JP6566990B2 - 薬歴管理装置および方法、並びにプログラム - Google Patents

Description

本技術は、薬歴管理装置および方法、並びにプログラムに関し、特に、セキュリティを向上させるとともに、利便性も向上させることができるようにした薬歴管理装置および方法、並びにプログラムに関する。

例えば、サーバで各種のデータを管理して、そのデータを各個人ユーザが閲覧できるようにするサービス等が知られている。閲覧対象となるデータは、例えばユーザの薬歴データなど、様々なデータとされることが考えられ、閲覧対象のデータが個人的なデータとされるときには、ユーザの個人情報等を適宜利用して、本人確認を行う必要がある。

従来、個人情報についてはこれを取得後、厳重に守ることによって対処されているが、これでは関係データの管理コストが大幅にかかってしまう。

そこで、個人情報をサーバ側に記録しない仕組みと、携帯型端末装置側にＱＲ（Quick Response）コード（登録商標）により、直接、個人情報を送信する仕組みが提案されている（例えば、特許文献１参照）。

また、携帯型端末装置に対して閲覧許可を与える際に、携帯型端末装置ごとに予め付与されている端末ＩＤや電話番号などをサーバ側に登録しておく技術も提案されている（例えば、特許文献２参照）。この技術によれば、サーバにおける携帯型端末装置の一意性を担保するとともに、ユーザがサービスを解除したい携帯型端末装置を指定することができるようになる。

特開２０１３−１０１５８５号公報 特開２００７−１６４４４９号公報

しかしながら上述した技術では、セキュリティを向上させるとともに、利便性も向上させることは困難であった。

例えば、特許文献１に記載の技術では、サーバ側には個人情報が記録されないので、セキュリティを向上させることができる。しかし、この技術では、ユーザが複数の携帯型端末装置に個人情報を記録させ、サーバで管理されているデータを閲覧する場合、サーバ側では各携帯型端末装置を区別することができなかった。そのため、例えば特定の携帯型端末装置だけを後からアクセス禁止とすることができず、不便であった。

また、特許文献２に記載の技術では、ユーザがサービスを解除したい携帯型端末装置を指定することができるが、サーバ側に端末ＩＤや携帯電話の電話番号などを記録しておく必要がある。このような携帯型端末装置に固有の端末ＩＤや電話番号は、個人情報に極めて近いものとみなされ始めており、サーバ側で個人情報を持たない仕組みを実現するにあたっては不都合であった。

本技術は、このような状況に鑑みてなされたものであり、セキュリティを向上させるとともに、利便性も向上させることができるようにするものである。

本技術の一側面の薬歴管理装置は、情報を受信および送信する通信部と、薬歴情報を個人識別情報に対応付けて記録する記録部と、制御部とを有し、前記制御部は、前記通信部により、前記個人識別情報、および前記個人識別情報に対応付けられた前記薬歴情報にアクセスするときに用いるアクセス元の機器の登録要求を受信した場合、前記アクセス元の機器を識別するアクセス元識別情報を生成し、前記個人識別情報に対応付けて前記アクセス元識別情報を前記記録部に記録し、前記通信部により、前記アクセス元識別情報を送信するよう制御し、前記制御部は、前記通信部により、前記個人識別情報および前記アクセス元識別情報と、前記薬歴情報へのアクセスの無効化要求とを受信した場合、受信された前記アクセス元識別情報により識別される前記アクセス元の機器による前記薬歴情報へのアクセスを無効化するよう制御する。また、前記制御部は、前記通信部により、前記個人識別情報および前記アクセス元識別情報と、前記薬歴情報の送信要求とを前記アクセス元から受信した場合、前記通信部により、前記個人識別情報と前記アクセス元識別情報に対応付けられた前記薬歴情報を、前記アクセス元に対して送信するよう制御する。

本技術の第１の側面の薬歴管理方法およびプログラムは、本技術の第１の側面の薬歴管理装置に対応するものである。

本技術の一側面においては、個人識別情報、および前記個人識別情報に対応付けられた薬歴情報にアクセスするときに用いるアクセス元の機器の登録要求が受信された場合、前記アクセス元の機器を識別するアクセス元識別情報が生成され、前記個人識別情報に対応付けられて前記アクセス元識別情報が記録され、前記アクセス元識別情報が送信される。また、前記個人識別情報および前記アクセス元識別情報と、前記薬歴情報へのアクセスの無効化要求とが受信された場合、受信された前記アクセス元識別情報により識別される前記アクセス元の機器による前記薬歴情報へのアクセスが無効化される。さらに、前記個人識別情報および前記アクセス元識別情報と、前記薬歴情報の送信要求とが前記アクセス元から受信された場合、前記個人識別情報と前記アクセス元識別情報に対応付けられた前記薬歴情報が、前記アクセス元に対して送信されるよう制御される。

本技術の一側面によれば、セキュリティを向上させるとともに、利便性も向上させることができる。

なお、ここに記載された効果は必ずしも限定されるものではなく、本開示中に記載された何れかの効果であってもよい。

情報処理システムの構成例を示す図である。 データセンタの構成例を示す図である。 データベースの一例を示す図である。 加盟店端末装置の構成例を示す図である。 携帯型端末装置の構成例を示す図である。 読み取り処理、仮登録要求処理、および仮登録処理を説明するフローチャートである。 登録要求処理および登録処理を説明するフローチャートである。 閲覧処理および提供処理を説明するフローチャートである。 削除要求処理および削除処理を説明するフローチャートである。 削除要求処理および削除処理を説明するフローチャートである。 データベースの一例を示す図である。 登録要求処理および登録処理を説明するフローチャートである。 データベースの一例を示す図である。 閲覧処理および提供処理を説明するフローチャートである。 データベースの一例を示す図である。 登録要求処理および登録処理を説明するフローチャートである。 削除要求処理および削除処理を説明するフローチャートである。 コンピュータの構成例を示す図である。

以下、図面を参照して、本技術を適用した実施の形態について説明する。

〈第１の実施の形態〉
〈情報処理システムの構成例〉
図１は、本技術を適用した情報処理システムの一実施の形態の構成例を示す図である。

この情報処理システムは、加盟店端末装置１１、データセンタ１２、並びにユーザの所持するＩＣ（Integrated Circuit）カード１３および携帯型端末装置１４から構成される。また、加盟店端末装置１１とデータセンタ１２とは、インターネットなど、有線や無線のネットワークからなる通信網１５を介して、相互に接続されている。

この情報処理システムは、各種のサービスをユーザに対して提供する場合に適用することが可能であるが、以下では説明を具体的にするため、ユーザが電子化されたお薬手帳などの薬歴データをデータセンタ１２にアップロードし、その薬歴データを適宜閲覧する場合を例として説明を続ける。なお、薬歴データのアップロードは、必要に応じてＩＣカード１３を利用した認証や対面認証がなされた後、ユーザが利用するサービス加盟店やユーザ本人により行われる。

加盟店端末装置１１は、所定のサービスを提供するサービス加盟店に設けられている。この例では、加盟店端末装置１１は、例えばユーザが処方された薬剤を購入する薬局内や、ユーザが通院する病院内に設けられている。

加盟店端末装置１１は、コンピュータなどからなり、薬剤師等の入力操作に応じて各種の処理を行う。具体的には、例えば加盟店端末装置１１は、薬剤師等の入力操作に応じてユーザの薬歴データを生成し、その薬歴データを記録したり、通信網１５を介して薬歴データをデータセンタ１２に送信して記録させたりする。

また、加盟店端末装置１１は、ユーザのＩＣカード１３から、ユーザに固有のＩＤである個人識別ＩＤや個人情報を読み出して本人認証等に利用したり、データセンタ１２で管理されている薬歴データへアクセスするのに必要となる情報等を、近距離通信により携帯型端末装置１４に送信したりする。

ここで、個人識別ＩＤは、一意にユーザを特定することのできる個人識別情報の一つであるが、他人が個人識別ＩＤを入手しただけでは、一般的にはその個人識別ＩＤにより識別されるユーザ個人を特定することができない（困難である）情報とされる。

なお、個人識別ＩＤを取得する契機となる媒体は、個人識別ＩＤが直接記録されたＩＣカード等に限らず、書き換えや置き換えが不可能な固有の媒体であればよい。例えば生体情報から固有の情報を個人識別ＩＤとして取得する場合、個人識別ＩＤを取得するための媒体は、人体の一部または全部などとされる。

データセンタ１２は、加盟店端末装置１１や携帯型端末装置１４から供給された薬歴データを管理するとともに、加盟店端末装置１１や携帯型端末装置１４からの要求に応じて、記録している薬歴データの閲覧を許可する。

なお、ここでは、データセンタ１２により管理される管理データの一例として、薬歴データについて説明を行うが、管理データは、ユーザによりアクセスされるデータであれば、どのようなデータであってもよい。

ＩＣカード１３は、加盟店端末装置１１が設置されているサービス加盟店等で提供されるサービスを受けるユーザが、そのサービスを受けるときに適宜使用するＩＣカードである。このＩＣカード１３は、ユーザごとに発行される。ＩＣカード１３には、サービス利用者であるユーザを認証するための個人識別ＩＤと、ユーザの氏名、生年月日、性別などからなる個人情報とが記録されている。なお、ＩＣカード１３に記録される個人情報には、その他、ユーザの住所や電話番号、保険証番号などが含まれるようにしてもよい。

ＩＣカード１３は、加盟店端末装置１１と通信し、記録している個人識別ＩＤや個人情報を加盟店端末装置１１に送信する。

携帯型端末装置１４は、ユーザが所持する携帯型電話機などからなり、図示せぬ通信網や通信網１５を介して加盟店端末装置１１やデータセンタ１２と通信し、必要に応じて情報の授受を行なう。例えば、携帯型端末装置１４はデータセンタ１２から薬歴データを受信して表示したり、薬歴データをデータセンタ１２に送信して更新させたりする。

なお、図１の例では、情報処理システムには、１つの加盟店端末装置１１しか図示されていないが、実際には情報処理システムには、複数の加盟店端末装置１１が含まれている。

〈データセンタの構成例〉
次に、図１に示した加盟店端末装置１１、データセンタ１２、および携帯型端末装置１４の構成について説明する。

図２は、データセンタ１２の構成例を示す図である。なお、図２では、データセンタ１２は１つの装置として構成されているが、データセンタ１２は複数の装置から構成されるようにしてもよい。

図２に示すデータセンタ１２は記録部４１、通信部４２、および制御部４３を有している。

記録部４１は、例えばデータベースであり、各ユーザの薬歴データや、個人識別ＩＤ、個人設定端末コード、個人毎端末ＩＤなどの各種のデータを記録しており、必要に応じて記録しているデータを制御部４３に供給する。

ここで、個人毎端末ＩＤは、データセンタ１２において、個人識別ＩＤに対して登録された携帯型端末装置１４を一意に特定することのできる端末識別情報である。すなわち、個人毎端末ＩＤは、所定の携帯型端末装置１４が、個人識別ＩＤに対して登録されている１または複数の携帯型端末装置１４のうちの何れであるかを一意に識別するための情報である。

したがって個人識別ＩＤおよび個人毎端末ＩＤを用いれば、データセンタ１２において、どのＩＣカード１３について登録されている、どの携帯型端末装置１４であるかを一意に識別することができる。そのため、データセンタ１２では、個人識別ＩＤおよび個人毎端末ＩＤの組み合わせが、ユーザが薬歴データにアクセスするときに利用される、アクセス管理のための情報（アクセスキー）等として利用される。

また、個人設定端末コードは、ユーザにより定められた、携帯型端末装置１４を特定するための情報であり、ユーザは、例えば個人設定端末コードとして、自分が覚えやすい情報を指定する。したがって、ユーザは個人設定端末コードを見れば、その個人設定端末コードがどの携帯型端末装置１４を示しているかを容易に理解することができる。

個人設定端末コードは、薬歴データへのアクセス権限を無効化するとき、すなわちサービスの利用を停止させるときに利用される。

通信部４２は、通信網１５などを介して加盟店端末装置１１や携帯型端末装置１４と通信し、受信した情報を制御部４３に供給したり、制御部４３から供給された情報を送信したりする。

制御部４３は、データセンタ１２全体の動作を制御する。制御部４３は、登録管理部５１、生成部５２、および情報管理部５３を備えている。

登録管理部５１は、薬歴データの閲覧を可能にするための携帯型端末装置１４の登録に関する処理等を行う。生成部５２は、記録部４１に記録される個人毎端末ＩＤを生成する。情報管理部５３は、記録部４１に記録されているデータを管理する。

ここで、記録部４１に記録されている個人識別ＩＤ、個人設定端末コード、個人毎端末ＩＤ、および薬歴データの例について説明する。例えば、図３に示すように、これらの個人設定端末コード、個人毎端末ＩＤや薬歴データは、個人識別ＩＤに対応付けられてデータベースとして記録されている。

図３において、個人識別ＩＤは、ＩＣカード１３から読み出された、ユーザを一意に識別する情報であり、個人識別ＩＤには個人設定端末コード、個人毎端末ＩＤ、および薬歴データが対応付けられている。

例えば個人識別ＩＤ「ab01」には個人設定端末コード「1234」、個人毎端末ＩＤ「1」、および薬歴データ「薬歴データＡ」が対応付けられている。ここで、個人識別ＩＤに対応付けられる薬歴データは必ず１つであるが、個人設定端末コードおよび個人毎端末ＩＤは登録される携帯型端末装置１４の数だけ、個人識別ＩＤに対応付けられている。

例えば個人識別ＩＤ「ab02」には、個人毎端末ＩＤ「1」により特定される携帯型端末装置１４の個人設定端末コード「1111」と、個人毎端末ＩＤ「2」により特定される携帯型端末装置１４の個人設定端末コード「2222」とが対応付けられている。

したがって、この場合には、ユーザは２つの携帯型端末装置１４から、同じ薬歴データＢにアクセスすることが可能である。このようにユーザの薬歴データに対していくつかの携帯型端末装置１４からアクセスすることができるようにすれば、ユーザの利便性を向上させることができる。

また図３の例では、同じ個人識別ＩＤについて登録されている各携帯型端末装置１４に対して、登録順に連続する番号が個人毎端末ＩＤとして付与されている。この例では「1」から順番に連続する通し番号が個人毎端末ＩＤとして付与されている。さらに、データセンタ１２では、互いに対応付けられている個人毎端末ＩＤと個人設定端末コードの組み合わせが、ユーザが個人毎端末ＩＤにより特定される携帯型端末装置１４でのサービスの利用を停止させるときに用いられる利用停止コードとされる。例えば、利用停止コードは、個人設定端末コードの最後尾に個人毎端末ＩＤを付加して得られる情報とされる。

〈加盟店端末装置の構成例〉
次に、加盟店端末装置１１の構成について説明する。

図４は、加盟店端末装置１１の構成例を示す図である。なお、図４では、加盟店端末装置１１は１つの装置として構成されているが、加盟店端末装置１１は複数の装置から構成されるようにしてもよい。

加盟店端末装置１１は情報識別リーダ８１、通信部８２、入力部８３、表示部８４、制御部８５、および記録部８６を有している。

情報識別リーダ８１は、ＩＣカード１３と非接触通信し、ＩＣカード１３から個人識別ＩＤおよび個人情報を読み出して制御部８５に供給する。通信部８２は、通信網１５を介してデータセンタ１２等の各装置と通信し、送信されてきた情報を受信して制御部８５に供給したり、制御部８５から供給された情報を送信したりする。

入力部８３は、マウスなどからなり、薬剤師等の操作に応じた信号を制御部８５に供給する。表示部８４は、液晶表示パネルなどからなり、制御部８５から供給されたデータに基づいて画像等を表示する。

制御部８５は、加盟店端末装置１１全体の動作を制御する。制御部８５は、コード生成部９１および要求処理部９２を備えている。

コード生成部９１は、ＩＣカード１３から読み出された個人情報等に基づいてＱＲコードを生成し、表示部８４に表示させる。また、要求処理部９２は、携帯型端末装置１４の仮登録の要求など、データセンタ１２に対して各種の要求を行う処理を実行する。

記録部８６は、ユーザの個人識別ＩＤや薬歴データなどの各種のデータを記録し、必要に応じてそれらのデータを制御部８５に供給する。

〈携帯型端末装置の構成例〉
さらに、図５は携帯型端末装置１４の構成例を示す図である。

携帯型端末装置１４は通信部１１１、近距離通信部１１２、入力部１１３、制御部１１４、記録部１１５、および表示部１１６を有している。

通信部１１１は、加盟店端末装置１１やデータセンタ１２などの外部の装置と通信し、各種のデータを受信して制御部１１４に供給したり、制御部１１４から供給されたデータを送信したりする。

近距離通信部１１２は、加盟店端末装置１１と近距離通信し、加盟店端末装置１１から受信した情報を制御部１１４に供給する。例えば、近距離通信部１１２はカメラなどからなり、近距離通信として加盟店端末装置１１に表示されたＱＲコードの撮影を行い、得られた画像情報を制御部１１４に供給する。

入力部１１３は、例えば入力ボタンやタッチパネル、マイクロホンなどからなり、ユーザによる入力操作に応じた情報を制御部１１４に供給する。

制御部１１４は、携帯型端末装置１４全体の動作を制御する。制御部１１４は、復号部１２１、情報管理部１２２、閲覧制御部１２３、および表示制御部１２４を備えている。

復号部１２１は、近距離通信部１１２から供給された画像情報を復号し、ＱＲコードに記述されている情報を抽出する。情報管理部１２２は、記録部１１５に記録されている各種のデータを管理する。すなわち、情報管理部１２２は、データを記録部１１５に供給して記録させたり、記録部１１５に記録されているデータを読み出したりする。

閲覧制御部１２３は、データセンタ１２に記録されている薬歴データの閲覧に関する処理を行う。表示制御部１２４は、表示部１１６による画像や情報の表示を制御する。

記録部１１５は、制御部１１４から供給された各種のデータを記録しており、必要に応じてそれらのデータを制御部１１４に供給する。表示部１１６は、液晶表示パネルなどからなり、制御部１１４から供給されたデータに基づいて各種の画像や情報を表示する。

〈仮登録について〉
次に、図１に示した情報処理システムの動作について説明する。

例えば情報処理システムでは、ユーザは携帯型端末装置１４からデータセンタ１２に記録されている薬歴データを閲覧することができる。このような薬歴データを閲覧するためには、ユーザは閲覧時に用いる携帯型端末装置１４に関する情報を、予めデータセンタ１２に登録しておく必要がある。

この実施の形態では、まずユーザは仮登録を行って個人識別ＩＤおよび個人毎端末ＩＤを携帯型端末装置１４に記録させ、続いて個人設定端末コードをデータセンタ１２に送信して本登録を完了させることで、薬歴データを閲覧することができるようになる。以下では、仮登録と本登録のときに行われる情報処理システムの処理を説明する。

まず、図６のフローチャートを参照して、仮登録時に行われる、携帯型端末装置１４による読み取り処理、加盟店端末装置１１による仮登録要求処理、およびデータセンタ１２による仮登録処理について説明する。

仮登録を行う場合、例えばユーザは加盟店端末装置１１が設置されているサービス加盟店に行き、サービス加盟店の店員である薬剤師等に新規の登録をしたい旨を伝える。すると、薬剤師等はユーザが所持しているＩＣカード１３の提示を求める。

そして、ユーザがＩＣカード１３を加盟店端末装置１１の情報識別リーダ８１にかざすと、ステップＳ１１において、加盟店端末装置１１の情報識別リーダ８１は、ＩＣカード１３と非接触通信を行い、ＩＣカード１３から個人識別ＩＤおよび個人情報を取得して制御部８５に供給する。また、制御部８５は、情報識別リーダ８１から供給された個人識別ＩＤと個人情報を必要に応じて表示部８４に供給し、表示させる。薬剤師等は表示された個人情報等を利用して、適宜ユーザの本人確認を行う。

ステップＳ１２において、通信部８２は、通信網１５を介して、データセンタ１２に個人識別ＩＤおよび仮登録要求を送信する。すなわち、要求処理部９２は、個人識別ＩＤにより識別されるユーザの新たな携帯型端末装置１４の仮登録を要求する仮登録要求を生成し、その仮登録要求と、情報識別リーダ８１から供給された個人識別ＩＤとを通信部８２に供給する。そして、通信部８２は、要求処理部９２から供給された個人識別ＩＤおよび仮登録要求をデータセンタ１２に送信する。

ステップＳ２１において、データセンタ１２の通信部４２は、加盟店端末装置１１から送信されてきた個人識別ＩＤおよび仮登録要求を受信して制御部４３に供給する。

ステップＳ２２において、生成部５２は、受信された個人識別ＩＤに対する個人毎端末ＩＤを生成する。すなわち、登録管理部５１は、受信された仮登録要求に応じて生成部５２に個人毎端末ＩＤの生成を指示し、生成部５２は、その指示に従って個人毎端末ＩＤを発行する。なお、個人毎端末ＩＤは、記録部４１において、登録を行おうとしている個人識別ＩＤに対応付けられて記録されている他の個人毎端末ＩＤと異なるものであり、個人識別ＩＤごとに一意なものであれば、どのような識別情報であってもよい。

ステップＳ２３において、情報管理部５３は、登録管理部５１の指示に従って、記録部４１に個人毎端末ＩＤを供給し、記録させる。すなわち、情報管理部５３は、記録部４１に記録されている個人識別ＩＤのうち、ステップＳ２１で受信された個人識別ＩＤに対応付けて、個人毎端末ＩＤを記録させる。

例えば図３に示した例において、個人識別ＩＤ「ab02」が受信され、個人毎端末ＩＤ「2」が生成された場合、個人識別ＩＤ「ab02」に対して個人毎端末ＩＤ「2」が新たに対応付けられて記録される。したがって、個人識別ＩＤおよび個人毎端末ＩＤがあれば、ＩＣカード１３と携帯型端末装置１４の組み合わせを一意に特定することができる。なお、記録部４１に対応する個人識別ＩＤが記録されていない場合には、新たに個人識別ＩＤが記録されるとともに、その個人識別ＩＤに対応付けて個人毎端末ＩＤが記録される。

このようにして、個人識別ＩＤに対して個人毎端末ＩＤが対応付けられて記録されると、携帯型端末装置１４の仮登録が完了する。仮登録が行われると、登録管理部５１は、生成した個人毎端末ＩＤを通信部４２に供給し、送信を指示する。

ステップＳ２４において、通信部４２は、登録管理部５１から供給された個人毎端末ＩＤを、通信網１５を介して加盟店端末装置１１に送信し、仮登録処理は終了する。

また、ステップＳ１３において、加盟店端末装置１１の通信部８２は、データセンタ１２から送信されてきた個人毎端末ＩＤを受信して制御部８５に供給する。

ステップＳ１４において、コード生成部９１は、ステップＳ１３で受信された個人毎端末ＩＤと、ステップＳ１１で読み出された個人識別ＩＤおよび個人情報とに基づいてＱＲコードを生成し、表示部８４に供給する。コード生成部９１により生成されるＱＲコードには、情報として個人識別ＩＤ、個人毎端末ＩＤ、および個人情報が含まれている。

ステップＳ１５において、表示部８４はコード生成部９１から供給されたＱＲコードを表示して、仮登録要求処理は終了する。すなわち、コード生成部９１は、ＱＲコードを表示部８４に表示させることで、ＱＲコードにより携帯型端末装置１４との近距離通信を行い、ＱＲコードに含まれている情報を携帯型端末装置１４に送信する。

このようにして表示部８４にＱＲコードが表示されると、ユーザは所持している携帯型端末装置１４に加盟店端末装置１１との近距離通信を行わせ、ＱＲコードを読み取らせる。

すなわち、ステップＳ３１において、携帯型端末装置１４の近距離通信部１１２は、カメラ機能を利用して表示部８４に表示されているＱＲコードを撮影することでＱＲコードを読み取って、制御部１１４に供給する。すなわち、撮影により得られたＱＲコードの画像情報が制御部１１４に供給される。

なお、ここでは、加盟店端末装置１１と携帯型端末装置１４との間で、個人識別ＩＤ、個人毎端末ＩＤ、および個人情報を授受するための近距離通信として、ＱＲコードを用いた通信を例として説明したが、インターネット等の通信網１５を経由しない通信方法であれば、どのような方法であってもよい。例えば、加盟店端末装置１１と携帯型端末装置１４とが、近距離通信として赤外線通信やＮＦＣ（Near Field Communication）などを行って個人識別ＩＤ、個人毎端末ＩＤ、および個人情報を授受するようにしてもよい。

ステップＳ３２において、復号部１２１は、近距離通信部１１２から供給されたＱＲコードの画像情報を復号することで、ＱＲコードに記述されている個人識別ＩＤ、個人毎端末ＩＤ、および個人情報を抽出する。

ステップＳ３３において、情報管理部１２２は個人識別ＩＤ、個人毎端末ＩＤ、および個人情報を記録部１１５に供給して記録させ、読み取り処理は終了する。このようにして携帯型端末装置１４に個人識別ＩＤおよび個人毎端末ＩＤが記録されると、携帯型端末装置１４は、これらの個人識別ＩＤおよび個人毎端末ＩＤを用いてデータセンタ１２にアクセスすることができるようになる。なお、携帯型端末装置１４では、少なくとも個人識別ＩＤおよび個人毎端末ＩＤが記録されていれば、データセンタ１２へのアクセスが可能であるので、必ずしも個人情報を記録しておく必要はない。

以上のようにして、データセンタ１２は加盟店端末装置１１から個人識別ＩＤを受信し、その個人識別ＩＤに対して一意に携帯型端末装置１４を識別可能な個人毎端末ＩＤを生成して記録する。

データセンタ１２において生成される個人毎端末ＩＤは、一意性が担保された情報となっている。このようにデータセンタ１２において個人毎端末ＩＤを生成することにより、データセンタ１２では、携帯型端末装置１４を識別する情報として、携帯型端末装置１４のＳｉｍカードＩＤや電話番号といった準個人情報を保持することなくサービスの提供が可能となる。これにより、セキュリティを向上させることができる。

しかも、データセンタ１２では、１つの個人識別ＩＤに対して、１または複数の携帯型端末装置１４ごとに個人毎端末ＩＤが対応付けられて記録される。そのため、データセンタ１２側において、個人識別ＩＤにより識別されるユーザ等が使用する各携帯型端末装置１４を個々に識別することができる。すなわち、ユーザごとに各携帯型端末装置１４を区別してサービスの提供を行うことができる。これにより、ユーザの利便性を向上させることができる。

また、ユーザは、複数の携帯型端末装置１４からデータセンタ１２にアクセスすることができ、利便性を向上させることができる。例えば、ユーザの配偶者等の携帯型端末装置１４を登録しておけば、ユーザ本人だけでなく配偶者も、その配偶者の携帯型端末装置１４から薬歴データにアクセスすることができるようになる。

〈本登録について〉
以上のようにして仮登録が行われると、続いてユーザはデータセンタ１２にアクセスして本登録を行う。以下、図７のフローチャートを参照して、本登録を行う場合に行われる、携帯型端末装置１４による登録要求処理、およびデータセンタ１２による登録処理を説明する。

ステップＳ６１において、携帯型端末装置１４の閲覧制御部１２３は、ユーザによる個人設定端末コードの入力を受け付ける。

例えば閲覧制御部１２３は、記録部１１５に記録されている、薬歴データを閲覧するためのアプリケーションプログラムの初回起動時、またはデータセンタ１２のウェブページ等への初めてのアクセス時に、表示部１１６に個人設定端末コードの入力画面を表示させる。

この入力画面には、個人設定端末コードの入力を促す文字メッセージが表示されており、ユーザは入力部１１３を操作して、ユーザ自身が覚えやすい番号、文字、記号等やそれらの組み合わせである文字列を個人設定端末コードとして入力する。すると、入力部１１３から制御部１１４には、ユーザの操作に応じた情報、すなわち入力された個人設定端末コードが供給される。

また、情報管理部１２２は、閲覧制御部１２３の指示に従って、記録部１１５から個人識別ＩＤおよび個人毎端末ＩＤを読み出す。閲覧制御部１２３は、読み出された個人識別ＩＤおよび個人毎端末ＩＤと、入力部１１３から供給された個人設定端末コードとを通信部１１１に供給する。

ステップＳ６２において、通信部１１１は、通信網１５等の通信網を介して、閲覧制御部１２３から供給された個人識別ＩＤ、個人毎端末ＩＤ、および個人設定端末コードをデータセンタ１２に送信する。

するとステップＳ７１において、データセンタ１２の通信部４２は、携帯型端末装置１４から送信されてきた個人識別ＩＤ、個人毎端末ＩＤ、および個人設定端末コードを受信して制御部４３に供給する。

ステップＳ７２において、登録管理部５１は、通信部４２から供給された個人識別ＩＤ、個人毎端末ＩＤおよび個人設定端末コードに基づいて情報管理部５３を制御し、記録部４１に個人設定端末コードを記録させる。すなわち、記録部４１では、記録している個人識別ＩＤおよび個人毎端末ＩＤのうち、受信された個人識別ＩＤおよび個人毎端末ＩＤと同じ個人識別ＩＤおよび個人毎端末ＩＤに対応付けられて、個人設定端末コードが記録される。

これにより、記録部４１には、個人識別ＩＤに対して携帯型端末装置１４ごとに個人毎端末ＩＤおよび個人設定端末コードが対応付けられて記録されることになる。また、個人識別ＩＤには、その個人識別ＩＤにより特定されるユーザの薬歴データも対応付けられて記録されている。このようにして個人設定端末コードが記録されると、携帯型端末装置１４の本登録が完了する。

本登録が完了すると、登録管理部５１は、本登録が完了した旨の情報を通信部４２に供給し、その情報の送信を指示する。この本登録が完了した旨の情報には利用停止コード、すなわち個人設定端末コードと個人毎端末ＩＤが含まれている。

ステップＳ７３において、通信部４２は、登録管理部５１から供給された本登録が完了した旨の情報を携帯型端末装置１４に送信し、登録処理は終了する。

また、ステップＳ６３において、携帯型端末装置１４の通信部１１１は、データセンタ１２から送信されてきた、本登録が完了した旨の情報を受信して制御部１１４に供給する。

ステップＳ６４において、表示制御部１２４は、通信部１１１から供給された本登録が完了した旨の情報に含まれている、利用停止コード等の情報を表示部１１６に供給して表示させ、登録要求処理は終了する。

この場合、表示部１１６には、例えば本登録が完了した旨のメッセージとともに、利用停止コードが表示される、また、登録した携帯型端末装置１４でのサービスの利用停止の際に利用停止コードが必要となるので、利用停止コードを控えておくことを促すメッセージなどが表示される。

例えば、登録した携帯型端末装置１４が、配偶者など、ＩＣカード１３の所有者とは異なるユーザのものである場合には、登録した携帯型端末装置１４のユーザがＩＣカード１３の所有者に対して利用停止コードを通知しておけば、ＩＣカード１３の所有者は、利用停止コードを用いて携帯型端末装置１４でのサービス利用を停止させることができる。

以上のようにして、携帯型端末装置１４はユーザにより入力された個人設定端末コードと、個人識別ＩＤおよび個人毎端末ＩＤとをデータセンタ１２に送信し、データセンタ１２は、個人識別ＩＤおよび個人毎端末ＩＤに対応付けて個人設定端末コードを記録する。

このように、携帯型端末装置１４ごとに、個人設定端末コードをデータセンタ１２に記録しておくことで、携帯型端末装置１４ごとに適宜、個人設定端末コードを利用して、薬歴データへのアクセス権限を、安全かつ簡単に管理することができるようになる。これにより、セキュリティおよび利便性を向上させることができる。

また、この情報処理システムでは、複数のＩＣカード１３に対して同じ携帯型端末装置１４を登録し、１つの携帯型端末装置１４で、複数の各ユーザの薬歴データを閲覧することも勿論可能である。

〈薬歴データの閲覧について〉
以上の処理により本登録がなされると、ユーザは携帯型端末装置１４から薬歴データをデータセンタ１２にアップロードして、データセンタ１２に記録されている薬歴データを更新させたり、データセンタ１２に記録されている薬歴データをダウンロードして閲覧したりすることができるようになる。

以下、図８のフローチャートを参照して、薬歴データの閲覧時に行われる、携帯型端末装置１４による閲覧処理、およびデータセンタ１２による提供処理について説明する。

ステップＳ１０１において、通信部１１１は個人識別ＩＤおよび個人毎端末ＩＤと、薬歴データの送信要求とを、通信網１５等を介してデータセンタ１２に送信する。

具体的には、ユーザが携帯型端末装置１４の入力部１１３を操作して、薬歴データの閲覧を指示すると、閲覧制御部１２３はユーザの操作により入力部１１３から供給された情報に応じて、薬歴データの送信を要求する送信要求を生成する。また、閲覧制御部１２３は、情報管理部１２２を制御して記録部１１５から個人識別ＩＤおよび個人毎端末ＩＤを読み出す。

そして、閲覧制御部１２３は、個人識別ＩＤおよび個人毎端末ＩＤと送信要求とを通信部１１１に供給して、通信部１１１に個人識別ＩＤおよび個人毎端末ＩＤと送信要求とをデータセンタ１２に送信させる。

ステップＳ１１１において、データセンタ１２の通信部４２は、携帯型端末装置１４から送信されてきた個人識別ＩＤおよび個人毎端末ＩＤと送信要求とを受信して、制御部４３に供給する。

ステップＳ１１２において、情報管理部５３は、通信部４２から供給された送信要求に応じて、通信部４２で受信された個人識別ＩＤおよび個人毎端末ＩＤに対応付けられている薬歴データを記録部４１から読み出す。情報管理部５３は、読み出した薬歴データを通信部４２に供給する。

なお、より詳細には、薬歴データの閲覧時には必要に応じて携帯型端末装置１４と、データセンタ１２との間で認証処理が行われる。例えば個人毎端末ＩＤと個人識別ＩＤとを用いたハッシュ演算等により、携帯型端末装置１４が薬歴データに対するアクセス権限を有しているかが認証される。

ステップＳ１１３において、通信部４２は、情報管理部５３から供給された薬歴データを、通信網１５等を介して携帯型端末装置１４に送信し、提供処理は終了する。

また、ステップＳ１０２において、携帯型端末装置１４の通信部１１１は、データセンタ１２から送信されてきた薬歴データを受信して制御部１１４に供給する。表示制御部１２４は、通信部１１１から供給された薬歴データを表示部１１６に供給し、薬歴データの表示を制御する。

ステップＳ１０３において、表示部１１６は、表示制御部１２４から供給された薬歴データを表示して、閲覧処理は終了する。このようにして表示部１１６に薬歴データが表示されると、ユーザは薬歴データを閲覧したり、薬歴データに追記を行ったりする。

以上のようにして、携帯型端末装置１４は、記録している個人識別ＩＤおよび個人毎端末ＩＤを用いて薬歴データを受信し、受信した薬歴データを表示する。このようにデータセンタ１２において、個人識別ＩＤおよび個人毎端末ＩＤを利用して薬歴データへのアクセスを管理することで、複数の携帯型端末装置１４ごとに薬歴データ等の閲覧対象となるデータへのアクセスを管理することができる。これにより、簡単かつ安全に薬歴データの閲覧を許可することができる。すなわち、セキュリティおよび利便性を向上させることができる。

〈個人設定端末コードおよび個人毎端末ＩＤの削除について〉
ところで、ユーザが登録した携帯型端末装置１４を紛失したり、買い替えたりといった何らかの事情により、登録済みの携帯型端末装置１４による薬歴データの閲覧許可、つまり薬歴データへのアクセス権限を無効化させたい場合がある。

そのような場合、ユーザは登録済みの携帯型端末装置１４や加盟店端末装置１１により個人設定端末コードおよび個人毎端末ＩＤを削除させ、携帯型端末装置１４から薬歴データを閲覧できないようにすることができる。以下、そのような場合に行われる処理について説明する。

まず、図９のフローチャートを参照して、加盟店端末装置１１による削除要求処理、およびデータセンタ１２による削除処理について説明する。

例えば図９のフローチャートの処理が行われるケースとしては、ＩＣカード１３の所有者本人が、その本人の妻等が所有する携帯型端末装置１４に対してＩＣカード１３に関するサービス利用を許可したが、その後、サービス利用を停止させたい場合などが考えられる。このような場合、ユーザは加盟店端末装置１１が設置されているサービス加盟店に行き、登録されている携帯型端末装置１４のアクセス権限を無効化したい旨を伝え、所持しているＩＣカード１３を加盟店端末装置１１にかざす。

すると、ステップＳ１４１において、加盟店端末装置１１の情報識別リーダ８１は、ＩＣカード１３と非接触通信を行い、ＩＣカード１３から個人識別ＩＤおよび個人情報を取得して制御部８５に供給する。なお、ユーザがＩＣカード１３を紛失してしまったなどの場合には、加盟店端末装置１１がデータセンタ１２から個人識別ＩＤを取得するようにしてもよい。

制御部８５は、必要に応じて個人情報を表示部８４に供給して表示させ、薬剤師等は表示された個人情報を用いて適宜、本人確認を行う。

また、要求処理部９２は、個人識別ＩＤと、利用停止コードの一覧の送信要求とを通信部８２に供給し、データセンタ１２への送信を指示する。

ステップＳ１４２において、通信部８２は、要求処理部９２から供給された個人識別ＩＤと、利用停止コードの一覧の送信要求とを、通信網１５を介してデータセンタ１２に送信する。

すると、ステップＳ１５１において、データセンタ１２の通信部４２は、加盟店端末装置１１から送信されてきた個人識別ＩＤと、利用停止コードの一覧の送信要求とを受信して制御部４３に供給する。

制御部４３の登録管理部５１は、受信された送信要求に応じて情報管理部５３を制御し、記録部４１から、受信された個人識別ＩＤに対応付けられている全ての利用停止コード、すなわち個人設定端末コードと個人毎端末ＩＤを読み出して、それらの利用停止コードの一覧を生成する。そして、登録管理部５１は、生成した一覧を通信部４２に供給する。

ステップＳ１５２において、通信部４２は、登録管理部５１から供給された利用停止コードの一覧を、通信網１５を介して加盟店端末装置１１に送信する。

ステップＳ１４３において、加盟店端末装置１１の通信部８２は、データセンタ１２から送信されてきた利用停止コードの一覧を受信し、制御部８５に供給する。

ステップＳ１４４において、制御部８５は、通信部８２から供給された利用停止コードの一覧を表示部８４に供給し、表示させる。

このようにして利用停止コードの一覧が表示されると、ユーザは入力部８３を操作して、それらの利用停止コードのなかからサービスの利用を停止させたい携帯型端末装置１４のものを選択する。

このようにして一覧表示される利用停止コードには、ユーザ等により入力された個人設定端末コードが含まれており、通常、個人設定端末コードはユーザ等が覚えやすい情報とされているはずである。したがって、ユーザは、個人設定端末コードをヒントとして、サービスの利用を停止させたい携帯型端末装置１４を簡単かつ確実に指定することができる。

例えば、利用停止コードとして個人設定端末コードのみを表示させた場合には、複数の異なる携帯型端末装置１４に対して同じ個人設定端末コードが設定されたときには、各携帯型端末装置１４を区別することができない。しかし、本技術では、個人設定端末コードと個人毎端末ＩＤの組み合わせを利用停止コードとすることで、確実に携帯型端末装置１４を特定することができる。

ユーザにより利用停止コード、つまり携帯型端末装置１４が選択されると、制御部８５は、入力部８３からユーザの操作に応じた情報、つまり選択された利用停止コードを示す情報を取得する。そして、要求処理部９２は、ステップＳ１４１で取得された個人識別ＩＤ、およびユーザにより選択された利用停止コードと、携帯型端末装置１４に関する情報の削除を要求する削除要求とを通信部８２に供給する。

ステップＳ１４５において、通信部８２は、通信網１５を介して、データセンタ１２に個人識別ＩＤおよび利用停止コードと、削除要求とを送信する。

ステップＳ１５３において、データセンタ１２の通信部４２は、加盟店端末装置１１から送信されてきた個人識別ＩＤおよび利用停止コードと、削除要求とを受信して制御部４３に供給する。

ステップＳ１５４において、登録管理部５１は、通信部４２から供給された個人識別ＩＤおよび利用停止コードと、削除要求とに基づいて、個人毎端末ＩＤおよび個人設定端末コードを削除する。

すなわち、登録管理部５１は、削除要求に従って、受信した個人識別ＩＤに対応付けられている個人毎端末ＩＤおよび個人設定端末コードのうち、受信した利用停止コードとされている個人毎端末ＩＤおよび個人設定端末コードの削除を情報管理部５３に指示して、記録部４１に記録されている個人毎端末ＩＤおよび個人設定端末コードを削除させる。このようにして個人毎端末ＩＤおよび個人設定端末コードが削除されると、その個人毎端末ＩＤで特定される携帯型端末装置１４は、薬歴データにアクセスすることができなくなる。

登録管理部５１は、個人毎端末ＩＤおよび個人設定端末コードが削除されると、削除が完了した旨の情報を通信部４２に供給する。例えば、削除が完了した旨の情報には、サービスの利用を停止させた、つまりアクセス権限を無効化した携帯型端末装置１４の利用停止コードも含まれている。

ステップＳ１５５において、通信部４２は、登録管理部５１から供給された、削除が完了した旨の情報を、通信網１５を介して加盟店端末装置１１に送信し、削除処理は終了する。

また、ステップＳ１４６において、加盟店端末装置１１の通信部８２は、データセンタ１２から送信されてきた、削除が完了した旨の情報を受信して制御部８５に供給する。制御部８５は、通信部８２から供給された情報を表示部８４に供給して表示させ、削除要求処理は終了する。受信された情報として、サービスの利用を停止させた携帯型端末装置１４の利用停止コード等が表示部８４に表示されると、ユーザ等は、個人毎端末ＩＤおよび個人設定端末コードが正しく削除されたことを確認することができる。

以上のようにして、加盟店端末装置１１は、ＩＣカード１３から読み出した個人識別ＩＤと、ユーザにより選択された利用停止コードとをデータセンタ１２に送信し、個人毎端末ＩＤおよび個人設定端末コードを削除させる。

このように個人識別ＩＤと、利用停止コードとにより個人毎端末ＩＤおよび個人設定端末コードを削除することで、ユーザは携帯型端末装置１４を所持していない場合などにおいても、個人毎端末ＩＤおよび個人設定端末コードを削除することができる。これにより、セキュリティおよび利便性を向上させることができる。

なお、ここでは、ユーザが一覧表示された利用停止コードから、所望の利用停止コードを選択する例について説明したが、ユーザが直接、入力部８３を操作して、記憶している利用停止コードを入力するようにしてもよい。そのような場合、通信部８２は、ユーザにより入力された利用停止コードと、個人識別ＩＤおよび削除要求とをデータセンタ１２に送信する。さらに、ユーザが個人設定端末コードを入力することで、サービスの利用を停止させるようにしてもよい。

また、ユーザは、サービス加盟店に行かなくても、携帯型端末装置１４を操作して個人毎端末ＩＤおよび個人設定端末コードを削除することも可能である。そのような場合、図１０に示す処理が行われる。以下、図１０のフローチャートを参照して、携帯型端末装置１４により行われる削除要求処理、およびデータセンタ１２により行われる削除処理について説明する。

まず、ユーザは、削除しようとする個人毎端末ＩＤが付与された携帯型端末装置１４を操作して、個人毎端末ＩＤおよび個人設定端末コードの削除を指示する。

すると、ステップＳ１８１において、通信部１１１は、個人識別ＩＤおよび個人毎端末ＩＤと、削除要求とを、通信網１５等を介してデータセンタ１２に送信する。

すなわち、閲覧制御部１２３は、ユーザの指示に応じて情報管理部１２２を制御して、記録部１１５から個人識別ＩＤおよび個人毎端末ＩＤを読み出させるとともに、個人毎端末ＩＤおよび個人設定端末コードの削除を要求する削除要求を生成する。換言すれば、個人識別ＩＤおよび個人毎端末ＩＤに基づくデータへのアクセス権限の無効化を要求する削除要求が生成される。

閲覧制御部１２３は、個人識別ＩＤおよび個人毎端末ＩＤと削除要求とを通信部１１１に供給し、通信部１１１は、閲覧制御部１２３から供給された個人識別ＩＤおよび個人毎端末ＩＤと削除要求とを送信する。

ステップＳ１９１において、データセンタ１２の通信部４２は、携帯型端末装置１４から送信されてきた個人識別ＩＤおよび個人毎端末ＩＤと削除要求とを受信して制御部４３に供給する。

ステップＳ１９２において、登録管理部５１は、通信部４２から供給された個人識別ＩＤおよび個人毎端末ＩＤと削除要求とに基づいて、個人毎端末ＩＤおよび個人設定端末コードを削除する。

すなわち、登録管理部５１は、削除要求に従って、受信した個人毎端末ＩＤと、受信した個人識別ＩＤおよび個人毎端末ＩＤに対応付けられている個人設定端末コードとの削除を情報管理部５３に指示する。情報管理部５３は、登録管理部５１の指示に従って、記録部４１に記録されている個人毎端末ＩＤおよび個人設定端末コードを削除させる。このようにして個人毎端末ＩＤおよび個人設定端末コードが削除されると、その個人毎端末ＩＤで特定される携帯型端末装置１４は、薬歴データにアクセスすることができなくなる。

登録管理部５１は、個人毎端末ＩＤおよび個人設定端末コードが削除されると、削除が完了した旨の情報を通信部４２に供給する。この削除が完了した旨の情報には、必要に応じて利用の停止がされた携帯型端末装置１４の停止利用コード、つまり個人設定端末コードおよび個人毎端末ＩＤが含まれるようにしてもよい。

ステップＳ１９３において、通信部４２は登録管理部５１から供給された、削除が完了した旨の情報を、通信網１５を介して携帯型端末装置１４に送信し、削除処理は終了する。

また、ステップＳ１８２において、携帯型端末装置１４の通信部１１１は、データセンタ１２から送信されてきた、削除が完了した旨の情報を受信して制御部１１４に供給する。表示制御部１２４は、通信部１１１から供給された情報を表示部１１６に供給して表示させ、削除要求処理は終了する。表示部１１６に受信された情報が表示されると、ユーザは、個人毎端末ＩＤおよび個人設定端末コードが削除されたことを確認することができる。特に、利用停止コードが表示される場合には、ユーザは、サービスの利用が停止された携帯型端末装置１４をより確実に知ることができる。

以上のようにして、携帯型端末装置１４は、記録されている個人識別ＩＤおよび個人毎端末ＩＤをデータセンタ１２に送信し、個人毎端末ＩＤおよび個人設定端末コードを削除させる。このように、削除対象となる携帯型端末装置１４を操作して個人毎端末ＩＤおよび個人設定端末コードの削除を指示する場合には、ユーザは利用停止コードを入力することなく、簡単に個人毎端末ＩＤおよび個人設定端末コードを削除することができる。これにより、セキュリティおよび利便性を向上させることができる。

なお、この場合においても個人識別ＩＤとともに、ユーザにより入力された利用停止コードがデータセンタ１２に送信され、個人毎端末ＩＤおよび個人設定端末コードが削除されるようにしてもよい。

〈第２の実施の形態〉
〈本登録について〉
さらに、以上においては、個人設定端末コードが記録されると本登録が完了すると説明したが、セキュリティをさらに向上させるため、仮登録後、一定期間内に本登録が行われなければ発行した個人毎端末ＩＤを無効とするようにしてもよい。

そのような場合、データセンタ１２の記録部４１には、例えば図１１に示す登録期限が記録されている。なお、図１１において、図３における場合と対応する部分についてはその説明は適宜省略する。

図１１に示すデータベースでは、図３に示したデータベースの各個人識別ＩＤに対して、個人毎端末ＩＤごとにさらに登録期限が対応付けられて記録されている。この登録期限は、仮登録で発行された個人毎端末ＩＤの有効化の期限を示しており、ユーザは登録期限に示される日までに本登録を完了させなければ、発行された個人毎端末ＩＤを用いたアクセスができなくなる。例えば登録期限は、仮登録が完了した日から１ヶ月間などの一定の期間とされ、本登録が完了すると、登録期限の欄は登録済みを示す情報に書き換えられる。

図１１の例では、例えば個人識別ＩＤ「ab02」に対応付けられている個人毎端末ＩＤ「1」については、登録期限内に本登録が完了して登録済みとなっている。一方、例えば個人識別ＩＤ「ab02」に対応付けられている個人毎端末ＩＤ「2」は仮登録は行われたが、本登録はまだ行われておらず、本登録の登録期限は「2005/3/2」となっている。この登録期限は、例えば仮登録時に個人識別ＩＤおよび個人毎端末ＩＤに対応付けられて記録される。また、この例では個人識別ＩＤ「ab02」に対応付けられている個人毎端末ＩＤ「2」に対しては、まだ個人設定端末コードが記録されていない。

このように仮登録後、一定期間内に本登録が行われなければならない場合、図６を参照して説明した仮登録処理では、ステップＳ２３において個人毎端末ＩＤが記録されるときに、登録期限も記録される。すなわち、データセンタ１２の登録管理部５１は、現在日時に応じて登録期限を生成し、情報管理部５３は、登録管理部５１の指示に応じて登録期限を記録部４１に供給して記録させる。このような場合、生成された登録期限が加盟店端末装置１１に送信され、加盟店端末装置１１や携帯型端末装置１４で登録期限が表示されるようにしてもよい。

また、仮登録後、一定期間内に本登録が行われなければならない場合には、本登録時には例えば図１２に示す処理が行われる。以下、図１２のフローチャートを参照して、携帯型端末装置１４による登録要求処理、およびデータセンタ１２による登録処理について説明する。なお、ステップＳ２２１およびステップＳ２２２、並びにステップＳ２３１の処理は、図７のステップＳ６１およびステップＳ６２、並びにステップＳ７１と同様であるので、その説明は省略する。

ステップＳ２３２において、登録管理部５１は、登録が要求された携帯型端末装置１４について、登録期限を過ぎているか否かを判定する。具体的には、登録管理部５１は、現在日時が、受信された個人識別ＩＤおよび個人毎端末ＩＤに対応付けられて記録部４１に記録されている登録期限を過ぎている場合、登録期限を過ぎていると判定する。

ステップＳ２３２において、登録期限を過ぎていないと判定されると、その後ステップＳ２３３およびステップＳ２３４の処理が行われて登録処理は終了するが、これらの処理は図７のステップＳ７２およびステップＳ７３の処理と同様であるので、その説明は省略する。

これに対して、ステップＳ２３２において、登録期限を過ぎていると判定された場合、登録管理部５１は、登録期限超過のため、本登録に失敗した旨の情報を通信部４２に供給して、その情報の送信を指示し、処理はステップＳ２３５に進む。

ステップＳ２３５において、通信部４２は、登録管理部５１から供給された本登録に失敗した旨の情報を携帯型端末装置１４に送信し、登録処理は終了する。

また、ステップＳ２３４またはステップＳ２３５の処理が行われると、ステップＳ２２３において、携帯型端末装置１４の通信部１１１は、データセンタ１２から送信されてきた情報を受信して制御部１１４に供給する。

ステップＳ２２４において、表示制御部１２４は、通信部１１１から供給された情報を表示部１１６に供給して表示させ、登録要求処理は終了する。この場合、表示部１１６には、本登録が完了した旨の情報、または本登録に失敗した旨の情報が表示される。また、本登録が完了した旨の情報が表示されるときには、データセンタ１２から受信された情報に含まれている利用停止コードも表示される。

以上のようにしてデータセンタ１２は、登録期限に基づいて本登録を許可するか否かを判定し、その判定結果に応じて本登録を行う。このように登録期限を設けることでセキュリティをさらに向上させることができるようになる。

〈第３の実施の形態〉
〈個人毎端末ＩＤの有効期限について〉
また、セキュリティを向上させるため、各個人毎端末ＩＤの有効期限を設けるようにしてもよい。そのような場合、データセンタ１２の記録部４１には、例えば図１３に示す有効期限が記録されている。なお、図１３において、図３における場合と対応する部分についてはその説明は適宜省略する。

図１３に示すデータベースでは、図３に示したデータベースの各個人識別ＩＤに対して、個人毎端末ＩＤごとに、個人毎端末ＩＤの有効期限が対応付けられて記録されている。この有効期限は、発行された個人毎端末ＩＤを利用して薬歴データにアクセスすることができる有効期限を示しており、有効期限を過ぎると、その個人毎端末ＩＤでは薬歴データにアクセスすることができなくなる。例えば有効期限は、本登録が完了した日から５年間などの一定の期間とされる。なお、個人毎端末ＩＤの有効期限が適宜更新されるようにしてもよい。

図１３では、例えば個人識別ＩＤ「ab01」に対応付けられている個人毎端末ＩＤ「1」の有効期限は「2005/2/12」となっている。

このように本登録後、個人毎端末ＩＤが一定期間だけ有効とされる場合、図７を参照して説明した登録処理では、ステップＳ７２において個人設定端末コードが記録されるときに、有効期限も記録される。すなわち、データセンタ１２の登録管理部５１は、現在日時に応じて有効期限を生成し、情報管理部５３は、登録管理部５１の指示に応じて有効期限を記録部４１に供給して記録させる。このような場合、ステップＳ７３において送信される、本登録が完了した旨の情報に有効期限が含まれるようにし、ステップＳ６４において、携帯型端末装置１４で有効期限が表示されるようにしてもよい。

また、個人毎端末ＩＤに有効期限が設定される場合、薬歴データの閲覧時には例えば図１４に示す処理が行われる。以下、図１４のフローチャートを参照して、携帯型端末装置１４による閲覧処理、およびデータセンタ１２による提供処理について説明する。なお、ステップＳ２６１、およびステップＳ２７１の処理は、図８のステップＳ１０１およびステップＳ１１１の処理と同様であるので、その説明は省略する。

ステップＳ２７２において、情報管理部５３は、受信された個人識別ＩＤおよび個人毎端末ＩＤに基づいて、個人識別ＩＤに対応付けられた個人毎端末ＩＤの有効期限が過ぎているか否か、すなわち要求された薬歴データの閲覧を許可するか否かを判定する。例えば、現在日時が、受信された個人識別ＩＤおよび個人毎端末ＩＤに対応付けられて記録部４１に記録されている有効期限を過ぎている場合、有効期限が過ぎていると判定される。

ステップＳ２７２において、有効期限が過ぎていないと判定された場合、その後、ステップＳ２７３およびステップＳ２７４の処理が行われて提供処理は終了する。なお、これらの処理は図８のステップＳ１１２およびステップＳ１１３の処理と同様であるので、その説明は省略する。

一方、ステップＳ２７２において、有効期限が過ぎていると判定された場合、情報管理部５３は、有効期限超過のため、閲覧権限がない旨の情報を通信部４２に供給して、その情報の送信を指示し、処理はステップＳ２７５に進む。

ステップＳ２７５において、通信部４２は、情報管理部５３から供給された閲覧権限がない旨の情報を携帯型端末装置１４に送信し、提供処理は終了する。

また、ステップＳ２７４またはステップＳ２７５の処理が行われると、ステップＳ２６２において、携帯型端末装置１４の通信部１１１は、薬歴データが送信されてきたか否かを判定する。

ステップＳ２６２において、薬歴データが送信されてきたと判定された場合、その後、ステップＳ２６３およびステップＳ２６４の処理が行われて、閲覧処理は終了する。なお、これらの処理は図８のステップＳ１０２およびステップＳ１０３の処理と同様であるので、その説明は省略する。

これに対して、ステップＳ２６２において、薬歴データが送信されてきていないと判定された場合、データセンタ１２からは、閲覧権限がない旨の情報が送信されてくるので、ステップＳ２６５の処理が行われる。

すなわち、ステップＳ２６５において、通信部１１１は、データセンタ１２から送信されてきた閲覧権限がない旨の情報を受信して制御部１１４に供給する。すると、表示制御部１２４は、通信部１１１から供給された情報を表示部１１６に供給して表示させ、閲覧処理は終了する。この場合、表示部１１６には、閲覧権限がない旨の情報が表示される。

以上のようにして、データセンタ１２は個人毎端末ＩＤの有効期限に基づいて、薬歴データの閲覧を許可するか否かを判定し、その判定結果に応じて薬歴データを送信する。このように個人毎端末ＩＤに有効期限を設けることで、不正なアクセスを防止してセキュリティをさらに向上させることができるようになる。

〈第４の実施の形態〉
〈サービスの利用停止について〉
また、以上において説明した例においては、個人設定端末コードは、どの携帯型端末装置１４での利用を停止させるかをユーザが容易に把握することができるようにするための補助的な情報、つまりヒントとなる情報として、利用停止コードに含まれていた。しかし、個人設定端末コードを入力した本人以外のユーザにとっては、個人設定端末コードが必ずしも覚えやすいものであるとは限らない。

そこで、サービスの利用停止作業を行うときに、さらに簡単かつ確実に所望する携帯型端末装置１４を指定することができるようにするための補助的な情報として、携帯型端末装置１４の登録に関する情報をデータセンタ１２側に記録しておくようにしてもよい。

ここで、登録に関する情報は、例えば登録した携帯型端末装置１４を所有するユーザの生年や性別、ＩＣカード１３の所有者との続柄など、ユーザの個人情報ではないが、ユーザを特定するための補助（ヒント）となる個人特定補助情報などとすることができる。また、登録に関する情報は、携帯型端末装置１４の登録年月日や、登録を行った薬局等の店舗を示す情報などとされてもよい。

データセンタ１２側に記録しておく登録に関する情報は、所望する携帯型端末装置１４を特定するための補助となる補助情報であれば、どのようなものであってもよいが、以下では、登録に関する情報として、生年および性別が用いられる例について説明する。

そのような場合、データセンタ１２の記録部４１には、例えば図１５に示すように生年および性別が記録されている。なお、図１５において、図３における場合と対応する部分についてはその説明は適宜省略する。

図１５に示すデータベースでは、図３に示したデータベースの各個人識別ＩＤに対して、個人毎端末ＩＤごとに、その個人毎端末ＩＤにより特定される携帯型端末装置１４の所有者の生年および性別が記録されている。

これらの生年および性別は、それ自体では個人を特定することができないので、個人情報ではないが、ＩＣカード１３の所有者など、携帯型端末装置１４の所有者を知っている人には、携帯型端末装置１４を特定する際のヒント（補助）となる情報である。

〈本登録について〉
このように個人毎端末ＩＤに対応付けられて生年および性別が記録される場合、個人毎端末ＩＤの本登録時には、図１６に示す処理が行われる。以下、図１６のフローチャートを参照して、携帯型端末装置１４による登録要求処理、およびデータセンタ１２による登録処理を説明する。

ステップＳ３０１において、携帯型端末装置１４の閲覧制御部１２３は、ユーザによる個人設定端末コード、生年、および性別の入力を受け付ける。

例えば、本登録しようとする携帯型端末装置１４の所有者であるユーザは、入力部１１３を操作して個人設定端末コードと、自分自身の生年および性別とを入力する。すると、入力部１１３から制御部１１４には、ユーザの操作に応じた情報が供給される。

また、情報管理部１２２は、閲覧制御部１２３の指示に従って、記録部１１５から個人識別ＩＤおよび個人毎端末ＩＤを読み出す。閲覧制御部１２３は、読み出された個人識別ＩＤおよび個人毎端末ＩＤと、入力部１１３から供給された個人設定端末コード、生年、および性別とを通信部１１１に供給する。

ステップＳ３０２において、通信部１１１は、閲覧制御部１２３から供給された個人識別ＩＤ、個人毎端末ＩＤ、個人設定端末コード、生年、および性別を、通信網１５等の通信網を介してデータセンタ１２に送信する。

するとステップＳ３１１において、データセンタ１２の通信部４２は、携帯型端末装置１４から送信されてきた個人識別ＩＤ、個人毎端末ＩＤ、個人設定端末コード、生年、および性別を受信して制御部４３に供給する。

ステップＳ３１２において、登録管理部５１は、通信部４２から供給された個人識別ＩＤ、個人毎端末ＩＤ、個人設定端末コード、生年、および性別に基づいて情報管理部５３を制御し、記録部４１に個人設定端末コード、生年、および性別を記録させる。すなわち、記録部４１では、記録している個人識別ＩＤおよび個人毎端末ＩＤのうち、受信された個人識別ＩＤおよび個人毎端末ＩＤと同じ個人識別ＩＤおよび個人毎端末ＩＤに対応付けられて、個人設定端末コード、生年、および性別が記録される。

これにより、記録部４１には、個人識別ＩＤに対して携帯型端末装置１４ごとに個人毎端末ＩＤ、個人設定端末コード、生年、および性別が対応付けられて記録されることになる。このようにして個人設定端末コード、生年、および性別が記録されると、携帯型端末装置１４の本登録が完了する。

本登録が完了すると、その後、データセンタ１２によりステップＳ３１３の処理が行われて登録処理が終了し、さらに携帯型端末装置１４において、ステップＳ３０３およびステップＳ３０４の処理が行われて登録要求処理は終了する。なお、これらのステップＳ３１３、ステップＳ３０３、およびステップＳ３０４の処理は、図７のステップＳ７３、ステップＳ６３、およびステップＳ６４の処理と同様であるので、その説明は省略する。

例えば、ステップＳ３０４では、携帯型端末装置１４の表示部１１６に利用停止コードが表示されるが、利用停止コードとともに、登録された生年や性別も表示されるようにしてもよい。

以上のようにして、携帯型端末装置１４はユーザにより入力された個人設定端末コード、生年、および性別と、個人識別ＩＤおよび個人毎端末ＩＤとをデータセンタ１２に送信し、データセンタ１２は、個人毎端末ＩＤに対応付けて個人設定端末コード、生年、および性別を記録する。

このように、携帯型端末装置１４ごとに、個人設定端末コード、生年、および性別をデータセンタ１２に記録しておくことで、ユーザが特定の携帯型端末装置１４を選択するときに、より簡単かつ確実に所望の携帯型端末装置１４を選択することができるようになる。

〈個人設定端末コードおよび個人毎端末ＩＤの削除について〉
また、このようにして携帯型端末装置１４ごとに、個人設定端末コード、生年、および性別がデータセンタ１２に記録される場合、特定の携帯型端末装置１４によるサービスの利用の停止、つまりアクセス権限の無効化を行うときには、図１７に示す処理が行われる。以下、図１７のフローチャートを参照して、加盟店端末装置１１による削除要求処理、およびデータセンタ１２による削除処理について説明する。

なお、ステップＳ３４１の処理は、図９のステップＳ１４１の処理と同様であるので、その説明は省略する。

ステップＳ３４１において個人識別ＩＤが取得されると、要求処理部９２は、個人識別ＩＤと、利用停止コード、生年、および性別の一覧の送信要求とを通信部８２に供給し、データセンタ１２への送信を指示する。

ステップＳ３４２において、通信部８２は、要求処理部９２から供給された個人識別ＩＤと、利用停止コード、生年、および性別の一覧の送信要求とを、通信網１５を介してデータセンタ１２に送信する。

すると、ステップＳ３５１において、データセンタ１２の通信部４２は、加盟店端末装置１１から送信されてきた個人識別ＩＤと、利用停止コード、生年、および性別の一覧の送信要求とを受信して制御部４３に供給する。

制御部４３の登録管理部５１は、受信された送信要求に応じて、記録部４１から、受信された個人識別ＩＤに対応付けられている全ての利用停止コード、生年、および性別を読み出して、それらの利用停止コード、生年、および性別の一覧を生成する。そして、登録管理部５１は、生成した一覧を通信部４２に供給する。

ステップＳ３５２において、通信部４２は、登録管理部５１から供給された利用停止コード、生年、および性別の一覧を、通信網１５を介して加盟店端末装置１１に送信する。

ステップＳ３４３において、加盟店端末装置１１の通信部８２は、データセンタ１２から送信されてきた利用停止コード、生年、および性別の一覧を受信し、制御部８５に供給する。

ステップＳ３４４において、制御部８５は、通信部８２から供給された利用停止コード、生年、および性別の一覧を表示部８４に供給し、表示させる。

このようにして利用停止コード、生年、および性別の一覧が表示されると、その後、ステップＳ３４５およびステップＳ３４６の処理が行われて削除要求処理が終了し、ステップＳ３５３乃至ステップＳ３５５の処理が行われて削除処理は終了する。なお、これらのステップＳ３４５、ステップＳ３４６、およびステップＳ３５３乃至ステップＳ３５５の処理は、図９のステップＳ１４５、ステップＳ１４６、およびステップＳ１５３乃至ステップＳ１５５の処理と同様であるので、その説明は省略する。

但し、ステップＳ３５４では、個人毎端末ＩＤと個人設定端末コードに加えて、さらに生年および性別も削除される。また、データセンタ１２には、表示された一覧のなかから選択された利用停止コード、生年、および性別により特定される携帯型端末装置１４について、サービスの利用停止が要求される。すなわち、その携帯型端末装置１４の個人毎端末ＩＤと個人識別ＩＤとが、データセンタ１２に送信される。

以上のように、利用停止コードとともに生年および性別が一覧表示される場合には、これらの生年および性別が、正しい携帯型端末装置１４を選択するための補助情報となる。これにより、ユーザはサービスの利用を停止させたい携帯型端末装置１４を簡単かつ確実に指定することができる。なお、ステップＳ３４６の処理では、利用停止コードとともに生年および性別も表示されるようにしてもよい。

なお、以上においては、クラウドサービス提供者が発行しているＩＣカード１３の個人識別ＩＤによりユーザ個人を特定する例について説明した。しかし、ユーザを識別する個人識別ＩＤが一意であることが保証されていれば、サービス加盟店が採番する一意のＩＤ等に基づいて、同様の情報処理システムを構築することが可能である。

ところで、上述した一連の処理は、ハードウェアにより実行することもできるし、ソフトウェアにより実行することもできる。一連の処理をソフトウェアにより実行する場合には、そのソフトウェアを構成するプログラムが、コンピュータにインストールされる。ここで、コンピュータには、専用のハードウェアに組み込まれているコンピュータや、各種のプログラムをインストールすることで、各種の機能を実行することが可能な、例えば汎用のコンピュータなどが含まれる。

図１８は、上述した一連の処理をプログラムにより実行するコンピュータのハードウェアの構成例を示すブロック図である。

コンピュータにおいて、ＣＰＵ（Central Processing Unit）５０１，ＲＯＭ（Read Only Memory）５０２，ＲＡＭ（Random Access Memory）５０３は、バス５０４により相互に接続されている。

バス５０４には、さらに、入出力インターフェース５０５が接続されている。入出力インターフェース５０５には、入力部５０６、出力部５０７、記録部５０８、通信部５０９、及びドライブ５１０が接続されている。

入力部５０６は、キーボード、マウス、マイクロホン、撮像素子などよりなる。出力部５０７は、ディスプレイ、スピーカなどよりなる。記録部５０８は、ハードディスクや不揮発性のメモリなどよりなる。通信部５０９は、ネットワークインターフェースなどよりなる。ドライブ５１０は、磁気ディスク、光ディスク、光磁気ディスク、又は半導体メモリなどのリムーバブルメディア５１１を駆動する。

以上のように構成されるコンピュータでは、ＣＰＵ５０１が、例えば、記録部５０８に記録されているプログラムを、入出力インターフェース５０５及びバス５０４を介して、ＲＡＭ５０３にロードして実行することにより、上述した一連の処理が行われる。

コンピュータ（ＣＰＵ５０１）が実行するプログラムは、例えば、パッケージメディア等としてのリムーバブルメディア５１１に記録して提供することができる。また、プログラムは、ローカルエリアネットワーク、インターネット、デジタル衛星放送といった、有線または無線の伝送媒体を介して提供することができる。

コンピュータでは、プログラムは、リムーバブルメディア５１１をドライブ５１０に装着することにより、入出力インターフェース５０５を介して、記録部５０８にインストールすることができる。また、プログラムは、有線または無線の伝送媒体を介して、通信部５０９で受信し、記録部５０８にインストールすることができる。その他、プログラムは、ＲＯＭ５０２や記録部５０８に、あらかじめインストールしておくことができる。

なお、コンピュータが実行するプログラムは、本明細書で説明する順序に沿って時系列に処理が行われるプログラムであっても良いし、並列に、あるいは呼び出しが行われたとき等の必要なタイミングで処理が行われるプログラムであっても良い。

また、本技術の実施の形態は、上述した実施の形態に限定されるものではなく、本技術の要旨を逸脱しない範囲において種々の変更が可能である。

例えば、本技術は、１つの機能をネットワークを介して複数の装置で分担、共同して処理するクラウドコンピューティングの構成をとることができる。

また、上述のフローチャートで説明した各ステップは、１つの装置で実行する他、複数の装置で分担して実行することができる。

さらに、１つのステップに複数の処理が含まれる場合には、その１つのステップに含まれる複数の処理は、１つの装置で実行する他、複数の装置で分担して実行することができる。

また、本明細書中に記載された効果はあくまで例示であって限定されるものではなく、他の効果があってもよい。

１１ 加盟店端末装置， １２ データセンタ， １３ ＩＣカード， １４ 携帯型端末装置， ４２ 通信部， ５１ 登録管理部， ５２ 生成部， ５３ 情報管理部， ８１ 情報識別リーダ， ８２ 通信部， ９１ コード生成部，９２ 要求処理部， １１１ 通信部， １１２ 近距離通信部， １１５ 記録部， １２１ 復号部， １２２ 情報管理部， １２３ 閲覧制御部， １２４ 表示制御部

Claims (7)

1. 情報を受信および送信する通信部と、
   薬歴情報を個人識別情報に対応付けて記録する記録部と、
   制御部とを有し、
   前記制御部は、前記通信部により、前記個人識別情報、および前記個人識別情報に対応付けられた前記薬歴情報にアクセスするときに用いるアクセス元の機器の登録要求を受信した場合、
   前記アクセス元の機器を識別するアクセス元識別情報を生成し、
   前記個人識別情報に対応付けて前記アクセス元識別情報を前記記録部に記録し、
   前記通信部により、前記アクセス元識別情報を送信するよう制御し、
   前記制御部は、前記通信部により、前記個人識別情報および前記アクセス元識別情報と、前記薬歴情報へのアクセスの無効化要求とを受信した場合、
   受信された前記アクセス元識別情報により識別される前記アクセス元の機器による前記薬歴情報へのアクセスを無効化するよう制御し、
   前記制御部は、前記通信部により、前記個人識別情報および前記アクセス元識別情報と、前記薬歴情報の送信要求とを前記アクセス元から受信した場合、
   前記通信部により、前記個人識別情報と前記アクセス元識別情報に対応付けられた前記薬歴情報を、前記アクセス元に対して送信するよう制御する
   薬歴管理装置。
2. 前記記録部は、更に、前記個人識別情報および前記アクセス元識別情報に対応付けて、
   前記アクセス元識別情報により識別される前記アクセス元の機器の登録に関する補助情報を記録し、
   前記制御部は、前記通信部により、前記個人識別情報と、前記個人識別情報に対応付けられている前記アクセス元識別情報および前記補助情報の送信要求を受信した場合、
   前記通信部により、前記アクセス元識別情報および前記補助情報を送信するよう制御する
   請求項１に記載の薬歴管理装置。
3. 前記補助情報は、前記アクセス元において入力された文字列である
   請求項２に記載の薬歴管理装置。
4. 前記補助情報は、前記アクセス元の機器の所有者の生年、性別、またはユーザに対する続柄の少なくとも何れかである
   請求項２または請求項３に記載の薬歴管理装置。
5. 前記記録部は、更に、前記アクセス元識別情報の有効期限、または前記アクセス元識別情報の有効化の期限を記録する
   請求項１乃至請求項４の何れか一項に記載の薬歴管理装置。
6. 情報を受信および送信する通信部と、
   薬歴情報を個人識別情報に対応付けて記録する記録部と、
   制御部とを有する薬歴管理装置の薬歴管理方法であって、
   前記制御部が、前記通信部により、前記個人識別情報、および前記個人識別情報に対応付けられた前記薬歴情報にアクセスするときに用いるアクセス元の機器の登録要求を受信した場合、
   前記アクセス元の機器を識別するアクセス元識別情報を生成し、
   前記個人識別情報に対応付けて前記アクセス元識別情報を前記記録部に記録し、
   前記通信部により、前記アクセス元識別情報を送信するよう制御し、
   前記制御部が、前記通信部により、前記個人識別情報および前記アクセス元識別情報と、前記薬歴情報へのアクセスの無効化要求とを受信した場合、
   受信された前記アクセス元識別情報により識別される前記アクセス元の機器による前記薬歴情報へのアクセスを無効化するよう制御し、
   前記制御部は、前記通信部により、前記個人識別情報および前記アクセス元識別情報と、前記薬歴情報の送信要求とを前記アクセス元から受信した場合、
   前記通信部により、前記個人識別情報と前記アクセス元識別情報に対応付けられた前記薬歴情報を、前記アクセス元に対して送信するよう制御する
   ステップを含む薬歴管理方法。
7. 情報を受信および送信する通信部と、
   薬歴情報を個人識別情報に対応付けて記録する記録部と
   を有する薬歴管理装置を制御するコンピュータに、
   前記通信部により、前記個人識別情報、および前記個人識別情報に対応付けられた前記薬歴情報にアクセスするときに用いるアクセス元の機器の登録要求を受信した場合、
   前記アクセス元の機器を識別するアクセス元識別情報を生成し、
   前記個人識別情報に対応付けて前記アクセス元識別情報を前記記録部に記録し、
   前記通信部により、前記アクセス元識別情報を送信するよう制御し、
   前記通信部により、前記個人識別情報および前記アクセス元識別情報と、前記薬歴情報へのアクセスの無効化要求とを受信した場合、
   受信された前記アクセス元識別情報により識別される前記アクセス元の機器による前記薬歴情報へのアクセスを無効化するよう制御し、
   前記通信部により、前記個人識別情報および前記アクセス元識別情報と、前記薬歴情報の送信要求とを前記アクセス元から受信した場合、
   前記通信部により、前記個人識別情報と前記アクセス元識別情報に対応付けられた前記薬歴情報を、前記アクセス元に対して送信するよう制御する
   ステップを含む処理を実行させるプログラム。

Images