JP2009048410A - 不正アクセス検出システム及び該システムを備える医用診断装置 - Google Patents

Abstract

【課題】正規のアクセス権限を備える操作者による、正当な理由のない患者情報への不正アクセスを簡易、適切に検出するための不正アクセス検出システム及び該システムを備える医用診断装置を提供する。
【解決手段】患者情報を記録する患者情報データベース２へのアクセスログを取得するアクセスログ取得手段１２と、アクセスログ取得手段１２によって取得されたアクセスログの内容を抽出するアクセスログ抽出手段１３と、アクセスログ抽出手段１３から取得した情報及び操作者の職種情報に基づいて患者情報へのアクセスが不正なアクセスであるか否かを検出する不正アクセス検出手段１４と、不正アクセス検出手段１４によって操作者の患者情報へのアクセスが不正なアクセスである場合に操作者に対してその旨の警告を報知する報知手段１６とを備える。
【選択図】図３

Description

本発明は、正規のアクセス権限をもった操作者による、正当な理由のない情報閲覧（不正アクセス）を検出する不正アクセス検出システム及び該システムを備える医用診断装置に関する。

昨今の医療機関においては、電子カルテシステム等を用いて患者に関する情報を電子化して、患者情報の管理の集約化を図るとともに、医療関係者がその情報を必要とするときに随時アクセスできるようにされている。これは、ハードの側面から言えば、例えば、Ｘ線診断装置やＣＴ（computed tomography：コンピュータ断層撮影）装置、超音波診断装置、磁気共鳴診断装置、ガンマカメラやＰＥＴ（positron-emission tomography：ポジトロン放出断層撮影）、及び診断用ワークステーション等の医用診断装置の発達により取得された患者情報がすぐに電子化されることにより可能になった。また、ソフトやネットワークの観点からは、例えば、病院情報管理システム（ＨＩＳ：Hospital Information System）、放射線部門情報管理システム（ＲＩＳ：Radiological Information System）、医用画像管理システム（ＰＡＣＳ：Picture Archiving Communication System）といった各種管理システムが医療機関内に構築されることによって可能となる。

一般的なネットワークの多くにおいては、ある情報にアクセス可能か否かの判断（権限管理の手法）は、以下の通りに行われることが多い。すなわち、ある情報にアクセスする者（以下、この者を「操作者」という。）に対してその権限に応じて必要な情報のみしか開示せず、その他の情報については一切のアクセスを認めず、従って、情報の開示も行わない、という手法である。

一方、医療関係者が患者情報にアクセスする場合、例えば、薬剤師が処方箋の内容に対して疑問を持ちその内容を確認をしたい場合に、通常業務では閲覧しない診断内容や医師名を閲覧する等、医療の安全性を確保する観点から、一般的に医療関係者に対してはその者が必要とする範囲よりも広めにアクセス権限が付与されている。

このように広めにアクセス権限が認められている、つまりこの範囲であれば正規のアクセス権限を有していることになるが、このような権限を持つ操作者であれば、正当な理由がなくとも権限内で閲覧可能な患者情報にアクセス（以下、このようなアクセスを「不正アクセス」という。）することが可能となってしまう。特に、例えば、著名人等が患者となった場合には、興味本位でその患者に関する情報にアクセスする医療関係者が増える等、個人情報保護の観点からも不適切なアクセスが増加する。

このような不正アクセスを検出する手法として、例えば、以下に挙げる特許文献１、２には次のような手法（発明）が開示されている。

特許文献１に開示された発明では、ユーザがシステムにログインする時間帯はある程度固定的であり規則性があるということに着目し、この統計結果に反した時間帯にログインがされたときには、そのログインはなりすましの疑いがあると判定することで、不正なアクセスを検出する。

特許文献２では、医用分野に特有の不正アクセスの監査を支援するために、医用装置および医用情報システムの少なくとも一方に保存された監査ログを取得する監査ログ取得部と、この監査ログ取得部により取得された監査ログを解析し、所望の対象を集計することにより解析結果を得る監査ログ解析部と、監査ログ解析部により得られた解析結果を表示装置に表示させるための解析結果情報を作成する解析結果情報作成部とを有する不正アクセス監査システムが開示されている。
特開２００２−２９７５４３号公報 特開２００６−１９５６３４号公報

しかしながら、上記特許文献１または特許文献２においては、不正なアクセスを検出するにあたって、単に患者単位のアクセス回数またはユーザログイン回数、検査画像の表示回数等をカウントするのみである。

医療関係者といっても、医者、看護師、検査技師等、その職種は様々であり、それぞれの職掌範囲から患者情報に関してそれぞれが仕事をする上で着目する情報種別も異なるはずである。これら医療関係者の患者情報への不正アクセスを検出するには、職種や情報種別を考慮しなければ適切な検出はできないと考えられる。上記特許文献１，特許文献２のいずれも不正なアクセスの検出に当たってこの点までの考慮はなされていない。

本発明は上記課題を解決するためになされたものであり、本発明の目的は、正規のアクセス権限を備える操作者による、正当な理由のない患者情報への不正アクセスを簡易、適切に検出するための不正アクセス検出システム及び該システムを備える医用診断装置を提供することである。

本発明の第１の実施の形態に係る特徴は、不正アクセス検出システムにおいて、患者情報を記録する患者情報データベースへのアクセスログを取得するアクセスログ取得手段と、アクセスログ取得手段によって取得されたアクセスログの内容を抽出するアクセスログ抽出手段と、アクセスログ抽出手段から取得した情報及び操作者の職種情報に基づいて患者情報へのアクセスが不正なアクセスであるか否かを検出する不正アクセス検出手段と、不正アクセス検出手段によって操作者の患者情報へのアクセスが不正なアクセスである場合に操作者に対してその旨の警告を報知する報知手段とを備える。

本発明の第２の実施の形態に係る特徴は、患者情報を記録する患者情報データベースへのアクセスが可能とされている医用診断装置において、患者情報を記録する患者情報データベースへのアクセスログを取得するアクセスログ取得手段と、アクセスログ取得手段によって取得されたアクセスログの内容を抽出するアクセスログ抽出手段と、アクセスログ抽出手段から取得した情報及び操作者の職種情報に基づいて患者情報へのアクセスが不正なアクセスであるか否かを検出する不正アクセス検出手段と、不正アクセス検出手段によって操作者の患者情報へのアクセスが不正なアクセスである場合に操作者に対してその旨の警告を報知する報知手段とを備える。

本発明によれば、正規のアクセス権限を備える操作者による、正当な理由のない患者情報への不正アクセスを簡易、適切に検出するための不正アクセス検出システム及び該システムを備える医用診断装置を提供することができる。

以下、本発明の実施の形態について図面を参照して詳細に説明する。

図１は、本発明の実施の形態における不正アクセス検出システムを組み込んだ医用診断装置を接続したネットワークシステム１の全体構成を示す構成図である。このネットワークシステム１では、患者情報を記憶する患者情報データベース２と、操作者がこの患者情報データベース２にアクセスした際のログを記憶しておくアクセスログデータベース３と、医用診断装置４Ａ及び４Ｂと、情報端末５Ａ及び５Ｂとが通信ネットワーク６を介して接続されている。この情報端末５Ａまたは５Ｂは、パーソナルコンピュータ（ＰＣ）やワークステーション等、通信ネットワークを介してデータベースや医用診断装置へアクセスすることができる端末である。従って、据え置き型、携帯型のいずれであっても良い。

このネットワークシステム１は、１つの医療機関内に構築されていても、或いは、患者情報データベース２、アクセスログデータベース３、医用診断装置４Ａまたは４Ｂ、情報端末５Ａまたは５Ｂが１つの医療機関内に備えられておらず、物理的、地理的に離れた場所に備えられていても良い。従って、通信ネットワーク６の例としては、ＬＡＮ（Local Area Network）やインターネット等のネットワークを挙げることができる。

図１では、通信ネットワーク６に接続される医用診断装置として２つ（医用診断装置４Ａ及び４Ｂ。以下、まとめて「医用診断装置４」と表わす）記載し、情報端末として２つ（情報端末５Ａ及び５Ｂ。以下、まとめて「情報端末５」と表わす）記載しているが、通信ネットワーク６に接続される医用診断装置４、情報端末５は単数或いは複数のいずれでも良い。

医用診断装置４は、例えば、Ｘ線診断装置やＣＴ装置、超音波診断装置、磁気共鳴診断装置、ガンマカメラやＰＥＴ（positron-emission tomography：ポジトロン放出断層撮影）、及び診断用ワークステーション等が該当する。また、医療機関に据え置き型の医用診断装置だけではなく、移動可能な医用診断装置も含まれる。本発明の実施の形態においては、不正アクセス検出システム１０をこれら医用診断装置４に組み込んだ場合を例に挙げて以下、説明を行うが、不正アクセス検出システム１０、患者情報データベース２、アクセスログデータベース３が１つのサーバに組み込まれていても良い。

図２は医用診断装置４の内部構成を示すブロック図である。医用診断装置４は、ＣＰＵ（Central Processing Unit）４ａと、ＲＯＭ(Read Only Memory) ４ｂと、ＲＡＭ（Random Access Memory）４ｃ及び入出力インターフェイス４ｄがバス４ｅを介して接続されている。入出力インターフェイス４ｄには、入力手段４ｆと、表示手段４ｇと、通信制御手段４ｈと、記憶手段４ｉと、リムーバブルディスク４ｊと、駆動部制御手段４ｋとが接続されており、駆動部制御手段４ｋによって医用診断装置４の各駆動部４ｌが制御される。

ＣＰＵ４ａは、入力手段４ｆからの入力信号に基づいてＲＯＭ４ｂから医用診断装置４を起動するためのブートプログラムを読み出して実行し、記憶手段４ｉに格納されている各種オペレーティングシステムを読み出す。またＣＰＵ４ａは、入力手段４ｆや入出力インターフェイス４ｄを介して、例えば、図１に示す情報端末５からの入力信号や図２おいて図示していないその他の外部機器からの入力信号に基づいて各種装置の制御を行う。さらにＣＰＵ４ａは、ＲＡＭ４ｃや記憶手段４ｉ等に記憶されたプログラム及びデータを読み出してＲＡＭ４ｃにロードするとともに、ＲＡＭ４ｃから読み出されたプログラムのコマンドに基づいて、データの計算または加工等、一連の処理を実現する処理装置である。

入力手段４ｆは、医用診断装置４の操作者が各種の操作を入力するキーボード、ダイヤル等の入力デバイスにより構成されており、操作者の操作に基づいて入力信号を作成しバス４ｅを介してＣＰＵ４ａに送信される。また、医用診断装置４には、キーボード等だけでなく専用の操作パネルが設けられており、その操作パネル上の入力デバイスを介して操作画面に対する操作を行うこともできる。表示手段４ｇは、例えば液晶ディスプレイであり、例えばＣＰＵ４ａからバス４ｅを介して出力信号を受信し、ＣＰＵ４ａの処理結果等を表示する手段である。

通信制御手段４ｈは、ＬＡＮカードやモデム等の手段であり、医用診断装置４をインターネットやＬＡＮ等の通信ネットワーク６に接続することを可能とする手段である。通信制御手段４ｈを介して通信ネットワーク６と送受信したデータは入力信号または出力信号として、入出力インターフェイス４ｄ及びバス４ｅを介してＣＰＵ４ａに送受信される。

記憶手段４ｉは、半導体や磁気ディスクで構成されており、ＣＰＵ４ａで実行されるプログラムやデータが記憶されている。

リムーバブルディスク４ｊは、光ディスクやフレキシブルディスクのことであり、ディスクドライブによって読み書きされた信号は、入出力インターフェイス４ｄ及びバス４ｅを介してＣＰＵ４ａに送受信される。

なお、本発明の実施の形態における医用診断装置４では、不正アクセス検出プログラムが記憶手段４ｉ、或いはリムーバブルディスク４ｊに格納されており、ＣＰＵ４ａに読み込まれ実行されることにより、不正アクセス検出システム１０が医用診断装置４に実装されることになる。

図３は、不正アクセス検出システム１０が医用診断装置４に実装された場合の構成を示すブロック図である。不正アクセス検出システム１０は、受信手段１１と、アクセスログ取得手段１２と、アクセスログ抽出手段１３と、不正アクセス検出手段１４と、グラフ作成手段１５と、報知（送信）手段１６とから構成される。

受信手段１１は、操作者が入力手段４ｆを介して患者情報データベース２へアクセスした旨の情報を受信する。

アクセスログ取得手段１２は、通信ネットワーク６に接続されているアクセスログデータベース３から操作者が患者情報データベース２にアクセスした際に記録されたログを取得する。アクセスログ取得手段１２がこのアクセスログを取得する間隔は任意に定めることができるが、例えば、一定時間ごと、或いは、いずれかの操作者が患者情報データベース２にアクセスするたびに取得するように設定することができる。

図４は、図１に示すアクセスログデータベース３に記憶されるアクセスログの一例を示す模式図である。図４に示すアクセスログは、例えば、左から「日時」、「イベントＩＤ」、「操作者」、「装置」、「アクション対象情報」の各項目についてアクセスログデータベース３に記録されている。「イベントＩＤ」は、操作者が医用診断装置４から患者情報データベース２へアクセスした際に行った行為（イベント）を示すものである。

操作者は、患者情報データベース２へアクセスするにあたり、或いは、医用診断装置４を立ち上げる際等に、例えば、自分の名前や操作者と一義的に結びつけられて与えられているＩＤを入力する。「操作者」の項目には、その操作者の名前やＩＤが記憶される。「装置」の項目は、操作者が患者情報データベース２へどの医用診断装置４を用いてアクセスしたかを示す。また、「アクション対象情報」の項目には、例えば、閲覧した患者のＩＤが示される。図４に示す模式図では、アクセスログデータベース３に例えば、「２００６年９月２９日、１１時１３分３５秒」に操作者「ａａａ」が「ＸＸＸ Ｈｏｓｐｉｔａｌ ＣＴ００１」という医用診断装置を使用して「１．２．５．１２１３．１」という患者ＩＤを持つ患者の情報にアクセスし、検査画像を表示させた、というログが残る、ということが示されている。

アクセスログ抽出手段１３は、アクセスログ取得手段１２から操作者の患者情報データベース２へのアクセスログを取得する。そして、それらのアクセスログから一定時間ごとに患者情報データベースへのアクセス回数等（例えば、ログオン時間、検査画像の表示回数）を抽出して基礎情報を作成する。

この基礎情報とは、ある職種が患者に関する情報の中でどのような情報種別にアクセスする傾向があるのかを示す情報であり、例えば、図５の模式図に示すような表形式で作成される。図５において、縦軸には「職種」として、例えば、「放射線科医師」、「診療科医師」、「看護師」、「薬剤師」等の職種が挙げられている。一方横軸には「医療情報の種別（情報種別）」が設けられている。「情報種別」は、カルテ、或いは電子カルテに設けられている項目を主として、医療関係者が患者に関する情報の中でアクセスする可能性がある項目が挙げられており、例えば、「患者情報」、「家族歴」、「カルテ」、「処方」、「検査記録」、「看護記録」である。

通常、職種に応じて使用されるアプリケーション（システム）が異なるため、基本的には操作者が使用する表示手段４ｇにはその操作者にとって必要とされる情報のみが表示される。図５の模式図においてはそのような情報種別には「◎」が付されている。但し、必要に応じてそれら以外の情報も閲覧することが可能とされていることがあり、その情報種別は「○」で表わされている。

例えば、「放射線科医師」はその職掌から、「検査記録」、「カルテ」には通常業務で閲覧するためアクセスする頻度が高いため「◎」が付されており、「患者情報」に対しては、通常閲覧しないが、アクセス権限は確保されていることから「○」が付されている。一方、「家族歴」、「処方」、「看護記録」にアクセスすることは基本的にないため、権限が与えられていない。看護師の場合は、看護の対象となる患者の情報及び看護の記録が必要となるため、「患者情報」、「看護記録」には「◎」が付され、看護において患者に出された処方も時に大切な情報となることから「○」とされている。

なお、この基礎情報は、上述のように情報種別に対する職種別のアクセス頻度を示すものであることから、その作成は、例えば、１週間ごと、或いは隔週ごと等、一定の時間ごとに行われれば足りる。

不正アクセス検出手段１４は、患者情報データベース２にアクセスした操作者の情報（名前やＩＤ）や閲覧対象となっている患者の情報をアクセスログ抽出手段１３に送信する。そして、アクセスログ抽出手段１３から送られてきた基礎情報や操作者に関する情報等を勘案して、その操作者によるかかるアクセスが不正なものであるか否かを検出（判断）する。

グラフ作成手段１５は、不正アクセス検出手段１４においてこの操作者の患者情報データベースへのアクセスが不正なものであると判断された場合に、その旨を操作者への報知のために、検出された不正アクセスを視覚化するグラフを作成する。本発明の実施の形態においては、不正アクセス検出手段１４による判断が不正である場合にのみグラフを作成するように不正アクセス検出手段１４から信号を受けることにしているが、不正アクセスであるか否かを問わずグラフを作成するようにしても良い。

報知（送信）手段１６は、不正アクセス検出手段１４での判断結果や必要に応じてグラフ作成手段１５によって作成されたグラフの情報を表示手段４ｇに送信して操作者に報知する。

次に、不正アクセス検出手段１４における操作者の患者情報データベース２へのアクセスが不正なものであるか否かの判断の流れについて、以下、適宜不正アクセス検出手段１４の内部構成を示しつつフローチャートを用いて説明する。

不正アクセス検出手段１４は、図６に示すように入力手段１４ａと、アクセスログ集計手段１４ｂと、全体平均集計手段１４ｃと、個別情報集計手段１４ｄと、職種別傾向分析手段１４ｅと、情報種別傾向分析手段１４ｆと、出力手段１４ｇとから構成される。

図７は、操作者による患者情報データベース２へのアクセスが開始されてから終了するまでの流れを示すフローチャートである。まず、操作者が医用診断装置４を用いて患者情報データベース２へアクセスする。ここでは、ログオンされた時点をアクセス開始と見ている（ＳＴ１）。アクセスが開始されると、アクセスログデータベース３にアクセスのログが記録される（ＳＴ２）。アクセスログデータベース３に記録される内容は、例えば、上述した図４に示すような形で記録される。また、不正アクセス検出システム１０が働いて操作者による当該患者情報データベース２へのアクセスが不正なものであるか否かの判断がなされる（ＳＴ３）。この判断の流れを細かく示したのが図８に示すフローチャートである。

受信手段１４ａは、操作者による患者情報データベース２へのアクセスを検知する（ＳＴ３１）。受信手段１４ａが検知した情報からアクセスログ集計手段１４ｂは、操作者の名前やＩＤから操作者の職種、閲覧対象となっている患者を示す情報や情報種別を判別する（ＳＴ３２）。これらの情報は、アクセスログ集計手段１４ｂからアクセスログ抽出手段１３へ送られ、上述した操作者からの入力情報等に基づいて各々の項目に合致する情報の提供の依頼がなされる（ＳＴ３３）。

アクセスログ抽出手段１３では、アクセスログ集計手段１４ｂからの情報提供依頼に基づいて、操作者の職種や閲覧対象となっている患者を示す情報、情報種別に合致する情報を全てアクセスログ取得手段１２から収集する（ＳＴ３４）。アクセスログ抽出手段１３は、アクセスログ取得手段１２から収集した情報及び上述したようなアクセスログ抽出手段１３が作成した基礎情報を併せてアクセスログ集計手段１４ｂへ送信する。

アクセスログ集計手段１４ｂは、アクセスログ抽出手段１３から送信された情報を全体平均集計手段１４ｃ及び個別情報集計手段１４ｄに送信する（ＳＴ３５）。情報を受信した全体平均集計手段１４ｃ及び個別情報集計手段１４ｄは、送られてきた情報を基にそれぞれアクセス頻度を集計する（ＳＴ３６）。

全体平均集計手段１４ｃは、患者情報データベース２に記録されている患者全体に対する情報種別ごとの職種別の操作者全体のアクセス回数を集計する。すなわち、その病院の全患者に対して、どの職種がどの情報種別にアクセスしたか、についてのアクセス回数の平均を集計する。

平均値としては、ある一定の期間（例えば、週、月）を定めて、情報種別、職種ごとに求める。例えば、職種ごとであれば、まず、全操作者の全患者に対するアクセス総数を求める。その後、このアクセス総数を職種ごとの操作者の人数で割ればその職種における操作者１人あたりの全患者へのアクセス回数がわかる。

個別情報集計手段１４ｄは、アクセスログ集計手段１４ｂからの情報に基づいて、患者情報データベース２へのアクセス回数に関して、患者別、情報種別に操作者別、となるようにアクセス回数を集計する。患者別、情報種別の個別情報に関しては、患者情報データベース２に記録されているある特定の患者についての情報種別ごとの職種別のアクセス回数を集計する。すなわち、例えば、その病院の患者Ａに対して、どの職種がどの情報種別をどのような頻度で閲覧したかを集計する。一方、操作者別の個別情報に関しては、患者情報データベース２に記録されている患者全体に対するある特定の操作者についてのアクセス回数を集計する。すなわち、現在患者情報データベース２内に記録されている患者情報の閲覧を希望している操作者が、これまでどの患者のどの情報種別を閲覧したかについてのアクセス回数が集計される。全体平均集計手段１４ｃ及び個別情報集計手段１４ｄは、集計した情報をそれぞれ職種別傾向分析手段１４ｅと情報種別傾向分析手段１４ｆとに送信する（ＳＴ３７）。

職種別傾向分析手段１４ｅでは、全体平均集計手段１４ｃによって集計された平均値と、個別情報集計手段１４ｄによって集計されたある特定の操作者（ここでは現在患者情報データベース２へアクセスしようとしている操作者）についてのアクセス回数との差分をとり、職種別及びその操作者の傾向を分析、判断する（ＳＴ３８）。

操作者がその操作者の属する職種のアクセス回数の平均に対して予め定めた閾値を超えない（その操作者のアクセス傾向には特異な傾向は見られない）場合には（ＳＴ３９のＮｏ）、その操作者が閲覧を希望している所望の情報を表示する（図７のＳＴ６）。その後、その操作者によるログオフ（アクセスの終了）があったか否かが判断され（ＳＴ７）、あった場合には不正アクセスの検出は終了する。一方、ログオフされず、さらに患者情報データベース２へのアクセスが続行される場合には、そのアクセスが行われるたびに不正アクセスであるか否かの判断がなされる（ＳＴ３）。

情報種別傾向分析手段１４ｆでは、全体平均集計手段１４ｃによって集計された平均値と、個別情報集計手段１４ｄによって集計されたある特定の患者（ここでは現在患者情報データベース２へアクセスしようとしている操作者がアクセスを希望している患者）についてのアクセス回数との差分をとり、情報種別の傾向を分析、判断する（ＳＴ３８）。図９は、ある週における職種ごとの全患者の情報種別に対するアクセス回数の平均値を示した表である。この表によれば、例えば、「診療科医師」は、「カルテ」及び「検査記録」に対して平均５０回、「患者情報」に対して平均２０回、「処方」に対して平均２０回アクセスしていることがわかる。これは、アクセスログ抽出手段１３から送信された基礎情報に示すアクセス可能な情報種別に対応している（図５参照）。この表と比較して、特定の患者に対する操作者の属する職種によるアクセス回数について特異な傾向が見られない場合には、上述のように所望の情報が表示される。

一方、比較の結果、操作者がアクセスを希望している患者の情報種別についてのアクセス回数の平均に対して予め定めた閾値を超えた（その患者へのアクセス傾向にある特異な傾向が見られる）場合には（ＳＴ３９のＹｅｓ）、警告を発する準備を行う。ここでの閾値は、職種別の平均値を踏まえて任意に定めることができる。警告の準備としては、グラフ作成手段１５に対して分析結果を送信して、分析結果のグラフの作成を依頼する（ＳＴ４０）。この依頼に基づいて、グラフ作成手段１５はグラフを作成する（ＳＴ４１）。グラフが作成されたら、例えば、図１０に示すような表示が報知（送信）手段１６を介して表示手段４ｇに表示される。報知方法に関しては、操作者に対して注意を促すことができればどのような方法でも構わないが、本発明の実施の形態においては、閲覧理由を操作者に入力させ、操作者によるその患者情報の情報種別へのアクセスが正当でないことをグラフ化して示すようにしているため、視覚に訴える方法を採用している。

図１０に示す報知表示においては、操作者によるその患者情報の情報種別へのアクセスについて正当な理由が必要であることが示され、その理由を入力することができるようにされている。この報知表示には、「ＯＫボタン」と「Ｃａｎｃｅｌボタン」が設けられており、操作者がいずれのボタンを押したかによって、不正アクセス検出手段１４は患者情報へのアクセスを続行するか否かを判断する（ＳＴ５）。

操作者が表示された報知表示を見て、自らの患者情報データベース２へのアクセスが不正なものであると認識した場合には「Ｃａｎｃｅｌボタン」が押されるため、患者情報データベース２へのアクセスは拒否される（ＳＴ５のＮｏ）。その後、さらに操作者が別の患者情報へのアクセスを行うために患者情報データベース２へのアクセス行うか、ログオフをするのかが判断される（ＳＴ７）。

一方、操作者が正当理由入力欄に閲覧理由を入力して「ＯＫボタン」を押すことによって患者情報データベース２へのアクセスが認められ（ＳＴ５のＹｅｓ）、所望の情報が表示される（ＳＴ６）。但し、本発明の実施の形態においては、操作者によって入力された閲覧理由の内容を判断することはしていない。報知表示を操作者に示すことによって自発的に患者情報データベース２へのアクセスを取りやめることを促すことのために報知表示を行うこと、また、患者情報データベース２へのアクセスは医療関係者が行うものであり、たとえそのアクセスが操作者に認められる権限外の行為であっても、医療行為上必要な場合も考えられること、からである。なお、閲覧理由は、アクセスログデータベース３に記録される。また、さらには、ネットワーク管理者等に通知される仕組みを採用しても良い。

図１１に示すグラフは、図１０に示す報知表示にある「詳細」ボタンを押すことによって表示されるグラフである。このグラフは、不正アクセス検出手段１４によってそのアクセスが不正なものであると判断されてグラフ作成手段１５が作成したものである。図１１に示すグラフには、「Ｄｏｃｔｏｒ（医師）」、「Ｎｕｒｓｅ（看護師）」、「Ｐｈａｒｍａｃｉｓｔ（薬剤師）」の３つのタブが設けられており、それぞれの職種における傾向がグラフ化されている。このグラフは「Ｎｕｒｓｅ（看護師）」に関するグラフであり、縦軸に「アクセス回数」、横軸に「情報種別」が示されている。また、各情報種別には２つの棒グラフが表示されており、左側が患者Ａに対するアクセス回数、右側が全患者に対する平均アクセス回数が示されている。このグラフでは、「患者情報」、「看護記録」といった情報種別に関して全体平均よりも突出して患者Ａの情報に対するアクセス回数が多いことがわかる。すなわち、看護師は「患者情報」にアクセスする権限を有しているものの、患者Ａの「患者情報」については、全体平均に比して非常にアクセス回数が非常に多くなっており、これは正当な理由のない不正アクセスであると判断することができる。操作者がこのようなグラフを見ることによって、自らのアクセスが不正なものであると認識することができ、不正アクセスの抑止につなげることができる。

このように、操作者の患者情報データベース２へのアクセスに関して、職種別、及び情報種別の両面からアクセスログを分析して不正アクセスであるか否かを判断することにより、正規のアクセス権限を備える操作者による、正当な理由のない患者情報への不正アクセスを簡易、適切に検出するための不正アクセス検出システム及び該システムを備える医用診断装置を提供することができる。

なお、上述した実施の形態においては、不正アクセス検出システム１０を医用診断装置４に実装された例を挙げて説明をしたが、この不正アクセス検出システム１０を情報端末５に実装して使用することも可能である。

また、この発明は、上記実施の形態そのままに限定されるものではなく、実施段階ではその要旨を逸脱しない範囲で構成要素を変形して具体化できる。上記実施の形態に開示されている複数の構成要素を適宜組み合わせることにより種々の発明を形成できる。例えば、実施の形態に示される全構成要素から幾つかの構成要素を削除してもよい。更に、異なる実施の形態に亘る構成要素を適宜組み合わせてもよい。

本発明の実施の形態における不正アクセス検出システムを組み込んだ医用診断装置を接続したネットワークシステムの全体構成を示す構成図である。 本発明の実施の形態における医用診断装置の内部構成を示すブロック図である。 不正アクセス検出システムの内部構成を示すブロック図である。 図１に示すアクセスログデータベースに記憶されるアクセスログの一例を示す模式図である。 ある職種がどのような情報種別にアクセスする傾向があるのかを表形式で示した模式図である。 不正アクセス検出手段の内部構成を示すブロック図である。 操作者による患者情報データベースへのアクセスが開始されてから終了するまでの流れを示すフローチャートである。 操作者による患者情報データベースへのアクセスが不正アクセスであるか否かを検出する流れを示すフローチャートである。 職種ごとの全患者の情報種別に対するアクセス頻度の平均値の一例を示した表である。 報知表示の例を示す模式図である。 不正アクセスであることを示すグラフの一例である。

符号の説明

１ ネットワークシステム
２ 患者情報データベース
３ アクセスログデータベース
４ 医用診断装置
５ 情報端末
１０ 不正アクセス検出システム
１１ 受信手段
１２ アクセスログ取得手段
１３ アクセスログ抽出手段
１４ 不正アクセス検出手段
１５ グラフ作成手段
１６ 報知（送信）手段

Claims (9)

1. 患者情報を記録する患者情報データベースへのアクセスログを取得するアクセスログ取得手段と、
   前記アクセスログ取得手段によって取得されたアクセスログの内容を抽出するアクセスログ抽出手段と、
   前記アクセスログ抽出手段から取得した情報及び操作者の職種情報に基づいて患者情報へのアクセスが不正なアクセスであるか否かを検出する不正アクセス検出手段と、
   前記不正アクセス検出手段によって操作者の患者情報へのアクセスが不正なアクセスである場合に操作者に対してその旨の警告を報知する報知手段と、
   を備えることを特徴とする不正アクセス検出システム。
2. 前記不正アクセス検出システムは、前記不正アクセス検出手段が操作者の患者情報へのアクセスが不正なアクセスであると判断した場合にその判断結果をグラフ化するグラフ作成手段を備えることを特徴とする請求項１に記載の不正アクセス検出システム。
3. 前記不正アクセス検出手段は、全患者情報に関する情報種別についての職種別のアクセス頻度を集計する全体平均集計手段と、前記患者情報データベースへのアクセス頻度を患者別、情報種別、操作者別に集計する個別情報集計手段と、前記全体平均集計手段と前記個別情報集計手段とによって集計されたアクセス頻度を基に職種別の傾向を分析する職種別傾向分析手段及び情報種別の傾向を分析する情報種別傾向分析手段と、を備えることを特徴とする請求項１または請求項２に記載の不正アクセス検出システム。
4. 前記職種別傾向分析手段は、前記全体平均集計手段によって集計された平均値と前記個別情報集計手段によって集計された操作者別の情報とを比較して警告報知の有無を判断することを特徴とする請求項１ないし請求項３のいずれかに記載の不正アクセス検出システム。
5. 前記情報種別傾向分析手段は、前記全体平均集計手段によって集計された平均値と前記個別情報集計手段によって集計された患者別、情報種別の情報とを比較して警告報知の有無を判断することを特徴とする請求項１ないし請求項３のいずれかに記載の不正アクセス検出システム。
6. 前記報知手段には、操作者に対して前記操作者がアクセスを希望する患者情報への閲覧理由を記入させる欄が設けられていることを特徴とする請求項１ないし請求項５のいずれかに記載の不正アクセス検出システム。
7. 患者情報を記録する患者情報データベースへのアクセスが可能とされている医用診断装置において、
   前記患者情報データベースへのアクセスログを取得するアクセスログ取得手段と、
   前記アクセスログ取得手段によって取得されたアクセスログの内容を解析するアクセスログ抽出手段と、
   前記アクセスログ抽出手段から取得した情報及び操作者の職種情報に基づいて患者情報へのアクセスが不正なアクセスであるか否かを検出する不正アクセス検出手段と、
   前記不正アクセス検出手段によって操作者の患者情報へのアクセスが不正なアクセスである場合にその旨警告を報知する報知手段と、
   を備えることを特徴とする医用診断装置。
8. 前記医用診断装置は、前記不正アクセス検出手段が操作者の患者情報へのアクセスが不正なアクセスであると判断した場合にその判断結果をグラフ化するグラフ作成手段を備えることを特徴とする請求項７に記載の医用診断装置。
9. 前記不正アクセス検出手段は、全患者情報に関する情報種別についての職種別のアクセス頻度を集計する全体平均集計手段と、前記患者情報データベースへのアクセス頻度を患者別、情報種別、操作者別に集計する個別情報集計手段と、前記全体平均集計手段と前記個別情報集計手段とによって集計されたアクセス頻度を基に職種別の傾向を分析する職種別傾向分析手段及び情報種別の傾向を分析する情報種別傾向分析手段と、を備えることを特徴とする請求項７または請求項８に記載の医用診断装置。

Images