(57)【要約】【課題】  秘匿性が高く、真正性が保障され、データセンタが不要なデータ交換方法、データ交換管理装置およびデータ交換管理プログラムを提供する。【解決手段】  データを取得するための当該データの位置を示す照会情報と、その照会情報を暗号化した情報（署名）を付した署名付照会情報をデータ送信元端末１Ａで生成し、データ受信先端末１Ｂからデータ送信元端末１Ａへのデータ要求の際には、データ受信先端末１Ｂが所定の手順によって取得した署名付照会情報を送信する。送信した署名付照会情報はデータ送信元端末１Ａで内容を検証され、検証が成功した後、データ送信元端末１Ａは当該データをデータ受信先端末１Ｂへ送信する。【選択図】      図１
2006333250.tif 000002
【特許請求の範囲】
【請求項１】
複数の端末と、前記複数の端末を管理するデータ交換管理装置とがネットワークを介して接続されてデータ交換を行うデータ交換方法であって、
前記複数の端末のうち、データ送信元となるデータ送信元端末が、
データを抽出するための照会情報と、前記照会情報の改竄を防止するための暗号化情報とを生成するステップを含んで実行し、
前記データ交換管理装置が、
前記データ送信元端末から前記照会情報と前記暗号化情報とを取得し、保存するステップと、
前記暗号化情報を検証するステップとを含んで実行し、
前記複数の端末のうち、データ受信先となるデータ受信先端末が、
前記照会情報と前記暗号化情報とを前記データ交換管理装置から取得するステップと、
前記照会情報と前記暗号化情報を基に、前記データ送信元端末から所定のデータを取得するステップと
を含んで実行することを特徴とするデータ交換方法。
【請求項２】
前記データ交換管理装置が、
前記照会情報から照会キーを生成するステップと、
前記照会キーを前記データ送信元端末へ送信するステップとを含んで実行し、
前記データ送信元端末が、
前記データ交換管理装置からの前記照会キーを受信するステップを含んで実行し、
前記データ受信先端末が、
前記データ送信元端末に送信され、所定の手順により取得した前記照会キーを、前記データ交換管理装置に送信するステップを含んで実行し、
前記データ交換管理装置が、
前記データ受信先端末から前記照会キーを受信するステップと、
受信した前記照会キーを認証するステップと
をさらに含んで実行することを特徴とする、請求項１に記載のデータ交換方法。
【請求項３】
前記データ送信元端末が、
前記照会情報に照会情報ＩＤおよびタイムスタンプを付与するステップと、
前記照会情報ＩＤおよび前記タイムスタンプを検証するステップと
をさらに含んで実行することを特徴とする、請求項１に記載のデータ交換方法。
【請求項４】
複数の端末がネットワークを介して接続されてデータ交換を行うデータ交換方法であって、
前記複数の端末のうち、データ送信元となるデータ送信元端末が、
データを抽出するための照会情報と、前記照会情報の改竄を防止するための暗号化情報とを生成するステップと、
前記照会情報と前記暗号化情報とを、前記複数の端末のうち、データ受信先となるデータ受信先端末に送信するステップと、
前記暗号化情報を検証するステップとを含んで実行し、
前記データ受信先端末が、
前記照会情報と前記暗号化情報とを前記データ送信元端末から取得し、保存するステップと、
前記照会情報と前記暗号化情報を基に、前記データ送信元端末から所定のデータを取得するステップと
を含んで実行することを特徴とするデータ交換方法。
【請求項５】
複数の端末と、前記複数の端末を管理するデータ交換管理装置とがネットワークを介して接続されたデータ交換システムに用いられる前記データ交換管理装置であって、
前記データ交換管理装置は、
前記複数の端末のうち、データ送信元となるデータ送信元端末と、データ受信先となるデータ受信先端末、および前記データ交換管理装置との間に暗号化通信路を設置するセッション管理部と、
前記データ送信元端末から、データを抽出するための照会情報と前記照会情報の改竄を防止するための暗号化情報とを取得し保存した、前記照会情報および前記暗号化情報を、前記データ受信先端末装置に送信する照会管理部と、
前記暗号化情報を検証する電子署名検証部と、
を備えることを特徴とする、データ交換管理装置。
【請求項６】
前記照会管理部は、
前記照会情報から照会キーを生成し、前記データ送信元端末へ前記照会キーを送信する機能と、
前記データ送信元端末に送信され所定の手順により前記データ受信先端末が取得した前記照会キーを、前記データ受信先端末から受信し、その前記照会キーを認証する機能と、
前記データ受信先端末から受信した前記照会キーに対応する照会情報および暗号化情報を抽出する機能と
をさらに備えることを特徴とする、請求項５に記載のデータ交換管理装置。
【請求項７】
請求項１から請求項４のいずれか一項に記載のデータ交換方法を、コンピュータに実行させることを特徴とするデータ交換管理プログラム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、コンピュータネットワーク上の情報システムによるデータ交換方法、データ交換管理装置およびデータ交換管理プログラムに関する。
【背景技術】
【０００２】
近年の医療分野において、医療の質の向上と経済性の向上という二つの観点から、医療施設の専門化や役割分担が進んできている。すなわち、診療所などはかかりつけ医として、地域中核病院は診療所などで対応の難しい重大な傷病や救急の治療を行う場として、また、特定機能病院はがんや臓器移植などの高度な治療を行う場として、それぞれの役割を担うことが政策的かつ社会的に期待されている。また、その中でも各医療機関が、様々な専門性に特化したり、一つの医療機関の中でも幾つかの領域に特化したり、といった役割を担うことも期待されている。
【０００３】
このように、医療の質と経済性向上の観点から医療機関の分化が進められる中で、問題となるのは医療の継続性である。すなわち、一人の患者が様々な医療機関で受診する結果、ある医療機関での診療状況が別の医療機関で把握できずに、患者に対して誤った対応を行ってしまう可能性がある。さらに、診療所などから地域中核病院への患者紹介や、その逆である患者逆紹介の場合にも、疾病や治療方法の情報不足による治療方針の食い違いや詳細な医療データの欠如が起きる可能性も考えられる。
【０００４】
この医療機関の分化と医療の継続性の二つを同時に達成するために、複数の医療機関に渡ってデータを共有もしくは交換するシステムを提供することで、継続性を保つものがある。しかしながら、安易にデータ共有や交換を行うと、高度な個人情報がネットワーク上を流れることになり、盗聴や改竄などの問題が発生する。すなわち、秘匿性が問題となる。
【０００５】
医療情報には非常に高い秘匿性が求められるが、秘匿性が求められるのは医療に限らず、例えば、資産情報を含む金融情報や、購買情報を含む流通情報、居住地や家族構成を含む住民情報などの分野でも、高い秘匿性が求められている。
【０００６】
以下にネットワークの秘匿性に関する従来技術を示す。
通常、行われている秘密データ交換方法に関する従来技術には、拠点間をＶＰＮ（Virtual Private Network）で結ぶ方法がある。これは拠点の双方に鍵を配布し、その鍵で暗号化、復号化を行い、経路の途中でデータを見ても内容が判らないようにする方法である。
【０００７】
例えば、特許文献１では、地域中核病院に診療情報の共有データベースを設置し、地域中核病院と診療所などとの間をＶＰＮで結び、データ交換の機密性を維持する方法が提案されている。ここではデータを集約して管理するデータセンタを用いて紹介状を交換する方法が示されており、医療関連情報データベースに接続されている医療連携サーバとクライアント端末とのデータ送受信には所定の秘密鍵で作成した署名を付し、かつ暗号鍵で暗号化して行われる。なお、鍵には公開鍵暗号方式や共通鍵暗号方式が使用されている。
【０００８】
特許文献２では、データ管理センタに医療や健康に関する情報を集積し、それとともに各情報へのユーザ毎のアクセス可否を記録した開示制御情報を蓄積し、それに基づいてユーザ認証を行い、該当ユーザに対してアクセス可とされたデータのみを開示する方法が提案されている。
【０００９】
特許文献３では、データを集約して管理するデータセンタを用いずに分散環境で、医療機関関係者が使用するピア端末間で直接通信する方法が示されている。第一のステップで当該患者に適合する紹介先医療機関を検索し、第二のステップで当該紹介先医療機関に医療紹介状を暗号化して送信している。
【特許文献１】特開２０００−３３１１０１号公報
【特許文献２】特開２００３−６７５０６号公報
【特許文献３】特開２００４−２９５７００号公報
【発明の開示】
【発明が解決しようとする課題】
【００１０】
しかしながら、前記従来技術には、以下に記載するような問題がある。
第１の問題点は、データをアクセス権限のないユーザが見たり、通信路を覗き見したりすることを抑止する秘匿性の問題である。これは医療機関の拠点間を暗号化する従来技術によりある程度保証されているが、高度な個人情報を扱う上では充分ではない。例えば、医療機関に住居侵入もしくはハッキングなどで侵入された場合、これらのデータを見られる可能性が高まる。また、例えばある患者が医療機関Ａから医療機関Ｂに紹介されたにもかかわらず、患者が医療機関Ｂに行かなかった場合でもデータを送信しているので、医療機関Ｂまたはデータセンタなどに不必要なデータが蓄積されデータを見られる可能性が高まる。
【００１１】
第２の問題点は、データが改竄されていない真のデータであるということを保証する真正性の問題である。例えば、データが途中で改竄されたり他のユーザから信頼性のない情報が送られたりした場合、受信側の医療機関では誤った情報のデータによって診療を行う可能性があり、患者に大きな影響を及ぼしかねない。このようなことを防ぐために、データが真のものであることを保証する必要がある。
【００１２】
第３の問題点は、特許文献１、２に示されているようなデータセンタ構築にかかる経済性および管理体制の問題である。特許文献１、２ではデータセンタを構築して、各データにアクセス権限を設定している。しかしながら、データセンタ構築には大量の記憶装置設備や維持管理する体制の確保など、運用コストがかかる。
【００１３】
なお、特許文献３では、データセンタではなく分散型のネットワークシステムとしているが、暗号化を行っているとはいえ、直接データを相手に送っており、前記第１と第２の問題点は残っている。
【００１４】
前記問題の一例として記述した問題に鑑みた本発明の目的は、秘匿性が高く、真正性が保障され、データセンタが不要なデータ交換方法、データ交換管理装置、およびデータ交換管理プログラムを提供することである。
【課題を解決するための手段】
【００１５】
前記した問題を解決するため、本発明は、複数の端末と、前記複数の端末を管理するデータ交換管理装置とがネットワークを介して接続されてデータ交換を行うデータ交換方法であって、前記複数の端末のうち、データ送信元となるデータ送信元端末が、データを抽出するための照会情報と、前記照会情報の改竄を防止するための暗号化情報とを生成するステップを含んで実行し、前記データ交換管理装置が、前記データ送信元端末から前記照会情報と前記暗号化情報とを取得し、保存するステップと、前記暗号化情報を検証するステップとを含んで実行し、前記複数の端末のうち、データ受信先となるデータ受信先端末が、前記照会情報と前記暗号化情報とを前記データ交換管理装置から取得するステップと、前記照会情報と前記暗号化情報を基に、前記データ送信元端末から所定のデータを取得するステップとを含んで実行する方法とした。
その他の手段については、後記する実施形態で述べる。
【発明の効果】
【００１６】
本発明のデータ交換方法によれば、秘匿性を向上することが可能となり、真正性も保障される。また、データを直接送信元の機関から受信先の機関へ送信することで、データセンタを使用することなく、分散型でデータを保存できる。
【発明を実施するための最良の形態】
【００１７】
以下、本発明を実施するための最良の形態（以下、実施形態とする）について、図面を参照しながら説明する。
【００１８】
<<第１の実施形態>>
第１の実施形態は、データ送信元端末（以下、「送信元」と適宜記載）が、作成した署名付照会情報を、データ交換管理装置へ送信し保存する。データ交換管理装置はデータ受信先端末（以下、「受信先」と適宜記載）へ、保存してある署名付照会情報を送信し、データ受信先端末は署名付照会情報を用いてデータ送信元端末へデータを要求し、取得する。以上の処理の実施形態である。
図１は本発明に係るデータ交換システムの第１の実施形態における概略を説明する図である。本実施形態のデータ交換方法では、データ送信元端末１Ａからデータ受信先端末１Ｂにデータを送信する手法は大きく二つの処理に分けられる。一つはデータ送信元端末１Ａからデータ交換管理装置３への「署名付照会情報の送信」を含む一連の処理（二重線で示す）であり、もう一つはデータ交換管理装置３を利用した、データ受信先端末１Ｂからデータ送信元端末１Ａへの「データの要求と取得」を含む一連の処理（破線で示す）である。
なお、本明細書において、データとは、例えば前記した医療に関する電子カルテなどの、データ送信元端末からデータ受信先端末へ送信されるデータとする。
【００１９】
まず、図１の構成要素について説明する。
データ送信元端末１Ａは、データを送信する側の端末をあらわす。データ送信元端末１Ａに備わっている機能として、セッション制御部１Ａ−ａ、照会管理部１Ａ−ｂ、電子署名部１Ａ−ｃ、データ管理アプリケーション部（以下、「データ管理アプリ」と適宜記載）１Ａ−ｄがある。
セッション制御部１Ａ−ａは、データを送受信する端末間の暗号化通信路（ＶＰＮ）のセッション開始や終了の要求などの処理を行う。なお、ここでセッションとは、端末（１Ａ，１Ｂ）間もしくはデータ交換管理装置３と端末（１Ａ，１Ｂ）間において論理的に接続される通信路のことである。照会管理部１Ａ−ｂは、照会情報を管理し、また、データの送信などを行う。なお、照会情報の説明は、図２を参照して後記する。電子署名部１Ａ−ｃは、照会情報に署名を付する。データ管理アプリ１Ａ−ｄは送信元のユーザが本システムを使用するための業務アプリケーションであり、保存データから送信するデータを指定するなどの機能を持つ。
【００２０】
データ受信先端末１Ｂは、データを受信する側の端末をあらわす。データ受信先端末１Ｂに備わっている機能として、セッション制御部１Ｂ−a、照会管理部１Ｂ−ｂ、データ取得アプリケーション部（以下、「データ取得アプリ」と適宜記載）１Ｂ−ｄがある。
セッション制御部１Ｂ−ａは、データを送受信する端末（１Ａ，１Ｂ）間の暗号化通信路（ＶＰＮ）のセッション開始や終了の要求などの処理を行う。照会管理部１Ｂ−ｂは、受信した署名付照会情報を管理し、また、データの受信などを行う。データ取得アプリ１Ｂ−ｄは、受信先ユ−ザが本システムを使用するための業務アプリケーションであり、受信するデータの選択や、受信データの参照などを行う機能を持つ。なお、本システムの送信元と受信先の対称的な運用では送受信が入れ替わる場合もある。そのため、データ管理アプリ１Ａ−ｄとデータ取得アプリ１Ｂ−ｄは、同じ業務アプリケーションを想定しているが、送信側と受信側でアプリケーションの使用目的が異なるため、分かりやすいように異なる名称で記載する。
【００２１】
データ交換管理装置３は、データを送受信するための照会情報を管理する装置である。データ交換管理装置３に備わっている機能として、セッション管理部３ａ、照会管理部３ｂ、電子署名検証部３ｃがある。セッション管理部３ａは、データ送信元端末１Ａやデータ受信先端末１Ｂからのセッション開始要求を受信して認証を行い、暗号化通信路を設定し、セッションを確立する。暗号化通信路は、例えばＶＰＮなどを用いて実現される。照会管理部３ｂは、データ送信元端末１Ａから送信されてきた照会情報を保存する。電子署名検証部３ｃは、送信されてきた署名付照会情報の検証を行う。
【００２２】
本実施形態のデータ送信元端末１Ａ、データ受信先端末１Ｂなどの端末とデータ交換管理装置３のハードウェア構成は、ＣＰＵ（Central Processing Unit）、メモリ、ハードディスクなどの記憶装置、キーボードやマウスなどの入力装置、ディスプレイなどの出力装置、ネットワークを介して通信を行う通信装置からなる。
本発明のデータ交換システム（データ送信元端末１Ａ、データ受信先端末１Ｂ、データ交換管理装置３）は、予めデータ交換管理プログラムをデータ送信元端末１Ａ、データ受信先端末１Ｂ、およびデータ交換管理装置３のメモリに格納しており、これをデータ送信元端末１Ａ、データ受信先端末１Ｂおよびデータ交換管理装置３それぞれのＣＰＵが読み出し実行することで、それぞれの機能を有する状態となる。
つまり、データ送信元端末１Ａではセッション制御部１Ａ−ａ，照会管理部１Ａ−ｂ，電子署名部１Ａ−ｃ、およびデータ管理アプリケーション部１Ａ−ｄの各部が機能し、データ受信先端末１Ｂではセッション制御部１Ｂ−a，照会管理部１Ｂ−ｂおよびデータ取得アプリケーション部１Ｂ−ｄの各部が機能し、データ交換管理装置３ではセッション管理部３ａ，照会管理部３ｂおよび電子署名検証部３ｃの各部が機能する。
データ送信元端末１Ａ、データ受信先端末１Ｂなどの端末には、ユーザ認証が個人となる場合、例えばＩＣカードなどの可搬型記憶媒体でユーザ認証などの処理が行われる。なお、データ交換管理装置３については、可搬型媒体とその読取装置はなくてもよいが、その機能の替わりに入力装置を使用するなど、何らかの方法で認証に必要な暗号鍵を設定できればよい。
【００２３】
ここで、照会情報について説明する。
照会情報とは、データ送信元端末１Ａを表すアドレスと、そのデータ送信元端末１Ａ内で当該データの位置を表すＵＲＬ（Uniform Resource Locator）を含んだ情報である。図２は照会情報と署名のデータ構造の例である。
図２に示すとおり、照会情報は、送信元ユーザ情報２０１、受信先ユーザ情報２０２、照会情報実部２０３の項目で構成され、この照会情報に署名２０４が加わったものを署名付照会情報と記載する。
【００２４】
送信元ユーザ情報２０１や受信先ユーザ情報２０２は、例えばメールアドレスが用いられるが、ネットワーク内で一意であればIPアドレスや端末名でもよい。照会情報実部２０３は、直接送信元のデータの所在を指すＵＲＬが記載されるが、その形式は送信元が判別できる形であればよく、例えば送信元のデータベースと該当データベースからデータを取得するSQL（Structured Query Language）の組で記載したり、データ送信元端末１Ａの独自形式などを利用したりすることも可能であり、その分自由度は高くなるという利点を有する。また、SQLを使用する場合、データの送信だけでなく、データの削除や更新、追加などを本方法によって安全に行うことも可能になる。図２の照会情報実部２０３には、その際に用いられるSQL文の例を記載してある。例えば、送信元のデータに個人情報が登録してある場合に、データ受信先端末１Ｂを用いて、ユーザが自分の情報をデータベースから削除する場合や、自分の住所を変更する場合、また新たに家族情報を付け加える場合などに活用することができる。また、アンケート結果などのデータの追加にも使用することが可能である。
署名２０４は、送信元ユーザ情報２０１、受信先ユーザ情報２０２、照会情報実部２０３の文書に対して、送信元のユーザの公開鍵暗号によるハッシュ値などが記載される。この署名２０４を付与することで、照会情報実部２０３を改竄された場合には署名２０４と一致しなくなる。これにより照会情報の内容を改竄されたことが判別可能となる。
【００２５】
なお、照会情報の受信先ユーザ情報２０２には、データ受信先端末１Ｂに複数のアドレスを記載することで、同一の照会情報を複数のデータ受信先端末１Ｂに送ることが可能である。これにより、効率的に照会情報を生成することが可能となる。
【００２６】
データ送信する際の、「署名付照会情報の送信」を含む一連の処理（図１の二重線の部分）について、図３に沿って適宜図１を参照しながら説明する。
この処理は送信元のユーザから見ると、業務で使用しているアプリケーション（ここではデータ管理アプリ１Ａ−ｄ）にログインし、あるデータを選択し、データ受信先端末１Ｂを選択し、その受信先にデータを送信する処理を実行する場合に相当する。
【００２７】
まず、データ送信元端末１Ａのセッション制御部１Ａ−ａは、データ交換管理装置３のセッション管理部３ａにセッション開始要求を行う（Ｓ３０１）。セッション管理部３ａはユーザ認証などの認証手続きを行い（Ｓ３０２）、認証が成功すると、データ送信元端末１Ａとデータ交換管理装置３との間に暗号化通信路のセッションが確立される（Ｓ３０３）。これにより以降のデータ交換の秘匿性が保たれる。
【００２８】
次に、データ送信元端末１Ａのデータ管理アプリ１Ａ−ｄは、図示しない入力装置を介してユーザによって選択された、送信対象となるデータの照会情報を生成し（Ｓ３０４）、照会管理部１Ａ−ｂに送信する（Ｓ３０５）。受信した照会管理部１Ａ−ｂは、電子署名部１Ａ−ｃに照会情報の署名を要求し（Ｓ３０６）、それにより電子署名部１Ａ−ｃは署名を生成して（Ｓ３０７）、署名付照会情報を照会管理部１Ａ−ｂへ送信する（Ｓ３０８）。なお、ステップＳ３０１〜Ｓ３０３とステップＳ３０４〜Ｓ３０８の順序は逆でも構わない。その後、データ送信元端末１Ａの照会管理部１Ａ−ｂは、署名付照会情報をデータ交換管理装置３の照会管理部３ｂへ送信する（Ｓ３０９）。照会管理部３ｂは、受信した署名付照会情報を保存する（Ｓ３１０）。
【００２９】
この後、ユーザからの要求もしくは既定時間に応じて、データ送信元端末１Ａのセッション制御部１Ａ−ａはデータ交換管理装置３のセッション管理部３ａにセッション終了要求を送信し（Ｓ３１１）、データ交換管理装置３はデータ送信元端末１Ａとのセッションを終了する（Ｓ３１２）。
なお、照会情報を複数送信する場合は、１回毎にセッションを開始や終了をせずに、ステップＳ３０９〜Ｓ３１０を繰り返すことで複数の照会情報を送信してから、セッションを終了してもよい。また、暗号化通信路の設定には公開鍵暗号化方式や共有鍵暗号化方式、電子署名には公開鍵署名方式を用いることが好ましい。
【００３０】
次に「データの要求と取得」を含む一連の処理（図１の破線の部分）について図４に沿って適宜図１を参照しながら説明する。この処理は、受信先のユーザから見ると、業務で使用しているアプリケーション（ここではデータ取得アプリ１Ｂ−ｄ）にログインし、照会情報の一覧によって自分宛のデータがないか確認し、あればデータを受信する処理を実行する場合に相当する。
【００３１】
まず、データ受信先端末１Ｂのセッション制御部１Ｂ−ａはデータ交換管理装置３のセッション管理部３ａにセッション開始要求を行う（Ｓ４０１）。受信したセッション管理部３ａはユーザ認証などの認証手続きを行い（Ｓ４０２）、認証が成功すると、データ受信先端末１Ｂとデータ交換管理装置３との間に暗号化通信路のセッションが確立される（Ｓ４０３）。これにより以降のデータ交換の秘匿性が保たれる。
次に、データ交換管理装置３の照会管理部３ｂは、受信したセッション開始要求に含まれる情報から、当該データ受信先端末１Ｂまたはユーザに宛てられたデータに該当する署名付照会情報を図３のステップＳ３１０で保存した署名付照会情報より抽出する（Ｓ４０４）。照会管理部３ｂは電子署名検証部３ｃに、抽出した署名付照会情報の署名の検証を要求し（Ｓ４０５）、電子署名検証部３ｃは署名を検証し（Ｓ４０６）、その検証結果を照会管理部３ｂへ送信する（Ｓ４０７）。受信した照会管理部３ｂは、署名付照会情報の検証結果から、検証が成功したか否かを判定し（Ｓ４０８）、検証が成功だった場合（Ｓ４０８→Ｙ）、署名検証済み署名付照会情報をデータ受信先端末１Ｂの照会管理部１Ｂ−ｂに送信する（Ｓ４０９）。なお、ステップＳ４０５〜Ｓ４０８の署名の検証は、ここで行う代わりに、図３のステップＳ３０９の後（署名付照会情報を保存する前）に行ってもよい。この場合、署名が検証された照会情報のみが保存されるという利点がある。一方、ステップＳ４０８が成功でない場合は、ステップＳ４０９の処理は行わず、必要に応じて成功しなかったことをデータ受信先端末１Ｂへ通知する（図示せず）。
次に、データ受信先端末１Ｂの照会管理部１Ｂ−ｂは、受信した署名付照会情報をデータ取得アプリ１Ｂ−ｄへ送信することで、データ取得アプリ１Ｂ−ｄは図示しない画面表示装置などに照会情報を画面表示させる（Ｓ４１０）。表示された照会情報の一覧から、データを取得する照会情報をデータ受信側のユーザが選択し、入力装置などによって照会情報が照会管理部１Ｂ−ｂに送信される（Ｓ４１１）。データ受信側の画面については、図５を参照して後記する。
【００３２】
次に、データ受信先端末１Ｂのセッション制御部１Ｂ−ａはデータ交換管理装置３のセッション管理部３ａにセッション開始要求を送信する（Ｓ４１２）。この要求には、データ受信する相手として必要となるデータ送信元端末１Ａの情報も含まれており、その情報によって、セッション管理部３ａはデータ送信元端末１Ａのセッション制御部１Ａ−ａへセッション開始要求を送信する（Ｓ４１３）。セッション制御部１Ａ−ａは受信した情報に基づいてユーザ認証などの認証手続きを行い（Ｓ４１４）、認証が成功すると、データ送信元端末１Ａとデータ交換管理装置３との間に暗号化通信路のセッションが確立される（Ｓ４１５）。また、セッション管理部３ａによって、データ受信先端末１Ｂとデータ送信元端末１Ａの間にも暗号化通信路のセッションが確立される（Ｓ４１６）。
【００３３】
続いて、データ受信先端末１Ｂの照会管理部１Ｂ−ｂがデータ送信元端末１Ａの照会管理部１Ａ−ｂに署名付照会情報を、データ照会要求として送信する（Ｓ４１７）。データ送信元端末１Ａの照会管理部１Ａ−ｂは、受信したデータ照会要求に含まれている署名付照会情報を、データ交換管理装置３の電子署名検証部３ｃに署名検証要求として送信し（Ｓ４１８）、電子署名検証部３ｃは受信した署名付照会情報の署名を検証し（Ｓ４１９）、その検証結果を照会管理部１Ａ−ｂへ送信する（Ｓ４２０）。この署名の検証を行うことで、データ送信元端末１Ａで作成した照会情報が、データ受信先端末１Ｂなどで改竄されていないか確認する。この際、受信した照会情報に記載された受信先ユーザ情報２０２（図２参照）と、アクセスしてきているデータ受信先端末１Ｂを識別する情報とが同一であることを確認することで秘匿性が向上することは言うまでもない。照会管理部１Ａ−ｂは、署名付照会情報の検証結果を基に署名の検証が成功したか否かを判定し（Ｓ４２１）、検証が成功だった場合（Ｓ４２１→Ｙ）、署名検証済み署名付照会情報によってデータ管理アプリ１Ａ−ｄにデータを照会し（Ｓ４２２）、当該データを取得し（Ｓ４２３）、取得した当該データを、照会管理部１Ａ−ｂはデータ受信先端末１Ｂの照会管理部１Ｂ−ｂに送信する（Ｓ４２４）。データ受信先端末１Ｂの照会管理部１Ｂ−ｂは受信した当該データをデータ取得アプリ１Ｂ−ｄに送信し（Ｓ４２５）、データ取得アプリ１Ｂ−ｄは受信した当該データを保存し（Ｓ４２６）、適宜画面表示などの出力などを行う。一方、ステップＳ４２１で成功でなかった場合は、ステップＳ４２２の処理は行わず、必要に応じて成功しなかったことをデータ受信先端末へ通知する（図示せず）。
【００３４】
ユーザからの要求もしくは既定時間に応じて、暗号化通信路のセッションを切断する場合は、データ受信先端末１Ｂのセッション制御部１Ｂ−ａがデータ交換管理装置３のセッション管理部３ａにセッション終了要求を送信する（Ｓ４２７）ことで、そのセッション終了要求に含まれているデータ送信元端末情報に基づいて、セッション管理部３ａはデータ送信元端末１Ａのセッション制御部１Ａ−ａにもセッション終了要求を行う（Ｓ４２８）。これにより、三者間（データ送信元端末１Ａ、データ受信先端末１Ｂ、データ交換管理装置３）の暗号化通信路のセッションが終了する（Ｓ４２９〜Ｓ４３１）。
【００３５】
図５に、データ受信先端末１Ｂの画面例を示す。ここでは医療分野における患者の紹介状について記述するが、他のデータについても同様であることは言うまでもない。紹介状受信画面は３つの画面から構成されており、紹介状受信リスト５０１、紹介状参照５０２、紹介状探索５０３がある。
紹介状受信リスト５０１は、データ受信先端末１Ｂが設置されている自身の病院へ、他の病院から紹介された患者の紹介状がリストとして表示されている。
紹介状参照５０２には、紹介状受信リスト５０１で選択し、取得ボタンを押した紹介状の内容が表示される。
紹介状探索５０３は、照会キーを入力するとその条件に合致した情報がリストとして表示される。この画面で選択して取得ボタンを押すことで、紹介状を参照することも可能である。なお、この紹介状検索は第３の実施形態で述べる照会キーを使用する場合のものである。他の実施形態の場合には必ずしも必要ない。
【００３６】
データ送信元端末１Ａが照会情報をデータ交換管理装置３へ送信する場合の、データ交換管理装置３の処理について図６に沿って適宜図３を参照しながら説明する。
まず、データ交換管理装置３はデータ送信元端末１Ａからのセッション開始要求を受信し（Ｓ６０１：図３のＳ３０１に相当）、データ送信元端末１Ａについてユーザ認証などの認証手続きを行う（Ｓ６０２：図３のＳ３０２）。認証が成功（Ｓ６０２→Ｙ）すると、データ交換管理装置３は、データ送信元端末１Ａと自身（データ交換管理装置３）との間に暗号化通信路を設置し、セッションが確立される（Ｓ６０３：図３のＳ３０３）。
【００３７】
次に、データ交換管理装置３は、データ送信元端末１Ａからの署名付照会情報を受信し（Ｓ６０４：図３のＳ３０９）、受信した署名付照会情報を保存する（Ｓ６０５：図３のＳ３１０）。
【００３８】
その後、データ交換管理装置３はデータ送信元端末１Ａからセッション終了要求を受信し（Ｓ６０６：図３のＳ３１１）、データ送信元端末１Ａと自身（データ交換管理装置３）との間のセッションを終了する（Ｓ６０７：図３のＳ３１２）。
一方、ステップＳ６０２で認証が失敗した場合（Ｓ６０２→Ｎ）、ステップＳ６０１の前に戻る。
照会情報を複数送信する場合には、１回毎にセッションを開始や終了をせずにステップＳ６０４〜Ｓ６０５のステップを繰り返すことで複数の照会情報を送信してから、セッションを終了してもよい。
【００３９】
データ受信先端末１Ｂがデータ送信元端末１Ａからデータを受信する場合の、データ交換管理装置３の処理について、図７に沿って適宜図４を参照しながら説明する。
まず、データ交換管理装置３はデータ受信先端末１Ｂからのセッション開始要求を受信し（Ｓ７０１：図４のＳ４０１に相当）、データ受信先端末１Ｂについてユーザ認証などの認証手続きを行う（Ｓ７０２：図４のＳ４０２）。認証が成功（Ｓ７０２→Ｙ）すると、データ交換管理装置３は、データ受信先端末１Ｂと自身（データ交換管理装置３）との間に暗号化通信路を設置し、セッションが確立される（Ｓ７０３：図４のＳ４０３）。一方、ステップＳ７０２で受信先の認証が失敗した場合（Ｓ７０２→Ｎ）、ステップＳ７０１の前に戻る。
【００４０】
次に、データ交換管理装置３は、受信したセッション開始要求に含まれる情報から、当該データ受信先端末１Ｂまたはユーザに宛てられたデータに該当する署名付照会情報を図６のステップＳ６０５で保存した署名付照会情報より抽出し（Ｓ７０４：図４のＳ４０４）、抽出した署名付照会情報の検証を行う（Ｓ７０５：図４のＳ４０５〜Ｓ４０７）。検証した結果成功だった場合（Ｓ７０５→Ｙ：図４のＳ４０８→Ｙ）、データ交換管理装置３はデータ受信先端末１Ｂへ、署名検証済み署名付照会情報を送信する（Ｓ７０６：図４のＳ４０９）。一方、検証結果が成功でない場合（Ｓ７０５→Ｎ）は、ステップＳ７０４の前に戻る。
【００４１】
データ交換管理装置３はデータ受信先端末１Ｂからのセッション開始要求を受信し、そのセッション開始要求に含まれるデータ送信元端末１Ａの情報に基づいて、データ交換管理装置３はデータ送信元端末１Ａへセッション開始要求を送信する（Ｓ７０７：図４のＳ４１２〜Ｓ４１３）。送信したセッション開始要求がデータ送信元端末１Ａで認証成功となった場合（Ｓ７０８→Ｙ）、自身（データ交換管理装置３）とデータ送信元端末１Ａとの間に暗号化通信路を設置し、セッションを確立する（Ｓ７０９：図４のＳ４１５）。また、データ受信先端末１Ｂとデータ送信元端末１Ａとの間にも暗号化通信路のセッションを確立する（Ｓ７１０：図４のＳ４１６）。一方、ステップＳ７０８で送信元の認証が失敗した場合（Ｓ７０８→Ｎ）、ステップＳ７０７の前に戻る。
【００４２】
データ交換管理装置３はデータ送信元端末１Ａから署名の検証要求を受信し（Ｓ７１１：図４のＳ４１８）、検証を行う（Ｓ７１２：図４のＳ４１９）。検証した結果を、データ交換管理装置３はデータ送信元端末１Ａへ送信する（Ｓ７１３：図４のＳ４２０）。
【００４３】
データ交換管理装置３がデータ受信先端末１Ｂからセッション終了要求を受信した場合、データ交換管理装置３は受信したセッション終了要求に含まれるデータ送信元端末１Ａの情報に基づいて、データ送信元端末１Ａへセッション終了要求を送信し（Ｓ７１４：図４のＳ４２７〜４２８）、三者間（データ受信先端末１Ｂ、データ送信元端末１Ａ、データ交換管理装置３）の暗号化通信路のセッションを終了する（Ｓ７１５：図４のＳ４２９〜Ｓ４３１）。
【００４４】
以上述べた方法により、直接データそのものの送信を行うのではなく、データを取得するための照会情報を送信することで、要求がある場合のみにデータが送信され、不必要にデータが外部に送信されることがなくなるという効果がある。また、データを取得するための照会情報を暗号化して送信し、さらに照会情報に署名が付されているため、秘匿性を向上することが可能となる。すなわち、照会情報が改竄されたような場合には、署名の検証結果が不成功となり、データが取得できなくなるので、取得されるデータの真正性も向上する。これは署名を付与したことにより不正当なデータを取得する可能性が低くなるためである。
本システムでは通信暗号路をクライアントからの要求に応じて動的に構築する方法を図示した。これは例えば複数の医療機関や薬局、健診機関、介護機関などが分散してデータを保存している場合に対して、迅速かつ必要なだけ暗号路を確保できる点で効果がある。
【００４５】
以下に、本実施形態の変形例を示す。
図１では、データ交換管理装置３が署名付照会情報について電子署名の検証を行っている（図４のステップＳ４０６，Ｓ４１９、図７のステップＳ７０５，Ｓ７１２）が、本処理を省くことも可能である。ただし、処方箋や紹介状などのように得られるデータに既に電子署名が施されている場合には、データを受信した後に検証することで真正性を確保することが可能である。
【００４６】
図３のステップＳ３０６〜Ｓ３０８の、照会情報へ署名を付与する処理を、データ交換管理装置３で行うことも可能である。この場合、署名のログをサーバ側で一括管理することで、なりすましの検出を行うことが可能となるなど、データの真正性が向上するという効果がある。
【００４７】
データ交換管理装置３の機能として、送信するデータの一時保存を行う機能を有することもできる。これはデータ送信元端末１Ａから、照会情報を受信する際（図３のステップＳ３０９、図６のステップＳ６０４）に、署名付照会情報と同時にデータも併せて一時保存するものである。これにより、データ送信元端末１Ａが稼動していない時であっても、データ受信先端末１Ｂからのデータ照会要求（図４のステップＳ４１７）に応えることが可能となる。この場合、データの秘匿性は低下するが、データ交換管理装置３に送信されたデータのみが一時的に保存されるため、データ流出による被害の危険性は、データセンタを構築した場合と比較して低いと考えられる。
【００４８】
<<第２の実施形態>>
第２の実施形態は、署名付照会情報を、データ交換管理装置に替わってデータ受信先端末が保存する実施形態である。
図８は本発明に係るデータ交換システムの第２の実施形態における概略を説明する図である。第１の実施形態との違いは、データ交換管理装置３は、暗号化通信路のセッション管理のみを行い、データ送受信端末（１Ａ，１Ｂ）が署名の検証や照会情報の保存などを行う点にある。よって、図８においては、第１の実施形態では備わっていたデータ交換管理装置３の照会管理部３ｂと電子署名検証部３ｃがなくなり、データ送信元端末１Ａに備わっていた電子署名部１Ａ−ｃが電子署名検証部１Ａ−ｃ´に替わっている。それぞれの機能については、後で詳細に説明する。
【００４９】
本実施形態のデータ交換方法では、第１の実施形態と同様にデータ送信元端末１Ａからデータ受信先端末１Ｂにデータを送信する手法は大きく二つの処理に分けられる。一つはデータ送信元端末１Ａからデータ受信先端末１Ｂへの「署名付照会情報の送信」を含む一連の処理（二重線で示す）であり、もう一つはデータ受信先端末１Ｂからデータ送信元端末１Ａへの「データの要求と取得」を含む一連の処理（破線で示す）である。
【００５０】
第１の実施形態との、処理の大きな違いは、照会情報がデータ受信先端末に直接送信される点にある。まず、「署名付照会情報の送信」を含む一連の処理（図８の二重線の部分）について図９に沿って適宜図８を参照しながら説明する。
この処理は送信元のユーザから見ると、業務で使用しているアプリケーション（ここではデータ管理アプリ１Ａ−ｄ）にログインし、あるデータを選択し、データ受信先端末１Ｂを選択し、その受信先にデータを送信する処理を実行する場合に相当する。
【００５１】
図９でステップＳ９０１〜Ｓ９０８については、第１の実施形態で説明した図３のステップＳ３０１〜Ｓ３０８と同様の処理のため、説明を省略する。
前記処理によって、データ交換管理装置３とデータ送信元端末１Ａ間のセッションが確立されたら、続いてデータ送信元端末１Ａのセッション制御部１Ａ−ａは、データ交換管理装置３のセッション管理部３ａへデータ受信先端末１Ｂとのセッション開始要求を行う（Ｓ９０９）。データ交換管理装置３のセッション管理部３ａは、受信した要求に含まれるデータ受信先端末１Ｂの情報に基づいて、データ受信先端末１Ｂのセッション制御部１Ｂ−ａへセッション開始要求を行う（Ｓ９１０）。受信したセッション制御部１Ｂ−ａは、ユーザ認証などの認証手続きを行い（Ｓ９１１）、認証が成功すると、データ送信元端末１Ａとデータ受信先端末１Ｂとの間に暗号化通信路のセッションが確立される（Ｓ９１２）。これにより以降のデータ交換の秘匿性が保たれる。
その後、データ送信元端末１Ａの照会管理部１Ａ−ｂはデータ受信先端末１Ｂの照会管理部１Ｂ−ｂへ署名付照会情報を送信する（Ｓ９１３）。照会管理部１Ｂ−ｂは受信した署名付照会情報を保存する（Ｓ９１４）。
【００５２】
この後、ユーザからの要求もしくは既定時間に応じて、データ送信元端末１Ａのセッション制御部１Ａ−ａはデータ交換管理装置３のセッション管理部３ａにセッション終了要求を行う（Ｓ９１５）。セッション管理部３ａは、受信した要求に含まれるデータ受信先端末１Ｂの情報に基づいて、データ受信先端末１Ｂのセッション制御部１Ｂ−ａへセッション終了要求を行う（Ｓ９１６）。これにより、三者間（データ送信元端末１Ａ、データ受信先端末１Ｂ、データ交換管理装置３）のセッションが終了する（Ｓ９１７〜Ｓ９１９）。
照会情報を複数送信する場合には、１回毎にセッションを開始や終了をせずに、ステップＳ９１３〜Ｓ９１４を繰り返すことで複数の照会情報を送信してから、セッションを終了してもよい。
【００５３】
次に「データの要求と取得」を含む一連の処理（図８の破線の部分）について、図１０に沿って適宜図８を参照しながら説明する。この処理は、受信先のユーザから見ると、業務で使用しているアプリケーション（ここではデータ取得アプリ１Ｂ−ｄ）にログインし、照会情報の一覧によって自分宛のデータがないか確認し、あればデータを受信する処理を実行する場合に相当する。
【００５４】
まず、照会管理部１Ｂ−bが、保存されている署名付照会情報をデータ取得アプリ１Ｂ−ｄに送信することで、データ取得アプリ１Ｂ−ｄは図示しない画面表示装置などに照会情報を表示させる（Ｓ１００１）。照会情報の一覧から、取得するデータをデータ受信側のユーザが選択することで、図示しないに入力装置によってその情報が照会管理部１Ｂ−ｂに送信される（Ｓ１００２）。
続いて、データ受信先端末１Ｂのセッション制御部１Ｂ−ａがデータ交換管理装置３のセッション管理部３ａにセッション開始要求を行う（Ｓ１００３）。セッション管理部３ａはユーザ認証などの認証手続きを行い（Ｓ１００４）、認証が成功すると、ステップＳ１００３のセッション開始要求に含まれるデータ送信元端末情報に基づいて、データ送信元端末１Ａのセッション制御部１Ａ−ａにセッション開始要求（Ｓ１００５）を送信する。セッション制御部１Ａ−ａは、ユーザ認証などの認証手続きを行い（Ｓ１００６）、認証が成功すると、三者間（データ交換管理装置３、データ送信元端末１Ａ、データ受信先端末１Ｂ）の暗号通信路のセッションが確立される（Ｓ１００７〜Ｓ１００９）。なお、ステップＳ１００１〜Ｓ１００２とステップＳ１００３〜Ｓ１００６の順序は逆でも構わない。
【００５５】
次に、データ受信先端末１Ｂの照会管理部１Ｂ−ｂが、データ照会要求として署名付照会情報を、データ送信元端末１Ａの照会管理部１Ａ−ｂへ送信する（Ｓ１０１０）。照会管理部１Ａ−ｂは、電子署名検証部１Ａ−ｃ´へ、受信した署名付照会情報の検証を要求し（Ｓ１０１１）、電子署名検証部１Ａ−ｃ´は受信した署名付照会情報を検証し（Ｓ１０１２）、その結果を照会管理部１Ａ−ｂへ送信する（Ｓ１０１３）。これにより、データ送信元端末で作成した照会情報が改竄されていないかを確認することができる。
以降、照会管理部１Ａ−ｂがデータを取得し、取得したデータをデータ受信先端末１Ｂへ送信する処理（Ｓ１０１４〜Ｓ１０１９）は、第１の実施形態で説明した図３のステップＳ４２１〜Ｓ４２６の処理と同様のため、説明を省略する。また、続いて三者間のセッション終了の処理であるステップＳ１０２０〜Ｓ１０２４の処理についても、図４のステップＳ４２７〜Ｓ４３１の処理と同様のため、説明を省略する。
【００５６】
本実施形態の特徴は、第１の実施形態の効果に加えて、本実施形態では、データ交換管理装置３は暗号化通信路に係るセッション管理の処理のみを行っているので、ネットワーク負荷を減らすことが可能となる。またデータ受信先端末１Ｂにとっては、データ交換管理装置３にアクセスする必要なく、送信された照会情報を確認できる。
【００５７】
<<第３の実施形態>>
第３の実施形態は、第１の実施形態に加えて、別経路で伝達する照会キーを用いる実施形態である。
図１１は本発明に係るデータ交換システムの第３の実施形態における概略を説明する図である。図１１においては、第１の実施形態である図１と比較して、それぞれの装置の構造は同様であるが、照会キーの存在に相違がある。
【００５８】
本実施形態のデータ交換方法では、データ送信元端末１Ａからデータ受信先端末１Ｂにデータを送信する手法は、以下のように大きく三つの処理に分けられる。
（１）データ送信元端末１Ａからデータ交換管理装置３への「署名付照会情報の送信」を含む一連の処理（二重線で示す）
（２）データ送信元端末１Ａからデータ受信先端末１Ｂへの「照会キーの伝達」の処理（一点鎖線で示す）
（３）データ交換管理装置３を利用した、データ受信先端末１Ｂからデータ送信元端末１Ａへの「データの要求と取得」を含む一連の処理（破線で示す）
【００５９】
第１の実施形態との処理の大きな違いは、データ交換管理装置３が照会情報を保存する際に、それを抽出するための照会キーを発行する点にある。照会キーは照会情報を一意に抽出できる目的を果たすものであれば、例えば、英数字などの文字列でもよい。また、バーコードやＱＲコードなどであらわすこともできる。この照会キーは、人手による運搬や、ファックス、郵便など、図１に示したネットワークとは別の伝達手段でデータ送信元端末１Ａからデータ受信先端末１Ｂに伝えられる。また物理的なネットワークは同一のものを使用するが、電子メールなど他の伝達方法を使ってもよい。特に医療分野では、患者や職員の運搬により照会キーを伝えることで秘匿性を向上することが可能となる。
【００６０】
まず、「署名付照会情報の送信」を含む一連の処理（図１１の二重線の部分）について、図１２に沿って適宜図１１を参照しながら説明する。
この処理は送信元のユーザから見ると、業務で使用しているアプリケーション（ここではデータ管理アプリ１Ａ−ｄ）にログインし、あるデータを選択し、データ受信先端末を選択し、その受信先にデータを送信する処理と、照会キーを生成（発行）する処理を実行する場合に相当する。
【００６１】
図１２でステップＳ１２０１〜Ｓ１２１０については第１の実施形態で説明した図３のステップＳ３０１〜Ｓ３１０と同様の処理のため、説明を省略する。
前記処理によって、データ交換管理装置３とデータ送信元端末１Ａ間のセッションが確立し、データ交換管理装置３の照会管理部３ｂに署名付照会情報が保存されたら、続いて照会管理部３ｂは、署名付照会情報に基づいて照会キーを生成する（Ｓ１２１１）。この照会キーは、前記したとおり照会情報を一意に抽出できるキーである。照会管理部３ｂは、生成した照会キーを保存し（Ｓ１２１２）、また、照会キーをデータ送信元端末１Ａの照会管理部１Ａ−ｂへ送信する（Ｓ１２１３）。照会管理部１Ａ−ｂは、受信した照会キーをデータ管理アプリ１Ａ−ｄへ送信する（Ｓ１２１４）。
これ以降、ステップＳ１２１５〜Ｓ１２１６の、二者間（データ交換管理装置３とデータ送信元端末１Ａ）のセッション終了の処理については、図３のステップＳ３１１〜Ｓ３１２の処理と同様のため、説明を省略する。
【００６２】
ステップＳ１２１４の後、データ管理アプリ１Ａ−ｄは、図示しない出力装置などによって照会キーを出力し、ユーザ（例えば患者など）によって、紹介キーは別経路でデータ受信先端末１Ｂへ伝達される。この処理は、図１１における「照会キーの伝達」の処理（一点鎖線の部分）に相当する。
【００６３】
次に「データの要求と取得」を含む一連の処理（図１１の破線の部分）について図１３に沿って適宜図１１を参照しながら説明する。
この処理は受信先のユーザから見ると、業務で使用しているアプリケーション（ここではデータ取得アプリ１Ｂ−ｄ）にログインし、伝達された照会キーを入力し、照会情報の一覧によって自分宛のデータがないか確認し、あればデータを受信する処理を実行する場合に相当する。
【００６４】
図１３でステップＳ１３０１〜Ｓ１３０３については、第１の実施形態で説明した図４のステップＳ４０１〜Ｓ４０３と同様の処理のため、説明を省略する。
前記処理によって、データ交換管理装置３とデータ受信先端末１Ｂ間のセッションが確立されたら、続いてデータ受信先端末１Ｂのデータ取得アプリ１Ｂ−ｄは、図１２のステップＳ１２１４で出力され、伝達された照会キーが、図示しない入力装置などによってデータ受信先端末１Ｂのデータ取得アプリ１Ｂ−ｄへ入力されるので、その照会キーを照会管理部１Ｂ−ｂへ送信する（Ｓ１３０４）。照会管理部１Ｂ−ｂは、受信した照会キーをデータ交換管理装置３の照会管理部３ｂに送信する（Ｓ１３０５）。照会管理部３ｂは受信した照会キーと、図１２のステップＳ１２１２で保存しておいた照会キーと照合する認証手続きを行い（Ｓ１３０６）、その結果、照合が一致した場合（Ｓ１３０６→Ｙ）、照会キーに該当する署名付照会情報を抽出する（Ｓ１３０７）。一方、照合が一致しなかった場合（Ｓ１３０６→Ｎ）、ステップＳ１３０７の処理は行わず、必要に応じて一致しなかったことをデータ受信先端末１Ｂへ通知する（図示せず）。これ以降の処理（ステップＳ１３０８〜Ｓ１３３４）については、第１の実施形態で説明した図４のステップＳ４０５〜Ｓ４３１と同様の処理のため、説明を省略する。
【００６５】
データ交換管理装置３が照会キーを発行する処理について、図１４に沿って適宜図１２を参照しながら説明する。
図１４のステップＳ１４０１〜Ｓ１４０５は、第１の実施形態の図６で説明したステップＳ６０１〜Ｓ６０５と同様の処理のため、説明を省略する。前記処理でデータ送信元端末１Ａから署名付照会情報を受信したデータ交換管理装置３は、受信した署名付照会情報より照会キーを生成し（Ｓ１４０６）、生成した照会キーを保存する（Ｓ１４０７）。保存した照会キーを、データ交換管理装置３はデータ送信元端末１Ａへ送信する（Ｓ１４０８）。この後のステップＳ１４０９〜Ｓ１４１０のセッション終了処理は、前記ステップＳ６０６〜Ｓ６０７と同様の処理のため、説明を省略する。
【００６６】
データ受信先端末１Ｂがデータを受信する際のデータ交換管理装置３の処理について、図１５に沿って適宜図１３を参照しながら説明する。
図１５のステップＳ１５０１〜Ｓ１５０３は、第１の実施形態の図７で説明したステップＳ７０１〜Ｓ７０３と同様の処理のため、説明を省略する。
前記処理でセッションが確立されたので、データ交換管理装置はデータ受信先端末から照会キーを受信し（Ｓ１５０４）、その照会キーと図１４のステップＳ１４０７で保存しておいた照会キーとを照合し認証処理を行う（Ｓ１５０５）。その結果、照合が一致した場合（Ｓ１５０５→Ｙ）は、照合キーに該当する署名付照会情報を抽出する（Ｓ１５０６）。一方、照合が一致しなかった場合（Ｓ１５０５→Ｎ）は、ステップＳ１５０４の前に戻る。
この後のステップＳ１５０７〜Ｓ１５１７の処理は、前記ステップＳ７０５〜Ｓ７１５と同様の処理のため、説明を省略する。
【００６７】
本実施形態の特徴は、署名付照会情報を抽出するための照会キーをデータ交換管理装置３が生成（発行）し、データ送信元端末１Ａに送信された照会キーを、データ受信先端末まで別経路で伝達すること、そしてデータ受信先端末１Ｂで入力された照会キーによって、データ交換管理装置３が認証と署名付照会情報の抽出を行う点にある。
第１の実施形態の効果に加えて、本実施形態では、照会キーを発行することにより、さらにデータの秘匿性が増す。これは例えば、医療分野であれば、照会キーを患者が運搬する運用を実施した場合、患者が照会キーを紹介先の医療機関に渡さない限り、照会先の医療機関はデータを受信することができない。また、流通分野でプログラムの組み込みが必要な物品を送付する場合、物品と照会キーを相手先に送付し、相手先でプログラムをダウンロードして組み込むようにすると、例えば、プログラムを不正に入手しようとしても照会情報と照会キーがない限りデータ送信元端末からの入手は難しく、また、物品と照会キーが盗難にあっても照会情報がなければプログラムの入手は難しいということになり、秘匿性が高まる。このように、本実施形態によれば、情報の秘匿性をさらに高めることが可能となる。
なお、照会キーは一意に照会情報を抽出できるものが好ましいが、必ずしも一意性は必要ない。照会キーは最低限照会情報を取得できるか否かを判定するためのものなので、例えばパスワードのようにある程度の秘匿性を確保できるものであってもよい。
【００６８】
<<第４の実施形態>>
第４の実施形態は、第１の実施形態で説明した電子署名による照会情報の確認に加えて、秘匿性を向上させるために二つの方法を考案した実施形態である。方法の一つ目は「照会情報へのＩＤ付け」、二つ目は「照会情報へのタイムスタンプ（発行日時／有効期限）付与」である。図１６に照会情報のデータ構造の例を示す。第１〜３の実施形態の照会情報をあらわす図２との違いは、照会情報ＩＤ１６０１とタイムスタンプ１６０２が追加された点にある。
【００６９】
照会情報ＩＤ１６０１は、データ送信元端末１Ａが照会情報を発行する際に、例えばシーケンシャルに番号を振ることで付与され、照会情報を一意に区別するために用いる。例えば医療機関における処方箋の発行など、本来危険な医薬品の購入を制限するために照会情報を１回しか使用できないようにする場合、データ送信元端末１Ａでは、該当する照会情報ＩＤ１６０１の制限回数を設定することで可能となる。なお、この制限回数の設定は、ユーザが明示的に行う場合もあれば、データ交換の種類により予めシステム側で設定する場合もある。例えば前記の処方箋発行の場合には、「処方箋発行」という業務が選択されるのに伴い、自動的に制限回数に１回を設定すればよい。
照会情報ＩＤの処理について、本実施形態の「データの要求と取得」を含む一連の処理シーケンスをあらわす図１８を用いて説明する。照会情報の使用回数を制限する処理は、例えばステップＳ１８２１のＹの後に、照会情報ＩＤの使用回数のカウントアップと、その使用回数が制限回数以内の場合にのみＹとなるステップ（Ｓ１８２２）を追加し、これにより使用回数が制限回数以内の時のみにデータ取得が可能となる。
【００７０】
タイムスタンプ１６０２は、署名を付与した時刻や照会情報の有効期限を、データ送信元端末１Ａのシステムタイムの打刻もしくは外部タイムスタンプサーバなどによって付与する。これは、古い照会情報の使用を制限するためなどに用いる。図１９は本実施形態の概略を説明する図であり、第１の実施形態の構成（図１参照）に加えて、データ送信元端末１Ａにタイムスタンプ部１Ａ−ｅが備わっている。これにより照会情報を発行する際に、タイムスタンプを含んだ照会情報とその署名として元の文書に付加することができ、一定時間経過後の照会情報をデータ送信元端末１Ａで受け付けなくすることが可能となり、更に安全性が向上する。
【００７１】
タイムスタンプを設定する処理について、本実施形態の「署名付照会情報の送信」を含む一連の処理シーケンスをあらわす、図１７を用いて説明する。
図１７のステップＳ１７０１〜Ｓ１７０６は、第１の実施形態で説明した図３のステップＳ３０１〜Ｓ３０６の処理と同様のため、説明を省略する。
前記処理によって、データ交換管理装置３とデータ送信元端末１Ａ間のセッションが確立され、照会情報が生成され署名が要求されたら、データ送信元端末１Ａの電子署名部１Ａ−ｃは、タイムスタンプ部１Ａ−ｅへタイムスタンプを要求し（Ｓ１７０７）、タイムスタンプ部１Ａ−ｅはタイムスタンプを生成し（Ｓ１７０８）、生成したタイムスタンプを電子署名部１Ａ−ｃへ送信する（Ｓ１７０９）。
また、データ取得時のタイムスタンプ確認処理としては、図１８のステップＳ１８２２における照会管理部１Ａ−ｂによる照会情報使用回数確認の後に、タイムスタンプの確認を行う（Ｓ１８２３）。タイムスタンプに記載されている発行時刻が制限範囲外であった場合は、データ取得は不可能となる（図示せず）。なお、ここでタイムスタンプ１６０２に発行日時ではなく有効期限が設定されている場合には、その有効期限が現在日時よりも後であることを確認すればよい。また、照会可能期間が、照会情報の発行日時から予め設定した期間（例えば１ヶ月など）として決まっている場合には、タイムスタンプ１６０２の発行日時に当該設定期間を加えて、現在日時よりも後であることを確認すればよい。照会情報に応じて予め設定した期間を変更したい場合には、照会情報ＩＤ１６０１を用いて、照会情報ＩＤごとに期間を設定してもよい。これにより、短期間で失効する照会情報と、長期間効力を有する照会情報の両方を使用可能とする。また、タイムスタンプ１６０２において、発行日時と有効期限の両方を用いてもよい。
この後のステップＳ１８２４〜Ｓ１８３３の処理は、前記第１の実施形態で説明した図４のステップＳ４２２〜Ｓ４３１と同様の処理のため、説明を省略する。
【００７２】
<<その他>>
以下に、本発明に係るデータ交換システムにおける実施形態の変形例を示す。
図２０は、第１の実施形態の構成をあらわす図１のセッション管理部３ａ、照会管理部３ｂ、電子署名検証部３ｃを、それぞれ独立したサーバとして、秘密データ交換システムを構成したものである。
図２０に示すデータ交換システムは、ネットワーク２を介して、互いに接続されるクライアント側とサーバ側とから構成されている。クライアント側は、複数のデータ送受信端末１（図１における１Ａ，１Ｂ）から構成され、サーバ側は、セッション管理部３ａを含むセッション管理サーバ３１、照会管理部３ｂを含む照会管理サーバ３２、電子署名検証部３ｃを含む電子署名検証サーバ３３から構成されている。
データ送受信端末１間は、セッション管理サーバ３１によって暗号化通信路が確立されてデータ交換がなされる。
第４の実施形態の場合には、図２１のようなネットワーク構成をとることもできる。図２１では、タイムスタンプ部３ｅを備えたタイムスタンプサーバ３４を、電子署名検証サーバ３３に付属させている。
図２０，図２１どちらの構成でも、データの秘匿性と真正性を確保しながらシステムを構築することが可能である。データ送受信端末１にデータが保存されるため、分散型でデータを保存でき、データセンタを構築する必要がなくなる。よって、データセンタ構築および運用にかかるコストを削減できる。
また、送受信するデータをクライアント側の特定端末の一つに集約して保存すれば、データの集中管理も本方法で行うことができる。このように本方法によれば、分散型も集中管理型も選択したり混在させたりできる自由度がある。
なお、この場合には、照会情報に記載されるデータ送信元端末のアドレスが、特定端末のアドレスとなる。すなわち、照会情報を送信する端末のアドレスと、照会情報に記載されるデータ送信元端末のアドレスが異なる運用を実現することも可能である。このことは本方法によるデータセンタの実現のみならず、大規模な電子カルテなどの情報システムで、クライアントとサーバとが別のアドレスで構築されている場合にも有効である。
【００７３】
本実施形態においてユーザ認証とは、端末とサーバ間、もしくは端末間などの、装置間の認証を指しているが、これに限らず、個人レベルでのユーザ認証も可能である。この場合、例えばユーザには予め、個人識別情報を格納したＩＣカードを所有させておき、データ送信元端末１Ａのセッション制御部１Ａ−ａにカード読み取り装置を接続しておく。認証時には、ＩＣカードがこのカード読み取り装置に挿入されることで、カード読み取り装置がＩＣカードの個人識別情報を読み取る。読み取られた個人識別情報は、セッション制御部１Ａ−ａを介して、データ交換管理装置３のセッション管理部３ａに送信され、セッション管理部３ａは、受信した個人識別情報を基にユーザ認証を行う。なお、データ受信先端末１Ｂにおいて、同様の処理が行なわれてもよい。
このような方法により、特定の個人宛の情報を、当人のみが閲覧することが可能となるなど、秘匿性をさらに高めることが可能となる。
【００７４】
本実施形態では、暗号化通信路を確立するために、データ送受信端末１（データ送信元端末１Ａ，データ受信先端末１Ｂ）などやデータ交換管理装置３などの構成要素それぞれにセッションを制御する機能を備えたが、暗号化通信路（ＶＰＮ）のハードウェアを予め各拠点に設置しておくこともできる。この場合、暗号化通信路（ＶＰＮ）のセッション確立は予め行われることになり、各通信のオーバヘッドが小さくなるという利点がある。
なお、この方法をとらず、動的に暗号化通信路を構築する場合には、幾つかの通信を纏めて行うまで、もしくはある程度の時間経過するまでセッションを維持するなどの工夫で、このオーバヘッドを減らすことも可能である。
【００７５】
本実施形態では、照会情報に署名を付与する手法で説明したが、例えば照会情報をあらわすテキストにランダムなテキストを埋め込む方法など、目的として改竄が防止できれば、方法はこれに限らない。
【００７６】
また、本発明に係る構成例として、データ送受信端末１（１Ａ，１Ｂ）およびデータ交換管理装置３の３台の端末間で処理を行う場合を説明したが、４台以上の端末間で処理を行うようにしても良い。その他についても、本発明の趣旨を逸脱しない範囲で変形可能である。
【００７７】
なお、本発明に係る構成要素であるデータ送受信端末１（１Ａ，１Ｂ）は、前記したような処理を実行させるデータ管理アプリ（１Ａ−ｄ）、データ取得アプリ（１Ｂ−ｄ）によって実現することができ、そのアプリケーションのプログラムをコンピュータによる読み取り可能な記録媒体（CD-ROMなど）に記憶して提供することが可能である。また、そのプログラムを、ネットワーク２を通して提供することも可能である。
【００７８】
本方法およびデータ交換システムの各産業分野への応用について説明する。
データ管理アプリケーション部やデータ取得アプリケーション部は、医療分野では電子カルテに相当する。電子カルテを用いて作成や収集された診療データを、本方法を用いて医療機関を越えて安全に交換することが可能となる。例えば、診療データとしては、医療機関同士で送達する紹介患者の紹介状や、医療機関から薬局への処方箋、臨床検査会社や医療機関への検査データ、イメージングセンタと読影機関と医療機関との間の画像データや読影レポート、臨床試験における医療機関から製薬企業への治験データなどが挙げられる。これによれば、秘匿性と真正性を保って、ネットワークを介してこれらのデータが交換可能となり、個人情報の漏洩防止と業務効率向上とを両立できるという効果を有する。その他、金融分野では、資産情報や買い付けなどの情報を安全に送信することが可能となる。流通分野では、プログラムなどを本方法で安全に送信することが可能となる。政府や自治体でも住民情報の安全な送信が可能となる。アンケート調査などにも適用可能である。この場合、複数のデータ受信先端末にアンケート自身ではなく、アンケート調査へのアクセス方法（照会情報）を送付する。受信先では送られたアクセス方法（照会情報）に基づき、各々の調査データに対して回答を入力していく。通常のアンケートでは参加者が複数の回答を返すこともできてしまうが、本方法によれば回答者を区別でき、アンケートの統計の信頼性を高めることも可能となる。
【図面の簡単な説明】
【００７９】
【図１】本発明の第１の実施形態における概略を説明する図
【図２】本発明における照会情報のデータ構造例
【図３】本発明の第１の実施形態における署名付照会情報の送信時の処理を説明するシーケンス図
【図４】本発明の第１の実施形態におけるデータ取得時の処理を説明するシーケンス図
【図５】本発明におけるデータ受信先端末の画面例
【図６】本発明の第１の実施形態における照会情報受信時のデータ交換管理装置のフロー図
【図７】本発明の第１の実施形態におけるデータ要求時のデータ交換管理装置のフロー図
【図８】本発明の第２の実施形態における概略を説明する図
【図９】本発明の第２の実施形態における署名付照会情報の送信時の処理を説明するシーケンス図
【図１０】本発明の第２の実施形態におけるデータ取得時の処理を説明するシーケンス図
【図１１】本発明の第３の実施形態における概略を説明する図
【図１２】本発明の第３の実施形態における署名付照会情報の送信時の処理を説明するシーケンス図
【図１３】本発明の第３の実施形態におけるデータ取得時の処理を説明するシーケンス図
【図１４】本発明の第３の実施形態における照会キー生成時のデータ交換管理装置のフロー図
【図１５】本発明の第３の実施形態におけるデータ要求のデータ交換管理装置のフロー図
【図１６】本発明の第４の実施形態における照会情報のデータ構造例
【図１７】本発明の第４の実施形態における署名付照会情報の送信の処理を説明するシーケンス図
【図１８】本発明の第４の実施形態におけるデータ取得時の処理を説明するシーケンス図
【図１９】本発明の第４の実施形態における概略を説明する図
【図２０】本発明におけるネットワーク構成例
【図２１】本発明におけるネットワーク構成例
【符号の説明】
【００８０】
１      データ送受信端末
１Ａ    データ送信元端末
１Ａ−ａ  セッション制御部
１Ａ−ｂ  照会管理部
１Ａ−ｃ  電子署名部
１Ａ−ｃ´  電子署名検証部
１Ａ−ｄ  データ管理アプリ
１Ａ−ｅ  タイムスタンプ部
１Ｂ    データ受信先端末
１Ｂ−ａ  セッション制御部
１Ｂ−ｂ  照会管理部
１Ｂ−ｃ  電子署名部
１Ｂ−ｄ  データ取得アプリ
２      ネットワーク
３      データ交換管理装置
３ａ    セッション管理部
３ｂ    照会管理部
３ｃ    電子署名検証部
３ｅ    タイムスタンプ部
３１    セッション管理サーバ
３２    照会管理サーバ
３３    電子署名検証サーバ
３４    タイムスタンプサーバ
２０１  送信元ユーザ情報
２０２  受信先ユーザ情報
２０３  照会情報実部
２０４  署名
１６０１  照会情報ＩＤ
１６０２  タイムスタンプ
【図１】
2006333250.tif 000003
【図２】
2006333250.tif 000004
【図３】
2006333250.tif 000005
【図４】
2006333250.tif 000006
【図５】
2006333250.tif 000007
【図６】
2006333250.tif 000008
【図７】
2006333250.tif 000009
【図８】
2006333250.tif 000010
【図９】
2006333250.tif 000011
【図１０】
2006333250.tif 000012
【図１１】
2006333250.tif 000013
【図１２】
2006333250.tif 000014
【図１３】
2006333250.tif 000015
【図１４】
2006333250.tif 000016
【図１５】
2006333250.tif 000017
【図１６】
2006333250.tif 000018
【図１７】
2006333250.tif 000019
【図１８】
2006333250.tif 000020
【図１９】
2006333250.tif 000021
【図２０】
2006333250.tif 000022
【図２１】
2006333250.tif 000023