医療機器用のアクセス・データを生成する方法
本発明は、患者データ用の１つのメモリを自由に使用できるようになっている医療機器用の、１回限り有効な１つのアクセス・コードを生成する方法に関する。その方法では、１つの機器内部識別符号から１つの照会鍵が生成されて１つの認証局に送信され、該認証局が該照会鍵から１つの付属許可鍵を生成する。付属許可鍵は、入力されると該機器へのアクセスを可能にすると同時に、該内部識別符号を変更することにより該アクセス・コードを２度と使用できないようにする。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、医療データまたは患者データの保護された１つのメモリを自由に使用できるようになっている医療機器用のアクセス・データを生成する方法に関する。
【背景技術】
【０００２】
医療機器に記録または記憶される患者データへのアクセスには、厳しい法的要求が課されている。これらのデータの閲覧が許される機器の利用者の同定および認証は、常に最低限の要求項目となっている。しかし、そこでは実際に起こり得る問題として、アクセス権の喪失（たとえばパスワードを失念した、これまでの利用者が、正確な情報の引継ぎを行わずに病院／診療所を去った）がある。
【０００３】
アクセス権を承認するデータ（大抵の場合：ユーザー・コード／パスワード）は、原則的に安全な場所（金庫内の封緘した封筒）に保管されるとよい。パスワードの定期的な変更は、初歩的な安全対策とされているが、実際には保管されているパスワードが最新のものであることを保証するのは困難である。この方法は、前提として（これまでの）利用者の協力も必要とするが、これは必ずしも得られるとは限られない。
【０００４】
広く一般に行われている方法では、秘匿された、限られた人間集団（たとえばサービス要員）だけに知られている、認証を不要とするアクセス（たとえば、秘密のホットキー、パスワードの変更が不可能なサービス・ユーザー・コード−「秘密汎用パス鍵」）が備えられ、それにより、データへの直接アクセスを許容するほかにも、失われたアクセスの、いずれか１つの既知の値または新たに定義されることになる値へのリセットも許容している。この方法では、患者データを効果的にかつ追跡可能であるように保護できるかどうかが、秘密汎用パス鍵が信用できる人物だけに知らされるかどうかにかかってくるために、これを保証することはできない。これは、実際には実現不可能であるし、また特に秘密保持の実行については、検証が事実上不可能である。
【０００５】
そのもの自体が保護されている鍵（たとえばＵＳＢまたはパラレル・ポートに接続される「ドングル」）を使用することにより、（秘密汎用パス鍵の場合のような）アクセス情報の規制されない転送が防止されるとともに、そのもの自体が保護された鍵を用いて行われたマニピュレーション（失われたアクセスのリセット）の検証が容易となる。しかし、他方ではそれにより権限を持つ者（たとえば権限を与えられたサービス・スタッフ）本人がその場に居合わせることが要求されるが、それには時間も費用もかかってくる。同時に、そのもの自体が保護された鍵が盗まれたり偽造されたりするとたちどころに、全ての機器に関して、アクセス保護が破られたことになる。
【発明の開示】
【発明が解決しようとする課題】
【０００６】
本発明が解決しようとする課題は、データを記憶している機器本体のマニピュレーションなしで、失われたアクセス権の規制された許可を行うことにある。
規制された許可とは、ここでは、同定された機器とは別の機器へのアクセスを得るためにこの方法を悪用できないこと、また、このアクセス方法が、その使用直後には無効となること、すなわち、この同定された機器にとっても「汎用パス鍵」とはならないことを意味している。
【課題を解決するための手段】
【０００７】
この課題は、医療機器またはシステム用の１回限り有効な１つのアクセス・コードを生成する方法であって、
ａ）機器側で少なくとも１つの機器内部識別符号から１つの照会鍵を生成する工程、
ｂ）この照会鍵を１つの認証局に伝送する工程、
ｃ）認証局がこの照会鍵から１つの許可鍵を生成する工程、
ｄ）この許可鍵を機器に伝送する工程、
ｅ）機器がアクセスを許可する工程、
ｆ）機器側で機器内部識別符号の内の少なくとも１つをランダムに変更する工程
を備える方法により、解決される。
【０００８】
その際には、少なくとも１つの機器内部識別符号のランダムな変更が、１つの乱数発生器を利用して行われるようにすると、有利である。
あるいは、その代わりに、少なくとも１つの機器内部識別符号のランダムな変更が、１つの予め定義された複数の識別符号のリストの中からランダムに選択することにより行われるようにしてもよい。その際には、照会鍵の伝送および許可鍵の伝送が、データ記憶媒体またはオンライン・データ伝送システムを利用して行われるようにするとよい。
【０００９】
認証局は、機器の製造会社またはそれにより権限を与えられたステーションとのアクセス状態にあり、かつ、それ自体としては知られているように、機器が正規に取得されたものであるかどうか、サービスまたは保守契約が存在するかどうか、および機器のデータにアクセスする権限を持つ人物からアクセス・コードの要求が出されたかどうかのうちの少なくとも１つをチェックすることにより、アクセス・コードを要求する権限を検査することができる状況にある、１つのコンピュータまたはその他の情報演算処理ユニットであると有利である。
【発明を実施するための最良の形態】
【００１０】
以下では本発明を好ましい実施例に基づき説明する。
医療機器は、少なくとも１つの（十分な確率で）一義的な、好ましくは予測不能な内部識別符号Ｋｉが記憶されている１つのメモリ１を有している。この識別符号Ｋｉから、１つの演算ユニットにおいて１つの照会鍵ＳＡ（Ｋｉ）が生成される。これは、任意の長さの１つの文字ストリングまたは複数の数字の列またはその類であるとよいが、これについては、少なくとも１０個の文字が備えられると有利である。あるいは、その代わりに、印刷不可能な文字も含まれている１つのバイト列であってもよい。この照会鍵は、安全であることが好ましい１つの通信路２（たとえば郵便、電話、署名入り電子メール、データ記憶媒体により）を介して認証局に送信される。この認証局は、たとえば、機器の製造会社の、照会の認証検査（送信者の身元および新しいアクセス・コードを要求する権限）を行うことができる立場にあるカスタマーサービスまたはサービスであるとよい。適切な暗号化方式Ｄ（ＳＡ，ＳＭ）を用いて、たとえば、１つのコンピュータにより、この照会鍵から１つの秘密マスター鍵ＳＭを利用して１つの許可鍵ＳＦ，ｅ＝Ｄ（ＳＡ，ＳＭ）が生成され、この許可鍵ＳＦ，ｅが１つの安全な通信路を介して機器のアクセス・コードを変更する権限を与えられた顧客の１つのステーションに返送される。
【００１１】
データを記憶している機器のソフトウェアには、内部で、また、それ故に利用者が閲覧できないように、許可鍵ＳＦ，ｉ＝Ｄ（ＳＡ，ＳＭ）を演算できるようにするために、同じ暗号化方式および同じ（秘密）マスター鍵がインプリメントされている。認証局により演算された許可鍵と利用者により入力された許可鍵との比較から同一性ＳＦ，ｅ＝ＳＦ，ｉが確認されると、機器のアクセス・コードがリセットされ、内部識別符号Ｋｉが適切に、しかし、予測不能であるように変更される。その際に、アクセス・コードのリセットについては、様々な方法で実現することができるが、たとえば、前もって取り決められた１つのパスワードをセットするか、１つの新しい有効なパスワードを利用者に表示するか、または、ほかにもパスワードなしでのアクセスを一時的に許容して新しいパスワードの定義付けを直接強制するようにするとよい。
【００１２】
同じ機器／別の機器で上述の進行過程を再び繰り返したとしても、内部識別符号が変更されているか、別のものであるために、１つの別の照会鍵が生成されることになる。したがって、その前に使用された許可鍵は無価値であり、そのため、これを悪用することはできない。
【００１３】
提案される上述の方法により、利用者が予防措置を講じたかどうかに関係なく、保護されたデータへのアクセスがもたらされ、また、その際には、汎用パス鍵の公然周知の短所が回避されるようになる。ほかにも認証プロセス（許可鍵の外部演算）が機器のソフトウェアの操作から切り離されるために、サービス・スタッフがその機器のところに居合わせる必要はなく、また権限が与えられる人物（すなわち、外部プログラムを操作するために認証局側で許可鍵を生成する権限を持つ者）の数を、汎用パス鍵へのアクセスを確保する必要がある人間集団と比較して、劇的に低減することができる。
【００１４】
提案される上述の解決手段は、たとえば電子メモリ、および機器のソフトウェアからの照会鍵および許可鍵の伝送方式（たとえば電子メール、またはファイルへの／ファイルからのエキスポート／インポートとして）のうちの少なくとも一つにより、様々な方向に拡張することができる。
【００１５】
それ以外にも、有効な許可鍵が入力されるどうかに関係なく、ある程度長い時間間隔の経過後には（たとえば毎月１回）、内部識別符号の自動的な変更が予定されるようにしてもよい。それにより、利用されなかった許可鍵は、この期間の経過後には自動的に無価値となるために、これが不正利用のリスクとなることはない。
【００１６】
内部識別符号Ｋｉを決定する上述の方法は、幅広い範囲内で部分的に変更することができる。これについては次が考えられる：
−タイム・スタンプ、機器識別番号（たとえばシリアル番号）、および１つの乱数と組み合わせる
−不変のユーザー識別データへの各種ハッシュ機能（たとえばＭＤ５またはＳＨＡ）を、１つの乱数と組み合わせて使用する
−機器オペレーティング・システムの各種定数（たとえばユーザー識別番号ＵＩＤ）を、１つの乱数と組み合わせて使用する
ほかにも、許可鍵を生成ないしは比較する上述の方法は、改良または拡張され得る。同一性のテストに代わり、たとえばＲＳＡなどの非対称暗号化方式による署名検査を行うことが考えられるが、この場合は、伝送された照会鍵が「公開」鍵を用いて許可鍵に暗号化されて、この許可鍵が、データを記憶している機器で「個人」鍵を用いて解読されて、その解読結果が照会鍵に対して比較されることになる。（「公開」鍵および「個人」鍵という表現は、ここでは暗号学で用いられる専門用語に関している：このケースにおいては、両方の鍵が秘密に保持されなければならない。）
【図面の簡単な説明】
【００１７】
【図１】本発明による方法の進行過程を簡略に示した図。
【技術分野】
【０００１】
本発明は、医療データまたは患者データの保護された１つのメモリを自由に使用できるようになっている医療機器用のアクセス・データを生成する方法に関する。
【背景技術】
【０００２】
医療機器に記録または記憶される患者データへのアクセスには、厳しい法的要求が課されている。これらのデータの閲覧が許される機器の利用者の同定および認証は、常に最低限の要求項目となっている。しかし、そこでは実際に起こり得る問題として、アクセス権の喪失（たとえばパスワードを失念した、これまでの利用者が、正確な情報の引継ぎを行わずに病院／診療所を去った）がある。
【０００３】
アクセス権を承認するデータ（大抵の場合：ユーザー・コード／パスワード）は、原則的に安全な場所（金庫内の封緘した封筒）に保管されるとよい。パスワードの定期的な変更は、初歩的な安全対策とされているが、実際には保管されているパスワードが最新のものであることを保証するのは困難である。この方法は、前提として（これまでの）利用者の協力も必要とするが、これは必ずしも得られるとは限られない。
【０００４】
広く一般に行われている方法では、秘匿された、限られた人間集団（たとえばサービス要員）だけに知られている、認証を不要とするアクセス（たとえば、秘密のホットキー、パスワードの変更が不可能なサービス・ユーザー・コード−「秘密汎用パス鍵」）が備えられ、それにより、データへの直接アクセスを許容するほかにも、失われたアクセスの、いずれか１つの既知の値または新たに定義されることになる値へのリセットも許容している。この方法では、患者データを効果的にかつ追跡可能であるように保護できるかどうかが、秘密汎用パス鍵が信用できる人物だけに知らされるかどうかにかかってくるために、これを保証することはできない。これは、実際には実現不可能であるし、また特に秘密保持の実行については、検証が事実上不可能である。
【０００５】
そのもの自体が保護されている鍵（たとえばＵＳＢまたはパラレル・ポートに接続される「ドングル」）を使用することにより、（秘密汎用パス鍵の場合のような）アクセス情報の規制されない転送が防止されるとともに、そのもの自体が保護された鍵を用いて行われたマニピュレーション（失われたアクセスのリセット）の検証が容易となる。しかし、他方ではそれにより権限を持つ者（たとえば権限を与えられたサービス・スタッフ）本人がその場に居合わせることが要求されるが、それには時間も費用もかかってくる。同時に、そのもの自体が保護された鍵が盗まれたり偽造されたりするとたちどころに、全ての機器に関して、アクセス保護が破られたことになる。
【発明の開示】
【発明が解決しようとする課題】
【０００６】
本発明が解決しようとする課題は、データを記憶している機器本体のマニピュレーションなしで、失われたアクセス権の規制された許可を行うことにある。
規制された許可とは、ここでは、同定された機器とは別の機器へのアクセスを得るためにこの方法を悪用できないこと、また、このアクセス方法が、その使用直後には無効となること、すなわち、この同定された機器にとっても「汎用パス鍵」とはならないことを意味している。
【課題を解決するための手段】
【０００７】
この課題は、医療機器またはシステム用の１回限り有効な１つのアクセス・コードを生成する方法であって、
ａ）機器側で少なくとも１つの機器内部識別符号から１つの照会鍵を生成する工程、
ｂ）この照会鍵を１つの認証局に伝送する工程、
ｃ）認証局がこの照会鍵から１つの許可鍵を生成する工程、
ｄ）この許可鍵を機器に伝送する工程、
ｅ）機器がアクセスを許可する工程、
ｆ）機器側で機器内部識別符号の内の少なくとも１つをランダムに変更する工程
を備える方法により、解決される。
【０００８】
その際には、少なくとも１つの機器内部識別符号のランダムな変更が、１つの乱数発生器を利用して行われるようにすると、有利である。
あるいは、その代わりに、少なくとも１つの機器内部識別符号のランダムな変更が、１つの予め定義された複数の識別符号のリストの中からランダムに選択することにより行われるようにしてもよい。その際には、照会鍵の伝送および許可鍵の伝送が、データ記憶媒体またはオンライン・データ伝送システムを利用して行われるようにするとよい。
【０００９】
認証局は、機器の製造会社またはそれにより権限を与えられたステーションとのアクセス状態にあり、かつ、それ自体としては知られているように、機器が正規に取得されたものであるかどうか、サービスまたは保守契約が存在するかどうか、および機器のデータにアクセスする権限を持つ人物からアクセス・コードの要求が出されたかどうかのうちの少なくとも１つをチェックすることにより、アクセス・コードを要求する権限を検査することができる状況にある、１つのコンピュータまたはその他の情報演算処理ユニットであると有利である。
【発明を実施するための最良の形態】
【００１０】
以下では本発明を好ましい実施例に基づき説明する。
医療機器は、少なくとも１つの（十分な確率で）一義的な、好ましくは予測不能な内部識別符号Ｋｉが記憶されている１つのメモリ１を有している。この識別符号Ｋｉから、１つの演算ユニットにおいて１つの照会鍵ＳＡ（Ｋｉ）が生成される。これは、任意の長さの１つの文字ストリングまたは複数の数字の列またはその類であるとよいが、これについては、少なくとも１０個の文字が備えられると有利である。あるいは、その代わりに、印刷不可能な文字も含まれている１つのバイト列であってもよい。この照会鍵は、安全であることが好ましい１つの通信路２（たとえば郵便、電話、署名入り電子メール、データ記憶媒体により）を介して認証局に送信される。この認証局は、たとえば、機器の製造会社の、照会の認証検査（送信者の身元および新しいアクセス・コードを要求する権限）を行うことができる立場にあるカスタマーサービスまたはサービスであるとよい。適切な暗号化方式Ｄ（ＳＡ，ＳＭ）を用いて、たとえば、１つのコンピュータにより、この照会鍵から１つの秘密マスター鍵ＳＭを利用して１つの許可鍵ＳＦ，ｅ＝Ｄ（ＳＡ，ＳＭ）が生成され、この許可鍵ＳＦ，ｅが１つの安全な通信路を介して機器のアクセス・コードを変更する権限を与えられた顧客の１つのステーションに返送される。
【００１１】
データを記憶している機器のソフトウェアには、内部で、また、それ故に利用者が閲覧できないように、許可鍵ＳＦ，ｉ＝Ｄ（ＳＡ，ＳＭ）を演算できるようにするために、同じ暗号化方式および同じ（秘密）マスター鍵がインプリメントされている。認証局により演算された許可鍵と利用者により入力された許可鍵との比較から同一性ＳＦ，ｅ＝ＳＦ，ｉが確認されると、機器のアクセス・コードがリセットされ、内部識別符号Ｋｉが適切に、しかし、予測不能であるように変更される。その際に、アクセス・コードのリセットについては、様々な方法で実現することができるが、たとえば、前もって取り決められた１つのパスワードをセットするか、１つの新しい有効なパスワードを利用者に表示するか、または、ほかにもパスワードなしでのアクセスを一時的に許容して新しいパスワードの定義付けを直接強制するようにするとよい。
【００１２】
同じ機器／別の機器で上述の進行過程を再び繰り返したとしても、内部識別符号が変更されているか、別のものであるために、１つの別の照会鍵が生成されることになる。したがって、その前に使用された許可鍵は無価値であり、そのため、これを悪用することはできない。
【００１３】
提案される上述の方法により、利用者が予防措置を講じたかどうかに関係なく、保護されたデータへのアクセスがもたらされ、また、その際には、汎用パス鍵の公然周知の短所が回避されるようになる。ほかにも認証プロセス（許可鍵の外部演算）が機器のソフトウェアの操作から切り離されるために、サービス・スタッフがその機器のところに居合わせる必要はなく、また権限が与えられる人物（すなわち、外部プログラムを操作するために認証局側で許可鍵を生成する権限を持つ者）の数を、汎用パス鍵へのアクセスを確保する必要がある人間集団と比較して、劇的に低減することができる。
【００１４】
提案される上述の解決手段は、たとえば電子メモリ、および機器のソフトウェアからの照会鍵および許可鍵の伝送方式（たとえば電子メール、またはファイルへの／ファイルからのエキスポート／インポートとして）のうちの少なくとも一つにより、様々な方向に拡張することができる。
【００１５】
それ以外にも、有効な許可鍵が入力されるどうかに関係なく、ある程度長い時間間隔の経過後には（たとえば毎月１回）、内部識別符号の自動的な変更が予定されるようにしてもよい。それにより、利用されなかった許可鍵は、この期間の経過後には自動的に無価値となるために、これが不正利用のリスクとなることはない。
【００１６】
内部識別符号Ｋｉを決定する上述の方法は、幅広い範囲内で部分的に変更することができる。これについては次が考えられる：
−タイム・スタンプ、機器識別番号（たとえばシリアル番号）、および１つの乱数と組み合わせる
−不変のユーザー識別データへの各種ハッシュ機能（たとえばＭＤ５またはＳＨＡ）を、１つの乱数と組み合わせて使用する
−機器オペレーティング・システムの各種定数（たとえばユーザー識別番号ＵＩＤ）を、１つの乱数と組み合わせて使用する
ほかにも、許可鍵を生成ないしは比較する上述の方法は、改良または拡張され得る。同一性のテストに代わり、たとえばＲＳＡなどの非対称暗号化方式による署名検査を行うことが考えられるが、この場合は、伝送された照会鍵が「公開」鍵を用いて許可鍵に暗号化されて、この許可鍵が、データを記憶している機器で「個人」鍵を用いて解読されて、その解読結果が照会鍵に対して比較されることになる。（「公開」鍵および「個人」鍵という表現は、ここでは暗号学で用いられる専門用語に関している：このケースにおいては、両方の鍵が秘密に保持されなければならない。）
【図面の簡単な説明】
【００１７】
【図１】本発明による方法の進行過程を簡略に示した図。
【特許請求の範囲】
【請求項１】
患者データまたはその他の保護されなければならないデータ用の１つのメモリを自由に使用できるようになっている医療機器用のアクセス・コードを生成する方法であって、該アクセス・コードが１回限り有効である方法において、
ａ）機器側で少なくとも１つの機器内部識別符号から１つの照会鍵を生成する工程、
ｂ）該照会鍵を１つの認証局に伝送する工程、
ｃ）該認証局が該照会鍵から１つの許可鍵を生成する工程、
ｄ）該許可鍵を該機器に伝送する工程、
ｅ）該機器がアクセスを許可する工程、
ｆ）機器側で該各機器内部識別符号の内の少なくとも１つをランダムに変更する工程
を備えることを特徴とする、方法。
【請求項２】
前記少なくとも１つの機器内部識別符号の前記ランダムな変更を、１つの乱数発生器を利用して前記識別符号を生成することにより行うことを特徴とする、請求項１に記載のアクセス・コードを生成する方法。
【請求項３】
前記少なくとも１つの機器内部識別符号の前記ランダムな変更を、１つの予め定義された複数の識別符号のリストの中からランダムに選択することにより行うことを特徴とする、請求項１に記載のアクセス・コードを生成する方法。
【請求項４】
前記照会鍵の前記伝送および前記許可鍵の前記伝送を、データ記憶媒体またはオンライン・データ伝送システムを利用して行うことを特徴とする、請求項１乃至３のいずれか１項に記載のアクセス・コードを生成する方法。
【請求項１】
患者データまたはその他の保護されなければならないデータ用の１つのメモリを自由に使用できるようになっている医療機器用のアクセス・コードを生成する方法であって、該アクセス・コードが１回限り有効である方法において、
ａ）機器側で少なくとも１つの機器内部識別符号から１つの照会鍵を生成する工程、
ｂ）該照会鍵を１つの認証局に伝送する工程、
ｃ）該認証局が該照会鍵から１つの許可鍵を生成する工程、
ｄ）該許可鍵を該機器に伝送する工程、
ｅ）該機器がアクセスを許可する工程、
ｆ）機器側で該各機器内部識別符号の内の少なくとも１つをランダムに変更する工程
を備えることを特徴とする、方法。
【請求項２】
前記少なくとも１つの機器内部識別符号の前記ランダムな変更を、１つの乱数発生器を利用して前記識別符号を生成することにより行うことを特徴とする、請求項１に記載のアクセス・コードを生成する方法。
【請求項３】
前記少なくとも１つの機器内部識別符号の前記ランダムな変更を、１つの予め定義された複数の識別符号のリストの中からランダムに選択することにより行うことを特徴とする、請求項１に記載のアクセス・コードを生成する方法。
【請求項４】
前記照会鍵の前記伝送および前記許可鍵の前記伝送を、データ記憶媒体またはオンライン・データ伝送システムを利用して行うことを特徴とする、請求項１乃至３のいずれか１項に記載のアクセス・コードを生成する方法。
【図１】
【公表番号】特表２００９−５４５０４１（Ｐ２００９−５４５０４１Ａ）
【公表日】平成２１年１２月１７日（２００９．１２．１７）
【国際特許分類】
【出願番号】特願２００９−５２１１４７（Ｐ２００９−５２１１４７）
【出願日】平成１９年７月１９日（２００７．７．１９）
【国際出願番号】ＰＣＴ／ＥＰ２００７／００６４０３
【国際公開番号】ＷＯ２００８／０１２０２０
【国際公開日】平成２０年１月３１日（２００８．１．３１）
【出願人】（５０３０７８２６５）カール ツァイス メディテック アクチエンゲゼルシャフト (51)
【Ｆターム（参考）】
【公表日】平成２１年１２月１７日（２００９．１２．１７）
【国際特許分類】
【出願日】平成１９年７月１９日（２００７．７．１９）
【国際出願番号】ＰＣＴ／ＥＰ２００７／００６４０３
【国際公開番号】ＷＯ２００８／０１２０２０
【国際公開日】平成２０年１月３１日（２００８．１．３１）
【出願人】（５０３０７８２６５）カール ツァイス メディテック アクチエンゲゼルシャフト (51)
【Ｆターム（参考）】
[ Back to top ]