JPWO2018124104A1 - データ解析方法およびデータ解析システム - Google Patents

データ解析方法およびデータ解析システム Download PDF

Info

Publication number
JPWO2018124104A1
JPWO2018124104A1 JP2018559530A JP2018559530A JPWO2018124104A1 JP WO2018124104 A1 JPWO2018124104 A1 JP WO2018124104A1 JP 2018559530 A JP2018559530 A JP 2018559530A JP 2018559530 A JP2018559530 A JP 2018559530A JP WO2018124104 A1 JPWO2018124104 A1 JP WO2018124104A1
Authority
JP
Japan
Prior art keywords
terminal
engine
data
attribute
terminals
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Granted
Application number
JP2018559530A
Other languages
English (en)
Other versions
JP6802572B2 (ja
Inventor
充子 宮地
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Osaka University NUC
Original Assignee
Osaka University NUC
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Osaka University NUC filed Critical Osaka University NUC
Publication of JPWO2018124104A1 publication Critical patent/JPWO2018124104A1/ja
Application granted granted Critical
Publication of JP6802572B2 publication Critical patent/JP6802572B2/ja
Active legal-status Critical Current
Anticipated expiration legal-status Critical

Links

Images

Classifications

    • G—PHYSICS
    • G16—INFORMATION AND COMMUNICATION TECHNOLOGY [ICT] SPECIALLY ADAPTED FOR SPECIFIC APPLICATION FIELDS
    • G16H—HEALTHCARE INFORMATICS, i.e. INFORMATION AND COMMUNICATION TECHNOLOGY [ICT] SPECIALLY ADAPTED FOR THE HANDLING OR PROCESSING OF MEDICAL OR HEALTHCARE DATA
    • G16H50/00—ICT specially adapted for medical diagnosis, medical simulation or medical data mining; ICT specially adapted for detecting, monitoring or modelling epidemics or pandemics
    • G16H50/70—ICT specially adapted for medical diagnosis, medical simulation or medical data mining; ICT specially adapted for detecting, monitoring or modelling epidemics or pandemics for mining of medical data, e.g. analysing previous cases of other patients
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/60—Protecting data
    • G06F21/62—Protecting access to data via a platform, e.g. using keys or access control rules
    • G06F21/6218—Protecting access to data via a platform, e.g. using keys or access control rules to a system of files or objects, e.g. local or distributed file system or database
    • G06F21/6227—Protecting access to data via a platform, e.g. using keys or access control rules to a system of files or objects, e.g. local or distributed file system or database where protection concerns the structure of data, e.g. records, types, queries
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F12/00—Accessing, addressing or allocating within memory systems or architectures
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F16/00—Information retrieval; Database structures therefor; File system structures therefor
    • G06F16/10—File systems; File servers
    • G06F16/11—File system administration, e.g. details of archiving or snapshots
    • G06F16/116—Details of conversion of file system types or formats
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F16/00—Information retrieval; Database structures therefor; File system structures therefor
    • G06F16/20—Information retrieval; Database structures therefor; File system structures therefor of structured data, e.g. relational data
    • G06F16/24—Querying
    • G06F16/245—Query processing
    • G06F16/2458—Special types of queries, e.g. statistical queries, fuzzy queries or distributed queries
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F16/00—Information retrieval; Database structures therefor; File system structures therefor
    • G06F16/20—Information retrieval; Database structures therefor; File system structures therefor of structured data, e.g. relational data
    • G06F16/24—Querying
    • G06F16/245—Query processing
    • G06F16/2458—Special types of queries, e.g. statistical queries, fuzzy queries or distributed queries
    • G06F16/2471—Distributed queries
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F16/00—Information retrieval; Database structures therefor; File system structures therefor
    • G06F16/90—Details of database functions independent of the retrieved data types
    • G06F16/95—Retrieval from the web
    • G06F16/953—Querying, e.g. by the use of web search engines
    • G06F16/9535—Search customisation based on user profiles and personalisation
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/60—Protecting data
    • G06F21/62—Protecting access to data via a platform, e.g. using keys or access control rules
    • G06F21/6218—Protecting access to data via a platform, e.g. using keys or access control rules to a system of files or objects, e.g. local or distributed file system or database
    • G06F21/6245—Protecting personal data, e.g. for financial or medical purposes
    • G06F21/6254—Protecting personal data, e.g. for financial or medical purposes by anonymising data, e.g. decorrelating personal data from the owner's identification
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06Q—INFORMATION AND COMMUNICATION TECHNOLOGY [ICT] SPECIALLY ADAPTED FOR ADMINISTRATIVE, COMMERCIAL, FINANCIAL, MANAGERIAL OR SUPERVISORY PURPOSES; SYSTEMS OR METHODS SPECIALLY ADAPTED FOR ADMINISTRATIVE, COMMERCIAL, FINANCIAL, MANAGERIAL OR SUPERVISORY PURPOSES, NOT OTHERWISE PROVIDED FOR
    • G06Q50/00—Information and communication technology [ICT] specially adapted for implementation of business processes of specific business sectors, e.g. utilities or tourism
    • G06Q50/10—Services
    • G06Q50/22—Social work or social welfare, e.g. community support activities or counselling services
    • G—PHYSICS
    • G16—INFORMATION AND COMMUNICATION TECHNOLOGY [ICT] SPECIALLY ADAPTED FOR SPECIFIC APPLICATION FIELDS
    • G16H—HEALTHCARE INFORMATICS, i.e. INFORMATION AND COMMUNICATION TECHNOLOGY [ICT] SPECIALLY ADAPTED FOR THE HANDLING OR PROCESSING OF MEDICAL OR HEALTHCARE DATA
    • G16H10/00—ICT specially adapted for the handling or processing of patient-related medical or healthcare data
    • G16H10/60—ICT specially adapted for the handling or processing of patient-related medical or healthcare data for patient-specific data, e.g. for electronic patient records
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/008—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols involving homomorphic encryption
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L2209/00—Additional information or applications relating to cryptographic mechanisms or cryptographic arrangements for secret or secure communication H04L9/00
    • H04L2209/46—Secure multiparty computation, e.g. millionaire problem
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L2209/00—Additional information or applications relating to cryptographic mechanisms or cryptographic arrangements for secret or secure communication H04L9/00
    • H04L2209/80—Wireless
    • H04L2209/805—Lightweight hardware, e.g. radio-frequency identification [RFID] or sensor
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L2209/00—Additional information or applications relating to cryptographic mechanisms or cryptographic arrangements for secret or secure communication H04L9/00
    • H04L2209/88—Medical equipments

Landscapes

  • Engineering & Computer Science (AREA)
  • Theoretical Computer Science (AREA)
  • Physics & Mathematics (AREA)
  • Health & Medical Sciences (AREA)
  • Databases & Information Systems (AREA)
  • General Physics & Mathematics (AREA)
  • General Engineering & Computer Science (AREA)
  • General Health & Medical Sciences (AREA)
  • Business, Economics & Management (AREA)
  • Data Mining & Analysis (AREA)
  • Primary Health Care (AREA)
  • Tourism & Hospitality (AREA)
  • Software Systems (AREA)
  • Medical Informatics (AREA)
  • Computer Security & Cryptography (AREA)
  • Public Health (AREA)
  • Bioethics (AREA)
  • Human Resources & Organizations (AREA)
  • Epidemiology (AREA)
  • Marketing (AREA)
  • Child & Adolescent Psychology (AREA)
  • Strategic Management (AREA)
  • General Business, Economics & Management (AREA)
  • Computer Hardware Design (AREA)
  • Economics (AREA)
  • Probability & Statistics with Applications (AREA)
  • Mathematical Physics (AREA)
  • Fuzzy Systems (AREA)
  • Computational Linguistics (AREA)
  • Signal Processing (AREA)
  • Biomedical Technology (AREA)
  • Pathology (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Information Retrieval, Db Structures And Fs Structures Therefor (AREA)
  • Storage Device Security (AREA)
  • Medical Treatment And Welfare Office Work (AREA)

Abstract

データの解析に要する時間を短縮し、実用性を向上したデータ解析方法では、クライアント端末（１０１）が機関端末（１１１〜１１４）に対して照合属性についての解析を要求し、機関端末（１１１〜１１４）のそれぞれが、データベースのうち、その照合属性に属する要素を暗号化し、変換データをアウトソース端末（１０２）に送信し、アウトソース端末（１０２）が、機関端末（１１１〜１１４）からの複数の変換データを統合し、統合変換データを機関端末（１１１〜１１４）に送信し、機関端末（１１１〜１１４）のそれぞれが、統合変換データと、その機関端末のデータベースのうちの、照合属性に属する複数の要素のそれぞれとを照合することによって、機関端末（１１１〜１１４）において共通に保持されている、照合属性に属する要素を共通要素として特定する。

Description

本発明は、データを解析する方法およびシステムに関する。
近年、ＩｏＴ（Ｉｎｔｅｒｎｅｔ ｏｆ Ｔｈｉｎｇｓ）の普及に伴い、人から物までの各発信源から発信されたデータがビッグデータとして収集され、データのみならず、データを収集する機関も爆発的に増加している。
これに対して、複数の機関のデータの共通集合、和集合またはサイズを求めるデータ解析方法が提案されている（例えば、非特許文献１または２参照）。
一般に、データは病院などの各機関で独立に収集されて保管されている。上述の提案されているデータ解析方法では、各機関で保管されているデータを、１つの属性に属する複数の要素の集合として取り扱い、各機関が同じ要素を持つかどうかを判定している。
L. Kissner and D. Song. Privacy-preserving set operations. In CRYPTO 2005, volume 3621 of LNCS, pages 241-257. Springer, 2005 D. Many, M. Burkhart, and X. Dimitropoulos. Fast private set operations with sepia. Technical Report, 345, 2012.
しかしながら、上記非特許文献１のデータ解析方法では、機関の数が多いほど莫大な時間がかかるという問題がある。また、上記非特許文献２のデータ解析方法では、各機関のデータを秘匿するための信頼できる機関、すなわち他機関のデータを入手できる機関（いわゆるデータ預託機関）を要するため、実用性が難しいという問題がある。
そこで、本発明は、かかる問題に鑑みてなされたものであって、データの解析に要する時間を短縮し、信頼できる機関が不要で、実用性を向上したデータ解析方法を提供する。
上記目的を達成するために、本発明に係るデータ解析方法は、１つ以上の属性のそれぞれに対して複数の要素を示すデータベースを保持する複数の機関端末に対して、クライアント端末が照合属性についての解析を要求し、前記クライアント端末からの要求に応じて、前記複数の機関端末のそれぞれが、当該機関端末の前記データベースのうち、前記照合属性に属する要素に対して暗号化を含む変換処理を行い、前記変換処理によって得られた変換データをアウトソース端末に送信し、前記アウトソース端末が、前記複数の機関端末から送信された複数の前記変換データを統合することによって統合変換データを生成し、前記統合変換データを前記複数の機関端末のそれぞれに送信し、前記複数の機関端末のそれぞれが、前記アウトソース端末から送信された前記統合変換データと、当該機関端末の前記データベースのうちの、前記照合属性に属する複数の要素のそれぞれとを照合することによって、前記複数の機関端末のうちの少なくとも２以上の機関端末において共通に保持されている、前記照合属性に属する要素を共通要素として特定する。なお、複数の機関端末のそれぞれは、例えば病院または学校などの機関において得られた検診結果などのデータベースを保持している。
これにより、複数の機関端末のそれぞれから送信された変換データは、アウトソース端末によって統合され、その統合された複数の変換データからなる統合変換データが、その複数の機関端末のそれぞれに送信される。つまり、照合属性についての解析に要する計算の全てを複数の機関端末のそれぞれに負わせることなく、各機関端末の計算の一部をアウトソース端末に集約することができる。その結果、解析の対象とされる機関端末の数、すなわち機関の数が増えても、データの解析に要する全体的な計算量を抑えることができ、データの解析、すなわち照合属性のマッチングに要する時間を短縮することができる。つまり、従来では、データ解析の負荷が機関数に依存していたが、その依存を抑えることができる。また、データが１つの機関で収集されることを抑えることができ、機関数に依存する計算をアウトソース端末に依頼することができる。
また、複数の機関端末のそれぞれからアウトソース端末に送信される変換データは暗号化されているため、アウトソース端末では、その変換データを取得しても、その変換データを要素に復号することができない。しかし、その変換データを復号することができなくても、共通要素を特定するために必要とされる統合変換データがアウトソース端末によって生成される。したがって、本発明に係るデータ解析方法では、アウトソース端末は、データを秘匿するための信頼できる機関の端末装置である必要がなく、実用性を向上することができる。
また、アウトソース端末から複数の機関端末のそれぞれに送信される統合変換データは、複数の変換データが統合されたデータである。したがって、複数の機関端末のそれぞれは、アウトソース端末から統合変換データを取得してさらに復号しても、他の機関端末が共通要素以外にどのような要素を保持していたかを知ることができない。そのため、複数の機関端末のそれぞれが保持するデータベースの内容を、他の機関端末にもアウトソース端末にも秘匿しておくことができる。その結果、例えばプライバシーを保護することができる。
また、前記クライアント端末は、前記複数の機関端末のうちの１つの機関端末であって、前記複数の機関端末のうちの当該クライアント端末を除く残りの複数の機関端末に対して、前記照合属性についての解析を要求してもよい。また、前記アウトソース端末は、前記複数の機関端末のうちの１つの機関端末であって、前記複数の機関端末のうちの当該アウトソース端末を除く残りの複数の機関端末に対して、前記統合変換データを送信してもよい。
また、前記複数の機関端末のそれぞれは、前記照合属性に属する要素に対して前記変換処理を行うときには、前記要素に対してブルームフィルタを適用することによって、前記要素を少なくとも１つの整数値からなるＢＦ値に変換し、前記ＢＦ値を暗号化してもよい。
これにより、要素がデータの大きさとは独立なＢＦ値に変換されるため、統合変換データと、データベースのうちの照合属性に属する複数の要素のそれぞれとの照合にかかる負荷を軽減することができ、処理速度を向上することができる。
また、前記クライアント端末は、さらに、前記複数の機関端末のそれぞれに対して、必要属性についての解析を要求し、前記複数の機関端末のそれぞれは、さらに、当該機関端末が保持する前記データベースによって示される前記必要属性に属する複数の要素のうち、前記共通要素に関連付けられている要素を、出力要素として選択し、前記共通要素および出力要素を解析結果として前記クライアント端末に送信してもよい。
従来のデータ解析方法では、各機関で保管されているデータは、１つの属性に属する複数の要素の集合として取り扱われている。しかしながら、一般に、データは複数の属性を持つため、従来のデータ解析方法では、その複数の属性を持つデータを取り扱うことができず、現実の利用には適さない。
そこで、本発明では、上述のように、照合属性だけでなく必要属性についての解析も行われる。これにより、一般的な複数の属性を持つデータ（すなわちデータベース）を取り扱うことができ、実用性をさらに向上することができる。
また、前記クライアント端末は、さらに、前記複数の機関端末のそれぞれから送信された前記解析結果を取得し、複数の前記解析結果のそれぞれに含まれる出力要素を統合してもよい。
これにより、複数の機関端末のそれぞれから送信された共通要素および出力要素がクライアント端末に取得され、クライアント端末によって、複数の機関端末のそれぞれの共通要素および出力要素が統合される。これにより、任意のデータベースの統合を、プライバシーを保護しつつ、機関数に依存せず、データベースの属性の数を規制することなくセキュアに実現することができる。
また、前記クライアント端末は、前記必要属性についての解析の要求では、前記複数の機関端末のそれぞれに対して、前記解析結果を得るための条件を付加してもよい。例えば、前記クライアント端末は、前記必要属性についての解析の要求では、前記複数の機関端末のうちの２つ以上の機関端末に前記必要属性が含まれていることを、前記条件として付加する。
なお、これらの包括的または具体的な態様は、システム、方法、集積回路、コンピュータプログラムまたはコンピュータ読み取り可能なＣＤ−ＲＯＭなどの記録媒体で実現されてもよく、システム、方法、集積回路、コンピュータプログラムおよび記録媒体の任意な組み合わせで実現されてもよい。
本発明のデータ解析方法は、データの解析に要する時間を短縮し、実用性を向上することができる。
図１は、実施の形態におけるデータ解析システムの構成図である。 図２は、実施の形態のデータ解析システムにおけるクライアント端末、アウトソース端末および機関端末のそれぞれの処理を示す図である。 図３は、実施の形態におけるデータ処理システムの処理動作を示すフローチャートである。 図４は、実施の形態におけるデータ解析システムによる解析の一例を示す図である。 図５は、実施の形態におけるデータ解析システムによる解析の他の例を示す図である。 図６は、実施の形態におけるデータ解析システムによる解析のさらに他の例を示す図である。 図７は、実施の形態におけるデータ解析システムによる解析のさらに他の例を示す図である。 図８は、実施の形態におけるデータ解析システムによる解析のさらに他の例を示す図である。 図９は、実施の形態におけるデータ解析システムによる解析のさらに他の例を示す図である。 図１０は、ＰＤＤＩを説明するための図である。 図１１は、システムモデルを説明するための図である。 図１２は、システム動作と特徴を示す図である。 図１３は、ＰＤＤＩシステムの導入概要を示す図である。 図１４は、第１の適用事例を示す図である。 図１５は、第２の適用事例を示す図である。 図１６は、第３の適用事例を示す図である。 図１７は、第４の適用事例を示す図である。 図１８は、第５の適用事例を示す図である。 図１９は、一部の機関のみで行われる突合属性による統合を示す図である。 図２０は、機関内で突合属性が重複するデータの統合を示す図である。 図２１は、突合属性の逐次的拡張を示す図である。 図２２は、システム動作と特徴を示す図である。
以下、実施の形態について、図面を参照しながら具体的に説明する。
なお、以下で説明する実施の形態は、いずれも包括的または具体的な例を示すものである。以下の実施の形態で示される数値、形状、材料、構成要素、構成要素の配置位置及び接続形態、ステップ、ステップの順序などは、一例であり、本発明を限定する主旨ではない。また、以下の実施の形態における構成要素のうち、最上位概念を示す独立請求項に記載されていない構成要素については、任意の構成要素として説明される。また、各図は、模式図であり、必ずしも厳密に図示されたものではない。また、各図において、同じ構成部材については同じ符号を付している。
（実施の形態１）
図１は、本実施の形態におけるデータ解析システムの構成図である。
本実施の形態におけるデータ解析システム１００は、それぞれ例えばインターネットなどのネットワークによって接続されたクライアント端末１０１と、アウトソース端末１０２と、機関端末１１１〜１１４とを含む。
クライアント端末１０１は、データの解析を依頼する依頼者によって操作される端末装置である。
機関端末１１１〜１１４のそれぞれは、例えば病院、企業または学校などのデータ保有機関（以下、単に機関という）に設置された端末装置であって、その機関において生成または取得されたデータベースを保持している。つまり、機関端末１１１は、データベースＳ１を保持し、機関端末１１２は、データベースＳ２を保持し、機関端末１１３は、データベースＳ３を保持し、機関端末１１４は、データベースＳ４を保持している。
データベースＳ１〜Ｓ４は、複数の属性と、その複数の属性のそれぞれに属する複数の要素とを示す。例えば、複数の属性のそれぞれは、名前、身長、体重、仕事有無、趣味、世帯構造、有業率、運動履歴、飲酒、地域、医療保険、喫煙、就寝時間、血圧、空腹時血糖、尿糖、または中性脂肪である。要素は、数値、文字、文字列、または、有無を示すフラグなどであってもよい。
アウトソース端末１０２は、機関端末１１１〜１１４のそれぞれからデータを取得して処理する端末装置である。
このようなデータ解析システム１００では、まず、クライアント端末１０１が解析属性要求を機関端末１１１〜１１４に対して送信する。解析属性要求は、照合属性と必要属性とを示す。照合属性は例えば「名前」である。
このような解析属性要求を受け付けた各機関の機関端末１１１〜１１４のそれぞれは、自らが保持するデータベースに示される複数の属性から、解析属性要求によって示される照合属性（例えば「名前」）を選択する。そして、機関端末１１１〜１１４のそれぞれは、その照合属性に属する要素を用いて後述する変換データを生成し、その変換データをアウトソース端末１０２に送信する。具体的には、機関端末１１１は、属性「名前」に属する要素「Ａｌｉｃｅ」を用いて変換データを生成する。
アウトソース端末１０２は、各機関の機関端末１１１〜１１４のそれぞれから変換データを取得し、それらの変換データから統合変換データを生成する。そして、アウトソース端末１０２は、その生成された統合変換データを機関端末１１１〜１１４のそれぞれに送信する。
機関端末１１１〜１１４のそれぞれは、アウトソース端末１０２から統合変換データを取得すると、その統合変換データと、自らが保持するデータベースにおける照合属性に属する各要素とを照合する。機関端末１１１〜１１４のそれぞれは、その照合によって、データベースＳ１〜Ｓ４のそれぞれの照合属性に共通に属している要素を共通要素として見つけ出す。例えば、機関端末１１１〜１１４のそれぞれは、データベースＳ１〜Ｓ４のそれぞれの照合属性「名前」に共通に属している要素「Ａｌｉｃｅ」を共通要素として見つけ出す。
そして、機関端末１１１〜１１４のそれぞれは、自らが保持するデータベースに示される複数の属性から、上述の解析属性要求によって示される必要属性を選択する。具体的には、機関端末１１１は、属性「体重」を必要属性として選択する。機関端末１１２は、属性「飲酒」を必要属性として選択する。機関端末１１３は、属性「喫煙」を必要属性として選択する。機関端末１１４は、属性「血圧」を必要属性として選択する。
次に、機関端末１１１〜１１４のそれぞれは、自らが保持するデータベースの必要属性に属する複数の要素のうち、上述の照合属性に属する共通要素に関連付けられた要素を出力要素として選択する。そして、機関端末１１１〜１１４のそれぞれは、その共通要素と出力要素とを解析結果としてクライアント端末１０１に送信する。
図２は、データ解析システム１００におけるクライアント端末１０１、アウトソース端末１０２および機関端末１１１のそれぞれの処理を示す図である。なお、図２では、機関端末１１１の処理を示すが、機関端末１１２〜１１４のそれぞれも機関端末１１１と同様の処理を行う。
本実施の形態におけるデータ解析システム１００では、第０フェーズ〜第５フェーズまでの６つのフェーズにおいて処理が行われる。
第０フェーズは、初期設定フェーズであって、このフェーズでは、機関端末１１１が、クライアント端末１０１およびアウトソース端末１０２との間で暗号通信を行うための初期設定を行う。
第１フェーズは、解析属性入力フェーズである。このフェーズでは、クライアント端末１０１が、例えば依頼者による操作に基づいて、照合属性および必要属性を取得する。そして、クライアント端末１０１は、その照合属性および必要属性を示す解析属性要求を機関端末１１１〜１１４のそれぞれに送信する。
第２フェーズは、変換データ生成フェーズである。このフェーズでは、機関端末１１１が、上述の変換データを生成してアウトソース端末１０２に送信する。
第３フェーズは、変換データ統合フェーズである。このフェーズでは、アウトソース端末１０２が、機関端末１１１〜１１４のそれぞれから取得した変換データを統合することによって、統合変換データを生成する。また、このフェーズでは、アウトソース端末１０２が、生成された統合変換データを機関端末１１１〜１１４のそれぞれに送信する。
第４フェーズは、解析結果出力フェーズである。このフェーズでは、機関端末１１１が、自らが保持しているデータベースＳ１を、統合変換データを用いて照合することによって、上述の共通要素を解析結果の一部として出力する。
第５フェーズは、必要属性出力フェーズである。このフェーズでは、機関端末１１１が、自らが保持しているデータベースＳ１において必要属性に属する複数の要素のうち、共通要素に関連付けられている要素を、出力要素として選択し、共通要素と出力要素とを解析結果としてクライアント端末１０１に送信する。
図３は、データ解析システム１００の処理動作を示すフローチャートである。なお、この図３のフローチャートにおいて、ｉは、ｎ（ｎは２以上の整数）個の機関（または機関端末）のうちの何れか１つを識別するための識別子である。図１または図２の例では、ｉによって、４個の機関１〜４（または機関端末１１１〜１１４）のうちの何れか１つが識別される。
まず、初期設定フェーズ（ステップＳ１０１）では、機関端末ｉは、ｘｉ∈Ｚｑに対して、ｙｉ＝ｇｘｉ∈Ｚｑを算出する。ｙｉは、機関端末ｉ以外の他の各機関端末に、機関端末ｉの公開鍵として公開される。ｘｉは、機関端末ｉの秘密鍵である。そして、機関端末ｉは、ｙ＝ｙ１×・・・×ｙｎを計算する。ｙは、ｎ個の機関端末の公開鍵である。なお、秘密鍵ｘ＝Σｘｉは、何れの機関端末にも知られていない。
次に、解析属性入力フェーズ（ステップＳ１０２）では、クライアント端末１０１は、各機関端末に解析属性要求を送信することにより、各機関端末に照合属性および必要属性を通知する。また、この解析属性入力フェーズにおいて、各機関端末は、クライアント端末１０１から照合属性および必要属性の通知を受けると、自らが保持するデータベースから、その通知された照合属性に属する複数の要素のみを取り出す。なお、機関端末ｉのデータベースにおいて、照合属性に属する複数の要素からなる集合は、Ｓｉ＝｛ｖ１，・・・，ｖｗｉ｝として表される。ｖ１，・・・，ｖｗｉのそれぞれは、要素、すなわち集合の元であって、データ数（要素数）であるｗｉは、ｗｉ＝｜Ｓｉ｜として示される。
次に、変換データ生成フェーズ（ステップＳ１０３）において、機関端末ｉは、変換データを生成する。すなわち、機関端末ｉは、照合属性の集合Ｓｉ＝｛ｖ１，・・・，ｖｗｉ｝の全ての元に対してブルームフィルタを適用することによって、その元をＢＦ値に変換する。ＢＦ値は、ｍ（ｍは１以上の整数）個の２値（０または１）からなる配列のデータである。言い換えれば、機関端末ｉは、照合属性の集合Ｓｉの元を、ＢＦ（Ｓｉ）＝［ＢＦｉ（０），・・・，ＢＦｉ（ｍ−１）］に変換する。ＢＦｉ（０），・・・，ＢＦｉ（ｍ−１）のそれぞれは、配列の要素であって、０または１の２値である。なお、本実施の形態では、ＢＦ値を、ｍ個の２値からなる配列として扱うが、２値の代わりに多値を用いてもよい。つまり、ＢＦ値は、ｍ個の整数値からなる配列であってもよい。
そして、機関端末ｉは、上記配列の各要素から１を減算することによって、ＢＦ（Ｓｉ）−１＝［ＢＦｉ［０］−１，・・・，ＢＦｉ［ｍ−１］−１］の配列を得る。なお、この配列は、ｍ個の０または−１の要素からなる。さらに、機関端末ｉは、ｎ個の機関端末の公開鍵ｙを用いて、そのＢＦ（Ｓｉ）−１＝［ＢＦｉ［０］−１，・・・，ＢＦｉ［ｍ−１］−１］の配列を、その配列に含まれる要素ごとに暗号化する。なお、このときの暗号化には、準同型暗号、例えばべき乗ＥｌＧａｍａｌ暗号が用いられる。べき乗ＥｌＧａｍａｌ暗号では、ｍの代わりにｍのべき乗、すなわちｇｍを暗号化する。この暗号化によって、機関端末ｉは、［Ｅ（ＢＦｉ［０］−１），・・・，Ｅ（ＢＦｉ［ｍ−１］−１）］、つまりＥ（ＢＦ（Ｓｉ）−１）を生成する。そして、機関端末ｉは、そのＥ（ＢＦ（Ｓｉ）−１）を変換データとしてアウトソース端末１０２に送信する。
次に、変換データ統合フェーズ（ステップＳ１０４）において、アウトソース端末１０２は、ｎ個の機関端末のそれぞれから変換データであるＥ（ＢＦ（Ｓｉ）−１）を取得すると、それらのＥ（ＢＦ（Ｓｉ）−１）を統合する。すなわち、アウトソース端末１０２は、ｎ個のＥ（ＢＦ（Ｓｉ）−１）に対する乗算を行う。その結果、アウトソース端末１０２は、Ｅ（ＢＦ（Ｓ１）−１）×・・・×Ｅ（ＢＦ（Ｓｎ）−１）によって、統合されたＢＦ値の暗号化データであるＥ（ＩＢＵ（∪Ｓｉ）−ｎ）＝［Ｅ（ΣＢＦｉ［０］−ｎ），・・・，Ｅ（ΣＢＦｉ［ｍ−１］−ｎ）］を算出する。さらに、アウトソース端末１０２は、その暗号化データを、ｒ＝［ｒ０，・・・，ｒｍ−１］∈Ｚｑ ｍでランダマイズする。その結果、アウトソース端末１０２は、［Ｅ（ΣＢＦｉ［０］−ｎ）ｒ０，・・・，Ｅ（ΣＢＦｉ［ｍ−１］−ｎ）ｒｍ−１］をＥ（ｒ（ＩＢＵ（∪Ｓｉ）−ｎ））として算出する。そして、アウトソース端末１０２は、Ｅ（ｒ（ＩＢＵ（∪Ｓｉ）−ｎ））を統合変換データとしてｎ個の機関端末に送信する。
次に、解析結果出力フェーズ（ステップＳ１０５）において、機関端末ｉは、アウトソース端末１０２から統合変換データであるＥ（ｒ（ＩＢＵ（∪Ｓｉ）−ｎ））を取得すると、そのＥ（ｒ（ＩＢＵ（∪Ｓｉ）−ｎ））を復号する。つまり、全ての機関端末ｉのそれぞれは、自らの秘密鍵である機関端末ｉの秘密鍵ｘｉを用いて、全ての機関端末ｉとの共同でＥ（ｒ（ＩＢＵ（∪Ｓｉ）−ｎ））を復号することによって、ｒ（ＩＢＵ（∪Ｓｉ）−ｎ）＝［（ΣＢＦｉ［０］−ｎ）ｒ０，・・・，（ΣＢＦｉ［ｍ−１］−ｎ）ｒｍ−１］を取得する。そして、機関端末ｉは、照合属性の集合Ｓｉに含まれるｗｉ個の各元に対してブルームフィルタを適用した結果と、取得したｒ（ＩＢＵ（∪Ｓｉ）−ｎ）＝［（ΣＢＦｉ［０］−ｎ）ｒ０，・・・，（ΣＢＦｉ［ｍ−１］−ｎ）ｒｍ−１］の配列とを照合することにより、照合属性の集合Ｓｉの中にその元がｎ個の機関端末の共通要素（∩Ｓｉ）であるか否かを決定する。
なお、照合属性の集合Ｓｉの各元のＢＦ（Ｓｉ）は、上述のように０または１のｍ個の要素からなる配列である。また、ｒ（ＩＢＵ（∪Ｓｉ）−ｎ）＝［（ΣＢＦｉ［０］−ｎ）ｒ０，・・・，（ΣＢＦｉ［ｍ−１］−ｎ）ｒｍ−１］は、０の要素を含むｍ個の要素からなる配列である。ｎ個の機関端末から、ｎ個の機関端末で共通の元に対応する変換データがアウトソース端末１０２に送信された場合、その共通の元のＢＦ（Ｓｉ）に含まれる１の要素は、ｒ（ＩＢＵ（∪Ｓｉ）−ｎ）では０の要素として含まれている。つまり、共通の元の（ＢＦ（Ｓｉ）−１）に含まれる０の要素は、変換データの統合およびランダマイズなどが行われても、０の要素として存在する。例えば、ｎ個の機関端末で共通の元のＢＦ（Ｓｉ）が（１，０，１，１,・・・０，１）の配列である場合、ｒ（ＩＢＵ（∪Ｓｉ）−ｎ）は、（０，ａ，０，０,・・・ｂ，０）の配列となる（ａおよびｂは任意の値）。したがって、機関端末ｉは、自らが保持する集合Ｓｉに含まれる複数の元のＢＦ（Ｓｉ）のうち、ｒ（ＩＢＵ（∪Ｓｉ）−ｎ）の０の要素と同じ位置に１の要素が配置されているＢＦ（Ｓｉ）に対応するＳｉの元を、共通要素として見つけ出す。
なお、上述の変換データ生成フェーズ、変換データ統合フェーズ、および解析結果出力フェーズのそれぞれの処理は、集合Ｓｉの各元に対して実行される。つまり、これらのフェーズでは、ｎ個の機関端末のそれぞれが有する集合Ｓｉ＝｛ｖ１，・・・，ｖｗｉ｝の各元に対する処理を順次実行した結果を送信する。
次に、必要属性出力フェーズ（ステップＳ１０６）において、機関端末ｉは、自ら保持しているデータベースにおいて必要属性に属する複数の要素のうち、共通要素（∩Ｓｉ）に関連付けられている要素を出力要素として、そのデータベースから取り出す。そして、機関端末ｉは、その共通要素および出力要素を暗号化し、その暗号化された共通要素および出力要素を解析結果としてクライアント端末１０１に送信する。
このように、本実施の形態では、アウトソース端末１０２が統合変換データを生成するため、データの解析に要する時間を短縮することができる。また、ｎ個の機関端末のそれぞれからアウトソース端末１０２に送信される変換データは暗号化されているため、アウトソース端末１０２では、その変換データを取得しても、その変換データを要素に復号することができない。しかし、その変換データを復号することができなくても、共通要素を特定するために必要とされる統合変換データがアウトソース端末１０２によって生成される。したがって、本実施の形態におけるデータ解析方法では、アウトソース端末１０２は、データを秘匿するための信頼できる機関の端末装置である必要がなく、実用性を向上することができる。
また、本実施の形態では、アウトソース端末１０２からｎ個の機関端末のそれぞれに送信される統合変換データは、複数の変換データが統合されたデータである。したがって、ｎ個の機関端末のそれぞれは、アウトソース端末１０２から統合変換データを取得してさらに復号しても、他の機関端末が共通要素以外にどのような要素を保持していたかを知ることができない。そのため、ｎ個の機関端末のそれぞれが保持するデータベースの内容を、他の機関端末にもアウトソース端末１０２にも秘匿しておくことができる。その結果、例えばプライバシーを保護することができる。
図４は、データ解析システム１００による解析の一例を示す図である。
例えば、クライアント端末１０１は、依頼者による操作に基づいて、（体重，血圧）を（照合属性，必要属性）として受け付ける。そして、クライアント端末１０１は、その（体重，血圧）を示す解析属性要求を機関端末１１１〜１１３に送信する。機関端末１１１〜１１３は、上述の初期設定フェーズ、変換データ生成フェーズ、解析結果出力フェーズ、および必要属性出力フェーズのそれぞれの処理を行う。その結果、機関端末１１１は、自らが保持する検診データであるデータベースＳ１に含まれる（体重，血圧）＝（９０，１６０）を解析結果としてクライアント端末１０１に暗号化して送信する。機関端末１１２は、自らが保持する検診データであるデータベースＳ２に含まれる（体重，血圧）＝（９０，１６０）を解析結果としてクライアント端末１０１に暗号化して送信する。機関端末１１３は、自らが保持する検診データであるデータベースＳ３に含まれる（体重，血圧）＝（９０，１６０）、（９０，１２０）および（９０，１１０）を解析結果としてクライアント端末１０１に暗号化して送信する。
クライアント端末１０１は、機関端末１１１〜１１３から送信された解析結果を取得する。つまり、クライアント端末１０１は、機関端末１１１〜１１３のデータベースＳ１〜Ｓ３から、これらのデータベースＳ１〜Ｓ３のそれぞれで体重に属する共通の属性値（共通要素）である「９０」に関連付けられた、血圧の属性値（出力要素）を取得する。そして、クライアント端末１０１は、体重「９０」と、その体重「９０」に関連付けられている血圧の属性値「１６０」、「１６０」、「１６０」、「１２０」および「１１０」を出力または表示する。
このように、本実施の形態におけるデータ解析システム１００では、クライアント端末１０１を操作する依頼者は、各機関（機関端末）の検診データが秘匿された状態で、照合属性に紐づく収集したい属性値を求めることができる。
図５は、データ解析システム１００による解析の他の例を示す図である。
図４に示す例と同様、クライアント端末１０１は、依頼者による操作に基づいて、（体重，血圧）を（照合属性，必要属性）として受け付ける。この照合属性は、解析の条件とされる属性であり、必要属性は、解析の対象とされる属性である。
そして、クライアント端末１０１は、図４に示す例と同様、その（体重，血圧）を示す解析属性要求を機関端末１１１〜１１３に送信する。機関端末１１１は、自らが保持するデータベースＳ１に含まれる（体重，血圧）＝（９０，１６０）を解析結果としてクライアント端末１０１に暗号化して送信する。機関端末１１２は、自らが保持するデータベースＳ２に含まれる（体重，血圧）＝（９０，１６０）を解析結果としてクライアント端末１０１に暗号化して送信する。機関端末１１３は、自らが保持するデータベースＳ３に含まれる（体重，血圧）＝（９０，１６０）、（９０，１２０）および（９０，１１０）を解析結果としてクライアント端末１０１に暗号化して送信する。
クライアント端末１０１は、機関端末１１１〜１１３から送信された解析結果を取得する。つまり、クライアント端末１０１は、機関端末１１１〜１１３のデータベースＳ１〜Ｓ３から、これらのデータベースＳ１〜Ｓ３のそれぞれで体重に属する共通の属性値（共通要素）である「９０」に関連付けられた、血圧の属性値（出力要素）を取得する。そして、クライアント端末１０１は、体重「９０」に関連付けられている血圧の属性値の集計結果を出力または表示する。例えば、クライアント端末１０１は、機関端末１１１〜１１３のそれぞれの機関において、体重「９０」の人が５人いることと、体重「９０」であって且つ血圧「１６０」の人が３人いることを表示する。
このように、本実施の形態におけるデータ解析システム１００では、クライアント端末１０１を操作する依頼者は、各機関（機関端末）の検診データが秘匿された状態で、照合属性に関連する統計値を求めることができる。
図６は、データ解析システム１００による解析のさらに他の例を示す図である。
例えば、機関端末１１１は、糖尿病の診療を行う機関である病院Ａにおいて取得された情報をデータベースＳ１として保持する。データベースＳ１における、ＩＤ、尿糖、血糖およびＨｂＡ１ｃなどはそれぞれ糖尿病患者の属性である。このようなデータベースＳ１は、それらの属性に属する複数の要素を示す。機関端末１１２は、心筋梗塞の診療を行う機関である病院Ｂにおいて取得された情報をデータベースＳ２として保持する。データベースＳ２における、ＩＤ、心電図、胸部ＣＴおよび胸部ＭＲＩなどはそれぞれ心筋梗塞患者の属性である。このようなデータベースＳ２は、それらの属性に属する複数の要素を示す。
この場合、クライアント端末１０１は、例えば依頼者による操作に基づいて、病院Ａに対する（ＩＤ，（尿糖，血糖））を（照合属性，必要属性）として受け付け、病院Ｂに対する（ＩＤ，心臓カテーテル）を（照合属性，必要属性）として受け付ける。そして、クライアント端末１０１は、（ＩＤ，（尿糖，血糖））を示す解析属性要求を病院Ａの機関端末１１１に送信し、（ＩＤ，心臓カテーテル）を示す解析属性要求を病院Ｂの機関端末１１２に送信する。
機関端末１１１および１１２は、上述の初期設定フェーズ、変換データ生成フェーズ、解析結果出力フェーズ、および必要属性出力フェーズのそれぞれの処理を行う。その結果、機関端末１１１は、自らが保持するデータベースＳ１に含まれる（ＩＤ，尿糖，血糖）＝（Ｊｏｈｎ，＋，１１０）および（Ｄａｖｅ，＋，１６０）を解析結果としてクライアント端末１０１に暗号化して送信する。機関端末１１２は、自らが保持するデータベースＳ２に含まれる（ＩＤ，心臓カテーテル）＝（Ｊｏｈｎ，ＩＳＲ）および（Ｄａｖｅ，ＩＳＲ）を解析結果としてクライアント端末１０１に暗号化して送信する。
クライアント端末１０１は、機関端末１１１および１１２から送信された解析結果を取得する。つまり、クライアント端末１０１は、データベースＳ１およびＳ２から、これらのデータベースＳ１およびＳ２のそれぞれでＩＤに属する共通の要素である「Ｊｏｈｎ」に関連付けられている、尿糖、血糖および心臓カテーテルの要素を出力要素として取得する。さらに、クライアント端末１０１は、データベースＳ１およびＳ２から、これらのデータベースＳ１およびＳ２のそれぞれでＩＤに属する共通の要素である「Ｄａｖｅ」に関連付けられている、尿糖、血糖および心臓カテーテルの要素を出力要素として取得する。そして、クライアント端末１０１は、ＩＤ「Ｊｏｈｎ」に関連付けられている尿糖、血糖および心臓カテーテルの出力要素を統合し、ＩＤ「Ｄａｖｅ」に関連付けられている尿糖、血糖および心臓カテーテルの出力要素を統合する。ここで、クライアント端末１０１は、その統合において、ＩＤ「Ｊｏｈｎ」およびＩＤ「Ｄａｖｅ」を削除する。これにより、データの秘匿性をさらに高めることができる。
また、上述の例では、機関端末１１１は、（ＩＤ，尿糖，血糖）＝（Ｊｏｈｎ，＋，１１０）および（Ｄａｖｅ，＋，１６０）を暗号化して送信し、機関端末１１２は、（ＩＤ，心臓カテーテル）＝（Ｊｏｈｎ，ＩＳＲ）および（Ｄａｖｅ，ＩＳＲ）を暗号化して送信した。しかし、機関端末１１１および１１２のそれぞれは、ＩＤに属する要素（例えば「Ｊｏｈｎ」または「Ｄａｖｅ」）を送信せず、そのＩＤに属する要素を照合子に変換し、その照合子を暗号化して送信してもよい。
図７は、データ解析システム１００による解析のさらに他の例を示す図である。
例えば、機関端末１１１は、機関である病院Ａにおける検査によって記録された情報をデータベースＳ１として保持する。機関端末１１２は、機関である病院Ｂにおける検査によって記録された情報をデータベースＳ２として保持する。機関端末１１３は、機関である病院Ｃにおける検査によって記録された情報をデータベースＳ３として保持する。データベースＳ１〜Ｓ３はそれぞれ、検査項目の属性として、身長、体重および血圧などを示し、かつ、それらの属性に属する複数の要素を示す。
この場合、クライアント端末１０１は、例えば依頼者による操作に基づいて、病院Ａ〜Ｃに対する（体重，（身長，血圧，血液，視力，ＬＤＨ））を（照合属性，必要属性）として受け付ける。そして、クライアント端末１０１は、（体重，（身長，血圧，血液，視力，ＬＤＨ））を示す解析属性要求を病院Ａ〜Ｃの機関端末１１１〜１１３に送信する。
機関端末１１１、１１２および１１３は、上述の初期設定フェーズ、変換データ生成フェーズ、解析結果出力フェーズ、および必要属性出力フェーズのそれぞれの処理を行う。その結果、機関端末１１１は、自らが保持するデータベースＳ１に含まれる（体重，（身長，血圧，血液，視力，ＬＤＨ））＝（９０，（１５９，１５５，Ａ，０．７，１５０））を解析結果としてクライアント端末１０１に暗号化して送信する。機関端末１１２は、自らが保持するデータベースＳ２に含まれる（体重，（身長，血圧，血液，視力，ＬＤＨ））＝（９０，（１５５，１６０，Ｏ，０．７，２２７））を解析結果としてクライアント端末１０１に暗号化して送信する。機関端末１１３は、自らが保持するデータベースＳ３に含まれる（体重，（身長，血圧，血液，視力，ＬＤＨ））＝（９０，（１６０，１６３，ＡＢ，１．０，２６４））を解析結果としてクライアント端末１０１に暗号化して送信する。
クライアント端末１０１は、機関端末１１１、１１２および１１３から送信された解析結果を取得する。つまり、クライアント端末１０１は、データベースＳ１、Ｓ２およびＳ３のそれぞれから、これらのデータベースＳ１、Ｓ２およびＳ３のそれぞれで体重に属する共通の要素である「９０」に関連付けられている、身長、血圧、血液、視力、およびＬＤＨの要素を出力要素として取得する。これにより、クライアント端末１０１は、病院Ａ〜Ｃのそれぞれで検査を受けた体重「９０」の人の身長、血圧、血液、視力、およびＬＤＨのそれぞれの数値など取得することができる。その結果、複数の機関（上述の例では病院）のデータからの収集を行うことで、より多いデータを収集できる。すなわち、複数の機関のデータの照合結果を活用することができるため、収集されるデータを増やすことができ、良い解析結果を得ることができる。例えば肥満の患者の血圧は高いという解析結果を受けることができる。
このように、本実施の形態におけるデータ解析システム１００では、クライアント端末１０１を操作する依頼者は、病院Ａ〜Ｃの検診データが互いに秘匿された状態で、体重「９０」の患者の検診記録を統合することができる。つまり、各病院の検診記録の統合分析が可能になり、体重「９０」の患者の検診記録を各病院でも共有することができる。さらに、体重「９０」以外の患者の検診記録を秘匿にしておくことができる。
図８は、データ解析システム１００による解析のさらに他の例を示す図である。
例えば、機関端末１１１は、機関である学校Ａで発生した事故の情報をデータベースＳ１として保持する。機関端末１１２は、機関である学校Ｂで発生した事故の情報をデータベースＳ２として保持する。機関端末１１３は、機関である学校Ｃで発生した事故の情報をデータベースＳ３として保持する。データベースＳ１〜Ｓ３はそれぞれ、事故情報の属性として、名前、症状、場所および入院（入院の有無）などを示し、かつ、それらの属性に属する複数の要素を示す。
この場合、クライアント端末１０１は、例えば依頼者による操作に基づいて、学校Ａ〜Ｃに対する（入院，場所）を（照合属性，必要属性）として受け付ける。そして、クライアント端末１０１は、その（入院，場所）を示す解析属性要求を学校Ａ〜Ｃの機関端末１１１〜１１３に送信する。
機関端末１１１、１１２および１１３は、上述の初期設定フェーズ、変換データ生成フェーズ、解析結果出力フェーズ、および必要属性出力フェーズのそれぞれの処理を行う。その結果、機関端末１１１は、自らが保持するデータベースＳ１に含まれる（入院，場所）＝（１，ブランコ）を解析結果としてクライアント端末１０１に暗号化して送信する。機関端末１１２は、自らが保持するデータベースＳ２に含まれる（入院，場所）＝（１，ブランコ）を解析結果としてクライアント端末１０１に暗号化して送信する。機関端末１１３は、自らが保持するデータベースＳ３に含まれる（入院，場所）＝（１，ブランコ）、（１，鉄棒）および（１，スベリ台）を解析結果としてクライアント端末１０１に暗号化して送信する。
クライアント端末１０１は、機関端末１１１、１１２および１１３から送信された解析結果を取得する。つまり、クライアント端末１０１は、データベースＳ１、Ｓ２およびＳ３のそれぞれから、これらのデータベースＳ１、Ｓ２およびＳ３のそれぞれで入院に属する共通の要素である「１」に関連付けられている、場所の要素を出力要素として取得する。その結果、複数の機関（上述の例では学校）のデータからの収集を行うことで、より多いデータを収集できる。すなわち、複数の機関のデータの照合結果を活用することができるため、収集されるデータを増やすことができ、良い解析結果を得ることができる。つまり、上述の例の場合、クライアント端末１０１は、学校Ａ〜Ｃのそれぞれで、入院事故が発生した場所がどこであったかを把握することができる。例えば、ブランコでは入院事故が多いことを把握することができる。
このように、本実施の形態におけるデータ解析システム１００では、学校Ａ〜Ｃのそれぞれの機関と個人とのプライバシーを確保しながら、学校Ａ〜Ｃのデータを収集することで、事故の原因究明の強化を図ることができる。
図９は、データ解析システム１００による解析のさらに他の例を示す図である。
例えば、機関端末１１１は、機関である小学校における検診によって記録された情報をデータベースＳ１として保持する。機関端末１１２は、機関である大学における検診によって記録された情報をデータベースＳ２として保持する。機関端末１１３は、機関である企業における検診によって記録された情報をデータベースＳ３として保持する。データベースＳ１〜Ｓ３はそれぞれ共に、検診項目の属性として、名前、性別、身長および体重などを示す。また、データベースＳ１は、さらに、検査項目の属性としてＢＭＩを示し、データベースＳ２は、さらに、検査項目の属性としてＢＰ（血圧）を示し、データベースＳ３は、さらに、検査項目の属性としてＢＰ、ＦＢＳ（空腹時血糖）およびＰＢＧ（食後血糖）を示す。また、データベースＳ１〜Ｓ１は、それらの属性に属する複数の要素を示す。
この場合、クライアント端末１０１は、例えば依頼者による操作に基づいて、小学校に対する（（名前，性別），（身長，体重））を（照合属性，必要属性）として受け付ける。そして、クライアント端末１０１は、その（（名前，性別），（身長，体重））を示す解析属性要求を小学校の機関端末１１１に送信する。さらに、クライアント端末１０１は、例えば依頼者による操作に基づいて、大学に対する（（名前，性別），（身長，体重，ＢＰ））を（照合属性，必要属性）として受け付ける。そして、クライアント端末１０１は、その（（名前，性別），（身長，体重，ＢＰ））を示す解析属性要求を大学の機関端末１１２に送信する。さらに、クライアント端末１０１は、例えば依頼者による操作に基づいて、企業に対する（（名前，性別），（身長，体重，ＢＰ，ＦＢＳ，ＰＢＧ））を（照合属性，必要属性）として受け付ける。そして、クライアント端末１０１は、その（（名前，性別），（身長，体重，ＢＰ，ＦＢＳ，ＰＢＧ））を示す解析属性要求を企業の機関端末１１３に送信する。
機関端末１１１、１１２および１１３は、上述の初期設定フェーズ、変換データ生成フェーズ、解析結果出力フェーズ、および必要属性出力フェーズのそれぞれの処理を行う。その結果、小学校の機関端末１１１は、自らが保持するデータベースＳ１に含まれる（（名前，性別），（身長，体重））＝（（Ｄａｖｅ，Ｍ），（１２０，４０））および（（Ｃａｔｅ，Ｆ），（１１８，２１））を解析結果としてクライアント端末１０１に暗号化して送信する。
大学の機関端末１１２は、自らが保持するデータベースＳ２に含まれる（（名前，性別），（身長，体重，ＢＰ））＝（（Ｄａｖｅ，Ｍ），（１７９，６８，１３０／８３））および（（Ｃａｔｅ，Ｆ），（１６０，４８，１２２／８０））を解析結果としてクライアント端末１０１に暗号化して送信する。
企業の機関端末１１３は、自らが保持するデータベースＳ３に含まれる（（名前，性別），（身長，体重，ＢＰ，ＦＢＳ，ＰＢＧ））＝（（Ｄａｖｅ，Ｍ），（１８０，１００，１４５／９５，１３０，２１０））および（（Ｃａｔｅ，Ｆ），（１６０，５０，１２５／８５，１００，１４０））を解析結果としてクライアント端末１０１に暗号化して送信する。
クライアント端末１０１は、機関端末１１１、１１２および１１３から送信された解析結果を取得する。つまり、クライアント端末１０１は、データベースＳ１、Ｓ２およびＳ３から、これらのデータベースＳ１、Ｓ２およびＳ３のそれぞれで名前および性別に属する共通の要素である「Ｄａｖｅ，Ｍ」に関連付けられている、身長、体重、ＢＰ、ＦＢＳ、およびＰＢＧの要素を出力要素として取得する。さらに、クライアント端末１０１は、データベースＳ１、Ｓ２およびＳ３から、これらのデータベースＳ１、Ｓ２およびＳ３のそれぞれで名前および性別に属する共通の要素である「Ｃａｔｅ，Ｇ」に関連付けられている、身長、体重、ＢＰ、ＦＢＳ、およびＰＢＧの要素を出力要素として取得する。その結果、クライアント端末１０１は、小学校、大学および企業のそれぞれで検診を受けた同一人物の身長および体重などの数値を取得することができる。つまり、クライアント端末１０１は、人の成長過程における解析結果を取得することができる。
このように、本実施の形態におけるデータ解析システム１００では、小学校、大学および企業の各機関のデータが秘匿された状態で、それらの機関に跨る同一人物に関する時系列のデータを統合することができる。
なお、上述の例では、機関端末１１１〜１１３のそれぞれは、名前および性別のそれぞれの要素（「Ｄａｖｅ」または「Ｃａｔｅ」など）を暗号化して送信したが、図６に示す例と同様に、その要素を照合子に変換し、その照合子を暗号化して送信してもよい。
（まとめ）
以上のように、本実施の形態におけるデータ解析システム１００によるデータ解析方法では、解析属性入力フェーズにおいて、１つ以上の属性のそれぞれに対して複数の要素を示すデータベースＳ１〜Ｓ４を保持する機関端末１１１〜１１４に対して、クライアント端末１０１が照合属性についての解析を要求する。次に、変換データ生成フェーズにおいて、クライアント端末１０１からの要求に応じて、機関端末１１１〜１１４のそれぞれが、その機関端末のデータベースのうち、照合属性に属する要素に対して暗号化を含む変換処理を行い、前記変換処理によって得られた変換データをアウトソース端末１０２に送信する。次に、変換データ統合フェーズにおいて、アウトソース端末１０２が、機関端末１１１〜１１４から送信された複数の変換データを統合することによって統合変換データを生成し、その統合変換データを機関端末１１１〜１１４のそれぞれに送信する。そして、解析結果出力フェーズにおいて、機関端末１１１〜１１４のそれぞれが、アウトソース端末１０２から送信された統合変換データと、その機関端末のデータベースのうちの、照合属性に属する複数の要素のそれぞれとを照合することによって、機関端末１１１〜１１４において共通に保持されている、照合属性に属する要素を共通要素として特定する。
これにより、機関端末１１１〜１１４のそれぞれから送信された変換データは、アウトソース端末１０２によって統合され、その統合された複数の変換データからなる統合変換データが、その機関端末１１１〜１１４のそれぞれに送信される。つまり、照合属性についての解析、すなわち照合属性のマッチングに要する計算の全てを機関端末１１１〜１１４のそれぞれに負わせることなく、各機関端末１１１〜１１４の計算の一部をアウトソース端末１０２に集約することができる。その結果、解析の対象とされる機関端末の数、すなわち機関の数が増えても、データの解析に要する全体的な計算量を抑えることができ、データの解析に要する時間を短縮することができる。つまり、従来では、データ解析の負荷が機関数に依存していたが、その依存を抑えることができる。また、データが１つの機関で収集されることを抑えることができ、機関数に依存する計算をアウトソース端末１０２に依頼することができる。
また、機関端末１１１〜１１４のそれぞれからアウトソース端末１０２に送信される変換データは暗号化されているため、アウトソース端末１０２では、その変換データを取得しても、その変換データを要素に復号することができない。しかし、その変換データを復号することができなくても、共通要素を特定するために必要とされる統合変換データがアウトソース端末１０２によって生成される。したがって、本発明に係るデータ解析方法では、アウトソース端末１０２は、データを秘匿するための信頼できる機関の端末装置である必要がなく、実用性を向上することができる。
また、アウトソース端末１０２から機関端末１１１〜１１４のそれぞれに送信される統合変換データは、複数の変換データが統合されたデータである。したがって、機関端末１１１〜１１４のそれぞれは、アウトソース端末１０２から統合変換データを取得してさらに復号しても、他の機関端末が共通要素以外にどのような要素を保持していたかを知ることができない。そのため、機関端末１１１〜１１４のそれぞれが保持するデータベースＳ１〜Ｓ４の内容を、他の機関端末にもアウトソース端末１０２にも秘匿しておくことができる。その結果、例えばプライバシーを保護することができる。
また、本実施の形態では、機関端末１１１〜１１４のそれぞれは、照合属性に属する要素に対して変換処理を行うときには、要素に対してブルームフィルタを適用することによって、その要素を少なくとも１つの整数値からなるＢＦ値に変換し、そのＢＦ値を暗号化する。
これにより、要素がデータの大きさとは独立なＢＦ値に変換されるため、統合変換データと、データベースのうちの照合属性に属する複数の要素のそれぞれとの照合にかかる負荷を軽減することができ、処理速度を向上することができる。
また、本実施の形態では、クライアント端末１０１は、さらに、機関端末１１１〜１１４のそれぞれに対して、必要属性についての解析を要求する。機関端末１１１〜１１４のそれぞれは、さらに、その機関端末が保持するデータベースによって示される必要属性に属する複数の要素のうち、共通要素に関連付けられている要素を、出力要素として選択し、共通要素および出力要素を解析結果としてクライアント端末１０１に送信する。
従来のデータ解析方法では、各機関で保管されているデータは、１つの属性に属する複数の要素の集合として取り扱われている。しかしながら、一般に、データは複数の属性を持つため、従来のデータ解析方法では、その複数の属性を持つデータを取り扱うことができず、現実の利用には適さない。一方、本実施の形態では、上述のように、照合属性だけでなく必要属性についての解析も行われる。これにより、一般的な複数の属性を持つデータ（すなわちデータベース）を取り扱うことができ、実用性をさらに向上することができる。
なお、本実施の形態では、必要属性についての解析の要求は、照合属性についての解析の要求とともに解析属性要求として行われる。しかし、必要属性についての解析の要求は、照合属性についての解析の要求の後に行われてもよい。
また、本実施の形態では、クライアント端末１０１は、さらに、機関端末１１１〜１１４のそれぞれから送信された解析結果を取得し、複数の解析結果のそれぞれに含まれる出力要素を統合する。
これにより、機関端末１１１のそれぞれから送信された共通要素および出力要素がクライアント端末１０１に取得され、クライアント端末１０１によって、機関端末１１１〜１１４のそれぞれの共通要素および出力要素が統合される。これにより、任意のデータベースの統合を、プライバシーを保護しつつ、機関数に依存せず、データベースの属性の数を規制することなくセキュアに実現することができる。
（その他の変形例）
上記実施の形態では、クライアント端末１０１は、機関端末１１１〜１１４とは独立した端末装置であったが、機関端末１１１〜１１４のうちの１つの機関端末であってもよい。この場合、クライアント端末１０１としての機関端末は、機関端末１１１〜１１４のうちのそのクライアント端末１０１を除く残りの複数の機関端末に対して、照合属性についての解析を要求する。
また、上記実施の形態では、アウトソース端末１０２は、機関端末１１１〜１１４のうちの１つの機関端末であってもよい。この場合、アウトソース端末１０２としての機関端末は、機関端末１１１〜１１４のうちのそのアウトソース端末１０２を除く残りの複数の機関端末に対して、統合変換データを送信する。
また、上記実施の形態では、解析属性要求を受けたｎ個の機関端末のそれぞれは、ｎ個の機関端末の全てにおいて共通に保持されている共通要素を特定した。しかし、解析属性要求を受けたｎ個の機関端末のそれぞれは、ｄ（２≦ｄ≦ｎ−１）個の機関端末のみにおいて共通に保持されている共通要素を特定してもよい。
この場合、ｎ個の機関端末のそれぞれは、図３の変換データ生成フェーズにおいて、ＢＦ（Ｓｉ）＝［ＢＦｉ（０），・・・，ＢＦｉ（ｍ−１）］から、ＢＦ（Ｓｉ）−１＝［ＢＦｉ［０］−１，・・・，ＢＦｉ［ｍ−１］−１］を算出することなく、ＢＦ（Ｓｉ）を暗号化することによって、変換データを生成する。また、アウトソース端末１０２は、図３の変換データ統合フェーズにおいて、暗号化データをランダマイズすることなく統合変換データを生成する。そして、ｎ個の機関端末のそれぞれは、図３の解析結果出力フェーズにおいて、照合属性の集合Ｓｉの各元のＢＦ（Ｓｉ）と、ＩＢＵ（∪Ｓｉ）＝［（ΣＢＦｉ［０］），・・・，（ΣＢＦｉ［ｍ−１］）］とを照合することにより、照合属性の集合Ｓｉの中からｄ個の機関端末で共通の元である共通要素を見つけ出す。例えば、ｄ個の機関端末で共通の元のＢＦ（Ｓｉ）が（１，０，１，１,・・・０，１）の配列である場合、ＩＢＵ（∪Ｓｉ）は、（ｄ，ａ，ｄ，ｄ,・・・ｂ，ｄ）の配列となる（ａおよびｂは任意の値）。したがって、機関端末ｉは、自らが保持する集合Ｓｉに含まれる複数の元のＢＦ（Ｓｉ）のうち、１の要素がＩＢＵ（∪Ｓｉ）の値ｄの要素と同じ位置に配置されているＢＦ（Ｓｉ）の元を、共通要素として見つけ出す。
（実施の形態２）
本実施の形態では、上記実施の形態１におけるデータ解析システムを利用したＰＤＤＩ（Privacy-preserving Distributed Data Integration）システムについて、説明する。
図１０は、ＰＤＤＩを説明するための図である。
ＰＤＤＩステムは、情報漏洩を懸念することなく、複数機関が所有するデータ統合を実現する。ＰＤＤＩにより以下の（１）〜（３）を実現することができる。（１）プライバシーを保護しつつ、スモールデータをビッグデータに変換。（２）各機関の希少データを統合することで、プライバシーを保護した精度の高い解析。（３）各機関の持つ異なる属性を統合することで、プライバシーを保護した多角的な解析。
また、ＰＤＤＩシステムには以下の（１）〜（４）の特徴がある。（１）高機密性：各機関が許可したデータのみが許可された機関でのみ閲覧可能。（２）高汎用性：データ数・機関数に非依存。対象機関・突合項目・出力項目を自由に設定可能。（３）導入容易性：データ預託機関は不要。（４）高速性：ＰＤＤＩ計算機によりデータ秘匿性を保持しながら処理速度を向上。
図１１は、システムモデルを説明するための図である。
データ保有機関は、データの提供と利用許可属性の設定を行う。ＰＤＤＩ計算機は、機関数依存の計算処理を代行する。また、ＰＤＤＩ計算機は、データを知ることはできない。クライアント（端末）は、突合した必要属性を入手する。なお、クライアントは、データ保有機関が兼ねることもある。また、情報は分散管理されていて、各機関から他機関へは送付されない。ここで、突合属性は、突合子として使う属性であり、必要属性は、突合後にクライアントへ送付する属性である。
図１２は、システム動作と特徴を示す図である。
ＰＤＤＩ計算機へ渡されるのは暗号化不可逆データであるため、データ保有機関が所有する突合データは機関の外部へ出力されず完全に秘匿される。クライアントは各機関が公開を許可した属性のみを入手し、それ以外の情報は入手しない。全通信経路は暗号化されるため、許可された機関以外は解読できない。
図１３は、ＰＤＤＩシステムの導入概要を示す図である。
ＰＤＤＩシステムは、非可逆圧縮したデータの暗号化により突合を行い、統合データを暗号化して利用者に送信することで、各機関が独立してデータを保管しながら、データ突合を行う。本システムでは、突合データは各機関から外部に出ない。統合データは、必要な機関を除く全外部に対して秘匿される。
計算機不要モデルでは、ＰＤＤＩ計算機の構築は不要で、研究所のクラウドが利用される。一方、計算機構築モデルでは、グループ毎にＰＤＤＩ計算機を構築する。どちらのモデルにおいても突合データ及び統合データは完全に秘匿される。
図１４は、第１の適用事例を示す図である。第１の適用事例は、機関の横断的な医療データの統合である。
複数の医療機関に通院する患者の医療データは、それぞれの医療機関において独立に管理されているが、同一患者のデータを突合して統合することで異なる病気の相互作用などをより多角的に解析することが可能となる。ＰＤＤＩシステムでは，それぞれの医療機関が独立に所有する医療データに対して、氏名・生年月日等のプライバシー情報を外部へ出さずに，同一患者のデータを突合して統合することができる。
図１５は、第２の適用事例を示す図である。第２の適用事例は、健診データの統合である。
個人の検診データを統合することで、幼少期の検査値が成人時の生活習慣病にどのように影響するかを解析することができる。これにより、生活習慣病などの保健指導を効果的に行なうことができる。ＰＤＤＩシステムでは、学校や企業で独立に保管された検診データから、プライバシーを保護しつつ、同一人物の検診データを統合し、長期間の個人の検診データを構築できる。図１５に示す例では、ＰＤＤＩシステムは、図９に示す例と同様、個人の健診データを突合し、その個人にその健診データを返却するために、その個人の名前を出力している。これにより、個人に健診データを還元することができる。この場合には、必要属性に照合属性が含まれる。一方、この個人の健診データを例えば研究などに利用する場合には、ＰＤＤＩシステムは、その個人の名前を削除する。
図１６は、第３の適用事例を示す図である。第３の適用事例は、電動車いすの事故情報の統合である。
業界全体で各メーカーの製品事故情報などを統合できると、未然に製品の欠陥理由が解析されて、安全な製品開発が促進される。製品事故情報の統合は各メーカーのデータのプライバシーを保護する必要がある。ＰＤＤＩシステムでは各メーカーのプライバシーを保護し、重篤な事故データの抽出と統合を実現する。
図１７は、第４の適用事例を示す図である。第４の適用事例は、同じ病気の治療法の統合である。
特定の病名に対する治療歴を統合・解析し、効果的な治療法を研究することができる。ＰＤＤＩシステムを利用することにより、病院名と氏名は秘匿される。
図１８は、第５の適用事例を示す図である。第５の適用事例は、ガンと脳卒中の関連性調査である。
多くの患者は疾患毎に専門病院へ通院するため、異なる疾患同士の関連性を調査するためにはデータ統合が必要となる。ＰＤＤＩシステムを利用することにより、個人情報を病院外へ出さずにデータ統合することができる。
図１９は、一部の機関のみで行われる突合属性による統合を示す図である。
ＰＤＤＩシステムでは、図１６に示すように、「全ての機関で使われている突合属性」のみが統合可能である。しかし、図１９に示すように、一部の機関のみで使われている属性を突合キーとしてもよい。つまり、図１６に示す例では、全メーカーに死亡例がある場合に、ＰＤＤＩシステムは、それらの死亡例のデータを出力する。一方、図１９に示す例では、全てのメーカーに死亡例がなくても、ＰＤＤＩシステムは、死亡例のデータを抽出して出力する。すなわち、抽出されるデータは共通集合ではない。
図２０は、機関内で突合属性が重複するデータの統合を示す図である。
ＰＤＤＩシステムでは、機関内で同一の突合属性を持つレコード同士は、データ統合でマージされる。しかし、上記のような場合も別レコードとみなして統合処理してもよい。なお、図２０に示す例は、照合属性を利用したデータ抽出への応用例を示しているとも言える。
図２１は、突合属性の逐次的拡張を示す図である。
ＰＤＤＩシステムでは、突合属性は固定されており、指定した属性のＡＮＤ結合として定義されている。しかし、突合の一意性が得られるまで突合属性の適用範囲を拡張する機能が追加されてもよい。つまり、属性「名前」だけで突合できない場合には、図２１に示すように、ＰＤＤＩシステムは、属性「名前」だけでなく属性「住所（例えば都市）」も突合属性に含めてもよい。
図２２は、システム動作と特徴を示す図である。
ＰＤＤＩ計算機へ渡されるのは暗号化不可逆データであるため、データ保有機関が所有する突合データは機関の外部へ出力されず完全に秘匿される。また、各機関がクライアントへの公開を許可した属性データのみが統合されるため、必要以上のデータが機関から外へ出ることはない。全データは暗号化して送受信されるため、ＰＤＤＩを利用する機関以外が通信を傍受することはできない。
なお、上記各実施の形態において、各構成要素は、専用のハードウェアで構成されるか、各構成要素に適したソフトウェアプログラムを実行することによって実現されてもよい。各構成要素は、ＣＰＵまたはプロセッサなどのプログラム実行部が、ハードディスクまたは半導体メモリなどの記録媒体に記録されたソフトウェアプログラムを読み出して実行することによって実現されてもよい。ここで、上記各実施の形態の各端末などを実現するソフトウェアは、図３に示すフローチャートの各ステップをコンピュータに実行させるプログラムである。
また、上記各実施の形態における「統合」とは、複数のデータを正しく紐付けることを意味する。例えば、機関Ａのデータベースに（Ｊｏｈｎ、癌データＡ）があり、機関Ｂのデータベースに（Ｊｏｈｎ、心筋梗塞データＸ）がある場合、（癌データＡ）と（心筋梗塞データＸ）とを紐付けることを「統合」という。なお、このようなデータの紐づけは、突合属性（すなわち照合属性）に属する共通要素を用いて行われる。例えば、上述の例では、突合属性「氏名」に属する共通要素「Ｊｏｈｎ」を用いて、データの紐づけが行われる。
また、本発明のデータ解析方法は、データベースの属性を突合属性（すなわち照合属性）、必要属性、およびそれ以外の属性に分類し、データ所有者のプライバシーのみならず、そのデータを管理する機関のプライバシーの保護も実現する方式である。具体的には、本発明のデータ解析方法では、各機関のもつデータベースの突合を突合属性に対して行い、各機関の突合属性を持つデータの必要属性を統合する。ここで、本発明のデータ解析方法によってデータ解析を行うシステムは、例えば、突合属性「病名」に属するデータ「認知症」で、各機関のデータベースの突合を行い、突合したデータの各機関のもつ必要属性「年齢、飲酒、喫煙」に属するデータを統合する。このとき、システムは、統合したデータが誰のデータであるかのみならず、どの機関からのデータであるかを秘匿する。さらに、必要属性には、２機関以上に含まれるなどの、実際の出力値を計算するための条件を付加することができる。
以上、一つまたは複数の態様に係るデータ解析方法について、実施の形態に基づいて説明したが、本発明は、この実施の形態に限定されるものではない。本発明の趣旨を逸脱しない限り、当業者が思いつく各種変形を本実施の形態に施したものや、異なる実施の形態における構成要素を組み合わせて構築される形態も、本発明の範囲内に含まれてもよい。
本発明にかかるデータ解析方法は、データの解析に要する時間を短縮し、信頼できる機関が不要で、実用性を向上することができるという効果を奏し、例えば、病院、学校、または企業などの各機関におけるデータベースを解析するシステムなどに有用である。
１００ データ解析システム
１０１ クライアント端末
１０２ アウトソース端末
１１１〜１１４ 機関端末

Claims (9)

  1. １つ以上の属性のそれぞれに対して複数の要素を示すデータベースを保持する複数の機関端末に対して、クライアント端末が照合属性についての解析を要求し、
    前記クライアント端末からの要求に応じて、前記複数の機関端末のそれぞれが、当該機関端末の前記データベースのうち、前記照合属性に属する要素に対して暗号化を含む変換処理を行い、前記変換処理によって得られた変換データをアウトソース端末に送信し、
    前記アウトソース端末が、前記複数の機関端末から送信された複数の前記変換データを統合することによって統合変換データを生成し、前記統合変換データを前記複数の機関端末のそれぞれに送信し、
    前記複数の機関端末のそれぞれが、前記アウトソース端末から送信された前記統合変換データと、当該機関端末の前記データベースのうちの、前記照合属性に属する複数の要素のそれぞれとを照合することによって、前記複数の機関端末のうちの少なくとも２以上の機関端末において共通に保持されている、前記照合属性に属する要素を共通要素として特定する
    データ解析方法。
  2. 前記クライアント端末は、前記複数の機関端末のうちの１つの機関端末であって、前記複数の機関端末のうちの当該クライアント端末を除く残りの複数の機関端末に対して、前記照合属性についての解析を要求する
    請求項１に記載のデータ解析方法。
  3. 前記アウトソース端末は、前記複数の機関端末のうちの１つの機関端末であって、前記複数の機関端末のうちの当該アウトソース端末を除く残りの複数の機関端末に対して、前記統合変換データを送信する
    請求項１または２に記載のデータ解析方法。
  4. 前記複数の機関端末のそれぞれは、
    前記照合属性に属する要素に対して前記変換処理を行うときには、
    前記要素に対してブルームフィルタを適用することによって、前記要素を少なくとも１つの整数値からなるＢＦ値に変換し、前記ＢＦ値を暗号化する
    請求項１〜３の何れか１項に記載のデータ解析方法。
  5. 前記クライアント端末は、さらに、
    前記複数の機関端末のそれぞれに対して、必要属性についての解析を要求し、
    前記複数の機関端末のそれぞれは、さらに、
    当該機関端末が保持する前記データベースによって示される前記必要属性に属する複数の要素のうち、前記共通要素に関連付けられている要素を、出力要素として選択し、前記共通要素および出力要素を解析結果として前記クライアント端末に送信する
    請求項１〜４の何れか１項に記載のデータ解析方法。
  6. 前記クライアント端末は、さらに、
    前記複数の機関端末のそれぞれから送信された前記解析結果を取得し、複数の前記解析結果のそれぞれに含まれる出力要素を統合する
    請求項５に記載のデータ解析方法。
  7. 前記クライアント端末は、
    前記必要属性についての解析の要求では、
    前記複数の機関端末のそれぞれに対して、前記解析結果を得るための条件を付加する
    請求項５に記載のデータ解析方法。
  8. 前記クライアント端末は、
    前記必要属性についての解析の要求では、
    前記複数の機関端末のうちの２つ以上の機関端末に前記必要属性が含まれていることを、前記条件として付加する
    請求項７に記載のデータ解析方法。
  9. １つ以上の属性のそれぞれについて複数の要素を示すデータベースを保持する複数の機関端末と、
    前記複数の機関端末に対して、照合属性についての解析を要求するクライアント端末と、
    アウトソース端末とを備え、
    前記複数の機関端末のそれぞれは、
    前記クライアント端末からの要求に応じて、当該機関端末の前記データベースのうち、前記照合属性に属する要素に対して暗号化を含む変換処理を行い、前記変換処理によって得られた変換データを前記アウトソース端末に送信し、
    前記アウトソース端末は、
    前記複数の機関から送信された複数の前記変換データを統合することによって統合変換データを生成し、前記統合変換データを前記複数の機関端末のそれぞれに送信し、
    前記複数の機関端末のそれぞれは、
    前記アウトソース端末から送信された前記統合変換データと、当該機関端末の前記データベースのうちの、前記照合属性に属する複数の要素のそれぞれとを照合することによって、前記複数の機関端末のうちの少なくとも２以上の機関端末において共通に保持されている、前記照合属性に属する要素を共通要素として特定する
    データ解析システム。
JP2018559530A 2016-12-26 2017-12-26 データ解析方法およびデータ解析システム Active JP6802572B2 (ja)

Applications Claiming Priority (3)

Application Number Priority Date Filing Date Title
JP2016252102 2016-12-26
JP2016252102 2016-12-26
PCT/JP2017/046729 WO2018124104A1 (ja) 2016-12-26 2017-12-26 データ解析方法およびデータ解析システム

Publications (2)

Publication Number Publication Date
JPWO2018124104A1 true JPWO2018124104A1 (ja) 2019-10-31
JP6802572B2 JP6802572B2 (ja) 2020-12-16

Family

ID=62707548

Family Applications (1)

Application Number Title Priority Date Filing Date
JP2018559530A Active JP6802572B2 (ja) 2016-12-26 2017-12-26 データ解析方法およびデータ解析システム

Country Status (4)

Country Link
US (1) US11216578B2 (ja)
EP (1) EP3561697A4 (ja)
JP (1) JP6802572B2 (ja)
WO (1) WO2018124104A1 (ja)

Families Citing this family (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US11934558B2 (en) 2018-12-26 2024-03-19 University Of Tsukuba Distributed data integration device, distributed data integration method, and program
JP7323825B2 (ja) * 2019-10-28 2023-08-09 日本電信電話株式会社 データベースシステム、分散処理装置、データベース装置、分散処理方法、および、分散処理プログラム
CN114175568B (zh) 2020-02-14 2023-06-06 谷歌有限责任公司 安全的多方到达率和频率估算

Citations (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2002169808A (ja) * 2000-11-30 2002-06-14 Hitachi Ltd セキュアマルチデータベースシステム
JP2012084084A (ja) * 2010-10-14 2012-04-26 Fujitsu Ltd 連携装置、連携元装置、連携先装置、連携プログラム、および連携方法
JP2014211803A (ja) * 2013-04-19 2014-11-13 株式会社日立システムズ データ提供システム及びデータ提供システムにおける開示ステータス設定方法
WO2015063905A1 (ja) * 2013-10-31 2015-05-07 株式会社日立製作所 データ分析システム

Family Cites Families (17)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US6804667B1 (en) * 1999-11-30 2004-10-12 Ncr Corporation Filter for checking for duplicate entries in database
US8380630B2 (en) * 2000-07-06 2013-02-19 David Paul Felsher Information record infrastructure, system and method
WO2002005061A2 (en) * 2000-07-06 2002-01-17 David Paul Felsher Information record infrastructure, system and method
US7181017B1 (en) * 2001-03-23 2007-02-20 David Felsher System and method for secure three-party communications
JP3987934B2 (ja) * 2003-11-12 2007-10-10 国立大学法人大阪大学 社会的な関係を用いてユーザの評価コメントを要約する文書処理装置、その方法及びプログラム
US7668820B2 (en) * 2004-07-28 2010-02-23 Ims Software Services, Ltd. Method for linking de-identified patients using encrypted and unencrypted demographic and healthcare information from multiple data sources
US9626667B2 (en) * 2005-10-18 2017-04-18 Intertrust Technologies Corporation Digital rights management engine systems and methods
US20070204078A1 (en) * 2006-02-09 2007-08-30 Intertrust Technologies Corporation Digital rights management engine systems and methods
US8776216B2 (en) * 2005-10-18 2014-07-08 Intertrust Technologies Corporation Digital rights management engine systems and methods
CA2637574C (en) * 2006-01-17 2017-10-31 Accenture Global Services Gmbh Platform for interoperable healthcare data exchange
US8880879B2 (en) * 2008-09-04 2014-11-04 Intel Corporation Accelerated cryptography with an encryption attribute
US8010085B2 (en) * 2008-11-19 2011-08-30 Zscaler, Inc. Traffic redirection in cloud based security services
US20110125527A1 (en) * 2009-11-25 2011-05-26 General Electric Company Systems, apparatus, and methods for identifying patient-to patient relationships
US8788287B2 (en) * 2009-11-25 2014-07-22 General Electric Company Systems, apparatus, and methods for developing patient medical history using hierarchical relationships
JP2014013479A (ja) 2012-07-04 2014-01-23 Sony Corp 情報処理装置、情報処理方法、プログラム、及び情報処理システム
WO2015131394A1 (en) 2014-03-07 2015-09-11 Nokia Technologies Oy Method and apparatus for verifying processed data
US9372892B1 (en) * 2015-12-28 2016-06-21 International Business Machines Corporation Bloom filter construction method for use in a table join operation portion of processing a query to a distributed database

Patent Citations (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2002169808A (ja) * 2000-11-30 2002-06-14 Hitachi Ltd セキュアマルチデータベースシステム
JP2012084084A (ja) * 2010-10-14 2012-04-26 Fujitsu Ltd 連携装置、連携元装置、連携先装置、連携プログラム、および連携方法
JP2014211803A (ja) * 2013-04-19 2014-11-13 株式会社日立システムズ データ提供システム及びデータ提供システムにおける開示ステータス設定方法
WO2015063905A1 (ja) * 2013-10-31 2015-05-07 株式会社日立製作所 データ分析システム

Also Published As

Publication number Publication date
EP3561697A1 (en) 2019-10-30
WO2018124104A1 (ja) 2018-07-05
JP6802572B2 (ja) 2020-12-16
US20200004981A1 (en) 2020-01-02
EP3561697A4 (en) 2019-11-27
US11216578B2 (en) 2022-01-04

Similar Documents

Publication Publication Date Title
US11133093B2 (en) System and method for creation of persistent patient identification
Lie et al. Utility of SOFA score, management and outcomes of sepsis in Southeast Asia: a multinational multicenter prospective observational study
CN109478418A (zh) 用于使健康数据匿名化并且跨地理区域传输健康数据进行分析的系统和方法
US20140372149A1 (en) Method for processing patient-related data records
WO2018124104A1 (ja) データ解析方法およびデータ解析システム
Nakashima et al. Effect of HIV reporting by name on use of HIV testing in publicly funded counseling and testing programs
CA2590752A1 (en) Systems and methods for identification and/or evaluation of potential safety concerns associated with a medical therapy
GB2442079A (en) Identification of clinical study candidates
US9148410B2 (en) Recording medium storing data processing program, data processing apparatus and data processing system
Mansfield et al. Five models for child and adolescent data linkage in the UK: a review of existing and proposed methods
Belani et al. “I agree to disagree”: comparative ethical and legal analysis of big data and genomics for privacy, consent, and ownership
CN109801688A (zh) 区域医疗电子病历安全协同整合系统及方法
Dicpinigaitis et al. Real‐World Outcomes of Endovascular Thrombectomy for Basilar Artery Occlusion: Results of the BArONIS Study
US20140156679A1 (en) Secure molecular similarity calculations
AU2019293106A1 (en) Personal information analysis system and personal information analysis method
US20200066380A1 (en) Identification of an appropriate medical institution based on patient information including a symptom and a medical history
JP2019036249A (ja) 医療情報管理装置、医療情報管理方法及びプログラム
Southwell et al. Validating a novel deterministic privacy-preserving record linkage between administrative & clinical data: applications in stroke research
Khan et al. MEDICAL DROP BOX (MDB): A NATIONAL HEALTH INFORMATION EXCHANGE AND MANAGEMENT SYSTEM FOR MEDICAL INDUSTRY
Lynda et al. Data security and privacy in e-health cloud: Comparative study
Sheeraz et al. A decentralized approach of healthcare data collection for research
Hu et al. Integrating identity management with federated healthcare data models
JP2015032077A (ja) 検体試料の匿名化管理方法およびシステム並びにプログラム
Rabbi et al. A secure real time data processing framework for personally controlled electronic health record (PCEHR) system
Hung et al. Implementing globally unique identifier architecture in date collection for a health management study in taiwan aboriginal tribe

Legal Events

Date Code Title Description
A621 Written request for application examination

Free format text: JAPANESE INTERMEDIATE CODE: A621

Effective date: 20190521

A131 Notification of reasons for refusal

Free format text: JAPANESE INTERMEDIATE CODE: A131

Effective date: 20200512

A521 Request for written amendment filed

Free format text: JAPANESE INTERMEDIATE CODE: A523

Effective date: 20200626

TRDD Decision of grant or rejection written
A01 Written decision to grant a patent or to grant a registration (utility model)

Free format text: JAPANESE INTERMEDIATE CODE: A01

Effective date: 20201027

A61 First payment of annual fees (during grant procedure)

Free format text: JAPANESE INTERMEDIATE CODE: A61

Effective date: 20201119

R150 Certificate of patent or registration of utility model

Ref document number: 6802572

Country of ref document: JP

Free format text: JAPANESE INTERMEDIATE CODE: R150

R250 Receipt of annual fees

Free format text: JAPANESE INTERMEDIATE CODE: R250