JP6724749B2 - リスク評価装置、リスク評価方法及びリスク評価プログラム - Google Patents

Description

本発明は、リスク評価装置、リスク評価方法及びリスク評価プログラムに関する。

プライバシー性の高い情報は、運用者が各種のガイドラインに沿ってリスク分析を行って設定するルールの下で取り扱われる。例えば、在宅医療の分野では、患者に関するケア情報を取り扱うサービスを利用するためのルールが厚生労働省等により定められたガイドラインに沿って設定される。

例えば、サービスの利用には、医療関係者が患者の住宅へ滞在することといった条件がルールとして課される場合がある。このようなルール設定の下、医療関係者が患者宅に訪問した場合、在宅医療支援システムは、医療関係者により訪問が行われた患者のケア情報を医療関係者が使用するスマート端末等に表示する。その後、医療関係者が訪問を終えて患者宅から退去すると、在宅医療支援システムは、当該患者のケア情報をスマート端末から消去する。これによって、セキュリティの向上が図られている。

特開２０１０−１５２６６０号公報 特開２００５−６３２９２号公報 特開２００５−２４２５４５号公報

しかしながら、上記の技術では、ルールの修正を適切に行うことができない場合がある。

すなわち、運用上のルールと現場でサービスが利用される実状は、必ずしも適合するとは限らない。これら両者が適合しない場合、現場の実状に合わせてルールを修正しようとしても、運用者が必ずしも現場に関する知識や経験が豊富であるとは限らない。それ故、運用者は、現場で医療関係者が作業する状況でサービスが利用されることにより発生するリスクを把握することは困難である。したがって、運用者は、リスク分析を正確に行うことはできず、ルールの修正を適切に行うことは困難である。

１つの側面では、本発明は、ルールの修正を適切に行うことができるリスク評価装置、リスク評価方法及びリスク評価プログラムを提供することを目的とする。

一態様では、リスク評価装置は、所定のサービスが利用される端末により作業状況の遷移が検知されてから次に遷移が検知されるまでの期間に前記端末が測定するセンサ情報を取得する取得部と、前記センサ情報から前記端末の周辺のリスクが指標化されたリスク評価値を算出するリスク評価部と、を有する。

ルールの修正を適切に行うことができる。

図１は、実施例１に係るシステムの機能的構成の一例を示す図である。 図２Ａは、ＢＬＥビーコンの受信パターンの一例を示す図である。 図２Ｂは、ＢＬＥビーコンの受信パターンの一例を示す図である。 図２Ｃは、ＢＬＥビーコンの受信パターンの一例を示す図である。 図３は、ルール情報の一例を示す図である。 図４は、訪問診療の一例を示す図である。 図５は、ログ情報の一例を示す図である。 図６は、リスク評価情報の一例を示す図である。 図７は、リスク評価情報の一例を示す図である。 図８は、実施例１に係るリスク評価処理の手順を示すフローチャートである。 図９は、実施例１に係る判定処理の手順を示すフローチャートである。 図１０は、実施例１及び実施例２に係るリスク評価プログラムを実行するコンピュータのハードウェア構成例を示す図である。

以下に添付図面を参照して本願に係るリスク評価装置、リスク評価方法及びリスク評価プログラムについて説明する。なお、この実施例は開示の技術を限定するものではない。そして、各実施例は、処理内容を矛盾させない範囲で適宜組み合わせることが可能である。

［システム構成］
図１は、実施例１に係るシステムの機能的構成の一例を示す図である。図１に示す在宅医療支援システム１は、運用者が所定のガイドラインに沿って設定するルールの下、患者に関するケア情報を表示するサービスを提供することにより、在宅医療を支援するものである。このような在宅医療支援の一環として、在宅医療支援システム１は、現場で作業が行われる状況でサービスを利用するリスクを評価する機能を実装する。

図１に示すように、在宅医療支援システム１には、サーバ装置１０と、医療者端末３０と、運用者端末５０とが含まれる。図１には、医療者端末３０および運用者端末５０を１つずつ例示したが、１つのサーバ装置１０につき複数の医療者端末３０および複数の運用者端末５０が設けられることとしてもかまわない。

これらサーバ装置１０、医療者端末３０及び運用者端末５０の間は、所定のネットワークＮＷを介して接続される。このネットワークＮＷは、有線または無線を問わず、インターネット、ＬＡＮ（Local Area Network）やＶＰＮ（Virtual Private Network）などの任意の種類の通信網により構築することができる。

サーバ装置１０は、上記の在宅医療支援を実現するコンピュータである。

一実施形態として、サーバ装置１０は、パッケージソフトウェアやオンラインソフトウェアとして、上記の在宅医療支援に関する各種の機能、例えば上記のサービスの他、上記のサービスを利用するルールの設定、カルテの入力や訪問診療のスケジューラなどを実現する在宅医療支援プログラムを所望のコンピュータにインストールさせることによって実装できる。例えば、サーバ装置１０は、上記の在宅医療支援の機能を提供するＷｅｂサーバとして実装することとしてもよいし、アウトソーシングによって上記の在宅医療支援の機能を提供するクラウドとして実装することとしてもかまわない。

医療者端末３０は、医療関係者により使用される一方で、運用者端末５０は、上記のサービスの運用者により使用される。ここで言う「医療関係者」とは、医師の他、看護師や介護士などの医療従事者、これらを事務面またはシステム面からサポートするスタッフ全般を指す。

これら医療者端末３０及び運用者端末５０には、スマートフォン、携帯電話機やＰＨＳ（Personal Handyphone System）などの移動体通信端末、さらには、スレート端末やタブレット端末などの携帯端末装置を採用できる。

ここで、医療者端末３０では、運用者が運用者端末５０を介してサーバ装置１０に設定するルールにしたがって上記のサービスが利用される。すなわち、ケア情報には、カルテ、介護用の情報や薬剤などのように、患者にとってプライバシー性が高い個人情報が含まれる。このため、一例として、運営者により厚生労働省「医療情報システムの安全管理に関するガイドライン」に沿って設定される。

このようにルールが設定される場合、セキュリティの観点から、医療関係者が在宅医療に関する作業を行う状況のうちサービス利用を許可する状況が絞り込まれる。すなわち、在宅医療には、医療関係者が患者宅で診療を行う局面の他にも、病院や診療所等から患者宅へ徒歩で移動する局面、病院や診療所等の事業者が所有する車両に乗車して移動する局面などが存在する。これら診療、徒歩移動や車両移動などの作業が行われる状況のことを「作業状況」と記載する場合がある。これらの作業状況のうち、少なくとも医療関係者が患者を診療する状況では、患者宅に医療関係者が滞在する安全な状態であるので、サービスの利用を許可するルールが設定される。

このような作業状況の識別には、一例として、ＢＬＥ（Bluetooth（登録商標） Low Energy）ビーコンやＮＦＣ（Near Field Communication）タグなどのＩｏＴ（Internet of Things）デバイスを用いて実現することができる。以下では、あくまで一例として、ＢＬＥビーコンを用いて医療関係者の作業状況を識別する場合を例示する。

例えば、ＢＬＥビーコンを用いる場合、ビーコン受信機として、ＢＬＥビーコンを受信可能な医療者端末５０が流用されると共に、ビーコン発信機として、医療関係者により携帯される携帯型のビーコン発信機と、医療関係者が在宅医療に関する作業を行う場所に設置される設置型のビーコン発信機とが用いられる。以下、携帯型のビーコン発信機により発信されるＢＬＥビーコンのことを「医療関係者ビーコン」と記載する一方で、設置型のビーコン発信機により発信されるＢＬＥビーコンのことを「場所ビーコン」と記載することがある。これら医療関係者ビーコン及び場所ビーコンのうち一方または両方が医療者端末３０により受信されるか否かにより、医療関係者の作業状況が識別される。

図２Ａ〜図２Ｃは、ＢＬＥビーコンの受信パターンの一例を示す図である。これら図２Ａ〜図２Ｃには、医療関係者４が作業中に医療者端末３０およびカード型のビーコン発信機４０を携帯する例を示す。図２Ｂには、設置型のビーコン発信機の一例として、病院や診療所が所有する車両６にビーコン発信機６０が設置された例を示す。図２Ｃには、設置型のビーコン発信機の一例として、患者Ａの自宅等である患者宅にビーコン発信機７０が設置された例を示す。

図２Ａに示すように、医療者端末３０によりカード型のビーコン発信機４０から医療関係者ビーコンだけが受信される場合、医療関係者は、訪問診療に従事中であるが、車両６および患者宅のいずれにも存在しないことがわかる。この場合、医療関係者の作業状況は、「徒歩移動中」であると識別できる。また、図２Ｂに示すように、医療者端末３０によりカード型のビーコン発信機４０から医療関係者ビーコンが受信されると共に、設置型のビーコン発信機６０から車両ビーコンが場所ビーコンとして受信される場合、医療関係者は、訪問診療に従事中であり、かつ車両６に存在する状況であるとわかる。この場合、医療関係者の作業状況は、車両６が停車中または走行中であるかはともかく、少なくとも「車両乗車（滞在）中」であると識別できる。さらに、図２Ｃに示すように、医療者端末３０によりカード型のビーコン発信機４０から医療関係者ビーコンが受信されると共に、設置型のビーコン発信機７０から患者宅ビーコンが場所ビーコンとして受信される場合、医療関係者は、訪問診療に従事中であり、かつ患者Ａの患者宅に存在する状況であるとわかる。この場合、医療関係者の作業状況は、「診療中」であると識別できる。

このように、医療者端末３０により受信されるビーコンの種類が医療関係者ビーコン、医療関係者ビーコン＋車両ビーコン、または、医療関係者ビーコン＋患者宅ビーコンのいずれのパターンに該当するのかにより、医療関係者の作業状況を識別できる。これらの作業状況のうち「診療中」である場合、医療者端末３０におけるサービスの利用が許可される。

なお、図示は省略したが、医療者端末３０が医療関係者ビーコンを受信できない場合、医療関係者が医療者端末３０の傍にいない状況であるので、医療者端末３０の紛失リスクがあることを識別することもできる。この場合、医療者端末３０が医療関係者ビーコンを受信できない状況が所定の期間にわたって継続する場合、紛失リスクのアラートを運用者端末５０に通知することもできる。

［医療者端末３０の構成］
まず、本実施例に係る医療者端末３０の機能的構成について説明する。図１に示すように、医療者端末３０は、無線通信部３１、表示部３２と、ビーコン受信部３３と、音声入力部３４と、位置情報取得部３５と、制御部３６とを有する。なお、医療者端末３０は、図１に示す機能部以外にも既知の携帯端末装置が有する各種の機能部、例えばアンテナ、入力部や音声出力部などを有することとしてもかまわない。

無線通信部３１は、図示しないアンテナを介して基地局と接続することにより、基地局と接続される移動体通信網等を介して他の装置、例えばサーバ装置１０や運用者端末５０との間でデータの送受信を行う処理部である。

表示部３２は、各種の情報を表示するデバイスである。

一実施形態として、表示部３２は、図示しない入力部と一体化することにより、タッチパネルとして実装することができる他、液晶ディスプレイや有機ＥＬ（electroluminescence）ディスプレイなどにより実装することもできる。このような発光により表示を実現するものの他にも、表示部３２は、投影により表示を実現するプロジェクタとして実装することもできる。例えば、表示部３２は、後述するサービス利用部３６ｂからの指示にしたがって患者の診療に用いるケア情報を表示することができる。

ビーコン受信部３３は、ビーコンを受信する処理部である。なお、ここでは、ビーコンの受信機能について説明するが、ビーコンを発信する機能を併せ持つこととしてもかまわない。

一実施形態として、ビーコン受信部３３は、近距離無線通信の機能を搭載するＢＬＥチップ等により実装することができる。例えば、ビーコン受信部３３は、カード型のビーコン発信機４０から医療関係者ビーコンを受信したり、設置型のビーコン発信機６０から車両ビーコンを受信したり、設置型のビーコン発信機７０から患者宅ビーコンを受信したりする。これらＢＬＥビーコンを受信すると、ビーコン受信部３３は、受信中のＢＬＥビーコンの受信電波強度を後述の測定部３６ｃに通知する。なお、ここでは、Bluetooth（登録商標）を用いる場合を例示したが、他の近距離無線通信の規格により、ビーコンを受信することとしてもかまわない。

音声入力部３４は、音声信号を入力する処理部である。

一実施形態として、音声入力部３４は、音声を電気信号に変換するマイクロフォン等により実装することができる。例えば、音声入力部３４は、マイクロフォンを介して音声を採取することにより得られたアナログ信号をデジタル信号へ変換した上で音声データとして測定部３６ｃへ入力する。

位置情報取得部３５は、位置情報を取得する処理部である。

一実施形態として、位置情報取得部３５は、複数のＧＰＳ衛星から送信される時刻情報から位置を測定するＧＰＳ（Global Positioning System）受信機などにより実装することができる。例えば、位置情報取得部３５は、ＧＰＳ受信機により測定された位置情報を測定部３６ｃへ入力する。ここでは、位置情報を取得するセンサの一例として、ＧＰＳ受信機を例示したが、これには限定されない。例えば、医療者端末３０が収容されるセルの基地局、例えばアクセスポイントなどの位置情報を取得することもできる。このアクセスポイントの位置情報は、そのまま医療関係者の位置情報として用いることもできるし、医療者端末３０の受信電波強度等から割り出される医療者端末３０及びアクセスポイント間の距離を用いて医療者端末３０の位置情報を求めることもできる。

制御部３６は、医療者端末３０の全体制御を行う処理部である。

一実施形態として、制御部３６は、ＣＰＵ（Central Processing Unit）やＭＰＵ（Micro Processing Unit）などのハードウェアプロセッサにより実装することができる。ここでは、プロセッサの一例として、ＣＰＵやＭＰＵを例示したが、汎用型および特化型を問わず、任意のプロセッサにより実装することができる。この他、制御部３６は、ＡＳＩＣ（Application Specific Integrated Circuit）やＦＰＧＡ（Field Programmable Gate Array）などのハードワイヤードロジックによって実現されることとしてもかまわない。

制御部３６は、図示しない主記憶装置として実装されるＤＲＡＭ（Dynamic Random Access Memory）やＳＲＡＭ（Static Random Access Memory）などのＲＡＭのワークエリア上に、端末用のサービス利用プログラムを展開することにより、下記の処理部を仮想的に実現する。

制御部３６は、図１に示すように、状況監視部３６ａと、サービス利用部３６ｂと、測定部３６ｃとを有する。

状況監視部３６ａは、上記の作業状況の遷移を監視する処理部である。

一実施形態として、状況監視部３６ａは、サーバ装置１０から医療者端末３０を使用する医療関係者に付与されたアカウントに対応するルール情報をダウンロードし、ダウンロードされたルール情報を図示しない内部メモリのワークエリアに保存する。このようにルール情報がダウンロードされた状態の下、状況監視部３６ａは、ビーコン受信部３３により受信される医療関係者ビーコンや患者宅ビーコンがルール情報に規定された医療関係者や患者に対応するＢＬＥビーコンであるか否かを判定する。すなわち、医療関係者ビーコンに含まれる医療関係者の識別情報がルール情報に規定される医療関係者と一致するかを照合したり、患者宅ビーコンに含まれる患者の識別情報がルール情報に規定される患者のいずれかと一致するかが照合される。これにより、医療関係者が使用する権限を有さない医療者端末３０を使用していなかどうか、さらには、医療関係者が担当していない患者の患者宅に訪問していないかどうかなどが確認される。なお、医療関係者ビーコン又は患者宅ビーコンのいずれかがルール情報に規定された医療関係者や患者に対応しない場合、警告が表示部３２に表示される。

その上で、状況監視部３６ａは、ビーコン受信部３３により受信されるビーコンの受信パターンが医療関係者ビーコン、医療関係者ビーコン＋車両ビーコン、または、医療関係者ビーコン＋患者宅ビーコンのいずれのパターンに該当するのかを識別する。その上で、状況監視部３６ａは、今回の識別により得られたビーコンの受信パターンと、前回の識別により得られたビーコンの受信パターンとが一致するか否かを判定する。

ここで、両者のビーコンの受信パターンが異なる場合、作業状況に遷移があることを検知できる。この場合、状況監視部３６ａは、遷移後の作業状況をサーバ装置１０へ通知する。さらに、状況監視部３６ａは、前回に作業状況の遷移が検知されてから今回の作業状況の遷移までに測定部３６ｃにより測定された測定情報をサーバ装置１０へアップロードさせる。

一方、両者のビーコンの受信パターンが同一である場合、状況監視部３６ａは、当該ビーコンの受信パターンが医療関係者ビーコン＋車両ビーコンであるか否か、すなわち作業状況が「車両乗車中」であるか否かをさらに判定する。このとき、作業状況が「車両乗車中」である場合、位置情報取得部３５により過去の所定期間、例えば信号待ちと誤認しない程度の期間にわたって測定された位置情報の軌跡から求まる累積移動距離が所定の閾値、例えば５ｍ未満であるか否かを判定する。そして、状況監視部３６ａは、移動距離が閾値未満である場合、作業状況が「車両停車中」であると識別する一方で、移動距離が閾値未満でない場合、作業状況が「車両走行中」であると識別する。その上で、状況監視部３６ａは、前回に識別された作業状況との間で遷移がある場合、遷移後の作業状況をサーバ装置１０へ通知する。さらに、状況監視部３６ａは、前回に作業状況の遷移が検知されてから今回の作業状況の遷移までに測定部３６ｃにより測定された測定情報をサーバ装置１０へアップロードさせる。このように「車両乗車中」を「車両停車中」及び「車両走行中」にさらに分類するのは、事故につながるおそれがある車両走行時と、車両走行時よりも事故につながるおそれが少ない車両停車時とを弁別してリスク分析を実施するためである。

サービス利用部３６ｂは、上記のサービスを利用する処理部である。

一実施形態として、サービス利用部３６ｂは、状況監視部３６ａにより作業状況の遷移が検知される度に、遷移後の作業状況がルール情報に定義された条件に適合するか否かを判定する。例えば、ルール情報にサービスの利用が許可される作業状況が条件として規定されるとしたとき、遷移後の作業状況がルール情報に定義された条件に適合する場合、サービスの利用が許可された作業状況に遷移したことが判明する。この場合、サービス利用部３６ｂは、ルール情報に定義されたサービスのうち当該作業状況に対応付けられたサービスの利用を開始する。なお、ここでは、ルール情報の一例として、サービスの利用が許可される作業状況が規定された情報、いわゆるポジティブリストを例示したが、サービスの利用が禁止される作業状況が定義された情報、いわゆるネガティブリストであってもかまわない。この場合、遷移後の作業状況がルール情報に定義された条件に適合しない場合に絞ってサービスの利用を開始することとすればよい。

すなわち、サービス利用部３６ｂは、サーバ装置１０から当該サービスに対応するケア情報をダウンロードし、耐タンパ性を有する秘匿領域上にケア情報を保存する。この秘匿領域は、上記の内部メモリとは異なるメモリとして構築されることとしてもよいし、内部メモリの一部の領域が使用されることとしてもかまわない。その上で、サービス利用部３６ｂは、上記の秘匿領域上に保存されたケア情報を表示部３２に表示させる。このように秘匿領域上に保存されたケア情報の閲覧および編集は、サービスの利用が許可された作業状況が継続する期間にわたって許可される。その後、サービス利用部３６ｂは、作業状況の遷移が検知された場合、秘匿領域に保存されたケア情報の閲覧および編集を禁止する他、秘匿領域に保存されたケア情報をサーバ装置１０へアップロードした上でケア情報を削除する。

ここで、あくまで一側面として、サービスの利用が許可された作業状況が継続する期間に絞って秘匿領域に保存されたケア情報へのアクセスを許可する場合を例示したが、作業状況が遷移した後の秘匿領域へのアクセス、すなわちルール外のサービス利用を必ずしも全面的に禁止せずともかまわない。なぜなら、ルール外のサービス利用を過度に厳しく制約すると、突発的な事態に対応できなかったり、業務に支障が生じたりする場合があるからである。このため、サービス利用部３６ｂは、サービスの利用が許可された作業状況が他の作業状況に遷移してから所定の期間に絞って、パターン認証、パスワード認証や生体認証などの認証処理の成功、サーバ装置１０へのルール外アクセスのアラート出力などの条件付きでルール外のサービス使用を認めることもできる。

測定部３６ｃは、ビーコン受信部３３、音声入力部３４や位置情報取得部３５などのセンサによる測定を制御する処理部である。

一実施形態として、測定部３６ｃは、状況監視部３６ａにより作業状況の遷移が検知される度に、前回に作業状況の遷移が検知されてから今回の作業状況の遷移までにビーコン受信部３３、音声入力部３４や位置情報取得部３５に測定させた測定情報をサーバ装置１０にアップロードする。このような測定情報の一例として、ビーコン受信部３３により測定されたＢＬＥビーコンの受信電波強度、音声入力部３４により測定された音声データ、位置情報取得部３５により測定された位置情報などがサーバ装置１０へアップロードされる。

［サーバ装置１０の構成］
続いて、本実施例に係るサーバ装置１０の機能的構成について説明する。図１に示すように、サーバ装置１０は、通信Ｉ／Ｆ（InterFace）部１１と、記憶部１３と、制御部１５とを有する。なお、サーバ装置１０は、図１に示す機能部以外にも既知のコンピュータが有する各種の機能部、例えば入力部や出力部などを有することとしてもかまわない。

通信Ｉ／Ｆ部１１は、他の装置、例えば医療者端末３０や運用者端末５０との間で通信制御を行うインタフェースである。

一実施形態として、通信Ｉ／Ｆ部１１には、ＬＡＮカードなどのネットワークインタフェースカードを採用できる。例えば、通信Ｉ／Ｆ部１１は、医療者端末３０から作業状況の遷移通知や測定情報を受信したり、ルール情報やケア情報を医療者端末３０へ送信したりする。また、通信Ｉ／Ｆ部１１は、ルール修正の提案通知を運用者端末５０へ送信したり、運用者端末５０からルールに対する修正指示を受信したりする。

記憶部１３は、制御部１５で実行されるＯＳ（Operating System）を始め、上記の在宅医療支援の機能を実現するアプリケーションプログラムなどの各種プログラムに用いられるデータを記憶する記憶デバイスである。

一実施形態として、記憶部１３は、サーバ装置１０における補助記憶装置として実装することができる。例えば、記憶部１３には、ＨＤＤ（Hard Disk Drive）、光ディスクやＳＳＤ（Solid State Drive）などを採用できる。なお、記憶部１３は、必ずしも補助記憶装置として実装されずともよく、サーバ装置１０における主記憶装置として実装することもできる。この場合、記憶部１３には、各種の半導体メモリ素子、例えばＲＡＭやフラッシュメモリを採用できる。

記憶部１３は、制御部１５で実行されるプログラムに用いられるデータの一例として、ケア情報１３ａと、ルール情報１３ｂと、ログ情報１３ｃと、リスク評価情報１３ｄとを記憶する。これらのデータ以外にも、次のような電子データを記憶することもできる。例えば、医療関係者や運用者のアカウント情報の他、医療者端末３０や運用者端末５０を識別する識別情報などの情報も併せて記憶することもできる。なお、ログ情報１３ｃおよびリスク評価情報１３ｄの説明は、ログ情報１３ｃおよびリスク評価情報１３ｄを生成する制御部１５の説明に合わせて後述することとする。

ケア情報１３ａは、在宅医療に関する情報である。例えば、ケア情報１３ａには、患者の診療録、いわゆるカルテ、介護記録や検査結果などが含まれる。このケア情報１３ａは、一例として、患者を識別する識別情報、例えば患者ＩＤ（IDentification）の他、患者の氏名、生年月日などをクエリとして指定することにより、記憶部１３から呼び出すことができる状態で保存される。

ルール情報１３ｂは、サービスを利用する条件が定義された情報である。

一実施形態として、ルール情報１３ｂには、ルールＩＤ、条件およびサービスなどの項目が対応付けられたデータを採用できる。ここで言う「ルールＩＤ」は、ルールの識別情報を指す。また、「条件」は、サービスを利用するために課される条件を指し、例えば、ポジティブリスト方式で記述される。また、「サービス」は、条件を満たす場合に利用が許可されるサービスを指す。

図３は、ルール情報１３ｂの一例を示す図である。図３に示すルールＩＤ「Ｒ００１」で識別されるルールの例で言えば、医療者端末３０が医者Ａの医療関係者ビーコンと患者Ａ宅の患者宅ビーコンとを受信するという条件を満たす場合、すなわち医者Ａの作業状況が患者Ａの「診療中」であるという条件を満たす場合、患者Ａのケア情報を参照するサービスの利用が許可されることを意味する。また、図３に示すルールＩＤ「Ｒ００２」で識別されるルールの例で言えば、医療者端末３０が看護師Ｂの医療関係者ビーコンと患者Ｂ宅の患者宅ビーコンとを受信するという条件を満たす場合、すなわち看護師Ｂの作業状況が患者Ｂの「診療中」であるという条件を満たす場合、患者Ｂのケア情報を参照するサービスの利用が許可されることを意味する。また、図３に示すルールＩＤ「Ｒ００３」で識別されるルールの例で言えば、医療者端末３０が看護師Ａの医療関係者ビーコンと患者Ａ宅の患者宅ビーコンとを受信する条件、すなわち看護師Ａの作業状況が患者Ａの「診療中」であるという条件を満たし、かつ日時が１１月２９日であるという条件を満たす場合、患者Ａのケア情報を参照するサービスの利用が許可されることを意味する。

このように、図３には、医療関係者と患者の組合せが指定されると共に作業状況が「診療中」であることを条件とするルールが設定されており、一部のルールには、サービスの利用が許可される日時がさらに設定されている。このような日時の他にも、他の時間条件、例えば曜日や時間帯などに関する条件を指定することができる。

制御部１５は、サーバ装置１０の全体制御を行う処理部である。

一実施形態として、制御部１５は、ＣＰＵやＭＰＵなどのハードウェアプロセッサにより実装することができる。ここでは、プロセッサの一例として、ＣＰＵやＭＰＵを例示したが、汎用型および特化型を問わず、任意のプロセッサにより実装することができる。この他、制御部１５は、ＡＳＩＣやＦＰＧＡなどのハードワイヤードロジックによって実現されることとしてもかまわない。

制御部１５は、図示しない主記憶装置として実装されるＤＲＡＭやＳＲＡＭなどのＲＡＭのワークエリア上に、在宅医療支援プログラムを展開することにより、下記の処理部を仮想的に実現する。

制御部１５は、図１に示すように、サービス提供部１５ａと、ログ生成部１５ｂと、指標算出部１５ｃと、リスク評価部１５ｄと、判定部１５ｅと、設定部１５ｆを有する。

サービス提供部１５ａは、医療者端末３０にサービスを提供する処理部である。

一側面として、サービス提供部１５ａは、医療者端末３０からルール情報のダウンロードのリクエストを受け付けた場合、当該医療者端末３０の使用者である医療関係者に割り当てられたアカウントに対応するルール情報を医療者端末３０に配信する。例えば、図３に示すように、ルール情報１３ｂには、複数の医療関係者に関するルールが含まれるが、これをそのまま配信すると、医療者端末３０の使用者とは無関係なルールまで配信されることになる。それ故、サービス提供部１５ａは、医療者端末３０の使用者である医療関係者に対応する条件が含まれるルールをルール情報１３ｂから抜粋した上で医療者端末３０に配信する。

他の側面として、サービス提供部１５ａは、医療者端末３０からケア情報のダウンロードがリクエストされた場合、記憶部１３に記憶されたケア情報１３ａのうち当該リクエストで指定される患者のケア情報を医療者端末３０へ送信する。その後、サービス提供部１５ａは、カルテや介護記録などの編集を通じてケア情報が更新された場合、医療者端末３０から送信されたケア情報の更新部分を記憶部１３に記憶されたケア情報１３ａに反映する。

ログ生成部１５ｂは、ログ情報１３ｃを生成する処理部である。

一実施形態として、ログ生成部１５ｂは、医療者端末３０から作業状況の遷移が通知される度に、ログ情報１３ｃを更新する。すなわち、医療者端末３０から作業状況の遷移が通知された場合、前回に遷移が通知された作業状況が終了し、今回に遷移が通知された作業状況が開始したことが判明する。それ故、ログ生成部１５ｂは、記憶部１３に記憶されたログ情報１３ｃのうち前回に遷移が通知された作業状況に対応するレコードに終了時刻を記述すると共に新規のレコードを作成する。さらに、ログ生成部１５ｂは、新規のレコードに今回に遷移が通知された作業状況と共に開始時刻を記述する。

以下、図４及び図５を用いて、ログ情報１３ｃの更新の具体例を説明する。図４は、訪問診療の一例を示す図である。図５は、ログ情報１３ｃの一例を示す図である。図４には、一例として、医師Ａが患者Ａの訪問診療を行う例が示されており、図５には、図４に示す訪問診療が行われた場合に生成されるログ情報１３ｃが示されている。

図４に示すように、医師Ａは９時２７分に患者Ａ宅へ訪問する。この作業状況の遷移は、医師Ａの医療関係者ビーコンと患者Ａの患者宅ビーコンとが受信されることにより医療者端末３０で検知される。この結果、遷移後の作業状況「患者Ａの診療中」が医療者端末３０からサーバ装置１０へ通知される。これに伴って、図５に示す１行目のレコードが生成された上で作業状況に「患者Ａのケア」が記述されると共に開始日時に「９時２７分」が記述される。

このように患者Ａの訪問診療が開始されると、図４に示すように、患者Ａのケア情報を参照するサービスが利用される。これに伴って、図５に示す１行目のレコードには、サービス利用内容として「患者Ａのケア情報の参照サービス」が記述される。その後、医者Ａは、１０時３分に患者Ａ宅から退去する。この作業状況の遷移は、医師Ａの医療関係者ビーコンと患者Ａの患者宅ビーコンとが受信される状態から医師Ａの医療関係者ビーコンだけが受信される状態に変化することにより医療者端末３０で検知される。この結果、遷移後の作業状況「徒歩移動中」が医療者端末３０からサーバ装置１０へ通知される。これに伴って、図５に示す１行目のレコードには、終了日時に「１０時３分」が記述されると共に２行目に新規のレコードが生成される。この２行目のレコードには、作業状況に「徒歩移動中」が記述されると共に開始日時に「１０時３分」が記述される。

続いて、図４に示すように、医者Ａは、１０時５分に車両へ乗車する。この作業状況の遷移は、医師Ａの医療関係者ビーコンだけが受信される状態から医師Ａの医療関係者ビーコンと車両ビーコンとが受信される状態に変化することにより医療者端末３０で検知される。この結果、遷移後の作業状況「車両停車中」が医療者端末３０からサーバ装置１０へ通知される。これに伴って、図５に示す２行目のレコードには、終了日時に「１０時５分」が記述される。さらに、徒歩移動中にはサービスの利用がないので、図５に示す２行目のレコードには、サービス利用内容に「無」が記述される。これと共に、３行目に新規のレコードが生成される。この３行目のレコードには、作業状況に「車両停車中」が記述されると共に開始日時に「１０時５分」が記述される。

このように医者Ａが車両に乗車した後、医者Ａは、ルール外で患者Ａのケア情報を参照するサービスを利用する。これに伴って、図５に示す３行目のレコードには、サービス利用内容として「患者Ａのケア情報の参照サービス」が記述される。

続いて、図４に示す通り、医者Ａは１０時２０分に車両移動を開始する。この作業状況の遷移は、医師Ａの医療関係者ビーコンと車両ビーコンとが受信される状態には変化はないが、位置情報の軌跡から求まる累積移動距離が閾値を超えることにより医療者端末３０で検知される。この結果、遷移後の作業状況「車両走行中」が医療者端末３０からサーバ装置１０へ通知される。これに伴って、図５に示す３行目のレコードには、終了日時に「１０時２０分」が記述されると共に４行目に新規のレコードが生成される。この４行目のレコードには、作業状況に「車両走行中」が記述されると共に開始日時に「１０時２０分」が記述される。

その後、図４に示す通り、医者Ａは１０時３８分に車両移動を終了する。この作業状況の遷移は、医師Ａの医療関係者ビーコンと車両ビーコンとが受信される状態から医師Ａの医療関係者ビーコンだけが受信される状態に変化することにより医療者端末３０で検知される。この結果、図５に示す４行目のレコードには、終了日時に「１０時３８分」が記述される。

このように、ログ生成部１５ｂは、医療者端末３０から通知される作業状況の遷移に合わせて図５に示すログ情報１３ｃを生成することができる。

図１の説明に戻り、指標算出部１５ｃは、作業状況に対応する区間に対応する測定情報からリスクを可視化する指標を算出する処理部である。

ここで、作業情報のリスク分析を実現するには、ガイドライン上の規定と共に、医療者端末３０周辺で測定可能な測定情報を他者接触や紛失などのリスクの分析に活用できる指標に落とし込む知見が重要となる。

一側面として、指標算出部１５ｃは、マイクロフォンを用いて採取される音声データから医療関係者の周辺が混雑している度合いを表す混雑度を算出する。例えば、指標算出部１５ｃは、音声データを所定の単位時間、例えば１分間ごとに分割し、分割された単位時間の音声データごとに次のような処理を行う。すなわち、指標算出部１５ｃは、単位時間の音声データから発話区間を検出し、発話区間に周波数解析を行うことにより得られた周波数特性の特徴量、例えばＭＦＣＣ（Mel-Frequency Cepstrum Coefficients）を音韻特徴として抽出する。続いて、指標算出部１５ｃは、音韻特徴が近いもの同士を同一の話者に分類することにより、話者のクラスタリングを行う。この話者のクラスタリングにより、単位時間の音声データごとに話者の人数が特定できる。その上で、指標算出部１５ｃは、単位時間の音声データごとに特定された話者の人数に所定の統計処理、例えば平均処理を行うことにより、当該作業状況における単位時間あたりの話者の平均人数（人／分）を混雑度として算出することができる。このように話者のクラスタリングにより音声データから混雑度を求めることができる他、P. G. Kannan, “Low cost crowd counting using audio tones”に開示される技術を用いて音声データから混雑度を算出することもできる。

なお、ここでは、一例として、音声データを用いて混雑度を算出する例を説明したが、他のセンサにより測定された測定情報を用いて混雑度を算出することもできる。例えば、加速度センサ等のモーションセンサにより測定された加速度の時系列データから混雑度を推定することもできる。この場合、一例として、米村，“スマートフォンを用いた人の混雑度推定手法の提案と評価”に開示される技術を用いて加速度の時系列データから混雑度を算出することができる。

他の側面として、指標算出部１５ｃは、医療関係者ビーコンの受信電波強度から医療関係者と医療者端末３０が近接している度合いを表す近接度を算出することができる。例えば、指標算出部１５ｃは、作業状況に対応する区間で測定された受信電波強度の平均および分散を近接度として算出する。

更なる側面として、指標算出部１５ｃは、位置情報の推移から医療者端末３０が移動している速さの度合いを表す移動度を算出することができる。例えば、指標算出部１５ｃは、作業状況に対応する区間で測定された位置情報の軌跡から累積移動距離を算出し、当該累積移動距離を作業状況の継続時間、すなわち開始時刻および終了時刻の差分で除算することにより得られる移動速度を移動度として算出する。

これらの指標の算出は、作業状況の遷移が通知される度に実施することもできれば、定期時刻、例えば在宅診療の診療終了時間や医療関係者の就業終了時間にバッチ処理で実施することもできる。

このように指標の算出が実施されることにより、図６に示すリスク評価情報１３ｄ１が生成される。図６は、リスク評価情報１３ｄ１の一例を示す図である。図６には、図４に示した訪問診療が行われる場合に生成されるリスク評価情報１３ｄ１が示されており、この段階では、各指標を総合するリスク評価値が未算出であることからリスク評価値のフィールドはブランクとなっている。

図６に示すように、リスク評価情報１３ｄ１は、一例として、作業状況、ルール内外、利用有無、混雑度、近接度、移動度およびリスク評価値などの項目を含むデータである。ここで言う「ルール内外」は、ルール情報に規定された条件に適合する作業状況であるか否かを指す項目である。また、「利用有無」は、作業状況でサービスの利用があったか否かを示す項目である。さらに、「リスク評価値」は、混雑度、近接度および移動度が総合的に評価された指標である。

図６に示す項目のうち、作業状況、ルール内外及び利用有無は、図５に示したログ情報１３ｃの生成と連動して記述される。例えば、図５に示すログ情報１３ｃの１行目のレコードに終了日時が記述されることにより、作業状況「患者Ａのケア中」のレコードの記述が終了する。この段階で、図６に示すリスク評価情報１３ｄ１の１行目のレコードには、作業状況に「患者Ａのケア中」が記述され、ルール内外に「内」が記述されると共に、利用有無に「有」が記述される。また、図５に示すログ情報１３ｃの２行目のレコードに終了日時が記述されることにより、作業状況「徒歩移動中」のレコードの記述が終了する。この段階で、図６に示すリスク評価情報１３ｄ１の２行目のレコードには、作業状況に「徒歩移動中」が記述され、ルール内外に「外」が記述されると共に、利用有無に「無」が記述される。さらに、図５に示すログ情報１３ｃの３行目のレコードに終了日時が記述されることにより、作業状況「車両停車中」のレコードの記述が終了する。この段階で、図６に示すリスク評価情報１３ｄ１の３行目のレコードには、作業状況に「車両停車中」が記述され、ルール内外に「外」が記述されると共に、利用有無に「有」が記述される。その後、図５に示すログ情報１３ｃの４行目のレコードに終了日時が記述されることにより、作業状況「車両走行中」のレコードの記述が終了する。この段階で、図６に示すリスク評価情報１３ｄ１の４行目のレコードには、作業状況に「車両走行中」が記述され、ルール内外に「外」が記述されると共に、利用有無に「無」が記述される。

また、図６に示す項目のうち、混雑度、近接度および移動度は、指標算出部１５ｃにより各作業状況に対応する区間の測定情報から混雑度、近接度および移動度が算出された段階でその値が混雑度、近接度および移動度のフィールドに記述される。なお、リスク評価値は、後述のリスク評価部１５ｄにより算出されるので、この段階ではブランクとされる。

リスク評価部１５ｄは、作業状況の混雑度、近接度および移動度からリスク評価値を算出することにより、作業状況のリスクを評価する処理部である。

一実施形態として、リスク評価部１５ｄは、指標算出部１５ｃにより作業状況ごとに算出された混雑度、近接度および移動度を下記の式（１）に代入することにより、リスク評価値を算出する。下記の式（１）における「α」、「β」及び「γ」は、混雑度、近接度および移動度の各項に付与する重み係数である。また、「混雑度」は、リスク評価値の算出対象とする作業状況の混雑度である。また、「最小混雑度」は、各作業状況の間で最小値をとる混雑度である。また、「最大混雑度」は、各作業状況の間で最大値をとる混雑度である。また、「近接度」は、リスク評価値の算出対象とする作業状況の近接度であり、ここでは、受信電波強度の平均値を用いる。また、「最小近接度」は、各作業状況の受信電波強度の平均値のうち最小値である。また、「最大近接度」は、各作業状況の受信電波強度の平均値のうち最大値である。また、「移動度」は、リスク評価値の算出対象とする作業状況の移動度である。また、「最小移動度」は、各作業状況の間で最小値をとる移動度である。また、「最大移動度」は、各作業状況の間で最大値をとる移動度である。

リスク評価値＝α×（混雑度−最小混雑度）／（最大混雑度−最小混雑度）
＋β×（最大近接度−近接度）／（最大近接度−最小近接度）
＋γ×（移動度−最小移動度）／（最大移動度−最小移動度）・・・（１）

ここで、一例として、図６に示すリスク評価情報１３ｄ１に含まれる混雑度、近接度および移動度を用いて、各作業状況のリスク評価値の数値計算例を説明する。ここでは、一例として、重み係数αを「２」とし、重み係数βを「１」とし、重み係数γを「２」として計算を行う場合を例示する。本例では、「患者Ａのケア中」、「徒歩移動中」、「車両停車中」および「車両走行中」の４つの作業状況の中で混雑度を比較すると、最小混雑度は「０人／分」となり、最大混雑度は「５人／分」となる。また、近接度を比較すると、最小近接度は「−４０ｄＢ」となり、最大近接度は「−１５ｄＢ」となる。さらに、移動度を比較すると、最小移動度は「０ｍ／ｓ」となり、最大移動度は「６ｍ／ｓ」となる。

このような重み係数、最小混雑度、最大混雑度、最小近接度、最大近接度、最小移動度及び最大移動度の下、上記の式（１）に作業状況の混雑度、近接度および移動度を代入することにより、図７に示す通り、リスク評価値が作業状況ごとに算出される。

図７は、リスク評価情報１３ｄ２の一例を示す図である。図７には、図６に示したリスク評価情報１３ｄ１に含まれる混雑度、近接度および移動度を用いて、各作業状況のリスク評価値が算出された結果がリスク評価値のフィールドに記述されている。

例えば、作業状況「患者Ａのケア中」の場合、上記の式（１）の混雑度に「１人／分」、近接度に「−１５ｄＢ」、移動度に「０．５ｍ／ｓ」を代入する。すなわち、リスク評価値は「２×（１−０）／（５−０）＋１×｛−１５−（−１５）｝／｛−１５−（−４０）｝＋２×（０．５−０）／（６−０）」の計算により算出することができる。この結果、混雑度の項は「２×（１−０）／（５−０）」の計算により「０．４」と算出され、近接度の項は「１×｛−１５−（−１５）｝／｛−１５−（−４０）｝」の計算により「０」と算出され、また、移動度の項は「２×（０．５−０）／（６−０）」の計算により「０．１６６」と算出される。よって、作業状況「患者Ａのケア中」のリスク評価値は、「０．５７（≒０．４＋０＋０．１６６）」と算出できる。

また、作業状況「徒歩移動中」の場合、上記の式（１）の混雑度に「５人／分」、近接度に「−３５ｄＢ」、移動度に「１．１ｍ／ｓ」を代入する。すなわち、リスク評価値は「２×（５−０）／（５−０）＋１×｛−１５−（−３５）｝／｛−１５−（−４０）｝＋２×（１．１−０）／（６−０）」の計算により算出することができる。この結果、混雑度の項は「２×（５−０）／（５−０）」の計算により「２」と算出され、近接度の項は「１×｛−１５−（−３５）｝／｛−１５−（−４０）｝」の計算により「０．８」と算出され、また、移動度の項は「２×（１．１−０）／（６−０）」の計算により「０．３６」と算出される。よって、作業状況「徒歩移動中」のリスク評価値は、「３．１６（≒２＋０．８＋０．３６）」と算出できる。

さらに、作業状況「車両停車中」の場合、上記の式（１）の混雑度に「０人／分」、近接度に「−２５ｄＢ」、移動度に「０ｍ／ｓ」を代入する。すなわち、リスク評価値は「２×（０−０）／（５−０）＋１×｛−１５−（−２５）｝／｛−１５−（−４０）｝＋２×（０−０）／（６−０）」の計算により算出することができる。この結果、混雑度の項は「２×（０−０）／（５−０）」の計算により「０」と算出され、近接度の項は「１×｛−１５−（−２５）｝／｛−１５−（−４０）｝」の計算により「０．４」と算出され、また、移動度の項は「２×（０−０）／（６−０）」の計算により「０」と算出される。よって、作業状況「車両停車中」のリスク評価値は、「０．４（＝０＋０．４＋０）」と算出できる。

また、作業状況「車両走行中」の場合、上記の式（１）の混雑度に「０人／分」、近接度に「−４０ｄＢ」、移動度に「６ｍ／ｓ」を代入する。すなわち、リスク評価値は「２×（０−０）／（５−０）＋１×｛−１５−（−４０）｝／｛−１５−（−４０）｝＋２×（６−０）／（６−０）」の計算により算出することができる。この結果、混雑度の項は「２×（０−０）／（５−０）」の計算により「０」と算出され、近接度の項は「１×｛−１５−（−４０）｝／｛−１５−（−４０）｝」の計算により「１」と算出され、また、移動度の項は「２×（６−０）／（６−０）」の計算により「２」と算出される。よって、作業状況「車両走行中」のリスク評価値は、「３（＝０＋１＋２）」と算出できる。

このようなリスク評価値を運用者に提示することにより、以下に説明するルール修正の着想を運用者に与えることができる。

すなわち、図３に示すルール情報１３ｂによれば、作業状況が「患者Ａのケア中」である場合に限り、患者Ａのケア情報を参照するサービスの利用が許可される運用となる。このような運用は、必ずしも現場の実状に相応しいものであるとは言えない。なぜなら、車両停車中がルール外であるにもかかわらず、医者Ａがサービスを利用する背景には、次のような実状があるからである。すなわち、在宅医療では、医療関係者が患者宅に滞在する時間が長くなるにしたがってレセプトの点数も増加する。このため、医療関係者が患者宅に長居すると患者の費用負担が増加する。このようなレセプト面の配慮から、医者は、患者宅では患者宅でしかできない診療行為を優先し、ＩＣＴ（Information and Communication Technology）に特化した部分、例えばカルテの入力などの作業を後回しとし、他者接触や紛失のリスクが低い車中などで行う場合がある。このように、現場の実状とリスクとの均衡が取れたルール外のサービス利用であっても、ルール外のサービス利用時のリスクが把握できない運用者にはルールに修正の余地があるという着想を得ることが困難であった。

ところが、図７に示すリスク評価情報１３ｄ２の通り、作業状況ごとにリスク評価値を表示することにより、ルール外のサービス利用ではあるが、作業状況「車両停車中」でサービスが利用されることにより発生する他者接触や紛失のリスクが低いことを運用者に把握させることができる。これにより、作業状況が「車両停車中」であることを条件にサービスの利用を許可するというルールを追加する着想を運用者に与えることが可能になる。

判定部１５ｅは、ルール外のサービス利用に妥当性があるか否かを判定する処理部である。

一実施形態として、判定部１５ｅは、記憶部１３に記憶されたリスク評価情報１３ｄ２のうち、妥当性が未判定であるレコードを取得する。続いて、判定部１５ｅは、先に抽出された未判定のレコードの中に、ルール外の作業状況でサービス利用が行われたレコードが存在するか否かを判定する。このとき、判定部１５ｅは、ルール外の作業状況でサービス利用が行われたレコードが存在する場合、ルール内の作業状況でサービス利用が行われたレコードを抽出して各レコードが持つリスク評価値の統計値ｘ、例えば平均値を算出する。さらに、判定部１５ｅは、ルール外の作業状況でサービス利用が行われなかったレコードを抽出して各レコードが持つリスク評価値の統計値ｙ、例えば平均値を算出する。その上で、判定部１５ｅは、ルール外の作業状況でサービス利用が行われたレコードが持つリスク評価値ｚが上記のリスク評価値の統計値ｘ以下であるか否か、すなわちｚ≦ｘであるか否かを判定する。そして、判定部１５ｅは、リスク評価値ｚがリスク評価値の統計値ｘ以下である場合、上記のリスク評価値ｚが上記のリスク評価値の統計値ｙ未満であるか否か、すなわちｚ＜ｙをさらに判定する。

ここで、リスク評価値ｚがリスク評価値の統計値ｘ以下であり、かつリスク評価値ｚがリスク評価値の統計値ｙ未満である場合、在宅診療のあらゆる作業状況に比べて他者接触や紛失などのリスクが低いので、当該作業状況でサービス利用を許可することに妥当性があると判別できる。この場合、判定部１５ｅは、リスク評価値ｚが算出された作業状況におけるサービス利用を許可するルール修正のレコメンドを運用者端末５０に通知する。一方、リスク評価値ｚがリスク評価値の統計値ｘ以下でないか、あるいはリスク評価値ｚがリスク評価値の統計値ｙ未満でない場合、あらゆる作業状況に比べて他者接触や紛失などのリスクが低いとまでは言えないので、ルール修正の提案は実施されない。この場合、ヒアリング等によりルール外のサービス利用について事情聴取を実施するレコメンドを運用者端末５０に通知することとしてもかまわない。

例えば、図７に示すリスク評価情報１３ｄ２の例で言えば、ルール外でサービス利用が行われた作業状況「車両停車中」のリスク評価値「０．４」がリスク評価値の統計値ｘおよびリスク評価値ｙと比較される。この例では、ルール内でサービス利用が行われた作業状況は「患者Ａのケア中」しか存在しない。そのため、統計値ｘは、作業状況「患者Ａのケア中」のリスク評価値「０．５７」と同じ値となる。また、ルール外でサービス利用が行われた作業状況は「徒歩移動中」と「車両走行中」の２つ存在する。この場合、統計値ｙは、作業状況「徒歩移動中」及び「車両走行中」のリスク評価値の平均値「３．０８＝（３．１６＋３）／２」となる。これら統計値ｘおよび統計値ｙをリスク評価値ｚと比較すると、ｙ＞ｘ＞ｚとなるので、作業状況「車両停車中」でサービスの利用を許可するのは妥当であると判断できる。この場合、一例として、図３に示すルール情報１３ｂに対し、新規に採番されたルールＩＤ、条件「患者Ａ宅ビーコン＋車両ビーコン＋停車」及びサービス「患者Ａのケア情報を参照するサービス」を含むレコードを追加するルール修正のレコメンドを出力することができる。

なお、ここでは、リスク評価値ｚをリスク評価値の統計値ｘおよびリスク評価値の統計値ｙの２つの閾値と比較する場合を例示したが、必ずしも２つの閾値と比較せずともかまわない。例えば、リスク評価値ｚがリスク評価値の統計値ｘ以下であれば、ルール内のサービス利用のリスクと同等かそれよりもルール外のサービス利用のリスクが低いので、ルール修正の余地が十分にあると判断できる。この場合にも、上記のルール修正のレコメンドを行うようにしてもかまわない。なお、ここでは、統計値の一例として平均値を算出する場合を例示したが、最小値、中央値、最頻値、最大値などの他の統計値を算出することとしてもかまわない。

設定部１５ｆは、ルールを設定する処理部である。

一実施形態として、設定部１５ｆは、運用者端末５０を介して受け付けた設定操作にしたがってルールの追加、削除および編集などを行う。例えば、設定部１５ｆは、判定部１５ｅにより通知されたルール修正のレコメンドに対する承認操作が行われた場合、リスク評価値ｚが算出された作業状況におけるサービス利用を許可するルールを記憶部１３に記憶されたルール情報１３ｂに追加する。なお、ここでは、運用者端末５０からの承認操作を受け付けた場合に始めてルールの追加を行う例を説明したが、リスク評価値ｚが統計値ｘ以下である場合に承認操作をスキップしてルールの追加を自動的に行うこととしてもかまわない。

［リスク評価処理］
図８は、実施例１に係るリスク評価処理の手順を示すフローチャートである。この処理は、一例として、指標算出部１５ｃにより作業状況ごとに混雑度、近接度および移動度が算出される度に実施することもできれば、定期時刻、例えば在宅診療の診療終了時間や医療関係者の就業終了時間にバッチ処理で実施することもできる。

図８に示すように、リスク評価部１５ｄは、記憶部１３に記憶されたリスク評価情報１３ｄが有するレコードのうちリスク評価値が未算出であるレコードを取得する（ステップＳ１０１）。このとき、リスク評価値が未算出であるレコードが存在する場合（ステップＳ１０２Ｙｅｓ）、リスク評価部１５ｄは、ステップＳ１０１で取得されたリスク評価値が未算出であるレコードのうち１つを選択する（ステップＳ１０３）。

そして、リスク評価部１５ｄは、ステップＳ１０３で選択されたレコードが持つ混雑度、近接度および移動度を上記の式（１）に代入することにより、リスク評価値を算出する（ステップＳ１０４）。その上で、リスク評価部１５ｄは、ステップＳ１０３で選択されたレコードのリスク評価値のフィールドにステップＳ１０４で算出されたリスク評価値を登録し（ステップＳ１０５）、ステップＳ１０２の処理に移行する。

その後、リスク評価値が未算出であるレコードが存在する限り、ステップＳ１０２の分岐をＹｅｓに進み、ステップＳ１０３〜ステップＳ１０５の処理を繰り返し行う。そして、リスク評価値が未算出であるレコードがなくなると（ステップＳ１０２Ｎｏ）、処理を終了する。

［判定処理］
図９は、実施例１に係る判定処理の手順を示すフローチャートである。この処理は、一例として、記憶部１３に記憶されたリスク評価情報１３ｄの中に、サービスの利用を許可する妥当性が未判定であるレコードが存在することを条件に処理を起動することができる。この処理も、定期時刻、例えば在宅診療の診療終了時間や医療関係者の就業終了時間にバッチ処理で実施することもできる。

図９に示すように、判定部１５ｅは、記憶部１３に記憶されたリスク評価情報１３ｄのうちサービスの利用を許可する妥当性が未判定であるレコードを取得する（ステップＳ３０１）。続いて、判定部１５ｅは、ステップＳ３０１で取得されたレコードの中からルール外の作業状況でサービスの利用が行われたレコードを検索する（ステップＳ３０２）。なお、ルール外の作業状況でサービスの利用が行われたレコードがヒットしない場合（ステップＳ３０３Ｎｏ）、そのまま処理を終了する。

一方、ルール外の作業状況でサービスの利用が行われたレコードがヒットする場合（ステップＳ３０３Ｙｅｓ）、判定部１５ｅは、リスク評価情報１３ｄのレコードのうちルール内の作業状況でサービス利用が行われたレコードを抽出して各レコードが持つリスク評価値の統計値ｘを算出する（ステップＳ３０４）。さらに、判定部１５ｅは、リスク評価情報１３ｄのレコードのうちルール外の作業状況でサービス利用が行われなかったレコードを抽出して各レコードが持つリスク評価値の統計値ｙを算出する（ステップＳ３０５）。

その上で、判定部１５ｅは、ルール外の作業状況でサービス利用が行われたレコードが持つリスク評価値ｚがステップＳ３０４で算出されたリスク評価値の統計値ｘ以下であるか否か、すなわちｚ≦ｘであるか否かを判定する（ステップＳ３０６）。

そして、リスク評価値ｚがリスク評価値の統計値ｘ以下である場合（ステップＳ３０６Ｙｅｓ）、判定部１５ｅは、上記のリスク評価値ｚがステップＳ３０５で算出されたリスク評価値の統計値ｙ未満であるか否か、すなわちｚ＜ｙをさらに判定する（ステップＳ３０７）。

ここで、リスク評価値ｚがリスク評価値の統計値ｙ未満である場合（ステップＳ３０７Ｙｅｓ）、在宅診療のあらゆる作業状況に比べて他者接触や紛失などのリスクが低いので、当該作業状況でサービス利用を許可することに妥当性があると判別できる。この場合、判定部１５ｅは、リスク評価値ｚが算出された作業状況におけるサービス利用を許可するルール修正のレコメンドを運用者端末５０に通知し（ステップＳ３０８）、処理を終了する。

一方、リスク評価値ｚがリスク評価値の統計値ｘ以下でないか、あるいはリスク評価値ｚがリスク評価値の統計値ｙ未満でない場合（ステップＳ３０６ＮｏまたはステップＳ３０７Ｎｏ）、あらゆる作業状況に比べて他者接触や紛失などのリスクが低いとまでは言えないので、ルール修正の提案は実施されない。この場合、そのまま処理を終了する。

［効果の一側面］
上述してきたように、本実施例に係るサーバ装置１０は、プライバシー性の高いサービスが利用される端末で作業状況が遷移してから次に作業状況が遷移するまでの期間に端末が測定するセンサ情報から端末周辺のリスク評価値を作業状況ごとに算出する。このため、各作業状況でサービスが利用されることにより発生する他者接触や紛失のリスクが低いことを運用者に把握させることができる。したがって、本実施例に係るサーバ装置１０によれば、ルールの修正を適切に行うことが可能になる。

さて、これまで開示の装置に関する実施例について説明したが、本発明は上述した実施例以外にも、種々の異なる形態にて実施されてよいものである。そこで、以下では、本発明に含まれる他の実施例を説明する。

［在宅診療分野以外への適用］
上記の実施例１では、在宅診療支援システム１にリスク評価処理や判定処理を適用する場合を例示したが、適用分野は在宅診療分野に限定されない。例えば、保険の外交員が家庭を訪問するのを支援する保険分野の他、金融証券機関の営業員が家庭を訪問するのを支援する金融証券分野にも、傷病状態、資産状況、口座情報などのプライバシー性が高い情報が社外訪問に用いられることから、リスク評価処理や判定処理を同様に適用できる。

［妥当性の判定方法］
上記の実施例１では、ルール外の作業状況でサービスの利用が行われたレコードが持つリスク評価値ｚと、ルール内の作業状況でサービスの利用が行われたレコードが持つリスク評価値の統計値ｘとの相対比較により、サービスの利用を許可する妥当性を判定する場合を例示したが、これに限定されない。例えば、上記のリスク評価値ｚが所定の閾値ｔｈ以下であるか否かにより、サービスの利用を許可する妥当性を判定することもできる。

［分散および統合］
また、図示した各装置の各構成要素は、必ずしも物理的に図示の如く構成されておらずともよい。すなわち、各装置の分散・統合の具体的形態は図示のものに限られず、その全部または一部を、各種の負荷や使用状況などに応じて、任意の単位で機能的または物理的に分散・統合して構成することができる。例えば、サービス提供部１５ａ、ログ生成部１５ｂ、指標算出部１５ｃ、リスク評価部１５ｄ、判定部１５ｅまたは設定部１５ｆをサーバ装置１０の外部装置としてネットワークＮＷ経由で接続するようにしてもよい。また、サービス提供部１５ａ、ログ生成部１５ｂ、指標算出部１５ｃ、リスク評価部１５ｄ、判定部１５ｅまたは設定部１５ｆを別の装置がそれぞれ有し、ネットワーク接続されて協働することで、上記のサーバ装置１０の機能を実現するようにしてもよい。

［リスク評価プログラム］
また、上記の実施例で説明した各種の処理は、予め用意されたプログラムをパーソナルコンピュータやワークステーションなどのコンピュータで実行することによって実現することができる。そこで、以下では、図１０を用いて、上記の実施例と同様の機能を有するリスク評価プログラムを実行するコンピュータの一例について説明する。

図１０は、実施例１及び実施例２に係るリスク評価プログラムを実行するコンピュータのハードウェア構成例を示す図である。図１０に示すように、コンピュータ１００は、操作部１１０ａと、スピーカ１１０ｂと、カメラ１１０ｃと、ディスプレイ１２０と、通信部１３０とを有する。さらに、このコンピュータ１００は、ＣＰＵ１５０と、ＲＯＭ１６０と、ＨＤＤ１７０と、ＲＡＭ１８０とを有する。これら１１０〜１８０の各部はバス１４０を介して接続される。

ＨＤＤ１７０には、図１０に示すように、上記の実施例１で示した指標算出部１５ｃ、リスク評価部１５ｄおよび判定部１５ｅと同様の機能を発揮するリスク評価プログラム１７０ａが記憶される。このリスク評価プログラム１７０ａは、図１に示した指標算出部１５ｃ、リスク評価部１５ｄおよび判定部１５ｅの各構成要素と同様、統合又は分離してもかまわない。すなわち、ＨＤＤ１７０には、必ずしも上記の実施例１で示した全てのデータが格納されずともよく、処理に用いるデータがＨＤＤ１７０に格納されればよい。なお、ＨＤＤ１７０には、上記のリスク評価プログラム１７０ａの代わりに、サービス提供部１５ａ、ログ生成部１５ｂ、指標算出部１５ｃ、リスク評価部１５ｄ、判定部１５ｅ及び設定部１５ｆの各機能を含む在宅診療支援プログラムが記憶されることとしてもかまわない。

このような環境の下、ＣＰＵ１５０は、ＨＤＤ１７０からリスク評価プログラム１７０ａを読み出した上でＲＡＭ１８０へ展開する。この結果、リスク評価プログラム１７０ａは、図１０に示すように、リスク評価プロセス１８０ａとして機能する。このリスク評価プロセス１８０ａは、ＲＡＭ１８０が有する記憶領域のうちリスク評価プロセス１８０ａに割り当てられた領域にＨＤＤ１７０から読み出した各種データを展開し、この展開した各種データを用いて各種の処理を実行する。例えば、リスク評価プロセス１８０ａが実行する処理の一例として、図８〜図９に示す処理などが含まれる。なお、ＣＰＵ１５０では、必ずしも上記の実施例１で示した全ての処理部が動作せずともよく、実行対象とする処理に対応する処理部が仮想的に実現されればよい。

なお、上記のリスク評価プログラム１７０ａは、必ずしも最初からＨＤＤ１７０やＲＯＭ１６０に記憶されておらずともかまわない。例えば、コンピュータ１００に挿入されるフレキシブルディスク、いわゆるＦＤ、ＣＤ−ＲＯＭ、ＤＶＤディスク、光磁気ディスク、ＩＣカードなどの「可搬用の物理媒体」にリスク評価プログラム１７０ａを記憶させる。そして、コンピュータ１００がこれらの可搬用の物理媒体からリスク評価プログラム１７０ａを取得して実行するようにしてもよい。また、公衆回線、インターネット、ＬＡＮ、ＷＡＮなどを介してコンピュータ１００に接続される他のコンピュータまたはサーバ装置などにリスク評価プログラム１７０ａを記憶させておき、コンピュータ１００がこれらからリスク評価プログラム１７０ａを取得して実行するようにしてもよい。

１ 在宅診療支援システム
１０ サーバ装置
１１ 通信Ｉ／Ｆ部
１３ 記憶部
１３ａ ケア情報
１３ｂ ルール情報
１３ｃ ログ情報
１３ｄ リスク評価情報
１５ 制御部
１５ａ サービス提供部
１５ｂ ログ生成部
１５ｃ 指標算出部
１５ｄ リスク評価部
１５ｅ 判定部
１５ｆ 設定部
３０ 医療者端末
３１ 無線通信部
３２ 表示部
３３ ビーコン受信部
３４ 音声入力部
３５ 位置情報取得部
３６ 制御部
３６ａ 状況監視部
３６ｂ サービス利用部
３６ｃ 測定部
５０ 運用者端末

Claims (7)

1. 所定のプライバシー情報を取り扱うサービスが利用される端末を用いて検知される作業状況ごとに、前記作業状況への遷移が検知されてから次に遷移が検知されるまでの期間に前記端末が測定するセンサ情報を取得する取得部と、
   前記センサ情報に基づいて、前記端末の周辺が混雑している度合いを表す混雑度、または、前記端末が移動する速さの度合いを表す移動度の少なくともいずれか１つを前記作業状況ごとに算出する算出部と、
   前記混雑度、前記移動度またはこれらの組合せに基づいて、前記プライバシー情報を取り扱うサービスが前記端末により利用される際の他者接触または紛失のリスクを評価するリスク評価値を前記作業状況ごとに算出するリスク評価部と、
   を有することを特徴とするリスク評価装置。
2. 前記サービスの利用を許可する作業状況または前記サービスの利用を禁止する作業状況が設定されたルールに適合しないルール外で前記端末により前記サービスが利用された作業状況から算出された第１のリスク評価値が、前記ルールに適合するルール内で前記端末により前記サービスが利用された作業状況から算出された第２のリスク評価値の統計値以下であるか否かを判定する判定部をさらに有することを特徴とする請求項１に記載のリスク評価装置。
3. 前記判定部は、前記第１のリスク評価値が、前記ルールに適合しないルール外で前記端末により前記サービスが利用されない作業状況から算出された第３のリスク評価値の統計値未満であるか否かをさらに判定することを特徴とする請求項２に記載のリスク評価装置。
4. 前記サービスの利用を許可する作業状況または前記サービスの利用を禁止する作業状況が設定されたルールに適合しないルール外で前記端末により前記サービスが利用された作業状況から算出された第１のリスク評価値が所定の閾値以下であるか否かを判定する判定部をさらに有することを特徴とする請求項１に記載のリスク評価装置。
5. 前記リスク評価値は、前記混雑度または前記移動度と、作業が行われる場所に設置される設置型のビーコン発信機および前記端末が近接している度合いを表す近接度との組合せ、あるいは前記混雑度、前記移動度および前記近接度の組合せであることを特徴とする請求項１〜４のいずれか１つに記載のリスク評価装置。
6. 所定のプライバシー情報を取り扱うサービスが利用される端末を用いて検知される作業状況ごとに、前記作業状況への遷移が検知されてから次に遷移が検知されるまでの期間に前記端末が測定するセンサ情報を取得し、
   前記センサ情報に基づいて、前記端末の周辺が混雑している度合いを表す混雑度、または、前記端末が移動する速さの度合いを表す移動度の少なくともいずれか１つを前記作業状況ごとに算出し、
   前記混雑度、前記移動度またはこれらの組合せに基づいて、前記プライバシー情報を取り扱うサービスが前記端末により利用される際の他者接触または紛失のリスクを評価するリスク評価値を前記作業状況ごとに算出する、
   処理がコンピュータにより実行されることを特徴とするリスク評価方法。
7. 所定のプライバシー情報を取り扱うサービスが利用される端末を用いて検知される作業状況ごとに、前記作業状況への遷移が検知されてから次に遷移が検知されるまでの期間に前記端末が測定するセンサ情報を取得し、
   前記センサ情報に基づいて、前記端末の周辺が混雑している度合いを表す混雑度、または、前記端末が移動する速さの度合いを表す移動度の少なくともいずれか１つを前記作業状況ごとに算出し、
   前記混雑度、前記移動度またはこれらの組合せに基づいて、前記プライバシー情報を取り扱うサービスが前記端末により利用される際の他者接触または紛失のリスクを評価するリスク評価値を前記作業状況ごとに算出する、
   処理をコンピュータに実行させることを特徴とするリスク評価プログラム。

Images