【手続補正書】
【提出日】平成28年6月28日(2016.6.28)
【手続補正１】
【補正対象書類名】特許請求の範囲
【補正対象項目名】全文
【補正方法】変更
【補正の内容】
【特許請求の範囲】
【請求項１】
検体試料に関する情報を匿名化して管理する装置が、
検体試料に付加された第１の識別情報に基づき、前記検体試料から得られた第２の情報を第１の記憶手段に格納するための第３の識別情報を、前記第１の識別情報を当該第３の識別情報に固有の暗号化アルゴリズムによって暗号化することによって生成した後、前記第２の情報を前記第３の識別情報に対応付けて第１のデータベースに格納するステップと、
前記検体試料に付加された第１の識別情報に基づき、前記検体試料の提供元となった第３の情報を第２の記憶手段に格納するための第４の識別情報を、前記第１の識別情報を当該第４の識別情報に固有の暗号化アルゴリズムによって暗号化することによって生成した後、前記第３の情報を前記第４の識別情報に対応付けて第２のデータベースに格納するステップとを実行し、
前記第２の情報と第３の情報にそれぞれ対応して生成した前記第３の識別情報と第４の識別情報によって前記第２の情報と第３の情報とを匿名化して管理することを特徴とする検体試料の匿名化管理方法。
【請求項２】
検体試料に関する情報を匿名化して管理する装置が、前記第３の情報を受信したことを契機に当該第３の情報に対応付けて前記第２のデータベースに格納されている前記第４の識別情報を取得し、取得した第４の識別情報を固有の暗号化アルゴリズムによって復号することによって前記第１の識別情報を生成するステップと、
生成された第１の識別情報に基づき前記第１のデータベースを検索し、第１の識別情報に対応した第２の情報を取得するステップを実行し、
前記第３の情報から第２の情報を参照表示することを特徴とする請求項１に記載の検体試料の匿名化管理方法。
【請求項３】
検体試料に付加された第１の識別情報に基づき、前記検体試料から得られた第２の情報を第１の記憶手段に格納するための第３の識別情報を、前記第１の識別情報を当該第３の識別情報に固有の暗号化アルゴリズムによって暗号化することによって生成した後、前記第２の情報を前記第３の識別情報に対応付けて第１のデータベースに格納する第１の手段と、
前記検体試料に付加された第１の識別情報に基づき、前記検体試料の提供元となった第３の情報を第２の記憶手段に格納するための第４の識別情報を、前記第１の識別情報を当該第４の識別情報に固有の暗号化アルゴリズムによって暗号化することによって生成した後、前記第３の情報を前記第４の識別情報に対応付けて第２のデータベースに格納する第２の手段とを備え、
前記第２の情報と第３の情報にそれぞれ対応して生成した前記第３の識別情報と第４の識別情報によって前記第２の情報と第３の情報とを匿名化して管理することを特徴とする検体試料の匿名化管理システム。
【請求項４】
前記第３の情報を受信したことを契機に当該第３の情報に対応付けて前記第２のデータベースに格納されている前記第４の識別情報を取得し、取得した第４の識別情報を固有の暗号化アルゴリズムによって復号することによって前記第１の識別情報を生成する第３の手段と、
生成された第１の識別情報に基づき前記第１のデータベースを検索し、第１の識別情報に対応した第２の情報を取得する第４の手段とを備え、
前記第３の情報から第２の情報を参照表示することを特徴とする請求項３に記載の検体試料の匿名化管理システム。
【請求項５】
検体試料に関する情報を匿名化して管理する装置に以下のステップを実行させるためのコンピュータプログラムであって、
検体試料に付加された第１の識別情報に基づき、前記検体試料から得られた第２の情報を第１の記憶手段に格納するための第３の識別情報を、前記第１の識別情報を当該第３の識別情報に固有の暗号化アルゴリズムによって暗号化することによって生成した後、前記第２の情報を前記第３の識別情報に対応付けて第１のデータベースに格納するステップと、
前記検体試料に付加された第１の識別情報に基づき、前記検体試料の提供元となった第３の情報を第２の記憶手段に格納するための第４の識別情報を、前記第１の識別情報を当該第４の識別情報に固有の暗号化アルゴリズムによって暗号化することによって生成した後、前記第３の情報を前記第４の識別情報に対応付けて第２のデータベースに格納するステップとを実行させ、
前記第２の情報と第３の情報にそれぞれ対応して生成した前記第３の識別情報と第４の識別情報によって前記第２の情報と第３の情報とを匿名化して管理することを特徴とするコンピュータプログラム。
【請求項６】
前記第３の情報を受信したことを契機に当該第３の情報に対応付けて前記第２のデータベースに格納されている前記第４の識別情報を取得し、取得した第４の識別情報を固有の暗号化アルゴリズムによって復号することによって前記第１の識別情報を生成するステップと、
生成された第１の識別情報に基づき前記第１のデータベースを検索し、第１の識別情報に対応した第２の情報を取得するステップを実行し、
前記第３の情報から第２の情報を参照表示することを特徴とする請求項５に記載のコンピュータプログラム。
【手続補正２】
【補正対象書類名】明細書
【補正対象項目名】全文
【補正方法】変更
【補正の内容】
【発明の詳細な説明】
【発明の名称】検体試料の匿名化管理方法およびシステム並びにプログラム
【技術分野】
【０００１】
本発明は、遺伝情報などの個人特有の属性情報である生体情報などに関わる試料保管時の二重匿名化管理技術に関し、特に複数施設間でセキュリティ向上のための二重匿名化管理方法およびシステムに関するものである。
【背景技術】
【０００２】
生命科学分野において、近年の測定機器や実験手法の発達により、生物個体における遺伝学的な多様性や、様々な状態における生体臓器・組織・細胞の特徴を、膨大な種類の分子や変異の存在（頻度）として得ることが可能となった。
【０００３】
これらの情報や、身長、体重、血圧、血糖値などの健康管理情報や遺伝子の配列やタイプなどの遺伝情報などの個人特有の属性情報である生体情報は、疾患の原因に関する遺伝的特性を解析するために、非常に重要な資源である。
近年これらの生体情報を集積し、遺伝的疾患等の研究に使用するバイオバンクが確立されつつあるが、これらの情報は匿名化された上で厳重に管理されている。これらの情報は必要な場合にデータの個人を識別できるように匿名化される。すなわち、個人と識別番号が一覧になった表を作成することで、後から個人が特定できるようにしておき、研究結果の通知やインフォームドコンセントの同意撤回に対応する。
【先行技術文献】
【特許文献】
【０００４】
【特許文献１】特開２００９−９３５３８号公報
【発明の開示】
【発明が解決しようとする課題】
【０００５】
しかしながら、試料取り扱い時、個人を特定できてしまう識別番号（ＩＤ）が、試料に直接ラベル等で貼り付けられていた場合、個人を特定できる対応表を知っている人物にあっては個人を簡単に特定できてしまうという問題があった。また、試料は試料を取得する場所から試料を測定する場所へ輸送され、さらに試料を保管する場所へと移動する。その際、サンプルに試料ＩＤの記載したラベルが直接貼られているため、このラベルを見られた場合、あとの生体情報のデータベース上の試料ＩＤと照合することによって、個人の生体情報が特定されてしまうという課題があった。
【０００６】
本発明の目的は、個人情報と生体情報（検査結果情報）が特定されないように検体試料を匿名化して試料管理をすることでが可能な匿名化管理方法及びシステム並びにコンピュータプログラムを提供することある。
【０００７】
上記課題を解決するために、本発明に係る検体試料の匿名化管理方法は、検体試料に関する情報を匿名化して管理する装置が、
検体試料に付加された第１の識別情報に基づき、前記検体試料から得られた第２の情報を第１の記憶手段に格納するための第３の識別情報を、前記第１の識別情報を当該第３の識別情報に固有の暗号化アルゴリズムによって暗号化することによって生成した後、前記第２の情報を前記第３の識別情報に対応付けて第１のデータベースに格納するステップと、前記検体試料に付加された第１の識別情報に基づき、前記検体試料の提供元となった第３の情報を第２の記憶手段に格納するための第４の識別情報を、前記第１の識別情報を当該第４の識別情報に固有の暗号化アルゴリズムによって暗号化することによって生成した後、前記第３の情報を前記第４の識別情報に対応付けて第２のデータベースに格納するステップとを実行し、前記第２の情報と第３の情報にそれぞれ対応して生成した前記第３の識別情報と第４の識別情報によって前記第２の情報と第３の情報とを匿名化して管理することを特徴とする。
また、検体試料に関する情報を匿名化して管理する装置が、前記第３の情報を受信したことを契機に当該第３の情報に対応付けて前記第２のデータベースに格納されている前記第４の識別情報を取得し、取得した第４の識別情報を固有の暗号化アルゴリズムによって復号することによって前記第１の識別情報を生成するステップと、生成された第１の識別情報に基づき前記第１のデータベースを検索し、第１の識別情報に対応した第２の情報を取得するステップを実行し、前記第３の情報から第２の情報を参照表示することを特徴とする。
また、本発明に係る検体試料の匿名化管理システムは、検体試料に付加された第１の識別情報に基づき、前記検体試料から得られた第２の情報を第１の記憶手段に格納するための第３の識別情報を、前記第１の識別情報を当該第３の識別情報に固有の暗号化アルゴリズムによって暗号化することによって生成した後、前記第２の情報を前記第３の識別情報に対応付けて第１のデータベースに格納する第１の手段と、前記検体試料に付加された第１の識別情報に基づき、前記検体試料の提供元となった第３の情報を第２の記憶手段に格納するための第４の識別情報を、前記第１の識別情報を当該第４の識別情報に固有の暗号化アルゴリズムによって暗号化することによって生成した後、前記第３の情報を前記第４の識別情報に対応付けて第２のデータベースに格納する第２の手段とを備え、前記第２の情報と第３の情報にそれぞれ対応して生成した前記第３の識別情報と第４の識別情報によって前記第２の情報と第３の情報とを匿名化して管理することを特徴とする。
また、前記第３の情報を受信したことを契機に当該第３の情報に対応付けて前記第２のデータベースに格納されている前記第４の識別情報を取得し、取得した第４の識別情報を固有の暗号化アルゴリズムによって復号することによって前記第１の識別情報を生成する第３の手段と、生成された第１の識別情報に基づき前記第１のデータベースを検索し、第１の識別情報に対応した第２の情報を取得する第４の手段とを備え、前記第３の情報から第２の情報を参照表示することを特徴とする。
また、本発明に係るコンピュータプログラムは、検体試料に関する情報を匿名化して管理する装置に以下のステップを実行させるためのコンピュータプログラムであって、
検体試料に付加された第１の識別情報に基づき、前記検体試料から得られた第２の情報を第１の記憶手段に格納するための第３の識別情報を、前記第１の識別情報を当該第３の識別情報に固有の暗号化アルゴリズムによって暗号化することによって生成した後、前記第２の情報を前記第３の識別情報に対応付けて第１のデータベースに格納するステップと、前記検体試料に付加された第１の識別情報に基づき、前記検体試料の提供元となった第３の情報を第２の記憶手段に格納するための第４の識別情報を、前記第１の識別情報を当該第４の識別情報に固有の暗号化アルゴリズムによって暗号化することによって生成した後、前記第３の情報を前記第４の識別情報に対応付けて第２のデータベースに格納するステップとを実行させ、前記第２の情報と第３の情報にそれぞれ対応して生成した前記第３の識別情報と第４の識別情報によって前記第２の情報と第３の情報とを匿名化して管理することを特徴とする。
また、前記第３の情報を受信したことを契機に当該第３の情報に対応付けて前記第２のデータベースに格納されている前記第４の識別情報を取得し、取得した第４の識別情報を固有の暗号化アルゴリズムによって復号することによって前記第１の識別情報を生成するステップと、生成された第１の識別情報に基づき前記第１のデータベースを検索し、第１の識別情報に対応した第２の情報を取得するステップを実行し、前記第３の情報から第２の情報を参照表示することを特徴とする。
要するに、匿名化の必要がある情報ごとに、固有の識別情報を固有の暗号化アルゴリズムによって生成し、生成した固有の識別情報に対応付けて匿名化の必要がある情報をそれぞれデータベースに格納するように構成したものである。
【発明の効果】
【０００８】
本発明によれば、匿名化の必要がある情報ごとに、固有の識別情報を固有の暗号化アルゴリズムによって生成し、生成した固有の識別情報に対応付けて匿名化の必要がある情報をそれぞれデータベースに格納するように構成したため、実サンプルに付加された（貼り付けられた、添付された）、生体情報等の匿名化が必要な情報が第三者が視認できる識別情報とは別の識別情報に紐つけて保管され、匿名性が保たれる。また、実サンプの識別ＩＤを他の識別ＩＤへ張替えるなどの必要がなくなる。したがって、個人情報と生体情報（検査結果情報）が特定されないように検体試料を匿名化して試料管理をすることでが可能になり、個人情報が特定されない。
【図面の簡単な説明】
【０００９】
【図１】本発明に係る検体試料の二重匿名化管理システムの第１の実施形態を示すブロック図である。
【図２】本発明に係る生体識別情報の生成処理と、生体識別情報から試料ＩＤの復号処理を示すフローチャートである。
【図３】本発明に係る個人識別情報の生成処理と、個人識別情報から試料ＩＤの復号処理を示すフローチャートである。
【図４】本発明に係るデータベースの格納情報の例を示す図である。
【図５】本発明に係る生体情報参照処理の適用例を示すシステム構成図である。
【図６】本発明に係る生体情報参照処理の一例を示すフローチャートである。
【図７】本発明に係る個人情報登録情報の他の例を示す図である。
【図８】本発明に係る個人情報参照問い合わせ画面の一例を示す図である。
【図９】本発明に係る生体情報参照処理の一例を示すフローチャートである。
【発明を実施するための形態】
【００１０】
以下、本発明による一実施の形態について説明する。
図１は、本発明に係る試料保管時の二重匿名管理システムの一実施の形態の全体構成を示すシステム構成図である。
本システムは、生体情報を管理する生体情報管理機関１１０、個人情報を管理する個人情報管理機関１２０、試料を保管・管理する試料情報管理機関１３０とから構成されている。
生体情報管理機関１１０は、試料１０１の検査の結果である生体情報を保管し管理する生体情報管理データベース１１５、試料１０１と生体情報とを関連付けるための生体識別ＩＤ１１４を、試料１０１に貼り付けられた（または添付された）試料ＩＤ１０２から暗号化処理部（暗号化アルゴリズムＡ１１３）の暗号化プログラムＡ１１２により生成する生体情報管理機関端末１１１から構成されている。
個人情報管理機関１２０は、試料１０１の提供者の個人情報を保管し管理する個人情報管理データベース１２５、試料１０１と個人情報を関連付けるための個人識別Ｄ１２４を、試料ＩＤ１０２から暗号化処理部（暗号化アルゴリズムＢ１２３）の暗号化プログラムＢ１２２により生成する個人情報管理機関端末１２１から構成されている。
試料情報管理機関１３０は、試料１０１と試料ＩＤ１０２と試料情報を保管し管理する試料情報管理データベース１３５から構成されている。
【００１１】
図４に、各データベース１１５、１２５、１３５に格納される情報の例を示す。
生体情報管理データベース１１５は、試料１０１の検査結果である生体情報１１５１と生体識別ＩＤ１１４を紐づけて管理する（図４（ａ））。生体識別ＩＤは、暗号化アルゴリズムＡ１１３の暗号化プログラムＡ１１２により試料１０１に付された試料ＩＤ１０２を暗号化して生成した識別番号である。
【００１２】
生体情報管理データベース１１５に格納される生体情報は、生体識別ＩＤ１１４に対応した試料１０１の検査結果であり、例えば、採取した血液や細胞に基づく遺伝子や疾患に関する検査結果が考えられる。
個人情報管理データベース１２５では、個人情報１２５１と個人識別ＩＤ１２４を紐づけて管理する（図４（ｂ））。個人識別ＩＤは、暗号化アルゴリズムＢ１２３の暗号化プログラムＢ１２２により試料１０１に付された試料ＩＤ１０２を暗号化して生成した識別番号である。個人情報は、個人識別ＩＤに対応し、試料１０１を採取した個体に関する情報であり、例えば、個人名、性別、生年月日等が考えられる。
試料情報管理データベース１３５では、試料情報１３５１と試料ＩＤ１０２を紐づけて管理する（図４（ｃ））。試料ＩＤ１０２は試料１０１を一意に識別する識別番号である。識別ＩＤは文字により生成される値、バーコード等、一意に識別できるものであればいずれでも良い。試料情報１３５１は、試料ＩＤ１０２に対応した試料１０１に関する情報であり、試料の保管開始日や保管場所、採取日等が考えられる。
【００１３】
以上の構成において、試料１０１に基づく生体情報１１５１を生体情報管理データベース１１５で管理し、試料１０１に関する個人情報１２５１が個人情報管理データベース１２５で管理され、試料１０１の実体が試料情報管理データベース１３５で管理される過程を説明する。
図２（ａ）に、生体情報管理データベース１１５へのデータ登録処理をフローチャートで示す。
まず、採取された試料１０１に付された試料ＩＤ１０２が、生体情報管理機関１１０の生体情報管理機関端末１１１と接続された読取装置（バーコードリーダー等）によって読み取られる。生体情報管理機関端末１１１の送受信部は、読み取られた試料ＩＤ１０２を受信する。生体情報管理機関端末１１１の暗号化処理部１１３は送受信部から試料ＩＤ１０２を取得すると（ステップ２０２）、暗号化アルゴリズムＡ１１３の暗号化プログラムＡ１１２により、試料ＩＤ１０２を暗号化する（ステップ２０３）。暗号化されたＩＤ（生体識別ＩＤ１１４）を生体情報管理データベース１１５に登録する（ステップ２０４）。
試料ＩＤ１０２が生成、登録された試料１０１は続けて、生体情報管理機関１１０において図示されていない生体分析装置等により生体情報１１５１が測定される。測定された生体情報１１５１は、生体識別ＩＤ１１４と紐づけられ生体情報管理データベース１１５に登録される（ステップ２０５）。
【００１４】
図３（ａ）に、個人情報管理データベース１２５へのデータ登録処理をファイルで示す。
まず、試料１０１に付された試料ＩＤ１０２が、個人情報管理機関１２０の個人情報管理機関端末１２１と接続された読取装置（バーコードリーダー等）によって読み取られる。
個人情報管理機関端末１２１の送受信部１２６は、読み取られた試料ＩＤ１０２を受信する。次に個人情報管理機関端末１２１の暗号化処理部１２３は送受信部１２６から試料ＩＤ１０２を取得すると（ステップ３０２）、暗号化アルゴリズムＢの暗号化プログラムＢ１２２により、試料ＩＤを暗号化する（ステップ３０３）。暗号化されたＩＤ（個人識別ＩＤ１２４）を個人情報管理データベース１２５に登録する（ステップ３０４）。試料１０１を採取した個体に関する個人情報１２５１は、個人情報管理機関１２０において予め登録されている。
【００１５】
取得された個人情報は、個人識別ＩＤ１２４と紐づけられ個人情報管理データベース１２５に登録される（ステップ３０４）。
なお、生体情報１１５１は生体情報管理機関端末１１１で直接入力されても、試料採取時に登録された情報を受信して登録しても良い。
次に、試料情報管理データベース１３５へのデータ登録処理について説明する。
【００１６】
まず、試料１０１に付された試料ＩＤ１０２が、試料情報管理機関１３０の試料情報管理機関端末１３１と接続された読取装置（バーコードリーダー等）によって読み取られる。試料情報管理機関端末１３１の送受信部１３３は、読み取られた試料ＩＤ１０２を受信する。
試料情報管理機関端末１３１の登録部１３２は、送受信部１３３から試料ＩＤ１０２を取得すると、試料情報１３５１を試料ＩＤ１０２に紐づけ、試料情報管理ＤＢ１３５に登録すると共に、実試料を保管する。試料情報には、試料情報管理機関端末１３１から直接入力されるデータ(管理開始日や保管場所等)や、試料採取時に登録された情報を受信して登録されるデータ(採取日等)がある。
なお、これらのデータ登録処理では機関毎に試料ＩＤ１０２を読み取る例で記載したが、最初に試料１０１を受け取った機関で読み取った試料ＩＤを、その後に処理をおこなう機関へ送信する構成としても良い。
【００１７】
以上の構成により、生体情報管理データベース１１５で保管された生体情報１１５１は試料１０１にラベルされた試料ＩＤ１０２と別の識別情報１１４で保管されることとなる。すなわち、個人識別ＩＤ１２４から試料ＩＤ１０２に紐づき、試料ＩＤ１０２から生体識別ＩＤ１１４と紐づく形となり、二重に匿名化される。
【００１８】
生体識別ＩＤ１１４と試料ＩＤ１０２は暗号化アルゴリズムＡ１１３によって紐づけられるため、暗号化アルゴリズムＡ１１３を利用可能なもののみ紐づき可能となり、試料ＩＤ１１２のみを取得しても、個人を特定することはできない。
個人識別ＩＤ１２４と試料ＩＤ１０２は暗号化アルゴリズムＢ１２３によって紐づけられるため、暗号化アルゴリズムＢ１２３を利用可能なもののみ紐づき可能となり、試料ＩＤ１０２のみを取得しても、個人を特定することはできない。
【００１９】
生体情報管理データベース１１５で生体情報１１５１と生体識別ＩＤ１１４が漏えいした場合でも、個人識別ＩＤとは結びつかないため、個人が特定されることはない。
また、個人情報管理データベース１２５で個人識別ＩＤ１２４と個人情報が漏えいした場合でも、生体識別情報１１４とは結びつかないため、生体情報１１５１が個人と特定されることはない。
また、仮に暗号化アルゴリズムＡ１１３が漏えいしたとしても、そのアルゴリズムを用いても復号できるのは生体情報管理データベース１１５の情報であり、個人情報管理データベース１２５の情報を復号することができないので、個人情報が保護される。
【００２０】
また、生体情報１１５１や個人情報１２５１から、試料を特定したい場合は、復号処理を行う。
図２（ｂ）に、生体情報１１５１から試料ＩＤを取得する処理をフローチャートで示す。
生体情報管理機関端末１１１の暗号化処理部１１３は生体識別ＩＤ１１４を生体情報管理ＤＢ１１５から取得すると（ステップ２０６）、暗号化アルゴリズムＡ１１３の暗号化プログラムＡ１１２により、試料ＩＤを復号化する（ステップ２０７）。そして、復号化したＩＤ（試料ＩＤ１０２）を生体情報管理機関端末１１１に表示する（ステップ２０８）。表示された試料ＩＤ１０１を試料情報管理機関１３０に送信し、照会する。
【００２１】
図３（ｂ）に、個人情報１２５１から試料ＩＤ１０２を取得する処理をフローチャートで示す。
個人情報管理機関端末１２１の暗号化処理部１２３は個人情報管理ＤＢ１２４から個人識別ＩＤ１２４を取得すると（ステップ３０６）、暗号化アルゴリズムＢ１２３の暗号化プログラムＢ１２２により、試料ＩＤ１０２を復号化する（ステップ３０７）。しして、復号化したＩＤ（試料ＩＤ１０２）を個人情報管理機関端末１２１に表示する（ステップ３０８）。表示された試料ＩＤ１０１を試料情報管理機関１３０に送信し、試料１０２の保存日、保存場所等を照会する。
【００２２】
次に、本システムに登録された生体情報等を参照する実施形態について説明する。
図５は、その実施形態を示す構成図である。
利用者が医療機関８０１やサービス機関８０２で受けた検査の結果、個人情報、及び試料（検体）は、前述の通りの処理を経て、生体情報管理機関１１０、個人情報管理機関１２０、試料情報管理機関１３０に各々登録されている。なお、医療機関８０１やサービス機関８０２は、自らの機関内で検査受付〜採取〜分析まで行う場合もあれば、検査〜採取までは行うものの実際の検査（試料の分析）は外部機関に委託する場合もある。
図６に、生体情報を参照する処理の一例を示す。
【００２３】
検査を受けた利用者が医療機関８０１に診察に訪れると、医師等は、まずその利用者の試料ＩＤを取得するために、その利用者の個人情報（氏名や生年月日等）を、医療機関８０１の端末から個人情報管理機関１２０へ送信し、検査結果（生体情報）の取得を要求する（Ｓ５０１）。送信する個人情報は氏名だけでも良いが、同姓同名による重複を避けるため生年月日等の他の個人情報と組み合わせる方が良い。また、個人情報を入力する代わりに医療機関８０１における利用者の識別ＩＤを入力し、その識別ＩＤに基づき医療機関の患者ＤＢ（図示していない）から取得した氏名等の個人情報を、個人情報管理機関１２０へ送信しても良い。
【００２４】
個人情報管理機関１２０が個人情報を受信すると、受信した個人情報に該当する記録がないか、個人情報管理ＤＢ１２５を検索する。該当する記録がなかった場合、その旨を医療機関８０１に対し、送信する。医療機関８０１の端末の表示部には「該当する個人情報はありません。入力データを見直してください。」等のメッセージが表示される。該当するレコードが存在した場合は、個人識別ＩＤを取得する（Ｓ５０２）。
個人情報管理機関１２０は、取得した個人識別ＩＤを暗号化処理部で復号し、試料ＩＤ１０２を生成する（Ｓ５０３）。生成した試料ＩＤ１０２は、医療機関８０１の端末に送信される（Ｓ５０４）。
【００２５】
試料ＩＤ１０２を受信した医療機関８０１端末は、次に、生体情報管理機関１１０に試料ＩＤ１０２を送信し、生体情報（検査結果）１１５１の送信を要求する（Ｓ５０５）。ここでは、直接、個人情報管理機関１２０から生体情報管理機関１１０に試料ＩＤ１０２を送信して生体情報１１５１を取得することも可能であるが、個人情報管理機関１２０と生体情報管理機関１１０の間で情報をやりとりすると、せっかく分離して匿名化した個人情報１２５１と生体情報１１５１が連結してしまうおそれがある。そのために、個人情報管理機関１２０は医療機関８０１の端末とのみ通信し、生体情報管理機関１１０に指示を出すのは医療機関８０１端末となるように構成している。
生体情報管理機関１１０が医療機関８０１の端末から試料ＩＤ１０２を受信すると、試料ＩＤ１０２は暗号化処理部１１３の暗号化アルゴリズムＡを用いて暗号化し、生体識別ＩＤ１１４を生成する（Ｓ５０６）。
【００２６】
次に、生成した生体識別ＩＤ１１４に該当するレコードがないか、生体情報管理ＤＢを検索する。該当するレコードがなかった場合、その旨を医療機関８０１に送信する。医療機関８０１の端末の表示部には「対象者の検査結果は登録されていません。」等のメッセージが表示される。該当するレコードが存在した場合は、そのレコードの生体情報１１５１を取得する（Ｓ５０７）。
【００２７】
取得した生体情報１１５１は、生体情報管理機関１１０の端末から医療機関８０１の端末へ、問い合わせのあった試料ＩＤに関連する生体情報として送信される（Ｓ５０８）。
医療機関８０１の端末は、受信した生体情報を、診察に来た利用者の検査結果として画面に表示するなどして、診察に利用する（Ｓ５０９）。
【００２８】
上記実施形態の場合、例えば、利用者が本システムを利用した複数の医療機関で検査を受けている場合、生体情報管理ＤＢには、生体識別ＩＤは異なるものの同じ個人情報が複数登録されることになる。このように構成することで、医師は様々な医療機関での結果を横断的に参照することができ、より適切な診断や治療ができるというメリットもあるが、一方で、利用者側からみれば他の医療機関での検索結果まで見られたくないかもしれない。よって、医療機関によって参照できる生体情報を制限し、また、参照できる検査項目を制限する仕組みも必要である。この点を考慮したものが第２の実施形態の構成である。
【００２９】
第２の実施形態では、図７に例示するような個人情報を用いる。図４（ｂ）と異なるのは、検査機関ＩＤ７０１を新たに付加した点である。検査機関ＩＤ７０１は、利用者が検査を依頼した医療機関やサービス機関を一意に識別するＩＤである。
検査を受けた利用者が医療機関に診察に訪れると、医師等は、まずその利用者の試料ＩＤを取得するために、図８に示すような検査結果取得画面から、その利用者の個人情報（前述の通り医療機関における利用者の識別ＩＤを用いても良い）と検査を受付けた医療機関やサービス機関のＩＤ（検査機関ＩＤ）、参照する検査項目の情報を入力し、問い合わせを実行するボタンを押下する。押下を受け付けると医療機関端末は、図９のフローチャートに示すように、入力された個人情報と検査機関ＩＤを、医療機関の端末から個人情報管理機関１２０へ送信し、検査結果（生体情報）の取得を要求する（Ｓ９０１）。
【００３０】
個人情報管理機関１２０が個人情報等を受信すると、受信した個人情報と検査機関ＩＤに基づき、医療機関やサービス機関のＩＤに該当する検査機関ＩＤを有し、かつ、受け取った個人情報に該当するレコードがないか、個人情報管理ＤＢを検索する。該当するレコードがなかった場合、その旨を医療機関送信し、該当する個人情報が登録されていないことを結果として返す。医療機関８０１端末の表示部には「該当する個人情報はありません。入力データを見直してください。」等のメッセージが表示される。該当するレコードが存在した場合は、個人情報管理機関１２０の検索部はそのレコードの個人識別ＩＤ１０４を個人情報管理ＤＢから取得する（Ｓ９０２）。
そして、検索部が取得した個人識別ＩＤ１０４から暗号化処理部に入力し、試料ＩＤ１０２を復号して生成する（Ｓ９０３）。生成した試料ＩＤは、医療機関８０１の端末に送信される（Ｓ９０３）。
【００３１】
試料ＩＤを受信した医療機関８０１の端末は次に、生体情報管理機関１１０に対し、個人情報管理機関１２０から受信した試料ＩＤ１０２と医師等によって端末に入力された検査項目を生体情報管理機関１１０に送信し、生体情報（検査結果）１１５の返信を要求する（Ｓ９０５）。
生体情報管理機関１１０が医療機関８０１から試料ＩＤを受信すると、受信した試料ＩＤ暗号化アルゴリズム１１３を用いて暗号化し、生体識別ＩＤ１１４を生成する（Ｓ９０６）。
生体情報管理機関１１０では生成した生体識別ＩＤ１１４該当するレコードがないか、生体情報管理ＤＢ１１５を検索する。該当するレコードがなかった場合、その旨を医療機関８０１に返信する。医療機関８０１の端末の表示部には「対象者の検査結果は登録されていません。」等のメッセージが表示される。該当するレコードが存在した場合は、そのレコードから、参照要求のあった検査項目の生体情報１１５１を取得する（Ｓ９０７）。
取得した生体情報１１５１は、生体情報管理機関１１０から医療機関８０１の端末へ、問い合わせのあった試料ＩＤに関連する生体情報１１５１として送信される（Ｓ９０８）。
【００３２】
医療機関８０１は、受信した生体情報１１５１を診察に来た利用者の検査結果として画面に表示するなどして、診察に利用する（Ｓ９０９）。なお、参照要求を出した検査項目の値がブランクであった場合は、「未検査」等に置き換えて表示しても良い。
なお、医療機関８０１から問い合わせ開始時に検査項目の指定が入力されなかった場合は、該当する利用者の指定の医療機関等における検査結果を全て取得しても良いし、Ｓ９０８において、まずは生体情報管理機関１１０に登録されていた検査項目の一覧だけ送信し、一覧を受信した医療機関端末はそれを表示して、医師等が選択した検査項目について、登録された値を生体情報管理機関１１０に送信要求し、表示するようにしても良い。
また、以上で説明した処理はコンピュータで実行可能なプログラムとして提供することができる。
【符号の説明】
【００３３】
１０１…試料
１０２…試料ＩＤ
１１０…生体情報管理機関
１１１…生体情報管理機関端末
１１２…プログラムＡ
１１３…暗号化アルゴリズムＡ
１１４…生体識別ＩＤ
１１５…生体情報管理データベース
１２０…個人情報管理機関
１２１…個人情報管理機関端末
１２２…プログラムＢ
１２３…暗号化アルゴリズムＢ
１２４…個人識別ＩＤ
１２５…個人情報管理データベース
１３０…試料情報管理機関
１３１…試料情報管理機関端末
１３５…試料情報管理データベース
【手続補正３】
【補正対象書類名】図面
【補正対象項目名】図１
【補正方法】変更
【補正の内容】
【図１】
2015032077.tif 000001
【手続補正４】
【補正対象書類名】図面
【補正対象項目名】図８
【補正方法】変更
【補正の内容】
【図８】
2015032077.tif 000002