JP2007179464A - 監査ログ管理システム - Google Patents

Abstract

【課題】 医療機器モダリティそれぞれの収集する監査ログデータの保管容量限界を低く抑えて、収集及び記録保存が安定に行われて、収集した監査ログデータの提示用出力が簡便に行える監査ログの管理システムを提供すること。
【解決手段】 自機の監査ログ情報を作成する複数の医療機器モダリティに、限定されたネットワークを介して接続する監査ログ管理サーバと、前記各モダリティにおいて作成された監査ログ情報それぞれを、予め設定したタイミング毎に、前記ネットワーク及び監査ログ管理サーバを介して転送し、監査ログ一括記憶部の所定領域に識別して記憶する監査ログ一括記録手段と、前記監査ログ一括記録手段の前記所定領域に記録された監査ログ情報を検索して、所定の項目を含む監査ログリストを出力、表示する監査ログ表示手段とを具備することを特徴とする監査ログ管理システム。
【選択図】 図１

Description

本発明は、医療機関において、医療機器に対して法的機関から要求される監査ログを提供する技術に関する。

医療機関においては、X線画像装置、ＣＴ画像装置、超音波画像装置、ＭＲ画像装置、内視鏡画像装置、検体検査装置、血液分析装置、検査オーダ装置などの、種々の医療用機器が利用されている。これ等の機器により収集された被検者の個人情報を含む医用情報は、電子的な処理により、さらに画像管理システム（ＰＡＣＳ）、放射線情報システム（ＲＩＳ）、病院情報システム（ＨＩＳ）などの画像管理システムとデータの交換を行っている。なお、本願明細書においては、被検者とは、患者を含む上記の医療用機器の対象となる人を、ここでは総称する。

一方、これ等の医用機器により得た医用データにより、診断を受ける被検者に対するセキュリティあるいはプライバシーの保護規定が、整備、制定されて、医用機器で診断された被検者の個人情報はもちろん、機器の操作の情報も記録として残した操作ログ情報を、法的機関からの要求に応じて呈示、提出することが義務付けられるようになった。このため、先行しているＨＩＰＡＡ法（米国法、Ｈｅａｌｔｈ Ｉｎｓｕｒａｎｃｅ Ｐｏｒｔａｂｉｌｉｔｙ ａｎｄ Ａｃｃｏｕｎｔａｂｉｌｉｔｙ Ａｃｔ）に適応した監査ログの出力機能が、X線画像装置、ＣＴ画像装置、超音波画像装置、ＭＲ画像装置、内視鏡画像装置などの他、さらに検体検査装置、血液分析装置、検査オーダ装置などの医療用機器（本願では、以降、これ等をモダリティと総称する）毎に、装備されることが一般的に行われている（例えば、保守管理に利用する機器の使用状況に関するログデータの作成について、特許文献１参照。）。この監査ログは、これら対象となる装置・機器の操作・作動の記録である操作ログの一部で構成され、そのログデータは、１）装置をログイン／ログアウトした操作者識別とその時刻。２）オリジナル作成操作者以外の操作者識別とその操作内容、特に削除あるいは書き換え。３）データの外部出力先およびその操作者識別。などを主として構成されている。

しかしながら、従来、実施時期が不定である監査の性質上、監査の実施が指示された場合に、病院側の対応は、各モダリティを担当している検査技師、あるいはこれ等のシステムの担当者が、モダリティ毎に機器を操作して監査ログを出力し、報告資料等の形態に作成し、これを提示しなくてはならず、多大な時間と人件費を要する。

一方、従来のこれらモダリティに装備される監査ログを個々に出力する出力機能には、出力する期間、あるいは取り扱うデータ、例えば医用画像の種類、画像データのデータ容量、および本処理に対応する被検者数などにより、対象の監査ログデータのデータ記憶容量領域の必要容量が、数メガバイトから数十メガバイトまでの広範囲のレンジで異なる。特に、監査ログを出力する期間、言い換えれば保持する期間は、機器の据付先における運用手続に係り、適切な時期毎に、モダリティ毎に蓄積した操作ログの出力が実施されなければ、古い時期の監査ログデータが喪失される。
特開２００３−２９０２２４号公報

上に述べたモダリティ毎に出力する従来の監査ログの出力機能を有する装置・システムでは、監査の目的とその実施状況に十分な対応、すなわち監査に提示するデータの質・量、およびその対応の迅速性において、人的コストと時間に費やされる損失が大きいことが、問題点となっていた。

また、監査の性質上、その実施される時期が不定で、収集したデータの蓄積に、モダリティそれぞれの監査ログデータの記憶容量も不定となるので、これ等のデータ管理にきめ細かな対応を要することも大きな問題となっていた。

本発明は上記の問題点に鑑みてなされたもので、監査の性質上、その実施される時期が不定であっても、収集したデータの蓄積に、医療機器モダリティそれぞれの保管容量限界を低く抑えて、収集及び記録保存が安定に行われて、収集した監査ログデータの提示用出力が簡便に行える監査ログの管理システムを提供することを目的とする。

上記の目的を達成するために、本発明の請求項１の監査ログ管理システムは、自機の監査ログ情報を作成する複数の医療機器モダリティに、限定したネットワークを介して接続する監査ログ管理サーバと、前記各モダリティにおいて作成された監査ログ情報それぞれを、予め設定したタイミング毎に、前記ネットワーク及び監査ログ管理サーバを介して転送し、監査ログ一括記憶部の所定領域に識別して記憶する監査ログ一括記録手段と、前記監査ログ一括記録手段の前記所定領域に記録された監査ログ情報を検索して、所定の項目を含む監査ログリストを出力、表示する監査ログ表示手段とを具備することを特徴とするものである。

さらに、本発明の請求項２の監査ログ管理システムにおいては、請求項１記載の監査ログ管理サーバが、前記接続の正当性を確保するパスワードを、前記複数の医療機器モダリティに対して、所定の期間毎にランダムな文字符号列で生成、更新し、前記所定の期間の冒頭に告知登録し、前記接続には対応する前記パスワードの検証後に前記転送を実施するログ転送検証手段を具備することを特徴とするものである。

さらに、本発明の請求項３の監査ログ管理システムにおいては、請求項２記載のパスワードの前記告知登録が、前記期間の冒頭において、登録が完了するまで、所定の時間間隔毎に繰り返し行うパスワード更新手段を具備することを特徴とするものである。

さらに、本発明の請求項４の監査ログ管理システムにおいては、請求項１記載の監査ログ一括記録手段の前記転送が、前記複数の医療機器モダリティそれぞれに備えた転送起動手段によるタイミングにより行われることを特徴とするものである。

さらに、本発明の請求項５の監査ログ管理システムにおいては、前記監査ログ一括記録手段の前記転送が、前記複数の医療機器モダリティそれぞれに備え、少なくとも１日の予め設定されたタイマーによる自動転送起動手段によるタイミングにより行われることを特徴とするものである。

さらに、本発明の請求項６の監査ログ管理システムにおいては、前記監査ログ一括記録手段の前記転送は、前記監査ログ管理サーバに備え、少なくとも１日の予め設定されたタイマーによる転送要求起動手段によるタイミング設定により、前記監査ログ管理サーバが前記複数の医療機器モダリティそれぞれに転送指示信号を送信し、これに応答して前記複数の医療機器モダリティそれぞれから行われることを特徴とするものである。

本発明の監査ログ管理システムによれば、医療機器モダリティ毎に出力される監査ログを、これ等のデータ蓄積の容量を低く抑える所定のタイミングで、監査ログを一括記憶する領域に転送する。したがって、監査の性質上、その実施される時期が不定であっても、監査に提示するデータの質・量、およびその対応の迅速性において、監査の目的とその実施状況に十分な対応をする人的コストと時間を抑えて、監査ログデータの提示用出力が簡便に提供できる。

以下、本発明の実施形態を図面により詳細に説明する。なお、以降、モダリティの名称で、X線画像装置、ＣＴ画像装置、超音波画像装置、ＭＲ画像装置、内視鏡画像装置などの他、検体検査装置、血液分析装置、検査オーダ装置などの監査ログの対象となる医療用機器の個々を総称する。

（実施形態１）
図１は、本発明の監査ログ管理システムの一実施形態を示す模式的な構成ブロック図である。

本実施形態の監査ログ管理システム１は、図１に示すように、医療機関の組織内あるいは構内の通信ネットワークであるイントラネットあるいはＬＡＮ（ローカル・エリア・ネットワーク）などの限定されたネットワーク１０に接続している監査ログ管理サーバ１１と、同じく限定したネットワーク１０に接続して監査ログの対象となる各モダリティの医用画像機器である例えば、ＣＴ画像機器Ａ２１ａ、ＣＴ画像機器Ｂ２１ｂ、ＭＲ画像機器２２、Ｘ線画像機器２３などと、これらの画像機器から出力される画像データを集中的に管理しているネットワーク１０に接続している画像サーバ３１などから構成される。

また、対象となるＣＴ画像機器Ａ２１ａ、ＣＴ画像機器Ｂ２１ｂ、ＭＲ画像機器２２、Ｘ線画像機器２３などの各医用機器それぞれには、その稼働状況の記録を、個別の監査ログデータとして出力し、一時的なデータ保管を行う監査ログデータメモリ手段２１ａｍ、２１ｂｍ、２２ｍ、２３ｍを備えている。

監査ログ管理サーバ１１には、監査ログに関する操作入力を行うマウスあるいはキーボードなどの入力操作機器１３と、専ら監査ログに関する出力を表示するモニタ１４ａあるいはプリンタ１４ｂなどの監査ログ出力表示機１４が接続されている。また、監査ログ管理サーバ１１が収集し、表示する各機器の監査ログデータを、前記監査ログ管理サーバ１１に接続された監査ログ管理データ部１２の一部に監査ログ一括メモリ１２ｍを設けて、記憶している。

また、監査ログとは、各モダリティの医用画像機器において記録される操作ログの少なくも、１）対象機器のログイン／ログアウトの操作者のＩＤ情報、パスワード情報、２）自機器以外の外部装置への出力先（機器ＩＤを含む識別情報）、およびその操作者（ＩＤ、パスワードを含む識別情報）、３）元データ作成操作者以外の操作者（ＩＤ、パスワードを含む識別情報）、およびそのデータ書き換え、データ削除の操作内容、および４）これ等の実施された年月日、時刻、の各データから構成されている。

図２に、本発明の監査ログ管理システムにおいて行われる監査ログの処理のフローチャートを示す。図２のフローチャートに示す処理は、図１に示す監査ログ管理システムの管理の対象となる、例えば、ＣＴ画像機器Ａ２１ａ、ＣＴ画像機器Ｂ２１ｂ、ＭＲ画像機器２２、Ｘ線画像機器２３などの各医用機器（以降、これ等をモダリティと呼ぶ）それぞれで、実施される。それぞれのモダリティが、この処理のステップＳ２８において、ステップＳ２１からステップＳ２６によって作成した個々の自機の監査ログデータを、監査ログ管理サーバ１１に制御される監査ログ管理データ部１２にネットワーク１０を介して転送する。

図２を用いて、本実施形態の各モダリティにおける作用および動作を、以下に説明する。

先ず、ステップＳ２１により、各モダリティ２１、２２、２３の１つにより、医師あるいは検査技師などの操作者の名前あるいは識別ＩＤ、およびパスワードが設定されて、本実施形態の監査ログ管理システム１へのログインが行われる。次に、前記モダリティ、例えばＣＴ画像機器Ａ１２ａにより、被検者（被検者）の診断データの収集を、被検者情報の登録を行って（ステップＳ２２）、撮像（診断画像）データを収集し（ステップＳ２３）、診断画像の再構成あるいは画像の観察、診断し（ステップＳ２４）、前記被検者に対する検査を終了する（ステップＳ２５）。ステップＳ２６で、引き続き検査をする他の被検者がいる場合には、再びステップＳ２２へ戻り、次の被検者の登録を行い、ステップＳ２３以降を繰り返し、同じくステップＳ２６で次の被検者がいなくなれば、次のステップＳ２７へ進めて、前記ステップＳ２１のログインをした操作者によるこのモダリティ２１、あるいは２２、あるいは２３の使用を終えるログアウトを行う。

上記のステップＳ２１からステップＳ２７までで、このモダリティに対して行なった操作の内容が、その医用機器のメモリ部の一部に操作ログとして記録される。この記録された操作ログの内容の少なくも、１）対象機器のログイン／ログアウトの操作者のＩＤ情報、パスワード情報、２）自機器以外の外部装置への出力先（機器ＩＤを含む識別情報）、およびその操作者（ＩＤ、パスワードを含む識別情報）、３）元データ作成操作者以外の操作者（ＩＤ、パスワードを含む識別情報）、およびそのデータ書き換え、データ削除の操作内容、さらに、４）これ等の実施された年月日、時刻、の各データを抽出し、これ等のデータから構成された監査ログデータが、同モダリティの、例えばＣＴ画像機器Ａ１２ａの監査ログデータメモリ手段２１ａｍに記憶される。

さらに、ある操作者が、ステップＳ２１によりログインして、診断、検査を担当する被検者に対する検査画終了し、ステップＳ２７のログアウトを行なった後、再び、ステップＳ２１のログインが行われると、先のログインと同様に、一連の操作に対する操作ログが記録されて、その一部が監査ログとして同じく監査ログデータメモリ手段２１ａｍに記録される。

そして、ステップＳ２８により、このモダリティ（２１、２２、２３いずれか）による診断、検査の集中する日中を避けた、例えば、毎日、あるいは所定の曜日、あるいは毎月の所定の日など、いずれかの日の一般的には夜間に設定された転送タイミングの所定の時刻を判定して、ステップＳ２９により各モダリティ２１、２２、２３側から監査ログ管理サーバ１１へ、ネットワーク１０を介して転送されて、各モダリティ２１、２２、２３の監査ログデータメモリ手段２１ａｍ、２１ｂｍ、２２ｍ、２３ｍに記録したこれらの監査ログデータが、監査ログ管理サーバ１１の下で監査ログ一括メモリ１２ｍに記憶される。これにより、各モダリティ２１、２２、２３において分散して収集された監査ログを、監査ログ管理サーバ１１により一元管理することができる。

本実施形態によれば、各モダリティに分散して管理されているそれぞれの監査ログデータを、所定の時期に、監査ログ管理サーバ１１の監査ログ一括メモリ１２ｍへ自動転送し、これらを一元管理するので、監査ログの出力が監査ログ管理サーバの管理下で行えて、監査時のデータ出力の操作性が向上する。また、各監査ログの操作が、監査ログ管理サーバに一元管理されるので、操作権限をさらに限定することができて、監査ログのセキュリティを高めた管理が行える。

（実施形態２）
次に、監査ログ管理サーバが各モダリティから監査ログデータを読み込む手順で、より高い安全性を維持してデータ転送を行うために、各モダリティと監査ログ管理サーバの相互が、パスワードを設定して、このパスワードを確認した後に転送を実施する第２の実施形態に付いて、図３を用いて説明する。

図３は、監査ログ管理サーバが所定の時間毎に自動的に実施するパスワードの発行手順のフローチャートを示す。

監査ログ管理システムの起動と共に、ステップＳ３１において、パスワードの設定、配信の時刻、あるいは時間間隔、および配信が不成立と成ったときの繰り返し再送信する場合の再送信時間間隔を設定する。

ステップＳ３２で、ステップＳ３１で設定した時刻に、あるいは設定した時間間隔の経過を判定する。この判定が「真（Ｙｅｓ）」ならば、ステップＳ３３において、監査ログ管理サーバ１１が、例えば、乱数表あるいはランダムに選択した文字列などにより、不規則に生成したパスワードを、監査ログ管理システムの下に接続される各モダリティそれぞれに、モダリティ識別ＩＤと組にして割当て、モダリティ毎に発行する。このパスワードは、次回のパスワードの配信時刻まで、あるいは時間間隔の期間中にのみ有効となる。

この発行された各モダリティのパスワードを、ステップＳ３４において、モダリティ毎に前記ネットワーク１０を介して配信する。次のステップＳ３５で、配信したパスワードデータを受信したモダリティが受信確認として、これをアンサーバックする応答を受信できた場合は、「配信成功」と判定し、次回の配信時刻まで待機するためにステップＳ３２へ戻る。一方、例えば配信先モダリティが電源投入前で起動されていない場合などで、アンサーバックが受信できず、「配信不可」と判定した場合は、ステップＳ３６へ進め、先のステップＳ３１で設定したて再送信時間間隔の経過した後に、ステップＳ３４に戻り、「配信成功」の得られていないモダリティに対し、再びステップＳ３３で割当てたパスワードを、再送信する。このステップＳ３６を経由するループは、配信成功が受信されるまで、繰り返される。

以上の手順により、各モダリティには、所定の期間にのみ有効なパスワードが、その期間毎に、監査ログ管理サーバ１１が発行、設定する。

本実施形態によれば、各モダリティ毎に、ランダムな数字および文字で構成し、所定の期限で変更されるパスワードが、監査ログ管理サーバにより設定されるので、パスワードの盗用が困難となり、第三者によるこれ等の監査ログへのアクセスを阻止することができる。また、本実施形態では、各モダリティが医療業務の都合上、起動が様々な時間で行われるので、設定したパスワードの受信確認が得られるまで、再送信を繰り返し、対象のモダリティへ設定したパスワードを確実に伝送する手順を有している。

（実施形態３）
本発明の第３の実施形態である各モダリティ２１、２２、２３が、モダリティ毎に操作ログの一部を監査ログデータとして、限定したネットワーク１０を介して監査ログ管理サーバ１１の下で監査ログ一括メモリ１２ｍにへ転送し、これに記憶される手順について、図４〜６を用いて説明する。

図４は、各モダリティ２１、２２、２３から個々の監査ログを監査ログ管理サーバ１１へネットワーク１０を介して転送する手順を概念的に図示したものである。この手順は、図４に示す次の３方法、ステップＡ、ステップＢ、ステップＣのいずれか１つを設定して、転送が実施される。さらに、図５Ａは、ステップＡにおいて行う、モダリティの操作者による監査ログの送信を行う手順を示すフローチャートである。図５Ｂは、ステップＢにおいて行う、モダリティに予め設定したタイミングにおいて、モダリティが自動的に監査ログの送信を行う手順を示すフローチャートである。図６は、ステップＣにおいて行う、監査ログ管理サーバ１１によりモダリティ毎に予め設定した監査ログ問い合せ時刻に、監査ログ管理サーバから各モダリティへ送信要求を指示して、この指示に各モダリティが応答してそれぞれの監査ログを転送する手順を示すフローチャートである。

各モダリティから個々の監査ログを転送する本実施形態の詳細を、図４を用いて、先ず転送のタイミングに関して説明する。対象の各モダリティは、従来の技術により、監査ログデータをその操作毎に収集して、各モダリティ自機の監査ログデータメモリ手段に記録しており、この記録内容をステップＡ、ステップＢ、ステップＣのいずれか１つを設定して、このステップ毎で設定される所定のタイミングで、本願システムである監査ログ管理システムへネットワーク１０を介して転送して、これ等を本システムの監査ログ管理サーバ１１の監査ログ一括メモリにおいて一元管理する。

先ず、本実施形態では、ステップＳとして図４のステップＳ４１で示す、監査ログ管理サーバ１１から、各モダリティ２１、２２、２３に対し、パスワードの送信の手順が、設定した所定時刻になると行われる。この送信されるパスワードは、図３に示し、上述の第２の実施形態として説明した手順により生成され、パスワードの配信成功が確認されるまで行われる。

次に、監査ログ管理サーバを介し、これの制御下にある監査ログ一括メモリへ監査ログデータを転送する作動は、ステップＡ、ステップＢ、あるいはステップＣの何れか、予め選択して設定される１つのステップが、操作者に転送指示スイッチ操作あるいは所定の転送時刻に、実施される。

例えば、ステップＡが設定されている場合は、操作者が転送を起動する転送指示スイッチを操作すると、図５Ａのフローチャートに示す手順により、この設定が成されたモダリティの監査ログデータが、監査ログ一括メモリ１２ｍの所定の記憶領域へ転送されて、記録される。

この手順の詳細は、先ず、図５Ａに示すステップＳ５１で、操作者による監査ログの転送要求を、対象のモダリティに備える指示スイッチなどにより入力する。これにより、先にステップＳで、図３のフローチャートで示す手順により、対象モダリティに割り当てられたパスワードにより送信要求が出されているかを、ステップＳ５２で判定する。この判定でパスワードが正しい場合に、ステップＳ５３でモダリティは自機の監査ログデータを監査ログ管理サーバ１１を介して、監査ログ一括メモリ１２ｍの所定の記憶領域へ転送する。さらに、モダリティは、ステップＳ５４で、監査ログ管理サーバからアンサーバックして来るデータ書き込み終了信号を受信すると、配信成功と判定して監査ログデータの転送処理を終了する。一方、アンサーバックが無い場合は、ステップＳ５６で転送のエラー信号を監査ログ管理サーバ１１へ送信する。なお、ステップＳ５２で、パスワードが正しくない場合には、ステップＳ５５へ進めて、監査ログ管理サーバ１１へ、「パスワード不一致」の信号を送信し、更新したパスワードの発行を要求する。以上の手順により、ステップＡが実施される。

また、例えば、ステップＢが設定されている場合は、この設定が成されたモダリティの時計情報を判定して、図５Ｂのフローチャートに示す手順により、対象のモダリティの監査ログデータが、監査ログ一括メモリ１２ｍの所定の記憶領域へ転送されて、記録される。

このステップＢの詳細は、先ず、図５Ｂに示すステップＳ５０１で、対象のモダリティから監査ログを自動転送する時刻を入力し、これを設定する。ステップＳ５０２では、この設定した時刻になった時点を判定する。このステップＳ５０２の判定で、設定した時刻になれば、先に行われたステップである図３のフローチャートで示すステップＳ３３の手順により、対象モダリティに割り当てられたパスワードを使用して送信要求が出されているかを、ステップＳ５０３で判定する。この判定でパスワードが正しい場合に、ステップＳ５０４でモダリティは自機の監査ログデータを監査ログ管理サーバ１１を介して、監査ログ一括メモリ１２ｍの所定の記憶領域へ転送する。さらに、モダリティは、ステップＳ５０５で、監査ログ管理サーバからアンサーバックして来るデータ書き込み終了信号を受信すると、配信成功と判定して監査ログデータの転送処理を終了する。一方、アンサーバックが無い場合は、ステップＳ５０７で転送のエラー信号を監査ログ管理サーバ１１へ送信する。なお、ステップＳ５０３で、パスワードが正しくない場合には、ステップＳ５０６へ進めて、監査ログ管理サーバ１１へ、「パスワード不一致」の信号を送信し、更新したパスワードの発行を要求する。以上の手順により、ステップＢは実施される。

また、ステップＣが設定されている場合は、監査ログ管理サーバ１１が、時計情報を判定して、図６のフローチャートに示す手順により、先ず対象のモダリティへ監査ログの送信要求を出力し、これを受信した対象モダリティが応答して、そのモダリティの監査ログデータを監査ログ管理サーバ１１へ送信し、これが更に監査ログ一括メモリ１２ｍの所定の記憶領域へ転送されて、記録される。

ステップＣの手順の詳細は、先ず監査ログ管理サーバ側において、図６に示すステップＳ６１で、対象のモダリティに対し、その監査ログを問い合せ、自動転送する時刻を監査ログ管理サーバ１１に入力し、これを予め設定しておく。ステップＳ６２では、この設定した時刻になった時点を管理サーバ１１が判定する。このステップＳ６２の判定で、設定した時刻になれば、先に行われた図３のフローチャートのステップＳ３３で示す手順により、対象モダリティに割り当てられたパスワードを使用して、対象のモダリティに対し監査ログデータの送信要求をステップＳ６３で送信する。次に、各モダリティ側において、この送信要求を受信した対象のモダリティが、ステップＳ６５で、この送信要求のパスワードが、前述の図４で予め送信して来た最新のパスワードに一致するかを判定する。この判定でパスワードが正しい場合に、ステップＳ６６で対象のモダリティは自機の監査ログデータを監査ログ管理サーバ１１を介して、監査ログ一括メモリ１２ｍの所定の記憶領域へ転送する。さらに、モダリティは、ステップＳ６７で、監査ログ管理サーバからアンサーバックして来るデータ書き込み終了信号を受信すると、配信成功と判定して監査ログデータの転送処理を終了すると共に、監査ログ管理サーバ側では、ステップＳ６６で送信された監査ログデータの受信するステップＳ６４を完了して、対象のモダリティ１つに対する転送を終了する。対象のモダリティが他に有る場合は、その対象のモダリティに対し、ステップＳ６２から繰り返し実施して、同様にその監査ログデータを監査ログ一括メモリ１２ｍの所定の記憶領域に取得、記録することを繰り返し実施する。なお、ステップＳ６７で、アンサーバックが無い場合は、ステップＳ６９で転送のエラー信号を監査ログ管理サーバ１１へ送信する。また、ステップＳ６５で、パスワードが正しくない場合には、ステップＳ６８へ進めて、監査ログ管理サーバ１１へ、「パスワード不一致」の信号を送信し、更新したパスワードの発行を要求する。以上の手順により、ステップＣが実施される。

上述の監査ログデータ転送手順のステップＡ、ステップＢ、ステップＣの何れかが、本監査ログ管理システムの下に接続されるモダリティの稼動状況を考慮して、モダリティ毎に予め設定される。すなわち、ステップＣにより監査ログ管理サーバからの所定時刻に転送指示を送信し、これに応答してモダリティ毎の監査ログデータの転送を受ける手順が、監査ログ管理システムの運用上、一般には好適であるが、転送指示を送信する時点において指示対象となる各モダリティが稼動中であることが必要となる。例えば、稼働状況が短時間で頻繁に使用されないモダリティでは、ログデータの内容容量も多大と成らないので、稼動が終了する直前の時点で転送を指示するステップＡが、好適と成る。また、隔日あるいは午後に限定など、終日ではないが定期的に稼動が行われるモダリティには、ステップＢが好適と成る。この設定の状況は、監査ログ管理サーバ１１には、モダリティ転送設定リストとして記録されて、特にステップＣの対応をするモダリティの検索をする。

なお、上記の所定時刻とは、毎日、毎週金曜日、毎月末日などの午後４時５０分、或いは午後１１時５０分など、比較的纏まりのある期間で、各モダリティの監査ログデータを一時的に保存する記憶容量を、この周期間で収集するデータ量が超えないことを予測、加味した周期に基づいて設定される。

（実施形態４）
監査ログ管理サーバ１１の下でモダリティ毎に転送された各監査ログデータを、監査ログ一括メモリ１２ｍに収集、保管する第４の実施形態について、図７を用いて説明する。

各モダリティから転送されてきたそれぞれの監査ログデータは、監査ログ一括メモリ１２ｍに設けたモダリティ毎に区分したフォルダに仕分けて記録される。このフォルダ内には、モダリティの機器名或いは識別記号をファイル名とするリスト形式のファイルにより過去の監査ログデータを蓄積記録している。このファイルは、監査ログの記録として求められる、１）対象機器のログイン／ログアウトの操作者のＩＤ情報、パスワード情報、２）自機器以外の外部装置への出力先（機器ＩＤを含む識別情報）、およびその操作者（ＩＤ、パスワードを含む識別情報）、３）元データ作成操作者以外の操作者（ＩＤ、パスワードを含む識別情報）、およびそのデータ書き換え、データ削除の操作内容、および４）これ等の実施された年月日、時刻、の各データに対し、図７に例示するように、例えば、操作者名、モダリティ名、操作日時、被検者ＩＤ、処理者名、処理（内容）、出力先などをデータ項目として、操作日時について例えば昇順に列挙したデータリストと成っている。

各モダリティから、上述の第３の実施形態により、監査ログ管理サーバ１１を介してこの監査ログ一括メモリ１２ｍに転送された、転送タイミング毎の監査ログデータは、同名のファイルでその前の転送タイミングで転送された監査ログの次に、連なるように接続、統合されて、収集した監査ログの更新が行われる。

監査が実施されて、監査ログの提示が求められれば、監査対象の期間について、対応する前記監査ログの操作日時のリストデータを抽出した監査ログを、監査ログ出力表示機１４により画面表示若しくは印刷プリントアウトを提示することができる。

本実施形態によれば、各モダリティから転送されたそれぞれのモダリティの監査ログを、モダリティ毎に監査ログとして、一元管理する監査ログ管理サーバの下で監査ログ一括メモリ１２ｍに記録、保有しているので、このサーバの処理操作に対応するだけで、法的機関からの提示要求のあった監査対象期間に限って、容易にかつ迅速に出力ができる。

また、複数のモダリティに対する監査であっても、単一の監査ログ管理サーバ装置の下のフォルダ間処理により、統合した監査ログの提示も、容易かつ迅速に行える監査ログ管理のシステムを提供できる。

本発明の一実施形態の模式的な構成ブロック図。 本発明の一実施形態において行われる監査ログの処理を示すフローチャート。 本発明の第２の実施形態におけるパスワード発行のフローチャート。 本発明の第３の実施形態におけるステップＳ、テップＡ、ステップＢ、ステップCの転送手順を概念的に示す図。 本発明の第３の実施形態におけるテップＡの手順を示すフローチャート。 本発明の第３の実施形態におけるテップＢの手順を示すフローチャート。 本発明の第３の実施形態におけるステップＣの手順を示すフローチャート。 本発明の第４の実施形態において、監査ログ一括メモリに蓄積記録するリスト形式の監査ログの例示図。

符号の説明

１・・・監査ログ管理システム、
１０・・・ネットワーク、
１１・・・監査ログ管理サーバ、
１２・・・監査ログ管理データ部、
１２ｍ・・・監査ログ一括メモリ、
１３・・・入力操作機器、
１４・・・監査ログ出力表示機、
１４ａ・・・モニタ、
１４ｂ・・・プリンタ、
２１、２１ａ、２１ｂ・・・ＣＴ画像機器、
２１ａｍ、２１ｂｍ、２２ｍ、２３ｍ・・・監査ログデータメモリ手段、
２２・・・ＭＲ画像機器、
２３・・・Ｘ線画像機器、
３１・・・画像サーバ。

Claims (6)

1. 自機の監査ログ情報を作成する複数の医療機器モダリティに、限定したネットワークを介して接続する監査ログ管理サーバと、
   前記各モダリティにおいて作成された監査ログ情報それぞれを、予め設定したタイミング毎に、前記ネットワーク及び監査ログ管理サーバを介して転送し、監査ログ一括記憶部の所定領域に識別して記憶する監査ログ一括記録手段と、
   前記監査ログ一括記録手段の前記所定領域に記録された監査ログ情報を検索して、所定の項目を含む監査ログリストを出力、表示する監査ログ表示手段と、
   を具備することを特徴とする監査ログ管理システム。
2. 前記監査ログ管理サーバは、前記接続の正当性を確保するパスワードを、前記複数の医療機器モダリティに対して、所定の期間毎にランダムな文字符号列で生成、更新し、前記所定の期間の冒頭に告知登録し、前記接続には対応する前記パスワードの検証後に前記転送を実施するログ転送検証手段を具備することを特徴とする請求項１記載の監査ログ管理システム。
3. 前記パスワードの前記告知登録は、前記期間の冒頭において、登録が完了するまで、所定の時間間隔毎に繰り返し行うパスワード更新手段を具備することを特徴とする請求項２記載の監査ログ管理システム。
4. 前記監査ログ一括記録手段の前記転送が、前記複数の医療機器モダリティそれぞれに備えた転送起動手段によるタイミングにより行われることを特徴とする請求項１記載の監査ログ管理システム。
5. 前記監査ログ一括記録手段の前記転送が、前記複数の医療機器モダリティそれぞれに備え、少なくとも１日の予め設定されたタイマーによる自動転送起動手段によるタイミングにより行われることを特徴とする請求項１記載の監査ログ管理システム。
6. 前記監査ログ一括記録手段の前記転送は、前記監査ログ管理サーバに備え、少なくとも１日の予め設定されたタイマーによる転送要求起動手段によるタイミング設定により、前記監査ログ管理サーバが前記複数の医療機器モダリティそれぞれに転送指示信号を送信し、これに応答して前記複数の医療機器モダリティそれぞれから行われることを特徴とする請求項１記載の監査ログ管理システム。