JP4747749B2 - ドキュメント管理システムおよび情報処理装置 - Google Patents

Description

本発明は、ドキュメント管理システム、情報処理装置、および方法、並びにコンピュータ・プログラムに関する。さらに詳細には、個人情報などの重要情報の漏洩を防止し、特定のユーザによるアクセスのみを許容するドキュメント管理システム、情報処理装置、および方法、並びにコンピュータ・プログラムに関する。

近年、様々な情報の電子化が急速に進んでいる。例えば、病院などにおいて利用されるカルテや、医療目的で撮像されたレントゲン写真などの画像データについても電子化が進み、各医療機関では、このようなデータをデータベースに電子データとして保存、利用することが行なわれている。近年、医療制度改革により、各種医療機関ごとの機能分化が明確になり、１人の患者の治療を１つの病院で行なうのではなく、複数の病院で協力して行なうという場合が多くなってきている。例えば、小さな医院で初診を受けた患者が、その後、担当医師から紹介された専門の病院や、大学病院などの大規模な医療機関で次の診療を受けるといったケースである。

このように、複数の医療機関を利用する場合、従来は、患者自身が紙媒体に記録されたカルテや、紹介状、あるいは、医療目的で撮像した画像データ、Ｘ線写真フィルムなどを携帯して、紹介先の医療機関に持参して提出していた。

近年、各医療機関からアクセス可能なコンピュータネットワーク上の共有サーバに、これらのデータを格納して医療情報の管理、共有を行い、各医療機関のＰＣなどの情報処理装置から、患者に対応する様々なデータを取り出すことを可能として、患者が紙媒体の用紙やＸ線フィルムなどを携帯する必要をなくすシステムが提案されている。このような共有サーバを利用するシステムでは、患者は、カルテなど持参物の途中での紛失や紹介元への持参物の返却などの煩わしさが無くなるという効果が得られる。また、紹介元の医療機関での診察履歴などが閲覧可能となるので、紹介先の医療機関で同一の検査を重複して受けるなどの無駄も無くなる。

しかしながら、ネットワークを通じた医療情報の共有化は、患者個人の情報が漏れる恐れがあり、医療情報の流出というセキュリティ面での問題がある。このセキュリティ上の問題を解決する構成としていくつかの提案がなされている。

例えば特許文献１〜４には、共有化する情報を暗号化する構成や、紹介元において、紹介先へのアクセス権限を設定する構成や、ＩＤやパスワードによるアクセス制御を行なう構成を開示している。しかし、これらの従来技術に開示された方法では、患者が不在であっても、情報をアクセスすることが可能であり、患者の意図しないところで情報流出が発生する恐れがある。

この問題点を解決する方法として、例えば特許文献５には、患者固有の身体的特徴情報（指紋、目の虹彩、眼底像など）を情報アクセス制御に用いる方法を提案している。この構成では、患者が不在の場合には、情報のアクセスが不可能となり、個人情報の漏洩を、ある程度排除することができるが、これらの情報は、患者自身の認証プロセスを必須とするため、受付け時、または診察時に情報のダウンロードを行なうことになり、情報量および通信容量や速度により、ダウンロードに時間がかかり、受付け時間や診察時間が延びてしまうという問題を発生させることになる。
特開２００４−２６５４３８号公報 特開２００２−２５９５７３号公報 特開２０００−３３１１０１号公報 特開２００２−２６９２４３号公報 特開２００２−９２１８６号公報

本発明は、上述の問題点に鑑みてなされたものであり、医療情報、個人情報などのセキュリティを保持する必要のあるデータの漏洩を防止し、特定のユーザによるデータアクセスのみを許容するドキュメント管理システム、情報処理装置、および方法、並びにコンピュータ・プログラムを提供することを目的とする。

本発明の第１の側面は、ドキュメントの生成および暗号化を行なう情報処理装置であり、暗号鍵を適用したドキュメント暗号化処理により暗号化ドキュメントを生成する暗号処理部と、前記暗号化されたドキュメントを復号するための復号鍵、および前記暗号化ドキュメントの索引データとしてのＩＤを含むコードデータを生成するコード化処理部と、前記コードデータを記録したコード記録ドキュメントを生成するドキュメント作成部と、前記暗号化ドキュメントと前記ＩＤをサーバに送信する通信部と、を有することを特徴とする情報処理装置にある。

さらに、本発明の情報処理装置の一実施態様において、前記情報処理装置は、さらに、前記暗号鍵を生成する鍵情報生成部を備えたことを特徴とする。

さらに、本発明の情報処理装置の一実施態様において、前記鍵情報生成部は、前記暗号処理部の生成する暗号化ドキュメント各々に対して異なる暗号鍵を生成する構成であることを特徴とする。

さらに、本発明の情報処理装置の一実施態様において、前記鍵情報生成部は、前記暗号鍵および前記復号鍵を生成する構成であることを特徴とする。

さらに、本発明の情報処理装置の一実施態様において、前記鍵情報生成部は、前記暗号処理部の生成する暗号化ドキュメント各々に対して異なる復号鍵及び暗号鍵を生成する構成であることを特徴とする。

さらに、本発明の情報処理装置の一実施態様において、前記コード化処理部は、前記復号鍵および前記ＩＤの構成データに基づいて、画像データの構成画素の画素値変更処理を施したコードデータの生成を行なう構成であることを特徴とする。

さらに、本発明の第２の側面は、暗号化ドキュメントの復号処理を実行する情報処理装置であり、暗号化ドキュメントを復号するための復号鍵、および暗号化ドキュメントの索引データとしてのＩＤを含むコードデータを記録したコード記録ドキュメントからコードデータを読み取り、解析処理を実行するコード解析部と、前記コード解析部の解析データに含まれる前記復号鍵を取得する鍵情報取得部と、前記復号鍵を適用して、前記コード解析部の解析したＩＤに対応する暗号化ドキュメントの復号処理を実行する復号処理部と、を有することを特徴とする情報処理装置にある。

さらに、本発明の情報処理装置の一実施態様において、前記情報処理装置は、前記コード解析部の解析したＩＤを通信部を介してネットワーク接続サーバに送信し、該サーバにおいて前記ＩＤをインデックスとして抽出される暗号化ドキュメントを受信する構成であることを特徴とする。

さらに、本発明の情報処理装置の一実施態様において、前記情報処理装置は、ユーザ認証の成立を条件として、前記暗号化ドキュメントの復号を実行する構成であることを特徴とする。

さらに、本発明の情報処理装置の一実施態様において、前記コード解析部は、前記復号鍵および前記ＩＤの構成データに基づいて、画像データの構成画素の画素値変更処理を施したコードデータの解析を行なう構成であることを特徴とする。

さらに、本発明の第３の側面は、ドキュメントの生成および暗号化を行なうドキュメント生成装置と、前記ドキュメント生成装置の生成した暗号化ドキュメントを格納する情報共有サーバと、前記情報共有サーバに格納された暗号化ドキュメントの取得および復号を行なうドキュメント利用装置からなるドキュメント管理システムであり、前記ドキュメント生成装置は、暗号鍵を適用したドキュメントの暗号化処理を実行し暗号化ドキュメントを生成する暗号処理部と、前記暗号化ドキュメント化ドキュメントを復号するための復号鍵および前記暗号化ドキュメントの索引データとしてのＩＤを含むコードデータを記録したコード記録ドキュメントを生成するドキュメント作成部と、前記暗号化ドキュメントと前記ＩＤを情報共有サーバに送信する通信部とを有し、前記情報共有サーバは、前記ＩＤをインデックスとして前記暗号化ドキュメントを取得可能なデータベースを有し、前記ドキュメント利用装置は、前記コード記録ドキュメントに記録されたコードデータを解析して前記復号鍵およびＩＤを取得するコード解析部と、前記ＩＤをインデックスとして前記情報共有サーバから取得した暗号化ドキュメントを復号する復号処理部と、を有することを特徴とするドキュメント管理システムにある。

さらに、本発明のドキュメント管理システムの一実施態様において、前記ドキュメント生成装置は、前記暗号鍵を生成する鍵情報生成部を更に備えることを特徴とする。

さらに、本発明のドキュメント管理システムの一実施態様において、前記ドキュメント生成装置は、前記暗号鍵および前記復号鍵を生成する鍵情報生成部を更に備えることを特徴とする。

さらに、本発明の第４の側面は、ドキュメントの生成および暗号化を行なう情報処理方法であり、暗号鍵を適用したドキュメント暗号化処理により暗号化ドキュメントを生成する暗号処理ステップと、前記暗号化ドキュメントを復号するための復号鍵、および前記暗号化ドキュメントの索引データとしてのＩＤを含むコードデータを生成するコード化処理ステップと、前記コードデータを記録したコード記録ドキュメントを生成するドキュメント作成ステップと、前記暗号化ドキュメントと前記ＩＤをサーバに送信する通信ステップと、を有することを特徴とする情報処理方法にある。

さらに、本発明の情報処理方法の一実施態様において、さらに、前記暗号鍵を生成する鍵情報生成ステップを備えることを特徴とする。

さらに、本発明の情報処理方法の一実施態様において、前記鍵情報生成ステップは、前記暗号処理ステップにおいて生成する暗号化ドキュメント各々に対して異なる暗号鍵を生成することを特徴とする。

さらに、本発明の情報処理方法の一実施態様において、さらに、前記暗号鍵および前記復号鍵を生成する鍵情報生成ステップを備えることを特徴とする。

さらに、本発明の情報処理方法の一実施態様において、前記鍵情報生成ステップは、前記暗号処理ステップにおいて生成する暗号化ドキュメント各々に対して異なる復号鍵および暗号鍵を生成することを特徴とする。

さらに、本発明の情報処理方法の一実施態様において、前記コード化処理ステップは、前記復号鍵および前記ＩＤの構成データに基づいて、画像データの構成画素の画素値変更処理を施したコードデータの生成を行なうことを特徴とする。

さらに、本発明の第５の側面は、暗号化ドキュメントの復号処理を実行する情報処理方法であり、前記復号鍵、および暗号化ドキュメントの索引データとしてのＩＤを含むコードデータを記録したコード記録ドキュメントからコードデータを読み取り、解析処理を実行するコード解析ステップと、前記コード解析ステップにおいて解析したデータに含まれる前記復号鍵を取得する暗号鍵取得ステップと、前記暗号鍵取得ステップにおいて取得した前記復号鍵を適用して、前記コード解析ステップにおいて解析したＩＤに対応する暗号化ドキュメントの復号処理を実行する復号処理ステップと、を有することを特徴とする情報処理方法にある。

さらに、本発明の情報処理方法の一実施態様において、前記情報処理方法は、さらに、前記コード解析ステップにおいて解析したＩＤを通信部を介してネットワーク接続サーバに送信するステップと、前記サーバにおいて前記ＩＤをインデックスとして抽出される暗号化ドキュメントを受信するステップを有することを特徴とする。

さらに、本発明の情報処理方法の一実施態様において、前記情報処理方法は、ユーザ認証の成立を条件として前記暗号化ドキュメントの復号を実行することを特徴とする。

さらに、本発明の情報処理方法の一実施態様において、前記コード解析ステップは、前記復号鍵および前記ＩＤの構成データに基づいて、画像データの構成画素の画素値変更処理を施したコードデータの解析を行なうことを特徴とする。

さらに、本発明の第６の側面は、ドキュメントの生成および暗号化処理をコンピュータ上で実行させるコンピュータ・プログラムであり、暗号鍵を適用したドキュメント暗号化処理により暗号化ドキュメントを生成する暗号処理ステップと、前記暗号化ドキュメントを復号するための復号鍵、および前記暗号化ドキュメントの索引データとしてのＩＤを含むコードデータを生成するコード化処理ステップと、前記コードデータを記録したコード記録ドキュメントを生成するドキュメント作成ステップと、前記暗号化ドキュメントと前記ＩＤをサーバに送信する通信ステップとを有することを特徴とするコンピュータ・プログラムにある。

さらに、本発明の第７の側面は、暗号化ドキュメントの復号処理をコンピュータ上で実行させるコンピュータ・プログラムであり、前記暗号化ドキュメントを復号するための復号鍵、および暗号化ドキュメントの索引データとしてのＩＤを含むコードデータを記録したコード記録ドキュメントからコードデータを読み取り、解析処理を実行するコード解析ステップと、前記コード解析ステップにおいて解析したデータに含まれる前記復号鍵を取得する暗号鍵取得ステップと、前記暗号鍵取得ステップにおいて取得した前記復号鍵を適用して、前記コード解析ステップにおいて解析したＩＤに対応する暗号化ドキュメントの復号処理を実行する復号処理ステップと、を有することを特徴とするコンピュータ・プログラムにある。

なお、本発明のコンピュータ・プログラムは、例えば、様々なプログラム・コードを実行可能なコンピュータシステムに対して、コンピュータ可読な形式で提供する記憶媒体、通信媒体、例えば、ＣＤやＦＤ、ＭＯなどの記録媒体、あるいは、ネットワークなどの通信媒体によって提供可能なコンピュータ・プログラムである。このようなプログラムをコンピュータ可読な形式で提供することにより、コンピュータシステム上でプログラムに応じた処理が実現される。

本発明のさらに他の目的、特徴や利点は、後述する本発明の実施例や添付する図面に基づくより詳細な説明によって明らかになるであろう。なお、本明細書においてシステムとは、複数の装置の論理的集合構成であり、各構成の装置が同一筐体内にあるものには限らない。

本発明の構成によれば、ネットワーク接続された情報共有サーバに個人の秘密情報など、漏洩を防止すべきデータを格納し、これらの共有データを暗号化して格納するとともに、その暗号化データの暗号化、復号処理に適用する鍵データをサーバに格納することなく、秘密情報のアクセス権限を有するユーザ（例えば患者）に提供する媒体にコードデータとして記録する構成としたので、アクセス権限の有するユーザの保持する媒体からコードデータを読み取らない限り、情報共有サーバに格納されたデータを閲覧、利用することができない構成が実現され、特定のユーザの許可のないデータ閲覧が防止され、セキュアなデータ管理が実現される。

以下、図面を参照しながら本発明の実施形態に係るドキュメント管理システム、情報処理装置、および方法、並びにコンピュータ・プログラムの詳細について説明する。

まず、図１を参照して、本発明のシステムの構成の概要について説明する。なお、以下の実施例では、管理対象のドキュメントとして、医療機関で扱われるドキュメント、例えばカルテ、紹介状、Ｘ線フィルムデータ、診断画像データなど医療関連ドキュメントを例として説明するが、本発明は、このような医療関係のドキュメントに限らず、その他の住民情報や金融情報、さらには会社などの組織に属する様々な機密情報に対しても適用可能である。

図１において、患者３０は、病院Ａ１０において、医師Ａ４０の診察を受け、その後、医師Ａ４０の紹介で、病院Ｂ２０を紹介され、病院Ｂ２０において、医師Ｂ５０の診察を受けるものとする。

病院Ａ１０において、医師Ａ４０は、患者３０の診察においてカルテ６１や、診断画像データ６２などを含む診療ドキュメントを作成する。これらの診療ドキュメントは、すべて電子データとして病院Ａ１０に設置されたＰＣなどの情報処理装置Ａ１１０から、ネットワーク８０によって接続された情報共有サーバ１５０に転送されて情報共有サーバ１５０に格納される。

なお、カルテ６１や、診断画像データ６２などの診療ドキュメントは、個人情報であり、漏洩を防止するため、情報処理装置Ａ１１０において、暗号化処理がなされた後、暗号化データとして、ネットワーク８０を介して転送されて情報共有サーバ１５０に格納される。情報処理装置Ａ１１０は、乱数などに基づく暗号鍵を生成し、生成した暗号鍵に基づいて、カルテ６１や、診断画像データ６２などの診療ドキュメントの暗号化処理を実行して暗号化ドキュメントデータを生成する。

さらに、医師Ａ４０は、患者３０に対して、専門的な治療を行なう病院Ｂ２０を紹介し、紹介状６３を作成し、患者３０に渡す。紹介状６３には、一般的な紹介状に必要な情報を記述する他、コードデータ２００が記録される。コードデータ２００には、情報共有サーバ１５０に格納されたデータを特定するための識別情報（ＩＤ）と、これらのデータの暗号鍵データが含まれる。

患者３０は、コードデータ２００の記録された紹介状６３を携帯して、病院Ｂにおいて、医師Ｂ５０あるいは受け付けの担当者に手渡す。医師Ｂ５０または病院Ｂのオペレータは、紹介状６３に記録されたコードデータ２００に基づいて、病院Ｂ２０に設置された情報処理装置Ｂ１８０からネットワーク８０を介して情報共有サーバ１５０にアクセスして、患者３０に対応する暗号化された医療ドキュメントを取得し、さらに、コードデータ２００に含まれる暗号鍵を適用して、情報共有サーバ１５０から取得した暗号化ドキュメントの復号処理を実行して、患者３０に対応するカルテや画像診断データなどの診療ドキュメントを得る。

次に、図２を参照して情報処理装置Ａ１１０の構成および処理の詳細について説明する。情報処理装置Ａ１１０は、カルテなどの診療情報の暗号化データとしての暗号化ドキュメントを生成して情報共有サーバ１５０に格納する処理を実行するとともに、暗号化ドキュメントの暗号化に適用した暗号鍵データを含むコードデータを記録したコード記録ドキュメント（紹介状６３）の出力処理を実行する。

情報処理装置Ａ１１０は、例えばＰＣ等によって構成される。図２に示すブロック図は、情報処理装置Ａ１１０の構成要素およびデータ処理部において実行する処理機能を個別のブロックとして示した機能ブロック図である。

図２に示すように、情報処理装置Ａ１１０は、患者情報データベース１１２を有し、患者情報データベース１１２に医者や診療士、あるいはオペレータなどによって入力される患者の基本情報、診断情報などが登録される。情報処理装置Ａ１１０は、病院内にある他の情報処理端末とイントラネット等のネットワークによって接続され、情報処理装置Ａ１１０の情報入力部からの入力データのみならず、各端末からの入力データが記録される。格納データは例えば患者ＩＤに対応するデータとして、患者の基本情報、診療情報などが登録される。

情報処理装置Ａ１１０は情報出力部１１３を介して、患者情報データベース１１２からデータを取得する。以下、患者３０に対応するコード記録ドキュメント（紹介状）６３を生成し、患者３０に対応するカルテなどの診療情報を含む暗号化ドキュメントを生成して情報共有サーバ１５０に格納する処理を想定して、図２に示す各ブロックの処理について説明する。

情報出力部１１３は、例えば患者ＩＤを指定して、患者３０に対応して登録されたデータを患者情報データベース１１２から取得する。取得データには、特に秘匿する必要のないデータ、すなわち紹介状６３に記録可能なデータと、カルテ６１や診断画像データ６２など、個人のプライバシーに関わる秘匿すべき個人データが含まれる。

カルテ６１や診断画像データ６２等によって構成される診療ドキュメントは、暗号処理部１１５において暗号化処理がなされる。暗号処理部１１５における暗号化に適用する暗号鍵は、鍵情報生成部１１４において生成される。たとえば６４ビット、あるいは１２８ビットデータからなる暗号鍵データが乱数生成処理などにより生成される。鍵情報生成部１１４は、暗号処理部１１５の生成する暗号化ドキュメント各々に対して異なる暗号鍵を生成する。暗号処理部１１５の実行する暗号化アルゴリズムは例えばＤＥＳ、ＡＥＳ暗号アルゴリズムなどである。

鍵情報生成部１１４において生成された暗号鍵を適用して、暗号処理部１１５においてカルテ６１や診断画像データ６２等によって構成される診療ドキュメントが暗号化され、暗号化ドキュメントが通信部１１７、ネットワーク８０を介して、情報共有サーバ１５０に格納される。なお、情報共有サーバ１５０に送信される暗号化ドキュメントには、データを特定するための識別情報としてのＩＤが対応付けられて送信される。この識別情報（ＩＤ）は、識別情報生成部１１６において生成される。

識別情報生成部１１６は、例えば患者情報データベース１１２に格納された患者ＩＤに、病院識別ＩＤを付加した識別情報を暗号化ドキュメントに対応するＩＤ情報として生成したり、あるいは、紹介状６３に対応する識別子を生成して、これを暗号化ドキュメントに対応するＩＤ情報とする。ＩＤは、情報共有サーバ１５０に格納される暗号化ドキュメントを選択取得可能な識別データであればよい。

識別情報生成部１１６において生成されたＩＤは、暗号化ドキュメントとともに、情報共有サーバ１５０に送信される。情報共有サーバ１５０は、ＩＤをインデックスとしてＩＤに基づく暗号化ドキュメント取得を可能としたデータ格納処理を行なう。

情報共有サーバ１５０は、例えば、暗号化ドキュメントの格納処理に際して、ＩＤと暗号化ドキュメントの格納先情報を対応付けた管理テーブルを生成してデータベースに格納する処理などを行なう。

管理テーブルの構成例について、図３を参照して説明する。図３（ａ）は、ＩＤとして、暗号化ドキュメントに対応するシーケンス番号を設定し、ＩＤ（シーケンス番号）に対応する暗号化ドキュメントの格納場所に相当するＵＲＬを記録した管理テーブルである。図３（ｂ）は、ＩＤとして、病院コード［ＡＢＣＤＥ，ＢＣＤＥＦなど］とシーケンス番号［０００１］を設定し、病院コードとシーケンス番号からなるＩＤに対応する暗号化ドキュメントの格納場所に相当するＵＲＬを記録した管理テーブルである。

これらのＩＤは、以下、説明するように、紹介状６３にコードデータとして記録され、紹介先の病院において読み取られて、読み取られたＩＤに基づいて、患者６３に対応する暗号化ドキュメントの取得処理が行なわれることになる。

情報処理装置Ａ１１０の鍵情報生成部１１４において生成され、ドキュメントの暗号化に適用された暗号鍵データと、識別情報生成部１１６において生成した識別情報（ＩＤ）はコード化処理部１１８においてコード化処理がなされる。これは、患者３０に渡す紹介状６３に記録するコードデータを生成する処理である。

コード化処理部１１８は、鍵情報生成部１１４の生成した暗号鍵データと、識別情報生成部１１６において生成した識別情報（ＩＤ）とを入力してコードデータを生成する。コードデータは、様々な態様のコードデータを適用可能である。

例えば、コードデータ２００は、印鑑を模した画像データに、暗号鍵データとＩＤ情報とを付加データとして埋め込んだデータであり、印鑑を模した画像データの構成画素の画素値を付加データの値に基づいて変更したデータ構成を持つ。なお、この付加データ埋め込み構成の詳細については、本出願人が先に出願し、既に公開された特開２００４−１４０７６４号公報、特開２００４−１４７２５３号公報に記載されている。なお、コードデータは、上述の態様に限らず、例えばバーコード、ＱＲコード、その他の態様のコードを適用してもよい。

ドキュメント作成部１１９は、暗号鍵データとＩＤ情報とを含むコードデータ２００を記録した紹介状６３をコード記録ドキュメントとして生成する。紹介状６３には、患者情報データベース１１２から取得された患者の氏名などの基本情報や、医者の所見などが記述され、さらに、コード化処理部１１８の生成したコートデータ２００、すなわち、鍵情報生成部１１４の生成した暗号鍵データと、識別情報生成部１１６において生成した識別情報（ＩＤ）とを含むコードデータが記録される。

このコード記録ドキュメントとしての紹介状６３は出力部１２０を介してプリント出力され、患者３０に手渡される。

次に、図４を参照して、紹介先としての病院Ｂ２０（図１参照）における情報処理装置Ｂ１８０の実行する処理、すなわち、コード記録ドキュメントとしての紹介状に記録されたコードの解析、情報共有サーバからの暗号化ドキュメントの取得、取得した暗号化ドキュメントの復号処理について説明する。

情報処理装置Ｂ１８０も情報処理装置Ａ１１０と同様、例えばＰＣ等によって構成される。図４に示すブロック図は、情報処理装置Ｂ１８０の構成要素およびデータ処理部において実行する処理機能を個別のブロックとして示した機能ブロック図である。

図４に示す情報処理装置Ｂ１８０のコード解析部３０１は、患者３０の持参したコード記録ドキュメントとしての紹介状３０からコードデータ２００を読み取って解析を行なう。前述したように、コードデータ２００には、情報共有サーバ１５０に格納した暗号化ドキュメントの索引データとしてのＩＤ情報と、暗号鍵データとが含まれ、コード解析部３０１はコード解析処理によって、これらのデータを取得する。

前述したように、コードデータ２００は、例えば、印鑑を模した画像データに、暗号鍵データとＩＤ情報とを付加データとして埋め込んだデータとして構成され、印鑑を模した画像データの構成画素の画素値の解析を実行して、付加データの値を取得する処理などを実行する。なお、この付加データの解析処理構成の詳細については、本出願人が先に出願し、既に公開された特開２００４−１４０７６４号公報、特開２００４−１４７２５３号公報に記載されている。なお、コードデータが例えばバーコード、ＱＲコード、その他の態様のコードを適用している場合は、そのコード態様に応じたコード解析を実行する。

識別情報（ＩＤ）取得部３０２は、コード解析部３０１の解析情報から、情報共有サーバ１５０に格納した暗号化ドキュメントの索引データとしてのＩＤ情報を抽出する。抽出ＩＤは、通信部３０３を介して、情報共有サーバ１５０に送信され、ＩＤに対応する暗号化ドキュメントが取得される。

暗号鍵取得部３０４は、コード解析部３０１の解析情報から、暗号鍵データを抽出し、復号処理部３０５に提供する。復号処理部３０５は、通信部を介してＩＤに基づいて取得された暗号化ドキュメントの復号処理を実行する。復号処理に適用する鍵は、暗号鍵取得部３０４において、紹介状６３のコードデータ２００から取得した暗号鍵である。

この復号処理によって復号された患者３０に対応するカルテ６１や診断画像データ６２等によって構成される診療ドキュメントは、出力部３０６を介して情報処理装置Ｂのディスプレイに表示される。あるいはプリンタなどを介して出力される。

このように、本発明の構成においては、情報共有サーバ１５０に格納される秘密情報としてのデータは暗号化されたデータとして格納されるので、万が一、外部からサーバに対する不正アクセスが発生しても情報の漏洩の恐れはない。また、暗号化データの復号に適用する鍵情報は、共有サーバ１５０には格納されておらず、患者３０の保持するコード記録ドキュメントに記録されているので、患者の保持するコード記録ドキュメントからのコード解析を行なわない限り、暗号鍵を取得することができないので、患者の知らない間に患者のカルテや診断画像情報などが復号、利用されることを防止できる。

なお、暗号鍵データは、コード記録ドキュメント（紹介状）の発行機関において生成されるが、この鍵データはコード記録ドキュメントに対する記録処理完了時に消去するか、あるいは、外部からのアクセスの遮断された記憶手段に一時的に保持し、紹介先でのコード解析の処理完了の報告を条件として消去する処理を行なう構成とすることが好ましい。

また、紹介状に基づく暗号化ドキュメントの取得、復号処理を実行する情報処理装置Ｂ１８０は、コード記録ドキュメント（紹介状）を持参した患者が、本人に間違いないことを確認するため、ユーザ認証処理を実行し、認証の成立を条件として暗号化ドキュメントの取得、復号処理を実行する構成とすることが好ましい。ユーザ認証は、例えば、従来からあるパスワード認証などを適用することができる。

例えば、コード記録ドキュメント（紹介状）の発行機関の情報処理装置Ａ１１０から、ユーザの生成したパスワードを情報共有サーバ１５０に送信して登録する。ユーザは、紹介先としての病院、すなわち、コード記録ドキュメント（紹介状）の解析を行う情報処理装置Ｂ１８０にパスワードを入力して、情報共有サーバ１５０に送信してパスワードの照合に基づく認証を行なう。情報共有サーバ１５０は、パスワードの照合成立を条件として、コード記録ドキュメント（紹介状）に記録されたコードデータから抽出されたＩＤに対応する暗号化ドキュメントを抽出して情報処理装置Ｂ１８０に送信する。このようなユーザ認証を条件とした処理を行なうことにより、さらに安全性の高いデータ管理が実現される。なお、認証処理は、パスワード認証に限らず、生体認証や、公開鍵暗号方式に基づく認証処理など、その他の認証シーケンスを適用する構成としてもよい。

次に、図５に示すフローチャートを参照して、情報処理装置Ａ１１０の実行する処理シーケンスについて説明する。情報処理装置Ａ１１０は、カルテなどの診療情報を含む暗号化ドキュメントを生成して情報共有サーバ１５０に格納し、さらに、暗号化ドキュメントを特定可能ＩＤと、暗号鍵データを含むコードデータを記録したコード記録ドキュメントの生成を行なう。

ステップＳ１０１において、情報処理装置Ａ１１０は、サーバに格納するドキュメントの暗号化に適用する暗号鍵の生成を行なう。たとえば６４ビット、あるいは１２８ビットデータからなる暗号鍵データを乱数生成処理などにより生成する。ステップＳ１０２において、生成した暗号鍵を適用してサーバに格納するドキュメントの暗号化処理を実行する。

ステップＳ１０３では、サーバに格納するドキュメントの索引データとして適用可能なＩＤを生成する。次に、ステップＳ１０４において、暗号化ドキュメントおよびＩＤをサーバに送信し登録する。

ステップＳ１０５において、暗号鍵およびＩＤのコード化処理を実行する。コードデータは例えば印鑑画像データの画素値を付加データに基づいて変更して生成するコードデータ、あるいはバーコード、ＱＲコードなどである。ステップＳ１０６において、コードデータを記録した紹介状などのコード記録ドキュメントを生成する。

次に、図６に示すフローチャートを参照して、情報処理装置Ｂ１８０の実行する処理、すなわち、コード記録ドキュメントとしての紹介状に記録されたコードの解析、情報共有サーバからの暗号化ドキュメントの取得、取得した暗号化ドキュメントの復号処理について説明する。

ステップＳ２０１において、コード記録ドキュメントに記録されたコードの解析を実行する。コードには、暗号鍵およびＩＤ情報が含まれ、これらのデータを取得する処理が実行される。

ステップＳ２０２において、解析コードデータに含まれるＩＤを取得し、ＩＤをインデックスとして取得可能な暗号化ドキュメントをサーバから取得する。なお、この暗号化ドキュメントの取得条件として、ユーザ認証を行なう場合は、ステップＳ２５１〜Ｓ２５３の処理を行なう。

ステップＳ２５１では、ユーザ入力パスワードをサーバに送信する。ステップＳ２５２はサーバ側の処理であり、コード記録ドキュメント（紹介状）の発行処理時に予め登録されたパスワードと、受信パスワードの照合に基づくユーザ認証を実行する。ステップＳ２５３もサーバの処理であり、ユーザ認証の成立を条件として、ＩＤに対応する暗号化ドキュメントを送信する。この処理を実行することにより、ユーザの確認に基づく暗号化ドキュメントの提供が可能となる。

次のステップＳ２０３の処理は、暗号化ドキュメント受信後の情報処理装置Ｂ１８０の処理であり、コード記録ドキュメントに記録されたコードから取得された暗号鍵を適用して、サーバから受信した暗号化ドキュメントの復号処理を実行する。ステップＳ２０４において、復号ドキュメントをディスプレイに出力、あるいはプリンタを介して出力する。

以上、説明したように、本発明の構成では、ネットワーク接続された情報共有サーバに個人の秘密情報など、漏洩を防止すべきデータを格納し、これらの共有データを暗号化して格納するとともに、その暗号化データの暗号化、復号処理に適用する鍵データをサーバに格納することなく、秘密情報のアクセス権限を有するユーザ（例えば患者）に提供する媒体にコードデータとして記録する構成としたので、アクセス権限の有するユーザの保持する媒体からコードデータを読み取らない限り、情報共有サーバに格納されたデータを閲覧、利用することができない構成が実現され、特定のユーザの許可のないデータ閲覧が防止され、セキュアなデータ管理が実現される。

最後に、図７を参照して、情報処理装置Ａ１１０、情報処理装置Ｂ１８０、および情報共有サーバ１５０のハードウェア構成例について説明する。

ＣＰＵ（Central Processing Unit）５０１は、上述の実施例において説明した各種のデータ処理、すなわちコード記録ドキュメントの生成、出力処理や、暗号化ドキュメントの生成、取得、復号処理、コードデータの解析処理などのデータ処理シーケンスを記述したコンピュータ・プログラムに従った処理を実行する制御部である。

ＲＯＭ（Read Only Memory）５０２は、ＣＰＵ５０１が使用するプログラムや演算パラメータ等を格納する。ＲＡＭ（Random Access Memory）５０３は、ＣＰＵ５０１の実行において使用するプログラムや、その実行において適宜変化するパラメータ等を格納する。これらはＣＰＵバスなどから構成されるホストバス５０４により相互に接続されている。

ホストバス５０４は、ブリッジ５０５を介して、ＰＣＩ(Peripheral Component Interconnect/Interface)バスなどの外部バス５０６に接続されている。

キーボード５０８、ポインティングデバイス５０９は、ユーザにより操作される入力デバイスである。ディスプレイ５１０は、液晶表示装置またはＣＲＴ（Cathode Ray Tube）などから成り、各種情報をテキストやイメージで表示する。

ＨＤＤ（Hard Disk Drive）５１１は、ハードディスクを内蔵し、ハードディスクを駆動し、ＣＰＵ５０１によって実行するプログラムや情報を記録または再生させる。ハードディスクは、例えば患者情報データベースや、情報共有サーバにおける暗号化ドキュメントの格納部としての役割を持つ。さらに、各種のデータ処理プログラム等、各種コンピュータ・プログラムが格納される。

ドライブ５１２は、装着されている磁気ディスク、光ディスク、光磁気ディスク、または半導体メモリ等のリムーバブル記録媒体５２１に記録されているデータまたはプログラムを読み出して、そのデータまたはプログラムを、インタフェース５０７、外部バス５０６、ブリッジ５０５、およびホストバス５０４を介して接続されているＲＡＭ５０３に供給する。リムーバブル記録媒体５２１も、ハードディスクと同様、患者情報データベースや、情報共有サーバにおける暗号化ドキュメントの格納部としての役割を持つ。

接続ポート５１４は、外部接続機器５２２を接続するポートであり、ＵＳＢ，ＩＥＥＥ１３９４等の接続部を持つ。接続ポート５１４は、インタフェース５０７、および外部バス５０６、ブリッジ５０５、ホストバス５０４等を介してＣＰＵ５０１等に接続されている。通信部５１５は、ネットワークに接続され、外部とのデータ通信処理を実行する。

なお、図７に示す情報処理装置のハードウェア構成例は、基本的なＰＣの構成例を示すものであるが、本発明の情報処理装置は、図７に示す構成に限らず、上述した実施例において説明した処理を実行可能な構成であればよい。

以上、特定の実施例を参照しながら、本発明について詳解してきた。しかしながら、本発明の要旨を逸脱しない範囲で当業者が該実施例の修正や代用を成し得ることは自明である。すなわち、例示という形態で本発明を開示してきたのであり、限定的に解釈されるべきではない。本発明の要旨を判断するためには、特許請求の範囲の欄を参酌すべきである。

なお、前述の実施例では暗号化ドキュメントを復号するための鍵情報として、暗号化に用いるための暗号鍵自体を用いたが、より暗号化ドキュメントのセキュリティを高めるために、ドキュメントごとに暗号化鍵と復号鍵を異ならせるようにしてもよい。暗号鍵と復号鍵を異ならせる方法としては、例えば、公開鍵暗号方式の公開鍵と秘密鍵の鍵ペアを生成する方法（ＲＳＡなど）を利用することができる。例えば図２で示した構成において、鍵情報生成部１１４で互いに異なる１対の暗号鍵と復号鍵を生成し、復号鍵をコード化処理部１１８に送り、コード記録ドキュメントの生成に用いることができる。このとき、復号鍵を先に生成してからこれに対応する復号鍵を生成しても、暗号鍵を生成してからこれに対応する複合鍵を生成してもよい。

また、暗号鍵と復号鍵が異なる場合の復号処理時には、例えば図４における暗号鍵取得部３０４に変えて復号鍵取得部を用いるが、この取得の方法は暗号鍵取得部の場合と同様である。復号処理部３０５は、取得した復号鍵を用いて、暗号化ドキュメント復号処理を実行する。これらの復号処理は、公知の暗号鍵復号鍵を用いた技術と同様の手法が使用できる。

なお、明細書中において説明した一連の処理はハードウェア、またはソフトウェア、あるいは両者の複合構成によって実行することが可能である。ソフトウェアによる処理を実行する場合は、処理シーケンスを記録したプログラムを、専用のハードウェアに組み込まれたコンピュータ内のメモリにインストールして実行させるか、あるいは、各種処理が実行可能な汎用コンピュータにプログラムをインストールして実行させることが可能である。

例えば、プログラムは記録媒体としてのハードディスクやＲＯＭ（Read Only Memory)に予め記録しておくことができる。あるいは、プログラムはフレキシブルディスク、ＣＤ−ＲＯＭ(Compact Disc Read Only Memory)，ＭＯ(Magneto optical)ディスク，ＤＶＤ(Digital Versatile Disc)、磁気ディスク、半導体メモリなどのリムーバブル記録媒体に、一時的あるいは永続的に格納（記録）しておくことができる。このようなリムーバブル記録媒体は、いわゆるパッケージソフトウエアとして提供することができる。

なお、プログラムは、上述したようなリムーバブル記録媒体からコンピュータにインストールする他、ダウンロードサイトから、コンピュータに無線転送したり、ＬＡＮ(Local Area Network)、インターネットといったネットワークを介して、コンピュータに有線で転送し、コンピュータでは、そのようにして転送されてくるプログラムを受信し、内蔵するハードディスク等の記録媒体にインストールすることができる。

なお、明細書に記載された各種の処理は、記載に従って時系列に実行されるのみならず、処理を実行する装置の処理能力あるいは必要に応じて並列的にあるいは個別に実行されてもよい。また、本明細書においてシステムとは、複数の装置の論理的集合構成であり、各構成の装置が同一筐体内にあるものには限らない。

以上、説明したように、本発明の構成によれば、ネットワーク接続された情報共有サーバに個人の秘密情報など、漏洩を防止すべきデータを格納し、これらの共有データを暗号化して格納するとともに、その暗号化データの暗号化、復号処理に適用する鍵データをサーバに格納することなく、秘密情報のアクセス権限を有するユーザ（例えば患者）に提供する媒体にコードデータとして記録する構成としたので、アクセス権限の有するユーザの保持する媒体からコードデータを読み取らない限り、情報共有サーバに格納されたデータを閲覧、利用することができない構成が実現され、特定のユーザの許可のないデータ閲覧が防止され、セキュアなデータ管理が実現される。

本発明のドキュメント管理システムの概要について説明する図である。 暗号化ドキュメントおよびコード記録ドキュメントの生成を行なう情報処理装置の構成および処理について説明する図である。 サーバに格納される暗号化ドキュメントの索引データとしてのＩＤの管理テーブルの例について説明する図である。 暗号化ドキュメントの取得および復号を行なう情報処理装置の構成および処理について説明する図である。 暗号化ドキュメントおよびコード記録ドキュメントの生成を行なう情報処理装置の処理シーケンスを説明するフローチャートを示す図である。 暗号化ドキュメントの取得および復号を行なう情報処理装置の処理シーケンスを説明するフローチャートを示す図である。 情報処理装置および情報共有サーバを構成する情報処理装置のハードウェア構成例について説明する図である。

符号の説明

１０ 病院Ａ
２０ 病院Ｂ
３０ 患者
４０ 医師Ａ
５０ 医師Ｂ
６１ カルテ
６２ 診断画像データ
６３ 紹介状（コード記録ドキュメント）
８０ ネットワーク
１１０ 情報処理装置Ａ
１１１ 情報入力部
１１２ 患者情報データベース
１１３ 情報出力部
１１４ 鍵情報生成部
１１５ 暗号処理部
１１６ 識別情報（ＩＤ）生成部
１１７ 通信部
１１８ コード化処理部
１１９ ドキュメント作成部
１２０ 出力部
１５０ 情報共有サーバ
１８０ 情報処理装置Ｂ
２００ コードデータ
３０１ コード解析部
３０２ 識別情報（ＩＤ）取得部
３０３ 通信部
３０４ 暗号鍵取得部
３０５ 復号処理部
３０６ 出力部
５０１ ＣＰＵ(Central Processing Unit)
５０２ ＲＯＭ（Read-Only-Memory）
５０３ ＲＡＭ（Random Access Memory）
５０４ ホストバス
５０５ ブリッジ
５０６ 外部バス
５０７ インタフェース
５０８ キーボード
５０９ ポインティングデバイス
５１０ ディスプレイ
５１１ ＨＤＤ（Hard Disk Drive）
５１２ ドライブ
５１４ 接続ポート
５１５ 通信部
５２１ リムーバブル記録媒体
５２２ 外部接続機器

Claims (13)

1. ドキュメントの生成および暗号化を行なう情報処理装置であり、
   暗号鍵を適用したドキュメント暗号化処理により暗号化ドキュメントを生成する暗号処理部と、
   前記暗号化されたドキュメントを復号するための復号鍵、および前記暗号化ドキュメントの索引データとしてのＩＤを含むコードデータを生成するコード化処理部と、
   前記コードデータを記録したコード記録ドキュメントを生成するドキュメント作成部と、
   前記暗号化ドキュメントと前記ＩＤをサーバに送信する通信部と、
   を有することを特徴とする情報処理装置。
2. 前記情報処理装置は、さらに、
   前記暗号鍵を生成する鍵情報生成部を備えたことを特徴とする請求項１に記載の情報処理装置。
3. 前記鍵情報生成部は、
   前記暗号処理部の生成する暗号化ドキュメント各々に対して異なる暗号鍵を生成する構成であることを特徴とする請求項２に記載の情報処理装置。
4. 前記鍵情報生成部は、
   前記暗号鍵および前記復号鍵を生成する構成であることを特徴とする請求項１に記載の情報処理装置。
5. 前記鍵情報生成部は、
   前記暗号処理部の生成する暗号化ドキュメント各々に対して異なる復号鍵及び暗号鍵を生成する構成であることを特徴とする請求項２に記載の情報処理装置。
6. 前記コード化処理部は、
   前記復号鍵および前記ＩＤの構成データに基づいて、画像データの構成画素の画素値変更処理を施したコードデータの生成を行なう構成であることを特徴とする請求項１に記載の情報処理装置。
7. 暗号化ドキュメントの復号処理を実行する情報処理装置であり、
   暗号化ドキュメントを復号するための復号鍵、および暗号化ドキュメントの索引データとしてのＩＤを含むコードデータを記録したコード記録ドキュメントからコードデータを読み取り、解析処理を実行するコード解析部と、
   前記コード解析部の解析データに含まれる前記復号鍵を取得する鍵情報取得部と、
   前記復号鍵を適用して、前記コード解析部の解析したＩＤに対応する暗号化ドキュメントの復号処理を実行する復号処理部と、
   を有することを特徴とする情報処理装置。
8. 前記情報処理装置は、
   前記コード解析部の解析したＩＤを通信部を介してネットワーク接続サーバに送信し、該サーバにおいて前記ＩＤをインデックスとして抽出される暗号化ドキュメントを受信する構成であることを特徴とする請求項７に記載の情報処理装置。
9. 前記情報処理装置は、
   ユーザ認証の成立を条件として、前記暗号化ドキュメントの復号を実行する構成であることを特徴とする請求項７に記載の情報処理装置。
10. 前記コード解析部は、
    前記復号鍵および前記ＩＤの構成データに基づいて、画像データの構成画素の画素値変更処理を施したコードデータの解析を行なう構成であることを特徴とする請求項７に記載の情報処理装置。
11. ドキュメントの生成および暗号化を行なうドキュメント生成装置と、前記ドキュメント生成装置の生成した暗号化ドキュメントを格納する情報共有サーバと、前記情報共有サーバに格納された暗号化ドキュメントの取得および復号を行なうドキュメント利用装置からなるドキュメント管理システムであり、
    前記ドキュメント生成装置は、
    暗号鍵を適用したドキュメントの暗号化処理を実行し暗号化ドキュメントを生成する暗号処理部と、
    前記暗号化ドキュメント化ドキュメントを復号するための復号鍵および前記暗号化ドキュメントの索引データとしてのＩＤを含むコードデータを記録したコード記録ドキュメントを生成するドキュメント作成部と、
    前記暗号化ドキュメントと前記ＩＤを情報共有サーバに送信する通信部とを有し、
    前記情報共有サーバは、
    前記ＩＤをインデックスとして前記暗号化ドキュメントを取得可能なデータベースを有し、
    前記ドキュメント利用装置は、
    前記コード記録ドキュメントに記録されたコードデータを解析して前記復号鍵およびＩＤを取得するコード解析部と、
    前記ＩＤをインデックスとして前記情報共有サーバから取得した暗号化ドキュメントを復号する復号処理部と、
    を有することを特徴とするドキュメント管理システム。
12. 前記ドキュメント生成装置は、前記暗号鍵を生成する鍵情報生成部を更に備えることを特徴とする請求項１１に記載のドキュメント管理システム。
13. 前記ドキュメント生成装置は、前記暗号鍵および前記復号鍵を生成する鍵情報生成部を更に備えることを特徴とする請求項１１に記載のドキュメント管理システム。

Images