JP2008146124A - セキュリティ機能監視システム - Google Patents

Abstract

【課題】医用機器内又は医用機器間におけるセキュリティ機能監視システムにおいて、医用機器の使用を停止させることなく、セキュリティ保護を目的とする法規に準拠した医用システムを提供する。
【解決手段】監視モジュール３２ｂ又は３２ｃの異常をチェックする監視モジュールチェック部４５ａと、その監視モジュールチェック部４５ａによって監視モジュール３２ｂ又は３２ｃの異常が検知された場合、優先順位に基づいて、監視モジュール３２ａがセキュリティモジュール３１の異常を検知する権限を有するか否かを判断する優先順位判断部４６ａと、その優先順位判断部４６ａによって監視モジュール３２ａがセキュリティモジュール３１の異常を検知する権限を有すると判断された場合、インターフェースＩＤをセキュリティモジュール３１の異常を検知するためのインターフェースＩＤに変更するインターフェースＩＤ制御部と、を有する。
【選択図】図２

Description

本発明は、主に病院等に有する医用機器内及び医用機器間で使用され、医用機器が保有する患者情報を保護するためのセキュリティ機能の技術に係り、特に、セキュリティ機能が正常に機能していることを監視するセキュリティ機能監視システムに関する。

近年、医療機関において扱われる情報は電子化が進んでおり、医療機関にて使用される医用機器においても、電子化された患者情報のやりとりが行なわれている（例えば、特許文献１参照。）。この電子化された患者情報の中には、患者の病気や診療に関するプライバシー性の高い個人情報等が含まれている。この個人情報が万一、悪用されると深刻な被害を及ぼす恐れがあり、個人情報を強く保護する必要がある。

特に米国では、ＨＩＰＡＡ（Ｈｅａｌｔｈ Ｉｎｓｕｒａｎｃｅ Ｐｏｒｔａｂｉｌｉｔｙ ａｎｄ Ａｃｃｏｕｎｔａｂｉｌｉｔｙ Ａｃｔ）法が制定され、個人情報の保護義務を規定している。ＨＩＰＡＡ法によると、個人情報が漏れ、誤用が認められた場合には、個人情報の管理側に厳しい罰則が課されることになっている。

米国のＨＩＰＡＡ法や日本の個人情報保護法等に準拠するためにも、医用機器にセキュリティ機能を実装することが必須である。そこで、医用機器は、患者の個人情報を保護するために、ユーザマネージメント機能、アクセス制御機能及びＡｕｄｉｔ Ｔｒａｉｌ機能等を実装している。
特許第２８６２６３９号公報

しかし、医用機器がセキュリティ機能を実装していたとしても、医用機器の故障等により、セキュリティ機能が正常に機能しない状態に陥る場合があり、医用機器から患者の個人情報の保護の観点から十分とはいえない。よって、以下の要件が医用機器に求められる。

１．ユーザに対する通知 ：医用機器のセキュリティ機能が正常に機能しない状態であることをユーザに通知する。その通知は定期的に行なう。また、ユーザに対して対処法も示す。対処法の一例としては、医用機器を再起動することにより、セキュリティ機能を正常な状態に復帰できることをユーザに通知することである。

２．医用機器の縮退運転 ：医用機器は医療行為という人命に関わる行為を行なう機器という性格から、医用機器自体が使用できなることは極力避けなければならない。よって、セキュリティ機能が正常に機能しなくなっても、医療行為に支障をきたさないように、それ以外の機能は通常通りに使用できることが求められる。つまり、セキュリティ機能を切り離し、それ以外の部分のみで医用機器が機能するようにすることが必要である。特に、医用機器が、セキュリティ機能の中でもユーザマネージメント機能を実装している場合、ユーザは、まず、ログインされた医用機器しか使用することができない。よって、セキュリティ機能が正常に機能しなくなった場合でも、なんらかの方法で医用機器を使用できるように考慮しておかなければならない。

上記のような要件を満足するためには、医用機器には、セキュリティ機能に異常が発生した場合、それを検知する仕組みを持っている必要がある。例えば、セキュリティ機能に異常が発生した場合は、セキュリティ機能の異常に対処する機能を持たせることが考えられる。しかし、この場合、セキュリティ機能自体に異常が発生した場合、異常を検知できなくなってしまう。一方、医用機器内に、セキュリティ機能が正常に機能しているかどうかを監視するための監視機能を実装する方法が考えられる。しかしこの場合も、監視機能に異常が発生した場合、同様に、セキュリティ機能の異常を検知できなくなってしまう。

本発明は、上述した事情を考慮してなされたもので、医用機器の使用を停止させることなく、セキュリティ保護を目的とする法規に準拠した医用システムを構築できるセキュリティ機能監視システムを提供することを目的とする。

本発明に係るセキュリティ機能監視システムは、上述した課題を解決するために請求項１に記載したように、セキュリティ機能を実装しているセキュリティモジュールの異常を検知する監視モジュールと、その監視モジュールを起動させる起動モジュールとを有する単一の医用機器内において、複数の前記監視モジュールを有し、それら各監視モジュールに、他の監視モジュールの異常をチェックする監視モジュールチェック部と、前記監視モジュールチェック部によって前記他の監視モジュールの異常が検知された場合、優先順位に基づいて、自らの監視モジュールが前記セキュリティモジュールの異常を検知する権限を有するか否かを判断する優先順位判断部と、前記優先順位判断部によって前記自らの監視モジュールが前記セキュリティモジュールの異常を検知する権限を有すると判断された場合、インターフェースＩＤを前記セキュリティモジュールの異常を検知するためのインターフェースＩＤに変更するインターフェースＩＤ制御部と、を有する。

本発明に係るセキュリティ機能監視システムは、上述した課題を解決するために請求項６に記載したように、セキュリティ機能を実装しているセキュリティモジュールの異常を検知する監視モジュールと、その監視モジュールを起動させる起動モジュールとをそれぞれ有する複数の医用機器において、他の医用機器における監視モジュールの異常をチェックする監視モジュールチェック部と、前記監視モジュールチェック部によって前記他の医用機器における監視モジュールの異常が検知された場合、優先順位に基づいて、自らの医用機器における監視モジュールが前記他の医用機器におけるセキュリティモジュールの異常を検知する権限を有するか否かを判断する優先順位判断部と、前記優先順位判断部によって前記自らの医用機器における監視モジュールが前記他の医用機器におけるセキュリティモジュールの異常を検知する権限を有すると判断された場合、前記他の医用機器におけるセキュリティモジュールの異常を検知するためのインターフェースＩＤを追加するインターフェースＩＤ制御部と、を有する。

本発明に係るセキュリティ機能監視システムによると、医用機器の使用を停止させることなく、セキュリティ保護を目的とする法規に準拠した医用システムを構築できる。

本発明に係るセキュリティ機能監視システムの実施形態について、添付図面を参照して説明する。

図１は、セキュリティ機能監視システムのハードウェア構成を示す概略図である。

図１は、Ｘ線ＣＴ（Ｃｏｍｐｕｔｅｄ Ｔｏｍｏｇｒａｐｈｙ）装置及び超音波診断装置等の医用機器（モダリティ）Ｍを示し、その医用機器Ｍには、画像データ生成装置１１及び操作コンソール１２が備えられる。

画像データ生成装置１１は、被検体（図示しない）を撮影し、その被検体に関する画像データを生成する。例えば、医用機器ＭがＸ線ＣＴ装置の場合、画像データ生成装置１１は架台装置であり、画像データ生成装置１１には、図示しないＸ線源、コリメータ、検出器、データ収集装置（ＤＡＳ：ｄａｔａ Ａｃｑｕｉｓｉｔｉｏｎ Ｓｙｓｔｅｍ）及びそれらを制御するコントローラ等を含んでいる。

一方、操作コンソール１２は、コンピュータをベースとして構成されている、いわゆるワークステーションである。操作コンソール１２は、大きくは、ＣＰＵ（Ｃｅｎｔｒａｌ Ｐｒｏｃｅｓｓｉｎｇ Ｕｎｉｔ）２１、メモリ２２、ＨＤ（Ｈａｒｄ Ｄｉｓｃ）２３、通信制御装置２４、入力装置２５及び表示装置２６等の基本的なハードウェアから構成される。ＣＰＵ２１は、共通信号伝送路としてのバスを介して、操作コンソール１２を構成する各ハードウェア構成要素に相互接続されている。

ＣＰＵ２１は、ユーザによって入力装置２５が操作等されることにより指令が入力されると、メモリ２２に記憶しているプログラムを実行する。又は、ＣＰＵ２１は、ＨＤ２３に記憶しているプログラム、ネットワーク（図示しない）から転送され通信制御装置２４で受信されてＨＤ２３にインストールされたプログラム、又は記録媒体ドライブ（図示しない）に装着された記録媒体から読み出されてＨＤ２３にインストールされたプログラムを、メモリ２２にロードして実行する。

メモリ２２は、ＲＯＭ（Ｒｅａｄ Ｏｎｌｙ Ｍｅｍｏｒｙ）及びＲＡＭ（Ｒａｎｄｏｍ Ａｃｃｅｓｓ Ｍｅｍｏｒｙ）等の要素を兼ね備え、ＩＰＬ（Ｉｎｉｔｉａｌ Ｐｒｏｇｒａｍ Ｌｏａｄｉｎｇ）、ＢＩＯＳ（Ｂａｓｉｃ Ｉｎｐｕｔ／Ｏｕｔｐｕｔ Ｓｙｓｔｅｍ）及びデータを記憶したり、ＣＰＵ２１のワークメモリやデータの一時的な記憶に用いたりする記憶装置である。

ＨＤ２３は、不揮発性の半導体メモリ等によって構成される。ＨＤ２３は、操作コンソール１３にインストールされたプログラム（アプリケーションプログラムの他、ＯＳ（Ｏｐｅｒａｔｉｎｇ Ｓｙｓｔｅｍ）等も含まれる）や、データを記憶する記憶装置である。また、ＯＳに、ユーザに対する情報の表示にグラフィックを多用し、基礎的な操作を入力装置２５によって行なうことができるＧＵＩ（Ｇｒａｐｈｉｃａｌ Ｕｓｅｒ Ｉｎｔｅｒｆａｃｅ）を提供させることもできる。

通信制御装置２４は、各規格に応じた通信制御を行なう。通信制御装置２４は画像データ生成装置１１と通信を行なうものである。また、通信制御装置２４は、電話回線を通じてネットワークに接続することができる機能を有しており、これにより、操作コンソール１２は、通信制御装置２４からネットワーク網に接続することができる。

入力装置２５としては、ユーザによって操作が可能なキーボード及びマウス等が挙げられ、操作に従った入力信号がＣＰＵ２１に送られる。

表示装置２６としては、モニタ等が挙げられる。表示しようとするイメージデータを展開するＶＲＡＭ（Ｖｉｄｅｏ Ｒａｎｄｏｍ Ａｃｃｅｓｓ Ｍｅｍｏｒｙ、図示しない）等のメモリにイメージデータ等を展開することで、画像データを表示装置２６に表示する。

図２は、本発明に係るセキュリティ機能監視システムの第１の実施形態を示すブロック図である。なお、本実施形態は、図１に示した単一の医用機器Ｍ内でセキュリティ機能監視システムを機能させる場合を説明するものである。

図２は、セキュリティ機能監視システム３０を示し、そのセキュリティ機能監視システム３０は、図１に示した単一の医用機器Ｍ内に備える操作コンソール１２のＣＰＵ２１がプログラムを実行することによって機能するものである。

セキュリティ機能監視システム３０は、セキュリティ機能を実装しているモジュール（以下、「セキュリティモジュール」という。）３１、そのセキュリティモジュール３１に対する監視機能を実装しているモジュール（以下、「監視モジュール」という。）３２、及び、その監視モジュール３２を起動させるモジュール（以下、「起動モジュール」という。）３３として機能する。なお、監視モジュール３２は、複数の監視モジュール（図２では３つの監視モジュール３２ａ，３２ｂ及び３２ｃとして示す。）から構成される。

セキュリティモジュール３１の一例としては、ユーザマネージメント（Ｕｓｅｒ Ｍａｎａｇｅｍｅｎｔ）機能、アクセス制御機能及び監査証跡（ＡｕｄｉｔＴｒａｉｌ）機能を担うセキュリティモジュール等が挙げられ、一般的には、医用機器Ｍ内では複数のセキュリティモジュールがそれぞれ機能している。

ユーザマネージメント機能を担うセキュリティモジュールは、ユーザ毎に異なる権限を与える。医用機器Ｍを使用するためには、ユーザはユーザ認証を行なう必要がある。例えば、ユーザは、医用機器Ｍの患者情報にアクセスするために、自己のユーザ名やパスワード等を医用機器Ｍに入力してログインすることを必要とする。また、ログインを行なったユーザが医用機器Ｍを離れるときには、他の人に勝手に使用されないように、医用機器Ｍの使用をロックする。

アクセス制御機能を担うセキュリティモジュールは、ユーザの権限に応じて、ユーザに可能な操作を制限したり、開放したりする。

監査証跡機能を担うセキュリティモジュールは、患者情報に関係する操作が行なわれた場合は、その操作記録を残す。

セキュリティモジュール３１には、複数の監視モジュール３２を代表する１つの監視モジュールに対して所要時間間隔で（定期的に）通知を送信する送信部４０が設けられる。なお、複数のセキュリティモジュールが機能する場合は、各セキュリティモジュールから通知をそれぞれ送信する。

各監視モジュール３２ａ，３２ｂ及び３２ｃは、受信部４１ａ，４１ｂ及び４１ｃと、セキュリティモジュール異常検知部４２ａ，４２ｂ及び４２ｃと、セキュリティモジュール異常通知部４３ａ，４３ｂ及び４３ｃと、ログ記録部４４ａ，４４ｂ及び４４ｃと、監視モジュール異常チェック部４５ａ，４５ｂ及び４５ｃと、優先順位判断部４６ａ，４６ｂ及び４６ｃと、監視モジュール再起動部４７ａ，４７ｂ及び４７ｃと、インターフェースＩＤ（ＩＤｅｎｔｉｆｉｃａｔｉｏｎ）変更部（インターフェースＩＤ継承部）４８ａ，４８ｂ及び４８ｃとを有する。なお、便宜上、図２に示した監視モジュール３２ｂには、受信部４１ｂ及び監視モジュールチェック部４５ｂのみを図示し、監視モジュール３２ｃには、受信部４１ｃ及び監視モジュールチェック部４５ｃのみを図示するものとする。

受信部４１ａは、監視モジュール３２ａの優先順位が第１位である場合、監視モジュール３２を代表して、セキュリティモジュール３１からの通知を受信する機能を有する。通知は、インターフェースＩＤ制御部４８ａによって決定されるインターフェースＩＤを用いて受信する。なお、本実施形態では、監視モジュール３２を代表する１つの監視モジュールがセキュリティモジュール３１から通知を受信する場合を例にとって説明するが、その場合に限定されるものではない。例えば、セキュリティモジュール３１が監視モジュール３２を代表する１つの監視モジュールから通知を受信する場合であってもよいし、また、セキュリティモジュール３１と監視モジュール３２を代表する１つの監視モジュールとが双方向で通信を行なう場合であってもよい。なお、受信部４１ｂ及び４１ｃについても、受信部４１ａと同様の機能を有する。

セキュリティモジュール異常検知部４２ａは、監視モジュール３２ａの優先順位が第１位である場合、所要時間が経過しても、セキュリティモジュール３１からの通知が受信部４１ａによって受信されない場合に「セキュリティモジュール異常」と判断し、セキュリティモジュール異常通知部４３ａやログ記録部４４ａに「セキュリティモジュール異常」を通知する機能を有する。なお、セキュリティモジュール異常検知部４２ｂ（図示しない）及び４２ｃ（図示しない）についても、セキュリティモジュール異常検知部４２ａと同様の機能を有する。

セキュリティモジュール異常通知部４３ａは、セキュリティモジュール異常検知部４２ａから「セキュリティモジュール異常」が通知されると、「セキュリティモジュール異常」を通知する機能を有する。セキュリティモジュール異常通知部４３ａによって医用機器Ｍは、セキュリティモジュール３１に異常が発生したことをユーザに対して通知したり、医用機器Ｍを縮退運転モードに移行したりするといった対処を行なうことができる。なお、セキュリティモジュール異常通知部４３ｂ（図示しない）及び４３ｃ（図示しない）についても、セキュリティモジュール異常通知部４３ａと同様の機能を有する。

ログ記録部４４ａは、セキュリティモジュール異常検知部４２ａから「セキュリティモジュール異常」が通知されると、「セキュリティモジュール異常」の内容をＨＤ２３等の記憶装置にログとして記録する機能を有する。なお、ログ記録部４４ｂ（図示しない）及び４４ｃ（図示しない）についても、ログ記録部４４ａと同様の機能を有する。

監視モジュール異常チェック部４５ａは、監視モジュール異常チェック部４５ｂ及び４５ｃと相互に通信を行ない、監視モジュール３２ｂ及び３２ｃが正常に機能しているかどうかをチェックし、監視モジュール３２ｂ又は３２ｃの異常（故障）を検知した場合は、優先順位判断部４６ａに「監視モジュール３２ｂ又は３２ｃの異常」を通知する機能を有する。なお、監視モジュール異常チェック部４５ｂは、監視モジュール３２ａ及び３２ｃが正常に機能しているかどうかをチェックし、監視モジュール３２ａ又は３２ｃの異常を検知した場合は、優先順位判断部４６ｂに「監視モジュール３２ａ又は３２ｃの異常」を通知する機能を有する。また、監視モジュール異常チェック部４５ｃは、監視モジュール３２ａ及び３２ｂが正常に機能しているかどうかをチェックし、監視モジュール３２ａ又は３２ｂの異常を検知した場合は、優先順位判断部４６ｃに「監視モジュール３２ａ又は３２ｂの異常」を通知する機能を有する。

優先順位判断部４６ａは、監視モジュール異常チェック部４５ａから「監視モジュール３２ｂ又は３２ｃの異常」が通知されると、「監視モジュール３２ｂ又は３２ｃの異常」の通知以降、監視モジュール３２ａがセキュリティモジュール３１の異常を検知する権限を有するか否かを優先順位に基づいて判断する機能を有する。なお、優先順位判断部４６ｂ（図示しない）及び４６ｃ（図示しない）についても、優先順位判断部４６ａと同様の機能を有する。優先順位は、予めユーザが任意に設定するものであり、また、必要に応じて更新されるものである。

例えば、監視モジュール３２ａの優先順位が第２位、監視モジュール３２ｂの優先順位が第１位、監視モジュール３２ｃの優先順位が第３位であり、優先順位が第１位の監視モジュール３２ｂに異常が発生した場合を説明する。監視モジュール３２ａの監視モジュール異常チェック部４５ａから「監視モジュール３２ｂの異常」が通知されると、優先順位判断部４６ａは、「監視モジュール３２ｂの異常」の通知以降、監視モジュール３２ａがセキュリティモジュール３１の異常を検知する権限を有すると判断する。また、監視モジュール３２ｃの監視モジュール異常チェック部４５ｃから「監視モジュール３２ｂの異常」が通知されると、優先順位判断部４６ｃは、「監視モジュール３２ｂの異常」の通知以降、監視モジュール３２ｃはセキュリティモジュール３１の異常を検知する権限を有しないと判断する。

監視モジュール再起動部４７ａは、優先順位判断部４６ａによって監視モジュール３２ａがセキュリティモジュール３１の異常を検知する権限を有すると判断された場合、異常が検知された監視モジュール３２ｂ又は３２ｃを再起動させる機能を有する。なお、監視モジュール再起動部４７ｂ（図示しない）は、優先順位判断部４６ｂによって監視モジュール３２ｂがセキュリティモジュール３１の異常を検知する権限を有すると判断された場合、異常が検知された監視モジュール３２ａ又は３２ｃを再起動させる機能を有する。また、監視モジュール再起動部４７ｃ（図示しない）は、優先順位判断部４６ｃによって監視モジュール３２ｃがセキュリティモジュール３１の異常を検知する権限を有すると判断された場合、異常が検知された監視モジュール３２ａ又は３２ｂを再起動させる機能を有する。

インターフェースＩＤ制御部４８ａは、優先順位判断部４６ａによる判断によって監視モジュール３２ａがセキュリティモジュール３１の異常を検知する権限を有すると判断された場合、セキュリティモジュール３１からの通知を受信できるように、受信部４１ａのインターフェースＩＤを変更する機能を有する。なお、インターフェースＩＤ制御部４８ｂ及び４８ｃについても、インターフェースＩＤ制御部４８ａと同様の機能を有する。

また、起動モジュール３３には、監視モジュール３２を起動する監視モジュール起動部５１と、その監視モジュール起動部５１によって起動される監視モジュール３２の個数を任意に設定する起動個数設定部５２とが設けられる。

本実施形態のセキュリティ機能監視システム３０の構成によると、セキュリティモジュール３１は、送信部４０を介して、監視モジュール３２の所要のインターフェースＩＤに対してのみ通知を行なう。一方、監視モジュール３２では、監視モジュール３２のうち、優先順位が第１位の監視モジュールがセキュリティモジュール３１からの通知を受信する。また、監視モジュール３２では、優先順位が第１位の監視モジュールに異常が発生すると、優先順位が第１位の監視モジュールに次ぐ第２位の監視モジュールが、優先順位が第１位の監視モジュールから所要のインターフェースＩＤを引き継ぐと同時に、優先順位が第１位の監視モジュールを再起動させる。これにより、セキュリティモジュール３１と監視モジュール３２との通知の送受信を途切れさせることなく継続させることができる。

続いて、セキュリティ機能監視システム３０の動作について図１乃至図４を参照しながら説明する。なお、時刻Ｔ０において、監視モジュール３２ａ，３２ｂ及び３２ｃのうち、監視モジュール３２ａの優先順位を第２位、監視モジュール３２ｂの優先順位を第１位、監視モジュール３２ｃの優先順位を第３位として説明する。

単一の医用機器Ｍ内のＣＰＵ２１がプログラムを実行すると、医用機器Ｍは、セキュリティ機能監視システム３０として機能する。

起動モジュール３３の監査モジュール起動部５１は、起動個数設定部５２による設定に従って、監視モジュール３２ａ，３２ｂ及び３２ｃを起動させる。

セキュリティモジュール３１は、所要時間間隔で、同じ医用機器Ｍ内の監視モジュール３２に自身が正常に機能している通知を行なう。セキュリティモジュール３１では、監視モジュール３２で設定された所要のインターフェースＩＤに対してのみ通知を送信する。

一方、時刻Ｔ０においては、複数の監視モジュール３２のうち、優先順位が第１位の監視モジュール３２ｂがセキュリティモジュール３１の異常を検知する権限を有し、所要のインターフェースＩＤを用いて受信部４１ｂによってセキュリティモジュール３１からの通知を受信する。時刻Ｔ０以降は、セキュリティモジュール３１が正常に機能している通知は、監視モジュール３２ｂの受信部４１ｂのみが受信する。

また、監視モジュール３２ａ，３２ｂ及び３２ｃは、監視モジュールチェック部４５ａ，４５ｂ及び４５ｃを介して互いに通信を行なっており、互いの機能状態を継続的に確認し合っている。

１．優先順位が第１位の監視モジュールに異常が発生した場合
１−１．優先順位が第２位の監視モジュールの機能
時刻Ｔ１において、優先順位が第２位の監視モジュール３２ａの監視モジュールチェック部４５ａが、優先順位が第１位である監視モジュール３２ｂの異常を検知したとする。監視モジュールチェック部４５ａは、優先順位判断部４６ａに「監視モジュール３２ｂの異常」を通知する。

優先順位判断部４６ａは、監視モジュール異常チェック部４５ａから「監視モジュール３２ｂの異常」が通知されると、優先順位に基づいて「監視モジュール３２ｂの異常」の通知以降は監視モジュール３２ａがセキュリティモジュール３１の異常を検知する権限を有すると判断する。また、優先順位判断部４６ａは、監視モジュール再起動部４７ａ及びインターフェースＩＤ制御部４８ａに、「セキュリティモジュール３１の異常を検知する権限あり」を通知する。

監視モジュール再起動部４７ａは、優先順位判断部４６ａから「セキュリティモジュール３１の異常を検知する権限あり」が通知されると、異常が検知された監視モジュール３２ｂを再起動させる。

また、インターフェースＩＤ制御部４８ａは、優先順位判断部４６ａから「セキュリティモジュール３１の異常を検知する権限あり」が通知されると、受信部４１ａのインターフェースＩＤを、セキュリティモジュール３１からの通知を受信するためのインターフェースＩＤに変更する。よって、時刻Ｔ１以降は、監視モジュール３２ａの受信部４１ａによってセキュリティモジュール３１からの通知が受信されることになる。

したがって、図３に示したように、監視モジュール３２ｂに異常が発生し、その監視モジュール３２ｂの再起動が終了するまでのまでの間（時刻Ｔ１乃至Ｔ２）は、優先順位が第２位の監視モジュール３２ａがセキュリティモジュール３１から通知を受信する。そして、時刻Ｔ１乃至Ｔ２において、セキュリティモジュール異常検知部４２ａは、所要時間が経過しても、セキュリティモジュール３１からの通知が受信部４１ａによって受信されない場合に「セキュリティモジュール異常」と判断し、セキュリティモジュール異常通知部４３ａやログ記録部４４ａに「セキュリティモジュール異常」を通知する。

そして、時刻Ｔ２において、監視モジュール３２ｂの再起動が終了したことを監視モジュールチェック部２５ａが検知すると、再び、インターフェースＩＤを変更して、監視モジュール３２ｂがセキュリティモジュール３１から通知を受信する。

ここで、優先順位判断部４６ａは、異常が発生した監視モジュール３２ｂの優先順位を最下位に降格させると共に、異常が発生した監視モジュール３２ｂより優先順位が下位であった全ての監視モジュールの優先順位をそれぞれ繰り上げるものとしてもよい。その場合、時刻Ｔ１以降は、優先順位が第２位から第１位に繰り上がった監視モジュール３２ａが、自身に異常が発生するまでセキュリティモジュール３１からの通知を受信する。

１−２．優先順位が第３位（第１位及び第２位以外）の監視モジュールの機能
時刻Ｔ１において、優先順位が第３位の監視モジュール３２ｃの監視モジュールチェック部４５ｃが、優先順位が第１位である監視モジュール３２ｂの異常を検知したとする。監視モジュールチェック部４５ｃは、優先順位判断部４６ｃに「監視モジュール３２ｂの異常」を通知する。

優先順位判断部４６ｃは、監視モジュール異常チェック部４５ｃから「監視モジュール３２ｂの異常」が通知されると、優先順位に基づいて「監視モジュール３２ｂの異常」の通知以降も、監視モジュール３２ｃがセキュリティモジュール３１の異常を検知する権限を有しないと判断する。

２．優先順位が第２位（第１位以外）の監視モジュールに異常が発生した場合
２−１．優先順位が第１位の監視モジュールの機能
時刻Ｔ１において、優先順位が第１位の監視モジュール３２ｂの監視モジュールチェック部４５ｂが、優先順位が第２位である監視モジュール３２ａの異常を検知したとする。監視モジュールチェック部４５ｂは、優先順位判断部４６ｂに「監視モジュール３２ａの異常」を通知する。

優先順位判断部４６ｂは、監視モジュール異常チェック部４５ｂから「監視モジュール３２ａの異常」が通知されると、優先順位に基づいて「監視モジュール３２ａの異常」の通知以降も監視モジュール３２ｂがセキュリティモジュール３１の異常を検知する権限を有すると判断する。また、優先順位判断部４６ｂは、監視モジュール再起動部４７ｂに、「セキュリティモジュール３１の異常を検知する権限あり」を通知する。

監視モジュール再起動部４７ｂは、優先順位判断部４６ｂから「セキュリティモジュール３１の異常を検知する権限あり」が通知されると、異常が検知された監視モジュール３２ａを再起動させる。

したがって、図４に示したように、監視モジュール３２ａに異常が発生し、その監視モジュール３２ａの再起動が終了するまでのまでの間（時刻Ｔ１乃至Ｔ２）に優先順位が第１位の監視モジュール３２ｂに異常が発生した場合、優先順位が第３位の監視モジュール３２ｃがセキュリティモジュール３１から通知を受信する。そして、時刻Ｔ２以降であって監視モジュール３２ｂの再起動の終了までにおいて、監視モジュール３２ａの再起動が終了したことを監視モジュールチェック部２５ｃが検知すると、再び、インターフェースＩＤを変更して、監視モジュール３２ａがセキュリティモジュール３１から通知を受信する。

ここで、優先順位判断部４６ｂは、異常が発生した監視モジュール３２ａの優先順位を最下位に降格させると共に、異常が発生した監視モジュール３２ｂより優先順位が下位であった全ての監視モジュールの優先順位をそれぞれ繰り上げるものとしてもよい。

２−２．優先順位が第３位（第１位以外）であって異常発生以外の監視モジュールの機能
時刻Ｔ１において、優先順位が第３位の監視モジュール３２ｃの監視モジュールチェック部４５ｃが、優先順位が第２位である監視モジュール３２ａの異常を検知したとする。監視モジュールチェック部４５ｃは、優先順位判断部４６ｃに「監視モジュール３２ａの異常」を通知する。

優先順位判断部４６ｃは、監視モジュール異常チェック部４５ｃから「監視モジュール３２ａの異常」が通知されると、優先順位に基づいて「監視モジュール３２ａの異常」の通知以降も、監視モジュール３２ｃがセキュリティモジュール３１の異常を検知する権限を有しないと判断する。

本実施形態のセキュリティ機能監視システム３０によると、医用機器Ｍ内のセキュリティ機能の異常を確実に検知すると共に、セキュリティ機能の異常を外部出力することで、医用機器Ｍの使用を停止させることなく、セキュリティ保護を目的とする法規に準拠した医用システムを構築できる。

図５は、セキュリティ機能監視システムのハードウェア構成を示す概略図である。

図５は、複数の医用機器Ｍ（図５では、３つの医用機器Ｍａ，Ｍｂ及びＭｃとして示す。）を示し、各医用機器Ｍａ，Ｍｂ及びＭｃは、ＬＡＮ（Ｌｏｃａｌ Ａｒｅａ Ｎｅｔｗｏｒｋ）等のネットワークＮを介して通信可能に接続される。医用機器Ｍａには画像データ生成装置１１ａ及び操作コンソール１２ａが、医用機器Ｍｂには画像データ生成装置１１ｂ及び操作コンソール１２ｂが、また、医用機器Ｍｃには画像データ生成装置１１ｃ及び操作コンソール１２ｃがそれぞれ備えられる。なお、画像データ生成装置１１ａ，１１ｂ及び１１ｃは、図１で説明した画像データ生成装置１１と、操作コンソール１２ａ，１２ｂ及び１２ｃは、図１で説明した操作コンソール１２とそれぞれ同様のハードウェア構成であるものとする。

図６は、本発明に係るセキュリティ機能監視システムの第２の実施形態を示すブロック図である。

図６は、セキュリティ機能監視システム３０Ａを示し、そのセキュリティ機能監視システム３０Ａは、図５に示した各医用機器Ｍａ，Ｍｂ及びＭｃ内にそれぞれ備える操作コンソール１２ａ，１２ｂ及び１２ｃの各ＣＰＵがプログラムを実行することによってそれぞれ機能するものである。

セキュリティ機能監視システム３０Ａは、医用機器Ｍａにおいてモジュール３１ａ、監視モジュール３２ａ及び起動モジュール３３ａとして機能し、医用機器Ｍｂにおいてモジュール３１ｂ、監視モジュール３２ｂ及び起動モジュール３３ｂとして機能し、医用機器Ｍｃにおいてモジュール３１ｃ、監視モジュール３２ｃ及び起動モジュール３３ｃとして機能する。

医用機器Ｍａに有するセキュリティモジュール３１ａは、監視モジュール３２ａに対して所要時間間隔で通知を送信する。医用機器Ｍｂに有するセキュリティモジュール３１ｂは、監視モジュール３２ｂに対して所要時間間隔で通知を送信する。また、医用機器Ｍｃに有するセキュリティモジュール３１ｃは、監視モジュール３２ｃに対して所要時間間隔で通知を送信する。

各医用機器Ｍａ，Ｍｂ及びＭｃに有する各監視モジュール３２ａ，３２ｂ及び３２ｃは、受信部４１ａ，４１ｂ及び４１ｃと、セキュリティモジュール異常検知部４２ａ，４２ｂ及び４２ｃと、セキュリティモジュール異常通知部４３ａ，４３ｂ及び４３ｃと、ログ記録部４４ａ，４４ｂ及び４４ｃと、監視モジュール異常チェック部４５ａ，４５ｂ及び４５ｃと、優先順位判断部４６ａ，４６ｂ及び４６ｃと、監視モジュール再起動部４７ａ，４７ｂ及び４７ｃと、インターフェースＩＤ制御部４８ａ，４８ｂ及び４８ｃとを有する。なお、便宜上、図６に示した監視モジュール３２ａには、受信部４１ａ及び監視モジュールチェック部４５ａのみを図示し、監視モジュール３２ｂには、受信部４１ｂ及び監視モジュールチェック部４５ｂのみを図示し、また、監視モジュール３２ｃには、受信部４１ｃ及び監視モジュールチェック部４５ｃのみを図示するものとする。

なお、図６に示したセキュリティ機能監視システム３０Ａにおいて、図２で示したセキュリティ機能監視システム３０と同一部材には同一符号を付して説明を省略する。

続いて、セキュリティ機能監視システム３０Ａの動作について図５乃至図８を参照しながら説明する。なお、時刻Ｔ０において、監視モジュール３２ａ，３２ｂ及び３２ｃのうち、監視モジュール３２ａの優先順位を第２位、監視モジュール３２ｂの優先順位を第１位、監視モジュール３２ｃの優先順位を第３位として説明する。

医用機器Ｍａ内のＣＰＵ、医用機器Ｍｂ内のＣＰＵ及び医用機器Ｍｃ内のＣＰＵがそれぞれプログラムを実行すると、医用機器Ｍａ、医用機器Ｍｂ及び医用機器Ｍｃは、セキュリティ機能監視システム３０Ａとして機能する。

医用機器Ｍａ内のセキュリティモジュール３１ａは、所要時間間隔で、同じ医用機器Ｍａ内の監視モジュール３２ａに自身が正常に機能している通知を行なう。医用機器Ｍｂ内のセキュリティモジュール３１ｂは、所要時間間隔で、同じ医用機器Ｍｂ内の監視モジュール３２ｂに自身が正常に機能している通知を行なう。また、医用機器Ｍｃ内のセキュリティモジュール３１ｃは、所要時間間隔で、同じ医用機器Ｍｃ内の監視モジュール３２ｃに自身が正常に機能している通知を行なう。

３．優先順位が第１位の監視モジュールに異常が発生した場合
３−１．優先順位が第２位の監視モジュールの機能
時刻Ｔ１において、医用機器Ｍａに有する優先順位が第２位の監視モジュール３２ａの監視モジュールチェック部４５ａが、医用機器Ｍｂに有する優先順位が第１位である監視モジュール３２ｂの異常を検知したとする。監視モジュールチェック部４５ａは、優先順位判断部４６ａに「監視モジュール３２ｂの異常」を通知する。

優先順位判断部４６ａは、監視モジュール異常チェック部４５ａから「監視モジュール３２ｂの異常」が通知されると、優先順位に基づいて「監視モジュール３２ｂの異常」の通知以降は、監視モジュール３２ａがセキュリティモジュール３１ｂの異常を検知する権限を有すると判断する。また、優先順位判断部４６ａは、監視モジュール再起動部４７ａ及びインターフェースＩＤ制御部４８ａに、「セキュリティモジュール３１ｂの異常を検知する権限あり」を通知する。

監視モジュール再起動部４７ａは、優先順位判断部４６ａから「セキュリティモジュール３１ｂの異常を検知する権限あり」が通知されると、異常が検知された監視モジュール３２ｂを再起動させる。

また、インターフェースＩＤ制御部４８ａは、優先順位判断部４６ａから「セキュリティモジュール３１ｂの異常を検知する権限あり」が通知されると、受信部４１ａのインターフェースＩＤとして、セキュリティモジュール３１ｂからの通知を受信するためのインターフェースＩＤを追加する。よって、時刻Ｔ１以降は、監視モジュール３２ａの受信部４１ａによってセキュリティモジュール３１ａからの通知と、セキュリティモジュール３１ｂからの通知とが受信されることになる。

したがって、図７に示したように、医用機器Ｍｂに有する監視モジュール３２ｂに異常が発生し、その監視モジュール３２ｂの再起動が終了するまでのまでの間（時刻Ｔ１乃至Ｔ２）は、医用機器Ｍａに有する優先順位が第２位の監視モジュール３２ａがセキュリティモジュール３１ｂから通知を受信する。そして、時刻Ｔ１乃至Ｔ２において、セキュリティモジュール異常検知部４２ａは、所要時間が経過しても、セキュリティモジュール３１ａ及び３１ｂからの通知が受信部４１ａによって受信されない場合に「セキュリティモジュール異常」と判断し、セキュリティモジュール異常通知部４３ａやログ記録部４４ａに「セキュリティモジュール異常」を通知する。

そして、時刻Ｔ２において、監視モジュール３２ｂの再起動が終了したことを監視モジュールチェック部２５ａが検知すると、再び、インターフェースＩＤを変更して、監視モジュール３２ｂがセキュリティモジュール３１ｂから通知を受信する。

３−２．優先順位が第３位（第１位及び第２位以外）の監視モジュールの機能
時刻Ｔ１において、医用機器Ｍｃに有する優先順位が第３位の監視モジュール３２ｃの監視モジュールチェック部４５ｃが、医用機器Ｍｂに有する優先順位が第１位である監視モジュール３２ｂの異常を検知したとする。監視モジュールチェック部４５ｃは、優先順位判断部４６ｃに「監視モジュール３２ｂの異常」を通知する。

優先順位判断部４６ｃは、監視モジュール異常チェック部４５ｃから「監視モジュール３２ｂの異常」が通知されると、優先順位に基づいて「監視モジュール３２ｂの異常」の通知以降も監視モジュール３２ｃがセキュリティモジュール３１ｂの異常を検知する権限を有しないと判断する。

４．優先順位が第２位（第１位以外）の監視モジュールに異常が発生した場合
４−１．優先順位が第１位の監視モジュールの機能
時刻Ｔ１において、医用機器Ｍｂに有する優先順位が第１位の監視モジュール３２ｂの監視モジュールチェック部４５ｂが、医用機器Ｍａに有する優先順位が第２位である監視モジュール３２ａの異常を検知したとする。監視モジュールチェック部４５ｂは、優先順位判断部４６ｂに「監視モジュール３２ａの異常」を通知する。

優先順位判断部４６ｂは、監視モジュール異常チェック部４５ｂから「監視モジュール３２ａの異常」が通知されると、優先順位に基づいて「監視モジュール３２ａの異常」の通知以降、監視モジュール３２ｂがセキュリティモジュール３１ａの異常を検知する権限を有すると判断する。また、優先順位判断部４６ｂは、監視モジュール再起動部４７ｂに、「セキュリティモジュール３１ａの異常を検知する権限あり」を通知する。

監視モジュール再起動部４７ｂは、優先順位判断部４６ｂから「セキュリティモジュール３１ａの異常を検知する権限あり」が通知されると、異常が検知された監視モジュール３２ａを再起動させる。

また、インターフェースＩＤ制御部４８ｂは、優先順位判断部４６ｂから「セキュリティモジュール３１ａの異常を検知する権限あり」が通知されると、受信部４１ｂのインターフェースＩＤとして、セキュリティモジュール３１ａからの通知を受信するためのインターフェースＩＤを追加する。よって、時刻Ｔ１以降は、監視モジュール３２ｂの受信部４１ｂによってセキュリティモジュール３１ａからの通知と、セキュリティモジュール３１ｂからの通知とが受信されることになる。

したがって、図８に示したように、医用機器Ｍａに有する監視モジュール３２ａに異常が発生し、その監視モジュール３２ａの再起動が終了するまでのまでの間（時刻Ｔ１乃至Ｔ２）は、医用機器Ｍｂに有する優先順位が第１位の監視モジュール３２ｂがセキュリティモジュール３１ａから通知を受信する。そして、時刻Ｔ２において、監視モジュール３２ａの再起動が終了したことを監視モジュールチェック部２５ｂが検知すると、再び、インターフェースＩＤを変更して、監視モジュール３２ａがセキュリティモジュール３１ａから通知を受信する。

４−２．優先順位が第３位（第１位及び異常発生以外）の監視モジュールの機能
時刻Ｔ１において、優先順位が第３位の監視モジュール３２ｃの監視モジュールチェック部４５ｃが、優先順位が第２位である監視モジュール３２ａの異常を検知したとする。監視モジュールチェック部４５ｃは、優先順位判断部４６ｃに「監視モジュール３２ａの異常」を通知する。

優先順位判断部４６ｃは、監視モジュール異常チェック部４５ｃから「監視モジュール３２ａの異常」が通知されると、「監視モジュール３２ａの異常」の通知以降も、監視モジュール３２ｃがセキュリティモジュール３１ａの異常を検知する権限を有しないと判断する。

よって、セキュリティ機能監視システム３０Ａでは、ネットワークＮを介して分散して監視モジュール３２ａ，３２ｂ及び３２ｃを配置することにより、リスクを分散し、より安全性の高いセキュリティシステムを構築することができる。

なお、セキュリティ機能監視システム３０Ａでは、各医用機器Ｍ内に１つの監視モジュール３２を有するように構成したが、各医用機器Ｍ内に複数の監視モジュール３２を有するように構成してもよい。その場合、医用機器Ｍ間で優先順位を設定し、また、医用機器Ｍ内で優先順位を設定することで、医用機器Ｍ間でセキュリティモジュールの異常の検知を補償し合えると共に、医用機器Ｍ内でセキュリティモジュールの異常の検知を補償し合える。

本実施形態のセキュリティ機能監視システム３０Ａによると、医用機器Ｍ内のセキュリティ機能の異常を確実に検知すると共に、セキュリティ機能の異常を外部出力することで、医用機器Ｍａ，Ｍｂ及びＭｃの使用を停止させることなく、セキュリティ保護を目的とする法規に準拠した医用システムを構築できる。

セキュリティ機能監視システムのハードウェア構成を示す概略図。 本発明に係るセキュリティ機能監視システムの第１の実施形態を示すブロック図。 本発明に係るセキュリティ機能監視システムの第１の実施形態における動作の一例を示す図。 本発明に係るセキュリティ機能監視システムの第１の実施形態における動作の一例を示す図。 セキュリティ機能監視システムのハードウェア構成を示す概略図。 本発明に係るセキュリティ機能監視システムの第２の実施形態を示すブロック図。 本発明に係るセキュリティ機能監視システムの第２の実施形態における動作の一例を示す図。 本発明に係るセキュリティ機能監視システムの第２の実施形態における動作の一例を示す図。

符号の説明

３０，３０Ａ セキュリティ機能監視システム
３１，３１ａ，３２ｂ，３２ｃ セキュリティモジュール
３２，３２ａ，３２ｂ，３２ｃ 監視モジュール
４０ 送信部
４１ａ，４１ｂ，４１ｃ 受信部
４２ａ，４２ｂ，４２ｃ セキュリティモジュール異常検知部
４３ａ，４３ｂ，４３ｃ セキュリティモジュール異常通知部
４４ａ，４４ｂ，４４ｃ ログ記録部
４５ａ，４５ｂ，４５ｃ 監視モジュールチェック部
４６ａ，４６ｂ，４６ｃ 優先順位判断部
４７ａ，４７ｂ，４７ｃ 監視モジュール再起動部
４８ａ，４８ｂ，４８ｃ インターフェースＩＤ制御部

Claims (9)

1. セキュリティ機能を実装しているセキュリティモジュールの異常を検知する監視モジュールと、その監視モジュールを起動させる起動モジュールとを有する単一の医用機器内において、複数の前記監視モジュールを有し、それら各監視モジュールに、
   他の監視モジュールの異常をチェックする監視モジュールチェック部と、
   前記監視モジュールチェック部によって前記他の監視モジュールの異常が検知された場合、優先順位に基づいて、自らの監視モジュールが前記セキュリティモジュールの異常を検知する権限を有するか否かを判断する優先順位判断部と、
   前記優先順位判断部によって前記自らの監視モジュールが前記セキュリティモジュールの異常を検知する権限を有すると判断された場合、インターフェースＩＤを前記セキュリティモジュールの異常を検知するためのインターフェースＩＤに変更するインターフェースＩＤ制御部と、を有することを特徴するセキュリティ機能監視システム。
2. 前記優先順位判断部によって前記自らの監視モジュールが前記セキュリティモジュールの異常を検知する権限を有すると判断された場合、異常が検知された前記他の監視モジュールを再起動させる監視モジュール再起動部を有することを特徴とする請求項１に記載のセキュリティ機能監視システム。
3. 前記優先順位判断部によって前記自らの監視モジュールが前記セキュリティモジュールの異常を検知する権限を有すると判断された場合、前記優先順位判断部は、異常が検知された前記他の監視モジュールの優先順位を最下位に降格させることを特徴とする請求項１に記載のセキュリティ機能監視システム。
4. 前記セキュリティモジュールの異常を検知すると、前記セキュリティモジュールの異常を外部装置に通知するセキュリティモジュール異常通知部を有することを特徴とする請求項１に記載のセキュリティ機能監視システム。
5. 前記セキュリティモジュールの異常を検知すると、前記セキュリティモジュールの異常の内容を記憶装置に記録する記録部を有することを特徴とする請求項１に記載のセキュリティ機能監視システム。
6. セキュリティ機能を実装しているセキュリティモジュールの異常を検知する監視モジュールと、その監視モジュールを起動させる起動モジュールとをそれぞれ有する複数の医用機器において、
   他の医用機器における監視モジュールの異常をチェックする監視モジュールチェック部と、
   前記監視モジュールチェック部によって前記他の医用機器における監視モジュールの異常が検知された場合、優先順位に基づいて、自らの医用機器における監視モジュールが前記他の医用機器におけるセキュリティモジュールの異常を検知する権限を有するか否かを判断する優先順位判断部と、
   前記優先順位判断部によって前記自らの医用機器における監視モジュールが前記他の医用機器におけるセキュリティモジュールの異常を検知する権限を有すると判断された場合、前記他の医用機器におけるセキュリティモジュールの異常を検知するためのインターフェースＩＤを追加するインターフェースＩＤ制御部と、を有することを特徴するセキュリティ機能監視システム。
7. 前記優先順位判断部によって前記自らの医用機器における監視モジュールが前記他の医用機器におけるセキュリティモジュールの異常を検知する権限を有すると判断された場合、異常が検知された前記他の医用機器における監視モジュールを再起動させる監視モジュール再起動部を有することを特徴とする請求項６に記載のセキュリティ機能監視システム。
8. 前記他の医用機器におけるセキュリティモジュールの異常を検知すると、前記他の医用機器におけるセキュリティモジュールの異常を外部装置に通知するセキュリティモジュール異常通知部を有することを特徴とする請求項６に記載のセキュリティ機能監視システム。
9. 前記他の医用機器におけるセキュリティモジュールの異常を検知すると、前記他の医用機器におけるセキュリティモジュールの異常の内容を記憶装置に記録する記録部を有することを特徴とする請求項６に記載のセキュリティ機能監視システム。

Images