JP2014123309A - プログラム、方法、および情報処理装置 - Google Patents

Abstract

【課題】システムを操作しているユーザと、システムにログインしたユーザとの同一性または整合性を監視する。
【解決手段】電子カルテ・システムのユーザの同一性または不正性を監視するためのプログラムは、現在のユーザによる操作に関する操作情報が、電子カルテ・システムにログインしたユーザの職種、所属または参照操作形態に関する情報と整合するかどうかを判定し(1232,410)、操作情報が職種、所属または参照操作形態と整合しないと判定された場合、認証情報入力用の画面情報を提示させ(1234,482)、ログインしたユーザの認証情報が入力されなかった場合に、操作情報に対する警告を表す情報を格納する(1234,484-486)処理を実行させる。
【選択図】図４

Description

本発明は、例えば電子カルテ・システムのようなシステムのユーザの監視に関する。

電子カルテ・システムは、患者のカルテの情報を電子的に記録し保存し管理するものであり、さらに、例えば、オーダリング機能を含み、画像、検査、看護に関する情報を含む総合医療管理システムであってもよい。電子カルテ・システムにおいて、患者のカルテ情報は、例えば、医師、看護師、薬剤師、技師、事務員、等によって記録され、閲覧され、管理される。電子カルテは、日本政府によって、真正性、見読性、保存性の確保が求められている。真正性の確保とは、故意または過失による虚偽入力、書き換え、消去および混同を防止し、情報作成の責任の所在を明確にすることである。保存性の確保とは、法令で定められた保存期間において復元可能な状態で保存することであり、診療録の保存期間は５年である。見読性の確保とは、情報の内容を必要に応じて肉眼で見読可能な状態に容易にでき、情報の内容を必要に応じて直ちに書面にできることである。

既知の或る画像処理装置では、１つのユーザＩＤに対して複数のパスワードが対応付けられており、ユーザが入力したユーザＩＤとパスワードによってユーザに対する第１の個人認証を行い、ユーザの生体情報に基づいて第２の個人認証を行う。また、その画像処理装置は、その第１と第２の個人認証結果に応じて、機密文書等の画像データに対して、認証結果を示す認証情報を電子透かしに付加して出力するか、または強制的にログアウトさせる。

既知の或る情報セキュリティ管理システムは、事業目的遂行のために構成された組織での情報防御のために管理対象を管理する。また、そのシステムは、組織が順守すべき複数項目のセキュリティ・ポリシーの作成を支援し、セキュリティ・ポリシーのデータをその項目の内容に従って管理対象別適用部分に小分けし、情報処理操作が適正であるかを判定し、それが不適正の場合に不適正の報知をする。また、そのシステムは、その判定結果に基づいて組織内情報保護体制の不備を診断し、診断結果に基づいて組織内情報保護体制についての監査レポートを作成する。また、そのシステムは、診断結果に応じて小分けされていないセキュリティ・ポリシーのデータを更新し、その更新データ部分が管理対象別の小分けセキュリティ・ポリシー・データのいずれに対応しているかに応じて、対応小分けセキュリティ・ポリシー・データを更新データ部分の内容に自動更新する。

特開２００６−１９５８１９号公報 特開２００６−２３９１６号公報

既知の画像処理装置では、ユーザの操作を監視し、その操作に関する情報をユーザの操作履歴と比較することによって個人認証を行う。しかし、そのような画像処理装置では、操作履歴情報に基づいてユーザ個人を特定することはできない。

また、既知の情報セキュリティ管理システムでは、一般的な情報操作に基づいて操作パターンを学習する。しかし、そのようなシステムでは、例えばなりすましなどによるユーザの非同一性または不正性を検出することはできない。

一方、発明者は、電子カルテ・システムの特性を利用すれば、認証を行ったユーザと、現時点でシステムを操作しているユーザとの同一性または整合性を識別することができる、と認識した。

実施形態の目的は、システムを操作しているユーザと、システムにログインしたユーザとの同一性または整合性を監視することである。

実施形態の一観点によれば、記憶装置を含む情報処理装置上で動作する電子カルテ・システムのユーザの不正性を監視するためのプログラムであって、前記電子カルテ・システムの現在のユーザによる或る情報処理端末の操作に関する操作情報が、前記或る情報処理端末を操作して前記電子カルテ・システムにログインしたユーザの職種、所属または参照操作形態に関する情報と整合するかどうかを判定し、前記操作情報が、前記ログインしたユーザの前記職種、所属または参照操作形態と整合しないと判定された場合に、認証情報入力用の画面情報を前記或る情報処理端末に提示させ、前記認証入力用の画面情報に対して、前記ログインしたユーザの認証情報が入力されなかった場合に、前記操作情報に対する警告を表す情報を前記記憶装置に格納する処理を前記情報処理装置に実行させるためのプログラムが提供される。

実施形態の一観点によれば、電子カルテ・システムの特性を利用して、認証を行ったユーザと、現時点でシステムを操作しているユーザとの同一性または整合性を識別できることができる。

図１は、実施形態による、ネットワークに接続される、サーバ装置、モバイル型の情報処理端末、所定の場所に配置された情報処理端末を含むシステムの概略的な構成（configuration）の例を示している。の例を示している。 図２は、情報処理装置のプロセッサの概略的な構成（configuration）の例を示している。 図３Ａ〜３Ｅは、データベースに格納される各情報テーブルのデータ構造およびデータの例を示している。 図４は、サーバ装置のプロセッサによって実行される、電子カルテ・システムにおけるユーザの操作を監視するための処理のフローチャートの例を示している。 図５は、図４のステップのより詳細なフローチャートの例を示している。 図６Ａ〜６Ｃは、或る患者の電子カルテの表示画面の例を示している。 図７は、サーバ装置によって実行される、ユーザ毎の参照操作形態またはパターンを生成するための処理のフローチャートの例を示している。

発明の目的および利点は、請求の範囲に具体的に記載された構成要素および組み合わせによって実現され達成される。
前述の一般的な説明および以下の詳細な説明は、典型例および説明のためのものであって、本発明を限定するためのものではない、と理解される。

本発明の非限定的な実施形態を、図面を参照して説明する。図面において、同様のコンポーネントおよび要素には同じ参照番号が付されている。

前述の見読性と保存性の確保は、電子カルテ・システムの機能によって実現することができる。一方、真正性の確保のために、電子カルテ・システムでは、電子カルテに患者の診療記録を入力した或る専門職種の担当者が記録される。特定の専門職種の本来の担当者によって行われる入力を別の者が代行して行う場合には、電子カルテ・システムでは、担当者による権限移譲の明示と、その代行者による入力の範囲とを記録することになる。しかし、真正性の確保は、病院毎の電子カルテ・システムの運用規定に一部依存し、ユーザ同士の電子カルテ・システムの運用上のマナーにも一部依存し、不充分なことがある。従って、真正性の確保は、既知の電子カルテ・システムの機能では不充分である。

電子カルテ・システムでは、例えば、情報処理端末が概して２４時間連続的に稼働状態にされ、複数の医師および看護師がユーザ認証を行った上で同じ情報処理端末を使用し、また、情報処理端末の操作および入力が、アプリケーション・プログラムによる管理下で行われる。例えば、或る医師がユーザ認証を行って電子カルテ・システムにログインして或る患者の電子カルテにアクセスして情報を入力し、その後でログオフせずに他の医師または看護師がその電子カルテに別の情報を入力する場合に、他の医師または看護師による或る医師へのなりすましが発生する。従って、既知の電子カルテ・システムでは、ログイン後に実際に入力を行ったユーザ個人を適切に識別することは実際には困難である。また、システム管理者が、既知の電子カルテ・システムの操作ログを監査することによって、ユーザの非同一性または不正性を適時に検出することは、その操作ログの量が膨大なので、困難である。

また、電子カルテ・システムにおいて、ユーザ認証のレベルを高くすると、認証機能が複雑化しその認証のための操作が煩雑化して、そのシステムの使い勝手が悪くなる。一方、電子カルテ・システムにおいて、ユーザ認証のレベルを低くすると、例えばなりすまし等のユーザ自身が関与した不正な操作が行われる可能性が高くなる。

発明者は、電子カルテ・システムの業務の特性を利用すれば、認証を行ったユーザと、現時点でシステムを操作しているユーザとが整合または一致するかどうかを容易に識別することができる、と認識した。また、発明者は、例えば、電子カルテ・システムのユーザの職種、利用場所、利用機能、アクセスされた患者情報、および利用機能の操作形態に関する情報を統計的に処理して、ユーザ毎の参照用の操作形態の特徴を抽出または生成することができる、と認識した。また、発明者は、ユーザ毎の現在の操作または操作形態の特徴と、ユーザの参照用の操作形態の特徴との整合性を判定し、両者の整合性が低い場合に、ユーザの非同一性または不正性の可能性が高いと判定することができる、と認識した。

図１は、実施形態による、例えば病院内のイントラネットのようなネットワーク５に接続される、サーバ装置１０、モバイル型の情報処理端末３０、３４、所定の場所に配置された情報処理端末３２、３６を含むシステムの概略的な構成（configuration）の例を示している。図１のシステムは、例えばインターネットのようなネットワーク７に接続されるモバイル型の情報処理端末４０を含んでいてもよい。ネットワーク７が、仮想プライベート・ネットワーク（ＶＰＮ）装置またはゲートウェイ（ＧＷ）６を介してネットワーク５に接続されてもよい。

情報処理端末３０〜３６は、ネットワーク５を介してサーバ装置１０に接続される。情報処理端末３０は、アクセス・ポイント（無線基地局）５２を介して無線でネットワーク５に接続されてもよい。モバイル型の情報処理端末４０は、ネットワーク７を介し、仮想プライベート・ネットワーク装置またはゲートウェイ６を介し、ネットワーク５を介してサーバ装置１０に接続される。

図１において、サーバ装置１０は、情報処理装置であり、例えば、プロセッサ１０２、メモリ１０４、内部バス、ネットワーク・インタフェース（ＮＷ Ｉ／Ｆ）１０８、等を含むコンピュータであってもよい。サーバ装置１０は、例えば、複数のサーバ・ユニットまたはサーバ・ブレードを含むものであってもよい。サーバ装置１０は、さらに、内部バスに結合された、記録媒体読み取り用のドライブ１０６、およびデータベース１６２を含むハードディスク・ドライブ（ＨＤＤ）のような記憶装置１６を含んでいる。

ドライブ１０６は、ソフトウェアが記録された例えば光ディスクのような記録媒体１６４を読み取るために設けられている。そのソフトウェアは、例えば、ＯＳ、データベース管理システム（ＤＢＭＳ）、アプリケーション・プログラム、等を含んでいてもよい。

プロセッサ１０２は、コンピュータ用のＣＰＵ（Central Processing Unit）であってもよい。メモリ１０４には、例えば、主記憶装置および半導体メモリ等が含まれる。

プロセッサ１０２は、メモリ１０４および／または記憶装置１６に格納されたそのソフトウェアまたはその一部に従って動作するものであってもよい。そのソフトウェアは、記録媒体１６４に格納されていて、ドライブ１０６によって記録媒体１６４から読み出されてサーバ装置１０にインストールされてもよい。また、代替形態として、プロセッサ１０２は、上述のソフトウェアの機能の少なくとも一部を含む例えば集積回路として実装された専用のプロセッサであってもよい。

モバイル型の情報処理端末３０、３４は、例えば、低送信出力のＰＨＳ（Personal Handy-phone System）または無線ＬＡＮ（Local Area Network）の規格による病院内のアクセス・ポイント５２を介してサーバ装置１０に接続することができる。また、情報処理端末３４は、外来用のモバイル端末であってもよく、例えば、外来用の診察室に配置されたＬＡＮ端子に接続することができる。情報処理端末３２は、例えば、病棟の各室に配置されたＬＡＮ端子を介してサーバ装置１０に接続することができる。情報処理端末３６は、例えば、看護部、薬局、検査室、事務室、リハビリ部等の各部門に配置されたＬＡＮ端子を介してサーバ装置１０に接続することができる。モバイル型の情報処理端末４０は、病院外用のモバイル端末であってもよく、例えば、研究機関または大学の研究室またはユーザ宅に配置されたＬＡＮ端子を介しインターネット７を介してサーバ装置１０に接続することができる。

情報処理端末３０〜３６、４０とサーバ装置１０とは、クライアント−サーバ・システムを形成してもよい。また、情報処理端末３０〜３６、４０は、シンクライアントであってもよい。

図２は、サーバ装置１０のプロセッサ１０２の概略的な構成（configuration）の例を示している。

プロセッサ１０２は、制御部１２２０を含み、さらに、アプリケーション部１２２４、電子カルテ・システム部１２２６、操作監視部１２３０、部門別処理部１２４０、その他の処理部１２５０を含み、またはその一部を含んでいてもよい。操作監視部１２３０は、電子カルテ・システム部１２２６またはアプリケーション部１２２４の一部であってもよい。操作監視部１２３０は、整合性判定部１２３２、不整合処理部１２３４および統計処理部１２３６を含んでいてもよい。制御部１２２０は、アプリケーション部１２２４、電子カルテ・システム部１２２６、操作監視部１２３０、部門別処理部１２４０、処理部１２５０に制御信号を供給して、これらの要素の動作を制御してもよい。

電子カルテ・システム部１２２６は、例えば、情報処理端末３０〜３６、４０からアクセスされた場合に、ユーザの識別情報（ＩＤ）およびパスワード、さらに生体情報を利用したユーザ認証機能を含んでいてもよい。また、電子カルテ・システム部１２２６は、例えば、或る時間期間にわたって操作が無い場合にスクリーン・セーバを表示し、操作が再開される場合に再度認証を行う機能を含んでいてもよい。また、電子カルテ・システム部１２２６は、例えば、ユーザおよび職種に応じて、電子カルテの診療情報へのアクセス範囲および利用ツールを許容しおよび制限する機能を含んでいてもよい。また、電子カルテ・システム部１２２６は、例えば、特定の職種の担当者に代わって他の者が情報処理端末を代行操作する場合に、その担当者または依頼者および代行操作者を記録させる監査機能を含んでいてもよい。

電子カルテ・システム部１２２６は、利用可能な機能またはツールとして、例えば、患者検索ツール、診療行為入力ツール、実施項目入力ツール、および補助機能ツールを含んでいてもよい。電子カルテ・システム部１２２６は、利用可能な機能として、さらに、例えば、処方オーダ・ツール、検査オーダ・ツール、予約オーダ・ツール、再診予約ツール、病名登録ツール、患者スケジュール・ツール、インチャージ・シート・ツール、および処方受付ツールを含んでいてもよい。処方オーダ・ツールは、例えば、薬剤処方オーダ、注射オーダ、処置オーダ、食事オーダを含んでいてもよい。

例えば、処方オーダ・ツール、検査オーダ・ツールおよび病名登録ツールは、医師によって使用され、看護師のようなその他の職種によって使用されることはない。例えば、インチャージ・シート・ツールおよび経過表は、看護師によって使用され、医師、技師のようなその他の職種によって使用される可能性は低い。例えば、処方受付ツールは、薬剤師によって使用され、医師または技師のようなその他の職種によって使用される可能性は低い。このように、各ツールの使用の可能性は職種によって異なることがある。また、各ツールの使用の形態、習慣および頻度は、同じ職種でもユーザによって異なることがある。

図３Ａ〜３Ｅは、データベース１６２に格納される各情報テーブルのデータ構造およびデータの例を示している。

図３Ａの表１は、電子カルテ・システムへのログインと電子カルテへのアクセスに関するログの記録のテーブルの例を示している。表１は、操作ログから抽出された、ユーザＩＤ、情報処理端末ＩＤ、ログイン日時、およびアクセス患者ＩＤのフィールドを含んでいる。
表１は、例えば、ユーザＩＤ“ＸＸＸＸＸＸＸＸ”のユーザによって、情報処理端末ＩＤ“ＡＡＡ”で、日時“２０１２年７月３０日１３時”にログインが行われ、患者ＩＤ“１２３４５６７８”のカルテ情報がアクセスされたことを示す記録を含んでいる。

図３Ｂの表２は、電子カルテ操作時の特徴に関するログの記録のテーブルの例を示している。表２は、ログから抽出された、ユーザＩＤ、電子カルテ・システムにおける使用ツールの種別、ツール使用の開始時間および終了時間、および電子カルテ・システムの使用場所または位置のフィールドを含んでいる。
表２は、例えば、ユーザＩＤ“ＸＸＸＸＸＸＸＸ”のユーザによって、使用ツール“処方オーダ・ツール”が、日時“２０１２年７月３０日９時〜９時２分１２秒”に、使用場所“内科第１診察室”で使用されたことを示す記録を含んでいる。また、表２は、例えば、ユーザＩＤ“ＸＸＸＸＸＸＸＸ”によって、“再診予約ツール”が、 “２０１２年７月３０日９時４分３０秒〜９時８分５秒”に、“内科第２診察室”で使用されたことを示す記録を含んでいる。また、表２は、例えば、ユーザＩＤ“ＹＹＹＹＹＹＹＹ”のユーザによって、“患者スケジュール・ツール”が、“２０１２年７月３０日９時〜９時１０分”に、“西第５病棟”で使用されたことを示す記録を含んでいる。

図３Ｃの表３は、ユーザ・マスタ・ファイルのテーブルの例を示している。表３は、ユーザＩＤ、職種の識別情報、所属診療科、および所属病棟のフィールドを含んでいる。
表３は、例えば、ユーザＩＤ“ＸＸＸＸＸＸＸＸ”のユーザが、職種“医師”、所属診療科“内科”、および所属病棟“西６階”に対応付けられていることを示している。

図３Ｄの表４は、端末マスタ・ファイルのテーブルの例を示している。表４は、情報処理端末ＩＤ、および設置場所のフィールドを含んでいる。
表４は、例えば、情報処理端末ＩＤ“ＡＡＡ”の情報処理端末が、設置場所“内科第１診療室”に配置されていることを示す登録情報を含んでいる。

図３Ｅの表５は、患者ＩＤと入院診療科の記録のテーブルの例を示している。表５は、患者ＩＤ、診療科の受診歴、および入院病棟の診療科のフィールドを含んでいる。表５は、さらに、患者の担当医ＩＤおよび／または担当看護師ＩＤの記録を含んでいてもよい。
表５は、例えば、患者ＩＤ“１２３４５６７８”の患者が、受診歴“内科”、入院病棟の診療科“内科”で受診したことを示す記録を含んでいる。

図４は、サーバ装置１０のプロセッサ１０２によって実行される、電子カルテ・システムにおけるユーザの操作を監視するための処理のフローチャートの例を示している。

ユーザは、情報処理端末３０〜３６、４０のいずれかを操作して、ログイン画面にユーザＩＤおよびパスワード等の認証情報を入力して、サーバ装置１０の電子カルテ・システムへのログインを実行する。この場合、ユーザは、電子カルテ・システムへのアクセスを行う権限のある例えば病院の或る職種の者または職員である。情報処理端末３０〜３６、４０は、そのユーザの操作に応答して、その認証情報を送信し、さらに、情報処理端末３０〜３６、４０の情報処理端末ＩＤ、および／またはＭＡＣ（Media Access Control）アドレス、および／またはＩＰアドレス等をサーバ装置１０に送信してもよい。

図４を参照すると、ステップ４００において、サーバ装置１０のプロセッサ１０２（またはその電子カルテ・システム部１２２６）は、情報処理端末３０〜３６、４０から受信した認証情報に基づいてそのユーザの認証処理を行う。プロセッサ１０２（電子カルテ・システム部１２２６または操作監視部１２３０）は、例えば図３Ａのようなそのログインに関するログの記録をデータベース１６２に記録する。

プロセッサ１０２（電子カルテ・システム部１２２６）は、その認証に成功すると、電子カルテ・システムを起動して、情報処理端末３０〜３６、４０に特定の患者の電子カルテ等を選択するための画面を表示させる。その際、プロセッサ１０２は、データベース１６２に登録された各情報処理端末の情報処理端末ＩＤまたはＭＡＣアドレスおよび／またはＩＰアドレスと場所の関係に基づいて、対応する情報処理端末３０〜３６、４０の使用場所を特定してもよい。それによって、受信した情報処理端末ＩＤまたはＭＡＣアドレスおよび／またはＩＰアドレスに対応する情報処理端末３０〜３６、４０の使用場所が特定される。その使用場所の特定は、プロセッサ１０２の操作監視部１２３０の整合性判定部１２３２によって実行されてもよい。ユーザは、情報処理端末３０〜３６、４０における患者ＩＤ入力画面上で、患者ＩＤを入力して電子カルテの選択を実行しサーバ装置１０に送信する。プロセッサ１０２（電子カルテ・システム部１２２６）は、その患者ＩＤに基づいて、データベース１６２の患者の電子カルテ情報を抽出して複数のツール・ボタンと共にカルテ表示画面中に組み込んで表示画面を組み立て、その表示画面をユーザの情報処理端末３０〜３６、４０に提示させまたは送信して表示させる。

ステップ４０２において、プロセッサ１０２（整合性判定部１２３２）は、そのユーザの参照操作形態またはパターンおよび履歴情報に関する情報をデータベース１６２からダウンロードする。参照操作形態またはパターンは、後で説明するように、各ユーザの過去の操作のログを統計的に処理して得られ、同じユーザの現在の操作の特徴若しくは操作項目、または操作形態若しくはパターンとの比較のための参照用として用いられる。

ユーザは、情報処理端末３０〜３６、４０を操作して、患者のカルテ表示画面上で、各機能または各ツールを選択して起動し、診療の経過、処方オーダ、再診予約、病名登録、患者スケジュール、インチャージ・シート、処方受付、等の情報を入力する。情報処理端末３０〜３６、４０は、その入力操作の情報をサーバ装置１０に送信する。その操作情報は、例えば、入力キー・コード、クリック発生、アクティブ化されたボタン情報、座標情報、日時、等の情報を含んでいてもよい。

ステップ４０４において、プロセッサ１０２（電子カルテ・システム部１２２６）は、ユーザの操作情報を受信し、受信した操作情報に従って電子カルテ・システムの各機能または各ツールの選択および実行、文字の入力、等を実行する。

ステップ４０６において、プロセッサ１０２（整合性判定部１２３２）は、受信した操作情報のログをデータベース１６２に記録する。操作情報のログには、例えば、ユーザＩＤ、使用機能またはツール、機能またはツールの開始時間および終了時間、および電子カルテ・システムを使用している情報処理端末のＩＤおよび／または使用場所が含まれていてもよい。

ステップ４０８において、プロセッサ１０２（整合性判定部１２３２）は、操作情報のログの各操作の特徴または各操作項目をチェックまたは検証する。その操作の特徴は、例えば、情報処理端末のＩＤまたは使用場所、アクセスされた電子カルテの患者ＩＤ、使用機能またはツール、ユーザの各機能またはツールの操作の形態またはパターンの特徴であってもよい。その操作の形態は、例えば、ユーザ毎および１回の診療毎に、選択されたオーダの種別とその選択の順序または遷移経路であってもよい。また、その操作の形態は、例えば、各ツールにおけるユーザの各オーダの操作形態、および各ツールにおけるユーザのキーボードおよびポインティング・デバイスの操作の形態であってもよい。また、その操作の形態は、例えば、ユーザの各薬剤のオーダ間の操作時間間隔、入力文中の特徴的用語、またはユーザの各オーダにおけるキーまたはソフトウェア・ボタンの操作速度であってもよい。

ステップ４１０において、プロセッサ１０２（整合性判定部１２３２）は、各操作の特徴が、ユーザの属性または特徴、履歴、参照操作形態またはパターン、等と整合するかどうかを判定する。その操作の特徴がユーザの属性または特徴、履歴、参照操作形態またはパターン、等と整合すると判定された場合は、手順はステップ４０４に戻る。その操作の特徴がユーザの属性または特徴、履歴、参照操作形態またはパターン、等と整合しないと判定された場合は、手順はステップ４８２に進む。ユーザの属性または特徴は、例えば、ユーザの職種、所属診療科、所属病棟であってもよい。

ステップ４８２において、プロセッサ１０２（またはその不整合処理部１２３４）は、電子カルテ・システムのユーザの非同一性、不整合性または不正性の発生に対する処理を実行する。そのために、プロセッサ１０２（不整合処理部１２３４）は、その操作の特徴がユーザの属性または特徴、履歴、参照操作形態またはパターン、等と整合しないことを表す警告またはメッセージを発生情報処理端末３０〜３６、４０に送信して表示させる。その表示は、表示装置で視覚的に行われてもまたはスピーカで音響的に行われてもよい。それによって、現在のユーザの可能性ある不正な者による操作に対して警告を与えることができる。

次いで、プロセッサ１０２（不整合処理部１２３４）は、再度の認証情報の入力をユーザに要求するメッセージを含む認証情報入力画面のファイルを情報処理端末３０〜３６、４０に送信して表示させる。この場合、現在のユーザが最初にログインしたユーザであれば、ユーザは、情報処理端末３０〜３６、４０において、再度、ユーザＩＤおよびパスワード等の認証情報を入力してサーバ装置１０に送信する。プロセッサ１０２（電子カルテ・システム部１２２６）は、情報処理端末３０〜３６、４０から受信した認証情報に基づいて再度そのユーザの認証処理を行う。それによって、現在のユーザが正規の者であった場合に、そのユーザの操作を継続させることができる。

ステップ４８４において、プロセッサ１０２（整合性判定部１２３２）は、認証が成功したかどうかを判定する。認証が成功したと判定された場合には、手順はステップ４０４に戻る。認証が失敗したと判定された場合には、手順はステップ４８６に進む。例えば、ログインしたユーザのユーザＩＤおよびパスワードが入力された場合は、ユーザは認証に成功する。例えば、或る時間が経過するまでに、ログインしたユーザのユーザＩＤおよびパスワードが入力されない場合、またはログインしたユーザのユーザＩＤおよびパスワードと異なるユーザＩＤまたはパスワードが入力された場合は、ユーザは認証に失敗する。

ステップ４８６において、プロセッサ１０２（不整合処理部１２３４）は、ログインしたおよび／または異なる認証情報を入力したユーザについて、その警告の発生を履歴情報としてデータベース１６２に記録する。さらに、プロセッサ１０２（電子カルテ・システム部１２２６）は、その警告が発生した場合、電子カルテ・システムを強制的にログオフしてもよい。この場合、最初に電子カルテ・システムにログインしたユーザ（例えば、医師）と異なるユーザ（例えば、別の医師または看護師）によって電子カルテ・システムがログインされて、同じ患者の電子カルテ情報がアクセスされてもよい。代替形態として、電子カルテ・システムがログオフされることなく、手順はステップ４０４に戻ってもよい。プロセッサ１０２（不整合処理部１２３４）は、定期的に、そのような警告の発生が記録された操作を抽出して不正アクセスの可能性のある操作ログとして監査報告書を作成して、例えば情報処理端末３６上でシステム管理者に提示してもよい。

図５は、図４のステップ４１０のより詳細なフローチャートの例を示している。
図５を参照すると、図４のステップ４０８の後のステップ４２０において、プロセッサ１０２（整合性判定部１２３２）は、ユーザによる情報処理端末３０〜３６、４０の使用場所がチェック（判定）済みかどうかを判定する。使用場所がチェック済みであると判定された場合は、手順はステップ４３０に進む。使用場所がチェック済みでないと判定された場合は、手順はステップ４２２に進む。最初は、使用場所がチェック済みでないので、手順はステップ４２２に進む。

ステップ４２２において、プロセッサ１０２（整合性判定部１２３２）は、図３Ｃのようなユーザ・マスタ・ファイルおよびユーザ履歴情報に基づいて、ユーザによる情報処理端末３０〜３６、４０の使用場所が、例えば、ユーザの職種、所属診療科、所属病棟のようなユーザの属性または特徴、および履歴情報と整合するかどうかを判定する。使用場所がユーザの属性または特徴および履歴情報と整合すると判定された場合は、手順はステップ４３０に進む。一方、使用場所がユーザの属性または特徴および履歴情報と整合しないと判定された場合は、ステップ４２４において、プロセッサ１０２（整合性判定部１２３２）は、パラメータとしての“不整合性”に或る値“１”を加算する。或る値は、操作の特徴に応じた重み付けされた値であってもよい。その後、手順はステップ４３０に進む。

例えば、ユーザの情報処理端末の使用場所が“内科の診療室”であり、ユーザの職種が“医師”であり、所属診療科が“内科”であった場合、使用場所がユーザの属性または特徴と整合すると判定される。具体的には、例えば、図３Ａのログの記録におけるユーザＩＤ“ＸＸＸＸＸＸＸＸ”に対応付けられた情報処理端末ＩＤ“ＡＡＡ”に基づいて、図３Ｄの端末マスタ・ファイル中の設置場所“内科第１診療室”が取り出されてもよい。さらに、ユーザＩＤ“ＸＸＸＸＸＸＸＸ”に基づいて、図３Ｃのユーザ・マスタ・ファイル中の対応する所属診療科“内科”が取り出されてもよい。この場合、設置場所“内科第１診療室”とユーザの所属診療科“内科”とが比較されて、使用場所がユーザの属性または特徴と整合すると判定される。

また、例えば、ユーザの情報処理端末の場所が“整形外科の診療室”であるが、ユーザの職種が“医師”であり、所属診療科が“内科”であった場合、使用場所がユーザの属性または特徴と整合しないと判定される。また、例えば、ユーザの情報処理端末の場所が“外科の診療室”であるが、ユーザの職種が“医師”であり、所属診療科が“内科”であり、ユーザの履歴情報に過去の情報処理端末の場所“外科の診療室”が含まれていた場合、使用場所がユーザの属性または特徴と整合すると判定されてもよい。

ステップ４３０において、プロセッサ１０２（整合性判定部１２３２）は、ユーザによってアクセスされた電子カルテの患者はチェック済みかどうかを判定する。患者がチェック済みであると判定された場合は、手順はステップ４４２に進む。患者がチェック済みでないと判定された場合は、手順はステップ４３２に進む。最初は、患者がチェック済みでないので、手順はステップ４３２に進む。

ステップ４３２において、プロセッサ１０２（整合性判定部１２３２）は、図３Ｃのようなユーザ・マスタ・ファイルおよびユーザの履歴情報と、図３Ｅのような患者と入力診療科の記録とに基づいて、ユーザによってアクセスされた患者のカルテ情報が、例えば、ユーザの職種、所属診療科、所属病棟、履歴情報のようなユーザの属性または特徴と整合するかどうかを判定する。患者のカルテ情報がユーザの属性または特徴および履歴情報と整合すると判定された場合は、手順はステップ４４２に進む。一方患者のカルテ情報がユーザの属性または特徴および履歴情報と整合しないと判定された場合は、ステップ４３４において、プロセッサ１０２（整合性判定部１２３２）は、“不整合性”に或る値“１”を加算する。或る値は、操作の特徴に応じた重み付けされた値であってもよい。その後、手順はステップ４４２に進む。

例えば、患者の受診歴が“内科”であり、入院病棟の診療科が“内科”であり、ユーザの職種が“医師”であり、所属診療科が“内科”である場合、患者のカルテ情報がユーザの属性または特徴と整合すると判定される。具体的には、例えば、図３Ａのログの記録におけるユーザＩＤ“ＸＸＸＸＸＸＸＸ”に対応付けられたアクセス患者ＩＤ“１２３４５７８”に基づいて、図３Ｅの受診歴“内科”および入院病棟“内科”が取り出される。さらに、ユーザＩＤ“ＸＸＸＸＸＸＸＸ”に基づいて、図３Ｃのユーザ・マスタ・ファイル中の対応する所属診療科“内科”および所属病棟“西６階”が取り出される。この場合、患者の受診歴“内科”および入院病棟“内科”が、ユーザの所属診療科“内科”および所属病棟“西６階”と比較されて、患者のカルテ情報がユーザの属性または特徴と整合すると判定される。

例えば、患者の受診歴が“整形外科”であり、入院病棟の診療科が“整形外科”であり、ユーザの職種が“医師”であり、所属診療科が“内科”である場合、患者のカルテ情報がユーザの属性または特徴と整合しないと判定される。例えば、患者の受診歴が“外科”であり、入院病棟の診療科が“外科”であり、ユーザの職種が“医師”であり、所属診療科が“内科”であり、ユーザの履歴情報に同じ患者の“内科”での診療歴があった場合、患者のカルテ情報がユーザの属性または特徴と整合すると判定されてもよい。

ステップ４４２において、プロセッサ１０２（整合性判定部１２３２）は、ユーザの現在の操作の特徴が、ユーザの参照操作形態またはパターンまたはその特徴と整合するかどうかを判定する。その操作の特徴が参照操作形態またはパターンと整合すると判定された場合は、手順は図４のステップ４５０に進む。その操作の特徴が参照操作形態またはパターンと整合しないと判定された場合は、手順はステップ４４４に進む。ステップ４４４において、プロセッサ１０２（整合性判定部１２３２）は、“不整合性”に或る値“１”を加算する。或る値は、操作の特徴に応じた重み付けされた値であってもよい。その後、手順はステップ４５０に進む。

その操作の特徴は、例えば、ユーザ毎および１回の診療毎の選択されたオーダ（指示）の種別とそのオーダの選択の順序または遷移経路を含んでいてもよい。また、その操作の特徴は、例えば、各処方オーダ・ツールの使用時間長、オーダ・ツールにおける各オーダ間の操作時間間隔、入力文中の特徴的用語、およびキーまたはソフトウェア・ボタンの操作速度を含んでいてもよい。

例えば、図３ＢのユーザＩＤ“ＸＸＸＸＸＸＸＸ”に基づいて、使用ツール“処方オーダ”の開始時間“２０１２年８月６日２０時３５分”から終了時間“２０１２年８月６日２０時３９分”までの使用時間長“４分”が操作の特徴として求められる。さらに、その操作の特徴としての使用時間長“４分”が、過去１カ月の履歴情報における同じユーザの同じ病名の用語に関する同じ使用ツール“処方オーダ”の参照用の平均使用時間長“４分１５秒”の±１０％の範囲と比較される。この場合、使用時間長“４分”は参照用の平均の使用時間長“４分１５秒”の±１０％の範囲内なので、その処方オーダに関する操作の特徴に整合性があると判定されてもよい。その他の操作の特徴として、ユーザの各オーダ間の操作時間間隔、ユーザの各オーダにおけるキーまたはソフトウェア・ボタンの操作速度が採用されてもよい。

操作の特徴の整合性について、例えば、操作の特徴としての、ユーザの処方オーダ・ツールの使用時間長、各オーダ間の操作時間間隔、キーまたはソフトウェア・ボタンの操作速度の値が、対応する参照操作形態またはパターンの値の許容誤差範囲を超えて異なる場合に、整合性なしと判定される。

その他の操作の特徴の整合性について、例えば、操作の特徴として使用ツールまたは機能の種別が採用されてもよい。例えば、ユーザによって検査オーダ・ツールが選択されてアクティブにされ、ログインしたユーザの職種が看護師であった場合、操作の特徴がユーザの属性または特徴と整合しないと判定されてもよい。また、例えば、操作の特徴としてインチャージ・シート・ツールが選択されてアクティブにされ、ログインしたユーザの職種が医師であった場合、操作の特徴がユーザの属性または特徴と整合しないと判定されてもよい。

ステップ４５０において、プロセッサ１０２（整合性判定部１２３２）は、不整合性の累積値を閾値と比較して、不整合性の累積値が閾値より大きいかどうかを判定する。閾値は、例えば値“５”であってもよい。この場合、電子カルテ・システムを操作しているユーザの６個以上の操作の特徴が、ログインしたユーザの属性または特徴、履歴、参照操作形態、等と整合しない場合に、ユーザの非同一性、不整合性または不正性が発生したものとして処理される。不整合性の累積値が閾値より大きいと判定された場合は、手順は図４のステップ４８２に進む。不整合性の累積値が閾値より大きくないと判定された場合は、手順は図４のステップ４０４に戻る。

図６Ａ〜６Ｃは、或る患者の電子カルテの表示画面の例を示している。
図６Ａの或る患者の電子カルテの表示画面において、ユーザが、ポインティング・デバイスでソフトウェア・ボタン“オーダ”および“外来処方”にカーソルを置いてクリックしてそれらの項目を選択する。この時点で、プロセッサ１０２（整合性判定部１２３２）は、使用ツールとして“処方オーダ”の開始時間を記録してもよい。

次いで、プロセッサ１０２（電子カルテ・システム部１２２６）は、例えば図６Ｂのような薬剤処方の画面を表示する。ユーザは、その画面において、例えば、ポインティング・デバイスでソフトウェア・ボタンである処方種別“院外処方”、服用方法“内服”、薬剤の調整場所“院内製剤（内服・院外可）”を選択する。

次いで、ユーザは、例えば図６Ｃの画面のように、第１の薬剤を選択し数量、単位、１日の摂取回数を入力し、第２の薬剤を選択し数量、単位、１日の摂取回数を入力し、第３の薬剤を選択し数量、単位、１日の摂取回数を入力する。ユーザの複数の薬剤オーダの各入力完了の時間間隔またはその平均値が、そのユーザの各薬剤オーダの形態の特徴として記録されてもよい。例えば図６Ｃの画面において全ての薬剤オーダについて入力が完了すると、ユーザは、ポインティング・デバイスでソフトウェア・ボタン“確定”を選択し実行（クリック）する。この時点で、プロセッサ１０２（整合性判定部１２３２）は、使用ツールとして“処方オーダ”の終了時間を記録してもよい。

図７は、サーバ装置１０によって実行される、各操作の特徴との比較に用いられるユーザ毎の参照操作形態またはパターンを生成するための処理のフローチャートの例を示している。

ステップ５０２において、プロセッサ１０２（統計処理部１２３６）は、電子カルテ・システム部１２２６のログオフが発生したかまたは統計処理を実行する時間かどうかを判定する。ログオフが発生するかまたは統計処理を実行する時間が来るまで、ステップ５０２が繰り返し実行される。統計処理を実行する時間は、例えば毎日午前２時であってもよい。ログオフが発生するかまたは統計処理を実行する時間が来たと判定された場合、手順はステップ５０４に進む。

ステップ５０４において、プロセッサ１０２（統計処理部１２３６）は、データベース１６２からログオフを発生させたユーザまたは各ユーザの、例えば図３Ｂの表示２のような操作ログの記録を取り出す。

ステップ５０６において、プロセッサ１０２（統計処理部１２３６）は、操作ログの記録から情報処理端末の使用場所を決定しまたは抽出する。使用場所は、取得された情報処理端末ＩＤまたはマックアドレスおよび／またはＩＰアドレスに基づいて、例えば図３Ｄの表４のような予め登録された対応する設置場所を決定してもよい。モバイル型の情報処理端末３０の使用場所は、アクセス・ポイント５２の設置場所に基づいて決定してもよい。

ステップ５１０において、プロセッサ１０２（統計処理部１２３６）は、過去の或る時間期間における操作ログを統計的に処理する。それによって、例えば、ユーザ毎および１回の診療毎に、選択されたオーダの種別とその選択の順序または遷移経路が、その度数または頻度と共に、操作形態またはパターンとして求められる。さらに、例えば、各処方オーダ・ツールの使用時間長、オーダ・ツールにおける各オーダ間の操作時間間隔、入力文中の特徴的用語、キーまたはソフトウェア・ボタンの操作速度等の操作の特徴が求められる。さらに、それらの操作の特徴が、例えば、ユーザ毎、職種別、利用場所毎、外来・入院の種別、診療科毎、使用ツールまたは機能毎に統計的に処理され、過去の最近の連続する或る月数の期間におけるそれらの平均値が操作形態またはパターンとして求められる。キーまたはソフトウェア・ボタンの操作速度は、例えば、単位時間当たりのキーまたはソフトウェア・ボタンの操作数であってもよい。各オーダの使用時間長および操作間隔の測定または検出において、例えば、閾値時間を超える時間、例えば２分より長い時間は、思考時間として除外してもよい。プロセッサ１０２（統計処理部１２３６）は、さらに、ユーザによる電子カルテの利用期間（月数、週数）、各患者の電子カルテへのアクセス回数を求めてもよい。ユーザの電子カルテの操作形態または操作パターンは、新しい所属への異動からの期間経過とともに、徐々に習熟度が高くなり、徐々に変化する傾向があり、従って定期的に更新することが好ましい。

ステップ５１２において、プロセッサ１０２（統計処理部１２３６）は、その形態またはパターンの特徴を、参照操作形態またはパターンの各特徴として決定して、データベース１６２に保存する。

このように、実施形態によれば、例えば、各ユーザの職種、使用場所毎の各使用ツールまたは機能の利用回数、各ツールまたは機能の操作形態、等に関する統計情報からユーザの特徴を抽出して参照操作形態またはパターンを決定することができる。また、現在の操作において、ユーザの参照操作形態または履歴情報の特徴と整合しない操作形態が発生した場合、ユーザに対して可視的または可聴的に警告を発生させ、また、詳細な操作記録と組み合わせて不正アクセスの可能性のある操作を抽出して監査報告書を作成することができる。

従来技術では、電子カルテ・システムにおいて操作ログを分析しても不正アクセスの可能性のあるユーザを特定することは困難であったが、実施形態によれば、電子カルテ・システムにおけるユーザ毎の操作ログを処理することによって、ユーザの同一性または整合性を監視することできる。それによって、電子カルテ・システムの不正利用を抑止できるようになる。

ここで挙げた全ての例および条件的表現は、発明者が技術促進に貢献した発明および概念を読者が理解するのを助けるためのものであり、ここで具体的に挙げたそのような例および条件に限定することなく解釈され、また、明細書におけるそのような例の編成は本発明の優劣を示すこととは関係ない、と理解される。本発明の実施形態を詳細に説明したが、本発明の精神および範囲から逸脱することなく、それに対して種々の変更、置換および変形を施すことができる、と理解される。

以上の実施例を含む実施形態に関して、さらに以下の付記を開示する。
（付記１）記憶装置を含む情報処理装置上で動作する電子カルテ・システムのユーザの不正性を監視するためのプログラムであって、
前記電子カルテ・システムの現在のユーザによる或る情報処理端末の操作に関する操作情報が、前記或る情報処理端末を操作して前記電子カルテ・システムにログインしたユーザの職種、所属または参照操作形態に関する情報と整合するかどうかを判定し、
前記操作情報が、前記ログインしたユーザの前記職種、所属または参照操作形態と整合しないと判定された場合に、認証情報入力用の画面情報を前記或る情報処理端末に提示させ、
前記認証入力用の画面情報に対して、前記ログインしたユーザの認証情報が入力されなかった場合に、前記操作情報に対する警告を表す情報を前記記憶装置に格納する
処理を前記情報処理装置に実行させるためのプログラム。
（付記２）前記操作情報が、前記記憶装置に格納された前記職種、所属または参照操作形態と整合するかどうかを判定する処理は、
前記操作情報としての各操作の特徴が、前記職種、所属または参照操作形態と整合しないと判定された場合に、不整合性を表す度合に或る値を加算し、
前記不整合性を表す度合が閾値を超えた場合に、前記操作情報が、前記ログインしたユーザの前記職種、所属または参照操作形態と整合しないと判定する処理を含むものであることを特徴とする、付記１に記載のプログラム。
（付記３）前記操作情報が、前記カルテ・システムにおける或るオーダ機能における、前記或るオーダ機能の使用時間、各オーダ間の操作時間間隔、またはキーまたはボタンの操作速度を表す情報であり、
前記参照操作形態が、それに対応する前記ログインしたユーザの、過去の或る時間期間における、前記或るオーダ機能の平均使用時間、各オーダ間の平均操作時間間隔、またはキーまたはボタンの平均操作速度を表す参照情報であることを特徴とする、付記１または２に記載のプログラム。
（付記４）前記操作情報が前記カルテ・システムにおけるオーダ機能の種別を表す情報であることを特徴とする、付記１または２に記載のプログラム。
（付記５）前記操作情報が、前記記憶装置に格納された前記職種、所属または参照操作形態と整合するかどうかを判定する処理は、
前記或る情報処理端末の識別情報または位置情報と、前記記憶装置に格納された前記職種または前記所属とが整合するかどうか判定する処理を含むものであることを特徴とする、付記１または２に記載のプログラム。
（付記６）前記操作情報が、前記記憶装置に格納された前記職種、所属または参照操作形態と整合するかどうかを判定する処理は、
前記操作情報の電子カルテ情報の患者識別情報と、前記記憶装置に格納された前記職種、所属または参照操作形態とが整合するかどうか判定する処理を含むものであることを特徴とする、付記１または２に記載のプログラム。
（付記７）記憶装置を含む情報処理装置において、電子カルテ・システムのユーザの同一性または不正性を監視する方法であって、
前記情報処理装置が、
前記電子カルテ・システムの現在のユーザによる或る情報処理端末の操作に関する操作情報が、前記或る情報処理端末を操作して前記電子カルテ・システムにログインしたユーザの職種、所属または参照操作形態に関する情報と整合するかどうかを判定し、
前記操作情報が、前記ログインしたユーザの前記職種、所属または参照操作形態と整合しないと判定された場合に、認証情報入力用の画面情報を前記或る情報処理端末に提示させ、
前記認証入力用の画面情報に対して、前記ログインしたユーザの認証情報が入力されなかった場合に、前記操作情報に対して警告を表す情報を前記記憶装置に格納する処理を実行する、方法。
（付記８）電子カルテ・システムの現在のユーザによる或る情報処理端末の操作に関する操作情報が、前記或る情報処理端末を操作して前記電子カルテ・システムにログインしたユーザの職種、所属または参照操作形態に関する情報と整合するかどうかを判定する判定部と、
前記操作情報が、前記ログインしたユーザの前記職種、所属または参照操作形態と整合しないと判定された場合に、認証情報入力用の画面情報を前記或る情報処理端末に提示させ、前記認証入力用の画面情報に対して、前記ログインしたユーザの認証情報が入力されなかった場合に、前記操作情報に対する警告を表す情報を前記記憶装置に格納する不整合処理部と、
を含む情報処理装置。

５、７ ネットワーク
５２ アクセス・ポイント
１０ サーバ装置
１６ 記憶装置
１０２ プロセッサ
１０４ メモリ
３０、３２、３４、３６、４０ 情報処理端末

Claims (6)

1. 記憶装置を含む情報処理装置上で動作する電子カルテ・システムのユーザの不正性を監視するためのプログラムであって、
   前記電子カルテ・システムの現在のユーザによる或る情報処理端末の操作に関する操作情報が、前記或る情報処理端末を操作して前記電子カルテ・システムにログインしたユーザの職種、所属または参照操作形態に関する情報と整合するかどうかを判定し、
   前記操作情報が、前記ログインしたユーザの前記職種、所属または参照操作形態と整合しないと判定された場合に、認証情報入力用の画面情報を前記或る情報処理端末に提示させ、
   前記認証入力用の画面情報に対して、前記ログインしたユーザの認証情報が入力されなかった場合に、前記操作情報に対する警告を表す情報を前記記憶装置に格納する
   処理を前記情報処理装置に実行させるためのプログラム。
2. 前記操作情報が、前記記憶装置に格納された前記職種、所属または参照操作形態と整合するかどうかを判定する処理は、
   前記操作情報としての操作の各特徴が、前記職種、所属または参照操作形態と整合しないと判定された場合に、不整合性を表す度合に或る値を加算し、
   前記不整合性を表す度合が閾値を超えた場合に、前記操作情報が、前記ログインしたユーザの前記職種、所属または参照操作形態と整合しないと判定する処理を含むものであることを特徴とする、請求項１に記載のプログラム。
3. 前記操作情報が、前記カルテ・システムにおける或るオーダ機能における、前記或るオーダ機能の使用時間、各オーダ間の操作時間間隔、またはキーまたはボタンの操作速度を表す情報であり、
   前記参照操作形態が、それに対応する前記ログインしたユーザの、過去の或る時間期間における、前記或るオーダ機能の平均使用時間、各オーダ間の平均操作時間間隔、またはキーまたはボタンの平均操作速度を表す参照情報であることを特徴とする、請求項１または２に記載のプログラム。
4. 前記操作情報が前記カルテ・システムにおけるオーダ機能の種別を表す情報であることを特徴とする、請求項１または２に記載のプログラム。
5. 記憶装置を含む情報処理装置において、電子カルテ・システムのユーザの不正性を監視する方法であって、
   前記情報処理装置が、
   前記電子カルテ・システムの現在のユーザによる或る情報処理端末の操作に関する操作情報が、前記或る情報処理端末を操作して前記電子カルテ・システムにログインしたユーザの職種、所属または参照操作形態に関する情報と整合するかどうかを判定し、
   前記操作情報が、前記ログインしたユーザの前記職種、所属または参照操作形態と整合しないと判定された場合に、認証情報入力用の画面情報を前記或る情報処理端末に提示させ、
   前記認証入力用の画面情報に対して、前記ログインしたユーザの認証情報が入力されなかった場合に、前記操作情報に対して警告を表す情報を前記記憶装置に格納する処理を実行する方法。
6. 電子カルテ・システムの現在のユーザによる或る情報処理端末の操作に関する操作情報が、前記或る情報処理端末を操作して前記電子カルテ・システムにログインしたユーザの職種、所属または参照操作形態に関する情報と整合するかどうかを判定する判定部と、
   前記操作情報が、前記ログインしたユーザの前記職種、所属または参照操作形態と整合しないと判定された場合に、認証情報入力用の画面情報を前記或る情報処理端末に提示させ、前記認証入力用の画面情報に対して、前記ログインしたユーザの認証情報が入力されなかった場合に、前記操作情報に対する警告を表す情報を前記記憶装置に格納する不整合処理部と、
   を含む情報処理装置。

Images