JP2015207053A

JP2015207053A - 情報管理システム、情報管理方法及びプログラム

Info

Publication number: JP2015207053A
Application number: JP2014085588A
Authority: JP
Inventors: 俊瑞山根; Shunzui Yamane
Original assignee: Canon Inc
Current assignee: Canon Inc
Priority date: 2014-04-17
Filing date: 2014-04-17
Publication date: 2015-11-19
Anticipated expiration: 2034-04-17
Also published as: JP6552160B2

Abstract

【課題】個人情報等の秘匿情報の保護を担保しつつ、秘匿情報を扱うアプリケーションの不具合解析やリモートメンテナンスを容易に行う。
【解決手段】情報管理システムであって、秘匿対象となる秘匿情報に対応付けられた情報秘匿レベルと、秘匿情報が扱われる環境における環境秘匿レベルとを比較する比較手段と、比較結果に基づいて、秘匿情報の表示態様を変更する秘匿処理を行うか否かを判断する判断手段と、秘匿処理を行うと判断された場合に、秘匿情報に対し、秘匿処理を施す秘匿処理手段と、秘匿処理後の秘匿情報を出力する出力手段とを有する。
【選択図】図１

Description

本発明は、情報管理システム、情報管理方法及びプログラムに関する。

今日、企業や病院で使われる情報システムは、個人情報や営業秘密等の秘匿情報を扱う必要がある。個人情報保護法の施行により、企業や病院においては秘匿情報の中でも特に個人情報が外部に漏洩することを防止する必要性が高まっている。病院で使われる情報システムの例として、特許文献１には、医療カンファレンスシステムが提案されている。この医療カンファレンスでは、電子カルテの患者基礎情報やＳＯＡＰ（Subjective，Objective，Assessment，Plan）記述を最初に確認する。次に、ＰＡＣＳ（Picture Archiving and Communication Systems）ビューワのＤＩＣＯＭ（Digital Imaging and Communication in Medicine）画像を見ながら患部を確認する。さらに、検査レポートシステムを用いて読影診断や病理診断の検査報告書を参照することが良く行われる。
しかし、患者名や医師名のような個人情報を扱うため、このようなシステムの不具合解析作業（デバッグ作業）はシステムを導入した病院に赴いて行う必要があり、サポート作業に費用と時間が掛かるという問題があった。これに対し、特許文献２，３には、サーバとクライアントの間のゲートウェイで個人情報にマスク処理を施す技術が開示されている。

特開２０１３−１８６６５０号公報特開２００６−３４３９４４号公報特開２００７−１４８５１０号公報

しかしながら、特許文献２の技術では、サーバとクライアントの間のゲートウェイで個人情報にマスク処理を施すため、クライアント側で発生した不具合のデバッグ作業に必要な情報を取れないという問題がある。具体的には、サーバ側から送られてきた個人情報を含む文字列をクライアント側で処理する場合に問題が発生する。すなわち、途中のゲートウェイのマスク処理で文字列が変更されてしまうと、マスクを行わなかった時のクライアント側の処理結果を、マスクを行った時には再現出来ないという問題がある。
例えば、クライアント側で患者名によるソート処理を行う場合、マスク処理済みの文字列がクライアントに渡されるためソート順番を再現出来ない。また、マスク処理で個人情報を含んだ文字列の長さが変更されると、メモリ使用量が変化し、メモリ不足等の不具合が再現出来ない。このため、病院外のクライアントを用いてリモートでデバッグ作業を行うのは困難である。

また、個人情報を保護する度合は、個人情報の種別や出力環境毎に異なり、一律に個人情報をマスク出来ないことが多い。例えば、院内でのデバッグ時には患者名はマスクするが患者ＩＤはマスクしない、しかし、院外からのデバッグ時には全ての個人情報をマスクする、というような運用が行われることが多い。このような運用は病院毎の個人情報保護ポリシーによって異なるため、個人情報の種別や出力環境に応じてマスク度合を多段階に制御する必要がある。
しかしながら、特許文献３においては、個人情報の種別に応じてマスク度合を多段階に制御するためには、段階毎にマスクされたデータを事前に準備しておく必要がある。このため、様々な個人情報出力環境に合わせて柔軟にマスク度合を変えることが難しいという問題がある。

本発明はこのような問題点に鑑みなされたもので、個人情報等の秘匿情報の保護を担保しつつ、秘匿情報を扱うアプリケーションの不具合解析やリモートメンテナンスを容易に行うことを目的とする。

そこで、本発明は、情報管理システムであって、秘匿対象となる秘匿情報に対応付けられた情報秘匿レベルと、前記秘匿情報が扱われる環境における環境秘匿レベルとを比較する比較手段と、比較結果に基づいて、前記秘匿情報の表示態様を変更する秘匿処理を行うか否かを判断する判断手段と、秘匿処理を行うと判断された場合に、前記秘匿情報に対し、秘匿処理を施す秘匿処理手段と、秘匿処理後の前記秘匿情報を出力する出力手段とを有することを特徴とする。

本発明によれば、個人情報等の秘匿情報の保護を担保しつつ、秘匿情報を扱うアプリケーションの不具合解析やリモートメンテナンスを容易に行うことができる。

情報管理システムを示す図である。クライアント装置及びサーバ装置を示す図である。情報管理処理を示すフローチャートである。入力ＸＭＬを示す図である。情報秘匿レベルテーブルの一例を示す図である。秘匿文字列型を示す図である。環境秘匿レベルテーブルの一例を示す図である。環境秘匿レベル情報の一例を示す図である。置換文字列テーブルの一例を示す図である。情報管理処理の説明図である。情報管理処理の説明図である。秘匿レベル管理処理を説明するための図である。秘匿レベル管理処理を示すフローチャートである。

以下、本発明の実施形態について図面に基づいて説明する。
図１は、本実施形態にかかる情報管理システムを示す図である。情報管理システムは、病院において扱われる、患者や医師の個人情報等の秘匿情報を管理する医療向けのカンファレンスシステムである。なお、情報管理システムは、カンファレンスシステムに限定されるものではなく、これ以外の医療向けアプリケーションに対しても適用可能である。また、情報管理システムは、グループウェア等の社内情報システム等医療以外の分野における秘匿情報を管理するものであってもよい。

対象病院１は本システムを導入している病院であり、構内には院内カンファルーム１０Ａと院内デバッグルーム１０Ｂが存在するものとする。院内カンファルーム１０Ａには、医療カンファレンスシステムのクライアントである秘匿情報保護に係るクライアント装置１００Ａが置かれている。クライアント装置１００ＡのＵＩ表示部１１０Ａには、カンファレンスの現在の議題情報が表示されている。図１に示す例においては、議題情報として、議題番号１１１Ａと、患者ＩＤ１１２Ａと、患者名１１３Ａと、患者カナ名１１４Ａと、患者性別１１５Ａと、患者年齢１１６Ａとが表示されている。
院内デバッグルーム１０Ｂにも、院内カンファルーム１０Ａと同様に医療カンファレンスシステムのクライアントである秘匿情報保護に係るクライアント装置１００Ｂが置かれている。クライアント装置１００ＢのＵＩ表示部１１０Ｂにも、カンファレンスの現在の議題情報が表示されている。図１に示す例においては、議題情報として、議題番号１１１Ｂと、患者ＩＤ１１２Ｂと、患者名１１３Ｂと、患者カナ名１１４Ｂと、患者性別１１５Ｂと、患者年齢１１６Ｂとが表示されている。なお、患者カナ名１１４Ｂ及び患者性別１１５Ｂは、操作者等の閲覧者に判別不能な形態で表示されている。

また、対象病院１には、医療カンファレンスシステムのサーバである秘匿情報保護に係るサーバ装置２００が置かれている。クライアント装置１００Ａ，１００Ｂ及びサーバ装置２００は、院内ＬＡＮ（ＬｏｃａｌＡｒｅａＮｅｔｗｏｒｋ）１１に接続されている。さらに、院内ＬＡＮ１１はＧＷ（Ｇａｔｅｗａｙ）１２を通してインターネット１３に接続されている。
対象病院１の外部にある医療カンファレンスシステムのクライアントの例として、提携病院１０Ｃに秘匿情報保護に係るクライアント装置１００Ｃが置かれているものとする。同様に、本システムを対象病院１に導入したＳＩｅｒ（ＳｙｓｔｅｍＩｎｔｅｇｒａｔｏｒ）等の社屋にある院外デバッグルーム１０Ｄの中には、秘匿情報保護に係るクライアント装置１００Ｄが置かれているものとする。これらのクライアント装置１００Ｃ，１００Ｄは、インターネット１３とＧＷ１２と院内ＬＡＮ１１を介してサーバ装置２００に接続するものとする。なお、情報管理システムが有するクライアント装置の数は、実施形態に限定されるものではない。

図２は、クライアント装置１００Ａ〜１００Ｄ及びサーバ装置２００を示す図である。なお、クライアント装置１００Ａ〜１００Ｄは、すべて同じ構成であるため、図２においては、クライアント装置１００Ａ〜１００Ｄを単にクライアント装置１００と示し、クライアント装置１００の構成について説明する。クライアント装置１００は、対象病院１内に設置された各種サーバ群（ファイルサーバ３、検査レポートサーバ４、電子カルテサーバ５）と接続されている。なお、対象病院１内に設置されるサーバの種類及び数は、実施形態に限定されるものではない。また、他の例としては、サーバ装置２００の機能をクライアント装置１００に内包させ、ピア・ツー・ピア（Ｐ２Ｐ）の構成としても構わない。
クライアント装置１００と、サーバ装置２００と、各種サーバ群（３〜５）とは、有線又は無線のネットワーク２で接続されている。図１の院内ＬＡＮ１１、ＧＷ１２及びインターネット１３は、図２のネットワーク２に対応する。

クライアント装置１００は、ＵＩデバイス１０１と、ＣＰＵ１０２と、ＲＡＭ１０３と、通信ＩＦ１０４と、プログラム用記憶領域１０６と、データ用記憶領域１０７と、ＵＩ表示部１１０とを有している。サーバ装置２００は、クライアント装置１００と同様に、ＵＩデバイス２０１と、ＣＰＵ２０２と、ＲＡＭ２０３と、通信ＩＦ２０４と、プログラム用記憶領域２０６と、データ用記憶領域２０７と、ＵＩ表示部２１０とを有している。
ＵＩデバイス１０１は、マウスやデジタイザやキーボード等であり、クライアント装置１００にユーザの指示を入力するために用いられる。ＣＰＵ１０２は、プログラム用記憶領域１０６からＲＡＭ１０３に読み込んだプログラムを解釈・実行することによってクライアント装置１００内の各種制御や計算、ＵＩの表示を実現する。後述するクライアント装置１００の機能や処理は、ＣＰＵ１０２がプログラム用記憶領域１０６に格納されているプログラムを読み出し、このプログラムを実行することにより実現されるものである。

通信ＩＦ１０４は、ネットワーク２に接続している。通信ＩＦ１０４は、サーバ装置２００や病院内の各種サーバ（３〜５）との間の通信インタフェースである。ＵＩ表示部１１０は、クライアント装置１００の状態や処理内容を表示するＬＥＤ（ＬｉｇｈｔＥｍｉｔｔｉｎｇＤｉｏｄｅ）や液晶パネル等である。プログラム用記憶領域１０６及びデータ用記憶領域１０７は、ハードディスクやフラッシュメモリにより実現される。なお、サーバ装置２００の各部の構成は、クライアント装置１００の各部の構成と同様である。
なお、個人情報等の秘匿情報は、サーバ装置２００のデータ用記憶領域２０７に格納される。なお、秘匿情報は、ファイルサーバ３上に置かれる構成とし、サーバ装置２００は、ネットワーク２を通してファイルサーバ３から、秘匿情報を取得するものとしてもよい。

図３は、情報管理システムによる情報管理処理を示すフローチャートである。情報管理処理において、サーバ装置２００は、秘匿情報を取り込み、これをクライアント装置１００に送信する。ここで、秘匿情報とは、秘匿対象となる情報であり、具体的には、文字列である。なお、文字列は、通常の文字だけでなく、特殊文字等の記号も含むものとする。本実施形態に係る情報管理システムにおいては、クライアント装置１００は、すべての秘匿情報に対し、操作者から秘匿するための秘匿処理を施すのではなく、必要に応じて適宜秘匿処理を施す。
ここでは、情報管理システムが、図４に示す入力ＸＭＬ（ＥｘｔｅｎｓｉｂｌｅＭａｒｋｕｐＬａｎｇｕａｇｅ）を取り込むユースケースを例に説明する。なお、図４に示す入力ＸＭＬは、患者情報である。なお、図４に示す入力ＸＭＬは、電子カルテサーバ５や検査レポートサーバ４から読み出され、図２に示すファイルサーバ３の特定のフォルダに保存されているものとする。
Ｓ３００において、サーバ装置２００のＣＰＵ２０２は、ファイルサーバ３に入力ＸＭＬが保存されたことを確認すると、ファイルサーバ３から入力ＸＭＬを取得する。そして、サーバ装置２００は、読み込んだ入力ＸＭＬをＲＡＭ２０３に展開し、パース処理によって個々の要素（内容文字列）に分解する。ここで、内容文字列は、秘匿対象となる秘匿情報の一例である。

次に、Ｓ３０１において、サーバ装置２００のＣＰＵ２０２は、各内容文字列の情報秘匿レベルを特定する（特定処理）。ここで、情報秘匿レベルは、秘匿情報を秘匿すべき程度を示す情報である。本実施形態においては、秘匿レベルが高いとは、より厳しく秘匿すべきことを意味し、秘匿レベルが低いとは、秘匿の必要性が低いことを意味する。本実施形態においては、個人が特定されやすい情報には、高い秘匿レベルが設定され、個人が特定され難い情報には、低い秘匿レベルが設定されるものとする。なお、逆に秘匿レベルが低いとは、秘匿すべき重要性が高いことを意味することとしてもよい。
本実施形態においては、サーバ装置２００は、情報秘匿レベルテーブルを参照し、秘匿情報に基づいて、秘匿情報の情報秘匿レベルを特定する。図５は、情報秘匿レベルテーブルの一例を示す図である。情報秘匿レベルテーブル５００は、システム導入時にサーバ装置２００のデータ用記憶領域２０７に格納される。なお、情報秘匿レベルテーブル５００は、病院毎の個人情報保護ポリシーに従って作成されるのが好ましい。

図５に示すように、情報秘匿レベルテーブル５００は、秘匿情報としての内容文字列の種別と、病院毎の情報秘匿レベルとを対応付けて記憶している。秘匿情報が扱われる病院毎に、情報秘匿レベルが異なっており、情報秘匿レベルテーブル５００は、この病院毎に定められた情報秘匿レベルを記憶している。
例えば、図４に示すＰａｔｉｅｎｔＩｄ（患者ＩＤ）要素（種別）に対応する秘匿情報としての内容文字列に対し、サーバ装置２００のＣＰＵ２０２は、情報秘匿レベルテーブル５００の１行目より、Ａ病院について情報秘匿レベル「１」を特定する。なお、以下の説明においては、秘匿情報が取り扱われる病院がＡ病院である場合を例に説明することとする。

サーバ装置２００は、内容文字列に対し、情報秘匿レベルを特定すると、秘匿文字列型を用いて、内容文字列と情報秘匿レベルとを対応付けて管理する（秘匿レベル管理処理）。図６は、秘匿文字列型を示す図である。秘匿文字列型６００は、メンバとして、情報秘匿レベル６０１と内容文字列６０２とを有する。情報秘匿レベル６０１には、例えば個人を特定し難い情報には低い値として「０」を、特定し易い情報には高い値として「２」を入れる。また内容文字列は、例えば内容文字列の種別が「ＰａｔｉｅｎｔＩｄ」であれば、「０００００１００」のような文字列である。秘匿文字列型の変数に入れられた内容文字列は、図２のＲＡＭ２０３に保存された後、データ用記憶領域２０７やファイルサーバ３に保存される。
図３に戻り、Ｓ３０２において、サーバ装置２００のＣＰＵ２０２は、患者ＩＤや患者カナ名等秘匿対象となる文字列を含む秘匿情報を情報秘匿レベルに対応付けて、クライアント装置１００に送信する（送信処理）。具体的には、ＣＰＵ２０２は、秘匿文字列型６００の形式により、各内容文字列と情報秘匿レベルとを対応付けてクライアント装置１００に送信する。なお、秘匿情報は、クライアント装置１００の内部においても、図６に示す秘匿文字列型６００の変数によって保持される。

クライアント装置１００のＣＰＵ１０２は、サーバ装置２００から秘匿情報と情報秘匿レベルとを対応付けて受信すると（受信処理）、Ｓ３０３において、クライアント装置１００のＣＰＵ１０２は、秘匿情報に対する処理を開始する。本実施形態においては、ＣＰＵ１０２は、秘匿情報に対する処理として、患者リストの患者カナ名によるソートを行い、ソート結果をＵＩ表示部１１０に表形式で表示する処理を行うものとする。本実施形態においては、院内デバッグルーム１０ＢにいるＳＩｅｒがソート処理の不具合を調査するという想定で、Ｓ３０３においてソート結果表示処理を開始することとした。ただし、Ｓ３０３において開始される処理の内容は、実施形態に限定されるものではない。
患者リストをＵＩ表示部１１０に表示する際には、秘匿文字列型を通常文字列型に変換する必要がある。このとき、必要に応じて、秘匿情報に対しマスク処理を行う必要がある。そこで、クライアント装置１００のＣＰＵ１０２は、Ｓ３０４以降の処理において、秘匿文字列型から通常の文字列型への変換を行う。

Ｓ３０３の処理の後、Ｓ３０４において、クライアント装置１００のＣＰＵ１０２は、環境秘匿レベルテーブルを参照し、秘匿情報が処理される環境における環境秘匿レベルを特定する（特定処理）。図７は、環境秘匿レベルテーブル７００の一例を示す図である。環境秘匿レベルテーブル７００は、環境情報と病院毎の環境秘匿レベルとを対応付けて記憶している。環境情報は、クライアント装置１００の設置場所と、秘匿情報の処理にかかる操作を行うユーザが属するユーザグループと、出力用途とを含んでいる。環境秘匿レベルテーブル７００は、システム導入時にクライアント装置１００のデータ用記憶領域１０７に設定されるものとする。なお、他の例としては、環境秘匿レベルテーブル７００は、システム導入時にサーバ装置２００のデータ用記憶領域２０７に設定され、Ｓ３０４の処理の実行前にクライアント装置１００にダウンロードされＲＡＭ１０３に保存されてもよい。
クライアント装置１００のＣＰＵ１０２は、環境秘匿レベルテーブル７００を参照し、秘匿情報が処理されるクライアント装置１００の設置場所と、ユーザグループと、出力用途とに基づいて、環境秘匿レベルを特定する。
なお、クライアント装置１００の設置場所は、データ用記憶領域１０７等に格納されている設定ファイルに書き込まれている。そして、ＣＰＵ１０２は、設定ファイルから設置場所を読み出す。ここで、設置場所は、秘匿情報が扱われる場所の一例である。
また、クライアント装置１００は、ユーザグループのグループＩＤと、ユーザグループに所属するユーザのユーザＩＤとを対応付けたユーザテーブルを格納している。さらに、クライアント装置１００は、ログイン時にユーザからユーザＩＤの入力を受け付ける。そして、クライアント装置１００のＣＰＵ１０２は、受け付けたユーザＩＤに基づいて、ユーザテーブルからユーザグループを特定する。なお、他の例としては、ユーザテーブルは、サーバ装置２００又はサーバ装置２００以外に設けられたユーザ管理サーバ装置（不図示）に格納されていてもよい。この場合、ＣＰＵ１０２は、サーバ装置２００又はユーザ管理サーバ装置のユーザテーブルを参照して、ユーザグループを特定すればよい。
また、ＣＰＵ１０２は、利用中のアプリケーション、ＵＩ表示部１１０に表示中の画面、出力対象の情報、情報の出力先等に基づいて、出力用途を特定する。具体的には、例えばデータ用記憶領域１０７等に、利用中のアプリケーション等の条件と出力用途とを対応付けた出力用途テーブルが予め格納されているものとする。そして、ＣＰＵ１０２は、出力用途テーブルを参照し、処理時点における条件に対応付けられている出力用途を特定する。
なお、環境秘匿レベルは、クライアント装置１００の設置場所等の環境において、秘匿情報を秘匿すべき程度を示す情報であり、情報秘匿レベルに対応する値である。なお、環境情報は、秘匿情報が扱われる環境に関する情報であればよく、その種類及び数は、実施形態に限定されるものではない。

この前提において、さらに、クライアント装置１００Ａの操作者が医師グループに属し、出力用途がアプリ画面表示であるとする。この場合、クライアント装置１００ＡのＣＰＵ１０２は、環境秘匿レベルテーブル７００の１行目より、環境秘匿レベル「２」を特定する（特定処理）。図８は、特定された環境秘匿レベルを示す環境秘匿レベル情報の一例を示す図である。環境秘匿レベル情報８００は、特定された環境秘匿レベルを示す情報である。
なお、Ｓ３０４の処理の実行タイミングは、実施形態に限定されるものではない。ＣＰＵ１０２は、Ｓ３０５の処理前に、Ｓ３０４の処理を完了していればよく、例えば、Ｓ３０２において、秘匿情報等を受信する前に、Ｓ３０４の処理を実行してもよい。
また、環境秘匿レベルが、クライアント装置１００において変動しない値である場合には、環境秘匿レベルは、予めクライアント装置１００のＲＡＭ１０３等に設定されていてもよい。

図３に戻り、Ｓ３０４の処理の後、Ｓ３０５において、クライアント装置１００のＣＰＵ１０２は、秘匿情報としての内容文字列の情報秘匿レベルと環境秘匿レベルとを比較する（比較処理）。ＣＰＵ１０２は、情報秘匿レベルが環境秘匿レベル以下である場合には（Ｓ３０５でＹｅｓ）、処理をＳ３０６へ進める。ＣＰＵ１０２は、情報秘匿レベルが環境秘匿レベルよりも大きい場合には（Ｓ３０５でＮｏ）、処理をＳ３０８へ進める。
Ｓ３０６において、ＣＰＵ１０２は、内容文字列に対し秘匿処理を行わないと判断する。すなわち、ＣＰＵ１０２は、比較結果に基づいて、情報秘匿レベルが環境秘匿レベル以下である場合には、内容文字列に対し秘匿処理を行わないと判断する（判断処理）。ここで、秘匿処理とは、秘匿情報の表示態様を変更する処理、より具体的には、内容文字列を判別不能な形態に変換する処理である。本実施形態においては、ＣＰＵ１０２は、秘匿処理として、内容文字列に対するマスク処理を行う。次に、Ｓ３０７において、ＣＰＵ１０２は、内容文字列を出力する（出力処理）。

一方、Ｓ３０８において、ＣＰＵ１０２は、内容文字列に対し秘匿処理を行うと判断する。すなわち、ＣＰＵ１０２は、比較結果に基づいて、情報秘匿レベルが環境秘匿レベルよりも大きい場合には、内容文字列に対し秘匿処理を行うと判断する（判断処理）。次に、ＣＰＵ１０２は、秘匿処理としてのマスク処理を行う。マスク処理は、以下のＳ３１０〜Ｓ３１２の処理を含む。Ｓ３１０において、ＣＰＵ１０２は、置換文字列テーブルに内容文字列に対応する置換文字列が存在するか否かを確認する。
図９は、置換文字列テーブルの一例を示す図である。置換文字列テーブル９００は、秘匿情報としての内容文字列と、内容文字列の置換後の文字列（置換文字列）とを対応付けて記憶している。ここで、置換文字列は、いずれも操作者が判別不能な形態の文字列である。なお、本実施形態において、文字とは、特殊文字としての記号を含むものとする。すなわち、内容文字列及び置換文字列は、いずれも文字及び記号のうち少なくとも一方を含む配列である。図９に示す例においては、患者カナ名の置換文字列は、対応する患者の患者ＩＤを含んでいる。これにより、操作者は、置換文字列を見ることで、患者ＩＤを手掛かりとして、患者リストのソート結果を確認することができる。

置換文字列テーブル９００は、クライアント装置１００のデータ用記憶領域１０７に保存されているものとする。また、他の例としては、置換文字列テーブル９００は、サーバ装置２００のデータ用記憶領域２０７に設定されており、クライアント装置１００にダウンロードされ、ＲＡＭ１０３に保存されているものとする。
なお、置換文字列は、実施形態に限定されるものではなく、例えば、不具合の種類によっては、まったくのランダム文字列が置換文字列として、置換文字列テーブルに記憶されていてもよい。

図３に戻り、Ｓ３１０において、ＣＰＵ１０２は、置換文字列が存在する場合には（Ｓ３１０でＹｅｓ）、処理をＳ３１１へ進める。ＣＰＵ１０２は、置換文字列が存在しない場合には（Ｓ３１０でＮｏ）、処理をＳ３１２へ進める。Ｓ３１１において、ＣＰＵ１０２は、内容文字列を、置換文字列テーブル９００において対応付けられている置換文字列に変換し（秘匿処理）、その後処理をＳ３０７へ進める。Ｓ３０７において、ＣＰＵ１０２は、内容文字列に替えて、秘匿処理後の置換文字列を出力する（出力処理）。
一方、Ｓ３１２において、ＣＰＵ１０２は、内容文字列を予め定められた規則に従い、閲覧者が判別不能な形態の文字列に変換し（秘匿処理）、その後処理をＳ３０７へ進める。Ｓ３０７において、ＣＰＵ１０２は、内容文字列に替えて、秘匿処理後の文字列を出力する（出力処理）。なお、本実施形態においては、Ｓ３１２において、ＣＰＵ１０２は、各文字を「＊」に変換するものとする。ただし、Ｓ３１２における具体的な処理は、実施形態に限定されるものではない。ＣＰＵ１０２は、単にランダム文字列に変換することとしてもよい。

次に、図１０及び図１１を参照し、情報管理処理について具体的に説明する。まず、図１０を参照しつつ、院内デバッグルーム１０Ｂにいる操作者がソート処理の不具合を調査する場合を例に説明する。サーバ装置２００は、秘匿情報及び情報秘匿レベルをサーバ装置２００から院内カンファルーム１０Ａのクライアント装置１００Ａ及び院内デバッグルーム１０Ｂのクライアント装置１００Ｂに送信する（Ｓ３０２）。
ここで、院内カンファルーム１０Ａにおいて、クライアント装置１００Ａの操作者Ａは、医師グループに属するものとする。また、院内デバッグループ１０Ｂの操作者Ｂは、ＳＩｅｒグループに属するものとする。また、出力用途は、アプリ画面表示とし、秘匿情報が取り扱われる病院がＡ病院であるものとする。

院内カンファルーム１０Ａのクライアント装置１００Ａは、患者カナ名によるソート処理を行い（Ｓ３０３）、その後、情報秘匿レベルと環境秘匿レベルとを比較する。この場合、クライアント装置１００Ａにおいては、図７に示す環境秘匿レベルテーブルの１行目から、環境秘匿レベル「２」が特定される。また、図４に示す入力ＸＭＬに含まれる秘匿情報としての内容文字列の情報秘匿レベルは、いずれも「２」以下である。したがって、クライアント装置１００Ａは、Ｓ３０５においてＹｅｓと判断し、Ｓ３０６において、秘匿情報を行わないと判断し、図１０に示すように、ＵＩ表示部１１０Ａに表形式でソート結果を表示（出力）する。
一方、院内デバッグルーム１０Ｂのクライアント装置１００Ｂは、患者カナ名によるソート処理を行い（Ｓ３０３）、その後、情報秘匿レベルと環境秘匿レベルとを比較する。この場合、クライアント装置１００Ｂにおいては、図７に示す環境秘匿テーブルの８行目から、環境秘匿レベル「１」が特定される。したがって、ＣＰＵ１０２は、秘匿情報のうち、情報秘匿レベル「１」が対応付けられている患者ＩＤに対しては、Ｓ３０５においてＹｅｓと判断し、Ｓ３０６において秘匿処理を行わないと判断する。
また、ＣＰＵ１０２は、情報秘匿レベル「２」が対応付けられている患者カナ名に対しては、Ｓ３０５においてＮｏと判断し、Ｓ３０８において秘匿処理を行うと判断し、マスク処理（Ｓ３０９）を行う。図９に示すように、置換文字列テーブル９００において、患者カナ名と置換文字列とが対応付けられているので、ＣＰＵ１０２は、患者カナ名を置換文字列に変換し（Ｓ３０９）、置換文字列をＵＩ表示部１１０Ｂに表形式で表示する。

次に、図１１を参照しつつ、クライアント装置１００Ａ，１００Ｂでソート処理されたデータをデバッグ目的で確認するためにログ出力する場合を例に説明する。すなわち、出力用途は、デバッグ用ログとなる。なお、出力用途以外の条件は、図１０を参照しつつ説明した例と同様とする。
院内カンファルーム１０Ａにおいては、図７に示す環境秘匿テーブルの３行目から、クライアント装置１００Ａの環境秘匿レベル「２」が特定される。そして、クライアント装置１００Ａは、ログ出力の直前に情報秘匿レベルと環境秘匿レベルの比較を行う。図４に示す秘匿情報に含まれる内容文字列の情報秘匿レベルはいずれも「２」以下である。したがって、クライアント装置１００Ａは、Ｓ３０６において、秘匿処理を行わないと判断し、内容文字列をそのまま含むログファイル１１００Ａを生成し、Ｓ３０７においてログファイル１１００Ａをファイルサーバ３等に出力する。

一方、院内デバッグルーム１０Ｂにおいては、図７に示す環境秘匿テーブルの９行目から、クライアント装置１００Ｂの環境秘匿レベル「１」が特定される。したがって、クライアント装置１００Ｂは、情報秘匿レベル「２」の患者カナ名については、Ｓ３０８において、秘匿処理を行うと判断し、Ｓ３０９において、置換文字列に変換する（Ｓ３１１）。そして、クライアント装置１００Ｂは、変換後の置換文字列を含むログファイル１１００Ｂを生成し、これをファイルサーバ３等に出力する（Ｓ３０７）。
また、クライアント装置１００Ｂは、情報秘匿レベル「１」の患者ＩＤについては、Ｓ３０６において、秘匿処理を行わないと判断し、内容文字列のまま出力する（Ｓ３０７）。これにより、操作者は、ログ出力の場合においても、処理結果をログファイルで確認することができ、不具合解析を容易に行うことができる。

以上、クライアント装置１００が秘匿情報を管理する情報管理処理について説明したが、例えば、医療カンファレンスにおいて、患者リストを作成する際には、内容文字列に対する演算処理が行われる。演算処理は、例えば、秘匿情報に含まれる議題Ｎｏと患者名とを結合し、新たに議題文字列を作成するといった処理である。以下、内容文字列に対し演算処理が行われる場合の、クライアント装置１００による、秘匿レベル管理処理について説明する。ここで、演算処理としては、複数の内容文字列の連結（結合）の他、内容文字列からの部分文字列の抽出等の編集処理が挙げられる。クライアント装置１００のＣＰＵ１０２は、内容文字列から部分文字列を抽出する場合には（編集処理）、クライアント装置１００のＣＰＵ１０２は、抽出した部分文字列に対して、抽出元の内容文字列に対応付けられている情報秘匿レベルを対応付ける。なお、この処理は、編集後の秘匿情報に対し、編集前の秘匿情報の情報秘匿レベルを対応付ける秘匿レベル管理処理の一例である。
図１２は内容文字列を連結する場合の、秘匿レベル管理処理を説明するための図である。図１２に示すように、ＣＰＵ１０２は、例えば、「議題Ｎｏ」という秘匿文字列型の内容文字列の変数と「患者名」という秘匿文字列型の内容文字列の変数とを結合し、「議題文字列」という秘匿文字列型の内容文字列の変数を生成する。

図１３は、クライアント装置１００による、秘匿レベル管理処理を示すフローチャートである。Ｓ１３０１において、ＣＰＵ１０２は、連結対象となる２つの内容文字列の種別に対応付けられている情報秘匿レベルを比較し、情報秘匿レベルのうち、大きい方の値を、連結結果の情報秘匿レベルに設定する。図１２に示す例においては、左項の「議題Ｎｏ」の情報秘匿レベル「０」と、右項の「患者名」の情報秘匿レベル「２」とが比較され、情報秘匿レベル「２」が連結結果としての「議題文字列」の情報秘匿レベルに設定される。
次に、Ｓ１３０２において、ＣＰＵ１０２は、左項の内容文字列と右項の内容文字列とを連結し、連結された文字列を連結結果の内容文字列に設定する。図１２に示す例においては、左項の「議題Ｎｏ」の内容文字列「Ｎｏ．３」と、右項の「患者名」の内容文字列「○○理恵子」とが結合され、「議題文字列」の内容文字列「Ｎｏ．３：○○理恵子」が連結結果の内容文字列に設定される。なお、ＣＰＵ１０２は、通常文字列型の変数を連結する場合には、その変数を情報秘匿レベルが「０」の秘匿文字列型とみなして連結処理を行う。なお、秘匿レベル管理処理は、サーバ装置２００においても、同様に実行される。
なお、Ｓ１３０２の処理は、秘匿情報を編集する編集処理の一例である。Ｓ１３０１及びＳ１３０２の処理は、結合後の秘匿情報に対し、結合前の複数の秘匿情報の情報秘匿レベルのうち最も高い情報秘匿レベルを対応付ける秘匿レベル管理処理の一例である。

このように、情報管理システム内で実行される秘匿情報としての内容文字列の演算においては、演算結果に対しても、情報秘匿レベルが自動的に伝搬する。したがって、医療ドメインに不慣れな開発者であっても、秘匿情報を適切に取り扱うことができる。

以上のように、本実施形態にかかる情報管理システムは、ＵＩ表示部１１０に文字列を表示する際に、内容文字列単位で適宜マスク処理を行う。したがって、クライアント装置１００におけるソート等の処理結果に影響を与えることなく、内容文字列の情報が第三者に漏えいするのを適切に防ぐことができる。
さらに、情報管理システムは、情報保護ポリシーが変更になった場合には、環境秘匿レベルテーブル、又は情報秘匿レベルテーブルの各値を変更すればよく、システムの実装の変更は不要である。したがって、情報保護ポリシーの変更に柔軟に対応することができる。

以上、上述した各実施形態によれば、個人情報等の秘匿情報の保護を担保しつつ、秘匿情報を扱うアプリケーションの不具合解析やリモートメンテナンスを容易に行うことができる。

＜その他の実施形態＞
以上、実施形態例を詳述したが、本発明は例えば、システム、装置、方法、プログラム若しくは記録媒体(記憶媒体)等としての実施態様をとることが可能である。具体的には、複数の機器（例えば、ホストコンピュータ、インタフェース機器、撮像装置、ｗｅｂアプリケーション等）から構成されるシステムに適用しても良いし、また、一つの機器からなる装置に適用しても良い。
また、本発明の目的は、以下のようにすることによって達成されることはいうまでもない。即ち、前述した実施形態の機能を実現するソフトウェアのプログラムコード（コンピュータプログラム）を記録した記録媒体（または記憶媒体）を、システムあるいは装置に供給する。係る記憶媒体は言うまでもなく、コンピュータ読み取り可能な記憶媒体である。そして、そのシステムあるいは装置のコンピュータ（またはＣＰＵやＭＰＵ）が記録媒体に格納されたプログラムコードを読み出し実行する。この場合、記録媒体から読み出されたプログラムコード自体が前述した実施形態の機能を実現することになり、そのプログラムコードを記録した記録媒体は本発明を構成することになる。
本発明は係る特定の実施形態に限定されるものではなく、特許請求の範囲に記載された本発明の要旨の範囲内において、種々の変形・変更が可能である。

１００クライアント装置、１０２ＣＰＵ、１０３ＲＡＭ、１１０ＵＩ表示部、２００サーバ装置、２０２ＣＰＵ、２０３ＲＡＭ、２１０ＵＩ表示部

Claims

秘匿対象となる秘匿情報に対応付けられた情報秘匿レベルと、前記秘匿情報が扱われる環境における環境秘匿レベルとを比較する比較手段と、
比較結果に基づいて、前記秘匿情報の表示態様を変更する秘匿処理を行うか否かを判断する判断手段と、
秘匿処理を行うと判断された場合に、前記秘匿情報に対し、秘匿処理を施す秘匿処理手段と、
秘匿処理後の前記秘匿情報を出力する出力手段と
を有することを特徴とする情報管理システム。
前記秘匿処理は、秘匿情報を判別不能な形態に変換する処理であることを特徴とする請求項１に記載の情報管理システム。
前記出力手段は、秘匿処理を行わないと判断された場合に、前記秘匿処理が施されていない前記秘匿情報を出力する請求項１又は２に記載の情報管理システム。
前記秘匿情報を編集する編集手段と、
前記編集手段による編集後の前記秘匿情報に対し、編集前の前記秘匿情報の前記情報秘匿レベルを対応付ける秘匿レベル管理手段と
をさらに有することを特徴とする請求項１乃至３何れか１項に記載の情報管理システム。
前記編集手段は、複数の秘匿情報を１つの情報に結合する編集を行い、
前記秘匿レベル管理手段は、結合後の前記秘匿情報に対し、結合前の複数の秘匿情報の前記情報秘匿レベルのうち最も高い前記情報秘匿レベルを対応付けることを特徴とする請求項４に記載の情報管理システム。
前記秘匿情報の種別と、前記情報秘匿レベルとを対応付けて記憶する第１の記憶手段と、
前記第１の記憶手段において、前記秘匿情報の種別に対応付けられている前記情報秘匿レベルを特定する第１の特定手段と、
前記秘匿情報が扱われる環境を示す環境情報と、前記環境秘匿レベルとを対応付けて記憶する第２の記憶手段と、
前記第２の記憶手段において、前記秘匿情報が扱われる環境に対応付けられている前記環境秘匿レベルを特定する第２の特定手段と
をさらに有し、
前記比較手段は、前記第１の特定手段により特定された前記情報秘匿レベルと、前記第２の特定手段により特定された前記環境秘匿レベルとを比較することを特徴とする請求項１乃至５何れか１項に記載の情報管理システム。
前記第２の記憶手段は、前記秘匿情報が扱われる場所、前記秘匿情報を扱う操作者、及び前記秘匿情報の出力用途のうち少なくとも１つを前記環境情報として記憶することを特徴とする請求項６に記載の情報管理システム。
前記情報管理システムは、サーバ装置とクライアント装置とをさらに有し、
前記サーバ装置は、前記秘匿情報と、前記情報秘匿レベルと、を対応付けて前記クライアント装置に送信する送信手段を有し、
前記クライアント装置は、
前記秘匿情報と前記情報秘匿レベルとを前記サーバ装置から受信する受信手段と、
前記比較手段と、
前記出力手段と
を有することを特徴とする請求項１乃至７何れか１項に記載の情報管理システム。
前記秘匿処理手段は、前記秘匿情報としての文字列を、前記秘匿情報と異なり、前記秘匿情報を判別不能な形態の文字列に変換することを特徴とする請求項１乃至８何れか１項に記載の情報管理システム。
前記秘匿情報と、判別不能な形態の置換文字列とを対応付けて記憶する第３の記憶手段をさらに有し、
前記秘匿処理手段は、前記秘匿情報を、前記第３の記憶手段において前記秘匿情報に対応付けられている前記置換文字列に変換することを特徴とする請求項９に記載の情報管理システム。
秘匿対象となる秘匿情報に対し、情報秘匿レベルを対応付ける秘匿レベル管理手段と、
前記秘匿情報と、前記秘匿情報に対応付けられた前記情報秘匿レベルとを、対応付けてクライアント装置に送信する送信手段と
を有することを特徴とするサーバ装置。
秘匿対象となる秘匿情報と、情報秘匿レベルとを対応付けてサーバ装置から受信する受信手段と、
前記秘匿情報に対応付けられた情報秘匿レベルと、前記秘匿情報が扱われる環境における環境秘匿レベルとを比較する比較手段と、
比較結果に基づいて、前記秘匿情報の表示態様を変更する秘匿処理を行うか否かを判断する判断手段と、
秘匿処理を行うと判断された場合に、前記秘匿情報に対し、秘匿処理を施す秘匿処理手段と、
秘匿処理後の前記秘匿情報を出力する出力手段と
を有することを特徴とするクライアント装置。
情報管理システムが実行する情報管理方法であって、
秘匿対象となる秘匿情報に対応付けられた情報秘匿レベルと、前記秘匿情報が扱われる環境における環境秘匿レベルとを比較する比較ステップと、
比較結果に基づいて、前記秘匿情報の表示態様を変更する秘匿処理を行うか否かを判断する判断ステップと、
秘匿処理を行うと判断された場合に、前記秘匿情報に対し、秘匿処理を施す秘匿処理ステップと、
秘匿処理後の前記秘匿情報を出力する出力ステップと
を含むことを特徴とする情報管理方法。
サーバ装置が実行する情報管理方法であって、
秘匿対象となる秘匿情報に対し、情報秘匿レベルを対応付ける秘匿レベル管理ステップと、
前記秘匿情報と、前記秘匿情報に対応付けられた前記情報秘匿レベルとを、対応付けてクライアント装置に送信する送信ステップと
を含むことを特徴とする情報管理方法。
クライアント装置が実行する情報管理方法であって、
秘匿対象となる秘匿情報と、情報秘匿レベルとを対応付けてサーバ装置から受信する受信ステップと、
前記秘匿情報に対応付けられた情報秘匿レベルと、前記秘匿情報が扱われる環境における環境秘匿レベルとを比較する比較ステップと、
比較結果に基づいて、前記秘匿情報の表示態様を変更する秘匿処理を行うか否かを判断する判断ステップと、
秘匿処理を行うと判断された場合に、前記秘匿情報に対し、秘匿処理を施す秘匿処理ステップと、
秘匿処理後の前記秘匿情報を出力する出力ステップと
を含むことを特徴とする情報管理方法。
コンピュータを、
秘匿対象となる秘匿情報に対し、情報秘匿レベルを対応付ける秘匿レベル管理手段と、
前記秘匿情報と、前記秘匿情報に対応付けられた前記情報秘匿レベルとを、対応付けてクライアント装置に送信する送信手段と
して機能させるためのプログラム。
コンピュータを、
秘匿対象となる秘匿情報と、情報秘匿レベルとを対応付けてサーバ装置から受信する受信手段と、
前記秘匿情報に対応付けられた情報秘匿レベルと、前記秘匿情報が扱われる環境における環境秘匿レベルとを比較する比較手段と、
比較結果に基づいて、前記秘匿情報の表示態様を変更する秘匿処理を行うか否かを判断する判断手段と、
秘匿処理を行うと判断された場合に、前記秘匿情報に対し、秘匿処理を施す秘匿処理手段と、
秘匿処理後の前記秘匿情報を出力する出力手段と
して機能させるためのプログラム。