患者の再識別のためのシステムおよび方法
【課題】識別を取り消されたか、または匿名化された患者データを取り出し、再識別するためのシステムおよび方法を提供する。
【解決手段】システムは、患者データを記憶するデータストレージ（６３０）を含む。患者データはコード化された患者識別子と、コード化されていない患者識別子とを含む。コード化された患者識別子はコード化されていない患者識別子に対応している。システムは、コード化された患者識別子を含むファイルの中の患者データを閲覧することができる閲覧アプリケーションを有するプロセッサ（６１０、６２０）を含む。プロセッサ（６１０、６２０）は、データストレージ（６３０）を使用して、ファイル中のコード化された患者識別子を対応するコード化されていない患者識別子と置換するためにプロシージャを起動する。
【解決手段】システムは、患者データを記憶するデータストレージ（６３０）を含む。患者データはコード化された患者識別子と、コード化されていない患者識別子とを含む。コード化された患者識別子はコード化されていない患者識別子に対応している。システムは、コード化された患者識別子を含むファイルの中の患者データを閲覧することができる閲覧アプリケーションを有するプロセッサ（６１０、６２０）を含む。プロセッサ（６１０、６２０）は、データストレージ（６３０）を使用して、ファイル中のコード化された患者識別子を対応するコード化されていない患者識別子と置換するためにプロシージャを起動する。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は一般に患者の識別を安全に行うことに関し、特にはデータウェアハウスシステムへの提出のために取り消し可能な患者治療提供者（ＰＣＰ）サイトで患者データの識別を取り消し、その後ＰＣＰサイトで、データウェアハウスシステムから受信された識別を取り消された患者データから患者を再識別することに関する。
【背景技術】
【０００２】
病院では典型的に、病院内の様々な部門を管理するためにコンピュータシステムを利用し、各患者についてのデータは様々なコンピュータシステムによって収集される。例えば、患者は経胸腔エコー（ＴＴＥ）のために入院していてもよい。その患者についての（例えば人口統計および保険などの）情報は病院情報システム（ＨＩＳ）によって取得され、患者記録に記憶されることが可能である。次いで、この情報は心臓学部門システム（通常は心臓血管情報システムまたはＣＶＩＳとして知られている）に渡されることが可能である。典型的に、ＣＶＩＳはある会社の製品であり、一方でＨＩＳは別の会社の製品である。その結果、その２つの間のデータベースは異なっていてもよい。さらに、情報システムは異なるレベルのデータのグラニュラリティで捕獲／保持および送信を行ってもよい。患者情報がＣＶＩＳによって一旦受信されると、患者はエコー研究室のＴＴＥのためにスケジュールを組まれてもよい。次に、超音波検査技師によってＴＴＥが実行される。画像と測定値とが取り出され、ＣＶＩＳサーバに送信される。読影医（例えば心エコー技師（ｅｃｈｏｃａｒｄｉｏｇｒａｐｈｅｒ））は検査ステーションに着席し、患者のＴＴＥ調査書を取り出す。次いで、心エコー技師は画像と測定値との検査を開始して、調査書についての完成された医療レポートを作成する。心エコー技師が医療レポートを完成させると、レポートは、それが記憶され、患者識別データを通して患者に関連付けられるＣＶＩＳサーバに送信される。この完成された医療レポートは、公共データの採掘のためのデータリポジトリに送信されることが可能な種類のレポートの一例である。処方箋および／または資料などの投薬法の指示もまた、電子的に作り出され、データリポジトリに保存される。
【０００３】
データウェアハウス方法は、医療費請求書および電子医療記録（ＥＭＲ）から得られた患者情報を集計、整理、組織、報告および分析するために使用される。患者データは、地理的に分散した位置にあるＰＣＰに配置された複数のＥＭＲデータベースから抽出され、その後中央に配置されたデータウェアハウスに運搬され、記憶されてもよい。中央データウェアハウスは、医師の生産性、予防的治療、疾病管理の統計および臨床結果についての調査の人口ベースの概要レポートのための情報源であってもよい。中央データウェアハウスはまた、複数の治療提供者の間で実績をベンチマーキングする（ｂｅｎｃｈｍａｒｋ）するために使用されてもよい。患者データは繊細な、極秘のものであるので、特定の識別情報は、それをＰＣＰサイトから中央データウェアハウスに運搬する前に除去されなければならない。この識別情報の除去は、アメリカ合衆国の医療保険の相互運用性と説明責任に関する法律（Ｈｅａｌｔｈ Ｉｎｓｕｒａｎｃｅ Ｐｏｒｔａｂｉｌｉｔｙ ａｎｄ Ａｃｃｏｕｎｔａｂｉｌｉｔｙ Ａｃｔ）（ＨＩＰＡＡ）の規定ごとに実行されなければならない。公共のデータベースに含まれるいかなるデータも、データベースの中に医療情報が含まれている個別の患者の身元を明らかにしてはならない。この必要条件から、特定の患者までさかのぼることを助けることが可能な、医療レポートまたは記録に含まれるいかなる情報も、公共データの採掘のためのデータウェアハウスにそのデータを付加する前に、レポートまたは記録から除去されなければならない。
【０００４】
特定の薬品または治療法の患者への影響を正確に評価するためには、特定の患者に関するすべての医療レポートを分析することが役に立つ。個別の患者までさかのぼるために使用されることが可能なデータを除去することは、特定の患者に関するすべての医療レポートを集め、分析することを不可能にする。さらに、人口分析の目的の一つは、臨床介入の対象者となるかもしれない個人からなる、リスクにさらされているコホート（ｃｏｈｏｒｔ）人口を集めることである。しかしながら、識別を取り消されたデータは、患者を治療するために自分自身の患者の身元を知る必要のある患者治療提供者にとっては、あまり有用なものではない。さらにシステムのユーザは、さらなる事後調査のために患者を再識別する能力を必要とするかもしれない。ポータルのユーザは、ポータルシステムを伴わない過程の中で患者を再識別する必要があるかもしれず、すなわち再識別の過程はローカルユーザのシステムで生じる。
【発明の開示】
【発明が解決しようとする課題】
【０００５】
したがって、医療記録に関して患者を再識別するためのシステムおよび方法が必要とされる。ＨＩＰＡＡを遵守する中で、患者記録の再識別を安全に行うためのシステムおよび方法が必要とされる。
【課題を解決するための手段】
【０００６】
本発明の特定の実施形態は、識別を取り消されたか、または匿名化された患者データを取り出し、再識別するためのシステムおよび方法を提供する。
【０００７】
特定の実施形態は、患者データを再識別するためのシステムおよび方法を提供する。患者データは、暗号化または抽象化された患者識別子を取り出すことによって、再識別されてもよい。識別子は、患者識別情報に関連する患者識別子を取り出すために使用される。患者識別情報は、許可されたユーザによるアクセスのために、ローカルコンピュータまたはウェブポータルのレポートまたはその他の文書に挿入されてもよい。
【０００８】
特定の実施形態は、許可された環境における局所化された患者データの再識別のための方法を提供する。方法は、許可された環境内で、ファイルから暗号化された患者識別を取り出すことを含む。方法はまた、暗号化された患者識別子を使用して、患者識別情報に関連する患者識別子を特定することも含む。さらに、方法は許可された環境の中で、患者識別情報をファイルの中に挿入することを含む。
【０００９】
特定の実施形態は患者再識別システムを提供する。システムは患者データを記憶するデータストレージを含む。患者データは、コード化された患者識別子と患者識別子とを含む。コード化された患者識別子は患者識別子に対応している。システムは、データストレージと接続するように構成されたプロセッサをさらに含む。プロセッサは、コード化された患者識別子を含むファイルの中の患者データを閲覧することができる閲覧アプリケーションを含む。プロセッサはデータストレージを使用して、ファイル中のコード化された患者識別子を対応する患者識別子に置き換えるプロシージャを起動する。コード化された患者データを対応する患者識別子に置き換えることは、プロセッサを経由して生じる。
【００１０】
特定の実施形態は、コンピュータ上での実行のための命令のセットを含む、少なくとも１つのコンピュータ可読媒体を提供する。命令のセットは、患者に関連したデータを含むデータストアを含む。患者に関連したデータは、少なくとも１つの暗号化された患者識別子と、少なくとも１つの暗号化されていない患者識別子とを含む。患者に関連したデータは、少なくとも１つの暗号化された患者識別子と少なくとも１つの暗号化されていない患者識別子とによって、検索可能である。命令のセットはまた、許可された環境の中で患者データを含むファイルを閲覧するために構成された閲覧アプリケーションも含む。さらに命令のセットは、閲覧アプリケーションを経由して始動される再識別ルーチンを含む。再識別ルーチンはファイルの中の暗号化された患者識別子を選択し、ファイルの中の暗号化された患者識別子を、データストアの中の少なくとも１つの暗号化された患者識別子のうちの１つと照合する。再識別ルーチンは、暗号化された患者識別子に対応する暗号化されていない患者識別子を配置し、許可された環境の中で暗号化されていない患者識別子をファイルに挿入する。
【００１１】
上述の要約は、以下の本発明の特定の実施形態の詳細な説明とともに、添付の図面と合わせて読む場合、よりよく理解されるであろう。特定の実施形態は、本発明を例示する目的で図面の中に示されている。しかしながら、本発明は添付の図面の中で示されている配置および手段に限定されるわけではないことを理解されたい。
【発明を実施するための最良の形態】
【００１２】
本発明の例示的な実施形態は、取り消し可能な患者治療提供者（ＰＣＰ）サイトから、患者データが分析され、幅広い範囲の患者データと比較されてもよいデータウェアハウスシステムへ、識別を取り消された患者情報を送信するための安全な過程である。本明細書で使用される「識別を取り消された患者情報」および「識別を取り消された患者データ」という用語はどちらも、ＨＩＰＡＡおよびＨＩＰＡＡによって定義される限定されたデータセットのデータによって定義されるような、完全に識別を取り消されたデータのことを指す。限定されたデータセットは、直接的な識別子（例えば氏名、市、州以外の住所および郵便番号、社会保障番号、医療記録番号など）を除くが、その他の識別情報（例えば診察を受けた日付、資料、診断、処方箋、研究室のテスト結果など）は残っていてもよい、研究、公衆衛生および医療活動のために保護された健康情報である。これは、個別の患者までさかのぼるために使用される可能性のあるすべてのデータが記録から除去されている、ＨＩＰＡＡによって定義されるような完全に識別を取り消されたデータと対照的である。個別の患者に関係するデータウェアハウスを通じて取得される情報は、コホートレポートを介して発信元のＰＣＰサイトに返送される。コホートレポートは、患者のコホートグループを識別するために、データウェアハウスシステムに対して実行されるクエリによって生成される。コホートレポートに含まれる個別の患者は、個別の患者のための治療法の選択肢を決定する際に、ＰＣＰがその情報を考慮してもよいように、その後ＰＣＰサイトで再識別される。
【００１３】
図１は、患者の身元を安全にするための例示的なシステムである。様々なＰＣＰサイトに配置されたＰＣＰシステム１０８は、ネットワーク１０６に接続されている。ＰＣＰシステム１０８は、データウェアハウスシステム１０４に配置されたデータウェアハウスに患者の医療データを送信する。ＰＣＰシステム１０８は典型的に、ＰＣＰサイトで治療される患者に関連する電子医療記録（ＥＭＲ）を記憶するための１つまたは複数のストレージデバイスとともに、データの抽出を実行するためのアプリケーションソフトウェアを含む。さらにＰＣＰシステム１０８は、ＥＭＲデータにアクセスしてデータの抽出を開始し、患者識別子を暗号化するために使用されるパスワード列を入力するためのＰＣＰユーザシステム１１０を含んでもよい。ＰＣＰユーザシステム１１０はＰＣＰシステム１０８に直接取り付けられていてもよく、またはネットワーク１０６を介してＰＣＰシステム１０８にアクセスしてもよい。各々のＰＣＰユーザシステム１１０は、本明細書で説明される過程を遂行するためのコンピュータプログラムを実行する汎用コンピュータを使用して実装されてもよい。ＰＣＰユーザシステム１１０はパーソナルコンピュータか、またはホスト付属の端末であってもよい。ＰＣＰユーザシステム１１０がパーソナルコンピュータである場合、本明細書で説明される処理は、ＰＣＰユーザシステム１１０にアプレットを提供することによって、ＰＣＰユーザシステム１１０とＰＣＰシステム１０８とによって共有されてもよい。ＰＣＰシステム１０８に配置されるストレージデバイスは、ファイル転送プロトコル（ＦＴＰ）サーバなどの、電子情報を記憶するための様々なデバイスを使用して実装されてもよい。ストレージデバイスは、ＰＣＰシステム１０８に含まれるメモリを使用して実装されてもよいか、または独立の物理的デバイスであってもよいことを理解されたい。ストレージデバイスは、ＥＭＲデータベースを含めた様々な情報を含む。
【００１４】
さらに、図１のシステムは、（例えばコホートレポートを作成するために）データウェアハウスに記憶された特定の記録にアクセスするために、エンドユーザがデータウェアハウスシステム１０４のアプリケーションプログラムに要求を出してもよい、１つまたは複数のデータウェアハウスユーザシステム１０２を含む。本発明の例示的な実施形態において、エンドユーザはＰＣＰのスタッフメンバー、製薬会社またはその他の会社の研究チームのメンバー、および医薬品またはその他の製品を作る会社からの人員を含んでもよい。データウェアハウスユーザシステム１０２はデータウェアハウスシステム１０４に直接接続されているか、またはネットワーク１０６を経由してデータウェアハウスシステム１０４に接続されていてもよい。各々のデータウェアハウスユーザシステム１０２は、本明細書で説明される過程を遂行するためのコンピュータプログラムを実行する汎用コンピュータを使用して実装されてもよい。データウェアハウスユーザシステム１０２はパーソナルコンピュータ、ホスト付属の端末、ソフトウェアおよび／またはその他のプロセッサであってもよい。データウェアハウスユーザシステム１０２がパーソナルコンピュータである場合、本明細書で説明される処理は、データウェアハウスユーザシステム１０２にアプレットを提供することによって、データウェアハウスユーザシステム１０２とデータウェアハウスシステム１０４とによって共有されてもよい。
【００１５】
ネットワーク１０６はローカルエリアネットワーク（ＬＡＮ）、ワイドエリアネットワーク（ＷＡＮ）、イントラネット、またはグローバルネットワーク（例えばインターネット）を含む、任意の種類の知られているネットワークであってよい。データウェアハウスユーザシステム１０２は、すべてのデータウェアハウスユーザシステム１０２が同じネットワークを通じてデータウェアハウスシステム１０４に接続されなくてもよいように、複数のネットワーク（例えばイントラネットおよびインターネット）を通じてデータウェアハウスシステム１０４に接続されてもよい。同様に、ＰＣＰシステム１０８は、すべてのＰＣＰシステム１０８が同じネットワークを通じてデータウェアハウスシステム１０４に接続されなくてもよいように、複数のネットワーク（例えばイントラネットおよびインターネット）を通じてデータ採掘ホストシステム１０４に接続されてもよい。データウェアハウスユーザシステム１０２、ＰＣＰシステム１０８およびデータウェアハウスシステム１０４のうちの１つまたは複数は、ワイヤレス方式でネットワーク１０６に接続されてもよく、ネットワーク１０６はワイヤレスネットワークであってもよい。例示的な実施形態において、ネットワーク１０６はインターネットであり、各々のデータウェアハウスユーザシステム１０２はデータウェアハウスシステム１０４に直接接続するために、ユーザインタフェースアプリケーションを実行する。別の実施形態において、データウェアハウスユーザシステム１０２は、ネットワーク１０６を通じてデータウェアハウスシステム１０４と接触するために、ウェブブラウザを実行してもよい。代替としてデータウェアハウスユーザシステム１０２は、ウェブＴＶなどの、主にネットワーク１０６にアクセスするためにプログラムされたデバイスを使用して実装されてもよい。
【００１６】
データウェアハウスシステム１０４は、サーバによるアクセスが可能なストレージ媒体に記憶されたコンピュータプログラムに応じて動作するサーバを使用して実装されてもよい。データウェアハウスシステム１０４は、データウェアハウスユーザシステム１０２およびＰＣＰシステム１０８と通信するために、ネットワークサーバ（しばしばウェブサーバと呼ばれる）として動作してもよい。データウェアハウスシステム１０４は、データウェアハウスユーザシステム１０２およびＰＣＰシステム１０８への情報の送信、ならびにそれらへの情報の受信を処理し、関連のタスクを実行することができる。データウェアハウスシステム１０４はまた、データウェアハウスシステム１０４への許可されていないアクセスを防ぎ、許可されているアクセスに対して任意の制限を強いるファイヤウォールを含んでもよい。例えば、管理者はシステム全体へのアクセスを有し、システムの一部を変更する権限を有してもよく、ＰＣＰのスタッフメンバーは、特定の患者についてのデータウェアハウス記録の部分集合を閲覧するためのアクセスしか有していなくてもよい。例示的な実施形態において、管理者は新たなユーザを付加し、ユーザを削除し、ユーザの特権を編集する能力を有している。ファイヤウォールは、当技術分野で知られているような従来のハードウェアおよび／またはソフトウェアを使用して実装されてもよい。
【００１７】
データウェアハウスシステム１０４はまた、アプリケーションサーバとしても動作する。データウェアハウスシステム１０４は、患者データをステージング領域にインポートし、その後データウェアハウスにインポートするためのアプリケーションプログラムの他に、データウェアハウスシステムに配置されたデータリポジトリへのアクセスを提供するための１つまたは複数のアプリケーションプログラムを実行する。さらに、データウェアハウスシステム１０４はまた、患者コホートレポートを作成し、それをＰＣＰシステム１０８に送信するための１つまたは複数のアプリケーションを実行する。処理は、アプリケーション（例えばｊａｖａ（商標）、アプレットなど）をデータウェアハウスユーザシステム１０２に提供することによって、データウェアハウスユーザシステム１０２とデータウェアハウスシステム１０４とによって共有されてもよい。代替として、データウェアハウスユーザシステム１０２は、本明細書で説明される処理の一部を実行するためのスタンドアローン型のソフトウェアアプリケーションを含むことができる。同様に、処理はアプリケーションをＰＣＰシステム１０２に提供することによって、ＰＣＰシステム１０２とデータウェアハウスシステム１０４とによって共有されてもよく、代替として、ＰＣＰシステム１９２は、本明細書で説明される処理の一部を実行するためのスタンドアローン型のソフトウェアアプリケーションを含むことができる。ネットワークサーバ機能とアプリケーションサーバ機能とを実装するために、独立のサーバが使用されてもよいことを理解されたい。代替としてネットワークサーバ、ファイヤウォールおよびアプリケーションサーバは、必要な機能を遂行するために、コンピュータプログラムを実行する単一のサーバによって実装されることが可能である。
【００１８】
データウェアハウスシステム１０４に配置されたストレージデバイスは、ファイル転送プロトコル（ＦＴＰ）サーバなどの、電子情報を記憶するための様々なデバイスを使用して実装されてもよい。ストレージデバイスは、データウェアハウスシステム１０４に含まれるメモリを使用して実装されてもよいか、または独立の物理的デバイスであってもよいことを理解されたい。ストレージデバイスは、１つまたは複数のＰＣＰからの患者医療データを含有するデータウェアハウスを含めて、様々な情報を含有する。データウェアハウスシステム１０４はまたデータベースサーバとして動作し、ストレージデバイスに記憶されたデータを含むアプリケーションデータへのアクセスを調整する。データウェアハウスは、ユーザの特性に基づいて制限されたアクセスを備える単一のデータベースとして物理的に記憶されてもよく、またはデータウェアハウスユーザシステム１０２もしくはデータウェアハウスシステム１０４のデータベースの一部を含む様々なデータベースに、物理的に記憶されることが可能である。例示的な実施形態において、データリポジトリはリレーショナルデータベースシステムを使用して実装され、データベースシステムは、エンドユーザの特性に基づき、異なるエンドユーザに対して異なるデータの見解を提供する。
【００１９】
図２は、例示的なデータウェアハウス構造のブロック図である。患者データは、ＰＣＰシステム１０８に配置されたＥＭＲデータベースから抽出される。本発明の例示的な実施形態において、ＥＭＲデータベース記録は患者の氏名および住所、投薬法、アレルギー、診察、診断および健康保険情報などのデータを含む。ＰＣＰシステム１０８は、ＥＭＲデータベースから患者データを抽出するためのアプリケーションソフトウェアを含む。次いで、データは識別を取り消され、（例えばハイパーテキスト転送プロトコル（ＨＴＴＰＳ）を経由して）ネットワーク１０６を介してデータウェアハウスシステム１０４に運搬される。データウェアハウスシステム１０４は、データインポート機能２０６を実行するためのアプリケーションソフトウェアを含む。データインポート機能２０６は複数のサイトから識別を取り消された患者データを集め、整理し、次いでデータをステージング領域２０８に記憶する。複数のＰＣＰシステム１０８から受信されたデータは正規化され、有効性と完全性とについて検査され、訂正されるか、または欠陥があるものとして標識を付けられる。複数のＰＣＰシステム１０８からのデータは、その後リレーショナルデータベースの中にまとめられる。説明された方式における収集、整理および組織データによって、データは単一のエンティティとして、または各個別のＰＣＰサイト１０８に特有のもとして、有意義かつ効率的に問合せを受けることが可能である。識別を取り消されたデータは、次いで問合せを行うために利用されることが可能なデータウェアハウス２１０に組織される。
【００２０】
患者コホートレポート２１２はデータウェアハウスシステム１０４に配置されたアプリケーションソフトウェアによって生成され、個別の患者の治療において主たる治療提供者によって使用されるために、ＰＣＰシステム１０８に返送される。患者コホートレポート２１２は、周期的な基準でキャンドクエリを実行することによって、自動的に生成されてもよい。ＰＣＰのスタッフメンバー、製薬会社またはその他の会社の研究チームのメンバー、および医薬品またはその他の製品を作る会社からの人員は、各々患者コホートレポート２１２を実行してもよい。さらに、患者コホートレポート２１２はカスタムのレポートを作成するため、またはキャンドレポートの実行を開始するためにデータウェアハウスユーザシステム１０２にアクセスするエンドユーザによって作成されてもよい。さらに、患者コホートレポート２１２は、患者のための特定のデータの組合せがデータウェアハウスの中に記憶されることを判定するデータウェアハウスシステム１０４に配置されたアプリケーションソフトウェアに応じて、自動的に生成されてもよい。例示的な患者コホートレポート２１２は、特定の投薬法で治療された、特定の疾病を抱えたすべての患者を含む。別の例示的な患者コホートレポート２１２は、特定のテスト結果を持つ、特定の年齢および性別の患者を含む。例えば、患者コホートレポート２１２は、ホルモン置換療法の薬品を摂取している心臓病を抱えたすべての女性を一覧にしてもよい。患者コホートレポート２１２は、起こり得る副作用、および副作用の起こる可能性についての注意とともに、この基準に適合するデータウェアハウス２１０中の記録を持つすべての患者を一覧にする。例示的な実施形態において、各ＰＣＰサイトはレポート全体を受信し、別の実施形態においては、各ＰＣＰサイトはＰＣＰサイトで扱われる患者のためだけのレポートを受信する。
【００２１】
本発明の例示的実施形態において、長期的な患者データを問い合わせることに基づく患者コホートレポート２１２を作成する能力は、データウェアハウス２１０の中の単一の患者に関係するすべてのレコードを結合する能力によって支援される。これは、データウェアハウス２１０に送信される各患者記録に関連付けられる固有の識別子を必要とする。固有の識別子は、データウェアハウス２１０にアクセスするエンドユーザによる個別の患者にさかのぼることが可能なものであってはならない。しかしながら、個別のＰＣＰは固有の識別子に基づいて患者を再識別する能力を保ち続けていてもよいので、ＰＣＰサイトに配置される医療人員は、患者コホートレポート２１２に含まれる情報に応じて、患者を最後までたどる（ｆｏｌｌｏｗ ｔｈｒｏｕｇｈ）ことができる。図３は、データウェアハウスシステム１０４に配置されたデータウェアハウス２１０のストレージのための患者データの識別を取り消す例示的な過程を示し、図４は、患者コホートレポート２１２に含有された識別を取り消された患者データから患者を再識別する例示的な過程を示す。
【００２２】
図３は、データウェアハウスシステム１０４への送信のために、データの抽出期間に患者データの識別を取り消す例示的な過程のブロック図である。識別取り消しの過程は、患者についての臨床的に有用な情報を保持したままで、患者を識別する情報を除去する。患者データはＥＭＲデータベース３０２から抽出されて、識別情報が除去されるので、その結果、識別を取り消された患者データが生じる。本発明の例示的な実施形態において、ＥＭＲデータベース３０２は以下の患者を識別する人口統計学的データを含む。すなわち氏名、住所を含む地理的な識別子、誕生日、入院日、退院日および死亡日を含む個人に直接関係する日付、電話およびファックス番号、電子メールアドレス、社会保障番号、医療記録番号、健康保険の受取人、口座番号、資格証または免許証番号、ナンバープレートの番号を含む自動車の識別子および製造番号、デバイスの識別子および製造番号、ウェブユニバーサルリソースロケータ（ＵＲＬ）およびインターネットプロトコル（ＩＰ）アドレス番号、指紋および声紋を含む生物測定識別子、全顔の写真イメージおよび比較可能なイメージ、患者識別子（ＰＩＤ）３０４を含む、管理上の目的でＰＣＰまたはＥＭＲシステムによって割り当てられるその他の固有の識別番号、特性およびコード。ＥＭＲデータベース３０２はまた、患者の診断または問題点、摂取された、または処方された薬物、診察、診断上の研究室でのテストおよび生命徴候、自覚的および他覚的知見、評価、注文、計画、および医療提供者によって文書化されたメモについての情報を含む。ＥＭＲデータベース３０２はまた、日時、および患者記録から情報を作成し、読み取り、更新したか、または削除した人の身元を記録する監査情報も含む。ＥＭＲデータベース３０２の各患者のための記録はまた、個別の患者を独自に識別するために使用さてもよい、ＰＩＤ３０４として知られている数字鍵も含有する。ＰＩＤ３０４は、コード化された患者識別子（ＥＰＩＤ）３０８を作成するために、識別取り消しの過程の一部としてコード化される。ＥＰＩＤ３０８は、識別を取り消された患者データとともに、データウェアハウスシステム１０４に送信される。
【００２３】
抽出プロセスは、ＰＣＰシステム１０８に配置されたアプリケーションソフトウェアによって遂行され、周期的な基準で（例えば毎晩午前２時、毎週土曜の午前２時など）、バックグラウンドで実行されてもよい。この方法では、抽出過程がＰＣＰシステム１０８に配置された既存のソフトウェアを妨害する可能性は低い。抽出過程はまた遠隔のシステム（例えばデータウェアハウスシステム１０４）によって開始されてもよく、フルバックアップまたはインクリメンタルバックアップ方式を含んでもよい。本発明の例示的な実施形態において、以下の識別子は、完全に識別を取り消されたデータとしてＨＩＰＡＡの定義の下で分類される識別取り消しデータを作成するために除去され、変換される。すなわち氏名、通りの番地を含む州の下の地理的な下位区分、市、国、地区、（最後の３桁までの）郵便番号、個人に直接関係する日付（例えば誕生日など）、電話およびファックス番号、電子メールアドレス、健康保険番号、口座番号、資格証／免許証番号、デバイスの識別子および製造番号、統一リソースロケータ（ＵＲＬ）、インターネットプロトコル（ＩＰ）アドレス、生物測定識別子、全顔写真、およびその他の固有の識別番号、特性またはコード。
【００２４】
本発明の代替の例示的な実施形態において、以下の識別子は、限定されたデータセット情報としてＨＩＰＡＡの定義の下で分類される識別取り消しを作成するために除去され、変換される。すなわち氏名などの直接的な識別子、（市、州および郵便番号以外の）住所、社会保障番号および医療記録番号。本発明の限定されたデータセット情報の実装において、検査日時、資料、診断、処方箋および研究室のテスト結果などの一部の識別情報は残されていてもよい。
【００２５】
新たなＥＰＩＤ３０８は、患者およびＰＣＰによって入力されたパスワードに関連するＰＩＤ３０４に基づいて各患者に割り当てられる。ＰＩＤ３０４のＥＰＩＤ３０８へのマッピングは永続的に維持されることはない。図３に示されている例示的な実施形態で描かれているように、パスワード列３１２は、ＰＣユーザシステム１１０のパスワード暗号化ユーザインタフェース３１０を経由してＰＣＰによって供給される。このパスワード列３１２はＰＣＰにしか知られず、ＥＰＩＤ３０８をＰＩＤ３０４にデコードするために必要とされる。ＰＣＰサイトのユーザは、ＰＩＤ３０４を取得するためにパスワード列３１２を持っていなければならず、このパスワード列３１２は、患者が再識別されるときにはいつでも再入力されなければならない。パスワード暗号化ユーザインタフェース３１０は、グラフィックユーザインタフェースであってもよい。本発明の例示的な実施形態において、ユーザの入力したパスワード列３１２は、ｔｗｏ−ｆｉｓｈアルゴリズムを使用してコード化される。ｔｗｏ−ｆｉｓｈアルゴリズムは当技術分野で知られているように、高い安全性と高い柔軟性とを備えるように設計された秘密鍵ブロック暗号の暗法手法アルゴリズムである。ｔｗｏ−ｆｉｓｈアルゴリズムは暗号化と解読との両方に単一の鍵を利用し、しばしば対称暗号化と呼ばれる。コード化は、ＰＣＰシステム１０８に配置された患者識別子コード化ソフトウェア３０６によって実行される。患者識別子コード化ソフトウェア３０６はまた、例えば１６桁の数字などの数字を作り出すために、コード化されたパスワード列をハッシュする。この１６桁の数字は、ＥＰＩＤ３０８を作成するために、ＰＩＤ３０４に数値的に付加される。ＥＰＩＤがＰＣＰサイトでデコードされるだけであってもよい限り、ＰＩＤ３０４からＥＰＩＤ３０８を作成するその他の方法（例えばＲｉｖｅｓｔ，Ｓｈａｍｉｒ ａｎｄ Ａｄｅｌｍａｎ、またはＲＳＡなど）は、本発明の例示的な実施形態とともに利用されてもよい。
【００２６】
図４は、識別を取り消された患者データから患者を再識別するための例示的な過程のブロック図である。先に説明されたように、リスクにさらされている患者の人口コホートレポート２１２は、データウェアハウス２１０に対してクエリを実行することによって作成される。識別を取り消された個人は、臨床的な選択肢の基準に基づいて、匿名の人口コホートのメンバーとして長期にわたり追跡され、問合せを受けてもよい。コホートレポート２１２に含まれるクエリ結果は、ＥＰＩＤ３０８の一覧である。患者コホートレポート２１２の中の患者リストＥＰＩＤ３０８は、ＰＣＰシステム１０８によって受信される。ＥＰＩＤ３０８は、ＰＣＰシステム１０８に配置された患者識別子デコード化ソフトウェア４０２に読み込まれ、本来のＰＩＤ３０４が再び作成される。ＰＩＤ３０４は、ＥＭＲデータベース３０２からさらなる識別情報を検索するための鍵として使用されてもよい。ＰＣＰのスタッフは患者に助言を与え、代替の治療法を判断するために、ＥＭＲデータベース３０２からの患者固有の情報を利用してもよい。
【００２７】
本発明の実施形態によって、取り消し可能なＰＣＰは、他の取り消し可能なＰＣＰからの患者データを含有するデータウェアハウスに、患者データを送信することができる。この方法では、患者データは分析され、より数の多い患者人口と比較されてもよい。識別を取り消された患者データは、特定の患者についての２つ以上の記録を分析する長期的なレポートを作成するために有用であってもよいＥＰＩＤ３０８を含む。患者のコホートグループに対する特定の薬品の影響および治療法は分析されることが可能であり、薬品と治療法との使用法または構成物における改善につながってもよい。さらに、本発明の実施形態によって、ＰＣＰはデータウェアハウスに含有されるデータに基づくコホートレポート２１２を受信することができる。これらの患者コホートレポート２１２は、各患者のためのＥＰＩＤ３０８を含む。ＥＰＩＤ３０８は、ＥＰＩＤ３０８が作成されたＰＣＰサイトでデコードされ、特定の患者を識別するために使用されてもよい。この方法では、コホートレポートに含有される情報を考慮することによって、ＰＣＰは改善された治療法を患者に与えることが可能であってもよい。患者レベルに有用な情報を返すためのこの能力はまた、より多くのＰＣＰが患者データをデータウェアハウスに送信することに関与するように導いてもよい。データウェアハウスの中により多くのデータを有することは、製薬会社、医療機器会社および医師などの第三者に、特定の治療法の影響またはリスクについてより有用な情報を提供する一方で、患者識別情報が第三者に明らかにされるリスクを最小限に抑えてもよい。これは、予防的治療に加え、その他種類の医療における改善につながってもよい。
【００２８】
上述のように本発明の実施形態は、コンピュータによって実施される過程、およびそれらの過程を実行するための装置の形態で実施されてもよい。本発明の実施形態はまた、フレキシブルディスク、ＣＤ−ＲＯＭ、ハードドライブ、または任意のその他のコンピュータ可読記憶媒体などの実体のある媒体の中で実施される命令を含むコンピュータプログラムコードの形態で実施されてもよく、コンピュータプログラムコードがコンピュータによってロードされ、実行される場合、コンピュータは本発明を実行するための装置となる。本発明の実施形態はまた、例えば電気ワイヤもしくはケーブル上で、光ファイバを通じて、または電磁放射線を介して、記憶媒体に記憶されるにせよ、コンピュータによってロードおよび／または実行されるにせよ、または何らかの伝送媒体を介して伝送されるにせよ、コンピュータプログラムコードの形態で実施されることも可能であり、コンピュータプログラムコードがコンピュータによってロードされ、実施される場合、コンピュータは本発明を実行するための装置となる。汎用マイクロプロセッサ上で実装される場合、コンピュータプログラムコードの区分はマイクロプロセッサを、特定の論理回路を作成するように構成する。
【００２９】
図５は、本発明の実施形態による、識別を取り消された患者データから患者を再識別するための方法５００のフロー図を示す。はじめにステップ５０５で、識別を取り消された患者は、例えば、ウェブベースのレポート、またはその他のリストもしくは文書などのレポートのようなファイルの中で報告されるか、または一覧にされる。例えば医療従事者は、ウェブベースのポータルまたはその他のソフトウェアベースのユーザインタフェースなどのインタフェースを経由して、患者リストまたはウェブベースの患者レポートから、１つまたは複数の識別を取り消された患者記録を選択してもよい。例えばユーザは、特定の基準（例えば糖尿病、心臓病、性別、年齢など）を満たす患者のレポートまたは一覧を選択および／または生成してもよい。ステップ５１０で、ウェブレポートはローカルファイルにダウンロードされる。例えば、ウェブベースまたはその他のネットワークポータルを経由して取り出されたデータはネットワークソースから、許可された環境にあるユーザのコンピュータ、ローカルネットワークシステム、ソフトウェアおよび／またはその他のプロセッサ上のローカルファイルに手動または自動でダウンロードされてもよい。許可された環境とは、例えばＨＩＰＰＡに準拠した医療従事者のオフィスなど、患者の身元データを閲覧および／または操作することを許可されたシステムまたはその他の動作環境のことである。
【００３０】
ステップ５１５で、ユーザはＭｉｃｒｏｓｏｆｔ Ｅｘｃｅｌ（登録商法）、またはその他のスプレッドシートもしくはレポート作成ソフトウェアなどの閲覧プログラムを起動する。代替として、閲覧プログラムは患者に関連するデータのダウンロードに応じて、自動的に開始されてもよい。ステップ５２０で、閲覧プログラム内からユーザは、患者のカルテ情報を閲覧するための適切な許可をユーザが有していることを保証するために、ＥＭＲシステムで認証される。例えば、患者データへのアクセスを認証するために、ユーザのパスワード、署名および／または生物測定学的な身元が確認されてもよい。ユーザの認証がなければ、ユーザは記憶されたＥＭＲプロシージャを実行することができなくてもよい。例えば、ＥＭＲホストシステムの中にある認証機構は、特権のレベルの確認とともに、ユーザの氏名およびパスワードのために起動されてもよい。
【００３１】
ステップ５２５で、ユーザは識別を取り消された患者データに関して、再識別機能を選択するか、または起動する。例えば表示された患者データの項目のすべて、または選択された項目のサブセットに対して再識別機能の実行を起動、または始動するために、閲覧プログラムにアイコン、ボタン、メニューオプションおよび／またはコマンドが付加されてもよい。ステップ５３０で、Ｅｘｃｅｌなどの閲覧プログラムは、ＥＰＩＤなどの暗号化された識別子を含有するカラムおよび／またはフィールドを求めて、レポートのカラムヘッダまたはその他のフィールドを検索する。本明細書の中で「暗号化される」とは、識別子または患者情報が、患者のプライバシーを保護するためにコード化される、識別を取り消される、抽象化される、匿名化される、および／またはその他に暗号化されることを示すために使用されていることを理解されたい。例えばワークシート、スプレッドシート、表またはその他の文書などのファイルは、再識別されるべき適切なカラムまたは一連のデータを識別するカラムヘッダまたはその他のフィールドを求めて、スキャンされてもよい。
【００３２】
カラムが一旦特定されると、ステップ５３５でプログラムはＥＰＩＤのセットを収集し、これをデータ接続（例えばオープンデータベース接続性（ＯＤＢＣ）、またはオブジェクトのリンクと埋め込みデータベース（ＯＬＥ ＤＢ）接続）などのデータ通信接続を通じて、ＥＭＲシステムおよび／またはデータベース、またはデータウェアハウスに送信する。例えば、ファイル文書は、カラムヘッダまたはその他のフィールド識別子のうちのどれが患者のカラムまたは類似の構造に対応しているのかを識別するために、スキャンされてもよい。次いで、例えば患者レポートからのＥＰＩＤのセットは、対応（ｃｏｍｐｌｉａｎｔ）の接続を経由して電子医療記録データウェアハウスに送信される。患者のカラムの中で見つけ出された、選択されたか、または識別されたＥＰＩＤは、例えばアレイまたはその他のデータ構造の中に組織されてもよい。
【００３３】
ステップ５４０で、ＥＭＲデータベース中に記憶されたプロシージャは、患者の識別子（例えばＰＩＤ）、患者の名前、苗字等の患者の識別が可能な情報でＥＰＩＤを強化するために起動される。ＥＭＲデータベースは、例えばＨＩＰＡＡに準拠したデータベース、データウェアハウスおよび／またはその他のデータストアであってよい。ステップ５４５で、ＥＰＩＤのアレイまたはその他の構造は、患者のカラムから取り出されたすべてのＥＰＩＤを求めてスキャンされ、記録またはその他のデータはデータ接続（例えばＯＤＢＣまたはＯＬＥ ＤＢ）を経由してＥＭＲデータベースに送信され、再識別の記憶されたプロシージャは、結果として生じる名前、苗字等を取り出すために起動される。例えば記憶されたプロシージャは、内部識別子をプロシージャに渡す、データベースに存在するアルゴリズムを呼び出してもよい。特定の実施形態において、例えばハッシュ機能はＥＰＩＤからＰＩＤを生成するために使用される。代替として、例えばオフセット、患者の氏名に基づくアルゴリズム、年齢および社会保障番号、および／またはその他のアルゴリズムは、患者記録のための内部識別子を生成するために使用されてもよい。内部識別子は、ＥＰＩＤ記録に対応する氏名および／またはその他の識別情報を次々に返送するクエリのためのパラメータとして渡される。例えば、ＰＩＤまたはその他の識別子は、適切な記録を識別するために、データベース中で記録の索引付け、または検索を行うために使用されてもよい。
【００３４】
ステップ５５０で、識別情報は次いで、Ｍｉｃｒｏｓｏｆｔ（商標）Ｅｘｃｅｌまたはその他のスプレッドシートもしくはデータベースプログラムなどの閲覧アプリケーションに返送される。ステップ５５５で、カラムおよび／またはその他のフィールドは、患者の識別が可能な情報（例えば患者ＩＤ、名前、苗字等）のために、スプレッドシートまたはその他の文書などのファイルの中で挿入および／または置換される。例えば、ＰＩＤおよび／または患者氏名のカラムおよび／またはフィールドは、ファイルに付加されてもよい。および／またはＥＰＩＤおよび／またはファイル中のその他カラムまたはフィールドに上書きをしてもよい。
【００３５】
方法５００のステップのうちの１つまたは複数は、例えばハードウェア、ファームウェアの中で、および／またはソフトウェア中の命令のセットとして、単独で実施されてもよく、または組み合わせて実施されてもよい。特定の実施形態は、汎用コンピュータまたはその他の処理デバイスでの実行のために、メモリ、ハードディスク、ＤＶＤまたはＣＤなどのコンピュータ可読媒体に存在する命令のセットとして提供されてもよい。
【００３６】
本発明の特定の実施形態は、これらのステップのうちの１つまたは複数を省略してもよい。および／または記載された順序とは異なる順序でステップを実行してもよい。例えば、本発明の特定の実施形態の中で一部のステップは実行されなくてもよい。さらなる例として、特定のステップは、同時に実行することを含めて、上に記載されたものとは異なる時間的順序で実行されてもよい。
【００３７】
特定の実施形態において、患者情報が一旦再識別されると、ユーザはさらなる分析、操作等のための照会処理として、対応する患者リストをＥＭＲに送信してもよい。再識別された患者記録は許可されたユーザによって修正、比較および／またはその他のやり方で操作され、局所的に、および／またはＥＭＲデータベースまたはその他のストレージの中に保存されてもよい。修正された記録は、例えばそれが保存される前に、識別を取り消されてもよい。
【００３８】
特定の実施形態において、ＥＭＲの更新は周期的な基準（例えば毎晩、毎週など）でデータベース、データウェアハウスおよび／またはその他のデータストアに対して「プッシュ」、「プル」されるか、またはその他の方法で通信される。特定の実施形態において、再識別された患者記録に対して局所的に行われた変更は識別を取り消され、ＥＭＲシステムおよび／またはストレージのためのデータベースに通信される。
【００３９】
特定の実施形態において、ユーザは「発掘」ダイアログまたは検索機能を起動することによって、ＥＭＲ内の１つまたは複数の患者記録を求めて検索を行ってもよい。ユーザは、例えばＥＰＩＤによって検索を行い、検索を起動するためにＥＰＩＤ番号を入力または選択してもよい。対応する患者のカルテは取り出され、表示されてもよい。したがって、患者は識別され、確認されている許可された医療提供者のために、再識別されてもよい。
【００４０】
したがって、再識別とは暗号化され、再暗号化されたデータが物理的に別々のシステムで一緒に機能することができるようにする機構またはパターンである。暗号化されたシステムはＨＩＰＡＡに準拠した患者レベルの情報をホストし、（例えばより多くのオーディエンスにデータの閲覧を提供するなど）暗号化されているという点から見た有用な機能を提供してもよいが、暗号化されたシステムから情報を導入し、暗号化されたシステムから物理的に離れてはいるが、患者の識別が可能な情報を閲覧する許可を得ている（例えば許可された環境の）オーディエンスのために、情報を再識別する必要がある。患者を再識別する過程は、例えばローカルシステム上で生じる過程である。
【００４１】
特定の実施形態において、識別を取り消された患者データと識別されている患者データとを分離することは、個別の患者のセキュリティーを侵すことなく、患者人口のより幅広い分析を促進する。人口ベースの分析は、患者のプライバシーを守りながら安全に実行されてもよい。再識別は、患者の医療提供者が患者を診断、治療することができるように、および／または患者にその他のサービスを提供できるように、ローカルシステムレベルで生じてもよい。
【００４２】
したがって、患者情報のより幅広い分析は、同時に患者のプライバシーを尊重しながら可能となる。医療提供者コミュニティは、患者のプライバシーを傷つけることなく、患者人口をベンチマーキングし、比較してもよい。同時に患者の医療提供者は、暗号化されたサイトによってホスト／提示されるローカルレベルの患者人口の中から患者を再識別してもよい。例えば、再識別アルゴリズムは、医療提供者レベルで局所的に記憶されてもよい。この物理的な分離は、患者の識別が可能な情報を閲覧することに由来する、ポータル上で識別を取り消されたデータを閲覧する他の提供者の潜在的なリスクを制限してもよい。
【００４３】
特定の実施形態によって、患者情報は、患者のプライバシーを傷つけることなく、当事者間で共有されることが可能となる。より広い医療スペースでは、研究者、政府機関、実践コミュニティが患者人口を調査したいと思っているが、患者の識別取り消しと再識別において、ソースデータの提供者とともに機能する、よい機構がないことから、現在は制限を受けているといった適用が存在するであろう。特定の実施形態は、そのような相互作用を促進する。例えば、暗号化された情報はＭｉｃｒｏｓｏｆｔ Ｅｘｃｅｌ（商標）、Ｃｅｎｔｒｉｃｉｔｙ Ｐｈｙｓｉｃｉａｎ Ｏｆｆｉｃｅ ＥＭＲ（商標）アプリケーション、および／またはその他のアプリケーション内で、患者の提供者システムによって再識別され、次いで消費されるか、または患者の提供者システムにインポートされてもよい。研究者および機関などのその他のエンティティは、患者のプライバシーを傷つけるリスクが減らされた状態で、暗号化された、または識別を取り消されたデータを閲覧および／または操作してもよい。
【００４４】
図６は、本発明の実施形態による患者データの識別取り消しと再識別とのためのシステム６００を示す。システム６００は１つまたは複数のユーザワークステーション６１０、ウェブポータル６２０、データストア６３０、データリンク６４０を含む。システム６００は、例えばディスプレイ６５０および／またはデータサーバ６６０もまた含んでよい。システム６００は、例えば１つまたは複数のソフトウェアプロセス、コンピュータおよび／またはその他のプロセッサをワークステーション６１０の代わりに、および／またはワークステーション６１０に加えて含んでもよい。システム６００は、例えば１つまたは複数のウェブサービスをウェブポータル６２０の代わりに、および／またはウェブポータル６２０に加えて含んでもよい。
【００４５】
システム６００の構成要素は、例えばハードウェア、ファームウェアの中で、および／またはソフトウェア中の命令のセットとして単独で、または組み合わせて実装されてもよい。特定の実施形態は、汎用コンピュータまたはその他の処理デバイスでの実行のために、メモリ、ハードディスク、ＤＶＤまたはＣＤなどのコンピュータ可読媒体に存在する命令のセットとして提供されてもよい。特定の実施形態は様々な形態の中で統合されてもよい。および／またはコンピュータなどのコンピューティングデバイスのソフトウェアおよび／またはその他の機能として提供されてもよい。特定の実施形態は、再識別および／または識別取り消しの機能を実行し、ローカルユーザとデータストアとの間でデータを通信するために、システム６００の構成要素のうちの１つまたは複数を省略してもよい。
【００４６】
動作の中で、ワークステーション６１０またはその他のプロセッサは、ウェブポータル６２０またはその他のウェブサービスを経由して、データを要求してもよい。例えば、ワークステーション６１０のユーザは、ウェブポータル６２０にアクセスするウェブブラウザを経由して、患者に関連するデータを要求する。ウェブポータル６２０は、データリンク６４０を経由してデータストア６３０と通信する。例えば、ウェブポータル６２０は、インターネットまたはプライベートネットワークなどのネットワークを介して、ＥＭＲデータマートなどのデータストア６３０から、データを要求する。データストア６３０は、ウェブポータル６２０を経由して、要求されたデータをワークステーション６１０に返送する。データは、例えばＨＩＰＰＡによって保護されていないデータ、識別を取り消された／暗号化された患者データ、再識別された患者データ、および／またはその他のデータを含んでもよい。
【００４７】
ユーザワークステーション６１０は、データストア６３０から送信されたデータを表示するために、ディスプレイ６５０と通信してもよい。データはまた、例えば印刷および／またはファイル生成のために使用されてもよい。ワークステーション６１０はまた、例えばデータおよび／またはその他の更新版を送信するために、データサーバ６６０と通信する。
【００４８】
特定の実施形態において、識別を取り消された患者レポートは、ワークステーション６１０からの要求に応じて、ウェブポータル６２０を経由してデータストア６３０からワークステーション６１０に送信される。ワークステーション６１０は、ワークステーション６１０で局所的に識別を取り消された患者データの再識別を実行する。再識別は、例えば対応するＰＩＤまたはその他の類似の技術を判定するために、ＥＰＩＤの検索を介して実行されてもよい。再識別機能は、例えばＭｉｃｒｏｓｏｆｔ Ｅｘｃｅｌ、Ｍｉｃｒｏｓｏｆｔ Ｗｏｒｄ、および／またはその他のソフトウェアなどの文書閲覧／編集プログラムの中に統合されてもよい。再識別機能は、ＥＰＩＤをＰＩＤと照合するために、データストア６３０および／またはデータサーバ６６０などの外部ソースの中のデータにアクセスしてもよい。特定の実施形態において、ＥＰＩＤはワークステーション６１０の文書の中で、ＰＩＤおよび／またはその他の患者識別情報（例えば患者の氏名）と置換されてもよい。
【００４９】
特定の実施形態において、ワークステーション６１０は、例えば患者データが再識別される前に、サーバ６６０を経由してアクセスの特権または権利を最初に認証してもよい。ワークステーション６１０はまた、例えばサーバ６６０および／またはデータストア６３０を経由して、患者および／または提供者の属性を検索してもよい。
【００５０】
本発明が例示的な実施形態に関して説明されてきたが、本発明の範囲から逸脱することなく、本発明の要素のために様々な変更が行われ、同等物が代用されてもよいことが当業者には理解されよう。さらに、本発明の基本的な範囲から逸脱することなく、特定の状況または素材を本発明の教示に適応させるために、多くの修正が行われてもよい。したがって本発明は、本発明を実行するために熟慮された最良の形式として開示される特定の実施形態に限定されるわけではなく、添付の特許請求の範囲内にあるすべての実施形態を含むということが意図されている。さらに、第１、第２等の言葉の使用はいかなる順序または重要性をも意味するものではなく、第１、第２等の言葉はむしろ、１つの要素を他の要素と区別するために使用される。また、図面の符号に対応する特許請求の範囲中の符号は、単に本願発明の理解をより容易にするために用いられているものであり、本願発明の範囲を狭める意図で用いられたものではない。そして、本願の特許請求の範囲に記載した事項は、明細書に組み込まれ、明細書の記載事項の一部となる。
【図面の簡単な説明】
【００５１】
【図１】本発明の実施形態による、患者の識別を安全に行うための例示的なシステム図である。
【図２】本発明の実施形態による例示的なデータウェアハウス構造のブロック図である。
【図３】本発明の実施形態により使用されるデータウェアハウスの中のストレージのための、患者データの識別を取り消す例示的な過程を示す図である。
【図４】本発明の実施形態による、識別を取り消された患者データから患者を再識別するための例示的な過程のブロック図である。
【図５】本発明の実施形態による、識別を取り消された患者データから患者を再識別するための方法のフロー図である。
【図６】本発明の実施形態による、患者データの識別取り消しと再識別とのためのシステム図である。
【符号の説明】
【００５２】
１０２ データウェアハウスユーザシステム
１０４ データウェアハウスシステム
１０６ ネットワーク
１０８ ＰＣＰシステム
１１０ ＰＣＰユーザシステム
２０６ データインポート機能
２０８ ステージング領域
２１０ データウェアハウス
２１２ 患者コホートレポート
３０２ ＥＭＲデータベース
３０４ 患者識別子
３０８ コード化された患者識別子
３１２ パスワード列
４０２ 患者識別子デコード化ソフトウェア
図５ フロー図
６００ システム
６１０ ユーザワークステーション
６２０ ウェブポータル
６３０ データストア
６４０ データリンク
６５０ ディスプレイ
６６０ データサーバ
【技術分野】
【０００１】
本発明は一般に患者の識別を安全に行うことに関し、特にはデータウェアハウスシステムへの提出のために取り消し可能な患者治療提供者（ＰＣＰ）サイトで患者データの識別を取り消し、その後ＰＣＰサイトで、データウェアハウスシステムから受信された識別を取り消された患者データから患者を再識別することに関する。
【背景技術】
【０００２】
病院では典型的に、病院内の様々な部門を管理するためにコンピュータシステムを利用し、各患者についてのデータは様々なコンピュータシステムによって収集される。例えば、患者は経胸腔エコー（ＴＴＥ）のために入院していてもよい。その患者についての（例えば人口統計および保険などの）情報は病院情報システム（ＨＩＳ）によって取得され、患者記録に記憶されることが可能である。次いで、この情報は心臓学部門システム（通常は心臓血管情報システムまたはＣＶＩＳとして知られている）に渡されることが可能である。典型的に、ＣＶＩＳはある会社の製品であり、一方でＨＩＳは別の会社の製品である。その結果、その２つの間のデータベースは異なっていてもよい。さらに、情報システムは異なるレベルのデータのグラニュラリティで捕獲／保持および送信を行ってもよい。患者情報がＣＶＩＳによって一旦受信されると、患者はエコー研究室のＴＴＥのためにスケジュールを組まれてもよい。次に、超音波検査技師によってＴＴＥが実行される。画像と測定値とが取り出され、ＣＶＩＳサーバに送信される。読影医（例えば心エコー技師（ｅｃｈｏｃａｒｄｉｏｇｒａｐｈｅｒ））は検査ステーションに着席し、患者のＴＴＥ調査書を取り出す。次いで、心エコー技師は画像と測定値との検査を開始して、調査書についての完成された医療レポートを作成する。心エコー技師が医療レポートを完成させると、レポートは、それが記憶され、患者識別データを通して患者に関連付けられるＣＶＩＳサーバに送信される。この完成された医療レポートは、公共データの採掘のためのデータリポジトリに送信されることが可能な種類のレポートの一例である。処方箋および／または資料などの投薬法の指示もまた、電子的に作り出され、データリポジトリに保存される。
【０００３】
データウェアハウス方法は、医療費請求書および電子医療記録（ＥＭＲ）から得られた患者情報を集計、整理、組織、報告および分析するために使用される。患者データは、地理的に分散した位置にあるＰＣＰに配置された複数のＥＭＲデータベースから抽出され、その後中央に配置されたデータウェアハウスに運搬され、記憶されてもよい。中央データウェアハウスは、医師の生産性、予防的治療、疾病管理の統計および臨床結果についての調査の人口ベースの概要レポートのための情報源であってもよい。中央データウェアハウスはまた、複数の治療提供者の間で実績をベンチマーキングする（ｂｅｎｃｈｍａｒｋ）するために使用されてもよい。患者データは繊細な、極秘のものであるので、特定の識別情報は、それをＰＣＰサイトから中央データウェアハウスに運搬する前に除去されなければならない。この識別情報の除去は、アメリカ合衆国の医療保険の相互運用性と説明責任に関する法律（Ｈｅａｌｔｈ Ｉｎｓｕｒａｎｃｅ Ｐｏｒｔａｂｉｌｉｔｙ ａｎｄ Ａｃｃｏｕｎｔａｂｉｌｉｔｙ Ａｃｔ）（ＨＩＰＡＡ）の規定ごとに実行されなければならない。公共のデータベースに含まれるいかなるデータも、データベースの中に医療情報が含まれている個別の患者の身元を明らかにしてはならない。この必要条件から、特定の患者までさかのぼることを助けることが可能な、医療レポートまたは記録に含まれるいかなる情報も、公共データの採掘のためのデータウェアハウスにそのデータを付加する前に、レポートまたは記録から除去されなければならない。
【０００４】
特定の薬品または治療法の患者への影響を正確に評価するためには、特定の患者に関するすべての医療レポートを分析することが役に立つ。個別の患者までさかのぼるために使用されることが可能なデータを除去することは、特定の患者に関するすべての医療レポートを集め、分析することを不可能にする。さらに、人口分析の目的の一つは、臨床介入の対象者となるかもしれない個人からなる、リスクにさらされているコホート（ｃｏｈｏｒｔ）人口を集めることである。しかしながら、識別を取り消されたデータは、患者を治療するために自分自身の患者の身元を知る必要のある患者治療提供者にとっては、あまり有用なものではない。さらにシステムのユーザは、さらなる事後調査のために患者を再識別する能力を必要とするかもしれない。ポータルのユーザは、ポータルシステムを伴わない過程の中で患者を再識別する必要があるかもしれず、すなわち再識別の過程はローカルユーザのシステムで生じる。
【発明の開示】
【発明が解決しようとする課題】
【０００５】
したがって、医療記録に関して患者を再識別するためのシステムおよび方法が必要とされる。ＨＩＰＡＡを遵守する中で、患者記録の再識別を安全に行うためのシステムおよび方法が必要とされる。
【課題を解決するための手段】
【０００６】
本発明の特定の実施形態は、識別を取り消されたか、または匿名化された患者データを取り出し、再識別するためのシステムおよび方法を提供する。
【０００７】
特定の実施形態は、患者データを再識別するためのシステムおよび方法を提供する。患者データは、暗号化または抽象化された患者識別子を取り出すことによって、再識別されてもよい。識別子は、患者識別情報に関連する患者識別子を取り出すために使用される。患者識別情報は、許可されたユーザによるアクセスのために、ローカルコンピュータまたはウェブポータルのレポートまたはその他の文書に挿入されてもよい。
【０００８】
特定の実施形態は、許可された環境における局所化された患者データの再識別のための方法を提供する。方法は、許可された環境内で、ファイルから暗号化された患者識別を取り出すことを含む。方法はまた、暗号化された患者識別子を使用して、患者識別情報に関連する患者識別子を特定することも含む。さらに、方法は許可された環境の中で、患者識別情報をファイルの中に挿入することを含む。
【０００９】
特定の実施形態は患者再識別システムを提供する。システムは患者データを記憶するデータストレージを含む。患者データは、コード化された患者識別子と患者識別子とを含む。コード化された患者識別子は患者識別子に対応している。システムは、データストレージと接続するように構成されたプロセッサをさらに含む。プロセッサは、コード化された患者識別子を含むファイルの中の患者データを閲覧することができる閲覧アプリケーションを含む。プロセッサはデータストレージを使用して、ファイル中のコード化された患者識別子を対応する患者識別子に置き換えるプロシージャを起動する。コード化された患者データを対応する患者識別子に置き換えることは、プロセッサを経由して生じる。
【００１０】
特定の実施形態は、コンピュータ上での実行のための命令のセットを含む、少なくとも１つのコンピュータ可読媒体を提供する。命令のセットは、患者に関連したデータを含むデータストアを含む。患者に関連したデータは、少なくとも１つの暗号化された患者識別子と、少なくとも１つの暗号化されていない患者識別子とを含む。患者に関連したデータは、少なくとも１つの暗号化された患者識別子と少なくとも１つの暗号化されていない患者識別子とによって、検索可能である。命令のセットはまた、許可された環境の中で患者データを含むファイルを閲覧するために構成された閲覧アプリケーションも含む。さらに命令のセットは、閲覧アプリケーションを経由して始動される再識別ルーチンを含む。再識別ルーチンはファイルの中の暗号化された患者識別子を選択し、ファイルの中の暗号化された患者識別子を、データストアの中の少なくとも１つの暗号化された患者識別子のうちの１つと照合する。再識別ルーチンは、暗号化された患者識別子に対応する暗号化されていない患者識別子を配置し、許可された環境の中で暗号化されていない患者識別子をファイルに挿入する。
【００１１】
上述の要約は、以下の本発明の特定の実施形態の詳細な説明とともに、添付の図面と合わせて読む場合、よりよく理解されるであろう。特定の実施形態は、本発明を例示する目的で図面の中に示されている。しかしながら、本発明は添付の図面の中で示されている配置および手段に限定されるわけではないことを理解されたい。
【発明を実施するための最良の形態】
【００１２】
本発明の例示的な実施形態は、取り消し可能な患者治療提供者（ＰＣＰ）サイトから、患者データが分析され、幅広い範囲の患者データと比較されてもよいデータウェアハウスシステムへ、識別を取り消された患者情報を送信するための安全な過程である。本明細書で使用される「識別を取り消された患者情報」および「識別を取り消された患者データ」という用語はどちらも、ＨＩＰＡＡおよびＨＩＰＡＡによって定義される限定されたデータセットのデータによって定義されるような、完全に識別を取り消されたデータのことを指す。限定されたデータセットは、直接的な識別子（例えば氏名、市、州以外の住所および郵便番号、社会保障番号、医療記録番号など）を除くが、その他の識別情報（例えば診察を受けた日付、資料、診断、処方箋、研究室のテスト結果など）は残っていてもよい、研究、公衆衛生および医療活動のために保護された健康情報である。これは、個別の患者までさかのぼるために使用される可能性のあるすべてのデータが記録から除去されている、ＨＩＰＡＡによって定義されるような完全に識別を取り消されたデータと対照的である。個別の患者に関係するデータウェアハウスを通じて取得される情報は、コホートレポートを介して発信元のＰＣＰサイトに返送される。コホートレポートは、患者のコホートグループを識別するために、データウェアハウスシステムに対して実行されるクエリによって生成される。コホートレポートに含まれる個別の患者は、個別の患者のための治療法の選択肢を決定する際に、ＰＣＰがその情報を考慮してもよいように、その後ＰＣＰサイトで再識別される。
【００１３】
図１は、患者の身元を安全にするための例示的なシステムである。様々なＰＣＰサイトに配置されたＰＣＰシステム１０８は、ネットワーク１０６に接続されている。ＰＣＰシステム１０８は、データウェアハウスシステム１０４に配置されたデータウェアハウスに患者の医療データを送信する。ＰＣＰシステム１０８は典型的に、ＰＣＰサイトで治療される患者に関連する電子医療記録（ＥＭＲ）を記憶するための１つまたは複数のストレージデバイスとともに、データの抽出を実行するためのアプリケーションソフトウェアを含む。さらにＰＣＰシステム１０８は、ＥＭＲデータにアクセスしてデータの抽出を開始し、患者識別子を暗号化するために使用されるパスワード列を入力するためのＰＣＰユーザシステム１１０を含んでもよい。ＰＣＰユーザシステム１１０はＰＣＰシステム１０８に直接取り付けられていてもよく、またはネットワーク１０６を介してＰＣＰシステム１０８にアクセスしてもよい。各々のＰＣＰユーザシステム１１０は、本明細書で説明される過程を遂行するためのコンピュータプログラムを実行する汎用コンピュータを使用して実装されてもよい。ＰＣＰユーザシステム１１０はパーソナルコンピュータか、またはホスト付属の端末であってもよい。ＰＣＰユーザシステム１１０がパーソナルコンピュータである場合、本明細書で説明される処理は、ＰＣＰユーザシステム１１０にアプレットを提供することによって、ＰＣＰユーザシステム１１０とＰＣＰシステム１０８とによって共有されてもよい。ＰＣＰシステム１０８に配置されるストレージデバイスは、ファイル転送プロトコル（ＦＴＰ）サーバなどの、電子情報を記憶するための様々なデバイスを使用して実装されてもよい。ストレージデバイスは、ＰＣＰシステム１０８に含まれるメモリを使用して実装されてもよいか、または独立の物理的デバイスであってもよいことを理解されたい。ストレージデバイスは、ＥＭＲデータベースを含めた様々な情報を含む。
【００１４】
さらに、図１のシステムは、（例えばコホートレポートを作成するために）データウェアハウスに記憶された特定の記録にアクセスするために、エンドユーザがデータウェアハウスシステム１０４のアプリケーションプログラムに要求を出してもよい、１つまたは複数のデータウェアハウスユーザシステム１０２を含む。本発明の例示的な実施形態において、エンドユーザはＰＣＰのスタッフメンバー、製薬会社またはその他の会社の研究チームのメンバー、および医薬品またはその他の製品を作る会社からの人員を含んでもよい。データウェアハウスユーザシステム１０２はデータウェアハウスシステム１０４に直接接続されているか、またはネットワーク１０６を経由してデータウェアハウスシステム１０４に接続されていてもよい。各々のデータウェアハウスユーザシステム１０２は、本明細書で説明される過程を遂行するためのコンピュータプログラムを実行する汎用コンピュータを使用して実装されてもよい。データウェアハウスユーザシステム１０２はパーソナルコンピュータ、ホスト付属の端末、ソフトウェアおよび／またはその他のプロセッサであってもよい。データウェアハウスユーザシステム１０２がパーソナルコンピュータである場合、本明細書で説明される処理は、データウェアハウスユーザシステム１０２にアプレットを提供することによって、データウェアハウスユーザシステム１０２とデータウェアハウスシステム１０４とによって共有されてもよい。
【００１５】
ネットワーク１０６はローカルエリアネットワーク（ＬＡＮ）、ワイドエリアネットワーク（ＷＡＮ）、イントラネット、またはグローバルネットワーク（例えばインターネット）を含む、任意の種類の知られているネットワークであってよい。データウェアハウスユーザシステム１０２は、すべてのデータウェアハウスユーザシステム１０２が同じネットワークを通じてデータウェアハウスシステム１０４に接続されなくてもよいように、複数のネットワーク（例えばイントラネットおよびインターネット）を通じてデータウェアハウスシステム１０４に接続されてもよい。同様に、ＰＣＰシステム１０８は、すべてのＰＣＰシステム１０８が同じネットワークを通じてデータウェアハウスシステム１０４に接続されなくてもよいように、複数のネットワーク（例えばイントラネットおよびインターネット）を通じてデータ採掘ホストシステム１０４に接続されてもよい。データウェアハウスユーザシステム１０２、ＰＣＰシステム１０８およびデータウェアハウスシステム１０４のうちの１つまたは複数は、ワイヤレス方式でネットワーク１０６に接続されてもよく、ネットワーク１０６はワイヤレスネットワークであってもよい。例示的な実施形態において、ネットワーク１０６はインターネットであり、各々のデータウェアハウスユーザシステム１０２はデータウェアハウスシステム１０４に直接接続するために、ユーザインタフェースアプリケーションを実行する。別の実施形態において、データウェアハウスユーザシステム１０２は、ネットワーク１０６を通じてデータウェアハウスシステム１０４と接触するために、ウェブブラウザを実行してもよい。代替としてデータウェアハウスユーザシステム１０２は、ウェブＴＶなどの、主にネットワーク１０６にアクセスするためにプログラムされたデバイスを使用して実装されてもよい。
【００１６】
データウェアハウスシステム１０４は、サーバによるアクセスが可能なストレージ媒体に記憶されたコンピュータプログラムに応じて動作するサーバを使用して実装されてもよい。データウェアハウスシステム１０４は、データウェアハウスユーザシステム１０２およびＰＣＰシステム１０８と通信するために、ネットワークサーバ（しばしばウェブサーバと呼ばれる）として動作してもよい。データウェアハウスシステム１０４は、データウェアハウスユーザシステム１０２およびＰＣＰシステム１０８への情報の送信、ならびにそれらへの情報の受信を処理し、関連のタスクを実行することができる。データウェアハウスシステム１０４はまた、データウェアハウスシステム１０４への許可されていないアクセスを防ぎ、許可されているアクセスに対して任意の制限を強いるファイヤウォールを含んでもよい。例えば、管理者はシステム全体へのアクセスを有し、システムの一部を変更する権限を有してもよく、ＰＣＰのスタッフメンバーは、特定の患者についてのデータウェアハウス記録の部分集合を閲覧するためのアクセスしか有していなくてもよい。例示的な実施形態において、管理者は新たなユーザを付加し、ユーザを削除し、ユーザの特権を編集する能力を有している。ファイヤウォールは、当技術分野で知られているような従来のハードウェアおよび／またはソフトウェアを使用して実装されてもよい。
【００１７】
データウェアハウスシステム１０４はまた、アプリケーションサーバとしても動作する。データウェアハウスシステム１０４は、患者データをステージング領域にインポートし、その後データウェアハウスにインポートするためのアプリケーションプログラムの他に、データウェアハウスシステムに配置されたデータリポジトリへのアクセスを提供するための１つまたは複数のアプリケーションプログラムを実行する。さらに、データウェアハウスシステム１０４はまた、患者コホートレポートを作成し、それをＰＣＰシステム１０８に送信するための１つまたは複数のアプリケーションを実行する。処理は、アプリケーション（例えばｊａｖａ（商標）、アプレットなど）をデータウェアハウスユーザシステム１０２に提供することによって、データウェアハウスユーザシステム１０２とデータウェアハウスシステム１０４とによって共有されてもよい。代替として、データウェアハウスユーザシステム１０２は、本明細書で説明される処理の一部を実行するためのスタンドアローン型のソフトウェアアプリケーションを含むことができる。同様に、処理はアプリケーションをＰＣＰシステム１０２に提供することによって、ＰＣＰシステム１０２とデータウェアハウスシステム１０４とによって共有されてもよく、代替として、ＰＣＰシステム１９２は、本明細書で説明される処理の一部を実行するためのスタンドアローン型のソフトウェアアプリケーションを含むことができる。ネットワークサーバ機能とアプリケーションサーバ機能とを実装するために、独立のサーバが使用されてもよいことを理解されたい。代替としてネットワークサーバ、ファイヤウォールおよびアプリケーションサーバは、必要な機能を遂行するために、コンピュータプログラムを実行する単一のサーバによって実装されることが可能である。
【００１８】
データウェアハウスシステム１０４に配置されたストレージデバイスは、ファイル転送プロトコル（ＦＴＰ）サーバなどの、電子情報を記憶するための様々なデバイスを使用して実装されてもよい。ストレージデバイスは、データウェアハウスシステム１０４に含まれるメモリを使用して実装されてもよいか、または独立の物理的デバイスであってもよいことを理解されたい。ストレージデバイスは、１つまたは複数のＰＣＰからの患者医療データを含有するデータウェアハウスを含めて、様々な情報を含有する。データウェアハウスシステム１０４はまたデータベースサーバとして動作し、ストレージデバイスに記憶されたデータを含むアプリケーションデータへのアクセスを調整する。データウェアハウスは、ユーザの特性に基づいて制限されたアクセスを備える単一のデータベースとして物理的に記憶されてもよく、またはデータウェアハウスユーザシステム１０２もしくはデータウェアハウスシステム１０４のデータベースの一部を含む様々なデータベースに、物理的に記憶されることが可能である。例示的な実施形態において、データリポジトリはリレーショナルデータベースシステムを使用して実装され、データベースシステムは、エンドユーザの特性に基づき、異なるエンドユーザに対して異なるデータの見解を提供する。
【００１９】
図２は、例示的なデータウェアハウス構造のブロック図である。患者データは、ＰＣＰシステム１０８に配置されたＥＭＲデータベースから抽出される。本発明の例示的な実施形態において、ＥＭＲデータベース記録は患者の氏名および住所、投薬法、アレルギー、診察、診断および健康保険情報などのデータを含む。ＰＣＰシステム１０８は、ＥＭＲデータベースから患者データを抽出するためのアプリケーションソフトウェアを含む。次いで、データは識別を取り消され、（例えばハイパーテキスト転送プロトコル（ＨＴＴＰＳ）を経由して）ネットワーク１０６を介してデータウェアハウスシステム１０４に運搬される。データウェアハウスシステム１０４は、データインポート機能２０６を実行するためのアプリケーションソフトウェアを含む。データインポート機能２０６は複数のサイトから識別を取り消された患者データを集め、整理し、次いでデータをステージング領域２０８に記憶する。複数のＰＣＰシステム１０８から受信されたデータは正規化され、有効性と完全性とについて検査され、訂正されるか、または欠陥があるものとして標識を付けられる。複数のＰＣＰシステム１０８からのデータは、その後リレーショナルデータベースの中にまとめられる。説明された方式における収集、整理および組織データによって、データは単一のエンティティとして、または各個別のＰＣＰサイト１０８に特有のもとして、有意義かつ効率的に問合せを受けることが可能である。識別を取り消されたデータは、次いで問合せを行うために利用されることが可能なデータウェアハウス２１０に組織される。
【００２０】
患者コホートレポート２１２はデータウェアハウスシステム１０４に配置されたアプリケーションソフトウェアによって生成され、個別の患者の治療において主たる治療提供者によって使用されるために、ＰＣＰシステム１０８に返送される。患者コホートレポート２１２は、周期的な基準でキャンドクエリを実行することによって、自動的に生成されてもよい。ＰＣＰのスタッフメンバー、製薬会社またはその他の会社の研究チームのメンバー、および医薬品またはその他の製品を作る会社からの人員は、各々患者コホートレポート２１２を実行してもよい。さらに、患者コホートレポート２１２はカスタムのレポートを作成するため、またはキャンドレポートの実行を開始するためにデータウェアハウスユーザシステム１０２にアクセスするエンドユーザによって作成されてもよい。さらに、患者コホートレポート２１２は、患者のための特定のデータの組合せがデータウェアハウスの中に記憶されることを判定するデータウェアハウスシステム１０４に配置されたアプリケーションソフトウェアに応じて、自動的に生成されてもよい。例示的な患者コホートレポート２１２は、特定の投薬法で治療された、特定の疾病を抱えたすべての患者を含む。別の例示的な患者コホートレポート２１２は、特定のテスト結果を持つ、特定の年齢および性別の患者を含む。例えば、患者コホートレポート２１２は、ホルモン置換療法の薬品を摂取している心臓病を抱えたすべての女性を一覧にしてもよい。患者コホートレポート２１２は、起こり得る副作用、および副作用の起こる可能性についての注意とともに、この基準に適合するデータウェアハウス２１０中の記録を持つすべての患者を一覧にする。例示的な実施形態において、各ＰＣＰサイトはレポート全体を受信し、別の実施形態においては、各ＰＣＰサイトはＰＣＰサイトで扱われる患者のためだけのレポートを受信する。
【００２１】
本発明の例示的実施形態において、長期的な患者データを問い合わせることに基づく患者コホートレポート２１２を作成する能力は、データウェアハウス２１０の中の単一の患者に関係するすべてのレコードを結合する能力によって支援される。これは、データウェアハウス２１０に送信される各患者記録に関連付けられる固有の識別子を必要とする。固有の識別子は、データウェアハウス２１０にアクセスするエンドユーザによる個別の患者にさかのぼることが可能なものであってはならない。しかしながら、個別のＰＣＰは固有の識別子に基づいて患者を再識別する能力を保ち続けていてもよいので、ＰＣＰサイトに配置される医療人員は、患者コホートレポート２１２に含まれる情報に応じて、患者を最後までたどる（ｆｏｌｌｏｗ ｔｈｒｏｕｇｈ）ことができる。図３は、データウェアハウスシステム１０４に配置されたデータウェアハウス２１０のストレージのための患者データの識別を取り消す例示的な過程を示し、図４は、患者コホートレポート２１２に含有された識別を取り消された患者データから患者を再識別する例示的な過程を示す。
【００２２】
図３は、データウェアハウスシステム１０４への送信のために、データの抽出期間に患者データの識別を取り消す例示的な過程のブロック図である。識別取り消しの過程は、患者についての臨床的に有用な情報を保持したままで、患者を識別する情報を除去する。患者データはＥＭＲデータベース３０２から抽出されて、識別情報が除去されるので、その結果、識別を取り消された患者データが生じる。本発明の例示的な実施形態において、ＥＭＲデータベース３０２は以下の患者を識別する人口統計学的データを含む。すなわち氏名、住所を含む地理的な識別子、誕生日、入院日、退院日および死亡日を含む個人に直接関係する日付、電話およびファックス番号、電子メールアドレス、社会保障番号、医療記録番号、健康保険の受取人、口座番号、資格証または免許証番号、ナンバープレートの番号を含む自動車の識別子および製造番号、デバイスの識別子および製造番号、ウェブユニバーサルリソースロケータ（ＵＲＬ）およびインターネットプロトコル（ＩＰ）アドレス番号、指紋および声紋を含む生物測定識別子、全顔の写真イメージおよび比較可能なイメージ、患者識別子（ＰＩＤ）３０４を含む、管理上の目的でＰＣＰまたはＥＭＲシステムによって割り当てられるその他の固有の識別番号、特性およびコード。ＥＭＲデータベース３０２はまた、患者の診断または問題点、摂取された、または処方された薬物、診察、診断上の研究室でのテストおよび生命徴候、自覚的および他覚的知見、評価、注文、計画、および医療提供者によって文書化されたメモについての情報を含む。ＥＭＲデータベース３０２はまた、日時、および患者記録から情報を作成し、読み取り、更新したか、または削除した人の身元を記録する監査情報も含む。ＥＭＲデータベース３０２の各患者のための記録はまた、個別の患者を独自に識別するために使用さてもよい、ＰＩＤ３０４として知られている数字鍵も含有する。ＰＩＤ３０４は、コード化された患者識別子（ＥＰＩＤ）３０８を作成するために、識別取り消しの過程の一部としてコード化される。ＥＰＩＤ３０８は、識別を取り消された患者データとともに、データウェアハウスシステム１０４に送信される。
【００２３】
抽出プロセスは、ＰＣＰシステム１０８に配置されたアプリケーションソフトウェアによって遂行され、周期的な基準で（例えば毎晩午前２時、毎週土曜の午前２時など）、バックグラウンドで実行されてもよい。この方法では、抽出過程がＰＣＰシステム１０８に配置された既存のソフトウェアを妨害する可能性は低い。抽出過程はまた遠隔のシステム（例えばデータウェアハウスシステム１０４）によって開始されてもよく、フルバックアップまたはインクリメンタルバックアップ方式を含んでもよい。本発明の例示的な実施形態において、以下の識別子は、完全に識別を取り消されたデータとしてＨＩＰＡＡの定義の下で分類される識別取り消しデータを作成するために除去され、変換される。すなわち氏名、通りの番地を含む州の下の地理的な下位区分、市、国、地区、（最後の３桁までの）郵便番号、個人に直接関係する日付（例えば誕生日など）、電話およびファックス番号、電子メールアドレス、健康保険番号、口座番号、資格証／免許証番号、デバイスの識別子および製造番号、統一リソースロケータ（ＵＲＬ）、インターネットプロトコル（ＩＰ）アドレス、生物測定識別子、全顔写真、およびその他の固有の識別番号、特性またはコード。
【００２４】
本発明の代替の例示的な実施形態において、以下の識別子は、限定されたデータセット情報としてＨＩＰＡＡの定義の下で分類される識別取り消しを作成するために除去され、変換される。すなわち氏名などの直接的な識別子、（市、州および郵便番号以外の）住所、社会保障番号および医療記録番号。本発明の限定されたデータセット情報の実装において、検査日時、資料、診断、処方箋および研究室のテスト結果などの一部の識別情報は残されていてもよい。
【００２５】
新たなＥＰＩＤ３０８は、患者およびＰＣＰによって入力されたパスワードに関連するＰＩＤ３０４に基づいて各患者に割り当てられる。ＰＩＤ３０４のＥＰＩＤ３０８へのマッピングは永続的に維持されることはない。図３に示されている例示的な実施形態で描かれているように、パスワード列３１２は、ＰＣユーザシステム１１０のパスワード暗号化ユーザインタフェース３１０を経由してＰＣＰによって供給される。このパスワード列３１２はＰＣＰにしか知られず、ＥＰＩＤ３０８をＰＩＤ３０４にデコードするために必要とされる。ＰＣＰサイトのユーザは、ＰＩＤ３０４を取得するためにパスワード列３１２を持っていなければならず、このパスワード列３１２は、患者が再識別されるときにはいつでも再入力されなければならない。パスワード暗号化ユーザインタフェース３１０は、グラフィックユーザインタフェースであってもよい。本発明の例示的な実施形態において、ユーザの入力したパスワード列３１２は、ｔｗｏ−ｆｉｓｈアルゴリズムを使用してコード化される。ｔｗｏ−ｆｉｓｈアルゴリズムは当技術分野で知られているように、高い安全性と高い柔軟性とを備えるように設計された秘密鍵ブロック暗号の暗法手法アルゴリズムである。ｔｗｏ−ｆｉｓｈアルゴリズムは暗号化と解読との両方に単一の鍵を利用し、しばしば対称暗号化と呼ばれる。コード化は、ＰＣＰシステム１０８に配置された患者識別子コード化ソフトウェア３０６によって実行される。患者識別子コード化ソフトウェア３０６はまた、例えば１６桁の数字などの数字を作り出すために、コード化されたパスワード列をハッシュする。この１６桁の数字は、ＥＰＩＤ３０８を作成するために、ＰＩＤ３０４に数値的に付加される。ＥＰＩＤがＰＣＰサイトでデコードされるだけであってもよい限り、ＰＩＤ３０４からＥＰＩＤ３０８を作成するその他の方法（例えばＲｉｖｅｓｔ，Ｓｈａｍｉｒ ａｎｄ Ａｄｅｌｍａｎ、またはＲＳＡなど）は、本発明の例示的な実施形態とともに利用されてもよい。
【００２６】
図４は、識別を取り消された患者データから患者を再識別するための例示的な過程のブロック図である。先に説明されたように、リスクにさらされている患者の人口コホートレポート２１２は、データウェアハウス２１０に対してクエリを実行することによって作成される。識別を取り消された個人は、臨床的な選択肢の基準に基づいて、匿名の人口コホートのメンバーとして長期にわたり追跡され、問合せを受けてもよい。コホートレポート２１２に含まれるクエリ結果は、ＥＰＩＤ３０８の一覧である。患者コホートレポート２１２の中の患者リストＥＰＩＤ３０８は、ＰＣＰシステム１０８によって受信される。ＥＰＩＤ３０８は、ＰＣＰシステム１０８に配置された患者識別子デコード化ソフトウェア４０２に読み込まれ、本来のＰＩＤ３０４が再び作成される。ＰＩＤ３０４は、ＥＭＲデータベース３０２からさらなる識別情報を検索するための鍵として使用されてもよい。ＰＣＰのスタッフは患者に助言を与え、代替の治療法を判断するために、ＥＭＲデータベース３０２からの患者固有の情報を利用してもよい。
【００２７】
本発明の実施形態によって、取り消し可能なＰＣＰは、他の取り消し可能なＰＣＰからの患者データを含有するデータウェアハウスに、患者データを送信することができる。この方法では、患者データは分析され、より数の多い患者人口と比較されてもよい。識別を取り消された患者データは、特定の患者についての２つ以上の記録を分析する長期的なレポートを作成するために有用であってもよいＥＰＩＤ３０８を含む。患者のコホートグループに対する特定の薬品の影響および治療法は分析されることが可能であり、薬品と治療法との使用法または構成物における改善につながってもよい。さらに、本発明の実施形態によって、ＰＣＰはデータウェアハウスに含有されるデータに基づくコホートレポート２１２を受信することができる。これらの患者コホートレポート２１２は、各患者のためのＥＰＩＤ３０８を含む。ＥＰＩＤ３０８は、ＥＰＩＤ３０８が作成されたＰＣＰサイトでデコードされ、特定の患者を識別するために使用されてもよい。この方法では、コホートレポートに含有される情報を考慮することによって、ＰＣＰは改善された治療法を患者に与えることが可能であってもよい。患者レベルに有用な情報を返すためのこの能力はまた、より多くのＰＣＰが患者データをデータウェアハウスに送信することに関与するように導いてもよい。データウェアハウスの中により多くのデータを有することは、製薬会社、医療機器会社および医師などの第三者に、特定の治療法の影響またはリスクについてより有用な情報を提供する一方で、患者識別情報が第三者に明らかにされるリスクを最小限に抑えてもよい。これは、予防的治療に加え、その他種類の医療における改善につながってもよい。
【００２８】
上述のように本発明の実施形態は、コンピュータによって実施される過程、およびそれらの過程を実行するための装置の形態で実施されてもよい。本発明の実施形態はまた、フレキシブルディスク、ＣＤ−ＲＯＭ、ハードドライブ、または任意のその他のコンピュータ可読記憶媒体などの実体のある媒体の中で実施される命令を含むコンピュータプログラムコードの形態で実施されてもよく、コンピュータプログラムコードがコンピュータによってロードされ、実行される場合、コンピュータは本発明を実行するための装置となる。本発明の実施形態はまた、例えば電気ワイヤもしくはケーブル上で、光ファイバを通じて、または電磁放射線を介して、記憶媒体に記憶されるにせよ、コンピュータによってロードおよび／または実行されるにせよ、または何らかの伝送媒体を介して伝送されるにせよ、コンピュータプログラムコードの形態で実施されることも可能であり、コンピュータプログラムコードがコンピュータによってロードされ、実施される場合、コンピュータは本発明を実行するための装置となる。汎用マイクロプロセッサ上で実装される場合、コンピュータプログラムコードの区分はマイクロプロセッサを、特定の論理回路を作成するように構成する。
【００２９】
図５は、本発明の実施形態による、識別を取り消された患者データから患者を再識別するための方法５００のフロー図を示す。はじめにステップ５０５で、識別を取り消された患者は、例えば、ウェブベースのレポート、またはその他のリストもしくは文書などのレポートのようなファイルの中で報告されるか、または一覧にされる。例えば医療従事者は、ウェブベースのポータルまたはその他のソフトウェアベースのユーザインタフェースなどのインタフェースを経由して、患者リストまたはウェブベースの患者レポートから、１つまたは複数の識別を取り消された患者記録を選択してもよい。例えばユーザは、特定の基準（例えば糖尿病、心臓病、性別、年齢など）を満たす患者のレポートまたは一覧を選択および／または生成してもよい。ステップ５１０で、ウェブレポートはローカルファイルにダウンロードされる。例えば、ウェブベースまたはその他のネットワークポータルを経由して取り出されたデータはネットワークソースから、許可された環境にあるユーザのコンピュータ、ローカルネットワークシステム、ソフトウェアおよび／またはその他のプロセッサ上のローカルファイルに手動または自動でダウンロードされてもよい。許可された環境とは、例えばＨＩＰＰＡに準拠した医療従事者のオフィスなど、患者の身元データを閲覧および／または操作することを許可されたシステムまたはその他の動作環境のことである。
【００３０】
ステップ５１５で、ユーザはＭｉｃｒｏｓｏｆｔ Ｅｘｃｅｌ（登録商法）、またはその他のスプレッドシートもしくはレポート作成ソフトウェアなどの閲覧プログラムを起動する。代替として、閲覧プログラムは患者に関連するデータのダウンロードに応じて、自動的に開始されてもよい。ステップ５２０で、閲覧プログラム内からユーザは、患者のカルテ情報を閲覧するための適切な許可をユーザが有していることを保証するために、ＥＭＲシステムで認証される。例えば、患者データへのアクセスを認証するために、ユーザのパスワード、署名および／または生物測定学的な身元が確認されてもよい。ユーザの認証がなければ、ユーザは記憶されたＥＭＲプロシージャを実行することができなくてもよい。例えば、ＥＭＲホストシステムの中にある認証機構は、特権のレベルの確認とともに、ユーザの氏名およびパスワードのために起動されてもよい。
【００３１】
ステップ５２５で、ユーザは識別を取り消された患者データに関して、再識別機能を選択するか、または起動する。例えば表示された患者データの項目のすべて、または選択された項目のサブセットに対して再識別機能の実行を起動、または始動するために、閲覧プログラムにアイコン、ボタン、メニューオプションおよび／またはコマンドが付加されてもよい。ステップ５３０で、Ｅｘｃｅｌなどの閲覧プログラムは、ＥＰＩＤなどの暗号化された識別子を含有するカラムおよび／またはフィールドを求めて、レポートのカラムヘッダまたはその他のフィールドを検索する。本明細書の中で「暗号化される」とは、識別子または患者情報が、患者のプライバシーを保護するためにコード化される、識別を取り消される、抽象化される、匿名化される、および／またはその他に暗号化されることを示すために使用されていることを理解されたい。例えばワークシート、スプレッドシート、表またはその他の文書などのファイルは、再識別されるべき適切なカラムまたは一連のデータを識別するカラムヘッダまたはその他のフィールドを求めて、スキャンされてもよい。
【００３２】
カラムが一旦特定されると、ステップ５３５でプログラムはＥＰＩＤのセットを収集し、これをデータ接続（例えばオープンデータベース接続性（ＯＤＢＣ）、またはオブジェクトのリンクと埋め込みデータベース（ＯＬＥ ＤＢ）接続）などのデータ通信接続を通じて、ＥＭＲシステムおよび／またはデータベース、またはデータウェアハウスに送信する。例えば、ファイル文書は、カラムヘッダまたはその他のフィールド識別子のうちのどれが患者のカラムまたは類似の構造に対応しているのかを識別するために、スキャンされてもよい。次いで、例えば患者レポートからのＥＰＩＤのセットは、対応（ｃｏｍｐｌｉａｎｔ）の接続を経由して電子医療記録データウェアハウスに送信される。患者のカラムの中で見つけ出された、選択されたか、または識別されたＥＰＩＤは、例えばアレイまたはその他のデータ構造の中に組織されてもよい。
【００３３】
ステップ５４０で、ＥＭＲデータベース中に記憶されたプロシージャは、患者の識別子（例えばＰＩＤ）、患者の名前、苗字等の患者の識別が可能な情報でＥＰＩＤを強化するために起動される。ＥＭＲデータベースは、例えばＨＩＰＡＡに準拠したデータベース、データウェアハウスおよび／またはその他のデータストアであってよい。ステップ５４５で、ＥＰＩＤのアレイまたはその他の構造は、患者のカラムから取り出されたすべてのＥＰＩＤを求めてスキャンされ、記録またはその他のデータはデータ接続（例えばＯＤＢＣまたはＯＬＥ ＤＢ）を経由してＥＭＲデータベースに送信され、再識別の記憶されたプロシージャは、結果として生じる名前、苗字等を取り出すために起動される。例えば記憶されたプロシージャは、内部識別子をプロシージャに渡す、データベースに存在するアルゴリズムを呼び出してもよい。特定の実施形態において、例えばハッシュ機能はＥＰＩＤからＰＩＤを生成するために使用される。代替として、例えばオフセット、患者の氏名に基づくアルゴリズム、年齢および社会保障番号、および／またはその他のアルゴリズムは、患者記録のための内部識別子を生成するために使用されてもよい。内部識別子は、ＥＰＩＤ記録に対応する氏名および／またはその他の識別情報を次々に返送するクエリのためのパラメータとして渡される。例えば、ＰＩＤまたはその他の識別子は、適切な記録を識別するために、データベース中で記録の索引付け、または検索を行うために使用されてもよい。
【００３４】
ステップ５５０で、識別情報は次いで、Ｍｉｃｒｏｓｏｆｔ（商標）Ｅｘｃｅｌまたはその他のスプレッドシートもしくはデータベースプログラムなどの閲覧アプリケーションに返送される。ステップ５５５で、カラムおよび／またはその他のフィールドは、患者の識別が可能な情報（例えば患者ＩＤ、名前、苗字等）のために、スプレッドシートまたはその他の文書などのファイルの中で挿入および／または置換される。例えば、ＰＩＤおよび／または患者氏名のカラムおよび／またはフィールドは、ファイルに付加されてもよい。および／またはＥＰＩＤおよび／またはファイル中のその他カラムまたはフィールドに上書きをしてもよい。
【００３５】
方法５００のステップのうちの１つまたは複数は、例えばハードウェア、ファームウェアの中で、および／またはソフトウェア中の命令のセットとして、単独で実施されてもよく、または組み合わせて実施されてもよい。特定の実施形態は、汎用コンピュータまたはその他の処理デバイスでの実行のために、メモリ、ハードディスク、ＤＶＤまたはＣＤなどのコンピュータ可読媒体に存在する命令のセットとして提供されてもよい。
【００３６】
本発明の特定の実施形態は、これらのステップのうちの１つまたは複数を省略してもよい。および／または記載された順序とは異なる順序でステップを実行してもよい。例えば、本発明の特定の実施形態の中で一部のステップは実行されなくてもよい。さらなる例として、特定のステップは、同時に実行することを含めて、上に記載されたものとは異なる時間的順序で実行されてもよい。
【００３７】
特定の実施形態において、患者情報が一旦再識別されると、ユーザはさらなる分析、操作等のための照会処理として、対応する患者リストをＥＭＲに送信してもよい。再識別された患者記録は許可されたユーザによって修正、比較および／またはその他のやり方で操作され、局所的に、および／またはＥＭＲデータベースまたはその他のストレージの中に保存されてもよい。修正された記録は、例えばそれが保存される前に、識別を取り消されてもよい。
【００３８】
特定の実施形態において、ＥＭＲの更新は周期的な基準（例えば毎晩、毎週など）でデータベース、データウェアハウスおよび／またはその他のデータストアに対して「プッシュ」、「プル」されるか、またはその他の方法で通信される。特定の実施形態において、再識別された患者記録に対して局所的に行われた変更は識別を取り消され、ＥＭＲシステムおよび／またはストレージのためのデータベースに通信される。
【００３９】
特定の実施形態において、ユーザは「発掘」ダイアログまたは検索機能を起動することによって、ＥＭＲ内の１つまたは複数の患者記録を求めて検索を行ってもよい。ユーザは、例えばＥＰＩＤによって検索を行い、検索を起動するためにＥＰＩＤ番号を入力または選択してもよい。対応する患者のカルテは取り出され、表示されてもよい。したがって、患者は識別され、確認されている許可された医療提供者のために、再識別されてもよい。
【００４０】
したがって、再識別とは暗号化され、再暗号化されたデータが物理的に別々のシステムで一緒に機能することができるようにする機構またはパターンである。暗号化されたシステムはＨＩＰＡＡに準拠した患者レベルの情報をホストし、（例えばより多くのオーディエンスにデータの閲覧を提供するなど）暗号化されているという点から見た有用な機能を提供してもよいが、暗号化されたシステムから情報を導入し、暗号化されたシステムから物理的に離れてはいるが、患者の識別が可能な情報を閲覧する許可を得ている（例えば許可された環境の）オーディエンスのために、情報を再識別する必要がある。患者を再識別する過程は、例えばローカルシステム上で生じる過程である。
【００４１】
特定の実施形態において、識別を取り消された患者データと識別されている患者データとを分離することは、個別の患者のセキュリティーを侵すことなく、患者人口のより幅広い分析を促進する。人口ベースの分析は、患者のプライバシーを守りながら安全に実行されてもよい。再識別は、患者の医療提供者が患者を診断、治療することができるように、および／または患者にその他のサービスを提供できるように、ローカルシステムレベルで生じてもよい。
【００４２】
したがって、患者情報のより幅広い分析は、同時に患者のプライバシーを尊重しながら可能となる。医療提供者コミュニティは、患者のプライバシーを傷つけることなく、患者人口をベンチマーキングし、比較してもよい。同時に患者の医療提供者は、暗号化されたサイトによってホスト／提示されるローカルレベルの患者人口の中から患者を再識別してもよい。例えば、再識別アルゴリズムは、医療提供者レベルで局所的に記憶されてもよい。この物理的な分離は、患者の識別が可能な情報を閲覧することに由来する、ポータル上で識別を取り消されたデータを閲覧する他の提供者の潜在的なリスクを制限してもよい。
【００４３】
特定の実施形態によって、患者情報は、患者のプライバシーを傷つけることなく、当事者間で共有されることが可能となる。より広い医療スペースでは、研究者、政府機関、実践コミュニティが患者人口を調査したいと思っているが、患者の識別取り消しと再識別において、ソースデータの提供者とともに機能する、よい機構がないことから、現在は制限を受けているといった適用が存在するであろう。特定の実施形態は、そのような相互作用を促進する。例えば、暗号化された情報はＭｉｃｒｏｓｏｆｔ Ｅｘｃｅｌ（商標）、Ｃｅｎｔｒｉｃｉｔｙ Ｐｈｙｓｉｃｉａｎ Ｏｆｆｉｃｅ ＥＭＲ（商標）アプリケーション、および／またはその他のアプリケーション内で、患者の提供者システムによって再識別され、次いで消費されるか、または患者の提供者システムにインポートされてもよい。研究者および機関などのその他のエンティティは、患者のプライバシーを傷つけるリスクが減らされた状態で、暗号化された、または識別を取り消されたデータを閲覧および／または操作してもよい。
【００４４】
図６は、本発明の実施形態による患者データの識別取り消しと再識別とのためのシステム６００を示す。システム６００は１つまたは複数のユーザワークステーション６１０、ウェブポータル６２０、データストア６３０、データリンク６４０を含む。システム６００は、例えばディスプレイ６５０および／またはデータサーバ６６０もまた含んでよい。システム６００は、例えば１つまたは複数のソフトウェアプロセス、コンピュータおよび／またはその他のプロセッサをワークステーション６１０の代わりに、および／またはワークステーション６１０に加えて含んでもよい。システム６００は、例えば１つまたは複数のウェブサービスをウェブポータル６２０の代わりに、および／またはウェブポータル６２０に加えて含んでもよい。
【００４５】
システム６００の構成要素は、例えばハードウェア、ファームウェアの中で、および／またはソフトウェア中の命令のセットとして単独で、または組み合わせて実装されてもよい。特定の実施形態は、汎用コンピュータまたはその他の処理デバイスでの実行のために、メモリ、ハードディスク、ＤＶＤまたはＣＤなどのコンピュータ可読媒体に存在する命令のセットとして提供されてもよい。特定の実施形態は様々な形態の中で統合されてもよい。および／またはコンピュータなどのコンピューティングデバイスのソフトウェアおよび／またはその他の機能として提供されてもよい。特定の実施形態は、再識別および／または識別取り消しの機能を実行し、ローカルユーザとデータストアとの間でデータを通信するために、システム６００の構成要素のうちの１つまたは複数を省略してもよい。
【００４６】
動作の中で、ワークステーション６１０またはその他のプロセッサは、ウェブポータル６２０またはその他のウェブサービスを経由して、データを要求してもよい。例えば、ワークステーション６１０のユーザは、ウェブポータル６２０にアクセスするウェブブラウザを経由して、患者に関連するデータを要求する。ウェブポータル６２０は、データリンク６４０を経由してデータストア６３０と通信する。例えば、ウェブポータル６２０は、インターネットまたはプライベートネットワークなどのネットワークを介して、ＥＭＲデータマートなどのデータストア６３０から、データを要求する。データストア６３０は、ウェブポータル６２０を経由して、要求されたデータをワークステーション６１０に返送する。データは、例えばＨＩＰＰＡによって保護されていないデータ、識別を取り消された／暗号化された患者データ、再識別された患者データ、および／またはその他のデータを含んでもよい。
【００４７】
ユーザワークステーション６１０は、データストア６３０から送信されたデータを表示するために、ディスプレイ６５０と通信してもよい。データはまた、例えば印刷および／またはファイル生成のために使用されてもよい。ワークステーション６１０はまた、例えばデータおよび／またはその他の更新版を送信するために、データサーバ６６０と通信する。
【００４８】
特定の実施形態において、識別を取り消された患者レポートは、ワークステーション６１０からの要求に応じて、ウェブポータル６２０を経由してデータストア６３０からワークステーション６１０に送信される。ワークステーション６１０は、ワークステーション６１０で局所的に識別を取り消された患者データの再識別を実行する。再識別は、例えば対応するＰＩＤまたはその他の類似の技術を判定するために、ＥＰＩＤの検索を介して実行されてもよい。再識別機能は、例えばＭｉｃｒｏｓｏｆｔ Ｅｘｃｅｌ、Ｍｉｃｒｏｓｏｆｔ Ｗｏｒｄ、および／またはその他のソフトウェアなどの文書閲覧／編集プログラムの中に統合されてもよい。再識別機能は、ＥＰＩＤをＰＩＤと照合するために、データストア６３０および／またはデータサーバ６６０などの外部ソースの中のデータにアクセスしてもよい。特定の実施形態において、ＥＰＩＤはワークステーション６１０の文書の中で、ＰＩＤおよび／またはその他の患者識別情報（例えば患者の氏名）と置換されてもよい。
【００４９】
特定の実施形態において、ワークステーション６１０は、例えば患者データが再識別される前に、サーバ６６０を経由してアクセスの特権または権利を最初に認証してもよい。ワークステーション６１０はまた、例えばサーバ６６０および／またはデータストア６３０を経由して、患者および／または提供者の属性を検索してもよい。
【００５０】
本発明が例示的な実施形態に関して説明されてきたが、本発明の範囲から逸脱することなく、本発明の要素のために様々な変更が行われ、同等物が代用されてもよいことが当業者には理解されよう。さらに、本発明の基本的な範囲から逸脱することなく、特定の状況または素材を本発明の教示に適応させるために、多くの修正が行われてもよい。したがって本発明は、本発明を実行するために熟慮された最良の形式として開示される特定の実施形態に限定されるわけではなく、添付の特許請求の範囲内にあるすべての実施形態を含むということが意図されている。さらに、第１、第２等の言葉の使用はいかなる順序または重要性をも意味するものではなく、第１、第２等の言葉はむしろ、１つの要素を他の要素と区別するために使用される。また、図面の符号に対応する特許請求の範囲中の符号は、単に本願発明の理解をより容易にするために用いられているものであり、本願発明の範囲を狭める意図で用いられたものではない。そして、本願の特許請求の範囲に記載した事項は、明細書に組み込まれ、明細書の記載事項の一部となる。
【図面の簡単な説明】
【００５１】
【図１】本発明の実施形態による、患者の識別を安全に行うための例示的なシステム図である。
【図２】本発明の実施形態による例示的なデータウェアハウス構造のブロック図である。
【図３】本発明の実施形態により使用されるデータウェアハウスの中のストレージのための、患者データの識別を取り消す例示的な過程を示す図である。
【図４】本発明の実施形態による、識別を取り消された患者データから患者を再識別するための例示的な過程のブロック図である。
【図５】本発明の実施形態による、識別を取り消された患者データから患者を再識別するための方法のフロー図である。
【図６】本発明の実施形態による、患者データの識別取り消しと再識別とのためのシステム図である。
【符号の説明】
【００５２】
１０２ データウェアハウスユーザシステム
１０４ データウェアハウスシステム
１０６ ネットワーク
１０８ ＰＣＰシステム
１１０ ＰＣＰユーザシステム
２０６ データインポート機能
２０８ ステージング領域
２１０ データウェアハウス
２１２ 患者コホートレポート
３０２ ＥＭＲデータベース
３０４ 患者識別子
３０８ コード化された患者識別子
３１２ パスワード列
４０２ 患者識別子デコード化ソフトウェア
図５ フロー図
６００ システム
６１０ ユーザワークステーション
６２０ ウェブポータル
６３０ データストア
６４０ データリンク
６５０ ディスプレイ
６６０ データサーバ
【特許請求の範囲】
【請求項１】
許可された環境の中で、患者データの再識別を局所化するための方法（５００）であって、
許可された環境の中で、ファイル（５３０）から暗号化された患者識別子を取り出すステップと、
前記暗号化された患者識別子（５４０、５４５）を使用して、患者識別情報に関連する患者識別子を特定するステップと、
許可された環境の中で、前記患者識別情報を前記ファイル（５５５）に挿入するステップとを含む方法（５００）。
【請求項２】
前記特定するステップは、前記暗号化された患者識別子を使用して、データベースの中の患者識別情報に関連する前記患者識別子を特定することをさらに含む請求項１記載の方法（５００）。
【請求項３】
前記ファイルは基準を満たす患者のレポートを含み、前記患者は前記レポートの中で匿名である請求項１記載の方法（５００）。
【請求項４】
前記ファイルを修正するステップと、
所定のスケジュールで、前記許可された環境から前記ファイルをデータウェアハウスに自動的にアップロードするステップとをさらに含む請求項１記載の方法（５００）。
【請求項５】
前記挿入された患者識別情報で文書を修正するステップと、
前記患者識別情報を前記暗号化された患者識別子と置換するステップと、
前記ファイルをデータベース中に保存するステップとをさらに含む請求項１記載の方法（５００）。
【請求項６】
ユーザが前記患者データ（５２０）を再識別することを認証するステップをさらに含む請求項１記載の方法（５００）。
【請求項７】
患者データがコード化された患者識別子と患者識別子とを含み、前記コード化された患者識別子が前記患者識別子に対応する、患者データを記憶するデータストレージ（６３０）と、
前記データストレージ（６３０）と接続するように構成され、前記コード化された患者識別子を含むファイルの中の患者データを閲覧することができる閲覧アプリケーションを含むプロセッサ（６１０、６２０）とを備える患者再識別システム（６００）であって、
前記プロセッサ（６１０、６２０）が、前記データストレージ（６３０）を使用して、前記ファイルの中の前記コード化された患者識別子を前記対応する患者識別子に置換するためにプロシージャを起動し
前記コード化された患者データの前記対応する患者識別子との前記置換が、前記プロセッサ（６１０、６２０）を経由して生じる患者再識別システム（６００）。
【請求項８】
前記ファイルは基準を満たす患者レポートを含み、前記患者は前記レポートの中で匿名である請求項７記載のシステム（６００）。
【請求項９】
前記ファイルは前記プロセッサ（６１０、６２０）を使用して修正され、所定のスケジュールで、前記プロセッサを使用して前記データストレージ（６３０）に自動的にアップロードされる請求項７記載のシステム（６００）。
【請求項１０】
前記プロシージャは前記プロセッサ（６１０、６２０）を使用して実行される閲覧アプリケーションの中に組み込まれ、前記閲覧アプリケーションは前記ファイルを閲覧するために構成され、前記プロシージャは前記閲覧アプリケーションと前記データストレージ（６３０）との間をインタフェースする請求項７記載のシステム（６００）。
【請求項１】
許可された環境の中で、患者データの再識別を局所化するための方法（５００）であって、
許可された環境の中で、ファイル（５３０）から暗号化された患者識別子を取り出すステップと、
前記暗号化された患者識別子（５４０、５４５）を使用して、患者識別情報に関連する患者識別子を特定するステップと、
許可された環境の中で、前記患者識別情報を前記ファイル（５５５）に挿入するステップとを含む方法（５００）。
【請求項２】
前記特定するステップは、前記暗号化された患者識別子を使用して、データベースの中の患者識別情報に関連する前記患者識別子を特定することをさらに含む請求項１記載の方法（５００）。
【請求項３】
前記ファイルは基準を満たす患者のレポートを含み、前記患者は前記レポートの中で匿名である請求項１記載の方法（５００）。
【請求項４】
前記ファイルを修正するステップと、
所定のスケジュールで、前記許可された環境から前記ファイルをデータウェアハウスに自動的にアップロードするステップとをさらに含む請求項１記載の方法（５００）。
【請求項５】
前記挿入された患者識別情報で文書を修正するステップと、
前記患者識別情報を前記暗号化された患者識別子と置換するステップと、
前記ファイルをデータベース中に保存するステップとをさらに含む請求項１記載の方法（５００）。
【請求項６】
ユーザが前記患者データ（５２０）を再識別することを認証するステップをさらに含む請求項１記載の方法（５００）。
【請求項７】
患者データがコード化された患者識別子と患者識別子とを含み、前記コード化された患者識別子が前記患者識別子に対応する、患者データを記憶するデータストレージ（６３０）と、
前記データストレージ（６３０）と接続するように構成され、前記コード化された患者識別子を含むファイルの中の患者データを閲覧することができる閲覧アプリケーションを含むプロセッサ（６１０、６２０）とを備える患者再識別システム（６００）であって、
前記プロセッサ（６１０、６２０）が、前記データストレージ（６３０）を使用して、前記ファイルの中の前記コード化された患者識別子を前記対応する患者識別子に置換するためにプロシージャを起動し
前記コード化された患者データの前記対応する患者識別子との前記置換が、前記プロセッサ（６１０、６２０）を経由して生じる患者再識別システム（６００）。
【請求項８】
前記ファイルは基準を満たす患者レポートを含み、前記患者は前記レポートの中で匿名である請求項７記載のシステム（６００）。
【請求項９】
前記ファイルは前記プロセッサ（６１０、６２０）を使用して修正され、所定のスケジュールで、前記プロセッサを使用して前記データストレージ（６３０）に自動的にアップロードされる請求項７記載のシステム（６００）。
【請求項１０】
前記プロシージャは前記プロセッサ（６１０、６２０）を使用して実行される閲覧アプリケーションの中に組み込まれ、前記閲覧アプリケーションは前記ファイルを閲覧するために構成され、前記プロシージャは前記閲覧アプリケーションと前記データストレージ（６３０）との間をインタフェースする請求項７記載のシステム（６００）。
【図１】
【図２】
【図３】
【図４】
【図５】
【図６】
【図２】
【図３】
【図４】
【図５】
【図６】
【公開番号】特開２００７−２９９３９６（Ｐ２００７−２９９３９６Ａ）
【公開日】平成１９年１１月１５日（２００７．１１．１５）
【国際特許分類】
【出願番号】特願２００７−１１５２５３（Ｐ２００７−１１５２５３）
【出願日】平成１９年４月２５日（２００７．４．２５）
【出願人】（３９００４１５４２）ゼネラル・エレクトリック・カンパニイ (6,332)
【氏名又は名称原語表記】ＧＥＮＥＲＡＬ ＥＬＥＣＴＲＩＣ ＣＯＭＰＡＮＹ
【Ｆターム（参考）】
【公開日】平成１９年１１月１５日（２００７．１１．１５）
【国際特許分類】
【出願日】平成１９年４月２５日（２００７．４．２５）
【出願人】（３９００４１５４２）ゼネラル・エレクトリック・カンパニイ (6,332)
【氏名又は名称原語表記】ＧＥＮＥＲＡＬ ＥＬＥＣＴＲＩＣ ＣＯＭＰＡＮＹ
【Ｆターム（参考）】
[ Back to top ]