情報交換システム及び装置
患者のプライバシを維持しながら、別々の保健情報管理システム間で患者の健康レコードを交換する際に問題があるという欠点を解消するために、本発明は、第１の識別子及び第１のサービス・プロバイダの署名を証明書から抽出する工程と、第１の識別子に対応する第２の識別子を生成する工程と、第１の識別子に関連付けられたレコードを要求する旨の要求を、第２の識別子マネージャ及び第１のサービス・プロバイダの何れか一方に送信する工程と、要求されたレコードを、第２の識別子マネージャ及び第１のサービス・プロバイダの何れか一方から受信する工程と、第２の識別子と、要求されたレコードを関連付ける工程とを含む。本願提案の方法の使用は、同じ偽名化サービスを採用する保健情報管理システム全てを統一する必要がないという利点を提供し、患者のプライバシを開示することなく、別々の保健情報管理システム間の保健情報を共有することを容易にする。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、情報交換システムに関し、特に、別々の保健情報管理システム間で保健情報を交換するシステム及び装置に関する。
【背景技術】
【０００２】
近年、保健及び／又は医療情報管理システムは、世界中で確立されている。前述の保健情報管理システム間の患者の保健情報及びプライバシの管理は、非常に重要な課題となっている。西暦１９９６年に米国国会により、医療保険責任法（ＨＩＰＡＡ）が制定された後、研究者、医師及び医療センタは、患者の保健情報及びプライバシを含む、患者のデータを扱ううえで、より注意深くなっている。
【０００３】
ＩＳＯによれば、匿名化は、識別するデータセットとデータ主体との関連付けを取り除くプロセスである。偽名化は、識別するデータセットとデータ主体との間の関連付けを取り除き、１つ又は複数の偽名と、データ主体に関する特定の特性の組との間の関連付けを加える特定のタイプの匿名化である。偽名化は、患者のプライバシを保護する重要な手法として認識されている。ＩＳＯ／ＴＣ２１５は、個人保健情報の保護のための偽名化サービスを使用した要件及び原理に焦点を当てる、新たな仕様である「Ｐｓｅｕｄｏｎｙｍｉｚａｔｉｏｎ ｐｒａｃｔｉｃｅｓ ｆｏｒ ｔｈｅ ｐｒｏｔｅｃｔｉｏｎ ｏｆ ｐｅｒｓｏｎａｌ ｈｅａｌｔｈ ｉｎｆｏｒｍａｔｉｏｎ ａｎｄ ｈｅａｌｔｈ ｒｅｌａｔｅｄ ｓｅｒｖｉｃｅ （ＩＳＯ／ＤＴＳ ２５２３７）」を策定中である。
【０００４】
ＩＳＯ／ＤＴＳ ２５２３７に基づいて、ＨＩＴＳＰ（医療情報技術標準パネル）は、偽名化を実現するための、図１に示すアーキテクチャを開発している。アーキテクチャ１００では、４つのエンティティ（すなわち、患者、病院、ＰＩＸ（患者識別子相互参照）マネージャ、及び偽名化サービス・プロバイダ）が含まれる。工程１１０では、病院は、患者のための登録サービスを提供する。工程１２０では、病院はその後、患者情報をＰＩＸマネージャに送出する。患者情報は、患者の実識別子（患者の名前及びＩＤ番号）及びこの病院において使用することが可能な患者レコードＩＤのみを含み得るか、又は、更なる情報（住所、連絡先情報等など）を含み得る。工程１３０では、ＰＩＸマネージャは、患者の識別子を記録する。この工程では、ＰＩＸマネージャは更に、病院から送出された患者情報に含まれる更なる情報構成部分（患者の健康レコードＩＤ、住所、連絡先情報等など）の少なくとも１つと、患者の識別子を関連付ける。工程１４０では、ＰＩＸマネージャは、偽識別子に対する要求を、偽名化サービス・プロバイダに送出する。要求を受信すると、偽名化サービス・プロバイダは工程１５０で、患者の偽識別子を割り当て、工程１６０で、上記偽識別子をＰＩＸマネージャに戻す。次いで、ＰＩＸマネージャは、偽識別子を記憶し、患者の識別子と関連付ける。任意的には、ＰＩＸマネージャは、病院から受信された患者情報（例えば、患者のＩＤ、住所及び連絡先情報）と偽識別子を関連付けることも可能である。工程１８０では、ＰＩＸマネージャは、患者に対して偽証明書を作成し、これを病院に送出する。工程１９０では、病院は証明書を記録し、工程１９５では、証明書を患者に送出する。証明書を受信した後、患者はこの証明書を、この証明書のフォーマットが分かるこの病院及び他の病院において使用することが可能である。この証明書を使用することにより、患者は、この証明書のフォーマット及び内容が分かる病院からサービスを得、自分の実識別子の開示を避けることが可能である。
【０００５】
しかし、別々の病院におけるエンティティ全てに利用可能な一意の偽名化サービスの前提条件で、アーキテクチャ１００は、１つの保健／医療情報管理システム／領域においてのみ使用することが可能である。病院全てが、共通の偽名化サービス・プロバイダによって発行される偽識別子を含むこの証明書を認識することが可能である。現在、人々は、種々の都市、又は種々の国における種々の病院を訪問する機会が一層増えている。種々の都市及び種々の国における種々の病院が、共通の匿名化サービスを採用するということを仮定するのは不合理である。したがって、患者は、各保健／医療サービス・プロバイダ・システムにおいて、新たな識別子又は証明書を再登録しなければならない。別々のシステム間の相互運用性の方法は存在しないため、別々のシステムに記憶された、先行する保健／医療情報を患者が再使用することは困難である。
【０００６】
したがって、別々の匿名化サービスを採用する別々の保健／医療情報管理システム間で保健／医療情報を交換することができる方法を提供する必要性が存在している。
【発明の概要】
【発明が解決しようとする課題】
【０００７】
本発明の目的は、情報（特に、保健／医療情報）を、別々の医療／保健情報管理システム（特に、別々の偽名化サービスを使用するシステム）間で交換する方法及び装置を提供することである。
【課題を解決するための手段】
【０００８】
本発明の一実施例によれば、情報交換システムを提供することにより、本発明の第１の局面において、目的及びいくつかの他の目的が得られる。情報交換システムは、第１の識別子、及び署名を含む証明書を読み取るよう構成されたリーダと、第１の識別子及び第１のサービス・プロバイダの署名を証明書から抽出し、第１の識別子に対応する第２の識別子を生成するよう構成されたリーダと、第１の識別子を第２の識別子と関連付け、第２の識別子マネージャ及び第１のサービス・プロバイダの何れか一方に、第１の識別子に関連付けられたレコードを要求する旨の要求を送出するよう構成された第１の識別子マネージャと、第２の識別子マネージャ及び第１のサービス・プロバイダの何れか一方から、要求されたレコードを受信し、受信されたレコード及び第２の識別子を関連付けるよう構成された受信器とを含む。
【０００９】
第１の識別子と関連付けられたレコードは、医療レコード、病歴、第１の識別子によって識別された患者に関する他の保健／医療情報のうちの何れか１つを含むが、患者の実識別情報を容易に覆すことが可能な、自分の識別番号、運転免許証番号、保険番号、又は医療登録番号などの患者の実識別情報を含まない。
【００１０】
現在の保健／医療情報管理システムに使用される前述のシステムは、別のシステムによって発行された証明書を現在の保健／医療情報管理システムが認識する必要なしで、別の保健／医療情報管理システムから保健情報（例えば、第１の識別子に関連付けられたレコード）が得られるという利点を有する。現在のシステムでは、第２の識別子は、患者の先行レコードと関連付けることが可能である。レコードはよって、一意の偽名化サービスに対する必要なしで、別々のシステム間で交換可能であり得る。
【００１１】
任意的には、第２の識別子マネージャは更に、第１の識別子を第３の識別子にマッピングするよう構成された識別子マッピング装置と、第３の識別子に関連付けられたレコードを取り出すよう構成されたデータベースと、第１の識別子に関連付けられたレコードとして、取り出されたレコードを受信器に送出するよう構成された送出器とを備える。
【００１２】
第３の識別子は、自分の実の識別情報に関連付けられたレコードを見つけることができるように、患者の実の識別情報（自分の識別番号、運転免許証番号、保険番号や、医療登録番号など）であり得る。データベースは、スタンドアロン型データベースであり得るか、又は別個の病院が、患者の実の識別情報及びレコードを記憶し得る。
【００１３】
任意的には、第３の識別子は、偽名化サービス・プロバイダによって生成される偽識別子であってもよい。ＰＩＸマネージャであり得る第２の識別子マネージャは、この偽識別子を使用して、データベースからレコードを取り出すことも可能である。
【００１４】
あるいは、サポートしないが、その他の偽名化サービス・プロバイダについての情報を抽出することが可能な別の偽名化サービスを使用して別の保健／医療情報管理システムによって第３の識別子が送出されたということを第２の識別子マネージャが判った場合、第１の識別子は、第３の識別子をその他の偽名化サービスに送出して、レコードを要求することが可能である。前述の再帰的手法を使用することにより、患者によって保持された証明書が何れかの他の保健／医療情報管理システムによって発行されたか否かにかかわらず、患者の健康レコードを記憶した当初システムを見つけることが可能である。
【００１５】
任意的には、情報交換システムは、識別子を生成するよう構成された第２のサービス・プロバイダを更に備え、リーダ及び第１の識別子マネージャの何れか一方は、第２のサービス・プロバイダに第４の識別子を要求するよう更に構成され、リーダは、受信された第４の識別子を第２の識別子として設定するよう更に構成される。更に、第２のサービス・プロバイダは、現在の保健情報管理システムにおいて患者によって使用することが可能な第２の証明書を生成するよう更に構成される。患者は、前述の手法を使用することにより、現在の保健情報管理システムからレコードを得ることが可能な別の保健情報管理システムにこの第２の証明書を持ち込むことも可能である。
【００１６】
第１の識別子及び第２の識別子は、自分の実の識別情報を開示することなく、患者を識別するための偽識別子であり得る。患者のプライバシは、何れの保健情報管理システムにおいても保護される。
【００１７】
第１のサービス・プロバイダによって生成される署名は、例えば、偽名化サービス・プロバイダのような、第１のサービス・プロバイダ及び第２の識別子マネージャの少なくとも一方についての情報を提供する。
【００１８】
本発明の別の実施例によれば、本発明の第２の局面は、患者を識別するよう構成された証明書を記憶するためのカードを提供する。上記証明書は、偽名化サービス・プロバイダによって生成され、保健情報管理システムにおいて使用されるよう構成された第１の偽識別子と、識別子マネージャ及び偽名化サービス・プロバイダのうちの少なくとも一方についての情報を含むよう構成された偽名化サービス・プロバイダの署名とを含み、識別子マネージャは、第１の偽識別子を識別するよう構成される。
【００１９】
患者の実の識別情報はこのカードに含まれていないので、自分のプライバシは保護される。上記方法と組み合わせて、患者のレコードを、現在の保健情報管理システムにおいて探索し、使用することが可能である。
【００２０】
証明書のセキュリティを更に向上させるために（すなわち、証明書と、この証明書を保有している個人との間の関係付け（すなわち、証明書が前述の個人に属するか）を確かめるために）、証明書は任意的には、公開鍵対の公開鍵を更に含み得る。公開鍵は、患者の署名を検証するために使用される。この証明書では、公開鍵が、患者の偽識別子に関連付けられるので、患者は、公開鍵の対の秘密鍵を使用して一部の文書に署名し、他方は、上記証明書における公開鍵を使用して、患者の実の識別情報を開示することなく署名を確かめる。公開鍵はオンラインで（例えば、インターネットを介して）使用することが可能である。
【００２１】
別の実施例では、更なるデータセットを証明書に含めてセキュリティを向上させることができる。更なるデータセットは秘密ｓのハッシュであり得、ｓは、患者に既知のパラメータ、患者の個人情報、又は患者の実の識別情報であり得る。ハッシュ関数は、ゼロ知識証明が存在している一方向関数であるので、自分の識別情報を明らかにすることなく、自分の偽名を備えた証明書が自分のものであるということを患者が他者（例えば、医師）に証明することが可能である。
【００２２】
別の実施例では、更なるデータセットは、患者を表す少なくとも１つの生体パラメータを含み得る。指紋などの生体パラメータは、証明書を保有する患者を検証するために使用することが可能である。更なる利点は、患者が生体データを常に持っているという点である。生体データは、公開データベースに記憶されておらず、よって、患者の実の識別情報に関係付けることが可能でない一方、証明書を所有していることを証明する機能を維持する。
【００２３】
別の実施例によれば、本発明の第３の局面は、特に、別々の保健／医療情報管理システムの中から、情報を得る方法を提供することによって達成される。方法は、
ａ）第１のサービス・プロバイダの署名及び第１の識別子を証明書から抽出する工程と、
ｂ）第１の識別子に対応する第２の識別子を生成する工程と、
ｃ）第２の識別子マネージャ及び第１のサービス・プロバイダの何れか一方に要求を送出して、第１の識別子に関連付けられたレコードを要求する工程と、
ｄ）第２の識別子マネージャ及び第１のサービス・プロバイダの何れか一方から、要求されたレコードを受信する工程と、
ｅ）要求されたレコードを第２の識別子と関連付ける工程とを含む。
【００２４】
別の実施例によれば、本発明の第４の局面は、第２の証明書を、特に、患者の実の識別情報を知る必要なく、生成する方法を提供することである。上記方法は、
ａ）第１の識別子及び第１のサービス・プロバイダの署名を第１の証明書から抽出する工程と、
ｂ）第１の識別子及び第１のサービス・プロバイダの署名の少なくとも一方に基づいて第１の識別子の有効性を検査する工程と、
ｃ）第２のサービス・プロバイダの署名及び第２の識別子を含む第２の証明書を生成する工程とを含み、第２の識別子は第１の識別子に対応する。
【００２５】
前述の方法の使用により、患者の実の識別情報を知ることなく、偽識別子を含む新たな証明書を作成することが可能であるという利点がもたらされる。
【００２６】
セキュリティを向上させるために、第２の証明書は任意的には、第２の証明書を所有していることを検証するために使用することが可能な、公開鍵、秘密ｓのハッシュ、生体パラメータ、及び他の情報の何れか１つを更に含み得る。
【００２７】
任意的には、方法は、第２の識別子に関連付けられたレコードとして第２の識別子と、第１の識別子に関連付けられたレコードとを関連付ける工程を更に含む。
【図面の簡単な説明】
【００２８】
【図１】ＨＩＴＳＰによって開発されたアーキテクチャを示す図である。
【図２】本発明の一実施例による証明書を示す図である。
【図３】本発明の一実施例による情報交換処理を示す図である。
【図４】本発明の一実施例による証明書を生成する方法を示す図である。
【図５】本発明の一実施例による情報交換システムを示すブロック図である。
【発明を実施するための形態】
【００２９】
本発明の前述及び他の局面、構成、及び／又は効果は、後述する実施例を参照すると、明らかであり、明らかにされるであろう。
【００３０】
本発明の実施例は、例示の目的のみで説明する。
【実施例】
【００３１】
図２は、例として、証明書のコンテンツの実施例を示す。証明書は、偽名化サービスの署名及び偽識別子を含む。偽識別子は、偽名化サービス・プロバイダによって生成され、現在の保健／医療情報管理システム（例えば、患者が登録する病院）における患者を識別するために使用される。偽識別子のみから患者の実の識別情報を導き出すことは可能でない。偽名化サービスの署名は、偽名化サービス・プロバイダによって生成され、偽識別子を検証するために使用することが可能である。証明書は、偽名化サービス・プロバイダについての情報を導き出すために使用することも可能である。任意的には、証明書は、現在の偽名化サービス・プロバイダによって生成された新たな偽識別子と、先行する識別子との間の関連付け、及び患者の１つの先行識別子が記憶される識別子マネージャ（例えば、ＰＩＸマネージャ）についての情報を導き出すために更に使用することが可能である。先行識別子は、患者の実の識別情報であり得、その場合、病院は、患者にとって最初に登録された病院である。先行識別子は、別の偽名化サービス・プロバイダによって生成された偽識別子でもあり得、その場合、現在の病院は、患者にとっての最初に登録された病院でなく、偽識別子を備えた証明書を持っている患者が現在の病院を訪問する。後者の場合、患者にとって最初に登録された病院を導き出すために再帰的手法を使用することが可能である。
【００３２】
別の実施例では、証明書は任意的には、公開鍵の対の公開鍵を含み得る。この証明書では、公開鍵が、患者の偽識別子に関連付けられるので、患者は、公開鍵の対の秘密鍵を使用して一部の文書に署名することが可能であり、他者は、公開鍵を使用して、自分の実の識別情報を開示することなく署名を検証することが可能である。公開鍵を使用して患者をオンラインで（例えば、インターネット又は専用イントラネットを介して）検証するということは利点である。この場合、公開鍵は任意的には、偽名化サービスの署名を生成する際に考慮に入れられ、それにより、証明書のセキュリティが更に向上する。
【００３３】
別の実施例では、証明書は任意的には、証明書が患者に属するというセキュリティを向上させるために使用される更なるデータセットを含む。この場合、更なるデータセットは任意的には、偽名化サービスの署名を生成する際に考慮に入れられ、それにより、証明書のセキュリティが更に向上する。医師が、正しい患者及び正しい健康レコードを扱っているか否かを確かめることが可能であるということは利点である。更なるデータセットは、患者に既知の、秘密ｓのハッシュであり得る。秘密ｓは、患者に既知の所定のパラメータ、患者の実の識別情報、又は患者の個人情報（例えば、患者の名前、誕生日、旅券番号等）であり得る。ハッシュ関数は、ゼロ知識証明が存在している一方向関数であるので、患者は、自分の識別情報を明らかにすることなく、自分の偽名を備えた証明書が実際に自分のものであるということを医師に証明することが可能である。ハッシュ関数の結果から、患者の実の識別情報を導き出すことはほとんど不可能である。
【００３４】
別の実施例では、更なるデータセットは任意的には、１つ又は複数の生体パラメータを含む。指紋、虹彩等などの生体パラメータは、患者の生理的な特性の特徴を表すために使用され、公開データベースには記憶されない。前述の実現形態は２つの利点を有する。第１は生体パラメータが常に、患者の体から入手可能であるという点であり、第２は、生体データを患者の実の識別情報に関係付けることが可能でなく、偽造が困難であるという点である。公開鍵及び更なるデータセットを証明書に組み入れることも可能である。
【００３５】
図２に示す証明書は、本発明の一実施例による情報交換プロセスを示す図３において使用することが可能である。患者が病院Ａ及びＰＩＸマネージャＡに登録し、第１の偽名化サービス・プロバイダによって発行された、偽名化サービスの署名及び偽の第１の識別子を含む証明書を得ているものとする。次に、患者は、別の偽名化サービス及び別の偽識別子システムを採用する別の都市又は国における病院を訪問する。現在訪問している病院（例えば、病院Ｂ及びＰＩＸマネージャＢ）において自分の元の証明書を患者が使用することは面倒である。情報交換プロセスの工程３１０では、患者は、自分の元の証明書を使用することにより、まず、病院Ｂに登録する。病院Ｂでは、証明書を読み取り、第１の識別子及び第１のサービス・プロバイダを抽出するよう構成されたリーダが存在している。工程３２０では、リーダは第１の識別子及び署名を抽出する。任意的には、リーダは、署名に基づいて第１の識別子の有効性を検査し、又は、第１の識別子及び署名を別のエンティティに送出して、第１の識別子を検証する。工程３３０では、病院Ｂ及びＰＩＸマネージャＢにおいて使用することが可能な第２の偽識別子が生成される。工程３４０では、第１のサービス・プロバイダの署名、第１の識別子、及び第２の識別子は第１の識別子マネージャ（例えば、ＰＩＸマネージャＢ）に送出される。任意的には、第１のサービス・プロバイダの署名に基づいて工程３４５でＰＩＸマネージャＢにおける第１の識別子の有効性が検査される。工程３５０では、ＰＩＸマネージャＢは第２の識別子を第１の識別子と関連付ける。実際には、第１の識別子は、病院Ａ／ＰＩＸマネージャＡにおいて患者によって使用される偽識別子である一方、第２の識別子は、病院Ｂ／ＰＩＸマネージャＢにおいて同じ患者によって使用される別の偽識別子である。工程３６０では、ＰＩＸマネージャＢは第２の識別子マネージャ（例えば、ＰＩＸマネージャＡ）についての情報を証明書に基づいて抽出する。第１のサービス・プロバイダの署名及び／又は第１の識別子からの情報を抽出することも可能にする。工程３７０では、ＰＩＸマネージャＢは、第１の識別子マネージャ（例えば、ＰＩＸマネージャＡ）に、第１の識別子に関連付けられた元のレコードを要求する。少なくとも第１の識別子が要求に含まれる。第１の識別子のレコードを見つけ、もう一度ＰＩＸマネージャＢに送出する旨をＰＩＸマネージャＢが第１のサービス・プロバイダに要求することも実用的である。これは、特に、ＰＩＸマネージャＢにより、第２の識別子マネージャを導き出すことが可能でない場合に、更なる利点をもたらす。患者が病院Ａ／ＰＩＸマネージャＡにおいて登録した後、証明書が第１のサービス・プロバイダによって生成されるので、第１のサービス・プロバイダが病院Ａ及びＰＩＸマネージャＡを見つけるのは容易である。ＰＩＸマネージャＢから要求を受け取ると、ＰＩＸマネージャＡの識別子マッピング装置は、工程３８０で、第１の識別子を第３の識別子にマッピングし、工程３９０で第３の識別子に関連付けられたレコードを要求する旨の要求をデータベース（例えば、病院Ａの構成要素）に送出する。第３の識別子に関連付けられたレコードが取り出された後、第２の識別子マネージャにおける送出器は工程３９５において、病院Ｂに配置された受信器に第１の識別子に関連付けられた、要求されたレコードとして、取り出されたレコードを送出する。
【００３６】
図３に示す実施例は、訪問している病院（例えば、病院Ｂ／ＰＩＸマネージャＢ）に患者の実の識別情報を送出することが決して可能でないということを明確に示している。よって、後の診断において、必要な健康レコードが利用される一方、患者のプライバシが保護される。
【００３７】
図３に示す実施例では、第２の識別子マネージャにおける識別子マッピング装置によって求められた第３の識別子は、患者の実の識別情報であり得るが、病院Ａにおいて患者によって使用される別の偽識別子でもあり得る。第３の識別子が偽識別子である場合、病院Ａ／ＰＩＸマネージャＡは、図３の実施例に記載されたものと同様な方法を使用して、偽識別子を発行し、使用する別の病院／ＰＩＸマネージャを見つけることが可能である。患者が使用する偽識別子の数にかかわらず、再帰的手法を使用することにより、患者の健康／医療レコードを保持する病院を位置特定することが容易になる。
【００３８】
図３に示す実施例では、第２の識別子は工程３３０でリーダによって生成される。図４に示す実施例に示された方法を使用することにより、第２の識別子を生成することも実用的である。第１のサービス・プロバイダの署名及び第１の識別子が工程４１０でリーダによって抽出された後、リーダは、工程４２０で、第２の偽識別子を生成する旨の要求を第２の偽名化サービス・プロバイダに送出する。工程４３０では、第２の偽名化サービス・プロバイダは、病院Ｂ及びＰＩＸマネージャＢが理解することが可能である第２の偽識別子を生成し、これをもう一度、リーダに送出する。任意的には、第１のサービス・プロバイダの署名及び第１の識別子の有効性は工程４２５で検査される。有効性検査が首尾良く行われなかった場合、要求を拒否し、その理由（例えば、証明書が偽造されている）をリーダに示すことが合理的である。リーダは、工程４４０で、第２の識別子を第１の識別子と関係付ける。これまで、患者に関連付けられた第２の識別子が、生成されており、病院Ｂにおいて使用することが可能である。第１の偽識別子に関連付けられたレコードが利用可能になった後、レコードを工程４５０で第２の識別子と関連付けることが容易であり、よって、患者の先行するレコードが病院Ｂで使用可能である。患者の実の識別情報は開示されない。
【００３９】
図５は、例として、本発明の一実施例による情報交換システムを示す。情報交換システム５００は、リーダ５１０、第１の識別子マネージャ５２０、及び受信器５３０を含む。リーダ５１０は、第１の識別子及び第１のサービス・プロバイダの署名を証明書から抽出し、第１の識別子に対応する第２の識別子を生成するよう構成される。第１の識別子マネージャ５２０は、第１の識別子を第２の識別子と関連付け、第２の識別子マネージャ及び第１のサービス・プロバイダの何れか一方に、第１の識別子に関連付けられたレコードを要求する旨の要求を送出するよう構成される。第２の識別子マネージャについての情報は、第１の証明書（例えば、第１の識別子、第１のサービス・プロバイダの署名、又はそれらの組合せ）から導き出すことが可能である。受信器５３０は、第２の識別子マネージャ及び第１のサービス・プロバイダの何れか一方から、要求されたレコードを受信し、要求されたレコ―ドを第２の識別子と関連付けるよう構成される。
【００４０】
システム５００は、マッピング装置５４２、保健／医療情報データベース５４４、及び送出器５４６を更に備える第２の識別子マネージャ５４０を更に備え得る。マッピング装置５４２は、第３の識別子に第１の識別子マネージャから送出された要求に含まれる第１の識別子をマッピングするよう構成される。データベース５４４は、第３の識別子に関連付けられたレコードを取り出すよう構成される。送出器５４６は、第１の識別子に関連付けられた要求されたレコードとして、取り出されたレコードを受信器に送出するよう構成される。
【００４１】
任意的には、システム５００は、偽識別子及び証明書を生成する第１のサービス・プロバイダ５５０を更に備える。第１のサービス・プロバイダ５５０は、第１の識別子マネージャ５２０から要求を受信し、受信された要求に含まれる第１の識別子に対応する第３の識別子を求めるよう更に構成される。第１のサービス・プロバイダ５５０は次いで、第３の識別子に関連付けられたレコードを求める旨を第２の識別子マネージャ５４０に要求する。その後、第３の識別子に関連付けられたレコードは、第１の識別子に第１のサービス・プロバイダ５５０から受信器５３０に関連付けられたレコードとして送出することが可能である。
【００４２】
本発明の実施例に開示された方法及び装置を利用することにより、情報の交換という目的（例えば、患者のプライバシの開示を阻止する一方で、別々の保健／医療情報管理システム間での保健／医療レコードの交換という目的）を達成することは容易である。
【００４３】
本発明は、ハードウェア、ソフトウェア、ファームウェア、又は前述の何れかの組み合わせを含む何れかの適切な形態で実現することができる。本発明、又はその構成の一部はコンピュータ・ソフトウェアとして実現することが可能である。本発明の実施例の構成要素及び構成部分は、何れかの適切なやり方で物理的、機能的、及び論理的に実現することができる。実際に、機能は、単一のユニットで実現しても、複数のユニットで実現しても、他の機能ユニットの一部として実現してもよい。そういうものとして、本発明は、単一のユニットで実現することができるか、又は、別々のユニット及びプロセッサ間で物理的かつ機能的に分散していることがあり得る。
【００４４】
本発明は、特定の実施例に関して説明してきたが、本明細書及び特許請求の範囲記載の特定の形態に限定することを意図するものでない。むしろ、本発明の範囲は、特許請求の範囲によってのみ限定される。特許請求の範囲では、「ｃｏｍｐｒｉｓｅｓ」という動詞及びその活用形を使用していることは、他の構成要素又は構成工程が存在していることを排除するものでない。個々の構成を別々の請求項に含めていることがあり得るが、これらは、場合によっては、組み合わせることが効果的であり得るものであり、別々の請求項に含めていることは、構成の組み合わせが実施可能でないこと及び／又は効果的でないことを示唆しているものでない。更に、単数形の参照は複数形を排除するものでない。よって、「ａ」、「ａｎ」、「ｆｉｒｓｔ」、「ｓｅｃｏｎｄ」等への参照は複数形を排除するものでない。更に、特許請求の範囲における参照符号は、当該範囲を限定するものと解されるべきでない。
【技術分野】
【０００１】
本発明は、情報交換システムに関し、特に、別々の保健情報管理システム間で保健情報を交換するシステム及び装置に関する。
【背景技術】
【０００２】
近年、保健及び／又は医療情報管理システムは、世界中で確立されている。前述の保健情報管理システム間の患者の保健情報及びプライバシの管理は、非常に重要な課題となっている。西暦１９９６年に米国国会により、医療保険責任法（ＨＩＰＡＡ）が制定された後、研究者、医師及び医療センタは、患者の保健情報及びプライバシを含む、患者のデータを扱ううえで、より注意深くなっている。
【０００３】
ＩＳＯによれば、匿名化は、識別するデータセットとデータ主体との関連付けを取り除くプロセスである。偽名化は、識別するデータセットとデータ主体との間の関連付けを取り除き、１つ又は複数の偽名と、データ主体に関する特定の特性の組との間の関連付けを加える特定のタイプの匿名化である。偽名化は、患者のプライバシを保護する重要な手法として認識されている。ＩＳＯ／ＴＣ２１５は、個人保健情報の保護のための偽名化サービスを使用した要件及び原理に焦点を当てる、新たな仕様である「Ｐｓｅｕｄｏｎｙｍｉｚａｔｉｏｎ ｐｒａｃｔｉｃｅｓ ｆｏｒ ｔｈｅ ｐｒｏｔｅｃｔｉｏｎ ｏｆ ｐｅｒｓｏｎａｌ ｈｅａｌｔｈ ｉｎｆｏｒｍａｔｉｏｎ ａｎｄ ｈｅａｌｔｈ ｒｅｌａｔｅｄ ｓｅｒｖｉｃｅ （ＩＳＯ／ＤＴＳ ２５２３７）」を策定中である。
【０００４】
ＩＳＯ／ＤＴＳ ２５２３７に基づいて、ＨＩＴＳＰ（医療情報技術標準パネル）は、偽名化を実現するための、図１に示すアーキテクチャを開発している。アーキテクチャ１００では、４つのエンティティ（すなわち、患者、病院、ＰＩＸ（患者識別子相互参照）マネージャ、及び偽名化サービス・プロバイダ）が含まれる。工程１１０では、病院は、患者のための登録サービスを提供する。工程１２０では、病院はその後、患者情報をＰＩＸマネージャに送出する。患者情報は、患者の実識別子（患者の名前及びＩＤ番号）及びこの病院において使用することが可能な患者レコードＩＤのみを含み得るか、又は、更なる情報（住所、連絡先情報等など）を含み得る。工程１３０では、ＰＩＸマネージャは、患者の識別子を記録する。この工程では、ＰＩＸマネージャは更に、病院から送出された患者情報に含まれる更なる情報構成部分（患者の健康レコードＩＤ、住所、連絡先情報等など）の少なくとも１つと、患者の識別子を関連付ける。工程１４０では、ＰＩＸマネージャは、偽識別子に対する要求を、偽名化サービス・プロバイダに送出する。要求を受信すると、偽名化サービス・プロバイダは工程１５０で、患者の偽識別子を割り当て、工程１６０で、上記偽識別子をＰＩＸマネージャに戻す。次いで、ＰＩＸマネージャは、偽識別子を記憶し、患者の識別子と関連付ける。任意的には、ＰＩＸマネージャは、病院から受信された患者情報（例えば、患者のＩＤ、住所及び連絡先情報）と偽識別子を関連付けることも可能である。工程１８０では、ＰＩＸマネージャは、患者に対して偽証明書を作成し、これを病院に送出する。工程１９０では、病院は証明書を記録し、工程１９５では、証明書を患者に送出する。証明書を受信した後、患者はこの証明書を、この証明書のフォーマットが分かるこの病院及び他の病院において使用することが可能である。この証明書を使用することにより、患者は、この証明書のフォーマット及び内容が分かる病院からサービスを得、自分の実識別子の開示を避けることが可能である。
【０００５】
しかし、別々の病院におけるエンティティ全てに利用可能な一意の偽名化サービスの前提条件で、アーキテクチャ１００は、１つの保健／医療情報管理システム／領域においてのみ使用することが可能である。病院全てが、共通の偽名化サービス・プロバイダによって発行される偽識別子を含むこの証明書を認識することが可能である。現在、人々は、種々の都市、又は種々の国における種々の病院を訪問する機会が一層増えている。種々の都市及び種々の国における種々の病院が、共通の匿名化サービスを採用するということを仮定するのは不合理である。したがって、患者は、各保健／医療サービス・プロバイダ・システムにおいて、新たな識別子又は証明書を再登録しなければならない。別々のシステム間の相互運用性の方法は存在しないため、別々のシステムに記憶された、先行する保健／医療情報を患者が再使用することは困難である。
【０００６】
したがって、別々の匿名化サービスを採用する別々の保健／医療情報管理システム間で保健／医療情報を交換することができる方法を提供する必要性が存在している。
【発明の概要】
【発明が解決しようとする課題】
【０００７】
本発明の目的は、情報（特に、保健／医療情報）を、別々の医療／保健情報管理システム（特に、別々の偽名化サービスを使用するシステム）間で交換する方法及び装置を提供することである。
【課題を解決するための手段】
【０００８】
本発明の一実施例によれば、情報交換システムを提供することにより、本発明の第１の局面において、目的及びいくつかの他の目的が得られる。情報交換システムは、第１の識別子、及び署名を含む証明書を読み取るよう構成されたリーダと、第１の識別子及び第１のサービス・プロバイダの署名を証明書から抽出し、第１の識別子に対応する第２の識別子を生成するよう構成されたリーダと、第１の識別子を第２の識別子と関連付け、第２の識別子マネージャ及び第１のサービス・プロバイダの何れか一方に、第１の識別子に関連付けられたレコードを要求する旨の要求を送出するよう構成された第１の識別子マネージャと、第２の識別子マネージャ及び第１のサービス・プロバイダの何れか一方から、要求されたレコードを受信し、受信されたレコード及び第２の識別子を関連付けるよう構成された受信器とを含む。
【０００９】
第１の識別子と関連付けられたレコードは、医療レコード、病歴、第１の識別子によって識別された患者に関する他の保健／医療情報のうちの何れか１つを含むが、患者の実識別情報を容易に覆すことが可能な、自分の識別番号、運転免許証番号、保険番号、又は医療登録番号などの患者の実識別情報を含まない。
【００１０】
現在の保健／医療情報管理システムに使用される前述のシステムは、別のシステムによって発行された証明書を現在の保健／医療情報管理システムが認識する必要なしで、別の保健／医療情報管理システムから保健情報（例えば、第１の識別子に関連付けられたレコード）が得られるという利点を有する。現在のシステムでは、第２の識別子は、患者の先行レコードと関連付けることが可能である。レコードはよって、一意の偽名化サービスに対する必要なしで、別々のシステム間で交換可能であり得る。
【００１１】
任意的には、第２の識別子マネージャは更に、第１の識別子を第３の識別子にマッピングするよう構成された識別子マッピング装置と、第３の識別子に関連付けられたレコードを取り出すよう構成されたデータベースと、第１の識別子に関連付けられたレコードとして、取り出されたレコードを受信器に送出するよう構成された送出器とを備える。
【００１２】
第３の識別子は、自分の実の識別情報に関連付けられたレコードを見つけることができるように、患者の実の識別情報（自分の識別番号、運転免許証番号、保険番号や、医療登録番号など）であり得る。データベースは、スタンドアロン型データベースであり得るか、又は別個の病院が、患者の実の識別情報及びレコードを記憶し得る。
【００１３】
任意的には、第３の識別子は、偽名化サービス・プロバイダによって生成される偽識別子であってもよい。ＰＩＸマネージャであり得る第２の識別子マネージャは、この偽識別子を使用して、データベースからレコードを取り出すことも可能である。
【００１４】
あるいは、サポートしないが、その他の偽名化サービス・プロバイダについての情報を抽出することが可能な別の偽名化サービスを使用して別の保健／医療情報管理システムによって第３の識別子が送出されたということを第２の識別子マネージャが判った場合、第１の識別子は、第３の識別子をその他の偽名化サービスに送出して、レコードを要求することが可能である。前述の再帰的手法を使用することにより、患者によって保持された証明書が何れかの他の保健／医療情報管理システムによって発行されたか否かにかかわらず、患者の健康レコードを記憶した当初システムを見つけることが可能である。
【００１５】
任意的には、情報交換システムは、識別子を生成するよう構成された第２のサービス・プロバイダを更に備え、リーダ及び第１の識別子マネージャの何れか一方は、第２のサービス・プロバイダに第４の識別子を要求するよう更に構成され、リーダは、受信された第４の識別子を第２の識別子として設定するよう更に構成される。更に、第２のサービス・プロバイダは、現在の保健情報管理システムにおいて患者によって使用することが可能な第２の証明書を生成するよう更に構成される。患者は、前述の手法を使用することにより、現在の保健情報管理システムからレコードを得ることが可能な別の保健情報管理システムにこの第２の証明書を持ち込むことも可能である。
【００１６】
第１の識別子及び第２の識別子は、自分の実の識別情報を開示することなく、患者を識別するための偽識別子であり得る。患者のプライバシは、何れの保健情報管理システムにおいても保護される。
【００１７】
第１のサービス・プロバイダによって生成される署名は、例えば、偽名化サービス・プロバイダのような、第１のサービス・プロバイダ及び第２の識別子マネージャの少なくとも一方についての情報を提供する。
【００１８】
本発明の別の実施例によれば、本発明の第２の局面は、患者を識別するよう構成された証明書を記憶するためのカードを提供する。上記証明書は、偽名化サービス・プロバイダによって生成され、保健情報管理システムにおいて使用されるよう構成された第１の偽識別子と、識別子マネージャ及び偽名化サービス・プロバイダのうちの少なくとも一方についての情報を含むよう構成された偽名化サービス・プロバイダの署名とを含み、識別子マネージャは、第１の偽識別子を識別するよう構成される。
【００１９】
患者の実の識別情報はこのカードに含まれていないので、自分のプライバシは保護される。上記方法と組み合わせて、患者のレコードを、現在の保健情報管理システムにおいて探索し、使用することが可能である。
【００２０】
証明書のセキュリティを更に向上させるために（すなわち、証明書と、この証明書を保有している個人との間の関係付け（すなわち、証明書が前述の個人に属するか）を確かめるために）、証明書は任意的には、公開鍵対の公開鍵を更に含み得る。公開鍵は、患者の署名を検証するために使用される。この証明書では、公開鍵が、患者の偽識別子に関連付けられるので、患者は、公開鍵の対の秘密鍵を使用して一部の文書に署名し、他方は、上記証明書における公開鍵を使用して、患者の実の識別情報を開示することなく署名を確かめる。公開鍵はオンラインで（例えば、インターネットを介して）使用することが可能である。
【００２１】
別の実施例では、更なるデータセットを証明書に含めてセキュリティを向上させることができる。更なるデータセットは秘密ｓのハッシュであり得、ｓは、患者に既知のパラメータ、患者の個人情報、又は患者の実の識別情報であり得る。ハッシュ関数は、ゼロ知識証明が存在している一方向関数であるので、自分の識別情報を明らかにすることなく、自分の偽名を備えた証明書が自分のものであるということを患者が他者（例えば、医師）に証明することが可能である。
【００２２】
別の実施例では、更なるデータセットは、患者を表す少なくとも１つの生体パラメータを含み得る。指紋などの生体パラメータは、証明書を保有する患者を検証するために使用することが可能である。更なる利点は、患者が生体データを常に持っているという点である。生体データは、公開データベースに記憶されておらず、よって、患者の実の識別情報に関係付けることが可能でない一方、証明書を所有していることを証明する機能を維持する。
【００２３】
別の実施例によれば、本発明の第３の局面は、特に、別々の保健／医療情報管理システムの中から、情報を得る方法を提供することによって達成される。方法は、
ａ）第１のサービス・プロバイダの署名及び第１の識別子を証明書から抽出する工程と、
ｂ）第１の識別子に対応する第２の識別子を生成する工程と、
ｃ）第２の識別子マネージャ及び第１のサービス・プロバイダの何れか一方に要求を送出して、第１の識別子に関連付けられたレコードを要求する工程と、
ｄ）第２の識別子マネージャ及び第１のサービス・プロバイダの何れか一方から、要求されたレコードを受信する工程と、
ｅ）要求されたレコードを第２の識別子と関連付ける工程とを含む。
【００２４】
別の実施例によれば、本発明の第４の局面は、第２の証明書を、特に、患者の実の識別情報を知る必要なく、生成する方法を提供することである。上記方法は、
ａ）第１の識別子及び第１のサービス・プロバイダの署名を第１の証明書から抽出する工程と、
ｂ）第１の識別子及び第１のサービス・プロバイダの署名の少なくとも一方に基づいて第１の識別子の有効性を検査する工程と、
ｃ）第２のサービス・プロバイダの署名及び第２の識別子を含む第２の証明書を生成する工程とを含み、第２の識別子は第１の識別子に対応する。
【００２５】
前述の方法の使用により、患者の実の識別情報を知ることなく、偽識別子を含む新たな証明書を作成することが可能であるという利点がもたらされる。
【００２６】
セキュリティを向上させるために、第２の証明書は任意的には、第２の証明書を所有していることを検証するために使用することが可能な、公開鍵、秘密ｓのハッシュ、生体パラメータ、及び他の情報の何れか１つを更に含み得る。
【００２７】
任意的には、方法は、第２の識別子に関連付けられたレコードとして第２の識別子と、第１の識別子に関連付けられたレコードとを関連付ける工程を更に含む。
【図面の簡単な説明】
【００２８】
【図１】ＨＩＴＳＰによって開発されたアーキテクチャを示す図である。
【図２】本発明の一実施例による証明書を示す図である。
【図３】本発明の一実施例による情報交換処理を示す図である。
【図４】本発明の一実施例による証明書を生成する方法を示す図である。
【図５】本発明の一実施例による情報交換システムを示すブロック図である。
【発明を実施するための形態】
【００２９】
本発明の前述及び他の局面、構成、及び／又は効果は、後述する実施例を参照すると、明らかであり、明らかにされるであろう。
【００３０】
本発明の実施例は、例示の目的のみで説明する。
【実施例】
【００３１】
図２は、例として、証明書のコンテンツの実施例を示す。証明書は、偽名化サービスの署名及び偽識別子を含む。偽識別子は、偽名化サービス・プロバイダによって生成され、現在の保健／医療情報管理システム（例えば、患者が登録する病院）における患者を識別するために使用される。偽識別子のみから患者の実の識別情報を導き出すことは可能でない。偽名化サービスの署名は、偽名化サービス・プロバイダによって生成され、偽識別子を検証するために使用することが可能である。証明書は、偽名化サービス・プロバイダについての情報を導き出すために使用することも可能である。任意的には、証明書は、現在の偽名化サービス・プロバイダによって生成された新たな偽識別子と、先行する識別子との間の関連付け、及び患者の１つの先行識別子が記憶される識別子マネージャ（例えば、ＰＩＸマネージャ）についての情報を導き出すために更に使用することが可能である。先行識別子は、患者の実の識別情報であり得、その場合、病院は、患者にとって最初に登録された病院である。先行識別子は、別の偽名化サービス・プロバイダによって生成された偽識別子でもあり得、その場合、現在の病院は、患者にとっての最初に登録された病院でなく、偽識別子を備えた証明書を持っている患者が現在の病院を訪問する。後者の場合、患者にとって最初に登録された病院を導き出すために再帰的手法を使用することが可能である。
【００３２】
別の実施例では、証明書は任意的には、公開鍵の対の公開鍵を含み得る。この証明書では、公開鍵が、患者の偽識別子に関連付けられるので、患者は、公開鍵の対の秘密鍵を使用して一部の文書に署名することが可能であり、他者は、公開鍵を使用して、自分の実の識別情報を開示することなく署名を検証することが可能である。公開鍵を使用して患者をオンラインで（例えば、インターネット又は専用イントラネットを介して）検証するということは利点である。この場合、公開鍵は任意的には、偽名化サービスの署名を生成する際に考慮に入れられ、それにより、証明書のセキュリティが更に向上する。
【００３３】
別の実施例では、証明書は任意的には、証明書が患者に属するというセキュリティを向上させるために使用される更なるデータセットを含む。この場合、更なるデータセットは任意的には、偽名化サービスの署名を生成する際に考慮に入れられ、それにより、証明書のセキュリティが更に向上する。医師が、正しい患者及び正しい健康レコードを扱っているか否かを確かめることが可能であるということは利点である。更なるデータセットは、患者に既知の、秘密ｓのハッシュであり得る。秘密ｓは、患者に既知の所定のパラメータ、患者の実の識別情報、又は患者の個人情報（例えば、患者の名前、誕生日、旅券番号等）であり得る。ハッシュ関数は、ゼロ知識証明が存在している一方向関数であるので、患者は、自分の識別情報を明らかにすることなく、自分の偽名を備えた証明書が実際に自分のものであるということを医師に証明することが可能である。ハッシュ関数の結果から、患者の実の識別情報を導き出すことはほとんど不可能である。
【００３４】
別の実施例では、更なるデータセットは任意的には、１つ又は複数の生体パラメータを含む。指紋、虹彩等などの生体パラメータは、患者の生理的な特性の特徴を表すために使用され、公開データベースには記憶されない。前述の実現形態は２つの利点を有する。第１は生体パラメータが常に、患者の体から入手可能であるという点であり、第２は、生体データを患者の実の識別情報に関係付けることが可能でなく、偽造が困難であるという点である。公開鍵及び更なるデータセットを証明書に組み入れることも可能である。
【００３５】
図２に示す証明書は、本発明の一実施例による情報交換プロセスを示す図３において使用することが可能である。患者が病院Ａ及びＰＩＸマネージャＡに登録し、第１の偽名化サービス・プロバイダによって発行された、偽名化サービスの署名及び偽の第１の識別子を含む証明書を得ているものとする。次に、患者は、別の偽名化サービス及び別の偽識別子システムを採用する別の都市又は国における病院を訪問する。現在訪問している病院（例えば、病院Ｂ及びＰＩＸマネージャＢ）において自分の元の証明書を患者が使用することは面倒である。情報交換プロセスの工程３１０では、患者は、自分の元の証明書を使用することにより、まず、病院Ｂに登録する。病院Ｂでは、証明書を読み取り、第１の識別子及び第１のサービス・プロバイダを抽出するよう構成されたリーダが存在している。工程３２０では、リーダは第１の識別子及び署名を抽出する。任意的には、リーダは、署名に基づいて第１の識別子の有効性を検査し、又は、第１の識別子及び署名を別のエンティティに送出して、第１の識別子を検証する。工程３３０では、病院Ｂ及びＰＩＸマネージャＢにおいて使用することが可能な第２の偽識別子が生成される。工程３４０では、第１のサービス・プロバイダの署名、第１の識別子、及び第２の識別子は第１の識別子マネージャ（例えば、ＰＩＸマネージャＢ）に送出される。任意的には、第１のサービス・プロバイダの署名に基づいて工程３４５でＰＩＸマネージャＢにおける第１の識別子の有効性が検査される。工程３５０では、ＰＩＸマネージャＢは第２の識別子を第１の識別子と関連付ける。実際には、第１の識別子は、病院Ａ／ＰＩＸマネージャＡにおいて患者によって使用される偽識別子である一方、第２の識別子は、病院Ｂ／ＰＩＸマネージャＢにおいて同じ患者によって使用される別の偽識別子である。工程３６０では、ＰＩＸマネージャＢは第２の識別子マネージャ（例えば、ＰＩＸマネージャＡ）についての情報を証明書に基づいて抽出する。第１のサービス・プロバイダの署名及び／又は第１の識別子からの情報を抽出することも可能にする。工程３７０では、ＰＩＸマネージャＢは、第１の識別子マネージャ（例えば、ＰＩＸマネージャＡ）に、第１の識別子に関連付けられた元のレコードを要求する。少なくとも第１の識別子が要求に含まれる。第１の識別子のレコードを見つけ、もう一度ＰＩＸマネージャＢに送出する旨をＰＩＸマネージャＢが第１のサービス・プロバイダに要求することも実用的である。これは、特に、ＰＩＸマネージャＢにより、第２の識別子マネージャを導き出すことが可能でない場合に、更なる利点をもたらす。患者が病院Ａ／ＰＩＸマネージャＡにおいて登録した後、証明書が第１のサービス・プロバイダによって生成されるので、第１のサービス・プロバイダが病院Ａ及びＰＩＸマネージャＡを見つけるのは容易である。ＰＩＸマネージャＢから要求を受け取ると、ＰＩＸマネージャＡの識別子マッピング装置は、工程３８０で、第１の識別子を第３の識別子にマッピングし、工程３９０で第３の識別子に関連付けられたレコードを要求する旨の要求をデータベース（例えば、病院Ａの構成要素）に送出する。第３の識別子に関連付けられたレコードが取り出された後、第２の識別子マネージャにおける送出器は工程３９５において、病院Ｂに配置された受信器に第１の識別子に関連付けられた、要求されたレコードとして、取り出されたレコードを送出する。
【００３６】
図３に示す実施例は、訪問している病院（例えば、病院Ｂ／ＰＩＸマネージャＢ）に患者の実の識別情報を送出することが決して可能でないということを明確に示している。よって、後の診断において、必要な健康レコードが利用される一方、患者のプライバシが保護される。
【００３７】
図３に示す実施例では、第２の識別子マネージャにおける識別子マッピング装置によって求められた第３の識別子は、患者の実の識別情報であり得るが、病院Ａにおいて患者によって使用される別の偽識別子でもあり得る。第３の識別子が偽識別子である場合、病院Ａ／ＰＩＸマネージャＡは、図３の実施例に記載されたものと同様な方法を使用して、偽識別子を発行し、使用する別の病院／ＰＩＸマネージャを見つけることが可能である。患者が使用する偽識別子の数にかかわらず、再帰的手法を使用することにより、患者の健康／医療レコードを保持する病院を位置特定することが容易になる。
【００３８】
図３に示す実施例では、第２の識別子は工程３３０でリーダによって生成される。図４に示す実施例に示された方法を使用することにより、第２の識別子を生成することも実用的である。第１のサービス・プロバイダの署名及び第１の識別子が工程４１０でリーダによって抽出された後、リーダは、工程４２０で、第２の偽識別子を生成する旨の要求を第２の偽名化サービス・プロバイダに送出する。工程４３０では、第２の偽名化サービス・プロバイダは、病院Ｂ及びＰＩＸマネージャＢが理解することが可能である第２の偽識別子を生成し、これをもう一度、リーダに送出する。任意的には、第１のサービス・プロバイダの署名及び第１の識別子の有効性は工程４２５で検査される。有効性検査が首尾良く行われなかった場合、要求を拒否し、その理由（例えば、証明書が偽造されている）をリーダに示すことが合理的である。リーダは、工程４４０で、第２の識別子を第１の識別子と関係付ける。これまで、患者に関連付けられた第２の識別子が、生成されており、病院Ｂにおいて使用することが可能である。第１の偽識別子に関連付けられたレコードが利用可能になった後、レコードを工程４５０で第２の識別子と関連付けることが容易であり、よって、患者の先行するレコードが病院Ｂで使用可能である。患者の実の識別情報は開示されない。
【００３９】
図５は、例として、本発明の一実施例による情報交換システムを示す。情報交換システム５００は、リーダ５１０、第１の識別子マネージャ５２０、及び受信器５３０を含む。リーダ５１０は、第１の識別子及び第１のサービス・プロバイダの署名を証明書から抽出し、第１の識別子に対応する第２の識別子を生成するよう構成される。第１の識別子マネージャ５２０は、第１の識別子を第２の識別子と関連付け、第２の識別子マネージャ及び第１のサービス・プロバイダの何れか一方に、第１の識別子に関連付けられたレコードを要求する旨の要求を送出するよう構成される。第２の識別子マネージャについての情報は、第１の証明書（例えば、第１の識別子、第１のサービス・プロバイダの署名、又はそれらの組合せ）から導き出すことが可能である。受信器５３０は、第２の識別子マネージャ及び第１のサービス・プロバイダの何れか一方から、要求されたレコードを受信し、要求されたレコ―ドを第２の識別子と関連付けるよう構成される。
【００４０】
システム５００は、マッピング装置５４２、保健／医療情報データベース５４４、及び送出器５４６を更に備える第２の識別子マネージャ５４０を更に備え得る。マッピング装置５４２は、第３の識別子に第１の識別子マネージャから送出された要求に含まれる第１の識別子をマッピングするよう構成される。データベース５４４は、第３の識別子に関連付けられたレコードを取り出すよう構成される。送出器５４６は、第１の識別子に関連付けられた要求されたレコードとして、取り出されたレコードを受信器に送出するよう構成される。
【００４１】
任意的には、システム５００は、偽識別子及び証明書を生成する第１のサービス・プロバイダ５５０を更に備える。第１のサービス・プロバイダ５５０は、第１の識別子マネージャ５２０から要求を受信し、受信された要求に含まれる第１の識別子に対応する第３の識別子を求めるよう更に構成される。第１のサービス・プロバイダ５５０は次いで、第３の識別子に関連付けられたレコードを求める旨を第２の識別子マネージャ５４０に要求する。その後、第３の識別子に関連付けられたレコードは、第１の識別子に第１のサービス・プロバイダ５５０から受信器５３０に関連付けられたレコードとして送出することが可能である。
【００４２】
本発明の実施例に開示された方法及び装置を利用することにより、情報の交換という目的（例えば、患者のプライバシの開示を阻止する一方で、別々の保健／医療情報管理システム間での保健／医療レコードの交換という目的）を達成することは容易である。
【００４３】
本発明は、ハードウェア、ソフトウェア、ファームウェア、又は前述の何れかの組み合わせを含む何れかの適切な形態で実現することができる。本発明、又はその構成の一部はコンピュータ・ソフトウェアとして実現することが可能である。本発明の実施例の構成要素及び構成部分は、何れかの適切なやり方で物理的、機能的、及び論理的に実現することができる。実際に、機能は、単一のユニットで実現しても、複数のユニットで実現しても、他の機能ユニットの一部として実現してもよい。そういうものとして、本発明は、単一のユニットで実現することができるか、又は、別々のユニット及びプロセッサ間で物理的かつ機能的に分散していることがあり得る。
【００４４】
本発明は、特定の実施例に関して説明してきたが、本明細書及び特許請求の範囲記載の特定の形態に限定することを意図するものでない。むしろ、本発明の範囲は、特許請求の範囲によってのみ限定される。特許請求の範囲では、「ｃｏｍｐｒｉｓｅｓ」という動詞及びその活用形を使用していることは、他の構成要素又は構成工程が存在していることを排除するものでない。個々の構成を別々の請求項に含めていることがあり得るが、これらは、場合によっては、組み合わせることが効果的であり得るものであり、別々の請求項に含めていることは、構成の組み合わせが実施可能でないこと及び／又は効果的でないことを示唆しているものでない。更に、単数形の参照は複数形を排除するものでない。よって、「ａ」、「ａｎ」、「ｆｉｒｓｔ」、「ｓｅｃｏｎｄ」等への参照は複数形を排除するものでない。更に、特許請求の範囲における参照符号は、当該範囲を限定するものと解されるべきでない。
【特許請求の範囲】
【請求項１】
情報交換システムであって、
第１のサービス・プロバイダの署名及び第１の識別子を証明書から抽出し、前記第１の識別子に対応する第２の識別子を生成するよう構成されたリーダと、
前記第１の識別子を前記第２の識別子と関連付け、前記第１の識別子と関連付けられたレコードを要求する旨の要求を第２の識別子マネージャ及び前記第１のサービス・プロバイダの何れか一方に送出するよう構成された第１の識別子マネージャと、
前記第２の識別子マネージャ及び前記第１のサービス・プロバイダの何れか一方から前記要求されたレコードを受信し、前記受信されたレコードを前記第２の識別子と関連付けるよう構成された受信器と
を備える情報交換システム。
【請求項２】
請求項１記載の情報交換システムであって、前記第２の識別子マネージャは更に、
前記第１の識別子を第３の識別子にマッピングするよう構成された識別子マッピング装置と、
前記第３の識別子と関連付けられたレコードを取り出すよう構成されたデータベースと、
前記第１の識別子と関連付けられた前記レコードとして、前記取り出されたレコードを前記受信器に送出するよう構成された送出器と
を備える情報交換システム。
【請求項３】
請求項１記載の情報交換システムであって、
識別子を生成するよう構成された第２のサービス・プロバイダ
を更に備え、
前記リーダ及び前記第１の識別子マネージャの何れか一方は、前記第２のサービス・プロバイダに第４の識別子を要求するよう更に構成され、前記リーダは、受信された第４の識別子を前記第２の識別子として設定するよう更に構成される情報交換システム。
【請求項４】
請求項３記載の情報交換システムであって、前記第２のサービス・プロバイダは、前記第２のサービス・プロバイダの署名及び前記第４の識別子を備える第２の証明書を生成するよう更に構成される情報交換システム。
【請求項５】
請求項４記載の情報交換システムであって、前記リーダは、前記第１の識別子マネージャ及び前記受信器の少なくとも一方に前記第２の証明書を送出するよう更に構成される情報交換子システム。
【請求項６】
請求項１記載の情報交換システムであって、前記第１の識別子及び前記第２の識別子はそれぞれ、対応する偽名化サービス・プロバイダによって生成される偽識別子であり、前記第１のサービス・プロバイダの前記署名は、前記第２の識別子マネージャ及び前記第１のサービス・プロバイダの少なくとも一方についての情報を提供する情報交換システム。
【請求項７】
請求項６記載の情報交換システムであって、前記証明書は、前記証明書と前記患者との間の関係付けを検査するために公開鍵の対の公開鍵を更に備える情報交換システム。
【請求項８】
請求項６記載の情報交換システムであって、前記証明書は前記証明書と前記患者との間の関係付けを検査するために更なるデータセットを更に備える情報交換システム。
【請求項９】
請求項８記載の情報交換システムであって、前記更なるデータセットに基づいた前記関係付けはオフラインで検査される情報交換システム。
【請求項１０】
請求項８又は９に記載の情報交換システムであって、前記更なるデータセットは秘密ｓのハッシュであり、前記ｓは、前記患者に既知の所定のパラメータ、前記患者の個人情報、及び前記患者の実の識別情報の何れか１つである情報交換システム。
【請求項１１】
請求項８又は９に記載の情報交換システムであって、前記更なるデータセットは、前記患者の生理的な特性の特徴を表す少なくとも１つの生体パラメータを含む情報交換システム。
【請求項１２】
患者を識別するよう構成された証明書を記憶するカードであって、前記証明書は、
偽名化サービス・プロバイダによって生成され、保健情報管理システムに使用するよう構成された第１の偽識別子と、
前記偽名化サービス・プロバイダ及び識別子マネージャの少なくとも一方についての情報を含むよう構成された、偽名化サービス・プロバイダの署名と
を備え、前記識別子マネージャは、前記第１の偽識別子を識別するよう構成されたカード。
【請求項１３】
請求項１２記載のカードであって、前記証明書と前記患者との間の関係付けを検査するための公開鍵の対の公開鍵を更に備えるカード。
【請求項１４】
請求項１２記載のカードであって、前記証明書と前記患者との間の関係付けを検査するために更なるデータセットを更に備えるカード。
【請求項１５】
請求項１４記載のカードであって、前記更なるデータセットは秘密ｓのハッシュであり、前記ｓは、前記患者に既知の所定のパラメータ、前記患者の個人情報、及び前記患者の実の識別情報の何れか１つであるカード。
【請求項１６】
請求項１５記載のカードであって、前記更なるデータセットは、前記患者の生理的な特性の特徴を表す少なくとも１つの生体パラメータを含むカード。
【請求項１７】
情報を取得する方法であって、前記方法は、
ａ）第１の識別子及び第１のサービス・プロバイダの署名を証明書から抽出する工程と、
ｂ）前記第１の識別子に対応する第２の識別子を生成する工程と、
ｃ）前記第１の識別子に関連付けられたレコードを要求する旨の要求を、第２の識別子マネージャ及び前記第１のサービス・プロバイダの何れか一方に送出する工程と、
ｄ）前記第２の識別子マネージャ及び前記第１のサービス・プロバイダの何れか一方から、前記要求されたレコードを受信する工程と、
ｅ）前記第２の識別子と、前記要求されたレコードを関連付ける工程とを含む方法。
【請求項１８】
請求項１７記載の方法であって、
ｆ）前記第２の識別子マネージャにおいて第３の識別子に前記第１の識別子をマッピングする工程と、
ｇ）前記第３の識別子に関連付けられたレコードを取り出す工程と、
ｈ）前記第１の識別子に関連付けられた前記レコードとして、前記取り出されたレコードを受信器に送出する工程と
を含む方法。
【請求項１９】
請求項１８記載の方法であって、前記第３の識別子は、識別番号、運転免許証番号、保険番号、及び医療システムにおける登録番号のうちの何れか１つである方法。
【請求項２０】
請求項１７記載の方法であって、第２の識別子を生成する工程は、
ｉ）前記第２の識別子を要求する旨の要求を第２のサービス・プロバイダに送出する工程と、
ｉｉ）前記第２のサービス・プロバイダにより、前記第１の識別子に対応する前記第２の識別子を生成する工程と
を含む方法。
【請求項２１】
請求項２０記載の方法であって、前記第１のサービス・プロバイダ及び前記第２のサービス・プロバイダは偽名化サービス・プロバイダであり、前記第１の識別子及び前記第２の識別子は、対応する偽名化サービス・プロバイダによって生成される偽識別子である方法。
【請求項２２】
請求項２０記載の方法であって、第２の識別子を生成する工程は、前記第２の識別子に対応する第２の証明書を生成する工程を更に含み、前記第２の証明書は、前記第２のサービス・プロバイダの前記署名、及び前記第２の識別子を含む方法。
【請求項２３】
請求項２２記載の方法であって、前記第２の証明書は、前記第２の証明書を保持する個人と前記第２の証明書との間の関係付けを検査するための更なるデータセット、及び公開鍵の対の公開鍵の何れか一方を更に含む方法。
【請求項２４】
第１の証明書に基づいて第２の証明書を生成する方法であって、
ａ）第１の識別子及び第１のサービス・プロバイダの署名を前記第１の証明書から抽出する工程と、
ｂ）前記第１の識別子及び前記第１のサービス・プロバイダの前記署名の少なくとも一方に基づいて前記第１の識別子の有効性を検査する工程と、
ｃ）第２のサービス・プロバイダの署名及び第２の識別子を含む前記第２の証明書を生成する工程とを含み、前記第２の識別子は前記第１の識別子に対応する方法。
【請求項２５】
請求項２４記載の方法であって、前記第２の証明書は、公開鍵の対の公開鍵、及び更なるデータセットの何れか一方を更に備え、前記公開鍵の対の前記公開鍵、及び前記更なるデータセットの何れか一方は、前記第２の証明書と、前記第２の証明書を保持している個人との間の関係付けを検査するよう構成される方法。
【請求項２６】
請求項２４記載の方法であって、前記第１のサービス・プロバイダ及び前記第２のサービス・プロバイダは偽名化サービス・プロバイダであり、前記第１の識別子及び前記第２の識別子はそれぞれ、対応する偽名化サービス・プロバイダによって生成される偽識別子である方法。
【請求項２７】
請求項２４記載の方法であって、前記第２の識別子に関連付けられた前記レコードとして、前記第２の識別子と、前記第１の識別子に関連付けられた前記レコードを関連付ける工程を更に含む方法。
【請求項１】
情報交換システムであって、
第１のサービス・プロバイダの署名及び第１の識別子を証明書から抽出し、前記第１の識別子に対応する第２の識別子を生成するよう構成されたリーダと、
前記第１の識別子を前記第２の識別子と関連付け、前記第１の識別子と関連付けられたレコードを要求する旨の要求を第２の識別子マネージャ及び前記第１のサービス・プロバイダの何れか一方に送出するよう構成された第１の識別子マネージャと、
前記第２の識別子マネージャ及び前記第１のサービス・プロバイダの何れか一方から前記要求されたレコードを受信し、前記受信されたレコードを前記第２の識別子と関連付けるよう構成された受信器と
を備える情報交換システム。
【請求項２】
請求項１記載の情報交換システムであって、前記第２の識別子マネージャは更に、
前記第１の識別子を第３の識別子にマッピングするよう構成された識別子マッピング装置と、
前記第３の識別子と関連付けられたレコードを取り出すよう構成されたデータベースと、
前記第１の識別子と関連付けられた前記レコードとして、前記取り出されたレコードを前記受信器に送出するよう構成された送出器と
を備える情報交換システム。
【請求項３】
請求項１記載の情報交換システムであって、
識別子を生成するよう構成された第２のサービス・プロバイダ
を更に備え、
前記リーダ及び前記第１の識別子マネージャの何れか一方は、前記第２のサービス・プロバイダに第４の識別子を要求するよう更に構成され、前記リーダは、受信された第４の識別子を前記第２の識別子として設定するよう更に構成される情報交換システム。
【請求項４】
請求項３記載の情報交換システムであって、前記第２のサービス・プロバイダは、前記第２のサービス・プロバイダの署名及び前記第４の識別子を備える第２の証明書を生成するよう更に構成される情報交換システム。
【請求項５】
請求項４記載の情報交換システムであって、前記リーダは、前記第１の識別子マネージャ及び前記受信器の少なくとも一方に前記第２の証明書を送出するよう更に構成される情報交換子システム。
【請求項６】
請求項１記載の情報交換システムであって、前記第１の識別子及び前記第２の識別子はそれぞれ、対応する偽名化サービス・プロバイダによって生成される偽識別子であり、前記第１のサービス・プロバイダの前記署名は、前記第２の識別子マネージャ及び前記第１のサービス・プロバイダの少なくとも一方についての情報を提供する情報交換システム。
【請求項７】
請求項６記載の情報交換システムであって、前記証明書は、前記証明書と前記患者との間の関係付けを検査するために公開鍵の対の公開鍵を更に備える情報交換システム。
【請求項８】
請求項６記載の情報交換システムであって、前記証明書は前記証明書と前記患者との間の関係付けを検査するために更なるデータセットを更に備える情報交換システム。
【請求項９】
請求項８記載の情報交換システムであって、前記更なるデータセットに基づいた前記関係付けはオフラインで検査される情報交換システム。
【請求項１０】
請求項８又は９に記載の情報交換システムであって、前記更なるデータセットは秘密ｓのハッシュであり、前記ｓは、前記患者に既知の所定のパラメータ、前記患者の個人情報、及び前記患者の実の識別情報の何れか１つである情報交換システム。
【請求項１１】
請求項８又は９に記載の情報交換システムであって、前記更なるデータセットは、前記患者の生理的な特性の特徴を表す少なくとも１つの生体パラメータを含む情報交換システム。
【請求項１２】
患者を識別するよう構成された証明書を記憶するカードであって、前記証明書は、
偽名化サービス・プロバイダによって生成され、保健情報管理システムに使用するよう構成された第１の偽識別子と、
前記偽名化サービス・プロバイダ及び識別子マネージャの少なくとも一方についての情報を含むよう構成された、偽名化サービス・プロバイダの署名と
を備え、前記識別子マネージャは、前記第１の偽識別子を識別するよう構成されたカード。
【請求項１３】
請求項１２記載のカードであって、前記証明書と前記患者との間の関係付けを検査するための公開鍵の対の公開鍵を更に備えるカード。
【請求項１４】
請求項１２記載のカードであって、前記証明書と前記患者との間の関係付けを検査するために更なるデータセットを更に備えるカード。
【請求項１５】
請求項１４記載のカードであって、前記更なるデータセットは秘密ｓのハッシュであり、前記ｓは、前記患者に既知の所定のパラメータ、前記患者の個人情報、及び前記患者の実の識別情報の何れか１つであるカード。
【請求項１６】
請求項１５記載のカードであって、前記更なるデータセットは、前記患者の生理的な特性の特徴を表す少なくとも１つの生体パラメータを含むカード。
【請求項１７】
情報を取得する方法であって、前記方法は、
ａ）第１の識別子及び第１のサービス・プロバイダの署名を証明書から抽出する工程と、
ｂ）前記第１の識別子に対応する第２の識別子を生成する工程と、
ｃ）前記第１の識別子に関連付けられたレコードを要求する旨の要求を、第２の識別子マネージャ及び前記第１のサービス・プロバイダの何れか一方に送出する工程と、
ｄ）前記第２の識別子マネージャ及び前記第１のサービス・プロバイダの何れか一方から、前記要求されたレコードを受信する工程と、
ｅ）前記第２の識別子と、前記要求されたレコードを関連付ける工程とを含む方法。
【請求項１８】
請求項１７記載の方法であって、
ｆ）前記第２の識別子マネージャにおいて第３の識別子に前記第１の識別子をマッピングする工程と、
ｇ）前記第３の識別子に関連付けられたレコードを取り出す工程と、
ｈ）前記第１の識別子に関連付けられた前記レコードとして、前記取り出されたレコードを受信器に送出する工程と
を含む方法。
【請求項１９】
請求項１８記載の方法であって、前記第３の識別子は、識別番号、運転免許証番号、保険番号、及び医療システムにおける登録番号のうちの何れか１つである方法。
【請求項２０】
請求項１７記載の方法であって、第２の識別子を生成する工程は、
ｉ）前記第２の識別子を要求する旨の要求を第２のサービス・プロバイダに送出する工程と、
ｉｉ）前記第２のサービス・プロバイダにより、前記第１の識別子に対応する前記第２の識別子を生成する工程と
を含む方法。
【請求項２１】
請求項２０記載の方法であって、前記第１のサービス・プロバイダ及び前記第２のサービス・プロバイダは偽名化サービス・プロバイダであり、前記第１の識別子及び前記第２の識別子は、対応する偽名化サービス・プロバイダによって生成される偽識別子である方法。
【請求項２２】
請求項２０記載の方法であって、第２の識別子を生成する工程は、前記第２の識別子に対応する第２の証明書を生成する工程を更に含み、前記第２の証明書は、前記第２のサービス・プロバイダの前記署名、及び前記第２の識別子を含む方法。
【請求項２３】
請求項２２記載の方法であって、前記第２の証明書は、前記第２の証明書を保持する個人と前記第２の証明書との間の関係付けを検査するための更なるデータセット、及び公開鍵の対の公開鍵の何れか一方を更に含む方法。
【請求項２４】
第１の証明書に基づいて第２の証明書を生成する方法であって、
ａ）第１の識別子及び第１のサービス・プロバイダの署名を前記第１の証明書から抽出する工程と、
ｂ）前記第１の識別子及び前記第１のサービス・プロバイダの前記署名の少なくとも一方に基づいて前記第１の識別子の有効性を検査する工程と、
ｃ）第２のサービス・プロバイダの署名及び第２の識別子を含む前記第２の証明書を生成する工程とを含み、前記第２の識別子は前記第１の識別子に対応する方法。
【請求項２５】
請求項２４記載の方法であって、前記第２の証明書は、公開鍵の対の公開鍵、及び更なるデータセットの何れか一方を更に備え、前記公開鍵の対の前記公開鍵、及び前記更なるデータセットの何れか一方は、前記第２の証明書と、前記第２の証明書を保持している個人との間の関係付けを検査するよう構成される方法。
【請求項２６】
請求項２４記載の方法であって、前記第１のサービス・プロバイダ及び前記第２のサービス・プロバイダは偽名化サービス・プロバイダであり、前記第１の識別子及び前記第２の識別子はそれぞれ、対応する偽名化サービス・プロバイダによって生成される偽識別子である方法。
【請求項２７】
請求項２４記載の方法であって、前記第２の識別子に関連付けられた前記レコードとして、前記第２の識別子と、前記第１の識別子に関連付けられた前記レコードを関連付ける工程を更に含む方法。
【図１】
【図２】
【図３】
【図４】
【図５】
【図２】
【図３】
【図４】
【図５】
【公表番号】特表２０１１−５０８３３２（Ｐ２０１１−５０８３３２Ａ）
【公表日】平成２３年３月１０日（２０１１．３．１０）
【国際特許分類】
【出願番号】特願２０１０−５４０２０８（Ｐ２０１０−５４０２０８）
【出願日】平成２０年１２月２６日（２００８．１２．２６）
【国際出願番号】ＰＣＴ／ＩＢ２００８／０５５５４１
【国際公開番号】ＷＯ２００９／０８３９２２
【国際公開日】平成２１年７月９日（２００９．７．９）
【出願人】（５９００００２４８）コーニンクレッカ フィリップス エレクトロニクス エヌ ヴィ (12,071)
【Ｆターム（参考）】
【公表日】平成２３年３月１０日（２０１１．３．１０）
【国際特許分類】
【出願日】平成２０年１２月２６日（２００８．１２．２６）
【国際出願番号】ＰＣＴ／ＩＢ２００８／０５５５４１
【国際公開番号】ＷＯ２００９／０８３９２２
【国際公開日】平成２１年７月９日（２００９．７．９）
【出願人】（５９００００２４８）コーニンクレッカ フィリップス エレクトロニクス エヌ ヴィ (12,071)
【Ｆターム（参考）】
[ Back to top ]