医用装置、監査ログファイル出力システムおよび監査ログファイル出力プログラム
【課題】外部出力された監査ログファイルの完全性を検証することが可能な医用装置、監査ログファイル出力システムおよび監査ログファイル出力プログラムである。
【解決手段】医用装置１は、入力装置５による操作の監査ログファイルを作成する監査ログファイル作成部１０と、監査ログファイルを保存する監査ログ記憶部１１と、監査ログファイルを外部メディア７へ出力するためのメディア保存部３と、監査ログ記憶部１１から取得した監査ログファイルを外部メディア７へ出力した場合に監査ログファイルの完全性を検証するための完全性検証情報１３を作成し、メディア保存部３に監査ログ記憶部１１から取得した監査ログファイルおよび完全性検証情報を与えるバックアップ制御部１２とを有する。
【解決手段】医用装置１は、入力装置５による操作の監査ログファイルを作成する監査ログファイル作成部１０と、監査ログファイルを保存する監査ログ記憶部１１と、監査ログファイルを外部メディア７へ出力するためのメディア保存部３と、監査ログ記憶部１１から取得した監査ログファイルを外部メディア７へ出力した場合に監査ログファイルの完全性を検証するための完全性検証情報１３を作成し、メディア保存部３に監査ログ記憶部１１から取得した監査ログファイルおよび完全性検証情報を与えるバックアップ制御部１２とを有する。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、監査ログを記録することにより患者情報等の個人情報のセキュリティを管理する機能を備えた医用装置、監査ログファイル出力システムおよび監査ログファイル出力プログラムに係り、特に外部メディアに出力される監査ログファイルの完全性を検証することが可能な医用装置、監査ログファイル出力システムおよび監査ログファイル出力プログラムに関する。
【背景技術】
【０００２】
従来、超音波診断装置、Ｘ線ＣＴ（ｃｏｍｐｕｔｅｄ ｔｏｍｏｇｒａｐｈｙ）装置、ＭＲＩ（ｍａｇｎｅｔｉｃ ｒｅｓｏｎａｎｃｅ ｉｍａｇｉｎｇ）等の画像診断装置やＨＩＳ（ｈｏｓｐｉｔａｌ ｉｎｆｏｒｍａｔｉｏｎ ｓｙｓｔｅｍ），ＲＩＳ（ｒａｄｉｏｌｏｇｙ ｉｎｆｏｒｍａｔｉｏｎ ｓｙｓｔｅｍ）、ＰＡＣＳ（ｐｉｃｔｕｒｅ ａｒｃｈｉｖｉｎｇ ａｎｄ ｃｏｍｍｕｎｉｃａｔｉｏｎ ｓｙｓｔｅｍ）等の医用情報システムといった医用装置においては、病院等の各医療機関が定めるセキュリティポリシーやプライバシーポリシーに従って、患者情報の保護を実現するために操作の監査ログが記録されている。
【０００３】
監査ログには、医用装置に対する設定の変更、患者情報等の個人情報に対するアクセスあるいはログイン／ログオフ操作に関する情報等の詳細な情報が記録される。このような監査ログには、医用装置内におけるデータの完全性を確保するために、すなわちデータが正しいことを証明するためにメッセージダイジェストを作成する技術が用いられている（例えば非特許文献１参照）。この技術では、ハッシュ関数を使った演算によりデータから特徴的なパターンを有する固定長のメッセージダイジェストが生成され、生成されたメッセージダイジェストは必要に応じて暗号化されて完全性検査に利用される。
【０００４】
そして、医用装置において生成された監査ログファイルはある一定期間またはある一定容量ごとに医用装置内に保存されるが、適宜、バックアップのために外部メディアや記憶装置に出力されて管理される。そして、セキュリティ管理者により、監査ログファイルを用いて個人情報に対する不正アクセスの有無が監査される。
【０００５】
また、近年では、監査ログを解析する手段の１つとして、ログ解析ソフトが市販されている（例えば非特許文献２および非特許文献３）。
【非特許文献１】デジタル用語辞典２００１−２００２年版、９３６頁、日系ＢＰ社出版局
【非特許文献２】ＢＯＭ（登録商標） ｆｏｒ Ｗｉｎｄｏｗｓ（登録商標）、[ｏｎｌｉｎｅ]，セイ・テクノロジーズ株式会社（ＳＡＹ Ｔｅｃｈｎｏｌｏｇｉｅｓ） 製品情報、[平成１６年１２月１０日検索]、インターネット＜ＵＲＬ：http://www.say-tech.co.jp/product/01.html＞
【非特許文献３】監視ソリューション、Ｗｉｎｄｏｗｓ（登録商標）サーバー、[ｏｎｌｉｎｅ]，セイ・テクノロジーズ株式会社（ＳＡＹ Ｔｅｃｈｎｏｌｏｇｉｅｓ）、[平成１６年１２月１０日検索]、インターネット＜ＵＲＬ：http://www.say-tech.co.jp/sol/01.html＞
【発明の開示】
【発明が解決しようとする課題】
【０００６】
しかしながら、従来の医用装置におけるセキュリティ管理技術では、監査ログを外部メディアに保存する際に、予め医用装置内において保存された監査ログファイルが変更を加えることなく直接をそのまま外部メディアに出力される。このため、一定時間経過後にある外部メディア内の監査ログファイルを参照した場合に、監査ログファイルの完全性を確認することができないという問題がある。
【０００７】
例えば医用装置において生成された時の監査ログファイルが何らかの影響で破壊されていた場合や、第三者によって改竄されていたとしてもそのような事実を検知することができない。つまり外部メディアに保存された監査ログファイルがオリジナルのものであるかどうかを確認することができない。
【０００８】
本発明はかかる従来の事情に対処するためになされたものであり、外部出力された監査ログファイルの完全性を検証することが可能な医用装置、監査ログファイル出力システムおよび監査ログファイル出力プログラムを提供することを目的とする。
【課題を解決するための手段】
【０００９】
本発明に係る医用装置は、上述の目的を達成するために、請求項１に記載したように、入力装置による操作の監査ログファイルを作成する監査ログファイル作成部と、前記監査ログファイルを保存する監査ログ記憶部と、前記監査ログファイルを外部メディアへ出力するためのメディア保存部と、前記監査ログ記憶部から取得した前記監査ログファイルを前記外部メディアへ出力した場合に前記監査ログファイルの完全性を検証するための完全性検証情報を作成し、前記メディア保存部に前記監査ログ記憶部から取得した前記監査ログファイルおよび前記完全性検証情報を与えるバックアップ制御部とを有することを特徴とするものである。
【００１０】
また、本発明に係る監査ログファイル出力システムは、上述の目的を達成するために、請求項１１に記載したように、入力装置による操作の監査ログファイルを作成する監査ログファイル作成部と、前記監査ログファイルを保存する監査ログ記憶部と、前記監査ログ記憶部から取得した前記監査ログファイルを外部メディアへ出力した場合に前記監査ログファイルの完全性を検証するための完全性検証情報を作成し、前記監査ログファイルを前記外部メディアへ出力するためのメディア保存部に前記監査ログ記憶部から取得した前記監査ログファイルおよび前記完全性検証情報を与えるバックアップ制御部とを有することを特徴とするものである。
【００１１】
また、本発明に係る監査ログファイル出力プログラムは、上述の目的を達成するために、請求項１２に記載したように、コンピュータを、入力装置による操作の監査ログファイルを作成する監査ログファイル作成部、前記監査ログファイルを保存する監査ログ記憶部および前記監査ログ記憶部から取得した前記監査ログファイルを外部メディアへ出力した場合に前記監査ログファイルの完全性を検証するための完全性検証情報を作成し、前記監査ログファイルを前記外部メディアへ出力するためのメディア保存部に前記監査ログ記憶部から取得した前記監査ログファイルおよび前記完全性検証情報を与えるバックアップ制御部として機能させることを特徴とするものである。
【発明の効果】
【００１２】
本発明に係る医用装置、監査ログファイル出力システムおよび監査ログファイル出力プログラムにおいては、外部出力された監査ログファイルの完全性を検証することができる。
【発明を実施するための最良の形態】
【００１３】
本発明に係る医用装置、監査ログファイル出力システムおよび監査ログファイル出力プログラムの実施の形態について添付図面を参照して説明する。
【００１４】
図１は本発明に係る医用装置の実施の形態を示す機能ブロック図である。
【００１５】
医用装置１は、操作端末２およびメディア保存部３を備え、監査ログファイル出力システム４が搭載される。尚、医用装置１としては、超音波診断装置、Ｘ線ＣＴ装置、ＭＲＩ等の画像診断装置や検体装置並びにＨＩＳ，ＲＩＳ、ＰＡＣＳ等の医用情報システムとすることが可能であり、医用装置１に応じた機能を備えるための構成要素が設けられるが、ここでは省略する。操作端末２には、情報を入力して操作するための入力装置５および表示装置６が設けられる。
【００１６】
また、メディア保存部３は、監査ログファイル出力システム４から受けた情報を外部メディア７に出力する機能を有する。外部メディア７は、書き込み可能な記憶媒体であり、具体例としてＵＳＢ（Universal Serial Bus）（登録商標）メモリ、ＩＣ（Integrated Circuit）カード、ＣＤ（Compact Disc）、ＤＶＤ（Digital Versatile Disc）、ＨＤＤ（Hard Disk Drive）等の記憶媒体が挙げられる。そして、外部メディア７に保存された情報はユーザ端末８に読み込ませて参照することができる。ユーザ端末８は、任意の医用装置の操作端末の他、一般のＰＣ（Personal Computer）を用いることもできる。
【００１７】
監査ログファイル出力システム４は、例えばコンピュータに監査ログファイル出力プログラムを読み込ませて構築することができるが、監査ログファイル出力システム４の全部または一部を回路により構築してもよい。そして、監査ログファイル出力システム４には、医用装置１における監査ログファイルを作成して外部メディア７に出力する機能が備えられる。そのために監査ログファイル出力システム４は、操作データ収集部９、監査ログファイル作成部１０、監査ログ記憶部１１およびバックアップ制御部１２を具備している。
【００１８】
操作データ収集部９は、ユーザによる入力装置５の操作情報を収集する機能と、収集した操作情報を監査ログファイル作成部１０に逐一与える機能を有する。
【００１９】
監査ログファイル作成部１０は、操作データ収集部９から受けた一定期間のまたは一定の容量の操作情報から監査ログファイルを作成する機能と、作成した監査ログファイルを監査ログ記憶部１１に書き込んで保存させる機能を有する。例えば、監査ログファイルには、ハッシュ関数を使った演算により操作情報から生成された特徴的なパターンを有する固定長のメッセージダイジェストが完全性の検証のために付加される。
【００２０】
そこで、監査ログファイル作成部１０は、例えば操作データ記録部１０ａとメッセージダイジェスト付加部１０ｂとを備えて構成することができる。この場合、操作データ記録部１０ａには、操作データ収集部９から操作情報を取得して記録する機能が備えられ、メッセージダイジェスト付加部１０ｂには、操作データ記録部１０ａから一定期間のまたは一定の容量の操作情報を読み込んでメッセージダイジェストを付加することにより監査ログファイルを作成する機能が備えられる。
【００２１】
メッセージダイジェストは、ある一定期間の操作データをまとめた１つの監査ログファイルに対して１つ付加されるだけでなく、入力装置５の１つ１つの各操作データや、１日分の操作データ、一週間分の操作データというように、１つの監査ログファイル内の操作データを複数の任意の大きさの単位に区切って、各単位それぞれに対して付加することも可能である。これにより、例えば監査ログファイル内の操作データのある一部分の内容が改竄された場合に、改竄がどのタイミングでなされたものかを特定することが可能となり、さらに同一の監査ログファイル内で改竄の影響を受けていない部分の操作データについては問題なく扱うことができる。
【００２２】
ただし、監査ログファイルを作成する際、ハッシュ関数を用いてメッセージダイジェストを作成するという手段に限らず、例えばチェックサムやデジタルタイムスタンプといったファイルの完全性の確認を目的とする同等の他の代替手法を用いて監査ログファイルの完全性を検証するための任意の監査ログ完全性検証情報を作成するように監査ログファイル作成部１０を構成することができる。
【００２３】
また、必要に応じて監査ログファイルの所望の部位を暗号化することができる。例えば、本文の暗号化したり、本文中に書き込まれた時刻情報等の一部の内容を隠蔽することもできる。これにより、監査ログファイルの改竄の危険性を低減することができる。
【００２４】
監査ログ記憶部１１は、監査ログファイル作成部１０において作成された監査ログファイルを監査ログ完全性検証情報とともに保存する機能を有する。
【００２５】
バックアップ制御部１２は、監査ログファイルの外部メディア７への出力要求を入力装置５から受けた場合に、監査ログ記憶部１１に保存されている監査ログファイルの一覧をリスト情報として表示装置６に与えて表示させる一方、外部メディア７に出力すべき監査ログファイルの指示を入力装置５から受ける機能と、入力装置５の操作により指定された監査ログファイルを監査ログ記憶部１１から取得してメッセージダイジェスト等の監査ログ完全性検証情報の確認により監査ログファイル並びに各操作データの完全性を検証し、完全性が確認された場合には取得した監査ログファイルの完全性を確認した旨の完全性検証情報を作成して監査ログファイルとともにメディア保存部３に与える機能を有する。
【００２６】
一方で、逆にメッセージダイジェスト等の監査ログ完全性検証情報の確認により、監査ログファイル並びに操作データの完全性が確認できなかった場合には、前記したとおり、該当する監査ログファイル内の操作データ並びに該当する期間および操作を特定することができる。例えば、入力装置５からの１つ１つの操作データに対してメッセージダイジェストを逐一付加した場合、どの操作データが改竄されたものであるかが特定可能である。同様に、１日分の操作データに対してメッセージダイジェストを逐一付加した場合、データ改竄の疑いがある期間(ここでは該当する１日分の操作データ)が特定できる。
【００２７】
そこで、バックアップ制御部１２には、監査ログファイル並びに操作データの完全性が確認できなかった場合には、該当する監査ログファイル並びに該当する期間および操作を特定する機能と、特定した監査ログファイル並びに期間および操作に関する情報を表示装置６に与えて表示させることによりユーザへ通知する機能を備えることもできる。
【００２８】
さらに、監査ログファイル内の完全性が確認できなかった部分について、「完全性を確認できなかった」旨のメッセージを監査ログファイルに付加したり、完全性が確認できなかった監査ログファイルを完全性が確認できた監査ログファイルから識別できるように、監査ログファイルのファイル名を通常とは異なる特別なファイル名に変更するといった処理を行えるようにバックアップ制御部１２を構成することができる。つまり、バックアップ制御部１２に、完全性が確認できなかった監査ログファイルに対して、完全性が確認できなかった旨を示す情報を付加する機能を設けることができる。
【００２９】
そして、監査ログファイルにメッセージダイジェストが付加されている場合には、監査ログファイルの完全性検証処理の後、監査ログファイルの生成の際に用いた秘密の同一または別の文字列を用いて再びハッシュ関数を適用することにより作成された同一または別のメッセージダイジェストを利用して監査ログファイルに対する完全性の検証が可能な完全性検証情報を作成することができる。
【００３０】
このようにバックアップ制御部１２は、監査ログファイルの完全性を確認するための完全性検証情報を作成する機能を有する。そして、このようなバックアップ制御部１２は、監査ログファイルを外部メディア７に出力するためのバックアップアプリケーションとしてコンピュータ上に実装することができる。
【００３１】
尚、監査ログファイルの所望の部位が暗号化された場合には、バックアップ制御部１２（バックアップアプリケーション）には、暗号化された部位を解読する機能が具備される。
【００３２】
ここで、バックアップ制御部１２により作成される完全性検証情報は、ファイル形式で作成された確認用アプリケーション（ソフトウェア）とすることができる。確認用アプリケーションは、単一の外部メディア７に複数の監査ログファイルが出力される場合には、共通に１つ作成され、各監査ログファイルの完全性を確認するための各種機能を設けることが可能である。例えばユーザ端末８に確認用アプリケーション１３を読み込ませた場合に、ユーザ端末８を監査ログファイル構成確認部１４および監査ログファイル完全性確認部１５として機能させることができる。ただし、ユーザ端末８は医用装置１と同様に入力装置８ａおよび表示装置８ｂを備え、医用装置１の操作端末２に相当する機能を具備しているものとする。
【００３３】
この場合、監査ログファイル構成確認部１４は、同一の外部メディア７内に保存された監査ログファイルのファイル構成に抜けがないか否かを判定し、ファイル構成に抜けがあると判定された場合には、その旨をユーザに通知するための情報を作成する機能を有し、監査ログファイル完全性確認部１５は、同一の外部メディア７内に保存された監査ログファイルの完全性をメッセージダイジェストの確認により検証し、完全性が確認できなかった監査ログファイルをユーザに通知するための情報を作成する機能を有する。
【００３４】
尚、監査ログファイルの所望の部位が暗号化された場合には、確認用アプリケーション１３（監査ログファイル完全性確認部１５）には、暗号化された部位を解読して完全性を確認したり、本文を表示させたりする機能が具備される。
【００３５】
このためメディア保存部３からは、バックアップ制御部１２から与えられた監査ログファイルおよび完全性検証情報を外部メディア７に出力することができる。
【００３６】
次に医用装置１の作用について説明する。
【００３７】
図２は、図１に示す医用装置１において監査ログを生成し、生成された監査ログを外部メディア７に出力する際の流れを示すフローチャートであり、図中Ｓに数字を付した符号はフローチャートの各ステップを示す。
【００３８】
まずステップＳ１において、ユーザが入力装置５を操作し、医用装置１を操作すると、操作データ収集部９は操作情報として収集して順次監査ログファイル作成部１０に与える。
【００３９】
次に、ステップＳ２において、監査ログファイル作成部１０は、操作データ収集部９から受けた一定期間のまたは一定の容量の各操作情報から監査ログファイルを作成し、作成した監査ログファイルを監査ログ記憶部１１に書き込んで保存させる。このため、監査ログ記憶部１１には、監査ログファイル作成部１０において作成された監査ログファイルが、ある一定期間ごと、またはある一定の容量ごとに分割して保存される。
【００４０】
図３は、図１に示す医用装置１の監査ログファイル作成部１０により監査ログファイルを作成する際の詳細手順例を示すフローチャートであり、図中Ｓに数字を付した符号はフローチャートの各ステップを示す。
【００４１】
まずステップＳ１１において、監査ログファイル作成部１０は、監査ログ作業用ファイルを生成し、生成した監査ログ作業用ファイルに操作データ収集部９から順次受け渡された時系列の操作情報を一定の期間または容量で区切って書き込む。
【００４２】
次に、ステップＳ１２において、監査ログファイル作成部１０は、データの完全性を確認するための情報を監査ログ作業用ファイルに付加する。具体的には、監査ログ作業用ファイルの内容に対してある秘密の文字列でハッシュコードを生成して、操作情報の本文に付帯させる。すなわち、あるハッシュ関数を適用してメッセージダイジェストを生成し、監査ログ作業用ファイルに監査ログ完全性検証情報として付加する。
【００４３】
次に、ステップＳ１３において、監査ログファイル作成部１０は、生成した監査ログ作業用ファイルの内容が監査ログであることを容易に判断されないように、拡張子を変更して監査ログファイルとして生成する。このとき必要に応じて、監査ログファイルの本文は暗号化される。
【００４４】
そして、このように生成された監査ログファイルは、監査ログ記憶部１１に書き込まれて保存される。さらに、ユーザは、バックアップアプリケーションを起動して、監査ログ記憶部１１に保存された監査ログファイルを外部メディア７に保存することができる。
【００４５】
すなわち、図２のステップＳ３において、バックアップアプリケーションが起動されるとバックアップ制御部１２は、入力装置５から指定された監査ログファイルの完全性を検証し、完全性を有する旨の確認が取れた場合には確認用アプリケーション１３とともに監査ログファイルをメディア保存部３へ受け渡す。
【００４６】
図４は、図１に示す医用装置１のバックアップ制御部１２により監査ログファイルの完全性を確認し、確認用アプリケーション１３とともに外部メディア７に出力させる際の詳細手順例を示すフローチャートであり、図中Ｓに数字を付した符号はフローチャートの各ステップを示す。
【００４７】
まずステップＳ２１において、バックアップ制御部１２は、入力装置５から監査ログファイルの外部メディア７への出力要求を受けると、監査ログ記憶部１１から監査ログファイルをロードする。
【００４８】
次に、ステップＳ２２において、バックアップ制御部１２は、監査ログ記憶部１１からロードした監査ログファイルの一覧をリスト情報として表示装置６に与えて表示させる。このため、表示装置６には、外部メディア７に保存すべき監査ログファイルの選択画面が表示される。
【００４９】
次に、ステップＳ２３において、バックアップ制御部１２は、外部メディア７に保存すべき監査ログファイルの指示の有無を判定する。そして、外部メディア７に保存すべき監査ログファイルの指示が入力装置５から入力されなかった場合には、処理を終了させる。
【００５０】
ユーザが入力装置５から外部メディア７に保存する監査ログファイルを選択し、外部メディア７に保存すべき監査ログファイルの指示がバックアップ制御部１２に与えられた場合には、ステップＳ２４において、バックアップ制御部１２は、選択された各監査ログファイルに対してメッセージダイジェストを確認することにより情報の完全性を検証した上で、選択された全ての監査ログファイルの完全性が確認できたか否かを判定する。
【００５１】
そして、完全性が確認できなかった監査ログファイルが存在する場合には、ステップＳ２５において、バックアップ制御部１２は、完全性が確認できなかった監査ログファイルのリストを表示装置６に与える。さらに、バックアップ制御部１２は、完全性の確認できなかった監査ログファイル内に記録された操作データのどの期間またはどの操作に対して完全性が確認できなかったのかを特定し、得られた結果を表示装置６に与えてユーザに通知する。
【００５２】
このとき、完全性が確認できなかった部分に対して「完全性が確認できなかった」旨のメッセージを監査ログファイルに付加する。
【００５３】
次に、ステップＳ２６において、バックアップ制御部１２は、完全性が確認できなかった当該監査ログファイルを外部メディア７へ出力するかどうかをユーザに選択させるための画面情報を表示装置６に与えて表示させる。そして、ユーザは、入力装置５の操作により保存の可否を選択指示することができる。さらに、バックアップ制御部１２は、入力装置５の操作情報を受けて完全性の確認できている監査ログファイルの部分について外部メディア７に保存するか否かの判定を行う。
【００５４】
そして、完全性の確認できている監査ログファイルの部分を外部メディア７に保存することをユーザが希望しない場合には、再びステップＳ２２において、監査ログファイルの選択画面が表示装置６に表示され、入力装置５からの選択指示の受付け状態となる。
【００５５】
一方、ステップＳ２６において、完全性の確認できている監査ログファイルの部分を外部メディア７に保存すると判定された場合や、あるいはステップＳ２４において完全性が確認できなかった監査ログファイルが存在しないと判定された場合には、ステップＳ２７において、バックアップ制御部１２が監査ログファイルの完全性を確認するための確認用アプリケーション１３を生成する。この確認用アプリケーション１３は、監査ログファイル作成部１０が監査ログファイルの生成の際に使用したハッシュコードを確認するものであり、監査ログファイルの生成の際に用いた秘密の文字列と同一の文字列を使用して生成することができる。
【００５６】
次に、ステップＳ２８において、バックアップ制御部１２は、完全性の確認がとれた各監査ログファイルを確認用アプリケーション１３とともにメディア保存部３に与える。このため、メディア保存部３は、バックアップ制御部１２から渡される監査ログファイルと確認用アプリケーション１３を外部メディア７へ保存する。すなわち、メディア保存部３から各監査ログファイルおよび確認用アプリケーション１３が外部メディア７に書き込まれる。
【００５７】
尚、ある１つの外部メディア７内に保存される各監査ログファイルは共通のハッシュ関数によって生成されているため、各監査ログファイルの完全性の確認用の確認用アプリケーション１３も１つのメディアに対して１つ共通に生成されることとなる。逆に言えば、単一の外部メディア７内に複数の監査ログファイルを保存する場合には、ハッシュ関数が共通である必要があり、確認用アプリケーション１３は１メディアに対してひとつ生成される。
【００５８】
そして、ユーザは、外部メディア７に例えばバックアップ用に監査ログファイルを保存し、所望の時期に外部メディア７に保存された監査ログファイルを参照することができる。
【００５９】
外部メディア７から監査ログファイルを参照する場合には、図２のステップＳ４において、外部メディア７内に保存された監査ログファイルおよび確認用アプリケーション１３がユーザ端末８に読み込まれる。そして、確認用アプリケーション１３がユーザ端末８上で起動される。
【００６０】
図５は、図１に示すユーザ端末８において、外部メディア７から入力した確認用アプリケーション１３を起動して監査ログファイルを参照する際の詳細手順例を示すフローチャートであり、図中Ｓに数字を付した符号はフローチャートの各ステップを示す。
【００６１】
まずステップＳ３１において、外部メディア７内に保存された確認用アプリケーション１３がユーザ端末８上で起動される。そうすると、ユーザ端末８は監査ログファイル構成確認部１４および監査ログファイル完全性確認部１５として機能する。
【００６２】
次に、ステップＳ３２において、外部メディア７内における監査ログファイルのファイル構成が監査ログファイル構成確認部１４により確認される。すなわち監査ログファイル構成確認部１４は、同一の外部メディア７内に保存された監査ログファイルのファイル構成に抜けがないか否か、すなわち監査ログファイルが欠落しているか否かを判定する。
【００６３】
そして、監査ログファイルのファイル構成に抜けがあると判定された場合には、ステップＳ３３において、監査ログファイル構成確認部１４がファイル構成に抜けがある旨をユーザに通知するための情報を作成し、ユーザ端末８の画面に表示させる。
【００６４】
さらに、監査ログファイルのファイル構成に抜けがあると判定されなかった場合または監査ログファイルのファイル構成に抜けがある旨の表示後、ユーザ端末８は参照すべき監査ログファイルの選択待ち受け状態となる。
【００６５】
次に、ステップＳ３４において、ユーザ端末８の操作により参照すべき監査ログファイルの選択情報を受けた場合には、監査ログファイル完全性確認部１５は、選択された監査ログファイルを外部メディア７からロードする。
【００６６】
次に、ステップＳ３５において、監査ログファイル完全性確認部１５は、外部メディア７からロードされた参照すべき目的の監査ログファイルの完全性を、メッセージダイジェストを確認することにより検証し、監査ログファイルの完全性が確認できたか否かを判定する。
【００６７】
そして、監査ログファイルの完全性が確認できなかった場合には、ステップＳ３６において、完全性が確認できなかった監査ログファイルをユーザに通知するための情報を監査ログファイル完全性確認部１５が作成する。このため、完全性が確認できなかった監査ログファイルがユーザ端末８の画面に表示され、ユーザ端末８は参照すべき監査ログファイルの選択待ち受け状態となる。
【００６８】
一方、監査ログファイルの完全性が確認できた場合には、ステップＳ３７において、選択された監査ログファイルがユーザ端末８の画面に表示される。
【００６９】
このような確認用アプリケーション１３によりユーザはユーザ端末８を介して外部メディア７内に保存された監査ログファイルのファイル数を確認してファイル構成に抜けがないかを検証することができる。さらに、外部メディア７内の各監査ログファイルに対してメッセージダイジェストを確認し、確認の取れなかった監査ログファイルについては、破壊もしくは改竄があったと判断することができる。
【００７０】
図６は、図１に示す医用装置１における監査ログファイルの作成から外部メディア７を介した監査ログファイルの参照までの全体の流れを示す概念図である。
【００７１】
医用装置１において監査ログファイル作成部１０は、操作データから監査ログ作業用ファイルを作成し、ログファイル作成関数（ハッシュ関数）によりハッシュコードを生成する。この結果、本文である操作データにダイジェストメッセージが付帯された監査ログファイルが生成される。
【００７２】
そして、監査ログファイルは、医用装置１内の監査ログ記憶部１１に保存されるが、ユーザが操作端末２の操作によりバックアップアプリケーションを起動して外部メディア７にバックアップする監査ログファイルを選択すると、選択された各監査ログファイルのダイジェストメッセージがバックアップ制御部１２（バックアップアプリケーション）によって確認されて各監査ログファイルの完全性の検証が行われる。
【００７３】
次に、バックアップアプリケーションは、完全性が確認された各監査ログファイルに共通のハッシュコードチェック用の確認用アプリケーション１３を作成して、各監査ログファイルとともに外部メディア７に出力させる。
【００７４】
このため、外部メディア７には、本文とダイジェストメッセージとで構成される単一または複数の監査ログファイルと、１つのハッシュコードチェック用の確認用アプリケーション１３が保存される。そして、ユーザはユーザ端末８において、外部メディア７に保存された確認用アプリケーション１３を起動して、各監査ログファイルの完全性の検証を行った上で参照することができる。
【００７５】
つまり、以上のような医用装置１は、監査ログファイルを外部メディア７に出力する際に、監査ログファイルの完全性を確認したうえで完全性の確認用アプリケーション１３を生成し、完全性の確認対象となる監査ログファイルとともに確認用アプリケーション１３が外部メディア７に保存されるようにしたものである。
【００７６】
このため、医用装置１によれば、ある一定期間後に外部メディア７内に保存された監査ログファイルを参照する場合であっても、同一の外部メディア７内に保存された確認用アプリケーション１３を使用することで、外部出力された監査ログファイルが医用装置１において保存された状態を維持しているかどうかを検証することができる。すなわち、監査ログファイルの外部メディア７内への保存時から監査ログファイルの参照時までの期間に情報が破壊または改竄されていないかどうかを確認することができる。
【００７７】
また、外部メディア７内に保存される監査ログファイルが複数であっても外部メディア７内に保存される確認用アプリケーション１３は１つであり、共通の確認用アプリケーション１３によって外部メディア７内における全ての監査ログファイルの完全性の確認処理が行われる。このため、監査ログファイルの完全性の検証だけでなく、外部メディア７内に保存された監査ログファイルのファイル構成（ファイル数）も確認することができる。
【図面の簡単な説明】
【００７８】
【図１】本発明に係る医用装置の実施の形態を示す機能ブロック図。
【図２】図１に示す医用装置において監査ログを生成し、生成された監査ログを外部メディアに出力する際の流れを示すフローチャート。
【図３】図１に示す医用装置の監査ログファイル作成部により監査ログファイルを作成する際の詳細手順例を示すフローチャート。
【図４】図１に示す医用装置のバックアップ制御部により監査ログファイルの完全性を確認し、確認用アプリケーションとともに外部メディアに出力させる際の詳細手順例を示すフローチャート。
【図５】図１に示すユーザ端末において、外部メディアから入力した確認用アプリケーションを起動して監査ログファイルを参照する際の詳細手順例を示すフローチャート。
【図６】図１に示す医用装置における監査ログファイルの作成から外部メディアを介した監査ログファイルの参照までの全体の流れを示す概念図。
【符号の説明】
【００７９】
１ 医用装置
２ 操作端末
３ メディア保存部
４ 監査ログファイル出力システム
５ 入力装置
６ 表示装置
７ 外部メディア
８ ユーザ端末
８ａ 入力装置
８ｂ 表示装置
９ 操作データ収集部
１０ 監査ログファイル作成部
１０ａ 操作データ記録部
１０ｂ メッセージダイジェスト付加部
１１ 監査ログ記憶部
１２ バックアップ制御部
１３ 確認用アプリケーション
１４ 監査ログファイル構成確認部
１５ 監査ログファイル完全性確認部
【技術分野】
【０００１】
本発明は、監査ログを記録することにより患者情報等の個人情報のセキュリティを管理する機能を備えた医用装置、監査ログファイル出力システムおよび監査ログファイル出力プログラムに係り、特に外部メディアに出力される監査ログファイルの完全性を検証することが可能な医用装置、監査ログファイル出力システムおよび監査ログファイル出力プログラムに関する。
【背景技術】
【０００２】
従来、超音波診断装置、Ｘ線ＣＴ（ｃｏｍｐｕｔｅｄ ｔｏｍｏｇｒａｐｈｙ）装置、ＭＲＩ（ｍａｇｎｅｔｉｃ ｒｅｓｏｎａｎｃｅ ｉｍａｇｉｎｇ）等の画像診断装置やＨＩＳ（ｈｏｓｐｉｔａｌ ｉｎｆｏｒｍａｔｉｏｎ ｓｙｓｔｅｍ），ＲＩＳ（ｒａｄｉｏｌｏｇｙ ｉｎｆｏｒｍａｔｉｏｎ ｓｙｓｔｅｍ）、ＰＡＣＳ（ｐｉｃｔｕｒｅ ａｒｃｈｉｖｉｎｇ ａｎｄ ｃｏｍｍｕｎｉｃａｔｉｏｎ ｓｙｓｔｅｍ）等の医用情報システムといった医用装置においては、病院等の各医療機関が定めるセキュリティポリシーやプライバシーポリシーに従って、患者情報の保護を実現するために操作の監査ログが記録されている。
【０００３】
監査ログには、医用装置に対する設定の変更、患者情報等の個人情報に対するアクセスあるいはログイン／ログオフ操作に関する情報等の詳細な情報が記録される。このような監査ログには、医用装置内におけるデータの完全性を確保するために、すなわちデータが正しいことを証明するためにメッセージダイジェストを作成する技術が用いられている（例えば非特許文献１参照）。この技術では、ハッシュ関数を使った演算によりデータから特徴的なパターンを有する固定長のメッセージダイジェストが生成され、生成されたメッセージダイジェストは必要に応じて暗号化されて完全性検査に利用される。
【０００４】
そして、医用装置において生成された監査ログファイルはある一定期間またはある一定容量ごとに医用装置内に保存されるが、適宜、バックアップのために外部メディアや記憶装置に出力されて管理される。そして、セキュリティ管理者により、監査ログファイルを用いて個人情報に対する不正アクセスの有無が監査される。
【０００５】
また、近年では、監査ログを解析する手段の１つとして、ログ解析ソフトが市販されている（例えば非特許文献２および非特許文献３）。
【非特許文献１】デジタル用語辞典２００１−２００２年版、９３６頁、日系ＢＰ社出版局
【非特許文献２】ＢＯＭ（登録商標） ｆｏｒ Ｗｉｎｄｏｗｓ（登録商標）、[ｏｎｌｉｎｅ]，セイ・テクノロジーズ株式会社（ＳＡＹ Ｔｅｃｈｎｏｌｏｇｉｅｓ） 製品情報、[平成１６年１２月１０日検索]、インターネット＜ＵＲＬ：http://www.say-tech.co.jp/product/01.html＞
【非特許文献３】監視ソリューション、Ｗｉｎｄｏｗｓ（登録商標）サーバー、[ｏｎｌｉｎｅ]，セイ・テクノロジーズ株式会社（ＳＡＹ Ｔｅｃｈｎｏｌｏｇｉｅｓ）、[平成１６年１２月１０日検索]、インターネット＜ＵＲＬ：http://www.say-tech.co.jp/sol/01.html＞
【発明の開示】
【発明が解決しようとする課題】
【０００６】
しかしながら、従来の医用装置におけるセキュリティ管理技術では、監査ログを外部メディアに保存する際に、予め医用装置内において保存された監査ログファイルが変更を加えることなく直接をそのまま外部メディアに出力される。このため、一定時間経過後にある外部メディア内の監査ログファイルを参照した場合に、監査ログファイルの完全性を確認することができないという問題がある。
【０００７】
例えば医用装置において生成された時の監査ログファイルが何らかの影響で破壊されていた場合や、第三者によって改竄されていたとしてもそのような事実を検知することができない。つまり外部メディアに保存された監査ログファイルがオリジナルのものであるかどうかを確認することができない。
【０００８】
本発明はかかる従来の事情に対処するためになされたものであり、外部出力された監査ログファイルの完全性を検証することが可能な医用装置、監査ログファイル出力システムおよび監査ログファイル出力プログラムを提供することを目的とする。
【課題を解決するための手段】
【０００９】
本発明に係る医用装置は、上述の目的を達成するために、請求項１に記載したように、入力装置による操作の監査ログファイルを作成する監査ログファイル作成部と、前記監査ログファイルを保存する監査ログ記憶部と、前記監査ログファイルを外部メディアへ出力するためのメディア保存部と、前記監査ログ記憶部から取得した前記監査ログファイルを前記外部メディアへ出力した場合に前記監査ログファイルの完全性を検証するための完全性検証情報を作成し、前記メディア保存部に前記監査ログ記憶部から取得した前記監査ログファイルおよび前記完全性検証情報を与えるバックアップ制御部とを有することを特徴とするものである。
【００１０】
また、本発明に係る監査ログファイル出力システムは、上述の目的を達成するために、請求項１１に記載したように、入力装置による操作の監査ログファイルを作成する監査ログファイル作成部と、前記監査ログファイルを保存する監査ログ記憶部と、前記監査ログ記憶部から取得した前記監査ログファイルを外部メディアへ出力した場合に前記監査ログファイルの完全性を検証するための完全性検証情報を作成し、前記監査ログファイルを前記外部メディアへ出力するためのメディア保存部に前記監査ログ記憶部から取得した前記監査ログファイルおよび前記完全性検証情報を与えるバックアップ制御部とを有することを特徴とするものである。
【００１１】
また、本発明に係る監査ログファイル出力プログラムは、上述の目的を達成するために、請求項１２に記載したように、コンピュータを、入力装置による操作の監査ログファイルを作成する監査ログファイル作成部、前記監査ログファイルを保存する監査ログ記憶部および前記監査ログ記憶部から取得した前記監査ログファイルを外部メディアへ出力した場合に前記監査ログファイルの完全性を検証するための完全性検証情報を作成し、前記監査ログファイルを前記外部メディアへ出力するためのメディア保存部に前記監査ログ記憶部から取得した前記監査ログファイルおよび前記完全性検証情報を与えるバックアップ制御部として機能させることを特徴とするものである。
【発明の効果】
【００１２】
本発明に係る医用装置、監査ログファイル出力システムおよび監査ログファイル出力プログラムにおいては、外部出力された監査ログファイルの完全性を検証することができる。
【発明を実施するための最良の形態】
【００１３】
本発明に係る医用装置、監査ログファイル出力システムおよび監査ログファイル出力プログラムの実施の形態について添付図面を参照して説明する。
【００１４】
図１は本発明に係る医用装置の実施の形態を示す機能ブロック図である。
【００１５】
医用装置１は、操作端末２およびメディア保存部３を備え、監査ログファイル出力システム４が搭載される。尚、医用装置１としては、超音波診断装置、Ｘ線ＣＴ装置、ＭＲＩ等の画像診断装置や検体装置並びにＨＩＳ，ＲＩＳ、ＰＡＣＳ等の医用情報システムとすることが可能であり、医用装置１に応じた機能を備えるための構成要素が設けられるが、ここでは省略する。操作端末２には、情報を入力して操作するための入力装置５および表示装置６が設けられる。
【００１６】
また、メディア保存部３は、監査ログファイル出力システム４から受けた情報を外部メディア７に出力する機能を有する。外部メディア７は、書き込み可能な記憶媒体であり、具体例としてＵＳＢ（Universal Serial Bus）（登録商標）メモリ、ＩＣ（Integrated Circuit）カード、ＣＤ（Compact Disc）、ＤＶＤ（Digital Versatile Disc）、ＨＤＤ（Hard Disk Drive）等の記憶媒体が挙げられる。そして、外部メディア７に保存された情報はユーザ端末８に読み込ませて参照することができる。ユーザ端末８は、任意の医用装置の操作端末の他、一般のＰＣ（Personal Computer）を用いることもできる。
【００１７】
監査ログファイル出力システム４は、例えばコンピュータに監査ログファイル出力プログラムを読み込ませて構築することができるが、監査ログファイル出力システム４の全部または一部を回路により構築してもよい。そして、監査ログファイル出力システム４には、医用装置１における監査ログファイルを作成して外部メディア７に出力する機能が備えられる。そのために監査ログファイル出力システム４は、操作データ収集部９、監査ログファイル作成部１０、監査ログ記憶部１１およびバックアップ制御部１２を具備している。
【００１８】
操作データ収集部９は、ユーザによる入力装置５の操作情報を収集する機能と、収集した操作情報を監査ログファイル作成部１０に逐一与える機能を有する。
【００１９】
監査ログファイル作成部１０は、操作データ収集部９から受けた一定期間のまたは一定の容量の操作情報から監査ログファイルを作成する機能と、作成した監査ログファイルを監査ログ記憶部１１に書き込んで保存させる機能を有する。例えば、監査ログファイルには、ハッシュ関数を使った演算により操作情報から生成された特徴的なパターンを有する固定長のメッセージダイジェストが完全性の検証のために付加される。
【００２０】
そこで、監査ログファイル作成部１０は、例えば操作データ記録部１０ａとメッセージダイジェスト付加部１０ｂとを備えて構成することができる。この場合、操作データ記録部１０ａには、操作データ収集部９から操作情報を取得して記録する機能が備えられ、メッセージダイジェスト付加部１０ｂには、操作データ記録部１０ａから一定期間のまたは一定の容量の操作情報を読み込んでメッセージダイジェストを付加することにより監査ログファイルを作成する機能が備えられる。
【００２１】
メッセージダイジェストは、ある一定期間の操作データをまとめた１つの監査ログファイルに対して１つ付加されるだけでなく、入力装置５の１つ１つの各操作データや、１日分の操作データ、一週間分の操作データというように、１つの監査ログファイル内の操作データを複数の任意の大きさの単位に区切って、各単位それぞれに対して付加することも可能である。これにより、例えば監査ログファイル内の操作データのある一部分の内容が改竄された場合に、改竄がどのタイミングでなされたものかを特定することが可能となり、さらに同一の監査ログファイル内で改竄の影響を受けていない部分の操作データについては問題なく扱うことができる。
【００２２】
ただし、監査ログファイルを作成する際、ハッシュ関数を用いてメッセージダイジェストを作成するという手段に限らず、例えばチェックサムやデジタルタイムスタンプといったファイルの完全性の確認を目的とする同等の他の代替手法を用いて監査ログファイルの完全性を検証するための任意の監査ログ完全性検証情報を作成するように監査ログファイル作成部１０を構成することができる。
【００２３】
また、必要に応じて監査ログファイルの所望の部位を暗号化することができる。例えば、本文の暗号化したり、本文中に書き込まれた時刻情報等の一部の内容を隠蔽することもできる。これにより、監査ログファイルの改竄の危険性を低減することができる。
【００２４】
監査ログ記憶部１１は、監査ログファイル作成部１０において作成された監査ログファイルを監査ログ完全性検証情報とともに保存する機能を有する。
【００２５】
バックアップ制御部１２は、監査ログファイルの外部メディア７への出力要求を入力装置５から受けた場合に、監査ログ記憶部１１に保存されている監査ログファイルの一覧をリスト情報として表示装置６に与えて表示させる一方、外部メディア７に出力すべき監査ログファイルの指示を入力装置５から受ける機能と、入力装置５の操作により指定された監査ログファイルを監査ログ記憶部１１から取得してメッセージダイジェスト等の監査ログ完全性検証情報の確認により監査ログファイル並びに各操作データの完全性を検証し、完全性が確認された場合には取得した監査ログファイルの完全性を確認した旨の完全性検証情報を作成して監査ログファイルとともにメディア保存部３に与える機能を有する。
【００２６】
一方で、逆にメッセージダイジェスト等の監査ログ完全性検証情報の確認により、監査ログファイル並びに操作データの完全性が確認できなかった場合には、前記したとおり、該当する監査ログファイル内の操作データ並びに該当する期間および操作を特定することができる。例えば、入力装置５からの１つ１つの操作データに対してメッセージダイジェストを逐一付加した場合、どの操作データが改竄されたものであるかが特定可能である。同様に、１日分の操作データに対してメッセージダイジェストを逐一付加した場合、データ改竄の疑いがある期間(ここでは該当する１日分の操作データ)が特定できる。
【００２７】
そこで、バックアップ制御部１２には、監査ログファイル並びに操作データの完全性が確認できなかった場合には、該当する監査ログファイル並びに該当する期間および操作を特定する機能と、特定した監査ログファイル並びに期間および操作に関する情報を表示装置６に与えて表示させることによりユーザへ通知する機能を備えることもできる。
【００２８】
さらに、監査ログファイル内の完全性が確認できなかった部分について、「完全性を確認できなかった」旨のメッセージを監査ログファイルに付加したり、完全性が確認できなかった監査ログファイルを完全性が確認できた監査ログファイルから識別できるように、監査ログファイルのファイル名を通常とは異なる特別なファイル名に変更するといった処理を行えるようにバックアップ制御部１２を構成することができる。つまり、バックアップ制御部１２に、完全性が確認できなかった監査ログファイルに対して、完全性が確認できなかった旨を示す情報を付加する機能を設けることができる。
【００２９】
そして、監査ログファイルにメッセージダイジェストが付加されている場合には、監査ログファイルの完全性検証処理の後、監査ログファイルの生成の際に用いた秘密の同一または別の文字列を用いて再びハッシュ関数を適用することにより作成された同一または別のメッセージダイジェストを利用して監査ログファイルに対する完全性の検証が可能な完全性検証情報を作成することができる。
【００３０】
このようにバックアップ制御部１２は、監査ログファイルの完全性を確認するための完全性検証情報を作成する機能を有する。そして、このようなバックアップ制御部１２は、監査ログファイルを外部メディア７に出力するためのバックアップアプリケーションとしてコンピュータ上に実装することができる。
【００３１】
尚、監査ログファイルの所望の部位が暗号化された場合には、バックアップ制御部１２（バックアップアプリケーション）には、暗号化された部位を解読する機能が具備される。
【００３２】
ここで、バックアップ制御部１２により作成される完全性検証情報は、ファイル形式で作成された確認用アプリケーション（ソフトウェア）とすることができる。確認用アプリケーションは、単一の外部メディア７に複数の監査ログファイルが出力される場合には、共通に１つ作成され、各監査ログファイルの完全性を確認するための各種機能を設けることが可能である。例えばユーザ端末８に確認用アプリケーション１３を読み込ませた場合に、ユーザ端末８を監査ログファイル構成確認部１４および監査ログファイル完全性確認部１５として機能させることができる。ただし、ユーザ端末８は医用装置１と同様に入力装置８ａおよび表示装置８ｂを備え、医用装置１の操作端末２に相当する機能を具備しているものとする。
【００３３】
この場合、監査ログファイル構成確認部１４は、同一の外部メディア７内に保存された監査ログファイルのファイル構成に抜けがないか否かを判定し、ファイル構成に抜けがあると判定された場合には、その旨をユーザに通知するための情報を作成する機能を有し、監査ログファイル完全性確認部１５は、同一の外部メディア７内に保存された監査ログファイルの完全性をメッセージダイジェストの確認により検証し、完全性が確認できなかった監査ログファイルをユーザに通知するための情報を作成する機能を有する。
【００３４】
尚、監査ログファイルの所望の部位が暗号化された場合には、確認用アプリケーション１３（監査ログファイル完全性確認部１５）には、暗号化された部位を解読して完全性を確認したり、本文を表示させたりする機能が具備される。
【００３５】
このためメディア保存部３からは、バックアップ制御部１２から与えられた監査ログファイルおよび完全性検証情報を外部メディア７に出力することができる。
【００３６】
次に医用装置１の作用について説明する。
【００３７】
図２は、図１に示す医用装置１において監査ログを生成し、生成された監査ログを外部メディア７に出力する際の流れを示すフローチャートであり、図中Ｓに数字を付した符号はフローチャートの各ステップを示す。
【００３８】
まずステップＳ１において、ユーザが入力装置５を操作し、医用装置１を操作すると、操作データ収集部９は操作情報として収集して順次監査ログファイル作成部１０に与える。
【００３９】
次に、ステップＳ２において、監査ログファイル作成部１０は、操作データ収集部９から受けた一定期間のまたは一定の容量の各操作情報から監査ログファイルを作成し、作成した監査ログファイルを監査ログ記憶部１１に書き込んで保存させる。このため、監査ログ記憶部１１には、監査ログファイル作成部１０において作成された監査ログファイルが、ある一定期間ごと、またはある一定の容量ごとに分割して保存される。
【００４０】
図３は、図１に示す医用装置１の監査ログファイル作成部１０により監査ログファイルを作成する際の詳細手順例を示すフローチャートであり、図中Ｓに数字を付した符号はフローチャートの各ステップを示す。
【００４１】
まずステップＳ１１において、監査ログファイル作成部１０は、監査ログ作業用ファイルを生成し、生成した監査ログ作業用ファイルに操作データ収集部９から順次受け渡された時系列の操作情報を一定の期間または容量で区切って書き込む。
【００４２】
次に、ステップＳ１２において、監査ログファイル作成部１０は、データの完全性を確認するための情報を監査ログ作業用ファイルに付加する。具体的には、監査ログ作業用ファイルの内容に対してある秘密の文字列でハッシュコードを生成して、操作情報の本文に付帯させる。すなわち、あるハッシュ関数を適用してメッセージダイジェストを生成し、監査ログ作業用ファイルに監査ログ完全性検証情報として付加する。
【００４３】
次に、ステップＳ１３において、監査ログファイル作成部１０は、生成した監査ログ作業用ファイルの内容が監査ログであることを容易に判断されないように、拡張子を変更して監査ログファイルとして生成する。このとき必要に応じて、監査ログファイルの本文は暗号化される。
【００４４】
そして、このように生成された監査ログファイルは、監査ログ記憶部１１に書き込まれて保存される。さらに、ユーザは、バックアップアプリケーションを起動して、監査ログ記憶部１１に保存された監査ログファイルを外部メディア７に保存することができる。
【００４５】
すなわち、図２のステップＳ３において、バックアップアプリケーションが起動されるとバックアップ制御部１２は、入力装置５から指定された監査ログファイルの完全性を検証し、完全性を有する旨の確認が取れた場合には確認用アプリケーション１３とともに監査ログファイルをメディア保存部３へ受け渡す。
【００４６】
図４は、図１に示す医用装置１のバックアップ制御部１２により監査ログファイルの完全性を確認し、確認用アプリケーション１３とともに外部メディア７に出力させる際の詳細手順例を示すフローチャートであり、図中Ｓに数字を付した符号はフローチャートの各ステップを示す。
【００４７】
まずステップＳ２１において、バックアップ制御部１２は、入力装置５から監査ログファイルの外部メディア７への出力要求を受けると、監査ログ記憶部１１から監査ログファイルをロードする。
【００４８】
次に、ステップＳ２２において、バックアップ制御部１２は、監査ログ記憶部１１からロードした監査ログファイルの一覧をリスト情報として表示装置６に与えて表示させる。このため、表示装置６には、外部メディア７に保存すべき監査ログファイルの選択画面が表示される。
【００４９】
次に、ステップＳ２３において、バックアップ制御部１２は、外部メディア７に保存すべき監査ログファイルの指示の有無を判定する。そして、外部メディア７に保存すべき監査ログファイルの指示が入力装置５から入力されなかった場合には、処理を終了させる。
【００５０】
ユーザが入力装置５から外部メディア７に保存する監査ログファイルを選択し、外部メディア７に保存すべき監査ログファイルの指示がバックアップ制御部１２に与えられた場合には、ステップＳ２４において、バックアップ制御部１２は、選択された各監査ログファイルに対してメッセージダイジェストを確認することにより情報の完全性を検証した上で、選択された全ての監査ログファイルの完全性が確認できたか否かを判定する。
【００５１】
そして、完全性が確認できなかった監査ログファイルが存在する場合には、ステップＳ２５において、バックアップ制御部１２は、完全性が確認できなかった監査ログファイルのリストを表示装置６に与える。さらに、バックアップ制御部１２は、完全性の確認できなかった監査ログファイル内に記録された操作データのどの期間またはどの操作に対して完全性が確認できなかったのかを特定し、得られた結果を表示装置６に与えてユーザに通知する。
【００５２】
このとき、完全性が確認できなかった部分に対して「完全性が確認できなかった」旨のメッセージを監査ログファイルに付加する。
【００５３】
次に、ステップＳ２６において、バックアップ制御部１２は、完全性が確認できなかった当該監査ログファイルを外部メディア７へ出力するかどうかをユーザに選択させるための画面情報を表示装置６に与えて表示させる。そして、ユーザは、入力装置５の操作により保存の可否を選択指示することができる。さらに、バックアップ制御部１２は、入力装置５の操作情報を受けて完全性の確認できている監査ログファイルの部分について外部メディア７に保存するか否かの判定を行う。
【００５４】
そして、完全性の確認できている監査ログファイルの部分を外部メディア７に保存することをユーザが希望しない場合には、再びステップＳ２２において、監査ログファイルの選択画面が表示装置６に表示され、入力装置５からの選択指示の受付け状態となる。
【００５５】
一方、ステップＳ２６において、完全性の確認できている監査ログファイルの部分を外部メディア７に保存すると判定された場合や、あるいはステップＳ２４において完全性が確認できなかった監査ログファイルが存在しないと判定された場合には、ステップＳ２７において、バックアップ制御部１２が監査ログファイルの完全性を確認するための確認用アプリケーション１３を生成する。この確認用アプリケーション１３は、監査ログファイル作成部１０が監査ログファイルの生成の際に使用したハッシュコードを確認するものであり、監査ログファイルの生成の際に用いた秘密の文字列と同一の文字列を使用して生成することができる。
【００５６】
次に、ステップＳ２８において、バックアップ制御部１２は、完全性の確認がとれた各監査ログファイルを確認用アプリケーション１３とともにメディア保存部３に与える。このため、メディア保存部３は、バックアップ制御部１２から渡される監査ログファイルと確認用アプリケーション１３を外部メディア７へ保存する。すなわち、メディア保存部３から各監査ログファイルおよび確認用アプリケーション１３が外部メディア７に書き込まれる。
【００５７】
尚、ある１つの外部メディア７内に保存される各監査ログファイルは共通のハッシュ関数によって生成されているため、各監査ログファイルの完全性の確認用の確認用アプリケーション１３も１つのメディアに対して１つ共通に生成されることとなる。逆に言えば、単一の外部メディア７内に複数の監査ログファイルを保存する場合には、ハッシュ関数が共通である必要があり、確認用アプリケーション１３は１メディアに対してひとつ生成される。
【００５８】
そして、ユーザは、外部メディア７に例えばバックアップ用に監査ログファイルを保存し、所望の時期に外部メディア７に保存された監査ログファイルを参照することができる。
【００５９】
外部メディア７から監査ログファイルを参照する場合には、図２のステップＳ４において、外部メディア７内に保存された監査ログファイルおよび確認用アプリケーション１３がユーザ端末８に読み込まれる。そして、確認用アプリケーション１３がユーザ端末８上で起動される。
【００６０】
図５は、図１に示すユーザ端末８において、外部メディア７から入力した確認用アプリケーション１３を起動して監査ログファイルを参照する際の詳細手順例を示すフローチャートであり、図中Ｓに数字を付した符号はフローチャートの各ステップを示す。
【００６１】
まずステップＳ３１において、外部メディア７内に保存された確認用アプリケーション１３がユーザ端末８上で起動される。そうすると、ユーザ端末８は監査ログファイル構成確認部１４および監査ログファイル完全性確認部１５として機能する。
【００６２】
次に、ステップＳ３２において、外部メディア７内における監査ログファイルのファイル構成が監査ログファイル構成確認部１４により確認される。すなわち監査ログファイル構成確認部１４は、同一の外部メディア７内に保存された監査ログファイルのファイル構成に抜けがないか否か、すなわち監査ログファイルが欠落しているか否かを判定する。
【００６３】
そして、監査ログファイルのファイル構成に抜けがあると判定された場合には、ステップＳ３３において、監査ログファイル構成確認部１４がファイル構成に抜けがある旨をユーザに通知するための情報を作成し、ユーザ端末８の画面に表示させる。
【００６４】
さらに、監査ログファイルのファイル構成に抜けがあると判定されなかった場合または監査ログファイルのファイル構成に抜けがある旨の表示後、ユーザ端末８は参照すべき監査ログファイルの選択待ち受け状態となる。
【００６５】
次に、ステップＳ３４において、ユーザ端末８の操作により参照すべき監査ログファイルの選択情報を受けた場合には、監査ログファイル完全性確認部１５は、選択された監査ログファイルを外部メディア７からロードする。
【００６６】
次に、ステップＳ３５において、監査ログファイル完全性確認部１５は、外部メディア７からロードされた参照すべき目的の監査ログファイルの完全性を、メッセージダイジェストを確認することにより検証し、監査ログファイルの完全性が確認できたか否かを判定する。
【００６７】
そして、監査ログファイルの完全性が確認できなかった場合には、ステップＳ３６において、完全性が確認できなかった監査ログファイルをユーザに通知するための情報を監査ログファイル完全性確認部１５が作成する。このため、完全性が確認できなかった監査ログファイルがユーザ端末８の画面に表示され、ユーザ端末８は参照すべき監査ログファイルの選択待ち受け状態となる。
【００６８】
一方、監査ログファイルの完全性が確認できた場合には、ステップＳ３７において、選択された監査ログファイルがユーザ端末８の画面に表示される。
【００６９】
このような確認用アプリケーション１３によりユーザはユーザ端末８を介して外部メディア７内に保存された監査ログファイルのファイル数を確認してファイル構成に抜けがないかを検証することができる。さらに、外部メディア７内の各監査ログファイルに対してメッセージダイジェストを確認し、確認の取れなかった監査ログファイルについては、破壊もしくは改竄があったと判断することができる。
【００７０】
図６は、図１に示す医用装置１における監査ログファイルの作成から外部メディア７を介した監査ログファイルの参照までの全体の流れを示す概念図である。
【００７１】
医用装置１において監査ログファイル作成部１０は、操作データから監査ログ作業用ファイルを作成し、ログファイル作成関数（ハッシュ関数）によりハッシュコードを生成する。この結果、本文である操作データにダイジェストメッセージが付帯された監査ログファイルが生成される。
【００７２】
そして、監査ログファイルは、医用装置１内の監査ログ記憶部１１に保存されるが、ユーザが操作端末２の操作によりバックアップアプリケーションを起動して外部メディア７にバックアップする監査ログファイルを選択すると、選択された各監査ログファイルのダイジェストメッセージがバックアップ制御部１２（バックアップアプリケーション）によって確認されて各監査ログファイルの完全性の検証が行われる。
【００７３】
次に、バックアップアプリケーションは、完全性が確認された各監査ログファイルに共通のハッシュコードチェック用の確認用アプリケーション１３を作成して、各監査ログファイルとともに外部メディア７に出力させる。
【００７４】
このため、外部メディア７には、本文とダイジェストメッセージとで構成される単一または複数の監査ログファイルと、１つのハッシュコードチェック用の確認用アプリケーション１３が保存される。そして、ユーザはユーザ端末８において、外部メディア７に保存された確認用アプリケーション１３を起動して、各監査ログファイルの完全性の検証を行った上で参照することができる。
【００７５】
つまり、以上のような医用装置１は、監査ログファイルを外部メディア７に出力する際に、監査ログファイルの完全性を確認したうえで完全性の確認用アプリケーション１３を生成し、完全性の確認対象となる監査ログファイルとともに確認用アプリケーション１３が外部メディア７に保存されるようにしたものである。
【００７６】
このため、医用装置１によれば、ある一定期間後に外部メディア７内に保存された監査ログファイルを参照する場合であっても、同一の外部メディア７内に保存された確認用アプリケーション１３を使用することで、外部出力された監査ログファイルが医用装置１において保存された状態を維持しているかどうかを検証することができる。すなわち、監査ログファイルの外部メディア７内への保存時から監査ログファイルの参照時までの期間に情報が破壊または改竄されていないかどうかを確認することができる。
【００７７】
また、外部メディア７内に保存される監査ログファイルが複数であっても外部メディア７内に保存される確認用アプリケーション１３は１つであり、共通の確認用アプリケーション１３によって外部メディア７内における全ての監査ログファイルの完全性の確認処理が行われる。このため、監査ログファイルの完全性の検証だけでなく、外部メディア７内に保存された監査ログファイルのファイル構成（ファイル数）も確認することができる。
【図面の簡単な説明】
【００７８】
【図１】本発明に係る医用装置の実施の形態を示す機能ブロック図。
【図２】図１に示す医用装置において監査ログを生成し、生成された監査ログを外部メディアに出力する際の流れを示すフローチャート。
【図３】図１に示す医用装置の監査ログファイル作成部により監査ログファイルを作成する際の詳細手順例を示すフローチャート。
【図４】図１に示す医用装置のバックアップ制御部により監査ログファイルの完全性を確認し、確認用アプリケーションとともに外部メディアに出力させる際の詳細手順例を示すフローチャート。
【図５】図１に示すユーザ端末において、外部メディアから入力した確認用アプリケーションを起動して監査ログファイルを参照する際の詳細手順例を示すフローチャート。
【図６】図１に示す医用装置における監査ログファイルの作成から外部メディアを介した監査ログファイルの参照までの全体の流れを示す概念図。
【符号の説明】
【００７９】
１ 医用装置
２ 操作端末
３ メディア保存部
４ 監査ログファイル出力システム
５ 入力装置
６ 表示装置
７ 外部メディア
８ ユーザ端末
８ａ 入力装置
８ｂ 表示装置
９ 操作データ収集部
１０ 監査ログファイル作成部
１０ａ 操作データ記録部
１０ｂ メッセージダイジェスト付加部
１１ 監査ログ記憶部
１２ バックアップ制御部
１３ 確認用アプリケーション
１４ 監査ログファイル構成確認部
１５ 監査ログファイル完全性確認部
【特許請求の範囲】
【請求項１】
入力装置による操作の監査ログファイルを作成する監査ログファイル作成部と、
前記監査ログファイルを保存する監査ログ記憶部と、
前記監査ログファイルを外部メディアへ出力するためのメディア保存部と、
前記監査ログ記憶部から取得した前記監査ログファイルを前記外部メディアへ出力した場合に前記監査ログファイルの完全性を検証するための完全性検証情報を作成し、前記メディア保存部に前記監査ログ記憶部から取得した前記監査ログファイルおよび前記完全性検証情報を与えるバックアップ制御部と、
を有することを特徴とする医用装置。
【請求項２】
前記バックアップ制御部は、ユーザ端末に読み込ませて起動させる確認用アプリケーションを前記完全性検証情報として作成するように構成されることを特徴とする請求項１記載の医用装置。
【請求項３】
前記バックアップ制御部は、前記外部メディアに保存された前記監査ログファイルの完全性を検証する監査ログファイル完全性確認部としてユーザ端末を機能させる確認用アプリケーションを前記完全性検証情報として作成するように構成されることを特徴とする請求項１記載の医用装置。
【請求項４】
前記バックアップ制御部は、前記外部メディアに保存された前記監査ログファイルのファイル構成に抜けがないか否かを判定する監査ログファイル構成確認部および前記外部メディアに保存された前記監査ログファイルの完全性を検証する監査ログファイル完全性確認部としてユーザ端末を機能させる確認用アプリケーションを前記完全性検証情報として作成するように構成されることを特徴とする請求項１記載の医用装置。
【請求項５】
前記監査ログファイル作成部は、前記監査ログファイルを暗号化するように構成される一方、前記バックアップ制御部は、ユーザ端末に読み込ませて起動させた場合に前記監査ログファイルの暗号を解読することが可能な確認用アプリケーションを前記完全性検証情報として作成するように構成されることを特徴とする請求項１記載の医用装置。
【請求項６】
前記バックアップ制御部は、前記監査ログファイルに共通の前記完全性検証情報を生成するように構成されることを特徴とする請求項１記載の医用装置。
【請求項７】
前記監査ログファイル作成部は、前記監査ログファイルの完全性を検証するための監査ログ完全性検証情報を作成するように構成される一方、前記監査ログ記録部は前記監査ログ完全性検証情報を保存するように構成され、さらに前記バックアップ制御部は、前記監査ログ記憶部から取得した前記監査ログファイルに対する前記監査ログ完全性検証情報を確認することにより、前記監査ログファイルの完全性を検証するように構成されることを特徴とする請求項１記載の医用装置。
【請求項８】
前記監査ログファイル作成部は、ハッシュ関数を使った演算により文字列を用いて第１のメッセージダイジェストを生成することにより前記監査ログ完全性検証情報を作成するように構成される一方、前記バックアップ制御部は、前記監査ログファイル作成部により用いられた前記文字列と同一または他の文字列を用いたハッシュ関数による演算により第２のメッセージダイジェストを生成することにより前記完全性検証情報を作成するように構成されることを特徴とする請求項７記載の医用装置。
【請求項９】
前記バックアップ制御部は、完全性が確認できなかった前記監査ログファイルに対して、完全性が確認できなかった旨を示す情報を付加するように構成されることを特徴とする請求項７記載の医用装置。
【請求項１０】
前記バックアップ制御部は、完全性が確認できなかった前記監査ログファイルに対して、完全性が確認できなかった旨を示す情報を表示装置に与えて表示させるように構成されることを特徴とする請求項７記載の医用装置。
【請求項１１】
入力装置による操作の監査ログファイルを作成する監査ログファイル作成部と、
前記監査ログファイルを保存する監査ログ記憶部と、
前記監査ログ記憶部から取得した前記監査ログファイルを外部メディアへ出力した場合に前記監査ログファイルの完全性を検証するための完全性検証情報を作成し、前記監査ログファイルを前記外部メディアへ出力するためのメディア保存部に前記監査ログ記憶部から取得した前記監査ログファイルおよび前記完全性検証情報を与えるバックアップ制御部と、
を有することを特徴とする監査ログファイル出力システム。
【請求項１２】
コンピュータを、
入力装置による操作の監査ログファイルを作成する監査ログファイル作成部、
前記監査ログファイルを保存する監査ログ記憶部、および
前記監査ログ記憶部から取得した前記監査ログファイルを外部メディアへ出力した場合に前記監査ログファイルの完全性を検証するための完全性検証情報を作成し、前記監査ログファイルを前記外部メディアへ出力するためのメディア保存部に前記監査ログ記憶部から取得した前記監査ログファイルおよび前記完全性検証情報を与えるバックアップ制御部、
として機能させることを特徴とする監査ログファイル出力プログラム。
【請求項１】
入力装置による操作の監査ログファイルを作成する監査ログファイル作成部と、
前記監査ログファイルを保存する監査ログ記憶部と、
前記監査ログファイルを外部メディアへ出力するためのメディア保存部と、
前記監査ログ記憶部から取得した前記監査ログファイルを前記外部メディアへ出力した場合に前記監査ログファイルの完全性を検証するための完全性検証情報を作成し、前記メディア保存部に前記監査ログ記憶部から取得した前記監査ログファイルおよび前記完全性検証情報を与えるバックアップ制御部と、
を有することを特徴とする医用装置。
【請求項２】
前記バックアップ制御部は、ユーザ端末に読み込ませて起動させる確認用アプリケーションを前記完全性検証情報として作成するように構成されることを特徴とする請求項１記載の医用装置。
【請求項３】
前記バックアップ制御部は、前記外部メディアに保存された前記監査ログファイルの完全性を検証する監査ログファイル完全性確認部としてユーザ端末を機能させる確認用アプリケーションを前記完全性検証情報として作成するように構成されることを特徴とする請求項１記載の医用装置。
【請求項４】
前記バックアップ制御部は、前記外部メディアに保存された前記監査ログファイルのファイル構成に抜けがないか否かを判定する監査ログファイル構成確認部および前記外部メディアに保存された前記監査ログファイルの完全性を検証する監査ログファイル完全性確認部としてユーザ端末を機能させる確認用アプリケーションを前記完全性検証情報として作成するように構成されることを特徴とする請求項１記載の医用装置。
【請求項５】
前記監査ログファイル作成部は、前記監査ログファイルを暗号化するように構成される一方、前記バックアップ制御部は、ユーザ端末に読み込ませて起動させた場合に前記監査ログファイルの暗号を解読することが可能な確認用アプリケーションを前記完全性検証情報として作成するように構成されることを特徴とする請求項１記載の医用装置。
【請求項６】
前記バックアップ制御部は、前記監査ログファイルに共通の前記完全性検証情報を生成するように構成されることを特徴とする請求項１記載の医用装置。
【請求項７】
前記監査ログファイル作成部は、前記監査ログファイルの完全性を検証するための監査ログ完全性検証情報を作成するように構成される一方、前記監査ログ記録部は前記監査ログ完全性検証情報を保存するように構成され、さらに前記バックアップ制御部は、前記監査ログ記憶部から取得した前記監査ログファイルに対する前記監査ログ完全性検証情報を確認することにより、前記監査ログファイルの完全性を検証するように構成されることを特徴とする請求項１記載の医用装置。
【請求項８】
前記監査ログファイル作成部は、ハッシュ関数を使った演算により文字列を用いて第１のメッセージダイジェストを生成することにより前記監査ログ完全性検証情報を作成するように構成される一方、前記バックアップ制御部は、前記監査ログファイル作成部により用いられた前記文字列と同一または他の文字列を用いたハッシュ関数による演算により第２のメッセージダイジェストを生成することにより前記完全性検証情報を作成するように構成されることを特徴とする請求項７記載の医用装置。
【請求項９】
前記バックアップ制御部は、完全性が確認できなかった前記監査ログファイルに対して、完全性が確認できなかった旨を示す情報を付加するように構成されることを特徴とする請求項７記載の医用装置。
【請求項１０】
前記バックアップ制御部は、完全性が確認できなかった前記監査ログファイルに対して、完全性が確認できなかった旨を示す情報を表示装置に与えて表示させるように構成されることを特徴とする請求項７記載の医用装置。
【請求項１１】
入力装置による操作の監査ログファイルを作成する監査ログファイル作成部と、
前記監査ログファイルを保存する監査ログ記憶部と、
前記監査ログ記憶部から取得した前記監査ログファイルを外部メディアへ出力した場合に前記監査ログファイルの完全性を検証するための完全性検証情報を作成し、前記監査ログファイルを前記外部メディアへ出力するためのメディア保存部に前記監査ログ記憶部から取得した前記監査ログファイルおよび前記完全性検証情報を与えるバックアップ制御部と、
を有することを特徴とする監査ログファイル出力システム。
【請求項１２】
コンピュータを、
入力装置による操作の監査ログファイルを作成する監査ログファイル作成部、
前記監査ログファイルを保存する監査ログ記憶部、および
前記監査ログ記憶部から取得した前記監査ログファイルを外部メディアへ出力した場合に前記監査ログファイルの完全性を検証するための完全性検証情報を作成し、前記監査ログファイルを前記外部メディアへ出力するためのメディア保存部に前記監査ログ記憶部から取得した前記監査ログファイルおよび前記完全性検証情報を与えるバックアップ制御部、
として機能させることを特徴とする監査ログファイル出力プログラム。
【図１】
【図２】
【図３】
【図４】
【図５】
【図６】
【図２】
【図３】
【図４】
【図５】
【図６】
【公開番号】特開２００６−２３８９２５（Ｐ２００６−２３８９２５Ａ）
【公開日】平成１８年９月１４日（２００６．９．１４）
【国際特許分類】
【出願番号】特願２００５−５４６０７（Ｐ２００５−５４６０７）
【出願日】平成１７年２月２８日（２００５．２．２８）
【出願人】（０００００３０７８）株式会社東芝 (54,554)
【出願人】（５９４１６４５４２）東芝メディカルシステムズ株式会社 (4,066)
【Ｆターム（参考）】
【公開日】平成１８年９月１４日（２００６．９．１４）
【国際特許分類】
【出願日】平成１７年２月２８日（２００５．２．２８）
【出願人】（０００００３０７８）株式会社東芝 (54,554)
【出願人】（５９４１６４５４２）東芝メディカルシステムズ株式会社 (4,066)
【Ｆターム（参考）】
[ Back to top ]