JP2024151833A - データ開示装置、及びデータ開示方法 - Google Patents

Abstract

【課題】利用目的に合致した場合にのみ、データを開示するとともに、開示後のデータが他の用途で参照されてしまうことに対するリスクを低減する。
【解決手段】データ開示装置は、ユーザからのクエリに応じてデータを開示するデータ開示装置であって、１以上の演算装置と、１以上のメモリリソースと、１以上の記憶装置と、を備え、前記演算装置は、前記クエリを受け付け、前記クエリが所定のルールを順守しているか否かを確認し、前記クエリが前記所定のルールを順守していることを確認できた場合、前記クエリに応じたクエリ処理としてテーブルデータを検索することによりクエリ実行結果を取得し、前記ユーザが保持する秘密鍵に対応する公開鍵を用いて前記クエリ実行結果を暗号化し、暗号化した前記クエリ実行結果を前記ユーザに提供することを特徴とする。
【選択図】図１

Description

本発明は、データ開示装置、及びデータ開示方法に関する。

例えば、あるメーカに対して同一の部品を供給する複数のサプライヤが存在する場合、競合するサプライヤ間で、部品に関する各種の情報（原料調達先、原料価格、製造コスト、納品価格等）を共有することは通常あり得ない。

しかしながら、例えば、災害や戦争等の有事に際しては、部品の欠品、納期遅延、品質低下等を防ぐため、競合するサプライヤ間で部品に関するデータを共有する必要が生じ得る。ただし、自社のデータを競合他社に開示するに際しては、誤ってデータが他に流出した場合でも、当該データを秘匿できる仕組みが必要である。

データの開示、秘匿に関し、例えば特許文献１には「機密情報を含むデータを所有するデータホルダ端末から秘匿情報処理サーバに提供される前記データの暗号化データに対してデータ処理を行う秘匿情報処理システムであって、前記秘匿情報処理サーバは、前記暗号化データに対する処理要求を受信する処理要求実行部と、前記暗号化データを暗号化したまま所定条件に合致するデータを抽出する秘匿抽出の実行を指示する秘匿抽出処理部と、安全な信頼領域において当該信頼領域のみで利用可能な暗号鍵を用いて前記暗号化データを復号し処理する信頼領域処理部と、前記秘匿抽出を実行可能な秘匿抽出可能暗号で暗号化された前記暗号化データを格納する暗号化データ保持部と、を備え、前記処理要求実行部が前記処理要求を受信すると、前記信頼領域処理部が、前記処理要求及び前記暗号鍵に基づいて、前記処理要求における処理対象の条件に合致するデータの抽出を前記秘匿抽出によって行う秘匿抽出クエリを生成し、前記秘匿抽出処理部が、前記生成された前記秘匿抽出クエリの実行を指示することによって、前記暗号化データ保持部から暗号化したまま前記処理対象の暗号化データを抽出し、前記信頼領域処理部が、前記秘匿抽出処理部が抽出した前記処理対象の暗号化データを前記暗号鍵で復号して、前記処理要求が要求するデータ処理を実行し、前記処理要求実行部が、前記データ処理の実行結果を前記処理要求の送信元に返信することを特徴とする秘匿情報処理システム」が記載されている。

また、例えば特許文献２には「加工処理の対象となるソースデータから生成される二次データが、統計情報を用いるデータ取扱いルールに準拠しているか否かを判定する判定部と、前記判定部による判定結果に応じた処理を行うデータ処理部と、を備え、前記判定部は、前記二次データの生成に先立って、前記加工処理の対象となる前記ソースデータから前記統計情報を推定し、前記推定された前記統計情報に基づいて生成される前記二次データが前記統計情報の統計値を満たしているか否かに基づいて、前記データ取扱いルールに準拠しているか否かを判定し、前記データ処理部は、前記データ取扱いルールに準拠していると判定された場合に前記加工処理を実行して前記二次データを生成し、前記データ取扱いルールに準拠していないと判定された場合に前記加工処理を実行しない、データ管理装置」が記載されている。

特開２０２１－３９１４３号公報 特開２０２２－１３７８５７号公報

特許文献１に記載の技術によれば、いわゆる検索可能暗号を用いてデータを公開できる。しかしながら、利用者側に提供されたデータが利用者によって当初の利用目的の範囲内でのみ利用されているか否かを確認することはできない。

特許文献２に記載の技術によれば、生成される二次データがデータ取扱いルールに準拠していない場合にソースデータを二次データに加工する加工処理を行わないことにより、データ準備工数を削減できる。しかしながら、利用者側に提供された二次データについては、だれがどのような目的であっても参照可能となっている。

本発明は、上記の点に鑑みてなされたものであって、利用目的に合致した場合にのみ、データを開示するとともに、開示後のデータが他の用途で参照されてしまうことに対するリスクを低減できるようにすることを目的とする。

本願は、上記課題の少なくとも一部を解決する手段を複数含んでいるが、その例を挙げるならば、以下の通りである。

上記課題を解決するため、本発明の一態様に係るデータ開示装置は、ユーザからのクエリに応じてデータを開示するデータ開示装置であって、１以上の演算装置と、１以上のメモリリソースと、１以上の記憶装置と、を備え、前記演算装置は、前記クエリを受け付け、前記クエリが所定のルールを順守しているか否かを確認し、前記クエリが前記所定のルールを順守していることを確認できた場合、前記クエリに応じたクエリ処理としてテーブルデータを検索することによりクエリ実行結果を取得し、前記ユーザが保持する秘密鍵に対応する公開鍵を用いて前記クエリ実行結果を暗号化し、暗号化した前記クエリ実行結果を前記ユーザに提供することを特徴とする。

本発明によれば、利用目的に合致した場合にのみ、データを開示できるとともに、開示後のデータが他の用途で参照されてしまうことに対するリスクを低減できる。

上記した以外の課題、構成、及び効果は、以下の実施形態の説明により明らかにされる。

図１は、本発明の第１の実施形態に係るデータ開示システムの構成例を示す図である。 図２は、ルール管理テーブルの一例を示す図である。 図３は、ユーザテーブルの一例を示す図である。 図４は、公開鍵管理テーブルの一例を示す図である。 図５は、ルール順守公開鍵対応管理テーブルの一例を示す図である。 図６は、秘密鍵管理テーブルの一例を示す図である。 図７は、第１の実施形態に対応するデータ開示処理の一例を説明するフローチャートである。 図８は、ＵＩ画面の表示例を示す図である。 図９は、ＵＩ画面の表示例を示す図である。 図１０は、本発明の第２の実施形態に係るデータ開示システムの構成例を示す図である。 図１１は、第２の実施形態に対応するデータ開示処理の一例を説明するフローチャートである。

以下、本発明の複数の実施形態について図面に基づいて説明する。なお、各実施形態を説明するための全図において、同一の部材には原則として同一の符号を付し、その繰り返しの説明は省略する。また、以下の実施形態において、その構成要素（要素ステップ等も含む）は、特に明示した場合、及び原理的に明らかに必須であると考えられる場合等を除き、必ずしも必須ではない。また、「Ａからなる」、「Ａよりなる」、「Ａを有する」、「Ａを含む」と言うときは、特にその要素のみである旨明示した場合等を除き、それ以外の要素を排除しない。同様に、以下の実施形態において、構成要素等の形状、位置関係等に言及するときは、特に明示した場合及び原理的に明らかにそうでないと考えられる場合等を除き、実質的にその形状等に近似又は類似するもの等を含む。

＜本発明の第１の実施形態に係るデータ開示システム１０－１の構成例＞
図１は、本発明の第１の実施形態に係るデータ開示システム１０－１の構成例を示している。

データ開示システム１０－１は、例えば、ユーザＡ，Ｂ，Ｃからのクエリに応じ、データ参照の利用目的が所定のルールに合致している場合にのみ、クエリに応じたデータを開示するようにするものである。

データ開示システム１０－１は、データ開示装置２０、及びデータ開示装置２０とネットワーク１１を介して接続されたクライアント装置３０Ａ～３０Ｃを備える。

ネットワーク１１は、ＬＡＮ(Local Area Network)やＷＡＮ(Wide Area Network)、インターネット等の双方向通信網である。クライアント装置３０Ａ～３０Ｃは、パーソナルコンピュータ等の一般的なコンピュータである。

データ開示装置２０は、ＣＰＵ（Central Processing Unit）等のプロセッサ２１、ＤＲＡＭ(Dynamic Random Access Memory)等のメモリ２２、ＨＤＤ(Hard Disk Drive)やＳＳＤ(Solid State Drive)等のストレージ２３、Ethernet（商標）カードやＷｉ－Ｆｉ（商標）アダプタ等の通信ＩＦ（Interface）２４、並びにＩ／Ｏ２５を介して接続されたディスプレイ等の出力デバイス２６、及びキーボードやマウス、メディアドライブ等の入力デバイス２７を備えるサーバコンピュータやパーソナルコンピュータ等の一般的なコンピュータからなる。プロセッサ２１、メモリ２２、及びストレージ２３は、それぞれ本発明の演算装置、メモリリソース、及び記憶装置に相当する。

プロセッサ２１は、メモリ２２に格納されたプログラム２２１を実行することにより、公開鍵登録部２１１、クエリ受付部２１２、データ開示制御部２１３、ルール順守チェック部２１４、クエリ実行部２１５、暗号化部２１６、及び認証・合意管理部２１７の各機能ブロックを実現する。

なお、プログラム２２１は、予めメモリ２２に格納しておいてもよいし、必要な時に、ストレージ２３から読み出したり、入力デバイス２７から入力したり、通信ＩＦ２４を介して他の装置からダウンロードしたりしてメモリ２２に格納するようにしてもよい。公開鍵登録部２１１は、ユーザから送信された一つ以上の公開鍵を公開鍵管理テーブル２３６に登録する。

クエリ受付部２１２は、ＵＩ画面１０００（図８）に対してユーザが入力したクエリを受け付け、クエリＩＤを発行してルール順守公開鍵対応管理テーブル２３７に登録する。

データ開示制御部２１３は、ユーザがクエリを入力するための画面であって、且つ、クエリ実行結果を提示するＵＩ画面１０００（図８）をクライアント装置３０Ａ～３０Ｃに表示させる。

ルール順守チェック部２１４は、ユーザからのクエリ、又は当該クエリの実行結果が所定のルールを順守しているか否かを確認し、その確認結果をクエリＩＤに対応付けてルール順守公開鍵対応管理テーブル２３７に登録する。

クエリ実行部２１５は、ユーザからのクエリに応じたクエリ処理を実行する。例えば、クエリ実行部２１５は、クエリ処理として、クエリに合致するデータをテーブルデータ２３１から抽出、取得する。そして、クエリ実行部２１５は、クエリ実行結果（テーブルデータ２３１から抽出、取得したデータ）をクエリＩＤに対応付けてルール順守公開鍵対応管理テーブル２３７に登録する。

暗号化部２１６は、クエリ実行部２１５によるクエリ実行結果を、対応するクエリを入力したユーザのユーザＩＤに対応付けて公開鍵管理テーブル２３６に登録されている公開鍵を用いて暗号化する。なお、同一のユーザＩＤに対応付けて複数の公開鍵が公開鍵管理テーブル２３６に登録されている場合、暗号化部２１６が一つの公開鍵を選択して暗号化に用いればよい。

認証・合意管理部２１７は、所定の認証サーバからユーザ認証情報を取得してルール順守公開鍵対応管理テーブル２３７に登録する。ユーザ認証情報の項目を設けたことにより、認証されたユーザにのみ、データを開示することができる。また、認証・合意管理部２１７は、クエリを送信したユーザに対してデータを開示することに関し、データ保有者の合意を取得して、ルール順守公開鍵対応管理テーブル２３７に登録する。データ保有者の合意の項目を設けたことにより、データ保有者の合意が得られている場合のみ、データを開示することができる。

ストレージ２３には、そのＤＢデータ領域にテーブルデータ２３１、及びビューデータ２３２が格納される。テーブルデータ２３１には、ユーザＡ，Ｂ，Ｃ等に開示するデータが記録されている。ストレージ２３にテーブルデータ２３１を格納することにより、開示するデータを一元的に管理できる。ビューデータ２３２は、クエリ実行部２１５によって実行されたクエリ実行結果であり、以前に実行済みのクエリが再び受け付けられた場合に流用される。ビューデータ２３２を記録しておくことにより、以前に実行済みのクエリが再び受け付けられた場合のクエリ処理を省略できる。また、ストレージ２３には、ルール管理テーブル２３４、ユーザテーブル２３５、公開鍵管理テーブル２３６、及びルール順守公開鍵対応管理テーブル２３７が格納される。

ルール管理テーブル２３４は、ストレージ２３に予め格納されている。ルール管理テーブル２３４には、クエリに関するルールや、クエリ実行結果に関するルールが予め登録されている。

ユーザテーブル２３５は、ストレージ２３に予め格納されている。ユーザテーブル２３５には、ユーザの属性（属する国（地域）、組織等）が登録されている。

公開鍵管理テーブル２３６には、公開鍵登録部２１１により、ユーザから送信された公開鍵が登録される。

ルール順守公開鍵対応管理テーブル２３７には、ユーザから送信されたクエリを処理する過程における各種の情報が登録される。各テーブルの詳細については後述する。

通信ＩＦ２４は、ネットワーク１１を介してクライアント装置３０等と接続し、各種のデータ、情報を通信する。Ｉ／Ｏ２５は、出力デバイス２６に対して各種データを出力し、入力デバイス２７から入力されるデータを受け付ける。

プロセッサ２１が実行するプログラムは、リムーバブルメディア（ＣＤ－ＲＯＭ、フラッシュメモリなど）又はネットワークを介してデータ開示装置２０に提供され、非一時的記憶媒体であるストレージ２３に格納される。このため、データ開示装置２０は、リムーバブルメディアからデータを読み込むインターフェースを有するとよい。

また、データ開示装置２０は、物理的に一つの計算機上で、又は、論理的又は物理的に構成された複数の計算機上で構成される計算機システムであり、複数の物理的計算機資源上に構築された仮想計算機上で動作してもよい。例えば、データ開示装置２０の機能を実現する複数のプログラムは、各々が別個の物理的又は論理的計算機上で動作するものでも、複数が組み合わされて一つの物理的又は論理的計算機上で動作するものでもよい。

ユーザＡ，Ｂ，Ｃそれぞれが使用するクライアント装置３０Ａ～３０Ｃは、パーソナルコンピュータ等の一般的なコンピュータである。クライアント装置３０Ａは、クライアント装置３０Ａがデータ開示装置２０に登録した公開鍵（暗号鍵）に対応する秘密鍵（復号鍵）を管理する秘密鍵管理テーブル３１を有する。秘密鍵管理テーブル３１の詳細については後述する。クライアント装置３０Ｂ，３０Ｃについても同様である。

以下、ユーザＡ，Ｂ，Ｃ、及びクライアント装置３０Ａ～３０Ｃを個々に区別する必要がない場合、単に、ユーザ、及びクライアント装置３０と称する。

次に、図２は、ルール管理テーブル２３４の一例を示している。ルール管理テーブル２３４には、ルールＩＤに対応付けて、ルールの内容、適用国（地域）、及び適用組織の各項目の情報が登録されている。ただし、ルール管理テーブル２３４に記録される項目は上述した例に限られない。

ルールＩＤの項目には、当該ルールを一意に識別するための識別情報が登録されている。適用国（地域）、及び適用組織の項目には、適用当該ルールの適用対象とするユーザの属性（国（地域）、組織）が登録されている。適用国（地域）、及び適用組織の項目を設けたことにより、ルールの適用対象を設定できる。

例えば、図２のルールＩＤが「Rule1」であるルールは、その内容が「日集計値の場合、・・・」であり、適用国が「日本」であり、適用組織が「Ｔ社グループ」であることを表している。

次に、図３は、ユーザテーブル２３５の一例を示している。ユーザテーブル２３５には、ユーザＩＤに対応付けて、ユーザが属する国（地域）、及び組織の各項目の情報が登録されている。ただし、ユーザテーブル２３５に登録される項目は上述した例に限られない。ユーザＩＤの項目には、当該ユーザを一意に識別するための識別情報が登録されている。

例えば、図３のユーザＩＤが「UserA」であるユーザは、属する国、及び組織が「日本」、「Ｔ社」であることを表している。

次に、図４は、公開鍵管理テーブル２３６の一例を示している。公開鍵管理テーブル２３６には、ユーザＩＤに対応付けて、当該ユーザから送信された公開鍵が登録される。ただし、ルール管理テーブル２３４に登録される項目は上述した例に限られない。

例えば、図４のユーザＩＤが「UserA」であるユーザが送信した公開鍵は、「KeyA_1～KeyA_10」の１０種類であることを表している。ユーザは複数の公開鍵を登録でき、当該複数の公開鍵にそれぞれ対応する秘密鍵を保持しているので、仮に秘密鍵の一部が流出したとしても、流出していない秘密鍵に対応する公開鍵を用いて開示するデータを暗号化すれば、開示したデータの漏洩を抑止できる。

次に、図５は、ルール順守公開鍵対応管理テーブル２３７の一例を示している。ルール順守公開鍵対応管理テーブル２３７には、クエリＩＤに対応付けて、ルール順守結果、違反ルール、認証ユーザ、国（地域）、組織、対象テーブルデータ、データ保有者、保有者合意、公開鍵番号、及びクエリ実行結果の各項目の情報が登録される。

クエリＩＤの項目には、ユーザが送信されたクエリを一意に識別するための識別情報が登録される。ルール順守結果の項目には、当該クエリが当該クエリに適用された全てのルールを順守しているか否かを表す情報が登録される。違反ルールの項目には、当該クエリが順守していないルールのルールＩＤが登録される。認証ユーザ、国（地域）、及び組織の項目には、当該クエリを送信したユーザのユーザＩＤ、属する国（地域）、及び組織が登録される。対象テーブルの項目には、当該クエリによって要求されたデータを含むテーブルデータ２３１の識別情報が登録される。データ保有者、及び保有者合意の項目には、当該クエリによって要求されたテーブルデータ２３１の保有者の識別情報、及び当該保有者のデータ開示に対する合意の有無が登録される。公開鍵番号の項目には、当該クエリに応じてデータを開示する際のデータの暗号化に用いた公開鍵の番号が登録される。クエリ実行結果には、当該クエリの結果を表すビューデータ２３２へのパスが登録される。

例えば、図５のクエリＩＤが「Ｑ１」であるクエリは、ルールＩＤが「Rule1」であるルールに順守しておらず、当該クエリは実行されなかったことを表している。また例えば、クエリＩＤが「Ｑ２」であるクエリは、ルール順守結果が「ＯＫ」であり、他に問題がないため、クエリが実行されて、その結果が公開鍵「KeyA_1」を用いて暗号化されてユーザに開示されたことを表している。さらに、例えば、クエリＩＤが「Ｑ４」であるクエリは、ユーザＩＤ「UserA」、「UserB」、「UserC」から送信されているが、「UserA」又は「UserB」の一方からのクエリが実行され、当該一方からのクエリを実行した結果「View4」がビューデータ２３２として保存され、他方に対するクエリ実行結果として流用されたことを表している。また、「UserC」からのクエリ「Ｑ４」については、対象テーブル「Table2」の保有者である「Org2」が「UserC」又はその属性（国や組織）に対するデータの開示に合意していないため、当該クエリは実行されなかったことを表している。

次に、図７は、第１の実施形態によるデータ開示処理の一例を説明するフローチャートである。

当該データ開示処理の前提として、データ開示装置２０のストレージ２３には、テーブルデータ２３１、ルール管理テーブル２３４、及びユーザテーブル２３５が格納済みであるとする。また、クライアント装置３０には、データ開示制御部２１３によってＵＩ画面１０００（図８）が表示されているものとする。

図８、及び図９は、クライアント装置３０に表示されたＵＩ画面１０００の表示例を示している。ＵＩ画面１０００は、ユーザがクエリを入力するための入力欄１００１、ユーザがクエリの実行を指示するための「実行」ボタン１００２、クエリ実行結果を表示するための表示欄１００３が設けられている。なお、図８はクエリ実行結果が得られた場合、図９はクエリ実行結果が得られなかった場合の表示例である。

当該データ開示処理は、例えば、ユーザが、ＵＩ画面１０００の入力欄１００１にクエリを入力し、「実行」ボタン１００２を操作したことに応じ、当該クエリ、及びユーザの公開鍵がデータ開示装置２０に送信されたことに応じて開始される。

はじめに、公開鍵登録部２１１が、ユーザの公開鍵を公開鍵管理テーブル２３６に登録する（ステップＳ１）。次に、クエリ受付部２１２が、ユーザからのクエリにクエリＩＤを発行し、ルール順守公開鍵対応管理テーブル２３７に登録する（ステップＳ２）。

次に、ルール順守チェック部２１４が、ユーザテーブル２３５を参照してユーザの属性（国、組織）を確認し、ルール管理テーブル２３４を参照してユーザからのクエリに適用するルールを特定する。そして、ルール順守チェック部２１４が、当該クエリが当該ルールを順守しているか否かを確認し、当該クエリのクエリＩＤに対応付けて、ルール順守結果、違反ルール、認証ユーザ、国（地域）、組織、対象テーブル、及びデータ保有者の各項目の情報をルール順守公開鍵対応管理テーブル２３７に登録する（ステップＳ３）。ただし、当該ルールの内容によって、クエリ実行結果を確認しなければ当該ルールを順守しているか否かを判定できないルールがある。その場合、クエリ実行部２１５が、当該クエリに応じたクエリ処理を実行し、そのクエリ実行結果に基づいて、ルール順守チェック部２１４が、当該クエリが当該ルールを順守しているか否かを判定するようにすればよい。

次に、ルール順守チェック部２１４が、ステップＳ３において当該クエリが当該ルールを順守していることを確認できたか否かを判定する（ステップＳ４）。

ここで、ルール順守チェック部２１４が、当該クエリが当該ルールを順守していることを確認できたと判定した場合（ステップＳ４でＹＥＳ）、次に、認証・合意管理部２１７が、クエリを送信したユーザの正当性を確認するためのユーザ認証情報を例えば、所定のサーバから取得し、また、データ保有者による当該ユーザに対するデータ提供の合意の有無を表す合意情報を当該データ保有者から取得する。そして、認証・合意管理部２１７が、ユーザ認証情報、及び合意情報を、当該クエリのクエリＩＤに対応付けて、ルール順守公開鍵対応管理テーブル２３７に登録する（ステップＳ５）。

次に、クエリ実行部２１５が、当該クエリに応じたクエリ処理を実行する。具体的には、ストレージ２３のＤＢデータ領域に格納されているテーブルデータ２３１から、当該クエリに合致するデータを抽出、取得する（ステップＳ６）。なお、上述したステップＳ３において、既に当該クエリに応じたクエリ処理を実行済みである場合、ステップＳ６ではクエリ処理を省略し、ステップＳ３で得たクエリ実行結果を流用してもよい。

次に、クエリ実行部２１５が、クエリ実行結果（テーブルデータ２３１から抽出、取得したデータ）をビューデータ２３２としてストレージ２３のＤＢデータ領域に格納し、当該ビューデータ２３２へのパスをルール順守公開鍵対応管理テーブル２３７に登録する（ステップＳ７）。

次に、暗号化部２１６が、公開鍵管理テーブル２３６から、当該クエリを送信したユーザに対応する公開鍵を取得し、当該公開鍵を暗号鍵として用い、クエリ実行結果を暗号化する。さらに、暗号化部２１６が、当該公開鍵の番号をルール順守公開鍵対応管理テーブル２３７に登録する（ステップＳ８）。

次に、データ開示制御部２１３が、暗号化されたクエリ実行結果へのパス（ＵＲＬ(Uniform Resource Locator）、及び暗号化に使用した公開鍵の番号をクライアント装置３０に送信する（ステップＳ９）。これに応じ、クライアント装置３０では、表示されているＵＩ画面１０００（図８）の表示欄１００３に、暗号化されたクエリ実行結果へのパス（ＵＲＬ）が表示される。当該パスをユーザが操作すると、暗号化されたクエリ実行結果がクライアント装置３０にダウンロードされ、暗号化に使用した公開鍵に対応する復号鍵を用いて復号されてユーザに提示される。

なお、ステップＳ４において、ルール順守チェック部２１４が、当該クエリが当該ルールを順守していることを確認できなかったと判定した場合（ステップＳ４でＮＯ）、次に、データ開示制御部２１３が、クエリ実行結果を提供できないことをクライアント装置３０に送信する（ステップＳ１０）。これに応じ、クライアント装置３０では、表示されているＵＩ画面１０００（図９）の表示欄１００３に、クエリ実行結果を提供できない旨のメッセージを表示する。以上が、第１の実施形態によるデータ開示処理の説明である。

以上に説明したデータ開示処理によれば、予め定められたルールを順守できるクエリのみに応じて、データを開示することができる。なお、データを開示する際には、当該クエリを送信したユーザが管理している秘密鍵でのみ復号可能な暗号化データが提供されるので、仮に当該暗号化データが外部に流出した場合であっても、その内容が参照されることを抑止できる。

＜本発明の第２の実施形態に係るデータ開示システム１０－２の構成例＞
次に、図１０は、本発明の第２の実施形態に係るデータ開示システム１０－２の構成例を示している。

データ開示システム１０－２は、データ開示システム１０－１（図１）に対し、データ開示装置２０のプロセッサ２１が実現する機能ブロックとして、クエリ結果統合部２１８を追加したものである。また、データ開示システム１０－２は、データ開示システム１０－１においてストレージ２３に格納していたテーブルデータ２３１の代わりに、ネットワーク１１に接続されたデータ保有者サーバ４０に暗号化テーブルデータ４１を格納したものである。なお、データ保有者サーバ４０の数は、一つに限らず、複数存在し得る。

データ開示システム１０－２の構成要素のうち、クエリ結果統合部２１８、データ保有者ＤＢ４０、及び暗号化テーブルデータ４１以外のものについては、データ開示システム１０－１の構成要素と共通であって同一の符号を付しているので、その説明は適宜省略する。

データ開示システム１０－２におけるクエリ実行部２１５とデータ保有者サーバ４０とは、いわゆる検索可能暗号技術を用いることに、暗号化されている暗号化テーブルデータ４１からクエリに応じたデータを暗号化された状態で抽出、取得することができる。

クエリ結果統合部２１８は、１以上のデータ保有者ＤＢ４０の暗号化テーブルデータ４１から抽出、取得された、暗号化されたクエリ実行結果を、予め保持する復号鍵を用いて復号して統合する。

次に、図１１は、第２の実施形態によるデータ開示処理の一例を説明するフローチャートである。

当該データ開示処理は、第１の実施形態によるデータ開示処理（図７）のステップＳ６を、ステップＳ２１，Ｓ２２に置換したものである。ステップＳ１～Ｓ５，Ｓ７～１０については、第１の実施形態によるデータ開示処理（図７）と同様であるので、その説明は適宜省略する。

ステップＳ５の後、次に、クエリ実行部２１５が、当該クエリを実行する。具体的には、データ保有者ＤＢ４０に格納されている暗号化テーブルデータ４１から、当該クエリに応じたデータを抽出、取得する（ステップＳ２１）。次に、クエリ結果統合部２１８が、クエリ実行部２１５によるクエリ実行結果である、暗号化された状態のクエリ実行結果を、予め保持する復号鍵を用いて復号して統合する（ステップＳ２１）。

次に、クエリ実行部２１５が、復号されて統合されたクエリ実行結果をビューデータ２３２としてストレージ２３のＤＢデータ領域に格納し、当該ビューデータ２３２へのパスをルール順守公開鍵対応管理テーブル２３７に登録する（ステップＳ７）。

これ以降、図７のステップＳ８～Ｓ１０と同様の処理が行われる。以上が、第２の実施形態によるデータ開示処理の説明である。

以上に説明した第２の実施形態によるデータ開示処理によれば、第１の実施形態と同様の作用、効果が得られることに加え、開示するデータ（テーブルデータ）をデータ保有者ＤＢ４０にて暗号化された状態で管理できる。

本発明は、上述した実施形態に限定されるものではなく、様々な変形が可能である。例えば、上述した実施形態は本発明を分かりやすく説明するために詳細に説明したものであり、必ずしも説明した全ての構成を備えるものに限定されるものではない。また、ある実施形態の構成の一部を他の実施形態の構成に置き換えたり、追加したりすることが可能である。

また、上記の各構成、機能、処理部、処理手段等は、それらの一部又は全部を、例えば集積回路で設計する等によりハードウェアで実現してもよい。また、上記の各構成、機能等は、プロセッサがそれぞれの機能を実現するプログラムを解釈し、実行することによりソフトウェアで実現してもよい。各機能を実現するプログラム、テーブル、ファイル等の情報は、メモリや、ハードディスク、ＳＳＤ(Solid State Drive)等の記録装置、又は、ＩＣカード、ＳＤカード、ＤＶＤ等の記録媒体に置くことができる。また、制御線や情報線は説明上必要と考えられるものを示しており、製品上必ずしも全ての制御線や情報線を示しているとは限らない。実際には殆ど全ての構成が相互に接続されていると考えてもよい。

１０－１，１０－２・・・データ開示システム、１１・・・ネットワーク、２０・・・データ開示装置、２１・・・プロセッサ、２２・・・メモリ、２３・・・ストレージ、２６・・・出力デバイス、２７・・・入力デバイス、３０・・・クライアント装置、３１・・・秘密鍵管理テーブル、４０・・・データ保有者サーバ、４１・・・暗号化テーブルデータ、２１１・・・公開鍵登録部、２１２・・・クエリ受付部、２１３・・・データ開示制御部、２１４・・・ルール順守チェック部、２１５・・・クエリ実行部、２１６・・・暗号化部、２１７・・・認証・合意管理部、２１８・・・クエリ結果統合部、２２１・・・プログラム、２３１・・・テーブルデータ、２３２・・・ビューデータ、２３４・・・ルール管理テーブル、２３５・・・ユーザテーブル、２３６・・・公開鍵管理テーブル、２３７・・・ルール順守公開鍵管理テーブル、２３７・・・ルール順守公開鍵対応管理テーブル、２３７・・・ルール順守公開鍵対応テーブル、１０００・・・ＵＩ画面

Claims (9)

1. ユーザからのクエリに応じてデータを開示するデータ開示装置であって、
   １以上の演算装置と、１以上のメモリリソースと、１以上の記憶装置と、を備え、
   前記演算装置は、
   前記クエリを受け付け、
   前記クエリが所定のルールを順守しているか否かを確認し、
   前記クエリが前記所定のルールを順守していることを確認できた場合、前記クエリに応じたクエリ処理としてテーブルデータを検索することによりクエリ実行結果を取得し、
   前記ユーザが保持する秘密鍵に対応する公開鍵を用いて前記クエリ実行結果を暗号化し、
   暗号化した前記クエリ実行結果を前記ユーザに提供する
   ことを特徴とするデータ開示装置。
2. 請求項１に記載のデータ開示装置であって、
   前記演算装置は、
   前記ユーザからの１以上の前記公開鍵を受け付けて前記記憶装置に登録し、
   前記クエリ実行結果の暗号化に用いた前記公開鍵の情報を前記ユーザに提供する
   ことを特徴とするデータ開示装置。
3. 請求項１に記載のデータ開示装置であって、
   前記演算装置は、
   前記記憶装置に格納された前記テーブルデータを検索することにより前記クエリ実行結果を取得する
   ことを特徴とするデータ開示装置。
4. 請求項１に記載のデータ開示装置であって、
   前記演算装置は、
   ネットワークを介して接続可能な１以上のデータベースに格納された暗号化された状態の前記テーブルデータを検索することによって、暗号化された状態の前記クエリ実行結果を取得し、
   前記データベースから取得した、１以上の暗号化された状態の前記クエリ実行結果を復号して統合する
   ことを特徴とするデータ開示装置。
5. 請求項１に記載のデータ開示装置であって、
   前記演算装置は、
   前記ユーザの属性に基づいて前記クエリに適用する前記ルールを特定する
   ことを特徴とするデータ開示装置。
6. 請求項１に記載のデータ開示装置であって、
   前記演算装置は、
   前記ユーザが認証された場合のみ、前記クエリ処理を実行する
   ことを特徴とするデータ開示装置。
7. 請求項１に記載のデータ開示装置であって、
   前記演算装置は、
   前記テーブルデータの保有者から前記ユーザに対する前記データの開示について合意が得られた場合のみ、前記クエリ処理を実行する
   ことを特徴とするデータ開示装置。
8. 請求項１に記載のデータ開示装置であって、
   前記演算装置は、
   前記クエリ実行結果を前記記憶装置に格納し、
   前記記憶装置に格納した前記クエリ実行結果に対応するクエリを再び受け付けた場合、前記クエリ処理を省略して、前記記憶装置に格納した前記クエリ実行結果を流用する
   ことを特徴とするデータ開示装置。
9. ユーザからのクエリに応じてデータを開示するデータ開示装置によるデータ開示方法であって、
   前記データ開示装置は、１以上の演算装置と、１以上のメモリリソースと、１以上の記憶装置と、を有し、
   前記データ開示方法は、
   前記演算装置が、前記クエリを受け付け、
   前記演算装置が、前記クエリが所定のルールを順守しているか否かを確認するステップと、
   前記演算装置が、前記クエリが前記所定のルールを順守していることを確認できた場合、前記クエリに応じたクエリ処理としてテーブルデータを検索することによりクエリ実行結果を取得するステップと、
   前記演算装置が、前記ユーザが保持する秘密鍵に対応する公開鍵を用いて前記クエリ実行結果を暗号化するステップと、
   前記演算装置が、暗号化した前記クエリ実行結果を前記ユーザに提供するステップと、
   を含むことを特徴とするデータ開示方法。
   

Images