JP7381893B2 - 検索方法、検索プログラム、および秘密情報検索システム - Google Patents

Description

本発明は、検索方法、検索プログラム、および秘密情報検索システムに関する。

ＩＣＴ（Information and Communication Technology）の利用により、様々な組織が、組織内の活動に利用するためのデータを蓄積している。ある組織によって蓄積されたデータは、他の組織にとっても有用な場合がある。そこで、ある組織が有するデータを他の組織で利活用する事例が増えている。例えば病院の電子カルテデータは、製薬会社における新薬開発の是非の調査に利活用できる。

データを提供する組織（提供者）は、他の組織（利用者）がそのデータに対する検索を行うことは許容できても、データそのものを利用者に渡すことは許容できない場合がある。例えば提供者が病院の場合、病院は、患者の個人情報を含む電子カルテデータを製薬会社に提供することは避けたい。この場合であっても、病院は、検索条件にヒットする患者の数を製薬会社に開示することは可能である。

他方、利用者においても、検索内容を秘匿したい場合がある。例えば利用者が製薬会社であり、病院の電子カルテデータを検索するとき、検索条件が病院に把握されると、どのような医薬を開発しようとしているのかが、病院側に推察されてしまう。

また、提供者が提供するデータをクラウドコンピューティングシステム（以下、クラウドと呼ぶ）などのサーバで管理させることで、提供者側のシステムに対して利用者側のシステムから直接アクセスさせずに済む。ただし、この場合、クラウドの管理者に対しても、データの内容や検索クエリの内容を秘匿できることが求められる。

そこでデータを秘匿したまま、秘匿した検索クエリによって検索することができる秘匿検索技術が考えられている。秘匿検索技術では、提供者が提供したデータを暗号化して、サーバのデータベース（ＤＢ：Data Base）に格納しておく。利用者は、端末装置を用いて、検索クエリを暗号化し、暗号化された検索クエリをサーバに送信する。サーバは、暗号化された検索クエリとＤＢ内の暗号化されたデータとを、暗号文のまま照合する。そしてサーバは、例えば暗号化されたクエリにヒットしたレコード数を、利用者の端末装置に送信する。このような秘匿検索システムを用いれば、提供されたデータと検索クエリとの両方を暗号文のままで検索を行うことができ、提供されたデータの漏洩が抑止できるとともに、検索内容の漏洩も抑止できる。

なお、データを暗号文のまま照合する技術としては、例えば関係暗号化と呼ばれる技術が提案されている。

特開２０１７－２２７０４号公報

秘匿検索を行うシステムでは、複数の提供者から提供されたデータをサーバのＤＢに集約し、そのＤＢを複数の利用者で利用することもできる。このようなシステムでは、例えば複数の提供者と複数の利用者とにおいて１つの鍵が共有される。この場合、複数の提供者それぞれから提供されるデータは共有の鍵を用いて暗号化されてサーバのＤＢに格納される。

このように複数の組織で鍵を共有する場合、その鍵がいずれか一つの組織から漏洩すると、複数の提供者それぞれから提供されたすべてのデータが漏洩の危険にさらされる。すなわち、一部の組織による鍵の漏洩による影響範囲が、他の組織で提供されたデータにまで拡大してしまう。

１つの側面では、本件は、秘匿検索に用いる鍵の漏洩による影響範囲の拡大を抑止することを目的とする。

１つの案では、データ管理装置が以下の処理を実行する管理方法が提供される。
データ管理装置は、第１のデータベースを有するデータ提供装置から、第１のデータベースに格納された１以上の平文を第１の鍵で暗号化した１以上の第１の暗号文を受信すると、１以上の第１の暗号文を第２のデータベースに格納する。またデータ管理装置は、データ提供装置から、第１のデータベースに格納可能な平文候補の配列に含まれる複数の平文候補の配列上の順番を変えずに、複数の平文候補それぞれを第１の鍵で暗号化することにより得られた複数の第１の暗号文候補を取得する。さらにデータ管理装置は、データ利用装置から、複数の平文候補の配列上の順番を変えずに、複数の平文候補それぞれを第２の鍵で暗号化することにより得られた複数の第２の暗号文候補を取得する。その後、データ管理装置は、データ利用装置から、複数の平文候補のうちの少なくとも１つを暗号化した第２の暗号文を含む検索要求を受信すると、複数の第１の暗号文候補内での配列上の順番が、第２の暗号文と同じ値の第２の暗号文候補の複数の第２の暗号文候補内での配列上の順番と同じである同順の第１の暗号文候補を特定する。そしてデータ管理装置は、同順の第１の暗号文候補と同じ値の第１の暗号文を第２のデータベースから検索する。

１態様によれば、鍵の漏洩の影響範囲の拡大を抑止することができる。

第１の実施の形態に係る検索方法の一例を示す図である。 秘密情報検索システムの一例を示す図である。 データ管理サーバのハードウェアの一例を示す図である。 秘密情報検索システムの機能を示すブロック図である。 暗号化ＤＢへのデータ登録の一例を示す図である。 平文候補リストの一例を示す図である。 平文候補リストに基づく暗号文候補リストの生成例を示す図である。 暗号文対応表を用いた秘匿検索の一例を示す図である。 検索要求と検索結果の例を示す図である。 データ登録処理の手順の一例を示すシーケンス図である。 暗号文対応表生成処理の手順の一例を示すシーケンス図である。 検索処理の手順の一例を示すシーケンス図である。 データの提供者が鍵を漏洩させた場合の秘匿性回復処理の手順の一例を示すシーケンス図である。 提供者による鍵漏洩時の暗号文交換の一例を示す図である。 データの利用者が鍵を漏洩させた場合の秘匿性回復処理の手順の一例を示すシーケンス図である。 提供者による鍵漏洩時の暗号文交換の一例を示す図である。 暗号文対応表のデータ量を削減するための記憶方法の一例を示す図である。 第３の実施の形態において対応表記憶部に格納される情報の一例を示す図である。 個別対応表生成処理の手順の一例を示すシーケンス図である。 個別対応表への変換処理の手順の一例を示すフローチャートである。 個別対応表の生成例を示す第１の図である。 個別対応表の生成例を示す第２の図である。 個別対応表の生成例を示す第３の図である。 個別対応表の生成例を示す第４の図である。 個別対応表を用いた検索処理の手順の一例を示すシーケンス図である。 暗号文対応表生成処理の手順の一例を示すフローチャートである。 暗号文対応表の生成処理の一例を示す図である。 データの提供者が鍵を漏洩させた場合の秘匿性回復処理の手順の一例を示すシーケンス図である。 提供者による鍵漏洩時の暗号文交換の一例を示す図である。 データの提供者が鍵を漏洩させた場合の秘匿性回復処理の手順の一例を示すシーケンス図である。 利用者による鍵漏洩時の暗号文交換の一例を示す図である。 インデックス番号を除去した個別対応表の一例を示す図である。

以下、本実施の形態について図面を参照して説明する。なお各実施の形態は、矛盾のない範囲で複数の実施の形態を組み合わせて実施することができる。
〔第１の実施の形態〕
第１の実施の形態は、秘匿検索を行う秘密情報検索システムに、鍵の漏洩の影響範囲の拡大を抑止することが可能な検索方法を適用したものである。

図１は、第１の実施の形態に係る検索方法の一例を示す図である。図１には、秘密情報検索システムにより第１の実施の形態に係る検索方法を実施した場合の例が示されている。秘密情報検索システムは、データ提供装置１、データ利用装置２、およびデータ管理装置３を有する。データ提供装置１、データ利用装置２、およびデータ管理装置３それぞれは、記憶部１－１，２－１，３－１と処理部１－２，２－２，３－２とを有する。記憶部１－１，２－１，３－１は、例えばメモリ、またはストレージ装置である。処理部１－２，２－２，３－２は、例えばプロセッサ、または演算回路である。

データ提供装置１、データ利用装置２、およびデータ管理装置３それぞれが協働することで、鍵の漏洩の影響範囲の拡大を抑止することが可能な検索方法を実施することができる。例えばデータ提供装置１、データ利用装置２、およびデータ管理装置３それぞれの処理部１－２，２－２，３－２が記憶部１－１，２－１，３－１に格納されたプログラムを実行することで、図１に示す秘匿検索が行われる。例えばデータ管理装置３の処理部３－２は、検索プログラムを実行することで秘匿検索を実現する。

図１に示す秘密情報検索では、平文の候補が有限であることを利用した検索方法が用いられる。すなわち、データ提供装置１とデータ利用装置２とのそれぞれが、共通の平文候補を元に、別々の鍵を用いて暗号文候補を作成する。そしてデータ管理装置３において、両者から取得した暗号文候補を突き合せて暗号文対応表３ｂを生成し、暗号文対応表３ｂを用いて暗号化したままの照合（秘匿検索）を行う。具体的には以下の通りである。

データ提供装置１は、第１のＤＢ１ａを有する。第１のＤＢ１ａには、１以上の平文１ｃが格納されている。データ提供装置１は、平文１ｃを第１の鍵１ｂで暗号化することで、１以上の第１の暗号文３ｃを生成する。データ提供装置１は、生成した第１の暗号文３ｃをデータ管理装置３に送信する。

またデータ提供装置１は、第１のＤＢ１ａに格納可能な平文候補の配列に含まれる複数の平文候補４それぞれの配列上の順番を変えずに、複数の平文候補４それぞれを第１の鍵１ｂで暗号化することにより、複数の第１の暗号文候補５を生成する。

なお複数の平文候補４を含む配列は、データ提供装置１またはデータ利用装置２が、第１のＤＢ１ａに格納可能な平文候補をランダムな順番（順序不同）で並べ替えることで生成される。データ提供装置１が複数の平文候補４を生成した場合、データ提供装置１は複数の平文候補４をデータ利用装置２に送信する。またデータ利用装置２が複数の平文候補４を生成した場合、データ利用装置２は複数の平文候補４をデータ提供装置１に送信する。これにより、複数の平文候補４が、データ提供装置１とデータ利用装置２とで共有される。

データ利用装置２は、複数の平文候補４内での配列上の順番を変えずに、複数の平文候補４それぞれを第２の鍵２ｂで暗号化することにより複数の第２の暗号文候補６を生成する。またデータ利用装置２は、複数の平文候補４のうちの少なくとも１つの平文７を暗号化した第２の暗号文８を含む検索要求を、データ管理装置３に送信する。

データ管理装置３は、データ提供装置１が生成した第１の暗号文３ｃを第２のＤＢ３ａに格納する。またデータ管理装置３は、データ提供装置１から複数の第１の暗号文候補５を取得し、データ利用装置２から複数の第２の暗号文候補６を取得する。このときデータ管理装置３は、例えば、複数の第１の暗号文候補５と複数の第２の暗号文候補６内で配列上の順番が同じ第１の暗号文候補と第２の暗号文候補とを対応付けた暗号文対応表３ｂを生成する。データ管理装置３は、生成した暗号文対応表３ｂを記憶部３－１に格納する。

その後、データ管理装置３は、データ利用装置２から検索要求を受信すると、暗号文のまま第２の暗号文８と第２のＤＢ３ａ内の第１の暗号文３ｃとを照合する。具体的には、データ管理装置３は、複数の第１の暗号文候補５内での配列上の順番が、第２の暗号文と同じ値の第２の暗号文候補の複数の第２の暗号文候補６内での配列上の順番と同じである同順の第１の暗号文候補を特定する。例えばデータ管理装置３は、同順の第１の暗号文候補の特定では、暗号文対応表３ｂにおいて検索要求に含まれる第２の暗号文８と同じ値の第２の暗号文候補に対応付けられた第１の暗号文候補を、同順の第１の暗号文候補として特定する。

そしてデータ管理装置３は、特定した第１の暗号文候補と同じ値の第１の暗号文を第２のＤＢ３ａから検索する。データ管理装置３は、検索結果９をデータ利用装置２に送信する。

なお、検索要求に応じた検索の検索結果には、特定の第１の暗号文が含まれる場合がある。この場合、データ管理装置３は、複数の第２の暗号文候補６内での配列上の順番が、特定の第１の暗号文と同じ値の第１の暗号文候補の複数の第１の暗号文候補５内での配列上の順番と同じである同順の第２の暗号文候補を特定する。そしてデータ管理装置３は、検索結果に含まれる特定の第１の暗号文を同順の第２の暗号文候補に変換する。その後、データ管理装置３は、検索結果をデータ利用装置２に送信する。

このように第１の実施の形態に係る秘密情報検索システムでは、第１のＤＢ１ａに格納可能な平文をランダムに並べ替えた複数の平文候補４が、データ提供装置１とデータ利用装置２とで共有される。そして複数の平文候補４はデータ提供装置１とデータ利用装置２とのそれぞれで暗号化される。暗号化の際に、複数の平文候補４それぞれの配列上の順番が維持されているため、複数の第１の暗号文候補５と複数の第２の暗号文候補６とにおける、順番が同じ第１の暗号文候補と第２の暗号文候補とは、同じ平文候補を異なる鍵で暗号化した暗号文となる。すなわちデータ管理装置３は、複数の第１の暗号文候補５と複数の第２の暗号文候補６とを取得することで、同じ平文から暗号化された第１の暗号文候補と第２の暗号文候補との組み合わせを認識できる。

なおデータ管理装置３では、複数の平文候補４において平文がどのような配列であったのかは不明である。そのためデータ管理装置３は、同一の平文から暗号化された第１の暗号文候補と第２の暗号文候補との組み合わせを特定することはできるものの、それらの元の平文が何なのかを知ることはできない。

例えばデータ管理装置３は、検索要求を受信した場合には、検索要求に含まれる第２の暗号文８と同じ平文から暗号化された第１の暗号文候補を特定し、第１の暗号文候補と同じ値の第１の暗号文を検索することで、暗号文のままの検索を行うことができる。これにより、データ提供装置１が有する複数の平文１ｃがデータ提供装置１の使用者以外に漏洩することが抑止されていると共に、データ利用装置２に検索クエリとして入力された平文７がデータ利用装置２の使用者以外に漏洩することが抑止されている。データ管理装置３において暗号文のまま照合を行っているため、データ管理装置３の管理者であっても、第１のＤＢ１ａ内の複数の平文１ｃや検索クエリとして使用された平文７が何であるのかを知ることはできない。

しかもデータ提供装置１とデータ利用装置２とにおいて別々の鍵を使用しているため、一方の鍵が漏洩した場合でも、鍵の漏洩の影響範囲（例えば暗号化し直すデータの範囲）は限定的となり、影響範囲の拡大が抑止されている。

例えばデータ提供装置１が有する第１の鍵１ｂが漏洩した場合の影響範囲は、第１の鍵１ｂで暗号化された複数の第１の暗号文候補５と第２のＤＢ３ａ内の第１の暗号文３ｃとに限定される。このとき秘密情報検索システムでは、複数の平文１ｃの漏洩を抑止するため、以下の処理が行われる。

データ提供装置１は、第１の鍵１ｂと異なる第３の鍵を生成する。そしてデータ提供装置１は、複数の平文候補４それぞれの配列上の順番を変えずに第３の鍵で暗号化し、複数の第３の暗号文候補を生成する。データ提供装置１は、生成した複数の第３の暗号文候補をデータ管理装置３に送信する。

データ管理装置３は、データ提供装置１から複数の第３の暗号文候補を取得すると、複数の第１の暗号文候補５と複数の第３の暗号文候補とにおいて配列上の順番が同じ第１の暗号文候補と第３の暗号文候補とを対応付けた第１の暗号文交換表を生成する。そしてデータ管理装置３は、暗号文対応表３ｂに示される複数の第１の暗号文候補５それぞれを、第１の暗号文交換表において対応付けられている第３の暗号文候補と交換する。またデータ管理装置３は、第２のＤＢ３ａ内の１以上の第１の暗号文３ｃそれぞれを、同じ値の第１の暗号文候補が第１の暗号文交換表において対応付けられている第３の暗号文候補と交換する。

このように第１の鍵１ｂが漏洩した場合の複数の平文１ｃの漏洩抑止処理は、データ提供装置１とデータ管理装置３とで実行される。すなわち第１の鍵１ｂが漏洩してもデータ利用装置２は影響を受けない。

また、データ利用装置２が有する第２の鍵２ｂが漏洩した場合の影響範囲は、第２の鍵２ｂで暗号化された複数の第２の暗号文候補６に限定される。このとき秘密情報検索システムでは、データ利用装置２に検索クエリとして入力された平文７の漏洩を抑止するため、以下の処理が行われる。

データ利用装置２は、第２の鍵２ｂとは別の第４の鍵を生成する。そしてデータ利用装置２は、複数の平文候補４それぞれの配列上の順番を変えずに第４の鍵で暗号化し、複数の第４の暗号文候補を生成する。データ利用装置２は、生成した複数の第４の暗号文候補をデータ管理装置３に送信する。

データ管理装置３は、データ利用装置２から複数の第４の暗号文候補を取得すると、複数の第２の暗号文候補６と複数の第４の暗号文候補とにおいて配列上の順番が同じ第２の暗号文候補と第４の暗号文候補とを対応付けた第２の暗号文交換表を生成する。そしてデータ管理装置３は、暗号文対応表３ｂに示される複数の第２の暗号文候補６それぞれを、第２の暗号文交換表において対応付けられている第４の暗号文候補と交換する。

このように第２の鍵２ｂが漏洩した場合の平文７の漏洩抑止処理は、データ利用装置２とデータ管理装置３とで実行される。すなわち第２の鍵２ｂが漏洩してもデータ提供装置１は影響を受けない。

このように、鍵が漏洩した場合のシステム内のデータの秘匿性の低下が抑止されるとともに、データの漏洩を抑止するための対応処理の負荷が軽減される。
なお、データ提供装置１とデータ利用装置２との一方または双方が複数存在する場合もあり得る。その場合、データ管理装置３は、データ提供装置１とデータ利用装置２との組み合わせごとの複数の暗号文対応表３ｂを生成する。これにより、データ管理装置３を介して、複数の提供者から提供されたデータを、複数の利用者が利活用することができる。その場合、データ管理装置３は、例えばクラウド内に設けられる。

なお、データ提供装置１とデータ利用装置２との総数が増えると、複数の暗号文対応表３ｂのデータ総量が増加する。そこでデータ管理装置３は、暗号文対応表３ｂを、データ提供装置１とデータ利用装置２それぞれに対応する個別対応表に変換して保持することで、データ量の増加を抑止することもできる。

例えばデータ管理装置３は、データ提供装置１ごとの第１の個別対応表を生成する。第１の個別対応表は、データ提供装置１から取得した複数の第１の暗号文候補５それぞれに、複数生成された暗号文対応表において対応付けられた第２の暗号文候補と同じインデックス番号を付与したものである。

またデータ管理装置３は、データ利用装置２ごとの第２の個別対応表を生成する。第２の個別対応表は、データ利用装置２から取得した複数の第２の暗号文候補６それぞれに、複数生成された暗号文対応表において対応付けられた第１の暗号文候補と同じインデックス番号を付与したものである。

データ管理装置３は、データ提供装置１ごとの第１の個別対応表と、データ利用装置２ごとの第２の個別対応表とを記憶部３－１に格納する。その後、データ管理装置３は、検索要求を受信すると、第１の個別対応表と第２の個別対応表とにおいて付与されているインデックス番号が同じ第１の暗号文候補と第２の暗号文候補とを対応付けることで、検索に使用する暗号文対応表を生成する。データ管理装置３は、検索要求に応じて生成した暗号文対応表を用いて、秘匿検索を行うことができる。

このように暗号文対応表を個別対応表に変換して記憶しておくことで、第１の暗号文候補と第２の暗号文候補との対応関係を管理するための記憶容量を削減することができる。
なおデータ管理装置３は、個別対応表のデータ容量を削減することも可能である。例えばデータ管理装置３は、第１の個別対応表および第２の個別対応表を、インデックス番号でソートする。そしてデータ管理装置３は、第１の個別対応表および第２の個別対応表からインデックス番号を除去して、記憶部３－１に格納する。

暗号文対応表を生成する際には、データ管理装置３は、第１の個別対応表内の第１の暗号文候補に、第１の個別対応表内での配列に従ってインデックス番号を付与する。そしてデータ管理装置３は、第２の個別対応表内の第２の暗号文候補に、第２の個別対応表内での配列に従ってインデックス番号を付与する。

このようにして、インデックス番号を除去した個別対応表を記憶しておき、個別対応表を使用する際に、インデックス番号を付与することができる。記憶する際にはインデックス番号が除去されているため、個別対応表を記憶するための記憶容量が削減される。

〔第２の実施の形態〕
次に第２の実施の形態について説明する。第２の実施の形態は、多数の医療機関が有する患者データを、データ収集活用基盤を用いて有効活用するものである。例えばデータ収集活用基盤により、複数の病院のデータを統合してビッグデータ化し、ビッグデータを複数の製薬会社で活用できるようにする。これにより、製薬会社や病院は、新薬開発のための調査（対象疾患の患者数や所在地域などの調査）が容易となる。

データ収集活用基盤は、ＩＣＴ企業が管理するクラウドを用いて実現するのが効率的である。クラウドを用いることで、病院や製薬会社からのビッグデータへのアクセスが容易となる。しかしながら、患者データは要配慮個人情報であり、法的に参照が許される手続きを経たとしても、漏洩や目的外利用のリスクを考慮し、クラウドの管理者に対しても秘匿しておくのが適切である。また製薬会社による検索の内容は製薬会社の戦略に関する重要な企業秘密に結びつくため、検索内容についても秘匿しておくことが望ましい。そこで、データ収集活用基盤を実現するクラウドは、例えば暗号化したまま検索可能な暗号化方式を用いて、暗号化された患者データをＤＢで管理すると共に、暗号化された検索クエリを用いて、暗号文のままでデータ検索を行う。これにより、クラウドの管理者に対しても、患者データと検索クエリの内容を秘匿しておくことができる。

なお、電子カルテには、病名、薬剤名、症状などの語句が入力されるが、これらの語句は有限な語句の中から医師などが入力候補から選択した語句である。病名、薬剤名などの入力候補は膨大であるものの、その候補は有限である。従って、電子カルテに登録されたデータに対する秘匿検索を行う秘密情報検索システムにも、第１の実施の形態に示したような、鍵の漏洩に対する影響範囲を抑制させた検索方法を適用することができる。

図２は、秘密情報検索システムの一例を示す図である。第２の実施の形態では、データ収集活用基盤１２がクラウドによって構築されている。データ収集活用基盤１２はデータ管理サーバ１００を有している。データ管理サーバ１００は、複数の組織を跨がって活用するデータを暗号文のままで管理するコンピュータである。データ管理サーバ１００は、ネットワーク２０を介して、提供者Ａと提供者Ｂそれぞれのデータ提供サーバ２００，３００と、利用者αと利用者βそれぞれの端末装置４００，５００に接続されている。提供者Ａ、提供者Ｂは例えば病院であり、利用者αと利用者βは例えば製薬会社である。

提供者Ａのデータ提供サーバ２００は、提供者Ａの病院で受診した患者の電子カルテなどの患者データを蓄積し、その患者データを暗号化してデータ管理サーバ１００に提供するコンピュータである。同様に、提供者Ｂのデータ提供サーバ３００は、提供者Ｂの病院で受診した患者の電子カルテなどの患者データを蓄積し、その患者データを暗号化してデータ管理サーバ１００に提供する。

利用者αの端末装置４００は、データ管理サーバ１００で管理されている患者データを検索するために、利用者α（例えば製薬企業）の社員が使用するコンピュータである。利用者βの端末装置５００は、データ管理サーバ１００で管理されている患者データを検索するために、利用者β（例えば製薬企業）の社員が使用するコンピュータである。

なお、データ管理サーバ１００は、図１に示した第１の実施の形態のデータ管理装置３の一例である。データ提供サーバ２００，３００は、図１に示した第１の実施の形態のデータ提供装置１の一例である。端末装置４００，５００は、図１に示した第１の実施の形態のデータ利用装置２の一例である。

図２に示した秘密情報検索システムは、例えば医療情報を活用した新薬開発の効率化に有用である。例えば、利用者αと利用者βが治験を行う場合、対象疾患の患者がどの程度存在するかなどを考慮して計画を立案することで、治験の成功率を向上させることができる。そこで、データ収集活用基盤１２で多数の提供者Ａ、提供者Ｂに分散する患者の電子カルテから抽出した患者データを集中管理することで、目的の疾患を有する患者の情報を容易に得ることが可能となる。

なお、以下の説明において、データ提供サーバ２００，３００によって暗号化された暗号文を提供者由来の暗号文と呼ぶこととする。例えば提供者Ａが有するデータ提供サーバ２００で暗号化された暗号文を、提供者Ａ由来の暗号文と呼ぶ。同様に端末装置４００，５００によって暗号化された暗号文を利用者由来の暗号文と呼ぶこととする。例えば利用者αが有する端末装置４００で暗号化された暗号文を、利用者α由来の暗号文と呼ぶ。

図３は、データ管理サーバのハードウェアの一例を示す図である。データ管理サーバ１００は、プロセッサ１０１によって装置全体が制御されている。プロセッサ１０１には、バス１０９を介してメモリ１０２と複数の周辺機器が接続されている。プロセッサ１０１は、マルチプロセッサであってもよい。プロセッサ１０１は、例えばＣＰＵ（Central Processing Unit）、ＭＰＵ（Micro Processing Unit）、またはＤＳＰ（Digital Signal Processor）である。プロセッサ１０１がプログラムを実行することで実現する機能の少なくとも一部を、ＡＳＩＣ（Application Specific Integrated Circuit）、ＰＬＤ（Programmable Logic Device）などの電子回路で実現してもよい。

メモリ１０２は、データ管理サーバ１００の主記憶装置として使用される。メモリ１０２には、プロセッサ１０１に実行させるＯＳ（Operating System）のプログラムやアプリケーションプログラムの少なくとも一部が一時的に格納される。また、メモリ１０２には、プロセッサ１０１による処理に利用する各種データが格納される。メモリ１０２としては、例えばＲＡＭ（Random Access Memory）などの揮発性の半導体記憶装置が使用される。

バス１０９に接続されている周辺機器としては、ストレージ装置１０３、グラフィック処理装置１０４、入力インタフェース１０５、光学ドライブ装置１０６、機器接続インタフェース１０７およびネットワークインタフェース１０８がある。

ストレージ装置１０３は、内蔵した記録媒体に対して、電気的または磁気的にデータの書き込みおよび読み出しを行う。ストレージ装置１０３は、コンピュータの補助記憶装置として使用される。ストレージ装置１０３には、ＯＳのプログラム、アプリケーションプログラム、および各種データが格納される。なお、ストレージ装置１０３としては、例えばＨＤＤ（Hard Disk Drive）やＳＳＤ（Solid State Drive）を使用することができる。

グラフィック処理装置１０４には、モニタ２１が接続されている。グラフィック処理装置１０４は、プロセッサ１０１からの命令に従って、画像をモニタ２１の画面に表示させる。モニタ２１としては、有機ＥＬ（Electro Luminescence）を用いた表示装置や液晶表示装置などがある。

入力インタフェース１０５には、キーボード２２とマウス２３とが接続されている。入力インタフェース１０５は、キーボード２２やマウス２３から送られてくる信号をプロセッサ１０１に送信する。なお、マウス２３は、ポインティングデバイスの一例であり、他のポインティングデバイスを使用することもできる。他のポインティングデバイスとしては、タッチパネル、タブレット、タッチパッド、トラックボールなどがある。

光学ドライブ装置１０６は、レーザ光などを利用して、光ディスク２４に記録されたデータの読み取り、または光ディスク２４へのデータの書き込みを行う。光ディスク２４は、光の反射によって読み取り可能なようにデータが記録された可搬型の記録媒体である。光ディスク２４には、ＤＶＤ（Digital Versatile Disc）、ＤＶＤ－ＲＡＭ、ＣＤ－ＲＯＭ（Compact Disc Read Only Memory）、ＣＤ－Ｒ（Recordable）／ＲＷ（ReWritable）などがある。

機器接続インタフェース１０７は、データ管理サーバ１００に周辺機器を接続するための通信インタフェースである。例えば機器接続インタフェース１０７には、メモリ装置２５やメモリリーダライタ２６を接続することができる。メモリ装置２５は、機器接続インタフェース１０７との通信機能を搭載した記録媒体である。メモリリーダライタ２６は、メモリカード２７へのデータの書き込み、またはメモリカード２７からのデータの読み出しを行う装置である。メモリカード２７は、カード型の記録媒体である。

ネットワークインタフェース１０８は、ネットワーク２０に接続されている。ネットワークインタフェース１０８は、ネットワーク２０を介して、他のコンピュータまたは通信機器との間でデータの送受信を行う。

データ管理サーバ１００は、以上のようなハードウェア構成によって、第２の実施の形態の処理機能を実現することができる。なおデータ提供サーバ２００，３００および端末装置４００，５００も、データ管理サーバ１００と同様のハードウェアにより実現することができる。さらに図１に示したデータ提供装置１、データ利用装置２、およびデータ管理装置３も、データ管理サーバ１００と同様のハードウェアにより実現することができる。

データ管理サーバ１００は、例えばコンピュータ読み取り可能な記録媒体に記録されたプログラムを実行することにより、第２の実施の形態の処理機能を実現する。データ管理サーバ１００に実行させる処理内容を記述したプログラムは、様々な記録媒体に記録しておくことができる。例えば、データ管理サーバ１００に実行させるプログラムをストレージ装置１０３に格納しておくことができる。プロセッサ１０１は、ストレージ装置１０３内のプログラムの少なくとも一部をメモリ１０２にロードし、プログラムを実行する。またデータ管理サーバ１００に実行させるプログラムを、光ディスク２４、メモリ装置２５、メモリカード２７などの可搬型記録媒体に記録しておくこともできる。可搬型記録媒体に格納されたプログラムは、例えばプロセッサ１０１からの制御により、ストレージ装置１０３にインストールされた後、実行可能となる。またプロセッサ１０１が、可搬型記録媒体から直接プログラムを読み出して実行することもできる。

次に、秘密情報検索システムの各装置の機能について説明する。
図４は、秘密情報検索システムの機能を示すブロック図である。データ管理サーバ１００は、暗号化ＤＢ１１０、データ登録部１２０、対応表作成部１３０、対応表記憶部１４０、および検索部１５０を有する。

暗号化ＤＢ１１０は、データ提供サーバ２００，３００から提供された暗号文を格納するＤＢである。例えばデータ管理サーバ１００のメモリ１０２またはストレージ装置１０３の記憶領域の一部が暗号化ＤＢ１１０として使用される。

データ登録部１２０は、データ提供サーバ２００，３００から暗号文を取得し、暗号化ＤＢ１１０に格納する。
対応表作成部１３０は、提供者Ａ、提供者Ｂが有するデータ提供サーバ２００，３００から提供された暗号文候補リストと、利用者αと利用者βそれぞれが有する端末装置４００，５００から提供された暗号文候補リストに基づいて、暗号文対応表を作成する。対応表作成部１３０は、作成した暗号文対応表を、対応表記憶部１４０に格納する。

対応表記憶部１４０は、暗号文対応表を記憶する。例えばデータ管理サーバ１００のメモリ１０２またはストレージ装置１０３の記憶領域の一部が対応表記憶部１４０として使用される。

検索部１５０は、端末装置４００，５００からの暗号化された検索クエリを含むデータ検索要求に応じて、暗号化ＤＢ１１０に登録されたデータを検索する。この際、検索部１５０は、患者データと検索クエリとを暗号文のまま照合する。検索部１５０は、例えば検索クエリに合致する項目値を有する患者の数を端末装置４００，５００に送信する。

データ提供サーバ２００は、ＤＢ２１０、データ登録要求部２２０、鍵記憶部２３０、平文候補リスト記憶部２４０、平文候補リスト提供部２５０、および暗号文候補リスト提供部２６０を有する。

ＤＢ２１０は、提供者Ａが提供するデータを記憶する。ＤＢ２１０に記憶されているデータは平文であり、暗号化されていない。例えばＤＢ２１０には、病院の電子カルテデータが格納される。例えばデータ提供サーバ２００が有するメモリまたはストレージ装置の記憶領域の一部がＤＢ２１０として使用される。

データ登録要求部２２０は、データ管理サーバ１００への登録対象のデータの暗号文を含むデータ登録要求を、データ管理サーバ１００に送信する。例えばデータ登録要求部２２０は、まず暗号鍵を生成し、ＤＢ２１０に記憶されたデータを、生成した暗号鍵で暗号化する。そしてデータ登録要求部２２０は、暗号化によって生成された暗号文を含むデータ登録要求を、データ管理サーバ１００に送信する。またデータ登録要求部２２０は、生成した暗号鍵を鍵記憶部２３０に格納する。

鍵記憶部２３０は、データ登録要求部２２０が生成した鍵を記憶する。例えばデータ提供サーバ２００が有するメモリまたはストレージ装置の記憶領域の一部が鍵記憶部２３０として使用される。

平文候補リスト記憶部２４０は、ＤＢ２１０に登録可能な平文である平文候補を列挙した平文候補リストを記憶する。例えばデータ提供サーバ２００が有するメモリまたはストレージ装置の記憶領域の一部が平文候補リスト記憶部２４０として使用される。

平文候補リスト提供部２５０は、端末装置４００，５００に平文候補リストを提供する。例えば平文候補リスト提供部２５０は、平文候補リスト記憶部２４０から平文候補リストを取得し、平文候補リスト内の平文をランダムな順番（順序不同となるよう）に並べ替える。以下、ランダムな順番に並べ替えることをシャッフルと呼ぶこともある。平文候補リスト提供部２５０は、平文を並べ替えた平文候補リストを端末装置４００，５００に送信する。なお端末装置４００に送信される平文候補リストと、端末装置５００に送信される平文候補リストとでは、平文の配列が異なる。

暗号文候補リスト提供部２６０は、データ管理サーバ１００に暗号文候補リストを提供する。例えば暗号文候補リスト提供部２６０は、平文候補リスト記憶部２４０から、シャッフル後の平文候補リストを取得する。暗号文候補リスト提供部２６０は、取得した平文候補リスト内の平文を、鍵記憶部２３０に格納されている鍵を用いて暗号化する。暗号文候補リスト提供部２６０は、平文を暗号化して得られた暗号文を列挙した暗号文候補リストを生成する。そして暗号文候補リスト提供部２６０は、生成した暗号文候補リストをデータ管理サーバ１００に送信する。なお暗号文候補リスト提供部２６０は、送信する暗号文候補リストに、その暗号文候補リストの生成元となった平文候補リストの送信先の端末装置４００の利用者αの識別情報を付与する。

端末装置４００は、平文候補リスト取得部４１０、平文候補リスト記憶部４２０、暗号文候補リスト提供部４３０、鍵記憶部４４０、および検索要求部４５０を有する。
平文候補リスト取得部４１０は、データ提供サーバ２００から平文候補リストを取得する。平文候補リスト取得部４１０は、取得した平文候補リストを平文候補リスト記憶部４２０に格納する。

平文候補リスト記憶部４２０は、平文候補リストを記憶する。例えば端末装置４００が有するメモリまたはストレージ装置の記憶領域の一部が平文候補リスト記憶部４２０として使用される。

暗号文候補リスト提供部４３０は、データ管理サーバ１００に暗号文候補リストを提供する。例えば暗号文候補リスト提供部４３０は、暗号化用の鍵を生成し、鍵記憶部４４０に格納する。次に暗号文候補リスト提供部４３０は、平文候補リスト記憶部４２０から平文候補リストを取得する。暗号文候補リスト提供部４３０は、取得した平文候補リスト内の平文を、鍵記憶部４４０に格納されている鍵を用いて暗号化する。暗号文候補リスト提供部４３０は、平文を暗号化して得られた暗号文を列挙した暗号文候補リストを生成する。そして暗号文候補リスト提供部４３０は、生成した暗号文候補リストをデータ管理サーバ１００に送信する。なお暗号文候補リスト提供部４３０は、送信する暗号文候補リストに、端末装置４００の利用者αの識別情報を付与する。

鍵記憶部４４０は、暗号文候補リスト提供部４３０が生成した鍵を記憶する。例えば端末装置４００が有するメモリまたはストレージ装置の記憶領域の一部が鍵記憶部４４０として使用される。

検索要求部４５０は、利用者αから入力された検索クエリに応じた検索要求を、データ管理サーバ１００に送信する。例えば検索要求部４５０は、鍵記憶部４４０に格納されている鍵を用いて検索クエリを暗号化する。そして検索要求部４５０は、暗号文の検索クエリを含む検索要求を、データ管理サーバ１００に送信する。検索要求部４５０は、データ管理サーバ１００から検索結果を取得すると、検索結果をモニタの画面に表示する。

なお図４にはデータ提供サーバ２００の機能を示しているが、他のデータ提供サーバ３００もデータ提供サーバ２００と同様の機能を有している。また図４には端末装置４００の機能を示しているが、他の端末装置５００も端末装置４００と同様の機能を有している。また、図４に示した各要素の機能は、例えば、その要素に対応するプログラムモジュールをコンピュータに実行させることで実現することができる。

データ提供サーバ２００，３００が有するデータを端末装置４００，５００で利活用する場合、まずデータ提供サーバ２００，３００がデータを暗号化して、データ管理サーバ１００に送信する。データ管理サーバ１００では、受信したデータを暗号化ＤＢ１１０に格納する。

図５は、暗号化ＤＢへのデータ登録の一例を示す図である。図５の例では、データ提供サーバ２００が有するＤＢ２１０とデータ提供サーバ３００が有するＤＢ３１０とのデータを、データ管理サーバ１００の暗号化ＤＢ１１０に登録する場合を示している。

ＤＢ２１０，３１０には、患者ごとのレコードが登録されている。各レコードには、患者ＩＤ（IDentifier）、性別、疾病、年齢などの項目が設けられている。ＤＢ２１０，３１０に登録されたレコード内の各項目には、平文の項目値が設定されている。ＩＤの項目には、患者の識別子（患者ＩＤ）が設定される。性別の項目には、患者の性別が設定される。疾病の項目には、患者の病名が設定される。年齢の項目には、患者の年齢が設定される。

ＤＢ２１０，３１０内のデータは、例えば患者ＩＤを除いて、項目値ごとに暗号化される。ＤＢ２１０内のデータは、データ提供サーバ２００内の鍵記憶部２３０に格納された鍵２３１を用いて暗号化される。ＤＢ３１０内のデータは、データ提供サーバ３００内の鍵記憶部３３０に格納された鍵３３１を用いて暗号化される。そして暗号化されたＤＢ２１０，３１０内のデータがデータ管理サーバ１００に送信され、暗号化ＤＢ１１０に格納される。

暗号化ＤＢ１１０には、患者ごとのレコードが登録されている。各レコードには、病院ＩＤ、患者ＩＤ、性別、疾病、年齢などの項目が設けられている。暗号化ＤＢ１１０に登録されたレコード内の各項目のうち、病院ＩＤと患者ＩＤとには平文の項目値が設定され、それ以外の項目には暗号文の項目値が設定されている。病院ＩＤの項目には、該当するレコードを提供した病院の識別子（病院ＩＤ）が設定される。患者ＩＤの項目には、該当するレコードを提供した病院内での患者の識別子（患者ＩＤ）が設定される。性別の項目には、患者の性別を示す暗号文が設定される。疾病の項目には、患者の病名を示す暗号文が設定される。年齢の項目には、患者の年齢を示す暗号文が設定される。

暗号化ＤＢ１１０に暗号文のデータを登録後、データ提供サーバ２００，３００は、各利用者と共有する平文候補リストを生成する。
図６は、平文候補リストの一例を示す図である。データ提供サーバ２００の平文候補リスト記憶部２４０には、原本である平文候補リスト２４１が予め格納されている。平文候補リスト２４１には、例えば項目ごとに、該当項目に項目値として暗号化ＤＢ１１０に登録可能な平文のリストが設定されている。例えば項目「疾病」には、「かぜ」、「糖尿」、「がん」などの平文が、暗号化ＤＢ１１０に登録可能である。

平文候補リスト記憶部２４０には、原本の平文候補リスト２４１内の平文をシャッフルすることで生成された、利用者ごとの平文候補リスト２４２，２４３も格納されている。例えば平文候補リスト２４２は端末装置４００の利用者αと共有され、平文候補リスト２４３は端末装置５００の利用者βと共有される。

利用者と共有される平文候補リスト２４２，２４３は、データ提供サーバ２００から各利用者が有する端末装置４００，５００に送信される。同様に、データ提供サーバ３００から端末装置４００，５００へも、利用者と共有する平文候補リストが送信される。データ提供サーバ２００，３００と端末装置４００，５００は、それぞれ平文候補リスト内の平文を暗号化し、暗号文候補リストを生成する。

図７は、平文候補リストに基づく暗号文候補リストの生成例を示す図である。データ提供サーバ２００から端末装置４００へは、平文候補リスト２４２が送信されている。データ提供サーバ２００から端末装置５００へは、平文候補リスト２４３が送信されている。データ提供サーバ３００から端末装置４００へは、平文候補リスト３４２が送信されている。データ提供サーバ３００から端末装置５００へは、平文候補リスト３４３が送信されている。これにより、送信元のデータ提供サーバ２００，３００と送信先の端末装置４００，５００とで、平文候補リストが共有される。

データ提供サーバ２００，３００と端末装置４００，５００とは、それぞれ平文候補リスト内の平文を暗号化する。そしてデータ提供サーバ２００，３００と端末装置４００，５００とは、暗号化して得られた暗号文候補リストを、データ管理サーバ１００に送信する。なお平文候補リスト内での各平文の順番と、その平文から暗号化された暗号文の暗号文候補リスト内での順番とは同じである。すなわちデータ提供サーバ２００，３００と端末装置４００，５００とは、平文候補リスト内での平文の順番を入れ替えずに、その平文の暗号文を暗号文候補リストに登録する。

例えばデータ提供サーバ２００は、平文候補リスト２４２に対応する暗号文候補リスト２６１を、共有相手が利用者αであることを指定して、データ管理サーバ１００に送信する。またデータ提供サーバ２００は、平文候補リスト２４３に対応する暗号文候補リスト２６２を、共有相手が利用者βであることを指定して、データ管理サーバ１００に送信する。

データ提供サーバ３００は、平文候補リスト３４２に対応する暗号文候補リスト３６１を、共有相手が利用者αであることを指定して、データ管理サーバ１００に送信する。またデータ提供サーバ３００は、平文候補リスト３４３に対応する暗号文候補リスト３６２を、共有相手が利用者βであることを指定して、データ管理サーバ１００に送信する。

端末装置４００は、平文候補リスト２４２に対応する暗号文候補リスト４３１を、共有相手が提供者Ａであることを指定して、データ管理サーバ１００に送信する。また端末装置４００は、平文候補リスト３４２に対応する暗号文候補リスト４３２を、共有相手が提供者Ｂであることを指定して、データ管理サーバ１００に送信する。

端末装置５００は、平文候補リスト２４３に対応する暗号文候補リスト５３１を、共有相手が提供者Ａであることを指定して、データ管理サーバ１００に送信する。また端末装置５００は、平文候補リスト３４３に対応する暗号文候補リスト５３２を、共有相手が提供者Ｂであることを指定して、データ管理サーバ１００に送信する。

データ管理サーバ１００は、データ提供サーバ２００，３００と端末装置４００，５００それぞれの所有者を認識している。そしてデータ管理サーバ１００は、データ提供サーバ２００，３００と端末装置４００，５００それぞれから取得した暗号文候補リストに基づいて、暗号文対応表１４１～１４４を生成する。生成された暗号文対応表１４１～１４４は、対応表記憶部１４０に格納される。

例えばデータ管理サーバ１００は、データ提供サーバ２００から取得した暗号文候補リスト２６１と端末装置４００から取得した暗号文候補リスト４３１とに基づいて、暗号文対応表１４１を生成する。暗号文対応表１４１は、提供者Ａが提供したデータに対する利用者αによる検索に使用される。

データ管理サーバ１００は、データ提供サーバ２００から取得した暗号文候補リスト２６２と端末装置５００から取得した暗号文候補リスト５３１とに基づいて、暗号文対応表１４２を生成する。暗号文対応表１４２は、提供者Ａが提供したデータに対する利用者βによる検索に使用される。

データ管理サーバ１００は、データ提供サーバ３００から取得した暗号文候補リスト３６１と端末装置４００から取得した暗号文候補リスト４３２とに基づいて、暗号文対応表１４３を生成する。暗号文対応表１４３は、提供者Ｂが提供したデータに対する利用者αによる検索に使用される。

データ管理サーバ１００は、データ提供サーバ３００から取得した暗号文候補リスト３６２と端末装置５００から取得した暗号文候補リスト５３２とに基づいて、暗号文対応表１４４を生成する。暗号文対応表１４４は、提供者Ｂが提供したデータに対する利用者βによる検索に使用される。

図８は、暗号文対応表を用いた秘匿検索の一例を示す図である。図８の例では、疾病に関する平文候補リスト２４２ａ内に、疾病に関する平文が、「がん」、「糖尿」、「かぜ」の順番で登録されている。データ提供サーバ２００は、これらの平文を鍵２３１で暗号化し、疾病に関する暗号文候補リスト２６１ａに登録する。例えば「がん」の暗号文は「ＨＡ」、「糖尿」の暗号文は「ＨＣ」、「かぜ」の暗号文は「ＨＢ」である。

同様に、端末装置４００も平文候補リスト２４２ａに登録されている平文を鍵４４１で暗号化し、疾病に関する暗号文候補リスト４３１ａに登録する。例えば「がん」の暗号文は「ＨＤ」、「糖尿」の暗号文は「ＨＥ」、「かぜ」の暗号文は「ＨＦ」である。

データ管理サーバ１００は、データ提供サーバ２００が生成した暗号文候補リスト２６１ａと端末装置４００が生成した暗号文候補リスト４３１ａとに基づいて、疾病に関する暗号文対応表１４１ａを生成する。例えばデータ管理サーバ１００は、暗号文候補リスト２６１ａと暗号文候補リスト４３１ａとにおいて、順番が同じ暗号文同士を対応付けて、暗号文のペアを暗号文対応表１４１ａに登録する。具体的にはデータ管理サーバ１００は、暗号文候補リスト２６１ａの１番目の暗号文「ＨＡ」と暗号文候補リスト４３１ａの１番目の暗号文「ＨＤ」とのペアを、暗号文対応表１４１ａに登録する。データ管理サーバ１００は、暗号文候補リスト２６１ａの２番目の暗号文「ＨＣ」と暗号文候補リスト４３１ａの２番目の暗号文「ＨＥ」とのペアを、暗号文対応表１４１ａに登録する。データ管理サーバ１００は、暗号文候補リスト２６１ａの３番目の暗号文「ＨＢ」と暗号文候補リスト４３１ａの３番目の暗号文「ＨＦ」とのペアを、暗号文対応表１４１ａに登録する。

その後、利用者αが、提供者Ａから提供されたデータの中から、疾病が「糖尿」の患者数を検索するものとする。その場合、利用者αは、端末装置４００に検索クエリ「糖尿」を入力する。すると端末装置４００は、入力された検索クエリを鍵４４１で暗号化する。暗号化により、暗号文「ＨＥ」が生成される。端末装置４００は、暗号文「ＨＥ」を検索クエリとする検索要求をデータ管理サーバ１００に送信する。なお検索要求には、検索対象のデータの提供元として利用者αが指定されているものとする。

データ管理サーバ１００は、暗号文対応表１４１ａを用いて、暗号文のまま、検索クエリと暗号化ＤＢ１１０内のデータとの照合を行う。例えばデータ管理サーバ１００は、暗号文対応表１４１ａから、検索要求に検索クエリとして含まれる暗号文「ＨＥ」に対応する暗号文「ＨＣ」を取得する。次にデータ管理サーバ１００は、暗号化ＤＢ１１０から、取得した暗号文「ＨＣ」に一致する暗号文の項目値を検索する。そしてデータ管理サーバ１００は、該当する項目値を有するレコードの数を、検索結果として端末装置４００に送信する。

このように、データ提供サーバ２００と端末装置４００のそれぞれが、共通の平文候補リスト２４２ａを元に、別々の鍵２３１，４４１を用いて、暗号文候補リスト２６１ａ，４３１ａを作成する。そしてデータ管理サーバ１００が、２つの暗号文候補リスト２６１ａ，４３１ａを突き合せ、暗号文対応表１４１ａを作成する。

図８は、項目「疾病」に関する暗号文対応表１４１ａの生成例であるが、すべての項目に関して同様の処理を行うことで、全項目分の暗号文対応表１４１が生成される。そして、暗号文対応表１４１を用いることで、提供者Ａから提供された全データについての暗号化したままの照合（秘匿検索）が可能となる。

この秘匿検索では、仮に一方の鍵が漏洩したとしても、暗号化し直す範囲が限定される。例えば、データ提供サーバ２００の鍵２３１が漏洩した場合、暗号文対応表１４１と暗号化ＤＢ１１０とに含まれる提供者Ａ由来の暗号文を暗号化し直せばよい。端末装置４００の鍵４４１が漏洩した場合、暗号文対応表１４１に含まれる利用者α由来の暗号文を暗号化し直せばよい。

なお秘匿検索のための検索要求には、検索クエリにヒットした件数を要求する検索要求だけではなく、検索クエリにヒットした項目値を有するレコードを分類したテーブルを要求する検索要求も可能である。

図９は、検索要求と検索結果の例を示す図である。例えば図９には、件数の応答を要求する検索要求として、男性のがん患者の人数を取得するための検索要求３１が示されている。検索要求３１には、検索クエリとして疾病「がん」と性別「男性」とが含まれる。検索クエリとして含まれる「がん」と「男性」は、検索要求３１をデータ管理サーバ１００に送信する前に暗号化される。このような検索要求３１を受信したデータ管理サーバ１００は、性別が「男性」のレコードの中から、疾病が「がん」のレコードを検索する。そしてデータ管理サーバ１００は、検索でヒットしたレコードの件数を示す検索結果３２を、端末装置４００に送信する。

また図９には、テーブルの応答を要求する検索要求として、がんである男性の人数と、がんである女性の人数とを取得するための検索要求３３が示されている。検索要求３３には、検索クエリとして疾病「がん」が示されていると共に、性別によって分類することが指定されている。検索クエリとして含まれる「がん」は、検索要求３３をデータ管理サーバ１００に送信する前に暗号化される。このような検索要求３３を受信したデータ管理サーバ１００は、疾病が「がん」のレコードを検索する。そしてデータ管理サーバ１００は、検索でヒットしたレコードを性別で分類し、性別ごとのヒット件数を示す検索結果３４を端末装置４００に送信する。

なお検索結果３４の性別の項目には、端末装置４００の鍵４４１で暗号化された暗号文が設定されている。端末装置４００は、暗号文で示された性別の項目値を鍵４４１で復号することで、平文の性別が示された検索結果３５を得る。

次に、秘匿検索処理の手順について具体的に説明する。秘匿検索処理は、データ登録処理、暗号文対応表生成処理、および検索処理に分かれる。以下、各処理の手順を図１０～図１２を参照して説明する。

図１０は、データ登録処理の手順の一例を示すシーケンス図である。提供者Ａがデータ管理サーバ１００を介したデータ提供の指示をデータ提供サーバ２００に入力すると、データ提供サーバ２００のデータ登録要求部２２０は鍵２３１を生成する（ステップＳ１０１）。データ登録要求部２２０は、生成した鍵２３１を鍵記憶部２３０に格納する。

利用者αがデータ管理サーバ１００を介したデータ利用の指示を端末装置４００に入力すると、端末装置４００の暗号文候補リスト提供部４３０は鍵４４１を生成する（ステップＳ１０２）。暗号文候補リスト提供部４３０は、生成した鍵４４１を鍵記憶部４４０に格納する。

データ提供サーバ２００のデータ登録要求部２２０は、ＤＢ２１０内のデータを暗号化する（ステップＳ１０３）。例えばデータ登録要求部２２０は、患者ＩＤ以外の各項目に設定された項目値を、その項目値ごとに鍵２３１を用いて暗号化する。そしてデータ登録要求部２２０は、暗号化したデータ（暗号文）をデータ管理サーバ１００に送信する（ステップＳ１０４）。データ管理サーバ１００のデータ登録部１２０は、データ提供サーバ２００から取得したデータを暗号化ＤＢ１１０に格納する（ステップＳ１０５）。

このようにして、暗号化ＤＢ１１０内に提供者Ａによって提供されたデータが、暗号文の状態で登録される。ここで提供者Ａが利用者αにデータの利用を許可する場合、提供者Ａは、利用者αと平文候補リストを共有する。秘密情報検索システムでは、共有された平文候補リストに基づいて暗号文対応表が生成される。

図１１は、暗号文対応表生成処理の手順の一例を示すシーケンス図である。データ提供サーバ２００の平文候補リスト提供部２５０は、原本の平文候補リスト２４１（図６参照）からＤＢ２１０内の１つの項目に登録可能な平文のリストを取得し、取得した平文をランダムな順番に並べ替える（シャッフルする）（ステップＳ１１１）。平文候補リスト提供部２５０は、シャッフル済みの一項目分の平文候補リスト２４２（図６参照）を端末装置４００に送信する（ステップＳ１１２）。端末装置４００の平文候補リスト取得部４１０は、受信した一項目分の平文候補リスト２４２を平文候補リスト記憶部４２０に格納する（ステップＳ１１３）。またデータ提供サーバ２００の平文候補リスト提供部２５０は、送信した一項目分の平文候補リスト２４２を平文候補リスト記憶部２４０に格納する（Ｓ１１４）。

データ提供サーバ２００の暗号文候補リスト提供部２６０は、シャッフル済みの一項目分の平文候補リスト２４２を、鍵２３１を用いて暗号化する（ステップＳ１１５）。例えば暗号文候補リスト提供部２６０は、一項目分の平文候補リスト２４２内の平文ごとに暗号化した暗号文を生成し、元の平文の順番と同じ並びで、暗号化後の暗号文を暗号文候補リスト２６１ａ（図８参照）に登録する。暗号文候補リスト提供部２６０は、暗号化によって生成された一項目分の暗号文候補リスト２６１ａをデータ管理サーバ１００に送信する（ステップＳ１１６）。

端末装置４００の暗号文候補リスト提供部４３０は、一項目分の平文候補リスト２４２を、鍵４４１を用いて暗号化する（ステップＳ１１７）。例えば暗号文候補リスト提供部４３０は、平文候補リスト２４２内の平文ごとに暗号化した暗号文を生成し、元の平文の順番と同じ並びで、暗号化後の暗号文を暗号文候補リスト４３１ａ（図８参照）に登録する。暗号文候補リスト提供部４３０は、暗号化によって生成された一項目分の暗号文候補リスト４３１ａをデータ管理サーバ１００に送信する（ステップＳ１１８）。

データ管理サーバ１００の対応表作成部１３０は、データ提供サーバ２００と端末装置４００とのそれぞれから受信した暗号文候補リスト２６１ａ，４３１ａに基づいて、一項目分の暗号文対応表１４１ａを生成する（ステップＳ１１９）。データ提供サーバ２００の平文候補リスト提供部２５０は、原本の平文候補リスト２４１内に、ステップＳ１１１～Ｓ１１９の処理が未処理の項目があるか否かを判断する（ステップＳ１２０）。平文候補リスト提供部２５０は、未処理の項目があれば、ステップＳ１１１に処理を進め、未処理の項目に対する処理を行う。また平文候補リスト提供部２５０は、未処理の項目がなければ処理を終了する。

これにより原本の平文候補リスト２４１内のすべての項目についての平文候補リスト２４２ａが、データ提供サーバ２００と端末装置４００とで共有される。そして平文候補リスト２４２に応じた暗号文対応表１４１がデータ管理サーバ１００で生成される。データ管理サーバ１００は、データ提供サーバ２００によって提供されたデータの検索要求を端末装置４００から受信すると、生成した暗号文対応表１４１を参照して、検索を実行する。

図１２は、検索処理の手順の一例を示すシーケンス図である。端末装置４００の検索要求部４５０は、利用者αからの検索クエリの入力を受け付ける（ステップＳ１３１）。この際、利用者αは、検索対象のデータの提供元として提供者Ａを指定する入力を行う。検索要求部４５０は、入力された検索クエリを鍵４４１で暗号化する（ステップＳ１３２）。そして検索要求部４５０は、暗号化によって暗号文に変換された検索クエリを含む検索要求をデータ管理サーバ１００に送信する（ステップＳ１３３）。なお検索要求部４５０は、提供者Ａによって提供されたデータが検索対象であることを示す情報を、検索要求に含める。

データ管理サーバ１００の検索部１５０は、端末装置４００から受信した検索要求に応じて、検索に使用する暗号文対応表を対応表記憶部１４０から取得する（ステップＳ１３４）。例えば検索部１５０は、検索対象のデータの提供元である提供者Ａと、検索要求の送信元の端末装置４００の使用者である利用者αとの組に対応する暗号文対応表１４１（図７参照）を取得する。

検索部１５０は、ステップＳ１３４における取得対象の暗号文対応表が存在するか否かに応じて処理を分岐させる（ステップＳ１３５）。検索部１５０は、該当する暗号文対応表１４１が存在する場合、以下の処理（ステップＳ１３６～Ｓ１４０）を実行する。

暗号文対応表１４１が取得できた場合、取得した暗号文対応表１４１に基づいて、検索要求内の暗号文を変換する（ステップＳ１３６）。例えば検索部１５０は、検索要求から検索クエリとして含まれる暗号文を抽出する。検索部１５０は、暗号文対応表１４１を参照し、抽出した暗号文に対応付けられた提供者側の暗号文を特定する。検索部１５０は、検索要求に含まれる暗号文を、特定した暗号文に変換する。

そして検索部１５０は、暗号文変換後の検索要求に従って、暗号化ＤＢ１１０の検索を行う（ステップＳ１３７）。検索部１５０は、検索結果に暗号文が含まれるか否かを判断する（ステップＳ１３８）。検索部１５０は、暗号文が含まれる場合、暗号文対応表１４１に基づいて、該当する暗号文を、利用者に由来する暗号文に変換する（ステップＳ１３９）。そして検索部１５０は、検索結果に暗号文が含まれない場合（ステップＳ１３８でＮＯと判断）、またはステップＳ１３８の処理が終了した場合、検索結果を端末装置４００に送信する（ステップＳ１４０）。

検索部１５０は、ステップＳ１３５において該当する暗号文対応表１４１が存在しないと判断した場合、検索結果として、検索失敗を示すメッセージを端末装置４００に送信する（ステップＳ１４１）。端末装置４００の検索要求部４５０は、受信した検索結果を表示する（ステップＳ１４２）。

このようにして、データの提供者側と利用者側とで異なる鍵を用いて秘匿検索を行うことが可能となる。提供者側と利用者側とで異なる鍵を用いているため、一部の鍵が漏洩した場合、その鍵を管理していた提供者または利用者のみが、データの秘匿性を回復させる対処を行えばよい。

図１３は、データの提供者が鍵を漏洩させた場合の秘匿性回復処理の手順の一例を示すシーケンス図である。例えばデータ提供サーバ２００が生成した鍵２３１（図５参照）が漏洩した場合、提供者Ａはデータ提供サーバ２００に対して、鍵交換の指示を入力する。するとデータ提供サーバ２００のデータ登録要求部２２０が新たな鍵を生成する（ステップＳ１５１）。データ登録要求部２２０は生成した鍵を鍵記憶部２３０に格納する。

次に暗号文候補リスト提供部２６０は、すべての項目に関する平文候補リスト２４２，２４３（図６参照）を、新たに生成された鍵を用いて暗号化する（ステップＳ１５２）。そして暗号文候補リスト提供部２６０は、既存の鍵を用いて生成された暗号文と新たな鍵を用いて生成された暗号文との対応関係を示す暗号文交換表を生成し、その暗号文交換表をデータ管理サーバに送信する（ステップＳ１５３）。

データ管理サーバ１００の対応表作成部１３０は、暗号文交換表に基づいて、暗号文対応表における提供者Ａ由来の暗号文を、受信した暗号文交換表に示される暗号文に交換する（ステップＳ１５４）。またデータ登録部１２０は、暗号文交換表に基づいて、暗号化ＤＢ１１０における提供者Ａ由来の暗号文を、受信した暗号文交換表に示される暗号文に交換する（ステップＳ１５５）。

図１４は、提供者による鍵漏洩時の暗号文交換の一例を示す図である。データ提供サーバ２００は、項目ごとの暗号文交換表４１，４２，・・・をデータ管理サーバ１００に送信する。例えば疾病に関する暗号文交換表４１は、交換前の暗号文「ＨＡ」に対応する交換後の暗号文は「ＨＸ」であり、交換前の暗号文「ＨＢ」に対応する交換後の暗号文は「ＨＹ」であり、交換前の暗号文「ＨＣ」に対応する交換後の暗号文は「ＨＺ」である。

データ管理サーバ１００は、項目ごとの暗号文対応表１４１ａ，１４１ｂ，・・・それぞれについて、暗号文交換表４１，４２，・・・に基づいて提供者由来の暗号文を交換する。例えばデータ管理サーバ１００は、疾病に関する暗号文対応表１４１ａ内の暗号文を、疾病に関する暗号文交換表４１に従って交換する。

またデータ管理サーバ１００は、暗号化ＤＢ１１０内の暗号文を、暗号文交換表４１，４２，・・・に従って交換する。これより、提供者Ａから提供されたレコード（病院ＩＤ「１」）の性別、疾病、年齢などの項目に設定された暗号文が、新たに生成された鍵で暗号化された暗号文に交換される。

このように、データの提供者Ａが鍵を漏洩させた場合、鍵を漏洩させた提供者Ａ由来の暗号文を交換すれば済み、提供者Ｂ、利用者α、および利用者β由来の暗号文の交換は不要である。すなわち、鍵が漏洩したことによる影響範囲の拡大が抑止されている。

図１５は、データの利用者が鍵を漏洩させた場合の秘匿性回復処理の手順の一例を示すシーケンス図である。例えば端末装置４００が生成した鍵４４１（図８参照）が漏洩した場合、利用者αは端末装置４００に対して、鍵交換の指示を入力する。すると端末装置４００の暗号文候補リスト提供部４３０が新たな鍵を生成する（ステップＳ１６１）。暗号文候補リスト提供部４３０は生成した鍵を鍵記憶部４４０に格納する。

次に暗号文候補リスト提供部４３０は、すべての項目に関する平文候補リスト２４２，２４３（図６参照）を、新たに生成された鍵を用いて暗号化する（ステップＳ１６２）。そして暗号文候補リスト提供部４３０は、既存の鍵を用いて生成された暗号文と新たな鍵を用いて生成された暗号文との対応関係を示す暗号文交換表を生成し、その暗号文交換表をデータ管理サーバ１００に送信する（ステップＳ１６３）。

データ管理サーバ１００の対応表作成部１３０は、端末装置４００から取得した暗号文交換表に基づいて、暗号文対応表における利用者α由来の暗号文を、受信した暗号文交換表に示される暗号文に交換する（ステップＳ１６４）。

図１６は、提供者による鍵漏洩時の暗号文交換の一例を示す図である。端末装置４００は、項目ごとの暗号文交換表５１，５２，・・・をデータ管理サーバ１００に送信する。例えば疾病に関する暗号文交換表５１は、交換前の暗号文「ＨＤ」に対応する交換後の暗号文は「Ｈα」であり、交換前の暗号文「ＨＥ」に対応する交換後の暗号文は「Ｈβ」であり、交換前の暗号文「ＨＦ」に対応する交換後の暗号文は「Ｈγ」である。

データ管理サーバ１００は、項目ごとの暗号文対応表１４１ａ，１４１ｂ，・・・それぞれについて、暗号文交換表５１，５２，・・・に基づいて利用者由来の暗号文を交換する。例えばデータ管理サーバ１００は、疾病に関する暗号文対応表１４１ａ内の暗号文を、疾病に関する暗号文交換表５１に従って交換する。

このように、データの利用者αが鍵を漏洩させた場合、鍵を漏洩させた利用者α由来の暗号文を交換すれば済み、提供者Ａ、提供者Ｂ、および利用者β由来の暗号文の交換は不要である。すなわち、鍵が漏洩したことによる影響範囲の拡大が抑止されている。

〔第３の実施の形態〕
次に第３の実施の形態について説明する。第３の実施の形態は、データ管理サーバ１００で記憶しておく暗号文対応表のデータ量を削減するものである。以下、第３の実施の形態における第２の実施の形態との相違点を説明する。

第２の実施の形態では、図７に示したように、提供者と利用者の組み合わせごとに別々の暗号文対応表が作成される。この場合、提供者と利用者との数が増えるに従い、データ管理サーバ１００において暗号文対応表の格納に用いる記憶容量が巨大になる。

平文候補数をＮ（Ｎは１以上の整数）、提供者数をＸ（Ｘは１以上の整数）、利用者数をＹ（Ｙは１以上の整数）とする。この場合、すべての暗号文対応表に登録される要素は２ＮＸＹ個（１つの暗号文対応表に２Ｎ個の暗号文（要素）が含まれ、暗号文対応表がＸＹ個）となる。

例えば、医療保険が適用される内服薬が１０，０００種類以上存在する。データ管理サーバ１００を介した秘匿検索を利用する提供者が１００、利用者が１０００であれば、Ｎ＝１０，０００，Ｘ＝１００，Ｙ＝１，０００となる。この場合、データ管理サーバ１００内の暗号文対応表に登録される要素数は２０億個以上となる。

暗号文対応表を記憶するための記憶容量が巨大化すると、データ管理サーバ１００のストレージ装置などの資源が十分でなければ、秘匿検索のサービスを利用可能な提供者または利用者の数が制限される。また暗号文対応表のデータ量が膨大になると、検索処理の効率が低下する。そこで、第３の実施の形態では、データ管理サーバ１００は、第２の実施の形態と異なるデータ構造で暗号文対応表を記憶することにより、暗号文対応表のデータ量の削減を図る。

図１７は、暗号文対応表のデータ量を削減するための記憶方法の一例を示す図である。図１７の例には、データの提供者数が２（提供者Ａ、提供者Ｂ）であり、データの利用者数が３（利用者α、利用者β、利用者γ）の場合における暗号文対応表６１～６６の記憶例が示されている。

データ管理サーバ１００は、暗号文対応表６１～６６が入力されると、提供者由来の暗号文と利用者由来の暗号文とを分離し、提供者または利用者ごとの個別対応表７１～７５を生成する。個別対応表７１～７５には、インデックス番号が付与された暗号文が登録されている。個別対応表７１～７５において、同じインデックス番号が付与された複数の暗号文は、共通の平文から暗号化された暗号文である。

データ管理サーバ１００は、個別対応表７１～７５を対応表記憶部１４０に格納する。なお個別対応表７１～７５それぞれには、その個別対応表に登録されている暗号文を送信した暗号文送信者（提供者または利用者）の名称が付与される。平文候補数をＮ、提供者数をＸ、利用者数をＹとした場合、すべての個別対応表７１～７５に登録される要素は２Ｎ（Ｘ＋Ｙ）個となる。

データ管理サーバ１００は、検索時には、提供者の個別対応表と利用者の個別対応表との組に基づいて、暗号文対応表を復元する。例えばデータ管理サーバ１００は、利用者βからの検索要求に基づいて、提供者Ａから提供されたデータを検索する場合、提供者Ａの個別対応表７１と利用者βの個別対応表７４とを、インデックス番号を基準にして結合する（joinするとも呼ばれる）。これにより、オリジナルの暗号文対応表６２が復元される。

このように、暗号文対応表６１～６６を個別対応表７１～７５に変換して記憶することで記憶容量を削減することができる。
なお図１７の例では、すべての提供者および利用者の暗号文に関連性があるため、提供者および利用者それぞれの個別対応表を一群として、共通のインデックス番号を使用することができる。しかし個別対応表の集合が、暗号文間の関連性がない複数の部分集合に分けられる場合もある。この場合、個別対応表は複数の群に分類される。そこでデータ管理サーバ１００は、群を管理するためのデータテーブルを対応表記憶部１４０に記憶する。

図１８は、第３の実施の形態において対応表記憶部に格納される情報の一例を示す図である。対応表記憶部１４０には、個別対応表７１，７２，・・・の他に、群テーブル８１と組み合わせテーブル８２とが格納される。群テーブル８１は、暗号文送信者（提供者または利用者）とその暗号文提供者の個別対応表が属する群との対応関係が登録されたデータテーブルである。組み合わせテーブル８２は、個別対応表から暗号文対応表を生成可能な提供者と利用者との組み合わせが登録されたデータテーブルである。

データ管理サーバ１００は、暗号文候補リストを受信するごとに、群テーブル８１と組み合わせテーブル８２とを利用して、個別対応表を生成する。以下、個別対応表の生成処理について詳細に説明する。

図１９は、個別対応表生成処理の手順の一例を示すシーケンス図である。図１９におけるステップＳ２０１～Ｓ２０９，Ｓ２１１の処理は、それぞれ図１１に示した第２の実施の形態のステップＳ１１１～Ｓ１２０の処理と同様である。すなわち、第３の実施の形態では、ステップＳ２１０の処理が追加された点が第２の実施の形態と異なる。

ステップＳ２１０において、データ管理サーバ１００の対応表作成部１３０は、ステップＳ２０９で生成した暗号文対応表を個別対応表に変換する。個別対応表への変換処理の詳細を以下に示す。

図２０は、個別対応表への変換処理の手順の一例を示すフローチャートである。以下、図２０に示す処理をステップ番号に沿って説明する。なお、ステップＳ２０９において、提供者ｐと利用者ｕとの暗号文対応表が生成されたものとして、以下の処理を説明する。

［ステップＳ２２１］対応表作成部１３０は、提供者ｐと利用者ｕとの暗号文対応表をメモリ１０２から読み込む。
［ステップＳ２２２］対応表作成部１３０は、提供者ｐの個別対応表が存在するか否かを判断する。例えば対応表作成部１３０は、対応表記憶部１４０内に、提供者ｐの名称が付与された個別対応表を検索し、該当する個別対応表が検出できた場合、提供者ｐの個別対応表が存在すると判断する。対応表作成部１３０は、提供者ｐの個別対応表が存在する場合、処理をステップＳ２２６に進める。また対応表作成部１３０は、提供者ｐの個別対応表が存在しない場合、処理をステップＳ２２３に進める。

［ステップＳ２２３］対応表作成部１３０は、利用者ｕの個別対応表が存在するか否かを判断する。例えば対応表作成部１３０は、対応表記憶部１４０内に、利用者ｕの名称が付与された個別対応表を検索し、該当する個別対応表が検出できた場合、利用者ｕの個別対応表が存在すると判断する。対応表作成部１３０は、利用者ｕの個別対応表が存在する場合、処理をステップＳ２２５に進める。また対応表作成部１３０は、利用者ｕの個別対応表が存在しない場合、処理をステップＳ２２４に進める。

［ステップＳ２２４］対応表作成部１３０は、新規の群に、提供者ｐと利用者ｕの個別対応表を追加する。例えば対応表作成部１３０は、提供者ｐと利用者ｕそれぞれの個別対応表を生成する。生成された２つの個別対応表では、暗号文対応表において対応付けられた暗号文には同じインデックス番号が付与される。また対応表作成部１３０は、群テーブル８１を参照し、未使用の群番号を、新たな群の群番号として採番する。そして対応表作成部１３０は、新たに採番した群番号に対応付けて、提供者ｐと利用者ｕそれぞれの名称を群テーブル８１に登録する。対応表作成部１３０は、その後、処理をステップＳ２３０に進める。

［ステップＳ２２５］対応表作成部１３０は、提供者ｐの個別対応表を、利用者ｕの個別対応表と同じ群に追加する。例えば対応表作成部１３０は、提供者ｐの個別対応表を生成する。生成された個別対応表では、利用者ｕの個別対応表に登録されている暗号文と同じインデックス番号が、暗号文対応表においてその暗号文に対応付けられた提供者ｐ由来の暗号文に付与される。そして対応表作成部１３０は、利用者ｕの個別対応表が属する群の群番号に対応付けて、提供者ｐの名称を群テーブル８１に登録する。対応表作成部１３０は、その後、処理をステップＳ２３０に進める。

［ステップＳ２２６］対応表作成部１３０は、利用者ｕの個別対応表が存在するか否かを判断する。対応表作成部１３０は、利用者ｕの個別対応表が存在する場合、処理をステップＳ２２８に進める。また対応表作成部１３０は、利用者ｕの個別対応表が存在しない場合、処理をステップＳ２２７に進める。

［ステップＳ２２７］対応表作成部１３０は、利用者ｕの個別対応表を、提供者ｐの個別対応表と同じ群に追加する。例えば対応表作成部１３０は、利用者ｕの個別対応表を生成する。生成された個別対応表では、提供者ｐの個別対応表に登録されている暗号文と同じインデックス番号が、暗号文対応表においてその暗号文に対応付けられた利用者ｕ由来の暗号文に付与される。そして対応表作成部１３０は、提供者ｐの属する群の群番号に対応付けて、利用者ｕの名称を群テーブル８１に登録する。対応表作成部１３０は、その後、処理をステップＳ２３０に進める。

［ステップＳ２２８］対応表作成部１３０は、群テーブル８１を参照し、提供者ｐの個別対応表と利用者ｕの個別対応表との属する群が同じか否かを判断する。対応表作成部１３０は、属する群が同じであれば、処理をステップＳ２３０に進める。また対応表作成部１３０は、属する群が異なれば、処理をステップＳ２２９に進める。

［ステップＳ２２９］対応表作成部１３０は、提供者ｐと利用者ｕとの両者の個別対応表が属する群を統合する。例えば対応表作成部１３０は、一方の群に属する個別対応表のインデックス番号を、暗号文対応表に基づいて、他方の群に属する個別対応表のインデックス番号に併せて変換する。そして対応表作成部１３０は、群テーブル８１における提供者ｐと利用者ｕとの両者の個別対応表が属する群の群番号を、統一した群番号に更新する。対応表作成部１３０は、その後、処理をステップＳ２３０に進める。

［ステップＳ２３０］対応表作成部１３０は、提供者ｐと利用者ｕとの組を、組み合わせテーブル８２に追加する。
このようにして、暗号文対応表に対応する個別対応表が生成される。以下、図２１～図２４を参照し、個別対応表の生成例について具体的に説明する。

図２１は、個別対応表の生成例を示す第１の図である。図２１には、対応表記憶部１４０に個別対応表が記憶されていない初期状態において、提供者Ａと利用者αとの組に対応する暗号文対応表６１が読み込まれた場合の処理が示されている。この場合、図２０のステップＳ２２４とステップＳ２３０の処理が実行される。

対応表作成部１３０は、暗号文対応表を、提供者Ａ由来の暗号文のリストと利用者α由来の暗号文のリストとに分離する。そして対応表作成部１３０は、提供者Ａ由来の暗号文のリストに「０」から昇順のインデックス番号を付与し、提供者Ａの個別対応表７１に登録する。同様に、対応表作成部１３０は、利用者α由来の暗号文のリストに「０」から昇順のインデックス番号を付与し、利用者αの個別対応表７３に登録する。これにより、暗号文対応表６１において対応付けられている提供者Ａ由来の暗号文と利用者α由来の暗号文とに、同じインデックス番号が付与される。

また対応表作成部１３０は、群テーブル８１に、同じ群番号「群１」を対応付けて、提供者Ａと利用者αの名称を追加する。さらに対応表作成部１３０は、組み合わせテーブル８２に、提供者Ａと利用者αとの組を追加する。

図２２は、個別対応表の生成例を示す第２の図である。図２２には、暗号文対応表６１の次に提供者Ａと利用者βとの組に対応する暗号文対応表６２が読み込まれた場合の処理が示されている。暗号文対応表６２を読み込んだ時点では、提供者Ａの個別対応表７１は存在するが、利用者βの個別対応表７４はまだ存在しない。この場合、図２０のステップＳ２２７とステップＳ２３０の処理が実行される。

対応表作成部１３０は、提供者Ａ由来の暗号文をキーとして、読み込んだ暗号文対応表６２に提供者Ａの個別対応表７１を結合する。なお暗号文をキーとして表を結合するとは、結合後の表に、同じ暗号文に対応付けられた要素同士を対応付けて登録する処理である。そして対応表作成部１３０は、結合された表から提供者Ａ由来の暗号文の列を除去することで得られた表を、利用者βの個別対応表７４とする。

また対応表作成部１３０は、群テーブル８１に、提供者Ａと同じ群番号「群１」を対応付けて、利用者βの名称を追加する。さらに対応表作成部１３０は、組み合わせテーブル８２に、提供者Ａと利用者βとの組を追加する。

なお利用者の個別対応表は存在するが提供者の個別対応表はまだ存在しない場合に実行される図２０のステップＳ２２５の処理は、提供者と利用者が逆になるものの、処理内容はステップＳ２２７と同様である。

図２３は、個別対応表の生成例を示す第３の図である。図２３には、暗号文対応表６２の次に提供者Ｂと利用者γとの組に対応する暗号文対応表６６が読み込まれた場合の処理が示されている。暗号文対応表６６を読み込んだ時点では、提供者Ｂの個別対応表７２も利用者γの個別対応表７５も存在しない。この場合、図２０のステップＳ２２４とステップＳ２３０の処理が実行される。

対応表作成部１３０は、暗号文対応表を、提供者Ｂ由来の暗号文のリストと利用者γ由来の暗号文のリストとに分離する。そして対応表作成部１３０は、提供者Ｂ由来の暗号文のリストに「０」から昇順のインデックス番号を付与し、提供者Ｂの個別対応表７２に登録する。同様に、対応表作成部１３０は、利用者γ由来の暗号文のリストに「０」から昇順のインデックス番号を付与し、利用者γの個別対応表７５に登録する。

また対応表作成部１３０は、群テーブル８１に、未使用の群番号「群２」を対応付けて、提供者Ｂと利用者γの名称を追加する。さらに対応表作成部１３０は、組み合わせテーブル８２に、提供者Ｂと利用者γとの組を追加する。

図２４は、個別対応表の生成例を示す第４の図である。図２４には、暗号文対応表６２の次に提供者Ｂと利用者αとの組に対応する暗号文対応表６４が読み込まれた場合の処理が示されている。暗号文対応表６４を読み込んだ時点では、提供者Ｂの個別対応表７２と利用者αの個別対応表７３とが存在する。しかし、提供者Ｂの個別対応表７２と利用者αの個別対応表７３との属する群が異なる。この場合、図２０のステップＳ２２９とステップＳ２３０の処理が実行される。

対応表作成部１３０は、読み込んだ暗号文対応表６４に、提供者Ｂ由来の暗号文をキーとして提供者Ｂの個別対応表７２を結合すると共に、利用者α由来の暗号文をキーとして利用者αの個別対応表７３を結合する。この結合処理により、提供者Ｂの個別対応表７２が属する群「群２」を利用者αの個別対応表７３が属する群「群１」に変換するための変換表８３が生成される。

対応表作成部１３０は、変換表８３に従い、「群２」に属するすべての個別対応表７２，７５のインデックス番号を変換する。図２４の例では、変換表８３に設定されているインデックス番号の左側の列が変換前の番号であり、右側の列が変換後の番号である。すなわち個別対応表７２，７５のインデックス番号「０」は「１」に変換され、インデックス番号「１」は「２」に変換され、インデックス番号「２」は「０」に変換される。

また対応表作成部１３０は、群テーブル８１における提供者Ｂと利用者γの群番号を「群１」に変更する。さらに対応表作成部１３０は、組み合わせテーブル８２に、提供者Ｂと利用者αとの組を追加する。

このようにして、暗号文対応表が生成されるごとに個別対応表の追加または更新が行われる。そして個別対応表を参照して、検索要求に応じた検索が行われる。
図２５は、個別対応表を用いた検索処理の手順の一例を示すシーケンス図である。図２５に示す処理のうちステップＳ２４１～Ｓ２４３，Ｓ２４６～Ｓ２５２の各処理は、それぞれ図１２に示した第２の実施の形態におけるステップＳ１３１～Ｓ１３３，Ｓ１３６～Ｓ１４２の処理と同じである。以下、第２の実施の形態と異なるステップＳ２４４～Ｓ２４５の処理について説明する。

データ管理サーバ１００の検索部１５０は、端末装置４００から受信した検索要求に応じて、検索に使用する暗号文対応表を生成する（ステップＳ２４４）。暗号文対応表の生成は、端末装置４００の有する利用者αの個別対応表７３と、検索対象のデータの提供元として指定された提供者の個別対応表に基づいて行われる。そして検索部１５０は、ステップＳ２４４における取得対象の暗号文対応表の生成が成功したか否かに応じて処理を分岐させる（ステップＳ２４５）。検索部１５０は、暗号文対応表が生成できた場合、ステップＳ２４６～Ｓ２５０に示す検索処理を実行する。また検索部１５０は、暗号文対応表が生成できなかった場合、ステップＳ２５１に示すように、検索失敗の通知を行う。

図２６は、暗号文対応表生成処理の手順の一例を示すフローチャートである。以下、図２６に示す処理をステップ番号に沿って説明する。
［ステップＳ２６１］検索部１５０は、検索要求に応じて、検索対象のデータの提供元の提供者ｐと、そのデータを利用する利用者ｕとを特定する。例えば検索対象のデータの提供元の提供者ｐは、検索要求に含まれる情報によって示されている。また検索部１５０は、検索要求の送信元の端末装置（例えば端末装置４００）を利用している利用者を、データを利用する利用者ｕとして特定する。

［ステップＳ２６２］検索部１５０は、特定した提供者ｐと利用者ｕの組み合わせが、組み合わせテーブル８２に存在するか否かを判断する。検索部１５０は、該当する組み合わせが存在すれば、処理をステップＳ２６３に進める。また検索部１５０は、該当する組み合わせが存在しなければ、処理をステップＳ２６８に進める。

［ステップＳ２６３］検索部１５０は、特定した提供者ｐの個別対応表が存在するか否かを判断する。検索部１５０は、該当する個別対応表が存在する場合、処理をステップＳ２６４に進める。また検索部１５０は、該当する個別対応表が存在しない場合、処理をステップＳ２６８に進める。

［ステップＳ２６４］検索部１５０は、特定した利用者ｕの個別対応表が存在するか否かを判断する。検索部１５０は、該当する個別対応表が存在する場合、処理をステップＳ２６５に進める。また検索部１５０は、該当する個別対応表が存在しない場合、処理をステップＳ２６８に進める。

［ステップＳ２６５］検索部１５０は、特定した提供者ｐの個別対応表と特定した利用者ｕの個別対応表との属する群が同じか否かを判断する。検索部１５０は、属する群が同じ場合、処理をステップＳ２６６に進める。また検索部１５０は、属する群が異なる場合、処理をステップＳ２６８に進める。

［ステップＳ２６６］検索部１５０は、特定した提供者ｐの個別対応表と特定した利用者ｕの個別対応表とを、インデックス番号をキーにして結合（Join）する。
［ステップＳ２６７］検索部１５０は、ステップＳ２６６における結合で得られた表からインデックス番号の列を除去することで、暗号文対応表を生成する。その後、検索部１５０は、暗号文対応表生成処理を終了する。

［ステップＳ２６８］検索部１５０は、暗号文対応表の生成処理の失敗を示す情報を出力し、暗号文対応表生成処理を終了する。
このようにして、データ管理サーバ１００では、検索要求を受信するごとに、その検索要求に応じた暗号文対応表が生成される。

図２７は、暗号文対応表の生成処理の一例を示す図である。図２７には、提供者Ａの個別対応表７１と利用者βの個別対応表７４とに基づく、暗号文対応表６２の生成例が示されている。検索部１５０は、インデックス番号をキーとして個別対応表７１と個別対応表７４とを結合した結合表６２ａを生成する。例えば検索部１５０は、個別対応表７１の右側に利用者β由来の暗号文を登録するための列を追加する。そして検索部１５０は、個別対応表７１のインデックス番号の右に、個別対応表７４において同じインデックス番号が付与されている暗号文を追加する。結合表６２ａからインデックス番号の列を除去することで得られる表が、暗号文対応表６２である。

次に、鍵が漏洩した場合の処理について説明する。
図２８は、データの提供者が鍵を漏洩させた場合の秘匿性回復処理の手順の一例を示すシーケンス図である。図２８に示す処理のうち、ステップＳ２７１～Ｓ２７３，Ｓ２７５の処理は、それぞれ図１３に示す第２の実施の形態におけるステップＳ１５１～Ｓ１５３，Ｓ１５５の処理と同様である。第３の実施の形態における第２の実施の形態と異なる処理は、以下の通りである。

第３の実施の形態では、データ提供サーバ２００から暗号文交換表を受信したデータ管理サーバ１００の対応表作成部１３０が、暗号文交換表に基づいて、提供者Ａ由来の個別対応表の暗号文を、新たな鍵で暗号化した暗号文に交換する（ステップＳ２７４）。

図２９は、提供者による鍵漏洩時の暗号文交換の一例を示す図である。例えばデータ管理サーバ１００の対応表記憶部１４０は、提供者Ａの項目別の個別対応表７１ａ，７１ｂ，・・・を記憶しているものとする。この場合、提供者Ａの鍵が漏洩すると、データ提供サーバ２００からデータ管理サーバ１００へ、項目ごとの暗号文交換表４１，４２，・・・が送信される。データ管理サーバ１００の対応表作成部１３０は、個別対応表７１ａ，７１ｂ，・・・内の暗号文を、暗号文交換表４１，４２，・・・において対応付けられている変換後の暗号文に交換する。また対応表作成部１３０は、暗号化ＤＢ１１０内の提供者Ａ由来の暗号文を、暗号文交換表４１，４２，・・・において対応付けられている変換後の暗号文に交換する。

図３０は、データの提供者が鍵を漏洩させた場合の秘匿性回復処理の手順の一例を示すシーケンス図である。図３０に示す処理のうち、ステップＳ２８１～Ｓ２８３の処理は、それぞれ図１５に示す第２の実施の形態におけるステップＳ１６１～Ｓ１６３の処理と同様である。第３の実施の形態における第２の実施の形態と異なる処理は、以下の通りである。

第３の実施の形態では、端末装置４００から暗号文交換表を受信したデータ管理サーバ１００の対応表作成部１３０が、暗号文交換表に基づいて、利用者α由来の個別対応表の暗号文を、新たな鍵で暗号化した暗号文に交換する（ステップＳ２８４）。

図３１は、利用者による鍵漏洩時の暗号文交換の一例を示す図である。例えばデータ管理サーバ１００の対応表記憶部１４０は、利用者αの項目別の個別対応表７３ａ，７３ｂ，・・・を記憶しているものとする。この場合、利用者αの鍵が漏洩すると、端末装置４００からデータ管理サーバ１００へ、項目ごとの暗号文交換表５１，５２，・・・が送信される。データ管理サーバ１００の対応表作成部１３０は、個別対応表７３ａ，７３ｂ，・・・内の暗号文を、暗号文交換表５１，５２，・・・において対応付けられている変換後の暗号文に交換する。

このように第３の実施の形態では、暗号文対応表に変えて個別対応表を用いることができる。その結果、対応表記憶部１４０のデータ容量を削減することが可能となる。
〔その他の実施の形態〕
第３の実施の形態に示した個別対応表は、インデックス番号でソートした上でインデックス番号を除去してデータ管理サーバ１００に記憶しておいてもよい。この場合、データ管理サーバ１００は、暗号文対応表を復元するときにインデックス番号を付与し直す。

図３２は、インデックス番号を除去した個別対応表の一例を示す図である。例えばデータ管理サーバ１００の対応表作成部１３０は、個別対応表７６ａを対応表記憶部１４０に格納する際、個別対応表７６ａ内の暗号文をインデックスの番号で昇順にソートする。そして対応表作成部１３０は、元の個別対応表７６ａからインデックス番号を除去した個別対応表７６ｂを対応表記憶部１４０に格納する。個別対応表７６ｂを用いて暗号文対応表を復元する際には、検索部１５０は、個別対応表７６ｂに登録された暗号文に、上位から順番に０から昇順のインデックス番号を付与する。これにより、データ管理サーバ１００が記憶する個別対応表の要素数を半分に削減できる。

第２および第３の実施の形態では、電子カルテデータが登録されたＤＢの秘匿検索を行う場合の例であるが、登録可能な平文候補が有限なＤＢであれば、他のＤＢであっても同様の秘匿検索を適用可能である。

以上、実施の形態を例示したが、実施の形態で示した各部の構成は同様の機能を有する他のものに置換することができる。また、他の任意の構成物や工程が付加されてもよい。さらに、前述した実施の形態のうちの任意の２以上の構成（特徴）を組み合わせたものであってもよい。

１ データ提供装置
１ａ 第１のＤＢ
１ｂ 第１の鍵
１ｃ 平文
２ データ利用装置
２ｂ 第２の鍵
３ データ管理装置
３ａ 第２のＤＢ
３ｂ 暗号文対応表
３ｃ 第１の暗号文
４ 複数の平文候補
５ 複数の第１の暗号文候補
６ 複数の第２の暗号文候補
７ 平文
８ 第２の暗号文
９ 検索結果

Claims (11)

1. データ管理装置が、
   第１のデータベースを有するデータ提供装置から、前記第１のデータベースに格納された１以上の平文を第１の鍵で暗号化した１以上の第１の暗号文を受信すると、前記１以上の第１の暗号文を第２のデータベースに格納し、
   前記データ提供装置から、前記第１のデータベースに格納可能な平文候補の配列に含まれる複数の平文候補の配列上の順番を変えずに、前記複数の平文候補それぞれを前記第１の鍵で暗号化することにより得られた複数の第１の暗号文候補を取得し、
   データ利用装置から、前記複数の平文候補の配列上の順番を変えずに、前記複数の平文候補それぞれを第２の鍵で暗号化することにより得られた複数の第２の暗号文候補を取得し、
   前記データ利用装置から、前記複数の平文候補のうちの少なくとも１つを暗号化した第２の暗号文を含む検索要求を受信すると、前記複数の第１の暗号文候補内での配列上の順番が、前記第２の暗号文と同じ値の第２の暗号文候補の前記複数の第２の暗号文候補内での配列上の順番と同じである同順の第１の暗号文候補を特定し、
   前記同順の第１の暗号文候補と同じ値の第１の暗号文を前記第２のデータベースから検索する、
   検索方法。
2. 前記データ管理装置が、さらに、
   前記検索要求に応じた検索の検索結果に特定の第１の暗号文が含まれる場合、前記複数の第２の暗号文候補内での配列上の順番が、前記特定の第１の暗号文と同じ値の第１の暗号文候補の前記複数の第１の暗号文候補内での配列上の順番と同じである同順の第２の暗号文候補を特定し、
   前記検索結果に含まれる前記特定の第１の暗号文を前記同順の第２の暗号文候補に変換する、
   請求項１記載の検索方法。
3. 前記データ提供装置または前記データ利用装置が、
   前記第１のデータベースに格納可能な平文候補をランダムな順番で並べ替えることで、前記複数の平文候補を含む配列を生成する、
   請求項１または２に記載の検索方法。
4. 前記データ管理装置が、さらに、
   前記複数の第１の暗号文候補と前記複数の第２の暗号文候補それぞれでの配列上の順番が同じ第１の暗号文候補と第２の暗号文候補とを対応付けた暗号文対応表を生成し、
   前記同順の第１の暗号文候補の特定では、前記暗号文対応表において前記検索要求に含まれる前記第２の暗号文と同じ値の前記第２の暗号文候補に対応付けられた第１の暗号文候補を、前記同順の第１の暗号文候補として特定する、
   請求項１ないし３のいずれかに記載の検索方法。
5. 前記第１の鍵が漏洩した場合、
   前記データ管理装置が、前記データ提供装置から、前記複数の平文候補それぞれの順番を変えずに第３の鍵で暗号化することにより得られた複数の第３の暗号文候補を取得し、
   前記複数の第１の暗号文候補と前記複数の第３の暗号文候補それぞれでの配列上の順番が同じ第１の暗号文候補と第３の暗号文候補とを対応付けた第１の暗号文交換表を生成し、
   前記暗号文対応表に示される前記複数の第１の暗号文候補それぞれを、前記第１の暗号文交換表において対応付けられている第３の暗号文候補と交換し、
   前記第２のデータベース内の前記１以上の第１の暗号文それぞれを、同じ値の第１の暗号文候補が前記第１の暗号文交換表において対応付けられている第３の暗号文候補と交換する、
   請求項４記載の検索方法。
6. 前記第２の鍵が漏洩した場合、
   前記データ管理装置が、前記データ利用装置から、前記複数の平文候補それぞれの順番を変えずに第４の鍵で暗号化することにより得られた複数の第４の暗号文候補を取得し、
   前記複数の第２の暗号文候補と前記複数の第４の暗号文候補それぞれでの配列上の順番が同じ第２の暗号文候補と第４の暗号文候補とを対応付けた第２の暗号文交換表を生成し、
   前記暗号文対応表に示される前記複数の第１の暗号文候補それぞれを、前記第２の暗号文交換表において対応付けられている第４の暗号文候補と交換する、
   請求項４または５に記載の検索方法。
7. 前記データ管理装置が、
   前記データ提供装置と前記データ利用装置との一方または双方が複数存在する場合、前記データ提供装置と前記データ利用装置との組み合わせごとの複数の前記暗号文対応表を生成する、
   請求項４ないし６のいずれかに記載の検索方法。
8. 前記データ管理装置が、
   前記データ提供装置ごとに、前記データ提供装置から取得した前記複数の第１の暗号文候補それぞれに、複数生成された前記暗号文対応表において対応付けられた第２の暗号文候補と同じインデックス番号を付与した第１の個別対応表を生成し、
   前記データ利用装置ごとに、前記データ利用装置から取得した前記複数の第２の暗号文候補それぞれに、複数生成された前記暗号文対応表において対応付けられた第１の暗号文候補と同じインデックス番号を付与した第２の個別対応表を生成し、
   前記データ提供装置ごとの前記第１の個別対応表と、前記データ利用装置ごとの前記第２の個別対応表とを記憶部に格納し、
   前記検索要求を受信すると、前記第１の個別対応表と前記第２の個別対応表とにおいて付与されている前記インデックス番号が同じ第１の暗号文候補と第２の暗号文候補とを対応付けることで、検索に使用する前記暗号文対応表を生成する、
   請求項７記載の検索方法。
9. 前記データ管理装置が、
   前記第１の個別対応表および前記第２の個別対応表を、前記インデックス番号でソートし、
   前記第１の個別対応表および前記第２の個別対応表から前記インデックス番号を除去して、前記記憶部に格納し、
   前記暗号文対応表を生成する際には、前記第１の個別対応表内の前記第１の暗号文候補に、前記第１の個別対応表内での配列に従って前記インデックス番号を付与し、前記第２の個別対応表内の前記第２の暗号文候補に、前記第２の個別対応表内での配列に従って前記インデックス番号を付与する、
   請求項８記載の検索方法。
10. コンピュータに、
    第１のデータベースを有するデータ提供装置から、前記第１のデータベースに格納された１以上の平文を第１の鍵で暗号化した１以上の第１の暗号文を受信すると、前記１以上の第１の暗号文を第２のデータベースに格納し、
    前記データ提供装置から、前記第１のデータベースに格納可能な平文候補の配列に含まれる複数の平文候補の配列上の順番を変えずに、前記複数の平文候補それぞれを前記第１の鍵で暗号化することにより得られた複数の第１の暗号文候補を取得し、
    データ利用装置から、前記複数の平文候補の配列上の順番を変えずに、前記複数の平文候補それぞれを第２の鍵で暗号化することにより得られた複数の第２の暗号文候補を取得し、
    前記データ利用装置から、前記複数の平文候補のうちの少なくとも１つを暗号化した第２の暗号文を含む検索要求を受信すると、前記複数の第１の暗号文候補内での配列上の順番が、前記第２の暗号文と同じ値の第２の暗号文候補の前記複数の第２の暗号文候補内での配列上の順番と同じである同順の第１の暗号文候補を特定し、
    前記同順の第１の暗号文候補と同じ値の第１の暗号文を前記第２のデータベースから検索する、
    処理を実行させる検索プログラム。
11. 第１のデータベースを有し、前記第１のデータベースに格納された１以上の平文を第１の鍵で暗号化した１以上の第１の暗号文を送信すると共に、前記第１のデータベースに格納可能な平文候補の配列に含まれる複数の平文候補の配列上の順番を変えずに、前記複数の平文候補それぞれを前記第１の鍵で暗号化することにより、複数の第１の暗号文候補を生成するデータ提供装置と、
    前記複数の平文候補の配列上の順番を変えずに、前記複数の平文候補それぞれを第２の鍵で暗号化することにより複数の第２の暗号文候補を生成すると共に、複数の平文候補のうちの少なくとも１つを暗号化した第２の暗号文を含む検索要求を送信するデータ利用装置と、
    前記データ提供装置から前記１以上の第１の暗号文が送信されると、前記１以上の第１の暗号文を第２のデータベースに格納し、前記データ提供装置から前記複数の第１の暗号文候補を取得し、前記データ利用装置から前記複数の第２の暗号文候補を取得し、前記データ利用装置から前記検索要求が送信されると、前記複数の第１の暗号文候補内での配列上の順番が、前記第２の暗号文と同じ値の第２の暗号文候補の前記複数の第２の暗号文候補内での配列上の順番と同じである同順の第１の暗号文候補を特定し、特定した前記第１の暗号文候補と同じ値の第１の暗号文を前記第２のデータベースから検索するデータ管理装置と、
    を有する秘密情報検索システム。
    

Images