(57)【特許請求の範囲】
【請求項１】
処理システムにより実施される方法であって、
患者のメタデータ・ツリー上の第１の電子健康記録の第１の位置を判定するステップと、
前記第１の位置と、第１のプロバイダーに対応する第１のプロバイダー・キーとに基づいて、前記第１の電子健康記録のための第１のレコード・キーを生成するステップであって、前記第１のプロバイダー・キーは、前記患者に対応する患者キーと、前記第１のプロバイダーに対応する第１のプロバイダー識別子とに基づいて生成される、前記第１の電子健康記録のための第１のレコード・キーを生成するステップと、
前記第１のレコード・キーを使用して前記第１の電子健康記録を暗号化し、第１の暗号化電子健康記録を生成するステップと、
前記第１の暗号化電子健康記録を暗号化データ記憶装置に提供するステップと
を含む方法。
【請求項２】
前記暗号化データ記憶装置上の前記第１の暗号化電子健康記録への第１の参照を含むように、前記メタデータ・ツリー上の前記第１の位置を更新するステップと、
前記メタデータ・ツリーを、第２のプロバイダーによりアクセス可能なメタデータ記憶装置に提供するステップと
をさらに含む、請求項１に記載の方法。
【請求項３】
前記メタデータ・ツリー上の第２の位置が、前記暗号化データ記憶装置上の第２の暗号化電子健康記録への第２の参照を含み、前記第２の暗号化電子健康記録は、前記第２のプロバイダーにより生成され、前記第２のプロバイダーは、前記第１のプロバイダーとは提携していない、請求項２に記載の方法。
【請求項４】
前記第２の暗号化電子健康記録のための第２のレコード・キーを受け取るステップであって、前記第２のレコード・キーが、前記第２の参照を含む前記メタデータ・ツリー上の前記第２の位置と、前記第２のプロバイダーに対応する第２のプロバイダー・キーとに基づいて生成され、前記第２のプロバイダー・キーが、前記患者キーと、前記第２のプロバイダーに対応する第２のプロバイダー識別子とから生成される、前記第２の暗号化電子健康記録のための第２のレコード・キーを受け取るステップと、
前記暗号化データ記憶装置から前記第２の暗号化電子健康記録を取得するステップと、
前記第２のレコード・キーを使用して前記第２の暗号化電子健康記録の暗号化を解除するステップと
をさらに含む、請求項３に記載の方法。
【請求項５】
前記患者の前記メタデータ・ツリー上の第２の電子健康記録の第２の位置を判定するステップと、
前記第２の位置と、前記第１のプロバイダー・キーとに基づいて、前記第２の電子健康記録のための第２のレコード・キーを生成するステップと、
前記第２のレコード・キーを使用して前記第２の電子健康記録を暗号化し、第２の暗号化電子健康記録を生成するステップと、
前記第２の暗号化電子健康記録を前記暗号化データ記憶装置に提供するステップと
をさらに含む、請求項１に記載の方法。
【請求項６】
前記第１のレコード・キーが、前記第２のレコード・キーとは異なり、前記第１のレコード・キーは、前記第２の暗号化電子健康記録の暗号解除には使用できず、前記第２のレコード・キーは、前記第１の暗号化電子健康記録の暗号解除には使用できない、請求項５に記載の方法。
【請求項７】
処理システムであって、
一組の一以上のプロセッサと、
一組の命令を記憶するメモリであって、前記一組の命令が、前記一組のプロセッサにより実行されたときに、前記一組のプロセッサに、
暗号化データ記憶装置上の第１の暗号化電子健康記録に対応する、患者のメタデータ・ツリー上の第１の位置を判定させ、
前記第１の位置と、第１のプロバイダーに対応する第１のプロバイダー・キーとに基づいて、前記第１の暗号化電子健康記録のための第１のレコード・キーを生成させ、前記第１のプロバイダー・キーは、前記患者に対応する患者キーと、前記第１のプロバイダーに対応する第１のプロバイダー識別子とに基づいて生成され、
前記暗号化データ記憶装置上の前記第１の暗号化電子健康記録への第１の参照を使用して、前記暗号化データ記憶装置から前記第１の暗号化電子健康記録を取得させ、前記第１の参照が、前記メタデータ・ツリー上の前記第１の位置に含まれ、
前記第１のレコード・キーを使用して前記第１の暗号化電子健康記録の暗号化を解除させるように構成される、一組の命令を記憶するメモリと
を含む処理システム。
【請求項８】
前記メタデータ・ツリー上の第２の位置は、前記暗号化データ記憶装置上の第２の暗号化電子健康記録への第２の参照を含み、前記第２の暗号化電子健康記録は、第２のプロバイダーにより生成され、前記第２のプロバイダーは、前記第１のプロバイダーとは提携していない、請求項７に記載の処理システム。
【請求項９】
前記第１のレコード・キーは、前記第２の暗号化電子健康記録の暗号解除には使用できず、第２のレコード・キーは、前記第２の暗号化電子健康記録の暗号解除に使用可能であり、前記第２のレコード・キーは、前記第１の暗号化電子健康記録の暗号解除には使用できない、請求項８に記載の処理システム。
【請求項１０】
前記一組の命令が、前記一組のプロセッサにより実行されたときに、前記一組のプロセッサに、前記患者、前記第１のプロバイダー、及び、前記第１のプロバイダーとは提携していない第２のプロバイダーによってアクセス可能なメタデータ記憶装置から前記メタデータ・ツリーを取得させるように構成される、請求項７に記載の処理システム。
【請求項１１】
命令が記憶された機械読取可能な記憶媒体であって、前記命令が、処理システムにより実行されたときに、前記処理システムに、
第１のプロバイダーにより生成された暗号化データ記憶装置上の第１の暗号化電子健康記録に対応する患者のメタデータ・ツリー上の第１の位置を判定させ、
前記第１の暗号化電子健康記録のための第１のレコード・キーであって、前記第１の位置と、前記第１のプロバイダーに対応する第１のプロバイダー・キーとに基づいて生成された第１のレコード・キーを受信させ、前記第１のプロバイダー・キーは、前記患者に対応する患者キーと、前記第１のプロバイダーに対応する第１のプロバイダー識別子とに基づいて生成され、
前記暗号化データ記憶装置上の前記第１の暗号化電子健康記録への第１の参照を使用して、前記暗号化データ記憶装置から前記第１の暗号化電子健康記録を取得させ、前記第１の参照が、前記メタデータ・ツリー上の前記第１の位置に含まれ、
第２のプロバイダーにより、前記第１のレコード・キーを使用して、前記第１の暗号化電子健康記録の暗号化を解除させるように構成される、機械読取可能な記憶媒体。
【請求項１２】
前記メタデータ・ツリー上の第２の位置は、前記暗号化データ記憶装置上の第２の暗号化電子健康記録への第２の参照を含み、前記第２の暗号化電子健康記録は、前記第２のプロバイダーにより生成され、前記第２のプロバイダーは、前記第１のプロバイダーとは提携していない、請求項１１に記載の機械読取可能な記憶媒体。
【請求項１３】
前記第１のレコード・キーは、前記第２の暗号化電子健康記録の暗号解除には使用できず、第２のレコード・キーは、前記第２の暗号化電子健康記録の暗号解除に使用可能であり、前記第２のレコード・キーは、前記第１の暗号化電子健康記録の暗号解除には使用できない、請求項１２に記載の機械読取可能な記憶媒体。
【請求項１４】
前記命令が、前記処理システムにより実行されたときに、前記処理システムに、
前記第１のレコード・キーを前記第１のプロバイダーまたは前記患者に要求させ、
前記第１のプロバイダーまたは前記患者から前記第１のレコード・キーを受信させるように構成される、請求項１１に記載の機械読取可能な記憶媒体。
【発明の詳細な説明】
【技術分野】
【０００１】
関連出願の相互参照
本願は、２０１２年８月１５日に出願された「Ｓｅｃｕｒｅ  Ｓｔｏｒｉｎｇ  ａｎｄ  Ｓｈａｒｉｎｇ  ｏｆ  Ｅｌｅｃｔｒｏｎｉｃ  Ｍｅｄｉｃａｌ  Ｒｅｃｏｒｄｓ  ｉｎ  ｔｈｅ  Ｃｌｏｕｄ  Ｅｎｖｉｒｏｎｍｅｎｔ」と題する米国仮特許出願第６１／６８３，６９４号に基づく優先権を主張する。この米国仮特許出願の開示は、参照により本明細書に援用される。
【背景技術】
【０００２】
電子健康記録（ＥＨＲ：Ｅｌｅｃｔｒｏｎｉｃ  Ｈｅａｌｔｈ  Ｒｅｃｏｒｄｓ）によれば、ヘルスケア従事者（例えば、患者、ヘルスケア・プロバイダー、保険料支払者、及び研究者）は、ケアのコーディネート、及び健康情報へのアクセスを改善することができる。ＥＨＲによれば、ヘルスケア情報へのアクセスは容易になるが、ヘルスケア情報の共有は、多数の複雑な技術、及び法的問題を伴うことがある。こうした問題は、ヘルスケア情報の整合性、プライバシー、及びセキュリティを確保しつつ、そのような共有を可能にするためのリソース及び専門知識を持たないヘルスケア従事者にとって、負担となる場合がある。
【図面の簡単な説明】
【０００３】
【図１】電子健康記録記憶処理環境の一実施形態を示すブロック図である。
【図２】メタデータ・ツリー、及び暗号化データ記憶装置の一実施形態を示すブロック図である。
【図３】プロバイダー・システムの一実施形態を示すブロック図である。
【図４】プロバイダー・キーを使用して暗号化レコードを記憶する一実施形態を示す概略図である。
【図５】プロバイダー・キーを使用して暗号化レコードを取得する一実施形態を示す概略図である。
【図６】患者システムの一実施形態を示すブロック図である。
【図７】患者キーを使用して暗号化レコードを取得する一実施形態を示す概略図である。
【図８】共有キーを使用して暗号化レコードを取得する一実施形態を示す概略図である。
【発明を実施するための形態】
【０００４】
下記の詳細な説明では、添付の図面を参照する。図面は、本明細書の一部を形成し、その中に、例として、開示される対象を実施することが可能な種々の特定の実施形態が示される。本開示の範囲から外れることなく、他の実施形態が使用される場合があり、また、構造的及び論理的変更が施される場合があるものと理解すべきである。したがって、下記の詳細な説明は、制限の意味で解釈されるべきでなく、本開示の範囲は、添付の特許請求の範囲により規定される。
【０００５】
本明細書に記載する種々の実施形態によれば、複数のヘルスケア従事者（例えば、患者、ヘルスケア・プロバイダー、及び研究者）間におけるＥＨＲの安全でシームレスな共有を可能にする電子健康記録（ＥＨＲ）記憶処理環境が得られる。当該環境は、種々の患者の暗号化ＥＨＲを記憶する暗号化データ記憶装置と、暗号化データ記憶装置上の所与の患者のＥＨＲへのマッピングを提供する各患者についてのメタデータ・ツリーとを含む。各ＥＨＲは、暗号化データ記憶装置に記憶される前に、患者キー、プロバイダー・キー、及び、メタデータ・ツリー上のＥＨＲに対応する位置を使用して、一意的に暗号化される。各患者についてのメタデータ・ツリーは、ヘルスケア・プロバイダーのようなヘルスケア従事者にとって可視とされ、ヘルスケア従事者は、患者のＥＨＲを取得し、記憶することができる。
【０００６】
ＥＨＲを暗号化データ記憶装置に記憶することを可能にするために、各ヘルスケア・プロバイダーは、各患者について一意のプロバイダー・キー（本明細書では、Ｋpatient, providerと呼ばれる）を使用する。プロバイダー・キーは、患者の対応する患者キー（本明細書では、Ｋpatientと呼ばれる）及びプロバイダー識別子（本明細書では、プロバイダーＩＤと呼ばれる）に基づいて生成される。患者のＥＨＲを記憶するために、プロバイダーは、その患者のメタデータ・ツリーを取得し、メタデータ・ツリー上のＥＨＲの位置を判定する。次に、プロバイダーは、プロバイダー・キー、及びメタデータ・ツリー上の位置に基づいてレコード・キー（本明細書では、Ｋrecordと呼ばれる）を生成し、レコード・キーを使用してＥＨＲを暗号化し、暗号化されたＥＨＲを暗号化データ記憶装置に記憶し、メタデータ・ツリーを、判定された位置にあるＥＨＲへの参照を含むものとなるように更新する。また、プロバイダーは、レコード・キーを生成し、他のヘルスケア従事者がそのプロバイダーの代わりにＥＨＲを記憶することを可能にするために、そのレコード・キーを他のヘルスケア従事者と共有する場合がある。
【０００７】
患者のＥＨＲを取得するために、プロバイダーは、患者のメタデータ・ツリーを取得し、メタデータ・ツリー上のそのＥＨＲに対応する位置を判定する。もしそのプロバイダーがそのＥＨＲを生成したものである場合（例えば、そのＥＨＲがそのプロバイダーのレコードの一つである場合）、プロバイダーは、暗号化データ記憶装置からそのＥＨＲを取得し、プロバイダー・キー、及び、メタデータ・ツリー上のそのＥＨＲへの参照の位置に基づいてレコード・キーを生成し、レコード・キーを使用してそのＥＨＲの暗号化を解除する。もしプロバイダーがそのＥＨＲを生成したものではない場合（例えば、そのＥＨＲが他のプロバイダーにより生成された場合）、プロバイダーは、レコード・キーを他のプロバイダー又は患者に要求し、当該他のプロバイダー又は患者からレコード・キーを受け取り、暗号化データ記憶装置からそのＥＨＲを取得し、レコード・キーを使用してそのＥＨＲの暗号化を解除する。
【０００８】
プロバイダー・キー及びレコード・キーは、患者キーに基づいて生成されることから、患者は、メタデータ・ツリーを使用して、全てのプロバイダーから全てのレコードを取得する能力を有している。患者、並びに、ＥＨＲを生成するプロバイダーは、選択されたＥＨＲについてレコード・キーを生成し、レコード・キーを他のプロバイダーに提供することにより、他のプロバイダーとＥＨＲを共有する場合がある。他のプロバイダーは、患者のメタデータ・ツリーを使用して、取得を要求する対象となるＥＨＲを選択することができる。したがって、本明細書に記載する処理環境によれば、異なるヘルスケア施設からの種々のプロバイダーは、患者のＥＨＲを共通のデータ記憶装置に直接記憶し、選択されたＥＨＲへのアクセスを他のプロバイダーに与えることが可能となる。
【０００９】
本明細書において、用語「ヘルスケア従事者」（「従事者」とも呼ばれる）は、患者、ヘルスケア・プロバイダー、保険料支払者、研究者、又は、患者に対応するヘルスケア情報を生成し、及び／若しくは使用する患者のヘルスケアプロセスに携わる他の適当な者を意味する。用語「患者」は、ヘルスケア・プロバイダーから少なくとも１つのヘルスケア・サービスを受ける者を意味する。用語「ヘルスケア・プロバイダー」（「プロバイダー」とも呼ばれる）は、少なくとも１つのヘルスケア・サービスを患者に提供する者、及び／又は施設を意味する。
【００１０】
用語「電子健康記録」（ＥＨＲ）は、ヘルスケア従事者によって生成され、少なくとも１つの機械読取可能な記憶媒体に電子フォーマットで記憶された一組のヘルスケア情報を意味する。用語「暗号化電子健康記録」は、レコード・キーのような暗号化キーを使用して暗号化された電子健康記録を意味する。
【００１１】
用語「患者キー」は、患者の暗号化キーを意味する。用語「プロバイダー・キー」は、患者キー及びプロバイダー識別子に基づいて生成された暗号化キーを意味する。用語「レコード・キー」は、プロバイダー・キーと、患者のＥＨＲに対応する患者のメタデータ・ツリー上の位置とに基づいて生成された暗号化キーを意味する。用語「共有キー」は、患者から所与のＥＨＲを生成しなかったプロバイダーへ渡され、又は所与のＥＨＲを生成したプロバイダーから他の非提携（無所属）のプロバイダーへ渡されるレコード・キーを意味する。
【００１２】
用語「メタデータ」は、電子健康記録のような少なくとも１つのレコードを表す一組の情報を意味する。用語「メタデータ・ツリー」は、メタデータを含む一組のノードであって、各ノードが、当該一組のノード中の少なくとも１つの他のノードとの間に特定の関係を有するものを意味する。
【００１３】
図１は、電子健康記録記憶処理環境１０の一実施形態を示すブロック図である。環境１０は、患者システム２０と、一組のプロバイダー・システム３０（１）〜３０（Ｍ）（ただし、Ｍは２以上の整数）と、電子健康記録（ＥＨＲ）マネージャ４０と、電子健康記録（ＥＨＲ）記憶装置５０と、通信ネットワーク６０とを含む。患者システム２０、プロバイダー・システム３０、ＥＨＲマネージャ４０、及びＥＨＲ記憶装置５０は、通信ネットワーク６０を使用して互いに通信する。環境１０は、患者システム２０、プロバイダー・システム３０、ＥＨＲマネージャ４０、及びＥＨＲ記憶装置５０を形成するための任意の適当なタイプ、数、及び構成の処理システム、並びに、通信ネットワーク６０を形成するための任意の適当なタイプ、数、及び構成の通信装置を使用して実施される場合がある。
【００１４】
環境１０によれば、患者システム２０に対応する患者１２を含む種々の患者（他の患者、及び患者システムは図示されていない）のＥＨＲを作成し、管理する能力が得られる。一実施形態において、患者１２は、患者システム２０と対話することにより、患者マネージャ４２を使用している患者システム４０に登録される。患者マネージャ４２は、患者１２の患者情報を受け取り、患者データベース４４に記憶し、メタデータ記憶装置５６上の患者１２に対応するメタデータ・ツリー７０（図２に示されている）を初期化する。一部の実施形態において、患者マネージャ４２は、患者１２のメタデータ・ツリー７０上の登録情報の種々の部分を有する場合がある。他の実施形態において、患者１２は、他の適当な方法で登録される場合があり、及び／又は、患者１２のメタデータ・ツリー７０は、他の適当な方法で初期化される場合がある。
【００１５】
患者１２は、患者システム２０においてデータ・アクセス・アダプタ２４を使用してＥＨＲ記憶装置５０と通信し、患者１２の暗号化ＥＨＲ８０（図２に示されている）を取得し、記憶し、管理し、共有する。データ・アクセス・アダプタ２４は、通信ネットワーク６０を使用してＥＨＲ記憶装置５０上のデータ・アクセス・フロント５２と通信し、以下でさらに詳しく説明するように、ＥＨＲ記憶装置５０上の暗号化データ記憶装置５４、メタデータ記憶装置５６、及び会計監査ログ５８にアクセスする。患者システム２０には、患者１２に固有の暗号化キーを表す患者キー２２（Ｋpatient）が記憶される。患者１２は、患者システム２０を使用して、患者キー２２を生成し、又は受け取る。患者キー２２は、スマートカード、又は、少なくとも１つの機械読取可能な記憶媒体を含む他の適当な処理システム（図示せず）に記憶される場合もある。患者キー２２によれば、患者１２のメタデータ・ツリー７０へのルート・アクセス権が得られる。
【００１６】
種々のプロバイダー（図示せず）は、対応するプロバイダー・システム３０と対話することにより、ＥＨＲマネージャ４０に登録され、対応するプロバイダー識別子３１を受け取る。プロバイダー・マネージャ４６は、種々のプロバイダーのプロバイダー情報を受け取り、プロバイダー・データベース４８に記憶する。プロバイダー・マネージャ４６は、各プロバイダーにプロバイダー識別子（プロバイダーＩＤ）を割り当て、それらのプロバイダーＩＤをプロバイダー・データベース４８に記憶する。各プロバイダーＩＤは、そのプロバイダーの各患者についてプロバイダー・キー（Ｋpatient, provider）を生成する際に、患者キーと組み合わせて使用されることがある情報を表す。プロバイダー・マネージャ４６は、任意の適当な方法で、例えば通信ネットワーク６０を使用してプロバイダーＩＤ３１をプロバイダー・システム３０に送信することにより、プロバイダーＩＤ３１をプロバイダー・システム３０に提供する。
【００１７】
各患者のためのプロバイダー・キーは、患者（例えば、患者１２）により生成される場合がある。プロバイダー・キー３２を生成するために、患者システム２０又は他の適当な処理システム（図示せず）は、患者キー２２及び対応するプロバイダーＩＤ３１に基づいて、患者１２のための固有のプロバイダー・キー３２を生成する。例えば、患者システム２０は、患者キー２２及びプロバイダーＩＤ３１（１）に基づいてプロバイダー・キー３２（１）を生成し、スマートカード又は通信ネットワーク６０のような任意の適当な安全な手段により、プロバイダー・キー３２（１）をプロバイダー・システム３０（１）に提供する。一実施形態において、患者システム２０は、暗号化キーと、プロバイダー・キー３２を患者キー２２及び対応するプロバイダＩＤ３１の関数として生成する一方向ハッシュ関数とを使用して、各プロバイダーについてプロバイダー・キー３２を生成する。他の実施形態では、他の適当な関数を使用して、患者キー２２及びプロバイダーＩＤ３１に基づいてプロバイダー・キー３２を生成する場合がある。理解されるように、各プロバイダーは、各患者について、単一のプロバイダー・キーを保持する（例えば、各プロバイダー・システム３０は、患者１２のために１つのプロバイダー・キー３２を記憶している）。
【００１８】
プロバイダー・キー３２によれば、プロバイダーは、患者１２のために暗号化ＥＨＲ８０を生成し、暗号化ＥＨＲ８０を暗号化データ記憶装置５４に記憶することが可能となる。種々のプロバイダーは、対応するデータ・アクセス・アダプタ３４を使用してＥＨＲ記憶装置５０にアクセスし、患者１２の暗号化ＥＨＲ８０を取得し、記憶し、管理し、共有する。データ・アクセス・アダプタ３４は、通信ネットワーク６０を使用してＥＨＲ記憶装置５０上のデータ・アクセス・フロント５２と通信し、以下で詳しく説明するように、ＥＨＲ記憶装置５０上の暗号化データ記憶装置５４、メタデータ記憶装置５６、及び会計監査ログ５８にアクセスする。
【００１９】
ＥＨＲ記憶装置５０において、暗号化データ記憶装置５４は、患者１２の暗号化ＥＨＲ８０、並びに他の患者（図示せず）の暗号化ＥＨＲを記憶している。暗号化データ記憶装置５４は、暗号化ＥＨＲを記憶するために、任意の適当なタイプ、数、及び／又は構成の機械読取可能な記憶媒体を含む。ＥＨＲが暗号化されていて、暗号化データ記憶装置５４がＥＨＲのための暗号化キー（すなわち、レコード・キー）を有しないことから、暗号化データ記憶装置５４は、信頼できるデータ記憶装置である必要はない（例えば、暗号化データ記憶装置５４は、１以上の信頼できない第三者により所有され、又は運用される場合がある）。
【００２０】
メタデータ記憶装置５６は、患者１２のためのメタデータ・ツリー７０、並びに、他の患者（図示せず）のメタデータ・ツリーを含む。図２に示されているように、メタデータ・ツリー７０は、各暗号化ＥＨＲ８０について、ルート・ノード７２、任意数の中間ノード７４、及び単一のリーフ・ノード７６を備えた階層ツリー構造を表し、各リーフ・ノード７６は、対応する暗号化ＥＨＲ８０に関するメタデータを記憶する。ルート・ノード７２は、患者１２を識別する情報を含む場合があり、中間ノード７４は、ＥＨＲの論理グループ分け（例えば、プロバイダによる論理グループ分け、又は種々の処理条件のような患者情報のカテゴリによる論理グループ分け）を表し、かかるグループ分けを表す情報を含み、リーフ・ノード７６は各々、暗号化データ記憶装置５４上の対応する暗号化ＥＨＲ８０への単一の固有の参照７８、及び対応する暗号化ＥＨＲ８０を表す情報を含む。参照７８は、暗号化データ記憶装置５４上の暗号化ＥＨＲ８０を取得するために使用される場合がある。一実施形態では、メタデータ・ツリー７０の全体が、ＥＨＲマネージャ４０に登録された患者１２及び全てのプロバイダーにより、アクセス可能とされる。他の実施形態では、暗号化のような他のセキュリティ手段をメタデータ・ツリー７０に適用し、メタデータ・ツリーへのアクセスを所望のヘルスケア従事者に制限する場合がある。
【００２１】
メタデータ・ツリー７０によれば、非提携（無所属）のプロバイダー（例えば、異なる無関係の企業体の下で業務を行っているプロバイダー）は、患者１２の異なる暗号化ＥＨＲ８０を暗号化データ記憶装置５４に記憶することが可能になる。暗号化ＥＨＲ８０は各々、異なるレコード・キーを用いて暗号化され、それによって、ある暗号化ＥＨＲ８０のためのレコード・キーが、他の何れの暗号化ＥＨＲ８０の暗号解除にも使用できないものとされる。種々のプロバイダーは、メタデータ・ツリー７０を使用して、どの暗号化ＥＨＲ８０が自分達が取得しなければならないものであるかを決定することができ、また、以下で詳しく説明するように、必要な暗号化ＥＨＲ８０を生成した他のプロバイダー又は患者に対し、アクセス手段（すなわち、レコード・キー）を要求することができる。
【００２２】
ＥＨＲ記憶装置５０は、暗号化データ記憶装置５４及びメタデータ記憶装置５６に対する全てのデータアクセスを記録するための会計監査ログ５８を保持している。会計監査ログ５８は、例えば、会計監査、又は他の適当な目的のために使用される場合がある。
【００２３】
通信ネットワーク６０は、患者システム２０、プロバイダー・システム３０、ＥＨＲマネージャ４０、及びＥＨＲ記憶装置５０が互いに通信できるようにするために、任意の適当なタイプ、数、及び組み合わせの有線通信装置及び／又は無線通信装置を含む。
【００２４】
患者システム２０、プロバイダー・システム３０、ＥＨＲマネージャ４０、及びＥＨＲ記憶装置５０を含む環境１０は、任意の適当なタイプ、数、及び構成の処理システムを用いて実施される場合があり、各処理システムは、１以上のメモリに記憶された命令を実行するための１以上のプロセッサを含む。また、一部の実施形態において、データ・アクセス・フロント５２、暗号化データ記憶装置５４、メタデータ記憶装置５６、及び会計監査ログ５８は、異なる処理システムを使用して実施される場合がある。患者システム２０及びプロバイダー・システム３０の実施形態は、図６及び図３にそれぞれ示されており、以下で詳細に説明される。
【００２５】
図３は、プロバイダー・システム３０の一実施形態を示すブロック図である。プロバイダー・システム３０は、メモリ・システム１０４に記憶された一組の命令を実行するように構成された一組の１以上のプロセッサ１０２と、メモリ・システム１０４と、少なくとも１つの通信装置１０６とを含む。プロセッサ１０２、メモリ・システム１０４、及び通信装置１０６は、任意の適当なタイプ、数、及び／又は構成のコントローラ、バス、インタフェース、及び／又は他の有線若しくは無線の接続を含む一組の相互接続１０８を使用して通信する。
【００２６】
プロバイダー・システム３０は、サーバ・コンピュータ、ラップトップ・コンピュータ、タブレット・コンピュータ、デスクトップ・コンピュータ、処理機能を備えた携帯電話（すなわち、スマート・フォン）、又は処理機能を備えた他の適当なタイプの電子装置のような任意の適当な処理装置、又は処理装置の一部を表している。各プロセッサ１０２は、メモリ・システム１０４に記憶された種々の命令を取得し、実行するように構成され、及び、データをメモリ・システム１０４に取得し、記憶するように構成される。メモリ・システム１０４は、種々の命令及びデータを記憶するように構成された任意の適当なタイプ、数、及び構成の揮発性又は不揮発性の機械読取可能な記憶媒体を含む。メモリ・システム１０４における機械読取可能な記憶媒体の例としては、ハード・ディスク・ドライブ、ランダム・アクセス・メモリ（ＲＡＭ）、リード・オンリー・メモリ（ＲＯＭ）、フラッシュ・メモリ・ドライブ及びカード、並びに他の適当なタイプの磁気及び／又は光学ディスクが挙げられる。機械読取可能な記憶媒体は、物品又は製品の一部とみなされる。物品又は製品は、１以上の製造上の構成要素を意味する。通信装置１０６は、プロバイダー３０が通信ネットワーク６０（図１に示されている）のような１以上の有線又は無線のネットワークを介して通信することを可能にするように構成された任意の適当なタイプ、数、及び／又は構成の通信装置を含む。
【００２７】
データ・アクセス・アダプタ３４は、プロセッサ１０２により実行されたときに、プロセッサ１０２に図４及び図５を参照してこれから説明するデータ・アクセス・アダプタ３４の種々の機能を実施させるための種々の命令を含む。図４は、プロバイダー・キー３２を使用して暗号化レコード８０を記憶する一実施形態を示す概略図であり、図５は、プロバイダー・キーを使用して暗号化レコードを取得する一実施形態を示す概略図である。
【００２８】
図３及び図４を参照すると、データ・アクセス・アダプタ３４は、矢印１４１で示されているように、データ・アクセス・フロント５２を通してメタデータ記憶装置５６から患者１２のメタデータ・ツリー７０を取得する。メタデータ記憶装置５６は、矢印１４２で示されているように、データ・アクセス・フロント５２を通して、メタデータ・ツリー７０をプロバイダー・システム３０に提供する。データ・アクセス・アダプタ３４は、矢印１４３で示されているように、新たな、すなわち更新されたＥＨＲ１１０のメタデータ・ツリー７０上の位置１１２を判定する。位置１１２は、メタデータ・ツリー７０上のフルパス（すなわち、ユニフォーム・リソース・アイデンティファイア（ＵＲＩ））を表す。データ・アクセス・アダプタ３４は、矢印１４４で示されているように、プロバイダー・キー（Ｋpatient, provider）、及び位置１１２に基づいてレコード・キー１１４（Ｋrecord）を生成する。データ・アクセス・アダプタ３４は、矢印１４５で示されているように、レコード・キー１１４を使用してＥＨＲ１１０を暗号化し、暗号化ＥＨＲ１２０を生成する。
【００２９】
データ・アクセス・アダプタ３４は、矢印１４６で示されているように、データ・アクセス・フロント５２を通して、暗号化ＥＨＲ１２０を暗号化データ記憶装置５４に提供する。暗号化データ記憶装置５４は、矢印１４７で示されているように、データ・アクセス・フロント５２を通して、ステータスをデータ・アクセス・アダプタ３４に提供する。もし、そのステータスが、暗号化ＥＨＲ１２０が無事に記憶されなかったことを示すものである場合、データ・アクセス・アダプタ３４は、記憶処理をリトライする場合がある。記憶に成功すると、データ・アクセス・アダプタ３４は、リーフ・ノード７６を追加し、暗号化データ記憶装置５４上の無事に記憶されたメタデータ・ツリー７０への参照７８を含めるようにメタデータ・ツリー７０を更新し、矢印１４８で示されているように、データ・アクセス・フロント５２を通して、更新されたメタデータ・ツリー７０をメタデータ記憶装置５６に提供する。メタデータ記憶装置５６は、矢印１４９で示されているように、データ・アクセス・フロント５２を通して、ステータスをデータ・アクセス・アダプタ３４に提供する。もし、そのステータスが、更新されたメタデータ・ツリー７０が無事に記憶されなかったことを示すものである場合、データ・アクセス・アダプタ３４は、更新処理をリトライする場合がある。
【００３０】
データ・アクセス・アダプタ３４は、暗号化データ記憶装置５４に記憶された各ＥＨＲについて、図４に示した処理を繰り返す。
【００３１】
プロバイダーが暗号化ＥＨＲ８０を暗号化データ記憶装置５４に記憶した後、プロバイダーは、図５に示されているように、暗号化データ記憶装置５４から暗号化ＥＨＲ８０を取得することができる。
【００３２】
図３及び図５を参照すると、データ・アクセス・アダプタ３４は、矢印１５１で示されているように、データ・アクセス・フロント５２を通して、メタデータ記憶装置５６から患者１２のメタデータ・ツリー７０を取得する。メタデータ記憶装置５６は、矢印１５２で示されているように、データ・アクセス・フロント５２を通して、メタデータ・ツリー７０をプロバイダー・システム３０に提供する。データ・アクセス・アダプタ３４は、矢印１５３で示されているように、メタデータ・ツリー７０をプロバイダーに対して表示し、それによって、プロバイダーが所望の暗号化ＥＨＲ８０を選択することを可能にする。データ・アクセス・アダプタ３４は、矢印１５４で示されているように、所望の暗号化ＥＨＲ８０に対応するメタデータ・ツリー７０上の位置１１２を判定する。上で述べたように、位置１１２は、メタデータ・ツリー７０上のフルパス（すなわち、ユニフォーム・リソース・アイデンティファイア（ＵＲＩ））を表す。データ・アクセス・アダプタ３４は、矢印１５５で示されているように、プロバイダー・キー３２（Ｋpatient, provider）、及び位置１１２に基づいて、レコード・キー１１４（Ｋrecord）を生成する。
【００３３】
データ・アクセス・アダプタ３４は、矢印１５６で示されているように、データ・アクセス・フロント５２を通して、暗号化データ記憶装置５４から暗号化ＥＨＲ８０を取得する。暗号化データ記憶装置５４は、矢印１５７で示されているように、データ・アクセス・フロント５２を通して、要求された暗号化ＥＨＲ８０を提供する。データ・アクセス・アダプタ３４は、暗号化ＥＨＲ８０（暗号化ＥＨＲ１２０として図示されている）を記憶し、矢印１５８で示されているように、レコード・キー１１４を使用して暗号化ＥＨＲ１２０の暗号化を解除し、暗号解除されたＥＨＲ１１０に変換する。データ・アクセス・アダプタ３４は、矢印１５９で示されているように、暗号解除されたＥＨＲ１１０をプロバイダーに対して表示する。
【００３４】
データ・アクセス・アダプタ３４は、あるプロバイダーにより生成され、当該プロバイダーにより暗号化データ記憶装置５４から取得された各暗号化ＥＨＲについて、図５に示した処理を繰り返す。
【００３５】
図６は、患者システム２０の一実施形態を示すブロック図である。患者システム２０は、メモリ・システム２０４に記憶された一組の命令を実行するように構成された一組の１以上のプロセッサ２０２と、メモリ・システム２０４と、少なくとも１つの通信装置２０６とを含む。プロセッサ２０２、メモリ・システム２０４、及び通信装置２０６は、任意の適当なタイプ、数、及び／又は構成のコントローラ、バス、インタフェース、及び／又は有線若しくは無線の接続を含む一組の相互接続２０８を使用して通信する。
【００３６】
患者システム２０は、サーバ・コンピュータ、ラップトップ・コンピュータ、タブレット・コンピュータ、デスクトップ・コンピュータ、処理機能を備えた携帯電話（すなわち、スマート・フォン）、又は、処理機能を備えた他の適当なタイプの電子装置のような任意の適当な処理装置、又は処理装置の一部を表している。各プロセッサ２０２は、メモリ・システム２０４に記憶された種々の命令を取得し、実行するように構成され、及び、データをメモリ・システム２０４に取得し、記憶するように構成される。メモリ・システム２０４は、種々の命令及びデータを記憶するように構成された任意の適当なタイプ、数、及び構成の揮発性又は不揮発性の機械読取可能な記憶媒体を含む。メモリ・システム１０４における機械読取可能な記憶媒体の例としては、ハード・ディスク・ドライブ、ランダム・アクセス・メモリ（ＲＡＭ）、リード・オンリー・メモリ（ＲＯＭ）、フラッシュ・メモリ・ドライブ及びカード、並びに他の適当なタイプの磁気及び／又は光学ディスクが挙げられる。機械読取可能な記憶媒体は、物品又は製品の一部とみなされる。物品又は製品は、１以上の製造上の構成要素を意味する。通信装置２０６は、患者２０が、通信ネットワーク６０（図１に示されている）のような１以上の有線又は無線のネットワークを介して通信することを可能にするように構成された任意の適当なタイプ、数、及び／又は構成の通信装置を含む。
【００３７】
データ・アクセス・アダプタ２４は、プロセッサ２０２により実行されたときに、プロセッサ２０２に図７を参照してこれから説明するデータ・アクセス・アダプタ２４のデータ・アクセスの機能を実施させるための種々の命令を含む。図７は、患者キー２２を使用して暗号化レコード８０を取得する一実施形態を示す概略図である。図７の処理によれば、患者１２は、暗号化データ記憶装置５４から任意の暗号化ＥＨＲ８０（すなわち、任意のプロバイダーにより生成された暗号化ＥＨＲ８０）を取得することが可能となる。具体的には、患者１２は、患者キー２２と、暗号化ＥＨＲ８０を生成したプロバイダーのプロバイダーＩＤ３１と、暗号化ＥＨＲ８０に対応するメタデータ・ツリー７０上の位置２１２とを使用して、任意のレコード・キー２１４を生成することができる。
【００３８】
図６及び図７を参照すると、データ・アクセス・アダプタ２４は、矢印１６１で示されているように、データ・アクセス・フロント５２を通して、メタデータ記憶装置５６から患者１２のメタデータ・ツリー７０を取得する。メタデータ記憶装置５６は、矢印１６２で示されているように、データ・アクセス・フロント５２を通して、メタデータ・ツリー７０を患者２０に提供する。データ・アクセス・アダプタ２４は、矢印１６３で示されているように、メタデータ・ツリー７０を患者１２に対して表示し、それによって、患者１２が、所望の暗号化ＥＨＲ８０を選択できるようにする。データ・アクセス・アダプタ２４は、矢印１６４で示されているように、暗号化ＥＨＲ８０に対応するメタデータ・ツリー７０上の位置２１２を判定する。上で述べたように、位置２１２は、メタデータ・ツリー７０上のフルパス（すなわち、ユニフォーム・リソース・アイデンティファイア（ＵＲＩ））を表す。データ・アクセス・アダプタ２４は、矢印１６５で示されているように、暗号化ＥＨＲ８０を生成したプロバイダーのプロバイダーＩＤ３１を判定する（例えば、ＥＨＲマネージャ４０からプロバイダーＩＤ３１を取得することによって）。データ・アクセス・アダプタ２４は、矢印１６６で示されているように、患者キー２２（Ｋpatient）、プロバイダーＩＤ３１、及び位置２１２に基づいて、レコード・キー２１４（Ｋrecord）を生成する。
【００３９】
データ・アクセス・アダプタ２４は、矢印１６７で示されているように、データ・アクセス・フロント５２を通して、暗号化データ記憶装置５４から暗号化ＥＨＲ８０を取得する。暗号化データ記憶装置５４は、矢印１６８で示されているように、データ・アクセス・フロント５２を通して、暗号化ＥＨＲ８０を提供する。データ・アクセス・アダプタ２４は、暗号化ＥＨＲ８０を記憶し（図３に暗号化ＥＨＲ２２０として示されている）、矢印１６９で示されているように、暗号化ＥＨＲ２２０の暗号化を解除し、暗号解除されたＥＨＲ２１０に変換する。データ・アクセス・アダプタ２４は、矢印１７０で示されているように、暗号解除されたＥＨＲ２１０を患者１２に対して表示する。
【００４０】
データ・アクセス・アダプタ２４は、患者１２が暗号化データ記憶装置５４から取得した各暗号化ＥＨＲについて、図７に示した処理を繰り返す。
【００４１】
上記のように、暗号化ＥＨＲ８０を生成するプロバイダー、及び患者１２の両方が、レコード・キー１１４及び２１４をそれぞれ生成し、それらが、暗号化ＥＨＲ８０の暗号解除に使用される。暗号化ＥＨＲ８０を他のプロバイダーと共有するためには、暗号化ＥＨＲ８０を生成するプロバイダー、及び患者１２のいずれかが、レコード・キー１１４又は２１４をそれぞれ共有し、それによって、他のプロバイダーが、暗号化ＥＨＲ８０を取得し、暗号化を解除できるようにする。
【００４２】
図３に戻って参照すると、データ・アクセス・アダプタ３４は、プロセッサ１０２により実行されたときに、プロセッサ１０２に図８を参照してこれから説明するデータ・アクセス・アダプタ３４の種々の機能を実施させるための種々の命令をさらに含む。図８は、共有キーを使用して暗号化レコード取得する一実施形態を示す概略図である。
【００４３】
図３及び図８を参照すると、データ・アクセス・アダプタ３４は、矢印１８１で示されているように、データ・アクセス・フロント５２を通して、メタデータ記憶装置５６から患者１２のメタデータ・ツリー７０を取得する。メタデータ記憶装置５６は、矢印１８２で示されているように、データ・アクセス・フロント５２を通して、メタデータ・ツリー７０をプロバイダー・システム３０に提供する。データ・アクセス・アダプタ３４は、矢印１８３に示されているように、メタデータ・ツリー７０をプロバイダーに対して表示し、それによって、プロバイダーが所望の暗号化ＥＨＲ８０を選択できるようにする。データ・アクセス・アダプタ３４は、矢印１８４で示されてるように、暗号化ＥＨＲ８０に対応するメタデータ・ツリー７０上の位置１１２を判定する。上で述べたように、位置１１２は、メタデータ・ツリー７０上のフルパス（すなわち、ユニフォーム・リソース・アイデンティファイア（ＵＲＩ））を表す。データ・アクセス・アダプタ３４は、矢印１８５で示されているように、他のプロバイダー又は患者１２から、暗号化ＥＨＲ８０のための共有キー１１６を受け取る。
【００４４】
データ・アクセス・アダプタ３４は、矢印１８６で示されているように、データ・アクセス・フロント５２を通して、暗号化データ記憶装置５４から暗号化ＥＨＲ８０を取得する。暗号化データ記憶装置８４は、矢印１８７で示されているように、データ・アクセス・フロント５２を通して、要求された暗号化ＥＨＲ８０を提供する。データ・アクセス・アダプタ３４は、暗号化ＥＨＲ８０（暗号化ＥＨＲ１２０として示されている）を記憶し、矢印１８８で示されているように、共有キー１１６を使用して暗号化ＥＨＲ１２０の暗号化を解除し、暗号解除されたＥＨＲ１１０に変換する。データ・アクセス・アダプタ３４は、矢印１８９で示されているように、暗号解除されたＥＨＲ１１０をプロバイダーに対して表示する。
【００４５】
データ・アクセス・アダプタ３４は、あるプロバイダーにより生成され、他のプロバイダーにより暗号化データ記憶装置５４から取得された各暗号化ＥＨＲについて、図８に示した処理を繰り返す。
【００４６】
また、図４の実施形態の変形として、種々のプロバイダーは、共有キー１１６を使用することにより、他のプロバイダーの代わりに、暗号化ＥＨＲ１２０を記憶する場合がある。これを行うために、プロバイダーは、データ・アクセス・アダプタ３４を使用して、他のプロバイダーから暗号化ＥＨＲ８０のための共有キー１１６を受け取り、図４のステップ１４４を省略する。データ・アクセス・アダプタ３４は、ステップ１４５において、レコード・キー１１４の代わりに共有キー１１６を使用してＥＨＲ１１０を暗号化し、暗号化ＥＨＲ１２０を生成し、図４の残りのステップを上記と同様に実施する。
【００４７】
上記実施形態によれば、有利なことに、患者は、共通の暗号化データ記憶装置において、異なるヘルスケア・プロバイダーにより作成されたＥＨＲへのアクセスを安全に管理することが可能となる。かかる実施形態によれば、患者は、単一の暗号化キーを保持することができ、プロバイダーは、患者ごとに単一の暗号化キーを保持することができる。患者は、患者キーを使用して全てのＥＨＲを取得することができ、プロバイダーは、プロバイダー・キー、又は、他のプロバイダー若しくは患者からの共有キーのいずれかを使用して、全てのＥＨＲを取得することができる。さらに、メタデータ・ツリーによれば、患者及びプロバイダーは、プライバシー及びセキュリティを保持しつつ、患者の全健康履歴を自在に参照する能力が得られる。その結果、かかる実施形態によれば、患者が如何なる時点においても全てのＥＨＲにアクセスできることを確保しつつ、レコード・アクセス判断を行う主な責任をプロバイダーに転嫁することができる。
【図１】
0006300800.tif 000002
【図２】
0006300800.tif 000003
【図３】
0006300800.tif 000004
【図４】
0006300800.tif 000005
【図５】
0006300800.tif 000006
【図６】
0006300800.tif 000007
【図７】
0006300800.tif 000008
【図８】
0006300800.tif 000009