JP6080521B2

JP6080521B2 - 広域分散医療情報ネットワークのデータ管理機構

Info

Publication number: JP6080521B2
Application number: JP2012262779A
Authority: JP
Inventors: 山本　学; 学山本; 伸彰高橋
Original assignee: International Business Machines Corp
Current assignee: International Business Machines Corp
Priority date: 2012-11-30
Filing date: 2012-11-30
Publication date: 2017-02-15
Anticipated expiration: 2032-11-30
Also published as: JP2014109822A; US20140156305A1; US10340036B2

Description

本発明は、通信ネットワークにおける医療情報の管理に関し、特に、通信ネットワーク上で医療情報を広域に分散して管理する方法、システムおよびコンピュータプログラムに関する。

複数の医療機関で電子カルテを共有することの重要性はすでに認知されており、実際に幾つかの地域や医療機関において実現されている。また、電子カルテのデータフォーマットの標準化も推進されており、電子カルテの共有化のための下地は整いつつある。しかしながら、現実的には電子カルテの共有化は広く普及していない。その理由は、電子カルテを管理するシステムの構築に多額の費用を要するためである。例えば電子カルテの共有化を行う場合、「電子カルテの３大基準」として下記の３つが要求されている。
１．真正性
− 故意又は過失による虚偽入力、書き換え、消去および混同を防止すること
− 作成の責任の所在を明確にすること
２．見読性
− 情報の内容を必要に応じて肉眼で見読可能な状態に容易にできること
− 情報の内容を必要に応じて直ちに書面に表示できること
３．保存性
− 法令に定める保存期間内、復元可能な状態で保存すること
特に３．の保存性を満たすには、頑強なデータベース構築が必須となり、システムの費用が高額になる。このため、資金力のある医療機関しか電子カルテシステムを導入できていない。

さらに別の問題として、電子カルテシステムを保有する医療機関が災害に遭遇すると、患者の電子カルテが喪失する恐れもある。このような災害に対応するには、遠隔地に電子カルテデータベースのレプリカを保持する必要があるが、多くの医療機関は地域に根ざした機関であるため、遠隔地にレプリカのデータベースを保有することは困難である。

特許文献１には、通信ネットワークを介して複数の端末装置とデータ送受信可能に接続されたセンターサーバに、連携元の端末装置と連携先の端末装置との間で両者を仲介してそれらの間の円滑な連携を可能にするサーバ制御部を備える、医療連携システムが示されている。この医療連携システムは、通信ネットワークを介してデータを送受信する故に遠隔地にも及ぶ広域システムになり得るが、医療連携システムの全体に亘って端末装置との間で制御を行うセンターサーバのような一極で集中的に管理する管理サーバを必要とする。

特開２０１１−１９８３１０号公報

本発明は、特定の医療機関が高額な電子カルテシステムを保有し電子カルテを管理するのではなくて、通信ネットワーク上の様々なコンピュータで医療情報を分散管理できる「医療情報ネットワーク」の実現を目的とする。本発明の目的には、そのような「医療情報ネットワーク」を実現するためのデータ管理機構を形成する、通信ネットワーク上で医療情報を広域に分散して管理する方法、システムおよびコンピュータプログラムを提供することが含まれる。

本発明により提供される１実施態様の通信ネットワーク上で医療情報を広域に分散して管理する方法は、通信ネットワークに接続され同じ医療情報を保持し医療情報を暗号化して送受信する複数の第１コンピュータのうちのいずれから、暗号化された医療情報を通信ネットワークに接続された第２コンピュータにて取得するステップと、取得の暗号化された医療情報を第２コンピュータにて復号化するステップと、復号化された医療情報を第２コンピュータにて閲覧・更新して閲覧・更新した医療情報を暗号化するステップと、暗号化された閲覧・更新の医療情報を第２コンピュータから複数の第１コンピュータに送信するステップとを含む。

好ましくは、取得するステップは、通信ネットワークに接続され複数の第１コンピュータのアドレス情報を保持する１つ以上の第３コンピュータから、複数の第１コンピュータのアドレス情報を取得し、取得したアドレス情報の第１コンピュータに医療情報取得要求を送信するステップを含む。

好ましくは、復号化するステップは、取得の暗号化された医療情報を復号化するための復号化情報を第１コンピュータの当事者から取得して適用するステップを含み、暗号化するステップは、閲覧・更新した医療情報を暗号化するための暗号化情報を第１コンピュータの当事者から取得して適用するステップを含む。

好ましくは、複数の第１コンピュータに送信するステップは、暗号化された閲覧・更新の医療情報と更新識別情報を有する電文を複数の第１コンピュータに送信して受信完了通知を受信するステップを含む。

好ましくは、複数の第１コンピュータに送信するステップは、最初に電文を送信後に受信完了通知を受信した第１コンピュータの数が最初に電文を送信した第１コンピュータの数よりも少ない場合は、通信ネットワークに接続され暗号化された医療情報を受信して一時的に保持し送信する１つ以上の第４コンピュータに、暗号化された閲覧・更新の医療情報と更新識別情報と受信完了通知をしていない受信完了未通知の第１コンピュータのアドレス情報を有する電文を送信し、第１コンピュータの受信完了通知を第４コンピュータより受信するステップを含む。

好ましくは、複数の第１コンピュータに送信するステップは、第１コンピュータから直に受信完了通知を受信した第１コンピュータの数と第４コンピュータを介して受信完了通知を受信した第１コンピュータの数の合計が最初に電文を送信した第１コンピュータの数よりも少ない場合は、合計が最初に電文を送信した第１コンピュータの数になるまで、暗号化された閲覧・更新の医療情報と更新識別情報を有する電文を受信完了未通知の第１コンピュータに送信するとともに、暗号化された閲覧・更新の医療情報と更新識別情報と受信完了未通知の第１コンピュータのアドレス情報を有する電文を第４コンピュータに送信することを繰り返すステップを含む。

好ましくは、その方法は、暗号化された閲覧・更新の医療情報と更新識別情報と受信完了未通知の第１コンピュータのアドレス情報を有する電文を第４コンピュータにて受信するステップと、受信完了未通知の第１コンピュータのアドレス情報により特定される第１コンピュータに暗号化された閲覧・更新の医療情報と更新識別情報を有する電文を第４コンピュータにて送信するステップと、第１コンピュータから受信完了通知を第４コンピュータにて受信して第２コンピュータに送信するステップとをさらに含む。

好ましくは、その方法は、第１コンピュータから受信完了通知または既受領済通知を第４コンピュータにて受信したときは、受信完了通知または既受領済通知を送信した第１コンピュータのアドレス情報を受信完了未通知の第１コンピュータのアドレス情報から削除するステップと、受信完了未通知の第１コンピュータのアドレス情報が空になるまで、受信完了未通知の第１コンピュータのアドレス情報により特定される第１コンピュータに暗号化された閲覧・更新の医療情報と更新識別情報を有する電文を第４コンピュータにて送信するステップと、第１コンピュータから受信完了通知を第４コンピュータにて受信して第２コンピュータに通知するステップとを第４コンピュータにて繰り返すステップとをさらに含む。

好ましくは、その方法では、第１コンピュータが医療データ管理コンピュータおよび医療データ管理レプリカコンピュータであり、第２コンピュータが医療データ閲覧・更新コンピュータであり、第３コンピュータが医療データアドレス管理コンピュータであり、第４コンピュータが医療データ一時保管コンピュータである。

本発明により提供される１実施態様の通信ネットワーク上で医療情報を広域に分散して管理するためのコンピュータプログラムは、上記の方法の第２コンピュータにて行う各ステップを第２コンピュータに実行させ、また、上記の方法の第４コンピュータにて行う各ステップを第４コンピュータに実行させる。

本発明により提供される１実施態様の通信ネットワーク上で医療情報を広域に分散して管理するシステムは、通信ネットワークに接続され、同じ医療情報を保持し、医療情報を暗号化して送受信する複数の第１コンピュータと、通信ネットワークに接続された第２コンピュータであって、複数の第１コンピュータのうちのいずれから暗号化された医療情報を取得するための取得部と、取得部で取得の暗号化された医療情報を復号化するための復号化部と、復号化部で復号化された医療情報を閲覧・更新するための閲覧・更新処理部と、閲覧・更新処理部で閲覧・更新した医療情報を暗号化するための暗号化部と、暗号化部で暗号化された閲覧・更新の医療情報を複数の第１コンピュータに送信するための送信部とを備える第２コンピュータとを含む。

好ましくは、取得部は、通信ネットワークに接続され複数の第１コンピュータのアドレス情報を保持する１つ以上の第３コンピュータから複数の第１コンピュータのアドレス情報を取得するアドレス情報取得部を含み、取得したアドレス情報の第１コンピュータに医療情報取得要求を送信する。

好ましくは、復号化部は、第１コンピュータの当事者から取得した復号化情報で取得の暗号化された医療情報を復号化し、前記暗号化部は、第１コンピュータの当事者から取得した暗号化情報で閲覧・更新した医療情報を暗号化する。

好ましくは、閲覧・更新処理部は、閲覧・更新したことを示す更新識別情報を作成する。

好ましくは、送信部は、暗号化された閲覧・更新の医療情報と更新識別情報を提供され、暗号化された閲覧・更新の医療情報と更新識別情報を有する電文を作成して複数の第１コンピュータに送信し、最初に電文を送信後に受信完了通知を受信した第１コンピュータの数が最初に電文を送信した第１コンピュータの数よりも少ない場合は、通信ネットワークに接続され暗号化された医療情報を受信して一時的に保持し送信する１つ以上の第４コンピュータに、暗号化された閲覧・更新の医療情報と更新識別情報と受信完了通知をしていない受信完了未通知の第１コンピュータのアドレス情報を有する電文を送信する。

好ましくは、送信部は、第１コンピュータから直に受信完了通知を受信した第１コンピュータの数と第４コンピュータを介して受信完了通知を受信した第１コンピュータの数の合計が最初に電文を送信した第１コンピュータの数よりも少ない場合は、合計が最初に電文を送信した第１コンピュータの数になるまで、暗号化された閲覧・更新の医療情報と更新識別情報を有する電文を受信完了未通知の第１コンピュータに送信するとともに、暗号化された閲覧・更新の医療情報と更新識別情報と受信完了未通知の第１コンピュータのアドレス情報を有する電文を第４コンピュータに送信することを繰り返す。

好ましくは、第４コンピュータが、暗号化された閲覧・更新の医療情報と更新識別情報と受信完了未通知の第１コンピュータのアドレス情報を有する電文を受信する電文受信部と、受信完了未通知の第１コンピュータのアドレス情報により特定される第１コンピュータに暗号化された閲覧・更新の医療情報と更新識別情報を有する電文を送信する電文送信部と、第１コンピュータから受信完了通知を受信する通知受信部と、第１コンピュータからの受信完了通知を第２コンピュータに送信する通知送信部とを備える。

好ましくは、第４コンピュータが、第１コンピュータから受信完了通知または既受領済通知を受信したときは、受信完了通知または既受領済通知を送信した第１コンピュータのアドレス情報を受信完了未通知の第１コンピュータのアドレス情報から削除し、受信完了未通知の第１コンピュータのアドレス情報が空になるまで、受信完了未通知の第１コンピュータのアドレス情報により特定される第１コンピュータに暗号化された閲覧・更新の医療情報と更新識別情報を有する電文を送信し、第１コンピュータから受信完了通知を受信して第２コンピュータに通知することを繰り返す。

好ましくは、そのシステムでは、第１コンピュータが医療データ管理コンピュータおよび医療データ管理レプリカコンピュータであり、第２コンピュータが医療データ閲覧・更新コンピュータであり、第３コンピュータが医療データアドレス管理コンピュータであり、第４コンピュータが医療データ一時保管コンピュータである。

本発明により、通信ネットワーク上の様々なコンピュータで医療情報を分散管理できる「医療情報ネットワーク」が実現される。特に、そのような「医療情報ネットワーク」を実現するためのデータ管理機構を形成する、通信ネットワーク上で医療情報を広域に分散して管理する方法、システムおよびコンピュータプログラムが提供される。本発明により、暗号化された医療データ（暗号化医療データ）を通信ネットワーク上で確実に転送および保存することが達成され、高額なデータベースシステムを持たない医療機関でも、小さなシステム（例えばパーソナルコンピュータＰＣ上で稼動するアプリケーション）で真正性、見読性および保存性を保証することができて電子カルテを扱うことができる。

本発明の１実施形態に係る広域分散医療情報ネットワークシステム１００の概略的な構成図である。医療データ閲覧・更新コンピュータ１５０の処理の概略的な流れ図である。医療データ閲覧・更新コンピュータ１５０および医療データ一時保管コンピュータ１４０が医療データ管理コンピュータ１１０および医療データ管理レプリカコンピュータ１２０に送信する電文の概略的な構成図である。医療データ閲覧・更新コンピュータ１５０が医療データ一時保管コンピュータ１４０に送信する電文の概略的な構成図である。医療データ閲覧・更新コンピュータ１５０および医療データ一時保管コンピュータ１４０の概略的なバードウェア基本構成図である。医療データ閲覧・更新コンピュータ１５０の概略的な機能ブロック図である。医療データ一時保管コンピュータ１４０の処理の概略的な流れ図である。医療データ一時保管コンピュータ１４０の概略的な機能ブロック図である。医療データ保管時の通信ネットワーク上のデータの流れを概略的に示す図である。

以下、本発明を実施するための最良の形態を図面に基づいて詳細に説明するが、以下の実施形態は特許請求の範囲に係る発明を限定するものではなく、また実施形態の中で説明されている特徴の組み合わせの全てが発明の解決手段に必須であるとは限らない。本発明は多くの異なる態様で実施することが可能であり、記載された実施形態の内容に限定して解釈されるべきではない。なお、実施形態の説明の全体を通じて同じ構成部分乃至構成要素には同じ番号を付している。

図１に、本発明の１実施形態に係る広域分散医療情報ネットワークシステム１００の構成を概略的に示す。ネットワークシステム１００は、インターネットのような通信ネットワーク１０１にそれぞれ接続された、第１コンピュータに対応する１つ以上の医療データ管理コンピュータ１１０および１つ以上の医療データ管理レプリカコンピュータ１２０と、第３コンピュータに対応する１つ以上の医療データアドレス管理コンピュータ１３０と、第４コンピュータに対応する１つ以上の医療データ一時保管コンピュータ１４０と、第２コンピュータに対応する１つ以上の医療データ閲覧・更新コンピュータ１５０とを含む。

［医療データ管理コンピュータ１１０］
これは電子カルテ等の患者の医療データを保管するマスターコンピュータである。この医療データ管理コンピュータ１１０は患者の識別情報（ＩＤ）と暗号化医療データを関連付けして保持する。複数の患者の場合には、複数のそれぞれ識別情報と暗号化医療データが保管される。そして、この医療データ管理コンピュータ１１０は、外部から例えば患者の識別情報を指定してアクセスする等で、外部からの参照要求に応じて対象とする医療データを暗号化して暗号化医療データを送信する機能と、外部からの更新要求に応じて更新された暗号化医療データを受信し、それを復号化して保存する機能とを有する。また、この医療データ管理コンピュータ１１０は、複数の更新要求を受信した場合は、各要求が保持する更新された部分のデータを結合させ、最新の医療データとする機能も有する。さらに、この医療データ管理コンピュータ１１０は更新された最新の医療データを医療データ管理レプリカコンピュータ１２０に提供する。医療データは医療データアドレス情報を有し、医療データアドレス情報には、患者の識別情報およびその医療データを保管するコンピュータ、例えば医療データ管理コンピュータ１１０または医療データ管理レプリカコンピュータ１２０のアドレス情報が含まれる。暗号化医療データは、当事者である例えば患者等のその暗号を解く例えば秘密鍵のような鍵情報を有する人物だけが復号化することができ、そのような当事者である人物だけが医療データを参照および更新することができる。この医療データ管理コンピュータ１１０は、例えば、患者自身の自宅のパーソナルコンピュータや医療機関のサーバコンピュータや医療データ管理サービスを提供するサービス提供者のサーバコンピュータで構成され得る。

［医療データ管理レプリカコンピュータ１２０］
この医療データ管理レプリカコンピュータ１２０は、医療データ管理コンピュータ１１０が保管している患者の医療データのレプリカ即ちコピーを保持し、外部からの参照要求に応じて対象とする医療データを送信する機能と、外部からの更新要求に応じて更新された医療データを受信し保存する機能とを有する。この医療データ管理レプリカコンピュータ１２０は、例えば、患者の親戚や友人宅のパーソナルコンピュータや医療機関のサーバコンピュータや医療データ管理サービスを提供するサービス提供者のサーバコンピュータで構成され得る。

［医療データアドレス管理コンピュータ１３０］
この医療データアドレス管理コンピュータ１３０は、患者の識別情報から特定される、その患者の医療データが保管されている医療データ管理コンピュータ１１０および医療データ管理レプリカコンピュータ１２０のアドレス情報を保持する。外部からアドレス登録要求を受けると、患者の識別情報と医療データ管理コンピュータ１１０および医療データ管理レプリカコンピュータ１２０のアドレス情報を記録する機能を有する。また、他の医療データアドレス管理コンピュータ１３０のアドレス情報も保持する。外部からのアドレス取得要求を受けると、その要求で指定された患者の識別情報から特定される、医療データ管理コンピュータ１１０または医療データ管理レプリカコンピュータ１２０のアドレス情報を返す機能を有する。もし要求で指定された患者についてアドレス情報が存在しない場合、保持しているアドレス情報から他の医療データアドレス管理コンピュータ１３０に対して、当該患者の識別情報を指定して医療データを管理するコンピュータのアドレス取得要求を送信し、医療データを管理するコンピュータについての取得したアドレス情報を要求元に返す機能を有する。患者等は、医療データが保管されている医療データ管理コンピュータ１１０および医療データ管理レプリカコンピュータ１２０のアドレス情報を複数の医療データアドレス管理コンピュータ１３０に登録することができ、そのように登録しておけばアドレス情報の取得を効果的に行なえる。このコンピュータは、例えば、医療機関のサーバコンピュータや医療データ管理サービスを提供するサービス提供者のサーバコンピュータで構成され得る。

［医療データ一時保管コンピュータ１４０］
これは更新された医療データを一時的に保管するコンピュータである。外部から更新された暗号化医療データとその医療データを保管する医療データ管理コンピュータ１１０もしくは医療データ管理レプリカコンピュータ１２０のデータを受信すると、それらのデータを一時的に保持する。保持している暗号化医療データに対しては、定期的に該当する医療データ管理コンピュータ１１０または医療データ管理レプリカコンピュータ１２０に対して、医療データ更新要求を送信する。一時的に保管されている暗号化医療データは、送信する医療データ管理コンピュータ１１０乃至医療データ管理レプリカコンピュータ１２０の全てが医療データを受信完了するまで保持し続ける。このコンピュータは、例えば、医療機関のサーバコンピュータや医療データ管理サービスを提供するサービス提供者のサーバコンピュータで構成され得る。

［医療データ閲覧・更新コンピュータ１５０］
これは医療データを閲覧・更新（閲覧または更新）するコンピュータ、例えば医者が利用するコンピュータである。この医療データ閲覧・更新コンピュータ１５０は、１つ以上の医療データアドレス管理コンピュータ１３０に対して、患者の識別情報を指定して医療データを管理するコンピュータのアドレス情報取得要求を送信できるように構成されている。利用者（例えば医者や看護師）が患者の識別情報を入力すると、医療データアドレス管理コンピュータ１３０から該当する患者の医療データを管理する医療データ管理コンピュータ１１０または医療データ管理レプリカコンピュータ１２０のアドレス情報を取得し、該当するコンピュータに対して医療データ取得要求を送信する。この送信要求に対する返信として暗号化医療データを受信すると、利用者は、その暗号化医療データを復号化するための復号化情報を構成する例えば鍵情報を入力して暗号化医療データを復号化する。ここで、復号化するための鍵情報は、例えば、暗証番号やパスワードであり、これらがＩＣカード等に記録されている場合もあり得る。医療データを更新すると、利用者は、その医療データを暗号化するための暗号化情報を構成する例えば鍵情報を入力して医療データを暗号化し、医療データ管理コンピュータ１１０または医療データ管理レプリカコンピュータ１２０あるいは医療データ一時保管コンピュータ１４０に患者の識別情報と関連させて暗号化医療データを送信する。この医療データ閲覧・更新コンピュータ１５０は、例えば、医療機関で医者や看護師等が利用する端末コンピュータで構成され得る。

ここで、医療データ管理コンピュータ１１０や医療データ管理レプリカコンピュータ１２０は、個人のパーソナルコンピュータで構成されることもあり得るので、常時稼動しているとは限らない。また、これらのコンピュータは必ずしも物理的に異なるコンピュータである必要はない。例えば、大きな医療機関であれば、医療データ管理コンピュータ１１０の機能モジュールと医療データアドレス管理コンピュータ１３０の機能モジュールを同じコンピュータ上で稼動させることもあり得る。ただし、災害等のリスクに対処する上では、これらのコンピュータを物理的に異なるコンピュータで構成して遠隔地に分散配置するのが好ましい。

医療データ管理コンピュータ１１０や医療データ管理レプリカコンピュータ１２０は、個人のパーソナルコンピュータの場合もあり、常時稼動しているとは限らないので、そのことを考慮して、広域分散医療情報ネットワークシステム１００においては、ひとりの患者の医療データは複数の医療データ管理コンピュータ１１０や医療データ管理レプリカコンピュータ１２０に保管される。これらコンピュータの合計台数をＮとすると、Ｎ台全部が常に稼動しているとは限らないが、そのような状況でも、広域分散医療情報ネットワークシステム１００では医療情報を分散管理できるので、以下に説明する。

図２に医療データ閲覧・更新コンピュータ１５０の処理の概略的な流れ２００を示す。先に述べたとおり、例えば医者や看護師の利用者が患者等から患者の識別情報を得て医療データ閲覧・更新コンピュータ１５０にそれを入力することにより開始する（ステップ２０５）。医療データ閲覧・更新コンピュータ１５０は、患者の医療データを管理する医療データ管理コンピュータ１１０および医療データ管理レプリカコンピュータ１２０のアドレス情報を所有しているかを判定する（ステップ２１０）。アドレス情報を所有していない場合（ＮＯ）、医療データ閲覧・更新コンピュータ１５０は、通信ネットワーク１０１で繋がっている1つ以上の医療データアドレス管理コンピュータ１３０に対して、患者の識別情報を指定してこの患者の医療データを管理する医療データ管理コンピュータ１１０および医療データ管理レプリカコンピュータ１２０のアドレス情報取得要求を送信して、それらのコンピュータのアドレス情報を取得する（ステップ２１５）。医療データ閲覧・更新コンピュータ１５０は、アドレス情報を取得後またはステップ２１０の判定でアドレス情報を所有している場合（ＹＥＳ）は、通信ネットワーク１０１で繋がっているアドレス情報で特定された該当する医療データ管理コンピュータ１１０および医療データ管理レプリカコンピュータ１２０に対して医療データ取得要求を送信して、暗号化医療データを受信する（ステップ２２０）。利用者が患者等から暗号化医療データを復号化するための復号化情報を構成する例えば鍵情報を得て医療データ閲覧・更新コンピュータ１５０に入力すると、医療データ閲覧・更新コンピュータ１５０はその鍵情報で暗号化医療データを復号化する（ステップ２２５）。医療データを閲覧・更新後に利用者が医療データを暗号化するための暗号化情報を構成する例えば鍵情報を医療データ閲覧・更新コンピュータ１５０に入力すると、医療データ閲覧・更新コンピュータ１５０はその鍵情報で閲覧・更新後の医療データを暗号化する（ステップ２３０）。

医療データ閲覧・更新コンピュータ１５０は、図３に３００で示すような、患者の識別情報と暗号化医療データと広域分散医療情報ネットワークシステム１００で唯一となる更新識別情報を有する電文をＮ台の医療データ管理コンピュータ１１０および医療データ管理レプリカコンピュータ１２０に送信し、医療データ管理コンピュータ１１０および医療データ管理レプリカコンピュータ１２０から受信完了通知を受信する（ステップ２３５）。この更新識別情報は、例えば医療データ閲覧・更新コンピュータ１５０のＩＰアドレスと更新時刻のデータで構成される情報等により実現される。

医療データ閲覧・更新コンピュータ１５０は、電文の送信に対して受信完了通知をした医療データ管理コンピュータ１１０および医療データ管理レプリカコンピュータ１２０の台数ＭがＭ＜Ｎであるかを判定する（ステップ２４０）。Ｍ＜Ｎである場合（ＹＥＳ）、医療データ閲覧・更新コンピュータ１５０は、通信ネットワーク１０１で繋がっている例えば（Ｎ−Ｍ）台以上が利用可能ならば（Ｎ−Ｍ）台以上の複数の医療データ一時保管コンピュータ１４０に、図４に３５０で示すような、患者の識別情報と暗号化医療データと付随する更新識別情報とまだ受信完了通知をしていない受信完了未通知の医療データ管理コンピュータ１１０乃至医療データ管理レプリカコンピュータ１２０のアドレス情報を有する電文を送信し、複数の医療データ一時保管コンピュータ１４０を経由して、医療データ管理コンピュータ１１０および医療データ管理レプリカコンピュータ１２０からの受信完了通知を受信する（ステップ２４５）。医療データ閲覧・更新コンピュータ１５０は、通信ネットワーク１０１で繋がっている複数の医療データ一時保管コンピュータ１４０のアドレス情報を事前に有しており、それらの医療データ一時保管コンピュータ１４０を使用できるようになっている。

医療データ閲覧・更新コンピュータ１５０は、複数の医療データ一時保管コンピュータ１４０を経由する電文の送信に対して受信完了通知をした医療データ管理コンピュータ１１０および医療データ管理レプリカコンピュータ１２０の台数ＬがＭ＋Ｌ＜Ｎであるかを判定する（ステップ２５０）。Ｍ＋Ｌ＜Ｎである場合（ＹＥＳ）、医療データ閲覧・更新コンピュータ１５０は、（Ｎ−Ｍ−Ｌ）台のまだ受信完了通知をしていない受信完了未通知の医療データ管理コンピュータ１１０乃至医療データ管理レプリカコンピュータ１２０に対して、医療データ閲覧・更新コンピュータ１５０から図３に３００で示す電文で医療データを送信するとともに、図４に３５０で示す電文で医療データを複数の医療データ一時保管コンピュータ１４０に送信してそれらの医療データ一時保管コンピュータ１４０から医療データを送信し（ステップ２５５）、医療データ閲覧・更新コンピュータ１５０および医療データ一時保管コンピュータ１４０それぞれからの医療データの送信に対して受信完了通知をした医療データ管理コンピュータ１１０および医療データ管理レプリカコンピュータ１２０の台数ＭおよびＬがＭ＋Ｌ＝Ｎであるかを判定する（ステップ２６０）。Ｍ＋Ｌ＝Ｎでない場合（ＮＯ）、ステップ２５５に戻ってＭ＋Ｌ＝Ｎになるまで、医療データ閲覧・更新コンピュータ１５０および医療データ一時保管コンピュータ１４０から受信完了未通知の医療データ管理コンピュータ１１０乃至医療データ管理レプリカコンピュータ１２０への医療データの送信を繰り返す。

閲覧・更新後の医療データの医療データ管理コンピュータ１１０および医療データ管理レプリカコンピュータ１２０への送信は、医療データ閲覧・更新コンピュータ１５０が行うとともに複数の医療データ一時保管コンピュータ１４０も行うので、医療データ管理コンピュータ１１０および医療データ管理レプリカコンピュータ１２０は閲覧・更新後の医療データを重複して受信することも起こり得る。広域分散医療情報ネットワークシステム１００では、医療データ管理コンピュータ１１０および医療データ管理レプリカコンピュータ１２０は、医療データを重複して受信することには次のような処理をして対応する。

医療データ管理コンピュータ１１０および医療データ管理レプリカコンピュータ１２０は、受信する電文の更新識別情報を参照して、受信した電文が既に受信した電文の更新識別情報と同じ更新識別情報を有する電文であるかを判定し、異なる更新識別情報を有する電文であると判定する場合には、受信した電文の暗号化医療データと更新識別情報を保管して、送信元のコンピュータに受信完了通知をするが、同じ更新識別情報を有する電文であると判定する場合には、送信元のコンピュータに既受領済通知をする機能を有する。したがって、医療データ管理コンピュータ１１０および医療データ管理レプリカコンピュータ１２０は、閲覧・更新後の医療データを重複して受信したとしても、その電文の送信元のコンピュータに受信完了通知ではなくて既受領済通知を返送して対応する。医療データ管理コンピュータ１１０または医療データ管理レプリカコンピュータ１２０が、ある医療データ一時保管コンピュータ１４０からの電文を先に受信して、医療データ閲覧・更新コンピュータ１５０からの電文乃至他の医療データ一時保管コンピュータ１４０からの電文を後に受信する場合には、その既受領済通知を返送される送信元のコンピュータは、そのような医療データ閲覧・更新コンピュータ１５０乃至他の医療データ一時保管コンピュータ１４０である。

医療データ閲覧・更新コンピュータ１５０からの電文の送信に対して受信完了通知をした医療データ管理コンピュータ１１０および医療データ管理レプリカコンピュータ１２０の台数Ｍと、複数の医療データ一時保管コンピュータ１４０を経由する電文の送信に対して受信完了通知をした医療データ管理コンピュータ１１０および医療データ管理レプリカコンピュータ１２０の台数Ｌには、既受領済通知は受信完了通知とは違う通知であって既受領済通知の前に受信完了通知は必ず行われているので、既受領済通知をした医療データ管理コンピュータ１１０および医療データ管理レプリカコンピュータ１２０の台数は含まれない。

ステップ２４０の判定がＭ＜Ｎでない場合（ＮＯ）、即ち医療データ閲覧・更新コンピュータ１５０からの送信で医療データ管理コンピュータ１１０および医療データ管理レプリカコンピュータ１２０の全てが受信完了通知をしたＭ＝Ｎの場合と、ステップ２５０の判定がＭ＋Ｌ＜Ｎでない場合（ＮＯ）およびステップ２６０の判定がＭ＋Ｌ＝Ｎである場合（ＹＥＳ）、即ち医療データ閲覧・更新コンピュータ１５０および医療データ一時保管コンピュータ１４０からの送信で医療データ管理コンピュータ１１０および医療データ管理レプリカコンピュータ１２０の全てが受信完了通知をしたＭ＋Ｌ＝Ｎの場合には、閲覧・更新後の医療データは広域に分散して通信ネットワーク１０１で繋がった医療データ管理コンピュータ１１０および医療データ管理レプリカコンピュータ１２０に保管されたので、医療データ閲覧・更新コンピュータ１５０は、暗号化医療データを削除し（ステップ２６５）、終了する（ステップ２７０）。

医療データ閲覧・更新コンピュータ１５０の概略的なバードウェア基本構成は図５に示すようになる。例えば通信アダプタのような通信装置４００と、例えばキーボードおよびマウスのような入力装置４５０と、例えばハードディスクドライブ、ソリッドステートドライブおよびオプティカルドライブのような記憶装置５００と、例えば液晶ディスプレイのような表示装置５５０と、例えば中央演算処理装置（ＣＰＵ）のような処理装置６００が含まれる。通信装置４００は、通信ネットワーク１０１と処理装置６００に接続され、医療データ管理コンピュータ１１０、医療データ管理レプリカコンピュータ１２０、医療データアドレス管理コンピュータ１３０および医療データ一時保管コンピュータ１４０等との間でデータを送受信するのに用いられる。入力装置４５０は、処理装置６００に接続され、医療データ、患者の識別情報および鍵情報等を入力するのに用いられる。記憶装置５００は、処理装置６００に接続され、医療データ、患者の識別情報、更新識別情報、医療データ管理コンピュータ１１０および医療データ管理レプリカコンピュータ１２０のアドレス情報等を記憶するのに用いられる。表示装置５５０は、処理装置６００に接続され、医療データ、患者の識別情報、更新識別情報等を表示するのに用いられる。処理装置６００は、それらの各装置４００、４５０、５００、５５０との間でデータを授受および処理するのに用いられる外に、医療データを広域に分散して保管する機能を実現するのに用いられる。

図６に、医療データ閲覧・更新コンピュータ１５０において処理装置６００が医療データを広域に分散して保管する機能を実現するのに用いられたときの構成を示す。処理装置６００は、コンピュータプログラムまたはマイクロコードにより実装され得る、アドレス情報取得部６０５、医療データ取得部６１０、医療データ復号化部６１５、医療データ閲覧・更新処理部６２０、医療データ暗号化部６２５、医療データ管理コンピュータ／レプリカコンピュータへの電文送信部６３０、医療データ管理コンピュータ／レプリカコンピュータからの通知受信部６３５、医療データ一時保管コンピュータへの電文送信部６４０、医療データ一時保管コンピュータからの通知受信部６４５および繰り返し制御部６５０を含む。また、処理装置６００のこのときの構成に対して、記憶装置５００には、医療データ管理コンピュータ／レプリカコンピュータのアドレス情報リスト５０５、受信完了未通知の医療データ管理コンピュータ／レプリカコンピュータのアドレス情報リスト５１０および医療データ一時保管コンピュータのアドレス情報リスト５１５のそれぞれ記憶領域が設けられる。

アドレス情報取得部６０５は、入力装置４５０から患者の識別情報が入力されると、記憶装置５００の医療データ管理コンピュータ／レプリカコンピュータのアドレス情報リスト５０５を参照し、患者の医療データを管理する医療データ管理コンピュータ１１０および医療データ管理レプリカコンピュータ１２０のアドレス情報を所有しているかを判定する。アドレス情報を所有していない場合、アドレス情報取得部６０５は、通信ネットワーク１０１で繋がっている1つ以上の医療データアドレス管理コンピュータ１３０に対して、患者の識別情報を指定してこの患者の医療データを管理する医療データ管理コンピュータ１１０および医療データ管理レプリカコンピュータ１２０のアドレス情報取得要求を送信し、それらのコンピュータのアドレス情報を取得する。アドレス情報取得部６０５は、取得したアドレス情報を医療データ取得部６１０に通知するとともに、取得したアドレス情報を記憶装置５００の医療データ管理コンピュータ／レプリカコンピュータのアドレス情報リスト５０５に記憶する。アドレス情報を所有している場合、アドレス情報取得部６０５は、医療データ管理コンピュータ／レプリカコンピュータのアドレス情報リスト５０５に患者についてのアドレス情報が存在することを医療データ取得部６１０に通知する。

医療データ取得部６１０は、アドレス情報を所有していない場合は医療データアドレス管理コンピュータ１３０より取得後にアドレス情報取得部６０５からアドレス情報を提供され、またアドレス情報を所有している場合はアドレス情報取得部６０５より通知後に医療データ管理コンピュータ／レプリカコンピュータのアドレス情報リスト５０５からアドレス情報を提供される。医療データ取得部６１０は、提供されるアドレス情報を用いて、通信ネットワーク１０１で繋がっているそのアドレス情報で特定された該当する医療データ管理コンピュータ１１０および医療データ管理レプリカコンピュータ１２０に対して医療データ取得要求を送信して、暗号化医療データを受信する。医療データ取得部６１０は、受信した暗号化医療データを医療データ復号化部６１５に提供する。

医療データ復号化部６１５は、暗号化医療データを復号化するための復号化情報を構成する例えば鍵情報が入力装置４５０から入力されると、医療データ取得部６１０から提供された暗号化医療データをその鍵情報で復号化し、復号化された医療データ（復号化医療データ）を医療データ閲覧・更新処理部６２０に提供する。

医療データ閲覧・更新処理部６２０は、医療データの閲覧・更新のための処理を行う。例えば、医療データ閲覧・更新処理部６２０は、復号化医療データを表示装置５５０に提供して、例えば医者や看護師の利用者が閲覧できるようにし、また、利用者が閲覧した医療データを更新した場合には、例えば医療データ閲覧・更新コンピュータ１５０のＩＰアドレスと更新時刻のデータで構成される情報等の更新識別情報を作成して、更新医療データに付加する。医療データ閲覧・更新処理部６２０は、更新医療データおよび更新識別情報を医療データ暗号化部６２５に提供する。

医療データ暗号化部６２５は、医療データを暗号化するための暗号化情報を構成する例えば鍵情報が入力装置４５０から入力されると、医療データ閲覧・更新処理部６２０から提供された更新医療データをその鍵情報で暗号化し、医療データ閲覧・更新処理部６２０から提供された更新識別情報とともに暗号化医療データを、医療データ管理コンピュータ／レプリカコンピュータへの電文送信部６３０および医療データ一時保管コンピュータへの電文送信部６４０に提供する。

医療データ管理コンピュータ／レプリカコンピュータへの電文送信部６３０は、医療データ暗号化部６２５より暗号化医療データおよび更新識別情報を提供され、患者の医療データを管理するＮ台の医療データ管理コンピュータ１１０および医療データ管理レプリカコンピュータ１２０のアドレス情報を医療データ管理コンピュータ／レプリカコンピュータのアドレス情報リスト５０５から入手して、図３に３００で示すような患者識別情報と更新識別情報と暗号化医療データを有する電文をそれらのＮ台の医療データ管理コンピュータ１１０および医療データ管理レプリカコンピュータ１２０に送信する。Ｎの値（数）は、患者の医療データを管理する医療データ管理コンピュータ１１０および医療データ管理レプリカコンピュータ１２０に関して医療データ管理コンピュータ／レプリカコンピュータのアドレス情報リスト５０５に記憶されているアドレス情報の数（台数）の範囲内で定められ、この電文送信部６３０と繰り返し制御部６５０に提供される。この電文送信部６３０は、Ｎ台の医療データ管理コンピュータ１１０および医療データ管理レプリカコンピュータ１２０に電文を送信した後は、繰り返し制御部６５０により制御され、受信完了未通知の医療データ管理コンピュータ／レプリカコンピュータのアドレス情報リスト５１０から提供されるアドレス情報を用いて、受信完了未通知の医療データ管理コンピュータ１１０および医療データ管理レプリカコンピュータ１２０に電文を繰り返し送信する。

医療データ管理コンピュータ／レプリカコンピュータからの通知受信部６３５は、Ｍ台の医療データ管理コンピュータ１１０および医療データ管理レプリカコンピュータ１２０から受信完了通知を受信する。この通知受信部６３５は、例えば、予め決めている受信完了通知の内容（情報）と受信する通知の内容（情報）を比較することにより受信完了通知であるかを識別して、受信完了通知の数（Ｍ）をカウントするように構成される。Ｍの数値は繰り返し制御部６５０に提供される。受信完了通知をした医療データ管理コンピュータ１１０または医療データ管理レプリカコンピュータ１２０のアドレス情報は、受信完了未通知の医療データ管理コンピュータ／レプリカコンピュータのアドレス情報リスト５１０に提供されて、そこから削除される。Ｎ台の医療データ管理コンピュータ１１０および医療データ管理レプリカコンピュータ１２０の中に受信完了未通知のコンピュータがある場合（Ｍ＜Ｎ）には、例えば送信したＮ台のコンピュータのアドレス情報と受信完了通知をしたＭ台のコンピュータのアドレス情報の差分を取ることにより、受信完了未通知の医療データ管理コンピュータ１１０および医療データ管理レプリカコンピュータ１２０のアドレス情報は得られ、受信完了未通知の医療データ管理コンピュータ／レプリカコンピュータのアドレス情報リスト５１０に提供される。

医療データ一時保管コンピュータへの電文送信部６４０は、繰り返し制御部６５０からＮ台の医療データ管理コンピュータ１１０および医療データ管理レプリカコンピュータ１２０の中に受信完了未通知のコンピュータがある（Ｍ＜Ｎ）との通知を受けると、医療データ一時保管コンピュータ１４０のアドレス情報を医療データ一時保管コンピュータのアドレス情報リスト５１５から入手して、図４に３５０で示すような、患者の識別情報と暗号化医療データと付随する更新識別情報とまだ受信完了通知をしていない受信完了未通知の医療データ管理コンピュータ１１０乃至医療データ管理レプリカコンピュータ１２０のアドレス情報を有する電文を、複数の医療データ一時保管コンピュータ１４０に送信する。送信する医療データ一時保管コンピュータ１４０の数は、医療データ一時保管コンピュータのアドレス情報リスト５１５に記憶されているアドレス情報の数（台数）を超えることはないが、少なくとも受信完了未通知のコンピュータの数（Ｎ−Ｍ）を超えるように定められる。この電文送信部６４０は、複数の医療データ一時保管コンピュータ１４０に電文を送信した後は、繰り返し制御部６５０により制御され、医療データ一時保管コンピュータのアドレス情報リスト５１５から提供されるアドレス情報を用いて、医療データ一時保管コンピュータ１４０に電文を繰り返し送信する。

医療データ一時保管コンピュータからの通知受信部６４５は、電文を送信した医療データ一時保管コンピュータ１４０から、医療データ一時保管コンピュータ１４０の方で受信したＬ台の医療データ管理コンピュータ１１０および医療データ管理レプリカコンピュータ１２０からの受信完了通知を受信する。この通知受信部６４５は、例えば、医療データ管理コンピュータ／レプリカコンピュータからの通知受信部６３５について先に示したようにして、医療データ一時保管コンピュータ１４０の方で医療データ管理コンピュータ１１０および医療データ管理レプリカコンピュータ１２０からの受信完了通知を識別できるようにすることで、通知受信部６４５では受信完了通知を識別する必要はなく、医療データ管理コンピュータ１１０または医療データ管理レプリカコンピュータ１２０のアドレス情報とそのアドレス情報のコンピュータが受信完了通知をしたときにはそのことを単に示す情報とを受信して、受信完了通知をしたコンピュータの台数（Ｌ）をカウントするように構成される。Ｌの数値は繰り返し制御部６５０に提供される。受信完了通知を示す情報を伴う医療データ管理コンピュータ１１０または医療データ管理レプリカコンピュータ１２０のアドレス情報は、受信完了未通知の医療データ管理コンピュータ／レプリカコンピュータのアドレス情報リスト５１０に提供されて、そこから削除される。

繰り返し制御部６５０は、Ｎレジスタ６５１、Ｍレジスタ６５２、Ｌレジスタ６５３、Ｍ＜Ｎ判定部６５４、Ｍ＋Ｌ＜Ｎ判定部６５５およびＭ＋Ｌ＝Ｎ判定部６５６を含む。繰り返し制御部６５０は、処理装置６００で予めＮについて所定の数値を提供されてＮレジスタ６５１に保持する。また、繰り返し制御部６５０は、医療データ管理コンピュータ／レプリカコンピュータからの通知受信部６３５よりＭの数値を提供されてＭレジスタ６５２に保持するとともに、医療データ一時保管コンピュータからの通知受信部６４５よりＬの数値を提供されてＬレジスタ６５３に保持する。Ｍ＜Ｎ判定部６５４は、Ｎレジスタ６５１およびＭレジスタ６５２から、それぞれＮおよびＭの数値を取得し、それらを比較して判定する。Ｍ＜Ｎ判定部６５４は、例えば、Ｎの数値とＭの数値を入力して比較する比較器で構成される。Ｍ＋Ｌ＜Ｎ判定部６５５は、Ｎレジスタ６５１、Ｍレジスタ６５２およびＬレジスタ６５３から、それぞれＮ、ＭおよびＬの数値を取得し、Ｍ＋ＬとＮを比較して判定する。Ｍ＋Ｌ＜Ｎ判定部６５５は、例えば、Ｍの数値とＬの数値を入力して加算する加算器と、加算器からのＭ＋Ｌの数値とＮの数値を入力して比較する比較器で構成される。Ｍ＋Ｌ＝Ｎ判定部６５６は、Ｎレジスタ６５１、Ｍレジスタ６５２およびＬレジスタ６５３から、それぞれＮ、ＭおよびＬの数値を取得し、Ｍ＋Ｌ＝Ｎであるかを判定する。Ｍ＋Ｌ＝Ｎ判定部６５６は、例えば、Ｍ＋Ｌ＜Ｎ判定部６５５と同様に構成して、比較器の比較結果（等しいか否か）を判定するように構成される。また、Ｍ＋Ｌ＝Ｎ判定部６５６は、Ｍ＋Ｌ＜Ｎ判定部６５５をそのまま用いてＭ＋Ｌ＜Ｎ判定部６５５と兼用するように構成される。繰り返し制御部６５０は、Ｍ＜Ｎ判定部６５４の判定結果がＭ＜Ｎのときには、その判定結果を医療データ一時保管コンピュータへの電文送信部６４０に通知する。また、繰り返し制御部６５０は、Ｍ＋Ｌ＜Ｎ判定部６５５の判定結果がＭ＋Ｌ＜Ｎのときには、その判定結果を医療データ管理コンピュータ／レプリカコンピュータへの電文送信部６３０および医療データ一時保管コンピュータへの電文送信部６４０に通知して、Ｍ＋Ｌ＝Ｎ判定部６５６でＭ＋Ｌ＝Ｎと判定するまで、繰り返しそれらの電文送信部６３０および６４０からそれぞれ電文を送信するように制御する。

図７に医療データ一時保管コンピュータ１４０の処理の概略的な流れ７００を示す。先に述べたとおり、医療データ一時保管コンピュータ１４０は、医療データ閲覧・更新コンピュータ１５０からの電文の送信があると開始し（ステップ７０５）、図４に３５０で示すような、患者の識別情報と暗号化医療データと付随する更新識別情報とまだ受信完了通知をしていない受信完了未通知の医療データ管理コンピュータ１１０乃至医療データ管理レプリカコンピュータ１２０のアドレス情報を有する電文を受信する（ステップ７１０）。医療データ一時保管コンピュータ１４０は、受信した電文における患者の識別情報と暗号化医療データと付随する更新識別情報と受信完了未通知の医療データ管理コンピュータ１１０乃至医療データ管理レプリカコンピュータ１２０のアドレス情報を保管する（ステップ７１５）。医療データ一時保管コンピュータ１４０は、保管する受信完了未通知の医療データ管理コンピュータ１１０乃至医療データ管理レプリカコンピュータ１２０のアドレス情報を用いて、それらのコンピュータに患者の識別情報と暗号化医療データと付随する更新識別情報を有する図３に３００で示すような電文を送信し（ステップ７２０）、医療データ管理コンピュータ１１０乃至医療データ管理レプリカコンピュータ１２０の送信先コンピュータから返答通知を受信する（ステップ７２５）。

医療データ一時保管コンピュータ１４０は、返答通知が受信完了通知であるかを判定し（ステップ７３０）、返答通知が受信完了通知である場合（ＹＥＳ）には、受信完了通知をした送信先コンピュータである医療データ管理コンピュータ１１０または医療データ管理レプリカコンピュータ１２０のアドレス情報を、受信完了通知をしたことを示す情報とともに、医療データ閲覧・更新コンピュータ１５０に通知する（ステップ７３５）。医療データ一時保管コンピュータ１４０は、保管する受信完了未通知の医療データ管理コンピュータ１１０乃至医療データ管理レプリカコンピュータ１２０のアドレス情報のリストから、受信完了通知をした送信先コンピュータのアドレス情報を削除し（ステップ７４０）、また、ステップ７３０の判定で返答通知が受信完了通知でない場合（ＮＯ）には返答通知は既受領済通知であるので、この場合にも、やはり保管する受信完了未通知の医療データ管理コンピュータ１１０乃至医療データ管理レプリカコンピュータ１２０のアドレス情報のリストから、返答通知を受信した送信先コンピュータのアドレス情報を削除する（ステップ７４０）。

医療データ一時保管コンピュータ１４０は、保管する受信完了未通知の医療データ管理コンピュータ１１０乃至医療データ管理レプリカコンピュータ１２０のアドレス情報のリストにアドレス情報が残っておらず空であるかを判定し（ステップ７４５）、空でない場合（ＮＯ）にはステップ７２０に戻って、ステップ７２０からステップ７４５までを繰り返す。ステップ７４５の判定でアドレス情報のリストが空である場合（ＹＥＳ）には、医療データ一時保管コンピュータ１４０は、該当する保管した暗号化医療データを削除し（ステップ７５０）、終了する（ステップ７５５）。

図８に、医療データ一時保管コンピュータ１４０において処理装置６００が医療データを広域に分散して保管する機能を実現するのに用いられたときの構成を示す。処理装置６００は、コンピュータプログラムまたはマイクロコードにより実装され得る、医療データ閲覧・更新コンピュータからの電文受信部６６０、医療データ閲覧・更新コンピュータへの受信完了通知送信部６６５、医療データ管理コンピュータ／レプリカコンピュータへの電文送信部６７０、医療データ管理コンピュータ／レプリカコンピュータからの返答通知受信部６７５、受信完了通知判定部６８０および繰り返し制御部６８５を含む。また、処理装置６００のこのときの構成に対して、記憶装置５００には、患者識別情報／暗号化医療データ／更新識別情報５２０および受信完了未通知の医療データ管理コンピュータ／レプリカコンピュータのアドレス情報リスト５２５のそれぞれ記憶領域が設けられる。

医療データ閲覧・更新コンピュータからの電文受信部６６０は、医療データ閲覧・更新コンピュータ１５０から送信される、図４に３５０で示すような、患者の識別情報と暗号化医療データと付随する更新識別情報とまだ受信完了通知をしていない受信完了未通知の医療データ管理コンピュータ１１０乃至医療データ管理レプリカコンピュータ１２０のアドレス情報を有する電文を受信する。また、医療データ閲覧・更新コンピュータからの電文受信部６６０は、受信した患者の識別情報と暗号化医療データと付随する更新識別情報を、記憶装置５００の記憶領域である患者識別情報／暗号化医療データ／更新識別情報５２０に記憶して保管するとともに、受信完了未通知の医療データ管理コンピュータ１１０乃至医療データ管理レプリカコンピュータ１２０のアドレス情報を、記憶装置５００の記憶領域である受信完了未通知の医療データ管理コンピュータ／レプリカコンピュータのアドレス情報リスト５２５に記憶して保管する。

医療データ管理コンピュータ／レプリカコンピュータへの電文送信部６７０は、受信完了未通知の医療データ管理コンピュータ／レプリカコンピュータのアドレス情報リスト５２５から受信完了未通知の医療データ管理コンピュータ１１０乃至医療データ管理レプリカコンピュータ１２０のアドレス情報を入手するとともに、患者識別情報／暗号化医療データ／更新識別情報５２０から患者識別情報と更新識別情報と暗号化医療データを入手して、図３に３００で示すような患者識別情報と更新識別情報と暗号化医療データを有する電文をそれらの受信完了未通知の医療データ管理コンピュータ１１０乃至医療データ管理レプリカコンピュータ１２０に送信する。

医療データ管理コンピュータ／レプリカコンピュータからの返答通知受信部６７５は、医療データ管理コンピュータ／レプリカコンピュータへの電文送信部６７０が電文を送信した医療データ管理コンピュータ１１０乃至医療データ管理レプリカコンピュータ１２０からの返答通知を受信し、受信した返答通知を受信完了通知判定部６８０に提供する。また、医療データ管理コンピュータ／レプリカコンピュータからの返答通知受信部６７５は、返答通知を受信したことを繰り返し制御部６８５に通知する。

受信完了通知判定部６８０は、医療データ管理コンピュータ１１０乃至医療データ管理レプリカコンピュータ１２０からの返答通知が受信完了通知であるかを判定する。受信完了通知判定部６８０は、例えば、予め決めている受信完了通知の内容（情報）と受信する返答通知の内容（情報）を比較することにより受信完了通知であるかを識別して判定するように構成される。受信完了通知判定部６８０は、返答通知が受信完了通知である場合には、受信完了通知をした医療データ管理コンピュータ１１０または医療データ管理レプリカコンピュータ１２０のアドレス情報を、医療データ閲覧・更新コンピュータへの受信完了通知送信部６６５に提供する。また、受信完了通知判定部６８０は、返答通知が受信完了通知であってもなくても、返答通知を受信した送信先コンピュータのアドレス情報を、受信完了未通知の医療データ管理コンピュータ／レプリカコンピュータのアドレス情報リスト５２５に提供し、その提供されたアドレス情報はアドレス情報リスト５２５から削除される。

医療データ閲覧・更新コンピュータへの受信完了通知送信部６６５は、受信完了通知判定部６８０より提供された、受信完了通知をした医療データ管理コンピュータ１１０または医療データ管理レプリカコンピュータ１２０のアドレス情報を、受信完了通知をしたことを示す情報とともに、医療データ閲覧・更新コンピュータ１５０に送信する。

繰り返し制御部６８５は、医療データ管理コンピュータ／レプリカコンピュータからの返答通知受信部６７５より返答通知を受信したことを通知されると、受信完了未通知の医療データ管理コンピュータ／レプリカコンピュータのアドレス情報リスト５２５にアドレス情報が残っているかを照会して判定する。繰り返し制御部６８５は、アドレス情報リスト５２５にアドレス情報が残っている場合には、医療データ管理コンピュータ／レプリカコンピュータへの電文送信部６７０に電文の送信を繰り返すように指示する。繰り返し制御部６８５は、アドレス情報リスト５２５にアドレス情報が残っていない場合には、記憶装置５００に暗号化医療データの削除を指示し、保管している患者の識別情報と暗号化医療データと付随する更新識別情報は患者識別情報／暗号化医療データ／更新識別情報５２０から削除される。

図９に、通信ネットワーク上で医療データを広域に分散して保管する時のデータの流れを概略的に示す。医療データ閲覧・更新コンピュータ１５０は、図３に示すような患者の暗号化医療データの電文３００を医療データ管理コンピュータ１１０に送信するが、その時に医療データ管理コンピュータ１１０は停止しているために、Ｘ印で示すように送信に失敗する。一方、医療データ閲覧・更新コンピュータ１５０は、電文３００を医療データ管理レプリカコンピュータ１２０にも送信し、医療データ管理レプリカコンピュータ１２０は、稼働しているので電文３００を受信することができ、その後受信完了通知を医療データ閲覧・更新コンピュータ１５０に送信する。医療データ管理レプリカコンピュータ１２０からの受信完了通知を受信する前であれば、医療データ閲覧・更新コンピュータ１５０は、医療データ管理コンピュータ１１０ばかりでなく医療データ管理レプリカコンピュータ１２０にも電文３００を送信することを医療データ一時保管コンピュータ１４０に依頼するために、図４に示すような患者の暗号化医療データの電文３５０を医療データ一時保管コンピュータ１４０に送信する。医療データ一時保管コンピュータ１４０は、電文３００を医療データ管理コンピュータ１１０に送信し、医療データ管理コンピュータ１１０から受信完了通知を受信し、その受信完了通知を医療データ閲覧・更新コンピュータ１５０に送信する。一方、医療データ一時保管コンピュータ１４０は、電文３００を医療データ管理レプリカコンピュータ１２０にも送信する。医療データ管理レプリカコンピュータ１２０は、すでに医療データ閲覧・更新コンピュータ１５０から電文３００を受信しているので、既受領済通知を医療データ一時保管コンピュータ１４０に送信する。医療データ一時保管コンピュータ１４０は既受領済通知を受信するが、既受領済通知は、必要ないので、医療データ閲覧・更新コンピュータ１５０には送信されない。

以上、実施態様を用いて本発明の説明をしたが、本発明の技術的範囲は実施態様について記載した範囲には限定されない。実施態様に種々の変更又は改良を加えることが可能であり、そのような変更又は改良を加えた態様も当然に本発明の技術的範囲に含まれる。

Claims

通信ネットワークに接続され同じ医療情報を保持し医療情報を暗号化して送受信する複数の第１コンピュータのうちのいずれから、暗号化された医療情報を通信ネットワークに接続された第２コンピュータにて取得するステップと、
取得の暗号化された医療情報を第２コンピュータにて復号化するステップと、
復号化された医療情報を第２コンピュータにて閲覧・更新して閲覧・更新した医療情報を暗号化するステップと、
暗号化された閲覧・更新の医療情報を第２コンピュータから複数の第１コンピュータに送信するステップと、
を含み、
前記取得するステップは、通信ネットワークに接続され複数の第１コンピュータのアドレス情報を保持する１つ以上の第３コンピュータから、複数の第１コンピュータのアドレス情報を取得し、取得したアドレス情報の第１コンピュータに医療情報取得要求を送信するステップを含み、
前記復号化するステップは、取得の暗号化された医療情報を復号化するための復号化情報を第１コンピュータの当事者から取得して適用するステップを含み、前記暗号化するステップは、閲覧・更新した医療情報を暗号化するための暗号化情報を第１コンピュータの当事者から取得して適用するステップを含み、
前記複数の第１コンピュータに送信するステップは、暗号化された閲覧・更新の医療情報と更新識別情報を有する電文を複数の第１コンピュータに送信して受信完了通知を受信するステップを含み、
前記複数の第１コンピュータに送信するステップは、最初に電文を送信後に受信完了通知を受信した第１コンピュータの数が最初に電文を送信した第１コンピュータの数よりも少ない場合は、通信ネットワークに接続され暗号化された医療情報を受信して一時的に保持し送信する１つ以上の第４コンピュータに、暗号化された閲覧・更新の医療情報と更新識別情報と受信完了通知をしていない受信完了未通知の第１コンピュータのアドレス情報を有する電文を送信し、第１コンピュータの受信完了通知を第４コンピュータより受信するステップを含む、
通信ネットワーク上で医療情報を広域に分散して管理する方法。
前記複数の第１コンピュータに送信するステップは、第１コンピュータから直に受信完了通知を受信した第１コンピュータの数と第４コンピュータを介して受信完了通知を受信した第１コンピュータの数の合計が最初に電文を送信した第１コンピュータの数よりも少ない場合は、合計が最初に電文を送信した第１コンピュータの数になるまで、暗号化された閲覧・更新の医療情報と更新識別情報を有する電文を受信完了未通知の第１コンピュータに送信するとともに、暗号化された閲覧・更新の医療情報と更新識別情報と受信完了未通知の第１コンピュータのアドレス情報を有する電文を第４コンピュータに送信することを繰り返すステップを含む、請求項１に記載の方法。
暗号化された閲覧・更新の医療情報と更新識別情報と受信完了未通知の第１コンピュータのアドレス情報を有する電文を第４コンピュータにて受信するステップと、
受信完了未通知の第１コンピュータのアドレス情報により特定される第１コンピュータに暗号化された閲覧・更新の医療情報と更新識別情報を有する電文を第４コンピュータにて送信するステップと、
第１コンピュータから受信完了通知を第４コンピュータにて受信して第２コンピュータに送信するステップと、
をさらに含む、請求項１または２に記載の方法。
第１コンピュータから受信完了通知または既受領済通知を第４コンピュータにて受信したときは、受信完了通知または既受領済通知を送信した第１コンピュータのアドレス情報を受信完了未通知の第１コンピュータのアドレス情報から削除するステップと、
受信完了未通知の第１コンピュータのアドレス情報が空になるまで、受信完了未通知の第１コンピュータのアドレス情報により特定される第１コンピュータに暗号化された閲覧・更新の医療情報と更新識別情報を有する電文を第４コンピュータにて送信するステップと、第１コンピュータから受信完了通知を第４コンピュータにて受信して第２コンピュータに通知するステップとを第４コンピュータにて繰り返すステップと、
をさらに含む、請求項３に記載の方法。
第１コンピュータが医療データ管理コンピュータおよび医療データ管理レプリカコンピュータであり、第２コンピュータが医療データ閲覧・更新コンピュータであり、第３コンピュータが医療データアドレス管理コンピュータであり、第４コンピュータが医療データ一時保管コンピュータである、請求項１〜４のいずれかに記載の方法。
第２コンピュータに、請求項１〜２のいずれか１項に記載の方法の各ステップを実行させる、通信ネットワーク上で医療情報を広域に分散して管理するためのコンピュータプログラム。
第４コンピュータに、請求項３または４に記載の方法の各ステップを実行させる、請求項６に記載のコンピュータプログラム。
通信ネットワークに接続され、同じ医療情報を保持し、医療情報を暗号化して送受信する複数の第１コンピュータと、
通信ネットワークに接続された第２コンピュータであって、複数の第１コンピュータのうちのいずれから暗号化された医療情報を取得するための取得部と、取得部で取得の暗号化された医療情報を復号化するための復号化部と、復号化部で復号化された医療情報を閲覧・更新するための閲覧・更新処理部と、閲覧・更新処理部で閲覧・更新した医療情報を暗号化するための暗号化部と、暗号化部で暗号化された閲覧・更新の医療情報を複数の第１コンピュータに送信するための送信部とを備える第２コンピュータと、
を含み、
前記取得部は、通信ネットワークに接続され複数の第１コンピュータのアドレス情報を保持する１つ以上の第３コンピュータから複数の第１コンピュータのアドレス情報を取得するアドレス情報取得部を含み、取得したアドレス情報の第１コンピュータに医療情報取得要求を送信し、
前記復号化部は、第１コンピュータの当事者から取得した復号化情報で取得の暗号化された医療情報を復号化し、前記暗号化部は、第１コンピュータの当事者から取得した暗号化情報で閲覧・更新した医療情報を暗号化し、
前記閲覧・更新処理部は、閲覧・更新したことを示す更新識別情報を作成し、
前記送信部は、暗号化された閲覧・更新の医療情報と更新識別情報を提供され、暗号化された閲覧・更新の医療情報と更新識別情報を有する電文を作成して複数の第１コンピュータに送信し、最初に電文を送信後に受信完了通知を受信した第１コンピュータの数が最初に電文を送信した第１コンピュータの数よりも少ない場合は、通信ネットワークに接続され暗号化された医療情報を受信して一時的に保持し送信する１つ以上の第４コンピュータに、暗号化された閲覧・更新の医療情報と更新識別情報と受信完了通知をしていない受信完了未通知の第１コンピュータのアドレス情報を有する電文を送信する、
通信ネットワーク上で医療情報を広域に分散して管理するシステム。
前記送信部は、第１コンピュータから直に受信完了通知を受信した第１コンピュータの数と第４コンピュータを介して受信完了通知を受信した第１コンピュータの数の合計が最初に電文を送信した第１コンピュータの数よりも少ない場合は、合計が最初に電文を送信した第１コンピュータの数になるまで、暗号化された閲覧・更新の医療情報と更新識別情報を有する電文を受信完了未通知の第１コンピュータに送信するとともに、暗号化された閲覧・更新の医療情報と更新識別情報と受信完了未通知の第１コンピュータのアドレス情報を有する電文を第４コンピュータに送信することを繰り返す、請求項８に記載のシステム。
第４コンピュータが、暗号化された閲覧・更新の医療情報と更新識別情報と受信完了未通知の第１コンピュータのアドレス情報を有する電文を受信する電文受信部と、受信完了未通知の第１コンピュータのアドレス情報により特定される第１コンピュータに暗号化された閲覧・更新の医療情報と更新識別情報を有する電文を送信する電文送信部と、第１コンピュータから受信完了通知を受信する通知受信部と、第１コンピュータからの受信完了通知を第２コンピュータに送信する通知送信部とを備える、請求項８または９に記載のシステム。
第４コンピュータが、第１コンピュータから受信完了通知または既受領済通知を受信したときは、受信完了通知または既受領済通知を送信した第１コンピュータのアドレス情報を受信完了未通知の第１コンピュータのアドレス情報から削除し、受信完了未通知の第１コンピュータのアドレス情報が空になるまで、受信完了未通知の第１コンピュータのアドレス情報により特定される第１コンピュータに暗号化された閲覧・更新の医療情報と更新識別情報を有する電文を送信し、第１コンピュータから受信完了通知を受信して第２コンピュータに通知することを繰り返す、請求項１０に記載のシステム。
第１コンピュータが医療データ管理コンピュータおよび医療データ管理レプリカコンピュータであり、第２コンピュータが医療データ閲覧・更新コンピュータであり、第３コンピュータが医療データアドレス管理コンピュータであり、第４コンピュータが医療データ一時保管コンピュータである、請求項８〜１１のいずれかに記載のシステム。