JP7009955B2 - 医療データ通信装置、サーバ、医療データ通信方法および医療データ通信プログラム - Google Patents

Description

本発明は、医療データ通信装置、サーバ、医療データ通信方法および医療データ通信プログラムに関する。

医療機器が出力する被験者の医療データは、個人情報を多く含む。したがって、医療データをインターネットに代表される外部ネットワークに流通させるためには、流通中に窃取されても個人情報が拡散しないように、何らかの処置が必要である。その一例として、医療データを含むファイルの全体を暗号化する技術が知られている。また、特定の情報を匿名性のある情報に置き換えて個人情報を守る技術も知られている（例えば、特許文献１参照）。

特開２０１５－７８８５号公報

暗号化する技術を利用する場合には、復号化されて個人情報が拡散する虞が拭えない。また、予め定義された一部の情報を匿名データに置き換えることもできるが、医療機器に関する法令やガイドラインあるいは時代の要請などにより、個人情報の保護が求められる範囲は流動的である。特に、医療機器は、動作させるソフトウェアを含めて厳密な認証を受けた後に利用に供されることが多いので、外部ネットワークにどのような情報を出力させるかを頻繁に更新することは、現実的には困難である。

本発明は、このような問題を解決するためになされたものであり、医療データに含まれる個人情報の保護範囲を流動的に変更でき、かつ当該医療データを安全に外部ネットワークに流通させることができる技術を提供するものである。

本発明の第１の態様における医療データ通信装置は、外部ネットワークを介することなく通信接続された医療機器から医療機器の被験者の医療データを取得するデータ取得部と、外部ネットワークを介して通信接続されたサーバから受信した、医療データの特定情報を修正する修正指示に基づいて、医療データを修正する修正部と、サーバからの要求に基づいて、修正部によって修正された医療データをネットワークへ出力する出力部とを備える。

このように医療データ通信装置を外部ネットワークと医療機器の間に介在させることにより、仕様の変更等に対して認証を受ける必要がある医療機器の変更を伴うことなく、医療データの特定情報を利用環境に応じて流動的に修正できる。また、外部ネットワークへ出力する前段で特定情報を修正するので、外部ネットワークの流通過程において当該医療データが窃取されたとしても、修正前の特定情報が拡散する虞はない。

上記の医療データ通信装置において、医療データが被験者の画像情報を含む場合には、修正部は、修正指示に基づいて当該画像情報の画像の少なくとも一部の領域にマスク処理を施しても良い。また、修正指示に基づいて当該画像情報をＣＧに置き換えても良い。このような画像処理を施せば、画像に映り込む個人情報であっても保護することができる。

また、上記の医療データ通信装置において、医療データが被験者の属人情報を記述する記述欄を含み、修正指示に基づいて当該記述欄に記述された属人情報を修正する場合は、修正部は、記述欄以外に記述されている当該属人情報が含まれているかを検索し、検索された属人情報に対しても修正を施しても良い。このような追加処理を施せば、例えばコメント欄に記述されたコメントに被験者の氏名が含まれる場合であっても、当該氏名も適切に修正されるので、属人情報を漏れなく保護することができる。

本発明の第２の態様におけるサーバは、医療機器に対しては外部ネットワークを介することなく通信接続された医療データ通信装置と外部ネットワークを介して通信接続されたサーバであって、医療機器の被験者の医療データの特定情報を修正する修正指示を、医療データを受信するより前に外部ネットワークを介して医療データ通信装置へ送信する送信部と、修正指示に基づいて修正された医療データを外部ネットワークを介して受信する受信部とを備える。

このようにサーバが修正指示を与える対象を、医療機器との間に介在する医療データ通信装置とすることにより、仕様の変更等に対して認証を受ける必要がある医療機器の変更を伴うことなく、医療データの特定情報を利用環境に応じて流動的に修正できる。また、サーバは修正された医療データを受信するので、外部ネットワークの流通過程において当該医療データが窃取されたとしても、修正前の特定情報が拡散する虞はない。

本発明の第３の態様における医療データ通信方法は、外部ネットワークを介することなく通信接続された医療機器から医療機器の被験者の医療データを取得するデータ取得ステップと、外部ネットワークを介して通信接続されたサーバから医療データの特定情報を修正する修正指示を受信する受信ステップと、特定情報に基づいて医療データを修正する修正ステップと、サーバからの要求に基づいて、修正ステップによって修正された医療データをネットワークへ出力する出力ステップとを含む。

さらに、本発明の第４の態様における医療データ通信方法は、医療機器に対して外部ネットワークを介することなく通信接続された医療データ通信装置と、当該医療データ通信装置に対して外部ネットワークを介して通信接続されたサーバとの間の医療データ通信方法であって、医療機器の被験者の医療データの特定情報を修正する修正指示を、医療データを受信するより前に外部ネットワークを介して医療データ通信装置へ送信する送信ステップと、修正指示に基づいて修正された医療データを外部ネットワークを介して受信する受信ステップとを含む。

このような第３、第４の態様における医療データ通信方法によれば、仕様の変更等に対して認証を受ける必要がある医療機器の変更を伴うことなく、医療データの特定情報を利用環境に応じて流動的に修正できる。また、外部ネットワークへ出力する前段で特定情報を修正するので、外部ネットワークの流通過程において当該医療データが窃取されたとしても、修正前の特定情報が拡散する虞はない。

本発明の第５の態様における医療データ通信プログラムは、外部ネットワークを介することなく通信接続された医療機器から医療機器の被験者の医療データを取得するデータ取得ステップと、外部ネットワークを介して通信接続されたサーバから医療データの特定情報を修正する修正指示を受信する受信ステップと、特定情報に基づいて医療データを修正する修正ステップと、サーバからの要求に基づいて、修正部によって修正された医療データをネットワークへ出力する出力ステップとを医療データ通信装置のコンピュータに実行させる。

さらに、第６の態様における医療データ通信プログラムは、医療機器に対して外部ネットワークを介することなく通信接続された医療データ通信装置と、医療データ通信装置に対して外部ネットワークを介して通信接続されたサーバとの間の医療データ通信プログラムであって、医療機器の被験者の医療データの特定情報を修正する修正指示を、医療データを受信するより前に外部ネットワークを介して医療データ通信装置へ送信する送信ステップと、修正指示に基づいて修正された医療データを外部ネットワークを介して受信する受信ステップとをサーバのコンピュータに実行させる。

このような第５、第６の態様における医療データ通信プログラムによれば、仕様の変更等に対して認証を受ける必要がある医療機器の変更を伴うことなく、医療データの特定情報を利用環境に応じて流動的に修正できる。また、外部ネットワークへ出力する前段で特定情報を修正するので、外部ネットワークの流通過程において当該医療データが窃取されたとしても、修正前の特定情報が拡散する虞はない。

本発明により、医療データに含まれる個人情報の保護範囲を流動的に変更でき、かつ当該医療データを安全に外部ネットワークに流通させることができる技術を提供することができる。

本実施形態にかかる歩行訓練システムの全体概念図である。 歩行訓練装置の構成を示すブロック図である。 外部通信装置の構成を示すブロック図である。 システムサーバの構成を示すブロック図である。 修正前の訓練データの一例を可視的に表示した様子を示す図である。 修正指示ファイルの内容を示す図である。 修正後の訓練データの一例を可視的に表示した様子を示す図である。 画像修正の別例を示す図である。 歩行訓練装置、外部通信装置およびサーバの処理フロー図である。

以下、発明の実施の形態を通じて本発明を説明するが、特許請求の範囲に係る発明を以下の実施形態に限定するものではない。また、実施形態で説明する構成の全てが課題を解決するための手段として必須であるとは限らない。

図１は、本実施形態にかかる歩行訓練システムの全体概念図である。歩行訓練システムは、主に、歩行訓練装置１００と、外部通信装置３００と、サーバ５００によって構成される。歩行訓練装置１００は、一方の脚に麻痺を患う片麻痺患者である訓練者９００が、歩行訓練を行うための装置である。歩行訓練装置１００は、医療機器の一例であり、訓練者９００の氏名などの属人情報に、訓練者９００の訓練結果を紐付けて生成した訓練データを出力する。訓練者９００は被験者であり、訓練データは被験者のリハビリ状況を示す医療データとして取り扱われる。

歩行訓練装置１００は、主に、全体の骨格を成すフレーム１３０に取り付けられた制御盤１３３と、訓練者９００が歩行するトレッドミル１３１と、訓練者９００の麻痺側の脚部である患脚に装着する歩行補助装置１２０とを備える。フレーム１３０は、床面に設置されるトレッドミル１３１上に立設されている。トレッドミル１３１は、不図示のモータによりリング状のベルト１３２を回転させる。トレッドミル１３１は、訓練者９００の歩行を促す装置である。歩行訓練を行う訓練者９００は、ベルト１３２に乗り、ベルト１３２の移動に合わせて歩行動作を試みる。

フレーム１３０は、モータやセンサの制御を行う全体制御部２１０を収容する制御盤１３３や、訓練の進捗状況等を訓練者９００へ呈示する例えば液晶パネルである訓練用モニタ１３８などを支持している。また、フレーム１３０は、訓練者９００の頭上部前方付近で前側引張部１３５を、頭上部後方付近で後側引張部１３７支持している。

カメラ１４０は、訓練者９００の全身を観察するための撮像部としての機能を担う。カメラ１４０は、訓練用モニタ１３８の近傍に、訓練者と相対するように設置されている。カメラ１４０は、訓練者９００の全身を捉えられる程度の画角となるような、レンズと撮像素子のセットを含む。撮像素子は、例えばＣＭＯＳイメージセンサであり、結像面に結像した光学像を画像信号に変換する。

前側ワイヤ１３４は、一端が前側引張部１３５の巻取機構に連結されており、他端が歩行補助装置１２０に連結されている。前側引張部１３５の巻取機構は、不図示のモータをオン／オフさせることにより、患脚の動きに応じて前側ワイヤ１３４を巻き取ったり繰り出したりする。同様に、後側ワイヤ１３６は、一端が後側引張部１３７の巻取機構に連結されており、他端が歩行補助装置１２０に連結されている。後側引張部１３７の巻取機構は、不図示のモータをオン／オフさせることにより、患脚の動きに応じて後側ワイヤ１３６を巻き取ったり繰り出したりする。このような前側引張部１３５と後側引張部１３７の連携した動作により、歩行補助装置１２０の荷重が患脚の負担とならないように当該荷重を相殺し、更には、設定の程度に応じて患脚の振り出し動作をアシストする。

例えば、訓練補助者であるオペレータは、重度の麻痺を抱える訓練者に対しては、アシストするレベルを大きく設定する。アシストするレベルが大きく設定されると、前側引張部１３５は、患脚の振り出しタイミングに合わせて、比較的大きな力で前側ワイヤ１３４を巻き取る。訓練が進み、アシストが必要でなくなったら、オペレータは、アシストするレベルを最小に設定する。アシストするレベルが最小に設定されると、前側引張部１３５は、患脚の振り出しタイミングに合わせて、歩行補助装置１２０の自重をキャンセルするだけの力で前側ワイヤ１３４を巻き取る。

歩行補助装置１２０は、訓練者９００の患脚に装着され、患脚の膝関節における伸展および屈曲の負荷を軽減することにより訓練者９００の歩行を補助する。具体的には、膝関節の伸展運動および屈曲運動を補助するための駆動力を発生させる不図示のモータを駆動させることにより、患脚の膝関節における負荷を軽減する。また、歩行補助装置１２０は、足裏荷重を計測するセンサ等を備え、それらの出力を運脚に関するデータとして全体制御部２１０へ出力する。

外部通信装置３００は、医療データ通信装置の一例である。外部通信装置３００は、歩行訓練装置１００が出力する訓練データを受け取って記憶する機能を有する。また、訓練データの修正指示をサーバ５００から受信して当該修正指示に従って訓練データを修正したり、訓練データをサーバ５００へ送信したりする機能を有する。外部通信装置３００は、歩行訓練装置１００の制御盤１３３と例えばＵＳＢケーブルによって通信接続され、また、外部ネットワークの一例としてのインターネット網４００と例えば無線ＬＡＮユニットである無線通信機器４１０を介して通信接続されている。

サーバ５００は、インターネット網４００に接続されており、外部通信装置３００から受信した訓練データを蓄積する機能を有する。また、インターネット網４００に接続された端末６００からの要求に従って、蓄積している訓練データを提供する機能を有する。したがって、データ閲覧者は、端末６００を操作することにより、サーバ５００に蓄積された訓練データを読み出して閲覧することができる。

また、サーバ５００は、インターネット網４００を流通する訓練データのデータ形式を定義づけるべく、訓練データの特定情報を修正する修正指示を生成し、外部通信装置３００へ送信する機能を有する。詳細については後述する。なお、サーバ５００が蓄積する訓練データは、一つの歩行訓練装置１００から出力される訓練データに限らず、複数の歩行訓練装置が出力する訓練データを総合的に管理しても良い。また、本実施形態においては医療機器の例として歩行訓練装置１００を説明するが、医療データは歩行訓練装置１００が出力する訓練データに限らず、他の様々な医療機器、リハビリ訓練装置が出力するものであっても良い。すなわち、サーバ５００は、複数の医療機器のそれぞれが出力する医療データを統合的に管理する装置であっても良い。

このような歩行訓練システムにおいて、歩行訓練装置１００は、上述のように外部通信装置３００を介してインターネット網４００と接続されるのであって、インターネット網４００と直接的に接続する通信機能を備えない。すなわち、歩行訓練装置１００は、訓練データを直接的に外部ネットワークへ出力することはない。このように外部通信装置３００をインターネット網４００と歩行訓練装置１００の間に介在させることにより、歩行訓練装置１００から訓練データが漏洩することを防ぐことができる。なお、歩行訓練装置１００と外部通信装置３００との接続は、外部ネットワークを介さない通信経路であれば、ＵＳＢケーブルに限らず、様々な通信規格を採用し得る。

図２は、歩行訓練装置１００の構成を示すブロック図である。全体制御部２１０は、例えばＭＰＵであり、システムメモリから読み込んだ制御プログラムを実行することにより、装置全体の制御を実行する。駆動ユニット２１１は、分散して配置されたベルト１３２、前側引張部１３５、後側引張部１３７、歩行補助装置１２０のそれぞれのモータおよびその駆動回路を含む。全体制御部２１０は、駆動ユニット２１１へそれぞれの駆動信号を送ることにより、駆動制御を実行する。例えば、設定された歩行速度に応じてベルト１３２の回転速度を調整したり、患脚が立脚状態から遊脚状態に切り替わるタイミングに同期して前側引張部１３５および後側引張部１３７のモータのオンオフを切り替えたりする。

操作受付部２１２は、訓練者９００やオペレータからの入力操作を受け付けて、操作信号を全体制御部２１０へ送信する。訓練者９００やオペレータは、操作受付部２１２を構成する、装置に設けられた操作ボタンや付属するリモコン等を操作して、電源のオン／オフやトレーニングの開始の指示を与えたり、設定に関する数値の入力やメニュー項目の選択を行ったりする。

入出力ユニット２１３は、例えばＵＳＢインターフェースを含み、外部通信装置３００や他の外部機器と接続するための通信インターフェースである。全体制御部２１０は、入出力ユニット２１３を介して外部機器と通信を行い、訓練プログラムの書換えやコマンドを受け入れたり、生成した訓練データを出力したりする。

画像処理部２１４は、全体制御部２１０からの指示に従って、カメラ１４０から受け取った画像信号を画像処理して画像データを生成する。また、画像処理部２１４は、全体制御部２１０からの指示に従って、カメラ１４０から受け取った画像信号に画像処理を施して、特定の画像解析を実行することもできる。例えば、画像処理部２１４は、トレッドミル１３１に接する患脚の足の位置（立脚位置）を、画像解析により検出する。また、画像処理部２１４は、訓練データのデータ形式に適合させるべく、トリミング等を行って画像データを生成することもできる。例えば、運脚の動画像データを生成する場合は、足元領域を切り出す処理を行う。

表示制御部２１５は、全体制御部２１０からの表示信号を受け取って表示画面を生成し、訓練用モニタ１３８に表示する。表示制御部２１５は、表示信号に従って、トレーニングの進捗を示す画面や、カメラ１４０で撮影したリアルタイム映像を生成する。

センサユニット２１６は、分散して配置された各種センサとその駆動回路を含む。全体制御部２１０は、センサユニット２１６へ、それぞれのセンサに対するセンシング開始信号や出力要求信号を送信することにより、センシング制御を実行する。全体制御部２１０は、受信したセンサ出力を処理して訓練データに記述したり、継続する制御にフィードバックしたりする。

全体制御部２１０は、制御に関わる様々な演算や制御を実行する機能実行部としての役割も担う。訓練管理部２１０ａは、訓練プログラムに従って歩行訓練装置１００を制御し、訓練者９００の訓練歩行に関する情報を逐次収集する。データ生成部２１０ｂは、訓練管理部２１０ａが収集した訓練歩行に関する情報や装置の状態、および訓練者９００自身の属人情報等から訓練データを予め定められた形式に従って生成する。

図３は、外部通信装置３００の構成を示すブロック図である。処理部３１０は、例えばＭＰＵであり、システムメモリから読み込んだ制御プログラムを実行することにより、外部通信装置３００が担う処理を実行する。

入出力ユニット３１３は、例えばＵＳＢインターフェースを含み、歩行訓練装置１００と通信接続するための通信インターフェースである。処理部３１０は、入出力ユニット３１３を介して歩行訓練装置１００と通信を行い、歩行訓練装置１００が出力する訓練データを受信したり、歩行訓練装置１００へ種々の要求信号を送信したりする。

通信ＩＦ３１４は、例えば無線ＬＡＮインターフェースを含み、インターネット網４００と接続するための通信インターフェースである。通信ＩＦ３１４は、図１に示す例においては無線通信機器４１０をアクセスポイントとしてインターネット網４００に接続する。処理部３１０は、通信ＩＦ３１４を介してサーバ５００と通信を行い、訓練データの修正指示をサーバ５００から受信したり、指定された訓練データを修正指示に従って修正してサーバ５００へ送信したりする。

記憶部３２０は、例えばＨＤＤであり、訓練データを記憶する。処理部３１０は、入出力ユニット２１３を介して歩行訓練装置１００から受信した訓練データ（以降において特に「生訓練データ」と呼ぶ場合がある）を記憶部３２０へ書き込む。また、修正指示に従って修正した訓練データ（以降において特に「修正訓練データ」と呼ぶ場合がある）を記憶部３２０へ書き込む。処理部３１０は、通信ＩＦ３１４を介してサーバ５００から要求された訓練データがすでに修正訓練データとして記憶部３２０に記憶されている場合には、当該修正訓練データを読み出してサーバ５００へ送信する。

処理部３１０は、制御に関わる様々な演算や制御を実行する機能実行部としての役割も担う。その一つとしての修正部３１０ａは、生訓練データをサーバ５００から受信した修正指示に従って修正訓練データに修正する。なお、本実施形態においては、修正部３１０ａが修正訓練データを生成する場合には、生訓練データを記憶部３２０に残す。処理部３１０は、外部端末が入出力ユニット３１３を介して接続されている場合に限り、当該外部端末に対して生訓練データの閲覧を許可する。すなわち、処理部３１０は、生訓練データの外部出力を、入出力ユニット３１３を介する場合のみ許可し、通信ＩＦ３１４を介する場合には禁止する。このように構成することにより、訓練者９００の個人情報が外部ネットワークから漏洩することを防ぐと共に、医師等の特定の閲覧者が修正前の訓練データを検討する機会を確保することができる。

図４は、サーバ５００の構成を示すブロック図である。処理部５１０は、例えばＭＰＵであり、システムメモリから読み込んだ制御プログラムを実行することにより、サーバ５００の制御を実行する。

通信ＩＦ５１４は、例えば有線ＬＡＮインターフェースを含み、インターネット網４００と通信接続するための通信インターフェースである。処理部５１０は、通信ＩＦ５１４を介して通信装置３００へ訓練データの修正指示を送信したり、外部通信装置３００から修正訓練データを受信したりする。また、端末６００からの要求に従って修正訓練データを端末６００へ送信する。また、サーバ５００の動作を規定する指示を端末６００から受信しても良い。

操作部５１５は、サーバ本体に接続されたキーボードやマウスなどの入力機器であり、システム管理者が修正指示を作成する場合などに操作する。処理部５１０は、操作部５１５の操作処理を受け付けて、予め定められたコマンド形式に則した修正指示を生成したり、特定の処理を外部通信装置３００へ要求したりする。

データ蓄積部５２０は、例えばＨＤＤであり、修正訓練データを記憶する。処理部５１０は、通信ＩＦ５１４を介して外部通信装置３００から受信した修正訓練データをデータ蓄積部５２０へ書き込み、通信ＩＦ５１４を介して端末６００から要求された修正訓練データをデータ蓄積部５２０から読み出して端末６００へ送信する。

医療機器としての認証を受けた歩行訓練装置は、医療機器に関する法令やガイドラインに沿って利用される。したがって、一旦利用に供された歩行訓練装置は、一般的にその構造や制御プログラムの改変が禁止される。一方で、そのような法令やガイドラインが改正されることもあり、また時代と共に移り変わる世論の影響もあって、保護が求められる個人情報の範囲は変動する。従前においては、出力する訓練データにおける個人情報の保護範囲を変更する場合は、ソフトウェアを更新した上で、医療機器としての認証を再度受ける必要があった。

これに対して、本実施形態における歩行訓練装置１００は、個人情報を保護するためのマスク処理や暗号処理を施すことなく、訓練データをそのままの状態で、すなわち生訓練データを入出力ユニット２１３から出力する仕様を採用している。ただし、歩行訓練装置１００は、上述のように外部ネットワークと直接的に接続する機能を備えないので、個人情報を保護していない生訓練データが外部の悪意者に窃取される虞を排除している。

ここで生訓練データについて説明する。図５は、修正前の訓練データである生訓練データの一例を可視的に表示した様子を示す図である。生訓練データは、訓練者９００の氏名などの属人情報と訓練者９００の訓練結果が纏められた本体ファイルと、関連する画像ファイルとが関連付けられて構成される。

図示するように生訓練データを閲覧モニタに表示させると、医師等である閲覧者は、訓練者９００の属人情報、訓練結果、画像データなどを視認することができる。属人情報の例としては、訓練者ＩＤ、氏名、性別、生年月日、年齢、顔写真（識別画像）が挙げられる。これらは訓練者９００を特定する情報である。識別画像自体は、本体ファイルに画像データが埋め込まれる形式であっても良いし、画像ファイルへのリンク情報が書き込まれている形式でも良い。

訓練結果の例としては、トレーニングの平均評価値、脈拍変化などのバイタル情報、トレーニングに付き添った理学療法士のコメント、運脚を撮影した動画像、各試行の詳細データが挙げられる。動画像については、図の例では、カメラ１４０で撮像した画像をトリミングした足元動画像と、図１では不図示の側方カメラで撮像した側方動画像がリンク情報として取り込まれている。例えば、足元動画像については、Ａ０００３２５．ｍｐ４と命名された動画像ファイルがリンクされている。複数回の試行のそれぞれにおいて撮像が行われていれば、複数の動画像ファイルがリンクされている。その他にも、付き添った理学療法士の氏名や、訓練データの管理作成者なども訓練データの一部として記録されている。

このような生訓練データにおいて、例えば訓練者９００の氏名や、側方動画像に映る訓練者の顔などが個人情報になり得る。このような個人情報が、インターネット網４００上の流通過程で悪意の第三者に窃取されることは好ましくない。ただし、どの項目が個人情報として保護すべきかについては、上述のように時代と共に移り変わる世論の影響等により変動する。そこで、本実施形態の歩行訓練システムにおいては、システム管理者が、どの項目を個人情報として保護すべきかを決定する。システム管理者は、サーバ５００の操作部５１５を操作して決定事項を入力し、その操作を受けて処理部５１０は、例えばファイル形式の修正指示を生成する。

図６は、修正指示ファイルの内容を示す図である。図示する修正指示によると、氏名、生年月日、識別画像に対して「不可」を与えている。すなわち、訓練データからは削除するように指示している。また、年齢については「層別化」を与えている。すなわち、具体的な年齢を１０代、２０代のように、層別で表現するよう指示している。また、運脚映像については、「顔モザイク処理」を与えている。すなわち、画像に含まれる顔領域をモザイク処理することを指示している。サーバ５００の処理部５１０は、訓練データの送信要求よりも前に、このような修正指示を生成して外部通信装置３００へ送信する。外部通信装置３００の修正部３１０ａは、通信ＩＦ３１４を介して受信した当該修正指示に従って、記憶部３２０に記憶された生訓練データを修正する。

修正訓練データについて説明する。図７は、修正後の訓練データである修正訓練データの一例を可視的に表示した様子を示す図である。図７の例は、図５の例を図６の修正指示にしたがって修正したものである。

図示するように修正訓練データを閲覧モニタに表示させると、訓練者９００の氏名、生年月日、顔写真の欄は、（ＮＡ）すなわち閲覧記述なしと表示される。また、生訓練データにおいては、理学療法士コメント欄に訓練者９００の氏名が記述されていたが、その氏名も（ＮＡ）に置き換えられている。すなわち、修正部３１０ａは、修正指示に従って氏名を修正する場合は、他の記述欄にも氏名が記述されていないかを検索し、検索された場合には当該氏名も修正する。修正部３１０ａは、氏名に限らず他の属人情報についても、当該属人情報を記述するための記述欄に限らず、他の記述欄に同様の情報が存在する場合には、その記述も修正を施す。

また、生訓練データにおいては「３２歳」と表示されていた年齢は「３０代」に修正されていることがわかる。さらに、運脚映像のうち訓練者９００の顔が写り込んでいた側方動画像は、その顔領域にモザイク処理が施されていることがわかる。なお、画像に対する処理はモザイク処理に限らず、ぼかしなどの他のマスク処理であっても構わない。画像に対する個人情報の秘匿化という観点では、更に高度な処理も可能である。

図８は、画像修正の別例を示す図である。例えば、修正指示において「体型」を指示された場合には、訓練者９００の体型も判別できないように修正する。運脚映像としては、患脚の歩容が判別できれば良いので、体型を秘匿化する一手法として、側方画像をＣＧ（コンピュータグラフィックス）に置き換える画像処理を採用することができる。

具体的には、修正部３１０ａは、図示するように、患脚の歩容に関係する体幹（ＴＬ）、大腿（ＨＬ）、下腿（ＣＬ）、足（ＦＬ）を棒で表現し、股関節（ＨＪ）、膝関節（ＮＪ）、足関節（ＦＪ）を丸で表現する、いわゆる棒人間モデルのＣＧ動画を生成する。閲覧者は、このようなＣＧ動画であっても訓練者９００の患脚の歩容を確認することができる。

このように、修正指示で指定された内容に従って生訓練データを修正訓練データに修正すれば、たとえインターネット網４００上を流通する修正訓練データが窃取されたとしても、訓練者９００の個人情報が拡散することはない。また、システム管理者は、時代の要請等に合わせて修正指示を再生成することにより、保護する個人情報を適宜変更できる。例えば、バイタル情報を個人情報の対象として新たに保護したいという状況になった場合には、修正指示の「体温変化」「脈拍変化」などの項目に対して「不可」を与えれば良い。

修正指示に従って生訓練データを修正するのは外部通信装置３００であり、歩行訓練装置１００は、修正指示の再生成に関係なく、生訓練データを出力するだけである。つまり、歩行訓練装置１００の構造やソフトウェアを改変する必要がないので、医療機器としての認証を再度受けることなく利用し続けることができる。

次に、歩行訓練装置１００、外部通信装置３００、およびサーバ５００のそれぞれを制御するデータ通信プログラムの処理フローについて説明する。図９は、歩行訓練装置、外部通信装置およびサーバの処理フロー図である。フローは、訓練者９００が歩行訓練装置１００でのトレーニングを終えた時点から開始する。なお、左側の下向き矢印は、歩行訓練装置１００の処理経過を示し、中央の下向き矢印は外部通信装置３００の処理経過を示し、右側の下向き矢印はサーバ５００の処理経過を示す。また、横方向に点線矢印で結ばれる各処理は、互いにほぼ同時刻に処理されることを表す。

歩行訓練装置１００において訓練管理部２１０ａが一連のトレーニング試行を終了したら、データ生成部２１０ｂは、ステップＳ１０１で、収集された訓練データや訓練者９００に関する属人情報などを予め定められた形式に従って調整し、生訓練データを生成する。そして、生成した生訓練データを、入出力ユニット２１３を介して外部通信装置３００へ出力する。外部通信装置３００の処理部３１０は、ステップＳ３０１で、歩行訓練装置１００が出力した生訓練データを、入出力ユニット３１３を介して取得し、記憶部３２０へ記憶する。

サーバ５００の処理部５１０は、ステップＳ５０１で、操作部５１５によってシステム管理者からの入力操作を受け付け、修正指示を生成する。そして、ステップＳ５０２で、生成した修正指示を、通信ＩＦ５１４を介して外部通信装置３００へ送信する。外部通信装置３００の処理部３１０は、ステップＳ３０２で修正指示を受信する。なお、修正指示を受信するタイミングは、生訓練データの取得（ステップＳ３０１）よりも前になることもあり得る。

外部通信装置３００の修正部３１０ａは、ステップＳ３０１で記憶した生訓練データを読み出し、ステップＳ３０２で受信した修正指示に従って、生訓練データを修正処理して修正訓練データを生成する（ステップＳ３０３）。そして、生成した修正訓練データを記憶部３２０へ記憶する。

サーバ５００の処理部５１０は、ステップＳ５０３で、修正訓練データの要求を外部通信装置３００へ向けて発信する。修正訓練データの要求は、例えば予め定められた時刻や、端末６００からの要求に合わせて発生する。外部通信装置３００の処理部３１０は、修正訓練データの要求をサーバ５００から受信すると（ステップＳ３０４）、ステップＳ３０５で、要求された修正訓練データを記憶部３２０から読み出して、通信ＩＦ３１４を介してサーバ５００へ送信する。

サーバ５００の処理部５１０は、ステップＳ５０４で、要求した修正訓練データを受信したら、当該修正訓練データをデータ蓄積部５２０へ記憶する。また、端末６００からの要求に従って受信した修正訓練データを端末６００へ向けて送信する。以上のような処理を、歩行訓練装置１００が生訓練データを出力するたびに実行する。

なお、上記のフローにおいては、修正指示の送信（ステップＳ５０２）と修正訓練データの要求（ステップＳ５０３）を別々の処理とした。しかし、外部通信装置３００は、修正指示を受信したら（ステップＳ３０２）、修正訓練データの要求を受けることなく、修正を終えた訓練データ（修正訓練データ）から順次サーバへ送信するように処理しても良い。この場合は、修正訓練データは、記憶部３２０へ記憶しなくても良い。

また、外部通信装置３００が、生訓練データを取得する（ステップＳ３０１）よりも以前に修正指示を受信（ステップＳ３０２）しているのであれば、修正部３１０ａは、取得した生訓練データに逐次修正を施して、サーバ５００へ送信しても良い。この場合も、修正訓練データは、記憶部３２０へ記憶しなくても良い。

以上説明した本実施形態においては、歩行訓練装置１００は、外部ネットワークと通信接続する機能を備えず、外部通信装置３００は、記憶部３２０に記憶された生訓練データを外部ネットワークへ出力することを禁止している。この場合において、権限が与えられた医師等が生訓練データを閲覧する場合には、外部通信装置３００を歩行訓練装置１００から取り外して持ち運び、自身の端末に入出力ユニット２１３を介して接続する。このように外部通信装置３００を物理的に運搬することにより、医師等は、自身の端末で生訓練データを閲覧することができる。なお、専用のネットワークを構築しているのであれば、当該専用ネットワークを流通する場合に限り、生訓練データを流通させても良い。この場合において、専用ネットワークは、第三者が介在し得る外部ネットワークとは異なる。

以上説明した本実施形態においては、歩行訓練装置１００を医療機器の例として説明した。歩行訓練装置１００のようなリハビリに限らず、様々な医療データを出力する医療機器も、外部通信装置３００のような周辺機器としての医療データ通信装置を介在させれば、医療データに含まれる個人情報の保護範囲を流動的に変更できる。また、当該医療データを安全に外部ネットワークに流通させることができる。

１００ 歩行訓練装置、１２０ 歩行補助装置、１３０ フレーム、１３１ トレッドミル、１３２ ベルト、１３３ 制御盤、１３４ 前側ワイヤ、１３５ 前側引張部、１３６ 後側ワイヤ、１３７ 後側引張部、１３８ 訓練用モニタ、１４０ カメラ、２１０ 全体制御部、２１０ａ 訓練管理部、２１０ｂ データ生成部、２１１ 駆動ユニット、２１２ 操作受付部、２１３ 入出力ユニット、２１４ 画像処理部、２１５ 表示制御部、２１６ センサユニット、３００ 外部通信装置、３１０ 処理部、３１０ａ 修正部、３１３ 入出力ユニット、３１４ 通信ＩＦ、３２０ 記憶部、４００ インターネット網、４１０ 無線通信機器、５００ サーバ、５１０ 処理部、５１４ 通信ＩＦ、５１５ 操作部、５２０ データ蓄積部、６００ 端末

Claims (9)

1. 外部ネットワークを介することなく医療機器と通信可能に接続される通信インターフェースと、
   前記外部ネットワークと通信可能に接続される他の通信インターフェースと、
   前記通信インターフェースを介して通信接続された前記医療機器から前記医療機器の被験者の医療データを取得するデータ取得部と、
   前記データ取得部で取得された前記医療データを記憶する記憶部と、
   前記外部ネットワークを介して通信接続されたサーバから受信した、前記医療データの特定情報を修正する修正指示に基づいて、前記記憶部に記憶された前記医療データを修正する修正部と、
   前記サーバからの要求に基づいて、前記外部ネットワークと通信可能に接続された前記他の通信インターフェースを介して前記修正部によって修正された前記医療データを前記外部ネットワークへ出力する出力部と
   を備え、
   前記修正指示に基づいて前記医療データを修正する場合、前記修正部によって修正される前の前記医療データを前記記憶部に保持したままとし、
   前記記憶部に記憶された、前記修正部によって修正される前の前記医療データの外部出力を、前記外部ネットワークとは接続されない前記通信インターフェースを介する場合にのみ許可し、前記他の通信インターフェースを介する場合に禁止する医療データ通信装置。
2. 前記医療データは、前記被験者の画像情報を含み、
   前記修正部は、前記修正指示に基づいて前記画像情報の画像の少なくとも一部の領域にマスク処理を施す請求項１に記載の医療データ通信装置。
3. 前記医療データは、前記被験者の画像情報を含み、
   前記修正部は、前記修正指示に基づいて前記画像情報をＣＧに置き換える請求項１または２に記載の医療データ通信装置。
4. 前記医療データは、前記被験者の属人情報を記述する記述欄を含み、
   前記修正部は、前記修正指示に基づいて前記記述欄に記述された属人情報を修正する場合は、前記記述欄以外に記述されている前記属人情報が含まれているかを検索し、検索された属人情報に対しても修正を施す請求項１から３のいずれか１項に記載の医療データ通信装置。
5. 医療機器に対しては外部ネットワークを介することなく通信接続された請求項１～４のいずれか１項に記載の医療データ通信装置と前記外部ネットワークを介して通信接続されたサーバであって、
   前記医療機器の被験者の医療データの特定情報を修正する修正指示を、前記医療データを受信するより前に前記外部ネットワークを介して前記医療データ通信装置へ送信する送信部と、
   前記修正指示に基づいて修正された前記医療データを前記外部ネットワークを介して受信する受信部と
   を備えるサーバ。
6. 医療データ通信装置が、外部ネットワークを介することなく通信接続された医療機器から前記医療機器の被験者の医療データを取得し、前記医療データ通信装置が備える記憶部に記憶するデータ取得ステップと、
   前記医療データ通信装置が、前記外部ネットワークを介して通信接続されたサーバから前記医療データの特定情報を修正する修正指示を受信する受信ステップと、
   前記医療データ通信装置が、前記特定情報に基づいて前記記憶部に記憶された前記医療データを修正し、修正される前の前記医療データを前記記憶部に保持したままとする修正ステップと、
   前記医療データ通信装置が、前記サーバからの要求に基づいて、前記修正ステップによって修正された前記医療データを前記外部ネットワークへ出力する出力ステップと、
   前記医療データ通信装置が、前記記憶部に記憶された、前記修正ステップによって修正される前の前記医療データの外部出力を、前記外部ネットワークとは接続されない通信インターフェースを介する場合にのみ許可し、前記外部ネットワークと接続される他の通信インターフェースを介する場合に禁止するステップと、
   を含む医療データ通信方法。
7. 医療機器に対して外部ネットワークを介することなく通信接続された請求項１～４のいずれか１項に記載の医療データ通信装置と前記外部ネットワークを介して通信接続されたサーバにおける医療データ通信方法であって、
   前記医療機器の被験者の医療データの特定情報を修正する修正指示を、前記医療データを受信するより前に前記外部ネットワークを介して前記医療データ通信装置へ送信する送信ステップと、
   前記修正指示に基づいて修正された前記医療データを前記外部ネットワークを介して受信する受信ステップと
   を含む医療データ通信方法。
8. 医療データ通信装置のコンピュータに実行させる医療データ通信プログラムであって、
   外部ネットワークを介することなく通信接続された医療機器から前記医療機器の被験者の医療データを取得し、前記医療データ通信装置が備える記憶部に記憶するデータ取得ステップと、
   前記外部ネットワークを介して通信接続されたサーバから前記医療データの特定情報を修正する修正指示を受信する受信ステップと、
   前記特定情報に基づいて前記記憶部に記憶された前記医療データを修正し、修正される前の前記医療データを前記記憶部に保持したままとする修正ステップと、
   前記サーバからの要求に基づいて、前記修正ステップによって修正された前記医療データを前記外部ネットワークへ出力する出力ステップと、
   前記記憶部に記憶された、前記修正ステップによって修正される前の前記医療データの外部出力を、前記外部ネットワークとは接続されない通信インターフェースを介する場合にのみ許可し、前記外部ネットワークと接続される他の通信インターフェースを介する場合に禁止するステップと、
   を前記医療データ通信装置のコンピュータに実行させる医療データ通信プログラム。
9. 医療機器に対して外部ネットワークを介することなく通信接続された請求項１～４のいずれか１項に記載の医療データ通信装置と前記外部ネットワークを介して通信接続されたサーバのコンピュータに実行させる医療データ通信プログラムであって、
   前記医療機器の被験者の医療データの特定情報を修正する修正指示を、前記医療データを受信するより前に前記外部ネットワークを介して前記医療データ通信装置へ送信する送信ステップと、
   前記修正指示に基づいて修正された前記医療データを前記外部ネットワークを介して受信する受信ステップと
   を前記サーバのコンピュータに実行させる医療データ通信プログラム。

Images