JP2006343944A - 情報管理システム及び装置 - Google Patents

Abstract

【課題】医療機器毎に改修する手間を省きつつ、外部ネットワークに個人情報が漏洩することを防止する。
【解決手段】内部ネットワークと外部ネットワークとを情報管理装置１１を介して接続する。情報管理装置１１は、医用画像撮影装置等から医用画像又は医療情報を受信する受信部１１ａと、医用画像又は医療情報から秘匿対象となる個人情報を抽出する抽出部１１ｂと、抽出した個人情報の内容が特定できないように医用画像又は医療情報を加工する加工部１１ｃと、加工された医用画像又は医療情報を外部ネットワークに送信する送信部１１ｄとを備える。
【選択図】図２

Description

本発明は、情報管理システム及び装置に係り、特に医療情報に含まれる個人情報がネットワークを介して外部に漏洩することを防止する技術に関する。

個人情報保護法の施行により、病院においても個人情報が病院外に漏洩することを防止する必要が高くなってきている。

個人情報の漏洩を防止する対策として、医用画像撮影装置で撮影された医用画像に患者の氏名などの個人情報が含まれる場合に、操作者が個人情報を手動で削除した医用画像を作成し、この個人情報を削除した画像を院外配信用画像とする方法がある。また別の方法として、医用画像撮影装置と、院内システムを院外のネットワークに接続するためのサーバ（以下「ゲートウェイ（ＧＷ）サーバ」という。）と、に接続されたモニタのデスクトップ画面のレイアウトをＧＷサーバに記憶させ、そのレイアウトにおいて個人情報が記載される領域をマスクする（網掛けをしたり塗りつぶしたりして個人情報を読めなくする）方法がある。更に、電子メールでは、特定の文字列に関するフィルタリングを行う技術がある。

特許文献１、２は、個人情報を管理するデータベース（以下「ＤＢ」という。）やサーバにアクセス権を設定する技術を開示する。また、特許文献３は、外部ネットワークに配信するコンテンツに暗号化処理を行なう技術を開示する。
特開２００３−１１４９３０号公報 特開２００３−２５６５６４号公報 特開２００２−３５１９９５号公報

病院内に敷設された内部ネットワークを、インターネットや公衆回線網からなる外部ネットワークに接続する場合、院内ネットワークに個人情報を保護するための機能が実装されていない医療機器が接続されていると、ネットワークを介して患者や受診者の個人情報が、Ｗｅｂページ、電子メール、画像ファイル、文書ファイルなどの電子情報によって病院外に漏れ出す危険性がある。

これに対応するための手段として、内部ネットワークに接続する医療機器ごとに個人情報を保護する機能を実装させるという手段がある。しかし、医療機器の数が多いと、各医療機器を改修する手間がかかるという問題がある。

そこで、本発明は、医療機器毎に改修する手間を省きつつ、内部ネットワークに接続された医療機器から配信される電子情報により、外部ネットワークに個人情報が漏洩することを防止することができる情報管理システム及び装置を提供することを目的とする。

前記目的を達成するために、本発明に係る医用画像撮影装置、医療機器、医療情報サーバ、及び端末装置のうちの少なくとも一つが接続された内部ネットワークと外部ネットワークとを情報管理装置を介して接続する情報管理システムであって、前記情報管理装置は、前記医用画像撮影装置、医療機器、医療情報サーバ、及び端末装置から医用画像又は医療情報を受信する受信手段と、前記医用画像又は医療情報から秘匿対象となる個人情報を抽出する抽出手段と、前記抽出した個人情報の内容が特定できないように前記医用画像又は医療情報を加工する加工手段と、前記加工手段により加工された医用画像又は医療情報を前記外部ネットワークに送信する送信手段と、を備える、ことを特徴とする。

また、前記加工手段は、前記抽出した個人情報の内容を読み取れないようにするためのマスク処理、又は前記個人情報をその個人情報の内容とは異なるダミー情報に置き換える処理、の少なくとも一つの処理を行なう、ことを特徴とする。

また、前記医療情報サーバは、秘匿対象となる個人情報を格納し、前記抽出手段は、前記医用画像又は医療情報から抽出した情報と前記医療情報サーバに格納された個人情報との比較結果に基づいて、前記医用画像又は医療情報から抽出した情報が個人情報であるか否かを判定する。

また、前記受信手段は、医用画像又は医療情報と共にその医用画像又は医療情報を送信した前記医用画像撮影装置、医療機器、医療情報サーバ、及び端末装置、又は送信者を特定するための識別情報を受信し、前記抽出手段が前記医用画像又は医療情報から個人情報を抽出した場合に、その個人情報を抽出した医用画像又は医療情報とともに受信した前記識別情報に基づいて、前記個人情報が含まれる医用画像又は医療情報を送信した前記医用画像撮影装置、医療機器、医療情報サーバ、及び端末装置、又は前記送信者を特定し、各医用画像撮影装置、医療機器、医療情報サーバ、端末装置、又は送信者が個人情報を含む医用画像又は医療情報を送信した回数を計測する計測手段と、前記計測手段が計測した結果を記載したレポートを出力するレポート手段と、を更に備える。

また、本発明に係る情報管理装置は、医用画像撮影装置、医療機器、医療情報サーバ、及び端末装置のうちの少なくとも一つが接続された内部ネットワークを外部ネットワークに接続する情報管理装置であって、前記医用画像撮影装置、医療機器、医療情報サーバ又は端末装置から医用画像又は医療情報を受信する受信手段と、前記医用画像又は医療情報に含まれる個人情報を抽出する抽出手段と、前記抽出した個人情報の内容が特定できないように前記医用画像又は医療情報を加工する加工手段と、前記加工手段により加工された医用画像又は医療情報を前記外部ネットワークに送信する送信手段と、を備える。

本発明によれば、医療機器毎に改修する手間を省きつつ、内部ネットワークに接続された医療機器から配信される電子情報により、外部ネットワークに個人情報が漏洩することを防止することができる情報管理システム及び装置を提供することができる。

以下、添付図面に従って本発明が適用された個人情報保護システムを実施するための形態を説明する。

図１は、本発明に係る個人情報保護システムの構成を示す全体構成図である。

個人情報保護システム１０は、Ａ医療施設の院内ネットワーク１７と、外部ネットワークとしてのインターネット２０との間に個人情報保護ゲートウェイサーバ（以下「ＧＷサーバ」という）１１を設置して構成される。

Ａ医療施設は、院内ＬＡＮ１７を備える。その院内ＬＡＮ１７には、Ｘ線ＣＴ装置やＭＲＩ装置などの医用画像撮影装置１２と、被検体から採取した検体の検査装置などを含む医療機器１３と、電子カルテシステムや看護個人情報保護システムなどを構成する医療情報サーバ１４と、医師や看護師などが電子メールを送受信したり医療情報サーバ１４にアクセスしたりするための端末装置１５と、医用画像撮影装置１２や医療機器１３や医療情報サーバ１４の操作支援を行なうためのリモートサービスシステム１６と、が接続される。これらの院内ＬＡＮ１７は、ＧＷサーバ１１を介してインターネット２０に接続される。従って、院内ＬＡＮ１７を経由して送信させる電子メール、Ｗｅｂページなどの電子情報はすべてＧＷサーバ１１を通ってインターネット２０へ送出される。

インターネット２０には、他の医療施設であるＢ医療施設に備えられたネットワーク２１と、リモートサービスシステム１６を提供する事業者端末２２と、が接続される。

ＧＷサーバ１１は、院内ＬＡＮ１７を経由して受信した電子情報の中に秘匿する必要がある個人情報が含まれているか否かをチェックし、個人情報が含まれている場合には、その個人情報の内容を特定できないようにするための削除処理、マスク処理、又はダミー情報への置き換え処理を行なう。

ＧＷサーバ１１は、ＧＷサーバ１１を単体のサーバ装置を用いて構成してもよいし、Ｗｅｂアプリサーバの一機能として実現してもよいし、院内ＬＡＮ１７とインターネット２０との間に、既にプロキシサーバなどのセキュリティサーバが設置されている場合には、これらのセキュリティサーバの一機能として実現してもよい。

また、ＧＷサーバ１１に代えて、ＧＷサーバ１１と同一機能を実現するＡＳＩＣ（Application Specific Integrated Circuit）やＭＰＵ（Micro Processing Unit）を搭載したネットワーク接続機器、例えばルータ、ブルータ、ブリッジを用いてもよい。

図２に基づいてＧＷサーバ１１の構成を説明する。図２は、ＧＷサーバ１１にインストールされる個人情報保護プログラムを示すブロック図である。ＧＷサーバ１１は、これらのプログラムを図示しない磁気ディスクに格納し、実行時にメモリにロードし、ＣＰＵによって実行される。

個人情報保護プログラムは、医用画像や医療情報を受信する受信部１１ａ、受信部１１ａが受信した医用画像や医療情報から個人情報を抽出する抽出部１１ｂ、医用画像や医療情報に含まれる個人情報の内容を特定できないように加工する加工部１１ｃ、加工後の医用画像や医療情報をインターネット２０を介して送信先へ送信する送信部１１ｄ、個人情報が含まれる医用画像や医療情報を送信した装置や送信者を特定し、装置または送信者毎に個人情報が含まれる医用画像や医療情報を送信した回数を計測する計測部１１ｅ、計測部１１ｅの計測結果を記載した電子メールを送信したり紙媒体によるレポートを出力したりするレポート部１１ｆと、を含む。

受信部１１ａは、医用画像撮影装置１２、医療機器１３、医療情報サーバ１４、端末装置１５から電子メール、Ｗｅｂページ、医用画像などの電子情報を受信する。また、医療情報サーバ１４から保護する対象となる個人情報を示す文字列を受信する。

抽出部１１ｂは、画像データに対して文字認識処理（ＯＣＲ）を行う機能、ＯＣＲで認識した文字列や受信した電子メールや電子メールに添付された添付ファイルなどの文字情報（バイナリ形式、テキスト形式、各種アプリケーションソフトに沿った形式など文字情報の形式は問わない。）から文字列を抽出する機能と、抽出した文字列が保護対象となる個人情報に含まれるかを検索する機能と、を実現する。

加工部１１ｃは、医用画像に個人情報が含まれている場合には、この個人情報に対応する文字列を削除したり、その文字列がある領域にマスク処理を行ったりする。文字情報の場合には、個人情報に対応する文字列を異なる文字列に置き換えたり、削除したりする。ＸＭＬやＤＩＣＯＭ形式の電子ファイルに個人情報が含まれている場合には、個人情報に対応する文字列が含まれるタグ情報を、個人情報の文字数と同じ文字列で文字種類が異なるランダムな文字列に置き換える。

計測部１１ｅとレポート部１１ｆとは、第一実施形態においては必須構成要素ではなく、第二実施形態において必要な構成要素である。

＜第一実施形態＞
図３、４に基づいて第一実施形態にかかる個人情報保護システムの処理の流れを説明する。図３は、個人情報保護システムの処理の流れを示すシーケンス図である。図４は、図３の各ステップの処理内容を示す模式図である。

（ステップＳ１）
Ｓ１では、ＧＷサーバ１１が秘匿対象となる個人情報を格納した医療情報サーバ１４に個人情報の文字列（以下「個人情報リスト」という）を要求する（Ｓ１）。本実施の形態では、秘匿対象となる個人情報を「患者の氏名」とする。医療情報サーバ１４は、患者の氏名が格納されたサーバであれよく、例えば電子カルテシステムのサーバや医療事務サーバがある。

（ステップＳ２）
Ｓ２では、医療情報サーバ１４が、Ｓ１の要求に従って、個人情報リストをＧＷサーバ１１に送る（Ｓ２）。ＧＷサーバ１１の受信部１１ａは、個人情報の文字列を受信し、ＧＷサーバ１１内の個人情報ＤＢ１１ｇにその文字列を格納する。個人情報ＤＢは、ハードディスクにより構成する。図４において、医療情報サーバ１４が送った個人情報リスト４０が、上記個人情報の文字列に相当する。個人情報リスト４０は、ＧＷサーバ１１の個人情報ＤＢ１１ｇに格納される。

（ステップＳ３）
Ｓ３では、医用画像撮影装置３からＧＷサーバ１１の受信部１１ａが医用画像を受信する（Ｓ３）。図４の医用画像４１は、ＧＷサーバ１１が受信した医用画像である。

（ステップＳ４、５）
Ｓ４では、ＧＷサーバ１１の抽出部１１ｂが、受信した医用画像を展開する（Ｓ４）。受信した電子情報が電子メールなどのテキストデータである場合には、本ステップは省略する。

（ステップＳ５）
Ｓ５では、抽出部１１ｂは、Ｓ３で展開した医用画像に文字認識処理を行い、文字列を抽出する（Ｓ５）。

Ｓ４で医用画像４１を展開すると、医用画像４１の左上隅に、個人情報である患者氏名「ヒタチタロウ」やその他の文字列が含まれている。抽出部１１ｂは、ＯＣＲ処理を行い、医用画像４１に含まれる文字列４２を抽出する。

（ステップＳ６）
Ｓ６では、抽出部１１ｂが抽出した文字列が個人情報リスト４０にあるか否かを個人情報リストに含まれる文字列との比較結果に基づいて判定する（Ｓ６）。抽出部１１ｂは、文字列４２に含まれる各文字列が、個人情報リスト４１に含まれているか検索し、抽出部１１ｂが抽出した文字列が個人情報リスト４０にあれば、Ｓ７へ進む。なければ、個人情報を含まない医用画像であると判断してＳ８へ進む。

（ステップＳ７）
Ｓ７では、加工部１１ｃが、検索した文字列に相当する医用画像の領域にマスク処理を行う（Ｓ７）。加工部１１ｃは、医用画像４１の左隅にある「ヒタチタロウ」を読めないように、医用画像４１の「ヒタチタロウ」領域に医用画像４１の背景色と同色のマスク処理を行なう。医用画像４３は、マスク処理後の医用画像を示す。医用画像４３の左隅には、医用画像４１では表示されていた「ヒタチタロウ」の文字列が表示されていない。

（ステップＳ８）
Ｓ８では、Ｓ７で加工された医用画像４３、またはＳ６で個人情報が含まない医用画像と判断された医用画像をインターネット２０を介して他の医療機関Ｂへ送信する（Ｓ８）。

本実施の形態により、院内ＬＡＮ１７を介してＧＷサーバ１１が取得した医療情報や医用画像に個人情報が含まれていても、ＧＷサーバ１１が個人情報を読み取れないように医療情報や医用画像を加工する。これにより、院内ＬＡＮ１７に接続された各医用画像撮影装置、医用機器、医療情報サーバ、端末装置を改修することなく、ＧＷサーバを外部ネットワークとの間に設置するだけで、個人情報の漏洩を防止することができる。

上記実施形態では他の医療機関Ｂに医用画像や医療情報を送信する形態について説明したが、医用画像撮影装置などのメンテナンスや操作支援を行なうリモートサービスにおいても本発明を適用できる。

リモートサービスシステム１６は、医用画像撮影装置やＰＡＣＳ、ＲＩＳなどの病院情報システムを操作する際にトラブルが生じた場合に、トラブルが生じた画面の画面情報をインターネット２０を介して事業者が操作する事業者端末２２に送り、事業者端末２２にトラブルが生じた画面と同じ画面を表示させるシステムである。

この場合、受信部１１ａがトラブルが生じた画面の情報を受信し、抽出部１１ｂがその画面情報の中から文字列を抽出し、個人情報リスト４０と照合する。

抽出部１１ｂは、受信した画面の情報に基づいてＧＷサーバ１１上で画像化し、文字認識処理を行い文字列を抽出する。抽出した文字列を個人情報リスト４０と照合し、個人情報が含まれていたら加工部１１ｃが個人情報に該当する文字列を異なる文字列に置き換える。その後、送信部１１ｄが加工後の画面情報を事業者端末２２に送る。事業者端末２２では、加工後の画面情報に基づいてデスクトップ画面を生成する。その結果、院内ＬＡＮ１７に接続された機器のデスクトップ状況のうち、個人情報に該当する部分だけ他の文字列に変換して事業者端末２２にトラブルが生じている機器のデスクトップを再現することができる。

なお、上記実施形態では、予めＧＷサーバ１１が、医療情報サーバ１４から個人情報リスト４０を取得し、ＧＷサーバ１１において、医療情報や医用画像から抽出した文字列と個人情報リストとを照合したが、個人情報リストをＧＷサーバが取得せずに、抽出した文字列を医療情報サーバ１４に送信し、医療情報サーバにおいて個人情報リストとの照合処理を行い、照合結果をＧＷサーバ１１が取得するように構成しても良い。そして、ＧＷサーバ１１は、その照合結果により加工処理を行なうか否かを判断しても良い。

また、上記実施形態では、個人情報として文字列を用いたが、電子メールなどの電子情報に含まれる顔写真なども秘匿対象となる個人情報にしてもよい。この場合、抽出部１１ｂが電子情報を展開し、顔認識処理を行なう。そして、医療従事者の顔写真データを格納した人事サーバなどにアクセスし、抽出した顔データと、人事サーバに格納された顔写真データとを比較し、その結果に基づいて顔写真が読めなくなるような加工処理を行なう。これにより、医療従事者のプライバシーに関わる写真が漏洩することを防止する。

上記実施形態では病院システムに本発明の情報管理システムを適用したが、本発明は病院システムだけでなく、検体の検査機関に備えられた検査システムや検診センターシステムにも適用することができる。

＜第二実施形態＞
第二実施形態は、ＧＷサーバ１１が個人情報を含む医用画像や医療情報を送信した機器や送信者毎に、その送信した回数を計測し、レポートを作成して出力する実施形態である。図３に基づいて、第二実施形態を説明する。図３のステップＳ９及びＳ１０が本実施形態に相当する。

（ステップＳ９）
Ｓ９では、ＧＷサーバ１１の計測部１１ｅが、個人情報を含む医療情報や医用画像を送信した回数を計測する（Ｓ９）。

受信部１１ａは、医療情報や医用画像とともに、その医療情報や医用画像を送信した送信機器や送信者を特定する識別情報を受信する。送信機器を特定するための識別情報として、医療情報や医用画像を送信した送信機器（医用画像撮影装置、医用機器、医療情報サーバ、端末装置）のＭＡＣアドレスを用いてもよい。また、送信者を識別する情報として、予め医療情報や医用画像に送信者氏名を添付して送信させ、送信者氏名を識別情報としても用いてもよい。

計測部１１ｅは、抽出部１１ｂが個人情報を抽出した場合、又は加工部１１ｃが医用画像や医用情報の加工処理を行った場合に、その医療情報や医用画像とともに受信した識別情報に基づいて、送信機器毎または送信者毎に個人情報を抽出した回数又は加工処理を行った回数を計測する。

（ステップＳ１０）
Ｓ１０では、レポート部１１ｆが、Ｓ９におけて計測部１１ｃが計測した回数に基づいて、その計測した回数を記載したレポートを作成し、出力する（Ｓ１０）。レポートは、紙媒体で出力してもよいし、院内ＬＡＮ１７を介して電子メールで配信してもよい。レポートは、定期的、例えば毎月１回に出力してもよい。

本実施の形態により、個人情報の流出状況をモニタし、送信機器や送信者を特定することによりどの部門から個人情報の流出が多いかのレポートを作成することができる。その結果、セキュリティーホールとなる部門に注意を促し、個人情報保護に関する意識の向上に資することができる。

個人情報保護システムの構成を示す全体構成図 個人情報保護プログラムを示すブロック図 個人情報保護システムの処理の流れを示すシーケンス図 図３の各ステップの処理内容を示す模式図

符号の説明

１０…個人情報保護システム、１１…ＧＷサーバ、１２…医用画像撮影装置、１３…医療機器、１４…医療情報サーバ、１５…端末装置、１６…リモートサービスシステム、１７…院内ＬＡＮ、２０…インターネット、２１…Ｂ医療施設ネットワーク、２２…事業者端末

Claims (5)

1. 医用画像撮影装置、医療機器、医療情報サーバ、及び端末装置のうちの少なくとも一つが接続された内部ネットワークと外部ネットワークとを情報管理装置を介して接続する情報管理システムであって、
   前記情報管理装置は、
   前記医用画像撮影装置、医療機器、医療情報サーバ、及び端末装置から医用画像又は医療情報を受信する受信手段と、
   前記医用画像又は医療情報から秘匿対象となる個人情報を抽出する抽出手段と、
   前記抽出した個人情報の内容が特定できないように前記医用画像又は医療情報を加工する加工手段と、
   前記加工手段により加工された医用画像又は医療情報を前記外部ネットワークに送信する送信手段と、を備える、
   ことを特徴とする情報管理システム。
2. 前記加工手段は、前記抽出した個人情報の内容を読み取れないようにするためのマスク処理、又は前記個人情報をその個人情報の内容とは異なるダミー情報に置き換える処理、の少なくとも一つの処理を行なう、
   ことを特徴とする請求項１に記載の情報管理システム。
3. 前記医療情報サーバは、秘匿対象となる個人情報を格納し、
   前記抽出手段は、前記医用画像又は医療情報から抽出した情報と前記医療情報サーバに格納された個人情報との比較結果に基づいて、前記医用画像又は医療情報から抽出した情報が個人情報であるか否かを判定する、
   ことを特徴とする請求項１又は２に記載の情報管理システム。
4. 前記受信手段は、医用画像又は医療情報と共にその医用画像又は医療情報を送信した前記医用画像撮影装置、医療機器、医療情報サーバ、及び端末装置、又は送信者を特定するための識別情報を受信し、
   前記抽出手段が前記医用画像又は医療情報から個人情報を抽出した場合に、その個人情報を抽出した医用画像又は医療情報とともに受信した前記識別情報に基づいて、前記個人情報が含まれる医用画像又は医療情報を送信した前記医用画像撮影装置、医療機器、医療情報サーバ、及び端末装置、又は前記送信者を特定し、各医用画像撮影装置、医療機器、医療情報サーバ、端末装置、又は送信者が個人情報を含む医用画像又は医療情報を送信した回数を計測する計測手段と、
   前記計測手段が計測した結果を記載したレポートを出力するレポート手段と、を更に備える、
   ことを特徴とする請求項１乃至３のいずれか一つに記載の情報管理システム。
5. 医用画像撮影装置、医療機器、医療情報サーバ、及び端末装置のうちの少なくとも一つが接続された内部ネットワークを外部ネットワークに接続する情報管理装置であって、
   前記医用画像撮影装置、医療機器、医療情報サーバ又は端末装置から医用画像又は医療情報を受信する受信手段と、
   前記医用画像又は医療情報に含まれる個人情報を抽出する抽出手段と、
   前記抽出した個人情報の内容が特定できないように前記医用画像又は医療情報を加工する加工手段と、
   前記加工手段により加工された医用画像又は医療情報を前記外部ネットワークに送信する送信手段と、を備える、
   ことを特徴とする情報管理装置。
   

Images