(57)【要約】【課題】特定個人の医療情報の漏洩を防ぐことができ、特定個人の医療情報の保護を図ることができる医療情報管理システムを提供することにある。【解決手段】医療情報管理システム１０は、病院１１Ａに設置された医療機関サーバ１２Ａと、複数人の匿名医療データを保持する第１事業会社第１サーバ１４Ａと、複数人を個別に特定可能な個人属性データを保持する第２事業会社サーバ１６とから構成されている。医療機関サーバ１２Ａは、匿名医療データをサーバ１４Ａから受信し、受信した匿名医療データに対応する個人属性データをサーバ１６から受信する。さらに、サーバ１４Ａから受信した匿名医療データにサーバ１６から受信した個人属性データを適用して特定個人の実名医療データを作成する。【選択図】図１
2010250756.tif 000002
【特許請求の範囲】
【請求項１】
医療機関に設置された医療機関サーバと、前記医療機関とは別個独立に存在する第１業者に設置され、前記医療機関において収集された複数人の匿名医療データを保持する第１業者サーバと、前記医療機関および前記第１業者とは別個独立に存在する第２業者に設置され、前記複数人を個別に特定可能な個人属性データを保持する第２業者サーバとを含み、
前記医療機関サーバが、前記匿名医療データを前記第１業者サーバから受信する匿名医療データ受信手段と、前記匿名医療データ受信手段によって受信した前記匿名医療データに対応する前記個人属性データを前記第２業者サーバから受信する個人属性データ受信手段と、前記第１業者サーバから受信した匿名医療データに前記第２業者サーバから受信した個人属性データを適用して特定個人の実名医療データを作成する実名医療データ作成手段と、作成した前記実名医療データを出力する実名医療データ出力手段とを有することを特徴とする医療情報管理システム。
【請求項２】
前記システムが、別個独立に存在する複数の第１〜第ｎ医療機関とそれら医療機関に設置された医療機関第１〜第ｎサーバとを含み、前記第１〜第ｎ医療機関のうちの少なくとも１つが、前記第１業者サーバから受信した前記匿名医療データを他の第１〜第ｎ医療機関に転送する匿名医療データ転送手段を有し、前記他の第１〜第ｎ医療機関に設置された医療機関第１〜第ｎサーバが、前記第１〜第ｎ医療機関のうちの少なくとも１つから転送された匿名医療データに対応する前記個人属性データを前記第２業者サーバから受信する個人属性データ受信手段を実行しつつ、前記第１〜第ｎ医療機関から転送された匿名医療データに前記第２業者サーバから受信した個人属性データを適用して特定個人の実名医療データを作成する前記実名医療データ作成手段を実行する請求項１記載の医療情報管理システム。
【請求項３】
前記第１業者サーバが、別個独立に存在する複数の第１業者に設置された第１業者第１〜第ｎサーバを含み、前記医療機関サーバが、前記匿名医療データを前記第１業者第１〜第ｎサーバのうちの少なくとも２つから受信する前記匿名医療データ受信手段を実行し、前記匿名医療データ受信手段によって受信した前記匿名医療データに対応する前記個人属性データを前記第２業者サーバから受信する個人属性データ受信手段を実行しつつ、前記第１業者第１〜第ｎサーバから受信した匿名医療データに前記第２業者サーバから受信した個人属性データを適当して特定個人の実名医療データを作成する前記実名医療データ作成手段を実行する請求項１または請求項２に記載の医療情報管理システム。
【請求項４】
前記第１業者サーバが、前記個人属性データにユニークな個人属性データ識別子を設定し、その個人属性データ識別子を前記複数人に個別に設定された個人特定識別子に関連付けた状態で保持する個人属性データ識別子保持手段と、前記個人属性データ識別子に関連付けた状態で前記匿名医療データを保持する匿名医療データ保持手段と、前記医療機関サーバが前記個人特定識別子を提示して前記匿名医療データの送信を要求したときに、提示された個人特定識別子に対応する個人属性データ識別子を特定しつつ、特定した個人属性データ識別子とその個人属性データ識別子に対応する匿名医療データとを前記医療機関サーバに送信する匿名医療データ送信手段とを有し、
前記第２業者サーバが、前記個人属性データ識別子に関連付けた状態で前記個人属性データを保持する個人属性データ保持手段と、前記医療機関サーバが前記匿名医療データに対応する個人属性データ識別子を提示して前記個人属性データの送信を要求したときに、提示された個人属性データ識別子とその個人属性データ識別子に対応する個人属性データとを前記医療機関サーバに送信する個人属性データ送信手段とを有し、
前記実名医療データ作成手段が、前記第１業者サーバから受信した個人属性データ識別子と前記第２業者サーバから受信した個人属性データ識別子とを比較しつつ、互いに一致する個人属性データ識別子に対応する個人属性データと匿名医療データとを組み合わせて前記実名医療データを作成する請求項１ないし請求項３いずれかに記載の医療情報管理システム。
【請求項５】
前記第１業者サーバが、前記複数人に個別に設定された個人特定識別子に関連付けた状態で前記匿名医療データを保持する匿名医療データ保持手段と、前記個人属性データの各属性項目にユニークな個人属性データ識別子を割り当て、各属性項目と割り当てた個人属性データ識別子とを前記個人特定識別子に関連付けた状態で保持する個人属性データ識別子保持手段と、割り当てた個人属性データ識別子と個人属性データおよび属性項目とを前記第２業者サーバに送信する個人属性データ送信手段と、前記医療機関サーバが前記個人特定識別子を提示して前記匿名医療データの送信を要求したときに、提示された個人特定識別子に対応する個人属性データ識別子を特定しつつ、特定した個人属性データ識別子とその個人属性データ識別子に対応する属性項目および匿名医療データとを前記医療機関サーバに送信する匿名医療データ送信手段とを有し、
前記第２業者サーバが、前記属性項目毎に対応する前記個人属性データ識別子に関連付けた状態で前記個人属性データを保持する個人属性データ保持手段と、前記医療機関サーバが前記匿名医療データに対応する属性項目および個人属性データ識別子を提示して前記個人属性データの送信を要求したときに、提示された属性項目および個人属性データ識別子とその属性項目および個人属性データ識別子に対応する個人属性データとを前記医療機関サーバに送信する個人属性データ送信手段とを有し、
前記実名医療データ作成手段が、前記第１業者サーバから受信した属性項目および個人属性データ識別子と前記第２業者サーバから受信した属性項目および個人属性データ識別子とを比較しつつ、互いに一致する属性項目および個人属性データ識別子に対応する個人属性データと匿名医療データとを組み合わせて前記実名医療データを作成する請求項１ないし請求項３いずれかに記載の医療情報管理システム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、医療情報管理システムに関する。
【背景技術】
【０００２】
複数の医療施設に設置され、セキュリティー機能を備えたネットワークを介して医療情報の送受信および指示の送信が可能なクライアント端末と、クライアント端末からネットワークを介して送信された医療情報を受信し、受信した医療情報をそれの管理権を有する医療施設毎に区分して保管する機能および保管された医療情報のクライアント端末による利用を制御する機能を備えたデータセンタサーバとから形成された医療情報管理システムがある（特許文献１参照）。
【０００３】
データセンタサーバは、医療施設が管理権を有する医療情報のクライアント端末による利用を予め可能とし、一方の医療施設が管理権を有する医療情報の利用を他方の医療機関に許可することを示す許可指示が一方の医療施設に設置されたクライアント端末から送信されると、許可指示に対応する医療情報の他方の医療施設に設置されたクライアント端末による利用を可能とする。許可指示には、医療情報の利用可能範囲を示す情報と医療情報の利用許可期間を示す情報とが含まれる。医療情報には、医療施設名や患者名、患者の電子カルテ、医用画像データ、診察日、撮影日等が含まれる。
【先行技術文献】
【特許文献】
【０００４】
【特許文献１】特開２００２−２６８２４３号公報
【発明の概要】
【発明が解決しようとする課題】
【０００５】
前記特許文献１に開示の医療情報管理システムは、他方の医療施設に利用を許可する医療情報について、利用可能範囲や利用許可期間を指定することができるから、医療情報の安全性を向上させることができる。しかし、それら医療情報が各医療施設に設置されたクライアント端末によって独自に管理されており、それら医療情報の各クライアント端末からの持ち出しや盗取を防ぐ手段として、それら医療施設の医師や研究者、従業者等のモラルに頼らざるを得ないことから、それら医療情報が医療施設の各クライアント端末から不正に持ち出される場合やそれら医療情報が外部に不用意に漏出する場合がある。クライアント端末から医療情報が外部に漏洩すると、患者名や病歴等を含む特定の患者のすべての医療情報が第３者に知られてしまう場合があり、特定個人の医療情報の保護を図ることができないのみならず、特定個人のプライバシーを保護することができない。
【０００６】
本発明の目的は、特定個人の医療情報の漏洩を防ぐことができ、特定個人の医療情報の保護を図ることができるとともに、特定個人のプライバシーを保護することができる医療情報管理システムを提供することにある。
【課題を解決するための手段】
【０００７】
前記課題を解決するための本発明に係る医療情報管理システムは、医療機関に設置された医療機関サーバと、医療機関とは別個独立に存在する第１業者に設置され、医療機関において収集された複数人の匿名医療データを保持する第１業者サーバと、医療機関および第１業者とは別個独立に存在する第２業者に設置され、複数人を個別に特定可能な個人属性データを保持する第２業者サーバとを含み、医療機関サーバが、匿名医療データを第１業者サーバから受信する匿名医療データ受信手段と、匿名医療データ受信手段によって受信した匿名医療データに対応する個人属性データを第２業者サーバから受信する個人属性データ受信手段と、第１業者サーバから受信した匿名医療データに第２業者サーバから受信した個人属性データを適用して特定個人の実名医療データを作成する実名医療データ作成手段と、作成した実名医療データを出力する実名医療データ出力手段とを有することを特徴とする。
【０００８】
本発明に係る医療情報管理システムの一例としては、医療機関サーバが別個独立に存在する複数の医療機関に設置された医療機関第１〜第ｎサーバを含み、医療機関第１〜第ｎサーバのうちの少なくとも１つが第１業者サーバから受信した匿名医療データを他の医療機関第１〜第ｎサーバに転送する匿名医療データ転送手段を有し、他の医療機関第１〜第ｎサーバが医療機関第１〜第ｎサーバのうちの少なくとも１つから転送された匿名医療データに対応する個人属性データを第２業者サーバから受信する個人属性データ受信手段を実行しつつ、医療機関第１〜第ｎサーバから転送された匿名医療データに第２業者サーバから受信した個人属性データを適用して特定個人の実名医療データを作成する実名医療データ作成手段を実行する。
【０００９】
本発明に係る医療情報管理システムの他の一例としては、第１業者サーバが別個独立に存在する複数の第１業者に設置された第１業者第１〜第ｎサーバを含み、医療機関サーバが匿名医療データを第１業者第１〜第ｎサーバのうちの少なくとも２つから受信する匿名医療データ受信手段を実行し、匿名医療データ受信手段によって受信した匿名医療データに対応する個人属性データを第２業者サーバから受信する個人属性データ受信手段を実行しつつ、第１業者第１〜第ｎサーバから受信した匿名医療データに第２業者サーバから受信した個人属性データを適当して特定個人の実名医療データを作成する実名医療データ作成手段を実行する。
【００１０】
本発明に係る医療情報管理システムの他の一例としては、第１業者サーバが、個人属性データにユニークな個人属性データ識別子を設定し、その個人属性データ識別子を複数人に個別に設定された個人特定識別子に関連付けた状態で保持する個人属性データ識別子保持手段と、個人属性データ識別子に関連付けた状態で匿名医療データを保持する匿名医療データ保持手段と、医療機関サーバが個人特定識別子を提示して匿名医療データの送信を要求したときに、提示された個人特定識別子に対応する個人属性データ識別子を特定しつつ、特定した個人属性データ識別子とその個人属性データ識別子に対応する匿名医療データとを医療機関サーバに送信する匿名医療データ送信手段とを有し、第２業者サーバが、個人属性データ識別子に関連付けた状態で個人属性データを保持する個人属性データ保持手段と、医療機関サーバが匿名医療データに対応する個人属性データ識別子を提示して個人属性データの送信を要求したときに、提示された個人属性データ識別子とその個人属性データ識別子に対応する個人属性データとを医療機関サーバに送信する個人属性データ送信手段とを有し、実名医療データ作成手段が、第１業者サーバから受信した個人属性データ識別子と第２業者サーバから受信した個人属性データ識別子とを比較しつつ、互いに一致する個人属性データ識別子に対応する個人属性データと匿名医療データとを組み合わせて実名医療データを作成する。
【００１１】
本発明に係る医療情報管理システムの他の一例としては、第１業者サーバが、複数人に個別に設定された個人特定識別子に関連付けた状態で匿名医療データを保持する匿名医療データ保持手段と、個人属性データの各属性項目にユニークな個人属性データ識別子を割り当て、各属性項目と割り当てた個人属性データ識別子とを個人特定識別子に関連付けた状態で保持する個人属性データ識別子保持手段と、割り当てた個人属性データ識別子と個人属性データおよび属性項目とを第２業者サーバに送信する個人属性データ送信手段と、医療機関サーバが個人特定識別子を提示して匿名医療データの送信を要求したときに、提示された個人特定識別子に対応する個人属性データ識別子を特定しつつ、特定した個人属性データ識別子とその個人属性データ識別子に対応する属性項目および匿名医療データとを医療機関サーバに送信する匿名医療データ送信手段とを有し、第２業者サーバが、属性項目毎に対応する個人属性データ識別子に関連付けた状態で個人属性データを保持する個人属性データ保持手段と、医療機関サーバが匿名医療データに対応する属性項目および個人属性データ識別子を提示して個人属性データの送信を要求したときに、提示された属性項目および個人属性データ識別子とその属性項目および個人属性データ識別子に対応する個人属性データとを医療機関サーバに送信する個人属性データ送信手段とを有し、実名医療データ作成手段が、第１業者サーバから受信した属性項目および個人属性データ識別子と第２業者サーバから受信した属性項目および個人属性データ識別子とを比較しつつ、互いに一致する属性項目および個人属性データ識別子に対応する個人属性データと匿名医療データとを組み合わせて実名医療データを作成する。
【発明の効果】
【００１２】
本発明の医療情報管理システムによれば、医療機関において収集された複数人の匿名医療データが第１業者サーバに保持され、複数人を個別に特定可能な個人属性データが第２業者サーバに保持されるから、匿名医療データと個人属性データとが別個独立の業者に分散して保管される。ゆえに、第１業者サーバから匿名医療データが不正に持ち出されたり、外部に不用意に漏出したとしても、その医療データにそれに対応する個人属性データが含まれておらず、匿名医療データの人物の実名や住所、電話番号等が判明することはなく、漏洩した匿名医療データから人物を特定することはできない。また、第２業者サーバから個人属性データが不正に持ち出されたり、外部に不用意に漏出したとしても、その個人属性データにそれに対応する医療データが含まれておらず、個人属性データから特定される人物の医療情報が判明することはなく、漏洩した個人属性データから医療情報を特定することはできない。医療情報管理システムは、医療情報の秘匿性を確保することができ、特定個人のプライバシーを保護することができるとともに、第１および第２業者において個人の医療情報という極めて機微な情報の漏洩にかかわる訴訟リスクを回避することができる。また、医療機関が保有する特定個人の医療情報を外部の第１および第２業者に安心して管理させることができる。医療情報管理システムは、医療機関サーバが第１業者サーバから受信した匿名医療データに第２業者サーバから受信した個人属性データを適用して特定個人の実名医療データを作成するから、医療機関において特定の人物の医療情報を確実に取得かつ確認することができる。
【００１３】
別個独立に存在する複数の第１〜第ｎ医療機関とそれら医療機関に設置された医療機関第１〜第ｎサーバとを含み、第１〜第ｎ医療機関のうちの少なくとも１つが第１業者サーバから受信した匿名医療データを他の第１〜第ｎ医療機関に転送する匿名医療データ転送手段を有する医療情報管理システムは、別の医療機関から特定個人の匿名医療データを取得した他の医療機関サーバがその医療データに個人属性データを適用して特定個人の実名医療データを作成することができ、患者を紹介された医療機関や患者の移動先の医療機関においてその患者の医療情報を確実に取得かつ確認することができる。医療情報管理システムは、第１業者サーバから匿名医療データが不正に持ち出されたり、外部に不用意に漏出したとしても、その医療データにそれに対応する個人属性データが含まれておらず、匿名医療データの人物の実名や住所、電話番号等が判明することはなく、漏洩した匿名医療データから人物を特定することはできない。また、第２業者サーバから個人属性データが不正に持ち出されたり、外部に不用意に漏出したとしても、その個人属性データにそれに対応する医療データが含まれておらず、個人属性データから特定される人物の医療情報が判明することはなく、漏洩した個人属性データから医療情報を特定することはできない。医療情報管理システムは、医療機関の間において匿名医療データが漏洩したとしても、漏洩した匿名医療データから人物を特定することはできないから、医療機関におけるデータ漏洩のリスクが低減されるとともに、データ漏洩のリスクが低減されることにともなって利便性の高いファイル転送手段によって医療機関の間で医療情報を交換することができる。医療情報管理システムは、医療情報の秘匿性を確保することができるとともに、特定個人のプライバシーを保護することができる。
【００１４】
第１業者サーバが別個独立に存在する複数の第１業者に設置された第１業者第１〜第ｎサーバを含み、医療機関サーバが匿名医療データを第１業者第１〜第ｎサーバのうちの少なくとも２つから受信する匿名医療データ受信手段を実行する医療情報管理システムは、匿名医療データを別個独立の第１業者第１〜第ｎサーバにおいて保持することで、匿名医療データが別々の第１業者に分散して保管される。ゆえに、第１業者サーバのいずれかから匿名医療データが不正に持ち出されたり、外部に不用意に漏出したとしても、匿名医療データのうちの一部のみが判明するだけであり、匿名医療データの全内容が判明するリスクを回避することができ、医療情報の秘匿性を確実に確保することができる。医療情報管理システムは、医療機関サーバが各第１業者第１〜第ｎサーバから受信した匿名医療データに第２業者サーバから受信した個人属性データを適用して特定個人の実名医療データを作成するから、医療機関において特定の人物の医療情報を確実に取得かつ確認することができる。
【００１５】
第１業者サーバが個人属性データにユニークな個人属性データ識別子を設定し、その個人属性データ識別子を複数人に個別に設定された個人特定識別子に関連付けた状態で保持する医療情報管理システムは、第１業者サーバにおいて個人属性データを個人属性データ識別子に置き換えて保管するから、第１業者サーバが個人属性データそのものを保持することはなく、第１業者サーバから匿名医療データが不正に持ち出されたり、外部に不用意に漏出したとしても、その医療データに対応する人物の個人属性データ識別子のみが判明するだけであり、匿名医療データの人物の実名や住所、電話番号等が判明することはなく、漏洩した匿名医療データから人物を特定することはできない。医療情報管理システムは、第１業者サーバから受信した個人属性データ識別子と第２業者サーバから受信した個人属性データ識別子とを比較しつつ、互いに一致する個人属性データ識別子に対応する個人属性データと匿名医療データとを組み合わせて実名医療データを作成するから、医療機関において特定個人の実名医療データを確実に作成することができ、医療機関において特定の人物の医療情報を確実に取得かつ確認することができる。
【００１６】
第１業者サーバが個人属性データの各属性項目にユニークな個人属性データ識別子を割り当て、各属性項目と割り当てた個人属性データ識別子とを個人特定識別子に関連付けた状態で保持するとともに、割り当てた個人属性データ識別子と個人属性データおよび属性項目とを第２業者サーバに送信し、第２業者サーバが属性項目毎に対応する個人属性データ識別子に関連付けた状態で個人属性データを保持する医療情報管理システムは、第１業者サーバにおいて個人属性データを各属性項目に割り当てた個人属性データ識別子として保持するから、第１業者サーバが個人属性データそのものを保持することはなく、第１業者サーバから匿名医療データが不正に持ち出されたり、外部に不用意に漏出したとしても、その医療データに対応する人物の個人属性データ識別子のみが判明するだけであり、匿名医療データの人物の実名や住所、電話番号等が判明することはなく、漏洩した匿名医療データから人物を特定することはできない。医療情報管理システムは、第１業者サーバが各属性項目と割り当てた個人属性データ識別子とを個人特定識別子に関連付けた状態で保持するから、各個人属性データの組み合わせ情報が第１業者サーバで管理されており、第２業者サーバにおいて個人情報を特定することもできない。医療情報管理システムは、第１業者サーバから受信した属性項目および個人属性データ識別子と第２業者サーバから受信した属性項目および個人属性データ識別子とを比較しつつ、互いに一致する属性項目および個人属性データ識別子に対応する個人属性データと匿名医療データとを組み合わせて実名医療データを作成するから、医療機関において特定個人の実名医療データを確実に作成することができ、医療機関において特定の人物の医療情報を確実に取得かつ確認することができる。
【図面の簡単な説明】
【００１７】
【図１】一例として示す医療情報管理システムの構成図。
【図２】各種医療情報の格納手順の一例を示す説明図。
【図３】第１事業会社第１サーバに格納された匿名医療データの一例を示す図。
【図４】第１事業会社第２サーバに格納された匿名医療データの一例を示す図。
【図５】第２事業会社サーバに格納された個人特的データの一例を示す図。
【図６】医療機関サーバにおいて患者の実名医療データを作成する手順の一例を示す図。
【図７】作成された実名医療データの一例を示す図。
【図８】医療機関サーバにおいて患者の実名医療データを作成する手順の他の一例を示す図。
【図９】医療機関サーバにおいて患者の実名医療データを作成する手順の他の一例を示す図。
【図１０】各種医療情報の格納手順の他の一例を示す説明図。
【図１１】第１事業会社第１サーバに格納された匿名医療データの他の一例を示す図。
【図１２】第２事業会社サーバに格納された個人属性データの他の一例を示す図。
【図１３】第１事業会社第１サーバに格納された匿名医療データの他の一例を示す図。
【図１４】第１事業会社第２サーバに格納された匿名医療データの他の一例を示す図。
【発明を実施するための形態】
【００１８】
一例として示す医療情報管理システムの構成図である図１等の添付の図面に基づいて、本発明に係る医療情報管理システムの詳細を説明すると、以下のとおりである。このシステム１０は、複数の患者（複数人）の各種医療情報を管理する。なお、各サーバ１２Ａ，１２Ｂ，１４Ａ，１４Ｂ，１６はインターネットを介してネットワークを形成しているが、インターネットの他に、ＶＰＮ（Ｖｉｒｔｕａｌ  Ｐｒｉｖａｔｅ  Ｎｅｔｗｏｒｋ）やインターネットＶＰＮを介してネットワークを形成していてもよい。
【００１９】
医療情報管理システム１０は、病院１１Ａ，１１Ｂ（医療機関）に設置された医療機関サーバ１２Ａ，１２Ｂ（医療機関第１サーバ〜医療機関第ｎサーバ）と、病院１１Ａ，１１Ｂとは別個独立に存在する第１事業会社１３Ａ，１３Ｂ（第１業者）に設置された第１事業会社サーバ１４Ａ，１４Ｂ（第１業者第１サーバ〜第１業者第ｎサーバ）と、病院１１Ａ，１１Ｂや第１事業会社１３Ａ，１３Ｂとは別個独立に存在する第２事業会社１５（第２業者）に設置された第２事業会社サーバ１６（第２業者サーバ）とから構成されている。
【００２０】
第１事業会社サーバ１４Ａ，１４Ｂには、匿名医療データが電子データとして格納される。匿名医療データには、過去から現在までの診療録（カルテ）や過去から現在までの診療記録、過去から現在までの接見記録、過去から現在までの問診記録等の患者に関するあらゆる医療情報が含まれるが、患者を特定する個人属性データは含まれない。
【００２１】
診療録には、年月日、処置や処方、所見、各種オーダ等が含まれ、診療記録には、年月日、画像診断機器によって撮影された画像やメモ、会計記録等が含まれる。接見記録や問診記録には、年月日や接見内容、問診内容等が含まれる。画像診断機器には、フィルムデジタイザやデジタルラジオグラフィ、デジタルフルオログラフィ、Ｘ線コンピュータ断層撮影装置、核医学診断装置、超音波診断装置、電子内視鏡、磁気共鳴イメージング装置等がある。
【００２２】
第２事業会社サーバ１６には、各患者を個別に特定するための個人属性データが電子データとして格納される。個人属性データには、患者の氏名、住所または居所、郵便番号、電話番号、携帯電話番号、電子メールアドレス、ＵＲＬ、生年月日、顔写真画像、血液型、本籍等の患者を特定可能な個人情報が含まれるが、第１事業会社サーバ１４Ａ，１４Ｂに格納される匿名医療データは含まれない。なお、個人属性データを例示のそれらに限定するものではなく、患者を特定可能なすべての個人情報が含まれる。
【００２３】
図１では、それぞれ別個独立に存在する２つの病院１１Ａ，１１Ｂを図示するとともに、それぞれ別個独立に存在する２つの第１事業会社１３Ａ，１３Ｂを図示しているが、このシステム１０を利用する病院や第１事業会社の数に特に限定はなく、このシステム１０に３つ以上の病院や第１事業会社が含まれていてもよい。病院１１Ａ，１１Ｂには、公立病院や私立病院、大学病院等のすべての種類のそれが含まれる。また、医療機関として病院１１Ａ，１１Ｂを例示しているが、医療機関には、病院１１Ａ，１１Ｂの他に、診療所、医学研究所、医科・歯科大学、看護学校、医科・歯科専門学校等の医療に関連するすべての機関が含まれる。
【００２４】
一方の病院１１Ａには、医療機関第１サーバ１２Ａが設置され、他方の病院１１Ｂには、医療機関第２サーバ１２Ｂが設置されている。別個独立に病院がそれぞれ第１〜第ｎ存在する場合、第１の病院には医療機関第１サーバが設置され、第２の病院〜第ｎの病院には医療機関第２サーバ〜医療機関第ｎサーバが設置される。なお、図１では１台の医療機関第１サーバ１２Ａと１台の医療機関第２サーバ１２Ｂとを図示しているが、実際には病院１１Ａに複数台の医療機関第１サーバ１２Ａが設置され、病院１１Ｂに複数台の医療機関第２サーバ１２Ｂが設置されている。
【００２５】
医療機関第１サーバ１２Ａと医療機関第２サーバ１２Ｂとは、中央処理部とメモリとを備えたコンピュータであり、大容量ハードディスクが搭載されている。それらサーバ１２Ａ，１２Ｂには、キーボード１７やマウス１８等の入力装置、ディスプレイ１９やプリンタ（図示せず）等の出力装置がインターフェイスを介して接続されている。
【００２６】
病院１１Ａ，１１Ｂを利用する各患者には、それら患者を特定する患者番号（個人特定識別子）が設定されている。患者番号には、各患者を個別に特定可能な保険証番号や暗証番号、ＩＤ番号、その他の識別符号を使用することができる。暗証番号やＩＤ番号、識別符号は、病院１１Ａ，１１Ｂを訪れた患者に病院１１Ａ，１１Ｂ側で予め設定し、それを患者に通知する場合、または、各患者が自ら決定し、決定した患者番号を病院１１Ａ，１１Ｂに申告する場合がある。
【００２７】
医療機関第１サーバ１２Ａおよび医療機関第２サーバ１２Ｂのハードディスクには、病院１１Ａ，１１Ｂを特定する病院識別番号（病院識別子）やその病院１１Ａ，１１Ｂの各部門（呼吸器内科、整形外科、脳外科、泌尿器科等）を特定する部門識別番号（部門識別子）が格納され、病院１１Ａ，１１Ｂの複数の患者（複数人）に個別に設定された患者番号が格納されている。
【００２８】
それらサーバ１２Ａ，１２Ｂのハードディスクでは、病院識別番号の直近下位に部門識別番号が階層状に連結され、部門識別番号の直近下位に患者番号が階層状に連結されている。それらサーバ１２Ａ，１２Ｂでは、特定の部門識別番号を指定することで、指定した部門をディスプレイ１９に表示させることができるとともに、その部門において特定の患者番号を指定することで、指定した患者番号の患者をディスプレイ１９に表示させる。
【００２９】
医療機関第１サーバ１２Ａと医療機関第２サーバ１２Ｂとは、ホスト名とそのホスト名に割り当てるＩＰアドレスとの対応付けを設定するＤＮＳサーバ機能、他のサーバからの要求を受け付けて各種情報を読み書きする機能を提供するデータベースサーバ機能、電子メールの送受信を可能にするメールサーバ機能、作成された文章や画像等の情報をすべて保存してそれらの情報を検索可能にするドキュメントサーバ機能を有する。
【００３０】
医療機関第１サーバ１２Ａと医療機関第２サーバ１２Ｂとは、ＤＮＳサーバ機能を介してインターネット２０に接続可能、かつ、第１事業会社サーバ１４Ａ，１４Ｂや第２事業会社サーバ１６にアクセス可能である。第１および第２サーバ１２Ａ，１２Ｂは、インターネット２０を介して第１事業会社サーバ１４Ａ，１４Ｂや第２事業会社サーバ１６へ所定のデータを送信可能かつそれらサーバ１４Ａ，１４Ｂ，１６から所定のデータを受信可能である。また、第１および第２サーバ１２Ａ，１２Ｂは、インターネット２０を介して一方のサーバ１２Ａ，１２Ｂから他方のサーバ１２Ａ，１２Ｂへ所定のデータを送信可能かつ一方のサーバ１２Ａ，１２Ｂが他方のサーバ１２Ａ，１２Ｂから所定のデータを受信可能である。
【００３１】
医療機関第１サーバ１２Ａと医療機関第２サーバ１２Ｂとは、オペレーティングシステムによる制御に基づいて、メモリの命令ファイルに格納された医療情報管理アプリケーションを起動し、そのアプリケーションに従って以下の各手段（各プロセス）を実行する。第１および第２サーバ１２Ａ，１２Ｂは、患者の各種医療情報（患者番号（個人特定識別子）を含む）を電子データとして第１事業会社サーバ１４Ａに送信する医療情報送信手段を実行する。患者の医療情報には、匿名医療データと個人属性データとが含まれる。医療情報送信手段は、患者の医療情報が更新される度毎に実行される。それらサーバ１２Ａ，１２Ｂでは、患者番号に対応する患者の氏名を検索することや患者の氏名に対応する患者番号を検索することができる。
【００３２】
医療機関第１サーバ１２Ａと医療機関第２サーバ１２Ｂとは、個人属性データ識別子と匿名医療データとを第１事業会社サーバ１４Ａ，１４Ｂから受信する匿名医療データ受信手段を実行し、匿名医療データ受信手段によって第１事業会社サーバ１４Ａ，１４Ｂから受信した個人属性データ識別子と匿名医療データとを他の医療機関サーバ１２Ａ，１２Ｂに転送する匿名医療データ転送手段を実行する。なお、匿名医療データ転送手段では、一方の医療機関サーバ１２Ａ，１２Ｂから他方の医療機関サーバ１２Ａ，１２Ｂに個人属性データ識別子と匿名医療データとを電子メールとして転送することの他、個人属性データ識別子と匿名医療データとを所定のメモリデバイス（ＵＳＢメモリやディスク等）に格納し、そのメモリデバイスを一方の医療機関１１Ａ，１１Ｂが他方の医療機関１１Ａ，１１Ｂに渡し、個人属性データ識別子や匿名医療データの転送を行うこともできる。
【００３３】
医療機関第１サーバ１２Ａと医療機関第２サーバ１２Ｂとは、匿名医療データ受信手段によって受信した匿名医療データに対応する個人属性データを第２事業会社サーバ１６から受信する個人属性データ受信手段を実行し、第１事業会社サーバ１４Ａ，１４Ｂから受信した匿名医療データに第２事業会社サーバ１６から受信した個人属性データを適用して特定個人の実名医療データを作成する実名医療データ作成手段を実行する。さらに、作成した実名医療データを出力装置を介して出力する実名医療データ出力手段を実行する。
【００３４】
第１事業会社１３Ａには、第１事業会社第１サーバ１４Ａが設置され、第１事業会社１３Ｂには、第１事業会社第２サーバ１４Ｂが設置されている。別個独立の第１事業会社が第１〜第ｎ社存在する場合、第１の第１事業会社には第１事業会社第１サーバが設置され、第２の第１事業会社〜第ｎの第１事業会社には第１事業会社第２サーバ〜第１事業会社第ｎサーバが設置される。なお、図１では１台の第１事業会社第１サーバ１４Ａと１台の第１事業会社第２サーバ１４Ｂとを図示しているが、実際には第１事業会社１３Ａに複数台の第１サーバ１４Ａが設置され、第１事業会社１３Ｂに複数台の第２サーバ１４Ｂが設置されている。
【００３５】
第１事業会社第１サーバ１４Ａと第１事業会社第２サーバ１４Ｂとは、中央処理部とメモリとを備えたコンピュータであり、大容量ハードディスクが搭載されている。サーバ１４Ａ，１４Ｂには、キーボード２１やマウス２２等の入力装置、ディスプレイ２３やプリンタ（図示せず）等の出力装置がインターフェイスを介して接続されている。第１および第２サーバ１４Ａ，１４Ｂは、ホスト名とそのホスト名に割り当てるＩＰアドレスとの対応付けを設定するＤＮＳサーバ機能、他のサーバからの要求を受け付けて各種情報を読み書きする機能を提供するデータベースサーバ機能、電子メールの送受信を可能にするメールサーバ機能、作成された文章や画像等の情報をすべて保存してそれらの情報を検索可能にするドキュメントサーバ機能を有する。
【００３６】
第１事業会社第１サーバ１４Ａと第１事業会社第２サーバ１４Ｂとは、ＤＮＳサーバ機能を介してインターネット２０に接続可能、かつ、医療機関サーバ１２Ａ，１２Ｂや第２事業会社サーバ１６にアクセス可能である。第１および第２サーバ１４Ａ，１４Ｂは、インターネット２０を介して医療機関サーバ１２Ａ，１２Ｂや第２事業会社サーバ１６へ所定のデータを送信可能かつそれらサーバ１２Ａ，１２Ｂ，１６から所定のデータを受信可能である。また、第１および第２サーバ１４Ａ，１４Ｂは、インターネット２０を介して一方のサーバ１４Ａ，１４Ｂから他方のサーバ１４Ａ，１４Ｂへ所定のデータを送信可能かつ一方のサーバ１４Ａ，１４Ｂが他方のサーバ１４Ａ，１４Ｂから所定のデータを受信可能である。
【００３７】
第１事業会社第１サーバ１４Ａと第１事業会社第２サーバ１４Ｂとは、オペレーティングシステムによる制御に基づいて、メモリの命令ファイルに格納された医療情報管理アプリケーションを起動し、そのアプリケーションに従って以下の各手段（各プロセス）を実行する。第１サーバ１４Ａは、医療機関サーバ１２Ａ，１２Ｂから送信された患者の各種医療情報を受信する医療情報受信手段を実行し、受信した医療情報を匿名医療データと個人属性データとに区分しつつ、各個人属性データにユニークな個人属性データ識別子を個別に設定する個人属性データ識別子設定手段を実行する。第１サーバ１４Ａは、それら個人属性データ識別子を各患者に個別に設定された患者番号に関連付けた状態で保持する個人属性データ識別子保持手段を実行し、個人属性データ識別子に関連付けた状態で匿名医療データの一部を保持する匿名医療データ保持手段を実行する。
【００３８】
第１事業会社第１サーバ１４Ａは、匿名医療データの一部と個人属性データ識別子（患者番号を含む）とを第１事業会社第２サーバ１４Ｂに送信する医療情報送信手段を実行する。第１事業会社第２サーバ１４Ｂは、第１サーバ１４Ａから送信された匿名医療データと個人属性データ識別子（患者番号を含む）とを受信する医療情報受信手段を実行する。第２サーバ１４Ｂは、それら個人属性データ識別子を各患者に個別に設定された患者番号に関連付けた状態で保持する個人属性データ識別子保持手段を実行し、個人属性データ識別子に関連付けた状態で匿名医療データの一部を保持する匿名医療データ保持手段を実行する。
【００３９】
第１事業会社第１サーバ１４Ａは、個人属性データとそれに設定した個人属性データ識別子とを第２事業会社サーバ１６に送信する個人属性データ送信手段を実行する。ゆえに、第１および第２サーバ１４Ａ，１４Ｂのハードディスクに患者の個人属性データが保持されることはない（個人属性データが格納されることはない）。このシステム１０においてそれらサーバ１４Ａ，１４Ｂ単独では、個人属性データ識別子とそれに関連付けられた匿名医療データとを検索することはできるが、個人属性データを検索することはできない。
【００４０】
第１事業会社第１サーバ１４Ａと第１事業会社第２サーバ１４Ｂとは、医療機関サーバ１２Ａ，１２Ｂがそれらサーバ１４Ａ，１４Ｂにアクセスしたときに、医療機関サーバ１２Ａ，１２Ｂに認証手続を要求する認証手続要求手段を実行する。第１および第２サーバ１４Ａ，１４Ｂは、医療機関サーバ１２Ａ，１２Ｂが認証手続を行った後、医療機関サーバ１２Ａ，１２Ｂが患者の患者番号を提示して匿名医療データの送信を要求すると、提示された患者番号に対応する個人属性データ識別子を特定しつつ、特定した個人属性データ識別子とその個人属性データ識別子に対応する匿名医療データとを医療機関サーバ１２Ａ，１２Ｂに送信する匿名医療データ送信手段を実行する。
【００４１】
第２事業会社サーバ１６は、中央処理部とメモリとを備えたコンピュータであり、大容量ハードディスクが搭載されている。サーバ１６には、キーボード２４やマウス２５等の入力装置、ディスプレイ２６やプリンタ（図示せず）等の出力装置がインターフェイスを介して接続されている。サーバ１６は、ホスト名とそのホスト名に割り当てるＩＰアドレスとの対応付けを設定するＤＮＳサーバ機能、他のサーバからの要求を受け付けて各種情報を読み書きする機能を提供するデータベースサーバ機能、電子メールの送受信を可能にするメールサーバ機能、作成された文章や画像等の情報をすべて保存してそれらの情報を検索可能にするドキュメントサーバ機能を有する。
【００４２】
第２事業会社サーバ１６は、ＤＮＳサーバ機能を介してインターネット２０に接続可能、かつ、医療機関サーバ１２Ａ，１２Ｂや第１事業会社サーバ１４Ａ，１４Ｂにアクセス可能である。サーバ１６は、インターネット２０を介して医療機関サーバ１２Ａ，１２Ｂや第１事業会社サーバ１４Ａ，１４Ｂへ所定のデータを送信可能かつそれらサーバ１２Ａ，１２Ｂ，１４Ａ，１４Ｂから所定のデータを受信可能である。なお、図１では１台の第２事業会社サーバ１６を図示しているが、実際には第２事業会社１５に複数台の第２事業会社サーバ１６が設置されている。
【００４３】
第２事業会社サーバ１６は、オペレーティングシステムによる制御に基づいて、メモリの命令ファイルに格納された医療情報管理アプリケーションを起動し、そのアプリケーションに従って以下の各手段（各プロセス）を実行する。サーバ１６は、第１事業会社第１サーバ１４Ａから送信された個人属性データとそれに設定された個人属性データ識別子とを受信する個人属性データ受信手段を実行する。第２事業会社サーバ１６には匿名医療データは送信されない。
【００４４】
第２事業会社サーバ１６は、受信した個人属性データを個人属性データ識別子に関連付けた状態で保持する個人属性データ保持手段を実行する。ゆえに、サーバ１６のハードディスクには個人属性データ識別子および個人属性データのみが保持され、患者の匿名医療データが保持されることはない（匿名医療データが格納されることはない）。このシステム１０においてサーバ１６単独では、個人属性データ識別子とそれに関連付けられた個人属性データとを検索することはできるが、匿名医療データを検索することはできない。
【００４５】
第２事業会社サーバ１６は、医療機関サーバ１２Ａ，１２Ｂがサーバ１６にアクセスしたときに、医療機関サーバ１２Ａ，１２Ｂに認証手続を要求する認証手続要求手段を実行する。さらに、医療機関サーバ１２Ａ，１２Ｂが認証手続を行った後に、医療機関サーバ１２Ａ，１２Ｂが匿名医療データに対応する個人属性データ識別子を提示して個人属性データの送信を要求すると、提示された個人属性データ識別子とその個人属性データ識別子に対応する個人属性データとを医療機関サーバ１２Ａ，１２Ｂに送信する個人属性データ送信手段を実行する。
【００４６】
図２は、各種医療情報の格納手順の一例を示す説明図であり、図３は、第１事業会社第１サーバ１４Ａに格納された匿名医療データの一例を示す図である。図４は、第１事業会社第２サーバ１４Ｂに格納された匿名医療データの一例を示す図であり、図５は、第２事業会社サーバ１６に格納された個人属性データの一例を示す図である。図２では、医療機関第１サーバ１２Ａから医療情報が送信される場合を示す。なお、医療機関第２サーバ１２Ｂから医療情報が送信されてもよく、第１および第２サーバ１２Ａ，１２Ｂの両者から医療情報が送信されてもよい。
【００４７】
匿名医療データと個人属性データとから形成される医療情報は、病院１１Ａにおいて個別に収集され、病院１１Ａの医療機関サーバ１２Ａのハードディスクに一時保管された後、電子データとして第１事業会社１３Ａ，１３Ｂの第１事業会社第１サーバ１４Ａと第１事業会社第２サーバ１４Ｂとに送信される。医療機関第１サーバ１２Ａは、インターネット２０に接続した後、第１事業会社第１サーバ１４Ａにアクセスし、患者番号と個人属性データと過去から現在までの匿名医療データと（医療情報）を第１サーバ１４Ａに送信する（医療情報送信手段）。
【００４８】
第１事業会社第１サーバ１４Ａは、医療機関第１サーバ１２Ａから送信された医療情報（患者番号、診療録、診療記録、接見記録、問診記録、個人属性データ）を受信し（医療情報受信手段）、受信した医療情報を匿名医療データと個人属性データとに区分しつつ、各個人属性データにユニークな個人属性データ識別子を個別に設定する（個人属性データ識別子設定手段）。第１サーバ１４Ａは、それら個人属性データ識別子を各患者に個別に設定された患者番号に関連付けた状態で保持する（個人属性データ識別子保持手段）。さらに、匿名医療データのうち、過去から現在までの診療録のみを抽出し、抽出した診療録を個人属性データ識別子に関連付けた状態で保持する（匿名医療データ保持手段）。第１サーバ１４Ａは、匿名医療データのうち、診療録のみを保持し、診療記録や接見記録、問診記録は保持しない。
【００４９】
第１事業会社第１サーバ１４Ａのハードディスクには、図３に示すように、患者番号に関連付けられた個人属性データ識別子、個人属性データ識別子に関連付けられた年月日、個人属性データ識別子に関連付けられた処置、個人属性データ識別子に関連付けられた処方、個人属性データ識別子に関連付けられた所見、個人属性データ識別子に関連付けられたオーダが格納されている。なお、第１サーバ１４Ａは、個人属性データを第２事業会社サーバ１６に送信した後、その個人属性データをハードディスクから消去する。
【００５０】
第１事業会社第１サーバ１４Ａは、インターネット２０に接続した後、第２事業会社サーバ１６と第１事業会社第２サーバ１４Ｂとにアクセスし、個人属性データとそれに設定した個人属性データ識別子とを第２事業会社サーバ１６に送信する（個人属性データ送信手段）。第１サーバ１４Ａは、個人属性データに設定した個人属性データ識別子（患者番号を含む）を第１事業会社第２サーバ１４Ｂに送信するとともに、匿名医療データのうち、過去から現在までの診療記録や接見記録、問診記録を第２サーバ１４Ｂに送信する（医療情報送信手段）。
【００５１】
第１事業会社第２サーバ１４Ｂは、第１事業会社第１サーバ１４Ａから送信された医療情報（患者番号、個人属性データ識別子、診療記録、接見記録、問診記録）を受信する（医療情報受信手段）。第２サーバ１４Ｂは、それら個人属性データ識別子を各患者に個別に設定された患者番号に関連付けた状態で保持し（個人属性データ識別子保持手段）、個人属性データ識別子に関連付けた状態で過去から現在までの診療記録、接見記録、問診記録を保持する（匿名医療データ保持手段）。
【００５２】
第１事業会社第２サーバ１４Ｂのハードディスクには、図４に示すように、患者番号に関連付けられた個人属性データ識別子、個人属性データ識別子に関連付けられた診療記録、個人属性データ識別子に関連付けられた接見記録、個人属性データ識別子に関連付けられた問診記録が格納されている。さらに、診療記録として、個人属性データ識別子に関連付けられた年月日、個人属性データ識別子に関連付けられた撮影画像、個人属性データ識別子に関連付けられたメモ、個人属性データ識別子に関連付けられた会計記録が格納されている。
【００５３】
第１事業会社第２サーバ１４Ｂのハードディスクには、接見記録として、個人属性データ識別子に関連付けられた年月日、個人属性データ識別子に関連付けられた内容が格納されている。問診記録として、個人属性データ識別子に関連付けられた年月日、個人属性データ識別子に関連付けられた内容が格納されている。なお、図示はしていないが、第１事業会社が１社のみであって、その第１事業会社のサーバに匿名医療データを格納する場合は、そのサーバのハードディスクに図３，４に示す匿名医療データが纏めて格納される。
【００５４】
第２事業会社サーバ１６は、第１事業会社第１サーバ１４Ａから送信された個人属性データとそれに設定された個人属性データ識別子とを受信する（個人属性データ受信手段）。第２事業会社サーバ１６は、受信した個人属性データを個人属性データ識別子に関連付けた状態で保持する（個人属性データ保持手段）。
【００５５】
第２事業会社サーバ１６のハードディスクには、図５に示すように、個人属性データ識別子に関連付けられた氏名、個人属性データ識別子に関連付けられた住所、個人属性データ識別子に関連付けられた郵便番号、個人属性データ識別子に関連付けられた電話番号、個人属性データ識別子に関連付けられた携帯電話番号、個人属性データ識別子に関連付けられた電子メールアドレス、個人属性データ識別子に関連付けられたＵＲＬ、個人属性データ識別子に関連付けられた生年月日、個人属性データ識別子に関連付けられた顔写真画像、個人属性データ識別子に関連付けられた血液型、個人属性データ識別子に関連付けられた本籍が格納されている。
【００５６】
図６は、医療機関サーバ１２Ａにおいて患者の実名医療データを作成する手順の一例を示す図であり、図７は、作成された実名医療データの一例を示す図である。図６は、第１事業会社が１社のみの場合の例を示し、医療機関第１サーバ１２Ａが実名医療データを作成する場合を示す。この場合、第１事業会社第１サーバ１４Ａのハードディスクには、図３，４に示す匿名医療データが纏めて格納され、第２事業会社サーバ１６のハードディスクには、図５に示す個人属性データが格納されている。図７では、各実名医療データの内容の具体的な記載を省略している。なお、図６と同様の手順によって医療機関第２サーバ１２Ｂが実名医療データを作成することもできる。
【００５７】
所定の患者の実名医療データを作成する場合、医療機関第１サーバ１１Ａは、インターネット２０に接続し、第１事業会社第１サーバ１４ＡのＵＲＬを使用してサーバ１４Ａにアクセスするとともに、第２事業会社サーバ１６のＵＲＬを使用してサーバ１６にアクセスする。医療機関第１サーバ１２Ａが第１事業会社第１サーバ１４Ａにアクセスすると、第１事業会社第１サーバ１４Ａは、医療機関第１サーバ１２Ａに認証手続きを要求し、図６に矢印１で示すように、サーバ１２Ａの正当性を判断する認証手続を行う（認証手続要求手段）。
【００５８】
認証手続では、医療機関第１サーバ１２Ａに接続されたディスプレイ１９に認証画面が表示され、認証画面においてユーザ名やパスワード、アカウントの入力を求める。それらが入力された後、第１事業会社第１サーバ１４Ａは、入力されたユーザ名やパスワード、アカウントをメモリに格納されたそれらと比較し、それらの正誤を判断する。ユーザ名やパスワード、アカウントが正しく認証結果が正当である場合、サーバ１４Ａからサーバ１２Ａへ図３，４の匿名医療データのダウンロードが可能となり、サーバ１４Ａとサーバ１２Ａとの間で匿名医療データのダウンロード処理が行われる。
【００５９】
逆に、認証結果が不当である場合、認証不可メッセージが医療機関第１サーバ１２Ａのディスプレイ１９に表示され、匿名医療データのサーバ１４Ａからサーバ１２Ａへのダウンロードを行うことができない。認証手続における認証方式は、パスワード認証であるが、パスワード認証の他に、指紋認証や声紋認証、網膜認証、ＩＣカード認証を行うこともできる。なお、パスワード認証としては、ワンタイムパスワードを採用することもできる。また、外部認証と内部認証とを要する相互認証を行うこともできる。
【００６０】
医療機関第１サーバ１２Ａが第２事業会社サーバ１６にアクセスすると、第２事業会社サーバ１６は、医療機関第１サーバ１２Ａに認証手続きを要求し、図６に矢印２で示すように、サーバ１２Ａの正当性を判断する認証手続を行う（認証手続要求手段）。認証手続では、サーバ１２Ａに接続されたディスプレイ１９に認証画面が表示され、認証画面においてユーザ名やパスワード、アカウントの入力を求める。それらが入力された後、サーバ１６は、入力されたユーザ名やパスワード、アカウントをメモリに格納されたそれらと比較し、それらの正誤を判断する。ユーザ名やパスワード、アカウントが正しく認証結果が正当である場合、サーバ１６からサーバ１２Ａへ図５の個人属性データのダウンロードが可能となり、サーバ１６とサーバ１２Ａとの間で個人属性データのダウンロード処理が行われる。逆に、認証結果が不当である場合、認証不可メッセージが医療機関第１サーバ１２Ａのディスプレイ１９に表示され、個人属性データのサーバ１６からサーバ１２Ａへのダウンロードを行うことができない。
【００６１】
匿名医療データのダウンロードが可能となった後、医療機関第１サーバ１２Ａは、図６に矢印３で示すように、所定の患者の患者番号を提示（患者番号を送信）して匿名医療データの送信を第１事業会社第１サーバ１４Ａに要求する。医療機関第１サーバ１２Ａが患者の患者番号を提示して匿名医療データの送信を要求すると、第１事業会社第１サーバ１４Ａは、提示された患者番号とハードディスクに格納された患者番号とを照合し、その患者番号に対応する個人属性データ識別子を特定する。
【００６２】
次に、第１事業会社第１サーバ１４Ａは、特定した個人属性データ識別子とその個人属性データ識別子に対応する過去から現在までの匿名医療データ（診療録、診療記録、接見記録、問診記録）とをハードディスクから抽出し、抽出した個人属性データ識別子と匿名医療データとを医療機関第１サーバ１２Ａに送信する（匿名医療データ送信手段）。医療機関第１サーバ１２Ａは、図６に矢印４で示すように、個人属性データ識別子と過去から現在までの匿名医療データとを第１事業会社第１サーバ１４Ａから受信する（匿名医療データ受信手段）。
【００６３】
個人属性データのダウンロードが可能となった後、医療機関第１サーバ１２Ａは、図６に矢印５で示すように、第１事業会社第１サーバ１４Ａから受信した匿名医療データに対応する個人属性データ識別子を提示（個人属性データ識別子を送信）して個人属性データの送信を第２事業会社サーバ１６に要求する。医療機関第１サーバ１２Ａが匿名医療データに対応する個人属性データ識別子を提示して個人属性データの送信を要求すると、第２事業会社サーバ１６は、提示された個人属性データ識別子とその個人属性データ識別子に対応する個人属性データとを医療機関第１サーバ１２Ａに送信する（個人属性データ送信手段）。
【００６４】
医療機関第１サーバ１２Ａは、図６に矢印６で示すように、個人属性データ識別子と個人属性データとを第２事業会社サーバ１６から受信する（個人属性データ受信手段）。医療機関第１サーバ１２Ａは、第１事業会社第１サーバ１４Ａから受信した匿名医療データに第２事業会社サーバ１６から受信した個人属性データを適用して特定個人の実名医療データを作成する（実名医療データ作成手段）。
【００６５】
具体的には、第１事業会社第１サーバ１４Ａから受信した個人属性データ識別子と第２事業会社サーバ１６から受信した個人属性データ識別子とを比較し、互いに一致する個人属性データ識別子に対応する個人属性データと匿名医療データとを組み合わせて実名医療データを作成する。医療機関第１サーバ１２Ａは、作成した実名医療データをディスプレイ１９に表示し（実名医療データ出力手段）、実名医療データをプリンタを介して出力する（実名医療データ出力手段）。
【００６６】
作成された実名医療データでは、図７に示すように、個人属性データ表示エリア２７に個人属性データが表示され、顔写真画像表示エリア２８に顔写真画像が表示される。さらに、診療録表示エリア２９（カルテ表示エリア）に診療録（医療データ）が表示され、診療記録表示エリア３０に診療記録（医療データ）が表示される。接見記録表示エリア３１に接見記録（医療データ）が表示され、問診記録表示エリア３２に問診記録（医療データ）が表示される。
【００６７】
個人属性データ表示エリア２７では、病院名表示エリアに病院名、部門名表示エリアに部門名、氏名表示エリアに患者の氏名、住所表示エリアに住所、郵便番号表示エリアに郵便番号、電話番号表示エリアに電話番号、携帯電話番号表示エリアに携帯電話番号、電子メールアドレス表示エリアに電子メールアドレス、ＵＲＬ表示エリアにＵＲＬ、生年月日表示エリアに生年月日、血液型表示エリアに血液型、本籍表示エリアに本籍が表示される。
【００６８】
診療録表示エリア２９には、年月日、処理、処方、所見、オーダ等が表示され、診療記録表示エリア３０には、年月日、撮影画像、メモ、会計等が表示される。接見記録表示エリア３１には、年月日、内容等が表示され、問診記録表示エリア３２には、年月日、内容等が表示される。診療録表示エリア２９の年月日表示エリアに表示されたプルダウンリストをクリックし、年月日を指定することによって、現在の診療録のみならず、過去のいずれかの日付や過去の所定期間における診療録を表示させることもでき、全期間表示をクリックすることによって、過去から現在までのすべての診療録を表示させることもできる。
【００６９】
診療記録表示エリア３０の年月日表示エリアに表示されたプルダウンリストをクリックし、年月日を指定することによって、現在の診療記録のみならず、過去の診療記録を表示させることもできる。また、撮影画像表示エリアに表示された撮影画像をクリックすることによって、その撮影画像の拡大画像を表示させることができ、撮影画像表示エリアに表示されたプルダウンリストをクリックすることによってすべての撮影画像を表示させることができる。接見記録表示エリア３１の年月日表示エリアに表示されたプルダウンリストをクリックし、年月日を指定することによって、現在の接見記録のみならず、過去の接見記録を表示させることもできる。問診記録表示エリア３２の年月日表示エリアに表示されたプルダウンリストをクリックし、年月日を指定することによって、現在の問診記録のみならず、過去の問診記録を表示させることもできる。
【００７０】
図６の医療情報管理システム１０は、病院１１Ａにおいて収集された複数人の匿名医療データが第１事業会社第１サーバ１４Ａに保持され、複数人を個別に特定可能な個人属性データが第２事業会社サーバ１６に保持されるから、匿名医療データと個人属性データとが別個独立の事業会社１３Ａ，１５に分散して保管される。ゆえに、第１事業会社第１サーバ１４Ａから匿名医療データが不正に持ち出されたり、外部に不用意に漏出したとしても、その医療データにそれに対応する個人属性データが含まれておらず、匿名医療データの人物の実名や住所、電話番号等の個人情報が判明することはなく、漏洩した匿名医療データから人物を特定することはできない。また、第２事業会社サーバ１６から個人属性データが不正に持ち出されたり、外部に不用意に漏出したとしても、その個人属性データにそれに対応する医療データが含まれておらず、個人属性データから特定される人物の医療情報が判明することはなく、漏洩した個人属性データから医療情報を特定することはできない。
【００７１】
この医療情報管理システム１０は、医療情報の秘匿性を確保することができるとともに、特定個人のプライバシーを保護することができる。医療情報管理システム１０は、医療機関第１サーバ１２Ａが第１事業会社第１サーバ１４Ａから受信した匿名医療データに第２事業会社サーバ１６から受信した個人属性データを適用して特定個人の実名医療データを作成するから、病院１１Ａにおいて特定の人物の医療情報を確実に取得かつ確認することができる。
【００７２】
図８は、医療機関サーバ１２Ａにおいて患者の実名医療データを作成する手順の他の一例を示す図である。図８は、第１事業会社が２社（第１事業会社サーバが２つ）の場合の例を示す。この場合、第１事業会社第１サーバ１４Ａのハードディスクには、図３に示す匿名医療データが格納され、第１事業会社第２サーバ１４Ｂのハードディスクには、図４に示す匿名医療データが格納されている。また、第２事業会社サーバ１６のハードディスクには、図５に示す個人属性データが格納されている。なお、別個独立の３つ以上の第１事業会社サーバの存在下においてこの医療情報管理システム１０を実施することもでき、図８と同様の手順によって医療機関第２サーバ１２Ｂが実名医療データを作成することもできる。
【００７３】
所定の患者の実名医療データを作成する場合、医療機関第１サーバ１２Ａは、インターネット２０に接続し、第１事業会社第１サーバ１４ＡのＵＲＬを使用してサーバ１４Ａにアクセスし、第１事業会社第２サーバ１４ＢのＵＲＬを使用してサーバ１４Ｂにアクセスするとともに、第２事業会社サーバ１６のＵＲＬを使用してサーバ１６にアクセスする。
【００７４】
医療機関第１サーバ１２Ａが第１事業会社第１サーバ１４Ａにアクセスすると、第１サーバ１４Ａは、第１サーバ１２Ａに認証手続きを要求し、図８に矢印１で示すように、サーバ１２Ａの正当性を判断する認証手続を行う（認証手続要求手段）。認証手続は図６のそれと同一であるから、図６のそれを援用し、その説明は省略する。
【００７５】
認証結果が正当である場合、第１事業会社第１サーバ１４Ａから医療機関第１サーバ１２Ａへ図３の匿名医療データのダウンロードが可能となり、サーバ１４Ａとサーバ１２Ａとの間で匿名医療データのダウンロード処理が行われる。逆に、認証結果が不当である場合、認証不可メッセージがサーバ１２Ａのディスプレイ１９に表示され、匿名医療データのサーバ１４Ａからサーバ１２Ａへのダウンロードを行うことができない。
【００７６】
医療機関第１サーバ１２Ａが第１事業会社第２サーバ１４Ｂにアクセスすると、第２サーバ１４Ｂは、第１サーバ１２Ａに認証手続きを要求し、図８に矢印２で示すように、サーバ１２Ａの正当性を判断する認証手続を行う（認証手続要求手段）。認証手続は図６のそれと同一であるから、図６のそれを援用し、その説明は省略する。
【００７７】
認証結果が正当である場合、第１事業会社第２サーバ１４Ｂから医療機関第１サーバ１２Ａへ図４の匿名医療データのダウンロードが可能となり、サーバ１４Ｂとサーバ１２Ａとの間で匿名医療データのダウンロード処理が行われる。逆に、認証結果が不当である場合、認証不可メッセージがサーバ１２Ａのディスプレイ１９に表示され、匿名医療データのサーバ１４Ｂからサーバ１２Ａへのダウンロードを行うことができない。
【００７８】
医療機関第１サーバ１２Ａが第２事業会社サーバ１６にアクセスすると、サーバ１６は、第１サーバ１２Ａに認証手続きを要求し、図８に矢印３で示すように、サーバ１２Ａの正当性を判断する認証手続を行う（認証手続要求手段）。認証手続は図６のそれと同一であるから、図６のそれを援用し、その説明は省略する。
【００７９】
認証結果が正当である場合、第２事業会社サーバ１６から医療機関第１サーバ１２Ａへ図５の個人属性データのダウンロードが可能となり、サーバ１６とサーバ１２Ａとの間で個人属性データのダウンロード処理が行われる。逆に、認証結果が不当である場合、認証不可メッセージがサーバ１２Ａのディスプレイ１９に表示され、個人属性データのサーバ１６からサーバ１２Ａへのダウンロードを行うことができない。
【００８０】
匿名医療データのダウンロードが可能となった後、医療機関第１サーバ１２Ａは、図８に矢印４で示すように、所定の患者の患者番号を提示（患者番号を送信）して匿名医療データの送信を第１事業会社第１サーバ１４Ａに要求する。医療機関第１サーバ１２Ａが患者の患者番号を提示して匿名医療データの送信を要求すると、第１事業会社第１サーバ１４Ａは、提示された患者番号とハードディスクに格納された患者番号とを照合し、その患者番号に対応する個人属性データ識別子を特定する。
【００８１】
次に、第１事業会社第１サーバ１４Ａは、特定した個人属性データ識別子とその個人属性データ識別子に対応する過去から現在までの匿名医療データ（診療録）とをハードディスクから抽出し、抽出した個人属性データ識別子と匿名医療データとを医療機関第１サーバ１２Ａに送信する（匿名医療データ送信手段）。医療機関第１サーバ１２Ａは、図８に矢印５で示すように、個人属性データ識別子と過去から現在までの匿名医療データとを第１事業会社第１サーバ１４Ａから受信する（匿名医療データ受信手段）。
【００８２】
匿名医療データのダウンロードが可能となった後であって、第１事業会社第１サーバ１４Ａから個人属性データ識別子と匿名医療データとを受信した後、医療機関第１サーバ１２Ａは、図８に矢印６で示すように、受信した個人属性データ識別子を提示（個人属性データ識別子を送信）して匿名医療データの送信を第１事業会社第２サーバ１４Ｂに要求する。
【００８３】
医療機関第１サーバ１２Ａが個人属性データ識別子を提示して匿名医療データの送信を要求すると、第１事業会社第２サーバ１４Ｂは、その個人属性データ識別子に対応する過去から現在までの匿名医療データ（診療記録、接見記録、問診記録）をハードディスクから抽出し、個人属性データ識別子と抽出した匿名医療データとを医療機関第１サーバ１２Ａに送信する（匿名医療データ送信手段）。医療機関第１サーバ１２Ａは、図８に矢印７で示すように、個人属性データ識別子と過去から現在までの匿名医療データとを第１事業会社第２サーバ１４Ｂから受信する（匿名医療データ受信手段）。
【００８４】
個人属性データのダウンロードが可能となった後、医療機関第１サーバ１２Ａは、図８に矢印８で示すように、第１事業会社第１サーバ１４Ａまたは第１事業会社第２サーバ１４Ｂから受信した匿名医療データに対応する個人属性データ識別子を提示（個人属性データ識別子を送信）して個人属性データの送信を第２事業会社サーバ１６に要求する。医療機関第１サーバ１２Ａが匿名医療データに対応する個人属性データ識別子を提示して個人属性データの送信を要求すると、第２事業会社サーバ１６は、図８に矢印９で示すように、提示された個人属性データ識別子とその個人属性データ識別子に対応する個人属性データとを医療機関第１サーバ１２Ａに送信する（個人属性データ送信手段）。
【００８５】
医療機関第１サーバ１２Ａは、個人属性データ識別子と個人属性データとを第２事業会社サーバ１６から受信する（個人属性データ受信手段）。医療機関第１サーバ１２Ａは、第１事業会社第１サーバ１４Ａおよび第１事業会社第２サーバ１４Ｂから受信した匿名医療データに第２事業会社サーバ１６から受信した個人属性データを適用して特定個人の実名医療データを作成する（実名医療データ作成手段）。
【００８６】
具体的には、第１事業会社第１サーバ１４Ａおよび第１事業会社第２サーバ１４Ｂから受信した個人属性データ識別子と第２事業会社サーバ１６から受信した個人属性データ識別子とを比較し、互いに一致する個人属性データ識別子に対応する個人属性データと匿名医療データとを組み合わせて実名医療データを作成する。医療機関第１サーバ１２Ａは、作成した実名医療データをディスプレイ１９に表示し（実名医療データ出力手段）、実名医療データをプリンタを介して出力する（実名医療データ出力手段）。図７を援用することで、作成された実名医療データの説明は省略する。
【００８７】
図８の医療情報管理システム１０は、匿名医療データを別個独立の第１事業会社第１サーバ１４Ａと第１事業会社第２サーバ１４Ｂとにおいて保持することで、匿名医療データが別々の第１事業会社１３Ａ，１３Ｂに分散して保管される。ゆえに、第１事業会社第１サーバ１４Ａと第１事業会社第２サーバ１４Ｂとのいずれかから匿名医療データが不正に持ち出されたり、外部に不用意に漏出したとしても、匿名医療データのうちの一部のみが判明するだけであり、匿名医療データの全内容が判明するリスクを回避することができる。また、第２事業会社サーバ１６から個人属性データが不正に持ち出されたり、外部に不用意に漏出したとしても、その個人属性データにそれに対応する医療データが含まれておらず、個人属性データから特定される人物の医療情報が判明することはなく、漏洩した個人属性データから医療情報を特定することはできない。
【００８８】
この医療情報管理システム１０は、医療情報の秘匿性を確保することができるとともに、特定個人のプライバシーを保護することができる。医療情報管理システム１０は、医療機関第１サーバ１２Ａが第１事業会社第１サーバ１４Ａや第１事業会社第２サーバ１４Ｂから受信した匿名医療データに第２事業会社サーバ１６から受信した個人属性データを適用して特定個人の実名医療データを作成するから、病院１１Ａにおいて特定の人物の医療情報を確実に取得かつ確認することができる。
【００８９】
図９は、医療機関サーバ１２Ｂにおいて患者の実名医療データを作成する手順の他の一例を示す図である。図９は、病院が２つ（医療機関サーバが２つ）の場合の例を示し、病院１１Ａから病院１１Ｂに匿名医療データを転送する例を示す。この場合、第１事業会社第１サーバ１４Ａのハードディスクには、図３，４に示す匿名医療データが纏めて格納され、第２事業会社サーバ１６のハードディスクには、図５に示す個人属性データが格納されている。なお、別個独立の３つ以上の医療機関サーバの存在下においてこの医療情報管理システム１０を実施することもできる。最初に、医療機関第１サーバ１２Ａは、インターネット２０に接続し、第１事業会社第１サーバ１４ＡのＵＲＬを使用してサーバ１４Ａにアクセスする。
【００９０】
医療機関第１サーバ１２Ａが第１事業会社第１サーバ１４Ａにアクセスすると、第１事業会社第１サーバ１４Ａは、医療機関第１サーバ１２Ａに認証手続きを要求し、図９に矢印１で示すように、サーバ１２Ａの正当性を判断する認証手続を行う（認証手続要求手段）。認証手続は図６のそれと同一であるから、図６のそれを援用し、その説明は省略する。
【００９１】
認証結果が正当である場合、第１事業会社第１サーバ１４Ａから医療機関第１サーバ１２Ａへ図３，４の匿名医療データのダウンロードが可能となり、サーバ１４Ａとサーバ１２Ａとの間で匿名医療データのダウンロード処理が行われる。逆に、認証結果が不当である場合、認証不可メッセージがサーバ１２Ａのディスプレイ１９に表示され、匿名医療データのサーバ１４Ａからサーバ１２Ａへのダウンロードを行うことができない。
【００９２】
匿名医療データのダウンロードが可能となった後、医療機関第１サーバ１２Ａは、図９に矢印２で示すように、所定の患者の患者番号を提示（患者番号を入力）して匿名医療データの送信を第１事業会社第１サーバ１４Ａに要求する。医療機関第１サーバ１２Ａが患者の患者番号を提示して匿名医療データの送信を要求すると、第１事業会社第１サーバ１４Ａは、提示された患者番号とハードディスクに格納された患者番号とを照合し、その患者番号に対応する個人属性データ識別子を特定する。
【００９３】
次に、第１事業会社第１サーバ１４Ａは、特定した個人属性データ識別子とその個人属性データ識別子に対応する過去から現在までの匿名医療データ（診療録、診療記録、接見記録、問診記録）とをハードディスクから抽出し、抽出した個人属性データ識別子と匿名医療データとを医療機関第１サーバ１２Ａに送信する（匿名医療データ送信手段）。医療機関第１サーバ１２Ａは、図９に矢印３で示すように、個人属性データ識別子と過去から現在までの匿名医療データとを第１事業会社第１サーバ１４Ａから受信する（匿名医療データ受信手段）。
【００９４】
医療機関第２サーバ１２Ｂは、インターネット２０に接続し、医療機関第１サーバ１２ＡのＵＲＬを使用してサーバ１２Ａにアクセスする。医療機関第２サーバ１２Ｂが医療機関第１サーバ１２Ａにアクセスすると、第１サーバ１２Ａは、第２サーバ１２Ｂに認証手続きを要求し、図９に矢印４で示すように、サーバ１２Ｂの正当性を判断する認証手続を行う（認証手続要求手段）。
【００９５】
認証手続は図６のそれと同一であるから、図６のそれを援用し、その説明は省略する。認証結果が正当である場合、サーバ１２Ａからサーバ１２Ｂへ図３，４の匿名医療データのダウンロードが可能となり、サーバ１２Ａとサーバ１２Ｂとの間で匿名医療データのダウンロード処理が行われる。逆に、認証結果が不当である場合、認証不可メッセージがサーバ１２Ｂのディスプレイ１９に表示され、匿名医療データのサーバ１２Ａからサーバ１２Ｂへのダウンロードを行うことができない。
【００９６】
匿名医療データのダウンロードが可能となった後、医療機関第２サーバ１２Ｂは、図９に矢印５で示すように、所定の患者の患者番号を提示（患者番号を送信）して匿名医療データの送信を医療機関第１サーバ１２Ａに要求する。医療機関第２サーバ１２Ｂが患者の患者番号を提示して匿名医療データの送信を要求すると、医療機関第１サーバ１２Ａは、提示された患者番号に対応する個人属性データ識別子を特定し、匿名医療データ受信手段によって第１事業会社第１サーバ１４Ａから受信した個人属性データ識別子と匿名医療データ（診療録、診療記録、接見記録、問診記録）とを医療機関第２サーバ１２Ｂに転送する（匿名医療データ転送手段）。
【００９７】
医療機関第２サーバ１２Ｂは、図９に矢印６で示すように、個人属性データ識別子と過去から現在までの匿名医療データとを医療機関第１サーバ１２Ａから受信する（匿名医療データ受信手段）。なお、匿名医療データ転送手段では、個人属性データ識別子と匿名医療データとを所定のメモリデバイスに格納し、そのメモリデバイスを医療機関１１Ａが医療機関１１Ｂに渡し、個人属性データ識別子や匿名医療データの転送を行ってもよい。
【００９８】
医療機関第１サーバ１２Ａから個人属性データ識別子と匿名医療データとを受信した医療機関第２サーバ１２Ｂは、第２事業会社サーバ１６のＵＲＬを使用し、インターネット２０を介してサーバ１６にアクセスする。医療機関第２サーバ１２Ｂが第２事業会社サーバ１６にアクセスすると、第２事業会社サーバ１６は、医療機関第２サーバ１２Ｂに認証手続きを要求し、図９に矢印７で示すように、サーバ１２Ｂの正当性を判断する認証手続を行う（認証手続要求手段）。
【００９９】
認証手続は図６のそれと同一であるから、図６のそれを援用し、その説明は省略する。認証結果が正当である場合、サーバ１６からサーバ１２Ｂへ図５の個人属性データのダウンロードが可能となり、サーバ１６とサーバ１２Ｂとの間で個人属性データのダウンロード処理が行われる。逆に、認証結果が不当である場合、認証不可メッセージがサーバ１２Ｂのディスプレイ１９に表示され、個人属性データのサーバ１６からサーバ１２Ｂへのダウンロードを行うことができない。
【０１００】
個人属性データのダウンロードが可能となった後、医療機関第２サーバ１２Ｂは、図９に矢印８で示すように、医療機関第１サーバ１２Ａから受信した匿名医療データに対応する個人属性データ識別子を提示（個人属性データ識別子を送信）して個人属性データの送信を第２事業会社サーバ１６に要求する。医療機関第２サーバ１２Ｂが匿名医療データに対応する個人属性データ識別子を提示して個人属性データの送信を要求すると、第２事業会社サーバ１６は、図９に矢印９で示すように、提示された個人属性データ識別子とその個人属性データ識別子に対応する個人属性データとをサーバ１２Ｂに送信する（個人属性データ送信手段）。
【０１０１】
医療機関第２サーバ１２Ｂは、個人属性データ識別子と個人属性データとを第２事業会社サーバ１６から受信する（個人属性データ受信手段）。医療機関第２サーバ１２Ｂは、医療機関第１サーバ１２Ａから受信した匿名医療データに第２事業会社サーバ１６から受信した個人属性データを適用して特定個人の実名医療データを作成する（実名医療データ作成手段）。
【０１０２】
具体的には、医療機関第１サーバ１２Ａから受信した個人属性データ識別子と第２事業会社サーバ１６から受信した個人属性データ識別子とを比較し、互いに一致する個人属性データ識別子に対応する個人属性データと匿名医療データとを組み合わせて実名医療データを作成する。医療機関第２サーバ１２Ｂは、作成した実名医療データをディスプレイ１９に表示し（実名医療データ出力手段）、実名医療データをプリンタを介して出力する（実名医療データ出力手段）。図７を援用することで、作成された実名医療データの説明は省略する。
【０１０３】
図９の医療情報管理システム１０は、医療機関第１サーバ１２Ａから特定個人の匿名医療データを取得した医療機関第２サーバ１２Ｂがその医療データに個人属性データを適用して特定個人の実名医療データを作成することができ、患者を紹介された病院や患者の移動先の病院においてその患者の医療情報を確実に取得かつ確認することができる。
【０１０４】
この医療情報管理システム１０は、第１事業会社第１サーバ１４Ａから匿名医療データが不正に持ち出されたり、外部に不用意に漏出したとしても、その医療データにそれに対応する個人属性データが含まれておらず、匿名医療データの人物の実名や住所、電話番号等が判明することはなく、漏洩した匿名医療データから人物を特定することはできない。また、第２事業会社サーバ１６から個人属性データが不正に持ち出されたり、外部に不用意に漏出したとしても、その個人属性データにそれに対応する医療データが含まれておらず、個人属性データから特定される人物の医療情報が判明することはなく、漏洩した個人属性データから医療情報を特定することはできない。医療情報管理システム１０は、医療情報の秘匿性を確保することができるとともに、特定個人のプライバシーを保護することができる。
【０１０５】
図１０は、各種医療情報の格納手順の他の一例を示す説明図であり、図１１は、第１事業会社第１サーバ１４Ａに格納された匿名医療データの他の一例を示す図である。図１２は、第２事業会社サーバ１６に格納された個人属性データの他の一例を示す図である。図１０に示す態様において、医療機関第１サーバ１２Ａと医療機関第２サーバ１２Ｂとのうちの少なくとも一方は、患者の各種医療情報（患者番号（個人特定識別子）を含む）を電子データとして第１事業会社第１サーバ１４Ａに送信する医療情報送信手段を実行する。患者の医療情報には、匿名医療データと個人属性データとが含まれる。医療情報送信手段は、患者の医療情報が更新される度毎に実行される。
【０１０６】
医療機関第１サーバ１２Ａと医療機関第２サーバ１２Ｂとは、個人属性データ識別子とその個人属性データ識別子に対応する属性項目および匿名医療データとを第１事業会社第１サーバ１４Ａから受信する匿名医療データ受信手段を実行し、匿名医療データ受信手段によって第１事業会社第１サーバ１４Ａから受信した個人属性データ識別子とその個人属性データ識別子に対応する属性項目および匿名医療データとを他の医療機関サーバ１２Ａ，１２Ｂに転送する匿名医療データ転送手段を実行する。なお、属性項目として、氏名、住所、郵便番号、電話番号、携帯電話番号、電子メールアドレス、ＵＲＬ、生年月日、顔写真画像、血液型、本籍を例示しているが、属性項目をそれらに限定するものではなく、個人情報のすべての項目が含まれる。
【０１０７】
医療機関第１サーバ１２Ａと医療機関第２サーバ１２Ｂとは、匿名医療データ受信手段によって受信した匿名医療データに対応する個人属性データ識別子とその個人属性データ識別子に対応する属性項目および個人属性データとを第２事業会社サーバ１６から受信する個人属性データ受信手段を実行し、第１事業会社第１サーバ１４Ａから受信した匿名医療データに第２事業会社サーバ１６から受信した個人属性データを適用して特定個人の実名医療データを作成する実名医療データ作成手段を実行する。さらに、作成した実名医療データを出力装置を介して出力する実名医療データ出力手段を実行する。
【０１０８】
第１事業会社第１サーバ１４Ａは、医療機関サーバ１２Ａ，１２Ｂから送信された患者の各種医療情報を受信する医療情報受信手段を実行し、受信した医療情報を匿名医療データと個人属性データとに区分しつつ、患者に個別に設定された患者番号に関連付けた状態で匿名医療データを保持する匿名医療データ保持手段を実行する。サーバ１４Ａは、個人属性データが属する各属性項目にユニークな個人属性データ識別子を割り当てる個人属性データ識別子割当手段を実行し、各属性項目と割り当てた各個人属性データ識別子とを患者番号に関連付けた状態で保持する個人属性データ識別子保持手段を実行する。
【０１０９】
第１事業会社第１サーバ１４Ａは、割り当てた個人属性データ識別子とその個人属性データ識別子に対応する属性項目および個人属性データとを第２事業会社サーバ１６に送信する個人属性データ送信手段を実行する。ゆえに、第１サーバ１４Ａのハードディスクには、個人属性データ識別子、属性項目、匿名医療データのみが保持され、患者の個人属性データが保持されることはない（個人属性データが格納されることはない）。
【０１１０】
第１事業会社第１サーバ１４Ａは、医療機関サーバ１２Ａ，１２Ｂがサーバ１４Ａにアクセスしたときに、医療機関サーバ１２Ａ，１２Ｂに認証手続を要求する認証手続要求手段を実行する。第１サーバ１４Ａは、医療機関サーバ１２Ａ，１２Ｂが認証手続を行った後、医療機関サーバ１２Ａ，１２Ｂが患者の患者番号を提示して匿名医療データの送信を要求すると、提示された患者番号に対応する個人属性データ識別子を特定しつつ、特定した個人属性データ識別子とその個人属性データ識別子に対応する属性項目および匿名医療データとを医療機関サーバ１２Ａ，１２Ｂに送信する匿名医療データ送信手段を実行する。
【０１１１】
第２事業会社サーバ１６は、第１事業会社第１サーバ１４Ａから送信された個人属性データ識別子とその個人属性データ識別子に対応する属性項目および匿名医療データとを受信する個人属性データ受信手段を実行する。第２事業会社サーバ１６には匿名医療データは送信されない。第２事業会社サーバ１６は、受信した個人属性データを属性項目毎に区分し、個人属性データをそれが属する属性項目の個人属性データ識別子に関連付けた状態で保持する個人属性データ保持手段を実行する。サーバ１６のハードディスクには、個人属性データ識別子、属性項目、個人属性データのみが保持され、患者の匿名医療データが保持されることはない（匿名医療データが格納されることはない）。
【０１１２】
第２事業会社サーバ１６は、医療機関サーバ１２Ａ，１２Ｂがサーバ１６にアクセスしたときに、医療機関サーバ１２Ａ，１２Ｂに認証手続を要求する認証手続要求手段を実行する。さらに、医療機関サーバ１２Ａ，１２Ｂが認証手続を行った後に、医療機関サーバ１２Ａ，１２Ｂが匿名医療データに対応する属性項目および個人属性データ識別子を提示して個人属性データの送信を要求すると、提示された属性項目および個人属性データ識別子とその属性項目および個人属性データ識別子に対応する個人属性データとをサーバ１２Ａ，１２Ｂに送信する個人属性データ送信手段を実行する。
【０１１３】
図１０に基づいて匿名医療データおよび個人属性データの格納の他の一例を説明すると、以下のとおりである。医療機関第１サーバ１２Ａは、インターネット２０に接続した後、第１事業会社第１サーバ１４Ａにアクセスし、患者番号と個人属性データと過去から現在までの匿名医療データと（医療情報）を第１サーバ１４Ａに送信する（医療情報送信手段）。
【０１１４】
第１事業会社第１サーバ１４Ａは、医療機関第１サーバ１２Ａから送信された医療情報（患者番号、診療録、診療記録、接見記録、問診記録、個人属性データ）を受信し（医療情報受信手段）、受信した医療情報を匿名医療データと個人属性データとに区分しつつ、患者に個別に設定された患者番号に関連付けた状態で匿名医療データを保持する（匿名医療データ保持手段）。サーバ１４Ａは、個人属性データが属する各属性項目にユニークな個人属性データ識別子を割り当て（個人属性データ識別子割当手段）、各属性項目と割り当てた各個人属性データ識別子とを患者番号に関連付けた状態で保持する（個人属性データ識別子保持手段）。
【０１１５】
第１事業会社第１サーバ１４Ａのハードディスクには、図１１に示すように、患者番号に関連付けられた属性項目および個人属性データ識別子、匿名医療データ（診療録、診療記録、接見記録、問診記録）が格納されている。診療録には、年月日、処置、処方、所見、オーダが含まれ、診療記録には、年月日、撮影画像、メモ、会計が含まれる。接見記録および問診記録には、年月日、内容が含まれる。第１事業会社第１サーバ１４Ａは、インターネット２０に接続した後、第２事業会社サーバ１６にアクセスし、割り当てた個人属性データ識別子と属性項目および個人属性データとを第２事業会社サーバ１６に送信する（個人属性データ送信手段）。なお、第１サーバ１４Ａは、個人属性データを第２事業会社サーバ１６に送信した後、その個人属性データをハードディスクから消去する。
【０１１６】
第２事業会社サーバ１６は、第１事業会社第１サーバ１４Ａから送信された個人属性データ識別子とその個人属性データ識別子に対応する属性項目および個人属性データとを受信する（個人属性データ受信手段）。第２事業会社サーバ１６は、受信した個人属性データを属性項目毎に区分し、個人属性データをそれが属する属性項目の個人属性データ識別子に関連付けた状態で保持する（個人属性データ保持手段）。
【０１１７】
第２事業会社サーバ１６のハードディスクには、図１２に示すように、各属性項目毎に区分された個人属性データが個人属性データ識別子に関連付けた状態で格納されている。氏名の属性項目には、個人属性データ識別子（２）（氏名属性項目の２番目のファイル）に実際の氏名が格納され、住所の属性項目には、個人属性データ識別子（５）（住所属性項目の５番目のファイル）に実際の住所が格納されている。郵便番号の属性項目には、個人属性データ識別子（１）（郵便番号属性項目の１番目のファイル）に実際の郵便番号が格納され、電話番号の属性項目には、個人属性データ識別子（１）に実際の電話番号が格納されている。
【０１１８】
携帯電話番号の属性項目には、個人属性データ識別子（３）（携帯電話番号属性項目の３番目のファイル）に実際の携帯電話番号が格納され、電子メールアドレスの属性項目には、個人属性データ識別子（４）（電子メースアドレス属性項目の４番目のファイル）に実際の電子メールアドレスが格納されている。ＵＲＬの属性項目には、個人属性データ識別子（２）（ＵＲＬ属性項目の２番目のファイル）に実際のＵＲＬが格納され、生年月日の属性項目には、個人属性データ識別子（６）（生年月日属性項目の６番目のファイル）に実際の生年月日が格納されている。顔写真画像の属性項目には、個人属性データ識別子（５）（顔写真画像属性項目の５番目のファイル）に実際の顔写真画像が格納され、血液型の属性項目には、個人属性データ識別子（６）（血液型属性項目の６番目のファイル）に実際の血液型が格納されている。本籍の属性項目には、個人属性データ識別子（１）（本籍属性項目の１番目のファイル）に実際の本籍が格納されている。なお、個人属性データ識別子として、数字を例示しているが、個人属性データ識別子を数字に限定するものではなく、数字の他に、アルファベットや記号、文字等を使用することもできる。
【０１１９】
図６を援用し、図１０，１１の匿名医療データや個人属性データから医療機関サーバ１２Ａが患者の実名医療データを作成する手順の一例を説明すると、以下のとおりである。所定の患者の実名医療データを作成する場合、医療機関第１サーバ１２Ａは、インターネット２０に接続し、第１事業会社第１サーバ１４ＡのＵＲＬを使用してサーバ１４Ａにアクセスするとともに、第２事業会社サーバ１６のＵＲＬを使用してサーバ１６にアクセスする。
【０１２０】
医療機関第１サーバ１２Ａが第１事業会社第１サーバ１４Ａにアクセスすると、第１事業会社第１サーバ１４Ａは、医療機関第１サーバ１２Ａに認証手続きを要求し、図６に矢印１で示すように、サーバ１２Ａの正当性を判断する認証手続を行う（認証手続要求手段）。認証手続は図６に示すとおりであるから、その説明は省略する。
【０１２１】
認証結果が正当である場合、第１事業会社第１サーバ１４Ａから医療機関第１サーバ１２Ａへ図１１の匿名医療データのダウンロードが可能となり、サーバ１４Ａとサーバ１２Ａとの間で匿名医療データのダウンロード処理が行われる。逆に、認証結果が不当である場合、認証不可メッセージがサーバ１２Ａのディスプレイ１９に表示され、匿名医療データのサーバ１４Ａからサーバ１２Ａへのダウンロードを行うことができない。
【０１２２】
医療機関第１サーバ１２Ａが第２事業会社サーバ１６にアクセスすると、第２事業会社サーバ１６は、医療機関第１サーバ１２Ａに認証手続きを要求し、図６に矢印２で示すように、サーバ１２Ａの正当性を判断する認証手続を行う（認証手続要求手段）。認証手続は図６に示すとおりであるから、その説明は省略する。
【０１２３】
認証結果が正当である場合、第２事業会社サーバ１６から医療機関第１サーバ１２Ａへ図５の個人属性データのダウンロードが可能となり、サーバ１６とサーバ１２Ａとの間で個人属性データのダウンロード処理が行われる。逆に、認証結果が不当である場合、認証不可メッセージがサーバ１２Ａのディスプレイ１９に表示され、個人属性データのサーバ１６からサーバ１２Ａへのダウンロードを行うことができない。
【０１２４】
匿名医療データのダウンロードが可能となった後、医療機関第１サーバ１２Ａは、図６に矢印３で示すように、患者の患者番号を提示（患者番号を送信）して匿名医療データの送信を第１事業会社第１サーバ１４Ａに要求する。サーバ１２Ａが患者番号を提示して匿名医療データの送信を要求すると、第１事業会社第１サーバ１４Ａは、提示された患者番号とハードディスクに格納された患者番号とを照合し、その患者番号に対応する個人属性データ識別子を特定しつつ、特定した個人属性データ識別子とその個人属性データ識別子に対応する属性項目および匿名医療データ（診療録、診療記録、接見記録、問診記録）とをハードディスクから抽出し、抽出した個人属性データ識別子、属性項目、匿名医療データを医療機関第１サーバ１２Ａに送信する（匿名医療データ送信手段）。医療機関第１サーバ１２Ａは、図６に矢印４で示すように、個人属性データ識別子とその個人属性データ識別子に対応する属性項目および過去から現在までの匿名医療データとを第１事業会社第１サーバ１４Ａから受信する（匿名医療データ受信手段）。
【０１２５】
個人属性データのダウンロードが可能となった後、医療機関第１サーバ１２Ａは、図６に矢印５で示すように、第１事業会社第１サーバ１４Ａから受信した匿名医療データに対応する属性項目および個人属性データ識別子を提示（属性項目および個人属性データ識別子を送信）して個人属性データの送信を第２事業会社サーバ１６に要求する。第１サーバ１２Ａが匿名医療データに対応する属性項目および個人属性データ識別子を提示して個人属性データの送信を要求すると、第２事業会社サーバ１６は、提示された属性項目および個人属性データ識別子とその属性項目および個人属性データ識別子に対応する個人属性データとをハードディスクから抽出し、抽出した個人属性データ識別子、属性項目、個人属性データを第１サーバ１２Ａに送信する（個人属性データ送信手段）。
【０１２６】
医療機関第１サーバ１２Ａは、図６に矢印６で示すように、個人属性データ識別子とその個人属性データ識別子に対応する属性項目および個人属性データとを第２事業会社サーバ１６から受信する（個人属性データ受信手段）。第１サーバ１２Ａは、第１事業会社第１サーバ１４Ａから受信した属性項目および個人属性データ識別子と第２事業会社サーバ１６から受信した属性項目および個人属性データ識別子とを比較しつつ、互いに一致する属性項目および個人属性データ識別子に対応する個人属性データと匿名医療データとを組み合わせて実名医療データを作成する（実名医療データ作成手段）。
【０１２７】
具体的に医療機関第１サーバ１２Ａは、第１事業会社第１サーバ１４Ａから受信した属性項目と第２事業会社サーバ１６から受信した属性項目とを比較し、互いに一致する属性項目においてそれら属性項目の個人属性データ識別子を比較した後、個人属性データ識別子が一致した場合、第１サーバ１４Ａから受信した匿名医療データを正当なデータと判断する。次に、各属性項目において個人属性データ識別子どうしを比較し、個人属性データ識別子が一致した場合、サーバ１６から受信した各属性項目（ファイル）の個人属性データを正当なデータと判断する。
【０１２８】
医療機関第１サーバ１２Ａは、氏名属性項目の個人属性データ識別子（２）（氏名属性項目の２番目のファイル）にある実際の氏名を第１事業会社第１サーバ１４Ａから受信した氏名属性項目に適用し、住所属性項目の個人属性データ識別子（５）（住所属性項目の５番目のファイル）にある実際の住所を第１サーバ１４Ａから受信した住所属性項目に適用する。郵便番号属性項目の個人属性データ識別子（１）（郵便番号属性項目の１番目のファイル）にある実際の郵便番号を第１サーバ１４Ａから受信した郵便番号属性項目に適用し、電話番号属性項目の個人属性データ識別子（１）（電話番号属性項目の１番目のファイル）にある実際の電話番号を第１サーバ１４Ａから受信した電話番号属性項目に適用する。
【０１２９】
医療機関第１サーバ１２Ａは、携帯電話番号属性項目の個人属性データ識別子（３）（携帯電話番号属性項目の３番目のファイル）にある実際の携帯電話番号を第１サーバ１４Ａから受信した携帯電話番号属性項目に適用し、電子メールアドレス属性項目の個人属性データ識別子（４）（電子メールアドレス属性項目の４番目のファイル）にある実際の電子メールアドレスを第１サーバ１４Ａから受信した電子メールアドレス属性項目に適用する。ＵＲＬ属性項目の個人属性データ識別子（２）（ＵＲＬ属性項目の２番目のファイル）にある実際のＵＲＬを第１サーバ１４Ａから受信したＵＲＬ属性項目に適用し、生年月日属性項目の個人属性データ識別子（６）（生年月日属性項目の４番目のファイル）にある実際の生年月日を第１サーバ１４Ａから受信した生年月日属性項目に適用する。
【０１３０】
医療機関第１サーバ１２Ａは、顔写真画像属性項目の個人属性データ識別子（５）（顔写真画像属性項目の５番目のファイル）にある実際の顔写真画像を第１サーバ１４Ａから受信した顔写真画像属性項目に適用し、血液型属性項目の個人属性データ識別子（６）（血液型属性項目の６番目のファイル）にある実際の血液型を第１サーバ１４Ａから受信した血液型属性項目に適用する。本籍項目の個人属性データ識別子（１）（本籍項目の１番目のファイル）にある実際の本籍を第１サーバ１４Ａから受信した本籍属性項目に適用する。
【０１３１】
医療機関第１サーバ１２Ａは、属性項目どうしの適用が終了した後、個人属性データと匿名医療データとを組み合わせて実名医療データを作成する。第１サーバ１２Ａは、作成した実名医療データをディスプレイ１９に表示し（実名医療データ出力手段）、実名医療データをプリンタを介して出力する（実名医療データ出力手段）。第１サーバ１２Ａは、作成した実名医療データをハードディスクに格納することもできる。図７を援用することで、作成された実名医療データの説明は省略する。
【０１３２】
図１０の態様の医療情報管理システム１０は、病院１１Ａにおいて収集された複数の患者の匿名医療データが第１事業会社第１サーバ１４Ａに保持されるとともに、個人属性データが各属性項目に割り当てた個人属性データ識別子として第１サーバ１４Ａに保持され、各患者の個人属性データが第２事業会社サーバ１６に保持されるから、匿名医療データと個人属性データとが別個独立の事業会社１３Ａ，１５に分散して保管される。ゆえに、第１サーバ１４Ａから匿名医療データが不正に持ち出されたり、外部に不用意に漏出したとしても、その医療データにそれに対応する個人属性データが含まれておらず、匿名医療データの人物の実名や住所、電話番号等の個人情報が判明することはなく、漏洩した匿名医療データから人物を特定することはできない。また、サーバ１６から個人属性データが不正に持ち出されたり、外部に不用意に漏出したとしても、その個人属性データにそれに対応する医療データが含まれておらず、個人属性データから特定される人物の医療情報が判明することはなく、漏洩した個人属性データから医療情報を特定することはできない。
【０１３３】
この医療情報管理システム１０は、第１事業会社第１サーバ１４Ａが各属性項目と割り当てた個人属性データ識別子とを患者番号に関連付けた状態で保持するから、各個人属性データの組み合わせ情報が第１サーバ１４Ａで管理されており、第２事業会社サーバ１６において個人情報を特定することもできない。医療情報管理システム１０は、医療情報の秘匿性を確保することができるとともに、特定個人のプライバシーを保護することができる。医療情報管理システム１０は、医療機関第１サーバ１２Ａが第１事業会社第１サーバ１４Ａから受信した匿名医療データに第２事業会社サーバ１６から受信した個人属性データを適用して特定個人の実名医療データを作成するから、病院１１Ａにおいて特定の患者の医療情報を確実に取得かつ確認することができる。
【０１３４】
図９を援用し、医療機関サーバ１２Ｂにおいて患者の実名医療データを作成する手順の他の一例を説明すると、以下のとおりである。なお、第１事業会社第１サーバ１４Ａには、図１１の匿名医療データが格納され、第２事業会社サーバ１６には、図１２の個人属性データが格納されている。最初に、医療機関第１サーバ１２Ａは、インターネット２０に接続し、第１事業会社第１サーバ１４ＡのＵＲＬを使用してサーバ１４Ａにアクセスする。
【０１３５】
医療機関第１サーバ１２Ａが第１事業会社第１サーバ１４Ａにアクセスすると、第１事業会社第１サーバ１４Ａは、医療機関第１サーバ１２Ａに認証手続きを要求し、図９に矢印１で示すように、サーバ１２Ａの正当性を判断する認証手続を行う（認証手続要求手段）。認証手続は図６のそれと同一であるから、図６のそれを援用し、その説明は省略する。
【０１３６】
認証結果が正当である場合、第１事業会社第１サーバ１４Ａから医療機関第１サーバ１２Ａへ図１１の匿名医療データのダウンロードが可能となり、サーバ１４Ａとサーバ１２Ａとの間で匿名医療データのダウンロード処理が行われる。逆に、認証結果が不当である場合、認証不可メッセージがサーバ１２Ａのディスプレイ１９に表示され、匿名医療データのサーバ１４Ａからサーバ１２Ａへのダウンロードを行うことができない。
【０１３７】
匿名医療データのダウンロードが可能となった後、医療機関第１サーバ１２Ａは、図９に矢印２で示すように、患者の患者番号を提示（患者番号を入力）して匿名医療データの送信を第１事業会社第１サーバ１４Ａに要求する。医療機関第１サーバ１２Ａが患者の患者番号を提示して匿名医療データの送信を要求すると、第１事業会社第１サーバ１４Ａは、提示された患者番号とハードディスクに格納された患者番号とを照合し、その患者番号に対応する個人属性データ識別子を特定しつつ、特定した個人属性データ識別子とその個人属性データ識別子に対応する属性項目および匿名医療データ（診療録、診療記録、接見記録、問診記録）とをハードディスクから抽出し、抽出した個人属性データ識別子、属性項目、匿名医療データを医療機関第１サーバ１２Ａに送信する（匿名医療データ送信手段）。医療機関第１サーバ１２Ａは、図９に矢印３で示すように、個人属性データ識別子とその個人属性データ識別子に対応する属性項目および過去から現在までの匿名医療データとを第１事業会社第１サーバ１４Ａから受信する（匿名医療データ受信手段）。
【０１３８】
医療機関第２サーバ１２Ｂは、インターネット２０に接続し、医療機関第１サーバ１２ＡのＵＲＬを使用してサーバ１２Ａにアクセスする。医療機関第２サーバ１２Ｂが医療機関第１サーバ１２Ａにアクセスすると、第１サーバ１２Ａは、第２サーバ１２Ｂに認証手続きを要求し、図９に矢印４で示すように、サーバ１２Ｂの正当性を判断する認証手続を行う（認証手続要求手段）。
【０１３９】
認証手続は図６のそれと同一であるから、図６のそれを援用し、その説明は省略する。認証結果が正当である場合、サーバ１２Ａからサーバ１２Ｂへ図３，４の匿名医療データのダウンロードが可能となり、サーバ１２Ａとサーバ１２Ｂとの間で匿名医療データのダウンロード処理が行われる。逆に、認証結果が不当である場合、認証不可メッセージがサーバ１２Ｂのディスプレイ１９に表示され、匿名医療データのサーバ１２Ａからサーバ１２Ｂへのダウンロードを行うことができない。
【０１４０】
匿名医療データのダウンロードが可能となった後、医療機関第２サーバ１２Ｂは、図９に矢印５で示すように、患者の患者番号を提示（患者番号を送信）して匿名医療データの送信を医療機関第１サーバ１２Ａに要求する。医療機関第２サーバ１２Ｂが患者の患者番号を提示して匿名医療データの送信を要求すると、医療機関第１サーバ１２Ａは、提示された患者番号に対応する個人属性データ識別子を特定し、匿名医療データ受信手段によって第１事業会社第１サーバ１４Ａから受信した個人属性データ識別子とその個人属性データ識別子に対応する属性項目および過去から現在までの匿名医療データ（診療録、診療記録、接見記録、問診記録）とを医療機関第２サーバ１２Ｂに転送する（匿名医療データ転送手段）。
【０１４１】
医療機関第２サーバ１２Ｂは、図９に矢印６で示すように、個人属性データ識別子とその個人属性データ識別子に対応する属性項目および過去から現在までの匿名医療データとを医療機関第１サーバ１２Ａから受信する（匿名医療データ受信手段）。なお、匿名医療データ転送手段では、個人属性データ識別子とその個人属性データ識別子に対応する属性項目および過去から現在までの匿名医療データとを所定のメモリデバイスに格納し、そのメモリデバイスを医療機関１１Ａが医療機関１１Ｂに渡し、個人属性データ識別子や匿名医療データの転送を行ってもよい。
【０１４２】
医療機関第１サーバ１２Ａから個人属性データ識別子、属性項目、匿名医療データを受信した医療機関第２サーバ１２Ｂは、第２事業会社サーバ１６のＵＲＬを使用し、インターネット２０を介してサーバ１６にアクセスする。医療機関第２サーバ１２Ｂが第２事業会社サーバ１６にアクセスすると、サーバ１６は、第２サーバ１２Ｂに認証手続きを要求し、図９に矢印7で示すように、サーバ１２Ｂの正当性を判断する認証手続を行う（認証手続要求手段）。
【０１４３】
認証手続は図６のそれと同一であるから、図６のそれを援用し、その説明は省略する。認証結果が正当である場合、第２事業会社サーバ１６から医療機関第２サーバ１２Ｂへ図１２の個人属性データのダウンロードが可能となり、サーバ１６とサーバ１２Ｂとの間で個人属性データのダウンロード処理が行われる。逆に、認証結果が不当である場合、認証不可メッセージがサーバ１２Ｂのディスプレイ１９に表示され、個人属性データのサーバ１６からサーバ１２Ｂへのダウンロードを行うことができない。
【０１４４】
個人属性データのダウンロードが可能となった後、医療機関第２サーバ１２Ｂは、図９に矢印８で示すように、医療機関第１サーバ１２Ａから受信した匿名医療データに対応する属性項目および個人属性データ識別子を提示（属性項目および個人属性データ識別子を送信）して個人属性データの送信を第２事業会社サーバ１６に要求する。医療機関第２サーバ１２Ｂが匿名医療データに対応する属性項目および個人属性データ識別子を提示して個人属性データの送信を要求すると、第２事業会社サーバ１６は、提示された属性項目および個人属性データ識別子とその属性項目および個人属性データ識別子に対応する個人属性データとをハードディスクから抽出し、抽出した個人属性データ識別子、属性項目、個人属性データをサーバ１２Ｂに送信する（個人属性データ送信手段）。
【０１４５】
医療機関第２サーバ１２Ｂは、図９に矢印９で示すように、個人属性データ識別子とその個人属性データ識別子に対応する属性項目および個人属性データとを第２事業会社サーバ１６から受信する（個人属性データ受信手段）。第２サーバ１２Ｂは、医療機関第１サーバ１２Ａから受信した属性項目および個人属性データ識別子と第２事業会社サーバ１６から受信した属性項目および個人属性データ識別子とを比較しつつ、互いに一致する属性項目および個人属性データ識別子に対応する個人属性データと匿名医療データとを組み合わせて実名医療データを作成する（実名医療データ作成手段）。その具体的な手順は図１０の態様のシステムにおいて説明したそれと同一であるから、その詳細な説明は省略する。
【０１４６】
第１サーバ１２Ａは、作成した実名医療データをディスプレイ１９に表示し（実名医療データ出力手段）、実名医療データをプリンタを介して出力する（実名医療データ出力手段）。第１サーバ１２Ａは、作成した実名医療データをハードディスクに格納することもできる。図７を援用することで、作成された実名医療データの説明は省略する。
【０１４７】
図９を援用しつつ説明した医療情報管理システム１０は、医療機関第１サーバ１２Ａから特定個人の匿名医療データを取得した医療機関第２サーバ１２Ｂがその医療データに個人属性データを適用して特定個人の実名医療データを作成することができ、患者を紹介された病院や患者の移動先の病院においてその患者の医療情報を確実に取得かつ確認することができる。
【０１４８】
この医療情報管理システム１０は、第１事業会社第１サーバ１４Ａから匿名医療データが不正に持ち出されたり、外部に不用意に漏出したとしても、その医療データにそれに対応する個人属性データが含まれておらず、匿名医療データの人物の実名や住所、電話番号等が判明することはなく、漏洩した匿名医療データから人物を特定することはできない。また、第２事業会社サーバ１６から個人属性データが不正に持ち出されたり、外部に不用意に漏出したとしても、その個人属性データにそれに対応する医療データが含まれておらず、個人属性データから特定される人物の医療情報が判明することはなく、漏洩した個人属性データから医療情報を特定することはできない。医療情報管理システム１０は、医療情報の秘匿性を確保することができるとともに、特定個人のプライバシーを保護することができる。
【０１４９】
図１３は、第１事業会社第１サーバ１４Ａに格納された匿名医療データの他の一例を示す図であり、図１４は、第１事業会社第２サーバ１４Ｂに格納された匿名医療データの他の一例を示す図である。図１３，１４に示す態様において、医療機関第１サーバ１２Ａと医療機関第２サーバ１２Ｂとのうちの少なくとも一方は、患者の各種医療情報（患者番号（個人特定識別子）を含む）を電子データとして第１事業会社第１サーバ１４Ａに送信する医療情報送信手段を実行する。患者の医療情報には、匿名医療データと個人属性データとが含まれる。医療情報送信手段は、患者の医療情報が更新される度毎に実行される。
【０１５０】
医療機関第１サーバ１２Ａと医療機関第２サーバ１２Ｂとは、個人属性データ識別子とその個人属性データ識別子に対応する属性項目および匿名医療データとを第１事業会社第１サーバ１４Ａと第１事業会社第２サーバ１４Ｂとから受信する匿名医療データ受信手段を実行する。なお、属性項目として、氏名、住所、郵便番号、電話番号、携帯電話番号、電子メールアドレス、ＵＲＬ、生年月日、顔写真画像、血液型、本籍を例示しているが、属性項目をそれらに限定するものではなく、個人情報のすべての項目が含まれる。
【０１５１】
医療機関第１サーバ１２Ａと医療機関第２サーバ１２Ｂとは、匿名医療データ受信手段によって受信した匿名医療データに対応する個人属性データ識別子とその個人属性データ識別子に対応する属性項目および個人属性データとを第２事業会社サーバ１６から受信する個人属性データ受信手段を実行し、第１事業会社第１サーバ１４Ａと第１事業会社第２サーバ１４Ｂとから受信した匿名医療データに第２事業会社サーバ１６から受信した個人属性データを適用して特定個人の実名医療データを作成する実名医療データ作成手段を実行する。さらに、作成した実名医療データを出力装置を介して出力する実名医療データ出力手段を実行する。
【０１５２】
第１事業会社第１サーバ１４Ａは、医療機関サーバ１２Ａ，１２Ｂから送信された患者の各種医療情報を受信する医療情報受信手段を実行し、受信した医療情報を匿名医療データと個人属性データとに区分しつつ、患者に個別に設定された患者番号に関連付けた状態で匿名医療データの一部を保持する匿名医療データ保持手段を実行する。サーバ１４Ａは、個人属性データが属する各属性項目にユニークな個人属性データ識別子を割り当てる個人属性データ識別子割当手段を実行し、各属性項目と割り当てた各個人属性データ識別子とを患者番号に関連付けた状態で保持する個人属性データ識別子保持手段を実行する。
【０１５３】
第１事業会社第１サーバ１４Ａは、匿名医療データの一部と患者番号とを第１事業会社第２サーバ１４Ｂに送信する医療情報送信手段を実行する。第１事業会社第２サーバ１４Ｂは、第１サーバ１４Ａから送信された匿名医療データと患者番号とを受信する医療情報受信手段を実行する。第２サーバ１４Ｂは、患者番号に関連付けた状態で匿名医療データの一部を保持する匿名医療データ保持手段を実行する。
【０１５４】
第１事業会社第１サーバ１４Ａは、割り当てた個人属性データ識別子とその個人属性データ識別子に対応する属性項目および個人属性データとを第２事業会社サーバ１６に送信する個人属性データ送信手段を実行する。ゆえに、第１サーバ１４Ａや第２サーバ１４Ｂのハードディスクには、個人属性データ識別子や属性項目、匿名医療データのみが保持され、患者の個人属性データが保持されることはない（個人属性データが格納されることはない）。
【０１５５】
第１事業会社第１サーバ１４Ａと第１事業会社第２サーバ１４Ｂとは、医療機関サーバ１２Ａ，１２Ｂがそれらサーバ１４Ａ，１４Ｂにアクセスしたときに、医療機関サーバ１２Ａ，１２Ｂに認証手続を要求する認証手続要求手段を実行する。第１および第２サーバ１４Ａ，１４Ｂは、医療機関サーバ１２Ａ，１２Ｂが認証手続を行った後、医療機関サーバ１２Ａ，１２Ｂが患者の患者番号を提示して匿名医療データの送信を要求すると、提示された患者番号に対応する個人属性データ識別子を特定しつつ、特定した個人属性データ識別子とその個人属性データ識別子に対応する属性項目および匿名医療データとを医療機関サーバ１２Ａ，１２Ｂに送信する匿名医療データ送信手段を実行する。
【０１５６】
第２事業会社サーバ１６は、第１事業会社第１サーバ１４Ａから送信された個人属性データ識別子とその個人属性データ識別子に対応する属性項目および匿名医療データとを受信する個人属性データ受信手段を実行する。第２事業会社サーバ１６には匿名医療データは送信されない。第２事業会社サーバ１６は、受信した個人属性データを属性項目毎に区分し、個人属性データをそれが属する属性項目の個人属性データ識別子に関連付けた状態で保持する個人属性データ保持手段を実行する。サーバ１６のハードディスクには、個人属性データ識別子、属性項目、個人属性データのみが保持され、患者の匿名医療データが保持されることはない（匿名医療データが格納されることはない）。
【０１５７】
第２事業会社サーバ１６は、医療機関サーバ１２Ａ，１２Ｂがサーバ１６にアクセスしたときに、医療機関サーバ１２Ａ，１２Ｂに認証手続を要求する認証手続要求手段を実行する。さらに、医療機関サーバ１２Ａ，１２Ｂが認証手続を行った後に、医療機関サーバ１２Ａ，１２Ｂが匿名医療データに対応する属性項目および個人属性データ識別子を提示して個人属性データの送信を要求すると、提示された属性項目および個人属性データ識別子とその属性項目および個人属性データ識別子に対応する個人属性データとを医療機関サーバ１２Ａ，１２Ｂに送信する個人属性データ送信手段を実行する。
【０１５８】
図２を援用し、図１３，１４の匿名医療データの格納手順の他の一例を説明すると、以下のとおりである。医療機関第１サーバ１２Ａは、インターネット２０に接続した後、第１事業会社第１サーバ１４Ａにアクセスし、患者番号と個人属性データと過去から現在までの匿名医療データと（医療情報）を第１サーバ１４Ａに送信する（医療情報送信手段）。
【０１５９】
第１事業会社第１サーバ１４Ａは、医療機関第１サーバ１２Ａから送信された医療情報（患者番号、診療録、診療記録、接見記録、問診記録、個人属性データ）を受信し（医療情報受信手段）、受信した医療情報を匿名医療データと個人属性データとに区分しつつ、患者に個別に設定された患者番号に関連付けた状態で匿名医療データのうち、過去から現在までの診療録のみを保持する（匿名医療データ保持手段）。
【０１６０】
第１事業会社第１サーバ１４Ａは、個人属性データが属する各属性項目にユニークな個人属性データ識別子を割り当て（個人属性データ識別子割当手段）、各属性項目と割り当てた各個人属性データ識別子とを患者番号に関連付けた状態で保持する（個人属性データ識別子保持手段）。第１サーバ１４Ａは、匿名医療データのうち、診療録のみを保持し、診療記録や接見記録、問診記録は保持しない。第１事業会社第１サーバ１４Ａのハードディスクには、図１３に示すように、患者番号に関連付けられた属性項目および個人属性データ識別子、匿名医療データ（診療録）が格納されている。診療録には、年月日、処置、処方、所見、オーダが含まれる。
【０１６１】
第１事業会社第１サーバ１４Ａは、インターネット２０に接続した後、第２事業会社サーバ１６と第１事業会社第２サーバ１４Ｂとにアクセスし、割り当てた個人属性データ識別子と属性項目および個人属性データとを第２事業会社サーバ１６に送信する（個人属性データ送信手段）。第１サーバ１４Ａは、患者番号と匿名医療データのうち、過去から現在までの診療記録や接見記録、問診記録を第２サーバ１４Ｂに送信する（医療情報送信手段）。なお、第１サーバ１４Ａは、個人属性データを第２事業会社サーバ１６に送信した後、その個人属性データをハードディスクから消去する。
【０１６２】
第１事業会社第２サーバ１４Ｂは、第１事業会社第１サーバ１４Ａから送信された医療情報（患者番号、診療記録、接見記録、問診記録）を受信する（医療情報受信手段）。第２サーバ１４Ｂは、患者番号に関連付けた状態で過去から現在までの診療記録、接見記録、問診記録を保持する（匿名医療データ保持手段）。第１事業会社第２サーバ１４Ｂのハードディスクには、図１４に示すように、患者番号に関連付けられた匿名医療データ（診療記録、接見記録、問診記録）が格納されている。診療記録には、年月日、撮影画像、メモ、会計が含まれる。接見記録および問診記録には、年月日、内容が含まれる。
【０１６３】
第２事業会社サーバ１６は、第１事業会社第１サーバ１４Ａから送信された個人属性データ識別子とその個人属性データ識別子に対応する属性項目および個人属性データとを受信する（個人属性データ受信手段）。第２事業会社サーバ１６は、受信した個人属性データを属性項目毎に区分し、個人属性データをそれが属する属性項目の個人属性データ識別子に関連付けた状態で保持する（個人属性データ保持手段）。第２事業会社サーバ１６のハードディスクに格納された個人属性データ識別子、属性項目、個人属性データは、図１２のそれと同一である。
【０１６４】
図８を援用し、医療機関第１サーバ１２Ａにおいて患者の実名医療データを作成する手順の他の一例を説明すると、以下のとおりである。なお、第１事業会社第１サーバ１４Ａには、図１３の匿名医療データが格納され、第１事業会社第２サーバ１４Ｂには、図１４の匿名医療データが格納されている。第２事業会社サーバ１６には、図１２の個人属性データが格納されている。最初に、医療機関第１サーバ１２Ａは、インターネット２０に接続し、第１事業会社第１サーバ１４ＡのＵＲＬを使用してサーバ１４Ａにアクセスする。
【０１６５】
医療機関第１サーバ１２Ａが第１事業会社第１サーバ１４Ａにアクセスすると、第１サーバ１４Ａは、第１サーバ１２Ａに認証手続きを要求し、図８に矢印１で示すように、サーバ１２Ａの正当性を判断する認証手続を行う（認証手続要求手段）。認証手続は図６のそれと同一であるから、図６のそれを援用し、その説明は省略する。
【０１６６】
認証結果が正当である場合、第１事業会社第１サーバ１４Ａから医療機関第１サーバ１２Ａへ図１３の匿名医療データのダウンロードが可能となり、サーバ１４Ａとサーバ１２Ａとの間で匿名医療データのダウンロード処理が行われる。逆に、認証結果が不当である場合、認証不可メッセージがサーバ１２Ａのディスプレイ１９に表示され、匿名医療データのサーバ１４Ａからサーバ１２Ａへのダウンロードを行うことができない。
【０１６７】
医療機関第１サーバ１２Ａが第１事業会社第２サーバ１４Ｂにアクセスすると、第２サーバ１４Ｂは、第１サーバ１２Ａに認証手続きを要求し、図８に矢印２で示すように、サーバ１２Ａの正当性を判断する認証手続を行う（認証手続要求手段）。認証手続は図６のそれと同一であるから、図６のそれを援用し、その説明は省略する。
【０１６８】
認証結果が正当である場合、第１事業会社第２サーバ１４Ｂから医療機関第１サーバ１２Ａへ図４の匿名医療データのダウンロードが可能となり、サーバ１４Ｂとサーバ１２Ａとの間で匿名医療データのダウンロード処理が行われる。逆に、認証結果が不当である場合、認証不可メッセージがサーバ１２Ａのディスプレイ１９に表示され、匿名医療データのサーバ１４Ｂからサーバ１２Ａへのダウンロードを行うことができない。
【０１６９】
医療機関第１サーバ１２Ａが第２事業会社サーバ１６にアクセスすると、サーバ１６は、第１サーバ１２Ａに認証手続きを要求し、図８に矢印３で示すように、サーバ１２Ａの正当性を判断する認証手続を行う（認証手続要求手段）。認証手続は図６のそれと同一であるから、図６のそれを援用し、その説明は省略する。
【０１７０】
認証結果が正当である場合、第２事業会社サーバ１６から医療機関第１サーバ１２Ａへ図５の個人属性データのダウンロードが可能となり、サーバ１６とサーバ１２Ａとの間で個人属性データのダウンロード処理が行われる。逆に、認証結果が不当である場合、認証不可メッセージがサーバ１２Ａのディスプレイ１９に表示され、個人属性データのサーバ１６からサーバ１２Ａへのダウンロードを行うことができない。
【０１７１】
匿名医療データのダウンロードが可能となった後、医療機関第１サーバ１２Ａは、図８に矢印４で示すように、所定の患者の患者番号を提示（患者番号を送信）して匿名医療データの送信を第１事業会社第１サーバ１４Ａに要求する。医療機関第１サーバ１２Ａが患者の患者番号を提示して匿名医療データの送信を要求すると、第１事業会社第１サーバ１４Ａは、提示された患者番号とハードディスクに格納された患者番号とを照合し、その患者番号に対応する個人属性データ識別子を特定する。
【０１７２】
次に、第１事業会社第１サーバ１４Ａは、特定した個人属性データ識別子とその個人属性データ識別子に対応する属性項目および匿名医療データ（診療録）とをハードディスクから抽出し、抽出した個人属性データ識別子、属性項目、匿名医療データを医療機関第１サーバ１２Ａに送信する（匿名医療データ送信手段）。医療機関第１サーバ１２Ａは、図８に矢印５で示すように、個人属性データ識別子とその個人属性データ識別子に対応する属性項目および過去から現在までの匿名医療データとを第１事業会社第１サーバ１４Ａから受信する（匿名医療データ受信手段）。
【０１７３】
匿名医療データのダウンロードが可能となった後であって、第１事業会社第１サーバ１４Ａから個人属性データ識別子、属性項目、匿名医療データを受信した後、医療機関第１サーバ１２Ａは、図８に矢印６で示すように、患者番号を提示（患者番号を送信）して匿名医療データの送信を第１事業会社第２サーバ１４Ｂに要求する。
【０１７４】
医療機関第１サーバ１２Ａが患者番号を提示して匿名医療データの送信を要求すると、第１事業会社第２サーバ１４Ｂは、その患者番号に対応する過去から現在までの匿名医療データ（診療記録、接見記録、問診記録）をハードディスクから抽出し、患者番号と抽出した匿名医療データとを医療機関第１サーバ１２Ａに送信する（匿名医療データ送信手段）。医療機関第１サーバ１２Ａは、図８に矢印７で示すように、患者番号と過去から現在までの匿名医療データとを第１事業会社第２サーバ１４Ｂから受信する（匿名医療データ受信手段）。
【０１７５】
個人属性データのダウンロードが可能となった後、医療機関第１サーバ１２Ａは、図８に矢印８で示すように、第１事業会社第１サーバ１４Ａから受信した匿名医療データに対応する属性項目および個人属性データ識別子を提示（属性項目および個人属性データ識別子を送信）して個人属性データの送信を第２事業会社サーバ１６に要求する。医療機関第１サーバ１２Ａが匿名医療データに対応する属性項目および個人属性データ識別子を提示して個人属性データの送信を要求すると、第２事業会社サーバ１６は、提示された属性項目および個人属性データ識別子とその属性項目および個人属性データ識別子に対応する個人属性データとをハードディスクから抽出し、抽出した個人属性データ識別子、属性項目、個人属性データをサーバ１２Ａに送信する（個人属性データ送信手段）。
【０１７６】
医療機関第１サーバ１２Ａは、図９に矢印９で示すように、個人属性データ識別子とその個人属性データ識別子に対応する属性項目および個人属性データとを第２事業会社サーバ１６から受信する（個人属性データ受信手段）。第１サーバ１２Ａは、第１事業会社第１サーバ１４Ａから受信した属性項目および個人属性データ識別子と第２事業会社サーバ１６から受信した属性項目および個人属性データ識別子とを比較しつつ、互いに一致する属性項目および個人属性データ識別子に対応する個人属性データと匿名医療データとを組み合わせて実名医療データを作成する（実名医療データ作成手段）。その具体的な手順は図１０の態様のシステムにおいて説明したそれと同一であるから、その詳細な説明は省略する。
【０１７７】
第１サーバ１２Ａは、作成した実名医療データをディスプレイ１９に表示し（実名医療データ出力手段）、実名医療データをプリンタを介して出力する（実名医療データ出力手段）。第１サーバ１２Ａは、作成した実名医療データをハードディスクに格納することもできる。図７を援用することで、作成された実名医療データの説明は省略する。
【０１７８】
図８を援用しつつ説明した医療情報管理システム１０は、匿名医療データを別個独立の第１事業会社第１サーバ１４Ａと第１事業会社第２サーバ１４Ｂとにおいて保持することで、匿名医療データが別々の第１事業会社１３Ａ，１３Ｂに分散して保管される。ゆえに、第１事業会社第１サーバ１４Ａと第１事業会社第２サーバ１４Ｂとのいずれかから匿名医療データが不正に持ち出されたり、外部に不用意に漏出したとしても、匿名医療データのうちの一部のみが判明するだけであり、匿名医療データの全内容が判明するリスクを回避することができる。また、第２事業会社サーバ１６から個人属性データが不正に持ち出されたり、外部に不用意に漏出したとしても、その個人属性データにそれに対応する医療データが含まれておらず、個人属性データから特定される人物の医療情報が判明することはなく、漏洩した個人属性データから医療情報を特定することはできない。
【０１７９】
この医療情報管理システム１０は、第１事業会社第１サーバ１４Ａが各属性項目と割り当てた個人属性データ識別子とを患者番号に関連付けた状態で保持するから、各個人属性データの組み合わせ情報が第１サーバ１４Ａで管理されており、第２事業会社サーバ１６において個人情報を特定することもできない。医療情報管理システム１０は、医療情報の秘匿性を確保することができるとともに、特定個人のプライバシーを保護することができる。医療情報管理システム１０は、医療機関第１サーバ１２Ａが第１事業会社第１サーバ１４Ａや第１事業会社第２サーバ１４Ｂから受信した匿名医療データに第２事業会社サーバ１６から受信した個人属性データを適用して特定個人の実名医療データを作成するから、病院１１Ａにおいて特定の人物の医療情報を確実に取得かつ確認することができる。
【符号の説明】
【０１８０】
１０    医療情報管理システム
１１Ａ  病院（医療機関）
１１Ｂ  病院（医療機関）
１２Ａ  医療機関第１サーバ（医療機関サーバ）
１２Ｂ  医療機関第２サーバ（医療機関サーバ）
１３Ａ  第１事業会社（第１業者）
１３Ｂ  第１事業会社（第１業者）
１４Ａ  第１事業会社第１サーバ（第１業社サーバ）
１４Ｂ  第１事業会社第２サーバ（第１業社サーバ）
１５    第２事業会社（第２業者）
１６    第２事業会社サーバ（第２業者サーバ）
２０    インターネット
【図１】
2010250756.tif 000003
【図２】
2010250756.tif 000004
【図３】
2010250756.tif 000005
【図４】
2010250756.tif 000006
【図５】
2010250756.tif 000007
【図６】
2010250756.tif 000008
【図７】
2010250756.tif 000009
【図８】
2010250756.tif 000010
【図９】
2010250756.tif 000011
【図１０】
2010250756.tif 000012
【図１１】
2010250756.tif 000013
【図１２】
2010250756.tif 000014
【図１３】
2010250756.tif 000015
【図１４】
2010250756.tif 000016