(57)【要約】【課題】情報提供機関に記憶される情報のフォーマットと解析装置が解析する情報のフォーマットとが異なる場合に、解析装置での処理時間を短縮すること。【解決手段】記憶装置に記憶された複数の情報提供機関のうちの１つが使用する第１のフォーマットの個人情報を前記複数の情報提供機関から収集した個人情報を解析する解析装置が使用する第２のフォーマットの個人情報に変換し、前記第２のフォーマットの個人情報を秘匿化して、前記第２のフォーマットの秘匿化個人情報を生成し、前記第２のフォーマットの前記秘匿化個人情報を前記解析装置に送信する。【選択図】図１
2018128948.tif 000002
【特許請求の範囲】
【請求項１】
記憶装置に記憶された、複数の情報提供機関のうちの１つが使用する第１のフォーマットの個人情報を、前記複数の情報提供機関から収集した個人情報を解析する解析装置が使用する第２のフォーマットの個人情報に変換する変換部と、
前記第２のフォーマットの個人情報を秘匿化して、前記第２のフォーマットの秘匿化個人情報を生成する秘匿化部と、
前記第２のフォーマットの前記秘匿化個人情報を前記解析装置に送信する送信部と、
を備える情報処理装置。
【請求項２】
前記秘匿化部は、
前記第２のフォーマットの個人情報の複数の項目のうちの所定の項目の情報を秘匿化して、前記秘匿化個人情報の前記所定の項目の秘匿化情報を生成し、
前記所定の項目の情報と前記所定の項目の秘匿化情報との対応関係を示すマッピング情報を生成し、
前記記憶装置は、前記第２のフォーマットの個人情報、前記秘匿化個人情報、および前記マッピング情報をさらに記憶し、
前記記憶装置に記憶された前記前記第２のフォーマットの個人情報が読み出せない場合、前記秘匿化個人情報および前記マッピング情報に基づいて、前記前記第２のフォーマットの個人情報を復元する復元部をさらに備えることを特徴とする請求項１記載の情報処理装置。
【請求項３】
前記記憶装置に記憶された前記秘匿化個人情報が読み出せない場合、前記秘匿化部は、前記第２のフォーマットの個人情報を再度秘匿化し、前記秘匿化個人情報を復元することを特徴とする請求項２記載の情報処理装置。
【請求項４】
前記記憶装置に記憶された前記マッピング情報が読み出せない場合、前記秘匿化部は、前記第２のフォーマットの個人情報の前記所定の項目の情報を再度秘匿化し、前記マッピング情報を復元することを特徴とする請求項２または３記載の情報処理装置。
【請求項５】
情報処理装置が
記憶装置に記憶された、複数の情報提供機関のうちの１つが使用する第１のフォーマットの個人情報を、前記複数の情報提供機関から収集した個人情報を解析する解析装置が使用する第２のフォーマットの個人情報に変換し、
前記第２のフォーマットの個人情報を秘匿化して、前記第２のフォーマットの秘匿化個人情報を生成し、
前記第２のフォーマットの前記秘匿化個人情報を前記解析装置に送信する
処理を備える情報処理方法。
【請求項６】
記憶装置に記憶された、複数の情報提供機関のうちの１つが使用する第１のフォーマットの個人情報を、前記複数の情報提供機関から収集した個人情報を解析する解析装置が使用する第２のフォーマットの個人情報に変換し、
前記第２のフォーマットの個人情報を秘匿化して、前記第２のフォーマットの秘匿化個人情報を生成し、
前記第２のフォーマットの前記秘匿化個人情報を前記解析装置に送信する
処理をコンピュータに実行させるプログラム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、情報処理装置、情報処理方法、およびプログラムに関する。
【背景技術】
【０００２】
近年、ビッグデータ分析に対するニーズがますます高まっている。ビッグデータ分析において、より正確で有用な分析結果を得るためには、可能な限り多くのデータサンプルの収集を行うことが望ましい。
【０００３】
政府は、国内の医療分野におけるビッグデータ分析を促進する施策を将来的に実施する計画を持っている。この施策によれば、病院の電子カルテのデータが収集され、収集されたデータが匿名データに加工され、匿名データがビッグデータ分析に利用可能なデータとして、データの利活用を希望する団体へ提供される予定である。
【０００４】
電子カルテは、患者のプライバシーに関わる個人情報を多く含むデータである。このため、これらのデータを大量に収集する際には、個人情報の流出が起こらないような対策を講じることが望まれる。
【０００５】
患者データ等の個人データに係る個人のプライバシーを守りながら、患者データ等の解析処理や統計処理を行えるようにする技術が知られている（例えば、特許文献１参照）。
【先行技術文献】
【特許文献】
【０００６】
【特許文献１】特開２００３−５６４５号公報
【発明の概要】
【発明が解決しようとする課題】
【０００７】
上述した政府の施策に基づいて、情報解析機関が各病院から電子カルテを収集して解析する際、各病院の電子カルテのフォーマットが異なる場合、情報解析機関で電子カルテのフォーマットを揃えてから解析を行う。このように、情報解析機関でフォーマットを揃える処理を行うと作業が煩雑になり処理時間がかかるという問題がある。
【０００８】
なお、かかる問題は、病院における電子カルテを解析する場合に限らず、他の情報提供機関における他の情報を解析する場合においても生ずるものである。
【０００９】
１つの側面において、本発明は、情報提供機関に記憶される情報のフォーマットと解析装置が解析する情報のフォーマットとが異なる場合に、解析装置での処理時間を短縮することを目的とする。
【課題を解決するための手段】
【００１０】
実施の形態に係る情報処理装置は、変換部、秘匿化部、および送信部を含む。
前記変換部は、記憶装置に記憶された、複数の情報提供機関のうちの１つが使用する第１のフォーマットの個人情報を、前記複数の情報提供機関から収集した個人情報を解析する解析装置が使用する第２のフォーマットの個人情報に変換する。
【００１１】
前記秘匿化部は、前記第２のフォーマットの個人情報を秘匿化して、前記第２のフォーマットの秘匿化個人情報を生成する。
【００１２】
前記送信部は、前記第２のフォーマットの前記秘匿化個人情報を前記解析装置に送信する。
【発明の効果】
【００１３】
実施の形態に係る情報処理装置によれば、情報提供機関に記憶される情報のフォーマットと解析装置が解析する情報のフォーマットとが異なる場合に、解析装置での処理時間を短縮することができる。
【図面の簡単な説明】
【００１４】
【図１】実施の形態に係る情報処理システムの構成図である。
【図２】既存システムの生カルテ情報ＤＢの例である。
【図３】新システムの生カルテ情報ＤＢの例である。
【図４】対応関係テーブルの例である。
【図５】秘匿化する項目と秘匿化方法を示す図である。
【図６】秘匿化マッピングテーブルの例である。
【図７】秘匿化カルテ情報ＤＢの例である。
【図８】秘匿化ロジック配布管理テーブルの例である。
【図９】自動変換処理機構リストの例である。
【図１０】実施の形態に係る電子カルテインストールセットのインストール処理のシーケンス図である。
【図１１】インストール情報の入力画面を示す図である。
【図１２】インストール情報の入力画面を示す図である。
【図１３】電子カルテフォーマット変換処理の詳細なシーケンス図である。
【図１４】実施の形態に係る電子カルテ入力処理のシーケンス図である。
【図１５】電子カルテの入力画面の例を示す図である。
【図１６】実施の形態に係るデータ転送処理のシーケンス図である。
【図１７】実施の形態に係るデータ解析処理のシーケンス図である。
【図１８】秘匿化電子カルテの解析処理の例を示す図である。
【図１９】実施の形態に係る生電子カルテ復元処理のシーケンス図である。
【図２０】実施の形態に係る秘匿化電子カルテおよび秘匿化マッピングテーブルの復元処理のシーケンス図である。
【図２１】秘匿化後カルテ情報ＤＢのみが故障している場合の復元処理の詳細なシーケンス図である。
【図２２】秘匿化マッピングテーブルのみが故障している場合の復元処理の詳細なシーケンス図である。
【図２３】秘匿化後カルテ情報ＤＢおよび秘匿化マッピングテーブルの両方が故障している場合の復元処理の詳細なシーケンス図である
【図２４】情報処理装置（コンピュータ）の構成図である。
【発明を実施するための形態】
【００１５】
以下、図面を参照しながら実施の形態について説明する。
図１は、実施の形態に係る情報処理システムの構成図である。
図１の情報処理システム１００において、情報提供機関は、電子カルテのデータを提供する病院であり、情報解析機関は、電子カルテのデータを収集して解析する政府等の機関であり、情報利用機関は、研究機関、製薬会社等の解析結果を利用する機関である。電子カルテは、個人情報の一例である。
【００１６】
情報処理システム１００は、病院Ａの病院システム１０１−１、病院Ｂの病院システム１０１−２、情報解析機関の解析システム２０１、及び情報利用機関の利用者システム３０１を含む。病院システムの数は２つに限られず、病院の数が３つ以上である場合、病院システムの数も３つ以上になる。例えば、全国に存在する複数の病院が情報提供機関であってもよい。
【００１７】
病院システム１０１−ｉ（ｉ＝１，２）は、電子カルテ管理サーバ１１１−ｉ、生データストレージ装置１４１−ｉ、秘匿化データストレージ装置１５１−ｉ、医者用パーソナルコンピュータ（ＰＣ）１６１−ｉ、および管理用ＰＣ１７１−ｉを含む。病院システム１０１−１は、病院Ａの患者の電子カルテを格納および管理し、病院システム１０１−２は、病院Ｂの患者の電子カルテを格納および管理する。
【００１８】
電子カルテ管理サーバ１１１−１は、処理部１２１−１および記憶部１３１−１を含む。電子カルテ管理サーバ１１１−１は、ネットワークを介して、生データストレージ装置１４１−１、秘匿化データストレージ装置１５１−１、医者用ＰＣ１６１−１、および管理用ＰＣ１７１−１と接続し、互いに通信可能である。
【００１９】
処理部１２１−１は、読込部１２２−１、書込部１２３−１、秘匿化部１２４−１、復元部１２５−１、変換部１２６−１、およびデータ転送部１２７−１を含む。
【００２０】
読込部１２２−１は、既存システムの生カルテ情報ＤＢ１４４−１に含まれる電子カルテおよび新システムの生カルテ情報ＤＢ１４５−１に含まれる電子カルテを読み出す。
【００２１】
書込部１２３−１は、新システムの生カルテ情報ＤＢ１４５−１に電子カルテを書き込む。
【００２２】
秘匿化部１２４−１は、電子カルテを秘匿化する。詳細には、秘匿化部１２４−１は、電子カルテに含まれる項目のうち所定の項目の情報を秘匿化する。
【００２３】
復元部１２５−１は、生カルテ情報ＤＢ１４５−１、秘匿化後カルテ情報ＤＢ１５４−１、および秘匿化マッピングテーブル１５５−１−ｊを復元する。
【００２４】
変換部１２６−１は、既存システムの生カルテ情報ＤＢ１４４−１の他のフォーマットの電子カルテを共通フォーマットの電子カルテに変換して、生カルテ情報ＤＢ１４５−１を生成する。共通フォーマットは、解析用ＰＣ２３１が解析する電子カルテのフォーマットであり、各病院で使用される電子カルテの共通したフォーマットである。
【００２５】
データ転送部１２７−１は、秘匿化カルテ情報ＤＢ１５４−１を送信する。データ転送部１２７−１は、送信部の一例である。
【００２６】
記憶部１３１−１は、電子カルテ管理サーバ１１１−１で使用されるプログラムやデータ等を記憶する記憶装置である。記憶部１３１−１は、電子カルテインストールセット１３２−１を記憶する。
【００２７】
電子カルテインストールセット１３２−１は、電子カルテテンプレート１３３−１、秘匿化ロジック１３４−１、および自動変換処理機構１３５−１を含む。インストーラ配布ウェブサーバ２１１から、電子カルテ管理サーバ１２１−１の構成（オペレーティングシステムの種類やバージョン、ＣＰＵの種類）に適した電子カルテインストールセット１３２−１がダウンロードされる。
【００２８】
電子カルテテンプレート１３３−１は、各病院で共通する共通フォーマットの電子カルテを生成、書き込み、および読み出しを行うプログラムである。
【００２９】
秘匿化ロジック１３４−１は、電子カルテの所定の項目のデータを秘匿化するプログラムである。秘匿化ロジック１３４−１が秘匿化する項目や秘匿化の方法は、他の病院の秘匿化ロジックと異なっていてもよい。また、同じ系列（グループ）の病院では、同じ秘匿化ロジックが用いられることが望ましい。
【００３０】
自動変換処理機構１３５−１は、変換処理プログラム１３６−１および対応関係テーブル１３７−１を含む。
【００３１】
変換処理プログラム１３６−１は、既存システムのフォーマットの電子カルテを新システムのフォーマットの電子カルテに変換するプログラムである。新システムの電子カルテのフォーマットは、電子カルテテンプレート１３２−１により生成される電子カルテのフォーマットである。また、新システムの電子カルテのフォーマットは、各病院で共通する共通フォーマットである。
【００３２】
対応関係テーブル１３７−１は、新システムの生カルテ情報ＤＢ１４５−１の各項目のデータが既存システムの生カルテ情報ＤＢ１４４−１のどの場所にあるかを示す。
【００３３】
対応関係テーブル１３７−１の詳細は後述する。
生データストレージ装置１４１−１は、異常検出部１４２−１および記憶部１４３−１を含む。
【００３４】
異常検出部１４２−１は、記憶部１４３−１に格納されている生カルテ情報ＤＢ１４５−１の異常を検出する。すなわち、異常検出部１４２−１は、生カルテ情報ＤＢ１４５−１に含まれる電子カルテが破損し、電子カルテを読み出すことができない旨を検出する。異常検出部１４２−１は、定期的に生カルテ情報ＤＢ１４５−１に含まれる電子カルテが正常であるか、すなわち生カルテ情報ＤＢ１４５−１に含まれる電子カルテを読み出すことができるかチェックする。
【００３５】
記憶部１４３−１は、既存システムの生カルテ情報ＤＢ１４４−１および新システムの生カルテ情報ＤＢ１４５−１を記憶する。
【００３６】
既存システムの生カルテ情報ＤＢ１４４−１は、以前に使用されたシステムにより作成された他のフォーマットの電子カルテを含む。また、既存システムの生カルテ情報ＤＢ１４４−１に含まれる電子カルテは、秘匿化されていない。
【００３７】
新システムの生カルテ情報ＤＢ１４５−１は、電子カルテインストールセット１３２−１により作成される共通フォーマットの電子カルテを含む。
【００３８】
秘匿化データストレージ装置１５１−１は、異常検出部１５２−１および記憶部１５３−１を含む。
【００３９】
異常検出部１５２−１は、記憶部１５３−１に格納されている秘匿化後カルテ情報ＤＢ１５４−１および秘匿化マッピングテーブル１５５−１−ｊ（ｊ＝１〜ｎ：ｎは秘匿化後カルテ情報ＤＢ１５４−１に含まれる患者ＩＤの最大値、すなわち秘匿化後カルテ情報ＤＢ１５４−１に記録されている患者の数である）の異常を検出する。すなわち、異常検出部１５２−１は、秘匿化後カルテ情報ＤＢ１５４−１に含まれる電子カルテおよび秘匿化マッピングテーブル１５５−１−ｊが破損し、秘匿化後カルテ情報ＤＢ１５４−１に含まれる電子カルテおよび秘匿化マッピングテーブル１５５−１−ｊを読み出すことができない旨を検出する。異常検出部１５２−１は、定期的に秘匿化後カルテ情報ＤＢ１５４−１に含まれる電子カルテおよび秘匿化マッピングテーブル１５５−１−ｊが正常であるか、すなわち秘匿化後カルテ情報ＤＢ１５４−１に含まれる電子カルテおよび秘匿化マッピングテーブル１５５−１−ｊを読み出すことができるかチェックする。
【００４０】
記憶部１５３−１は、秘匿化後カルテ情報ＤＢ１５４−１および秘匿化マッピングテーブル１５５−１−ｊを記憶する。
【００４１】
秘匿化後カルテ情報ＤＢ１５４−１は、生カルテ情報ＤＢ１４５−１に含まれる電子カルテを秘匿化した秘匿化電子カルテを含む。
【００４２】
秘匿化マッピングテーブル１５５−１−ｊには、患者の秘匿化前の電子カルテの秘匿化される項目の情報と秘匿化後の電子カルテの秘匿化される項目の情報とが対応付けて記録されている。秘匿化マッピングテーブル１５５−１−ｊには、患者ＩＤ＝ｊに対応する患者の秘匿化前の電子カルテの秘匿化される項目の情報と秘匿化後の電子カルテの秘匿化される項目の情報とが記録されている。
【００４３】
医者用ＰＣ１６１−１は、医者が電子カルテの情報を入力する際に用いられる装置である。
【００４４】
管理用ＰＣ１７１−１は、電子カルテ管理サーバ１１１−１への指示や、秘匿化された電子カルテの解析システム２０１への送信などの処理を行う。
【００４５】
電子カルテ管理サーバ１１１−２、生データストレージ装置１４１−２、秘匿化データストレージ装置１５１−２、医者用ＰＣ１６１−２、および管理用ＰＣ１７１−２は、それぞれ電子カルテ管理サーバ１１１−１、生データストレージ装置１４１−１、秘匿化データストレージ装置１５１−１、医者用ＰＣ１６１−１、および管理用ＰＣ１７１−１と同様の機能を有するため詳細な説明は省略する。
【００４６】
解析システム２０１は、インストーラ配布ウェブサーバ２１１、データ読込用サーバ２２１、解析用ＰＣ２３１、データ収集ストレージ装置２４１、およびデータ格納サーバ２５１を含む。
【００４７】
インストーラ配布ウェブサーバ２１１は、ウェブサービス部２１２、秘匿化ロジック生成部２１３、および記憶部２１４を含む。
【００４８】
ウェブサービス部２１２は、管理用ＰＣ１７１からの要求に応じて、電子カルテインストールセットの生成や配布を行う。
【００４９】
秘匿化ロジック生成部２１３は、秘匿化ロジックを生成する。秘匿化ロジックは、データを秘匿化するプログラムである。生成される秘匿化ロジックごとに、電子カルテの秘匿化する項目や秘匿化する方法が異なっていてもよい。
【００５０】
記憶部２１４は、電子カルテテンプレート群２１５、自動変換処理機構群２１６、秘匿化ロジック管理テーブル２１７、配布済み秘匿化ロジック群２１８、自動変換処理機構リスト２１９を記憶する。
【００５１】
電子カルテテンプレート群２１５は、各病院で共通する共通フォーマットの電子カルテを作成する電子カルテテンプレートの集合である。電子カルテテンプレート群２１５は、ＯＳの種類やバージョン、ＣＰＵの種類のそれぞれで動作する複数の電子カルテテンプレートの集合である。
【００５２】
自動変換処理機構群２１６は、他のフォーマットの電子カルテを変換して共通フォーマットの電子カルテを作成する自動変換処理機構の集合である。自動変換処理機構群２１６は、複数の自動変換処理機構の集合であり、複数の自動変換処理機構のそれぞれは、電子カルテを生成する複数の電子カルテメーカーの複数の製品それぞれが生成する複数のフォーマットのうちのあるフォーマットの電子カルテを共通フォーマットの電子化カルテに変換する。例えば、複数の自動変換処理機構のうちの自動変換処理機構Ｈ−１は、電子カルテメーカーＨ社の製品である診療所向け電子カルテシステムにより生成される第１のフォーマットの電子カルテを共通フォーマットの電子カルテに変換する。また、複数の自動変換処理機構のうちの自動変換処理機構Ｈ−２は、電子カルテメーカーＨ社の製品である眼科医院向け電子カルテシステムにより生成される第２のフォーマットの電子カルテを共通フォーマットの電子カルテに変換する。このように自動変換処理機構群２１６には、複数の電子カルテメーカーおよび複数の製品のそれぞれが生成するフォーマットに対応した複数の自動変換処理機構が含まれている。
【００５３】
秘匿化ロジック管理テーブル２１７は、秘匿化ロジックを示す情報と秘匿化ロジックの配布先とが対応付けて記録されたテーブルである。
【００５４】
配布済み秘匿化ロジック群２１８は、病院システム１０１−ｉに配布済みの秘匿化ロジックの集合である。
【００５５】
自動変換処理機構リスト２１９は、自動変換処理機構群２１６に含まれる自動変換処理機構のリストである。
【００５６】
データ読込用サーバ２２１は、各病院システム１０１−ｉから秘匿化電子カルテを受信し、データ収集ストレージ装置２４１の収集ＤＢ２４３に書き込む。
【００５７】
解析用ＰＣ２３１は、データ収集ストレージ装置２４１から収集ＤＢ２４３に含まれる秘匿化電子カルテを読み出し、秘匿化電子カルテを解析し、解析結果をデータ格納サーバ２５１の解析結果ＤＢ２５３に書き込む。
【００５８】
データ収集ストレージ装置２４１は、記憶部２４２を含む。記憶部２４２は、収集ＤＢ２４３を記憶する。収集ＤＢ２４３は、各病院システム１０１−ｉから取得した秘匿化電子カルテを含む。
【００５９】
データ格納サーバ２５１は、記憶部２５２を含む。記憶部２５２は、解析結果ＤＢ２５３を記憶する。解析結果ＤＢ２５３は、解析用ＰＣ２３１による秘匿化電子カルテの解析結果を含む。
【００６０】
利用者システム３０１は、利用者ＰＣ３１１−ｉを含む。情報利用機関の利用者は、利用者ＰＣ３１１−ｉを用いて、解析結果を解析システム２０１に要求し、解析結果ＤＢ２５３から解析結果を取得する。
【００６１】
尚、上述の情報処理システム１００の構成は一例であり、適宜変更することが可能である。例えば、生データストレージ装置１４１−１と秘匿化データストレージ装置１５１−１は、同一の装置であってもよい。また、生データストレージ装置１４１−１と秘匿化データストレージ装置１５１−１は、電子カルテ管理サーバ１１１−１内にあってもよい。
【００６２】
図２は、既存システムの生カルテ情報ＤＢの例である。
既存システムの生カルテ情報ＤＢ１４４−１は、患者情報テーブル１４４−１−１、診断情報テーブル１４４−１−２、および受信病院レコード１４４−１−３を含む。既存システムの生カルテ情報ＤＢ１４４−１において、電子カルテは、解析用ＰＣ２３１が解析する電子カルテのフォーマットとは異なるフォーマットで記録されている。
【００６３】
患者情報テーブル１４４−１−１は、項目として、患者ＩＤ、氏名、生年月日、性別、住所、保険証Ｎｏを含む。
診断情報テーブル１４４−１−２は、項目として、患者ＩＤ、血液型、アレルギー、処方結果、検査結果、病名を含む。
受信病院レコード１４４−１−３は、項目として、患者ＩＤ、受信病院名を含む。
【００６４】
図３は、新システムの生カルテ情報ＤＢの例である。
新システムの生カルテ情報ＤＢ１４５−１は、項目として、患者ＩＤ、氏名、生年月日、性別、住所、血液型、保険証ＩＤ、病院名、アレルギー、処方、検査結果、および病名を含む。新システムの生カルテ情報ＤＢ１４５−１は、解析用ＰＣ２３１が解析する電子カルテのフォーマットであり、各病院で共通する共通フォーマットの電子カルテの項目を含む。すなわち、新システムの生カルテ情報ＤＢ１４５−１において、電子カルテは、共通フォーマットで記録されている。
【００６５】
図４は、対応関係テーブルの例である。
対応関係テーブル１３７−１は、項目として、新システム入力項目と既存システムでの情報格納場所を含み、これらが対応付けられて記載されている。
【００６６】
新システム入力項目は、新システムの生カルテ情報ＤＢ１４５−１の項目を示す。すなわち、各病院で共通する共通フォーマットの電子カルテの項目を示す。
【００６７】
既存システムでの情報格納場所は、新システム入力項目に対応する既存システムの生カルテ情報ＤＢ１４４−１内のデータの場所を示す。
【００６８】
例えば、図４の対応関係テーブル１３７−１の１行目は、新システムの入力項目の「氏名」のデータは、既存システムの生カルテ情報ＤＢ１４４−１の患者情報テーブル１４４−１−１の「氏名」のデータに対応することを示す。
【００６９】
変換部１２６−１は、対応関係テーブル１３７−１を参照して、新システムの生カルテ情報ＤＢ１４５−１の各項目に対応するデータを既存システムの生カルテ情報ＤＢ１４４−１から取得し、新システムの生カルテ情報ＤＢ１４５−１に書き込むことで、変換処理を行う。
【００７０】
次に秘匿化部１２４−１の処理について説明する。
秘匿化部１２４−１は、新システムの生カルテ情報ＤＢ１４５−１の所定の項目のデータを秘匿化して、秘匿化されたデータを秘匿化後カルテ情報ＤＢ１５４−１に書き込む。
【００７１】
図５は、秘匿化する項目と秘匿化方法を示す図である。図５において、秘匿化する項目を○、秘匿化しない項目を×で示す。
【００７２】
秘匿化部１２４−１は、氏名、生年月日、住所、および保険証ＩＤを秘匿化する。
秘匿化部１２４−１は、氏名および保険証ＩＤの文字列を、所定のルールに基づいて変換することで、氏名および保険証ＩＤの秘匿化後の文字列を生成する。秘匿化後の文字列は、他者が見た場合に元の文字列が分からないような文字列である。例えば、秘匿化部１２４−１は、ハッシュ関数を用いて、秘匿化後の文字列を生成する。秘匿化後の文字列は、例えば、数字、アルファベットの大文字と小文字、または記号を含む。
【００７３】
秘匿化部１２４−１は、生年月日のデータの年のみを抽出することで、秘匿化された生年月日のデータを生成する。
秘匿化部１２４−１は、住所の都道府県のみを抽出することで、秘匿化された住所を生成する。
【００７４】
尚、秘匿化する項目と秘匿化方法は、一例であり、これに限られるものではない。
図６は、秘匿化マッピングテーブルの例である。
【００７５】
秘匿化部１２４−１は、新システムの生カルテ情報ＤＢ１４５−１の氏名＝横浜太郎、生年月日＝１９９８／１１／３、住所＝神奈川県横浜市北区〜、および保険証ＩＤ＝ＡＡＡＢＢＢＣＣＣを図６に記載の秘匿化方法で秘匿化すると、秘匿化後の氏名、生年月日、住所、および保険証ＩＤは、それぞれNV@wY,１９９８、神奈川県、およびA|(\;Xp)R;epとなる。
【００７６】
秘匿化部１２４−１は、項目と秘匿化前のデータと秘匿化後のデータを秘匿化マッピングテーブル１５５−１−１に書き込むと、図６に示すような秘匿化マッピングテーブル１５５−１−１となる。
【００７７】
図７は、秘匿化カルテ情報ＤＢの例である。
秘匿化カルテ情報ＤＢ１５４−１は、項目として、患者ＩＤ、氏名、生年月日、性別、住所、血液型、保険証ＩＤ、病院名、アレルギー、処方、検査結果、および病名を含む。秘匿化カルテ情報ＤＢ１５４−１の項目と新システムの生カルテ情報ＤＢ１４５−１の項目は同じである。すなわち、秘匿化カルテ情報ＤＢ１５４−１は、解析用ＰＣ２３１が解析する電子カルテのフォーマットであり、各病院で共通する共通フォーマットの電子カルテの項目を含む。すなわち、秘匿化カルテ情報ＤＢ１５４−１において、秘匿化された電子カルテは、共通フォーマットで記録されている。
【００７８】
秘匿化部１２４−１は、秘匿化しない項目は生カルテ情報ＤＢ１４５−１のデータを秘匿化カルテ情報ＤＢ１５４−１に書き込み、秘匿化する項目は秘匿化後のデータを秘匿化カルテ情報ＤＢ１５４−１に書き込む。それにより、図７に示すような秘匿化カルテ情報ＤＢ１５４−１が生成される。
【００７９】
図８は、秘匿化ロジック配布管理テーブルの例である。
秘匿化ロジック配布管理テーブル２１７は、項目として、病院名および秘匿化ロジックを含み、これらが対応付けられて記載されている。
【００８０】
病院名は、秘匿化ロジックの送信先の病院システム１０１−１を使用している病院の名前である
秘匿化ロジックは、秘匿化ロジックを識別する情報である。図８において、秘匿化ロジックＡは、秘匿化ロジック１３４−１を示す。
【００８１】
図９は、自動変換処理機構リストの例である。
自動変換処理機構リスト２１９は、項目として、電子カルテメーカー、製品名、および自動変換処理機構を含み、これらが対応付けられて記載されている。自動変換処理機構リスト２１９は、既存システムの生カルテ情報ＤＢ１４４−１の他のフォーマットの電子カルテを変換して共通フォーマットの電子カルテを生成する場合に、どの自動変換処理機構を使用するのが適切かを示す。
【００８２】
電子カルテメーカーは、メーカーの名前である。
製品名は、製品の名前である。
自動変換処理機構は、自動変換処理機構を識別する情報である。
【００８３】
例えば、図９の自動変換処理機構リスト２１９は、Ｈ社の診療所向け電子カルテシステムにより生成された電子カルテは、自動変換処理機構群２１６のうちＨ−１で示される自動変換処理機構により、共通フォーマットの電子カルテに変換できることを示す。
【００８４】
図１０は、実施の形態に係る電子カルテインストールセットのインストール処理のシーケンス図である。
【００８５】
ここでは、病院Ａの病院システム１０１−１に電子カルテインストールセットをインストールする場合を説明する。尚、病院Ｂの病院システム１０１−２に電子カルテインストールセットをインストールする場合も同様の処理である。
【００８６】
ステップＳ５０１において、管理者は管理用ＰＣ１７１−１を用いて、インストーラ配布ウェブサーバ２１１にアクセスし、インストール情報を入力する。また、管理者は電子カルテシステムの導入先の病院名を入力する。ここでは、電子カルテ管理サーバ１１１−１に電子カルテシステムを導入（インストール）するので、管理者は病院名として病院Ａを入力する。
【００８７】
図１１、１２は、インストール情報の入力画面を示す図である。
管理用ＰＣ１７１−１の表示装置には、図１１に示すようなインストール情報の入力画面が表示され、管理者は電子カルテ管理サーバ１１１−１の情報を入力する。管理者は、インストール情報として、電子カルテ管理サーバ１１１−１のＯＳの種別およびバージョン、ＣＰＵの種類を入力する。
【００８８】
また、管理用ＰＣ１７１−１の表示装置には、図１２に示すようなインストール情報の入力画面が表示され、管理者は、既存システムの生カルテ情報ＤＢ１４４−１に含まれる他のフォーマットの電子カルテを共通フォーマットの電子カルテに変換する自動変換処理を行う場合、該当するチェックボックスにチェックを入れる。さらに、インストール情報として、既存システムの生カルテ情報ＤＢ１４４−１の他のフォーマットの電子カルテの生成に使用された電子カルテメーカーのメーカー名と製品名を入力する。また、電子カルテのインストール先の病院の系列病院がある場合は、管理者は、入力画面の系列病院の「あり」のラジオボタンを選択し、インストール先の病院を示す医療機関コードを入力する。
【００８９】
ステップＳ５０２において、ウェブサービス部２１２は、既に電子カルテシステムが導入されているか判定する。既に電子カルテシステムが導入されている場合、制御はステップＳ５０３に進み、既に電子カルテシステムが導入されていない場合、制御はステップＳ５０５に進む。ウェブサービス部２１２は、インストール情報の入力において、自動変換処理を行うことが入力されている場合、既に電子カルテシステムが導入されていると判定する。
【００９０】
ステップＳ５０３において、ウェブサービス部２１２は、既に導入されている電子カルテシステムの電子カルテメーカーと製品名が自動変換処理機構リスト２１９にあるか判定する。既に導入されている電子カルテシステムの電子カルテメーカーと製品名が自動変換処理機構リスト２１９にある場合、制御はステップＳ５０４に進む。既に導入されている電子カルテシステムの電子カルテメーカーと製品名が自動変換処理機構リスト２１９に無い場合、制御はステップＳ５０５に進む。
【００９１】
既に導入されている電子カルテシステムの電子カルテメーカーと製品名は、ステップＳ５０１において既存システムの生カルテ情報ＤＢ１４４−１の他のフォーマットの電子カルテの生成に使用された電子カルテメーカーのメーカー名と製品名として入力されている。
【００９２】
ステップＳ５０４において、ウェブサービス部２１２は、自動変換処理機構リスト２１９を参照し、既に導入されている電子カルテシステムの電子カルテメーカーと製品名に対応する自動変換処理機構を自動変換処理機構群２１６から取得する。
【００９３】
ステップＳ５０５において、ウェブサービス部２１２は、電子カルテテンプレート群２１５からインストール情報に対応する電子カルテテンプレートを取得する。
【００９４】
ステップＳ５０６において、ウェブサービス部２１２は、電子カルテシステムの導入先の病院の系列病院に秘匿化ロジックが配布済みであるか判定する。系列病院に秘匿化ロジックが配布済みである場合、制御はステップＳ５０９に進み、系列病院に秘匿化ロジックが配布済みでない無い場合、制御はステップＳ５０７に進む。ステップＳ５０１のインストール情報の入力において、入力画面の系列病院の「あり」のラジオボタンを選択されている場合、ウェブサービス部２１２は、秘匿化ロジックが配布済みであると判定する。
【００９５】
ステップＳ５０７において、ウェブサービス部２１２は、秘匿化ロジック生成部２１３に秘匿化ロジックの生成を要求する。
【００９６】
ステップＳ５０８において、秘匿化ロジック生成部２１３は、秘匿化ロジックを生成する。ウェブサービス部２１２は、生成された秘匿化ロジックを秘匿化ロジック生成部２１７から取得する。秘匿化ロジック生成部２１３は、生成した秘匿化ロジックを配布済み秘匿化ロジック群２１８に含め、生成した秘匿化ロジックを示す情報と生成した秘匿化ロジックの配布先の病院名（すなわち、電子カルテシステムの導入先の病院名）を秘匿化ロジック管理テーブル２１７に書き込む。尚、秘匿化ロジック生成部２１３は、電子カルテシステムの導入先の病院ごとに、秘匿化する項目および秘匿化する方法が異なる秘匿化ロジックを生成してもよい。また、病院ごとに秘匿化する項目が予め設定されている場合、設定に応じた秘匿化ロジックを生成してもよい。
【００９７】
ステップＳ５０９において、ウェブサービス部２１２は、秘匿化ロジック管理テーブル２１７を参照し、配布済み秘匿化ロジック群２１８に含まれる秘匿化ロジックのうち、系列病院に配布した秘匿化ロジックを取得する。例えば、電子カルテの導入先が病院Ｘであり、インストール情報の入力において、病院Ｘの医療機関コードが入力された場合、ウェブサービス部２１２は、入力された医療機関コードに基づいて、病院Ｘの系列病院の病院名を取得する。尚、記憶部２１４は、医療機関コードと対応する病院名、系列病院を示す情報を記憶しており、ウェブサービス部２１２は、当該情報を参照して、ある病院の系列病院の病院名を取得する。そして、ウェブサービス部２１２は、取得した系列病院の病院名に対応する秘匿化ロジックを秘匿化ロジック管理テーブル２１７から検出し、検出した秘匿化ロジックに対応する秘匿化ロジックを配布済み秘匿化ロジック群２１８から取得する。例えば、病院Ｘの系列病院が病院Ｂである場合、図８の秘匿化ロジックテーブル２１７を参照すると病院Ｂに対応する秘匿化ロジックＢが検出され、秘匿化ロジックＢが配布済秘匿化ロジック群２１８から取得される。また、ウェブサービス部２１２は、取得した秘匿化ロジックを示す情報と電子カルテの導入先の病院名を秘匿化ロジック管理テーブル２１７に書き込む。系列病院で同じ秘匿化ロジックを用いることで、系列病院の間で電子カルテの互換性を保つことが出来る。尚、ウェブサービス部２１２が取得した系列病院の病院名に対応する秘匿化ロジックを秘匿化ロジックテーブル２１７から検出できなかった場合、制御はステップＳ５０７に進む。
【００９８】
ステップＳ５１０において、ウェブサービス部２１２は、電子カルテインストールセットを作成する。電子カルテインストールセットは、取得した電子カルテテンプレート、生成した秘匿化ロジック、および取得した自動変換処理機構を含む。
【００９９】
ステップＳ５１１において、ウェブサービス部２１２は、電子カルテインストールセットを管理用ＰＣ１７１に送信する。管理用ＰＣ１７１は、電子カルテインストールセットを電子カルテ管理サーバ１１１−１の記憶部１３１−１に記憶する。
【０１００】
ステップＳ５１２において、管理用ＰＣ１７１は、電子カルテテンプレート１３３−１を電子カルテ管理サーバ１１１−１にインストールし、電子カルテ管理サーバ１１１−１は、電子カルテテンプレート１３３−１を実行する。これにより、電子カルテテンプレート１３３−１は、読込部１２２−１、書込部１２３−１、復元部１２５−１、およびデータ転送部１２７−１として動作する。
【０１０１】
ステップＳ５１３において、管理用ＰＣ１７１は、秘匿化ロジック１３４−１を電子カルテ管理サーバ１１１−１にインストールし、電子カルテ管理サーバ１１１−１は、秘匿化ロジック１３４−１を実行する。これにより、秘匿化ロジック１３４−１は、秘匿化部１２４−１として動作する。
【０１０２】
ステップＳ５１４において、電子カルテインストールセット１３２−１に自動変換処理機構１３５−１が含まれている場合、制御はステップＳ５１５に進み、自動変換処理機構１３５−１が含まれていない場合、処理は終了する。
【０１０３】
ステップＳ５１５において、管理用ＰＣ１７１は、変換処理プログラム１３６−１を電子カルテ管理サーバ１１１−１にインストールし、電子カルテ管理サーバ１１１−１は、変換処理プログラム１３６−１を実行する。これにより、変換処理プログラム１３６−１は、変換部１２６−１として動作する。
【０１０４】
ステップＳ５１６において、電子カルテ管理サーバ１１１−１は、電子カルテフォーマット変換処理を行う。電子カルテフォーマット変換処理により、既存システムの生カルテ情報ＤＢ１４４−１の他のフォーマットの電子カルテは、共通フォーマットの電子カルテに変換され、新システムの生カルテ情報ＤＢ１４５−１に格納される
図１３は、電子カルテフォーマット変換処理の詳細なシーケンス図である。
【０１０５】
ステップＳ５２１において、変換部１２６−１は、新システムの生カルテ情報ＤＢ１４５−１から新システムの生カルテ情報ＤＢ１４５−１の項目（すなわち、共通フォーマットの電子カルテの項目）を取得する。
【０１０６】
ステップＳ５２２において、変換部１２６−１は、対応関係テーブル１３７−１を参照し、変換元データと変換後データの対応付け（マッピング情報）を取得する。すなわち、新システムの生カルテ情報ＤＢ１４５−１の各項目のデータが既存システムの生カルテ情報ＤＢ１４４−１のどの位置に存在するかを示す情報を取得する。
【０１０７】
ステップＳ５２３は、ステップＳ５３３に対応するループの始端であり、既存システムの生カルテ情報ＤＢ１４４−１に含まれる患者ＩＤのうち未選択の患者ＩＤが１つ選択される。以下、選択された患者ＩＤは、選択患者ＩＤと表記する。ステップＳ５２３とステップＳ５３３の間のループは、既存システムの生カルテ情報ＤＢ１４４−１に含まれる患者数（患者ＩＤ数）分だけ繰り返される。例えば、図２の既存システムの生カルテ情報ＤＢ１４４−１において、患者ＩＤの最大値は４であり、４人の患者の電子カルテが含まれている。
【０１０８】
ステップＳ５２４において、変換部１２６−１は、選択患者ＩＤに対応する新システムの生カルテ情報ＤＢ１４５−１の各項目に対応するデータを既存システムの生カルテ情報ＤＢ１４４−１から取得する。例えば、選択患者ＩＤ＝１の場合、変換部１２６−１は、新システムの生カルテ情報ＤＢ１４５−１の患者ＩＤ＝１に対応する各項目のデータを既存システムの生カルテ情報ＤＢ１４４−１の患者ＩＤ＝１に対応するデータから取得する。
【０１０９】
ステップＳ５２５において、変換部１２６−１は、選択患者ＩＤと取得した新システムの生カルテ情報ＤＢ１４５−１の各項目に対応するデータを新システムの生カルテ情報ＤＢ１４５−１に書き込む。
【０１１０】
ステップＳ５２６は、ステップＳ５３２に対応するループの始端であり、新システムの生カルテ情報ＤＢ１４５−１の項目のうち未選択の項目が１つ選択される。以下、選択された項目は、選択項目と表記する。
【０１１１】
ステップＳ５２７において、秘匿化部１２４−１は、選択項目が秘匿化される項目であるか判定する。選択項目が秘匿化される項目である場合、制御はステップＳ５２９に進み、選択項目が秘匿化される項目でない場合、制御はステップＳ５２８に進む。尚、秘匿化される項目は、予め設定されている。
【０１１２】
ステップＳ５２８において、秘匿化部１２４−１は、生カルテ情報ＤＢ１４５−１の選択項目のデータを秘匿化後カルテ情報ＤＢ１５４−１に書き込む。
【０１１３】
ステップＳ５２９において、秘匿化部１２４−１は、生カルテ情報ＤＢ１４５−１の選択項目のデータを秘匿化する。
【０１１４】
ステップＳ５３０において、秘匿化部１２４−１は、生カルテ情報ＤＢ１４５−１の選択項目のデータと秘匿化された選択項目のデータを対応付けて秘匿化マッピングテーブル１５５−１−ｊに書き込む。尚、秘匿化部１２４−１は、選択患者ＩＤに対応する秘匿化マッピングテーブル１５５−１−ｊが記憶部１５３−１に無い場合、書き込む前に選択患者ＩＤに対応する秘匿化マッピングテーブル１５５−１−ｊを生成する。
【０１１５】
ステップＳ５３１において、秘匿化部１２４−１は、秘匿化された選択項目のデータを秘匿化後カルテ情報ＤＢ１５４−１に書き込む。
【０１１６】
ステップＳ５３２は、ステップＳ５２６に対応するループの終端であり、新システムの生カルテ情報ＤＢ１４５−１の全ての項目が選択済みの場合、制御はステップＳ５３３に進む。新システムの生カルテ情報ＤＢ１４５−１の全ての項目が選択済みでない場合、制御はステップＳ５２６に戻る。
【０１１７】
ステップＳ５３３は、ステップＳ５２３に対応するループの終端であり、既存システムの生カルテ情報ＤＢ１４４−１−１の全ての患者ＩＤが選択済みの場合、電子カルテフォーマット変換処理は終了する。既存システムの生カルテ情報ＤＢ１４４−１−１の全ての患者ＩＤが選択済みでない場合、制御はステップＳ５２３に戻る。
【０１１８】
図１４は、実施の形態に係る電子カルテ入力処理のシーケンス図である。
尚、図１０のインストール処理は、既に行われているとする。
【０１１９】
ステップＳ５４１において、医者は医者用ＰＣ１６１を用いて、電子カルテ管理サーバ１１１−１にアクセスし、電子カルテの入力を開始する。医者は、患者ＩＤを入力し、医者用ＰＣ１６１は、患者ＩＤを電子カルテ管理サーバ１１１−１に送信する。
【０１２０】
ステップＳ５４２において、読込部１２２−１は、新システムの生カルテ情報ＤＢ１４５−１の患者ＩＤを読み出す。
【０１２１】
ステップＳ５４３において、読込部１２２−１は、医者用ＰＣ１６１から入力された患者ＩＤが生カルテ情報ＤＢ１４５−１に存在するか判定する。医者用ＰＣ１６１から入力された患者ＩＤが生カルテ情報ＤＢ１４５−１に存在する場合、制御はステップＳ５４４に進む。医者用ＰＣ１６１から入力された患者ＩＤが生カルテ情報ＤＢ１４５−１に存在しない場合、制御はステップＳ５４５に進む。
【０１２２】
ステップＳ５４４において、読込部１２２−１は、入力された患者ＩＤに対応する電子カルテを生カルテ情報ＤＢ１４５−１から読み出し、医者用ＰＣ１６１−１の表示装置に表示する。
【０１２３】
ステップＳ５４５において、医者は、医者用ＰＣ１６１を用いて共通フォーマットを用いた電子カルテに患者のデータを入力する。医者は、患者が新規の患者である場合、電子カルテの全ての項目のデータを入力する。医者は、患者が新規の患者でない場合、電子カルテの複数の項目のうち、更新が必要となった項目のデータを入力する。医者用ＰＣ１６１は、入力された項目のデータを書き込み部１２３−１に送信する。
【０１２４】
図１５は、医者用ＰＣ１６１の表示装置に表示される、共通フォーマットを用いた電子カルテの入力画面の例を示す。図１５の入力画面は、患者の氏名、性別、生年月日、住所、保険証ＩＤ、血液型、病院名、アレルギー、処方、検査結果、および病名の項目を含む。
【０１２５】
ステップＳ５４６において、書込部１２３−１は、医者用ＰＣ１６１から入力された項目のデータを受信する。
【０１２６】
ステップＳ５４７は、ステップＳ５５６に対応するループの始端であり、入力された項目のうち未選択の項目が１つ選択される。以下、選択された項目は、選択項目と表記する
ステップＳ５４８において、書込部１２３−１は、医者用ＰＣ１６１から受信した入力された項目のデータのうち、選択項目のデータを生カルテ情報ＤＢ１４５−１に書き込む。
【０１２７】
ステップＳ５４９において、読込部１２２−１は、選択項目が秘匿化される項目であるか判定する。選択項目が秘匿化される項目である場合、制御はステップＳ５５１に進み、選択項目が秘匿化される項目で無い場合、制御はステップＳ５５０に進む。尚、秘匿化される項目は、予め設定されている。
【０１２８】
ステップＳ５５０において、秘匿化部１２４−１は、選択項目のデータを秘匿化後カルテ情報ＤＢ１５４−１に書き込む。
【０１２９】
ステップＳ５５１において、秘匿化部１２４−１は、生カルテ情報ＤＢ１４５−１の選択項目のデータを秘匿化する。
【０１３０】
ステップＳ５５２において、読込部１２２−１は、医者用ＰＣ１６１から入力された患者ＩＤが新規の患者ＩＤであるか判定する。入力された患者ＩＤが新規の患者ＩＤである場合、制御はステップＳ５５３に進み、入力された患者ＩＤが新規の患者ＩＤでない場合、制御はステップＳ５５４に進む。
【０１３１】
ステップＳ５５３において、秘匿化部１２４−１は、生カルテ情報ＤＢ１４５−１の選択項目のデータと秘匿化された選択項目のデータを対応付けて入力された患者ＩＤに対応する秘匿化マッピングテーブル１５５−１−ｊに書き込む。尚、秘匿化部１２４−１は、入力された患者ＩＤに対応する秘匿化マッピングテーブル１５５−１−ｊが記憶部１５３−１に無い場合は、入力された患者ＩＤに対応する秘匿化マッピングテーブル１５５−１−ｊを生成する。
【０１３２】
ステップＳ５５４において、秘匿化部１２４−１は、生カルテ情報ＤＢ１４５−１の選択項目のデータと秘匿化された選択項目のデータを対応付けて入力された患者ＩＤに対応する秘匿化マッピングテーブル１５５−１−ｊを更新する。
【０１３３】
ステップＳ５５５において、秘匿化部１２４−１は、秘匿化された選択項目のデータを秘匿化後カルテ情報ＤＢ１５４−１に書き込む。
【０１３４】
ステップＳ５５６は、ステップＳ５４７に対応するループの終端であり、入力された項目の全てが選択済みの場合、制御はステップＳ５５７に進む。入力された項目の全てが選択済みの項目が選択済みでない場合、制御はステップＳ５４７に戻る。
【０１３５】
ステップＳ５５７において、秘匿化部１２４−１は、電子カルテの書き込み完了通知を医者用ＰＣ１６１−１に送信する。
【０１３６】
次に秘匿化後のデータ（すなわち秘匿化された電子カルテ）を解析システム２０１に送信する処理について説明する。
【０１３７】
図１６は、実施の形態に係るデータ転送処理のシーケンス図である。
ステップＳ５６１において、管理用ＰＣ１７１−１は、共通フォーマットの秘匿化電子カルテを含む秘匿化後カルテ情報ＤＢ１５４−１を取得する。詳細には、管理用ＰＣ１７１−１は、電子カルテ管理サーバ１１１−１に秘匿化後カルテ情報ＤＢ１５４−１を要求し、電子カルテ管理サーバ１１１−１は要求を受信すると、秘匿化データストレージ装置１５１−１から秘匿化後カルテ情報ＤＢ１５４−１を読み出して、管理用ＰＣ１７１−１に送信する。また、電子カルテ管理サーバ１１１−１は、秘匿化後カルテ情報ＤＢ１５４−１をデータ読込用サーバ２２１に送信してもよい。
【０１３８】
ステップＳ５６２において、管理用ＰＣ１７１−１は、秘匿化後カルテ情報ＤＢ１５４−１をデータ読込用サーバ２２１に送信する。
【０１３９】
ステップＳ５６３において、データ読込用サーバ２２１は、秘匿化後カルテ情報ＤＢ１５４−１に含まれる共通フォーマットの秘匿化電子カルテを収集ＤＢ２４３に書き込む。
【０１４０】
次に収集ＤＢ２４３に含まれるデータを解析する処理について説明する。
図１７は、実施の形態に係るデータ解析処理のシーケンス図である。
【０１４１】
ステップＳ５７１において、利用者ＰＣ３１１−ｉは、解析用ＰＣ２３１に解析結果を要求する。
【０１４２】
ステップＳ５７２において、解析用ＰＣ２３１は、データ収集ストレージ装置２４１から共通フォーマットの秘匿化電子カルテを含む収集ＤＢ２４３を取得する。
【０１４３】
ステップＳ５７３において、解析用ＰＣ２３１は、収集ＤＢ２４３に含まれる秘匿化電子カルテを解析する。
【０１４４】
ステップＳ５７４において、解析用ＰＣ２３１は、解析結果を解析結果ＤＢ２５３に書き込む。
【０１４５】
ステップＳ５７５において、データ格納サーバ２５１は、解析結果ＤＢ２５３に含まれる解析結果を利用者ＰＣ３１１−ｉに送信する。
【０１４６】
図１８は、秘匿化電子カルテの解析処理の例を示す図である。
図１８では、病院システム１０１−１から取得した秘匿化電子カルテに対する解析処理の例を示している。図１８の解析処理では、血液型がＢ型の患者が持っているアレルギーを抽出するために、血液型及びアレルギーの項目を含む解析パターンが用いられる。その結果、Ｂ型であるＩＤ“２”の患者のアレルギーとして“無し”が抽出され、Ｂ型であるＩＤ“３”の患者のアレルギーとして“花粉”が抽出される。
【０１４７】
ＩＤ“１”〜ＩＤ“４”の患者以外にも、アレルギーを持つ他の患者のエントリが収集ＤＢ２４３に含まれている場合、Ｂ型の患者の全エントリの中で複数のアレルギー各々の比率を表す円グラフ２３２が生成される。そして、円グラフ２３２を含む解析結果が解析結果ＤＢ２５３に格納される。円グラフ２３２から、Ｂ型の患者には“花粉”及び“アトピー”のアレルギーが多いことが分かる。
【０１４８】
尚、図１８では、病院システム１０１−１から取得した秘匿化電子カルテに対する解析処理の例を述べたが、病院システム１０１−２から取得した秘匿化電子カルテをさらに含む複数の病院システム１０１−ｉから取得した秘匿化電子カルテに対して解析処理を行ってもよい。
【０１４９】
上述のように、各病院システム１０１−ｉにおいて、電子カルテは各病院で共通する共通フォーマットで作成または共通フォーマットに変換されるため、解析用ＰＣ２３１は、電子カルテのフォーマットを揃える処理の必要が無くなり、処理時間を短縮できる。
【０１５０】
次に生データ（すなわち、秘匿化されていない電子カルテ）が壊れた場合の復元処理について説明する。
【０１５１】
図１９は、実施の形態に係る生電子カルテ復元処理のシーケンス図である。
尚、図１０のインストール処理や図１４の電子カルテ入力処理により、生カルテ情報ＤＢ１４４−１、秘匿化後カルテ情報ＤＢ１５４−１、および秘匿化マッピングテーブル１５５−１−ｊは、生成されているとする。
【０１５２】
ステップＳ５８１において、生データストレージ装置１４１−１の異常検出部１４２−１は、生カルテ情報ＤＢ１４５−１の異常を検出する。すなわち、異常検出部１４２−１は、生カルテ情報ＤＢ１４５−１のデータが破損し、読み出すことが出来ない旨を検出する。異常検出部１４２−１は、管理用ＰＣ１７１に、異常の発生を通知する。
【０１５３】
ステップＳ５８２において、管理用ＰＣ１７１は、復元指示を復元部１２５−１に送信する。
【０１５４】
ステップＳ５８３において、復元部１２５−１は、秘匿化データストレージ装置１５１−１から秘匿化後カルテ情報ＤＢ１５４−１を取得する。
【０１５５】
ステップＳ５８４において、復元部１２５−１は、秘匿化データストレージ装置１５１−１から秘匿化マッピングテーブル１５５−１−ｊを取得する。
【０１５６】
ステップＳ５８５は、ステップＳ５９２に対応するループの始端であり、秘匿化後カルテ情報ＤＢ１５４−１に含まれる患者ＩＤのうち未選択の患者ＩＤが１つ選択される。以下、選択された患者ＩＤは、選択患者ＩＤと表記する。
【０１５７】
ステップＳ５８６は、ステップＳ５９１に対応するループの始端であり、秘匿化後カルテ情報ＤＢ１５４−１の項目のうち未選択の項目が１つ選択される。以下、選択された項目は、選択項目と表記する。
【０１５８】
ステップＳ５８７において、復元部１２５−１は、選択項目のデータが秘匿化されているか判定する。選択項目のデータが秘匿化されている場合、制御はステップＳ５８８に進み、秘匿化されていない場合、制御はステップＳ５９０に進む。復元部１２５−１は、秘匿化マッピングテーブル１５５−１−ｊに選択項目が記載されている場合、選択項目のデータが秘匿化されていると判定する。
【０１５９】
ステップＳ５８８において、復元部１２５−１は、秘匿化マッピングテーブル１５５−１−ｊに基づいて、選択患者ＩＤの選択項目の秘匿化されているデータに対応する秘匿化前のデータを取得（復元）する。例えば、選択患者ＩＤ＝１に対応する図６の秘匿化マッピングテーブル１５５−１−１の「氏名」の秘匿化後の「NV@wY」に対応する秘匿化前の「横浜太郎」が秘匿化前の「氏名」のデータとして取得される。
【０１６０】
ステップＳ５９０において、復元部１２５−１は、選択患者ＩＤの選択項目の秘匿化前のデータを生カルテ情報ＤＢ１４５−１に書き込む。詳細には、復元部１２５−１は、選択項目のデータが秘匿化されている場合、ステップＳ５８８で取得した秘匿化前のデータを生カルテ情報ＤＢ１４５−１に書き込む。復元部１２５−１は、選択項目のデータが秘匿化されていない場合、秘匿化後カルテ情報ＤＢ１５４−１の選択患者ＩＤの選択項目のデータを生カルテ情報ＤＢ１４５−１に書き込む。
【０１６１】
ステップＳ５９１は、ステップＳ５８６に対応するループの終端であり、秘匿化後カルテ情報ＤＢ１５４−１の全ての項目が選択済みの場合、制御はステップＳ５９２に進む。秘匿化後カルテ情報ＤＢ１５４−１の全ての項目が選択済みでない場合、制御はステップＳ５８６に戻る。
【０１６２】
ステップＳ５９２は、ステップＳ５８５に対応するループの終端であり、秘匿化後カルテ情報ＤＢ１５４−１の全ての患者ＩＤが選択済みの場合、制御はステップＳ５９２に進む。秘匿化後カルテ情報ＤＢ１５４−１の全てのレコードが選択済みでない場合、制御はステップＳ５８５に戻る。
【０１６３】
ステップＳ５９３において、管理用ＰＣ１７１は、復元完了の通知を受信する。
次に秘匿化データ（すなわち、秘匿化されている電子カルテ）または秘匿化マッピングテーブル１５５−１−ｊが壊れた場合の復元処理について説明する。
【０１６４】
図２０は、実施の形態に係る秘匿化電子カルテおよび秘匿化マッピングテーブルの復元処理のシーケンス図である。
【０１６５】
尚、図１０のインストール処理や図１４の電子カルテ入力処理により、生カルテ情報ＤＢ１４４−１、秘匿化後カルテ情報ＤＢ１５４−１、および秘匿化マッピングテーブル１５５−１−ｊは、生成されているとする。
【０１６６】
ステップＳ６０１において、秘匿化データストレージ装置１５１−１の異常検出部１５２−１は、秘匿化後カルテ情報ＤＢ１５４−１および秘匿化マッピングテーブル１５５−１−ｊの少なくとも一方の異常を検出する。すなわち、異常検出部１５２−１は、秘匿化後カルテ情報ＤＢ１５４−１および秘匿化マッピングテーブル１５５−１−ｊの少なくとも一方のデータが破損し、読み出すことが出来ない旨を検出する。異常検出部１５２−１は、管理用ＰＣ１７１に、異常の発生を通知する。
【０１６７】
ステップＳ６０２において、復元指示を復元部１２５−１に送信する。
ステップＳ６０３において、復元部１２５−１は、生データストレージ装置１４１−１から生カルテ情報ＤＢ１４５−１を取得する。
【０１６８】
ステップＳ６０４において、復元部１２５−１は、故障箇所（すなわち、どのデータが破損して読み出せないか）を異常検出部１５２−１に問い合わせる。異常検出部１５２−１は、故障箇所を復元部１２５−１に通知する。詳細には、異常検出部１５２−１は、（１）秘匿化後カルテ情報ＤＢ１５４−１のみが故障している（読み出せない）、（２）秘匿化マッピングテーブル１５５−１−ｊのみが故障している（読み出せない）、または（３）秘匿化後カルテ情報ＤＢ１５４−１および秘匿化マッピングテーブル１５５−１−ｊの両方が故障している（読み出せない）のいずれかを通知する。
【０１６９】
ステップＳ６０５において、秘匿化部１２４−１および復元部１２５−１は、通知された故障箇所に応じた復元処理を行う。復元処理の完了後、復元部１２５−１は、復元完了の通知を管理用ＰＣ１７１に送信する。故障箇所に応じた復元処理の詳細は後述する。
ステップＳ６０６において、管理用ＰＣ１７１は、復元完了の通知を受信する。
【０１７０】
次に、故障箇所に応じた復元処理の詳細について説明する。
秘匿化部１２４−１および復元部１２５−１は、故障箇所に応じて、以下の（１）〜（３）のいずれかの復元処理を行う。
（１）秘匿化後カルテ情報ＤＢ１５４−１のみが故障している場合
図２１は、秘匿化後カルテ情報ＤＢのみが故障している場合（すなわち、秘匿化後カルテ情報ＤＢのみが読み出せない場合）の復元処理の詳細なシーケンス図である。
【０１７１】
ステップＳ６１０は、ステップＳ６１７に対応するループの始端であり、新システムの生カルテ情報ＤＢ１４５−１に含まれる患者ＩＤのうち未選択の患者ＩＤが１つ選択される。以下、選択された患者ＩＤは、選択患者ＩＤと表記する。
【０１７２】
ステップＳ６１１は、ステップＳ６１６に対応するループの始端であり、生カルテ情報ＤＢ１４５−１の項目のうち未選択の項目が１つ選択される。以下、選択された項目は、選択項目と表記する。
【０１７３】
ステップＳ６１２において、復元部１２５−１は、選択項目が秘匿化される項目であるか判定する。選択項目が秘匿化される項目である場合、制御はステップＳ６１４に進み、選択項目が秘匿化される項目で無い場合、制御はステップＳ６１３に進む。尚、秘匿化される項目は、予め設定されている。
【０１７４】
ステップＳ６１３において、復元部１２５−１は、生カルテ情報ＤＢ１４５−１の選択患者ＩＤの選択項目のデータを秘匿化後カルテ情報ＤＢ１５４−１に書き込む。
【０１７５】
ステップＳ６１４において、秘匿化部１２４−１は、生カルテ情報ＤＢ１４５−１の選択患者ＩＤの選択項目のデータを秘匿化する。
【０１７６】
ステップＳ６１５において、復元部１２５−１は、選択患者ＩＤの秘匿化された選択項目のデータを秘匿化後カルテ情報ＤＢ１５４−１に書き込む。
【０１７７】
ステップＳ６１６は、ステップＳ６１１に対応するループの終端であり、生カルテ情報ＤＢ１４５−１の全ての項目が選択済みの場合、制御はステップＳ６１７に進む。生カルテ情報ＤＢ１４５−１の全ての項目が選択済みでない場合、制御はステップＳ６１１に戻る。
【０１７８】
ステップＳ６１７は、ステップＳ６１０に対応するループの終端であり、新システムの生カルテ情報ＤＢ１４５−１の全ての患者ＩＤが選択済みの場合、復元処理は終了する。新システムの生カルテ情報ＤＢ１４５−１の全ての患者ＩＤが選択済みでない場合、制御はステップＳ６１０に戻る。
（２）秘匿化マッピングテーブル１５５−１−ｊのみが故障している場合
図２２は、秘匿化マッピングテーブルのみが故障している場合（すなわち、秘匿化マッピングテーブルのみが読み出せない場合）の復元処理の詳細なシーケンス図である。
【０１７９】
ステップＳ６２０は、ステップＳ６２６に対応するループの始端であり、新システムの生カルテ情報ＤＢ１４５−１に含まれる患者ＩＤのうち未選択の患者ＩＤが１つ選択される。以下、選択された患者ＩＤは、選択患者ＩＤと表記する。
【０１８０】
ステップＳ６２１は、ステップＳ６２５に対応するループの始端であり、生カルテ情報ＤＢ１４５−１の項目のうち未選択の項目が１つ選択される。以下、選択された項目は、選択項目と表記する。
【０１８１】
ステップＳ６２２において、復元部１２５−１は、選択項目が秘匿化される項目であるか判定する。選択項目が秘匿化される項目である場合、制御はステップＳ６２３に進み、選択項目が秘匿化される項目で無い場合、制御はステップＳ６２５に進む。尚、秘匿化される項目は、予め設定されている。
【０１８２】
ステップＳ６２３において、秘匿化部１２４−１は、生カルテ情報ＤＢ１４５−１の選択患者ＩＤの選択項目のデータを秘匿化する。
【０１８３】
ステップＳ６２４において、復元部１２５−１は、生カルテ情報ＤＢ１４５−１の選択患者ＩＤの選択項目のデータと秘匿化された選択項目のデータを対応付けて選択患者ＩＤに対応する秘匿化マッピングテーブル１５５−１−ｊに書き込む。
【０１８４】
ステップＳ６２５は、ステップＳ６２１に対応するループの終端であり、生カルテ情報ＤＢ１４５−１の全ての項目が選択済みの場合、復元処理は終了する。生カルテ情報ＤＢ１４５−１の全ての項目が選択済みでない場合、制御はステップＳ６２１に戻る。
【０１８５】
ステップＳ６２６は、ステップＳ６２０に対応するループの終端であり、新システムの生カルテ情報ＤＢ１４５−１の全ての患者ＩＤが選択済みの場合、復元処理は終了する。新システムの生カルテ情報ＤＢ１４５−１の全ての患者ＩＤが選択済みでない場合、制御はステップＳ５２０に戻る。
（３）秘匿化後カルテ情報ＤＢ１５４−１および秘匿化マッピングテーブル１５５−１−ｊの両方が故障している場合
図２３は、秘匿化後カルテ情報ＤＢおよび秘匿化マッピングテーブルの両方が故障している場合（すなわち、秘匿化後カルテ情報ＤＢおよび秘匿化マッピングテーブルの両方が読み出せない場合）の復元処理の詳細なシーケンス図である。
【０１８６】
ステップＳ６３０は、ステップＳ６３８に対応するループの始端であり、新システムの生カルテ情報ＤＢ１４５−１に含まれる患者ＩＤのうち未選択の患者ＩＤが１つ選択される。以下、選択された患者ＩＤは、選択患者ＩＤと表記する。
【０１８７】
ステップＳ６３１は、ステップＳ６３７に対応するループの始端であり、生カルテ情報ＤＢ１４５−１の項目のうち未選択の項目が１つ選択される。以下、選択された項目は、選択項目と表記する。
【０１８８】
ステップＳ６３２において、復元部１２５−１は、選択項目が秘匿化される項目であるか判定する。選択項目が秘匿化される項目である場合、制御はステップＳ６３４に進み、選択項目が秘匿化される項目で無い場合、制御はステップＳ６３３に進む。尚、秘匿化される項目は、予め設定されている。
【０１８９】
ステップＳ６３３において、復元部１２５−１は、生カルテ情報ＤＢ１４５−１の選択患者ＩＤの選択項目のデータを秘匿化後カルテ情報ＤＢ１５４−１に書き込む。
【０１９０】
ステップＳ６３４において、秘匿化部１２４−１は、生カルテ情報ＤＢ１４５−１の選択患者ＩＤの選択項目のデータを秘匿化する。
【０１９１】
ステップＳ６３５において、復元部１２５−１は、生カルテ情報ＤＢ１４５−１の選択患者ＩＤの選択項目のデータと秘匿化された選択項目のデータを対応付けて選択患者ＩＤに対応する秘匿化マッピングテーブル１５５−１−ｊに書き込む。
【０１９２】
ステップＳ６３６において、復元部１２５−１は、選択患者ＩＤの秘匿化された選択項目のデータを秘匿化後カルテ情報ＤＢ１５４−１に書き込む。
【０１９３】
ステップＳ６３７は、ステップＳ６３１に対応するループの終端であり、生カルテ情報ＤＢ１４５−１の全ての項目が選択済みの場合、復元処理は終了する。生カルテ情報ＤＢ１４５−１の全ての項目が選択済みでない場合、制御はステップＳ６３１に戻る。
【０１９４】
ステップＳ６３８は、ステップＳ６３０に対応するループの終端であり、新システムの生カルテ情報ＤＢ１４５−１の全ての患者ＩＤが選択済みの場合、復元処理は終了する。新システムの生カルテ情報ＤＢ１４５−１の全ての患者ＩＤが選択済みでない場合、制御はステップＳ５３０に戻る。
【０１９５】
実施の形態に係る情報処理システムによれば、各病院の情報処理装置において、あるフォーマットの電子カルテを各病院で共通の共通フォーマットに変換するため、情報解析機関が各病院から電子カルテを収集して解析するときに、情報解析機関でフォーマットを揃える必要が無くなり、情報解析機関における処理時間を短くすることができる。
【０１９６】
実施の形態に係る情報処理システムによれば、秘匿化前と秘匿化後のデータを対応付けた秘匿化マッピングテーブルを作成するため、秘匿化前のデータが破損しても秘匿化後データと秘匿化マッピングテーブルから秘匿化前のデータを復元できる。
【０１９７】
実施の形態に係る情報処理システムによれば、秘匿化後のデータが破損しても、秘匿化前のデータを再度秘匿化することにより、秘匿化後のデータを復元できる。
【０１９８】
実施の形態に係る情報処理システムによれば、秘匿化マッピングテーブルが破損しても、秘匿化前のデータを再度秘匿化することにより、秘匿化マッピングテーブルを復元できる。
【０１９９】
図１の情報処理システム１００において、情報提供機関は、患者の診察情報を提供する病院以外の機関であってもよい。例えば、顧客の購買情報を提供する店舗、生徒の成績情報を提供する学校、予備校等の教育機関、又は顧客の預金残高、取引実績等を提供する銀行等の金融機関を、情報提供機関の例として挙げることができる。
【０２００】
情報提供機関が店舗である場合、電子カルテの代わりに、顧客の購買情報が収集され、顧客の嗜好等を表す解析結果が、レストラン等の情報利用機関に対して提供される。情報提供機関が教育機関である場合、生徒の成績情報が収集され、科目毎の傾向等を表す解析結果が、教育資材製作会社等の情報利用機関に対して提供される。情報提供機関が金融機関である場合、顧客の預金残高、取引実績等の情報が収集され、ローンの利用状況等を表す解析結果が、ローン会社等の情報利用機関に対して提供される。
【０２０１】
図２４は、情報処理装置（コンピュータ）の構成図である。
実施の形態の電子カルテ管理サーバ１１１−ｉ、医者用ＰＣ１６１−ｉ、管理用ＰＣ１７１−ｉ、インストーラ配布ウェブサーバ２１１、解析用ＰＣ２３１、データ読込用サーバ２２１、データ格納サーバ２２１、および利用者ＰＣ３１１−ｉは、例えば、図２４に示すような情報処理装置（コンピュータ）１によって実現可能である。
【０２０２】
情報処理装置１は、ＣＰＵ２、メモリ３、入力装置４、出力装置５、記憶部６、記録媒体駆動部７、及びネットワーク接続装置８を備え、それらはバス９により互いに接続されている。
【０２０３】
ＣＰＵ２は、情報処理装置１全体を制御する中央処理装置である。ＣＰＵ２は、処理部１２１−１、ウェブサービス部２１２、秘匿化ロジック生成部２１３として動作する。
【０２０４】
メモリ３は、プログラム実行の際に、記憶部６（あるいは可搬記録媒体１０）に記憶されているプログラムあるいはデータを一時的に格納するRead Only Memory(ＲＯＭ)やRandom Access Memory(ＲＡＭ)等のメモリである。ＣＰＵ２は、メモリ３を利用してプログラムを実行することにより、上述した各種処理を実行する。
【０２０５】
この場合、可搬記録媒体１０等から読み出されたプログラムコード自体が実施の形態の機能を実現する。
【０２０６】
入力装置４は、ユーザ又はオペレータからの指示や情報の入力、情報処理装置１で用いられるデータの取得等に用いられる。入力装置４は、例えば、キーボード、マウス、タッチパネル、カメラ、またはセンサ等である。
【０２０７】
出力装置５は、ユーザ又はオペレータへの問い合わせや処理結果を出力したり、ＣＰＵ２による制御により動作する装置である。出力装置５は、例えば、ディスプレイ、またはプリンタ等である。
【０２０８】
記憶部６は、例えば、磁気ディスク装置、光ディスク装置、テープ装置等である。情報処理装置１は、記憶部６に、上述のプログラムとデータを保存しておき、必要に応じて、それらをメモリ３に読み出して使用する。メモリ３および記憶部６は、記憶部１３１−１、２１４、２５２に対応する。
【０２０９】
記録媒体駆動部７は、可搬記録媒体１０を駆動し、その記録内容にアクセスする。可搬記録媒体としては、メモリカード、フレキシブルディスク、Compact Disk Read Only Memory(ＣＤ−ＲＯＭ)、光ディスク、光磁気ディスク等、任意のコンピュータ読み取り可能な記録媒体が用いられる。ユーザは、この可搬記録媒体１０に上述のプログラムとデータを格納しておき、必要に応じて、それらをメモリ３に読み出して使用する。
【０２１０】
ネットワーク接続装置８は、Local Area Network（ＬＡＮ）やWide Area Network（ＷＡＮ）等の任意の通信ネットワークに接続され、通信に伴うデータ変換を行う通信インターフェースである。ネットワーク接続装置８は、通信ネットワークを介して接続された装置へデータの送信または通信ネットワークを介して接続された装置からデータを受信する。
【０２１１】
尚、情報処理装置１が図２４のすべての構成要素を含む必要はなく、用途又は条件に応じて一部の構成要素を省略することも可能である。
【０２１２】
開示の実施形態とその利点について詳しく説明したが、当業者は、特許請求の範囲に明確に記載した本発明の範囲から逸脱することなく、様々な変更、追加、省略をすることができるであろう。
【０２１３】
以上の実施の形態に関し、さらに以下の付記を開示する。
（付記１）
記憶装置に記憶された、複数の情報提供機関のうちの１つが使用する第１のフォーマットの個人情報を、前記複数の情報提供機関から収集した個人情報を解析する解析装置が使用する第２のフォーマットの個人情報に変換する変換部と、
前記第２のフォーマットの個人情報を秘匿化して、前記第２のフォーマットの秘匿化個人情報を生成する秘匿化部と、
前記第２のフォーマットの前記秘匿化個人情報を前記解析装置に送信する送信部と、
を備える情報処理装置。
（付記２）
前記秘匿化部は、
前記第２のフォーマットの個人情報の複数の項目のうちの所定の項目の情報を秘匿化して、前記秘匿化個人情報の前記所定の項目の秘匿化情報を生成し、
前記所定の項目の情報と前記所定の項目の秘匿化情報との対応関係を示すマッピング情報を生成し、
前記記憶装置は、前記第２のフォーマットの個人情報、前記秘匿化個人情報、および前記マッピング情報を記憶し、
前記記憶装置に記憶された前記前記第２のフォーマットの個人情報が読み出せない場合、前記秘匿化個人情報および前記マッピング情報に基づいて、前記前記第２のフォーマットの個人情報を復元する復元部をさらに備えることを特徴とする付記１記載の情報処理装置。
（付記３）
前記記憶装置に記憶された前記秘匿化個人情報が読み出せない場合、前記秘匿化部は、前記第２のフォーマットの個人情報を再度秘匿化し、前記秘匿化個人情報を復元することを特徴とする付記２記載の情報処理装置。
（付記４）
前記記憶装置に記憶された前記マッピング情報が読み出せない場合、前記秘匿化部は、前記第２のフォーマットの個人情報の前記所定の項目の情報を再度秘匿化し、前記マッピング情報を復元することを特徴とする付記２または３記載の情報処理装置。
（付記５）
情報処理装置が
記憶装置に記憶された、複数の情報提供機関のうちの１つが使用する第１のフォーマットの個人情報を、前記複数の情報提供機関から収集した個人情報を解析する解析装置が使用する第２のフォーマットの個人情報に変換し、
前記第２のフォーマットの個人情報を秘匿化して、前記第２のフォーマットの秘匿化個人情報を生成し、
前記第２のフォーマットの前記秘匿化個人情報を前記解析装置に送信する
処理を備える情報処理方法。
（付記６）
前記秘匿化個人情報を生成する処理は、前記第２のフォーマットの個人情報の複数の項目のうちの所定の項目の情報を秘匿化して、前記秘匿化個人情報の前記所定の項目の秘匿化情報を生成し、
前記所定の項目の情報と前記所定の項目の秘匿化情報との対応関係を示すマッピング情報を生成する処理をさらに備え、
前記記憶装置は、前記第２のフォーマットの個人情報、前記秘匿化個人情報、および前記マッピング情報を記憶し、
前記記憶装置に記憶された前記前記第２のフォーマットの個人情報が読み出せない場合、前記秘匿化個人情報および前記マッピング情報に基づいて、前記前記第２のフォーマットの個人情報を復元する処理をさらに備えることを特徴とする付記５記載の情報処理方法。
（付記７）
前記記憶装置に記憶された前記秘匿化個人情報が読み出せない場合、前記第２のフォーマットの個人情報を再度秘匿化し、前記秘匿化個人情報を復元する処理をさらに備えることを特徴とする付記６記載の情報処理方法。
（付記８）
前記記憶装置に記憶された前記マッピング情報が読み出せない場合、前記第２のフォーマットの個人情報の前記所定の項目の情報を再度秘匿化し、前記マッピング情報を復元することを特徴とする付記６または７記載の情報処理方法。
（付記９）
記憶装置に記憶された、複数の情報提供機関のうちの１つが使用する第１のフォーマットの個人情報を、前記複数の情報提供機関から収集した個人情報を解析する解析装置が使用する第２のフォーマットの個人情報に変換し、
前記第２のフォーマットの個人情報を秘匿化して、前記第２のフォーマットの秘匿化個人情報を生成し、
前記第２のフォーマットの前記秘匿化個人情報を前記解析装置に送信する
処理をコンピュータに実行させるプログラム。
（付記１０）
前記秘匿化個人情報を生成する処理は、前記第２のフォーマットの個人情報の複数の項目のうちの所定の項目の情報を秘匿化して、前記秘匿化個人情報の前記所定の項目の秘匿化情報を生成し、
前記所定の項目の情報と前記所定の項目の秘匿化情報との対応関係を示すマッピング情報を生成する処理をさらに備え、
前記記憶装置は、前記第２のフォーマットの個人情報、前記秘匿化個人情報、および前記マッピング情報を記憶し、
前記記憶装置に記憶された前記前記第２のフォーマットの個人情報が読み出せない場合、前記秘匿化個人情報および前記マッピング情報に基づいて、前記前記第２のフォーマットの個人情報を復元する処理をさらに備えることを特徴とする付記９記載のプログラム。
（付記１１）
前記記憶装置に記憶された前記秘匿化個人情報が読み出せない場合、前記第２のフォーマットの個人情報を再度秘匿化し、前記秘匿化個人情報を復元する処理をさらに備えることを特徴とする付記１０記載のプログラム。
（付記１２）
前記記憶装置に記憶された前記マッピング情報が読み出せない場合、前記第２のフォーマットの個人情報の前記所定の項目の情報を再度秘匿化し、前記マッピング情報を復元することを特徴とする付記１０または１１記載のプログラム。
【符号の説明】
【０２１４】
１０１    情報処理システム
１１１    電子カルテ管理サーバ
１２１    処理部
１３１    記憶部
１４１    生データストレージ装置
１５１    秘匿化データストレージ装置
１６１    医者用ＰＣ
１７１    管理用ＰＣ
２０１    解析システム
２１１    インストーラ配布ウェブサーバ
２２１    データ読込用サーバ
２３１    解析用ＰＣ
２４１    データ収集ストレージ装置
２５１    データ格納サーバ
３０１    利用者システム
３１１    利用者ＰＣ
【図１】
2018128948.tif 000003
【図２】
2018128948.tif 000004
【図３】
2018128948.tif 000005
【図４】
2018128948.tif 000006
【図５】
2018128948.tif 000007
【図６】
2018128948.tif 000008
【図７】
2018128948.tif 000009
【図８】
2018128948.tif 000010
【図９】
2018128948.tif 000011
【図１０】
2018128948.tif 000012
【図１１】
2018128948.tif 000013
【図１２】
2018128948.tif 000014
【図１３】
2018128948.tif 000015
【図１４】
2018128948.tif 000016
【図１５】
2018128948.tif 000017
【図１６】
2018128948.tif 000018
【図１７】
2018128948.tif 000019
【図１８】
2018128948.tif 000020
【図１９】
2018128948.tif 000021
【図２０】
2018128948.tif 000022
【図２１】
2018128948.tif 000023
【図２２】
2018128948.tif 000024
【図２３】
2018128948.tif 000025
【図２４】
2018128948.tif 000026