JP2006244410A - 医用機器における監査ログ管理システム - Google Patents

Abstract

【課題】患者情報を扱う医用機器において、監査ログの安全性を確保し、病院の個人情報の保護機能を補充すること。
【解決手段】患者情報を扱う医用機器において、医用機器内で稼働するアプリケーション１００からの監査ログ記録要求イベントを受け付けるイベント受付手段１１と、イベント受付手段１１が受け取ったイベントを監査ログとして記録するログ記録処理手段１２と、このログ記録処理手段１２の処理状態を記憶する処理状態記憶手段１３と、ログ記録処理手段１２による所定のタイミングの記録が不完全である場合、所定のタイミングで処理状態記憶手段１３が保持するログ記録処理手段１２の処理状態に応じて、監査ログの復旧処理を実行するか否かを管理するログ復旧管理手段１４と、このログ復旧処理管理手段１４からの復旧処理の要求に基づいて監査ログを復旧するログ復旧処理手段１５とを備えた。
【選択図】 図１

Description

病院での医用機器において、医用機器起動中にいつ、誰が、何を、どのように行なったかの内容を監査用ログとして記録し、医用機器内に保存、あるいは外部に転送する監査ログシステムに係り、特に、医用機器に突然発生したシステムダウン後に監査ログを復旧させる医用機器における監査ログ管理システムに関する。

画像診断医用機器、ＨＩＳ（Hospital Information System）、ＲＩＳ（Radiology Information System）、ＰＡＣＳ（Picture archiving communication system）等の医用機器がもつ患者情報は、画像データ等の診断情報に、患者ＩＤあるいは患者名、当該機器に関する情報、疾患名、疾患部位、検査種、撮影等の日時等の付帯情報を付加した情報として管理される。患者情報は、読影担当の医師、病理的診断担当の医師、主事医師等によって必要な情報が適宜読み出され、使用される。各医師は、読み出した患者情報を観察等しながら、自らの所見を別途電子カルテ等に記入することで、医用情報の共有化が実現される。

医用機器では、患者のプライバシー保護の観点から、患者の個人情報が適切に扱われていることを検証するために、監査ログと呼ばれる患者情報管理のための履歴が記録される。ここで、監査ログとは、例えば医用機器において、患者情報を扱ったイベントに関する情報を５Ｗ１Ｈ方式で記録したものである。また、監査ログに関するファイルは、監査ログファイルと呼ばれる。医用機器の起動中に個人情報に対する操作（アクセス）、又はシステム情報に対する操作が行なわれた場合、監査ログファイルにそれら操作に関する内容が漏れなく記録される。その記録に際して、監査ログファイルに個人情報やシステム情報に対する操作内容を記録する。個人情報に対する操作が行なわれる毎に、同ファイルに操作内容を追記していく。

作成された監査ログファイルは、一旦医用機器内に保管される。医用機器内に保管された監査ログファイルは、当該医用機器の管理者又はサービスエンジニアによって、定期的に外部メディアにバックアップされ、外部サーバに転送され、当該医用機器の外部において管理される。ある期間における疑わしい行動を検出する段階で、当該医用機器そのもの又は外部コンピュータ等を利用してバックアップされた監査ログファイルを閲覧することで、監査として利用されている。

なお、医用画像診断装置の特定機能に対しネットワーク経由で誤作動を生じる可能性や患者のプライバシーを侵害する恐れを解消し、利便性を教授する医用画像診断装置及びそのセキュリティ管理方法並びにその保守管理方法が提供されている（例えば、特許文献１参照。）。
特開２００１−３４４３４９号公報

医用機器起動中のシステム情報や患者の個人情報に対する操作が行なわれる毎に、監査ログファイルへのアクセスが頻繁に行なわれることとなる。よって、監査ログファイルへのアクセス中に医用機器の強制終了や強制電源断によるシステムダウンが発生することがある。システムダウンが発生した場合、監査ログファイルに不整合な書き途中のログ（一部欠落した不完全なログ）が記録されたり、ひいては監査ログファイル自体が破壊されたり、また、多くの情報が参照不可能になることもある。患者のプライバシー保護の観点から、監査ログには医用機器の起動中の個人情報に対するアクセスが漏れなく記録される必要があるが、システムダウンの発生から監査ログが復旧されるまでの間のアクセス状況が管理できなかった。

また、システムダウンが発生してアクセス状況の管理が不十分である時間帯が生じた場合、アクセスを記録できなかった旨を当該医用機器の管理者又はサービスエンジニアに伝達する必要がある。

本発明では、上述した事情を考慮してなされたもので、監査ログの安全性を確保し、病院の個人情報の保護機能を補充することができる医用機器における監査ログ管理システムを提供することを目的とする。

本発明に係る医用機器における監査ログ管理システムは、上述した課題を解決するために、患者情報を扱う医用機器において、前記医用機器内で稼働するアプリケーションからの監査ログ記録要求イベントを受け付けるイベント受付手段と、前記イベント受付手段が受け取ったイベントを監査ログとして記録するログ記録処理手段と、前記ログ記録処理手段の処理状態を記憶する処理状態記憶手段と、前記ログ記録処理手段による所定のタイミングの監査ログの記録が不完全である場合、前記所定のタイミングで前記処理状態記憶手段が記憶する前記ログ記録処理手段の処理状態に応じて、前記監査ログの復旧処理を実行するか否かを管理するログ復旧管理手段と、前記ログ復旧処理管理手段からの復旧処理の要求に基づいて監査ログを復旧するログ復旧処理手段とを備えた。

本発明に係る医用機器における監査ログ管理システムによると、監査ログの安全性を確保し、病院の個人情報の保護機能を補充することができる。

本発明に係る医用機器における監査ログ管理システムの実施の形態について、添付図面を参照して説明する。

図１は、本発明に係る医用機器における監査ログ管理システムの実施の形態を示す図である。

図１は、患者情報を扱う医用機器における監査ログ管理システム１０を示す。この監査ログ管理システム１０は、Ｘ線コンピュータ断層医用機器、超音波診断医用機器、磁気共鳴イメージング医用機器、核医学診断医用機器等の画像診断医用機器や、ＨＩＳ（Hospital Information System）、ＲＩＳ（Radiology Information System）、ＰＡＣＳ（Picture archiving communication system）その他の医用機器（医用画像機器に拘泥されず、患者情報を使用する全ての機器を含む）に内蔵されるか、単体の医用機器として、当該医用機器とネットワークを介して接続され使用される。以下、医用機器に内蔵して用いられる監査ログ管理システム１０を例にとって説明する。

また、患者情報は、診断情報と、少なくとも患者ＩＤ（又は患者名）及び検査種を含む付帯情報とから構成されるものとする。よって、通信規格としてＤＩＣＯＭ（Digital Imaging and Communications in Medicine）を用いた場合には、患者情報は、画像に関する情報（診断情報）と、少なくとも患者ＩＤ（又は患者名）及びスタディ（検査種）・ユニークＩＤを含む付帯情報とから構成されることになる。

監査ログ復旧システム１０には、医用機器内で稼働するアプリケーション１００からの監査ログ記録要求イベントを受け付けるイベント受付手段１１と、このイベント受付手段１１からの監査ログ記録要求に応答して、各イベント発生時の監査ログを記録するログ記録処理手段１２と、このログ記録処理手段１２の処理状態を記憶する処理状態記憶手段１３と、ログ記録処理手段１２による所定のタイミングの記録が不完全である場合、所定のタイミングで処理状態記憶手段１３が記憶するログ記録処理手段１２の処理状態に応じて、監査ログの復旧処理を実行するか否かを管理するログ復旧処理管理手段１４と、このログ復旧処理管理手段１４からの復旧の要求に基づいて監査ログファイルを復旧するログ復旧処理手段１５とが備えられる。

ログ記録処理手段１２には、イベント受付手段１１からの監査ログ記録要求に応答した監査ログに関する監査ログファイル及びそれと同種の監査ログ予備ファイルを作成するログファイル作成手段２１と、監査ログファイルの改竄検出を目的として、改竄検出のための仕組みを監査ログファイルに適用するログファイル改竄検出手段２２と、テンポラリファイルとして作成されている監査ログファイルをバックアップ用としてファイル化するログファイルバックアップ手段２３と、バックアップされた監査ログファイルに対して、閲覧権限者のみをアクセス可能とするように監査ログを暗号化するログ暗号化手段２４と、監査ログファイルを圧縮するログファイル圧縮手段２５と、監査ログファイルを格納する外部記憶媒体（図示しない）に監査ログファイルを転送するログファイル転送手段２６とが設けられる。

処理状態記憶手段１３は、ログ記録処理手段１２の処理状態に関する略リアルタイムな情報を刻々記憶することで、ログ記録処理手段１２の処理状態を時系列で監視する。処理状態記憶手段１３は、ログ記録処理手段１２がログ記録を行なっているか、また、ログ記録を行なっている場合はログ記録処理手段１２内の中のどの手段でどのような処理が行なわれているかについての情報を刻々記憶する。なお、処理状態記憶手段１３は、システムの電源断等によってログ記録処理手段１２の処理状態に関する情報を損失したり参照不可になったりすることがないように、ログ記録処理手段１２とは電源を異にする記憶媒体とすることが望ましい。例えば処理状態記憶手段１３として、不揮発性メモリ等の安全性が確保された記憶媒体を用いる。

監査ログ復旧処理の実行時、例えば医用機器のシステムダウン後の再起動時、その再起動処理の中で、ログ復旧処理管理手段１４は、処理状態記憶手段１３に問い合わせを行なう。ログ復旧処理管理手段１４は、所定のタイミング、例えば医用機器のシステムダウン発生直前、のログ記録処理手段１２の処理状態に関する情報を処理状態記憶手段１３から取得する。処理状態記憶手段１３から取得した情報によって、システムダウンがログ記録処理手段１２の非処理中に発生したと判断された場合、ログ復旧処理管理手段１４は、監査ログファイルの復旧処理は不要と判断し、医用機器の一般的な再起動処理を実行する。

ログ復旧処理手段１５には、ログファイル復旧手段３１、ログファイル改竄検出手段３２、ログファイルバックアップ手段３３、ログ暗号化手段３４、ログファイル圧縮手段３５及びログファイル転送手段３６が具備される。処理状態記憶手段１３から取得した情報によって、医用機器のシステムダウンがログ記録処理手段１２の処理中に発生したと判断された場合、ログ復旧処理管理手段１４は、ログ記録処理手段１２内のどの手段の処理中にシステムダウンが発生したかを識別する。そして、システムダウン発生直前のログ記録処理手段１２の処理状態によって、ログ復旧処理管理手段１４は、ログ復旧処理手段１５内のログファイル復旧手段３１、ログファイル改竄検出手段３２、ログファイルバックアップ手段３３、ログ暗号化手段３４、ログファイル圧縮手段３５及びログファイル転送手段３６のうち少なくとも１手段に監査ログファイルの復旧処理を要求する。その場合、医用機器の再起動の中で、監査ログの復旧処理を実行する。

ログファイル復旧手段３１は、ログ復旧処理管理手段１４からの復旧処理の要求に基づいて、ログ記録処理手段１２の監査ログファイル及び監査ログ予備ファイルを利用して、記録が不完全であり監査ログの一部を欠くログメッセージを取り除いて監査ログファイルをリストアし、監査ログファイルを復旧する。

ログファイル改竄検出手段３２は、ログ復旧処理管理手段１４からの復旧処理の要求に基づいて、監査ログファイルの改竄検出を目的として、改竄検出のための仕組みを監査ログファイルに適用する。ログファイル改竄検出手段３２は、メッセージダイジェスト付加やチェックサム等、監査ログファイルの一貫性を検証できる機能を有している。

ログファイルバックアップ手段３３は、ログ復旧処理管理手段１４からの復旧処理の要求に基づいて、監査ログファイルをバックアップ用としてファイル化して、監査ログバックアップファイルを生成する。なお、ログ記録処理手段１２のログファイルバックアップ手段２３がイベント発生時に生成する監査ログバックアップファイルと、ログファイルバックアップ手段３３で生成する監査ログバックアップファイルは明確に区別されることが望ましく、ログファイルバックアップ手段３３で生成する監査ログバックアップファイルを、ログファイルバックアップ手段２３が生成する監査ログバックアップファイルとは異なるディレクトリに保存する。又は、ログファイルバックアップ手段３３で生成する監査ログバックアップファイルを、ログファイルバックアップ手段２３が生成する監査ログバックアップファイルとは異なる命名規則にて保存する。

ログ暗号化手段３４は、ログ復旧処理管理手段１４からの復旧処理の要求に基づいて、監査ログバックアップファイルに対して、閲覧権限者のみをアクセス可能とするように監査ログを暗号化する。

ログファイル圧縮手段３５は、ログ復旧処理管理手段１４からの復旧処理の要求に基づいて、監査ログファイルを圧縮する。

ログファイル転送手段３６は、ログ復旧処理管理手段１４からの復旧処理の要求に基づいて、監査ログファイルを格納するための外部記憶媒体に監査ログファイルを転送する。

続いて、イベント発生時、医用機器における監査ログ管理システム１０で実行される各処理の流れを、図２に示されたフローチャートを用いて説明する。

医用機器を用いて検査を行なう際、医用機器の起動、患者の登録、患者の検査画像の保存、患者の検査画像の閲覧等、システム情報や患者の個人情報へのアクセスが適宜行なわれる。アクセスが行なわれた際、医用機器内の該当操作対象のアプリケーション１００によって、それぞれ監査ログ発行イベントが発行される。

監査ログ管理システム１０では、イベント受付手段１１を介してアプリケーション１００からの監査ログ記録要求イベントが受け付けられる（ステップＳ１）。イベントが発行されるとログ記録処理手段１２に通常処理が要求され、ログ記録処理手段１２に設けるログファイル作成手段２１で監査ログに関する監査ログファイルとそれと同種の監査ログ予備ファイルが作成され（ステップＳ２）、ログファイル改竄検出手段２２で前記監査ログファイルの改竄検出を目的として、改竄検出のための仕組みが監査ログファイルに適用される（ステップＳ３）。次いで、ログファイルバックアップ手段２３でテンポラリファイルとして作成されている監査ログファイルをバックアップ用としてファイル化して監査ログバックアップファイルが生成され（ステップＳ４）、ログ暗号化手段２４で監査ログバックアップファイルに対して、閲覧権限者のみをアクセス可能とするように監査ログが暗号化される（ステップＳ５）。次いで、ログファイル圧縮手段２５で監査ログファイルが圧縮され（ステップＳ６）、ログファイル転送手段２６で監査ログファイルを格納するための外部記憶媒体に監査ログバックアップファイルが転送される（ステップＳ７）。

処理状態記憶手段１３は、ログ記録処理手段１２の処理状態に関する略リアルタイムな情報を刻々記憶することで、ログ記録処理手段１２の処理状態を時系列で監視する。処理状態記憶手段１３は、ログ記録処理手段１２がログ記録を行なっているか、また、ログ記録を行なっている場合はログ記録処理手段１２内のどの手段が実行されているかの情報を時系列で記憶する（ステップＳ８）。

続いて、医用機器の強制終了あるいは停電等によるシステムダウン発生時、医用機器における監査ログ管理システム１０で実行される各処理の流れを、図３に示されたフローチャートを用いて説明する。

医用機器起動中には、医師や医用検査技師等の医用診断機器ユーザによって行なわれる検査／診断／読影／レポート等の作業中に患者情報に対する操作が頻繁に発生するため、監査ログファイルへのアクセス中にシステムがダウンして監査ログファイルが破壊される等の問題が発生することがある。

処理状態記憶手段１３では、システムダウン発生直前に至るまでのログ記録処理手段１２の処理状態が時系列で記憶されているので、処理状態記憶手段１３には、システムダウンの発生直前、ログ記録処理手段１２がどのような処理状態にあったかに関する情報が記憶されている。

監視ログ復旧処理の実行時、例えば医用機器のシステムダウン発生後の再起動時、その再起動処理の中で、ログ復旧処理管理手段１４は、処理状態記憶手段１３に問い合わせを行なう（ステップＳ９）。ログ復旧処理管理手段１４では、所定のタイミング、例えば医用機器のシステムダウン発生直前、におけるログ記録処理手段１２の処理状態に関する情報が取得される（ステップＳ１０）。処理状態記憶手段１３から取得したシステムダウン直前の情報によって、ログ復旧処理管理手段１４は、システムダウンがログ記録処理手段１２の非処理中に発生したのか処理中に発生したのかを判断する（ステップＳ１１）。システムダウンがログ記録処理手段１２の非処理中に発生したと判断された場合、監査ログファイルの復旧処理は不要と判断され、医用機器の一般的な再起動処理が実行される。

一方、処理状態記憶手段１３から取得した情報によって、ログ復旧処理管理手段１４は、システムダウンがログ記録処理手段１２の処理中に発生したと判断した場合、ログ記録処理手段１２内のどの手段の処理中にシステムダウンが発生したかによって、ログファイル復旧手段３１、ログファイル改竄検出手段３２、ログファイルバックアップ手段３３、ログ暗号化手段３４、ログファイル圧縮手段３５及びログファイル転送手段２６のうち少なくとも１手段に監査ログファイルの復旧処理が要求される。その場合、医用機器の再起動の中で、監査ログファイルの復旧処理が実行される。なお、起動処理の中で監査ログの復旧を実施する場合に限定されるものではない。

例えば、ログ復旧処理管理手段１４によって、監査ログファイルへのログメッセージ記録処理中にシステムダウンが発生したと判断された場合、ログ復旧処理管理手段１４からログ復旧処理手段１５のログファイル復旧手段３１に復旧処理が要求される（ステップＳ１２）。ログ記録処理手段１２における監査ログファイルへのログメッセージ記録処理中にシステムダウンが発生した場合、監査ログファイルの末尾には、記録が不完全なログメッセージが残ることになり、監査ログファイルに不整合が発生する可能性がある。また、システムダウンが監査ログファイルへのログメッセージ記録処理中に発生した場合、ファイルへのアクセス中なので、監査ログファイルが破壊されることもある。

よって、ログファイル復旧手段３１に復旧処理が要求されると、ログファイル復旧手段３１では、処理状態記憶手段１３が記憶するシステムダウン発生直前の監査ログファイル及び監査ログ予備ファイルを利用して、記録が不完全なログメッセージを取り除いて監査ログファイルがリストアされる（ステップＳ１３）。具体的には、医用装置再起動中に監査ログ予備ファイルによって、監査ログファイルの内容を上書きすることにより、監査ログファイルの復旧処理が実行される。

また、例えば、ログ復旧処理管理手段１４によって、ログメッセージの記録が完了し、そのログメッセージに対して改竄の検出のための仕組みを追記するために監査ログファイルを解析している最中にシステムダウンが発生したと判断した場合、ログ復旧処理管理手段１４からログ復旧処理手段１５のログファイル改竄検出手段３２に復旧処理が要求される（ステップＳ１４）。ログファイル改竄検出手段３２に復旧処理が要求されると、ログファイル改竄検出手段３２では、監査ログファイルの改竄検出を目的とした改竄の検出のための仕組みが監査ログファイルに適用される（ステップＳ１５）。ログファイル改竄検出手段３２は、メッセージダイジェスト付加やチェックサム等、監査ログファイルの一貫性を検証できる機能を有していればよい。ログファイル改竄検出手段３２では、監査ログファイルが再解析され、その解析結果が監査ログに追記される。

また、解析後に解析結果を監査ログファイルに付与している最中にシステムダウンが発生した場合、ログファイル改竄検出手段３２では、まず、記録が不完全な解析結果のログメッセージが取り除かれ、監査ログファイルが記録前の状態にリストアされる。次いで、ログファイル改竄検出手段３２では、監査ログファイルが再解析され、その解析結果が監査ログに追記される。

さらに、ログ復旧処理管理手段１４によって、テンポラリファイルとして作成されている監査ログファイルからバックアップ用へのファイルにファイル化処理中にシステムダウンが発生したと判断された場合、ログ復旧処理管理手段１４からログ復旧処理手段１５のログファイルバックアップ手段３３に復旧処理が要求される（ステップＳ１６）。ログファイルバックアップ手段３３に復旧処理が要求された場合、ログファイルバックアップ手段３３では、バックアップ用として装置操作者に見える形に監査ログファイルがファイル化され、監査ログバックアップファイルが生成される（ステップＳ１７）。

なお、ログ記録処理手段１２のログファイルバックアップ手段２３がイベント発生時に生成する監査ログバックアップファイルと、ログファイルバックアップ手段３３で生成する監査ログバックアップファイルとは明確に区別されることが望ましい。その場合、ログファイルバックアップ手段３３で生成する監査ログバックアップファイルが、ログファイルバックアップ手段２３で生成する監査ログバックアップファイルと異なるディレクトリに保存される。又は、ログファイルバックアップ手段３３で生成する監査ログバックアップファイルが、ログファイルバックアップ手段２３で生成する監査ログバックアップファイルと異なる命名規則にて保存される。

例えば、ログ記録処理手段１２のログファイルバックアップ手段２３が生成する監査ログバックアップファイルの保存ディレクトリが『*:\AuditLog\BackUp』の場合、ログファイルバックアップ手段３３で生成する監査ログバックアップファイルの保存ディレクトリを『*:\AuditLog\BackUp\CorruptBackUp』とすることで、両者を明確に区別することができる。又は、ログファイルバックアップ手段２３が生成する監査ログバックアップファイルの保存ファイル名が『AuditLog.yyyymmddhhmmsssss』の場合、ログファイルバックアップ手段３３で生成する監査ログバックアップファイル名を『Corrupt_AuditLog.yyyymmddhhmmsssss』とすることで、両者を明確に区別することができる。また、監査ログバックアップファイル名には、生成時間を付与することもでき、その場合、ファイルの管理が容易となる。なお、ログファイルバックアップ手段３３の処理は、ログファイル改竄検出手段３２の処理と連携して行なわれてもよい。

加えて、ログ復旧処理管理手段１４によって、バックアップされた監査ログファイルに対して、閲覧権限者のみをアクセス可能とするような監査ログの暗号化処理中にシステムダウンが発生したと判断された場合、ログ復旧処理管理手段１４からログ復旧処理手段１５のログ暗号化手段３４に復旧処理が要求される（ステップＳ１８）。ログ暗号化手段３４に復旧処理が要求された場合、ログ暗号化手段３４では、バックアップされた監査ログファイルについて、閲覧権限者のみをアクセス可能とするように監査ログが暗号化される（ステップＳ１９）。なお、ログ暗号化手段３４の処理は、ログファイル改竄検出手段３２、ログファイルバックアップ手段３３、ログファイル圧縮３５及びログファイル転送手段３６の処理と連携して行なわれてもよい。

また、ログ復旧処理管理手段１４によって、監査ログファイルの圧縮処理中にシステムダウンが発生したと判断された場合、ログ復旧処理管理手段１４からログ復旧処理手段１５のログファイル圧縮手段３５に復旧処理が要求される（ステップＳ２０）。ログファイル圧縮手段３５に復旧処理が要求された場合、ログファイル圧縮手段３５では、監査ログファイルが圧縮される（ステップＳ２１）。

さらに、ログ復旧処理管理手段１４によって、監査ログファイルを格納する外部記憶媒体への監査ログファイルの転送処理中にシステムダウンが発生したと判断された場合、ログ復旧処理管理手段１４からログ復旧処理手段１５のログファイル転送手段３６に復旧処理が要求される（ステップＳ２２）。ログファイル転送手段３６に復旧処理が要求された場合、ログファイル転送手段３６は、監査ログファイルを格納する外部記憶媒体に監査ログファイルを転送する（ステップＳ２３）。

なお、ログファイル圧縮手段３５及びログファイル転送手段３６の処理は、ログファイル改竄検出手段３２、ログファイルバックアップ手段３３又はログ暗号化手段３４の処理と連携して行なわれてもよい。

ここで、医用機器における監査ログ管理手段１０のログ復旧処理手段１５には、ログファイル復旧手段３１で復旧された監査ログファイルに、監査ログ記録が正常に終了しなかった旨と、所定のタイミングから前記監査ログの復旧処理実行時までの監査ログを残せなかった時間情報とのうち少なくとも一方をメッセージとして付加するメッセージ付加手段４０が具備されると共に、このメッセージ付加手段４０で付加したメッセージをログ復旧処理管理手段１４の要求により表示するメッセージ表示手段４１が設けられる。

監査ログを残せなかった時間情報を得るために、処理状態記憶手段１３に、ログ記録処理手段１２内の各手段における処理状態の情報として、例えば、
（イ）ログ記録処理手段１２のAvailability（正常運転状態又は縮退運転状態）
の情報を記憶させる。（イ）として正常運転状態の情報が記憶される場合、
（ロ）ログ記録処理手段１２が正常運転状態である場合の監査ログの記録処理が開始された時間（Start_TimeStamp）
が記憶される一方、（イ）として縮退運転状態の情報が記憶される場合、
（ハ）ログ記録処理手段１２が縮退運転状態である場合の、その原因となったトラブルが発生した時間（Start_TimeStamp_Degenerate）
が記憶される。

処理状態記憶手段１３にはログ記録処理手段１２に関する（イ）の情報が記憶されているので、その（イ）の情報によってログ復旧処理管理手段１４は、システムの再起動処理の中で、（ロ）の情報又は（ハ）の情報を取得する。

ログ記録処理手段１２の正常運転状態でシステムダウンが発生した場合は、ログファイル復旧手段３１では、所定のタイミングであるシステムダウン発生直前の（ロ）の情報が取得される。その場合、ログファイル復旧手段３１によって監査ログファイルが復旧され（ステップＳ１３）、その復旧された監査ログファイルに、図４に示すようなメッセージがメッセージ付加手段４０によって付加される。ここで付加されるメッセージは、処理状態記憶手段１３に記憶された（ロ）の情報と、付加を行なった時間（End_TimeStamp）の情報とからなる。よって、ログ記録処理手段１２の処理が開始された時間からメッセージが付加される時間までの監査ログの記録を行なえなかった時間情報が、監査ログを残せなかった時間情報として、復旧された監査ログファイルに付加されることになる。

一方、ログ記録処理手段１２のトラブル発生後の縮退運転状態でシステムダウンが発生した場合は、ログファイル復旧手段３１では、所定のタイミングであるシステムダウン発生直前の（ハ）の情報が取得される。その場合、監査ログファイルに、図５に示すようなメッセージがメッセージ付加手段４０によって付加される。ここで付加されるメッセージは、処理状態記憶手段１３に記憶された（ハ）の情報と、付加を行なった時間（End_TimeStamp）の情報とからなる。よって、ログ記録処理手段１２のトラブルが発生した時間からメッセージが付加される時間までの監査ログの記録を行なえなかった時間情報が、監査ログを残せなかった時間情報として、監査ログファイルに付加されることになる。

メッセージ表示手段４１では、ログ復旧処理管理手段１４からメッセージ表示を要求された場合、メッセージ付加手段４０で付加したメッセージから表示用のメッセージが作成される。よって、メッセージ表示手段４１の画面上には、ログ記録が正常に終了しなかった旨と、システムダウン発生時又はトラブル発生時から監査ログの復旧処理実行時までのログを残せなかった時間情報とが表示される。また、メッセージ表示手段４１の画面上には、（イ）の情報が表示される。

また、メッセージ表示手段４１に、監査ログの復旧を実行させるタイミングをユーザに選択させるＧＵＩ（Graphical User Interface）を備えてもよい。例えば、緊急検査を行なう場合等、起動処理に時間がかかることが致命的となるこも考えられるので、ユーザがＧＵＩを操作することにより、監査ログを手動復旧させるようにする。その場合、ユーザはメッセージ表示手段４１から「監査ログの自動復旧処理をスキップ」を選択し、検査終了後に復旧処理を実行することができる。

図１に示された医用機器における監査ログ管理手段１０によると、突然のシステムダウンの発生によって引き起こされる監査ログデータの破壊や監査ログデータの不整合から監査ログを自動又は手動復旧することが可能となるので、監査ログの安全性を確保し、病院の個人情報の保護機能を補充することができる。

また、医用機器における監査ログ管理手段１０によると、システムダウン発生による監査ログ不全の詳細についてユーザに通知することが可能となるので、監査ログの安全性を確保し、病院の個人情報の保護機能を補充することができる。

本発明に係る医用機器における監査ログ管理システムの実施の形態を示す図。 イベント発生時、本発明に係る医用機器における監査ログ管理システムで実行される各処理の流れを示すフローチャート。 システムダウン発生時、本発明に係る医用機器における監査ログ管理システムで実行される各処理の流れを示すフローチャート。 システムダウン発生時から監査ログの復旧処理実行時までの時間情報のメッセージ。 トラブル発生時から監査ログの復旧処理実行時までの時間情報のメッセージ。

符号の説明

１０ 医用機器における監査ログ管理システム
１１ イベント受付手段
１２ ログ記録処理手段
１３ 処理状態記憶手段
１４ ログ復旧処理管理手段
１５ ログ復旧処理手段
２１ ログファイル作成手段
２２，３２ ログファイル改竄検出手段
２３，３３ ログファイルバックアップ手段
２４，３４ ログ暗号化手段
２５，３５ ログファイル圧縮手段
２６，３６ ログファイル転送手段
３１ ログファイル復旧手段
４０ メッセージ付加手段
４１ メッセージ表示手段

Claims (14)

1. 患者情報を扱う医用機器において、
   前記医用機器内で稼働するアプリケーションからの監査ログ記録要求イベントを受け付けるイベント受付手段と、
   前記イベント受付手段が受け取ったイベントを監査ログとして記録するログ記録処理手段と、
   前記ログ記録処理手段の処理状態を記憶する処理状態記憶手段と、
   前記ログ記録処理手段による所定のタイミングの監査ログの記録が不完全である場合、前記所定のタイミングで前記処理状態記憶手段が記憶する前記ログ記録処理手段の処理状態に応じて、前記監査ログの復旧処理を実行するか否かを管理するログ復旧管理手段と、
   前記ログ復旧処理管理手段からの復旧処理の要求に基づいて監査ログを復旧するログ復旧処理手段とを備えたことを特徴とする医用機器における監査ログ管理システム。
2. 前記ログ記録処理手段に、前記監査ログに関する監査ログファイル及びそれと同種の監査ログ予備ファイルを作成するログファイル作成手段を設けると共に、前記ログ復旧処理手段に、前記監査ログ予備ファイルによって前記監査ログファイルの内容を上書きして前記監査ログファイルを復旧するログファイル復旧手段を具備したことを特徴とする請求項１に記載の医用機器における監査ログ管理システム。
3. 前記ログファイル復旧手段にて復旧された監査ログファイルに、前記監査ログの記録が正常に終了しなかった旨と、前記所定のタイミングから前記監査ログの復旧処理実行時までのログを残せなかった時間情報とのうち少なくとも一方をメッセージとして付加するメッセージ付加手段を前記ログ復旧処理手段に具備したことを特徴とする請求項２に記載の医用機器における監査ログ管理システム。
4. 前記メッセージ付加手段で付加したメッセージを表示するメッセージ表示手段を設けたことを特徴とする請求項３に記載の医用機器における監査ログ管理システム。
5. 前記メッセージ表示手段に、前記監査ログの復旧処理を実行させるタイミングを選択するためのＧＵＩを備えたことを特徴とする請求項４に記載の医用機器における監査ログ管理システム。
6. 前記ログ記録処理手段に、前記監査ログファイルの改竄検出を目的として、改竄検出のための仕組みを前記監査ログファイルに適用するログファイル改竄検出手段を設けると共に、前記ログ復旧処理手段に、前記ログファイル改竄検出手段を具備したことを特徴とする請求項２に記載の医用機器における監査ログ管理システム。
7. 前記ログファイル改竄検出手段は、メッセージダイジェスト付加機能又はチェックサム機能を有することを特徴とする請求項６に記載の医用機器における監査ログ管理システム。
8. 前記ログ記録処理手段に、テンポラリファイルとして作成されている前記監査ログファイルをバックアップ用としてファイル化して監査ログバックアップファイルを生成するログファイルバックアップ手段を設けると共に、前記ログ復旧処理手段に、前記ログファイルバックアップ手段を具備したことを特徴とする請求項２に記載の医用機器における監査ログ管理システム。
9. 前記ログ復旧処理手段のログファイルバックアップ手段で生成した監査ログバックアップファイルを、前記ログ記録処理手段のログファイルバックアップ手段で生成した監査ログバックアップファイルとは異なるディレクトリに保存することを特徴とする請求項８に記載の医用機器における監査ログ管理システム。
10. 前記ログ復旧処理手段のログファイルバックアップ手段で生成した監査ログバックアップファイル名を、前記ログ記録処理手段のログファイルバックアップ手段で生成した監査ログバックアップファイル名と異なる名前で記録することを特徴とする請求項８に記載の医用機器における監査ログ管理システム。
11. 前記監査ログバックアップファイル名に生成時間を付与することを特徴とする請求項１０に記載の医用機器における監査ログ管理システム。
12. 前記ログ記録処理手段に、前記監査ログバックアップファイルに対して閲覧権限者のみをアクセス可能とするように監査ログを暗号化するログ暗号化手段を設けると共に、前記ログ復旧処理手段に、前記ログ暗号化手段を具備したことを特徴とする請求項８に記載の医用機器における監査ログ管理システム。
13. 前記ログ記録処理手段に、前記監査ログファイルを圧縮するログファイル圧縮手段を設けると共に、前記ログ復旧処理手段に、前記ログファイル圧縮手段を具備したことを特徴とする請求項２に記載の医用機器における監査ログ管理システム。
14. 前記ログ記録処理手段に、前記監査ログファイルを格納するための記憶媒体に前記監査ログバックアップファイルを転送するログファイル転送手段を設けると共に、前記ログ復旧処理手段に、前記ログファイル転送手段を具備したことを特徴とする請求項２に記載の医用機器における監査ログ管理システム。

Images