JP2021117612A - 内視鏡診断データ管理システム - Google Patents

Abstract

【課題】内視鏡診断データが悪意ある者から攻撃を受けても、内視鏡診断データの改ざんを阻止することができる内視鏡診断データ管理システムを提供する。【解決手段】内視鏡診断データ管理システム１０において、、被験者の内視鏡診断データを保管する記憶部を備えるファイリングシステム１２と、内視鏡画像データの画像表示、被験者情報データの画面表示及び被験者情報データの入力の処理を行う端末装置１８と、被験者の内視鏡画像データを用いて内視鏡画像を画面表示する処理を行う内視鏡用プロセッサ２０とを備える。端末装置１８及び内視鏡用プロセッサ２０のそれぞれは、内視鏡画像データと被験者情報データから構成される内視鏡診断データの暗号化対象データを送信時に暗号化し、受信時に暗号化したデータを復号化するための秘密鍵及び公開鍵を備えた鍵ペアを備える。ファイリングシステム１２は、鍵ペアを備えず、暗号化されたデータを保管する。【選択図】図１

Description

本発明は、内視鏡診断データを保管する記憶部を備えたファイリングシステムと、端末装置及び内視鏡用プロセッサとを通信可能に接続した内視鏡診断データ管理システムに関する。

人体内部の生体組織の診断や治療に内視鏡システムが使用されている。内視鏡システムでは、生体組織の画像、例えば、撮影素子を用いた被検体の光学観察像が取得されて、診断や治療が行われる。院内では、診断室あるいは治療室等の複数の現場で複数の内視鏡システムを使用するので、各内視鏡システムがネットワークで通信可能に接続されている。この場合、各内視鏡システムで取得した内視鏡画像を纏めて１箇所に保管するファイリングシステムが用いられることが多い。

具体的には、内視鏡診断では、事前に被験者のＩＤカード（磁気カード等）が読みとられる。この後、生体組織の診断のために内視鏡が体腔内に挿入される。内視鏡により生体組織の画像を取得した後、内視鏡画像データは現場にある内視鏡用プロセッサからファイリングシステムのサーバユニットに圧縮データとして送られ所定の鍵により暗号化される。この時、内視鏡画像データと併せて被験者ＩＤ、被験者名、年齢、性別、検査日時および検査機器などのデータも暗号化されてファイリングシステムに保管される。ファイリングシステムに保管された内視鏡画像データや暗号化された他のデータは、必要に応じて端末装置或いは内視鏡用プロセッサに呼び出されて、所定の鍵により復号化される。

このようにネットワークを経由してデータを相互に利用する複数の内視鏡システムにおいては、内視鏡システムの利用者の便宜を図りながら内視鏡システムが取り扱うデータへの不正なアクセスを防ぎデータの盗用や破壊等を未然に防止するセキュリティのため種々の方式が試みられている。

特許文献１には、ネットワーク上におけるセキュリティ対策のための暗号化利用技術が開示されている。暗号化利用技術は、手術を行うための複数の医療装置と、医療装置に接続された第１の情報処理装置とデータを取得する取得手段を備える。医療装置で得られたデータに対して、暗号化するデータを選択して暗号化して第１のネットワークインターフェイスによりデータは送信される。送信されたデータは、受信側の第２のネットワークインターフェイスにより受信され、暗号化されたデータを含むデータは復号化される。

暗号化選択項目は暗号化するか否かを選択することが可能であり、選択項目として例えば、患者データ、機器ステータスデータ、画像データが表示され、患者情報についてはプライバシの保護を目的にしてセキュリティを確保するように予め暗号化を選択した状態にしている。

特許文献２には、内視鏡診断で用いられる内視鏡画像データとして保存されるデジタル画像データの改ざんを防止して診断時のままの画像内容であることを確保する内視鏡画像記録装置及び内視鏡画像管理システムが開示されている。

上記内視鏡画像記録装置は、撮影手段から入力される画像データを一時記憶するための画像一時記憶手段と、画像一時記憶手段に一時記憶されている画像データを保存するための画像保存手段と、画像一時記憶手段及び画像保存手段に画像データを記録させるための指示を入力するための１つ以上の画像記録指示手段を備える。内視鏡画像記録装置には、所定の処理を施して、所定のファイルフォーマットに変換した画像データファイルに対して改ざん検知用のコードを作成する改ざん検知コード作成手段を設けられる。内視鏡画像管理システムは、画像データファイルと改ざん検知用のコードとを関連付けて画像データファイルを管理する。

特許文献３では、ファイル暗号化鍵（ファイル対応秘密鍵）をファイルサーバ装置側で作成して、ファイル暗号化鍵を暗号化してからネットワークを介して計算機に送信するシステムが開示されている。

ファイルサーバ装置は、暗号化するファイル名に対応する秘密鍵を発生する秘密鍵生成手段と、依頼側固有ＩＤの指定を受けその依頼側対応鍵を発生する識別ＩＤ表と、秘密鍵を対応鍵に基づき暗号化する秘密鍵方式暗号化手段と、秘密鍵が通信網を介し計算機に送られる制御手段を備えている。計算機は、対応鍵をファイルの暗号化に先立って記憶する対応鍵記憶手段と、その対応鍵に基づきファイルに対応するファイル対応秘密鍵を復号する秘密鍵方式暗号化手段と、その復号化された秘密鍵に基づきファイルを暗号化するファイル暗号化手段を備えている。

特開２００５−１１１０８３号公報 特開２００２−０３４９０７号公報 特開平９−１７９７６８号公報

内視鏡で撮影して得られる内視鏡画像データと、被験者に関する被験者情報データと、を含む内視鏡診断データを保管するファイリングシステムでは、上述したように、暗号化、秘密鍵及び公開鍵の鍵ペア、あるいは改ざん防止手段を設けてセキュリティの強化が行われるが、秘密鍵及び公開鍵がファイリングシステムで生成され、あるいは保管されている場合がある。この場合、ファイリングシステムが悪意ある者から攻撃を受けて、鍵ペアを取得されて、情報の閲覧、漏えい、改ざんが行われる可能性があり、好ましくない。

本発明は、内視鏡診断データを保管するファイリングシステムがネットワークで接続されている内視鏡診断データ管理システムであって、保管されている内視鏡診断データが悪意ある者から攻撃を受けても、内視鏡診断データの少なくとも一部について内容の閲覧を阻止することができ、さらに、意図した内容に改ざんすることを阻止することができる内視鏡診断データ管理システムを提供することを目的とする。

本発明の一態様は、内視鏡診断データ管理システムであって、
被験者の内視鏡画像データ及び前記被験者に関する被験者情報データを含む内視鏡診断データを保管するように構成された記憶部を備えるファイリングシステムと、
前記ファイリングシステムと通信可能に接続され、前記内視鏡画像データの画像表示、前記被験者情報データの画面表示、及び前記被験者情報データの入力の少なくとも１つの処理を行うように構成された端末装置と、
内視鏡で撮影することにより前記被験者の前記内視鏡画像データを生成し、前記ファイリングシステムと通信可能に接続され、前記被験者の前記内視鏡画像データを用いて内視鏡画像を画像表示する処理を行うように構成された内視鏡用プロセッサと、を備え、
前記端末装置及び前記内視鏡用プロセッサのそれぞれは、前記内視鏡画像データと前記被験者情報データを含む前記内視鏡診断データの少なくとも１つは、暗号化対象データである第１データとして送信時暗号化し、受信時暗号化した前記第１データを復号化するための秘密鍵及び公開鍵を備えた鍵ペアを備え、
前記ファイリングシステムは、前記鍵ペアを備えず、暗号化された前記第１データを保管する、ことを特徴とする。

前記内視鏡診断データの少なくとも１つは、電子署名対象データである第２データとして、暗号化することなく前記秘密鍵で作成した電子署名が添付されたデータであり、
前記端末装置及び前記内視鏡用プロセッサのそれぞれは、前記第２データを、前記ファイリングシステムに保管するために前記ファイリングシステムへ送信するように構成され、
前記端末装置及び前記内視鏡用プロセッサのそれぞれは、前記第２データの呼び出しに応じて前記ファイリングシステムから受信した前記第２データに添付された前記電子署名により検証される前記第２データの改ざん無しの情報に応じて前記処理を行う、ことが好ましい。

前記被験者情報データは、前記被験者の年齢を、複数の年齢範囲で区切った複数の年齢層の１つに振り分けた年齢層情報を含み、前記年齢層情報は前記電子署名対象データである、ことが好ましい。

前記第１データ及び前記第２データは、どの情報を暗号化、あるいはどの情報に電子署名を添付するかを予め定めた暗号化ポリシーにしたがって前記内視鏡診断データ内の情報が暗号化された、あるいは前記電子署名が添付されたデータであり、
前記ファイリングシステムの前記記憶部は、前記暗号化ポリシーを記憶するように構成され、
前記ファイリングシステムは、前記端末装置及び前記内視鏡用プロセッサのそれぞれの要求に応じて前記暗号化ポリシーを送信するように構成されている、ことが好ましい。

前記被験者情報データは、前記被験者に関する複数種類の属性情報を含み、
前記暗号化ポリシーは、前記属性情報毎に、平文対象データ、暗号化対象データ、電子署名添付対象データに割り振った情報を含む、ことが好ましい。

前記内視鏡画像データ及び前記被験者情報データの前記記憶部への新規登録及び変更時、
前記端末装置及び前記前記内視鏡用プロセッサのそれぞれは、前記暗号化ポリシーに従い、前記内視鏡画像データ及び前記被験者情報データに対して、暗号化する処理、あるいは前記電子署名を作成し前記内視鏡画像データあるいは前記被験者情報データに前記電子署名を添付する処理をするように構成されている、ことが好ましい。

前記被験者情報データは、前記被験者の識別番号、前記被験者の氏名、前記被験者の性別、及び前記被験者の生年月日の情報を含み、
前記第１データは、前記被験者の氏名、前記被験者の性別、及び前記被験者の生年月日の情報を含み、
前記被験者の被験者識別番号は平文対象データである、ことが好ましい。

前記内視鏡診断データ管理システムは、さらに、病変解析装置を備え、
前記病変解析装置は、前記内視鏡で撮影された画像から前記被験者の病変を推定予測するように構成された予測部を備え、
前記ファイリングシステムに保管する前記内視鏡画像データを、病変の特徴を抽出するための統計処理対象データとして統計処理することにより構築された、あるいは、人工知能による機械学習のための教師データとして機械学習することにより構築された、前記病変の予測推定をする予測モデルを備える、ことが好ましい。

前記内視鏡診断データは、前記被験者の病変の種類、体腔内の病変部の位置情報、及び、前記病変の進行の程度に関する情報の少なくとも１つを含む、ことが好ましい。

前記暗号化ポリシーは、さらに、前記端末装置あるいは前記内視鏡用プロセッサにおいて前記内視鏡画像データ及び前記内視鏡診断データを利用できるか否かに関する利用可否情報を備える、ことが好ましい。

上述の内視鏡診断データ管理システムによれば、端末装置及び内視鏡用プロセッサのそれぞれは、内視鏡画像データと被験者情報データを含む内視鏡診断データの少なくとも１つを、暗号化対象データである第１データとして送信時暗号化し、受信時暗号化した第１データを復号化するので、ファイリングシステムが悪意ある者から攻撃を受けても、暗号化されたデータの内容を閲覧することはできず、意図した内容に改ざんすることもできない。このため、情報漏えいの阻止に優れる。

一実施形態の内視鏡診断データ管理システムの概略を示す構成図である。 一実施形態の内視鏡診断データ管理システムに用いるファイリングシステムの構成の一例の概略を示すブロック図である。 一実施形態の内視鏡診断データ管理システムに用いる病変解析装置の構成の一例を示すブロック図である。 一実施形態の内視鏡診断データ管理システムに用いる内視鏡及び内視鏡用プロセッサの概略の構成の一例を示すブロック図である。 一実施形態の内視鏡診断データ管理システムに用いる端末装置の構成の一例を示すブロック図である。 一実施形態の内視鏡診断データ管理システムで用いる暗号化ポリシーの例を説明する図である。 一実施形態の内視鏡診断データ管理システムで用いる暗号化ポリシーに従い処理する前の被験者情報データの例を示す図である。 一実施形態の内視鏡診断データ管理システムで用いる暗号化ポリシーに従い処理した後の被験者情報データの例を示す図である。 一実施形態の内視鏡診断データ管理システムで用いる端末装置を操作して新規被験者を登録し、属性情報を暗号化する時の動作フローの例を示す図である。 一実施形態の内視鏡診断データ管理システムで用いる内視鏡用プロセッサを操作して、診察対象の被験者（患者）の内視鏡画像をファイファイリングシステムへ記憶する場合の動作フローの一例を示す図である。 一実施形態の内視鏡診断データ管理システムで用いる端末装置を操作して内視鏡診断データを復号化する場合の動作フローの一例を示す図である。

以下、図面を参照して実施形態の内視鏡診断データ管理システムについて説明する。

（内視鏡診断データ管理システム）
図１は、一実施形態の内視鏡診断データ管理システムの概略を示す構成図である。内視鏡診断データ管理システム１０は、ファイリングシステム１２と、端末装置１８と、内視鏡用プロセッサ２０とを備え、さらに、ファイリングシステム１２と通信可能に接続された病変解析装置２４を備える。内視鏡用プロセッサ２０は、体腔内を撮影する内視鏡２２を備える。ファイリングシステム１２、端末装置１８、内視鏡用プロセッサ２０及び病変解析装置２４は、ネットワーク１６を介して接続されている。ファイリングシステム１２は、さらに、セキュリティのためファイヤーウォール１４を介してネットワーク１６に接続されている。

端末装置１８及び内視鏡用プロセッサ２０のそれぞれは、内視鏡画像データと被験者情報データを含む内視鏡診断データの少なくとも１つを暗号化対象データである第１データとして送信時暗号化し、受信時暗号化した第１データを復号化するための秘密鍵及び公開鍵を備えた鍵ペアを備える。ファイリングシステム１２は、鍵ペアを備えず、暗号化された第１データ、電子署名が添付された第２データ、及び平文のデータをそのまま保管する。

ファイリングシステム１２と通信可能に接続された病変解析装置２４は、内視鏡で撮影された画像から被験者の病変を推定予測するように構成された予測部を備える。予測装置は、例えば、ファイリングシステム１２から呼び出した内視鏡診断データを記録する記憶部を備える。記憶した内視鏡診断データは、例えば、予測部が備える予測モデルで発症している病変の種類あるいは病変の進行の程度を推定予測するための入力データとして用いられ、また、予測モデルにおける予測精度の向上のために統計処理をするための統計処理対象データとして、あるいは予測モデルに機械学習させるための教師データとして用いられる。なお、一実施形態の内視鏡診断データ管理システムによれば、病変解析装置２４は設けられなくてもよいが、内視鏡で撮像した画像から病変を推定予測することができることから、病変解析装置２４を設けることが好ましい。

（ファイリングシステム）
図２は、一実施形態の内視鏡診断データ管理システムに用いるファイリングシステムの構成の一例の概略を示すブロック図である。ファイリングシステム１２は、ＣＰＵ３２、ＲＡＭ３４、ＲＯＭ３６、記憶部４０、通信インタフェース３８を備える。これら構成要素は、バスを介して相互に接続され、ＣＰＵ３２で制御されている。

ＣＰＵ３２は、ファイリングシステム１２を統合的に制御する。ＲＡＭ３４は、ＣＰＵ３２の制御の実行中にデータを一時的に記憶する。ＲＯＭ３６は、ファイリングシステム１２でＣＰＵ３２が制御に必要な各種プログラム及びデータを記憶している。記憶部４０は、ファイリングシステム１２で使用するデータ処理用のプログラム４８及び内視鏡画像データベース４２、被験者データベース４４を備える。さらに記憶部４０には、各種データを暗号化する際の指針を与える暗号化ポリシー４６を記憶している。

内視鏡画像データベース４２に記憶、保管される内視鏡画像データ、及び内視鏡画像データと関連付けて被験者データベース４４に記憶、保管される被験者データの少なくとも一部は、暗号化ポリシー４６に従って暗号化されている。通信インタフェース３８はネットワーク１６に接続され、ファイリングシステム１２が、通信インタフェース３８を介して端末装置１８及び内視鏡用プロセッサ２０と、さらには、病変解析装置２４と内視鏡診断データの送受信を行う。

ファイリングシステム１２に暗号化されて保管される内視鏡画像データ及び被験者データは、暗号化ポリシー４６にしたがって暗号化されている。具体的には、内視鏡診断データの少なくとも１つは暗号化対象データである第１データとして保管されている。さらに、内視鏡診断データの少なくとも１つは電子署名対象データである第２データとして、秘密鍵で作成した電子署名が添付されて保管されている。

ファイリングシステム１２の記憶部４０は、暗号化ポリシー４６を記憶するように構成され、ファイリングシステム１２は、端末装置１８及び内視鏡用プロセッサ２０のそれぞれの要求に応じて暗号化ポリシーを送信するように構成されている。ファイリングシステム１２には、暗号化、復号化に必要な秘密鍵及び公開鍵を備えた鍵ペアのデータは記憶されない。このため、ファイリングシステム１２が、悪意ある者によりに侵入されても、侵入者によるデータの復号化はできず、セキュリティが維持される。

（病変解析装置）
図３は、一実施形態の内視鏡診断データ管理システムに用いる病変解析装置の一例の構成を示すブロック図である。病変解析装置２４は、通信インタフェース６０、画像制御部５２、予測部５４、人工知能部５８及びデータベース５６を備えている。病変解析装置２４は、通信インタフェース６０を介して、ファイリングシステム１２から被験者データ及び内視鏡画像データを受信する。受信した内視鏡画像データは、画像制御部５２により予測部５４に送られる。予測部５４では、内視鏡画像データを解析し、病変の種類や病変の進行の程度が推定予測される。推定予測された情報は、被験者の属性情報とともに内視鏡診断データとしてデータベース５６に保管される。また、推定予測された情報は、内視鏡診断データの一部としてファイリングシステム１２に送信されてもよい。

病変解析装置２４は、電子署名対象データが改ざんされていない事を検証できればよく、暗号化及び復号化を行うための公開鍵のみを保持する。この場合、病変解析装置２４が不正に攻撃を受けたとしても、暗号化対象データの内容は漏洩されない。

病変は、例えば、潰瘍性大腸炎における生体組織の炎症した状態あるいは潰瘍の状態をいい、これらの病変部は、健常部に比べて赤色を強く呈し、あるいは白色を強く呈し、緑色〜黄色を呈する健常部と区別することができる。このことから画像中の各画素の色を、画像データを用いて分析することにより、病変部が炎症状態にあるかどうか、さらに炎症の進行の程度を把握することができ、また、病変部が潰瘍状態にあるかどうか、さらに潰瘍の進行の程度を把握することができる。

また、被験者の内視鏡画像データは、生体組織のヘモグロビン濃度及びヘモグロビンの酸素飽和度の分布画像データを含んでもよい。例えば、ヘモグロビンが吸収しやすい波長帯域（４００〜４５０ｎｍ、５２０〜５９０ｎｍ）の光を成分として含む特殊光１を照明光として用いることにより、さらに、ヘモグロビンの酸素飽和度に応じて吸収率が異なる、波長帯域（４００〜４５０ｎｍ、５２０〜５９０ｎｍ）の光を成分として含む特殊光１と異なる特殊光２を照明光として撮像した生体組織の画像信号を演算処理することにより、生体組織のヘモグロビン濃度及びヘモグロビンの酸素飽和度の分布画像データを画素毎に算出することができる。このような酸素飽和度とヘモグロビン濃度の分布画像から、悪性腫瘍（癌）の病変部か、良性腫瘍の病変部かを把握することができ、また、悪性腫瘍の程度も把握することができる。

予測部５４では、病変の種類や病変の進行の程度が内視鏡画像データあるいは分布画像データから推定予測される。図３に示す例では、機械学習した予測モデルを人工知能とする人工知能部５８を備える。人工知能部５８では、人工知能による機械学習のための教師データとして用いることができるように構成されている。人工知能部５８が内視鏡画像データを教師データとして用いる場合、人工知能部５８は、ファイリングシステム１２に保管されている内視鏡画像データと、この内視鏡画像データに対する病変の評価結果、例えば医師等による画像診断した主観評価結果（例えばＭＡＹＯ ｅｎｄｏｓｃｏｐｉｃ ｓｕｂｓｃｏｒｅ）の情報とを多数用意して、教師データとして用いる。

予測部５４が機械学習した予測モデル用いる場合、人工知能部５８の予測モデルは、教師データを用いて機械学習を行う。予測モデルの機械学習には、例えば、ニューラルネットワークが利用される。予測モデルは、深層学習により予測可能に形成されたディープニューラルネットワーク（ＤＮＮ）のモデル、木構造を利用したランダムフォレスト法によるモデル、ＬＡＳＳＯ回帰を利用したモデル、あるいは、多項式、クリギング、ＲＢＦネットワーク（Ｒａｄｉａｌ Ｂａｓｉｓ Ｆｕｎｃｔｉｏｎ Ｎｅｔｗｏｒｋ：ＲＢＦＮ）等を利用した非線形関数を含む。

図３に示す例では、人工知能部５８を用いた推定予測を行うが、人工知能部５８に替えて、統計処理を利用して、内視鏡画像データから病変の種類及び病変の進行の程度を推定予測することも好ましい。この場合、ファイリングシステム１２に保管されている内視鏡画像データと、この内視鏡画像データに対する病変の評価結果、例えば医師等による画像診断した主観評価結果（例えばＭＡＹＯ ｅｎｄｏｓｃｏｐｉｃ ｓｕｂｓｃｏｒｅ）の情報とを多数用意し、これらを統計処理対象データとして用いて、統計処理を行う。統計処理は、例えば、相関分析や回帰分析を含む。この場合、病変の種類及び病変の進行の程度を推定予測するときの内視鏡画像データに対して、所定の処理を施して指標を抽出し、この指標が、統計処理した相関分析の結果、あるいは回帰分析による得られる回帰式を用いて、病変の種類及び病変の進行の程度を数値等で推定予測する。

この場合、さらに、内視鏡診断データは、利用許可された被験者情報データ、例えば被験者の属性情報である性別や年齢、年齢層を含み、これらの属性の情報を、内視鏡画像データとともに統計処理し、あるいは機械学習のための教師データの一要素として含ませて機械学習の対象とすることができる。

予測部５４は、端末装置１８あるいは内視鏡用プロセッサ２０から出力される、内視鏡画像データ及び被験者情報データ、例えば被験者の属性情報を入力データとして、病変の種類や病変の進行の程度を、人工知能部５８の予測モデルに推定予測させ、予測モデルの推定予測結果を出力データとして出力する。

内視鏡画像データは、健常者の内視鏡画像データとその内視鏡画像の評価結果とを含めて予測処理のためのデータ（予測モデルによる機械学習の場合は教師データ）として用いることが好ましい。

なお、病変解析装置２４で作成される病変解析データ、例えば病変部の有無の情報、病変の進行の程度の情報、及びヘモグロビン濃度の分布画像データ、酸素飽和度の分布画像データについては、ファイリングシステム１２が保持する暗号化ポリシーに基づいて、暗号化、あるいは電子署名を行って、ファイリングシステム１２に送信することが好ましい。

（内視鏡及び内視鏡用プロセッサ）
図４は、内視鏡及び内視鏡用プロセッサの概略を示すブロック図である。内視鏡用プロセッサ２０は、システムコントローラ６６及びタイミングコントローラ６４を備えている。システムコントローラ６６は、記憶部６８に記憶された各種制御プログラムを実行し、内視鏡用プロセッサ２０及び内視鏡２２の全体を統括的に制御する。また、システムコントローラ６６は、操作パネル７６に入力されるユーザ（術者又は補助者）による指示に応じて内視鏡２２及び内視鏡用プロセッサ２０の各種設定を変更する。タイミングコントローラ６４は、各部の動作のタイミングを調整するクロックパルスを内視鏡用プロセッサ２０及び内視鏡２２の各回路に出力する。

内視鏡用プロセッサ２０は、内視鏡２２に照明光を供給する光源部６２を備えている。光源部６２は、高輝度ランプ、集光レンズと調光装置を備えている。高輝度ランプは、ランプ電源から駆動電力の供給を受けることにより白色の照明光を放射し、例えばキセノンランプ、水銀ランプ又はハロゲンランプである。高輝度ランプから出射した照明光は、集光レンズにより集光された後、調光装置を介して内視鏡２２のＬＣＢ（Ｌｉｇｈｔ Ｃａｒｒｙｉｎｇ Ｂｕｎｄｌｅ）８０の入射端に入射される。

高輝度ランプに替えて、所定の色の波長帯域の光を出射する複数の発光ダイオード等の半導体発光素子を用いてもよい。発光ダイオードから出射した光は、ダイクロイックミラー等の光学素子を用いて合成され、合成した光は、照明光として集光レンズにより集光された後、内視鏡２２のＬＣＢ（Ｌｉｇｈｔ Ｃａｒｒｙｉｎｇ Ｂｕｎｄｌｅ）８０の入射端に入射される。発光ダイオード等の半導体発光素子は、高輝度ランプと比較して、低消費電力、発熱量が小さい等の特徴があるため、消費電力や発熱量を抑えつつ明るい画像を取得できるというメリットがある。なお、図４に示す例では、光源部６２は、内視鏡用プロセッサ２０に内蔵して設けられているが、内視鏡２２の先端部に設けられてもよい。この場合、照明光を導光するＬＣＢは不要である。

入射端よりＬＣＢ８０内に入射した照明光は、ＬＣＢ８０内を伝播して内視鏡２２の先端部内に配置されたＬＣＢ８０の射出端より射出され、配光レンズ８６を介して被写体に照射される。被写体からの反射光は、対物レンズ８８を介して固体撮影素子９０の受光面上で光学像を結ぶ。

固体撮影素子９０は、例えば、ＩＲ（Ｉｎｆｒａ Ｒｅｄ）カットフィルタ、ベイヤ配列カラーフィルタの各種フィルタが受光面に配置された単板式カラーＣＣＤ（Ｃｈａｒｇｅ−Ｃｏｕｐｌｅｄ Ｄｅｖｉｃｅ）イメージセンサであり、受光面上で結像した光学像に応じたＲ（Ｒｅｄ）、Ｇ（Ｇｒｅｅｎ）、Ｂ（Ｂｌｕｅ）の各原色信号を生成する。単板式カラーＣＣＤイメージセンサの代わりに、単板式カラーＣＭＯＳ（Ｃｏｍｐｌｅｍｅｎｔａｒｙ Ｍｅｔａｌ Ｏｘｉｄｅ Ｓｅｍｉｃｏｎｄｕｃｔｏｒ）イメージセンサを用いることもできる。

内視鏡２２の接続部内には、ドライバ信号処理回路８２が備えられている。ドライバ信号処理回路８２は、固体撮影素子９０より入力される原色信号に対して色補間、マトリックス演算等の所定の信号処理を施して画像信号を生成し、生成された画像信号を、システムコントローラ６６を介して内視鏡用プロセッサ２０の画像処理ユニット７２に出力する。また、ドライバ信号処理回路８２は、記憶部８４にアクセスして内視鏡２２の固有情報を読み出す。記憶部８４に記録される内視鏡２２の固有情報には、例えば固体撮影素子９０の画素数や感度、動作可能なフレームレート、型番等が含まれる。ドライバ信号処理回路８２は、記憶部８４より読み出された固有情報をシステムコントローラ６６に出力する。

システムコントローラ６６は、内視鏡２２の固有情報に基づいて各種演算を行い、制御信号を生成する。システムコントローラ６６は、生成された制御信号を用いて、内視鏡用プロセッサ２０に接続中の内視鏡２２に適した処理がされるように内視鏡用プロセッサ２０内の各回路の動作や動作のタイミングを制御、管理する。

タイミングコントローラ６４は、システムコントローラ６６によるタイミング制御に従って、ドライバ信号処理回路８２、画像処理ユニット７２、及び光源部６２にクロックパルスを供給する。ドライバ信号処理回路８２は、タイミングコントローラ６４から供給されるクロックパルスに従って、固体撮影素子９０を内視鏡用プロセッサ２０側で処理される映像のフレームレートに同期したタイミングで駆動制御する。

画像処理ユニット７２は、システムコントローラ６４による制御の下、ドライバ信号処理回路８２より入力した画像信号に基づいて内視鏡画像等をモニタ表示するためのビデオ信号を生成し、表示部７４に出力する。さらに、画像処理ユニット７２は、内視鏡画像を用いて、生体組織の病変を示す指標となる数値情報を画素毎に算出し、この算出結果に基づいて内視鏡画像データの各画素の色を算出結果の大小に応じた色に置換したカラーマップ画像を生成する。これにより、術者は、表示部７４の表示画面に表示された内視鏡画像あるいはカラーマップ画像を通じて、例えば体腔内の診断等を行うことができる。また、画像処理ユニット７２は、上述のヘモグロビン濃度及びヘモグロビンの酸素飽和度の分布画像データを画素毎に算出する。さらに、画像処理ユニット７２は、後述するように、暗号化処理及び復号化処理、あるいは電子署名添付する処理及び電子署名の検証のための処理を、必要に応じて行う。

内視鏡用プロセッサ２０の記憶部６８には、鍵データ７０が記憶されている。鍵データ７０は、秘密鍵及び公開鍵を備えた鍵ペアのデータである。内視鏡用プロセッサ２０のシステムコントロール６６は、内視鏡画像データと被験者情報データを含む内視鏡診断データの暗号化対象データである第１データを送信時に鍵ペア（例えば、公開鍵）を用いて暗号化し、受信時に暗号化した第１データを、鍵ペア（例えば、秘密鍵）を用いて復号化する。内視鏡画像データは、内視鏡用プロセッサ２０で作成される画像データ、上述のカラーマップ画像の画像データ、上述のヘモグロビン濃度の分布画像の画像データ、及び上述のヘモグロビンの酸素飽和度の分布画像の画像データ、を含む。

被験者情報データは、端末装置１８あるいは内視鏡用プロセッサ２０から入力された被験者の名前、年齢、性別、発症した病変に関する情報等の被験者に関する情報を含む。このように、内視鏡用プロセッサ２０は、内視鏡診断データの暗号化対象データである第１データを送信時に暗号化するので、鍵ペアを保持しないファイリングシステム１２では、暗号化された内視鏡診断データを復号化できず、閲覧、情報の漏えい、さらには、意図した改ざんを阻止することができる。

内視鏡診断データの電子署名対象データである第２データは、内視鏡用プロセッサ２０において、暗号化されることなく、鍵ペア（例えば、秘密鍵）で作成した電子署名が添付され、ファイリングシステム１２に保管するためにファイリングシステム１２に送信される。また、内視鏡用プロセッサ２０は、第２データの呼び出しに応じてファイリングシステム１２から受信した第２データに添付された電子署名を検証し、第２データの改ざんの有無を検証する。改ざん無しの情報であれば、これに応じて、表示部７４に画像表示あるいは画面表示するための処理を行う。電子署名の検証により、第２データが改ざんされたことがわかると、第２データの上記処理は行われず、例えば、表示部７４に内視鏡画像あるいはカラーマップ画像の表示は行われない。改ざんされたデータが表示部７４に表示されることは、画像表示あるいは画面表示に基づく術者の診断結果が誤診断となるおそれがあることから好ましくない。

内視鏡用プロセッサ２０にて生成される内視鏡画像データを含む内視鏡診断データを、ファイリングシステム１２の記憶部４０への新規登録及び変更する時は、内視鏡用プロセッサ２０の画像処理ユニット７２は、後述する暗号化ポリシーに従い、内視鏡画像データ及び被験者に関する被験者情報データに対して、暗号化する処理、あるいは電子署名を作成し内視鏡画像データあるいは被験者情報データに電子署名を添付する処理をするように構成されている。これにより、データの改ざんを阻止することができる。

通信インタフェース７８は、ネットワーク１６を介してファイリングシステム１２から暗号化ポリシーを受信し、またファイリングシステム１２と内視鏡診断データの送受信を行う。通信インタフェース７８は、鍵データの送受信を行わない。

（端末装置）
図５は、一実施形態の内視鏡診断データ管理システムに用いる端末装置の構成の一例を示すブロック図である。端末装置１８は通常のデスクトップコンピュータまたはパーソナルコンピュータで構成され、制御部９２、記憶部９４、及び通信インタフェース１００と、外部接続されている外部記憶装置１０２と、外部接続されている表示部１０４と、外部接続されている入力部１０６と、を備える。

制御部９２は、ＣＰＵ、ＲＡＭとＲＯＭを備え、端末装置１８の各種動作の制御を行う。記憶部９４は、データベース９６と、データ処理用のプログラム９８と、鍵データ７０と、を保管している。外部記憶装置１０２は、光ディスクやＵＳＢメモリ等であり、外部からのデータを取り入れたり、内部のデータを保存したりする。

表示部１０４は、画像を表示するディスプレイである。ディスプレイは、例えばタッチパネル方式のディスプレイであり、画面をタッチしながらの操作が可能であり入力部としての機能も併せ持つ。入力部１０６は、キーボードやマウス等であり、データの入力や各種操作を行う。通信インタフェース１００は、ネットワーク１６を介してファイリングシステム１２から暗号化ポリシーを受信し、また、ファイリングシステム１２と、内視鏡診断データの送受信を行う。通信インタフェース１００は、鍵データの送信を行わない。

端末装置１８は、内視鏡画像データと被験者情報データを含む内視鏡診断データの少なくとも１つを、暗号化対象データである第１データとして送信時暗号化し、受信時暗号化した第１データを復号化するための秘密鍵及び公開鍵を備えた鍵ペアを備える。端末装置１８は、内視鏡診断データの電子署対象データである第２データの呼び出しに応じてファイリングシステム１２から受信した第２データに添付された電子署名により検証される第２データの改ざん無しの情報に応じて表示部１０４への画像表示のための処理を行う。
第２データが改ざんされている場合、端末装置１８は、表示部１０４への画像表示あるいは画面表示のための処理は行わず、画像表示あるいは画面表示を行わない。

端末装置１８は、内視鏡診断データの少なくとも１つを、暗号化対象データである第１データとして送信時暗号化するので、鍵ペアを保持しないファイリングシステム１２では、暗号化された内視鏡診断データを復号化できず、閲覧、情報の漏えい、さらには、意図した改ざんを阻止することができる。

また、端末装置１８は、ファイリングシステム１２に内視鏡診断データを送信するとき、電子署名を添付して送信するので、鍵ペアを保持しないファイリングシステム１２において改ざんされても、改ざんされたデータが端末装置１８に呼び出されても、表示部１０４に表示されることはないので、画像表示あるいは画面表示に基づく術者の診断結果が誤診断となる可能性は小さい。

記憶部９４へ新規登録及び変更する時には、端末装置１８のＣＰＵ９２は、暗号化ポリシーに従い、内視鏡画像データ及び被験者情報データに対して、暗号化する処理、あるいは電子署名を作成し、内視鏡画像データあるいは被験者情報データに電子署名を添付する処理をするように構成されている。このように、暗号化対象データ及び電子署名対象データを暗号化ポリシーで定めるので、一貫性のある情報の管理を行うことができる。

なお、暗号化ポリシーは、内視鏡診断データのどの情報を暗号化、あるいはどの情報に電子署名を添付するかを予め定めた情報である。この暗号化ポリシーは、ファイリングシステム１２の記憶部４０に記憶するように構成され、ファイリングシステム１２は、端末装置１８及び内視鏡用プロセッサ２０のそれぞれの要求に応じて暗号化ポリシーを送信するように構成されている。端末装置１８及び内視鏡用プロセッサ２０は、暗号化ポリシーを記憶保持しない。このため、暗号化ポリシーが、端末装置１８及び内視鏡用プロセッサ２０の間で不一致になることはなく、一貫した情報の管理をすることができる。

（暗号化ポリシー）
図６は、一実施形態の内視鏡診断データ管理システムで用いる暗号化ポリシーの例を説明する図である。暗号化ポリシーの例１２０は、被験者情報データと内視鏡画像データと病変解析データとを項目として定めている。被験者情報データは、被験者に関する複数種類の氏名や生年月日を含む属性情報を含む。

暗号化ポリシーの例１２０によれば、暗号化ポリシーは、被験者に関する複数種類の属性情報、内視鏡画像データ、病変解析データ毎に、平文対象データ、暗号化対象データ、電子署名添付対象データのいずれか１つに割り振っている。病変解析データは、病変解析装置２４で作成された解析結果のデータであり、例えば、ヘモグロビン濃度の分布画像データあるいはヘモグロビンの酸素飽和度の分布画像データ、あるいは、病変の指標となる数値を用いて作成されたカラーマップ画像の画像データであってもよい。

被験者に関する複数種類の属性情報は、図６に示す例では、被験者の識別番号、被験者の氏名、被験者の性別、被験者の生年月日を含む。さらに、属性情報は、被験者の年齢を、複数の年齢範囲で区切った複数の年齢層の１つに振り分けた年齢層情報を含んでいる。

内視鏡診断データは、被験者情報データと内視鏡画像データに加え、さらに被験者の病変の種類、体腔内の病変部の位置情報、及び、病変の進行の程度に関する情報の少なくとも１つを含んでいてもよい。病変部の種類、病変部の位置情報及び病変部の進行の程度に関する情報は、ファイリングシステム１２に保持される内視鏡診断データとして含むことは、後日、同じ被験者を診断するときの病変の変化を把握することができる点で、また、病変部解析装置２４において、上述の予測モデルの予測精度向上のためのデータとして、例えば、機械学習により予測モデルの予測向上のための教師データとして利用することができる点で、好ましい。

このような暗号化ポリシーにおいて、内視鏡画像データと被験者情報データを含む内視鏡診断データの少なくとも１つは、暗号化対象データに設定されている。さらに、一実施形態によれば、暗号化対象データとなる内視鏡診断データ以外の内視鏡診断データの少なくとも１つは、電子署名添付対象データに設定されていることが好ましい。

暗号化対象データである第１データは、内視鏡診断データの他に、被験者の病変の種類、体腔内の病変部の位置情報、及び病変の進行の程度に関する情報の少なくとも１つを含んでいることが好ましい。これにより、鍵ペアを保持しないファイリングシステム１２において、悪意のある者から保護したい情報が漏洩されることはなく、意図的な改ざんもできない。特に、暗号化対象データである第１データは、被験者の氏名、被験者の性別、及び被験者の生年月日の情報を含んでいるため、被験者を特定できず、個人情報保護の点から好ましい。

電子署名対象データである第２データは、内視鏡診断データの他に、被験者の病変の種類、体腔内の病変部の位置情報、及び病変の進行の程度に関する情報の少なくとも１つを含んでいることが好ましい。第２データは、暗号化することなく、秘密鍵を利用して作成した電子署名が第２データに添付される。内視鏡画像データ、被験者情報データ、被験者の病変の種類、体腔内の病変部の位置情報、及び病変の進行の程度に関する情報の少なくとも１つを電子署名対象データとすることで、端末装置１８、内視鏡用プロセッサ２０、及び病変解析装置２４において処理するデータが改ざんされていないデータであることが保証される。このため、誤診断等を防止できる。

暗号化ポリシーの例１２０において、平文対象データは、被験者識別番号を含む。暗号化対象データである第１データは、被験者に関する複数種類の属性情報を含み、被験者の識別番号、被験者の氏名、被験者の性別、被験者の生年月日、被験者の年齢層を含む。電子署名対象データである第２データは、内視鏡画像データと病変解析データを含む。

さらに、暗号化ポリシーは、上記内視鏡画像データ及び内視鏡診断データのそれぞれについて、端末装置１８、内視鏡用プロセッサ２０、及び病変解析装置２４のいずれでも利用できるか、あるいはいずれかの装置において利用が制限されるかに関する利用可否の情報を含んでいる。このため、フィリングシステム１２のデータの閲覧や利用に制限を加えてデータ管理をすることができる点で、好ましい。

図７は、一実施形態の内視鏡診断データ管理システムで用いる暗号化ポリシーに従い処理する前の被験者情報データの例を示す図である。暗号化ポリシーに従い処理する前の被験者情報データの例１２２において、被験者の属性情報は、被験者の被験者識別番号、被験者の氏名、被験者の性別、被験者の生年月日及び年齢層である。識別番号は「７９３７１６７８７」、氏名は「ＡＫＩＳＨＩＭＡ ＴＡＲＯ」、性別は「Ｍａｌｅ」、生年月日は「１９８０年１月１日」で、年齢は「３９」歳である。年齢層は「３０−４０」代である。暗号化ポリシーとして、平文対象は識別番号と年齢層、暗号化対象は被験者の氏名、性別、生年月日であり、電子署名対象は年齢層である。

図８は、一実施形態の内視鏡診断データ管理システムで用いる暗号化ポリシーに従い処理した後の被験者情報データの例を示す図である。暗号化ポリシーに従い処理した後の被験者情報データの例１２４において、被験者識別番号と年齢層は平文のままであり、氏名は「Ｊ＄＄ＪＨＨ（‘＃８２Ｇ ＆ｈＢＤＤ」、性別は「ＧＶ”＃％％＃４５４Ｂ」、生年月日は「ＵＪＨＪＥ（‘２３Ｄ３ｄ」、年齢は「Ｆ＃＄２７」と暗号化されている。年齢層には秘密鍵を利用して作成された電子署名（＜＜ｓｉｇｎａｔｕｒｅ＞＞）が添付されている。

氏名、性別、生年月日、及び年齢の情報を暗号化することにより、被験者を特定することは難しい。一方、暗号化されず、電子署名の添付された年齢層の情報は、ファイリングシステム１２から端末装置１８、内視鏡用プロセッサ２０、及び病変解析装置２４が呼び出したとき、端末装置１８、内視鏡用プロセッサ２０、及び病変解析装置２４において、改ざんの有無が検証され、改ざんされていない場合は、そのまま表示される。改ざんされている場合、この情報に替えて、改ざんされた旨の情報が表示され、表示部７４，１０６において情報が画像表示あるいは画面表示されない。年齢層の情報は、被験者に関する情報であるが、被験者を特定することが難しいことから、暗号化対象データとされず、電子署名対象データとされる。

次に、被験者情報を暗号化ポリシーに基づいて暗号化あるいは電子署名をする場合の動作フローを説明する。

図９は、一実施形態の内視鏡診断データ管理システムで用いる端末装置１８を操作して新規被験者を登録し、属性情報を暗号化する時の動作フローの例を示す図である。端末装置操作時の動作フロー１５０において、ステップＳ１では、操作者（あるいは術者）が端末装置１８を起動した後、ファイリングシステム１２から暗号化ポリシーを受信するための操作を行う。ステップＳ２では、端末装置１８がネットワーク１６を経由してファイリングシステム１２から暗号化ポリシーを受信する。ステップＳ３では、操作者が新規被験者の属性情報を、端末装置１８の入力部１０６から入力し、登録操作をする。

ステップＳ４では、端末装置１８が受信した暗号ポリシーに従い、端末装置１８は、新規被験者の属性情報のうち暗号化対象データを暗号化する。ステップＳ５では、端末装置１８が受信した暗号ポリシーに従い、端末装置１８は、新規被験者の属性情報の電子署名データに電子署名を添付する。ステップＳ６では、端末装置１８により、平文データ、暗号化対象データ、署名対象データはファイリングシステム１２へ送信される。ステップＳ６では、ファイリングシステム１２で受信されたデータが、ファイリングシステム１２の被験者データベース４４に記憶される。これにより、新規被験者の登録が完了する。

図１０は、一実施形態の内視鏡診断データ管理システムで用いる内視鏡用プロセッサ２０を操作して、診察対象の被験者（患者）の内視鏡画像をファイリングシステムへ記憶する場合の動作フローの一例を示す図である。内視鏡用プロセッサ操作時の動作フロー１５２において、まず、ステップＳ１１では、操作者が内視鏡用プロセッサ２０を起動した後、ファイリングシステム１２から暗号化ポリシーを受信するための操作を行う。ステップＳ１２では、内視鏡用プロセッサ２０がネットワーク１６を経由してファイリングシステム１２から暗号化ホリシーを受信する。

ステップＳ１３では、操作者が対象とする被験者の被験者識別番号を入力し、ネットワーク１６を経由してファイリングシステム１２へ送信する。ファイリングシステム１２は、受信した被験者識別番号に対応して保管されている被験者情報データを、ネットワーク１６を経由して内視鏡用プロセッサ２０に送信し、内視鏡用プロセッサ２０が被験者情報データを受信する。

ステップＳ１４では、内視鏡用プロセッサ２０が、被験者情報データの暗号化ポリシーに従い暗号化されたデータを、公開鍵あるいは秘密鍵を使って復号化処理する。そして、例えば公開鍵を利用して電子署名対象データの電子署名を正しく復号できるかを確認し、正しく復号できた場合はデータの改ざんがないことを検証する。ステップＳ１５では、平文データ、復号化したデータ、及び、データの改ざんがないことを確認した署名対象データを、内視鏡用プロセッサ２０の操作パネルや、ＯＳＤ（Ｏｎ−Ｓｃｒｅｅｎ Ｄｉｓｐｌａｙ）機能の付いた表示部７４の表示画面に反映する。ＯＳＤに対応した表示部７４では、専用ボタン押すなどの操作で画面上に設定パネルや設定画面を呼び出すことができ、画面の案内に従って選択ボタンや決定ボタンなどが操作される。

ステップＳ１６では、術者が内視鏡２２を使って被験者の内視鏡画像を撮影する。撮影された内視鏡画像は、内視鏡用プロセッサ２０の記憶部６８に記憶される。ステップＳ１７では、画像処理ユニット７２により、記憶された内視鏡画像は暗号化ポリシーに従い、例えば公開鍵によって暗号化する暗号化処理が行われ、電子署名対象データには、操作者により例えば秘密鍵を使って電子署名が行われる。ステップＳ１８では、暗号化または署名が行われたデータを含む内視鏡診断データは、操作者の操作により、内視鏡用プロセッサ２０から、ネットワーク１６を介してファイリングシステム１２へ送信される。ステップＳ１９では、受信した内視鏡画像データは、ファイリングシステム１２の内視鏡画像データベース４２に記憶、保管される。

なお、上述の動作フロー１５２は新規被験者を登録して、内視鏡用プロセッサ２０で得られた内視鏡画像データを内視鏡画像データベース４２において記憶、保管する例であるが、すでに内視鏡診断を過去に行っている既存の被験者の場合、内視鏡画像データあるいは被験者情報データの変更が行われる。この場合、内視鏡用プロセッサ２０は、ファイリングシステム１２から、被験者識別番号に対応して保管されている被験者情報データの他に、内視鏡画像データベース４２において記憶、保管されている過去の内視鏡画像データを呼び出して、過去の内視鏡画像データの画像を、今回診断のために取得する内視鏡画像データの画像との比較対象画像とすることができる。また、今回の診断で取得した内視鏡画像データあるいは変更された被験者情報データが、以前の内視鏡画像データあるいは変更された被験者情報データに上書きあるいは、追加情報として付加されて、さらに、暗号化処理されてあるいは電子署名が添付されて、ファイリングシステム１２に保管される。

図１１は、一実施形態の内視鏡診断データ管理システムで用いる端末装置を操作して内視鏡診断データを復号化する場合の動作フローの一例を示す図である。なお、内視鏡用プロセッサ２０及び病変解析装置２４についても、同じ動作フローで行われる。

復号化動作フロー１５６において、ステップＳ４１では、操作者が端末装置１８の入力部より被験者識別番号を入力し、ファイリングシステム１２へ送信する。ステップＳ４２では、端末装置１８は、端末装置１８の要求に応じてファイリングシステム１２から送られた暗号化ポリシーを受信する。ステップＳ４３では、端末装置１８は、端末装置１８により記憶部９４に記憶してある秘密鍵を利用して内視鏡診断データの暗号化対象データに対して復号化操作を行い、ステップＳ４４では、暗号化対象データを秘密鍵により復号化する。

ステップＳ４５では、端末装置１８は、内視鏡診断データの電子署名添付データについて、公開鍵を利用して電子署名を用いて改ざんの有無を検証する。検証では、例えば電子署名に含まれ、公開鍵を利用して取得されるハッシュ値と、電子署名対象データから得られるハッシュ値とが一致する否かが判定される。検証により、電子署名添付データが改ざんされていない場合、復号化処理のフローは終了し、その後の内視鏡診断データの画像表示や画面表示のための処理が行われる。電子署名添付データが改ざんされている場合、ステップＳ４６で、端末装置１８は表示部７４の表示画面にデータ改ざん警告を表示して終了する。術者の診断結果が誤診断となるおそれがあることから、内視鏡画像あるいはカラーマップ画像等の画像の表示さらには、被験者に関する情報の画面表示は行われない。

なお、図１１に示す復号化動作フロー１５６では、暗号化対象データについて復号化処理をした後、電子署名対象データについて改ざんの有無の検証をするが、電子署名対象データについて改ざんの有無の検証した後、暗号化対象データについて復号化処理をしてもよい。

以上、本発明の内視鏡診断データ管理システムについて詳細に説明したが、本発明の内視鏡診断データ管理システムは上記実施形態に限定されず、本発明の主旨を逸脱しない範囲において、種々の改良や変更をしてもよいのはもちろんである。

１０ 内視鏡診断データ管理システム
１２ ファイリングシステム
１４ ファイヤーウォール
１６ ネットワーク
１８ 端末装置
２０ 内視鏡用プロセッサ
２４ 病変解析装置
３２ ＣＰＵ
３４ ＲＡＭ
３６ ＲＯＭ
３８ 通信インタフェース
４０ 記憶部
４２ 内視鏡画像データベース
４４ 被験者データベース
４６ 暗号化ポリシー
４８ プログラム
５２ 画像制御部
５４ 予測部
５６ データベース
５８ 人工知能部
６０ 通信インタフェース
６２ 光源部
６４ タイミングコントローラ
６６ システムコントローラ
６８ 記憶部
７０ 鍵データ
７２ 画像処理ユニット
７４ 表示部
７６ 操作パネル
７８ 通信インタフェース
８０ ＬＣＢ
８２ ドライバ信号処理回路
８４ 記憶部
８６ 配光レンズ
８８ 対物レンズ
９０ 固体撮影素子
９２ 制御部
９４ 記憶部
９６ データベース
９８ プログラム
１００ 通信インタフェース
１０２ 外部記憶装置
１０４ 表示部
１０６ 入力部
１２０ 暗号化ポリシーの例
１５０ 端末装置操作時の動作フロー
１５２ 内視鏡用プロセッサ操作時の動作フロー
１５４ 暗号化動作フロー
１５６ 復号化動作フロー

Claims (10)

1. 被験者の内視鏡画像データ及び前記被験者に関する被験者情報データを含む内視鏡診断データを保管するように構成された記憶部を備えるファイリングシステムと、
   前記ファイリングシステムと通信可能に接続され、前記内視鏡画像データの画像表示、前記被験者情報データの画面表示、及び前記被験者情報データの入力の少なくとも１つの処理を行うように構成された端末装置と、
   前記ファイリングシステムと通信可能に接続され、内視鏡で撮影することにより前記被験者の前記内視鏡画像データを生成し、前記被験者の前記内視鏡画像データを用いて内視鏡画像を画像表示する処理を行うように構成された内視鏡用プロセッサと、を備え、
   前記端末装置及び前記内視鏡用プロセッサのそれぞれは、前記内視鏡画像データと前記被験者情報データを含む前記内視鏡診断データの少なくとも１つは、暗号化対象データである第１データとして送信時暗号化し、受信時暗号化した前記第１データを復号化するための秘密鍵及び公開鍵を備えた鍵ペアを備え、
   前記ファイリングシステムは、前記鍵ペアを備えず、暗号化された前記第１データを保管する、ことを特徴とする内視鏡診断データ管理システム。
2. 前記内視鏡診断データの少なくとも１つは、電子署名対象データである第２データとして、暗号化することなく前記秘密鍵で作成した電子署名が添付されたデータであり、
   前記端末装置及び前記内視鏡用プロセッサのそれぞれは、前記第２データを、前記ファイリングシステムに保管するために前記ファイリングシステムへ送信するように構成され、
   前記端末装置及び前記内視鏡用プロセッサのそれぞれは、前記第２データの呼び出しに応じて前記ファイリングシステムから受信した前記第２データに添付された前記電子署名により検証される前記第２データの改ざん無しの情報に応じて前記処理を行う、請求項１に記載の内視鏡診断データ管理システム。
3. 前記被験者情報データは、前記被験者の年齢を、複数の年齢範囲で区切った複数の年齢層の１つに振り分けた年齢層情報を含み、前記年齢層情報は前記電子署名対象データである請求項２に記載の内視鏡診断データ管理システム。
4. 前記第１データ及び前記第２データは、どの情報を暗号化、あるいはどの情報に電子署名を添付するかを予め定めた暗号化ポリシーにしたがって前記内視鏡診断データ内の情報が暗号化された、あるいは前記電子署名が添付されたデータであり、
   前記ファイリングシステムの前記記憶部は、前記暗号化ポリシーを記憶するように構成され、
   前記ファイリングシステムは、前記端末装置及び前記内視鏡用プロセッサのそれぞれの要求に応じて前記暗号化ポリシーを送信するように構成されている、請求項２または３に記載の内視鏡診断データ管理システム。
5. 前記被験者情報データは、前記被験者に関する複数種類の属性情報を含み、
   前記暗号化ポリシーは、前記属性情報毎に、平文対象データ、暗号化対象データ、電子署名添付対象データに割り振った情報を含む、請求項４に記載の内視鏡診断データ管理システム。
6. 前記内視鏡画像データ及び前記被験者情報データの前記記憶部への新規登録及び変更時、
   前記端末装置及び前記前記内視鏡用プロセッサのそれぞれは、前記暗号化ポリシーに従い、前記内視鏡画像データ及び前記被験者情報データに対して、暗号化する処理、あるいは前記電子署名を作成し前記内視鏡画像データあるいは前記被験者情報データに前記電子署名を添付する処理をするように構成されている、請求項４または５に記載の内視鏡診断データ管理システム。
7. 前記被験者情報データは、前記被験者の識別番号、前記被験者の氏名、前記被験者の性別、及び前記被験者の生年月日の情報を含み、
   前記第１データは、前記被験者の氏名、前記被験者の性別、及び前記被験者の生年月日の情報を含み、
   前記被験者の被験者識別番号は平文対象データである、請求項１〜６のいずれか１項に記載の内視鏡診断データ管理システム。
8. 前記内視鏡診断データ管理システムは、さらに、病変解析装置を備え、
   前記病変解析装置は、前記内視鏡で撮影された画像から前記被験者の病変を推定予測するように構成された予測部を備え、
   前記ファイリングシステムに保管する前記内視鏡画像データを、病変の特徴を抽出するための統計処理対象データとして統計処理することにより構築された、あるいは、人工知能による機械学習のための教師データとして機械学習することにより構築された、前記病変の予測推定をする予測モデルを備える、請求項１〜７のいずれか１項に記載の内視鏡診断データ管理システム。
9. 前記内視鏡診断データは、前記被験者の病変の種類、体腔内の病変部の位置情報、及び、前記病変の進行の程度に関する情報の少なくとも１つを含む、請求項１〜８のいずれか１項に記載の内視鏡診断データ管理システム。
10. 前記暗号化ポリシーは、さらに、前記端末装置あるいは前記内視鏡用プロセッサにおいて前記内視鏡画像データ及び前記内視鏡診断データを利用できるか否かに関する利用可否情報を備える、請求項４に記載の内視鏡診断データ管理システム。

Images