知財求人 - 知財ポータルサイト「IP Force」
▶ バイオセンス・ウエブスター・（イスラエル）・リミテッドの特許一覧
(19)【発行国】日本国特許庁(JP)
(12)【公報種別】公開特許公報(A)
(11)【公開番号】P2022046450
(43)【公開日】2022-03-23
(54)【発明の名称】医療データを安全に記憶し取得する方法
(51)【国際特許分類】
H04L 9/10 20060101AFI20220315BHJP
G06F 21/60 20130101ALI20220315BHJP
G06F 21/62 20130101ALI20220315BHJP
G16H 10/00 20180101ALI20220315BHJP
【ＦＩ】
H04L9/10 A
G06F21/60 320
G06F21/62 354
G16H10/00
【審査請求】有
【請求項の数】15
【出願形態】ＯＬ
【外国語出願】
(21)【出願番号】P 2021146578
(22)【出願日】2021-09-09
(31)【優先権主張番号】20195563
(32)【優先日】2020-09-10
(33)【優先権主張国・地域又は機関】EP
【公序良俗違反の表示】
（特許庁注：以下のものは登録商標）
１．ＢＬＵ－ＲＡＹ ＤＩＳＣ
(71)【出願人】
【識別番号】511099630
【氏名又は名称】バイオセンス・ウエブスター・（イスラエル）・リミテッド
【氏名又は名称原語表記】Ｂｉｏｓｅｎｓｅ Ｗｅｂｓｔｅｒ （Ｉｓｒａｅｌ）， Ｌｔｄ．
(74)【代理人】
【識別番号】110002952
【氏名又は名称】特許業務法人鷲田国際特許事務所
(72)【発明者】
【氏名】プラサド スリクリシュナ
(72)【発明者】
【氏名】ケルム ミヒャエル
(72)【発明者】
【氏名】ローゼンバウム ウーテ
(72)【発明者】
【氏名】ノッテブロック ダニエル
(72)【発明者】
【氏名】ジェイ アンソニー
(72)【発明者】
【氏名】スジス マヌエル
(72)【発明者】
【氏名】ラジャマニ シュリヴィディヤ ティルネルライ
(72)【発明者】
【氏名】トヴ アマツィア
(72)【発明者】
【氏名】アミット マティヤフ
【テーマコード（参考）】
5L099
【Ｆターム（参考）】
5L099AA22
(57)【要約】 （修正有）
【課題】医療データ（ＭＤ）を安全に記憶する（及び／又は安全に取得する）ためのゲートウェイ及び方法を提供する。
【解決手段】システム１０００における記憶するための方法は、セキュア環境（ＳＥ）において、患者特性データＰＰＤ及び患者識別子データＰＩＤを含むＭＤを取得する。ＰＩＤは、ＰＰＤが対応する少なくとも１人の患者を示す。方法さらに、ＭＤ内のＰＩＤを非患者識別コード化識別子ＮＰＩＣＩで置き換えることにより、ＳＥ内で匿名化医療データ（ＤＩＭＤ）を生成し、ＮＰＩＣＩとＰＩＤとの間の対応を示す再識別データベースＲＩＤＢを生成し、ＳＥにおいて、少なくとも１つの対称及び／又は非対称暗号化方式をＲＩＤＢに適用することにより、暗号化再識別データベースｅＲＩＤＢを生成し、ｅＲＩＤＢ及びＤＩＭＤを、ＳＥの外部のクラウドストレージＣＳに記憶する。
【選択図】図２
【解決手段】システム１０００における記憶するための方法は、セキュア環境（ＳＥ）において、患者特性データＰＰＤ及び患者識別子データＰＩＤを含むＭＤを取得する。ＰＩＤは、ＰＰＤが対応する少なくとも１人の患者を示す。方法さらに、ＭＤ内のＰＩＤを非患者識別コード化識別子ＮＰＩＣＩで置き換えることにより、ＳＥ内で匿名化医療データ（ＤＩＭＤ）を生成し、ＮＰＩＣＩとＰＩＤとの間の対応を示す再識別データベースＲＩＤＢを生成し、ＳＥにおいて、少なくとも１つの対称及び／又は非対称暗号化方式をＲＩＤＢに適用することにより、暗号化再識別データベースｅＲＩＤＢを生成し、ｅＲＩＤＢ及びＤＩＭＤを、ＳＥの外部のクラウドストレージＣＳに記憶する。
【選択図】図２
【特許請求の範囲】
【請求項1】
医療データ（ＭＤ）を安全に記憶するためのコンピュータで実施される方法であって、
セキュア環境（ＳＥ）において、患者特性データ（ＰＰＤ）及び患者識別子データ（ＰＩＤ）を含む医療データ（ＭＤ）を取得するステップ（Ｓ１０、Ｓ２０、Ｓ３０）であって、前記患者識別子データ（ＰＩＤ）は、前記患者特性データ（ＰＰＤ）が対応する少なくとも１人の患者を示す、ステップと、
前記医療データ（ＭＤ）内の前記患者識別子データ（ＰＩＤ）を非患者識別コード化識別子（ＮＰＩＣＩ）で置き換えることによって、前記セキュア環境（ＳＥ）内で匿名化医療データ（ＤＩＭＤ）を生成するステップ（Ｓ４０）と、
前記セキュア環境（ＳＥ）において、前記非患者識別コード化識別子（ＮＰＩＣＩ）と前記患者識別子データ（ＰＩＤ）との間の対応を示す再識別データベース（ＲＩＤＢ）を生成するステップ（Ｓ５０）と、
前記セキュア環境（ＳＥ）において、少なくとも１つの対称及び／又は非対称暗号化方式を前記再識別データベース（ＲＩＤＢ）に適用することによって、暗号化再識別データベース（ｅＲＩＤＢ）を生成するステップ（Ｓ６０）と、
前記暗号化再識別データベース（ｅＲＩＤＢ）及び前記匿名化医療データ（ＤＩＭＤ）を、前記セキュア環境（ＳＥ）の外部のクラウドストレージ（ＣＳ）に記憶するステップ（Ｓ７０）と、
を含む、方法。
セキュア環境（ＳＥ）において、患者特性データ（ＰＰＤ）及び患者識別子データ（ＰＩＤ）を含む医療データ（ＭＤ）を取得するステップ（Ｓ１０、Ｓ２０、Ｓ３０）であって、前記患者識別子データ（ＰＩＤ）は、前記患者特性データ（ＰＰＤ）が対応する少なくとも１人の患者を示す、ステップと、
前記医療データ（ＭＤ）内の前記患者識別子データ（ＰＩＤ）を非患者識別コード化識別子（ＮＰＩＣＩ）で置き換えることによって、前記セキュア環境（ＳＥ）内で匿名化医療データ（ＤＩＭＤ）を生成するステップ（Ｓ４０）と、
前記セキュア環境（ＳＥ）において、前記非患者識別コード化識別子（ＮＰＩＣＩ）と前記患者識別子データ（ＰＩＤ）との間の対応を示す再識別データベース（ＲＩＤＢ）を生成するステップ（Ｓ５０）と、
前記セキュア環境（ＳＥ）において、少なくとも１つの対称及び／又は非対称暗号化方式を前記再識別データベース（ＲＩＤＢ）に適用することによって、暗号化再識別データベース（ｅＲＩＤＢ）を生成するステップ（Ｓ６０）と、
前記暗号化再識別データベース（ｅＲＩＤＢ）及び前記匿名化医療データ（ＤＩＭＤ）を、前記セキュア環境（ＳＥ）の外部のクラウドストレージ（ＣＳ）に記憶するステップ（Ｓ７０）と、
を含む、方法。
【請求項2】
少なくとも非対称暗号化方式が、前記暗号化再識別データベース（ｅＲＩＤＢ）を生成する（Ｓ６０）ときに適用され、前記非対称暗号化方式が、秘密鍵（ＰＲＫ）、及び公開鍵（ＰＵＫ）に基づいており、前記非対称暗号化方式の公開鍵（ＰＵＫ）が前記非対称暗号化に使用され、対応する復号のための秘密鍵（ＰＲＫ）が前記セキュア環境（ＳＥ）に残っている、請求項１に記載の方法。
【請求項3】
前記公開鍵（ＰＵＫ）、及び／又は前記秘密鍵（ＰＲＫ）は、それぞれ暗号化された状態、ｅＰＵＫ／ｅＰＲＫで前記セキュア環境のドメインに記憶され、前記対応する暗号化された状態、ｅＰＵＫ／ｅＰＲＫは、セキュア環境固有トークン（ＳＥＳＴ）を用いて、それぞれ、前記公開鍵（ＰＵＫ）、又は前記秘密鍵（ＰＲＫ）を暗号化した結果から生じる、請求項２に記載の方法。
【請求項4】
前記セキュア環境固有トークン（ＳＥＳＴ）は、
前記セキュア環境（ＳＥ）の識別子トークンと、
前記セキュア環境（ＳＥ）内の少なくとも１つの装置（１、１０、１００）の識別子トークンと、
前記セキュア環境（ＳＥ）内で使用される少なくとも１つのソフトウェアアプリケーションの識別子トークンと、
前記公開鍵（ＰＵＫ）を使用して暗号化されるデータのバージョン番号と、
のうちの少なくとも１つに基づいている、請求項３に記載の方法。
前記セキュア環境（ＳＥ）の識別子トークンと、
前記セキュア環境（ＳＥ）内の少なくとも１つの装置（１、１０、１００）の識別子トークンと、
前記セキュア環境（ＳＥ）内で使用される少なくとも１つのソフトウェアアプリケーションの識別子トークンと、
前記公開鍵（ＰＵＫ）を使用して暗号化されるデータのバージョン番号と、
のうちの少なくとも１つに基づいている、請求項３に記載の方法。
【請求項5】
前記暗号化再識別データベース（ｅＲＩＤＢ）は、前記セキュア環境（ＳＥ）内のデバイス（１）に追加的に記憶される、請求項１～４のいずれか１項に記載の方法。
【請求項6】
前記暗号化再識別データベース（ｅＲＩＤＢ）は、前記クラウドストレージ（ＣＳ）上に記憶された複数のチャンクから構成される、又はそれらから構成されるように処理されるように生成される（Ｓ６０）、請求項１～５のいずれか１項に記載の方法。
【請求項7】
前記再識別データベース（ＲＩＤＢ）の少なくとも２つの異なるバージョンに属するチャンクは、前記クラウドストレージ（ＣＳ）上に暗号化された状態で記憶され、
前記方法はどのチャンクがどのバージョンに属するかを示すが、一方、前記チャンクはそれらが属するバージョンに関する平文情報を含まないことが好ましいバージョン対応リスト（ＶＣＬ）を生成するステップも含む、請求項６に記載の方法。
前記方法はどのチャンクがどのバージョンに属するかを示すが、一方、前記チャンクはそれらが属するバージョンに関する平文情報を含まないことが好ましいバージョン対応リスト（ＶＣＬ）を生成するステップも含む、請求項６に記載の方法。
【請求項8】
前記バージョン対応リスト（ＶＣＬ）を暗号化して、暗号化バージョン対応リスト（ｅＶＣＬ）を取得するステップと、前記暗号化バージョン対応リスト（ｅＶＣＬ）を前記クラウドストレージ（ＣＳ）に記憶するステップとをさらに含む、請求項７に記載の方法。
【請求項9】
暗号化匿名化医療データ（ｅＤＩＭＤ）を生成するステップを含み、前記クラウドストレージ（ＣＳ）上に前記匿名化医療データ（ＤＩＭＤ）を記憶すること（Ｓ７０）は、前記クラウドストレージ（ＣＳ）上に前記暗号化匿名化医療データ（ｅＤＩＭＤ）を記憶することを含むか、又はそれからなる、請求項１～８のいずれか１項に記載の方法。
【請求項10】
前記クラウドストレージ（ＣＳ）から前記医療データ（ＭＤ）を取得するステップが、
前記クラウドストレージ（ＣＳ）からの前記匿名化医療データ（ＤＩＭＤ）を取得するステップ（Ｓ８０）と、
前記クラウドストレージ（ＣＳ）から前記暗号化再識別データベース（ｅＲＩＤＢ）を取得するステップ（Ｓ９０）と、
前記再識別データベース（ＲＩＤＢ）を取得するために、前記暗号化再識別データベース（ｅＲＩＤＢ）をセキュア環境（ＳＥ）での復号するステップ（Ｓ１００）と、
前記再識別データベース（ＲＩＤＢ）に基づいて、前記匿名化医療データ（ＤＩＭＤ）内の前記非患者識別コード化識別子（ＮＰＩＣＩ）を対応する患者識別子データ（ＰＩＤ）と置換又は関連付けることによって、前記匿名化医療データ（ＤＭＩＤ）から前記医療データ（ＭＤ）を再生成するステップ（Ｓ１１０）と、
を含む、請求項１～９のいずれか１項に記載の方法。
前記クラウドストレージ（ＣＳ）からの前記匿名化医療データ（ＤＩＭＤ）を取得するステップ（Ｓ８０）と、
前記クラウドストレージ（ＣＳ）から前記暗号化再識別データベース（ｅＲＩＤＢ）を取得するステップ（Ｓ９０）と、
前記再識別データベース（ＲＩＤＢ）を取得するために、前記暗号化再識別データベース（ｅＲＩＤＢ）をセキュア環境（ＳＥ）での復号するステップ（Ｓ１００）と、
前記再識別データベース（ＲＩＤＢ）に基づいて、前記匿名化医療データ（ＤＩＭＤ）内の前記非患者識別コード化識別子（ＮＰＩＣＩ）を対応する患者識別子データ（ＰＩＤ）と置換又は関連付けることによって、前記匿名化医療データ（ＤＭＩＤ）から前記医療データ（ＭＤ）を再生成するステップ（Ｓ１１０）と、
を含む、請求項１～９のいずれか１項に記載の方法。
【請求項11】
前記クラウドストレージ（ＣＳ）から前記セキュア環境（ＳＥ）の外部の処理エンティティ（３Ｐｏｕｔ）に前記匿名化医療データ（ＤＩＭＤ）を提供するステップ（Ｓ２００）を含む、請求項１～１０のいずれか１項に記載の方法。
【請求項12】
前記処理エンティティ（３Ｐｏｕｔ）による、前記匿名化医療データ（ＤＩＭＤ）に基づく人工知能エンティティの訓練（Ｓ２１０）を含む、請求項１１に記載の方法。
【請求項13】
セキュア環境（ＳＥ）において使用するためのゲートウェイ（１００）であって、
患者特性データ（ＰＰＤ）及び患者識別子データ（ＰＩＤ）を含む医療データ（ＭＤ）を取得する（Ｓ３０）ように構成された入力モジュール（１１０）であって、前記患者識別子データ（ＰＩＤ）は、前記患者特性データ（ＰＰＤ）が対応する少なくとも１人の患者を示す、入力モジュール（１１０）と、
前記医療データ（ＭＤ）内の前記患者識別子データ（ＰＩＤ）を、非患者識別コード化識別子（ＮＰＩＣＩ）で置き換えることによって、匿名化医療データ（ＤＩＭＤ）を生成する（Ｓ４０）ように構成された匿名化モジュール（１２０）と、
前記非患者識別コード化識別子（ＮＰＩＣＩ）と前記患者識別子データ（ＰＩＤ）との間の対応を示す再識別データベース（ＲＩＤＢ）を生成する（Ｓ５０）ように構成されたデータベース生成モジュール（１３０）と、
少なくとも１つの対称及び／又は非対称暗号化方式を前記再識別データベース（ＲＩＤＢ）に適用することによって、暗号化再識別データベース（ｅＲＩＤＢ）を生成する（Ｓ６０）ように構成された暗号化モジュール（１４０）と、
前記セキュア環境（ＳＥ）の外部のクラウドストレージ（ＣＳ）に記憶される前記暗号化再識別データベース（ｅＲＩＤＢ）及び前記匿名化医療データ（ＤＭＩＤ）を送信する（Ｓ７０）ように構成された通信モジュール（１５０）と、
を含む、ゲートウェイ（１００）。
患者特性データ（ＰＰＤ）及び患者識別子データ（ＰＩＤ）を含む医療データ（ＭＤ）を取得する（Ｓ３０）ように構成された入力モジュール（１１０）であって、前記患者識別子データ（ＰＩＤ）は、前記患者特性データ（ＰＰＤ）が対応する少なくとも１人の患者を示す、入力モジュール（１１０）と、
前記医療データ（ＭＤ）内の前記患者識別子データ（ＰＩＤ）を、非患者識別コード化識別子（ＮＰＩＣＩ）で置き換えることによって、匿名化医療データ（ＤＩＭＤ）を生成する（Ｓ４０）ように構成された匿名化モジュール（１２０）と、
前記非患者識別コード化識別子（ＮＰＩＣＩ）と前記患者識別子データ（ＰＩＤ）との間の対応を示す再識別データベース（ＲＩＤＢ）を生成する（Ｓ５０）ように構成されたデータベース生成モジュール（１３０）と、
少なくとも１つの対称及び／又は非対称暗号化方式を前記再識別データベース（ＲＩＤＢ）に適用することによって、暗号化再識別データベース（ｅＲＩＤＢ）を生成する（Ｓ６０）ように構成された暗号化モジュール（１４０）と、
前記セキュア環境（ＳＥ）の外部のクラウドストレージ（ＣＳ）に記憶される前記暗号化再識別データベース（ｅＲＩＤＢ）及び前記匿名化医療データ（ＤＭＩＤ）を送信する（Ｓ７０）ように構成された通信モジュール（１５０）と、
を含む、ゲートウェイ（１００）。
【請求項14】
実行時に、請求項１～１２のいずれか１項に記載の方法を実行するように構成された実行可能プログラム命令（２５０）を含む、コンピュータプログラム（２００）。
【請求項15】
実行時に、請求項１～１２のいずれか１項に記載の方法を実行するように構成された実行可能プログラム命令（３５０）を含む、非一時的コンピュータ可読データ記憶媒体（３００）。
【発明の詳細な説明】
【技術分野】
【0001】
本発明は、データを安全に記憶する方法、並びに対応するシステム、コンピュータプログラム、データ記憶媒体、及びデータストリームに関する。重要なアプリケーションの１つは、機密データのバックアップである。
【0002】
任意の種類のデータに適用可能であるが、本発明及び対応する内在する問題は、医療データに関連してさらに詳細に説明される。
【背景技術】
【0003】
ヘルスケア分野におけるデジタルデータの量の増加は、新たな可能性を開くが、特にデータプライバシー及びデータセキュリティに関して新たな課題を提起する。現在、この点に関する主要な法的規定は例えば、米国－米国健康保険の携行性と説明責任に関する法律（ＨＩＰＡＡ）又は欧州一般データ保護規則（ＧＤＰＲ）である。
【0004】
他方、病院又は研究機関などの医療領域のテナントが、特にクラウドアプリケーションに関して、データプッシュ／プルシステム又はサービスを提供することができることが望ましい。上述の考察は、たとえデータが病院ネットワーク内でアクセスされても、医療データが匿名化されるか、又は暗号化されるという効果を通常有する。これは、患者データを再識別することができず、従って、データセットを特定の患者に（再）関連付けることができないので、ワークフローの管理を妨げる。
【0005】
別の課題は、医療データを安全に記憶して、定期的なバックアップを行わなければならないことである。原則として、クラウドストレージソリューションは、バックアップアプリケーションに適しており、通常、テナント構内からリモートでホストされるため、テナント施設自身内でデータの削除や破損が発生する可能性がある同じインシデントの影響を受けにくい。同時に、バックアップについてもデータのプライバシーを維持する必要がある。ローカル・バックアップ、すなわちテナントの（おそらく安全である）環境でのバックアップが可能であるが、それらは元のデータ（例えば、洪水や火災のような自然災害）の影響を受けやすいだけでなく、ハードウェア及びメンテナンスにおける重大なコスト要因を表す。
【発明の概要】
【0006】
前述の通り、本発明の目的は、医療データを安全に記憶する方法、並びに対応するシステム、コンピュータプログラム、データ記憶媒体、及びデータストリームを提供することである。
【0007】
この目的は、少なくとも本発明の独立請求項による特徴によって解決される。さらなる有利な特徴及び実施形態は、従属請求項及び明細書に記載されている。
【0008】
本発明の第１の態様によれば、医療データ（ＭＤ）を安全に記憶するためのコンピュータ実装方法が提供され、この方法は、少なくとも以下のステップを含む：
セキュア環境（ＳＥ）において、患者特性データ（ＰＰＤ）及び患者識別子データ（ＰＩＤ）を含む医療データ（ＭＤ）を取得するステップであって、前記患者識別子データ（ＰＩＤ）は、前記患者特性データ（ＰＰＤ）が対応する少なくとも１人の患者を示す、ステップと、
前記医療データ（ＭＤ）内の前記患者識別子データ（ＰＩＤ）を前記非患者識別コード化識別子（ＮＰＩＣＩ）で置き換えることによって、前記セキュア環境（ＳＥ）内で匿名化医療データ（ＤＩＭＤ）を生成するステップと、
前記セキュア環境（ＳＥ）において、前記非患者識別コード化識別子（ＮＰＩＣＩ）と前記患者識別子データ（ＰＩＤ）との間の対応を示す再識別データベース（ＲＩＤＢ）を生成するステップと、
前記セキュア環境（ＳＥ）において、少なくとも１つの対称及び／又は非対称暗号化方式を前記再識別データベース（ＲＩＤＢ）に適用することによって、暗号化再識別データベース（ｅＲＩＤＢ）を生成するステップと、
前記暗号化再識別データベース（ｅＲＩＤＢ）及び前記匿名化医療データ（ＤＩＭＤ）を、前記セキュア環境（ＳＥ）の外部のクラウドストレージ（ＣＳ）に記憶するステップ。
セキュア環境（ＳＥ）において、患者特性データ（ＰＰＤ）及び患者識別子データ（ＰＩＤ）を含む医療データ（ＭＤ）を取得するステップであって、前記患者識別子データ（ＰＩＤ）は、前記患者特性データ（ＰＰＤ）が対応する少なくとも１人の患者を示す、ステップと、
前記医療データ（ＭＤ）内の前記患者識別子データ（ＰＩＤ）を前記非患者識別コード化識別子（ＮＰＩＣＩ）で置き換えることによって、前記セキュア環境（ＳＥ）内で匿名化医療データ（ＤＩＭＤ）を生成するステップと、
前記セキュア環境（ＳＥ）において、前記非患者識別コード化識別子（ＮＰＩＣＩ）と前記患者識別子データ（ＰＩＤ）との間の対応を示す再識別データベース（ＲＩＤＢ）を生成するステップと、
前記セキュア環境（ＳＥ）において、少なくとも１つの対称及び／又は非対称暗号化方式を前記再識別データベース（ＲＩＤＢ）に適用することによって、暗号化再識別データベース（ｅＲＩＤＢ）を生成するステップと、
前記暗号化再識別データベース（ｅＲＩＤＢ）及び前記匿名化医療データ（ＤＩＭＤ）を、前記セキュア環境（ＳＥ）の外部のクラウドストレージ（ＣＳ）に記憶するステップ。
【0009】
セキュア環境（ＳＥ）は、特に、病院の内部ネットワークのような特定のテナントに関連付けられたイントラネットであってもよい。セキュア環境（ＳＥ）は、また、セキュア環境内のデータ問合せに対して、患者特性データ（ＰＰＤ（Patient Property Data））が患者識別子データ（ＰＩＤ（Patient Identifier Data））と共に表示されることが許される（あるいはデフォルトでさえも）ように定義されてもよい。セキュア環境（ＳＥ）は、本文脈では、この環境がセキュアであることが定義されているため、トラステッド環境（ＴＥ）として指定される場合もある。本開示は、信頼できる環境を安全にするための方法に関するものではない。代わりに、全ての必要な予防策が取られたと仮定される。
【0010】
本文脈では、患者識別子データ（ＰＩＤ）が、患者の明確な名前、患者の誕生日又は年齢、患者の性別、患者の社会保障番号、患者の医療提供者ＩＤ、患者のパスポート番号などを含むデータなどの特定の患者を識別することを可能にするデータである。
【0011】
一方、患者特性データ（ＰＰＤ）は、本文脈では患者自身のアイデンティティを示す（又は推論することを可能にする）ことなく、患者の特定の特性、特に医学的詳細に関連するデータであると理解されるべきである。従って、患者特性データ（ＰＰＤ）は、一人又は複数の患者の血液検査結果、以前の診断、病歴、現在知られている医学的症状及び／又は状態、健康保険データ、患者に関係する医学画像（例えば、Ｘ線画像、コンピュータ断層撮影画像又は磁気共鳴画像）及び／又は類似物などの項目を含むことができる。患者特性データ、（ＰＰＤ）はまた、患者医療記録（ＰＭＲ（Patient Medical Records））として参照されてもよい。
【0012】
医療データは、好ましくは複数の患者についての患者特性データ（ＰＰＤ）を含み、それぞれの患者特性データ（ＰＰＤ）が属する患者は、医療データの患者識別子データ（ＰＩＤ）によって識別される。
【0013】
従って、患者識別子データ（ＰＩＤ）を非患者識別コード化識別子（ＮＰＩＣＩ）に置き換えることは、有利には匿名化医療データ（ＤＩＭＤ）を、研究、診断目的、人工知能エンティティの訓練、統計などのために、個々の患者特性データ（ＰＰＤ）がどの患者特性データに属するかについてのいかなる情報も伴わずに使用することができることを意味する。言い換えれば、患者の身元は保護され、一方、患者のデータは、研究などのために、又はセキュア環境（ＳＥ）の外部での処理のために、安全に使用され得る。
【0014】
他方、再識別データベース（ＲＩＤＢ）、及びそれぞれの患者識別子データ（ＰＩＤ）、及び非患者識別コード化識別子（ＮＰＩＣＩ）の間の１対１対応の存在は適切なクリアランスを有する人（例えば、医師、病院管理者など）が匿名化医療データ（ＤＩＭＤ）を容易に再識別することができる、すなわち、患者特性データ（ＰＰＤ）を、各対応する患者識別子データ（ＰＩＤ）、又は言い換えれば、各患者と再関連付けることができることを保証する。
【0015】
このようにして、有利には医療データ（ＭＤ）のフルバックアップがクラウドストレージ（ＣＳ）内に、匿名化医療データ（ＤＩＭＤ）と、暗号化再識別データベース（ｅＲＩＤＢ）とが存在することによって提供されるが、これはこれらの２つの部分が一緒になって（暗号化再識別データベース（ｅＲＩＤＢ）を解読するためのクリアランスが与えられると）、医療データ（ＭＤ）全体を復元することができるからである。
【0016】
匿名化医療データ（ＤＩＭＤ：De-Identified Medical Data）は、そのままクラウドストレージ（ＣＳ）に記憶されてもよいし、暗号化された状態で暗号化匿名化医療データ（ｅＤＩＭＤ：encrypted De-Identified Medical Data）として記憶されてもよい。後者の場合、暗号化再識別データベース（ｅＲＩＤＢ：encrypted Re-Identifying DataBase）と同じ暗号化タイプ及び／又は１つ又は複数の暗号鍵が使用されてもよく、又は異なる暗号化タイプ及び／又は１つ又は複数の暗号鍵が使用されてもよい。
【0017】
他方、匿名化のために、匿名化医療データ（ＤＩＭＤ）は、例えば人工知能エンティティ（例えば、機械学習、人工ニューラルネットワーク等）の訓練のために、又は特定の患者コホート（cohort）の特性に関する統計のために、さらなる処理のために第三者に提供され得るように、暗号化されていない状態（ｐＤＩＭＤとして指定される平文）でクラウドストレージ（ＣＳ）に記憶されてもよい。もちろん、クラウドストレージ自体へのアクセスは、通常、パスワードなどによって制限され、その結果、許可されたユーザのみが、例えば、支払い後に、スマートコントラクトなどに関連して、匿名化医療データ（ＤＩＭＤ）を受信することができる。
【0018】
ただし、再識別データベース（ＲＩＤＢ）は、クラウドストレージ（ＣＳ）上で暗号化された状態（ｅＲＩＤＢ）でのみ記憶される。その理由は、セキュア環境（ＳＥ）の外部にあるエンティティが匿名化医療データ（ＤＩＭＤ）と再識別データベース（ＲＩＤＢ）の両方を所有していないと想定されることであり、これは完全な医療データ（ＭＤ）を所有しているか、又は完全な医療データ（ＭＤ）にアクセスすることになるからである。
【0019】
有利なことに、本方法は、セキュア環境（ＳＥ）内で再識別データベース（ＲＩＤＢ）が利用可能であるので、許可された職員、許可されたアプリケーション／ソフトウェアなどが、患者識別子データ（ＰＩＤ）を含む医療データ（ＭＤ）にアクセスすることを可能にする。これにより、セキュア環境（ＳＥ）に対応する病院敷地内の患者の診断、治療、モニタリング等が大幅に容易になる。
【0020】
いくつかの有利な実施形態、改良、又は実施形態の変形では、少なくとも非対称暗号化方法が、暗号化再識別データベース（ｅＲＩＤＢ）を生成するときに適用され、非対称暗号化方法は、秘密鍵、ＰＲＫ、及び公開鍵（ＰＵＫ）に基づいており、非対称暗号化方法の公開鍵（ＰＵＫ）が非対称暗号化に使用され、対応する復号のための秘密鍵（ＰＲＫ）がセキュア環境（ＳＥ）に残る。さまざまなタイプの暗号化を適用すると、権限のないエンティティによる暗号解読の試みの難しさが増す。好ましくは、暗号化再識別データベース（ｅＲＩＤＢ）を生成する際に、少なくとも１つの対称暗号方式と少なくとも１つの非対称暗号方式の両方が適用される。
【0021】
いくつかの有利な実施形態では、実施形態の改良又は変形では、公開鍵（ＰＵＫ）及び／又は秘密鍵（ＰＲＫ）が、それぞれの暗号化状態ｅＰＵＫ／ｅＰＲＫでセキュア環境ＳＥのドメインに記憶される。セキュア環境（ＳＥ）のドメイン内の記憶は、セキュア環境（ＳＥ）自体内の、例えば、セキュア環境（ＳＥ）を実施する病院の構内の記憶を意味すると理解することができる。
【0022】
セキュア環境（ＳＥ）のドメインにおける記憶はまた、病院管理者又は医師などのセキュア環境（ＳＥ）内のクリアランスを有する人物が暗号化された公開鍵及び／又は暗号化された秘密鍵ｅＰＵＫ／ｅＰＲＫの保管を有することを意味すると理解されてもよい（例えば、暗号化された公開鍵及び／又は暗号化された秘密鍵ｅＰＵＫ／ｅＰＲＫを記憶する記憶媒体の保管を有することによって）。対応する暗号化状態ｅＰＵＫ／ｅＰＲＫは、セキュア環境固有トークン（ＳＥＳＴ：Secure-Environment-Specific Token）を使用して、公開鍵（ＰＵＫ）、又は秘密鍵（ＰＲＫ）をそれぞれ暗号化することによって有利に生じる可能性がある。このようにして、鍵はセキュア環境（ＳＥ）内での不正な使用からも保護され、従って、セキュア環境（ＳＥ）に対応する施設、又はセキュア環境（ＳＥ）を実装する施設への物理的なアクセスを得ることによって、鍵へのアクセスを得る試みからも保護される。
【0023】
いくつかの有利な実施形態、改良、又は実施形態の変形では、セキュア環境固有トークン（ＳＥＳＴ）が以下のうちの少なくとも１つに基づく：
・セキュア環境（ＳＥ）の識別子トークン（シリアル番号など）、
・セキュア環境（ＳＥ）内の少なくとも１つの装置(例えば、ゲートウェイ、医療画像スキャナなどの医療データソース）の識別子トークン、
・セキュア環境（ＳＥ）内で使用される少なくとも１つのソフトウェアアプリケーションの識別子トークン(分析プログラムなど）、
・管理者が所有するドングルのＲＦＩＤコード、
及び／又は、
・公開鍵（ＰＵＫ）を使用して暗号化されるデータのバージョン番号。
・セキュア環境（ＳＥ）の識別子トークン（シリアル番号など）、
・セキュア環境（ＳＥ）内の少なくとも１つの装置(例えば、ゲートウェイ、医療画像スキャナなどの医療データソース）の識別子トークン、
・セキュア環境（ＳＥ）内で使用される少なくとも１つのソフトウェアアプリケーションの識別子トークン(分析プログラムなど）、
・管理者が所有するドングルのＲＦＩＤコード、
及び／又は、
・公開鍵（ＰＵＫ）を使用して暗号化されるデータのバージョン番号。
【0024】
いくつかの有利な実施形態、改良、又は実施形態の変形では、暗号化再識別データベース（ｅＲＩＤＢ）（及び／又はバックアップされる他のデータ、例えば、匿名化医療データ（ＤＩＭＤ））は、セキュア環境（ＳＥ）内の装置、例えば、ゲートウェイ、ＰＡＣＳ、医療撮像装置、及び／又は同様のものにさらに記憶される。これにより、冗長性が追加され、レイテンシーが削減される。さらに、クラウドストレージ上で追加の非一時的なメモリを占有する代わりに、セキュア環境内で現在使用されていない非一時的なメモリを使用することもできる。セキュア環境（ＳＥ）内の装置内でバックアップされたファイルの取得は、クラウドストレージ（ＣＳ）からの取得に関して記述されたものと類似して実行されてもよい。
【0025】
セキュア環境（ＳＥ）のデバイスへの記憶は、ＤＩＣＯＭフォーマットで、すなわち、１つ又は複数のＤＩＣＯＭファイルとして記憶されるデータをカプセル化することによって実行され得る。ＤＩＣＯＭが本明細書で言及されるときはいつでも、これは、例えば、現在のＤＩＣＯＭ ＰＳ３．１ ２０２０ｃ規格（又は前記規格のいずれかの後のバージョン又は以前のバージョン）による「医療におけるデジタル画像化及び通信（Digital Imaging and Communications in Medicine）」（ＤＩＣＯＭ）規格を指すことを理解されたい。
【0026】
いくつかの有利な実施形態、改良、又は実施形態の変形では、暗号化再識別データベース（ｅＲＩＤＢ）がクラウドストレージ（ＣＳ）上に記憶される複数のチャンク（すなわち、個々のデータコンテナ又はフラグメント）から構成されるものとして生成されるか、又は複数のチャンクから構成されるように処理される。クラウドストレージ（ＣＳ）上に（又はクラウドストレージ（ＣＳ）に）個別のチャンクを記憶（又はアップロード）すると、比較的大きな単一ファイルデータベースをアップロードするよりもエラーが発生しにくくなる。さらに、以下で説明するように、クラウドストレージ（ＣＳ）上に多数のチャンクが存在することは、不正アクセスの試みに対する追加のセキュリティを提供する。本文脈において、各チャンクは暗号化再識別データベース（ｅＲＩＤＢ）の複数の部分のうちの１つと理解されてもよく、又は平文再識別データベース（ｐＲＩＤＢ）の複数の部分のうちの１つであってもよく、ここで、前記部分（すなわち、チャンク）は次いで、個別に暗号化されて、暗号化再識別データベース（ｅＲＩＤＢ）を共に形成する。
【0027】
具体的には、いくつかの有利な実施形態では、再識別データベース（ＲＩＤＢ）の少なくとも２つの異なるバージョンに属するチャンクを、クラウドストレージ（ＣＳ）上に暗号化状態で記憶することができる。従って、再識別データベース（ＲＩＤＢ）の履歴も、バックアップすることができる。
【0028】
好ましくは、チャンクが、それらが属するバージョンに関するいかなる平文情報も含まない。しかしながら、それらは、各チャンクを一意に識別するために使用されるハッシュ値のような符号化識別子でラベル付けされてもよい。例えば、ハッシュ値は、セキュアハッシュアルゴリズム、例えば、ＳＨＡ－１、ＳＨＡ－２、ＳＨＡ－３及び／又は同種のものを使用して生成された、各チャンクのハッシュ（及び、任意選択で、そのバージョン番号）であってもよい。コード化された識別子は、例えば、クラウドストレージ（ＣＳ）に記憶されるときのチャンクの名前として使用することができる。
【0029】
この変形例の方法は、有利にはどのチャンクがどのバージョンに属するかを（少なくとも）示すバージョン対応リスト（ＶＣＬ：Version Correspondence List）を生成するステップも含む。バージョン対応リスト（ＶＣＬ）は、この末尾に、一方の側の各チャンクの符号化識別子と、他方の側のチャンクのバージョン番号（及び任意選択で追加の詳細）との対応（好ましくは、１対１の対応）を示してもよい。従って、効率的な復号のために、バージョン対応リストは、クラウドストレージ（ＣＳ）上の同一オブジェクト（例えば、暗号化再識別データベース（ｅＲＩＤＢ））のバージョン数が増加するにつれて、ますます重要になる。このことは、無許可の攻撃者に対する課題も増大することを意味する。
【0030】
いくつかの有利な実施形態、改良、又は実施形態の変形では、方法が、暗号化バージョン対応リスト（ｅＶＣＬ）を取得するために、バージョン対応リスト（ＶＣＬ）を暗号化するステップをさらに含む。暗号化再識別データベース（ｅＲＩＤＢ）の復号は、バージョン対応リスト（ＶＣＬ）がなくては非常に困難であるため、再識別データベース（ＲＩＤＢ）を効率的にバックアップし、従って、バージョン対応リスト（ＶＣＬ）もまた暗号化によって保護され、好ましくは同様にバックアップされるべきであることを意味する。
【0031】
例えば、暗号化バージョン対応リスト（ｅＶＣＬ：encrypted Version Correspondence List）は、クラウドストレージ（ＣＳ）中にも記憶することができる。バージョン対応リスト（ＶＣＬ）に使用される暗号化は、再識別データベース（ＲＩＤＢ）の暗号化と同じ暗号化プロトコル及び／又は暗号鍵を使用してもよく、又は異なるプロトコル及び／又は鍵を使用してもよい。
【0032】
いくつかの有利な実施形態、改良、又は実施形態の変形では、暗号化匿名化医療データ（ｅＤＩＭＤ）を生成するステップを方法が含む。匿名化医療データ（ＤＩＭＤ）をクラウドストレージ（ＣＳ）に記憶するステップは、暗号化匿名化医療データ（ｅＤＩＭＤ）をクラウドストレージＣＳに記憶するステップを含むか、又はそれから構成されてもよい。追加案、又は代替案として、クラウドストレージ（ＣＳ）上に匿名化医療データ（ＤＩＭＤ）を記憶することは、クラウドストレージ（ＣＳ）上に平文匿名化医療データ（ｐＤＩＭＤ）を記憶することを含んでもよく、又はそれから構成されてもよい。
【0033】
平文匿名化医療データ（ｐＤＩＭＤ）は、いずれの患者識別子データ（ＰＩＤ）も含まないので、多くのデータ保護規則システムによれば、クラウドストレージ（ＣＳ）上の暗号化されていない、すなわち平文状態でそれらを記憶することが可能である。これは、セキュア環境外の第三者又はエンティティが平文の匿名化医療データ（ｐＤＩＭＤ）へのアクセスを許可され、それらをさらに処理することができるという追加の利点を有する。例えば、平文匿名化医療データ（ｐＤＩＭＤ）は、人工ニューラルネットワークなどの人工知能エンティティを訓練するために、又は別の機械学習アプリケーションのために、使用することができる。
【0034】
いくつかの有利な実施形態、改良、又は実施形態の変形では、医療データを安全に記憶し、安全に取り出すための方法として、この方法が指定されてもよい。この方法は、以下のステップを含んでもよい：
・クラウドストレージ（ＣＳ）から、匿名化医療データ（ＤＩＭＤ）を取得する（例えば、ダウンロードする）ステップと、
・クラウドストレージ（ＣＳ）から暗号化再識別データベース（ｅＲＩＤＢ）を取得する（例：ダウンロードする）ステップと、
・セキュア環境（ＳＥ）において、平文再識別データベース（ｐＲＩＤＢ）を得るために暗号化再識別データベース（ｅＲＩＤＢ）の復号するステップと、
・再識別データベース（ＲＩＤＢ）に基づいて、匿名化医療データ（ＤＩＭＤ）内の非患者識別コード化識別子（ＮＰＩＣＩ）を、対応する患者識別子データ（ＰＩＤ）と置換又は関連付けることによって、匿名化医療データ（ＤＭＩＤ）から医療データ（ＭＤ）を再生成するステップ。これらのステップは（方法の他のステップのいずれかと同様に）、セキュア環境のゲートウェイによって有利に実行されてもよい。
・クラウドストレージ（ＣＳ）から、匿名化医療データ（ＤＩＭＤ）を取得する（例えば、ダウンロードする）ステップと、
・クラウドストレージ（ＣＳ）から暗号化再識別データベース（ｅＲＩＤＢ）を取得する（例：ダウンロードする）ステップと、
・セキュア環境（ＳＥ）において、平文再識別データベース（ｐＲＩＤＢ）を得るために暗号化再識別データベース（ｅＲＩＤＢ）の復号するステップと、
・再識別データベース（ＲＩＤＢ）に基づいて、匿名化医療データ（ＤＩＭＤ）内の非患者識別コード化識別子（ＮＰＩＣＩ）を、対応する患者識別子データ（ＰＩＤ）と置換又は関連付けることによって、匿名化医療データ（ＤＭＩＤ）から医療データ（ＭＤ）を再生成するステップ。これらのステップは（方法の他のステップのいずれかと同様に）、セキュア環境のゲートウェイによって有利に実行されてもよい。
【0035】
いくつかの有利な実施形態、改良、又は実施形態の変形では、方法がクラウドストレージ（ＣＳ）からの匿名化医療データ（ＤＩＭＤ）を、セキュア環境（ＳＥ）の外部の処理エンティティに提供するか、又は利用可能にするステップをさらに含む。例えば、この方法は、処理エンティティによって、匿名化医療データ（ＤＩＭＤ）に基づいて人工知能エンティティを訓練するステップをさらに含むことができる。
【0036】
第２の態様によれば、本発明は、セキュア環境で使用するためのゲートウェイも提供する。具体的には、ゲートウェイが以下を含むことができる：
患者特性データ（ＰＰＤ）及び患者識別子データ（ＰＩＤ）を含む医療データ（ＭＤ）を取得するように構成された入力モジュールであって、前記患者識別子データ（ＰＩＤ）は、前記患者特性データ（ＰＰＤ）が対応する少なくとも１人の患者を示す、入力モジュールと、
前記医療データ（ＭＤ）内の患者識別子データ（ＰＩＤ）を、非患者識別コード化識別子（ＮＰＩＣＩ）で置き換えることによって、匿名化医療データ（ＤＩＭＤ）を生成するように構成された匿名化モジュールと、
前記非患者識別コード化識別子（ＮＰＩＣＩ）と前記患者識別子データ（ＰＩＤ）との間の対応を示す再識別データベース（ＲＩＤＢ）を生成するように構成されたデータベース生成モジュールと、
少なくとも１つの対称及び／又は非対称暗号化方式を前記再識別データベース（ＲＩＤＢ）に適用することによって、暗号化再識別データベース（ｅＲＩＤＢ）を生成するように構成された暗号化モジュールと、
前記セキュア環境（ＳＥ）の外部のクラウドストレージ（ＣＳ）に記憶される前記暗号化再識別データベース（ｅＲＩＤＢ）及び前記匿名化医療データ（ＤＭＩＤ）を送信するように構成された通信モジュール。
患者特性データ（ＰＰＤ）及び患者識別子データ（ＰＩＤ）を含む医療データ（ＭＤ）を取得するように構成された入力モジュールであって、前記患者識別子データ（ＰＩＤ）は、前記患者特性データ（ＰＰＤ）が対応する少なくとも１人の患者を示す、入力モジュールと、
前記医療データ（ＭＤ）内の患者識別子データ（ＰＩＤ）を、非患者識別コード化識別子（ＮＰＩＣＩ）で置き換えることによって、匿名化医療データ（ＤＩＭＤ）を生成するように構成された匿名化モジュールと、
前記非患者識別コード化識別子（ＮＰＩＣＩ）と前記患者識別子データ（ＰＩＤ）との間の対応を示す再識別データベース（ＲＩＤＢ）を生成するように構成されたデータベース生成モジュールと、
少なくとも１つの対称及び／又は非対称暗号化方式を前記再識別データベース（ＲＩＤＢ）に適用することによって、暗号化再識別データベース（ｅＲＩＤＢ）を生成するように構成された暗号化モジュールと、
前記セキュア環境（ＳＥ）の外部のクラウドストレージ（ＣＳ）に記憶される前記暗号化再識別データベース（ｅＲＩＤＢ）及び前記匿名化医療データ（ＤＭＩＤ）を送信するように構成された通信モジュール。
【0037】
任意のモジュールが本明細書で言及されるときはいつでも、これは、ハードウェア及び／又はソフトウェアとして実現されるモジュールを指してもよいことを理解されたい。モジュールは、理解を容易にする方法として言及され、記述されており、全てのモジュールの全ての機能は、コンピュータプログラム命令（又はコンピュータコード）の１つの同一体によって実現され得ることは明らかであろう。さらに、本開示から逸脱することなく、任意の又はすべてのモジュールの機能が重複してもよく、いくつかのモジュールが他のモジュールに統合されてもよい。任意の又はすべてのモジュールは、マイクロプロセッサ、ＣＰＵ（「中央処理装置」の頭字語）、ＧＰＵ（「グラフィカル処理装置」の頭字語）、フィールドプログラマブルゲートアレイ（「ＦＰＧＡ」の頭字語）、又はＡＳＩＣ（「特定用途向け集積回路」の頭字語）のうちの少なくとも１つを含むか、又はそれらで構成されてもよい。
【0038】
本発明の第２の態様の実施形態によれば、ゲートウェイは特に、本発明の第１の態様の任意の実施形態による方法を実行するように構成することができる。従って、ゲートウェイは、第１の態様による方法について本明細書で説明される任意の有利な変形形態、改良形態、又は実施形態に修正又は適合されてもよい。
【0039】
本発明の第３の態様によれば、本発明の第２の態様の実施形態によるゲートウェイと、互いに動作可能にリンク又はリンク可能なクラウドストレージ（ＣＳ）とを含むシステムが提供され、その結果、ゲートウェイは、データ、好ましくは、クラウドストレージ（ＣＳ）に記憶され、任意選択で記憶されたデータをクラウドストレージ（ＣＳ）から再び取り出すことができる暗号化再識別データベース（ｅＲＩＤＢ）、暗号化バージョン対応リスト（ｅＶＣＬ）などの暗号化データを記憶してもよい。従って、システムの１つの機能は、ゲートウェイ内で又はゲートウェイによって取得された医療データのためのクラウドベースのバックアップを提供することである。システムは、特に、本発明の第１の態様の任意の実施形態による方法を実行するように構成することができる。
【0040】
第４の態様によれば、本発明はまた、医療データを安全に取得するための方法を提供する。この方法は、以下のステップを含んでもよい：
・クラウドストレージ（ＣＳ）から、匿名化医療データ（ＤＩＭＤ）を取り出す（例えば、ダウンロードする）ステップであって、匿名化医療データ（ＤＩＭＤ）は、患者特性データ（ＰＰＤ）、並びに非患者識別コード化識別子（ＮＰＩＣＩ）を含む、ステップと、
・クラウドストレージ（ＣＳ）から暗号化再識別データベース（ｅＲＩＤＢ）を取得する（例：ダウンロードする）ステップと、
・患者特性データ（ＰＰＤ）が対応する少なくとも１人の患者を示す非患者識別コード化識別子（ＮＰＩＣＩ）と患者識別子データ（ＰＩＤ）との間の対応関係（好ましくは１対１の対応関係）を示す平文再識別データベース（ｐＲＩＤＢ）を得るために、セキュア環境（ＳＥ）において、暗号化再識別データベース（ｅＲＩＤＢ）を復号するステップと、
・（平文）再識別データベースＲＩＤＢに基づいて、匿名化医療データ（ＤＩＭＤ）内の非患者識別コード化識別子（ＮＰＩＣＩ）を、対応する患者識別子データ（ＰＩＤ）に置換又は関連付けることによって、匿名化医療データ（ＤＭＩＤ）から（平文）医療データ（ＭＤ）を再生成する。
・クラウドストレージ（ＣＳ）から、匿名化医療データ（ＤＩＭＤ）を取り出す（例えば、ダウンロードする）ステップであって、匿名化医療データ（ＤＩＭＤ）は、患者特性データ（ＰＰＤ）、並びに非患者識別コード化識別子（ＮＰＩＣＩ）を含む、ステップと、
・クラウドストレージ（ＣＳ）から暗号化再識別データベース（ｅＲＩＤＢ）を取得する（例：ダウンロードする）ステップと、
・患者特性データ（ＰＰＤ）が対応する少なくとも１人の患者を示す非患者識別コード化識別子（ＮＰＩＣＩ）と患者識別子データ（ＰＩＤ）との間の対応関係（好ましくは１対１の対応関係）を示す平文再識別データベース（ｐＲＩＤＢ）を得るために、セキュア環境（ＳＥ）において、暗号化再識別データベース（ｅＲＩＤＢ）を復号するステップと、
・（平文）再識別データベースＲＩＤＢに基づいて、匿名化医療データ（ＤＩＭＤ）内の非患者識別コード化識別子（ＮＰＩＣＩ）を、対応する患者識別子データ（ＰＩＤ）に置換又は関連付けることによって、匿名化医療データ（ＤＭＩＤ）から（平文）医療データ（ＭＤ）を再生成する。
【0041】
この方法は、第１の態様の実施形態による方法として、別のエンティティによって実行されてもよい。例えば、病院が新しい支店病院を開設し、病院に記憶された医療データが新しい支店病院にコピーされる場合、元の病院は第１の態様の実施形態による方法を使用して医療データを安全にアップロード（記憶）することができ、新しい支店病院は、第４の態様の実施形態による方法を使用して、医療データを安全にダウンロード（取得）することができる。
【0042】
これらのステップは（方法の他のステップのいずれかと同様に）、セキュア環境のゲートウェイによって有利に実行されてもよい。
【0043】
第５の態様によれば、本発明は、また、本発明の第４の態様の任意の実施形態による方法を実行するように構成されたゲートウェイ、具体的には、セキュア環境で使用するためのゲートウェイを提供し、このゲートウェイは以下のものを含む：
・クラウドストレージ（ＣＳ）から、匿名化医療データ（ＤＩＭＤ）を取得し（例えば、ダウンロードし）、匿名化医療データ（ＤＩＭＤ）は、患者特性データ（ＰＰＤ）並びに非患者識別コード化識別子（ＮＰＩＣＩ）を含み、
・クラウドストレージ（ＣＳ）から暗号化再識別データベース（ｅＲＩＤＢ）を取得（ダウンロードなど）する、
ように構成された通信モジュールと、
・少なくとも暗号化再識別データベース（ｅＲＩＤＢ）を復号するように構成された復号モジュールと、
・（平文）再識別データベース（ＲＩＤＢ）に基づいて、匿名化医療データ（ＤＩＭＤ）内の非患者識別コード化識別子（ＮＰＩＣＩ）を対応する患者識別子データ（ＰＩＤ）と置換又は関連付けることによって、匿名化医療データ（ＤＭＩＤ）から（平文）医療データ（ＭＤ）を再生成するように構成された再識別モジュール。
・クラウドストレージ（ＣＳ）から、匿名化医療データ（ＤＩＭＤ）を取得し（例えば、ダウンロードし）、匿名化医療データ（ＤＩＭＤ）は、患者特性データ（ＰＰＤ）並びに非患者識別コード化識別子（ＮＰＩＣＩ）を含み、
・クラウドストレージ（ＣＳ）から暗号化再識別データベース（ｅＲＩＤＢ）を取得（ダウンロードなど）する、
ように構成された通信モジュールと、
・少なくとも暗号化再識別データベース（ｅＲＩＤＢ）を復号するように構成された復号モジュールと、
・（平文）再識別データベース（ＲＩＤＢ）に基づいて、匿名化医療データ（ＤＩＭＤ）内の非患者識別コード化識別子（ＮＰＩＣＩ）を対応する患者識別子データ（ＰＩＤ）と置換又は関連付けることによって、匿名化医療データ（ＤＭＩＤ）から（平文）医療データ（ＭＤ）を再生成するように構成された再識別モジュール。
【0044】
本発明の第６の態様によれば、本発明の第５の態様の実施形態によるゲートウェイと、互いに動作可能にリンク又はリンク可能なクラウドストレージ（ＣＳ）とを含むシステムが提供され、その結果、ゲートウェイは、データ、好ましくは暗号化再識別データベース（ｅＲＩＤＢ）、暗号化バージョン対応リスト（ｅＶＣＬ）などの暗号化データをクラウドストレージ（ＣＳ）から取り出すことができる。従って、システムの１つの機能は、クラウドベースのバックアップを使用することである。システムは特に、本発明の第４の態様の任意の実施形態による方法を実行するように構成することができる。
【0045】
第７の態様によれば、本発明は、実行されると、第１の態様の任意の実施形態による方法及び／又は第４の態様の任意の実施形態による方法を実行するように構成された実行可能プログラム命令を含むコンピュータプログラム製品を提供する。
【0046】
第８の態様によれば、本発明は実行されると、第１の態様の任意の実施形態による方法及び／又は第４の態様の任意の実施形態による方法を実行するように構成された実行可能プログラム命令を含む非一時的コンピュータ可読データ記憶媒体を提供する。
【0047】
非一時的なコンピュータ可読データ記憶媒体は、任意のタイプのコンピュータメモリ、特にソリッドステートメモリなどの半導体メモリを備えるか、又はそれから構成することができる。データ記憶媒体はまた、ＣＤ、ＤＶＤ、Ｂｌｕ－Ｒａｙ－Ｄｉｓｃ、ＵＳＢメモリスティック、メモリカード（例えば、ＳＤカード）等を備えるか、又はそれらから構成される。
【0048】
第９の態様によれば、本発明は実行されたときに、第１の態様の任意の実施形態による方法及び／又は第４の態様の任意の実施形態による方法を実行するように構成された実行可能プログラム命令を表す、又は生成するように構成されたデータストリームを提供する。
【0049】
本発明のさらなる有利な変形、改良、実施形態、及び態様は、図面を参照して以下の説明に関連してより明らかになるであろう。
【0050】
本発明は、添付の図面に示される例示的な実施形態を参照して、さらに詳細に説明される。
【0051】
添付の図面は、本発明のさらなる理解を提供するために含まれ、本明細書に組み込まれ、その一部を構成する。図面は、本発明の実施形態を示し、説明と共に、本発明の原理を示すのに役立つ。本発明の他の実施形態及び本発明の意図される利点の多くは、以下の詳細な説明を参照することによってより良く理解されるようになるにつれて、容易に認識されるであろう。同様の参照番号は、対応する同様の部品を示す。
【0052】
方法ステップの番号付けは、理解を容易にすることを意図しており、特に明記しない限り、又は黙示的に明確でない限り、指定されたステップがそれらの参照符号の番号付けに従って実行されなければならないことを意味すると解釈されるべきではない。特に、方法ステップのいくつか、又はすべてであっても、同時に、重複して又は連続して実行されてもよい。
【図面の簡単な説明】
【0053】
【図1】本発明の第１の態様による方法を示す概略流れ図である。
【図4】第７の態様の一実施形態によるコンピュータプログラム製品を示す概略ブロック図である。
【図5】第８の態様の一実施形態によるデータ記憶媒体を示す概略ブロック図である。
【0054】
本明細書では特定の実施形態を図示し、説明したが、本発明の範囲から逸脱することなく、様々な代替及び／又は均等の実施形態を、図示し、説明した特定の実施形態に置き換えることができることは、当業者には理解されよう。一般に、本出願は、本明細書で論じられる特定の実施形態の任意の適合又は変形を包含することが意図される。
【発明を実施するための形態】
【0055】
図１は、本発明の第１の態様による方法、すなわち医療データ（ＭＤ）を安全に記憶するためのコンピュータ実装方法を説明する概略流れ図を示す。本方法のステップをより容易に理解するために、以下の図２及び図３も参照される。
【0056】
図２は、本発明の第３の態様によるシステム１０００、本発明の第２の態様によるゲートウェイ１００、及び図１による方法をさらに説明する概略ブロック図を示す。さらに、図２は、本発明の第４の態様の実施形態による方法、本発明の第５の態様の実施形態によるゲートウェイ１００、及び本発明の第６の態様の実施形態によるシステム１０００を説明する役割を果たす。
【0057】
図３は、図１の方法による、クラウドストレージ（ＣＳ）上に／クラウドストレージ（ＣＳ）からバックアップされた医療データを安全に記憶する（及び任意選択で取り出す）ための方法ステップを説明する概略ブロック図をより詳細に示す。さらに、図３は、後述する本発明の第２の態様の実施形態によるゲートウェイ１００の概略ブロック図を示す。
【0058】
さらに、図３は、本発明の第４の態様の実施形態による方法のクラウドストレージ（ＣＳ）からバックアップされた医療データを取り出す方法ステップと、本発明の第５の態様の実施形態によるゲートウェイ１００とを説明する概略ブロック図を示す。
【0059】
いくつかの方法ステップは、ゲートウェイ１００の部分又はモジュールと共に説明されるが、方法ステップは、他のエンティティ、システム、又はデバイスによっても実行され得ることを理解されたい。同様に、ゲートウェイ１００は、通常、本明細書で説明される機能とは別に、様々な他の機能を実行する。
【0060】
本発明の本質的な部分ではないステップＳ１０において、医療データ（ＭＤ）が医療データソース１によって取得される。本文脈では、医療データソース１が、病院（テナント）の構内に存在し、セキュア環境（ＳＥ）、すなわち安全なネットワークに接続されていると仮定する。しかしながら、医療データソース１は、施設外に配置されてもよく、他の手段によってセキュア環境（ＳＥ）に入ってもよい。例えば、患者は、以前の病歴を病院にアップロード又は持参することができ、以前に患者を治療した医師は、この患者から収集された医療データを送信などすることができる。
【0061】
図２に示すように、このような医療データソース１は、医用イメージングスキャナ（磁気共鳴イメージング（ＭＲＩ）スキャナ、コンピュータ断層撮影（ＣＴ）スキャナ、Ｘ線スキャナ、超音波装置など）、Ｘ線透視ステーション、ユーザインタフェースを使用してデジタル化される医師による患者評価、心拍数モニタからのような患者監視データ、呼吸モニタ、外科的に挿入されたカメラからのカメラ画像、埋め込まれた送信装置からのデータなどを含むことができる。
【0062】
ステップＳ２０において、獲得されたデータは、セキュア環境（ＳＥ）内で存続され得る。画像データ（医療データの一例として）の場合、それらは、例えば、セキュア環境（ＳＥ）の画像アーカイブ及び通信システム（ＰＡＣＳ）１０において持続されてもよい。データは、ＰＡＣＳ１０によって周知のＤＩＣＯＭフォーマットで記憶されてもよい。
【0063】
ＰＡＣＳ１０に保持された後、取得されたデータ又はＰＡＣＳ１０における利用可能性の事実は、加入者のリストに送信されてもよい。加入者は、デバイス、監視ステーション、解析のためのソフトウェアモジュール、又は他の任意の後処理又は報告システムであってもよい。
【0064】
この例では、データはまた、ステップＳ３０において、「医療データゲートウェイ」（ＭＤＧ）とも呼ばれるゲートウェイ１００に送信される。このような医療データゲートウェイの一例は、シーメンスヘルスケア社によるＴｅａｍｐｌａｙ(登録商標）受信機である。このようなゲートウェイは、ゲートウェイの通常の機能（ネットワーク間の相互運用性の提供、プロトコル変換など）を満たすだけでなく、図３の文脈で以下に説明するように、さまざまなソフトウェアモジュールを実装する。このように、ゲートウェイ１００は、特に、処理ユニット（ＣＰＵ）、ワーキングメモリ（ＲＡＭ）、データ記憶ユニット（永続メモリ）、並びに少なくとも１つの入力インタフェース及び少なくとも１つの出力インタフェースを含む計算装置として、又はそれらとして実現することができ、計算装置の構成要素は互いに動作可能に結合される。
【0065】
ステップＳ３０では、ＰＡＣＳ１０に由来しない他の医療データ（ＭＤ）、特に医療画像化に関連しない医療データ（ＭＤ）もゲートウェイ１００に送信してもよい。そのようなデータは、モニタリングデータ（心拍数、呼吸数、ＥＥＧデータ、…）、医師によってユーザインタフェース（例えば、パーソナルコンピュータ、ＰＣにおいて）に入力されるデータを含んでもよい。しかしながら、医用画像データは、ＰＡＣＳ１０を介する以外の方法によってゲートウェイ１００に送信されてもよい。
【0066】
ステップＳ１０～Ｓ３０の任意の組み合わせの結果として、医療データ（ＭＤ）は、セキュア環境（ＳＥ）内で取得（又は入手）される。取得された、又は入手された医療データ（ＭＤ）は、患者識別子データ（ＰＩＤ）及び患者特性データ（ＰＰＤ）を含むか、又はそれらから構成される。
【0067】
ステップＳ４０において、匿名化医療データ（ＤＩＭＤ）が、セキュア環境（ＳＥ）内で、特にゲートウェイ１００によって生成される。匿名化医療データ（ＤＩＭＤ）は、図３にも示されているように、医療データ（ＭＤ）内の患者識別子データ（ＰＩＤ）を、それぞれの非患者識別コード化識別子（ＮＰＩＣＩ）で置き換えることによって生成される。例えば、各非患者識別コード化識別子（ＮＰＩＣＩ）は、患者識別子データ（ＰＩＤ）、患者識別子データ（ＰＩＤ）の一部のハッシュ鍵であってもよく、及び／又は患者識別子データ（ＰＩＤ）及び他のデータの少なくとも一部に基づいていてもよい。
【0068】
さらに、ステップＳ５０において、セキュア環境（ＳＥ）内で、特にゲートウェイ１００によって、再識別データベース（ＲＩＤＢ）が生成される。再識別データベース（ＲＩＤＢ）は、非患者識別コード化識別子（ＮＰＩＣＩ）と患者識別子データ（ＰＩＤ）との間の（好ましくは１対１の）対応を示す（例えば図３参照）。例えば、再識別データベース（ＲＩＤＢ）は、各患者についての患者識別子データ（ＰＩＤ）の全てのデータフィールドと、各患者に対応する非患者識別コード化識別子（ＮＰＩＣＩ）を示すデータフィールドとを有するテーブルを含むか、又はテーブルから構成されてもよい。セキュア環境（ＳＥ）、特にゲートウェイ１００内では、再識別データベース（ＲＩＤＢ）がｐＲＩＤＢとして指定されてもよい平文状態で存在してもよい。
【0069】
再識別データベース（ＲＩＤＢ）は（好ましくは１対１の）対応を提供する機能だけでなく、匿名化医療データ（ＤＩＭＤ）から欠落している医療データ（ＭＤ）の部分を提供する機能も有するので、再識別データベース（ＲＩＤＢ）は完全な患者識別子データ（ＰＩＤ）を含むことが好ましい。
【0070】
ステップＳ５０は、有利にはステップＳ４０と同時に又は共に実行される。
【0071】
ステップＳ６０では、暗号化再識別データベース（ｅＲＩＤＢ）が少なくとも１つの対称及び／又は非対称暗号化方式（又は暗号化プロトコル）を再識別データベース（ＲＩＤＢ）に適用することによって、セキュア環境（ＳＥ）内に生成される。暗号化プロトコルは、ゲートウェイ１００の一部であってもよいハードウェアセキュリティモジュール（ＨＳＭ）によって適用されてもよい。
【0072】
この例では、対称暗号化プロトコルと非対称暗号化プロトコルの両方が適用され、最初に対称暗号化プロトコル、次に非対称暗号化プロトコルが適用される。しかしながら、異なるプロトコル、それらのアプリケーションの異なる順序、異なる数の暗号化プロトコル等が適用されてもよいことが理解されるべきである。本発明者らは、より多くの、より安全な暗号化プロトコルがそれらを適用するために必要な時間、並びに必要な計算能力を増加させるので、ここで説明されている例がセキュリティと実現可能性との間の良好なバランスを提供することを見出した。
【0073】
さらに、この例では、対称暗号化プロトコルとして２５６ビットの高度暗号化標準であるＡＥＳ２５６が使用され、非対称暗号化プロトコルとしてＲＳＡ(例えば、２０４８ビットＲＳＡや４０９６ビットＲＳＡ）が使用される。任意の他の適切な暗号化方法又は標準が、等しく又は追加的に適用され得ることが理解されるべきである。例えば、ＡＥＳ２５６は、楕円曲線暗号法、ＥＣＣに置き換えることができる。
【0074】
再識別データベース（ＲＩＤＢ）が記号Ｍｒｄで指定される場合、暗号化Ｓ６０は、以下のサブステップにおいて実行されてもよい：
【0075】
ステップＳ６１では、Ｍｒｄに対してＡＥＳ２５６暗号化ｆｅｎｃ，ＡＥＳが実行される：
Ｃｒｄ＝ｆｅｎｃ，ＡＥＳ（Ｍｒｄ，Ｋ）、
ここで、Ｃｒｄは暗号文であり、Ｋは乱数鍵である。
Ｃｒｄ＝ｆｅｎｃ，ＡＥＳ（Ｍｒｄ，Ｋ）、
ここで、Ｃｒｄは暗号文であり、Ｋは乱数鍵である。
【0076】
次に、ステップＳ６２において、ＲＳＡプロトコルのための公開鍵（ＰＵＫ）及び秘密鍵（ＰＲＫ）が、一般に知られている任意の方法で生成される。例えば、２つの大きい、近すぎない素数ｐ及びｑが選択され、乗算され、ｐ＊ｑ＝ｎである。カーマイケルの（又は代替的に、オイラーの）対数関数Φ（ｎ）が計算され、整数ｅは１＜ｅ＜Φ（ｎ）であり、ｅ及びΦ（ｎ）は互いに素（coprime）であり、すなわち、ｇｃｄ（ｅ、Φ（ｎ））＝１であり、ｇｃｄは最大公約数を示すように選択される。次に、整数ｄはｄ＝ｅ－１ｍｏｄ（Φ（ｎ））として決定され、すなわち、ｄはｅモジュールΦ（ｎ）のモジュラ乗法逆数である。
【0077】
従って、ＲＳＡ公開鍵（ＰＵＫ）は｛ｅ、ｎ｝で与えられ、ＲＳＡ秘密鍵（ＰＲＫ）は｛ｄ、ｎ｝で与えられる。
【0078】
ステップＳ６３において、公開鍵（ＰＵＫ）を用いて、暗号Ｃｒｄはさらに、Ｃ’ｒｄ＝ｆｅ（Ｃｒｄ）＝Ｃｒｄ
ｅ（ｍｏｄ§（ｎ））に暗号化される。従って、Ｃ’ｒｄは、Ｍｒｄが再識別データベース（ＲＩＤＢ）として設定されている場合、暗号化再識別データベース（ｅＲＩＤＢ）に対応する。
【0079】
公開鍵（ＰＵＫ）を保護するために、セキュア環境（ＳＥ）内部にも公開鍵（ＰＵＫ）をセキュア環境（ＳＥ）で暗号化状態（ｅＰＵＫ）で記憶し、この暗号化にセキュア環境（ＳＥ）のセキュア環境固有トークン（ＳＥＳＴ）を使用する。
【0080】
例えば、公開鍵暗号ｆＰＵＫは
ｆＰＵＫ（ＰＵＫ）＝ＰＵＫ＋ＳＥＳＴ
によって与えられ、ここでの加算は加算モジュロ（Φ（ｎ））である可能性がある。
ｆＰＵＫ（ＰＵＫ）＝ＰＵＫ＋ＳＥＳＴ
によって与えられ、ここでの加算は加算モジュロ（Φ（ｎ））である可能性がある。
【0081】
セキュア環境固有トークン（ＳＥＳＴ）は、セキュア環境（ＳＥ）で利用可能なコード又は数字を使用して、いくつかの方法のいずれかで生成されてもよい。例えば、セキュア環境固有トークン（ＳＥＳＴ）は、以下のいずれか又はすべてを含むか、それに基づくことができる：
・セキュア環境（ＳＥ）の識別子トークンと、
・セキュア環境（ＳＥ）内の少なくとも１つの装置（ゲートウェイ１００など）の識別子トークンと、
・暗号化される再識別データベース（ＲＩＤＢ）のバージョン番号と、
・少なくとも１つの医療データソース１のシリアル番号と、
・管理者が所有するドングルのＲＦＩＤコードと、
・及び／又は同様のもの。
・セキュア環境（ＳＥ）の識別子トークンと、
・セキュア環境（ＳＥ）内の少なくとも１つの装置（ゲートウェイ１００など）の識別子トークンと、
・暗号化される再識別データベース（ＲＩＤＢ）のバージョン番号と、
・少なくとも１つの医療データソース１のシリアル番号と、
・管理者が所有するドングルのＲＦＩＤコードと、
・及び／又は同様のもの。
【0082】
同様に、秘密鍵（ＰＲＫ）は、セキュア環境（ＳＥ）において暗号化状態（ｅＰＲＫ）に記憶することもできる。例えば、秘密鍵暗号化関数、ｆＰＲＫが、以下のように適用される可能性がある、
ｆＰＲＫ（ＰＲＫ）＝ＰＲＫ＋ＨＭＳＫ，
ＨＭＳＫは、病院管理者などが所有するマスター鍵を指定する。マスター鍵ＨＭＳＫは次に、例えば、マスター鍵暗号化関数ｆＭＳＫを用いて生成された暗号化状態に記憶されてもよい：
ｆＭＳＫ（ＨＭＳＫ）＝ＨＭＳＫ＋ＳＥＳＴ。
ｆＰＲＫ（ＰＲＫ）＝ＰＲＫ＋ＨＭＳＫ，
ＨＭＳＫは、病院管理者などが所有するマスター鍵を指定する。マスター鍵ＨＭＳＫは次に、例えば、マスター鍵暗号化関数ｆＭＳＫを用いて生成された暗号化状態に記憶されてもよい：
ｆＭＳＫ（ＨＭＳＫ）＝ＨＭＳＫ＋ＳＥＳＴ。
【0083】
ＲＤＢＶＤＥＫが再識別データベース（ＲＩＤＢ）、暗号鍵の場合、次のように暗号化状態で記憶される
ｆｅｎｃｒ（ＲＤＢＶＤＥＫ）＝ＲＤＢＶＤＥＫ＋ＰＵＫ。
ｆｅｎｃｒ（ＲＤＢＶＤＥＫ）＝ＲＤＢＶＤＥＫ＋ＰＵＫ。
【0084】
ステップＳ７０において、暗号化再識別データベース（ｅＲＩＤＢ）及び匿名化医療データ（ＤＩＭＤ）は、次いで、セキュア環境（ＳＥ）の外部のクラウドストレージ（ＣＳ）に記憶される。好ましくは、転送中のデータが強力な暗号が強制されたＴＬＳ ｖ１．２（又はそれ以上）を使用して暗号化される。
【0085】
任意選択のステップとして、匿名化医療データ（ＤＩＭＤ）を暗号化して、暗号化匿名化医療データ（ｅＤＩＭＤ）を提供することもでき、これをクラウドストレージ（ＣＳ）に記憶することができる。この場合、好ましくは、平文の匿名化医療データ（ｐＤＩＭＤ）がクラウドストレージ（ＣＳ）に記憶されない。その中で使用される暗号化プロトコル及び／又は鍵は、暗号化再識別データベース（ｅＲＩＤＢ）に対するものと同じであってもよいが、好ましくは異なる。
【0086】
しかしながら、クラウドストレージ上に平文匿名化医療データ（ｐＤＩＭＤ）を記憶することは、センシティブな患者識別子データ（ＰＩＤ）が漏洩することなく、それらをクラウドストレージ（ＣＳ）によって異なるプロセスに提供することができる（Ｓ２００）という利点を有する。このようにして、例えば、平文匿名化医療データ（ｐＤＩＭＤ）は、人工ニューラルネットワークのような人工知能エンティティを訓練する目的で利用可能にされ得る（すなわち、送信され得るか、又は取り出され得る）。従って、平文匿名化医療データ（ｐＤＩＭＤ）は、グラウンドトゥルースラベルを含むトレーニングデータとして、又はその基礎として使用することができる。
【0087】
いくつかの変形例では、暗号化再識別データベース（ｅＲＩＤＢ）及び／又は匿名化医療データ（ＤＩＭＤ）(ｅＤＩＭＤ又はｐＤＩＭＤのいずれか）がクラウドストレージ（ＣＳ）とは別の他の場所に記憶されてもよい。例えば、両方又はいずれかの追加のバックアップコピーを、ゲートウェイ１００、いずれかの医療データソース１、ＰＡＣＳ１０、及び／又は同様のものに記憶することができる。例えば、暗号化再識別データベース（ｅＲＩＤＢ）及び／又は匿名化医療データ（ＤＩＭＤ）は、ＤＩＣＯＭフォーマットにカプセル化され、ＰＡＣＳ１０に入れられる。
【0088】
暗号化ステップＳ６０のいくつかの変形が可能である。たとえば、暗号化プロトコルが適用される、人間が読み取れる（平文の）完全な再識別データベース（ｐＲＩＤＢ）である必要はない。代わりに、いくつかの変形では、再識別データベース（ＲＩＤＢ）がまず、いくつかのチャンク、例えば固定数のチャンク、又は固定サイズのチャンクに分割されてもよい。
【0089】
このための１つの選択肢は、再識別データベース（ＲＩＤＢ）のビットをマトリックス構造に分配し、次いで、上述のステップＳ６１～Ｓ６３を使用してマトリックス構造の各セルを個別に暗号化することである。例えば、１０×１０セルのマトリックス構造を使用することができ、第１のビット（又はより大きな部分）が第１のセルに入れられ、第２のビット（又は部分）が第２のセルに入れられ、１００番目のビット（又は部分）が第１００番目のセルに入れられるまで、第１０１番目のビット（又は部分）が再び第１のセルに入れられるなどである。言い換えれば、ビット（又は部分）数ｘは、セル数ｘ ｍｏｄ １００に入れられる。再識別データベース（ＲＩＤＢ）を分割する他の方法も、同様に容易に想定することができる。
【0090】
言い換えると、上記式において、記号Ｍｒｄは、再識別データベース（ＲＩＤＢ）全体を指定するのではなく、再識別データベース（ＲＩＤＢ）の個々のチャンクを個別に指定してもよい。これは、再識別データベース（ＲＩＤＢ）を復号するために、すべての（暗号化された）チャンクを獲得しなければならず、そして、復号されたチャンクは、元の再識別データベース（ＲＩＤＢ）を再構築するような行列構造に従って正しい順序で配列されなければならないことを意味する。
【0091】
暗号化再識別データベース（ｅＲＩＤＢ）をクラウドストレージ（ＣＳ）上に記憶すること（Ｓ７０）は、クラウドストレージ（ＣＳ）上に各暗号化チャンクを記憶することを含む。
【0092】
有利には、暗号化されたチャンク自体が、行列構造のどのセルにそれらが属するかを示さない。代わりに、それらは、チャンクを一意に識別するために使用されるコード化されたセル識別子（例えば、ハッシュ値）を含む可能性がある。次に、どの符号化セル識別子が行列構造のどのセルに対応するかを示すチャンク対応リスト（ＣＣＬ）を生成して、復号されたチャンクを再び行列構造に再配置し、読取可能な再識別データベース（ＲＩＤＢ）をもたらすようにしてもよい。
【0093】
通常、少なくとも２つのバージョンに従ってバックアップを準備し、維持することが望まれることを考慮に入れておくと、より強力なセキュリティを実現できる。１つのバックアップのみをクラウドストレージ（ＣＳ）に記憶し、現在存在するバックアップが次のバックアップのアップロード中に上書きされる場合、アップロード中に何らかの事故又はエラーが発生し、有効なバックアップがまったく存在しない状況になることは明らかである。従って、バックアップするすべてのファイル又はデータのバージョンが異なるバックアップが、クラウドストレージ（ＣＳ）に常に２つ以上存在することが望ましい。
【0094】
ここで、バックアップされるような１つのファイルとして再識別データベース（ＲＩＤＢ）がチャンクに分割され、その後暗号化され、クラウドストレージ（ＣＳ）上にステップＳ７０で記憶される場合、暗号化されたチャンクの全体が、暗号化再識別データベース（ｅＲＩＤＢ）を表す。例えば、これは１００チャンクであってもよい。２つのバージョン（２つの異なる時点からの２つのバージョンなど）の再識別データベース（ＲＩＤＢ）がバックアップされた場合、これは、クラウドストレージ（ＣＳ）上に２つの異なる暗号化再識別データベース（ｅＲＩＤＢ）を表す２００個のチャンクが常に存在することになることを意味する。
【0095】
攻撃者がクラウドストレージ（ＣＳ）へのアクセスを取得する場合、攻撃者は（この単純な例では）２００個の暗号化されたチャンクを見つけ、これらのチャンクは、コード化されたセル識別子（ハッシュ値など）によってのみ識別される。従って、攻撃者は、１つの暗号化再識別データベース（ｅＲＩＤＢ）を表すチャンクの数を知るだけでなく、どのチャンクがどのバージョンに属するかも知ることはできない。しかしながら、再識別データベース（ＲＩＤＢ）のために、符号化の前に分割された平文（すなわち、読取可能な再識別データベース（ＲＩＤＢ））は、復号されたチャンクが正しい順序で配列されている場合にのみ得られる。
【0096】
従って、攻撃者がいくつかのチャンクを復号しようとするたびに、攻撃者は復号が成功したかどうかを調べるために、チャンクを配列するために、多数の異なる順序を試みる必要がある。例えば、１０×１０の行列に１００個のチャンクを配置する方法は１００！通りある。
【0097】
非対称暗号化プロトコル及び／又は対称暗号化プロトコルに、再識別データベース（ＲＩＤＢ）のバージョンごとに異なる暗号鍵を使用することで、セキュリティがさらに強化される。
【0098】
セキュア環境（ＳＥ）の管理者が、暗号化再識別データベース（ｅＲＩＤＢ）を表す暗号化チャンクから再識別データベース（ＲＩＤＢ）を取得できるように、クラウドストレージ（ＣＳ）上のどの暗号化チャンクがどのバージョンに属し、どのセルにどのセルが生成されるかを示すバージョン対応リスト（ＶＣＬ）を生成してもよい。
【0099】
ＶＣＬは、暗号化バージョン対応リスト（ｅＶＣＬ）を形成することができ、例えば、ステップＳ６１～Ｓ６３に従って、同じ鍵を使用するか、又は好ましくは異なる鍵を使用するかのいずれかで、任意の適切な方法で暗号化されてもよい。従って、攻撃者はまず、チャンクの復号を開始する前にこの構成を知らなければならず、次に、バージョン対応リスト（ＶＣＬ）を復号するために、同じ復号プロトコルを使用して、どのチャンクを復号しなければならないかを知る必要がある。
【0100】
この方法は、特に図３に関して以下に簡単に説明するように、安全なデータ記憶及び取得方法にも拡張することができる。
【0101】
ステップＳ８０において、匿名化医療データ（ＤＩＭＤ）(暗号化ｅＤＩＭＤ、又は平文ｐＤＩＭＤのいずれか）は、クラウドストレージ（ＣＳ）から、特にゲートウェイ１００によって（ゲートウェイ１００へ）、セキュア環境（ＳＥ）から取り出される。クラウドストレージ（ＣＳ）に記憶されたｅＤＩＭＤの場合、取得することＳ８０は、ｅＤＩＭＤをダウンロードすることと、ｅＤＩＭＤに復号ステップを適用してｐＤＩＭＤを生成することとを含む。クラウドストレージ（ＣＳ）に記憶されたｐＤＩＭＤの場合、ｐＤＩＭＤは、単にダウンロードされて、取得することＳ８０を実行する。
【0102】
ステップＳ９０において、暗号化再識別データベース（ｅＲＩＤＢ）は、クラウドストレージ（ＣＳ）からセキュア環境（ＳＥ）へ、特にゲートウェイ１００によって（及びゲートウェイに）取得される（具体的にはダウンロードされる）。使用される変形例に応じて、暗号化再識別データベース（ｅＲＩＤＢ）を取得することは、単一のファイル、又はいくつかの暗号化されたチャンクを、任意選択でバージョン対応リスト（ＶＣＬ）(好ましくは符号化されたバージョン対応リスト（ｅＶＣＬ））と共にダウンロードすることを含んでもよい。
【0103】
ステップＳ１００において、暗号化再識別データベース（ｅＲＩＤＢ）は、（平文の）再識別データベース（ＲＩＤＢ）(これもｐＲＩＤＢとして指定されることがある）を得るために、セキュア環境（ＳＥ）において復号される（仕様はどの暗号化が使われたかに再び異存して）。上述の変形例のいくつかでは、復号が、暗号化再識別データベース（ｅＲＩＤＢ）を表す多数のチャンクの各々に適用され、それに続いて、（例えば）行列スキームに従ってチャンクへの分配を取り消すことによって、平文再識別データベース（ｐＲＩＤＢ）を再生成することができる。
【0104】
ステップＳ１１０において、医療データ（ＭＤ）は、（解読された、すなわち、現在は平文である）再識別データベース（ＲＩＤＢ）によって示される１対１の対応に基づいて、非患者識別コード化識別子（ＮＰＩＣＩ）を対応する患者識別子データ（ＰＩＤ）と置き換えることによって、ＤＩＭＤから再生成される。このステップは、図３にも説明されている。
【0105】
換言すれば、匿名化された非患者識別コード化識別子（ＮＰＩＣＩ）は、元の患者識別子データ（ＰＩＤ）に再マッピングされる。医療データ（ＭＤ）が、平文バージョンでゲートウェイ１００内に存在することを強調し、明確にするために、それらをｐＭＤと呼ぶこともできる。
【0106】
図２に戻って参照すると、本方法は、クラウドストレージ（ＣＳ）からセキュア環境（ＳＥ）の外部の処理エンティティ３Ｐｏｕｔに、匿名化医療データ（ＤＩＭＤ）(特にｐＤＩＭＤ）を提供するステップＳ２００をさらに含んでもよい。例えば、ステップＳ２１０において、処理エンティティ３Ｐｏｕｔは、人工知能エンティティ、例えば機械学習、好ましくは人工ニューラルネットワークなどを訓練するために、匿名化医療データ（ＤＩＭＤ）を利用することができる。
【0107】
セキュア環境（ＳＥ）の内部の処理エンティティ３Ｐｉｎが、医療データ（ＭＤ）を要求する場合、所望のセキュリティレベル、処理エンティティ３Ｐｉｎのクリアランスなどに応じて、匿名化医療データ（ＤＩＭＤ）又は医療データ（ＭＤ）(患者識別子データ（ＰＩＤ）を含む）さえも提供され得る。処理エンティティ３Ｐｏｕｔ、３Ｐｉｎは、例えばウェブブラウザを介して、匿名化医療データ（ＤＩＭＤ）にアクセスすることができる。
【0108】
図３は、また、本発明の第２の態様の実施形態によるゲートウェイ１００と、本発明の第５の態様の実施形態によるゲートウェイ１００とを示す。ゲートウェイ１００は、特に、図１及び図２の方法の少なくともステップＳ３０～Ｓ７０、及び好ましくはステップＳ８０～Ｓ１１０も実行するように構成され得る。
【0109】
具体的には、ゲートウェイ１００が以下を含むことができる：
・患者特性データ（ＰＰＤ）及び患者識別子データ（ＰＩＤ）を含む医療データ（ＭＤ）を取得する（Ｓ３０）ように構成された入力モジュール１１０であって、患者識別子データ（ＰＩＤ）は、患者特性データ（ＰＰＤ）が対応する少なくとも１人の患者を示し、
・医療データ（ＭＤ）内の患者識別子データ（ＰＩＤ）を非患者識別コード化識別子（ＮＰＩＣＩ）で置き換えることによって、匿名化医療データ（ＤＩＭＤ）を生成する（Ｓ４０）ように構成された匿名化モジュール１２０と、
・非患者識別コード化識別子（ＮＰＩＣＩ）と患者識別子データ（ＰＩＤ）との間の１対１対応を示す再識別データベース（ＲＩＤＢ）(平文、すなわちｐＲＩＤＢ）を生成する（Ｓ５０）ように構成されたデータベース生成モジュール１３０と、
・（平文）再識別データベース（ｐＲＩＤＢ）に少なくとも１つの対称及び／又は非対称暗号化方式を適用することによって、暗号化再識別データベースｅＲＩＤＢを生成する（Ｓ６０）ように構成された暗号化モジュール１４０と、
・暗号化再識別データベース（ｅＲＩＤＢ）及び匿名化医療データ（ＤＭＩＤ）をセキュア環境（ＳＥ）の外部のクラウドストレージ（ＣＳ）上に記憶するために送信する（Ｓ７０）ように構成された通信モジュール１５０。
・患者特性データ（ＰＰＤ）及び患者識別子データ（ＰＩＤ）を含む医療データ（ＭＤ）を取得する（Ｓ３０）ように構成された入力モジュール１１０であって、患者識別子データ（ＰＩＤ）は、患者特性データ（ＰＰＤ）が対応する少なくとも１人の患者を示し、
・医療データ（ＭＤ）内の患者識別子データ（ＰＩＤ）を非患者識別コード化識別子（ＮＰＩＣＩ）で置き換えることによって、匿名化医療データ（ＤＩＭＤ）を生成する（Ｓ４０）ように構成された匿名化モジュール１２０と、
・非患者識別コード化識別子（ＮＰＩＣＩ）と患者識別子データ（ＰＩＤ）との間の１対１対応を示す再識別データベース（ＲＩＤＢ）(平文、すなわちｐＲＩＤＢ）を生成する（Ｓ５０）ように構成されたデータベース生成モジュール１３０と、
・（平文）再識別データベース（ｐＲＩＤＢ）に少なくとも１つの対称及び／又は非対称暗号化方式を適用することによって、暗号化再識別データベースｅＲＩＤＢを生成する（Ｓ６０）ように構成された暗号化モジュール１４０と、
・暗号化再識別データベース（ｅＲＩＤＢ）及び匿名化医療データ（ＤＭＩＤ）をセキュア環境（ＳＥ）の外部のクラウドストレージ（ＣＳ）上に記憶するために送信する（Ｓ７０）ように構成された通信モジュール１５０。
【0110】
入力モジュール１１０は、セキュア環境（ＳＥ）内でのデータ送受信のために構成された内部通信モジュール（又は内部通信インターフェース）の一部であってもよく、又は内部通信モジュール（又は内部通信インターフェース）として実現されてもよい。この場合、通信モジュール１５０は、外部通信モジュール１５０として、又は外部通信インタフェースとして指定されてもよい。
【0111】
通信モジュール１５０は、Ｓ８０、Ｓ９０で、ＤＩＭＤ(ｐＤＩＭＤ又はｅＤＩＭＤ）、及び暗号化再識別データベース（ｅＲＩＤＢ）をクラウドストレージ（ＣＳ）から取り出すようにさらに構成され得ることを理解されたい。
【0112】
ゲートウェイ１００はさらに、暗号化再識別データベース（ｅＲＩＤＢ）(及び任意選択でｅＤＩＭＤ）を復号するＳ１００の復号モジュール１６０を備えてもよい。暗号化モジュール１４０と復号モジュール１６０は、互いに統合されていてもよいし、別個のものとして実現されていてもよいし、重複する構成要素を有していてもよい。たとえば、一部の暗号化／復号プロトコルでは、復号と暗号化は同じ操作を含む又はから構成される。他のモジュールについても同様に、特に暗号化モジュール１４０及び／又は復号モジュール１６０は、ハードウェア及び／又はソフトウェアとして実現することができる。従って、例えば、復号だけでなく暗号化に対しても同一の操作に対しては、対応するモジュール又はサブモジュールをハードウェアとして実現してもよい。
【0113】
ゲートウェイ１００は、解読モジュール１６０から取得された（平文）再識別データベース（ｐＲＩＤＢ）に基づいて、匿名化医療データ（ＤＩＭＤ）内の非患者識別コード化識別子（ＮＰＩＣＩ）を、対応する患者識別子データ（ＰＩＤ）と置換する（又は関連付ける）ことによって、匿名化医療データ（ＤＩＭＤ）から医療データ（ＭＤ）を再生成する（Ｓ１１０）ように構成された再識別モジュール１７０をさらに備えることができる。従って、ゲートウェイ１００は、医療データ（ＭＤ）を安全に記憶するための方法の任意の実施形態を実行するように構成することができるだけでなく、記憶された医療データ（ＭＤ）をクラウドストレージ（ＣＳ）から安全に取り出すように構成することもできる。
【0114】
ゲートウェイ１００の機能全体は、ゲートウェイ１００のコントローラモジュール１８０（例えば、実行可能なコンピュータプログラム命令を有する対応するコンピュータプログラムを実行するマイクロコントローラ）によって制御することができる。
【0115】
図２はまた、本発明の第３の態様の実施形態及び／又は本発明の第６の態様の実施形態によるシステム１０００を説明する。システム１０００は、互いに動作可能にリンクされたゲートウェイ１００及びクラウドストレージ（ＣＳ）を備えてもよく、その結果、システム１０００は、本発明の第１の態様の任意の実施形態による方法を実行するか、又は実行することを可能にするように構成される。システム１０００は、任意選択で、任意の数の医療データソース１、ＰＡＣＳ１０、及び／又は同様のものを備えることができ、セキュア環境（ＳＥ）を備えることさえできる。
【0116】
図４は、実行時に、本発明の第１の態様の任意の実施形態による方法及び／又は本発明の第４の態様の任意の実施形態による方法を実行するように構成された実行可能プログラム命令２５０を含む第７の態様の実施形態によるコンピュータプログラム製品２００を説明する概略ブロック図を示す。
【0117】
図５は、実行時に、本発明の第１の態様の任意の実施形態による方法及び／又は第４の態様の任意の実施形態による方法を実行するように構成された実行可能プログラム命令３５０を含む、第８の態様の実施形態による非一時的コンピュータ可読データ記憶媒体３００を説明する概略ブロック図を示す。
【0118】
前述の詳細な説明では、開示を効率化する目的で、様々な特徴が１つ又は複数の例又は例にまとめられている。上記の説明は、例示的であり限定的ではないことを意図していることを理解されたい。これは、全ての代替案、修正案、及び均等物を包含することを意図している。多くの他の例は、上記明細書を検討することにより当業者には明らかであろう。特に、システム及びゲートウェイについて説明した実施形態及び構成は本発明による方法に従って適用することができ、その逆も同様である。
【0119】
この実施形態はこの発明の原理及びその実際のアプリケーションを最も良く説明するために選択されて説明されたものであり、これにより、当該技術分野の当業者が、この発明及び考えられる特定の使用に合わせて様々な修正で様々な実施形態を最も良く利用することができるようになる。添付の特許請求の範囲及び明細書全体を通じて、「含む（ｉｎｃｌｕｄｉｎｇ）」及び「ここで（ｉｎ ｗｈｉｃｈ）」という用語はそれぞれ「備える（ｃｏｍｐｒｉｓｉｎｇ）」及び「ここで（ｗｈｅｒｅｉｎ）」という用語の平易な英語の均等物として使用される。さらに、「１つの（ａ）」又は「１つの（ｏｎｅ）」は、本件において複数を排除するものではない。データが言及される場合、これは、文脈から明示的又は黙示的に明らかでない限り、平文又は暗号化データを含むことができることを理解されたい。
【図1】
【図2】
【図3】
【図4】
【図5】
【外国語明細書】