(57)【要約】【課題】要求の種別に応じて、秘匿化されていない個人情報または秘匿化された個人情報のいずれかを送信すること。【解決手段】第１の識別子を変換した第２の識別子を含み、前記第１の識別子に対応付けられた個人情報を要求する第１の装置からの第１の要求と、抽出条件を含み、前記抽出条件に該当する秘匿化個人情報を要求する第２の装置からの第２の要求とを、管理装置から受信し、前記第１の要求を受信した場合に、前記第２の識別子に対応付けられた個人情報を前記第１の装置に送信し、前記第２の要求を受信した場合に、前記抽出条件に該当する秘匿化個人情報を前記第２の装置に送信する。【選択図】図１
2018181039.tif 000002
【特許請求の範囲】
【請求項１】
第１の識別子を変換した第２の識別子を含み、前記第１の識別子に対応付けられた個人情報を要求する第１の装置からの第１の要求と、抽出条件を含み、前記抽出条件に該当する秘匿化個人情報を要求する第２の装置からの第２の要求とを、管理装置から受信する受信部と、
前記第１の要求を受信した場合に、複数の第２の識別子それぞれと対応付けられた複数の個人情報を記憶する記憶装置から、前記第２の識別子に対応付けられた個人情報を抽出し、前記第２の要求を受信した場合に、前記複数の個人情報が秘匿化された複数の秘匿化個人情報を記憶する前記記憶装置から、前記抽出条件に該当する秘匿化個人情報を抽出する抽出部と、
前記第１の要求を受信した場合に、前記抽出部によって抽出された前記第２の識別子に対応付けられた個人情報を、前記第１の装置に送信し、前記第２の要求を受信した場合に、前記抽出部によって抽出された前記抽出条件に該当する秘匿化個人情報を、前記第２の装置に送信する送信部と、
を備える情報処理装置。
【請求項２】
前記第１の識別子は、前記第１の装置から前記管理装置に送信され、
前記第２の識別子は、前記管理装置で前記第１の識別子に対応付けられた個人情報を格納する個人情報管理装置に対応付けられたハッシュキーであって、かつ前記個人情報管理装置が複数ある場合、各々の前記個人情報に対応付けられた前記ハッシュキーがそれぞれ異なる値となる前記ハッシュキーによってハッシュ化されることにより生成されることを特徴とする請求項１記載の情報処理装置。
【請求項３】
第１の識別子に対応付けられた個人情報を要求する第１の装置と、
抽出条件に該当する秘匿化個人情報を要求する第２の装置と、
前記第１の識別子を変換した前記第２の識別子を生成する管理装置と、
前記第２の識別子に対応付けられた個人情報および前記抽出条件に該当する秘匿化個人情報を送信する情報処理装置と、
を備え、
前記第１の装置は、前記第１の識別子を含む第１の要求を前記管理装置に送信し、
前記第２の装置は、前記抽出条件を含む第２の要求を前記管理装置に送信し、
前記管理装置は、
前記第１の要求を受信した場合に、前記第２の識別子を生成し、前記第２の識別子を含む第３の要求を前記情報処理装置に送信し、
前記第２の要求を受信した場合に、前記抽出条件を含む第４の要求を前記情報処理装置に送信し、
前記情報処理装置は、
前記第３の要求および前記第４の要求を受信する受信部と、
前記第３の要求を受信した場合に、複数の第２の識別子それぞれが対応付けられた複数の個人情報を記憶する記憶装置から、前記第２の識別子に対応付けられた個人情報を抽出し、前記第４の要求を受信した場合に、前記複数の個人情報が秘匿化された複数の秘匿化個人情報を記憶する前記記憶装置から、前記抽出条件に該当する秘匿化個人情報を抽出する抽出部と、
前記第３の要求を受信した場合に、前記抽出部によって抽出された前記第２の識別子に対応付けられた個人情報を、前記第１の装置に送信し、前記第４の要求を受信した場合に、前記抽出部によって抽出された前記秘匿化個人情報を、前記第２の装置に送信する送信部と、
を備えることを特徴とする情報処理システム。
【請求項４】
前記管理装置は、
前記第１の識別子と、前記第１の識別子と対応付けられた個人情報を格納する個人情報管理装置との対応を示す第１情報を記憶し、前記個人情報管理装置に対応付けられたハッシュキーであって、かつ前記個人情報管理装置が複数ある場合、各々の前記個人情報に対応付けられた前記ハッシュキーがそれぞれ異なる値となる前記ハッシュキーと、前記個人情報管理装置との対応を示す第２情報を記憶し、
前記第１の要求を受信した場合に、前記第１情報、および前記第２情報に基づいて、前記第１の識別子を格納する個人情報管理装置と、前記個人情報処理装置に対応付けられた前記ハッシュキーを特定し、前記第１の識別子と、特定した前記ハッシュキーとに基づいて、前記第２の識別子を生成し、前記第２の識別子を含む第３の要求を前記情報処理装置に送信することを特徴とする請求項３記載の情報処理システム。
【請求項５】
コンピュータに
第１の識別子を変換した第２の識別子を含み、前記第１の識別子に対応付けられた個人情報を要求する第１の装置からの第１の要求と、抽出条件を含み、前記抽出条件に該当する秘匿化個人情報を要求する第２の装置からの第２の要求とを、管理装置から受信し、
前記第１の要求を受信した場合に、
複数の第２の識別子それぞれと対応付けられた複数の個人情報を記憶する記憶装置から、前記第２の識別子に対応付けられた個人情報を抽出し、
抽出された前記第２の識別子に対応付けられた個人情報を前記第１の装置に送信し、
前記第２の要求を受信した場合に、
前記複数の個人情報が秘匿化された複数の秘匿化個人情報を記憶する前記記憶装置から、前記抽出条件に該当する秘匿化個人情報を抽出し、
抽出された前記抽出条件に該当する秘匿化個人情報を前記第２の装置に送信する、
処理を実行させるプログラム。
【請求項６】
前記第１の識別子は、前記第１の装置から前記管理装置に送信され、
前記第２の識別子は、前記管理装置で前記第１の識別子に対応付けられた個人情報を格納する個人情報管理装置に対応付けられたハッシュキーであって、かつ前記個人情報管理装置が複数ある場合、各々の前記個人情報に対応付けられた前記ハッシュキーがそれぞれ異なる値となる前記ハッシュキーによってハッシュ化されることにより生成されることを特徴とする請求項５記載のプログラム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、情報処理装置、情報処理システム、およびプログラムに関する。
【背景技術】
【０００２】
近年、ビッグデータ分析に対するニーズがますます高まっている。ビッグデータ分析において、より正確で有用な分析結果を得るためには、可能な限り多くのデータサンプルの収集を行うことが望ましい。また、Artificial Intelligence（ＡＩ）やInternet of Things（ＩｏＴ）の発展によりデータの重要性がますます高くなっている。そのため、より多くのデータを持つ国や企業が今後の競争社会において優位になると考えられており、政府も医療データ活用の推進に乗り出している。
【０００３】
政府は、国内の医療分野におけるビッグデータ分析を促進する施策を将来的に実施する計画を持っている。この施策によれば、病院の電子カルテのデータが収集され、収集されたデータは個人が特定されない匿名データに加工され、匿名データがビッグデータ分析に利用可能なデータとして、データの利活用を希望する団体へ提供される予定である。また、ヘルスケアサービス等の個人向けサービスに対して、サービス利用者の同意のもとで、利用者のバイタルデータや通院履歴などを参照するため、利用者の秘匿化されていないデータ（非秘匿データ）が提供される予定である。
【０００４】
電子カルテは、患者のプライバシーに関わる個人情報を多く含むデータである。このため、これらのデータを大量に収集する際には、個人情報の流出が起こらないような対策を講じることが望まれる。
【０００５】
電子カルテ等の医療データを収集して利用する様々な技術も知られている（例えば、特許文献１〜３参照）。
【先行技術文献】
【特許文献】
【０００６】
【特許文献１】特開２０１３−２５０７５４号公報
【特許文献２】特開２００８−１０８０２１号公報
【特許文献３】国際公開第２００８／０６９０１１号
【発明の概要】
【発明が解決しようとする課題】
【０００７】
上述のように、ヘルスケアサービス等の個人向けサービスに対して、サービス利用者の同意のもとで、非秘匿データが提供される予定である。
【０００８】
しかしながら、上述した政府の施策に基づいて匿名データを大学等の研究機関に提供する仕組みを、ヘルスケアサービス等の個人向けサービスに非秘匿データを提供する利用形態に適用するのは困難である。
【０００９】
また、マイナンバー等の個人を識別する情報と１対１で紐付いた患者共通ＩＤによって、各病院から収集したデータを管理することにはリスクが伴う。
【００１０】
なお、かかる問題は、病院における電子カルテを利用する場合に限らず、他の情報提供機関における他の情報を利用する場合においても生ずるものである。
【００１１】
１つの側面において、本発明は、要求の種別に応じて、秘匿化されていない個人情報または秘匿化された個人情報のいずれかを送信することを目的とする。
【課題を解決するための手段】
【００１２】
実施の形態に係る情報処理装置は、受信部、抽出部、および送信部を含む。
前記受信部は、第１の識別子を変換した第２の識別子を含み、第１の識別子に対応付けられた個人情報を要求する第１の装置からの第１の要求と、抽出条件を含み、前記抽出条件に該当する秘匿化個人情報を要求する第２の装置からの第２の要求とを、管理装置から受信する。
【００１３】
前記抽出部は、前記第１の要求を受信した場合に、複数の第２の識別子それぞれと対応付けられた複数の個人情報を記憶する記憶装置から、前記第２の識別子に対応付けられた個人情報を抽出する。前記抽出部は、前記第２の要求を受信した場合に、前記複数の個人情報が秘匿化された複数の秘匿化個人情報を記憶する前記記憶装置から、前記抽出条件に該当する秘匿化個人情報を抽出する。
【００１４】
前記送信部は、前記第１の要求を受信した場合に、前記抽出部によって抽出された前記第２の識別子に対応付けられた個人情報を、前記第１の装置に送信し、前記第２の要求を受信した場合に、前記抽出部によって抽出された前記抽出条件に該当する秘匿化個人情報を、前記第２の装置に送信する。
【発明の効果】
【００１５】
実施の形態に係る情報処理装置によれば、要求の種別に応じて、秘匿化されていない個人情報または秘匿化された個人情報のいずれかを送信することができる。
【図面の簡単な説明】
【００１６】
【図１】実施の形態に係る情報処理システムの構成図である。
【図２】カルテ情報ＤＢの例である。
【図３】個人管理ＤＢの例である。
【図４】患者管理ＤＢの例である。
【図５】病院管理ＤＢの例である。
【図６】収集システム管理ＤＢの例である。
【図７】匿名ＩＤカルテ情報ＤＢの例である。
【図８】匿名ＩＤカルテ情報ＤＢから生成される一時ＤＢの例である。
【図９】秘匿化カルテ情報ＤＢの例である。
【図１０】秘匿化カルテ情報ＤＢから生成される一時ＤＢの例である。
【図１１】実施の形態に係るデータ収集処理を示す図である。
【図１２Ａ】実施の形態に係るデータ収集処理のシーケンス図である。
【図１２Ｂ】実施の形態に係るデータ収集処理のシーケンス図である。
【図１３】実施の形態に係る秘匿化処理を示す図である。
【図１４】実施の形態に係る秘匿化処理のシーケンス図である。
【図１５】実施の形態に係るサービス利用システムへの非秘匿データの送信処理を示す図である。
【図１６Ａ】実施の形態に係るサービス利用システムへの非秘匿データの送信処理のシーケンス図である。
【図１６Ｂ】実施の形態に係るサービス利用システムへの非秘匿データの送信処理のシーケンス図である。
【図１６Ｃ】実施の形態に係るサービス利用システムへの非秘匿データの送信処理のシーケンス図である。
【図１６Ｄ】実施の形態に係るサービス利用システムへの非秘匿データの送信処理のシーケンス図である。
【図１６Ｅ】実施の形態に係るサービス利用システムへの非秘匿データの送信処理のシーケンス図である。
【図１７】実施の形態に係る研究機関システムへの秘匿データの送信処理を示す図である。
【図１８Ａ】実施の形態に係る研究機関システムへの秘匿データの送信処理のシーケンス図である。
【図１８Ｂ】実施の形態に係る研究機関システムへの秘匿データの送信処理のシーケンス図である。
【図１８Ｃ】実施の形態に係る研究機関システムへの秘匿データの送信処理のシーケンス図である。
【図１８Ｄ】実施の形態に係る研究機関システムへの秘匿データの送信処理のシーケンス図である。
【図１８Ｅ】実施の形態に係る研究機関システムへの秘匿データの送信処理のシーケンス図である。
【図１９】情報処理装置（コンピュータ）の構成図である。
【発明を実施するための形態】
【００１７】
以下、図面を参照しながら実施の形態について説明する。
医療データ活用の現状として、電子カルテを導入している病院や地域はあるものの、普及率は決して高いとはいえない。さらに電子カルテを導入していても、それらのデータを活用できる仕組みが十分に整っていない。
【００１８】
そこで、政府は「次世代医療ＩＣＴ基盤」の構築を検討し、将来的に稼動させようと検討している。「次世代医療ＩＣＴ基盤」とは、複数の情報収集機関が病院などから医療データを収集し、ヘルスケアサービス等の個人向けサービスや大学等の研究機関へデータを提供する仕組みである。
【００１９】
ヘルスケアサービス等の個人向けサービスは、サービス利用者の同意のもとで、利用者のバイタルデータや通院履歴などを参照するため、利用者の秘匿化されていない個人データを収集する。これは大学等の研究機関とはデータの利用目的が異なる。秘匿化したデータを大学等の研究機関に提供する仕組みでは、ヘルスケアサービス等の個人向けサービスにデータ提供する利用形態に対応することは困難である。
【００２０】
また、マイナンバー等の個人を識別する情報と１対１で紐付いた患者共通ＩＤによって、各病院から収集したデータの秘匿化処理を行う場合、常に同一の患者共通ＩＤで管理することにはリスクが伴う。例えば、情報収集機関のうちのある拠点に悪意のある者がいた場合、患者共通ＩＤがマイナンバー等の個人を識別する情報と１対１で紐付いており、情報収集機関自身が個人の医療データを保持しているため、容易に特定個人の情報を収集できてしまうという問題がある。また、同一人物のデータであることを特定するために異なる病院の医療データであっても、同一の患者共通ＩＤで医療データを管理しているため、患者共通ＩＤから、異なる病院間の特定個人の情報をマージし、より詳細な情報を得ることが出来てしまうという問題がある。さらに、複数の収集機関に悪意のある者がいた場合は、患者共通ＩＤから、お互いの保持している特定個人の情報をマージし、より詳細な情報を得ることが出来てしまうという問題がある。
【００２１】
図１は、実施の形態に係る情報処理システムの構成図である。
図１の情報処理システム１００において、情報提供機関は、電子カルテのデータを提供する病院であり、情報管理機関は、利用者のデータを管理する政府等の機関である。情報収集機関は、電子カルテのデータを収集する政府等の機関であり、情報解析機関は、秘匿化された電子カルテのデータを解析して利用する研究機関、製薬会社等の機関である。サービス利用機関は、秘匿化されていない電子カルテのデータを利用し、ヘルスケアサービスを行う機関である。電子カルテは、個人情報の一例である。
【００２２】
情報処理システム１００は、病院Ａの病院システム１０１−１、病院Ｂの病院システム１０１−２、情報管理機関の管理システム２０１、情報収集機関の拠点Ａの収集システム３０１−１、情報収集機関の拠点Ｂの収集システム３０１−２、情報利用機関のサービス利用システム４０１、および情報解析機関の研究機関システム５０１を含む。
【００２３】
病院システムの数は２つに限られず、病院の数が３つ以上である場合、病院システムの数も３つ以上になる。例えば、全国に存在する複数の病院が情報提供機関であってもよい。収集システムの数は２つに限られず、拠点の数が３つ以上である場合、収集システムの数も３つ以上になる。また、収集システムの数は１つでもよい。
【００２４】
病院システム１０１−ｉ（ｉ＝１，２）は、医者用パーソナルコンピュータ（ＰＣ）１１１−ｉ、電子カルテ管理サーバ１２１−ｉ、およびストレージ装置１３１−ｉを含む。病院システム１０１−１は、病院Ａの患者の電子カルテを格納および管理し、病院システム１０１−２は、病院Ｂの患者の電子カルテを格納および管理する。病院システム１０１−ｉは、個人情報管理装置の一例である。
【００２５】
医者用ＰＣ１１１−ｉには、アプリケーションである電子カルテクライアント１１３−ｉがインストールされている。医者用ＰＣ１１１−ｉは、ネットワークを介して、電子カルテ管理サーバ１２１−ｉと接続し、互いに通信可能である。電子カルテクライアント１１３−ｉは、医者の操作に基づいて、電子カルテに患者のデータを入力し、電子カルテ管理サーバ１２１−ｉに送信する。
【００２６】
電子カルテ管理サーバ１２１−ｉは、ネットワークを介して、医者用ＰＣ１１１−ｉおよびストレージ装置１３１−ｉと接続し、互いに通信可能である。電子カルテ管理サーバ１２１−ｉ、システム管理サーバ２１１、収集サーバ３１２−１，３１２−２、およびデータ管理サーバ４２１，５２１は、ネットワークを介して互いに接続し、互いに通信可能である。電子カルテ管理サーバ１２１−ｉは、処理部１２２−ｉおよび記憶部１２５−ｉを含む。電子カルテ管理サーバ１２１−ｉは、情報処理装置の一例である。
【００２７】
処理部１２２−ｉは、データ転送部１２３−ｉおよび病院データ管理部１２４−ｉを含む。
【００２８】
データ転送部１２３−ｉは、ハッシュ用鍵（ハッシュキー）１２６−ｉを用いて個人ＩＤをハッシュ化して、匿名個人ＩＤを生成する。データ転送部１２３−ｉは、匿名個人ＩＤとカルテ情報ＤＢ１３３−ｉの所定の項目のデータを収集サーバ３１２−１、３１２−２のいずれかに送信する。
【００２９】
病院データ管理部１２４−ｉは、病院情報が登録されているか判定する。
記憶部１２５−ｉは、ハッシュ値の計算に用いられる秘密鍵であるハッシュ用鍵１２６−ｉを記憶する。ハッシュ用鍵１２６−ｉは、病院システム１０１−ｉ毎に異なる値である。よって、同じ個人ＩＤに対して病院システム１０１−ｉ毎に異なる匿名個人ＩＤが生成される。
【００３０】
ストレージ装置１３１−ｉは、記憶部１３２−ｉを含む。
記憶部１３２−ｉは、カルテ情報ＤＢ１３３−ｉを記憶する。カルテ情報ＤＢ１３３−ｉは、複数の患者の電子カルテを含む。
【００３１】
管理システム２０１は、システム管理サーバ２１１およびシステム管理ストレージ装置２２１を含む。
【００３２】
システム管理サーバ２１１は、鍵生成部２１２、患者管理部２１３、病院管理部２１４、および収集システム管理部２１５を含む。システム管理サーバ２１１は、情報処理装置の一例である。
【００３３】
鍵生成部２１２は、病院システム１０１−ｉ毎に異なるハッシュ用鍵１２６−ｉを生成する。
【００３４】
患者管理部２１３は、利用者（または、患者と表記する）の情報を管理する。
病院管理部２１４は、病院の情報を管理する。
【００３５】
収集システム管理部２１５は、収集システム３０１−ｉの情報を管理する。
システム管理ストレージ装置２２１は、記憶部２２２を含む。
【００３６】
記憶部２２２は、個人管理ＤＢ２２３、患者管理ＤＢ２２４、病院管理ＤＢ２２５、および収集システム管理ＤＢ２２６を記憶する。
【００３７】
個人管理ＤＢ２２３は、個人ＩＤと患者ＩＤとの対応関係を示す。個人ＩＤおよび患者ＩＤは、利用者（患者）ごとに割り当てられる利用者を識別する固有の識別子（識別情報）である。個人ＩＤは、例えば、政府等の機関により利用者に割り当てられる。患者ＩＤは、システム管理サーバ２１１により利用者に割り当てられる。１つの個人ＩＤに対し、１つの患者ＩＤが対応している。
【００３８】
患者管理ＤＢ２２４は、患者が診察および診断を受ける病院を示す。すなわち、患者の電子カルテを有する病院（病院システム１０１−ｉ）を示す。
【００３９】
病院管理ＤＢ２２５は、病院（病院システム１０１−ｉ）に関する情報（病院情報）を含む。
【００４０】
収集システム管理ＤＢ２２６は、収集システム３０１−ｉに関する情報を含む。
個人管理ＤＢ２２３、患者管理ＤＢ２２４、病院管理ＤＢ２２５、および収集システム管理ＤＢ２２６の詳細は後述する。
【００４１】
収集システム３０１−ｉは、収集サーバ３１１−ｉおよび収集ストレージ装置３２１−ｉを含む。収集サーバ３１１−ｉは、ネットワークを介して、収集ストレージ装置３２１−ｉと接続し、互いに通信可能である。
【００４２】
収集サーバ３１１−ｉは、処理部３１２−ｉを含む。収集サーバ３１１−ｉは、情報処理装置の一例である。
【００４３】
処理部３１２−ｉは、収集部３１３−ｉ、秘匿化部３１４−ｉ、および転送処理部３１５−ｉを含む。
【００４４】
収集部３１３−ｉは、病院システム１０１−ｉから電子カルテを受信する。
秘匿化部３１４−ｉは、収集部３１３−ｉにより収集された電子カルテの所定の項目のデータを秘匿化する。
【００４５】
転送処理部３１５−ｉは、匿名ＩＤカルテ情報ＤＢ３２３−ｉに含まれる秘匿化されていないデータをサービス利用システム４０１のデータ管理サーバ４２１に送信する。転送処理部３１５−ｉは、秘匿化カルテ情報ＤＢ３２４−ｉに含まれる秘匿化されたデータを研究機関システム５０１のデータ管理サーバ５２１に送信する。転送処理部３１５−ｉは、受信部、抽出部、および送信部の一例である。
【００４６】
収集ストレージ装置３２１は、記憶部３２２−ｉを含む。
記憶部３２２−ｉは、匿名ＩＤカルテ情報ＤＢ３２３−ｉ、秘匿化カルテ情報ＤＢ３２４−ｉ、および一時ＤＢ３２５−ｉ、３２６−ｉを記憶する。
【００４７】
匿名ＩＤカルテ情報ＤＢ３２３−ｉは、ハッシュ化された個人ＩＤ（匿名個人ＩＤ）を含む電子カルテを含む。匿名ＩＤカルテ情報ＤＢ３２３−ｉに含まれる電子カルテの所定の項目（生年月日、住所など）のデータは、秘匿化されていない。匿名ＩＤカルテ情報ＤＢ３２３−ｉに含まれる電子カルテは、非秘匿データの一例である。
【００４８】
秘匿化カルテ情報ＤＢ３２４−ｉは、秘匿化された電子カルテを含む。秘匿化カルテ情報ＤＢ３２４−ｉに含まれる電子カルテの所定の項目（生年月日、住所など）のデータは、秘匿化されている。秘匿化カルテ情報ＤＢ３２４−ｉに含まれる電子カルテは、秘匿データの一例である。
【００４９】
一時ＤＢ３２５−ｉは、一時的に生成されるデータベースであり、匿名ＩＤカルテ情報ＤＢ３２３−ｉから抽出されたデータを含む。
【００５０】
一時ＤＢ３２６−ｉは、一時的に生成されるデータベースであり、秘匿化カルテ情報ＤＢ３２４−ｉから抽出されたデータを含む。
【００５１】
サービス利用システム４０１は、ＰＣ４１１、データ管理サーバ４２１、およびデータ管理ストレージ装置４３１を含む。
【００５２】
ＰＣ４１１は、ブラウザやGraphical User Interface（ＧＵＩ）等を用いて、利用者の操作に基づいて、利用者の電子カルテの取得をデータ管理サーバ４２１に要求する。また、ＰＣ４１１は、ブラウザやＧＵＩ等を用いて、利用者の同意のもとでのオペレータの操作に基づいて、利用者の電子カルテの取得をデータ管理サーバ４２１に要求してもよい。
【００５３】
データ管理サーバ４２１は、利用者の電子カルテを管理システムサーバ２１１に要求し、受信した電子カルテをユーザカルテ情報ＤＢ４３５に記憶する。データ管理サーバ４２１は、ウェブサービス部４２２、ユーザ管理部４２３、およびデータ収集管理部４２４を含む。データ管理サーバ４２１は、情報処理装置の一例である。
【００５４】
ウェブサービス部４２２は、ＰＣ４１１とのデータの送受信を行う。
ユーザ管理部４２３は、ユーザ管理ＤＢ４３３を用いて、データ管理サーバ４２１へのログイン等の管理を行う。
【００５５】
データ収集管理部４２４は、収集システム３０１−ｉからデータを受信し、データ管理ストレージ装置４３２に格納する。
【００５６】
データ管理ストレージ装置４３１は、記憶部４３２を含む。
記憶部４３２は、ユーザ管理ＤＢ４３３、一時ＤＢ４３４、およびユーザカルテ情報ＤＢ４３５を記憶する。
【００５７】
ユーザ管理ＤＢ４３３は、サービス利用システム４０１を利用する利用者のユーザ情報（アカウントおよびパスワード）および利用者の個人ＩＤを含む。
【００５８】
一時ＤＢ４３４は、一時的に生成されるデータベースであり、収集サーバ３１２−ｉから受信した利用者の電子カルテを含む。尚、一時ＤＢ４３４は、複数でもよい。
【００５９】
ユーザカルテ情報ＤＢ４３５は、利用者の電子カルテを含む。
研究機関システム５０１は、ＰＣ５１１、データ管理サーバ５２１、およびデータ管理ストレージ装置５３１を含む。
【００６０】
ＰＣ５１１は、研究機関システム５０１の研究者の操作に基づいて、条件を入力し、条件に一致する秘匿化された電子カルテの取得をデータ管理サーバ４２１に要求する。
【００６１】
データ管理サーバ５２１は、インタフェース部５２２およびデータ収集管理部５２４を含む。データ管理サーバ５２１は、情報処理装置の一例である。
【００６２】
インタフェース部５２２は、ＰＣ５１１との通信を行う。
データ収集管理部５２４は、入力されたフィルタ条件に一致する秘匿化された電子カルテをデータ管理サーバ４２１に要求する。
【００６３】
データ管理ストレージ装置５３１は、記憶部５３２を含む。
記憶部５３２は、管理システムＤＢ５３３、一時ＤＢ５３４、およびユーザデータＤＢ５３５を記憶する。
【００６４】
管理システムＤＢ５３３は、システム管理サーバ２１１との通信に必要な情報を含む。管理システムＤＢ５３３は、例えば、システム管理サーバ２１１のドメイン名やＩＰアドレスを含む。
【００６５】
一時ＤＢ５３４は、一時的に生成されるデータベースであり、収集サーバ３１２−ｉから受信した入力された条件に一致する秘匿化された電子カルテを含む。
【００６６】
ユーザデータＤＢ５３５は、秘匿化された電子カルテを含む。
図２は、カルテ情報ＤＢの例である。
【００６７】
カルテ情報ＤＢ１３３−１は、病院Ａの患者の電子カルテが含む。カルテ情報ＤＢ１３３−１は、項目として、個人ＩＤ、氏名、生年月日、性別、住所、血液型、保険証ＩＤ、病院名、アレルギー、処方、検査結果、および病名を含む。
【００６８】
個人ＩＤは、利用者（患者）ごとに割り当てられた利用者を識別する固有の識別子（識別情報）である。
【００６９】
氏名、生年月日、性別、住所、および血液型は、それぞれ患者の氏名、患者の生年月日、患者の性別、患者の住所、および患者の血液型である。保険証ＩＤは、保険者によって被保険者に付与されるＩＤである。病院名は、患者の診察を行い、当該患者の電子カルテを入力した病院の名前である。
【００７０】
アレルギーは、患者が持っているアレルギーを表し、処方は、診察によって決定された処方を表し、検査結果は、診察時に参照された検査結果を表し、病名は、診察によって決定された病名を表す。
【００７１】
尚、カルテ情報ＤＢ１３３−２の形式は、カルテ情報ＤＢ１３３−１の形式と同様である。
【００７２】
図３は、個人管理ＤＢの例である。
個人管理ＤＢ２２２は、項目として、個人ＩＤおよび患者ＩＤを含む。個人管理ＤＢ２２２には、個人ＩＤおよび患者ＩＤが対応付けられて記録されている。
【００７３】
個人ＩＤは、利用者（患者）ごとに割り当てられる利用者を識別する固有の識別子（識別情報）である。個人ＩＤは、例えば、政府等の機関により利用者に割り当てられる。
【００７４】
患者ＩＤは、利用者（患者）ごとに割り当てられる利用者を識別する固有の識別子（識別情報）である。患者ＩＤは、システム管理サーバ２１１により利用者に割り当てられる。
【００７５】
図４は、患者管理ＤＢの例である。
患者管理ＤＢ２２４は、項目として、患者ＩＤおよび病院ＩＤを含む。患者管理ＤＢ２２４には、患者ＩＤおよび病院ＩＤが対応付けられて記録されている。
【００７６】
患者ＩＤは、利用者（患者）ごとに割り当てられる利用者を識別する固有の識別子（識別情報）である。
【００７７】
病院ＩＤは、病院（病院システム）ごとに割り当てられる病院（病院システム）を識別する固有の識別子（識別情報）である。実施の形態において、病院ＩＤ＝１は、病院Ａ（病院システム１０１−１）を示し、病院ＩＤ＝２は、病院Ｂ（病院システム１０１−２）を示す。
【００７８】
図５は、病院管理ＤＢの例である。
病院管理ＤＢ２２５には、病院システム１０１−ｉの情報と、病院システム１０１−ｉの電子カルテの送信先の収集システム３０１−ｉを示す情報が記載されている。病院管理ＤＢ２２５は、項目として、病院ＩＤ、病院名、住所、収集機関ＩＤ、およびハッシュ用鍵を含む。病院管理ＤＢ２２５には、病院ＩＤ，病院名、住所、収集機関ＩＤ、およびハッシュ用鍵が対応付けられて記録されている。
【００７９】
病院ＩＤは、病院（病院システム）ごとに割り当てられる病院（病院システム）を識別する固有の識別子（識別情報）である。
【００８０】
病院名は、病院の名前である。
住所は、病院の住所である。
【００８１】
収集機関ＩＤは、収集システム３１１−ｉを識別する固有の識別子（識別情報）である。実施の形態において、収集機関ＩＤ＝１は、収集システム３０１−１を示し、収集機関ＩＤ＝２は、収集システム３０１−２を示す。収集機関ＩＤは、病院システム１０１−ｉが有する電子カルテの送信先である収集システム３１１−ｉを示す。
【００８２】
ハッシュ用鍵は、病院システム１０１−ｉが有するハッシュ用鍵である。図５において、病院Ａ（病院システム１０１−１）は、ハッシュ用鍵＝aaaaを有する。すなわち、ハッシュ用鍵１２６−１＝aaaaである。また、図５において、病院Ｂ（病院システム１０１−２）は、ハッシュ用鍵＝bbbbを有する。すなわちハッシュ用鍵１２６−２＝bbbbである。
【００８３】
図６は、収集システム管理ＤＢの例である。
収集システム管理ＤＢ２２６には、収集システム３０１−ｉの情報が記載されている。収集システム管理ＤＢ２２６は、項目として、収集機関ＩＤ、拠点名、リージョン、およびＩＰアドレスを含む。収集システム管理ＤＢ２２６には、収集機関ＩＤ、拠点名、リージョン、およびＩＰアドレスが対応付けられて記録されている。
【００８４】
収集機関ＩＤは、収集システム３１１−ｉを識別する固有の識別子（識別情報）である。
【００８５】
拠点名は、収集システム３０１−ｉが設置されている拠点の名前である。
リージョンは、収集システム３１１−ｉが設置されているエリアを示す。
ＩＰアドレスは、収集サーバ３１２−ｉのＩＰアドレスである。
【００８６】
図７は、匿名ＩＤカルテ情報ＤＢの例である。
匿名ＩＤカルテ情報ＤＢ３２３−１は、匿名個人ＩＤ、生年月日、性別、住所、血液型、保険証ＩＤ、病院名、アレルギー、処方、検査結果、病名、および秘匿化フラグを含む。匿名ＩＤカルテ情報ＤＢ３２３−１には、匿名個人ＩＤ、生年月日、性別、住所、血液型、保険証ＩＤ、病院名、アレルギー、処方、検査結果、病名、および秘匿化済みフラグが対応付けられて記録されている。
【００８７】
匿名個人ＩＤは、個人ＩＤをハッシュ用鍵を用いてハッシュ化したハッシュ値である。例えば、図７の匿名ＩＤカルテ情報ＤＢ３２３−１の１行目の匿名個人ＩＤ＝abc123def456は、図２のカルテ情報ＤＢ１３３−１の１行目の個人ＩＤ＝111aaaをハッシュ用鍵１２６−１を用いてハッシュ化したハッシュ値である。匿名個人ＩＤは、識別子の一例である。
【００８８】
氏名、生年月日、性別、住所、および血液型は、それぞれ患者の氏名、患者の生年月日、患者の性別、患者の住所、および患者の血液型である。保険証ＩＤは、保険者によって被保険者に付与されるＩＤである。病院名は、患者の診察を行い、当該患者の電子カルテを入力した病院の名前である。
【００８９】
アレルギーは、患者が持っているアレルギーを表し、処方は、診察によって決定された処方を表し、検査結果は、診察時に参照された検査結果を表し、病名は、診察によって決定された病名を表す。
【００９０】
秘匿化済みフラグは、対応するデータに対する秘匿化処理を行ったか否かを示す。”True”は秘匿化処理済み、”false”は、秘匿化処理済みでないことを示す。
【００９１】
尚、匿名ＩＤカルテ情報ＤＢ３２３−２の形式は、匿名ＩＤカルテ情報ＤＢ３２３−１の形式と同様である。
【００９２】
図８は、匿名ＩＤカルテ情報ＤＢから生成される一時ＤＢの例である。
一時ＤＢ３２５−１は、収集システム３０１−１がサービス利用システム４０１の要求に基づいて、匿名ＩＤカルテ情報ＤＢ３２３−１に含まれる電子カルテを送信する場合に生成される。
【００９３】
一時ＤＢ３２５−１の形式は、匿名ＩＤカルテ情報ＤＢ３２３−１の形式と同様である。また、一時ＤＢ３２５−２の形式は、匿名ＩＤカルテ情報ＤＢ３２３−２の形式と同様である。
【００９４】
図８の匿名ＩＤカルテ情報ＤＢ３２３−１において、匿名個人ＩＤ＝abc123def456の電子カルテを要求された場合、転送処理部３１５−１は、匿名ＩＤカルテ情報ＤＢ３２３−１の１行目のデータを抽出し、一時ＤＢ３２５−１に書き込む。
【００９５】
図９は、秘匿化カルテ情報ＤＢの例である。
秘匿化カルテ情報ＤＢ３２４−１は、匿名ＩＤカルテ情報ＤＢ３２３−１の所定の項目のデータを秘匿化する秘匿化処理を用いて生成される。また、秘匿化カルテ情報ＤＢ３２４−１において、匿名個人ＩＤの代わりに患者ＩＤが用いられる。
【００９６】
秘匿化カルテ情報ＤＢ３２４−１は、項目として、患者ＩＤ、生年月日、性別、住所、血液型、保険証ＩＤ、病院名、アレルギー、処方、検査結果、および病名を含む。実施の形態において、匿名ＩＤカルテ情報ＤＢ３２３−１の項目のうち、生年月日、住所、および保険証ＩＤのそれぞれのデータが秘匿化され、秘匿化カルテ情報ＤＢ３２４−１が生成される。
【００９７】
患者ＩＤは、利用者（患者）ごとに割り当てられる利用者を識別する固有の識別子（識別情報）である。
【００９８】
生年月日、性別、住所、および血液型は、それぞれ患者の生年月日のうちの年、患者の性別、患者の住所のうちの都道府県、および患者の血液型である。保険証ＩＤのデータは空（−）である。病院名は、患者の診察を行い、当該患者の電子カルテを入力した病院の名前である。
【００９９】
アレルギーは、患者が持っているアレルギーを表し、処方は、診察によって決定された処方を表し、検査結果は、診察時に参照された検査結果を表し、病名は、診察によって決定された病名を表す。
【０１００】
このように、秘匿化カルテ情報ＤＢ３２４−１において、生年月日、住所、および保険証ＩＤのデータは、個人が特定されないように、秘匿化処理によりデータが簡略化または削除されている。
【０１０１】
尚、秘匿化カルテ情報ＤＢ３２４−２の形式は、秘匿化カルテ情報ＤＢ３２４−１の形式と同様である。
【０１０２】
図１０は、秘匿化カルテ情報ＤＢから生成される一時ＤＢの例である。
一時ＤＢ３２６−１は、収集システム３０１−１が研究機関システム５０１の要求に基づいて、秘匿化カルテ情報ＤＢ３２４−１に含まれる秘匿化された電子カルテを送信する場合に生成される。
【０１０３】
一時ＤＢ３２６−１の形式は、秘匿化カルテ情報ＤＢ３２４−１の形式と同様である。また、一時ＤＢ３２６−２の形式は、秘匿化カルテ情報ＤＢ３２４−２の形式と同様である。
【０１０４】
図１０の秘匿化カルテ情報ＤＢ３２４−１において、性別＝男性の電子カルテを要求された場合、転送処理部３１５−１は、秘匿化カルテ情報ＤＢ３２４−１の１行目と３行目のデータを抽出し、一時ＤＢ３２６−１に書き込む。
【０１０５】
次に、秘匿化部３１４−１による秘匿化処理について説明する。
秘匿化部３１４−１は、匿名ＩＤカルテ情報ＤＢ３２３−１の所定の項目のデータを秘匿化して、秘匿化されたデータを秘匿化カルテ情報ＤＢ３２４−１に書き込む。秘匿化部３１４−１は、個人が特定されないように、所定の項目のデータを簡略化または削除し、秘匿化カルテ情報ＤＢ３２４−１に書き込む。どの項目のデータを秘匿化するかは、予め設定されている。実施の形態において、所定の項目は、生年月日、住所、および保険証ＩＤであり、生年月日、住所、および保険証ＩＤそれぞれのデータが秘匿化される。
【０１０６】
例えば、図７の匿名ＩＤカルテ情報ＤＢ３２３−１の１行目の生年月日＝1998/11/13を秘匿化する場合、秘匿化部３１４−１は、生年月日のうち年を抽出し、秘匿化カルテ情報ＤＢ３２４−１に書き込む。これにより、図９において、秘匿化カルテ情報ＤＢ３２４−１の１行目の生年月日は、「1998」となる。
【０１０７】
図７の匿名ＩＤカルテ情報ＤＢ３２３−１の１行目の住所＝神奈川県横浜市...を秘匿化する場合、秘匿化部３１４−１は、住所のうち都道府県を抽出し、秘匿化カルテ情報ＤＢ３２４−１に書き込む。これにより、図９において、秘匿化カルテ情報ＤＢ３２４−１の１行目の住所は、「神奈川県」となる。
【０１０８】
図７の匿名ＩＤカルテ情報ＤＢ３２３−１の１行目の保険証ＩＤ＝AAAを秘匿化する場合、秘匿化部３１４−１は、保険証ＩＤのデータを削除し、秘匿化カルテ情報ＤＢ３２４−１に空（−）書き込む。これにより、図９において、秘匿化カルテ情報ＤＢ３２４−１の１行目の保険証ＩＤは、「空（−）」となる。
【０１０９】
また、秘匿化部３１４−１は、秘匿化カルテ情報ＤＢ３２４−１において、匿名個人ＩＤの代わりに患者ＩＤを用いる。病院システム１０１−ｉごとにハッシュ用鍵１２６−１は異なるため、同じ個人ＩＤをハッシュ化した場合、病院システム１０１−ｉごとに異なるハッシュ値（匿名個人ＩＤ）が得られる。そのため、匿名個人ＩＤでは、複数の電子カルテが同一の人物の電子カルテであるかの判断が困難である。患者ＩＤを用いることで、複数の電子カルテが同一人物の電子カルテであることが分かるため、研究機関システム５０１において、同一人物の複数の電子カルテをマージすることが出来る。
【０１１０】
図１１は、実施の形態に係るデータ収集処理を示す図である。
情報処理システム１００では、例えば、以下の手順でデータ（電子カルテ）が病院システム１０１−ｉから収集システム３０１−ｉに収集される。ここでは、図１１に示すように病院システム１０１−１から収集システム３０１−１に電子カルテが収集される場合を説明する。
（１）病院システム１０１−１は、病院Ａの情報の登録または更新を管理システム２０１に依頼する。管理システム２０１は、病院Ａの情報の登録または更新の依頼を受信すると、病院管理ＤＢ２２５に病院Ａの情報を登録または院Ａの情報を更新する。病院システム１０１−１は、ハッシュ用鍵１２６−１を持っていなければ、管理システム２０１にハッシュ用鍵１２６−１の発行を依頼する。
（２）管理システム２０１は、病院Ａのハッシュ用鍵１２６−１を生成し、病院システム１０１−１に送信する。尚、ハッシュ用鍵は、病院ごとに異なる一意な鍵である。
（３）病院システム１０１−１は、管理システム２０１から受信したハッシュ用鍵１２６−１を用いて、電子カルテ情報ＤＢ１３３−１に含まれる電子カルテの個人ＩＤをハッシュ化した匿名患者ＩＤを生成し、匿名患者ＩＤと電子カルテの生年月日、性別、住所、血液型、保険証ＩＤ、病院名、アレルギー、処方、検査結果、および病名のデータを収集システム３０１に送信する。すなわち、病院システム１０１−１は、患者のデータとして、匿名患者ＩＤと、電子カルテの個人ＩＤと氏名以外のデータと、を収集システム３０１−１に送信する。収集システム３０１−１は、受信した匿名患者ＩＤと電子カルテのデータを匿名化カルテ情ＤＢ３２３−１に記録する。
【０１１１】
図１２Ａ，１２Ｂは、実施の形態に係るデータ収集処理のシーケンス図である。
図１２Ａ，１２Ｂでは、病院システム１０１−１から収集システム３０１−１に電子カルテが収集される場合を説明する。
【０１１２】
ステップＳ７０１において、医者用ＰＣ１１１−１の電子カルテクライアント１１２−１は、事前設定を電子カルテ管理サーバ１２１−１に依頼する。
【０１１３】
ステップＳ７０２において、病院Ａの情報（病院情報）が登録済みの場合、制御はステップＳ７０６に進み、病院情報が登録済みでない場合、制御はステップＳ７０３に進む。以前に病院情報の登録をシステム管理サーバ２１１に依頼したことがある場合、病院情報は登録済みと判定される。
【０１１４】
ステップＳ７０３において、データ転送部１２３−１は、病院Ａの情報の登録をシステム管理サーバ２１１に依頼する。
【０１１５】
ステップＳ７０４において、病院管理部２１４は、データ転送部１２３−１から依頼を受信すると、病院管理ＤＢ２２５に病院Ａの情報（病院情報）を登録する。
【０１１６】
ステップＳ７０５において、病院管理部２１４は、収集システム管理ＤＢ２２６を参照し、収集システム管理ＤＢ２２６の中から病院Ａの電子カルテを収集する収集システム３０１−ｉを選択する。病院管理部２１４は、選択した収集システム３０１−ｉを示す収集機関ＩＤを病院管理ＤＢ２２５の病院Ａの情報に対応する収集機関ＩＤに書き込む。
【０１１７】
ステップＳ７０６において、病院Ａの情報（病院情報）の更新がある場合、制御はステップＳ７０７に進み、病院情報の更新がない場合、制御はステップＳ７０９に進む。
【０１１８】
ステップＳ７０７において、データ転送部１２３−１は、病院Ａの情報の登録をシステム管理サーバ２１１に依頼する。
【０１１９】
ステップＳ７０８において、病院管理部２１４は、データ転送部１２３−１から依頼を受信すると、病院管理ＤＢ２２５の病院Ａの情報（病院情報）を更新する。
【０１２０】
ステップＳ７０９において、電子カルテクライアント１１３−１は、医者の操作に基づいて、電子カルテの各項目に患者のデータや診察情報などを入力する。
【０１２１】
ステップＳ７１０において、電子カルテクライアント１１３−１は、データが入力された電子カルテを電子カルテ管理サーバ１２１−ｉに送信する。
【０１２２】
ステップＳ７１１において、データ転送部１２３−１は、受信した電子カルテをカルテ情報ＤＢ１３３−１に記録する。
【０１２３】
ステップＳ７１２において、データ転送部１２３−１は、記憶部１３２−１にハッシュ用鍵１３３−１があるか判定する。記憶部１３２−１にハッシュ用鍵１３３−１がある場合、制御はステップ７１９に進み、憶部１３２−１にハッシュ用鍵１３３−１がない場合、制御はステップ７１３に進む。
【０１２４】
ステップＳ７１３において、病院Ａの情報（病院情報）が登録済みの場合、制御はステップＳ７１７に進み、病院情報が登録済みでない場合、制御はステップＳ７１４に進む。以前に病院情報の登録をシステム管理サーバ２１１に依頼したことがある場合、病院情報は登録済みと判定される。
【０１２５】
ステップＳ７１４において、データ転送部１２３−１は、病院Ａの情報の登録をシステム管理サーバ２１１に依頼する。
【０１２６】
ステップＳ７１５において、病院管理部２１４は、データ転送部１２３−１から依頼を受信すると、病院管理ＤＢ２２５に病院Ａの情報（病院情報）を登録する。
【０１２７】
ステップＳ７１６において、病院管理部２１４は、収集システム管理ＤＢ２２６を参照し、収集システム管理ＤＢ２２６の中から病院Ａの電子カルテを収集する収集システム３０１−ｉを選択する。病院管理部２１４は、選択した収集システム３０１−ｉを示す収集機関ＩＤを病院管理ＤＢ２２５の病院Ａの情報に対応する収集機関ＩＤに書き込む。
【０１２８】
ステップＳ７１７において、鍵生成部２１２は、病院Ａのハッシュ用鍵１２６−１を生成し、電子カルテ管理サーバ１２１−１に送信する。
【０１２９】
ステップＳ７１８において、データ転送部１２３−１は、ハッシュ用鍵１２６−１を受信し、記憶部１２５−１に記憶する。
【０１３０】
ステップＳ７１９において、データ転送部１２３−１は、患者の管理情報の登録依頼をシステム管理サーバ２１１に送信する。登録依頼には、患者の個人ＩＤが含まれる。
【０１３１】
ステップＳ７２０において、患者管理部２１３は、登録依頼を受信し、個人管理ＤＢ２２３と患者管理ＤＢ２２４を参照し、患者情報（登録依頼に含まれる個人ＩＤに対応する患者ＩＤ、当該患者ＩＤに対応する病院ＩＤ）を取得する。
【０１３２】
ステップＳ７２１において、患者情報が登録済みの場合（すなわち、患者情報が取得できた場合）、制御はステップＳ７２３に進み、患者情報が登録済みでない場合（すなわち、患者情報が取得できない場合）、制御はステップＳ７２２に進む。
【０１３３】
ステップＳ７２２において、患者管理部２１３は、登録依頼に含まれる個人ＩＤに患者ＩＤを割り当て、個人ＩＤと患者ＩＤを個人管理ＤＢ２２３に記録する。また、患者管理部２１３は、登録依頼に含まれる個人ＩＤに対応する患者ＩＤと病院Ａの病院ＩＤとを患者管理ＤＢ２２４に記録する（病院ＩＤと患者ＩＤの紐付け）。
【０１３４】
ステップＳ７２３において、データ転送部１２３−１は、ハッシュ用鍵１２６−１を記憶部１２５−１から読み出す。
【０１３５】
ステップＳ７２４において、データ転送部１２３−１は、カルテ情報ＤＢ１３３−１に含まれる電子カルテを読み出す。
【０１３６】
ステップＳ７２５において、データ転送部１２３−１は、ハッシュ用鍵１２６−１を用いて、読み出した電子カルテの個人ＩＤをハッシュ化し、ハッシュ値である匿名個人ＩＤを算出する。
【０１３７】
ステップＳ７２６において、データ転送部１２３−１は、個人ＩＤの代わりに匿名個人ＩＤと、読み出した電子カルテの個人ＩＤ以外の項目のデータと、を収集サーバ３１１−１に送信する。
【０１３８】
ステップＳ７２７において、収集部３１３−１は、匿名個人ＩＤと、電子カルテの個人ＩＤ以外の項目のデータと、を匿名ＩＤカルテ情報ＤＢ３２３−１に記録する。
【０１３９】
ステップＳ７２８において、データ転送部１２３−１は、完了通知を医者用ＰＣ１１１−１に送信する。
【０１４０】
図１３は、実施の形態に係る秘匿化処理を示す図である。
情報処理システム１００では、例えば、以下の手順で匿名ＩＤカルテ情報ＤＢ３２３−１に含まれる秘匿化されていない電子カルテの秘匿化処理が行われる。
【０１４１】
図１３において、匿名ＩＤカルテ情報ＤＢ３２３−１には、匿名個人ＩＤ＝ab89df3、生年月日＝1997/2/9、病名＝頭痛を含む電子カルテが記録されているとする。以下、収集システム３０１−１が匿名個人ＩＤ＝ab89df3を含む電子カルテの所定の項目のデータを秘匿化する場合を説明する。ここで、秘匿化処理の対象となる所定の項目は、生年月日とする。
（１）収集システム３０１−１は、匿名個人ＩＤ＝ab89df3に対応する患者ＩＤを管理システム２０２に問い合わせる。
（２）管理システム２０１は、個人管理ＤＢ２２３および病院管理ＤＢ２２５に基づいて、匿名個人ＩＤ＝ab89df3に対応する個人ＩＤに対応する患者ＩＤを患者ＩＤを見つけ出す。ここでは、匿名個人ＩＤ＝ab89df3に対応する個人ＩＤに対応する患者ＩＤは「９８」とする。管理システム２０１は、患者ＩＤ＝９８を収集システム３０１−１に返却（送信）する。
（３）収集システム３０１−１は、匿名個人ＩＤの代わりに患者ＩＤを秘匿化カルテ情報ＤＢ３２４−１に書き込む。収集システム３０１−１は、生年月日＝1997/2/9に対して秘匿化処理を行うことにより、生年月日のデータを簡略化し、秘匿化後の生年月日を秘匿化カルテ情報ＤＢ３２４−１に書き込む。秘匿化処理により、秘匿化後の生年月日は1997となる。収集システム３０１−１は、病名のデータを秘匿化せずに秘匿化カルテ情報ＤＢ３２４−１に書き込む。
【０１４２】
すなわち、収集システム３０１−１は、患者ＩＤ＝９８、秘匿化後の生年月日＝1997、病名＝頭痛を秘匿化カルテ情報ＤＢ３２４−１に書き込む。
【０１４３】
図１４は、実施の形態に係る秘匿化処理のシーケンス図である。
図１４では、収集システム３０１−１において、秘匿化処理を行う場合を説明する。
【０１４４】
ステップＳ７３１において、秘匿化部３１４−１は、匿名ＩＤカルテ情報ＤＢ３２３−１から秘匿化を行っていない電子カルテを読み出す。秘匿可済フラグ＝falseであるレコードが、秘匿化を行っていない電子カルテに該当する。ここでは、１名分（匿名ＩＤカルテ情報ＤＢ３２３−１の１行分）の電子カルテを読み出したとする。
【０１４５】
ステップＳ７３２において、秘匿化部３１４−１は、読み出した電子カルテに含まれる匿名患者ＩＤを含む問い合わせをシステム管理サーバ２１１に送信する。
【０１４６】
ステップＳ７３３において、患者管理部２１３は、問い合わせを受信し、病院管理ＤＢ３２５を参照し、問い合わせ元の収集システム３０１−１が管理している病院の情報（病院ＩＤ、ハッシュ用鍵）を取得する。収集システム３０１−１の収集機関ＩＤは１であり、図５の病院管理ＤＢ３２５において、収集機関ＩＤ＝１に対応する病院ＩＤは１であり、病院ＩＤ＝１に対応するハッシュ用鍵（すなわち、病院Ａのハッシュ用鍵１２６−１）は、aaaaである。
【０１４７】
ステップＳ７３４において、患者管理部２１３は、患者管理ＤＢ３２４を参照し、取得した病院ＩＤ＝１に対応する患者ＩＤを取得する。患者管理部２１３は、個人管理ＤＢ２２３を参照し、取得した患者ＩＤに対応する個人ＩＤを取得する。ここでは、複数の個人ＩＤが取得されたとする。
【０１４８】
ステップＳ７３５において、患者管理部２１３は、取得した個人ＩＤそれぞれを取得した病院ＩＤ＝１に対応するハッシュ用鍵（＝aaaa）を用いてハッシュ化し、ハッシュ値である取得した複数の個人ＩＤそれぞれに対応する複数の匿名個人ＩＤを生成する。患者管理部２１３は、問い合わせに含まれる匿名個人ＩＤと生成した複数の匿名個人ＩＤとを比較する。尚、患者管理部２１３は、取得した個人ＩＤと当該取得した個人ＩＤにより生成された匿名個人ＩＤとの対応関係をシステム管理サーバ２１１に記憶しておく。
【０１４９】
ステップＳ７３６において、患者管理部２１３は、問い合わせに含まれる匿名個人ＩＤに一致する匿名個人ＩＤが生成した複数の匿名個人ＩＤにあるか判定する。問い合わせに含まれる匿名個人ＩＤに一致する匿名個人ＩＤが生成した複数の匿名個人ＩＤにある場合、制御はステップＳ７３８に進む。問い合わせに含まれる匿名個人ＩＤに一致する匿名個人ＩＤが生成した複数の匿名個人ＩＤに無い場合、患者管理部２１３は、収集サーバ３１１−１に問い合わせた匿名個人ＩＤに対応する患者ＩＤが無い旨を通知し、制御はステップＳ７３７に進む。
【０１５０】
ステップＳ７３７において、患者管理部２１３は、匿名個人ＩＤに対応する患者ＩＤがないため、処理を終了する（秘匿化失敗）。
【０１５１】
ステップＳ７３８において、患者管理部２１３は、問い合わせに含まれる匿名個人ＩＤと一致した匿名個人ＩＤの生成に用いられた個人ＩＤに対応する患者ＩＤを収集サーバ３１１−１に返却（送信）する。
【０１５２】
ステップＳ７３９において、秘匿化部３１４−１は、患者ＩＤを受信する。秘匿化部３１４−１は、匿名ＩＤカルテ情報ＤＢ３２３−１から読み出した電子カルテの所定の項目のデータの秘匿化処理を実施する。実施の形態において、所定の項目は、生年月日、住所、および保険証ＩＤである。
【０１５３】
ステップＳ７４０において、秘匿化部３１４−１は、患者ＩＤと、所定の項目のデータを秘匿化したデータと、所定の項目以外の匿名患者ＩＤを除く項目（性別、血液型、病院名、アレルギー、処方、検査結果、病名）のデータを秘匿化カルテ情報ＤＢ３２４−１に記録する。これにより、図９に示すような秘匿化された電子カルテを含む秘匿化カルテ情報ＤＢ３２４−１が生成される。
【０１５４】
図１５は、実施の形態に係るサービス利用システムへの非秘匿データの送信処理を示す図である。
【０１５５】
情報処理システム１００では、例えば、以下の手順で匿名ＩＤカルテ情報ＤＢ３２３−ｉに含まれる秘匿化されていない電子カルテ（非秘匿データ）のサービス利用システム４０１への送信が行われる。
（１）サービス利用システム４０１は、利用者の同意のもと、当該利用者のデータ提供依頼を管理システム２０１に行う。このとき、データ提供依頼には、利用者の個人ＩＤを含める。
（２）管理システム２０１は、サービス利用システム４０１からの依頼を受け、依頼に含まれる個人ＩＤに対応する匿名患者ＩＤを計算し、収集システム３０１−ｉそれぞれに計算した匿名患者ＩＤを含めたデータ転送の指示を行う。図１５は、管理システム２０１が収集システム３０１−１にデータ転送の指示を行う場合を示す。図１５において、匿名患者ＩＤ＝ab89dr3が計算される。
（３）データ転送の指示を受けた収集システム３０１−１は、転送先のサービス利用システム４０１のデータ管理サーバ４２１と、データ転送用のセッションを確立する。
（４）収集システム３０１−１は、匿名ＩＤカルテ情報ＤＢ３２３−１の中から、管理システム２０１から受信した匿名患者ＩＤに対応する電子カルテを抽出して、一時ＤＢ３２５−１にコピーする。このとき、収集システム３０１−１が管理している匿名患者ＩＤは、サービス利用システム４０１に通知する必要がないため、一時ＤＢ３２５−１にコピーする電子カルテから除く。図１５において、匿名患者ＩＤ＝ab89dr3に対応する電子カルテが抽出され、一時ＤＢ３２５−１にコピーされる。
（５）収集システム３０１−１は、一時ＤＢ３２５−１にデータ転送の対象となる電子カルテをコピーしたら、一時ＤＢ３２５−１を利用システム４０１に送信する。
（６）利用システム４０１は、受信した一時ＤＢ３２５−１を一時ＤＢ４３４として格納し、一時ＤＢ４３４をユーザカルテ情報ＤＢ４３５にマージし、一時ＤＢ４３４は削除する。
【０１５６】
図１６Ａ〜１６Ｅは、実施の形態に係るサービス利用システムへの非秘匿データの送信処理のシーケンス図である。
【０１５７】
ステップＳ７５１において、ＰＣ４１１は、ブラウザやＧＵＩ等を用いて、利用者の操作に基づいて、ログイン情報（アカウントとパスワード）をデータ管理サーバ２１１に入力する。
【０１５８】
ステップＳ７５２において、ウェブサービス部４２２は、ログイン情報をユーザ管理部４２４に送信する。
【０１５９】
ステップＳ７５３において、ユーザ管理部４２４は、ログイン情報を受信し、ユーザ管理ＤＢ４３３からユーザ情報を取得する。ユーザ情報は、アカウント、パスワード、および個人ＩＤを含む。
【０１６０】
ステップＳ７５４において、ユーザ管理部４２４は、取得したユーザ情報にログイン情報に含まれるアカウントが存在するか判定する。取得したユーザ情報にログイン情報に含まれるアカウントが存在する場合、制御はステップＳ７５５に進み、ログイン情報に含まれるアカウントが存在しない場合、制御はステップＳ７５６に進む。
【０１６１】
ステップＳ７５５において、ユーザ管理部４２４は、取得したユーザ情報に含まれるアカウントに対応するパスワードとログイン情報に含まれるパスワードとが一致するか判定する。取得したユーザ情報に含まれるアカウントに対応するパスワードとログイン情報に含まれるパスワードとが一致する場合、制御はステップＳ７５８に進み、一致しない場合、制御はステップＳ７５６に進む。
【０１６２】
ステップＳ７５６において、ユーザ管理部４２４は、ログイン失敗をＰＣ４１１に通知する。
【０１６３】
ステップＳ７５７において、ＰＣ４１１は、ログイン失敗を表示部（不図示）に表示し、ログイン情報の入力画面を表示部（不図示）に表示する。
【０１６４】
ステップＳ７５８において、ユーザ管理部４２４は、ウェブサービス部４２２にログイン成功を通知する。
【０１６５】
ステップＳ７５９において、ウェブサービス部４２２は、利用者の電子カルテをユーザカルテ情報ＤＢ４３５から取得し、ＰＣ４１１に送信する。
【０１６６】
ステップＳ７６０において、ＰＣ４１１は、受信した利用者の電子カルテを表示部（不図示）に表示する。
【０１６７】
ステップＳ７６１において、ＰＣ４１１は、情報の更新をデータ管理サーバ４２１に依頼する。
【０１６８】
ステップＳ７６２において、ウェブサービス部４２２は、依頼を受信すると、ユーザ管理ＤＢ４３３を参照し、管理システム２０１の情報を取得する。
【０１６９】
ステップＳ７６３において、管理システム２０１の情報が存在しない場合（管理システム２０１の情報がユーザ管理ＤＢ４３３から取得されない場合）、制御はステップＳ７６４に進み、管理システム２０１の情報が存在する場合（管理システム２０１の情報をユーザ管理ＤＢ４３３から取得した場合）、制御はステップＳ７６５に進む。
【０１７０】
ステップＳ７６４において、ＰＣ４１１は、管理システム２０１の情報の登録を依頼し、処理は終了する。
【０１７１】
ステップＳ７６５において、データ収集管理部４２４は、利用者のアカウントに対応する個人ＩＤを含むデータ提供依頼をシステム管理サーバ２１１に送信する。すなわち、データ収集管理部４２４は、個人ＩＤに対応付けられた電子カルテを要求する。
【０１７２】
ステップＳ７６６において、患者管理部２１３は、個人管理ＤＢ２２３と患者管理ＤＢ２２４を参照し、利用者（患者）の管理情報（データ提供依頼に含まれる個人ＩＤに対応する患者ＩＤと、当該患者ＩＤに対応する病院ＩＤ）を取得する。
【０１７３】
ステップＳ７６７において、患者の管理情報が存在しない場合（データ提供依頼に含まれる個人ＩＤが個人管理ＤＢ２２３に無い場合）、患者管理部２１３は、更新失敗をデータ管理サーバ４２１に送信し、制御はステップＳ７６８に進む。患者の管理情報が存在する場合、制御はステップＳ７７０に進む。
【０１７４】
ステップＳ７６８において、データ収集管理部４２４は、更新失敗をＰＣ４１１に送信する。
【０１７５】
ステップＳ７６８において、ＰＣ４１１は、更新失敗の通知と利用者の電子カルテを表示部（不図示）に表示する。
【０１７６】
ステップＳ７７０において、病院管理部２１４は、病院管理ＤＢ２２５を参照し、患者の電子カルテを管理している病院の情報（当該病院の病院システムが有するハッシュ用鍵を含む）を取得する。すなわち、病院管理部２１４は、病院管理ＤＢ２２５を参照し、患者の患者ＩＤに対応する病院ＩＤに対応する情報を取得する。
【０１７７】
ステップＳ７７１において、患者の電子カルテを管理している病院の情報が存在しない場合（患者の患者ＩＤに対応する病院ＩＤが病院管理ＤＢ２２５に無い場合）、患者管理部２１３は、更新失敗をデータ管理サーバ４２１に送信し、制御はステップＳ７７２に進む。病院の情報が存在する場合、制御はステップＳ７７４に進む。
【０１７８】
ステップＳ７７２において、データ収集管理部４２４は、更新失敗をＰＣ４１１に送信する。
【０１７９】
ステップＳ７７３において、ＰＣ４１１は、更新失敗の通知と利用者の電子カルテを表示部（不図示）に表示する。
【０１８０】
ステップＳ７７４において、収集システム管理部２１５は、収集システム管理ＤＢ２２６を参照し、患者の電子カルテを管理している病院から送信される電子カルテを管理している収集システム３０１−ｉの情報を取得する。すなわち、収集システム管理部２１５は、収集システム管理ＤＢ２２６を参照し、患者の患者ＩＤに対応する病院ＩＤに対応する収集機関ＩＤに対応する情報を取得する。
【０１８１】
ステップＳ７７５において、病院管理部２１４は、利用者の個人ＩＤを患者の電子カルテを管理している病院のハッシュ用鍵１２６−ｉを用いてハッシュ化し、患者の電子カルテを管理している病院ごとの当該利用者の匿名個人ＩＤを算出する。
【０１８２】
ここで、利用者は、病院Ａと病院Ｂの両方で診察を受け、病院システム１０１−１と病院システム１０１−２それぞれに利用者の電子カルテが存在するとする。また、病院Ａの病院システム１０１−１の電子カルテは、拠点Ａの収集システム３０１−１で収集（管理）され、病院Ｂの病院システム１０１−２の電子カルテは、拠点Ｂの収集システム３０１−２で収集（管理）されるとする。
【０１８３】
ステップＳ７７６において、病院管理部２１４は、収集システム３０１−１の収集サーバ３１１−１に、収集サーバ３１１−１とサービス利用システム４０１のデータ管理サーバ４２１間のデータ転送用のセッションの確立を指示する。
【０１８４】
ステップＳ７７７において、収集サーバ３１１−１の現在のセッション数が上限を越えている場合、制御はステップＳ７７８に進み、収集サーバ３１１−１の現在のセッション数が上限を越えていない場合、制御はステップＳ７７９に進む。
【０１８５】
ステップＳ７７８において、転送処理部３１５−１は、収集サーバ３１１−１の現在のセッション数が上限を下回るまで待ち、現在のセッション数が上限を下回ったら、制御はステップＳ７７７に進む。
【０１８６】
ステップＳ７７９において、転送処理部３１５−１は、サービス利用システム４０１のデータ管理サーバ４２１とのセッションを確立する。
【０１８７】
ステップＳ７８０において、病院管理部２１４は、収集システム３０１−２の収集サーバ３１１−２に、収集サーバ３１１−２とサービス利用システム４０のデータ管理サーバ４２１間のデータ転送用のセッションの確立を指示する。
【０１８８】
ステップＳ７８１において、収集サーバ３１１−２の現在のセッション数が上限を越えている場合、制御はステップＳ７８２に進み、収集サーバ３１１−２の現在のセッション数が上限を越えていない場合、制御はステップＳ７８３に進む。
【０１８９】
ステップＳ７８２において、転送処理部３１５−２は、収集サーバ３１１−２の現在のセッション数が上限を下回るまで待ち、現在のセッション数が上限を下回ったら、制御はステップＳ７８１に進む。
【０１９０】
ステップＳ７８３において、転送処理部３１５−２は、サービス利用システム４０１のデータ管理サーバ４２１とのセッションを確立する。
【０１９１】
ステップＳ７８４において、病院管理部２１４は、収集システム３０１−１の収集サーバ３１１−１に、データ抽出の指示（要求）を送信する。当該指示は、利用者の個人ＩＤから、収集システム３０１−１で収集している病院Ａの病院システム１０１−１のハッシュ用鍵１２６−１を用いて算出された匿名個人ＩＤを含む。
【０１９２】
ステップＳ７８５において、転送処理部３１５−１は、指示を受信すると、指示に含まれる匿名個人ＩＤに対応する利用者の電子カルテを匿名ＩＤカルテ情報ＤＢ３２３−１から抽出する。
【０１９３】
ステップＳ７８６において、空の一時ＤＢ３２５−１が記憶部３２２−１に存在する場合、制御はステップＳ７８８に進み、空の一時ＤＢ３２５−１が記憶部３２２−１に存在しない場合、制御はステップＳ７８７に進む。
【０１９４】
ステップＳ７８７において、転送処理部３１５−１は、空の一時ＤＢ３２５−１を作成する。
【０１９５】
ステップＳ７８８において、転送処理部３１５−１は、抽出した電子カルテを一時ＤＢ３２５−１にコピーする。
【０１９６】
ステップＳ７８９において、病院管理部２１４は、収集システム３０１−２の収集サーバ３１１−２に、データ抽出の指示（要求）を送信する。当該指示は、利用者の個人ＩＤから、収集システム３０１−２収集している病院Ｂの病院システム１０１−２のハッシュ用鍵１２６−２を用いて算出された匿名個人ＩＤを含む。
【０１９７】
ステップＳ７９０において、転送処理部３１５−２は、指示を受信すると、指示に含まれる匿名個人ＩＤに対応する利用者の電子カルテを匿名ＩＤカルテ情報ＤＢ３２３−２から抽出する。
【０１９８】
ステップＳ７９１において、空の一時ＤＢ３２５−２が記憶部３２２−２に存在する場合、制御はステップＳ７９３に進み、空の一時ＤＢ３２５−２が記憶部３２２−２に存在しない場合、制御はステップＳ７９２に進む。
【０１９９】
ステップＳ７９２において、転送処理部３１５−２は、空の一時ＤＢ３２５−２を作成する。
【０２００】
ステップＳ７９３において、転送処理部３１５−２は、抽出した電子カルテを一時ＤＢ３２５−１にコピーする。
【０２０１】
ステップＳ７９４において、病院管理部２１４は、収集システム３０１−１の収集サーバ３１１−１に、データ転送の指示を送信する。
【０２０２】
ステップＳ７９５において、転送処理部３１５−１は、一時ＤＢ３２５−１をデータ管理サーバ４２１に送信し、データ収集管理部４２４は、受信した一時ＤＢ３２５−１を一時ＤＢ４３４−１として、記憶部４３２に記憶する。
【０２０３】
ステップＳ７９６において、病院管理部２１４は、収集システム３０１−２の収集サーバ３１１−２に、データ転送の指示を送信する。
【０２０４】
ステップＳ７９７において、転送処理部３１５−２は、一時ＤＢ３２５−２をデータ管理サーバ４２１に送信し、データ収集管理部４２４は、受信した一時ＤＢ３２５−２を一時ＤＢ４３４−２として、記憶部４３２に記憶する。
【０２０５】
ステップＳ７９８において、病院管理部２１４は、データ管理サーバ４２１に転送完了を通知する。
【０２０６】
ステップＳ７９９において、データ収集管理部４２４は、マージしていない一時ＤＢ３２５−ｉをユーザカルテ情報４３５にマージする。
【０２０７】
ステップＳ８００において、すべての一時ＤＢ３２５−ｉがユーザカルテ情報４３５にマージ済みの場合、制御はステップＳ８０１に進み、マージされていない一時ＤＢ３２５−ｉがある場合、制御はステップＳ７９９に戻る。
【０２０８】
ステップＳ８０１において、データ収集管理部４２４は、一時ＤＢ３２５−ｉを削除する。
【０２０９】
ステップＳ８０２において、ウェブサービス部４２２は、利用者の更新された電子カルテをユーザカルテ情報ＤＢ４３５から取得し、ＰＣ４１１に送信する。ＰＣ４１１は、更新された電子カルテを表示部（不図示）に表示する。
【０２１０】
図１７は、実施の形態に係る研究機関システムへの秘匿データの送信処理を示す図である。
【０２１１】
情報処理システム１００では、例えば、以下の手順で秘匿化カルテ情報ＤＢ３２４−ｉに含まれる秘匿化された電子カルテ（秘匿データ）の研究機関システム５０１への送信が行われる。
（１）研究機関システム５０１は、個人の同意不要なので、取得したいデータの条件を指定し、当該条件に該当するデータの提供依頼を管理システム２０１に行う。条件は、例えば、性別が男性、または生年月日が１９９０年から１９９９年まで等である。
（２）管理システム２０１は研究機関システム５０１からの提供依頼を受け、提供依頼に含まれる条件に該当するデータのデータ転送の指示を収集システム３０１−ｉに行う。指示には、研究機関システム５０１から受信した条件が含まれている。
（３）データ転送の指示を受けた収集システム３０１−１は、転送先の研究機関システム５０１のデータ管理サーバ５２１と、データ転送用のセッションを確立する。
（３’）データ転送の指示を受けた収集システム３０１−２は、転送先の研究機関システム５０１のデータ管理サーバ５２１と、データ転送用のセッションを確立する。
（４）収集システム３０１−１は、秘匿化カルテ情報ＤＢ３２４−１の中から、管理システム２０１から受信した条件に該当する電子カルテを抽出して、一時ＤＢ３２６−１にコピーする。なお、患者ＩＤは、研究機関システム５０１が同一人物のデータをマージする際に、同一人物のデータであるかの判定に必要なため、患者ＩＤも一時ＤＢ３２６−１に含める。図１７において、条件は生年月日が１９９０年から１９９９年までであり、秘匿化カルテ情報ＤＢ３２４−１の中から、生年月日が１９９０年から１９９９年までの電子カルテが抽出され、一時ＤＢ３２６−１にコピーされる。
（４’）収集システム３０１−２は、秘匿化カルテ情報ＤＢ３２４−２の中から、管理システム２０１から受信した条件に該当する電子カルテを抽出して、一時ＤＢ３２６−２にコピーする。
（５）収集システム３０１−１は、一時ＤＢ３２６−１にデータ転送の対象となる電子カルテをコピーしたら、一時ＤＢ３２５−１を研究機関システム５０１に送信する。研究機関システム５０１は、受信した一時ＤＢ３２６−１を一時ＤＢ５３４−１として格納する。
（５’）収集システム３０１−２は、一時ＤＢ３２６−２にデータ転送の対象となる電子カルテをコピーしたら、一時ＤＢ３２５−２を研究機関システム５０１に送信する。研究機関システム５０１は、受信した一時ＤＢ３２６−２を一時ＤＢ５３４−２として格納する。
（６）利用システム４０１は、一時ＤＢ５３４−１、５３４−２をユーザデータＤＢ５３５にマージし、一時ＤＢ５３４−１、５３４−２は削除する。
【０２１２】
図１８Ａ〜１８Ｅは、実施の形態に係る研究機関システムへの秘匿データの送信処理のシーケンス図である。
【０２１３】
ステップＳ８１１において、ＰＣ５１１は、ＰＣ５１１にインストールされているアプリケーションプログラムを起動する。
【０２１４】
ステップＳ８１２において、ＰＣ５１１は、アプリケーションプログラムを用いて、研究者の操作に基づいて、フィルタ条件を入力し、情報取得の依頼をデータ管理サーバ５２１に送信する。依頼はフィルタ条件を含む。
【０２１５】
ステップＳ８１３において、インタフェース部５２２は、管理システムＤＢ５３３を参照し、管理システム２０１の情報（管理システム情報）を取得する。管理システム２０１の情報は、例えば、システム管理サーバ２１１のドメイン名またはＩＰアドレス等である。
【０２１６】
ステップＳ８１４において、管理システム情報が管理システムＤＢ５３３に存在しない場合（管理システムＤＢ５３３から管理システム２０１の情報が取得されない場合）、制御はステップＳ８１５に進み、管理システム情報が管理システムＤＢ５３３に存在する場合、制御はステップＳ８１６に進む。
【０２１７】
ステップＳ８１５において、ＰＣ５１１は、管理システム情報の登録を依頼し、処理は終了する。
【０２１８】
ステップＳ８１６において、データ収集管理部５２４は、受信したフィルタ条件を含むテータ提供依頼（要求）をシステム管理サーバ２１１に送信する。すなわち、データ収集管理部５２４は、フィルタ条件に該当する秘匿化された電子カルテを要求する。テータ提供依頼には、個人ＩＤは含まれていない。
【０２１９】
ステップＳ８１７において、病院管理部２１４は、病院管理ＤＢ２２５を参照し、各病院（病院システム１０１−ｉ）の情報（ハッシュ用鍵を含む）を病院管理ＤＢ２２５から取得する。
【０２２０】
ステップＳ８１８において、病院の情報が病院管理ＤＢ２２５に存在しない場合（各病院の情報が病院管理ＤＢ２２５から取得されない場合）、データ収集管理部５２４は、情報取得失敗の通知をデータ管理サーバ５２１に送信し、制御はステップＳ８１９に進む。病院の情報が病院管理ＤＢ２２５に存在する場合、制御はステップＳ８２１に進む。
【０２２１】
ステップＳ８１９において、データ収集管理部５２４は、データ提供失敗の通知をＰＣ５１１に送信する。
【０２２２】
ステップＳ８２０において、ＰＣ４１１は、データ提供失敗の通知を表示部（不図示）に表示する。
【０２２３】
ステップＳ８２１において、収集システム管理部２１５は、収集システム管理ＤＢ２２６を参照し、各病院（病院システム１０１−ｉ）のデータを管理している収集システム３０１−ｉの情報を取得する。
【０２２４】
ステップＳ８２２において、病院管理部２１４は、収集システム３０１−１の収集サーバ３１１−１に、収集サーバ３１１−１と研究機関システム５０１のデータ管理サーバ５２１間のデータ転送用のセッションの確立を指示する。
【０２２５】
ステップＳ８２３において、収集サーバ３１１−１の現在のセッション数が上限を越えている場合、制御はステップＳ８２４に進み、収集サーバ３１１−１の現在のセッション数が上限を越えていない場合、制御はステップＳ８２５に進む。
【０２２６】
ステップＳ８２４において、転送処理部３１５−１は、収集サーバ３１１−１の現在のセッション数が上限を下回るまで待ち、現在のセッション数が上限を下回ったら、制御はステップＳ８２３に進む。
【０２２７】
ステップＳ８２５において、転送処理部３１５−１は、研究機関システム５０１のデータ管理サーバ５２１とのセッションを確立する。
【０２２８】
ステップＳ８２６において、病院管理部２１４は、収集システム３０１−２の収集サーバ３１１−２に、収集サーバ３１１−２と研究機関システム５０１のデータ管理サーバ５２１間のデータ転送用のセッションの確立を指示する。
【０２２９】
ステップＳ８２７において、収集サーバ３１１−２の現在のセッション数が上限を越えている場合、制御はステップＳ８２８に進み、収集サーバ３１１−２の現在のセッション数が上限を越えていない場合、制御はステップＳ８２９に進む。
【０２３０】
ステップＳ８２８において、転送処理部３１５−２は、収集サーバ３１１−２の現在のセッション数が上限を下回るまで待ち、現在のセッション数が上限を下回ったら、制御はステップＳ８２７に進む。
【０２３１】
ステップＳ８２９において、転送処理部３１５−２は、研究機関システム５０１のデータ管理サーバ５２１とのセッションを確立する。
【０２３２】
ステップＳ８３０において、病院管理部２１４は、収集システム３０１−１の収集サーバ３１１−１に、データ抽出の指示（要求）を送信する。当該指示は、データ管理サーバ５２１から受信したフィルタ条件を含む。また、当該指示は、個人ＩＤおよび匿名個人ＩＤは含まない。
【０２３３】
ステップＳ８３１において、転送処理部３１５−１は、指示を受信すると、指示に含まれるフィルタ条件に該当する電子カルテを秘匿化カルテ情報ＤＢ３２４−１から抽出する。
【０２３４】
ステップＳ８３２において、空の一時ＤＢ３２６−１が記憶部３２２−１に存在する場合、制御はステップＳ８３４に進み、空の一時ＤＢ３２６−１が記憶部３２２−１に存在しない場合、制御はステップＳ８３３に進む。
【０２３５】
ステップＳ８３３において、転送処理部３１５−１は、空の一時ＤＢ３２６−１を作成する。
【０２３６】
ステップＳ８３４において、転送処理部３１５−１は、抽出した電子カルテを一時ＤＢ３２６−１にコピーする。
【０２３７】
ステップＳ８３５において、病院管理部２１４は、収集システム３０１−２の収集サーバ３１１−２に、データ抽出の指示（要求）を送信する。当該指示は、データ管理サーバ５２１から受信したフィルタ条件を含む。また、当該指示は、個人ＩＤおよび匿名個人ＩＤは含まない。
【０２３８】
ステップＳ８３６において、転送処理部３１５−２は、指示を受信すると、指示に含まれるフィルタ条件に該当する電子カルテを秘匿化カルテ情報ＤＢ３２４−２から抽出する。
【０２３９】
ステップＳ８３７において、空の一時ＤＢ３２６−２が記憶部３２２−２に存在する場合、制御はステップＳ８３９に進み、空の一時ＤＢ３２６−２が記憶部３２２−２に存在しない場合、制御はステップＳ８３８に進む。
【０２４０】
ステップＳ８３８において、転送処理部３１５−２は、空の一時ＤＢ３２６−２を作成する。
【０２４１】
ステップＳ８３９において、転送処理部３１５−２は、抽出した電子カルテを一時ＤＢ３２６−２にコピーする。
【０２４２】
ステップＳ８４０において、病院管理部２１４は、収集システム３０１−１の収集サーバ３１１−１に、データ転送の指示を送信する。
【０２４３】
ステップＳ８４１において、転送処理部３１５−１は、一時ＤＢ３２６−１をデータ管理サーバ５２１に送信し、データ収集管理部５２４は、受信した一時ＤＢ３２６−１を一時ＤＢ５３４−１として、記憶部５３２に記憶する。
【０２４４】
ステップＳ８４２において、病院管理部２１４は、収集システム３０１−２の収集サーバ３１１−２に、データ転送の指示を送信する。
【０２４５】
ステップＳ８４３において、転送処理部３１５−２は、一時ＤＢ３２６−２をデータ管理サーバ５２１に送信し、データ収集管理部５２４は、受信した一時ＤＢ３２６−２を一時ＤＢ５３４−２として、記憶部５３２に記憶する。
【０２４６】
ステップＳ８４４において、病院管理部２１４は、データ管理サーバ５２１に転送完了を通知する。
【０２４７】
ステップＳ８４５において、データ収集管理部５２４は、マージしていない一時ＤＢ５３４−ｉをユーザデータＤＢ５３５にマージする。
【０２４８】
ステップＳ８４６において、すべての一時ＤＢ５３４−ｉがユーザデータＤＢ５３５にマージ済みの場合、制御はステップＳ８４７に進み、マージされていない一時ＤＢ５３４−ｉがある場合、制御はステップＳ８４５に戻る。
【０２４９】
ステップＳ８４７において、データ収集管理部５２４は、一時ＤＢ５３４−ｉを削除する。
【０２５０】
ステップＳ８４８において、インタフェース部５２２は、ユーザデータＤＢ５３５からフィルタ条件に該当する電子カルテを取得し、ＰＣ４１１に送信する。
【０２５１】
実施の形態に係る情報処理システム１００によれば、サービス利用システム４０１および研究機関システム５０１それぞれに応じたデータを提供することが出来る。すなわち、実施の形態に係る情報処理システム１００によれば、非秘匿データを利用するサービス利用システム４０１に対しては非秘匿データ、秘匿データを利用する研究機関システム５０１に対しては秘匿データを送信することが出来る。
【０２５２】
実施の形態に係る情報処理システム１００によれば、匿名ＩＤカルテ情報ＤＢ３２３−ｉにおいて同じ患者の場合でも病院ごとに異なる匿名患者ＩＤで管理されているため、管理システムを通した正規のルート以外では、特定の個人のデータをマージすることができず、個人を特定されるセキュリティリスクが低くなる。
【０２５３】
秘匿化カルテ情報ＤＢ３２４−ｉにおいて、個人が特定される情報は秘匿化されているため、同一人物のデータがマージできても問題ない。実施の形態に係る情報処理システム１００によれば、秘匿化カルテ情報ＤＢ３２４−ｉにおいて、同一人物のデータを同じ患者ＩＤで管理しているで、複数のデータが同一人物のデータであるか判定でき、同一人物のデータをマージできる。
【０２５４】
実施の形態に係る情報処理システム１００によれば、利用者を一意に特定できる個人ＩＤを含む通信が病院システム１０１−ｉと管理システム２０１間、およびサービス利用システム４０１と管理システム２０１間の通信のみとなることにより、セキュリティリスクを低減することができる。
【０２５５】
図１の情報処理システム１００において、情報提供機関は、患者の診察情報を提供する病院以外の機関であってもよい。例えば、顧客の購買情報を提供する店舗、生徒の成績情報を提供する学校、予備校等の教育機関、又は顧客の預金残高、取引実績等を提供する銀行等の金融機関を、情報提供機関の例として挙げることができる。
【０２５６】
情報提供機関が店舗である場合、顧客の購買情報が個人情報として収集され、顧客の同意のもとで、情報利用機関である別の店舗に対して提供される。また、秘匿化された顧客の購買情報が顧客の嗜好等を解析する情報解析機関である調査会社に提供される。
【０２５７】
情報提供機関が教育機関である場合、生徒の成績情報が個人情報として収集され、生徒の同意のもとで、情報利用機関である別の教育機関に対して提供される。また、秘匿化された生徒の成績情報が科目毎の傾向等を解析する情報解析機関である調査会社に提供される。
【０２５８】
情報提供機関が金融機関である場合、顧客の預金残高、取引実績等が個人情報として収集され、顧客の同意のもとで、情報利用機関である別の金融機関に対して提供される。また、秘匿化された顧客の預金残高、取引実績等の個人情報がローンの利用状況等を解析する情報解析機関である調査会社に提供される。
【０２５９】
図１９は、情報処理装置（コンピュータ）の構成図である。
実施の形態の医者用ＰＣ１１１−ｉ、電子カルテ管理サーバ１２１−ｉ、システム管理サーバ２１１、収集サーバ３１１−ｉ、ＰＣ４１１，５１１、およびデータ管理サーバ４２１，５２１は、例えば、図１９に示すような情報処理装置（コンピュータ）１によって実現可能である。
【０２６０】
情報処理装置１は、Central Processing Unit（ＣＰＵ）２、メモリ３、入力装置４、出力装置５、記憶部６、記録媒体駆動部７、及びネットワーク接続装置８を備え、それらはバス９により互いに接続されている。
【０２６１】
ＣＰＵ２は、情報処理装置１全体を制御する中央処理装置である。ＣＰＵ２は、処理部１２１−ｉ、鍵生成部２１２、患者管理部２１３、病院管理部２１４、収集システム管理部２１５、処理部３１２−ｉ、ウェブサービス部４２２、ユーザ管理部４２３、データ収集管理部４２４、インタフェース部５２２、およびデータ収集管理部５２４として動作する。
【０２６２】
メモリ３は、プログラム実行の際に、記憶部６（あるいは可搬記録媒体１０）に記憶されているプログラムあるいはデータを一時的に格納するRead Only Memory(ＲＯＭ)やRandom Access Memory(ＲＡＭ)等のメモリである。ＣＰＵ２は、メモリ３を利用してプログラムを実行することにより、上述した各種処理を実行する。
【０２６３】
この場合、可搬記録媒体１０等から読み出されたプログラムコード自体が実施の形態の機能を実現する。
【０２６４】
入力装置４は、ユーザ又はオペレータからの指示や情報の入力、情報処理装置１で用いられるデータの取得等に用いられる。入力装置４は、例えば、キーボード、マウス、タッチパネル、カメラ、またはセンサ等である。
【０２６５】
出力装置５は、ユーザ又はオペレータへの問い合わせや処理結果を出力したり、ＣＰＵ２による制御により動作する装置である。出力装置５は、例えば、ディスプレイ、またはプリンタ等である。
【０２６６】
記憶部６は、例えば、磁気ディスク装置、光ディスク装置、テープ装置等である。情報処理装置１は、記憶部６に、上述のプログラムとデータを保存しておき、必要に応じて、それらをメモリ３に読み出して使用する。メモリ３および記憶部６は、記憶部１２５−ｉに対応する。
【０２６７】
記録媒体駆動部７は、可搬記録媒体１０を駆動し、その記録内容にアクセスする。可搬記録媒体としては、メモリカード、フレキシブルディスク、Compact Disk Read Only Memory(ＣＤ−ＲＯＭ)、光ディスク、光磁気ディスク等、任意のコンピュータ読み取り可能な記録媒体が用いられる。ユーザは、この可搬記録媒体１０に上述のプログラムとデータを格納しておき、必要に応じて、それらをメモリ３に読み出して使用する。
【０２６８】
ネットワーク接続装置８は、Local Area Network（ＬＡＮ）やWide Area Network（ＷＡＮ）等の任意の通信ネットワークに接続され、通信に伴うデータ変換を行う通信インタフェースである。ネットワーク接続装置８は、通信ネットワークを介して接続された装置へデータの送信または通信ネットワークを介して接続された装置からデータを受信する。
【０２６９】
尚、情報処理装置１が図１９のすべての構成要素を含む必要はなく、用途又は条件に応じて一部の構成要素を省略することも可能である。
【０２７０】
開示の実施形態とその利点について詳しく説明したが、当業者は、特許請求の範囲に明確に記載した本発明の範囲から逸脱することなく、様々な変更、追加、省略をすることができるであろう。
【０２７１】
以上の実施の形態に関し、さらに以下の付記を開示する。
（付記１）
第１の識別子を変換した第２の識別子を含み、前記第１の識別子に対応付けられた個人情報を要求する第１の装置からの第１の要求と、抽出条件を含み、前記抽出条件に該当する秘匿化個人情報を要求する第２の装置からの第２の要求とを、管理装置から受信する受信部と、
前記第１の要求を受信した場合に、複数の第２の識別子それぞれと対応付けられた複数の個人情報を記憶する記憶装置から、前記第２の識別子に対応付けられた個人情報を抽出し、前記第２の要求を受信した場合に、前記複数の個人情報が秘匿化された複数の秘匿化個人情報を記憶する前記記憶装置から、前記抽出条件に該当する秘匿化個人情報を抽出する抽出部と、
前記第１の要求を受信した場合に、前記抽出部によって抽出された前記第２の識別子に対応付けられた個人情報を、前記第１の装置に送信し、前記第２の要求を受信した場合に、前記抽出部によって抽出された前記抽出条件に該当する秘匿化個人情報を、前記第２の装置に送信する送信部と、
を備える情報処理装置。
（付記２）
前記第１の識別子は、前記第１の装置から前記管理装置に送信され、
前記第２の識別子は、前記管理装置で前記第１の識別子に対応付けられた個人情報を格納する個人情報管理装置に対応付けられたハッシュキーであって、かつ前記個人情報管理装置が複数ある場合、各々の前記個人情報に対応付けられた前記ハッシュキーがそれぞれ異なる値となる前記ハッシュキーによってハッシュ化されることにより生成されることを特徴とする付記１記載の情報処理装置。
（付記３）
第１の識別子に対応付けられた個人情報を要求する第１の装置と、
抽出条件に該当する秘匿化個人情報を要求する第２の装置と、
前記第１の識別子を変換した前記第２の識別子を生成する管理装置と、
前記第２の識別子に対応付けられた個人情報および前記抽出条件に該当する秘匿化個人情報を送信する情報処理装置と、
を備え、
前記第１の装置は、前記第１の識別子を含む第１の要求を前記管理装置に送信し、
前記第２の装置は、前記抽出条件を含む第２の要求を前記管理装置に送信し、
前記管理装置は、
前記第１の要求を受信した場合に、前記第２の識別子を生成し、前記第２の識別子を含む第３の要求を前記情報処理装置に送信し、
前記第２の要求を受信した場合に、前記抽出条件を含む第４の要求を前記情報処理装置に送信し、
前記情報処理装置は、
前記第３の要求および前記第４の要求を受信する受信部と、
前記第３の要求を受信した場合に、複数の第２の識別子それぞれが対応付けられた複数の個人情報を記憶する記憶装置から、前記第２の識別子に対応付けられた個人情報を抽出し、前記第４の要求を受信した場合に、前記複数の個人情報が秘匿化された複数の秘匿化個人情報を記憶する前記記憶装置から、前記抽出条件に該当する秘匿化個人情報を抽出する抽出部と、
前記第３の要求を受信した場合に、前記抽出部によって抽出された前記第２の識別子に対応付けられた個人情報を前記第１の装置に送信し、前記第４の要求を受信した場合に、前記抽出部によって抽出された前記秘匿化個人情報を前記第２の装置に送信する送信部と、
を備えることを特徴とする情報処理システム。
（付記４）
前記管理装置は、
前記第１の識別子と、前記第１の識別子と対応付けられた個人情報を格納する個人情報管理装置との対応を示す第１情報を記憶し、前記個人情報管理装置に対応付けられたハッシュキーであって、かつ前記個人情報管理装置が複数ある場合、各々の前記個人情報に対応付けられた前記ハッシュキーがそれぞれ異なる値となる前記ハッシュキーと、前記個人情報管理装置との対応を示す第２情報を記憶し、
前記第１の要求を受信した場合に、前記第１情報、および前記第２情報に基づいて、前記第１の識別子を格納する個人情報管理装置と、前記個人情報処理装置に対応付けられた前記ハッシュキーを特定し、前記第１の識別子と、特定した前記ハッシュキーとに基づいて、前記第２の識別子を生成し、前記第２の識別子を含む第３の要求を前記情報処理装置に送信することを特徴とする付記３記載の情報処理システム。
（付記５）
コンピュータに
第１の識別子を変換した第２の識別子を含む第１の要求と、抽出条件を含み前記第２の識別子を含まない第２の要求とを、管理装置から受信し、
前記第１の要求を受信した場合に、
複数の識別子それぞれと対応付けられた複数の個人情報を記憶する記憶装置から、前記第２の識別子に対応付けられた個人情報を抽出し、
前記第２の識別子に対応付けられた個人情報を前記第１の識別子に対応付けられた個人情報を要求する第１の装置に送信し、
前記第２の要求を受信した場合に、
前記記憶装置が記憶している、前記複数の個人情報が秘匿化された複数の秘匿化個人情報のうち、前記抽出条件に該当する秘匿化個人情報を抽出し、
前記抽出条件に該当する秘匿化個人情報を前記抽出条件に該当する秘匿化個人情報を要求する第２の装置に送信する、
処理を実行させるプログラム。
（付記６）
前記第１の識別子は、前記第１の装置から前記管理装置に送信され、
前記第２の識別子は、前記管理装置で前記第１の識別子に対応付けられた個人情報を格納する個人情報管理装置に対応付けられたハッシュキーであって、かつ前記個人情報管理装置が複数ある場合、各々の前記個人情報に対応付けられた前記ハッシュキーがそれぞれ異なる値となる前記ハッシュキーによってハッシュ化されることにより生成されることを特徴とする付記５記載のプログラム。
【符号の説明】
【０２７２】
１００    情報処理システム
１０１    病院システム
１１１    医者用ＰＣ
１２１    電子カルテ管理サーバ
１３１    ストレージ装置
２０１    管理システム
２１１    システム管理サーバ
２２１    システム管理ストレージ装置
３０１    収集システム
３１１    収集サーバ
３２１    収集ストレージ装置
４０１    サービス利用システム
４１１    ＰＣ
４２１    データ管理サーバ
４３１    データ管理ストレージ装置
５０１    研究機関システム
５１１    ＰＣ
５２１    データ管理サーバ
５３１    データ管理ストレージ装置
【図１】
2018181039.tif 000003
【図２】
2018181039.tif 000004
【図３】
2018181039.tif 000005
【図４】
2018181039.tif 000006
【図５】
2018181039.tif 000007
【図６】
2018181039.tif 000008
【図７】
2018181039.tif 000009
【図８】
2018181039.tif 000010
【図９】
2018181039.tif 000011
【図１０】
2018181039.tif 000012
【図１１】
2018181039.tif 000013
【図１２Ａ】
2018181039.tif 000014
【図１２Ｂ】
2018181039.tif 000015
【図１３】
2018181039.tif 000016
【図１４】
2018181039.tif 000017
【図１５】
2018181039.tif 000018
【図１６Ａ】
2018181039.tif 000019
【図１６Ｂ】
2018181039.tif 000020
【図１６Ｃ】
2018181039.tif 000021
【図１６Ｄ】
2018181039.tif 000022
【図１６Ｅ】
2018181039.tif 000023
【図１７】
2018181039.tif 000024
【図１８Ａ】
2018181039.tif 000025
【図１８Ｂ】
2018181039.tif 000026
【図１８Ｃ】
2018181039.tif 000027
【図１８Ｄ】
2018181039.tif 000028
【図１８Ｅ】
2018181039.tif 000029
【図１９】
2018181039.tif 000030