JPH09282393A - 保健医療カードとオンラインデータベースの連携方法 - Google Patents

Abstract

(57)【要約】 【課題】画像などの大容量データの蓄積保存を可能にす
るとともに、従来のオフライン型保健医療カードと同じ
安全性を確保する。また、カードを紛失したときにオン
ラインデータベースから安全にカードの内容を復元す
る。 【解決手段】マスタ鍵をカードごとに割り振って、ＩＣ
カードに保存する。患者データは、ワーク鍵で暗号化し
データベースに登録した後、データを保存するデータベ
ースのネットワーク上でのアドレスとデータベース上の
データを特定する識別子（ファイル名）をＩＣカードに
保存する。次に、所定のハッシュ関数を利用してデータ
の認証コードを作成し、これもＩＣカードに保存する。
また、データを登録する病院には、ＩＣカードのＩＤと
ともにデータを暗号化するために使用したワーク鍵をカ
ードのマスタ鍵で暗号化したものや、鍵暗号鍵を記録す
る。

Description

【発明の詳細な説明】

【０００１】

【発明の属する技術分野】本発明は、保健医療カードシ
ステムをオンラインデータベースと連携させた場合に
も、盗聴、改竄等にさらされないように安全性を確保す
ることができる保健医療カードとオンラインデータベー
スの連携方法に関する。

【０００２】

【従来の技術】従来より、保健医療カードは、患者の病
歴、薬歴をＩＣカードに記録しておくことによって、患
者の健康状態の変化を経時的に観察することができるた
め、質の高い診療や医療相談等に役立つ点で注目されて
いた。保健医療カードのその他の利点としては、異なる
病院間にまたがって診察、治療を行っている患者に関し
て、処方された薬品や実施された検査データが記録され
ているため、薬品の重複投与や重複検査がさけられるこ
とである。また、薬品に関しては、異なる病院で処方さ
れた薬品に、薬品相互作用を引き起こす組み合わせがな
いか否かをチェックすることができるため、薬品相互作
用による薬害を防止することが可能である。しかしなが
ら、保健医療カードは、個人の健康状態に関するデータ
が蓄積されているため、その内容を不特定の第３者に知
られると、プライバシー保護の観点から望ましくない。
従って、通常は、カードにアクセスするための認証処理
を行っている。認証処理としてアクセスチェックを行う
ためには、カード自体にマイクロプロセッサを埋め込
み、そのマイクロプロセッサによりアクセス権のチェッ
クを行うことができるようなＩＣカードが必要となる。

【０００３】

【発明が解決しようとする課題】しかしながら、現在の
ところ、ＩＣカードの記憶容量は、画像のような大容量
データを蓄積保存するには小さ過ぎるため、記録される
データとしては文字テキストベースの数値データや医師
等の所見が主である。同様な理由により、ワードプロセ
ッサ等で記述されたカルテのような非定型的なデータ
を、ＩＣカードにファイルの形で蓄積することも難し
い。そこで、大容量のデータはネットワークにつながれ
たオンラインデータベースに登録しておき、そのアドレ
ス情報はＩＣカード側で管理して、ＩＣカードとオンラ
インデータベースと連携させることにより大容量データ
に対応する手法が考えられる。ただし、単純にオンライ
ンデータベースのアドレスをＩＣカードで管理しただけ
では、患者のプライバシーが守れない。このように、Ｉ
Ｃカードという物理的に安全な媒体に患者情報を記録す
ることによって、患者のプライバシーが守れるのに対し
て、このＩＣカードをオンライン環境と連携するときに
は、安全性が崩れてしまうという問題が生じる。オンラ
イン環境における脅威としては、ネットワークにつなが
れたデータベース上にあるデータが改竄されること、お
よびネットワーク上あるいはデータベース上での盗聴な
どが挙げられる。ここで、特に問題になる点は、患者デ
ータが登録されるデータベースを管理している正当なユ
ーザが、自分に不都合なデータを改竄することも考慮し
なければならないことである。例えば、誤診などで訴訟
を起こされた病院が、データを操作する場合などが考え
られる。なお、従来のオフライン型の保健医療カードで
は、普段は患者がカード自体を所持しているため、上記
のようなネットワーク上あるいはデータベース上の不正
は不可能である。本発明の目的は、このような課題を解
決し、従来のオフライン型保健医療カードと同じ安全性
を、オンラインデータベースと連携した保健医療カード
システムに対して実現できるような保健医療カードとオ
ンラインデータベースの連携方法を提供することにあ
る。また、本発明の他の目的は、ＩＣカードを紛失した
ときにも、オンラインデータベースから安全にそのＩＣ
カードの内容を復元することができる保健医療カードと
オンラインデータベースの連携方法を提供することにあ
る。

【０００４】

【課題を解決するための手段】上記目的を達成するた
め、本発明による保健医療カードとオンラインデータベ
ースの連携方法では、（ａ）複数の医療機関（図１の１
０１，１０２）に分散設置された通信端末装置（図２の
２０１）と、該通信端末装置との間で情報の授受を行う
保健医療カード（図１の１０７，１０８）と、該通信端
末装置を結合する通信網と、該通信網に接続され、上記
複数の医療機関によって共有される複数のデータベース
とを有する保健医療カードとオンラインデータベースの
連携方法において、上記保健医療カードには、上記デー
タベースの少なくとも一つに登録されるデータごとに設
定され、該データを登録したデ−タベ−スを通信網（図
１の１０３）において特定するネットワークアドレス情
報（図１の１１２）と、該データベース内の当該データ
の詳細な所在を特定するファイル名情報（図１の１１
２）と、上記データベースに登録したデータから予め定
められた一方向性ハッシュ関数により計算した数値の認
証子（図１の１１３）と、上記データベースに登録する
データに施す暗号処理に使用したワーク鍵情報（図１の
１１４）とを格納することを特徴としている。 （ｂ）また、前記複数のデータベースの少なくとも一つ
には、当該データが格納されている保健医療カードごと
に一意に付与されたＩＤ番号（図５の５０９、ＩＤｃ）
と、当該データを暗号化するために使用したワーク鍵情
報を該カードのマスタ鍵情報で暗号化した情報（ｋK
_M(Ｋ_W））、あるいは該マスタ鍵情報を暗号化して該ワ
ーク鍵情報を生成するために使用した鍵暗号鍵情報（同
Ｋｓ）と、該データベース内の当該データの詳細な所在
を特定するファイル名情報（同ｆｉｌｅｎａｍｅ）とを
記録しておくことも特徴としている。

【０００５】（ｃ）また、データ暗号化のための前記ワ
ーク鍵情報の生成処理、データの暗号化処理、および認
証子の生成・検証処理を上記保健医療カード内で行うこ
となく、全て端末通信装置で行う場合（図４（３）の場
合）には、前記複数のデータベースの少なくとも一つに
は、当該データが格納されている保健医療カードごとに
一意に付与されたＩＤ番号（ＩＤｃ）と、当該データを
暗号化するために使用したワーク鍵情報を該カードのマ
スタ鍵情報で暗号化した情報（Ｋ_M（Ｋ_W））と、該デー
タベース内の当該データの詳細な所在を特定するファイ
ル名情報（ｆｉｌｅｎａｍｅ）とを記録しておくことも
特徴としている。 （ｄ）また、前記複数のデータベースの少なくとも一つ
（図１の１０５）に登録されたデータ（図１の１０６）
は、ある医療機関（図１の１０１）からの検索要求によ
り、当該データが登録されているデ−タベ−スを通信網
において特定するネットワークアドレス情報と、該デー
タベース内の当該データの詳細な所在を特定するファイ
ル名情報とに基づいて、該データベースから通信網（図
１の１０３）を介し検索要求を行った医療機関の通信端
末装置に転送（図６の６０５）されることも特徴として
いる。 （ｅ）また、前記検索要求を行った医療機関は、登録さ
れたデータベースから転送してきた当該データを受け取
ると（図６の６０５）、当該データに対して、データベ
ース登録時に施され、暗号処理に用いられたワーク鍵情
報を予めカードから得ておき、該ワーク鍵情報を基に復
号処理を施す（図６の６０７）ことも特徴としている。 （ｆ）また、前記検索要求を行った医療機関は、上記復
号処理（図６の６０７）を行ったデータに対して、予め
定められた一方向性ハッシュ関数により認証子を計算し
（図６の６０８）、該認証子と保健医療カード登録され
ている認証子とを比較し、比較の結果、同一と判定され
たときには、上記復号処理を行ったデータは正しいもの
として該医療機関のメモリに格納する（図６の６０８）
ことも特徴としている。

【０００６】（ｇ）また、当該保健医療カードの媒体
（図８のカード）は、上記データベース（図８のセン
タ）と通信網を介して接続し、該データベースの一つに
登録する各データごとに、該データベース内の当該デー
タの詳細な所在を特定するファイル名情報（図８のｉｍ
ａｇｅ０）を入手して、自媒体内に格納するが、その際
に、該ファイル名情報を該保健医療カードと該データベ
ースとが共有する鍵情報（Ｋｔ）により暗号化して（Ｋ
ｔ（ｉｍａｇｅ０））通信する（図８の８０４）ことも
特徴としている。 （ｈ）また、前記保健医療カードと当該データベースと
が共有する鍵情報により暗号化して通信する際の暗号処
理（図６の６０７）は、該保健医療カード（図７の７０
４）の内部で行う（図４（１））ことも特徴としてい
る。 （ｉ）また、前記複数の医療機関によって共有される少
なくとも一つのデータベース（図８のセンタ）には、保
健医療カードごとに一意に付与されたＩＤ番号（図８の
８０７のＩＤｃ）とともに、当該データの詳細な所在を
特定するファイル名情報（同８０７のｉｍａｇｅ０）を
記録しておき、上記共有されるデータベースとは異なる
各医療機関等のデータベース（図８の端末）には、該共
有データベースの一つに登録されるデータに施す暗号処
理に必要な少なくとも２つの鍵情報のうちの一つ（図８
の８０６のＫｓ）とともに、上記保健医療カードごとに
一意に付与されたＩＤ番号（同ＩＤｃ）を記録しておく
ことも特徴としている。 （ｊ）前記共有されるデータベースとは異なる各医療機
関等のデータベース（図８の端末）には、該共有データ
ベースの一つに登録されるデータに施す暗号処理に使用
したワーク鍵情報（Ｋ_W）とともに、上記保健医療カー
ドごとに一意に付与されたＩＤ番号（ＩＤｃ）を記録し
ておく（図８の８０６）ことも特徴としている。

【０００７】

【発明の実施の形態】本発明においては、データの盗聴
を防止する対策としてデータ自身を暗号化する。データ
を暗号化する際には鍵が必要であるが、この鍵(以下、
ワーク鍵と呼ぶ）を生成するためのマスタ鍵をカードご
とにユニークに割り振る。そして、ＩＣカードのＩＤ番
号とともに、各自に割り振られたマスタ鍵をＩＣカード
に保存する。以上の作業は、地方自治体等の信頼できる
第３者機関が行うことにより、住民にカードを発行す
る。信頼できる第３者機関では、カード発行に際してカ
ード所有者とＩＣカードのＩＤ番号およびマスタ鍵を、
第３者に知られぬように厳重に管理し保管しておく。次
に、ある患者がある病院で診療を受け、その時に生じた
患者データをデータベースに登録する際には、データを
ワーク鍵で暗号化してデータベースに登録した後、その
データを保存するデータベースのネットワーク上でのア
ドレスとデータベース上のデータを特定するための識別
子であるファイル名をＩＣカードに保存する。次に、デ
ータ改竄を検知するために、所定のハッシュ関数を利用
してデータの認証コードを作成しこれをＩＣカードに保
存する。データのもともとの所有者である病院には、Ｉ
ＣカードのＩＤ番号とともにデータを暗号化するために
使用したワーク鍵をカードのマスタ鍵で暗号化したも
の、あるいはマスタ鍵を暗号化してワーク鍵を生成する
のに使用した鍵暗号鍵の記録を保持しておく。

【０００８】以下、本発明の実施の形態を説明する。実
施の形態としては、医療分野における保健医療カードと
病院内のデータベースに保存されたカルテ情報を例にし
て説明する。図１は、本発明の第１の実施例を示す保健
医療カード処理システム全体の構成図である。図１で
は、病院１０１と病院１０２の二つのエンティティ（実
体）間での画像データの転送を想定している。病院１０
１と病院１０２は、病院外部のネットワーク１０３に公
開されたファイルサーバ１０４、１０５を備える。ファ
イルサーバ１０４、１０５には、病院で診察治療を受け
た患者のカルテデータが登録されている。例えば、ファ
イルサーバ１０５には、ある患者のカルテ情報１０６が
登録されていると想定する。また、患者は、保健医療カ
ード１０７を所持している。この保健医療カード１０７
の記憶領域には、保健医療カードの内容１０８に示すよ
うな患者基本情報１０９、画像データ部１１０、カード
所有者ごとに定められたマスタ鍵１１５、およびカード
ＩＤ番号１１６の各項目が割り付けられている。すなわ
ち、氏名、生年月日等の患者基本情報１０９に加えて、
画像データ部１１０があるが、この画像データ部１１０
には、実際に画像データのある病院の名称、その住所、
画像が撮影された日付、撮影部位、撮影装置などの属性
情報１１１、ネットワーク１０３につながれたファイル
サーバを識別するアドレス情報１１２（これには、ファ
イル名も含まれる）、カルテ情報のメッセージダイジェ
スト（メッセージを凝縮したもの）である認証子１１
３、およびワーク鍵１１４が含まれている。ここで、認
証子１１３とは、コードデータとして配列された各値の
うち、最初の値と次の値を演算し、その演算結果と次の
値を演算し、その演算結果と次の値を演算し、順次繰り
返し演算して、最終の演算結果を認証子１１３とするも
のである。

【０００９】図２は、図１における医療従事者端末の外
観図である。図２に示すように、端末２０１にはカード
リーダ装置２０２が接続されており、患者が所有する保
健医療カードを挿入することにより、そのカードに情報
を読み書きすることができる。また、医療従事者端末２
０１から病院内部のネットワークを介して図１に示した
ファイルサーバ１０４，１０５にアクセスすることが可
能である。なお、図２では、カードリーダ装置２０２は
１台だけが接続されているが、通常は２台接続されてい
ることによって、保健医療カードと後述の操作者カード
との間のやりとりの操作が容易となる。すなわち、カー
ドとカードのやりとりを行う場合、１台のカードリーダ
装置２０２だけのときには、交互にカードを出し入れす
る必要があるが、２台のカードリーダ装置２０２があれ
ば、挿入したままでやりとりができる。最初に、保健医
療カードに対するアクセス権について説明する。保健医
療カードでは、個人の病歴等が記述されているため、カ
ードに対して誰でもアクセスすることが可能であると、
個人のプライバシーが守れなくなる。そこで、アクセス
についてある程度制限を設ける必要性が生じる。通常、
保健医療カードに対しては、医師、看護婦、検査技師等
の職種によって扱うデータが特定される。従って、職種
ごとにアクセス権を設定することができるので、本実施
例でも、職種ごとにアクセスできるデータを異ならせ
る。また、保健医療カードに対してある種の操作を行う
場合には、最初に操作者の認証とそのアクセス権を検証
する必要がある。ここで、操作者の認証とは、該当する
保健医療カードに関係するグループに属しているか否か
（例えば、その患者の担当グループであるか否か）を識
別することであり、保健医療カードのアクセス権とは、
そのカードに登録されたデータにアクセスすることがで
きる資格者か否か（例えば、医師であるか否か）を識別
することである。操作者認証については種々の手法が存
在するが、以下では操作者が保健医療カードとは異なる
操作者カードを利用して行う方法について説明する。ま
ず、保健医療カードには、職種毎に定められたマスタ鍵
の全てを、カードアクセス者の全てに対して読み出すこ
とも書き込むこともできないシークレットゾーンに埋め
込まれている。所持者本人も、カードのどこに埋め込ま
れているかを知ることができない。例えば、医師につい
てはKD、看護婦についてはKN、放射線技師についてはKT
のように、職種毎に異なるマスタ鍵が保健医療カードに
埋め込まれている。次に、操作者カードについては、そ
の操作者の職種に応じたマスタ鍵のみがカードのシーク
レットゾーンに埋め込まれる。例えば、医師であるなら
ばマスタ鍵KDのみが医師の操作者カードに埋め込まれて
いる。

【００１０】図３は、本発明の実施例における保健医療
カードとオペレーションカード（操作カード）との間の
操作者認証処理を示すシーケンスチャートである。保健
医療カードと操作者カードとの間に次のやりとりを行う
ことにより、お互いが正当なアクセス者であることを認
証する。なお、図２のカードリーダ装置２０２が２台接
続されているものとする。以下で説明する方法は、３パ
ス相手認証と呼ばれているよく知られた方法である。こ
こでは、操作者が医師であるものとして説明する。すな
わち、オペレーションカードのシークレットゾーンに
は、医師のアクセス権を検証するためのマスタ鍵ＫＭ
２，操作者の認証を行うためのマスタ鍵ＫＤが埋め込ま
れているのに対して、保健医療カードのシークレットゾ
ーンには、職種毎のマスタ鍵ＫＤ，ＫＮ，ＫＴとアクセ
ス権検証のためのマスタ鍵ＫＭ１が埋め込まれている。
なお、ここには示されていないが、保健医療カードのＩ
ＤであるＩＤｃ、操作者カードのＩＤであるＩＤｏが、
それぞれのカードに埋め込まれている。 「操作者認証処理」 ［ステップ３０１］保健医療カードは乱数ＲＣを生成
し、これを操作者カードに送信する。 ［ステップ３０２］操作者カードは乱数ＲＯを生成し、
ステップ３０１で受け取ったＲＣと、操作者カードのＩ
ＤであるＩＤｏを医師のマスタ鍵KDで暗号化し、医師を
表すフラグＤｏｃとともに保健医療カードに送信する。
なお、医師を表すフラグＤｏｃは、保健医療カード側に
対して確かに医師であることを知らせるためのフラグで
ある。

【００１１】［ステップ３０３］保健医療カードはステ
ップ３０２で送られてきた電文から、医師を表すフラグ
Ｄｏｃによりマスタ鍵KDを選択し、暗号化された部分を
復号化してＲＣ、ＲＯ、ＩＤｏを得る。復号化されたＲ
Ｃを先に生成したＲＣと比較して、ステップ３０２で電
文を送信してきた相手が医師であることを認証する。 ［ステップ３０４］ステップ３０３で得られたＲＣ、Ｒ
Ｏと保健医療カードのＩＤであるＩＤｃ、そして保健医
療カード内で生成したテンポラリ鍵Ｋｔをマスタ鍵KDで
暗号化し、操作者カードに送信する。なお、テンポラリ
鍵Ｋｔは、同じ鍵を用いてやりとりする場合に、セッシ
ョンごとに内容の異なる鍵Ｋｔを送信することにより、
安全性を保持する。 ［ステップ３０５］操作者カードはステップ３０４で送
られてきた電文を、マスタ鍵KDで復号化しＲＣ、ＲＯ、
ＩＤｃ、Ｋｔを得る。復号化されたＲＯを先に発生した
ＲＯと比較し、ステップ３０３で電文を送信してきた相
手が正当な保健医療カードであることを認証する。この
手続きにより、保健医療カード側は操作者が医師である
ことを認証することができる。

【００１２】次に、病院１０２において、ファイルサー
バ１０５に画像データ１０６を登録する処理について説
明する。図４は、医療従事者端末側と保健医療カード側
における登録処理のモジュール構成図であって、３通り
のパタンを図示したものである。パタン（１）は暗号化
のためのワーク鍵の生成４０３や暗号化処理４０２、な
らびに認証子の生成検証４０４をすべてカード側で行う
ものである。このパタンでは、暗号化処理４０２をカー
ドで行うことにより暗号鍵が一時的でもカードの外に漏
れることがないので安全性が極めて高い。パタン（２）
では、パタン（１）の暗号化処理４０２のみを医療従事
者端末側に移したものである。画像のような大容量デー
タの暗号化処理には、大きな計算処理能力が必要とされ
る。カード側のマイクロプロセッサは、通常その計算処
理能力に限界があるため、大きな計算処理能力が必要と
される処理を医療従事者端末側に移すことにより、カー
ド側の負担を軽くできる。しかし、カードで生成したワ
ーク鍵が医療従事者端末側に一時的に漏れるため、この
ワーク鍵を記録しておき、その後に不正を行うことが可
能であり、その結果、安全性が低くなる。パタン（３）
では、暗号化のためのワーク鍵の生成４０３や暗号化処
理４０２、ならびに認証子の生成検証４０４をすべて医
療従事者端末側で行うものである。このタイプでは、ワ
ーク鍵の生成から暗号処理まで全て端末側で行うため安
全性は低い。しかし、運用面での効率を高めることがで
きる。パタン（１）（２）のタイプでは、患者の保健医
療カードがない限り、暗号化のワーク鍵が生成できない
ので、暗号化処理ができない。従って、複数患者のデー
タを前もって暗号化しておくことができないため、デー
タ登録処理のスループットも上げることができない。一
方、パタン（３）のタイプでは、暗号化処理に必要なワ
ーク鍵は端末側で生成しており、保健医療カードはこの
ワーク鍵を登録するだけであるため、端末側で複数患者
データを一括処理しておくことが可能である。

【００１３】図５は、図４における登録処理のためのデ
ータのフローを示した図である。画像データを図１のフ
ァイルサーバ１０５に登録するために、まず、患者の所
有する保健医療カード１０７を、図２の医療従事者の端
末２０１に接続されたカードリーダ２０２にセットす
る。 「登録処理」 ［ステップ５０１］前述した「操作者認証処理」を図４
のカードアクセスマネージャ４０６を介し、アクセス権
チェックモジュール４０１で行うことにより操作者を認
証する。なお、アクセス権チェックモジュール４０１
は、操作者認証処理およびアクセス権チェックの両方を
行う。以下のステップ５０２以降は、操作者が医師、看
護婦、放射線技師でないと進めない。 ［ステップ５０２］登録処理を行うことを図４のカード
アクセスマネージャ４０６が認識すると、記憶領域４０
５中の画像データ部（図１の１１０）の領域内に、新規
登録の画像のための領域（斜線部分）を確保する。 ［ステップ５０３］図４のカードにおけるワーク鍵生成
モジュール４０３は鍵暗号鍵Ｋｓを生成し、カードに記
憶されたマスタ鍵（図１の１１５）により暗号化して、
ワーク鍵を生成する。 ［ステップ５０４］ステップ５０３で生成したワーク鍵
を、ステップ５０２で確保した図４の記憶領域４０５の
ワーク鍵領域（図１の１１４）に登録する。 ［ステップ５０５］図４のカードアクセスマネージャ４
０６は、図２の画像データを端末２０１のディスク装置
（図５の右側部分）から読み込みマネージャ内のバッフ
ァに蓄積する。 ［ステップ５０６］図４のカードアクセスマネージャ４
０６は、ステップ５０５で読み込んだ画像データをカー
ド側の認証子生成検証モジュール４０４に送出する。図
４の認証子生成検証モジュール４０４では、画像データ
からあらかじめ定めたハッシュ関数により認証子を計算
し、ステップ５０２で確保した図４の記憶領域４０５の
認証子領域（図１の１１３）に登録する。

【００１４】［ステップ５０７］図４のカードアクセス
マネージャ４０６は、ステップ５０５で読み込んだ画像
データをカード側の暗号処理モジュール４０２に送出す
る。図４の暗号処理モジュール４０２では、ステップ５
０３で生成したワーク鍵により画像データを暗号化す
る。 ［ステップ５０８］ステップ５０７で暗号化された画像
は、図４のカードからカードアクセスマネージャ４０６
を介して公開ファイルサーバ（公開サーバストレージ）
（図１の１０５）に登録される。この時、図４のカード
アクセスマネージャ４０６は、登録する画像のファイル
名image0を自動的に付与し、この名前で公開ファイルサ
ーバ（図１の１０５）に登録するとともに、ファイルサ
ーバ（図１の１０５）のアドレス情報とファイル名imag
e0をステップ５０２で確保した図４の記憶領域４０５の
アドレス部（図１の１１２）に登録する。 ［ステップ５０９］図２の端末２０１のディスク装置
に、保健医療カード（図１の１０７）のＩＤであるＩＤ
ｃとステップ５０３で生成した鍵暗号鍵Ｋｓとステップ
５０５で付与されたファイル名image0の組［ＩＤｃ,Ｋ
ｓ,image0］を保存する。このようにして、もし図１の
ファイルサーバ１０５に登録する画像データが複数存在
する場合には、ステップ５０２からステップ５０９まで
の処理を登録する画像データの個数分だけ繰り返す。上
記実施例を、図４（３）のタイプのカードシステムで実
装した場合には、ステップ５０９における鍵暗号鍵Ｋｓ
のかわりに、画像を暗号化する時に使った、ワーク鍵を
カードのマスタ鍵で暗号化したもの（つまり、Ｋ
_M（Ｋ_W）＝Ｋ_M（Ｋ_M(Ｋ_M)))を保存する必要がある。

【００１５】次に、上記の登録処理の効果について述べ
る。図１において、少なくとも病院１０２のシステム管
理者は、ファイルサーバ１０５上のファイルを自由に読
み書きすることができると考えるのが普通である。従っ
て、病院がデータを都合のいいように書き換えてしまう
ことが考えられるので、データ改竄を何らかの方法で検
知する必要がある。従来より、データのメッセージダイ
ジェストをハッシュ関数で計算し、それをワーク鍵で暗
号化してファイルに添付しておく方法が良く取られる。
これにより、ワーク鍵を知らない限り、改竄の事実を隠
すようにファイルに細工をすることは不可能である。し
かしながら、図４（３）のように殆んどの処理を端末側
で行うカードシステムを採用すると、ワーク鍵が病院側
に知れてしまうので、ファイルに認証子を付加する方法
は有効ではない。すなわち、ファイルに認証子を付加す
るだけでは、ファイルサーバ１０５に登録した画像を改
竄して、所定のハッシュ関数で計算したメッセージダイ
ジェストを上記ワーク鍵で暗号化して改竄画像に付加
し、それをファイルサーバ１０５の登録画像と入れ替え
ればよいからである。一方、暗号処理の高速化を図った
り、画像登録処理のスループットを上げるために、図４
（３）のような構成を採用することが必要となる。そこ
で、本実施例のようにファイルサーバ１０５に登録する
画像の認証子をカード側に登録しておけば、図４（３）
のモデルを採用しても、認証子を改竄することは事実上
不可能であるため、病院側にワーク鍵が知れても全く問
題はない。

【００１６】図５のステップ５０５では、画像を暗号化
して図１のファイルサーバ１０５に登録するが、このよ
うに暗号化する理由は、ファイルサーバ１０５がネット
ワーク１０３に公開されていることから、病院外部の第
３者にデータを盗聴されないようにするためである。次
に、患者が自分の保健医療カード１０７を紛失してしま
った時のことを考える。患者は、カードを紛失したこと
をカードを発行した機関に届け、再びカードを発行して
くれるよう要請する。ここで、カードを発行した第３者
機関は、初めにカードを発行した際のマスタ鍵を、カー
ドのＩＤとともに厳重に管理している。従って、カード
再発行の要請に対して、カードのＩＤとマスタ鍵は復元
することができる。患者は再発行された保健医療カード
を持参して病院１０２に行き、保健医療カードのＩＤで
あるＩＤｃにもとづき、図５のステップ５０９で保存し
た［ＩＤｃ,Ｋｓ,image0］から、ファイル名image0に関
する画像情報について、その認証子を除いたカード内情
報は復元することが可能である。この場合、第３者機関
のカード再発行処理は、厳しい運用規則の下で行われる
ことが必要である。何故ならば、第３者の他人にカード
を発行してしまうと、その第３者は上記データ復元処理
で他人のデータを収集することが可能になってしまうた
めである。従って、カードの再発行処理は、本人自から
が再発行を要請していることを十分確認した上で行われ
ることが必要である。

【００１７】いま仮に、医療従事者以外の第３者が、あ
る患者になりすましてカードを偽造し、上記データ復元
処理によりデータを不正に入手することを試みたとす
る。この場合にも、データの機密性は確保できることを
説明する。まず、カードＩＤ番号はネットワーク上に漏
れることがあるので、何らかの方法で第３者が入手する
ことは可能である。従って、このＩＤを偽造カードに埋
め込み、上記データ復元処理のプロセスを踏めば、デー
タの所在であるファイル名と鍵暗号鍵であるＫｓが入手
できる。しかし、この不正入手したファイル名からデー
タを盗んだとしても、データの内容を見るためには、鍵
暗号鍵Ｋｓと不正入手したＩＤに対応するマスタ鍵から
ワーク鍵を生成する必要がある。しかし、マスタ鍵はネ
ットワークに漏れないこと、また、第３者機関が厳重に
管理していることから、医療関係者以外が不正に入手す
ることは事実上不可能である。従って、医療従事者以外
の第３者が、データの内容を見ることは事実上不可能で
ある。図４（３）のタイプのカードシステムで実装した
場合にも、上述と同様な理由で、ワーク鍵をマスタ鍵で
暗号化したものとファイル名を不正に入手できたとして
も、ワーク鍵本体を知るためにマスタ鍵が必要である。
従って、データの内容を見ることは事実上不可能であ
る。なお、図４（１）のように暗号化処理モジュール４
０２をカード内部に実装している場合には、図５のステ
ップ５０９で端末２０１のディスク装置に、保健医療カ
ード１０７のＩＤであるＩＤｃと、ステップ５０３で生
成した鍵暗号鍵Ｋｓと、ステップ５０５で付与されたフ
ァイル名image0、ステップ５０６で計算した認証子をス
テップ５０３で生成したワーク鍵で暗号化したKw(code)
の組［ＩＤｃ,Ｋｓ, image0,Kw(code)］を保存してもよ
い。このときは、カード紛失時に認証子も復元すること
ができる。なお、codeは、認証子のコードを示す。

【００１８】次に、図１の病院１０１に来院した患者に
対して、他病院での診察情報を検索する時の検索処理に
ついて説明する。図６は、本発明における検索処理につ
いてのフローを示した説明図である。ここでは、図１の
病院１０２にあるネットワーク１０３につながれたファ
イルサーバ１０５に保存されたファイルimage0を検索
し、病院１０１のファイルサーバ１０４にダウンロード
することを想定して説明する。検索処理に対しても図４
（１），（２），（３）のそれぞれのタイプが考えられ
るが、登録処理と同じようにそれぞれのタイプについて
安全性の面では違いがあるものの、処理自体は基本的に
変わらないので、ここでは図４（１）のタイプについて
説明する。まず、患者の所有する保健医療カード１０７
を、医療従事者の端末２０１に接続されたカードリーダ
２０２にセットする。 「検索処理」 ［ステップ６０１］前述した「操作者認証処理」を、図
４のカードアクセスマネージャ４０６を介してアクセス
権チェックモジュール４０１で行うことにより、操作者
を認証する。次のステップ６０２以降は、操作者が医
師、放射線技師でないと進めない。 ［ステップ６０２］図１の保健医療カード１０７の画像
データ部１１０に含まれる属性情報１１１が記憶された
領域のデータを、図２のカードリーダ２０２を介して読
み込み、医療従事者端末２０１の画面に表示する。

【００１９】［ステップ６０３］表示された属性情報か
ら、たとえば日付、撮影部位などの情報をもとに端末操
作者が検索する画像を画面から選択する。 ［ステップ６０４］ステップ６０３で選択された画像に
対して、図４のカードアクセスマネージャ４０６は画像
データ部（図１の１１０）に含まれるアドレス情報１１
２を保健医療カード１０７から読み込む。そして、カー
ドアクセスマネージャ４０６は、読み込んだアドレス情
報をネットワークマネージャ４０７に送る。ここでは、
図１の病院１０２のファイルサーバ１０５のアドレスお
よびファイルimage0を選んだものとして、以下の説明を
進める。 ［ステップ６０５］ステップ６０３で得たアドレス情報
をもとに、図４のネットワークマネージャ４０７はネッ
トワーク１０３上にあるファイルサーバ１０５にアクセ
スを試み、該当ファイルを図１の病院１０１にあるファ
イルサーバ１０４にダウンロードする。この場合、病院
１０２にあるファイルサーバ１０５のファイルimage0
が、ネットワーク１０３を通じて病院１０１にあるファ
イルサーバ１０４にダウンロードされることになる。 ［ステップ６０６］図４のネットワークマネージャ４０
７は、ステップ６０５でファイルサーバ１０４にダウン
ロードした画像データを図２の医療従事者端末２０１に
取り込んだ後、カードアクセスマネージャ４０６に送
り、カードアクセスマネージャ４０６は画像データをカ
ード内部の暗号処理モジュール４０２に送り込む。

【００２０】［ステップ６０７］図４の暗号処理モジュ
ール４０２では、ステップ６０６で取り込んだ画像デー
タを、図１の画像データ部１１０に含まれる当該画像デ
ータのワーク鍵領域１１４に登録されたワーク鍵をもと
に復号処理を行う。そして、復号された画像を、認証子
生成検証モジュール４０４に送り込む。 ［ステップ６０８］図４の認証子生成検証モジュール４
０４では、上記復号処理で復号された画像データに対し
て、あらかじめ定められたハッシュ関数により認証子を
計算する。次に、この認証子と図１の画像データ部１１
０に含まれる当該画像データの認証子領域１１３に登録
されたものとを比較する。比較した結果、同じと判定さ
れれば復号した画像データを端末に接続されたローカル
なディスクに吐き出す。本検索処理の効果について以下
説明する。まず、本検索処理により、ネットワーク上の
ファイルサーバにあるデータを、カードに記録されたア
ドレス情報からダウンロードすることができるので、あ
たかもカード内に記録されたデータのように入手するこ
とが可能になる。また、ステップ６０５では、図１のネ
ットワーク１０３を通じてデータをダウンロードする
が、データは登録処理によってあらかじめ暗号化されて
いるので盗聴の心配はない。また、ネットワーク上での
改竄も、ステップ６０８における認証子の検証により、
改竄が検知できる。従って、オフライン型の保健医療カ
ードと同様の安全性を確保することができる。

【００２１】前実施例では、患者データをその発生源で
分散管理する方式で説明した。次の実施例では、必要に
応じて地域毎に設置されたサーバにデータを保管できる
方式について説明する。図７は、本発明の他の実施例を
示すカード処理システムの全体構成図であり、図８は、
図７におけるデータ登録処理のシーケンスチャートであ
る。図７に示すように、地域医療情報センタ７０１には
ファイルサーバ７０２が設けられており、このサーバ７
０２に対して地域全体の医療機関からアクセスされるこ
とによって、患者データの共有化を図ることができる。
このファイルサーバ７０２は、各病院と独立であるが、
地域自治体の管理下におかれているため、内部の人間に
蓄積されたデータを盗聴されたり改竄されたりする可能
性があると仮定する。本実施例では、病院７０３がある
患者の画像データを地域医療情報センタ７０１のファイ
ルサーバ７０２に登録する処理について説明する。本実
施例では、カードシステムとしては図４（１）のタイプ
を採用しなければならない。以下、図８に従ってデータ
登録処理の手順を説明する。 「登録処理」 ［ステップ８０１］図３で説明した「操作者認証処理」
を、図４のカードアクセスマネージャ４０６を介してア
クセス権チェックモジュール４０１で行うことにより、
病院７０３側にある患者の保健医療カード７０４と地域
医療情報センタ７０１のファイルサーバ７０２との認証
処理を行う。すなわち、図７の医療従事者端末における
カードアクセスマネージャ４０６が、カードリーダに挿
入されたカード７０４に対して操作者の認証処理を行
う。このとき、端末側より医療情報センタおよびカード
にテンポラリ鍵Ｋｔを送出する。認証処理に失敗した場
合には、以下のステップには進めない。 ［ステップ８０２］図５に示した「登録処理」のステッ
プ５０２からステップ５０７を実行する。これらの処理
ステップにより、暗号処理、認証子生成処理が行われ
て、ワーク鍵Ｋｗ，認証子ｃｏｄｅ、データｄａｔａが
カード側へ、またデータをワーク鍵で暗号化したＫｗ
（ｄａｔａ）がセンタ側へ、それぞれ送出される。 ［ステップ８０３］図４の端末におけるカードアクセス
マネージャ４０６は、地域医療情報センタ７０１のファ
イルサーバ７０２にファイル名を要求する。

【００２２】［ステップ８０４］センタ７０１のファイ
ルサーバ７０２は、この要求に対して「操作者認証処
理」で得られたテンポラリ鍵Ｋｔを暗号鍵としてファイ
ル名image0を暗号化し、Ｋｔ（image0）を図４のカード
アクセスマネージャ４０６を経由して端末７０６の保健
医療カード７０４に送る。暗号化されたファイル名Ｋｔ
（image0）を受信した保健医療カード７０４は、「操作
者認証処理」でＫｔを知っているので、暗号化されたフ
ァイル名Ｋｔ（image0）を復号して元のファイル名imag
e0を知る。そして、ファイルサーバ７０２のアドレス情
報と得られたファイル名image0を、ステップ５０２で確
保した図４の記憶領域４０５のアドレス部（図１の１１
２）に登録する。 ［ステップ８０５］図５のステップ５０６で生成した認
証子をステップ５０３で生成したワーク鍵Ｋwで暗号化
し、さらにテンポラリ鍵Ｋｔにより暗号化Ｋｔ（Ｋw
（ｃｏｄｅ））して、カード７０４からカードアクセス
マネージャ４０６に送る。そして、Ｋｔ（Ｋw（ｃｏｄ
ｅ））と暗号化画像をネットワークマネージャ４０７を
介してセンタ７０１のファイルサーバ７０２に送信す
る。ファイルサーバ７０２に送られてきた暗号化画像
は、上記ファイルサーバ７０２で発行されたファイル名
image0でファイルサーバ７０２に登録される。同時に、
暗号化された認証子Ｋｗ（ｃｏｄｅ），暗号化画像Ｋｗ
（ｄａｔａ）もファイルに蓄積される。 ［ステップ８０６］保健医療カード７０４は、鍵暗号鍵
Ｋｓを病院７０３の保護されたディスク装置７０６に保
健医療カードのＩＤであるＩＤcとともに保存してお
く。 ［ステップ８０７］ファイルサーバ７０２は、図３に示
す「操作者認証処理」のステップ３０５で得られた保健
医療カード７０４のＩＤであるＩＤcとともに、ステッ
プ８０３で得たファイル名image0、ステップ８０５で得
たＫｔ（Ｋw（ｃｏｄｅ））をＫｔで復号化したＫw（ｃ
ｏｄｅ）を保存しておく。

【００２３】次に、図７の実施例の効果を説明する。本
実施例を採用することにより、患者データは地域保健医
療情報センタ７０１で一括管理されているため、データ
を登録した病院、あるいはその病院の医師が証拠隠滅の
ためにデータを消去してしまうことが不可能となる。ま
た、本実施例のような集中管理のメリットとしては、各
病院のファイルサーバの記憶容量を削減することができ
る等が挙げられる。一方、地域保健医療情報センタ７０
１には、地域住民の患者データが集中するので、プライ
バシー保護の観点からあまり好ましくない。また、上記
の前提で述べたように、地域医療情報センタの内部の人
間がファイルサーバに蓄積されたデータを盗聴したり改
竄したりする可能性もある。しかし、地域保健医療情報
センタ７０１のファイルサーバ７０２のデータは、患者
の保健医療カード７０４に保存されたワーク鍵で暗号化
されているため、ワーク鍵を入手しない限りそのデータ
の内容を見ることはできない。また、改竄したとして
も、保健医療カードの認証子を検証することにより、そ
の改竄を検知することができる。

【００２４】ここでは、患者が自分の保健医療カードを
紛失した場合を想定し、その対策方法を説明する。この
場合には、図７の地域医療情報センタ７０１と病院７０
３、そして患者が合意することによって、病院７０３に
おける患者のデータを復元することができる。患者は、
カードを紛失したことをカードを発行した機関に届け、
カードの再発行を要請する。前実施例と同じように、カ
ードを発行した機関は、初めにカードを発行した際のマ
スタ鍵を、カードのＩＤとともに厳重に管理している。
従って、カード再発行の要請に対しても、カードのＩＤ
とマスタ鍵は復元することができる。図８のステップ８
０７で、図７のファイルサーバ７０２は、保健医療カー
ドのＩＤであるＩＤcとともにファイルサーバ７０２に
登録するデータのファイル名（image0）とワーク鍵Ｋｗ
で暗号化された認証子（Ｋｗ(code)）を保存しておくの
で、このＩＤをもとにしてファイル名とワーク鍵Ｋｗで
暗号化された認証子をファイルサーバ７０２から収集し
てくることが可能である。また、ステップ８０６で、図
７のファイルサーバ７０５は、保健医療カードのＩＤで
あるＩＤcとともに鍵暗号鍵Ｋｓを保存しておくので、
このＩＤをもとにして鍵暗号鍵Ｋｓをファイルサーバ７
０５から収集してくることが可能である。従って、新し
く発行された保健医療カードのマスタ鍵Ｍsとファイル
サーバ７０５から集めた鍵暗号鍵Ｋｓにより、全てのワ
ーク鍵を復元することができるので、暗号化された認証
子（Ｋｗ(code)）も復元することが可能になる。

【００２５】前の実施例と同じように、医療関係者を含
む第３者がカードを偽造し、本人になりすましてデータ
を不正入手したり、その内容を盗み見ることは事実上不
可能である。何故ならば、本実施例では、カードシステ
ムとして図４（１）を採用しているので、医療関係者で
さえもマスタ鍵を知ることはできない。そして、マスタ
鍵がない限りワーク鍵を知ることもできないことから、
地域医療情報センタ７０１に登録されたデータを復号す
ることができないためである。なお、ステップ８０６で
は、病院７０３の保護されたディスク装置７０６に、ワ
ーク鍵を生成するのに使用した鍵暗号鍵Ｋｓを保存して
いるが、これとは別の場所にカードのＩＤとともにワー
ク鍵を保存しておくことを考える。この場合、病院側が
ワーク鍵を知っていてもデータの秘密が漏れる必配のな
いことは、前述の通りである。すなわち、前の実施例の
登録処理の効果において説明したように、認証子をカー
ドに登録するため、データが改竄された場合には、認証
子を用いて検証すれば確実にこれを検知できるためであ
る。ただし、上記カード復元のプロセスにおいて、この
ワーク鍵を絶対にカード紛失者（カード偽造者になり得
る者）に知らせてはならないことに注意すべきである。
上記のように別の場所にワーク鍵を保存する形態をとる
メリットは、ある緊急事態、例えば患者がカードを所有
していないときに事故に遭遇した場合などに、患者の過
去の医療情報が知りたいとき、患者の同意を得られれば
カードがなくとも、地域医療情報センタ７０１は患者の
ＩＤとともに緊急を知らされる情報を含んだ電文を全国
に同報通信しワーク鍵を病院から入手して患者情報を復
号し、他の病院に緊急にこのデータを送信することが可
能になることである。

【００２６】前述のように、オフライン型保健医療カー
ドでは、カードに記録されたデータを見たり、データに
ある種の操作を加えるためには、患者が保健医療カード
を医師などに渡してデータの権利を委譲することが必須
事項となる。従って、カードに対するアクセス管理がし
っかりしていれば、安全性はかなり強固であると言え
る。これに対して、保健医療カードシステムをオンライ
ンデータベースと連携させると、患者データの一部がネ
ットワーク上のデータベースに蓄積されることになるた
め、どうしても盗聴、改竄などの脅威にさらされること
になる。また、オンラインデータベースと連携させる
と、通常は正当なシステム管理者やユーザが何らかの原
因により突然に不正者になった場合には、データを不正
に操作することが可能になる。本発明においては、オン
ラインデータベースと連携させることにより生じる上述
のような特有な問題を解消することができるので、従来
のオフライン型保健医療カードと同じ安全性を、オンラ
インデータベースと連携した保健医療カードシステムで
も実現可能となる。そして、オフライン型保健医療カー
ドでは実現が難しい、カードを紛失したときにその内容
を復元する方法を実現することができる。

【００２７】

【発明の効果】以上説明したように、本発明によれば、
従来のオフライン型保健医療カードと同じ安全性を、オ
ンラインデータベースと連携した保健医療カードシステ
ムでも実現することができるとともに、カードを紛失し
たときにも、オンラインデータベースから安全にカード
の内容を復元することができる。

【図面の簡単な説明】

【図１】本発明の一実施例を示す保健医療カード処理シ
ステム構成およびカードの内容を示す図である。

【図２】図１における医療従事者端末とカードリーダの
概観図である。

【図３】本発明の一実施例を示す保健医療カードとオペ
レーションカード間の認証処理のシーケンスチャートで
ある。

【図４】本発明の一実施例を示すカード内部と医療従事
者端末のモジュール構成図である。

【図５】本発明の一実施例を示すデータ登録処理のフロ
ーを説明する図である。

【図６】本発明の他の実施例を示すデータ検索処理のフ
ローを説明する図である。

【図７】本発明の他の実施例を示す保健医療カードシス
テムの構成図である。

【図８】図７におけるデータ登録処理のシーケンスチャ
ートである。

【符号の説明】

１０１：病院、１０２：病院、１０３：ネットワーク、
１０４，１０５：ファイルサーバ、１０６：電子カル
テ、１０７：保健医療カード、１０８：保健医療カード
の内容、１０９：患者基本情報、１１０：画像データ
部、１１１：属性情報、１１２：アドレス、１１３：認
証子、１１４：ワーク鍵、１１５：マスタ鍵、１１６：
ＩＤ、２０１：医療従事者端末、２０２：カードリー
ダ、４０１：アクセス権チェックモジュール、４０２：
暗号処理モジュール、４０３：ワーク鍵生成モジュー
ル、４０４：認証子生成検証モジュール、４０５：記憶
領域、４０６：カードアクセスマネージャ、４０７：ネ
ットワークマネージャ、５０１：相手認証処理、５０
７：暗号処理、 ５０２：カード内記憶領域の確保処理、５０３：ワーク
鍵生成処理、５０４：ワーク鍵登録処理、５０５：デー
タのロード、５０９：ログ記録処理、 ５０６：認証子生成処理、６０１：相手認証処理、６０
３：データ選択処理、５０８：公開サーバへのデータ登
録処理とカードへのファイル名の登録処理、６０２：カ
ード内記憶内容の表示、８０６：病院におけるログ記録
処理、６０４：データアドレスをネットワークマネジャ
ーに通知、６０５：データのダウンロード、６０７：暗
号処理、７０２：ファイルサーバ、 ７０１：地域医療情報センタ、７０３：病院、７０４：
保健医療カード、６０６：カード内部の暗号処理モジュ
ールにダウンロードしたデータ送信、８０７：地域医療
情報センタにおけるログ記録処理、７０５：ファイルサ
ーバ、 ６０８：認証子検証処理およびローカルディスク上への
データの送信、７０６：保護されたディスク装置、８０
１：相手認証処理、８０２：暗号処理、認証子生成処
理、８０３：ファイル名の要求、８０４：ファイル名の
付与とカードへの送信、８０５：画像および鍵暗号鍵に
より暗号化された認証子の地域医療情報センターファイ
ルサーバへの送信。

Claims (10)

【特許請求の範囲】
1. 【請求項１】複数の医療機関に分散設置された通信端末
   装置と、該通信端末装置との間で情報の授受を行う保健
   医療カードと、該通信端末装置を結合する通信網と、該
   通信網に接続され、上記複数の医療機関によって共有さ
   れる複数のデータベースとを有する保健医療カードとオ
   ンラインデータベースの連携方法において、 上記保健医療カードには、上記データベースの少なくと
   も一つに登録されるデータごとに設定され、該データを
   登録したデ−タベ−スを通信網において特定するネット
   ワークアドレス情報と、 該データベース内の当該データの詳細な所在を特定する
   ファイル名情報と、 上記データベースに登録したデータから予め定められた
   一方向性ハッシュ関数により計算した数値の認証子と、 上記データベースに登録するデータに施す暗号処理に使
   用したワーク鍵情報とを格納することを特徴とする保健
   医療カードとオンラインデータベースとの連携方法。
2. 【請求項２】請求項１に記載の保健医療カードとオンラ
   インデータベースの連携方法において、 前記複数のデータベースの少なくとも一つには、当該デ
   ータが格納されている保健医療カードごとに一意に付与
   されたＩＤ番号と、 当該データを暗号化するために使用したワーク鍵情報を
   該カードのマスタ鍵情報で暗号化した情報、あるいは該
   マスタ鍵情報を暗号化して該ワーク鍵情報を生成するた
   めに使用した鍵暗号鍵情報と、 該データベース内の当該データの詳細な所在を特定する
   ファイル名情報とを記録しておくことを特徴とする保健
   医療カードとオンラインデータベースの連携方法。
3. 【請求項３】請求項１または２に記載の保健医療カード
   とオンラインデータベースの連携方法において、 データ暗号化のための前記ワーク鍵情報の生成処理、デ
   ータの暗号化処理、および認証子の生成・検証処理を上
   記保健医療カード内で行うことなく、全て端末通信装置
   で行う場合には、 前記複数のデータベースの少なくとも一つには、当該デ
   ータが格納されている保健医療カードごとに一意に付与
   されたＩＤ番号と、 当該データを暗号化するために使用したワーク鍵情報を
   該カードのマスタ鍵情報で暗号化した情報と、 該データベース内の当該データの詳細な所在を特定する
   ファイル名情報と を記録しておくことを特徴とする保健医療カードとオン
   ラインデータベースの連携方法。
4. 【請求項４】請求項１に記載の保健医療カードとオンラ
   インデータベースの連携方法において、 前記複数のデータベースの少なくとも一つに登録された
   データは、ある医療機関からの検索要求により、当該デ
   ータが登録されているデ−タベ−スを通信網において特
   定するネットワークアドレス情報と、 該データベース内の当該データの詳細な所在を特定する
   ファイル名情報とに基づいて、該データベースから通信
   網を介し検索要求を行った医療機関の通信端末装置に転
   送されることを特徴とする保健医療カードとオンライン
   データベースの連携方法。
5. 【請求項５】請求項１または３に記載の保健医療カード
   とオンラインデータベースの連携方法において、 前記検索要求を行った医療機関は、登録されたデータベ
   ースから転送してきた当該データを受け取ると、 当該データに対して、データベース登録時に施され、暗
   号処理に用いられたワーク鍵情報を予めカードから得て
   おき、 該ワーク鍵情報を基に復号処理を施すことを特徴とする
   保健医療カードとオンラインデータベースとの連携方
   法。
6. 【請求項６】請求項１，３または４に記載の保健医療カ
   ードとオンラインデータベースの連携方法において、 前記検索要求を行った医療機関は、請求項４に記載の復
   号処理を行ったデータに対して、予め定められた一方向
   性ハッシュ関数により認証子を計算し、 該認証子と保健医療カード登録されている認証子とを比
   較し、 比較の結果、同一と判定されたときには、上記復号処理
   を行ったデータは正しいものとして該医療機関のメモリ
   に格納することを特徴とする保健医療カードとオンライ
   ンデータベースの連携方法。
7. 【請求項７】複数の医療機関に分散設置された通信端末
   装置と、該通信端末装置との間で情報の授受を行う保健
   医療カードと、該通信端末装置を結合する通信網と、該
   通信網に接続され、上記複数の医療機関によって共有さ
   れる少なくとも一つのデータベースとを有する保健医療
   カードとオンラインデータベースの連携方法において、 当該保健医療カードの媒体は、上記データベースと通信
   網を介して接続し、該データベースの一つに登録する各
   データごとに、該データベース内の当該データの詳細な
   所在を特定するファイル名情報を入手して、自媒体内に
   格納するが、 その際に、該ファイル名情報を該保健医療カードと該デ
   ータベースとが共有する鍵情報により暗号化して通信す
   ることを特徴とする保健医療カードとオンラインデータ
   ベースとの連携方法。
8. 【請求項８】請求項７に記載の保健医療カードとオンラ
   インデータベースの連携方法において、 前記保健医療カードと当該データベースとが共有する鍵
   情報により暗号化して通信する際の暗号処理は、該保健
   医療カードの内部で行うことを特徴する保健医療カード
   とオンラインデータベースとの連携方法。
9. 【請求項９】請求項７に記載の保健医療カードとオンラ
   インデータベースの連携方法において、 前記複数の医療機関によって共有される少なくとも一つ
   のデータベースには、保健医療カードごとに一意に付与
   されたＩＤ番号とともに当該データの詳細な所在を特定
   するファイル名情報を記録しておき、 上記共有されるデータベースとは異なる各医療機関等の
   データベースには、該共有データベースの一つに登録さ
   れるデータに施す暗号処理に必要な少なくとも２つの鍵
   情報のうちの一つとともに、上記保健医療カードごとに
   一意に付与されたＩＤ番号を記録しておくことを特徴と
   する保健医療カードとオンラインデータベースとの連携
   方法。
10. 【請求項１０】請求項９に記載の保健医療カードとオン
    ラインデータベースの連携方法において、 前記共有されるデータベースとは異なる各医療機関等の
    データベースには、該共有データベースの一つに登録さ
    れるデータに施す暗号処理に使用したワーク鍵情報とと
    もに、上記保健医療カードごとに一意に付与されたＩＤ
    番号を記録しておくことを特徴とする保健医療カードと
    オンラインデータベースとの連携方法。