(57)【特許請求の範囲】
【請求項１】
第１の情報を受信し、ダミーデータ管理情報に基づき前記第１の情報に応じたダミー生成処理を選択し、選択したダミー生成処理に基づき前記第１の情報からダミーデータを含む第２の情報を生成し、前記第２の情報を登録する第１の処理手段と、
前記第１の情報の分析要求に対応して、前記ダミーデータ管理情報に基づき前記第２の情報から前記第１の情報を仮想的に復元し、匿名化処理により前記第１の情報から生成された匿名化情報を出力する第２の処理手段と、
を備えた情報処理システム。
【請求項２】
前記第２の処理手段は、前記分析要求に応じた匿名化処理を要求する請求項１の情報処理システム。
【請求項３】
前記第１の処理手段は、前記ダミーデータ管理情報に基づき前記第１の情報の種別に応じた前記ダミー生成処理を選択し、選択したダミー生成処理に基づき前記第１の情報から前記第２の情報を生成する請求項１又は２の情報処理システム。
【請求項４】
第１の情報を受信し、ダミーデータ管理情報に基づき前記第１の情報に応じたダミー生成処理を選択し、選択したダミー生成処理に基づき前記第１の情報からダミーデータを含む第２の情報を生成し、前記第２の情報を登録し、
前記第１の情報の分析要求に対応して、前記ダミーデータ管理情報に基づき前記第２の情報から前記第１の情報を仮想的に復元し、匿名化処理により前記第１の情報から生成された匿名化情報を出力する情報処理方法。
【請求項５】
前記分析要求に応じた匿名化処理を要求する請求項４の情報処理方法。
【請求項６】
前記ダミーデータ管理情報に基づき前記第１の情報の種別に応じた前記ダミー生成処理を選択し、選択したダミー生成処理に基づき前記第１の情報から前記第２の情報を生成する請求項４又は５の情報処理方法。
【請求項７】
請求項１乃至３の何れか１つの情報処理システムが備える各手段の処理をコンピュータに実行させるプログラム。
【発明の詳細な説明】
【技術分野】
【０００１】
この発明は、医療情報などの機密情報を処理する情報処理システム、情報処理方法、及びプログラムに関する。
【背景技術】
【０００２】
医療情報を流通させ、統計分析などに２次利用することが考えられている。例えば、流通しているデータを集め、統計処理をすることによって、地域ごとの疾病状況、及びある年のインフルエンザの流行状況を検出し、将来の製薬や公衆衛生管理の参考とするといったユースケースである。
【０００３】
医療情報は、「医療情報を受託管理する情報処理事業者向けガイドライン（http://www.meti.go.jp/policy/it_policy/privacy/iryouglv2.pdf）」などの各種ガイドラインや個人情報保護法に従った形式で保管・流通される必要がある。統計分析などの2次利用として収集したデータであっても個人が特定される形式でデータを保管することは、個人情報保護の観点から適切ではない。収集したデータについても、第三者に個人を特定されないように分析に利用してもらうことと保管することが重要である。
【０００４】
収集したデータを用いて、第三者に個人を特定されない形式で分析利用させる技術として、匿名化技術が知られている。匿名化技術は様々あるが、基本的には個人が特定されるような情報（氏名、性別）をマスクする、あるいはぼかした値にする処理を行う。マスクする場合、個人名を全く異なる値に書き替える、住所などの情報を県単位に書き替える。ぼかした値にする場合、年齢が23才であっても、23才の人が一人であれば、全体的に20才代と表現する様に値を書き替える。収集したデータを第三者に個人を特定されない形式で保管する方法・技術として、データ型などの定義と、その情報の必要度（必須、オプション）をもとにして、各データのカラムに適度なランダムな値を投入するダミーデータ生成技術が知られている。また、悪質なサイトに個人情報を入力した際に、デタラメな値を入力することで、自身が入力してしまった真の値を見分けがつかないようにする方法も考えられている。
【０００５】
しかしながら、個人を特定されないための匿名化技術とダミーデータ生成技術・方法は、独立した技術であり連携するものではないのが現状である。
【先行技術文献】
【特許文献】
【０００６】
【特許文献１】特開２００６−７１６９５
【特許文献２】特許４９１８５４４
【発明の概要】
【発明が解決しようとする課題】
【０００７】
匿名化技術のみでも第三者に個人を特定されない形式で収集したデータを保管することは可能である。この場合、オリジナルの情報から一部の情報が欠落するため、情報としての価値が低下し、その結果、統計処理の用途が限定されてしまったり、統計処理の精度が低下してしまったりすることがある。情報としての価値を落とさずに情報を保護し、個人が特定されない情報を管理・提示することを可能にするための仕組みが要望されている。
【０００８】
この発明は上記事情に着目してなされたもので、情報としての価値を落とさずにデータを保管し、且つ個人が特定されない情報を提示することが可能な情報処理システム、情報処理方法、及びプログラムを提供することにある。
【課題を解決するための手段】
【０００９】
上記目的を達成するためにこの発明の情報処理システム、情報処理方法、及びプログラムは、以下のように構成されている。
【００１０】
（１）情報処理システムは、第１の情報を受信し、ダミーデータ管理情報に基づき前記第１の情報に応じたダミー生成処理を選択し、選択したダミー生成処理に基づき前記第１の情報からダミーデータを含む第２の情報を生成し、前記第２の情報を登録する第１の処理手段と、前記第１の情報の分析要求に対応して、前記ダミーデータ管理情報に基づき前記第２の情報から前記第１の情報を仮想的に復元し、匿名化処理により前記第１の情報から生成された匿名化情報を出力する第２の処理手段と、を備える。
【００１１】
（２）さらに、上記（１）の情報処理システムの前記第２の処理手段は、前記分析要求に応じた匿名化処理を要求する。
【００１２】
（３）さらに、上記（１）又は（２）の情報処理システムの前記第１の処理手段は、前記ダミーデータ管理情報に基づき前記第１の情報の種別に応じた前記ダミー生成処理を選択し、選択したダミー生成処理に基づき前記第１の情報から前記第２の情報を生成する。
【００１３】
（４）情報処理方法は、第１の情報を受信し、ダミーデータ管理情報に基づき前記第１の情報に応じたダミー生成処理を選択し、選択したダミー生成処理に基づき前記第１の情報からダミーデータを含む第２の情報を生成し、前記第２の情報を登録し、前記第１の情報の分析要求に対応して、前記ダミーデータ管理情報に基づき前記第２の情報から前記第１の情報を仮想的に復元し、匿名化処理により前記第１の情報から生成された匿名化情報を出力する。
【００１４】
（５）さらに、上記（４）の情報処理方法は、前記分析要求に応じた匿名化処理を要求する。
【００１５】
（６）さらに、上記（４）又は（５）の情報処理方法は、前記ダミーデータ管理情報に基づき前記第１の情報の種別に応じた前記ダミー生成処理を選択し、選択したダミー生成処理に基づき前記第１の情報から前記第２の情報を生成する。
【００１６】
（７）プログラムは、上記（１）乃至（３）の何れか１つの情報処理システムが備える各手段の処理を、各手段のコンピュータに実行させる。
【発明の効果】
【００１７】
すなわちこの発明によれば、情報としての価値を落とさずにデータを保管し、個人が特定されない情報を提示することが可能な情報処理システム、情報処理方法、及びプログラムを提供することができる。
【００１８】
上記（１）の情報処理システム、上記（４）の情報処理方法、及び上記（７）のプログラムによれば、オリジナルの第１の情報をそのまま登録するのではなくダミーデータを含む第２の情報を登録することにより、オリジナルの第１の情報から一部の情報を欠落することなく、且つ第三者に個人が特定されない形式で情報を保管することができ、また、ダミーデータ管理情報に基づき第２の情報からオリジナルの第１の情報を仮想的に復元することにより、情報としての価値を保持することができ、また、匿名化処理により第１の情報から生成された匿名化情報を出力することより、第三者に個人が特定されない情報を提示することができる。
【００１９】
上記（２）の情報処理システム、上記（５）の情報処理方法、及び上記（７）のプログラムによれば、分析要求に応じた匿名化処理を要求するので、分析要求に応じた匿名化情報を得ることができ、様々な統計処理などに柔軟に対応することができる。
【００２０】
上記（３）の情報処理システム、上記（６）の情報処理方法、及び上記（７）のプログラムによれば、第１の情報の種別に応じたダミー生成処理に基づくダミー生成処理により第２の情報を生成するので、ダミーデータを含む第２の情報から第１の情報へ第三者が簡単に復元することはできず、ダミーデータを含む第２の情報の安全性を高めることができる。
【図面の簡単な説明】
【００２１】
【図１】実施形態に係る医療情報処理システムの概略構成を示す図である。
【図２】実施形態に係る医療情報処理システムによる処理シーケンスの一例を示す図である。
【図３】ダミーデータ管理ＤＢに記憶（登録）されたダミーデータ管理テーブルの一例を示す図である。
【図４】第１のダミー生成処理手法の一例を示す図である。
【図５】第２のダミー生成処理手法の一例を示す図である。
【発明を実施するための形態】
【００２２】
以下、図面を参照してこの発明に係わる実施形態を説明する。
【００２３】
図１は、実施形態に係る医療情報処理システムの概略構成を示す図である。図１に示すように、医療情報処理システムは、情報受付ＧＷ（Gateway）１、ダミーデータ管理ＤＢ（Data Base）２、ダミーデータ混在医療情報ＤＢ３、分析受付ＧＷ４、匿名化処理部５、及び匿名化処理情報記憶部６を備える。
【００２４】
また、医療情報処理システムは、インターネット１０を介して、医療機関ＡのＤＢ１１、医療機関ＢのＤＢ１２、調剤薬局ＣのＤＢ１３、自治体ＤのＤＢ１４、及び企業ＥのＤＢ１５と接続される。例えば、情報受付ＧＷ１は、ネットワークを介して、医療機関ＡのＤＢ１１、医療機関ＢのＤＢ１２、調剤薬局ＣのＤＢ１３、自治体ＤのＤＢ１４、及び企業ＥのＤＢ１５の何れか一つへアクセスして医療情報を受信することができる。
【００２５】
ここで、医療情報処理システムを構成する各部の詳細について簡単に説明する。なお、各部の詳細については後に説明する。情報受付ＧＷ１は、ネットワークを介して、各種医療機関の各種医療情報を受け付け、ダミーデータ管理テーブルに基づき医療情報に応じたダミー生成処理を選択し、選択したダミー生成処理に基づき医療情報（第１の情報）からダミーデータを含む医療情報（第２の情報）を生成し、ダミーデータを含む医療情報を登録する。つまり、「どの組織の」、「どの情報」を「どのダミーデータ生成処理」で処理するかを予め定義したダミーデータ管理テーブルを利用し、ダミーデータを含む医療情報が生成される。なお、上記定義が設定されていない場合には、デフォルトのダミー生成処理を選択するようにしてもよい。また、ダミーデータ管理テーブルにおいて定義を設定する方法は、ＳＱＬ（Structured Query Language）等で直接編集してもよいし、ＧＵＩ（Graphical User Interface）等を情報受付ＧＷ１に用意し、ＧＵＩ等から編集するようにしてもよい。ダミーデータ管理ＤＢ２は、ダミーデータ管理テーブルを記憶（登録）する。ダミーデータ混在医療情報ＤＢ３は、ダミーデータを含む医療情報を記憶（登録）する。分析受付ＧＷ４は、医療情報の分析要求を受け付け、ダミーデータ管理テーブルに基づきダミーデータを含む医療情報（第２の情報）からダミーデータを除去した医療情報（第１の情報）を生成（仮想的に復元）し、匿名化処理を要求する。匿名化処理部５は、匿名化処理の要求に基づき、匿名化処理によりダミーデータを除去した医療情報（第１の情報）から匿名化された医療情報を生成し、匿名化された医療情報を出力（提供）する。匿名化処理情報記憶部６は、匿名化処理された医療情報を一時的に記憶する。
【００２６】
なお、本実施形態では、医療情報を処理する医療情報処理システムについて説明するが、処理する情報は医療情報に限定されるものではなく、機密性が高く且つ一部の情報を隠す必要のある情報について適用可能である。
【００２７】
図２は、図１に示す医療情報処理システムによる処理シーケンスの一例を示す図である。図２に示すように、情報収集者は、例えばパーソナルコンピュータにより、ネットワークを介して情報受付ＧＷ１へアクセスし、情報登録を要求する（ＳＴ１１）。なお、情報収集者の意志による情報登録要求ではなく、パーソナルコンピュータなどが定期的に情報登録を要求してもよい。
【００２８】
例えば、医療機関Ａの電子カルテ情報の登録が要求されると仮定する。情報受付ＧＷ１は、医療機関Ａの電子カルテ情報の登録要求を受け付け、ダミーデータ管理ＤＢ２に対して医療機関Ａの電子カルテ情報の登録に関する定義情報の有無を確認する（ＳＴ１２）。情報受付ＧＷ１は、ダミーデータ管理ＤＢ２からの応答を受けて（ＳＴ１３）、ダミーデータ管理ＤＢ２に記憶されたダミーデータ管理テーブルに医療機関Ａの電子カルテ情報の登録に関する定義情報が含まれていることを確認できれば、医療機関Ａの電子カルテ情報の登録に関する定義情報に従って、医療機関ＡのＤＢ１１に対して電子カルテ情報の所在を確認し（ＳＴ１４）、医療機関ＡのＤＢ１１から転送される医療機関Ａの電子カルテ情報を受け取る（ＳＴ１５）。
【００２９】
図３は、ダミーデータ管理ＤＢ２に記憶（登録）されたダミーデータ管理テーブルの一例を示す図である。図３に示すように、ダミーデータ管理テーブルは、医療機関ＡのＤＢ１１の電子カルテ情報を第１のダミー生成処理手法（１）で登録する第１の定義情報（レコードNo.1）、医療機関ＡのＤＢ１１の調剤情報を第１のダミー生成処理手法（１）で登録する第２の定義情報（レコードNo.2）、医療機関ＢのＤＢ１２の電子カルテ情報を第１のダミー生成処理手法（１）で登録する第３の定義情報（レコードNo.3）、医療機関ＢのＤＢ１２の調剤情報を第２のダミー生成処理手法（２）で登録する第４の定義情報（レコードNo.4）などを含む。
【００３０】
例えば、図４は、第１のダミー生成処理手法（その１）の一例を示す図であり、図５は、第２のダミー生成処理手法（その２）の一例を示す図である。図４に示すように、第１のダミー生成処理手法によれば、真のデータ（第１の情報）の１つのレコードに含まれる第１、第２、及び第３の項目（人物名、日付、及び疾病名）を３つのレコードに分けて、真のデータ以外の項目にダミーデータを挿入し、真のデータ（第１の情報）からダミーデータ混在情報（第２の情報）を生成することができる。また、図５に示すように、第２のダミー生成処理手法によれば、真のデータの１つのレコードに含まれる第１、第２、及び第３の項目（人物名、日付、及び疾病名）をずらすことにより、真のデータ（第１の情報）からダミーデータ混在情報（第２の情報）を生成することができる。
【００３１】
なお、ダミー生成処理手法は、上記した第１及び第２のダミー生成処理手法に限定されるものではなく、真のデータの秘匿性を高めるための様々な手法を適用することができる。
【００３２】
上記説明したように、情報受付ＧＷ１は、ダミーデータ管理テーブルに含まれる医療機関Ａの電子カルテ情報の登録に関する第１の定義情報に基づき、医療機関Ａの電子カルテ情報を登録する。つまり、情報受付ＧＷ１は、ダミーデータ管理テーブルに含まれる医療機関Ａの電子カルテ情報の登録に関する第１の定義情報に基づき、第１のダミー生成処理手法を選択し、選択した第１のダミー生成処理手法に従い、真のデータである医療機関Ａの電子カルテ情報（第１の情報）からダミーデータ混在情報（第２の情報）を生成する（ＳＴ１６）。さらに、情報受付ＧＷ１は、ダミーデータ混在医療情報ＤＢ３に対してダミーデータ混在情報の登録を要求し（ＳＴ１７）、ダミーデータ混在医療情報ＤＢ３からの応答を受けて（ＳＴ１８）、ダミーデータ混在情報をダミーデータ混在医療情報ＤＢ３へ登録する。さらに、情報受付ＧＷ１は、ダミーデータ管理ＤＢ２のダミーデータ管理テーブルに対して、真のデータである医療機関Ａの電子カルテ情報（第１の情報）とダミーデータ混在情報（第２の情報）とが対応していることを示す情報を登録し（ＳＴ１９）、ダミーデータ管理ＤＢ２からの応答を受ける（ＳＴ２０）
以上により、医療機関Ａの電子カルテ情報は秘匿性の高いダミーデータ混在情報として登録される。
【００３３】
次に、分析者は、例えばパーソナルコンピュータにより、ネットワークを介して分析受付ＧＷ４へアクセスし、分析処理を要求する（ＳＴ２１）。例えば、医療機関Ａの電子カルテ情報の分析が要求されると仮定する。分析受付ＧＷ４は、医療機関Ａの電子カルテ情報の分析要求を受け付け、ダミーデータ管理ＤＢ２に対して医療機関Ａの電子カルテ情報に対してどのようなダミー生成処理が適用されたか確認する（ＳＴ２２）。分析受付ＧＷ４は、ダミーデータ管理ＤＢ２から医療機関Ａの電子カルテ情報の登録に関する定義情報などを受けて（ＳＴ２３）、ダミーデータ混在医療情報ＤＢ３に対して、医療機関Ａの電子カルテ情報に対応するダミーデータ混在情報の存在を確認し（ＳＴ２４）、その結果を受け取り（ＳＴ２５）、医療機関Ａの電子カルテ情報に対応するダミーデータ混在情報を要求し（ＳＴ２６）、医療機関Ａの電子カルテ情報に対応するダミーデータ混在情報を受け取る（ＳＴ２７）。
【００３４】
分析受付ＧＷ４は、医療機関Ａの電子カルテ情報の登録に関する定義情報に基づき、ダミーデータ混在情報から医療機関Ａの電子カルテ情報を生成（仮想的に復元）する。つまり、分析受付ＧＷ４は、医療機関Ａの電子カルテ情報の登録に関する定義情報に基づき、ダミーデータ混在情報からダミーデータを除去し、医療機関Ａの電子カルテ情報を生成する（ＳＴ２８）。さらに、分析受付ＧＷ４は、匿名化処理部５に対して、医療機関Ａの電子カルテ情報の匿名化処理を要求する（ＳＴ２９）。匿名化処理部５は、医療機関Ａの電子カルテ情報を受け取り、匿名化処理により医療機関Ａの電子カルテ情報から匿名化された医療機関Ａの電子カルテ情報を生成し（ＳＴ３０）、匿名化処理情報記憶部６へ匿名化された医療機関Ａの電子カルテ情報を登録（一時登録）する。分析受付ＧＷ４は、匿名化された医療機関Ａの電子カルテ情報の登録完了に伴い、結果を分析者のパーソナルコンピュータへ送信する（ＳＴ３１）。分析者は、パーソナルコンピュータにより、ネットワークを介して匿名化処理情報記憶部６へアクセスし、匿名化された医療機関Ａの電子カルテ情報を分析することができる（ＳＴ３２）。
【００３５】
例えば、医療機関Ａの電子カルテ情報に対する第１の分析要求（年齢構成を重視しない分析要求）が受け付けられたと仮定する。この場合には、分析受付ＧＷ４は、匿名化処理部５に対して、第１の分析要求に応じた第１の匿名化処理（年齢構成に関する匿名化処理を含む）を要求し、匿名化処理部５は、第１の分析要求に応じた第１の匿名化処理により医療機関Ａの電子カルテ情報から匿名化された医療機関Ａの電子カルテ情報（年齢構成に関する匿名化処理済みの情報）を生成する。或いは、医療機関Ａの電子カルテ情報に対する第２の分析要求（地域構成を重視しない分析要求）が受け付けられたと仮定する。この場合には、分析受付ＧＷ４は、匿名化処理部５に対して、第２の分析要求に応じた第２の匿名化処理（地域構成に関する匿名化処理を含む）を要求し、匿名化処理部５は、第２の分析要求に応じた第２の匿名化処理により医療機関Ａの電子カルテ情報から匿名化された医療機関Ａの電子カルテ情報（地域構成に関する匿名化処理済みの情報）を生成する。
【００３６】
なお、ダミーデータ管理ＤＢ２へのアクセスは管理者に制限され、情報収集者及び分析者等が外部からパーソナルコンピュータで自由にアクセスすることはできない。
【００３７】
医療情報処理システムの作用効果について説明する。
【００３８】
上記したように、医療情報を平文で保管することは、安全性の面から適切ではない。しかしながら、予め匿名化処理により匿名化された医療情報を保管すると、オリジナルの医療情報に含まれていた一部の情報が欠落するため、統計処理に支障が出たり、統計処理の用途が限定されたりすることが考えられる。
【００３９】
例えば、年齢構成に関する匿名化処理済みの医療情報を保管する場合、年齢構成については外れ値が除去されるが、年齢構成を使った統計の精度が低下することが考えられ、統計処理の用途が限定されてしまう。また、地域構成に関する匿名化処理済みの医療情報を保管する場合、地域構成については外れ値が除去されるが、地域構成を使った統計の精度が低下することが考えられ、統計処理の用途が限定されてしまう。
【００４０】
統計処理の用途が限定されないように、複数の統計処理を想定し複数の匿名化処理で医療情報を匿名化し、複数の匿名化された医療情報を保管する手法も考えられるが、複数の匿名化処理を実施し、複数の匿名化された医療情報を保管する負担は大きく非効率であるし、結局、事前に用意された匿名化医療情報に限定されてしまう。
【００４１】
本医療情報処理システムによれば、ダミー生成処理によりダミーデータを混在させた医療情報を保管することにより、一定水準での医療情報の安全性を確保することができる。これにより、例えば、悪意のある人物により、保管されている医療情報が抜き取られたとしても、抜き取られた医療情報にはダミー生成処理によりダミーデータが混在されているので、抜き取られた医療情報から正しい情報をつかむことは容易ではない。
【００４２】
さらに、本医療情報処理システムによれば、統計処理で医療情報が必要となったタイミングで、ダミーデータが混在された医療情報からダミーデータを除去してオリジナルの医療情報を生成し、統計処理に応じた匿名化処理（Ｋ匿名化などの匿名化手法）により匿名化された医療情報を提供する。これにより、正確な統計処理及び様々な統計処理への対応が可能となる。例えば、第１の統計処理で医療情報が必要となったタイミングで、年齢構成に関する匿名化処理済みの医療情報（年齢構成においては外れ値が除去された医療情報）を匿名化処理情報記憶部６に一時的に記憶したり、第２の統計処理で医療情報が必要となったタイミングで、地域構成に関する匿名化処理済みの医療情報（地域構成においては外れ値が除去された医療情報）を匿名化処理情報記憶部６に一時的に記憶したりする。また、匿名化された医療情報は、使用後に破棄する。これにより、匿名化された医療情報を記憶する記憶資源を有効活用することができる。
【００４３】
なお、上記ダミー生成処理、匿名化要求処理、及び匿名化処理等の処理の手順は全てソフトウェアによって実行することが可能である。このため、上記処理の手順を実行するプログラムを格納したコンピュータ読み取り可能な記憶媒体を通じてこのプログラムを通常のコンピュータにインストールして実行するだけで、上記処理を容易に実現することができる。
【００４４】
例えば、情報受付ＧＷ１、分析受付ＧＷ４、及び匿名化処理部５は、上記プログラムをダウンロードし、ダウンロードしたプログラムを記憶し、プログラムのインストールを完了することができる。これにより、上記コンピュータに相当する情報受付ＧＷ１、分析受付ＧＷ４、及び匿名化処理部５は、インストールされた上記プログラムに基づき、上記処理を容易に実現することができる。
【００４５】
また、情報受付ＧＷ１、分析受付ＧＷ４、及び匿名化処理部５は、コンピュータ読み取り可能な記憶媒体から上記プログラムを読み取り、読み取ったプログラムを記憶し、プログラムのインストールを完了することができる。これにより、情報受付ＧＷ１、分析受付ＧＷ４、及び匿名化処理部５は、インストールされた上記プログラムに基づき、上記処理を容易に実現することができる。
【００４６】
その他にも、この発明の要旨を逸脱しない範囲で種々変形して実施可能である。
【００４７】
要するにこの発明は、上記実施形態そのままに限定されるものではなく、実施段階ではその要旨を逸脱しない範囲で構成要素を変形して具体化できる。また、上記実施形態に開示されている複数の構成要素の適宜な組み合せにより種々の発明を形成できる。例えば、実施形態に示される全構成要素から幾つかの構成要素を削除してもよい。さらに、異なる実施形態に亘る構成要素を適宜組み合せてもよい。
【符号の説明】
【００４８】
１…情報受付ＧＷ、２…ダミーデータ管理ＤＢ、３…ダミーデータ混在医療情報ＤＢ、４…分析受付ＧＷ、５…匿名化処理部、６…匿名化処理記憶部、１１…医療機関ＡのＤＢ、１２…医療機関ＢのＤＢ、１３…調剤薬局ＣのＤＢ、１４…自治体ＤのＤＢ、１５…企業ＥのＤＢ。
【図１】
0006002712.tif 000002
【図２】
0006002712.tif 000003
【図３】
0006002712.tif 000004
【図４】
0006002712.tif 000005
【図５】
0006002712.tif 000006