JP7118199B1 - 処理システム、処理方法及び処理プログラム - Google Patents

Abstract

【課題】秘密計算上のデータを利用する際に、個人情報の第三者提供による同意取得を不要とすることができる。【解決手段】処理システム１００は、元データを断片化したシェアの状態で複数のサーバに分散保管する処理システムであって、複数のサーバ２０Ａ～２０Ｃのそれぞれは、依頼元端末装置３０から要求された計算に使用するシェアに対して統計加工を行う統計加工部と、統計加工において変換された統計情報を用いて、依頼元端末装置３０から要求された計算を行う計算処理部と、を有する。【選択図】図１

Description

本発明は、処理装置システム、処理方法及び処理プログラムに関する。

医療情報等の重要情報を取り扱う事業者は、法規制や特定分野ガイドラインに準拠したセキュリティ対策だけでなく、情報を安全に利活用することが求められている。特に、分野横断的なデータの蓄積やデータの利活用は、イノベーションを促進し、経済成長など様々な分野の発展につながることが期待される一方、データ開示に伴うリスクや、企業戦略等の保護の観点から、データ利活用促進を阻害する要因となっている。

そこで、これら相反する要求を実現できる技術として、秘密計算が提案されている。秘密計算は、機微データを秘匿し、互いに開示することなく結果のみを返す技術である。

国際公開第２０１９／１２４２６０号 特開２０２０－０４２１２８号公報

日本電信電話株式会社，秘密計算のシステムとその原理, ［online］，［令和３年３月５日検索］、インターネット＜ＵＲＬ：ttps://www.rd.ntt/sc/project/data-security/NTT-himitsu-keisan.pdf＞ 桐淵 直人, 五十嵐 大, 濱田 浩気, 菊池 亮, "プログラマブルな秘密計算ライブラリMEVAL3", 暗号と情報セキュリティシンポジウム(SCIS), 2018. Eizen Kimura, Koki Hamada, Ryo Kikuchi, Koji Chida, Kazuya Okamoto, Shirou Manabe, Tomohiro Kuroda, Yasushi Matsumura, Toshihiro Takeda, and Naoki Mihara, "Evaluation of Secure Computation in a Distributed Healthcare Setting", Medical Informatics Europe (MIE) 2016: 152-156. Koji Chida, Gembu Morohashi, Hitoshi Fuji, Fumihiko Magata, Akiko Fujimura, Koki Hamada, Dai Ikarashi, Ryuichi Yamamoto, "Implementation and evaluation of an efficient secure computation system using 'R' for healthcare statistics", J Am Med Inform Assoc. 21, pp.326-331, 2014.

しかしながら、秘密計算では、データを秘密分散で秘匿しているが、現行法では秘密分散も暗号化の一種であり、個人情報の取り扱いになる。このため、第三者が、秘密計算による、組織間のデータを連携した横断分析を実現しようとすると、分析時に第三者が暗号文の形式ではあるもののデータに触れることとなり、個人情報の第三者提供が発生する。したがって、秘密計算では、個人情報の第三者提供に対する同意取得を回避することができないという問題があった。

本発明は、上記に鑑みてなされたものであって、秘密計算上のデータを利用する際に、個人情報の第三者提供による同意取得を不要とすることができる処理システム、処理方法及び処理プログラムを提供することを目的とする。

上述した課題を解決し、目的を達成するために、本発明の処理システムは、元データを断片化したシェアの状態で複数のサーバに分散保管する処理システムであって、複数のサーバのそれぞれは、依頼元の装置から要求された計算に使用するシェアに対して統計加工を行う統計加工部と、統計加工において変換された統計情報を用いて、依頼元の装置から要求された計算を行う計算処理部と、を有することを特徴とする。

本発明によれば、秘密計算上のデータを利用する際に、個人情報の第三者提供による同意取得を不要とすることができる。

図１は、実施の形態に係る処理システムの構成の一例を示すブロック図である。 図２は、実施の形態に係る処理システムの処理の概要を説明する図である。 図３は、実施の形態に係る処理システムの処理の概要を説明する図である。 図４は、登録者サーバの構成の一例を模式的に示す図である。 図５は、サーバの構成の一例を模式的に示す図である。 図６は、依頼元端末装置の構成の一例を模式的に示す図である。 図７は、所定の患者の生存率分析に関する秘密計算例を説明する図である。 図８は、処理システムが実行する秘密計算の処理手順を示すシーケンス図である。 図９は、秘密計算の処理例を示す図である。 図１０は、実施の形態における秘密計算の処理例を示す図である。 図１１は、プログラムを実行するコンピュータを示す図である。

以下に、本願に係る処理システム、処理方法及び処理プログラムの実施の形態を図面に基づいて詳細に説明する。なお、この実施の形態により本願に係る処理システム、処理方法及び処理プログラムが限定されるものではない。

以下の実施の形態では、実施の形態に係る処理システム、処理方法及び処理プログラムの処理の流れを順に説明し、最後に実施の形態による効果を説明する。

［実施の形態］
まず、実施の形態について説明する。実施の形態では、データを暗号化したまま計算できる秘密計算において、各組織のデータに対し、秘密計算による統計加工を行い、各組織のデータを、個人が特定されない統計情報に変換した後に、統計情報を用いて、秘密計算による組織間のデータ連携を行う。これによって、本実施の形態では、秘密計算上のデータを利用する際の、個人情報の第三者提供による同意取得を不要としている。

［処理システムの構成及び処理の概要］
実施の形態に係る処理システムの構成及び処理システムにおける処理の概要を説明する。図１は、実施の形態に係る処理システムの構成の一例を示すブロック図である。図２及び図３は、実施の形態に係る処理システムの処理の概要を説明する図である。

実施の形態に係る処理システム１００では、データを暗号化したまま計算できる秘密計算を実行するシステムである。処理システム１００では、データを、複数のシェアと呼ばれる断片に分割し、これらのシェアを複数のサーバに分散保管させた状態で、複数のサーバが、定められた手順に従って複数のサーバ間でデータの演算と交換を行うマルチパーティ計算を行うことで秘密計算を実行する。個々のシェアはそれぞれ意味のないデータになっており、シェア一つだけでは元データを復元できず情報は洩れないが、ある一定数以上のシェアが揃うと元のデータを復元することができる。

以降では、処理システム１００が、図１に示すように、データ登録者Ａ，Ｂの登録者サーバ１０Ａ，１０Ｂと、データセンター（ＤＣ）内のサーバ２０Ａ，２０Ｂ，２０Ｃと、計算依頼を行う依頼元端末装置３０とで構成される例について説明する。なお、図１に示す構成は一例に過ぎず、具体的な構成や各装置の数は特に限定されない。また、説明の容易化のために、登録者サーバ１０Ａ，１０Ｂと依頼元端末装置３０とを分けて説明するが、実際の運用では、登録者サーバ１０Ａ，１０Ｂが有する機能を依頼元端末装置３０が有していてもよい。

まず、データ保管の処理について説明する。登録者サーバ１０Ａ，１０Ｂは、ＤＣのサーバ群２０にデータをアップロードする。登録者サーバ１０Ａ，１０Ｂは、アップロード対象の元データＤａ，Ｄｂを、それぞれ、シェアＳａ１～Ｓａ３，Ｓｂ１～Ｓｂ３に断片化する（図２の（１））。登録者サーバ１０Ａ，１０Ｂは、断片化した各シェアＳａ１～Ｓａ３，Ｓｂ１～Ｓｂ３を、ＤＣのサーバ２０Ａ～２０Ｃに、分散して保管させる（図２の（２））。

例えば、サーバ２０Ａは、シェアＳａ１，Ｓｂ１を保管し、サーバ２０Ｂは、シェアＳａ２，Ｓｂ２を保管し、サーバ２０Ｃは、シェアＳａ３，Ｓｂ３を保管する。そして、サーバ２０Ａ～２０Ｃ単体では、シェアＳａ１～Ｓａ３，Ｓｂ１～Ｓｂ３を、元データに復元することができない。このため、個々のシェアＳａ１～Ｓａ３，Ｓｂ１～Ｓｂ３からは情報が漏れない。

これによって、元データＤａと元データＤｂは、それぞれ、暗号化されてサーバ２０Ａ～２０Ｃに登録されており、登録者サーバ１０Ａ，１０Ｂは、互いに相手の元データを参照することができない。そして、攻撃者が断片化されたシェアの一部を不正取得しても元データを復元することはできない（図２の（Ｂ））。また、元データを自身で保有するデータ登録者以外は、システム管理者であっても、ＤＣのサーバ２０Ａ～２０Ｃから元データを参照することはできない（図２の（Ｃ））。このように、処理システム１００では、安全な環境にデータを分散保管、すなわち、秘密分散することができる（図２の（２））。

続いて、秘密分散されたデータに対する秘密計算処理について説明する。依頼者が使用する依頼元端末装置３０は、ＤＣのサーバ２０Ａ～２０Ｃが保管するデータに対する計算要求を行う（図３の（１））。この際、依頼元端末装置３０では、要求に応じた計算処理の処理手順を設定し、設定した処理手順をサーバ２０Ａ～２０Ｃにそれぞれ送信する。

サーバ２０Ａ～２０Ｃは、依頼元端末装置３０によって要求された計算処理を行う前に、それぞれ保管するシェアＳａ１～Ｓａ３，Ｓｂ１～Ｓｂ３のうち依頼元端末装置３０から要求された計算に使用するシェアに対して、秘密計算上で、統計加工を行う（図３の（２））。サーバ２０Ａ～２０Ｃは、サーバ２０Ａ～２０Ｃ間でデータの演算と交換とを行うマルチパーティ計算を行うことで、シェアに対する統計加工を行う。秘密計算は、複数のサーバが一体となって計算を行う。そして、秘密計算は、常に秘密分散のシェアの状態でデータを扱う。

そして、サーバ２０Ａ～２０Ｃは、統計加工において変換された統計情報を用いて、依頼元端末装置３０が設定した処理手順に従って、要求された計算処理を行う。サーバ２０Ａ～２０Ｃは、復元することなく、シェアの状態でデータを計算する秘密計算を行う（図３の（３））。

各サーバ２０Ａ～２０Ｃは、秘密計算が終了すると、暗号化されたままの計算結果を依頼元端末装置３０にそれぞれ送信する（図３の（４））。依頼元端末装置３０は、受信した各計算結果を復元することで、要求した計算結果Ｄｅのみを取得することができる（図３の（５））。そして、この計算結果は、統計加工されたものである（図３の（６））。すなわち、この計算結果は、各データを個人が特定されない統計情報に変換した後に、計算された結果である。したがって、秘密計算において、第三者による横断分析を行う際であっても、統計加工することで、個人が特定されない形の結果を得ることができ、第三者提供による同意の取得は不要となる。

［登録者サーバ］
続いて、処理システム１００の各装置の構成について説明する。まず、登録者サーバ１０Ａの構成について説明する。図４は、登録者サーバ１０Ａの構成の一例を模式的に示す図である。なお、登録者サーバ１０Ｂは、登録者サーバ１０Ｂと同様の機能を有する。

登録者サーバ１０Ａは、ＲＯＭ（Read Only Memory）、ＲＡＭ（Random Access Memory）、ＣＰＵ（Central Processing Unit）等を含むコンピュータ等に所定のプログラムが読み込まれて、ＣＰＵが所定のプログラムを実行することで実現される。また、登録者サーバ１０Ａは、ネットワーク等を介して接続された他の装置との間で、各種情報を送受信する通信インタフェースを有する。例えば、登録者サーバ１０Ａは、ＮＩＣ（Network Interface Card）等を有し、ＬＡＮ（Local Area Network）やインターネットなどの電気通信回線を介した他の装置との間の通信を行う。そして、登録者サーバ１０Ａは、タッチパネル、音声入力デバイス、キーボードやマウス等の入力デバイス、液晶ディスプレイなどの表示装置を有し、情報の入出力を行う。登録者サーバ１０Ａは、登録データ選択部１１及び登録部１２を有する。

登録データ選択部１１は、登録者サーバ１０Ａの操作者の操作にしたがって、データ登録者ＡのＤＢに登録されているデータの中から、サーバ２０Ａ～２０Ｃに秘密分散にて保管するデータを選択する。

登録部１２は、登録データ選択部１１が選択したデータを複数のシェアに分割し、分割したシェアを２０Ａ～２０Ｃにそれぞれ分散して登録させる要求を行う。例えば、登録者サーバ１０Ａの操作者は、Ｗｅｂブラウザで展開された、処理システム１００用のＷｅｂＵＩ画面を介して、登録データの選択やシェアの分散保管要求を行う。

［サーバ］
次に、サーバ２０Ａの構成について説明する。図５は、サーバ２０Ａの構成の一例を模式的に示す図である。なお、サーバ２０Ａ．２０Ｂは、サーバ２０Ａと同様の機能を有する。

サーバ２０Ａは、ＲＯＭ、ＲＡＭ、ＣＰＵ等を含むコンピュータ等に所定のプログラムが読み込まれて、ＣＰＵが所定のプログラムを実行することで実現される。また、サーバ２０Ａは、ネットワーク等を介して接続された他の装置との間で、各種情報を送受信する通信インタフェースを有する。例えば、サーバ２０Ａは、ＮＩＣ等を有し、ＬＡＮやインターネットなどの電気通信回線を介した他の装置との間の通信を行う。そして、サーバ２０Ａは、タッチパネル、音声入力デバイス、キーボードやマウス等の入力デバイス、液晶ディスプレイなどの表示装置を有し、情報の入出力を行う。サーバ２０Ａは、シェアＤＢ２１、登録部２２、計算手順受け取り部２３、統計加工部２４、計算処理部２５及び計算結果送信部２６を有する。

シェアＤＢ２１は、登録者サーバ１０Ａ，１０Ｂから登録を要求されたシェアを記憶する。

登録部２２は、登録者サーバ１０Ａ，１０Ｂからの登録要求を受け付け、登録者サーバ１０Ａ，１０Ｂから登録を要求されたシェアを、シェアＤＢ２１に記憶する。

計算手順受け取り部２３は、依頼元端末装置３０によって設定された計算処理の処理手順を受け取る。

統計加工部２４は、依頼元端末装置３０によって要求された計算処理を行う前に、それぞれ保管するシェアのうち、依頼元端末装置３０によって要求された計算に使用するシェアに対して統計加工を行う。統計加工部２４は、秘密計算上で、データを復元することなく統計加工を行う。

統計加工部２４は、統計加工として、個人を特定可能である値を、他の値との集約値を基に変換する。統計加工部２４は、統計加工として、例えば、依頼元端末装置３０によって要求された計算に使用するシェアに対し、集約値が所定値を担保するような変換を行う。この例の場合、統計加工部２４は、各値が所定値未満となる領域の値を集約し、集約値が所定値以上である場合には、この領域の各値を平均値に変換し、集約値が所定値未満である場合には、この領域の各値を０に変換する。なお、統計加工部２４は、統計加工として各種手法を適用することができる。

計算処理部２５は、統計加工において変換された統計情報を用いて、依頼元端末装置３０が設定した処理手順に従って、要求された計算処理を行う。計算処理部２５は、他のサーバ２０Ｂ，２０Ｃとの間で、シェアの状態で統計情報の演算と交換を行うマルチパーティ計算を行うことで秘密計算を行う。計算結果送信部２６は、計算結果を依頼元端末装置３０に送信する。

［依頼元端末装置］
次に、依頼元端末装置３０の構成について説明する。図６は、依頼元端末装置３０の構成の一例を模式的に示す図である。

依頼元端末装置３０は、ＲＯＭ、ＲＡＭ、ＣＰＵ等を含むコンピュータ等に所定のプログラムが読み込まれて、ＣＰＵが所定のプログラムを実行することで実現される。また、依頼元端末装置３０は、ネットワーク等を介して接続された他の装置との間で、各種情報を送受信する通信インタフェースを有する。例えば、依頼元端末装置３０は、ＮＩＣ等を有し、ＬＡＮやインターネットなどの電気通信回線を介した他の装置との間の通信を行う。そして、サーバ２０Ａは、タッチパネル、音声入力デバイス、キーボードやマウス等の入力デバイス、液晶ディスプレイなどの表示装置を有し、情報の入出力を行う。依頼元端末装置３０は、計算依頼受付部３１、計算手順設定部３２、計算結果受信部３３及び計算結果出力部３４を有する。

計算依頼受付部３１は、依頼元端末装置３０の操作者（依頼者）の操作にしたがって、サーバ２０Ａ～２０Ｃが保管するデータに対する計算要求を受け付ける。

計算手順設定部３２は、要求に応じた計算処理の処理手順を設定し、設定した処理手順とともに計算要求をサーバ２０Ａ～２０Ｃにそれぞれ送信する。

計算結果受信部３３は、各サーバ２０Ａ～２０Ｃから暗号化されたままの計算結果を受信する。

計算結果出力部３４は、受信した各計算結果を復元し、要求した計算結果のみを取得する。そして、計算結果出力部３４は、計算結果を出力する。例えば、依頼元端末装置３０の操作者は、Ｗｅｂブラウザで展開された、処理システム１００用のＷｅｂＵＩ画面を介して、計算依頼の入力や、計算処理結果の表示形式（表、グラフ等）の指定を行う。

［計算例］
次に、処理システム１００における秘密計算の具体例について説明する。図７は、所定の患者の生存率分析に関する秘密計算例を説明する図である。

例えば、図７では、依頼元端末装置３０では、分析条件Ｒ１として、術式Ｇの手術を受けた疾病Ｆ患者の生存分析要求（図７の（１））を行った場合を例に説明する。

サーバ２０Ａ～２０Ｃは、この依頼を受けて、各テナントのデータのうち分析依頼に該当するデータを取得する。サーバ２０Ａ～２０Ｃは、分析依頼に該当するデータとして、Ａ病院テナントとＢ病院テナントとのデータであって、期間１～３における生存分析依頼に該当する患者の死亡数及び打切数を示すテーブルＴ１，Ｔ２とを取得する。なお、サーバ２０Ａ～２０Ｃは、シェアの状態でデータを取得し、シェアの状態でデータの演算と交換を行うが、図７の例では、説明の容易化のために、実際の元データの状態で説明する。

まず、サーバ２０Ａ～２０Ｃは、秘密計算上で、テーブルＴ１，Ｔ２の統計加工を行う。統計加工として、例えば、個人の特定リスクを考慮し、各病院から出力する情報は、集約数ｋ＝３以上を担保するようにアウトカムをまとめる処理を行う。サーバ２０Ａ～２０Ｃは、各値が３未満となる期間について統計加工を行う。サーバ２０Ａ～２０Ｃは、各値が３未満となる連続した期間の値を集約する。サーバ２０Ａ～２０Ｃは、集約値が３以上である場合には、この領域の各値を平均値に変換する。そして、サーバ２０Ａ～２０Ｃは、集約値が３未満である場合には、この領域の各値を０に変換する。

具体的には、サーバ２０Ａ～２０Ｃは、テーブルＴ１の期間１，２の死亡数１及び２（枠Ｗ１１）を集約して（図７の（２－１ａ））、期間１～２の死亡数を３（枠Ｗ１２）とする。サーバ２０Ａ～２０Ｃは、テーブルＴ１の期間１，２の打切り１，１，３（枠Ｗ１３）を集約して（図７の（２－１ｂ））、期間１～３の打切の人数を５（枠Ｗ１４）とする。

そして、サーバ２０Ａ～２０Ｃは、統計加工として、集約した人数を対象期間で割ることによって平均化する。サーバ２０Ａ～２０Ｃは、テーブルＴ１のデータについては、集約後の期間１～２の死亡数３を期間２で割り、期間１，２の各死亡数を１．５（枠Ｗ１５）とする。また、サーバ２０Ａ～２０Ｃは、集約後の期間１～３の打切数５を期間３で割り、期間１，２，３の各死亡数を１．６６７（枠Ｗ１６）とする。このような統計加工を実行することで、テーブルＴ１は、統計加工が施されたテーブルＴ１ｆに変換される（図７の（３－１））。なお、統計加工の処理も、マルチパーティ計算を用いた秘密計算上で実行される。

また、サーバ２０Ａ～２０Ｃは、テーブルＴ２に対する統計加工のうち、期間１～３の死亡数に関しては、期間１～３の死亡数を集約して（図７の（２－２ａ））、期間１～３の死亡数を４とし、平均を取る。そして、サーバ２０Ａ～２０Ｃは、テーブルＴ２に対する統計加工のうち、期間１～３の打切数０，２，０については、集約数が３に達しないため、切り捨てて（図７の（２－２ｂ））、０（枠Ｗ２２）とする。このような統計加工によって、テーブルＴ２は、期間１，２，３の各打切数はいずれも０となるテーブルＴ２ｆに変換される（図７の（３－２））。このように、サーバ２０Ａ～２０Ｃは、元のデータを推計できないように統計加工を行う。

続いて、サーバ２０Ａ～２０Ｃは、依頼元端末装置３０によって設定された計算処理の処理手順を実行する。この場合には、術式Ｇの手術を受けた疾病Ｆの患者の生存分析のための計算処理が要求されているため、該当する患者の死亡数と打切数とを得るために、サーバ２０Ａ～２０Ｃは、統計加工後のテーブルＴ１ｆ，Ｔ２ｆを合成して（図７の（４）、テーブルＴ３を計算結果として取得する。この計算結果（例えば、テーブルＴ３）は、各データを個人が特定されない統計情報に変換された後に、計算された結果であるため、個人が特定されない形となる。

サーバ２０Ａ～２０Ｃは、テーブルＴ３の内容を計算結果として、依頼元端末装置３０に返却する（図７の（５））。依頼元端末装置３０は、例えば、ＷｅｂＵＩ画面上で結果表示を指示することによって、返却された計算結果を基に、生存曲線Ｅ１等を得ることができる。この生存曲線Ｅ１は、サーバ２０Ａ～２０Ｃにおいて、各データを個人が特定されない統計情報に変換された後に、計算された結果に基づくものであるため、個人が特定されない形となり、第三者提供による同意の取得は不要となる。

［処理手順］
次に、処理システム１００における秘密計算の処理手順について説明する。図８は、処理システム１００が実行する秘密計算の処理手順を示すシーケンス図である。

図８に示すように、まず、依頼元端末装置３０は、計算要求を受け付けると（ステップＳ１）、要求に応じた計算処理の処理手順を設定し（ステップＳ２）、設定した処理手順とともに計算要求をサーバ２０Ａ～２０Ｃにそれぞれ送信する（ステップＳ３－１～Ｓ３－３）。

サーバ２０Ａ～２０Ｃは、依頼元端末装置３０によって設定された計算処理の処理手順を受け取ると、それぞれ保管するシェアに対し、秘密計算上で統計加工を行う（ステップＳ４）。そして、サーバ２０Ａ～２０Ｃは、統計加工において変換された統計情報を用いて、依頼元端末装置３０が設定した処理手順に従った秘密計算を行う（ステップＳ５）。

サーバ２０Ａ～２０Ｃは、それぞれ計算結果を依頼元端末装置３０に送信する（ステップＳ６－１～Ｓ６－３）。依頼元端末装置３０は、各サーバ２０Ａ～２０Ｃから暗号化されたままの計算結果を受信し（ステップＳ７）、復元した後に計算結果を出力する（ステップＳ８）。

［実施の形態の効果］
図９は、秘密計算の処理例を示す図である。通常の秘密計算では、図９に示すように、複数のサーバが、分析要求により、生存表を導出する秘密計算を行い、導出した生存表を結果として返却する（図９の（１）～（３））。しかしながら、この場合、第三者が横断分析を行い比較する際に、これら情報を基に個人の特定が可能になるおそれがある（図９の（４））。秘密計算では、シェアが暗号文扱いであっても、個人情報を含む各種情報を第三者が触れることになるため、第三者提供が発生する。秘密計算であっても、例えば、分析条件によっては、値が１となる期間が発生し、個人の特定に繋がるおそれがある。

図１０は、実施の形態における秘密計算の処理例を示す図である。実施の形態では、複数のサーバ２０Ａ～２０Ｃが、Ａ病院テナントの該当データとＢ病院テナントの該当データとをそれぞれ秘密計算上で統計加工した後に合成し、生存曲線を描画するための生存表を作成して（図１０の（１））、依頼元端末装置に返却する。

このように、本実施の形態では、各サーバ２０Ａ～２０Ｃが、秘密計算上で各データを個人が特定されない統計情報に変換した後に、実際に要求された計算処理を行う。このため、本実施の形態では、第三者が、秘密計算上のデータを利用して横断分析を行う際であっても、各サーバ２０Ａ～２０Ｃが、要求された計算処理の前に、各データを統計加工することで、個人が特定されない形の計算結果を返却することができる。

したがって、本実施の形態によれば、個人情報の第三者提供による同意の取得は不要となる。また、本実施の形態では、サーバ２０Ａ～２０Ｃがデータの統計加工を行うため、登録元の各テナントは、登録するデータをアップロードするのみでよく、特に匿名加工等の処理を負担する必要もない。

［システム構成等］
また、図示した各装置の各構成要素は機能概念的なものであり、必ずしも物理的に図示の如く構成されていることを要しない。すなわち、各装置の分散・統合の具体的形態は図示のものに限られず、その全部または一部を、各種の負荷や使用状況などに応じて、任意の単位で機能的または物理的に分散・統合して構成することができる。さらに、各装置にて行なわれる各処理機能は、その全部または任意の一部が、ＣＰＵやＧＰＵ及び当該ＣＰＵやＧＰＵにて解析実行されるプログラムにて実現され、あるいは、ワイヤードロジックによるハードウェアとして実現され得る。

また、本実施形態において説明した各処理のうち、自動的におこなわれるものとして説明した処理の全部または一部を手動的におこなうこともでき、あるいは、手動的におこなわれるものとして説明した処理の全部または一部を公知の方法で自動的におこなうこともできる。この他、上記文書中や図面中で示した処理手順、制御手順、具体的名称、各種のデータやパラメータを含む情報については、特記する場合を除いて任意に変更することができる。

［プログラム］
また、上記実施形態において説明した登録者サーバ１０Ａ，１０Ｂ、サーバ２０Ａ～２０Ｃ及び依頼元端末装置３０が実行する処理をコンピュータが実行可能な言語で記述したプログラムを作成することもできる。例えば、実施形態における登録者サーバ１０Ａ，１０Ｂ、サーバ２０Ａ～２０Ｃ及び依頼元端末装置３００が実行する処理をコンピュータが実行可能な言語で記述したプログラムを作成することもできる。この場合、コンピュータがプログラムを実行することにより、上記実施形態と同様の効果を得ることができる。さらに、かかるプログラムをコンピュータ読み取り可能な記録媒体に記録して、この記録媒体に記録されたプログラムをコンピュータに読み込ませて実行することにより上記実施形態と同様の処理を実現してもよい。

図１１は、プログラムを実行するコンピュータを示す図である。図１１に例示するように、コンピュータ１０００は、例えば、メモリ１０１０と、ＣＰＵ１０２０と、ハードディスクドライブインタフェース１０３０と、ディスクドライブインタフェース１０４０と、シリアルポートインタフェース１０５０と、ビデオアダプタ１０６０と、ネットワークインタフェース１０７０とを有し、これらの各部はバス１０８０によって接続される。

メモリ１０１０は、図１１に例示するように、ＲＯＭ（Read Only Memory）１０１１及びＲＡＭ１０１２を含む。ＲＯＭ１０１１は、例えば、ＢＩＯＳ（Basic Input Output System）等のブートプログラムを記憶する。ハードディスクドライブインタフェース１０３０は、図１１に例示するように、ハードディスクドライブ１０９０に接続される。ディスクドライブインタフェース１０４０は、ディスクドライブ１１００に接続される。例えば磁気ディスクや光ディスク等の着脱可能な記憶媒体が、ディスクドライブ１１００に挿入される。シリアルポートインタフェース１０５０は、例えばマウス１１１０、キーボード１１２０に接続される。ビデオアダプタ１０６０は、例えばディスプレイ１１３０に接続される。

ここで、図１１に例示するように、ハードディスクドライブ１０９０は、例えば、ＯＳ１０９１、アプリケーションプログラム１０９２、プログラムモジュール１０９３、プログラムデータ１０９４を記憶する。すなわち、上記の、プログラムは、コンピュータ１０００によって実行される指令が記述されたプログラムモジュールとして、例えばハードディスクドライブ１０９０に記憶される。

また、上記実施形態で説明した各種データは、プログラムデータとして、例えばメモリ１０１０やハードディスクドライブ１０９０に記憶される。そして、ＣＰＵ１０２０が、メモリ１０１０やハードディスクドライブ１０９０に記憶されたプログラムモジュール１０９３やプログラムデータ１０９４を必要に応じてＲＡＭ１０１２に読み出し、各種処理手順を実行する。

なお、プログラムに係るプログラムモジュール１０９３やプログラムデータ１０９４は、ハードディスクドライブ１０９０に記憶される場合に限られず、例えば着脱可能な記憶媒体に記憶され、ディスクドライブ等を介してＣＰＵ１０２０によって読み出されてもよい。あるいは、プログラムに係るプログラムモジュール１０９３やプログラムデータ１０９４は、ネットワーク（ＬＡＮ（Local Area Network）、ＷＡＮ（Wide Area Network）等）を介して接続された他のコンピュータに記憶され、ネットワークインタフェース１０７０を介してＣＰＵ１０２０によって読み出されてもよい。

上記の実施形態やその変形は、本願が開示する技術に含まれると同様に、特許請求の範囲に記載された発明とその均等の範囲に含まれるものである。

１０Ａ，１０Ｂ 登録者サーバ
１１ 登録データ選択部
１２ 登録部
２０Ａ～２０Ｃ サーバ
２１ シェアＤＢ
２２ 登録部
２３ 計算手順受け取り部
２４ 統計加工部
２５ 計算処理部
２６ 計算結果送信部
３０ 依頼元端末装置
３１ 計算依頼受付部
３２ 計算手順設定部
３３ 計算結果受信部
３４ 計算結果出力部
１００ 処理システム

Claims (5)

1. 元データを断片化したシェアの状態で複数のサーバに分散保管する処理システムであって、
   前記複数のサーバのそれぞれは、
   依頼元の装置から要求された計算に使用する前記シェアに対して統計加工を行う統計加工部と、
   前記統計加工において変換された統計情報を用いて、前記依頼元の装置から要求された計算を行う計算処理部を有し、
   前記統計加工部は、前記統計加工として、個人を特定可能である値を、他の値との集約値を基に変換する、
   ことを特徴とする処理システム。
2. 前記統計加工部は、秘密計算上で、前記シェアに対する統計加工を行い、
   前記計算処理部は、秘密計算上で、前記依頼元の装置から要求された計算を行うことを特徴とする請求項１に記載の処理システム。
3. 前記統計加工部は、前記統計加工として、各値が所定値未満となる領域の値を集約し、集約値が前記所定値以上である場合には、この領域の各値を平均値に変換し、集約値が前記所定値未満である場合には、この領域の各値を０に変換することを特徴とする請求項１に記載の処理システム。
4. 元データを断片化したシェアの状態で複数のサーバに分散保管する処理システムが実行する処理方法であって、
   前記複数のサーバのそれぞれが、依頼元の装置から要求された計算に使用する前記シェアに対して統計加工を行う工程と、
   前記複数のサーバのそれぞれが、前記統計加工において変換された統計情報を用いて、前記依頼元の装置から要求された計算を行う工程を含み、
   前記統計加工として、個人を特定可能である値を、他の値との集約値を基に変換する、
   ことを特徴とする処理方法。
5. 方法をコンピュータに実行させる処理プログラムであって、
   複数のサーバとしてのコンピュータに、
   前記複数のサーバのそれぞれが、元データを断片化したシェアの状態で複数のサーバに分散保管させるステップと、
   前記複数のサーバのそれぞれが、依頼元の装置から要求された計算に使用する前記シェアに対して統計加工を行うステップと、
   前記複数のサーバのそれぞれが、前記統計加工において変換された統計情報を用いて、前記依頼元の装置から要求された計算を行うステップを実行させ、
   前記統計加工として、個人を特定可能である値を、他の値との集約値を基に変換することを特徴とする処理プログラム。

Images