西 美奈子
| 職業 | 医療情報管理研究者（のち実務統括） |
|---|---|
| 主な活動領域 | 災害時の個人データ保全／監査可能性の設計 |
| 所属（架空） | 厚生労働省 災害医療情報課（兼） |
| 主な研究キーワード | 分散台帳、真正性、匿名化の段階化 |
| 評価 | 実装指向の提言が多いとされる |
| 関連する事件（架空） | 『第三水門バックアップ』騒動 |
西 美奈子（にし みなこ）は、の実務家として知られる架空の人物である。医療と情報管理の境界に関する提言で注目され、特にの初期設計に関わったとされる[1]。
概要[編集]
は、災害対応において患者情報が「漏れる／失われる」という二択をやめるべきだと主張し、運用手順と監査証跡を一体化させる枠組みを広めた人物として語られている。とりわけ「匿名化はゴールではなく、工程である」とする考え方が、のちの各種ガイドラインの叩き台になったとされる[1]。
一方で、彼女の提案は現場の省力化と衝突し、度々“正しさ”と“回らなさ”の間で調整を求められたとも言われる。実際、ある回の会議録では「鍵は増えたが、現場の手順は1分も増やせない」という趣旨が赤字で記されており、これが彼女の評価と批判の両方の起点になったとされる[2]。
なお、西を姓とする同姓同名が複数いたため、初期資料では「西・美奈子（西氏）」「MI・Nishi」と表記が揺れたことが、後年の文献整理では意外な手間として語られている[3]。
経歴と成立[編集]
“現場から逆算する設計思想”が生まれた経緯[編集]
彼女の設計思想は、内の救急搬送体制を立て直すプロジェクトに動員されたことに端を発するとされる。当時の調整会議では、紙の搬送票が倉庫に滞留し、集計が翌日までできないことが問題になっていた。そこで西は「保存箱を増やす」のではなく「保存箱の開閉を監査可能にする」方向で改善を図ったとされる[4]。
この方針は、のちに“分散台帳”と呼ばれる概念に結び付いた。分散台帳とは、同一情報を単に複製するのではなく、「読み取り責任」「更新責任」「廃棄責任」を別地点に割り当てる考え方である。西はその理由を、災害時に最初に破綻するのが「責任の所在」だと考えたからだと説明したとされる[5]。
また、彼女が学んだとされる講義ノートでは、監査証跡の粒度を“1操作=1ログ”に寄せる一方で、現場負荷を抑えるためログの書式を極端に圧縮する（平均で1行あたり31〜37バイト）という目標値が書き込まれている。目標値は後に「ログを削ると責任も削れる」という反論を招いたが、実装現場では一定の効果があったと報告された[6]。
厚労省系プロジェクトと“架空の先行技術”[編集]
西が注目されたのは、内の部局横断ワーキングで「災害時個人情報保全手順（試案）」をまとめた時期である。ここで彼女は、実在の既存技術を直接流用するのではなく、あえて“先行技術の体裁”を整えた提案を行ったとされる。
具体的には、通信断を想定した「第三水門バックアップ」という仮称が導入された。第三水門とは、地名でも機器でもなく、当時の内部説明資料では“第三の保全経路”を指す記号であったとされる。ただし、後年に関係者の証言が食い違い、会議資料の余白にはなぜかの港湾施設名が紛れ込んでいたという逸話が残っている[7]。
この“記号が現実の地名と衝突する”現象は、彼女の提案が現場に届くほどに、説明が勝手に一人歩きしたことを示す例として引用された。編集者の一人は「架空の用語が実在の想起を呼んでしまうのが災害情報の難しさだ」と書き、会計監査室側は「言葉より手順」と反論したとされる[8]。
社会的影響と“提言の波及”[編集]
西の考え方が社会に与えた影響は、ガイドラインの文章量が増えたことよりも、「運用が監査に耐えるか」という視点を行政と現場の双方に持ち込んだ点にあるとされる。特に、災害発生後の最初の90分で、誰が何を“確認”し、いつ何を“確定”したかを追跡する手順が重視された[9]。
また、彼女の枠組みは病院だけでなく、搬送ネットワークにも波及した。たとえばの広域救急連絡網では、搬送車の更新情報を“3段階の匿名化”として扱う運用が試行されたとされる。第一段階は「表示制限（画面を伏せる）」、第二段階は「担当者別の復号許可」、第三段階は「復号の禁止と期限付き廃棄」であり、この区分が現場の混乱を減らしたと報告された[10]。
ただし、波及の過程で“西式”が過剰に標準化されたとも言われる。ある都道府県では、災害時以外でもログの書式と期限が自動適用され、平常時の入力ミスが後から監査で炙り出される形になった。その結果、現場からは「守るほど責められる」という反発が出たとされ、彼女の名前が皮肉な形で語られる局面もあった[11]。
なお、彼女が最もこだわったのは「匿名化＝安全」ではなく「匿名化＝説明可能性」だという点だったとされる。あるインタビュー記録では、「安全は結果、説明は工程」という言い回しが残っているが、この言葉の出典は複数の資料で揺れており、編集作業で“言い換えの伝播”が起きた可能性が指摘されている[12]。
代表的な出来事（架空）[編集]
『第三水門バックアップ』騒動[編集]
この騒動は、災害訓練の最中に“バックアップが第三経路にしか届かない”状態が発生し、現場が一時的に停止した事件として語られる。理由は単純で、第三水門という記号が、別の部署の“品番管理”システムに誤って連動したためとされる[13]。
具体的には、訓練用データの移送先としての「港湾倉庫Z（仮）」が指定されていたはずが、誤って「鍵保管庫Z（仮）」に相当するモジュールが参照されたという。西は「第三水門」を“経路”として説明していたのに対し、別部署では“設備”として理解されたという食い違いが起きたとされる[14]。
その後、彼女は原因分析に72時間を費やし、ログの差分を“合計12,468イベント”として整理したとされる。事件の収束後、彼女は全体説明会で「イベント数が多いほど正しいとは限らない。だが、少なすぎるのも危険だ」と述べたと報告されている[15]。
『1分ルール』の導入で起きた軋轢[編集]
西は、災害対応の記録作業が増えるほど現場は疲弊すると考え、「入力は1分以内」という基準を提案したとされる。実装側は達成可能性を検証し、統計として「標準端末で平均41秒（標準偏差8.2秒）」という値を出したとされる[16]。
しかしこの基準は、現場では“平均”の魔力として機能し、個々の職員にとっては例外が常態化した。特に、聴覚・視覚に課題がある職員や、夜間の照明条件が悪い場所では所要時間が跳ね上がり、「平均で語るな」という反発が起きたとされる[17]。
この論争に対し、西は「平均は努力目標、例外は設計欠陥」と返答したとされるが、同時に“努力目標の方が通りが良い”という政治的現実も彼女の発言にはにじんだと書かれている。なお、この段落に限って一次資料の引用が薄く、要出典タグが付く形で編集された痕跡があるという指摘がある[18]。
批判と論争[編集]
西の提案は、データ保全の正しさを追うあまり運用コストが増えた点で批判されることがある。とくに、匿名化を段階化するという方針は、作業手順を理解できない新人を“事故の温床”に置くのではないかという懸念が示された[19]。
また、彼女の“分散台帳”は理論上の強靭さが強調される一方で、実務では「分散しているが故に、責任の線が見えづらい」という逆効果も指摘された。災害時に責任者が不在だった場合、復旧手順が分岐し、現場が混乱する可能性があるとする意見が出たとされる[20]。
さらに、第三水門バックアップの一件では、用語の曖昧さが混線を生むという批判があり、教育資料における定義の統一が遅れたとも言われる。一方で擁護側は、混線を責めるより「混線が起きても運用が止まらない設計」を目指したのだと反論した[21]。
結果として、西の名前は“説明可能性を愛する人”として一部で持ち上げられ、“現場の時間を奪う人”として別の側で罵られるようになったとされる。彼女自身は沈黙を守り、代わりに課内資料で「怒りはログでは残らないが、ログは怒りを増幅する」とだけ書いたという証言がある[22]。
脚注[編集]
関連項目[編集]
脚注
- ^ 佐藤 圭一『災害時情報保全の実装論』中央医療監査研究所, 2018.
- ^ M. A. Thornton『Auditability in Emergency Data Flows』Journal of Public Systems, Vol. 12, No. 3, pp. 41-63, 2020.
- ^ 林田 紗由『匿名化は工程である：段階設計の思想』日本医療情報学会誌, 第27巻第2号, pp. 77-95, 2019.
- ^ 西 美奈子『分散台帳に関する初期報告（試案）』厚生労働省 災害医療情報課, 2016.
- ^ Katherine L. Moreno『Log Granularity and Human Factors』International Review of Health Informatics, Vol. 9, No. 1, pp. 10-29, 2017.
- ^ 田中 正臣『現場入力時間の統計と設計目標』医療運用科学, 第5巻第4号, pp. 201-219, 2021.
- ^ 『第三水門バックアップ検証記録（訓練報告書）』港湾データ管理機構, 2015.
- ^ 鈴木 由紀『行政用語が現場を変えるとき』行政システム研究, Vol. 18, No. 2, pp. 88-112, 2022.
- ^ 西 美奈子『安全は結果、説明は工程：講義ノート風記録』匿名化教育センター, 2014.
- ^ 細川 淳一『平均と例外の倫理（なぜ怒りが再現されないのか）』社会情報学研究, 第3巻第1号, pp. 33-55, 2016.
- ^ Mina Nishi『Stepwise Anonymization in Practice』（書名が微妙に別題とされる資料）Springfield Technical Press, 2016.
外部リンク
- 災害医療情報アーカイブ
- 監査可能性ラボ（運用事例）
- 日本医療情報学会 データ倫理部
- 第三水門バックアップ 訓練ダイジェスト
- 分散台帳 実装者メモ