JP2023068999A - 医療情報証明システム、および医療情報証明方法 - Google Patents

Abstract

【課題】個人の医療情報の不正取得、不正利用を防止することができる。
【解決手段】医療情報証明システム１は、利用者の医療情報を記憶する管理サーバ２と、利用者端末３と、確認者端末４とを備える。管理サーバ２は、利用者端末３からの要求を受けて、証明対象の利用者の医療情報に紐づけられ、有効時間が設定されたワンタイムコードを生成し、ワンタイムコードを利用者端末３に送信し、確認者端末４は、ワンタイムコードを取得し、取得したワンタイムコードを管理サーバ２に送信し、管理サーバ２は、送信されたワンタイムコードに紐づけられた証明対象の利用者の医療情報が所定の条件を満たすかどうか判定し、判定結果を確認者端末４に送信し、確認者端末４は、判定結果を表示する。
【選択図】図６

Description

この発明は、例えば、個人の医療情報を証明することができる、医療情報証明システム、および医療情報証明方法に関する。

従来、個人の医療情報を証明するためのシステムの一例として、予防接種支援システムが提案されている（特許文献１参照）。従来の予防接種支援システムでは、システムサーバーに予防接種予約や予防接種記録を蓄積しておくことによって、被接種者は自身の登録された予約情報や予防接種記録を携帯端末で閲覧することができる。

また、近年、感染症の蔓延防止等を理由に、店舗や施設・学校・医療機関受診時、海外渡航時等において、予防接種済の証明または感染症検査による陰性証明の提示を条件に受け入れを許可したり、対象となる入国先で隔離などの防疫措置の軽減を受けられるなど、事前に感染症対策がなされていること、および利用者の現在の健康状態を確認した上での社会的・国際的対応が求められている。

しかしながら、予防接種済の証明または感染症検査の陰性結果を利用者の携帯電話端末の表示部に表示させるか、あるいは紙媒体での証明を行うようにすると、画像加工可能なデータである場合、表示画面や証明書の複製・偽造・改ざん等によって、個人の医療情報の不正取得、不正利用による、国や自治体の法令・条例、要請に背いた、違法出入国、施設や店舗利用、旅行、登校、医療機関の受診等が可能になってしまうという問題がある。このため、医療情報の提示・照会時における、個人の医療情報の不正取得、不正利用を防止することが望まれる。

実用新案登録第３２１２７８４号公報

この発明は、上述の問題に鑑みて、個人の医療情報の不正取得、不正利用を防止することができる、医療情報証明システム、および医療情報証明方法を提供することを目的とする。

この発明は、利用者の医療情報を記憶する管理サーバと、利用者が使用する利用者端末と、確認者端末とを備える医療情報証明システムであって、前記管理サーバは、前記利用者端末からの要求を受けて、当該利用者端末を操作する証明対象の利用者の医療情報に紐づけられ、有効時間が設定されたワンタイムコードを生成するコード生成部と、前記コード生成部で生成した前記ワンタイムコードを前記利用者端末に送信する第１コード送信部を備え、前記確認者端末は、前記ワンタイムコードを前記利用者端末から取得するコード取得部と、前記コード取得部で取得した前記ワンタイムコードを前記管理サーバに送信する第２コード送信部を備え、前記管理サーバは、前記第２コード送信部から送信された前記ワンタイムコードに紐づけられた前記証明対象の利用者の医療情報が所定の条件を満たすかどうか判定する判定部と、前記判定部で判定した判定結果を前記確認者端末に送信する判定結果送信部をさらに備え、前記確認者端末は、前記判定結果送信部から送信された前記判定結果を表示する判定結果表示部をさらに備える医療情報証明システム、および医療情報証明方法であることを特徴とする。

この発明により、個人の医療情報の不正取得、不正利用を防止することができる。

この発明の医療情報証明システムの構成の一例を示す説明図。 管理サーバの補助記憶部に記憶される管理データの一例を示す説明図。 利用者データＤＢのデータ構造の一例を示す説明図。 ログイン画面の画面構成の説明図。 ホーム画面の画面構成の説明図。 医療情報証明システムの動作例を示す説明図。 コード表示画面の画面構成の説明図。 第１結果表示画面の画面構成の説明図。 第２結果表示画面の画面構成の説明図。 第３結果表示画面の画面構成の説明図。 変形例のコード表示画面の画面構成の説明図。

以下、この発明の一実施形態を図面と共に説明する。
＜システム構成＞

図１は、医療情報証明システム１のシステム構成の一例を示すブロック図である。医療情報証明システム１は、個人の医療情報を蓄積しておき、各個人の現在の健康状態を確認するために医療情報を証明する医療情報証明サービスを提供するためのシステムである。

図１に示すように、医療情報証明システム１は、管理サーバ２、複数の利用者端末３、および複数の確認者端末４を有する。管理サーバ２、複数の利用者端末３のそれぞれ、および複数の確認者端末４のそれぞれは、インターネットのような公衆回線（公衆ネットワーク）５を介して、相互に通信可能に接続される。

利用者端末３は、利用者が自己の医療情報を証明（提示）する利用者が使用する端末であり、確認者端末４は、利用者の医療情報を確認する確認者が使用する端末である。たとえば、確認者は、店舗、施設、または各種イベントの開催場所等（以下、「店舗等」という。）の従業員等である。この場合、利用者は、感染症に有効なワクチン接種（予防接種）済の証明または感染症検査の陰性結果等の医療情報の証明を行い、確認者は、利用者の医療情報を確認し、店舗等への受け入れの可否を判断することができる。すなわち、事前に感染症対策がなされていること、および現在の健康状態を確認した上で店舗等への受け入れの可否を判断することができ、感染拡大防止と社会経済活動の両立を図ることを目的としたシステムである。また、確認者は、医師や薬剤師などの医療従事者、養護教諭、救急隊員などであってもよい。この場合、確認者は、利用者の医療データ（健康診断のデータやカルテのデータなど）を確認することができる。以下、本実施形態では、確認者が店舗等の従業員である場合を例に挙げて説明する。

管理サーバ２は、汎用のサーバコンピュータで構成されており、利用者端末３および確認者端末４は、タブレットＰＣ、スマートフォン、フィーチャーフォンおよび携帯型ゲーム機等の可搬型のコンピュータ（携帯端末）で構成される。なお、管理サーバ２は、１台のサーバコンピュータで構成されてもよいし、複数のサーバコンピュータで構成されてもよい。また、管理サーバ２の一部または全部がクラウドサーバであってもよい。さらに、確認者端末４は、ＰＯＳ端末、自動券売機、および自動チェックイン機等であってもよい。

管理サーバ２は、制御部２１、通信部２２、および補助記憶部２３を備え、ウェブサーバとしての機能を有する。通信部２２、および補助記憶部２３のそれぞれは、通信線（バス）等を介して制御部２１に接続されている。

利用者端末３は、制御部３１、入力部３２、表示部３３、撮像部３４、通信部３５、および補助記憶部３６を備える。入力部３２、表示部３３、撮像部３４、通信部３５、および補助記憶部３６のそれぞれは、通信線等を介して制御部３１に接続されている。

確認者端末４は、制御部４１、入力部４２、表示部４３、コード取得部４４、通信部４５、および補助記憶部４６を備える。入力部４２、表示部４３、コード取得部４４、通信部４５、および補助記憶部４６のそれぞれは、通信線等を介して制御部４１に接続されている。

制御部２１は、演算部２４および主記憶部２５を含み、管理サーバ２における各種演算および制御動作を実行する。制御部３１は、演算部３７および主記憶部３８を含み、利用者端末３における各種演算および制御動作を実行する。制御部４１は、演算部４７および主記憶部４８を含み、確認者端末４における各種演算および制御動作を実行する。

演算部（２４、３７、４７）は、ＣＰＵまたはＭＰＵなどを含む演算処理部である。主記憶部（２５、３８、４８）は、ＲＡＭ（ＤＲＡＭ）およびＲＯＭなどを有する。ＲＡＭは、演算部（２４、３７、４７）のワーク領域およびバッファ領域として用いられる。ＲＯＭは、管理サーバ２、利用者端末３または確認者端末４の起動プログラムや各種情報についてのデフォルト値等を記憶する。

入力部（３２、４２）は、利用者または確認者の操作入力を受け付ける入力部品、および入力部品と演算部（３７、４７）との間に介在する入力検出回路を有する。入力部品は、たとえばタッチパネルまたは／およびハードウェアの操作ボタンないし操作キーである。タッチパネルとしては、静電容量方式、電磁誘導方式、抵抗膜方式、赤外線方式など、任意の方式のものを用いることができる。入力検出回路は、各入力部品の操作に応じた操作信号ないし操作データを演算部（３７、４７）に出力する。

表示部（３３、４３）は、ディスプレイ、およびディスプレイと演算部（３７、４７）との間に介在する表示制御回路を有する。ディスプレイとしては、たとえばＬＣＤ（液晶ディスプレイ）または有機ＥＬディスプレイなどを用いることができる。表示制御回路は、ＧＰＵおよびＶＲＡＭなどを有する。演算部（３７、４７）の指示の下、ＧＰＵは、ＲＡＭに記憶された画像生成用のデータを用いてディスプレイに種々の画面を表示するための表示画像データをＶＲＡＭに生成し、生成した表示画像データをディスプレイに出力する。

撮像部３４は、撮像素子（イメージセンサ）およびフォーカスレンズ等を有し、撮像素子から取り込んだ可視光としての撮像光を、電気信号へと変換することによって撮像を行う。撮像素子の例としては、ＣＣＤ（Charge Coupled Device）イメージセンサ、またはＣＭＯＳ（Complementary Metal Oxide Semiconductor）イメージセンサ等の固体撮像素子が挙げられる。撮像部３４から出力された撮像画像データは、主記憶部３８または補助記憶部３６に記憶される。

通信部（３５、４５）は、公衆回線５に接続するための通信回路を有する。通信回路は、有線通信回路または無線通信回路であり、演算部（３７、４７）からの指示に従って、公衆回線５を介して、外部コンピュータと通信する。また、通信部（３５、４５）は、公衆回線５を介さずに、近距離無線（たとえば赤外線方式、ＷｉＦｉ（登録商標）方式またはブルートゥース（Bluetooth；登録商標）方式）で、相互に直接通信することも可能である。すなわち、利用者端末３と確認者端末４とは、近距離無線で相互に直接通信可能である。

コード取得部４４は、利用者端末３から有効期限を定めたコード情報（ワンタイムコード）を取得する。ワンタイムコードは、利用者端末３を利用する利用者の要求に応じて、管理サーバ２によって生成（発行）される情報であり、適宜の文字列や画像等のデータとして表現される。このワンタイムコードは、生成されたときに有効期限（たとえば、１時間～３６時間）が自動的に設定され、要求元の利用者の医療情報に紐づけられている。この紐づけに関して、ワンタイムコード自体には利用者の医療情報を含ませず、利用者の医療情報に含まれている利用者ＩＤをワンタイムコードとセットで記憶しておく等の方法とすることができる。したがって、ワンタイムコードと利用者ＩＤと有効時刻と認証時刻をセットにしてワンタイムコードデータＤＢ５１に記憶しておくことが好ましい。
また、管理サーバ２で生成されたワンタイムコードは、要求元の利用者端末３に送信され、利用者端末３から所定の方法で確認者端末４に伝達される。

コード取得部４４におけるワンタイムコードの取得方法としては、特に限定されないが、たとえば、ワンタイムコードが埋め込まれた符号の画像（符号画像）を利用者端末３の表示部３３に表示し、確認者端末４で読み取るようにしてもよい。この場合、確認者端末４は、上述した撮像部３４と同様の構成の撮像部（確認者端末側の撮像部）を有し、コード取得部４４は、確認者端末側の撮像部で符号画像を撮像し、撮像した画像を復号して、符号に埋め込まれたワンタイムコードを取得する。符号は、１次元コード（バーコード）または２次元コード等の矩形状のコードである。２次元コードは、QRコード（登録商標）、マイクロQRコード、Aztec、DataMATRIX、MaxiCODEおよびVeriCODE等のマトリクス型２次元コードでも良いし、PDF417およびCODE49等のスタック型２次元コードでも良い。

また、他の方法としては、ワンタイムコードのデータ（ワンタイムコードデータ）を利用者端末３から確認者端末４に近距離無線で送信（近距離無線を介して取得）してもよい。この場合、コード取得部４４は、通信部４５または外部接続した専用のリーダ（コードリーダ）を利用してワンタイムコードを取得する。

補助記憶部（２３、３６、４６）は、ＨＤＤ、ＳＳＤ、フラッシュメモリ、ＥＥＰＲＯＭなどの他の不揮発性メモリで構成され、演算部（２４、３７、４７）が管理サーバ２、利用者端末３または確認者端末４の動作を制御するためのプログラムおよび各種データなどを記憶する。

管理サーバ２の補助記憶部２３は、本システムにおける管理サーバ２の各種動作を実行するための管理プログラム２３ａと、本システムの利用に必要となる管理データ２３ｂとを記憶している。管理プログラム２３ａは、外部機器（利用者端末３または確認者端末４）にアクセス（外部機器との通信を確立）するための通信プログラム、ワンタイムコードを生成するためのコード生成プログラム、ワンタイムコードを利用者端末に送信する第１コード送信プログラム、確認者端末から送信されたワンタイムコードを受信するコード受信プログラム、受信したワンタイムコードに紐づけられた証明対象の利用者の医療情報が所定の条件を満たすかどうかを判定する判定プログラム、判定結果を確認者端末４に送信する判定結果送信プログラム、判定に用いられたワンタイムコードを無効化して今後の判定に利用できなくする無効化プログラム、および管理サーバ２が備える各種の機能を選択および実行するためのプログラム等を含有する。

管理プログラム２３ａおよび管理データ２３ｂは、必要に応じて補助記憶部２３から読み出され主記憶部２５（ＲＡＭ）に記憶される（展開される）。管理サーバ２の動作は、演算部２４が主記憶部２５（ＲＡＭ）に展開された管理プログラム２３ａを実行することによって実現される。

利用者端末３の補助記憶部３６は、利用者の操作入力に応じて本システムにおける利用者端末３の各種動作を実行するための利用者プログラム３６ａと、本システムの利用に必要となる利用者データ３６ｂとを記憶している。

利用者プログラム３６ａおよび利用者データ３６ｂは、必要に応じて補助記憶部３６から読み出され主記憶部３８（ＲＡＭ）に記憶される（展開される）。利用者端末３の動作は、演算部３７が主記憶部３８（ＲＡＭ）に展開された利用者プログラム３６ａを実行することによって実現される。

利用者プログラム３６ａは、少なくとも、外部機器（管理サーバ２または確認者端末４）にアクセス（外部機器との通信を確立）するための通信プログラム、ワンタイムコードの発行を管理サーバ２に要求するためのコード要求プログラム、ワンタイムコードを確認者端末４に伝達するためのコード伝達プログラム、医療情報を管理サーバ２に登録するための登録プログラム、および利用者端末３が備える各種の機能を選択および実行するためのプログラム等を含有する。利用者データ３６ｂは、少なくとも、本システムにおいて必要な利用者のデータを含む。

確認者端末４の補助記憶部４６は、確認者の操作入力に応じて本システムにおける確認者端末４の各種動作を実行するための確認者プログラム４６ａと、本システムの利用に必要となる確認者データ４６ｂとを記憶している。

確認者プログラム４６ａおよび確認者データ４６ｂは、必要に応じて補助記憶部４６から読み出され主記憶部４８（ＲＡＭ）に記憶される（展開される）。確認者端末４の動作は、演算部４７が主記憶部４８（ＲＡＭ）に展開された確認者プログラム４６ａを実行することによって実現される。

確認者プログラム４６ａは、少なくとも、コード取得部４４を制御してワンタイムコード（ワンタイムコードデータ）を取得するためのコード取得プログラム、外部機器（管理サーバ２または利用者端末３）にアクセス（外部機器との通信を確立）するための通信プログラム、管理サーバ２にワンタイムコードを送信する第２コード送信プログラム、管理サーバ２から送信される判定結果を受信する判定結果受信プログラム、判定結果を表示部４３に表示する判定結果表示プログラム、および確認者端末４が備える各種の機能を選択および実行するためのプログラム等を含む。コード取得プログラムは、符号画像によってワンタイムコードデータを取得する場合には、確認者端末側の撮像部を制御して撮像画像を取得するための撮像プログラム、撮像画像に含まれる符号（コード）の画像（符号画像）を抽出し、抽出した符号画像を復号して、符号に埋め込まれた情報を取得する（符号読取機能を実行する）ための復号プログラムを含有する。確認者データ４６ｂは、少なくとも、本システムにおいて必要な確認者の情報のデータを含有する。

なお、図１に示す管理サーバ２の構成、利用者端末３の構成および確認者端末４の構成は、単なる一例であり、これに限定される必要はない。例えば、管理サーバ２は、医療機関のコンピュータ、保健所や区役所、市役所、町村役場などの公的機関のコンピュータにも接続することができる。また、利用者端末３および確認者端末４は、通話機能を有しており、この通話機能に係るコンポーネント（スピーカおよびマイクなど）を備えていてもよい。さらに、利用者端末３および確認者端末４は、ＧＰＳ衛星の電波等を利用して自己の現在位置を取得する現在位置取得機能を有しており、この現在位置取得機能に係るコンポーネント（ＧＰＳ衛星の電波を受信するアンテナなど）を備えていてもよい。この場合、医療情報証明サービスの利用があった際の利用者端末３の位置情報を、確認者端末４が設置されている店舗等の場所（本システムの利用場所）を特定するための位置情報として利用することができる。
＜データ構成＞

図２は管理サーバ２の補助記憶部２３に記憶される管理データ２３ｂの一例を示す説明図である。図３は利用者データＤＢ５０のデータ構造の一例を示す説明図である。管理サーバ２の補助記憶部２３には、医療情報証明システム１で利用される各種データが記憶（登録）されている。

具体的には、図２に示すように、管理サーバ２の補助記憶部２３には、医療情報証明システム１の動作に必要な管理データ２３ｂの一部として、利用者データＤＢ（データベース）５０と、ワンタイムコードデータＤＢ（データベース）５１となどが登録される。

図３に示すように、利用者データＤＢ５０は、利用者の認証情報のデータ（認証データ）６１、ワクチン接種記録情報のデータ（ワクチン接種記録データ）６２、検査結果情報のデータ（検査結果データ）６３、医療関係の証明書のデータ（証明書データ）６４、診療情報のデータ（診療データ）６５を含有する。なお、ワクチン接種記録情報、検査結果情報、証明書情報、および診療情報は、それぞれをまとめて、その利用者の医療情報ということがあり、ワクチン接種記録データ６２、感染症検査データ６３、証明書データ６４、および診療データ６５のそれぞれをまとめて、その利用者の医療データ６６ということがある。

認証データ６１は、利用者の個人認証を行うためのデータである。たとえば、認証データ６１は、利用者毎に割り当てられた固有の識別情報（利用者ＩＤ）および利用者ＩＤに紐づけられたパスワード（鍵情報）の情報等のデータを含む。利用者ＩＤおよびパスワードは、数字、文字、記号、またはこれらの組み合わせによって表現される。たとえば、利用者ＩＤは、利用者の氏名、電話番号、メールアドレス、住所、健康保険証番号、マイナンバー、その他任意の文字列とすることができる。また、利用者ＩＤおよびパスワードは、医療情報証明システム１に利用者を登録したときに設定され、利用者データＤＢ５０に登録される。医療情報証明システム１の個人認証では、利用者ＩＤとパスワードの組み合わせが正しい場合には、個人認証が成功（利用者を特定）し、利用者ＩＤとパスワードの組み合わせが正しくない場合には、個人認証が失敗する。

なお、認証データ６１として、利用者ＩＤおよびパスワードの組み合わせに代えて、またはこれに加えて、利用者の生体情報（顔画像、指紋情報または虹彩情報など）のデータ（生体データ）が登録されていてもよい。この場合、生体データを用いた個人認証（生体認証）を行うようにしてもよい。

ワクチン接種記録データ６２は、種々の感染症のそれぞれに適用可能なワクチン毎にワクチンを接種済かどうかの情報（接種情報）、およびワクチンを接種した時期の情報（接種時期情報）等のデータである。また、複数回接種することによって効果が得られるワクチンに関するワクチン接種記録データ６２には、ワクチンの接種回数のデータも含まれる。

感染症検査データ６３は、種々の感染症（ウイルス）に感染しているかどうかを調べた際の検査結果のデータである。たとえば、各種ウイルスに関するＰＣＲ検査、抗体検査、抗原検査の結果（陽性／陰性）の情報等のデータである。すなわち、感染症検査データ６３は、特定の感染症に罹患しているかどうかを示すデータである。なお、感染症検査の実施時期から所定期間経過後（検査結果の有効性が失われると考えられる期間の経過後）は、感染症検査データ６３が消去されるようにしてもよい。

証明書データ６４は、特定のワクチンを接種済であることの証明書（ワクチンパスポート）、特定の感染症に感染していない（検査結果が陰性である）ことを示す証明書（陰性証明書）、または特定の感染症の罹患後に快復したことを示す証明書（快復証明書）についてのデータ（各種証明書の電子データ等）である。なお、証明書情報に係る証明書は、国や自治体等の公的機関が発行する証明書の他、医療機関が発行する証明書も含まれる。

診療データ６５は、医療機関における利用者の受診履歴、診察結果や各種検査結果（健康診断または人間ドックなど）のデータである。診療データ６５は、医療情報証明システム１に利用者が登録されたとき、または利用者の登録後、最初に医療機関を受診したときに作成され、利用者が医療機関を受診する毎に更新される。

医療データ６６（ワクチン接種記録データ６２、感染症検査データ６３、証明書データ６４、および診療データ６５のそれぞれ）は、民間の検査機関のコンピュータ、医療機関のコンピュータ、保健所や区役所、市役所、町村役場などの公的機関のコンピュータから自動的に取得されるようにしてもよい。このとき、医療機関のコンピュータまたは公的機関のコンピュータに登録されている医療データには、氏名、健康保険証番号、またはマイナンバー等の何らかの個人データ（個人情報）が紐づけられている。管理サーバ２は、医療機関のコンピュータまたは公的機関のコンピュータに登録されている医療データに紐づけられている個人データと、利用者データＤＢ５０に登録された認証データ６１とを照合して、一致する利用者の認証データ６１に紐づけて取得した医療データを医療データ６６として登録する。なお、医療機関のコンピュータまたは公的機関のコンピュータから取得された医療データに一致する利用者が存在しない場合には、その医療データは登録されない。

また、医療データ６６は、利用者自身が利用者端末３からアップロードできるようにしてもよい。この場合、利用者が医療情報証明サービスのアプリケーションにログインした状態で医療データをアップロードすることになるので、アップロードされた医療データには、ログイン中の利用者の認証データ６１が紐づけられる。

図２に戻って、ワンタイムコードデータＤＢ５１には、ワンタイムコードデータが登録される。上述したように、ワンタイムコードデータは、利用者端末３を利用する利用者の要求に応じて有効期限付きで生成され、有効期限を過ぎた場合には今後の判定に利用できないように無効化ないし消去される。
＜システム動作例＞

以下、図４ないし図１０を参照して医療情報証明システム１の動作例を説明する。利用者端末３で医療情報証明サービスのアプリケーションが実行されると、利用者端末３の表示部３３（ディスプレイ）には、種々の操作画面が表示される。

最初の操作画面として、図４に示すようなログイン画面１００が表示部３３に表示される。ログイン画面１００は、医療情報証明サービスを受けるための個人認証を行う（ログインする）ための画面であり、ＩＤ（利用者ＩＤ）を入力するＩＤ入力部１０１と、パスワードを入力するパスワード入力部１０２と、ログインを実行するログインボタン１０３と、その他の認証方法を実行する（認証方法を変更する）ための方法変更ボタン１０４とを有する。なお、ログインボタン１０３および方法変更ボタン１０４は、ソフトウェアキー（操作ボタン）として機能する。以下、ソフトウェアキーを単に「ボタン」という。

ＩＤ入力部１０１およびパスワード入力部１０２のそれぞれは、テキストの入力を受け付けるテキストボックス（入力欄）を有する。ＩＤ入力部１０１およびパスワード入力部１０２のそれぞれに正しいデータ（登録済の利用者ＩＤおよびこれに紐づけられたパスワード）が入力された状態でログインボタン１０３が操作（選択）されると、ログイン（個人認証）が成功する。なお、ログインが失敗した場合には、ログイン画面１００の初期状態に戻る。また、方法変更ボタン１０４が選択されると、撮像部３４が起動するなどして、生体認証などの他の認証方法でログインすることができる。このログイン（個人認証）は、入力された利用者ＩＤとパスワードが管理サーバ２へ送信され、管理サーバ２によって利用者ＩＤとパスワードが認証データ６１のデータと一致するか照合されることによって行われる。ログイン成功後は、管理サーバ２と利用者端末３が接続された状態となり、以降の両者間の通信において同じ利用者端末３からの通信であることが認識されて処理される。

ログインが成功すると、図５に示すようなホーム画面（マイページ）１１０が表示部３３に表示される。ホーム画面１１０は、ワンタイムコードを取得（要求）するコード取得ボタン１１１と、ログアウトボタン１１２とを有する。ログアウトボタン１１２が選択されると、医療情報証明サービスのアプリケーションからログアウトし、医療情報証明サービスの提供が終了する。

コード取得ボタン１１１が選択されると、ワンタイムコードの発行（生成）を管理サーバ２に要求し（図６のＳ１）、管理サーバ２によってワンタイムコードが生成され、利用者端末３に送信される（図６のＳ２）。このとき、ワンタイムコードには、ワンタイムコードの発行を要求した利用者（ログイン中の利用者）の認証データ６１が紐づけられる。また、ワンタイムコードには、個別の認証番号が割り当てられる。本実施形態では、ワンタイムコードが埋め込まれた符号の画像（符号画像）が利用者端末３に送信され、図７に示すようなコード表示画面１２０が表示部３３に表示される。

コード表示画面１２０には、ワンタイムコードが埋め込まれた符号画像を表示するコード表示部（符号画像表示部）１２１と、ワンタイムコードの残りの有効時間（有効期間）を示す有効時間表示部１２２とを有する。有効時間表示部１２２には、残りの有効時間の表示に代えて、有効期限として日時を表示するようにしてもよい。

また、コード表示画面１２０では、医療データ６６の状態に応じて背景部分の画像（背景画像）の色を変更することもでき、また、背景画像に透かし文字を表示することもできる。たとえば、コード表示画面１２０では、感染症検査の実施時期からの経過時間（経過期間）に応じて背景画像の色を変更することもでき、また、ワクチンの接種回数を背景画像に透かし文字で表示することもできる。

図示は省略するが、確認者端末４において医療情報証明サービスのアプリケーション（コード取得アプリケーション）が実行されると、コード取得部４４においてワンタイムコードの取得が可能な状態となる。たとえば、コード取得部４４が確認者端末側の撮像部を有する場合、確認者端末側の撮像部が起動され、コード表示部１２１に表示される符号画像を確認者端末側の撮像部で撮像することができる。そして、確認者端末４は、撮像した画像（撮像画像）から符号画像を抽出し、抽出された符号画像を復号し、ワンタイムコードを取得する（図６のＳ３）。

確認者端末４は、ワンタイムコードを取得すると、管理サーバ２にアクセスして、ワンタイムコードに紐づけられた利用者（証明対象の利用者）の医療データ６６を問い合わせる（図６のＳ４）。具体的には、確認者端末４は、ワンタイムコードデータと、問い合わせ内容の情報とを管理サーバ２に送信する。たとえば、特定の感染症対策の一環として医療データ６６の問い合わせを行う場合には、確認者端末４は、証明対象の利用者が、感染症に対して有効なワクチンを所定の回数接種済かどうか、または、感染症検査の結果を管理サーバ２に問い合わせる。

ワクチンについて接種済かどうかを問い合わせる場合、複数回のワクチン接種が必要な場合は、必要回数の接種がされているかどうかについても管理サーバ２に問い合わせる。また、感染症検査を問い合わせる場合、感染症検査の実施時期からの経過時間が有効性を担保できる期間を超えていないかどうかを問い合わせる。

管理サーバ２は、問い合わせ内容に応じて、証明対象の利用者の医療データ６６が所定の条件を満たすかどうか判定し（判定処理を行い）、判定結果を確認者端末４に送信する（図６のＳ５）。たとえば、所定の条件とは、店舗等に受け入れが可能な健康状態であるかどうかを判断するための条件（受け入れ条件）であり、本実施形態では、有効なワクチン接種済であるか、または感染症検査結果が陰性であることが受け入れ条件である。

本実施形態では、管理サーバ２は、証明対象の利用者の医療データ６６を参照して、証明対象の利用者がワクチン接種済かどうか、または証明対象の利用者の感染症検査結果が陰性かどうかなどの問い合わせ内容に対する判定結果（店舗等への受け入れの可否）を確認者端末４に送信する。たとえば、管理サーバ２は、ワクチンが接種済か感染症検査結果が陰性であれば、店舗等への受け入れが可能（ＯＫ）である旨の結果を確認者端末４に送信する。一方、ワクチンが未接種であって、かつ、感染症検査結果の陰性が確認できない場合には、管理サーバ２は、店舗等への受け入れが不可または不適切（ＮＧ）である旨の結果を確認者端末４に送信する。

なお、同じワンタイムコードを用いての判定処理（Ｓ５）は１回限りであり、判定結果が出た時点またはワンタイムコードを受け付けた時点で、当該ワンタイムコードは無効化されるか、あるいは判定済であるというデータが紐づけられる。したがって、有効時間内であったとしても、同じワンタイムコードについての２回目以降の問い合わせはできないようにされている。このため、同じワンタイムコードについての２回目以降の問い合わせであった場合には、管理サーバ２は、警告する（ワンタイムコードの更新、新規取得を求める）旨の結果を確認者端末４に送信する。

確認者端末４が判定結果を受信すると、表示部４３には、判定結果を示す結果表示画面１３０が表示される。図８～図１０には、結果表示画面１３０の例を示している。図８は、ＯＫである旨の結果を示す第１結果表示画面１３０ａの説明図であり、図９は、ＮＧである旨の結果を示す第２結果表示画面１３０ｂの説明図であり、図１０は、警告する旨の結果を示す第３結果表示画面１３０ｃの説明図である。

図８～図１０に示すように、結果表示画面１３０は、結果表示部１３１と、認証番号表示部１３２と、対応結果入力部１３３と、顔画像表示部１３４と、コード情報表示部１３５と、ワクチン接種記録情報表示部１３６と、検査結果情報表示部１３７とを有する。

結果表示部１３１は、判定結果を端的に表示するために設けられ、結果表示部１３１には、判定結果を示す画像やメッセージ等が表示される。たとえば、ＯＫである旨の結果を示す第１結果表示画面１３０ａでは、結果表示部１３１に、図形「〇」および「ＯＫ」の文字によって構成される画像と、「パスポート（医療情報）の読み込みに成功しました」というメッセージが表示される（図８）。また、ＮＧである旨の結果を示す第２結果表示画面１３０ｂでは、結果表示部１３１に、図形「×」および「ＮＧ」の文字によって構成される画像と、「パスポートの読み込みに失敗しました」というメッセージが表示される（図９）。警告する旨の結果を示す第３結果表示画面１３０ｃでは、結果表示部１３１に、図形「△」および「！」の記号（感嘆符）によって構成される画像と、「パスポートを更新してもう一度認証してください」というメッセージが表示される（図１０）。

認証番号表示部１３２には、ワンタイムコードに割り当てられた認証番号が表示される。ただし、ＮＧである旨の結果を示す第２結果表示画面１３０ｂでは、医療情報の証明が失敗していることから、認証番号が表示されない。

対応結果入力部１３３は、実際に店舗等へ受け入れたかどうかの確認者の対応結果（利用者の行動結果）を入力するために設けられ、入店拒否ボタン１３３ａと、入店許可ボタン１３３ｂとを有する。確認者端末４を操作する確認者（店舗等の従業員など）は、利用者の入店を拒否した場合または利用者が入店しなかった場合には入店拒否ボタン１３３ａを選択し、利用者の入店を許可した（利用者が入店した）場合には、入店許可ボタン１３３ｂを選択する。入店拒否ボタン１３３ａが選択された場合、確認者端末４は、入店拒否ボタン１３３ａが選択された旨の情報（利用者が入店しなかった旨の情報）を管理サーバ２に送信する。一方、入店許可ボタン１３３ｂが選択された場合、確認者端末４は、入店許可ボタン１３３ｂが選択された旨の情報（利用者が入店した旨の情報）を管理サーバ２に送信する。したがって、管理サーバ２には、最終的に利用者が入店したか、入店しなかったかという情報（入店情報）が管理サーバ２に蓄積される。また、入店情報には、問い合わせに対する判定結果も紐づけられている。たとえば、判定結果が「ＯＫ」であっても入店しない可能性や、判定結果が「ＮＧ」であっても、座席間を十分確保するなどして感染症対策が可能な場合には入店を受け入れる可能性がある。このように、判定結果と入店情報とを関連付けて記憶しておくことができる。したがって、判定結果が「ＯＫ」だった利用者、判定結果が「ＮＧ」だった利用者のそれぞれの行動結果の統計を取ることができ、より有効な感染症対策の策定に活用することができる。また、店舗側が「ＯＫ」で入店した人数と、「ＮＧ」で入店した人数とを把握することができ、「ＮＧ」で入店した人数の割合に応じて、座席の間隔を広げるか、あるいはパーティションの設置個所を増やすなど、店舗内の設計に活用することができる。また、判定結果と行動結果のデータを蓄積することによって匿名で利用者を追跡できるようにし、より有効な感染症対策の策定に活用することができる。

顔画像表示部１３４には、利用者データＤＢ５０に利用者の顔画像が登録（記憶）されている場合に、利用者の顔画像が表示される。このため、顔画像を用いて利用者の本人確認を行うことができる。なお、顔画像表示部１３４に顔画像を表示するかどうかを利用者が選択できるようにしてもよい。

コード情報表示部１３５は、判定に用いられたワンタイムコードについての情報が表示される。たとえば、判定に用いられたワンタイムコードが生成された日時、判定に用いられたワンタイムコードが利用者端末３の表示部３３に表示された日時についての情報が表示される。このため、コード情報表示部１３５に表示された日時からあまりにも長い期間が経過している場合には、複製・偽造・改ざん等による不正取得、不正利用の可能性があると判断することができ、ワンタイムコードの不正取得、不正利用を防止することができる。ただし、ＮＧである旨の結果を示す第２結果表示画面１３０ｂでは、ワンタイムコードについての情報は表示されない。

ワクチン接種記録情報表示部１３６には、証明対象の利用者のワクチン接種記録情報が表示される。たとえば、ワクチン接種記録情報表示部１３６には、証明対象の利用者のワクチン接種記録情報として、ワクチンの種類、ワクチンの接種回数および接種日時（最終回の接種日時）が表示される。

検査結果情報表示部１３７には、証明対象の利用者の直近の検査結果情報が表示される。たとえば、検査結果情報表示部１３７には、証明対象の利用者の直近の検査結果情報として、検査日時、検査日時からの経過時間が表示される。

ただし、ＮＧである旨の結果を示す第２結果表示画面１３０ｂでは、証明対象の利用者のワクチン接種記録情報および証明対象の利用者の検査結果情報は表示されない（図９）。また、結果表示画面１３０には、証明対象の利用者の性別、年齢（年代）、電話番号等の情報も表示することができる。

また、結果表示画面１３０には、性別が表示されるため、不正な方法による証明をより防止することができる。また、結果表示画面１３０には、電話番号が表示されるため、例えば、利用者端末３がスマートフォンであった場合に、その電場番号に架電して利用者端末３に電話がかかるか確認し、正しく認証しているか確認するといったことができる。

以上の構成および動作により、表示画面や、紙媒体の証明書の複製・偽造・改ざん等によって利用者本人の正しい医療情報を証明することができなくなり、個人の医療情報の不正取得、不正利用による不適切な入店を防止することができる。すなわち、確認者端末４は、管理サーバ２からの情報によって認証結果を得るため、利用者端末３で不正に作成された画像やアプリで虚偽の認証結果による認証を行わず、不正を防止できる。

また、利用者端末３と確認者端末４との間では直接医療情報のデータのやり取りをすることがなく、かつ、確認者端末４は管理サーバ２から判定結果のデータを取得するだけであるので、個人情報の漏洩を防止することができる。

また、本実施形態では、符号画像を用いてワンタイムコードを伝達するので、利用者側がワンタイムコードを簡便に提示することができるとともに、確認者側もワンタイムコードを簡便に取得することができる。

また、ワンタイムコードには、利用者に関する情報および利用者の医療情報が一切含まれていないため、ワンタイムコードが他の端末やアプリケーション等で読み取られて情報漏洩するといったことを防止できる。

さらに、本発明の医療情報証明システム１は、店舗等の利用者の受け入れ時における、ワクチン接種記録の証明、感染症検査の検査結果の証明に用いることができ、感染拡大防止と社会経済活動の両立に貢献することができる。

さらにまた、本実施形態では、ワンタイムコードが一度判定に用いられると、そのワンタイムコードが無効化されて今後の判定に利用できなくなるので、ワンタイムコードの使いまわしを防止することができ、個人の医療情報の不正取得、不正利用を防止することができる。

この発明のコード生成部は上記実施形態のコード生成プログラムおよびこれに従って動作する制御部２１に対応し、第１コード送信部は第１コード送信プログラムおよびこれに従って動作する制御部２１に対応し、コード取得部はコード取得部４４に対応し、第２コード送信部は第２コード送信プログラムおよびこれに従って動作する制御部４１に対応し、判定部は判定プログラムおよびこれに従って動作する制御部２１に対応し、判定結果送信部は判定結果送信プログラムおよびこれに従って動作する制御部２１に対応し、判定結果表示部は判定結果表示プログラムおよびこれに従って動作する制御部４１に対応し、符号画像表示部はコード伝達プログラムおよびこれに従って動作する制御部３１に対応するが、この発明は本実施形態に限られず他の様々な実施形態とすることができる。また、上述の実施形態で挙げた画面および具体的な構成等は一例であり、実際の製品に応じて適宜変更することが可能である。

上述の実施形態では、特定の感染症対策の一環としてワクチンを接種済かどうか、または、感染症検査の結果が陰性かどうかを管理サーバ２に問い合わせるようにしたが、本発明の医療情報証明システム１は、医療従事者、養護教諭、救急隊員等に自身の医療情報を開示したい場合にも適用できる。この場合、医療従事者等は利用者からの有効なワンタイムコードの提示があったときに限り、利用者の医療情報を取得（閲覧）することができる。したがって、利用者が意図しない場合に医療情報が見られてしまうことがなく、個人の医療情報の不正取得、不正利用を防止することができる。

また、上述した実施形態に加えて、利用者が開示する医療情報の種類を選択できるようにしてもよい。たとえば、図１１に示すように、コード表示画面１２０に、ワクチン接種記録情報、検査結果情報、証明書情報、および診療情報のいずれを確認者に開示するかを選択する（切り替える）ための切り替えボタン１２３を設けてもよい。この場合、コード表示画面１２０には、開示する医療情報の種類を表示する開示情報表示部１２４が設けられ、利用者が開示する医療情報の種類を認識することができる。このようにすれば、必要最小限の医療情報を確認者に開示することができ、個人情報の保護を図ることができる。

この発明は、個人の医療情報を証明するような産業に利用することができる。

１…医療情報証明システム
２…管理サーバ
２１…制御部
２２…通信部
２３…補助記憶部
３…利用者端末
３１…制御部
３２…入力部
３３…表示部
４…確認者端末
４１…制御部
４２…入力部
４３…表示部
４４…コード取得部

Claims (7)

1. 利用者の医療情報を記憶する管理サーバと、利用者が使用する利用者端末と、確認者端末とを備える医療情報証明システムであって、
   前記管理サーバは、
   前記利用者端末からの要求を受けて、当該利用者端末を操作する証明対象の利用者の医療情報に紐づけられ、有効時間が設定されたワンタイムコードを生成するコード生成部と、
   前記コード生成部で生成した前記ワンタイムコードを前記利用者端末に送信する第１コード送信部を備え、
   前記確認者端末は、
   前記ワンタイムコードを前記利用者端末から取得するコード取得部と、
   前記コード取得部で取得した前記ワンタイムコードを前記管理サーバに送信する第２コード送信部を備え、
   前記管理サーバは、
   前記第２コード送信部から送信された前記ワンタイムコードに紐づけられた前記証明対象の利用者の医療情報が所定の条件を満たすかどうか判定する判定部と、
   前記判定部で判定した判定結果を前記確認者端末に送信する判定結果送信部をさらに備え、
   前記確認者端末は、
   前記判定結果送信部から送信された前記判定結果を表示する判定結果表示部をさらに備える
   医療情報証明システム。
2. 前記利用者端末は、前記ワンタイムコードが埋め込まれた符号画像を表示する符号画像表示部を備え、
   前記コード取得部は、前記符号画像を撮像する撮像部を有し、前記撮像部で撮像した前記符号画像を復号して前記ワンタイムコードを取得する
   請求項１記載の医療情報証明システム。
3. 前記医療情報は、ワクチンの接種に係るワクチン接種記録情報を有し、
   前記判定部は、前記証明対象の利用者の前記ワクチン接種記録情報から、当該証明対象の利用者が特定の感染症に有効なワクチンを接種済かどうか判定する
   請求項１または２記載の医療情報証明システム。
4. 前記医療情報は、感染症検査の検査結果情報を有し、
   前記判定部は、前記証明対象の利用者の前記検査結果情報から、当該証明対象の利用者が特定の感染症に罹患しているかどうか判定する
   請求項１、２または３記載の医療情報証明システム。
5. 前記確認者端末は、店舗または施設において前記利用者の受け入れの可否を判断する確認者が使用する端末であって、
   前記判定部は、前記証明対象の利用者の医療情報が前記店舗または前記施設の受け入れ条件を満たすかどうか判定する
   請求項１から４のいずれか１つに記載の医療情報証明システム。
6. 前記管理サーバは、前記ワンタイムコードが前記判定部での判定に用いられたときに、当該ワンタイムコードを無効化して今後の判定に利用できなくする無効化部をさらに備える
   請求項１から５のいずれか１つに記載の医療情報証明システム。
7. 利用者の医療情報を記憶する管理サーバと、利用者が使用する利用者端末と、表示部を有する確認者端末とを備える医療情報証明システムにおける医療情報証明方法であって、
   前記管理サーバが、
   前記利用者端末からの要求を受けて、当該利用者端末を操作する証明対象の利用者の医療情報に紐づけられ、有効時間が設定されたワンタイムコードを生成し、
   生成した前記ワンタイムコードを前記利用者端末に送信し、
   前記確認者端末が、
   前記ワンタイムコードを前記利用者端末から取得し、
   取得した前記ワンタイムコードを前記管理サーバに送信し、
   前記管理サーバが、
   前記確認者端末から送信された前記ワンタイムコードに紐づけられた前記証明対象の利用者の医療情報が所定の条件を満たすかどうか判定し、
   判定した判定結果を前記確認者端末に送信し、
   前記確認者端末が
   前記管理サーバから送信された前記判定結果を前記表示部に表示する
   医療情報証明方法。

Images