JP2018109838A - 情報処理装置、情報処理システム、プログラム、及び情報処理方法 - Google Patents

Abstract

【課題】情報解析機関が要求する秘匿化程度に対応する秘匿化個人情報を提供する。
【解決手段】秘匿化部２２２は、情報提供機関から提供される個人情報に対して第１秘匿化処理を適用することで、第１秘匿化個人情報を生成する。記憶部２２４は、第１秘匿化処理の秘匿化程度を示す第１秘匿化程度情報２３１を記憶し、転送部２２３は、情報解析機関が使用するストレージ装置２１３へ第１秘匿化個人情報を転送する。次に、比較部２２１は、第１秘匿化程度情報２３１と、情報解析機関が要求する第２秘匿化処理の秘匿化程度を示す第２秘匿化程度情報とを比較して、比較結果を生成する。秘匿化部２２２は、比較結果に基づいて個人情報に対して第２秘匿化処理を適用することで、第２秘匿化個人情報を生成し、転送部２２３は、ストレージ装置２１３へ第２秘匿化個人情報を転送する。
【選択図】図２

Description

本発明は、情報処理装置、情報処理システム、プログラム、及び情報処理方法に関する。

近年、ビッグデータ分析に対するニーズがますます高まっている。ビッグデータ分析において、より正確で有用な分析結果を得るためには、可能な限り多くのデータサンプルの収集を行うことが望ましい。

政府は、国内の医療分野におけるビッグデータ分析を促進する施策を将来的に実施する計画を持っている。この施策によれば、病院の電子カルテのデータが収集され、収集されたデータが匿名データに加工され、匿名データがビッグデータ分析に利用可能なデータとして、データの利活用を希望する団体へ提供される予定である。

電子カルテは、患者のプライバシーに関わる個人情報を多く含むデータである。このため、これらのデータを大量に収集する際には、個人情報の流出が起こらないような対策を講じることが望まれる。

患者のカルテ情報、患者又は検体から得た医療情報等を利用するための技術も知られている（例えば、特許文献１及び特許文献２を参照）。

国際公開第２００３／０３００４７号パンフレット 特開２００５−２９３２７３号公報

上述した政府の施策に基づいて、情報解析機関が電子カルテを収集して解析する際、個人情報の秘匿化処理に対して患者が希望する秘匿化程度と、情報解析機関が要求する秘匿化程度とが異なる場合がある。

なお、かかる問題は、病院における電子カルテを収集する場合に限らず、他の情報提供機関における他の個人情報を収集する場合においても生ずるものである。

１つの側面において、本発明は、情報解析機関が要求する秘匿化程度に対応する秘匿化個人情報を提供することを目的とする。

１つの案では、情報処理装置は、比較部、秘匿化部、転送部、及び記憶部を含む。秘匿化部は、情報提供機関から提供される個人情報に対して第１秘匿化処理を適用することで、第１秘匿化個人情報を生成する。記憶部は、第１秘匿化処理の秘匿化程度を示す第１秘匿化程度情報を記憶し、転送部は、情報解析機関が使用するストレージ装置へ第１秘匿化個人情報を転送する。

次に、比較部は、第１秘匿化程度情報と、情報解析機関が要求する第２秘匿化処理の秘匿化程度を示す第２秘匿化程度情報とを比較して、比較結果を生成する。秘匿化部は、比較結果に基づいて個人情報に対して第２秘匿化処理を適用することで、第２秘匿化個人情報を生成し、転送部は、ストレージ装置へ第２秘匿化個人情報を転送する。

実施形態によれば、情報解析機関が要求する秘匿化程度に対応する秘匿化個人情報を提供することができる。

先願の情報処理システムの構成図である。 実施形態の情報処理システムの構成図である。 秘匿化処理のフローチャートである。 情報処理システムの具体例を示す図である。 病院システムの構成図である。 バックアップストレージ装置の構成図である。 ＶＭの機能的構成図である。 収集ストレージ装置の構成図である。 個人情報に含まれる基本テーブルを示す図である。 個人情報に含まれる診察テーブルを示す図である。 モードＭ１で用いられる秘匿化程度情報を示す図である。 モードＭ２で用いられる秘匿化程度情報を示す図である。 ＩＤテーブルを示す図である。 日時テーブルを示す図である。 加工テーブルを示す図である。 秘匿化個人情報に含まれる基本テーブルを示す図である。 秘匿化個人情報に含まれる診察テーブルを示す図である。 データ形式を変換する処理を示す図である。 モードＭ１における情報提供シーケンスを示す図である。 モードＭ２における動作シーケンスを示す図（その１）である。 モードＭ２における動作シーケンスを示す図（その２）である。 モードＭ２における動作シーケンスを示す図（その３）である。 モードＭ２における動作シーケンスを示す図（その４）である。 モードＭ２における動作シーケンスを示す図（その５）である。 モードＭ２における動作シーケンスを示す図（その６）である。 モードＭ２における動作シーケンスを示す図（その７）である。 モードＭ２における動作シーケンスを示す図（その８）である。 モードＭ２における動作シーケンスを示す図（その９）である。 モードＭ２における動作シーケンスを示す図（その１０）である。 モードＭ２における動作シーケンスを示す図（その１１）である。 モードＭ２における動作シーケンスを示す図（その１２）である。 情報処理装置のハードウェア構成図である。

以下、図面を参照しながら、実施形態を詳細に説明する。
図１は、先願である特願２０１６−２１３５９０号に記載された情報処理システムの構成例を示している。図１の情報処理システムにおいて、情報提供機関は、電子カルテのデータを提供する病院であり、情報解析機関は、電子カルテのデータを収集して解析する政府等の機関である。

図１の情報処理システム１０１は、病院システム１１１−１〜病院システム１１１−Ｍ（Ｍは２以上の整数）、バックアップシステム１１２、及び解析システム１１３を含む。病院システム１１１−ｉ（ｉ＝１〜Ｍ）は、ｉ番目の病院の病院システムである。

バックアップシステム１１２は、バックアップストレージ装置１２１−１〜バックアップストレージ装置１２１−Ｍ、サーバ１２２−１〜サーバ１２２−Ｎ（Ｎは１以上、かつ、Ｍ以下の整数）、及びサーバ１２３を含む。

各サーバ１２２−ｊ（ｊ＝１〜Ｎ）内では、１つ以上の病院の仮想マシン（ＶＭ）が動作する。この例では、サーバ１２２−１内で、１番目の病院のＶＭ１２４−１、２番目の病院のＶＭ１２４−２、及び３番目の病院のＶＭ１２４−３が動作している。サーバ１２２−２内では、４番目の病院のＶＭ１２４−１及び５番目の病院のＶＭ１２４−３が動作し、サーバ１２２−Ｎ内では、（Ｍ−１）番目の病院のＶＭ１２４−（Ｍ−１）及びＭ番目の病院のＶＭ１２４−Ｍが動作している。

サーバ１２３は、識別情報付与部１２５を含み、ＩＤテーブル１２６を記憶する。ＩＤテーブル１２６は、電子カルテに含まれる個人識別情報（個人ＩＤ）と、Ｍ個の病院の間で共通して個人を識別する共通識別情報（共通ＩＤ）とを対応付ける対応関係を含む。

解析システム１１３は、サーバ１３１、パーソナルコンピュータ（ＰＣ）１３２、及び収集ストレージ装置１３３を含む。

図１の情報処理システム１０１は、各病院からの依頼に基づいて秘匿化処理を行うモードＭ１の動作と、情報解析機関からの依頼に基づいて秘匿化処理を行うモードＭ２の動作とを行うことができる。情報処理システム１０１がモードＭ１で動作する場合、例えば、以下の手順で電子カルテの解析が行われる。

（Ｐ１１）各病院の事務職員又は患者は、病院システム１１１−ｉの電子カルテに含まれる項目毎に、患者が希望する秘匿化程度を示す秘匿化程度情報を入力する。各項目の秘匿化程度は、例えば、“○”、“△”、又は“×”のいずれかの記号によって示される。“○”は、秘匿化することなく提供可能な情報を表し、“△”は、情報を加工して個人が特定されないようにすれば、提供可能な情報を表し、“×”は、一切の情報提供を行わない情報を表す。“△”又は“×”が設定された項目は、秘匿化処理の対象となる。
（Ｐ１２）病院システム１１１−ｉは、入力された秘匿化程度情報を格納する。
（Ｐ１３）各病院の医師は、電子カルテに患者の診察情報を入力する。
（Ｐ１４）病院システム１１１−ｉは、入力された診察情報を患者の個人情報として格納する。
（Ｐ１５）各病院のシステム管理者は、定期的にバックアップを実行する。このとき、病院システム１１１−ｉは、個人情報及び秘匿化程度情報の複製をバックアップストレージ装置１２１−ｉへ転送する。そして、バックアップストレージ装置１２１−ｉは、個人情報及び秘匿化程度情報の複製を格納する。
（Ｐ１６）病院システム１１１−ｉは、定期的に秘匿化依頼をＶＭ１２４−ｉへ送信し、ＶＭ１２４−ｉは、秘匿化依頼に基づいて、秘匿化処理の対象となる個人情報の時間範囲を表す秘匿化目標日時を設定する。
（Ｐ１７）ＶＭ１２４−ｉは、秘匿化目標日時と、秘匿化処理の進捗状況を表す秘匿化完了日時とを参照して、秘匿化処理を実施するか否かを判定する。
（Ｐ１８）秘匿化処理を実施する場合、ＶＭ１２４−ｉは、バックアップストレージ装置１２１−ｉ内の個人情報から、更新日時が秘匿化完了日時よりも新しいエントリを検索する。
（Ｐ１９）ＶＭ１２４−ｉは、各病院の変換プログラムを用いて、個人情報の各エントリのデータ形式を統一データ形式へ変換する。
（Ｐ２０）サーバ１２３の識別情報付与部１２５は、ＩＤテーブル１２６を参照して、個人情報の各エントリに含まれる個人ＩＤに対応する共通ＩＤを、そのエントリに対して付与する。
（Ｐ２１）ＶＭ１２４−ｉは、各エントリに対応する患者の秘匿化程度情報を参照して、秘匿化対象の項目の情報を秘匿化し、秘匿化個人情報を生成する。このとき、秘匿化個人情報の各エントリに対して病院ＩＤが付与される。例えば、“○”が設定された項目の情報は変換されず、“△”が設定された項目の情報は、所定の加工テーブルを用いて、簡略化された情報に変換される。また、“×”が設定された項目の情報は、秘匿化されていることを示すデータに変換される。
（Ｐ２２）ＶＭ１２４−ｉは、秘匿化個人情報を収集ストレージ装置１３３へ転送し、収集ストレージ装置１３３は、秘匿化個人情報を格納する。
（Ｐ２３）情報解析機関の解析者は、ＰＣ１３２を用いて、秘匿化個人情報を解析し、解析結果をサーバ１３１に格納する。解析結果は、研究機関、製薬会社等の情報利用者に対して提供される。

一方、図１の情報処理システム１０１がモードＭ２で動作する場合、例えば、以下の手順で電子カルテの解析が行われる。

（Ｐ３１）病院システム１１１−ｉは、モードＭ１における（Ｐ１１）〜（Ｐ１５）と同様の動作を行う。
（Ｐ３２）情報解析機関の解析者は、ＰＣ１３２を用いて、情報解析機関が指定する加工テーブル及び秘匿化程度情報とともに、情報提供依頼をＶＭ１２４−ｉへ送信する。
（Ｐ３３）ＶＭ１２４−ｉは、秘匿化処理で参照する加工テーブルを、所定の加工テーブルから、情報解析機関が指定する加工テーブルへ切り替える。
（Ｐ３４）ＶＭ１２４−ｉは、秘匿化処理で参照する秘匿化程度情報を、バックアップストレージ装置１２１−ｉ内の秘匿化程度情報から、情報解析機関が指定する秘匿化程度情報へ切り替える。
（Ｐ３５）ＶＭ１２４−ｉは、情報提供依頼によって指定された収集期間に基づいて、秘匿化完了日時及び秘匿化目標日時を設定する。
（Ｐ３６）ＶＭ１２４−ｉは、バックアップストレージ装置１２１−ｉ内の個人情報から、更新日時が秘匿化完了日時よりも新しいエントリを検索する。
（Ｐ３７）ＶＭ１２４−ｉは、各病院の変換プログラムを用いて、個人情報の各エントリのデータ形式を統一データ形式へ変換する。
（Ｐ３８）サーバ１２３の識別情報付与部１２５は、ＩＤテーブル１２６を参照して、個人情報の各エントリに含まれる個人ＩＤに対応する共通ＩＤを、そのエントリに対して付与する。
（Ｐ３９）ＶＭ１２４−ｉは、情報解析機関が指定する秘匿化程度情報を参照して、秘匿化対象の項目の情報を秘匿化し、秘匿化個人情報を生成する。このとき、秘匿化個人情報の各エントリに対して病院ＩＤが付与される。
（Ｐ４０）ＶＭ１２４−ｉは、秘匿化個人情報を収集ストレージ装置１３３へ転送し、収集ストレージ装置１３３は、秘匿化個人情報を格納する。
（Ｐ４１）情報解析機関の解析者は、ＰＣ１３２を用いて、秘匿化個人情報を解析し、解析結果をサーバ１３１に格納する。

モードＭ２の場合、複数の病院のＶＭ１２４−１〜ＶＭ１２４−Ｍが一斉に動作して、秘匿化個人情報を収集ストレージ装置１３３へ一斉に転送するため、バックアップシステム１１２と解析システム１１３との間の通信ネットワークの負荷が増大する。そこで、情報提供依頼によって指定された収集期間のうち、モードＭ１の秘匿化処理の対象となっている期間については、収集ストレージ装置１３３内に既に格納されている秘匿化個人情報を流用することが考えられる。

この場合、モードＭ１で生成された秘匿化個人情報のうち、情報解析機関が要求する秘匿化程度とは異なる秘匿化処理が適用された項目については、ＶＭ１２４−ｉにおいて再度秘匿化することが望ましい。これにより、収集ストレージ装置１３３は、既に格納している秘匿化個人情報の対応する項目を、上書き修正することができる。

しかし、モードＭ１で生成された秘匿化個人情報を確認しても、各項目に対応する秘匿化程度が、情報解析機関が要求する秘匿化程度と一致しているか否かは分からない。例えば、秘匿化されていることを示すデータに変換されている項目については、秘匿化程度が“×”であると判別できるが、それ以外の項目については、“○”又は“△”のいずれであるかを判別することが困難である。

図２は、実施形態の情報処理システムの構成例を示している。図２の情報処理システム２０１は、ストレージ装置２１１、情報処理装置２１２（コンピュータ）、及びストレージ装置２１３を含み、情報処理装置２１２は、比較部２２１、秘匿化部２２２、転送部２２３、及び記憶部２２４を含む。ストレージ装置２１１は、情報提供機関から提供される個人情報を格納し、ストレージ装置２１３は、情報解析機関によって使用される。

図３は、図２の情報処理装置２１２が行う秘匿化処理の例を示すフローチャートである。まず、秘匿化部２２２は、ストレージ装置２１１が格納する個人情報に対して第１秘匿化処理を適用することで、第１秘匿化個人情報を生成し、記憶部２２４は、第１秘匿化処理の秘匿化程度を示す第１秘匿化程度情報２３１を記憶する（ステップ３０１）。そして、転送部２２３は、ストレージ装置２１３へ第１秘匿化個人情報を転送する（ステップ３０２）。

次に、比較部２２１は、第１秘匿化程度情報２３１と、情報解析機関が要求する第２秘匿化処理の秘匿化程度を示す第２秘匿化程度情報とを比較して、比較結果を生成する（ステップ３０３）。秘匿化部２２２は、比較結果に基づいて個人情報に対して第２秘匿化処理を適用することで、第２秘匿化個人情報を生成し（ステップ３０４）、転送部２２３は、ストレージ装置２１３へ第２秘匿化個人情報を転送する（ステップ３０５）。

このような情報処理システム２０１によれば、情報解析機関が要求する秘匿化程度に対応する秘匿化個人情報を提供することができる。

図４は、図２の情報処理システム２０１の具体例を示している。図４の情報処理システム４０１は、病院システム４１１−１〜病院システム４１１−Ｍ（Ｍは２以上の整数）、バックアップシステム４１２、及び解析システム４１３を含む。病院システム４１１−ｉ（ｉ＝１〜Ｍ）は、ｉ番目の病院の病院システムである。Ｍ個の病院は、例えば、全国に分布する病院であってもよく、特定の地方に存在する病院であってもよい。

バックアップシステム４１２は、例えば、インターネット等の通信ネットワーク上のバックアップサイトに設けられ、バックアップストレージ装置４２１−１〜バックアップストレージ装置４２１−Ｍを含む。バックアップシステム４１２は、さらに、サーバ４２２−１〜サーバ４２２−Ｎ（Ｎは１以上、かつ、Ｍ以下の整数）及びサーバ４２３を含む。

各サーバ４２２−ｊ（ｊ＝１〜Ｎ）内では、１つ以上の病院のＶＭが動作する。この例では、サーバ４２２−１内で、１番目の病院のＶＭ４２４−１、２番目の病院のＶＭ４２４−２、及び３番目の病院のＶＭ４２４−３が動作している。サーバ４２２−２内では、４番目の病院のＶＭ４２４−１及び５番目の病院のＶＭ４２４−３が動作し、サーバ４２２−Ｎ内では、（Ｍ−１）番目の病院のＶＭ４２４−（Ｍ−１）及びＭ番目の病院のＶＭ４２４−Ｍが動作している。

サーバ４２３は、識別情報付与部４２５を含み、ＩＤテーブル４２６を記憶する。ＩＤテーブル４２６は、電子カルテに含まれる個人ＩＤと、Ｍ個の病院の間で共通して個人を識別する共通ＩＤとを対応付ける対応関係を含む。

解析システム４１３は、サーバ４３１、ＰＣ４３２、及び収集ストレージ装置４３３を含む。収集ストレージ装置４３３は、病院の数の増加に伴ってスケールアウトが可能である。

バックアップストレージ装置４２１−１〜バックアップストレージ装置４２１−Ｍは、図２のストレージ装置２１１に対応し、サーバ４２２−１〜サーバ４２２−Ｎは、情報処理装置２１２に対応する。また、収集ストレージ装置４３３は、ストレージ装置２１３に対応する。

図５は、図４の病院システム４１１−ｉの構成例を示している。図５の病院システム４１１−ｉは、各病院の事務職員のＰＣ５０１、医師のＰＣ５０２、サーバ５０３、及び運用ストレージ装置５０４を含む。ＰＣ５０１、ＰＣ５０２、サーバ５０３、及び運用ストレージ装置５０４は、例えば、Local Area Network（ＬＡＮ）によって接続されている。

サーバ５０３は、電子カルテ５２１を格納する。運用ストレージ装置５０４は、運用ＤＢ５１１及び運用ＤＢ５１２を含む。運用ＤＢ５１１は、個人情報５３１を格納し、運用ＤＢ５１２は、秘匿化程度情報５３２を格納する。

個人情報５３１は、電子カルテ５２１に記録された患者の診察情報であり、秘匿化程度情報５３２は、個人情報５３１に含まれる複数の項目それぞれの秘匿化程度を示す情報である。各項目の秘匿化程度は、例えば、患者自身によって指定され、その患者の個人情報５３１に対して適用される。

図６は、図４のバックアップストレージ装置４２１−ｉの構成例を示している。図６のバックアップストレージ装置４２１−ｉは、バックアップデータベース（ＤＢ）６０１及びバックアップＤＢ６０２を含む。バックアップＤＢ６０１は、個人情報６１１を格納し、バックアップＤＢ６０２は、秘匿化程度情報６１２を格納する。個人情報６１１及び秘匿化程度情報６１２は、それぞれ、図５の個人情報５３１及び秘匿化程度情報５３２の複製である。

図４のＩＤテーブル４２６は、個人情報６１１に含まれる個人ＩＤと共通ＩＤとを対応付ける対応関係を含む。識別情報付与部４２５は、ＩＤテーブル４２６を参照して、個人情報６１１に含まれる個人ＩＤに対応する共通ＩＤを、個人情報６１１に対して付与する。

図７は、図４のＶＭ４２４−ｉの機能的構成例を示している。図７のＶＭ４２４−ｉは、比較部７０１、秘匿化部７０２、日時管理部７０３、転送部７０４、及びメモリ７０５を含む。比較部７０１、秘匿化部７０２、日時管理部７０３、及び転送部７０４は、ＶＭ４２４−ｉが実行するアプリケーションである。比較部７０１、秘匿化部７０２、及び転送部７０４は、それぞれ、図２の比較部２２１、秘匿化部２２２、及び転送部２２３と同様の機能を提供する。

メモリ７０５は、サーバ４２２−ｊの記憶部内の記憶領域に対応し、秘匿化程度情報６１２、日時テーブル７１１、日時テーブル７１２、加工テーブル７１３、加工テーブル７１４、及び秘匿化程度情報７１５を記憶する。メモリ７０５は、図２の記憶部２２４に対応し、秘匿化程度情報６１２は、第１秘匿化程度情報２３１に対応し、秘匿化程度情報７１５は、第２秘匿化程度情報に対応する。

日時テーブル７１１及び日時テーブル７１２は、ｉ番目の病院の個人情報６１１に対する秘匿化処理の目標日時及び完了日時を含む。加工テーブル７１３及び加工テーブル７１４は、個人情報６１１に含まれる特定の項目の情報を簡略化された情報に変換するためのテーブルであり、変換前の情報と変換後の情報とを対応付ける対応関係を含む。

秘匿化程度情報７１５は、個人情報６１１に含まれる複数の項目それぞれの秘匿化程度を示す情報である。各項目の秘匿化程度は、例えば、政府のような、患者以外の機関によって指定される。

比較部７０１は、図６の秘匿化程度情報６１２と秘匿化程度情報７１５とを比較して、比較結果を生成する。秘匿化部７０２は、秘匿化程度情報６１２又は秘匿化程度情報７１５に従って、共通ＩＤが付与された個人情報６１１を秘匿化し、秘匿化個人情報を生成する。日時管理部７０３は、日時テーブル７１１及び日時テーブル７１２のエントリを更新し、転送部７０４は、秘匿化個人情報を収集ストレージ装置４３３へ転送する。

図８は、図４の収集ストレージ装置４３３の構成例を示している。収集ストレージ装置４３３は、収集ＤＢ８０１、収集ＤＢ８０２、収集部８０３、及び検索部８０４を含む。収集ＤＢ８０１は、秘匿化程度情報６１２に従って生成された秘匿化個人情報８１１を格納し、収集ＤＢ８０２は、秘匿化程度情報７１５に従って生成された秘匿化個人情報８１２を格納する。

収集部８０３は、収集ＤＢ８０１内の秘匿化個人情報８１１の複製を、検索部８０４に対して指示する。そして、検索部８０４は、秘匿化個人情報８１１から、情報解析機関によって指定された収集期間と重複している期間内のエントリを検索し、検索したエントリの複製を収集ＤＢ８０２に格納する。

図４の情報処理システム４０１は、図１の情報処理システム１０１と同様に、各病院からの依頼に基づいて秘匿化処理を行うモードＭ１の動作と、情報解析機関からの依頼に基づいて秘匿化処理を行うモードＭ２の動作とを行うことができる。

モードＭ１では、ＶＭ４２４−ｉは、日時テーブル７１１、加工テーブル７１３、及び秘匿化程度情報６１２を用いて、個人情報６１１に対する秘匿化処理を行う。一方、モードＭ２では、ＶＭ４２４−ｉは、日時テーブル７１２、加工テーブル７１４、及び秘匿化程度情報７１５を用いて、個人情報６１１に対する秘匿化処理を行う。

図９は、個人情報５３１及び個人情報６１１に含まれる基本テーブルの例を示している。図９の基本テーブルは、患者の基本情報が登録されたテーブルであり、患者ＩＤ、氏名、マイナンバー、生年月日、性別、住所、血液型、保険証ＩＤ、アレルギー、及び更新日時の項目を含む。患者ＩＤは、各病院によって患者に付与されるＩＤであり、マイナンバーは、政府によって国民に付与されるＩＤであり、保険証ＩＤは、保険者によって被保険者に付与されるＩＤである。更新日時は、各患者の基本情報が更新された日時を表す。

図１０は、個人情報５３１及び個人情報６１１に含まれる診察テーブルの例を示している。図１０の診察テーブルは、患者の診察情報が登録されたテーブルであり、患者ＩＤ、処方、検査結果、病名、及び更新日時の項目を含む。処方は、診察によって決定された処方を表し、検査結果は、診察時に参照された検査結果を表し、病名は、診察によって決定された病名を表す。更新日時は、各患者の診察情報が更新された日時を表す。

図１１は、モードＭ１で用いられる秘匿化程度情報６１２の例を示している。図１１の秘匿化程度情報６１２の各エントリは、図９の基本テーブル及び図１０の診察テーブルに含まれる各患者の個人情報に対応し、項目毎に“○”、“△”、又は“×”のいずれかの記号を含む。このうち、“△”及び“×”は、個人情報に含まれる各項目について適用される秘匿化操作を指定している。

“○”は、秘匿化することなく提供可能な情報を表し、“△”は、情報を加工して個人が特定されないようにすれば、提供可能な情報を表し、“×”は、一切の情報提供を行わない情報を表す。

“△”が設定された項目の情報に対しては、加工テーブル７１３を用いて簡略化された情報に変換する秘匿化操作が適用される。この場合、使用される加工テーブル７１３の内容が異なれば、適用される秘匿化操作の秘匿化程度も異なってくる。“×”が設定された項目の情報に対しては、秘匿化されていることを示すデータに変換する秘匿化操作が適用される。

情報処理システム４０１では、各患者の個人情報に対する考え方、又は各患者の病気の特性によって、提供可能な情報の範囲及び提供方法が異なる可能性がある。例えば、患者ＩＤ“１００１”の秘匿化程度情報では、生年月日、性別、保険証ＩＤ、処方、検査結果、及び病名に対して“○”が設定されている。また、氏名、マイナンバー、及び血液型に対して“×”が設定されており、住所及びアレルギーに対して“△”が設定されている。一方、患者ＩＤ“１００４”の秘匿化程度情報では、すべての項目に対して“×”が設定されている。

図１２は、モードＭ２で用いられる秘匿化程度情報７１５の例を示している。図１２の秘匿化程度情報７１５は、すべての患者の個人情報６１１に対して適用される。この例では、性別、血液型、保険証ＩＤ、アレルギー、処方、検査結果、及び病名に対して“○”が設定されており、氏名、マイナンバー、生年月日、及び住所に対して“×”が設定されている。

秘匿化程度情報７１５には、“△”を設定することも可能である。“△”及び“×”は、個人情報に含まれる各項目について適用される秘匿化操作を指定している。“△”が設定された項目の情報に対しては、加工テーブル７１４を用いて簡略化された情報に変換する秘匿化操作が適用される。この場合、使用される加工テーブル７１４の内容が異なれば、適用される秘匿化操作の秘匿化程度も異なってくる。

図１３は、ＩＤテーブル４２６の例を示している。図１３のＩＤテーブル４２６は、共通ＩＤ及びマイナンバーを含み、個人情報６１１に含まれる個人ＩＤであるマイナンバーと共通ＩＤとを対応付ける対応関係を表す。

図１４は、日時テーブル７１１及び日時テーブル７１２の例を示している。図１４の日時テーブルは、病院ＩＤ、秘匿化完了日時、同時刻連番、秘匿化目標日時、及び処理完了フラグを含む。病院ＩＤは、病院を識別するＩＤであり、秘匿化完了日時は、個人情報６１１に対する秘匿化処理の進捗状況を表す日時である。例えば、図９の基本テーブル及び図１０の診察テーブルの１人の患者の個人情報６１１が秘匿化される度に、その個人情報６１１の更新日時が秘匿化完了日時に転記される。

同時刻連番は、同じ更新日時を有する複数の個人情報６１１のうち、秘匿化処理が完了した個人情報６１１の順位を表す。例えば、同時刻連番“３”は、秘匿化完了日時に転記された更新日時を有する複数の個人情報６１１のうち、３番目の個人情報６１１までの秘匿化処理が完了していることを表す。この場合、４番目以降の個人情報６１１の秘匿化処理は完了していない。

秘匿化目標日時は、秘匿化処理の対象となる個人情報６１１の範囲を指定する日時である。秘匿化目標日時と同じか又はそれよりも前の更新日時を有する個人情報６１１が、秘匿化処理の対象となる。処理完了フラグは、各病院において、秘匿化目標日時までの個人情報６１１に対する秘匿化処理が完了したか否かを表す。日時テーブルに秘匿化目標日時が設定されたとき、処理完了フラグは“ｆａｌｓｅ”に設定され、秘匿化目標日時までの個人情報６１１に対する秘匿化処理が完了したとき、処理完了フラグは“ｔｒｕｅ”に設定される。

モードＭ２において、情報解析機関からの依頼によって個人情報６１１の収集期間が指定された場合、日時管理部７０３は、収集開始日時及び収集終了日時に基づいて、日時テーブル７１２の秘匿化完了日時及び秘匿化目標日時を設定する。

図１５は、加工テーブル７１３及び加工テーブル７１４の例を示している。図１５の加工テーブルは、年齢及び年齢層を含み、変換前の情報である年齢と、変換後の情報である年齢層とを対応付ける、対応関係を表す。年齢は、図９の基本テーブルに含まれる生年月日から計算することができる。図１５の加工テーブルを用いることで、個人を特定可能な生年月日の情報が、匿名データである年齢層の情報に簡略化される。

また、簡略化される項目が住所である場合、住所の文字列から個人を特定可能な町名及び番地等の情報を削除して文字列を簡略化する、加工テーブルを用いることもできる。これにより、例えば、図９の“横浜市北区港南町１−２４−２”という住所を“横浜市”に簡略化することができる。

図１６は、秘匿化個人情報８１１及び秘匿化個人情報８１２に含まれる基本テーブルの例を示している。図１６の基本テーブルは、共通ＩＤ、氏名、マイナンバー、生年月日、性別、住所、血液型、保険証ＩＤ、及び更新日時の項目を含む。共通ＩＤは、識別情報付与部４２５によって付与された共通ＩＤである。

この例では、すべての患者の氏名及びマイナンバーが、秘匿化されていることを示すデータである文字列“秘匿情報”に変換されている。また、共通ＩＤ“１１１１１２３４”の患者の住所は、簡略化された文字列“横浜市”に変換されており、共通ＩＤ“１１１１１２３７”の患者の場合、すべての項目の情報が文字列“秘匿情報”に変換されている。

図１７は、秘匿化個人情報８１１及び秘匿化個人情報８１２に含まれる診察テーブルの例を示している。図１７の診察テーブルは、共通ＩＤ、病院ＩＤ、患者ＩＤ、処方、検査結果、病名、及び更新日時の項目を含む。

この例では、共通ＩＤ“１１１１１２３４”の患者が、病院ＩＤ“９８４３０”の病院では患者ＩＤ“５９４”の患者として登録され、病院ＩＤ“２０１”の病院では患者ＩＤ“１００１”の患者として登録されている。また、病院ＩＤ“３０２”の病院では、同じ患者が患者ＩＤ“３２１”の患者として登録されている。そして、病院ＩＤ“３０２”の病院における処方、検査結果、及び病名が、文字列“秘匿情報”に変換されている。

このように、秘匿化個人情報８１１及び秘匿化個人情報８１２に対して共通ＩＤを付与することで、複数の病院から収集した秘匿化個人情報の中から、同じ患者の情報を特定することができる。

ところで、各病院の個人情報６１１は、必ずしも同じデータ形式であるとは限らない。病院間で個人情報６１１のデータ形式が異なる場合、秘匿化部７０２は、各個人情報６１１のデータ形式を統一データ形式へ変換して、変換後の個人情報から秘匿化個人情報８１１及び秘匿化個人情報８１２を生成する。これにより、病院間におけるデータ形式の違いを吸収することができる。

例えば、各病院システム４１１−ｉのサーバ５０３は、運用ＤＢ５１１における個人情報５３１のデータ形式を統一データ形式へ変換する変換プログラムを生成して、事前にバックアップシステム４１２へ送信する。そして、ＶＭ４２４−ｉの秘匿化部７０２は、受信した変換プログラムを用いて、個人情報６１１のデータ形式を統一データ形式へ変換する。

図１８は、データ形式を変換する処理の例を示している。この例では、病院Ａ及び病院Ｂの個人情報６１１における生年月日の情報として、患者が生まれた「年」、「月」、及び「日」がそれぞれ個別の欄に記述されている。このうち、「年」の情報は、病院Ａの個人情報６１１では西暦で記述され、病院Ｂの個人情報６１１では年号で記述されている。

病院Ａの個人情報６１１を変換する場合、秘匿化部７０２は、個人情報６１１における「年（西暦）」、「月」、及び「日」のそれぞれの欄から文字列を読み取る。そして、秘匿化部７０２は、病院Ａのサーバ５０３から受信した変換プログラムを用いて、文字列同士を記号“／”によって連結し、統一データ形式の「生年月日」の文字列を生成する。

一方、病院Ｂの個人情報６１１を変換する場合、秘匿化部７０２は、個人情報６１１における「年（年号）」、「月」、及び「日」のそれぞれの欄から文字列を読み取る。そして、秘匿化部７０２は、病院Ｂのサーバ５０３から受信した変換プログラムを用いて、年号の文字列を西暦の文字列に変換し、文字列同士を記号“／”によって連結して、統一データ形式の「生年月日」の文字列を生成する。

図４の情報処理システム４０１がモードＭ１で動作する場合、例えば、上述した（Ｐ１１）〜（Ｐ２３）と同様の手順で電子カルテの解析が行われる。一方、情報処理システム４０１がモードＭ２で動作する場合、例えば、以下の手順で電子カルテの解析が行われる。

（Ｐ５１）情報解析機関の解析者は、ＰＣ４３２を用いて、情報解析機関が指定する加工テーブル７１４及び秘匿化程度情報７１５とともに、情報提供依頼をＶＭ４２４−ｉへ送信する。
（Ｐ５２）ＶＭ４２４−ｉの秘匿化部７０２は、秘匿化処理で参照する加工テーブルを、加工テーブル７１３から加工テーブル７１４へ切り替える。
（Ｐ５３）秘匿化部７０２は、秘匿化処理で参照する秘匿化程度情報を、秘匿化程度情報６１２から秘匿化程度情報７１５へ切り替える。
（Ｐ５４）ＶＭ４２４−ｉは、情報解析機関から情報提供依頼を受信した時点における最新の個人情報６１１をバックアップストレージ装置４２１−ｉへ転送するように、各病院の病院システム４１１−ｉに要求する。
（Ｐ５５）病院システム４１１−ｉは、ＶＭ４２４−ｉからの要求に応じて、個人情報６１１をバックアップストレージ装置４２１−ｉへ転送する。
（Ｐ５６）収集ストレージ装置４３３の検索部８０４は、情報提供依頼によって指定された収集期間と、収集ＤＢ８０１内に既に格納されている秘匿化個人情報８１１の各エントリの更新日時とを比較する。
（Ｐ５７）検索部８０４は、情報提供依頼によって指定された収集期間と重複している期間内のエントリの複製を生成し、秘匿化個人情報８１２として収集ＤＢ８０２に格納する。これにより、モードＭ１で生成された秘匿化個人情報８１１を、モードＭ２の解析処理に流用することが可能になる。
（Ｐ５８）ＶＭ４２４−ｉの比較部７０１は、バックアップＤＢ６０２内の秘匿化程度情報６１２と、情報解析機関から受信した秘匿化程度情報７１５とを比較して、比較結果を生成する。
（Ｐ５９）秘匿化部７０２は、比較部７０１が生成した比較結果に基づいて、重複している期間内の個人情報６１１のエントリに対して秘匿化処理を適用することで、秘匿化個人情報８１２を生成する。
（Ｐ６０）転送部７０４は、秘匿化個人情報８１２を収集ストレージ装置４３３へ転送する。
（Ｐ６１）収集ストレージ装置４３３は、受信した秘匿化個人情報８１２を収集ＤＢ８０２内の秘匿化個人情報８１２に上書きする。
（Ｐ６２）秘匿化部７０２は、収集期間内の個人情報６１１のうち、収集ストレージ装置４３３によって未だ収集されていない期間内のエントリに対して、秘匿化処理を適用することで、秘匿化個人情報８１２を生成する。
（Ｐ６３）転送部７０４は、秘匿化個人情報８１２を収集ストレージ装置４３３へ転送する。
（Ｐ６４）収集ストレージ装置４３３は、受信した秘匿化個人情報８１２を収集ＤＢ８０２に格納する。
（Ｐ６５）情報解析機関の解析者は、ＰＣ４３２を用いて、秘匿化個人情報８１２を解析し、解析結果をサーバ４３１に格納する。

（Ｐ５９）〜（Ｐ６１）において、秘匿化部７０２は、例えば、以下のような基準に従って、個人情報６１１に対して秘匿化処理を適用し、収集ストレージ装置４３３は、収集ＤＢ８０２内の秘匿化個人情報８１２を修正する。

（Ｃ１）情報解析機関の秘匿化程度情報７１５が“○”であり、バックアップＤＢ６０２の秘匿化程度情報６１２が“○”である項目
秘匿化部７０２は、その項目の情報に対して秘匿化操作を適用せず、転送部７０４は、その項目の秘匿化情報を転送せず、収集ストレージ装置４３３は、収集ＤＢ８０２内のその項目の秘匿化情報を修正しない。
（Ｃ２）情報解析機関の秘匿化程度情報７１５が“○”であり、バックアップＤＢ６０２の秘匿化程度情報６１２が“△”又は“×”である項目
秘匿化部７０２は、その項目の情報に対して秘匿化操作を適用せず、転送部７０４は、その項目の情報をそのまま転送し、収集ストレージ装置４３３は、受信した情報を収集ＤＢ８０２内のその項目の秘匿化情報に上書きする。
（Ｃ３）情報解析機関の秘匿化程度情報７１５が“△”であり、バックアップＤＢ６０２の秘匿化程度情報６１２が“○”である項目
秘匿化部７０２は、その項目の情報に対して、加工テーブル７１４を用いた“△”の秘匿化操作を適用し、転送部７０４は、その項目の秘匿化情報を転送する。収集ストレージ装置４３３は、受信した秘匿化情報を収集ＤＢ８０２内のその項目の秘匿化情報に上書きする。
（Ｃ４）情報解析機関の秘匿化程度情報７１５が“△”であり、バックアップＤＢ６０２の秘匿化程度情報６１２が“△”であり、加工テーブル７１４が加工テーブル７１３と同じである項目
秘匿化部７０２は、その項目の情報に対して秘匿化操作を適用せず、転送部７０４は、その項目の秘匿化情報を転送せず、収集ストレージ装置４３３は、収集ＤＢ８０２内のその項目の秘匿化情報を修正しない。
（Ｃ５）情報解析機関の秘匿化程度情報７１５が“△”であり、バックアップＤＢ６０２の秘匿化程度情報６１２が“△”であり、加工テーブル７１４が加工テーブル７１３とは異なる項目
秘匿化部７０２は、その項目の情報に対して、加工テーブル７１４を用いた“△”の秘匿化操作を適用し、転送部７０４は、その項目の秘匿化情報を転送する。収集ストレージ装置４３３は、受信した秘匿化情報を収集ＤＢ８０２内のその項目の秘匿化情報に上書きする。
（Ｃ６）情報解析機関の秘匿化程度情報７１５が“△”であり、バックアップＤＢ６０２の秘匿化程度情報６１２が“×”である項目
秘匿化部７０２は、その項目の情報に対して、加工テーブル７１４を用いた“△”の秘匿化操作を適用し、転送部７０４は、その項目の秘匿化情報を転送する。収集ストレージ装置４３３は、受信した秘匿化情報を収集ＤＢ８０２内のその項目の秘匿化情報に上書きする。
（Ｃ７）情報解析機関の秘匿化程度情報７１５が“×”であり、バックアップＤＢ６０２の秘匿化程度情報６１２が“○”又は“△”である項目
秘匿化部７０２は、その項目の情報に対して“×”の秘匿化操作を適用し、転送部７０４は、その項目の秘匿化情報を転送し、収集ストレージ装置４３３は、受信した秘匿化情報を収集ＤＢ８０２内のその項目の秘匿化情報に上書きする。
（Ｃ８）情報解析機関の秘匿化程度情報７１５が“×”であり、バックアップＤＢ６０２の秘匿化程度情報６１２が“×”である項目
秘匿化部７０２は、その項目の情報に対して秘匿化操作を適用せず、転送部７０４は、その項目の秘匿化情報を転送せず、収集ストレージ装置４３３は、収集ＤＢ８０２内のその項目の秘匿化情報を修正しない。

このような情報処理システム４０１によれば、情報解析機関によって指定された収集期間のうち、モードＭ１の秘匿化処理の対象となっている期間については、収集ＤＢ８０１内に既に格納されている秘匿化個人情報８１１を流用することができる。したがって、モードＭ１の秘匿化処理の対象となっていない期間の秘匿化個人情報８１２と、流用した秘匿化個人情報８１１の修正部分のみが、バックアップシステム４１２から解析システム４１３へ転送される。

これにより、モードＭ２の秘匿化処理においてバックアップシステム４１２から解析システム４１３へ転送される秘匿化個人情報８１２のデータ量を削減することができる。したがって、バックアップシステム４１２と解析システム４１３との間の通信ネットワークの負荷が軽減され、図１の情報処理システム１０１と比較して性能及び安定性が向上する。

また、収集ＤＢ８０１内に既に格納されている秘匿化個人情報８１１のうち、情報解析機関が要求する秘匿化程度とは異なる秘匿化操作が適用された項目については、ＶＭ４２４−ｉにおいて再度秘匿化処理が行われる。したがって、情報解析機関が要求する秘匿化程度が、患者が指定した秘匿化程度とは異なる場合であっても、情報解析機関が要求する秘匿化程度に対応する秘匿化個人情報８１２を、収集ＤＢ８０２に格納することができる。

次に、図１９及び図２０Ａ〜図２０Ｌを参照しながら、図４の情報処理システム４０１の動作についてより詳細に説明する。

図１９は、モードＭ１における情報提供シーケンスの例を示している。病院システム４１１−１のＰＣ５０１及びＰＣ５０２内には、アプリケーションである電子カルテクライアント１９０１及び電子カルテクライアント１９０２がそれぞれインストールされている。

まず、電子カルテクライアント１９０１は、事務職員又は患者の操作に基づいて、患者によって指定された秘匿化程度情報を、サーバ５０３の電子カルテ５２１に入力する（ステップ１９１１）。そして、サーバ５０３は、電子カルテ５２１に入力された秘匿化程度情報を、秘匿化程度情報５３２として運用ストレージ装置５０４の運用ＤＢ５１２に書き込む（ステップ１９１２）。

次に、電子カルテクライアント１９０２は、医師の操作に基づいて、電子カルテ５２１に患者の診察情報を入力する（ステップ１９１１）。そして、サーバ５０３は、電子カルテ５２１に入力された診察情報を、個人情報５３１として運用ストレージ装置５０４の運用ＤＢ５１１に書き込む（ステップ１９２２）。

その後、各病院のシステム管理者は、定期的にバックアップを実行する。このとき、サーバ５０３は、個人情報５３１のバックアップ指示を運用ストレージ装置５０４へ送信する（ステップ１９３１）。そして、運用ストレージ装置５０４は、個人情報５３１の複製を、個人情報６１１としてバックアップストレージ装置４２１−１のバックアップＤＢ６０１に書き込む（ステップ１９３２）。

次に、サーバ５０３は、秘匿化程度情報５３２のバックアップ指示を運用ストレージ装置５０４へ送信する（ステップ１９４１）。そして、運用ストレージ装置５０４は、秘匿化程度情報５３２の複製を、秘匿化程度情報６１２としてバックアップストレージ装置４２１−１のバックアップＤＢ６０２に書き込む（ステップ１９４２）。

病院システム４１１−２〜病院システム４１１−Ｍにおいても、図１９と同様の情報提供シーケンスによって、個人情報５３１及び秘匿化程度情報５３２が運用ストレージ装置５０４に書き込まれる。そして、個人情報６１１及び秘匿化程度情報６１２がバックアップストレージ装置４２１−１に書き込まれる。

例えば、情報処理システム４０１は、通常時にはモードＭ１の秘匿化処理を実行しており、緊急時に情報解析機関から依頼を受けた場合、モードＭ２の秘匿化処理を優先的に実行する。この場合、情報処理システム４０１は、すべての病院についてのモードＭ１の秘匿化処理を中断して、モードＭ２の秘匿化処理を開始する。

図２０Ａ〜図２０Ｌは、モードＭ２における動作シーケンスの例を示している。まず、解析システム４１３の解析アプリケーション２００１は、情報解析機関の解析者の操作に基づいて、収集ＤＢ生成要求を収集ストレージ装置４３３へ送信する（ステップ２０１１）。収集ストレージ装置４３３は、収集ＤＢ８０２を生成する（ステップ２０１２）。

次に、解析アプリケーション２００１は、解析者の操作に基づいて、加工テーブル７１４を生成して、収集ストレージ装置４３３へ送信する（ステップ２０１３）。収集ストレージ装置４３３は、受信した加工テーブル７１４を格納する（ステップ２０１４）。

次に、解析アプリケーション２００１は、解析者の操作に基づいて、秘匿化程度情報７１５を生成して、収集ストレージ装置４３３へ送信する（ステップ２０１５）。収集ストレージ装置４３３は、受信した秘匿化程度情報７１５を格納する（ステップ２０１６）。

次に、解析アプリケーション２００１は、解析者の操作に基づいて、加工テーブル７１４及び秘匿化程度情報７１５とともに、収集期間を含む情報提供依頼をバックアップシステム４１２のＶＭ４２４−１へ送信する（ステップ２０１７）。

ＶＭ４２４−１の秘匿化部７０２は、モードＭ１における秘匿化処理を中断して（ステップ２０１８）、秘匿化処理で参照する加工テーブルを、加工テーブル７１３から加工テーブル７１４へ切り替える（ステップ２０１９）。次に、秘匿化部７０２は、秘匿化処理で参照する秘匿化程度情報を、秘匿化程度情報６１２から秘匿化程度情報７１５へ切り替える（ステップ２０２０）。

次に、秘匿化部７０２は、秘匿化処理で参照する日時テーブルを、日時テーブル７１１から日時テーブル７１２へ切り替える（ステップ２０２１）。このとき、日時管理部７０３は、情報提供依頼に含まれる収集期間の収集開始日時よりも前の日時を、日時テーブル７１２の秘匿化完了日時に設定し、収集終了日時を秘匿化目標日時に設定する。そして、日時管理部７０３は、処理完了フラグに“ｆａｌｓｅ”を設定する。

次に、秘匿化部７０２は、秘匿化個人情報の転送先を、収集ＤＢ８０１から収集ＤＢ８０２へ切り替える（ステップ２０２２）。

次に、収集ストレージ装置４３３の収集部８０３は、バックアップＤＢ６０１の最新化依頼をバックアップシステム４１２へ送信し（ステップ２０３１）、転送部７０４は、最新化依頼を病院システム４１１−１へ転送する。

病院システム４１１−１のサーバ５０３は、バックアップＤＢ６０１の最新化が可能か否かを判定する（ステップ２０３２）。サーバ５０３は、バックアップＤＢ６０１の個人情報６１１が最新ではなく、かつ、個人情報６１１のバックアップが即時可能である場合、最新化が可能であると判定する。また、サーバ５０３は、バックアップＤＢ６０１の個人情報６１１が最新である場合、又は、個人情報６１１のバックアップが即時可能ではない場合、最新化が不可能であると判定する。

最新化が可能である場合（ステップ２０３２，ＹＥＳ）、サーバ５０３は、個人情報５３１のバックアップ指示を運用ストレージ装置５０４へ送信する（ステップ２０３３）。そして、運用ストレージ装置５０４は、個人情報５３１の複製を、個人情報６１１としてバックアップストレージ装置４２１−１のバックアップＤＢ６０１に書き込む（ステップ２０３４）。

次に、サーバ５０３は、秘匿化程度情報５３２のバックアップ指示を運用ストレージ装置５０４へ送信する（ステップ２０３５）。そして、運用ストレージ装置５０４は、秘匿化程度情報５３２の複製を、秘匿化程度情報６１２としてバックアップストレージ装置４２１−１のバックアップＤＢ６０２に書き込む（ステップ２０３６）。

そして、サーバ５０３は、最新化完了を示す応答を収集部８０３へ送信する（ステップ２０３７）。一方、最新化が不可能である場合（ステップ２０３２，ＮＯ）、サーバ５０３は、直ちに、最新化完了を示す応答を収集部８０３へ送信する（ステップ２０３７）。

次に、収集部８０３は、収集ＤＢ８０１内の秘匿化個人情報８１１の複製を、検索部８０４に対して指示する（ステップ２０４１）。検索部８０４は、収集ＤＢ８０１内の秘匿化個人情報８１１から更新日時を取得する（ステップ２０４２）。そして、検索部８０４は、取得した更新日時と情報提供依頼に含まれる収集期間とを比較し（ステップ２０４３）、収集期間内の更新日時を有する秘匿化個人情報８１１のエントリが存在するか否かをチェックする（ステップ２０４４）。

収集期間内の更新日時を有するエントリが存在する場合（ステップ２０４４，ＹＥＳ）、検索部８０４は、そのエントリの複製を生成し（ステップ２０４５）、秘匿化個人情報８１２として収集ＤＢ８０２に格納する（ステップ２０４６）。そして、検索部８０４は、複製完了を収集部８０３に通知する（ステップ２０４７）。

次に、収集部８０３は、ＶＭ４２４−１に対して、収集ＤＢ８０２と秘匿化部７０２との間のコネクションの確立を指示する（ステップ２０４８）。そして、収集部８０３は、収集ＤＢ８０２と秘匿化部７０２との間のコネクションを確立し（ステップ２０４９）、ＶＭ４２４−１も、収集ＤＢ８０２と秘匿化部７０２との間のコネクションを確立する（ステップ２０５０）。

次に、秘匿化部７０２は、バックアップＤＢ６０１内の個人情報６１１のうち収集期間内の更新日時を有するエントリから、患者ＩＤを取得する（ステップ２０５１）。そして、秘匿化部７０２は、バックアップＤＢ６０２内の秘匿化程度情報６１２と、解析システム４１３から受信した秘匿化程度情報７１５との比較を、比較部７０１に対して依頼する（ステップ２０５２）。

比較部７０１は、秘匿化部７０２から患者ＩＤを取得し（ステップ２０５３）、取得した患者ＩＤに対応する秘匿化程度情報６１２を、バックアップＤＢ６０２から取得する（ステップ２０５４）。そして、比較部７０１は、秘匿化程度情報７１５をメモリ７０５から取得し（ステップ２０５５）、加工テーブル７１３をメモリ７０５から取得し（ステップ２０５６）、加工テーブル７１４をメモリ７０５から取得する（ステップ２０５７）。

次に、比較部７０１は、取得した患者ＩＤ毎に、秘匿化程度情報６１２と秘匿化程度情報７１５とを比較し（ステップ２０５８）、両方の秘匿化程度が“△”であるか否かをチェックする（ステップ２０５９）。

両方の秘匿化程度が“△”である場合（ステップ２０５９，ＹＥＳ）、比較部７０１は、加工テーブル７１３と加工テーブル７１４とを比較する（ステップ２０６０）。そして、比較部７０１は、比較結果を生成して秘匿化部７０２へ転送し（ステップ２０６１）、秘匿化部７０２は、比較結果を受信する（ステップ２０６２）。両方又は一方の秘匿化程度が“△”ではない場合（ステップ２０５９，ＮＯ）、比較部７０１は、ステップ２０６１の処理を行う。

生成された比較結果には、個人情報６１１の患者ＩＤ及び項目毎に、秘匿化程度情報６１２が示す秘匿化程度及び秘匿化程度情報７１５が示す秘匿化程度の組み合わせと、加工テーブル７１３及び加工テーブル７１４が同じであるか否かを示す情報とが含まれる。

ステップ２０５１において、収集期間内の更新日時を有するエントリのみから患者ＩＤを取得することで、比較対象となる秘匿化程度情報６１２を、その患者の秘匿化程度情報６１２のみに絞り込むことができる。したがって、比較対象のデータ量が減少し、比較処理が効率化される。

次に、秘匿化部７０２は、比較結果を参照して、収集期間内の更新日時を有する個人情報６１１の各エントリの各項目について、その項目の情報又は加工した情報を収集ストレージ装置４３３へ再度転送するか否かを判定する（ステップ２０７１）。

処理対象の項目に対する比較結果が上記（Ｃ２）、（Ｃ３）、（Ｃ５）、又は（Ｃ６）の条件を満たす場合、秘匿化部７０２は、情報を再度転送すると判定する。一方、処理対象の項目に対する比較結果が上記（Ｃ１）、（Ｃ４）、（Ｃ７）、又は（Ｃ８）の条件を満たす場合、秘匿化部７０２は、情報を再度転送しないと判定する。

情報を再度転送する場合（ステップ２０７１，ＹＥＳ）、秘匿化部７０２は、バックアップＤＢ６０１内の個人情報６１１から、処理対象のエントリを取得する（ステップ２０７２）。そして、秘匿化部７０２は、病院システム４１１−１の変換プログラムを用いて、取得したエントリの処理対象の項目のデータ形式を統一データ形式へ変換する（ステップ２０７３）。

次に、秘匿化部７０２は、取得したエントリに含まれる個人ＩＤを用いて、サーバ４２３の識別情報付与部４２５に対して、個人ＩＤに対応する共通ＩＤを問い合わせる（ステップ２０７４）。

識別情報付与部４２５は、ＩＤテーブル４２６から、個人ＩＤに対応する共通ＩＤを検索し（ステップ２０７５）、その共通ＩＤが存在するか否かをチェックする（ステップ２０７６）。個人ＩＤに対応する共通ＩＤが存在する場合（ステップ２０７６，ＹＥＳ）、識別情報付与部４２５は、その共通ＩＤを秘匿化部７０２に通知する（ステップ２０７７）。

一方、個人ＩＤに対応する共通ＩＤが存在しない場合（ステップ２０７６，ＮＯ）、識別情報付与部４２５は、その個人ＩＤに対して新たな共通ＩＤを付与する（ステップ２０７８）。そして、識別情報付与部４２５は、その個人ＩＤと付与した共通ＩＤとの対応関係をＩＤテーブル４２６に登録し（ステップ２０７９）、付与した共通ＩＤを秘匿化部７０２に通知する（ステップ２０７７）。

次に、秘匿化部７０２は、識別情報付与部４２５から通知された共通ＩＤを、取得したエントリに設定する（ステップ２０８０）。そして、秘匿化部７０２は、比較結果を参照して、処理対象の項目の情報を再度秘匿化するか否かを判定する（ステップ２０８１）。

処理対象の項目に対する比較結果が上記（Ｃ３）、（Ｃ５）、又は（Ｃ６）の条件を満たす場合、秘匿化部７０２は、情報を再度秘匿化すると判定する。一方、処理対象の項目に対する比較結果が上記（Ｃ２）の条件を満たす場合、秘匿化部７０２は、情報を再度秘匿化しないと判定する。

情報を再度秘匿化しない場合（ステップ２０８１，ＮＯ）、秘匿化部７０２は、処理対象の項目の情報をそのまま転送部７０４へ転送する（ステップ２０８２）。そして、転送部７０４は、受信した情報に病院ＩＤを付与して、解析システム４１３の収集ストレージ装置４３３へ転送する（ステップ２０８３）。収集ストレージ装置４３３は、転送部７０４から受信した情報を、収集ＤＢ８０２内の秘匿化個人情報８１２に含まれる処理対象の項目の秘匿化情報に上書きする。

一方、情報を再度秘匿化する場合（ステップ２０８１，ＹＥＳ）、秘匿化部７０２は、加工テーブル７１４を取得し（ステップ２０８４）、処理対象の項目の情報を、加工テーブル７１４を用いて簡略化された情報に変換する（ステップ２０８５）。そして、秘匿化部７０２は、変換後の情報を転送部７０４へ転送し（ステップ２０８６）、転送部７０４は、受信した情報に病院ＩＤを付与して、収集ストレージ装置４３３へ転送する（ステップ２０８７）。収集ストレージ装置４３３は、転送部７０４から受信した情報を、収集ＤＢ８０２内の秘匿化個人情報８１２に含まれる処理対象の項目の秘匿化情報に上書きする。

次に、秘匿化部７０２は、収集期間内の更新日時を有するエントリの未処理の項目が存在するか否かをチェックする（ステップ２０９５）。未処理の項目又はエントリが存在する場合（ステップ２０９５，ＹＥＳ）、秘匿化部７０２は、次の項目についてステップ２０７１以降の処理を繰り返す。

情報を再度転送しない場合（ステップ２０７１，ＮＯ）、秘匿化部７０２は、比較結果を参照して、処理対象の項目の情報の秘匿化程度が“○”又は“△”から“×”に変更されたか否かを判定する（ステップ２０９１）。

処理対象の項目に対する比較結果が上記（Ｃ７）の条件を満たす場合、秘匿化部７０２は、秘匿化程度が“×”に変更されたと判定する。一方、処理対象の項目に対する比較結果が上記（Ｃ１）、（Ｃ４）、又は（Ｃ８）の条件を満たす場合、秘匿化部７０２は、秘匿化程度が“×”に変更されていないと判定する。

秘匿化程度が“×”に変更された場合（ステップ２０９１，ＹＥＳ）、秘匿化部７０２は、処理対象の項目の情報を、秘匿化されていることを示すデータに変換する（ステップ２０９２）。そして、秘匿化部７０２は、変換後の情報を転送部７０４へ転送し（ステップ２０９３）、転送部７０４は、受信した情報に病院ＩＤを付与して、収集ストレージ装置４３３へ転送する（ステップ２０９４）。収集ストレージ装置４３３は、転送部７０４から受信した情報を、収集ＤＢ８０２内の秘匿化個人情報８１２に含まれる処理対象の項目の秘匿化情報に上書きする。

一方、秘匿化程度が“×”に変更されていない場合（ステップ２０９１，ＮＯ）、秘匿化部７０２は、ステップ２０９５以降の処理を行う。

収集期間内の更新日時を有するすべてのエントリのすべての項目を処理した場合（ステップ２０９５，ＮＯ）、秘匿化部７０２は、収集期間と重複していない期間の個人情報６１１のエントリが存在するか否かをチェックする（ステップ２１０１）。収集期間よりも後の更新日時を有するエントリは、収集期間と重複していない期間のエントリに該当する。収集期間と重複していない期間のエントリが存在しない場合（ステップ２１０１，ＮＯ）、秘匿化部７０２は、ステップ２１６１以降の処理を行う。

一方、収集期間と重複していない期間のエントリが存在する場合（ステップ２１０１，ＹＥＳ）、日時管理部７０３は、日時テーブル７１１から秘匿化完了日時を取得して、取得した秘匿化完了日時を日時テーブル７１２に記録する（ステップ２１０２）。そして、日時管理部７０３は、秘匿化部７０２から収集期間の最終日時を取得して、取得した最終日時を日時テーブル７１２の秘匿化目標日時に記録し、処理完了フラグに“ｆａｌｓｅ”を設定する（ステップ２１０３）。

ステップ２０４４において、収集期間内の更新日時を有するエントリが存在しない場合（ステップ２０４４，ＮＯ）、収集部８０３は、ＶＭ４２４−１に対して、収集ＤＢ８０２と秘匿化部７０２との間のコネクションの確立を指示する（ステップ２１０４）。そして、収集部８０３は、収集ＤＢ８０２と秘匿化部７０２との間のコネクションを確立し（ステップ２１０５）、ＶＭ４２４−１も、収集ＤＢ８０２と秘匿化部７０２との間のコネクションを確立する（ステップ２１０６）。そして、ＶＭ４２４−１は、ステップ２１０２以降の処理を行う。

次に、秘匿化部７０２は、日時管理部７０３に対して秘匿化処理を実施するか否かを問い合わせる（ステップ２１１１）。

日時管理部７０３は、日時テーブル７１２から秘匿化完了日時及び秘匿化目標日時を取得する（ステップ２１１２）。そして、日時管理部７０３は、秘匿化完了日時と秘匿化目標日時を比較して、秘匿化処理を実施するか否かを示す応答を秘匿化部７０２へ送信する（ステップ２１１３）。日時管理部７０３は、秘匿化目標日時が秘匿化完了日時よりも後である場合、秘匿化処理を実施すると判定し、秘匿化目標日時が秘匿化完了日時以前である場合、秘匿化処理を実施しないと判定する。

次に、秘匿化部７０２は、日時管理部７０３から受信した応答をチェックし（ステップ２１１４）、秘匿化処理を実施する場合（ステップ２１１４，ＹＥＳ）、バックアップストレージ装置４２１−１に対するコネクションを確立する（ステップ２１１５）。一方、秘匿化処理を実施しない場合（ステップ２１１４，ＮＯ）、秘匿化部７０２は、ステップ２１６１以降の処理を行う。

次に、秘匿化部７０２は、日時管理部７０３を介して日時テーブル７１２から秘匿化完了日時を取得する（ステップ２１２１）。そして、秘匿化部７０２は、バックアップＤＢ６０１の個人情報６１１から、更新日時が秘匿化完了日時よりも新しいエントリを検索し（ステップ２１２２）、そのようなエントリが存在するか否かをチェックする（ステップ２１２３）。

秘匿化完了日時よりも新しいエントリが存在する場合（ステップ２１２３，ＹＥＳ）、秘匿化部７０２は、個人情報６１１からそのエントリを取得する（ステップ２１２４）。そして、秘匿化部７０２は、病院システム４１１−１の変換プログラムを用いて、取得したエントリのデータ形式を統一データ形式へ変換する（ステップ２１２５）。

一方、秘匿化完了日時よりも新しいエントリが存在しない場合（ステップ２１２３，ＮＯ）、秘匿化部７０２は、処理完了通知を日時管理部７０３へ送信し（ステップ２１２６）、ステップ２１６１以降の処理を行う。そして、日時管理部７０３は、日時テーブル７１２の処理完了フラグに“ｔｒｕｅ”を設定する（ステップ２１２７）。

ステップ２１２５の処理を行った後、秘匿化部７０２は、取得したエントリに含まれる個人ＩＤを用いて、サーバ４２３の識別情報付与部４２５に対して、個人ＩＤに対応する共通ＩＤを問い合わせる（ステップ２１３１）。

識別情報付与部４２５は、ＩＤテーブル４２６から、個人ＩＤに対応する共通ＩＤを検索し（ステップ２１３２）、その共通ＩＤが存在するか否かをチェックする（ステップ２１３３）。個人ＩＤに対応する共通ＩＤが存在する場合（ステップ２１３３，ＹＥＳ）、識別情報付与部４２５は、その共通ＩＤを秘匿化部７０２に通知する（ステップ２１３４）。

一方、個人ＩＤに対応する共通ＩＤが存在しない場合（ステップ２１３３，ＮＯ）、識別情報付与部４２５は、その個人ＩＤに対して新たな共通ＩＤを付与する（ステップ２１３５）。そして、識別情報付与部４２５は、その個人ＩＤと付与した共通ＩＤとの対応関係をＩＤテーブル４２６に登録し（ステップ２１３６）、付与した共通ＩＤを秘匿化部７０２に通知する（ステップ２１３４）。

次に、秘匿化部７０２は、識別情報付与部４２５から通知された共通ＩＤを、取得したエントリに設定する（ステップ２１３７）。そして、秘匿化部７０２は、秘匿化程度情報７１５を取得して（ステップ２１３８）、項目毎に記号が“○”であるか否かをチェックする（ステップ２１４１）。

記号が“○”である場合（ステップ２１４１，ＹＥＳ）、秘匿化部７０２は、エントリに含まれるその項目の情報をそのまま転送部７０４へ転送する（ステップ２１４２）。そして、転送部７０４は、受信した情報に病院ＩＤを付与して、解析システム４１３の収集ストレージ装置４３３へ転送する（ステップ２１４３）。一方、記号が“○”ではない場合（ステップ２１４１，ＮＯ）、秘匿化部７０２は、記号が“△”であるか否かをチェックする（ステップ２１４４）。

記号が“△”である場合（ステップ２１４４，ＹＥＳ）、秘匿化部７０２は、加工テーブル７１４を取得し（ステップ２１４５）、エントリに含まれるその項目の情報を、加工テーブル７１４を用いて簡略化された情報に変換する（ステップ２１４６）。そして、秘匿化部７０２は、変換後の情報を転送部７０４へ転送し（ステップ２１４７）、転送部７０４は、受信した情報に病院ＩＤを付与して、収集ストレージ装置４３３へ転送する（ステップ２１４８）。

一方、記号が“△”ではない場合（ステップ２１４４，ＮＯ）、秘匿化部７０２は、エントリに含まれるその項目の情報を、秘匿化されていることを示すデータに変換する（ステップ２１４９）。そして、秘匿化部７０２は、変換後の情報を転送部７０４へ転送し（ステップ２１５０）、転送部７０４は、受信した情報に病院ＩＤを付与して、収集ストレージ装置４３３へ転送する（ステップ２１５１）。

収集ストレージ装置４３３は、転送部７０４から受信した各項目の情報及び病院ＩＤを、個人情報６１１に対応する秘匿化個人情報８１２のエントリとして、収集ＤＢ８０２に格納する。

次に、秘匿化部７０２は、日時テーブル７１２の更新要求を日時管理部７０３へ送信する（ステップ２１５２）。このとき、日時管理部７０３は、転送が完了したエントリの更新日時のうち最も遅い更新日時を、日時テーブル７１２の秘匿化完了日時に設定する。最も遅い更新日時を有するエントリが複数個存在する場合、日時管理部７０３は、転送が完了したエントリの順位を表す番号を、設定した秘匿化完了日時に対応する同時刻連番に設定する。

次に、秘匿化部７０２は、ステップ２１１１以降の処理を繰り返す。そして、秘匿化処理を実施しないことを示す応答を受信した場合（ステップ２１１４，ＮＯ）、又は秘匿化完了日時よりも新しいエントリが存在しない場合（ステップ２１２３，ＮＯ）、情報処理システム４０１は、ステップ２１６１以降の処理を行う。

ＶＭ４２４−２〜ＶＭ４２４−Ｍも図２０Ａ〜図２０Ｋと同様の動作を行って、バックアップストレージ装置４２１−２〜バックアップストレージ装置４２１−Ｍ内の個人情報６１１から秘匿化個人情報８１２を生成する。

次に、ＰＣ４３２の解析アプリケーション２００１は、解析者の操作に基づいて、収集ストレージ装置４３３の収集ＤＢ８０２から、秘匿化個人情報８１２を取得し（ステップ２１６１）、収集完了通知をＶＭ４２４−１へ送信する（ステップ２１６２）。そして、解析アプリケーション２００１は、解析者の操作に基づいて、秘匿化個人情報８１２を解析し（ステップ２１６３）、解析結果２００２をサーバ４３１に格納する（ステップ２１６４）。

収集完了通知を受信したＶＭ４２４−１の秘匿化部７０２は、秘匿化個人情報の転送先を、収集ＤＢ８０２から元の収集ＤＢ８０１へ切り替える（ステップ２１７１）。次に、秘匿化部７０２は、秘匿化処理で参照する加工テーブルを、加工テーブル７１４から元の加工テーブル７１３へ切り替える（ステップ２１７２）。

次に、秘匿化部７０２は、秘匿化処理で参照する秘匿化程度情報を、秘匿化程度情報７１５から元の秘匿化程度情報６１２へ切り替える（ステップ２１７３）。次に、秘匿化部７０２は、秘匿化処理で参照する日時テーブルを、日時テーブル７１２から元の日時テーブル７１１へ切り替える（ステップ２１７４）。

次に、秘匿化部７０２は、日時管理部７０３に対して、モードＭ１における秘匿化処理を中断した箇所を問い合わせる（ステップ２１７５）。日時管理部７０３は、日時テーブル７１１の処理完了フラグに“ｆａｌｓｅ”が設定されている場合、病院ＩＤ、秘匿化完了日時、及び同時刻連番を含む応答を、秘匿化部７０２へ送信する（ステップ２１７６）。

処理完了フラグ“ｆａｌｓｅ”は、モードＭ１における秘匿化処理が中断されたことを示しており、秘匿化完了日時及び同時刻連番は、個人情報６１１における中断箇所を表している。

秘匿化部７０２は、個人情報６１１のうち、応答に含まれる秘匿化完了日時以降の更新日時を有するエントリを対象として、モードＭ１における秘匿化処理を再開する（ステップ２１７７）。秘匿化完了日時と同じ更新日時を有するエントリが複数個存在する場合は、同時刻連番が示す順位の次のエントリから、秘匿化処理が再開される。一方、秘匿化完了日時と同じ更新日時を有するエントリが１個のみ存在する場合は、次の更新日時を有するエントリから、秘匿化処理が再開される。ＶＭ４２４−２〜ＶＭ４２４−Ｍも図２０Ｌと同様の動作を行って、モードＭ１における秘匿化処理を再開する。

なお、各病院のＶＭ４２４−ｉの代わりにコンテナ等を用いて、各病院の情報処理装置を仮想化してもよい。コンテナを用いた仮想化によって、秘匿化処理をさらに高速化することができる。

図４の情報処理システム４０１において、情報提供機関は、患者の診察情報を提供する病院以外の機関であってもよい。例えば、顧客の購買情報を提供する店舗、生徒の成績情報を提供する学校、予備校等の教育機関、又は顧客の預金残高、取引実績等を提供する銀行等の金融機関を、情報提供機関の例として挙げることができる。

情報提供機関が店舗である場合、顧客の購買情報が個人情報として収集され、顧客の嗜好等を表す解析結果が、レストラン等の情報利用者に対して提供される。情報提供機関が教育機関である場合、生徒の成績情報が個人情報として収集され、科目毎の傾向等を表す解析結果が、教育資材製作会社等の情報利用者に対して提供される。情報提供機関が金融機関である場合、顧客の預金残高、取引実績等が個人情報として収集され、ローンの利用状況等を表す解析結果が、ローン会社等の情報利用者に対して提供される。

図２の情報処理システム２０１及び図４の情報処理システム４０１の構成は一例に過ぎず、情報処理システムの用途又は条件に応じて一部の構成要素を省略又は変更してもよい。例えば、図４の情報処理システム４０１において、バックアップストレージ装置４２１−１がすべての病院のバックアップＤＢ６０１及びバックアップＤＢ６０２を格納できる場合は、他のバックアップストレージ装置を省略することができる。サーバ４２２−１内でＶＭ４２４−１〜ＶＭ４２４−Ｍが動作できる場合は、サーバ４２２−２〜サーバ４２２−Ｍを省略することができる。

図５の病院システム４１１−ｉ及び図６のバックアップストレージ装置４２１−ｉの構成は一例に過ぎず、情報処理システム４０１の用途又は条件に応じて一部の構成要素を省略又は変更してもよい。図７のＶＭ４２４−ｉ及び図８の収集ストレージ装置４３３の構成は一例に過ぎず、情報処理システム４０１の用途又は条件に応じて一部の構成要素を省略又は変更してもよい。

図３のフローチャート及び図１９〜図２０Ｌの動作シーケンスは一例に過ぎず、情報処理システムの構成又は条件に応じて一部の処理を省略又は変更してもよい。

図９及び図１０の個人情報、図１１及び図１２の秘匿化程度情報、図１５の加工テーブル、図１６及び図１７の秘匿化個人情報は一例に過ぎず、これらの情報は個人情報の内容に応じて変化する。図１３のＩＤテーブルは一例に過ぎず、別の形式のＩＤテーブルを用いることもできる。例えば、マイナンバー以外の氏名、保険証ＩＤ等の情報を個人ＩＤとして用いてもよい。図１４の日時テーブルは一例に過ぎず、別の形式の日時テーブルを用いることもできる。図１８のデータ形式を変換する処理は一例に過ぎず、データ形式は項目に応じて変化する。

図２１は、図２の情報処理装置２１２、図４のサーバ４２２−ｉ、サーバ４２３、及び収集ストレージ装置４３３として用いられる情報処理装置のハードウェア構成例を示している。図２２の情報処理装置は、Central Processing Unit（ＣＰＵ）２２０１、メモリ２２０２、入力装置２２０３、出力装置２２０４、補助記憶装置２２０５、媒体駆動装置２２０６、及びネットワーク接続装置２２０７を含む。これらの構成要素はバス２２０８により互いに接続されている。

メモリ２２０２は、例えば、Read Only Memory（ＲＯＭ）、Random Access Memory（ＲＡＭ）、フラッシュメモリ等の半導体メモリであり、処理に用いられるプログラム及びデータを格納する。メモリ２２０２は、図２の記憶部２２４として用いることができる。

ＣＰＵ２２０１（プロセッサ）は、例えば、メモリ２２０２を利用してプログラムを実行することにより、図２の比較部２２１及び秘匿化部２２２として動作する。ＣＰＵ２２０１は、メモリ２２０２を利用してプログラムを実行することにより、図８の収集部８０３及び検索部８０４としても動作する。ＣＰＵ２２０１は、メモリ２２０２を利用してプログラムを実行することにより、図４のＶＭ４２４−ｉを動作させる。

入力装置２２０３は、例えば、キーボード、ポインティングデバイス等であり、オペレータ又はユーザからの指示又は情報の入力に用いられる。出力装置２２０４は、例えば、表示装置、プリンタ、スピーカ等であり、オペレータ又はユーザに対する問い合わせ又は処理結果の出力に用いられる。

補助記憶装置２２０５は、例えば、磁気ディスク装置、光ディスク装置、光磁気ディスク装置、テープ装置等である。補助記憶装置２２０５は、ハードディスクドライブであってもよい。情報処理装置は、補助記憶装置２２０５にプログラム及びデータを格納しておき、それらをメモリ２２０２にロードして使用することができる。補助記憶装置２２０５は、図２の記憶部２２４として用いることができる。

媒体駆動装置２２０６は、可搬型記録媒体２２０９を駆動し、その記録内容にアクセスする。可搬型記録媒体２２０９は、メモリデバイス、フレキシブルディスク、光ディスク、光磁気ディスク等である。可搬型記録媒体２２０９は、ＤＶＤ、Compact Disk Read Only Memory（ＣＤ−ＲＯＭ）、Universal Serial Bus（ＵＳＢ）メモリ等であってもよい。オペレータ又はユーザは、この可搬型記録媒体２２０９にプログラム及びデータを格納しておき、それらをメモリ２２０２にロードして使用することができる。

このように、処理に用いられるプログラム及びデータを格納するコンピュータ読み取り可能な記録媒体は、メモリ２２０２、補助記憶装置２２０５、又は可搬型記録媒体２２０９のような、物理的な（非一時的な）記録媒体である。

ネットワーク接続装置２２０７は、ＬＡＮ、Wide Area Network（ＷＡＮ）等の通信ネットワークに接続され、通信に伴うデータ変換を行う通信インタフェースである。ネットワーク接続装置２２０７は、図２の転送部２２３として用いることができる。情報処理装置は、プログラム及びデータを外部の装置からネットワーク接続装置２２０７を介して受信し、それらをメモリ２２０２にロードして使用することができる。

なお、情報処理装置が図２１のすべての構成要素を含む必要はなく、用途又は条件に応じて一部の構成要素を省略することも可能である。例えば、オペレータ又はユーザからの指示又は情報を入力する必要がない場合は、入力装置２２０３を省略してもよく、オペレータ又はユーザに対する問い合わせ又は処理結果を出力する必要がない場合は、出力装置２２０４を省略してもよい。可搬型記録媒体２２０９を利用しない場合は、媒体駆動装置２２０６を省略してもよい。

図４のサーバ４３１、ＰＣ４３２、図５のＰＣ５０１、ＰＣ５０２、及びサーバ５０３としては、図２１と同様の情報処理装置を用いることができる。

開示の実施形態とその利点について詳しく説明したが、当業者は、特許請求の範囲に明確に記載した本発明の範囲から逸脱することなく、様々な変更、追加、省略をすることができるであろう。

図１乃至図２２を参照しながら説明した実施形態に関し、さらに以下の付記を開示する。
（付記１）
情報提供機関から提供される個人情報に対して第１秘匿化処理を適用することで、第１秘匿化個人情報を生成する秘匿化部と、
前記第１秘匿化処理の秘匿化程度を示す第１秘匿化程度情報を記憶する記憶部と、
情報解析機関が使用するストレージ装置へ前記第１秘匿化個人情報を転送する転送部と、
前記第１秘匿化程度情報と、前記情報解析機関が要求する第２秘匿化処理の秘匿化程度を示す第２秘匿化程度情報とを比較して、比較結果を生成する比較部とを備え、
前記秘匿化部は、前記比較結果に基づいて前記個人情報に対して前記第２秘匿化処理を適用することで、第２秘匿化個人情報を生成し、
前記転送部は、前記ストレージ装置へ前記第２秘匿化個人情報を転送することを特徴とする情報処理装置。
（付記２）
前記第１秘匿化程度情報及び前記第２秘匿化程度情報は、前記個人情報に含まれる複数の項目それぞれについて適用される秘匿化操作を指定し、
前記比較結果は、前記複数の項目それぞれについて、前記第１秘匿化程度情報が指定する秘匿化操作と前記第２秘匿化程度情報が指定する秘匿化操作とが同じであるか否かを示し、
前記秘匿化部は、前記複数の項目のうち第１項目について、前記第１秘匿化程度情報が指定する前記秘匿化操作と前記第２秘匿化程度情報が指定する前記秘匿化操作とが異なっている場合、前記個人情報に含まれる前記第１項目の情報に対して、前記第２秘匿化程度情報が指定する前記秘匿化操作を適用することで、前記第１項目の秘匿化情報を生成し、
前記転送部は、前記第１項目の前記秘匿化情報を前記ストレージ装置へ転送することを特徴とする付記１記載の情報処理装置。
（付記３）
前記秘匿化部は、前記複数の項目のうち第２項目について、前記第１秘匿化程度情報が秘匿化を行うことを示し、前記第２秘匿化程度情報が秘匿化を行わないことを示している場合、前記第２秘匿化処理において、前記個人情報に含まれる前記第２項目の情報を秘匿化せず、
前記転送部は、前記第２項目の情報を前記ストレージ装置へ転送することを特徴とする付記２記載の情報処理装置。
（付記４）
前記秘匿化部は、前記複数の項目のうち第３項目について、前記第１秘匿化程度情報が指定する前記秘匿化操作と前記第２秘匿化程度情報が指定する前記秘匿化操作とが同じである場合、前記第２秘匿化処理において、前記個人情報に含まれる前記第３項目の情報を秘匿化せず、
前記転送部は、前記第３項目の秘匿化情報を前記ストレージ装置へ転送しないことを特徴とする付記２又は３記載の情報処理装置。
（付記５）
前記第１秘匿化程度情報が指定する前記秘匿化操作と前記第２秘匿化程度情報が指定する前記秘匿化操作は、前記第１項目の情報を簡略化する処理、又は前記第１項目の情報を秘匿化されていることを示すデータに変換する処理であることを特徴とする付記２乃至４のいずれか１項に記載の情報処理装置。
（付記６）
情報提供機関から提供される個人情報を格納する第１ストレージ装置と、
情報解析機関が使用する第２ストレージ装置と、
前記第１ストレージ装置が格納する前記個人情報に対して第１秘匿化処理を適用することで、第１秘匿化個人情報を生成し、前記第２ストレージ装置へ前記第１秘匿化個人情報を転送し、前記第１秘匿化処理の秘匿化程度を示す第１秘匿化程度情報（２３１）と、前記情報解析機関が要求する第２秘匿化処理の秘匿化程度を示す第２秘匿化程度情報とを比較した比較結果に基づいて、前記個人情報に対して前記第２秘匿化処理を適用することで、第２秘匿化個人情報を生成し、前記第２ストレージ装置へ前記第２秘匿化個人情報を転送する情報処理装置と、
を備えることを特徴とする情報処理システム。
（付記７）
前記第１秘匿化程度情報及び前記第２秘匿化程度情報は、前記個人情報に含まれる複数の項目それぞれについて適用される秘匿化操作を指定し、
前記比較結果は、前記複数の項目それぞれについて、前記第１秘匿化程度情報が指定する秘匿化操作と前記第２秘匿化程度情報が指定する秘匿化操作とが同じであるか否かを示し、
前記情報処理装置は、前記複数の項目のうち第１項目について、前記第１秘匿化程度情報が指定する前記秘匿化操作と前記第２秘匿化程度情報が指定する前記秘匿化操作とが異なっている場合、前記個人情報に含まれる前記第１項目の情報に対して、前記第２秘匿化程度情報が指定する前記秘匿化操作を適用することで、前記第１項目の秘匿化情報を生成し、前記第１項目の前記秘匿化情報を前記第２ストレージ装置へ転送することを特徴とする付記６記載の情報処理システム。
（付記８）
前記情報処理装置は、前記複数の項目のうち第２項目について、前記第１秘匿化程度情報が秘匿化を行うことを示し、前記第２秘匿化程度情報が秘匿化を行わないことを示している場合、前記第２秘匿化処理において、前記個人情報に含まれる前記第２項目の情報を秘匿化せず、前記第２項目の情報を前記第２ストレージ装置へ転送することを特徴とする付記７記載の情報処理システム。
（付記９）
前記情報処理装置は、前記複数の項目のうち第３項目について、前記第１秘匿化程度情報が指定する前記秘匿化操作と前記第２秘匿化程度情報が指定する前記秘匿化操作とが同じである場合、前記第２秘匿化処理において、前記個人情報に含まれる前記第３項目の情報を秘匿化せず、前記第３項目の秘匿化情報を前記第２ストレージ装置へ転送せず、
前記第２ストレージ装置は、前記第１秘匿化個人情報に含まれる前記第３項目の秘匿化情報を、前記第２秘匿化個人情報における前記第３項目の秘匿化情報として用いることを特徴とする付記７又は８記載の情報処理システム。
（付記１０）
前記第１秘匿化程度情報が指定する前記秘匿化操作と前記第２秘匿化程度情報が指定する前記秘匿化操作は、前記第１項目の情報を簡略化する処理、又は前記第１項目の情報を秘匿化されていることを示すデータに変換する処理であることを特徴とする付記７乃至９のいずれか１項に記載の情報処理システム。
（付記１１）
情報提供機関から提供される個人情報に対して第１秘匿化処理を適用することで、第１秘匿化個人情報を生成し、
情報解析機関が使用するストレージ装置へ前記第１秘匿化個人情報を転送し、
前記第１秘匿化処理の秘匿化程度を示す第１秘匿化程度情報と、前記情報解析機関が要求する第２秘匿化処理の秘匿化程度を示す第２秘匿化程度情報とを比較して、比較結果を生成し、
前記比較結果に基づいて前記個人情報に対して前記第２秘匿化処理を適用することで、第２秘匿化個人情報を生成し、
前記ストレージ装置へ前記第２秘匿化個人情報を転送する、
処理をコンピュータに実行させるプログラム。
（付記１２）
前記第１秘匿化程度情報及び前記第２秘匿化程度情報は、前記個人情報に含まれる複数の項目それぞれについて適用される秘匿化操作を指定し、
前記比較結果は、前記複数の項目それぞれについて、前記第１秘匿化程度情報が指定する秘匿化操作と前記第２秘匿化程度情報が指定する秘匿化操作とが同じであるか否かを示し、
前記コンピュータは、前記複数の項目のうち第１項目について、前記第１秘匿化程度情報が指定する前記秘匿化操作と前記第２秘匿化程度情報が指定する前記秘匿化操作とが異なっている場合、前記個人情報に含まれる前記第１項目の情報に対して、前記第２秘匿化程度情報が指定する前記秘匿化操作を適用することで、前記第１項目の秘匿化情報を生成し、前記第１項目の前記秘匿化情報を前記ストレージ装置へ転送することを特徴とする付記１１記載のプログラム。
（付記１３）
コンピュータが、
情報提供機関から提供される個人情報に対して第１秘匿化処理を適用することで、第１秘匿化個人情報を生成し、
情報解析機関が使用するストレージ装置へ前記第１秘匿化個人情報を転送し、
前記第１秘匿化処理の秘匿化程度を示す第１秘匿化程度情報と、前記情報解析機関が要求する第２秘匿化処理の秘匿化程度を示す第２秘匿化程度情報とを比較して、比較結果を生成し、
前記比較結果に基づいて前記個人情報に対して前記第２秘匿化処理を適用することで、第２秘匿化個人情報を生成し、
前記ストレージ装置へ前記第２秘匿化個人情報を転送する、
ことを特徴とする情報処理方法。
（付記１４）
前記第１秘匿化程度情報及び前記第２秘匿化程度情報は、前記個人情報に含まれる複数の項目それぞれについて適用される秘匿化操作を指定し、
前記比較結果は、前記複数の項目それぞれについて、前記第１秘匿化程度情報が指定する秘匿化操作と前記第２秘匿化程度情報が指定する秘匿化操作とが同じであるか否かを示し、
前記コンピュータは、前記複数の項目のうち第１項目について、前記第１秘匿化程度情報が指定する前記秘匿化操作と前記第２秘匿化程度情報が指定する前記秘匿化操作とが異なっている場合、前記個人情報に含まれる前記第１項目の情報に対して、前記第２秘匿化程度情報が指定する前記秘匿化操作を適用することで、前記第１項目の秘匿化情報を生成し、前記第１項目の前記秘匿化情報を前記ストレージ装置へ転送することを特徴とする付記１３記載の情報処理方法。

１０１、２０１、４０１ 情報処理システム
１１１−１〜１１１−Ｍ、４１１−１〜４１１−Ｍ 病院システム
１１２、４１２ バックアップシステム
１１３、４１３ 解析システム
１２１−１〜１２１−Ｍ、４２１−１〜４２１−Ｍ バックアップストレージ装置
１２２−１〜１２２−Ｎ、４２２−１〜４２２−Ｎ、１２３、１３１、５０３ サーバ
１２４−１〜１２４−Ｍ、４２４−１〜４２４−Ｍ ＶＭ
１２５、４２５ 識別情報付与部
１２６、４２６ ＩＤテーブル
１３２、４３２、５０１、５０２ ＰＣ
１３３、４３３ 収集ストレージ装置
２１１、２１３ ストレージ装置
２１２ 情報処理装置
２２４ 記憶部
２２１、７０１ 比較部
２２２、７０２ 秘匿化部
２２３、７０４ 転送部
２３１ 第１秘匿化程度情報
５０４ 運用ストレージ装置
５１１、５１２ 運用ＤＢ
５２１ 電子カルテ
５３１、６１１ 個人情報
５３２、６１２、７１５ 秘匿化程度情報
６０１、６０２ バックアップＤＢ
７０３ 日時管理部
７０５ メモリ
７１１、７１２ 日時テーブル
７１３、７１４ 加工テーブル
８０１、８０２ 収集ＤＢ
８０３ 収集部
８０４ 検索部
８１１、８１２ 秘匿化個人情報
１９０１、１９０２ 電子カルテクライアント
２００１ 解析アプリケーション
２００２ 解析結果
２２０１ ＣＰＵ
２２０２ メモリ
２２０３ 入力装置
２２０４ 出力装置
２２０５ 補助記憶装置
２２０６ 媒体駆動装置
２２０７ ネットワーク接続装置
２２０８ バス
２２０９ 可搬型記録媒体

次に、電子カルテクライアント１９０２は、医師の操作に基づいて、電子カルテ５２１に患者の診察情報を入力する（ステップ１９２１）。そして、サーバ５０３は、電子カルテ５２１に入力された診察情報を、個人情報５３１として運用ストレージ装置５０４の運用ＤＢ５１１に書き込む（ステップ１９２２）。

病院システム４１１−２〜病院システム４１１−Ｍにおいても、図１９と同様の情報提供シーケンスによって、個人情報５３１及び秘匿化程度情報５３２が運用ストレージ装置５０４に書き込まれる。そして、個人情報６１１及び秘匿化程度情報６１２がバックアップストレージ装置４２１−２〜バックアップストレージ装置４２１−Ｍに書き込まれる。

図１乃至図２２を参照しながら説明した実施形態に関し、さらに以下の付記を開示する。
（付記１）
情報提供機関から提供される個人情報に対して第１秘匿化処理を適用することで、第１秘匿化個人情報を生成する秘匿化部と、
前記第１秘匿化処理の秘匿化程度を示す第１秘匿化程度情報を記憶する記憶部と、
情報解析機関が使用するストレージ装置へ前記第１秘匿化個人情報を転送する転送部と、
前記第１秘匿化程度情報と、前記情報解析機関が要求する第２秘匿化処理の秘匿化程度を示す第２秘匿化程度情報とを比較して、比較結果を生成する比較部とを備え、
前記秘匿化部は、前記比較結果に基づいて前記個人情報に対して前記第２秘匿化処理を適用することで、第２秘匿化個人情報を生成し、
前記転送部は、前記ストレージ装置へ前記第２秘匿化個人情報を転送することを特徴とする情報処理装置。
（付記２）
前記第１秘匿化程度情報及び前記第２秘匿化程度情報は、前記個人情報に含まれる複数の項目それぞれについて適用される秘匿化操作を指定し、
前記比較結果は、前記複数の項目それぞれについて、前記第１秘匿化程度情報が指定する秘匿化操作と前記第２秘匿化程度情報が指定する秘匿化操作とが同じであるか否かを示し、
前記秘匿化部は、前記複数の項目のうち第１項目について、前記第１秘匿化程度情報が指定する前記秘匿化操作と前記第２秘匿化程度情報が指定する前記秘匿化操作とが異なっている場合、前記個人情報に含まれる前記第１項目の情報に対して、前記第２秘匿化程度情報が指定する前記秘匿化操作を適用することで、前記第１項目の秘匿化情報を生成し、
前記転送部は、前記第１項目の前記秘匿化情報を前記ストレージ装置へ転送することを特徴とする付記１記載の情報処理装置。
（付記３）
前記秘匿化部は、前記複数の項目のうち第２項目について、前記第１秘匿化程度情報が
秘匿化を行うことを示し、前記第２秘匿化程度情報が秘匿化を行わないことを示している場合、前記第２秘匿化処理において、前記個人情報に含まれる前記第２項目の情報を秘匿化せず、
前記転送部は、前記第２項目の情報を前記ストレージ装置へ転送することを特徴とする付記２記載の情報処理装置。
（付記４）
前記秘匿化部は、前記複数の項目のうち第３項目について、前記第１秘匿化程度情報が指定する前記秘匿化操作と前記第２秘匿化程度情報が指定する前記秘匿化操作とが同じである場合、前記第２秘匿化処理において、前記個人情報に含まれる前記第３項目の情報を秘匿化せず、
前記転送部は、前記第３項目の秘匿化情報を前記ストレージ装置へ転送しないことを特徴とする付記２又は３記載の情報処理装置。
（付記５）
前記第１秘匿化程度情報が指定する前記秘匿化操作と前記第２秘匿化程度情報が指定する前記秘匿化操作は、前記第１項目の情報を簡略化する処理、又は前記第１項目の情報を秘匿化されていることを示すデータに変換する処理であることを特徴とする付記２乃至４のいずれか１項に記載の情報処理装置。
（付記６）
情報提供機関から提供される個人情報を格納する第１ストレージ装置と、
情報解析機関が使用する第２ストレージ装置と、
前記第１ストレージ装置が格納する前記個人情報に対して第１秘匿化処理を適用することで、第１秘匿化個人情報を生成し、前記第２ストレージ装置へ前記第１秘匿化個人情報を転送し、前記第１秘匿化処理の秘匿化程度を示す第１秘匿化程度情報と、前記情報解析機関が要求する第２秘匿化処理の秘匿化程度を示す第２秘匿化程度情報とを比較した比較結果に基づいて、前記個人情報に対して前記第２秘匿化処理を適用することで、第２秘匿化個人情報を生成し、前記第２ストレージ装置へ前記第２秘匿化個人情報を転送する情報処理装置と、
を備えることを特徴とする情報処理システム。
（付記７）
前記第１秘匿化程度情報及び前記第２秘匿化程度情報は、前記個人情報に含まれる複数の項目それぞれについて適用される秘匿化操作を指定し、
前記比較結果は、前記複数の項目それぞれについて、前記第１秘匿化程度情報が指定する秘匿化操作と前記第２秘匿化程度情報が指定する秘匿化操作とが同じであるか否かを示し、
前記情報処理装置は、前記複数の項目のうち第１項目について、前記第１秘匿化程度情報が指定する前記秘匿化操作と前記第２秘匿化程度情報が指定する前記秘匿化操作とが異なっている場合、前記個人情報に含まれる前記第１項目の情報に対して、前記第２秘匿化程度情報が指定する前記秘匿化操作を適用することで、前記第１項目の秘匿化情報を生成し、前記第１項目の前記秘匿化情報を前記第２ストレージ装置へ転送することを特徴とする付記６記載の情報処理システム。
（付記８）
前記情報処理装置は、前記複数の項目のうち第２項目について、前記第１秘匿化程度情報が秘匿化を行うことを示し、前記第２秘匿化程度情報が秘匿化を行わないことを示している場合、前記第２秘匿化処理において、前記個人情報に含まれる前記第２項目の情報を秘匿化せず、前記第２項目の情報を前記第２ストレージ装置へ転送することを特徴とする付記７記載の情報処理システム。
（付記９）
前記情報処理装置は、前記複数の項目のうち第３項目について、前記第１秘匿化程度情報が指定する前記秘匿化操作と前記第２秘匿化程度情報が指定する前記秘匿化操作とが同じである場合、前記第２秘匿化処理において、前記個人情報に含まれる前記第３項目の情
報を秘匿化せず、前記第３項目の秘匿化情報を前記第２ストレージ装置へ転送せず、
前記第２ストレージ装置は、前記第１秘匿化個人情報に含まれる前記第３項目の秘匿化情報を、前記第２秘匿化個人情報における前記第３項目の秘匿化情報として用いることを特徴とする付記７又は８記載の情報処理システム。
（付記１０）
前記第１秘匿化程度情報が指定する前記秘匿化操作と前記第２秘匿化程度情報が指定する前記秘匿化操作は、前記第１項目の情報を簡略化する処理、又は前記第１項目の情報を秘匿化されていることを示すデータに変換する処理であることを特徴とする付記７乃至９のいずれか１項に記載の情報処理システム。
（付記１１）
情報提供機関から提供される個人情報に対して第１秘匿化処理を適用することで、第１秘匿化個人情報を生成し、
情報解析機関が使用するストレージ装置へ前記第１秘匿化個人情報を転送し、
前記第１秘匿化処理の秘匿化程度を示す第１秘匿化程度情報と、前記情報解析機関が要求する第２秘匿化処理の秘匿化程度を示す第２秘匿化程度情報とを比較して、比較結果を生成し、
前記比較結果に基づいて前記個人情報に対して前記第２秘匿化処理を適用することで、第２秘匿化個人情報を生成し、
前記ストレージ装置へ前記第２秘匿化個人情報を転送する、
処理をコンピュータに実行させるプログラム。
（付記１２）
前記第１秘匿化程度情報及び前記第２秘匿化程度情報は、前記個人情報に含まれる複数の項目それぞれについて適用される秘匿化操作を指定し、
前記比較結果は、前記複数の項目それぞれについて、前記第１秘匿化程度情報が指定する秘匿化操作と前記第２秘匿化程度情報が指定する秘匿化操作とが同じであるか否かを示し、
前記コンピュータは、前記複数の項目のうち第１項目について、前記第１秘匿化程度情報が指定する前記秘匿化操作と前記第２秘匿化程度情報が指定する前記秘匿化操作とが異なっている場合、前記個人情報に含まれる前記第１項目の情報に対して、前記第２秘匿化程度情報が指定する前記秘匿化操作を適用することで、前記第１項目の秘匿化情報を生成し、前記第１項目の前記秘匿化情報を前記ストレージ装置へ転送することを特徴とする付記１１記載のプログラム。
（付記１３）
コンピュータが、
情報提供機関から提供される個人情報に対して第１秘匿化処理を適用することで、第１秘匿化個人情報を生成し、
情報解析機関が使用するストレージ装置へ前記第１秘匿化個人情報を転送し、
前記第１秘匿化処理の秘匿化程度を示す第１秘匿化程度情報と、前記情報解析機関が要求する第２秘匿化処理の秘匿化程度を示す第２秘匿化程度情報とを比較して、比較結果を生成し、
前記比較結果に基づいて前記個人情報に対して前記第２秘匿化処理を適用することで、第２秘匿化個人情報を生成し、
前記ストレージ装置へ前記第２秘匿化個人情報を転送する、
ことを特徴とする情報処理方法。
（付記１４）
前記第１秘匿化程度情報及び前記第２秘匿化程度情報は、前記個人情報に含まれる複数の項目それぞれについて適用される秘匿化操作を指定し、
前記比較結果は、前記複数の項目それぞれについて、前記第１秘匿化程度情報が指定する秘匿化操作と前記第２秘匿化程度情報が指定する秘匿化操作とが同じであるか否かを示し、
前記コンピュータは、前記複数の項目のうち第１項目について、前記第１秘匿化程度情報が指定する前記秘匿化操作と前記第２秘匿化程度情報が指定する前記秘匿化操作とが異なっている場合、前記個人情報に含まれる前記第１項目の情報に対して、前記第２秘匿化程度情報が指定する前記秘匿化操作を適用することで、前記第１項目の秘匿化情報を生成し、前記第１項目の前記秘匿化情報を前記ストレージ装置へ転送することを特徴とする付記１３記載の情報処理方法。

Claims (7)

1. 情報提供機関から提供される個人情報に対して第１秘匿化処理を適用することで、第１秘匿化個人情報を生成する秘匿化部と、
   前記第１秘匿化処理の秘匿化程度を示す第１秘匿化程度情報を記憶する記憶部と、
   情報解析機関が使用するストレージ装置へ前記第１秘匿化個人情報を転送する転送部と、
   前記第１秘匿化程度情報と、前記情報解析機関が要求する第２秘匿化処理の秘匿化程度を示す第２秘匿化程度情報とを比較して、比較結果を生成する比較部とを備え、
   前記秘匿化部は、前記比較結果に基づいて前記個人情報に対して前記第２秘匿化処理を適用することで、第２秘匿化個人情報を生成し、
   前記転送部は、前記ストレージ装置へ前記第２秘匿化個人情報を転送することを特徴とする情報処理装置。
2. 前記第１秘匿化程度情報及び前記第２秘匿化程度情報は、前記個人情報に含まれる複数の項目それぞれについて適用される秘匿化操作を指定し、
   前記比較結果は、前記複数の項目それぞれについて、前記第１秘匿化程度情報が指定する秘匿化操作と前記第２秘匿化程度情報が指定する秘匿化操作とが同じであるか否かを示し、
   前記秘匿化部は、前記複数の項目のうち第１項目について、前記第１秘匿化程度情報が指定する前記秘匿化操作と前記第２秘匿化程度情報が指定する前記秘匿化操作とが異なっている場合、前記個人情報に含まれる前記第１項目の情報に対して、前記第２秘匿化程度情報が指定する前記秘匿化操作を適用することで、前記第１項目の秘匿化情報を生成し、
   前記転送部は、前記第１項目の前記秘匿化情報を前記ストレージ装置へ転送することを特徴とする請求項１記載の情報処理装置。
3. 前記秘匿化部は、前記複数の項目のうち第２項目について、前記第１秘匿化程度情報が秘匿化を行うことを示し、前記第２秘匿化程度情報が秘匿化を行わないことを示している場合、前記第２秘匿化処理において、前記個人情報に含まれる前記第２項目の情報を秘匿化せず、
   前記転送部は、前記第２項目の情報を前記ストレージ装置へ転送することを特徴とする請求項２記載の情報処理装置。
4. 前記秘匿化部は、前記複数の項目のうち第３項目について、前記第１秘匿化程度情報が指定する前記秘匿化操作と前記第２秘匿化程度情報が指定する前記秘匿化操作とが同じである場合、前記第２秘匿化処理において、前記個人情報に含まれる前記第３項目の情報を秘匿化せず、
   前記転送部は、前記第３項目の秘匿化情報を前記ストレージ装置へ転送しないことを特徴とする請求項２又は３記載の情報処理装置。
5. 情報提供機関から提供される個人情報を格納する第１ストレージ装置と、
   情報解析機関が使用する第２ストレージ装置と、
   前記第１ストレージ装置が格納する前記個人情報に対して第１秘匿化処理を適用することで、第１秘匿化個人情報を生成し、前記第２ストレージ装置へ前記第１秘匿化個人情報を転送し、前記第１秘匿化処理の秘匿化程度を示す第１秘匿化程度情報と、前記情報解析機関が要求する第２秘匿化処理の秘匿化程度を示す第２秘匿化程度情報とを比較した比較結果に基づいて、前記個人情報に対して前記第２秘匿化処理を適用することで、第２秘匿化個人情報を生成し、前記第２ストレージ装置へ前記第２秘匿化個人情報を転送する情報処理装置と、
   を備えることを特徴とする情報処理システム。
6. 情報提供機関から提供される個人情報に対して第１秘匿化処理を適用することで、第１秘匿化個人情報を生成し、
   情報解析機関が使用する第２ストレージ装置へ前記第１秘匿化個人情報を転送し、
   前記第１秘匿化処理の秘匿化程度を示す第１秘匿化程度情報と、前記情報解析機関が要求する第２秘匿化処理の秘匿化程度を示す第２秘匿化程度情報とを比較して、比較結果を生成し、
   前記比較結果に基づいて前記個人情報に対して前記第２秘匿化処理を適用することで、第２秘匿化個人情報を生成し、
   前記第２ストレージ装置へ前記第２秘匿化個人情報を転送する、
   処理をコンピュータに実行させるプログラム。
7. コンピュータが、
   情報提供機関から提供される個人情報に対して第１秘匿化処理を適用することで、第１秘匿化個人情報を生成し、
   情報解析機関が使用する第２ストレージ装置へ前記第１秘匿化個人情報を転送し、
   前記第１秘匿化処理の秘匿化程度を示す第１秘匿化程度情報と、前記情報解析機関が要求する第２秘匿化処理の秘匿化程度を示す第２秘匿化程度情報とを比較して、比較結果を生成し、
   前記比較結果に基づいて前記個人情報に対して前記第２秘匿化処理を適用することで、第２秘匿化個人情報を生成し、
   前記第２ストレージ装置へ前記第２秘匿化個人情報を転送する、
   ことを特徴とする情報処理方法。

Images