JPH10111897A

JPH10111897A - 診療情報共有化方法

Info

Publication number: JPH10111897A
Application number: JP26574596A
Authority: JP
Inventors: Kunihiko Kido; 邦彦木戸; Koichi Sano; 耕一佐野
Original assignee: Hitachi Ltd
Current assignee: Hitachi Ltd
Priority date: 1996-10-07
Filing date: 1996-10-07
Publication date: 1998-04-28

Abstract

(57)【要約】【課題】複数医療機関にまたがり患者の診療データを共
有する際に、患者のプライバシー保護と安全性を確保し
た上で、診療データ共有化を図ることを目的とする。【解決手段】患者ごとに、複数の医療機関のネットワー
ク１０３上でのアドレス一覧が記述されたテーブルと、
当該患者のために割り当てた暗号化用の鍵と、各医療機
関同士の相互認証処理に使用する鍵を含むファイルを患
者当人が任意に作成する手段と、前記ファイルが確かに
当該患者に関するものであることを各医療機関が認証す
る手段と、前記ファイルを各医療機関の当該患者の診療
情報の一属性として付加する手段を有し、前記ファイル
に基づき形成される各医療機関間での当該患者のための
安全なアクセス経路を介して、当該患者の診療情報を安
全に共有化する。

Description

【発明の詳細な説明】

【０００１】

【発明の属する技術分野】本発明は、複数医療機関にお
いて、患者の診療情報を安全に共有する手段を提供する
ものであり、広域医療情報システムに関する。

【０００２】

【従来の技術】複数医療機関をまたいで、診療情報を共
有する方法として、患者のプライバシー保護の観点か
ら、保健医療カードとよばれるＩＣカードで行われ場合
が多い。ＩＣカードは、患者本人が携帯しており、本人
がそのカードを第３者に貸したり、譲渡しない限り、カ
ードの中身の安全性が保たれる。加えて、ＩＣカードに
は、カード自体にマイクロプロセッサが埋め込まれてい
て、そのマイクロプロセッサで暗証番号によるアクセス
権のチェックが行える。従って、ＩＣカード内のデータ
は、ＩＣカードにアクセス権限のない不特定な第３者に
知られることはない。通常、このアクセス権限は、カー
ド所有者本人や医師などに与えられるのが普通である。

【０００３】

【発明が解決しようとする課題】このように、ＩＣカー
ドに情報を記録して、複数医療機関で診療情報を共有す
る方法は、強固なプライバシー保護が達成できる反面、
医師の手元にカードがない限り患者情報を調べることが
できない不便さがある。例えば、ある患者が複数の医療
機関を同時に受診している場合、各医療機関で処方され
た薬品、最近行われた検査結果、診断内容等をその患者
を受け持っている各主治医が把握することは大切である
が、患者がカードを携帯して主治医のもとに来た時以
外、カード内の情報を得ることができない。従って、主
治医が、患者の来院前にその患者の各種情報を前もって
調べておき、今後の診断治療に役立てるなどの行為は事
実上不可能である。このように、ＩＣカードをベースと
して、複数医療機関で診療情報を共有する方法では、患
者に対する情報を主治医が知りたいときにタイムリーに
得ることができないという問題がある。

【０００４】

【課題を解決するための手段】患者ごとに、複数の医療
機関のネットワーク上でのアドレス一覧が記述されたテ
ーブルと、当該患者のために割り当てた暗号化用の鍵
と、各医療機関同士の相互認証処理に使用する鍵を含む
ファイルを患者当人が任意に作成する手段と、前記ファ
イルが確かに当該患者に関するものであることを各医療
機関が認証する手段と、前記ファイルを各医療機関の当
該患者の診療情報の一属性として付加する手段を有し、
前記ファイルに基づき形成される各医療機関間での当該
患者のための安全なアクセス経路を介して、当該患者の
診療情報を安全に共有化することにより達成することが
できる。

【０００５】

【発明の実施の形態】

「実施例１」本発明の実施の形態として、ある患者Ａが
２つの医療機関を受診した場合について説明する。ま
ず、実施例１として、上記、患者Ａ専用の安全なアクセ
ス経路を形成するためのアクセス制御設定ファイル２０
１を共有する手段として、ＩＣカードを利用する場合に
ついて説明する。図１は、システム全体の構成について
説明したものである。また、図２は、本実施例で使用す
るファイルの構成を示したものである。この図では、病
院１０１と病院１０２の二つのエンティティ間での患者
Ａの診療データ共有を想定している。ここで、患者Ａ
は、病院１０２を受診した後に、病院１０１を受診した
とする。病院１０１と病院１０２は、病院外部のネット
ワーク１０３に公開されたファイルサーバ１０４、１０
５を持つ。ファイルサーバ１０４、１０５には、病院で
診察治療を受けた患者のカルテデータが登録されてい
る。この図では、ファイルサーバ１０５にある患者Ａの
診療データ１０６が登録されていると想定している。患
者Ａは保健医療カード１０７を所持している。ここで、
保健医療カードとは、診察カード、保険カードなど、保
健医療に関るＩＣカードなどのセキュアな媒体を意味す
る。

【０００６】「アクセス制御設定ファイル生成と診療デ
ータファイル生成」保健医療カード１０７内のアクセス
制御設定ファイル生成と患者Ａの診療データファイル生
成について説明する。

【０００７】（１）患者Ａは、アクセス制御設定ファイ
ル２０１の生成を保健医療カード１０７に指示する。こ
の時、保健医療カード１０７の鍵生成モジュール３０２
において、乱数Ｒ１を生成し、これをカード内のマスタ
鍵により暗号化して鍵Ｄｋを生成し、アクセス制御設定
ファイル記憶領域３０１の暗号化用鍵の記憶領域３０３
に登録する。同様に、保健医療カード１０７の鍵生成モ
ジュール３０２は、乱数Ｒ２を生成し、これをカード内
のマスタ鍵により暗号化して鍵Ａｋを生成し、アクセス
制御設定ファイル記憶領域３０１の相互認証用鍵の記憶
領域３０４に登録する。（図３）（２）病院１０２は、ファイルサーバ１０５に患者Ａ用
の診療データファイルを作成する。そして、病院１０２
を訪れた患者Ａは、アクセス制御設定ファイル記憶領域
３０１の医療機関のアドレステーブル３０５に病院１０
２のアドレスＨＯＳＰ２を登録してもらう。

【０００８】（３）（２）の処理を、患者Ａは病院１０
１に訪れたときにも行う。病院１０１は、ファイルサー
バ１０４に患者Ａ用の診療データファイルを作成する。
そして、アクセス制御設定ファイル記憶領域３０１の医
療機関のアドレステーブル１１２に病院１０１のアドレ
スＨＯＳＰ１を登録してもらう。

【０００９】ここで、上記、病院１０１および１０２の
アドレスとは、ファイルサーバ１０４と１０５のネット
ワーク１０３の所在のことである。

【００１０】「アクセス制御設定情報の設定」保健医療
カード１０７内のアクセス制御設定ファイルに基づき、
患者Ａの診療データファイルにアクセス制御設定情報を
セットする手続きについて説明する。

【００１１】（１）病院１０１においては、患者Ａが来
院したときに、アクセス制御設定ファイル２０１の内容
を、保健医療カード１０７のアクセス制御設定ファイル
記憶領域３０１から読みとれば良い。これにより、病院
１０１は、アクセス制御設定ファイル２０１の暗号化用
鍵、相互認証鍵、そして病院１０２のアドレスＨＯＳＰ
２を得ることが可能である。

【００１２】（２）病院１０２においても同様に、アク
セス制御設定ファイル２０１の内容を、保健医療カード
１０７のアクセス制御設定ファイル記憶領域３０１から
読みとる。ここで、病院１０２では、アクセス制御設定
ファイル２０１の暗号化用鍵、相互認証鍵に関する情報
は、保健医療カード１０７から読み取ることが可能であ
るが、アドレステーブル２０５は空欄である。従って、
病院１０２を受診した患者Ａが、その後に受診した病院
について（この実施例では病院１０１）のアドレスは、
別手段で得る必要がある。ここでは、病院１０１から次
の手段で病院１０１のアドレスを配送してもらう。病院
１０１は、（１）で読みとったアクセス制御設定ファイ
ル２０１の医療機関のアドレステーブル１１２をサーチ
する。この例の場合には、病院１０２のみが登録されて
いるので、そのアドレスのみを取り出す。そして、アク
セス制御設定ファイル２０１の相互認証用鍵で病院１０
２と病院１０１の相互認証を行った後に、患者ＡのＩＤ
番号とともに病院１０１のアドレスＨＯＳＰ１をアクセ
ス制御設定ファイル２０１の暗号化用鍵で暗号化して病
院１０２に送る。以上により、病院１０２は、患者Ａに
対する、アクセス制御設定ファイル２０１の暗号化用
鍵、相互認証鍵、そして病院１０１のアドレスＨＯＳＰ
１を得ることができた。ここで、上記、アクセス制御設
定ファイル２０１の医療機関のアドレステーブル１１２
をサーチした時点で、複数医療機関のアドレスが登録さ
れている場合には、その病院すべてに自分のアドレス
（この場合、病院１０１のアドレス）をマルチキャスト
する。

【００１３】（３）（１）（２）により、病院１０１お
よび病院１０２において得られたアクセス制御設定情報
は、病院１０１および病院１０２において、ファイルサ
ーバ１０４、１０５における患者Ａの診療データファイ
ル２０６（電子カルテデータ）のアクセス制御設定情報
２０８に取り込み診療情報の一属性として管理する。

【００１４】診療データの場合、患者のプライバシー保
護の観点から、安全なアクセス経路を規定する情報（上
記実施例のファイル２０１）は、当該患者の診療データ
の一属性として管理する必要がある。また、アクセス制
御設定ファイル２０１が、確かに患者Ａのものであると
いう認証は、患者Ａが各病院を訪れた際に、信頼できる
第３者機関により発行された保健医療カードを患者から
直に受けとり、アクセス制御設定ファイル２０１の情報
を得ていることにより保証される。

【００１５】次に、患者Ａの診療情報を、病院１０１と
病院１０２がネットワーク１０３を介して通信しあいデ
ータ交換を図る手段について説明する。例えば、病院１
０１が病院１０２の患者Ａの診療データファイル１０６
を参照するとする。次に、図４の説明をする。

【００１６】（１）病院１０１と病院１０２は、患者Ａ
の診療データ交換を行う権利があるかどうか相互認証処
理を行う。ここでは、相互認証処理として３パス相手認
証方法を適用する。

【００１７】１）患者ＡのＩＤ番号とともに、病院１０
１側で生成した乱数Ｒを、アクセス制御設定ファイル２
０１の病院１０２のファイルサーバ１０５のアドレスＨ
ＯＳＰ２に基づき送信する。

【００１８】２）病院１０２のファイルサーバ１０５
は、患者Ａの診療データ保存ファイルから、アクセス制
御設定ファイル２０１の相互認証鍵Ａｋを取り出す。そ
して、Ａｋで乱数Ｒを暗号化したＡｋ（Ｒ）と病院１０
２で生成した乱数Ｓを、アクセス制御設定ファイル２０
１の病院１０１のファイルサーバ１０４のアドレスＨＯ
ＳＰ１に基づき病院１０１に送り返す。

【００１９】以降、病院１０１と病院１０２の通信は、
アドレスＨＯＳＰ１、ＨＯＳＰ２に基づき行うものと
する。

【００２０】３）病院１０１は、送られてきたＡｋ
（Ｒ）を、相互認証鍵Ａｋで復号し、１）で送信した乱
数Ｒと一致すれば、病院１０１は病院１０２が患者Ａの
診療データを所有していることがわかる。もし一致しな
ければ、以降の処理を中止し、患者Ａの診療データ交換
を中止する。

【００２１】４）病院１０１は、乱数Ｓを相互認証用鍵
Ａｋで暗号化したＡｋ（Ｓ）を病院１０２に送信する。

【００２２】５）病院１０２は、送られてきたＡｋ
（Ｓ）を相互認証用鍵Ａｋで復号し、２）で送信した乱
数Ｓと比較する。一致すれば、病院１０２は、病院１０
１が患者Ａの診療データへのアクセス権を有することが
分かる。もし一致しなければ、以降の処理を中止し、患
者Ａの診療データ交換を中止する。

【００２３】（２）病院１０２のファイルサーバ１０５
は、本セッションにおけるデータ暗号化用セッション鍵
とデータ認証用セッション鍵を生成する。

【００２４】１）患者Ａの診療データ保存ファイルか
ら、アクセス制御設定ファイル２０１の暗号化処理用鍵
Ｄｋを取り出す。

【００２５】２）病院１０２のファイルサーバ１０５
は、乱数Ｔ１，Ｔ２を生成し、暗号化処理用鍵Ｄｋによ
り暗号化して、データ暗号化用セッション鍵ＤＴｋとデ
ータ認証用セッション鍵ＭＴｋを生成する。

【００２６】（３）（２）で生成した、データ暗号化用
セッション鍵ＤＴｋとデータ認証用セッション鍵ＭＴｋ
を、病院１０２は相互認証用鍵Ａｋで暗号化したＡｋ
（ＤＴｋ）とＡｋ（ＭＴｋ）を病院１０１に送信する。
病院１０１は、（３）で送られてきたＡｋ（ＤＴｋ）と
Ａｋ（ＭＴｋ）を復号して、データ暗号化用セッション
鍵ＤＴｋとデータ認証用セッション鍵ＭＴｋを取り出
す。

【００２７】（４）病院１０２は、診療データ１０６に
対して、所定のハッシュ関数によりメッセージダイジェ
ストを生成し、データ認証用セッション鍵ＭＴｋで暗号
化した認証コードを作成する。次に、生成した認証コー
ドを診療データ１０６に付加したものを、データ暗号化
用セッション鍵ＤＴｋで暗号化する。これを、病院１０
１に送信する。

【００２８】（５）病院１０１では、（４）で送られて
きたデータについて、データ暗号化用セッション鍵ＤＴ
ｋで復号し、診療データ１０６と認証コードを取り出
し、診療データ１０６に対して、所定のハッシュ関数に
よりメッセージダイジェストを生成し、データ認証用セ
ッション鍵ＭＴｋで暗号化した認証コードを送られた認
証コードと比較する。一致すれば正しい患者Ａの診療デ
ータである。

【００２９】以上により、病院１０１と病院１０２の間
で、データ認証とデータ暗号化により、患者Ａに関する
診療データを安全に共有化することが可能となる。ここ
で、上記構成をとることによる一つの特徴がある。病院
１０１は、来院した患者Ａの情報は病院１０２のファイ
ルサーバから参照することは可能であるが、病院１０１
に来院していない患者の診療データは参照不可能であ
る。これは、患者Ａの診療データ交換を行う権利がある
かどうか、患者Ａの相互認証用鍵で相互認証処理を行
い、この処理で相互認証が成立しない限りデータ交換が
行えないからである。この特徴により、患者の主治医あ
るいは主治医が在籍する病院以外からの診療データ参照
が不可能になるため、患者のプライバシー保護が可能に
なる。

【００３０】本発明のもう一つの特徴について説明す
る。まず最初に、診療データについての特徴について簡
単に説明する。診療データは、ある患者の診療の過程で
発生したデータを蓄積したものであるから、それを記録
する主治医とともに患者自身の所有物と考えられる。す
なわち、診療データには、利用者（医療従事者）とその
所有者が完全に一致しないという特徴がある。これによ
り、診療データの安全性確保に厄介な問題が生じる。例
えば、診療データの利用者側である複数医療機関が適当
なグループを組織し、そのグループ内で安全な通信路を
静的に構築したとしても、診療データの所有者である患
者が、このグループ内の医療機関だけを受診するとは限
らない。これにより、上記、医療機関グループの一つを
受診した患者が、このグループ内の他の医療機関を受診
する限りにおいては、安全に診療データのやりとりが可
能なのであるが、このグループ以外の医療機関を受診し
た場合に、この医療機関との診療データ交換の安全性は
確保できなくなる。診療データの所有者である患者は、
生涯でいろいろな地域の複数の医療機関を受診するのが
一般的であり、患者の受診行動範囲が上記グループ内の
医療機関に一致するという想定は受け入れられない。従
って、上記実施例のように、患者が受診した医療機関同
士で動的に患者ごとの安全なアクセス経路を設定してい
く仕掛けが必要である。

【００３１】最後に、上記実施例では、２つの病院を対
象に説明しているが、３つ以上の医療機関における診療
データ共有も同様である。

【００３２】「実施例２」次の実施例では、図５のよう
に患者Ａの在宅から、ネットワーク５０３を介して、ア
クセス制御設定ファイル２０１を病院５０１と病院５０
２に配布する。この実施例では、患者Ａは何らかの別手
段で病院５０１のアドレスＨＯＳＰ３と病院５０２のア
ドレスＨＯＳＰ４を知っているものとする。

【００３３】「アクセス制御設定ファイル生成」（図
６）患者Ａ宅において、保健医療カード１０７でアクセ
ス制御設定ファイル２０１を生成する手続きを図６を用
いて説明する。

【００３４】（１）患者Ａは、アクセス制御設定ファイ
ル２０１の生成を保健医療カード１０７に指示すと。こ
の時、保健医療カード１０７の鍵生成モジュール３０２
において、乱数Ｒ１を生成し、これをカード内のマスタ
鍵により暗号化して鍵Ｄｋを生成し、アクセス制御設定
ファイル記憶領域６０１の暗号化用鍵の記憶領域６０３
に登録する。同様に、保健医療カード１０７の鍵生成モ
ジュール６０２は、乱数Ｒ２を生成し、これをカード内
のマスタ鍵により暗号化して鍵Ａｋを生成し、アクセス
制御設定ファイル記憶領域６０１の相互認証用鍵の記憶
領域６０４に登録する。

【００３５】（２）病院５０１のアドレスＨＯＳＰ３を
アクセス制御設定ファイル記憶領域６０１のアクセステ
ーブルの記憶領域６０５に登録する。同様に、病院５０
２のアドレスＨＯＳＰ４をアクセステーブルの記憶領域
６０５に登録する。

【００３６】（３）アクセス制御設定ファイル記憶領域
６０１に記録されたアクセス制御設定ファイル２０１
に、保健医療カード１０７の秘密鍵Ｓａで電子署名す
る。

【００３７】（４）患者Ａの端末５０７に、（３）で電
子署名したアクセス制御設定ファイル２０１をダウンロ
ードする。

【００３８】「アクセス制御設定ファイルの配送」アク
セス制御設定ファイル２０１を病院５０１、病院５０２
に配送する手続きについて説明する。

【００３９】（１）患者Ａの端末５０７から、病院５０
１のアドレスＨＯＳＰ３と病院５０２のアドレスＨＯＳ
Ｐ４に基づき、電子署名したアクセス制御設定ファイル
２０１を各病院に送信する。

【００４０】（２）各病院では、送信されたアクセス制
御設定ファイル２０１について、保健医療カード１０７
の秘密鍵Ｓａに対応する公開鍵Ｐａで電子署名を検証し
た後、病院５０１と病院５０２は、アクセス制御設定フ
ァイル２０１を患者Ａの診療データファイルに登録す
る。

【００４１】ここで、公開鍵Ｐａが確かに患者Ａのもの
であることは、信頼できる第３者機関が公開鍵証明書を
発行していることにより保証されているものとする。

【００４２】以上により、病院５０１と病院５０２にお
いて、患者Ａのアクセス制御設定ファイルが得られたの
で、以降、診療データの共有は、実施例１と同じであ
る。また、この例では、二つの病院を例に説明したが、
三つ以上の医療機関においても同様である。

【００４３】

【発明の効果】各患者ごとの、アクセス制御設定ファイ
ル２０１を各医療機関で共有し、それを当該患者の診療
情報データの一属性として管理することで、まず、アク
セス制御設定ファイル２０１の医療機関のアドレステー
ブル２０５により複数医療機関にまたがる当該患者の診
療データ同士がネットワーク上でリンクされる。しか
も、アクセス制御設定ファイル２０１で管理する暗号化
用鍵と相互認証用鍵により、当該患者の診療データ同士
がネットワーク上でのリンクは、データの完全性と機密
性が確保できる。また、相互認証用鍵を利用した相互認
証処理により、患者の主治医または受診した病院以外
の、医療従事者からのアクセスが禁止されることによ
り、患者のプライバシーが確保できる。以上、患者の診
療データ同士がネットワーク上で安全にリンクされるの
で、患者の主治医または受診した病院からは、常時、当
該患者のデータを安全に共有することが可能になる。

【図面の簡単な説明】

【図１】本発明の実施例のシステム構成図

【図２】本発明の実施例において使用するファイルの構
成図

【図３】本発明の実施例における保健医療カード内での
処理を表わす図

【図４】本発明の実施例における診療データ共有のため
のプロトコルを示す図

【図５】本発明の実施例のシステム構成図

【図６】本発明の実施例における保健医療カード内での
処理を表わす図

【符号の説明】

１０１…病院、１０２…病院、１０３…ネットワーク、
１０４…ファイルサーバ、１０５…ファイルサーバ、１
０６…診療データファイル、１０７…保健医療カード、
２０１…アクセス制御設定ファイル、２０２…患者Ｉ
Ｄ、２０３…暗号化用鍵、２０４…相互認証用鍵、２０
５…アドレステーブル、２０６…診療データファイル、
２０７…患者ＩＤ、２０８…アクセス制御設定情報、２
０９…各診療データ、３０１…アクセス制御設定ファイ
ル記憶領域、３０２…鍵生成モジュール、５０１…病
院、５０２…病院、５０３…ネットワーク、５０４ファ
イルサーバ、５０５ファイルサーバ、５０６診療データ
ファイル、５０７…患者宅端末、６０１…アクセス制御
設定ファイル記憶領域、６０２…鍵生成モジュール、

Claims

【特許請求の範囲】

【請求項１】複数の医療機関に分散設置された通信端末
装置と、通信網により結合されて複数の医療機関によっ
て共有される複数のデータベース、および上記通信端末
装置との間で診療情報のやりとりができる広域医療情報
システムにおいて、患者ごとに、複数の医療機関のネッ
トワーク上でのアドレス一覧が記述されたテーブルと、
当該患者のために割り当てた暗号化用の鍵と、各医療機
関同士の相互認証処理に使用する鍵を含むアクセス制御
設定ファイルを作成する手段と、前記アクセス制御設定
ファイルが確かに当該患者に関するものであることを各
医療機関が認証する手段と、前記アクセス制御設定ファ
イルを各医療機関の当該患者の診療情報の一属性として
付加する手段を有し、前記アクセス制御設定ファイルに
基づき当該患者の診療情報を安全に交換することを特徴
とする診療情報共有化方法。
【請求項２】複数の医療機関に分散設置された通信端末
装置と、通信網により結合されて複数の医療機関によっ
て共有される複数のデータベース、および上記通信端末
装置との間で診療情報のやりとりができる広域医療情報
システムにおいて、複数の医療機関のネットワーク上で
のアドレス一覧が記述されたテーブルと、当該患者のた
めに割り当てた暗号化用の鍵と、各医療機関同士の相互
認証処理に使用する鍵を含むアクセス制御設定ファイル
を、可搬媒体が有する記憶装置に記憶して管理すること
を特徴とする請求項１の診療情報共有化方法。
【請求項３】複数の医療機関に分散設置された通信端末
装置と、通信網により結合されて複数の医療機関によっ
て共有される複数のデータベース、および上記通信端末
装置との間で診療情報のやりとりができる広域医療情報
システムにおいて、請求項１のアクセス制御設定ファイ
ルに含まれる複数の医療機関のネットワーク上でのアド
レス一覧が記述されたテーブルについて、新たに追加さ
れる医療機関は、前記テーブルに含まれるネットワーク
上の各アドレスに対して、当該医療機関のアドレスを送
付することを特徴とする請求項１の診療情報共有化方
法。
【請求項４】複数の医療機関に分散設置された通信端末
装置と、通信網により結合されて複数の医療機関によっ
て共有される複数のデータベース、および上記通信端末
装置との間で診療情報のやりとりができる広域医療情報
システムにおいて、患者に対する診療データの通信に際
しては、請求項１のアクセス制御設定ファイルに含まれ
る相互認証処理に使用する鍵で相互認証し、暗号化用の
鍵で暗号化して通信することを特徴とする請求項１の診
療情報共有化方法。
【請求項５】複数の医療機関に分散設置された通信端末
装置と、通信網により結合されて複数の医療機関によっ
て共有される複数のデータベース、および上記通信端末
装置との間で診療情報のやりとりができる広域医療情報
システムにおいて、患者は、請求項１のアクセス制御設
定ファイルに患者固有の秘密鍵で電子署名したものを、
前記アクセス制御設定ファイルに含まれる複数の医療機
関のネットワーク上でのアドレス一覧が記述されたテー
ブルの各アドレスに送信することを特徴とする請求項１
の診療情報共有化方法。