(57)【特許請求の範囲】
【請求項１】
機密情報へのアクセス制御を行う情報処理端末であって、
一般情報及び機密情報を記録する保存領域と、
前記保存領域に記録されている前記一般情報又は前記機密情報へのアクセス命令をユーザから受け付ける入出力受付部と、
前記機密情報へのアクセスが可能な行動範囲を示すアクセス可能領域指定マップを保持するアクセス可能領域保持部と、
前記入出力受付部で前記機密情報へのアクセス命令が受付けられたことに応じて、当該機密情報へのアクセスの可否を判定する機密情報アクセス制御部とを備え、
前記機密情報アクセス制御部は、
前記情報処理端末の現在の位置を示す現在位置情報を取得する現在位置取得部と、
前記現在位置情報で示される前記情報処理端末の位置が、前記アクセス可能領域保持部に保持されている前記アクセス可能領域指定マップ上にある場合に、前記機密情報へのアクセスを許可するアクセス判定部と、
前記アクセス判定部でアクセスが許可されたことに応じて、前記保存領域に記録されている前記機密情報へのアクセスを行う機密情報アクセス部とを備え、
前記アクセス可能領域指定マップは、複数の区画の集合によって表現されており、
前記保存領域に記録された前記機密情報は、データ鍵によって暗号化されており、
前記データ鍵は、前記区画毎に割り当てられた区画鍵によって暗号化されており、
前記機密情報アクセス部は、前記現在位置取得部によって取得された現在位置情報に基づいて前記区画鍵を生成し、生成した前記区画鍵で前記データ鍵を復号し、復号された前記データ鍵で前記保存領域に記録されている前記機密情報を復号する
情報処理端末。
【請求項２】
前記アクセス可能領域指定マップは、出発地点から到着地点までの前記情報処理端末の経路情報を表す
請求項１に記載の情報処理端末。
【請求項３】
前記アクセス可能領域保持部は、経路の異なる複数の前記アクセス可能領域指定マップを保持する
請求項２に記載の情報処理端末。
【請求項４】
前記情報処理端末は、さらに、外部から取得したアクセス可能領域指定マップで、前記アクセス可能領域保持部の内容を更新する更新部を備える
請求項２に記載の情報処理端末。
【請求項５】
前記更新部は、
外部記録メディアから前記アクセス可能領域指定マップを読み出すメディア読み書き部と、
前記メディア読み書き部によって前記外部記録メディアから読み出された前記アクセス可能領域指定マップを前記アクセス可能領域保持部に書き込む経路情報書込部とを備える
請求項４に記載の情報処理端末。
【請求項６】
前記更新部は、
外部サーバと通信する通信部と、
前記通信部によって前記外部サーバから取得した前記アクセス可能領域指定マップを、前記アクセス可能領域保持部に書き込む経路情報書込部とを備える
請求項４に記載の情報処理端末。
【請求項７】
前記機密情報アクセス制御部は、耐タンパ技術又はＲｅａｃｔｉｖｅ  Ｍｅｔｈｏｄｓを用いて、保護されている
請求項１に記載の情報処理端末。
【請求項８】
前記機密情報は、前記一般情報に比べて、前記保存領域の保護レベルの高い領域に記録されている
請求項１に記載の情報処理端末。
【請求項９】
前記アクセス可能領域指定マップは、複数の区画の集合によって表現されており、
前記機密情報アクセス制御部は、さらに、
該情報処理端末の現在位置に対応する区画を記録している現在位置記録部と、
現在位置記録部に記録されている区画の直前に該情報処理端末が通過した区画を記録している前回位置記録部と、
前記現在位置取得部に該情報処理端末の現在位置情報を定期的に取得させ、取得した現在位置情報に対応する区画が、前記現在位置記録部に記録されている区画と異なる場合に、前記現在位置記録部に記録されている区画で前記前回位置記録部を上書きし、取得した現在位置情報に対応する区画で前記現在位置記録部の内容を上書きする位置更新判定部とを備え、
前記アクセス判定部は、前記入出力受付部で前記機密情報へのアクセス命令が受付けられたタイミングで前記現在位置取得部によって取得された前記現在位置情報に対応する区画と、前記前回位置情報に記録されている区画とが、前記アクセス可能領域指定マップ上の互いに隣接する区画である場合に、前記機密情報へのアクセスを許可する
請求項１に記載の情報処理端末。
【請求項１０】
前記保存領域に記録された前記機密情報は、データ鍵によって暗号化されており、
前記データ鍵は、前記区画毎に割り当てられた区画鍵によって暗号化されており、
前記機密情報アクセス部は、前記現在位置取得部によって取得された現在位置情報に対応する区画と前記前回位置記録部に記録されている区画とに基づいて前記区画鍵を生成し、生成した前記区画鍵で前記データ鍵を復号し、復号された前記データ鍵で前記保存領域に記録されている前記機密情報を復号する
請求項９に記載の情報処理端末。
【請求項１１】
一般情報及び機密情報を記録する保存領域と、前記機密情報へのアクセスが可能な行動範囲を示すアクセス可能領域指定マップを保持するアクセス可能領域保持部とを備える情報処理端末における機密情報アクセス制御方法であって、
前記情報処理端末が、前記保存領域に記録されている前記一般情報又は前記機密情報へのアクセス命令をユーザから受け付ける入出力受付ステップと、
前記入出力受付ステップで前記機密情報へのアクセス命令が受付けられたことに応じて、前記情報処理端末が当該機密情報へのアクセスの可否を判定する機密情報アクセス制御ステップとを含み、
前記機密情報アクセス制御ステップは、
前記情報処理端末が、前記情報処理端末の現在の位置を示す現在位置情報を取得する現在位置取得ステップと、
前記現在位置情報で示される前記情報処理端末の位置が、前記アクセス可能領域保持部に保持されている前記アクセス可能領域指定マップ上にある場合に、前記情報処理端末が前記機密情報へのアクセスを許可するアクセス判定ステップと、
前記アクセス判定ステップでアクセスが許可されたことに応じて、前記情報処理端末が前記保存領域に記録されている前記機密情報へのアクセスを行う機密情報アクセスステップとを含み、
前記アクセス可能領域指定マップは、複数の区画の集合によって表現されており、
前記保存領域に記録された前記機密情報は、データ鍵によって暗号化されており、
前記データ鍵は、前記区画毎に割り当てられた区画鍵によって暗号化されており、
前記機密情報アクセスステップでは、前記情報処理端末は、前記現在位置取得ステップによって取得された現在位置情報に基づいて前記区画鍵を生成し、生成した前記区画鍵で前記データ鍵を復号し、復号された前記データ鍵で前記保存領域に記録されている前記機密情報を復号する
機密情報アクセス制御方法。
【請求項１２】
前記アクセス可能領域指定マップは、複数の区画の集合によって表現されており、
該情報処理端末は、さらに、
該情報処理端末の現在位置に対応する区画を記録している現在位置記録部と、
現在位置記録部に記録されている区画の直前に該情報処理端末が通過した区画を記録している前回位置記録部とを備え、
前記機密情報アクセス制御ステップでは、前記情報処理端末が、さらに、該情報処理端末の現在位置情報を定期的に取得し、取得した現在位置情報に対応する区画が、前記現在位置記録部に記録されている区画と異なる場合に、前記現在位置記録部に記録されている区画で前記前回位置記録部を上書きし、取得した現在位置情報に対応する区画で前記現在位置記録部を上書きする位置更新判定ステップを含み、
前記アクセス判定ステップでは、前記入出力受付ステップで前記機密情報へのアクセス命令が受付けられたタイミングで前記現在位置取得ステップで取得された前記現在位置情報に対応する区画と、前記前回位置情報に記録されている区画とが、前記アクセス可能領域指定マップ上の互いに隣接する区画である場合に、前記情報処理端末が前記機密情報へのアクセスを許可する
請求項１１に記載の機密情報アクセス制御方法。
【請求項１３】
請求項１１又は１２に記載の機密情報アクセス制御方法をコンピュータに実行させるためのプログラム。
【請求項１４】
請求項１１又は１２に記載の機密情報アクセス制御方法をコンピュータに実行させるためのプログラムを記録したコンピュータ読取可能な記録媒体。
【請求項１５】
機密情報へのアクセス制御を行う集積回路であって、
一般情報及び機密情報を記録する保存領域と、
前記保存領域に記録されている前記一般情報又は前記機密情報へのアクセス命令をユーザから受け付ける入出力受付部と、
前記機密情報へのアクセスが可能な行動範囲を示すアクセス可能領域指定マップを保持するアクセス可能領域保持部と、
前記入出力受付部で前記機密情報へのアクセス命令が受付けられたことに応じて、当該機密情報へのアクセスの可否を判定する機密情報アクセス制御部とを備え、
前記機密情報アクセス制御部は、
前記情報処理端末の現在の位置を示す現在位置情報を取得する現在位置取得部と、
前記現在位置情報で示される前記情報処理端末の位置が、前記アクセス可能領域保持部に保持されている前記アクセス可能領域指定マップ上にある場合に、前記機密情報へのアクセスを許可するアクセス判定部と、
前記アクセス判定部でアクセスが許可されたことに応じて、前記保存領域に記録されている前記機密情報へのアクセスを行う機密情報アクセス部とを備え、
前記アクセス可能領域指定マップは、複数の区画の集合によって表現されており、
前記保存領域に記録された前記機密情報は、データ鍵によって暗号化されており、
前記データ鍵は、前記区画毎に割り当てられた区画鍵によって暗号化されており、
前記機密情報アクセス部は、前記現在位置取得部によって取得された現在位置情報に基づいて前記区画鍵を生成し、生成した前記区画鍵で前記データ鍵を復号し、復号された前記データ鍵で前記保存領域に記録されている前記機密情報を復号する
集積回路。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、ＩＴ化の進む医療業界において、看護師が患者宅の訪問時に患者の個人情報を記録して持ち出す情報処理端末から、患者の個人情報の情報漏えいするのを防止する方法に関するものである。
【背景技術】
【０００２】
近年、医療業界ではデータの管理、処理の効率化を目的に電子カルテの導入などＩＴ化が進みつつある。また、病院における患者の在院日数の短縮化により、訪問看護が注目され始めている。ＩＴ化が進むと、訪問看護を行う訪問看護師は一度に大量の患者の個人情報を情報処理端末に記録して、持ち出すことが可能となる。その一方で、訪問時に情報処理端末が盗難されると、プライバシの漏えいが課題となる。【０００３】
プライバシの保護を行う手法としては、情報処理端末に記録した情報に暗号化を行うと共に、ＧＰＳ（Ｇｌｏｂａｌ  Ｐｏｓｉｔｉｏｎｉｎｇ  Ｓｙｓｔｅｍ）による位置情報や時間情報によってアクセス制御を行うものがある（例えば、特許文献１）。【０００４】
また、位置情報を用いてアクセス制御を行う手法には、ＧＰＳから得た位置情報を鍵として、情報を暗号化するものもある（例えば、特許文献２）。
【先行技術文献】
【特許文献】
【０００５】
【特許文献１】特開２００２−２６８５４９号公報
【特許文献２】特開２００４−３０２９３０号公報
【発明の概要】
【発明が解決しようとする課題】
【０００６】
しかし、上記従来の技術では、以下のような問題が生じていた。【０００７】
即ち、上記従来の技術では、訪問看護のようなユースケースにおいて、情報処理端末と認証コードとが同時に盗難された場合は、あらかじめ定められた範囲で情報へ不正にアクセスすることができてしまうという問題があった。【０００８】
かかる問題に対しては、時間情報を加えてアクセス制御を行うといった方法が考えられた。しかしながら、情報処理端末の持つ時間情報の改ざんは必ずしも困難ではないため、十分な対策とはいえなかった。【０００９】
そこで、本発明では、上記課題に鑑みてなされたものであって、訪問看護などプライバシに関わる機密情報を情報処理端末に記録して持ち出した時、盗難が起きたとしても情報漏えいを防止することのできる情報処理端末と機密情報アクセス制御方法とを提供することを目的とする。
【課題を解決するための手段】
【００１０】
本発明の一形態に係る情報処理端末は、機密情報へのアクセス制御を行う。具体的には、一般情報及び機密情報を記録する保存領域と、前記保存領域に記録されている前記一般情報又は前記機密情報へのアクセス命令をユーザから受け付ける入出力受付部と、前記機密情報へのアクセスが可能な行動範囲を示すアクセス可能領域指定マップを保持するアクセス可能領域保持部と、前記入出力受付部で前記機密情報へのアクセス命令が受付けられたことに応じて、当該機密情報へのアクセスの可否を判定する機密情報アクセス制御部とを備える。そして、前記機密情報アクセス制御部は、前記情報処理端末の現在の位置を示す現在位置情報を取得する現在位置取得部と、前記現在位置情報で示される前記情報処理端末の位置が、前記アクセス可能領域保持部に保持されている前記アクセス可能領域指定マップ上にある場合に、前記機密情報へのアクセスを許可するアクセス判定部と、前記アクセス判定部でアクセスが許可されたことに応じて、前記保存領域に記録されている前記機密情報へのアクセスを行う機密情報アクセス部とを備える。前記アクセス可能領域指定マップは、複数の区画の集合によって表現されている。前記保存領域に記録された前記機密情報は、データ鍵によって暗号化されている。前記データ鍵は、前記区画毎に割り当てられた区画鍵によって暗号化されている。そして、前記機密情報アクセス部は、前記現在位置取得部によって取得された現在位置情報に基づいて前記区画鍵を生成し、生成した前記区画鍵で前記データ鍵を復号し、復号された前記データ鍵で前記保存領域に記録されている前記機密情報を復号する。
【００１１】
これにより、機密情報へのアクセスが可能な領域をあらかじめ指定することができる。その結果、予め定められた行動範囲においてのみ機密情報にアクセス可能な情報処理端末を提供することができる。【００１２】
また、前記アクセス可能領域指定マップは、出発地点から到着地点までの前記情報処理端末の経路情報を表すものであってもよい。これにより、機密情報へのアクセスが可能な領域を、当該情報処理端末が外部に持ち出された時の経路上に制限することができる。【００１３】
また、前記アクセス可能領域保持部は、経路の異なる複数の前記アクセス可能領域指定マップを保持してもよい。これにより、情報処理端末にあらかじめ複数の異なる経路を用意することができる。その結果、万が一故障などのトラブルがあった場合にも、ユーザの利便性を欠くことなく、移動中のアクセス制御を実現することができる。【００１４】
さらに、前記情報処理端末は、外部から取得したアクセス可能領域指定マップで、前記アクセス可能領域保持部の内容を更新する更新部を備えてもよい。これにより、情報処理端末が特定の経路に限定された利用にとどまることなく、利便性が向上する。なお、「アクセス可能領域保持部の内容を更新する」とは、既にアクセス可能領域保持部に保持されているアクセス可能領域指定マップを、新たに取得したアクセス可能領域指定マップで上書きする場合、及びアクセス可能領域指定マップを保持していない状態のアクセス可能領域保持部に、新たに取得したアクセス可能領域指定マップを書き込む場合の両方を含む。【００１５】
一例として、前記更新部は、外部記録メディアから前記アクセス可能領域指定マップを読み出すメディア読み書き部と、前記メディア読み書き部によって前記外部記録メディアから読み出された前記アクセス可能領域指定マップを前記アクセス可能領域保持部に書き込む経路情報書込部とを備えてもよい。これにより、情報処理端末の経路情報を外部メディアを通じて更新することができる。【００１６】
他の例として、前記更新部は、外部サーバと通信する通信部と、前記通信部によって前記外部サーバから取得した前記アクセス可能領域指定マップを、前記アクセス可能領域保持部に書き込む経路情報書込部とを備えてもよい。これにより、情報処理端末の経路情報をネットワークを通じて更新することができる。そのため、万が一故障などのトラブルがあった場合にも、ネットワーク経由でサーバへアクセスして、その地点からの経路情報を取得することができる。その結果、ユーザの利便性を欠くことなく、移動中のアクセス制御を実現することができる。【００１７】
さらに、前記更新部は、取得した前記アクセス可能領域指定マップを所定のハッシュ関数に入力して第１のハッシュ値を算出してもよい。そして、前記機密情報アクセス制御部は、前記更新部で算出された第１のハッシュ値と、前記アクセス可能領域保持部に保持されている前記アクセス可能領域指定マップを前記所定のハッシュ関数に入力して得られる第２のハッシュ値とが一致する場合に、前記機密情報へのアクセスの可否を判定してもよい。これにより、アクセス可能領域指定マップが不正に差し替えられることを防ぐことができる。その結果、より安全な機密情報へのアクセス制御を実現することができる。【００１８】
また、前記機密情報アクセス制御部は、耐タンパ技術又はＲｅａｃｔｉｖｅ  Ｍｅｔｈｏｄｓを用いて、保護されていてもよい。また、前記機密情報は、前記一般情報に比べて、前記保存領域の保護レベルの高い領域に記録されていてもよい。これにより、情報処理端末における機密保護は、より高い保護レベルで実現することができる。【００１９】
前記アクセス可能領域指定マップは、複数の区画の集合によって表現されてもよい。前記保存領域に記録された前記機密情報は、データ鍵によって暗号化されてもよい。前記データ鍵は、前記区画毎に割り当てられた区画鍵によって暗号化されてもよい。そして、前記機密情報アクセス部は、前記現在位置取得部によって取得された現在位置情報に基づいて前記区画鍵を生成し、生成した前記区画鍵で前記データ鍵を復号し、復号された前記データ鍵で前記保存領域に記録されている前記機密情報を復号してもよい。これにより、情報処理端末における機密情報へのアクセスは、あらかじめ定められた位置でなければ復号できないため、より高い保護レベルで実現することができる。【００２０】
前記アクセス可能領域指定マップは、複数の区画の集合によって表現されてもよい。さらに、前記機密情報アクセス制御部は、該情報処理端末の現在位置に対応する区画を記録している現在位置記録部と、現在位置記録部に記録されている区画の直前に該情報処理端末が通過した区画を記録している前回位置記録部と、前記現在位置取得部に該情報処理端末の現在位置情報を定期的に取得させ、取得した現在位置情報に対応する区画が、前記現在位置記録部に記録されている区画と異なる場合に、前記現在位置記録部に記録されている区画で前記前回位置記録部の内容を上書きし、取得した現在位置情報に対応する区画で前記現在位置記録部の内容を上書きする位置更新判定部とを備えてもよい。そして、前記アクセス判定部は、前記入出力受付部で前記機密情報へのアクセス命令が受付けられたタイミングで前記現在位置取得部によって取得された前記現在位置情報に対応する区画と、前記前回位置情報に記録されている区画とが、前記アクセス可能領域指定マップ上の互いに隣接する区画である場合に、前記機密情報へのアクセスを許可してもよい。これにより、情報処理端末の現在の位置情報と、前の位置情報とをもとにアクセス制御ができる。そのため、移動を前提としたより確実で強固なアクセス制御を実現することができる。【００２１】
前記保存領域に記録された前記機密情報は、データ鍵によって暗号化されてもよい。前記データ鍵は、前記区画毎に割り当てられた区画鍵によって暗号化されてもよい。そして、前記機密情報アクセス部は、前記現在位置取得部によって取得された現在位置情報に対応する区画と前記前回位置記録部に記録されている区画とに基づいて前記区画鍵を生成し、生成した前記区画鍵で前記データ鍵を復号し、復号された前記データ鍵で前記保存領域に記録されている前記機密情報を復号してもよい。これにより、情報処理端末における機密情報へは、あらかじめ定められた経路を確実にたどっていなければアクセスできない。そのため、より高い保護レベルで実現することができる。【００２２】
本発明の一形態に係る機密情報アクセス制御方法は、一般情報及び機密情報を記録する保存領域と、前記機密情報へのアクセスが可能な行動範囲を示すアクセス可能領域指定マップを保持するアクセス可能領域保持部とを備える情報処理端末における機密情報へのアクセス制御方法である。具体的には、前記保存領域に記録されている前記一般情報又は前記機密情報へのアクセス命令をユーザから受け付ける入出力受付ステップと、前記入出力受付ステップで前記機密情報へのアクセス命令が受付けられたことに応じて、当該機密情報へのアクセスの可否を判定する機密情報アクセス制御ステップとを含む。そして、前記機密情報アクセス制御ステップは、前記情報処理端末の現在の位置を示す現在位置情報を取得する現在位置取得ステップと、前記現在位置情報で示される前記情報処理端末の位置が、前記アクセス可能領域保持部に保持されている前記アクセス可能領域指定マップ上にある場合に、前記機密情報へのアクセスを許可するアクセス判定ステップと、前記アクセス判定ステップでアクセスが許可されたことに応じて、前記保存領域に記録されている前記機密情報へのアクセスを行う機密情報アクセスステップとを含む。前記アクセス可能領域指定マップは、複数の区画の集合によって表現されている。前記保存領域に記録された前記機密情報は、データ鍵によって暗号化されている。前記データ鍵は、前記区画毎に割り当てられた区画鍵によって暗号化されている。そして、前記機密情報アクセスステップでは、前記現在位置取得ステップによって取得された現在位置情報に基づいて前記区画鍵を生成し、生成した前記区画鍵で前記データ鍵を復号し、復号された前記データ鍵で前記保存領域に記録されている前記機密情報を復号する。これにより、現在の位置情報によるアクセス制御を実現する機密情報アクセス制御方法を提供することができる。
【００２３】
また、前記アクセス可能領域指定マップは、複数の区画の集合によって表現されてもよい。さらに該情報処理端末は、該情報処理端末の現在位置に対応する区画を記録している現在位置記録部と、現在位置記録部に記録されている区画の直前に該情報処理端末が通過した区画を記録している前回位置記録部とを備えてもよい。前記機密情報アクセス制御ステップは、さらに、該情報処理端末の現在位置情報を定期的に取得し、取得した現在位置情報に対応する区画が、前記現在位置記録部に記録されている区画と異なる場合に、前記現在位置記録部に記録されている区画で前記前回位置記録部の内容を上書きし、取得した現在位置情報に対応する区画で前記現在位置記録部を上書きする位置更新判定ステップを含んでもよい。そして、前記アクセス判定ステップでは、前記入出力受付ステップで前記機密情報へのアクセス命令が受付けられたタイミングで前記現在位置取得ステップで取得された前記現在位置情報に対応する区画と、前記前回位置情報に記録されている区画とが、前記アクセス可能領域指定マップ上の互いに隣接する区画である場合に、前記機密情報へのアクセスを許可してもよい。これにより、現在の位置情報と前回の位置情報との２つの位置情報によるアクセス制御を実現する機密情報アクセス制御方法を提供することができる。【００２４】
また、本発明の一形態に係るプログラムは、上記の機密情報アクセス制御方法をコンピュータに実行させるためのプログラムである。さらに、上記のプログラムは、コンピュータ読取可能な記録媒体に記録されていてもよい。【００２５】
本発明の一形態に係る集積回路は、機密情報へのアクセス制御を行う。具体的には、一般情報及び機密情報を記録する保存領域と、前記保存領域に記録されている前記一般情報又は前記機密情報へのアクセス命令をユーザから受け付ける入出力受付部と、前記機密情報へのアクセスが可能な行動範囲を示すアクセス可能領域指定マップを保持するアクセス可能領域保持部と、前記入出力受付部で前記機密情報へのアクセス命令が受付けられたことに応じて、当該機密情報へのアクセスの可否を判定する機密情報アクセス制御部とを備える。そして、前記機密情報アクセス制御部は、前記情報処理端末の現在の位置を示す現在位置情報を取得する現在位置取得部と、前記現在位置情報で示される前記情報処理端末の位置が、前記アクセス可能領域保持部に保持されている前記アクセス可能領域指定マップ上にある場合に、前記機密情報へのアクセスを許可するアクセス判定部と、前記アクセス判定部でアクセスが許可されたことに応じて、前記保存領域に記録されている前記機密情報へのアクセスを行う機密情報アクセス部とを備える。前記アクセス可能領域指定マップは、複数の区画の集合によって表現されている。前記保存領域に記録された前記機密情報は、データ鍵によって暗号化されている。前記データ鍵は、前記区画毎に割り当てられた区画鍵によって暗号化されている。そして、前記機密情報アクセス部は、前記現在位置取得部によって取得された現在位置情報に基づいて前記区画鍵を生成し、生成した前記区画鍵で前記データ鍵を復号し、復号された前記データ鍵で前記保存領域に記録されている前記機密情報を復号する。
【発明の効果】
【００２６】
本発明によれば、情報処理端末の持ち主であるユーザが、あらかじめ定められた経路を正しく進んできた時のみ、機密情報へのアクセスが可能となる。そのため、悪意の第三者が情報処理端末を盗難して持ち去り、定められた経路上から外れて機密情報へアクセスしようとしてもアクセス拒否される。その結果、機密情報の漏えいを防止することができる。
【図面の簡単な説明】
【００２７】
【図１】図１は、本発明の実施の形態１における機密情報アクセス制御システムの全体構成図である。
【図２】図２は、本発明の実施の形態１における看護師端末の構成図である。
【図３】図３は、本発明の実施の形態１における機密情報アクセス制御部の構成図である。
【図４】図４は、本発明の実施の形態１における経路情報保持部が保持する経路情報の例を示す図である。
【図５】図５は、本発明の実施の形態１における機密情報の表示のフローチャートである。
【図６】図６は、本発明の実施の形態１における機密情報へのアクセス判断のフローチャートである。
【図７】図７は、本発明の実施の形態２における機密情報アクセス制御システムの全体構成図である。
【図８】図８は、本発明の実施の形態２における看護師端末の構成図である。
【図９】図９は、本発明の実施の形態２における経路情報保持部が保持する更新された経路情報の例を示す図である。
【図１０】図１０は、本発明の実施の形態２における経路情報更新のフローチャートである。
【図１１】図１１は、本発明の実施の形態３における機密情報アクセス制御部の構成図である。
【図１２】図１２は、本発明の実施の形態３における機密情報アクセス制御部が扱う現在位置と前回位置と経路情報との関係を示す図である。
【図１３】図１３は、本発明の実施の形態３における機密情報アクセス制御部が定期的に現在位置と前回位置の更新を行うフローチャートである。
【図１４】図１４は、本発明の実施の形態３における機密情報へのアクセス判断のフローチャートである。
【図１５】図１５は、現在位置情報を用いて、機密情報を保護する方法を説明するための図である。
【図１６】図１６は、現在位置情報と前回位置情報とを用いて、機密情報を保護する方法を説明するための図である。
【図１７】図１７は、本発明の一形態に係る看護師端末の構成図である。
【発明を実施するための形態】
【００２８】
図１７は、本発明の一形態に係る看護師端末（情報処理端末）１０１の内部構成を示したブロック図である。看護師端末１０１は、図１７に示されるように、入出力受付部２０１と、機密情報アクセス制御部２０２と、経路情報保持部２０３と、機密情報２１０及び一般情報２１１を記録する保存領域２０６とを備える。
【００２９】
入出力受付部２０１は、保存領域２０６に記録されている機密情報２１０及び一般情報２１１へのアクセス命令（入力命令、出力命令等）をユーザから受け付ける。
【００３０】
経路情報保持部（アクセス可能領域保持部）２０３は、看護師端末１０１の行動範囲を示す経路情報（アクセス可能領域指定マップ）を保持している。看護師端末１０１を操作するユーザには、アクセス可能領域指定マップで示される範囲内においてのみ、機密情報２１０へのアクセスが許可される。
【００３１】
機密情報アクセス制御部２０２は、入出力受付部２０１で機密情報２１０へのアクセス命令が受付けられたことに応じて、当該機密情報２１０へのアクセスの可否を判定する。具体的には、機密情報アクセス制御部２０２は、現在位置取得部３０４と、アクセス判定部３０５と、機密情報アクセス部３０６とを備える。
【００３２】
現在位置取得部３０４は、看護師端末１０１の現在の位置を示す現在位置情報を取得する。アクセス判定部３０５は、現在位置情報で示される看護師端末１０１の位置が、経路情報保持部２０３に保持されているアクセス可能領域指定マップ上にある場合に、機密情報２１０へのアクセスを許可する。機密情報アクセス部３０６は、アクセス判定部３０５でアクセスが許可されたことに応じて、保存領域２０６に記録されている機密情報２１０へのアクセスを行う。
【００３３】
なお、上記構成の看護師端末１０１の動作は、以下の実施の形態１〜３で詳しく説明する。なお、図２、図３、図８、及び図１１に示される各ブロック図において、図１７に示されるブロックに対応するブロックには、同一の名称を付している。
【００３４】
以下、図面に基づき本発明の実施の形態を説明する。
【００３５】
（実施の形態１）
以下、本発明の実施の形態１に係る機密情報アクセス制御方法について、図面を参照しながら説明する。
【００３６】
図１は、本発明の実施の形態１に係る機密情報アクセス制御方法が用いられる訪問看護師派遣モデルである。図１において、本実施の形態１に係る訪問看護師派遣モデルでは、訪問看護師が看護師派遣元（単に「派遣元」ともいう）から患者のいる看護師訪問先（単に「訪問先」ともいう）に派遣される。看護師は派遣された時、看護師端末１０１を携帯する。
【００３７】
また、看護師派遣元には、サーバ端末１０２が備えられている。サーバ端末１０２は、訪問看護師が派遣元から訪問先へ訪れるまでの経路情報（「アクセス可能領域指定マップ」ともいう）を作成する。看護師端末１０１は、この経路情報を元に、派遣元から訪問先までの行動経路上で、機密情報２１０のアクセス管理を行う。訪問看護師は、訪問先までの経路情報を、訪問前にサーバ端末１０２から看護師端末１０１にダウンロードする。
【００３８】
また、サーバ端末１０２は、訪問先の患者に関する情報を蓄えている。訪問看護師は、訪問前にサーバ端末１０２から看護師端末１０１に情報をダウンロードしたり、訪問先から派遣元へ戻った後、看護師端末１０１に蓄えられた患者に関する情報をサーバ端末１０２にアップロードしたりする。
【００３９】
図２は、本発明の実施の形態１に係る看護師端末１０１の内部構成を示したブロック図である。図２において、本実施の形態１に係る看護師端末１０１は、入出力受付部２０１と、機密情報アクセス制御部２０２と、経路情報保持部２０３と、経路情報書込部２０４と、メディアＲ／Ｗ（Ｒｅａｄ／Ｗｒｉｔｅ）部２０５と、機密情報２１０及び一般情報２１１を保存する保存領域２０６と、表示部２０９とを備える。
【００４０】
入出力受付部２０１は、ユーザである訪問看護師から、保存領域２０６に記録された機密情報２１０や一般情報２１１への入出力命令を受け付ける。具体的には、入出力受付部２０１は、ユーザからの出力命令を受け付けた時、機密情報２１０及び一般情報２１１のいずれへの命令であるかを判断する。そして、機密情報２１０への命令であった場合は、機密情報アクセス制御部２０２に出力要求を送信する。また、ユーザからの新規の機密情報２１０の入力命令や、既存の機密情報２１０への変更入力命令においても、機密情報アクセス制御部２０２へ入力要求を送信する。
【００４１】
機密情報アクセス制御部２０２は、保存領域２０６の機密情報２１０へのアクセスを制御する。入出力受付部２０１から機密情報２１０への入出力要求を受け付けた場合、機密情報アクセス制御部２０２は、経路情報保持部２０３に保持されている経路情報を元に、アクセスの可否を判定する。そして、「アクセス可」と判定した場合は、出力要求の場合は機密情報２１０を表示部２０９へ送信する。また、入力要求の場合は、新規の機密情報２１０の書込や、既存の機密情報２１０への修正を行う。一方、「アクセス不可」の場合は、その判断結果を入出力受付部２０１に送信する。また、機密情報アクセス制御部２０２は、メディアＲ／Ｗ部２０５を通して、機密情報２１０を記録メディアへ記録する。
【００４２】
なお、保存領域２０６における機密情報２１０の保護の仕方は特に限定されないが、例えば、機密情報アクセス制御部２０２が機密情報２１０を暗復号してもよい。または、機密情報２１０のみ特別なファイルシステムを用いて、一般情報２１１と異なる方法でアクセスするようにしてもよい。さらには、保存領域２０６自身が暗号化機能を保持し、機密情報２１０を入力時に暗号化し、出力時に復号する方法であってもよい。そして、この場合、保存領域２０６が鍵を生成してもよいし、機密情報アクセス制御部２０２が鍵を生成し、保存領域２０６に入力してもよい。
【００４３】
なお、機密情報アクセス制御部２０２は、不正な改ざんから保護されていることが望ましい。例えば、ＷＯ２００４０１３７４４Ａ２（特許文献３）で開示されている耐タンパ技術や、ＴＣＧ（Ｔｒｕｓｔｅｄ  Ｃｏｍｐｕｔｉｎｇ  Ｇｒｏｕｐ）の「ＴＣＧ  Ｍｏｂｉｌｅ  Ｒｅｆｅｒｅｎｃｅ  Ａｒｃｈｉｔｅｃｔｕｒｅ  Ｓｐｅｃｉｆｉｃａｔｉｏｎ  ｖｅｒｓｉｏｎ１．０」で開示されているＲｅａｃｔｉｖｅ  Ｍｅｔｈｏｄｓなどを用いて、保護することが考えられる。
【００４４】
経路情報保持部２０３は、訪問看護師が訪問先を訪れる場合の看護師派遣元から看護師訪問先までの経路情報を保持している。なお、経路情報保持部２０３は、あらかじめ経路の異なる複数の経路情報を保持しておいてもよい。そして、事故などの障害があった場合は、第二候補となる経路情報を用いて、システムの制御が行われるとしてもよい。
【００４５】
経路情報書込部２０４は、メディアＲ／Ｗ部２０５を通して、記録メディアから経路情報を読み出し、経路情報保持部２０３に読み出した経路情報を書き込む。または、経路情報書込部２０４は、通信回線等を介して、サーバ端末１０２から直接経路情報を取得し、経路情報保持部２０３に取得した経路情報を書き込んでもよい。メディアＲ／Ｗ部２０５は、記録メディアに記録されている情報を読み出す処理、及び情報を記録メディアに書き込む処理を行う。すなわち、経路情報書込部２０４及びメディアＲ／Ｗ部２０５は、外部から取得した経路情報で、経路情報保持部２０３の内容を更新する更新部として機能する。
【００４６】
保存領域２０６は、機密情報２１０や一般情報２１１を保存している。保存領域２０６の具体的な構成は特に限定されないが、例えば、ＤＲＡＭ（Ｄｙｎａｍｉｃ  ｒａｎｄｏｍ  ａｃｃｅｓｓ  ｍｅｍｏｒｙ）、ＳＤＲＡＭ（Ｓｙｎｃｈｒｏｎｏｕｓ  ｄｙｎａｍｉｃ  ｒａｎｄｏｍ  ａｃｃｅｓｓ  ｍｅｍｏｒｙ）、フラッシュメモリ、又は強誘電体メモリ等のデータを記録可能な手段であればどのようなものを利用しても構わない。
【００４７】
表示部２０９は、送信されてきた情報を表示する。表示部２０９の具体的な構成は特に限定されないが、例えば、液晶ディスプレイ、プラズマディスプレイ、又は有機ＥＬ（ＥｌｅｃｔｒｏＬｕｍｉｎｅｓｃｅｎｃｅ）ディスプレイ等を採用することができる。
【００４８】
図３は、図２に示す機密情報アクセス制御部２０２の内部構成を示したブロック図である。図３において、本実施の形態１に係る機密情報アクセス制御部２０２は、要求受付部３０１と、制御部３０２と、経路情報取得部３０３と、現在位置取得部３０４と、アクセス判定部３０５と、機密情報アクセス部３０６と、機密情報書出部３１０とを備える。
【００４９】
要求受付部３０１は、入出力受付部２０１からの入出力要求を受け付け、制御部３０２へ送信する。
【００５０】
制御部３０２は、要求受付部３０１から入出力要求を受け取ると、経路情報取得部３０３に対して経路情報取得要求を送信することにより、経路情報取得部３０３に経路情報保持部２０３から経路情報を取得させる。また、制御部３０２は、現在位置取得部３０４に対して現在位置取得要求を送信することにより、現在位置取得部３０４に現在の位置情報を取得させる。そして、制御部３０２は、経路情報取得部３０３から経路情報を、現在位置取得部３０４から現在位置情報をそれぞれ取得する。制御部３０２は、経路情報及び現在位置情報を取得した後、これらをアクセス判定要求とともにアクセス判定部３０５に送信する。さらに、制御部３０２は、アクセス判定部３０５から受信した判定結果が「アクセス可」の場合は、機密情報アクセス部３０６にアクセス要求を送信する。また、制御部３０２は、機密情報書出部３１０に対して、機密情報２１０とともに記録メディアへの書き出し要求を送信する。
【００５１】
経路情報取得部３０３は、制御部３０２から経路情報取得要求を受信すると、経路情報保持部２０３から経路情報を取得し、取得した経路情報を制御部３０２へ送信する。なお、経路情報取得部３０３は、経路情報の差し替えによる不正を防止するために、経路情報のハッシュ値を持つ。そして、経路情報の取得時にハッシュ演算を行って、差し替えの有無を確認するとしてもよい。ここで用いられるハッシュ計算アルゴリズムは、例えば、ＳＨＡ−１やＭＤ５などの一方向性関数を用いたＨＭＡＣ（Ｋｅｙｅｄ−Ｈａｓｈｉｎｇ  ｆｏｒ  Ｍｅｓｓａｇｅ  Ａｕｔｈｅｎｔｉｃａｔｉｏｎ）アルゴリズムで実現される。
【００５２】
より具体的には、経路情報書込部２０４は、経路情報を経路情報保持部２０３に書き込む際に、当該経路情報を所定のハッシュ関数に入力し、第１のハッシュ値を取得する。この第１のハッシュ値は、機密情報アクセス制御部２０２の経路情報取得部３０３に保持される。次に、経路情報取得部３０３は、経路情報保持部２０３から取得した経路情報を所定のハッシュ関数に入力し、第２のハッシュ値を取得する。
【００５３】
そして、経路情報取得部３０３は、経路情報書込部２０４で算出された第１のハッシュ値と、自らが算出した第２のハッシュ値とを比較し、両者が一致する場合にのみ経路情報を制御部３０２に送信してもよい。一方、第１及び第２のハッシュ値が一致しない場合、経路情報取得部３０３は、経路情報が改竄されたと判断し、制御部３０２にエラーメッセージを送信して、処理を終了させてもよい。
【００５４】
現在位置取得部３０４は、制御部３０２から現在位置取得要求を受信すると、看護師端末１０１の現在位置を示す情報（現在位置情報）を取得し、取得した現在位置情報を制御部３０２へ送信する。現在位置情報の取得は、一般的にはＧＰＳによって行われるが、現在位置情報を取得できるものであれば、それに限定されない。
【００５５】
アクセス判定部３０５は、制御部３０２から、経路情報、現在位置情報、及びアクセス判定要求を受信すると、現在位置情報で表される現在位置が、経路情報に示された経路上にあるかどうかを判定する。そして、アクセス判定部３０５は、現在位置が経路上にある場合は「アクセス可」を、経路上にない場合は「アクセス不可」を制御部３０２へ送信する。
【００５６】
機密情報アクセス部３０６は、制御部３０２からアクセス要求を受信すると、保存領域２０６に記録されている機密情報２１０へのアクセスを行う。なお、保存領域２０６における機密情報２１０の保護の仕方に暗復号を用いる場合、機密情報アクセス部３０６は、暗復号機能を備える。一方、特別なファイルシステムを用いる場合、機密情報アクセス部３０６は、特別なファイルシステムを通じて機密情報２１０へアクセスする。
【００５７】
機密情報書出部３１０は、制御部３０２からの指示に応じて、機密情報２１０を記録メディアへ書き出す。
【００５８】
図４は、図２に示す経路情報保持部２０３が保持する経路情報を表した図である。
【００５９】
図４において、経路情報は、看護師派遣元から看護師訪問先までの移動経路を表している。経路情報は、「区画ｎ−ｍ」のように複数の区画に区切られている。図４では、看護師派遣元は「区画１―７」で表され、看護師訪問先は「区画５−１」で表され、訪問看護師の現在位置は「区画３―４」で表される。経路情報は、この「区画ｎ−ｍ」の集合によって、図面上、途切れないように表現されている。この区画とＧＰＳの情報とは対応づけられているが、これはＧＰＳで広く知られた技術であるため、説明を省略する。
【００６０】
以下、以上のように構成された機密情報アクセス制御方法を、図面を用いて説明する。
【００６１】
図５は、図４に示された「区画３―４」に位置する訪問看護師が、看護師端末１０１の機密情報２１０へアクセスする動作を示したフローチャートである。なお、図５は、入出力受付部２０１が「出力命令」を受け付けた場合について説明する。一方、「入力命令」が受け付けられた場合は、「アクセス可」と判定された時に、機密情報を読み出すのに代えて、新たな機密情報を機密情報２１０に書き込む。後述する図６についても同様である。
【００６２】
まず、入出力受付部２０１は、訪問看護師から機密情報２１０への出力命令を受け付けると、機密情報アクセス制御部２０２に出力要求を送信する（Ｓ５０１）。次に、機密情報アクセス制御部２０２は、入出力受付部２０１から機密情報２１０の出力要求を受信すると、アクセスの可否を判定する（Ｓ５０２）。
【００６３】
判定結果が「アクセス可」の場合（Ｓ５０２でＹｅｓ）、機密情報アクセス制御部２０２の制御部３０２は、機密情報アクセス部３０６にアクセス要求を送信し、機密情報２１０にアクセスさせる。機密情報アクセス部３０６は、アクセス要求に従って、保存領域２０６から機密情報２１０を読み出し、読み出した機密情報２１０を表示部２０９へ送信する（Ｓ５０３）。表示部２０９は、機密情報アクセス制御部２０２から機密情報２１０を受信すると、受信した機密情報２１０を表示する（Ｓ５０４）。
【００６４】
図６は、図５のＳ５０２において、機密情報アクセス制御部２０２におけるアクセス可否判定の動作を示したフローチャートである。
【００６５】
要求受付部３０１は、入出力受付部２０１からの出力要求を受信し、当該出力要求を制御部３０２へ送信する（Ｓ６０１）。
【００６６】
制御部３０２は、要求受付部３０１から出力要求を受信すると、経路情報取得部３０３に対して経路情報取得要求を送信して、経路情報保持部２０３から経路情報を取得させる。また、現在位置取得部３０４に対して現在位置取得要求を送信して、現在の看護師端末１０１の位置情報を取得させる（Ｓ６０２）。
【００６７】
経路情報取得部３０３は、制御部３０２から経路情報取得要求を受信すると、経路情報保持部２０３から経路情報を取得し、取得した経路情報を制御部３０２へ送信する（Ｓ６０３）。現在位置取得部３０４は、制御部３０２から現在位置取得要求を受け取ると、現在位置情報「区画３―４」を取得し、取得した現在位置情報を制御部３０２へ送信する（Ｓ６０４）。
【００６８】
制御部３０２は、経路情報取得部３０３から取得した経路情報と、現在位置取得部３０４から取得した現在位置情報「区画３―４」とを、アクセス判定要求と共にアクセス判定部３０５に送信する（Ｓ６０５）。
【００６９】
アクセス判定部３０５は、経路情報、現在位置情報「区画３―４」、及びアクセス判定要求を、制御部３０２から受信する。アクセス判定部３０５は、現在位置情報「区画３―４」が、経路情報に示された経路上にあるかどうかを判定し、現在位置が経路上にある場合は「アクセス可」を、経路上にない場合は「アクセス不可」を制御部３０２へ送信する（Ｓ６０６）。
【００７０】
制御部３０２は、アクセス判定部３０５から判定結果を受信し、「アクセス可」の場合は、機密情報アクセス部３０６にアクセス要求を送信する（Ｓ６０７）。機密情報アクセス部３０６は、制御部３０２からアクセス要求を受信すると、保存領域２０６の機密情報２１０へのアクセスを行う（Ｓ６０８）。
【００７１】
なお、実施の形態１において、機密情報２１０の保護と現在位置情報との関係は、図１５の模式図に表されるようなものであってもよい。図１５の例では、ユーザである訪問看護師は、現在位置情報「区画３−６」にいる。また「区画３−６」は、北緯３５度３３分０１秒から３４分００秒、東経１３８度４２分０１秒から４３分００秒の範囲である。
【００７２】
このとき、「区画３−６」に対応する区画鍵は、「区画３−６」の緯度及び経度を示す数字列に、北緯を示す「０」（南緯の場合は「１」）と、東経を示す「０」（西経の場合は「１」）を、図１５のように付与して得られる数字列に対して所定の演算を行うことによって算出される。なお、この例における区画鍵は、１２８ビットのＡＥＳ（Ａｄｖａｎｃｅｄ  Ｅｎｃｒｙｐｔｉｏｎ  Ｓｔａｎｄａｒｄ）に準拠した鍵である。他の区画に対応する区画鍵も同様の方法で算出することができる。
【００７３】
ここで、機密情報アクセス部３０６は、保存領域２０６に機密情報２１０を書き込む際に、当該機密情報２１０をデータ鍵で暗号化する。また、機密情報アクセス部３０６は、機密情報２１０を暗号化したデータ鍵を、上記の方法で区画毎に生成された区画鍵で暗号化しておく。暗号化されたデータ鍵（暗号化データ鍵）は、例えば、経路情報と共に経路情報保持部２０３に保持される。
【００７４】
すなわち、看護師端末１０１は、看護師派遣元（図４の区画１−７）から看護師訪問先（図４の区画５−１）に至る各区画の暗号化データ鍵を保持している。図４の例では、１３個の暗号化データ鍵を保持している。一方、経路から外れた区画（例えば区画１−１）の暗号化データ鍵は、保持しておいてもよいし、保持していなくてもよい。
【００７５】
次に、機密情報アクセス部３０６は、保存領域２０６に記録された機密情報２１０を読み出す際に、現在位置取得部３０４によって取得された現在位置情報に対応する区画の区画鍵を用いて機密情報２１０の暗号化に用いられているデータ鍵を復号し、機密情報２１０へアクセスする。
【００７６】
なお、ここで用いられる演算は、例えば、ＳＨＡ−１やＭＤ５などの一方向性関数を用いたＨＭＡＣ（Ｋｅｙｅｄ−Ｈａｓｈｉｎｇ  ｆｏｒ  Ｍｅｓｓａｇｅ  Ａｕｔｈｅｎｔｉｃａｔｉｏｎ）アルゴリズムで実現される。
【００７７】
（実施の形態２）
実施の形態２では、経路の途中での経路変更に対応した機密情報アクセス制御方法を、図面を参照しながら説明する。図７は、本発明の実施の形態２に係る機密情報アクセス制御方法が用いられる訪問看護師派遣モデルである。
【００７８】
図７において、本実施の形態２の訪問看護師派遣モデルは、経路途中での経路変更に対応するために、ネットワークを通じて看護師端末７０１とサーバ端末７０２とが通信できるようになっている。
【００７９】
看護師端末７０１は、端末利用者からの経路情報更新要求に応じて、サーバ端末７０２と通信する。具体的には、看護師端末７０１は、現在いる地点をサーバ端末７０２に送信し、現在いる地点から看護師訪問先までの新たな経路情報を受信する。
【００８０】
サーバ端末７０２は、看護師端末７０１から経路情報更新要求と現在位置情報とを受信すると、現在位置情報から看護師訪問先までの新たな経路情報を生成すると共に、新たな経路上の各区画鍵で暗号化された暗号化データ鍵を生成する。そして、サーバ端末７０２は、生成した経路情報と暗号化データ鍵とを看護師端末７０１へ送信する。
【００８１】
それ以外は、図１における訪問看護師派遣モデルと変わらないため、説明を省略する。
【００８２】
図８は、本発明の実施の形態２に係る看護師端末７０１の内部構成を示したブロック図である。実施の形態２に係る看護師端末７０１は、実施の形態１に係る看護師端末１０１の構成に加えて、さらに通信部８０７を備える。なお、看護師端末１０１、７０１に共通の構成要素には、同一の参照番号を付し、詳しい説明は省略する。
【００８３】
経路情報書込部８０４は、メディアＲ／Ｗ部２０５と通信部８０７とを通して、サーバ端末７０２から新たな経路情報を取得し、経路情報保持部２０３に取得した経路情報を書き込む。
【００８４】
通信部８０７は、図示されない端末利用者（典型的には、訪問看護師）からの経路情報更新要求に応じて、サーバ端末７０２と通信を行う。具体的には、経路情報更新要求と現在位置情報とをサーバ端末７０２に送信し、現在いる地点から看護師訪問先までの新たな経路情報と経路上の各区画に対応する暗号化データ鍵とを受信する。そして、書込要求とともに、新たな経路情報と暗号化データ鍵とを経路情報書込部８０４に送信する。
【００８５】
それ以外は、図１における訪問看護師派遣モデルと変わらないため、説明を省略する。
【００８６】
図９は、看護師端末７０１の経路情報更新要求によって、図４に示される経路情報（実践）と、更新された新たな経路情報（破線）とを表した図である。図９において、「区画３―４」以降の経路情報は、看護師端末７０１の経路情報更新要求によって、サーバ端末７０２が新たに生成したものである。
【００８７】
以下、以上のように構成された経路の途中での経路変更に対応した機密情報アクセス制御方法を、図面を用いて説明する。
【００８８】
図１０は、図４に示される経路情報から図９に示される経路情報（破線）に更新される手順を示したフローチャートである。
【００８９】
通信部８０７は、端末利用者からの経路情報更新要求に応じて、経路情報更新要求と現在位置情報とをサーバ端末７０２に送信する（Ｓ１００１）。サーバ端末７０２は、看護師端末７０１から経路情報更新要求と現在位置情報とを受信すると、現在位置情報から看護師訪問先までの新たな経路情報と新たな経路上の各区画に対応する暗号化データ鍵とを生成し、看護師端末７０１へ送信する（Ｓ１００２）。図９の例では、区画「４−４」、区画「４−３」、及び区画「５−２」それぞれの区画鍵で暗号化された暗号化データ鍵が生成されることになる。
【００９０】
通信部８０７は、サーバ端末７０２から新たな経路情報を受信すると、書込要求とともに、受信した新たな経路情報と暗号化データ鍵とを経路情報書込部８０４に送信する（Ｓ１００３）。経路情報書込部８０４は、書込要求とともに新たな経路情報と暗号化データ鍵とを通信部８０７から取得すると、経路情報保持部２０３に受信した経路情報暗号化データ鍵とを書き込む（Ｓ１００４）。
【００９１】
（実施の形態３）
実施の形態３では、現在の位置情報と一つ前の位置情報とを用いた機密情報アクセス制御方法を、図面を参照しながら説明する。
【００９２】
図１１は、本発明の実施の形態３に係る看護師端末における機密情報アクセス制御部１００２の内部構成を示したブロック図である。なお、図３に示される機密情報アクセス制御部２０２と共通する構成要素には、同一の参照番号を付し、詳しい説明は省略する。また、看護師端末の他の構成要素は、図２に示される看護師端末１０１又は図８に示される看護師端末７０１と共通するので、説明は省略する。
【００９３】
制御部１１０２は、看護師端末の電源ＯＮ時に、現在位置取得部３０４に対して現在地取得要求を送信して、現在の位置情報を取得させる。そして、制御部１１０２は、現在位置取得部３０４から現在位置情報を取得し、取得した現在位置情報を定期現在位置情報として現在位置記録部１１０７に記録する。
【００９４】
また、制御部１１０２は、看護師端末の電源ＯＮ後、定期的に経路情報取得部３０３に対して経路情報取得要求を送信して、経路情報保持部２０３から経路情報を取得させると共に、定期的に現在位置取得部３０４に対して現在位置取得要求を送信して、現在の位置情報を取得させる。
【００９５】
次に、制御部１１０２は、経路情報取得部３０３から経路情報を、現在位置取得部３０４から現在位置情報を取得するのと同時に、現在位置記録部１１０７から定期現在位置情報を取得し、これらを位置更新判定要求とともに位置更新判定部１１０９に送信する。
【００９６】
そして、制御部１１０２は、位置更新判定部１１０９から判定結果を受信する。受信した判定結果が「位置更新あり」の場合は、定期現在位置情報を前回位置情報として前回位置記録部１１０８に記録し、現在位置情報を定期現在位置情報として現在位置記録部１１０７に記録する。つまり、制御部１１０２は、現在位置記録部１１０７に記録されている位置情報で前回位置記録部１１０８の内容を上書きし、現在位置取得部３０４から取得した位置情報で現在位置記録部１１０７の内容を上書きする。
【００９７】
また、制御部１１０２は、要求受付部３０１から入出力要求を受信すると、経路情報取得部３０３に対して経路情報取得要求を送信して、経路情報保持部２０３から経路情報を取得させる。また、制御部１１０２は、現在位置取得部３０４に対して現在位置取得要求を送信して、現在の位置情報を取得させる。さらに、制御部１１０２は、経路情報取得部３０３から経路情報を、現在位置取得部３０４から現在位置情報を取得すると同時に、前回位置記録部１１０８から前回位置情報を取得する。
【００９８】
次に、制御部１１０２は、取得した経路情報、現在位置情報、前回位置情報と共に、アクセス判定要求をアクセス判定部１１０５に送信する。そして、制御部１１０２は、アクセス判定部１１０５から判定結果を受信し、判定結果が「アクセス可」の場合は、機密情報アクセス部３０６にアクセス要求を送信する。
【００９９】
アクセス判定部１１０５は、制御部１１０２から経路情報、現在位置情報、及び前回位置情報とともに、アクセス判定要求を受信する。アクセス判定部１１０５は、現在位置情報で表される現在位置と前回位置情報で表される前回位置とが、経路情報に示された経路上で、且つ経路上における隣接（前後）する区画であるかどうかを判定する。そして、アクセス判定部１１０５は、上記の条件を全て満たす場合は「アクセス可」を、上記の条件のうちの１つでも満たさない場合は「アクセス不可」を制御部１１０２へ送信する。
【０１００】
現在位置記録部１１０７は、制御部１１０２によって初期化され、必要に応じて更新される定期現在位置情報を記録している。前回位置記録部１１０８は、制御部１１０２によって必要に応じて更新される前回位置情報を記録している。
【０１０１】
位置更新判定部１１０９は、制御部１１０２から経路情報、現在位置情報、及び定期現在位置情報とともに、位置更新判定要求を受信する。位置更新判定部１１０９は、現在位置情報と定期現在位置情報とに示される区画が経路情報において異なる区画である場合、「位置更新あり」を制御部１１０２へ送信する。
【０１０２】
図１２は、経路情報における前回位置情報、定期現在位置情報、及び現在位置情報を表した図である。図１２において、前回位置情報に示される区画は「区画３―６」であり、定期現在位置情報及び現在位置情報に示される区画は「区画３−５」である。なお、通常、定期現在位置情報と現在位置情報とは、同一の区画を指す。
【０１０３】
以下、以上のように構成された現在の位置情報と一つ前の位置情報とを用いた機密情報アクセス制御方法を、図面を用いて説明する。
【０１０４】
図１３は、図１１に示された機密情報アクセス制御部１００２が現在位置記録部１１０７及び前回位置記録部１１０８を更新する動作を示したフローチャートである。なお、以下の説明では、前回位置情報に示される区画が「区画２−６」であり、定期現在位置情報に示される区画が「区画３−６」であり、看護師端末１０１を持つ訪問看護師が「区画３−５」にいるものとする。
【０１０５】
制御部１１０２は、看護師端末の電源ＯＮ後、定期的に経路情報取得部３０３に対して経路情報取得要求を送信して、経路情報保持部２０３から経路情報を取得させると共に、現在位置取得部３０４に対して現在位置取得要求を送信して、現在の位置情報を取得させる（Ｓ１３０１）。
【０１０６】
経路情報取得部３０３は、制御部３０２から経路情報取得要求を受信すると、経路情報保持部２０３から経路情報を取得し、制御部３０２へ送信する（Ｓ１３０２）。現在位置取得部３０４は、制御部３０２から現在位置取得要求を受信すると、現在位置情報「区画３―５」を取得し、制御部３０２へ送信する（Ｓ１３０３）。
【０１０７】
制御部１１０２は、経路情報取得部３０３から経路情報を、現在位置取得部３０４から現在位置情報を取得すると共に、現在位置記録部１１０７から定期現在位置情報「区画３−６」を取得する（Ｓ１３０４）。そして、制御部１１０２は、取得した経路情報、現在位置情報「区画３―５」、及び定期現在位置情報「区画３−６」を、位置更新判定要求と共に位置更新判定部１１０９に送信する（Ｓ１３０５）。
【０１０８】
位置更新判定部１１０９は、制御部１１０２から経路情報、現在位置情報「区画３―５」、定期現在位置情報「区画３−６」とともに、位置更新判定要求を受信する。位置更新判定部１１０９は、現在位置情報「区画３―５」と定期現在位置情報「区画３−６」とが経路情報上の異なる区画にある場合、「位置更新あり」を制御部１１０２へ送信する（Ｓ１３０６）。
【０１０９】
制御部１１０２は、位置更新判定部１１０９から判定結果を受信する。そして、「位置更新あり」の場合（Ｓ１３０６でＹｅｓ）、制御部１１０２は、定期現在位置情報「区画３−６」を前回位置情報として前回位置記録部１１０８へ記録し、現在位置情報「区画３―５」を定期現在位置情報として現在位置記録部１１０７に記録する（Ｓ１３０７）。その結果、図１２に示される状態となる。
【０１１０】
なお、図１３に示される処理の頻度は特に限定されないが、少なくとも、看護師端末１０１を携帯する訪問看護師が１つの区画を通過するのに必要な時間より十分短い時間間隔で上記の処理を行う必要がある。
【０１１１】
図１４は、図５のＳ５０２において、図１１に示された機密情報アクセス制御部１００２のアクセス可否判定の動作を示したフローチャートである。なお、以下の説明は、図１３に示される動作によって、図１２に示されるように、前回位置記録部１１０８に「区画３−６」が、現在位置記録部１１０７に「区画３−５」が記録された状態であることを前提としている。
【０１１２】
要求受付部３０１は、入出力受付部２０１から受信した出力要求を、制御部１１０２へ送信する（Ｓ１４０１）。制御部１１０２は、要求受付部３０１から出力要求を受信すると、経路情報取得部３０３に対して経路情報取得要求を送信して、経路情報保持部２０３から経路情報を取得させると共に、現在位置取得部３０４に対して現在位置取得要求を送信して、現在の位置情報を取得させる（Ｓ１４０２）。
【０１１３】
経路情報取得部３０３は、制御部３０２から経路情報取得要求を受信すると、経路情報保持部２０３から経路情報を取得し、制御部３０２へ送信する。また、現在位置取得部３０４は、制御部３０２から現在位置取得要求を受信すると、現在位置情報「区画３―５」を取得し、制御部１１０２へ送信する。
【０１１４】
制御部１１０２は、経路情報取得部３０３から経路情報を、現在位置取得部３０４から現在位置情報「区画３−５」を取得すると共に、前回位置記録部１１０８から前回位置情報「区画３−６」を取得する（Ｓ１４０３）。そして、制御部１１０２は、取得した経路情報、現在位置情報「区画３―５」、前回位置情報「区画３−６」と共に、アクセス判定要求をアクセス判定部３０５に送信する（Ｓ１４０４）。
【０１１５】
アクセス判定部１１０５は、制御部１１０２から経路情報、現在位置情報「区画３―５」、前回位置情報「区画３−６」とともに、アクセス判定要求を受信する。アクセス判定部は、現在位置情報「区画３―５」と前回位置情報「区画３−６」とが、経路情報に示された経路上で、かつ経路上における隣接（前後）する区画であるかどうかを判定する。そして、アクセス判定部１１０５は、上記の全てが満たされる場合に「アクセス可」を、いずれか１つでも満たされない場合は「アクセス不可」を、制御部１１０２へ送信する（Ｓ１４０５）。
【０１１６】
制御部１１０２は、アクセス判定部１１０５から判定結果を受信する。そして、「アクセス可」の場合（Ｓ１４０５でＹｅｓ）、制御部１１０２は、機密情報アクセス部３０６にアクセス要求を送信する（Ｓ１４０６）。機密情報アクセス部３０６は、制御部１１０２からアクセス要求を受信すると、保存領域２０６に記録されている機密情報２１０へのアクセスを行う（Ｓ１４０７）。
【０１１７】
なお、実施の形態３において、機密情報２１０の保護と現在位置情報との関係は、図１６の模式図に表されるようなものであってもよい。図１６に示される例は、図１５に示される例と比較して区画鍵の生成方法が異なり、その他は共通する。
【０１１８】
図１６の例では、ユーザである訪問看護師は現在位置情報「区画３−６」にいる。また、「区画３−６」は、北緯３５度３３分０１秒から３４分００秒、東経１３８度４２分０１秒から４３分００秒の範囲である。また、その直前にいた区画である前回位置情報は「区画３−７」であり、北緯３５度３３分０１秒から３４分００秒、東経１３８度４３分０１秒から４４分００秒の範囲である。
【０１１９】
このとき、「区画３−６」に対応する区画鍵は、「区画３−６」の緯度及び経度を示す数字列に、北緯を示す「０」（南緯の場合は「１」）と、東経を示す「０」（西経の場合は「１」）を図１６のように付与して得られる数字列に対して所定演算を行うことによって、上位６４ビットが算出され、「区画３−７」の緯度及び経度を示す数字列に対しても同様の演算を行うことによって、下位６４ビットが算出される。そして、上記の方法で算出された上位６４ビットと下位６４ビットとを足して１２８ビットのＡＥＳ（Ａｄｖａｎｃｅｄ  Ｅｎｃｒｙｐｔｉｏｎ  Ｓｔａｎｄａｒｄ）の「区画３−６」に対応した鍵を算出する。
【０１２０】
そして、この鍵を用いて機密情報２１０の暗号化に用いられているデータ鍵を復号し、機密情報２１０へアクセスする。なお、ここで用いられる演算は、ＳＨＡ−１やＭＤ５などの一方向性関数を用いたＨＭＡＣ（Ｋｅｙｅｄ−Ｈａｓｈｉｎｇ  ｆｏｒ  Ｍｅｓｓａｇｅ  Ａｕｔｈｅｎｔｉｃａｔｉｏｎ）アルゴリズムで実現される。
【０１２１】
（その他変形例）
現在位置情報の取得には、ＧＰＳを用いるとしたが、ＧＰＳに加えて、ジャイロセンサーや加速度センサーを使ってもよい。トンネルなどＧＰＳを有効活用できない道路状態においても、現在位置情報を把握することができる。
【０１２２】
現在位置情報は、ＧＰＳによる情報を変換することによる経度・緯度で表現することが可能であるが、現在位置情報に高度をパラメータに加えてもよい。
【０１２３】
ＧＰＳによる現在位置情報の把握は、実際の位置情報とは誤差があるため、例えば＋１０ｍ程度で制御を行うとしてもよい。
【０１２４】
表示部が機密情報へのアクセスが可能な経路情報について表示を行う構成であってもよい。このとき、経路情報の区画が示され、現在位置とそれまでの軌跡が表示される構成であってもよい。
【０１２５】
機密情報へのアクセス制御を位置情報を用いて制御したが、位置情報に加えて、区画毎の到着時刻情報を加えて制御するとしてもよい。
【０１２６】
一旦、アクセス可否を判定し、アクセス可となった後、一定時間現在位置情報を取得できず、アクセス判定ができない場合に、自動的にデータを削除しアクセスを不可としてもよい。
【０１２７】
情報処理端末が経路情報に表された経路上から外れそうになった場合に、ユーザに対して、警告を提示してもよい。また、経路上から完全に外れたと判断した場合には、アクセス不可を提示してもよい。
【０１２８】
情報処理端末が経路情報に表された経路上から外れた場合、「表示許可／不許可」だけではなく、「読み取り、かつ書き出し許可／不許可」や「読み取りのみ許可／不許可」、「外部メディアへの出力許可、不許可」などの制御を行ってもよい。
【０１２９】
情報処理端末が出発地点から目的地点まで到達し、再び出発地点まで戻った時に、全経路の経路ログを保存しておき、サーバ端末で経路を確認する構成であってもよい。
【０１３０】
一旦経路上を外れた場合でも、経路情報の更新を行わず、再度経路に復帰した場合は、アクセスを許可する構成であってもよい。このとき、外れた回数を記録し、ある一定の回数以上外れた場合に、アクセスを許可しなくなる構成であってもよい。
【０１３１】
情報処理端末は、カーナビゲーションシステムを備え、出発地点から到着地点の経路情報を算出した後、ネットワーク経由でサーバに問い合わせを行い、同経路情報の経路上における機密情報へのアクセス許可を得るとしてもよい。このとき経路情報の更新についても、カーナビゲーションシステムが、現在位置情報から到着地点までの経路情報を算出し、サーバにアクセス許可を得るとしてもよい。
【０１３２】
経路情報における経路上では、「アクセス許可」とするとしたが、経路上のみアクセスできない「アクセス不許可」とする制御を行ってもよい。
【０１３３】
サーバ側で複数の情報処理端末を管理するときは、情報処理端末ごとに固有のＩＤを持ち、サーバ側で管理するとしてもよい。
【０１３４】
上記の各装置は、具体的には、マイクロプロセッサ、ＲＯＭ、ＲＡＭ、ハードディスクユニット、ディスプレイユニット、キーボード、マウスなどから構成されるコンピュータシステムである。前記ＲＡＭまたはハードディスクユニットには、コンピュータプログラムが記録されている。前記マイクロプロセッサが、前記コンピュータプログラムにしたがって動作することにより、各装置は、その機能を達成する。ここでコンピュータプログラムは、所定の機能を達成するために、コンピュータに対する指令を示す命令コードが複数個組み合わされて構成されたものである。なお、各装置は、マイクロプロセッサ、ＲＯＭ、ＲＡＭ、ハードディスクユニット、ディスプレイユニット、キーボード、マウスなどの全てを含むコンピュータシステムには限らず、これらの一部から構成されているコンピュータシステムであってもよい。
【０１３５】
上記の各装置を構成する構成要素の一部または全部は、１個のシステムＬＳＩ（Ｌａｒｇｅ  Ｓｃａｌｅ  Ｉｎｔｅｇｒａｔｉｏｎ：大規模集積回路）から構成されているとしてもよい。システムＬＳＩは、複数の構成部を１個のチップ上に集積して製造された超多機能ＬＳＩであり、具体的には、マイクロプロセッサ、ＲＯＭ、ＲＡＭなどを含んで構成されるコンピュータシステムである。前記ＲＡＭには、コンピュータプログラムが記録されている。前記マイクロプロセッサが、前記コンピュータプログラムにしたがって動作することにより、システムＬＳＩは、その機能を達成する。また、上記の各装置を構成する構成要素の各部は、個別に１チップ化されていてもよいし、一部又は全てを含むように１チップ化されてもよい。また、ここでは、システムＬＳＩとしたが、集積度の違いにより、ＩＣ、ＬＳＩ、スーパーＬＳＩ、ウルトラＬＳＩと呼称されることもある。また、集積回路化の手法はＬＳＩに限るものではなく、専用回路又は汎用プロセッサで実現してもよい。ＬＳＩ製造後に、プログラムすることが可能なＦＰＧＡ（Ｆｉｅｌｄ  Ｐｒｏｇｒａｍｍａｂｌｅ  Ｇａｔｅ  Ａｒｒａｙ）や、ＬＳＩ内部の回路セルの接続や設定を再構成可能なリコンフィギュラブル・プロセッサを利用してもよい。さらには、半導体技術の進歩又は派生する別技術によりＬＳＩに置き換わる集積回路化の技術が登場すれば、当然、その技術を用いて機能ブロックの集積化を行ってもよい。バイオ技術の適用等が可能性としてありえる。
【０１３６】
上記の各装置を構成する構成要素の一部または全部は、各装置に脱着可能なＩＣカードまたは単体のモジュールから構成されているとしてもよい。前記ＩＣカードまたは前記モジュールは、マイクロプロセッサ、ＲＯＭ、ＲＡＭなどから構成されるコンピュータシステムである。前記ＩＣカードまたは前記モジュールは、上記の超多機能ＬＳＩを含むとしてもよい。マイクロプロセッサが、コンピュータプログラムにしたがって動作することにより、前記ＩＣカードまたは前記モジュールは、その機能を達成する。このＩＣカードまたはこのモジュールは、耐タンパ性を有するとしてもよい。
【０１３７】
本発明は、上記に示す方法であるとしてもよい。また、これらの方法をコンピュータにより実現するコンピュータプログラムであるとしてもよいし、前記コンピュータプログラムからなるデジタル信号であるとしてもよい。また、本発明は、前記コンピュータプログラムまたは前記デジタル信号をコンピュータ読み取り可能な記録媒体、例えば、フレキシブルディスク、ハードディスク、ＣＤ−ＲＯＭ、ＭＯ、ＤＶＤ、ＤＶＤ−ＲＯＭ、ＤＶＤ−ＲＡＭ、ＢＤ（Ｂｌｕ−ｒａｙ  Ｄｉｓｃ）、半導体メモリなどに記録したものとしてもよい。また、これらの記録媒体に記録されている前記デジタル信号であるとしてもよい。また、本発明は、前記コンピュータプログラムまたは前記デジタル信号を、電気通信回線、無線または有線通信回線、インターネットを代表とするネットワーク、データ放送等を経由して伝送するものとしてもよい。また、本発明は、マイクロプロセッサとメモリを備えたコンピュータシステムであって、前記メモリは、上記コンピュータプログラムを記録しており、前記マイクロプロセッサは、前記コンピュータプログラムにしたがって動作するとしてもよい。また、前記プログラムまたは前記デジタル信号を前記記録媒体に記録して移送することにより、または前記プログラムまたは前記デジタル信号を前記ネットワーク等を経由して移送することにより、独立した他のコンピュータシステムにより実施するとしてもよい。
【０１３８】
上記実施の形態及び上記変形例をそれぞれ組み合わせるとしてもよい。
【０１３９】
以上、図面を参照してこの発明の実施形態を説明したが、この発明は、図示した実施形態のものに限定されない。図示した実施形態に対して、この発明と同一の範囲内において、あるいは均等の範囲内において、種々の修正や変形を加えることが可能である。
【産業上の利用可能性】
【０１４０】
本発明によれば、機密情報を記録した情報処理端末を外部へ持ち出した時の、盗難による機密情報の漏えいを防止する情報処理端末及び機密情報アクセス制御方法を提供することができる。
【符号の説明】
【０１４１】
１０１，７０１    看護師端末
１０２，７０２    サーバ端末
２０１    入出力受付部
２０２，１００２    機密情報アクセス制御部
２０３    経路情報保持部
２０４，８０４    経路情報書込部
２０５    メディアＲ／Ｗ部
２０６    保存領域
２１０    機密情報
２１１    一般情報
３０１    要求受付部
３０２，１１０２    制御部
３０３    経路情報取得部
３０４    現在位置取得部
３０５，１１０５    アクセス判定部
３０６    機密情報アクセス部
８０７    通信部
１１０７  現在位置記録部
１１０８  前回位置記録部
１１０９  位置更新判定部
【図１】
0005631322.tif 000002
【図２】
0005631322.tif 000003
【図３】
0005631322.tif 000004
【図４】
0005631322.tif 000005
【図５】
0005631322.tif 000006
【図６】
0005631322.tif 000007
【図７】
0005631322.tif 000008
【図８】
0005631322.tif 000009
【図９】
0005631322.tif 000010
【図１０】
0005631322.tif 000011
【図１１】
0005631322.tif 000012
【図１２】
0005631322.tif 000013
【図１３】
0005631322.tif 000014
【図１４】
0005631322.tif 000015
【図１５】
0005631322.tif 000016
【図１６】
0005631322.tif 000017
【図１７】
0005631322.tif 000018