知財求人 - 知財ポータルサイト「IP Force」
特開2025-11769医用データ送受信システム、送信側システム、受信側システム及びデータ送受信方法
(19)【発行国】日本国特許庁(JP)
(12)【公報種別】公開特許公報(A)
(11)【公開番号】P2025011769
(43)【公開日】2025-01-24
(54)【発明の名称】医用データ送受信システム、送信側システム、受信側システム及びデータ送受信方法
(51)【国際特許分類】
H04L 9/32 20060101AFI20250117BHJP
H04L 9/14 20060101ALI20250117BHJP
G16H 30/00 20180101ALN20250117BHJP
【ＦＩ】
H04L9/32 200B
H04L9/14
G16H30/00
【審査請求】未請求
【請求項の数】7
【出願形態】ＯＬ
(21)【出願番号】P 2023114077
(22)【出願日】2023-07-11
(71)【出願人】
【識別番号】397050545
【氏名又は名称】アレイ株式会社
(74)【代理人】
【識別番号】110001346
【氏名又は名称】弁理士法人ＭＭ＆Ａ
(72)【発明者】
【氏名】阿部 聡
(72)【発明者】
【氏名】山本 健嗣
(72)【発明者】
【氏名】山中 誠一
【テーマコード（参考）】
5L099
【Ｆターム（参考）】
5L099AA26
(57)【要約】
【課題】データ送信先の医療機関における診察等を円滑化可能な医用データ送受信システム、送信側システム、受信側システム及びデータ送受信方法を提供する。
【解決手段】医用データ送信側システム１０において、受信側システム６０の公開鍵で暗号化した暗号化データセットＩＤ及び暗号化共通鍵を送信側システム２０から受信側システム６０に送信する。そして、受信側システム６０は、自らの秘密鍵で復号した復号データセットＩＤを用いて、外部リポジトリ４０から暗号化対象データセットを取得し、自らの秘密鍵で復号した復号共通鍵を用いて対象データセットを復号及び展開する。
【選択図】図１
【解決手段】医用データ送信側システム１０において、受信側システム６０の公開鍵で暗号化した暗号化データセットＩＤ及び暗号化共通鍵を送信側システム２０から受信側システム６０に送信する。そして、受信側システム６０は、自らの秘密鍵で復号した復号データセットＩＤを用いて、外部リポジトリ４０から暗号化対象データセットを取得し、自らの秘密鍵で復号した復号共通鍵を用いて対象データセットを復号及び展開する。
【選択図】図１
【特許請求の範囲】
【請求項1】
医用データの送信側の医療機関における送信側システムと、
前記医用データの受信側の医療機関における受信側システムと、
前記医用データを一時的に保存して前記送信側システムから前記受信側システムへのデータ転送を中継する外部リポジトリと
を有する医用データ送受信システムであって、
前記送信側システムは、
送信対象の医用データのセットである対象データセットを共通鍵で暗号化して暗号化対象データセットを生成し、
前記対象データセットの識別符号であるデータセットＩＤと前記共通鍵とを前記受信側システムの公開鍵により暗号化して暗号化データセットＩＤ及び暗号化共通鍵を生成し、
前記暗号化対象データセットと、暗号化していないデータセットＩＤである非暗号化データセットＩＤとを前記外部リポジトリに送信し、
外部サーバを介して又は直接、前記受信側システムに対して前記暗号化データセットＩＤ及び前記暗号化共通鍵を送信し、
前記外部リポジトリは、前記送信側システムから受信した前記暗号化対象データセット及び前記非暗号化データセットＩＤを記録し、
前記受信側システムは、
前記送信側システムから受信した前記暗号化データセットＩＤ及び前記暗号化共通鍵を前記受信側システムの秘密鍵により復号して復号データセットＩＤ及び復号共通鍵を生成し、
前記復号データセットＩＤで特定される前記暗号化対象データセットの送信を前記外部リポジトリに要求し、
前記外部リポジトリは、前記受信側システムから受信した前記復号データセットＩＤに対応する前記非暗号化データセットＩＤで特定される前記暗号化対象データセットを前記受信側システムに送信し、
前記受信側システムは、前記外部リポジトリから受信した前記暗号化対象データセットを前記復号共通鍵で復号し、復号した前記対象データセットに含まれる各医用データに展開して記録する
ことを特徴とする医用データ送受信システム。
前記医用データの受信側の医療機関における受信側システムと、
前記医用データを一時的に保存して前記送信側システムから前記受信側システムへのデータ転送を中継する外部リポジトリと
を有する医用データ送受信システムであって、
前記送信側システムは、
送信対象の医用データのセットである対象データセットを共通鍵で暗号化して暗号化対象データセットを生成し、
前記対象データセットの識別符号であるデータセットＩＤと前記共通鍵とを前記受信側システムの公開鍵により暗号化して暗号化データセットＩＤ及び暗号化共通鍵を生成し、
前記暗号化対象データセットと、暗号化していないデータセットＩＤである非暗号化データセットＩＤとを前記外部リポジトリに送信し、
外部サーバを介して又は直接、前記受信側システムに対して前記暗号化データセットＩＤ及び前記暗号化共通鍵を送信し、
前記外部リポジトリは、前記送信側システムから受信した前記暗号化対象データセット及び前記非暗号化データセットＩＤを記録し、
前記受信側システムは、
前記送信側システムから受信した前記暗号化データセットＩＤ及び前記暗号化共通鍵を前記受信側システムの秘密鍵により復号して復号データセットＩＤ及び復号共通鍵を生成し、
前記復号データセットＩＤで特定される前記暗号化対象データセットの送信を前記外部リポジトリに要求し、
前記外部リポジトリは、前記受信側システムから受信した前記復号データセットＩＤに対応する前記非暗号化データセットＩＤで特定される前記暗号化対象データセットを前記受信側システムに送信し、
前記受信側システムは、前記外部リポジトリから受信した前記暗号化対象データセットを前記復号共通鍵で復号し、復号した前記対象データセットに含まれる各医用データに展開して記録する
ことを特徴とする医用データ送受信システム。
【請求項2】
医用データの送信側の医療機関における送信側システムであって、
前記送信側システムは、前記医用データを一時的に保存する外部リポジトリを介して、前記医用データの受信側の医療機関における受信側システムに対して前記医用データを送信するものであり、
さらに、前記送信側システムは、
送信対象の医用データのセットである対象データセットを共通鍵で暗号化して暗号化対象データセットを生成し、
前記対象データセットの識別符号であるデータセットＩＤと前記共通鍵とを前記受信側システムの公開鍵により暗号化して暗号化データセットＩＤ及び暗号化共通鍵を生成し、
前記暗号化対象データセットと、暗号化していないデータセットＩＤである非暗号化データセットＩＤとを前記外部リポジトリに送信し、
外部サーバを介して又は直接、前記受信側システムに対して前記暗号化データセットＩＤ及び前記暗号化共通鍵を送信する
ことを特徴とする送信側システム。
前記送信側システムは、前記医用データを一時的に保存する外部リポジトリを介して、前記医用データの受信側の医療機関における受信側システムに対して前記医用データを送信するものであり、
さらに、前記送信側システムは、
送信対象の医用データのセットである対象データセットを共通鍵で暗号化して暗号化対象データセットを生成し、
前記対象データセットの識別符号であるデータセットＩＤと前記共通鍵とを前記受信側システムの公開鍵により暗号化して暗号化データセットＩＤ及び暗号化共通鍵を生成し、
前記暗号化対象データセットと、暗号化していないデータセットＩＤである非暗号化データセットＩＤとを前記外部リポジトリに送信し、
外部サーバを介して又は直接、前記受信側システムに対して前記暗号化データセットＩＤ及び前記暗号化共通鍵を送信する
ことを特徴とする送信側システム。
【請求項3】
請求項２に記載の送信側システムにおいて、
前記送信側システムは、前記送信側システムのユーザにより前記対象データセットの送信設定を行う送信設定画面を表示し、
前記送信設定画面は、
複数の前記受信側システムから選択される１つ又は複数の前記対象データセットの送信先を入力する送信先入力欄と、
前記対象データセットに含まれる１つ又は複数の前記送信対象の医用データを入力する医用データ入力欄と、
前記送信先に対して前記対象データセットの送信を指令する送信ボタンと
を含む
ことを特徴とする送信側システム。
前記送信側システムは、前記送信側システムのユーザにより前記対象データセットの送信設定を行う送信設定画面を表示し、
前記送信設定画面は、
複数の前記受信側システムから選択される１つ又は複数の前記対象データセットの送信先を入力する送信先入力欄と、
前記対象データセットに含まれる１つ又は複数の前記送信対象の医用データを入力する医用データ入力欄と、
前記送信先に対して前記対象データセットの送信を指令する送信ボタンと
を含む
ことを特徴とする送信側システム。
【請求項4】
請求項３に記載の送信側システムにおいて、
前記送信設定画面において前記送信ボタンが押されたことを契機として、前記送信側システムは、前記暗号化対象データセット、前記暗号化データセットＩＤ及び前記暗号化共通鍵の生成と、前記外部リポジトリに対する前記暗号化対象データセット及び前記非暗号化データセットＩＤの送信と、前記受信側システムに対する前記暗号化データセットＩＤ及び前記暗号化共通鍵の送信とを行う
ことを特徴とする送信側システム。
前記送信設定画面において前記送信ボタンが押されたことを契機として、前記送信側システムは、前記暗号化対象データセット、前記暗号化データセットＩＤ及び前記暗号化共通鍵の生成と、前記外部リポジトリに対する前記暗号化対象データセット及び前記非暗号化データセットＩＤの送信と、前記受信側システムに対する前記暗号化データセットＩＤ及び前記暗号化共通鍵の送信とを行う
ことを特徴とする送信側システム。
【請求項5】
医用データの受信側の医療機関における受信側システムであって、
前記受信側システムは、前記医用データを一時的に保存する外部リポジトリを介して、前記医用データの送信側の医療機関における送信側システムから前記医用データを受信するものであり、
さらに、前記受信側システムは、
前記送信側システムの送信対象の医用データのセットである対象データセットの識別符号であるデータセットＩＤが前記受信側システムの公開鍵により暗号化された暗号化データセットＩＤと、前記対象データセットの暗号化に用いられた共通鍵が前記受信側システムの公開鍵により暗号化された暗号化共通鍵とを、外部サーバを介して又は直接、前記送信側システムから受信し、
前記暗号化データセットＩＤ及び前記暗号化共通鍵を前記受信側システムの秘密鍵により復号して復号データセットＩＤ及び復号共通鍵を生成し、
前記送信側システムにおいて前記共通鍵により暗号化された前記対象データセットである暗号化対象データセットのうち前記復号データセットＩＤで特定されるものの送信を前記外部リポジトリに要求し、
前記外部リポジトリから受信した前記暗号化対象データセットを前記復号共通鍵で復号し、復号した前記対象データセットに含まれる各医用データに展開して記録する
ことを特徴とする受信側システム。
前記受信側システムは、前記医用データを一時的に保存する外部リポジトリを介して、前記医用データの送信側の医療機関における送信側システムから前記医用データを受信するものであり、
さらに、前記受信側システムは、
前記送信側システムの送信対象の医用データのセットである対象データセットの識別符号であるデータセットＩＤが前記受信側システムの公開鍵により暗号化された暗号化データセットＩＤと、前記対象データセットの暗号化に用いられた共通鍵が前記受信側システムの公開鍵により暗号化された暗号化共通鍵とを、外部サーバを介して又は直接、前記送信側システムから受信し、
前記暗号化データセットＩＤ及び前記暗号化共通鍵を前記受信側システムの秘密鍵により復号して復号データセットＩＤ及び復号共通鍵を生成し、
前記送信側システムにおいて前記共通鍵により暗号化された前記対象データセットである暗号化対象データセットのうち前記復号データセットＩＤで特定されるものの送信を前記外部リポジトリに要求し、
前記外部リポジトリから受信した前記暗号化対象データセットを前記復号共通鍵で復号し、復号した前記対象データセットに含まれる各医用データに展開して記録する
ことを特徴とする受信側システム。
【請求項6】
請求項５に記載の受信側システムにおいて、
前記受信側システムは、前記外部リポジトリを介して１つ又は複数の前記送信側システムからの前記暗号化対象データセットの受信並びにその後の復号及び展開が完了した１つ又は複数の前記対象データセットを選択可能に表示したデータセットリストを含むデータセットリスト画面を表示し、
前記データセットリスト画面において、前記受信側システムのユーザにより前記対象データセットの１つが選択されると、前記受信側システムは、選択された前記対象データセットの詳細情報を含むデータセット詳細情報画面を表示する
ことを特徴とする受信側システム。
前記受信側システムは、前記外部リポジトリを介して１つ又は複数の前記送信側システムからの前記暗号化対象データセットの受信並びにその後の復号及び展開が完了した１つ又は複数の前記対象データセットを選択可能に表示したデータセットリストを含むデータセットリスト画面を表示し、
前記データセットリスト画面において、前記受信側システムのユーザにより前記対象データセットの１つが選択されると、前記受信側システムは、選択された前記対象データセットの詳細情報を含むデータセット詳細情報画面を表示する
ことを特徴とする受信側システム。
【請求項7】
データの送信側における送信側システムと、
前記データの受信側における受信側システムと、
前記データを一時的に保存して前記送信側システムから前記受信側システムへのデータ転送を中継する外部リポジトリと
を有するデータ送受信システムで実行するデータ送受信方法であって、
前記送信側システムは、
送信対象のデータのセットである対象データセットを共通鍵で暗号化して暗号化対象データセットを生成し、
前記対象データセットの識別符号であるデータセットＩＤと前記共通鍵とを前記受信側システムの公開鍵により暗号化して暗号化データセットＩＤ及び暗号化共通鍵を生成し、
前記暗号化対象データセットと、暗号化していないデータセットＩＤである非暗号化データセットＩＤとを前記外部リポジトリに送信し、
外部サーバを介して又は直接、前記受信側システムに対して前記暗号化データセットＩＤ及び前記暗号化共通鍵を送信し、
前記外部リポジトリは、前記送信側システムから受信した前記暗号化対象データセット及び前記非暗号化データセットＩＤを記録し、
前記受信側システムは、
前記送信側システムから受信した前記暗号化データセットＩＤ及び前記暗号化共通鍵を前記受信側システムの秘密鍵により復号して復号データセットＩＤ及び復号共通鍵を生成し、
前記復号データセットＩＤで特定される前記暗号化対象データセットの送信を前記外部リポジトリに要求し、
前記外部リポジトリは、前記受信側システムから受信した前記復号データセットＩＤに対応する前記非暗号化データセットＩＤで特定される前記暗号化対象データセットを前記受信側システムに送信し、
前記受信側システムは、前記外部リポジトリから受信した前記暗号化対象データセットを前記復号共通鍵で復号し、復号した前記対象データセットに含まれる各データに展開して記録する
ことを特徴とするデータ送受信方法。
前記データの受信側における受信側システムと、
前記データを一時的に保存して前記送信側システムから前記受信側システムへのデータ転送を中継する外部リポジトリと
を有するデータ送受信システムで実行するデータ送受信方法であって、
前記送信側システムは、
送信対象のデータのセットである対象データセットを共通鍵で暗号化して暗号化対象データセットを生成し、
前記対象データセットの識別符号であるデータセットＩＤと前記共通鍵とを前記受信側システムの公開鍵により暗号化して暗号化データセットＩＤ及び暗号化共通鍵を生成し、
前記暗号化対象データセットと、暗号化していないデータセットＩＤである非暗号化データセットＩＤとを前記外部リポジトリに送信し、
外部サーバを介して又は直接、前記受信側システムに対して前記暗号化データセットＩＤ及び前記暗号化共通鍵を送信し、
前記外部リポジトリは、前記送信側システムから受信した前記暗号化対象データセット及び前記非暗号化データセットＩＤを記録し、
前記受信側システムは、
前記送信側システムから受信した前記暗号化データセットＩＤ及び前記暗号化共通鍵を前記受信側システムの秘密鍵により復号して復号データセットＩＤ及び復号共通鍵を生成し、
前記復号データセットＩＤで特定される前記暗号化対象データセットの送信を前記外部リポジトリに要求し、
前記外部リポジトリは、前記受信側システムから受信した前記復号データセットＩＤに対応する前記非暗号化データセットＩＤで特定される前記暗号化対象データセットを前記受信側システムに送信し、
前記受信側システムは、前記外部リポジトリから受信した前記暗号化対象データセットを前記復号共通鍵で復号し、復号した前記対象データセットに含まれる各データに展開して記録する
ことを特徴とするデータ送受信方法。
【発明の詳細な説明】
【技術分野】
【0001】
本発明は、医用データ送受信システム、送信側システム、受信側システム及びデータ送受信方法に関し、例えば、セキュリティを確保した状態での医用データの送受信に用いられる医用データ送受信システム、送信側システム、受信側システム及びデータ送受信方法に関する。
【背景技術】
【0002】
ある医療機関から別の医療機関に患者を紹介する場合等に、患者の医用データ（例えば医用画像データ）を紹介先の医療機関に送るための技術が開発されている（特許文献１）。
【0003】
特許文献１は、医用画像データ等の容易なインポートを可能にすることを目的としている（［０００６］、要約）。この目的を達成するため、特許文献１の実施例１（要約、［００１３］～[００６９]）の画像入力装置（２１１）は、カードから取得したデータを診察券データとしてデータ処理装置（２１３）に送信して、データ処理装置（２１３）から有効な診察券又は無効な診察券を示す応答を受信する。有効な診察券を示す応答を受信した場合、画像入力装置（２１１）は、メディア（１６）に医用データが存在するか否かを判定し、メディア（１６）に医用データが存在すると判定した場合、メディア（１６）から取得した医用データをデータ処理装置（２１３）に送信する。特許文献１の実施例１において、医用データを記録したメディア（１６）は、患者（１７）が挿入する、換言すると、患者（１７）が携行するものとされている（［００４０］、［００７１］、図２）。
【0004】
また、特許文献１の実施例２（［００７０］～［００８０］）では、仮想プライベートネットワーク（ＶＰＮ）を用いて医用データを送受信する。すなわち、送信元の医療機関（１０）及び送信先の医療機関（２０）のＬＡＮ（１５、２５）は、ＶＰＮルータ（４２、４３）を介して外部ネットワーク（４０）のサーバ装置（４１）に接続されている（［００７２］）。
【0005】
そして、医療機関（１０）の画像出力装置（１１）は、サーバ装置（４１）に、患者（１７）の医用データをアップロードする（エクスポート処理）。患者（１７）は、医療機関（１０）の検査課窓口等で自身の医用データを取得するための取得コード（トークン）が記録された伝票を受け取り、メディア（１６）の代わりに当該伝票を医療機関（２０）に携行する。医療機関（２０）において、患者（１７）は、受付窓口の指示に従い、医療機関（２０）における自身の診察券を画像入力装置（２１１）の診察券挿入口に挿入し、医用データのインポートを開始する（［００７３］）。インポートに際し、データ処理装置（２１３）は、トークンをキーにしてサーバ装置（４１）から医用データをダウンロードする。その後、データ処理装置（２１３）は、患者情報の一致判定、患者情報の適合化、ＰＡＣＳ（２２）へのデータ送信を行う（インポート処理）（［００７６］）。
【先行技術文献】
【特許文献】
【0006】
【特許文献1】特開２０１７－０２１５３５号公報
【発明の概要】
【発明が解決しようとする課題】
【0007】
上記のように、特許文献１の実施例２では、ＶＰＮ及び外部サーバ装置（４１）を用いて、送信元の医療機関（１０）から送信先の医療機関（２０）に医用データを送信する（［００７０］～［００７６］、図２）。この実施例２では、患者（１７）の医用データを取得するための取得コード（トークン）を患者（１７）が、送信先の医療機関（２０）に持ち運ぶ（［００７２］）。そして、送信先の医療機関（２０）のインポートシステム（２１）のデータ処理装置（２１３）は、トークンをキーにして及びＶＰＮを介して外部サーバ装置（４１）から医用データをダウンロードする（［００７６］）。
【0008】
しかしながら、例えば医用画像データの場合、比較的データサイズが大きく、ダウンロードに時間を要することがある。トークンを患者（１７）が持ち運ぶ構成の場合、医用データのダウンロードは、患者（１７）がデータ送信先の医療機関（２０）に行った後でないと開始できない。そのため、ダウンロードに時間がかかることで診察等が遅れる可能性が生じる。
【0009】
本発明は上記のような課題を考慮してなされたものであり、データ送信先の医療機関における診察等を円滑化可能な医用データ送受信システム、送信側システム、受信側システム及びデータ送受信方法を提供することを目的とする。
【課題を解決するための手段】
【0010】
本発明に係る医用データ送受信システムは、
医用データの送信側の医療機関における送信側システムと、
前記医用データの受信側の医療機関における受信側システムと、
前記医用データを一時的に保存して前記送信側システムから前記受信側システムへのデータ転送を中継する外部リポジトリと
を有するものであって、
前記送信側システムは、
送信対象の医用データのセットである対象データセットを共通鍵で暗号化して暗号化対象データセットを生成し、
前記対象データセットの識別符号であるデータセットＩＤと前記共通鍵とを前記受信側システムの公開鍵により暗号化して暗号化データセットＩＤ及び暗号化共通鍵を生成し、
前記暗号化対象データセットと、暗号化していないデータセットＩＤである非暗号化データセットＩＤとを前記外部リポジトリに送信し、
外部サーバを介して又は直接、前記受信側システムに対して前記暗号化データセットＩＤ及び前記暗号化共通鍵を送信し、
前記外部リポジトリは、前記送信側システムから受信した前記暗号化対象データセット及び前記非暗号化データセットＩＤを記録し、
前記受信側システムは、
前記送信側システムから受信した前記暗号化データセットＩＤ及び前記暗号化共通鍵を前記受信側システムの秘密鍵により復号して復号データセットＩＤ及び復号共通鍵を生成し、
前記復号データセットＩＤで特定される前記暗号化対象データセットの送信を前記外部リポジトリに要求し、
前記外部リポジトリは、前記受信側システムから受信した前記復号データセットＩＤに対応する前記非暗号化データセットＩＤで特定される前記暗号化対象データセットを前記受信側システムに送信し、
前記受信側システムは、前記外部リポジトリから受信した前記暗号化対象データセットを前記復号共通鍵で復号し、復号した前記対象データセットに含まれる各医用データに展開して記録する
ことを特徴とする。
医用データの送信側の医療機関における送信側システムと、
前記医用データの受信側の医療機関における受信側システムと、
前記医用データを一時的に保存して前記送信側システムから前記受信側システムへのデータ転送を中継する外部リポジトリと
を有するものであって、
前記送信側システムは、
送信対象の医用データのセットである対象データセットを共通鍵で暗号化して暗号化対象データセットを生成し、
前記対象データセットの識別符号であるデータセットＩＤと前記共通鍵とを前記受信側システムの公開鍵により暗号化して暗号化データセットＩＤ及び暗号化共通鍵を生成し、
前記暗号化対象データセットと、暗号化していないデータセットＩＤである非暗号化データセットＩＤとを前記外部リポジトリに送信し、
外部サーバを介して又は直接、前記受信側システムに対して前記暗号化データセットＩＤ及び前記暗号化共通鍵を送信し、
前記外部リポジトリは、前記送信側システムから受信した前記暗号化対象データセット及び前記非暗号化データセットＩＤを記録し、
前記受信側システムは、
前記送信側システムから受信した前記暗号化データセットＩＤ及び前記暗号化共通鍵を前記受信側システムの秘密鍵により復号して復号データセットＩＤ及び復号共通鍵を生成し、
前記復号データセットＩＤで特定される前記暗号化対象データセットの送信を前記外部リポジトリに要求し、
前記外部リポジトリは、前記受信側システムから受信した前記復号データセットＩＤに対応する前記非暗号化データセットＩＤで特定される前記暗号化対象データセットを前記受信側システムに送信し、
前記受信側システムは、前記外部リポジトリから受信した前記暗号化対象データセットを前記復号共通鍵で復号し、復号した前記対象データセットに含まれる各医用データに展開して記録する
ことを特徴とする。
【0011】
本発明によれば、受信側システムの公開鍵で暗号化した暗号化データセットＩＤ及び暗号化共通鍵を送信側システムから受信側システムに送信する。そして、受信側システムは、自らの秘密鍵で復号した復号データセットＩＤを用いて、外部リポジトリから暗号化対象データセットを取得し、自らの秘密鍵で復号した復号共通鍵を用いて対象データセットを復号及び展開する。これにより、暗号化データセットＩＤ（特許文献１でいうところのトークンに代わるもの）を、患者が持ち運ばずに、送信側システムと受信側システムの間の通信により受信側システムに届けることができる。そのため、受信側システムは、患者が医用データの送信先の医療機関に来る前に、医用データをダウンロードしておくことが可能となる。従って、患者が医用データの送信先の医療機関に来てからの診察等を円滑化することが可能となる。
【0012】
さらに、送信対象の医用データのセットである対象データセットについては、共通鍵で暗号化及び復号を行う一方、データセットＩＤ及び共通鍵については受信側システムの公開鍵及び秘密鍵で暗号化及び復号を行う。これにより、データサイズが比較的大きくなり得る対象データセットについては共通鍵による暗号化及び復号を用いることでセキュリティを確保しつつ演算負荷を抑制可能となる。その一方、データサイズが比較的小さくなり得るデータセットＩＤ及び共通鍵については受信側システムの公開鍵及び秘密鍵による暗号化及び復号を用いることで（及び対象データセットに関する共通鍵暗号方式と組み合わせることで）、より高いセキュリティを確保可能となる。
【0013】
本発明の別の態様に係る送信側システムは、医用データの送信側の医療機関におけるものであって、
前記送信側システムは、前記医用データを一時的に保存する外部リポジトリを介して、前記医用データの受信側の医療機関における受信側システムに対して前記医用データを送信するものであり、
さらに、前記送信側システムは、
送信対象の医用データのセットである対象データセットを共通鍵で暗号化して暗号化対象データセットを生成し、
前記対象データセットの識別符号であるデータセットＩＤと前記共通鍵とを前記受信側システムの公開鍵により暗号化して暗号化データセットＩＤ及び暗号化共通鍵を生成し、
前記暗号化対象データセットと、暗号化していないデータセットＩＤである非暗号化データセットＩＤとを前記外部リポジトリに送信し、
外部サーバを介して又は直接、前記受信側システムに対して前記暗号化データセットＩＤ及び前記暗号化共通鍵を送信する
ことを特徴とする。
前記送信側システムは、前記医用データを一時的に保存する外部リポジトリを介して、前記医用データの受信側の医療機関における受信側システムに対して前記医用データを送信するものであり、
さらに、前記送信側システムは、
送信対象の医用データのセットである対象データセットを共通鍵で暗号化して暗号化対象データセットを生成し、
前記対象データセットの識別符号であるデータセットＩＤと前記共通鍵とを前記受信側システムの公開鍵により暗号化して暗号化データセットＩＤ及び暗号化共通鍵を生成し、
前記暗号化対象データセットと、暗号化していないデータセットＩＤである非暗号化データセットＩＤとを前記外部リポジトリに送信し、
外部サーバを介して又は直接、前記受信側システムに対して前記暗号化データセットＩＤ及び前記暗号化共通鍵を送信する
ことを特徴とする。
【0014】
前記送信側システムは、前記送信側システムのユーザにより前記対象データセットの送信設定を行う送信設定画面を表示してもよい。また、前記送信設定画面は、複数の前記受信側システムから選択される１つ又は複数の前記対象データセットの送信先を入力する送信先入力欄と、前記対象データセットに含まれる１つ又は複数の前記送信対象の医用データを入力する医用データ入力欄と、前記送信先に対して前記対象データセットの送信を指令する送信ボタンとを含んでもよい。これにより、送信設定画面で、送信先の入力、対象データセットに含まれる送信対象の医用データの入力、及び送信指令それぞれを行うことができる。従って、送信側システムのユーザの操作性を高めることが可能となる。
【0015】
前記送信設定画面において前記送信ボタンが押されたことを契機として、前記送信側システムは、前記暗号化対象データセット、前記暗号化データセットＩＤ及び前記暗号化共通鍵の生成と、前記外部リポジトリに対する前記暗号化対象データセット及び前記非暗号化データセットＩＤの送信と、前記受信側システムに対する前記暗号化データセットＩＤ及び前記暗号化共通鍵の送信とを行ってもよい。これにより、送信側システムのユーザの操作性を高めることが可能となる。
【0016】
本発明のさらに別の態様に係る受信側システムは、医用データの受信側の医療機関におけるものであって、
前記受信側システムは、前記医用データを一時的に保存する外部リポジトリを介して、前記医用データの送信側の医療機関における送信側システムから前記医用データを受信するものであり、
さらに、前記受信側システムは、
前記送信側システムの送信対象の医用データのセットである対象データセットの識別符号であるデータセットＩＤが前記受信側システムの公開鍵により暗号化された暗号化データセットＩＤと、前記対象データセットの暗号化に用いられた共通鍵が前記受信側システムの公開鍵により暗号化された暗号化共通鍵とを、外部サーバを介して又は直接、前記送信側システムから受信し、
前記暗号化データセットＩＤ及び前記暗号化共通鍵を前記受信側システムの秘密鍵により復号して復号データセットＩＤ及び復号共通鍵を生成し、
前記送信側システムにおいて前記共通鍵により暗号化された前記対象データセットである暗号化対象データセットのうち前記復号データセットＩＤで特定されるものの送信を前記外部リポジトリに要求し、
前記外部リポジトリから受信した前記暗号化対象データセットを前記復号共通鍵で復号し、復号した前記対象データセットに含まれる各医用データに展開して記録する
ことを特徴とする。
前記受信側システムは、前記医用データを一時的に保存する外部リポジトリを介して、前記医用データの送信側の医療機関における送信側システムから前記医用データを受信するものであり、
さらに、前記受信側システムは、
前記送信側システムの送信対象の医用データのセットである対象データセットの識別符号であるデータセットＩＤが前記受信側システムの公開鍵により暗号化された暗号化データセットＩＤと、前記対象データセットの暗号化に用いられた共通鍵が前記受信側システムの公開鍵により暗号化された暗号化共通鍵とを、外部サーバを介して又は直接、前記送信側システムから受信し、
前記暗号化データセットＩＤ及び前記暗号化共通鍵を前記受信側システムの秘密鍵により復号して復号データセットＩＤ及び復号共通鍵を生成し、
前記送信側システムにおいて前記共通鍵により暗号化された前記対象データセットである暗号化対象データセットのうち前記復号データセットＩＤで特定されるものの送信を前記外部リポジトリに要求し、
前記外部リポジトリから受信した前記暗号化対象データセットを前記復号共通鍵で復号し、復号した前記対象データセットに含まれる各医用データに展開して記録する
ことを特徴とする。
【0017】
前記受信側システムは、前記外部リポジトリを介して１つ又は複数の前記送信側システムからの前記暗号化対象データセットの受信並びにその後の復号及び展開が完了した１つ又は複数の前記対象データセットを選択可能に表示したデータセットリストを含むデータセットリスト画面を表示してもよい。また、前記データセットリスト画面において、前記受信側システムのユーザにより前記対象データセットの１つが選択されると、前記受信側システムは、選択された前記対象データセットの詳細情報を含むデータセット詳細情報画面を表示してもよい。
【0018】
これにより、時間がかかる受信（ダウンロード）、復号及び展開が、受信側システムのユーザの操作を待たずに進行するため、遅延を防ぐ効果をさらに高めることが可能となる。また、受信側システムのユーザは、受信、復号及び展開が完了した対象データセットの詳細情報を簡易な操作で確認することが可能となる。
【0019】
本発明のさらに別の態様に係るデータ送受信方法は、
データの送信側における送信側システムと、
前記データの受信側における受信側システムと、
前記データを一時的に保存して前記送信側システムから前記受信側システムへのデータ転送を中継する外部リポジトリと
を有するデータ送受信システムで実行する方法であって、
前記送信側システムは、
送信対象のデータのセットである対象データセットを共通鍵で暗号化して暗号化対象データセットを生成し、
前記対象データセットの識別符号であるデータセットＩＤと前記共通鍵とを前記受信側システムの公開鍵により暗号化して暗号化データセットＩＤ及び暗号化共通鍵を生成し、
前記暗号化対象データセットと、暗号化していないデータセットＩＤである非暗号化データセットＩＤとを前記外部リポジトリに送信し、
外部サーバを介して又は直接、前記受信側システムに対して前記暗号化データセットＩＤ及び前記暗号化共通鍵を送信し、
前記外部リポジトリは、前記送信側システムから受信した前記暗号化対象データセット及び前記非暗号化データセットＩＤを記録し、
前記受信側システムは、
前記送信側システムから受信した前記暗号化データセットＩＤ及び前記暗号化共通鍵を前記受信側システムの秘密鍵により復号して復号データセットＩＤ及び復号共通鍵を生成し、
前記復号データセットＩＤで特定される前記暗号化対象データセットの送信を前記外部リポジトリに要求し、
前記外部リポジトリは、前記受信側システムから受信した前記復号データセットＩＤに対応する前記非暗号化データセットＩＤで特定される前記暗号化対象データセットを前記受信側システムに送信し、
前記受信側システムは、前記外部リポジトリから受信した前記暗号化対象データセットを前記復号共通鍵で復号し、復号した前記対象データセットに含まれる各データに展開して記録する
ことを特徴とする。
データの送信側における送信側システムと、
前記データの受信側における受信側システムと、
前記データを一時的に保存して前記送信側システムから前記受信側システムへのデータ転送を中継する外部リポジトリと
を有するデータ送受信システムで実行する方法であって、
前記送信側システムは、
送信対象のデータのセットである対象データセットを共通鍵で暗号化して暗号化対象データセットを生成し、
前記対象データセットの識別符号であるデータセットＩＤと前記共通鍵とを前記受信側システムの公開鍵により暗号化して暗号化データセットＩＤ及び暗号化共通鍵を生成し、
前記暗号化対象データセットと、暗号化していないデータセットＩＤである非暗号化データセットＩＤとを前記外部リポジトリに送信し、
外部サーバを介して又は直接、前記受信側システムに対して前記暗号化データセットＩＤ及び前記暗号化共通鍵を送信し、
前記外部リポジトリは、前記送信側システムから受信した前記暗号化対象データセット及び前記非暗号化データセットＩＤを記録し、
前記受信側システムは、
前記送信側システムから受信した前記暗号化データセットＩＤ及び前記暗号化共通鍵を前記受信側システムの秘密鍵により復号して復号データセットＩＤ及び復号共通鍵を生成し、
前記復号データセットＩＤで特定される前記暗号化対象データセットの送信を前記外部リポジトリに要求し、
前記外部リポジトリは、前記受信側システムから受信した前記復号データセットＩＤに対応する前記非暗号化データセットＩＤで特定される前記暗号化対象データセットを前記受信側システムに送信し、
前記受信側システムは、前記外部リポジトリから受信した前記暗号化対象データセットを前記復号共通鍵で復号し、復号した前記対象データセットに含まれる各データに展開して記録する
ことを特徴とする。
【発明の効果】
【0020】
本発明によれば、データ送信先の医療機関における診察等を円滑化可能となる。
【図面の簡単な説明】
【0021】
【図1】本発明の一実施形態に係る医用データ送受信システムの概略構成図である。
【図2】前記実施形態に係る送信側ゲートウェイ端末の概略構成図である。
【図3】前記実施形態に係る受信側ゲートウェイ端末の概略構成図である。
【図4】前記実施形態における医用データ送信時の処理の流れを示す図である。
【図5】前記実施形態における医用データ受信時の処理の流れを示す図である。
【発明を実施するための形態】
【0022】
Ａ．一実施形態
＜Ａ－１．本実施形態の構成＞
［Ａ－１－１．全体構成］
図１は、本発明の一実施形態に係る医用データ送受信システム１０の概略構成図である。医用データ送受信システム１０（以下「送受信システム１０」ともいう。）は、複数の送信側システム２０と、認証サーバ３０と、外部リポジトリ４０と、メールサーバ５０と、複数の受信側システム６０とを有する。なお、図１では、送信側システム２０及び受信側システム６０をそれぞれ１つずつしか示していないことに留意されたい。また、ここでは、理解の容易さを考慮して、送信側システム２０と受信側システム６０に分けているが、送信側システム２０が受信側システム６０の機能を有し、受信側システム６０が送信側システム２０の機能を有することも可能である。送信側システム２０は、インターネット等の通信ネットワーク７０を介して、認証サーバ３０、外部リポジトリ４０及びメールサーバ５０と通信可能である。また、受信側システム６０は、通信ネットワーク７０を介して、認証サーバ３０、外部リポジトリ４０及びメールサーバ５０と通信可能である。
＜Ａ－１．本実施形態の構成＞
［Ａ－１－１．全体構成］
図１は、本発明の一実施形態に係る医用データ送受信システム１０の概略構成図である。医用データ送受信システム１０（以下「送受信システム１０」ともいう。）は、複数の送信側システム２０と、認証サーバ３０と、外部リポジトリ４０と、メールサーバ５０と、複数の受信側システム６０とを有する。なお、図１では、送信側システム２０及び受信側システム６０をそれぞれ１つずつしか示していないことに留意されたい。また、ここでは、理解の容易さを考慮して、送信側システム２０と受信側システム６０に分けているが、送信側システム２０が受信側システム６０の機能を有し、受信側システム６０が送信側システム２０の機能を有することも可能である。送信側システム２０は、インターネット等の通信ネットワーク７０を介して、認証サーバ３０、外部リポジトリ４０及びメールサーバ５０と通信可能である。また、受信側システム６０は、通信ネットワーク７０を介して、認証サーバ３０、外部リポジトリ４０及びメールサーバ５０と通信可能である。
【0023】
送受信システム１０では、送信対象の医用データのセットである対象データセットが、外部リポジトリ４０を介して送信側システム２０から受信側システム６０に送信される。その際、対象データセットは、送信側システム２０が生成した共通鍵（セッション鍵）により暗号化された暗号化データセットの形で送信される。
【0024】
また、送信側システム２０は、受信側システム６０が外部リポジトリ４０から暗号化データセットをダウンロードし、その後、復号及び展開を行うための情報（以下「ダウンロード関連情報」という。）を、メールサーバ５０を介してデータ送信先の受信側システム６０に送信する。ところで、ＩＳＯ／ＴＳ２２６９１では、リポジトリを介して医用データを施設間で交換するために、ダウンロードに必要な情報を記述したＨＩ－ＴＯＫＥＮ（Health Information Token）が定義されている。この点を踏まえ、以下では、前記ダウンロード関連情報のことを、「ＨＩトークン」ともいう。ＨＩトークンには、例えば、対象データセットの識別符号であるデータセットＩＤと、対象データセットの暗号化に用いた共通鍵（セッション鍵）とが含まれる。ＨＩトークンは、データ送信先の受信側システム６０の秘密鍵により暗号化された暗号化ＨＩトークンの形で送信される。
【0025】
メールサーバ５０を介して送信側システム２０から暗号化ＨＩトークンを受信した受信側システム６０は、自らの秘密鍵を用いて暗号化ＨＩトークンを復号して復号ＨＩトークンを生成する。そして、復号ＨＩトークンに含まれるデータセットＩＤ（復号データセットＩＤ）を用いて外部リポジトリ４０から暗号化データセットをダウンロードし、その後、復号ＨＩトークンに含まれる共通鍵（復号共通鍵）を用いた復号及び展開を行う。
【0026】
認証サーバ３０は、送信側システム２０及び受信側システム６０が外部リポジトリ４０にアクセスする際の認証（アクセス権限付与）を行う。
【0027】
［Ａ－１－２．送信側システム２０］
（Ａ－１－２－１．送信側システム２０の概要）
送信側システム２０は、医用データ（対象データセット）の送信側の医療機関で用いられる。上記のように、送信側システム２０は、外部リポジトリ４０を介してデータ送信先の受信側システム６０に対して、共通鍵で暗号化した医用データ（対象データセット）を送信すると共に、メールサーバ５０を介してデータ送信先の受信側システム６０に対して、受信側システム６０の公開鍵で暗号化したＨＩトークンを送信する。
（Ａ－１－２－１．送信側システム２０の概要）
送信側システム２０は、医用データ（対象データセット）の送信側の医療機関で用いられる。上記のように、送信側システム２０は、外部リポジトリ４０を介してデータ送信先の受信側システム６０に対して、共通鍵で暗号化した医用データ（対象データセット）を送信すると共に、メールサーバ５０を介してデータ送信先の受信側システム６０に対して、受信側システム６０の公開鍵で暗号化したＨＩトークンを送信する。
【0028】
図１に示すように、送信側システム２０は、ＰＡＣＳ２００と、電子カルテシステム２１０と、SS-MIX標準化ストレージ２２０と、送信側ゲートウェイ端末２３０と、ルータ２４０とを有する。ＰＡＣＳ２００は、医療用画像管理システムである。ＰＡＣＳは、「Picture Archiving and Communication System」の略語である。電子カルテシステム２１０は、電子カルテを管理するシステムである。SS-MIX標準化ストレージ２２０は、「厚生労働省電子的診療情報交換推進事業」（SS-MIX：Standardized Structured Medical Information eXchange）により標準化されたストレージである。送信側ゲートウェイ端末２３０は、ＰＡＣＳ２００、電子カルテシステム２１０及びSS-MIX標準化ストレージ２２０に蓄積されている医用データを、受信側システム６０に送信する。ルータ２４０は、送信側ゲートウェイ端末２３０等を通信ネットワーク７０（インターネット）に接続するための機器である。本実施形態のルータ２４０は、ＶＰＮ（Virtual Private Network）タイプではないが、ＶＰＮタイプであってもよい。
【0029】
（Ａ－１－２－２．送信側ゲートウェイ端末２３０）
図２は、本実施形態に係る送信側ゲートウェイ端末２３０の概略構成図である。上記のように、送信側ゲートウェイ端末２３０は、ＰＡＣＳ２００、電子カルテシステム２１０及びSS-MIX標準化ストレージ２２０に蓄積されている医用データを、受信側システム６０に送信する。送信側ゲートウェイ端末２３０としては、例えば、一般的なパーソナルコンピュータ（デスクトップ型、ノート型等）を用いることができる。或いは、送信側ゲートウェイ端末２３０は、スマートホン、タブレット端末等のその他の情報端末としてもよい。
図２は、本実施形態に係る送信側ゲートウェイ端末２３０の概略構成図である。上記のように、送信側ゲートウェイ端末２３０は、ＰＡＣＳ２００、電子カルテシステム２１０及びSS-MIX標準化ストレージ２２０に蓄積されている医用データを、受信側システム６０に送信する。送信側ゲートウェイ端末２３０としては、例えば、一般的なパーソナルコンピュータ（デスクトップ型、ノート型等）を用いることができる。或いは、送信側ゲートウェイ端末２３０は、スマートホン、タブレット端末等のその他の情報端末としてもよい。
【0030】
図２に示すように、送信側ゲートウェイ端末２３０は、通信装置２３００と、入出力装置２３１０と、制御装置２３２０と、記憶装置２３３０とを有する。これに加えて、送信側ゲートウェイ端末２３０は、個人認証用の認証デバイス（図示せず）を有してもよい。通信装置２３００は、ルータ２４０及び通信ネットワーク７０（図１）を介して認証サーバ３０、外部リポジトリ４０及びメールサーバ５０と通信可能である。入出力装置２３１０は、送信側ゲートウェイ端末２３０のユーザ（送信元の医療機関の担当者（医師、システム担当者、助手、事務員等））からの入力を受け付けると共に、ユーザに対して出力を行う。入出力装置２３１０は、入力装置としてのキーボード２３１１及びマウス２３１２と、出力装置としての表示装置２３１３とを含む。
【0031】
制御装置２３２０は、送信側ゲートウェイ端末２３０全体を制御する。本実施形態において、制御装置２３２０は、医用データの送信に関する処理を行う。記憶装置２３３０は、制御装置２３２０が実行するソフトウェア及び各種データを記憶する。
【0032】
図２に示すように、制御装置２３２０は、エクスポート処理部２３２１と、アップロードデータ生成部２３２２と、アップロード部２３２３と、ＨＩトークン生成部２３２４と、ＨＩトークン送信先管理部２３２５と、ＨＩトークン送信部２３２６とを有する。エクスポート処理部２３２１は、送信先の医療機関（受信側システム６０）に送信する医用データをエクスポートする処理（エクスポート処理）を実行する。アップロードデータ生成部２３２２は、外部リポジトリ４０にアップロードするデータ（対象データセット）を生成する。アップロード部２３２３は、対象データセットを外部リポジトリ４０にアップロードする。ＨＩトークン生成部２３２４は、ＨＩトークン（後述）を生成する。ＨＩトークン送信先管理部２３２５は、ＨＩトークンの送信先を管理する。ＨＩトークン送信部２３２６は、ＨＩトークンを送信する。後述するように、本実施形態では、ＨＩトークンは、暗号化された電子メールの本文として送信される。
【0033】
［Ａ－１－３．認証サーバ３０］
認証サーバ３０（図１）は、送信側システム２０及び受信側システム６０が外部リポジトリ４０にアクセスする際の認証（アクセス権限付与）を行う。認証サーバ３０は、図示しない通信装置、入出力装置、制御装置及び記憶装置を有する。
認証サーバ３０（図１）は、送信側システム２０及び受信側システム６０が外部リポジトリ４０にアクセスする際の認証（アクセス権限付与）を行う。認証サーバ３０は、図示しない通信装置、入出力装置、制御装置及び記憶装置を有する。
【0034】
［Ａ－１－４．外部リポジトリ４０］
上記のように、外部リポジトリ４０は、医用データ（対象データセット）を一時的に保存して送信側システム２０から受信側システム６０へのデータ転送を中継する。外部リポジトリ４０は、例えば、ストレージサーバとして構成することができる。或いは、外部リポジトリ４０は、Network Attached Storage（ＮＡＳ）として構成してもよい。外部リポジトリ４０は、図示しない通信装置、入出力装置、制御装置及び記憶装置を有する。
上記のように、外部リポジトリ４０は、医用データ（対象データセット）を一時的に保存して送信側システム２０から受信側システム６０へのデータ転送を中継する。外部リポジトリ４０は、例えば、ストレージサーバとして構成することができる。或いは、外部リポジトリ４０は、Network Attached Storage（ＮＡＳ）として構成してもよい。外部リポジトリ４０は、図示しない通信装置、入出力装置、制御装置及び記憶装置を有する。
【0035】
［Ａ－１－５．メールサーバ５０］
メールサーバ５０は、送信側システム２０から受信側システム６０への暗号化ＨＩトークン（暗号化データセットＩＤ及び暗号化共通鍵を含む。）の送信を中継する。メールサーバ５０は、図示しない通信装置、入出力装置、制御装置及び記憶装置を有する。
メールサーバ５０は、送信側システム２０から受信側システム６０への暗号化ＨＩトークン（暗号化データセットＩＤ及び暗号化共通鍵を含む。）の送信を中継する。メールサーバ５０は、図示しない通信装置、入出力装置、制御装置及び記憶装置を有する。
【0036】
［Ａ－１－６．受信側システム６０］
（Ａ－１－６－１．受信側システム６０の概要）
受信側システム６０は、医用データ（対象データセット）の受信側の医療機関で用いられる。上記のように、受信側システム６０は、メールサーバ５０を介して送信側システム２０からＨＩトークンを受信すると共に、外部リポジトリ４０を介して送信側システム２０から医用データ（対象データセット）を受信する。
（Ａ－１－６－１．受信側システム６０の概要）
受信側システム６０は、医用データ（対象データセット）の受信側の医療機関で用いられる。上記のように、受信側システム６０は、メールサーバ５０を介して送信側システム２０からＨＩトークンを受信すると共に、外部リポジトリ４０を介して送信側システム２０から医用データ（対象データセット）を受信する。
【0037】
図１に示すように、受信側システム６０は、ルータ６００と、受信側ゲートウェイ端末６１０と、ＲＩＳ端末６２０と、ＰＡＣＳ６３０と、電子カルテシステム６４０と、SS-MIX標準化ストレージ６５０とを有する。ルータ６００は、受信側ゲートウェイ端末６１０等を通信ネットワーク７０（インターネット）に接続するための機器である。本実施形態のルータ６００は、ＶＰＮタイプではないが、ＶＰＮタイプであってもよい。受信側ゲートウェイ端末６１０は、送信側システム２０からの対象データセットに含まれる各医用データを、ＰＡＣＳ６３０、電子カルテシステム６４０及びSS-MIX標準化ストレージ６５０にインポートする。ＲＩＳ端末６２０は、放射線科情報システム（Radiology Information System）である。ＰＡＣＳ６３０は、医療用画像管理システムである。電子カルテシステム６４０は、電子カルテを管理するシステムである。SS-MIX標準化ストレージ６５０は、SS-MIXにより標準化されたストレージである。
【0038】
（Ａ－１－６－２．受信側ゲートウェイ端末６１０）
図３は、本実施形態に係る受信側ゲートウェイ端末６１０の概略構成図である。上記のように、受信側ゲートウェイ端末６１０は、送信側システム２０からの対象データセットに含まれる各医用データを、ＰＡＣＳ６３０、電子カルテシステム６４０及びSS-MIX標準化ストレージ６５０にインポートする。受信側ゲートウェイ端末６１０としては、例えば、一般的なパーソナルコンピュータ（デスクトップ型、ノート型等）を用いることができる。或いは、送信側ゲートウェイ端末２３０は、スマートホン、タブレット端末等のその他の情報端末としてもよい。
図３は、本実施形態に係る受信側ゲートウェイ端末６１０の概略構成図である。上記のように、受信側ゲートウェイ端末６１０は、送信側システム２０からの対象データセットに含まれる各医用データを、ＰＡＣＳ６３０、電子カルテシステム６４０及びSS-MIX標準化ストレージ６５０にインポートする。受信側ゲートウェイ端末６１０としては、例えば、一般的なパーソナルコンピュータ（デスクトップ型、ノート型等）を用いることができる。或いは、送信側ゲートウェイ端末２３０は、スマートホン、タブレット端末等のその他の情報端末としてもよい。
【0039】
図３に示すように、受信側ゲートウェイ端末６１０は、通信装置６１００と、入出力装置６１１０と、制御装置６１２０と、記憶装置６１３０とを有する。これに加えて、受信側ゲートウェイ端末６１０は、個人認証用の認証デバイス（図示せず）を有してもよい。通信装置６１００は、ルータ６００及び通信ネットワーク７０（図１）を介して、認証サーバ３０、外部リポジトリ４０及びメールサーバ５０と通信可能である。入出力装置６１１０は、受信側ゲートウェイ端末６１０のユーザ（送信先の医療機関の担当者（医師、システム担当者、助手、事務員等）からの入力を受け付けると共に、ユーザに対して出力を行う。入出力装置６１１０は、入力装置としてのキーボード６１１１及びマウス６１１２と、出力装置としての表示装置６１１３とを含む。
【0040】
制御装置６１２０は、受信側ゲートウェイ端末６１０全体を制御する。本実施形態において、制御装置６１２０は、医用データの受信に関する処理を行う。記憶装置６１３０は、制御装置６１２０が実行するソフトウェア及び各種データを記憶する。ここでの各種データには、外部リポジトリ４０を介して送信側システム２０から受信した医用データも含まれる（詳細は後述する。）。
【0041】
図３に示すように、制御装置６１２０は、ＨＩトークン受信部６１２１と、ダウンロード部６１２２と、復号・展開部６１２３と、受信情報管理部６１２４と、インポート処理部６１２５とを有する。ＨＩトークン受信部６１２１は、メールサーバ５０を介して送信側システム２０からＨＩトークン（電子メール）を受信する。ダウンロード部６１２２は、外部リポジトリ４０から暗号化データセットをダウンロードする。復号・展開部６１２３は、暗号化データセットの復号・展開を行う。受信情報管理部６１２４は、受信した対象データセット等をインポート処理の前後において管理する。インポート処理部６１２５は、復号・展開した対象データセット（又はそこに含まれる各医用データ（ファイル）をインポートする処理（インポート処理）を実行する。
【0042】
＜Ａ－２．本実施形態における処理＞
［Ａ－２－１．概要］
次に本実施形態における処理について説明する。上記のように、本実施形態では、共通鍵暗号方式を用いて且つ外部リポジトリ４０を介して送信側システム２０から受信側システム６０に暗号化データセットを送信する。また、公開鍵暗号方式を用いて且つメールサーバ５０を介して送信側システム２０から受信側システム６０に暗号化ＨＩトークン（暗号化データセットＩＤ及び暗号化共通鍵を含む。）を送信する。
［Ａ－２－１．概要］
次に本実施形態における処理について説明する。上記のように、本実施形態では、共通鍵暗号方式を用いて且つ外部リポジトリ４０を介して送信側システム２０から受信側システム６０に暗号化データセットを送信する。また、公開鍵暗号方式を用いて且つメールサーバ５０を介して送信側システム２０から受信側システム６０に暗号化ＨＩトークン（暗号化データセットＩＤ及び暗号化共通鍵を含む。）を送信する。
【0043】
［Ａ－２－２．医用データ送信時の処理］
図４は、本実施形態における医用データ送信時の処理の流れを示す図である。図４では、送信側システム２０から外部リポジトリ４０への暗号化データセットの一時保存のための処理、及びメールサーバ５０を介して送信側システム２０から受信側システム６０への暗号化ＨＩトークン（電子メール）の送信のための処理が含まれる。
図４は、本実施形態における医用データ送信時の処理の流れを示す図である。図４では、送信側システム２０から外部リポジトリ４０への暗号化データセットの一時保存のための処理、及びメールサーバ５０を介して送信側システム２０から受信側システム６０への暗号化ＨＩトークン（電子メール）の送信のための処理が含まれる。
【0044】
図４のステップＳ１０１において、送信側システム２０（送信側ゲートウェイ端末２３０）は、エクスポート処理を行う。エクスポート処理は、送信先の医療機関（受信側システム６０）に送信する医用データをエクスポートする処理である。エクスポート処理では、送信側システム２０は、送信側システム２０のユーザにより対象データセットの送信設定を行うための送信設定画面（図示せず）を表示する。
【0045】
送信設定画面は、例えば、患者名入力欄、検査入力欄、医用データ入力欄、送信先入力欄及び送信ボタン（いずれも図示せず）を含む。患者名入力欄は、送信先の医療機関に医用データを送信すべき患者名の入力欄である。検査入力欄は、送信対象の医用データを特定する検査内容の入力欄である。医用データ入力欄は、対象データセットに含まれる１つ又は複数の送信対象の医用データ（例えば、診療情報提供書のデータ、検査結果を示す画像ファイル、処方データ）を入力するための欄である。送信先入力欄は、複数の受信側システム６０から選択される１つ又は複数の対象データセットの送信先を入力するための欄である。
【0046】
患者名入力欄、検査入力欄及び医用データ入力欄への入力に際し、送信側システム２０（送信側ゲートウェイ端末２３０）は、ＰＡＣＳ２００、電子カルテシステム２１０又はSS-MIX標準化ストレージ２２０から適宜データを取得してユーザの入力し易いユーザインタフェースを用いることで、ユーザ入力を補助してもよい。そのようなユーザインタフェースとしては、例えば、キーワードによる検索、画像データのサムネイル表示等を用いることができる。同様に、送信先入力欄への入力に際し、送信側システム２０（送信側ゲートウェイ端末２３０）は、例えば、別の外部サーバ（例えば、各医療機関のアカウント情報を管理するアカウント管理サーバ（図示せず））から送信先の医療機関（受信側システム６０）のデータを取得してユーザの入力し易いユーザインタフェースを用いることで、ユーザ入力を補助してもよい。
【0047】
送信ボタンは、送信先に対して対象データセットの送信を指令するボタンである。送信ボタンが押されると、以下のステップＳ１０２～Ｓ１１０を送信側システム２０等が自動的に行う。なお、エクスポート処理の一部（例えば、送信先の選択、送信対象の医用データ（ファイル）の選択）は、特許文献１と同様に行うことができる。
【0048】
ステップＳ１０２において、送信側システム２０は、対象データセットを暗号化するためのセッション鍵（共通鍵）及び対象データセットＩＤを生成する。セッション鍵（共通鍵）としては、例えば、所定の文字数からなるアルファベット、数字及び記号をランダムに組み合わせた文字列としてのパスワードを用いることができる。また、対象データセットＩＤとしては、例えば、所定の文字数からなるアルファベット、数字及び記号のランダムな組合せを含む文字列を用いることができる。
【0049】
ステップＳ１０３において、送信側システム２０は、外部リポジトリ４０へのアクセス権限を認証サーバ３０に対して要求する。当該要求には、送信側システム２０の認証情報を含ませる。この認証情報としては、例えば、送信側システム２０のアカウント番号及びアカウントパスワードを含ませてもよい。ステップＳ１０４において、認証サーバ３０は、送信側システム２０に対してアクセス権限を付与する。より具体的には、認証サーバ３０は、送信側システム２０からの要求に含まれる認証情報を用いて、送信側システム２０が外部リポジトリ４０へのアクセスを許可されているかを確認（認証）する。そして、認証が成功した場合、認証サーバ３０は、アクセス権限を示すトークン（アクセストークン）を送信側システム２０に対して送信する。
【0050】
ステップＳ１０５において、送信側システム２０は、対象データセットをセッション鍵（共通鍵）で暗号化して暗号化データセットを生成する。ステップＳ１０６において、送信側システム２０は、暗号化データセットを外部リポジトリ４０に送信する。この際、送信側システム２０は、アクセス権限を示すアクセストークンと、暗号化していないデータセットＩＤ（非暗号化データセットＩＤ）とを付加する。
【0051】
ステップＳ１０７において、外部リポジトリ４０は、送信側システム２０からの暗号化データセットを一時保存する。より具体的には、外部リポジトリ４０は、送信側システム２０からのアクセストークンに基づいてアクセス権限があることを確認する。次いで、暗号化データセットと非暗号化データセットＩＤを組み合わせてストレージデバイス（図示せず）に記録する。一時保存が完了したら、その旨を送信側システム２０に通知する。当該通知により、送信側システム２０は、一時保存の完了を確認することができる。
【0052】
ステップＳ１０８において、送信側システム２０は、ＨＩトークンを電子メール形式で生成する。ＨＩトークンには、例えば、セッション鍵（共通鍵）及びデータセットＩＤが含まれる。そして、ＨＩトークンの内容が電子メールの本文として含まれる。ＨＩトークン以外に電子メールに含む内容（例えば、送信先の受信側システム６０のメールアドレス）も合わせて生成される。
【0053】
ステップＳ１０９において、送信側システム２０は、ＨＩトークン（メール本文）を、送信先の受信側システム６０の公開鍵で暗号化して暗号化ＨＩトークンを生成する。暗号化ＨＩトークンには、暗号化されたデータセットＩＤ及び共通鍵（すなわち、暗号化データセットＩＤ及び暗号化共通鍵）が含まれる。送信先の受信側システム６０の公開鍵は、例えば、図示しない別の外部ザーバ（例えば、各医療機関の公開鍵を管理する公開鍵管理サーバ（図示せず）又は前記アカウント管理サーバ）から取得する。また、S/MIME（Secure/Multipurpose Internet Mail Extensions）を用いることができる。
【0054】
ステップＳ１１０において、送信側システム２０は、暗号化ＨＩトークンを含む電子メールをメールサーバ５０に送信する。この際、プロトコルとして、SMTPS (SMTP over SSL/TLS）を用いることができる。ステップＳ１１１において、メールサーバ５０は、送信側システム２０からの電子メールを自らのストレージデバイス（図示せず）に一時保存する。
【0055】
ステップＳ１１２において、受信側システム６０は、所定タイミング（例えば、１０分毎）にメールサーバ５０にアクセスして新着メールの有無を確認する。ステップＳ１１３において、メールサーバ５０は、新着メール（暗号化ＨＩトークン）がある場合、受信側システム６０に送信（転送）する。ステップＳ１１４において、受信側システム６０は、メールサーバ５０からの新着メール（暗号化ＨＩトークン）を受信する。なお、ステップＳ１１２～Ｓ１１４は、医用データ受信時の処理として位置付けることも可能である。
【0056】
［Ａ－２－３．医用データ受信時の処理］
図５は、本実施形態における医用データ受信時の処理の流れを示す図である。図５では、暗号化ＨＩトークン（電子メール）の受信後において、受信側システム６０による外部リポジトリ４０からの暗号化データセットのダウンロード、復号及び展開のための処理が含まれる。図５のステップＳ２０１～Ｓ２０８は、受信側システム６０のユーザによる操作を伴うことなく、受信側システム６０等で自動的に行われる。
図５は、本実施形態における医用データ受信時の処理の流れを示す図である。図５では、暗号化ＨＩトークン（電子メール）の受信後において、受信側システム６０による外部リポジトリ４０からの暗号化データセットのダウンロード、復号及び展開のための処理が含まれる。図５のステップＳ２０１～Ｓ２０８は、受信側システム６０のユーザによる操作を伴うことなく、受信側システム６０等で自動的に行われる。
【0057】
ステップＳ２０１において、受信側システム６０は、メールサーバ５０からの新着メール（暗号化ＨＩトークン）を受信する。ステップＳ２０１は、図４のステップＳ１１４と同じであり、理解の容易さを考慮して、図４及び図５それぞれに記載している。
【0058】
ステップＳ２０２において、受信側システム６０は、電子メールに含まれる暗号化ＨＩトークン（メール本文）を、自らの秘密鍵で復号して、復号セッション鍵（復号共通鍵）及び復号データセットＩＤを生成する。
【0059】
ステップＳ２０３において、受信側システム６０は、外部リポジトリ４０へのアクセス権限を認証サーバ３０に対して要求する。当該要求には、受信側システム６０の認証情報を含ませる。この認証情報としては、例えば、受信側システム６０のアカウント番号及びアカウントパスワードを含ませてもよい。ステップＳ２０４において、認証サーバ３０は、受信側システム６０に対してアクセス権限を付与する。より具体的には、認証サーバ３０は、受信側システム６０からの要求に含まれる認証情報を用いて、受信側システム６０が外部リポジトリ４０へのアクセスを許可されているかを確認（認証）する。そして、認証が成功した場合、認証サーバ３０は、アクセス権限を示すトークン（アクセストークン）を受信側システム６０に対して送信する。
【0060】
ステップＳ２０５において、受信側システム６０は、復号データセットＩＤに対応する暗号化データセットの送信を外部リポジトリ４０に要求する。この際、受信側システム６０は、アクセス権限を示すアクセストークンを付加する。
【0061】
ステップＳ２０６において、外部リポジトリ４０は、受信側システム６０からの復号データセットＩＤに対応する暗号化データセットを自らのデータストレージ（図示せず）から読み出して受信側システム６０に送信する。より具体的には、外部リポジトリ４０は、受信側システム６０からのアクセストークンに基づいてアクセス権限があることを確認する。次いで、受信側システム６０からの復号データセットＩＤに対応する（又は一致する）非暗号化データセットＩＤで特定される暗号化データセットをデータストレージから読み出して受信側システム６０に送信する。
【0062】
ステップＳ２０７において、受信側システム６０は、外部リポジトリ４０から暗号化データセットを受信し、復号セッション鍵（復号共通鍵）で復号した後、展開する。展開された医用データ（ファイル）は、受信側ゲートウェイ端末６１０の記憶装置６１３０に記憶される。ステップＳ２０８において、受信側システム６０は、ダウンロード済の対象データセットに関するリスト（ダウンロード済リスト）を更新する。すなわち、ダウンロード済リストに、今回ダウンロードした対象データセットの情報を追加する。
【0063】
ステップＳ２０９において、受信側システム６０は、インポート処理を行う。インポート処理は、送信側システム２０から受信した対象データセット又はそれに含まれる各医用データ（ここでは特にダウンロード済みの対象データセット又はそれに含まれる各医用データ）をインポートする処理である。
【0064】
インポート処理では、受信側システム６０は、インポート対象の対象データセット又はそれに含まれる各医用データを、受信側システム６０のユーザにより選択可能なダウンロード済リストを含むダウンロード済リスト画面（データセットリスト画面）（図示せず）を表示する。ダウンロード済リスト画面において、受信側システム６０のユーザにより対象データセットの１つが選択されると、受信側システム６０は、選択された対象データセットの詳細情報を含むデータセット詳細情報画面（図示せず）を表示する。
【0065】
データセット詳細情報画面は、例えば、送信元の医療機関名、患者名、画像データ（ファイル）のサムネイル表示、対象データセット（又はそれに含まれる各医用データ）の内容表示欄、インポート先入力欄を含むことができる。インポート先としては、画像データの場合、ＰＡＣＳ６３０等が指定され、診療情報提供書、検査結果及び処方は、電子カルテシステム６４０、SS-MIX標準化ストレージ６５０等が指定される。
【0066】
また、送信先の医療機関において患者の各データをそれぞれ関連付けて管理するため、本実施形態では、ＲＩＳ端末６２０が最上位で患者のデータを管理している。そこで、ＲＩＳ端末６２０が管理している患者のデータと、送信側システム２０から受信した患者のデータ（対象データセット）を関連付けるため、対象データセット（又はそれに含まれる各医用データ）をインポートする際は、ＲＩＳ端末６２０からインポート指令が発行されていることを条件とする。
【0067】
従って、本実施形態では、患者が送信先の医療機関に来る前に、図５のステップＳ２０８までを終了させておくことが可能となる。一方、インポート処理については、患者が送信先の医療機関に来た際、ＲＩＳ端末６２０から受信側ゲートウェイ端末６１０に対してインポート指令が発行された後に、受信側システム６０側のシステム担当者等により、ＰＡＣＳ６３０、電子カルテシステム６４０、SS-MIX標準化ストレージ６５０等へのインポートが行われる。
【0068】
送信先の医療機関にとって患者が初診である場合、当該患者の基本データ（患者ＩＤ番号等）がＲＩＳ端末６２０で入力及び記録される。そして、ＲＩＳ端末６２０から受信側ゲートウェイ端末６１０に対してインポート指令が発行される。受信側ゲートウェイ端末６１０のユーザは、インポート指令で特定される患者と、受信側ゲートウェイ端末６１０がダウンロード済の対象データセットの患者が同一であることを確認した上で、ＰＡＣＳ６３０、電子カルテシステム６４０、SS-MIX標準化ストレージ６５０等へのインポートを行う。
【0069】
送信先の医療機関にとって患者が再診である場合も初診の場合と同様、受信側ゲートウェイ端末６１０のユーザは、インポート指令で特定される患者と、受信側ゲートウェイ端末６１０がダウンロード済の対象データセットの患者が同一であることを確認した上で、ＰＡＣＳ６３０、電子カルテシステム６４０、SS-MIX標準化ストレージ６５０等へのインポートを行う。或いは、例えば、送信元の医療機関における患者のＩＤ情報と、送信先の医療機関における患者のＩＤ情報とで関連付けが完了済みであり且つ復号ＨＩトークンに送信元の医療機関における患者のＩＤ情報が含まれる場合、受信側ゲートウェイ端末６１０は、ＲＩＳ端末６２０からインポート指令なしに、ダウンロード済みの対象データセットの各医用データを、ＰＡＣＳ６３０、電子カルテシステム６４０、SS-MIX標準化ストレージ６５０等にインポートしておいてもよい。この場合、インポートは、ユーザ操作によるもの又は受信側ゲートウェイ端末６１０が自動で行うもののいずれとすることもできる。
【0070】
なお、上述したＲＩＳ端末６２０の役割を、病院情報システム(ＨＩＳ：Hospital Information Systems)に担わせてもよい。また、インポート処理の一部は、特許文献１と同様に行うことができる。
【0071】
＜Ａ－３．本実施形態の効果＞
本実施形態によれば、受信側システム６０の公開鍵で暗号化した暗号化データセットＩＤ及び暗号化共通鍵を送信側システム２０から受信側システム６０に送信する（図４のＳ１１０～Ｓ１１４）。そして、受信側システム６０は、自らの秘密鍵で復号した復号データセットＩＤを用いて、外部リポジトリ４０から暗号化対象データセットを取得し（図５のＳ２０５、Ｓ２０６）、自らの秘密鍵で復号した復号共通鍵を用いて対象データセットを復号及び展開する（Ｓ２０７）。これにより、暗号化データセットＩＤ（特許文献１でいうところのトークンに代わるもの）を、患者が持ち運ばずに、送信側システム２０と受信側システム６０の間の通信により受信側システム６０に届けることができる。そのため、受信側システム６０は、患者が医用データの送信先の医療機関に来る前に、医用データをダウンロードしておくことが可能となる。従って、患者が医用データの送信先の医療機関に来てからの診察等を円滑化することが可能となる。
本実施形態によれば、受信側システム６０の公開鍵で暗号化した暗号化データセットＩＤ及び暗号化共通鍵を送信側システム２０から受信側システム６０に送信する（図４のＳ１１０～Ｓ１１４）。そして、受信側システム６０は、自らの秘密鍵で復号した復号データセットＩＤを用いて、外部リポジトリ４０から暗号化対象データセットを取得し（図５のＳ２０５、Ｓ２０６）、自らの秘密鍵で復号した復号共通鍵を用いて対象データセットを復号及び展開する（Ｓ２０７）。これにより、暗号化データセットＩＤ（特許文献１でいうところのトークンに代わるもの）を、患者が持ち運ばずに、送信側システム２０と受信側システム６０の間の通信により受信側システム６０に届けることができる。そのため、受信側システム６０は、患者が医用データの送信先の医療機関に来る前に、医用データをダウンロードしておくことが可能となる。従って、患者が医用データの送信先の医療機関に来てからの診察等を円滑化することが可能となる。
【0072】
さらに、送信対象の医用データのセットである対象データセットについては、共通鍵で暗号化及び復号を行う一方（図４のＳ１０５、図５のＳ２０７）、データセットＩＤ及び共通鍵については受信側システム６０の公開鍵及び秘密鍵で暗号化及び復号を行う（図４のＳ１０９、図５のＳ２０２）。これにより、データサイズが比較的大きくなり得る対象データセットについては共通鍵による暗号化及び復号を用いることでセキュリティを確保しつつ演算負荷を抑制可能となる。その一方、データサイズが比較的小さくなり得るデータセットＩＤ及び共通鍵については受信側システム６０の公開鍵及び秘密鍵による暗号化及び復号を用いることで（及び対象データセットに関する共通鍵暗号方式と組み合わせることで）、より高いセキュリティを確保可能となる。
【0073】
本実施形態において、送信側システム２０は、送信側システム２０のユーザにより対象データセットの送信設定を行う送信設定画面を表示する（図４のＳ１０１）。送信設定画面は、複数の受信側システム６０から選択される１つ又は複数の対象データセットの送信先を入力する送信先入力欄と、対象データセットに含まれる１つ又は複数の送信対象の医用データを入力する医用データ入力欄と、送信先に対して対象データセットの送信を指令する送信ボタンとを含む（図４のＳ１０１）。これにより、送信設定画面で、送信先の入力、対象データセットに含まれる送信対象の医用データの入力、及び送信指令それぞれを行うことができる。従って、送信側システム２０のユーザの操作性を高めることが可能となる。
【0074】
本実施形態において、送信設定画面において送信ボタンが押されたことを契機として、送信側システム２０は、暗号化対象データセット、暗号化データセットＩＤ及び暗号化共通鍵の生成（図４のＳ１０２、Ｓ１０５、Ｓ１０８、Ｓ１０９）と、外部リポジトリ４０に対する暗号化対象データセット及び非暗号化データセットＩＤの送信（Ｓ１０６）と、受信側システム６０に対する暗号化データセットＩＤ及び暗号化共通鍵の送信（Ｓ１１０）とを行う。これにより、送信側システム２０のユーザの操作性を高めることが可能となる。
【0075】
本実施形態において、受信側システム６０は、外部リポジトリ４０を介して１つ又は複数の送信側システム２０からの暗号化対象データセットの受信並びにその後の復号及び展開が完了した１つ又は複数の対象データセットを選択可能に表示したデータセットリスト（ダウンロード済リスト）を含むデータセットリスト画面を表示する（図５のＳ２０８）。データセットリスト画面において、受信側システム６０のユーザにより対象データセットの１つが選択されると、受信側システム６０は、選択された対象データセットの詳細情報を含むデータセット詳細情報画面を表示する。これにより、時間がかかる受信（ダウンロード）、復号及び展開が、受信側システム６０のユーザの操作を待たずに進行するため、遅延を防ぐ効果をさらに高めることが可能となる。また、受信側システム６０のユーザは、受信、復号及び展開が完了した対象データセットの詳細情報を簡易な操作で確認することが可能となる。
【0076】
Ｂ．変形例
なお、本発明は、上記実施形態に限らず、本明細書の記載内容に基づき、種々の構成を採り得ることはもちろんである。例えば、以下の構成を採用することができる。
なお、本発明は、上記実施形態に限らず、本明細書の記載内容に基づき、種々の構成を採り得ることはもちろんである。例えば、以下の構成を採用することができる。
【0077】
＜Ｂ－１．構成＞
上記実施形態の送受信システム１０は、送信側システム２０及び受信側システム６０が外部リポジトリ４０へのアクセス権限を取得するための認証サーバ３０を有するものであった（図１）。しかしながら、例えば、共通鍵暗号方式を用いて暗号化データセットを送信し、公開鍵暗号方式を用いて暗号化データセットＩＤ及び暗号化共通鍵を送信する点に着目すれば、これに限らず、認証サーバ３０を省略することも可能である。
上記実施形態の送受信システム１０は、送信側システム２０及び受信側システム６０が外部リポジトリ４０へのアクセス権限を取得するための認証サーバ３０を有するものであった（図１）。しかしながら、例えば、共通鍵暗号方式を用いて暗号化データセットを送信し、公開鍵暗号方式を用いて暗号化データセットＩＤ及び暗号化共通鍵を送信する点に着目すれば、これに限らず、認証サーバ３０を省略することも可能である。
【0078】
上記実施形態の送受信システム１０は、電子メール形式のＨＩトークンを送信するためのメールサーバ５０を有するものであった（図１）。しかしながら、例えば、暗号化データセットとは別の通信経路で、送信側システム２０から受信側システム６０に暗号化データセットＩＤ及び暗号化共通鍵を伝達する点に着目すれば、これに限らない。例えば、メールサーバ５０を介さずに送信側システム２０と受信側システム６０とで通信経路を確立し、両者の直接通信を行うことも可能である。
【0079】
＜Ｂ－２．制御＞
上記実施形態では、図４に示す順番で医用データ（対象データセット）の送信を行った。しかしながら、例えば、共通鍵暗号方式を用いて暗号化データセットを送信し、公開鍵暗号方式を用いて暗号化データセットＩＤ及び暗号化共通鍵を送信する点に着目すれば、これに限らない。例えば、ＨＩトークンの生成（Ｓ１０８）を、外部リポジトリ４０への暗号化データセットの一時保存（Ｓ１０６、Ｓ１０７）よりも前に行ってもよい。
上記実施形態では、図４に示す順番で医用データ（対象データセット）の送信を行った。しかしながら、例えば、共通鍵暗号方式を用いて暗号化データセットを送信し、公開鍵暗号方式を用いて暗号化データセットＩＤ及び暗号化共通鍵を送信する点に着目すれば、これに限らない。例えば、ＨＩトークンの生成（Ｓ１０８）を、外部リポジトリ４０への暗号化データセットの一時保存（Ｓ１０６、Ｓ１０７）よりも前に行ってもよい。
【0080】
上記実施形態では、医用データとしての対象データセットを送信側システム２０から受信側システム６０に送信するものであった（図４）。しかしながら、例えば、共通鍵暗号方式を用いて外部リポジトリ４０を介して暗号化データセットを送信し、公開鍵暗号方式を用いて暗号化データセットＩＤ及び暗号化共通鍵を送信する点に着目すれば、これに限らない。例えば、送信されるデータは医用データ以外のもの（例えば、映画等のコンテンツデータ）とすることも可能である。
【0081】
上記実施形態では、複数のデータを含み得るデータ（データファイル）のセットとしての対象データセットを送信側システム２０から受信側システム６０に送信するものであった（図４）。しかしながら、例えば、共通鍵暗号方式を用いて外部リポジトリ４０を介して暗号化データを送信し、公開鍵暗号方式を用いて暗号化データのＩＤ及び暗号化共通鍵を送信する点に着目すれば、これに限らない。例えば、送信されるデータ（データファイル）は１つのみとすることも可能である。
【0082】
上記実施形態では、１つの送信先としての１つの受信側システム６０に対象データセットを送信する場合を想定して説明を行った（図４）。しかしながら、例えば、共通鍵暗号方式を用いて外部リポジトリ４０を介して暗号化データセットを送信し、公開鍵暗号方式を用いて暗号化データセットＩＤ及び暗号化共通鍵を送信する点に着目すれば、これに限らず、同一の対象データセットを複数の受信側システム６０にまとめて送信することも可能である。これにより、例えば、患者に緊急事態が生じ、別の医療機関に至急移動する必要がある場合、移動先の候補となる複数の別の医療機関にまとめて対象データセットを送信することが可能となる。
【0083】
そのように複数の送信先に同一の対象データセットを送信する場合、エクスポート処理（図４のＳ１０１）において、同一の対象データセットの送信先として複数の受信側システム６０を設定（又は入力）する。そして、複数の送信先に対して共通の共通鍵で暗号化した１つの対象データセット（暗号化データセット）を外部リポジトリ４０に一時保存する（Ｓ１０６、Ｓ１０７）。また、複数の送信先（受信側システム６０）それぞれの公開鍵を用いて、暗号化ＨＩトークン（暗号化データセットＩＤ及び暗号化共通鍵を含む。）を生成し（Ｓ１０９）、各送信先に暗号化ＨＩトークンを送信する（Ｓ１１０）。例えば、送信先Ａ用の暗号化ＨＩトークンは、送信先Ａの公開鍵を用いて生成し、送信先Ａに送信する。また、送信先Ｂ用の暗号化ＨＩトークンは、送信先Ｂの公開鍵を用いて生成し、送信先Ｂに送信する。
【0084】
そして、各送信先（受信側システム６０）は、自らの秘密鍵を用いて暗号化ＨＩトークンを復号し（図５のＳ２０２）、外部リポジトリ４０から暗号化データセットをダウンロードし、復号及び展開を行う（Ｓ２０５～Ｓ２０７）。これにより、セキュリティを確保しつつ、同一の対象データセットを複数の送信先にまとめて送信することが可能となる。ここで共通鍵については複数の送信先それぞれで共通化することで、送信側システム２０における暗号化データセットの生成の負荷及び外部リポジトリ４０に対する暗号化データセットの送信（アップロード）の負荷を軽減することが可能となる。
【0085】
なお、複数の送信先に対して共通の共通鍵を用いる代わりに、複数の送信先に対して別々の共通鍵を用いることも可能である。この場合、送信先毎に（換言すると暗号化データセット毎に）共通鍵が異なるため、外部リポジトリ４０への暗号化データセットの保存は、送信先毎に別々に行われる。加えて、外部リポジトリ４０において暗号化データセットの特定に用いられるデータセットＩＤも、送信先毎に（換言すると暗号化データセット毎に）相違させておく必要がある。
【符号の説明】
【0086】
１０…医用データ送受信システム ２０…送信側システム
３０…認証サーバ ４０…外部リポジトリ
５０…メールサーバ ６０…受信側システム
７０…通信ネットワーク
３０…認証サーバ ４０…外部リポジトリ
５０…メールサーバ ６０…受信側システム
７０…通信ネットワーク
【図1】
【図2】
【図3】
【図4】
【図5】