JP2007025763A - 情報処理装置、及び、情報処理システム - Google Patents

Abstract

【課題】 データベースに記録されているレコードの流出を効果的に防止できる情報処理装置を提供する。
【解決手段】 第１，第２キー情報で形成されるアクセスキーに基づいて、データベースに対するアクセス制限を行う機能を備えている情報処理装置であって、第１キー情報は、アクセス許可するレコードを特定する情報であり、第２キー情報は、１以上のフィールドについてアクセス禁止し、残りのフィールドについてアクセス許可する情報であり、情報処理装置は、第１，第２キー情報の入力手段と、第１，第２キー情報から、アクセス許可するレコードのフィールドを特定する制御手段と、特定されたフィールドのデータをデータベースから読み出して出力する出力手段と、データベースに対するアクセス権限を持つ使用者を認証し、認証した場合に、入力手段と制御手段と出力手段とを動作状態にする個人認証手段と、を備えていることを特徴とする。
【選択図】図６

Description

本発明は、データベースに記録されている各レコードに対して、アクセス制限機能を備えている情報処理装置と、情報処理システムとに関する。ここで、情報処理システムは、データベースと、該データベースにアクセスするように接続されている複数の情報処理装置と、で構成されるシステムのことをいう。なお、情報処理装置が処理するものは、各種情報、即ち、データである。

従来、データベースに記録されている各レコードに対して、アクセス制限機能を備えている情報処理装置（データベース管理装置やデータベース管理システムとも呼ばれている）が知られている。ここで、１レコードは、データベースで取り扱う一件分のデータのことである。なお、１レコードを構成している各項目についてのデータは、フィールドという。アクセス制限機能とは、個人認証手段により認証された特定の者に、特定の内容で、データベースの利用を許可する機能のことであり、例えば、アクセスキーとして、使用者のＩＤ情報の入力を求め、入力されたＩＤ情報が登録されている場合に限り、データベースに記録されている全てのレコードに対するアクセスを許可するような機能のことをいう。

以下、個人情報として、患者一人分のカルテデータを１レコードとして取り扱う情報処理装置について考える。通常、該情報処理装置は、病院毎に設置され、各情報処理装置のデータベースには、病院毎の患者のカルテデータが記録される。この場合、ある病院が、別の病院における患者のカルテデータを閲覧することは考えられていなかった。

近年、複数の病院の情報処理装置と、患者一人分のカルテデータを１レコードとして記録しているデータベースとを、ネットワーク接続して医療ネットワークを形成し、データベースに記録しているカルテデータを、複数の病院の情報処理装置間で相互利用する情報処理システムが提案されている。相互利用の例としては、患者が病院を変えた場合に、前の病院で作成されたカルテデータを、変更先の病院の情報処理装置で閲覧可能にすることが考えられている。

以下の特許文献１には、情報処理システムとして、ネットワーク接続されている複数の病院の情報処理装置間で、患者のカルテデータを相互利用する医療情報提供・取得システムが開示されている。

特開２００４−２２７６０８号公報

特許文献１に開示する情報処理システムは、患者のカルテデータを、例えば、別の病院の情報処理装置に提供する場合に、該患者のカルテデータの識別情報を変更する処理を行う。該処理を行うことにより、カルテデータが誰のデータであるのかが解りにくくなり、カルテデータの秘匿性が向上する。

しかし、特許文献１には、例えば、患者のカルテデータを作成した病院の情報処理装置の該カルテデータにアクセスするためのアクセスキーの情報の漏洩を防止することや、アクセスキーが漏洩した場合に、該患者のカルテデータの流出を防止することについて、何ら記載されていない。

特に、データベースに記録しているカルテデータを、複数の病院の情報処理装置間で相互利用するような情報処理システムでは、カルテデータの持つ情報量が多いため、該カルテデータの流出を効果的に防止することが重要になってくる。

また、情報処理装置としてノート型等の持ち運びの簡単なコンピュータを用いる場合、情報処理装置自体の盗難により多量のカルテデータが流出するおそれがある。

本発明は、データベースに記録されている各レコードに対して、アクセス制限機能を持ち、レコードの流出を効果的に防止することができる、情報処理装置と情報処理システムとを提供することを目的とする。

請求項１記載の情報処理装置は、第１キー情報と第２キー情報とで形成されるアクセスキーの内容に基づいて、データベースに記録されており、それぞれ複数のフィールドで構成されているレコードへのアクセス制限を行うアクセス制限機能を備えている情報処理装置であって、第１キー情報は、アクセス許可するレコードを特定する情報であり、第２キー情報は、レコードの各フィールドに対するアクセス制限内容を特定する情報であって、１以上のフィールドについてアクセス禁止し、残りのフィールドについてアクセス許可する情報であり、情報処理装置は、第１キー情報と第２キー情報とを入力する入力手段と、入力された第１キー情報と第２キー情報とから、アクセス許可するレコードのフィールドを特定する制御手段と、制御手段により特定された、アクセス許可するフィールドのデータをデータベースから読み出し、読み出したデータを出力する出力手段と、データベースに対するアクセス権限を持つ使用者を認証し、認証した場合に、入力手段と制御手段と出力手段とを動作状態にする個人認証手段と、を備えていることを特徴とする。

請求項２記載の情報処理装置は、請求項１記載の情報処理装置において、更に、情報処理装置は、第１キー情報と第２キー情報とデータベースから読み出したデータとの内、少なくとも１つを記憶する記憶手段と、電源遮断時に、記憶手段の記憶内容を消去する消去手段と、を備えていることを特徴とする。

請求項３記載の情報処理装置は、請求項１又は請求項２に記載の情報処理装置において、個人認証手段が、バイオメトリクス認証技術を用いるものであることを特徴とする。

請求項４記載の情報処理装置は、請求項１又は請求項２に記載の情報処理装置において、個人認証手段が、ワンタイムパスワードを用いるものであることを特徴とする。

請求項５記載の情報処理装置は、請求項１乃至請求項４の何れかに記載の情報処理装置において、レコードが、個人情報であることを特徴とする。

請求項６記載の情報処理装置は、請求項５記載の情報処理装置において、個人情報が、個人の医療データであることを特徴とする。

請求項７記載の情報処理装置は、請求項５記載の情報処理装置において、個人の医療データが、カルテデータであることを特徴とする。

請求項８記載の情報処理装置は、請求項６記載の情報処理装置において、個人の医療データが、調剤データであることを特徴とする。

請求項９記載の情報処理装置は、請求項６記載の情報処理装置において、個人の医療データが、おすすめサプリメントに関するデータであることを特徴とする。

請求項１０記載の情報処理装置は、請求項６記載の情報処理装置において、個人情報が、顧客データであることを特徴とする。

請求項１１記載の情報処理システムは、複数のフィールドで構成されているレコードを記録しているデータベースと、該データベースにアクセスするように接続されている複数の情報処理装置と、で構成される情報処理システムであって、情報処理装置は、第１キー情報と第２キー情報とで形成されるアクセスキーの内容に基づいて、レコードへのアクセス制限を行うアクセス制限機能を備えている情報処理装置であり、第１キー情報は、アクセス許可するレコードを特定するための情報であり、第２キー情報は、第１キー情報により特定されるレコードの各フィールドに対するアクセス制限内容を特定する情報であって、１以上のフィールドについてアクセス禁止し、残りのフィールドについてアクセス許可する情報と、情報処理装置の識別番号と、を有しており、情報処理装置は、第１キー情報と第２キー情報とを入力する入力手段と、入力された第１キー情報と第２キー情報とから、アクセス許可するレコードのフィールドを特定する制御手段と、該情報処理装置の識別番号を記憶している第１記憶手段と、アクセスキーが有している情報処理装置の識別番号が、第１記憶手段に記憶している識別番号と一致するか否かを判断する判断手段と、判断手段が一致すると判断した場合にのみ、制御手段により特定された、アクセス許可するフィールドのデータを、データベースから読み出し、読み出したデータを出力する出力手段と、データベースに対するアクセス権限を持つ使用者を認証し、認証した場合に入力手段と制御手段と第１記憶手段と判断手段と出力手段とを動作状態にする個人認証手段と、を備えていることを特徴とする。

請求項１２記載の情報処理システムは、請求項１１記載の情報処理システムにおいて、第２キー情報がアクセス許可するフィールドの一部分が、全ての情報処理装置で共通してアクセス許可になっていることを特徴とする。

請求項１３記載の情報処理システムは、請求項１１又は請求項１２に記載の情報処理システムにおいて、更に、情報処理システムは、更に、情報処理装置は、第１キー情報と第２キー情報とデータベースから読み出したデータとの内、少なくとも１つを記憶する第２記憶手段と、電源遮断時に、第２記憶手段の記憶内容を消去する消去手段と、を備えていることを特徴とする。

請求項１４記載の情報処理システムは、請求項１１乃至請求項１３の何れかに記載の情報処理システムにおいて、個人認証手段が、バイオメトリクス認証技術を用いるものであることを特徴とする。

請求項１５記載の情報処理システムは、請求項１１乃至請求項１３の何れかに記載の情報処理システムにおいて、個人認証手段が、ワンタイムパスワードを用いるものであることを特徴とする。

請求項１６記載の情報処理システムは、請求項１１乃至請求項１５の何れかに記載の情報処理システムにおいて、レコードが、個人情報であることを特徴とする。

請求項１７記載の情報処理システムは、請求項１６記載の情報処理システムにおいて、個人情報が、個人の医療データであることを特徴とする。

請求項１８記載の情報処理システムは、請求項１７記載の情報処理システムにおいて、個人の医療データが、カルテデータであることを特徴とする。

請求項１９記載の情報処理システムは、請求項１７記載の情報処理システムにおいて、個人の医療データが、調剤データであることを特徴とする。

請求項２０記載の情報処理システムは、請求項１７記載の情報処理システムにおいて、個人の医療データが、おすすめサプリメントに関するデータであることを特徴とする。

請求項２１記載の情報処理システムは、請求項１７記載の情報処理システムにおいて、個人情報が、顧客データであることを特徴とする。

請求項１記載の情報処理装置は、個人認証手段がデータベースに対するアクセス権限を持つ使用者を認証しなければ、使用することができないため、装置自体が盗難された場合にデータベースに記録しているレコードが流出することを防止することができる。
また、第１キー情報又は第２キー情報が漏洩しても、アクセスキーを形成することができず、認証された使用者が不在の間に、情報処理装置を操作してデータベースに記録しているレコードが流出することを防止することができる。
更には、第１キー情報と第２キー情報との両方の情報が漏洩した場合であっても、レコードを構成する一部のフィールドにアクセスできるようになるだけで、レコードの全てのデータが流出することを防止することができる。

請求項２記載の情報処理装置は、電源遮断時に、記憶手段の記憶内容の消去を行うことにより、情報処理装置の盗難時に、第１，第２キー情報やデータベースのデータが流出することを防止することができる。

請求項３記載の情報処理装置は、バイオメトリクス認証技術を用いて個人認証を行うことにより、他人が不正に装置を操作することを防止することができる。

請求項４記載の情報処理装置は、ワンタイムパスワードを用いて個人認証を行うことにより、他人が不正に装置を操作することを防止することができる。

請求項５記載の情報処理装置は、装置の盗難や第１，第２キー情報の漏洩時にも、個人情報の流出を防止することができる。

請求項６記載の情報処理装置は、装置の盗難や第１，第２キー情報の漏洩時にも、個人の医療データの流出を防止することができる。

請求項７記載の情報処理装置は、装置の盗難や第１，第２キー情報の漏洩時にも、個人のカルテデータの流出を防止することができる。

請求項８記載の情報処理装置は、装置の盗難や第１，第２キー情報の漏洩時にも、個人の調剤データの流出を防止することができる。

請求項９記載の情報処理装置は、装置の盗難や第１，第２キー情報の漏洩時にも、個人のおすすめサプリメントに関するデータの流出を防止することができる。

請求項１０記載の情報処理装置は、装置の盗難や第１，第２キー情報の漏洩時にも、個人の顧客データの流出を防止することができる。

請求項１１記載の情報処理システムを構成する情報処理装置は、個人認証手段がデータベースに対するアクセス権限を持つ使用者を認証しなければ、使用することができないため、装置自体が盗難された場合にデータベースに記録しているレコードが流出することを防止することができる。
また、第２キー情報に含まれている情報処理装置の識別情報が、第２キー情報を読み込んだ情報処理装置の識別番号と一致しない限り、データベースへのアクセスを行うことができないため、個人情報の流出を防止することができる。
また、第１キー情報又は第２キー情報が漏洩しても、アクセスキーを形成することができず、認証された使用者が不在の間に、情報処理装置を操作してデータベースに記録しているレコードが流出することを防止することができる。
更には、第１キー情報と第２キー情報との両方の情報が漏洩した場合であっても、レコードを構成する一部のフィールドにアクセスできるようになるだけで、レコードの全てのデータが流出することを防止することができる。

請求項１２記載の情報処理システムは、システムを構成する全情報処理装置が共通してアクセス許可されている、いわゆる共有フィールドの設定が行われているため、情報処理装置間で情報の共有化を図ることができる。

請求項１３記載の情報処理システムを構成する情報処理装置は、電源遮断時に、第２記憶手段の記憶内容の消去を行うことにより、情報処理システムを構成する情報処理装置の盗難時に、第１，第２キー情報やデータベースのデータが流出することを防止することができる。

請求項１４記載の情報処理システムを構成する情報処理装置は、バイオメトリクス認証技術を用いて個人認証を行うことにより、他人が不正に装置を操作することを防止することができる。

請求項１５記載の情報処理システムを構成する情報処理装置は、ワンタイムパスワードを用いて個人認証を行うことにより、他人が不正に装置を操作することを防止することができる。

請求項１６記載の情報処理システムを構成する情報処理装置は、装置の盗難や第１，第２キー情報の漏洩時にも、個人情報の流出を防止することができる。

請求項１７記載の情報処理システムを構成する情報処理装置は、装置の盗難や第１，第２キー情報の漏洩時にも、個人の医療データの流出を防止することができる。

請求項１８記載の情報処理システムを構成する情報処理装置は、装置の盗難や第１，第２キー情報の漏洩時にも、個人のカルテデータの流出を防止することができる。

請求項１９記載の情報処理システムを構成する情報処理装置は、装置の盗難や第１，第２キー情報の漏洩時にも、個人の調剤データの流出を防止することができる。

請求項２０記載の情報処理システムを構成する情報処理装置は、装置の盗難や第１，第２キー情報の漏洩時にも、個人のおすすめサプリメントに関するデータの流出を防止することができる。

請求項２１記載の情報処理システムを構成する情報処理装置は、装置の盗難や第１，第２キー情報の漏洩時にも、個人の顧客データの流出を防止することができる。

（１）情報処理システムの全体構成とデータベース管理処理の概略説明
（２）データベースの具体例
（３）個人情報としてカルテデータを用いる場合の情報処理システムについて
(3-1)実際の使用例
(3-2)データベースの構成
(3-3)情報処理装置の構成
(3-4)アクセスキーの構成
(3-5)アクセスキーの使用例
(3-6)データベース管理処理の説明
（４）別の実施形態について

（１）情報処理システムの全体構成とデータベース管理処理の概略説明
図１は、実施形態１に係る情報処理システム１の構成を示す図である。情報処理システム１は、それぞれ、インターネットゾーン２を介して閉域接続されているデータベース３と、情報処理装置１００，２００，３００とで構成されている。

情報処理装置１００，２００，３００は、それぞれ、使用者を認識する個人認証手段を備えており、個人認証手段により認証された使用者のみが、データベース３にアクセスするのに必要な各構成要素を動作状態にすることができるようになっている。情報セキュリティの分野における個人認証とは、例えば、データベース３へのアクセス権限を持つ使用者本人しか持ち得ない属性を元に、その属性を確認し、本人であることを証明することをいう。個人認識手段には、使用者のバイオメトリクスを利用する認証技術やワンタイムパスワードを用いるものが考えられる。後に説明するが、情報処理装置１００，２００，３００では、個人認証手段として、例えば、使用者のバイオメトリクスの一つである指紋の画像を読み取るイメージリーダ１０９，２０９，３０９を用いる。バイオメトリクス認証技術を用いる個人認証手段を採用することにより、他人によるなりすましを防いで、情報処理装置の盗難時等に、データベース３に記録されているデータが流出することを防止することができる。

データベース３は、一人分の個人情報を１レコードとして記録している。個人情報とは、個人に関する情報であって、該情報に含まれる氏名、生年月日その他の記述等により特定の個人を識別することができるものをいう。なお、個人情報には、他の情報と容易に照合することができ、それにより特定の個人を識別することができることとなるものも含む。個人情報の定義で用いている、個人とは、自然人の他に、レコード単位で取り扱うことができるもの、例えば、家族、法人（学校や病院）、法人でない社団等、ある概念で構成される団体を含むこととする。１レコードは、複数のフィールドで構成されている。該複数のフィールドは、全ての情報処理装置が閲覧できる共有フィールドｆ１と、各情報処理装置に専用に割り当てられているフィールド（以下、専用フィールドという）ｆ２，ｆ３，…とで構成されている。共有フィールドｆ１には、複数の情報処理装置で共有することについて、予め本人から承諾を受けた個人情報が書き込まれている。

情報処理装置１００，２００，３００は、それぞれ、アクセスキー入力手段を備えており、アクセスキー入力手段により入力されるアクセスキーから特定される個人の個人情報の一部分の情報を、データベース３より読み出し、ディスプレイ１０８，２０８，３０８に表示する。個人情報の一部分の情報とは、共有フィールドと専用フィールドとの情報である。例えば、情報処理装置１００の場合、共有フィールドｆ１と情報処理装置１００用の専用フィールドｆ２との情報をディスプレイ１０８に表示する。該構成を採用することにより、アクセスキーの情報が漏洩した場合に個人情報の全フィールドの情報が流出することを防止する。また、共有フィールドｆ１を設定したことにより、情報処理装置間で個人情報の共有化を図ることができる。

アクセスキー入力手段とは、以下に説明する情報記録手段に記録されているアクセスキーの情報を読み取る手段であり、本例では、カードリーダ１０７，２０７，３０７を用いる。アクセスキーは、第１キー情報と第２キー情報とで構成されている。第１キー情報は、個人のレコードを特定する情報である。第１キー情報は、例えば、個人ＡのカードＡの情報記録手段ｍ１に記録されている。第２キー情報は、情報処理装置１００，２００，３００のそれぞれに設定される情報であり、個人情報の共有フィールドｆ１と、専用フィールド（ｆ２，ｆ３，…）とを特定する情報である。第２キー情報は、例えば、情報処理装置１００用のカードＨ１の情報記録手段ｍ２に記録されている。なお、カードＡ,Ｈ１の形状については、いわゆるクレジットカードの形状以外の平面形状や立体形状、例えば、携帯電話等に付属又は一体形成すること等の種々の変形例が考えられる。

情報記録手段ｍ１，ｍ２は、例えば、磁気フィルムや非接触読取用ＩＣを用いる。なお、情報記録手段ｍ１，ｍ２は、該手段に記録してある第１，第２キー情報を読み取り、情報処理装置（１００，２００，３００）に入力する読取装置と、組合せて用いるという条件を満たす限りにおいて、任意の形式のものを用いることができる。更には、第１キー情報と第２キー情報とは、情報処理装置１００，２００，３００がそれぞれ備えているキーボード等の入力手段をマニュアル操作して直接入力することも考えられる。

また、情報処理装置１００，２００，３００は、電源遮断時に装置内の記憶手段（いわゆるバッファメモリ等の記憶手段を含む）に記憶されている、第１，第２キー情報やデータベース３から読み出したデータの消去を行う消去手段を備えている。該構成を採用したことにより、情報処理装置の盗難時に、第１，第２キー情報やデータベースのデータが流出することを防止することができる。

（２）データベースの具体例
データベース３を構成するレコードは、個人情報が記録されており、１以上の共有フィールドと１以上の専用フィールドとで構成されている。データベース３のレコードには、該構成に当てはめて用いることができるあらゆる種類の個人情報を記録させることが考えられる。以下、図２を参照しつつ、データベース３のレコードの種々の具体例について説明する。

個人情報の具体例としては、複数の病院やサプリメントの販売員等が利用する医療データと、様々な商品の販売員や、様々な役務の提供者（以下単に商品の販売員等という）が利用する顧客データとが考えられる。

医療データとは、医師、歯科医師、薬剤師等（以下、単に医師等という）により作成されるカルテデータや調剤データの他に、サプリメント販売員や介護者により作成されるサプリメントに関するデータや介護データ等のことをいう。顧客データとは、商品の販売員等が用いる顧客に関するデータ一般のことをいう。以下、医療データ、顧客データについてより詳しく説明する。

カルテデータは、例えば、情報処理装置１００，２００，３００が、それぞれ、異なる病院に配設される場合に用いる。カルテデータは、各病院で入力された患者のカルテデータである。カルテデータには、全ての病院に共通して閲覧できる、過去のカルテデータの書き込まれた共有フィールドｆ１と、各病院に割り当てられた専用のカルテデータ入力欄である専用フィールドｆ２，ｆ３，…とが設定されている。専用フィールドには、担当の医師等が、自己の見解等を入力する。

調剤データは、例えば、情報処理装置１００，２００，３００が、それぞれ、異なる病院又は調剤薬局に配設される場合に用いる。調剤データとは、担当の医師等が作成する処方箋に基づき、患者に出される薬のデータのことをいう。調剤データは、全ての病院に共通して閲覧できる過去の調剤データの入力欄である共有フィールドｆ１と、各病院に割り当てられた専用のカルテデータ入力欄である専用フィールドｆ２，ｆ３，…とが設定されている。専用フィールドには、担当の医師等が、自己の見解等を入力する。

サプリメントに関するデータは、例えば、情報処理装置１００，２００，３００を、それぞれ、異なるサプリメント販売員が操作する場合に用いる。サプリメントに関するデータとは、サプリメント販売員により入力された、おすすめサプリメントのデータである。該おすすめサプリメントは、販売員が行ったアンケート調査結果に基づいて特定されたサプリメントである。サプリメントに関するデータは、全ての販売員が閲覧できるおすすめサプリメントの入力欄である共有フィールドｆ１と、各販売員に割り当てられた専用のデータ入力欄である専用フィールドｆ２，ｆ３，…とが設定されている。専用フィールドには、販売員が、おすすめしたサプリメントのデータ等を入力する。

介護データは、例えば、情報処理装置１００，２００，３００が、それぞれ、異なる介護者が操作する場合に用いる。介護データとは、介護保険法に基づいて認定された要介護者に関するデータである。介護データは、全ての介護者が共通して閲覧できる過去の介護情報の入力欄である共有フィールドｆ１と、各介護者に割り当てられた専用の介護データ入力欄である専用フィールドｆ２，ｆ３，…とが設定されている。介護者とは、要介護者が必要とする内容の介護を行う自然人又は団体のことをいう。専用フィールドには、介護者が、自己の見解等を入力する。

顧客データは、例えば、情報処理装置１００，２００，３００を、それぞれ、商品の販売員等が操作する場合に用いる。顧客データは、サプリメントを含む様々な商品の販売、又は、様々な役務の提供を行う際に、その商品の販売員等が利用する、顧客に関するデータである。顧客データは、情報処理装置を操作する商品の販売員等の全員が閲覧できる顧客の住所や家族構成等のデータが書き込まれている共有フィールドｆ１と、各商品の販売員等に割り当てられた専用のデータ入力欄である専用フィールドｆ２，ｆ３，…とが設定されている。専用フィールドには、顧客に関するデータの内、覚え書き等、データ入力者が占有しておくデータの入力を行う。

なお、該顧客データの構成の変形例として、共有フィールドと専用フィールドの両方に同一の複数のアンケート項目についてのデータ入力欄を設けておき、商品の販売員等が顧客に対して行ったアンケート項目の内、顧客から各情報処理装置で共有することについて許可をもらえたアンケート項目に対する回答のみ、共有フィールドｆ１に入力し、許可をもらえなかったアンケート項目に対する回答については、専用フィールドｆ２，ｆ３，…に入力するようにしても良い。この場合、データベース作成手段として、アンケート項目をディプレイ表示し、共有フィールドに書き込むことに対する許否と、許否の内容に応じてアンケート項目に対する回答を共有フィールド又は専用フィールドに入力するプログラム（マクロを用いたテンプレートを含む）を用意することも考えられる。上述した医療データについても同様の変形例を考えることができる。

なお、図２には示していないが、上述したサプリメントに関するデータや介護データの類似例として、ホームメディカルデータが考えられる。ホームメディカルデータとは、サプリメント販売員や介護者に類似する、いわゆるヘルスケアアドバイザが取り扱うデータのことであり、各個人の歩数計のカウント値、体重、体脂肪値、血圧値等、家庭で計測できるデータのことである。情報処理装置１００，２００，３００は、各ヘルスケアアドバイザが操作する。この場合、データベース３の各個人に割り当てられたレコードへのデータ入力用端末を、各個人が自ら操作する。共有フィールドと専用フィールドとには、同一の測定値入力欄を設けておく。本人が全ヘルスケアアドバイザに共有させても良いと考えたデータについては、共有フィールドに入力し、ある特定のヘルスケアアドバイザにのみ開示すると判断したデータについては、該ヘルスケアアドバイザに割り当てられている専用フィールドに入力する。

（３）個人情報としてカルテデータを用いる場合の情報処理システムについて
(3-1)実際の使用例
以下、再び図１を参照しつつ、個人情報の具体例としてカルテデータを１レコードとして記録しているデータベース３を使用し、情報処理装置１００，２００，３００が、それぞれ、病院Ｈ１,Ｈ２,Ｈ３に配設されている場合について説明する。

第１キー情報が記録されているカードＡは、例えば、病院Ｈ１に通院している患者Ａさんが保持する。第２キー情報が記録されているカードＨ１は、病院Ｈ１の担当の医師等が保持する。カードＡやカードＨ１は、情報管理システム１のシステム管理者（図示せず）が、周知のデータ書き込み装置を用いて作成し、患者や各病院に配布する。各カードは、周知の改ざん防止技術により、データの改ざんが行えないようになっているものとする。なお、カードＡは、患者Ａさんが最初に訪れた病院Ｈ１,Ｈ２,Ｈ３の何れかの病院で作成することも考えられる。

２枚のカードＡ,Ｈ１の使用例は、以下の通りである。患者ＡさんがカードＡを持って、病院Ｈ１に行き、カードＡを病院の受付窓口で渡す。診察を行う前に担当の医師等は、情報処理装置１００を起動し、イメージリーダ１０９を用いる個人認証手段により自己がデータベース３に対するアクセス権を持つ使用者であることを認証させ、システムを稼働状態にした状態で待機している。担当の医師等は、診察する際に、情報処理装置１００のカードリーダ１０７を用いて、カードＡに記録されている第１キー情報と、カードＨ１に記録されている第２キー情報を装置に読み込ませる。情報処理装置１００は、第１キー情報と、第２キー情報とで形成されるアクセスキーの内容に応じて、データベース３に記録されている患者Ａのカルテデータの内、共有フィールドｆ１と専用フィールドｆ２とのデータを読み出し、読み出したデータをディスプレイに表示する。

(3-2)データベースの構成
図３は、カルテデータを記録しているデータベース３の詳細な構成を示す図である。データベース３は、患者一人分のカルテデータを１レコードとし、全部で２バイト、即ち、２^１６＝６５５３６人分のカルテデータを記録している。カルテデータは、複数のデータ入力欄、即ち、複数のフィールドで構成されている。フィールドの数は、３２個である。レコード１には、患者Ａさんの、外科に関するカルテデータ（共有フィールドｆ_Ａ１,専用フィールドｆ_Ａ２，…，専用フィールドｆ_Ａ８）、内科に関するカルテデータ（共有フィールドｆ_Ｂ１,専用フィールドｆ_Ｂ２，…，専用フィールドｆ_Ｂ８）、その他の診療内容に関するカルテデータ（共有フィールドｆ_Ｃ１,専用フィールドｆ_Ｃ２，…，専用フィールドｆ_Ｃ１６）が記録されている。

外科に関する共有フィールドｆ_Ａ１は、各病院で共通して見るべき外科のカルテデータの入力欄である。専用フィールドｆ_Ａ２は、病院Ｈ１の担当の医師等専用のカルテデータの入力欄である。専用フィールドｆ_Ａ３，ｆ_Ａ４は、病院Ｈ２,Ｈ３の担当の医師等専用のカルテデータの入力欄である。残りの専用フィールドｆ_Ａ５〜ｆ_Ａ８は、インターネット２に接続される病院の数、即ち、情報処理装置の数が増加した時のために取っておく。

内科に関する共有フィールドｆ_Ｂ１，専用フィールドｆ_Ｂ２〜ｆ_Ｂ８と、その他の診療内容に関する共有フィールドｆ_Ｃ１,専用フィールドｆ_Ｃ２〜ｆ_Ｃ８の定義は、上述した外科の共有フィールドと専用フィールドとの定義と同じである。その他の診療内容に対応するカルテデータの内、専用フィールドｆ_Ｃ９〜ｆ_Ｃ１６は、未使用フィールドである。

なお、１レコードを構成するフィールドの数や各フィールドの定義は、実施例に応じて設定すればよい。また、フィールドに書き込むデータは、数値データ、テキストデータの他、レントゲン写真などの画像データ等が考えられる。

(3-3)情報処理装置の構成
図４は、病院Ｈ１に配設される情報処理装置１００の構成を示す図である。情報処理装置１００は、中央演算処理装置であるＣＰＵ１０１と、ＲＯＭ１０２と、ＲＡＭ１０３と、ハードディスク（図中、ＨＤと記す）１０４と、入力手段であるキーボード１０５、ポインティングデバイス１０６と、カードリーダ１０７と、ディスプレイ１０８と、イメージリーダ１０９とで構成されている。

ＲＯＭ１０２は、ＣＰＵ１０１にＲＡＭ１０３やキーボード１０５等の各構成要素を認識させ、ハードディスク１０４から読み込むプログラムを実行可能な状態にする、オペレーションシステム（いわゆるＯＳ）プログラムを記録している。

ハードディスク１０４は、記憶手段として機能し、以下に説明するデータベース管理プログラムと、情報処理装置１００の識別番号の情報と、使用者の指紋の画像データと、を記憶している。

ＲＡＭ１０３又はハードディスク１０４は、また、カードリーダ１０７で読み取った情報やデータベースから読み出した情報等を、処理の迅速化、例えば、ディスプレイ１０８に再表示するため、一時的に保持する記憶手段（いわゆるバッファメモリ）としても機能する。

カードリーダ１０７は、カードＡ,Ｈ１の情報記録手段ｍ１，ｍ２に記録されている第１キー情報，第２キー情報を読み取るのに用いる。

イメージリーダ１０９は、個人認証を行うため、使用者の指紋の画像データを読み取るのに用いる。

ＣＰＵ１０１は、電源投入後、ＲＯＭ１０２からオペレーションシステムプログラムを読み出して実行した後、ハードディスク１０４からデータベース管理プログラムを読み出して実行する。プログラムの実行時、ＲＡＭ１０３は、作業領域（上述したバッファメモリとしての使用を含む）として用いられる。

データベース管理プログラムの実行に伴い、ＣＰＵ１０１は、まず、イメージリーダ１０９を起動し、使用者の指紋の画像データを読み取る。読み取った指紋の画像データとハードディスク１０４に記憶してある使用者の指紋の画像データとのパターンマッチングを行い、２つの画像データが一致する場合には、登録されている使用者であると判断して、以降のデータベース管理処理を実行する。読み取った指紋の画像データが登録してある画像データと一致しない場合には、直ちに処理を終了する。なお、データベース管理処理の詳しい内容については、後にフローチャートを用いて説明する。

情報処理装置２００，３００の構成は、それぞれのハードディスクに記憶している識別番号が異なる（情報処理装置２００が“２”、情報処理装置３００が“３”）以外は、情報処理装置１００の構成と同じである。

なお、情報処理装置１００は、使用者のバイオメトリクスを利用する個人認証手段を備えているが、ワンタイムパスワードを用いる個人認証手段を採用することも考えられる。ワンタイムパスワードを用いる個人認証手段とは、情報処理装置内の特定の信号と同期している信号の発生手段を備えたカード（いわゆるトークンカード）を利用して、情報処理装置とカード内で、使い捨てのパスワードを生成し、互いのパスワードが一致した場合に個人認証を行う手段である。ワンタイムパスワードを用いる個人認証手段は、パスワードクラックの心配が無く、カードの受け渡しだけで、使用者の変更ができるため、情報処理装置の使用者が頻繁に代わる場合に採用すると良い。

(3-4)アクセスキーの構成
図５（ａ）は、アクセスキーの構成を説明する図である。アクセスキーは、カードＡに記録されている２バイトデータの第１キー情報と、カードＨ１に記録されている５バイトデータの第２キー情報とで形成される７バイトデータである。第２キー情報には、情報処理装置１００の識別番号を表す１バイトデータが含まれている。以下、カードＡと、カードＨ１とで形成されるアクセスキーをａＫＥＹ（Ａ,Ｈ１)と表す。

図５（ｂ）は、第１キー情報を説明する図である。第１キー情報は、データベース３に記録されている合計で６５５３６個のレコードの中から、患者Ａさんのレコードを特定する２バイトデータである。患者Ａさんのレコードは、レコード１であり、この場合の第１キー情報は、“0000000000000001”である。なお、該２バイトデータの値は、データベース３に記録されている患者のレコード番号を特定できる値であれば良く、例えば、患者のレコード番号を２進数で表したものを補数で表した値であっても良い。

図５（ｃ）は、第２キー情報を説明するための図である。第２キー情報は、レコードの各フィールドに対するアクセス制限内容を特定する４バイトデータであって、１以上のフィールドについてアクセス禁止し、残りのフィールドについてアクセス許可するデータと、情報処理装置１００の識別番号を表す１バイトデータとで構成されている。

４バイトデータの各ビットデータの値は、順に、フィールドｆ_Ａ１〜ｆ_Ａ８,ｆ_Ｂ１〜ｆ_Ｂ８，ｆ_Ｃ１〜ｆ_Ｃ１６に対するアクセス許可／禁止を設定する。ビットデータの値が“１”の場合、アクセス許可を意味する。ビットデータの値が“０”の場合、アクセス禁止を意味する。

例えば、病院Ｈ１が外科病院の場合、４バイトデータは、外科の共有フィールドｆ_Ａ１と、情報処理装置１００に割り当てられる専用フィールドｆ_Ａ２についてだけアクセス許可する“1100…0000”に設定する。

また、病院Ｈ１が総合病院の場合、４バイトデータは、例えば、外科の共有フィールドｆ_Ａ１と、情報処理装置１００に割り当てられる専用フィールドｆ_Ａ２と_、内科の共有フィールドｆ_Ｂ１と、専用フィールドｆ_Ｂ２と、その他の診療内容を入力する共有フィールドｆ_Ｃ１と、専用フィールドｆ_Ｃ２と、についてアクセス許可する“11000000110000001100…00”に設定する。

４バイトデータの後に続く１バイトデータの値は、情報処理装置１００の識別番号“１”を、２進数で表した“00000001”に設定されている。なお、該１バイトデータの値は、情報処理装置１００のハードディスク１０４に記憶されている識別番号の情報と一対一に対応する値であれば良い。

病院Ｈ２,Ｈ３の何れもが外科の病院であるとすると、病院Ｈ２に配設されている情報処理装置２００用のカードＨ２には、第２キー情報として、外科の共有フィールドｆ_Ａ１と、専用フィールドｆ_Ａ３についてアクセス許可する４バイトデータと、情報処理装置２００の識別番号（＝２）を特定する１バイトデータとで構成される５バイトデータが記録される。また、病院Ｈ３の情報処理装置３００用のカードＨ３には、第２キー情報として、外科の共有フィールドｆ_Ａ１と、専用フィールドｆ_Ａ４についてアクセス許可する４バイトデータと、情報処理装置３００の識別番号（＝３）を特定する１バイトデータとで構成される５バイトデータが記録される。各データの設定条件は、上述したカードＨ１と同じである。

上述するように、カードＨ１，Ｈ２,Ｈ３に記録している第２キー情報の設定を行うことにより、カードＨ１,Ｈ２,Ｈ３の何れかの第２キー情報が漏洩した場合に、個人情報の全フィールドの情報が流出することを防止することができる。また、情報処理装置間で患者のカルテデータの一部（例えば、外科の共有フィールドｆ_Ａ１）の共有化を図ることができる。

(3-5)アクセスキーの使用例
図６は、ＣＰＵ１０１がハードディスク１０４に記憶しているデータベース管理プログラムを実行して行うデータベース管理処理の内容を説明するための図である。データベース管理処理の具体的な内容については、後にフローチャートを用いて説明する。

情報処理装置１００は、電源投入後、個人認証手段を構成するイメージリーダ１０９を起動し、使用者の指紋の画像データを読み取る。読み取った画像データが予め記憶してある指紋の画像データと一致する場合、カードリーダ１０７を含む各構成要素を動作状態に切り換え、データベース管理処理を実行する。読み取った画像データが予め記憶してある指紋の画像データと一致しない場合、電源遮断処理を実行する。情報処理装置１００は、登録されている使用者以外は、使用することができないため、装置自体が盗難された場合にデータベースに記録しているレコードが流出することを防止することができる。

起動したカードリーダ１０７により、カードＡとカードＨ１とに記録されている、第１キー情報と第２キー情報とを、それぞれ読み取る。読み取った第１キー情報と第２キー情報とから、アクセスキーａＫＥＹ（Ａ,Ｈ１)を形成する。情報処理装置１００は、アクセスキーの第１キー情報から患者Ａのレコード１を特定し、第２キーにより、レコードの内、担当の医師等がアクセス許可されている共有フィールドｆ_Ａ１と専用フィールドｆ_Ａ２とを特定する。情報処理装置１００は、更に、第２キー情報が備えている情報処理装置の識別番号と、ハードディスク１０４に記憶している識別番号とが一致することを確認した後、患者Ａのカルテデータの共有フィールドｆ_Ａ１と専用フィールドｆ_Ａ２とのデータをデータベース３から読み出し、読み出したデータをディスプレイ１０８に表示する。

患者Ａのカルテデータは、病院Ｈ１に配設されている情報処理装置１００に、担当する医師等がカードＡとカードＨ１との情報を入力して初めて、データベース３から読み出すことができるようになる。このため、盗難等によりカードＡの情報が漏洩しても、患者Ａのカルテデータが流出することはない。また、担当する医師等は、カードＨ１だけでは各患者のカルテデータを閲覧することができず、患者ＡからカードＡを受け取って初めて患者Ａのカルテデータの閲覧を行うことができるようになる。また、カードＨ１の情報が漏洩しても、情報処理装置１００から各患者のカルテデータが流出することはない。また、２枚のカードＡ,Ｈ１の情報が漏洩しても、情報処理装置１００からは、カードＨ１に記録されている第２キー情報によるアクセス制限内容に従い、患者Ａのカルテデータの一部分しか出力されず、患者Ａの全てのカルテデータが流出することを防止することができる。更には、不正に２枚のカードＡ,Ｈ１を取得しても、別の情報処理装置、例えば、病院Ｈ２の情報処理装置２００からは、データベース３にアクセスすることができないため、患者のカルテデータの流出を防止することができる。

(3-6)データベース管理処理の説明
図７は、ＣＰＵ１０１がハードディスク１０４に記憶しているデータベース管理プログラムを実行して行うデータベース管理処理のフローチャートである。以下、データベース管理処理の内容について詳細に説明する。

まず、イメージリーダ１０９を起動し、個人認証情報として、使用者のバイオメトリクス情報の一つである指紋の画像データをイメージリーダ１０９により読み取る（ステップＳ１)。指紋の画像データの読み取りは、イメージリーダの所定位置に置いた使用者の指を走査することにより読み取る。読み取った指紋の画像データが、ハードディスク１０４に記憶されている使用者の指紋の画像データに一致するか否かを判断する（ステップＳ２）。一致する場合には（ステップＳ２でＹＥＳ）、カードリーダ１０７を起動する（ステップＳ３)。不一致の場合（ステップＳ２でＮＯ）、直ちに処理を終了する。ＣＰＵ１０１は、イメージリーダ１０９を用いて行うステップＳ１，ステップＳ２の処理実行時、情報処理装置１００を、個人認証手段として機能させる。

カードリーダ１０７の起動後、カード情報の入力が行われるのを待機する（ステップＳ４でＮＯ）。カードに記録されているデータの読み取りが行われた場合（ステップＳ４でＹＥＳ）、読み取ったデータが２バイトデータであるか否かにより、第１キー情報であるか否かの判断を行う（ステップＳ５）。読み取ったデータが第１キー情報であると判断する場合（ステップＳ５でＹＥＳ）、引き続き、カードに記録されているデータの読み取りが行われるのを待つ（ステップＳ６でＮＯ）。次のカードに記録されているデータの読み取りが行われた場合（ステップＳ６でＹＥＳ）、読み取ったデータが５バイトデータであるか否かにより、第２キー情報であるか否かの判断を行う（ステップＳ７）。読み取ったデータが第２キー情報であると判断する場合（ステップＳ７でＹＥＳ）、第１キー情報と第２キー情報とからアクセスキーａＫＥＹを形成する（ステップＳ８）。アクセスキーａＫＥＹの内容に基づいて、患者のレコードと、該レコードの各フィールドの内、アクセス許可されているフィールドの特定を行う（ステップＳ９）。

図５を用いて説明したカードＡとカードＨ１とを用いる場合、ステップＳ４〜ステップＳ９の処理により、アクセスキーａＫＥＹ（Ａ,Ｈ１）が形成され、該アクセスキーａＫＥＹ（Ａ,Ｈ１）から、アクセス許可されているレコードのフィールドとして、患者Ａのカルテデータを記録しているレコード１のフィールドｆ_Ａ１,ｆ_Ａ２が特定される。

アクセスキーａＫＥＹから特定される、情報処理装置の識別番号が、情報処理装置１００の識別番号（＝１）と一致する場合（ステップＳ１０でＹＥＳ）、ステップＳ９において特定した、患者のレコードの内、アクセス許可されているフィールドのデータを、データベース３から読み出し、読み出したデータを、ＲＡＭ１０３又はハードディスク１０４に一時的に記憶させると共に、ディスプレイ１０８に表示する（ステップＳ１１）。なお、データの出力は、ディスプレイ１０８に表示して行う他、情報処理装置１００にプリンタ（図示せず）を接続し、用紙に印刷して出力することも考えられる。

ポインティングデバイス１０６の操作によりディスプレイ１０８に表示された複数のフィールドの内、データ入力を行うフィールドの選択を行い、キーボード１０５によるデータ入力を受け付け、データの修正や追加等、その他の処理を行う（ステップＳ１２）。なお、その他の処理において、ディスプレイ１０８に読み出したデータベースのデータを再表示させる場合には、上記ステップＳ１１においてＲＡＭ１０３又はハードディスク１０４に記憶してあるデータを利用して行う。他のアクセスキーの読み込みを行う場合（ステップＳ１３でＹＥＳ）、ステップＳ４に戻る。他のアクセスキーの読み込みを行わない場合（ステップＳ１３でＮＯ）、キーボード１０５の操作によるデータベース管理処理終了の要求を待って（ステップＳ１４でＹＥＳ）、電源遮断処理として、ＲＡＭ１０３又はハードディスク１０４等に記憶してある第１，第２キー情報やデータベース３から読み出したデータの消去処理を実行した後（ステップＳ１５）、処理を終了する。

図５を用いて説明したカードＡとカードＨ１との場合、アクセスキーａＫＥＹ（Ａ,Ｈ１)から特定される情報処理装置の識別番号は“１”であり、情報処理装置１００の識別番号（＝１）と一致する（ステップＳ１０でＹＥＳ）。この場合、ＣＰＵ１０１は、患者Ａのカルテデータであるレコード１の各フィールドの内、フィールドｆ_Ａ１，ｆ_Ａ２のデータを、データベース３から読み出し、読み出したデータをディスプレイ１０８に表示する。

例えば、カードＡと情報処理装置２００用のカードＨ２とに書き込まれている情報を、使用可能な状態にある情報処理装置１００に読み込ませても、アクセスキーａＫＥＹ（Ａ,Ｈ２)から特定される情報処理装置の識別番号が“２”であり、情報処理装置１００の識別番号（＝１）と一致しない（ステップＳ１０でＮＯ）。この場合、ＣＰＵ１０１は、データベース３へのアクセスを取り止め（ステップＳ１０でＮＯ）、ステップＳ４の処理に戻る。

（４）別の実施形態について
実施の形態１に係る情報処理システム１のように、本発明の情報処理システムは、複数の情報処理装置が、個人情報の記録されているデータベースを共有するシステムを考えている。上述した通り、該システムでは、データベースを構成している各個人のレコード内に、共有フィールドと専用フィールドとを設け、個人認証手段、第１キー情報、第２キー情報、各情報処理装置の識別番号とを利用して各情報処理装置に個人情報の流出を効果的に防止しうる機能を備えると共に、個人情報の共有化を実現することを特徴としている。構成上の特徴を満たす限りにおいて、種々の個人情報を取り扱う情報処理システムを考えることができる。なお、情報処理装置の使用形態には、サプリメントの販売員等が携帯情報端末として用いる場合や病院等の施設内で固定して用いる場合が考えられる。

例えば、実施形態２に係る情報処理システムとして、以下のようなシステムを考えることができる。なお、説明の便宜のため、図１に示した情報処理システム１の各構成要素に対応する構成要素には、同じ参照番号を付して説明する。

実施形態２に係る情報処理システムとして、データベース３’と、複数の全く異なる系列の銀行の情報処理装置１００，２００，３００とを、インターネット接続して形成したものを考える（図１に示した情報処理システム１を参照）。個人情報として、従来、全く異なる系列の銀行間では、それぞれ分離独立して管理されていた銀行口座（いわゆる、普通預金、定期預金、金融債等を一元管理する口座のことをいう）を、完全に一つにまとめた個人の総合口座（銀行毎という枠を超えて、一個人に対し国内で唯一割り当てられる総合口座）というものを考える。また、データベース３’として、該個人の総合口座に関する個人情報を１レコードとして記録したデータベースを用意する。該個人情報は、図２に示した顧客データに類似する情報である。各レコードは、全ての銀行の情報処理装置で閲覧できる共有フィールドｆ１と、各情報処理装置に専用に割り当てられている専用フィールドｆ２，ｆ３，…とで構成されている。共有フィールドには、預金情報を入力する。専用フィールドには、各銀行でのみ必要な情報を入力する。

実施形態２に係る情報処理システムの場合、各個人が、データベース３に記録されている自分の総合口座のレコードを特定する第１キー情報を、記録しているカード（カードＡに相当する）を保持する。各銀行は、個人の総合口座の各フィールドの内、共有フィールドｆ１と、各銀行に専用に割り当てられている専用フィールドｆ２，ｆ３，…とを特定する情報と、各銀行の識別番号（“１”，“２”，“３”に相当する）の情報とで構成される第２キー情報を、記録しているカード（例えば、情報処理装置１００に対応するカードＨ１がこれに相当する）を保持する。

２枚のカードの使用方法と、各銀行の情報処理装置１００，２００，３００が実行するデータベース管理処理の内容は、データベースに記録している各レコードのフィールドの数や各フィールドに書き込まれているデータの種類の違いの他、第１キー情報、第２キー情報の実施例による内容の変更以外は、実施形態１に係る情報処理システム１のものと同じでよい。

実施形態２に係る情報処理システムは、第１キー情報や第２キー情報が漏洩した場合に顧客の総合口座の情報の流出を防止することができるだけでなく、各銀行で顧客の総合口座の共有フィールドｆ１の情報について相互利用することができるという利点を持つ。

実施形態２に係る情報処理システムの変形例としては、情報処理装置を取り扱うものが実際に営業所を有する銀行の代わりに、ネット上の仮想空間内に設けられた銀行である場合を考えることができる。また、銀行の総合口座に類似するものとして、証券会社や商取引で用いる専用の私設口座というものを考えることもできる。この場合、情報処理装置は、各証券会社や商取引の相手先に配設される。

情報処理システムの全体構成を示す図である。 データベースに記録している個人情報の種類を説明するための図である。 カルテデータを記録しているデータベースの構成を説明するための図である。 情報処理装置の構成を示す図である。 （ａ）は、アクセスキーの構成を示し、（ｂ）は、第１キー情報の内容を示し、（ｃ）は、第２キー情報の内容を示す図である。 データベース管理処理の内容を説明するための図である。 データベース管理処理のフローチャートである。

符号の説明

１ 情報処理システム、２ インターネットゾーン、３ データベース、１００，２００，３００ 情報処理装置、１０７，２０７，３０７ カードリーダ、１０８，２０８，３０８ ディスプレイ、１０９，２０９，３０９ イメージリーダ。

Claims (21)

1. 第１キー情報と第２キー情報とで形成されるアクセスキーの内容に基づいて、データベースに記録されており、それぞれ複数のフィールドで構成されているレコードへのアクセス制限を行うアクセス制限機能を備えている情報処理装置であって、
   第１キー情報は、アクセス許可するレコードを特定する情報であり、
   第２キー情報は、レコードの各フィールドに対するアクセス制限内容を特定する情報であって、１以上のフィールドについてアクセス禁止し、残りのフィールドについてアクセス許可する情報であり、
   情報処理装置は、
   第１キー情報と第２キー情報とを入力する入力手段と、
   入力された第１キー情報と第２キー情報とから、アクセス許可するレコードのフィールドを特定する制御手段と、
   制御手段により特定された、アクセス許可するフィールドのデータをデータベースから読み出し、読み出したデータを出力する出力手段と、
   データベースに対するアクセス権限を持つ使用者を認証し、認証した場合に、入力手段と制御手段と出力手段とを動作状態にする個人認証手段と、
   を備えていることを特徴とする、情報処理装置。
2. 更に、情報処理装置は、第１キー情報と第２キー情報とデータベースから読み出したデータとの内、少なくとも１つを記憶する記憶手段と、
   電源遮断時に、記憶手段の記憶内容を消去する消去手段と、
   を備えている請求項１記載の情報処理装置。
3. 個人認証手段が、バイオメトリクス認証技術を用いるものである、請求項１又は請求項２に記載の情報処理装置。
4. 個人認証手段が、ワンタイムパスワードを用いるものである、請求項１又は請求項２に記載の情報処理装置。
5. レコードが、個人情報である、請求項１乃至請求項４の何れかに記載の情報処理装置。
6. 個人情報が、個人の医療データである、請求項５記載の情報処理装置。
7. 個人の医療データが、カルテデータである、請求項６記載の情報処理装置。
8. 個人の医療データが、調剤データである、請求項６記載の情報処理装置。
9. 個人の医療データが、おすすめサプリメントに関するデータである、請求項６記載の情報処理装置。
10. 個人情報が、顧客データである、請求項６記載の情報処理装置。
11. 複数のフィールドで構成されているレコードを記録しているデータベースと、該データベースにアクセスするように接続されている複数の情報処理装置と、で構成される情報処理システムであって、
    情報処理装置は、第１キー情報と第２キー情報とで形成されるアクセスキーの内容に基づいて、レコードへのアクセス制限を行うアクセス制限機能を備えており、
    第１キー情報は、アクセス許可するレコードを特定するための情報であり、
    第２キー情報は、第１キー情報により特定されるレコードの各フィールドに対するアクセス制限内容を特定する情報であって、１以上のフィールドについてアクセス禁止し、残りのフィールドについてアクセス許可する情報と、情報処理装置の識別番号と、を有しており、
    情報処理装置は、
    第１キー情報と第２キー情報とを入力する入力手段と、
    入力された第１キー情報と第２キー情報とから、アクセス許可するレコードのフィールドを特定する制御手段と、
    該情報処理装置の識別番号を記憶している第１記憶手段と、
    アクセスキーが有している情報処理装置の識別番号が、第１記憶手段に記憶している識別番号と一致するか否かを判断する判断手段と、
    判断手段が一致すると判断した場合にのみ、制御手段により特定された、アクセス許可するフィールドのデータを、データベースから読み出し、読み出したデータを出力する出力手段と、
    データベースに対するアクセス権限を持つ使用者を認証し、認証した場合に入力手段と制御手段と第１記憶手段と判断手段と出力手段とを動作状態にする個人認証手段と、
    を備えていることを特徴とする、情報処理システム。
12. 第２キー情報がアクセス許可するフィールドの一部分が、全ての情報処理装置で共通してアクセス許可になっている、請求項１１記載の情報処理システム。
13. 更に、情報処理装置は、第１キー情報と第２キー情報とデータベースから読み出したデータとの内、少なくとも１つを記憶する第２記憶手段と、
    電源遮断時に、第２記憶手段の記憶内容を消去する消去手段と、
    を備えている、請求項１１又は請求項１２に記載の情報処理システム。
14. 個人認証手段が、バイオメトリクス認証技術を用いるものである、請求項１１乃至請求項１３の何れかに記載の情報処理システム。
15. 個人認証手段が、ワンタイムパスワードを用いるものである、請求項１１乃至請求項１３の何れかに記載の情報処理システム。
16. レコードが、個人情報である、請求項１１乃至請求項１５の何れかに記載の情報処理システム。
17. 個人情報が、個人の医療データである、請求項１６記載の情報処理システム。
18. 個人の医療データが、カルテデータである、請求項１７記載の情報処理システム。
19. 個人の医療データが、調剤データである、請求項１７記載の情報処理システム。
20. 個人の医療データが、おすすめサプリメントに関するデータである、請求項１７記載の情報処理システム。
21. 個人情報が、顧客データである、請求項１７記載の情報処理システム。
    

Images