JP2021051471A - 匿名化装置、匿名化システム - Google Patents

Abstract

【課題】匿名化後の医用画像の利用目的に応じて、医用画像の付帯情報を匿名化すること。【解決手段】実施形態に係る匿名化装置は、取得部と、第１の特定部と、匿名化処理部とを備える。取得部は、医用画像の匿名化後の利用目的を取得する。第１の特定部は、複数の利用目的ごとに１以上の属性情報が対応付けられた匿名化対象情報に基づいて、取得部によって取得された利用目的に対応付けられた１以上の属性情報を特定し、特定した該１以上の属性情報に基づいて、医用画像に対応付けられた付帯情報に含まれる複数の属性情報の中から、匿名化対象の１以上の属性情報を特定する。匿名化処理部は、第１の特定部によって特定された１以上の属性情報を匿名化する。【選択図】図３

Description

本発明の実施形態は、匿名化装置、および匿名化システムに関する。

従来、例えば、ＤＩＣＯＭ（Digital Imaging and Communication in Medicine）規格等の医用画像の標準規格では、医用画像と、該医用画像に関する付帯情報とを１まとまりのデータとして管理している。このような付帯情報には患者の個人情報等が含まれる場合があるため、病院内で撮影された医用画像を病院の外部の医師やメーカー等に提供する際に、医用画像の付帯情報を匿名化する技術が知られている。

また、近年、個人情報の取り扱いに関する規制が強化されているため、付帯情報のうち、匿名化の対象となる情報が増加する傾向にある。しかしながら、医用画像の利用目的によって提供先で必要とされる情報が異なるため、外部に提供する医用画像の使用目的に関わらず、一律で匿名化処理をすると、提供先の医師やメーカー等が、当該医用画像の解析に必要な情報を得ることが困難になる場合がある。

特開２０１８−３６８３６号公報

本発明が解決しようとする課題は、匿名化後の医用画像の利用目的に応じて医用画像の付帯情報を匿名化することである。

実施形態に係る匿名化装置は、実施形態に係る匿名化装置は、取得部と、第１の特定部と、匿名化処理部とを備える。取得部は、医用画像の匿名化後の利用目的を取得する。第１の特定部は、複数の利用目的ごとに１以上の属性情報が対応付けられた匿名化対象情報に基づいて、取得部によって取得された利用目的に対応付けられた１以上の属性情報を特定し、特定した該１以上の属性情報に基づいて、医用画像に対応付けられた付帯情報に含まれる複数の属性情報の中から、匿名化対象の１以上の属性情報を特定する。匿名化処理部は、第１の特定部によって特定された１以上の属性情報を匿名化する。

図１は、第１の実施形態に係る匿名化システムの全体構成の一例を示す図である。 図２は、第１の実施形態に係る医用情報の内容の一例を示す図である。 図３は、第１の実施形態に係る匿名化装置および情報処理装置の構成の一例を示す図である。 図４は、第１の実施形態に係る入力画面の一例を示す図である。 図５は、第１の実施形態に係る利用目的別重要度情報の一例を示す図である。 図６は、第１の実施形態に係るレベル定義情報の一例を示す図である。 図７は、第１の実施形態に係る匿名化前後の付帯情報の一例を示す図である。 図８は、第１の実施形態に係る匿名化処理の流れの一例を示すフローチャートである。 図９は、第２の実施形態に係る匿名化装置および情報処理装置の構成の一例を示す図である。 図１０は、第２の実施形態に係る匿名化処理の流れの一例を示すフローチャートである。 図１１は、第３の実施形態に係る匿名化システムの全体構成の一例を示す図である。 図１２は、第３の実施形態に係るアプリケーション別利用目的情報の一例を示す図である 図１３は、第３の実施形態に係る提供先別匿名化レベル情報の一例を示す図である。 図１４は、第３の実施形態に係る匿名化処理の流れの一例を示すフローチャートである。 図１５は、第４の実施形態に係る匿名化システムの全体構成の一例を示す図である。 図１６は、第４の実施形態に係る匿名化装置および情報処理装置の構成の一例を示す図である。 図１７は、第４の実施形態に係る匿名化前後の対応付け情報の一例を示す図である。 図１８は、第４の実施形態に係る匿名化処理の流れの一例を示すフローチャートである。 図１９は、第５の実施形態に係る匿名化システムの全体構成の一例を示す図である。 図２０は、第５の実施形態に係る匿名化装置および情報処理装置の構成の一例を示す図である。 図２１は、第５の実施形態に係る目的別医用画像情報の一例を示す図である。 図２２は、第５の実施形態に係る匿名化処理の流れの一例を示すフローチャートである。

以下、図面を参照しながら、匿名化装置、および匿名化システムの実施形態について詳細に説明する。

（第１の実施形態）
図１は、第１の実施形態に係る匿名化システムＳ１の全体構成の一例を示す図である。図１に示すように、匿名化システムＳ１は、匿名化装置１００と、医用画像診断装置２００と、情報処理装置３００ａ，３００ｂ（以下、特に区別しない場合には単に情報処理装置３００という）とを備える。匿名化装置１００と、医用画像診断装置２００とは、病院内に設置され、例えば、院内ＬＡＮ（Local Area Network）等のネットワークによって接続している。

なお、匿名化システムＳ１は、医用画像診断装置２００を含まなくとも良い。あるいは、匿名化システムＳ１は、情報処理装置３００を含まなくとも良い。また、匿名化システムＳ１は、医療用画像管理システム（Picture Archiving and Communication Systems：ＰＡＣＳ）等の医療用画像管理をさらに含む構成であっても良い。

また、情報処理装置３００は、病院外に設けられ、匿名化装置１００とインターネット等のネットワークによって接続している。情報処理装置３００は、例えば、院外医師３０ａや、医療機器メーカーの技術者３０ｂによって使用される。院外医師３０ａや、医療機器メーカーの技術者３０ｂを、情報処理装置３００のユーザともいう。情報処理装置３００は、例えば、ＰＣ（Personal Computer）またはタブレット端末等である。情報処理装置３００は、外部装置の一例である。

医用画像診断装置２００は、患者の医用画像を撮像する装置であり、例えば、ＭＲＩ（Magnetic Resonance Imaging）装置、Ｘ線ＣＴ（Computed Tomography）装置、Ｘ線診断装置、超音波診断装置、ＰＥＴ（Positron Emission Tomography）装置、ＳＰＥＣＴ（Single Photon Emission Computed Tomography）装置等であるが、これらに限定されるものではない。医用画像診断装置２００は、モダリティともいう。

医用画像診断装置２００は、撮像した医用画像４０に、付帯情報４１を対応付けて、匿名化装置１００に送信する。

付帯情報４１は、医用画像４０に付帯する情報であり、該医用画像４０を撮像した医用画像診断装置２００によって生成される。付帯情報４１は、複数の属性情報を含む。属性情報は、医用画像４０または医用画像４０の撮像対象の患者に関する情報である。複数の属性情報の中には、例えば、医用画像４０の被写体である患者の患者氏名や患者ＩＤ等の個人情報が含まれる場合がある。

本実施形態においては、医用画像４０および該医用画像４０に対応付けられた付帯情報４１は、ＤＩＣＯＭ（Digital Imaging and Communication in Medicine）規格に準拠したデータ形式とするが、データ形式はこれに限定されるものではない。また、本実施形態においては、医用画像４０と、該医用画像４０に対応付けられた付帯情報４１とを総称する場合は、医用情報４００という。

図２は、本実施形態に係る医用情報４００の内容の一例を示す図である。図２に示すように、医用情報４００は、医用画像４０と、付帯情報４１とが対応付けられている。

医用情報４００に含まれる医用画像４０および付帯情報に含まれる複数の属性情報の各々は、「データ要素」という。図２では、１レコードが１データ要素を示す。また、付帯情報に含まれる個々の「データ要素」のそれぞれは、属性情報である。付帯情報４１は、換言すれば、属性情報の集合である。また、個々のデータ要素は、ＤＩＣＯＭ規格に定義された「タグ番号」で識別される。このため、データ要素のことを「タグ」ともいう。

また、各タグ番号には、「タグ名称」（Attribute Name）が対応付けられている。タグ名称は、各タグ番号が付与されたデータ要素の説明である。また、図２に示す「値」は、タグに格納されるデータ本体である。例えば、図２に示すように、タグ番号（００１０，００１０）は「患者氏名」が入力されるタグであり、値としては“Ｔａｒｏ Ｙａｍａｄａ”等の患者氏名の文字列が入力される。

なお、医用画像診断装置２００の設定等に応じて、値が登録されるタグ番号が異なるため、各タグ番号に対応する値が必ず設定されているとは限らない。例えば、タグ番号（００１０，１０１０）の“患者の年齢”の値は、ｎｕｌｌの場合がある。

また、医用画像４０は、タグ番号（７ＦＥ０，００１０）の「画素データ（ピクセルデータ）」として、医用情報４００に含まれる。

なお、図２に記載の医用情報４００の内容は一例であり、これに限定されるものではない。また、医用情報４００は、ＤＩＣＯＭ規格に定義された他の項目等をさらに含むものとしても良い。

図１に戻り、匿名化装置１００は、医用画像診断装置２００から取得した医用情報４００を、医用画像４０の利用目的に応じて匿名化する。匿名化装置１００は、例えば、ＰＣまたはサーバ装置等である。

本実施形態において、匿名化とは、付帯情報に含まれる属性情報の値を変換または削除することにより、元の値を特定できない状態にすることである。

より具体的には、匿名化装置１００は、医用画像４０の利用目的に応じて、医用画像４０に対応付けられた付帯情報４１に含まれる複数の属性情報の中から、匿名化の対象となる１以上の属性情報を特定し、該１以上の属性情報を匿名化する。

本実施形態においては、匿名化装置１００による匿名化された１以上の属性情報を含む付帯情報を、匿名化済付帯情報４２という。また、本実施形態においては、医用画像４０と、該医用画像４０に対応付けられた匿名化済付帯情報４２とを総称する場合、匿名化済医用情報４０１という。また、匿名化済付帯情報４２が対応付けられた医用画像４０を、匿名化後の医用画像４０という。

また、匿名化装置１００は、匿名化済医用情報４０１を、院外医師３０ａやメーカーの技術者３０ｂに提供する。例えば、病院が、院外医師３０ａや医療機器メーカーの技術者３０ｂに、医用画像診断装置２００で撮像された医用画像４０を用いた解析や診断（スクリーニング）を依頼する場合がある。このような場合、匿名化装置１００は、医用画像４０の医用目的および要求される匿名化レベルに応じて、医用画像４０に付帯する付帯情報の一部または全部を匿名化した上で、病院から院外医師３０ａや医療機器のメーカーの技術者３０ｂに医用画像４０と匿名化済付帯情報４２とを提供する。なお、本実施形態においては、解析や診断を総称して、臨床解析という。

例えば、匿名化装置１００が匿名化済医用情報４０１を、情報処理装置３００ａ，３００ｂに送信することにより、情報処理装置３００ａ，３００ｂのユーザである院外医師３０ａやメーカーの技術者３０ｂが、匿名化済医用情報４０１を利用可能となる。

また、情報処理装置３００は、例えば、匿名化済医用情報４０１に基づいて医用画像４０の臨床解析を行なうための複数の解析用アプリケーション（以下、単にアプリという）を備える。図１では、情報処理装置３００が備えるアプリの例として、アプリＡ、アプリＢ、アプリＣを示す。各アプリはそれぞれ異なる臨床解析を目的としており、例えば、アプリＡは心機能解析、アプリＢは冠動脈解析、アプリＣは脳血流解析を目的とする。

次に、図３を用いて、本実施形態に係る匿名化装置１００および情報処理装置３００の機能の詳細を説明する。図３は、本実施形態に係る匿名化装置１００および情報処理装置３００の構成の一例を示す図である。

図３に示すように、本実施形態の匿名化装置１００は、ＮＷ（Network）インタフェース１１０と、記憶回路１２０と、入力インタフェース１３０と、ディスプレイ１４０と、処理回路１５０とを備える。

ＮＷインタフェース１１０は、処理回路１５０に接続されており、匿名化装置１００と、医用画像診断装置２００または情報処理装置３００との間で行われる各種データの伝送および通信を制御する。具体的には、ＮＷインタフェース１１０は、匿名化装置１００と医用画像診断装置２００との間で院内ＬＡＮ等のネットワークＮ２を介して行われる各種データの伝送および通信を制御する。また、ＮＷインタフェース１１０は、匿名化装置１００と情報処理装置３００との間でインターネット等のネットワークＮ２を介して行われる各種データの伝送および通信を制御する。ＮＷインタフェース１１０は、例えば、ネットワークカードやネットワークアダプタ、ＮＩＣ（Network Interface Controller）等によって実現される。

記憶回路１２０は、処理回路１５０で使用される各種の情報を予め記憶する。本実施形態においては、記憶回路１２０は、利用目的別重要度情報と、レベル定義情報とを記憶する。利用目的別重要度情報とレベル定義情報の詳細については後述する。また、記憶回路１２０は、各種のプログラムを記憶する。記憶回路１２０は、記憶部の一例である。

入力インタフェース１３０は、例えば、マウス、キーボード、トラックボール、スイッチボタン、操作面へ触れることで入力操作を行うタッチパッド、表示画面とタッチパッドとが一体化されたタッチスクリーン、光学センサを用いた非接触入力回路、または音声入力回路等であり、操作者からの各種の入力操作を受け付け、受け付けた入力操作を電気信号に変換して処理回路１５０に出力する。なお、本明細書において入力インタフェース１３０はマウス、キーボードなどの物理的な操作部品を備えるものだけに限られない。例えば、匿名化装置１００とは別体に設けられた外部の入力機器から入力操作に対応する電気信号を受け取り、この電気信号を処理回路１５０へ出力する電気信号の処理回路も入力インタフェース１３０の例に含まれる。

ディスプレイ１４０は、例えば、液晶ディスプレイ（LCD：Liquid Crystal Display）、有機ＥＬディスプレイ（OEL：Organic Electro-Luminescence）等である。ディスプレイ１４０は、表示部の一例である。

処理回路１５０は、記憶回路１２０からプログラムを読み出し、実行することで各プログラムに対応する機能を実現するプロセッサである。本実施形態の処理回路１５０は、表示制御機能１５１と、取得機能１５２と、第１の特定機能１５３と、匿名化処理機能１５４と、送信機能１５５とを備える。表示制御機能１５１は、表示制御部の一例である。取得機能１５２は、取得部の一例である。なお、取得機能１５２を、受付機能と称し、受付部の一例としても良い。第１の特定機能１５３は、第１の特定部の一例である。また、第１の特定機能１５３を単に特定機能と称し、特定部の一例としても良い。匿名化処理機能１５４は、匿名化処理部の一例である。送信機能１５５は、送信部の一例である。

ここで、例えば、処理回路１５０の構成要素である表示制御機能１５１と、取得機能１５２と、第１の特定機能１５３と、匿名化処理機能１５４と、送信機能１５５とは、コンピュータによって実行可能なプログラムの形態で記憶回路１２０に記憶されている。処理回路１５０は、各プログラムを記憶回路１２０から読み出し、読み出した各プログラムを実行することで、各プログラムに対応する機能を実現する。換言すると、各プログラムを読み出した状態の処理回路１５０は、図３の処理回路１５０内に示された各機能を有することとなる。なお、図３においては、単一の処理回路１５０にて、表示制御機能１５１、取得機能１５２、第１の特定機能１５３、匿名化処理機能１５４、および送信機能１５５の各処理機能が実現されるものとして説明したが、複数の独立したプロセッサを組み合わせて処理回路１５０を構成し、各プロセッサが各プログラムを実行することにより各処理機能を実現するものとしても良い。

表示制御機能１５１は、利用目的および匿名化レベルの入力画面を、ディスプレイ１４０に表示する。

図４は、本実施形態に係る入力画面９０の一例を示す図である。入力画面９０は、提供先における匿名化後の医用画像４０の利用目的と、要求される匿名化レベルとをユーザが入力可能な画面である。

図４に示す例では、入力画面９０は、目的入力欄９１と、匿名化レベル入力欄９２とを有する。目的入力欄９１には、ユーザがいずれか１つの利用目的を選択可能なチェックボックスが設けられている。また、匿名化レベル入力欄９２には、匿名化レベルの高さをユーザが設定可能なメーターが設けられている。

利用目的は、匿名化後の医用画像４０の提供先における該医用画像４０を利用する目的または用途である。利用目的は、例えば、心機能解析、冠動脈解析、脳血流解析等であるが、これらに限定されるものではない。

匿名化レベルは、医用画像４０を外部に提供するにあたって要求される匿名化の高さの度合を表す。匿名化レベルが高いほど、匿名化の対象となる付帯情報の数が多くなる。例えば、本実施形態においては、匿名化レベルは“１”、“２”、“３”、“Ｍａｘ”の５段階で定義される。匿名化レベルが“１”、“２”、“３”、“Ｍａｘ”の順に高くなるほど、匿名化の対象となる付帯情報の数が多くなる。なお、図４に示す匿名化レベルの単位や表現形式はこれに限定されるものではない。

本実施形態において、匿名化レベルは、ユーザによって任意に設定可能である。匿名化レベルは、例えば、提供先に応じて異なるものとしても良いし、提供対象の医用画像４０によって異なるものとしても良い。また、匿名化レベルは、法規または病院のガイドライン等によって定められるものとしても良い。なお、匿名化レベルが提供先名によって特定可能な場合は、表示制御機能１５１は、入力画面９０に、提供先名を入力または選択可能な欄を設けても良い。

取得機能１５２は、ネットワークＮ２およびＮＷインタフェース１１０を介して、医用画像診断装置２００から、医用情報４００、すなわち医用画像４０および該医用画像４０に対応付けられた付帯情報４１を取得し、記憶回路１２０に保存する。

また、取得機能１５２は、医用情報４００を院外医師３０ａや医療機器メーカーの技術者３０ｂ等に提供するにあたって要求される匿名化レベルと、提供先における匿名化後の医用画像４０の利用目的とを取得する。

例えば、取得機能１５２は、ユーザによって入力画面９０に入力された利用目的と匿名化レベルとを、入力インタフェース１３０を介して受け付ける。匿名化装置１００のユーザは、例えば、匿名化装置１００が設置された病院内の医師や職員等であるが、これらに限定されるものではない。取得機能１５２は、取得した利用目的と匿名化レベルとを、第１の特定機能１５３に送出する。

なお、本実施形態において、「取得機能１５２が利用目的を取得する」という場合、取得機能１５２が直接的に利用目的を取得する場合だけではなく、取得機能１５２が利用目的を特定可能な情報を取得する場合も含むものとする。例えば、アプリと利用目的とが１対１の関係で対応する場合、取得機能１５２は、アプリの識別情報を、利用目的を特定可能な情報として取得しても良い。

また、取得機能１５２は、入力インタフェース１３０を介して、ユーザから入力された匿名化処理の開始の指示を取得する。取得機能１５２は、匿名化処理の開始の指示を取得した場合、表示制御機能１５１に、当該指示を取得したことを通知する。

第１の特定機能１５３は、取得機能１５２によって取得された利用目的に応じて、医用画像４０に対応付けられた付帯情報４１に含まれる複数の属性情報の中から、１以上の属性情報を特定する。第１の特定機能１５３によって特定される１以上の属性情報は、匿名化対象の属性情報である。

より詳細には、第１の特定機能１５３は、匿名化対象情報に基づいて、取得機能１５２によって取得された利用目的に対応付けられた１以上の属性情報を特定する。そして、第１の特定機能１５３は、特定した該１以上の属性情報に基づいて、医用画像４０に対応付けられた付帯情報４１に含まれる複数の属性情報の中から、匿名化対象の１以上の属性情報を特定する。

匿名化対象情報は、複数の利用目的ごとに１以上の属性情報が対応付けられている。より詳細には、匿名化対象情報は、複数の利用目的と複数の匿名化レベルとが１対１で対応付けられた複数の組み合わせの各々に、１以上の属性情報が対応付けられている。

具体的には、本実施形態においては、第１の特定機能１５３は、利用目的別重要度情報と、レベル定義情報とに基づいて、取得機能１５２により取得された利用目的と匿名化レベルとの組み合わせに対応する１以上の属性情報を特定する。

利用目的別重要度情報とレベル定義情報は、本実施形態における匿名化対象情報の一例である。ここで、図５、６を用いて、利用目的別重要度情報とレベル定義情報について説明する。

図５は、本実施形態に係る利用目的別重要度情報１２１の一例を示す図である。図５に示すように、利用目的別重要度情報１２１は、複数の属性情報のタグ番号およびタグ名称と、利用目的別の重要度とが対応付けられている。

利用目的別の重要度は、医用画像４０を各利用目的に基づいて利用する場合における複数の属性情報の各々の重要度である。

例えば、利用目的が“心機能解析”である場合、タグ番号（００１０，００１０）によって特定される属性情報“患者氏名”の重要度は“低”である。これは、院外医師３０ａや医療機器メーカーの技術者３０ｂが医用画像４０を心機能解析に利用する場合に、“患者氏名”があまり重要ではないことを示している。また、利用目的が“心機能解析”である場合、タグ番号（００１８，９１１８）によって特定される属性情報“心電同期シーケンス”の重要度は“高”である。これは、院外医師３０ａや医療機器メーカーの技術者３０ｂが医用画像４０を心機能解析に利用する場合に、“心電同期シーケンス”の重要度が高いことを示している。

例えば、各利用目的において、「参考程度の情報として使用される場合はあるが、匿名化されても臨床解析に支障がない属性情報」の重要度は“低”、「任意の情報として使用される場合はあるが、臨床解析において必須ではない属性情報」の重要度は“中”、「臨床解析において有用であり、基本的に必須となる属性情報」は“高”となる。なお、利用目的別の重要度の定義は、図５に示す例に限定されるものではなく、例えば、重要度の度合の高さが数値で定義されても良い。また、特に臨床解析に必須の属性情報については、“高”よりも高い重要度がさらに設定されても良い。

各属性情報の重要度は、利用目的によって異なる。例えば、利用目的が“心機能解析”である場合には、“心電同期シーケンス”の重要度は“高”であるが、利用目的が“脳血流解析”である場合には、“心電同期シーケンス”の重要度は“低”である。このような重要度の違いは、各利用目的によって、院外医師３０ａや医療機器メーカーの技術者３０ｂ等に必要とされる属性情報の種類が異なるために生じる。一例として、各利用目的によって、院外医師３０ａや医療機器メーカーの技術者３０ｂ等が使用する臨床解析用のアプリが異なり、各アプリで使用される属性情報の種類が異なることにより、利用目的ごとに属性情報の重要度に差異が生じる。

図６は、本実施形態に係るレベル定義情報１２２の一例を示す図である。図６に示すように、レベル定義情報１２２は、匿名化レベルと、匿名化対象の属性情報を特定する情報とが対応付けられている。

匿名化対象の属性情報を特定する情報は、各匿名化レベルがユーザに設定された場合に匿名化の対象となる属性情報を特定可能な情報であり、本実施形態においては、図６に示すように、匿名化の対象となる属性情報の重要度である。

具体的には、匿名化レベルが“１”の場合は、重要度が“低”の属性情報が匿名化の対象となる。匿名化レベルが“２”の場合は、重要度が“低”から“中”の属性情報が匿名化の対象となる。匿名化レベルが“３”の場合は、重要度が“低”から“高”の属性情報が匿名化の対象となる。匿名化レベルが“Ｍａｘ”の場合は、全ての属性情報が匿名化の対象となる。図６に記載の重要度は、図５で説明した利用目的別の重要度である。すなわち、利用目的別重要度情報１２１およびレベル定義情報１２２に登録された内容によって、取得機能１５２により取得された利用目的と匿名化レベルとの組み合わせに応じた匿名化対象の属性情報が特定可能となる。

第１の特定機能１５３は、特定した１以上の属性情報を、匿名化処理機能１５４に送出する。より詳細には、第１の特定機能１５３は、特定した１以上の属性情報を特定可能な１以上のタグ番号を、匿名化処理機能１５４に送出する。本実施形態においては、第１の特定機能１５３によって匿名化対象として特定された属性情報を匿名化対象の属性情報という。また、第１の特定機能１５３によって匿名化対象として特定されていない属性情報を、匿名化対象外の属性情報という。

なお、図５、６では、利用目的別重要度情報１２１と、レベル定義情報１２２とを２つのテーブルに分ける構成を例示したが、利用目的別重要度情報１２１と、レベル定義情報１２２とが１つのテーブルに統合される構成であっても良い。

図３に戻り、匿名化処理機能１５４は、第１の特定機能１５３によって特定された１以上の属性情報を匿名化する。例えば、匿名化処理機能１５４は、第１の特定機能１５３から取得したタグ番号に基づいて、記憶回路１２０から、匿名化対象の属性情報の値を読み出し、読み出した値を、匿名化前の値を特定できない値に変換する。匿名化処理機能１５４は、ハッシュ関数等を用いて変換処理を実行しても良いし、所定の文字列に置換しても良い。また、匿名化処理機能１５４は、匿名化対象の属性情報の値を削除しても良い。

本実施形態においては、匿名化の手法は、属性情報によってそれぞれ異なるものとする。例えば、属性情報のタグ番号と、該属性情報の匿名化の手法とを対応付けた匿名化方法の情報が、記憶回路１２０に予め保存されていても良い。あるいは、属性情報のタグ番号と、該属性情報の匿名化の手法とを対応付けた情報は、匿名化処理機能１５４の処理内に予め定義されていても良い。

図７は、本実施形態に係る匿名化前後の付帯情報の一例を示す図である。図７に示す例では、ユーザによって利用目的“心機能解析”、匿名化レベル“２”が選択されたものとする。

この場合、図５の利用目的別重要度情報１２１の設定では、タグ番号（００１８，９１１８）の“心臓同期シーケンス”およびタグ番号（０００８，００３０）の“スキャン時刻”は重要度が“高”となり、タグ番号（００１０，００４０）の“性別”は重要度が“低”となる。また、図６のレベル定義情報１２２の設定では、重要度が“低”から“中”の付帯情報が匿名化の対象となる。

このため、図７に示す例では、タグ番号（００１０，００４０）の“性別”が匿名化の対象となる。匿名化前の“性別”の値は、“男性”を示す“Ｍ”である。匿名化処理機能１５４は、“性別”の値を、“その他”を示す“Ｏ”に変換することにより、“性別”を匿名化する。

匿名化処理機能１５４は、匿名化済医用情報４０１を、送信機能１５５に送出する。具体的には、匿名化処理機能１５４は、医用画像４０と、匿名化した１以上の属性情報を含む匿名化済付帯情報４２とを対応付けて送信機能１５５に送出する。

匿名化済付帯情報４２においては、第１の特定機能１５３によって匿名化対象として特定された属性情報が匿名化処理機能１５４によって匿名化された状態であり、第１の特定機能１５３によって匿名化対象として特定されていない属性情報は匿名化されていない状態である。

図３に戻り、送信機能１５５は、匿名化済医用情報４０１を、情報処理装置３００に送信する。より詳細には、送信機能１５５は、医用画像４０と、匿名化済付帯情報４２とを対応付けて情報処理装置３００に送信する。

次に、本実施形態の情報処理装置３００の構成について説明する。図３に示すように、情報処理装置３００は、ＮＷインタフェース３１０と、記憶回路３２０と、入力インタフェース３３０と、ディスプレイ３４０と、処理回路３５０とを備える。

処理回路３５０は、記憶回路３２０からプログラムを読み出し、実行することで各プログラムに対応する機能を実現するプロセッサである。本実施形態の処理回路３５０は、受信機能３５１と、表示制御機能３５２と、第１の解析機能３５３ａと、第２の解析機能３５３ｂと、第３の解析機能３５３ｃとを備える。受信機能３５１は、受信部の一例である。表示制御機能３５２は、表示制御部の一例である。第１の解析機能３５３ａ、第２の解析機能３５３ｂ、第３の解析機能３５３ｃ（以下、特に区別しない場合は単に解析機能３５３という）は、解析部の一例である。

受信機能３５１は、匿名化装置１００から、匿名化済医用情報４０１を受信する。より詳細には、受信機能３５１は、匿名化装置１００から、医用画像４０と、該医用画像４０に対応付けられた匿名化済付帯情報４２とを受信する。また、表示制御機能３５２は、医用画像４０、解析機能３５３による解析結果、または各種の操作画面等をディスプレイ３４０に表示する。

また、第１の解析機能３５３ａ、第２の解析機能３５３ｂ、第３の解析機能３５３ｃは、それぞれ、図１に示したアプリＡ、アプリＢ、アプリＣによって実行される機能であり、匿名化装置１００から送信された医用画像４０および匿名化済付帯情報４２を臨床解析する。なお、情報処理装置３００が備える解析用アプリケーションおよび解析機能３５３の数および種類は、図１、３に記載の例に限定されるものではない。

例えば、処理回路３５０の各構成要素は、コンピュータによって実行可能なプログラムの形態で記憶回路３２０に記憶されている。処理回路３５０は、各プログラムを記憶回路３２０から読み出し、読み出した各プログラムを実行することで、各プログラムに対応する機能を実現する。なお、処理回路３５０の各構成要素は、単一の処理回路３５０にて実現されても良いし、複数の独立したプロセッサによって実現されても良い。

上記匿名化装置１００および情報処理装置３００についての説明において用いた「プロセッサ」という文言は、例えば、ＣＰＵ（Central Processing Unit）、ＧＰＵ(Graphics Processing Unit)、或いは、特定用途向け集積回路（Application Specific Integrated Circuit：ＡＳＩＣ）、プログラマブル論理デバイス（例えば、単純プログラマブル論理デバイス（Simple Programmable Logic Device：ＳＰＬＤ）、複合プログラマブル論理デバイス（Complex Programmable Logic Device：ＣＰＬＤ）、およびフィールドプログラマブルゲートアレイ（Field Programmable Gate Array：ＦＰＧＡ））等の回路を意味する。なお、記憶回路１２０または記憶回路３２０にプログラムを保存する代わりに、プロセッサの回路内にプログラムを直接組み込むように構成しても構わない。この場合、プロセッサは回路内に組み込まれたプログラムを読み出し実行することで機能を実現する。

次に、以上のように構成された匿名化装置１００で実行される匿名化処理の流れを説明する。図８は、本実施形態に係る匿名化処理の流れの一例を示すフローチャートである。

まず、取得機能１５２は、ネットワークＮ２およびＮＷインタフェース１１０を介して、医用画像診断装置２００から医用情報４００（すなわち、医用画像４０および該医用画像４０に対応付けられた付帯情報４１）を取得する（Ｓ１）。取得機能１５２は、取得した医用情報４００を記憶回路１２０に保存する。

次に、取得機能１５２は、ユーザから匿名化処理の開始の指示を取得したか否かを判断する（Ｓ２）。取得機能１５２は、匿名化処理の開始の指示を取得していないと判断した場合（Ｓ２“Ｎｏ”）、Ｓ２の処理を繰り返して、ユーザから指示が入力されることを待機する。

また、取得機能１５２は、匿名化処理の開始の指示を取得したと判断した場合（Ｓ２“Ｙｅｓ”）、表示制御機能１５１に、当該指示を取得したことを通知する。この場合、表示制御機能１５１は、入力画面９０を、ディスプレイ１４０に表示する（Ｓ３）。

そして、取得機能１５２は、ユーザが入力画面９０に入力した利用目的と、匿名化レベルとを取得する（Ｓ４）。取得機能１５２は、取得した利用目的と匿名化レベルとを、第１の特定機能１５３に送出する。

次に、第１の特定機能１５３は、利用目的別重要度情報１２１と、レベル定義情報１２２とに基づいて、取得機能１５２により取得された利用目的と匿名化レベルとの組み合わせに対応する１以上の属性情報を特定する（Ｓ５）。第１の特定機能１５３は、特定した１以上の属性情報を、匿名化処理機能１５４に送出する。

次に、匿名化処理機能１５４は、第１の特定機能１５３によって特定された匿名化対象の属性情報を匿名化する（Ｓ６）。そして、匿名化処理機能１５４は、医用画像４０と、匿名化済付帯情報４２とを対応付けて送信機能１５５に送出する。

そして、送信機能１５５は、匿名化済医用情報４０１（すなわち、医用画像４０と、匿名化済付帯情報４２）を情報処理装置３００に送信する（Ｓ７）。ここで、このフローチャートの処理は終了する。

図８では、医用情報４００の取得から、匿名化済医用情報４０１の送信までを一連の流れで記載したが、医用情報４００は予め取得されて匿名化装置１００の記憶回路１２０に保存されているものとしても良い。また、匿名化処理機能１５４によって匿名化された匿名化済医用情報４０１は、すぐに情報処理装置３００に送信されるのではなく、匿名化装置１００の記憶回路１２０に保存されても良い。

このように、本実施形態の匿名化装置１００は、医用画像４０の匿名化後の利用目的に応じて、医用画像４０に対応付けられた付帯情報４１に含まれる複数の属性情報の中から１以上の属性情報を特定し、特定した１以上の属性情報を匿名化する。このため、本実施形態の匿名化装置１００によれば、匿名化後の医用画像４０の利用目的に応じて医用画像４０の付帯情報４１を匿名化することができる。

近年、日本における個人情報の保護に関する法律（いわゆる、個人情報保護法）の改定や、欧州におけるＧＤＰＲ（General Data Protection Regulation：ＥＵ一般データ保護規則）の施行等により、医療分野においても、患者の個人情報を保護することの重要性が高まっている。例えば、病院内で撮像された医用画像を外部に提供する場合に、医用画像の付帯情報に含まれる患者の個人情報等を秘匿化することが求められる。

また、例えば、病院が、海外在住や在宅診療が可能な院外医師に対して、予め匿名化された匿名化済医用情報を渡す場合、匿名化されていない医用情報を渡すよりも、情報漏洩規約や契約条件のハードルを下げることができる。このため、医用情報の匿名化が求められる場面が多く想定される。

しかしながら、個人情報保護に関する法規等を確実に順守するために多くの属性情報を一律で匿名化すると、医用画像の提供先である医師やメーカー等が当該医用画像の解析に必要な情報を得ることが困難になる場合がある。また、医用画像の解析に必要な情報を確実に提供するために、匿名化の対象となる属性情報を一律で削減すると、必要以上の個人情報が付帯した状態で医用画像を外部に提供してしまう恐れがある。これに対して、本実施形態の匿名化装置１００は、匿名化後の医用画像の利用目的に応じて医用画像４０の付帯情報４１を匿名化するため、医用画像４０の提供先である院外医師３０ａや医療機器メーカーの技術者３０ｂに医用画像４０が医用画像４０の解析が可能な範囲で、患者の個人情報を保護することができる。

また、例えば、利用目的が同じであっても、提供先との守秘義務に関する契約の内容や、提供先と提供元の病院との関係性等によって、提供可能な個人情報の内容が異なる場合がある。そこで、本実施形態の匿名化装置１００は、利用目的別重要度情報１２１とレベル定義情報１２２とに基づいて、取得された利用目的と匿名化レベルとの組み合わせに対応する１以上の属性情報を特定する。このため、本実施形態の匿名化装置１００によれば、匿名化レベルの高さを調整した上で、利用目的に応じて医用画像４０の付帯情報４１を匿名化することができる。

また、本実施形態の匿名化装置１００は、ユーザによって入力された利用目的と、匿名化レベルとを受け付けるため、ユーザが利用目的と匿名化レベルとを任意に設定することができる。また、本実施形態の匿名化装置１００によれば、ユーザは、匿名化対象の属性情報を個別に指定する必要がないため、ＤＩＣＯＭのタグ等に関する知識がないユーザでも、付帯情報４１に対して容易に適切な匿名化を施すことができる。

なお、本実施形態においては、匿名化装置１００の取得機能１５２は、医用画像診断装置２００からの医用情報４００の取得と、入力インタフェース１３０を介したユーザによって入力された各種の情報または指示の取得の両方の機能を有するものとしたが、本実施形態の取得機能１５２の機能を、取得機能と受付機能の２つの機能に分離しても良い。

なお、本実施形態においては、匿名化装置１００は、医用画像４０の匿名化後の利用目的と、匿名化レベルの両方を取得するものとしたが、利用目的のみを取得するものとしても良い。当該構成を採用する場合、匿名化対象情報においては複数の利用目的と１以上の属性情報とが対応付けられているものとし、第１の特定機能１５３が、該匿名化対象情報に基づいて、取得された利用目的に対応する１以上の属性情報を特定しても良い。

また、本実施形態においては、匿名化装置１００は、医用画像診断装置２００から、医用情報４００を取得するものとしたが、医用情報４００の取得元はこれに限定されるものではない。匿名化装置１００は、例えば、医用画像管理装置等から、医用情報４００を取得しても良い。

なお、本実施形態では、匿名化装置１００は、ネットワークを介して情報処理装置３００と接続するものとするが、匿名化装置１００と情報処理装置３００とが接続していない構成を採用しても良い。当該構成を採用する場合は、例えば、匿名化装置１００は、匿名化済医用情報４０１を、ＣＤ−ＲＯＭ、フレキシブルディスク（ＦＤ）、ＣＤ−Ｒ、ＤＶＤ（Digital Versatile Disk）等のコンピュータで読み取り可能な記録媒体に保存するものとしても良い。該記録媒体が情報処理装置３００によって読み取られることにより、情報処理装置３００ａ，３００ｂのユーザである院外医師３０ａやメーカーの技術者３０ｂが、匿名化済医用情報４０１を利用可能となる。当該構成を採用する場合、匿名化装置１００は、送信機能１５５の代わりに、匿名化済医用情報４０１をコンピュータで読み取り可能な記録媒体に出力する出力機能を備えても良い。出力機能は、出力部の一例である。

また、本実施形態においては、医用画像４０および付帯情報４１は、ＤＩＣＯＭ規格に準拠するものとしたが、他の標準規格等の形式であっても良い。

（第２の実施形態）
上述の第１の実施形態においては、病院内の匿名化装置１００のユーザが、利用目的および匿名化レベルを入力するものとしたが、この第２の実施形態では、病院外に設けられた情報処理装置のユーザが、利用目的および匿名化レベルを入力することができる。

図９は、本実施形態に係る匿名化装置１１００および情報処理装置１３００の構成の一例を示す図である。図９に示すように、本実施形態の匿名化システムＳ２は、第１の実施形態と同様に、匿名化装置１１００と、医用画像診断装置２００と、情報処理装置１３００とを備える。医用画像診断装置２００は、第１の実施形態と同様の機能を備える。

本実施形態の匿名化装置１１００は、第１の実施形態と同様に、ＮＷインタフェース１１０と、記憶回路１２０と、入力インタフェース１３０と、ディスプレイ１４０と、処理回路１５０とを備える。

本実施形態の処理回路１５０は、表示制御機能１５１と、取得機能１１５２と、第１の特定機能１５３と、匿名化処理機能１５４と、送信機能１１５５とを備える。表示制御機能１５１と、第１の特定機能１５３と、匿名化処理機能１５４とは、第１の実施形態と同様の機能を備える。

取得機能１１５２は、第１の実施形態の機能を備えた上で、情報処理装置１３００から、利用目的および匿名化レベルを取得する。

また、取得機能１１５２は、入力インタフェース３３０を介して、ユーザによって入力された匿名化処理の開始の指示を取得する。

送信機能１１５５は、第１の実施形態の機能を備えた上で、入力画面９０の定義情報を情報処理装置１３００に送信する。入力画面９０の定義情報は、例えば、情報処理装置１３００において入力画面９０をディスプレイ３４０に表示するために使用されるＨＴＭＬファイルや画像データ等である。送信機能１１５５は、例えば、Ｗｅｂブラウザ等の公知の技術を採用可能である。

また、本実施形態の情報処理装置１３００は、第１の実施形態と同様に、ＮＷインタフェース３１０と、記憶回路３２０と、入力インタフェース３３０と、ディスプレイ３４０と、処理回路３５０とを備える。

本実施形態の処理回路３５０は、受信機能１３５１と、表示制御機能１３５２と、第１の解析機能３５３ａと、第２の解析機能３５３ｂと、第３の解析機能３５３ｃと、取得機能３５４と、送信機能３５５とを備える。取得機能３５４は、取得部の一例である。送信機能３５５は、送信部の一例である。第１の解析機能３５３ａと、第２の解析機能３５３ｂと、第３の解析機能３５３ｃとは、第１の実施形態と同様の機能を備える。

受信機能１３５１は、第１の実施形態の機能を備えた上で、匿名化装置１１００から、入力画面９０の定義情報を受信する。

表示制御機能１３５２は、第１の実施形態の機能を備えた上で、入力画面９０を、ディスプレイ３４０に表示する。入力画面９０は、第１の実施形態と同様に、利用目的と匿名化レベルとをユーザが入力可能な画面である。

取得機能３５４は、ユーザによって入力画面９０に入力された利用目的と匿名化レベルとを取得し、送信機能３５５に送出する。また、取得機能３５４は、入力インタフェース３３０を介して、ユーザから入力された匿名化処理の開始の指示を取得する。取得機能３５４は、匿名化処理の開始の指示を取得した場合、送信機能３５５に、当該指示を取得したことを通知する。

なお、必ずしも情報処理装置１３００のユーザが「匿名化処理の開始の指示」を自覚的に入力しなくとも良く、例えば、ユーザが「医用画像４０の送信要求」等を入力した場合に、情報処理装置１３００の送信機能３５５または匿名化装置１１００の取得機能１１５２が「匿名化処理の開始の指示を取得した」と判断しても良い。

送信機能３５５は、取得機能３５４によって取得された利用目的と匿名化レベルとを、匿名化装置１１００に送信する。また、送信機能３５５は、取得機能３５４によって取得された匿名化処理の開始の指示を、匿名化装置１１００に送信する。

次に、以上のように構成された匿名化装置１１００および情報処理装置１３００で実行される匿名化処理の流れを説明する。図１０は、本実施形態に係る匿名化処理の流れの一例を示すフローチャートである。

匿名化装置１１００におけるＳ１の医用情報４００の取得の処理は、第１の実施形態と同様である。

また、本実施形態の情報処理装置１３００の取得機能３５４は、院外医師３０ａまたは医療機器メーカーの技術者３０ｂ等のユーザから匿名化処理の開始の指示を取得したか否かを判断する（Ｓ３１）。取得機能３５４は、匿名化処理の開始の指示を取得していないと判断した場合（Ｓ３１“Ｎｏ”）、Ｓ３１の処理を繰り返して、ユーザから指示が入力されることを待機する。

また、取得機能３５４は、匿名化処理の開始の指示を取得したと判断した場合（Ｓ３１“Ｙｅｓ”）、送信機能３５５に、当該指示を取得したことを通知する。この場合、情報処理装置１３００の送信機能３５５は、取得機能３５４によって取得された匿名化処理の開始の指示を、情報処理装置１３００に送信する（Ｓ３２）。

そして、匿名化装置１１００の取得機能１１５２は、情報処理装置１３００から、匿名化処理の開始の指示を取得する（Ｓ２１）。取得機能１１５２は、匿名化処理の開始の指示を取得したことを、送信機能１１５５に通知する。

次に、匿名化装置１１００の送信機能１１５５は、入力画面９０の定義情報を情報処理装置１３００に送信する（Ｓ２２）。

そして、情報処理装置１３００の受信機能１３５１は、匿名化装置１１００から、入力画面９０の定義情報を受信する。情報処理装置１３００の表示制御機能１３５２は、受信機能１３５１が受信した定義情報に基づいて、入力画面９０を、ディスプレイ３４０に表示する（Ｓ３３）。

次に、情報処理装置１３００の取得機能３５４は、ユーザによって入力画面９０に入力された利用目的と匿名化レベルとを取得する（Ｓ３４）。そして、情報処理装置１３００の送信機能３５５は、取得機能３５４によって取得された利用目的と匿名化レベルとを、情報処理装置１３００に送信する（Ｓ３５）。

そして、匿名化装置１１００の取得機能１１５２は、情報処理装置１３００から、情報処理装置１３００のユーザが入力画面９０に入力した利用目的と、匿名化レベルとを取得する（Ｓ２３）。取得機能１１５２は、取得した利用目的と匿名化レベルとを、第１の特定機能１５３に送出する。

Ｓ５の匿名化対象の属性情報の特定の処理から、Ｓ７の匿名化済医用情報４０１（すなわち、医用画像４０と、匿名化済付帯情報４２）の送信処理までは、第１の実施形態と同様である。

そして、情報処理装置１３００の受信機能１３５１は、匿名化装置１１００から、匿名化済医用情報４０１を受信する。そして、情報処理装置１３００の解析機能３５３は、受信機能１３５１によって受信された匿名化済医用情報４０１の解析処理を実行する（Ｓ３６）。ここで、このフローチャートの処理は終了する。

このように、本実施形態の匿名化装置１１００は、情報処理装置１３００から、利用目的を取得し、医用画像４０と、匿名化処理機能１５４によって匿名化された１以上の属性情報を含む匿名化済付帯情報４２とを対応付けて情報処理装置１３００に送信する。このため、本実施形態の匿名化装置１１００によれば、実際に医用画像４０および匿名化済付帯情報４２を利用する院外医師３０ａや医療機器メーカーの技術者３０ｂ等が、利用目的に応じた匿名化済医用情報４０１を容易に取得することができる。

なお、本実施形態においては、病院外に設けられた情報処理装置１３００のユーザが利用目的および匿名化レベルを入力するものとしたが、利用目的のみを入力する構成を採用しても良い。例えば、匿名化レベルは、匿名化装置１１００側で、情報処理装置１３００が設置された提供先、または情報処理装置１３００のユーザに応じて特定されても良い。

（第３の実施形態）
上述の第２の実施形態においては、情報処理装置１３００のユーザが入力画面９０から医用画像４０の利用目的を入力するものとしたが、この第３の実施形態では、匿名化装置が、情報処理装置の利用状態に基づいて、医用画像４０の利用目的を特定する。

図１１は、本実施形態に係る匿名化システムＳ３の全体構成の一例を示す図である。図１１に示すように、本実施形態の匿名化システムＳ３は、匿名化装置２１００と、医用画像診断装置２００と、情報処理装置２３００ｃ〜２３００ｅ（以下、特に区別しない場合は単に情報処理装置２３００という）とを備える。医用画像診断装置２００は、第１、第２の実施形態と同様の機能を備える。

情報処理装置２３００は、第１、第２の実施形態と同様に、匿名化装置２１００が設置された病院とは異なる病院や、医療機器メーカー等に設置される。

本実施形態の情報処理装置２３００は、提供先における医用画像４０の利用目的を表す利用目的情報３１ｃ〜３１ｅ（以下、特に区別しない場合は単に利用目的情報３１という）を、匿名化装置２１００に送信する。

利用目的情報３１は、例えば、情報処理装置２３００において匿名化後の医用画像４０を利用するアプリケーション（例えば、アプリＡ〜Ｃ等）の識別情報である。

本実施形態の匿名化装置２１００は、第１、第２の実施形態と同様に、ＮＷインタフェース１１０と、記憶回路１２０と、入力インタフェース１３０と、ディスプレイ１４０と、処理回路１５０とを備える。

本実施形態の処理回路１５０は、第１の実施形態と同様に、表示制御機能１５１と、取得機能１５２と、第１の特定機能１５３と、匿名化処理機能１５４と、送信機能１５５とを備える。表示制御機能１５１と、第１の特定機能１５３と、匿名化処理機能１５４と、送信機能１５５とは、第１の実施形態と同様の機能を備える。

本実施形態の取得機能１５２は、第１の実施形態の機能を備えた上で、情報処理装置２３００から、利用目的情報３１を取得する。より具体的には、取得機能１５２は、情報処理装置２３００において匿名化後の医用画像４０を利用するアプリケーションの識別情報を情報処理装置２３００から取得する。

また、取得機能１５２は、アプリケーション別利用目的情報に基づいて、取得したアプリケーションの識別情報に対応する利用目的を特定する。本実施形態においては、取得機能１５２が取得したアプリケーションの識別情報に対応する利用目的を特定することを、取得機能１５２が利用目的を取得する、という。

図１２は、本実施形態に係るアプリケーション別利用目的情報１２３の一例を示す図である。図１２に示すように、アプリケーション別利用目的情報１２３は、アプリケーションの識別情報と医用画像４０の匿名化後の利用目的とが対応付けられている。図１２に示すアプリケーション名は、アプリケーションの識別情報の一例である。

また、取得機能１５２は、提供先別匿名化レベル情報に基づいて、匿名化後の医用画像４０の提供先に対応する利用目的を特定する。

図１３は、本実施形態に係る提供先別匿名化レベル情報１２４の一例を示す図である。図１３に示すように、提供先別匿名化レベル情報１２４は、提供先の識別情報と、匿名化レベルとが対応付けられている。図１３に示す提供先名は、提供先の識別情報の一例である。

取得機能１５２は、特定した利用目的と、匿名化レベルとを第１の特定機能１５３に送出する。

また、本実施形態の情報処理装置２３００は、第１、第２の実施形態と同様に、ＮＷインタフェース３１０と、記憶回路３２０と、入力インタフェース３３０と、ディスプレイ３４０と、処理回路３５０とを備える。

本実施形態の記憶回路３２０は、第１〜３の実施形態と同様の内容に加えて、利用目的情報３１を記憶する。

本実施形態の処理回路３５０は、第２の実施形態と同様に、受信機能１３５１と、表示制御機能１３５２と、第１の解析機能３５３ａと、第２の解析機能３５３ｂと、第３の解析機能３５３ｃと、取得機能３５４と、送信機能３５５とを備える。表示制御機能１３５２は、第１の実施形態と同様の機能を備える。また、第１の解析機能３５３ａと、第２の解析機能３５３ｂと、第３の解析機能３５３ｃとは、第１、２の実施形態と同様の機能を備える。

本実施形態の取得機能３５４は、入力インタフェース３３０を介して、ユーザから入力された匿名化処理の開始の指示を取得する。取得機能３５４は、匿名化処理の開始の指示を取得した場合、送信機能３５５に、当該指示を取得したことを通知する。

また、本実施形態の取得機能３５４は、第１の解析機能３５３ａ、第２の解析機能３５３ｂ、第３の解析機能３５３ｃの起動状態、つまり、各解析機能３５３を実現するアプリケーションの起動状態を取得し、起動中のアプリケーションの識別情報を、匿名化後の医用画像４０を利用するアプリケーションの識別情報として、利用目的情報３１に登録する。

本実施形態の取得機能３５４によって取得された匿名化処理の開始の指示を、情報処理装置２３００に送信する。また、送信機能３５５は、利用目的情報３１を、情報処理装置２３００に送信する。

次に、以上のように構成された匿名化装置２１００および情報処理装置２３００で実行される匿名化処理の流れを説明する。図１４は、本実施形態に係る匿名化処理の流れの一例を示すフローチャートである。

匿名化装置２１００におけるＳ１の医用情報４００の取得の処理は、第１、第２の実施形態と同様である。また、情報処理装置２３００におけるＳ３１の匿名化処理の開始の指示の取得の判断処理は、第２の実施形態と同様である。

また、情報処理装置１３００の取得機能３５４が匿名化処理の開始の指示を取得したと判断した場合（Ｓ３１“Ｙｅｓ”）、送信機能３５５は、取得機能３５４によって取得された匿名化処理の開始の指示と、利用目的情報３１とを情報処理装置２３００に送信する（Ｓ４１）。

匿名化装置２１００の取得機能１５２は、情報処理装置２３００から、匿名化処理の開始の指示と、利用目的情報３１とを取得する（Ｓ５１）。

また、取得機能１５２は、取得した利用目的情報３１と、アプリケーション別利用目的情報１２３とに基づいて利用目的を特定する。また、取得機能１５２は、取得した匿名化処理の開始の指示の送信元である情報処理装置２３００が設置された提供先の識別情報と、提供先別匿名化レベル情報１２４とに基づいて、匿名化レベルを特定する（Ｓ５２）。

Ｓ５の匿名化対象の属性情報の特定の処理から、Ｓ７の匿名化済医用情報４０１（すなわち、医用画像４０と、匿名化済付帯情報４２）の送信処理までは、第１、第２の実施形態と同様である。また、Ｓ３６の解析処理の実行は、第２の実施形態と同様である。ここで、このフローチャートの処理は終了する。

このように、本実施形態の匿名化装置２１００は、匿名化後の医用画像４０を利用するアプリケーションの識別情報を情報処理装置２３００から取得し、アプリケーション別利用目的情報１２３に基づいて、情報処理装置２３００から取得したアプリケーションの識別情報に対応する利用目的を特定する。このため、本実施形態の匿名化装置２１００によれば、情報処理装置２３００のユーザが利用目的を入力する作業をしなくとも、匿名化後の医用画像４０の利用目的を自動的に判断し、適切な匿名化を実行することができる。

なお、本実施形態においては、利用目的情報３１は、匿名化後の医用画像４０を利用するアプリケーションの識別情報としたが、利用目的情報３１の内容は、これに限定されるものではなく、直接的に、利用目的が記載されていても良い。

また、利用目的情報３１は、さらに、匿名化レベルを示す情報を含むものであっても良い。利用目的と匿名化レベルの両方を含む場合、利用目的情報３１は、例えば、「相手先情報」と称されても良い。また、この場合、匿名化装置２１００は、提供先に基づいて匿名化レベルを特定するのではなく、利用目的情報３１に含まれる匿名化レベルを示す情報に基づいて匿名化レベルを特定しても良い。

なお、利用目的情報３１は、複数のアプリケーションの識別情報を含むものであっても良い。この場合、匿名化装置２１００は、複数のアプリケーションの識別情報の各々に対応付けられた利用目的に応じて匿名化した複数の匿名化済医用情報４０１を生成する。また、匿名化装置２１００は、複数の匿名化済医用情報４０１を、利用目的と対応付けて、情報処理装置２３００に送信する。

また、本実施形態においては、情報処理装置２３００において起動中のアプリケーションの識別情報を、匿名化後の医用画像４０を利用するアプリケーションの識別情報としたが、情報処理装置２３００にインストールされたアプリケーションの識別情報を、匿名化後の医用画像４０を利用するアプリケーションの識別情報としても良い。

また、本実施形態においては、情報処理装置２３００から匿名化装置２１００に匿名化処理の開始の指示を送信するタイミングで、情報処理装置２３００から匿名化装置２１００に利用目的情報３１を送信するものとしたが、送信タイミングはこれに限定されるものではない。例えば、情報処理装置２３００は、定期的に匿名化装置２１００に利用目的情報３１を送信するものとしても良いし、利用目的情報３１が変更されたタイミングで匿名化装置２１００に利用目的情報３１を送信するものとしても良い。あるいは、匿名化装置２１００が匿名化処理をする際に、利用目的情報３１に保存された利用目的情報３１を参照するものとしても良い。

なお、本実施形態においては、匿名化装置２１００の取得機能１５２が利用目的と匿名化レベルとを特定するものとしたが、該特定の機能は、第１の特定機能１５３が実現しても良い。

また、本実施形態においては、利用目的情報３１は情報処理装置２３００に保存され、情報処理装置２３００から匿名化装置２１００に送信されるものとしたが、利用目的情報３１の保存場所はこれに限定されるものではなく、例えば、クラウド上に格納されても良い。当該構成を採用する場合、情報処理装置２３００は、所定のタイミングでクラウド上に格納された利用目的情報３１を取得し、匿名化処理を実行しても良い。

（第４の実施形態）
この第４の実施形態においては、さらに、受信済みの匿名化済医用情報４０１に関連する他の匿名化済医用情報４０１を追加で送信するよう、情報処理装置が匿名化装置に対して要求をすることができる。

図１５は、本実施形態に係る匿名化システムＳ４の全体構成の一例を示す図である。図１５に示すように、本実施形態の匿名化システムＳ４は、匿名化装置３１００と、医用画像診断装置２００と、情報処理装置３３００と、医用画像管理装置５００とを備える。医用画像診断装置２００は、第１〜３の実施形態と同様の機能を備える。

医用画像管理装置５００は、例えば、医療用画像管理システム（ＰＡＣＳ）等であり、医用画像診断装置２００によって撮像された複数の医用情報４００ａ〜４００ｎ（以下、特に区別しない場合は単に医用情報４００という）を保管する。医用画像管理装置５００は、複数の医用情報４００ａ〜４００ｎを匿名化されていない状態で保存する。例えば、複数の医用情報４００ａ〜４００ｎの付帯情報４１ａ〜４１ｎには、患者名“太郎”という患者の個人情報が、匿名化されない状態で含まれている。

病院内の医師６０等は、院内に設置されたＰＣ等の院内情報処理装置６００によって、医用画像管理装置５００に保管された複数の医用情報４００ａ〜４００ｎに含まれる医用画像４０ａ〜４０ｎ（以下、特に区別しない場合は単に医用画像４０という）を参照可能である。

情報処理装置３３００のユーザは、例えば、外部医師３０ｄである。第１〜３の実施形態と同様に、情報処理装置３３００は、匿名化装置３１００から、匿名化済医用情報４０１ａを取得する。

ここで、外部医師３０ｄが、情報処理装置３３００が受信済みの匿名化済医用情報４０１ａに含まれる医用画像４０ａに関連する他の医用画像４０をさらに所望する場合がある。例えば、匿名化済医用情報４０１ａに含まれる医用画像４０ａが非造影画像である場合に、外部医師３０ｄが血管の狭窄や動脈瘤の診断のために、造影画像である医用画像４０ｂを要望する場合がある。

このような場合、外部医師３０ｄは、情報処理装置３３００に、受信済みの匿名化済医用情報４０１ａに含まれる医用画像４０ａに関連する他の医用画像４０ｂの要求を入力する。例えば、外部医師３０ｄは、「医用画像４０ａと同じ患者識別情報（例えば、患者ＩＤまたは患者名）に対応付けられた造影画像」の追加依頼を入力する。

なお、追加対象の他の医用画像４０を指定する手法は特に限定されるものではない。例えば、外部医師３０ｄは、例えば、受信済みの医用画像４０ａに関連する全ての医用画像４０の要求を入力しても良いし、「造影画像」等の画像の種類や、撮像部位等によって要求対象の医用画像４０を指定しても良い。

匿名化装置３１００は、情報処理装置３３００から、受信済みの匿名化済医用情報４０１ａに含まれる医用画像４０ａに関連する他の医用画像４０の要求を受けた場合に、要求された他の医用情報４００ｂを医用画像管理装置５００から取得し、匿名化処理をした上で、情報処理装置３３００に送信する。

図１６は、本実施形態に係る匿名化装置３１００および情報処理装置３３００の構成の一例を示す図である。

本実施形態の情報処理装置３３００は、第１〜３の実施形態と同様に、ＮＷインタフェース３１０と、記憶回路３２０と、入力インタフェース３３０と、ディスプレイ３４０と、処理回路３５０とを備える。

本実施形態の処理回路３５０は、受信機能３５１と、表示制御機能３５２と、第１の解析機能３５３ａと、第２の解析機能３５３ｂと、第３の解析機能３５３ｃと、取得機能１３５４と、送信機能１３５５とを備える。受信機能３５１と、表示制御機能３５２と、第１の解析機能３５３ａと、第２の解析機能３５３ｂと、第３の解析機能３５３ｃとは、第１〜３の実施形態と同様の機能を備える。

本実施形態の取得機能１３５４は、ユーザによって入力された医用画像４０の追加要求を取得する。より具体的には、例えば、取得機能１３５４は、受診済みの医用画像４０を特定する情報と、該医用画像４０に関連する追加対象の医用画像４０を指定する情報とを取得する。受診済みの医用画像４０ａを特定する情報は、例えば、医用画像４０ａを含む医用情報４００のファイル名等である。

追加対象の医用画像４０を指定する情報は、特に限定されるものではないが、例えば、「受診済みの医用画像４０と同じ患者識別情報に対応づけられた全ての医用画像」、「受診済みの医用画像４０と同じ患者識別情報に対応付けられた造影画像」等である。なお、受診済みの医用画像４０に関連する追加対象の医用画像を指定する情報の内容は、「造影画像」等の画像の種類だけではなく、撮像部位や、撮像に使用されたモダリティを指定するものであっても良い。取得機能１３５４は、取得した情報を、送信機能１３５５に送出する。

本実施形態の送信機能１３５５は、取得機能１３５４が取得した情報に基づいて、匿名化装置３１００に、医用画像４０の追加要求を送信する。より詳細には、送信機能１３５５は、匿名化装置３１００に、受診済みの医用画像４０を特定する情報と、該医用画像４０に関連する追加対象の医用画像４０を指定する情報とを送信する。

本実施形態の匿名化装置３１００は、第１〜３の実施形態と同様に、ＮＷインタフェース１１０と、記憶回路１２０と、入力インタフェース１３０と、ディスプレイ１４０と、処理回路１５０とを備える。

本実施形態のＮＷインタフェース１１０は、第１〜３の実施形態の機能を備えた上で、ネットワークＮ２を介して、医用画像管理装置５００から医用情報４００を受信する。

本実施形態の記憶回路１２０は、第１の実施形態と同様の内容に加えて、匿名化前後の対応付け情報を記憶する。図１７は、本実施形態に係る匿名化前後の対応付け情報１２５の一例を示す図である。匿名化前後の対応付け情報１２５は、匿名化前後の医用画像の対応関係が定義された情報である。例えば、図１７に示すように、匿名化前後の対応付け情報１２５は、匿名化前の医用情報４００のファイル名と、該医用情報４００を匿名化した匿名化済医用情報４０１のファイル名とが対応付けられている。ファイル名は各情報の識別情報の一例である。

図１６に戻り、本実施形態の処理回路１５０は、表示制御機能１５１と、取得機能２１５２と、第１の特定機能１５３と、匿名化処理機能１５４と、送信機能１５５と、を備える。表示制御機能１５１と、第１の特定機能１５３と、匿名化処理機能１５４と、送信機能１５５とは、第１の実施形態と同様の機能を備える。

取得機能２１５２は、第１の実施形態の機能を備えた上で、情報処理装置３３００から、医用画像４０の追加要求を取得する。より詳細には、取得機能２１５２は、情報処理装置３３００から、情報処理装置３３００が受診済みの医用画像４０を特定する情報と、該医用画像４０に関連する追加対象の医用画像４０を指定する情報とを取得する。

また、取得機能２１５２は、取得した追加要求に基づいて、医用画像管理装置５００から、追加対象の医用画像４０および該医用画像に対応付けられた付帯情報４１を取得する。具体的には、取得機能２１５２は、取得した追加要求に含まれる情報処理装置３３００が受診済みの匿名化済医用情報４０１のファイル名で匿名化前後の対応付け情報１２５を検索し、匿名化前の医用情報４００のファイル名を特定する。そして、取得機能２１５２は、特定した匿名化前の医用情報４００のファイル名と、取得した追加要求に含まれる追加対象の医用画像４０を指定する情報に基づいて、医用画像管理装置５００に保存された複数の医用情報４００のうち、追加対象の医用情報４００を特定し、取得する。

次に、以上のように構成された匿名化装置３１００および情報処理装置３３００で実行される匿名化処理に流れを説明する。

図１８は、本実施形態に係る匿名化処理の流れの一例を示すフローチャートである。このフローチャートの処理の前提として、匿名化装置３１００から情報処理装置３３００に１以上の匿名化済医用情報４０１が送信済みであるものとする。なお、匿名化装置３１００から情報処理装置３３００に匿名化済医用情報４０１を送信する処理の流れは、第１〜３の処理のいずれを適用しても良い。

情報処理装置３３００の取得機能１３５４は、ユーザから、医用画像４０の追加要求を取得したか否かを判断する（Ｓ６１）。取得機能１３５４は、医用画像４０の追加要求を取得していないと判断した場合は（Ｓ６１“ＮＯ”）、Ｓ６１の処理を繰り返して待機する。

取得機能１３５４は、医用画像４０の追加要求を取得したと判断した場合は（Ｓ６１“Ｙｅｓ”）、取得した情報を、送信機能１３５５に送出する。この場合、送信機能１３５５は、取得機能１３５４が取得した情報に基づいて、匿名化装置３１００に、医用画像４０の追加要求を送信する（Ｓ６２）。

そして、匿名化装置３１００の取得機能２１５２は、情報処理装置３３００から、医用画像４０の追加要求を取得する（Ｓ７１）。次に、取得機能２１５２は、取得した追加要求に基づいて、医用画像管理装置５００から、追加対象の医用画像４０を含む医用情報４００、すなわち、追加対象の医用画像４０および該医用画像４０に対応付けられた付帯情報４１を取得する（Ｓ７２）。

次に、第１の特定機能１５３は、取得機能２１５２によって医用画像管理装置５００から取得された医用画像４０の利用目的と、匿名化レベルとを特定する（Ｓ７３）。利用目的と匿名化レベルとの特定の手法は、第１〜３の処理のいずれを適用しても良い。また、第１の特定機能１５３は、情報処理装置３３００が受診済みの匿名化済医用情報４０１と同じ利用目的および匿名化レベルを、追加対象の医用情報４００の利用目的および匿名化レベルとして特定しても良い。

Ｓ５の匿名化対象の属性情報の特定から、Ｓ６の匿名化対象の属性情報の匿名化の処理までは、第１の実施形態と同様である。次に、匿名化装置３１００の送信機能１５５は、匿名化処理機能１５４によって匿名化された匿名化済医用情報４０１を、情報処理装置３３００に送信する（Ｓ７４）。Ｓ３６の解析処理の実行は、第２の実施形態と同様である。ここで、このフローチャートの処理は終了する。

このように、本実施形態の匿名化システムＳ４によれば、情報処理装置３３００が、匿名化装置３１００に、受診済みの医用画像４０に関連する医用画像４０の追加要求を送信し、匿名化装置３１００が追加要求に基づいて特定した追加対象の匿名化済医用情報４０１を情報処理装置３３００に送信することにより、情報処理装置３３００のユーザが所望の医用画像４０を追加で取得することができる。

情報処理装置３３００が有する匿名化済医用情報４０１ａにおいては、匿名化済付帯情報４２ａに含まれる個人情報が匿名化されているため、情報処理装置３３００は、匿名化前の患者識別情報等を特定することはできない。本実施形態では匿名化装置３１００が、匿名化済医用情報４０１が匿名化される前の医用情報４００を特定することにより、匿名化前の付帯情報４１等に基づいて、関連する他の医用情報４００を特定することができる。

また、本実施形態においては、匿名化前の医用情報４００を保存する医用画像管理装置５００と、匿名化前後の対応付け情報１２５を保存する匿名化装置３１００とを異なる装置としているため、医用画像管理装置５００が外部の情報処理装置３３００と直接的に接続しなくとも、医用画像４０の追加依頼に対応することができる。このため、医用画像管理装置５００に保存された匿名化前の医用情報４００の保管におけるセキュリティを向上させることができる。

（第５の実施形態）
上述の第１〜４の実施形態においては、外部医師３０ｄ等に診断等のために医用情報４００を提供する場合を例として説明した。これに対して、この第５の実施形態においては、予め撮像された複数の医用画像４０を、機械学習用の学習データや、分析用のデータとして外部に提供する場合を例とする。

図１９は、本実施形態に係る匿名化システムＳ５の全体構成の一例を示す図である。図１９に示すように、本実施形態の匿名化システムＳ５は、学習装置７００と、匿名化装置４１００と、医用画像管理装置５００とを備える。なお、学習装置７００と、匿名化装置４１００とを匿名化システムＳ５としても良いし、匿名化装置４１００と、医用画像管理装置５００とを匿名化システムＳ５としても良い。

学習装置７００は、例えば、ＰＣまたはサーバ等であり、ＮＷインタフェースと、記憶回路と、入力インタフェースと、ディスプレイと、処理回路とを備える。

学習装置７００は、ＡＩ（Artificial Intelligence）等の機能を備え、例えば、学習データを匿名化装置４１００から収集し、機械学習を実行する。例えば、学習装置７００は、匿名化装置４１００に対して、“頭部の造影データ取得”等の医用画像４０の利用目的を指定して、学習用データを要求する。学習装置７００が実行する学習処理の内容は特に限定されるものではなく、公知の機械学習または深層学習の技術を適用可能である。学習装置７００は、本実施形態における外部装置の一例である。また、第１〜４の実施形態の情報処理装置３００，１３００，２３００，３３００が、学習装置７００の機能を備えるものとしても良い。

本実施形態の匿名化装置４１００は、学習装置７００から要求された利用目的に応じて、医用画像管理装置５００から、医用情報４００を取得する。図１９に示す例では、匿名化装置４１００は、医用画像管理装置５００に保存された複数の医用情報４００ｄ〜４００ｉの中から、撮像部位が“頭部”であり、医用画像４０の種類が“造影画像”である医用情報４００ｄ〜４００ｆを取得する。

匿名化装置４１００は、取得した複数の医用情報４００ｄ〜４００ｉを匿名化し、匿名化済医用情報４０１ｄ〜４０１ｅを、学習装置７００に送信する。

図２０は、本実施形態に係る匿名化装置４１００および学習装置７００の構成の一例を示す図である。

本実施形態の匿名化装置４１００は、第１〜４の実施形態と同様に、ＮＷインタフェース１１０と、記憶回路１２０と、入力インタフェース１３０と、ディスプレイ１４０と、処理回路１５０とを備える。

本実施形態のＮＷインタフェース１１０は、第１の実施形態の機能を備えた上で、ネットワークＮ２を介して、学習装置７００と通信する。

本実施形態の記憶回路１２０は、第１の実施形態と同様の内容に加えて、目的別医用画像情報を記憶する。

本実施形態の処理回路１５０は、表示制御機能１５１と、取得機能３１５２と、第１の特定機能１１５３と、匿名化処理機能１１５４と、送信機能２１５５と、第２の特定機能１５６と、前処理機能１５７とを備える。表示制御機能１５１とは、第１の実施形態と同様の機能を備える。第２の特定機能１５６は、第２の特定部の一例である。前処理機能１５７は、前処理部の一例である。

本実施形態の取得機能３１５２は、第１の実施形態と同様の機能を備えた上で、学習装置７００から、学習用データの要求を取得する。学習用データの要求は、医用画像４０の利用目的の情報を含む。

また、本実施形態の取得機能３１５２は、第２の特定機能１５６によって特定された１以上の医用画像４０を含む１以上の医用情報４００を、医用画像管理装置５００から取得する。

第２の特定機能１５６は、目的別医用画像情報に基づいて、医用画像管理装置５００に保存された複数の医用画像４０の中から、取得機能３１５２によって取得された利用目的に対応する１以上の医用画像４０を特定する。

図２１は、本実施形態に係る目的別医用画像情報１２６の一例を示す図である。目的別医用画像情報は、利用目的と該利用目的に適した提供対象の医用画像４０を特定可能な情報とが対応付けられている。提供対象の医用画像４０を特定可能な情報は、例えば、撮像対象部位や、造影画像か非造影画像か等についての情報であるが、これらに限定されるものではない。第２の特定機能１５６は、特定結果を、取得機能３１５２に送出する。

本実施形態の第１の特定機能１１５３は、第１の実施形態と同様の機能を備えた上で、第２の特定機能１５６によって特定された１以上の医用画像４０に対応付けられた付帯情報４１に含まれる複数の属性情報の中から、１以上の属性情報を、匿名化対象として特定する。

本実施形態における匿名化レベルの取得の手法は、第１〜４の実施形態のいずれかの手法を適用しても良い。例えば、本実施形態においては、匿名化レベルは、例えば、ユーザによって設定されても良いし、学習装置７００から取得されても良い。

前処理機能１５７は、匿名化処理機能１１５４による匿名化処理の前に、取得機能３１５２によって医用画像管理装置５００から取得された１以上の医用情報４００に対して前処理を施す。

例えば、前処理機能１５７は、複数の医用情報４００のうち、特異な属性情報を含むものを、提供対象から除外する。例えば、属性情報に含まれる患者の年齢が“１１０歳”である場合、該当する患者の絶対数が少ないため、個人を特定可能な可能性がある。しかしながら、利用目的または匿名化レベルによっては、患者の年齢が匿名化対象ではない場合がある。このような場合、前処理機能１５７は、当該特異な属性情報を含む医用情報４００を提供情報から除外する。

前処理機能１５７は、例えば、医用情報４００に含まれるいずれかの属性情報の値が患者の母集団における平均値または中央値から所定の閾値以上乖離している場合、または、いずれかの属性情報の値の出現頻度が患者の母集団における所定の閾値以下である場合等に、該属性情報を、特異な属性情報であると判定する。なお、特異な属性情報の判定条件はこれに限定されるものでは無い。

本実施形態の匿名化処理機能１１５４は、第１の実施形態と同様の機能を備えた上で、取得機能３１５２によって医用画像管理装置５００から取得された医用情報４００のうち前処理機能１５７によって除外されなかった１以上の医用情報４００に対応付けられた付帯情報４１に対して匿名化処理を実行する。より詳細には、匿名化処理機能１１５４は、該付帯情報４１に含まれる複数の属性情報のうち、第１の特定機能１１５３によって特定された１以上の属性情報を匿名化する。

本実施形態の送信機能２１５５は、第１の実施形態と同様の機能を備えた上で、匿名化処理機能１１５４によって匿名化された匿名化済医用情報４０１を、学習装置７００に送信する。

次に、以上のように構成された匿名化装置４１００および学習装置７００で実行される匿名化処理の流れを説明する。図２２は、本実施形態に係る匿名化処理の流れの一例を示すフローチャートである。

まず、学習装置７００は、匿名化装置４１００に対して、医用画像４０の利用目的を指定して、学習用データを要求する（Ｓ８１）。

そして、匿名化装置４１００の取得機能３１５２は、学習装置７００から、学習用データの要求を取得する（Ｓ９１）。このとき、取得機能３１５２は、学習用データの要求に含まれる利用目的を取得する。

次に、匿名化装置４１００の第２の特定機能１５６は、目的別医用画像情報１２６に基づいて、医用画像管理装置５００に保存された複数の医用画像４０の中から、学習用データの要求内容に応じた１以上の医用画像４０を特定する（Ｓ９２）。

次に、匿名化装置４１００の第１の特定機能１１５３は、第２の特定機能１５６によって特定された１以上の医用画像４０に対応付けられた付帯情報４１に含まれる複数の属性情報の中から、１以上の属性情報を、匿名化対象として特定する（Ｓ９３）。

次に、匿名化装置４１００の前処理機能１５７は、取得機能３１５２によって医用画像管理装置５００から取得された１以上の医用情報４００に対して前処理を施し、例えば、特異な属性情報を含む医用情報４００を除外する（Ｓ９４）。

そして、匿名化装置４１００の匿名化処理機能１１５４は、前処理機能１５７によって除外されなかった１以上の医用情報４００に対応付けられた付帯情報４１に含まれる複数の属性情報のうち、第１の特定機能１１５３によって特定された匿名化対象の属性情報を匿名化する（Ｓ９５）。

次に、匿名化装置４１００の送信機能２１５５は、匿名化処理機能１１５４によって匿名化された匿名化済医用情報４０１を、学習装置７００に送信する（Ｓ９６）。

そして、学習装置７００は、匿名化装置４１００から取得した匿名化済医用情報４０１を学習データとして、学習処理を実行する（Ｓ８２）。ここで、このフローチャートの処理は終了する。

このように、本実施形態の匿名化装置４１００は、目的別医用画像情報１２６に基づいて、予め撮像された複数の医用画像４０の中から、取得した利用目的に対応する１以上の医用画像４０を特定し、特定した１以上の医用画像４０に対応付けられた１以上の付帯情報４１に含まれる複数の属性情報の中から、１以上の属性情報を特定する。このため、本実施形態の匿名化装置４１００によれば、利用目的に応じて自動的に提供対象の医用画像４０を特定し、匿名化の上、提供することができる。このため、例えば、提供先が大量の学習データを収集する場合に、個々の医用画像４０の指定を受けなくとも、利用目的に応じた医用画像４０を提供することができる。

本実施形態においては、匿名化装置４１００は、学習装置７００に学習データを提供するために匿名化済医用情報４０１を生成するものとしたが、提供先および匿名化済医用情報４０１の生成の目的はこれに限定されるものではない。

例えば、情報処理装置３００，１３００，２３００，３３００のユーザが、分析等のために、多数の匿名化済医用情報４０１を要望する場合がある。一例として、匿名化装置４１００は、第１〜４の実施形態のように、情報処理装置３００，１３００，２３００，３３００と接続し、情報処理装置３００，１３００，２３００，３３００から送信された要求に基づいて、医用画像管理装置５００に保存された複数の医用情報４００ｄ〜４００ｉの中から、要求に応じた医用情報４００を特定し、匿名化処理の上、情報処理装置３００，１３００，２３００，３３００に送信しても良い。

また、匿名化装置４１００の匿名化処理の開始のトリガが学習装置７００からの要求に限定されるものではない。例えば、匿名化装置４１００は、一定期間ごとに、医用画像管理装置５００に保存された複数の医用画像４０から、所定の利用目的に対応付けられた１以上の医用画像４０を取得し、匿名化処理の上、学習装置７００または情報処理装置３００，１３００，２３００，３３００に送信しても良い。

また、匿名化装置４１００が学習装置７００等に送信する学習データは、ＤＩＣＯＭ規格に準拠した形式ではなくとも良い。例えば、匿名化装置４１００の匿名化処理機能１１５４は、利用目的または提供先の学習装置７００からの要求等に応じて、ＤＩＣＯＭ規格に準拠したデータ以外のデータを、匿名化済医用情報４０１に付加しても良い。一例として、ＤＩＣＯＭ規格では、“２０代”、“３０代”等の患者の年代の情報を属性情報として登録するためのタグは無いが、匿名化処理機能１１５４は、タグ番号（００１０，１０１０）の“患者の年齢”が“２０”〜“２９”である場合に、“２０代”という患者の年代の情報を、匿名化済医用情報４０１に対応付けても良い。

（変形例１）
上述の第１〜５の実施形態では、付帯情報４１に含まれる属性情報を匿名化していたが、さらに、医用画像４０に描出された情報を匿名化しても良い。

例えば、医用画像４０上に、患者ＩＤ等の属性情報と同じ文字列が描出されている場合がある。

このため、第１の特定機能１５３は、匿名化対象として特定した１以上の属性情報と同じ文字列が描出された第１の画像領域を医用画像４０から特定しても良い。第１の画像領域は、例えば、特定された１以上の属性情報と同じ文字列を含む矩形の画像領域とするが、これに限定されるものではない。

また、匿名化処理機能１５４は、第１の特定機能１５３によって特定された第１の画像領域の画素データを、文字列を特定できない画素データに変換することにより、医用画像４０に描出された情報を匿名化しても良い。

文字列を特定できない画素データは、例えば、黒色の画素データである。匿名化処理機能１５４は、第１の画像領域を黒色に塗りつぶすようにマスクしても良い。また、匿名化処理機能１５４は、第１の画像領域がモザイク状になるように、画素データを変換しても良い。

このように、本変形例の匿名化装置１００によれば、特定した１以上の属性情報と同じ文字列が描出された第１の画像領域の画素データを、文字列を特定できない画素データに変換することで、医用画像４０に描出された情報を匿名化し、個人情報をさらに保護することができる。

また、医用画像４０自体が、患者の顔など個人を特定可能な画像を含む場合がある。

このため、第１の特定機能１５３は、医用画像４０において個人を特定可能な画像が描出された第２の画像領域を特定しても良い。第２の画像領域は、例えば患者の顔面を含む画像領域であるが、これに限定されるものではない。

例えば、第１の特定機能１５３は、医用画像４０の利用目的と撮像部位置の重要度とが対応付けられた情報に基づいて、第２の画像領域に描出された画像の重要度が低い場合に、個人を特定可能な画像が描出された画像領域を、匿名化対象の第２の画像領域として特定する。例えば、患者の頭部を撮像した医用画像４０には患者の顔が映り込む場合があるが、該医用画像４０の利用目的が、例えば“脳血流解析”であれば、該患者の顔の重要度は低い。

また、該医用画像４０の利用目的が、例えば“顔面の腫瘍の診断”であれば、該患者の顔の重要度は高い。このような場合は、第１の特定機能１５３は、医用画像４０に描出された顔の画像を、匿名化対象ではないと判定する。

医用画像４０の利用目的と撮像部位置の重要度とが対応付けられた情報は、例えば、記憶回路１２０に保存されるものとする。

また、匿名化処理機能１５４は、第１の特定機能１５３によって特定された第２の画像領域の画素データを、個人を特定できない画像の画素データに変換しても良い。

例えば、匿名化処理機能１５４は、第２の画像領域を黒色に塗りつぶしても良いし、変換前の第２の画像領域に描出された画像を変形させても良い。例えば、第２の画像領域に描出された画像が被検体の顔である場合、匿名化処理機能１５４は、当該顔の凹凸を変形させても良い。

このように、本変形例の匿名化装置１００によれば、医用画像４０において個人を特定可能な画像が描出された第２の画像領域の画素データを、個人を特定できない画像の画素データに変換するため、個人情報をさらに保護することができる。

（変形例２）
また、上述の第１〜５の実施形態では、付帯情報４１に含まれる標準の属性情報を例として説明したが、匿名化対象はこれに限定されるものではない。例えば、匿名化装置１００は、モダリティのメーカーに応じて設定されたプライベートタグを、匿名化の対象としても良い。

例えば、第１の特定機能１５３は、付帯情報４１に含まれるプライベートタグから、匿名化対象として特定した１以上の属性情報と同じ文字列を、匿名化対象として特定しても良いし、全てのプライベートタグを匿名化対象として特定しても良い。

匿名化処理機能１５４は、例えば、第１の特定機能１５３によって特定されたプライベートタグの中の文字列を変換または削除しても良いし、全てのプライベートタグを削除することにより、プライベートタグを匿名化しても良い。

以上説明した少なくとも１つの実施形態によれば、匿名化後の医用画像４０の利用目的に応じて、医用画像４０の付帯情報４１を匿名化することができる。

本発明のいくつかの実施形態を説明したが、これらの実施形態は、例として提示したものであり、発明の範囲を限定することは意図していない。これら実施形態は、その他の様々な形態で実施されることが可能であり、発明の要旨を逸脱しない範囲で、種々の省略、置き換え、変更を行うことができる。これら実施形態やその変形は、発明の範囲や要旨に含まれると同様に、特許請求の範囲に記載された発明とその均等の範囲に含まれるものである。

３１，３１ｃ〜３１ｅ 利用目的情報
４０，４０ａ〜４０ｉ 医用画像
４１，４１ａ〜４１ｉ 付帯情報
４２，４２ａ〜４２ｆ 匿名化済付帯情報
９０ 入力画面
１００，１１００，２１００，３１００，４１００ 匿名化装置
１１０ ＮＷインタフェース
１２０ 記憶回路
１２１ 利用目的別重要度情報
１２２ レベル定義情報
１２３ アプリケーション別利用目的情報
１２４ 提供先別匿名化レベル情報
１２５ 匿名化前後の対応付け情報
１２６ 目的別医用画像情報
１３０ 入力インタフェース
１４０ ディスプレイ
１５０ 処理回路
１５１ 表示制御機能
１５２，１１５２，２１５２，３１５２ 取得機能
１５３，１１５３ 第１の特定機能
１５４，１１５４ 匿名化処理機能
１５５，１１５５，２１５５ 送信機能
１５６ 第２の特定機能
１５７ 前処理機能
２００ 医用画像診断装置
３００，３００ａ，３００ｂ，１３００，２３００，２３００ｃ〜２３００ｅ，３３００ 情報処理装置
３１０ ＮＷインタフェース
３２０ 記憶回路
３３０ 入力インタフェース
３４０ ディスプレイ
３５０ 処理回路
３５１，１３５１ 受信機能
３５２，１３５２ 表示制御機能
３５３ 解析機能
３５３ａ〜３５３ｃ 第１〜３の解析機能
３５４，１３５４ 取得機能
３５５，１３５５ 送信機能
４００，４００ａ〜４００ｉ 医用情報
４０１，４０１ａ〜４０１ｆ 匿名化済医用情報
５００ 医用画像管理装置
７００ 学習装置
Ｓ１〜Ｓ５ 匿名化システム

Claims (10)

1. 医用画像の匿名化後の利用目的を取得する取得部と、
   複数の利用目的ごとに１以上の属性情報が対応付けられた匿名化対象情報に基づいて、前記取得部によって取得された前記利用目的に対応付けられた１以上の属性情報を特定し、特定した該１以上の属性情報に基づいて、前記医用画像に対応付けられた付帯情報に含まれる複数の属性情報の中から、匿名化対象の１以上の属性情報を特定する第１の特定部と、
   前記第１の特定部によって特定された前記１以上の属性情報を匿名化する匿名化処理部と、
   を備える匿名化装置。
2. 前記取得部は、さらに、要求される匿名化レベルを取得し、
   前記匿名化対象情報は、複数の利用目的と複数の匿名化レベルとが１対１で対応付けられた複数の組み合わせの各々に１以上の属性情報が対応付けられ、
   前記第１の特定部は、前記匿名化対象情報に基づいて、前記取得部により取得された前記利用目的と前記匿名化レベルとの組み合わせに対応する１以上の属性情報を特定する、
   請求項１に記載の匿名化装置。
3. 前記取得部は、ユーザによって入力された前記利用目的と、前記匿名化レベルとを受け付ける、
   請求項２に記載の匿名化装置。
4. 前記取得部は、外部装置から、前記利用目的を取得し、
   前記医用画像と、前記匿名化処理部によって匿名化された１以上の属性情報を含む匿名化済付帯情報とを対応付けて前記外部装置に送信する送信部、をさらに備える、
   請求項１または２に記載の匿名化装置。
5. 前記取得部は、外部装置において匿名化後の前記医用画像を利用するアプリケーションの識別情報を前記外部装置から取得し、前記アプリケーションの識別情報と匿名化後の前記医用画像の利用目的とが対応付けられたアプリケーション別利用目的情報に基づいて、取得した前記アプリケーションの識別情報に対応する前記利用目的を取得する、
   請求項１または２に記載の匿名化装置。
6. 前記利用目的と該利用目的に適した医用画像を特定可能な情報とが対応付けられた目的別医用画像情報に基づいて、予め撮像された複数の医用画像の中から、前記取得部によって取得された前記利用目的に対応する１以上の医用画像を特定する第２の特定部、をさらに備え、
   前記第１の特定部は、前記第２の特定部によって特定された前記１以上の医用画像に対応付けられた１以上の付帯情報に含まれる複数の属性情報の中から、１以上の属性情報を特定する、
   請求項１から５のいずれか１項に記載の匿名化装置。
7. 前記第１の特定部は、前記医用画像から、特定した前記１以上の属性情報と同じ文字列が描出された第１の画像領域を特定し、
   前記匿名化処理部は、前記第１の特定部によって特定された前記第１の画像領域の画素データを、前記文字列を特定できない画素データに変換する、
   請求項１から６のいずれか１項に記載の匿名化装置。
8. 前記第１の特定部は、前記医用画像において個人を特定可能な画像が描出された第２の画像領域を特定し、
   前記匿名化処理部は、前記第１の特定部によって特定された前記第２の画像領域の画素データを、個人を特定できない画像の画素データに変換する、
   請求項１から７のいずれか１項に記載の匿名化装置。
9. 匿名化装置と、前記匿名化装置とネットワークを介して接続可能な情報処理装置と、を含む匿名化システムであって、
   前記匿名化装置は、
   医用画像の匿名化後の利用目的を取得する取得部と、
   複数の利用目的ごとに１以上の属性情報が対応付けられた匿名化対象情報に基づいて、前記取得部によって取得された前記利用目的に対応付けられた１以上の属性情報を特定し、特定した該１以上の属性情報に基づいて、前記医用画像に対応付けられた付帯情報に含まれる複数の属性情報の中から、匿名化対象の１以上の属性情報を特定する第１の特定部と、
   前記第１の特定部によって特定された前記１以上の属性情報を匿名化する匿名化処理部と、
   前記医用画像と、前記匿名化処理部によって匿名化された１以上の属性情報を含む匿名化済付帯情報とを対応付けて前記情報処理装置に送信する送信部と、を備え、
   前記情報処理装置は、
   前記匿名化装置から、前記医用画像と、前記匿名化済付帯情報とを受信する受信部と、
   受信した前記医用画像および前記匿名化済付帯情報を解析する解析部と、を備える、
   匿名化システム。
10. 前記情報処理装置は、受診済みの前記医用画像に関連する他の医用画像の追加要求を前記匿名化装置に送信する送信部、をさらに備え、
    前記匿名化装置は、
    匿名化前後の前記医用画像の対応関係が定義された匿名化前後の対応付け情報を記憶する記憶部を備え、
    前記取得部は、前記情報処理装置から、前記医用画像に関連する他の医用画像の要求を取得し、前記匿名化前後の対応付け情報に基づいて、前記情報処理装置から要求された前記医用画像に関連する前記１または複数の他の医用画像と、前記１または複数の他の医用画像の各々に対応付けられた複数の付帯情報とを複数の医用画像および前記複数の医用画像の各々に対応付けられた複数の付帯情報とを記憶する医用画像管理装置から取得し、
    前記匿名化処理部は、前記取得部によって前記医用画像管理装置から取得された前記医用画像に対応付けられた前記付帯情報に含まれる複数の属性情報のうち、１以上の属性情報を匿名化し、
    前記送信部は、前記取得部によって前記医用画像管理装置から取得された前記医用画像と、前記匿名化処理部によって匿名化された１以上の属性情報を含む匿名化済付帯情報とを対応付けて前記情報処理装置に送信する、
    請求項９に記載の匿名化システム。

Images