DE102014202953A1

DE102014202953A1 - Netzbasierte Kollaboration zum gesicherten Datenaustausch von Bilddatensätzen mit vertraulichen Anteilen

Info

Publication number: DE102014202953A1
Application number: DE102014202953.8A
Authority: DE
Inventors: Vladyslav Ukis; Srividya TIRUNELLAI RAJAMANI; Bijesh BALACHANDRAN
Original assignee: Siemens AG
Current assignee: Siemens AG
Priority date: 2014-02-18
Filing date: 2014-02-18
Publication date: 2015-08-20
Also published as: US20150237124A1; US9882974B2

Abstract

Die Erfindung betrifft ein netzwerkbasiertes System zur Kollaboration von Sendeknoten (SK) und Empfängerknoten (EK) zum gesicherten Datenaustausch von radiologischen Bilddatensätzen (BD) mit vertraulichen Anteilen und auf ein Verfahren zur Kollaboration sowie auf einen Sendeknoten und ein Verfahren zum Betreiben eines Sendeknotens(SK) und auf einen Cloud-basierten Verarbeitungsknoten (VK) und auf ein Verfahren zum Betreiben eines solchen Verarbeitungsknoten (VK). Der Sendeknoten (SK) pseudonymisiert den Bilddatensatz und überträgt den pseudonymisierten Bilddatensatz (pBD) mit einer Empfängerknotennachricht (ekn) und einer PHI-Share Adresse (phisa) an einen über das Internet zugänglichen Verarbeitungsknoten (VK). Der Verarbeitungsknoten (VK) stellt eine Menge von virtuellen Clients (VC) bereits, wobei ein virtueller Client (VC) jeweils einem Empfängerknoten (EK) zugeordnet ist und zum Bereitstellen des für ihn bestimmten pseudonymisierten Bilddatensatz (pBD) bestimmt ist. Eine Verbindungsnachricht (vn) wird von dem Verarbeitungsknoten (VK) an die jeweiligen Empfängerknoten (EK) versendet. Die Verbindungsnachricht (vn) umfasst einen Hinweis auf die Adresse des virtuellen Clients (VC) über den der Empfängerknoten (EK) den pseudonymisierten Bilddatensatz (pBD) abrufen kann, falls er sich außerhalb einer Sicherheitsdomäne (10) des Sendeknotens (SK) befindet. Darüber hinaus umfasst die Verbindungsnachricht vn einen Hinweis auf eine Speicheradresse (phisa) in der lokalen PHI-Share-Seichereinheit (PHI-SS) zu, über die der Empfängerknoten (EK) den originalen Bilddatensatz (BD) bereitstellen kann, falls sich der Empfängerknoten (EK) innerhalb der Sicherheitsdomäne (10) befindet.

Description

Technisches Gebiet der Erfindung
Die Erfindung liegt auf dem Gebiet der Netzwerktechnik und betrifft insbesondere ein netzwerkbasiertes System zur Kollaboration von unterschiedlichen Netzwerkknoten. Ein wichtiges Anwendungsfeld der Erfindung liegt in der medizinischen Radiologie und betrifft den gesicherten Datenaustausch von radiologischen Bilddatensätzen.
In der heutigen modernen Medizintechnik basieren viele Prozesse und Verfahren, wie z. B. die Durchführung einer Operation, die Behandlungsplanung oder die Berichterstellung, auf akquirierten medizinischen Bildern. Ein Beispiel ist dafür die medizinische Radiologie. So werden heute beispielsweise viele Operationen bildgestützt ausgeführt, so dass der Operateur oder Arzt den Eingriff auch bildgestützt verfolgen und korrigieren kann.
Zum Wohle des Patienten und zur Verringerung der applizierten Strahlendosis ist es natürlich wünschenswert, dass grundsätzlich so wenig wie möglich Bilder akquiriert werden müssen. Dies bedeutet jedoch im Umkehrschluss, dass einmal akquirierte Bilder auch für spätere Prozesse zur Verfügung stehen müssen und, dass die akquirierten Bilder mit anderen Nutzern geteilt werden müssen, etwa im Rahmen eines klinischen Konzils oder einer umfassenden Diagnose. Darüber hinaus werden die medizinischen Bilder häufig nicht in ein und derselben medizinischen Instanz akquiriert (z. B. in einem Krankenhaus), sondern an unterschiedlichen Orten, was ebenso dazu führt, dass die jeweiligen Bilddaten zwischen den beteiligten Verarbeitungsinstanzen ausgetauscht werden müssen. Für eine effiziente Zusammenarbeit von Radiologen ist es unerlässlich, ein effizientes System zum Austausch von Bilddaten zur Verfügung zu stellen. Dabei ist jedoch zu beachten, dass die gesetzlichen Bestimmungen zur Sicherheit eingehalten werden. Diese erfordern es, dass sicherheits- kritische oder vertrauliche Datensätze nicht über bestimmte Grenzen hinaus verteilt werden sollen. So muss z. B. sichergestellt werden, dass den jeweiligen Patienten identifizierende Information (wie z. B. Namen, Alter, Geburtsdatum etc.) nicht in unbefugte Hände gerät. Diese sicherheitskritischen Datensätze werden häufig auch als PHI-Informationen bezeichnet (PHI – protected health information). Der Datenaustausch muss somit regelkonform erfolgen, so dass beispielsweise die PHI-Datensätze nur innerhalb des jeweiligen Krankenhauses oder innerhalb der Krankenhausabteilung sichtbar sind.
Im Stand der Technik gibt es grundsätzlich zwei Konzepte für informationstechnologische Systeme, um die Kollaboration von Radiologen zu ermöglichen. Ein erster Ansatz basiert darauf, den vollständigen Bildschirmoberflächeninhalt auf eine andere Computeroberfläche des kooperierenden Radiologen zu übertragen. Ein zweites Konzept basiert darauf, lediglich die grundlegenden medizinischen Bilder zu übertragen. Bei dem zweiten Ansatz ist es jedoch notwendig, dass der kooperierende Radiologe, an den die Bilder gesendet werden sollen, selbst über die entsprechende Software und Hardware auf seinem Rechner verfügt, um die Bilddatensätze auch darstellen zu können. Dies bedeutet einen entsprechenden Installations- und Wartungsaufwand. Probleme ergeben sich insbesondere dann, falls das sendende System und das empfangende System nicht über dieselbe Ausstattung auf dem Computer verfügen. Für umfangreichere Applikationen müssen darüber hinaus noch dieselben Tools verfügbar sein. Teilweise ist es sogar notwendig, dass dieselbe Version einer Software-Applikation jeweils auf dem sendenden Gerät und dem empfangenden Gerät installiert ist, um eine fehlerfreie Übertragung sicherstellen zu können. Die bekannten Verfahren bergen deshalb deutliche Nachteile, da auf beiden Systemen ein erhöhter Infrastrukturaufwand anfällt. Bei den erstgenannten Systemen, bei denen also der vollständige Bildschirminhalt übertragen wird ergeben sich weiterhin Probleme, da die Übertragung der Bilder häufig nicht dem Sicherheitsstandard genügt. So kann es beispielswiese leicht möglich sein, dass die vollständigen Bilddatensätze an den kooperierenden Radiologen gesendet werden, obwohl sich dieser außerhalb einer Sicherheitsdomäne (z. B. außerhalb dem Krankenhaus) des sendenden Radiologen befindet. Mit dem Versenden der Bilder werden automatisch auch vertrauliche Datensätze über die Sicherheitsgrenzen hinaus übertragen, was nicht zulässig ist.
Von daher hat sich die vorliegende Erfindung zur Aufgabe gestellt, einen Weg aufzuzeigen, mit dem eine informationstechnologische Infrastruktur geschaffen werden kann, um radiologische Bilddatensätze mit vertraulichen Datenanteilen in Übereinstimmung mit Sicherheitsbestimmungen an eine Vielzahl von kooperierenden Anwendern zu versenden, die sich nicht notwendigerweise innerhalb der Sicherheitsdomäne des sendenden Knotens finden müssen – aber durchaus können. Des Weiteren soll es möglich sein, eine Kooperation von Usern zu ermöglichen, die auf unterschiedlichen Netzwerkknoten arbeiten – etwa im Rahmen einer medizinischen Diagnose –, wobei an die jeweiligen empfangenden Netzwerkknoten keine besonderen Anforderungen an die Infrastruktur gestellt werden. So soll ein Kooperieren auf Basis der Bilddaten möglich sein, unabhängig von der jeweiligen Ausstattung der empfangenden Knoten.
Beschreibung der Erfindung
Zur Lösung der vorstehenden Aufgabe schlägt die Erfindung ein netzwerkbasiertes System, ein Verfahren zur Kollaboration, einen Sendeknoten, ein Verfahren zum Betreiben eines Sendeknotens, einen Verarbeitungsknoten und ein Verfahren zum Betreiben eines Verarbeitungsknotens gemäß den beiliegenden nebengeordneten Patentansprüchen vor. Vorteilhafte Ausgestaltungen der Erfindung finden sich in den abhängigen Ansprü-chen. Gemäß einem Aspekt betrifft die Erfindung ein netzwerkbasiertes System zur Kollaboration von Sende- und Empfängerknoten zum gesicherten Datenaustausch von radiologischen Bilddatensätzen mit vertraulichen Anteilen, umfassend:

– Zumindest einen Sendeknoten, mit: – Einer Empfangseinheit, die dazu bestimmt ist, einen Bilddatensatz bereitzustellen oder von einer bildgebenden Einrichtung zu empfangen – Mit einem Pseudonymisierungsmodul, das dazu bestimmt ist, den Bilddatensatz zu pseudonymisieren – Mit einer Sendeeinheit, die dazu bestimmt ist, den pseudonymisierten Bilddatensatz und eine der Empfängerknotennachricht und eine PHI-Share Adresse an einen Verarbeitungsknoten zu versenden, wobei in der Empfängerknotennachricht vom Sendeknoten bestimmte Empfängerknoten für den Bilddatensatz definiert sind und wobei die PHI-Share Adresse bilddatensatzspezifisch ist und einen Speicherort in einer sicherheitsdomänenlokalen PHI-Share-Speichereinheit kennzeichnet, unter der die Sendeeinheit den jeweiligen Bilddatensatz speichert
– Einen Cloud-basierten Verarbeitungsknoten, mit: – Einem Bilddatenserver, der dazu bestimmt ist, den pseudonymisierten Bilddatensatz von dem Sendeknoten zu empfangen – Eine Mehrzahl von virtuellen Clients, wobei jeweils ein virtueller Client jeweils einem Empfängerknoten zugeordnet ist und zum Bereitstellen von dem für den jeweiligen Empfängerknoten bestimmten pseudonymisierten Bilddatensatz bestimmt ist – Einem Kollaborationsserver, der dazu bestimmt ist, die Empfängerknotennachricht für den jeweiligen pseudonymisierten Bilddatensatz von dem Sendeknoten zu empfangen und der dazu bestimmt ist, eine Verbindungsnachricht an die bestimmten Empfängerknoten zu senden, wobei die Verbindungsnachricht einen Verweis auf eine Adresse des jeweiligen virtuellen Clients, in dem der jeweils pseudonymisierte Bilddatensatz für den Empfängerknoten abgelegt ist und/oder die empfangene PHI-Share Adresse in der sicherheitsdomänenlokalen PHI-Share-Speichereinheit umfasst
– Zumindest einen Empfängerknoten, der von dem Sendeknoten zur Kollaboration bestimmt werden kann und auf dem der pseudonymisierte Bilddatensatz über den Verweis auf den dem Empfängerknoten zugeordneten virtuellen Client zur Anzeige gebracht wird, falls sich der Empfängerknoten außerhalb einer Sicherheitsdomäne des Sendeknotens befindet und auf dem der Bilddatensatz über die Adresse in der PHI-Share-Speichereinheit angezeigt wird, falls sich der Empfängerkonten innerhalb der Sicherheitsdomäne des Sendeknotens befindet.

Des Weiteren bezieht sich die Erfindung gemäß einem Aspekt auf ein Verfahren zur Kollaboration von Sende- und Empfängerknoten zum gesicherten Datenaustausch von radiologischen Bilddatensätzen mit vertraulichen Anteilen, umfassend folgende Verfahrensschritte:

– Bereitstellen eines Bilddatensatzes auf einem Sendeknoten
– Anwenden einer Pseudonymisierungsfunktion auf den Bilddatensatz zur Erstellung eines pseudonymisierten Bilddatensatzes
– Bestimmen von Empfängerkonten für den Bilddatensatz und Erstellen einer Empfängerknotennachricht, in der die bestimmten Empfängerknoten definiert sind
– Sicherheitsdomänenlokales Speichern des Bilddatensatzes unter einer bilddatensatzspezifischen PHI-Share Adresse in einer sicherheitsdomänenlokalen PHI-Share Speichereinheit
– Senden des pseudonymisierten Bilddatensatzes, der Empfängerknotennachricht und der dem Bilddatensatz zugeordneten PHI-Share Adresse an einen Cloud-basierten Verarbeitungsknoten
– Bereitstellen von einer Menge von virtuellen Clients, wobei jeweils ein virtueller Client jeweils einem Empfängerknoten zugeordnet und zur Bereitstellung des für ihn bestimmten virtuellen Bilddatensatzes bestimmt ist
– Versenden jeweils einer Verbindungsnachricht von dem Cloud-basierten Verarbeitungsknoten an den jeweiligen Empfängerknoten, wobei die Verbindungsnachricht einen Verweis auf eine Adresse des jeweiligen virtuellen Clients, in dem der jeweils pseudonymisierte Bilddatensatz für den Empfängerknoten abgelegt ist und/oder die empfangene PHI-Share Adresse in der sicherheitsdomänenlokalen PHI-Share-Speichereinheit umfasst
– Empfangen der Verbindungsnachricht auf dem zumindest einen Empfängerknoten und Aktivieren des darin enthaltenen Hinweises zur Bereitstellung des pseudonymisierten Bilddatensatzes über den virtuellen Client, falls sich der Empfängerknoten außerhalb einer Sicherheitsdomäne des Sendeknotens befindet oder zur Bereitstellung des Bilddatensatzes über die PHI-Share Adresse auf die sicherheitsdomänenlokale PHI-Share Speichereinheit, falls sich der Empfängerkonten innerhalb der Sicherheitsdomäne des Sendeknotens befindet.

Die Aufgabe wird weiter gelöst durch einen Cloud-basierten Verarbeitungsknoten zur Kollaboration von Sende- und Empfängerknoten zum gesicherten Datenaustausch von radiologischen Bilddatensätzen mit vertraulichen Anteilen, mit:

– Einem Bilddatenserver, der dazu bestimmt ist, den pseudonymisierten Bilddatensatz von einem Sendeknoten zu empfangen
– Einer Mehrzahl von virtuellen Clients, wobei jeweils ein virtueller Client jeweils einem Empfängerknoten zugeordnet ist und zum Bereitstellen von dem für den jeweiligen Empfängerknoten bestimmten pseudonymisierten Bilddatensatz ausgebildet ist
– Einem Kollaborationsserver, der dazu bestimm ist, eine Empfängerknotennachricht und eine PHI-Share Adresse für den jeweiligen pseudonymisierten Bilddatensatz von dem Sendeknoten zu empfangen und, der dazu bestimmt ist, eine Verbindungsnachricht an die bestimmten Empfängerknoten zu senden, wobei die Verbindungsnachricht einen Verweis auf eine Adresse des jeweiligen virtuellen Clients, in dem der jeweils pseudonymisierte Bilddatensatz für den Empfängerknoten abgelegt ist und/oder die empfangene PHI-Share Adresse in einer sicherheitsdomänenlokalen PHI-Share-Speichereinheit umfasst.

Darüber hinaus wird die Aufgabe gelöst durch ein Verfahren zum Betreiben eines Cloud-basierten Verarbeitungsknotens zur Kollaboration von Sende- und Empfängerknoten zum gesicherten Datenaustausch von radiologischen Bilddatensätzen mit vertraulichen Anteilen, umfassend folgende Verfahrensschritte:

– Empfangen eines pseudonymisierten Bilddatensatzes, einer Empfängerknotennachricht und der dem Bilddatensatz zugeordneten PHI-Share Adresse
– Bereitstellen von einer Menge von virtuellen Clients, wobei jeweils ein virtueller Client jeweils einem Empfängerknoten zugeordnet und zur virtuellen Bereitstellung des für ihn bestimmten pseudonymisierten Bilddatensatzes bestimmt ist
– Versenden jeweils einer Verbindungsnachricht an den jeweiligen Empfängerknoten, wobei die Verbindungsnachricht einen Verweis auf eine Adresse des jeweiligen virtuellen Clients, in dem der jeweils pseudonymisierte Bilddatensatz für den Empfängerknoten abgelegt ist und/oder die empfangene PHI-Share Adresse umfasst.

Gemäß einem Aspekt bezieht sich die Erfindung auf einen Sendeknoten zur Kollaboration mit Empfängerknoten zum gesicherten Datenaustausch von radiologischen Bilddatensätzen mit vertraulichen Anteilen, mit:

– Einer Empfangseinheit, die dazu bestimmt ist, einen Bilddatensatz bereitzustellen oder von einer bildgebenden Einrichtung zu empfangen
– Mit einem Pseudonymisierungsmodul, das dazu bestimmt ist, den Bilddatensatz zu pseudonymisieren
– Einer Empfängerknotebestimmungseinheit, die dazu betimmt ist, Emfängerkonten für den Bilddatensatz zu bestimmen und daraus eine Empfängerknotennachricht zu generieren
– Mit einer Sendeeinheit, die dazu bestimmt ist, den pseudonymisierten Bilddatensatz und eine bilddatensatzspezifische PHI-Share Adresse sowie der Empfängerknotennachricht an einen Verarbeitungsknoten zu versenden und wobei die Sendeeinheit dazu bestimmt ist, den jeweilige Bilddatensatz unter der PHI-Share Adresse in einer sicherheitsdomänenlokalen PHI-Share-Speichereinheit zuspeichern.

Weiterhin kann ein Aspekt der Erfindung in einem Verfahren liegen zum Betreiben eines Sendeknotens zur Kollaboration von Sende- und Empfängerknoten zum gesicherten Datenaustausch von radiologischen Bilddatensätzen mit vertraulichen Anteilen, mit folgenden Verfahrensschritten:

– Bereitstellen eines Bilddatensatzes auf einem Sendeknoten
– Anwenden einer Pseudonymisierungsfunktion auf den Bilddatensatz zur Erstellung eines pseudonymisierten Bilddatensatzes
– Bestimmen von Empfängerkonten für den Bilddatensatz und Erstellen einer Empfängerknotennachricht, in der die bestimmten Empfängerknoten definiert sind
– Sicherheitsdomänenlokales Speichern des Bilddatensatzes unter einer bilddatensatzspezifischen PHI-Share Adresse in einer sicherheitsdomänenlokalen PHI-Share Speichereinheit
– Senden des pseudonymisierten Bilddatensatzes, der Empfängerknotennachricht und der dem Bilddatensatz zugeordneten PHI-Share Adresse an einen Cloud-basierten Verarbeitungsknoten.

In dieser Beschreibung werden erwähnte Merkmale, Vorteile oder alternative Ausführungsformen häufig nur in Hinblick auf das Verfahren zur Kollaboration beschrieben. Es versteht sich jedoch, dass diese ebenso auch auf die anderen beanspruchten Gegenstände zu übertragen sind und umgekehrt. Mit anderen Worten können die gegenständlichen Ansprüche (die beispielsweise auf ein System oder einen Knoten gerichtet sind) auch mit den Merkmalen, die in Zusammenhang mit dem Verfahren beschrieben oder beansprucht sind, weitergebildet sein. Die entsprechenden funktionalen Merkmale des Verfahrens werden dabei durch entsprechende gegenständliche Module, insbesondere durch Microprozessor- oder Hardware-Module, ausgebildet.
Im Folgenden wird eine kurze Definition der in dieser Anmeldung verwendeten Begrifflichkeiten gegeben.
Das System ist ein Netzwerksystem, insbesondere ein computerbasiertes Netzwerksystem, umfassend eine Vielzahl von Sende- und Empfängerknoten. Die Sende- und Empfängerknoten können Workstations, ein Verbund von mehreren Rechnern oder aber auch einzelne Bauteile in einem umfassenden Computersystem sein. So kann es beispielsweise sein, dass ein Sende- oder Empfängerknoten ein eingebetteter Prozessor (embedded processor) eines Computersystems ist, der somit in einer medizintechnischen Anlage, z. B. in einer bildgebenden Modalität oder in einem anderen medizintechnischen (z. B. Labor-)Gerät implementiert sein kann. Der Sendeknoten steht üblicherweise mit einer bildgebenden Einrichtung (insbesondere mit Modalitäten unterschiedlichen Typs, umfassend Magnetresonanztomographieanlagen, Ultraschallanlagen, Computertomographen etc.) in Datenaustausch. Alternativ ist es möglich, dass der Sendeknoten in Datenaustausch mit einem Archiv oder mit einem anderen Speicherknoten steht. Der Sendeknoten dient dazu, Bilddatensätze bereitzustellen. Dies kann entweder über den direkten Empfang von einer Modalität erfolgen oder durch indirekten Empfang von Datensätzen von einem anderen Computerknoten. Der Sendeknoten kennzeichnet sich des Weiteren dadurch, dass der Anwender, der an dem jeweiligen Sendeknoten arbeitet, alle oder ausgewählte radiologische Bilddatensätze mit anderen Anwendern teilen möchte. Dazu kann er auf den Sendeknoten eine Kollaboration einleiten und den entsprechenden gesicherten Datenaustausch initiieren.
Das „Bereitstellen“ des Bilddatensatzes bzw. des pseudonymisierten Bilddatensatzes umfasst das Vorbereiten einer Anzeige, sowie eine virtuelle Anzeige bzw. Darstellung der Bilddaten und Applikationen, die mit der Repräsentation von radiologischen Bilddaten auf einer Benutzerschnittstelle verbunden sind. Gemäß einem Aspekt und vorteilhafterweise werden alle zur Bereitstellung des Bilddatensatzes oder des pseudonymisierten Bilddatensatzes auf den jeweils bestimmten Empfängerkonten notwendigen computertechnischen Verarbeitungs-, Lade- und Berechnungsprozesse ausschließlich auf dem jeweiligen virtuellen Client und nicht auf dem Empfängerknoten ausgeführt wird. Auf dem Empfängerknoten wird keine Viewing-Software installiert, aktiviert oder ausgeführt, die ansonsten und gemäß dem Stand der Technik zur Anzeige und zum Bereitstellen der Bilddaten auf einem Computer erforderlich wäre.
„Sicherheitsdomänenlokal“ bedeutet, dass die PHI-Share-Speichereinheit einerseits lokal und spezifisch für die jeweilige Sicherheitsdomäne ist und andererseits auch zentral für mehrere Sende- und/oder Empfängerknoten ist, die sich in der Sicherheitsdomäne des Sendeknotens befinden. Eine Sicherheitsdomäne kann z.B. die Domäne (lokales Netzwerk) eines Krankenhauses sein oder einer Abteilung innerhalb eines Krankenhauses oder die Domäne eines Klinikverbundes.
Der Datenaustausch bezieht sich auf das Bereitstellen von Bilddatensätzen. Dies kann mittels medizinischer Viewing Applikationen ausgeführt werden. Diese Applikationen unterscheiden sich von üblichen Applikationen auf nicht-medizinischem Gebiet und kennzeichnen sich durch ein sehr hohes Datenvolumen im Bereich von mehreren Gigabytes pro Bilddatensatz und durch erhöhte Anforderungen an die Prozessorleistung. Des Weiteren sind es verteilte Applikationen, die sowohl Server-seitig als auch Client-seitig ausgeführt werden.
„Pseudonymisieren“ bedeutet, die vertraulichen oder sicherheitskritischen Anteile in dem jeweiligen Bilddatensatz unkenntlich zu machen. Dies kann z.B. durch ein Anonymisieren oder durch ein Löschen der sicherheitskritischen Datenanteile geschehen.
In der bevorzugten Ausführungsform sollten radiologische Bilddatensätze von dem Sendeknoten an einen oder mehrere Empfängerknoten zum Zwecke der gemeinsamen Sichtung und/oder Bearbeitung gesendet werden. Bei dem Bilddatensatz kann es sich um einen unimodalen oder um einen multimodalen Bilddatensatz handeln. Des Weiteren ist es möglich, dass der Bilddatensatz noch weitere Datensätze umfasst, die z. B. Metadaten und beispielsweise einen Report. Die weiteren Datensätze können auch in einem anderen Datenformat als der Bilddatensatz vorliegen (z. B. in einem Textformat). Der Bilddatensatz kann somit Röntgenbilder, Computertomographiebilder, zwei- oder mehr-dimensionale Bilddatensätze, PET-Bilder und/oder eine Kombination von den vorstehend genannten Bilddatensätzen umfassen. Selbstverständlich sind die vorstehend aufgeführten Modalitäten nur als Beispiel zu verstehen und der Bilddatensatz kann auch von anderen Geräten akquiriert worden sein, wie z. B. medizinischen Laborgeräten. Der Bilddatensatz umfasst vertrauliche Anteile. Unter dem Begriff „Anteile“ ist ein Teil eines Datensatzes oder ein vollständiger Datensatz zu verstehen, der sicherheitskritische oder sicherheitsrelevante Daten repräsentiert. Diese werden auch als PHI-Information bezeichnet (protected health information). Die PHI-Information darf nur innerhalb einer vordefinierbaren Sicherheitsdomäne sichtbar sein. Üblicherweise wird die Sicherheitsdomäne übereinstimmend mit den Grenzen einer medizinischen Einrichtung (z. B. eines Krankenhauses) definiert. Über die PHI-Informationen kann auf die Identität eines Patienten geschlossen werden.
Erfindungsgemäß kann sichergestellt werden, dass die vertraulichen Anteile der zu verteilenden Bilddatensätze automatisch nicht außerhalb einer Sicherheitsdomäne des sendenden Knotens gelangen. Dazu wird ein Pseudonymisierungsmodul bereitgestellt. Das Pseudonymisierungsmodul dient zum Pseudomyisieren des jeweiligen Bilddatensatzes. Dazu können unterschiedliche Verfahren zum Einsatz kommen. Hauptsächlich wird ein softwarebasiertes Pseudonymisierungsmodul verwendet werden. Es ist jedoch auch möglich, hier auf alternative Ausführungen auszuweichen. Der Begriff „Pseudonymisieren“ soll kennzeichnen, dass alle vertraulichen Datenanteile aus dem jeweiligen Datensatz gelöscht werden. Dies kann beispielsweise durch eine Anonymisierungsfunktion ausgeführt werden, so dass geheimhaltungsbedürftige Datenbestandsteile herausgefiltert werden. Gemäß einem Aspekt ist es möglich, dass die Pseudonymisierung durch ein Löschen oder Anonymisieren von sicherheitskritischen oder vertraulichen Datenanteilen ausgeführt wird. Dabei können auch Filtersysteme zum Einsatz kommen, die beispielsweise gezielt nach bestimmten geheimhaltungsbedürftigen Daten suchen, wie beispielsweise Patientenname, Geburtsdatum, Patientenidentifikationsnummer etc.
Gemäß einem Aspekt der Erfindung ist es möglich, dass in einem Vorbereitungsverfahren der Grad der Pseudonymisierung eingestellt werden kann. Dabei ist es möglich, zu bestimmen, welche Anteile eines Bilddatensatzes als vertraulicher Anteil definiert sind und welche unbedenklich über Sicherheitsdomänengrenzen hinaus versendet werden dürfen.
Der Sendeknoten umfasst vorzugsweise eine Empfangseinheit, das Pseudonymisierungsmodul und eine Sendeeinheit. Bei den drei Bestandteilen handelt es sich vorzugsweise um Software- und/oder Hardware-basierte Einheiten. Das Pseudonymisierungsmodul kennzeichnet sich dadurch, dass der Bilddatensatz im Original als Eingangsgröße dient und, dass ein pseudonyisierter Bilddatensatz als Ausgangsgröße des Pseudonymisierungsmoduls ausgegeben wird. Der Bilddatensatz umfasst alle Daten, wie sie ursprünglich von der Modalität oder einem Speicher eingelesen werden und umfasst somit auch vertrauliche Datenanteile. Der pseudonymisierte Datensatz kennzeichnet sich dadurch, dass er keine vertraulichen Datenanteile mehr umfasst. Üblicherweise kann ausdem pseudonymisierten Bilddatensatz nicht mehr der originale Bilddatensatz berechnet werden.
Bei der Empfängerknotennachricht handelt es sich um eine digitale Nachricht, in der die von dem Sendeknoten bestimmten Empfängerknoten definiert sind. Dies kann – im einfachsten Fall – eine Aufzählung von Empfängerknoten (beispielsweise mit den entsprechenden IP-Adressen) sein. Alternativ ist es möglich, dass die Empfängerknotennachricht noch weitere Datensätze, beispielsweise Zeit-basierte Datensätze umfasst. So kann es beispielsweise spezifiziert werden, wann (Zeitpunkt oder Zeitintervall) auf den jeweiligen Empfängerknoten der Bilddatensatz bzw. der pseudonymisierte Bilddatensatz bereitgestellt werden soll. Darüber hinaus kann in der Empfängerknotennachricht noch weitere Information über den Sendeknoten und/oder den Empfängerknoten transferiert werden.
Die PHI-Share-Adresse ist eine Speicheradresse in einer PHI-Share-Speichereinheit. Bei der PHI-Share-Speichereinheit kann es sich um einen beliebigen Datenspeicher handeln, umfassend Langzeitarchive, Kurzzeitarchive, einmalig-programmierbare Speicher (programmable read-only memory, PROM), löschbare Speicher (EPROM-erasable programmable read-only memory) oder elektrisch löschbare Speicher (electrically erasable programmable read-only memory, EEPROM). Wesentlich ist, dass die PHI-Share-Speichereinheit lokal in der jeweiligen Sicherheitsdomäne des Sendeknotens angeordnet ist. Die Sicherheitsdomäne kann vorzugsweise in einer Vorbereitungsphase definiert werden. Üblicherweise werden zur Definition der Sicherheitsdomäne die jeweiligen Netzwerkgrenzen herangezogen. So kann es beispielsweise in einem System mit sehr hohen Sicherheitsanforderungen eingestellt sein, dass die Sicherheitsdomäne sehr klein ist und ausschließlich den Sendeknoten betrifft. In diesem Fall würde der Sendeknoten selbst die PHI-Share-Speichereinheit umfassen. Falls die Sicherheitsanforderungen weniger streng gehandhabt werden sollen, kann die Sicherheitsdomäne relativ umfangreich definiert werden, so dass neben dem Sendeknoten noch eine Anzahl von Empfängerknoten definiert werden kann, die sich innerhalb der Sicherheitsdomäne befinden. Üblicherweise wird die Sicherheitsdomäne für alle Knoten definiert, die sich innerhalb eines Klinikums befinden, um einen möglichst umfangreichen aber dennoch sicherheitsregelkonformen Datenaustausch sicherstellen zu können. Ein Vorteil, der sich mit der vorliegenden Erfindung ergibt, ist darin zu sehen, dass die Sicherheitsdomäne unabhängig von der Anwendung des Verfahrens eingestellt und auch während des Betriebs verändert werden kann. Damit kann das Verfahren auch an Änderungen hinsichtlich der Sicherheitsregelungen angepasst werden.
Das System umfasst einen Verarbeitungsknoten. Der Verarbeitungsknoten ist ein Computer-basierter Knoten, der insbesondere über eine öffentliche Netzwerkverbindung zugreifbar ist. Üblicherweise ist der Verarbeitungsknoten Cloud-basiert. Somit kennzeichnet sich der Verarbeitungsknoten dadurch, dass er notwendigerweise außerhalb der Sicherheitsdomäne des Sendeknotens liegt und nur über eine z. B. Internetverbindung zugreifbar ist. Der Verarbeitungsknoten kann insbesondere als Datenzentrum (data-center) implementiert sein und umfasst einen Bilddatenserver und einen Kollaborationsserver und eine Vielzahl von virtuellen Clients. Die virtuellen Clients dienen dazu, die jeweiligen Empfängerknoten zu virtualisieren. Auf den jeweiligen virtuellen Clients ist eine Imaging-Software installiert, die zum Bereitstellen von radiologischen Bilddatensätzen bestimmt ist. Ein virtueller Client stellt somit ein Frontend der jeweiligen Applikation dar und läuft in der Cloud.
Gemäß einem Aspekt der Erfindung umfasst das Datencenter neben dem Bilddatenserver, dem Kollaborationsserver und der Vielzahl von virtuellen Clients noch weitere Bestandteile, wie beispielsweise ein Active Directory, um die jeweilige User Accounts zu verwalten, eine Virtualisierungs- und Security-Infrastruktur. Letztere ist dazu bestimmt, die Infrastruktur zu Verfügung zu stellen, dass die jeweiligen Empfängerknoten über eine Netzwerkverbindung auf die jeweiligen virtualisierten Clients in dem Datencenter zugreifen können. Der Kollaborationsserver kann auf eine Kollaborationsdatenbank zugreifen, in der entsprechende Zuordnungen von IP-Adressen und Empfängerknoten etc. abgelegt sind. Darüber hinaus kann das Datenzentrum noch ein Client-Software-Installationsportal umfassen, um eine Viewer-Applikation und/oder einen Kollaboration Client (als Software-Applikation) zu umfassen, die dann auf den jeweiligen Knoten installiert werden können. Wie vorstehend erwähnt, ist in der bevorzugten Ausführungsform der Verarbeitungsknoten als Datenzentrum implementiert.
Die Verbindung zwischen dem Bilddatenserver und den virtualisierten Clients ist eine Netzwerkverbindung mit hoher Bandbreite und geringen Latenzen, um einen effizienten Datenaustausch sicherstellen zu können. Wesentlich ist, dass zwischen dem Bilddatenserver und den jeweiligen virtuellen Clients keine Internetverbindung besteht. Üblicherweise sind alle vorstehend genannten Einheiten des Verarbeitungsknotens innerhalb desselben Datenzentrums angeordnet.
Der Empfängerknoten ist ein beliebiger Computer-basierter Knoten, der von dem Sendeknoten zur Kollaboration bestimmt worden ist. Wesentlich ist, dass der Empfängerknoten nicht über die ansonsten zum Bereitstellen der Bilddatensätze oder der pseudonymisierten Bilddatensätze notwendige Hardware (und Software) verfügen muss. Darüber hinaus ist es auch nicht notwendig, dass auf dem Empfängerknoten eine bestimmte Software (z.B. Viewing Software) bzw. sogar eine bestimmte Version einer Viewing-Sofware installiert sein muss. Die Bilddatensätze bzw. die pseudonymisierten Bilddatensätze können gemäß dem erfindungsgemäßen System auf den jeweiligen Empfängerknoten dargestellt werden, völlig unabhängig von der jeweiligen infrastrukturellen Ausstattung des Empfängerknotens. Damit wird es möglich, radiologische Bilddatensätze in besonderen oder in standardisierten Formaten (z.B. DICOM) oder in besonderen Konvertierungen oder Komprimierungen auch beispielsweise auf solchen Empfängerknoten bereitstellen zu können, die nicht über dieselbe Software- und/oder Hardwareinfrastruktur verfügen, wie der Sendeknoten. Die jeweilige Infrastruktur wird erfindungsgemäß über das jeweilige Datenzentrum in der Cloud virtualisiert. Dies stellt einen besonderen Vorteil dar, da die Kollaboration somit sehr flexibel und unabhängig von der jeweiligen Rechnerausstattung der Empfängerknoten ausgeführt werden kann.
Gemäß einem Aspekt bezieht sich die Kollaboration auf Applikationen im Bereich der medizinischen Radiologie. Diese Applikationen, insbesondere Viewing-Applikationen kennzeichnen sich durch eine hohe Komplexität, ein hohes zu verarbeitendes Datenvolumen und hohe Anforderungen an die jeweilige Rechenleistung des Computers bzw. der Workstation. Der Installationsaufwand für diese Applikationen ist somit sehr hoch. Im Unterschied zu bisherigen Systemen ist es bei der erfindungsgemäßen Lösung somit nicht mehr notwendig, auf dem Empfängerknoten bestimmte Installationsprozeduren durchzuführen, um überhaupt die Bilddatensätze sichten zu können. An dieser Stelle sei daraufhin gewiesen, dass der Begriff „Kollaboration“ sich auf computerimplementierte Vorgänge und Prozesse bezieht, die auf einer Darstellung von radiologischen Bilddaten basieren. Mit anderen Worten ist die Anzeige bzw. Darstellung von radiologischen Bilddaten auf einer graphischen Benutzeroberfläche für die Kollaboration unerlässlich. Weitere Voraussetzungen zur Kollaboration müssen die Empfängerknoten vorteilhafterweise nicht erfüllen.
Die vorstehend beschriebenen, erfindungsgemäßen Ausführungsformen des Verfahrens können auch als Computerprogrammprodukt mit einem Computerprogramm ausgebildet sein, wobei der Computer zur Durchführung des oben beschriebenen, erfindungsgemäßen Verfahrens veranlasst wird, wenn das Computerprogramm auf dem Computer bzw. auf einem Prozessor des Computers ausgeführt wird.
Eine alternative Aufgabenlösung besteht auch in einem Computerprogramm mit Computer-Programmcode zur Durchführung aller Verfahrensschritte des beanspruchten oder oben beschriebenen Verfahrens, wenn das Computerprogramm auf dem Computer ausgeführt wird. Dabei kann das Computerprogramm auch auf einem maschinenlesbaren Speichermedium gespeichert sein.
Eine alternative Aufgabenlösung sieht ein Speichermedium vor, das zur Speicherung des vorstehend beschriebenen, computerimplementierten Verfahrens bestimmt ist und von einem Computer lesbar ist.
Es liegt im Rahmen der Erfindung, dass nicht alle Schritte des Verfahrens zwangsläufig auf ein und derselben Computerinstanz ausgeführt werden müssen, sondern sie können auch auf unterschiedlichen Computerinstanzen ausgeführt werden. Auch kann die Abfolge der Verfahrensschritte gegebenenfalls variiert werden.
Darüber hinaus ist es möglich, dass einzelne Abschnitte des vorstehend beschriebenen Verfahrens in einer verkaufsfähigen Einheit und die restlichen Komponenten in einer anderen verkaufsfähigen Einheit – sozusagen als verteiltes System – ausgeführt werden können.
KURZE BESCHREIBUNG DER FIGUREN
In der folgenden detaillierten Figurenbeschreibung werden nicht einschränkend zu verstehende Ausführungsbeispiele mit deren Merkmalen und weiteren Vorteilen anhand der Zeichnung besprochen. In dieser zeigen:
1 Eine schematische und übersichtsartige Darstellung von einem netzwerkbasierten System gemäß einer bevorzugten Ausführungsform der Erfindung.
2 Eine schematische Darstellung eines Verarbeitungsknotens gemäß einer bevorzugten Ausführungsform der Erfindung.
3 Eine schematische Ausführungsform eines Sendeknotens gemäß einer bevorzugten Ausführungsform in der Erfindung.
4 Ein Datenflussdiagramm eines Verfahrens zu Kollaboration von Sende- und Empfängerknoten gemäß einer bevorzugten Ausführungsform der Erfindung.
5 Ein Ablaufdiagramm für ein Verfahren zum Betreiben eines Sendeknotens gemäß einer bevorzugten Ausführungsform der Erfindung.
6 Eine schematische Darstellung eines Ablaufs für ein Verfahren zum Betreiben eines Cloud-basierten Verarbeitungsknotens gemäß einer bevorzugten Ausführungsform der Erfindung.
DETAILLIERTE BESCHREIBUNG DER FIGUREN
Im Folgenden wird die Erfindung näher unter Bezugnahme auf 1 erläutert.
1 zeigt in einer schematischen Form ein Netzwerk-basiertes System zur Kollaboration von Computer-basierten Sende- und Empfängerknoten SK, EK zum gesicherten Datenaustausch von radiologischen Bilddatensätzen BD mit vertraulichen Anteilen.
Das System bzw. das Verfahren wird vollautomatisch ausgeführt. Wie auf der linken Seite in 1 dargestellt, wird das Verfahren von dem Sendeknoten SK aus initiiert. Bei den Sendeknoten SK handelt es sich um eine computer-basierte Instanz, die entweder mit einem Datenarchiv oder mit unterschiedlichen Modalitäten (es können auch mehrere Modalitäten und Archive sein) in Datenaustausch steht. In 1 soll die schematische Darstellung einer Magnetresonanztomographieanlage mit dem Bilddatensatz gekennzeichnet sein, der in 1 mit dem Bezugszeichen „DICOM“ gekennzeichnet ist. DICOM bezieht sich auf einen Bildstandard in der Medizintechnik (Digital Imaging and Communications System in Medicine). Der in 1 dargestellte vertikale Balken zwischem den jeweiligen Empfängerknoten EK und dem Verarbeitungsknoten VK soll eine WWW-Verbindung kennzeichnen und somit einen unsicheren Kanal zum Datenaustausch. Der Verarbeitungsknoten VK kann über das http-Protokoll zugänglich sein.
Wie in 3 gezeigt, umfasst der Sendeknoten eine Empfangseinheit EE, ein Pseudonymisierungsmodul PM und eine Sendeeinheit SE. Die Empfangseinheit EE ist dazu bestimmt, den von der Modalität empfangenen Bilddatensatz BD auf dem Sendeknoten bereit zu stellen. „Bereitstellen“ bezieht sich in diesem Fall auf weitere Verarbeitungsschritte für die Bilddaten. Dies kann auch ein Darstellen des Bilddatensatzes BD auf dem jeweiligen Sendeknoten SK umfassen und die weiteren Bearbeitungsschritte, die durch das Pseudonymisierungsmodul PM und durch die Sendeeinheit SE ausgeführt werden. Das Pseudonymisierungsmodul PM dient zur Pseudonymisierung des Bilddatensatzes BD in einem pseudonymisierten Bilddatensatz, der in den Figuren das Bezugszeichen pBD trägt. In dem pseudonymisierten Datensatz pBD sind alle vertraulichen Anteile unkenntlich gemacht oder gelöscht.
2 zeigt übersichtsartig den Aufbau eines über ein öffentliches Netzwerk (z.B. das Internet oder ein anderes Netzwerk mit standardisiertem Datenaustausch, z.B. gemäß dem http-Protokoll) zugänglichen Verarbeitungsknotens VK, der als Cloud-basiertes Datenzentrum implementiert sein und mehrere Rechner und Speicher und Datenbanken umfassen kann. Der Verarbeitungsknoten VK umfasst einen Bilddatenserver S1, eine Vielzahl von virtuellen Clients VC für eine Vielzahl von Empfängerknoten EK, die sie jeweils virtualisieren, ein Active Directory AD zur Verwaltung der User Accounts und eine Virtualisierungs- und Sicherheitsinfrastruktur, um überhaupt den Datenaustausch zwischen dem jeweiligen Empfängerknoten EK und seinem Counterpart in der Cloud, dem empfängerknotenspezifischen virtuellen Client VC zu ermöglichen. Des Weiteren umfasst der Verarbeitungsknoten VK einen Kollaborationsserver, der mit einer Collaboration Datenbank in Datenaustausch stehen kann und ein Installationsportal 20, das unterschiedliche Softwaremodule zum Download bereithält, wie z.B. eine Software für einen Image Viewer Client 21 und eine Software für eine Kollaborationsclient 22.
Die Sendeeinheit SE ist dazu bestimmt, eine bilddatensatzspezifische PHI-Share Adresse phisa und eine Empfängerknotennachricht ekn an einen Kollaborationsserver S2 zu senden. Der pseudonymisierten Bilddatensatz wird an einen Bilddatenserver S1 gesendet. Beide Server S1, S2 befinden sich in einem über eine Internetverbindung zugänglichem Datenzentrum. In 1 ist das Versenden der Datensätze von der Sendeeinheit SE der Einfachheit halber nur summarisch dargestellt und an einen Server S gerichtet. 3 zeigt den Datenaustausch detaillierter. Der Server S umfasst den Bilddatenserver S1 und den Kollaborationsserver S2. Vorzugsweise handelt es sich bei den Bilddatenserver S1 und bei dem Kollaborationsserver S2 um getrennte, separate Einheiten. Es kann jedoch sein, dass einzelne Funktionalitäten der jeweiligen Server auch zusammengefasst werden; dies ist jedoch nicht zwingend erforderlich.
Die Sendeeinheit SE dient dazu, den pseudonymisierten Bilddatensatz pBD an einen Verarbeitungsknoten VK zu senden. Der Verarbeitungsknoten VK kann in einer Ausführungsform als Cloud-basiertes Datenzentrum (data-center) implementiert sein. Der Verarbeitungsknoten VK kann insbesondere über eine Internetverbindung mit dem Sendeknoten SK und dem Empfängerknoten EK in Datenaustausch stehen. Gemäß einer bevorzugten Ausführungsform wird der pseudonymisierte Bilddatensatz pBD von der Sendeeinheit SE an einen Bilddatenserver S1 des Verarbeitungsknoten VK gesendet. Wie vorstehend erwähnt, ist die Sendeeinheit SE dazu bestimmt, eine Empfängerknotennachricht ekn an einen Kollaborationsserver S2 zu senden. In der Empfängerknotennachricht ekn sind die Empfängerknoten EK spezifiziert, die vom Sendeknoten SK bestimmt worden sind, um den jeweiligen Bilddatensatz BD auf den jeweiligen Empfänger-knoten EK anzeigen zu lassen. Im einfachsten Fall enthält die Empfängerknotennachricht ekn eine Auflistung von Empfängerknoten EK, an denen die jeweiligen radiologischen Bilddatensätze in originaler und/oder pseudonymisierter Form zum Zwecke der Zusammenarbeit zur Verfügung gestellt werden sollen.
Der Bilddatenserver S1 steht mit einer internen Netzwerkverbindung 90 mit einer Mehrzahl von virtuellen Clients VC in Datenaustausch. Ein virtueller Client VC ist dabei jeweils eine Virtualisierung des jeweiligen Empfängerknotens EK und dient zur Bereitstellung der jeweiligen Bilddaten in pseudonymisierter Form. Die interne Netzwerkverbindung 90 ist eine sichere Datenverbindung innerhalb des Datenzentrums.
Nachdem der Server S des Verarbeitungsknotens VK die pseudonymisierten Bilddatensätze erhalten hat und auch Kenntnis darüber hat, an welche Empfängerknoten EK die jeweiligen Bilddatensätze übermitteln werden sollen, wird der jeweilige virtuelle Client VC im Verarbeitungsknoten VK initiiert. Dazu kann es notwendig sein, die dafür erforderliche Software von einem Installationsportal 20 herunterzuladen, das vorzugsweise ebenfalls innerhalb des Verarbeitungsknotens VK bereitgestellt wird. Das Portal 20 umfasst eine Software für einen Viewer 21 und einen Kollaboration Client 22, der vorzugsweise auch als Softwaremodul ausgebildet sein kann.
Nachdem also in dem Datenzentrum alle notwendigen Informationen zur Kollaboration enthalten worden sind, insbesondere der pseudonymisierte Bilddatensatz pBD, die Empfängerknotennachricht ekn und die PHI-Share Adresse phisa kann der jeweils empfangene pseudonymisierte Bilddatensatz pPD an den jeweiligen virtualisierten Client VC über die interne Netzwerkverbindung 90 weitergeleitet werden.
Des Weiteren wird von dem Datenzentrum eine Verbindungsnachricht vn für die jeweils bestimmten Empfängerknoten EK generiert. Je nachdem wie viele Empfängerknoten EK von dem Sendeknoten SK spezifiziert worden sind, werden hier unterschiedliche Verbindungsnachrichten vn₁ gesendet. Die jeweilige Verbindungsnachricht vn umfasst einen Verweis auf die Adresse des jeweiligen virtuellen Clients VC, in dem der jeweils pseudonymisierte Bilddatensatz pBD für den jeweiligen Empfängerknoten EK abgelegt bzw. bereitgestellt wird. Kumulativ oder alternativ umfasst die Verbindungsnachricht die von dem Sendeknoten SK erhaltene PHI-Share Adresse phisa, die sich auf einen Speicherort in der Sicherheits-domänenlokalen PHI-Share-Speichereinheit PHI-SS findet. Die PHI-Share-Speichereinheit PHI-SS befindet sich innerhalb derselben Sicherheitsdomäne 10 des jeweiligen Sendeknotens SK.
Die Verbindungsnachricht vn umfasst gemäß einer Ausbildung der Erfindung zwei Links:

1. Einen Link auf die Adresse des virtuellen Knoten VC, in dem die pseudonymisierten Bilddaten pBD für den jeweiligen Empfängerknoten EK bereitgestellt sind und
2. einen Link auf die Adresse in PHI-Share-Speichereinheit PHI-SS, in der die originalen Bilddaten BD (also mit sicherheitskritischen und vertraulichen Datenanteilen) gespeichert sind.

Die Sicherheitsdomäne 10 kann beispielsweise ein Krankenhausnetzwerk sein. Damit gehören alle Sendeknoten SK und Empfängerknoten EK zur Sicherheitsdomäne 10, die sich innerhalb des Krankenhauses befinden. Im in 1 gezeigten Beispiel betrifft dies die Empfängerknoten EK1 und EK2.
Die Empfängerknoten EK3 und EK4 befinden sich außerhalb der Sicherheitsdomäne 10 des Sendeknotens SK. Auf den Empfängerknoten EK3 und EK4 dürfen somit keinesfalls die originalen Bilddaten BD dargestellt werden.
Gemäß einer Variante der Erfindung kann zusätzlich ein Steuermodul bereitgestellt sein, das dazu bestimmt ist, die Verbindungsnachricht vn empfängerknotenspezifisch zu generieren. Mittels des Steuermoduls wird ein automatisiertes Verfahren bereitgestellt, das auf allen Empfängerknoten EK, die sich außerhalb der Sicherheitsdomäne 10 befinden ausschließlich nur die Bilddaten in pseudonymisierter Form, also die pseudonymisierten Bilddaten pBD bereitgestellt werden. Dies wird möglich, indem der Verarbeitungsknoten VK die Verbindungsnachricht spezifisch für den Empfängerknoten EK generiert. So wird analysiert der Verarbeitungsknoten VK, dass die Empfängerknoten EK3 und EK4 außerhalb der Sicherheitsdomäne 10 befinden, so dass die Verbindungsnachrichten vn₃ und vn₄ jeweils nur den Link auf die Virtuellen Clients VC_EK3 und VC_EK4 umfassen. Für die anderen Empfängerknoten EK1 und EK2, die sich innerhalb der Sicherheitsdomäne 10 befinden, umfassen die Verbindungsnachrichten vn₁ und vn₂ jeweils nur den Link auf die Adresse phisa in der sicherheitsdomänenlokalen PHI-Share-Speichereinheit PHI-SS. Die jeweiligen Empfängerknoten EK können daraufhin die für sie spezifische Verbindungsnachricht vn empfangen und verarbeiten bzw. den Link auflösen und auf die Bilddaten BD, pBD zugreifen und darstellen.
Da sich die Empfängerknoten EK1 und EK2 innerhalb der Sicherheitsdomäne 10 des Sendeknotens SK befinden, wird es auf diesen Empfängerknoten möglich, den Link in der für sie bestimmten Verbindungsnachricht vn_EK zu öffnen, der auf die Speicheradresse in dem lokalen PHI-Share-Speicher verweist. Somit können die Empfängerknoten EK1 und EK2 die originalen Bilddaten BD bereitstellen und lesen, während die außerhalb der Sicherheitsdomäne 10 befindlichen Empfängerknoten EK3 und EK4 nur die pseudonymisierten Bilddaten pBD zur Darstellung bringen können (über den Link auf den virtuellen Client VC in dem Datenzentrum bzw. Verarbeitungsknoten VK).
Wesentlich ist, dass die Bilddaten in originaler Form niemals die Sicherheitsdomäne 10 des Sendeknotens SK verlassen. Sie verbleiben in der originalen Form innerhalb der Sicherheitsdomäne 10 und werden dort sicherheitsdomänenlokal in der PHI-Share-Speichereinheit PHI-SS lokal gespeichert. Sobald die Sicherheitsdomäne 10 verlassen wird, werden die Bilddaten nur in pseudonymisierter Form mittels der pseudonymisierten Bilddaten pBD transferiert. Damit kann eine automatisierte Kollaboration bereitgestellt werden, die allen Sicherheitsregeln genügt und die unabhängig von der infrastrukturellen Ausstattung der Empfängerknoten EK ist.
Vorzugsweise wird die Kollaboration von dem Sendeknoten SK initiiert. Der Sendeknoten SK definiert die jeweiligen Empfängerknoten EK, die er zur Kollaboration einladen möchte. Vorteilhafterweise muss sich der Anmelder nicht darum kümmern, ob die Empfängerknoten EK innerhalb oder außerhalb der Sicherheitsdomäne 10 befinden. Dem Anwender des Sendeknotens SK wird ein automatisierter Ablauf zur Verfügung gestellt. Dieser Ablauf wird unter Bezugnahme auf 4 näher erläutert. Nach Start des Systems erfolgt in S41 das Bereitstellen des Bilddatensatzes BD auf dem Sendeknoten SK.
In Schritt S42 erfolgt das Anwenden einer Pseudonymisierungsfunktion auf den Bilddatensatz BD zur Erstellung des pseudonymisierten Bilddatensatzes pBD.
In Schritt S43 erfolgt das Bestimmen von Empfängerknoten EK für den jeweiligen Bilddatensatz BD und das Erstellen einer Empfängerknotennachricht ekn, in der die aktuell bestimmten Empfängerknoten EK definiert werden.
In Schritt S44 erfolgt ein sicherheitsdomänenlokales Speichern des Bilddatensatzes BD unter einer bilddatensatzspezifischen PHI-Share Adresse phisa in der sicherheitsdomänenlokalen PHI-Share-Speichereinheit PHI-SS.
In Schritt S45 erfolgt das Versenden des pseudonymisierten Bilddatensatzes BD und der Empfängerknotennachricht ekn und der den Bilddatensatz BD zugeordneten PHI-Share Adresse an den Cloud-basierten Verarbeitungsknoten VK bzw. an das Datenzentrum.
In Schritt S46 erfolgt das Bereitstellen von einer Menge von virtuellen Clients VC. Dabei ist zu beachten, dass die jeweils bereitgestellten Clients VC spezifisch auf den jeweiligen Empfängerknoten EK und auf die jeweils empfangenen pseudonymisierten Bilddaten pBD abgestellt ist. Ein virtueller Client VD ist jeweils einem Empfängerknoten EK zugeordnet, vorzugsweise auf eine eindeutige Weise. Der virtuelle Client VC dient jeweils zur virtuellen Bereitstellung des für ihn bestimmten pseudonymisierten Bilddatensatzes pBD.
In Schritt S47 erfolgt das Versenden der Verbindungsnachricht vn von dem Verarbeitungsknoten VK an den jeweiligen Empfängerknoten EK, der über die Empfängerknotennachricht ekn spezifiziert worden ist. Üblicherweise handelt es sich um mehrere Empfängerknoten EK. Die Verbindungsnachricht vn enthält einen Verweis auf die Adresse des jeweiligen virtuellen Clients, so dass dieser von dem Empfängerknoten EK – vorzugsweise über einen Link – aufrufbar ist. Die Verbindungsnachricht vn kann die empfangene PHI-Share Adresse in der sicherheitsdomänenlokalen PHI-Share-Speichereinheit umfassen.
In einer bevorzugten Weiterbildung der Erfindung ist eine zusätzliche Steuereinheit in den Verarbeitungsknoten VK vorgesehen, die dazu bestimmt ist, den Empfängerknoten EK zu analysieren. Die Steuereinheit dient dazu, zu bestimmen, ob der jeweilige Empfängerknoten EK sich innerhalb des Sicherheitsdomäne 10 des Sendeknotens SK befindet oder außerhalb. Falls sich der jeweilige Empfängerknoten EK innerhalb der Sicherheitsdomäne 10 befindet, kann die Verbindungsnachricht vn gezielt generiert werden und nur die empfangene PHI-Share Adresse phisa umfassen, so dass auf dem jeweiligen Empfängerknoten EK dann automatisch der originale Bilddatensatz BD mit den sicherheitskritischen Daten aus der lokalen Speichereinheit PHI-SS geladen werden kann.
Falls die Steuereinheit evaluiert, dass sich der jeweilige Empfängerknoten EK außerhalb der Sicherheitsdomäne 10 des Sendeknotens SK befindet, so muss sichergestellt sein, dass dann auf dem Empfängerknoten EK nur die pseudonymisierten Bilddaten pBD zur Darstellung kommen. In diesem Fall enthält dann die Verbindungsnachricht vn nur die Adresse des jeweiligen virtuellen Client VC. Damit kann der Empfänger knoten EK nur auf den virtuellen Client zugreifen und damit nur auf die pseudonymisierten Bilddaten pBD.
4 zeigt im letzten Schritt S48 das Empfangen der Verbindungsnachricht vn auf dem zumindest einen Empfängerknoten EK und das Aktivieren des darin enthaltenen Hinweises bzw. Links zur Bereitstellung des pseudonymisierten Bilddatensatzes pBD über den virtuellen Client VC (falls sich der Empfängerknoten EK außerhalb der Sicherheitsdomäne 10 des Sendeknotens SK befindet) oder zur Bereitstellung des Bilddatensatzes BD über die PHI-Share Adresse auf die lokale PHI-Share-Speichereinheit PHI-SS falls sich der Empfängerknoten EK innerhalb der Sicherheitsdomäne 10 des Sendeknotens SK befindet.
Danach endet das Verfahren.
Selbstverständlich ist es möglich, dass der Sendeknoten SK parallel mehrere Empfängerknoten EK zur Kollaboration einlädt, wovon einige Empfängerknoten EK sich innerhalb und einige außerhalb der Sicherheitsdomäne 10 befinden können. Des Weiteren kann das Verfahren auch iterativ angewendet werden. Ebenso ist es möglich, dass sich während einer Kollaboration noch weitere Informationen und somit auch weitere (zusätzliche) Empfängerknoten EK ergeben, die es notwendig machen, noch weitere Empfängerknoten EK dazu einzuladen. Dies wird möglich, indem der Sendeknoten SK zusätzlich weitere Empfängerknoten EK definiert und das Verfahren wiederholt ausgeführt wird.
Im Folgenden wird unter Bezugnahme auf 5 das Verfahren zum Betreiben das Verfahren zum Betreiben eines Sendeknotens SK zur Kollaboration näher erläutert.
In einem ersten Schritt S51 werden die jeweiligen Bilddaten in Form eines Bilddatensatzes BD oder in Form von mehreren Bilddatensätzen BD auf den Sendeknoten SK bereitgestellt.
In Schritt S52 wird die Pseudonymisierungfunktion auf den Bilddatensatz BD angewendet, um den pseudonymisierten Bilddatensatz pBD zu generieren.
In Schritt S53 werden die jeweiligen Empfängerknoten EK für den jeweiligen Bilddatensatz BD bestimmt und daraus eine Empfängerknotennachricht ekn generiert, in der die vorher bestimmten Empfängerknoten EK definiert sind.
In Schritt S54 wird ein sicherheitsdomänenlokales Speichern des Bilddatensatzes BD erreicht und zwar unter der bilddatensatzspezifisches PHI-Share Adresse in der PHI-Share-Speichereinheit PHI-SS.
In Schritt S55 wird der pseudonymisierte Bilddatensatz pBD, die Empfängerknotennachricht ekn und die den Bilddatensatz BD zugeordnete PHI-Share Adresse phisa an den Verarbeitungsknoten VK gesendet.
Danach endet das Verfahren.
Unter Bezugnahme auf 6 wird das Verfahren zum Betreiben des Cloud-basierten Verarbeitungsknotens VK zur Kollaboration näher erläutert.
In Schritt S61 wird der jeweilige pseudonymisierte Bilddatensatz pBD die Empfängerknotennachricht ekn und die dem Bilddatensatz zugeordnete PHI-Share Adresse phisa auf dem Verarbeitungsknoten VK empfangen.
In Schritt S62 wird eine Menge von virtuellen Clients VC instantiiert, wobei jeweils ein virtueller Client VC jeweils einem Empfängerknoten EK spezifisch zugeordnet ist und zur virtuellen Bereitstellung des für ihn bestimmten pseudonymisierten Bilddatensatzes pBD bestimmt ist. Der virtuelle Client VC verfügt über die dafür erforderliche Software- und Hardware-Infrastruktur, die innerhalb des Verarbeitungsknotens VK von dem Portal 20 heruntergeladen werden kann.
In Schritt S63 erfolgt das Versenden einer Verbindungsnachricht vn an die jeweiligen Empfängerknoten EK. Üblicherweise erfolgt ein Broadcast der Verbindungsnachricht VN an eine Vielzahl von Empfängerknoten EK, wobei die Verbindungsnachricht vn einen Verweis auf die Adresse des virtuellen Clients VC im Verarbeitungsknoten VK umfasst und/oder einen Verweis auf den Speicherort in der PHI-Share-Speichereinheit PHI-SS.
Abschließend sei darauf hingewiesen, dass die Beschreibung der Erfindung und die Ausführungsbeispiele grundsätzlich nicht einschränkend in Hinblick auf eine bestimmte physikalische Realisierung der Erfindung zu verstehen sind. Für einen Fachmann ist es insbesondere offensichtlich, dass die Erfindung teilweise oder vollständig in Soft- und/oder Hardware und/oder auf mehrere physikalische Produkte – dabei insbesondere auch Computerprogrammprodukte – verteilt realisiert werden kann.

Claims

Netzwerkbasiertes System zur Kollaboration von Sende- und Empfängerknoten (SK,EK) zum gesicherten Datenaustausch von radiologischen Bilddatensätzen (BD) mit vertraulichen Anteilen, umfassend: – Zumindest einen Sendeknoten (SK), mit: – Einer Empfangseinheit (EE), die dazu bestimmt ist, einen Bilddatensatz (BD) bereitzustellen oder von einer bildgebenden Einrichtung zu empfangen – Mit einem Pseudonymisierungsmodul (PM), das dazu bestimmt ist, aus dem Bilddatensatz einen pseudonymisierten Bilddatensatz (pBD) zu erzeugen – Mit einer Sendeeinheit (SE), die dazu bestimmt ist, den pseudonymisierten Bilddatensatz (pBD) und eine der Empfängerknotennachricht (ekn) und eine PHI-Share Adresse (phisa) an einen Verarbeitungsknoten (VK) zu versenden, wobei in der Empfängerknotennachricht (ekn) vom Sendeknoten (SK) bestimmte Empfängerknoten (EK) für den Bilddatensatz (BD) definiert sind und wobei die PHI-Share Adresse (phisa) bilddatensatzspezifisch ist und einen Speicherort in einer sicherheitsdomänenlokalen PHI-Share-Speichereinheit (PHI-SS) kennzeichnet, unter der die Sendeeinheit (SE) den jeweiligen Bilddatensatz (BD) speichert – Einen Cloud-basierten Verarbeitungsknoten (VK), mit: – Einem Bilddatenserver (S1), der dazu bestimmt ist, den pseudonymisierten Bilddatensatz (pBD) von dem Sendeknoten (SK) zu empfangen – Eine Mehrzahl von virtuellen Clients (VC), wobei jeweils ein virtueller Client (VC) jeweils einem Empfängerknoten (EK) zugeordnet ist und zum Bereitstellen von dem für den jeweiligen Empfängerknoten bestimmten pseudonymisierten Bilddatensatz (pBD) bestimmt ist – Einem Kollaborationsserver (S2), der dazu bestimmt ist, die Empfängerknotennachricht (ekn) für den jeweiligen pseudonymisierten Bilddatensatz (pBD) von dem Sendeknoten (SK) zu empfangen und der dazu bestimmt ist, eine Verbindungsnachricht (vn) an die bestimmten Empfängerknoten (EK) zu senden, wobei die Verbindungsnachricht (vn) einen Verweis auf eine Adresse des jeweiligen virtuellen Clients (VC), in dem der jeweils pseudonymisierte Bilddatensatz (pBD) für den Empfängerknoten (EK) abgelegt ist und/oder die empfangene PHI-Share Adresse (phisa) in der sicherheitsdomänenlokalen PHI-Share-Speichereinheit (PHI-SS) umfasst – Zumindest einen Empfängerknoten (EK), der von dem Sendeknoten (SK) zur Kollaboration bestimmt werden kann und auf dem der pseudonymisierte Bilddatensatz (pBD) über den Verweis auf den dem Empfängerknoten (EK) zugeordneten virtuellen Client (VC) zur Anzeige gebracht wird, falls sich der Empfängerknoten (EK) außerhalb einer Sicherheitsdomäne (10) des Sendeknotens (SK) befindet und auf dem der Bilddatensatz (BD) über die Adresse in der PHI-Share-Speichereinheit (PHI-SS) angezeigt wird, falls sich der Empfängerkonten (EK) innerhalb der Sicherheitsdomäne (10) des Sendeknotens (SK) befindet.
Verfahren zur Kollaboration von Sende- und Empfängerknoten (SK, EK) zum gesicherten Datenaustausch von radiologischen Bilddatensätzen mit vertraulichen Anteilen, umfassend folgende Verfahrensschritte: – Bereitstellen (S41) eines Bilddatensatzes (BD) auf einem Sendeknoten (SK) – Anwenden (S42) einer Pseudonymisierungsfunktion auf den Bilddatensatz zur Erstellung eines pseudonymisierten Bilddatensatzes (pBD) – Bestimmen (S43) von Empfängerkonten (EK) für den Bilddatensatz (BD) und Erstellen einer Empfängerknotennachricht (ekn), in der die bestimmten Empfängerknoten (EK) definiert sind – Sicherheitsdomänenlokales Speichern (S44) des Bilddatensatzes (BD) unter einer bilddatensatzspezifischen PHI-Share Adresse (phisa) in einer sicherheitsdomänenlokalen PHI-Share Speichereinheit (PHI-SS) – Senden (S45) des pseudonymisierten Bilddatensatzes (pBD), der Empfängerknotennachricht (ekn) und der dem Bilddatensatz zugeordneten PHI-Share Adresse (phisa) an einen Cloud-basierten Verarbeitungsknoten (VK) – Bereitstellen (S46) von einer Menge von virtuellen Clients (VC), wobei jeweils ein virtueller Client (VC) jeweils einem Empfängerknoten (EK) zugeordnet und zur virtuellen Bereitstellung des für ihn bestimmten Bilddatensatzes bestimmt ist – Versenden (S47) jeweils einer Verbindungsnachricht (vn) von dem Cloud-basierten Verarbeitungsknoten (VK) an den jeweiligen Empfängerknoten (EK), wobei die Verbindungsnachricht (vn) einen Verweis auf eine Adresse des jeweiligen virtuellen Clients (VC), in dem der jeweils pseudonymisierte Bilddatensatz (pBD) für den Empfängerknoten (EK) abgelegt ist und/oder die empfangene PHI-Share Adresse (phisa) in der sicherheitsdomänenlokalen PHI-Share-Speichereinheit (PHI-SS) umfasst – Empfangen (S48) der Verbindungsnachricht (vn) auf dem zumindest einen Empfängerknoten (EK) und Aktivieren des darin enthaltenen Hinweises zur Bereitstellung des pseudonymisierten Bilddatensatzes über den virtuellen Client (VC), falls sich der Empfängerknoten (EK) außerhalb einer Sicherheitsdomäne (10) des Sendeknotens (SK) befindet oder zur Bereitstellung des Bilddatensatzes (BD) über die PHI-Share Adresse (phisa) auf die sicherheitsdomänenlokale PHI-Share Speichereinheit (PHI-SS), falls sich der Empfängerkonten (EK) innerhalb der Sicherheitsdomäne (10) des Sendeknotens (SK) befindet. Verfahren nach Patentanspruch 2, bei dem die Bereitstellung des Bilddatensatzes (BD) oder des pseudonymisierten Bilddatensatzes (pBD) für alle Empfängerknoten (EK) einheitlich und unabhängig von der auf dem Empfängerknoten (EK) installierten Applikation erfolgt.
Verfahren nach einem der vorstehenden Verfahrensansprüche, bei dem die vertraulichen Anteile des radiologischen Bilddatensatzes (BD) nur innerhalb der Sicherheitsdomäne (10) des Sendeknotens (SK) für die Kollaboration zur Verfügung stehen.
Verfahren nach einem der vorstehenden Verfahrensansprüche, bei dem automatisch die vertraulichen Anteile des radiologischen Bilddatensatzes (BD) nicht angezeigt werden, falls der jeweilige Empfängerknoten (EK) sich außerhalb der Sicherheitsdomäne (10) des Sendeknotens (SK) befindet und/oder nicht über eine Grenze der Sicherheitsdomäne (10) des Sendeknotens (SK) hinaus übertragen werden.
Verfahren nach einem der vorstehenden Verfahrensansprüche, bei dem der Bilddatensatz (BD) unimodal oder multimodal sein kann und auf unterschiedlichen bildgebenden medizintechnischen Einrichtungen akquiriert ist.
Verfahren nach einem der vorstehenden Verfahrensansprüche, bei dem die Bereitstellung des Bilddatensatzes (BD) oder des pseudonymisierten Bilddatensatzes (pBD) auf den jeweils bestimmten Empfängerkonten (EK) ausschließlich durch den Sendeknoten (SK) veranlasst wird.
Verfahren nach einem der vorstehenden Verfahrensansprüche, bei dem zur Bereitstellung des Bilddatensatzes (BD) oder des pseudonymisierten Bilddatensatzes (pBD) auf den jeweils bestimmten Empfängerkonten (EK) notwendige computertechnische Verarbeitung mit Lade- und Berechnungsprozessen ausschließlich auf dem jeweiligen virtuellen Client (VC) und nicht auf dem Empfängerknoten (EK) ausgeführt wird.
Sendeknoten (SK) zur Kollaboration mit Empfängerknoten (EK) zum gesicherten Datenaustausch von radiologischen Bilddatensätzen (BD) mit vertraulichen Anteilen, mit: – Einer Empfangseinheit (EE), die dazu bestimmt ist, einen Bilddatensatz (BD) bereitzustellen oder von einer bildgebenden Einrichtung zu empfangen – Mit einem Pseudonymisierungsmodul (PM), das dazu bestimmt ist, den Bilddatensatz zu pseudonymisieren und einen pseudonymisierten Bilddatensatz (pBD) zu erzeugen – Einer Empfängerknotebestimmungseinheit, die dazu bestimmt ist, Empfängerkonten (EK) für den Bilddatensatz (BD) zu bestimmen und daraus eine Empfängerknotennachricht (ekn) zu generieren – Mit einer Sendeeinheit (SE), die dazu bestimmt ist, den pseudonymisierten Bilddatensatz (pBD) und eine bilddatensatzspezifische PHI-Share Adresse (phisa) sowie der Empfängerknotennachricht (ekn) an einen Verarbeitungsknoten (VK) zu versenden und wobei die Sendeeinheit (SE) dazu bestimmt ist, den jeweilige Bilddatensatz (BD) unter der PHI-Share Adresse (phisa) in einer sicherheitsdomänenlokalen PHI-Share-Speichereinheit (PHI-SS) zu speichern.
Verfahren zum Betreiben eines Sendeknotens (SK) zur Kollaboration von Sende- und Empfängerknoten (SK, EK) zum gesicherten Datenaustausch von radiologischen Bilddatensätzen (BD) mit vertraulichen Anteilen, mit folgenden Verfahrensschritten: – Bereitstellen (S51) eines Bilddatensatzes (BD) auf einem Sendeknoten (SK) – Anwenden (S52) einer Pseudonymisierungsfunktion auf den Bilddatensatz zur Erstellung eines pseudonymisierten Bilddatensatzes (pBD) – Bestimmen (S53) von Empfängerkonten (EK) für den Bilddatensatz (BD) und Erstellen einer Empfängerknotennachricht (ekn), in der die bestimmten Empfängerknoten (EK) definiert sind – Sicherheitsdomänenlokales Speichern (S54) des Bilddatensatzes (BD) unter einer bilddatensatzspezifischen PHI-Share Adresse (phisa) in einer sicherheitsdomänenlokalen PHI-Share Speichereinheit (PHI-SS) – Senden (S55) des pseudonymisierten Bilddatensatzes (pBD), der Empfängerknotennachricht (ekn) und der dem Bilddatensatz (BD) zugeordneten PHI-Share Adresse (phisa) an einen Cloud-basierten Verarbeitungsknoten (VK).
Cloud-basierter Verarbeitungsknoten (VK) zur Kollaboration von Sende- und Empfängerknoten (SK, EK) zum gesicherten Datenaustausch von radiologischen Bilddatensätzen (BD) mit vertraulichen Anteilen, mit: – Einem Bilddatenserver (S1), der dazu bestimmt ist, den pseudonymisierten Bilddatensatz (pBD) von einem Sendeknoten (SK) zu empfangen – Einer Mehrzahl von virtuellen Clients (VC), wobei jeweils ein virtueller Client (VC) jeweils einem Empfängerknoten (EK) zugeordnet ist und zum Bereitstellen von dem für den jeweiligen Empfängerknoten (EK) bestimmten pseudonymisierten Bilddatensatz (pBD) ausgebildet ist – Einem Kollaborationsserver (S2), der dazu bestimm ist, eine Empfängerknotennachricht (ekn) und eine PHI-Share Adresse (phisa) für den jeweiligen pseudonymisierten Bilddatensatz (pBD) von dem Sendeknoten (SK) zu empfangen und, der dazu bestimmt ist, eine Verbindungsnachricht (vn) an die bestimmten Empfängerknoten (EK) zu senden, wobei die Verbindungsnachricht (vn) einen Verweis auf eine Adresse des jeweiligen virtuellen Clients (VC), in dem der jeweils pseudonymisierte Bilddatensatz (pBD) für den Empfängerknoten (EK) abgelegt ist und/oder die empfangene PHI-Share Adresse (phisa) in einer sicherheitsdomänenlokalen PHI-Share-Speichereinheit (PHI-SS) umfasst.
Verfahren zum Betreiben eines Cloud-basierten Verarbeitungsknotens (VK) zur Kollaboration von Sende- und Empfängerknoten (EK, SK) zum gesicherten Datenaustausch von radiologischen Bilddatensätzen (BD) mit vertraulichen Anteilen, umfassend folgende Verfahrensschritte: – Empfangen (S61) eines pseudonymisierten Bilddatensatzes (pBD), einer Empfängerknotennachricht (ekn) und der dem Bilddatensatz (BD) zugeordneten PHI-Share Adresse (phisa) – Bereitstellen (S62) von einer Menge von virtuellen Clients (VC), wobei jeweils ein virtueller Client (VC) jeweils einem Empfängerknoten (EK) zugeordnet und zur virtuellen Bereitstellung des für ihn bestimmten pseudonymisierten Bilddatensatzes (pBD) bestimmt ist – Versenden (S63) jeweils einer Verbindungsnachricht (vn) an den jeweiligen Empfängerknoten (EK), wobei die Verbindungsnachricht (vn) einen Verweis auf eine Adresse des jeweiligen virtuellen Clients (VC), in dem der jeweils pseudonymisierte Bilddatensatz (pBD) für den Empfängerknoten (EK) abgelegt ist und/oder die empfangene PHI-Share Adresse (phisa) umfasst.