JP4546162B2

JP4546162B2 - 情報提供システムおよびその構成装置

Info

Publication number: JP4546162B2
Application number: JP2004172021A
Authority: JP
Inventors: 孝史野口; 博光加藤; 克己河野; 貴之野田
Original assignee: Hitachi High Technologies Corp
Current assignee: Hitachi High Tech Corp
Priority date: 2004-06-10
Filing date: 2004-06-10
Publication date: 2010-09-15
Anticipated expiration: 2024-06-10
Also published as: JP2005352713A

Description

本発明は、医療施設、製造施設において、個人情報や製造ノウハウといった機密情報の漏洩を防止する情報提供システムに係わり、特に機密情報を提供する情報提供装置の操作性を維持しつつ、操作による機密情報の漏洩を検出して防止する情報提供システムに関する。ここで情報提供装置は、ワークステーション、パーソナルコンピュータ、ノートパーソナルコンピュータ、医用装置、半導体製造装置、半導体検査装置などを含む。また機密情報は、顧客の住所録や嗜好などを含む顧客情報、病名や疾患の程度を記した患者医療情報、製造レシピや検査レシピなどの製造ノウハウなどを含む。

機密情報の漏洩を防止する従来の技術として、例えばコンピュータシステムに関する特許文献１に記載されている技術がある。特許文献１記載の技術によると、不正操作監視装置が監視対象となるコンピュータシステムから操作履歴を収集する操作履歴収集手段と、コンピュータシステムへの不正操作を発見するための情報である正規操作パターンを登録する正規操作パターン登録手段と、正規操作パターン登録手段で登録された正規操作パターンと操作履歴とを比較して監視対象コンピュータシステムへの不正操作を発見する不正操作監視手段とを含む。これによって不正操作監視装置は、正規にＩＤとパスワードを与えられた者によるキー入力タイミング、データ入力順番との相違から、ＩＤとパスワードが不正に使用されたことを検出することができる。これによりＩＤとパスワードが不正に使用されたことを検出した後、例えばこのＩＤとパスワードを変更することにより、正規にＩＤとパスワードを与えられていない者によって、ＩＤとパスワードが盗まれて悪用されることにより機密情報が漏洩することを防止することができる。特許文献１は、不正操作監視装置が複数の監視対象の操作履歴をネットワーク経由で一元管理しており、複数の監視対象の操作履歴に基づいて不正を検出できるので、不正の検出精度を向上することが可能である。

一方、認証情報の入力に関する煩雑さを解消する従来の技術としては、例えばセキュリティシステムに関する特許文献２に記載される技術がある。特許文献２記載の技術によると、特許文献１のＩＤとパスワードの入力作業を行うことなく、電子タグリーダまたは指紋情報リーダを供えた監視装置にタグＩＤまたは指紋情報を読み込ませるだけでユーザを認証することができる。特に電子タグによる認証方式を適用すれば、ユーザが意識することなく認証が行われるので、情報提供装置の操作がより容易になる。また指紋情報による認証方式とは異なり、生化学検査のように業務中に技師が手袋を着用するような環境においても適用することが容易である。

特開２００２−２５８９７２号公報

特開２０００−２７６２４５号公報

近年、ＩｒＤＡ(InfraRed Data Association)やＢｌｕｅｔｏｏｔｈなどの近距離無線通信技術が広く普及している。このような近距離無線端末技術を適用すれば、情報提供装置がネットワークに接続されないか、または情報提供装置が部分的にしかネットワークに接続されないシステムにおいても、無線通信技術を適用する小型記憶媒体をユーザの名札などに固定し、任意の情報提供装置から別の情報提供装置へデータを受け渡すための一時的な記憶手段として利用することにより、複数の情報提供装置が記録する操作履歴に基づいて不正を検出し、不正の検出精度を向上することが可能である。

例えば特許文献１記載の不正操作監視装置の機能を情報提供装置に適用し、情報提供装置ごとに操作履歴を解析し、ユーザが情報提供装置に近接した時に、ユーザが保持する記憶媒体が情報提供装置から解析結果を受信して記憶媒体に格納することができる。ユーザが他の情報提供装置に近接した時に、その記憶媒体が情報提供装置に保持する解析結果を送信することができる。これによって複数の情報提供装置間で解析結果を共有することができ、複数の情報提供装置が記録する操作履歴に基づいて不正を検出し、不正の検出精度を向上することが可能である。

しかし上記方式には次のような問題がある。

（１）ユーザが保持する記憶媒体は、特定の情報提供装置が解析した操作履歴の解析結果を共有できるが、各情報提供装置が記録する操作履歴そのものを共有することができない。これによって各情報提供装置に記録される操作履歴について横断的な細かい解析を行うことが困難であり、高い精度で機密情報の漏洩を検出することが困難であった。

（２）ユーザが保持する記憶媒体が操作履歴そのものを共有するとすれば、各記憶媒体から近接する情報提供装置へ送信する操作履歴のデータ量が増大し、通信遅延により操作性が低下するという問題があった。

（３）各情報提供装置にインストールされる解析ソフトウェアを変更したり、判定基準の設定が変更になるたびに各情報提供装置のソフトウェアを変更するという構成管理が容易でなかった。

本発明の目的は、上記問題点を解決することにある。

本発明は、入力される操作コマンドを実行しその実行結果の機密情報を出力する情報提供装置と、情報提供装置へバッジ識別子を送信して認証を受けるセキュリティバッジとを有する情報提供システムに関するものである。本発明のセキュリティバッジは、情報提供装置から操作履歴を受信して記憶領域に蓄積し、蓄積された操作履歴に基づいて機密情報の出力を秘匿するか否かを区分する動作モードを判定し、判定された動作モードを情報提供装置へ送信する。また情報提供装置は、操作コマンドの実行過程を示す操作履歴を作成してセキュリティバッジへ送信し、受信した動作モードに基づいて機密情報を出力する。

本発明によれば、各セキュリティバッジが操作履歴そのものを共有できるので、操作履歴についての細かい解析を行うことが可能であり、高い精度で機密情報の漏洩を検出することが可能である。また各セキュリティバッジが受信した操作履歴を他の情報提供装置へ送信する必要がなく、送受信するデータの量を削減できる。またセキュリティバッジ自体が解析ソフトウェアを保持するので、その変更が比較的容易である。

以下、実施例１について図面を用いて説明する。実施例１の情報提供システムは、個人医療情報を提供する複数の分析装置と、セキュリティバッジとから構成される。セキュリティバッジは、分析装置から技師の操作の履歴を示す作業履歴を収集し、この作業履歴に基づいて機密情報の漏洩および兆候を検出する。

図１は、実施例１の技師が分析装置を利用する様子を説明する図である。ここでは分析装置１０２が情報提供装置の一例である。技師１０４は、セキュリティバッジ４０１を備えた名札１０５を身に付けて作業を進める。分析装置１０２は、周辺のセキュリティバッジ４０１を一意に識別子し、この識別子に応じて個人医療情報へのアクセスを許可する。またセキュリティバッジ４０１は、分析装置１０２から技師１０４の操作履歴を収集し、この操作履歴に基づいて動作モードを決定し、その動作モードを分析装置１０２へ送信する。分析装置１０２は、受信した動作モードに基づいて、個人医療情報の表示制御を行う。実施例１では、動作モードが「ノーマルモード」である時には、通常通り個人医療情報を表示し、動作モードが「匿名モード」である時には、検体ＩＤを＊＊＊などの文字列と置き換えて表示する。

図２は、実施例１の分析装置１０２のシステムブロック図である。分析装置１０２は、操作端末２０１と分析機器２０２とから構成される。操作端末２０１は、無線によるセキュリティバッジ４０１との通信を可能とする通信部２１９と、表示部２０３と、プリンタ２０４と、フロッピー（登録商標）ディスク(以下、ＦＤと呼ぶ)２０５と、キーボード２１１と、マウス２１２と、通信部２０７と、セキュリティバッジ管理部２０９と、メッセージ管理部２１７と、アクセス管理部２１８と、セキュリティ情報ＤＢ２０８と、分析機器制御部２０６と、分析関連情報ＤＢ２１０とから構成される。

分析機器２０２は、通信部２１３と、検体を管理する検体管理部２１４と、試薬を管理する試薬管理部２１５と、反応管理部２１６とから構成される。実施例１の反応管理部２１６は、通信部２０７と通信部２１３を経由して分析機器制御部２０６から制御コマンドを受信し、この制御コマンドに基づいて、検体管理部２１４と、試薬管理部２１５とを制御することにより、検体と試薬を定められたタイミングで、定められた量だけ反応容器へ注入する。また反応管理部２１１は、反応容器内の反応過程から反応過程データを算出し、通信部２１３と通信部２０７を経由して分析機器制御部２０６へ反応過程データを送信する。分析機器制御部２０６は、反応過程データを受信し、検体ＩＤ、患者名、性別、アレルギー反応などの情報とともに、分析関連情報ＤＢ２１０に格納する。なお実施例１においては、反応過程データは、時間軸に関して吸光度をプロットしたデータの集合とするが、他の形式であってもよい。

図３は、実施例１の操作端末２０１のハードウェア構成図である。操作端末２０１は、通信部２１９と、表示部２０３と、プリンタ２０４と、ＦＤ２０５と、キーボード２１１と、マウス２１２と、通信部２０７と、入出力制御部３０１と、ハードディスク３０２と、日付/時刻管理機能を備えた中央処理部３０６と、ランダム・アクセス・メモリ（以下、ＲＡＭと呼ぶ）３０５とバス３０３とから構成される。セキュリティバッジ管理部２０９と、メッセージ管理部２１７と、アクセス管理部２１８と、分析機器制御部２０６とは、プログラムであり、ハードディスク３０２に格納される。またセキュリティ情報ＤＢ２０８と、分析関連情報ＤＢ２１０とは、データであり、ハードディスク３０２に格納される。操作端末２０１に電源が投入されると、中央処理部３０６は、ハードディスク３０２に格納されているオペレーティングシステムなどの基本ソフトウェアをＲＡＭ３０５に読み込んで実行する。またオペレーティングシステムは、ハードディスク３０２に格納されているセキュリティバッジ管理部２０９と、メッセージ管理部２１７と、アクセス管理部２１８と、分析機器制御部２０６とを読込んで実行する。

図４は、実施例１のセキュリティバッジ４０１のシステムブロック図である。セキュリティバッジ４０１は、無線による分析装置１０２との通信を可能とする通信部４０５と、メッセージ管理部４０４と、セキュリティバッジ登録部４０２と、履歴管理部４０３と、履歴情報ＤＢ４０６と、セキュリティ情報ＤＢ４０８とから構成される。通信部４０５は、他のセキュリティバッジ４０１が分析装置１０２へ送信する情報を検出して受信することも可能である。

図５は、実施例１のセキュリティバッジ４０１のハードウェア構成図である。セキュリティバッジ４０１は、通信部４０５と、中央処理部５０１と、ＲＡＭ５０２と、不揮発性の記憶媒体５０３と、入出力制御部５０５と、バス５０４とから構成される。メッセージ管理部４０４と、セキュリティバッジ登録部４０２と、履歴管理部４０３とは、プログラムであり、記憶媒体５０３に格納される。また履歴情報ＤＢ４０６と、セキュリティ情報ＤＢ４０８とは、データであり、記憶媒体５０３に格納される。セキュリティバッジ４０１に電源が投入されると、中央処理部５０１は、記憶媒体５０３に格納されているオペレーティングシステムなどの基本ソフトウェアをＲＡＭ５０２に読み込んで実行する。またオペレーティングシステムは、記憶媒体５０３に格納されているメッセージ管理部４０４と、セキュリティバッジ登録部４０２と、履歴管理部４０３とを読込んで実行する。

図２０は、実施例１のセキュリティバッジ管理部２０９が使用するセキュリティバッジ管理テーブル２３１と、セキュリティバッジ管理バッファ２３６の構成を示す図である。セキュリティバッジ管理テーブル２３１は、タグ識別子２３２と、ユーザＩＤ２３３と、役割２３４から構成される。セキュリティバッジ管理バッファ２３６は、セキュリティバッジ識別子格納領域２３７と、動作モード格納領域２３８から構成される。実施例１では、セキュリティバッジ管理テーブル２３１を格納するための領域は、セキュリティ情報ＤＢ２０８に確保される。またセキュリティバッジ管理バッファ２３６を格納するための領域は、ＲＡＭ３０５に確保される。

図２１は、実施例１のアクセス管理部２１８が使用する履歴管理用バッファ２４１の構成を示す図である。履歴管理用バッファ２４１は、日付/時刻格納領域２４２と、装置識別子格納領域２４３と、履歴識別子格納領域２４４と、検体ＩＤ数格納領域２４５から構成される。実施例１では、履歴管理用バッファ２４１を格納するための領域は、ＲＡＭ３０５に確保される。

図２２は、実施例１のセキュリティバッジ４０１が使用するセキュリティバッジ関連情報管理テーブル２５１と、動作モード管理テーブル２５３の構成を示す図である。セキュリティバッジ関連情報管理テーブル２５１は、セキュリティバッジ識別子２５２と、管理者指紋情報２５６とから構成される。動作モード管理テーブル２５３は、動作モード格納領域２５４と、開始日付/時刻格納領域２５５とから構成される。実施例１では、セキュリティバッジ関連情報管理テーブル２５１を格納するための領域は、セキュリティ情報ＤＢ４０８に確保される。また動作モード管理テーブル２５３を格納するための領域は、ＲＡＭ５０２に確保される。

図２３は、実施例１のセキュリティバッジ４０１が使用する履歴管理テーブル２６１の構成を示す図である。履歴管理テーブル２６１は、日付/時刻２６２と、装置識別子２６３と、履歴識別子２６４と、検体ＩＤ数２６５とから構成される。実施例１では、履歴管理テーブル２６１を格納するための領域は、履歴情報ＤＢ４０６に確保される。

図６は、実施例１において、操作端末２０１がセキュリティバッジ４０１を識別して、セキュリティバッジの動作モードを登録する時の処理フローである。まずセキュリティバッジ管理部２０９は、操作端末２０１に対するセキュリティバッジ４０１の近接状況を管理する変数Ｎに０を代入する（ステップ６０１）。次にセキュリティバッジ管理部２０９は、Ｎが３であるか否かを判定し（ステップ６０２）、Ｎが３でなければ、メッセージ管理部２１７により識別子を受信しているか否かを判定する（ステップ６０３）。ステップ６０３において、セキュリティバッジ管理部２０９は、識別子を受信していれば、セキュリティバッジ管理テーブル２３１のタグ識別子２３２の中から、受信した識別子と一致するタグ識別子が記録されているか否かを検証する（ステップ６０４）。

ステップ６０４でタグ識別子が記録されている場合、セキュリティバッジ管理部２０９は、操作端末２０１とセキュリティバッジ４０１間での相互認証処理を実行する（ステップ６０５）。ここで相互認証処理を実現する技術して「３パス相互認証技術」（ＲＦＩＤハンドブック、日刊工業新聞社より）が確立されており、実施例１では、本技術に基づいて相互認証処理を実行する。よって実施例１では、相互認証に必要となる秘密鍵がセキュリティ情報ＤＢ２０８と、セキュリティ情報ＤＢ４０８に格納される。

次にセキュリティバッジ管理部２０９は、相互認証処理が成功したか否かを判定し（ステップ６０６）、成功した場合には、ステップ６０３で受信した識別子を登録する（ステップ６０７）。実施例１のセキュリティバッジ管理部２０９は、この識別子をセキュリティバッジ管理バッファ２３６のセキュリティバッジ識別子格納領域２３７に記録する。次にセキュリティバッジ管理部２０９は、メッセージ管理部２１７によりセキュリティバッジ４０１から動作モードを受信しているか否かを判定する（ステップ６０８）。ステップ６０８で動作モードを受信している場合、セキュリティバッジ管理部２０９は、セキュリティ情報ＤＢ２０８に格納された秘密鍵を使用して、動作モードの復号処理を行う（ステップ６０９）。

次にセキュリティバッジ管理部２０９は、受信した動作モードが受付可能な動作モード名称のいずれかと一致するか否かを判定する（ステップ６１０）。実施例１の動作モードは、「ＮＯＲＭＡＬ」または「ＡＮＯＮＹＭＯＵＳ」のいずれかと一致すべきものとする。ステップ６１０において、動作モードが「ＮＯＲＭＡＬ」または「ＡＮＯＮＹＭＯＵＳ」のいずれかと一致すると判定した場合、セキュリティバッジ管理部２０９は、ステップ６０９で復号化した動作モードを登録して、本処理フローを終了する（ステップ６１１）。実施例１のセキュリティバッジ管理部２０９は、この動作モードをセキュリティバッジ管理バッファ２３６の動作モード格納領域２３８に記録する。

ステップ６０３において、セキュリティバッジ管理部２０９は、識別子を受信していなければ、一定時間の時間が経過した後（ステップ６１４）、Ｎに１を加算する（ステップ６１３）。ステップ６０２において、Ｎが３であれば、セキュリティバッジ管理部２０９は、セキュリティバッジ管理バッファ２３６のセキュリティバッジ識別子格納領域２３７と、動作モード格納領域２３８をゼロクリアし（ステップ６１５）、本処理フローを終了する。ステップ６０４において、タグ識別子が記録されていない場合、セキュリティバッジ管理部２０９は、セキュリティバッジ管理バッファ２３６のセキュリティバッジ識別子格納領域２３７と、動作モード格納領域２３８をゼロクリアし（ステップ６１７）、本処理フローを終了する。

ステップ６０６において、相互認証処理に失敗した場合、キュリティバッジ管理部２０９は、セキュリティバッジ管理バッファ２３６のセキュリティバッジ識別子格納領域２３７と、動作モード格納領域２３８をゼロクリアし（ステップ６１６）、本処理フローを終了する。ステップ６１０において、動作モードが「ＮＯＲＭＡＬ」または「ＡＮＯＮＹＭＯＵＳ」のいずれとも一致しないと判定した場合、セキュリティバッジ管理部２０９は、本処理フローを終了する。

図７は、実施例１において、操作端末２０１が操作コマンドを実行し、セキュリティバッジ４０１へ操作履歴を受け渡す時の処理フローである。操作コマンドは、分析処理の実行、表示部２０３への分析結果の表示、プリンタ２０４を使用した分析結果の印刷、ＦＤ２０５への分析結果の記録などを行うための指令である。まずアクセス管理部２１８は、キーボード２１１、マウス２１２を経由して操作コマンドを受け付ける（ステップ７０１）。次にアクセス管理部２１８は、セキュリティバッジ管理バッファ２３６のセキュリティバッジ識別子格納領域２３７と、動作モード格納領域２３８に、それぞれセキュリティバッジ識別子と動作モードが格納されているか否かを判定し（ステップ７０２）、登録されていれば入力された操作コマンドを実行する（ステップ７０３）。分析機器制御部２０６は、分析結果を分析関連情報ＤＢ２１０に記録する。

次にアクセス管理部２１８は、この操作コマンドの実行に基づいて操作履歴を作成し、履歴管理用バッファ２４１に格納する（ステップ７０４）。日付／時刻格納領域２４２には、中央処理部３０６が管理する現在の時刻を格納する。装置識別子格納領域２４３には、分析装置１０２に一意に割り当てられた装置識別子を格納する。装置識別子は、ハードディスク３０２に格納されている。履歴識別子格納領域２４４には操作履歴の識別子を格納する。実施例１では、表示部２０３への分析結果の表示、プリンタ２０４を使用した分析結果の印刷、ＦＤ２０５への分析結果の出力に対して、操作履歴の識別子として、それぞれＨ０１，Ｈ０２，Ｈ０３が割り当てられる。検体ＩＤ数格納領域２４５には、操作履歴の識別子がＨ０１であれば表示部２０３へ検体ＩＤの数を表示し、操作履歴の識別子がＨ０２であればプリンタ２０４に検体ＩＤの数を印刷し、操作履歴の識別子がＨ０３であればＦＤ２０５に検体ＩＤの数を格納する。

次にアクセス管理部２１８は、メッセージ管理部２１７を介して履歴管理用バッファ２４１の日付／時刻格納領域２４２と、装置識別子格納領域２４３と、履歴識別子格納領域２４４と、検体ＩＤ数格納領域２４５の内容を、セキュリティバッジ４０１へ送信する（ステップ７０５）。次にアクセス管理部２１８は、セキュリティバッジ４０１から応答メッセージを受信して、本処理フローを終了する（７０６）。ステップ７０２において、動作モード格納領域２３８にセキュリティバッジ識別子と、動作モードの両方、またはどちらか一方が格納されていなければ、本処理フローを終了する。

図８は、図７に示したステップ７０３において、操作端末２０１が操作コマンドを実行し、その出力データを表示部２０３、プリンタ２０４、ＦＤ２０５に出力する時の処理フローである。なお操作コマンドに基づいて、表示部２０３に表示されるデータ、プリンタ２０４を使用して印刷されるデータ、ＦＤ２０５に記録されるデータを出力データと呼ぶ。まずアクセス管理部２１８は、分析関連情報ＤＢ２１０から出力データを読み込む（ステップ８０１）。次にアクセス管理部２１８は、セキュリティバッジ管理バッファ２３６のセキュリティバッジ識別子格納領域２３７と、動作モード格納領域２３８に、それぞれセキュリティバッジ識別子と動作モードが格納されているか否かを判定し（ステップ８０２）、登録されていれば動作モード格納領域２３８に格納されている動作モードが匿名モードか否かを判定する（ステップ８０３）。ステップ８０３において、動作モードが匿名モードであれば、出力データに含まれる検体ＩＤを＊＊＊などの記号と置き換える（ステップ８０４）。ここで使用する記号は、＋＋＋、＃＃＃などの他の記号であってもよい。また記号の数は３でなくてもよい。また使用する記号が空白であってもよい。次にアクセス管理部２１８は、出力データを指定された媒体に出力して、本処理フローを終了する（ステップ８０５）。

ステップ８０２において、動作モード格納領域２３８に、セキュリティバッジ識別子と、動作モードの両方、またはどちらか一方が格納されていなければ、本処理フローを終了する。ステップ８０３において、前記動作モードがノーマルモードであればアクセス管理部２１８は、ステップ８０５を実行する。

図９は、実施例１のセキュリティバッジ４０１がその動作モードを登録する時の処理フローである。まずセキュリティバッジ登録部４０２は、セキュリティ情報ＤＢ４０８に格納されたセキュリティバッジ関連情報管理テーブル２５１のセキュリティバッジ識別子２５２を読み込み、セキュリティバッジ識別子を取得する（ステップ９０１）。次にセキュリティバッジ登録部４０２は、メッセージ管理部４０４を介して取得したセキュリティバッジ識別子を操作端末２０１へ送信する（ステップ９０２）。

次にセキュリティバッジ登録部４０２は、操作端末２０１から応答を受信したか否かを判定する（ステップ９０３）。ステップ９０３において、応答を受信していれば、図６のステップ６０５にて示した方法により相互認証処理を実行する（ステップ９０４）。次にセキュリティバッジ登録部４０２は、相互認証処理が成功したか否かを判定し（ステップ９０５）、成功した場合には、動作モード管理テーブル２５３の動作モード格納領域２５４を読み込むことにより、動作モードを取得する（ステップ９０６）。次にセキュリティバッジ登録部４０２は、メッセージ管理部４０４を介して取得した動作モードを操作端末２０１へ送信して、本処理フローを終了する（ステップ９０７）。ステップ９０３において、応答を受信していなければ、本処理フローを終了する。

図１０は、実施例１のセキュリティバッジ４０１が操作履歴を解析し、その結果に応じてその動作モードを変更する時の処理フローである。履歴管理部４０３は、操作端末２０１から操作履歴を受信し、この操作履歴を履歴管理テーブル２６１の日付/時刻２６２と、装置識別子２６３と、履歴識別子２６４と、検体ＩＤ数２６５に格納する（ステップ３１１）。次に履歴管理部４０３は、操作端末２０１へ応答を送信する（ステップ３１２）。次に履歴管理部４０３は、動作モード管理テーブル２５３の動作モード格納領域２５４を読み込むことにより動作モードを取得し、この動作モードの種別を判定する（ステップ３１３）。ステップ３１３において、動作モードが匿名モードであれば、動作モード管理テーブル２５３の開始日付/時刻格納領域２５５を読み込むことにより開始日付/時刻を取得する（ステップ３１４）。次に履歴管理部４０３は、その時点の日付/時刻と取得した開始日付/時刻に基づいて、匿名モードに遷移してからその時点までの経過時間を算出し、予め定められた時間を経過しているか否かを判定する（ステップ３１５）。ステップ３１５において、予め定められた時間を経過している場合、履歴管理部４０３は、動作モード管理テーブル２５３の動作モード格納領域２５４をＮＯＲＭＡＬに更新し、動作モード管理テーブル２５３の開始日付/時刻格納領域２５５をゼロクリアする（ステップ３１６）。

次に履歴管理部４０３は、履歴管理テーブル２６１の日付/時刻２６２と、装置識別子２６３と、履歴識別子２６４と、検体ＩＤ数２６５を読み込み、解析することにより、出力傾向が定められた範囲にあるか否かを判定する（ステップ３１７）。解析のアルゴリズムは、公知の技術を使用すればよいので詳述しない。ステップ３１７において、出力傾向が定められた範囲にある場合、履歴管理部４０３は、本処理フローを終了する。

ステップ３１３において、動作モードがノーマルモードであれば、ステップ３１７を実行する。ステップ３１７において、出力傾向が定められた範囲にない場合、履歴管理部４０３は、動作モード管理テーブル２５３の動作モード格納領域２５４にＡＮＯＮＹＭＯＵＳを格納し、動作モード管理テーブル２５３の開始日付/時刻格納領域２５５にその時点での日付と時刻を格納し、本処理フローを終了する（ステップ３１８）。

図１１は、実施例１において、セキュリティバッジ４０１がステップ３１７で出力傾向が定められた範囲にあるか否かを判定する方法を説明する図である。縦軸は、検体ＩＤを出力した数、横軸は日付を示す。１月１５日から１月１９日の５日間、検体ＩＤを出力した数が継続して閾値を超えており、かつ１月１８日から１月１９日にかけて検体ＩＤを出力した数が急激に増加している。これは、患者のプライベートな情報が不正に出力された疑いのあることを示している。このため１月１９日の時点で、セキュリティバッジ４０１は、動作モードを匿名モードに遷移する。

実施例１の情報提供システムおよび分析装置の効果について説明する。実施例１のセキュリティバッジ４０１は、操作端末２０１から無線通信部４０５を介して操作履歴を収集することにより、ネットワークを構築することなく、個人医療情報の漏洩および兆候を検出することができる。またセキュリティバッジ４０１が１台以上の分析装置から操作履歴を収集して解析することにより、分析装置の使用を許可された技師による個人医療情報の不正な持ち出しおよび兆候を検出することができる。また個人医療情報の不正な持ち出しおよび兆候を検出した時に、セキュリティバッジの動作モードを「匿名モード」とすることにより、個人医療情報の不正な持ち出しを防止することができる。

次に実施例２について図面を用いて説明する。実施例１では、セキュリティバッジ４０１の動作モードを作業履歴に基づいて「ノーマルモード」または「匿名モード」に遷移させる情報提供システムを示した。実施例２は、動作モードを「ノーマルモード」、「匿名モード」または「不正モード」に遷移させる情報提供システムである。実施例２の操作端末２０１のシステムブロック図と、ハードウェア構成図は、実施例１の操作端末２０１のシステムブロック図と、ハードウェア構成図と同様である。

図１２は、実施例２のセキュリティバッジ４０１のシステムブロック図である。図１２は、実施例１のセキュリティバッジ４０１のシステムブロック図に、指紋情報取得機器４２１が追加される。指紋情報取得機器４２１は、管理者など特定の役割をもつ者を特定する情報の一例として指紋情報を入力する。

図１３は、実施例２のセキュリティバッジ４０１のハードウェア構成図である。図１３は、実施例１のセキュリティバッチ４０１のシステムブロック図に、指紋情報取得機器４２１が追加される。

図１４は、実施例２の操作端末２０１が操作コマンドを実行し、セキュリティバッジ４０１へ操作履歴を受け渡す時の処理フローである。図７に示す実施例１の処理フローにステップ７４１が追加される。ステップ７０２において、動作モードが登録されていれば、アクセス管理部２１８は、セキュリティバッジ管理バッファ２３６の動作モード格納領域２３８を読み込むことにより動作モードを取得し、その動作モードがノーマルモードまたは匿名モードであるか否かを判定する（ステップ７４１）。ステップ７４１で動作モードがノーマルモードまたは匿名モードであれば、ステップ７０３を実行する。ステップ７４１で動作モードが不正モードであれば、操作コマンドを実行することなく本処理フローを終了する。

図１５は、実施例２のセキュリティバッジ４０１がその動作モードを変更する時の処理フローである。図１０に示す実施例１の処理フローでステップ３１３が変更される。またステップ３５１、ステップ３５２およびステップ３５３が追加される。ステップ３１３で動作モードがノーマルモードまたは不正モードであれば、ステップ３１７を実行する。またステップ３１８において、履歴管理部４０３は、動作モード管理テーブル２５３の動作モード格納領域２５４にＡＮＯＮＹＭＯＵＳを格納し、開始日付/時刻格納領域２５５にその時点での日付と時刻を格納する。次にステップ３５１において、履歴管理部４０３は、匿名モードへの遷移回数を管理する変数Ｍに１を加算する。この変数Ｍは、履歴情報ＤＢ４０６に格納される変数であり、０クリアされて出荷される。次に履歴管理部４０３は、変数Ｍが３と等しいか否かを判定する（ステップ３５２）。ステップ３５２で変数Ｍが３と等しくなければ、本処理フローを終了する。ステップ３５２で変数Ｍが３と等しければ、履歴管理部４０３は、動作モード管理テーブル２５３の動作モード格納領域２５４に不正モードを示すＷＲＯＮＧを格納し、開始日付/時刻格納領域２５５をゼロクリアして（ステップ３５３）、本処理フローを終了する。

図１６は、管理者など特定の役割をもつ者の承認により「匿名モード」または「不正モード」であるセキュリティバッジ４０１の動作モードを、「ノーマルモード」に遷移させる時のセキュリティバッジ４０１による処理フローである。まずセキュリティバッジ登録部４０２は、指紋情報取得機器４２１を使用して、管理者など役割をもつ者の指紋情報を取得する（ステップ３６１）。次にセキュリティ登録部４０２は、この指紋情報と、セキュリティバッジ関連情報管理テーブル２５１の管理者指紋情報２５６を比較することにより、両者が一致するか否かを判定する（ステップ３６２）。ステップ３６２において、指紋情報と管理者指紋情報２５６が一致する場合は、動作モード管理テーブル２５３の動作モード格納領域２５４にＮＯＲＭＡＬを格納し、開始日付/時刻格納領域２５５をゼロクリアする（ステップ３６３）。次に変数Ｍに０を代入する（ステップ３６４）。

実施例２の情報提供システムおよび分析装置の効果について述べる。実施例２では、セキュリティバッチ４０１が動作モードとして、ノーマルモードと匿名モードに加えて不正モードを備えることにより、個人医療情報の漏洩および兆候を検出した時に、より確実に個人医療情報の漏洩を防止することができる。またセキュリティバッジ４０１が認証情報取得機器４２１とセキュリティバッジ関連情報管理テーブル２５１を備えることにより、管理者の許可があれば、セキュリティバッジ４０１を匿名モードまたは不正モードからノーマルモードに復旧させることができる。

次に実施例３について図面を用いて説明する。実施例１では、作業履歴に基づいて個人医療情報の不正な持ち出しおよび兆候を検出する情報提供システムを示した。実施例３では、分析装置の表示部に表示された個人医療情報の盗み見および兆候を検出する情報提供システムを示す。なお操作端末２０１と、セキュリティバッチ４０１のシステムブロック図と、ハードウェア構成図は、実施例１と同様である。

図１７は、実施例３の操作端末２０１がセキュリティバッジ４０１を識別して、セキュリティバッジの動作モードを登録する時の処理フローである。図６に示した処理フローにステップ６８１が追加される。セキュリティバッジ管理部２０９は、ステップ６０７で受信した識別子を登録した後、ステップ６８１でハードディスク３０２から分析装置の識別子を読み込み、セキュリティバッジ４０１へこの分析装置識別子を送信する。

図１８は、実施例３のセキュリティバッジ４０１が周辺に存在するセキュリティバッジを認識して、履歴として記録するときの処理フローである。まず履歴管理部４０３は、メッセージ管理部４０４を介して分析装置の識別子を受信する（ステップ６９１）。次に履歴管理部４０３は、メッセージ管理部４０４を介してステップ９０２で他のセキュリティバッジ４０１が送信するセキュリティバッジの識別子を受信する（ステップ６９２）。次に履歴管理部４０３は、日付/時刻、分析装置識別子およびセキュリティバッジ識別子を対応づけて履歴管理テーブル２６１に格納する（ステップ６９３）。次に履歴管理部４０３は、履歴管理テーブル２６１の情報を解析することにより、分析装置１０２の表示部に表示される機密情報の盗み見あるいはその兆候を検出する（ステップ６９４）。

実施例３では、セキュリティバッジ４０１は、縦軸を特定日付における時刻、横軸を分析装置の識別子とし、周辺のセキュリティバッジの存在をプロットするグラフにより、特定のセキュリティバッジの動向を分析する。分析方法については詳述しない。これによりセキュリティバッジ４０１は、分析装置にアクセスしている最中に、周辺に頻繁に存在するセキュリティバッジを検出する。ステップ６９４において、分析装置１０２の表示部に表示された機密情報の盗み見あるいはその兆候を検出しなければ、本処理フローを終了する。ステップ６９４において、分析装置１０２の表示部に表示された機密情報の盗み見あるいはその兆候を検出した場合は、履歴管理部４０３は、操作端末２０１へ不正通知を送信する（ステップ６９５）。不正通知を受信した操作端末２０１は、特定の個人が盗み見したかその兆候を検出したことを示すメッセージを表示部２０３に表示する。

図１９は、実施例３の処理フローのステップ６９４において、周辺のセキュリティバッジの存在をプロットするグラフの例を示す図である。縦軸は特定日付における時刻、横軸は分析装置の識別子を示す。この例では、ＳＢ０１の識別子をもつセキュリティバッジが４つの分析装置１０２に亘って存在し、他の技師１０４が扱っている機密情報を盗み見した疑いがあることを示している。

実施例３の情報提供システムおよび分析装置の効果について述べる。実施例３では、セキュリティバッジ４０１が操作端末２０１にアクセスしているとき、他セキュリティバッジの存在履歴に基づいてその動向を解析することにより、情報提供装置の表示部に表示される機密情報の盗み見あるいはその兆候を検出することができる。

実施例１の技師が分析装置を利用する様子を説明する図である。実施例１の分析装置のシステムブロック図である。実施例１の操作端末２０１のハードウェア構成図である。実施例１のセキュリティバッジ４０１のシステムブロック図である。実施例１のセキュリティバッジ４０１のハードウェア構成図である。実施例１の操作端末２０１がセキュリティバッジの動作モードを登録する時の処理のフローチャートである。実施例１の操作端末２０１が操作コマンドを実行し、セキュリティバッジ４０１へ操作履歴を受け渡す時の処理のフローチャートである。実施例１の操作端末２０１が出力データを出力するときの処理のフローチャートである。実施例１のセキュリティバッジ４０１がその動作モードを登録する時の処理のフローチャートである。実施例１のセキュリティバッジ４０１がその動作モードを変更する時の処理のフローチャートである。実施例１のセキュリティバッジ４０１が出力傾向を判定する方法を説明する図である。実施例２のセキュリティバッジ４０１のシステムブロック図である。実施例２のセキュリティバッジ４０１のハードウェア構成図である。実施例２の操作端末２０１が操作コマンドを実行し、セキュリティバッジ４０１へ操作履歴を受け渡す時の処理のフローチャートである。実施例２のセキュリティバッジ４０１がその動作モードを変更する時の処理のフローチャートである。実施例２において「匿名モード」または「不正モード」であるセキュリティバッジ４０１の動作モードを「ノーマルモード」に遷移させる時の処理のフローチャートである。実施例３の操作端末２０１がセキュリティバッジ４０１を識別して、セキュリティバッジの動作モードを登録する時の処理のフローチャートである。実施例３のセキュリティバッジ４０１が周辺に存在するセキュリティバッジを認識して、履歴として記録するときの処理のフローチャートである。実施例３において、周辺のセキュリティバッジの存在をプロットするグラフの例を示す図である。実施例１のセキュリティバッジ管理テーブル２３１とセキュリティバッジ管理バッファ２３６の構成を示す図である。実施例１の履歴管理用バッファ２４１の構成を示す図である。実施例１のセキュリティバッジ関連情報管理テーブル２５１と、動作モード管理テーブル２５３の構成を示す図である。実施例１の履歴管理テーブル２６１の構成を示す図である。

符号の説明

１０２：分析装置、２０１：操作端末、２０８：セキュリティ情報ＤＢ、２０９：セキュリティバッジ管理部、２１０：分析関連情報ＤＢ、２１８：アクセス管理部、４０１：セキュリティバッジ、４０２：セキュリティバッジ登録部、４０３：履歴管理部、４０６：履歴情報ＤＢ、４０８：セキュリティ情報ＤＢ

Claims

入力される操作コマンドを実行しその実行結果の機密情報を出力する情報提供装置と、前記情報提供装置へバッジ識別子を送信して認証を受けるセキュリティバッジとを有する情報提供システムにおいて、
前記セキュリティバッジは、前記情報提供装置から、検体を識別するための検体識別情報の数を含む操作履歴を受信して記憶領域に蓄積する手段と、蓄積された前記操作履歴に含まれる前記検体識別情報の数があらかじめ定められた範囲内の値であるか否かを判定することにより、秘匿した状態で前記機密情報を出力するか否かを区分する動作モードを判定し、判定された前記動作モードを前記情報提供装置へ送信する手段とを有し、
前記情報提供装置は、前記操作コマンドの実行過程を示す前記操作履歴を作成して前記セキュリティバッジへ送信する手段と、受信した前記動作モードが、秘匿した状態で前記機密情報を出力する匿名モードであるか否かを判定し、前記動作モードが前記匿名モードであると判定した場合、秘匿した状態で前記機密情報を出力する手段とを有することを特徴とする情報提供システム。
前記動作モードは、前記匿名モードと秘匿しない状態で前記機密情報を出力するノーマルモードとを含み、前記セキュリティバッジは、さらに前記匿名モードのまま所定時間が経過したとき前記動作モードを前記匿名モードから前記ノーマルモードに移行させる手段を有することを特徴とする請求項１記載の情報提供システム。
前記動作モードは、前記匿名モードと秘匿しない状態で前記機密情報を出力するノーマルモードとを含み、前記セキュリティバッジは、前記操作履歴に含まれる前記検体識別情報の数があらかじめ定められた範囲内の値であるか否かを判定することにより、前記匿名モードにするか前記ノーマルモードにするかを判定することを特徴とする請求項１記載の情報提供システム。
前記動作モードは、前記匿名モードと、秘匿しない状態で前記機密情報を出力するノーマルモードと、前記操作コマンドの実行を拒否する不正モードとを含み、前記情報提供装置は、受信した前記動作モードが前記不正モードのとき前記操作コマンドの実行を拒否することを特徴とする請求項１記載の情報提供システム。
前記セキュリティバッジは、さらに前記セキュリティバッジの利用者が管理者であるか否かを判定し、前記セキュリティバッジの利用者が管理者であると判定した場合に、前記動作モードを前記不正モードから前記ノーマルモードへ移行させることを特徴とする請求項４記載の情報提供システム。
前記情報提供装置は、前記セキュリティバッジから前記バッジ識別子を受信したとき当該情報提供装置の装置識別子を送信元の前記セキュリティバッジへ送信する手段と、前記セキュリティバッジから不正通知を受信して出力する手段とを有し、
前記セキュリティバッジは、当該セキュリティバッジとは異なる他のセキュリティバッジからバッジ識別子を受信し、前記装置識別子を受信したとき当該セキュリティバッジとは異なる他のセキュリティバッジのバッジ識別子を検出する手段と、受信した前記装置識別子と検出した他のセキュリティバッジのバッジ識別子とを対応づけた履歴を記録する手段と、前記履歴を解析し、前記他のセキュリティバッジのバッジ識別子が複数の前記装置識別子に対応付けられているか否かを判定することにより、前記他のセキュリティバッジが不正に関与したか否かを判定する手段と、不正と判定されたとき前記情報提供装置へ前記不正通知を送信する手段とを有することを特徴とする請求項１記載の情報提供システム。
入力される操作コマンドを実行しその実行結果の機密情報を出力する情報提供装置と、前記情報提供装置へバッジ識別子を送信して認証を受けるセキュリティバッジとを有する情報提供システムのうちの前記情報提供装置であって、前記情報提供装置は、
検体を識別するための検体識別情報の数を含み、前記操作コマンドの実行過程を示す操作履歴を作成して前記セキュリティバッジへ送信する手段と、前記セキュリティバッジから前記操作履歴に含まれる前記検体識別情報の数があらかじめ定められた範囲内の値であるか否かが判定され、秘匿した状態で前記機密情報を出力するか否かを区分するための動作モードを受信する手段と、受信した前記動作モードが、秘匿した状態で前記機密情報を出力する匿名モードであるか否かを判定し、前記動作モードが前記匿名モードであると判定した場合、秘匿した状態で前記機密情報を出力する手段とを有することを特徴とする情報提供装置。
前記動作モードは、前記匿名モードと、秘匿しない状態で前記機密情報を出力するノーマルモードと、前記操作コマンドの実行を拒否する不正モードとを含み、前記情報提供装置は、受信した前記動作モードが前記不正モードのとき前記操作コマンドの実行を拒否する手段を有することを特徴とする請求項７記載の情報提供装置。
入力される操作コマンドを実行しその実行結果の機密情報を出力する情報提供装置と、前記情報提供装置へバッジ識別子を送信して認証を受けるセキュリティバッジとを有する情報提供システムのうちの前記セキュリティバッジであって、前記セキュリティバッジは、
前記情報提供装置から、検体を識別するための検体識別情報の数を含み、前記操作コマンドの実行過程を示す操作履歴を受信して記憶領域に蓄積する手段と、蓄積された前記操作履歴に含まれる前記検体識別情報の数があらかじめ定められた範囲内の値であるか否かを判定することにより、秘匿した状態で前記機密情報を出力するか否かを区分する動作モードを判定する手段と、判定された前記動作モードに従って前記機密情報の出力が行われるように前記動作モードを前記情報提供装置へ送信する手段とを有することを特徴とするセキュリティバッジ。
前記動作モードは、前記匿名モードと秘匿しない状態で前記機密情報を出力するノーマルモードとを含み、前記セキュリティバッジは、さらに前記匿名モードのまま所定時間が経過したとき前記動作モードを前記匿名モードから前記ノーマルモードに移行させる手段を有することを特徴とする請求項９記載のセキュリティバッジ。
前記動作モードは、前記匿名モードと秘匿しない状態で前記機密情報を出力するノーマルモードとを含み、前記セキュリティバッジは、前記操作履歴に含まれる前記検体識別情報の数があらかじめ定められた範囲内の値であるか否かを判定することにより、前記匿名モードにするか前記ノーマルモードにするかを判定することを特徴とする請求項９記載のセキュリティバッジ。
前記動作モードは、前記匿名モードと、秘匿しない状態で前記機密情報を出力するノーマルモードと、前記操作コマンドの実行を拒否する不正モードとを含み、前記セキュリティバッジは、さらに前記セキュリティバッジの利用者が管理者であるか否かを判定し、前記セキュリティバッジの利用者が管理者であると判定した場合に、前記動作モードを前記不正モードから前記ノーマルモードへ移行させる手段を有することを特徴とする請求項９記載のセキュリティバッジ。
前記セキュリティバッジは、当該セキュリティバッジとは異なる他のセキュリティバッジからバッジ識別子を受信し、前記情報提供装置から当該情報提供装置の装置識別子を受信する手段と、前記装置識別子を受信したとき当該セキュリティバッジとは異なる他のセキュリティバッジのバッジ識別子を検出する手段と、受信した前記装置識別子と検出した他のセキュリティバッジのバッジ識別子とを対応づけた履歴を記録する手段と、前記履歴を解析し、前記他のセキュリティバッジのバッジ識別子が複数の前記装置識別子に対応付けられているか否かを判定することにより、前記他のセキュリティバッジが不正に関与したか否かを判定する手段と、不正と判定されたとき前記情報提供装置に出力するために前記情報提供装置へ前記不正通知を送信する手段とを有することを特徴とする請求項９記載のセキュリティバッジ。