JP2015201049A - アクセス権限処理システム、アクセス権限処理方法、及びプログラム - Google Patents

Abstract

【課題】１つの母集団から生成された複数種類の匿名化情報の分析結果から匿名化された個人情報が絞り込まれたり、推測されたり、或いは特定されたりするのを防止することが可能なアクセス権限処理システムを提供することにある。
【解決手段】アクセス権限処理システムは、匿名化処理により得られる匿名化情報の分析要求を受付ける受付手段と、前記分析要求に基づきログを抽出する抽出手段と、前記分析要求に基づき制御ルールを参照する参照手段と、前記ログ及び前記制御ルールに基づき前記匿名化情報へのアクセスの可否を判定する判定手段と、前記匿名化情報へのアクセス許可の判定に基づき前記匿名化情報の分析結果を提供する情報提供手段と、を備える。
【選択図】図１

Description

この発明は、医療情報などの機密情報を処理するアクセス権限処理システム、アクセス権限処理方法、及びプログラムに関する。

医療情報を流通させ、統計分析などに２次利用することが考えられている。例えば、流通しているデータを集め、統計処理をすることによって、地域ごとの疾病状況、及びある年のインフルエンザの流行状況を検出し、将来の製薬や公衆衛生管理の参考とするといったユースケースである。

医療情報は、「医療情報を受託管理する情報処理事業者向けガイドライン（http://www.meti.go.jp/policy/it_policy/privacy/iryouglv2.pdf）」などの各種ガイドラインや個人情報保護法に従った形式で保管・流通される必要がある。統計分析などの2次利用として収集したデータであっても個人が特定される形式でデータを保管することは、個人情報保護の観点から適切ではない。収集したデータについても、第三者に個人を特定されないように分析に利用してもらうことと保管することが重要である。

収集したデータを用いて、第三者に個人を特定されない形式で分析利用させる技術として、匿名化技術が知られている。匿名化技術は様々あるが、基本的には個人が特定されるような情報（氏名、性別）をマスクする、あるいはぼかした値にする処理を行う。マスクする場合、個人名を全く異なる値に書き替える、住所などの情報を県単位に書き替える。ぼかした値にする場合、年齢が23才であっても、23才の人が一人であれば、全体的に20才代と表現する様に値を書き替える。

特開２００６−３２４０７６ 特許４８４３３２５

上記匿名化技術によって、個人情報が保護された情報（母集団）からの分析処理（例えば統計処理）が可能となる。しかしながら、１つの母集団の情報に対する複数種類の匿名化処理により得られる複数種類の匿名化情報（から生成される複数種類の分析結果）を無制限に提供すると、一人の人物が複数種類の匿名化情報（又は複数種類の分析結果）を入手し、これら複数種類の匿名化情報（又は複数種類の分析結果）を組み合わせて分析することにより、匿名化された個人情報が絞り込まれたり、推測されたり、或いは特定されたりする可能性がある。そのため、このような分析から匿名化された個人情報が絞り込まれたり、推測されたり、或いは特定されたりするのを防止する仕組みが要望されている。

この発明は上記事情に着目してなされたもので、１つの母集団から生成された複数種類の匿名化情報の分析結果から匿名化された個人情報が絞り込まれたり、推測されたり、或いは特定されたりするのを防止することが可能な情報処理システム、アクセス権限処理方法、及びプログラムを提供することにある。

上記目的を達成するためにこの発明のアクセス権限処理システム、アクセス権限処理方法、及びプログラムは、以下のように構成されている。

（１）アクセス権限処理システムは、匿名化処理により得られる匿名化情報への分析要求を受付ける受付手段と、前記分析要求に基づきログを抽出する抽出手段と、前記分析要求に基づき制御ルールを参照する参照手段と、前記ログ及び前記制御ルールに基づき前記匿名化情報へのアクセスの可否を判定する判定手段と、前記匿名化情報へのアクセス許可の判定に基づき前記匿名化情報の分析結果を提供する情報提供手段と、を備える。

（２）さらに、上記（１）のアクセス権限処理システムの前記抽出手段は、前記分析要求に基づき、前記匿名化情報の母集団に関する操作ログを抽出し、前記参照手段は、前記分析要求に基づき、前記母集団に関するアクセス制御ルールを参照し、前記判定手段は、前記操作ログ及び前記アクセス制御ルールに基づき前記匿名化情報へのアクセスの可否を判定する。

（３）さらに、上記（２）のアクセス権限処理システムの前記操作ログは、前記母集団から生成される１種類以上の匿名化情報に対して何種類の統計処理を実施したかを示す情報を含み、前記アクセス制限ルールは、前記母集団から生成される１種類以上の匿名化情報に対して何種類の統計処理までであれば前記匿名化情報へのアクセスを許容するかを示す情報を含む。

（４）さらに、上記（１）乃至（３）の何れか１つのアクセス権限処理システムの前記情報提供手段は、前記匿名化情報へのアクセス許可の判定に基づき分析処理部へ前記匿名化情報の分析を要求し、前記匿名化情報の前記分析結果を受け取り、前記分析結果を提供する。

（５）アクセス権限処理方法は、匿名化処理により得られる匿名化情報の分析要求を受付け、前記分析要求に基づきログを抽出し、前記分析要求に基づき制御ルールを参照し、前記ログ及び前記制御ルールに基づき前記匿名化情報へのアクセスの可否を判定し、前記匿名化情報へのアクセス許可の判定に基づき前記匿名化情報の分析結果を提供する。

（６）プログラムは、上記（１）乃至（４）の何れか１つのアクセス権限処理システムが備える各手段の処理をコンピュータに実行させる。

すなわちこの発明によれば、１つの母集団から生成された複数種類の匿名化情報の分析結果から匿名化された個人情報が絞り込まれたり、推測されたり、或いは特定されたりするのを防止することが可能なアクセス権限処理システム、アクセス権限処理方法、及びプログラムを提供することができる。

上記（１）のアクセス権限処理システム、上記（５）のアクセス権限処理方法、及び上記（６）のプログラムによれば、ログ及び制御ルールに基づき、分析要求される第１の匿名化情報へのアクセスの可否を判定し、アクセスが許可された場合に、第１の匿名化情報の分析結果を提供するので、１つの母集団の情報に対して実行される複数種類の匿名化処理により匿名化された複数種類の匿名化情報から生成される複数種類の分析結果を得ることに制限を持たせることができる。これにより、制限された分析結果しか提供されないので、許可される数を超えて分析結果を集めて第１の匿名化情報を復元しようとする行為を防止することができる。

上記（２）のアクセス権限処理システムによれば、前記匿名化情報の母集団に関する操作ログ及び前記母集団に関するアクセス制御ルールに基づき前記匿名化情報へのアクセスを制限することができる。

上記（３）のアクセス権限処理システムによれば、前記母集団から生成される１種類以上の匿名化情報に対して何種類の統計処理を実施したかを示す情報及び前記母集団から生成される１種類以上の匿名化情報に対して何種類の統計処理までであれば前記匿名化情報へのアクセスを許容するかを示す情報に基づき前記匿名化情報へのアクセスを制限することができる。

上記（４）のアクセス権限処理システムによれば、アクセスが許可された場合に前記匿名化情報の分析結果を受け取るので、アクセスが許可されない場合には分析結果を提供しないことにより、前記匿名化情報の元となる医療情報等の機密情報を安全に管理することができる。

実施形態に係るアクセス権限処理システムの概略構成を示す図である。 統計処理操作ログの一例を示す図である。 統計処理操作ログアクセス制御ルールの一例を示す図である。 実施形態に係るアクセス権限処理システムによる処理シーケンスの一例を示す図である。 実施形態に係るアクセス権限処理システムによるログ検索条件取得及び過去ログ検索の一例を示すフローチャートである。 実施形態に係るアクセス権限処理システムによるアクセス判定（ＳＴ１４）の一例を示す図である。

以下、図面を参照してこの発明に係わる実施形態を説明する。

図１は、実施形態に係るアクセス権限処理システムの概略構成を示す図である。図１に示すように、アクセス権限処理システムは、分析受付ＧＷ（Gateway）１、データ出力部２、基本分析部３、統計処理操作ログ記憶部４、アクセス制御部５、アクセス制御ルール記憶部６、年齢構成に関する匿名化処理済み情報ＤＢ（Data Base）７、地域構成に関する匿名化処理済み情報ＤＢ８、体型構成に関する匿名化処理済み情報ＤＢ９、統計処理用（医療）情報ＤＢ１０、匿名化処理部１１を備える。

ここで、アクセス権限処理システムを構成する各部の詳細について簡単に説明する。なお、各部の詳細については後に説明する。分析受付ＧＷ１は、インターネット１２を介して、分析者のパーソナルコンピュータ等からのアクセス（医療情報の分析要求等）を受付けることができる。データ出力部２は、分析者のパーソナルコンピュータ等からのアクセス（医療情報の分析要求等）に対応して、分析結果（匿名化された医療情報の統計処理結果等）を提供することができる。基本分析部３は、分析者のパーソナルコンピュータ等からのアクセス（医療情報の分析要求等）に対応して、年齢構成に関する匿名化処理済み情報、地域構成に関する匿名化処理済み情報、又は体型構成に関する匿名化処理済み情報を分析する。なお、本実施形態では、複数の匿名化処理として、年齢構成に関する匿名化処理、地域構成に関する匿名化処理、及び体型構成に関する匿名化処理について説明するが、これらに限定されるものではなく、さらに他の匿名化処理と組み合わせることもできる。

統計処理操作ログ記憶部４は、図２に示す統計処理操作ログ（分析処理操作ログ）を記憶し、統計処理操作に応じて統計処理操作ログを更新する。アクセス制御ルール記憶部６は、図３に示す統計処理操作ログアクセス制御ルール（以下、アクセス制御ルール）を記憶する。アクセス制御部５は、分析者のパーソナルコンピュータ等からのアクセス（医療情報の分析要求等）に対応して、図２に示す統計処理操作ログ及び図３に示すアクセス制御ルールに基づき、アクセスの可否を判定し、アクセス可能判定に基づき齢構成に関する匿名化処理済み情報、地域構成に関する匿名化処理済み情報、又は体型構成に関する匿名化処理済み情報へのアクセスを許可し、アクセス不能判定に基づきこれら情報へのアクセスを許可しない。なお、アクセス制御ルールはアクセス制御ルール記憶部６に記憶され、このアクセス制御ルールにおいて定義を設定する方法は、ＳＱＬ（Structured Query Language）等でアクセス制御ルール記憶部６に記憶されたアクセス制御ルールを直接編集してもよいし、ＧＵＩ（Graphical User Interface）等を分析受付ＧＷ１に用意し、ＧＵＩ等からアクセス制御ルール記憶部６に記憶されたアクセス制御ルールを編集するようにしてもよい。

統計処理用情報ＤＢ１０は、医療情報（母集団の情報）を記憶する。匿名化処理部１１は、匿名化処理（任意の匿名化処理）により、統計処理用情報ＤＢ１０に記憶された医療情報から匿名化処理済みの医療情報を生成する。例えば、匿名化処理部１１は、医療情報（母集団の情報）に対する年齢構成に関する匿名化処理により、医療情報から年齢構成に関する匿名化処理済みの医療情報を生成する。また、匿名化処理部１１は、医療情報（母集団の情報）に対する地域構成に関する匿名化処理により、医療情報から地域構成に関する匿名化処理済みの医療情報を生成する。匿名化処理部１１は、医療情報（母集団の情報）に対する体型構成に関する匿名化処理により、医療情報から体型構成に関する匿名化処理済みの医療情報を生成する。年齢構成に関する匿名化処理済み情報ＤＢ７は、年齢構成に関する匿名化処理済みの医療情報を記憶する。地域構成に関する匿名化処理済み情報ＤＢ８は、地域構成に関する匿名化処理済みの医療情報を記憶する。体型構成に関する匿名化処理済み情報ＤＢ９は、体型構成に関する匿名化処理済みの医療情報を記憶する。なお、匿名社処理済みの医療情報は、分析処理終了後に削除される。

なお、本実施形態では、医療情報を処理するアクセス権限処理システムについて説明するが、処理する情報は医療情報に限定されるものではなく、機密性が高く且つ一部の情報を隠す必要のある情報について適用可能である。

図４は、図１に示すアクセス権限処理システムによる処理シーケンスの一例を示す図である。図４に示すように、分析者は、例えばパーソナルコンピュータにより、ネットワーク１２を介して分析受付ＧＷ１へアクセスし、公開分析処理一覧を要求する（ＳＴ１）。分析受付ＧＷ１は、分析処理要求に応じた匿名化処理済み情報ＤＢ（年齢構成に関する匿名化処理済み情報ＤＢ７、地域構成に関する匿名化処理済み情報ＤＢ８、又は体型構成に関する匿名化処理済み情報ＤＢ９）を検索し（ＳＴ２）、匿名化処理済み情報ＤＢからの検索結果の返却を受信する（ＳＴ３）。さらに、分析受付ＧＷ１は、基本分析部３に対して、基本分析機能の有無を検索し（ＳＴ４）、検索結果の返却を受信する（ＳＴ５）
分析者が、例えばパーソナルコンピュータにより、ネットワーク１２を介して分析受付ＧＷ１へアクセスし、分析処理（匿名化情報の分析処理）を要求すると（ＳＴ６）、分析受付ＧＷ１は、分析処理要求に基づき、ログ出力（いつ、どこからのアクセスでどの組織の、誰がどの母集団に対して、どういう匿名化した情報をどうしたいか）を要求し、アクセス制御判定を要求する（ＳＴ８）。例えば、アクセス制御判定要求は、アクセス元（グローバルIPアドレス（124.5.x.13）及びドメイン名の少なくとも一方）、組織名（Ｘｘ研究所）、担当者（氏名ａ）、母集団（Ａ年度全国医療情報）、匿名化等の情報処理（地域構成別医療費統計）、出力形態（グラフ出力）等の情報を含む。なお、利用者は、あらかじめ分析受付ＧＷの利用に関する申請（アクセス権限処理システムへのアカウント登録）を済ませていることが前提となる。また、母集団の情報に対してラベル（Ａ年度全国医療情報）が付けられている場合に、このラベルを使ったログ管理及びアクセス制御判定が可能となる。

アクセス制御部５は、アクセス制御判定要求に基づき、アクセス制御ルール記憶部６に記憶されているアクセス制御ルールを検索し（ＳＴ９）、検索結果の返却を受信する（ＳＴ１０）。アクセス制御部５は、ログ検索条件を取得し（ＳＴ１１）、統計処理操作ログ記憶部４に対して該当するログ（統計処理操作ログ等）を検索し（ＳＴ１２）、検索結果の返却を受信する（ＳＴ１３）。アクセス制御部５は、アクセス制御ルール及び統計処理操作ログに基づき、アクセス可否を判定し（ＳＴ１４）、判定結果を送信する。

例えば、分析処理要求が母集団（Ａ年度全国医療情報）の分析処理要求を含む場合、アクセス制御判定要求が母集団（Ａ年度全国医療情報）のアクセス制御判定要求を含み、母集団（Ａ年度全国医療情報）に関する操作ログが取得され、母集団（Ａ年度全国医療情報）に関するアクセス制御ルールが取得される。これにより、アクセス制御部５は、母集団（Ａ年度全国医療情報）に関する操作ログ及び母集団（Ａ年度全国医療情報）に関するアクセス制御ルールに基づき、アクセス可否を判定する。

例えば、母集団（Ａ年度全国医療情報）に関する操作ログが、母集団から生成される１種類以上の匿名化情報に対して何種類の統計処理を実施したかを示す情報を含む。また、母集団（Ａ年度全国医療情報）に関するアクセス制御ルールが、母集団から生成される１種類以上の匿名化情報に対して何種類の統計処理までであれば匿名化情報へのアクセスを許容するかを示す情報を含む。

例えば、操作ログが、４種類の統計処理を実施したことを示す情報を含み、アクセス制御ルールが、５種類の統計処理までであれば前記匿名化情報へのアクセスを許容することを示す情報を含む場合、アクセス制御部５は、母集団（Ａ年度全国医療情報）から生成された匿名化情報へのアクセスを許可する。操作ログが、５種類の統計処理を実施したことを示す情報を含み、アクセス制御ルールが、５種類の統計処理までであれば前記匿名化情報へのアクセスを許容することを示す情報を含む場合、アクセス制御部５は、次の統計処理が６種類目の統計処理でなければ、母集団（Ａ年度全国医療情報）から生成された匿名化情報へのアクセスを許可し、次の統計処理が６種類目の統計処理であれば、母集団（Ａ年度全国医療情報）から生成された匿名化情報へのアクセスを許可しない。さらに、アクセス制御ルールが、「過去いつまでの間に」という条件文を含むこともできる。例えば、アクセス制御ルールが、「過去１年の間に」という条件文を含む場合、アクセス制御部５は、次の統計処理が過去１年の間で６種類目の統計処理でなければ、母集団（Ａ年度全国医療情報）から生成された匿名化情報へのアクセスを許可し、次の統計処理が過去１年の間で６種類目の統計処理であれば、母集団（Ａ年度全国医療情報）から生成された匿名化情報へのアクセスを許可しない。

分析受付ＧＷ１は、アクセス制御部５からの判定結果を受け取り、年齢構成に関する匿名化処理済み情報ＤＢ７、地域構成に関する匿名化処理済み情報ＤＢ８、又は体型構成に関する匿名化処理済み情報ＤＢ９に対して、分析処理要求に応じたデータ抽出を要求し（ＳＴ１６）、抽出結果の返却を受信し（ＳＴ１７）、基本分析部３に対して抽出データの基本分析を要求する（ＳＴ１８）。基本分析部３が抽出データを分析し、分析結果を返却し、分析受付ＧＷ１が分析結果を受信する（ＳＴ１９）。分析受付ＧＷ１は、データ出力部２を介して、分析結果を閲覧可能として提供し、分析者のパーソナルコンピュータ等からのアクセス（閲覧）を受付けることができる（ＳＴ２０）。

例えば、分析受付ＧＷ１は、匿名化処理により母集団から生成された匿名化情報を受け取り、基本分析部３がこの匿名化情報を分析し、分析受付ＧＷ１は、データ出力部２を介して、分析結果を閲覧可能として提供する。

上記のように、アクセス制御部５が、アクセス制御ルール及び統計処理操作ログに基づき、アクセスを許可した場合に限り、匿名化情報に基づく分析結果が提供されるので、複数種類の匿名化処理により一つの母集団から生成される複数種類の匿名化情報に基づく複数種類の分析結果を無制限に提供しない。これにより、複数種類の匿名化情報に基づく複数種類の分析結果から母集団の情報を復元するような不正を防止することができる。なお、アクセス制御のデフォルト判定を全分析拒否とし、安全性を確保するようにしてもよい。システム管理者は、利用者からの分析受付ＧＷの利用に関する申請（アクセス権限処理システムへのアカウント登録）に基づき、アクセス制御ルールに対して申請された利用者の利用を許可するための定義情報を設定する。これにより、利用者によるシステムの利用が可能となる。

図５は、図１に示すアクセス権限処理システムによるログ検索条件取得（ＳＴ１１）及び過去ログ検索（ＳＴ１２）の一例を示すフローチャートである。アクセス制御部５は、アクセス制御判定要求に基づき（ＳＴ１０１）、分析処理要求内容を取得し（ＳＴ１０２）、検索範囲定義情報を取得する（ＳＴ１０３）。分析処理要求内容は、統計処理操作ログ構成要素を含む。検索範囲定義情報とは、アクセス制御ルールとは別で管理されている検索範囲を定義するファイル或いはテーブルである。定義されている内容は、［母集団、検索範囲］であり、例えば、［母集団：Ａ年度全国医療情報、検索範囲：１年］、［母集団：Ｂ年度〇×健保組合医療情報、検索範囲：６ヶ月］である。

アクセス制御部５は、定義ファイルを取得し（ＳＴ１０４、ＹＥＳ）、定義ファイルに基づき検索範囲をセットし（ＳＴ１０５）、アクセスログから状況等を検索する（ＳＴ１０６）。

例えば、分析処理要求内容が、Ａ年度全国医療情報の分析処理要求であり、定義ファイルが［母集団：Ａ年度全国医療情報、検索範囲：１年］を含む場合、ログ検索は、分析処理要求内容の要求元の情報から判明するアクセス元からの過去１年のＡ年度全国医療情報に対するアクセス状況及び処理状況が検索される。

また、分析処理要求内容が、Ｃ年度〇〇県医療情報の分析処理要求であり、定義ファイルが未定義の場合、検索範囲はセットされず、ログ検索は、分析処理要求内容の要求元の情報から判明するアクセス元からの過去すべてのＣ年度〇〇県医療情報に対するアクセス状況及び処理状況が検索される。

図６は、図１に示すアクセス権限処理システムによるアクセス判定（ＳＴ１４）の一例を示すフローチャートである。

アクセス制御部５は、ルール検索結果とログ検索結果を呼び出し、ルール検索結果とログ検索結果に基づき、当該母集団に関する匿名化処理の種類数はルールに許可されている範囲の種類数以内であれば次の判定へ移行し（ＳＴ２０２、ＹＥＳ）、種類数を越えるならばアクセス権限無しと判定する（ＳＴ２０７）。

さらに、アクセス制御部５は、ルール検索結果とログ検索結果に基づき、当該母集団に関する結果はルールに許可として記載された要求形式であれば次の判定へ移行し（ＳＴ２０３、ＹＥＳ）、要求形式でなければアクセス権限無しと判定する（ＳＴ２０７）。

さらに、アクセス制御部５は、ルール検索結果とログ検索結果に基づき、アクセス元はルールに許可として記載された利用者属性であれば次の判定へ移行し（ＳＴ２０４、ＹＥＳ）、利用者属性でなければアクセス権限無しと判定する（ＳＴ２０７）。

さらに、アクセス制御部５は、ルール検索結果とログ検索結果に基づき、アクセス元はルールに許可として記載された利用者個人であればアクセス権限有りと判定し（ＳＴ２０５）、利用者属性でなければアクセス権限無しと判定する（ＳＴ２０７）。

以下、アクセス権限処理システムのアクセス制御を適用しないケースを説明し、これに対比してアクセス権限処理システムのアクセス制御の作用効果について説明する。上記のアクセス制御を実行しない場合、個人情報を保護するため一つの母集団の情報へのアクセスが制限されていたとしても、複数種類の匿名化処理により一つの母集団の情報から複数種類の匿名化情報を生成し、これら複数種類の匿名化情報から生成される複数種類の統計情報を分析することにより（例えば複数種類の統計情報を様々な形式で結びつけることにより）、匿名化された情報（個人情報）が推測又は復元されることがある。

例えば、年齢構成に関する匿名化処理済み情報を統計処理した結果、地域構成に関する匿名化処理済み情報を統計処理した結果、及び体型構成に関する匿名化処理済み情報を統計処理した結果を組み合わせて解析すると、匿名化処理されたはずの個人情報等を絞り込んだり、推測したり、或いは特定したりすることができる場合がある。

本実施形態の医療情報システムは、上記したアクセス制御を実行するので、匿名化された情報を復元しようとして複数種類の匿名化情報から生成される複数種類の統計情報を入手しようとした場合に、制限がかかるので（例えば図３に示すようにＡ年度全国医療情報の統計処理は５種類まで、Ｂ年度〇×健保組合医療情報の統計処理は４種類まで）、制限された種類数を越えた統計処理の処理結果を入手させない。これにより、上記したように、匿名化された情報（個人情報）が絞り込まれたり、推測されたり、或いは特定されたりするのを防止できる。

さらに上記説明した実施形態に対して、ダミー処理及び匿名化処理済みデータを一時的に提供する処理を組み合わせて実施することもできる。

オリジナルの医療情報を平文で保管することは、安全性の面から適切ではない。しかしながら、予め匿名化処理により匿名化された医療情報を保管すると、オリジナルの医療情報に含まれていた一部の情報が欠落するため、統計処理に支障が出たり、統計処理の用途が限定されたりすることが考えられる。

例えば、オリジナルの医療情報を保管せず、年齢構成に関する匿名化処理済みの医療情報、地域構成に関する匿名化処理済みの医療情報、及び体型構成に関する匿名化処理済みの医療情報を保管するケースを想定する。この場合、安全性については向上するものの、例えば、年齢構成に関する匿名化処理済みの医療情報に着目すると、年齢構成については外れ値が除去されるため、年齢構成を使った統計の精度が低下することが考えられ、統計処理の用途が限定されてしまう。地域構成に関する匿名化処理済みの医療情報、及び体型構成に関する匿名化処理済みの医療情報についても同様である。従って、オリジナルの医療情報を安全に保管する技術が要望される。

そこで、オリジナルの医療情報をそのまま保管する方法に替えて、ダミー処理によりダミーデータを混在させた医療情報を保管することにより、一定水準での医療情報の安全性を確保することができる。ここで、ダミー処理について説明する。アクセス権限処理システムは、ダミーデータ管理テーブルを保持し、ダミーデータ管理テーブルに基づき医療情報（種類など）に応じたダミー処理を選択し、選択したダミー処理に基づきオリジナルの医療情報からダミーデータを含む医療情報を生成し、ダミーデータを含む医療情報を保管する。これにより、例えば、悪意のある人物により、保管されている医療情報が抜き取られたとしても、抜き取られた医療情報にはダミー処理によりダミーデータが混在されているので、抜き取られた医療情報から正しい情報をつかむことは容易ではない。ダミーデータ管理テーブルは、医療情報の提供元及び医療情報の種類等に応じたダミー処理を指定する情報を含む。

統計処理（オリジナルの医療情報）が要求された場合、アクセス権限処理システムは、ダミーデータ管理テーブルに基づきダミーデータを含む医療情報からオリジナルの医療情報を生成し、オリジナルの医療情報を匿名化し、匿名化された医療情報を統計処理し、統計結果（分析結果）を提供（出力）する。また、匿名化された医療情報の提供は一時的なものとし、統計処理後に匿名化された医療情報を削除する。以上により、医療情報から個人情報等が流出するのを防止することができる。

なお、上記アクセス制御、統計処理（分析処理）、ダミー処理、匿名化処理等の処理の全ての手順はソフトウェアによって実行することが可能である。このため、上記処理の手順を実行するプログラムを格納したコンピュータ読み取り可能な記憶媒体を通じてこのプログラムを通常のコンピュータにインストールして実行するだけで、上記処理を容易に実現することができる。

例えば、アクセス権限処理システム（分析受付ＧＷ１）は、上記プログラムをダウンロードし、ダウンロードしたプログラムを記憶し、プログラムのインストールを完了することができる。これにより、上記コンピュータに相当するアクセス権限処理システム（基本分析部３、アクセス制御部５等）は、インストールされた上記プログラムに基づき、上記処理を容易に実現することができる。

また、アクセス権限処理システムは、コンピュータ読み取り可能な記憶媒体から上記プログラムを読み取り、読み取ったプログラムを記憶し、プログラムのインストールを完了することができる。これにより、アクセス権限処理システムは、インストールされた上記プログラムに基づき、上記処理を容易に実現することができる。

その他にも、この発明の要旨を逸脱しない範囲で種々変形して実施可能である。

要するにこの発明は、上記実施形態そのままに限定されるものではなく、実施段階ではその要旨を逸脱しない範囲で構成要素を変形して具体化できる。また、上記実施形態に開示されている複数の構成要素の適宜な組み合せにより種々の発明を形成できる。例えば、実施形態に示される全構成要素から幾つかの構成要素を削除してもよい。さらに、異なる実施形態に亘る構成要素を適宜組み合せてもよい。

１…分析受付ＧＷ、２…データ出力部、３…基本分析部、４…統計処理操作ログ記憶部、５…アクセス制御部、６…アクセス制御ルール記憶部、７…年齢構成に関する匿名化処理済み情報ＤＢ、８…地域構成に関する匿名化処理済み情報ＤＢ、９…体型構成に関する匿名化処理済み情報ＤＢ、１０…統計処理用情報ＤＢ、１１…匿名化処理部。

Claims (6)

1. 匿名化処理により得られる匿名化情報の分析要求を受付ける受付手段と、
   前記分析要求に基づきログを抽出する抽出手段と、
   前記分析要求に基づき制御ルールを参照する参照手段と、
   前記ログ及び前記制御ルールに基づき前記匿名化情報へのアクセスの可否を判定する判定手段と、
   前記匿名化情報へのアクセス許可の判定に基づき前記匿名化情報の分析結果を提供する情報提供手段と、
   を備えるアクセス権限処理システム。
2. 前記抽出手段は、前記分析要求に基づき、前記匿名化情報の母集団に関する操作ログを抽出し、
   前記参照手段は、前記分析要求に基づき、前記母集団に関するアクセス制御ルールを参照し、
   前記判定手段は、前記操作ログ及び前記アクセス制御ルールに基づき前記匿名化情報へのアクセスの可否を判定する請求項１のアクセス権限処理システム。
3. 前記操作ログは、前記母集団から生成される１種類以上の匿名化情報に対して何種類の統計処理を実施したかを示す情報を含み、
   前記アクセス制限ルールは、前記母集団から生成される１種類以上の匿名化情報に対して何種類の統計処理までであれば前記匿名化情報へのアクセスを許容するかを示す情報を含む請求項２のアクセス権限処理システム。
4. 前記情報提供手段は、前記匿名化情報へのアクセス許可の判定に基づき分析処理部へ前記匿名化情報の分析を要求し、前記匿名化情報の前記分析結果を受け取り、前記分析結果を提供する請求項１乃至３の何れか１つのアクセス権限処理システム。
5. 匿名化処理により得られる匿名化情報の分析要求を受付け、
   前記分析要求に基づきログを抽出し、
   前記分析要求に基づき制御ルールを選択し、
   前記ログ及び前記制御ルールに基づき前記匿名化情報へのアクセスの可否を判定し、
   前記匿名化情報へのアクセス許可の判定に基づき前記匿名化情報の分析結果を提供するアクセス権限処理方法。
6. 請求項１乃至４の何れか１つのアクセス権限処理システムが備える各手段の処理をコンピュータに実行させるプログラム。

Images