JP5142581B2 - 医療情報管理システム、アクセス制御装置、及び医療情報管理方法 - Google Patents

Description

本発明は、各医療施設が保管する医療情報を管理し、任意の医療施設から他の医療施設が保管する医療情報へのアクセスを制御する技術に関する。

昨今、患者の医療情報を一元的に管理し、医療施設からでも共通に利用出来る医療情報管理システム、所謂ＥＨＲ（Electronic Health Record）の仕組みが構築されはじめている。医療情報管理システム内のどの医療施設に来院しても、他の医療施設で受けた過去の診療結果を参照できるため、診療行為が効率的となり、また診療の質も向上する。

この医療情報管理システムは、電子ドキュメントの態様を有する医療情報を参照するため、医療情報自体はその医療情報を作成した医療施設内の情報保管装置で維持管理し、その医療情報を検索するためのリンクを中央サーバに格納する方法がとられている。

各医療施設は、地域で共有する医療情報を自己の情報保管装置に保存して、そのアクセス情報を含めて中央サーバがデータベース形式で管理する。医療情報を参照したい医師や患者等のユーザは、中央サーバに対して医療情報の所在を問い合わせ、得られた医療情報の所在を表すパス等のアクセス情報をもとに、その医療情報を保管先の医療施設の情報保管装置から取得して、閲覧する。

ところで、医療情報には、プライバシーに関わる個人情報が格納されている。医療情報をネットワーク経由してアクセスするシステムとして、アクセスする際に利用者の確認、利用者が使用する情報閲覧装置の確認、個人情報の取り扱いの確認は非常に重要である。

例えば、この医療情報管理システムのセキュリティ技術としては、医療情報へアクセスできる利用者の制限や、アクセスできる情報閲覧装置の制限、医療情報を取得したユーザの記録等によるトレーサビリティの管理などが挙げられ、従来から様々なユーザ認証技術や、アクセス制御技術が考案されている。

また、その患者の医療情報を他の医療施設で利用することを目的として、医療施設から他の医療施設に医療情報の取得及び閲覧を許可することを表わす指示を送信し、中央サーバがこの指示を受信して他の医療施設からの利用を制御することにより安全性を確保する技術も提示されている（例えば、「特許文献１」参照。）。

特開２００２−２６９２４３号公報

従来のセキュリティ技術で担保されるのは、医療情報管理システム外からの不正なアクセスに対してのみである。従って、医療情報管理システム内の医療施設からは、他の医療施設が保管する医療情報へのアクセスが自由となっているため簡単に全ての医療情報が閲覧でき、悪意のある利用者からの個人情報漏洩リスクを伴うといった問題がある。例えば、悪意のある利用者が診療行為を担当していない患者の医療情報を閲覧することができてしまう。

上記の特開２００２−２６９２４３号公報のセキュリティ技術では、医療情報送信時に特定医療施設に対して利用許可を制御することができるので、一定範囲については個人情報漏洩リスクを低減させることはできる。しかしながら、医療情報管理システムは、不特定多数の医療施設に医療情報を公開することを前提とした仕組みであり、患者毎に利用を許可する医療施設や利用可能期間を送信時に指定することは事実上不可能である。

このように、医療情報管理システムの従来のセキュリティ技術では、医療情報管理システムに属する医療施設の悪意のあるユーザによって医療情報が目的外利用されるおそれがあり、十分な個人情報保護を図ることができない。

本発明は、上記事情に鑑みてなされたものであり、その目的とするところは、患者の医療情報を一元的に管理し、どの医療施設からでも共通に利用出来る仕組みにおいて、患者の診療行為が必要な医療施設の医療情報の取得および閲覧は許可し、患者の診療行為が必要でない医療施設の医療情報の取得及び閲覧は禁止する技術を提供することにある。

上記課題を解決するための請求項１記載の本発明は、複数の医療施設がネットワークで接続され、自己以外の他の医療施設に保管された医療情報を取得して表示する情報閲覧装置と自己の医療施設で発生した医療情報を保管する保管装置とを各医療施設に有する医療情報管理システムであって、各医療施設の所在地を表す所在地情報を予め記憶する登録部と、患者識別情報を取得する患者識別情報取得部と、患者の現在位置情報を取得する来院先情報取得部と、前記現在位置情報に該当する前記所在地情報を前記登録部から検索する照合部と、前記照合部で検索された所在地情報に対応する医療施設の情報閲覧装置からの、前記患者識別情報で表される患者の医療情報へのアクセスを許可するアクセス制御部と、を備えること、を特徴とする。

また、請求項７記載の本発明は、複数の医療施設がネットワークで接続され、自己以外の他の医療施設に保管された医療情報を取得して表示する情報閲覧装置と自己の医療施設で発生した医療情報を保管する保管装置とを各医療施設に有する医療情報管理システムに配置されたアクセス制御装置であって、各医療施設の所在地を表す所在地情報を予め記憶する登録部と、患者識別情報と患者の現在位置情報とを受信する受信部と、前記現在位置情報に該当する前記所在地情報を前記登録部から検索する照合部と、前記照合部で検索された所在地情報に対応する医療施設の情報閲覧装置からの、前記患者識別情報で表される患者の医療情報への、アクセスを許可するアクセス制御部と、を備えること、を特徴とする。

また、請求項１２記載の本発明は、複数の医療施設がネットワークで接続され、自己以外の他の医療施設に保管された医療情報を取得して表示する情報閲覧装置と自己の医療施設で発生した医療情報を保管する保管装置とを各医療施設に有する医療情報管理システムの医療情報管理方法であって、各医療施設の所在地を表す所在地情報を予め記憶しておき、患者識別情報を取得し、患者の現在位置情報を取得し、前記現在位置情報に該当する前記所在地情報を検索し、前記検索された所在地情報に対応する医療施設の情報閲覧装置からの、前記患者識別情報で表される患者の医療情報へのアクセスを許可すること、を特徴とする。

また、請求項１３記載の本発明は、複数の医療施設がネットワークで接続され、自己以外の他の医療施設に保管された医療情報を取得して表示する情報閲覧装置と自己の医療施設で発生した医療情報を保管する保管装置とを各医療施設に有する医療情報管理システムに配置されたアクセス制御装置の医療情報管理方法であって、各医療施設の所在地を表す所在地情報を予め記憶し、患者識別情報と患者の現在位置情報とを受信し、前記現在位置情報に該当する前記所在地情報を検索し、前記照合部で検索された所在地情報に対応する医療施設の情報閲覧装置からの、前記患者識別情報で表される患者の医療情報へのアクセスを許可すること、を特徴とする。

前記各請求項記載の本発明によれば、患者が来院している医療施設のみが患者の医療情報を取得することができる。これにより、患者の診療行為が必要な時だけ許可された施設からのみ医療情報が利用でき、患者の診療行為が必要でない施設から医療情報が利用される問題が解消され、個人情報保護のレベルを向上させることができる。

以下、本発明に係る一の医療施設からの他の医療施設が保管する医療情報へのアクセスを制御する技術の好適な各実施形態について、図面を参照しながら具体的に説明する。

図１は、一の医療施設からの他の医療施設が保管する医療情報へのアクセスを制御する医療情報管理システムの構成を示す図である。

医療情報管理システム１は、患者の医療情報を一元的に管理し、どの医療施設Ｍからでも共通に医療情報を利用できる仕組み、所謂ＥＨＲ（Ｅｌｅｃｔｒｏｎｉｃ Ｈｅａｌｔｈ Ｒｅｃｏｒｄ）である。この医療情報管理システム１は、複数の医療施設ＭをネットワークＮで接続し、このネットワークＮを管理する中央サーバ２が配された構成を有する。

医療施設Ｍには、それぞれコンピュータで構成された患者受付端末３と情報保管装置４と情報閲覧装置５が配されている。情報保管装置４は、設置されている医療施設Ｍで発生した医療情報を記憶しているローカルリポジトリ（Ｌｏｃａｌ Ｄｏｃｕｍｅｎｔ Ｒｅｐｏｓｉｔｏｒｙ）である。情報閲覧装置５は、設置されている医療施設Ｍ又はネットワークＮ上の他の医療施設Ｍに設置されている情報保管装置４から医療情報を取得してモニタ等に視認可能に表示する。情報閲覧装置５は、取得する医療情報を検索させるために中央サーバ２に医療情報を検索する検索キーを送信する。

中央サーバ２は、ネットワークＮ内の各情報保管装置４に記憶されている医療情報のデータベースを有し、このデータベースによって医療情報管理システム１内の医療情報を管理するコンピュータで構成された中央レジストリ（Ｃｅｎｔｅｒ Ｄｏｃｕｍｅｎｔ Ｒｅｇｉｓｔｒｙ）である。中央サーバ２は、データベースを参照して検索キーと一致する医療情報を検索し、検索キーを送信した情報閲覧装置５に医療情報の所在を提示する。

情報閲覧装置５は、中央サーバ２から提示された医療情報の所在を参照して、その所在に対応する医療施設Ｍの情報保管装置４から医療情報を取得する。

この医療情報管理システム１では、情報閲覧装置５による医療情報へのアクセスのときに、医療情報に対する医療施設Ｍのアクセス権限を判断してアクセスが許可されている場合に限ってアクセスを許可する。医療情報管理システム１は、医療情報の情報主体である患者が、医療情報を取得しようとする医療施設Ｍに来院しているか否かによって、アクセスが許可されているか否かを判断する。医療情報へのアクセスとは、中央サーバ２への医療情報の検索クエリーの送信に対応する医療情報の検索と医療情報の取得の過程をいう。

このアクセスの許可は、医療情報管理システム１に属する患者受付端末３とコンピュータで構成されたアクセス制御装置６とによりなされる。アクセス制御装置６は、中央サーバ２の一部として設置される。患者受付端末３は、患者の来院先を識別するための来院先識別情報を中央サーバ２に送信し、アクセス制御装置６は、患者受付端末３から受信した来院先識別情報をもとに医療情報へのアクセスを許可する医療施設Ｍを決定する。

図２は、患者受付端末３の詳細構成を示す図である。

患者受付端末３は、患者識別情報取得部３１と、来院先情報取得部３２と、アクセス要求情報生成部３３と、アクセス要求情報送信部３４とにより構成される。

患者識別情報取得部３１は、患者識別情報を取得する。患者識別情報は、例えば患者を識別する患者ＩＤであり、医療施設内でのみ識別可能なローカルＩＤや、複数施設間で識別可能なグローバルＩＤなどを使用する。

来院先情報取得部３２は、患者側から提供される来院先を識別するための来院先識別情報を取得する。この患者側から提供される来院先識別情報は、ＧＰＳ情報等の患者の現在位置を示す現在位置情報、又は患者の診察券を発行した医療施設Ｍを識別する医療施設識別情報である。医療施設識別情報は、医療施設Ｍ毎に一意に割り当てられた符号列である。現在位置情報は、緯度及び経度、又は緯度及び経度で示される場所を含むエリアを地図上の記載場所として表したエリアコードである。アクセス制御装置６は、現在位置情報で表される現在位置に所在する医療施設Ｍに来院しているとして、アクセスを許可する医療施設Ｍを決定する。また、アクセス制御装置６は、医療施設識別情報で表される医療施設Ｍに来院しているとして、アクセスを許可する医療施設を決定する。

アクセス要求情報生成部３３は、アクセス要求情報を生成する。アクセス要求情報は、患者識別情報で表される患者の医療情報へのアクセス許可の設定を要求するコマンドに、患者識別情報と患者側から提供された来院先識別情報とを付随する。アクセス要求情報は、例えば、患者識別情報と患者側から提供された来院先識別情報をコロン区切りで結合した文字列をコマンドの引数とすることで生成される。また、この文字列には、詐称対策として、公開鍵又は秘密鍵を用いて作成された署名が追記される。

アクセス要求情報送信部３４は、アクセス要求情報をネットワークＮを介してアクセス制御装置６へ送信する。アクセス要求情報送信部３４は、アクセス制御装置６のＩＰアドレスを、入力により又は予め記憶することにより取得する。入力された接続先又は予め記憶している接続先を示す情報がアクセス制御装置６のホスト名であれば、ホスト名からIPアドレスを取得する。

このアクセス要求情報の送信は、例えばＴＣＰ／ＩＰ上のソケット通信による独自プロトコルで行う。なお、RPC（Remote Procedure Call）や、SOAP(Simple Object Access Protocol)、IIOP(Internet Inter-ORB Protocol)、RMI(Remote Method Invocation)などの標準化された通信プロトコルを使用してもよい。また、ネットワーク上を流れるデータの安全性を確保するため、SSL(Secure Socket Layer)/TLS(Transport Layer Security)等による暗号化通信を行うようにしても良い。

図３は、アクセス制御装置６の詳細構成を示す図である。

アクセス制御装置６は、受信部６１と、登録部６２と、照合部６３と、アクセス制御部６４とにより構成される。

受信部６１は、ネットワークＮを介してアクセス要求情報を受信する。アクセス要求情報を受信すると、アクセス要求情報から患者側から提供された来院先識別情報を抽出して照合部６３に渡し、アクセス要求情報から患者識別情報を抽出してアクセス制御部６４に渡す。アクセス要求情報に署名が追記されている場合には、対になっているもう一方の鍵を用いて署名を複号し、予め記憶している各医療施設Ｍの真正の署名と比較する。署名が真正でなければ、アクセス要求情報を破棄する。

登録部６２は、医療施設Ｍを表す医療施設Ｍ毎に割り当てられた医療施設識別情報を記憶する。この医療施設Ｍ毎に割り当てられた医療施設識別情報は、医療施設Ｍに一意に割り当てられた医療施設Ｍを識別する符号、又は医療施設Ｍの所在地情報である。来院先識別情報は、この医療施設識別情報と同種の情報を有する。

照合部６３は、登録部６２を参照して、患者側から提供された来院先識別情報と登録部６２に記憶された医療施設識別情報とを照合する。

アクセス制御部６４は、照合部６３の照合の結果、来院先識別情報と一致する医療施設識別情報が割り当てられた医療施設Ｍに対して、患者識別情報で表される患者の医療情報へのアクセスを所定時間に限って許可する。このアクセス制御部６４は、アクセス権限を設定するアクセス権設定部６５と、アクセス権の有無を判定するアクセス権判定部６６とを有する。

アクセス権設定部６５は、患者識別情報と照合部６３で検索された医療施設Ｍとを対にしたアクセス許可情報を作成する。

アクセス権判定部６６は、アクセス許可情報の一覧にない組み合わせのアクセスを拒絶し、アクセス許可情報の一覧にある組み合わせのアクセスに対しては、アクセスを許可する。アクセス権判定部６６は、アクセス要求情報の受信から所定期間内のアクセス許可情報を参照する。アクセスが許可されると、中央サーバ２は、医療情報を検索して検索結果を提示し、また医療情報への取得を許容する。アクセス権判定部６６は、アクセスを拒絶するとき、医療情報の検索要求或いは検索結果送信、又は医療情報の送信要求或いは医療情報の送信を遮断する。

図４は、この患者受付端末３の第１の具体例を示す模式図である。

第１の具体例に係る患者受付端末３は、磁気カード７１を読み取る読取端末３０１と、ネットワークＮに接続されたコンピュータ３０２とにより構成される。患者が有する診察券等の磁気カード７１には、患者識別情報と、来院先識別情報としてその診察券を発行した医療施設Ｍの医療施設識別情報が記憶されている。

読取端末３０１は、患者が所持する磁気カード７１を読み取り、患者識別情報と来院先識別情報を読み取る患者識別情報取得部３１及び来院先情報取得部３２である。

コンピュータ３０２は、患者識別情報と来院先識別情報が読取装置３０１から入力されると、入力された患者識別情報と来院先識別情報を含めたアクセス要求情報を生成し、アクセス制御装置６へ送信するアクセス要求情報生成部３３及びアクセス要求情報送信部３４である。コンピュータ３０２にアクセス要求情報を生成するプログラムとアクセス要求情報を送信するプログラムとをインストールすることで、コンピュータ３０２は、アクセス要求情報生成部３３とアクセス要求情報送信部３４として機能する。

図５は、この患者受付端末３の第２の具体例を示す模式図である。

第２の具体例に係る患者受付端末３は、ＩＣカード７２を読み取る読取端末３０３と、ネットワークＮに接続されたコンピュータ３０２とにより構成される。患者が有する診察券等のＩＣカード７２には、患者識別情報と、来院先識別情報としてその診察券を発行した医療施設Ｍの医療施設識別情報が記憶されている。

読取端末３０１は、患者が所持するＩＣカード７２を読み取り、患者識別情報と来院先識別情報を読み取る患者識別情報取得部３１及び来院先情報取得部３２からなる。

コンピュータ３０２は、患者識別情報と来院先識別情報が読取装置３０１から入力されると、入力された患者識別情報と来院先識別情報を含めたアクセス要求情報を生成し、アクセス制御装置６へ送信するアクセス要求情報生成部３３及びアクセス要求情報送信部３４である。コンピュータ３０２にアクセス要求情報を生成するプログラムとアクセス要求情報を送信するプログラムとをインストールすることで、コンピュータ３０２は、アクセス要求情報生成部３３とアクセス要求情報送信部３４として機能する。

図６は、患者受付端末３の第３の具体例を示す模式図である。

第３の具体例に係る患者受付端末３は、キーボード等の入力デバイス３０４と、ネットワークＮに接続されたコンピュータ３０２とにより構成される。患者は、セキュアカード７３を診察券として所持している。セキュアカード７３には、文字列が刻々と変更されながら表示されている。この文字列は、一定期間有効な患者識別情報と、一定期間有効な来院先識別情報である診察券を発行した医療施設Ｍの医療施設識別情報、或いは認証パスワードである。

入力デバイス３０４は、刻々と変更される来院先識別情報と患者識別情報とが入力される患者識別情報取得部３１及び来院先情報取得部３２である。

コンピュータ３０２は、入力デバイス３０４から患者識別情報と来院先識別情報が入力されると、入力された患者識別情報と来院先識別情報を含めたアクセス要求情報を生成し、アクセス制御装置６へ送信する。コンピュータ３０２にアクセス要求情報を生成するプログラムとアクセス要求情報を送信するプログラムとをインストールすることで、コンピュータ３０２は、アクセス要求情報生成部３３とアクセス要求情報送信部３４として機能する。

第１乃至第３の具体例では、アクセス制御装置６の登録部６２には、医療施設識別情報が医療施設Ｍ毎に記憶されている。第１乃至第３の具体例では、患者受付端末３から送信された来院先識別情報を登録部６２から検索することで、アクセス制御装置６側からは、患者受付端末３から送信された医療施設識別情報に対応する医療施設Ｍに患者が来院しているということがわかる。第３の具体例では、登録部６２に記憶されている医療施設識別情報は、セキュアカードに表示される医療施設識別情報の変更と同期して同一の内容に変更される。

第１及び第２の具体例では、患者識別情報取得部３１は、磁気カード７１又はＩＣカード７２に予め記憶された患者識別情報を、読み取りによって取得する。又は、キーボード等の記号の入力が可能な入力デバイスをコンピュータ３０２に接続し、この入力デバイスを患者識別情報取得部３１として患者識別情報が入力されることによって取得する。

図７は、患者受付端末３の第４の具体例を示す模式図である。

第４の具体例に係る患者受付端末３は、ＧＰＳ装置３０５とコンピュータ３０２を搭載した携帯端末である。この携帯端末には、予め患者識別情報が記憶されている。

ＧＰＳ装置３０５は、ＧＰＳ信号を受信し、受信したＧＰＳ信号を用いて携帯端末の現在位置を示すＧＰＳ情報を取得する。このＧＰＳ情報は、患者の現在位置を示す現在位置情報であり、来院先識別情報である。即ち、ＧＰＳ装置３０５は、来院先情報取得部３２である。

コンピュータ３０２は、ＧＰＳ装置３０５から現在位置情報が入力されると、この現在位置情報と予め記憶している患者識別情報とを含めたアクセス要求情報を生成し、アクセス制御装置６へ送信する患者識別情報取得部３１とアクセス要求情報生成部３３とアクセス要求情報送信部３４である。

第４の具体例では、アクセス制御装置６の登録部６２には、医療施設識別情報として医療施設Ｍの所在地を示す所在地情報が記憶されている。第４の具体例では、患者受付端末３から送信された現在地情報と一致する所在地情報を登録部６２から検索することで、アクセス制御装置６側からは、検索された所在地情報に対応する医療施設Ｍに患者が来院しているということがわかる。

第１乃至第４の具体例を併用する場合には、アクセス要求情報生成部３３は、来院先識別情報が現在位置情報であるか、磁気カード由来の医療施設識別情報であるか、ＩＣカード由来の医療施設識別情報であるか、セキュアカード由来の医療施設情報識別情報であるか、その情報種別をアクセス要求情報に含める。

図８は、医療情報管理システム１のアクセス許可を設定する動作を示すフローチャートである。

まず、患者受付端末３では、患者識別情報取得し（Ｓ０１）、来院先識別情報を取得する（Ｓ０２）。

患者識別情報取得部３１及び来院先情報取得部３２が磁気カード７１を読み取る読取端末３０１である場合、患者が所持する磁気カード７１を読取端末３０１に挿入してもらう。患者識別情報取得部３１及び来院先情報取得部３２がＩＣカード７２を読み取る読取端末３０３である場合、患者が所持するＩＣカード７２を読取端末３０１にかざしてもらう。磁気カード７１が挿入され、又はＩＣカード７２がかざされると、読取端末３０１，３０３は、磁気カード７１又はＩＣカード７２から患者識別情報と医療施設識別情報を読み取る。

患者識別情報取得部３１及び来院先情報取得部３２が入力デバイス３０４である場合、患者の患者識別情報を入力デバイス３０４を用いて入力してもらい、さらにセキュアカード７３に表示された医療施設識別情報を入力デバイス３０４を用いて入力してもらう。

患者識別情報取得部３１及び来院先情報取得部３２がＧＰＳ装置３０５とコンピュータ３０２を備えた携帯端末である場合、携帯端末を用いて現在位置情報を取得してもらう。

患者識別情報と来院先識別情報を取得すると、患者受付端末３では、アクセス要求情報生成部３３により、取得した患者識別情報と来院先識別情報と来院先識別情報の情報種別を含むアクセス要求情報が生成される（Ｓ０３）。患者受付端末３では、アクセス要求情報が生成されると、このアクセス要求情報をアクセス制御装置６にネットワークＮを介して送信する（Ｓ０４）。

アクセス制御装置６では、受信部６１によってアクセス要求情報を受信すると（Ｓ０５）、照合部６３により、受信した来院先識別情報と一致する医療施設識別情報を登録部６２から検索する（Ｓ０６）。

患者受付端末３で生成されてアクセス制御装置６に送信されるアクセス要求情報の具体例を図９に示す。

アクセス要求情報には、「Ｔ００００１」等の患者識別情報、「Ｆ００００１」等の受信した来院先識別情報、及び「磁気カード」、「ＧＰＳ」、「ＩＣカード」、又は「セキュアカード」等の来院先識別情報の情報種別とが対になったデータ構成を有する。アクセス制御装置６では、このアクセス要求情報に対してアクセス要求情報を受信した受付日時を対にして一つのレコードとして記憶しておく。そして、照合部６３は、受信したアクセス要求情報を中央サーバ２の他の処理の邪魔とならないように一定時間プールしておいてまとめて照合処理をおこなう。

登録部６２に記憶されている医療施設識別情報をはじめとする情報の具体例を図１０に示す。

登録部６２には、医療施設Ｍを表す「Ｆ００００１」等の医療施設コードと、「Ａ病院」等の医療施設名と、「Ｐ５１４Ｘ４」等の情報種別毎に医療施設Ｍに一意に割り当てられた医療施設識別情報と、医療施設識別情報の情報種別とが対になって記憶されている。

照合部６３は、アクセス要求情報に含まれる情報種別を内容とするレコードを登録部６２から検索し、抽出されたレコードからアクセス要求情報に含まれる来院先識別情報と一致する医療施設識別情報を内容とするレコードをさらに検索する。来院先識別情報と一致する医療施設識別情報を内容とするレコードに含まれる医療施設コードと受付日時を取得する。

例えば、患者がＡ病院に来院して現在位置情報を取得すると、ＧＰＳ情報として「Ｐ５１４Ｘ４」がアクセス制御装置６に送信される。アクセス制御装置６では、Ａ病院の医療施設コード「Ｆ００００１」や医療施設名と所在地情報である「Ｐ５１４Ｘ４」が対になって予め記憶されている。ＧＰＳ情報として「Ｐ５１４Ｘ４」を「２００６年１２月１８日１１時２分６秒」に受信すると、照合部６３は、現在地情報を情報種別として含む登録部６２内のレコードから「Ｐ５１４Ｘ４」を所在地情報に含むレコードを検索する。そして、Ａ病院の医療施設コードや医療施設名と所在地情報である「Ｐ５１４Ｘ４」が対になったレコードを抽出し、このレコードからＡ病院の医療施設コード「Ｆ００００１」と受付日時「２００６年１２月１８日１１時２分６秒」を取得する。

この一連の動作で患者が来院している医療施設Ｍが特定される。

アクセス制御装置６では、患者が来院している医療施設Ｍの医療施設コードと受付日時が取得されると、アクセス権設定部６５により、アクセス許可情報が作成される（Ｓ０７）。

図１１に示すように、アクセス許可情報は、受信した患者識別情報と、照合部６３で取得された医療施設コードと、受付日時とを対にして作成される。例えば、「Ｔ０００００１」なる患者識別情報を含んだアクセス要求情報を「２００６年１２月１８日１１時２分６秒」に受信し、照合部６３がＡ病院の医療施設コード「Ｆ００００１」の医療施設コードを取得すると、これら情報が対にされてアクセス許可情報が作成される。

この一連の動作により、患者が来院している医療施設Ｍとその患者とが受付日時より所定時間結びつけられる。このアクセス許可情報をアクセス権限テーブルとして用いることにより、患者が来院している医療施設Ｍに対して、その患者の医療情報へのアクセスが受付日時から所定時間に限って許可される。

尚、医療施設識別情報については、医療施設コードと同一の符号を用いて患者受付端末３から送信し、登録部６２に登録させておいてもよい。この場合、レコードから医療施設コードを取得する処理を省き、アクセス権設定部６５は、受信した医療施設識別情報を医療施設コードとしてアクセス許可情報の作成に用いる。

図１２は、この医療情報管理システム１によるアクセス制御の動作の一例を示すフローチャートである。

まず、情報閲覧装置５では、医療情報を閲覧しようとするオペレータにより入力デバイスを用いて患者の検索条件が入力される（Ｓ１１）。情報閲覧装置５には、患者の検索条件として、患者の氏名、年齢、性別、住所のうちの何れかの組み合わせ、又は患者ＩＤが入力される。

検索条件が入力されると、情報閲覧装置５は、入力された検索条件での検索クエリーを生成する（Ｓ１２）。そして、この検索クエリーと情報閲覧装置５が設置されている医療施設Ｍの医療施設コードを中央サーバ２に送信する（Ｓ１３）。医療施設コードは、予め情報閲覧装置５に記憶されている。

中央サーバ２では、予め記憶しているデータベースを参照して、受信した検索条件に該当する患者の医療情報を検索する（Ｓ１４）。該当する患者の医療情報が見つかると、アクセス制御装置６のアクセス権判定部６６は、この患者の医療情報のレコードから患者識別情報の項目を抽出する（Ｓ１５）。

アクセス権判定部６６は、受付日時を参照してアクセス要求情報の受信から所定時間内のアクセス許可情報を読み出し（Ｓ１６）、中央サーバ２に送信されてきた医療施設コードと抽出した患者識別情報との組み合わせがアクセス許可情報の一覧に存在するか検索する（Ｓ１７）。

アクセス許可情報の一覧に存在する場合（Ｓ１７，Ｙｅｓ）、アクセス権判定部６６は、中央サーバ２による検索された医療情報の所在の送信を許容し、検索された医療情報の所在が情報閲覧装置５に送信される（Ｓ１８）。送信の許容では、アクセス権判定部６６は、中央サーバ２の検索によって見つかった医療情報のレコードの送信を通過させる。医療情報のレコードには、医療情報の所在、即ち医療情報のパスが含まれている。

送信されてきた医療施設コードと抽出した患者識別情報との組み合わせがアクセス許可情報の一覧に存在しない場合（Ｓ１７，Ｎｏ）、アクセス権判定部６６は、中央サーバ２によって検索された医療情報のレコードを破棄し、情報閲覧装置５には、検索結果として空文字列、即ちＮｕｌｌ値が送信される（Ｓ２０）。

医療情報の所在が送信されてきた場合には（Ｓ１８）、情報閲覧装置５は、受信した医療情報の所在場所から医療情報を取得し、取得した医療情報をモニタに表示させる（Ｓ１９）。一方、空文字列が送信されてきた場合には（Ｓ２１）、空文字列の検索結果を受けてモニタに例えば「＃Ｎｕｌｌ！」等のＮｕｌｌ表示をさせる（Ｓ２２）。

尚、情報閲覧装置５から送信されてきた検索条件が患者識別情報である患者ＩＤならば、データベース検索の前にアクセス許可情報を参照してアクセスが許可されているか否かを判定するようにしてもよい。この場合、アクセスを拒絶する場合には、中央サーバ２へ検索クエリーを通過させず、アクセス権判定部６６によって空文字列の検索結果を生成して情報閲覧装置５に送信する。

また、本実施形態では、アクセス権判定部６６は、受付日時を参照して所定時間内に生成されたアクセス許可情報のみを参照して、送信されてきた医療施設コードと抽出した患者識別情報との組み合わせのアクセス許可情報が存在するかの検索を行うようにした。これによりアクセス許可情報をログとして残すことができる。この他にも、アクセス権設定部６５は、アクセス許可情報を一定間隔で監視し、受付日時から所定時間が経過したアクセス許可情報を破棄するようにし、アクセス権判定部６６は、記憶されているアクセス許可情報の全てを参照するようにしてもよい。

以上の実施形態では、アクセス制御装置６は中央サーバ２の一部として設置され、患者受付端末３は医療施設Ｍ内に設置される場合を例にした。この実施形態の他にもアクセス制御装置６と患者受付端末３は各種の態様で設置することができる。図１３乃至図１６に医療情報管理システムのバリエーション例を示す。

図１３に示すように、患者受付端末３は、患者が所持する携帯端末である。携帯端末は、ＧＰＳ装置３０５とコンピュータ３０２を有し、ＧＰＳ情報を受信し、アクセス要求情報を生成して中央サーバ２に送信するアプリがインストールされている。

また、図１４に示すように、アクセス制御装置６は、中央サーバ２と別体のコンピュータとしてネットワークＮに接続されている。患者受付端末３は、アクセス要求情報をアクセス制御装置６へ送信する。中央サーバ２から送信される検索結果は、アクセス制御装置６を介して情報閲覧装置５へ送信される。アクセス制御装置６は、検索結果に含まれる患者識別情報と送信先の情報閲覧装置５の医療施設コードとの組み合わせとアクセス許可情報とを参照して、検索結果をフィルタリングする。即ち、患者識別情報と医療施設コードの組み合わせがアクセス許可情報に存在しなければ、検索結果に含まれる医療情報のレコード、特に医療情報の所在を表す文字列を破棄し、空文字列とする。

また、図１５に示すように、アクセス制御装置６は、情報保管装置４の一部として設置されている。例えば、情報保管装置４にアクセス制御装置６として機能させるプログラムをインストールする。この実施形態では、中央サーバ２の検索結果はフィルタリングされずに情報閲覧装置５に送信される。

一方で、情報閲覧装置５から他の医療施設Ｍの情報保管装置４へアクセスするとき、アクセスされる情報保管装置４は、取得する医療情報を表す患者識別情報と医療施設コードを付帯した医療情報の取得コマンドに対して、アクセス制御装置６としてアクセス許可が存在するか否かを判断する。アクセス許可がなければ、取得コマンドを破棄し、空文字列を返す。

また、図１６に示すように、アクセス制御装置６は、情報閲覧装置５の一部として設置される。例えば、情報閲覧装置５にアクセス制御装置６として機能させるプログラムをインストールする。この実施形態では、中央サーバ２の検索結果はフィルタリングされずに情報閲覧装置５に送信される。

一方で、情報閲覧装置５から他の医療施設Ｍの情報保管装置４へアクセスするときに、アクセスされる情報保管装置４が設置されている医療施設Ｍの情報閲覧装置５を介する。アクセスされる医療施設Ｍの情報閲覧装置５は、取得する医療情報を表す患者識別情報と医療施設コードを付帯した医療情報の取得コマンドに対して、アクセス制御装置６として、アクセス許可が存在するか否かを判断する。アクセス許可がなければ、取得コマンドを破棄し、空文字列を返す。

尚、アクセス制御装置６が医療施設Ｍに設置される場合には、一の医療施設Ｍから送信されたアクセス要求情報は、各医療施設Ｍのアクセス制御装置６に送信される。

次に、図１７に、登録部６２に情報の変形例を示す。

登録部６２には、アクセス許可情報の作成に参照されるメインの医療施設Ｍの医療施設コードと医療施設名と情報種別と医療施設識別情報と、地域の医療施設Ｍの医療施設コードと医療施設名や、紹介先又は紹介元の医療施設Ｍの医療施設コードと医療施設名の関連づけが記憶されている。

照合部６３は、来院先識別情報と一致する医療施設識別情報を見つけると、その医療施設識別情報を内容とするレコードから、メインの医療施設Ｍの医療施設コードと、地域の医療施設Ｍや紹介先又は紹介元の医療施設Ｍの医療施設コードを取得する。アクセス権設定部６５は、照合部６３で取得されたこれら医療施設コードを含めたアクセス許可情報を作成する。即ち、患者が来院した医療施設Ｍと、その医療施設Ｍが所在する地域の他の医療施設Ｍや、患者が来院した医療施設Ｍの紹介先又は紹介元となる医療施設Ｍが、医療施設Ｍに来院した患者の医療情報を閲覧可能となる。

このように、この医療情報管理システム１によっては、患者が来院している医療施設又はこれに加えてその関連の医療施設のみが患者の医療情報を取得することができる。これにより、患者の診療行為が必要でない医療施設の悪意のあるユーザによって医療情報が利用されるおそれが低減し、個人情報保護のレベルを向上させることができる。

医療情報管理システムの構成を示すブロック図である。 患者受付端末の構成を示すブロック図である。 アクセス制御装置の構成を示すブロック図である。 患者受付端末の第１の具体例を示す模式図である。 患者受付端末の第２の具体例を示す模式図である。 患者受付端末の第３の具体例を示す模式図である。 患者受付端末の第４の具体例を示す模式図である。 アクセス許可を設定する動作を示すフローチャートである。 アクセス要求情報のデータ構成の具体例を示す図である。 予め記憶されている医療施設識別情報をはじめとする情報のデータ構成の具体例を示す図である。 アクセス許可情報のデータ構成の具体例を示す図である。 アクセス制御の動作の一例を示すフローチャートである。 医療情報管理システムの第１の変形例を示すブロック図である。 医療情報管理システムの第２の変形例を示すブロック図である。 医療情報管理システムの第３の変形例を示すブロック図である。 医療情報管理システムの第４の変形例を示すブロック図である。 予め記憶されている医療施設識別情報をはじめとする情報のデータ構成の変形例を示す図である。

符号の説明

１ 医療情報管理システム
２ 中央サーバ
３ 患者受付端末
３１ 患者識別情報取得部
３２ 来院先情報取得部
３３ アクセス要求情報生成部
３４ アクセス要求情報送信部
３０１，３０３ 読取端末
３０２ コンピュータ
３０４ 入力デバイス
３０５ ＧＰＳ装置
４ 情報保管装置
５ 情報閲覧装置
６ アクセス制御装置
６１ 受信部
６２ 登録部
６３ 照合部
６４ アクセス制御部
６５ アクセス権設定部
６６ アクセス権判定部
７１ 磁気カード
７２ ＩＣカード
７３ セキュアカード
Ｍ 医療施設
Ｎ ネットワーク

Claims (13)

1. 複数の医療施設がネットワークで接続され、自己以外の他の医療施設に保管された医療情報を取得して表示する情報閲覧装置と自己の医療施設で発生した医療情報を保管する保管装置とを各医療施設に有する医療情報管理システムであって、
   各医療施設の所在地を表す所在地情報を予め記憶する登録部と、
   患者識別情報を取得する患者識別情報取得部と、
   患者の現在位置情報を取得する来院先情報取得部と、
   前記現在位置情報に該当する前記所在地情報を前記登録部から検索する照合部と、
   前記照合部で検索された所在地情報に対応する医療施設の情報閲覧装置からの、前記患者識別情報で表される患者の医療情報へのアクセスを許可するアクセス制御部と、
   を備えること、
   を特徴とする医療情報管理システム。
2. 前記来院先情報取得部は、患者が所持するＧＰＳ信号受信端末であること、
   を特徴とする請求項１記載の医療情報管理システム。
3. 前記アクセス制御部は、所定時間内のアクセスを許可すること、
   を特徴とする請求項１記載の医療情報管理システム。
4. 前記登録部は、医療施設間の関連づけを予めさらに記憶し、
   前記アクセス制御部は、前記照合部で検索された前記所在地情報に該当する医療施設に関連づけられた医療施設の操作端末からの、前記患者識別情報で表される患者の医療情報へのアクセスをさらに許可すること、
   を特徴とする請求項１記載の医療情報管理システム。
5. 前記登録部は、同一地域内の医療施設を関連づけた情報を記憶すること、
   を特徴とする請求項４記載の医療情報管理システム。
6. 前記登録部は、紹介元又は紹介先の医療施設を関連づけた情報を記憶すること、
   を特徴とする請求項４記載の医療情報管理システム。
7. 複数の医療施設がネットワークで接続され、自己以外の他の医療施設に保管された医療情報を取得して表示する情報閲覧装置と自己の医療施設で発生した医療情報を保管する保管装置とを各医療施設に有する医療情報管理システムに配置されたアクセス制御装置であって、
   各医療施設の所在地を表す所在地情報を予め記憶する登録部と、
   患者識別情報と患者の現在位置情報とを受信する受信部と、
   前記現在位置情報に該当する前記所在地情報を前記登録部から検索する照合部と、
   前記照合部で検索された所在地情報に対応する医療施設の情報閲覧装置からの、前記患者識別情報で表される患者の医療情報への、アクセスを許可するアクセス制御部と、
   を備えること、
   を特徴とするアクセス制御装置。
8. 前記アクセス制御部は、所定時間内のアクセスを許可すること、
   を特徴とする請求項７記載のアクセス制御装置。
9. 前記登録部は、医療施設間の関連づけを予めさらに記憶し、
   前記アクセス制御部は、前記照合部で検索された前記所在地情報に該当する医療施設に関連づけられた医療施設の操作端末からの、前記患者識別情報で表される患者の医療情報へのアクセスをさらに許可すること、
   を特徴とする請求項７記載のアクセス制御装置。
10. 前記登録部は、同一地域内の医療施設を関連づけた情報を記憶すること、
    を特徴とする請求項９記載のアクセス制御装置。
11. 前記登録部は、紹介元又は紹介先の医療施設を関連づけた情報を記憶すること、
    を特徴とする請求項９記載のアクセス制御装置。
12. 複数の医療施設がネットワークで接続され、自己以外の他の医療施設に保管された医療情報を取得して表示する情報閲覧装置と自己の医療施設で発生した医療情報を保管する保管装置とを各医療施設に有する医療情報管理システムの医療情報管理方法であって、
    各医療施設の所在地を表す所在地情報を予め記憶しておき、
    患者識別情報を取得し、
    患者の現在位置情報を取得し、
    前記現在位置情報に該当する前記所在地情報を検索し、
    前記検索された所在地情報に対応する医療施設の情報閲覧装置からの、前記患者識別情報で表される患者の医療情報へのアクセスを許可すること、
    を特徴とする医療情報管理方法。
13. 複数の医療施設がネットワークで接続され、自己以外の他の医療施設に保管された医療情報を取得して表示する情報閲覧装置と自己の医療施設で発生した医療情報を保管する保管装置とを各医療施設に有する医療情報管理システムに配置されたアクセス制御装置の医療情報管理方法であって、
    各医療施設の所在地を表す所在地情報を予め記憶し、
    患者識別情報と患者の現在位置情報とを受信し、
    前記現在位置情報に該当する前記所在地情報を検索し、
    前記照合部で検索された所在地情報に対応する医療施設の情報閲覧装置からの、前記患者識別情報で表される患者の医療情報へのアクセスを許可すること、
    を特徴とする医療情報管理方法。

Images