JP6073802B2 - 消費者のプライバシープリファレンスに基づくアクセスコントロールポリシーの創出 - Google Patents

Description

本発明は、アクセスコントロールポリシーの創出に関する。本発明は、さらに、アクセスコントロールポリシーを伴なうアクセスコントロールを構成することに関する。

電子的な健康記録は、電子的な個人の健康記録と同様に、プロフェッショナルなヘルスケアおよび家でのヘルスケアにおいて、紙の記録を置き換えるようにますます使用されてきている。

インフォームドコンセント（ｉｎｆｏｒｍｅｄ ｃｏｎｓｅｎｔ）は、プロフェッショナルなヘルスケアにおいて非常に重要なプロセスであり、患者は、特に、ヘルスケア提供者による患者の健康データの使用について、いくつかの選択を行う。多くの国において、患者は、自身の電子的なヘルスケア記録の所定の部分を秘密にし、またはアクセスを制限する法律上の権利を有している。例えば、患者は、メンタルヘルス（ｍｅｎｔａｌ ｈｅａｌｔｈ）や薬物乱用に関する文書に対するアクセスを制限し得る。患者担当の精神科医だけがそうした文書にアクセスできるようにするためである。他の例として、こうした厳しいアクセスにより、エイズ（ＡＩＤＳ）に関する患者の記録に対して他人がアクセスするのを防ぐことができる。こうした権利を技術的に促進するために、異なるセキュリティメカニズムが開発されてきている。イギリスでのＮＨＳに係るスパインシステム（Ｓｐｉｎｅ ｓｙｓｔｅｍ）におけるシールされた封筒の使用、または、オランダでのＮＩＣＴＩＺにおける同様なメカニズムの使用、といったものである。

個人的な健康記録のドメイン（ｄｏｍａｉｎ）においては、患者だけが、誰が自身の記録にアクセスできるかを定めることができる。患者は、頻繁に、非常に複雑なポリシーを理解したいと望む。患者が、特定のヘルスケア提供者、家族、または友人にアクセスを与えたい場合には、特にそうである。いくつかの場合において、患者は、彼らを自身の記録の所定の部分にアクセスできないようにすることを望むことがある。

ＨＬ−７、ＩＨＥ、およびＨＩＴＳＰは、患者の同意に関する相互作用（ｉｎｔｅｒａｃｔｉｏｎ）を、その中で同意を特定することができるフォーマットと同様に、規格化している。ＨＬ−７は、ＣＤＡ Ｒ２同意指令を規定し、一方、ＩＨＥは、基本プライバシー患者同意プロフィールを開発した。ＨＩＴＳＰのワーキンググループは、健康記録に関する患者のプライバシープリファレンス（ｐｒｅｆｅｒｅｎｃｅ）についての要求を集めた。ＨＬ−７は、また、アクセスコントロールに使用される語彙を規格化した。電子的な健康記録に係る異なるデータタイプを記述する対象語彙といったものである。これらのデータタイプは、アクセスコントロールシステムによって使用され、これらのデータタイプに関して異なるユーザーに対して許可／制限を割り当てる。

“Ｐａｔｉｅｎｔ−ｃｅｎｔｒｉｃ ａｕｔｈｏｒｉｚａｔｉｏｎ ｆｒａｍｅｗｏｒｋ ｆｏｒ ｓｈａｒｉｎｇ ｅｌｅｃｔｒｏｎｉｃ ｈｅｌｔｈ ｒｅｃｏｒｄｓ”、Ｊｉｍｇ Ｊｉｎ ｅｔ ａｌ．、ＳＡＣＭＡＴ‘０９、Ｊｕｎｅ３−５、２００９、Ｓｔｒｅｓａ、Ｉｔａｌｙ、は、ユーザーが、彼らの機密に属する記録またはそれらの中のデータのサブセットに対してアクセスすることを、種々の医療アフィリエイト（ａｆｆｉｌｉａｔｅ）に素早く、かつ容易に許可できるようにする、安全で、利用可能で、わかりやすいメカニズムの必要性について開示している。本論文は、ＥＨＲ文書の意味と構造的な配置が、階層的な構成で定式化されるモデルを開示しており、データタイプ、意図された目的、および情報重要度といった医療データ共有のための重要なクライテリアに対処するために、内部のサブオブジェクトは区別され、プロパティに関連している。ＥＨＲインスタンス（ｉｎｓｔａｎｃｅ）と集合した仮想コンポジットＥＨＲの両方は、ラベルのついた階層的な構成として均一にモデル化されている。関連のプロパティは、３つの次元に分類される。オリジン、重要度、そしてオブジェクトタイプである。

アクセスコントロールポリシーを創出するための改善されたシステムを有することには利点がある。

この問題により良く対処するために、本発明の第１の態様は、ユーザーが、トピックおよび許可セットを指示できるようにするユーザーインターフェイスと、トピックに関する文書セットを発見するために、複数の文書の内容を分析する文書アナライザーと、アクセスコントロールポリシーを獲得するために、許可セットと文書セットを関連付ける関連サブシステムと、を含む。

システムが複数の文書のコンテンツを考慮しているので、システムは、ユーザーが許可設定を適用しようと意図する文書セットをより正確に定めることができる。このことは、文書または記録の構造またはグローバルな区分だけを考慮するアプローチよりも、よい結果を提供し得る。ユーザーは、トピックが、そのトピックに関する文書セットの中にうまく翻訳されていることをより確信できる。さらに、ユーザーにとって、きめの細かいアクセスコントロールポリシーを創出することがより容易になる。ユーザーは、文書が保管されているあらゆる階層的な構成に関して関心がより低いからである。従って、ユーザーが情報システムの構成の詳細について知る必要性はより少ない。

文書アナライザーは、複数の文書のコンテンツを分析するように、トピックに関する文書に係る少なくとも一つの際立ったプロパティを発見するためのプロパティファインダー（ｆｉｎｄｅｒ）を含んでよい。文書アナライザーは、さらに、際立ったプロパティに基づいて文書セットを選択するための文書セレクター（ｓｅｌｅｃｔｏｒ）を含んでもよい。プロパティファインダーは、関連する文書の選択を改善することに役立つ。トピックに関する文書の際立ったプロパティを発見することにより、そうしたプロパティを有する文書を探すことで文書セットを選択することができるようになる。際立ったプロパティを発見するための文書のコンテンツの分析のおかげで、前述の全ての可能なトピックの全ての可能なプロパティを定める必要はない。これは、労働集約的で、かつ、誤りがちな業務である。さらに、プロパティファインダーは、関連する文書のトピックおよびプロパティが変化する環境において、より信頼できる結果を提供できる。さらに、多くの場合においては、それぞれの記録のインスタンスが異なり得るので、特定のトピックに対する一般的なテンプレートを定めることはできない。例えば、所定のエイズ患者の場合において、エイズに関する情報を保管することができる電子的な健康記録に係る全ての可能なデータタイプを事前に特定することには、問題がある。従って、ランタイムの最中に、それらを見つけられるソリューションが望ましい。

文書アナライザーは、トピックに基づいて、プロパティファインダーによって分析される複数の文書を選択するための文書プリセレクター（ｐｒｅ−ｓｅｌｅｃｔｏｒ）を含んでもよい。これは、複数の文書を定めるのに役立つ。例えば、文書プリセレクターは、トピックに関連する複数の文書を選択する。そうした選択は、文書のタイプをトピックとマッチングすることにより、または、文書の内容を分析し、そのトピックに関する一つまたはそれ以上の用語を含む文書を選択することによって、実行される。

文書アナライザーは、トピックに基づいて、少なくとも一つのデータタイプを選択するためのデータタイプセレクターを含んでもよい。文書プリセレクターは、選択されたデータタイプに係る複数の文書を選択するように構成され得る。これは、少なくとも一つの際立ったプロパティを見つけるのに適した複数の文書を発見するための効率的な方法である。

ユーザーインターフェイスは、ユーザーが、文書アナライザーによって発見された文書セットを、適合された文書セットを獲得するように適合できるように構成され得る。そして、関連するサブシステムは、アクセスコントロールポリシーを、適合された文書セットと連携するように構成される。これにより、システムは、ユーザーによってされたきめ細かな選択を考慮することができる。システムは、ユーザーのした選択に基づいて、さらに際立ったプロパティを見出すように、または、機械学習技術に基づいて、さらにシステムの使用を改善するために、際立ったプロパティを洗練するように構成され得る。

ユーザーインターフェイスは、ユーザーが、プロパティファインダーによって発見された少なくとも一つの際立ったプロパティについて変更ができるように構成され得る。そして、文書セレクターは、変更された際立ったプロパティに基づいて、文書セットを選択するように構成される。これにより、ユーザーは、文書を選択するための、ユーザーが賛成しないプロパティを洗練することができる。例えば、プロパティファインダーによって発見されたプロパティを訂正するためである。こうした変更は、例えば、機械学習技術を使用して、将来の使用でのプロパティファインダーにおいて使用されるアルゴリズムを改善するために使用され得る。

変更は、少なくとも一つの際立ったプロパティから、一つまたはそれ以上の際立ったプロパティを除去することを含み得る。例えば、ユーザーがプロパティのうちの一つが自身に関係ないと考える場合には、ユーザーは単純にそのプロパティを除去すればよい。除去されたプロパティが、今回は文書の選択のために使用されないようにである。

トピックは、キーワードを含み得る。これにより、文書アナライザーは、文書中に表れるキーワードとしてトピックを発見するために、ストリングマッチング（ｓｔｒｉｎｇ ｍａｔｃｈｉｎｇ）技術を使用することができる。代替的に、トピックは、例えば、スクリーン上に表示されるアイコン（ｉｃｏｎ）によって表すことができ、ユーザーは、例えば、複数のトピックのグラフィカルな表示のうち一つを選択することができる。内部的には、トピックは、システムにおいて、キーワードによって表されてもよい。トピックは、また、キーワードの集まりによって表されてもよい。例えば、同義語またはお互いに関して意味が近い用語である。トピックは、また、文書タイプを含んでもよい。

文書アナライザーは、文書の内容においてキーワードを検索するように構成され得る。これにより、文書アナライザーを効率よく実行することができる。

文書アナライザーは、キーワードを含む文書の内容に基づいて、さらなるキーワードを発見するように、かつ、さらなるキーワードに基づいて、文書セットを選択するように構成され得る。このさらなるキーワードの発見は、頻度分析、または、他の情報及び／又は自然言語処理技術に基づくものであってよい。ユーザーによって、最初に示されたキーワードに関するさらなるキーワードを発見するためである。

少なくとも一つの際立ったプロパティは、データタイプまたはキーワードを含み得る。これら２つのプロパティは、正確及び／又は効率的な選択プロセスを実行するのに特に適したものである。

プロパティファインダーは、自然言語処理及び／又は情報検索方法を複数の文書の内容に対して適用するように構成され得る。そうした技術は、従来技術それ自体として知られているが、際立ったプロパティを成功裡に発見するために適用され得る。

システムは、アクセスコントロールサブシステムを含んでよく、サブシステムに関連付けることによって得られるアクセスコントロールポリシーにより構成されている。アクセスコントロールサブシステムは、アクセスコントロールポリシーにより構成され、ユーザーが望む方法で、アクセスコントロールを執行する。

別の実施態様において、本発明は、説明されたシステムを含むワークステーションを提供する。

別の実施態様において、本発明は、アクセスコントロールポリシーを生成するための方法であって、ユーザーが、トピックおよび許可セットを指示できるようにするステップと、トピックに関する文書セットを発見するために複数の文書の内容を分析するステップと、アクセスコントロールポリシーを獲得するために許可セットと文書セットを関連付けるステップと、を含む。

別の実施態様において、本発明は、プロセッサシステムに、説明された方法を実行するようにさせるインストラクション含むコンピュータープログラムを提供する。

当業者であれば、本発明に係る上述の実施例、及び／又は。態様のうち２つまたはそれ以上が、有効だと考えられるあらゆる方法で組合わせられ得ることが正しく理解されよう。

システムの説明された変更と変化に対応する、ワークステーション、システム、方法、及び／又は、コンピュータープログラムに係る変更または変化は、本発明の記載に基づいて、当業者によって実行され得る

本発明のこれら及び他の実施態様は、以降に説明される実施例から明らかであり、それらの実施例に関して説明される。
図１は、アクセスコントロールシステムのアクセスコントロールポリシーを創出するためのシステムに係るブロックダイヤグラムである。 図２は、アクセスコントロールシステムのアクセスコントロールポリシーを創出するためのシステムに係る別のブロックダイヤグラムである。 図３は、アクセスコントロールポリシーを創出する方法のフローチャートである。 図４は、アクセスコントロールポリシーを創出するためのシステムを含むアクセスコントロールシステムのブロックダイヤグラムである。 図５は、アクセスコントロールポリシーを創出するためのユーザーインターフェイスの概要である。

情報検索方法は、テキスト文書の集積における用語の統計に基づくものでよい。つまり、文書における用語の出現数（用語頻度）及び／又は集積における用語の出現数（集積頻度）、および、用語を含む文書の数量、を使用する。このことは、Ｂａｅｚａ−Ｙａｔｅｓ、Ｒ．，＆Ｒｉｂｅｉｒｏ−Ｎｅｔｏ、Ｂ．（１９９９）．Ｍｏｄｅｒｎ Ｉｎｆｏｒｍａｔｉｏｎ Ｒｅｔｒｉｅｖａｌ．Ｅｓｓｅｘ，ＵＫ：ＡＣＭ Ｐｒｅｓｓ（以降、Ｂａｅｚａ−Ｙａｔｅｓ等）において説明されている。情報検索に加えて、そうした統計情報は、利用可能な存在論と一緒に、ユーザーが、問題のデータ収集に関する種々のプロセッサを定めるのに役に立つ。

消費者／患者は、ふつう非常に高レベルなプライバシープリファレンスを有しており、電子的健康記録（ＥＨＲ）の構造、および、上述のＨＬ−７の一つといったＥＨＲシステムによって使用される対象語彙の構造についてよく知らない。彼らには、彼らのプライバシーポリシーおよび同意を規定することが難しい。片方における彼らのプリファレンスと他方におけるアクセスコントロールシステムで使用される語彙との間には大きな相違があるからである。従って、彼らの高レベルなプリファレンスを、よくコントロールされたきめ細かな方法で彼らの健康データの使用を制限する機械で読み取り可能なポリシーに変換する必要がある。

例えば、消費者／患者は、彼／彼女の病院からの電子的医療記録から取り込んだ彼／彼女のパーソナルな健康記録（ＰＨＲ）に対して、彼／彼女のプリファレンスを設定したい。例えば、彼／彼女は、いくらかのユーザーと彼／彼女のデータを共有したいが、彼／彼女が特定の病気（例えば、精神異常、薬物不正使用、またはエイズ）である事実といった、いくらかの情報を隠したいものと仮定する。彼／彼女は、データベースにある全ての彼／彼女の記録を一つずつ検査すること、および、機密情報を含むデータベースにある彼／彼女の記録のそれぞれインスタンスに対して許可を除外及び／又は指定することを望まない。消費者／患者は、機密情報を含み得る全てのデータタイプと記録を予測することはできないので、特定のデータタイプを排除することでは十分ではない。代わりに、患者は、容易な方法で、ＩＴシステムに対して、彼／彼女が機密情報に関する全ての記録を隠すように望んでいることを伝える。例えば、第三者に、その消費者／患者がエイズであることがわかってしまう全ての記録である。消費者／患者は、システムが、この高レベルなポリシー（例えば、キーワード「エイズ」）を機械で読み取り可能なアクセスコントロールポリシーに変換することを望む。ポリシーは、例えば、ＨＬ−７の語彙によって特定されるデータタイプ（オブジェクト）のインスタンスに係るレベルにおいて、許可または制限を定める。システムによって生成されるアクセスコントロールポリシーは、データタイプのレベルで定めることができる。しかしながら、データオブジェクトに係るインスタンスのレベルにおいても定めることができ、例えば、個々の文書に対して許可を指定する。例えば、電子的健康記録は、他のデータタイプの中に、また、「プリスクリプションオーダー（“ｐｒｅｓｃｒｉｐｔｉｏｎ ｏｒｄｅｒ”）」データタイプを含み、電子的健康記録は、このデータタイプに係るいくつかのインスタンスを有し得る。「プリスクリプションオーダー」タイプに係る一つのインスタンスだけが、機密情報、例えばエイズに関する情報、を含むことが可能である。「プリスクリプションオーダー」タイプに係るこの特定のインスタンスだけが、エイズに関する特別な許可に関連する。「プリスクリプションオーダー」タイプに係る他のインスタンスは、一般的に「プリスクリプションオーダー」タイプに係るインスタンスに適用される許可セットに関連する。

ここにおいて開示されるシステムおよび方法は、消費者／患者の入力（プライバシープリファレンス）を機械で読み取り可能なアクセスコントロールポリシーに変換するために使用され得る。消費者の入力、つまりプライバシープリファレンス、は、タプル（ｔｕｐｌｅ）の形式（ユーザー識別子、許可、キーワード）であってよい。例えば、タプル（ジョンスミス医師、読出し、エイズ）は、ジョンスミス医師が消費者のエイズに関する記録を読み出すことができることを意味する。機械で読み取り可能なポリシーは、タプル（ユーザー識別子、許可、データ対象識別子）の形式であってよい。後者のタプルは、ユーザーが所定の許可を有するデータ対象を特定する。本明細書で開示された技術は、患者によって特定されたキーワードまたはトピックを、そのキーワードに関する情報を含む電子的健康記録における一式のオブジェクトにマップするために使用され得る。

図１は、アクセスコントロールポリシーを生成するためのシステムの実施態様を示している。長方形（例えば、１）は、システムの機能ユニットを意味している。平行四辺形（例えば、１０）は、データアイテムを表している。矢印は、機能ユニット間の情報の流れを示している。機能ユニットの中の機能の分割は単なる例示である。システムは、コンピューターシステム上で少なくとも部分的に実行され得る。そうしたコンピューターシステムは、望ましくはオンラインのデータベースにアクセスできるスタンドアロンのワークステーションとして実施されてもよい。システムは、また、サーバー上で実施されてもよく、ウェブベース（ｗｅｂ−ｂａｓｅｄ）のインターフェイスまたはクライアントサーバーベース（ｃｌｉｅｎｔ−ｓｅｒｖｅｒ ｂａｓｅｄ）のユーザーインターフェイスを備え得る。他の実施もまた可能である。ハードドライブ、キーボード、ディスプレイ、通信ポート、等といった、コンピューターシステムの共通エレメントは、当業者に知られており、ここにおいてさらに詳細には説明されない。

システムは、一人またはそれ以上のユーザーが、システムと相互作用できるようにするためのユーザーインターフェイス１を含み得る。このインターフェイスは、ウェブベースであってよく、または他の好適な方法で実施されてよい。ユーザーインターフェイスは、他の多くのユーザーインターフェイスエレメントを有しており、ここにおいては説明されない他の機能を提供し得る。本明細書においては、ここにおいて開示される技術を適切に理解するために必要なユーザーインターフェイスエレメントだけが説明される。ユーザーインターフェイス１は、ユーザーが、トピック１０および許可セット１５を示すことができるように構成され得る。例えば、ユーザーインターフェイスは、アクセスコントロールの題目となるであろう異なるトピックを表すテキストまたはグラフィカル表示（アイコン）の形式でトピックのリストを表示し、ユーザーが、そのテキストまたはグラフィカル表示をクリックしたり、タッチすることによって一つまたはそれ以上のトピックを選択することができるようにし得る。代替的には、ユーザーにテキストボックスが表示され、ユーザーは、その中に、例えば、一つまたはそれ以上のキーワード、または、例えばフレーズといった、テキスト表現をタイプすることができる。こうして獲得されたトピック１０またはトピックは、一時的なメモリーに保管され、及び／又は、文書アナライザー２を主催するコンピューターシステムに対してネットワークを介して伝送され得る。許可セット１５は、同様な方法でユーザーによって示されてよい。例えば、ユーザーが、許可セットの表示のリストから一つの許可セットを選択できるようにすることによる。代替的には、分離された許可のリストがユーザーに示され、ユーザーは、示された一つまたはそれ以上の許可を許可セットに包含または除外するように選択することができてもよい。代替的に、ユーザーがテキスト形式で許可セットを入力することができてもよい。許可の例は、読出し、書込み、変更、作成、削除、印刷、または転送、である。ユーザーインターフェイス１は、さらに、ユーザーが、許可セット１５が適用されるべき少なくとも一人のユーザー１６を特定することができるように構成され得る。例えば、その少なくとも一人のユーザー１６は、単独のユーザー、特別に特定された複数のユーザー、またはユーザーグループであってよい。こうしたユーザーグループは、例えば、その役割または組織によって定められ得る。ユーザーインターフェイス１は、さらに、ユーザーが、複数のペア（ｐａｉｒ）を特定することができるように構成され得る。それぞれのペアは、少なくとも一人のユーザー１６を伴なう許可セット１５に関連する。こうした許可とユーザーペアは、以降に説明されるように、次に、選択された文書セットと関連する。

システムは、さらに、トピック１０に関する文書セット１３を発見するために複数の文書１１の内容を分析するための文書アナライザー２を含み得る。例えば、文書の中のキーワードが検索され、そのキーワードを有する全ての文書が文書セット１３に含まれてよい。複数の文書１１は、患者データベース１４の中に保管された電子的健康記録における全ての文書を含んでよい。しかしながら、電子的健康記録の中の文書のサブセットの内容だけが分析されることも可能である。文書アナライザーは、いくつかの方法でその業務を実行することができ、以降に説明される。

システムは、さらに、許可セット１５を文書セット１３に関連付けるための関連サブシステム３を含み得る。さらに、許可セット１５が許される少なくとも一人のユーザー１６は、その許可セット１５に関連付けられてよい。このようにして、アクセスコントロールポリシー４が生成される。アクセスコントロールポリシー４は、タプル（ＵＩＤ、Ｐ、ＯＩＤ）＝（ユーザーＩＤ、許可、オブジェクトＩＤ）を含んでよい。こうしたタプルは、ＵＩＤによって特定されたユーザーが、ＯＩＤによって特定されたオブジェクト（例えば、文書または文書タイプのインスタンス）に関して許可Ｐが許されていることを規定する。例えば、それぞれのユーザー１６またはユーザーグループのための許可セット１５のコピーは、アクセスコントロールポリシー１４を形成するために、文書セット１３におけるそれぞれの文書と供に属性セットとして保管される。代替的に、生成されたタプル（ＵＩＤ、Ｐ、ＯＩＤ）が、アクセスコントロールポリシー１４として保管されてもよい。例えば、アクセスコントロールマトリクス、論理規則セット、またはＸＡＣＭＬフォーマット、の形式においてである。アクセスコントロールポリシー１４が表され、及び／又は、保管されるこうした形式は、当業者に知られている。文書セット３は、また、許可セットがそのように規定されている場合は、関連サブシステム３によって暗号化されてもよい。

文書アナライザー２は、トピック１０に基づいて少なくとも一つのデータタイプを選択するためのデータタイプセレクター８を含み得る。このデータタイプセレクター８は、例えば、ユーザーが選択すべきデータタイプのリストを表示するユーザーインターフェイス１の実施例において、ユーザーインターフェイス１と統合され得る。代替的に、ユーザーはトピック１０を指示することができ、そのトピックは、データタイプセレクター８によって一つまたはそれ以上の関連のデータタイプに変換される。この変換ステップは、ＳＮＯＭＥＤといった存在論の中に保管された情報に基づくものであってよい。この変換、またはマッピングは、直接的またはステミングステップ（例えば、Ｂａｅｚａ−Ｙａｔｅｓ等、ページ１６８でそれ自体が知られている）を介して、フリーのキーワード入力をより良く取り扱うことができる。つまり、自由に入力されたキーワード全体の代わりに語幹だけをマッチングすることによる。マッピングは、例えば、既存の存在論（例えば、適切なＳＮＯＭＥＤコード）、及び／又は、同じキーワードを使用して他のユーザーによって選択された全てのデータタイプを含むデータベースの使用によって実施される。文書アナライザー２は、また、キーワードを含む文書を検索するように、かつ、キーワードを含む文書の文書タイプを選択するように構成されてもよい。ユーザーインターフェイス１は、選択されたデータタイプを、そのデータタイプに係る文書の例と供に、自動的に表示するように構成されてよい。ユーザーが、さらなる処理のために、データタイプを選択できるようにである。

文書アナライザー２は、さらに、トピック１０に基づいて、プロパティファインダー５によって分析された複数の文書１１を選択するための文書プリセレクター７を含み得る。例えば、文書プリセレクター７は、トピック１０に関する一つまたはそれ以上のキーワードに係るキーワード検索を実行するように構成されてよい。例えば、トピック１０が、キーワードそれ自身で表されてよく、文書プリセレクター７は、そのキーワードを含む文書を見つけるように構成され得る。同様に、追加のキーワードが存在論を使用して見つけられ、これらの追加キーワードを含む文書が、複数の文書の中に含まれ得る。

システムが、データタイプセレクター８を含む場合には、文書プリセレクター７は、選択されたデータタイプに係る複数の文書１１を選択するように構成され得る。

文書アナライザー２は、トピック１０に関する文書に係る少なくとも一つの際立ったプロパティ１２を発見するように、複数の文書の内容を分析するためのプロパティファインダー５を含み得る。そうした際立ったプロパティ１２は、文書の内容及び／又はメタデータにおける特定のキーワードの存在であってよい。文書プリセレクター７によって生成された複数の文書はトピック１０に関する少なくともいくらかの内容を有しているので、トピック10に関する文書の内容のプロパティを引き出すことが可能である。例えば、エイズはいくつかの特定の薬剤に関連する。例として、ラミブジン（ｌａｍｉｖｕｄｉｎｅ）、エトラビリン（ｅｔｒａｖｉｒｉｎｅ）、チプラナビル（ｔｉｐｒａｎａｖｉｒ）、そしてエンフビルチド（ｅｎｆｕｖｅｒｔｉｄｅ）がある。こうした用語は複数の文書１１の中で現れると、システムは、用語ラミブジン、エトラビリン、チプラナビル、及び／又はエンフビルチドを含む文書をエイズに関する文書の際立ったプロパティであると結論する。これらの薬剤が処方されていることを知った場合、第三者はその患者がエイズ関連の病気であると結論付け得るからである。

病気と対応する薬剤とのこうした関係は、存在論の中に既に取り込まれている。しかし、そうでない場合には、そうした関係は複数の文書１１から引き出すことができる。病気の診断が薬剤の処方と結合しているいくつかの文書が存在するからである。結果として、システムは、そうした関連を文書から学習することができる。より一般的には、このことは典型的な語彙および情報検索の以下のアルゴリズムを使用して行うことができる。
− キーワードの同義語を検索する。同義語は、汎用の辞書だけでなく、医療専門用語を扱う特定の医療辞書においても発見される。それぞれの同義語には、ユーザーによって示されたトピックについての関連性を表示する数字が割り当てられる。
− 文書プリセレクター７によって選択された複数の文書１１の中で最も頻繁に使用されている用語を検索する。頻繁に使用される用語は、例えば、文書における用語の出現頻度（ｔｅｒｍ ｆｒｅｑｕｅｎｃｙ：ｔｆ）及び／又は逆文書頻度（ｉｎｖｅｒｓｅ ｄｏｃｕｍｅｎｔ ｆｒｅｑｕｅｎｃｙ：ｉｄｆ）に基づいた、情報検索方法を使用して選定することができる。例えば、その用語を含む文書の数、ｔｆ．ｉｄｆ、ＢＭ２５、言語モデル、といったものであり、Ｂａｅｚａ−Ｙａｔｅｓ等の第２章モデリングを参照のこと。加えて、ユーザー向けに用語の関連性を評価するために用語近接（フレーズ）の情報が使用され得る。例えば、“Ｔｅｒｍ Ｐｒｏｘｉｍｉｔｙ Ｓｃｏｒｅｉｎｇ ｆｏｒ Ｋｅｙｗｏｒｄ−Ｂａｓｅｄ Ｒｅｔｒｉｅｖａｌ Ｓｙｓｔｅｍｓ”Ｒｓｏｆｏｌｏ，Ｙ．，Ｓａｖｏｙ，Ｊ．共著、Ｉｎｆｏｒｍａｔｉｏｎ Ｒｅｔｒｉｅｖａｌ（２００３）から知られた技術を使用する。この段階の結果として、関連性の確からしさを伴なうキーワード（及び／又はフレーズ）のリストが決定される。
−関連の辞書を使用して上位ｋ個の関連用語を再評価する。例えば、特定のストップワー ド（ｓｔｏｐｗｏｒｄ）リストと医療用語分布統計、といった医療データベースを含む医学辞書である。医学論文における用語分布は、一般の用語分布に比べて極めて偏っていることがあるので、この段階は有効である。結果として、上位ｋ個の用語の新たな関連性スコアが決定される。最も高い関連性を伴なう唯一の用語まで続けることも可能である。つまり、１＜ｋである。

上述のｋおよびｌ（エル）個のパラメーターは、アドミニストレーター、消費者によって特定され得るし、または、例えば、経験的に決定される。

ユーザーインターフェイス１は、ｌ（エル）個の追加キーワードのリストを表示するように構成され、ユーザーが、彼／彼女が２回目の検索において含めたいキーワードを選択できるようにすることができる。任意的に、それぞれの用語の関連性が表示される。代替的には、追加キーワードの選択が自動的に行われ、ユーザーとの相互作用なしに、文書セレクター６に送られる。

キーワードの存在の他に際立ったプロパティもサポートされ得る。例えば、一つまたはそれ以上のキーワードを含むより複雑な論理表現を生成することができる（例えば、キーワードＡが有り、キーワードＢが無い）。または、文書のメタデータまたは属性に関するプロパティである。少なくとも一つの際立ったプロパティ１２は、また、一つのデータタイプを含み得る。プロパティファインダー５は、複数の文書１１の内容について、自然言語処理及び／又は情報検索方法を適用するように構成され得る。

文書アナライザー２は、さらに、際立ったプロパティ１２に基づいて、文書セット１３を選択するための文書セレクターを含み得る。際立ったプロパティ１２がキーワードの存在である場合には、電子的健康記録における全ての文書についてキーワード検索が実行される。論理表現の場合には、この論理表現が、電子的健康記録における全ての文書について評価される。

文書セレクター６は、際立ったプロパティに基づいて、追加の文書検索を実行するように構成され得る。例えば、検索用語拡張の形式において、選択されたキーワードである（例えば、“Ｑｕｅｒｙ Ｅｘｐａｎｓｉｏｎ”、Ｅｆｔｈｉｍｉａｄｉｓ、Ｅ．Ｎ．著、１９９６、Ａｎｎｕａｌ Ｒｅｖｉｅｗ ｏｆ Ｉｎｆｏｒｍａｔｉｏｎ Ｓｙｓｔｅｍｓ ａｎｄ Ｔｅｃｈｎｏｌｏｇｙ（ＡＲＩＳＴ）参照のこと）。この追加検索は、前の段階で使用されたものと同一または類似の情報検索方法を使用して実行されてよい。しかしながら、この場合、完全な記録が、情報検索方法を使用して、選択されたキーワードに基づいて評価され得る。

最初に、選択されたキーワードに最も関連する上位ｍ個の記録が特定される（関連性の程度が評価される）。これらの記録は、それらの関連性について降順にランク付けされ、任意的に、選択のためにユーザーに対して示される。その後、データタイプとの関連に基づいて、記録の関連性が統合される。そして、上位ｎ個のデータタイプが降順でユーザーに対して示される。前の段階と同様に、ｍとｎは、経験的に定められても、ユーザーによって先に選択されてもよい。ユーザーは、任意的に、どのデータタイプ及び／又は記録を機密のデータタイプセットに加えたいかを選択できる。データタイプを選択することにより、例えば、そのデータタイプに属する記録の自動的な選択が実現され得る。

ユーザーインターフェイス１は、文書アナライザー２によって発見された文書セット１３を表示するように構成され得る。ユーザーインターフェイスは、さらに、ユーザーが、適合された文書セット１３‘を獲得するように文書セット１３を適合させることができるように構成され得る。関連サブシステム３は、従って、許可セット１５を適合された文書セット１３’と関連付けるように構成され得る。代替的に、文書セット１３は、ユーザーの介入なしに、関連するサブシステム３によって処理される。

上述のように、ユーザーインターフェイス１は、ユーザーが、プロパティファインダー５によって発見された少なくとも一つの際立ったプロパティ１２について変更することができるように構成され得るし、文書セレクター６は、変更された際立ったプロパティ１２に基づいて、文書セット１３を選択するように構成され得る。

システムは、さらに、関連するサブシステム３によって獲得されたアクセスコントロールポリシー４を伴なうように構成されたアクセスコントロールサブシステム９を含み得る。アクセスコントロールサブシステム９は、許可セット１５を、文書セット１３上で、および、少なくとも一人のユーザー１６に対して守らせるように構成され得る。こうしたアクセスコントロールシステムは、従来技術それ自身として知られ、本説明の視点において当業者によって構築され得る。

図２は、アクセスコントロールポリシーを生成するための類似のシステムを示している。図１のシステムとの違いが、ここにおいて説明される。類似のオブジェクトが、同一の参照番号を使用して図２において示されている。図２のシステムにおいて、トピックは、キーワード２１０を含んでいる。文書アナライザー２０２は、キーワード２１０を含む複数の文書２１１を得るために、電子的健康記録に係る文書２１４の内容の中のキーワードを検索するように構成される。文書アナライザー２０２は、この説明のどこかで明らかにされた方法で、キーワード２１０を含む文書２１１の内容に基づいて、さらなるキーワード２１２を発見するように構成され得るし、さらなるキーワード２１２に基づいて、文書セット１３を選択するように構成され得る。

図３は、アクセスコントロールポリシーを創出する方法のフローチャートを示している。本方法は、ユーザーがトピックと許可セットを指示することができるようにするステップ３０１を含み得る。本方法は、そのトピックに関する文書セットを発見するために複数の文書の内容を分析するステップ３０２に進む。本方法は、アクセスコントロールポリシーを得るために許可セットを文書セットと関連付けるステップ３０３へ進む。ここで、本方法は終了する。代替的に、本方法は、関連の文書セットに従って、文書セットに対してアクセスを守らせるステップ３０４に進んでもよい。当業者によれば、ここにおいて説明されたシステムの視点において、本方法のバリエーションと拡張が可能であろう。例えば、ユーザーは、許可されたユーザーに、許可セットを指示することができる。ステップ３０３において、許可セットが文書セットと指示されたユーザーの両方と関連するように、関連付けを拡張することができる。ここにおいて説明された方法とシステムは、コンピュータープログラムとしてソフトウェアにおいて少なくとも部分的に実行され得る。

記録（または文書）のサブセットは、例えば、キーワードといった、ユーザー定義のトピックに関する情報を含む（消費者）ＥＨＲ／ＰＨＲにおいて特定され得る。これは、以下の３つのステップで行われる。
− 直接のマッピング（例えば、存在論に基づいて）：消費者のプライバシープリファレンスとして適切な記録（例えば、文書）を含むデータタイプを特定する。直接のマッピングは、彼または彼女のプライバシープリファレンスにおいてユーザーによって特定されたキーワード（エイズといったもの）と、関連する文書を含むデータタイプとの間に確立される。このマッピングは、例えば、既存の存在論（例えば、好適なＳＮＯＭＥＤコード）に基づいてよい。データタイプ及び／又は文書は、ユーザーによって指定されたキーワードと関係するように特定されており、マークされ、そして、それらに対するアクセスは、消費者プライバシープリファレンスにおいて指定されるように制限される。例えば、そのキーワード、または、既存の存在論に従ったユーザー指定のキーワードに関するキーワードを含む文書の直接的な検索を実行することもできる。こうして、文書タイプを選択するステップは省略され得る。
− 追加キーワードの抽出：第２ステップにおいては、第１ステップにおいて特定された関連の文書（またはデータタイプ）から追加のキーワードが抽出され得る。例えば、キーワードは、最初に指定されたキーワードに対して直接的にマッピングされた記録の一つの中で言及された薬剤の名前であってよい。
− 追加記録の特定：記録の残りは、ユーザー定義のキーワードに加えて第２のステップにおいて抽出された追加キーワードを使用して検索される。このことは、彼／彼女のプライバシーポリシーを特定するためにユーザーが使用することができる追加のデータタイプ及び／又は記録をリストに入れる。

加えて、選択されたキーワード、記録、またはデータタイプの関連性（確信度）は、それぞれのステップにおいて計算することができ、ユーザーが彼／彼女のプライバシープリファレンスを指定する手助けをするために、任意的にディスプレイ上に表示される。閾値及び／又は上位ｘ個のエンティティは、指定プロセスを自動化またはスピードアップするために、ユーザーに対してフィードバックされてもよい。消費者によって定義されたアクセスコントロールポリシーは、特定された記録に対して適用される。

前出の３つのステップは、セキュリティポリシーを定義するために全てのステップにおいてユーザーとの相互作用を含み得ることに留意すべきである。しかしながら、これらのステップのサブセットまたは全ては自動化され得る。特に、十分な経験的な証拠（典型的なユーザーのポリシー選択プロファイルについて）と、十分に大きなユーザーのプライバシーポリシーのデータベースが存在する場合にそうである。そうした場合において、セキュリティポリシーの仕様は、ユーザーとの相互作用がより少なくても、種々のステップでの情報フィードバックの量がより少なくても実現され得る。例えば、最後のステップにおいては、より関連の少ないデータタイプと最も特定的な記録しか示すことができない。一方、システムは、関連性が経験的に定められた閾値よりも高いデータタイプと記録を自動的に含むことができる。

図４は、アクセスポリシーを生成するためのシステム４０３に係るコンテクスト（ｃｏｎｔｅｘｔ）の概要を示すダイヤグラムである。システム４０３への入力は、複数の文書４０１を含む電子的健康記録である。システム４０３への、さらなる入力は存在論４０２である。システム４０３は、ユーザーインターフェイス４０５と文書アナライザー４０４を含んでいる。文書アナライザー４０４とユーザーインターフェイス４０５との間に一応示されているように、相互作用には３つの段階がある。それらは、例えば、キーワードによるトピックの最初の提示、文書アナライザー４０４によって提案されたデータタイプ／文書について最初のユーザー選択、文書アナライザー４０４によって提案されたデータタイプ／文書について最終のユーザー選択、である。結果４０９は、最初のトピック／キーワード４０６からデータタイプ／文書セット４０７へのマッピング４０８を含んでよい。アクセスコントロールを創出するために、許可セットが文書セット４０７に関連付けられ得る。こうした関連付けは、いくつかの方法で使用され得る。例えば、パーソナルプリファレンスマネージャー４０９によって、将来の使用のために、アクセスコントロールポリシー、及び／又は、パーソナルユーザープロファイルへのマッピングが保管される。これにより、ユーザーは、より簡単に、キーワードに関連する文書への許可を適用することができる。アクセスコントロールシステム４１０は、アクセスコントロールポリシーのコントロールの下で動作し得る。機械学習コンポーネント４１１は、マッピング４０８に基づいて、キーワードとデータタイプ／さらなるキーワードとの間の汎用マッピングを創出するように動作できる。これらの汎用マッピングは、異なるユーザーによって生成されたマッピング４０８の結果であり得る。そこに包含される知識は、従来技術として知られる機械学習技術を使用して、文書アナライザー４０３の自動化部分を改善するために利用され得る。こうして、文書アナライザー４０３におけるユーザーの相互作用は、削減され、または、全く避けられる。

図５は、多くのデータタイプ及び／又は文書から、ユーザーが選択できるようにするユーザーインターフェイス１によって生成されるユーザーインターフェイスレイアウトの概要である。こうしたインターフェイスレイアウトは、アクセスコントロールポリシー創出プロセスの異なる相互作用段階において、ユーザーが選択できるようにするために使用され得る。ＫＷＤにおいて、ユーザー入力のキーワードまたは示されたトピックが表示される。ＤＴ１、ＤＴ２、・・・、ＤＴｍ、において、キーワード／トピックに関連すると思われる異なるデータタイプが表示される。Ｒ１＿ＤＴ１、Ｒ２＿ＤＴ１、・・・、Ｒｎ＿ＤＴ１において、データタイプＤＴ１の文書が表示される。Ｒ１＿ＤＴ２、Ｒ２＿ＤＴ２、・・・、Ｒｎ＿ＤＴ２において、データタイプＤＴ２の文書が表示される。Ｒ１＿ＤＴｍ、Ｒ２＿ＤＴｍ、・・・、Ｒｎ＿ＤＴｍにおいて、データタイプＤＴｍの文書が表示される。このようにして、ｍ個のデータタイプが表示され、それぞれのタイプに対するｎ個の文書が表示される。それぞれのタイプに対して表示される文書の数は、それぞれのタイプと同数である必要はないことに留意すべきである。それぞれのデータタイプと文書の隣りにはチェックボックスが表示され、次の処理段階に包含する所定のデータタイプまたは文書を、ユーザーが選択５０１または非選択２０２できるようにする。文書タイプＤＴ２を包含する選択５０１は、一般的には、その文書タイプＤＴ２に係る全ての文書Ｒ１＿ＤＴ２、Ｒ２＿ＤＴ２、・・・、Ｒｎ＿ＤＴ２を自動的に包含することを意味する。プロセスにおける特定のポイントにおいて入力が期待されていない場合には、文書タイプＤＴ１、ＤＴ２、・・・、ＤＴｍのいずれか、または個々の文書Ｒｘ＿ＤＴｙをユーザーインターフェイスから除外することも可能である。

本発明は、特に本発明を実行に移すように適合されたコンピュータープログラム、特にキャリヤー（ｃａｒｒｉｅｒ）上または中のコンピュータープログラムにも適用されることが、正しく理解されるだろう。プログラムは、ソースコード、オブジェクトコード、コード中間ソース、および部分的にコンパイルされたというようなオブジェクトコードであってよい。または、本発明に従った方法の実施において使用するために好適なあらゆる形式であり得る。そうしたプログラムは、多くの異なる構成の設計であり得ることも正しく理解されよう。例えば、本発明発明に従った方法またはシステムの機能を実施するプログラムコードは、一つまたはそれ以上のサブルーチンに分割することができる。当業者にとっては、こうしたサブルーチンの中の機能を配分する多くの異なる方法が明らかであろう。サブルーチンは、自己充足的なプログラムを形成するために一つの実行可能ファイルに一緒に保管されてもよい。こうした実行可能ファイルは、コンピューターで実行可能なインストラクションを含み得る。例えば、プロセッサインストラクション、及び／又は、インタープリターインストラクション（例えば、Ｊａｖａ（登録商標）インタープリターインストラクション）である。代替的に、一つまたはそれ以上、または全てのサブルーチンは、少なくとも一つの外部ライブラリーファイルの中に保管され、例えば実行時間において、静的または動的のいずれかで、メインプログラムにリンクされ得る。メインプログラムは、少なくとも一つのサブルーチンに対する少なくとも一つのコール（ｃａｌｌ）を含む。サブルーチンも、また、お互いに対するコールを含んでよい。コンピュータープログラムに関する実施例は、ここにおいて説明された少なくとも一つの方法のそれぞれの処理段階に応じて、コンピューターで実行可能なインストラクションを含んでいる。これらのインストラクションは、サブルーチンに分割され、及び／又は、静的または動的にリンクされ得る一つまたはそれ以上のファイルの中に保管される。コンピュータープログラムに関する別の実施例は、ここにおいて説明された少なくとも一つのシステム及び／又は製品に係るそれぞれの手段に応じて、コンピューターで実行可能なインストラクションを含み得る。これらのインストラクションは、サブルーチンに分割され、及び／又は、静的または動的にリンクされ得る一つまたはそれ以上のファイルの中に保管される。

コンピュータープログラムのキャリヤーは、プログラムを持ち運ぶことができるあらゆるエンティティまたはデバイスであってよい。例えば、キャリヤーは、例えば、ＣＤ ＲＯＭまたは半導体ＲＯＭである、ＲＯＭ，もしくは、例えば、フロッピー（登録商標）ディスクまたはハードディスクである磁気記録媒体といった、記録媒体を含み得る。さらに、キャリヤーは、電気信号または光信号といった伝送可能なキャリヤーであってよく、ラジオもしくは他の手段によって、電気または光ケーブルを介して伝達され得る。プログラムが、そうした信号において具現化されている場合に、キャリヤーは、ケーブルまたは他のデバイスもしくは手段といったもので構成されてもよい。代替的に、キャリヤーは、プログラムがエンベッドされた集積回路であってよく、集積回路は、関連する方法を実行し、または、実行において使用されるように適合されている。

上述の実施例は本発明を限定するものではないこと、および、当業者であれば、添付の特許請求の範囲から逸脱することなく多くの代替的な実施例を設計することができることに留意すべきである。特許請求の範囲において、括弧の間に置かれたあらゆる参照番号も、特許請求の範囲を限定するものとして理解されるべきではない。動詞「含む（“ｃｏｍｐｒｉｓｅ“）」とその活用形は、請求項において挙げられたもの以外のエレメントまたはステップの存在を排除するものではない。エレメントに先立つ冠詞「一つの（”ａ“または”ａｎ“）」は、複数のそうしたエレメントの存在を排除するものではない。本発明は、いくつかの区別されたエレメントを含むハードウェア手段によって、または、好適にプログラムされたコンピューター手段によって実施され得る。いくつかの手段を列挙しているいくつかのデバイスの請求項において、これらの手段のいくつかは、一つの、そして同一のハードウェアのアイテムによって実施され得る。異なる独立請求項がお互いに特定のエレメントを引用しているという事実だけでは、これらのエレメントが組合せにおいて有利に使用され得ないことを示すものではない。

Claims (15)

1. アクセスコントロールポリシーを生成するためのシステムであって：
   ユーザーが、前記ユーザーに関してパーソナルなトピックおよび第三者のアクセスに対する前記ユーザーのプリファレンスを示す許可セットを指示できるようにするユーザーインターフェイスと；
   
   前記トピックに関する文書セットを発見するために、複数の文書の内容を分析する文書アナライザーと；
   アクセスコントロールポリシーを生成するために、前記許可セットと前記文書セットを関連付ける関連サブシステムと、を含む
   ことを特徴とするシステム。
2. 前記文書アナライザーは、
   前記トピックに関する文書に係る少なくとも一つの際立ったプロパティを発見するために、前記複数の文書の内容を分析するプロパティファインダーと；
   前記際立ったプロパティに基づいて、前記文書セットを選択する文書セレクターと、を含む、
   請求項１に記載のシステム。
3. 前記文書アナライザーは、前記トピックに基づいて、前記プロパティファインダーによって分析された前記複数の文書を選択する文書プリセレクターを含む、
   請求項２に記載のシステム。
4. 前記文書アナライザーは、前記トピックに基づいて、少なくとも一つのデータタイプを選択するデータタイプセレクターを含み、かつ、
   前記文書プリセレクターは、前記選択されたデータタイプの複数の文書を選択するように構成されている、
   請求項３に記載のシステム。
5. 前記ユーザーインターフェイスは、前記ユーザーが、適合された文書セットを獲得するように、前記文書アナライザーによって発見された前記文書セットを適合させることができるように構成されており、かつ、
   前記関連サブシステムは、前記許可セットを前記適合された文書セットと関連付けるように構成されている、
   請求項１に記載のシステム。
6. 前記ユーザーインターフェイスは、前記ユーザーが、前記プロパティファインダーによって発見された前記少なくとも一つの際立ったプロパティを変更することができるように構成されており、かつ、
   前記文書セレクターは、前記変更された際立ったプロパティに基づいて、前記文書セットを選択するように構成されている、
   請求項２に記載のシステム。
7. 前記トピックは、キーワードを含む、
   請求項１に記載のシステム。
8. 前記文書アナライザーは、前記文書の前記内容の中で前記キーワードを検索するように構成されている、
   請求項７に記載のシステム。
9. 前記文書アナライザーは、前記文書の前記内容に基づいて、さらなるキーワードを発見するように構成されており、かつ、前記さらなるキーワードに基づいて、前記文書セットを選択するように構成されている、
   請求項８に記載のシステム。
10. 前記少なくとも一つの際立ったプロパティは、データタイプまたはキーワードを含む、
    請求項２に記載のシステム。
11. 前記プロパティファインダーは、前記複数の文書の前記内容に対して、自然言語処理、及び／又は、情報検索方法を適用するように構成されている、
    請求項２に記載のシステム。
12. 前記システムは、さらに、
    前記関連サブシステムによって獲得された前記アクセスコントロールポリシーを形成するように構成されたアクセスコントロールサブシステムを含む、
    請求項１に記載のシステム。
13. 請求項１の前記システムを含むワークステーション。
14. アクセスコントロールポリシーを生成するための方法であって：
    コンピュータにより、ユーザーが、前記ユーザーに関してパーソナルなトピックおよび第三者のアクセスに対する前記ユーザーのプリファレンスを示す許可セットを指示できるようにするステップと；
    前記コンピュータにより、前記トピックに関する文書セットを発見するために、複数の文書の内容を分析するステップと；
    前記コンピュータにより、アクセスコントロールポリシーを生成するために、前記許可セットと前記文書セットを関連付けるステップと、を含む
    ことを特徴とする方法。
15. プロセッサシステムに、請求項１４の前記方法を実行させるインストラクションを含む、
    コンピュータープログラム。

Images