JP2007310779A - 情報管理システム、情報管理方法及びデータベースのデータ構造 - Google Patents

Abstract

【課題】異なる管理対象が相互に関連する処理の履歴を管理するシステムにおいて、プライバシ情報の漏洩を防止する。
【解決手段】診断治療剤を識別するための診断治療剤ＩＤ情報を秘匿化した秘匿化診断治療剤ＩＤ情報を格納した無線タグ装置１１０を、当該診断治療剤に取り付けておき、患者を識別するための患者ＩＤ情報等を出力可能なバーコード提示部１２０を、当該患者に取り付けておく。ここで、無線タグ装置１１０内の秘匿化診断治療剤ＩＤ情報は、任意の設定条件によって定まる契機で更新される。そして、診断治療剤を用いた患者への医療行為が行われた際、当該診断治療剤に取り付けられている無線タグ装置１１０から読み出した秘匿化診断治療剤ＩＤ情報と、当該患者に取り付けられているバーコード提示部１２０から読み出した患者ＩＤ情報等を用い、治療履歴を示すデータベースを構築する。
【選択図】図６

Description

本発明は、情報セキュリティ技術の応用分野に関し、特に、異なる管理対象が相互に関連する処理の履歴を管理するシステムでのプライバシ漏洩を防止する技術に関する。

無線タグ技術は主に物流管理、物品管理等の分野において注目されているが、近年この技術を医療分野ヘ適用する方法が検討されている（例えば、非特許文献１参照）。特に、ここ数年頻発している医療過誤を防ぐために、様々な工夫が行われており（例えば、非特許文献２参照）、ここにも無線タグを利用する方法が考えられている。このような方法の１つに、患者の情報が格納された無線タグを当該患者に取り付け、看護師や診断治療剤の情報が格納された無線タグを当該看護師や診断治療剤容器に取り付ける方法がある（従来法１）。この方法では、投薬時に、看護師がリーダ装置を用いて各無線タグ装置から各情報を読み取り、読み取った情報を照合することにより、その患者に対し、担当者及び投与する薬剤が正しいか否かを確認する。

また、投薬等の医療行為の記録を残すため、デー夕ベース等に記録することが必要となるが、記録する情報は患者のプライバシに直接かかわる情報であるため、慎重に取り扱わなければならない。プライバシを考慮しつつ情報をデー夕ベースヘ記録する従来方法としては、例えば、記録する情報を複数のデー夕ベースに分散し、それぞれに格納された情報をデータＩＤによって管理することで、 デー夕ベースから情報が漏洩した場合でも被害を少なくする方法がある（従来法２）。
板垣朝子，"5th Floor医療とコンピューター：人のからだに入り込むコンピューター，" TDK Techno Magazine， ［online］ ，２００５年８月， [２００６年５月１５日検索] ，インターネット＜http://www.tdk.co.jp/techmag/salon/ubiquitous/ubi050826a.htm＞ 小塚数人，"解説ますます広がる"電子カルテ"［II・完］−大学病院における電子カルテ導入・運用における課題−"，信学誌Vol.88，No.2，2005

しかし、従来の技術では、無線タグのメモリに格納された情報から、患者のプライバシが侵害されてしまう恐れがある。
一般に、無線タグに格納された情報は、リーダ装置を持っているものであれば誰でも読み取ることができる。例えば、従来法１の場合、第三者がリーダ装置を用い、投薬が為されている患者やその診断治療剤容器等にそれぞれ取り付けられている無線タグ装置から各情報を読み取ることもできる。この場合、読み取られた情報から、その患者の病状等のプライバシ情報が当該第三者に知られてしまう恐れがある。

これに対し、例えば、無線タグにはプライバシ情報に対応するＩＤ情報のみを格納し、プライバシ情報をデータベースに格納することで、プライバシ情報が無線タグから直接第三者に読み取られてしまうことを防ぐ技術も存在する（従来法３）。しかし、この従来技術では、事前に、攻撃者がＩＤ情報とそのＩＤ情報を読み取った無線タグが取り付けられているものを示す情報とを関連つけたリストを生成しておき、この攻撃者が再度何処かでＩＤ情報を読み取った際、生成しておいたリストを用い、読み取ったＩＤ情報が如何なるものに対応するものを特定する攻撃（ホットリスト攻撃（hotlisting））を防ぐことはできない。なお、ホットリスト攻撃については、例えば、「D. Molnar, D. Wagner, "Privacy and Security in Library RFID Issues, Practices, and Architectures," the 11^th ACM conference on Computer and communications security, Washington DC, pp.210-219, http://www.cs.berkeley.edu/~daw/papers/librfid-ccs04.pdf, 2004」等参照。

また、例えば、従来データベースに医療行為に関する情報（投薬であれば、患者名、病室番号、担当医・看護師名、薬品名・投与量、投与方法、投与時間等）を記録管理する場合、データベースからプライバシ情報が漏洩する恐れがある。例えば、従来法２の場合、データベースに記録された情報が漏洩すると、容易に分散された情報の関連付けができてしまうし、従来法３の場合には、データベースに記録された情報が漏洩した時点でプライバシ情報が特定されてしまう。
このような問題は、無線タグ技術を医療分野ヘ適用する場合にのみ生じる問題ではなく、異なる管理対象が相互に関連する処理の履歴を管理するシステムにおいて同様に発生する問題である。

本発明はこのような点に鑑みてなされたものであり、異なる管理対象が相互に関連する処理の履歴を管理するシステムにおいて、プライバシ情報の漏洩を防止することが可能な技術を提供することを目的とする。

本発明では上記課題を解決するために、第１管理対象を識別するための第１ＩＤ情報を秘匿化した第１秘匿化ＩＤ情報が格納された第１秘匿化ＩＤメモリを具備する第１識別装置を、当該第１管理対象に取り付けておき、第２管理対象を識別するための第２ＩＤ情報、又は、当該第２ＩＤ情報を秘匿化した第２秘匿化ＩＤ情報を出力可能な第２識別装置を、当該第２管理対象に取り付けておく。ここで、第１秘匿化ＩＤメモリに格納された第１秘匿化ＩＤ情報は、任意の設定条件によって定まる契機で、当該第１秘匿化ＩＤ情報との関連性を見出すことが困難な他の第１秘匿化ＩＤ情報に更新される。そして、第１管理対象と第２管理対象とが相互に関連する処理が行われた際、（ａ）読取端末装置の読取受信部が、第１識別装置の第１送信部から無線送信された第１秘匿化ＩＤ情報を受信する過程と、（ｂ）読取端末装置の読取入力部が、第２識別装置から出力された第２ＩＤ情報又は第２秘匿化ＩＤ情報の入力を受け付ける過程と、（ｃ）読取端末装置の読取情報送信部が、第１秘匿化ＩＤ情報又は当該第１秘匿化ＩＤ情報に対応する第１ＩＤ情報と、第２ＩＤ情報又は第２秘匿化ＩＤ情報とを関連付けた処理履歴情報を送信する過程と、（ｄ）処理履歴情報に対応する、第１秘匿化ＩＤ情報又は第１ＩＤ情報と、第２ＩＤ情報又は第２秘匿化ＩＤ情報とを第１データベース装置に関連付けて格納する過程とを実行する。なお、「処理履歴情報」を構成する第２ＩＤ情報は、読取入力部に入力された第２ＩＤ情報であっても良いし、読取入力部に入力された第２秘匿化ＩＤ情報を復元することにより得られたものであってもよい。

ここで、第１秘匿化ＩＤメモリに格納される第１秘匿化ＩＤ情報は、上述の契機で、当該第１秘匿化ＩＤ情報との関連性を見出すことが困難な他の第１秘匿化ＩＤ情報に更新される。そのため、攻撃者が、ある時点で第１識別装置から読み取った第１秘匿化ＩＤ情報と、当該第１識別装置が取り付けられた第１管理対象との関係をリスト化したとしても、このリストを用いた第１管理対象に対するホットリスト攻撃を行うことはできない。
また、本発明において、第２識別装置が、第２秘匿化ＩＤ情報を格納する第２秘匿化ＩＤメモリと、当該第２秘匿化ＩＤ情報を無線送信する第２送信部とを具備し、読取入力部が、第２識別装置から無線送信された第２秘匿化ＩＤ情報を受信することとしてもよい。そして、この場合、第２秘匿化ＩＤメモリに格納された第２秘匿化ＩＤ情報は、任意の設定条件によって定まる契機で、当該第２秘匿化ＩＤ情報との関連性を見出すことが困難な他の第２秘匿化ＩＤ情報に更新される。これにより、第１管理対象及び第２管理対象に対するホットリスト攻撃をより強固に防止することができる。

また、本発明において、好ましくは、第１データベース装置は、処理履歴情報に対応する第１ＩＤ情報と第２秘匿化ＩＤ情報とを関連付けて格納して、第１ＩＤ情報を検索キーとしたデータベースを構築するか、或いは、処理履歴情報に対応する第１秘匿化ＩＤ情報と第２ＩＤ情報とを関連付けて格納して、第２ＩＤ情報を検索キーとしたデータベースを構築する。

ここで、第１データベース装置では、第１ＩＤ情報及び第２ＩＤ情報の何れか一方を秘匿化したデータベースを構築する。そのため、第１データベース装置に格納された情報が漏洩しても、第１管理対象と第２管理対象とが相互に関連する処理の履歴が第三者に知られることはない。また、第１ＩＤ情報及び第２ＩＤ情報の何れか一方のみを秘匿化し、秘匿化されていないほうの情報を検索キーとしてデータベースを構築するため、データベースの検索処理を容易に行うことができる。すなわち、第１秘匿化ＩＤ情報と第２秘匿化ＩＤ情報とを関連付けてデータベースを構成してしまうと、検索キーとなる第１秘匿化ＩＤ情報と第２秘匿化ＩＤ情報から第１ＩＤ情報又は第２ＩＤ情報を逐一復元し、検索を行わなければならない。第１秘匿化ＩＤ情報と第２秘匿化ＩＤ情報とは、秘匿化され、なおかつ、上述のように更新される情報であるため、第１秘匿化ＩＤ情報又は第２秘匿化ＩＤ情報をそのままの状態で検索キーとして利用することはできないからである。

ここで、より好ましくは、第１データベース装置が第１ＩＤ情報を検索キーとしたデータベースを構築する場合、処理履歴情報に対応する第１秘匿化ＩＤ情報と第２ＩＤ情報とを関連付けて格納して、第２ＩＤ情報を検索キーとしたデータベースを構築し、第１データベース装置が第２ＩＤ情報を検索キーとしたデータベースを構築する場合、処理履歴情報に対応する第１ＩＤ情報と第２秘匿化ＩＤ情報とを関連付けて格納して、第１ＩＤ情報を検索キーとしたデータベースを構築する、第２データベース装置をさらに有する。

このように、検索キーとなるＩＤ情報が異なる２つのデータベースを設けた場合、第１ＩＤ情報と第２ＩＤ情報の何れか一方のみを知っていれば、第１管理対象と第２管理対象とが相互に関連する処理の履歴を検索することができる。また、第１データベースと第２データベースとの情報が漏洩しても、各処理に対応する第１ＩＤ情報及び第２ＩＤ情報の組合せの情報が漏洩することはない。

本発明では、異なる管理対象が相互に関連する処理の履歴を管理するシステムにおいてプライバシ情報の漏洩を防止することができる。

以下、本発明を実施するための最良の形態を図面を参照して説明する。
前述のように、本発明は、異なる管理対象が相互に関連する処理の履歴を管理するシステム一般に適用可能なものである。しかし、以下の各実施の形態では、説明の便宜上、医療行為処理の履歴を管理するシステムに本発明を適用した場合を例にとって説明する。すなわち、各実施の形態における「第１管理対象」は薬品等の「診断治療剤」であり、「第２管理対象」は「患者」であり、「異なる管理対象が相互に関連する処理」は、「診断治療剤」を用いた「患者」への投薬行為である。

〔第１の実施の形態〕
次に、本発明における第１の実施の形態について説明する。
本形態は、「第１識別装置」を「無線タグ装置」とし、「第２識別装置」を「バーコード提示部」とし、「第１ＩＤ情報」を「診断治療剤ＩＤ情報」とし、「第２ＩＤ情報」を「患者ＩＤ情報」として本発明を適用し、投薬行為が行われた「診断治療剤」及び「患者」に対応する「診断治療剤ＩＤ情報」及び「患者ＩＤ情報」を関連付けた履歴情報をデータベース装置に格納する例である。なお、無線タグ装置については、例えば「EPC global, Inc.、”EPCglobal”、インターネット＜http://www.epcglobalinc.org/＞」等参照。

＜構成＞
図１は、第１の実施の形態の情報管理システム１００の全体構成を例示した概念図である。
図１に例示するように、本形態の情報管理システム１００は、無線タグ装置１１０（「第１識別装置」に相当）と、バーコード提示部１２０（「第２識別装置」に相当）と、タグリーダライタ装置１３１（「読取受信部」に相当）と、バーコードリーダ装置１３２（「読取入力部」に相当）を具備する読取端末装置１３０と、セキュリティサーバ装置１４０、データベース装置１５０と、管理装置１６０とを有する。本形態の例の場合、無線タグ装置１１０は各診断治療剤４の容器に取り付けられ、バーコード提示部１２０はリストバンド２によって患者１に取り付けられる。また、各診断治療剤４は通常は薬棚５に収納され、患者１への投薬を行う際に患者１の近傍に運ばれる。また、読取端末装置１３０とセキュリティサーバ装置１４０とデータベース装置１５０と管理装置１６０とは、ＬＡＮ（Local Area Network）等のネットワーク１７０を通じ、通信可能に構成されている。

図２は、第１の実施の形態における無線タグ装置１１０の構成を例示したブロック図である。
図２に例示するように、本形態の無線タグ装置１１０は、メモリ１１１（第１秘匿化ＩＤメモリ）と、インタフェース１１２（「第１送信部」に相当）と、制御部１１３とを有している。ここで、メモリ１１１は、診断治療剤（「第１管理対象」に相当）を識別するための診断治療剤ＩＤ情報（「第１ＩＤ情報」に相当）を秘匿化した秘匿化診断治療剤ＩＤ情報１１１ｂａ（「第１秘匿化ＩＤ情報」に相当）を格納する記憶領域１１１ｂと、秘匿化診断治療剤ＩＤ情報１１１ｂａの生成や診断治療剤ＩＤ情報の復元に必要な秘密情報である「鍵」に対応する鍵ＩＤ情報１１１ａａを格納する記憶領域１１１ａとを有している。なお、メモリ１１１は、例えば、ＥＥＰＲＯＭ（Electronically Erasable and Programmable Read Only Memory）、ＦｅＲＡＭ（Ferroelectric Random Access Memory）、フラッシュメモリ、ＮＶ（Nonvolatile）ＲＡＭ等の読み書き可能なメモリによって構成できる。また、インタフェース１１２は、例えば、符号化・復号化回路、変・復調回路、アンテナなどを有し、長波帯やＩＳＭ帯（Industry Science Medical band）の周波数を用いて信号の送受信を行うハードウェアである。また、制御部１１３は、無線タグ装置１１０の処理を制御する集積回路等である。

図３は、第１の実施の形態における読取端末装置１３０の構成を例示したブロック図である。
図３に例示するように、本形態の読取端末装置１３０は、タグリーダライタ装置１３１と、バーコードリーダ装置１３２と、ＣＰＵ（Central Processing Unit）１３３と、ＲＯＭ１３４と、ＲＡＭ１３５と、液晶表示部等の表示部１３６と、ネットワークカード等の通信部１３７（「読取情報送信部」に相当）と、内部時計１３８と、これらを通信可能に接続するバス１３９とを有している。なお、ＲＡＭ１３５に格納されるデータや、ＣＰＵ１３３に読み込まれるデータの詳細については後述する。

図４は、第１の実施の形態におけるセキュリティサーバ装置１４０の構成を例示したブロック図である。
図４に例示するように、本形態のセキュリティサーバ装置１４０は、ＣＰＵ１４１と、ＲＡＭ１４２と、ＲＯＭ１４３と、ハードディスク装置等の外部記憶装置１４４と、通信部１４５と、これらを通信可能に接続するバス１４６とを有している。また、外部記憶装置１４４は、データの読み書きを行う読み書き部１４４ａと各種データが格納される記憶部１４４ｂとを有している。なお、記憶部１４４ｂに格納されるデータや、ＣＰＵ１４１に読み込まれるデータの詳細については後述する。

図５は、第１の実施の形態におけるデータベース装置１５０の構成を例示したブロック図である。
図５に例示するように、本形態のデータベース装置１５０は、ＣＰＵ１５１と、ＲＡＭ１５２と、ＲＯＭ１５３と、外部記憶装置１５４と、通信部１５５と、これらを通信可能に接続するバス１５６とを有している。また、外部記憶装置１５４は、データの読み書きを行う読み書き部１５４ａと各種データが格納される記憶部１５４ｂとを有している。なお、記憶部１５４ｂに格納されるデータや、ＣＰＵ１５１に読み込まれるデータの詳細については後述する。

＜処理＞
次に、情報管理システム１００の処理について説明する。
［前提・前処理］
患者１及び診断治療剤４には、それぞれを識別するための個別のＩＤが与えられており、それぞれ患者ＩＤ及び診断治療剤ＩＤと呼ぶことにする。また、患者ＩＤを特定するための情報を患者ＩＤ情報と呼び、診断治療剤ＩＤを特定するための情報を診断治療剤ＩＤ情報と呼ぶことにする。各患者１と各診断治療剤ＩＤとの対応関係、及び、各診断治療剤４と各診断治療剤ＩＤ情報との対応関係は、例えば、テーブルとして管理装置１６０内のメモリに格納される。

また、本形態の場合、各患者１にはそれそれリストバンド２を携帯させる。このリストバンド２には、それを携帯する患者１の患者ＩＤ情報を示すバーコードを表示するバーコード提示部１２０が取り付けられている。そして、このバーコードによって患者ＩＤ情報を出力する構成になっている。なお、本形態では、バーコードによって患者ＩＤ情報を出力する構成であるが、２次元バーコード表示や文字表示等によって患者ＩＤ情報を出力する構成であってもよい。また、患者ＩＤ情報を表示するバーコード等は、印刷等によって固定的に形成されたものであってもよいし、液晶ディスプレイ等を用いて表示内容を変更できるものであってもよい。また、リストバンド２を用いてバーコード提示部１２０を患者１に取り付けるのではなく、バーコード提示部１２０を付した名札を患者１に取り付けることとしてもよく、患者１のベッドにバーコード提示部１２０を取り付けてもよい。

また、本形態の場合、各診断治療剤４の容器には、それぞれ、無線タグ装置１１０が取り付けられる。無線タグ装置１１０のメモリ１１１の記憶領域１１１ｂには、その無線タグ装置１１０が取り付けられる診断治療剤４に対応する診断治療剤ＩＤ情報を秘匿化した秘匿化診断治療剤ＩＤ情報１１１ｂが格納される（図２参照）。ここで、秘匿化診断治療剤ＩＤ情報１１１ｂは、以下の性質をもつ情報である。
（性質１）所定の秘密情報を有する者のみが診断治療剤ＩＤ情報を復元でき、この秘密情報を有しないものは、秘匿化診断治療剤ＩＤ情報から診断治療剤ＩＤ情報を復元することは困難である。
（性質２）同一の診断治療剤ＩＤ情報に対し、複数種類の秘匿化診断治療剤ＩＤ情報を生成した場合、所定の秘密情報を有しない者は、生成された複数の秘匿化診断治療剤ＩＤ情報が、同一の診断治療剤ＩＤ情報に対応するか否かを判断することが困難である。

このような（性質１）及び（性質２）を満たす秘匿化診断治療剤ＩＤ情報１１１ｂの生成方法には特に制限はないが、例えば、参考文献１，２に記載された方法を用いることができる。
＜参考文献１＞特開２００４−３１８４７８号公報
＜参考文献２＞木下真吾他，“ローコストRFIDプライバシ保護方法，”情報学論 vol.45,no.8
＜参考文献３＞Philippe Golle, Markus Jakobsson, Ari Juels, and Paul Syverson, "Universal re-encryption for mixnets," In Proceedings of the 2004 RSA Conference, Cryptographer's track, San Francisco, USA, February 2004.等参照）＞

本形態では、一例として、診断治療剤ＩＤ情報を暗号化したものを秘匿化診断治療剤ＩＤ情報１１１ｂとする。各診断治療剤ＩＤ情報の暗号化は、例えば、前処理において、セキュリティ装置が行う。そして本形態の場合、各診断治療剤ＩＤ情報の暗号化に用いた暗号鍵とそれぞれに対応する復号鍵とは、鍵ＩＤ情報に関連付けられ、セキュリティサーバ装置１４０の外部記憶装置１４４の記憶部１４４ｂに、鍵テーブル１４４ｂａとして格納される（図４参照）。なお、鍵テーブル１４４ｂａの情報は安全に管理され、病院関係者等、許可を得たもののみが読み出すことができるものとする。また、各無線タグ装置１１０のメモリ１１１の記憶領域１１１ａには、それぞれの記憶領域１１１ｂに格納された秘匿化診断治療剤ＩＤ情報１１１ｂに対応する鍵ＩＤ情報１１１ａａが格納される（図２参照）。

その他の前処理として、読取端末装置１３０のＲＡＭ１３５には、タグリーダライタ装置１３１の処理を制御するための制御プログラム１３５ａが格納される。具体的には、例えば、読取端末装置１３０を起動させた際に、ＲＯＭ１３４からＲＡＭ１３５に制御プログラム１３５ａが読み込まれる。また、セキュリティサーバ装置１４０の外部記憶装置１４４の記憶部１４４ｂには、秘匿化診断治療剤ＩＤ情報を再秘匿化（本形態の例では、再暗号化）するためのＩＤ情報再秘匿化プログラム１４４ｂｂと、秘匿化診断治療剤ＩＤ情報から診断治療剤ＩＤ情報を復元（本形態の例では、復号）するためのＩＤ情報復元プログラム１４４ｂｃと、セキュリティサーバ装置１４０の処理を制御するための制御プログラム１４４ｂｄが格納される。さらに、データベース装置１５０の外部記憶装置１５４の記憶部１５４ｂには、データベース装置１５０の処理を制御するための制御プログラム１５４ｂｂが格納される。

［投薬処理］
次に、投薬行為に伴う処理（「投薬処理」と呼ぶ）を説明する。
本形態の場合、担当医の医療指示（投薬日時、担当医、担当看護師、対象患者、病棟・病室・ベッド番号、投与薬品名、投薬量、投薬方法等の情報が含まれる）は、電子カルテとして管理装置１６０内のメモリに格納される。なお、電子カルテシステムについては、例えば、非特許文献２に記載されているものを用いる。
看護師は、患者に投薬行為を行う際、例えば、この管理装置１６０の画面に表示された医療指示に従い、投薬を行う診断治療剤４を薬棚５から取り出す。なお、このとき、タグリーダライタ装置１３１を用い、診断治療剤４に付随する無線タグ装置１１０に格納されている秘匿化診断治療剤ＩＤ情報１１１ｂを読み込み、取り出す診断治療剤が間違っていないかどうかチェックする構成であってもよい。

この場合、例えば、読取端末装置１３０が、タグリーダライタ装置１３１を用い、秘匿化診断治療剤ＩＤ情報とそれに対応する診断治療剤ＩＤ情報とを無線タグ装置１１０のメモリ１１１から読み込む。読取端末装置１３０は、これらの秘匿化診断治療剤ＩＤ情報と診断治療剤ＩＤ情報とを、ネットワーク１７０を通じてセキュリティサーバ装置１４０に送信し、秘匿化診断治療剤ＩＤ情報の復号を依頼する。セキュリティサーバ装置１４０は、送られた診断治療剤ＩＤに対応する復号鍵を記憶部１４４ｂの鍵テーブル１４４ｂａから読み込み、それを用い、送られた秘匿化診断治療剤ＩＤ情報を復号して診断治療剤ＩＤ情報を生成し、ネットワーク１７０を通じて読取端末装置１３０に返信する（なお、秘匿化診断治療剤ＩＤ情報の復号処理は、後述の投薬処理後（ステップＳ５）にも行われる。秘匿化診断治療剤ＩＤ情報の復号処理の詳細は、その際に説明する。）。読取端末装置１３０は、さらに、ネットワーク１７０を通じて管理装置１６０から医療指示が示す投薬すべき診断治療剤に対応する診断治療剤ＩＤ情報を受信し、これらをセキュリティサーバ装置１４０から受け取った診断治療剤ＩＤ情報と比較する。そして、セキュリティサーバ装置１４０から受け取った診断治療剤ＩＤ情報が、管理装置１６０から受け取った診断治療剤ＩＤ情報に含まれなかった場合には、例えば、読取端末装置１３０の表示部１３６からエラー表示がなされる。これにより、看護師３は、薬棚５から取り出す診断治療剤が間違っていないかどうかチェックすることができる。

また、この際、読取端末装置１３０が、ネットワーク１７０を通じ、セキュリティサーバ装置１４０に秘匿化診断治療剤ＩＤ情報の再秘匿化を依頼し、セキュリティサーバ装置１４０で、元の秘匿化診断治療剤ＩＤ情報との関連性を見出すことが困難な他の秘匿化診断治療剤ＩＤ情報に再秘匿化し、再秘匿化された秘匿化診断治療剤ＩＤ情報とそれに対応する鍵ＩＤ情報とを、該当する無線タグ装置１１０のメモリ１１１に上書き保存する構成であってもよい（なお、このような秘匿化診断治療剤ＩＤ情報の更新処理は、後述の投薬処理後にも行われる（後述のステップＳ９〜Ｓ１２）。秘匿化診断治療剤ＩＤ情報の更新処理の詳細は、その際に説明する。）。これにより、攻撃者が、事前に、薬棚５に収納されている各診断治療剤４の容器に取り付けられた無線タグ装置１１０から秘匿化診断治療剤ＩＤ情報を読み取り、それらと、診断治療剤４の容器の表示から読み取った診断治療剤を特定する情報（診断治療剤名等）とからなるリストを生成し、そのリストを用いて診断治療剤に関する情報を権限無く取得するホットリスト攻撃を防止できる。なぜなら、投薬処理前に無線タグ装置１１０の秘匿化診断治療剤ＩＤ情報を更新することにより、患者１への診断治療剤４の投薬処理時には、事前に生成されたリストが役に立たなくなっている（秘匿化診断治療剤ＩＤ情報と診断治療剤との対応関係を示さない）からである。

次に、看護師３は、医療指示通りに投薬処理を行うため、上述のように薬棚５から取り出した各診断治療剤４をワゴン等に載せ、医療指示が示す患者のいるベッドまで持っていく。図６は、投薬時における情報管理システム１００の処理を説明するためのシーケンス図である。以下、投薬時における情報管理システム１００の処理を説明する。
まず、看護師３は、投薬に用いる診断治療剤４の近傍にタグリーダライタ装置１３１を配置した状態で読取端末装置１３０を操作し、読取端末装置１３０に読み取り指示を与える。これに対し、読取端末装置１３０は、制御プログラム１３５ａが読み込まれたＣＰＵ１３３の制御のもと、タグリーダライタ装置１３１がＩＤ読取要求を出力する（ステップＳ１）。このＩＤ読取要求は、無線タグ装置１１０（投薬に用いる診断治療剤４の容器に取り付けられた無線タグ装置）のインタフェース１１２で受信される。ＩＤ読取要求を受信したことを検知した無線タグ装置１１０の制御部１１３は、メモリ１１１の記憶領域１１１ａ，１１１ｂにそれぞれ格納されている鍵ＩＤ情報１１１ａ及び秘匿化診断治療剤ＩＤ情報１１１ｂａを読み出し、これらをインタフェース１２２から送信させる（ステップＳ２）。これらは、読取端末装置１３０のタグリーダライタ装置１３１で受信され、鍵ＩＤ情報１３５ｃ及び秘匿化診断治療剤ＩＤ情報１３５ｄとしてＲＡＭ１３５に格納される。次に、看護師３がバーコードリーダ装置１３２を操作し、バーコードリーダ装置１３２が、投薬を行う患者１の取り付けられているバーコード提示部１２０から出力されたバーコード情報（「患者ＩＤ情報」に相当）を読み込む（ステップＳ３）。読み込まれた患者ＩＤ情報は、患者ＩＤ情報１３５ｅとしてＲＡＭ１３５に格納される。

なお、投薬等の医療行為は、複数の患者に連続して行うことが多く、ワゴンには複数の患者向けに複数の診断治療剤が載ることが多々ある。よって患者の取り違え等の医療過誤を防ぐため、投薬直前にも秘匿化診断治療剤ＩＤ情報と患者ＩＤ情報とを医療指示と照合することが望ましい。具体的には、読取端末装置１３０が、秘匿化診断治療剤ＩＤ情報の復号をセキュリティサーバ装置１４０に実行させて診断治療剤ＩＤ情報を取得し、さらに、管理装置１６０から医療指示が示す診断治療剤ＩＤ情報、患者ＩＤ情報とを取得し、これらを比較することによって、投薬を行おうとする診断治療剤４と患者１とが医療指示に適合しているか否かを検証する。なお、秘匿化診断治療剤ＩＤ情報の復号をセキュリティサーバ装置１４０に実行させて診断治療剤ＩＤ情報を取得する処理については、後述のステップＳ４〜６で詳しく説明する。

投薬等の医療行為が終了した後、医療行為の履歴を記録するため、看護師３は読取端末装置１３０を操作し、医療行為の履歴のデータベース登録を行う旨の指示を与える。これに対し、制御プログラム１３５ａが読み込まれたＣＰＵ１３３は、ＲＡＭ１３５から、鍵ＩＤ情報１３５ｃ及び秘匿化診断治療ＩＤ情報１３５ｄを読み込み、これらを通信部１３７からネットワーク１７０を介し、セキュリティサーバ装置１４０宛に送信し、秘匿化診断治療ＩＤ情報１３５ｄの復号を要求する（ステップＳ４）。この要求情報は、セキュリティサーバ装置１４０（図４）の通信部１４５で受信され、ＲＡＭ１４２に格納される。次に、ＩＤ情報復元プログラム１４４ｂｃが読み込まれたＣＰＵ１４１は、ＲＡＭ１４２から鍵ＩＤ情報１３５ｃを読み込み、これを用い、外部記憶装置１４４の記憶部１４４ｂに格納された鍵テーブル１４４ｂａを検索し、鍵ＩＤ情報１３５ｃに対応する復号鍵を読み出す。次に、このＣＰＵ１４１は、ＲＡＭ１４２から読み出した秘匿化診断治療ＩＤ情報１３５ｄをこの復号鍵を用いて復号し、診断治療ＩＤ情報を得る（ステップＳ５）。得られた診断治療ＩＤ情報は、通信部１４５から読取端末装置１３０宛にネットワーク１７０を通じて送信される（ステップＳ６）。この診断治療ＩＤ情報は、読取端末装置１３０の通信部１３７で受信され、診断治療ＩＤ情報１３５ｆとしてＲＡＭ１３５に格納される。

次に、制御プログラム１３５ａが読み込まれたＣＰＵ１３３は、ＲＡＭ１３５から読み出した患者ＩＤ情報１３５ｅと診断治療ＩＤ情報１３５ｆとを関連付けた処理履歴情報を生成する。なお、これらの情報に当該投薬行為に関連する情報（例えば、内部時計１３８から読み込んだ投薬日時やＲＡＭ１３５に格納しておいた担当看護師３の氏名等）を関連付けたものを処理履歴情報としてもよい。生成された処理履歴情報は、通信部１３７から、データベース装置１５０宛にネットワーク１７０を通じて送信される（ステップＳ７）。

処理履歴情報は、データベース装置１５０の通信部１５５で受信され、ＲＡＭ１５２に格納される。制御プログラム１５４ｂｂが読み込まれたＣＰＵ１５１は、このＲＡＭ１５２に格納された処理履歴情報を、治療履歴データベース（ＤＢ）１５４ｂａの１レコードとして、外部記憶装置１５４の記憶部１５４ｂに格納する（ステップＳ８）。図５の治療履歴ＤＢ１５４ｂａは、「患者ＩＤ情報」と「秘匿化診断治療ＩＤ情報」と「担当看護師の氏名」と「投薬日時」とを処理履歴情報の要素とした場合の例であり、この処理履歴情報の各要素が、治療履歴ＤＢ１５４ｂａのカラム「患者」「投与薬」「看護師」「投与日時」の各要素となっている。また「患者ＩＤ情報」を検索キーとする。なお、医療行為の記録を保持するデータベースには、医療指示と同様に投薬日時、担当医、担当看護師、対象患者、病棟・病室・ベッド番号、投与薬品名、投薬量、投薬方法等の情報を記録しておくことが望ましい。特に、投与薬品に関する情報についでは、投与した薬品に問題が発生した際の追跡調査に利用するため、薬品名だけでなく、製造ロット番号等の情報も記録しておく必要がある。ロット番号まで含めた細かな分類に対して診断治療剤ＩＤ情報を割り当てておくことにより、決め細かな情報管理が可能となる。本形態では、患者名や病棟番号等、患者に関する情報を患者ＩＤ情報に関連付け、薬品名や製造ロット番号等、診断治療剤に関する情報を診断治療剤ＩＤ情報に関連付けたテーブルを管理装置１６０に格納しておくことにより、このようなきめ細かな管理が可能となる。

次に、読取端末装置１３０のＲＡＭ１３５に格納されている鍵ＩＤ情報１３５ｃと秘匿化診断治療剤ＩＤ情報１３５ｄとが、制御プログラム１３５ａが読み込まれたＣＰＵ１３３によって読み込まれる。そして、このＣＰＵ１３３は、これらの情報を通信部１３７からネットワーク１７０を通じてセキュリティサーバ装置１４０に送信し、再秘匿化要求を行う（ステップＳ９）。これらの鍵ＩＤ情報１３５ｃと秘匿化診断治療剤ＩＤ情報１３５ｄは、セキュリティサーバ装置１４０の通信部１４５において受信され、ＲＡＭ１４２に格納される。ＩＤ情報再秘匿化プログラム１４４ｂｂが読み込まれたＣＰＵ１４１は、ＲＡＭ１４２から鍵ＩＤ情報１３５ｃを読み込み、これと鍵テーブル１４４ｂａの情報とを用い、秘匿化診断治療剤ＩＤ情報１３５ｄを再秘匿化した秘匿化診断治療剤ＩＤ情報を生成する（ステップＳ１０）。なお、再秘匿化した秘匿化診断治療剤ＩＤ情報は、鍵テーブル１４４ｂａの情報を用いない限り、元の秘匿化診断治療剤ＩＤ情報１３５ｄとの関連性を見出すことが困難な情報である。このような再秘匿化方法としては、秘匿化診断治療剤ＩＤ情報をElGamal暗号等の確率暗号の性質（同じ平文を暗号化して得られる暗号文同士の関連性が、復号化の権限を持たないものにはわからない性質）を持つ暗号文とし、当該秘匿化診断治療剤ＩＤ情報と、鍵テーブル１４４ｂａから抽出した鍵ＩＤ情報１３５ｃに対応する暗号化鍵（公開鍵）とを用い、秘匿化診断治療剤ＩＤ情報を再暗号化する方法を例示できる（例えば、参考文献１〜３参照）。また、鍵テーブル１４４ｂａから抽出した鍵ＩＤ情報１３５ｃに対応する復号鍵を用いて秘匿化診断治療剤ＩＤ情報を復号して診断治療剤ＩＤ情報を取得し、その後ランダムに新たな鍵ＩＤ情報を選択し、それに対応する暗号鍵で診断治療剤ＩＤ情報を暗号化したものを再暗号化された秘匿化診断治療剤ＩＤ情報としてもよい。

再秘匿化した秘匿化診断治療剤ＩＤ情報は、それに対応する鍵ＩＤ情報とともに通信部１４５に送られ、そこからネットワーク１７０を介して、読取端末装置１３０に送信される（ステップＳ１１）。これらの情報は、読取端末装置１３０の通信部１３７で受信されＲＡＭ１３５に格納される。次に、これらの再秘匿化した秘匿化診断治療剤ＩＤ情報と、それに対応する鍵ＩＤ情報とは、タグリーダライタ装置１３１に送られ、そこから元の秘匿化診断治療剤ＩＤ情報が格納されていた無線タグ装置１１０に送信される。再秘匿化した秘匿化診断治療剤ＩＤ情報と、それに対応する鍵ＩＤ情報とは、それぞれ、当該無線タグ装置１１０のインタフェース１１２で受信され、それぞれ、メモリ１１１の記憶領域１１１ｂと１１１ａに上書き保存される。

これ以降、当該無線タグ装置１１０は、ＩＤ読取要求に対し、更新された新たな秘匿化診断治療剤ＩＤ情報を出力することになる。その結果、ホットリスト攻撃を行うために攻撃者が作成してあったリスト（秘匿化診断治療剤ＩＤ情報と診断医療剤名等とを関連付けたリスト）は、実際に無線タグ装置１１０から出力される秘匿化診断治療剤ＩＤ情報に対応しないものとなり、当該リストを用いてホットリスト攻撃を行うことができなくなる。
なお、使用した診断治療剤４やその容器をその後廃棄する場合には、再秘匿化した秘匿化診断治療剤ＩＤ情報を無線タグ装置１１０に格納するのではなく、復号された診断治療剤ＩＤ情報（ＲＡＭ１３５に格納してあった診断治療剤ＩＤ情報１３５ｆ）を無線タグ装置１１０に格納してもよい。この場合、セキュリティサーバ装置１４０を介すことなくローカルに無線タグ装置１１０から診断治療剤ＩＤ情報を取得できるため、診断治療剤ＩＤ情報を用い、廃棄物の分別やリサイクル等の処理を効率的に行うことができる。

＜その他の変形例＞
本形態では、読取端末装置１３０が秘匿化診断治療剤ＩＤ情報をセキュリティサーバ装置１４０に送信し、秘匿化診断治療剤ＩＤ情報の再秘匿化を行っていた。しかし、読取端末装置１３０が秘匿化診断治療剤ＩＤ情報を復元した診断治療剤ＩＤ情報をセキュリティサーバ装置１４０に送信し、セキュリティサーバ装置１４０が診断治療剤ＩＤ情報を秘匿化し、それを再秘匿化された秘匿化診断治療剤ＩＤ情報として無線タグ装置１１０に格納する構成であってもよい。

例えば、前述のように、無線タグ装置１１０から読み出された秘匿化診断治療剤ＩＤ情報を用い、薬棚５から取り出された診断治療剤４が間違っていないか否かをチェックする場合、読み出された秘匿化診断治療剤ＩＤ情報を診断治療剤ＩＤ情報に復元しなければならない。この際得られた診断治療剤ＩＤ情報をセキュリティサーバ装置１４０に送信し、セキュリティサーバ装置１４０が診断治療剤ＩＤ情報を秘匿化し、それを再秘匿化された秘匿化診断治療剤ＩＤ情報として無線タグ装置１１０に格納してもよい。また、例えば、ステップＳ９において、読取端末装置１３０がセキュリティサーバ装置１４０に秘匿化診断治療剤ＩＤ情報を送信し、その再秘匿化を要求する代わりに、読取端末装置１３０がセキュリティサーバ装置１４０にステップＳ６で得られた診断治療剤ＩＤ情報を送信し、セキュリティサーバ装置１４０で診断治療剤ＩＤ情報を秘匿化し、それを再秘匿化された秘匿化診断治療剤ＩＤ情報としてもよい。さらには、例えば、何れかのタイミングでセキュリティサーバ装置１４０に秘匿化診断治療剤ＩＤ情報の復元を要求する際に、併せて、最秘匿化された秘匿化診断治療剤ＩＤ情報の生成をも要求する構成であってもよい。

また、診断治療剤４が薬棚５に収納されている間は、その診断治療剤４の容器に取り付けられた無線タグ装置１１０に秘匿化していない診断治療剤ＩＤ情報のみを格納しておく構成でもよい。この場合、看護師３が薬棚５から診断治療剤４を取り出す際に、タグリーダライタ装置１３１を用い、当該診断治療剤４の容器に取り付けられている無線タグ装置１１０から診断治療剤ＩＤ情報を読み取る。そして、読取端末装置１３０がこれをセキュリティサーバ装置１４０に送信してその秘匿化を要求し、セキュリティサーバ装置１４０おいて秘匿化された秘匿化診断治療剤ＩＤ情報とその鍵ＩＤ情報とを、タグリーダライタ装置１３１を用い、無線タグ装置１１０に格納する。逆に、看護師３が診断治療剤４を薬棚５にしまう際には、タグリーダライタ装置１３１を用い、当該診断治療剤４の容器に取り付けられている無線タグ装置１１０から秘匿化診断治療剤ＩＤ情報とその鍵ＩＤ情報とを読み取る。そして、読取端末装置１３０がこれをセキュリティサーバ装置１４０に送信してその復号を要求し、セキュリティサーバ装置１４０おいて復号された診断治療剤ＩＤ情報を、タグリーダライタ装置１３１を用い、無線タグ装置１１０に格納する。このような構成であってもよい。

また、本形態では、バーコード提示部１２０に患者ＩＤ情報を示すバーコードを表示することとしたが、患者ＩＤ情報を秘匿化した秘匿化患者ＩＤ情報と、その鍵ＩＤ情報とを格納する構成であってもよい。この場合、バーコードリーダ装置１３２で読み込まれたこれらの情報は、セキュリティサーバ装置１４０に送られ、そこで秘匿化患者ＩＤ情報を患者ＩＤ情報に復元してから、投薬直前での医療指示との照合や、投薬後のデータベースへの履歴格納等を行う。

〔第２の実施の形態〕
次に、本発明における第２の実施の形態について説明する。
本形態は、「第１識別装置」を「無線タグ装置」とし、「第２識別装置」を「バーコード提示部」とし、「第１ＩＤ情報」を「診断治療剤ＩＤ情報」とし、「第２ＩＤ情報」を「患者ＩＤ情報」として本発明を適用する点では第１の実施の形態と共通する。しかし、投薬行為が行われた「診断治療剤」及び「患者」に対応する「診断治療剤ＩＤ情報」及び「患者ＩＤ情報」を関連付けた履歴情報をそのままデータベース装置に格納するのではなく、「診断治療剤ＩＤ情報」を秘匿化した「診断治療剤ＩＤ情報（第１秘匿化ＩＤ情報）」と「患者ＩＤ情報（第２ＩＤ情報）」とを関連付け、患者ＩＤ情報を検索キーとしたデータベースを構築する点で、第１の実施の形態と相違する。以下では、第１の実施の形態との相違点を中心に説明し、第１の実施の形態と共通する事項については説明を省略する。

＜構成＞
本形態の情報管理システムは、第１の実施の形態の情報管理システム１００のデータベース装置１５０を図７のデータベース装置２５０に置換したものである。なお、図７において、第１の実施の形態のデータベース装置１５０と共通する部分については、図５と同じ符号を付した。図７に示すように、本形態のデータベース装置２５０と、第１の実施の形態のデータベース装置１５０との相違点は治療履歴ＤＢのデータ構成である。以下、このデータ構成に関連する処理を中心に説明し、その他は、第１の実施の形態と同様であるため説明を省略する。

＜処理＞
図８は、投薬時における本形態の情報管理システムの処理を説明するためのシーケンス図である。以下、投薬時における情報管理システムの処理を説明する。
ステップＳ２１からＳ２３までの処理は、第１の実施の形態のステップＳ１からＳ３までの処理と同じである。しかし、その後、第１の実施の形態のように秘匿化診断治療剤ＩＤの復元は行われない。すなわち、読取端末装置１３０は、無線タグ装置１１０から読み取った秘匿化診断治療剤ＩＤ情報と、バーコード提示部１２０から読み取った患者ＩＤ情報とを関連付けた情報（又は、さらにこれらの情報に当該投薬行為に関連する情報を関連付けた情報）を処理履歴情報とし、これをデータベース装置２５０に送信する（ステップＳ２４）。この処理履歴情報は、データベース装置２５０の通信部１５５で受信され、ＲＡＭ１５２に格納される。制御プログラム１５４ｂｂが読み込まれたＣＰＵ１５１は、このＲＡＭ１５２に格納された処理履歴情報を、治療履歴ＤＢ２５４ｂａの１レコードとして、外部記憶装置１５４の記憶部１５４ｂに格納する（ステップＳ２５）。なお、図７の治療履歴ＤＢ１５４ｂａは、「患者ＩＤ情報」と「秘匿化診断治療ＩＤ情報」と「担当看護師の氏名」と「投薬日時」とを処理履歴情報の要素とした場合の例であり、この処理履歴情報の各要素が、治療履歴ＤＢ２５４ｂａのカラム「患者」「投与薬」「看護師」「投与日時」の各要素となっている。そして、「患者ＩＤ情報」が検索キーとなっている。すなわち、本形態の治療履歴ＤＢ２５４ｂａは、投薬処理（「第１管理対象及び第２管理対象の双方に関連する処理の履歴を示す情報」に相当）を１レコードとし、当該投薬処理に用いた診断治療剤（「第１管理対象」）を識別するための診断治療剤ＩＤ情報（「第１ＩＤ情報」に相当）を秘匿化した秘匿化診断治療剤ＩＤ情報（「第１秘匿化ＩＤ情報」に相当）と、当該投薬がなされた患者（「第２管理対象」）を識別するための患者ＩＤ情報（「第２ＩＤ情報」）とを関連付け、患者ＩＤ情報を検索キーとして設定したデータベースである。

このようなデータ構成とすることにより、たとえ、治療履歴ＤＢ２５４ｂａが外部に漏洩し、さらに、患者ＩＤ情報と患者との対応や、診断治療剤ＩＤ情報と診断治療剤との対応が外部に知られたとしても、秘匿化診断治療剤ＩＤ情報を復元できない攻撃者は、診断治療剤ＩＤ情報を復元できないため、各レコードが示す医療行為を特定することができない。これにより、プライバシ保護が図れる。また、患者ＩＤ情報を秘匿化せずに治療履歴ＤＢ２５４ｂａを構成し、患者ＩＤ情報を検索キーとすることにより、治療履歴ＤＢ２５４ｂａの検索が容易となる。検索時に検索キーを復元する処理が不要だからである。

また、本形態でも第１の実施の形態のステップＳ９からＳ１２と同じ処理が行われ（ステップＳ２６からＳ２９）、無線タグ装置１１０のメモリ１１１内の秘匿化診断治療剤ＩＤ情報が更新される。そして、本形態では、このように更新される秘匿化診断治療剤ＩＤ情報をそのまま治療履歴ＤＢ２５４ｂａの要素としている。そのため、同じ診断治療剤に対応する秘匿化診断治療剤ＩＤ情報であっても、治療履歴ＤＢ２５４ｂａには別の記号列が要素として記録される。そのため、たとえ治療履歴ＤＢ２５４ｂａのデータが漏洩したとしても、秘匿化診断治療剤ＩＤ情報の同一性から患者の投薬傾向が推測されることもない。

＜その他の変形例＞
また、本形態では、患者ＩＤ情報と秘匿化診断治療剤ＩＤ情報とを関連付けたものをレコードとし、患者ＩＤ情報を検索キーとする治療履歴ＤＢ２５４ｂａを構築することとしたが、秘匿化患者ＩＤ情報と診断治療剤ＩＤ情報とを関連付けたものをレコードとし、診断治療剤ＩＤ情報を検索キーとする治療履歴ＤＢを構築することとしてもよい。また、無線タグ装置１１０に格納された秘匿化診断治療剤ＩＤ情報をそのまま治療履歴ＤＢ２５４ｂａの要素とするのではなく、別の秘匿化診断治療剤ＩＤ情報に再秘匿化してから治療履歴ＤＢ２５４ｂａの要素としてもよい。さらに、この際の秘匿化方式として、確率暗号のような性質を持つ暗号を用いることによって、攻撃者が秘匿化されたデータ間の関連性を導き出すことについでも防ぐことができる。また、単純に、秘匿化患者ＩＤ情報と秘匿化診断治療剤ＩＤ情報とを関連付けたものをレコードした治療履歴ＤＢを構築してもよいし、患者ＩＤ情報や診断治療剤ＩＤ情報以外の一部の要素を検索キーとするデータベースを構築してもよい。

〔第３の実施の形態〕
次に、本発明における第３の実施の形態について説明する。
本形態は、「第１識別装置」を「無線タグ装置」とし、「第２識別装置」も「無線タグ装置」とし、「第１ＩＤ情報」を「診断治療剤ＩＤ情報」とし、「第２ＩＤ情報」を「患者ＩＤ情報」として本発明を適用する。そして、診断治療剤ＩＤ情報を検索キーとするデータベースと、患者ＩＤ情報を検索キーとするデータベースとを構築する。なお、以下では、これまで説明した各実施の形態との相違点を中心に説明する。

＜構成＞
図９は、第３の実施の形態の情報管理システム３００の全体構成を例示した概念図である。なお、以下において第１，２の実施の形態と共通する部分については、第１，２の実施の形態で用いたのと同じ符号を付した。
図９に例示するように、本形態の情報管理システム３００は、無線タグ装置１１０（「第１識別装置」に相当）、無線タグ装置３２０（「第２識別装置」に相当）、タグリーダライタ装置１３１（「読取受信部」及び「読取入力部」に相当）を具備する読取端末装置３３０、セキュリティサーバ装置１４０、データベース装置３５０，４５０及び管理装置１６０を有する。本形態の例の場合、無線タグ装置１１０は各診断治療剤４の容器に取り付けられ、無線タグ装置３２０はリストバンド２によって患者１に取り付けられる。また、読取端末装置３３０とセキュリティサーバ装置１４０とデータベース装置３５０，４５０と管理装置１６０とは、ＬＡＮ（Local Area Network）等のネットワーク１７０を通じ、通信可能に構成されている。

図１０（ａ）は、第３の実施の形態における無線タグ装置３２０の構成を例示したブロック図である。
図１０（ａ）に例示するように、本形態の無線タグ装置３２０は、メモリ３２１（第２秘匿化ＩＤメモリ）と、インタフェース３２２（「第２送信部」に相当）と、制御部３２３とを有している。

図１１は、第３の実施の形態における読取端末装置３３０の構成を例示したブロック図である。
図１１に例示するように、本形態の読取端末装置３３０は、タグリーダライタ装置１３１と、ＣＰＵ１３３と、ＲＯＭ１３４と、ＲＡＭ１３５と、液晶表示部等の表示部１３６と、通信部１３７（「読取情報送信部」に相当）と、内部時計１３８と、これらを通信可能に接続するバス１３９とを有している。なお、ＲＡＭ１３５に格納されるデータや、ＣＰＵ１３３に読み込まれるデータの詳細については後述する。

図１２は、第３の実施の形態におけるデータベース装置３５０の構成を例示したブロック図である。
図１２に例示するように、本形態のデータベース装置３５０は、ＣＰＵ３５１と、ＲＡＭ３５２と、ＲＯＭ３５３と、外部記憶装置３５４と、通信部３５５と、これらを通信可能に接続するバス３５６とを有している。また、外部記憶装置３５４は、データの読み書きを行う読み書き部３５４ａと各種データが格納される記憶部３５４ｂとを有している。なお、記憶部３５４ｂに格納されるデータや、ＣＰＵ３５１に読み込まれるデータの詳細については後述する。

図１３は、第３の実施の形態におけるデータベース装置４５０の構成を例示したブロック図である。
図１３に例示するように、本形態のデータベース装置４５０は、ＣＰＵ４５１と、ＲＡＭ４５２と、ＲＯＭ４５３と、外部記憶装置４５４と、通信部４５５と、これらを通信可能に接続するバス４５６とを有している。また、外部記憶装置４５４は、データの読み書きを行う読み書き部４５４ａと各種データが格納される記憶部４５４ｂとを有している。なお、記憶部４５４ｂに格納されるデータや、ＣＰＵ４５１に読み込まれるデータの詳細については後述する。

＜処理＞
［前処理］
前処理として、無線タグ装置３２０のメモリ３２１に、無線タグ装置３２０を取り付ける患者１の患者ＩＤ情報３２１ａを格納しておく。また、読取端末装置３３０のＲＡＭ１３５に、読取端末装置３３０を制御するための制御プログラム１３５ａと、暗号化を行うための暗号化プログラム３３５ｅと、そのための暗号鍵３３５ｆとを格納しておく。また、データベース装置３５０の外部記憶装置３５４の記憶部３５４ｂに、データベース装置３５０の処理を制御するための制御プログラム３５４ｂｂと、読取端末装置３３０に格納された暗号鍵に対応する復号鍵３５４ｂｄと、復号鍵３５４ｂｄを用いて暗号文を復号するための復号プログラム３５４ｂｅとを格納しておく。さらに、データベース装置４５０の外部記憶装置４５４の記憶部４５４ｂに、データベース装置４５０の処理を制御するための制御プログラム４５４ｂｂを格納しておく。なお、無線タグ装置１１０及びセキュリティサーバ装置１４０の前処理は、第１の実施の形態と同様である。

［投薬処理］
次に、本形態の投薬処理を説明する。図１４，１５は、投薬時における情報管理システム３００の処理を説明するためのシーケンス図である。なお、看護師３が薬棚５から取り出した各診断治療剤４をワゴン等に載せ、医療指示が示す患者のいるベッドまで持っていくところまでは、第１の実施の形態と同じであるため説明を省略する。以下、投薬時における情報管理システム３００の処理を説明する。
まず、看護師３は、投薬に用いる診断治療剤４及び投薬を行う患者１にそれぞれ取り付けられた無線タグ装置１１０，３２０の近傍にタグリーダライタ装置１３１を配置した状態で読取端末装置３３０を操作し、読取端末装置３３０に読み取り指示を与える。これに対し、読取端末装置３３０は、制御プログラム１３５ａが読み込まれたＣＰＵ１３３の制御のもと、タグリーダライタ装置３３１がＩＤ読取要求を出力する（ステップＳ４１）。このＩＤ読取要求は、無線タグ装置１１０（投薬に用いる診断治療剤４の容器に取り付けられた無線タグ装置）のインタフェース１１２、及び、無線タグ装置３２０（投薬を行おうとする患者１に取り付けられた無線タグ装置）のインタフェース３２２で受信される。ＩＤ読取要求を受信したことを検知した無線タグ装置１１０の制御部１１３は、メモリ１１１の記憶領域１１１ａ，１１１ｂにそれぞれ格納されている鍵ＩＤ情報１１１ａ及び秘匿化診断治療剤ＩＤ情報１１１ｂａを読み出し、これらをインタフェース１２２から送信させる（ステップＳ４２）。また、ＩＤ読取要求を受信したことを検知した無線タグ装置３２０の制御部３２３は、メモリ３２１に格納されている患者ＩＤ情報３２１ａを読み出し、これをインタフェース３２２から送信させる（ステップＳ４３）。これらは、読取端末装置３３０のタグリーダライタ装置１３１で受信され、鍵ＩＤ情報１３５ｃ、秘匿化診断治療剤ＩＤ情報１３５ｄ及び患者ＩＤ情報１３５ｅとしてＲＡＭ１３５に格納される。その後、第１の実施の形態と同様に、患者の取り違え等の医療過誤を防ぐため、好ましくは、投薬直前にも秘匿化診断治療剤ＩＤ情報と患者ＩＤ情報とを医療指示と照合する。

そして、投薬等の医療行為が終了した後、医療行為の履歴を記録するため、看護師３は読取端末装置３３０を操作し、医療行為の履歴のデータベース登録を行う旨の指示を与える。これに対し、暗号化プログラム３３５ｅが読み込まれたＣＰＵ１３３は、ＲＡＭ３３５から患者ＩＤ情報１３５ｅと暗号鍵３３５ｆとを読み込み、暗号鍵３３５ｆを用いて患者ＩＤ情報１３５ｅを暗号化した暗号化患者ＩＤ情報３３５ｇを生成し、ＲＡＭ３３５に格納する（ステップＳ４４）。

次に、制御プログラム１３５ａが読み込まれたＣＰＵ１３３は、ＲＡＭ３３５から読み込んだ鍵ＩＤ情報１３５ｃと秘匿化診断治療剤ＩＤ情報１３５ｄと暗号化患者ＩＤ情報３５５ｇとを関連付けた処理履歴情報を生成する。なお、これらの情報に当該投薬行為に関連する情報（例えば、内部時計１３８から読み込んだ投薬日時やＲＡＭ１３５に格納しておいた担当看護師３の氏名等）を関連付けたものを処理履歴情報としてもよい。
生成された処理履歴情報は、通信部１３７から、データベース装置３５０，４５０宛にネットワーク１７０を通じて送信される（ステップＳ４５）。

データベース装置３５０に送信された処理履歴情報は、通信部３５５で受信され、ＲＡＭ３５２に格納される。復号プログラム３５４ｂｅが読み込まれたＣＰＵ３５１は、記憶部３５４ｂから読み込んだ復号鍵３５４ｂｄを用い、ＲＡＭ３５２に格納された処理履歴情報が具備する暗号化患者ＩＤ情報を復号して患者ＩＤ情報を生成する。生成された患者ＩＤ情報はＲＡＭ３５２に格納される（ステップＳ４６）。次に、制御プログラム１５４ｂｂが読み込まれたＣＰＵ３５１は、このＲＡＭ３５２に格納された患者ＩＤ情報と、処理履歴情報を構成する情報とを関連付けた情報を、治療履歴データベース（ＤＢ）３５４ｂａの１レコードとし、外部記憶装置３５４の記憶部３５４ｂに格納する（ステップＳ４７）。なお、図１２の例では、「患者ＩＤ情報」と「秘匿化診断治療ＩＤ情報」と「担当看護師の氏名」と「投薬日時」とを、カラム「患者」「投与薬」「看護師」「投与日時」の各要素とし、「患者ＩＤ情報」を検索キーとする。

データベース装置４５０に送信された処理履歴情報は、通信部４５５で受信され、ＲＡＭ４５２に格納される。次に、制御プログラム４５４ｂｂが読み込まれたＣＰＵ４５１は、ＲＡＭ４５２から、処理履歴情報を構成する鍵ＩＤ情報及び秘匿化診断治療ＩＤ情報を読み込み、これらを通信部４５５からネットワーク１７０を介し、セキュリティサーバ装置１４０宛に送信し、秘匿化診断治療ＩＤ情報の復号を要求する（ステップＳ４８）。

この要求情報は、セキュリティサーバ装置１４０（図４）の通信部１４５で受信され、ＲＡＭ１４２に格納される。次に、ＩＤ情報復元プログラム１４４ｂｃが読み込まれたＣＰＵ１４１は、ＲＡＭ１４２から鍵ＩＤ情報１３５ｃを読み込み、これを用い、外部記憶装置１４４の記憶部１４４ｂに格納された鍵テーブル１４４ｂａを検索し、鍵ＩＤ情報１３５ｃに対応する復号鍵を読み出す。次に、このＣＰＵ１４１は、ＲＡＭ１４２から読み出した秘匿化診断治療ＩＤ情報１３５ｄをこの復号鍵を用いて復号し、診断治療ＩＤ情報を得る（ステップＳ４９）。得られた診断治療ＩＤ情報は、通信部１４５から読取端末装置３３０宛にネットワーク１７０を通じて送信される（ステップＳ５０）。

この診断治療ＩＤ情報は、データベース装置４５０の通信部４５５で受信され、ＲＡＭ４５２に格納される。そして、制御プログラム４５４ｂｂが読み込まれたＣＰＵ４５１は、このＲＡＭ４５２に格納された診断治療ＩＤ情報と、処理履歴情報を構成する暗号化患者ＩＤ情報等とを関連付けたものを治療履歴ＤＢ４５４ｂａの１レコードとして、外部記憶装置４５４の記憶部４５４ｂに格納する（ステップＳ５１）。なお、図１３の例では、「診断治療ＩＤ情報」「暗号化患者ＩＤ情報」「看護師名」「投薬日時」を、カラム「患者」「投与薬」「看護師」「投与日時」の各要素とし、診断治療ＩＤ情報を検索キーとしている。
その後、本形態でも第１の実施の形態のステップＳ９からＳ１２と同じ処理が行われ（ステップＳ５２からＳ５５）、無線タグ装置１１０のメモリ１１１内の秘匿化診断治療剤ＩＤ情報が更新される。

以上のように、本形態では、処理履歴を、平文の患者ＩＤ情報を検索キーとし、診断治療剤ＩＤ情報を秘匿化した治療履歴ＤＢ３５４ｂａ（データベース装置３５０に格納）と、平文の診断治療剤ＩＤ情報を検索キーとし、患者ＩＤ情報を暗号化した治療履歴ＤＢ４５４ｂａ（データベース装置４５０に格納）とを分散生成することとした。これにより、何れかのデータベースを用いれば、患者ＩＤ情報及び診断治療剤ＩＤの何れを検索条件としても容易に処理履歴を検索することができる。さらに、何れのデータベースの情報が漏洩しても、復号鍵を知らない第三者は、各投薬処理に対応する患者ＩＤ情報と診断治療剤ＩＤ情報との組合せも知ることができない。これにより、データベース検索時の利便性と、プライバシ保護の向上との両立を図ることができる。

なお、読取端末装置３３０によって行われる患者ＩＤ情報の暗号化は、確率暗号の性質を持つ暗号化方式を用いて行われることが望ましい。これにより、同じ患者ＩＤ情報に対し、異なる暗号化患者ＩＤ情報を生成することが可能となる。その結果、データベース装置４５０の治療履歴ＤＢ４５４ａが外部に漏洩したとしても、暗号化患者ＩＤ情報の復号鍵を知らない第三者は、治療履歴ＤＢ４５４ａから同一の患者ＩＤ情報に対応する複数のレコードの関連性を見出すことが困難となる。

〔第３の実施の形態の変形例〕
次に、第３の実施の形態の変形例について説明する。この変形例では、患者１に取り付けられる無線タグ装置３２０に秘匿化患者ＩＤ情報を格納するものである。以下、第３の実施の形態との相違点を中心に説明する。
＜構成＞
無線タグ装置３２０以外の構成は、第３の実施の形態と同じである。以下では、本変形例の無線タグ装置３２０の構成のみを説明する。
図１０（ｂ）は、第３の実施の形態の変形例における無線タグ装置３２０の構成を例示したブロック図である。前述した図１０（ａ）の構成との相違点は、メモリ３２１に患者ＩＤ情報３２１ａを格納するのではなく、それを秘匿化した秘匿化患者ＩＤ情報３２１ｂａを記憶領域３２１ｂに格納し、その秘匿化に用いた鍵ＩＤ情報３２１ａａを記憶領域３２１ａに格納する。その他は、図１０（ａ）の構成と同様である。なお、これらの情報のメモリ３２１への格納は、前処理によって行われる。また、無線タグ装置１１０の場合と同様、秘匿化患者ＩＤ情報３２１ｂａの秘匿化に用いた暗号鍵と、それに対応する鍵ＩＤ情報及び復号鍵は、セキュリティサーバ装置１４０の鍵テーブル１４４ｂａに格納される。

＜処理＞
次に、本形態の投薬処理を説明する。図１６，１７は、投薬時における本変形例の情報管理システムの処理を説明するためのシーケンス図である。なお、看護師３が薬棚５から取り出した各診断治療剤４をワゴン等に載せ、医療指示が示す患者のいるベッドまで持っていくところまでは、第１の実施の形態と同じであるため説明を省略する。以下、投薬時における本変形例の情報管理システムの処理を説明する。

まず、看護師３は、投薬に用いる診断治療剤４及び投薬を行う患者１にそれぞれ取り付けられた無線タグ装置１１０，３２０の近傍にタグリーダライタ装置１３１を配置した状態で読取端末装置３３０を操作し、読取端末装置３３０に読み取り指示を与える。これに対し、読取端末装置３３０は、制御プログラム１３５ａが読み込まれたＣＰＵ１３３の制御のもと、タグリーダライタ装置３３１がＩＤ読取要求を出力する（ステップＳ６１）。このＩＤ読取要求は、無線タグ装置１１０（投薬に用いる診断治療剤４の容器に取り付けられた無線タグ装置）のインタフェース１１２、及び、無線タグ装置３２０（投薬を行おうとする患者１に取り付けられた無線タグ装置）のインタフェース３２２で受信される。ＩＤ読取要求を受信したことを検知した無線タグ装置１１０の制御部１１３は、メモリ１１１の記憶領域１１１ａ，１１１ｂにそれぞれ格納されている鍵ＩＤ情報１１１ａ及び秘匿化診断治療剤ＩＤ情報１１１ｂａを読み出し、これらをインタフェース１２２から送信させる（ステップＳ６２）。また、ＩＤ読取要求を受信したことを検知した無線タグ装置３２０の制御部３２３は、メモリ３２１に格納されている鍵ＩＤ情報３２１ａａ及び秘匿化患者ＩＤ情報３２１ｂａを読み出し、これらをインタフェース３２２から送信させる（ステップＳ６３）。これらの鍵ＩＤ情報１１１ａ及び秘匿化診断治療剤ＩＤ情報１１１ｂａと、鍵ＩＤ情報３２１ａａ及び秘匿化患者ＩＤ情報３２１ｂａとは、読取端末装置３３０のタグリーダライタ装置１３１で受信されＲＡＭ１３５に格納される。その後、第１の実施の形態と同様に、患者の取り違え等の医療過誤を防ぐため、好ましくは、投薬直前にも秘匿化診断治療剤ＩＤ情報と患者ＩＤ情報とを医療指示と照合する。

そして、投薬等の医療行為が終了した後、医療行為の履歴を記録するため、看護師３は読取端末装置３３０を操作し、医療行為の履歴のデータベース登録を行う旨の指示を与える。これに対し、暗号化プログラム３３５ｅが読み込まれたＣＰＵ１３３は、ＲＡＭ３３５から、鍵ＩＤ情報１１１ａ及び秘匿化診断治療剤ＩＤ情報１１１ｂａと、鍵ＩＤ情報３２１ａａ及び秘匿化患者ＩＤ情報３２１ｂａとを読み込み、これらを関連付けた処理履歴情報を生成する。なお、これらの情報に当該投薬行為に関連する情報（例えば、内部時計１３８から読み込んだ投薬日時やＲＡＭ１３５に格納しておいた担当看護師３の氏名等）を関連付けたものを処理履歴情報としてもよい。生成された処理履歴情報は、読取端末装置３３０の通信部１３７から、データベース装置３５０，４５０宛にネットワーク１７０を通じて送信される（ステップＳ６４）。

データベース装置３５０に送信された処理履歴情報は、通信部３５５で受信され、ＲＡＭ３５２に格納される。次に、制御プログラム３５４ｂｂが読み込まれたＣＰＵ３５１は、ＲＡＭ３５２から、処理履歴情報を構成する鍵ＩＤ情報３２１ａａ及び秘匿化患者ＩＤ情報３２１ｂａを読み込み、これらを通信部３５５からネットワーク１７０を介し、セキュリティサーバ装置１４０宛に送信し、秘匿化患者ＩＤ情報３２１ｂａの復号を要求する（ステップＳ６５）。

この要求情報は、セキュリティサーバ装置１４０（図４）の通信部１４５で受信され、ＲＡＭ１４２に格納される。次に、ＩＤ情報復元プログラム１４４ｂｃが読み込まれたＣＰＵ１４１は、ＲＡＭ１４２から鍵ＩＤ情報３２１ａａを読み込み、これを用い、外部記憶装置１４４の記憶部１４４ｂに格納された鍵テーブル１４４ｂａを検索し、鍵ＩＤ情報１３５ｃに対応する復号鍵を読み出す。次に、このＣＰＵ１４１は、ＲＡＭ１４２から読み出した秘匿化患者ＩＤ情報３２１ｂａをこの復号鍵を用いて復号し、患者ＩＤ情報を得る（ステップＳ６６）。得られた患者ＩＤ情報は、通信部１４５から読取端末装置３３０宛にネットワーク１７０を通じて送信される（ステップＳ６７）。

この患者ＩＤ情報は、データベース装置３５０の通信部３５５で受信され、ＲＡＭ３５２に格納される。そして、制御プログラム３５４ｂｂが読み込まれたＣＰＵ３５１は、このＲＡＭ３５２に格納された患者ＩＤ情報と、処理履歴情報を構成する秘匿化診断治療剤ＩＤ情報等とを関連付けたものを治療履歴ＤＢ３５４ｂａの１レコードとして、外部記憶装置３５４の記憶部３５４ｂに格納する（ステップＳ６８）。
また、処理履歴情報が送信されたデータベース装置４５０は、第３の実施の形態のステップＳ４８からＳ５１と同様な処理により、診断治療ＩＤ情報と、処理履歴情報を構成する秘匿化患者ＩＤ情報等とを関連付けたものを治療履歴ＤＢ４５４ｂａの１レコードとして、外部記憶装置４５４の記憶部４５４ｂに格納する（ステップＳ６９からＳ７２）。

その後、本形態でも第１の実施の形態のステップＳ９からＳ１２と同じ処理が行われ（ステップＳ７３からＳ７５）、無線タグ装置１１０のメモリ１１１内の秘匿化診断治療剤ＩＤ情報が更新される。さらに、ステップＳ９からＳ１２と同様な処理により、秘匿化患者ＩＤ情報の再秘匿化も行われ、再秘匿化された秘匿化患者ＩＤ情報と、それに対応する鍵ＩＤ情報とが、無線タグ装置３２０のメモリ３２１の記憶領域３２１ｂ，３２１ａにそれぞれ上書きされる（ステップＳ７６）。

このように、無線タグ装置３２０に格納される秘匿化患者ＩＤ情報をも再秘匿化することにより、ホットリスト攻撃に対する耐性がより向上する。また、本変形例では、更新される秘匿化診断治療剤ＩＤ情報や秘匿化患者ＩＤ情報をそのままデータベース装置３５０，４５０に構築される治療履歴ＤＢ３５４ａ，４５４ａの要素として用いた。ここで、復号鍵を知らない第三者は、更新前後の秘匿化診断治療剤ＩＤ情報や秘匿化患者ＩＤ情報の関係を見出すことが困難である。そのため、治療履歴ＤＢ３５４ａ，４５４ａの情報が外部に漏洩したとしても、秘匿化診断治療剤ＩＤ情報や秘匿化患者ＩＤ情報の復号鍵を知らない第三者は、治療履歴ＤＢ３５４ａ，４５４ａの情報から、同一の患者ＩＤ情報に対応する複数のレコードの関連性や、同一の診断治療剤ＩＤ情報に対応する複数のレコードの関連性を見出すことはできない。これにより、プライバシの漏洩を防止できる。その他、第３の実施の形態と同様な効果も得られる。

〔変形例等〕
なお、本発明は上述の実施の形態に限定されるものではない。
例えば、上述の各実施の形態では、再暗号化によって秘匿化診断治療剤ＩＤ情報や秘匿化患者ＩＤ情報の再秘匿化を行った。しかし、無線タグ装置から秘匿化診断治療剤ＩＤ情報や秘匿化患者ＩＤ情報が出力されるたびに、ハッシュ・チェイン（Hash-Chain）方式によって秘匿化診断治療剤ＩＤ情報や秘匿化患者ＩＤ情報の秘匿化や再秘匿化を行ってもよい。ハッシュ・チェイン方式の場合には、無線タグ装置から秘匿化診断治療剤ＩＤ情報（或いは秘匿化患者ＩＤ情報）が出力されるたびに、各無線タグ装置によって秘匿化診断治療剤ＩＤ情報（或いは秘匿化患者ＩＤ情報）が更新される。なお、ハッシュ・チェイン方式については、例えば、M. Ohkubo et al., "Cryptographic Approach to a Privacy Friendly Tag," RFID Privacy Workshop@MIT, http://www.rfidprivacy.org/papers/ohokubo.pdf, 2003等に詳しい。

また、暗号化やハッシュ・チェイン方式以外の方法によって各ＩＤの秘匿化・再秘匿化を行ってもよい。例えば、診断治療剤ＩＤ情報や患者ＩＤ情報に対応付けた乱数を秘匿化診断治療剤ＩＤ情報や秘匿化患者ＩＤ情報とし、その対応関係を変更することで再秘匿化を行う構成であってもよい。

各実施の形態では、「異なる管理対象が相互に関連する処理」の一例として「ある患者にある診断治療剤を投薬する医療行為」に対し、本発明を適用することとしたが、異なる管理対象が相互に関連する処理の履歴を管理する用途であれば、どのような用途に本発明を適用してもよい。また、第１管理対象と第２管理対象とは、「人」と「物」、「人」と「人」、「物」と「人」、「物」と「物」のいずれの組合せであってもよい。また、「識別装置」としては、無線タグ装置やバーコード提示部の他、ＩＣカード、携帯電話、磁気カード等を利用することも可能である。
また、再秘匿化を行うタイミングや処理の順序等、本発明の趣旨を逸脱しない範囲で適宜変更が可能であることはいうまでもない。その他、上述した各実施の形態や変形例を適宜組み合わせてシステムを構成してもよい。

また、読取端末装置、セキュリティサーバ装置、データベース装置の処理内容を記述したプログラムは、それぞれ、コンピュータで読み取り可能な記録媒体に記録しておくことができる。コンピュータで読み取り可能な記録媒体としては、例えば、磁気記録装置、光ディスク、光磁気記録媒体、半導体メモリ等どのようなものでもよいが、具体的には、例えば、磁気記録装置として、ハードディスク装置、フレキシブルディスク、磁気テープ等を、光ディスクとして、ＤＶＤ（Digital Versatile Disc）、ＤＶＤ−ＲＡＭ（Random Access Memory）、ＣＤ−ＲＯＭ（Compact Disc Read Only Memory）、ＣＤ−Ｒ（Recordable）／ＲＷ（ReWritable）等を、光磁気記録媒体として、ＭＯ（Magneto-Optical disc）等を、半導体メモリとしてＥＥＰ−ＲＯＭ（Electronically Erasable and Programmable-Read Only Memory）等を用いることができる。

また、このプログラムの流通は、例えば、そのプログラムを記録したＤＶＤ、ＣＤ−ＲＯＭ等の可搬型記録媒体を販売、譲渡、貸与等することによって行う。さらに、このプログラムをサーバコンピュータの記憶装置に格納しておき、ネットワークを介して、サーバコンピュータから他のコンピュータにそのプログラムを転送することにより、このプログラムを流通させる構成としてもよい。

このようなプログラムを実行するコンピュータは、例えば、まず、可搬型記録媒体に記録されたプログラムもしくはサーバコンピュータから転送されたプログラムを、一旦、自己の記憶装置に格納する。そして、処理の実行時、このコンピュータは、自己の記録媒体に格納されたプログラムを読み取り、読み取ったプログラムに従った処理を実行する。また、このプログラムの別の実行形態として、コンピュータが可搬型記録媒体から直接プログラムを読み取り、そのプログラムに従った処理を実行することとしてもよく、さらに、このコンピュータにサーバコンピュータからプログラムが転送されるたびに、逐次、受け取ったプログラムに従った処理を実行することとしてもよい。また、サーバコンピュータから、このコンピュータへのプログラムの転送は行わず、その実行指示と結果取得のみによって処理機能を実現する、いわゆるＡＳＰ（Application Service Provider）型のサービスによって、上述の処理を実行する構成としてもよい。なお、本形態におけるプログラムには、電子計算機による処理の用に供する情報であってプログラムに準ずるもの（コンピュータに対する直接の指令ではないがコンピュータの処理を規定する性質を有するデータ等）を含むものとする。

また、この形態では、コンピュータ上で所定のプログラムを実行させることにより、本装置を構成することとしたが、これらの処理内容の少なくとも一部をハードウェア的に実現することとしてもよい。

本発明の利用分野としては、上述のような医療分野での医療管理システムへの適用の他、例えば、製造工程における半製品の管理や、レンタルビデオの管理システム等を例示できる。

図１は、第１の実施の形態における情報管理システムの全体構成を例示した概念図である。 図２は、第１の実施の形態における無線タグ装置の構成を例示したブロック図である。 図３は、第１の実施の形態における読取端末装置の構成を例示したブロック図である。 図４は、第１の実施の形態におけるセキュリティサーバ装置の構成を例示したブロック図である。 図５は、第１の実施の形態におけるデータベース装置を例示したブロック図である。 図６は、第１の実施の形態の投薬時における情報管理システムの処理を説明するためのシーケンス図である。 図７は、第２の実施の形態におけるデータベース装置を例示したブロック図である。 図８は、投薬時における第２の実施の形態の情報管理システムの処理を説明するためのシーケンス図である。 図９は、第３の実施の形態における情報管理システムの全体構成を例示した概念図である。 図１０（ａ）は、第３の実施の形態における無線タグ装置の構成を例示したブロック図である。図１０（ｂ）は、第３の実施の形態の変形例における無線タグ装置の構成を例示したブロック図である。 図１１は、第３の実施の形態における読取端末装置の構成を例示したブロック図である。 図１２は、第３の実施の形態におけるデータベース装置の構成を例示したブロック図である。 図１３は、第３の実施の形態におけるデータベース装置の構成を例示したブロック図である。 図１４は、投薬時における第３の実施の形態の情報管理システムの処理を説明するためのシーケンス図である。 図１５は、投薬時における第３の実施の形態の情報管理システムの処理を説明するためのシーケンス図である。 図１６は、投薬時における第３の実施の形態の変形例の情報管理システムの処理を説明するためのシーケンス図である。 図１７は、投薬時における第２の実施の形態の変形例の情報管理システムの処理を説明するためのシーケンス図である。

符号の説明

１００，３００ 情報管理システム

Claims (6)

1. 異なる管理対象が相互に関連する処理の履歴を管理する情報管理システムであって、
   第１管理対象を識別するための第１ＩＤ情報を秘匿化した第１秘匿化ＩＤ情報を格納する第１秘匿化ＩＤメモリと、当該第１秘匿化ＩＤ情報を無線送信する第１送信部とを具備し、当該第１管理対象に取り付けられる第１識別装置と、
   第２管理対象を識別するための第２ＩＤ情報、又は、当該第２ＩＤ情報を秘匿化した第２秘匿化ＩＤ情報を出力可能であり、当該第２管理対象に取り付けられる第２識別装置と、
   上記第１識別装置から無線送信された上記第１秘匿化ＩＤ情報を受信する読取受信部と、上記第２識別装置から出力された上記第２ＩＤ情報又は上記第２秘匿化ＩＤ情報が入力される読取入力部と、上記第１秘匿化ＩＤ情報又は当該第１秘匿化ＩＤ情報に対応する第１ＩＤ情報と、上記第２ＩＤ情報又は上記第２秘匿化ＩＤ情報とを関連付けた処理履歴情報を送信する読取情報送信部と、を具備する読取端末装置と、
   上記処理履歴情報に対応する、上記第１秘匿化ＩＤ情報又は上記第１ＩＤ情報と、上記第２ＩＤ情報又は上記第２秘匿化ＩＤ情報と、を関連付けて格納する第１データベース装置と、を有し、
   上記第１秘匿化ＩＤメモリに格納された上記第１秘匿化ＩＤ情報は、
   任意の設定条件によって定まる契機で、当該第１秘匿化ＩＤ情報との関連性を見出すことが困難な他の第１秘匿化ＩＤ情報に更新される、
   ことを特徴とする情報管理システム。
2. 請求項１に記載の情報管理システムであって、
   上記第２識別装置は、
   上記第２秘匿化ＩＤ情報を格納する第２秘匿化ＩＤメモリと、当該第２秘匿化ＩＤ情報を無線送信する第２送信部とを具備し、
   上記読取入力部は、
   上記第２識別装置から無線送信された上記第２秘匿化ＩＤ情報を受信し、
   上記第２秘匿化ＩＤメモリに格納された上記第２秘匿化ＩＤ情報は、
   任意の設定条件によって定まる契機で、当該第２秘匿化ＩＤ情報との関連性を見出すことが困難な他の第２秘匿化ＩＤ情報に更新される、
   ことを特徴とする情報管理システム。
3. 請求項１又は２に記載の情報管理システムであって、
   上記第１データベース装置は、
   上記処理履歴情報に対応する上記第１ＩＤ情報と上記第２秘匿化ＩＤ情報とを関連付けて格納して、上記第１ＩＤ情報を検索キーとしたデータベースを構築するか、或いは、上記処理履歴情報に対応する上記第１秘匿化ＩＤ情報と上記第２ＩＤ情報とを関連付けて格納して、上記第２ＩＤ情報を検索キーとしたデータベースを構築する、
   ことを特徴とする情報管理システム。
4. 請求項３に記載の情報管理システムであって、
   上記第１データベース装置が上記第１ＩＤ情報を検索キーとしたデータベースを構築する場合、上記処理履歴情報に対応する上記第１秘匿化ＩＤ情報と上記第２ＩＤ情報とを関連付けて格納して、上記第２ＩＤ情報を検索キーとしたデータベースを構築し、上記第１データベース装置が上記第２ＩＤ情報を検索キーとしたデータベースを構築する場合、上記処理履歴情報に対応する上記第１ＩＤ情報と上記第２秘匿化ＩＤ情報とを関連付けて格納して、上記第１ＩＤ情報を検索キーとしたデータベースを構築する、第２データベース装置をさらに有する、
   ことを特徴とする情報管理システム。
5. 異なる管理対象が相互に関連する処理の履歴を管理する情報管理方法であって、
   第１管理対象を識別するための第１ＩＤ情報を秘匿化した第１秘匿化ＩＤ情報が格納された第１秘匿化ＩＤメモリを具備する第１識別装置を、当該第１管理対象に取り付けておき、
   第２管理対象を識別するための第２ＩＤ情報、又は、当該第２ＩＤ情報を秘匿化した第２秘匿化ＩＤ情報を出力可能な第２識別装置を、当該第２管理対象に取り付けておき、
   上記第１秘匿化ＩＤメモリに格納された上記第１秘匿化ＩＤ情報は、任意の設定条件によって定まる契機で、当該第１秘匿化ＩＤ情報との関連性を見出すことが困難な他の第１秘匿化ＩＤ情報に更新され、
   上記第１管理対象と上記第２管理対象とが相互に関連する処理が行われた際、
   （ａ）読取端末装置の読取受信部が、上記第１識別装置の第１送信部から無線送信された上記第１秘匿化ＩＤ情報を受信する過程と、
   （ｂ）上記読取端末装置の読取入力部が、上記第２識別装置から出力された上記第２ＩＤ情報又は上記第２秘匿化ＩＤ情報の入力を受け付ける過程と、
   （ｃ）上記読取端末装置の読取情報送信部が、上記第１秘匿化ＩＤ情報又は当該第１秘匿化ＩＤ情報に対応する第１ＩＤ情報と、上記第２ＩＤ情報又は上記第２秘匿化ＩＤ情報とを関連付けた処理履歴情報を送信する過程と、
   （ｄ）上記処理履歴情報に対応する、上記第１秘匿化ＩＤ情報又は上記第１ＩＤ情報と、上記第２ＩＤ情報又は上記第２秘匿化ＩＤ情報とを第１データベース装置に関連付けて格納する過程と、を実行する、
   ことを特徴とする情報管理方法。
6. 異なる管理対象が相互に関連する処理の履歴を格納するデータベースのデータ構造であって、
   第１管理対象及び第２管理対象の双方に関連する処理の履歴を示す情報を１レコードとし、当該第１管理対象を識別するための第１ＩＤ情報を秘匿化した第１秘匿化ＩＤ情報と、当該第２管理対象を識別するための第２ＩＤ情報とを関連付け、当該第２ＩＤ情報を検索キーとして設定したデータベースのデータ構造。

Images