JP2024058632A - ヘルスケアデータをヘルスケアデータプロセッサと共有するためのシステムおよび方法 - Google Patents

Abstract

【課題】ヘルスケアデータ提供者からのヘルスケアデータをヘルスケアデータ処理アプリケーションと共有するためのコンピュータ実装方法を提供する。【解決手段】ヘルスケアデータ共有システム１０５において、ヘルスケアデータ提供者１００は、選択した各ヘルスケアデータプロセッサアプリケーション１６０に対応するデータ提供者／アプリケーション固有の秘密鍵及び公開鍵を含む暗号化鍵セットを取得し、当該鍵セットの秘密鍵をヘルスケアデータ提供者の信頼できるコンポーネント１２０を用いて保持し、当該固有の鍵セットの公開鍵を対応する選択された前記アプリケーションと共有する。認証サーバ１４０は、当該固有の鍵セットの公開鍵を署名及び有効化して認証する。ヘルスケアデータ提供者は、ヘルスケアデータ１１５を当該固有の鍵セットの秘密鍵を使用して暗号化し、対応する選択された前記アプリケーションと共有する。【選択図】図１

Description

電子ヘルスケアデータを処理することは、有効なヘルスケアサービスを提供するための重要な態様である。医療データ処理は、診断を行うため、および／または最も有効な処置を識別するために、バイオマーカーおよび／または生理学的変数を識別するために個々の患者レコードを分析することを含み得る。他の処理機能は、データの傾向を識別し、特定のバイオマーカー／生理学的変数を疾患および／または有効な処置と相関させるために患者レコードの量を分析することを含む。さらなる処理機能は、ヘルスケア提供者および研究者による効率的な将来のアクセスのために（例えば、構造化電子データベースにおいて）ヘルスケアデータを編成および再編成することを含む。

多くの独立したデータプロセッサは、ヘルスケア提供者および研究機関にヘルスケアデータ処理サービスおよび製品を提供する。これらの独立したプラットフォームは、重要なサービスを提供するが、共有されるヘルスケアレコードのセキュリティおよび機密性を維持することが非常に重要である。これらの独立したプラットフォームは、それぞれ、同じヘルスケアデータプロセッサ／消費者を介したアプリケーションごとのベースを含む、それらが処理するレコードにおける異なる程度のデータ処理機能、サービス条件、セキュリティ、および機密性を提供し得る。ヘルスケアデータ提供者（例えば、病院）が、特にインターネットなどの大規模ネットワークにわたって共有される場合に、ヘルスケアデータを特定のヘルスケアデータプロセッサおよびそれらの製品／アプリケーションと共有することに伴うセキュリティおよびリスクを評価することは困難であり得る。

一部のヘルスケアデータの消費者は、単に自身の暗号化鍵を利用／共有することによって、または一般に利用可能な暗号化プラットフォーム（例えば、ウェブブラウザ）を使用することによってセキュリティを提供するにすぎない。場合によっては、ヘルスケアデータ提供者による特定のデータプロセッサの使用後、ヘルスケア提供者は、もはやそのデータを共有することを望まないことがあり、データ消費者の使用のためのライセンスが期限切れになり、使用条件の変更、および／またはセキュリティ機能（例えば、暗号化証明書）が期限切れになることがある。しかしながら、ヘルスケアデータが共有されるチャネルは、共有または処理されることを意図することなく、依然としてアクティブのままにされることがあり、機密のヘルスケアデータは、データプロセッサによって引き続きルーティングおよび処理されることがある。したがって、ヘルスケアデータ提供者と様々な利用可能なヘルスケアデータプロセッサおよびそれらのアプリケーション／サービスとの間でヘルスケアデータを共有するためのセキュアで信頼できるプロアクティブなシステムおよび方法が必要とされている。

本発明の態様は、病院システムおよび他の提供者を含むヘルスケアデータ提供者が、そのヘルスケアデータにアクセスし、複数の外部／独立したヘルスケア処理アプリケーションと、そのヘルスケアデータをセキュアに共有するためのシステムを提供する。認証部を含むシステムは、関与の条件を識別し、確認し、アプリケーションごとの処理ベースで提供者からの機密ヘルスケアデータをセキュアに共有し得る。システムは、ヘルスケアデータ提供者がデータをセキュアに共有し、処理の結果にアクセスする特定のアプリケーションを選択するためのインターフェースを提供する。システムは、ヘルスケアデータ提供者および特定のヘルスケアデータ処理アプリケーションそれぞれに対する暗号化鍵の共有を手配する。ヘルスケアデータの共有および処理は、システムがヘルスケアデータ提供者および処理アプリケーションにそれぞれ署名された鍵を受信および検証することによって起動される。システムを使用して署名された鍵を署名および共有するプロセスは、認証サービスおよびヘルスケアデータ提供者によるアプリケーション／署名の有効性を保証するためにヘルスケアデータ提供者と統合され得る信頼できるコンポーネントを用いて達成され得る。処理の終了は、ヘルスケアデータ提供者またはプロセッサが認証部とのその署名／認証を取り消すことによって達成され得る。

鍵のそれぞれが署名されると、信頼できるコンポーネントは、適用可能なヘルスケアデータを取得し、公開鍵を利用してデータを暗号化し、暗号化されたデータをデータプロセッサ／特定のアプリケーションと共有する。特定のアプリケーションは、データを復号するために秘密鍵を利用してもよく、その後、暗号化されていないデータを処理し、処理された結果をヘルスケアデータ提供者に送信することができる。

いくつかの実施形態では、使用条件または契約／合意は、特定のデータ処理アプリケーションに関連付けられる。システムは、条件／契約／合意を取得し、データ提供者と契約／条件／合意を共有し、データ提供者は、特定の提供者、アプリケーション、および／または特定の契約にそれぞれ鍵を署名することによって条件／契約／合意を承認し、その後、（例えば、認証部が信頼できるコンポーネントを用いて）システムと共有される。ヘルスケアデータ提供者および／またはデータプロセッサ／アプリケーションは、条件／契約／合意が取り消されたことをシステム（例えば、認証部）に警告することによってヘルスケアデータ処理（暗号化／共有を含む）を終了することができる。

いくつかの実施形態では、システムは、（例えば、特定の提供者、アプリケーション、および契約／条件に基づくことに加えて）特定のデータセットベースでヘルスケアデータの共有を許可する。データ提供者は、１つまたは複数の特定のデータのセット（例えば、データファイル）の共有を許可または取り消し得る。データ提供者は、例えば、特定の使用条件（例えば、契約／合意／条件）を有する特定のデータ処理アプリケーションと共有するためにデータのセットを追加または削除することを選択し得る。次いで、ヘルスケアデータを暗号化／復号するために使用される特定の鍵セットは、それぞれのデータ処理アプリケーション／契約によって使用するためのその選択されたデータに関連付けられ得る。これにより、データ提供者は、データ処理アプリケーションおよび／または契約／条件との暗号化／共有のためのデータを選択されたデータセットに制限し得る。

いくつかの実施形態は、ヘルスケアデータ提供者からのヘルスケアデータをヘルスケアデータプロセッサと共有するためのデータ共有システム用のコンピュータ実装方法であって、
１つまたは複数のヘルスケアデータプロセッサアプリケーションを識別することと、
ヘルスケアデータ提供者において１つまたは複数のデータプロセッサアプリケーションの選択可能なオプションを生成および表示することと、
ヘルスケアデータ提供者から１つまたは複数のデータプロセッサアプリケーションの選択を取得することと、
選択された各ヘルスケアデータプロセッサアプリケーションに対応するデータ提供者／アプリケーション固有の暗号化鍵セットを取得することであって、鍵セットが秘密鍵および公開鍵を含む、取得することと、
データ提供者／アプリケーション固有の鍵セットの秘密鍵をヘルスケアデータ提供者の信頼できるコンポーネントを用いて保持することと、
データ提供者／アプリケーション固有の鍵セットの公開鍵を対応する選択されたヘルスケアデータプロセッサアプリケーションと共有することと、
ヘルスケアデータ共有システムの認証サーバにおいて、ヘルスケアデータ提供者の信頼できるコンポーネントを使用して署名および有効化され、選択されたデータプロセッサアプリケーションのそれぞれによって署名および有効化されているものとして、データ提供者／アプリケーション固有の鍵セットの公開鍵を認証および有効化することと、
データ提供者／アプリケーション固有の鍵セットの公開鍵が、ヘルスケアデータ提供者および対応するデータプロセッサアプリケーションの両方に対して認証および有効化される場合に、ヘルスケアデータ提供者のヘルスケアデータを、対応するデータ提供者／アプリケーション固有の鍵セットの秘密鍵を使用して暗号化させ、暗号化されたヘルスケアデータを、対応する選択されたデータプロセッサアプリケーションに送信させることと
を含む、コンピュータ実装方法を含む。

いくつかの実施形態では、データ提供者／アプリケーション固有の鍵セットの公開鍵を共有することは、
信頼できるコンポーネントを使用して公開鍵に署名することと、
署名された公開鍵を対応する選択されたデータプロセッサアプリケーションに送信することと
を含む。

いくつかの実施形態では、本方法は、
署名された公開鍵を認証サーバに送信することと、
認証サーバにおいて、データ提供者のそれぞれによって署名および有効化されているものとして、データ提供者／アプリケーション固有の鍵セットの公開鍵を認証および有効化するために、署名された公開鍵を受信したレコードを記憶することと
を含む。

いくつかの実施形態では、本方法は、
認証サーバにおいて、データ提供者／アプリケーション固有の鍵セットがもはや有効化されていないことを示すヘルスケアデータ提供者またはデータプロセッサアプリケーションのうちの１つからの通信を受信することと、
暗号化されたヘルスケアデータを、対応する選択されたデータプロセッサアプリケーションに送信させることを停止することと
をさらに含む。

いくつかの実施形態では、データ提供者／アプリケーション固有の鍵セットはまた、条件に固有であり、条件は、ヘルスケアデータおよびデータプロセッサアプリケーションの使用についての合意に関係する。

いくつかの実施形態では、本方法は、
対応する選択されたデータプロセッサアプリケーションの使用に関する条件のセットを取得することと、
条件のセットを受け入れるための選択可能なオプションをヘルスケアデータ提供者に提供することと、
条件のセットを受け入れるためのオプションの選択を取得することと、
ヘルスケアデータ提供者による条件のセットを受け入れる選択の取得に応答して、データ提供者／アプリケーション固有および条件に固有の鍵セットの公開鍵を、ヘルスケアデータ提供者の信頼できるコンポーネントを使用して署名させることと
を含む。

いくつかの実施形態では、信頼できるコンポーネントは、ヘルスケアデータ提供者にインストールされ、信頼できるコンポーネントは、ヘルスケアデータ提供者のコンポーネントとして識別されるようにプログラムおよび構成される。

いくつかの実施形態では、信頼できるコンポーネントは、
選択された各ヘルスケアデータプロセッサアプリケーションに対応するデータ提供者／アプリケーション固有の暗号化鍵セットを取得し、
データ提供者／アプリケーション固有の鍵セットの公開鍵を対応する選択されたヘルスケアデータプロセッサアプリケーションと共有し、
ヘルスケアデータ提供者のヘルスケアデータを暗号化し、暗号化されたヘルスケアデータを対応するデータプロセッサアプリケーションに送信させる
ようにプログラムおよび構成される。

いくつかの実施形態では、信頼できるコンポーネントは、信頼できるコンポーネントによってインストールされたデータ共有システムの秘密暗号化鍵を含み、秘密暗号化鍵は、ヘルスケアデータ提供者から認証サーバへの通信に署名するために使用され、通信は、データ提供者／アプリケーション固有の鍵セットの公開鍵の認証および有効化のためのデータ提供者／アプリケーション固有の鍵セットの公開鍵を含む。

いくつかの実施形態では、データ提供者／アプリケーション固有の鍵セットはまた、データに固有であり、データは、データプロセッサアプリケーションのそれぞれによって使用するためにデータ提供者によって選択された特定のデータのセットに関係する。

いくつかの実施形態では、本方法は、
１つまたは複数のデータセットを選択するための選択可能なオプションをヘルスケアデータ提供者に提供することと、
１つまたは複数のデータセットについてのオプションの選択を取得することと、
認証サーバにおいて、データ提供者／アプリケーション固有の鍵セットに対応するものとして１つまたは複数のデータセットの選択のレコードを記憶することと、
対応する選択されたデータプロセッサアプリケーションに送信される暗号化されたヘルスケアデータを選択された１つまたは複数のデータセットに制限することと
を含む。

いくつかの実施形態は、ヘルスケアデータ提供者のヘルスケアデータをヘルスケアデータプロセッサと共有するためのヘルスケアデータ共有システムを含み、ヘルスケアデータ共有システムが、
ヘルスケアデータ共有システムのコンポーネントとしてヘルスケアデータ提供者によって信頼されるように構成された信頼できるコンポーネントと
認証サーバと
を備え、
信頼できるコンポーネントが、
ヘルスケアデータ提供者によって選択されたヘルスケアデータプロセッサアプリケーションに対応するデータ提供者／アプリケーション固有の暗号化鍵セットを取得することであって、鍵セットが秘密鍵および公開鍵を含む、取得することと、
データ提供者／アプリケーション固有の鍵セットの秘密鍵をヘルスケアデータ提供者の信頼できるコンポーネントを用いて保持することと、
データ提供者／アプリケーション固有の鍵セットの公開鍵を対応する選択されたヘルスケアデータプロセッサアプリケーションと共有させることと
を行うようにプログラムおよび構成され、
認証サーバが、
信頼できるコンポーネントに関連してヘルスケアデータ提供者によって署名および有効化されているものとして、データ提供者／アプリケーション固有の鍵セットの公開鍵を認証および有効化し、
それぞれの選択されたデータプロセッサアプリケーションによって署名および有効化されているものとして、データ提供者／アプリケーション固有の鍵セットの公開鍵を認証および有効化する
ようにプログラムおよび構成されている。

いくつかの実施形態では、信頼できるコンポーネントまたは認証サーバのうちの少なくとも１つは、
ヘルスケアデータ提供者において１つまたは複数のデータプロセッサアプリケーションの選択可能なオプションを生成および表示し、
ヘルスケアデータ提供者から選択可能なオプションの生成された表示からの１つまたは複数のデータプロセッサアプリケーションの選択を取得する
ようにプログラムおよび構成され、
提供者／アプリケーション固有の暗号化鍵セットは、１つまたは複数のデータプロセッサアプリケーションの選択に基づいて取得される。

いくつかの実施形態では、信頼できるコンポーネントは、
データ提供者／アプリケーション固有の鍵セットの公開鍵に署名し、
署名された公開鍵を認証サーバおよびそれぞれのデータプロセッサアプリケーションと共有する
ように構成される。

いくつかの実施形態では、信頼できるコンポーネントは、各データ提供者／アプリケーション固有の鍵セットとは異なる、信頼できるコンポーネントおよびヘルスケアデータ提供者に固有の秘密鍵をさらに含み、信頼できるコンポーネントは、信頼できるコンポーネントおよびヘルスケアデータ提供者に固有の秘密鍵によってデータ提供者／アプリケーション固有の鍵セットの公開鍵に署名するように構成される。

いくつかの実施形態では、認証サーバは、
データ提供者／アプリケーション固有の鍵セットがもはや有効化されていないことを示すヘルスケアデータ提供者またはデータプロセッサアプリケーションのうちの１つからの通信を受信し、
通信の受信に応答して、データ提供者／アプリケーション固有の鍵セットが無効化されたことを表すレコードを記憶し、
ヘルスケアデータ提供者またはデータプロセッサアプリケーションのうちの１つから、データ提供者／アプリケーション固有の鍵セットの認証を要求する通信を受信し、
認証を要求する通信に応答して、データ提供者／アプリケーション固有の鍵セットが有効であるか無効化されていることを表すレコードの検索を行い、検索に基づいて、それぞれのデータ提供者／アプリケーション固有の鍵セットが無効であるか認証されていないことを示す通信を要求元のヘルスケアデータ提供者またはデータプロセッサに送信する
ようにプログラムおよび構成される。

いくつかの実施形態では、データ提供者／アプリケーション固有の鍵セットはまた、条件に固有であり、条件は、ヘルスケアデータおよびデータプロセッサアプリケーションの使用についての合意に関係する。

いくつかの実施形態では、データ提供者／アプリケーション固有の鍵セットはまた、データ固有であり、データは、それぞれのデータプロセッサアプリケーションによって使用するためにデータ提供者によって選択された特定のデータのセットに関係する。

いくつかの実施形態は、データ共有システムの１つまたは複数のプロセッサによって実行されると、データ共有システムに本明細書に記載の方法のいずれかを実行させるプログラミング命令を含む非一時的コンピュータ可読媒体を含む。

本開示の様々な目的および利点は、添付の図面と併せて以下の詳細な説明を考慮すると明らかになるであろう。添付の図面において、同様の参照符号は、全体を通して同様の部分を指す。

いくつかの実施形態にかかる、ヘルスケアデータ提供者と複数のデータ処理アプリケーションとの間でヘルスケアデータをセキュアに共有するためのヘルスケアデータ共有システムの説明図である。 いくつかの実施形態にかかる、利用可能なヘルスケアデータ処理アプリケーションを選択してヘルスケアデータ提供者からのヘルスケアデータのセキュアな共有を容易にするヘルスケアデータ共有システムのフローチャートである。 いくつかの実施形態にかかる、ヘルスケアデータ提供者と選択されたデータ処理アプリケーションの提供者との間のアプリケーション固有および契約固有の暗号化鍵の署名認可を容易にするシステムの説明図である。 いくつかの実施形態にかかる、データ提供者がデータ処理アプリケーションを選択するためのヘルスケアデータ共有システムのソフトウェアインターフェースの説明図である。 いくつかの実施形態にかかる、データ処理アプリケーションインターフェースの説明図である。 データ提供者が選択されたデータ処理アプリケーションとのデータ共有を許可および許可解除するためのヘルスケアデータ共有システムのソフトウェアインターフェースの説明図である。 データ提供者が選択されたデータ処理アプリケーションとの特定のデータのセットの共有を選択、許可、および許可解除するためのヘルスケアデータ共有システムのソフトウェアインターフェースの説明図である。 いくつかの実施形態にかかる、ヘルスケアデータプロセッサによって提供される特定の契約／アプリケーションの認証／承認および取り消しを容易にするフローチャートである。 いくつかの実施形態にかかる、ヘルスケアデータ提供者と特定のアプリケーションとの間でヘルスケアデータをセキュアに共有するプロセスのフローチャートである。 いくつかの実施形態にかかる、ヘルスケアデータをセキュアに共有するためのシステムのコンピューティング装置および処理コンポーネントの説明図である。

いくつかの実施形態では、システムは、ヘルスケアデータ提供者（data healthcare provider）に、外部の／独立したヘルスケア処理アプリケーションの選択によって、そのヘルスケアデータをセキュアに共有することを提供するように構成される。システムは、データヘルスケア提供者が、ヘルスケアデータをセキュアに共有および処理するためのデータ処理アプリケーションのカタログの中から選択することを可能にするインターフェース（例えば、信頼できるコンポーネント）を含むことができる。システムは、ヘルスケアデータ提供者およびデータプロセッサ（data processor）によって署名された暗号化鍵を認証および検証して、特定のアプリケーションのためのデータ共有がヘルスケアデータ提供者およびデータプロセッサによってそれぞれ許可されているかどうかを検証する認証部（例えば、リモート認証サーバ）を有し得る。検証された暗号化鍵は、ヘルスケアデータを復号および暗号化するために使用され、ヘルスケアデータの共有および送信を指示するためのネットワークルーティング情報を含むメタデータを提供するためにも使用され得る。

いくつかの実施形態では、ヘルスケアデータプロセッサによって提供される使用条件（または契約または合意）は、ヘルスケアデータが共有／処理を許可される前にヘルスケアデータ提供者によって署名され、認証部によって検証され得る暗号化鍵に関連付けられる。

図１は、いくつかの実施形態にかかる、ヘルスケアデータ提供者１００と複数のデータ処理アプリケーション１６０との間でヘルスケアデータをセキュアに共有するためのヘルスケアデータ共有システム１０５の説明図である。ヘルスケアデータ提供者１００は、患者の電子医療レコード、臨床試験データ、医療撮像データもしくは他の診断データ、および／または他のタイプのヘルスケアデータを含み得るヘルスケアデータにアクセスし、共有するように構成される。データ提供者１００は、セキュアな特権ネットワーク内に接続されるなど、データサーバ１１５に記憶され得る電子フォーマット（例えば、データベース）においてレコードを記憶する。

ヘルスケアデータ提供者１００はまた、ヘルスケアデータを共有するためのシステムの要素と通信することができる広域ネットワーク（例えば、インターネット）１８０に接続される。データ提供者１００は、認証サーバ１４０とデータ提供者１００との間の通信をセキュアに処理および検証するように構成された信頼できるコンポーネント１２０を有する。信頼できるコンポーネント１２０は、データ提供者１００のコンピューティング装置にインストールされたソフトウェアモジュールであってもよく、および／またはその特権ネットワーク内でデータ提供者１００と直接接続され、データ共有システム／認証部と同じソースから発生するものとして認証サーバ１４０およびデータ提供者によって信頼できる別個の装置（例えば、暗号化されたソフトウェアドングル／鍵、モバイルコンピューティング装置）を含んでもよい。いくつかの実施形態では、信頼できるコンポーネントは、（例えば、本明細書でさらに説明するように、認証サーバ１４０および／またはデータ処理アプリケーション１６０を用いて）共有／送信され得る他の暗号化鍵および／またはデータに署名するために使用されるその中にセキュアに埋め込まれた（例えば、それ自体が暗号化された）秘密暗号化鍵を有する。

信頼できるコンポーネント１２０は、認証サーバ１４０によって要求されたときにデータ提供者１００を認証／識別し、認証サーバ１４０を検証し、データ処理アプリケーション１６０との暗号化およびデータ共有を処理するようにプログラムおよび構成されてもよい。いくつかの実施形態では、このプログラミングは、データ提供者／アプリケーション固有の暗号化鍵を取得および共有することと、認証サーバ１４０に暗号化鍵の認証／検証を要求することと、を含む。データ提供者／アプリケーション固有の暗号化鍵は、信頼できる鍵セット生成部１３０から生成および取得され得る。データ処理アプリケーションは、特定の使用条件、合意、および／または契約１７０に関連付けられてもよく、データ提供者／アプリケーション固有の暗号化鍵もまた、条件／合意／契約に固有である。信頼できるコンポーネントおよび／または認証サーバ１４０は、（例えば、図４Ａに関して図示および説明したように）特定のデータ処理アプリケーションを選択するためのインターフェースを提供し、データ提供者固有、アプリケーション固有、および／または契約／条件固有の暗号化鍵を取得および共有し、認証サーバ１４０に暗号化鍵の認証／検証を要求し、ヘルスケアデータ提供者１００からのヘルスケアデータを暗号化し、暗号化されたデータを本明細書でさらに説明するようなデータ処理アプリケーション１６０と共有するようにプログラムされ得る。

１つまたは複数のデータ処理アプリケーション１６０は、データ提供者１００のヘルスケアデータを処理するために、１つまたは複数のデータプロセッサ（例えば、１５０Ａおよび１５０Ｂ）からＷＡＮ１８０（例えば、インターネット）を介して利用可能である。データプロセッサ１５０Ａおよび１５０Ｂは、アプリケーションサーバ装置上などでデータ処理アプリケーション１６０の動作をホストし得て、および／またはデータ提供者１００にある装置上でデータ処理アプリケーション１６０のインストールを提供し得る。データプロセッサ１５０Ａおよび１５０Ｂならびにそれらのアプリケーション１６０は、ヘルスケアデータ提供者１００からの共有された暗号化されたヘルスケアデータの受信、ならびに共有データの復号および処理を含む、認証サーバ１４０および信頼できるコンポーネント１２０と協調して動作するように構成される。データ処理アプリケーションは、診断、処置、および／または臨床研究の支援を決定するために、提供者１００からの患者レコードおよび／または他のデータを分析するアプリケーションを含み得る。

ヘルスケアデータ提供者１００による使用のためにデータ処理アプリケーション１６０が選択されると、認証サーバ１４０およびそれぞれのデータプロセッサ（例えば、１５０Ａまたは１５０Ｂ）が（例えば、信頼できるコンポーネント１２０によって）警告され、選択されたアプリケーションに関して特定の暗号化鍵を取得し、署名し、配布するプロセスが開始する。

それぞれのデータプロセッサ１５０Ａおよび１５０Ｂとデータ提供者１００との間のデータ共有トランザクションは、プロセッサと認証サーバ１４０との間の通信によって検証されて保護される。本明細書でさらに説明するように、データ提供者／アプリケーション固有の暗号化鍵は、選択されたアプリケーションごとに（例えば、鍵生成部１３０によって）生成され、ヘルスケアデータを暗号化するためにヘルスケアデータ提供者１００によって使用され、データを復号するためにデータプロセッサによって使用される。暗号化／復号プロセスが発生する前に、アプリケーション固有の鍵は、（例えば、信頼できるコンポーネント１２０を利用する）データ提供者１００およびデータプロセッサ／アプリケーションによってそれぞれ署名されることになり、その後、それらは認証部１４０と共有される。認証部１４０は、署名の検証／認証を行い、暗号化、共有、復号を行うためのそれぞれの許可として、署名／検証のレコードを記憶する。データ提供者１００またはデータプロセッサ１５０Ａまたは１５０Ｂのいずれかは、アプリケーション（および／またはデータ提供者および／または契約）固有の鍵の取り消しを認証部１４０に伝達することによって認可を取り消し得る。いくつかの実施形態では、これは、署名された鍵と、鍵が取り消されたという通知との通信によって行われる。データ提供者またはプロセッサ（例えば、それぞれのアプリケーション固有の鍵の真正性／有効性）からの許可のステータス要求に応答して、認証部１４０は、特定のデータ提供者およびデータ処理アプリケーションの検証／認証を表すレコードの検索を実行し、レコード（またはレコードの欠如）がデータ共有が許可されているか否かを示すか（例えば、それぞれのアプリケーション固有の鍵の真正性／有効性または欠如）に応じて、検索に基づいて応答する。

図２は、いくつかの実施形態にかかる、利用可能なヘルスケアデータ処理アプリケーションを選択してヘルスケアデータ提供者からのヘルスケアデータのセキュアな共有を容易にするヘルスケアデータ共有システムのフローチャートである。ブロック２１０において、ヘルスケアデータ共有システムは、利用可能なデータ処理アプリケーション（または「アプリ」）のリストを生成し、ヘルスケアデータ提供者と共有する。利用可能なデータ処理アプリケーションの識別は、既知のヘルスケアデータプロセッサのセットまたはこの情報の他の既知のソース（例えば、第三者サプライヤ／ベンダー）をクエリすることによって実行され得る。いくつかの実施形態では、データプロセッサアプリケーションに関するメタデータは、各データプロセッサアプリケーション（例えば、ルーティング情報、ＩＰアドレス、ＵＲＬ、ドメイン名）に対して提供される。

ブロック２２０において、各データ処理アプリケーションに関する情報が取得されると、（例えば、図４Ａに示すように）アプリケーションのリストがヘルスケアデータ共有システムによってヘルスケアデータ提供者に提示される。いくつかの実施形態では、信頼できるコンポーネント（例えば、図１の信頼できるコンポーネント１２０）は、利用可能なデータ処理アプリケーションを提示するためにヘルスケアデータ提供者によって動作する。ヘルスケアデータ提供者の認可されたオペレータは、（例えば、図４Ｂに示すように）選択されたデータ処理アプリケーションとデータを共有するためのアプリケーションのうちの１つを選択し得る。

ブロック２３０において、利用可能なデータ処理アプリケーションのうちの１つまたは複数の選択に応答して、選択された各アプリケーションのアプリケーション固有の暗号化鍵が、データ提供者によって署名され、ヘルスケアデータ共有システムの認証サービスと共有される。いくつかの実施形態では、信頼できるコンポーネントは、データ提供者に代わって「公開」アプリケーション固有の暗号化鍵を取得または受信し、署名された鍵を認証部（例えば、図１の認証サーバ１４０）に送信する前に鍵のコピーに署名する。いくつかの実施形態では、アプリケーション固有の鍵セットは、データ提供者固有およびアプリケーション固有（データ提供者／アプリケーション固有）の両方である。それぞれのデータ処理アプリケーション（またはデータプロセッサ）には、選択された各アプリケーション（およびデータ提供者）の対応する「秘密」アプリケーション固有の暗号化鍵へのアクセスが提供される。次いで、データプロセッサは、署名された鍵をヘルスケアデータ共有システムの認証サービス（例えば、認証サーバ）に送信する前に秘密暗号化鍵に署名し、それぞれのデータ提供者からデータを受信して処理するための許可を示し得る。

ブロック２４０において、ヘルスケアデータ共有システムの認証サービスは、署名されたアプリケーション固有の暗号化鍵をデータ提供者およびデータアプリケーション／プロセッサから受信する。認証サービスは、鍵の署名をデータ提供者およびデータプロセッサに対応するものとして検証する。鍵を検証すると、認証サービスは、検証／認証のレコードを記憶する。いくつかの実施形態では、データ提供者に対応する署名は、ヘルスケアデータ共有システムに専有された署名鍵を利用して信頼できるコンポーネントから発信される。いくつかの実施形態では、署名鍵は、信頼できるコンポーネントのセキュアなソフトウェアおよび／またはハードウェアモジュールに統合される。

認証サービスがアプリケーション固有鍵の検証に失敗した場合、データ提供者およびデータプロセッサのそれぞれに失敗が通知され得る。いくつかの実施形態では、データ提供者および／またはデータプロセッサは、複数のデータ共有トランザクションのそれぞれに対して少なくとも１回など、データ共有トランザクションを実行しながら、異なる時点でアプリケーション固有の鍵の認可の検証を要求し得る。いくつかの実施形態では、信頼できるコンポーネントは、データ提供者に代わってステータス要求を認証サービスに通信する。

ブロック２５０において、アプリケーション固有の鍵の認証後、ヘルスケアデータ共有システム（例えば、信頼できるコンポーネント）は、ヘルスケアデータ提供者からデータを受信し、データ提供者のアプリケーション固有の鍵を利用してデータを暗号化する。そして、暗号化されたヘルスケアデータは、（例えば、信頼できるコンポーネントによって）送信／ヘルスケアデータ処理アプリケーション／プロセッサと共有される。

ブロック２６０において、アプリケーション固有の認可がデータ提供者について（例えば、信頼できるコンポーネントによって）検証できない場合、ヘルスケアデータ共有システムは、データ提供者のヘルスケアデータのデータ処理アプリケーションとの共有を提供しない。ヘルスケアデータ提供者およびデータ処理アプリケーション／プロセッサは、その後、ブロック２１０において、それらの間のデータ共有の認可または再認可に関与し得る。

ブロック２７０において、データ処理アプリケーションが暗号化されたヘルスケアデータを受信した後、アプリケーション固有の暗号化鍵を使用してデータを復号し、復号されたデータを処理する。次いで、データ処理アプリケーションは、結果のレポートを送信すること、および／または（例えば、ウェブページ、または図４Ｂに示すようにヘルスケアデータ提供者にインストールされたアプリケーションによって）処理結果をユーザインターフェースに表示することなどによって、処理の結果をヘルスケアデータ提供者と共有し得る。

ブロック２８０において、ヘルスケアデータ提供者および／またはデータ処理アプリケーションによるデータ共有の許可後に、一方または両方が、特定のアプリケーションのためのデータ共有システムとのデータ共有／処理を取り消す。これは、それぞれの（署名されたまたは署名されていない）アプリケーション固有の鍵を含むそのような取り消しメッセージをヘルスケアデータ共有システムに送信することによって実行され得る。いくつかの実施形態では、取り消しは、認証サービス（例えば、図１のサーバ１４０）によって受信され、その後、サービスは、レコードを記憶し（またはレコードを削除／省略し）、ヘルスケアデータ提供者とデータ処理アプリケーションとの間のデータ共有が取り消されるか、そうでなければ許可されていないことを反映する。そのような取り消しの後、認可が再確立されるまで、および認可が再確立される場合、さらなるデータ共有トランザクションは、データ共有システムによって拒否され得る。

いくつかの実施形態では、認証サービスは、アプリケーション固有の鍵セットに関するデータ提供者および／またはデータ処理アプリケーションからの認証要求に応答するように構成およびプログラムされる。次いで、認証サービスは、アプリケーション固有の鍵セットがそれぞれ認証／有効または取り消し／無効／未認証のいずれかであることを示す送信で応答する。いくつかの実施形態では、認証サービスは、特定のアプリケーション固有の鍵セットの有効性／認証が変化したときに、データ提供者および／またはデータ処理アプリケーションを自動的に更新するようにプログラムされる。

図３は、いくつかの実施形態にかかる、ヘルスケアデータ提供者と選択されたデータ処理アプリケーションの提供者との間のアプリケーション固有および契約固有の暗号化鍵の署名認可を容易にするシステムの説明図である。ヘルスケアデータ提供者３１０は、ヘルスケアデータプロセッサ３４０とヘルスケアデータを共有するヘルスケアデータソース３１５を含む。

ヘルスケアデータ共有システムは、データプロセッサ３４０のデータ処理アプリケーション３２５とのデータ提供者のデータの共有および処理を容易にするように構成される。データ処理アプリケーション３２５は、データ提供者３１０にインストールされ、および／またはデータプロセッサ３４０においてリモート操作されるソフトウェアアプリケーションであってもよい。本明細書でさらに説明するように、ヘルスケアデータ共有システムの信頼できるコンポーネント３２０は、データ提供者３１０と統合され、データ提供者３１０とデータ処理アプリケーション３２５との間のデータ共有および契約トランザクションを交渉し、セキュアにするために使用される。

信頼できるコンポーネント３２０および認証サーバ３３０を含むヘルスケアデータ共有システムは、データプロセッサ３４０からのデータ処理アプリケーション３２５および３７０を含むデータプロセッサから利用可能なデータ処理アプリケーションに関する情報を取得する。いくつかの実施形態では、認証サーバ３３０は、どのデータ処理アプリケーションが利用可能であるかに関する情報を用いて構成される。スクリーニングプロセスは、例えば、データプロセッサおよびそれらのアプリケーションが特定のレベルのセキュリティおよび信頼を満たすかどうかを検証するデータ共有システムによるプロセスを含み得る。データプロセッサは、それらのデータ処理アプリケーションの利用可能性をデータ共有システム（例えば、認証サーバ３３０）に通信し、スクリーニングプロセス後に、システム内での利用可能性のためにアプリケーションの承認を受け入れるか拒否し得る。システムに受け入れられると、認証サーバは、利用可能なアプリケーションのそれぞれに関してアプリケーション固有の暗号化鍵を生成し得る。

いくつかの実施形態では、使用条件または契約（または合意）３６５および３７５は、それぞれのデータ処理アプリケーション３２５および３７０に対してデータプロセッサによって提供される。これらの用語は、図４Ａに示されるインターフェースなどを介してデータ提供者に利用可能にされ得る。いくつかの実施形態では、ヘルスケアデータ共有システムは、これらの契約をスクリーニングし、インターフェース内のデータ提供者によるレビューのために鍵条件（例えば、データ使用、保持、内部／パートナー共有）を強調表示し得る。いくつかの実施形態では、スクリーニングは、それぞれのアプリケーションがヘルスケアデータ提供者に利用可能になることを可能にする前に、契約／条件が法律の特定の領域（例えば、データプライバシー法）または（例えば、データ提供者によって要求されるように）ポリシーに準拠しているかどうかを決定することを含み得る。いくつかの実施形態では、スクリーニングは、自然言語処理装置（ＮＬＰ）および／または機械学習システムを適用することを含み、自然言語処理装置および／または機械学習システムは、重要な条件を識別し、および／または適用される法律および／またはポリシーへの遵守を検証するために契約をレビューする。いくつかの実施形態では、ヘルスケアデータ共有システムは、データ処理アプリケーションの使用のために、データ提供者によるデータプロセッサへの支払いのためのインターフェースを提供する。

いくつかの実施形態では、契約固有（例えば、または合意固有）の暗号化鍵が、（例えば、鍵生成部３５０によって）契約／条件に関して、または契約／条件に関連して生成され、データプロセッサとヘルスケアデータ提供者との間で配布される。契約／条件の提供および提供の受け入れを示すために、それぞれのデータプロセッサおよびデータ提供者は、本明細書でさらに説明するように、対応するアプリケーション固有の鍵に署名するのと同様の方法で、契約固有の暗号化鍵に署名し得る。データ提供者およびプロセッサのそれぞれが、署名された契約固有の鍵を認証サーバ３３０と共有した場合、データサーバ３３０は、署名された鍵のレコードを記憶する。データ提供者３１０およびプロセッサ３４０のそれぞれはまた、取り消しを認証サーバ３３０に通信することによって、契約の受け入れを取り消し得る。各データ共有トランザクションを処理する前に、（信頼できるコンポーネント３２０を介して）データ提供者およびデータプロセッサ３４０は、提供者とプロセッサとの間のように、契約がまだアクティブ且つ有効であることを認証サーバによって検証し得る。

図４Ａは、いくつかの実施形態にかかる、データ提供者がデータ処理アプリケーションを選択するためのヘルスケアデータ共有システムのソフトウェアインターフェース４００の説明図である。インターフェースは、（例えば、認証サーバ１４０からクエリされる）利用可能なデータ処理アプリケーションをヘルスケアデータプロセッサに提示する信頼できるコンポーネント（例えば、図１の信頼できるコンポーネント１２０）から動作するようにプログラムされ得る。メニュー４１５は、利用可能なデータ処理アプリケーションの選択可能なリストを提供する。特定のデータ処理アプリケーションは、ボタン４１０を使用することによってヘルスケアデータ提供者による使用のために選択され得る。トグルボタン４２０に応答して、ヘルスケアデータ共有システムは、データ処理アプリケーションに関連付けられた契約４２５の特定の条件（例えば、図３の条件３６５および３７５）を提示する。いくつかの実施形態では、契約の条件をレビューすることは、特定の種類の条件および特定の法律またはポリシーに対する契約の遵守を識別することと、レビューの結果をデータ提供者用のインターフェースに提示することと、を含む。

図４Ｂは、いくつかの実施形態にかかる、データ処理アプリケーションインターフェースの説明図である。データプロセッサは、データプロセッサのコンピューティングシステム（例えば、ウェブインターフェース）上で動作し、および／または（例えば、図３Ａの信頼できるコンポーネント３２０を介して）ヘルスケアデータ共有システムと協調／協働して動作するヘルスケアデータ提供者のコンピューティングシステム上にインストールされたデータ処理アプリケーション（例えば、図１のデータ処理アプリケーション１６０）を介して処理インターフェース４３０を提供し得る。

インターフェース４３０は、ボタン４４０を切り替えることによって起動されるヘルスケアデータ提供者がヘルスケアデータを共有するための機能を含む。この機能は、（例えば、データサーバ１１５から）データ提供者のオペレータが共有されるべきデータを選択することを可能にするヘルスケアデータ共有システムによって提供される別個のインターフェース４４５を呼び出す。ヘルスケアデータを選択すると（またはその前に）、ヘルスケアデータ共有システムは、本明細書でさらに説明するように、対応するアプリケーション固有および／または契約固有の暗号化鍵を検証することなどによって、ヘルスケアデータ提供者によるデータ処理アプリケーションの使用を最初に認証／検証し得る。

ヘルスケアデータを選択し、データがデータ処理アプリケーションと共有され得ることを検証した後（例えば、アプリケーション／契約固有の鍵の検証によって）、選択されたヘルスケアデータは、アプリケーション固有の暗号化鍵を使用して暗号化され、データ処理アプリケーション／プロセッサと共有される（例えば、信頼できるコンポーネントによって）。次いで、オペレータは、ボタン４５０を切り替えることによってデータ処理アプリケーションにデータを処理させることを選択し得る。次いで、データ処理アプリケーション／プロセッサは、対応するアプリケーション固有の鍵を使用して共有ヘルスケアデータを復号し、暗号化されていないデータを処理し、次いで、インターフェースウィンドウ４５５などを介してヘルスケアデータ提供者と処理の結果を提示／共有する。結果は、アプリケーション固有の暗号化鍵を使用して暗号化され、ヘルスケアデータ提供者に送信されてもよく、その後、データ提供者は、アプリケーション固有の暗号化鍵を使用して処理結果を復号する。

図４Ｃは、データ提供者が、選択されたデータ処理アプリケーションとのデータ共有を許可および許可解除するためのヘルスケアデータ共有システムのソフトウェアインターフェース４６０の説明図である。インターフェース４６０は、ヘルスケアデータ提供者に利用可能なアクティブ（許可された）および非アクティブ（許可されていない）データ処理アプリケーションのリスト４７０を提供する。許可されていないデータ処理アプリケーションは、（例えば、データ提供者またはデータプロセッサのいずれかによって）以前に許可／アクティブ化され、その後非アクティブ化されたものを含み得る。ヘルスケアデータ提供者のオペレータは、制御部４８０から特定のアプリケーションを再認可／アクティブ化し得て、または制御部４８５においてアクティブアプリケーションの認可を取り消し得る。インターフェース４６０は、信頼できるコンポーネント（例えば、信頼できるコンポーネント３２０）および／または認証サービス（例えば、認証サーバ３３０）を介して動作され得る。本明細書でさらに説明するように、認可は、それぞれのアプリケーション固有の暗号化鍵を認可させ（例えば、署名）、認証サービスと共有させる。認可解除は、特定のアプリケーションのデータ共有が取り消されたことを示すメッセージを（例えば、それぞれの署名されたアプリケーション固有鍵を用いて）認証サービスに送信させる。

図４Ｄは、データ提供者が選択されたデータ処理アプリケーションとの特定のデータのセットの共有を選択、許可、および許可解除するためのヘルスケアデータ共有システムのソフトウェアインターフェース４９０の説明図である。オペレータは、処理のために特定のデータ処理アプリケーションと暗号化および共有されるべきデータ提供者の１つまたは複数のヘルスケアデータファイルを（制御部４９７を操作して）選択し得る。いくつかの実施形態では、レコードのデータベース全体が共有され得る。共有は、ファイルのコピーを共有すること、またはデータが直接暗号化および共有されるファイル位置を選択することを含み得る。いくつかの実施形態では、データ処理アプリケーションとのデータの共有は、データプロセッサアプリケーションによるファイルへの変更を可能にする。オペレータは、ボタン４９５を操作することによって、（例えば、４９２において選択される）特定のファイルの共有を取り消し得る（またはキャンセルし得る）。

図５は、いくつかの実施形態にかかる、ヘルスケアデータプロセッサによって提供される特定の契約／アプリケーションの認証／承認および取り消しを容易にするフローチャートである。ブロック５１０において、ヘルスケアデータ共有システムの認証部（例えば、図１の認証サーバ１４０）は、ヘルスケアデータ提供者と、特定のデータ処理アプリケーションについてのドラフト契約または使用条件を共有する。いくつかの実施形態では、データ共有システムは、特定のポリシーまたは法律（例えば、データプライバシー法）を遵守するための契約／条件をスクリーニングし、それに関連する可能性のある不一致を識別し、ヘルスケアデータ提供者がレビューするための重要な条件（例えば、価格、期間、保証）を識別および強調表示し得る。いくつかの実施形態では、１つまたは複数の契約は、（例えば、同じデータプロセッサから提供される）複数のデータ処理アプリケーションの使用に対応し得る。

ブロック５２０において、ブロック５１０においてドラフト契約の条件をレビューした後、ヘルスケアデータ提供者は、（例えば、図４Ｂのインターフェースを使用して）アプリケーション固有の契約の条件を受け入れて承認する。アプリケーションおよび契約固有の暗号化鍵は、本明細書でさらに説明するようなヘルスケアデータ共有システムを介して利用可能にされる。

ブロック５３０において、データ提供者が契約を受け入れる／合意すると、データ提供者は、（例えば、図１の信頼できるコンポーネント３２０を介して）対応する契約固有およびアプリケーション固有の暗号化鍵に署名する。署名された鍵は、ヘルスケアデータ共有システムの認証サービス（例えば、認証サーバ３３０）と共有される。データプロセッサ（例えば、図３のデータプロセッサ３４０）はまた、署名された契約固有およびアプリケーション固有の暗号化鍵を認証サービスと共有する。

ブロック５４０において、認証サービスは、ヘルスケアデータ提供者およびデータプロセッサから受信した署名された契約およびアプリケーション固有の鍵の署名を認証し、鍵を受信および認証したレコードを記憶する。ブロック５５０において、対応するアプリケーション固有の暗号化鍵を使用してデータ提供者のデータを暗号化し、データをデータ処理アプリケーションと共有し、本明細書でさらに説明するようにデータを復号および処理するプロセスを含む、データ共有トランザクションが開始する。

ブロック５６０において、ヘルスケアデータ提供者は、データ処理アプリケーションとそのデータを共有するための認可および／または対応する契約の受け入れを取り消すことを認証サービスに示している。認証サービスは、取り消しのレコードを記憶する。取り消しの指示は、例えば、（例えば、信頼できるコンポーネントによって）対応する暗号化鍵の署名されたコピーを含むメッセージを認証サービスに送信することによって達成され得る。

ブロック５８０において、ブロック５６０におけるヘルスケア提供者からの許可取り消し通信の結果として、認証サービスは、要求者（例えば、信頼できるコンポーネントおよび／またはデータ処理アプリケーション／プロセッサ）に、特定のアプリケーションおよび／または契約がもはやデータ共有のために受け入れられ／許可されていないというメッセージを返すことによって、契約固有および／またはアプリケーション固有の鍵の後の検証要求に応答する。この応答に基づいて、信頼できるコンポーネントおよび／またはデータ処理アプリケーションは、特定のアプリケーションおよび／または契約に関するデータ共有動作を停止する。データ提供者は、後に、特定のアプリケーションを再認可するか、またはその使用のために同じもしくは異なる契約を認可／受け入れ得る。

ブロック５７０において、データ処理アプリケーション／プロセッサは、特定のアプリケーション／契約についての認証サービスと同様の許可解除通信を行うことによって、特定のアプリケーションおよび／または契約の使用を取り消す。（例えば、信頼できるコンポーネントを介して）ヘルスケアデータ提供者が対応するアプリケーション／契約固有の鍵の事後検証を提出すると、認証サービスは、アプリケーション／契約固有の鍵がもはやアクティブではない／検証されていないことを示す応答を同様に行う。ブロック５８０において、認証サービスから否定応答を受信した後、信頼できるコンポーネントは、特定のアプリケーションおよび／または契約のための／それに基づくヘルスケア共有トランザクションを停止する。

図６は、いくつかの実施形態にかかる、ヘルスケアデータ提供者と特定のアプリケーションとの間でヘルスケアデータをセキュアに共有するプロセスのフローチャートである。ブロック６１０において、ヘルスケアデータ提供者のコンピューティング装置と統合された信頼できるコンポーネントが、ヘルスケアデータ提供者とデータ処理アプリケーションとの間のデータ共有プロセスを容易にするために使用される。いくつかの実施形態では、信頼できるコンポーネントは、ヘルスケアデータ共有システムによって承認および／または促進されたセキュアで信頼できるインストールプロセスを利用して、ヘルスケアデータ提供者のコンピューティング装置にインストールされたソフトウェアアプリケーションである。

いくつかの実施形態では、信頼できるソースからのハードウェア要素（例えば、リードオンリーメモリフラッシュドライブまたはドングル）は、コンピューティング装置に（例えば、ＵＳＢ／シリアルポートによって）結合され、データ提供者／アプリケーション固有の鍵セットとは異なるヘルスケアデータ共有システムによって信頼／検証される信頼できる秘密鍵または他の識別情報によってプログラムされる。データ提供者がデータ共有システム（例えば、認証サーバ）と通信するとき、ハードウェアからの秘密鍵または識別は、（例えば、通信に署名することによって）ヘルスケアデータ共有システムを用いてヘルスケアデータ提供者を識別／検証するために使用される。信頼できるコンポーネントはまた、それ自体の秘密鍵によって構成されたデータ共有システムによって署名された通信を検証する（例えば、公開鍵を使用する）ことなどによって、データ共有システムのコンポーネント（例えば、認証サーバ）を検証するように構成されてもよい。

信頼できるコンポーネントがヘルスケアデータ共有提供者とともにインストールされた後、信頼できるコンポーネントとともに（またはウェブサーバなどに別々に）インストールされたソフトウェアは、ヘルスケアデータを処理するために利用可能な１つまたは複数のデータ処理アプリケーション（例えば、図４Ａ～図４Ｄ）を選択するためのヘルスケアデータ提供者用のインターフェースを提供する。アプリケーションが選択されると、それぞれのデータ提供者／アプリケーション固有の鍵セットが生成され、本明細書でさらに説明するように信頼できるコンポーネントによってアクセスされる。データを暗号化して共有する前に、信頼できるコンポーネントは、本明細書でさらに説明するように、認証サービスなどを用いて、ヘルスケアデータ共有システム内のデータ提供者／アプリケーション固有の鍵セットの署名された公開鍵を検証／認証する。認証プロセスは、それぞれのデータ処理アプリケーションがデータを処理するために依然として利用可能／認証されていることを検証し、データを共有する場所についての転送情報（例えば、ＵＲＬ、ＩＰアドレス）などの更新されたメタデータを取得するために使用され得る。

ブロック６２０において、データ共有サービスが使用のために特定のデータ共有アプリケーションを認証した後、（例えば、本明細書でさらに説明するように、アプリケーション固有の暗号化鍵を使用して）データ提供者からのヘルスケアデータが収集されて暗号化され、信頼できるコンポーネントが、データ共有トランザクションを実行するために使用される他のメタデータとともに、暗号化されたヘルスケアデータを署名／検証するために使用される。いくつかの実施形態では、メタデータは、処理されたデータ／レポートの宛先（例えば、データプロセッサ１５０Ａまたは１５０Ｂ）および／または応答位置に関するルーティング情報（例えば、ドメイン名、ＵＲＬ、ＩＰアドレス）を含む。いくつかの実施形態では、信頼できるコンポーネントは、ヘルスケアデータ提供者に関連付けられた秘密暗号化鍵を使用してパッケージに署名するコンピューティング装置にインストールされたソフトウェアを含む。

ブロック６３０において、それぞれのデータ提供者／アプリケーション固有の鍵セットの公開鍵の認証／検証時に、（例えば、信頼できるコンポーネントを使用して）データ提供者は、鍵セットの秘密鍵を使用してデータ提供者の選択されたデータを暗号化する。メタデータ（例えば、処理の結果、データの識別、および／またはデータを処理するための命令をどこに返すかについて、特定のデータプロセッサにデータを転送するためのルーティング情報）を有する暗号化データを含むパッケージが（例えば、信頼できるコンポーネントによって）生成され、パッケージは、鍵セットの秘密鍵を使用して署名され、データ処理アプリケーション／プロセッサに送信される（または共有される）。

ブロック６４０において、暗号化されたパッケージを受信した後、データプロセッサ／処理アプリケーションは、認証サービスを用いて（例えば、認証サーバ１４０において、パッケージの署名を用いて）パッケージを検証／認証する。ブロック６５０において、認証されると、データ処理アプリケーションは、データ提供者／アプリケーション固有の鍵セットの公開鍵を使用して暗号化データを復号し、データを処理し（例えば、解析／修正し）、処理結果（例えば、データ分析、図表、診断、予測、レポート、新たに処理されたデータなどを含むレポート）を生成し、次いで、処理結果をデータ提供者（または他の指定された受信者）と共有する（例えば、送信または利用可能にする）。いくつかの実施形態では、パッケージ（例えば、データ特性、処理命令、ＵＲＬ、ドメイン名、ＩＰアドレス）とともに提供されるメタデータは、処理および／または処理の結果／レポートの生成／共有を指示するために使用される。いくつかの実施形態では、共有する前に、処理の結果は、最初に、ヘルスケアデータ提供者に対応するアプリケーション固有の暗号化鍵を使用して暗号化される。

データ共有／処理は、ブロック６６０においてヘルスケアデータ提供者またはデータプロセッサ／処理アプリケーションの一方が認可を取り消すまで継続し得る。本明細書でさらに説明するように、取り消しは、アプリケーション固有の鍵および／またはヘルスケアデータ提供者に関連付けられた他の識別情報を有する取り消しメッセージを送信することによって達成され得る。

図７はいくつかの実施形態にかかる、ヘルスケアデータをセキュアに共有するためのシステムのコンピューティング装置および処理コンポーネントの説明図である。

本開示の上述した実施形態は、限定ではなく例示を目的として提示されており、本開示は、添付の特許請求の範囲によってのみ限定される。さらにまた、任意の１つの実施形態に記載された特徴および限定は、本明細書の任意の他の実施形態に適用されてもよく、１つの実施形態に関するフローチャートまたは例は、適切な方法で任意の他の実施形態と組み合わされてもよく、異なる順序で行われてもよく、または並行して行われてもよいことに留意されたい。さらに、本明細書に記載のシステムおよび方法は、リアルタイムで実行され得る。上述したシステムおよび／または方法は、他のシステムおよび／または方法に適用されてもよく、またはそれにしたがって使用されてもよいことにも留意されたい。

本明細書で言及されるコンピュータシステムのいずれも、任意の適切な数のサブシステムを利用し得る。そのようなサブシステムの例は、図７においてコンピュータシステム１０内に示されている。いくつかの実施形態では、コンピュータシステムは、単一のコンピュータ装置を含み、ここでサブシステムは、コンピュータ装置のコンポーネントとすることができる。他の実施形態では、コンピュータシステムは、それぞれがサブシステムであり、内部コンポーネントを備えた複数のコンピュータ装置を含むことができる。コンピュータシステムは、デスクトップおよびラップトップコンピュータ、タブレット、携帯電話、ならびに他のモバイル装置を含むことができる。いくつかの実施形態では、開示された技術を実装するために、クラウドインフラストラクチャ（例えば、アマゾン・ウェブ・サービス）、グラフィカル処理ユニット（ＧＰＵ）などが使用され得る。

図７に示すサブシステムは、システムバス７５を介して相互接続されている。プリンタ７４、キーボード７８、記憶装置７９、ディスプレイアダプタ８２に接続されたモニタ７６などの追加のサブシステムが示されている。Ｉ／Ｏコントローラ７１に結合された周辺および入出力（Ｉ／Ｏ）装置は、入出力（Ｉ／Ｏ）ポート７７（例えば、ＵＳＢ、ＦｉｒｅＷｉｒｅ（登録商標））などの当該技術分野において知られている任意の数の手段によって、コンピュータシステムに接続され得る。例えば、Ｉ／Ｏポート７７または外部インターフェース８１（例えば、Ｅｔｈｅｒｎｅｔ、Ｗｉ－Ｆｉなど）は、コンピュータシステム１０を、インターネットなどのワイドエリアネットワーク、マウス入力装置、またはスキャナに接続するために使用され得る。システムバス７５を介した相互接続は、セントラルプロセッサ７３が、サブシステムのそれぞれと通信し、システムメモリ７２または記憶装置７９（例えば、ハードドライブなどの固定ディスク、または、光ディスク）からの複数の命令の実行、ならびにサブシステム間の情報の交換の制御を可能にする。システムメモリ７２および／または記憶装置７９は、コンピュータ可読媒体を具体化し得る。別のサブシステムは、カメラ、マイクロフォン、加速度計、その他などのデータ収集装置８５である。本明細書で説明したデータの任意のものは、あるコンポーネントから別のコンポーネントへ出力され得、ユーザに出力され得る。

コンピュータシステムは、例えば、外部インターフェース８１または内部インターフェースによって一体に接続された、複数の同じコンポーネントまたはサブシステムを含むことができる。いくつかの実施形態では、コンピュータシステム、サブシステム、または装置は、ネットワークを介して通信することができる。そのような例では、１つのコンピュータは、クライアントと見なすことができ、別のコンピュータは、サーバと見なすことができ、それらのそれぞれは、同じコンピュータシステムの一部とすることができる。クライアントおよびサーバは、それぞれ、複数のシステム、サブシステム、またはコンポーネントを含むことができる。

実施形態の態様は、ハードウェア（例えば、特定用途向け集積回路またはフィールドプログラマブルゲートアレイ）を使用して、および／またはモジュラー様式または統合された様式の一般にプログラム可能なプロセッサを伴う、コンピュータソフトウェアを使用して、制御ロジックの形態で実装され得る。本明細書で使用されるとき、プロセッサは、１つの集積チップ上のシングルコアプロセッサ、マルチコアプロセッサ、または１つの回路基板上の、もしくはネットワーク接続されたマルチプロセッシングユニットを含む。本明細書で提供される開示および教示に基づいて、当業者は、ハードウェアおよびハードウェアとソフトウェアとの組み合わせを使用して、本発明の実施形態を実装するための他の手段および／または方法を知り、理解するであろう。

本出願で説明されるソフトウェアのコンポーネントまたは関数はいずれも、例えばＪａｖａ、Ｃ、Ｃ＋＋、Ｃ＃、Ｏｂｊｅｃｔｉｖｅ－Ｃ、Ｓｗｉｆｔなどの任意の好適なコンピュータ言語、または例えば、従来のもしくはオブジェクト指向の技術を使用するＰｅｒｌもしくはＰｙｔｈｏｎなどのスクリプト言語を使用して、プロセッサによって実行されるソフトウェアコードとして実装され得る。ソフトウェアコードは、一連の命令またはコマンドとして、記憶および／または伝送のためにコンピュータ可読媒体上に記憶され得る。好適な非一時的コンピュータ可読媒体は、ランダムアクセスメモリ（ＲＡＭ）、リードオンリーメモリ（ＲＯＭ）、ハードドライブ、フロッピーディスクなどの磁気媒体、コンパクトディスク（ＣＤ）もしくはＤＶＤ（デジタル多用途ディスク）などの光学的媒体、またはフラッシュメモリ、などを含むことができる。コンピュータ可読媒体は、そのような記憶装置または送信装置の任意の組み合わせであり得る。

そのようなプログラムはまた、インターネットを含む様々なプロトコルに準拠する有線、光、および／または無線ネットワークを介した送信に適合されたキャリア信号を使用して符号化および送信され得る。そのため、コンピュータ可読媒体は、そのようなプログラムを用いて符号化されたデータ信号を使用して作成され得る。プログラムコードによって符号化されたコンピュータ可読媒体は、互換性のある装置と一緒にパッケージ化されるか、または（例えば、インターネットダウンロードを介して）他の装置とは別に提供され得る。任意のそのようなコンピュータ可読媒体は、個々のコンピュータ製品（例えば、ハードドライブ、ＣＤ、または完全なコンピュータシステム）上にまたは内部に備えられ得て、また、システムまたはネットワーク内部の異なるコンピュータ製品上にまたは内部に存在し得る。コンピュータシステムは、本明細書に記載の結果のいずれかをユーザに提供するためのモニタ、プリンタ、または他の適切なディスプレイを含み得る。

本明細書に説明される方法のいずれも、ステップを実行するように構成され得る１つまたは複数のプロセッサを含むコンピュータシステムを用いて完全にまたは部分的に実行され得る。したがって、実施形態は、本明細書に記載の方法のいずれかの工程を実行するように構成された、各工程または工程の各集団を実行する種々のコンポーネントを潜在的に備える、コンピュータシステムを対象にすることができる。符号付きのステップとして提示されているが、本明細書の方法のステップは、同時にまたは異なる順序で実行され得る。さらに、これらのステップの部分は、他の方法からの別のステップの一部とともに使用され得る。また、ステップの全てまたは一部は、任意であり得る。さらに、任意の方法の任意のステップは、モジュール、ユニット、回路、またはこれらのステップを実行するための他の手段を用いて実行され得る。

特定の実施形態の固有の詳細は、本発明の実施形態の精神および範囲から逸脱することなく、任意の適切なやり方で組み合わせられてもよい。しかしながら、本発明の他の実施形態は、それぞれの個別の態様に関する特定の実施形態、またはこれらの個別の態様の特定の組み合わせを対象としてもよい。

本発明の例示的な実施形態の上記説明は、図示および説明を目的として提示されている。網羅的であること、または本発明を、説明されたそのものの形式に限定することを意図するものではなく、多数の変更および変形が、上述した教示に照らして可能である。「ａ」、「ａｎ」、または「ｔｈｅ」という記載は、そのようでないと具体的に示されない限り、「１つまたは複数」を意味するように意図される。「または」の使用は、そのようでないと具体的に示されない限り、「排他的論理和」でなく、「包含的論理和」を意味するように意図される。「第１の」コンポーネントへの言及は、必ずしも第２のコンポーネントが設けられることを必要としない。さらに「第１の」または「第２の」コンポーネントへの言及は、明確に規定されない限り、言及されたコンポーネントを特定の位置に限定しない。

本明細書に説明される全ての特許、特許出願、刊行物、および説明文は、それらの全体が参照により組み込まれる。いずれも先行技術であると認められるものではない。

Claims (15)

1. ヘルスケアデータ提供者（１００）からのヘルスケアデータ（１１５）をヘルスケアデータプロセッサ（１５０）と共有するためのデータ共有システム（１０５）用のコンピュータ実装方法であって、
   １つまたは複数のヘルスケアデータプロセッサアプリケーション（１６０）を識別することと、
   ヘルスケアデータ提供者（１００）において前記１つまたは複数のデータプロセッサアプリケーション（１６０）の選択可能なオプションを生成および表示することと、
   前記ヘルスケアデータ提供者（１００）から前記１つまたは複数のデータプロセッサアプリケーション（１６０）の選択を取得することと、
   選択された各ヘルスケアデータプロセッサアプリケーション（１６０）に対応するデータ提供者／アプリケーション固有の暗号化鍵セットを取得することであって、前記鍵セットが秘密鍵および公開鍵を含む、取得することと、
   前記データ提供者／アプリケーション固有の鍵セットの前記秘密鍵を前記ヘルスケアデータ提供者の信頼できるコンポーネント（１２０）を用いて保持することと、
   前記データ提供者／アプリケーション固有の鍵セットの前記公開鍵を対応する選択されたヘルスケアデータプロセッサアプリケーション（１６０）と共有することと、
   前記ヘルスケアデータ共有システム（１０５）の認証サーバ（１４０）において、前記ヘルスケアデータ提供者（１００）の前記信頼できるコンポーネント（１２０）を使用して署名および有効化され、前記選択されたデータプロセッサアプリケーション（１６０）のそれぞれによって署名および有効化されているものとして、前記データ提供者／アプリケーション固有の鍵セットの前記公開鍵を認証および有効化することと、
   前記データ提供者／アプリケーション固有の鍵セットの前記公開鍵が、前記ヘルスケアデータ提供者（１００）および対応するデータプロセッサアプリケーション（１６０）の両方に対して認証および有効化される場合に、前記ヘルスケアデータ提供者（１００）の前記ヘルスケアデータ（１１５）を、対応する前記データ提供者／アプリケーション固有の鍵セットの前記秘密鍵を使用して暗号化させ、暗号化された前記ヘルスケアデータを、対応する前記選択されたデータプロセッサアプリケーション（１６０）に送信させることと
   を含む、方法。
2. 前記データ提供者／アプリケーション固有の鍵セットの前記公開鍵を共有することが、
   前記信頼できるコンポーネント（１２０）を使用して前記公開鍵に署名することと、
   署名された前記公開鍵を対応する前記選択されたデータプロセッサアプリケーション（１６０）に送信することと
   を含む、請求項１に記載の方法。
3. 署名された前記公開鍵を前記認証サーバ（１４０）に送信することと、
   前記認証サーバ（１４０）において、前記データ提供者（１００）のそれぞれによって署名および有効化されているものとして、前記データ提供者／アプリケーション固有の鍵セットの前記公開鍵を認証および有効化するために、署名された前記公開鍵を受信したレコードを記憶することと
   をさらに含む、請求項１または２に記載の方法。
4. 前記認証サーバ（１４０）において、前記データ提供者／アプリケーション固有の鍵セットがもはや有効化されていないことを示す、前記ヘルスケアデータ提供者（１００）または前記データプロセッサアプリケーション（１６０）のうちの１つからの通信を受信することと、
   前記暗号化されたヘルスケアデータを、対応する前記選択されたデータプロセッサアプリケーション（１６０）に送信させることを停止することと
   をさらに含む、請求項１から３のいずれか一項に記載の方法。
5. 前記データ提供者／アプリケーション固有の鍵セットがまた、前記ヘルスケアデータ（１１５）および前記データプロセッサアプリケーション（１６０）の使用についての合意に関係する条件に固有であり、
   前記条件のセットが、対応する前記選択されたデータプロセッサアプリケーション（１６０）の使用に任意に関連し、前記条件のセットを受け入れるための選択可能なオプションが、前記ヘルスケアデータ提供者（１００）に提供され、前記ヘルスケアデータ提供者（１００）による前記条件のセットを受け入れる選択の取得に応答して、前記データ提供者／アプリケーション固有および条件に固有の鍵セットの前記公開鍵が、前記ヘルスケアデータ提供者（１００）の前記信頼できるコンポーネント（１２０）を使用して署名される、請求項１から４のいずれか一項に記載の方法。
6. 前記信頼できるコンポーネント（１２０）が、前記ヘルスケアデータ提供者（１００）においてインストールされ、前記信頼できるコンポーネント（１２０）が、前記ヘルスケアデータ提供者（１００）のコンポーネントとして識別されるようにプログラムおよび構成され、前記信頼できるコンポーネント（１２０）が、
   選択された各ヘルスケアデータプロセッサアプリケーション（１６０）に対応する前記データ提供者／アプリケーション固有の暗号化鍵セットを取得し、
   前記データ提供者／アプリケーション固有の鍵セットの前記公開鍵を、対応する前記選択されたヘルスケアデータプロセッサアプリケーション（１６０）と共有し、
   前記ヘルスケアデータ提供者（１００）の前記ヘルスケアデータ（１１５）を暗号化し、暗号化された前記ヘルスケアデータを対応する前記データプロセッサアプリケーション（１６０）に送信させる
   ように任意でプログラムされ得る、請求項１から５のいずれか一項に記載の方法。
7. 前記信頼できるコンポーネント（１２０）が、前記信頼できるコンポーネント（１２０）によってインストールされた前記データ共有システム（１０５）の秘密暗号化鍵を含み、前記秘密暗号化鍵が、前記ヘルスケアデータ提供者（１００）から前記認証サーバ（１４０）への通信に署名するために使用され、前記通信が、前記データ提供者／アプリケーション固有の鍵セットの前記公開鍵の認証および有効化のための前記データ提供者／アプリケーション固有の鍵セットの前記公開鍵を含む、請求項１から６のいずれか一項に記載の方法。
8. 前記データ提供者／アプリケーション固有の鍵セットがまた、前記データプロセッサアプリケーション（１６０）のそれぞれによって使用するために前記データ提供者（１００）によって選択された特定のデータのセットに関係するデータに固有である、請求項１から７のいずれか一項に記載の方法。
9. １つまたは複数のデータセットを選択するための選択可能なオプションを前記ヘルスケアデータ提供者（１００）に提供することと、
   前記１つまたは複数のデータセットについてのオプションの選択を取得することと、
   前記認証サーバ（１４０）において、前記データ提供者／アプリケーション固有の鍵セットに対応するものとして前記１つまたは複数のデータセットの選択のレコードを記憶することと、
   対応する前記選択されたデータプロセッサアプリケーション（１６０）に送信される暗号化された前記ヘルスケアデータを、選択された前記１つまたは複数のデータセットに制限することと
   をさらに含む、請求項１から８のいずれか一項に記載の方法。
10. ヘルスケアデータ提供者（１００）のヘルスケアデータ（１１５）をヘルスケアデータプロセッサ（１５０）と共有するためのヘルスケアデータ共有システム（１０５）であって、前記ヘルスケアデータ共有システム（１０５）が、
    前記ヘルスケアデータ共有システム（１０５）のコンポーネントとしてヘルスケアデータ提供者（１００）によって信頼されるように構成された信頼できるコンポーネント（１２０）と、
    認証サーバ（１４０）と
    を備え、
    前記信頼されたコンポーネント（１２０）が、
    前記ヘルスケアデータ提供者（１００）によって選択されたヘルスケアデータプロセッサアプリケーション（１６０）に対応するデータ提供者／アプリケーション固有の暗号化鍵セットを取得することであって、前記鍵セットが秘密鍵および公開鍵を含む、取得することと、
    前記データ提供者／アプリケーション固有の鍵セットの前記秘密鍵を前記ヘルスケアデータ提供者（１００）の前記信頼できるコンポーネント（１２０）を用いて保持することと、
    前記データ提供者／アプリケーション固有の鍵セットの前記公開鍵を対応する選択されたヘルスケアデータプロセッサアプリケーション（１６０）と共有させることと
    を行うようにプログラムおよび構成され、
    前記認証サーバ（１４０）が、
    前記信頼できるコンポーネント（１２０）に関連して前記ヘルスケアデータ提供者（１００）によって署名および有効化されているものとして、前記データ提供者／アプリケーション固有の鍵セットの前記公開鍵を認証および有効化し、
    前記それぞれの選択されたデータプロセッサアプリケーション（１６０）によって署名および有効化されているものとして、前記データ提供者／アプリケーション固有の鍵セットの前記公開鍵を認証および有効化する
    ようにプログラムおよび構成されている、
    ヘルスケアデータ共有システム（１０５）。
11. 前記信頼できるコンポーネント（１２０）または前記認証サーバ（１４０）のうちの少なくとも一方が、
    前記ヘルスケアデータ提供者（１００）において１つまたは複数のデータプロセッサアプリケーション（１６０）の選択可能なオプションを生成して表示し、
    前記ヘルスケアデータ提供者（１００）から前記選択可能なオプションの生成された表示からの１つまたは複数のデータプロセッサアプリケーション（１６０）の選択を取得する
    ようにプログラムおよび構成され、
    前記提供者／アプリケーション固有の暗号化鍵セットが、前記１つまたは複数のデータプロセッサアプリケーション（１６０）の選択に基づいて取得され、
    前記信頼できるコンポーネント（１２０）が、
    データ提供者／アプリケーション固有の鍵セットの公開鍵に署名し、
    署名された前記公開鍵を前記認証サーバ（１４０）およびそれぞれの前記データプロセッサアプリケーション（１６０）と共有する
    ように任意で構成され得る、請求項１０に記載のシステム。
12. 前記信頼できるコンポーネント（１２０）が、各データ提供者／アプリケーション固有の鍵セットとは異なる、前記信頼できるコンポーネント（１２０）およびヘルスケアデータ提供者（１００）に固有の秘密鍵を含み得て、前記信頼できるコンポーネント（１２０）が、前記信頼できるコンポーネント（１２０）およびヘルスケアデータ提供者（１００）に固有の前記秘密鍵によって前記データ提供者／アプリケーション固有の鍵セットの前記公開鍵に署名するように構成される、請求項１０または１１に記載のシステム。
13. 前記認証サーバ（１４０）が、
    前記データ提供者／アプリケーション固有の鍵セットがもはや有効化されていないことを示す、前記ヘルスケアデータ提供者（１００）または前記データプロセッサアプリケーション（１６０）のうちの１つからの通信を受信し、
    前記通信の受信に応答して、データ提供者／アプリケーション固有の鍵セットが無効化されたことを表すレコードを記憶し、
    前記ヘルスケアデータ提供者（１００）または前記データプロセッサアプリケーション（１６０）のうちの１つから、前記データ提供者／アプリケーション固有の鍵セットの認証を要求する通信を受信し、
    前記認証を要求する通信に応答して、前記データ提供者／アプリケーション固有の鍵セットが有効であるか無効化されていることを表すレコードの検索を行い、前記検索に基づいて、それぞれのデータ提供者／アプリケーション固有の鍵セットが無効であるか認証されていないことを示す通信を、要求元のヘルスケアデータ提供者（１００）またはデータプロセッサに送信する
    ようにプログラムおよび構成される、請求項１０から１２のいずれか一項に記載のシステム。
14. 前記データ提供者／アプリケーション固有の鍵セットがまた、前記ヘルスケアデータ（１１５）および前記データプロセッサアプリケーション（１６０）の使用についての合意に関係する条件に固有である、請求項１０から１３のいずれか一項に記載のシステム。
15. 前記データ提供者／アプリケーション固有の鍵セットがまた、前記データプロセッサアプリケーション（１６０）のそれぞれによって使用するために前記データ提供者（１００）によって選択された特定のデータのセットに関係するデータに固有である、請求項１０から１４のいずれか一項に記載のシステム。