JP2009042804A - 病院用、介護施設用、及び運動施設用データ管理システム並びに端末装置 - Google Patents

Abstract

【課題】アクセスする権限を有しない第三者に、秘匿性を要する情報が漏洩されるおそれがあった。
【解決手段】サーバ装置と、端末装置とを含み、サーバ装置は、複数の個人に関する秘匿性を確保されるべき複数の情報を記憶し、端末装置では、受信部が、前記サーバ装置から、前記複数の情報のうちの一の情報を受信し、ＦｅＲＡＭが、前記受信された一の情報を利用に供すべく、当該一の情報を一時的に記憶し、消去部が、前記利用が終了した後に、前記ＦｅＲＡＭから前記一の情報を読み出すことを、当該読み出しの後に前記ＦｅＲＡＭへ前記一の情報を再書き込みすることを伴うことなく実行することにより、前記ＦｅＲＡＭから前記一の情報を消去する。
【選択図】図１

Description

本発明は、秘匿性を要するデータを管理する病院用、介護施設用、及び運動施設用データ管理システム並びに端末装置に関する。

下記の特許文献１に記載された医療情報管理システムと技術分野が共通する、図８に図示された従来の病院システムＨ１００は、サーバ装置ＳＶ１００及び端末装置ＴＭ１００からなるデータ管理システムを含み、さらに、ＩＤカードＣＤ１００（Ｃ）及びＩＤカードＣＤ１００（Ｄ）を含む。

サーバ装置ＳＶ１００は、病院ＨＳ１００から隔たった場所に設置されており、第１のデータベース部１３０及び第２のデータベース部１４０を有する。第１のデータベース部１３０は、当該病院ＨＳ１００に勤務する医師Ｄその他の複数の医師（図示せず。）に関する、秘匿性を要する情報（医師情報）からなる第１のデータベースＤＢ１３０を記憶している。他方で、第２のデータベース部１４０は、当該病院ＨＳ１００に通院する患者Ｃその他の複数の患者（図示せず。）に関する、秘匿性を要する情報（患者情報）からなる第２のデータベースＤＢ１４０を記憶している。第２のデータベース部１４０は、前記第２のデータベースＤＢ１４０の一部として、例えば、患者Ｃの患者情報ＩＮ１００（Ｃ）を記憶している。

前記サーバ装置ＳＶ１００は、前記第１、第２のデータベースＤＢ１３０、ＤＢ１４０へのアクセス管理を行うべく、かつ、前記医師情報及び患者情報の盗聴の防止を秘密鍵方式の下で行うべく、送受信部１００と、暗号復号部１１０と、制御部１２０と、を有する。以下では、説明及び理解を容易にすべく、送信のときには、暗号鍵（秘密鍵）による暗号化が伴い、また、受信のときには、前記暗号鍵による復号化が伴うことを前提とする。

端末装置ＴＭ１００は、病院ＨＳ１００内に設置されており、例えば、前記サーバ装置ＳＶ１００の第２のデータベース部１４０に記憶されている患者Ｃの患者情報の、医師Ｄによる閲覧及び印刷等の利用に供すべく、送受信部２００と、暗号復号部２１０と、印刷部２２０と、表示部２３０と、制御部２４０と、記憶部２５０と、を有する。ここで、記憶部２５０は、例えば、ハードディスク、ＳＲＡＭ、ＤＲＡＭ等であり、さらに、ハードディスク、ＳＲＡＭ、ＤＲＡＭ等の各々は、データ（例えば、後述される患者Ｃの患者情報ＩＮ１００（Ｃ））を記憶するための記憶領域、及び、当該記憶領域を管理するための情報（管理情報）を記憶するための管理領域（例えば、ＦＡＴ（File Allocation Tables））からなる。

ＩＤカードＣＤ１００（Ｃ）は、患者Ｃにより携帯されており、主に、前記端末装置ＴＭ１００との間で、当該患者Ｃを識別するための患者ＩＤ（患者識別番号）をやりとりすべく、送受信部３００と、暗号復号部３１０と、制御部３２０と、記憶部３３０とを有する。

同様にして、ＩＤカードＣＤ１００（Ｄ）は、医師Ｄにより携帯されており、主に、前記端末装置ＴＭ１００との間で、当該医師Ｄを識別するための医師ＩＤ（医師識別番号）をやりとりすべく、送受信部４００と、暗号復号部４１０と、制御部４２０と、記憶部４３０とを有する。

病院システムＨ１００では、患者Ｃが、病院ＨＳ１００に来院すると、医師Ｄは、当該医師ＤのＩＤカードＣＤ１００（Ｄ）の医師ＩＤ、及び、前記患者ＣのＩＤカードＣＤ１００（Ｃ）中の患者ＩＤを端末装置ＴＭ１００に送信し、即ち、入力し、当該端末装置ＴＭ１００は、当該医師ＩＤ及び患者ＩＤをサーバ装置ＳＶ１００へ転送する。

サーバ装置ＳＶ１００は、端末装置ＴＭ１００を介して前記医師ＩＤ及び前記患者ＩＤを受信すると、当該医師ＩＤに基づき第１のデータベースＤＢ１３０を参照することにより、前記医師Ｄが第２のデータベース部１４０をアクセスする権限を有するか否かを確認する。サーバ装置ＳＶ１００は、前記医師Ｄが前記第２のデータベース部１４０へのアクセス権限を有することを確認することができると、前記受信した患者ＩＤに基づき第２のデータベースＤＢ１４０を参照することにより、患者Ｃの患者情報ＩＮ１００（Ｃ）を端末装置ＴＭ１００へ送信する。

端末装置ＴＭ１００は、前記患者Ｃの患者情報ＩＮ１００（Ｃ）を受信すると、当該患者情報ＩＮ１００（Ｃ）を記憶部２５０に一時的に記憶しておく。医師Ｄは、端末装置ＴＭ１００を操作することにより、前記記憶部２５０に記憶されている前記患者情報ＩＮ１００（Ｃ）を表示部２３０に表示することにより、または、印刷部２２０により印刷することにより、前記患者情報ＩＮ１００（Ｃ）を閲覧可能にする。

医師Ｄは、前記患者情報ＩＮ１００（Ｃ）を閲覧しながら患者Ｃに診療を行い、当該診療を終えると、当該診療の終了の旨を端末装置ＴＭ１００に入力する。前記診療の終了の旨が入力されると、端末装置ＴＭ１００では、制御部２４０は、前記記憶部２５０から前記患者Ｃの患者情報ＩＮ１００（Ｃ）を消去しようとする。

特開２００１−２９０８８９号公報

しかしながら、上記した端末装置ＴＭ１００では、制御部２４０が、記憶部２５０から前記患者Ｃの患者情報ＩＮ１００（Ｃ）を消去しようとしても、ハードディスク、ＳＲＡＭ、ＤＲＡＭ等である記憶部２５０では、前記記憶領域から前記患者Ｃの患者情報ＩＮ１００（Ｃ）自体が消去されることなく、前記管理領域から当該患者Ｃの患者情報ＩＮ１００（Ｃ）についての管理情報が消去されるに過ぎない。これにより、例えば、前記患者Ｃの患者情報ＩＮ１００（Ｃ）を始めとする、前記複数の患者に関する患者情報からなる第２のデータベースＤＢ１４０にアクセスする権限を有しない第三者Ｔが、前記患者Ｃの患者情報ＩＮ１００（Ｃ）を、前記端末装置ＴＭ内の記憶部２５０の記憶領域から読み出すことを試み、これにより、当該患者Ｃの患者情報ＩＮ１００（Ｃ）が当該第三者Ｔに漏洩されるおそれがあるという問題があった。

本発明に係る病院用、介護施設用、及び運動施設用データ管理システム並びに端末装置は、以下の適用例により実現される。

［適用例１］
（１）複数の患者に関する秘匿性を確保されるべき複数の患者情報を記憶しているサーバ装置と、
（２）（２ａ）前記サーバ装置から、前記複数の患者情報のうちの一の患者情報を受信する受信部と、
（２ｂ）前記受信された一の患者情報を利用に供すべく、当該一の患者情報を一時的に記憶領域に記憶するＦｅＲＡＭと、
（２ｃ）前記利用が終了した後に、前記ＦｅＲＡＭの記憶領域から前記一の患者情報を読み出すことを、当該読み出しの後に前記ＦｅＲＡＭの前記記憶領域へ前記一の患者情報を再書き込みすることを伴うことなく実行することにより、前記ＦｅＲＡＭの前記記憶領域から前記一の患者情報を消去する消去部と、を有する端末装置と、を含むことを特徴とする病院用データ管理システム。

［適用例２］
外部から、秘匿性を確保されるべき患者情報の入力を受ける入力部と、
前記入力された患者情報を利用に供すべく、当該患者情報を一時的に記憶領域に記憶するＦｅＲＡＭと、
前記利用が終了した後に、前記ＦｅＲＡＭの前記記憶領域から前記患者情報を読み出すことを、当該読み出しの後に前記ＦｅＲＡＭの前記記憶領域へ前記患者情報を再書き込みすることを伴うことなく実行することにより、前記ＦｅＲＡＭの前記記憶領域から前記患者情報を消去する消去部と、を含むことを特徴とする病院用データ管理装置。

［適用例３］
（１）複数の被介護者に関する秘匿性を確保されるべき複数の被介護者情報を記憶しているサーバ装置と、
（２）（２ａ）前記サーバ装置から、前記複数の被介護者情報のうちの一の被介護者情報を受信する受信部と、
（２ｂ）前記受信された一の被介護者情報を利用に供すべく、当該一の被介護者情報を一時的に記憶領域に記憶するＦｅＲＡＭと、
（２ｃ）前記利用が終了した後に、前記ＦｅＲＡＭの記憶領域から前記一の被介護者情報を読み出すことを、当該読み出しの後に前記ＦｅＲＡＭの前記記憶領域へ前記一の被介護者情報を再書き込みすることを伴うことなく実行することにより、前記ＦｅＲＡＭの前記記憶領域から前記一の被介護者情報を消去する消去部と、を有する端末装置と、を含むことを特徴とする介護施設用データ管理システム。

［適用例４］
外部から、秘匿性を確保されるべき被介護者情報の入力を受ける入力部と、
前記入力された被介護者情報を利用に供すべく、当該被介護者情報を一時的に記憶領域に記憶するＦｅＲＡＭと、
前記利用が終了した後に、前記ＦｅＲＡＭの前記記憶領域から前記患者情報を読み出すことを、当該読み出しの後に前記ＦｅＲＡＭの前記記憶領域へ前記被介護者情報を再書き込みすることを伴うことなく実行することにより、前記ＦｅＲＡＭの前記記憶領域から前記患者情報を消去する消去部と、を含むことを特徴とする介護施設用データ管理装置。

［適用例５］
（１）複数の運動者に関する秘匿性を確保されるべき複数の運動者情報を記憶しているサーバ装置と、
（２）（２ａ）前記サーバ装置から、前記複数の運動者情報のうちの一の運動者情報を受信する受信部と、
（２ｂ）前記受信された一の運動者情報を利用に供すべく、当該一の運動者情報を一時的に記憶領域に記憶するＦｅＲＡＭと、
（２ｃ）前記利用が終了した後に、前記ＦｅＲＡＭの記憶領域から前記一の運動者情報を読み出すことを、当該読み出しの後に前記ＦｅＲＡＭの前記記憶領域へ前記一の運動者情報を再書き込みすることを伴うことなく実行することにより、前記ＦｅＲＡＭの前記記憶領域から前記一の患者情報を消去する消去部と、を有する端末装置と、を含むことを特徴とする運動施設用データ管理システム。

［適用例６］
外部から、秘匿性を確保されるべき運動者情報の入力を受ける入力部と、
前記入力された運動者情報を利用に供すべく、当該運動者情報を一時的に記憶領域に記憶するＦｅＲＡＭと、
前記利用が終了した後に、前記ＦｅＲＡＭの前記記憶領域から前記運動者情報を読み出すことを、当該読み出しの後に前記ＦｅＲＡＭの前記記憶領域へ前記運動者情報を再書き込みすることを伴うことなく実行することにより、前記ＦｅＲＡＭの前記記憶領域から前記運動者情報を消去する消去部と、を含むことを特徴とする運動施設用データ管理装置。

上記病院用、介護施設用、及び運動施設用データ管理システム及びデータ管理装置によれば、前記端末装置で、前記消去部が、前記ＦｅＲＡＭの前記記憶領域に一時的に記憶されている、前記サーバ装置から受信した前記一の患者情報等の利用が終了した後、前記ＦｅＲＡＭの前記記憶領域への前記再書込みを伴うことなく前記ＦｅＲＡＭの前記記憶領域からの前記読み出しを行う。これにより、前記ＦｅＲＡＭの前記記憶領域では、その物理的な特性上、前記一の患者情報等をすべて「０」に置き換える。この結果、前記消去部は、前記ＦｅＲＡＭの前記記憶領域から前記一の患者情報等を完全に消去することが可能となる。

データ管理システムを備える病院システムの実施例について図面を参照して説明する。

《構成》
図１は、実施例の病院システムの構成を示す。実施例の病院システムＨは、病院ＨＳで採用されており、当該病院ＨＳには、医師Ｄ０３が勤務し、また、患者Ｃ３４が通院している。実施例の病院システムＨは、秘匿性を確保されるべき患者Ｃ３１〜Ｃ３４の患者情報ＩＮ（Ｃ３１）〜ＩＮ（Ｃ３４）（図３に図示。）を秘密に管理すべく、サーバ装置ＳＶと、端末装置ＴＭと、ＩＤカードＣＤ（Ｃ）と、ＩＤカードＣＤ（Ｄ）とを含む。サーバ装置ＳＶ及び端末装置ＴＭは、『データ管理システム』に相当し、また、端末装置ＴＭは、『データ管理装置』に相当する。

〈サーバ装置ＳＶ〉
サーバ装置ＳＶは、図１に示されるように、病院ＨＳから離れた場所に設置されており、送受信部１０と、暗号復号部１１と、制御部１２と、第１のデータベース部１３と、第２のデータベース部１４と、記憶部１５とを有する。

送受信部１０は、無線通信又は有線通信により、端末装置ＴＭ内の送受信部２０から、医師Ｄ０３の医師ＩＤ、患者Ｃ３４の患者ＩＤを受信し、他方で、当該送受信部２０へ、患者Ｃ３４に関する情報（以下「患者情報」という。）ＩＮ（Ｃ３４）を送信する。

暗号復号部１１は、秘密鍵方式（例えば、ＤＥＳ方式）の下、前記端末装置ＴＭへ送信すべき前記患者Ｃ３４の患者情報ＩＮ（Ｃ３４）を暗号化し、また、端末装置ＴＭから受信した、暗号化された前記医師Ｄ０３の医師ＩＤ及び前記患者Ｃ３４の患者ＩＤを復号化する。

制御部１２は、例えば、ＣＰＵであり、予め用意されたプログラム（図示せず。）に従って、サーバ装置ＳＶの全体の動作を制御し、かつ、当該全体の動作を監視する。

第１のデータベース部１３は、例えば、ハードディスクからなり、第１のデータベースＤＢ１を記憶している。第１のデータベースＤＢ１は、図２に示されるように、医師Ｄ０１〜医師Ｄ０４に関する情報（以下「医師情報」という。）ＩＮ（Ｄ０１）〜ＩＮ（Ｄ０３）からなる。例えば、医師情報ＩＮ（Ｄ０３）は、医師ＩＤ「Ｄ０３」、氏名「ＥＦ」、属性「内科医」、権限「第２のデータベースＤＢ２の閲覧及び更新が可能」から構成されている。

第２のデータベース部１４もまた、例えば、ハードディスクからなり、第２のデータベースＤＢ２を記憶している。第２のデータベースＤＢ２は、図３に示されるように、患者Ｃ３１〜Ｃ３４の患者情報ＩＮ（Ｃ３１）〜ＩＮ（Ｃ３４）からなる。例えば、患者情報ＩＮ（Ｃ３４）は、患者ＩＤ「Ｃ３４」、氏名「ＵＶ」、診療履歴「麻しん」、薬歴「ｄ」から構成されている。

記憶部１５は、例えば、ＲＯＭからなり、秘密鍵である第１の暗号鍵ＫＹ１、及び、秘密鍵である第２の暗号鍵ＫＹ２を記憶している。

〈端末装置ＴＭ〉
端末装置ＴＭは、図１に示されるように、送受信部２０と、暗号復号部２１と、印刷部２２と、表示部２３と、制御部２４と、消去部２５と、ＦｅＲＡＭ２６と、記憶部２７とを有する。

送受信部２０は、無線通信により、サーバ装置ＳＶの送受信部１０との間で、ＩＤカードＣＤ（Ｃ）の送受信部３０との間で、及び、ＩＤカードＣＤ（Ｄ）の送受信部４０との間で、医師Ｄ０３の医師ＩＤ、患者Ｃ３４の患者ＩＤ、及び患者Ｃ３４の患者情報ＩＮ（Ｃ３４）のやりとりを行う。

暗号復号部２１は、上記した秘密鍵方式の下、第１の暗号鍵ＫＹ１又は第２の暗号鍵ＫＹ２を用いて暗号化又は復号化を行う。

印刷部２２及び表示部２３は、例えば、プリンタ及びモニター（液晶モニター、ＣＲＴモニター）であり、ＦｅＲＡＭ２６に一時的に記憶されている患者情報、例えば、患者情報ＩＮ（Ｃ３４）を印刷するために、または、表示部２３に表示させるために用いられる。

制御部２４は、例えば、ＣＰＵからなり、予め定められたプログラム（図示せず。）に従って、端末装置ＴＭの全体の動作を制御し、また、当該全体の動作を監視する。当該制御及び監視に加えて、制御部２４は、サーバ装置ＳＶから受信した患者情報、例えば、患者Ｃ３４の患者情報ＩＮ（Ｃ３４）をＦｅＲＡＭ２６に書き込み、当該ＦｅＲＡＭ２６に一時的に記憶させる。

消去部２５もまた、例えば、ＣＰＵからなり、診療が終わった後に、例えば、医師Ｄ０３による患者Ｃ３４の診療が終わった後に、ＦｅＲＡＭ２６の記憶領域から、当該ＦｅＲＡＭ２６の記憶領域に一時的に記憶されている患者情報、例えば、患者Ｃ３４の患者情報ＩＮ（Ｃ３４）を読み出すことを行い、しかも、当該記憶領域への当該患者情報ＩＮ（Ｃ３４）の再書込みを伴わずに行うことにより、患者Ｃ３４の患者情報ＩＮ（Ｃ３４）をＦｅＲＡＭ２６の記憶領域から完全に消去する。当該完全な消去は、ＦｅＲＡＭ２６が、外部から、記憶領域からの読み出しの処理のみを受けるときに、換言すれば、記憶領域からの読み出しの処理を受けるものの記憶領域への再書込みの処理を受けないときに、それまでに記憶領域に記憶していた情報を「０」に書き換えるという物理的特性を有することによる。

ＦｅＲＡＭ２６は、上記したような物理的な特性を有し、前記制御部２４が、患者情報、例えば、図４（Ａ）に示されるように、サーバ装置ＳＶから受信した患者Ｃ３４の患者情報ＩＮ（Ｃ３４）を一時的に記憶領域に記憶するために用いられる。ここで、ＦｅＲＡＭ２６は、上記したような、最書き込みの処理を受けることなく、読み出し処理のみを受けることにより、それまでに記憶していた情報を、全て「０」又は全て「１」に書き換えるデバイス（素子）であれば、いずれのデバイスであっても良い。

記憶部２７は、例えば、ＲＯＭからなり、サーバ装置ＳＶの記憶部１５に記憶されていると同一な第１の暗号鍵ＫＹ１及び第２の暗号鍵ＫＹ２を記憶している。

〈ＩＤカードＣＤ（Ｃ）〉
ＩＤカードＣＤ（Ｃ）は、患者Ｃ３４により所有され、かつ、携帯されており、送受信部３０と、暗号復号部３１と、制御部３２と、記憶部３３とを有する。

送受信部３０は、無線通信により、端末装置ＴＭの送受信部２０との間で、患者ＩＤのやりとりを行う。

暗号復号部３１は、秘密鍵方式の下、端末装置ＴＭへ送信すべき患者ＩＤを、第１の暗号鍵ＫＹ１を用いて暗号化し、また、端末装置ＴＭから暗号化された情報を受信したときには、第１の暗号鍵ＫＹ１を用いて復号化する。

制御部３２は、例えば、ＣＰＵからなり、記憶部３３に記憶されている所定のプログラム（図示せず。）に従って、ＩＤカードＣＤ（Ｃ）の全体の動作を制御し、また、当該全体の動作を監視する。

記憶部３３は、例えば、ＲＯＭからなり、図５に示されるような患者ＩＤ「Ｃ３４」、及び第１の暗号鍵ＫＹ１を記憶している。

〈ＩＤカードＣＤ（Ｄ）〉
ＩＤカードＣＤ（Ｄ）は、医師Ｄ０３である医師Ｄにより所有され、かつ、携帯されており、上記したＩＤカードＣＤ（Ｃ）と同様に、送受信部４０と、暗号復号部４１と、制御部４２と、記憶部４３とを有する。

送受信部４０は、無線通信により、端末装置ＴＭの送受信部２０との間で、医師ＩＤとのやりとりを行う。

暗号復号部４１は、秘密鍵方式の下、端末装置ＴＭへ送信すべき医師ＩＤを第２の暗号鍵ＫＹ２を用いて暗号化し、また、端末装置ＴＭから暗号化された情報を受信したときには、第２の暗号鍵ＫＹ２を用いて復号化する。

制御部４２は、例えば、ＣＰＵからなり、記憶部４３に記憶されている所定のプログラム（図示せず。）に従って、ＩＤカードＣＤ（Ｄ）の全体の動作を制御し、また、当該全体の動作を監視する。

記憶部４３は、例えば、ＲＯＭからなり、図６に示されるような医師ＩＤ「Ｄ０３」、及び、第２の暗号鍵ＫＹ２を記憶している。

《動作》
図７は、実施例の病院システムの動作を示すフローチャートである。以下、実施例の病院システムの動作について、図７のフローチャートに沿って説明する。

ステップＳ１：患者Ｃ３４が病院ＨＳに来院する。

ステップＳ２：患者Ｃ３４が来院すると、医師Ｄ０３は、端末装置ＴＭに、当該医師Ｄ０３のＩＤカードＣＤ（Ｄ）を使って、医師Ｄ０３の医師ＩＤ「Ｄ０３」（図６に図示。）を送信（入力）し、また、患者Ｃ３４のＩＤカードＣＤ（Ｃ）を使って、患者Ｃ３４の患者ＩＤ「Ｃ３４」（図５に図示。）を送信（入力）する。

換言すると、医師Ｄ０３が携帯しているＩＤカードＣＤ（Ｄ）では、暗号復号部４１は、記憶部４３に記憶されている医師ＩＤ「Ｄ０３」を、第２の暗号鍵ＫＹ２で暗号化し、送受信部４０は、当該当該暗号化された医師ＩＤ「Ｄ０３」を端末装置ＴＭに向けて送信する。同様にして、患者Ｃ３４が携帯しているＩＤカードＣＤ（Ｃ）では、暗号復号部３１は、記憶部３３に記憶されている患者ＩＤ「Ｃ３４」を、第１の暗号鍵ＫＹ１で暗号化し、送受信部３０は、当該当該暗号化された患者ＩＤ「Ｃ３４」を端末装置ＴＭに向けて送信する。

端末装置ＴＭは、前記ＩＤカードＣＤ（Ｄ）及びＩＤカードＣＤ（Ｃ）から、前記医師ＩＤ「Ｄ０３」及び前記患者ＩＤ「Ｃ３４」を受信すると、当該医師ＩＤ「Ｄ０３」及び当該患者ＩＤ「Ｃ３４」をサーバ装置ＳＶへ転送する。

ステップＳ３：サーバ装置ＳＶでは、送受信部１０が、前記端末装置ＴＭを介して、前記暗号化された医師ＩＤ「Ｄ０３」及び患者ＩＤ「Ｃ３４」を受信すると、暗号復号部１１は、前記暗号化された医師ＩＤ「Ｄ０３」を第２の暗号鍵ＫＹ２により復号化することにより、医師ＩＤ「Ｄ０３」を再生し、同様にして、前記暗号化された患者ＩＤ「Ｃ３４」を第１の暗号鍵ＫＹ１により復号化することにより、患者ＩＤ「Ｃ３４」を再生する。

サーバ装置ＳＶでは、制御部１２は、前記復号化に引き続き、前記医師ＩＤ「Ｄ０３」に基づき、第１のデータベース部１３内の第１のデータベースＤＢ１（図２に図示。）を参照することにより、医師ＩＤ「Ｄ０３」の医師が、権限「第２のデータベースＤＢ２の閲覧、更新」を有することを認識し、即ち、医師Ｄ０３による第２のデータベースＤＢ２のアクセスを事実上許可する。

サーバ装置ＳＶは、前記認識の後、患者Ｃ３４の患者情報ＩＮ（Ｃ３４）（図３に図示。）を端末装置ＴＭへ送信する。

換言すれば、サーバ装置ＳＶでは、暗号復号部１１は、患者Ｃ３４の患者情報ＩＮ（Ｃ３４）を第１の暗号鍵ＫＹ１で暗号化し、送受信部１０は、当該暗号化された患者Ｃ３４の患者情報ＩＮ（Ｃ３４）を端末装置ＴＭに向けて送信する。

ステップＳ４：端末装置ＴＭでは、送受信部２０が、前記暗号化された患者Ｃ３４の患者情報ＩＮ（Ｃ３４）を受信すると、暗号復号部２１が、当該暗号化された患者Ｃ３４の患者情報ＩＮ（Ｃ３４）を第１の暗号鍵ＫＹ１を用いて復号化し、制御部２４は、再生された患者Ｃ３４の患者情報ＩＮをＦｅＲＡＭ２６に書き込み、ＦｅＲＡＭ２６に一時的に記憶させる。

ステップＳ５：医師Ｄ０３は、端末装置ＴＭを操作することにより、患者Ｃ３４の患者情報ＩＮ（Ｃ３４）を、表示部２３で表示し又は印刷部２２で印刷することにより、閲覧を可能にする。

ステップＳ６：医師Ｄ０３は、患者Ｃ３４の患者情報ＩＮ（Ｃ３４）を閲覧しながら、患者Ｃ３４に診療（例えば、病状「腹痛」に対し薬「ｂ」を投与）を行う。

ステップＳ７：医師Ｄ０３は、患者Ｃ３４への診療を終えると、端末装置ＴＭの操作により、患者Ｃ３４の患者情報ＩＮ（Ｃ３４）を更新する。

より詳しくは、医師Ｄ０３による更新の指示を受けると、制御部２４は、図４（Ｂ１）に示されるように、ＦｅＲＡＭ２６上の患者Ｃ３４の患者情報ＩＮ（Ｃ３４）に、今回の診療（ステップＳの診療）の内容である診療「腹痛」及び投薬「ｂ」（薬「ｂ」の投与）の項目を追加することにより、診療履歴及び薬歴を書き換え、これにより、患者情報ＩＮ（Ｃ３４）が更新される。

前記ＦｅＲＡＭ２６上での患者Ｃ３４の患者情報ＩＮ（Ｃ３４）が更新されると、暗号復号部２１及び送受信部２０は、協働して、サーバ装置ＳＶへ送信し、サーバ装置ＳＶでは、制御部１２は、図３と図４（Ｂ２）との比較から明らかなように、第２のデータベース部１４上で、更新前の患者Ｃ３４の患者情報ＩＮ（Ｃ３４）を、受信した、前記更新後の患者Ｃ３４の患者情報ＩＮ（Ｃ３４）により上書きし、即ち、患者Ｃ３４の患者情報ＩＮ（Ｃ３４）を更新する。

前記更新が完了すると、端末装置ＴＭでは、表示部２３は、当該更新が完了した旨を医師Ｄ０３に表示を以って通知する。

ステップＳ８：医師Ｄ０３は、前記患者Ｃ３４の患者情報ＩＮ（Ｃ３４）の更新完了の旨の通知を受けると、端末装置ＴＭの操作により、患者Ｃ３４の患者情報ＩＮ（Ｃ３４）を消去する旨を指示する。

ステップＳ９：医師Ｄ０３から患者Ｃ３４の消去の指示を受けると、端末装置ＴＭでは、消去部２５は、ＦｅＲＡＭ２６における、前記患者Ｃ３４の患者情報ＩＮ（Ｃ３４）が記憶されていた領域から、当該患者Ｃ３４の患者情報ＩＮ（Ｃ３４）を読み出すという動作のみを行うことにより、即ち、読み出し動作を行い再書込みを行わないことにより、ＦｅＲＡＭ２６中の当該領域を、図４（Ｃ）に示されるように、全て「０」にする。

《効果》
上述したように、実施例の病院システムＨでは、医師Ｄ０３が、端末装置ＴＭ内のＦｅＲＡＭ２６に一時的に記憶されている、患者Ｃ３４の患者情報ＩＮ（Ｃ３４）を閲覧しながら患者Ｃ３４を診療することを終えた後、端末装置ＴＭでは、消去部２５が、ＦｅＲＡＭ２６から患者Ｃ３４の患者情報ＩＮ（Ｃ３４）を読み出すことのみを行う。これにより、図４（Ｃ）に示されるように、ＦｅＲＡＭ２６における、前記患者Ｃ３４の患者情報ＩＮ（Ｃ３４）が記憶されていた領域を全て「０」に書き換える。その結果、記憶部２５０（図８に図示。）から患者Ｃの患者情報ＩＮ１００（Ｃ）が完全には消去し切れなかった従来と異なり、第２のデータベースＤＢ２へのアクセス権限を有しない第三者Ｔが、ＦｅＲＡＭ２６から前記患者Ｃ３４の患者情報ＩＮ（Ｃ３４）を不正に読み出すことを防止することが可能となる。

《変形例》
上記した実施例の病院システムＨにおける「病院ＨＳ」及び「患者情報ＩＮ（Ｃ３４）等」に代えて、例えば、「介護施設」及び「被介護者に関する情報」（被介護者の氏名、住所、家族状況、症状、介護等に関する情報）、「運動施設（例えば、フィットネスクラブ）」及び「運動する者に関する情報」（運動者の氏名、住所、身長、体重、運動の目的、運動のプログラム等）を用いることによって「介護施設システム」及び「運動施設システム」を構築することにより、上記したと同様な効果を得ることができる。

実施例の病院システムの構成を示す図。 実施例の第１のデータベースの内容を示す図。 実施例の第２のデータベースの内容を示す図。 実施例のＦｅＲＡＭ及び第２のデータベースの内容の変遷を示す図。 実施例のＩＤカードＣＤ（Ｃ）に記憶された内容を示す図。 実施例のＩＤカードＣＤ（Ｄ）に記憶された内容を示す図。 実施例の病院システムの動作を示すフローチャート。 従来の病院システムの構成を示す図。

符号の説明

Ｈ…病院システム、ＨＳ…病院、ＳＶ…サーバ装置、ＴＭ…端末装置、ＣＤ（Ｃ）…患者ＩＤカード、ＣＤ（Ｄ）…医師ＩＤカード、１４…第２のデータベース部、２０…送受信部、２１…暗号復号部、２２…印刷部、２３…表示部、２４…制御部、２５…消去部、２６…ＦｅＲＡＭ、２７…記憶部、ＩＮ（Ｃ３４）…患者情報。

Claims (6)

1. （１）複数の患者に関する秘匿性を確保されるべき複数の患者情報を記憶しているサーバ装置と、
   （２）（２ａ）前記サーバ装置から、前記複数の患者情報のうちの一の患者情報を受信する受信部と、
   （２ｂ）前記受信された一の患者情報を利用に供すべく、当該一の患者情報を一時的に記憶領域に記憶するＦｅＲＡＭと、
   （２ｃ）前記利用が終了した後に、前記ＦｅＲＡＭの記憶領域から前記一の患者情報を読み出すことを、当該読み出しの後に前記ＦｅＲＡＭの前記記憶領域へ前記一の患者情報を再書き込みすることを伴うことなく実行することにより、前記ＦｅＲＡＭの前記記憶領域から前記一の患者情報を消去する消去部と、を有する端末装置と、を含むことを特徴とする病院用データ管理システム。
2. 外部から、秘匿性を確保されるべき患者情報の入力を受ける入力部と、
   前記入力された患者情報を利用に供すべく、当該患者情報を一時的に記憶領域に記憶するＦｅＲＡＭと、
   前記利用が終了した後に、前記ＦｅＲＡＭの前記記憶領域から前記患者情報を読み出すことを、当該読み出しの後に前記ＦｅＲＡＭの前記記憶領域へ前記患者情報を再書き込みすることを伴うことなく実行することにより、前記ＦｅＲＡＭの前記記憶領域から前記患者情報を消去する消去部と、を含むことを特徴とする病院用データ管理装置。
3. （１）複数の被介護者に関する秘匿性を確保されるべき複数の被介護者情報を記憶しているサーバ装置と、
   （２）（２ａ）前記サーバ装置から、前記複数の被介護者情報のうちの一の被介護者情報を受信する受信部と、
   （２ｂ）前記受信された一の被介護者情報を利用に供すべく、当該一の被介護者情報を一時的に記憶領域に記憶するＦｅＲＡＭと、
   （２ｃ）前記利用が終了した後に、前記ＦｅＲＡＭの記憶領域から前記一の被介護者情報を読み出すことを、当該読み出しの後に前記ＦｅＲＡＭの前記記憶領域へ前記一の被介護者情報を再書き込みすることを伴うことなく実行することにより、前記ＦｅＲＡＭの前記記憶領域から前記一の被介護者情報を消去する消去部と、を有する端末装置と、を含むことを特徴とする介護施設用データ管理システム。
4. 外部から、秘匿性を確保されるべき被介護者情報の入力を受ける入力部と、
   前記入力された被介護者情報を利用に供すべく、当該被介護者情報を一時的に記憶領域に記憶するＦｅＲＡＭと、
   前記利用が終了した後に、前記ＦｅＲＡＭの前記記憶領域から前記患者情報を読み出すことを、当該読み出しの後に前記ＦｅＲＡＭの前記記憶領域へ前記被介護者情報を再書き込みすることを伴うことなく実行することにより、前記ＦｅＲＡＭの前記記憶領域から前記患者情報を消去する消去部と、を含むことを特徴とする介護施設用データ管理装置。
5. （１）複数の運動者に関する秘匿性を確保されるべき複数の運動者情報を記憶しているサーバ装置と、
   （２）（２ａ）前記サーバ装置から、前記複数の運動者情報のうちの一の運動者情報を受信する受信部と、
   （２ｂ）前記受信された一の運動者情報を利用に供すべく、当該一の運動者情報を一時的に記憶領域に記憶するＦｅＲＡＭと、
   （２ｃ）前記利用が終了した後に、前記ＦｅＲＡＭの記憶領域から前記一の運動者情報を読み出すことを、当該読み出しの後に前記ＦｅＲＡＭの前記記憶領域へ前記一の運動者情報を再書き込みすることを伴うことなく実行することにより、前記ＦｅＲＡＭの前記記憶領域から前記一の患者情報を消去する消去部と、を有する端末装置と、を含むことを特徴とする運動施設用データ管理システム。
6. 外部から、秘匿性を確保されるべき運動者情報の入力を受ける入力部と、
   前記入力された運動者情報を利用に供すべく、当該運動者情報を一時的に記憶領域に記憶するＦｅＲＡＭと、
   前記利用が終了した後に、前記ＦｅＲＡＭの前記記憶領域から前記運動者情報を読み出すことを、当該読み出しの後に前記ＦｅＲＡＭの前記記憶領域へ前記運動者情報を再書き込みすることを伴うことなく実行することにより、前記ＦｅＲＡＭの前記記憶領域から前記運動者情報を消去する消去部と、を含むことを特徴とする運動施設用データ管理装置。

Images