JP2023037972A - 医用データ管理システム - Google Patents

Abstract

【課題】 匿名医用データの解析結果と、匿名化前の医用データとの対応付けを容易にすること。【解決手段】 実施形態に係る医用データ管理システムは、管理サーバ及び解析サーバを備える。前記管理サーバは、個人情報を含む医用データを匿名化して、前記個人情報を含まない匿名医用データを生成する。前記管理サーバは、前記個人情報内の個人ＩＤに対応付けた匿名ＩＤを前記匿名医用データに付与し、当該匿名ＩＤを付与した匿名医用データを前記解析サーバに送信する。前記管理サーバは、前記解析サーバから返信された解析結果を記憶部に記憶させる。前記解析サーバは、前記送信された匿名医用データを解析して解析結果を得る。前記解析サーバは、前記送信された匿名医用データに付与された匿名ＩＤを前記解析結果に付与し、当該匿名ＩＤを付与した解析結果を前記管理サーバに返信する。【選択図】図５

Description

本発明の実施形態は、医用データ管理システムに関する。

近年、米国にてＰＨＲ（Personal Health Record）の取り組みが盛んになっている。ＰＨＲは、個人の医用データを病院ではなく各個人が所有・管理する仕組みである。ＰＨＲによれば、クラウド等の環境にあるＰＨＲサーバにおいて、各個人の医用データを保管してもよい。

一方、診療支援のために、ＣＴ（computed tomography）画像などの医用データを解析サーバに送信し、解析サーバから解析結果を返信する仕組みがある。この仕組みを応用することで、医用データを解析するサービスの需要が増加する可能性がある。例えば、病院の診療支援に加え、各個人がＰＨＲサーバ内の医用データの解析を当該サービスに依頼する場合が考えられる。また、この場合、解析を依頼する医用データについては、予め匿名化する必要がある。

従って、ＰＨＲサーバは、予め医用データから個人情報を削除して匿名化し、得られた匿名医用データを送信する。解析サーバは、匿名医用データを解析し、解析結果をＰＨＲサーバに返信する。

しかしながら、ＰＨＲサーバでは、匿名医用データの解析結果と、匿名化前の医用データとの対応付けが困難となることが懸念される。

特開２０１８－３６８３６号公報

本明細書及び図面に開示の実施形態が解決しようとする課題の一つは、匿名医用データの解析結果と、匿名化前の医用データとの対応付けを容易にすることである。

ただし、本明細書及び図面に開示の実施形態により解決しようとする課題は上記課題に限られない。後述する実施形態に示す各構成による各効果に対応する課題を他の課題として位置づけることもできる。

実施形態に係る医用データ管理システムは、管理サーバ及び解析サーバを備えている。前記管理サーバは、匿名化部と、第１付与部と、制御部とを備えている。前記解析サーバは、解析部と、第２付与部とを備えている。

前記匿名化部は、個人情報を含む医用データを匿名化して、前記個人情報を含まない匿名医用データを生成する。前記第１付与部は、前記個人情報内の個人ＩＤに対応付けた匿名ＩＤを前記匿名医用データに付与し、当該匿名ＩＤを付与した匿名医用データを前記解析サーバに送信する。前記制御部は、前記解析サーバから返信された解析結果を記憶部に記憶させる。

前記解析部は、前記送信された匿名医用データを解析して解析結果を得る。前記第２付与部は、前記送信された匿名医用データに付与された匿名ＩＤを前記解析結果に付与し、当該匿名ＩＤを付与した解析結果を前記管理サーバに返信する。

図１は、第１の実施形態に係る医用データ管理システムの構成の一例を示すブロック図である。 図２は、第１の実施形態におけるＰＨＲサーバの構成の一例を示すブロック図である。 図３は、第１の実施形態におけるＰＨＲサーバのメモリを説明するための模式図である。 図４は、第１の実施形態における解析サーバの構成の一例を示すブロック図である。 図５は、第１の実施形態における動作の一例を説明するためのシーケンス図である。 図６は、第１の実施形態における動作の一例を説明するための模式図である。 図７は、第１の実施形態の変形例におけるＰＨＲサーバのメモリを説明するための模式図である。 図８は、第２の実施形態における動作の一例を説明するためのシーケンス図である。

以下、各実施形態に係る医用データ管理システムについて図面を参照しながら説明する。以下の説明では、管理サーバがＰＨＲサーバであり、ネットワークがインターネットである場合を例に挙げて述べている。但し、医用データ管理システムは、これらの例に限定されるものではない。例えば、管理サーバは、個人が医用データを管理するためのＰＨＲサーバに代えて、複数の医療機関の間で医用データを共有するためのＥＨＲ（electronic health record）サーバとしてもよい。また例えば、ネットワークは、インターネットに代えて、ＷＡＮ（wide area network）としてもよい。

＜第１の実施形態＞
図１は、第１の実施形態に係る医用データ管理システムの構成の一例を示すブロック図である。この医用データ管理システムは、インターネット等のネットワークＮＷを介して互いに接続されたＰＨＲサーバ１０及び解析サーバ２０を備えている。

ＰＨＲサーバ１０は、図２に示すように、メモリ１１、通信インタフェース１３及び処理回路１５を備えている。

メモリ１１は、ＲＯＭ（Read Only Memory）、ＲＡＭ（Random Access Memory）、ＨＤＤ（Hardware Disk Drive）及び画像メモリなど電気的情報を記録するメモリ本体と、それらメモリ本体に付随するメモリコントローラやメモリインタフェースなどの周辺回路から構成されている。メモリ１１は、例えば、ＰＨＲサーバ１０のプログラム、といった各種プログラムと、医用データ、匿名医用データ、解析結果、処理前のデータ、処理途中のデータ、処理後のデータ、予め保存するデータ、対応表などの各種データとを記憶する。医用データとしては、例えば、ＤＩＣＯＭの規格に基づく画像データや、ＨＬ７の規格に基づくデータ等が適宜、使用可能となっている。ここで、ＤＩＣＯＭは、「Digital Imaging and Communication in Medicine」の略語である。ＨＬ７は、「Health Level Seven」の略語である。予め保存するデータとしては、例えば、個人毎の公開鍵証明書を含んでもよい。対応表としては、例えば図３に示す如き、ＩＤ対応表１１ａ及びデータ対応表１１ｂが適宜、使用可能となっている。

ＩＤ対応表１１ａは、互いに対応付けた個人ＩＤ及び匿名ＩＤなどが記述される。なお、ＩＤは識別情報の略語である。

個人ＩＤは、患者番号やマイナンバーのように、個人を一意に識別可能な符号であり、個人情報に含まれる。個人情報は、例えば、個人ＩＤ（患者番号、マイナンバー）、名前、生年月日、住所、年齢、性別などのように、個人ＩＤと、個人を一意に識別可能な情報又はその組合せとが適宜、使用可能となっている。

匿名ＩＤは、送信前の匿名医用データに付与された乱数や疑似乱数の如き、匿名医用データを識別可能な符号であり、個人情報に含まれない。匿名ＩＤとしては、例えば、数字又は英数字からなる番号、ランダムな文字列、暗号化キー（個人の公開鍵）、ハッシュ値、httpのセッションＩＤ、などが適宜、使用可能となっている。httpのセッションＩＤとしては、クッキー（Cookie）に含めてもよく、hiddenフィールドに含めてもよい。

データ対応表１１ｂは、互いに対応付けた医用データのファイル名、匿名医用データのファイル名、匿名ＩＤ、解析結果のファイル名などが記述される。データ対応表１１ｂ及びメモリ１１は、記憶部の一例である。

医用データのファイル名は、個人情報を含む医用データのファイルの名前を前半に有し、当該ファイルの種類を示す拡張子を後半に有している。

匿名医用データのファイル名は、医用データを匿名化した匿名医用データのファイルの名前を前半に有し、当該ファイルの種類を示す拡張子を後半に有している。なお、匿名医用データは、個人情報を削除して匿名化された医用データであり、個人情報を含まない。匿名医用データのファイル名の前半（ファイルの名前）は、匿名化前の医用データのファイル名の前半（ファイルの名前）とは異なる名前であり、互いに無関係に見える名前であることが好ましい。匿名医用データのファイル名の拡張子は、匿名化前の医用データのファイル名の拡張子と同一である。

匿名ＩＤは、前述した通りであり、ＩＤ対応表１１ａ内の匿名ＩＤに一致する。

解析結果のファイル名は、匿名医用データを解析して得られた解析結果のファイルの名前を前半に有し、当該ファイルの種類を示す拡張子を後半に有している。解析結果のファイル名は、匿名医用データのファイル名とは異なる名称である。ここで、解析結果のファイル名の前半（ファイルの名前）は、匿名医用データのファイル名の前半（ファイルの名前）とは異なる名前となっている。解析結果のファイル名の拡張子は、匿名医用データのファイル名の拡張子とは異なる。すなわち、解析結果のファイル名は、前半のファイルの名前と、後半の拡張子との両方において、匿名医用データのファイル名とは異なる名称である。

図２に戻り、通信インタフェース１３は、ＰＨＲサーバ１０をインターネット等のネットワークＮＷに接続して、解析サーバ２０や個人端末などといった他の装置と通信するための回路である。以下の説明では、ＰＨＲサーバ１０と他の装置との間の通信に通信インタフェース１３が介在する旨の記載を省略する。

処理回路１５は、図示しない個人端末から受けた指示やメモリ１１内のプログラムに従ってＰＨＲサーバ１０を制御する。例えば、処理回路１５は、個人端末から受けた指示をトリガとして、メモリ１１から読み出したプログラムに従って、ＰＨＲサーバ１０の各機能を実現させるプロセッサである。各機能としては、例えば、匿名化機能１５ａ、付与機能１５ｂ及び制御機能１５ｃなどがある。なお、各機能は、適宜、複数のプロセッサに分散させて実現してもよい。あるいは、各機能又は各機能の一部を、適宜、他の装置に実行させてもよい。

次に、各機能としての匿名化機能１５ａ、付与機能１５ｂ及び制御機能１５ｃについて順に述べる。但し、以下に説明する各機能の分担は、便宜的なものであり、適宜、変更可能である。ある機能が分担する処理を他の機能が分担する場合でも、処理回路１５がその処理を実行することに変わりはないからである。なお、各機能の分担が変更可能なことは、以下の各実施形態及び変形例でも同様である。

匿名化機能１５ａは、個人情報を含む医用データを匿名化して、個人情報を含まない匿名医用データを生成する。匿名化機能１５ａ及び処理回路１５は、匿名化部の一例である。

付与機能１５ｂは、個人情報内の個人ＩＤに対応付けた匿名ＩＤを匿名医用データに付与し、当該匿名ＩＤを付与した匿名医用データを解析サーバ２０に送信する。ここで、付与機能１５ｂは、匿名ＩＤを、例えば、患者を特定するためのユーザＩＤとして匿名医用データのヘッダに付与してもよい。また例えば、付与機能１５ｂは、匿名ＩＤを、ＤＩＣＯＭプロトコルの医用画像データとしての、付帯情報及び画像データを含む匿名医用データのうちの付帯情報に付与してもよい。具体的には、付与機能１５ｂは、匿名ＩＤを、付帯情報のうちの任意のＤＩＣＯＭタグで識別されるデータエレメントに格納してもよい。この場合、後述する解析結果においても、同一の匿名ＩＤが、同一のＤＩＣＯＭタグで識別されるデータエレメントに格納される。例えば、匿名ＩＤは、ＤＩＣＯＭにおけるオブジェクト情報グループ内の検査記述のタグ（０００８，１０１０）で識別されるデータエレメントに格納してもよい。なお、これに限らず、任意のＤＩＣＯＭタグとしては、例えば、患者情報グループ内のタグとしてもよく、オブジェクト情報グループ内のタグとしてもよく、収集情報グループ内のタグとしてもよい。また、付与機能１５ｂは、匿名ＩＤを発行してもよく、発行しなくてもよい。匿名ＩＤを発行する場合、付与機能１５ｂは、例えば、個人情報のハッシュ値を計算し、当該ハッシュ値を匿名ＩＤとしてもよい。匿名ＩＤを発行しない場合、付与機能１５ｂは、例えば、ｈｔｔｐのセッションＩＤなどを匿名ＩＤとして使用してもよい。セッションＩＤは、クッキー（Cookie）に含めてもよく、hiddenフィールドに含めてもよい。いずれにしても、新たな匿名ＩＤを用いる場合、付与機能１５ｂは、個人ＩＤ及び匿名ＩＤを互いに関連付けてＩＤ対応表１１ａに保存する。あるいは、付与機能１５ｂは、ＩＤ対応表１１ａ内の過去の匿名ＩＤを用いてもよい。付与機能１５ｂ及び処理回路１５は、第１付与部の一例である。

制御機能１５ｃは、解析サーバ２０から返信された解析結果をメモリ１１に記憶させる。なお、制御機能１５ｃは、医用データと、匿名医用データと、匿名ＩＤと、解析結果とを互いに対応付けてメモリ１１内のデータ対応表１１ｂに記憶させてもよい。制御機能１５ｃ及び処理回路１５は、制御部の一例である。

一方、解析サーバ２０は、図４に示すように、メモリ２１、通信インタフェース２３及び処理回路２５を備えている。

メモリ２１は、ＲＯＭ（Read Only Memory）、ＲＡＭ（Random Access Memory）、ＨＤＤ（Hardware Disk Drive）及び画像メモリなど電気的情報を記録するメモリ本体と、それらメモリ本体に付随するメモリコントローラやメモリインタフェースなどの周辺回路から構成されている。メモリ２１は、例えば、解析サーバ２０のプログラム、といった各種プログラムと、処理前のデータ、処理途中のデータ、処理後のデータ、予め保存するデータなどの各種データとを記憶する。また、メモリ２１は、医用データを解析して解析結果を出力する学習済みモデルを予め記憶してもよい。当該学習済みモデルは、例えば、学習用データに基づいて機械学習モデルに機械学習を行わせることにより生成された、学習済みの機械学習モデルである。

通信インタフェース２３は、解析サーバ２０をインターネット等のネットワークＮＷに接続して、ＰＨＲサーバ１０などといった他の装置と通信するための回路である。以下の説明では、解析サーバ２０と他の装置との間の通信に通信インタフェース２３が介在する旨の記載を省略する。

処理回路２５は、メモリ２１内のプログラムを読み出し、当該プログラムに従って解析サーバ２０を制御する。例えば、処理回路２５は、メモリ２１から読み出したプログラムに従って、解析サーバ２０の各機能を実現させるプロセッサである。各機能としては、例えば、解析機能２５ａ及び付与機能２５ｂなどがある。なお、各機能は、適宜、複数のプロセッサに分散させて実現してもよい。あるいは、各機能又は各機能の一部を、適宜、他の装置に実行させてもよい。

次に、各機能としての解析機能２５ａ及び付与機能２５ｂについて順に述べる。但し、以下に説明する各機能の分担は、便宜的なものであり、適宜、変更可能である。ある機能が分担する処理を他の機能が分担する場合でも、処理回路２５がその処理を実行することに変わりはないからである。なお、各機能の分担が変更可能なことは、以下の各実施形態及び変形例でも同様である。

解析機能２５ａは、ＰＨＲサーバ１０から送信された匿名医用データを解析して解析結果を得る。解析機能２５ａとしては、例えば、医用データの入力に対して当該医用データの解析結果を出力するように深層学習が施された学習済みモデルを用いてもよい。この場合、処理回路２５は、メモリ２１から学習済みモデルを読み出して、当該学習済みモデルを動作させる構成により解析機能２５ａを実現してもよい。あるいは、処理回路２５は、ＡＳＩＣやＦＰＧＡのように学習済みモデルがプロセッサの回路に組み込まれた構成により解析機能２５ａを実現してもよい。解析結果としては、例えば、病態に係わる情報、評価または診断を行うための情報が適宜、使用可能となっている。解析機能２５ａ及び処理回路２５は、解析部の一例である。

付与機能２５ｂは、ＰＨＲサーバ１０から送信された匿名医用データに付与された匿名ＩＤを解析結果に付与し、当該匿名ＩＤを付与した解析結果をＰＨＲサーバ１０に返信する。付与機能２５ｂ及び処理回路２５は、第２付与部の一例である。

次に、以上のように構成された医用データ管理システムの動作について図５のシーケンス図及び図６の模式図を用いて説明する。

始めに、ＰＨＲサーバ１０は、各個人の医用データを保存しているとする。ここで、ある個人が、自宅のパーソナルコンピュータ又はスマートフォンなどの個人端末（図示せず）から、医用データの解析指示をＰＨＲサーバ１０に送信したとする。これにより、ステップＳＴ１が開始される。

ステップＳＴ１において、ＰＨＲサーバ１０の処理回路１５は、図示しない個人端末から受けた解析要求に基づいて、メモリ１１内の医用データを読み出す。なお、医用データには、個人情報が含まれている。

ステップＳＴ１の後、ステップＳＴ２において、処理回路１５は、個人情報を含む医用データを匿名化して、個人情報を含まない匿名医用データを生成する。例えば、匿名医用データは、医用データから個人情報を削除して生成される。

ステップＳＴ２の後、ステップＳＴ３において、処理回路１５は、個人情報内の個人ＩＤに基づいてＩＤ対応表１１ａを検索し、ＩＤ対応表１１ａ内で個人ＩＤに対応付けた匿名ＩＤを匿名医用データに付与する。なお、検索の結果、ヒットしない場合には、処理回路１５は、個人情報内の個人ＩＤと、匿名ＩＤとを対応付けてＩＤ対応表１１ａに記述し、当該匿名ＩＤを匿名医用データに付与する。しかる後、処理回路１５は、医用データと、匿名医用データと、匿名ＩＤとを互いに対応付けてメモリ１１内のデータ対応表１１ｂに記憶させる。具体的には、処理回路１５は、医用データのファイル名と、匿名医用データのファイル名と、匿名ＩＤとを互いに対応付けてメモリ１１内のデータ対応表１１ｂに記憶させる。

ステップＳＴ３の後、ステップＳＴ４において、処理回路１５は、匿名ＩＤを付与した匿名医用データを解析サーバ２０に送信する。

ステップＳＴ４の後、ステップＳＴ５において、解析サーバ２０の処理回路２５は、送信された匿名医用データを解析して解析結果を得る。

ステップＳＴ５の後、ステップＳＴ６において、解析サーバ２０の処理回路２５は、送信された匿名医用データに付与された匿名ＩＤを解析結果に付与する。

ステップＳＴ６の後、ステップＳＴ７において、解析サーバ２０の処理回路２５は、当該匿名ＩＤを付与した解析結果をＰＨＲサーバ１０に返信する。

ステップＳＴ７の後、ステップＳＴ８において、ＰＨＲサーバ１０の処理回路１５は、解析サーバ２０から返信された解析結果をメモリ１１に記憶させる。しかる後、処理回路１５は、解析結果に付与された匿名ＩＤに基づいて、当該解析結果を、データ対応表１１ｂ内の医用データと、匿名医用データと、匿名ＩＤとに対応付けて当該データ対応表１１ｂに書き込む。具体的には、処理回路１５は、当該解析結果のファイル名を、データ対応表１１ｂ内の医用データのファイル名と、匿名医用データのファイル名と、匿名ＩＤとに対応付けて当該データ対応表１１ｂに書き込む。これにより、解析結果は、匿名化前の医用データに対応付けて管理される。しかる後、解析結果は、図示しない個人端末から受けた解析要求に対する応答として、当該個人端末に返信される。

上述したように第１の実施形態によれば、医用データ管理システムは、管理サーバとしてのＰＨＲサーバ１０と、解析サーバ２０とを備える。ＰＨＲサーバ１０は、個人情報を含む医用データを匿名化して、当該個人情報を含まない匿名医用データを生成する。ＰＨＲサーバ１０は、当該個人情報内の個人ＩＤに対応付けた匿名ＩＤを匿名医用データに付与し、当該匿名ＩＤを付与した匿名医用データを解析サーバ２０に送信する。ＰＨＲサーバ１０は、解析サーバ２０から返信された解析結果をメモリ１１に記憶させる。解析サーバ２０は、送信された匿名医用データを解析して解析結果を得る。解析サーバ２０は、送信された匿名医用データに付与された匿名ＩＤを解析結果に付与し、当該匿名ＩＤを付与した解析結果をＰＨＲサーバ１０に返信する。

このように、個人情報を含む医用データと、個人情報内の個人ＩＤに対応付けた匿名ＩＤを付与した匿名医用データと、匿名ＩＤを付与した解析結果とを用いるので、匿名医用データの解析結果と、匿名化前の医用データとの対応付けを容易にすることができる。

また、第１の実施形態によれば、匿名医用データの解析結果と、匿名化前の医用データとの対応付けが容易になるため、ＰＨＲと、クラウド解析サービスの環境下でも、匿名化により個人情報を保護しつつ、体系立てたデータ管理が可能となることを期待できる。

例えば、体系立てたデータ管理を行う観点から、医用データと、匿名医用データと、匿名ＩＤと、解析結果とを互いに対応付けてメモリ１１に記憶させてもよい。この場合、前述した効果に加え、個人情報を含まない匿名医用データの解析結果と、個人情報を含む医用データとの対応付けを、より一層、容易にすることができる。

なお、第１の実施形態は、以下の各々の変形例のように実施してもよい。また、各々の変形例は、以下の各実施形態に適用してもよい。

第１の実施形態の第１変形例は、匿名ＩＤとして、ｈｔｔｐのセッションＩＤを用いる構成となっている。セッションＩＤは、クッキー（Cookie）に含めてもよく、hiddenフィールドに含めてもよい。

これに伴い、ＰＨＲサーバ１０の処理回路１５の付与機能１５ｂは、前述した機能に加え、次のように動作する。付与機能１５ｂは、図示しない個人端末から、医用データの解析指示に関するｈｔｔｐリクエストを受けた場合、ｈｔｔｐのセッションＩＤを発行し、このセッションＩＤを用いて、解析サーバ２０及び個人端末との一連の通信を行う。すなわち、付与機能１５ｂは、セッションＩＤをクッキー（Cookie）又はhiddenフィールドに含める形式で、セッションＩＤである匿名ＩＤを匿名医用データに付与する。この場合、解析サーバ２０においても、セッションＩＤをクッキー（Cookie）又はhiddenフィールドに含める形式で、セッションＩＤである匿名ＩＤが解析結果に付与されている。

他の構成は、第１の実施形態と同様である。

以上のような第１変形例によれば、第１の実施形態の効果に加え、ハッシュ値を計算する負荷の如き、匿名ＩＤを発行するための負荷を低減することができる。補足すると、セッションＩＤを匿名ＩＤと兼用するため、匿名ＩＤのみを発行する処理を省略することができる。

一方、第１の実施形態の第２変形例は、医用データ、匿名医用データ及び解析結果として、ＤＩＣＯＭの規格に基づく医用画像データを用いる構成となっている。匿名ＩＤとしては、付帯情報のうちの任意のＤＩＣＯＭタグで識別されるデータエレメントに格納される。ここで、匿名ＩＤとしては、匿名医用データ及び解析結果の両者の間で同一のＩＤ情報が同一のＤＩＣＯＭタグで識別されるデータエレメントに格納される。この場合、データ対応表１１ｂ内の医用データのファイル名、匿名医用データのファイル名、解析結果のファイル名における各々の拡張子は、互いに同一の値となる。

他の構成は、第１の実施形態と同様である。

以上のような第２変形例によれば、医用データ、匿名医用データ及び解析結果として、ＤＩＣＯＭの規格に基づく医用画像データを用いる構成としても、第１の実施形態と同様の効果を得ることができる。

一方、第１の実施形態の第３変形例は、匿名ＩＤとして、個人の公開鍵証明書の公開鍵を用いる構成となっている。個人の公開鍵証明書は、例えば、ＰＨＲと、クラウド解析サービスの利用を申し込む際に、図示しない個人端末からＰＨＲサーバ１０に提供される。提供された公開鍵証明書は、ＰＨＲサーバ１０により、個人ＩＤと対応付けてメモリ１１に保存される。これにより、ＰＨＲサーバ１０の処理回路１５は、メモリ１１内の公開鍵証明書を利用可能となる。

他の構成は、第１の実施形態と同様である。

以上のような第３変形例によれば、第１の実施形態の第１変形例と同様に、ハッシュ値を計算する負荷の如き、匿名ＩＤを発行するための負荷を低減することができる。補足すると、個人の公開鍵を匿名ＩＤと兼用するため、匿名ＩＤのみを発行する処理を省略することができる。

また、第２変形例によれば、解析結果を暗号化して個人端末に返信する場合、当該暗号化に個人の公開鍵を用いることにより、当該暗号化の処理を容易に実行することができる。

＜第２の実施形態＞
次に、第２の実施形態に係る医用データ管理システムについて説明するが、前述した図面と略同一部分には同一符号を付してその詳しい説明を省略し、ここでは異なる部分について述べる。

第２の実施形態は、第１の実施形態の変形例であり、解析サーバ２０が、追加の匿名医用データを要求する場合の構成となっている。例えば、ある検査に関する匿名医用データを解析した結果、他の検査に関する匿名医用データが必要になった場合などである。

これに伴い、解析サーバ２０の処理回路２５の解析機能２５ａ及び付与機能２５ｂは、前述した機能に加え、次のように動作する。

解析機能２５ａは、ＰＨＲサーバ１０から送信された匿名医用データから得られた解析結果に基づいて追加の医用データを要求する場合、追加の医用データの指定を含む追加要求を生成する。

付与機能２５ｂは、ＰＨＲサーバ１０から送信された匿名医用データに付与された匿名ＩＤを当該追加要求に付与し、当該匿名ＩＤを付与した追加要求をＰＨＲサーバ１０に返信する。

一方、ＰＨＲサーバ１０の処理回路１５の匿名化機能１５ａ及び付与機能１５ｂは、前述した機能に加え、次のように動作する。

匿名化機能１５ａは、解析サーバ２０から返信された追加要求に基づいて、当該追加要求に付与された匿名ＩＤに対応付けた個人ＩＤの個人情報を含む追加の医用データを匿名化して、当該個人情報を含まない追加の匿名医用データを生成する。

付与機能１５ｂは、追加要求に付与された匿名ＩＤを追加の匿名医用データに付与し、当該匿名ＩＤを付与した追加の匿名医用データを解析サーバ２０に送信する。

なお、処理回路１５の制御機能１５ｃは、図７に示すように、医用データの系列を示す系列名毎に、当該医用データと、匿名医用データと、匿名ＩＤと、解析結果とをメモリ１１内のデータ対応表１１ｂに記憶させてもよい。ここで、医用データの系列は、病名又は検査目的を示す情報であってもよい。例えば、図７のデータ対応表１１ｂにおいて、第１－２行目は、同一の検査目的「検査Ａ」に関して、検査日が異なる医用データ、匿名医用データ、匿名ＩＤ及び解析結果が記述された場合を示している。なお、同一の系列のため、同一の匿名ＩＤを用いている。

また、メモリ１１内のデータ対応表１１ｂは、個人ＩＤと、匿名ＩＤと、医用データの系列とを互いに対応付けて記憶してもよい。ここで、当該匿名ＩＤは、当該医用データの系列毎に異なる値を有してもよい。例えば、図７のデータ対応表１１ｂにおいて、第２、３行目は、異なる検査目的「検査Ａ」「検査Ｂ」に関して、ファイル名の拡張子が異なる医用データ、匿名医用データ、匿名ＩＤ及び解析結果が記述された場合を示している。なお、異なる系列のため、異なる匿名ＩＤを用いている。また例えば、図７のデータ対応表１１ｂにおいて、第３、４行目は、異なる検査目的「検査Ｂ」「検査Ｃ」に関して、ファイル名の拡張子が異なる医用データ、匿名医用データ、匿名ＩＤ及び解析結果が記述された場合を示している。但し、データ対応表１１ｂの第３、４行目は、異なる系列であるものの、同一の匿名ＩＤを用いている。補足すると、データ対応表１１ｂの第３、４行目の検査目的「検査Ｂ」「検査Ｃ」は、ある検査目的「検査Ｂ」に対し、追加検査の必要が生じた場合の、追加の検査目的「検査Ｃ」を表している。データ対応表１１ｂ及びメモリ１１は、記憶部の一例である。

他の構成は、第１の実施形態と同様である。

次に、以上のように構成された医用データ管理システムの動作について図８のシーケンス図を用いて説明する。

いま、前述同様にステップＳＴ１～ＳＴ６が実行され、解析の後、匿名ＩＤが解析結果に付与されたとする。

また、ステップＳＴ６に前後してステップＳＴ６－ａが実行される。ステップＳＴ６－ａにおいて、解析サーバ２０の処理回路２５は、匿名医用データから得られた解析結果に基づいて追加の医用データを要求するか否かを判定し、要求しない場合には処理を終了し、要求する場合にはステップＳＴ７－ａに移行する。

また、ステップＳＴ６の後、前述同様にステップＳＴ７～ＳＴ８が実行され、匿名ＩＤを付与した解析結果が解析サーバ２０からＰＨＲサーバ１０に返信され、解析結果がメモリ１１に保存され、データ対応表１１ｂが更新される。

また、ステップＳＴ７に前後してステップＳＴ７－ａが実行される。ステップＳＴ７－ａにおいて、解析サーバ２０の処理回路２５は、追加の医用データを要求する場合、匿名医用データの指定を含む追加要求を生成する。また、処理回路２５は、匿名医用データに付与された匿名ＩＤを追加要求に付与し、当該匿名ＩＤを付与した追加要求をＰＨＲサーバ１０に返信する。なお、ステップＳＴ７と、ステップＳＴ７－ａとは、同時に実行してもよい。すなわち、解析サーバ２０の処理回路２５は、ステップＳＴ７における解析結果と、ステップＳＴ７－ａにおける追加要求とを含む応答をＰＨＲサーバ１０に返信してもよい。

ステップＳＴ７－ａの後、ステップＳＴ９において、ＰＨＲサーバ１０の処理回路１５は、解析サーバ２０から返信された追加要求に基づいて、ステップＳＴ１～ＳＴ４に類似した追加要求の処理を実行する。

すなわち、処理回路１５は、当該追加要求に付与された匿名ＩＤに基づいて、メモリ１１内のＩＤ対応表１１ａから個人ＩＤを読み出す。また、処理回路１５は、読み出した個人ＩＤに基づいて、メモリ１１から当該個人ＩＤの個人情報を含む追加の医用データを読み出す（ステップＳＴ１）。また、処理回路１５は、読み出した追加の医用データを匿名化して、当該個人情報を含まない追加の匿名医用データを生成する（ステップＳＴ２）。

しかる後、処理回路１５は、追加要求に付与された匿名ＩＤを追加の匿名医用データに付与し（ステップＳＴ３）、当該匿名ＩＤを付与した追加の匿名医用データを解析サーバ２０に送信する（ステップＳＴ４）。

以下、前述同様にステップＳＴ５以降の処理が実行される。

上述したように第２の実施形態によれば、解析サーバ２０は、匿名医用データの解析結果に基づいて追加の医用データを要求する場合、当該匿名医用データに付与された匿名ＩＤと、追加の医用データの指定とを含む追加要求をＰＨＲサーバ１０に返信する。

ＰＨＲサーバ１０では、返信された追加要求に基づいて、追加要求に付与された匿名ＩＤに対応付けた個人ＩＤの個人情報を含む追加の医用データを匿名化して、個人情報を含まない追加の匿名医用データを生成する。また、ＰＨＲサーバ１０では、追加要求に付与された匿名ＩＤを追加の匿名医用データに付与し、当該匿名ＩＤを付与した追加の匿名医用データを解析サーバ２０に送信する。

このように、解析サーバ２０が追加要求を行う構成により、第１の実施形態の効果に加え、必要な医用データが足りない場合でも、必要な匿名医用データを得ることができる。

また、第２の実施形態によれば、医用データの系列毎に、当該医用データと、匿名医用データと、匿名ＩＤと、解析結果とをメモリ１１に記憶させてもよい。この場合、第１の実施形態の効果に加え、系列毎に体系立てたデータ管理を行うことができる。

また、第２の実施形態によれば、医用データの系列は、病名又は検査目的を示す情報であってもよい。この場合、第１の実施形態の効果に加え、病名又は検査目的を示す情報毎に体系立てたデータ管理を行うことができる。

また、第２の実施形態によれば、メモリ１１は、個人ＩＤ、匿名ＩＤ及び系列を互いに対応付けて記憶してもよい。この場合、第１の実施形態の効果に加え、系列毎に体系立てたＩＤ管理を行うことができる。

また、第２の実施形態によれば、匿名ＩＤは、系列毎に異なる値を有してもよい。この場合、系列毎に、異なる値の匿名ＩＤに基づいて、体系立てたデータ管理を行うことができる。

以上説明した少なくとも一つの実施形態によれば、匿名医用データの解析結果と、匿名化前の医用データとの対応付けを容易にすることができる。

上記説明において用いた「プロセッサ」という文言は、例えば、ＣＰＵ（central processing unit）、ＧＰＵ(Graphics Processing Unit)、或いは、特定用途向け集積回路（Application Specific Integrated Circuit：ＡＳＩＣ）、プログラマブル論理デバイス（例えば、単純プログラマブル論理デバイス（Simple Programmable Logic Device：ＳＰＬＤ）、複合プログラマブル論理デバイス（Complex Programmable Logic Device：ＣＰＬＤ）、及びフィールドプログラマブルゲートアレイ（Field Programmable Gate Array：ＦＰＧＡ）等の回路を意味する。プロセッサはメモリに保存されたプログラムを読み出し実行することで機能を実現する。なお、メモリにプログラムを保存する代わりに、プロセッサの回路内にプログラムを直接組み込むよう構成しても構わない。この場合、プロセッサは回路内に組み込まれたプログラムを読み出し実行することで機能を実現する。なお、本実施形態の各プロセッサは、プロセッサごとに単一の回路として構成される場合に限らず、複数の独立した回路を組み合わせて１つのプロセッサとして構成し、その機能を実現するようにしてもよい。さらに、図１、図２又は図４における複数の構成要素を１つのプロセッサへ統合してその機能を実現するようにしてもよい。

なお、本発明のいくつかの実施形態を説明したが、これらの実施形態は、例として提示したものであり、発明の範囲を限定することは意図していない。これら実施形態は、その他の様々な形態で実施されることが可能であり、発明の要旨を逸脱しない範囲で、種々の省略、置き換え、変更を行うことができる。これら実施形態やその変形は、発明の範囲や要旨に含まれると同様に、特許請求の範囲に記載された発明とその均等の範囲に含まれる。

１０ ＰＨＲサーバ
１１，２１ メモリ
１１ａ ＩＤ対応表
１１ｂ データ対応表
１３，２３ 通信インタフェース
１５，２５ 処理回路
１５ａ 匿名化機能
１５ｂ，２５ｂ 付与機能
１５ｃ 制御機能
２０ 解析サーバ
２５ａ 解析機能
ＮＷ ネットワーク

Claims (7)

1. 管理サーバ及び解析サーバを備えた医用データ管理システムであって、
   前記管理サーバは、
   個人情報を含む医用データを匿名化して、前記個人情報を含まない匿名医用データを生成する匿名化部と、
   前記個人情報内の個人ＩＤに対応付けた匿名ＩＤを前記匿名医用データに付与し、当該匿名ＩＤを付与した匿名医用データを前記解析サーバに送信する第１付与部と、
   前記解析サーバから返信された解析結果を記憶部に記憶させる制御部と、
   を備え、
   前記解析サーバは、
   前記送信された匿名医用データを解析して解析結果を得る解析部と、
   前記送信された匿名医用データに付与された匿名ＩＤを前記解析結果に付与し、当該匿名ＩＤを付与した解析結果を前記管理サーバに返信する第２付与部と、
   を備えた医用データ管理システム。
2. 前記制御部は、前記医用データと、前記匿名医用データと、前記匿名ＩＤと、前記解析結果とを互いに対応付けて前記記憶部に記憶させる、請求項１記載の医用データ管理システム。
3. 前記制御部は、前記医用データの系列毎に、当該医用データと、前記匿名医用データと、前記匿名ＩＤと、前記解析結果とを前記記憶部に記憶させる、請求項２記載の医用データ管理システム。
4. 前記医用データの系列は、病名又は検査目的を示す情報である、請求項３記載の医用データ管理システム。
5. 前記記憶部は、前記個人ＩＤと、前記匿名ＩＤと、前記医用データの系列とを互いに対応付けて記憶する、請求項３又は４記載の医用データ管理システム。
6. 前記匿名ＩＤは、前記医用データの系列毎に異なる値を有する、請求項５記載の医用データ管理システム。
7. 前記解析部は、前記送信された匿名医用データから得られた解析結果に基づいて追加の医用データを要求する場合、前記追加の医用データの指定を含む追加要求を生成し、
   前記第２付与部は、前記送信された匿名医用データに付与された匿名ＩＤを前記追加要求に付与し、当該匿名ＩＤを付与した追加要求を前記管理サーバに返信し、
   前記匿名化部は、前記返信された追加要求に基づいて、前記追加要求に付与された匿名ＩＤに対応付けた個人ＩＤの個人情報を含む追加の医用データを匿名化して、前記個人情報を含まない追加の匿名医用データを生成し、
   前記第１付与部は、前記追加要求に付与された匿名ＩＤを前記追加の匿名医用データに付与し、当該匿名ＩＤを付与した追加の匿名医用データを前記解析サーバに送信する、
   請求項１乃至６のいずれか一項に記載の医用データ管理システム。
   

Images