JP7303135B2 - 計算機システム及びアプリケーション管理方法 - Google Patents

Description

本発明は、複数の拠点間でデータの授受を行う計算機システムに関する。

ＩｏＴ（Ｉｎｔｅｒｎｅｔ ｏｆ Ｔｈｉｎｇｓ）システムの普及に伴い、ネットワークに接続されるパーソナルコンピュータや、セル電話、スマートフォン、携帯情報端末等のエッジデバイスが急増している。これらのデバイスは夫々ネットワークを介してクラウドシステム等と通信可能に接続される。ＩｏＴシステムは、これらのデバイスからデータを収集、分析、可視化するデータ処理を介して、既存作業の高効率化、高精度化などの新規サービスの創出につなげる働きを有する。

複数の国や地域などに存在する工場の機器で、作業管理を行って製品の生産を効率化するサービスや、顧客個人のデバイスから身体の測定データを収集し、分析結果を提供するヘルスケアサービスなど、グローバルにＩｏＴシステムを応用する方法がグローバル企業で検討又は実装されている。

一方、近年では、データの流通に関して地域や国などが法令などにより制限を設ける例が増大しつつある。例えば、欧州のＧＤＰＲ（Ｇｅｎｅｒａｌ Ｄａｔａ Ｐｒｏｔｅｃｔｉｏｎ Ｒｅｇｕｌａｔｉｏｎ）や中国のサイバーセキュリティ法などが知られている。
これらの制限は、個人情報の保護や犯罪行為の抑止などが目的で、データの保護に加えて、データの種類によっては国外などへの送信を禁止する規定が知られている。今後、様々な国や地域で、データの流通に関する制限が設定されることが想定されるが、制限されるデータの種類については、明瞭な定義が難しく、地域や国によって一様ではない。

データの流通に関する制限に準拠した領域外へのデータ送信を行う方法の一例として特許文献１が知られている。

特許文献１では、健康データを匿名化し、分析のために地理的領域を横断して健康データを修正及び編集するシステム及び方法が開示されている。この方法では、第１領域において患者のプライバシ情報を含む患者特有の健康データを受け取り、患者特有の健康データから患者のプライバシ情報を除去して匿名健康データを生成し、患者プライバシ情報を第１領域に格納し、匿名健康データを第２領域に分析のために伝えることを包含する。

特表２０１９－５２５３６４号公報

上記特許文献１では、第１領域において患者健康データに含まれる患者プライバシ情報を除去してから分析のために第２領域に伝える必要があり、プライバシ情報を用いた詳細な分析をすることができないという問題があった。

また、特許文献１に記載のシステムは、実際にデータを領域外に出力する場合に機能するシステムであり、患者の健康データに患者プライバシ情報を推測可能なデータが含まれているかなどを出力前に確認することは含まれていない。つまり、第１領域において患者プライバシ情報の分別や匿名化方法にミスがあった場合、患者プライバシ情報が第２領域に流出する恐れが依然として残っている。

加えて、上記データ流通に関する制限、特にプライバシ情報流通に関する制限に準拠したグローバルなＩｏＴシステムやアプリケーションを開発するために、それらシステムやアプリケーションの設計段階から、使用されるプライバシ情報の種類と目的、保存場所を列挙して情報漏洩リスクを評価する必要があり、ＧＤＰＲ第３５条にも明記されている。

しかしながら、上記の情報漏洩リスクの評価には多大な労力が必要となるうえ、データ流通に関する制限が変更されたり、システムやアプリケーションに入力されるデータに変更が加えられた場合、再び人手でチェックが必要になるという問題があった。

本発明は、上記問題点に鑑みてなされたもので、複数の領域に展開するアプリケーションがある領域から別の領域へデータを送信する場合、データ受渡しポリシーに則ったデータ送信が行われていることの確認を容易にすることを目的とする。

本発明は、プロセッサとメモリを含んで生成されたアプリケーションを管理する開発サーバと、プロセッサとメモリを含んで前記開発サーバから配布された前記アプリケーションを実行する実行サーバと、前記開発サーバと複数の前記実行サーバを接続するネットワークと、を有して、前記複数の実行サーバがそれぞれ所属する複数の領域間でデータに所定の処理を実行する計算機システムであって、前記開発サーバは、前記アプリケーションの処理結果の出力データを前記領域の外部へ送信する際に必要な出力データに対する加工内容を予め設定したデータ受渡しポリシーと、前記アプリケーションに出力データを生成させるシミュレーションを実施するアプリケーションシミュレータと、前記生成された前記出力データが前記データ受渡しポリシーに違反しているか否かを判定する第１のポリシー準拠確認部と、を有する。

本発明によれば、アプリケーションが複数の領域間でデータ受渡しを行う場合、それらがデータ受渡しポリシーに従っていることの確認を効率よく行うことができ、アプリケーションの秘匿情報漏洩リスクの評価にかかる労力を減らす効果がある。

本明細書において開示される主題の、少なくとも一つの実施の詳細は、添付されている図面と以下の記述の中で述べられる。開示される主題のその他の特徴、態様、効果は、以下の開示、図面、請求項により明らかにされる。

本発明の実施例を示し、複数の領域にまたがるアプリケーションを開発及び実行する計算機システムの一例を示す概略図である。 本発明の実施例を示し、アプリケーションの生成から実行までの処理の一例を示す図である。 本発明の実施例を示し、アプリケーションの具体例を示す図である。 本発明の実施例を示し、情報処理装置の構成の一例を示す図である。 本発明の実施例を示し、アプリケーション開発サーバの主な機能を説明する図である。 本発明の実施例を示し、アプリケーション実行サーバの主な機能を説明する図である。 本発明の実施例を示し、データベースの構成の一例を示す図である。 本発明の実施例を示し、アプリケーションのデプロイの一例を示すシーケンス図である。 本発明の実施例を示し、アプリケーション実行処理のうち、実行一回目の処理の一例を示すシーケンス図である。 本発明の実施例を示し、アプリケーション実行処理のうち変更検知時の処理の一例を示すシーケンス図である。 本発明の実施例を示し、データ受渡しポリシーの記述例を示す図である。 本発明の実施例を示し、データ種類を管理するデータベースの一例を示す図である。 本発明の実施例を示し、出力データ首里分析シミュレーションの手順を説明するフローチャートである。 本発明の実施例を示し、出力データ種類分析シミュレーションの第２の実行手順を説明するフローチャートである。 本発明の実施例を示し、ポリシー準拠確認の手順を説明するフローチャートである。 本発明の実施例を示し、アプリケーション実行処理内のポリシー準拠確認の手順を説明するフローチャートである。

以下、本発明の実施形態を添付図面に基づいて説明する。

以下、実施形態につき図面を参照しつつ説明する。以下の説明において、同一の又は類似する構成に同一の符号を付して重複した説明を省略することがある。また「アプリケーションプログラム」のことを「ＡＰ」と表記することがある。また以下の説明において、同種の構成を区別する必要がある場合、構成を総称する符号の後に括弧書きで識別子（数字、アルファベット等）を表記することがある。また、本発明において「秘匿情報」とは領域外にそのまま抽象化や匿名化なしに送信することができないデータを示し、例えば社外秘情報、年齢や名前などの個人データがそれにあたる。

図１は、本実施例で説明する計算機システム１の概略図を示している。図１に示すように、計算機システム１は、ＡＰ開発者端末１０、ＡＰ開発サーバ２０、及び複数の領域２－１～２－３の夫々に存在する一つ以上のＡＰ実行サーバ３０－１～３０－３と、データ管理者端末４０－１～４０－３を含む。

なお、以下の説明では、ＡＰ実行サーバを個々に特定しない場合には、「－」以降を省略した符号「３０」を使用する。他の構成要素の符号についても同様である。

図１では領域２が３つの場合を示しているが、領域の数は２つ以上のいくつでもよい。また、ＡＰ開発サーバ２０や、ＡＰ実行サーバ３０、データベースサーバ５０、ＡＰ開発者端末１０あるいはデータ管理者端末４０等の装置は、いずれも情報処理装置（コンピュータ）を用いて構成され、内部ネットワーク９０－１～９０－３及びネットワーク３を介して互いに通信可能に接続されている。

領域２－１～２－３は、それぞれ異なるデータ保護に関する制限（法令や規約）を有する国や地域あるいは団体又は法人である。例えば、異なる国に置かれたクラウドシステムや、エッジサーバ、センサデータの収集等が行われる現場（工場、各種作業現場、物流倉庫、オフィス）や、各種設備（エレベータ、自動改札機、各種ゲート、鉄道設備、道路設備、センサ利用の環境計測設備）、移動体（自動車、列車、航空機、ドローン、農業機器等）、農場、データセンタ等である。

内部ネットワーク９０及びネットワーク３は、イーサネット（登録商標）やＴＣＰ／ＩＰ等の所定の通信プロトコルに従った通信を実現する通信基盤（Ｎｅｔｗｏｒｋ Ｉｎｆｒａｓｔｒｕｃｔｕｒｅ）であり、例えば、ＬＡＮ（Ｌｏｃａｌ Ａｒｅａ Ｎｅｔｗｏｒｋ）、ＷＡＮ（Ｗｉｄｅ Ａｒｅａ Ｎｅｔｗｏｒｋ）、インターネット、専用線、公衆通信網等である。

ＡＰ開発者端末１０は、ソフトウェア開発技術者やドメインエキスパート等のユーザに、ＡＰ実行サーバ３０で実行されるＡＰの編集及び生成環境（以下、「ソフトウェア開発環境」と称する。）を提供する。ソフトウェア開発環境の態様は必ずしも限定されない。

本実施例では、ＡＰ開発者端末１０で生成されるＡＰの一例として、ＡＰは各領域２で稼働するデータベースサーバ５０に格納されたデータを取得し、四則演算や統計処理などの所定のデータ処理を行って、他の領域２へ処理済みデータを送信することを想定している。

データベースサーバ５０は、秘匿情報とそれ以外のデータとを格納している。ただし、ＡＰが取り扱うデータは、データベースサーバ５０に保存されないデータであってもよいし、直接ＡＰ実行サーバ３０への入力や計算によって生じたデータであってもよいし、必ずしもＡＰの内容は上記に限定されない。

図１において、ＡＰ開発サーバ２０は、予め定められたデータ受渡しポリシーに準拠したＡＰ開発の支援を行う機能を有する。具体的には、ＡＰ開発サーバ２０はＡＰ開発者端末１０で生成されたＡＰによって他の領域へ送信されるデータが、予め設定されたデータ受渡しポリシーに従っているかを分析する。

そして、ＡＰ開発サーバ２０は、必要に応じてＡＰ開発者端末１０及び各領域２のデータ管理者端末４０－１～４０－３と通信を行い、ＡＰが実施するデータ送信が全てのデータ受渡しポリシーに準拠するように支援する。加えて、ＡＰ開発サーバ２０は、生成されたＡＰの管理（記憶）を行う。

各領域２－１～２－３には一つ以上のＡＰ実行サーバ３０が存在する。ＡＰ実行サーバ３０は、同一又は異なる領域２の他のＡＰ実行サーバ３０と連携してＡＰを実行する機能を有する。

さらにＡＰ実行サーバ３０は、ＡＰの実行に際し、データ受渡しポリシーや領域２の外部に出力されるデータ（以下、「出力データ」と呼ぶ）の内容や種類に変更がないかということと、出力データにデータ受渡しポリシーに従った処理がなされているかを監視する。

ＡＰ実行サーバ３０は、監視の結果、データ受渡しポリシーに準拠しない、又はポリシーに記載のない出力データが送信される場合には送信を停止する。そして、ＡＰ実行サーバ３０は、データ受渡しポリシーに準拠するようＡＰ開発者端末１０にデータ処理の追加又は訂正を促したり、あるいは対象のデータ管理に責任を有するデータ管理者端末４０にデータ受渡しポリシーの追加を促すメッセージを送信する。

以上のように、データ受渡しポリシーと、データ受渡しポリシーに準拠した他の領域へのデータの送信が行われているか否かを確認し、ＡＰ開発者端末１０及びデータ管理者端末４０に作業要求を送信するＡＰ開発サーバ２０とＡＰ実行サーバ３０を含む計算機システムにより、ＡＰの秘匿情報漏洩リスクの評価にかかる労力を低減できる。

図２は、ＡＰ開発者端末１０で生成されたＡＰがＡＰ開発サーバ２０に送信され、各領域２のＡＰ実行サーバ３０がＡＰをそれぞれ実行するまでの概略的な流れを示す図である。

図２に示すように、ＡＰ開発者端末１０により生成されたＡＰ４は、ＡＰ開発サーバ２０に提供（送信）される。例示するＡＰ４は、後述のように順次実行される複数の処理ブロックで構成される。なお、各処理ブロックは、手続き型プログラミング言語における関数又はメソッドや、関数型言語における関数、に相当する。

処理ブロックは、ＡＰ実行サーバ３０に既に存在する他のソフトウェア（例えば、ＡＰＩ（Ａｐｐｌｉｃａｔｉｏｎ Ｐｒｏｇｒａｍ Ｉｎｔｅｒｆａｃｅ）として提供されるソフトウェア）を呼び出して利用するものであってもよい。

処理ブロックは夫々例示した領域２－１（図中領域（１））、領域２－２－１（図中領域（２））、領域２－３（図中領域（３））のいずれかで処理を行うものとし、処理ブロックのいずれかには異なる領域２間のデータ送信又は受信処理を含むものとする。

ＡＰ開発サーバ２０は、ＡＰシミュレータ２３０で受信したＡＰ４に含まれる全ての「データ送信処理」について出力データ又は出力データの種類などの情報をシミュレーションする。

続いて、ポリシー準拠確認部２２０が、出力データの情報に基づいて、データ受渡しポリシーに準拠したデータが送信されるかどうかを判定する。ポリシー準拠確認部２２０は、もしデータ受渡しポリシーに記述がなかったり、受渡しポリシーに準拠しない出力データがあることが確認された場合など、必要に応じて当該データ管理を担当するデータ管理者端末４０にデータ受渡しポリシーに準拠しないことを通知する。

すなわち、ポリシー準拠確認部２２０は、領域２間で送信が禁止されている出力データの情報を通知してデータ受渡しポリシーに追加する作業を要求する。また、ポリシー準拠確認部２２０は、ＡＰ開発者端末１０にも同様に当該データ種類を通知してＡＰ４内のデータ処理の変更を要求する。ＡＰ開発サーバ２０は、上記各要求に対する、作業結果を再び確認する。

なお、出力データの情報は、出力データの種類や、当該出力データに対して遵守すべき規制（法律や規約）等を含むことができる。

以上のようにポリシー準拠確認部２２０は、ＡＰ４内の全ての「データ送信処理」がデータ受渡しポリシーに準拠することを確認した後、ネットワーク３を介して各領域２のＡＰ実行サーバ３０にＡＰ４をデプロイする。

この場合、全ての領域２のＡＰ実行サーバ３０に同一のＡＰ４をコピーしてもよいし、ＡＰ４を分割してそれぞれの領域２で実行される部分だけをそれぞれの領域２のＡＰ実行サーバ３０にコピーし、ＡＰＩなど他のソフトウェアを介して順番に呼び出して実行されるものであってもよい。なお、領域２間のＡＰ４の連携の形態は問わない。

ＡＰ実行サーバ３０にデプロイされたＡＰ４の処理は、例えば、ＡＰ開発者端末１０がＡＰ実行サーバ３０－１の一つにＡＰ４の実行開始命令を送信することにより開始される。本実施例では、領域２－１のＡＰ実行サーバ３０－１に、ＡＰ開発者端末１０から実行開始命令が送信され、ＡＰ実行サーバ３０－１がＡＰ４の実行を開始するものとする。

ＡＰ実行サーバ３０はＡＰ４の実行に際し、ポリシー準拠確認部３２０で出力データがデータ受渡しポリシーに従った処理がなされているかを監視する。ＡＰ実行サーバ３０は、監視の結果、データ受渡しポリシーに準拠しない、又はポリシーに記載のない出力データが送信される場合には送信を停止する。そしてＡＰ実行サーバ３０は、データ受渡しポリシーに準拠するようＡＰ開発者端末１０にデータ処理の追加を促したり、又は対象のデータ管理に責任のあるデータ管理者端末４０にデータ受渡しポリシーの追加を促したりするメッセージを送信する。

ＡＰ実行サーバ３０は、出力データの送信を停止している間、他の処理を止めることができない場合にはデータ受渡しログ３１１やデータベースサーバ５０に出力データを保存しておき、データ受渡しポリシーへの準拠が確認されてデータ送信が再開された場合に出力データを送信してもよい。

また、ＡＰ実行サーバ３０は、データ受渡しポリシーや出力データ又は出力データの情報に変更があった場合には当該変更を検知し、同様にポリシー準拠確認部３２０の機能を起動してもよい。

加えて、ＡＰ実行サーバ３０は、ＡＰ４の実行中に、「データ送信処理」が行われる際、他の領域２へ送信される出力データについて種類や出力データの内容、メタデータ、送信先の拠点や送信時刻などの情報をデータ受渡しログ３１１に記録してもよい。

なお、出力データの送信先が他の領域２であるか否の判定は、例えば、送信先のアドレスや、ＡＰ４で使用された関数から、ＡＰ実行サーバ３０は、宛先を判定して領域２の外部であるか否かを判定することができる。なお、ＡＰ４で使用される関数は、各領域２ごとに使用すべき関数が予め設定されているものとする。

図３は、ＡＰ４の具体例を示す。例示するＡＰ４は、ある製品メーカ（領域２－１）が有する「部品工場（領域２－３）」において、生産ラインに取り付けたセンサから得た「センサ情報」と、従業員の個人データを含む「秘匿情報」とから統計データを生成する。そして、ＡＰ４は、センサ情報と秘匿情報から統計データ（「部品生産統計データ」と呼称する）を生成して、次の工程を行う「部品組立工場（領域２－２）」に送信する。

さらに「部品組立工場」においても同様に、ＡＰ４は「センサ情報」と「秘匿情報」、さらに部品工場での部品生産統計データとから新たに統計データを生成し、「製品メーカ生産管理部」に送信する。そして「製品メーカ生産管理部（領域２－１）」のＡＰ４は、受信した統計データから機械学習のモデル（以下「学習モデル」と呼称する）を用いて、生産の指針を算出する。

生産の指針は、例えば、目標の製品生産量を得るための部品作成から部品組立までの全体を通じた最適な生産効率向上の指針と、生産効率を実現するための生産ラインの機器の設定パラメータや従業員の行動を導いたデータである（以下まとめて「生産指針」と呼称する）。ＡＰ４は、「部品工場」や「部品組立工場」に、生産指針をフィードバック（以下「ＦＢ」と略す）し、生産効率向上の自動化の機能を実現するソフトウェアである。

図３に示すように、領域２－２と２－３のＡＰ実行サーバ３０－２と３０－３は、それぞれ生産ライン３０１０－２と３０１０－３に含まれる生産機器に設置された各種センサから取得したセンサ情報３００２－２と３００２－３と、生産ラインで働く従業員のＩＤ情報や従事日数などの秘匿情報３００３－２と３００３－３とを管理（記憶）する。

領域２－１のＡＰ実行サーバ３０－１は領域２－２及び２－３のＡＰ実行サーバ３０－２及び３０－３が受信するＦＢの生成に際して利用する一つ以上の学習モデル３００１を管理（記憶）する。

まずＡＰ実行サーバ３０－２及び３０－３が、それぞれ生産ライン３０１０－２と３０１０－３に含まれる生産機器に設置された各種センサから取得したセンサ情報３００２－２と３００２－３を取得し（Ｓ３０１－２、Ｓ３０１－３）、「センサ情報」３００２－２、３００２－３や秘匿情報３００３－２、３００３－３として格納する。

図３ではセンサ情報には従業員の映った監視カメラ画像など、「秘匿情報」も含まれている場合を記述している。従業員のＩＤ情報など、「秘匿情報」はセンサから取得した以外のデータを含んでいてもよい。その後、ＡＰ実行サーバ３０－２、３０－３は、秘匿情報の抽象化（Ｓ３０２－２、Ｓ３０２－３）を行う。

また、部品工場である領域２－３のＡＰ実行サーバ３０－３は、センサ情報と秘匿情報を合わせて統計処理を行う（Ｓ３０３－３）。

ＡＰ実行サーバ３０－３は、領域２－３で作成された統計データを部品組立工場である領域２－２のＡＰ実行サーバ３０－２に送信する（Ｓ３０４－３）。領域２－２のＡＰ実行サーバ３０－２は、ステップＳ３０６－２で受信した統計データと領域内で取得したセンサ情報３００２－２と秘匿情報３００３－２とを用いて統計処理（Ｓ３０３）を行う。

その後、ＡＰ実行サーバ３０－２は、統計データを製品メーカの生産管理部である領域２－１に送信する（Ｓ３０４－２）。上記ステップＳ３０４－２及びＳ３０４－３は前述した「データ送信処理」に相当する。

領域２－１のＡＰ実行サーバ３０－１は、予め記憶した学習モデル３００１を取得して（Ｓ３２０）、ステップＳ３０６－１で受信した統計データから生産効率を向上するのに最適な生産指針を導く（Ｓ３３０）。なお、統計データを学習モデルの更新に用いてもよい（Ｓ３１０）。

ＡＰ実行サーバ３０－１は、導かれた生産指針に応じて領域２－２及び２－３の生産ラインの機器又は従業員に対しパラメータの設定や行動の改善など生産指針のＦＢを行う（Ｓ３０５－２、Ｓ３０５－３）。

以上のように、秘匿情報を含む出力データを領域２間で異なる複数のＡＰ実行サーバ３０で送信する必要があるＡＰ４を想定した場合に、前述した本発明を適用すれば、ＡＰ４のデプロイ前に、図２のＡＰ開発サーバ２０でＡＰ４内のデータ送信を事前にシミュレートする。

ＡＰ開発サーバ２０のシミュレーションによって、各領域のデータ送信がデータ受渡しポリシーに準拠しているかを確認してからＡＰ実行サーバ３０にＡＰ４をデプロイできる。これにより、データ管理者などは、ＡＰ４の秘匿情報の漏洩リスクの評価を効率よく行うことができる。

さらに、本発明の計算機システム１では、ＡＰ実行サーバ３０がＡＰ４のデプロイ後も「データ送信処理」で送信される出力データがデータ受渡しポリシーに準拠しているかどうかを監視でき、領域２の外部への情報漏洩の防止が可能となる。

図４は、ＡＰ開発者端末１０、ＡＰ開発サーバ２０、ＡＰ実行サーバ３０、データ管理者端末４０の実現に用いる情報処理装置１００のハードウェアの一例を示す。

図４に示すように情報処理装置１００は、プロセッサ１０１と、主記憶装置１０２、補助記憶装置１０３、入力装置１０４、出力装置１０５、及び通信装置１０６を有する。

ＡＰ開発者端末１０、ＡＰ開発サーバ２０、ＡＰ実行サーバ３０、データ管理者端末４０は、例えば、クラウドシステム（Ｃｌｏｕｄ Ｓｙｓｔｅｍ）により提供されるクラウドサーバ（Ｃｌｏｕｄ Ｓｅｒｖｅｒ）のような仮想的な情報処理資源を用いて実現されるものであってもよい。また例えば、協調して機能する複数の情報処理装置１００によって実現されるものであってもよい。また例えば、ＡＰ開発者端末１０、ＡＰ開発サーバ２０、ＡＰ実行サーバ３０、データ管理者端末４０のうちの２つ以上を共通の情報処理装置１００で実現するようにしてもよい。

プロセッサ１０１は、例えば、ＣＰＵ（Ｃｅｎｔｒａｌ Ｐｒｏｃｅｓｓｉｎｇ Ｕｎｉｔ）、ＭＰＵ（Ｍｉｃｒｏ Ｐｒｏｃｅｓｓｉｎｇ Ｕｎｉｔ）、ＧＰＵ（Ｇｒａｐｈｉｃｓ Ｐｒｏｃｅｓｓｉｎｇ Ｕｎｉｔ）等を用いて構成されている。

主記憶装置１２は、プログラムやデータを記憶する装置であり、例えば、ＲＯＭ（Ｒｅａｄ Ｏｎｌｙ Ｍｅｍｏｒｙ）（ＳＲＡＭ（Ｓｔａｔｉｃ Ｒａｎｄｏｍ Ａｃｃｅｓｓ Ｍｅｍｏｒｙ）、ＮＶＲＡＭ（Ｎｏｎ Ｖｏｌａｔｉｌｅ ＲＡＭ）、マスクＲＯＭ（Ｍａｓｋ Ｒｅａｄ Ｏｎｌｙ Ｍｅｍｏｒｙ）、ＰＲＯＭ（Ｐｒｏｇｒａｍｍａｂｌｅ ＲＯＭ）等）、ＲＡＭ（Ｒａｎｄｏｍ Ａｃｃｅｓｓ Ｍｅｍｏｒｙ）（ＤＲＡＭ（Ｄｙｎａｍｉｃ Ｒａｎｄｏｍ Ａｃｃｅｓｓ Ｍｅｍｏｒｙ））等である。

補助記憶装置１３は、ハードディスクドライブ（Ｈａｒｄ Ｄｉｓｋ Ｄｒｉｖｅ）、フラッシュメモリ（Ｆｌａｓｈ Ｍｅｍｏｒｙ）、ＳＳＤ（Ｓｏｌｉｄ Ｓｔａｔｅ Ｄｒｉｖｅ）、光学式記憶装置（ＣＤ（Ｃｏｍｐａｃｔ Ｄｉｓｃ）、ＤＶＤ（Ｄｉｇｉｔａｌ Ｖｅｒｓａｔｉｌｅ Ｄｉｓｃ））等である。補助記憶装置１３に格納されているプログラムやデータは、随時、主記憶装置１２に読み込まれる。

入力装置１０４は、ユーザから情報を受け付けるユーザインタフェースであり、例えば、キーボード、マウス、カードリーダ、タッチパネル等である。

出力装置１０５は、情報を出力（表示出力、音声出力、印字出力等）することによりユーザに情報を提供するユーザインタフェースであり、例えば、各種情報を可視化する表示装置（ＬＣＤ（Ｌｉｑｕｉｄ Ｃｒｙｓｔａｌ Ｄｉｓｐｌａｙ）、グラフィックカード等）や音声出力装置（スピーカ）、印字装置等である。

通信装置１０６は、ネットワーク３を介して他の装置と通信する通信インタフェースであり、例えば、ＮＩＣ（Ｎｅｔｗｏｒｋ Ｉｎｔｅｒｆａｃｅ Ｃａｒｄ）、無線通信モジュール、ＵＳＢ（Ｕｎｉｖｅｒｓａｌ Ｓｅｒｉａｌ Ｉｎｔｅｒｆａｃｅ）モジュール、シリアル通信モジュール等である。

通信装置１０６は、通信可能に接続された他の装置から情報を受信する入力装置として機能させることもできる。また通信装置１０６は、通信可能に接続された他の装置に情報を送信する出力装置として機能させることもできる。

ＡＰ開発者端末１０、ＡＰ開発サーバ２０、ＡＰ実行サーバ３０、データ管理者端末４０の機能は、プロセッサ１０１が、主記憶装置１０２に格納されているプログラムを読み出して実行することにより実現される。また上記のプログラムは、例えば、記録媒体に記録して配布することができる。

ＡＰ開発者端末１０、ＡＰ開発サーバ２０、ＡＰ実行サーバ３０、データ管理者端末４０は、上記の機能に加えて、例えば、オペレーティングシステム、ファイルシステム、デバイスドライバ、ＤＢＭＳ（ＤａｔａＢａｓｅ Ｍａｎａｇｅｍｅｎｔ Ｓｙｓｔｅｍ）等の他の機能をさらに含んでいてもよい。

ＡＰ開発者端末１０、ＡＰ開発サーバ２０、ＡＰ実行サーバ３０、データ管理者端末４０は、各種の情報（データ）を、例えば、データベースのテーブルやファイルとして記憶する。

本実施例において、ＡＰ開発者端末１０は、ソフトウェア開発技術者やドメインエキスパート等のユーザによって操作されることを想定している。またＡＰ４を生成するため、ＶＰ（Ｖｉｓｕａｌ Ｐａｒａｄｉｇｍ）ツールやプログラミング言語のエディターなどＡＰ４の開発環境をユーザに提供することが可能である。

本実施例において、データ管理者端末４０はそれ自身が所属する各領域２に保存されたデータの管理に責任を有するデータ管理者や、各領域２のデータ送信を制限する規制のエキスパート、例えば弁護士などのユーザによって操作される。

データ管理者端末４０は主に、ＡＰ４の開発又はＡＰ４の実行プロセスにおいてＡＰ開発サーバ２０のポリシー準拠確認部２２０又はＡＰ実行サーバ３０のポリシー準拠確認部３２０からデータ受渡しポリシーの追加記述要求、又はＡＰ実行中に出力データの種類の確認勧告を受信してユーザに表示する機能を有する。

加えて、データ管理者端末４０はユーザが入力した出力データ種類の確認結果やＡＰ４の変更勧告等をＡＰ開発者端末１０に送信したり、ＡＰ開発サーバ２０のポリシー準拠確認部２２０又はＡＰ実行サーバ３０のポリシー準拠確認部３２０にユーザが入力した出力データ種類確認結果を送信したりする。

図５は、ＡＰ開発サーバ２０が有する主な機能を示す図である。図５は、図４に示した情報処理装置１００でＡＰ開発サーバ２０を実現した場合、主記憶装置１０２に格納されたソフトウェアの一例を示す。

ＡＰ開発サーバ２０を構成する主記憶装置１０２は、ＡＰ領域２１０と、ポリシー準拠確認部２２０と、データ受渡しポリシー５とＡＰシミュレータ２３０を格納する。ＡＰ領域２１０は、１以上のＡＰ４とＡＰ管理ログ２１１を含む。

ＡＰ開発サーバ２０はＡＰ開発者端末１０からＡＰ４を受信し、ＡＰ領域２１０に記憶する。

ＡＰシミュレータ２３０は、記憶されたＡＰ４に対して任意の領域２から出力される出力データの種類などの情報をシミュレートし、リストとして出力する。シミュレーションの結果のリストを、ポリシー準拠確認部２２０が読み込み、データ受渡しポリシー５と比較して領域２外への出力データがデータ受渡しポリシー５に準拠しているものかどうかを判定し、判定結果に応じてデータ管理者端末４０やＡＰ開発者端末１０に作業要求を送信する。より詳細なＡＰ４の開発手順については後述する。

ＡＰ管理ログ２１１は、後述するようにＡＰシミュレータ２３０でシミュレートされた出力データの種類などの情報（リスト）と、ポリシー準拠確認部２２０の判定結果及びＡＰ４の内容や作成日などの情報をセットにして管理（記憶）する。後述するようにデータ受渡しポリシー５に変更があった場合、ＡＰ開発サーバ２０は、過去に作成したＡＰ４の実行可否を判断することにより、ＡＰ開発者端末１０に送信することが可能になる。

ポリシー準拠確認部２２０と、ＡＰシミュレータ２３０の各機能部はプログラムとして主記憶装置１０２にロードされる。

プロセッサ１０１は、各機能部のプログラムに従って処理を実行することによって、所定の機能を提供する機能部として稼働する。例えば、プロセッサ１０１は、ポリシー準拠確認プログラムに従って処理を実行することでポリシー準拠確認部２２０として機能する。他のプログラムについても同様である。さらに、プロセッサ１０１は、各プログラムが実行する複数の処理のそれぞれの機能を提供する機能部としても稼働する。計算機及び計算機システムは、これらの機能部を含む装置及びシステムである。

図６は、ＡＰ実行サーバ３０が有する主な機能を示す。図６は、図４に示した情報処理装置１００でＡＰ実行サーバ３０を実現した場合、主記憶装置１０２に格納されたソフトウェアの一例を示す。

ＡＰ実行サーバ３０の主記憶装置１０２は、ＡＰ領域３１０と、ポリシー準拠確認部３２０と、変更検知部３２１と、データ受渡しポリシー５と、ＡＰ実行部３３０を有する。ＡＰ領域３１０はデータ受渡しログ３１１を含む。さらに、ポリシー準拠確認部３２０、変更検知部３２１、ＡＰ実行部３３０とデータ受渡しポリシー５を含む。

ＡＰ実行サーバ３０は、ＡＰ開発サーバ２０のポリシー準拠確認部２２０でデータ送信がデータ受渡しポリシー５に準拠することが確認され、デプロイが可能となったＡＰ４をＡＰ開発サーバ２０から受信し、ＡＰ領域３１０に記憶する。

変更検知部３２１は、データ受渡しポリシー５や出力データ、出力データの情報にこれまで使用してきたものから変更があったことを検知し、出力データが領域２の外部に送信されるのを抑止する。

変更検知部３２１は、送信が停止されている期間、送信できない出力データをデータ受渡しログ３１１に保存してもよい。この場合、ＡＰ開発者端末１０にポリシー準拠確認中でデータ送信が停止している旨のメッセージを送信してもよい。

続いて、変更検知部３２１は、ポリシー準拠確認部３２０に実行開始命令を送信する。ポリシー準拠確認部３２０は、データ受渡しポリシー５と出力データの種類などの情報とを比較し、データ受渡しポリシー５に準拠したデータ送信が行われるかどうかを確認する。

変更検知部３２１は、確認が完了するとデータ受渡しログ３１１に保存していた領域２の外部に送信されるべき出力データを外部の領域２へ送信する。この場合、データ管理者端末４０にデータ送信再開の旨をメッセージ送信してもよい。

ＡＰ実行サーバ３０におけるＡＰ４の実行に際し、領域２の外部へ送信される出力データのデータ種類や送信先の領域２の名称又はＩＰアドレス、ＡＰ４の名称をデータ受渡しログ３１１に保存してもよい。これにより秘匿情報の領域間の送信履歴の開示を要求された際など該当出力データの検索が簡単になり、出力データの管理が簡易になる。

加えて、ＡＰ実行サーバ３０のポリシー準拠確認部３２０は、ＡＰ４の実行が一回目の場合は必ず出力データがデータ受渡しポリシー５に準拠しているかどうかを確認し、確認が取れるまで出力データをデータ受渡しログ３１１に保存して送信を保留する。

ここで、実行一回目とはＡＰ４のアルゴリズムの一週目とし、例えばＡＰ実行サーバ３０でストリーム処理が行われるＡＰ４の場合、ＡＰ４間でネットワーク３を構成し、初めてデータ送信が行われる場合を想定している。

以上のように、ＡＰ実行サーバ３０は、実行一回目のＡＰ４のデータ送信の内容がデータ受渡しポリシー５に準拠していることを確認することにより、シミュレーションではなく実際の出力データで情報漏洩のリスクを評価することが可能になる。

前述したポリシー準拠確認部２２０及び３２０はプラガブルであり、ＡＰ領域２１０やＡＰ領域３１０とは別の情報処理装置１００で稼働させてもよい。また、同じ領域２内でなら代用することも可能である。例えば、ある領域２のＡＰ開発サーバ２０を構成する情報処理装置１００の記憶部の容量が小さいなどの理由でポリシー準拠確認部２２０を保持することが不可能な場合、内部ネットワーク９０を介して同じ領域２内の他のＡＰ実行サーバ３０のポリシー準拠確認部３２０を代用することも可能である。あるいは、その逆でポリシー準拠確認部３２０の代わりにＡＰ開発サーバ２０のポリシー準拠確認部２２０を使用することもできる。

図７は、データベースサーバ５０の機能の一例を示す。図７ではデータベースサーバ５０が、秘匿データベース５０１と、オープンデータベース５０２と、中間データベース５０３と、分類データベース５０４を提供する例を示す。

秘匿データベース５０１は、匿名化や抽象化を適用せずに領域２の外部へ送信することが禁止されている秘匿情報を管理（保存）する。

オープンデータベース５０２は、そのまま加工することなく領域２の外部へ送信可能なデータを管理（保存）する。

中間データベース５０３は、ＡＰ４における処理内容や、ＡＰ４の処理中に組み合わせるデータによっては秘匿情報として扱う必要が生じるデータを管理（保存）する。

分類データベース５０４は、ＡＰ４が利用する秘匿データベース５０１、オープンデータベース５０２、中間データベース５０３のデータ種類を分類するために、予め設定されたデータベースである。

なお、各領域２のデータベースサーバ５０は、各領域２に固有のデータを格納することができる。また、新たに格納するデータをいずれのデータベースに格納するかについては、各領域２でデータ管理者端末４０を操作するデータ管理者が決定することができる。

以上のようにデータベースサーバ５０は、秘匿データベース５０１と、オープンデータベース５０２と、中間データベース５０３を分割して管理することで、例えば、アクセス権を分割された各データベースごとに設定して、データにアクセス可能なユーザを限定したり、秘匿情報の消去を要求された際など該当データの検索が簡単になり、管理しやすくなる。

また、ＡＰ４が出力データを送信する際に出力データの情報として、出力データが格納されていたデータベースサーバ５０の種類をメタデータとして付与してもよく、ＡＰ４はこのデータベースの種類によって、データ受渡しポリシー５に記述されるデータ加工方法を決定してもよい。

図８は、ＡＰ４のデプロイ処理の一例を示すシーケンス図である。ＡＰ開発者端末１０で生成されたＡＰ４がＡＰ開発サーバ２０に送信され、出力データがデータ受渡しポリシー５に準拠していることが確認された後にＡＰ実行サーバ３０にＡＰ４が登録（記憶）される際に行われる処理（以下、ＡＰデプロイシーケンスＳ１２００と称する）を説明する。

まず、ＡＰ開発者端末１０は、ＡＰ開発サーバ２０にＡＰ４を送信し、ＡＰ開発サーバ２０は、ＡＰ開発者端末１０から送られてきたＡＰ４を受信して管理（記憶）する（Ｓ１２０１）。

その後、ＡＰ開発サーバのＡＰシミュレータ２２１に、ＡＰ４が送信される（Ｓ１２０２）。ＡＰシミュレータ２２１は、受信したＡＰ４について出力データ種類分析シミュレーション（Ｓ１２２０）を行い、ＡＰ４で行われる領域２間で送信されるデータの種類を全てリストアップする（得られるリストは「出力データ種類リスト」と呼称）。出力データ種類分析の詳細なフローについては後述する。得られた出力データ種類リストはポリシー準拠確認部２２０に送信される（Ｓ１２０３）。

ポリシー準拠確認部３２０は受信した出力データ種類リストと、ＡＰ開発サーバ２０内に記憶されたデータ受渡しポリシー５とを照合し、ポリシーに準拠した処理が出力データに対してなされているかを判定する（Ｓ１２３０）。ＡＰ開発サーバ２０は、判定結果によってはＡＰ開発者端末１０又はデータ管理者端末４０に処理要求を送信（Ｓ１２０４及びＳ１２０５）し、処理結果を受信する。本シーケンスの詳細は後述する。

ポリシー準拠確認（Ｓ１２３０）の後、ポリシー準拠確認部２２０は、ＡＰ４内の領域２間で送信する出力データについてデータ受渡しポリシー５に準拠していることの最終判定結果をＡＰ開発者端末１０に送信する。

ポリシー準拠確認（Ｓ１２３０）の後もデータ受渡しポリシー５に準拠しない出力データが存在する場合、ポリシー準拠確認部２２０は、当該出力データのデータ種類とデータ受渡しポリシー５に準拠しなかった旨のメッセージも一緒に送信してもよい。

最終判定結果を受信したＡＰ開発者端末１０のユーザは、ＡＰ４をデプロイするかどうかの決定をＡＰ開発サーバ２０に送信する（Ｓ１２０９）。

ＡＰ４は、まずＡＰ開発サーバ２０内のＡＰ管理ログ２１１に保存される（Ｓ１２０７）。この場合、ＡＰシミュレータ２３０はＡＰ４内で使用されるデータ種類を一緒に情報として保存してもよい（Ｓ１２０８）。

また、ポリシー準拠確認（Ｓ１２３０）で出力された最終判定結果を一緒にＡＰ開発サーバ２０に保存してもよい。

以上のように、ＡＰ開発サーバ２０は、ＡＰ管理ログ２１１にＡＰ４の情報と、ＡＰ４に付随する情報を管理（保存）しておくことで、例えば、データ受渡しポリシー５に変更があった場合、ＡＰ４内の出力データが変更後のデータ受渡しポリシー５に準拠しなくなることをＡＰ開発サーバ２０で判定することができる。ＡＰ開発サーバ２０は、データ受渡しポリシー５の変更を判定した場合、ＡＰ実行サーバ３０に停止命令を送信してＡＰ４の実行を停止し、ＡＰ開発者端末１０にＡＰ停止の旨をアラート又はメッセージとして送信することができ、データ受渡しポリシー５の変更に迅速な対応が可能となる。

最終判定結果のシーケンスＳ１２０６において、出力データがデータ受渡しポリシー５に全て準拠するという判定結果が出力されて、かつデプロイ決定通知のシーケンスＳ１２０９において、ＡＰ開発者端末１０からＡＰをデプロイするという決定をＡＰ開発サーバに送信した場合、ＡＰ開発サーバ２０は、ＡＰ４の処理を実行する各領域２に含まれるＡＰ実行サーバ３０にＡＰ４をコピーし、送信する（Ｓ１２１０）。ＡＰ４を受信したＡＰ実行サーバ３０はＡＰ４を管理（保存）する。

続いて、ＡＰ実行サーバ３０でＡＰ４を実行させるの処理について説明する。ここで、ＡＰ実行サーバ３０は自身の所属する領域２で実行されるように設定されたＡＰ４内の処理のみを実行する。

図９Ａと図９Ｂは、ＡＰ開発者端末１０が、ＡＰ実行サーバ３０に管理（保存）されたＡＰ４の実行開始を決定し、ＡＰ４が連続実行されるまでを説明するシーケンス図である（以下、「ＡＰ実行シーケンスＳ１６００」と呼称する）。

なお、図９Ａは、アプリケーション実行処理のうち、実行一回目の処理の一例を示すシーケンス図である。また、図９Ｂは、アプリケーション実行処理のうち変更検知時の処理の一例を示すシーケンス図である。

図９Ａのように、まずＡＰ開発者端末１０から実行開始命令をＡＰ実行サーバ３０に送信する（Ｓ１６０１）。ＡＰ４の実行が１回目、つまりこのＡＰ４を実行するのが初めての場合は図９Ａの実行１回目のシーケンスＳ１６０２に従って処理される。

実行１回目のシーケンスＳ１６０２では、ポリシー準拠確認部３２０は、ポリシー準拠確認手順（Ｓ１６３０）に従って、ＡＰ４が処理した出力データがそれぞれの領域のデータ受渡しポリシー５に準拠することを確認する。

ＡＰ実行サーバ３０は、ポリシーの準拠が確認できた出力データをデータ送信処理によって順番に実行していき、全ての領域２でポリシーの準拠が確認できると一回目の実行が終了することになる。ポリシー準拠確認手順（Ｓ１６３０）の詳細は後述する。

ＡＰ実行サーバ３０は、ＡＰ４の一回目の実行が終了すると必要に応じてＡＰ開発者端末１０とデータ管理者端末４０に処理要求を行ったり、処理要求に対する応答を受信してもよい（Ｓ１６０３、Ｓ１６０４）。

ポリシー準拠確認部３２０は、続いて最終判定結果をＡＰ開発者端末１０に送信する（Ｓ１６０５）。この場合、ポリシー準拠確認部３２０が、全ての出力データがデータ受渡しポリシー５に準拠していることを通知すると、ＡＰ開発者端末１０から連続実行決定の信号をＡＰ実行サーバ３０に送信し、引き続きＡＰ４の処理を連続的に実行してもよい（Ｓ１６０６）。

ＡＰ４が実行される間、それぞれの領域２から出力されるデータ種類と主力先の領域の名前又はＩＰアドレスなどをそれぞれの領域２内に含まれるデータ受渡しログ３１１で管理（保存）してもよい（Ｓ１６０７）。

ＡＰ４実行中にデータ受渡しポリシー５、又は出力データ種類に変更が生じた場合、図９Ｂの変更検知時のシーケンスＳ１６０８を実行する。

データ受渡しポリシー５又は出力データ種類の変更はＡＰ実行サーバ３０の変更検知部３２１が常時又は断続的にモニタリングし、変更があった場合にポリシー準拠確認部３２０に実行開始信号を送信する（Ｓ１６０９）。

実行開始信号を受信したポリシー準拠確認部３２０は、上記変更のあったデータ受渡しポリシー５（又は出力データ種類）と対応する出力データ、又は変更のあった出力データとそれに対応するデータ受渡しポリシー５に対してポリシー準拠確認手順（Ｓ１６３０）を行う。

ポリシー準拠確認部３２０は続いて最終判定結果をＡＰ開発者端末１０に送信する（Ｓ１６０５）。この場合、全ての出力データがデータ受渡しポリシー５に準拠していることが確認された場合、ＡＰ開発者端末１０は、連続実行決定の信号をＡＰ実行サーバ３０に送信し、引き続きＡＰ４の処理を連続で繰り返し実行してもよい（Ｓ１６０６）。

図１０はデータ受渡しポリシー５の一例を示した図である。ここで、各種データはデータ種類５１という属性が予め決定されていることを想定している。データ種類５１の設定は、データ管理者端末４０を使用するデータ管理者等が予め決定することができる。

データ種類５１として、例えば「名前」や、「年齢」や、「セルシウス温度」や、「電圧（Ｖ）」などの符号を用いて分類する。データ受渡しポリシー５はデータ種類５１ごとに作成され、図１０では一例として「年齢」というデータ種類５１に適用されているデータ受渡しポリシー５を示している。

データ受渡しポリシー５の縦軸は、出力データを送信する側（Ｆｒｏｍ）の領域２を示し、横軸は出力データを受信する側（Ｔｏ）の領域２を示す符号（名称やＩＰアドレスなど）を表している。

図１０には送信する側の領域と受信する側の領域の組み合わせは、それぞれにデータ種類５１が「年齢」である出力データに必要な処理（例えば、抽象化、暗号化、ハッシュ化、匿名化など）が記述されている。

抽象化の処理は、データ受渡しポリシー５に設定された抽象度に基づいて実行される。抽象度とは予め領域２間で決定された抽象化のレベルを表す。例えば、データ種類５１が「年齢」の場合、抽象度が「０」の場合は１歳ごとの年齢（「２４歳」、「３２歳」、「５５歳」など）が出力データとして処理される。

抽象度が「２」の場合は、５歳ごとに抽象化した年齢（「２０～２４歳」、「３０～３４歳」、「５５～５９歳」など）が出力データとして処理される。抽象度が「３」の場合は、１０歳ごとに抽象化した年齢（「２０代」、「３０代」、「５０代」など）が出力データとして処理される。

上記の例では抽象度の値が増大するにつれて、出力データの値が抽象的に加工されるが、これに限定されるものではない。

また、図１０のように、ＡＰ実行サーバ３０にデプロイされたＡＰ４は、実際にデータ受渡しポリシー５に準拠して行われたデータ送信の回数を計数して、データ受渡しポリシー５の使用実績として当該データ受渡しポリシー５と一緒に記述してもよい。

以上のように、ＡＰ４がデータ受渡しポリシー５の使用実績を記録しておくことで、データ受渡しポリシー５の使用実績が０回のポリシーは、ポリシーの記述ミスがあった場合に秘匿情報が流出することを防止するため、例えばＡＰ開発サーバの２０ポリシー準拠確認部２２０で使用実績が０回のポリシーがＡＰ４内で使用されることが判明した場合にデータ管理者端末４０に確認を促すメッセージを送信してもよい。

加えて、ＡＰ４は、データ種類５１として生データに抽象化や、匿名化などの処理を加えた場合、加工を実施したことをデータ種類５１の情報としてデータ受渡しポリシー５と一緒に管理（保存）してもよい。

例えば「年齢」というデータ種類５１の値が「２４歳」の出力データに対して、ＡＰ４内の処理で予め「抽象度」＝「３」として定義した抽象化処理が行われて「２０代」となった場合、この出力データのデータ種類５１を「年齢＿抽象度」＝「３」としてもよい。

以上のように抽象化などの処理をデータ種類５１に含むことで、ポリシー準拠確認部３２０において加工の内容を容易に確認することが可能となる。また、データ種類５１に限定されるものではなく、処理名（加工の種類等）を出力データに対応したメタデータとしてＡＰ４が追加してもよい。

加えて、データを所有する領域２の外部へ出力データが送信される場合、データ種類５１の情報として出力元の領域２を識別する符号をＡＰ４がメタデータとして追加してもよい。この例によると、例えば、３つ以上の領域２を経由して出力データが送信される場合、データを所有する送信元の領域２のデータ受渡しポリシー５を適用する処理を他の領域２で実施することが可能になる。

例えば、領域２－１で生成された出力データのデータ種類５１を「年齢＿領域２－１」とする。このようにすれば、この出力データが領域２－２へ送信された後、領域２－２から領域２－３に送信される場合、ＡＰ実行サーバ３０のポリシー準拠確認部３２０はデータ種類５１を参照し、領域２－２から領域２－３にデータ送信する場合のデータ受渡しポリシーではなく領域２－１から領域２－３にデータ送信する場合のデータ受渡しポリシーを適用することができる。なお、出力データに追加するメタデータは、データ種類５１でなくてもよく、処理名を出力データに対応したメタデータに含ませてもよい。

データ受渡しポリシー５は、ＡＰ４の処理が行われる全ての領域２に含まれるＡＰ開発サーバ２０と、ＡＰ実行サーバ３０及びデータ管理者端末４０で共有されるのが望ましい。共有の手段は、例えば、クラウドにファイルをアップロードしてＡＰ開発サーバ２０と、ＡＰ実行サーバ３０及びデータ管理者端末４０がそれぞれダウンロードする方法や、ファイル共有システムで共有する方法や、ＡＰ開発サーバ２０と、ＡＰ実行サーバ３０及びデータ管理者端末４０が連絡網を形成し、互いにファイルを送信し合う方法等がある。

図１１は出力データに「データ種類」を付与するための分類データベースの一例を示した図である。図１１では分類データベース５０４としてキーバリュー（Ｋｅｙ－Ｖａｌｕｅ）型のデータベースを用いた場合を想定している。分類データベース５０４は、データベースサーバ５０に格納される。

キーバリューでは、一つの値（Ｖａｌｕｅ）に対して一つのキー（Ｋｅｙ）が割り当てられる。データベース５０－Ａのキーは予め設定されており、分類データベース５０４にデータを格納したユーザごとに異なる可能性がある。図示の例では、分類データベース５０４は、データ種類５１１と、データキー５１２で構成され、データ種類５１１がキーであり、データキー５１２はバリューである。

例えば、図１１内に示すように、人の名前の文字列を値として含むデータキー５１２は「Ｎａｍｅ」や「ｆｕｌｌ ｎａｍｅ」あるいは「ｎａｍｅ」等である場合がある。このようなデータキー５１２を予めデータ管理者等のユーザが全て同じデータ種類５１１の「名前」となるよう図１１の分類データベース５０４のように設定しておく。

ＡＰ４は、データベースサーバ５０の秘匿データベース５０１と、オープンデータベース５０２及び中間データベース５０３からデータを読み込む際に、分類データベース５０４の設定に従って、読み込むデータフィールドの属性をデータキー５１２に一致するデータ種類５１１として扱うことができる。

上記分類データベース５０４を各領域２のデータベースサーバ５０に設定することにより、言語や地域あるいは組織が異なる領域２のデータベースのフィールドの属性を統一して、ＡＰ４の処理を実行することができる。なお、分類データベース５０４は、各領域２で分散共有することが望ましい。

分類データベース５０４のキーが「メッセージ」などであり、そのデータの値として郵便番号や電話番号が格納されている場合などは、数字や文字列の桁数や出現パターンに基づいて「郵便番号」や「電話番号」といったデータ種類５１１を付与してもよい。

図１２は、ＡＰ開発サーバ２０のＡＰシミュレータ２２１が、ＡＰ開発者端末１０から受け付けたＡＰ４の出力データをシミュレーション（Ｓ１２２０）する手順を説明したフローチャートである。

図１２に示した例では、予め各領域２の弁護士等のデータ管理者が、自身が管理する領域２で使用されるデータのダミーデータ（値を同じデータ型を有する別の値に置き換えたものなど）を作成しておき、データ受渡しポリシー５とともに各領域２のＡＰ開発者端末１０や、ＡＰ開発サーバ２０に共有されていることを想定している。

ダミーデータのデータ型は、各領域２のデータベースサーバ５０に格納されたデータベースのフィールドのデータ型と同一であることが望ましい。

まず、ＡＰシミュレータ２２１は、ＡＰ４の入力データのデータ種類を参照し、予め準備された同じデータ種類のダミーデータを入力としてＡＰ４を実行する（Ｓ１２２１）。なお、ダミーデータは、上述のようにデータベースサーバ５０のデータと同様なデータ型を有する。

続いて、ＡＰシミュレータ２２１は、ＡＰ４から出力される出力データのデータ種類を出力データ種類リストとしてリストアップする（Ｓ１３２０）。リストアップの手法は、クラスタリングや公知又は周知の手法を用いればよい。例えば、ＡＰシミュレータ２２１は、分類データベース５０４のデータ種類５１１で、出力データの属性を分類し出力データ種類リストを生成することができる。

図１３は、ＡＰ開発サーバ２０のＡＰシミュレータ２２１が、ＡＰ開発者端末１０から受け付けたＡＰ４で扱われる出力データをシミュレーション（Ｓ１２２０）する第２の実施手順を説明したフローチャートである。この手順によれば、予め多数のダミーデータを作成しなくても、ＡＰ４の出力データ種類を分析することが可能になる。

図１３に示した例では、予めＡＰ４のプログラムで用いられる関数を細分化し、四則演算など最低限の処理に細分化しておく。そして、細分化された処理のそれぞれについて入力されたデータ種類がどのように変化するかを記述したリスト（以下、「データ種類変化公式リスト」と呼称）が作成する。

本実施例では、データ種類変化公式リストが、データ受渡しポリシー５とともに各領域２のＡＰ開発者端末１０と、ＡＰ開発サーバ２０で共有されていることを想定している。

まず、ＡＰシミュレータ２２１は、ＡＰ４の入力データのデータ種類をリストアップする（Ｓ１２２３）。続いて、ＡＰシミュレータ２２１は、ＡＰ４で行われる処理を細分化する（Ｓ１２２４）。

その後、ＡＰシミュレータ２２１は、細分化したＡＰ４の処理の種類をデータ種類変化公式リストを参照して出力データの種類を計算し（Ｓ１２２５）、出力データ種類リストとして結果をリストアップする（Ｓ１３２０）。

上記処理では、ＡＰ４内の関数で複数のデータ種類の四則演算や、単一のデータ種類に対する統計処理などから、出力されるデータ種類を特定することができる。

図１４は、ポリシー準拠確認の手順の一例を説明するフローチャートである。

図８に示したＡＰデプロイシーケンスＳ１２００において、ＡＰ開発者端末１０のユーザ（開発者と呼ぶ）と、データ管理者端末４０のユーザ（データ管理者と呼ぶ）が行う処理を示したフローチャートである。図１４にはポリシー準拠確認部３２０によるポリシー準拠確認手順（Ｓ１２３０）も含めている。

まず、データ管理者は自分の管理担当する出力データが含まれる領域２のデータ受渡しポリシー５をデータ管理者端末４０で作成し（Ｓ１５０１）、他の領域２のデータ受渡しポリシー５を互いに共有する（Ｓ１５０２）。なお、共有されたデータ受渡しポリシー５をマージして前述したように一つのデータ受渡しポリシー５に統合してもよい。データ受渡しポリシー５を統合しない場合には、複数の表形式で扱うようにしてもい。また、この手順以前にデータ受渡しポリシー５を、既に作成及び共有済みである場合、これらの手順を省略してもよい。

開発者はＡＰ開発者端末１０を用いてＡＰ４を作成（Ｓ１５０３）し、ＡＰ開発サーバ２０にＡＰ４を送信する（Ｓ１２０１）。ＡＰ４を受信したＡＰ開発サーバ２０は、ＡＰシミュレータ２２１で出力データの種類をリストアップして出力データ種類リストを生成する。

続いて、ＡＰ開発サーバ２０のポリシー準拠確認部２２０は、ステップＳ１２３１、Ｓ１２３３、Ｓ１２３５で判定を実行し、判定結果に応じて開発者及びデータ管理者に処理要求を送信する（Ｓ１２３２、Ｓ１２３４、Ｓ１２３６）。

まず、ポリシー準拠確認部２２０は、ステップＳ１２２０で生成された出力データ種類リストと対応するデータ種類５１のデータ受渡しポリシー５を検索する（Ｓ１２３１）。

データ受渡しポリシー５が存在しない場合又はデータ受渡しポリシー５の内容が未記載の場合、ポリシー準拠確認部２２０はデータ管理者端末４０を介してデータ管理者に対象のデータ受渡しポリシー５の記載を要求するメッセージを送信する（Ｓ１２３２）。データ管理者がポリシーを記載するまで、ポリシー準拠確認部３２０はポリシー記載待機中のメッセージをＡＰ開発者端末１０に送信してもよい。

出力データ種類リストに対応したデータ受渡しポリシー５が存在することが確認された後、ポリシー準拠確認部３２０は夫々の出力データがデータ受渡しポリシー５に準拠した加工がなされているかを照合する（Ｓ１２３３）。データ受渡しポリシー５に準拠していない出力データが存在する場合、ＡＰ開発者端末１０に対象の出力データを表す符号又はデータ種類と、対応するデータ受渡しポリシー５を送信し、データ受渡しポリシー５に準拠したデータ処理を追加するようメッセージを送信してもよい（Ｓ１２３４）。

ポリシー準拠確認部３２０は、当該領域２の全ての出力データがデータ受渡しポリシー５に準拠することを確認するとステップ１５０４に進む。

ステップ１５０４では、最後にポリシー準拠確認部３２０は夫々の出力データを所有する領域２のデータ管理者端末４０に、それぞれの領域２のデータ管理者が管理するデータに基づく出力データのデータ種類と、領域２の外部に送信するか否かをデータ管理者端末４０に問い合わせる。

夫々のデータ管理者は、データ管理者端末４０で上記の問い合わせを受診し、出力データがデータ受渡しポリシー５に準拠していることの最終確認を行う（Ｓ１２３５）。この場合、全てのデータ管理者の確認が終了するまでＡＰ開発者端末１０を介して、データ管理者が確認中である旨と、確認が取れていないデータ種類などの表示を行ってもよい（Ｓ１２３６）。

データ管理者端末４０では、確認の結果、ＡＰ４のデータ処理に追加が必要だとデータ管理者が判断した場合、その旨をＡＰ開発者端末１０にメッセージとして送信してもよい。

なお、ＡＰ４が扱う出力データを所有する全ての領域２のデータ管理者の確認が必要になるため、開発者が簡単に確認だけをしたい場合に対応するために、計算機システム１はこのステップＳ１２３５を省略する機能を有していてもよい。

続いて、ポリシー準拠確認部３２０は、ＡＰ開発者端末１０へ確認が完了したメッセージを送信する（Ｓ１５０４）。このメッセージを受信した場合、ＡＰ開発者端末１０は開発者に対してＡＰ４のデプロイを行うかどうかを選択する画面を表示してもよい。開発者は最後にＡＰ４をデプロイするか否かを決定し、その旨をＡＰ開発サーバに送信する（Ｓ１２０９）。

図１５は、図９Ａに示したポリシー準拠確認手順Ｓ１６３０の処理方法を説明するフローチャートである。

ＡＰ実行サーバ３０はまず、ＡＰ４が生成した出力データにＡＰ実行サーバ３０自身が所属する領域２の外部へのデータ送信処理があるか否かを判定する（Ｓ１７０１）。領域２の外部へのデータ送信処理がある場合、ＡＰ実行サーバ３０は、ＡＰ４をデータ送信処理の直前の処理まで実行させ、処理された出力データのデータ種類から、出力データ種類リストを生成する（Ｓ１７０２）。なお、ＡＰ実行サーバ３０における出力データ種類リストの生成は、上述したＡＰ開発サーバ２０のＡＰシミュレータ２３０と同様に行うことができる。

ＡＰ実行サーバ３０は、生成された出力データ種類リストと、データ受渡しポリシー５を参照して、図１４のポリシー準拠確認手順（Ｓ１２３０）と同様にポリシー準拠確認部３２０でデータ送信処理がデータ受渡しポリシー５に準拠していることを確かめる。

全ての出力データについてデータ受渡しポリシー５に準拠した処理がなされていることが確かめられた後に、ＡＰ実行サーバ３０は、データ送信処理を行ってデータ送信先の領域２に出力データを送信する。

上記手順を最後の処理が行われる領域２まで順番に実行し、ＡＰ４内の全てのデータ送信処理がデータ受渡しポリシー５に準拠することを確かめる。

上記処理によって、ＡＰ４が複数の領域２間でデータの受渡しを行う場合、それらがデータ受渡しポリシー５に従っていることの確認を効率よく行うことができ、ＡＰ４の秘匿情報漏洩のリスクを評価する労力を低減することが可能となる。

なお、本発明は上記した実施例に限定されるものではなく、様々な変形例が含まれる。例えば、上記した実施例は本発明を分かりやすく説明するために詳細に記載したものであり、必ずしも説明した全ての構成を有するものに限定されるものではない。また、ある実施例の構成の一部を他の実施例の構成に置き換えることが可能であり、また、ある実施例の構成に他の実施例の構成を加えることも可能である。また、各実施例の構成の一部について、他の構成の追加、削除、又は置換のいずれもが、単独で、又は組み合わせても適用可能である。

また、上記の各構成、機能、処理部、及び処理手段等は、それらの一部又は全部を、例えば集積回路で設計する等によりハードウェアで実現してもよい。また、上記の各構成、及び機能等は、プロセッサがそれぞれの機能を実現するプログラムを解釈し、実行することによりソフトウェアで実現してもよい。各機能を実現するプログラム、テーブル、ファイル等の情報は、メモリや、ハードディスク、ＳＳＤ（Ｓｏｌｉｄ Ｓｔａｔｅ Ｄｒｉｖｅ）等の記録装置、又は、ＩＣカード、ＳＤカード、ＤＶＤ等の記録媒体に置くことができる。

また、制御線や情報線は説明上必要と考えられるものを示しており、製品上必ずしも全ての制御線や情報線を示しているとは限らない。実際には殆ど全ての構成が相互に接続されていると考えてもよい。

＜結び＞
以上のように、上記実施例の計算機システムは、以下のような構成とすることができる。

（１）プロセッサ（１０１）とメモリ（主記憶装置１０２）を含んで生成されたアプリケーション（４）を管理する開発サーバ（アプリケーション開発サーバ２０）と、プロセッサ（１０１）とメモリ（１０２）を含んで前記開発サーバ（２０）から配布された前記アプリケーション（４）を実行する実行サーバ（アプリケーション実行サーバ３０）と、前記開発サーバ（２０）と複数の前記実行サーバ（３０）を接続するネットワークと、を有して、前記複数の実行サーバ（３０）がそれぞれ所属する複数の領域（２）間で入力データに所定の処理を実行する計算機システム（１）であって、前記開発サーバ（２０）は、前記アプリケーション（４）の処理結果の出力データを前記領域（２）の外部へ送信する際に必要な出力データに対する加工内容を予め設定したデータ受渡しポリシー（５）と、前記アプリケーション（４）に出力データを生成させるシミュレーションを実施するアプリケーションシミュレータ（２３０）と、前記生成された前記出力データが前記データ受渡しポリシー（５）に違反しているか否かを判定する第１のポリシー準拠確認部（ポリシー準拠確認部２２０）と、を有することを特徴とする計算機システム。

上記構成により、ＡＰ開発サーバ２０は、ＡＰ実行サーバ３０のアプリケーション４が複数の領域２間で出力データの受渡しを行う場合、各出力データがデータ受渡しポリシーに従っていることの確認を効率よく行うことができ、アプリケーション４の秘匿情報漏洩リスクの評価に要する労力を減らす効果がある。

（２）上記（１）に記載の計算機システムであって、前記実行サーバ（３０）は、前記アプリケーション（４）を実行して出力データを生成させるアプリケーション実行部（３３０）と、前記アプリケーション（４）の処理結果の出力データを前記領域（２）の外部へ送信する際に必要な出力データに対する加工内容を予め設定したデータ受渡しポリシー（５）と、前記アプリケーション（４）が生成した出力データが前記データ受渡しポリシー（５）に違反しているか否かを判定する第２のポリシー準拠確認部（ポリシー準拠確認部３２０）と、を有することを特徴とする計算機システム。

上記構成により、ＡＰ実行サーバ３０は、アプリケーション４を実行して複数の領域２間で出力データの受渡しを行う場合、各出力データがデータ受渡しポリシーに従っていることの確認を効率よく行うことができ、アプリケーション４の秘匿情報漏洩リスクの評価に要する労力を減らす効果がある。

（３）上記（１）に記載の計算機システムであって、前記開発サーバ（２０）に接続されたデータ管理者端末（４０）をさらに有し、前記第１のポリシー準拠確認部は、前記出力データに対応する前記データ受渡しポリシー（５）が存在しない場合には、前記データ管理者端末（４０）にデータ受渡しポリシー（５）を新たに生成することを要求することを特徴とする計算機システム。

上記構成により、ＡＰ開発サーバ２０は、出力データに対応するデータ受渡しポリシー５が存在しない場合には、対象のデータ管理に責任を有するデータ管理者端末４０にデータ受渡しポリシー５の追加を促すメッセージを自動的に送信することが可能となる。

（４）上記（２）に記載の計算機システムであって、前記実行サーバ（３０）に接続されたデータ管理者端末（４０）をさらに有し、前記第２のポリシー準拠確認部（３２０）は、前記出力データに対応する前記データ受渡しポリシー（５）が存在しない場合には、前記データ管理者端末（４０）にデータ受渡しポリシー（５）を新たに生成することを要求することを特徴とする計算機システム。

上記構成により、ＡＰ実行サーバ３０は、出力データに対応するデータ受渡しポリシー５が存在しない場合には、対象のデータ管理に責任を有するデータ管理者端末４０にデータ受渡しポリシー５の追加を促すメッセージを自動的に送信することが可能となる。

（５）上記（１）に記載の計算機システムであって、前記開発サーバ（２０）に接続された開発者端末（アプリケーション開発者端末１０）をさらに有し、前記第１のポリシー準拠確認部（２２０）は、前記出力データが前記データ受渡しポリシー（５）に違反する場合には、前記開発者端末（１０）に前記アプリケーション（４）の変更を要求することを特徴とする計算機システム。

上記構成により、ＡＰ開発サーバ２０は、出力データがデータ受渡しポリシー５に違反する場合には、ＡＰ開発者端末１０にアプリケーション４の変更を自動的に要求することが可能となる。

（６）上記（１）に記載の計算機システムであって、前記データ受渡しポリシー（５）は、前記領域（２）のそれぞれで予め設定され、前記領域（２）間で予め共有されることを特徴とする計算機システム。

上記構成により、各領域２で設定されたデータ受渡しポリシー５は、他の領域２間で共有され、複数の領域２のＡＰ実行サーバ３０が連携して出力データを処理する際に、各領域２の出力データに関する制限を他の領域２のＡＰ実行サーバ３０で適用することが可能となる。

（７） 上記（１）に記載の計算機システムであって、前記複数の領域（２）は、前記出力データの流通に関する制限が異なる領域（２）であることを特徴とする計算機システム。

上記構成により、出力データに対して遵守すべき規制（法律や規約）等が異なる国や地域あるいは団体を領域２として扱うことで、ＡＰ実行サーバ３０は出力データに対する制限に応じて送信時に出力データへ所定の加工を実施することが可能となる。

（８）上記（１）に記載の計算機システムであって、前記開発サーバ（２０）に接続された開発者端末（１０）をさらに有し、前記開発サーバ（２０）は、前記シミュレーションによるアプリケーション（４）の出力データが前記データ受渡しポリシー（５）に違反するか否かの情報を保存する管理ログ（アプリケーション管理ログ２１１）をさらに有し、前記第１のポリシー準拠確認部（２２０）は、前記データ受渡しポリシー（５）に変更があった場合には、前記管理ログ（２１１）に保存された前記アプリケーション（４）の出力データについて、変更後の前記データ受渡しポリシー（５）に違反するか否かを判定して、前記開発者端末（１０）に判定の結果を送信することを特徴とする計算機システム。

上記構成により、ＡＰ開発サーバ２０は、データ受渡しポリシー５に変更があった場合には、ＡＰ管理ログ２１１に保存されたアプリケーション４の出力データについて、変更後の前記データ受渡しポリシー５に違反するか否かを判定して、ＡＰ開発者端末１０に判定の結果を通知することで、出力データが各領域２の制限に違反しないようにＡＰ４の変更を促すことができる。

（９）上記（２）に記載の計算機システムであって、前記実行サーバ（３０）は、前記データ受渡しポリシー（５）の内容又は前記出力データに変更があったことを検知する変更検知部（３２１）をさらに有し、前記変更検知部（３２１）は、前記変更を検知した場合には、前記出力データの送信を抑止することを特徴とする計算機システム。

上記構成により、データ受渡しポリシー５又は出力データ種類の変更はＡＰ実行サーバ３０の変更検知部３２１がモニタリングし、変更があった場合にポリシー準拠確認部３２０に実行開始信号を送信する。

これにより、実行開始信号を受信したポリシー準拠確認部３２０は、上記変更のあったデータ受渡しポリシー５（又は出力データ種類）と対応する出力データ、又は変更のあった出力データとそれに対応するデータ受渡しポリシー５に対してポリシー準拠確認手順（Ｓ１６３０）を行うことが可能となる。

＜補足＞
特許請求の範囲に記載した以外の本発明の観点の代表的なものとして、次のものがあげられる。
＜１６＞

プロセッサとメモリを含んで生成されたアプリケーションを管理する開発サーバであって、
前記アプリケーションの処理結果の出力データを領域の外部へ送信する際に必要な出力データに対する加工内容を予め設定したデータ受渡しポリシーと、
前記アプリケーションに出力データを生成させるシミュレーションを実施するアプリケーションシミュレータと、
前記生成された前記出力データが前記データ受渡しポリシーに違反しているか否かを判定する第１のポリシー準拠確認部と、
を有することを特徴とする開発サーバ。

１ 計算機システム
２ 領域
３ ネットワーク
４ ＡＰ
５ データ受渡しポリシー
１０ ＡＰ開発者端末
２０ ＡＰ開発サーバ
３０ ＡＰ実行サーバ
４０ データ管理者端末
５０ データベース
９０ 内部ネットワーク
１１ ＡＰ編集部
１２ ＡＰ送信部
１３ 処理要求送受信部
１４ 記憶部
４３ 処理要求送受信部
４４ 記憶部
２１０ 記憶部
２１１ ＡＰ管理ログ
２２０ ポリシー準拠事前確認部
２２１ ＡＰシミュレータ
３２０ ポリシー準拠確認部
３１０ 記憶部
３１１ データ受渡しログ
３２０ ポリシー準拠実行時確認部
３２１ 変更検知部
５０１ 秘匿データベース
５０２ オープンデータベース
５０３ 中間データベース
５０４ 分類データベース

Claims (15)

1. プロセッサとメモリを含んで生成されたアプリケーションを管理する開発サーバと、
   プロセッサとメモリを含んで前記開発サーバから配布された前記アプリケーションを実行する実行サーバと、
   前記開発サーバと複数の前記実行サーバを接続するネットワークと、を有して、前記複数の実行サーバがそれぞれ所属する複数の領域間でデータに所定の処理を実行する計算機システムであって、
   前記開発サーバは、
   前記アプリケーションの処理結果の出力データを前記領域の外部へ送信する際に必要な出力データに対する加工内容を予め設定したデータ受渡しポリシーと、
   前記アプリケーションに出力データを生成させるシミュレーションを実施するアプリケーションシミュレータと、
   前記生成された前記出力データが前記データ受渡しポリシーに違反しているか否かを判定する第１のポリシー準拠確認部と、
   を有することを特徴とする計算機システム。
2. 請求項１に記載の計算機システムであって、
   前記実行サーバは、
   前記アプリケーションを実行して出力データを生成させるアプリケーション実行部と、 前記アプリケーションの処理結果の出力データを前記領域の外部へ送信する際に必要な出力データに対する加工内容を予め設定したデータ受渡しポリシーと、
   前記アプリケーションが生成した出力データが前記データ受渡しポリシーに違反しているか否かを判定する第２のポリシー準拠確認部と、
   を有することを特徴とする計算機システム。
3. 請求項１に記載の計算機システムであって、
   前記開発サーバに接続されたデータ管理者端末をさらに有し、
   前記第１のポリシー準拠確認部は、
   前記出力データに対応する前記データ受渡しポリシーが存在しない場合には、前記データ管理者端末にデータ受渡しポリシーを新たに生成することを要求することを特徴とする計算機システム。
4. 請求項２に記載の計算機システムであって、
   前記実行サーバに接続されたデータ管理者端末をさらに有し、
   前記第２のポリシー準拠確認部は、
   前記出力データに対応する前記データ受渡しポリシーが存在しない場合には、前記データ管理者端末にデータ受渡しポリシーを新たに生成することを要求することを特徴とする計算機システム。
5. 請求項１に記載の計算機システムであって、
   前記開発サーバに接続された開発者端末をさらに有し、
   前記第１のポリシー準拠確認部は、
   前記出力データが前記データ受渡しポリシーに違反する場合には、前記開発者端末に前記アプリケーションの変更を要求することを特徴とする計算機システム。
6. 請求項１に記載の計算機システムであって、
   前記データ受渡しポリシーは、
   前記領域のそれぞれで予め設定され、前記領域間で予め共有されることを特徴とする計算機システム。
7. 請求項１に記載の計算機システムであって、
   前記複数の領域は、
   前記出力データの流通に関する制限が異なる領域であることを特徴とする計算機システム。
8. 請求項１に記載の計算機システムであって、
   前記開発サーバに接続された開発者端末をさらに有し、
   前記開発サーバは、
   前記シミュレーションによるアプリケーションの出力データが前記データ受渡しポリシーに違反するか否かの情報を保存する管理ログをさらに有し、
   前記第１のポリシー準拠確認部は、
   前記データ受渡しポリシーに変更があった場合には、前記管理ログに保存された前記アプリケーションの出力データについて、変更後の前記データ受渡しポリシーに違反するか否かを判定して、前記開発者端末に判定の結果を送信することを特徴とする計算機システム。
9. 請求項２に記載の計算機システムであって、
   前記実行サーバは、
   前記データ受渡しポリシーの内容又は前記出力データに変更があったことを検知する変更検知部をさらに有し、
   前記変更検知部は、
   前記変更を検知した場合には、前記出力データの送信を抑止することを特徴とする計算機システム。
10. アプリケーションを管理する開発サーバと、前記開発サーバから配布された前記アプリケーションを実行する実行サーバと、前記開発サーバと複数の前記実行サーバを接続するネットワークと、を有する計算機システムで、前記複数の実行サーバがそれぞれ所属する複数の領域間でデータに所定の処理を実行する前記アプリケーションを管理するアプリケーション管理方法であって、
    前記開発サーバが、前記アプリケーションに出力データを生成させるシミュレーションを実行するシミュレーションステップと、
    前記開発サーバが、前記生成された前記出力データについて、前記アプリケーションの出力データを前記領域の外部へ送信する際に必要な出力データに対する加工内容を予め設定したデータ受渡しポリシーに違反しているか否かを判定する第１のポリシー準拠確認ステップと、
    を含むことを特徴とするアプリケーション管理方法。
11. 請求項１０に記載のアプリケーション管理方法であって、
    前記実行サーバが、前記アプリケーションを実行して出力データを生成するアプリケーション実行ステップと、
    前記実行サーバが、前記生成された出力データが、前記出力データを前記領域の外部へ送信する際に必要な出力データに対する加工内容を予め設定したデータ受渡しポリシーに違反しているか否かを判定する第２のポリシー準拠確認ステップと、
    をさらに含むことを特徴とするアプリケーション管理方法。
12. 請求項１０に記載のアプリケーション管理方法であって、
    前記第１のポリシー準拠確認ステップは、
    前記出力データに対応する前記データ受渡しポリシーが存在しない場合には、前記開発サーバに接続されたデータ管理者端末にデータ受渡しポリシーを新たに生成することを要求することを特徴とするアプリケーション管理方法。
13. 請求項１１に記載のアプリケーション管理方法であって、
    前記第２のポリシー準拠確認ステップは、
    前記出力データに対応する前記データ受渡しポリシーが存在しない場合には、前記実行サーバに接続されたデータ管理者端末にデータ受渡しポリシーを新たに生成することを要求することを特徴とするアプリケーション管理方法。
14. 請求項１０に記載のアプリケーション管理方法であって、
    前記第１のポリシー準拠確認ステップは、
    前記出力データが前記データ受渡しポリシーに違反する場合には、前記開発サーバに接続された開発者端末に前記アプリケーションの変更を要求することを特徴とするアプリケーション管理方法。
15. 請求項１０に記載のアプリケーション管理方法であって、
    前記データ受渡しポリシーは、
    前記領域のそれぞれで予め設定され、前記領域間で予め共有されることを特徴とするアプリケーション管理方法。

Images