JP2020102214A - 医用情報匿名化システム、及び匿名化方法設定装置 - Google Patents

Abstract

【課題】医用情報ごとに異なる匿名化方法で医用情報の匿名化を実行する医用情報匿名化システム及び匿名化方法設定装置を提供する。【解決手段】医用情報匿名化システムにおいて、検査予約システムは、医用画像診断装置による検査予約を受け付けた場合に、検査予約情報を生成する。検査予約情報には、医用情報の提供先と、提供先での医用情報の利用目的とが含まれる。医用画像診断装置は、検査予約情報に基づいて、被写体の医用情報を生成する。匿名化方法設定装置は、医用情報の提供先と、提供先での医用情報の利用目的とが示された提供先情報と、匿名化参照情報とが関連付けられた匿名化一覧情報から匿名化参照情報を選択する。匿名化方法設定装置は、医用画像診断装置が生成した医用情報に、選択した匿名化参照情報を付与する。匿名化装置は、医用情報に付与されている匿名化参照情報に基づいて、付帯情報とピクセルデータとを匿名化した医用情報を生成する。【選択図】図１

Description

本発明の実施形態は、医用情報匿名化システム、及び匿名化方法設定装置に関する。

従来、病院等の医療機関では、医用画像診断装置で撮像した画像データ等の被検体の医用情報を、共同研究を行っている研究機関等に提供する業務がある。この時、送付元の医療機関では、被検体に関する個人情報の漏洩を防止するために、医用情報を匿名化することが行われている。

また、上記の匿名化に関し、医用情報の提供先から、匿名化の対象や、個人情報の置換態様等の匿名化方法が指定される場合がある。この場合、送付元の医療機関では、提供先に応じた匿名化方法で匿名化を実行することが求められる。すなわち、医用情報ごとに異なる匿名化方法で匿名化する必要がある。

特開２０１５−１２５５１５号公報 特開２０１８−２６８２６号公報

本発明が解決しようとする課題は、医用情報ごとに異なる匿名化方法で医用情報の匿名化を実行することである。

実施形態の医用情報匿名化システムは、第１の取得部と、付与部と、匿名化処理部と、を備える。前記第１の取得部は、医用画像の通信規格に基づくフォーマットで生成された、医用画像と付帯情報とが含まれた医用情報を取得する。前記付与部は、当該医用情報を匿名化する匿名化方法が示された匿名化参照情報を、前記医用情報の付帯情報に付与する。前記匿名化処理部は、前記匿名化参照情報が付帯情報に付与された医用情報を受け取り、当該医用情報に付与された匿名化参照情報に基づいて、当該医用情報に含まれた前記医用画像および前記付帯情報の少なくとも一方を匿名化する。

図１は、第１の実施形態に係る医用情報処理システムの構成の一例を示す図である。 図２は、医用情報の一例を示す図である。 図３は、第１の実施形態に係る匿名化の手順の一例を示す図である。 図４は、第１の実施形態に係る匿名化方法設定装置の構成の一例を示すブロック図である。 図５は、匿名化一覧情報の一例を示す説明図である。 図６は、ピクセルデータをマスクデータでマスクする処理の一例を示した図である。 図７は、提供先情報及び匿名化参照情報の設定の一例を示す図である。 図８は、匿名化指定画面の一例を示す図である。 図９は、第１の実施形態に係る匿名化装置の構成の一例を示すブロック図である。 図１０は、第１の実施形態に係る画像生成処理の処理手順の一例を示すシーケンス図である。 図１１は、第２の実施形態に係る医用情報の匿名化方式の一例を示す図である。 図１２は、第２の実施形態に係る匿名化方法設定装置の構成の一例を示すブロック図である。 図１３は、匿名化強度情報の一例を示す図である。 図１４は、匿名化参照情報の選択の一例を示す図である。 図１５は、第２の実施形態に係る画像生成処理の処理手順の一例を示すシーケンス図である。 図１６は、第３の実施形態に係る匿名化参照情報の一例を示す図である。 図１７は、第３の実施形態に係る医用情報の匿名化方式の一例を示す図である。 図１８は、第３の実施形態に係る匿名化方法設定装置の構成の一例を示すブロック図である。 図１９は、第３の実施形態に係る匿名化処理の処理手順の一例を示すシーケンス図である。 図２０は、第４の実施形態に係る匿名化装置の構成の一例を示すブロック図である。 図２１は、第４の実施形態に係る医用情報の匿名化方式の一例を示す図である。 図２２は、第５の実施形態に係る匿名化装置の構成の一例を示すブロック図である。 図２３は、第５の実施形態に係る医用情報の匿名化方式の一例を示す図である。 図２４は、第６の実施形態に係る匿名化方法設定装置の構成の一例を示すブロック図である。 図２５は、第６の実施形態に係る医用情報の匿名化方式の一例を示す図である。

以下、図面を参照して、医用情報匿名化システム、及び匿名化方法設定装置の実施形態を説明する。なお、一つの実施形態又は変形例に記載した内容は、他の実施形態又は他の変形例にも同様に適用されてもよい。

（第１の実施形態）
第１の実施形態について説明する。図１は、第１の実施形態に係る医用情報処理システム１の構成の一例を示す図である。図１に示すように、医用情報処理システム１は、医用情報匿名化システム２と、研究サイト３とを有している。医用情報匿名化システム２は、例えば病院等の医療機関に設けられ、研究サイト３等の提供先に、匿名化した医用情報を提供するシステムである。医用情報匿名化システム２は、インターネット等の第１ネットワーク４を介して、研究サイト３と通信可能に接続されている。そして、医用情報匿名化システム２と、研究サイト３とは、ＤＩＣＯＭ（Digital Imaging and Communications in Medicine）規格で規定された通信プロトコルに則った通信を実行する。

図１に示すように、医用情報匿名化システム２は、検査予約システム１０と、医用画像診断装置２０と、匿名化方法設定装置３０と、ＰＡＣＳ（Picture Archiving and Communication System）４０と、匿名化装置５０とを備えている。医用情報匿名化システム２に含まれる各システム及び各装置は、例えば病院内に設置された第２ネットワーク５を介して通信可能に接続されている。また、医用情報匿名化システム２に含まれる各システム及び各装置は、ＤＩＣＯＭ規格で規定された通信プロトコルに則った通信を実行する。なお、図１に示す構成はあくまでも一例であり、図示する検査予約システム１０と、医用画像診断装置２０と、匿名化方法設定装置３０と、ＰＡＣＳ４０と、匿名化装置５０と以外の装置が第２ネットワーク５に接続されてもよい。

検査予約システム１０は、検査オーダーの予約の受け付け、検査の予約管理等を行なうためのシステムである。更に詳しくは、検査予約システム１０は、医用情報の提供を登録する操作を受け付けた場合に、提供する医用情報を取得するために検査予約情報を生成する。そして、検査予約情報には、提供先及び提供先の目的を示す提供先情報と、提供する医用情報の内容とを示す提供内容情報とが含まれている。例えば、検査予約システム１０は、サーバやワークステーション等のコンピュータ機器によって実現される。

医用画像診断装置２０は、被検体を撮像して医用情報を生成する。更に詳しくは、医用画像診断装置２０は、検査予約システム１０から送信される検査予約情報に従って被検体を撮像して、医用情報を生成する。例えば、医用画像診断装置２０は、Ｘ線診断装置、Ｘ線ＣＴ（Computed Tomography）装置、ＭＲＩ（Magnetic Resonance Imaging）装置、超音波診断装置、ＳＰＥＣＴ（Single Photon Emission Computed Tomography）装置、ＰＥＴ（Positron Emission computed Tomography）装置等である。

ここで、医用情報について説明する。図２は、医用情報の一例を示す図である。医用情報は、例えばＤＩＣＯＭ形式で形成されている。医用情報には、付帯情報と、ピクセルデータとが含まれている。付帯情報は、医用情報の属性を示す情報である。付帯情報では、タグごとに属性が関連付けられている。属性とは、医用情報の内容を示す情報である。例えば、タグ（００１０、００１０）には、患者氏名が関連付けられる。例えば、タグ（００１０、００２０）には、患者を識別可能な患者識別子が関連付けられる。ピクセルデータは、医用画像診断装置２０が被検体を撮像することで生成された画像データが含まれている。タグ（７ＦＥ０、００１０）には、画像データが関連付けられる。

図１に戻り、匿名化方法設定装置３０は、医用情報の匿名化方法を設定する。更に詳しくは、匿名化方法設定装置３０は、検査予約システム１０から送信された検査予約情報に含まれる提供先情報に応じて、医用情報の匿名化方法が示された匿名化参照情報を選択する。そして、匿名化方法設定装置３０は、検査予約情報に基づいて医用画像診断装置２０が生成した医用情報に、選択した匿名化参照情報を付加する。例えば、匿名化方法設定装置３０は、サーバやワークステーション等のコンピュータ機器によって実現される。

ＰＡＣＳ４０は、医用画像診断装置２０が生成した医用情報や、匿名化方法設定装置３０が匿名化参照情報を付加した医用情報を保管する。更に詳しくは、ＰＡＣＳ４０は、医用画像診断装置２０又は匿名化方法設定装置３０から医用情報を受信する。そして、ＰＡＣＳ４０は、受信した医用画像を自装置の記憶回路等に保存して管理する。ＰＡＣＳ４０は、匿名化参照情報が付加された医用情報を受信した場合に、匿名化装置５０に送信する。例えば、ＰＡＣＳ４０は、サーバやワークステーション等のコンピュータ機器によって実現される。

匿名化装置５０は、医用情報を匿名化する。匿名化装置５０は、医用情報に付加されている匿名化参照情報に基づいて、医用情報に含まれている個人情報を隠す匿名化処理を実行する。そして、匿名化装置５０は、匿名化した医用情報を研究サイト３に送信する。例えば、匿名化装置５０は、サーバやワークステーション等のコンピュータ機器によって実現される。

研究サイト３は、例えば、医用情報匿名化システム２の医療機関と共同研究の関係にある研究機関に設けられ、医用情報匿名化システム２から提供される医用情報を受信する。例えば、研究サイト３は、サーバやワークステーション等のコンピュータ機器によって実現される。

このような、第１の実施形態に係る医用情報匿名化システム２において、医用情報を匿名化する処理の概要について説明する。

ここで、図３は、第１の実施形態に係る匿名化の手順の一例を示す図である。検査予約システム１０は、医用画像診断装置２０による検査予約を受け付けた場合に、検査予約情報を生成する。検査予約情報には、医用情報の提供先と、提供先での医用情報の利用目的とが含まれている。医用画像診断装置２０は、検査予約情報に基づいて、被写体の医用情報を生成する。匿名化方法設定装置３０は、医用情報の提供先と、提供先での医用情報の利用目的とが示された提供先情報と、匿名化参照情報とが関連付けられた匿名化一覧情報から匿名化参照情報を選択する。匿名化方法設定装置３０は、医用画像診断装置２０が生成した医用情報に、選択した匿名化参照情報を付与する。そして、匿名化装置５０は、医用情報に付与されている匿名化参照情報に基づいて、付帯情報とピクセルデータとを匿名化した医用情報を生成する。

次に、第１の実施形態に係る匿名化方法設定装置３０の構成について説明する。

図４は、第１の実施形態に係る匿名化方法設定装置３０の構成の一例を示すブロック図である。図４に示すように、第１の実施形態に係る匿名化方法設定装置３０は、ネットワークインタフェース３１０と、記憶回路３２０と、入力インタフェース３３０と、ディスプレイ３４０と、処理回路３５０とを有する。

ネットワークインタフェース３１０は、処理回路３５０に接続されており、第１ネットワーク４を介して、検査予約システム１０、医用画像診断装置２０、ＰＡＣＳ４０、及び匿名化装置５０との間で行われる各種データの伝送及び通信を制御する。更に詳しくは、ネットワークインタフェース３１０は、各システムから各種の情報を受信し、受信した情報を処理回路３５０に出力する。例えば、ネットワークインタフェース３１０は、ネットワークカードやネットワークアダプタ、ＮＩＣ（Network Interface Controller）等によって実現される。

記憶回路３２０は、処理回路３５０に接続され、各種データを記憶する。例えば、記憶回路３２０は、ＲＡＭ（Random Access Memory）、フラッシュメモリ等の半導体メモリ素子や、ハードディスク、光ディスク等によって実現される。例えば、記憶回路３２０は、提供先情報と匿名化参照情報とが関連付けられた匿名化一覧情報を記憶する。すなわち、記憶回路３２０は、医用情報の提供先と匿名化参照情報とが関連付けられて記憶された第１の記憶部である。また、記憶回路３２０は、医用情報の利用目的と匿名化参照情報とが関連付けられて記憶された第２の記憶部である。

ここで、図５は、匿名化一覧情報の一例を示す説明図である。匿名化一覧情報には、提供先情報と匿名化参照情報とが関連付けられている。提供先情報には、提供先を示す情報と、提供先での医用情報の利用目的を示す情報とが含まれている。図５に示す匿名化一覧情報には、提供先が「研究サイトＡ」であり、利用目的が「疾患研究」である提供先情報が示されている。なお、提供先情報は、提供先を示す情報と、提供先での医用情報の利用目的を示す情報との両方に限らず、何れか一方を有していてもよい。匿名化参照情報には、匿名化する対象のタグを示す情報と、匿名化する方法とが含まれている。そして、匿名化する方法には、ＤＩＣＯＭ規格に適合する匿名化方法が設定されている。

図５に示す匿名化参照情報において「（００１０，００１０）Ｄ:１３;」は、タグ「（００１０，００１０）」に関連付けられている属性を「１３」に置換することを示している。「（００１０，００２０）Ｄ：％ＬＩＤ；」は、タグ「（００１０，００２０）」に関連付けられている属性をハッシュ関数で算出したハッシュ値に置換することを示している。この場合、ハッシュ値から置換前の属性を算出することができる。「（００１０，００３０）Ｘ；」は、タグ「（００１０，００２０）」に関連付けられている属性を削除することを示している。「（７ＦＥ０，００１０）マスクデータ；」は、タグ「（７ＦＥ０,００１０）」に関連付けられているピクセルデータを、マスクデータでマスクすることを示している。マスクデータとは、ピクセルデータのマスク箇所が示された情報である。

ここで、図６は、ピクセルデータをマスクデータでマスクする処理の一例を示した図である。図６に示すピクセルデータには、患者氏名を示す「ＡＡＡＡ」と、ピクセルデータを撮像した病院名を示す「Ａ病院」との個人情報が含まれている。図６に示すマスクデータには、ピクセルデータを塗り潰すことによりマスクする箇所が示されている。そして、ピクセルデータとマスクデータとを合成することで、個人情報が匿名化された匿名化ピクセルデータが生成される。

さらに、匿名化参照情報には、匿名化方法として、ＤＩＣＯＭ規格に適合するプログラムが設定されていてもよい。例えば、患者識別子に応じた識別子に置換するプログラムが設定されていてもよい。これにより、複数の医用情報について同一人物の医用情報であることがわかるように匿名化される。また、プログラムには、状態変数や、ＩＤ（Identification）や、アルゴリズムや、時刻等が含まれていてもよい。

図４に戻り、入力インタフェース３３０は、操作者から受け付けた入力操作を電気信号に変換して処理回路３５０に出力する。例えば、入力インタフェース３３０は、トラックボール、スイッチボタン、マウス、キーボード、操作面へ触れることで入力操作を行うタッチパッド、表示画面とタッチパッドとが一体化されたタッチスクリーン、光学センサを用いた非接触入力インタフェース、音声入力インタフェース等の入力装置によって実現される。なお、入力インタフェース３３０は、匿名化方法設定装置３０とは別体に設けられた操作装置から操作に対応する電子信号を受け付ける接続インタフェース等の制御回路であってもよい。

ディスプレイ３４０は、処理回路３５０から出力される各種情報や各種画像を表示する。例えば、ディスプレイ３４０は、有機ＥＬ（Electro Luminescence）モニタや、液晶モニタや、ＣＲＴ（Cathode Ray Tube）モニタや、タッチパネル等の表示装置によって実現される。例えば、ディスプレイ３４０は、操作者の指示を受け付けるためのＧＵＩ（Graphical User Interface）や、各種の表示用の画像データ、処理回路３５０による各種の処理結果を表示する。

処理回路３５０は、匿名化方法設定装置３０が有する各構成要素を制御する。例えば、処理回路３５０は、プロセッサによって実現される。さらに詳しくは、第１の実施形態に係る処理回路３５０は、制御機能３５１、第１取得機能３５２、選択機能３５３、設定機能３５４、及び出力機能３５５を有する。

ここで、例えば、図４に示す処理回路３５０の構成要素である制御機能３５１、第１取得機能３５２、選択機能３５３、設定機能３５４、及び出力機能３５５が実行する各処理機能は、コンピュータによって実行可能なプログラムの形態で記憶回路３２０に記憶されている。処理回路３５０は、各プログラムを記憶回路３２０から読み出し、実行することで各プログラムに対応する機能を実現するプロセッサである。換言すると、各プログラムを読み出した状態の処理回路３５０は、図４の処理回路３５０内に示された各機能を有することとなる。

なお、制御機能３５１、第１取得機能３５２、選択機能３５３、設定機能３５４、及び出力機能３５５の全ての処理機能がコンピュータによって実行可能な１つのプログラムの形態で、記憶回路３２０に記録されていてもよい。例えば、このようなプログラムは、匿名化設定プログラムとも称される。この場合、処理回路３５０は、匿名化設定プログラムを記憶回路３２０から読み出し、読み出した匿名化設定プログラムを実行することで匿名化設定プログラムに対応する制御機能３５１、第１取得機能３５２、選択機能３５３、設定機能３５４、及び出力機能３５５を実現する。

第１取得機能３５２は、第１の取得部の一例である。設定機能３５４は、付与部、表示制御部、及び記憶制御部の一例である。

制御機能３５１は、匿名化方法設定装置３０の全体制御を実行する。例えば、制御機能３５１は、入力インタフェース３３０を制御して、各種操作を受け付ける。

第１取得機能３５２は、医用画像の通信規格に基づくフォーマットで生成された、医用画像と付帯情報とが含まれた医用情報を取得する。ここで、医用画像の通信規格に基づくフォーマットは、例えばＤＩＣＯＭ規格である。すなわち、第１取得機能３５２は、ＤＩＣＯＭ規格において規定されたフォーマットで生成された医用情報を取得する。更に詳しくは、第１取得機能３５２は、ネットワークインタフェース３１０を制御して、検査予約情報と、検査予約情報に基づき生成された医用情報とを取得する。そして、制御機能３５１は、取得した検査予約情報と、医用情報とを記憶回路３２０に記憶させる。

選択機能３５３は、医用情報の提供先が示された提供先情報と、医用情報を匿名化する匿名化方法が示された匿名化参照情報とが関連付けられた匿名化一覧情報から、第１取得機能３５２が取得した医用情報の提供先に応じた匿名化参照情報を選択する。また、検査予約情報に医用情報の利用目的が含まれている場合には、選択機能３５３は、第１取得機能３５２が取得した医用情報の提供先における医用情報の利用目的に応じた匿名化参照情報を匿名化一覧情報から選択する。

更に詳しくは、選択機能３５３は、第１取得機能３５２が医用情報を取得した場合に、その医用情報の生成に係る検査予約情報から提供先情報を抽出する。また、選択機能３５３は、抽出した提供先情報により特定される匿名化参照情報を、匿名化一覧情報から選択する。提供先情報に提供先と医用情報の利用目的との両方が含まれている場合には、選択機能３５３は、両方に該当する匿名化参照情報を匿名化一覧情報から選択する。そして、提供先情報に提供先と医用情報の利用目的との何れか一方が含まれている場合には、選択機能３５３は、提供先情報に含まれている提供先、又は利用目的に該当する匿名化参照情報を匿名化一覧情報から選択する。

設定機能３５４は、医用情報を匿名化する匿名化方法が示された匿名化参照情報を、医用情報の付帯情報に付与する。すなわち、設定機能３５４は、医用情報の提供先に対応付けられた匿名化参照情報を記憶回路３２０から読み出し、匿名化参照情報を医用情報の付帯情報に付与する。また、設定機能３５４は、医用情報の利用目的に対応付けられた匿名化参照情報を記憶回路３２０から読み出し、匿名化参照情報を医用情報の付帯情報に付与する。

更に詳しくは、設定機能３５４は、ＤＩＣＯＭ規格に準拠したプライベートタグまたは標準タグに匿名化参照情報を付与する。ここで、プライベートタグは、ＤＩＣＯＭ規格において任意の値を設定してよいタグである。標準タグは、ＤＩＣＯＭ規格においてタグの値が何を示しているのかが事前に定められたタグである。すなわち、設定機能３５４は、ＤＩＣＯＭ形式で形成された医用情報の任意の情報を書き込める領域に、選択機能３５３が選択した匿名化参照情報を設定する。さらに、設定機能３５４は、ＤＩＣＯＭ形式で形成された医用情報の任意の情報を書き込める領域に、医用情報を提供する提供先を示す提供先情報を設定する。ここで、図７は、提供先情報及び匿名化参照情報の設定の一例を示す図である。設定機能３５４は、ＤＩＣＯＭ形式で形成された医用情報の任意の情報を設定できるタグに、提供先情報及び匿名化参照情報をそれぞれ設定する。設定機能３５４は、図７に示す医用情報では、タグ（７３１７，１０１０）に提供先情報を設定し、タグ（７３１７，１０２０）に匿名化参照情報を設定している。なお、図７に示す医用情報には、一の提供先情報及び匿名化参照情報が設定されている。しかしながら、設定機能３５４は、医用情報を複数の提供先に送信する場合には、提供先情報及び匿名化参照情報を複数設定してもよい。

設定機能３５４は、匿名化参照情報が示す匿名化方法が匿名化対象を操作者が指定する設定である場合に、匿名化対象を指定する匿名化指定画面を表示させる。ここで、図８は、匿名化指定画面の一例を示す図である。例えば、ＤＩＣＯＭ形式において、タグ（００１０、４０００）には、操作者が自由に情報を書き込むことができるタグとなっている。そのため、図８に示すように、操作者が文書を書き込んでいる場合、匿名化すべき部分である匿名化対象を特定することは困難である。そこで、設定機能３５４は、図８に示す匿名化指定画面を表示して、匿名化対象の指定を要求する。図８に示す匿名化指定画面では、括弧で挟まれている「ＡＡＡＡ」が匿名化対象であることを示している。そして、匿名化対象は、例えば伏せ字等に置換される。なお、設定機能３５４は、括弧に限らず、事前に定められた方法で匿名化対象を特定可能に表示すればよい。例えば、アスタリスク等の記号で囲むことにより表現してもよい。

また、設定機能３５４は、匿名化する匿名化対象を機械学習により学習する。すなわち、設定機能３５４は、匿名化指定画面で指定された匿名化対象を記憶回路３２０等に記憶させる。そして、設定機能３５４は、設定機能３５４が過去に記憶させた匿名化対象と同一の情報が医用情報に含まれている場合に、匿名化対象と同一の情報を匿名化対象に指定した匿名化指定画面を表示させる。更に詳しくは、設定機能３５４は、括弧で挟まれた文字列等を記憶する。そして、設定機能３５４は、匿名化指定画面において、記憶した文字列が含まれている場合に、該当する文字列を括弧で挟んで表示する。なお、匿名化対象は、文字列に限らず、画像データ等であってもよい。

出力機能３５５は、設定機能３５４により提供先情報及び匿名化参照情報が医用情報に設定されると、当該医用情報をＰＡＣＳ４０に送信（出力）する。更に詳しくは、出力機能３５５は、ネットワークインタフェース３１０を制御して、医用情報をＰＡＣＳ４０に送信（出力）する。これにより、ＰＡＣＳ４０には、提供先情報及び匿名化参照情報が設定された医用情報が格納される。

図９は、第１の実施形態に係る匿名化装置５０の構成の一例を示すブロック図である。図９に示すように、第１の実施形態に係る匿名化装置５０は、ネットワークインタフェース５１０と、記憶回路５２０と、入力インタフェース５３０と、ディスプレイ５４０と、処理回路５５０とを有する。

ネットワークインタフェース５１０は、処理回路５５０に接続されており、第１ネットワーク４を介して、検査予約システム１０、医用画像診断装置２０、匿名化方法設定装置３０、及びＰＡＣＳ４０との間で行われる各種データの伝送及び通信を制御する。具体的には、ネットワークインタフェース５１０は、各システムから各種の情報を受信し、受信した情報を処理回路５５０に出力する。例えば、ネットワークインタフェース５１０は、ネットワークカードやネットワークアダプタ、ＮＩＣ等によって実現される。

記憶回路５２０は、処理回路５５０に接続され、各種データを記憶する。例えば、記憶回路５２０は、ＲＡＭフラッシュメモリ等の半導体メモリ素子や、ハードディスク、光ディスク等によって実現される。

入力インタフェース５３０は、操作者から受け付けた入力操作を電気信号に変換して処理回路５５０に出力する。例えば、入力インタフェース５３０は、トラックボール、スイッチボタン、マウス、キーボード、操作面へ触れることで入力操作を行うタッチパッド、表示画面とタッチパッドとが一体化されたタッチスクリーン、光学センサを用いた非接触入力インタフェース、音声入力インタフェース等の入力装置によって実現される。なお、入力インタフェース５３０は、匿名化装置５０とは別体に設けられた操作装置から操作に対応する電子信号を受け付ける接続インタフェース等の制御回路であってもよい。

ディスプレイ５４０は、処理回路５５０から出力される各種情報や各種画像を表示する。例えば、ディスプレイ５４０は、有機ＥＬモニタや、液晶モニタや、ＣＲＴモニタや、タッチパネル等の表示装置によって実現される。例えば、ディスプレイ５４０は、操作者の指示を受け付けるためのＧＵＩや、各種の表示用の画像データ、処理回路５５０による各種の処理結果を表示する。

処理回路５５０は、匿名化装置５０が有する各構成要素を制御する。例えば、処理回路５５０は、プロセッサによって実現される。さらに詳しくは、第１の実施形態に係る処理回路５５０は、取得機能５５１、匿名化機能５５２、及び出力機能５５３を有する。

ここで、例えば、図９に示す処理回路５５０の構成要素である取得機能５５１、匿名化機能５５２、及び出力機能５５３が実行する各処理機能は、コンピュータによって実行可能なプログラムの形態で記憶回路５２０に記憶されている。処理回路５５０は、各プログラムを記憶回路５２０から読み出し、実行することで各プログラムに対応する機能を実現するプロセッサである。換言すると、各プログラムを読み出した状態の処理回路５５０は、図９の処理回路５５０内に示された各機能を有することとなる。

なお、取得機能５５１、匿名化機能５５２、及び出力機能５５３の全ての処理機能がコンピュータによって実行可能な１つのプログラムの形態で、記憶回路５２０に記録されていてもよい。例えば、このようなプログラムは、匿名化処理プログラムとも称される。この場合、処理回路５５０は、匿名化処理プログラムを記憶回路５２０から読み出し、読み出した匿名化処理プログラムを実行することで匿名化処理プログラムに対応する取得機能５５１、匿名化機能５５２、及び出力機能５５３を実現する。

取得機能５５１は、ＰＡＣＳ４０から提供先情報及び匿名化参照情報が設定された医用情報を取得する。更に詳しくは、取得機能５５１は、ネットワークインタフェース５１０を制御して、医用情報を受信する。

匿名化機能５５２は、匿名化処理部の一例である。匿名化機能５５２は、匿名化参照情報が付与された医用情報を受け取り、医用情報に付与された匿名化参照情報に基づいて、医用情報に含まれた医用画像および付帯情報の少なくとも一方を匿名化する。すなわち、匿名化機能５５２は、匿名化方法設定装置３０の選択機能３５３が選択した匿名化参照情報に基づいて、匿名化方法設定装置３０の第１取得機能３５２が取得した医用情報の一部を匿名化する匿名化処理を実行する。具体的には、匿名化機能５５２は、取得機能５５１が取得した医用情報を、医用情報に含まれている匿名化参照情報に基づいて匿名化する。更に詳しくは、匿名化機能５５２は、匿名化参照情報により指定された各タグを、匿名化参照情報により指定された方法で匿名化する。また、匿名化機能５５２は、匿名化参照情報に含まれているマスクデータと、医用情報に含まれているピクセルデータとを合成することで、ピクセルデータに含まれている個人情報を匿名化する。

出力機能５５３は、匿名化した医用情報を提供先情報が示す提供先に出力する。更に詳しくは、出力機能５５３は、ネットワークインタフェース５１０を制御して、第１ネットワーク４を介して、研究サイト３に匿名化した医用情報を送信する。

次に、第１の実施形態において、医用情報を匿名化する匿名化処理について説明する。図１０は、第１の実施形態に係る画像生成処理の処理手順の一例を示すシーケンス図である。

検査予約システム１０は、医用情報の提供を登録する操作を受け付けた場合に、検査予約情報を生成する（ステップＳ１）。検査予約システム１０は、医用情報の提供先と、医用情報の利用目的とが示された提供先情報を含む検査予約情報を医用画像診断装置２０に送信する（ステップＳ２）。

医用画像診断装置２０は、検査予約システム１０から送信された検査予約情報に基づき、医用情報を生成する（ステップＳ３）。医用画像診断装置２０は、医用情報及び提供先情報を匿名化方法設定装置３０に送信する（ステップＳ４）。

匿名化方法設定装置３０の選択機能３５３は、医用画像診断装置２０から受信した提供先情報に基づいて、匿名化参照情報を選択する（ステップＳ５）。匿名化方法設定装置３０の設定機能３５４は、選択した匿名化参照情報を医用情報に付与する（ステップＳ６）。匿名化方法設定装置３０の出力機能３５５は、匿名化参照情報が付与された医用情報をＰＡＣＳ４０に送信する（ステップＳ７）。

ＰＡＣＳ４０は、匿名化参照情報が付与された医用情報を匿名化装置５０に送信する（ステップＳ８）。

匿名化装置５０の匿名化機能５５２は、医用情報に付与されている匿名化参照情報に基づいて医用情報を匿名化する（ステップＳ９）。

以上により、医用情報匿名化システム２は、匿名化処理を終了する。

以上のように、第１の実施形態に係る医用情報匿名化システム２によれば、匿名化一覧情報には、医用情報の提供先を示す提供先情報と、医用情報の匿名化方法が示された匿名化参照情報とが関連付けられている。匿名化方法設定装置３０の選択機能３５３は、提供先に応じた匿名化参照情報を選択する。また、匿名化方法設定装置３０の設定機能３５４は、選択した匿名化参照情報を医用情報に付与する。そして、匿名化装置５０の匿名化機能５５２は、医用情報に付与されている匿名化参照情報に基づいて、医用情報に含まれる個人情報等を匿名化する匿名化処理を実行する。よって、第１の実施形態に係る医用情報匿名化システム２は、提供先に応じた匿名化方法で医用情報の匿名化を実行することができる。

（第２の実施形態）
第２の実施形態について説明する。

ここで、図１１は、第２の実施形態に係る医用情報の匿名化方式の一例を示す図である。第２の実施形態では、匿名化方法設定装置３０ａは、提供先の研究サイト３から匿名化参照情報を受信する。

図１１に示すように、提供先の研究サイト３は、提供先が所望する匿名化方式が示された匿名化参照情報を匿名化方法設定装置３０ａに送信する。この時、研究サイト３は、ＤＩＣＯＭ形式で形成したデータに匿名化参照情報を付与して送信する。具体的には、研究サイト３は、ＤＩＣＯＭ形式における任意の情報を書き込める領域に匿名化参照情報を付与する。また、ＤＩＣＯＭ形式の他の領域にはダミーの付帯情報及びダミーのピクセルデータを設定する。そして、研究サイト３は、匿名化参照情報と、ダミーの付帯情報と、ダミーのピクセルデータとが付与されたＤＩＣＯＭ形式のデータを送信する。

ここで、匿名化方法設定装置３０ａに記憶された匿名化一覧情報に、既に、医用情報を送信する提供先の匿名化参照情報が含まれている場合がある。この場合、研究サイト３から送信された匿名化参照情報と、匿名化一覧情報の匿名化参照情報とで競合が発生する可能性がある。そこで、匿名化方法設定装置３０ａは、図１３において後述する匿名化強度情報に基づいて、何れの匿名化参照情報を付与するかを判定する。そして、匿名化方法設定装置３０ａは、判定結果に基づいて、匿名化参照情報を医用情報に付加する。

また、匿名化方法設定装置３０ａは、匿名化強度情報に基づいて、何れかの匿名化参照情報を付与するかを判定する。すなわち、匿名化装置５０は、提供先から送信された匿名化参照情報の匿名化方法とは異なる匿名化方法で医用情報の匿名化処理を実行する可能性がある。そのため、提供先から送信された匿名化参照情報の匿名化方法とは異なる匿名化方法に変更されたことを提供先に通知することが好ましい。そこで、匿名化方法設定装置３０ａは、研究サイト３の匿名化参照情報と、匿名化一覧情報の匿名化参照情報との何れの匿名化参照情報を付加したのかを示す履歴情報を生成する。

ここで、図１２は、第２の実施形態に係る匿名化方法設定装置３０ａの構成の一例を示すブロック図である。第２の実施形態に係る匿名化方法設定装置３０ａの処理回路３５０ａは、第２取得機能３５６と、履歴機能３５７とを備えている点が、第１の実施形態に係る匿名化方法設定装置３０ａと異なっている。

第２取得機能３５６は、第２の取得部の一例である。履歴機能３５７は、履歴部の一例である。

第２取得機能３５６は、提供先から匿名化参照情報を取得する。更に詳しくは、第２取得機能３５６は、ダミーの医用画像および付帯情報の少なくとも一方と、匿名化参照情報とが含まれた医用情報を取得する。すなわち、第２取得機能３５６は、ＤＩＣＯＭ形式で形成された匿名化参照情報を受信する。例えば、第２取得機能３５６は、匿名化参照情報と、ダミーの付帯情報と、ダミーのピクセルデータとが付与されたＤＩＣＯＭ形式のデータを受信した場合に、受信したデータから匿名化参照情報を取得する。

選択機能３５３ａは、提供先情報により特定される匿名化参照情報を匿名化一覧情報から選択する。ここで、第２取得機能３５６が研究サイト３から匿名化参照情報を受信した場合に、既に、匿名化一覧情報に提供先の匿名化参照情報が含まれていることがある。この場合、匿名化一覧情報から選択した匿名化参照情報と、第２取得機能３５６が匿名化参照情報とが競合する可能性がある。そこで、選択機能３５３ａは、匿名化一覧情報の匿名化参照情報と、第２取得機能３５６の匿名化参照情報とが競合した場合に、匿名化強度情報に基づいて、匿名化参照情報を選択する。

図１３は、匿名化強度情報の一例を示す図である。匿名化強度情報は、匿名化方法ごとの匿名化強度が示された情報である。匿名化強度とは、匿名化の強度を示す情報である。例えば、患者氏名を匿名化する場合に、同一人物であるか否かが判別可能な匿名化方法と、同一人物であるか否かが判別不可能な匿名化方法とでは、匿名化の強度が異なっている。そして、同一人物であるか否かが判別不可能な匿名化方法は、判別可能な匿名化方法よりも匿名化強度が高い。匿名化強度とは、このような匿名化の強度を示す情報である。そして、選択機能３５３ａは、匿名化参照情報が競合した場合に、より匿名化強度が高い匿名化方法を選択する。匿名化強度とは、言い換えると、匿名化方法の優先度を示す情報である。そして、図１３に示す匿名化強度情報は、数値が大きくなるに従い匿名化の強度が高くなることを示している。

ここで、図１４は、匿名化参照情報の選択の一例を示す図である。タグ（００１０、００１０）を比較した場合に、匿名化一覧情報の匿名化参照情報は、匿名化方法が「置換」であり、図１３の匿名化強度情報では匿名化強度が「１０」に設定されている。一方、匿名化一覧情報の匿名化参照情報は、匿名化方法が「何もしない」であり、図１３の匿名化強度情報では匿名化強度が「０」に設定されている。よって、選択機能３５３ａは、匿名化強度が高い「置換」を選択する。

また、タグ（００１０、００２０）を比較した場合に、匿名化一覧情報の匿名化参照情報は、匿名化方法が「削除」であり、図１３の匿名化強度情報では匿名化強度が「１００」に設定されている。一方、匿名化一覧情報の匿名化参照情報は、匿名化方法が「置換」であり、図１３の匿名化強度情報では匿名化強度が「１０」に設定されている。よって、選択機能３５３ａは、匿名化強度が高い「削除」を選択する。

設定機能３５４ａは、第２取得機能３５６により取得された匿名化参照情報を医用情報の付帯情報に付与する。更に詳しくは、設定機能３５４ａは、選択機能３５３ａが匿名化強度情報に基づいてタグごとに選択した匿名化方法を医用情報の付帯情報に設定する。また、設定機能３５４ａは、提供先情報を医用情報の付帯情報に設定する。

履歴機能３５７は、記憶回路３２０から読み出した匿名化参照情報と、第２取得機能３５６の匿名化参照情報とのうち、何れの匿名化参照情報が選択されたのかを示す履歴情報を生成する。すなわち、履歴情報は、医用情報のタグごとに、選択機能３５３ａが選択した匿名化方法が示された情報である。そして、履歴機能３５７は、生成した履歴情報を医用情報に付与する。例えば、履歴機能３５７は、医用情報の任意の情報を書き込み可能な領域に履歴情報を書き込む。

出力機能３５５は、提供先情報及び匿名化参照情報が設定された医用情報をＰＡＣＳ４０に送信する。また、出力機能３５５は、履歴機能３５７が履歴情報を生成した場合には、さらに履歴情報が付与された医用情報を送信する。

第２の実施形態に係る匿名化装置５０の匿名化機能５５２は、第１の実施形態と同様に、匿名化方法設定装置３０の選択機能３５３が選択した匿名化参照情報に基づいて、匿名化方法設定装置３０の第１取得機能３５２が取得した医用情報の一部を匿名化する匿名化処理を実行する。よって、匿名化機能５５２は、選択機能３５３が選択した匿名化参照情報、又は第２取得機能３５６が取得した匿名化参照情報に基づいて、医用情報の一部を匿名化する。さらに、匿名化機能５５２は、選択機能３５３が匿名化一覧情報から選択した匿名化参照情報と、第２取得機能３５６が取得した匿名化参照情報とが競合した場合に、匿名化方法ごとに定められた優先度に基づいて選択された匿名化方法により医用情報の一部を匿名化する。すなわち、匿名化機能５５２は、医用情報の提供先と匿名化参照情報とが関連付けられて記憶された記憶回路３２０から読み出した匿名化参照情報と、第２取得機能３５６で取得された匿名化参照情報とが競合した場合に、匿名化方法ごとに定められた優先度に基づいて選択された匿名化方法により医用情報を匿名化する。さらに、匿名化装置５０の出力機能５５３は、匿名化した医用情報と、履歴情報とを研究サイト３に送信する。

次に、第２の実施形態において、医用情報を匿名化する匿名化処理について説明する。図１５は、第２の実施形態に係る画像生成処理の処理手順の一例を示すシーケンス図である。

第２取得機能３５６は、研究サイト３から匿名化参照情報を受信する（ステップＳ２１）。なお、研究サイト３から匿名化参照情報を受信するタイミングは、任意に変更可能である。すなわち、第２取得機能３５６は、医用画像診断装置２０から医用情報を受信した後に、研究サイト３から匿名化参照情報を受信してもよいし、他のタイミングで受信してもよい。

ステップＳ２２からステップＳ２５までの処理は、図１０に示すステップＳ１からステップＳ４までの処理と同様の処理である。

選択機能３５３ａは、医用画像診断装置２０から受信した匿名化強度情報に基づいて、研究サイト３の匿名化参照情報と、匿名化一覧情報の匿名化参照情報とからタグごとの匿名化方法を選択する（ステップＳ２６）。

設定機能３５４ａは、選択機能３５３ａが選択したタグごとの匿名化方法、及び提供先情報を医用情報に付与する（ステップＳ２７）。

履歴機能３５７は、履歴情報を生成する（ステップＳ２８）。

履歴機能３５７は、生成した履歴情報を医用情報に付与する（ステップＳ２９）。

出力機能３５５は、匿名化参照情報、及び履歴情報が付与された医用情報をＰＡＣＳ４０に送信する（ステップＳ３０）。

ＰＡＣＳ４０は、匿名化参照情報、及び履歴情報が付与された医用情報を匿名化装置５０に送信する（ステップＳ３１）。

匿名化装置５０の匿名化機能５５２は、医用情報に付与されている匿名化参照情報に基づいて医用情報を匿名化する（ステップＳ３２）。

以上により、医用情報匿名化システム２は、匿名化処理を終了する。

以上のように、第２の実施形態に係る医用情報匿名化システム２によれば、匿名化方法設定装置３０ａの第２取得機能３５６は、研究サイト３から匿名化参照情報を取得する。よって、匿名化方法設定装置３０ａの設定機能３５４ａは、研究サイト３が指定した匿名化方法を設定することができる。さらに、匿名化方法設定装置３０ａの選択機能３５３ａは、匿名化参照情報が競合した場合には、匿名化強度に基づいて、設定する匿名化方法を選択する。よって、匿名化方法設定装置３０ａは、医用情報の送付元の病院等が想定している匿名化強度よりも低い匿名化強度の匿名化方法で匿名化処理が実行されてしまうことを防止することができる。さらに、匿名化方法設定装置３０ａの履歴機能３５７は、履歴情報を生成する。そして、履歴機能３５７は、生成した履歴情報を医用情報に付与する。よって、操作者や提供先は、どのような匿名化方法により匿名化されたのかを把握することができる。

（第３の実施形態）
第３の実施形態について説明する。

第３の実施形態では、匿名化参照情報は、ＤＩＣＯＭ形式で形成される。ここで、図１６は、第３の実施形態に係る匿名化参照情報の一例を示す図である。匿名化参照情報の付帯情報には、匿名化する対象のタグごとに、匿名化方法が設定されている。さらに、匿名化参照情報のピクセルデータには、匿名化するピクセルデータをマスクするマスクデータで設定されている。

また、第３の実施形態に係る匿名化参照情報には、任意のタグに医用情報特定情報が含まれている。第１の実施形態に係る匿名化参照情報は、医用情報に組み込まれるため、匿名化する対象の医用情報を特定する必要がない。なお、第３の実施形態に係る匿名化参照情報は、医用情報に組み込まれないため、匿名化する対象の医用情報を特定する医用情報特定情報が含まれている。医用情報特定情報は、例えば医用情報を識別可能な識別番号である。なお、医用情報特定情報は、識別番号に限らず、医用情報が記憶されている領域を示す情報や、その他の情報であってもよい。

また、匿名化方法は、例えば患者氏名を数値１３に置換する場合には「Ｄ；１３」と記載される。しかし、タグによっては、アルファベットを入力することができない場合がある。この場合には、数値で匿名化方法を表現してもよい。例えば、下位２桁等の特定の桁の値が匿名化方法を示すようにしてもよい。具体的な例を挙げて説明すると、タグ（００１０、００３０）に「１８００１１０２」が設定されている場合、「１８００１１０２」の下位２桁の値である「０２」が匿名化方法を示している。この場合において、「０２」が削除を示している場合に、「１８００１１」は削除される。

ここで、図１７は、第３の実施形態に係る医用情報の匿名化方式の一例を示す図である。第３の実施形態では、医用画像診断装置２０は、検査予約情報に基づいて、被写体の医用情報を生成する。医用画像診断装置２０は、生成した医用情報を匿名化方法設定装置３０ｂに送信する。また、第３の実施形態では、第２の実施形態と同様に、提供先の研究サイト３からＤＩＣＯＭ形式の匿名化参照情報が送信される場合がある。この時、第２の実施形態と同様に、研究サイト３から送信された匿名化参照情報と、匿名化一覧情報の匿名化参照情報とで競合が発生する可能性がある。競合が発生した場合には、第２の実施形態と同様に、匿名化強度情報に基づいて、何れの匿名化参照情報を付与するかを判定する。匿名化方法設定装置３０ｂは、競合が発生した場合には判定結果に基づいて、ＤＩＣＯＭ形式の匿名化参照情報を生成する。また、匿名化方法設定装置３０ｂは、研究サイト３の匿名化参照情報と、匿名化一覧情報の匿名化参照情報との何れの匿名化参照情報を付加したのかを示す履歴情報を生成する。匿名化方法設定装置３０ｂは、医用画像診断装置２０が生成した医用情報と、生成したＤＩＣＯＭ形式の匿名化参照情報とをＰＡＣＳ４０を介して、匿名化装置５０に送信する。匿名化装置５０は、受信した医用情報を、受信した匿名化参照情報に基づいて匿名化する。

ここで、図１８は、第３の実施形態に係る匿名化方法設定装置３０ｂの構成の一例を示すブロック図である。第３の実施形態に係る匿名化方法設定装置３０ｂの処理回路３５０ｂは、第２の実施形態に係る設定機能３５４ａに代えて、生成機能３５８を備えている点が、第２の実施形態に係る匿名化方法設定装置３０ａの処理回路３５０ａと異なっている。ここで、第３の実施形態に係る匿名化参照情報は、医用情報に組み込まれず、ＤＩＣＯＭ形式の独立したデータされている。そのため、第３の実施形態に係る匿名化参照情報は、匿名化参照情報を設定する設定機能３５４ａに代えて、匿名化参照情報を生成する生成機能３５８を備えている。

第２取得機能３５６ｂは、研究サイト３からＤＩＣＯＭ形式で形成された匿名化参照情報を受信する。すなわち、第２取得機能３５６ｂは、図１６に示すＤＩＣＯＭ形式の匿名化参照情報を受信する。

選択機能３５３ｂは、提供先情報と、ＤＩＣＯＭ形式の匿名化参照情報とが関連付けられた匿名化一覧情報から、医用情報を提供する提供先情報により特定される匿名化参照情報を選択する。また、選択機能３５３ｂは、第２の実施形態と同様に研究サイト３の匿名化参照情報と、匿名化一覧情報の匿名化参照情報とが競合した場合に、匿名化強度情報に基づいてタグごとに匿名化方法を選択する。

生成機能３５８は、匿名化参照情報を生成する。更に詳しくは、生成機能３５８は、匿名化参照情報が競合していない場合には、選択機能３５３ｂが匿名化一覧情報から選択した匿名化参照情報を複写することにより匿名化参照情報を生成する。一方、生成機能３５８は、匿名化参照情報が競合した場合には、選択機能３５３ｂがタグごとに選択した匿名化方法を収集することにより匿名化参照情報を生成する。

第２の実施形態と同様に履歴機能３５７は、履歴情報を生成する。

出力機能３５５ｂは、匿名化する医用情報と、匿名化参照情報とを送信する。さらに、出力機能３５５ｂは、履歴機能３５７が履歴情報を生成した場合に、匿名化する医用情報と、匿名化参照情報と、履歴情報とを送信する。

第３の実施形態に係る匿名化装置５０の匿名化機能５５２は、第１の実施形態と同様に、匿名化方法設定装置３０から送信された匿名化参照情報に基づいて、医用情報の一部を匿名化する匿名化処理を実行する。さらに、匿名化装置５０の出力機能５５３は、匿名化した医用情報と、履歴情報とを研究サイト３に送信する。

次に、第３の実施形態において、医用情報を匿名化する匿名化処理について説明する。図１９は、第３の実施形態に係る匿名化処理の処理手順の一例を示すシーケンス図である。

第２取得機能３５６ｂは、研究サイト３からＤＩＣＯＭ形式で形成された匿名化参照情報を受信する（ステップＳ４１）。

ステップＳ４２からステップＳ４５までの処理は、図１０に示すステップＳ１からステップＳ４までの処理と同様の処理である。

匿名化方法設定装置３０の選択機能３５３は、医用画像診断装置２０から受信した提供先情報に基づいて、ＤＩＣＯＭ形式の匿名化参照情報を選択する（ステップＳ４６）。

生成機能３５８は、匿名化参照情報を生成する（ステップＳ４７）。

履歴機能３５７は、履歴情報を生成する（ステップＳ４８）。

出力機能３５５ｂは、匿名化する医用情報、匿名化参照情報、及び履歴情報をＰＡＣＳ４０に送信する（ステップＳ４９）。

ＰＡＣＳ４０は、匿名化する医用情報、匿名化参照情報、及び履歴情報を匿名化装置５０に送信する（ステップＳ５０）。

匿名化装置５０の匿名化機能５５２は、受信した匿名化参照情報に基づいて、医用情報を匿名化する（ステップＳ５１）。

以上により、医用情報匿名化システム２は、匿名化処理を終了する。

以上のように、第３の実施形態に係る医用情報匿名化システム２によれば、匿名化参照情報は、ＤＩＣＯＭ形式で形成されている。よって、匿名化方法設定装置３０ｂは、匿名化参照情報を送受信する経路を新たに設けることなく、研究サイト３から匿名化参照情報を受信することができる。

第３の実施形態において、第２取得機能３５６ｂ、生成機能３５８、及び履歴機能３５７は、匿名化方法設定装置３０ｂが備えていると説明した。しかしながら、第２取得機能３５６ｂ、生成機能３５８、及び履歴機能３５７は、匿名化装置５０が備えていてもよい。この場合、匿名化方法設定装置３０ｂは、選択機能３５３ｂが選択した匿名化参照情報を、ＰＡＣＳ４０を介して匿名化装置５０に送信する。また、匿名化装置５０は、研究サイト３から匿名化参照情報を取得する。そして、匿名化装置５０は、匿名化方法設定装置３０ｂから受信した匿名化参照情報と、研究サイト３から取得した匿名化参照情報とが競合した場合に、匿名化強度情報に基づいて、匿名化強度情報に基づいてタグごとに匿名化方法を選択して、匿名化参照情報を生成する。さらに、匿名化装置５０は、生成した匿名化参照情報に基づいて、医用情報を匿名化する。

（第４の実施形態）
第４の実施形態について説明する。

第４の実施形態では、匿名化参照情報を含む医用情報を提供先の研究サイト３に提供する。提供先は、医用情報に匿名化参照情報が含まれていない場合、医用情報に含まれる付帯情報およびピクセルデータに対して、どのような匿名化処理が実行されたのかが不明である。そこで、第４の実施形態では、匿名化処理に使用された匿名化参照情報を含む医用情報を研究サイト３に提供する。

図２０は、第４の実施形態に係る匿名化装置５０ｃの構成の一例を示すブロック図である。第４の実施形態に係る匿名化装置５０ｃの処理回路５５０ｃの出力機能５５３ｃは、匿名化機能５５２によって匿名化に使用された匿名化参照情報を含む医用情報を出力する。すなわち、出力機能５５３ｃは、匿名化参照情報を含む医用情報を研究サイト３に送信する。

ここで、出力機能５５３ｃによる匿名化参照情報の出力形式は限定しない。例えば、出力機能５５３ｃは、付帯情報に匿名化参照情報を組み込んで出力してもよい。具体的には、出力機能５５３ｃは、付帯情報の標準タグや、プライベートタグに匿名化参照情報を付与してもよい。

また、第４の実施形態にかかる匿名化装置５０ｃは、第１の実施形態、第２の実施形態、及び第３の実施形態に適用してもよい。

ここで、第２の実施形態にかかる匿名化方法設定装置３０ａは、図１１に示すようにＤＩＣＯＭ形式のデータを研究サイト３から取得する。匿名化方法設定装置３０ａは、ＤＩＣＯＭ形式のデータに含まれる匿名化参照情報を医用情報に付与する。これにより、匿名化装置５０は、ＤＩＣＯＭ形式のデータに含まれる匿名化参照情報を使用して医用情報の匿名化を実行する。このような場合に、出力機能５５３ｃは、匿名化参照情報を含む医用情報を出力する。

また、第２の実施形態にかかる匿名化方法設定装置３０ａは、研究サイト３から匿名化参照情報を取得するため、研究サイト３から取得した匿名化参照情報と、匿名化一覧情報から選択した匿名化参照情報とが競合する場合がある。そこで、第２の実施形態にかかる履歴機能３５７は、研究サイト３の匿名化参照情報と、匿名化一覧情報の匿名化参照情報との何れの匿名化参照情報を付加したのかを示す履歴情報を生成する。そして、第２の実施形態にかかる出力機能３５５は、履歴機能３５７が履歴情報を生成した場合には、履歴情報が付与された医用情報を出力する。これにより、研究サイト３では、何れの匿名化参照情報が使用され、且つどのような匿名化が実行されたのかを把握することができる。

ここで、図２１は、第４の実施形態に係る医用情報の匿名化方式の一例を示す図である。検査予約システム１０は、医用画像診断装置２０による検査予約を受け付けた場合に、検査予約情報を生成する。医用画像診断装置２０は、検査予約情報に基づいて、被写体の医用情報を生成する。匿名化方法設定装置３０は、匿名化一覧情報から匿名化参照情報を選択する。匿名化方法設定装置３０は、医用画像診断装置２０が生成した医用情報に、選択した匿名化参照情報を付与する。匿名化装置５０ｃは、医用情報に付与されている匿名化参照情報に基づいて、付帯情報とピクセルデータとの少なくとも一方を匿名化した医用情報を生成する。そして、匿名化装置５０ｃは、匿名化に使用した前記匿名化参照情報と、匿名化した医用情報とを研究サイト３に出力する。

以上のように、第４の実施形態に係る医用情報匿名化システム２によれば、匿名化装置５０ｃの出力機能５５３ｃは、匿名化機能５５２が匿名化に使用した匿名化参照情報と、匿名化機能５５２が匿名化した医用画像および付帯情報の少なくとも一方を含む医用情報とを出力する。すなわち、出力機能５５３ｃは、研究サイト３に匿名化参照情報と、医用情報とを送信する。よって、医用情報匿名化システム２は、医用情報の提供先においても医用情報の匿名化方法を把握させることが出来る。

（第５の実施形態）
第５の実施形態について説明する。

第５の実施形態では、患者等の被検体の同意が得られた場合に、匿名化処理を実行する。第５の実施形態にかかる同意とは、医用情報の開示に対する同意である。

図２２は、第５の実施形態に係る匿名化装置５０ｄの構成の一例を示すブロック図である。匿名化装置５０ｄの処理回路５５０ｄは、開示同意取得機能５５４を備えている点が第１の実施形態に係る匿名化装置５０と異なっている。

開示同意取得機能５５４は、患者等の被検体から医用情報の開示に同意したことを示す入力を取得する。開示同意取得機能５５４は、例えば、医師等の医療従事者が操作する端末で医用情報の開示に同意することを示すボタンが押下された場合に、端末から医用情報の開示に同意したことを示す開示同意情報を取得する。

例えば、医療従事者が操作する端末は、医用情報の開示に同意する否かを確認する開示確認画面を表示する。また、端末は、開示確認画面に含まれるボタンにおいて、医用情報の開示に同意したことを示すボタンを押下する操作を受け付ける。端末は、医用情報の開示に同意したことを示すボタンが押下された場合に、開示同意情報を送信する。そして、開示同意取得機能５５４は、端末が送信した開示同意情報を受信する。これにより、開示同意取得機能５５４は、開示同意情報を取得する。

なお、医用情報の開示に同意したことを示す入力は、ボタンの押下に限らず、被検体が有するパスワードの入力であってもよいし、タッチパネル上に記載された被検体の署名の入力であってもよいし、医用情報の開示に対して同意することを示す同意書をスキャンしたデータの入力であってもよいし、これらの組み合わせであってもよい。また、開示同意取得機能５５４は、医療従事者が操作する端末に限らず、被検体が操作する端末から開示同意情報を取得してもよいし、同意書をスキャンする読取装置から開示同意情報を取得してもよい。

匿名化機能５５２ｄは、被検体の同意を取得したことを条件に、医用情報に付与された匿名化参照情報に基づいて、医用情報に含まれた医用画像および付帯情報の少なくとも一方を匿名化する。更に詳しくは、匿名化機能５５２ｄは、開示同意取得機能５５４が開示同意情報を取得したことを条件に、患者等の被検体が開示に同意したか否かを示すフラグである開示フラグを有効に変更する。一方、開示同意取得機能５５４が開示同意情報を取得していない場合に、匿名化機能５５２ｄは、開示フラグの無効を維持する。そして、医用情報を提供する際に、開示フラグが有効であることを条件に、匿名化機能５５２ｄは、匿名化参照情報に基づいて、医用情報を匿名化する。一方、開示フラグが無効であることを条件に、匿名化機能５５２ｄは、医用情報の匿名化を実行しない。

ここで、匿名化一覧情報には、提供先情報と、匿名化参照情報とが関連付けられている。そして、提供先情報には、提供先及び利用目的が示されている。開示同意取得機能５５４は、提供先及び利用目的ごとに、被検体から医用情報の開示に同意したことを示す入力を取得してもよい。

また、開示同意取得機能５５４は、付帯情報のタグ及びピクセルデータごとに、開示に同意したことを示す入力を取得してもよい。これにより、匿名化機能５５２ｄは、被検体が同意した付帯情報のタグ及びピクセルデータを匿名化する。そして、出力機能５５３ｄは、匿名化機能５５２ｄが匿名化した付帯情報のタグ及びピクセルデータを有する医用情報を出力する。すなわち、出力機能５５３ｄは、被検体が開示に同意していない、付帯情報のタグ及びピクセルデータは出力しない。これにより、被検体は、開示対象を指定することができる。

出力機能５５３ｄは、匿名化機能５５２ｄが匿名化に使用した匿名化参照情報と、匿名化機能５５２ｄが匿名化した医用情報とを研究サイト３に送信する。すなわち、開示同意取得機能５５４が被検体から医用情報の開示に同意したことを示す入力を取得していない場合に、出力機能５５３ｄは、医用情報を送信しない。なお、出力機能５５３ｄは、匿名化参照情報と、医用情報との両方に限らず、医用情報を送信してもよい。

また、第５の実施形態にかかる匿名化装置５０ｄは、第１の実施形態、第２の実施形態、及び第３の実施形態に適用してもよい。

ここで、図２３は、第５の実施形態に係る医用情報の匿名化方式の一例を示す図である。検査予約システム１０は、医用画像診断装置２０による検査予約を受け付けた場合に、検査予約情報を生成する。医用画像診断装置２０は、検査予約情報に基づいて、被写体の医用情報を生成する。匿名化方法設定装置３０は、匿名化一覧情報から匿名化参照情報を選択する。匿名化方法設定装置３０は、医用画像診断装置２０が生成した医用情報に、選択した匿名化参照情報を付与する。匿名化装置５０ｄは、匿名化した医用情報の開示に対して、患者等の被検体が同意した場合に、医用情報の匿名化に対して同意したことを示す開示同意情報を取得する。匿名化装置５０ｄは、開示同意情報を取得した場合に、医用情報に付与されている匿名化参照情報に基づいて、医用情報の付帯情報およびピクセルデータの少なくとも一方を匿名化する。一方、匿名化装置５０ｄは、開示同意情報を取得していない場合に、被検体の同意が得られていないため、医用情報の匿名化を実行しない。また、匿名化装置５０ｄは、該当する医用情報の提供も行わない。

以上のように、第５の実施形態に係る医用情報匿名化システム２によれば、匿名化装置５０ｄの開示同意取得機能５５４は、被検体から医用情報の開示に対して同意したことを示す入力を取得する。匿名化機能５５２ｄは、開示同意取得機能５５４が同意を取得したことを条件に、医用情報に付与された匿名化参照情報に基づいて、医用情報に含まれた医用画像および付帯情報の少なくとも一方を匿名化する。そして、出力機能５５３ｄは、匿名化機能５５２ｄが医用情報を匿名化したことを条件に、研究サイト３に出力する。一方、出力機能５５３ｄは、匿名化機能５５２ｄが医用情報を匿名化していない場合には、医用情報を研究サイト３に出力しない。よって、医用情報匿名化システム２は、患者等の被検体から医用情報の開示に対して同意が得られたことを条件に、医用情報を研究サイト３に開示することができる。

（第６の実施形態）
第６の実施形態について説明する。

第６の実施形態では、患者等の被検体の同意が得られた場合に、匿名化処理を実行する。第６の実施形態にかかる同意とは、医用情報の匿名化に対する同意である。

図２４は、第６の実施形態に係る匿名化方法設定装置３０ｅの構成の一例を示すブロック図である。匿名化方法設定装置３０ｅの処理回路３５０ｅは、匿名化同意取得機能３５９を備えている点が第１の実施形態に係る匿名化方法設定装置３０と異なっている。

匿名化同意取得機能３５９は、患者等の被検体から医用情報の匿名化に同意したことを示す入力を取得する。匿名化同意取得機能３５９は、例えば、医師等の医療従事者が操作する端末で医用情報の匿名化に同意することを示すボタンが押下された場合に、端末から医用情報の匿名化に同意したことを示す匿名化同意情報を取得する。

例えば、医療従事者が操作する端末は、医用情報の匿名化に同意する否かを確認する匿名化確認画面を表示する。また、端末は、匿名化確認画面に含まれるボタンにおいて、医用情報の匿名化に同意したことを示すボタンを押下する操作を受け付ける。そして、端末は、医用情報の匿名化に同意したことを示すボタンが押下された場合に、匿名化同意情報を送信する。匿名化同意取得機能３５９は、端末が送信した匿名化同意情報を受信する。これにより、匿名化同意取得機能３５９は、匿名化同意情報を取得する。また、匿名化同意取得機能３５９は、匿名化同意情報を取得したことを条件に、患者等の被検体が匿名化に同意したか否かを示すフラグである匿名化フラグを有効に変更する。一方、匿名化同意取得機能３５９は、匿名化同意情報を取得していない場合に、匿名化フラグの無効を維持する。

なお、医用情報の匿名化に同意したことを示す入力は、ボタンの押下に限らず、被検体が有するパスワードの入力であってもよいし、タッチパネル上に記載された被検体の署名の入力であってもよいし、医用情報の匿名化に対して同意することを示す同意書をスキャンしたデータの入力であってもよいし、これらの組み合わせであってもよい。また、匿名化同意取得機能３５９は、医療従事者が操作する端末に限らず、被検体が操作する端末から匿名化同意情報を取得してもよいし、同意書をスキャンする読取装置から匿名化同意情報を取得してもよい。

選択機能３５３ｅは、匿名化フラグが有効であることを条件に、匿名化一覧情報から匿名化参照情報を選択する。一方、選択機能３５３ｅは、匿名化フラグが無効である場合、匿名化一覧情報から匿名化参照情報を選択しない。

設定機能３５４ｅは、被検体の同意を受け付けたことを条件に、匿名化参照情報を、医用情報の付帯情報に付与する。具体的には、設定機能３５４ｅは、匿名化フラグが有効であることを条件に、ＤＩＣＯＭ形式で形成された医用情報の任意の情報を書き込める領域に、選択機能３５３が選択した提供先情報及び匿名化参照情報を設定する。すなわち、匿名化フラグが無効である場合、選択機能３５３ｅは匿名化一覧情報から匿名化参照情報を選択しないため、設定機能３５４ｅは、提供先情報及び匿名化参照情報を設定しない。

出力機能３５５ｅは、匿名化フラグが有効であることを条件に、提供先情報及び匿名化参照情報が設定された医用情報をＰＡＣＳ４０に出力する。すなわち、匿名化フラグが無効である場合、出力機能３５５ｅは、医用情報を出力しない。

また、第６の実施形態にかかる匿名化方法設定装置３０ｅは、第１の実施形態、第２の実施形態、及び第３の実施形態に適用してもよい。

第２の実施形態にかかる匿名化方法設定装置３０ａは、匿名化方法設定装置３０ａの選択機能３５３ａは、匿名化強度に基づいて、設定する匿名化方法を選択する。匿名化同意取得機能３５９は、匿名化強度の下限値を取得してもよい。この場合、設定機能３５４ｅは、匿名化強度情報に基づいて、匿名化参照情報に示されたタグごとの匿名化方法の匿名化強度が、下限値以上であるか否かを判定する。

設定機能３５４ｅは、匿名化強度が下限値以上であることを条件に、ＤＩＣＯＭ形式で形成された医用情報の任意の情報を書き込める領域に、選択機能３５３ｅが選択した提供先情報及び匿名化参照情報を設定する。一方、設定機能３５４ｅは、匿名化強度が下限値未満の場合に、選択機能３５３ｅが選択した提供先情報及び匿名化参照情報を設定しない。これにより、出力機能３５５ｅは、被検体が指定した匿名化強度を有する匿名化参照情報が設定された医用情報を出力する。よって、設定機能３５４ｅは、被検体が指定した匿名化強度未満での開示を防止することができる。

また、匿名化参照情報に示されたタグごとの匿名化方法の匿名化強度が、下限値以上であるか否かは、選択機能３５３ｅが判定してもよい。この場合、選択機能３５３ｅは、匿名化強度情報に基づいて、匿名化一覧情報から選択予定の匿名化参照情報が示す匿名化方法の匿名化強度が、匿名化同意取得機能３５９が取得した下限値以上であるか否かを判定する。選択機能３５３ｅは、選択予定の匿名化参照情報が示す匿名化方法の匿名化強度が下限値以上であることを条件に、選択予定の匿名化参照情報を選択する。

一方、選択機能３５３ｅは、選択予定の匿名化参照情報が示す匿名化方法の匿名化強度が下限値未満であることを条件に、匿名化参照情報が示す匿名化方法を、下限値以上の匿名化方法に変更してもよい。また、選択機能３５３ｅは、変更後の匿名化方法を有する匿名化参照情報を選択する。また、設定機能３５４ｅは、選択機能３５３ｅが選択した匿名化参照情報を設定する。そして、出力機能３５５ｅは、被検体が指定した匿名化強度を有する匿名化参照情報が設定された医用情報を出力する。よって、選択機能３５３ｅは、被検体が指定した匿名化強度を遵守しつつ、匿名化された医用情報を研究サイト３に提供できなくなってしまうことを防止することができる。

ここで、図２５は、第６の実施形態に係る医用情報の匿名化方式の一例を示す図である。検査予約システム１０は、医用画像診断装置２０による検査予約を受け付けた場合に、検査予約情報を生成する。医用画像診断装置２０は、検査予約情報に基づいて、被写体の医用情報を生成する。匿名化方法設定装置３０ｅは、医用情報の匿名化に対して患者等の被検体が同意した場合に、医用情報の匿名化に対して同意したことを示す匿名化同意情報を取得する。匿名化方法設定装置３０ｅは、匿名化同意情報を取得した場合に、医用情報の付帯情報に匿名化参照情報を付与する。匿名化方法設定装置３０ｅは、匿名化同意情報が付与された医用情報を匿名化装置５０に出力する。そして、匿名化装置５０は、匿名化参照情報が付与された医用情報を取得した場合に、医用情報の付帯情報およびピクセルデータの少なくとも一方を匿名化する。一方、匿名化方法設定装置３０ｅは、匿名化同意情報を取得していない場合に、匿名化参照情報を付与しない。また、匿名化方法設定装置３０ｅは、医用情報を匿名化装置５０に出力しない。すなわち、匿名化装置５０は、医用情報の提供も行わない。

以上のように、第６の実施形態に係る医用情報匿名化システム２によれば、匿名化方法設定装置３０ｅの匿名化同意取得機能３５９は、患者等の被検体から医用情報の匿名化に対して同意したことを示す入力を取得する。設定機能３５４ｅは、匿名化同意取得機能３５９が同意を取得したことを条件に、医用情報の付帯情報に匿名化参照情報を付与する。出力機能３５５ｅは、設定機能３５４ｅが匿名化参照情報を医用情報の付帯情報に付与したこと条件に、匿名化参照情報が付与された医用情報をＰＡＣＳ４０に出力する。匿名化装置５０は、ＰＡＣＳ４０から匿名化参照情報が付与された医用情報を取得して、匿名化参照情報を匿名化する。また、匿名化装置５０は、匿名化した医用情報を研究サイト３に出力する。一方、出力機能３５５ｅは、設定機能３５４ｅが匿名化参照情報を医用情報に付与していない場合には、医用情報をＰＡＣＳ４０に出力しない。すなわち、医用情報匿名化システム２は、医用情報を研究サイト３に出力しない。よって、医用情報匿名化システム２は、患者等の被検体から医用情報の匿名化に対して同意が得られたことを条件に、医用情報を研究サイト３に開示することができる。

また、上述した実施形態では、医用情報匿名化システム２は、独立した匿名化方法設定装置３０、３０ａ、３０ｂ、３０ｅを備えている。しかしながら、匿名化方法設定装置３０、３０ａ、３０ｂ、３０ｅが備えている機能の全部又は一部は、医用画像診断装置２０又はＰＡＣＳ４０が備えていてもよい。

また、上述した実施形態では、単一の処理回路（処理回路３５０、３５０ａ、３５０ｂ、３５０ｅ、５５０、５５０ｃ、５５０ｄ）によって各処理機能が実現される場合の例を説明したが、実施形態はこれに限られない。例えば、処理回路３５０、３５０ａ、３５０ｂ、３５０ｅ、５５０、５５０ｃ、５５０ｄは、複数の独立したプロセッサを組み合わせて構成され、各プロセッサが各プログラムを実行することにより各処理機能を実現するものとしても構わない。また、処理回路３５０、３５０ａ、３５０ｂ、３５０ｅ、５５０、５５０ｃ、５５０ｄが有する各処理機能は、単一又は複数の処理回路に適宜に分散又は統合されて実現されてもよい。

上述した各実施形態の説明で用いた「プロセッサ」という文言は、例えば、ＣＰＵ（Central Processing Unit）、ＧＰＵ（Graphics Processing Unit）、或いは、特定用途向け集積回路（Application Specific Integrated Circuit：ＡＳＩＣ）、プログラマブル論理デバイス（例えば、単純プログラマブル論理デバイス（Simple Programmable Logic Device：ＳＰＬＤ）、複合プログラマブル論理デバイス（Complex Programmable Logic Device：ＣＰＬＤ）、及びフィールドプログラマブルゲートアレイ（Field Programmable Gate Array：ＦＰＧＡ））等の回路を意味する。ここで、メモリにプログラムを保存する代わりに、プロセッサの回路内にプログラムを直接組み込むように構成しても構わない。この場合には、プロセッサは回路内に組み込まれたプログラムを読み出し実行することで機能を実現する。また、本実施形態の各プロセッサは、プロセッサごとに単一の回路として構成される場合に限らず、複数の独立した回路を組み合わせて一つのプロセッサとして構成され、その機能を実現するようにしてもよい。

ここで、プロセッサによって実行されるプログラムは、ＲＯＭ（Read Only Memory）や記憶部等に予め組み込まれて提供される。なお、このプログラムは、これらの装置にインストール可能な形式又は実行可能な形式のファイルでＣＤ（Compact Disk）−ＲＯＭ、ＦＤ（Flexible Disk）、ＣＤ−Ｒ（Recordable）、ＤＶＤ（Digital Versatile Disk）等のコンピュータで読み取り可能な記憶媒体に記録されて提供されてもよい。また、このプログラムは、インターネット等のネットワークに接続されたコンピュータ上に格納され、ネットワーク経由でダウンロードされることにより提供又は配布されてもよい。例えば、このプログラムは、各機能部を含むモジュールで構成される。実際のハードウェアとしては、ＣＰＵが、ＲＯＭ等の記憶媒体からプログラムを読み出して実行することにより、各モジュールが主記憶装置上にロードされて、主記憶装置上に生成される。

また、図示した各装置の各構成要素は機能概念的なものであり、必ずしも物理的に図示の如く構成されていることを要しない。すなわち、各装置の分散・統合の具体的形態は図示のものに限られず、その全部又は一部を、各種の負荷や使用状況等に応じて、任意の単位で機能的又は物理的に分散・統合して構成することができる。更に、各装置にて行なわれる各処理機能は、その全部又は任意の一部が、ＣＰＵ及び当該ＣＰＵにて解析実行されるプログラムにて実現され、或いは、ワイヤードロジックによるハードウェアとして実現され得る。

また、上述した実施形態で説明した医用画像処理方法は、予め用意されたプログラムをパーソナルコンピュータやワークステーション等のコンピュータで実行することによって実現することができる。このプログラムは、インターネット等のネットワークを介して配布することができる。また、このプログラムは、ハードディスク、フレキシブルディスク（ＦＤ）、ＣＤ−ＲＯＭ、ＭＯ、ＤＶＤ等のコンピュータで読み取り可能な記録媒体に記録され、コンピュータによって記録媒体から読み出されることによって実行することもできる。

以上説明した少なくとも一つの実施形態によれば、医用情報ごとに異なる匿名化方法で医用情報の匿名化を実行することができる。

本発明のいくつかの実施形態を説明したが、これらの実施形態は、例として提示したものであり、発明の範囲を限定することは意図していない。これら実施形態は、その他の様々な形態で実施されることが可能であり、発明の要旨を逸脱しない範囲で、種々の省略、置き換え、変更を行うことができる。これら実施形態やその変形は、発明の範囲や要旨に含まれると同様に、特許請求の範囲に記載された発明とその均等の範囲に含まれるものである。

１ 医用情報処理システム
２ 医用情報匿名化システム
３ 研究サイト
１０ 検査予約システム
２０ 医用画像診断装置
３０、３０ａ、３０ｂ、３０ｅ 匿名化方法設定装置
４０ ＰＡＣＳ
５０、５０ｃ、５０ｄ 匿名化装置
３５１ 制御機能
３５２ 第１取得機能
３５３、３５３ａ、３５３ｂ、３５３ｅ 選択機能
３５４、３５４ａ、３５４ｅ 設定機能
３５５、３５５ｂ、３５５ｅ、５５３、５５３ｃ、５５３ｄ 出力機能
３５６、３５６ｂ 第２取得機能
３５７ 履歴機能
３５８ 生成機能
３５９ 匿名化同意取得機能
５５１ 取得機能
５５２、５５２ｄ 匿名化機能
５５４ 開示同意取得機能

Claims (16)

1. 医用画像の通信規格に基づくフォーマットで生成された、医用画像と付帯情報とが含まれた医用情報を取得する第１の取得部と、
   当該医用情報を匿名化する匿名化方法が示された匿名化参照情報を、前記医用情報の付帯情報に付与する付与部と、
   前記匿名化参照情報が付帯情報に付与された医用情報を受け取り、当該医用情報に付与された匿名化参照情報に基づいて、当該医用情報に含まれた前記医用画像および前記付帯情報の少なくとも一方を匿名化する匿名化処理部と、を備える、
   医用情報匿名化システム。
2. 前記匿名化処理部によって匿名化に使用された前記匿名化参照情報を含む前記医用情報を出力する出力部と、を備える、
   請求項１に記載の医用情報匿名化システム。
3. 前記付与部は、被検体の同意を取得したことを条件に、前記匿名化参照情報を、前記医用情報の付帯情報に付与する、
   請求項１または２に記載の医用情報匿名化システム。
4. 前記匿名化処理部は、被検体の同意を取得したことを条件に、前記医用情報に付与された前記匿名化参照情報に基づいて、当該医用情報に含まれた前記医用画像および前記付帯情報の少なくとも一方を匿名化する、
   請求項１または２に記載の医用情報匿名化システム。
5. 前記同意とは、前記医用情報の開示又は前記医用情報の匿名化に対する同意である、
   請求項３または４に記載の医用情報匿名化システム。
6. 前記医用情報の提供先と前記匿名化参照情報とが関連付けられて記憶された第１の記憶部をさらに備え、
   前記付与部は、前記医用情報の提供先に対応付けられた前記匿名化参照情報を前記第１の記憶部から読み出し、当該匿名化参照情報を前記医用情報の付帯情報に付与する、
   請求項１乃至５の何れか一項に記載の医用情報匿名化システム。
7. 前記医用情報の利用目的と前記匿名化参照情報とが関連付けられて記憶された第２の記憶部をさらに備え、
   前記付与部は、前記医用情報の利用目的に対応付けられた前記匿名化参照情報を前記第２の記憶部から読み出し、当該匿名化参照情報を前記医用情報の付帯情報に付与する、
   請求項１乃至５の何れか一項に記載の医用情報匿名化システム。
8. 前記医用画像の通信規格はＤＩＣＯＭ（Digital Imaging and Communications in Medicine）規格であり、
   前記付与部は、前記ＤＩＣＯＭ規格に準拠したプライベートタグまたは標準タグに前記匿名化参照情報を付与する、
   請求項１乃至７の何れか一項に記載の医用情報匿名化システム。
9. 提供先から前記匿名化参照情報を取得する第２の取得部をさらに備え、
   前記付与部は、前記第２の取得部により取得された前記匿名化参照情報を前記医用情報の付帯情報に付与する、
   請求項１乃至５の何れか一項に記載の医用情報匿名化システム。
10. 前記第２の取得部は、ダミーの医用画像および付帯情報の少なくとも一方と、前記匿名化参照情報とが含まれた医用情報を取得する、
    請求項９に記載の医用情報匿名化システム。
11. 前記第２の取得部は、ＤＩＣＯＭ形式で形成された前記匿名化参照情報を受信する、
    請求項９に記載の医用情報匿名化システム。
12. 前記匿名化処理部は、前記医用情報の提供先と前記匿名化参照情報とが関連付けられて記憶された第３の記憶部から読み出した前記匿名化参照情報と、前記第２の取得部で取得された前記匿名化参照情報とが競合した場合に、前記匿名化方法ごとに定められた優先度に基づいて選択された前記匿名化方法により前記医用情報を匿名化する、
    請求項９乃至１１の何れか一項に記載の医用情報匿名化システム。
13. 前記第３の記憶部から読み出した前記匿名化参照情報と、前記第２の取得部の前記匿名化参照情報とのうち、何れの前記匿名化参照情報が選択されたのかを示す履歴情報を生成する履歴部を更に備える、
    請求項１２に記載の医用情報匿名化システム。
14. 前記匿名化参照情報が示す前記匿名化方法が匿名化対象を操作者が指定する設定である場合に、前記匿名化対象を指定する指定画面を表示させる表示制御部を更に備える、
    請求項１乃至１３の何れか一項に記載の医用情報匿名化システム。
15. 前記指定画面で指定された前記匿名化対象を記憶させる記憶制御部を更に備え、
    前記表示制御部は、前記記憶制御部が記憶させた前記匿名化対象と同一の情報が前記医用情報に含まれている場合に、前記匿名化対象と同一の情報を前記匿名化対象に指定した前記指定画面を表示させる、
    請求項１４に記載の医用情報匿名化システム。
16. 医用画像の通信規格に基づくフォーマットで生成された、医用画像と付帯情報とが含まれた医用情報を取得する第１の取得部と、
    当該医用情報を匿名化する匿名化方法が示された匿名化参照情報を、前記医用情報の付帯情報に付与する付与部と、を備える、
    匿名化方法設定装置。

Images