複数の情報提供機関各々からの依頼に基づいて、複数の個人情報それぞれから複数の秘匿化個人情報を生成する第１の処理と、前記情報解析機関からの依頼に基づいて、複数の個人情報それぞれから複数の秘匿化個人情報を生成する第２の処理とを行い、前記第１の処理において前記複数の個人情報のうち所定の個人情報から前記秘匿化個人情報を生成した後に前記情報解析機関からの前記依頼を受信した場合、前記第１の処理を中断して前記第２の処理を開始し、前記第２の処理を完了した後、前記第１の処理の進捗情報から前記所定の個人情報を示す中断箇所を取得し、前記中断箇所が示す前記所定の個人情報の次の個人情報から前記第１の処理を再開することを特徴とする情報処理装置。
2. 前記記憶部は、前記ストレージ装置へ転送される前記個人情報に含まれる個人識別情報と前記共通識別情報とを対応付ける対応関係を記憶し、前記識別情報付与部は、前記対応関係によって前記ストレージ装置へ転送される前記個人識別情報に対応付けられた前記共通識別情報を、前記ストレージ装置へ転送される前記個人情報に対して付与し、前記秘匿化部は、前記ストレージ装置へ転送される前記個人情報に含まれる前記個人識別情報を秘匿化することを特徴とする請求項１記載の情報処理装置。
3. 前記ストレージ装置は、前記ストレージ装置へ転送される前記個人情報に含まれる複数の項目のうち秘匿化対象の項目を指定する秘匿化項目情報を記憶し、前記秘匿化部は、前記秘匿化項目情報が指定する前記秘匿化対象の項目の情報を秘匿化することを特徴とする請求項１又は２記載の情報処理装置。
4. 前記秘匿化部は、前記複数の運用データベースそれぞれにおける個人情報のデータ形式が異なる場合、前記複数の運用データベースから転送される前記個人情報のデータ形式を統一データ形式へ変換し、前記統一データ形式の個人情報から前記秘匿化個人情報を生成することを特徴とする請求項１乃至３のいずれか１項に記載の情報処理装置。
5. 複数の情報提供機関それぞれの複数の運用データベースから転送される個人情報を格納するストレージ装置と、
   前記ストレージ装置に格納された前記個人情報に対して、前記複数の情報提供機関の間で共通して個人を識別する共通識別情報を付与し、前記共通識別情報が付与された前記個人情報を秘匿化して、秘匿化個人情報を生成し、前記秘匿化個人情報を、情報解析機関が使用する収集ストレージ装置へ転送する情報処理装置とを備え、
   前記情報処理装置は、前記複数の情報提供機関各々からの依頼に基づいて、複数の個人情報それぞれから複数の秘匿化個人情報を生成する第１の処理と、前記情報解析機関からの依頼に基づいて、複数の個人情報それぞれから複数の秘匿化個人情報を生成する第２の処理とを行い、前記第１の処理において前記複数の個人情報のうち所定の個人情報から前記秘匿化個人情報を生成した後に前記情報解析機関からの前記依頼を受信した場合、前記第１の処理を中断して前記第２の処理を開始し、前記第２の処理を完了した後、前記第１の処理の進捗情報から前記所定の個人情報を示す中断箇所を取得し、前記中断箇所が示す前記所定の個人情報の次の個人情報から前記第１の処理を再開することを特徴とする情報処理システム。
6. コンピュータのためのプログラムであって、
   前記プログラムは、
   複数の情報提供機関それぞれの複数の運用データベースからストレージ装置へ転送される個人情報に対して、前記複数の情報提供機関の間で共通して個人を識別する共通識別情報を付与し、
   前記共通識別情報が付与された前記個人情報を秘匿化して、秘匿化個人情報を生成し、
   前記秘匿化個人情報を、情報解析機関が使用する収集ストレージ装置へ転送する、
   処理を前記コンピュータに実行させ、
   前記秘匿化個人情報を生成する処理は、前記複数の情報提供機関各々からの依頼に基づいて、複数の個人情報それぞれから複数の秘匿化個人情報を生成する第１の処理と、前記情報解析機関からの依頼に基づいて、複数の個人情報それぞれから複数の秘匿化個人情報を生成する第２の処理とを行い、前記第１の処理において前記複数の個人情報のうち所定の個人情報から前記秘匿化個人情報を生成した後に前記情報解析機関からの前記依頼を受信した場合、前記第１の処理を中断して前記第２の処理を開始し、前記第２の処理を完了した後、前記第１の処理の進捗情報から前記所定の個人情報を示す中断箇所を取得し、前記中断箇所が示す前記所定の個人情報の次の個人情報から前記第１の処理を再開する処理を含むことを特徴とするプログラム。
7. コンピュータが、
   複数の情報提供機関それぞれの複数の運用データベースからストレージ装置へ転送される個人情報に対して、前記複数の情報提供機関の間で共通して個人を識別する共通識別情報を付与し、
   前記共通識別情報が付与された前記個人情報を秘匿化して、秘匿化個人情報を生成し、
   前記秘匿化個人情報を、情報解析機関が使用する収集ストレージ装置へ転送し、
   前記秘匿化個人情報を生成する処理は、前記複数の情報提供機関各々からの依頼に基づいて、複数の個人情報それぞれから複数の秘匿化個人情報を生成する第１の処理と、前記情報解析機関からの依頼に基づいて、複数の個人情報それぞれから複数の秘匿化個人情報を生成する第２の処理とを行い、前記第１の処理において前記複数の個人情報のうち所定の個人情報から前記秘匿化個人情報を生成した後に前記情報解析機関からの前記依頼を受信した場合、前記第１の処理を中断して前記第２の処理を開始し、前記第２の処理を完了した後、前記第１の処理の進捗情報から前記所定の個人情報を示す中断箇所を取得し、前記中断箇所が示す前記所定の個人情報の次の個人情報から前記第１の処理を再開する処理を含むことを特徴とする情報処理方法。
8. 複数の情報提供機関の間で共通して個人を識別する共通識別情報を、識別情報管理装置から受信する受信部と、
   前記複数の情報提供機関それぞれの複数の運用データベースからストレージ装置へ転送される個人情報に対して、前記共通識別情報を設定し、前記共通識別情報を設定した前記個人情報を秘匿化して、秘匿化個人情報を生成する秘匿化部と、
   前記秘匿化個人情報を、情報解析機関が使用する収集ストレージ装置へ転送する転送部とを備え、
   前記秘匿化部は、前記複数の情報提供機関各々からの依頼に基づいて、複数の個人情報それぞれから複数の秘匿化個人情報を生成する第１の処理と、前記情報解析機関からの依頼に基づいて、複数の個人情報それぞれから複数の秘匿化個人情報を生成する第２の処理とを行い、前記第１の処理において前記複数の個人情報のうち所定の個人情報から前記秘匿化個人情報を生成した後に前記情報解析機関からの前記依頼を受信した場合、前記第１の処理を中断して前記第２の処理を開始し、前記第２の処理を完了した後、前記第１の処理の進捗情報から前記所定の個人情報を示す中断箇所を取得し、前記中断箇所が示す前記所定の個人情報の次の個人情報から前記第１の処理を再開することを特徴とする情報処理装置。
9. 複数の情報提供機関それぞれの複数の運用データベースから転送される個人情報を格納する複数のストレージ装置と、
   前記複数のストレージ装置に格納された前記個人情報に対して、前記複数の情報提供機関の間で共通して個人を識別する共通識別情報を付与する識別情報管理装置と、
   複数の情報処理装置とを備え、
   前記複数の情報処理装置の各々は、前記識別情報管理装置から前記共通識別情報を受信し、前記個人情報に対して前記共通識別情報を設定し、前記共通識別情報を設定した前記個人情報を秘匿化して、秘匿化個人情報を生成し、前記秘匿化個人情報を、情報解析機関が使用する収集ストレージ装置へ転送し、
   前記複数の情報処理装置の各々は、前記複数の情報提供機関各々からの依頼に基づいて、複数の個人情報それぞれから複数の秘匿化個人情報を生成する第１の処理と、前記情報解析機関からの依頼に基づいて、複数の個人情報それぞれから複数の秘匿化個人情報を生成する第２の処理とを行い、前記第１の処理において前記複数の個人情報のうち所定の個人情報から前記秘匿化個人情報を生成した後に前記情報解析機関からの前記依頼を受信した場合、前記第１の処理を中断して前記第２の処理を開始し、前記第２の処理を完了した後、前記第１の処理の進捗情報から前記所定の個人情報を示す中断箇所を取得し、前記中断箇所が示す前記所定の個人情報の次の個人情報から前記第１の処理を再開することを特徴とする情報処理システム。
10. コンピュータのためのプログラムであって、
    前記プログラムは、
    複数の情報提供機関の間で共通して個人を識別する共通識別情報を、識別情報管理装置から受信し、
    前記複数の情報提供機関それぞれの複数の運用データベースからストレージ装置へ転送される個人情報に対して、前記共通識別情報を設定し、
    前記共通識別情報を設定した前記個人情報を秘匿化して、秘匿化個人情報を生成し、
    前記秘匿化個人情報を、情報解析機関が使用する収集ストレージ装置へ転送する、
    処理を前記コンピュータに実行させ、
    前記秘匿化個人情報を生成する処理は、前記複数の情報提供機関各々からの依頼に基づいて、複数の個人情報それぞれから複数の秘匿化個人情報を生成する第１の処理と、前記情報解析機関からの依頼に基づいて、複数の個人情報それぞれから複数の秘匿化個人情報を生成する第２の処理とを行い、前記第１の処理において前記複数の個人情報のうち所定の個人情報から前記秘匿化個人情報を生成した後に前記情報解析機関からの前記依頼を受信した場合、前記第１の処理を中断して前記第２の処理を開始し、前記第２の処理を完了した後、前記第１の処理の進捗情報から前記所定の個人情報を示す中断箇所を取得し、前記中断箇所が示す前記所定の個人情報の次の個人情報から前記第１の処理を再開する処理を含むことを特徴とするプログラム。
11. コンピュータが、
    複数の情報提供機関の間で共通して個人を識別する共通識別情報を、識別情報管理装置から受信し、
    前記複数の情報提供機関それぞれの複数の運用データベースからストレージ装置へ転送される個人情報に対して、前記共通識別情報を設定し、
    前記共通識別情報を設定した前記個人情報を秘匿化して、秘匿化個人情報を生成し、
    前記秘匿化個人情報を、情報解析機関が使用する収集ストレージ装置へ転送し、
    前記秘匿化個人情報を生成する処理は、前記複数の情報提供機関各々からの依頼に基づいて、複数の個人情報それぞれから複数の秘匿化個人情報を生成する第１の処理と、前記情報解析機関からの依頼に基づいて、複数の個人情報それぞれから複数の秘匿化個人情報を生成する第２の処理とを行い、前記第１の処理において前記複数の個人情報のうち所定の個人情報から前記秘匿化個人情報を生成した後に前記情報解析機関からの前記依頼を受信した場合、前記第１の処理を中断して前記第２の処理を開始し、前記第２の処理を完了した後、前記第１の処理の進捗情報から前記所定の個人情報を示す中断箇所を取得し、前記中断箇所が示す前記所定の個人情報の次の個人情報から前記第１の処理を再開する処理を含むことを特徴とする情報処理方法。
    

Images