JP7032908B2 - 医療情報転送システム及び医療情報転送方法 - Google Patents

Description

本発明は、複数の医師相互間で安全かつ効率的に医療情報データを受け渡し可能にすることができる医療情報転送システム及び医療情報転送方法に関する。

近年の医療機器技術の向上に伴って各種の医療機器が高性能化してきたため、医療情報データのデータ量が増加する傾向にある。このため、ある患者がセカンドオピニオンの診察を希望するケースのように、ある病院の医師が他の病院の医師に対して医療情報データを受け渡そうとする場合に、ＣＤ（Compact Disc）又はＵＳＢ（Universal Serial Bus）メモリ等の記憶デバイスを用いてオフラインでデータを授受するケースがある。

ところが、かかる記憶デバイスを用いて医療情報データの受け渡しを行う場合に、受領側の病院が、データフォーマットの違いに起因して記憶デバイスから医療情報データを読み出せない場合がある。また、記憶デバイスそのものがコンピュータウイルスを伝播させてしまう可能性もある。さらに、記憶デバイスが搬送途中で紛失されると、個人情報の漏洩に繋がるリスクが生じる。かかるリスクを回避するためにセキュリティの高い搬送手段を用いて記憶デバイスを搬送することとすると、記憶デバイスの搬送に係るコストが増加する。なお、メールに添付できるファイルの容量には一定の制限があるため、あらゆる医療情報データをメール添付で送信するのも現実的ではない。

これらのことから、周知のＦＴＰ（File Transfer Protocol）等を用いて医療情報データをファイル転送する方策が考えられる。

特開２０１３－２３５５３５号公報

しかしながら、周知のファイル転送技術を用いる場合にはセキュリティ上の問題が生ずる。医療情報データは、患者の身体に係る秘密度合いの高い情報であるため、単に周知のファイル転送技術を用いるのは妥当ではない。加えて、ある医師Ｂは、面識のない医師Ａからファイル転送された医療情報データを利用するとは思えない。医師Ａに成りすました不正者からウイルス付きファイルを転送されるリスクがあるためである。

これらのことから、複数の医師相互間でいかにして安全かつ効率的に医療情報データを受け渡し可能とするかが重要な課題となっている。なお、特許文献１には、元データから複数の第１シェアデータを生成し、元データの復元に必要な復元用データから複数の第２シェアデータを生成し、これら複数のシェアデータを複数の記録デバイスに分散して記憶させる技術が開示されているが、かかる技術は、複数の医師相互間で医療情報データを受け渡すものではない。

本発明は、上記従来技術の問題点（課題）を解決するためになされたものであって、複数の医師相互間で安全かつ効率的に医療情報データを受け渡し可能にすることができる医療情報転送システム及び医療情報転送方法を提供することを目的とする。

上記の課題を解決するため、本発明は、離隔された位置に配置されて医療情報を重複して保存する複数のデータ保持領域をそれぞれ有する複数のデータセンタと、前記複数のデータ保持領域からデータ蓄積サービスに使用された保存領域を差し引いた余剰記憶領域を用いて転送医療情報の転送処理を行う端末装置と、前記転送医療情報の転送管理情報を管理する管理領域とがネットワークに接続された医療情報転送システムであって、前記端末装置には、前記転送処理の利用が認証された医師のみに予め供給された転送モジュールが搭載され、前記転送モジュールは、前記転送医療情報の転送通知を転送先に送信し、転送元からの転送通知を受信する通知送受信部と、転送元の前記転送医療情報を秘密分散して複数の断片データを生成し、各断片データを異なる前記余剰記憶領域に送信して一時的に保存させる秘密分散データ生成部と、各余剰記憶領域に一時的に保存された転送元からの複数の断片データを取得して合成し、転送元の前記転送医療情報を生成する秘密分散データ結合部と、前記転送医療情報の転送時に前記複数の断片データの転送管理情報を前記管理領域に送信し、前記転送医療情報の転送受信時に前記転送通知をもとに前記管理領域から前記複数の断片データの前記転送管理情報を取得する転送管理情報処理部とを備え、複数のデータセンタは、前記端末装置が前記転送医療情報の各断片データを受信したならば、各断片データを各余剰記憶領域からそれぞれ削除することを特徴とする。

また、本発明は、上記の発明において、前記管理領域は、前記断片データの削除に、前記転送管理情報を更新して保存することを特徴とする。

また、本発明は、上記の発明において、前記管理領域は、前記複数の余剰記憶領域に一時的に保存されている１以上の断片データを他の余剰記憶領域に移動することが可能であり、該断片データの移動時に、前記転送管理情報を更新して保存することを特徴とする。

また、本発明は、上記の発明において、前記転送モジュールは、転送する転送医療情報内の特定情報を匿名化する匿名化処理部を備えることを特徴とする。

また、本発明は、上記の発明において、前記管理領域は、前記医師の認証処理を行う認証処理部を備えたことを特徴とする。

また、本発明は、離隔された位置に配置されて医療情報を重複して保存する複数のデータ保持領域をそれぞれ有する複数のデータセンタと、前記複数のデータ保持領域からデータ蓄積サービスに使用された保存領域を差し引いた余剰記憶領域を用いて転送医療情報の転送処理を行う端末装置と、前記転送医療情報の転送管理情報を管理する管理領域とがネットワークに接続された医療情報転送システムにおける医療情報転送方法であって、前記端末装置は、前記転送処理の利用が認証された医師のみに予め供給された転送モジュールにより、前記転送医療情報の転送通知を転送先に送信し、転送元からの転送通知を受信する通知送受信工程と、転送元の前記転送医療情報を秘密分散して複数の断片データを生成し、各断片データを異なる前記余剰記憶領域に送信して一時的に保存させる秘密分散データ生成工程と、各余剰記憶領域に一時的に保存された転送元からの複数の断片データを取得して合成し、転送元の前記転送医療情報を生成する秘密分散データ結合工程と、前記転送医療情報の転送時に前記複数の断片データの転送管理情報を前記管理領域に送信し、前記転送医療情報の転送受信時に前記転送通知をもとに前記管理領域から前記複数の断片データの前記転送管理情報を取得する転送管理情報処理工程と、前記複数のデータセンタが、前記端末装置により前記転送医療情報の各断片データが受信されたならば、各断片データを各余剰記憶領域からそれぞれ削除する削除工程とを含んだことを特徴とする。

本発明によれば、複数の医師相互間で安全かつ効率的に医療情報データを受け渡すことが可能となる。

図１は、本実施例に係る医療情報転送システムの概要を説明するための説明図である。 図２は、図１に示した端末装置及びクラウドの構成を示す機能ブロック図である。 図３は、図２に示した秘密分散データ生成部の構成及び転送医療情報の送信時の流れを示すブロック図である。 図４は、図２に示した秘密分散データ結合部の構成及び転送医療情報の受信時の流れを示すブロック図である。 図５は、図２に示した転送モジュールによる送信処理手順を示すフローチャートである。 図６は、図２に示した転送管理情報処理部が生成する転送管理情報の一例を示す図である。 図７は、図２に示した転送モジュールによる受信処理手順を示すフローチャートである。 図８は、図２に示したクラウドデータ保存スペース内に保存される医療情報の増大に伴う最大記憶容量と余剰記憶容量との時間変化を示す図である。

以下に、添付図面を参照して、本発明に係る医療情報転送システムの好適な実施例を詳細に説明する。以下に示す実施例では、医療機関や検査機関などの医療施設で発生した医療情報をネットワーク上の複数の外部サーバに重複して保存する医療情報システムを用いて医療情報を他の医療施設に転送できる医療情報転送システムを構築したものを一例として説明する。なお、この医療情報転送システムを利用できる利用者は、医師などの一定の資格を有する者に限定される。

＜医療情報転送システムの概要＞
まず、本実施例に係る医療情報転送システムの概要について説明する。図１は、本実施例に係る医療情報転送システムの概要を説明するための説明図である。ここでは、説明の便宜上、医師Ａが、転送対象となるある患者に関するＣＴ（Computed Tomography）画像又はＭＲＩ（Magnetic Resonance Imaging）画像等を含む医療情報データ（以下、「転送医療情報」と言う）を、医師Ｂに転送する場合を示している。なお、転送対象となるデータは、画像データに限定されるものではなく、メール内容のデータ、文書データ又は複数のデータが含まれるフォルダデータであってもよい。

図１に示すように、この医療情報転送システムは、ある地区（例えば、東日本）に設けられたデータセンタＸと、他の地区（例えば、西日本）に設けられたデータセンタＹと、医師Ａにより利用される端末装置１０ａと、医師Ｂにより利用される端末装置１０ｂとを有する。なお、３箇所以上のデータセンタが設けられた場合にも適用できる。

データセンタＸ及びデータセンタＹは、それぞれ多数の処理ユニットが相互に接続されたデータセンタであり、利用者に対してクラウドサービスを提供する。データセンタＸにより提供されるクラウドｘと、データセンタＹにより提供されるクラウドｙは、それぞれ独立して運営されているものとする。

端末装置１０ａは、ある病院に所在する医師Ａにより操作される端末装置であり、端末装置１０ｂは、他の病院に所在する医師Ｂにより操作される端末装置である。これらの端末装置１０ａ及び１０ｂ（以下、「端末装置１０」と総称する場合がある）には、後述する転送モジュールがインストールされているものとする。医師Ａは、端末装置１０ａの転送モジュール、データセンタＸにより提供されるクラウドｘ、データセンタＹにより提供されるクラウドｙを介して、転送医療情報を医師Ｂが利用する端末装置１０ｂに対して転送する。

具体的には、医師Ａが端末装置１０ａ上で所定の操作を行うと、転送対象となる転送医療情報が圧縮処理され（ステップＳ１）、所定の暗号鍵を用いて暗号化処理される（ステップＳ２）。その後、暗号化処理されたデータが、断片１及び断片２に秘密分散され（ステップＳ３）、断片１がデータセンタＸにより提供されるクラウドｘに送信され、断片２がデータセンタＹにより提供されるクラウドｙに転送される。

また、医師Ａが操作する端末装置１０ａから医師Ｂが操作する端末装置１０ｂに対して、クラウドｘ及びクラウドｙ上に断片１及び断片２がデータ送信済である旨を示す情報がＥメール等で通知される。

かかる情報を端末装置１０ｂが受信した旨を確認した医師Ｂは、端末装置１０ｂ上で所定の操作を行うことによって復号鍵を入手するとともに、クラウドｘから断片１を取得し、クラウドｙから断片２を取得して、秘密分散された断片１及び断片２を結合処理する（ステップＳ５）。その後、復号鍵を用いて転送医療情報を復号処理し（ステップＳ６）、解凍処理される（ステップＳ７）。

このように、本実施例に係る医療情報転送システムでは、医師Ａが操作する端末装置１０ａ及び医師Ｂが操作する端末装置１０ｂに本実施例に係る転送モジュールをインストールしておき、転送元の医師Ａが端末装置１０ａ上で所定の操作を行うことにより、転送医療情報が断片１及び断片２に秘密分散され、各断片がクラウドｘ，ｙに一時記憶されるとともに、端末装置１０ａから端末装置１０ｂに対して転送医療情報が転送された旨を示すデータが通知される。この通知を受けた転送先の医師Ｂが端末装置１０ｂ上で所定の操作を行うことにより、各クラウドｘ，ｙから断片１及び２を取得して結合し、医療データ情報とするよう構成したので、複数の医師相互間で安全かつ効率的に転送医療情報を受け渡すことが可能となる。

なお、かかる医療情報転送システムでは、医師免許を有する医師のみしか転送モジュールを入手することができず、医師のみが医療情報転送システムを利用することができる。また、データセンタＸ，Ｙの空き領域を用いて医療情報転送サービスを行っているため、各医師は無償でのサービス利用が可能となる。

＜端末装置及びクラウドの構成＞
次に、図１に示した端末装置及びクラウドの構成について説明する。図２は、図１に示した端末装置及びクラウドの構成を示す機能ブロック図である。ここでは、データセンタＸにより運営されるクラウドｘにクラウドデータ保存スペース２ａが設けられ、データセンタＹにより運営されるクラウドｙにクラウドデータ保存スペース２ｂが設けられているものとする。これらの、クラウドデータ保存スペース２ａ、２ｂは、本実施例に係る医療情報転送システムとは別に、データ蓄積サービスを行う場合においても利用されており、データ蓄積サービスにおいては、災害などに備えて転送医療情報がクラウドｘ及びクラウドｙにミラーリングとして重複格納されているものとする。広域災害によるデータ消滅のリスクを低減するためである。

ここで、本実施例に係る医療情報転送システム１では、クラウドデータ保存スペース２ａ，２ｂ内の最大記憶領域Ｅａ，Ｅｂから、データ蓄積サービスに使用されている保存領域を差し引いた余剰記憶領域Ｒａ，Ｒｂを、端末装置１０ａから端末装置１０ｂに対して転送医療情報Ｄａを転送する際の一時保存領域として用いる。このため、クラウドデータ保存スペース２ａ，２ｂ内には、新たに転送医療情報の転送処理のための一時保存領域を設ける必要がない。

また、端末装置１０ａは、転送医療情報Ｄａの転送時に転送医療情報Ｄａを秘密分散した２つの断片データＤ１ａ，Ｄ１ｂをそれぞれクラウドデータ保存スペース２ａ，２ｂの余剰記憶領域Ｒａ，Ｒｂに一時的に保存し、端末装置１０ｂは、クラウドデータ保存スペース２ａ，２ｂに一時的に保存された２つの断片データＤ１ａ，Ｄ１ｂを結合して転送医療情報Ｄａと同一の転送医療情報Ｄｂを生成する。この結果、転送医療情報Ｄａは、端末装置１０ａ，１０ｂ以外では、常に秘密分散された断片データＤ１ａ，Ｄ１ｂとして存在しているため、転送時における転送医療情報Ｄａのセキュリティが向上する。

なお、図２に示すように、ネットワークＮには、少なくとも転送医療情報Ｄａ及び断片データＤ１ａ，Ｄ１ｂを管理する転送管理部３ａと利用者の認証処理を行う認証処理部３ｂとを有した管理スペース３が接続される。この管理スペース３は、上記のクラウドｘ及びクラウドｙと異なるクラウドｚ上に設けられる管理スペースである。

＜端末装置の構成＞
端末装置１０ａ，１０ｂには、それぞれ転送モジュール１１ａ，１１ｂが搭載される。転送モジュール１１ａ，１１ｂは、転送処理の利用が認証された医師からの要求に応じて供給され、組み込まれたものである。具体的には、医師Ａ及び医師Ｂにより利用される端末装置１０ａ及び端末装置１０ｂから所定のサーバ装置にアクセスされ、医療情報転送システムの利用が許可された場合に、端末装置１０ａ，１０ｂは、該サーバ装置から転送モジュールをダウンロードすることができ、ダウンロードされた転送モジュールは、それぞれ端末装置１０ａ，１０ｂにインストールされる。

端末装置１０ａ，１０ｂは、それぞれ転送モジュール１１ａ，１１ｂを有する。なお、図２では、端末装置１０ａが、転送すべき転送医療情報Ｄａを有した状態を示し、端末装置１０ｂが、転送された転送医療情報Ｄｂを有した状態を示している。

転送モジュール１１ａは、モジュール制御部１２ａ、ログイン処理部１３ａ、通知送受信部１４ａ、秘密分散データ生成部１５ａ、秘密分散データ結合部１６ａ、転送管理情報処理部１７ａ、匿名化処理部１８ａ、鍵情報１９ａを有する。同様に、転送モジュール１１ｂは、モジュール制御部１２ｂ、ログイン処理部１３ｂ、通知送受信部１４ｂ、秘密分散データ生成部１５ｂ、秘密分散データ結合部１６ｂ、転送管理情報処理部１７ｂ、匿名化処理部１８ｂ、鍵情報１９ｂを有する。

モジュール制御部１２ａ，１２ｂは、転送モジュール１１ａ，１１ｂ内の各部に対する全体制御を行う。ログイン処理部１３ａ，１３ｂは、転送モジュール１１ａ，１１ｂへのログイン処理を行う。このログイン処理は、管理スペース３の認証処理部３ｂにアクセスし、認証処理部３ｂが利用者認証した場合にログインが許可される。なお、ログイン処理部１３ａ，１３ｂは、パスワード入力でログインできるようにしてもよい。

通知送受信部１４ａ，１４ｂは、転送医療情報Ｄａの転送通知を転送先に送信し、送信された転送通知を受信する処理を行う。かかる転送通知は、例えばＥメールにより行うことができる。なお、かかる転送通知を行う際には、クラウドデータ保存スペース２ａ，２ｂを経由しない。

秘密分散データ生成部１５ａ，１５ｂは、転送すべき転送医療情報Ｄａを秘密分散処理して複数の断片データＤ１ａ，Ｄ１ｂを生成し、それぞれクラウドデータ保存スペース２ａ，２ｂの余剰記憶領域Ｒａ，Ｒｂに一時的に保存する。

秘密分散データ結合部１６ａ，１６ｂは、断片データＤ１ａ，Ｄ１ｂをクラウドデータ保存スペース２ａ，２ｂの余剰記憶領域Ｒａ，Ｒｂから取得し、取得された断片データＤ１ａ，Ｄ１ｂを結合処理して転送医療情報Ｄａと同じ転送医療情報Ｄｂを生成する。

秘密分散では、元の転送医療情報Ｄａとは全く無関係な複数の断片データＤ１ａ，Ｄ１ｂに変換されているため、１つの断片データＤ１ａ，Ｄ１ｂだけでは元の転送医療情報Ｄａを復元して解読することが不可能になる。

転送管理情報処理部１７ａ，１７ｂは、転送医療情報Ｄａを受信する際に必要な転送元、転送先、一時保存場所などの情報及び各種ログ情報である転送管理情報の作成、登録、取得などの処理を行う。

匿名化処理部１８ａ，１８ｂは、転送医療情報Ｄａの転送時に、転送医療情報Ｄａ内の氏名、年齢、生年月日、検査実施医療機関名称などの特定情報を自動的に削除する処理を行う。この削除処理の対象は、予め設定される。

鍵情報１９ａ，１９ｂは、秘密分散データ生成部１５ａ，１５ｂによる暗号化処理時に用いられる鍵あるいは秘密分散データ結合部１６ａ，１６ｂの復号処理時に用いられる鍵の情報である。この実施例では、共通鍵を用いる場合を示している。なお、この鍵情報は、各種鍵暗号方式で用いられる鍵を認証処理部３ｂがその都度、生成してもよい。

＜秘密分散データ生成部の構成＞
次に、図２に示した秘密分散データ生成部１５ａ，１５ｂの詳細な構成について説明する。図３は、図２に示した秘密分散データ生成部１５ａ，１５ｂの構成及び転送医療情報の送信時の流れを示すブロック図である。

図３に示すように、秘密分散データ生成部１５ａは、データ取得部２１ａ、圧縮部２２ａ、暗号化部２３ａ、秘密分散部２４ａを有する。データ取得部２１ａは、通知送受信部１４ａが指定する転送医療情報Ｄａを取得して圧縮部２２ａに送る。圧縮部２２ａは、送られた転送医療情報Ｄａのデータ圧縮処理を行って暗号化部２３ａに送る。暗号化部２３ａは、送られたデータを、鍵情報１９ａを用いて暗号化して秘密分散部２４ａに送る。秘密分散部２４ａは、暗号化されたデータを複数の断片データＤ１ａ，Ｄ１ｂに分割し、分割された断片データＤ１ａ，Ｄ１ｂをそれぞれクラウドデータ保存スペース２ａ，２ｂに送る。秘密分散データ生成部１５ｂの構成は秘密分散データ生成部１５ａと同一である。

なお、転送管理情報処理部１７ａは、秘密分散された断片データＤ１ａ，Ｄ１ｂの一時保存先や転送開始時刻などの転送管理情報を取得して管理スペース３に送信する。一方、通知送受信部１４ａは、秘密分散データ生成部１５ａに対して秘密分散内容の指示を行うとともに、転送通知を転送先である端末装置１０ｂ側に送信する。

＜秘密分散データ結合部の構成＞
次に、図２に示した秘密分散データ結合部１６ａ，１６ｂの詳細な構成について説明する。図４は、図２に示した秘密分散データ結合部１６ａ，１６ｂの構成及び転送医療情報の受信時の流れを示すブロック図である。

図４に示すように、秘密分散データ結合部１６ｂは、データ取得部３１ｂ、結合部３２ｂ、復号部３３ｂ、解凍部３４ｂを有する。データ取得部３１ｂは、通知送受信部１４ｂが指定する転送医療情報Ｄａの断片データＤ１ａ，Ｄ１ｂをクラウドデータ保存スペース２ａ，２ｂから取得する。この際、転送管理情報処理部１７ｂは、管理スペース３から転送医療情報Ｄａの転送管理情報を取得し、秘密分散データ結合部１６ｂに送る。データ取得部３１ｂは、取得した断片データＤ１ａ，Ｄ１ｂを結合部３２ｂに送る。結合部３２ｂは、取得した断片データＤ１ａ，Ｄ１ｂを結合し、結合したデータを復号部３３ｂに送る。復号部３３ｂは、送られたデータを鍵情報１９ｂを用いて復号し、解凍部３４ｂに送る。解凍部３４ｂは、送られたデータを解凍し、転送医療情報Ｄｂとして出力する。秘密分散データ結合部１６ａの構成は秘密分散データ結合部１６ｂと同じである。

＜転送モジュールによる転送医療情報の送信処理＞
次に、図５に示したフローチャートを参照して、転送モジュール１１ａによる送信処理手順について説明する。図５に示すように、転送モジュール１１ａは、ログイン処理部１３ａによるログインがなされているか否かを判定する（ステップＳ１０１）。ログインがなされていない場合には（ステップＳ１０１；Ｎｏ）、本判定処理を繰り返す。一方、ログインがなされている場合には（ステップＳ１０１；Ｙｅｓ）、転送管理情報処理部１７ａは、転送通知をもとに転送管理情報を生成する（ステップＳ１０２）。その後、転送管理情報処理部１７ａは、生成した転送管理情報を管理スペース３に送信する（ステップＳ１０３）。その後、通知送受信部１４ａは、転送通知を転送先に送信する（ステップＳ１０４）。

その後、データ取得部２１ａは、転送すべき転送医療情報Ｄａを取得して（ステップＳ１０５）、圧縮部２２ａに送る。圧縮部２２ａは、送られた転送医療情報Ｄａをデータ圧縮し（ステップＳ１０６）、暗号化部２３ａに送る。暗号化部２３ａは、送られたデータを、鍵情報１９ａを用いて暗号化し（ステップＳ１０７）、秘密分散部２４ａに送る。その後、秘密分散部２４ａは、送られたデータを複数の断片データＤ１ａ，Ｄ１ｂに分散する（ステップＳ１０８）。その後、分散された各断片データＤ１ａ，Ｄ１ｂをクラウドデータ保存スペース２ａ，２ｂに送信して（ステップＳ１０９）本処理を終了する。

なお、図６に示すように、転送管理情報は、例えば、転送すべき転送医療情報Ｄａのファイル名「ＡＢＣ」、転送元「Ｘ」、転送先「Ｙ」、第１断片データ（Ｄ１ａ）の保存先「（クラウドデータ保存スペース）２ａ」、第１断片データ（Ｄ１ａ）のＩＤ「１００１」、第２断片データ（Ｄ１ｂ）の保存先「（クラウドデータ保存スペース）２ｂ」、第２断片データのＩＤ「１００２」、転送開始時刻「〇〇〇〇．〇〇．〇〇．××××」、転送完了時刻「空欄」、付加情報「空欄」などからなる。

ここで、転送完了時刻と付加情報とは空欄になっているが、転送完了時刻は、転送先の端末装置１０ｂから転送完了通知があった場合に、転送完了時刻が記載される。また、付加情報は、転送完了後に、転送医療情報に関する特徴情報などをログ情報として記載して保存することが可能である。

＜転送モジュールによる転送医療情報の受信処理＞
次に、図７に示したフローチャートを参照して、転送モジュール１１ｂによる受信処理手順について説明する。図７に示すように、転送モジュール１１ｂは、ログイン処理部１３ｂによるログインがなされているか否かを判定する（ステップＳ２０１）。ログインがなされていない場合には（ステップＳ２０１；Ｎｏ）、本判定処理を繰り返す。一方、ログインがなされている場合には（ステップＳ２０１；Ｙｅｓ）、さらに、転送通知の受信があったか否かを判定する（ステップＳ２０２）。転送通知の受信がなかった場合には（ステップＳ２０２；Ｎｏ）、本判定処理を繰り返す。一方、転送通知の受信があった場合には（ステップＳ２０２；Ｙｅｓ）、転送管理情報処理部１７ｂは管理スペース３から転送管理情報を取得する（ステップＳ２０３）。なお、転送通知の受信は自動受信としてもよいが、転送通知の内容から転送元を確認してから断片データＤ１ａ，Ｄ１ｂを取得することが好ましい。

その後、データ取得部３１ｂは、転送管理情報を参照して、転送された断片データＤ１ａ，Ｄ１ｂをそれぞれクラウドデータ保存スペース２ａ，２ｂから取得し（ステップＳ２０４）、取得した断片データＤ１ａ，Ｄ１ｂを結合部３２ｂに送る。その後、結合部３２ｂは、送られた断片データＤ１ａ，Ｄ１ｂを結合し（ステップＳ２０５）、結合したデータを復号部３３ｂに送る。復号部３３ｂは、結合されたデータに対して鍵情報１９ｂを用いて復号化し（ステップＳ２０６）、解凍部３４ｂに送る。解凍部３４ｂは、送られた復号データを解凍し（ステップＳ２０７）、転送医療情報Ｄｂを生成する。

その後、転送された転送医療情報Ｄａと同じ転送医療情報Ｄｂの受信が完了したか否かを判定する（ステップＳ２０８）。転送医療情報Ｄｂの受信が完了しない場合には（ステップＳ２０８；Ｎｏ）、本処理を繰り返す。一方、転送医療情報Ｄｂの受信が完了した場合には（ステップＳ２０８；Ｙｅｓ）、転送管理情報処理部１７ｂは、受信完了通知を管理スペース３に送信し（ステップＳ２０９）、本処理を繰り返す。受信完了通知を受けた管理スペース３は、受信完了した断片データＤ１ａ，Ｄ１ｂを削除するが、転送管理情報は保存する。

なお、転送管理情報処理部１７ｂは、管理スペース３に対する受信完了通知時または受信完了通知前に、管理スペース３に対して、転送医療情報Ｄｂに関する特徴情報などの各種ログ情報を通知して転送医療情報を更新して保存するようにしてもよい。これにより、クラウドデータ保存スペース２ａ，２ｂから転送医療情報Ｄａに対応する断片データＤ１ａ，Ｄ１ｂは削除されるが、転送医療情報Ｄａ（Ｄｂ）の転送管理情報は保存される。

本実施例では、転送医療情報Ｄａの転送完了後には、クラウドデータ保存スペース２ａ，２ｂの断片データＤ１ａ，Ｄ１ｂが削除されるので、余剰記憶領域Ｒａ，Ｒｂが有効利用されることになる。

＜クラウドデータ保存スペースの余剰記憶領域＞
図８は、図１に示したクラウドデータ保存スペース２ａ，２ｂ内に保存される医療情報の増大に伴う最大記憶容量と余剰記憶容量との時間変化を示す図である。なお、クラウドデータ保存スペース２ａ，２ｂには、それぞれ同じ医療情報が保存されるため、各クラウドデータ保存スペース２ａ，２ｂの最大記憶容量と余剰記憶容量との時間変化は同じになる。

図８に示すように、クラウドデータ保存スペース２ａ，２ｂ内の最大記憶容量は、保存される医療情報４０の記憶容量にマージンの余剰容量を加えた容量としている。時点ｔ０～ｔ１間では、最大記憶容量をＳ１としているが、時間の経過とともに保存される医療情報４０は増大し続け、時点ｔ１における余剰記憶容量が小さくなったため、時点ｔ１で記憶容量を増加し、クラウドデータ保存スペース２ａ，２ｂの最大記憶容量をＳ１からＳ２に大きくしている。同様に、時点ｔ２，ｔ３でも、保存される医療情報４０の記憶容量の増大に対応して、最大記憶容量をＳ２からＳ３，Ｓ４に大きくしている。

ここで、時点ｔ０～ｔ１の間、時点ｔ１～ｔ２の間、時点ｔ２～ｔ３の間では、余剰記憶容量をもつ余剰記憶領域Ｒ１，Ｒ２，Ｒ３が生成されている。本実施例では、この余剰記憶領域Ｒ１，Ｒ２，Ｒ３を転送医療情報Ｄａの一時保存領域として有効利用している。そして、さらに有効利用を図るために、転送完了通知を受けた場合に一時的に保存されていた転送医療情報の断片データを削除するようにしている。

また、本実施例では、上述したようにクラウドデータ保存スペース２ａ，２ｂが同じ医療情報を重複して保存していることから、複数のクラウドデータ保存スペース２ａ，２ｂが予め存在しているので、転送医療情報Ｄａを秘密分散した複数の断片データＤ１ａ，Ｄ１ｂの一時的な保存を容易に行うことができる。また、複数のクラウドデータ保存スペース２ａ，２ｂの保存状態が同一であるため、転送医療情報Ｄａを秘密分散して転送する方式との適合性が良い。

そして、本実施例では、転送医療情報Ｄａを秘密分散して転送するようにしているので、セキュリティも高めることができる。

また、本実施例では、転送医療情報Ｄａは秘密分散された複数の断片データＤ１ａ，Ｄ１ｂを、それぞれが一時的に保存されているクラウドデータ保存スペース２ａ，２ｂから並列でダウンロードすることができるので、高速転送することができる。その結果、転送医療情報Ｄａの転送完了時間を短縮することができる。

さらに、本実施例では、余剰記憶領域Ｒａ，Ｒｂは、転送バッファとして機能するため、転送通知の転送先への到達後から断片データＤ１ａ，Ｄ１ｂをダウンロードすることができるため、転送元からの断片データＤ１ａ，Ｄ１ｂのアップロード中に、転送先に断片データＤ１ａ，Ｄ１ｂをダウンロードすることが可能である。本実施例では、この点でも、転送完了時間を短縮することができる。

なお、上記の実施例では、２つのクラウドｘ及びクラウドｙを用いる場合を示したが、本発明はこれに限定されるものではなく、３つ以上のクラウド上で処理する場合に適用することもできる。また、クラウドに断片を記憶する場合だけではなく、サーバ装置上で処理する場合に適用することもできる。

＜変形例１＞
上記の実施例では、受信完了通知を受けた管理スペース３は、一時的に保存されていた断片データＤ１ａ，Ｄ１ｂを削除するが、この削除のタイミングは、断片データＤ１ａ，Ｄ１ｂの保存期間が所定時間経過後としてもよい。また、この所定期間は、余剰記憶領域Ｒａ，Ｒｂの記憶容量が小さくなるに従って短くする可変期間としてもよい。

＜変形例２＞
ところで、上記の実施例では、図１に示した２つのクラウドｘ、ｙ上に断片１、２を一時的に保存する場合を示したが、本発明はこれに限定されるものではなく、３つ以上のクラウドｘ，ｙ，ｚが存在し、そのうちの２つのクラウドｘ、ｙに断片１，２がそれぞれ一時保存されている場合に、所定の条件が成立した場合に（クラウドの輻輳や災害の発生等）、一方のクラウドｘに一時的に保存された断片１をクラウドｚに移行させ、その結果を送信元の端末装置１０ａに通知するよう構成することもできる。なお、かかる場合には、端末装置１０ａから端末装置１０ｂに対して、あらためて転送医療情報が一時的に保存された旨を通知する必要があり、端末装置１０ｂは、新たなクラウドｚ，ｙから断片１，２を取得することになる。このようにすることで、不測の事態が生じた場合にも対処することが可能となる。

＜変形例３＞
さらに、秘密分散される断片データは冗長化されるため、本変形例３では、断片数を３以上の断片に増加して冗長性を高くしている。これにより、本変形例３では、断片の一部が消失しても元のデータは復号することができる。例えば、４つの断片に秘密分散した場合、そのうちの任意の３つの断片を結合して元のデータを復号することができる冗長性を各断片に持たせる。また、クラウドも、３以上のクラウドとすることによって、各断片は物理的にさらに分散されることになる。したがって、本変形例３では、一部の断片が消失した場合であっても元のデータを復号でき、しかも秘密分散された各断片が物理的に分散されているため、予期しない障害やセキュリティ上のリスクが発生した場合であっても、元のデータを確実に転送できる堅牢性の高いシステムを実現できる。

また、上記の実施例で図示した各構成は機能概略的なものであり、必ずしも物理的に図示の構成をされていることを要しない。すなわち、各装置の分散・統合の形態は図示のものに限られず、その全部又は一部を各種の負荷や使用状況などに応じて、任意の単位で機能的又は物理的に分散・統合して構成することができる。また、上述した実施例及び変形例１，２の各構成要素は適宜組み合わせが可能である。

本発明に係る医療情報転送システム及び医療情報転送方法は、複数の医師相互間で安全かつ効率的に医療情報データを受け渡す場合に有用である。

１ 医療情報転送システム
２ａ，２ｂ クラウドデータ保存スペース
３ 管理スペース
３ａ 転送管理部
３ｂ 認証処理部
１０ａ，１０ｂ 端末装置
１１ａ，１１ｂ 転送モジュール
１２ａ，１２ｂ モジュール制御部
１３ａ，１３ｂ ログイン処理部
１４ａ，１４ｂ 通知送受信部
１５ａ，１５ｂ 秘密分散データ生成部
１６ａ，１６ｂ 秘密分散データ結合部
１７ａ，１７ｂ 転送管理情報処理部
１８ａ，１８ｂ 匿名化処理部
１９ａ，１９ｂ 鍵情報
２１ａ，３１ｂ データ取得部
２２ａ 圧縮部
２３ａ 暗号化部
２４ａ 秘密分散部
３２ｂ 結合部
３３ｂ 復号部
３４ｂ 解凍部
４０ 医療情報
Ａ，Ｂ 医師
Ｘ，Ｙ データセンタ
ｘ，ｙ クラウド
Ｄ１ａ，Ｄ１ｂ 断片データ
Ｄａ，Ｄｂ 転送医療情報
Ｅａ，Ｅｂ 最大記憶領域
Ｎ ネットワーク
Ｒ１，Ｒ２，Ｒ３，Ｒａ，Ｒｂ 余剰記憶領域
ｔ０～ｔ３ 時点

Claims (6)

1. 離隔された位置に配置されて医療情報を重複して保存する複数のデータ保持領域をそれぞれ有する複数のデータセンタと、前記複数のデータ保持領域からデータ蓄積サービスに使用された保存領域を差し引いた余剰記憶領域を用いて転送医療情報の転送処理を行う端末装置と、前記転送医療情報の転送管理情報を管理する管理領域とがネットワークに接続された医療情報転送システムであって、
   前記端末装置には、前記転送処理の利用が認証された医師のみに予め供給された転送モジュールが搭載され、
   前記転送モジュールは、
   前記転送医療情報の転送通知を転送先に送信し、転送元からの転送通知を受信する通知送受信部と、
   転送元の前記転送医療情報を秘密分散して複数の断片データを生成し、各断片データを異なる前記余剰記憶領域に送信して一時的に保存させる秘密分散データ生成部と、
   各余剰記憶領域に一時的に保存された転送元からの複数の断片データを取得して合成し、転送元の前記転送医療情報を生成する秘密分散データ結合部と、
   前記転送医療情報の転送時に前記複数の断片データの転送管理情報を前記管理領域に送信し、前記転送医療情報の転送受信時に前記転送通知をもとに前記管理領域から前記複数の断片データの前記転送管理情報を取得する転送管理情報処理部と
   を備え、
   複数のデータセンタは、
   前記端末装置が前記転送医療情報の各断片データを受信したならば、各断片データを各余剰記憶領域からそれぞれ削除する
   ことを特徴とする医療情報転送システム。
2. 前記管理領域は、前記断片データの削除時に、前記転送管理情報を更新して保持することを特徴とする請求項１に記載の医療情報転送システム。
3. 前記管理領域は、前記余剰記憶領域に一時的に保存されている１以上の断片データを他の余剰記憶領域に移動することが可能であり、該断片データの移動時に、前記転送管理情報を更新して保存することを特徴とする請求項１又は２に記載の医療情報転送システム。
4. 前記転送モジュールは、転送する転送医療情報内の特定情報を匿名化する匿名化処理部を備えることを特徴とする請求項１～３のいずれか一つに記載の医療情報転送システム。
5. 前記管理領域は、前記医師の認証処理を行う認証処理部を備えたことを特徴とする請求項１～４のいずれか一つに記載の医療情報転送システム。
6. 離隔された位置に配置されて医療情報を重複して保存する複数のデータ保持領域をそれぞれ有する複数のデータセンタと、前記複数のデータ保持領域からデータ蓄積サービスに使用された保存領域を差し引いた余剰記憶領域を用いて転送医療情報の転送処理を行う端末装置と、前記転送医療情報の転送管理情報を管理する管理領域とがネットワークに接続された医療情報転送システムにおける医療情報転送方法であって、
   前記端末装置は、前記転送処理の利用が認証された医師のみに予め供給された転送モジュールにより、前記転送医療情報の転送通知を転送先に送信し、転送元からの転送通知を受信する通知送受信工程と、
   転送元の前記転送医療情報を秘密分散して複数の断片データを生成し、各断片データを異なる前記余剰記憶領域に送信して一時的に保存させる秘密分散データ生成工程と、
   各余剰記憶領域に一時的に保存された転送元からの複数の断片データを取得して合成し、転送元の前記転送医療情報を生成する秘密分散データ結合工程と、
   前記転送医療情報の転送時に前記複数の断片データの転送管理情報を前記管理領域に送信し、前記転送医療情報の転送受信時に前記転送通知をもとに前記管理領域から前記複数の断片データの前記転送管理情報を取得する転送管理情報処理工程と、
   前記複数のデータセンタが、前記端末装置により前記転送医療情報の各断片データが受信されたならば、各断片データを各余剰記憶領域からそれぞれ削除する削除工程と
   を含んだことを特徴とする医療情報転送方法。

Images