JP2006149659A - 医用機器及び医用データアクセス制御方法 - Google Patents

Abstract

【課題】操作者と患者との関係に応じて医用データへのアクセス可否判定を実行することが可能な医用機器及び医用データアクセス制御方法である。
【解決手段】医用機器１は、操作者属性情報を保存する操作者属性情報記憶部１１と、医用データを保存する医用データ記憶部１２と、医用データの属性情報を保存するデータ属性情報記憶部１３とを備える。さらに、操作者の識別情報および役割情報に基づいて、アクセス制御情報記憶部７から当該操作者のアクセス制御情報を取得するアクセス制御情報取得部９と、操作者属性情報取得部５およびデータ属性情報取得部６と、アクセス制御情報取得部９から受けたアクセス制御情報に従って、操作者属性情報およびデータ属性情報に基づいて、操作者の医用データへのアクセス可否判定を実行し、アクセス不可と判定された医用データへのアクセス制限を行うアクセス可否判定部１０とを設けた。
【選択図】 図１

Description

本発明は、医用画像データ等の医用データにアクセスしようとする操作者と患者との関係に応じて医用データへのアクセス可否判定を実行することが可能な医用機器及び医用データアクセス制御方法に関する。

従来、コンピュータ等の各種システムに記憶されたデータ（情報）へのアクセス管理が行われている。従来のアクセス管理技術は、ユーザもしくはユーザの所属するグループに対して、所定の機能を付与する方式である。すなわち、所定のデータやデバイスに対する読み出し、書き込み、削除、実行等の権限がユーザやグループに付与される。そして、セキュリティポリシーを管理し、ＩＤやパスワードにより認証を行ってアクセス可否を判断することにより各種データへの不正アクセスを制限する技術が考案されている（例えば非特許文献１参照）。

例えば、ユーザの所属するグループごとに実行可能な機能を設定することができる商用オペレーティングシステムが実現されている。そして、例えば、ファイルやディレクトリごとに、読み出し、書き込み、削除、実行などの権限を付与するユーザもしくはユーザグループを設定することができる。
Linux Documentation Project Guides、[ｏｎｌｉｎｅ]，Last Modified: 2004-11-03、[平成１６年１１月９日検索]、インターネット＜ＵＲＬ：http://www.tldp.org/guides.html＞

しかし、医用画像診断装置や病院情報システム（ＨＩＳ：ｈｏｓｐｉｔａｌ ｉｎｆｏｒｍａｔｉｏｎ ｓｙｓｔｅｍ）等の医用機器に保存された患者の個人情報である医用データを保護する場合には、従来のようなユーザ（操作者）やユーザの属するグループのみをアクセス可否の判定基準とすると適切なアクセス制御を行うことが困難になる場合がある。

すなわち、医用機器に保存された医用データに対するアクセス権限は、ユーザやユーザの属するグループの識別情報のみによって定まるものではなく、ユーザやユーザの属するグループと患者との関係、つまりユーザやグループの属性情報（役割）に応じて動的に定める必要がある。例えば、複数の医師や技師が複数の患者を診療あるいは検査する場合に、ある患者の医用画像データにアクセスするためには、その患者を診療あるいは検査した医師や技師のみにアクセス権限を付与することが適切である。

しかし、従来のユーザやグループとデータとのアクセス権限を即物的に記述するアクセス制御技術では、全ての医用画像データについて各ユーザやグループのアクセス可否を予め決定した後、ユーザやグループの識別情報に応じてアクセス制御することとなる。この結果、動的なアクセス制御が困難となり、データ管理が煩雑となるという問題がある。

本発明はかかる従来の事情に対処するためになされたものであり、医用画像データ等の医用データにアクセスしようとする操作者と患者との関係に応じて医用データへのアクセス可否判定を実行することが可能な医用機器及び医用データアクセス制御方法を提供することを目的とする。

本発明に係る医用機器は、上述の目的を達成するために、請求項１に記載したように、操作者の属性情報を操作者属性情報として保存する操作者属性情報記憶部と、医用データを保存する医用データ記憶部と、前記医用データの属性情報をデータ属性情報として保存するデータ属性情報記憶部とを備えた医用機器において、前記操作者属性情報および前記データ属性情報の少なくとも一方を用いて前記医用データへの前記操作者のアクセスを制御するためのアクセス制御情報を作成するアクセス制御情報作成部と、前記アクセス制御情報を保存するアクセス制御情報記憶部と、前記操作者の識別情報および役割情報の少なくとも一方に基づいて、前記アクセス制御情報記憶部から当該操作者の前記アクセス制御情報を取得するアクセス制御情報取得部と、前記アクセス制御情報取得部により取得された前記アクセス制御情報に従うアクセス可否判定に必要な前記操作者属性情報を前記操作者属性情報記憶部から取得する操作者属性情報取得部と、前記アクセス制御情報取得部により取得された前記アクセス制御情報に従うアクセス可否判定に必要な前記データ属性情報を前記データ属性情報記憶部から取得するデータ属性情報取得部と、前記アクセス制御情報取得部から受けた前記アクセス制御情報に従って、前記操作者属性情報取得部から受けた前記操作者属性情報および前記データ属性情報取得部から受けた前記データ属性情報の少なくとも一方に基づいて、前記操作者の前記医用データへのアクセス可否判定を実行し、アクセス不可と判定された前記医用データへのアクセス制限を行うアクセス可否判定部とを設けたことを特徴とするものである。

また、本発明に係る医用データアクセス制御方法は、上述の目的を達成するために、請求項９に記載したように、医用機器に操作者属性情報として保存された操作者の属性情報およびデータ属性情報として保存された医用データの属性情報の少なくとも一方を用いて前記医用機器に保存された医用データへの操作者のアクセスを制御するためのアクセス制御情報を作成するステップと、前記アクセス制御情報を保存するステップと、前記操作者の識別情報および役割情報の少なくとも一方に基づいて、保存された前記アクセス制御情報から当該操作者の前記アクセス制御情報を取得するステップと、取得された前記アクセス制御情報に従うアクセス可否判定に必要な前記操作者属性情報を取得するステップと、取得された前記アクセス制御情報に従うアクセス可否判定に必要な前記データ属性情報を取得するステップと、取得された前記アクセス制御情報に従って、取得された前記操作者属性情報および前記データ属性情報の少なくとも一方に基づいて、前記操作者の前記医用データへのアクセス可否判定を実行し、アクセス不可と判定された前記医用データへのアクセス制限を行うステップとを有することを特徴とするものである。

本発明に係る医用機器及び医用データアクセス制御方法においては、医用画像データ等の医用データにアクセスしようとする操作者と患者との関係に応じて医用データへのアクセス可否判定を実行することができる。

本発明に係る医用機器及び医用データアクセス制御方法の実施の形態について添付図面を参照して説明する。

図１は本発明に係る医用機器の一例である医用画像診断装置の実施の形態を示す機能ブロック図である。

医用画像診断装置１には、入力装置２および表示装置３が備えられ、医用データアクセス制御システム４が搭載される。医用画像診断装置１は、ＭＲＩ（Ｍａｇｎｅｔｉｃ ｒｅｓｏｎａｎｃｅ ｉｍａｇｉｎｇ）装置、Ｘ線ＣＴ（Ｃｏｎｐｕｔｅｄ ｔｏｍｏｇｒａｐｈｙ）装置、超音波診断装置、ＰＥＴ（Ｐｏｓｉｔｒｏｎ ｅｍｉｓｓｉｏｎ ｃｏｎｐｕｔｅｄ ｔｏｍｏｇｒａｐｈｙ）装置、Ｘ線診断装置を始めとする任意の装置とすることが可能である。さらに、これら医用画像診断装置１の他、ＨＩＳ等の病院情報システム等の任意の医用システムから構成される医用機器に医用データアクセス制御システム４を搭載することもできる。また、医用データアクセス制御システム４は、このような任意の医用機器に搭載可能であるが明確に他のシステムと分離している必要はなく、逆に医用機器に搭載させずに独立したシステムとしてもよい。

尚、図１に示す医用画像診断装置１には、医用データアクセス制御システム４の最小限の構成および医用データアクセス制御システム４の動作に関連する構成のみを図示し、データ収集、収集したデータの映像化、臨床応用計測等の他の処理を行う構成の図示および作用についての説明は省略する。

医用データアクセス制御システム４は、医用画像診断装置１を構成するコンピュータに医用データアクセス制御プログラムを読み込ませることにより、コンピュータを操作者属性情報取得部５、データ属性情報取得部６、アクセス制御情報記憶部７、アクセス制御情報作成部８、アクセス制御情報取得部９およびアクセス可否判定部１０として機能させたシステムであり、本発明に係る医用データアクセス制御方法により医用画像診断装置１に保存された医用データのアクセス制御を実行するシステムである。これら各構成要素は、それぞれソフトウェアによりサブシステムとして個別に構築することが可能であるが、単一のシステムとして構築することもできる。

また、医用データアクセス制御システム４の動作に関連する構成として、医用画像診断装置１には、操作者属性情報記憶部１１、医用データ記憶部１２およびデータ属性情報記憶部１３が備えられる。ただし、操作者属性情報記憶部１１、医用データ記憶部１２およびデータ属性情報記憶部１３を医用データアクセス制御システム４の構成要素としてもよい。

尚、アクセス制御情報記憶部７、操作者属性情報記憶部１１およびデータ属性情報記憶部１３は、例えばデータベース等の記録媒体を利用して別々に構成されていてもよいし、物理的に１つの記録媒体として構成されてもよい。

医用データ記憶部１２には、予め医用画像診断装置１により、あるいは他の任意の装置により取得された画像データ等の各種医用データが保存されている。

図２は、図１に示す医用画像診断装置１によってアクセス制御される医用データと患者、アクセス者との関係の一例を示す概念図である。

図２に示すように、患者を診療する主治医や担当医が検査依頼者となって検査実施者である画像の撮影者に画像撮影依頼がなされると、撮影者によって患者の検査が行われる。この結果、医療画像データ等の医用データが患者の個人情報として得られる。また、必要に応じて、医療チームによって患者の治療が行われる。

そして、医用データに操作者（アクセス者）がアクセスする場合、アクセス者の識別情報とともにアクセス者の役割（ＲＯＬＥ）やアクセス日時をアクセス可否の判断に用いることが適切である場合が多い。

操作者属性情報記憶部１１には、予め医用画像診断装置１を操作し、医用データ記憶部１２に保存された医用データにアクセスする操作者についての属性情報が操作者属性情報として保存されている。

図３は、図１に示す医用画像診断装置１の操作者属性情報記憶部１１に保存される操作者属性情報の一例を示す図である。

図３に示すように、操作者属性情報は、例えば、操作者が所属している診療科（内科、外科、小児科、眼科など）を示す所属情報、ある患者の治療に当たっている医療チーム（スタッフＡ、スタッフＢ、スタッフＣなど）に操作者が所属していることを示す医療チーム情報、オーナーレベル（一般ユーザ、上級ユーザ、アドミニストレータ、救急オペレータ、サービスマンなど）を示すカテゴリ情報等の操作者の役割情報（ＲＯＬＥ／ＧＲＯＵＰ）が操作者の識別情報（ユーザＡ、ユーザＢなど）と関連付けて構成される。ただし、これらの一部の情報を省略したり、他の任意の情報を付加して操作者属性情報を構成してもよい。

また、データ属性情報記憶部１３には、医用データ記憶部１２に保存された各医用データの属性情報がデータ属性情報として保存されている。

図４は、図１に示す医用画像診断装置１のデータ属性情報記憶部１３に保存されるデータ属性情報の一例を示す図である。

図４に示すように、データ属性情報は、例えば、医用データ記憶部１２に保存された医用データの一例である医用画像データに対応する患者（患者Ａ、患者Ｂ、患者Ｃなど）を示す患者情報、医用画像データに対応する検査（検査Ａ、検査Ｂ、検査Ｃ、検査Ｄ、検査Ｅなど）を示す検査情報、これら検査を依頼した診療科（内科、外科、小児科など）を示す検査依頼科情報、これら検査を依頼した担当医（ユーザＬ、ユーザＭなど）を示す担当医情報、医用画像データを撮影した撮影者（ユーザＡ、ユーザＢなど）を示す撮影者情報、該当患者の治療に当たっている医療チーム（スタッフＡ、スタッフＢ、スタッフＣなど）を示す医療チーム情報等の情報に、必要に応じて検査を実施した日付情報等の情報が付加された後、医用画像データの識別情報（画像Ａ、画像Ｂなど）と関連付けて構成される。ただし、これらの一部の情報を省略したり、他の任意の情報を付加してデータ属性情報を構成してもよい。

また、操作者属性情報取得部５は、アクセス可否判定部１０から操作者属性情報の要求を受けて、操作者属性情報記憶部１１から必要な操作者属性情報を取得し、取得した操作者属性情報をアクセス可否判定部１０に与える機能を有する。

データ属性情報取得部６は、アクセス可否判定部１０からデータ属性情報の要求を受けて、データ属性情報記憶部１３から必要なデータ属性情報を取得し、取得したデータ属性情報をアクセス可否判定部１０に与える機能を有する。

アクセス制御情報作成部８は、操作者属性情報およびデータ属性情報の一方もしくは双方の組合せから医用画像診断装置１に保存された医用データへの操作者のアクセスを制御するためのアクセス制御情報を構成して作成する機能と、作成されたアクセス制御情報をアクセス制御情報記憶部７に書き込む機能とを有する。また、アクセス制御情報作成部８は、アクセス制御情報の作成に際し、操作者属性情報取得部５に保存された操作者属性情報およびデータ属性情報取得部６に保存されたデータ属性情報が適宜参照することができる。

図５は、図１に示す医用画像診断装置１のアクセス制御情報作成部８によって作成されるアクセス制御情報の一例を示す図である。

図５に示すように、アクセス制御情報は、例えば５つの情報の組合せで記述することができる。すなわち、アクセス制御情報は、アクセス制御を定義するルールの識別情報、情報ソースおよび情報項目名で構成される第１の属性情報、情報ソースおよび情報項目名で構成される第２の属性情報、判定条件（関係）、ルールに適用されるアクション（ＡＣＣＥＰＴ，ＲＥＪＥＣＴ、ＤＥＮＹなど）の５つの情報で記述することができる。このとき、アクセス制御情報は、例えば実行可能なスクリプト言語で記述することができる。

そして、アクセス制御情報によって、第１の属性情報および第２の属性情報の一方あるいは双方が一定の判定条件を満たすか否かに応じて所望のアクションが実行されるように単一あるいは複数のルールによってアクセス制御方法が定義される。

ここで、判定条件としては、“＝”等の比較演算子、全ての条件を表す“ＡＬＬ”、条件を反転する“！”等の記号、符号あるいは文字を用いた条件文で定義することができる。

また、アクションとしては、“ＡＣＣＥＰＴ”、“ＲＥＪＥＣＴ”、“ＤＥＮＹ”等のように命令文として定義することができる。例えば、操作者が医用画像データにアクセスしようとする場合に、医用画像データのリストを表示することが可能であるが、“ＡＣＣＥＰＴ”は判定条件を満たす場合に医用画像データをリストに表示させて選択可能にするというアクション、“ＲＥＪＥＣＴ”は判定条件を満たす場合に医用画像データをリストに表示させるが選択できないようにアクセス制限するというアクション、“ＤＥＮＹ”は判定条件を満たす場合に医用画像データをリストに表示させないというアクセス制限を行うアクションとして定義することができる。

例えば、ルール００１で定義されるアクセス制御条件は「第１の属性情報であるデータ属性情報に含まれる検査依頼科情報と、第２の属性情報である操作者属性情報に含まれる所属情報とが同じ（＝：イコール）の関係にあれば、アクション“ＤＥＮＹ”を実行する」という制御条件である。ルール００２で定義されるアクセス制御条件は「第１の属性情報であるデータ属性情報に含まれる撮影者情報と、第２の属性情報である操作者属性情報に含まれる所属情報とが同じ（＝：イコール）の関係にあれば、アクション“ＡＣＣＥＰＴ”を実行する」という制御条件である。

ルール００１とは逆に、操作者属性情報に含まれる操作者の所属情報とデータ属性情報に含まれる検査依頼科情報とが互いに異なる場合には、アクセス不可と判定されるようにアクセス制御情報（ルール）を作成すれば、検査を依頼した診療科に所属する操作者でなければ、医用データにアクセスできないようにアクセス制御を行うことが可能となる。また、ルール００２は、換言すれば、データ属性情報に含まれる撮影者情報と操作者属性情報に含まれる操作者の識別情報とが互いに異なる場合には、アクセス不可と判定するルールであり、検査を実施した撮影者でなければ、医用データにアクセスできないようにアクセス制御を行うことが可能となる。

また、ルール００３で定義されるアクセス制御条件は「第１の属性情報であるデータ属性情報に含まれる担当医情報が第２の属性情報である操作者属性情報に含まれる操作者の識別情報と等しくない場合には、アクション“ＲＥＪＥＣＴ”を実行する」という制御条件である。このようにアクセス制約条件を設定すれば、操作者が担当医になっていない画像データを選択することができないようにアクセス制御することが可能となる。つまり、検査を依頼した担当医でなければ、医用データにアクセスできないようにアクセス制御を行うことが可能となる。

さらに、ルール００４で定義されるアクセス制御条件は「第１の属性情報であるデータ属性情報に含まれる医療チーム情報が第２の属性情報である操作者属性情報に含まれる医療チーム情報と同じ（＝：イコール）の関係にあれば、アクション“ＡＣＣＥＰＴ”を実行する」という制御条件である。換言すれば、データ属性情報に含まれる医療チーム情報と操作者属性情報に含まれる医療チーム情報とが互いに異なる場合には、アクセス不可と判定するルールである。このようにアクセス制約条件を設定すれば、操作者が所属する医療チームが治療に当たっている患者の画像データであれば、画像データを選択することができるようにアクセス制御することが可能となる。

また、ルールとしては、時間的範囲情報をアクセス条件に用い、操作者のアクセス日時をアクセス可否の判定に用いることが出来る。つまり、操作者属性情報に操作者にアクセス権限を付与する時間的範囲を規定する時間的範囲情報を含める一方、データ属性情報に例えば検査を行った日時を示す検査日時時刻を含め、検査日時時刻が時間的範囲情報に含まれない場合には、アクセス不可と判定されるようにルールを作成することができる。

より具体的な例としては、ルール００５に示すように、第１の属性情報を操作者属性情報の時間的なアクセススコープとして検査中のみ、当日検査のみあるいは過去検査のみとし、データ属性情報に含まれる検査日時時刻に基づいて、アクションが実行されるようにアクセス制御することもできる。つまり、図２に示すように、患者とアクセス者である操作者との関係のみならず、操作者の医用データへのアクセス日時情報を用いてアクセス制御情報を記述することにより、動的なアクセス制御を実現することが可能となる。

尚、ルールが複数ある場合には、優先度を任意に設定することができる。例えば、ルールの“ＡＣＣＥＰＴ”、“ＲＥＪＥＣＴ”、“ＤＥＮＹ”の順にアクションの優先度を設定する方法、ルールの識別番号順にアクションの優先度を設定する方法、複数のルールでアクセス制御リストを形成し、共通のアクセス制御リスト内では最も新しいルールを優先する一方、互いに異なるアクセス制御リスト間では、“ＤＥＮＹ”を優先させる方法等の方法が可能である。

このようなアクセス制御情報の作成に必要な情報は入力装置２からアクセス制御情報作成部８に与えることができる。ただし、アクセス制御情報作成部８の利用権限を持つ操作者により入力装置２が操作された場合に制限することができる。この場合、アクセス制御情報作成部８の利用権限自体もアクセス制御情報で定義することが可能であり、一旦定義したアクセス制御情報作成部８の利用権限を記述したアクセス制御情報をアクセス制御情報作成部８によって変更することもできる。

そして、アクセス制御情報記憶部７には、アクセス制御情報作成部８によって作成されたアクセス制御情報が保存される。

アクセス制御情報取得部９は、アクセス可否判定部１０から受けた操作者の識別情報や役割情報に基づいてアクセス制御情報記憶部７から当該操作者のアクセス制御情報をリストとして取得し、取得したアクセス制御情報をアクセス可否判定部１０に与える機能を有する。

アクセス可否判定部１０は、アクセス制御情報取得部９から受けたアクセス制御情報に従って、操作者属性情報取得部５から受けた操作者属性情報およびデータ属性情報取得部６から受けたデータ属性情報の少なくとも一方に基づいて、操作者の医用データへのアクセス可否判定を実行し、アクセス不可と判定された医用データへのアクセス制限を行う機能を有する。

より具体的には、アクセス可否判定部１０は、医用データ記憶部１２に保存された医用データのうち、閲覧（アクセス）したい医用データを簡便に検索するための患者リスト、検査リスト、画像リスト等のリストを表示させるための情報を、入力装置２から受けた操作者の識別情報や役割情報に基づいてリスト情報として作成し、作成したリスト情報をモニタ等の表示装置３に与えることにより表示させる機能と、入力装置２から受けた医用データの表示指令と操作者の識別情報や役割情報とに基づいて医用データ記憶部１２に保存された医用データをモニタ等の表示装置３に与えることにより表示させる機能とを有する。また、リスト情報の作成や医用データの表示の際には、医用データ記憶部１２に保存された医用画像データ等の医用データやデータ属性情報取得部６に保存されたデータ属性情報が参照される。さらに、必要に応じて入力装置２から受けた情報により操作者によるアクセス日時がアクセス可否判定部１０に記録され、リスト作成や医用データの表示に伴って実行されるアクセス可否判定の際にアクセス日時が参照される。

また、アクセス可否判定部１０には、リスト情報を作成して表示させる際や医用データを表示させる際には、入力装置２から受けた操作者の識別情報や役割情報をアクセス制御情報取得部９に与える一方、当該操作者のアクセス制御情報をリストとしてアクセス制御情報取得部９から取得する機能が備えられ、アクセス制御情報において記述された各ルールに従って医用データへのアクセス可否判定を行ってリスト情報の作成や医用データの表示を実行するように構成される。

すなわち、アクセス可否判定部１０は、アクセス制御情報において記述された各ルールに従って、第１の属性情報および第２の属性情報を示す値を取得し、２つの値を用いて判定条件を満たすか否か（ＴＲＵＥであるかＦＡＬＳＥであるか）を評価する。そして、評価結果がＴＲＵＥであれば、各ルールにおいて指定されたアクションが実行される。このとき、アクセス可否判定部１０は、操作者属性情報およびデータ属性情報のうち、医用データへのアクセス可否判定に必要な情報を操作者属性情報取得部５やデータ属性情報取得部６に要求し、必要な操作者属性情報やデータ属性情報を操作者属性情報取得部５やデータ属性情報取得部６から取得するようにされる。

尚、複数のルールが設定されている場合には、各ルールをルールの識別番号順に判定に用いるようにすることができる。この場合、適用対象となりアクションを実行すべきルールに該当した時点で、アクセス制御における判定処理が終了される。また、全てのルールに該当しない場合には、デフォルトで指定したアクションが実行されるようにすることができる。

また、アクセス制御情報が実行可能なスクリプト言語で記述されている場合には、そのスクリプト言語を実行することによりスクリプト言語に対応する外部プログラムが呼び出される。そして、各外部プログラムにより得られた属性情報を元にアクセス可否判定が行われる。

そして、このような医用データアクセス制御システム４により、医用画像診断装置１には操作者の医用データに対するアクセス制御の機能が備えられる。

次に、医用画像診断装置１の作用について説明する。

図６は図１に示す医用画像診断装置１により医用データへのアクセス制御を行う際の手順を示すフローチャートであり、図中Ｓに数字を付した符号はフローチャートの各ステップを示す。

まずステップＳ１において、医用画像診断装置１に保存された医用データへのアクセスを制御するためのアクセス制御情報の作成および保存が行われる。すなわち、入力装置２からアクセス制御情報作成部８に情報が与えられ、アクセス制御情報作成部８は、図５に示すようなルールで記述されるアクセス制御情報を作成する。さらに、アクセス制御情報作成部８は、作成したアクセス制御情報をアクセス制御情報記憶部７に書き込む。このためアクセス制御情報記憶部７には、アクセス制御情報作成部８によって作成されたアクセス制御情報が保存される。

次に、ステップＳ２において、医用画像診断装置１の操作者が医用データ記憶部１２に保存された医用データ、例えば医用画像データにアクセスするために、識別情報および役割情報の少なくとも一方を入力装置２に入力する。入力装置２からは、医用画像データへのアクセス要求が操作者の識別情報や役割情報とともにアクセス可否判定部１０に与えられる。このときアクセス可否判定部１０は、操作者のアクセス日時を記録する。

次に、ステップＳ３において、アクセス可否判定部１０は、入力装置２から受けた操作者の識別情報や役割情報をアクセス制御情報取得部９に与える。アクセス制御情報取得部９は、アクセス可否判定部１０から受けた操作者の識別情報や役割情報に基づいてアクセス制御情報記憶部７を検索し、操作者に該当するアクセス制御情報をリスト形式で取得する。さらにアクセス制御情報取得部９は、取得したアクセス制御情報をアクセス可否判定部１０に与える。この結果、アクセス可否判定部１０は、操作者のアクセス制御情報をリストとしてアクセス制御情報取得部９から取得することができる。

次に、ステップＳ４において、アクセス可否判定部１０は、アクセス制御情報取得部９から取得したアクセス制御情報を参照し、ルールに記述された操作者属性情報およびデータ属性情報、すなわち操作者の医用画像データへのアクセス可否判定に必要な、操作者属性情報およびデータ属性情報を操作者属性情報取得部５やデータ属性情報取得部６に要求する。

このため、操作者属性情報取得部５は、アクセス可否判定部１０から受けた要求に従って、操作者属性情報記憶部１１から必要な操作者属性情報を取得し、取得した操作者属性情報をアクセス可否判定部１０に与える。また、データ属性情報取得部６は、アクセス可否判定部１０から受けた要求に従って、データ属性情報記憶部１３から必要なデータ属性情報を取得し、取得したデータ属性情報をアクセス可否判定部１０に与える。

この結果、アクセス可否判定部１０は、操作者の医用画像データに対するアクセス可否判定に必要な操作者属性情報およびデータ属性情報を取得することができる。

次に、ステップＳ５において、アクセス可否判定部１０は、取得した操作者属性情報、データ属性情報およびアクセス日時情報を参照し、アクセス制御情報に従って、患者と操作者との関係に応じて医用画像データへの操作者のアクセス可否を判定する。

例えば、図５に示すアクセス制御情報のルール００１に従って、アクセス可否を判定する場合には、操作者がアクセスするためにリスト表示を求めている医用画像データのデータ属性情報から検査依頼科情報が抽出される一方、当該操作者の操作者属性情報から所属情報が抽出される。抽出された検査依頼科情報および所属情報はそれぞれ数値として表されており、アクセス可否判定部１０は、これら２つの値を比較する。そして、両者の値が同じであれば、ルール００１に従ってリストには表示しない“ＤＥＮＹ”というアクションを実行する。

この結果、ステップＳ６において、アクセス可否判定部１０は、アクセス可否の結果実行すべきアクションに従って、医用画像データのリストを表示させるためのリスト情報を作成し、作成した作成したリスト情報をモニタ等の表示装置３に与えることにより表示させる。このため、操作者は、表示装置３に表示されたリストを参照し、表示装置３に表示させたい医用画像を選択して入力装置２から表示指令を入力することができる。入力装置２に入力された医用画像の表示指令はアクセス可否判定部１０に与えられ、アクセス可否判定部１０はアクセス制御情報に従って表示指令を受けた医用画像データが表示可能であれば、医用データ記憶部１２から当該医用画像データを読み込んで、モニタ等の表示装置３に与えることにより表示させる。

すなわち、例えば図５に示すアクセス制御情報において、“ＤＥＮＹ”というアクションに該当する場合には、リストに医用画像データが表示されず、“ＲＥＪＥＣＴ”というアクションに該当する場合には、リストに医用画像データが表示されるものの医用画像データを表示させるための選択を行うことができない。また、“ＡＣＣＥＰＴ”、というアクションに該当する場合には、操作者がリストから医用画像データを選択して表示装置３に表示させることができる。

以上のような医用画像診断装置１によれば、医用画像データ等の医用データに対するアクセス制御を患者と操作者との関係に応じて動的に行うことができるため、患者の個人情報である医用データをより容易かつ適正に保護することが可能となる。

尚、医用画像診断装置１の一部の機能や処理を省略してもよい。また、実施形態として示した医用画像診断装置１では、操作者が医用データのデータ資源、すなわち医用データ記憶部１２に保存された医用データにアクセスしようとする時に、そのデータ資源に対するアクセス権限を示すアクセス制御情報を医用データアクセス制御システム４が取得するようにしたが、操作者が医用画像診断装置１にログインした際に、操作者が持つアクセス権限やアクセス可能なデータやデバイスなどの資源を列挙したアクセス制御情報をアクセスコントロールリスト（ＡＣＬ：Access Control List）として医用データアクセス制御システム４が一括で取得するようにしてもよい。

本発明に係る医用機器の一例である医用画像診断装置の実施の形態を示す機能ブロック図。 図１に示す医用画像診断装置によってアクセス制御される医用データと患者、アクセス者との関係の一例を示す概念図。 図１に示す医用画像診断装置の操作者属性情報記憶部に保存される操作者属性情報の一例を示す図。 図１に示す医用画像診断装置のデータ属性情報記憶部に保存されるデータ属性情報の一例を示す図。 図１に示す医用画像診断装置のアクセス制御情報作成部によって作成されるアクセス制御情報の一例を示す図。 図１に示す医用画像診断装置により医用データへのアクセス制御を行う際の手順を示すフローチャート。

符号の説明

１ 医用画像診断装置
２ 入力装置
３ 表示装置
４ 医用データアクセス制御システム
５ 操作者属性情報取得部
６ データ属性情報取得部
７ アクセス制御情報記憶部
８ アクセス制御情報作成部
９ アクセス制御情報取得部
１０ アクセス可否判定部
１１ 操作者属性情報記憶部
１２ 医用データ記憶部
１３ データ属性情報記憶部

Claims (9)

1. 操作者の属性情報を操作者属性情報として保存する操作者属性情報記憶部と、医用データを保存する医用データ記憶部と、前記医用データの属性情報をデータ属性情報として保存するデータ属性情報記憶部とを備えた医用機器において、
   前記操作者属性情報および前記データ属性情報の少なくとも一方を用いて前記医用データへの前記操作者のアクセスを制御するためのアクセス制御情報を作成するアクセス制御情報作成部と、
   前記アクセス制御情報を保存するアクセス制御情報記憶部と、
   前記操作者の識別情報および役割情報の少なくとも一方に基づいて、前記アクセス制御情報記憶部から当該操作者の前記アクセス制御情報を取得するアクセス制御情報取得部と、
   前記アクセス制御情報取得部により取得された前記アクセス制御情報に従うアクセス可否判定に必要な前記操作者属性情報を前記操作者属性情報記憶部から取得する操作者属性情報取得部と、
   前記アクセス制御情報取得部により取得された前記アクセス制御情報に従うアクセス可否判定に必要な前記データ属性情報を前記データ属性情報記憶部から取得するデータ属性情報取得部と、
   前記アクセス制御情報取得部から受けた前記アクセス制御情報に従って、前記操作者属性情報取得部から受けた前記操作者属性情報および前記データ属性情報取得部から受けた前記データ属性情報の少なくとも一方に基づいて、前記操作者の前記医用データへのアクセス可否判定を実行し、アクセス不可と判定された前記医用データへのアクセス制限を行うアクセス可否判定部と、
   を設けたことを特徴とする医用機器。
2. 前記アクセス制御情報作成部は、前記アクセス制御情報を、前記医用データのうち表示装置に表示させる医用データを選択するためのリストにアクセス不可と判定された前記医用データが表示されないように作成することが可能である一方、前記アクセス可否判定部は、アクセス不可と判定された前記医用データが前記リストに表示されないように前記リスト情報を作成するように構成されることを特徴とする請求項１記載の医用機器。
3. 前記アクセス制御情報作成部は、前記アクセス制御情報を、前記医用データのうち表示装置に表示させる医用データを選択するためのリストからアクセス不可と判定された前記医用データを選択できないように作成することが可能である一方、前記アクセス可否判定部は、アクセス不可と判定された前記医用データが前記リストから選択できないように前記リスト情報を作成するように構成されることを特徴とする請求項１記載の医用機器。
4. 前記操作者属性情報には、前記操作者が所属している診療科を示す所属情報が含まれる一方、前記データ属性情報には検査を依頼した診療科を示す検査依頼科情報が含まれ、前記アクセス制御情報作成部は、前記操作者の前記所属情報と前記検査依頼科情報とが互いに異なる場合には、アクセス不可と判定されるように前記アクセス制御情報を作成できるようにしたことを特徴とする請求項１記載の医用機器。
5. 前記データ属性情報には検査を依頼した担当医を示す担当医情報が含まれる一方、前記操作者属性情報には前記操作者の識別情報が含まれ、前記アクセス制御情報作成部は、前記操作者の識別情報と前記担当医情報とが互いに異なる場合には、アクセス不可と判定されるように前記アクセス制御情報を作成できるようにしたことを特徴とする請求項１記載の医用機器。
6. 前記データ属性情報には前記医用データを撮影した撮影者を示す撮影者情報が含まれる一方、前記操作者属性情報には前記操作者の識別情報が含まれ、前記アクセス制御情報作成部は、前記操作者の識別情報と前記撮影者情報とが互いに異なる場合には、アクセス不可と判定されるように前記アクセス制御情報を作成できるようにしたことを特徴とする請求項１記載の医用機器。
7. 前記データ属性情報には該当患者の治療に当たっている医療チームを示す医療チーム情報が含まれる一方、前記操作者属性情報には前記医療チームに前記操作者が所属していることを示す医療チーム情報が含まれ、前記アクセス制御情報作成部は、前記データ属性情報に含まれる医療チーム情報と前記操作者属性情報に含まれる医療チーム情報とが互いに異なる場合には、アクセス不可と判定されるように前記アクセス制御情報を作成できるようにしたことを特徴とする請求項１記載の医用機器。
8. 前記操作者属性情報には時間的範囲情報が含まれる一方、前記データ属性情報には検査日時時刻が含まれ、前記アクセス制御情報作成部は、前記検査日時時刻が前記時間的範囲情報に含まれない場合には、アクセス不可と判定されるように前記アクセス制御情報を作成できるようにしたことを特徴とする請求項１記載の医用機器。
9. 医用機器に操作者属性情報として保存された操作者の属性情報およびデータ属性情報として保存された医用データの属性情報の少なくとも一方を用いて前記医用機器に保存された医用データへの操作者のアクセスを制御するためのアクセス制御情報を作成するステップと、
   前記アクセス制御情報を保存するステップと、
   前記操作者の識別情報および役割情報の少なくとも一方に基づいて、保存された前記アクセス制御情報から当該操作者の前記アクセス制御情報を取得するステップと、
   取得された前記アクセス制御情報に従うアクセス可否判定に必要な前記操作者属性情報を取得するステップと、
   取得された前記アクセス制御情報に従うアクセス可否判定に必要な前記データ属性情報を取得するステップと、
   取得された前記アクセス制御情報に従って、取得された前記操作者属性情報および前記データ属性情報の少なくとも一方に基づいて、前記操作者の前記医用データへのアクセス可否判定を実行し、アクセス不可と判定された前記医用データへのアクセス制限を行うステップと、
   を有することを特徴とする医用データアクセス制御方法。

Images