JP7545073B2 - 処理装置、処理方法およびプログラム - Google Patents

Description

本発明は、処理装置、処理方法およびプログラムに関する。

近年、様々な業界においてAI（Artificial Intelligence）またはアルゴリズムを用いたデータ分析の利用が進んでいる。IoT（Internet of Things）の普及により、各企業が、様々な機器またはセンサ等から収集したデータを、自社独自のアルゴリズムまたは学習モデル等で分析する機会が増えている。自社内でのデータ利用にとどまらず、企業間でデータを共有し、利活用を推進する動きが活発化している（非特許文献１参照）。

各企業は、自社のノウハウとして、他社に公開せずに管理したいデータがある。データを他社に公開せずに、他社が提供するアルゴリズムを実装したデータ分析基盤を利用してデータを分析する方法として、秘密計算を用いる方法がある（非特許文献２参照）。秘密計算は、データを暗号化したまま任意の関数を計算する方法である。秘密計算により、プライバシーの問題または企業の秘密のために外に出すことが難しいデータを、アルゴリズム提供者に秘密にしたまま安全に分析することができる。

外部からの攻撃によるデータ流出に対する安全性を高めるため、メモリ上のデータを暗号化し、CPUの内部でのみ暗号化を解除する機能を備えたメモリならびにCPUがある（非特許文献３）。

総務省、"第２節 データ流通・利活用における課題"、［online］、平成29年、［令和２年８月１８日検索］、インターネット〈URL：https://www.soumu.go.jp/johotsusintokei/whitepaper/ja/h29/pdf/n2200000.pdf〉 池亮、五十嵐大、"秘密計算の発展"、［online］、２０１８年７月１日、電子情報通信学会 基礎・境界ソサイエティ Fundamentals Review Vol.12 No.1、［令和２年８月１８日検索］、インターネット〈URL：https://www.jstage.jst.go.jp/article/essfr/12/1/12_12/_pdf/-char/en〉 Costan, Victor, and Srinivas Devadas、" Intel SGX Explained "、［online］、［令和２年８月１８日検索］、インターネット〈URL：http://css.csail.mit.edu/6.858/2020/readings/costan-sgx.pdf〉

非特許文献１は、企業間でデータを共有し、利活用する動向について開示するに止まる。非特許文献１は、各企業が、自社のノウハウとしてデータまたはアルゴリズムを秘匿したまま、企業間でデータを共有可能な技術について、開示も示唆もない。

非特許文献２に開示される秘密計算は、データに依存する分岐を含むアルゴリズムなどを暗号化したままのデータに適用することができず、一部の処理を秘密計算向けの処理に書き換えなければならない場合がある。つまり秘密計算を想定せずに作られたアルゴリズムをそのまま暗号化したままのデータに適用することが難しく、一部の処理を秘密計算用に書き換えなければならないという問題がある。

また秘密計算技術を用いる場合、分析対象となるデータは暗号化されたままのために秘匿できても、分析を行うアルゴリズム及び処理プログラムは分析実行者に対して秘匿できないという課題がある。

本発明は、上記事情に鑑みてなされたものであり、本発明の目的は、コンピュータ処理で参照されるデータ、またはコンピュータ処理を実行するプログラムデータを、秘匿したまま他者が利用可能な技術を提供することである。

本発明の一態様の処理装置は、第１のユーザ端末から第１の処理データを取得し、第２のユーザ端末から第２の処理データを取得する取得部と、前記第１のユーザ端末から、前記第１の処理データと前記第２の処理データによる処理の結果データの共有の要求を受信し、前記第２のユーザ端末から、前記第１のユーザ端末による前記第２の処理データの使用の許諾を受信するマッチング部と、前記第２のユーザ端末から許諾を受信すると、前記第１の処理データと前記第２の処理データを処理して、前記結果データを出力する処理部と、前記結果データを、前記第１のユーザ端末に提供する提供部を備える。

本発明の一態様の処理方法は、コンピュータが、第１のユーザ端末から第１の処理データを取得し、第２のユーザ端末から第２の処理データを取得するステップと、前記コンピュータが、前記第１のユーザ端末から、前記第１の処理データと前記第２の処理データによる処理の結果データの共有の要求を受信し、前記第２のユーザ端末から、前記第１のユーザ端末による前記第２の処理データの使用の許諾を受信するステップと、前記コンピュータが、前記第２のユーザ端末から許諾を受信すると、前記第１の処理データと前記第２の処理データを処理して、前記結果データを出力するステップと、前記コンピュータが、前記結果データを、前記第１のユーザ端末に提供するステップを備える。

本発明の一態様は、上記処理装置として、コンピュータを機能させる処理プログラムである。

本発明によれば、コンピュータ処理で参照されるデータ、またはコンピュータ処理を実行するプログラムデータ等のデータを、秘匿したまま他者が利用可能な技術を提供することができる。

図１は、本発明の実施の形態に係る処理システムのシステム構成と、処理装置およびユーザ端末の機能ブロックを説明する図である。 図２は、処理データ蓄積部のデータ構造の一例を説明する図である。 図３は、ポリシーデータのデータ構造の一例を説明する図である。 図４は、処理システムにおける処理を説明するシーケンス図である。 図５は、暗号化された処理データを用いる処理を説明するシーケンス図である。 図６は、処理装置およびユーザ端末に用いられるコンピュータのハードウエア構成を説明する図である。

以下、図面を参照して、本発明の実施形態を説明する。図面の記載において同一部分には同一符号を付し説明を省略する。

（処理システム）
図１を参照して、本発明の実施の形態に係る処理装置１が用いられる処理システム７を説明する。処理システム７は、処理装置１、複数のユーザ端末３を備える。処理装置１は、通信ネットワーク５を介して、第１のユーザ端末３ａおよび第２のユーザ端末３ｂのそれぞれと、相互に通信可能に接続される。図１に示す例において、複数のユーザ端末３は、第１のユーザ端末３ａおよび第２のユーザ端末３ｂの２つのユーザ端末３を備える場合を説明するが、２以上のユーザ端末３を備えれば良く、ユーザ端末の数は問わない。

処理システム７は、各ユーザのポリシーに従って、各ユーザ端末３が提供する処理データの他ユーザとの共有および他ユーザによる利活用を支援する。処理データは、コンピュータ処理で参照されるデータ、またはコンピュータ処理を実行するプログラムデータである。処理システム７は、処理データそのものを他ユーザに提供することなく、処理データを用いて処理した結果データをユーザに提供する。

例えば、プログラムデータを提供する第１のユーザが、参照データを提供する第２のユーザに対して、プログラムで参照データを処理した結果の共有を要求すると、処理システム７は、ユーザ間の共有の合意を支援する。ユーザ間で参照データの処理および結果の共有が合意されると、処理装置１は、参照データをプログラムデータで処理して、その処理結果を第１のユーザに提供する。参照データを提供するユーザが、プログラムデータを提供するユーザに対して、プログラムデータの共有を要求する場合も同様である。なお処理結果は、合意に基づき共有を許可されたユーザに提供される。

従来、ユーザは、自身の持つデータを他社に公開したくないが、他ユーザのプログラムで自身のデータを処理した結果を得たいというニーズを持っている。他方で、プログラムを持つユーザは、他ユーザにプログラムを公開したくないが、自身のプログラムを利用したサービスを提供したいというニーズがある。

そこで処理装置１は、各ユーザに対して中立な立場となる第三者によって運営される。処理装置１は、例えば、クラウド上に実装される。処理装置１は、各ユーザがそれぞれ有する処理データを安全に管理し、各ユーザの合意に従って、処理データを処理し、その処理結果をユーザに返す。処理装置１は、各ユーザの有する処理データを、他ユーザに開示することなく、その利用を促すことができる。

（ユーザ端末）
ユーザ端末３は、それぞれ、処理装置１によるサービスを利用するユーザの端末である。ユーザは、個人であっても良いし、企業、団体等であっても良い。ユーザ端末３は、処理システム７の管理対象となる処理データを提供する。ユーザが企業の場合、またユーザ端末３は、企業に属する１以上の担当者が利用する端末であっても良い。

図１に示すように第１のユーザ端末３ａは、第１の処理データＤａと制御部３１ａを有する。第１の処理データＤａは、第２のユーザ端末３ｂなどの他ユーザの利用のために、処理装置１に提供されるデータである。第１の処理データＤａは、例えば、各ユーザが利用するストレージサービスに格納されても良い。

制御部３１ａは、第１の処理データＤａを処理装置１に送信する。また制御部３１ａは、処理装置１に、例えば第２のユーザ端末３ｂが提供する第２の処理データＤｂなどの、他ユーザ端末が提供する処理データの利用を要求し、その結果データ１３を取得する。制御部３１ａは、各ユーザの拠点に配置されても良いし、処理装置１が配置されたクラウド上に配置されても良い。その場合、各ユーザの拠点に配置された端末からＡＰＩ（Application Programming Interface）等を介してクラウド上の制御部３１ａにアクセスする。

また制御部３１ａは、処理データの利用に際し、他ユーザとポリシーを合意するためのインタフェースを提供する。制御部３１ａは、他ユーザが提供する処理データの利用を要求する際、その処理データを利用するポリシーを送信するインタフェースを表示し、入力されたポリシーのデータを処理装置１に送信する。また制御部３１ａは、他ユーザから、自身が提供する処理データの利用が要求される際、他ユーザからポリシーを受信したポリシーに対して許諾するか否かを応答するインタフェースを表示し、入力された応答のデータを処理装置１に送信する。制御部３１ａは、インタフェースの表示およびデータの送信を、他ユーザとポリシーが合意できるまで複数回繰り返す場合もある。

第２のユーザ端末３ｂは、第２の処理データＤｂと制御部３１ｂを有する。第２の処理データＤｂおよび制御部３１ｂは、それぞれ、第１の処理データＤａおよび制御部３１ａと同様である。

本発明の実施の形態において第１のユーザ端末３ａが、コンピュータ処理で参照されるデータを第１の処理データＤａとして提供し、第２のユーザ端末３ｂが、コンピュータ処理を実行するプログラムデータを第２の処理データＤｂとして提供する場合を説明する。第１のユーザ端末３ａが第２のユーザ端末３ｂに、第１の処理データＤａを第２の処理データＤｂで処理した結果の共有を要求し、処理装置１は、第２のユーザ端末３ｂが提供するプログラムデータで、第１のユーザ端末３ａが提供する参照データを処理して、その結果データを第１のユーザ端末３ａに提供する。この例の他にも、プログラムデータを提供するユーザが、参照データを提供するユーザに、参照データをプログラムデータで処理した結果の共有を要求して、処理結果を受領する例もある。また結果のデータは、要求ユーザが指定したユーザに提供されても良い。

また本発明の実施の形態において、第１の処理データＤａおよび第２の処理データＤｂのうち、一方がコンピュータ処理で参照されるデータで、一方がコンピュータ処理を実行するプログラムデータである場合を説明するが、これに限らない。例えば、第１の処理データＤａおよび第２の処理データＤｂの両方がコンピュータ処理で参照されるデータの場合、処理装置１が所有するプログラムまたは一般に公開されるプログラムで第１の処理データＤａおよび第２の処理データＤｂを処理する。第１の処理データＤａおよび第２の処理データＤｂの両方がコンピュータ処理を実行するプログラムデータの場合、第１の処理データＤａおよび第２の処理データＤｂが処理装置１の有するデータまたは一般に公開されるデータを処理する。

（処理装置）
処理装置１は、ユーザ端末３が提供する処理データを、そのユーザが定めるポリシーに従って管理する。処理装置１は、結果データの共有時のユーザ間のポリシーの合意を支援する。処理装置１は、ユーザ端末３の要求に従って、指定された処理データを処理して、その結果をユーザ端末３に返す。

処理装置１は、１つの拠点に配置されるが、複数の拠点に配置されても良い。またスケールアウトを考慮して処理装置１は、複数の装置で構成されても良い。

図１に示すように処理装置１は、処理データ蓄積部１１、ポリシーデータ１２、結果データ１３、揮発性メモリ１４、取得部２１、マッチング部２２、管理部２３、処理部２４および提供部２５を備える。処理データ蓄積部１１は、メモリ９０２またはストレージ９０３に実装される。ポリシーデータ１２および結果データ１３は、メモリ９０２またはストレージ９０３に記憶されるデータである。揮発性メモリ１４は、ＲＡＭ（Random Access Memory）等の揮発性記憶領域であって、後述するように、処理部２４からのみアクセスされる領域である。取得部２１、マッチング部２２、管理部２３、処理部２４および提供部２５は、CPU９０１の実行によって処理装置１に実装される機能部である。

処理データ蓄積部１１は、ユーザ端末３から取得した複数の処理データのデータセットを蓄積する記憶領域である。処理データ蓄積部１１は、例えば、図２に示すように、複数の処理データを含む。本発明の実施の形態において処理データ蓄積部１１は、第１のユーザ端末３ａが提供する第１の処理データＤａと、第２のユーザ端末３ｂが提供する第２の処理データＤｂを含む。処理データ蓄積部１１は、少なくとも処理装置１が処理するデータであって、各ユーザ端末から提供されるデータを含んでいればよい。処理データは、処理装置１による処理前に、各ユーザの管理するストレージに記憶され、処理が決定される際に処理データ蓄積部１１に格納されても良い。

また処理データ蓄積部１１は、処理データを提供したユーザ毎に、データ領域が区分され、各ユーザ端末３は、ユーザ自身に割り当てられたデータ領域にアクセス出来ても良い。ユーザ端末３は、他ユーザに処理データを利用させる場合のみならず、ユーザ自身が処理データを利用する際に処理データ蓄積部１１のユーザのデータ領域にアクセスしても良い。

ポリシーデータ１２は、各ユーザ端末３から提供されたポリシーのデータである。ポリシーデータ１２は、合意ポリシーデータ１２ａ、公開ポリシーデータ１２ｂ等の各種ポリシーデータを含む。ポリシーデータ１２は、ＪＳＯＮ（JavaScript Object Notation（Javaは登録商標））等の任意の形式で表現されても良い。

図３（ａ）を参照して、合意ポリシーデータ１２ａを説明する。合意ポリシーデータ１２ａは、あるユーザが、他のユーザが提供する処理データの処理結果の共有を要求する際、要求したユーザと要求されたユーザの間で合意される使用条件のポリシーのデータである。処理装置１は、合意ポリシーデータ１２ａに従って、要求ユーザと許諾ユーザの各ユーザが提供するデータを管理する。

合意ポリシーデータ１２ａは、ポリシーの識別子、要求ユーザの識別子、許諾ユーザの識別子、使用ユーザの識別子、処理データの識別子および使用期間等を含む。要求ユーザの識別子は、他ユーザの提供する処理データに対して、使用を要求したユーザの識別子である。許諾ユーザの識別子は、他ユーザから使用を要求された処理データを提供するユーザの識別子であって、他ユーザの要求に対して許諾または拒否するユーザの識別子である。使用ユーザの識別子は、結果データが提供されるユーザの識別子であって、要求ユーザの識別子と同一であっても良いし、異なっても良い。処理データの識別子は、要求ユーザの要求対象の処理データの識別子である。使用期間は、要求ユーザが要求対象の処理データを使用する期間である。

合意ポリシーデータ１２ａは、図３（ａ）に含む項目以外の項目を備えても良い。合意ポリシーデータ１２ａは、処理装置１が、要求ユーザと許諾ユーザのポリシーの合意状況を示す状況の項目等を備えても良い。合意状況は、例えばユーザ双方が合意するポリシーを調整している最中か、調整が終了しているかなどを示す。また合意ポリシーデータ１２ａは、要求ユーザと許諾ユーザの各担当者の識別子の項目を備えても良い。

図３（ｂ）を参照して、公開ポリシーデータ１２ｂを説明する。公開ポリシーデータ１２ｂは、処理データを提供するユーザが設定する、処理データの公開条件となるポリシーのデータである。処理装置１は、公開ポリシーデータ１２ｂに従って、各ユーザが提供した処理データを他ユーザに公開する。

公開ポリシーデータ１２ｂは、公開ポリシーの識別子、公開ユーザの識別子、公開先ユーザの識別子、処理データの識別子および公開期間等を含む。公開ユーザの識別子は、公開対象の処理データを提供するユーザの識別子である。公開先ユーザの識別子は、公開ユーザが、公開対象の処理データを公開するユーザの識別子である。公開ユーザの識別子の代わりに、公開ユーザの属性または条件等が設定されても良い。処理データの識別子は、公開対象の処理データの識別子である。公開期間は、公開ユーザが公開先ユーザに処理データを公開する期間である。

公開ポリシーデータ１２ｂは、図３（ｂ）に含む項目以外の項目を備えても良い。公開ポリシーデータ１２ｂは、処理装置１が、公開先ユーザが公開対象の処理条件を使用する際の用途等の項目を備えても良い。

結果データ１３は、処理データ蓄積部１１に蓄積される処理データを用いて処理した結果のデータである。結果データ１３は、処理データの使用を要求したユーザ端末３に提供される。

取得部２１は、第１のユーザ端末３ａから第１の処理データＤａを取得し、第２のユーザ端末３ｂから第２の処理データＤｂを取得する。取得部２１は、第１の処理データＤａおよび第２の処理データＤｂを、処理データ蓄積部１１に蓄積する。

マッチング部２２は、第１のユーザ端末３ａからの第２の処理データＤｂの処理の結果データの共有の要求について、第１のユーザと第２のユーザ間の合意を支援する。マッチング部２２は、第１のユーザ端末３ａから、第１の処理データＤａと第２の処理データＤｂによる処理の結果データの要求を受信する。ここで第１の処理データＤａは、第１のユーザ端末３ａから提供されたデータであるので、マッチング部２２は、第２のユーザ端末３ｂから、第１のユーザ端末３ａによる第２の処理データＤｂの許諾を受信する。

マッチング部２２は、第１のユーザ端末３ａから要求とともにポリシーを受信する場合がある。例えば第２のユーザ端末３ｂが第２の処理データＤｂについて設定した公開ポリシーを参照し、変更を希望する場合、第１のユーザ端末３ａは、その変更内容を含むポリシーを処理装置１に送信する。または第２のユーザ端末３ｂが公開ポリシーを設定していない場合でも、第１のユーザ端末３ａは、第２の処理データＤｂを利用するためのポリシーを処理装置１に送信する。マッチング部２２は、第１のユーザ端末３ａから要求とポリシーを受信すると、ポリシーを第２のユーザ端末３ｂに通知し、第１のユーザ端末３ａおよび第２のユーザ端末３ｂが承諾したポリシーを特定する。処理装置１は、第１のユーザ端末３ａおよび第２のユーザ端末３ｂの双方が合意するまで、ポリシーの送受信を繰り返す。

ここで合意されるポリシーは、図３に示す項目のほか、使用するデータの範囲、使用目的等を含んでも良い。例えば要求対象の第２の処理データＤｂがセンサの測定値の場合、そのセンサが測定された期間を含んでも良い。この場合、処理装置１は、第２の処理データＤｂのうち、ポリシーで設定された期間のデータを抽出して処理する。

管理部２３は、マッチング部２２によって特定されたポリシーに従って、第１の処理データＤａおよび第２の処理データＤｂを管理する。管理部２３は、処理データ蓄積部１１に蓄積された各処理データを、ポリシーデータ１２に従って制御する。

例えば管理部２３は、ポリシーデータ１２で設定された公開先ユーザに対して処理データを公開し、それ以外のユーザに対して処理データを公開しないなど、アクセス制御を行う。

管理部２３は、ポリシーデータ１２で設定された公開期間を徒過した処理データの公開を停止する。

また管理部２３は、第２のユーザ端末３ｂから第２の処理データＤｂを削除する要請を受信すると、ポリシーデータ１２を参照して、第２の処理データＤｂの利用に関する合意ポリシー、より具体的には使用期間の残存する合意ポリシーの有無を確認する。合意ポリシーがない場合、管理部２３は、第２の処理データＤｂを、処理データ蓄積部１１から削除する。第２の処理データＤｂの利用に関する合意ポリシーがある場合、具体的には第２のユーザ端末３ｂから第１のユーザ端末３ａに対する第２の処理データＤｂの使用の許諾を受信し、使用期間が残存するときに、第２のユーザ端末３ｂから、第２の処理データＤｂの削除の要求がある場合がある。この場合、マッチング部２２が、第１のユーザ端末３ａに第２の処理データＤｂの削除の要求を通知し、第１のユーザ端末３ａから承諾を受信すると、管理部２３は、第２の処理データＤｂを削除する。管理部２３は、合意ポリシーを確認の上、処理データを削除することにより、処理データを利用するユーザに不都合が生じないように、処理データ蓄積部１１を管理する。なお、合意ポリシーとして、処理データを削除する際の条件等が予め定められている場合、管理部２３は、その条件に従って処理データを削除する。

また管理部２３は、処理データ蓄積部１１に蓄積された各処理データについて、他ユーザから利用された回数、期間、日時、利用したユーザ名等を記録しても良い。この記録は、処理データを提供したユーザ端末３から、処理データを利用したユーザに対する費用の請求に用いられる。これにより、処理システム７を用いた処理データの利活用を促進することができる。また処理データが利用された回数は、処理装置１によるセキュリティ管理および監査の対価として、処理データを提供したユーザに対する費用の請求に用いられても良い。

処理部２４は、第２のユーザ端末３ｂから許諾を受信すると、第１の処理データＤａと第２の処理データＤｂを処理して、結果データ１３を出力する。処理部２４は、揮発性メモリ１４を用いて処理する。処理部２４は、結果データ１３を出力した後、揮発性メモリ１４のデータを削除する。処理が終了すると、処理部２４は、その処理に用いたデータを削除する。

ここで揮発性メモリ１４および処理部２４は、保護領域１０と称する。保護領域１０に、ユーザ間で処理データの共有の合意がなされると、その合意に基づいて処理を行うコンテナ等の作業領域が生成され、その合意に基づく処理が終了すると、その作業領域が消去される。保護領域１０は、ユーザ端末３等の外部端末からは接続できず、処理装置１内から接続可能に形成される。ユーザ間の合意毎にコンテナ等の個別の作業領域が生成され、処理後に作業領域が消去されるので、処理データの流出を防止することができる。

処理部２４が、複数の合意に従って処理する際、各合意においてプログラムデータが共通し、参照データが異なる場合、処理部２４は、各処理が終了した後に、揮発性メモリ１４からプログラムデータを削除しても良い。同様に、処理部２４が、各合意において参照データが共通し、プログラムデータが異なる場合、処理部２４は、各処理が終了した後に、揮発性メモリ１４から参照データを削除しても良い。

処理部２４はさらに、処理データを処理する際、検証スクリプトで、処理データを検証しても良い。処理部２４は、プログラムに入力される参照データである処理データのデータ形式、構造、メタデータ、処理データの単位、作成時刻などの付加情報に齟齬がなく、当該処理データを、プログラムデータで処理が可能であるかを確認する。確認した後、処理部２４は、処理データを揮発性メモリ１４に書き出し、処理を開始する。検証スクリプトのデータは、例えば、ユーザ端末３が処理データを処理装置１に提供する際、他ユーザとの処理の合意がなされた際など、処理部２４が処理データを処理する前に、ユーザ端末３から処理装置１に提供される。

処理部２４が検証した結果、処理をすることができない場合、参照データを提供したユーザ端末３に処理ができないことを通知する。処理をすることができる場合、処理部２４は、参照データを揮発性メモリ１４に読み出して、処理を行い、結果データ１３を出力する。

ユーザ毎に任意の形式でデータを記憶する場合でも、処理部２４が事前に検証することにより、不正確な処理結果の出力を回避することができる。

提供部２５は、結果データ１３を、使用ユーザに提供する。提供部２５は、結果データ１３が生成されると、合意ポリシーデータ１２ａを参照して使用ユーザの識別子を取得し、その使用ユーザのユーザ端末３に結果データ１３を送信する。あるいは、提供部２５は、結果データ１３の取得の要請があった際に、合意ポリシーデータ１２ａを参照して使用ユーザの識別子を取得し、要請元がその使用ユーザである場合、その使用ユーザのユーザ端末３に結果データ１３を送信しても良い。提供部２５は、合意ポリシーデータ１２ａで設定される使用ユーザがアクセス可能な記憶領域に、結果データ１３を記憶しても良い。また第１のユーザ端末３ａに結果データを提供したことをトリガーとして、外部のＡＰＩをキックするなどのアクチュエーションが発生しても良い。

図４を参照して、処理システム７における処理を説明する。

ステップＳ１１において第１のユーザ端末３ａは、第１の処理データＤａを処理装置１に送信する。ステップＳ１２において第２のユーザ端末３ｂは、第２の処理データＤｂを処理装置１に送信する。ステップＳ１３において処理装置１の取得部２１は、ステップＳ１１およびステップＳ１２で取得した第１の処理データＤａおよび第２の処理データＤｂを、処理データ蓄積部１１に記憶する。ここで、ステップＳ１１およびステップＳ１２において、各処理データの公開ポリシーが送信された場合、取得部２１は、公開ポリシーをポリシーデータ１２に蓄積し、管理部２３は、送信された公開ポリシーに従って、各処理データを管理する。

ステップＳ１４において第１のユーザ端末３ａが、第２の処理データＤｂを使って、第１の処理データとともに処理し、処理の結果データ１３を第１のユーザ端末３ａが共有する要求を、処理装置１に送信する。このとき第１のユーザ端末３ａは、第２の処理データの使用に伴うポリシーも、処理装置１に送信する。処理装置１のマッチング部２２は、要求を受信すると、その要求を第２のユーザ端末３ｂに送信する。第２のユーザ端末３ｂは、受信した要求の内容を表示し、ユーザからその要求を許諾するか否かの指示を待機する。許諾する指示が入力されると、第２のユーザ端末３ｂは、許諾する旨をマッチング部２２に返す。マッチング部２２は、第２のユーザ端末３ｂの許諾に従って、合意ポリシーデータ１２ａにポリシーを設定する。

なお、第１のユーザ端末３ａが提示したポリシーに対して第２のユーザ端末３ｂのユーザが許諾しない場合、第２のユーザ端末３ｂは、ユーザがから入力されたポリシーの変更内容をマッチング部２２に送信し、マッチング部２２は、ポリシーの変更内容を第１のユーザ端末３ａに送信する。第１のユーザ端末３ａは、受信したポリシーの変更内容を表示し、ユーザからその変更を許諾するか否かの指示を待機する。許諾する指示が入力されると、第１のユーザ端末３ａは、許諾する旨をマッチング部２２に返す。マッチング部２２は、第１のユーザ端末３ａの許諾に従って、合意ポリシーデータ１２ａにポリシーを設定する。第１のユーザ端末３ａおよび第２のユーザ端末３ｂ間のポリシーの送受信は、双方が合意するまで複数回繰り返されても良い。

第１のユーザ端末３ａおよび第２のユーザ端末３ｂ間でポリシーが合意されると、ステップＳ１８において処理部２４は、第１の処理データＤａと第２の処理データを揮発性メモリ１４に書き込む。ステップＳ１９において処理部２４は、揮発性メモリ１４の処理データを処理して結果データ１３を生成する。結果データ１３が生成されると、ステップＳ２０において処理部２４は、ステップＳ１９の処理で読み書きされた揮発性メモリ１４のデータを削除する。

ステップＳ２１において提供部２５は、結果データ１３を第１のユーザ端末３ａに提供する。

このような処理システム７によれば、複数のユーザ間で秘匿したいプログラムデータおよびプログラムの参照データそのものを共有することなく、ユーザ間で合意した処理の結果のみを共有することができる。処理システム７は、高度なノウハウを含むプログラムおよび参照データをサービスとして提供することが可能になる。また、機密性の高い参照データを持つユーザは、他ユーザのプログラムによる処理結果を得ることが可能となり、精度の向上や複雑な処理の外部サービス利用による実現が可能となる。

処理システム７は、プログラムデータおよび参照データそのものを、他ユーザに公開することなく、安全にユーザ間で利用することが可能となる。様々なユーザが提供するプログラムを使った高精度な分析、およびより広範囲のデータの利活用が、推進される。処理システム７は、ユーザ自身の利用のみに留めていたプログラムデータおよび参照データを、他ユーザが複製できない形で、他ユーザに処理結果のみを提供し、またデータを提供したユーザは利用に応じた料金を得ることも可能になる。データを提供するユーザおよびそのデータを活用するユーザの双方が、データの利活用のメリットを享受することができる。

また本発明の実施の形態において、参照データとプログラムデータについて、それぞれ１つのデータセットのデータを処理部２４が処理する場合を説明したが、これに限らない。処理部２４は、少なくとも一方が複数のデータセットのデータを処理しても良い。またこれらのデータセットは、３以上のユーザにより提供されてもよく、その場合、マッチング部２２は、これらのデータセットを提供する各ユーザ間で、処理の合意を支援する。

（変形例）
変形例において、処理装置１の処理データ蓄積部１１は、暗号化された処理データを蓄積し、処理部２４は、暗号化された処理データを、処理部２４の中でのみ暗号化を解除して、処理データを処理する場合を説明する。ここで用いられる処理部２４は、非特許文献３で開示される方法で実装される。具体的には処理部２４は、処理部２４を実装するＣＰＵ内のレジスタ内でのみ、暗号化されたデータを復号して、その復号されたデータを処理する。

変形例において、第１のユーザ端末３ａの制御部３１ａは、第１の処理データＤａを、処理装置１の処理部２４のＣＰＵ内で復号可能な公開鍵で暗号化して、処理装置１に送信する。第１のユーザ端末３ａの制御部３１ａは、処理装置１の処理部２４のＣＰＵ内で復号可能な公開鍵で暗号化した第１の処理データＤａをさらに、第１のユーザ端末３ａの公開鍵で二重に暗号化しても良い。第２のユーザ端末３ｂの制御部３１ｂも同様に、第２の処理データＤｂを、処理装置１の処理部２４のＣＰＵ内で復号可能な公開鍵で暗号化して、処理装置１に送信する。第２のユーザ端末３ｂの制御部３１ｂは、処理装置１の処理部２４のＣＰＵ内で復号可能な公開鍵で暗号化した第２の処理データＤｂをさらに、第２のユーザ端末３ｂの公開鍵で二重に暗号化しても良い。なお、処理装置１は、ポリシーの合意時など、第１のユーザ端末３ａの秘密鍵および第２のユーザ端末３ｂの秘密鍵を、処理部２４による処理前に、保持する。

処理装置１の取得部２１は、各ユーザ端末３の公開鍵と処理部２４のＣＰＵ内で復号可能な公開鍵で暗号化された第１の処理データＤａおよび第２の処理データＤｂを取得する。取得部２１は、暗号化された第１の処理データＤａおよび第２の処理データＤｂを処理データ蓄積部１１に蓄積する。処理データ蓄積部１１に蓄積された処理データは、各ユーザ端末３の公開鍵と処理部２４で復号可能な公開鍵で暗号化されているので、この処理データが流出しても、データが解読されるのは難しい。

第１のユーザ端末３ａおよび第２のユーザ端末３ｂ間で処理の合意がなされると、処理部２４は、暗号化された第１の処理データＤａを第1のユーザ端末３ａの秘密鍵で復号し、第２の処理データＤｂを第２のユーザ端末３ｂの秘密鍵で復号して、揮発性メモリ１４に記憶する。揮発性メモリ１４に記憶された処理データは、処理部２４のＣＰＵ内で復号可能な公開鍵で暗号化されているので、揮発性メモリ１４内の処理データが流出しても、データが解読されるのは難しい。

処理部２４は、暗号化された第１の処理データＤａおよび第２の処理データＤｂをＣＰＵ内で復号して、復号された第１の処理データＤａおよび第２の処理データＤｂを処理して、結果データ１３を出力する。復号された第１の処理データＤａおよび第２の処理データＤｂは、ＣＰＵのレジスタ内でのみ存在するので、データの流出が困難になる。変形例において復号された第１の処理データＤａおよび第２の処理データＤｂは、処理装置１内において、処理部２４のみがアクセスできる揮発性メモリ１４のみに記憶される。結果データ１３は、第１のユーザ端末３ａに提供される。また処理部２４は、処理に用いた揮発性メモリ１４のデータを削除する。

図５を参照して、変形例に係る処理システム７における処理を説明する。

ステップＳ３１において第１のユーザ端末３ａは、第１の処理データＤａを、第１のユーザ端末３ａの公開鍵と処理部２４の公開鍵で二重に暗号化して、処理装置１に送信する。ステップＳ３２において第２のユーザ端末３ｂは、第２の処理データＤｂを、第２のユーザ端末３ｂの公開鍵と処理部２４の公開鍵で二重に暗号化して、処理装置１に送信する。

ステップＳ３３において処理装置１の取得部２１は、ステップＳ３１で取得した第１の処理データＤａとステップＳ３２で取得した第２の処理データＤｂを、処理データ蓄積部１１に記憶する。なお、処理データ蓄積部１１に蓄積された第１の処理データＤａおよび第２の処理データＤｂは、各ユーザ端末３の公開鍵と処理部２４で復号可能な公開鍵で暗号化されたままである。

ステップＳ３４において処理システム７は、第１のユーザ端末３ａおよび第２のユーザ端末３ｂの間で、処理の結果データ１３を共有するポリシーの合意を行う。詳細は、図４のステップＳ１４ないしＳ１７で説明したとおりである。

第１のユーザ端末３ａおよび第２のユーザ端末３ｂ間でポリシーが合意されると、ステップＳ３５において処理部２４は、処理データ蓄積部１１の暗号化された処理データを、各ユーザ端末３の秘密鍵で復号する。ステップＳ３６において処理部２４は、復号した第１の処理データＤａと第２の処理データを揮発性メモリ１４に書き込む。揮発性メモリ１４に記憶された処理データは、処理部２４のＣＰＵ内で復号可能な公開鍵で暗号化されている。

ステップＳ３７において処理部２４は、ＣＰＵのレジスタ内で、処理部２４の秘密鍵で処理データを復号して、処理データを処理して結果データ１３を生成する。結果データ１３が生成されると、ステップＳ３８において処理部２４は、ステップＳ３７の処理で読み書きされた揮発性メモリ１４のデータを削除する。

ステップＳ３９において提供部２５は、結果データ１３を第１のユーザ端末３ａに提供する。

変形例において、処理データ蓄積部１１に蓄積される処理データは、各ユーザ端末３の公開鍵と処理部２４が復号可能な暗号鍵で暗号化され、揮発性メモリ１４に記憶される処理データは、処理部２４が復号可能な暗号鍵で暗号化される。処理データ蓄積部１１および揮発性メモリ１４に記憶されたデータは、外部からの攻撃によるデータ流出に対する安全性を高めることができる。また揮発性メモリ１４に記憶されるデータが暗号化されていても、ＣＰＵのレジスタ内でのみ復号可能な技術（非特許文献３）を用いることにより、ＣＰＵはデータを処理することができる。処理システム７は、サービスを提供する各ユーザに対しても処理データが暗号化された状態で保持し、処理部２４の内部でのみ復号されるので、処理データを安全に流通させることができる。

（適用例）
本発明の実施の形態および変形例に係る処理システム７が適用例として３例を説明する。

まず、製造業におけるコスト予測に用いる例を説明する。

ある製品の設計図を有する企業Ａと、設計図のデータからコストを予測するプログラムを有する企業Ｂがある。企業Ａは、新しく作成した非公開の設計図でどの程度の生産コストが発生するかを知るために、企業Ｂの持つプログラムを使用してコスト予測結果を得たい。

一方企業Ｂは、企業Ａなどの他社にプログラムを使用した結果を教えることでプログラムの利用料をとるなどのサービスを提供しビジネスを拡大したい。しかし、企業Ａのコスト予測プログラムは、自社のノウハウとして他社に公開できない情報であるため、企業Ｂは企業Ａとの間で社外秘のデータやアルゴリズムを安全に流通させる手段を持たない。

一方製造業界、あるいは企業Ａまたは企業Ｂに利害関係のない中立な第三者が提供する処理システム７が、企業間でプログラムデータとプログラムに入力される参照データを用いた処理結果を共有する基盤を提供する。企業Ｂは、自社の持つコスト予測プログラムを用いたコスト予測サービスを、処理システム７を利用して開発し提供する。企業Ａが企業Ｂの提供するコスト予測サービスを利用すると、処理装置１は、企業Ａと企業Ｂの合意のもと、企業Ａの設計図データと企業Ｂのコスト予測プログラムを暗号化して受け取り、処理する。処理装置１は、処理結果のみを企業Ａに送り、企業Ａは、設計図を公開することなく、生産コストの予測を把握することができる。また処理装置１は、企業Ｂに対してプログラムを使用した処理の回数等の情報を共有することで、企業Ｂは、プログラムを公開せずにプログラムの使用料金を企業Ａに対して請求可能となる。

具体的には、企業Ｂの第２のユーザ端末３ｂは、コスト予測プログラムである第２の処理データＤｂを、暗号化して処理装置１に送信する。企業Ｂの提供するコスト予測サービスを利用する企業Ａの第１のユーザ端末３ａは、設計図データである第１の処理データＤａを、暗号化して処理装置１に送信する。処理装置１はコスト予測プログラムおよび設計図データを処理データ蓄積部１１に保存する。企業Ａは、コスト予測プログラムを設計図データに適用した処理結果を得るために、企業Ｂに対するコスト予測プログラムの処理要求、および設計図データに関するポリシーを、処理装置１に送信する。処理装置１のマッチング部２２は、企業Ｂの第２のユーザ端末３ｂに、企業Ａから送られた処理要求に基づくコスト予測プログラムの使用許諾条件を表示する。企業Ｂの許諾を得ると、マッチング部２２は、許諾された使用条件を表すポリシーをポリシーデータ１２に登録する。

処理部２４は、許諾されたコスト予測プログラムおよび設計図データを処理データ蓄積部１１から保護領域１０に送って保護領域１０内で復号し、コスト予測プログラムおよび設計図データを用いた処理の結果データ１３を得る。処理装置１は、結果データ１３を、提供部２５を通して企業Ａに送信する。あるいは処理装置１は、企業Ａが参照可能なデータベース（図示せず）に、結果データ１３を保存しても良い。保護領域１０内で復号されたコスト予測プログラムおよび復号された設計図データは、削除される。企業Ａは、処理結果を用いることで、自社内での分析よりも高精度なコスト予測を実施し生産計画や設計図の改良に役立てることができる。企業Ｂは、コスト予測プログラムの使用回数等に応じて企業Ａから使用料金を得るほか、自社サービスを利用する顧客に無料で提供するなどにより、顧客満足度を高め顧客獲得や囲い込みを行うことができる。

次に、医療機関との保険等級算出に用いる例を説明する。

病院である医療機関Ａと、保険会社である企業Ｂと、医療機関Ａの患者がある。医療機関Ａは、ある患者の健康診断結果を非公開の情報として持つ。企業Ｂは、自社の保険商品を契約している患者の情報と、健康診断結果に基づき保険等級を算出するプログラムを持つ。患者は、企業Ｂの保険を契約しようとしている。

患者が保険契約の変更や申し込みを行う際、企業Ｂは、自社の保険商品を契約する患者の最新の健康診断結果に応じた保険等級を計算したいと考えているが、個人情報保護のため患者の健康診断結果を直接受け取ることはできない。

健康診断を受信した患者に対し、企業Ｂは、健康診断結果データを提供すれば保険商品の見積もりや申し込みが可能であることを知らせる。患者自身が保険の申し込みや保険料金の見積もり等を行うために、患者の健康診断結果のデータを提供することについて、処理装置１は、医療機関Ａ、企業Ｂおよび患者の三者から合意を得る。処理装置１は、医療機関Ａの持つ患者の健康診断結果データと、企業Ｂの保険等級算出プログラムを、それぞれ暗号化して受け取り、処理結果のみを企業Ｂに送る。これにより患者は、健康診断結果を企業Ｂに公開せずに企業Ｂによる保険等級を算出でき、保険商品の契約変更や新規申し込みを行うことができる。企業Ｂは保険等級算出プログラムを公開することなく、正確な患者の保険等級の情報を得ることができる。

具体的には、患者が、自身の健康診断データの公開条件を設定し、または企業Ｂの保険等級算出プログラムによる自身の健康診断データの使用に同意する。患者もしくは患者の許諾を得た医療機関Ａの持つ第1のユーザ端末３ａは、当該患者の健康診断データである第1の処理データＤａを、暗号化して処理装置１に送信する。企業Ｂの持つ第２のユーザ端末３ｂは、保険等級算出プログラムである第２の処理データＤｂを、暗号化して処理装置１に送信する。処理装置１は、保険等級算出プログラムおよび健康診断データを処理データ蓄積部１１に保存する。この際、患者の医療情報の流出に対するセキュリティをさらに高めるために保護領域１０に、ＣＰＵのレジスタ内でのみ復号可能な機能を持つＣＰＵおよびメモリが用いられても良い。患者は、保険等級算出プログラムを自身の健康診断データに適用した処理結果を得るために、企業Ｂに対する保険等級算出プログラムを使用した処理要求、および自身の健康診断データに関するポリシーを、処理装置１に送信する。処理装置１のマッチング部２２は、企業Ｂの第２のユーザ端末３ｂに、企業Ａから送られた処理要求に基づく保険等級算出プログラムの使用許諾条件を表示する。企業Ｂの許諾を得ると、マッチング部２２は、許諾された使用条件に対応するポリシーをポリシーデータ１２に登録する。患者の同意があれば保険等級算出プログラムを使用した処理を自動的に許可する場合、患者からの処理要求を自動的に許諾するポリシーが設定されてもよい。

処理部２４は、許可された保険等級算出プログラムおよび健康診断データを処理データ蓄積部１１から取得し、保護領域１０内で復号化して保険等級算出プログラムおよび健康診断データを用いた処理の結果の結果データ１３を得る。処理装置１は、結果データ１３を、提供部２５を通して患者に送信する。あるいは処理装置１は、患者が参照可能なデータベース（図示せず）に、結果データ１３を保存しても良い。保護領域１０内で復号された保険等級算出プログラムおよび復号された健康診断データは、削除される。患者は、処理結果を参考にして保険等級を把握し、企業Ｂの保険商品の中で自身が申し込み可能な商品を確認することなどができる。企業Ｂは、保険等級算出プログラムを提供することで顧客となる可能性のある患者に対し自社の商品を紹介したり、商品の選択や申し込み手続きを簡単にしたりすることができる。

最後に、小売業界における仕入れ予測に用いる例を説明する。

全国にスーパーマーケットを展開する小売企業Ａと、メーカーの企業Ｂがある。企業Ａは、全国のスーパーマーケットチェーンの売り上げ情報を非公開のデータとして持っている。企業Ｂは、地域ごとの高精度な仕入れ量予測プログラムを持っている。企業Ａは、ある地域の店舗の仕入れ予測精度を高めるため、企業Ｂの持つ仕入れ量予測プログラムを使用したいと考えている。企業Ｂは、非公開のプログラムを使った予測結果を企業Ａに提供することで利益を得たいと考えている。しかし、企業Ａの持つ売上情報も、企業Ｂの持つ予測プログラムも非公開であるため、企業Ａおよび企業Ｂの希望を実現する方法がなかった。

処理装置１が、企業Ａと企業Ｂの合意のもと、企業Ａの売り上げデータと企業Ｂの仕入れ量予測プログラムを暗号化して受け取り、処理する。処理装置１は、処理結果のみを企業Ａに送り、企業Ａは、売り上げデータを公開することなく、企業Ｂのアルゴリズムで処理した地域ごとの高精度な仕入れ量予測結果を得ることができる。処理装置１は、企業Ｂに対してプログラムを使用した処理の回数等の情報を共有することで、企業Ｂは、プログラムを公開せずにプログラムの使用料金を企業Ａに対して請求可能となる。

具体的には、企業Ｂの第２のユーザ端末３ｂは、仕入れ量予測プログラムである第２の処理データＤｂを、暗号化した処理装置１に送信する。企業Ｂの提供する高精度の仕入れ量予測サービスを利用する企業Ａの第１のユーザ端末３ａは、売り上げデータである第１の処理データＤａを、暗号化して処理装置１に送信する。処理装置１は仕入れ量予測プログラムおよび売り上げデータを処理データ蓄積部１１に保存する。企業Ａは、仕入れ量予測プログラムを自社の売り上げデータに適用した処理結果を得るために、企業Ｂに対する仕入れ量予測プログラムの処理要求、および売り上げデータに関するポリシーを、処理装置１に送信する。処理装置１のマッチング部２２は、企業Ｂの第２のユーザ端末３ｂに、企業Ａから送られた処理要求に基づく仕入れ量予測プログラムの使用許諾条件を表示する。企業Ｂの許諾を得ると、マッチング部２２は、許諾された使用条件を表すポリシーをポリシーデータ１２に登録する。

処理部２４は、許諾された仕入れ量予測プログラムおよび売り上げデータを処理データ蓄積部１１から保護領域１０に送って保護領域１０内で復号し、仕入れ量予測プログラムおよび売り上げデータを用いた処理の結果データ１３を得る。処理装置１は、結果データ１３を、提供部２５を通して企業Ａに送信する。あるいは処理装置１は、企業Ａが参照可能なデータベース（図示せず）に、結果データ１３を保存しても良い。保護領域１０内で復号された仕入れ量予測プログラムおよび復号された売り上げデータは、削除される。企業Ａは受信した処理結果を用いることで、自社の分析方法による予測よりも高精度な仕入れ量の予測が可能となる。企業Ｂは仕入れ量予測プログラムの使用回数等に応じて企業Ａにプログラム使用量を請求する、自社サービスの利用に伴う特典として仕入れ量予測プログラムの使用を許可するなどの方法により、企業Ａを顧客として利益を生じさせたり、顧客満足度を高めたりといった効果が得られる。

上記説明した本実施形態の処理装置１およびユーザ端末３は、それぞれ、例えば、CPU（Central Processing Unit、プロセッサ）９０１と、メモリ９０２と、ストレージ９０３（HDD：Hard Disk Drive、SSD：Solid State Drive）と、通信装置９０４と、入力装置９０５と、出力装置９０６とを備える汎用的なコンピュータシステムが用いられる。このコンピュータシステムにおいて、CPU９０１がメモリ９０２上にロードされた所定のプログラムを実行することにより、処理装置１およびユーザ端末３の各機能が実現される。

なお、処理装置１およびユーザ端末３は、それぞれ１つのコンピュータで実装されてもよく、あるいは複数のコンピュータで実装されても良い。また処理装置１およびユーザ端末３は、それぞれ、コンピュータに実装される仮想マシンであっても良い。

処理装置１およびユーザ端末３のそれぞれのプログラムは、HDD、SSD、USB（Universal Serial Bus）メモリ、CD (Compact Disc)、DVD (Digital Versatile Disc)などのコンピュータ読取り可能な記録媒体に記憶することも、ネットワークを介して配信することもできる。

なお、本発明は上記実施形態に限定されるものではなく、その要旨の範囲内で数々の変形が可能である。

１ 処理装置
３ ユーザ端末
５ 通信ネットワーク
７ 処理システム
１０ 保護領域
１１ 処理データ蓄積部
１２ ポリシーデータ
１３ 結果データ
１４ 揮発性メモリ
２１ 取得部
２２ マッチング部
２３ 管理部
２４ 処理部
２５ 提供部
３１ 制御部
９０１ CPU
９０２ メモリ
９０３ ストレージ
９０４ 通信装置
９０５ 入力装置
９０６ 出力装置
Ｄａ 第１の処理データ
Ｄｂ 第２の処理データ

Claims (8)

1. 第１のユーザ端末が提供する第１の処理データと、第２のユーザ端末が提供する第２の処理データを含む、複数の処理データを取得する取得部と、
   前記第１のユーザ端末から、前記第１の処理データと前記第２の処理データによる処理の結果データの共有の要求を受信し、前記第２のユーザ端末から、前記第１のユーザ端末による前記第２の処理データの使用の許諾と、前記第１のユーザ端末および前記第２のユーザ端末から、第３のユーザ端末への結果データの共有の合意を受信するマッチング部と、
   前記第２のユーザ端末から許諾を受信すると、前記第１のユーザ端末からの共有の要求で指定された前記第１の処理データと前記第２の処理データを処理して、前記第３のユーザ端末に、前記結果データを出力する処理部と、
   前記結果データを、前記第１のユーザ端末に提供する提供部
   を備える処理装置。
2. 処理データは、コンピュータ処理で参照されるデータ、またはコンピュータ処理を実行するプログラムデータである
   請求項１に記載の処理装置。
3. 前記取得部は、前記処理部のＣＰＵ内で復号可能な暗号鍵で暗号化された第１の処理データおよび第２の処理データを取得し、
   前記処理部は、暗号化された第１の処理データおよび第２の処理データを前記ＣＰＵ内で復号して、復号された前記第１の処理データおよび前記第２の処理データを処理して、前記結果データを出力する
   請求項１または２に記載の処理装置。
4. 前記取得部は、前記処理装置で復号可能な暗号鍵で暗号化された第１の処理データおよび第２の処理データを取得し、
   前記処理部は、暗号化された第１の処理データおよび第２の処理データを復号して前記処理部がアクセス可能な揮発性メモリに記憶し、復号された前記第１の処理データおよび前記第２の処理データを処理して、前記結果データを出力する
   請求項１ないし３のいずれか１項に記載の処理装置。
5. 前記処理部は、前記結果データを出力した後、前記揮発性メモリのデータを削除する
   請求項４に記載の処理装置。
6. 前記マッチング部は、共有の要求とポリシーを受信すると、前記ポリシーを前記第２のユーザ端末に通知し、前記第１のユーザ端末および前記第２のユーザ端末が承諾したポリシーを特定し、
   特定されたポリシーに従って、前記第１の処理データおよび前記第２の処理データを管理する管理部
   をさらに備える請求項１ないし３のいずれか１項に記載の処理装置。
7. コンピュータが、第１のユーザ端末が提供する第１の処理データと、第２のユーザ端末が提供する第２の処理データを含む、複数の処理データを取得するステップと、
   前記コンピュータが、前記第１のユーザ端末から、前記第１の処理データと前記第２の処理データによる処理の結果データの共有の要求を受信し、前記第２のユーザ端末から、前記第１のユーザ端末による前記第２の処理データの使用の許諾と、と、前記第１のユーザ端末および前記第２のユーザ端末から、第３のユーザ端末への結果データの共有の合意を受信するステップと、
   前記コンピュータが、前記第２のユーザ端末から許諾を受信すると、前記第１のユーザ端末からの共有の要求で指定された前記第１の処理データと前記第２の処理データを処理して、前記第３のユーザ端末に、結果データを出力するステップと、
   前記コンピュータが、前記結果データを、前記第１のユーザ端末に提供するステップ
   を備える処理方法。
8. コンピュータを、請求項１ないし請求項６のいずれか１項に記載の処理装置として機能させるためのプログラム。

Images