JP7340059B2 - 分散プラットフォームで協調計算を実施する間のデータプライバシーを管理する方法およびシステム - Google Patents

Description

本発明の主題は、全体としてデータプライバシーに関し、より詳細には、ただし非排他的に、分散プラットフォームで協調計算を実施する間のデータプライバシーを管理する方法およびシステムに関する。

複数所有者のデータ共有は、サービスおよびリサーチを改善するための深い洞察を提供する協調計算に必要とされる。ユーザ記録は複数のデータ所有者に分配される。これらの記録は、健康に関連するデータ、社会的データ、所在地データ、個人データ、財務データなどの機密ユーザ情報を含むことがある。有用な計算を実施するために複数のデータ所有者から様々なデータを受信し、より良好な分析結果を得ることは必要不可欠である。しかしながら、全てのデータ所有者が互いを信頼していないために、有用な情報の共有が妨げられることがある。また、データ所有者は、機密情報を共有するのに共通の中央サーバを信頼していないことがある。ユーザ記録の直接共有は、ユーザの再識別、望ましくない追跡、および機密情報へのアクセスにかかるプライバシーの問題につながる。状況によっては、データ所有者が、他のデータ所有者または共通の中央サーバと機密データを計算のために共有することに同意したとしても、データ所有者は、多数のノイズが各ユーザ記録に追加されたデータセットを共有する。ノイズレベルが高いことにより、これらのデータセットに対して実施される計算の精度は低く、結果として有用性が低い。更に、データ所有者は、例えば、協調計算のためにユーザ記録を互いに共有する前にその全体を暗号化するので、暗号化されたデータ記録全体に対する計算は、実用にとっては低速すぎて有用性が低い。

本開示は、上述した１つまたは複数の制限、あるいは従来技術と関連付けられた他のあらゆる制限を克服することを対象とする。

本開示の背景技術の項に開示する情報は、単に本発明の一般的な背景の理解を深めるためのものであり、この情報が当業者には既に知られている従来技術を形成することを認めたりまたはいかなる形でも提示したりするものと解釈すべきではない。

既存の技術における上述の問題を克服するために、特許請求する発明は、複数のデータサーバまたはプロバイダによって所有されている機密情報を含むデータに対する複数の信頼レベルに基づいてグループを作成し、作成された各グループに対するデータのデータ変換レベルを変更し、変更されたデータ変換レベルによって、生、ノイズ追加、または暗号化としてデータを共有して協調計算する、方法およびシステムを開示する。データ所有者ペアの信頼レベルに基づいた、ユーザ記録に対する異種データ変換は、ユーザ記録に求められるプライバシーと、有用性（ユーザ記録に対する協調処理の精度および計算時間）との間のバランスを提供する。

本開示の一実施形態では、分散プラットフォームで協調計算を実施する間のデータプライバシーを管理する方法が開示される。方法は、保護された共有データ構造によって、１つまたは複数の参加データ所有者それぞれの互いとの信頼レベルに基づいて、協調計算における１つまたは複数の参加データ所有者の１つまたは複数のグループを作成することを含む。１つまたは複数のグループはそれぞれ、１つまたは複数のグループそれぞれにおける１つまたは複数の参加データ所有者の間でデータを共有するための、計算技術と関連付けられる。その後、方法は、１つまたは複数のグループそれぞれにおける参加データ所有者のペアの間でデータを共有するシーケンスを識別することを含む。対応する計算技術を使用して、識別されたシーケンスで、１つまたは複数のグループそれぞれにおける参加データ所有者のペアの間でデータが共有される。続いて、方法は、１つまたは複数のグループのうち１つの計算結果を暗号化することを含む。１つまたは複数のグループはそれぞれ、１つまたは複数のグループそれぞれにおける参加データ所有者のペアの間でデータが共有されていることに基づいて、計算結果を生成する。更に、方法は、暗号化された計算結果にアクセスするとともにデータプライバシーを管理するため、１つまたは複数のグループそれぞれにおける１つまたは複数の参加データ所有者それぞれに暗号化鍵を提供することを含む。

本開示の一実施形態では、分散プラットフォームで協調計算を実施する間のデータプライバシーを管理する方法が開示される。方法は、サーバに接続された１つまたは複数のデータ所有者の間での協調計算を容易にするため、保護された共有データ構造を作成することを含む。保護されたデータ構造が作成されると、方法は、１つまたは複数のデータ所有者のうち１つから所望のデータに対する要求を受信し、保護された共有データ構造における１つまたは複数のデータ所有者の残りと要求を共有することを含む。続いて、方法は、保護された共有データ構造における１つまたは複数のデータ所有者の残りから、要求を評価する際に協調計算に参加するという指示を受信することを含む。協調計算に参加する１つまたは複数のデータ所有者の残りは、１つまたは複数の参加データ所有者である。更に、方法は、１つまたは複数の参加データ所有者それぞれの互いとの信頼レベルに基づいて、協調計算における１つまたは複数の参加データ所有者の１つまたは複数のグループを作成することを含む。１つまたは複数のグループはそれぞれ、１つまたは複数のグループそれぞれにおける１つまたは複数の参加データ所有者の間でデータを共有するための、計算技術と関連付けられる。

１つまたは複数のグループを作成する際、方法は、１つまたは複数のグループそれぞれにおける参加データ所有者のペアの間でデータを共有するシーケンスを識別することを含む。その後、方法は、対応する計算技術を使用して、識別されたシーケンスで、１つまたは複数のグループそれぞれにおける参加データ所有者のペアの間で、ピア・ツー・ピアに基づいたデータ共有を実施することを含む。一実施形態では、方法は、１つまたは複数のグループそれぞれにおける参加データ所有者のペアによって、１つまたは複数のグループそれぞれにおける参加データ所有者のペアの間でデータが共有されていることに基づいて、計算結果を生成することを含む。１つまたは複数のグループのうち１つの計算結果は、保護されたサーバ内の共有データ構造に提供される。その後、方法は、１つまたは複数のグループのうち１つの計算結果を暗号化することを含む。更に、方法は、暗号化された計算結果にアクセスするため、１つまたは複数のグループそれぞれにおける１つまたは複数の参加データ所有者それぞれに暗号化鍵を提供することを含む。

本開示の一実施形態では、分散プラットフォームで協調計算を実施する間のデータプライバシーを管理するサーバの保護された共有データ構造が開示される。サーバは、プロセッサとプロセッサに通信可能に結合されたメモリとを備え、メモリはプロセッサ実行可能命令を格納し、それらが実行されると、プロセッサに、１つまたは複数の参加データ所有者それぞれの互いとの信頼レベルに基づいて、協調計算における１つまたは複数の参加データ所有者の１つまたは複数のグループを作成させる。１つまたは複数のグループはそれぞれ、１つまたは複数のグループそれぞれにおける１つまたは複数の参加データ所有者の間でデータを共有するための、計算技術と関連付けられる。その後、プロセッサは、１つまたは複数のグループそれぞれにおける参加データ所有者のペアの間でデータを共有するシーケンスを識別する。対応する計算技術を利用して、識別されたシーケンスで、１つまたは複数のグループそれぞれにおける参加データ所有者のペアの間でデータが共有される。続いて、プロセッサは、１つまたは複数のグループのうち１つの計算結果を暗号化し、１つまたは複数のグループはそれぞれ、１つまたは複数のグループそれぞれにおける参加データ所有者のペアの間でデータが共有されていることに基づいて、計算結果を生成する。更に、プロセッサは、暗号化された計算結果にアクセスするとともにデータプライバシーを管理するため、１つまたは複数のグループそれぞれにおける１つまたは複数の参加データ所有者それぞれに暗号化鍵を提供する。

本開示の一実施形態では、分散プラットフォームで協調計算を実施する間のデータプライバシーを管理するシステムが開示される。システムは、サーバに接続された１つまたは複数のデータ所有者の間での協調計算を容易にするため、サーバ内に保護された共有データ構造を備える。システムはまた、保護された共有データ構造と関連付けられた１つまたは複数のデータ所有者を含んでもよく、サーバは、プロセッサと、プロセッサに通信可能に結合されたメモリとを備える。メモリはプロセッサ実行可能命令を格納し、それらが実行されると、プロセッサに、１つまたは複数のデータ所有者のうち１つから所望のデータに対する要求を受信させ、保護された共有データ構造における１つまたは複数のデータ所有者と要求を共有させる。その後、プロセッサは、要求を評価する際に、保護された共有データ構造における１つまたは複数のデータ所有者の残りから、協調計算に参加するという指示を受信する。協調計算に参加する１つまたは複数のデータ所有者の残りは、１つまたは複数の参加データ所有者である。１つまたは複数のデータ所有者の残りから指示を受信すると、プロセッサは、１つまたは複数の参加データ所有者それぞれの互いとの信頼レベルに基づいて、協調計算における１つまたは複数の参加データ所有者の１つまたは複数のグループを作成する。１つまたは複数のグループはそれぞれ、１つまたは複数のグループそれぞれにおける１つまたは複数の参加データ所有者の間でデータを共有するための、計算技術と関連付けられる。更に、プロセッサは、１つまたは複数のグループそれぞれにおける参加データ所有者のペアの間でデータを共有するシーケンスを識別する。識別に基づいて、プロセッサは、対応する計算技術を使用して、識別されたシーケンスで、１つまたは複数のグループそれぞれにおける参加データ所有者のペアの間で、ピア・ツー・ピアに基づいたデータ共有を実施する。

一実施形態では、プロセッサは、１つまたは複数のグループそれぞれにおける参加データ所有者のペアによって、１つまたは複数のグループそれぞれにおける参加データ所有者のペアの間でデータが共有されていることに基づいて、計算結果を生成する。１つまたは複数のグループのうち１つの得られた計算結果は、保護された共有データ構造に提供され、命令はプロセッサに、１つまたは複数のグループのうち１つの計算結果を暗号化させる。更に、プロセッサは、暗号化された計算結果にアクセスするため、１つまたは複数のグループそれぞれにおける１つまたは複数の参加データ所有者それぞれに暗号化鍵を提供する。

上述の概要は単なる例示であり、いかなる形でも限定であることを意図しない。上述した例示の態様、実施形態、および特徴に加えて、図面および以下の詳細な記載を参照することにより、更なる態様、実施形態、および特徴が明白となるであろう。

添付図面は、本開示に組み込まれるとともにその一部を構成するものであり、例示的実施形態を例示し、記載と併せて本開示の原理を説明するものである。図面中、参照番号の一番左の桁は、その参照番号が最初に登場する図面を特定する。同様の特徴および構成要素を参照するのに、図面全体を通して同じ番号が使用される。本発明の主題の実施形態によるシステムおよび／または方法のいくつかの実施形態を、単なる例として、添付図面に関連して以下に記載する。

本開示のいくつかの実施形態による、分散プラットフォームで協調計算を実施する間のデータプライバシーを管理する、例示的な環境を示す図である。 本開示のいくつかの実施形態による、分散プラットフォームで協調計算を実施する間のデータプライバシーを管理する、保護された共有データ構造を実現するサーバを示すブロック図である。 本開示のいくつかの実施形態による、保護された共有データ構造の初期化および協調要求テーブルの作成を示すシーケンスフロー図である。 本開示のいくつかの実施形態による、信頼レベルグループの形成を示すシーケンスフロー図である。 本開示のいくつかの実施形態による、計算結果の生成を示すシーケンスフロー図である。 本開示のいくつかの実施形態による、患者の健康記録を共有する例示のシナリオを示す図である。 本開示のいくつかの実施形態による、分散プラットフォームで協調計算を実施する間のデータプライバシーを管理する方法を示すフローチャートである。 本開示のいくつかの実施形態による、分散プラットフォームで協調計算を実施する間に参加データ所有者を識別する方法を示すフローチャートである。 本開示と一致する実施形態を実現する例示的なコンピュータシステムを示すブロック図である。 本開示のいくつかの実施形態による、信頼レベルのカテゴリ、ユーザ記録に対して実施されるデータ変換、および関連する協調計算技術を示した図である。 本開示のいくつかの実施形態による、データを共有する間に追加されるノイズの量に基づいた、複数の異なる半信頼レベルのサブカテゴリを示す図である。 本開示のいくつかの実施形態による、１つまたは複数のデータ所有者それぞれの、１つまたは複数の他のデータ所有者それぞれとの信頼レベルを示す図である。 本開示のいくつかの実施形態による、協調要求テーブルを示す図である。 本開示のいくつかの実施形態による、データ所有者信頼レベルテーブルを示す図である。 本開示のいくつかの実施形態による、新しい協調エントリが作成された協調要求テーブルを示す図である。 本開示のいくつかの実施形態による、Ｈ９を除いて、他の全ての病院が、協調要求テーブル１１９の参加メンバーリストで更新されることを示した図である。 本開示のいくつかの実施形態による、協調要求テーブルでグループ情報が更新されることを示した図である。 本開示のいくつかの実施形態による、暗号化された計算結果により、協調要求テーブルが更新されることを示す図である。

本明細書のブロック図はいずれも、本発明の主題の原理を具体化する例示的システムの概念図を表すものであることが、当業者には認識されるべきである。同様に、フローチャート、フロー図、状態遷移図、擬似コードなどはいずれも、コンピュータ可読媒体で実質的に表され、コンピュータまたはプロセッサによって（かかるコンピュータまたはプロセッサが明示的に示されるか否かにかかわらず）実行されてもよい、様々なプロセスを表すものであることが認識されるであろう。

本文書において、「例示」という単語は、本明細書では、「例、実例、または例示としての役割を果たす」ことを意味するのに使用される。本明細書において「例示」として記載される、本発明の主題のいずれの実施形態または実現例も、必ずしも他の実施形態よりも好ましいかまたは有利なものとして解釈されるものではない。

本開示は、様々な修正および代替形態を容認可能であるが、それらの特定の実施形態が例として図面に示されており、以下に詳細に記載される。しかしながら、本開示を開示する特定の形態に限定しようとするものではなく、反対に、本開示は、全ての修正、等価物、および代替物を、本開示の範囲内にあるものとして網羅するものであることが理解されるべきである。

「備える」、「備えている」、「含む」、「含んでいる」という用語、またはそれらの他の任意の変形は、非排他的包含を網羅するものとし、そのため、一連の構成要素もしくはステップを備えるセットアップ、デバイス、または方法は、それらの構成要素もしくはステップのみを含むのではなく、明示的に列挙されないか、あるいはかかるセットアップまたはデバイスまたは方法に固有の、他の構成要素もしくはステップを含んでもよい。換言すれば、「～を備える」に続くシステムまたは装置の１つもしくは複数の要素は、更なる制約なしに、他の要素または追加の要素がシステムまたは方法に存在することを除外しない。

本開示は、分散プラットフォームで協調計算を実施する間のデータプライバシーを管理する方法およびシステムに関する。最初に、保護された共有データ構造と関連付けられた１つまたは複数のデータ所有者の間での協調計算を容易にするため、保護された共有データ構造を作成する。プロセスは、１つまたは複数のデータ所有者のうち１つから所望のデータに対する要求を受信することで始まり、次に、保護された共有データ構造における１つまたは複数のデータ所有者の残りと要求を共有する。要求を評価した後、方法は、保護された共有データ構造における１つまたは複数のデータ所有者の残りから、協調計算に参加するという指示を受信することを含む。協調計算に参加する１つまたは複数のデータ所有者の残りは、参加データ所有者である。評価プロセスは、要求された所望のデータのカテゴリを公開または非公開の１つとして識別することと、非公開カテゴリの所望のデータを提供するためのプライバシー推定値を計算することと、を含む。その後、計算されたプライバシー推定値が、非公開カテゴリの所望のデータを提供するための利用可能なプライバシー推定値内であるとき、協調計算に参加することを示す。

サーバは、保護された共有データ構造が作成されると、信頼レベルテーブルおよび協調要求テーブルを備える。信頼レベルテーブルは、サーバに接続された１つまたは複数の他の参加データ所有者それぞれとの、１つまたは複数の参加データ所有者それぞれの信頼レベルの情報を含む。協調要求テーブルは、所望のデータに対する要求、１つまたは複数のグループ、データを共有するシーケンス、および計算結果と関連付けられた情報を含む。続いて、方法は、１つまたは複数の参加データ所有者それぞれの互いとの信頼レベルに基づいて、協調計算における１つまたは複数の参加データ所有者の１つまたは複数のグループを作成することを含む。１つまたは複数のグループはそれぞれ、１つまたは複数のグループそれぞれにおける１つまたは複数の参加データ所有者の間でデータを共有するための、計算技術と関連付けられる。１つまたは複数のグループは、信頼グループ、半信頼グループ、および非信頼グループを含む。

サーバは、１つまたは複数のグループそれぞれにおける参加データ所有者のペアの間でデータを共有するシーケンスを識別する。その後、方法は、対応する計算技術を使用して、識別されたシーケンスで、１つまたは複数のグループそれぞれにおける参加データ所有者のペアの間で、ピア・ツー・ピアに基づいたデータ共有を実施することを含む。信頼グループの計算技術は、生データ共有フォーマットであってもよく、半信頼グループと関連付けられた計算技術は、データを共有する間にノイズが追加される、差分非公開データ共有であってもよい。非信頼グループと関連付けられた計算技術は、安全な複数当事者データ共有であってもよく、安全な複数当事者データ共有では、暗号化された計算が実施され、ノイズが計算結果に追加される。更に、方法は、１つまたは複数のグループそれぞれにおける参加データ所有者のペアによって、１つまたは複数のグループそれぞれにおける参加データ所有者のペアの間でデータが共有されていることに基づいて、計算結果を生成することを含む。１つまたは複数のグループのうち１つの得られた計算結果は、保護された共有データ構造に提供される。サーバは、次に、１つまたは複数のグループのうち１つの得られた計算結果を暗号化する。

一実施形態では、サーバは、暗号化された計算結果にアクセスするとともにデータプライバシーを管理するため、１つまたは複数のグループそれぞれにおける１つまたは複数の参加データ所有者それぞれに暗号化鍵を提供する。このように、本開示は、有用性およびプライバシーを向上させた、分散プラットフォームで協調計算を実施する間のデータプライバシーを管理する、方法およびシステムを開示する。更に、本開示は、データ所有者の機密情報を共有する一方で処理の時間および精度を改善する、方法を提供する。

図１ａは、本開示のいくつかの実施形態による、分散プラットフォームで協調計算を実施する間のデータプライバシーを管理する、例示的な環境を示している。尚、図では、保護された共有データ構造１０３と記載されているが、共有データ構造を有するサーバ１０３を示している。

環境１００は、保護された共有データ構造を管理するサーバ１０３と、１つまたは複数のデータ所有者、例えばデータ所有者１ １０１１～データ所有者Ｎ １０１Ｎ［集合的に、データ所有者／参加データ所有者１０１と呼ぶ］とを備える。サーバ１０３は、協調計算を実施する間のデータプライバシーを管理する、（図１ｂに示されるような）メモリ１１６とインターフェース接続するプロセッサ１１４を備える。サーバ１０３はまた、入出力（Ｉ／Ｏ）インターフェース１１３（図１ｂに示される）を含んでもよい。一例として、図１ａは、１つまたは複数の参加データ所有者１０１それぞれの互いとの信頼レベルに基づいた、協調計算の完全なアーキテクチャを示している。一実施形態では、多数のユーザ記録が、いくつかのデータ所有者のデータベースまたはレポジトリで保持される。情報または所望のデータは、ユーザ記録の機密情報を含んでもよく、公開データおよび非公開データとしてカテゴリ分けされてもよい。非公開データは、ユーザの健康状態、ユーザの疾患のタイプ、社会的選好、所在地、銀行取引、年齢、性別、および身長を含んでもよいが、それらに限定されない。公開データは、購入した電子商取引品目、フィードバック評価、および推薦に関する情報を含むが、それらに限定されない。

一実施形態では、サーバ１０３に接続された１つまたは複数のデータ所有者１０１の間での協調計算を容易にするため、保護された共有データ構造が作成される。保護された共有データ構造は、ブロックチェーンネットワークシステムまたはサーバの１つによって管理される（本明細書では、単にサーバと称する）。１つまたは複数のデータ所有者１０１はそれぞれ、保護された共有データ構造が作成されると、協調計算における１つまたは複数の他のデータ所有者１０１それぞれに対する一方向の信頼レベルを指定する。１つまたは複数のデータ所有者１０１それぞれとデータを共有して協調計算する前に、データ所有者の信頼レベルに応じて、ユーザ記録に対してデータ変換が実施される。

一実施形態では、サーバ１０３は、保護された共有データ構造が作成されると、信頼レベルテーブル１１８および協調要求テーブル１１９を備える。信頼レベルテーブル１１８は、サーバ１０３に接続された１つまたは複数の他の参加データ所有者１０１それぞれとの、１つまたは複数の参加データ所有者１０１それぞれの信頼レベルの情報を含む。協調要求テーブル１１９は、所望のデータに対する要求、１つまたは複数のグループ、データを共有するシーケンス、および計算結果と関連付けられた情報を含む。

一実施形態では、保護された共有データ構造は、１つまたは複数の参加データ所有者１０１それぞれの互いとの信頼レベルに基づいて、協調計算における１つまたは複数の参加データ所有者１０１の１つまたは複数のグループを作成する。１つまたは複数のグループは、信頼（Ｔ）グループ［信頼ペア］１０５と、半信頼（Ｓ）グループ１０７［半信頼ペア］と、非信頼（Ｕ）グループ１０９［非信頼ペア］とを含み、１つまたは複数のグループはそれぞれ計算技術と関連付けられる。協調計算のため、作成された１つまたは複数のグループは、複数のデータサーバまたはプロバイダによって所有されている機密情報を含むデータに対する複数の信頼レベルに基づき、作成された各グループに対するデータのデータ変換レベルを変更し、変更されたデータ変換レベルによって、生、ノイズ追加、または暗号化としてデータを共有する。信頼グループ１０５と関連付けられた計算技術は、データ共有の生フォーマットである。半信頼グループ１０７と関連付けられた計算技術は、差分非公開データ共有であり、差分非公開データ共有技術では、データを共有する間にノイズが追加される。非信頼グループ１０９と関連付けられた計算技術は、安全な複数当事者データ共有であり、安全な複数当事者データ共有では、暗号化された計算が実施され、ノイズが計算結果に追加される。

保護された共有データ構造が作成されると、１つまたは複数のデータ所有者１０１は、所望のデータを要求し、サーバ１０３における要求を１つまたは複数のデータ所有者１０１の残りと共有してもよい。データ共有要求を評価する際、保護された共有データ構造における１つまたは複数のデータ所有者１０１から、協調計算に参加するという指示が受信される。参加データ所有者１０１は、協調計算に参加している１つまたは複数のデータ所有者１０１である。その後、１つまたは複数の参加データ所有者１０１それぞれの互いとの信頼レベルに基づいて、１つまたは複数の参加データ所有者１０１の１つまたは複数のグループが、協調計算のために作成される。１つまたは複数のグループは、１つまたは複数のグループそれぞれにおける１つまたは複数の参加データ所有者１０１の間でデータを共有するため、計算技術と関連付けられる。続いて、サーバ１０３は、１つまたは複数のグループそれぞれにおける参加データ所有者１０１のペアの間でのデータ共有シーケンスを識別する。対応する計算技術を使用して、サーバ１０３は、指定されたデータ共有シーケンスで、１つまたは複数のグループそれぞれにおける参加データ所有者１０１のペアの間で、ピア・ツー・ピアデータ共有を実施する。

一実施形態では、サーバ１０３は、１つまたは複数のグループそれぞれにおける参加データ所有者１０１のペアの間でデータが共有されていることに基づいて、計算結果を生成する。その後、サーバ１０３は、１つまたは複数のグループのうち１つの計算結果を受信する。更に、サーバ１０３は、１つまたは複数のグループのうち１つの計算結果を暗号化し、暗号化された計算結果にアクセスするため、およびデータプライバシーのため、１つまたは複数の参加データ所有者１０１それぞれに暗号化鍵を提供する。このように、本開示は、データ所有者１０１の機密情報の共有における処理の時間および精度を改善する。

図１ｂは、本開示のいくつかの実施形態による、分散プラットフォームで協調計算を実施する間のデータプライバシーを管理する、サーバのブロック図を示している。

一実現例では、サーバ１０３は、Ｉ／Ｏインターフェース１１３を通してデータを受信する。一例として、受信したデータはメモリ１１６内に格納される。一実施形態では、データは、信頼レベルテーブル１１８のコンテンツ、協調要求テーブル１１９のコンテンツ、および他のデータ１２０を含む。示される図１ｂで、メモリ１１６に格納された１つまたは複数のモジュールについて、本明細書で詳細に記載する。

一実施形態では、データは、様々なデータ構造の形態でメモリ１１６に格納されてもよい。加えて、上述のデータは、関係または階層データモデルなどのデータモデルを使用して組織化することができる。他のデータ１２０は、サーバ１０３の様々な機能を実施するモジュールによって生成される、一時データおよび一時ファイルを含むデータを格納してもよい。

一実施形態では、信頼レベルテーブル１１８は、サーバ１０３に接続された１つまたは複数の他の参加データ所有者１０１それぞれとの、１つまたは複数の参加データ所有者１０１それぞれの信頼レベルの情報を含む。１つまたは複数のデータ所有者１０１はそれぞれ、協調計算における１つまたは複数の他のデータ所有者１０１それぞれに対する信頼レベルを指定する。１つまたは複数のデータ所有者１０１それぞれに対する信頼レベルは、信頼（Ｔ）グループ［信頼ペア（ＴＴ）］１０５、半信頼（Ｓ）グループ１０７［半信頼ペア（ＳＴ、ＴＳ、ＳＳ）］、および非信頼（Ｕ）グループ１０９［非信頼ペア（ＵＵ、ＵＳ、ＳＵ、ＵＴ、ＴＵ）］としてカテゴリ分けされる。信頼グループ１０５、例えばＴＴと関連付けられた計算技術は、データ共有の生フォーマットである。半信頼グループ１０７、例えばＴＳ、ＳＴ、およびＳＳと関連付けられた計算技術は、差分非公開データ共有であり、非信頼グループ１０９、例えばＵＵ、ＵＳ、ＳＵ、ＵＴ、およびＴＵと関連付けられた計算技術は、安全な複数当事者データ共有である。差分非公開データ共有技術では、データを共有する間にノイズが追加されるが、安全な複数当事者データ共有では、暗号化された計算が実施され、ノイズが計算結果に追加される。全てのデータ所有者ペアの信頼レベルに対して、プライバシーが保存される。信頼ペア１０５では、データ処理は高速で正確なものになるが、半信頼ペア１０７では、データ処理は高速で非公開のものになるが精度は下がる。非信頼ペア１０９では、データ処理は正確で非公開性が高いものになるが、低速処理である。

図９の表１は、信頼レベルのカテゴリ、ユーザ記録に対して実施されるデータ変換、および関連する協調計算技術を示している。ある参加データ所有者と他の参加データ所有者との信頼レベルは、同じ組織のメンバーに対しては信頼、異なる既知の組織のメンバーに対しては半信頼、未知の組織のメンバーに対しては非信頼である。データ所有者ペアの信頼レベルに基づいた、ユーザ記録に対する異種データ変換は、ユーザ記録に求められるプライバシーと、有用性、即ちユーザ記録に対する協調処理の精度および計算時間とのバランスを提供する。同様に、図１０の表２は、データを共有する間に追加されるノイズの量に基づいた、複数の異なる半信頼レベルのサブカテゴリを示している。

一実施形態では、１つまたは複数のデータ所有者１０１それぞれの、１つまたは複数の他のデータ所有者１０１それぞれとの信頼レベルが図１１の表３に示される。Ｎ個のデータ所有者が協調計算に参加する場合について検討する。データ所有者間の信頼レベルは一方向性である。例えば、図１１の表３では、データ所有者Ｄ１とデータ所有者Ｄ２との間のデータ共有について検討しており、データ所有者Ｄ１はデータ所有者Ｄ２と半信頼の関係を有し、データ所有者Ｄ２はデータ所有者Ｄ１と信頼関係を有する。斜め方向のエントリでは、データ所有者と自身との信頼レベルは無関係であり、保護された共有データ構造はデータ所有者の信頼レベルテーブル１１８を維持する。

一実施形態では、協調要求テーブル１１９は、所望のデータに対する要求、１つまたは複数のグループ、データを共有するシーケンス、および計算結果と関連付けられた情報を含む。例示の協調要求テーブル１１９が図１２の表４に示されている。保護された共有データ構造が作成されると、それは協調要求テーブル１１９を含む。保護された共有データ構造は、協調要求テーブル１１９を維持する。

例えば、保護された共有データ構造は、１２個のデータ所有者、例えばＤ１、Ｄ２、Ｄ３、Ｄ４、Ｄ５、Ｄ６、Ｄ７、Ｄ８、Ｄ９、Ｄ１０、Ｄ１１、およびＤ１２の間での協調のために作成される。Ｄ１データ所有者は、所望のデータに対する要求を保護されたサーバ１０３に送信し、所望のデータは、上位５つの疾患、および疾患を治療するのに要する平均入院期間に関する。Ｄ４、Ｄ８、およびＤ１１を除いて、他の全てのデータ所有者は相互の関心に基づいて協調することに決めている。関心を持つデータ所有者（Ｄ１、Ｄ２、Ｄ３、Ｄ５、Ｄ６、Ｄ７、Ｄ９、Ｄ１０、およびＤ１２）の参加は、協調要求テーブル１１９で更新される。全ての参加データ所有者の中で、Ｄ１、Ｄ２、およびＤ３は互いと信頼ペア１０５を形成し、Ｄ１、Ｄ２、およびＤ３のデータ所有者は信頼グループを形成する。同様に、Ｄ５、Ｄ７、およびＤ１２のデータ所有者は互いと半信頼ペア１０７を形成し、Ｄ５、Ｄ７、およびＤ１２のデータ所有者は半信頼グループを形成する。残りのデータ所有者Ｄ１０、Ｄ６、およびＤ９は非信頼グループを形成する。

一実施形態では、サーバ１０３は、データ所有者ペアおよびデータ共有シーケンスを選択して、信頼グループの第１のデータ所有者、例えばＤ１が信頼グループ計算の最終出力を格納し、半信頼グループの第１のデータ所有者、例えばＤ５が半信頼グループ計算の最終出力を格納するようになる。その後、非信頼グループのデータ共有が、信頼グループの第１のデータ所有者（Ｄ１）と、半信頼グループの第１のデータ所有者（Ｄ５）と、非信頼グループのデータ所有者（例えば、Ｄ１０、Ｄ６、およびＤ９）との間で伝送される。更に、データ共有処理情報が協調要求テーブル１１９に保存され、サーバ１０３は協調結果を暗号化する。

一実施形態では、メモリ１１６に格納されたデータは、サーバ１０３のモジュールによって処理される。モジュールは、図１ｂに示されるように、メモリ１１６内に格納されてもよい。一例では、モジュールは、プロセッサ１１４に通信可能に結合され、メモリ１１６の外部にも存在してもよい。

一実現例では、モジュールは、例えば、作成モジュール１２２、識別モジュール１２３、暗号化モジュール１２４、提供モジュール１２５、および他のモジュール１２６を含んでもよい。他のモジュール１２６は、サーバ１０３の種々様々な機能を実施するのに使用されてもよい。かかる上述のモジュールは、単一のモジュールまたは異なるモジュールの組み合わせとして表されてもよいことが認識されるであろう。一実施形態では、作成モジュール１２２は、保護された共有データ構造と関連付けられた１つまたは複数のデータ所有者１０１の間での協調計算を容易にするため、保護された共有データ構造を作成するように構成されてもよい。

その後、１つまたは複数の参加データ所有者１０１それぞれの互いとの信頼レベルに基づいて、協調計算における１つまたは複数の参加データ所有者１０１の１つまたは複数のグループを作成する。１つまたは複数のグループはそれぞれ、１つまたは複数のグループそれぞれにおける１つまたは複数の参加データ所有者１０１の間でデータを共有する、計算技術と関連付けられる。１つまたは複数のグループは、信頼グループ、半信頼グループ、および非信頼グループである。その後、１つまたは複数のデータ所有者１０１のうち１つから所望のデータに対する要求を受信し、保護された共有データ構造における１つまたは複数のデータ所有者１０１の残りと要求を共有する。要求を査定した後、協調計算に参加したいであろう、保護された共有データ構造における１つまたは複数のデータ所有者１０１の残りから確認を得る。

一実施形態では、識別モジュール１２３は、１つまたは複数のグループそれぞれにおける参加データ所有者１０１のペアの間でデータを共有するシーケンスを識別するように構成される。データは、対応する計算技術を使用して、識別されたシーケンスで、１つまたは複数のグループそれぞれにおける参加データ所有者１０１のペアの間で共有される。その後、１つまたは複数のグループそれぞれにおける参加データ所有者１０１のペアの間でデータを共有するシーケンスを識別する。

一実施形態では、暗号化モジュール１２４は、１つまたは複数のグループのうち１つの計算結果を暗号化するように構成されてもよく、１つまたは複数のグループそれぞれが計算結果を生成する。計算結果は、１つまたは複数のグループそれぞれにおける参加データ所有者１０１のペアの間でデータが共有されていることに基づく。信頼グループおよび半信頼グループと関連付けられた計算技術は並行して実施され、得られた計算結果は協調要求テーブル１１９で更新される。非信頼グループと関連付けられた計算技術は、安全な複数当事者データ共有であり、暗号化された計算が実施され、ノイズが計算結果に追加され、得られた計算結果は協調要求テーブル１１９で更新される。対称鍵Ｋが生成され、鍵Ｋは各協調要求に固有のものであり、計算結果は鍵Ｋを用いて暗号化され、暗号化された計算結果は協調要求テーブル１１９で更新される。

一実施形態では、提供モジュール１２５は、協調要求に参加した全てのデータ所有者と鍵Ｋを共有するように構成される。更に、参加データ所有者１０１は、鍵Ｋを使用して暗号化された計算結果を復号して、協調結果を得る。

図２は、本開示のいくつかの実施形態による、保護された共有データ構造の初期化および協調要求テーブルの作成のシーケンスフロー図を示している。

一実施形態では、データ所有者は、ステップ１に示されるように、サーバ１０３に接続された１つまたは複数のデータ所有者１０１の間での協調計算を容易にするため、保護された共有データ構造を作成する。サーバ１０３は、保護された共有データ構造が作成されると、信頼レベルテーブル１１８および協調要求テーブル１１９を作成する。ステップ２で、協調に関心を持つデータ所有者が保護された共有データ構造に加入してもよい。一例として、データ所有者１、データ所有者２、およびデータ所有者Ｎが、保護された共有データ構造に加入してもよい。新しいデータ所有者が協調計算に参加することに関心を示すと、信頼レベルテーブル１１８で、関心を持つデータ所有者１０１のエントリが作成される。その後、他の全てのデータ所有者１０１の信頼レベルが、新しいデータ所有者１０１のエントリを追加することによって、信頼レベルテーブル１１８で更新される。同様に、他の全てのデータ所有者１０１は、新しいデータ所有者１０１の信頼レベルを信頼レベルテーブル１１８に入力する。ステップ３で、サーバ１０３は、１つまたは複数のデータ所有者１０１のうち１つから所望のデータに対する要求を受信し、保護された共有データ構造における１つまたは複数のデータ所有者１０１の残りと要求を共有する。次に、協調要求テーブル１１９で、受信した要求に対して新しい協調エントリが作成される。

一実施形態では、サーバ１０３は、保護された共有データ構造における１つまたは複数のデータ所有者１０１の残りから、要求を評価する際に協調計算に参加するという指示を受信する。評価は、要求された所望のデータのカテゴリを公開または非公開の１つとして識別して、非公開カテゴリの所望のデータを提供するためのプライバシー推定値を計算することを含む。評価の際に協調計算に参加することを希望している１つまたは複数のデータ所有者１０１の残りは、図３に示されるように、１つまたは複数の参加データ所有者１０１である。参加データ所有者１０１に関する情報は、ステップ５で、協調要求テーブル１１９で更新される。

一実施形態では、サーバ１０３は、１つまたは複数の参加データ所有者１０１それぞれの信頼レベルに基づいて、協調計算における１つまたは複数の参加データ所有者１０１の１つまたは複数のグループを作成する。１つまたは複数のグループはそれぞれ、１つまたは複数の参加データ所有者１０１の間でデータを共有するための、計算技術と関連付けられ、１つまたは複数のグループは、信頼グループ、半信頼グループ、および非信頼グループを含む。ある参加データ所有者１０１と他の参加データ所有者１０１との信頼レベルは、同じ組織のメンバーに対しては信頼、異なる既知の組織のメンバーに対しては半信頼、未知の組織のメンバーに対しては非信頼である。関心を持つデータ所有者１０１の参加リストは、協調要求テーブル１１９で更新される。最初に、保護された共有データ構造における所望のデータに対する要求を行うデータ所有者を、信頼グループの第１のデータ所有者（発信元）として識別する。その後、第１の条件が満たされるまで、１つまたは複数の参加データ所有者１０１を信頼グループに繰り返し追加する。プロセスの第１の条件は、参加データ所有者が、信頼グループに以前に追加された１つまたは複数の参加データ所有者１０１の残り全てと信頼ペア１０５を有し、最大数の信頼ペア数を有することである。

一実施形態では、サーバ１０３は、第１の条件を満たさなかった１つまたは複数の参加データ所有者１０１の残りから、半信頼グループを形成する。１つまたは複数の参加データ所有者１０１の残り全ての間で、最大数の半信頼ペア１０７または信頼ペア１０５数を有するものが、第１の参加データ所有者として半信頼グループに追加される。その後、第２の条件が満たされるまで、１つまたは複数の残りの参加データ所有者１０１を半信頼グループに繰り返し追加する。第２の条件は、１つまたは複数の参加データ所有者１０１の残りが、半信頼グループに以前に追加された他の全てのデータ所有者と半信頼ペア１０７または信頼ペア１０５を有し、最大数の半信頼ペア１０７または信頼ペア１０５数を有することである。更に、第２の条件を満たさなかった１つまたは複数の残りの参加データ所有者１０１に基づいて、非信頼グループを形成する。ステップ６で、協調要求テーブル１１９のグループ情報を更新する。

一実施形態では、サーバ１０３は、１つまたは複数のグループそれぞれにおける参加データ所有者１０１のペアの間でデータを共有するシーケンスを識別する。ステップ７で、信頼グループおよび半信頼グループによる計算結果の生成が、図４に示されるように、並行して実施される。信頼グループでは、保護された共有データ構造における所望のデータに対する要求を行うデータ所有者は、第１のデータ所有者、つまり発信元であり、信頼グループの最終協調結果を受信する。データ共有処理情報は協調要求テーブル１１９に保存される。一例として、６つのデータ所有者、例えばＴ１、Ｔ２、Ｔ３、Ｔ４、Ｔ５、およびＴ６について検討する。最初に、データ所有者Ｔ１は、保護された共有データ構造における所望のデータに対する要求を行い、信頼グループの第１のデータ所有者、つまり発信元となる。処理ステップ１で、信頼ペア１０５がＴ１－Ｔ２、Ｔ３－Ｔ４、およびＴ５－Ｔ６の間で形成され、Ｔ２データ所有者は所望のデータをＴ１データ所有者と共有し、計算結果はＴ１データ所有者によって格納される。同様に、Ｔ４データ所有者は所望のデータをＴ３データ所有者と共有し、計算結果はＴ３データ所有者によって格納される。Ｔ６データ所有者は所望のデータをＴ５データ所有者と共有し、結果はＴ５データ所有者によって格納される。処理ステップ２で、Ｔ３－Ｔ５はＴ５データ所有者が所望のデータをＴ３データ所有者と共有し、計算結果はＴ３データ所有者によって格納される。処理ステップ３で、Ｔ１－Ｔ３はＴ３データ所有者が所望のデータをＴ１データ所有者と共有し、計算結果はＴ１データ所有者によって格納される。したがって、信頼グループの最終計算結果はＴ１データ所有者によって格納される。

半信頼グループでは、半信頼グループの第１のデータ所有者１０１が、半信頼グループの最終協調結果を受信する。処理情報は協調要求テーブル１１９に保存される。更に、半信頼グループと関連付けられた計算技術は差分非公開データ共有であり、差分非公開データ共有技術では、データ所有者の間でデータを共有する間にノイズが追加される。一例として、６つのデータ所有者、例えばＳ１、Ｓ２、Ｓ３、Ｓ４、Ｓ５、およびＳ６について検討する。最初に、最大数の半信頼ペアまたは信頼ペア数を有するデータ所有者が、半信頼グループの第１のデータ所有者、例えばＳ１となる。処理ステップ１で、半信頼ペア１０７がＳ１－Ｓ２、Ｓ３－Ｓ４、およびＳ５－Ｓ６の間で形成され、Ｓ２データ所有者は所望のデータをＳ１データ所有者と共有し、計算結果はＳ１データ所有者によって格納される。同様に、Ｓ４データ所有者は所望のデータをＳ３データ所有者と共有し、計算結果はＳ３データ所有者によって格納される。Ｓ６データ所有者は所望のデータをＳ５データ所有者と共有し、結果はＳ５データ所有者によって格納される。処理ステップ２で、Ｓ３－Ｓ５はＳ５データ所有者が所望のデータをＳ３データ所有者と共有し、計算結果はＳ３データ所有者によって格納される。処理ステップ３で、Ｓ１－Ｓ３はＳ３データ所有者が所望のデータをＳ１データ所有者と共有し、計算結果はＳ１データ所有者によって格納される。したがって、半信頼グループの最終計算結果はＳ１データ所有者によって格納される。

一実施形態では、サーバ１０３は、１つまたは複数のグループのうち１つの計算結果を暗号化する。ステップ８で、非信頼グループと関連付けられた計算技術は、安全な複数当事者データ共有である。安全な複数当事者データ共有では、暗号化された処理が、非信頼グループのデータ所有者と、信頼グループおよび半信頼グループの計算結果をそれぞれ有する、信頼グループおよび半信頼グループそれぞれの第１のデータ所有者との間で実行され、ノイズが得られた計算結果に追加され、計算結果は協調要求テーブル１１９で更新される。一実施形態では、サーバ１０３は対称鍵Ｋを生成し、鍵Ｋは各協調要求に固有のものであり、計算結果は鍵Ｋを用いて暗号化され、暗号化された計算結果は協調要求テーブル１１９で更新される。その後、サーバ１０３は、協調要求に参加した全てのデータ所有者と鍵Ｋを共有する。更に、参加データ所有者１０１は、鍵Ｋを使用して暗号化された計算結果を復号して、協調結果を得る。

例示のシナリオ
各病院は、図５に示されるように、病院と提携している医学研究者および医師が利用可能な、患者記録のデータベースを維持している。プライバシーの懸念から、病院は、機密の個人情報および健康情報を含むという理由で、患者の記録を直接共有することを望まない。他方で、医学研究者および医師は、全ての病院からの患者記録がこれらの協調計算に含まれれば、疾患、罹患している人のプロファイル、および有効な薬剤に関する高い洞察を得るであろう。結果として、病院の詳細および患者記録についての以下の特性が、非公開／公開データカテゴリとともに、各病院データベースに記録される。
病院情報：
名称＜公開＞
登録番号＜公開＞
所在地＜公開＞
病床数＜公開＞
患者記録：
年齢＜非公開＞
性別＜０／１にマッピング：非公開＞
身長＜非公開＞
体重＜非公開＞
住所＜緯度／経度にマッピング：非公開＞
受診の日時＜数値にマッピング：非公開＞
血圧レベル＜非公開＞
血糖レベル＜非公開＞
心拍レベル＜非公開＞
疾患＜ＩＤにマッピング：非公開＞
処方薬＜ＩＤにマッピング：非公開＞
回復時間＜非公開＞

協調計算ステップは以下のことを含む。
病院は、最初に、サーバ１０３、ならびに、病院間および病院とサーバ１０３とのインターフェース間の安全な通信を可能にする、公開鍵基盤（ＰＫＩ）を管理する、協調データ所有者を選定しなければならない。

ステップ１で、協調データ所有者１０１は、共同でのデータ駆動型の研究および必須のサービスに関心を持つ、１つまたは複数の病院、例えば１０箇所の病院間での協調のため、保護された共有データ構造を作成する。保護された共有データ構造は、サーバ１０３が作成されると、信頼レベルテーブル１１８および協調要求テーブル１１９を備える。

ステップ２で、協調に関心を持つ病院が保護された共有データ構造に加入してもよい。新しい病院がデータ所有者となると、
信頼レベルテーブル１１８で、データ所有者のエントリが作成される。
新しい病院は、他の全ての病院の信頼レベルを信頼レベルテーブル１１８に入力する。
他の全ての病院のデータ所有者は、新しい病院の信頼レベルを信頼レベルテーブル１１８に入力する。
図１３の表５は、１０箇所の病院の更新されたデータ所有者信頼レベルテーブル１１８を示し、Ｔは信頼ペア１０５を表し、Ｓは半信頼ペア１０７を表し、Ｕは非信頼ペア１０９を表す。ある参加データ所有者１０１と他の参加データ所有者１０１との信頼レベルは、同じ組織のメンバーに対しては信頼、異なる既知の組織のメンバーに対しては半信頼、未知の組織のメンバーに対しては非信頼である。

ステップ３で、第１のデータ所有者１０１、例えば、サーバ１０３における協調要求を発信元として開始する、Ｈ１病院を識別する。Ｈ１（発信元）は、保護された共有データ構造における所望のデータに対する要求を提出することによって、協調を始める。要求されたデータは、患者の疾患、疾患の回復時間、患者の年齢、身長、および体重と関連付けられた情報を含む。協調の目的は、年齢グループａ１～ａ２、体重ｂ１～ｂ２、および身長ｃ１～ｃ２内で、最短の回復時間を有した症状Ｙの疾患を有する個々の患者（上位５つのエントリ）に対してどの医薬が処方されたかを調査することである。図１４の表６は、新しい協調エントリが作成された協調要求テーブル１１９を示している。

ステップ４で、他の全てのデータ所有者は、要求された所望のデータのカテゴリを公開データまたは非公開データの１つとして識別することを含めて、要求を評価する。例えば、全ての病院の要求された所望のデータが非公開データであると仮定する。その後、標準的方法を利用することによって非公開カテゴリの所望のデータを提供するためのプライバシー推定値を計算する。所望のデータを提供するためのプライバシー推定値の利用可能性および協調出力の関心に基づいて、データ共有要求に参加するかまたはそれをスキップするかを決める。一例として、Ｈ９病院を除いて、他の全ての病院が協調することを決めた。ステップ５で、協調に関心を持つデータ所有者は、自身の関心を協調要求テーブル１１９において申告する。図１５の表７に示されるように、Ｈ９を除いて、他の全ての病院が、協調要求テーブル１１９の参加メンバーリストで更新される。

ステップ６で、データ所有者の信頼レベルテーブル１１８の情報を使用してサーバ１０３は、参加データ所有者１０１の信頼グループ、半信頼グループ、および非信頼グループを作成する。信頼グループから始めると、第１のデータ所有者１０１１が発信元である場合、第１の条件が満たされるまで、１つまたは複数の参加データ所有者１０１を信頼グループに繰り返し追加する。第１の条件は、参加データ所有者１０１が、信頼グループに以前に追加された全ての参加データ所有者１０１と信頼ペア１０５を有し、最大数の信頼ペア数を有することである。一例として、
ａ）Ｈ１病院は発信元である：追加される第１のデータ所有者１ １０１１は病院Ｈ１である。
ｂ）第１の繰り返し：残り全てのデータ所有者の中で、病院Ｈ４は、病院Ｈ１と信頼ペア１０５を形成し、最大数の信頼ペア数を有する。したがって、病院Ｈ４が追加される。
ｃ）第２の繰り返し：残りのデータ所有者の中で、病院Ｈ５は、病院Ｈ１およびＨ４と信頼ペア１０５を形成し、最大数の信頼ペア数を有する。したがって、病院Ｈ５が追加される。
ｄ）第３の繰り返し：他の残りのデータ所有者はどれも、全ての病院Ｈ１、Ｈ４、およびＨ５との信頼ペア１０５を有さない。
ｅ）したがって、病院Ｈ１、Ｈ４、Ｈ５が信頼グループを形成する。

信頼グループに追加されていない、１つまたは複数の参加データ所有者１０１の残りから、半信頼グループを形成する。
ａ）第１のデータ所有者が、最大数の信頼ペア（Ｔ）１０５／半信頼ペア（Ｓ）１０７数、例えばＴＳ、ＳＴ、ＳＳの組み合わせを有する、データ所有者として選択される。
ｂ）第２の条件が満たされるまで、１つまたは複数の残りの参加データ所有者１０１を半信頼グループに繰り返し追加する。第２の条件は、残りの参加データ所有者１０１が、半信頼グループに以前に追加された全てのデータ所有者と、信頼ペア１０５または半信頼ペア１０７を有し、最大数の信頼ペア１０５または半信頼ペア１０７数を有することである。

一例として、
ａ）病院Ｈ２は、残りのデータ所有者の中で、最大数の信頼ペア１０５／半信頼ペア１０７数を有する。追加される第１のデータ所有者１０１は病院Ｈ２である。
ｂ）第１の繰り返し：残り全てのデータ所有者の中で、病院Ｈ３は、病院Ｈ２と信頼ペア１０５／半信頼ペア１０７を形成し、最大数の信頼ペア１０５／半信頼ペア１０７数を有する。したがって、病院Ｈ３が追加される。
ｃ）第２の繰り返し：残り全てのデータ所有者の中で、病院Ｈ６は、病院Ｈ２およびＨ３と信頼ペア１０５／半信頼ペア１０７を形成し、最大数の信頼ペア１０５／半信頼ペア１０７数を有する。したがって、病院Ｈ６が追加される。
ｄ）第３の繰り返し：他の残りのデータ所有者はどれも、全ての病院Ｈ２、Ｈ３、およびＨ６との信頼ペア１０５／半信頼ペア１０７を有さない。
ｅ）したがって、病院Ｈ２、Ｈ３、およびＨ６が半信頼グループを形成する。

信頼グループまたは半信頼グループに追加されていない、１つまたは複数の残りの参加データ所有者１０１を、非信頼グループとして形成する。一例として、病院Ｈ７、Ｈ８、およびＨ１０は非信頼グループを形成する。図１６の表８に示されるように、グループ情報は協調要求テーブル１１９で更新される。

ステップ７で、信頼グループおよび半信頼グループによる計算結果の生成が並行して実施される。信頼グループでは、サーバ１０３は、データ所有者ペアおよび処理のシーケンスを選択して、信頼グループの第１のデータ所有者１ １０１１、つまり発信元が最終協調結果を受信するようにする。更なる処理情報は協調要求テーブル１１９に保存される。その後、データ所有者は、病院データ記録から所望のデータを計算し、信頼グループと関連付けられた計算技術は、データ共有の生フォーマットである。一例として、
ａ）発信元としての病院Ｈ１、病院Ｈ４、および病院Ｈ５が信頼グループを形成する。
ｂ）病院間、例えばＨ１－Ｈ４の処理ステップ１（病院Ｈ４は病院Ｈ１とピア・ツー・ピアでデータを共有し、出力は病院Ｈ１によって格納される）。
ｃ）処理ステップ２：Ｈ１－Ｈ５（病院Ｈ５は病院Ｈ１とピア・ツー・ピアでデータを共有し、出力は病院Ｈ１によって格納される）。
ｄ）したがって、病院Ｈ１が信頼グループの最終出力を格納する。

半信頼グループでは、サーバ１０３は、データ所有者ペアおよび処理のシーケンスを選択して、半信頼グループの第１のデータ所有者が最終協調結果を受信するようにする。更なる処理情報は協調要求テーブル１１９に保存される。その後、データ所有者は、病院データ記録から所望のデータを計算し、半信頼グループと関連付けられた計算技術は、差分非公開データ共有である。差分非公開データ共有技術では、データを共有する間にノイズが追加され、データ所有者はプライバシー推定値を適宜調節する。一例として、
ａ）病院Ｈ２（第１のメンバー）、病院Ｈ３、および病院Ｈ６が半信頼グループを形成する。
ｂ）病院間、例えばＨ２－Ｈ３の処理ステップ１（病院Ｈ３は病院Ｈ２とピア・ツー・ピアでデータを共有し、出力は病院Ｈ２によって格納される）。
ｃ）処理ステップ２：Ｈ２－Ｈ６（病院Ｈ６は病院Ｈ２とピア・ツー・ピアでデータを共有し、出力は病院Ｈ２によって格納される）。
ｄ）したがって、病院Ｈ２が半信頼グループの最終出力を格納する。

ステップ８で、非信頼グループによる計算結果を生成し、非信頼グループと関連付けられた計算技術は、安全な複数当事者データ共有である。安全な複数当事者データ共有では、暗号化された処理は、暗号化された非公開共有を使用して、非信頼グループのデータ所有者と信頼グループおよび半信頼グループそれぞれの第１のデータ所有者との間で実行される。処理情報は協調要求テーブル１１９で更新される。サーバ１０３は、差分非公開ノイズを安全な複数当事者計算出力に追加し、全ての参加データ所有者に自身のプライバシー推定値を適宜調節するように通知する。一例として、病院Ｈ１（信頼グループの第１のデータ所有者－発信元）、病院Ｈ２（半信頼グループの第１のデータ所有者）、病院Ｈ７、Ｈ８、Ｈ１０は、安全な複数当事者計算技術を実行する。

ステップ９で、サーバ１０３は対称鍵Ｋを生成し、鍵Ｋは各協調要求に固有のものであり、計算結果は鍵Ｋを用いて暗号化され、暗号化された計算結果は、図１７の表９に示されるような協調要求テーブル１１９で更新される。サーバ１０３は、協調要求に参加した全てのデータ所有者と鍵Ｋを共有する。参加データ所有者１０１は、協調結果にアクセスするため、鍵Ｋを使用して暗号化された計算結果を復号する。

図６は、本開示のいくつかの実施形態による、分散プラットフォームで協調計算を実施する間のデータプライバシーを管理する方法を示すフローチャートを示している。

図６に示されるように、方法は、分散プラットフォームで協調計算を実施する間のデータプライバシーを管理する、１つまたは複数のブロックを含む。方法は、コンピュータ実行可能命令の一般的文脈で記載することができる。一般に、コンピュータ実行可能命令は、特定の機能を実施するかまたは特定の抽象データタイプを実現する、ルーチン、プログラム、オブジェクト、コンポーネント、データ構造、手続き、モジュール、および機能を含むことができる。

方法を記載する順序は限定として解釈されないものとし、記載する方法ブロックのうち任意の数を任意の順序で組み合わせて、方法を実現することができる。加えて、本明細書に記載する主題の趣旨および範囲から逸脱することなく、個々のブロックが方法から消去されてもよい。更に、方法は、任意の好適なハードウェア、ソフトウェア、ファームウェア、またはそれらの組み合わせで実現することができる。

ブロック６０１で、方法は、１つまたは複数の参加データ所有者１０１それぞれの互いとの信頼レベルに基づいて、協調計算における１つまたは複数の参加データ所有者１０１の１つまたは複数のグループを作成することを含む。１つまたは複数のグループはそれぞれ、１つまたは複数のグループそれぞれにおける１つまたは複数の参加データ所有者１０１の間でデータを共有する、計算技術と関連付けられる。１つまたは複数のグループは、信頼グループ、半信頼グループ、および非信頼グループである。計算技術は、信頼グループのデータ共有、半信頼グループのデータ共有、および非信頼グループのデータ共有と関連付けられた情報を含む。

ブロック６０３で、方法は、１つまたは複数のグループそれぞれにおける参加データ所有者１０１のペアの間でデータを共有するシーケンスを識別することを含む。データは、対応する計算技術を使用して、識別されたシーケンスで、１つまたは複数のグループそれぞれにおける参加データ所有者１０１のペアの間で共有される。

ブロック６０５で、方法は、１つまたは複数のグループのうち１つの計算結果を暗号化することを含み、１つまたは複数のグループそれぞれが計算結果を生成する。計算結果は、１つまたは複数のグループそれぞれにおける参加データ所有者１０１のペアの間でデータが共有されていることに基づく。計算結果は、したがって、信頼グループおよび半信頼グループによって並行して生成される。

ブロック６０７で、方法は、暗号化された計算結果にアクセスするとともにデータプライバシーを管理するため、１つまたは複数のグループそれぞれにおける１つまたは複数の参加データ所有者１０１それぞれに暗号化キーを提供することを含む。

図７は、本開示のいくつかの実施形態による、分散プラットフォームで協調計算を実施する間に参加データ所有者を識別する方法を示すフローチャートを示している。

図７に示されるように、方法は、分散プラットフォームで協調計算を実施する間に参加データ所有者を識別する、１つまたは複数のブロックを含む。方法は、コンピュータ実行可能命令の一般的文脈で記載することができる。一般に、コンピュータ実行可能命令は、特定の機能を実施するかまたは特定の抽象データタイプを実現する、ルーチン、プログラム、オブジェクト、コンポーネント、データ構造、手続き、モジュール、および機能を含むことができる。

方法を記載する順序は限定として解釈されないものとし、記載する方法ブロックのうち任意の数を任意の順序で組み合わせて、方法を実現することができる。加えて、本明細書に記載する主題の趣旨および範囲から逸脱することなく、個々のブロックが方法から消去されてもよい。更に、方法は、任意の好適なハードウェア、ソフトウェア、ファームウェア、またはそれらの組み合わせで実現することができる。

ブロック７０１で、方法は、サーバ１０３に接続された１つまたは複数のデータ所有者１０１の間での協調計算を容易にするため、保護された共有データ構造を作成することを含む。

ブロック７０３で、方法は、１つまたは複数のデータ所有者１０１のうち１つから所望のデータに対する要求を受信し、保護された共有データ構造における１つまたは複数のデータ所有者１０１の残りと要求を共有することを含む。

ブロック７０５で、方法は、要求を評価する際に、保護された共有データ構造における１つまたは複数のデータ所有者１０１の残りから、協調計算に参加するという指示を受信することを含む。協調計算に参加する１つまたは複数のデータ所有者１０１の残りは、１つまたは複数の参加データ所有者である。

ブロック７０７で、方法は、１つまたは複数の参加データ所有者１０１それぞれの互いとの信頼レベルに基づいて、協調計算における１つまたは複数の参加データ所有者１０１の１つまたは複数のグループを作成することを含む。１つまたは複数のグループはそれぞれ、１つまたは複数のグループそれぞれにおける１つまたは複数の参加データ所有者１０１の間でデータを共有するための、計算技術と関連付けられる。

ブロック７０９で、方法は、１つまたは複数のグループそれぞれにおける参加データ所有者１０１のペアの間でデータを共有するシーケンスを識別することを含む。

ブロック７１１で、方法は、対応する計算技術を使用して、識別されたシーケンスで、１つまたは複数のグループそれぞれにおける参加データ所有者１０１のペアの間で、ピア・ツー・ピアに基づいたデータ共有を実施することを含む。

ブロック７１３で、方法は、１つまたは複数のグループそれぞれにおける参加データ所有者１０１のペアによって、１つまたは複数のグループそれぞれにおける参加データ所有者１０１のペアの間でデータが共有されていることに基づいて、計算結果を生成することを含む。１つまたは複数のグループのうち１つの得られた計算結果は、保護された共有データ構造に提供される。

ブロック７１５で、方法は、１つまたは複数のグループのうち１つの計算結果を暗号化することを含む。

ブロック７１７で、方法は、暗号化された計算結果にアクセスするため、１つまたは複数のグループそれぞれにおける１つまたは複数の参加データ所有者１０１それぞれに暗号化鍵を提供することを含む。

コンピュータシステム
図８は、本開示と一致する実施形態を実現する例示的なコンピュータシステム８００のブロック図を示している。一実施形態では、コンピュータシステム８００は、分散プラットフォームで協調計算を実施する間のデータプライバシーを管理するのに使用されてもよい、図１に示されるサーバ１０３であってもよい。コンピュータシステム８００は、中央処理装置（「ＣＰＵ」または「プロセッサ」）８０２を含んでもよい。プロセッサ８０２は、ユーザまたはシステム生成のビジネスプロセスを実行する、プログラムコンポーネントを実行する少なくとも１つのデータプロセッサを含んでもよい。プロセッサ８０２は、統合システム（バス）コントローラ、メモリ管理制御装置、浮動小数点演算装置、グラフィックス処理装置、デジタル信号処理装置などの専用処理装置を含んでもよい。プロセッサ８０２は、サーバ１０３の１つまたは複数の機能を実施するプロセッサ１１４を含んでもよい。

プロセッサ８０２は、Ｉ／Ｏインターフェース８０１を介して、１つまたは複数の入出力（Ｉ／Ｏ）デバイス（８１１および８１２）と通信して配設されてもよい。Ｉ／Ｏインターフェース８０１は、非限定的に、オーディオ、アナログ、デジタル、ステレオ、ＩＥＥＥ－１３９４、シリアルバス、ユニバーサルシリアルバス（ＵＳＢ）、赤外、ＰＳ／２、ＢＮＣ、同軸、コンポーネント、コンポジット、デジタルビジュアルインターフェース（ＤＶＩ）、高精細度マルチメディアインターフェース、高周波（ＲＦ）アンテナ、Ｓ－ビデオ、ビデオグラフィックスアレイ（ＶＧＡ）、ＩＥＥＥ ８０２．ｎ／ｂ／ｇ／ｎ／ｘ、ブルートゥース（商標）、セルラー（例えば、符号分割多重アクセス（ＣＤＭＡ）、高速パケットアクセス（ＨＳＰＡ＋）、汎欧州デジタル移動電話方式（ＧＳＭ）、ロングタームエボリューション（ＬＴＥ）など）などの、通信プロトコル／方法を採用してもよい。Ｉ／Ｏインターフェース８０１を使用して、コンピュータシステム８００は、１つまたは複数のＩ／Ｏデバイス８１１および８１２と通信してもよい。コンピュータシステム８００は、電子デバイスおよび１つまたは複数のデータソース８０５から、データを受信してもよい。

いくつかの実施形態では、プロセッサ８０２は、ネットワークインターフェース８０３を介して、通信ネットワーク８０９と通信して配設されてもよい。ネットワークインターフェース８０３は、通信ネットワーク８０９と通信してもよい。ネットワークインターフェース８０３は、直接接続、イーサネット（例えば、ツイストペア１０／１００／１０００ Ｂａｓｅ Ｔ）、伝送制御プロトコル／インターネットプロトコル（ＴＣＰ／ＩＰ）、トークンリング、ＩＥＥＥ ８０２．１１ａ／ｂ／ｇ／ｎ／ｘなどを非限定的に含む、接続プロトコルを採用してもよい。ネットワークインターフェース８０３および通信ネットワーク８０９を使用して、コンピュータシステム８００は、１つまたは複数のデータ所有者、例えばデータ所有者１ １０１１～データ所有者Ｎ １０１Ｎから、入力を受信してもよい。更に、通信ネットワーク８０９は、コンピュータシステム８００を、暗号化された計算結果に対するアクセスを提供する提供モジュール１２５とインターフェース接続するのに使用されてもよい。

通信ネットワーク８０９は、イントラネットまたはローカルエリアネットワーク（ＬＡＮ）、および組織内のものなど、いくつかのタイプのネットワークの１つとして実現することができる。通信ネットワーク８０９は、専用ネットワークであるか、あるいは、様々なプロトコル、例えばハイパーテキストトランスファープロトコル（ＨＴＴＰ）、伝送制御プロトコル／インターネットプロトコル（ＴＣＰ／ＩＰ）、ワイヤレスアプリケーションプロトコル（ＷＡＰ）などを使用して互いと通信する、いくつかのタイプのネットワークの関連を表す、共有ネットワークであってもよい。更に、通信ネットワーク８０９は、ルータ、ブリッジ、サーバ、コンピューティングデバイス、ストレージデバイスなどを含む、様々なネットワークデバイスを含んでもよい。

いくつかの実施形態では、プロセッサ８０２は、ストレージインターフェース８０４を介して、メモリ８０５（例えば、図８に示されるような、ＲＡＭ ８１３、ＲＯＭ ８１４など）と通信して配設されてもよい。ストレージインターフェース７０４は、シリアルアドバンストテクノロジーアタッチメント（ＳＡＴＡ）、インテグレーテッドドライブエレクトロニクス（ＩＤＥ）、ＩＥＥＥ－１３９４、ユニバーサルシリアルバス（ＵＳＢ）、ファイバーチャネル、スモールコンピュータシステムインターフェース（ＳＣＳＩ）などの接続プロトコルを採用する、メモリドライブ、リムーバブルディスクドライブなどを非限定的に含む、メモリ８０５に接続してもよい。メモリドライブは更に、ドラム、磁気ディスクドライブ、磁気光学ドライブ、光学ドライブ、独立ディスク冗長アレイ（ＲＡＩＤ）、ソリッドステートメモリデバイス、ソリッドステートドライブなどを含んでもよい。メモリ８０５は、サーバ１０３のモジュールによって処理されるデータを格納する、メモリ１１６を含んでもよい。

メモリ８０５は、ユーザ／アプリケーション８０６、オペレーティングシステム８０７、ウェブブラウザ８０８、メールクライアント８１５、メールサーバ８１６、ウェブサーバ８１７などを非限定的に含む、プログラムまたはデータベースコンポーネントの一群を格納してもよい。いくつかの実施形態では、コンピュータシステム８００は、本発明に記載するような、データ、変数、記録などのユーザ／アプリケーションデータ８０６を格納してもよい。かかるデータベースは、Ｏｒａｃｌｅ（登録商標）またはＳｙｂａｓｅ（登録商標）など、フォールトトレラント、リレーショナル、スケーラブル、および安全なデータベースとして実現されてもよい。

オペレーティングシステム８０７は、コンピュータシステム８００のリソース管理および動作を容易にしてもよい。オペレーティングシステムの例としては、非限定的に、ＡＰＰＬＥ ＭＡＣＩＮＴＯＳＨ（登録商標）ＯＳ Ｘ、ＵＮＩＸ（登録商標）、ＵＮＩＸ系システムディストリビューション（例えば、ＢＥＲＫＥＬＥＹ ＳＯＦＴＷＡＲＥ ＤＩＳＴＲＩＢＵＴＩＯＮ（商標）（ＢＳＤ）、ＦＲＥＥＢＳＤ（商標）、ＮＥＴＢＳＤ（商標）、ＯＰＥＮＢＳＤ（商標）など）、ＬＩＮＵＸ ＤＩＳＴＲＩＢＵＴＩＯＮＳ（商標）（例えば、ＲＥＤ ＨＡＴ（商標）、ＵＢＵＮＴＵ（商標）、ＫＵＢＵＮＴＵ（商標）など）、ＩＢＭ（商標）ＯＳ／２、ＭＩＣＲＯＳＯＦＴ（商標）ＷＩＮＤＯＷＳ（商標）（ＸＰ（商標）、ＶＩＳＴＡ（商標）／７／８、１０など）、ＡＰＰＬＥ（登録商標）ＩＯＳ（商標）、ＧＯＯＧＬＥ（登録商標）ＡＮＤＲＯＩＤ（商標）、ＢＬＡＣＫＢＥＲＲＹ（登録商標）ＯＳなどが挙げられる。ユーザインターフェースは、テキストまたはグラフィック機能を通して、プログラムコンポーネントの表示、実行、対話、操作、または動作を容易にしてもよい。例えば、ユーザインターフェースは、コンピュータシステム８００に動作可能に接続された表示システム上に、カーソル、アイコン、チェックボックス、メニュー、ウィンドウ、ウィジェットなど、コンピュータインタラクションインターフェース要素を提供してもよい。ＡＰＰＬＥ ＭＡＣＩＮＴＯＳＨ（登録商標）オペレーティングシステム、ＩＢＭ（商標）ＯＳ／２、ＭＩＣＲＯＳＯＦＴ（商標）ＷＩＮＤＯＷＳ（商標）（ＸＰ（商標）、ＶＩＳＴＡ（商標）／７／８、１０など）、Ｕｎｉｘ（登録商標）Ｘ－Ｗｉｎｄｏｗｓ、ウェブインターフェースライブラリ（例えば、ＡＪＡＸ（商標）、ＤＨＴＭＬ（商標）、ＡＤＯＢＥ（登録商標）ＦＬＡＳＨ（商標）、ＪＡＶＡＳＣＲＩＰＴ（商標）、ＪＡＶＡ（商標）など）などを非限定的に含む、グラフィカルユーザインターフェース（ＧＵＩ）が採用されてもよい。

更に、本発明と一致する実施形態を実現するのに、１つまたは複数のコンピュータ可読記憶媒体が用いられてもよい。コンピュータ可読記憶媒体は、プロセッサによって読取り可能な情報またはデータが格納されてもよい、任意のタイプの物理的メモリを指す。したがって、コンピュータ可読記憶媒体は、本明細書に記載する実施形態と一致するステップまたは段階をプロセッサに実施させるための命令を含む、１つまたは複数のプロセッサによって実行するための命令を格納してもよい。「コンピュータ可読媒体」という用語は、有形のアイテムを含み、搬送波および過渡信号を除外する、即ち非一時的なものであることが理解されるべきである。例としては、ランダムアクセスメモリ（ＲＡＭ）、読出し専用メモリ（ＲＯＭ）、揮発性メモリ、不揮発性メモリ、ハードドライブ、コンパクトディスク（ＣＤ）ＲＯＭ、デジタルビデオディスク（ＤＶＤ）、フラッシュドライブ、ディスク、および他の任意の既知の物理的記憶媒体が挙げられる。

一実施形態では、本開示は、分散プラットフォームで協調計算を実施する間のデータプライバシーを管理する方法およびシステムを提供する。

一実施形態では、本開示は、有用性およびプライバシーを向上させた、異なるデータ所有者間での協調計算のためのプラットフォームおよび方法を提供する。

一実施形態では、本開示は、健康、移動性、財政、ソーシャルメディア、および他のセクタにおける多様な利害関係者の間で機密ユーザデータが関与する、連携サービスおよびリサーチのビジネスモデルを構築する。

一実施形態では、本開示は、データ所有者ペアの信頼レベルに基づいて、ユーザ記録に対する異種データ変換を実施して、ユーザプライバシーと有用性との間のバランスを提供する。

「ある実施形態」、「実施形態」、「複数の実施形態」、「その実施形態」、「それらの実施形態」、「１つまたは複数の実施形態」、「いくつかの実施形態」、および「１つの実施形態」という用語は、別段の明示的な指定がない限り、「本発明の１つまたは複数の（ただし全てではない）実施形態」を意味する。

「含む」、「備える」、「有する」という用語およびそれらの変形は、別段の明示的な指定がない限り、「～を含むがそれらに限定されない」ことを意味する。列挙する項目の一覧は、別段の明示的な指定がない限り、いずれかまたは全ての項目が相互に排他的であることを示唆しない。「ａ」、「ａｎ」、および「ｔｈｅ」という用語は、別段の明示的な指定がない限り、「１つまたは複数」を意味する。

互いに通信するいくつかの構成要素を有する実施形態の説明は、かかる構成要素の全てが必要であることを示唆しない。反対に、本発明の多種多様の可能な実施形態を例示するのに、様々な任意の構成要素が記載される。

単一のデバイスまたは物品が本明細書において記載される場合、単一のデバイス／物品の代わりに１つを超えるデバイス／物品（連携するか否かにかかわらず）が使用されてもよいことが、明白となるであろう。同様に、１つを超えるデバイスまたは物品が本明細書において記載される場合（連携するか否かにかかわらず）、その１つを超えるデバイスまたは物品の代わりに単一のデバイス／物品が使用されてもよく、あるいは示される数のデバイスまたは物品の代わりに異なる数のデバイス／物品が使用されてもよいことが、明白となるであろう。デバイスの機能性および／または特徴は、あるいは、かかる機能性／特徴を有するものとして明示的に記載されない、１つまたは複数の他のデバイスによって具体化されてもよい。したがって、本発明の他の実施形態はデバイス自体を含む必要はない。

最後に、本明細書で使用される言語は、可読性および教育の目的で主に選択されており、本発明の主題を描写または制限するためには選択されていないことがある。したがって、本発明の範囲は、この詳細な説明によってではなく、それよりもむしろそれに基づく出願の任意のクレームによって限定されるものとする。したがって、本発明の実施形態は、以下の特許請求の範囲で説明される、本発明の範囲の限定ではなく例証であるものとする。

様々な態様および実施形態について本明細書に開示してきたが、他の態様および実施形態が当業者には明白となるであろう。本明細書に開示する様々な態様および実施形態は、例証目的であって限定しようとするものではなく、真の範囲および趣旨は以下の特許請求の範囲によって示される。
＜図面の説明＞
図１
１０１１：データ所有者１
１０３：保護された共有データ構造を有するサーバ
１０５：信頼ペア
１０７：半信頼ペア
１０９：非信頼ペア
１１３：Ｉ／Ｏインターフェース
１１４：プロセッサ
１１６：メモリ
ＤＡＴＡ：データ
１１８：信頼レベルテーブル
１１９：協調要求テーブル
１２０：他のデータ
ＭＯＤＵＬＥＳ：モジュール
１２２：作成モジュール
１２３：識別モジュール
１２４：暗号化モジュール
１２５：提供モジュール
１２６：他のモジュール

図２
ＳＥＣＵＲＥＤ ＳＨＡＲＥＤ ＤＡＴＡ ＳＴＲＵＣＴＵＲＥ：保護された共有データ構造
ＤＡＴＡ ＯＷＮＥＲ：データ所有者
ＣＲＥＡＴＥ ＳＥＣＵＲＥＤ ＳＨＡＲＥＤ ＤＡＴＡ ＳＴＲＵＣＴＵＲＥ：保護された共有データ構造を作成
ＣＲＥＡＴＥ ＤＡＴＡ ＯＷＮＥＲ ＴＲＵＳＴ ＬＥＶＥＬ ＴＡＢＬＥ ＆ ＣＯＬＬＡＢＯＲＡＴＩＯＮ ＲＥＱＵＥＳＴ ＴＡＢＬＥ：データ所有者の信頼レベルテーブルおよび協調要求テーブルを作成
ＪＯＩＮ ＳＥＣＵＲＥＤ ＳＨＡＲＥＤ ＤＡＴＡ ＳＴＲＵＣＴＵＲＥ：保護された共有データ構造に加入
ＵＰＤＡＴＥ ＤＡＴＡ ＯＷＮＥＲ ＴＲＵＳＴ ＬＥＶＥＬ ＴＡＢＬＥ：データ所有者の信頼レベルテーブルを更新
ＯＲＩＧＩＮＡＴＯＲ ＩＮＩＴＩＡＴＥＳ ＣＯＬＬＡＢＯＲＡＴＩＯＮ ＲＥＱＵＥＳＴ：発信元が協調要求を開始
ＣＲＥＡＴＥ ＮＥＷ ＥＮＴＲＹ ＩＮ ＣＯＬＬＡＢＯＲＡＴＩＯＮ ＲＥＱＵＥＳＴ ＴＡＢＬＥ：新しいエントリを協調要求テーブルに作成

図３
ＳＥＣＵＲＥＤ ＳＨＡＲＥＤ ＤＡＴＡ ＳＴＲＵＣＴＵＲＥ：保護された共有データ構造
ＤＡＴＡ ＯＷＮＥＲ：データ所有者
ＤＥＳＩＲＥＤ ＤＡＴＡ：所望のデータ
ＰＡＲＴＩＣＩＰＡＴＩＯＮ ＩＮＴＥＲＥＳＴ ＩＮＤＩＣＡＴＥＤ：参加の関心が示される
ＵＰＤＡＴＩＮＧ ＰＡＲＴＩＣＩＰＡＴＩＮＧ ＤＡＴＡ ＯＷＮＥＲＳ ＩＮＦＯＲＭＡＴＩＯＮ ＩＮ ＣＯＬＬＡＢＯＲＡＴＩＯＮ ＲＥＱＵＥＳＴ ＴＡＢＬＥ：協調要求テーブルの参加データ所有者情報を更新
ＧＥＮＥＲＡＴＩＮＧ ＯＮＥ ＯＲ ＭＯＲＥ ＧＲＯＵＰＳ：１つまたは複数のグループを生成
ＵＰＤＡＴＩＮＧ ＧＲＯＵＰ ＩＮＦＯＲＭＡＴＩＯＮ ＩＮ ＣＯＬＬＡＢＯＲＡＴＩＯＮ ＲＥＱＵＥＳＴ ＴＡＢＬＥ：協調要求テーブルのグループ情報を更新

図４
ＳＥＣＵＲＥＤ ＳＨＡＲＥＤ ＤＡＴＡ ＳＴＲＵＣＴＵＲＥ：保護された共有データ構造
ＤＡＴＡ ＯＷＮＥＲ：データ所有者
ＩＤＥＮＴＩＦＹＩＮＧ ＳＥＱＵＥＮＣＥ ＯＦ ＳＨＡＲＩＮＧ ＤＡＴＡ ＩＮ ＧＲＯＵＰＳ：グループでデータを共有するシーケンスを識別
ＵＰＤＡＴＩＮＧ ＳＥＱＵＥＮＣＥ ＯＦ ＳＨＡＲＩＮＧ ＤＡＴＡ ＩＮＦＯＲＭＡＴＩＯＮ ＩＮ ＣＯＬＬＡＢＯＲＡＴＩＯＮ ＲＥＱＵＥＳＴ ＴＡＢＬＥ：協調要求テーブルのデータ情報共有のシーケンスを更新
ＧＥＮＥＲＡＴＩＮＧ ＴＨＥ ＣＯＭＰＵＴＡＴＩＯＮ ＲＥＳＵＬＴＳ ＢＹ ＴＨＥ ＴＲＵＳＴＥＤ ＧＲＯＵＰ ＡＮＤ ＴＨＥ ＳＥＭＩ－ＴＲＵＳＴＥＤ ＧＲＯＵＰ ＩＳ ＰＥＲＦＯＲＭＥＤ ＩＮ ＰＡＲＡＬＬＥＬ：信頼グループおよび半信頼グループによる計算結果の生成が並行して実施される
ＧＥＮＥＲＡＴＩＮＧ ＴＨＥ ＣＯＭＰＵＴＡＴＩＯＮ ＲＥＳＵＬＴＳ ＢＹ ＴＨＥ ＵＮＴＲＵＳＴＥＤ ＧＲＯＵＰ：非信頼グループによる計算結果を生成
ＥＮＣＲＹＰＴＳ ＲＥＳＵＬＴ：結果を暗号化
ＵＰＤＡＴＩＮＧ ＥＮＣＲＹＰＴＥＤ ＲＥＳＵＬＴ ＩＮ ＣＯＬＬＡＢＯＲＡＴＩＯＮ ＲＥＱＵＥＳＴ ＴＡＢＬＥ：協調要求テーブルの暗号化された結果を更新
ＡＣＣＥＳＳ ＲＥＳＵＬＴ：結果にアクセス

図５
ＨＯＳＰＩＴＡＬ：病院
ＰＡＴＩＥＮＴ ＲＥＣＯＲＤＳ：患者記録
ＤＡＴＡ－ＤＲＩＶＥＮ ＨＥＡＬＴＨＣＡＲＥ ＤＥＣＩＳＩＯＮＳ：データ駆動型のヘルスケア決定

１００ 環境
１０１ データ所有者／参加データ所有者
１０３ 保護された共有データ構造を有するサーバ
１０５ 信頼ペア
１０７ 半信頼ペア
１０９ 非信頼ペア
１１３ Ｉ／Ｏインターフェース
１１４ プロセッサ
１１６ メモリ
１１８ 信頼レベルテーブル
１１９ 協調要求テーブル
１２０ 他のデータ
１２２ 作成モジュール
１２３ 識別モジュール
１２４ 暗号化モジュール
１２５ 提供モジュール
１２６ 他のモジュール
８００ 例示のコンピューティングシステム
８０１ 例示のコンピュータシステムのＩ／Ｏインターフェース
８０２ 例示のコンピュータシステムのプロセッサ
８０３ ネットワークインターフェース
８０４ ストレージインターフェース
８０５ 例示のコンピュータシステムのメモリ
８０６ ユーザ／アプリケーション
８０７ オペレーティングシステム
８０８ ウェブブラウザ
８０９ 通信ネットワーク
８１１ 入力デバイス
８１２ 出力デバイス
８１３ ＲＡＭ
８１４ ＲＯＭ
８１５ メールクライアント
８１６ メールサーバ
８１７ ウェブサーバ

Claims (34)

1. サーバによって、複数の参加データ所有者それぞれの互いとの信頼レベルに基づいて、協調計算における前記複数の参加データ所有者の１つまたは複数のグループを作成するステップであって、前記１つまたは複数のグループがそれぞれ、前記１つまたは複数のグループそれぞれにおける前記複数の参加データ所有者の間でデータを共有するための、計算技術と関連付けられるステップと、
   前記サーバによって、前記１つまたは複数のグループそれぞれにおける参加データ所有者のペアの間でデータを共有するシーケンスを識別するステップであって、対応する前記計算技術を使用して、識別された前記シーケンスで、前記１つまたは複数のグループそれぞれにおける参加データ所有者の前記ペアの間で前記データが共有されるステップと、
   前記サーバによって、前記１つまたは複数のグループのうち１つの計算結果を暗号化するステップであって、前記１つまたは複数のグループがそれぞれ、前記１つまたは複数のグループそれぞれにおける参加データ所有者の前記ペアの間で前記データが共有されていることに基づいて、計算結果を生成するステップと、
   前記サーバによって、暗号化された前記計算結果にアクセスするため、前記１つまたは複数のグループそれぞれにおける前記複数の参加データ所有者それぞれに暗号化鍵を提供するステップと、を含む、分散プラットフォームで協調計算を実施する間のデータプライバシーを管理する方法。
2. 前記サーバに接続された複数のデータ所有者の間での前記協調計算を容易にするため、共有データ構造が作成される、請求項１に記載の方法。
3. 前記サーバによって、
   前記複数のデータ所有者のうち１つから所望のデータに対する要求を受信するステップと、
   前記共有データ構造における複数のデータ所有者の残りと、前記要求を共有するステップと、
   前記要求を評価する際、前記共有データ構造における複数のデータ所有者の前記残りから、前記協調計算に参加するという指示を受信するステップであって、前記協調計算に参加する前記複数のデータ所有者の前記残りが、前記参加データ所有者であるステップと、を含む、請求項２に記載の方法。
4. 前記要求を評価することが、
   要求された前記所望のデータのカテゴリを公開または非公開の１つとして識別するステップと、
   非公開カテゴリの前記所望のデータを提供するためのプライバシー推定値を計算するステップと、
   計算された前記プライバシー推定値が、非公開カテゴリの前記所望のデータを提供するための利用可能なプライバシー推定値内であるとき、前記協調計算に参加することを示すステップと、を含む、請求項３に記載の方法。
5. 参加データ所有者のペアの前記計算結果が、前記複数の参加データ所有者のうち１つに提供される、請求項１に記載の方法。
6. 前記１つまたは複数のグループが、信頼グループ、半信頼グループ、および非信頼グループを含む、請求項２に記載の方法。
7. 前記複数のデータ所有者がそれぞれ、前記共有データ構造が作成されると、前記協調計算における１つまたは複数の他のデータ所有者それぞれに対する信頼レベルを指定する、請求項２に記載の方法。
8. 前記サーバは、前記共有データ構造が作成されると、信頼レベルテーブルおよび協調要求テーブルを備える、請求項２に記載の方法。
9. 前記信頼レベルテーブルが、前記サーバに接続された１つまたは複数の他の参加データ所有者それぞれとの、前記複数の参加データ所有者それぞれの信頼レベルの情報を含む、請求項８に記載の方法。
10. 前記協調要求テーブルが、所望のデータに対する要求、前記１つまたは複数のグループ、データを共有する前記シーケンス、および前記計算結果と関連付けられた情報を含む、請求項８に記載の方法。
11. 前記信頼グループと関連付けられた前記計算技術がデータ共有の生フォーマットであり、前記半信頼グループと関連付けられた前記計算技術が差分非公開データ共有であり、前記非信頼グループと関連付けられた前記計算技術が安全な複数当事者データ共有である、請求項６に記載の方法。
12. 前記差分非公開データ共有の技術において、前記データを共有する間にノイズが追加される、請求項１１に記載の方法。
13. 前記安全な複数当事者データ共有において、暗号化された計算が実施され、ノイズが前記計算結果に追加される、請求項１１に記載の方法。
14. 参加データ所有者と他の参加データ所有者との前記信頼レベルが、同じ組織のメンバーに対しては信頼、異なる既知の組織のメンバーに対しては半信頼、未知の組織のメンバーに対しては非信頼である、請求項９に記載の方法。
15. 前記信頼グループおよび前記半信頼グループによる前記計算結果の生成が並行して実施される、請求項６に記載の方法。
16. 前記１つまたは複数のグループを作成するステップが、
    前記共有データ構造における所望のデータに対する要求を行うデータ所有者を、信頼グループの第１のデータ所有者として識別するステップと、
    第１の条件が満たされるまで、前記複数の参加データ所有者を前記信頼グループに繰り返し追加するステップであって、前記第１の条件は、参加データ所有者が、前記信頼グループに以前に追加された残り全ての参加データ所有者と信頼ペアを有し、最大数の信頼ペア数を有することであるステップと、
    前記第１の条件を満たさなかった残りの参加データ所有者から半信頼グループを形成するステップであって、最大数の半信頼または信頼ペア数を有する残りの参加データ所有者が、第１の参加データ所有者として前記半信頼グループに追加されるステップと、
    第２の条件が満たされるまで、前記１つまたは複数の残りの参加データ所有者を前記半信頼グループに繰り返し追加するステップであって、前記第２の条件は、残りの参加データ所有者が、前記半信頼グループに以前に追加された他の全てのデータ所有者と半信頼または信頼ペアを有し、最大数の半信頼または信頼ペア数を有することであるステップと、
    前記第２の条件を満たさなかった１つまたは複数の残りの参加データ所有者を、前記非信頼グループとして形成するステップと、を含む、請求項６に記載の方法。
17. サーバに接続された複数のデータ所有者の間での協調計算を容易にするため、共有データ構造を作成するステップと、
    前記サーバによって、前記複数のデータ所有者のうち１つから所望のデータに対する要求を受信し、前記共有データ構造における複数のデータ所有者の残りと前記要求を共有するステップと、
    前記サーバによって、前記要求を評価する際、前記共有データ構造における複数のデータ所有者の前記残りから、前記協調計算に参加するという指示を受信するステップであって、前記協調計算に参加する前記複数のデータ所有者の前記残りが、複数の参加データ所有者であるステップと、
    前記サーバによって、前記複数の参加データ所有者それぞれの互いとの信頼レベルに基づいて、協調計算における前記複数の参加データ所有者の１つまたは複数のグループを作成するステップであって、前記１つまたは複数のグループがそれぞれ、前記１つまたは複数のグループそれぞれにおける前記複数の参加データ所有者の間でデータを共有するための、計算技術と関連付けられるステップと、
    前記サーバによって、前記１つまたは複数のグループそれぞれにおける参加データ所有者のペアの間でデータを共有するシーケンスを識別するステップと、
    前記サーバによって、対応する前記計算技術を使用して、識別された前記シーケンスで、前記１つまたは複数のグループそれぞれにおける参加データ所有者の前記ペアの間で、ピア・ツー・ピアに基づいたデータ共有を実施するステップと、
    前記１つまたは複数のグループそれぞれにおける参加データ所有者の前記ペアによって、前記１つまたは複数のグループそれぞれにおける参加データ所有者の前記ペアの間で前記データが共有されていることに基づいて、計算結果を生成するステップと、
    前記サーバによって、前記１つまたは複数のグループのうち１つの前記計算結果を暗号化するステップと、
    前記サーバによって、暗号化された前記計算結果にアクセスするため、前記１つまたは複数のグループそれぞれにおける前記複数の参加データ所有者それぞれに暗号化鍵を提供するステップと、を含む、分散プラットフォームで協調計算を実施する間のデータプライバシーを管理する方法。
18. プロセッサと、
    前記プロセッサに通信可能に結合された、プロセッサ実行可能な命令を格納するメモリと、を備え、前記命令が実行されると、前記プロセッサに、
    複数の参加データ所有者それぞれの互いとの信頼レベルに基づいて、協調計算における前記複数の参加データ所有者の１つまたは複数のグループを作成させ、前記１つまたは複数のグループがそれぞれ、前記１つまたは複数のグループそれぞれにおける前記複数の参加データ所有者の間でデータを共有するための、計算技術と関連付けられ、
    前記１つまたは複数のグループそれぞれにおける参加データ所有者のペアの間でデータを共有するシーケンスを識別させ、対応する前記計算技術を使用して、識別された前記シーケンスで、前記１つまたは複数のグループそれぞれにおける参加データ所有者の前記ペアの間で前記データが共有され、
    前記１つまたは複数のグループのうち１つの計算結果を暗号化させ、前記１つまたは複数のグループがそれぞれ、前記１つまたは複数のグループそれぞれにおける参加データ所有者の前記ペアの間で前記データが共有されていることに基づいて、計算結果を生成し、
    暗号化された前記計算結果にアクセスするため、前記１つまたは複数のグループそれぞれにおける前記複数の参加データ所有者それぞれに暗号化キーを提供させる、分散プラットフォームで協調計算を実施する間のデータプライバシーを管理するサーバ。
19. 前記サーバに接続された複数のデータ所有者の間での前記協調計算を容易にするために共有データ構造が作成される、請求項１８に記載のサーバ。
20. 前記プロセッサが、
    前記複数のデータ所有者のうち１つから所望のデータに対する要求を受信するステップと、
    共有データ構造における複数のデータ所有者の残りと、前記要求を共有するステップと、
    前記要求を評価する際、前記共有データ構造における複数のデータ所有者の前記残りから、前記協調計算に参加するという指示を受信するステップであって、前記協調計算に参加する前記複数のデータ所有者の前記残りが、前記参加データ所有者であるステップと、を実施する、請求項１９に記載のサーバ。
21. 前記プロセッサが、
    要求された前記所望のデータのカテゴリを公開または非公開の１つとして識別するステップと、
    非公開カテゴリの前記所望のデータを提供するためのプライバシー推定値を計算するステップと、
    計算された前記プライバシー推定値が、非公開カテゴリの前記所望のデータを提供するための利用可能なプライバシー推定値内であるとき、前記協調計算に参加することを示すステップと、によって前記要求を評価する、請求項２０に記載のサーバ。
22. 前記プロセッサが、参加データ所有者のペアの前記計算結果を、前記複数の参加データ所有者のうち１つに提供する、請求項１８に記載のサーバ。
23. 前記１つまたは複数のグループが、信頼グループ、半信頼グループ、および非信頼グループを含む、請求項１９に記載のサーバ。
24. 前記複数のデータ所有者がそれぞれ、前記協調計算における１つまたは複数の他のデータ所有者それぞれに対する信頼レベルを指定する、請求項１９に記載のサーバ。
25. 前記共有データ構造が作成されると、信頼レベルテーブルおよび協調要求テーブルを備える、請求項１９に記載のサーバ。
26. 前記信頼レベルテーブルが、前記サーバに接続された１つまたは複数の他の参加データ所有者それぞれとの、前記複数の参加データ所有者それぞれの信頼レベルの情報を含む、請求項２５に記載のサーバ。
27. 前記協調要求テーブルが、所望のデータに対する要求、前記１つまたは複数のグループ、データを共有する前記シーケンス、および前記計算結果と関連付けられた情報を含む、請求項２５に記載のサーバ。
28. 前記信頼グループと関連付けられた前記計算技術がデータ共有の生フォーマットであり、前記半信頼グループと関連付けられた前記計算技術が差分非公開データ共有であり、前記非信頼グループと関連付けられた前記計算技術が安全な複数当事者データ共有である、請求項２３に記載のサーバ。
29. 前記差分非公開データ共有の技術において、前記データを共有する間にノイズが追加される、請求項２８に記載のサーバ。
30. 前記安全な複数当事者データ共有において、暗号化された計算が実施され、ノイズが前記計算結果に追加される、請求項２８に記載のサーバ。
31. 参加データ所有者と他の参加データ所有者との前記信頼レベルが、同じ組織のメンバーに対しては信頼、異なる既知の組織のメンバーに対しては半信頼、未知の組織のメンバーに対しては非信頼である、請求項２６に記載のサーバ。
32. 前記信頼グループおよび前記半信頼グループによる前記計算結果の生成が並行して実施される、請求項２３に記載のサーバ。
33. 前記プロセッサが、
    前記共有データ構造における所望のデータに対する要求を行うデータ所有者を、信頼グループの第１のデータ所有者として識別するステップと、
    第１の条件が満たされるまで、前記複数の参加データ所有者を前記信頼グループに繰り返し追加するステップであって、前記第１の条件が、参加データ所有者が、前記信頼グループに以前に追加された残り全ての参加データ所有者と信頼ペアを有し、最大数の信頼ペア数を有することであるステップと、
    前記第１の条件を満たさなかった残りの参加データ所有者から半信頼グループを形成するステップであって、最大数の半信頼または信頼ペア数を有する残りの参加データ所有者が、第１の参加データ所有者として前記半信頼グループに追加されるステップと、
    第２の条件が満たされるまで、前記１つまたは複数の残りの参加データ所有者を前記半信頼グループに繰り返し追加するステップであって、前記第２の条件が、残りの参加データ所有者が、前記半信頼グループに以前に追加された他の全てのデータ所有者と半信頼または信頼ペアを有し、最大数の半信頼または信頼ペア数を有することであるステップと、
    前記第２の条件を満たさなかった１つまたは複数の残りの参加データ所有者を、前記非信頼グループとして形成するステップと、によって前記１つまたは複数のグループを作成する、請求項２３に記載のサーバ。
34. サーバに接続された複数のデータ所有者の間での協調計算を容易にするための、前記サーバと、
    前記サーバの共有データ構造と関連付けられた複数のデータ所有者と、を備え、
    前記サーバが、
    プロセッサと、
    前記プロセッサに通信可能に結合された、プロセッサ実行可能な命令を格納するメモリと、を備え、前記命令が実行されると、前記プロセッサに、
    前記複数のデータ所有者のうち１つから所望のデータに対する要求を受信させ、前記サーバにおける複数のデータ所有者の残りと前記要求を共有させ、
    前記要求を評価する際、前記サーバにおける複数のデータ所有者の前記残りから、前記協調計算に参加するという指示を受信させ、前記協調計算に参加する前記複数のデータ所有者の前記残りが、複数の参加データ所有者であり、
    複数の参加データ所有者それぞれの互いとの信頼レベルに基づいて、協調計算における前記複数の参加データ所有者の１つまたは複数のグループを作成させ、前記１つまたは複数のグループがそれぞれ、前記１つまたは複数のグループそれぞれにおける前記複数の参加データ所有者の間でデータを共有するための、計算技術と関連付けられ、
    前記１つまたは複数のグループそれぞれにおける参加データ所有者のペアの間でデータを共有するシーケンスを識別させ、
    対応する前記計算技術を使用して、識別された前記シーケンスで、前記１つまたは複数のグループそれぞれにおける参加データ所有者の前記ペアの間で、ピア・ツー・ピアに基づいたデータ共有を実施させ、
    前記１つまたは複数のグループそれぞれにおける参加データ所有者の前記ペアによって、前記１つまたは複数のグループそれぞれにおける参加データ所有者の前記ペアの間で前記データが共有されていることに基づいて、計算結果を生成させ、前記１つまたは複数のグループのうち１つの前記計算結果が、前記共有データ構造に提供され、
    前記命令が前記プロセッサに、
    前記１つまたは複数のグループのうち１つの前記計算結果を暗号化させ、
    暗号化された前記計算結果にアクセスするため、前記１つまたは複数のグループそれぞれにおける前記複数の参加データ所有者それぞれに暗号化キーを提供させる、分散プラットフォームで協調計算を実施する間のデータプライバシーを管理するシステム。

Images