JP2009093538A - 情報制御装置、情報制御プログラム、及び、情報制御方法 - Google Patents

Abstract

【課題】書き換えが可能なラベルを利用することにより、個人情報の漏洩を防止すると共に、処理対象物の取り違いを防止することができる情報制御装置等を提供する。
【解決手段】患者１０を特定する情報を匿名化して個人情報の漏洩を防止する情報制御装置６０であって、個人情報を格納させるための患者情報ＤＢ６１と、患者１０を特定する特定情報の入力を受け付けるＩＣタグリーダ１２と、入力を受け付けた特定情報に基づいて、病院内において、患者１０の個人情報及び識別情報を、スピッツ２０に貼設された書き換えが可能なラベル２１に表示させるための信号を出力する患者情報表示処理部２００と、スピッツ２０が病院内から搬出される場合に、ラベル２１に表示された個人情報のうち、少なくとも個人を特定する情報を含む当該個人情報の一部または全部を匿名化させるための信号を出力する個人情報匿名化処理部４０とを備えることを特徴とする。
【選択図】図１

Description

本発明は、患者情報の漏洩を防止する情報制御装置に関し、特に、書き換え可能なラベルを使用して患者情報の漏洩を防止する情報制御装置等に関する。

近年、個人情報の漏洩が社会的な問題となっている。医療の現場においても、例えば血液検査を行う場合に、病院から検査機関へ血液（その他、様々な検体）を運搬する必要があるが、検体に表示されている情報から個人情報が漏洩する危険性がある。

上記問題を解決する技術として、特許文献１に示す技術がある。特許文献１に示す技術は、試料等提供者の診療情報と採取した検体との匿名化を図る技術であり、病院側の臨床検査部門の担当医は試料等提供者（患者）の患者情報を取得し、診療を行って患者情報及び診療情報を個人識別管理室の患者情報管理システムに記憶させる。病院側研究遂行者は研究側の研究責任者の指示の下、試料等提供者から同意を得、担当医が血液、血清等の１次検体（試料）を採取し、個人識別情報管理者がこれらの検体の検体番号（匿名前検体番号）に対して匿名化処理を行い、匿名化された検体番号（匿名検体番号）に対応するバーコードを検体を入れた容器に貼付する。匿名前検体番号と匿名検体番号とを結びつける連結可能匿名化対応表は、匿名化システムに保存される。匿名化された患者情報及び診療情報と、匿名化された検体は、研究部門に提供される。
国際公開第０２／０３９３４１号公報

しかしながら、特許文献１に示す技術は、匿名性を確保した上で病院と研究所といった２つのシステム間での検体や種々の情報のやり取りを可能とするが、バーコードラベルを印字し、人の手により手動で貼り付けを行うため、検体の取り違い（別患者のラベル貼り付け等）による医療事故の可能性があるという課題を有する。
また、バーコードにより検体の情報が表示されているため、バーコードを解読する必要があり、一見しただけでは検体を患者レベルで識別することができないという課題を有する。

そこで、本発明は前記課題を解決するためになされたものであり、書き換えが可能なラベルを利用することにより、所定区域内では処理の対象となる処理対象物に対応する個人を特定する個人情報を表示し、所定区域外では個人を特定する個人情報を非表示にして、個人情報の漏洩を防止すると共に、書き換えが可能なラベルによりラベル表示を装置が管理することで処理対象物の取り違いを防止することができる情報制御装置、情報制御プログラム、及び、情報制御方法を提供することを目的とする。

（１．情報制御装置）
本発明に係る情報制御装置は、個人を特定する情報を匿名化して個人情報の漏洩を防止する情報制御装置であって、前記個人情報を格納させるための個人情報記憶手段と、前記個人に対応する当該個人の処理対象物を一意に識別するための情報を格納させるための識別情報記憶手段と、前記個人を特定する特定情報の入力を受け付ける特定情報入力手段と、前記特定情報入力手段にて入力を受け付けた特定情報に基づいて、所定の区域内において、前記個人情報記憶手段により保持される個人情報及び前記識別情報記憶手段により保持される識別情報を、前記処理対象物に貼設された書き換えが可能なラベルに表示させるための信号を出力する情報表示手段と、前記処理対象物が、前記所定の区域内から搬出される場合に、前記ラベルに表示された個人情報のうち、少なくとも個人を特定する情報を含む当該個人情報の一部または全部を匿名化させるための信号を出力する個人情報匿名化手段とを備えることを特徴とする。

このように、本発明においては、所定の区域内でのみラベルに個人を特定する個人情報が表示され、所定の区域外に出た場合には、自動的に、表示された個人情報を匿名化することができるため、個人情報の漏洩を簡単で且つ確実に防止することができる。
また、個人情報が暗号化や記号化されて表示されているわけではないため、所定の区域内では一見するだけで簡単に個人を特定することができ、所定の区域外では暗号の解読等による情報漏洩の危険性がなくなり、確実な個人情報の漏洩の防止を実現することができる。

（２．匿名化情報通知処理）
本発明に係る情報制御装置は、前記処理対象物が前記所定の区域内から搬出される場合に、匿名化処理を行う旨の通知を受け付ける匿名化情報通知受付手段を備え、前記個人情報匿名化手段が前記匿名化情報通知受付手段に基づいて、前記情報表示手段により前記ラベルに表示されている個人情報のうち、少なくとも個人を特定する情報を含む当該個人情報の一部または全部を匿名化させるための信号を出力することを特徴とする。

このように、本発明においては、匿名化情報通知手段からの通知を受け、処理対象物が所定の区域外へ搬出されることを装置が認識することで、個人情報を自動で匿名化することができるため、個人情報の表示に関する管理を一括で行うことができ、情報を管理しやすくなると共に、処理を効率化することができる。
また、現在どの処理対象物がどの区域にあるかといった情報を管理することができる。

（３．情報表示処理）
本発明に係る情報制御装置は、前記情報表示手段が、前記特定情報入力手段により入力を受け付けた特定情報に基づいて、前記個人情報記憶手段により保持される個人情報を検索する個人情報検索手段と、前記個人情報検索手段が検索した結果に基づいて、前記個人の処理対象物を一意に識別するための識別情報を生成し、当該識別情報を前記識別情報記憶手段に保持させる識別情報登録手段と、前記個人情報記憶手段により保持される個人情報及び前記識別情報記憶手段により保持される識別情報に基づいて、前記処理対象物に貼設された書き換えが可能なラベルに当該個人情報及び当該識別情報を表示させるための信号を出力する個人・識別情報表示手段とを備えることを特徴とする。

このように、本発明においては、入力された個人を特定する特定情報に基づいて、書き換えが可能なラベルに個人情報を表示することができるため、ラベルの印字や貼り付けや手書きによるラベルの記入を行う手間を省くことができ、処理を効率化することができると共に、入力された特定情報とラベルに表示された個人情報が装置により確実に対応付けられることで、個人の処理対象物の取り違い等を防止することができる。例えば、血液検査の場合、血液採取の際に、血液を採取したスピッツに貼設されたラベルに、患者のＩＣタグから読み込んだ個人情報を表示させるようにすれば、採取した血液とＩＣタグを確実に対応付けることができ、検体の取り違いによる医療事故を防止することができる。

（４．個人情報匿名化処理）
本発明に係る情報制御装置は、前記個人情報匿名化手段が、前記匿名化情報通知手段にて通知された匿名化情報に基づいて前記識別情報記憶手段に匿名化状態を保持させる匿名化状態登録手段と、前記匿名化情報に基づいて前記ラベルに表示された個人情報のうち、少なくとも個人を特定する情報を含む当該個人情報の一部または全部を匿名化させるための信号を出力する匿名処理手段とを備えることを特徴とする。

このように、本発明においては、匿名化情報通知手段からの通知を受け、その通知に基づいて匿名化状態を登録するため、処理対象物が匿名化状態になっているかどうかを確認することができ、処理対象物の状況を管理することができる。

（５．処理結果登録処理）
本発明に係る情報制御装置は、前記処理対象物の処理結果を保持させるための処理結果記憶手段と、前記処理結果の入力を受け付ける処理結果入力手段と、前記処理結果入力手段にて入力を受け付けた処理結果に含まれる前記識別情報に基づいて、前記個人情報匿名化手段により所定の区域外にて匿名化された前記処理対象物の個人情報を特定する個人情報特定手段と、前記個人情報特定手段により特定された個人情報及び前記処理対象物の処理結果を前記処理結果記憶手段に保持させる処理結果登録手段とを備えることを特徴とする。

このように、本発明においては、匿名化された個人情報を一意に識別された識別情報に基づいて復元するため、処理対象物の処理結果を確実に個人と対応付けて確認することができる。

（６．情報表示領域の分割）
本発明に係る情報制御装置は、前記情報表示手段が、前記個人情報及び識別情報を、前記ラベルの異なる表示領域にそれぞれ表示し、当該個人情報の表示領域に表示された当該個人情報の一部または全部のみを書き換え可能に制御するための信号を出力することを特徴とする。

このように、本発明においては、個人情報と識別情報の表示領域を別々に設け、個人情報のみを書き換え可能とし、識別情報については書き換え不可能とするため、個人情報については消去したり上書きして変更することで情報の漏洩を防止することができ、識別情報については消去したり上書きして変更することがなく、それに基づいて確実に個人情報を特定して復元することができる。

なお、本発明においては、書き換えが可能なラベルとしてコレステリック液晶を利用した電子ペーパーを利用してもよい。そうすることで、表示内容をフレキシブルに制御することができ、個人情報の消去や上書き等を行うことができる。また、個人の特定情報（例えば、個人を特定できるＩＤ等）と表示内容を関連付けて表示することもでき、処理対象物の取り違いを防止することができる。

これまで、本発明を装置として示したが、所謂当業者であれば明らかであるように本発明をシステム、方法、及び、プログラムとして捉えることもできる。これら前記の発明の概要は、本発明に必須となる特徴を列挙したものではなく、これら複数の特徴のサブコンビネーションも発明となり得る。

以下、本発明の実施の形態を説明する。本発明は多くの異なる形態で実施可能である。従って、本実施形態の記載内容のみで本発明を解釈すべきではない。また、本実施形態の全体を通して同じ要素には同じ符号を付けている。

以下の実施の形態では、主に装置について説明するが、所謂当業者であれば明らかな通り、本発明はシステム、方法、及び、コンピュータを動作させるためのプログラムとしても実施できる。また、本発明はハードウェア、ソフトウェア、または、ハードウェア及びソフトウェアの実施形態で実施可能である。プログラムは、ハードディスク、ＣＤ−ＲＯＭ、ＤＶＤ−ＲＯＭ、光記憶装置、または、磁気記憶装置等の任意のコンピュータ可読媒体に記録できる。さらに、プログラムはネットワークを介した他のコンピュータに記録することができる。

以下、本発明の実施形態について説明する。各実施形態では、具体的には病院と検査機関における個人情報の情報制御装置について説明するが、本発明に係る情報制御装置は異なる形態でも実施可能である。

（本発明の第１の実施形態）
（１．構成）
（１−１ 情報制御装置を含む情報制御システム構成）
図１は、本実施形態に係る情報制御装置を含む情報制御システムのシステム構成図である。情報制御システム１は、病院８０と検査機関９０からなる。病院内では個人としての患者１０に対して処理対象物としての検査用（本実施形態においては血液検査とする）の検体（血液）が採取され、検査機関９０に搬出される。その際には個人情報匿名化手段としての匿名化処理部４０により、血液が入ったスピッツ２０に貼設されたラベル２１に表示された個人情報が匿名化される。検査機関９０では病院８０から搬送された血液を分析して処理結果としての検査結果ＭＯ５０及び検査結果用紙５１を出力して、病院８０に返送する。検査結果ＭＯ５０及び検査結果用紙５１を受け取った病院８０は、患者１０に検査結果票５２を渡すと共に検査結果の報告を行う。

病院８０は、情報制御装置６０と匿名化処理部４０とを備え、情報制御装置６０は、個人情報記憶手段としての患者情報ＤＢ６１と、識別情報記憶手段としての採血管理ＤＢ６２と、処理結果記憶手段としての検査結果ＤＢ６３と、制御部６５とを備える。

なお、情報制御装置６０と匿名化処理部４０は一体的な装置と捉えてもよい。
ここで、情報制御システム１を構築する情報制御装置６０のハードウェア構成について説明する。図２は、情報制御装置６０のハードウェア構成図である。

情報制御装置６０は、ＣＰＵ（Central Processing Unit）１０１と、メインメモリ１０２と、マザーボードチップセット１０３と、ビデオカード１０４と、ＨＤＤ（Hard Disk Drive）１１１と、ブリッジ回路１１２と、光学ドライブ１２１と、キーボード１２２と、マウス１２３とを備える。

メインメモリ１０２は、ＣＰＵバス及びマザーボードチップセット１０３を介してＣＰＵ１０１に接続されている。ビデオカード１０４は、ＡＧＢ（Accelerated Graphics Port）及びマザーボードチップセット１０３を介してＣＰＵ１０１に接続している。ＨＤＤ１１１は、ＰＣＩ（Peripheral Component Interconnect）バス及びマザーボードチップセット１０３を介してＣＰＵ１０１に接続している。

光学ドライブ１２１は、低速バス、低速バスとＰＣＩバスのブリッジ回路１１２、ＰＣＩバス及びマザーボードチップセット１０３を介してＣＰＵ１０１に接続している。同様の接続構成で、キーボード１２２及びマウス１２３もＣＰＵ１０１に接続している。光学ドライブ１２１は、光ディスクにレーザー光を照射してデータを読み込む（または読み書きする）ドライブであり、例えばＣＤ−ＲＯＭドライブ、ＤＶＤドライブなどが該当する。

なお、図２は、本実施形態に係る情報制御装置６０のハードウェア構成を模式的に示した一例に過ぎず、本実施形態を適用可能であれば、他の様々な構成を採ることができる。
情報制御装置６０は、情報制御プログラムをＨＤＤ１１１に複製して、メインメモリ１０２に、複製した情報制御プログラムがロード可能に構成する所謂インストール（ここで示したインストールは例示に過ぎない）を行うことで構築することができ、コンピュータを制御するＯＳ（Operating System）へ利用者が情報制御装置６０の起動を命令することで、情報制御プログラムがメインメモリ１０２にロードされて起動する。

なお、情報制御プログラムは、ＣＤ−ＲＯＭ等の記録媒体から提供されるようにしてもよいし、ネットワークインターフェース１１４を介してネットワークに接続された他のコンピュータから提供されるようにしてもよい。
以上が、情報制御装置６０のハードウェア構成の説明である。

匿名化処理部４０は、スピッツ２０に貼設されたラベル２１に表示されている患者１０の個人情報を消去または上書きする処理を行う。この匿名化処理部４０は、例えば、搬出口の専用ゲートや血液を入れる箱３０に備えることができ、ゲートを通過したタイミングや箱詰めが完了したタイミングでラベル２１の消去や上書きを行う。

患者情報ＤＢ６１は、患者に関する重要な個人情報（例えば、患者ＩＤ、名前、住所、連絡先、来院に関する情報、病名等）を格納する記憶部である。この記憶部は、検査のみではなく、問診、入院、手術等のあらゆる医療行為を行う際に使用する基本となる記憶部である。

採血管理ＤＢ６２は、採番された採血番号を格納する記憶部である。採血番号は、患者及び採取した血液ごとに一意になるように採番されて格納される。
検査結果ＤＢ６３は、患者ごとに検査結果を格納する記憶部である。
制御部６５は、情報制御装置６０が行う処理の制御を行う。制御部６５については、以下に詳細に説明する。

（１−２ 制御部６５のモジュール構成）
図３は、本実施形態に係る制御部６５のモジュール構成図である。制御部６５は、情報表示手段としての患者情報表示処理部２００と患者情報復元処理部４００とを備える。
患者情報表示処理部２００は、ＩＣタグリーダ１２が読み込んだ患者を特定する情報に基づいて、検体のスピッツ２０に貼設されたラベル２１に、採血番号及び患者１０の個人情報を表示する処理を行う。この患者情報表示処理部２００の詳細な構成は後述する。
患者情報復元処理部４００は、検査機関から送られて来た検査結果ＭＯ５０を読み込んで、検査結果ＤＢ６３に格納する処理を行う。検査結果６３に格納された情報は、患者１０に示されて、検査結果票５２と共に検査結果が報告される。この患者情報復元処理部４００の詳細な構成は後述する。

（１−３ 患者情報表示処理部２００のモジュール構成）
図４は、本実施形態に係る患者情報表示処理部２００のモジュール構成図である。患者情報表示処理部２００は、ＩＣタグ情報入力処理部２１０と、個人情報検索手段としての患者情報検索処理部２２０と、識別情報登録手段としての採血番号採番処理部２３０と、個人・識別情報表示手段としての採血情報表示処理部２４０とを備える。
ＩＣタグ情報入力処理部２１０は、特定情報入力手段としてのＩＣタグリーダ１２が読み込んだ患者情報（患者ＩＤ）を患者情報表示処理部２００に入力する処理を行う。
なお、ＩＣタグリーダと情報制御装置６０が一体化された構成であってもよい。すなわち、ＩＣタグ情報入力処理部２１０がＩＣタグリーダ１２の処理を兼ねる構成にしてもよい。

患者情報検索処理部２２０は、ＩＣタグ情報入力処理部２１０が入力した患者ＩＤから、患者情報ＤＢ６１に格納されている患者情報の中で、該当する患者情報を検索して装置内のメモリに取得する処理を行う。

採血番号採番処理部２３０は、取得した患者情報に対して一意になるように採血番号を採番して、採血管理ＤＢ６２に格納する処理を行う。この時、採取した血液のスピッツごとに採血番号が採番される。例えば患者１０が３本のスピッツに血液を採取した場合、それぞれのスピッツに対して採血番号が１つずつ採番される。また、それぞれの採血番号と患者ＩＤは対応付けられており、採血番号から患者ＩＤを割り出せるようなっている。

採血情報表示処理部２４０は、採血番号と患者の個人情報をスピッツ２０に貼設されたラベル２１に自動で表示する処理を行う。ここでは、ラベル２１に電子ペーパーを利用することで、表示内容を電気的に書き込み、その表示内容は自由に書き換えすることができる。
なお、電子ペーパーによる電気的な書き込み以外に、物理的または化学的な作用（例えば、熱、磁界、光等）を利用してラベル２１に書き込みを行うようにしてもよい。

（１−４ 患者情報復元処理部４００のモジュール構成）
図５は、本実施形態に係る患者情報復元処理部４００のモジュール構成図である。患者情報復元処理部４００は、処理結果入力手段としての検査結果読込処理部４１０と、個人情報特定手段としての患者特定処理部４２０と、処理結果登録手段としての検査結果登録処理部４３０と、検査結果表示処理部４４０とを備える。

検査結果読込処理部４１０は、検査機関から送られてきた検査結果ＭＯ５０を読み込む処理を行う。ここでは、情報制御装置６０がＭＯ読み込み用ドライブを備えており、そのドライブにＭＯを挿入して検査結果の情報を読み取る。

なお、検査結果の受け取り方法はＭＯに限定されない。例えば、ＣＤ−ＲＯＭ、ＤＶＤ−ＲＯＭ、もしくは、ＵＳＢ接続等の外部接続が可能なメモリスティック、または、検査機関のコンピュータからネットワークを介して送信されるようにしてもよい。その他、検査結果データを受け取れる方法であれば何でもよい。

患者特定処理部４２０は、検査結果読込処理部４１０で読み込んだ結果に基づいて患者を特定する処理を行う。具体的には、検査結果データが持つ採血番号を元に、採血管理ＤＢ６２と患者情報ＤＢ６１から患者を特定し、患者の個人情報を復元する。

検索結果登録処理部４３０は、特定された患者情報に基づいて、個々の患者１０ごとに検査結果と患者１０の個人情報を検査結果ＤＢ６３に登録する処理を行う。
検査結果表示処理部４４０は、検査結果ＤＢ６３に登録されている情報を表示する処理を行う。ここでは検査結果を患者に提示するため、検査結果票５２に検査結果を出力して提示する。

（２．動作）
（２−１ 情報制御システムの動作）
情報制御システム１の全体の動作を図１のシステム構成図を用いて説明する。まず、検査を受ける患者１０が、自分の患者カード１１を持って病院８０に検査に訪れる。患者１０は、患者カード１１を提示して受付を済ませ検査室に入室する。検査室には患者カード１１に付設されたＩＣタグを読み込むＩＣタグリーダ１２が備えられており、患者１０が患者カード１１をＩＣタグリーダ１２にかざすと、ＩＣタグの情報を読み込んで（図中(1)）、採血番号を採番して、採血管理ＤＢ６２に登録する（図中(2)）。登録されたデータ（採血番号及び患者１０の個人情報）は、血液を採取するスピッツ２０に貼設されたラベル２１に表示される（図中(3)）。採血者は、採血番号及び個人情報が表示されたスピッツ２０に、表示内容を確認しながら採血を実施する（図中(4)）。血液が採取されたスピッツ２０は箱３０に箱詰めされ（図中(5)）、匿名化処理部４０により匿名化の処理が行われる（図中(6)）。この匿名化の処理は、採血後から、病院外へ搬出されるまでの間であればいつ行ってもよい。

病院外へ搬出された検体は検査機関９０に搬送され（図中(7)）、箱３０からスピッツ２０を取り出し（図中(8)）、検査が実施される（図中(9)）。スピッツ２０には個人情報が表示されていないため、個人情報が漏洩することはない。検査機関９０にて検査が実施された結果、検査結果ＭＯ５０と検査結果用紙５１が作成され、病院へ搬送される（図中(10)）。検査結果を受け取った病院側では、検査結果ＭＯ５０が持つ採血番号から患者１０を特定し（図中(11)）、特定された患者１０の個人情報と検査結果を検査結果ＤＢ６３に登録する（図中(12)）。検査結果ＤＢ６３に登録された情報に基づいて検査結果票５２が出力され（図中(13)）、患者１０は、その検査結果票５２をもらって、検査結果の説明を受ける。

（２−２ 情報制御装置６０の動作）
図６は、本実施形態に係る情報制御装置６０の動作を示すフローチャートである。まず、システムが起動され、システム使用者によりシステムログインの処理が行われる（ステップＳ６０１）。患者１０の入室または検査結果ＭＯ５０を受け取るまで（受付区分が入力されるまで）待機する。受付区分が入力されると（ステップＳ６０２）、処理が起動され（ステップＳ６０３）、入力された受付区分が情報処理装置６０に読み込まれる（ステップＳ６０４）。受付区分が判定され（ステップＳ６０５）、受付区分が「終了」であれば、システムをログアウトして（ステップＳ６０６）処理を終了する。受付区分が「患者情報表示」であれば、患者情報表示処理を行って（ステップＳ６０７）、再び待機状態となる。ステップＳ６０７の患者情報表示処理の詳細は後述する。受付区分が「患者情報復元」であれば、患者情報復元処理を行って（ステップＳ６０８）、再び待機状態となる。ステップＳ６０８の患者情報復元処理の詳細は後述する。

（２−２−１ 患者情報表示処理）
図７は、患者情報表示処理を示すフローチャートである。まず、患者カードに付設されたＩＣタグ情報が入力される（ステップＳ７０１）。入力されたＩＣタグ情報の患者ＩＤに基づいて、患者情報ＤＢ６１から患者情報を検索する（ステップＳ７０２）。検索した結果、ヒットした患者情報に対応付けて採血番号を採番する（ステップＳ７０３）。このとき患者と採血番号が一意に認識できるように採番する。採番した採血番号や、それに対応する患者ＩＤまたは患者名等の情報を含む採血情報を採血管理ＤＢ６２に登録する（ステップＳ７０４）。採血管理ＤＢ６２及び患者情報ＤＢ６１に基づいて、スピッツ２０に貼設されたラベル２１に、採血番号及び患者１０の個人情報を表示して（ステップＳ７０５）、患者情報表示処理を終了する。

なお、採血管理ＤＢ６２に採血番号を登録する際には、患者情報ＤＢ６１が持つ患者の個人情報も併せて登録するようにしてもよい。そうすることで、ラベル表示を行う際に、採血管理ＤＢ６２のみを参照すればよく、処理効率を上げることができる。

図８は、ラベル２１の表示の一例である。図８（ａ）は、過去に病院に通院したことがあり、患者ＩＤを有する患者のラベル表示の例示であり、図８（ｂ）は、患者ＩＤを有しない患者であり、例えば、急患であった場合の患者のラベル表示の例示である。ラベル２１には、患者氏名、患者ＩＤ、性別、生年月日、年齢、及び、採血番号が表示され、スピッツの中身が誰のものであるかを一見して認識することができる。図８（ｂ）のように急患の場合はＩＤ登録行う時間はないため、氏名、性別、年齢、及び、採血番号のみを表示する。その場合、確認できない項目については空白としておく。いずれの場合であっても、採血番号から患者を一意に特定することができる。

なお、図８の表示はあくまで一例であり、これより表示項目を削除してもよいし追加してもよい。例えば、大病院で検査室がいくつにも分かれている場合は検査室番号や担当医の名前を表示するようにしてもよい。
また、急患の場合は、確認できない項目については全て空白にすることができるが、採血番号と仮の名称だけは表示するようにする。その場合、仮の患者ＩＤを割り振って、身元の確認が取れ次第正式に患者情報等を登録するようにしてもよい。

（２−２−２ 患者情報復元処理）
図９は、患者情報復元処理を示すフローチャートである。まず、検査結果ＭＯ５０の検査結果を情報制御装置６０に読み込む（ステップＳ９０１）。検査結果ＭＯには、採血番号と、その番号に対応する結果情報が格納されているため、採血番号から患者の特定を行う（ステップＳ９０２）。患者の特定は、採血番号から採血管理ＤＢ６２を読み込み、患者ＩＤを特定する。その特定した患者ＩＤから患者情報ＤＢ６１を読み込んで、患者を特定する。患者が特定されたら、特定された患者の検査結果と個人情報が検査結果ＤＢ６３に登録される（ステップＳ９０３）。検査結果ＤＢ６３に登録された情報を検査結果票５２に表示し（ステップＳ９０４）、患者１０に検査結果票５２を提示しながら、検査結果の報告を行って患者情報復元処理を終了する。
なお、検査結果ＤＢ６３には検査結果と患者ＩＤのみを登録し、検査結果票５２を表示する際に採血管理ＤＢ６２及び患者情報ＤＢ６１を読み込んで、個人情報を取得するようにしてもよい。

（２−３ 匿名化処理部の動作）
図１０は、本実施形態に係る匿名化処理部４０の動作を示すフローチャートである。まず、匿名化処理が起動される（ステップＳ１００１）。この処理の起動は、様々な動作を契機にして起こる。例えば、病院の搬出口に専用のゲートを設け、ゲートの通過を契機としてもよいし、箱３０の表面にバーコードを印刷し、搬出口付近にバーコードリーダを設置しておき、箱３０の表面のバーコードの読み込みを契機にしてもよい。また、箱詰めの際に箱詰めを行う人が、箱詰めの完了時に所定のボタンやスイッチを押下するようにしてもよい。つまり、採血後から、病院外への搬出の間に匿名化処理が起動できればよい。

ステップＳ１００１で匿名化処理が起動されたら、ラベル２１に表示された個人情報の消去または上書きが行われて（ステップＳ１００２）、匿名化処理を終了する。個人情報の消去または上書きは、電子ペーパーの書き換えを行うことができる装置により、電子ペーパーを利用したラベル２１を書き換えることで実現される。電子ペーパーの書き換えを行うことができる装置は、例えば、箱３０に備えられており、箱詰めの完了を契機にして、個人情報を消去または上書きする。また、搬出口に設けた専用ゲートが電子ペーパーの書き込み機能を有するようにすれば、ゲートの通過を契機として、個人情報を消去または上書きする。この時、消去または上書きする個人情報の項目は予め設定しておく。

なお、上記のような電子ペーパーを使って、電気的なラベル表示を行わない場合であっても、それぞれの表示方法（熱、磁界、光等を利用した方法）に応じた専用装置を搬出口に設けておき、搬出者がその装置を使用して個人情報を消去したり上書きするようにしてもよい。

図１１は、ラベル２１の個人情報を匿名化処理した場合の表示の一例である。図１１（ａ）は、図８（ａ）のラベル２１を匿名化処理した場合であり、図１１（ｂ）は、図８（ｂ）のラベル２１を匿名化処理した場合のラベル表示の例示である。図１１（ａ）では、個人に関する情報の全てが「＊」で上書きされており、血液が誰のものであるかを特定することはできない。また、図１１（ｂ）では、表示されている情報は全て「＊」に上書きされ、元々空白だった項目は空白のままである。これは、未入力項目であることを示すためである。このように、匿名化した状態で検査機関に搬送されるため、検査機関ではそれぞれの血液が誰のものであるかを特定できない。また、患者の個人情報が漏洩することもない。

なお、上記でも示した通り、図１１の表示はあくまで一例であり、システムの使用者によって表示項目や削除、上書き項目を自由に設定することができる。例えば、採血番号以外の表示は全て消去してしまってもよい。

このように、本実施形態によれば、病院内ではスピッツ２０に貼設されたラベル２１には患者１０の個人情報が表示されているため、一見して誰の血液であるかを識別することができ、病院外へ搬出される際には、個人情報が消去または上書きされるため、患者１０の個人情報が漏洩することを防止することができる。また、採血時に患者カード１１に付設されたＩＣタグを読み込むことでラベル２１に情報を表示するため、ラベル２１に表示された情報と採取した血液が確実に対応付けられ、血液の取り違い等による医療事故を防止することができる。

（本発明の第２の実施形態）
（１．構成）
（１−１ 情報制御装置を含む情報制御システム構成）
図１２は、本実施形態に係る情報制御装置を含む情報制御システムのシステム構成図である。図１に示した第１の実施形態に係る情報制御システムと構成上相違する点は、匿名化処理部４０が匿名化情報通知処理部４５に変わった点と、情報制御装置６０の制御部６５ａである。患者情報ＤＢ６１、採血管理ＤＢ６２、及び、検査結果ＤＢ６３の構成及び機能は第１の実施形態と同様である。また、情報制御装置６０のハードウェア構成も第１の実施形態と同様である。

匿名化情報通知処理部４５は、情報制御装置６０に対して匿名化処理を起動する旨の通知をする処理を行う。つまり、本実施形態においては、電子ペーパーの書き換え処理を情報制御装置６０で行うようになり、匿名化情報通知処理部４５は、電子ペーパーの書き換え機能は有していない。また、匿名化情報通知のタイミングは、第１の実施形態の場合と同様に、採血後から病院外へ搬出されるまでの間であり、例えば、搬出口の専用ゲートを通過したタイミングや箱詰めが完了したタイミングで通知を行う。
制御部６５ａは、第１の実施形態と同様に、情報制御装置６０が行う処理の制御を行うが、匿名化の処理機能が追加されている。制御部６５ａについては、以下に詳細に説明する。

（１−２ 制御部６５ａのモジュール構成）
図１３は、本実施形態に係る制御部６５ａのモジュール構成図である。制御部６５ａは、患者情報表示処理部２００と、個人情報匿名化手段としての患者情報匿名化処理部３００と、患者情報復元処理部４００ａとを備える。
患者情報表示処理部２００は、第１の実施形態と同様の機能であるため説明は省略する。

患者情報匿名化処理部３００は、匿名化情報通知処理部４５から通知を契機にして、スピッツ２０に貼設されたラベル２１に表示されている患者１０の個人情報を消去または上書きする処理を行う。また、各スピッツごとに匿名化されている状態を採血管理ＤＢ６２に登録する処理を行う。患者情報匿名化処理部３００の詳細な構成は後述する。

患者情報復元処理部４００ａは、第１の実施形態と同様に、検査機関から送られて来た検査結果ＭＯ５０を読み込んで、検査結果ＤＢ６３に格納する処理を行うが、患者情報匿名化処理部３００にて採血管理ＤＢ６２に登録された匿名化状態を解除する処理機能が追加されている。つまり、検査結果を受け取った血液については、採血番号に基づいて患者情報が復元されるため、匿名化状態を解除する。患者情報復元処理部４００ａの詳細な構成は後述する。

（１−３ 患者情報匿名化処理部３００のモジュール構成）
図１４は、本実施形態に係る患者情報匿名化処理部３００のモジュール構成図である。患者情報匿名化処理部３００は、匿名化情報受信処理部３１０と、匿名化状態登録処理部３２０と、匿名処理手段としての書換処理部３３０とを備える。
匿名化情報受信処理部３１０は、匿名化情報通知処理部４５から通知された匿名化情報を受信する処理を行う。

匿名化状態登録処理部３２０は、匿名化情報受信処理部３１０が受信した匿名化情報に含まれる、匿名化処理の対象となる採血番号のデータについて、匿名化状態であることを採血管理ＤＢ６２に登録する処理を行う。つまり、採血管理ＤＢ６２を参照することで、どの血液がどの状態であるかを確認することができる。

書換処理部３３０は、匿名化処理の対象となるスピッツ２０に貼設されたラベル２１の個人情報を消去または上書きして書き換える処理を行う。つまり、書き換えるデータの情報を、電子ペーパーを利用したラベル２１に送信し、その情報に基づいてラベル２１の表示内容が書き換えられる。

（１−４ 患者情報復元処理部４００ａのモジュール構成）
図１５は、本実施形態に係る患者情報復元処理部４００ａのモジュール構成図である。患者情報復元処理部４００ａは、検査結果読込処理部４１０と、患者特定処理部４２０と、匿名化状態解除処理部４２５と、検査結果登録処理部４３０と、検査結果表示処理部４４０とを備える。

検査結果読込処理部４１０、患者特定処理部４２０、検査結果登録処理部４３０、及び、検査結果表示処理部４４０については、第１の実施形態と同様の機能であるため説明は省略する。

匿名化状態解除処理部４２５は、匿名化されている状態として採血管理ＤＢ６２に登録されている採血番号のデータについて、患者特定処理部４２０にて特定された患者情報に基づいて匿名化状態を解除する処理を行う。

なお、匿名化状態解除処理部４２５と検査結果登録処理部４３０の処理は並行して行うことができる。すなわち、匿名化状態解除処理部４２５が採血管理ＤＢ６２に対して匿名化状態を解除する処理を行いつつ、検査結果登録処理部４３０が検査結果ＤＢ６３に検査結果を登録することができる。

（２．動作）
（２−１ 情報制御システムの動作）
情報制御システム１の全体の動作を図１２のシステム構成図を用いて説明する。図中の(1)ないし(5)、及び、(7)ないし(11)までは第１の実施形態と同じ処理であるため、説明は省略する。本実施形態においては、ラベル２１に採血番号情報を埋め込んだＩＣタグを付設している。このＩＣタグの採血番号情報は、ラベル２１に採血番号及び個人情報を表示する際に、患者情報表示処理部２００により同時に書き込まれる。

(5)の処理で箱詰めされた各スピッツ２０のラベル２１に付設されたＩＣタグの採血番号情報は、搬出ゲートを通過する際に搬出ゲートに設置されたＲＦＩＤにより情報制御装置６０に送信される（図中６ａ）。情報制御装置６０は、受信した採血番号情報に基づいて匿名化状態を採血管理ＤＢ６２に登録し、匿名化状態を登録した採血番号のデータについて、書き換え後のデータの情報を、電子ペーパーを利用したラベル２１に送信し、その情報に基づいてラベル２１の表示内容が書き換えられる（図中６ｂ）。検体は、個人情報が消去または上書きされた状態で検査機関に搬送される（図中(7)）。

(11)の処理で検査結果データが持つ採血番号から患者１０が特定され、併せて６ａ、６ｂの処理において採血管理ＤＢ６２に登録された匿名化状態が解除される（図中１１ａ）。個人情報と検査結果を検査結果ＤＢ６３に登録し（図中(12)）、検査結果ＤＢ６３に登録された情報に基づいて検査結果票５２が出力される（図中(13)）。患者１０は、その検査結果票５２をもらい、検査結果の説明を受けて、システム全体の一連の処理を終了する。
なお、上記では、ラベル２１に採血番号情報を埋め込んだＩＣタグを付設するようにしたが、ラベル２１自体にＩＣタグの機能を持たせるようにしてもよい。

（２−２ 情報制御装置６０の動作）
図１６は、本実施形態に係る情報制御装置６０の動作を示すフローチャートである。第１の実施形態と相違する点は、受付区分に「患者情報匿名化」が加わり、患者情報匿名者処理ステップＳ１６０１が加わった点である。ステップＳ６０１ないしステップＳ６０４の処理は、第１の実施形態と同様であるため説明は省略する。

ステップＳ６０４で受付区分が読み込まれると、ステップＳ６０５で、読み込まれた受付区分が判定される。受付区分が「終了」であれば、システムをログアウトして（ステップＳ６０６）処理を終了する。受付区分が「患者情報表示」であれば、患者情報表示処理を行って（ステップＳ６０７）、再び待機状態となる。受付区分が「患者情報匿名化」であれば、患者情報匿名化処理を行って（ステップＳ１６０１）、再び待機状態となる。ステップＳ１６０１の患者情報匿名化処理の詳細は後述する。受付区分が「患者情報復元」であれば、患者情報復元処理を行って（ステップＳ１６０２）、再び待機状態となる。ステップＳ１６０２の患者情報復元処理の詳細は後述する。

（２−２−１ 患者情報匿名化処理）
図１７は、患者情報匿名化処理を示すフローチャートである。まず、匿名化情報通知処理部４５から通知された匿名化情報を受信する（ステップＳ１７０１）。受信した匿名化情報に基づいて、採血管理ＤＢ６２に匿名化状態を登録する（ステップＳ１７０２）。匿名化状態として登録された採血番号のデータについて、書き換え後のデータの情報をラベル２１に送信して書き換え処理を行い（ステップＳ１７０３）、患者情報匿名化処理を終了する。
なお、書き換えを行う個人情報の項目は使用者が任意に設定することができる。

（２−２−２ 患者情報復元処理）
図１８は、患者情報復元処理を示すフローチャートである。第１の実施形態と相違する点は、匿名化状態解除ステップＳ９０２ａが加わった点である。ステップＳ９０１、ステップＳ９０２、ステップＳ９０３、及び、ステップＳ９０４の処理は、第１の実施形態と同様であるため説明は省略する。

ステップＳ９０２で患者が特定されると、匿名化されている状態として採血管理ＤＢ６２に登録されている採血データについて、匿名化状態の解除が行われる（ステップＳ９０２ａ）。解除されたデータについては、以降のステップＳ９０３、ステップＳ９０４の処理が行われる。
なお、この匿名化状態の解除の処理とステップＳ９０３、ステップＳ９０４の処理は平行して行うこともできる。すなわち、ステップＳ９０２で患者が特定されると、ステップＳ９０２ａの処理に進むのと同時に、ステップＳ９０３の処理にも進むことができる。

（２−３ 匿名化情報通知処理部の動作）
図１９は、本実施形態に係る匿名化情報通知処理部４５の動作を示すフローチャートである。まず、ＲＦＩＤにより匿名化処理の検知が行われる（ステップＳ１９０１）。この匿名化処理の検知は、第１の実施形態と同様に様々な動作を契機にして検知することができる。例えば、病院の搬出口に専用のゲートを設け、ゲートの通過を契機としてもよいし、箱３０の表面にバーコードを印刷し、搬出口付近にバーコードリーダを設置しておき、箱３０の表面のバーコードの読み込みを契機にしてもよい。また、箱詰めの際に箱詰めを行う人が所定のボタンやスイッチを押下するようにしてもよい。つまり、採血後から、病院外への搬出の間に匿名化処理が起動できればよい。

ステップＳ１９０１で匿名化処理が検知されたら、匿名化情報が情報制御装置６０に送信されて（ステップＳ１９０２）、匿名化情報通知処理を終了する。匿名化情報には、匿名化処理の対象となるスピッツの採血番号が含まれており、情報制御装置６０はその情報に基づいて該当する採血番号の個人情報の書き換え後のデータをラベル２１に送信し、その情報を受信したラベル２１は、個人情報の消去または上書きを行う。

なお、本実施形態においては、ラベル２１を、電気的な書き込みを行う電子ペーパーを利用したラベルとしたが、第１の実施形態と同様に、電気的な書き込み以外に、熱、磁界、光等を利用してラベル２１に書き込みを行うようにしてもよい。
また、第１の実施形態と同様に、ラベル２１に表示する項目はシステムの使用者によって自由に設定することができる。

このように、本実施形態によれば、第１の実施形態と同様に、病院内では一見して誰の血液であるかを識別することができ、病院外へ搬出される際には、患者１０の個人情報が漏洩することを防止することができる。また、血液の取り違い等による医療事故を防止することができる。加えて、匿名化する処理を情報制御装置６０が行うことで、匿名化状態を確認することができ、各スピッツが現在どういう状態にあるかを管理することができる。さらに、全てのデータを情報制御装置６０で管理することで、情報の管理を効率的に行うことができる。

（その他の実施形態）
本実施形態に係る情報制御装置を含む情報制御システムのシステム構成、機能、及び、動作は上記第１の実施形態または第２の実施形態と同様であるが、ラベル２１の領域を２つに分割している点が相違している。

図２０は、本実施形態に係るラベル２１の表示の一例である。図に示す通り、表示領域が、採血番号を表示する表示領域ａと個人情報を表示する表示領域ｂに分割されている。表示領域ａは、一度書き込みを行うと書き換え不可能となっている。つまり、採血番号は常に表示されているため書き換えを行う必要がなく、且つ、採血番号は本発明の情報制御システムの処理において一貫して同一でなければならないため、書き換え不可能としている。そうすることで、人的ミス等によりラベル２１の表示内容が書き換えられてしまった場合であっても、表示領域ｂに表示されている個人情報のみが書き換わり、採血番号が変更される心配がなくなる。従って、検体の取り違い等による医療事故を確実に防止することができる。

なお、上記各実施形態において、病院８０と検査機関９０を備える構成としたが、検査機関を病院内に備える場合であっても、本発明の情報制御装置は対応可能である。
また、上記各実施形態において、処理対象物としての検体を血液として説明したが、血液以外に尿、レントゲン、心電図等の医療用検査に用いる検体であれば何でもよい。

さらに、処理対象物は医療用の検体に限定せずに、試験解答用紙やアンケート回答用紙等のように個人情報が表示されていなくても処理対象物に対して処理を行えるものであれば何でもよい。

さらにまた、上記各実施形態において、病院と検査機関の情報制御装置として説明したが、例えば、学校と試験実施業者の情報制御装置としても利用することができる。この場合は、病院８０が学校、検査機関９０が試験実施業者、患者１０が学生、患者カード１１が学生カード、患者情報ＤＢ６１が学生情報ＤＢ、採血管理ＤＢ６２が試験管理ＤＢ、検査結果ＤＢ６３が試験結果ＤＢ、スピッツ２０が試験解答用紙、検査結果ＭＯ５０が試験結果、検査結果用紙５１が試験結果用紙、検査結果票５２が試験結果票、患者情報表示処理部２００が学生情報表示処理部、患者情報復元処理部４００が学生情報復元処理部、患者情報検索処理部２２０が学生情報検索処理部、採血番号採番処理部２３０が試験番号採番処理部、採血情報表示処理部２４０が試験情報表示処理部、検査結果読込処理部４１０が試験結果読込処理部、患者特定処理部４２０が学生特定処理部、検査結果登録処理部４３０が試験結果登録処理部、検査結果表示処理部４４０が試験結果表示処理部、患者情報匿名化処理部３００が学生情報匿名化処理部、となることで実現することが可能である。また、それに合わせてラベル２１の表示項目も変更する。
さらにまた、本発明に係る情報制御装置は、外部の業者に対して、個人情報を伏せても外部業者が処理を行うことができる場合に適用することが可能である。

以上の前記各実施形態により本発明を説明したが、本発明の技術的範囲は実施形態に記載の範囲には限定されず、これら各実施形態に多様な変更又は改良を加えることが可能である。そして、かような変更又は改良を加えた実施の形態も本発明の技術的範囲に含まれる。このことは、特許請求の範囲及び課題を解決する手段からも明らかなことである。

第１の実施形態に係る情報制御装置を含む情報制御システムのシステム構成図である。 第１の実施形態に係る情報制御装置６０のハードウェア構成図である。 第１の実施形態に係る制御部６５のモジュール構成図である。 第１の実施形態に係る患者情報表示処理部２００のモジュール構成図である。 第１の実施形態に係る患者情報復元処理部４００のモジュール構成図である。 第１の実施形態に係る情報制御装置６０の動作を示すフローチャートである。 第１の実施形態に係る患者情報表示処理を示すフローチャートである。 ラベル２１の表示の一例である。 第１の実施形態に係る患者情報復元処理を示すフローチャートである。 第１の実施形態に係る匿名化処理部４０の動作を示すフローチャートである。 ラベル２１の個人情報を匿名化処理した場合の表示の一例である。 第２の実施形態に係る情報制御装置を含む情報制御システムのシステム構成図である。 第２の実施形態に係る制御部６５ａのモジュール構成図である。 第２の実施形態に係る患者情報匿名化処理部３００のモジュール構成図である。 第２の実施形態に係る患者情報復元処理部４００ａのモジュール構成図である。 第２の実施形態に係る情報制御装置６０の動作を示すフローチャートである。 第２の実施形態に係る患者情報匿名化処理を示すフローチャートである。 第２の実施形態に係る患者情報復元処理を示すフローチャートである。 第２の実施形態に係る匿名化情報通知処理部４５の動作を示すフローチャートである。 その他の実施形態に係るラベル２１の表示の一例である。

符号の説明

１ 情報制御システム
１０ 患者
１１ 患者カード
１２ ＩＣタグリーダ
２０ スピッツ
２１ ラベル
３０ 箱
４０ 匿名化処理部
４５ 匿名化情報通知処理部
５０ 検査結果ＭＯ
５１ 検査結果用紙
５２ 検査結果票
６０ 情報制御装置
６１ 患者情報ＤＢ
６２ 採血管理ＤＢ
６３ 検査結果ＤＢ
６５ 制御部
６５ａ 制御部
１０１ ＣＰＵ
１０２ メインメモリ
１０３ ＭＢチップセット
１０４ ビデオカード
１１１ ＨＤＤ
１１２ ブリッジ回路
１１４ ネットワークインターフェース
１２１ 光学ドライブ
１２２ キーボード
１２３ マウス
２００ 患者情報表示処理部
２１０ ＩＣタグ情報入力処理部
２２０ 患者情報検索処理部
２３０ 採血番号採番処理部
２４０ 採血情報表示処理部
３００ 患者情報匿名化処理部
３１０ 匿名化情報受信処理部
３２０ 匿名化状態登録処理部
３３０ 書換処理部
４００ 患者情報復元処理部
４００ａ 患者情報復元処理部
４１０ 検査結果読込処理部
４２０ 患者特定処理部
４２５ 匿名化状態解除処理部
４３０ 検査結果登録処理部
４４０ 検査結果表示処理部

Claims (8)

1. 個人を特定する情報を匿名化して個人情報の漏洩を防止する情報制御装置であって、
   前記個人情報を格納させるための個人情報記憶手段と、
   前記個人に対応する当該個人の処理対象物を一意に識別するための情報を格納させるための識別情報記憶手段と、
   前記個人を特定する特定情報の入力を受け付ける特定情報入力手段と、
   前記特定情報入力手段にて入力を受け付けた特定情報に基づいて、所定の区域内において、前記個人情報記憶手段により保持される個人情報及び前記識別情報記憶手段により保持される識別情報を、前記処理対象物に貼設された書き換えが可能なラベルに表示させるための信号を出力する情報表示手段と、
   前記処理対象物が前記所定の区域内から搬出される場合に、前記ラベルに表示された個人情報のうち、少なくとも個人を特定する情報を含む当該個人情報の一部または全部を匿名化させるための信号を出力する個人情報匿名化手段とを備えることを特徴とする、情報制御装置。
2. 請求項１に記載の情報制御装置であって、
   前記処理対象物が前記所定の区域内から搬出される場合に、匿名化処理を行う旨の通知を受け付ける匿名化情報通知受付手段を備え、
   前記個人情報匿名化手段が前記匿名化情報通知受付手段に基づいて、前記情報表示手段により前記ラベルに表示されている個人情報のうち、少なくとも個人を特定する情報を含む当該個人情報の一部または全部を匿名化させるための信号を出力することを特徴とする、情報制御装置。
3. 請求項１または２に記載の情報制御装置であって、
   前記情報表示手段が、
   前記特定情報入力手段により入力を受け付けた特定情報に基づいて、前記個人情報記憶手段により保持される個人情報を検索する個人情報検索手段と、
   前記個人情報検索手段が検索した結果に基づいて、前記個人の処理対象物を一意に識別するための識別情報を生成し、当該識別情報を前記識別情報記憶手段に保持させる識別情報登録手段と、
   前記個人情報記憶手段により保持される個人情報及び前記識別情報記憶手段により保持される識別情報に基づいて、前記処理対象物に貼設された書き換えが可能なラベルに当該個人情報及び当該識別情報を表示させるための信号を出力する個人・識別情報表示手段とを備えることを特徴とする、情報制御装置。
4. 請求項２または３に記載の情報制御装置であって、
   前記個人情報匿名化手段が、
   前記匿名化情報通知手段にて通知された匿名化情報に基づいて前記識別情報記憶手段に匿名化状態を保持させる匿名化状態登録手段と、
   前記匿名化情報に基づいて前記ラベルに表示された個人情報のうち、少なくとも個人を特定する情報を含む当該個人情報の一部または全部を匿名化させるための信号を出力する匿名処理手段とを備えることを特徴とする、情報制御装置。
5. 請求項１ないし４のいずれかに記載の情報制御装置であって、
   前記処理対象物の処理結果を保持させるための処理結果記憶手段と、
   前記処理結果の入力を受け付ける処理結果入力手段と、
   前記処理結果入力手段にて入力を受け付けた処理結果に含まれる前記識別情報に基づいて、前記個人情報匿名化手段により所定の区域外にて匿名化された前記処理対象物の個人情報を特定する個人情報特定手段と、
   前記個人情報特定手段により特定された個人情報及び前記処理対象物の処理結果を前記処理結果記憶手段に保持させる処理結果登録手段とを備えることを特徴とする、情報制御装置。
6. 請求項１ないし５のいずれかに記載の情報制御装置であって、
   前記情報表示手段が、前記個人情報及び識別情報を、前記ラベルの異なる表示領域にそれぞれ表示し、当該個人情報の表示領域に表示された当該個人情報の一部または全部のみを書き換え可能に制御するための信号を出力することを特徴とする、情報制御装置。
7. 個人を特定する情報を匿名化して個人情報の漏洩を防止する情報制御プログラムであって、
   コンピュータを、
   前記個人を特定する情報と個人に関するその他の情報とを含む前記個人情報を格納させるための個人情報記憶手段と、
   前記個人情報記憶手段により保持される個人情報に係る個人に対応して当該個人の処理対象物を一意に識別するための情報を含む処理対象物情報を格納させる処理対象物情報記憶手段と、
   前記個人を特定する情報を示す特定情報の入力を受け付ける特定情報入力手段と、
   前記処理対象物の状態を示す状態情報の入力を受け付ける状態情報入力手段と、
   前記状態情報入力手段からの状態情報が第一の状態を示すことを検知したことに応じて、前記特定情報入力手段からの特定情報に基づいて特定される個人情報を前記個人情報記憶手段から及び処理対象物情報を前記処理対象物情報記憶手段から取得し、当該個人情報及び処理対象物情報に基づいて生成される出力情報を前記処理対象物に貼設された書き換えが可能なラベルに表示させるための信号を出力する第一の情報出力手段と、
   前記状態情報入力手段からの状態情報が第二の状態を示すことを検知したことに応じて、前記ラベルに表示された個人情報のうち、少なくとも個人を特定する情報を含む当該個人情報の一部または全部を匿名化し、当該匿名化された個人情報及び処理対象物情報に基づいて生成される出力情報を前記処理対象物に貼設された書き換えが可能なラベルに表示させるための信号を出力する第二の情報出力手段として機能させるための情報制御プログラム。
8. 個人を特定する情報を匿名化して個人情報の漏洩を防止する情報制御方法であって、
   前記個人を特定する特定情報の入力を受け付ける特定情報入力ステップと、
   前記特定情報入力ステップで入力を受け付けた特定情報に基づいて、所定の区域内において、個人情報記憶手段により保持される個人情報及び識別情報記憶手段により保持される識別情報を、前記処理対象物に貼設された書き換えが可能なラベルに表示させるための信号を出力する情報表示ステップと、
   前記処理対象物が前記所定の区域内から搬出される場合に、前記ラベルに表示された個人情報のうち、少なくとも個人を特定する情報を含む当該個人情報の一部または全部を匿名化させるための信号を出力する個人情報匿名化ステップとを含むことを特徴とする情報制御方法。

Images