JP7373314B2 - 通信制御装置および通信制御方法 - Google Patents

Description

本発明の実施形態は、通信制御装置および通信制御方法に関する。

最近、２つのネットワーク間でデータ通信により送受信されるデータに対する攻撃が問題となっている。たとえば病院では、医用画像をあつかうなどのセキュリティの高いネットワークと、受付に設置された予約設定端末が属するセキュリティの低いネットワークとの間でデータが送受信される。しかし、病院で扱うデータは個人情報が含まれることが多いためデータの情報価値が高く、フラッド型や脆弱性型のＤｏＳ攻撃の対象になりやすい。このため、２つのネットワーク間で送受信されるデータに対する攻撃に対策を講じることが好ましい。

この種の攻撃に対応するための技術として、たとえばゲートウェイのファイアーウォールを介した相互通信技術が知られている。しかし、ゲートウェイを用いる場合、問題を検知した場合や過負荷攻撃を受けた場合にゲートウェイが停止すると、ネットワーク間が分断されてしまい、データ送受信が不可能となってしまいサービスの継続提供ができなくなってしまうため、利便性が著しく損なわれてしまう。

また、この種の攻撃に対応するための技術として、たとえば光ケーブルを用いた物理的一方向通信を利用し、セキュリティの高いネットワークからセキュリティの低いネットワークへ一方向通信する技術が知られている。しかし、セキュリティの高いネットワークからセキュリティの低いネットワークへ一方向通信する場合、セキュリティの低いネットワークに対する攻撃には強固であるものの、リクエストに対する応答ができず、利便性が悪い。

特開２０１６－１２９３４６号公報

本発明が解決しようとする課題は、優先度が高いネットワークのデータベースと優先度が低いネットワークのデータベースとを、優先度にもとづいて同期させることである。

実施形態に係る通信制御装置は、高側通信制御装置と、低側通信制御装置とを備える。高側通信制御装置は、優先度が高い高側ネットワークに属し、優先度が低い低側ネットワークとのデータ通信を制御する高側処理部を有する。低側通信制御装置は、低側ネットワークに属し、高側通信制御装置とのデータ通信を制御する低側処理部を有する。高側処理部と低側処理部とは、互いに協働することにより、高側ネットワークに属する高側データベースと低側ネットワークに属する低側データベースとを、優先度にもとづいて同期させる。

一実施形態に係る通信制御装置を含む通信制御システムの一例を示すブロック図。 （ａ）は高側処理回路のプロセッサによる実現機能例を説明するためのブロック図、（ｂ）は低側処理回路のプロセッサによる実現機能例を説明するためのブロック図。 通信制御装置により高側データベースと低側データベースとを優先度にもとづいて同期させる際の手順の一例を示すフローチャート。 図３に示す手順のうち、更新要求が受理される場合のより詳細な手順の一例を示すシーケンスチャート。 図３に示す手順のうち、更新要求が拒絶される場合のより詳細な手順の一例を示すシーケンスチャート。 高側ネットワークと低側ネットワークとが分断した際のデータの可用性および一貫性を説明するための図。 低側通信制御装置から高側通信制御装置へのデータ通信を遮断する様子の一例を示す説明図。 本実施形態に係る通信制御装置のデータベースにアクセスする種々のアプリケーションによる運用の一例を示す説明図。 図８に示すリハビリ支援システムのデータベースにアクセスするアプリケーションを運用する場合のデータフロー例を示す説明図。 本実施形態に係る通信制御装置のデータベースにアクセスする重篤患者監視アプリケーションによる運用の一例を示す説明図。 図１０に示す重篤患者監視アプリケーションを運用する場合のデータフロー例を示す説明図。

以下、図面を参照しながら、通信制御装置および通信制御方法の実施形態について詳細に説明する。本実施形態に係る通信制御装置は、優先度の高いネットワークと優先度の低いネットワークとの間でデータ送受信を行い、優先度の高いネットワークのデータベースと優先度の低いネットワークのデータベースとを、優先度にもとづいて同期させるものである。優先度の高低は、たとえばセキュリティの重要性に応じて設定される。

図１は、一実施形態に係る通信制御装置１０を含む通信制御システム１の一例を示すブロック図である。

通信制御システム１は、優先度の高いネットワーク（以下、高側ネットワークという）２０Ｈと、優先度の低いネットワーク（以下、低側ネットワークという）２０Ｌと、高側ネットワーク２０Ｈから低側ネットワーク２０Ｌへの一方向のみのデータ通信部（以下、高低通信部という）２１ＨＬと、低側ネットワーク２０Ｌから高側ネットワーク２０Ｈへの一方向のみのデータ通信部（以下、低高通信部という）２１ＬＨとを有する。

高側ネットワーク２０Ｈは、高側通信制御システム３０Ｈを有するとともに、情報処理装置３１Ｈ、モダリティ３２Ｈ、画像サーバ３３Ｈなどの装置を有する。

低側ネットワーク２０Ｌは、低側通信制御システム３０Ｌを有するとともに、情報処理装置３１Ｌ、携帯端末３２Ｌ、被検体に取りつけられて被検体の生体情報を収集するセンサ３３Ｌなどの装置を有する。

高側通信制御システム３０Ｈは、高側通信制御装置４０Ｈを有するとともに、高側データベース５１Ｈ、５２Ｈ、・・・を有する。低側通信制御システム３０Ｌは、低側通信制御装置４０Ｌを有するとともに、低側データベース５１Ｌ、５２Ｌ、・・・を有する。

高側通信制御装置４０Ｈ、低側通信制御装置４０Ｌ、高低通信部２１ＨＬ、および低高通信部２１ＬＨは、一実施形態に係る通信制御装置１０を構成する。

高側通信制御装置４０Ｈは、高側処理回路４１Ｈ、記憶回路４２Ｈ、送信回路４３Ｈ、受信回路４４Ｈを有する。低側通信制御装置４０Ｌは、低側処理回路４１Ｌ、記憶回路４２Ｌ、送信回路４３Ｌ、受信回路４４Ｌを有する。

高側処理回路４１Ｈと低側処理回路４１Ｌは、互いに協働することにより、高側データベース５１Ｈ、５２Ｈ、・・・と低側データベース５１Ｌ、５２Ｌ、・・・とを、優先度にもとづいて同期させる。高側処理回路４１Ｈと低側処理回路４１Ｌについては図２を参照して後述する。

高側通信制御装置４０Ｈの送信回路４３Ｈは、低側通信制御装置４０Ｌの受信回路４４Ｌと、高低通信経路４５ＨＬを介して接続される。低側通信制御装置４０Ｌの送信回路４３Ｌは、高側通信制御装置４０Ｈの受信回路４４Ｈと、低高通信経路４５ＬＨを介して接続される。

高側通信制御装置４０Ｈの送信回路４３Ｈと、高低通信経路４５ＨＬと、低側通信制御装置４０Ｌの受信回路４４Ｌとは、高低通信部２１ＨＬを構成する。低側通信制御装置４０Ｌの送信回路４３Ｌと、低高通信経路４５ＬＨと、高側通信制御装置４０Ｈの受信回路４４Ｈとは、低高通信部２１ＬＨを構成する。

なお、通信制御システム１は、高側通信制御装置４０Ｈから低側通信制御装置４０Ｌへ一方向のみのデータ通信が実現されるよう構成されるとともに、低側通信制御装置４０Ｌから高側通信制御装置４０Ｈへ一方向のみのデータ通信が実現されるよう構成されればよい。一方向データ通信は、たとえば論理的（ソフトウェア的）に実現されてもよいし、物理的（ハードウェア的）に実現されてもよい。

一方向データ通信がソフトウェア的に実現される場合は、高側通信制御装置４０Ｈの送信回路４３Ｈと受信回路４４Ｈが一体として送受信回路を構成するとともに、低側通信制御装置４０Ｌの送信回路４３Ｌと受信回路４４Ｌが一体として送受信回路を構成してもよい。この場合、高低通信経路４５ＨＬと低高通信経路４５ＬＨとは一つの通信経路が兼用してもよい。

一方向データ通信がハードウェア的に実現される場合は、たとえば、高低通信部２１ＨＬと低高通信部２１ＬＨとがそれぞれ、一方向にのみデータ通信可能な光ケーブルを含んで構成されるとよい。

図２（ａ）は高側処理回路４１Ｈのプロセッサによる実現機能例を説明するためのブロック図であり、（ｂ）は低側処理回路４１Ｌのプロセッサによる実現機能例を説明するためのブロック図である。

高側処理回路４１Ｈのプロセッサは、同期機能６１Ｈ、更新機能６２Ｈ、確認機能６３Ｈ、受理機能６４Ｈ、時刻ＩＤ発行機能６５Ｈ、および遮断機能６６Ｈを実現する（図２（ａ）参照）。これらの各機能はそれぞれプログラムの形態で記憶回路４２Ｈに記憶されている。

同期機能６１Ｈは、高側データベース５１Ｈ、５２Ｈ、・・・のデータを低側データベース５１Ｌ、５２Ｌ、・・・に同期させる。同期機能６１Ｈは、たとえば所定の周期で同期を実行してもよいし、ユーザによる指示に応じて同期を実行してもよい。所定の周期で同期を実行する場合は、所定の周期（たとえば１秒、１分、３０分、１時間、５時間、１日など）はデータベースにアクセスするアプリケーションやデータ種に応じて設定するとよい。また、高側から低側の同期周期と低側から高側の同期周期とを異ならせてもよい。また、所定の周期は、高側ネットワーク２０Ｈに属する装置からのみ設定可能とし、低側ネットワーク２０Ｌに属する装置からは設定不可とする、または設定要求のみ可能とし高側通信制御装置４０Ｈの承認が必要とするとよい。

なお、同期機能６１Ｈは、同期対象のデータが秘匿データであると、当該データを匿名化してから低側データベースに４１Ｌ、４２Ｌ、・・・同期させてもよい。

更新機能６２Ｈは、高側ネットワーク２０Ｈに属する情報処理装置３１Ｈなどの装置から高側データベース５１Ｈ、５２Ｈ、・・・のデータに対する更新要求があると、高側データベース５１Ｈ、５２Ｈ、・・・を更新する。すなわち、高側処理回路４１Ｈの更新機能６２Ｈは、高側ネットワーク２０Ｈに属する装置から高側データベース５１Ｈ、５２Ｈ、・・・のデータに対する更新要求があった場合は、当該更新要求を即時に反映させる。

確認機能６３Ｈは、低側処理回路４１Ｌから更新情報を受けると、所定の期間内に更新機能６２Ｈにより既に、低側処理回路４１Ｌから受けた更新情報に含まれる更新要求対象のデータが更新されているか否かを確認する（衝突確認）。

具体的には、確認機能６３Ｈは、高側データベース５１Ｈ、５２Ｈ、・・・のデータの更新履歴と、更新情報から推定される更新要求を受理した場合のデータの更新履歴と、に矛盾（衝突）がないかを確認する。たとえば、あるデータが、高側データベース５１Ｈでデータ１からデータ２に更新されたとする。このとき、更新情報から推定される更新要求を受理した場合のデータの更新履歴が、たとえばデータ１からデータ２を経ずに直接にデータ３に更新される更新履歴となる場合は、矛盾（衝突）があるとして更新要求を拒絶する。

受理機能６４Ｈは、低側処理回路４１Ｌから受けた更新情報に含まれる更新要求対象のデータが、所定の期間内に更新機能６２Ｈにより既に更新されていると、更新要求を拒絶する旨を低側処理回路４１Ｌに通知する。一方、受理機能６４Ｈは、低側処理回路４１Ｌから受けた更新情報に含まれる更新要求対象のデータが、所定の期間内に更新機能６２Ｈにより更新されていないと、更新要求を受理する旨を低側処理回路４１Ｌに通知するとともに、更新機能６２Ｈに、対応する高側データベース５１Ｈ、５２Ｈ、・・・の当該更新要求対象のデータを更新要求の更新内容で更新するよう指示する。

時刻ＩＤ発行機能６５Ｈは、同期機能６１Ｈによる同期が行われるとき、当該同期の時刻情報を、直接には予測困難な時刻ＩＤに不可逆に変換して低側ネットワーク２０Ｌに与える。なお、時刻ＩＤ発行機能６５Ｈは備えられずともよい。高側処理回路４１Ｈが時刻ＩＤ発行機能６５Ｈを実現する場合は、時刻情報を時刻ＩＤに変換することができるため、低側ネットワーク２０Ｌにおいて時刻情報を改ざんされてしまう不具合を未然に防ぐことができる。時刻ＩＤは、衝突検知用ＩＤとして利用される。

遮断機能６６Ｈは、低側通信制御装置４０Ｌに物理的な異常またはＤｏＳ攻撃などによる負荷の異常が生じると、低高通信部２１ＬＨによるデータ通信を禁止することで、低側通信制御装置４０Ｌから高側通信制御装置４０Ｈへのデータ通信を遮断する。

一方、低側処理回路４１Ｌのプロセッサは、仮更新機能６１Ｌ、更新情報生成機能６２Ｌ、および本更新機能６３Ｌを実現する（図２（ｂ）参照）。これらの各機能はそれぞれプログラムの形態で記憶回路４２Ｌに記憶されている。

仮更新機能６１Ｌは、低側ネットワーク２０Ｌに属する情報処理装置３１Ｌなどの装置から低側データベース５１Ｌ、５２Ｌ、・・・のデータに対する更新要求があると、更新要求の更新内容に応じたデータの仮データで低側データベース５１Ｌ、５２Ｌ、・・・を仮更新する。

更新情報生成機能６２Ｌは、少なくとも、所定の期間を示す情報と更新要求の更新内容とを含む更新情報を生成し高側処理回路４１Ｈに与える。以下の説明では、所定の期間が、更新要求対象のデータが同期された時刻から更新要求の時刻までの期間である場合の例について示す。

本更新機能６３Ｌは、高側処理回路４１Ｈの受理機能６４Ｈから更新要求を拒絶する旨の通知を受けると、低側データベース５１Ｌ、５２Ｌ、・・・から、仮更新された仮データを破棄する。一方、本更新機能６３Ｌは、高側処理回路４１Ｈの受理機能６４Ｈから更新要求を受理する旨の通知を受けると、低側データベース５１Ｌ、５２Ｌ、・・・に仮更新された仮データを本更新する。換言すれば、優先度の低い低側ネットワーク２０Ｌで要求された更新内容は、優先度が高い高側ネットワーク２０Ｈの受理機能６４Ｈによって受理または拒絶されるまでは、仮更新の状態が続くことになる。

次に、本実施形態に係る通信制御装置１０の動作の一例について説明する。なお、以下の説明では、高側データベース５１Ｈと低側データベース５１Ｌの同一のレコードが更新されようとしている場合の例を示す。

図３は、通信制御装置１０により高側データベース５１Ｈと低側データベース５１Ｌとを優先度にもとづいて同期させる際の手順の一例を示すフローチャートである。図３において、Ｓに数字を付した符号はフローチャートの各ステップを示す。なお、以下の説明では、高側データベース５１Ｈと低側データベース５１Ｌとの同期例を示す。

まず、ステップＳ１において、高側処理回路４１Ｈの同期機能６１Ｈは、高側データベース５１Ｈのデータを低側データベース５１Ｌに同期させる。

次に、ステップＳ２において、低側処理回路４１Ｌの仮更新機能６１Ｌは、低側ネットワーク２０Ｌに属する情報処理装置３１Ｌなどの装置から低側データベース５１Ｌのデータに対する更新要求があると、更新要求の更新内容に応じたデータの仮データで低側データベース５１Ｌを仮更新する。

次に、ステップＳ３において、低側処理回路４１Ｌの更新情報生成機能６２Ｌは、少なくとも、更新要求対象のデータがステップＳ１で同期された時刻からステップＳ２で更新要求された時刻までの期間（所定の期間）を示す情報と、更新要求の更新内容とを含む更新情報を生成する。

次に、ステップＳ４において、高側処理回路４１Ｈの確認機能６３Ｈは、低側処理回路４１Ｌから更新情報を取得し、所定の期間（更新要求対象のデータがステップＳ１で同期された時刻からステップＳ２で更新要求された時刻までの期間）内に、更新機能６２Ｈにより既に、低側処理回路４１Ｌから受けた更新情報に含まれる更新要求対象のデータが更新されているか否かを確認する。

低側処理回路４１Ｌの更新情報生成機能６２Ｌから受けた更新情報に含まれる更新要求対象のデータが更新機能６２Ｈにより更新されていない場合は（ステップＳ５のＮＯ）、高側処理回路４１Ｈの受理機能６４Ｈは、更新要求を受理する旨を低側処理回路４１Ｌに通知する（ステップＳ６）。この場合、低側処理回路４１Ｌの本更新機能６３Ｌは、低側データベース５１Ｌに仮更新された仮データを本更新する（ステップＳ７）。

一方、低側処理回路４１Ｌから受けた更新情報に含まれる更新要求対象のデータが更新機能６２Ｈにより既に更新されている場合は（ステップＳ５のＹＥＳ）、高側処理回路４１Ｈの受理機能６４Ｈは、更新要求を拒絶する旨を低側処理回路４１Ｌに通知する（ステップＳ８）。この場合、低側処理回路４１Ｌの本更新機能６３Ｌは、低側データベース５１Ｌに仮更新された仮データを破棄する（ステップＳ９）。

以上の手順により、通信制御装置１０により高側データベース５１Ｈと低側データベース５１Ｌとを優先度にもとづいて同期させることができる。

図４は、図３に示す手順のうち、更新要求が受理される場合のより詳細な手順の一例を示すシーケンスチャートである。以下の説明では、同期機能６１Ｈが時刻ｔ＝ｔ１、ｔ２、ｔ３、ｔ４、・・・の各時刻で同期を行う場合の例を示した。

この手順は、図３のステップＳ１が実施されて、高側データベース５１Ｈと低側データベース５１Ｌにデータ１が同期されてスタートとなる。

まず、時刻ｔ１よりも前に、高側通信制御システム３０Ｈでデータ１が読み出されて活用され、書込みが行われた場合を仮定する。この場合、更新機能６２Ｈは、即時に高側データベース５１Ｈのデータ１をデータ２に更新する。

同期時刻ｔ＝ｔ１になると、同期機能６１Ｈはデータ２を低側データベース５１Ｌに与え同期させる。このとき、時刻ＩＤ発行機能６５Ｈは、時刻ｔ１の情報を時刻ｔ１から予測困難な時刻ＩＤ（ＸＡ）に不可逆に変換して、低側ネットワーク２０Ｌに与える。低側データベース５１Ｌに同期されたデータ２にはデータ２の同期時刻ＩＤのＸＡが関連付けられる。

図４に示す例では、次の同期時刻ｔ＝ｔ２まで、高側データベース５１Ｈと低側データベース５１Ｌは更新されない。

図４に示す例では、同期時刻ｔ＝ｔ２から同期時刻ｔ＝ｔ３までの間に、低側通信制御システム３０Ｌでデータ２が読み出されて活用され、書込みが行われる。この場合、低側データベース５１Ｌに格納された、時刻ＩＤのＸＡが関連付けられたデータ２は、仮更新機能６１Ｌにより、仮データ３（更新要求の更新内容に応じたデータ）に仮更新される。このとき仮データ３の元データ２の同期時刻ＩＤのＸＡが関連付けられたままとされる。

低側データベース５１Ｌのデータを仮データ３に仮更新しておくことで、低側ネットワーク２０Ｌに属する装置が仮データ３に重複する更新を行う不具合を未然に防ぐことができる。たとえば、低側ネットワーク２０Ｌに属する装置が予約受付システムのシステム操作端末であり、仮データ３が検査予約内容を示すデータである場合、仮データ３に仮更新しておくことで、ユーザは、仮データ３と同日同時刻同内容の検査予約を容易に避けて別の予約を仮登録（別の仮データを仮更新）することができる。

同期時刻ｔ＝ｔ３になると、更新情報生成機能６２Ｌは、仮データ３の元データ２が同期された時刻ｔ１から、更新要求の時刻まで、すなわちｔ＝ｔ３まで、の期間（所定の期間）を示す情報と更新要求の更新内容とを含む更新情報を生成する。

図４に示す例では、更新要求の時刻ｔ＝ｔ３は高側通信制御システム３０Ｈと低側通信制御装置４０Ｌとで共有されており既知である。このため、更新情報生成機能６２Ｌは、所定の期間を示す情報として、仮データ３の元データ２の同期時刻ＩＤのＸＡを更新情報に含めればよい。したがって、更新情報生成機能６２Ｌは更新情報として、同期時刻ＩＤのＸＡが関連付けられた仮データ３を生成すればよい。同期時刻ＩＤのＸＡが関連付けられた状態で仮データ３が低側データベース５１Ｌに仮登録されている場合は、更新情報生成機能６２Ｌは当該仮データ３を高側処理回路４１Ｈに与えればよい。

更新情報を受けると、確認機能６３Ｈは、データ２の高側データベース５１Ｈにおける更新履歴にもとづいて、時刻ＩＤのＸＡに対応する時刻である時刻ｔ１からｔ＝ｔ３までの期間に、更新機能６２Ｈにより既に、高側データベース５１Ｈのデータ２が更新されているか否かを確認する（衝突確認）。図４に示す例では高側データベース５１Ｈのデータ２は更新されておらず、衝突は起こっていない。このため、受理機能６４Ｈは、更新機能６２Ｈに、高側データベース５１Ｈのデータ２をデータ３に更新するよう指示する。

また、受理機能６４Ｈは、更新要求を受理する旨を低側処理回路４１Ｌに通知する。このタイミングは、衝突確認後に即時であってもよいし、次の同期時刻ｔ＝ｔ４であってもよい。

そして、低側処理回路４１Ｌの本更新機能６３Ｌは、高側処理回路４１Ｈの受理機能６４Ｈから更新要求を受理する旨の通知を受けると、低側データベース５１Ｌに仮更新された仮データ３を本更新する。

以上の手順により、低側データベース５１Ｌの更新と高側データベース５１Ｈの更新とが衝突していない場合には、高側処理回路４１Ｈの確認と受理処理を経て、低側データベース５１Ｌを更新することができる。

図５は、図３に示す手順のうち、更新要求が拒絶される場合のより詳細な手順の一例を示すシーケンスチャートである。図５に示す例は、図４に示す例と時刻ｔ＝ｔ２まで同様である。

図５に示す例では、図４に示す例と異なり、同期時刻ｔ＝ｔ２から同期時刻ｔ＝ｔ３までの間に、低側通信制御システム３０Ｌと並行して、高側通信制御システム３０Ｈでも、データ２が読み出されて活用され、書込みが行われる。この場合、更新機能６２Ｈは、即時に高側データベース５１Ｈのデータ２をデータ３に更新する。

他方、低側データベース５１Ｌに格納された、時刻ＩＤのＸＡが関連付けられたデータ２は、仮更新機能６１Ｌにより、データ３とは異なる仮データ４（更新要求の更新内容に応じたデータ）に仮更新される。このとき仮データ４の元データ２の同期時刻ＩＤのＸＡが関連付けられたままとされる。

同期時刻ｔ＝ｔ３になると、更新情報生成機能６２Ｌは、更新情報として、同期時刻ＩＤのＸＡが関連付けられた仮データ４を生成する。

更新情報を受けると、確認機能６３Ｈは、データ２の高側データベース５１Ｈにおける更新履歴にもとづいて、時刻ＩＤのＸＡに対応する時刻である時刻ｔ１からｔ＝ｔ３までの期間に、更新機能６２Ｈにより既に、高側データベース５１Ｈのデータ２が更新されているか否かを確認する（衝突確認）。

図５に示す例では高側データベース５１Ｈのデータ２はデータ３に更新されている。一方、更新情報から推定される更新要求を受理した場合のデータの更新履歴は、たとえばデータ２からデータ３を経ずに直接にデータ４に更新される更新履歴となってしまう。このため、受理機能６４Ｈは、更新要求を拒絶する旨を低側処理回路４１Ｌに通知する。このタイミングは、衝突確認後に即時であってもよいし、次の同期時刻ｔ＝ｔ４であってもよい。

そして、低側処理回路４１Ｌの本更新機能６３Ｌは、高側処理回路４１Ｈの受理機能６４Ｈから更新要求を拒絶する旨の通知を受けると、低側データベース５１Ｌから、仮更新された仮データ４を破棄する。

以上の手順により、低側データベース５１Ｌの更新と高側データベース５１Ｈの更新とが衝突する場合には、優先度を考慮して、優先度の高い高側通信制御システム３０Ｈのデータ更新を優先して高側データベース５１Ｈと低側データベース５１Ｌとを同期させることができる。

図６は、高側ネットワーク２０Ｈと低側ネットワーク２０Ｌとが分断した際のデータの可用性および一貫性を説明するための図である。

時刻ｔ＝ｔ１で同期したあとに高側ネットワーク２０Ｈと低側ネットワーク２０Ｌとが分断した場合を考える。このとき低側データベース５１Ｌに同期されたデータには、同期時刻ｔ＝ｔ１の時刻ＩＤのＸＡが関連付けられている（図４、図５参照）。

分断が発生しても、高側処理回路４１Ｈの更新機能６２Ｈは、高側データベース５１Ｈ、５２Ｈ、・・・のデータが読み出されて活用され、書込みが行われると、即時に高側データベース５１Ｈ、５２Ｈ、・・・のデータを更新することができる。また、分断が発生しても、低側処理回路４１Ｌの仮更新機能６１Ｌは、仮データで低側データベース５１Ｌ、５２Ｌ、・・・を仮更新することができる。このため、通信サービス停止などにより分断が発生しても、ユーザはそれぞれのネットワークのデータベースの更新を容易に継続することができる（可用性）。

また、分断から復帰した後、同期時刻ｔ＝ｔＮになると、更新情報生成機能６２Ｌは、仮データの元データが同期された時刻ｔ１から、更新要求の時刻まで、すなわちｔ＝ｔＮまで、の期間（所定の期間）を示す情報と更新要求の更新内容とを含む更新情報を生成する。具体的には、更新情報生成機能６２Ｌは更新情報として、同期時刻ＩＤのＸＡが関連付けられた仮データｉを生成する。

そして、図４および図５に示した例と同様に、確認機能６３Ｈにより衝突が確認され、仮データｉのそれぞれについて受理機能６４Ｈによって受理する旨または拒絶する旨が低側処理回路４１Ｌに通知されて、通知に応じて本更新機能６３Ｌが低側データベース５１Ｌに仮更新された仮データを本更新または破棄する。このため、分断からの復帰後も、優先度を考慮して、優先度の高い高側通信制御システム３０Ｈのデータ更新を優先して高側データベース５１Ｈと低側データベース５１Ｌとを同期させることができる（一貫性）。

図７は、低側通信制御装置４０Ｌから高側通信制御装置４０Ｈへのデータ通信を遮断する様子の一例を示す説明図である。

遮断機能６６Ｈは、低側通信制御装置４０Ｌに物理的な異常またはＤｏＳ攻撃などによる負荷の異常が生じると、低高通信部２１ＬＨによるデータ通信の速度を調整し、あるいは禁止することができる。このため、遮断機能６６Ｈは、低側通信制御装置４０Ｌから高側通信制御装置４０Ｈへのデータ通信を容易に遮断することができる。低側通信制御装置４０Ｌから高側通信制御装置４０Ｈへのデータ通信の遮断方法としては、たとえば受信回路４４Ｈで受信したデータを全て破棄する方法や、送信回路４３Ｌからのデータ送信を禁止する方法など、さまざまな方法が考えられる。

このため、低側通信制御装置４０Ｌに物理的な異常またはＤｏＳ攻撃などによる負荷の異常が生じた場合であっても、低側通信制御装置４０Ｌから高側通信制御装置４０Ｈへのデータ通信を切断することができ、高側ネットワーク２０Ｈに属する装置のセキュリティを高いまま維持することができる。このとき、高側データベース５１Ｈ、５２Ｈ、・・・の更新内容は、たとえば周期的に同期される場合は同期時刻ごとに、高低通信部２１ＨＬを介して低側ネットワーク２０Ｌに与えられる。

本実施形態に係る通信制御装置１０によれば、低側通信制御装置４０Ｌに物理的な異常またはＤｏＳ攻撃などによる負荷の異常が生じた場合であっても、高側ネットワーク２０Ｈを守ることができるためセキュリティが高いとともに、ユーザは高側データベース５１Ｈ、５２Ｈ、の更新を継続することができるため非常に利便性が高い。また、図６および図７に示すように、高側ネットワーク２０Ｈと低側ネットワーク２０Ｌとの接続、あるいは低側通信制御装置４０Ｌから高側通信制御装置４０Ｈへのデータ通信が切断されても、各ネットワークのデータベースの更新を継続することができる。したがって、データ通信の切断に不安をおぼえる必要がなく、容易にデータ通信を切断することができるため、セキュリティ上の問題を未然に防ぐことができる。

図８は、本実施形態に係る通信制御装置１０のデータベースにアクセスする種々のアプリケーションによる運用の一例を示す説明図である。

本実施形態に係る通信制御装置１０の低側通信制御装置４０Ｌは、複数のデータベースを管理可能である。たとえば低側通信制御装置４０Ｌは、被検体の検査の予約状況を調べる予約受付システムや、リハビリ支援システム、財務発注システムなどの低側ネットワーク２０Ｌに属するシステムにより利用され、これらのシステムはそれぞれ低側データベースを有することができる。

たとえば、予約受付システムのデータベースは、システム操作端末やスマートフォンのアプリケーションによりアクセスされる。また、リハビリ支援システムのデータベースは、被検体に取付けられたリハビリ情報を取得するためのリハビリセンサのデータを用いるリハビリ支援アプリケーションによりアクセスされる。また、図８に示す財務発注システムのように、低側データベースは他のシステムと連携して利用されることも可能である。

図９は、図８に示すリハビリ支援システムのデータベースにアクセスするアプリケーションを運用する場合のデータフロー例を示す説明図である。

リハビリ支援システムのデータベースは、たとえばリハビリセンサで取得された被検体のリハビリ状況に関するデータを転送され、高側データベースと同期させることで、高側ネットワーク２０Ｈの医師からリハビリ計画等の助言を受けることができる。

具体的には、リハビリセンサを介して取得された被検体のリハビリ実施データは、高側ネットワーク２０Ｈの高側データベースに与えられる。高側ネットワーク２０Ｈの医師、または学習済みモデルその他のソフトウェアは、このデータと、被検体の医用画像、検査履歴などの医用データと、にもとづいて、リハビリ計画や助言を作成する。そして、作成されたリハビリ計画や助言が低側ネットワーク２０Ｌに与えられ、リハビリセンサに適用され、あるいはリハビリ計画や助言にもとづいてリハビリ支援システムと連携してリハビリを支援する。

通信制御装置１０によれば高側ネットワーク２０Ｈのセキュリティを維持しつつ容易に高側ネットワーク２０Ｈの高側データベースと低側ネットワーク２０Ｌの低側データベースとを同期させることができる。このため、図９に示す例のように、リハビリ支援する場合であっても、低側通信制御装置４０Ｌに物理的な異常またはＤｏＳ攻撃などによる負荷の異常が生じても高側ネットワーク２０Ｈが保持する医用データのセキュリティは守られる。

図１０は、本実施形態に係る通信制御装置１０のデータベースにアクセスする重篤患者監視アプリケーションによる運用の一例を示す説明図であり、図１１は、図１０に示す重篤患者監視アプリケーションを運用する場合のデータフロー例を示す説明図である。

重篤患者の状況がわかる脈拍等の健康データは、高側ネットワーク２０Ｈから低側ネットワーク２０Ｌに与えられる。低側ネットワーク２０Ｌの現場の医療スタッフは、送付された健康データと、重篤患者の管理情報とにもとづいて診断を行い、治療計画や機器制御指示などの情報を作成する。このとき、健康データや管理情報を匿名化したうえで、外部のＡＩによる助言や外部の医師の助言を求めてもよい。

作成された治療計画や機器制御指示などの情報は、低側ネットワーク２０Ｌから高側ネットワーク２０Ｈに与えられる。そして、重篤患者の現在の健康状態にもとづいて、送付された治療計画や機器制御指示などの情報を適用することができる。

通信制御装置１０によれば高側ネットワーク２０Ｈのセキュリティを維持しつつ容易に高側ネットワーク２０Ｈの高側データベースと低側ネットワーク２０Ｌの低側データベースとを同期させることができる。このため、図１０、図１１に示す例のように、現場の医療スタッフが低側ネットワーク２０Ｌに属する装置を操作する場合であっても、現場の医療スタッフは、高側ネットワーク２０Ｈに属する装置に管理された重篤患者を監視することができる。

以上説明した少なくとも１つの実施形態によれば、優先度が高いネットワークのデータベースと優先度が低いネットワークのデータベースとを、優先度にもとづいて同期させることができる。

なお、上記実施形態において、「プロセッサ」という文言は、たとえば、専用または汎用のＣＰＵ（Central Processing Unit）、ＧＰＵ（Graphics Processing Unit）、または、特定用途向け集積回路（Application Specific Integrated Circuit：ＡＳＩＣ）、プログラマブル論理デバイス（たとえば、単純プログラマブル論理デバイス（Simple Programmable Logic Device：ＳＰＬＤ）、複合プログラマブル論理デバイス（Complex Programmable Logic Device：ＣＰＬＤ）、およびＦＰＧＡ）等の回路を意味するものとする。プロセッサは、記憶媒体に保存されたプログラムを読み出して実行することにより、各種機能を実現する。

また、上記実施形態では処理回路の単一のプロセッサが各機能を実現する場合の例について示したが、複数の独立したプロセッサを組み合わせて処理回路を構成し、各プロセッサが各機能を実現してもよい。また、プロセッサが複数設けられる場合、プログラムを記憶する記憶媒体は、プロセッサごとに個別に設けられてもよいし、１つの記憶媒体が全てのプロセッサの機能に対応するプログラムを一括して記憶してもよい。

なお、本発明のいくつかの実施形態を説明したが、これらの実施形態は、例として提示したものであり、発明の範囲を限定することは意図していない。これら実施形態は、その他の様々な形態で実施されることが可能であり、発明の要旨を逸脱しない範囲で、種々の省略、置き換え、変更を行うことができる。これら実施形態やその変形は、発明の範囲や要旨に含まれると同様に、特許請求の範囲に記載された発明とその均等の範囲に含まれるものである。

１ 通信制御システム
１０ 通信制御装置
２０Ｈ 高側ネットワーク
２０Ｌ 低側ネットワーク
２１ＨＬ 高低通信部
２１ＬＨ 低高通信部
３０Ｈ 高側通信制御システム
３０Ｌ 低側通信制御システム
４０Ｈ 高側通信制御装置
４０Ｌ 低側通信制御装置
４５ＨＬ 高低通信経路
４５ＬＨ 低高通信経路
５１Ｈ、５２Ｈ 高側データベース
５１Ｌ、５２Ｌ 低側データベース
６１Ｈ 同期機能
６２Ｈ 更新機能
６３Ｈ 確認機能
６４Ｈ 受理機能
６５Ｈ 時刻ＩＤ発行機能
６６Ｈ 遮断機能
６１Ｌ 仮更新機能
６２Ｌ 更新情報生成機能
６３Ｌ 本更新機能

Claims (8)

1. セキュリティの重要性にもとづいて決定される優先度が高い高側ネットワークに属し、前記優先度が低い低側ネットワークとのデータ通信を制御する高側処理部を有する高側通信制御装置と、
   前記低側ネットワークに属し、前記高側通信制御装置とのデータ通信を制御する低側処理部を有する低側通信制御装置と、
   を備え、
   前記高側処理部と前記低側処理部とは、
   互いに協働することにより、前記高側ネットワークに属する高側データベースと前記低側ネットワークに属する低側データベースとを、前記優先度にもとづいて同期させるべく、
   前記低側処理部は、
   前記低側ネットワークに属する装置から前記低側データベースのデータに対する更新要求があると、前記更新要求の更新内容に応じた前記データの仮データで前記低側データベースを仮更新する仮更新部と、
   少なくとも、前記データが同期された時刻から前記更新要求の時刻までの期間を示す情報と前記更新要求の更新内容とを含む更新情報を生成する更新情報生成部と、
   を有し、
   前記高側処理部は、
   前記更新情報にもとづいて、前記高側データベースの前記データに対する前記更新要求の更新内容での更新を受理するか拒絶するかを決定する、
   通信制御装置。
2. 前記高側処理部は、
   前記高側データベースの前記データを前記低側データベースに同期させる同期部と、
   前記高側ネットワークに属する装置から前記高側データベースの前記データに対する更新要求があると前記高側データベースを更新する更新部と、
   前記期間内に前記更新部により前記高側データベースの前記データが更新されていると、前記更新要求を拒絶する旨を前記低側処理部に通知する一方、前記期間内に前記更新部により前記高側データベースの前記データが更新されていないと、前記更新要求を受理する旨を前記低側処理部に通知するとともに前記更新部に前記高側データベースの前記データを前記更新要求の更新内容で更新するよう指示する受理部と、
   を有する、
   請求項１記載の通信制御装置。
3. 前記高側処理部の前記更新部は、前記高側通信制御装置と前記低側通信制御装置との通信に分断が発生しても、前記高側ネットワークに属する装置から前記高側データベースの前記データに対する更新要求があると前記高側データベースを更新し、
   前記分断が発生しても、前記低側ネットワークに属する装置から前記低側データベースの前記データに対する更新要求があると、前記低側処理部の前記仮更新部は前記仮データで前記低側データベースを仮更新するとともに前記更新情報生成部は前記更新情報を生成する、
   請求項２記載の通信制御装置。
4. 前記高側処理部の前記受理部は、
   前記分断から復帰すると、前記更新情報にもとづいて、前記高側データベースの前記データに対する前記更新要求の更新内容での更新を受理するか拒絶するかを決定する、
   請求項３記載の通信制御装置。
5. 前記高側処理部の前記同期部は、
   前記高側データベースの前記データを前記低側データベースに同期させるとき、前記データが秘匿データであると、前記データを匿名化して前記低側データベースに同期させる、
   請求項２ないし４のいずれか１項に記載の通信制御装置。
6. 前記高側処理部は、
   前記低側通信制御装置に物理的な異常または負荷の異常が生じると、前記低側通信制御装置から前記高側通信制御装置へのデータ通信を遮断する遮断部、
   を有する、
   請求項１ないし５のいずれか１項に記載の通信制御装置。
7. 前記高側通信制御装置から前記低側通信制御装置へ一方向にのみデータ通信するための高低通信部と、
   前記低側通信制御装置から前記高側通信制御装置へ一方向にのみデータ通信するための低高通信部と、
   をさらに備え、
   前記遮断部は、
   前記低側通信制御装置に物理的な異常または負荷の異常が生じると、前記低高通信部によるデータ通信を遮断する、
   請求項６記載の通信制御装置。
8. 前記高低通信部と前記低高通信部とは、それぞれ一方向にのみデータ通信可能な光ケーブルを含む、
   請求項７記載の通信制御装置。

Images