(57)【要約】      （修正有）【課題】緊急時には緊急時用の認証方式によって認証された場合に医療情報の出力を可能にする。【解決手段】位置情報に基づいて緊急状態であるか否かを判定し、緊急状態であると判定した場合に、緊急状態フラグを設定する緊急状態判定手段と、緊急状態であると判定した日時、および予め記憶されている有効期間に基づいて決定される第１の有効期限が切れているか否かを判定する有効期限判定手段と、前記有効期限は切れていないと判定した場合、または切れていると判定した場合であって、その後の前記緊急状態判定手段の判定結果が緊急状態である場合に、緊急時用の認証方式による認証が要求されたら、認証手段の認証方式を前記緊急時用の認証方式に切り替える。前記緊急時用の認証方式又は通常時用の認証方式によって認証する認証手段と、前記認証手段による認証が成功した場合に前記医療情報を出力する出力手段とを有する携帯可能情報記憶装置。【選択図】図２
2014142794.tif 000002
【特許請求の範囲】
【請求項１】
医療情報を記憶する記憶手段と、
地理的位置を示す位置情報に基づいて緊急状態であるか否かを判定し、緊急状態であると判定した場合に、緊急状態フラグを緊急状態であることを示す状態に設定する緊急状態判定手段と、
前記緊急状態フラグが緊急状態であることを示している場合に、前記緊急状態判定手段が緊急状態であると判定した日時、および予め記憶されている第１の有効期間、に基づいて決定される第１の有効期限が切れているか否かを判定する有効期限判定手段と、
前記有効期限判定手段が前記有効期限は切れていないと判定した場合、または
前記有効期限判定手段が前記有効期限は切れていると判定した場合であって、その後に実行された前記緊急状態判定手段の判定結果が緊急状態であることを示す場合に、
前記緊急時用の認証方式による認証が要求されたら、前記認証手段の認証方式を前記緊急時用の認証方式に切り替える認証方式切り替え手段と、
前記緊急時用の認証方式又は通常時用の認証方式によって認証する認証手段と、
前記認証手段による認証が成功した場合に前記医療情報を出力する出力手段と、
を有することを特徴とする携帯可能情報記憶装置。
【請求項２】
地理的位置を示す第１の位置情報および前記第１の位置情報の発信元を識別する発信元識別情報が入力される入力部と、
前記携帯可能情報記憶装置の地理的位置を示す第２の位置情報を取得する位置情報取得手段と、
をさらに有し、
前記緊急状態判定手段は、
前記緊急状態フラグが緊急状態であることを示していない場合、または
前記緊急状態フラグが緊急状態であることを示しているが、前記有効期限判定手段が前記有効期限は切れていると判定した場合であって、かつ
前記発信元識別情報に基づいて前記発信元が緊急状態に対応する設備、車両又は施設のいずれかであると判定した場合に、
前記第１の位置情報と前記第２の位置情報を比較し、これら２つの位置情報が示す地理的位置の距離が所定値以下である場合に緊急状態であると判定する請求項１に記載の携帯可能情報記憶装置。
【請求項３】
前記有効期限判定手段は、
前記第１の有効期間よりも短い第２の有効期間をさらに記憶し、
前記緊急時用の認証方式による認証が要求された場合に、
前記第１の有効期限が切れているか否か、および
前記緊急時用の認証方式による認証が前回要求された日時、および前記第２の有効期間、に基づいて決定される第２の有効期限が切れているか否か
を判定し、
前記第１の有効期限および前記第２の有効期限の双方が切れていない場合に、前記緊急時用の認証方式の有効期限が切れていないと判定する請求項１または２に記載の携帯可能情報記憶装置。
【請求項４】
記憶手段が、医療情報を記憶する記憶工程と、
緊急状態判定手段が、地理的位置を示す位置情報に基づいて緊急状態であるか否かを判定し、緊急状態であると判定した場合に、緊急状態フラグを緊急状態であることを示す状態に設定する緊急状態判定工程と、
有効期限判定手段が、前記緊急状態フラグが緊急状態であることを示している場合に、前記緊急状態判定手段が緊急状態であると判定した日時、および予め記憶されている第１の有効期間、に基づいて決定される第１の有効期限が切れているか否かを判定する有効期限判定工程と、
認証方式切り替え手段が、
前記有効期限判定手段が前記有効期限は切れていないと判定した場合、または
前記有効期限判定手段が前記有効期限は切れていると判定した場合であって、その後に実行された前記緊急状態判定手段の判定結果が緊急状態であることを示す場合に、
前記緊急時用の認証方式による認証が要求されたら、前記認証手段の認証方式を前記緊急時用の認証方式に切り替える切り替え工程と、
認証手段が、前記緊急時用の認証方式又は通常時用の認証方式によって認証する認証工程と、
出力手段が、前記認証工程における認証が成功した場合に前記医療情報を出力する出力工程と、
を有する携帯可能情報記憶装置の制御方法。
【請求項５】
請求項４に記載の携帯可能情報記憶装置の制御方法をコンピュータに実行させるためのプログラム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、携帯可能情報記憶装置（以下、ＩＣカード）を使用した情報管理システム、および情報管理方法に関する。
【背景技術】
【０００２】
近年では、個人情報保護法の施行に基づいた情報セキュリティ保護の観点から、セキュリティ機能を有するＩＣカードを使用した情報管理システムが一般的になっている。このようなＩＣカードは、使用前に識別認証を行いＩＣカードの利用を所有者のみに制限する仕組みが広く知られている。ここで、ＩＣカードに蓄積されたデータにアクセスする者は、所有者と使用者とに分類することができる。所有者とは、ＩＣカード内のデータ内容に関係する人を示し、また使用者とは、そのデータを操作する人を示す。
【０００３】
例えば、医療においては、ある患者の電子カルテをデータとすると、患者は所有者であり、医師は使用者である。このような背景から、ＩＣカードを使用した情報管理システムとして、ＩＣカードに医療情報を保存する方法がある。医療現場においては、個人情報保護の観点から、カルテのような医療情報であっても医師は患者の許可がない限りアクセスできない仕組みが提案されている。
【０００４】
特許文献１は、ＩＣカードの所有者を認証し、所有者が許可した場合に限りＩＣカードへの読み出し、書き込みを許可する手法を提案している。具体的には、医師は医療情報を予め医師の鍵で暗号化し、患者のＩＣカードに保存する。保存時には患者のＩＣカードに対して患者が認証を行い、認証に成功した患者が書き込みを許可した場合に限り医師は患者のＩＣカードに医療情報を書き込むことができる。同様に、医師が患者のＩＣカードに保存された医療情報を利用する場合は、患者が認証を行い、認証に成功した患者が出力を許可した場合にのみ医師は患者のＩＣカードから医療情報を読み出すことができる。
また、予め所有者からＩＣカードの使用を許可された者の生体情報を登録することで、所有者以外の者にもＩＣカードを利用可能にさせる手法も提案されている。
【先行技術文献】
【特許文献】
【０００５】
【特許文献１】特開２０００−６７１８７号公報
【発明の概要】
【発明が解決しようとする課題】
【０００６】
しかしながら特許文献１に記載の方式は、ＩＣカードの所有者が緊急事態に陥り認証行為を行えない場合に誰もＩＣカードに記憶されているデータにアクセスできないという問題があった。
また、予め所有者からＩＣカードの使用を許可され、かつＩＣカードの使用を可能にするために生体情報が登録された所有者以外の者が、所有者が緊急事態に陥ったときに近くにいない場合もある。このような場合も、誰もＩＣカードに記憶されているデータにアクセスできないという問題があった。
本発明は、かかる問題点に鑑みなされたものであり、緊急時であると判断できた場合に限り、特定の使用者がＩＣカードにアクセス可能とする技術を提供することを目的とする。
【課題を解決するための手段】
【０００７】
上記課題を解決するため、本発明の携帯可能情報記憶装置は、
医療情報を記憶する記憶手段と、
地理的位置を示す位置情報に基づいて緊急状態であるか否かを判定し、緊急状態であると判定した場合に、緊急状態フラグを緊急状態であることを示す状態に設定する緊急状態判定手段と、
前記緊急状態フラグが緊急状態であることを示している場合に、前記緊急状態判定手段が緊急状態であると判定した日時、および予め記憶されている第１の有効期間、に基づいて決定される第１の有効期限が切れているか否かを判定する有効期限判定手段と、
前記有効期限判定手段が前記有効期限は切れていないと判定した場合、または
前記有効期限判定手段が前記有効期限は切れていると判定した場合であって、その後に実行された前記緊急状態判定手段の判定結果が緊急状態であることを示す場合に、
前記緊急時用の認証方式による認証が要求されたら、前記認証手段の認証方式を前記緊急時用の認証方式に切り替える認証方式切り替え手段と、
前記緊急時用の認証方式又は通常時用の認証方式によって認証する認証手段と、
前記認証手段による認証が成功した場合に前記医療情報を出力する出力手段と、
を有する。
【発明の効果】
【０００８】
緊急時であると判断できた場合に限り、認証手段を切り替えることによって、特定の使用者がＩＣカード内の情報にアクセスすることが可能となる。
【図面の簡単な説明】
【０００９】
【図１】第１、第２の実施形態における装置構成を説明する図である。
【図２】第１、第２の実施形態におけるＩＣカードの機能構成を説明する図である。
【図３】第１、第２の実施形態における端末の機能構成を説明する図である。
【図４】第１、第２の実施形態における通常時の読み出し、書き込み処理の流れを説明する図である。
【図５】第１、第２の実施形態における緊急時の読み出し処理の流れを説明する図である。
【図６】第２の実施形態における有効期限判定処理の流れを説明する図である。
【発明を実施するための形態】
【００１０】
（第１の実施形態）
＜システムの全体構成＞
図１（Ａ）に、本実施形態におけるシステムの全体構成例を示す。本実施形態におけるシステムは、所有者ＩＣカード１００、使用者ＩＣカード１０１、所有者端末１０２、使用者端末１０３から構成される。
図中、所有者ＩＣカード１００、及び使用者ＩＣカード１０１は一般に普及しているＩＣ（Ｉｎｔｅｇｒａｔｅｄ  Ｃｉｒｃｕｉｔ）カードであり、情報の記録や演算をするために集積回路を組み込んだカードである。所有者ＩＣカード１００は、所有者端末１０２と接続し、所有者端末１０２を経由して使用者端末１０３から情報を入力されたり、もしくは使用者端末１０３へ出力したりする。
【００１１】
また、使用者端末１０３から情報の書き込みや読み出しの要求を受けて識別認証を実施し、認証に成功した場合に限り書き込みや読み出しを許可する。更に、所有者ＩＣカード１００は緊急状態であるか否かを判定し、判定結果に応じて所有者の認証方式を切り替える。
使用者ＩＣカード１０１は、使用者端末１０３の使用者を識別認証するために利用する。所有者端末１０２は所有者ＩＣカード１００が接続され、所有者ＩＣカード１００の所有者を識別認証するためのインタフェースとして利用する。使用者端末１０３は、使用者ＩＣカード１０１と接続され、使用者ＩＣカード１０１の所有者を識別認証するためのインタフェースとして利用する。
【００１２】
所有者端末１０２と使用者端末１０３との間でデータ通信を行う際にはネットワーク回線１０４を介して行うものとする。尚、このネットワーク回線１０４は同図では有線であるが、無線でもよい。
ＩＣカードと端末との間でデータ通信を行う際には、接続端子（不図示）を介して行うものとする。接続端子は接触型でも、非接触型でもよい。
【００１３】
＜所有者ＩＣカード１００、及び使用者ＩＣカード１０１に適用可能なＩＣカードの基本構成＞
図１（Ｂ）を用いて、本実施形態に適応可能なＩＣカードの基本構成について説明する。
同図において、ＩＣカード２００は、例えば一般に普及しているＩＣカードであり、ＣＰＵ２０１、ＲＯＭ２０２、ＲＡＭ２０３、ＥＥＰＲＯＭ２０４、Ｉ／Ｆ２０５から構成され、夫々はバス２０６で接続されている。
【００１４】
図中、ＣＰＵ２０１は、ＩＣカード内の各部の動作を制御、或いはＲＡＭ２０３にロードされたプログラムを実行することのできるＣＰＵである。ＲＯＭ２０２は、読み出し専用メモリであり、あらかじめＩＣカードのアプリケーションやプラットフォームとなるＯＳが格納される。ＲＡＭ２０３は、ＣＰＵ２０１にて処理を行うために一時的にプログラムや処理対象のデータを格納しておくＲＡＭであり、ここにＯＳやＣＰＵ２０１が後述の各種処理を行うためのプログラムがロードされることになる。
【００１５】
ＥＥＰＲＯＭ２０４は、ＩＣカード側の電源が落ちてもデータが保持されるので、使用者情報が格納される。Ｉ／Ｆ２０５は、接触方式や非接触方式といった構造を持ったインタフェースであり、電源共有や外部装置と各種情報の送受信を行う際に使用される。バス２０６は、各構成モジュール間のデータ転送を司る。
【００１６】
＜所有者端末１０２、及び使用者端末１０３に適用可能なホストコンピュータの基本構成＞
図１（Ｃ）を用いて、本実施形態に適応可能なホストコンピュータについて説明する。図１（Ｃ）は本実施形態に係る所有者端末１０２、及び使用者端末１０３として機能するホストコンピュータ３００の基本構成を示すと共に、その周辺機器との関係を示す図である。
【００１７】
同図において、ホストコンピュータ３００は例えば一般に普及しているパーソナルコンピュータであり、ＨＤＤ３０６、ＣＤＤ３０７、ＦＤＤ３０８、及びＤＶＤ３０９などに画像データ等を蓄積することが可能である。また、ＨＤＤ３０６、ＣＤＤ３０７、ＦＤＤ３０８、及びＤＶＤ３０９などに蓄積されている画像データ等をモニタ３０２に表示することが可能である。更に、これらの画像データは、ＮＩＣ３１０などを用いることによってインターネットなどを介して配布させることが可能である。また、ユーザからの各種指示等は、タッチパネルを有するモニタ３０２、ポインティングデバイス３１２、及びキーボード３１３からの入力により行われる。ホストコンピュータ３００の内部では、バス３０１により後述する各ブロックが接続され、種々のデータの受け渡しが可能である。
【００１８】
図中、モニタ３０２はホストコンピュータ３００からの種々の情報を表示することができる。ＣＰＵ３０３はホストコンピュータ３００内の各部の動作を制御、或いはＲＡＭ３０５にロードされたプログラムを実行することができる中央演算処理装置である。ＲＯＭ３０４はＢＩＯＳやブートプログラムを記憶しているリードオンリーメモリである。ＲＡＭ３０５はＣＰＵ３０３にて処理を行うために一時的にプログラムや処理対象の画像データを格納しておくランダムアクセスメモリであり、ここにＯＳやＣＰＵ３０３が後述の各種処理を行うためのプログラムがロードされることになる。
【００１９】
ＨＤＤ３０６はＲＡＭ等に転送されるＯＳやプログラムを格納したり、装置が動作中に画像データを格納したり、読出すために使用されるハードディスクドライブである。
ＣＤＤ３０７は、外部記憶媒体の一つであるＣＤ−ＲＯＭ、ＣＤ−Ｒ、ＣＤ−Ｒ／Ｗなどのコンパクトディスク（ＣＤ）からのデータ読み出し、ＣＤへのデータ書き込みができるＣＤドライブである。
ＦＤＤ３０８は、ＦＤ（フレキシブルディスク）からのデータ読み出し、ＦＤへのデータ書き込みができるＦＤドライブである。
【００２０】
ＤＶＤＤ３０９は、ＤＶＤ−ＲＯＭ、ＤＶＤ−ＲＡＭなどのＤＶＤからのデータ読み出し、ＤＶＤへのデータ書き込みができるＤＶＤドライブである。
尚、ＣＤ−ＲＯＭ、ＦＤ、ＤＶＤ−ＲＯＭ等に画像処理用のプログラムが記憶されている場合には、これらプログラムをＨＤＤ３０６にインストールし、必要に応じてＲＡＭ３０５に転送されるようになっている。
【００２１】
Ｉ／Ｆ３１１は、ＮＩＣ３１０をホストコンピュータ３００に接続するためのインタフェースである。ＮＩＣ３１０は、インターネットなどのネットワークに接続するためのネットワークインタフェースカードである。Ｉ／Ｆ３１１を介してホストコンピュータ３００は、インターネットへデータを送信したり、インターネットからデータを受信したりする。
Ｉ／Ｆ３１４は、ホストコンピュータ３００にポインティングデバイス３１２やキーボード３１３を接続するためのインタフェースで、Ｉ／Ｆ３１４を介してポインティングデバイス３１２やキーボード３１３から入力された各種の指示がＣＰＵ３０３に入力される。ＩＣカードリーダライタ３１５もＩ／Ｆ３１４を介して接続する。
【００２２】
＜所有者ＩＣカード１００の機能構成＞
図２（Ａ）を用いて本実施形態に適用される所有者ＩＣカード（携帯可能情報記憶装置）１００の機能構成を説明する。同図に示すように、所有者ＩＣカード１００は、入力部４０１、制御部４０２、記憶部４０３、識別認証部４０４、緊急状態判定部４０５、有効期限判定部４０６、認証方式切り換え部４０７、出力部４０８、位置情報取得部４０９から構成される。
【００２３】
入力部４０１は、所有者ＩＣカード１００が接続する所有者端末１０２からの情報として、認証情報、位置情報、データなどが入力される。
認証情報は、所有者ＩＣカードの識別認証行為で利用する情報であり、例えばパスワードや生体情報である。
位置情報は、緊急状態であるか否かを判定するために利用する。「所有者ＩＣカードの現在位置を示す位置情報」と「緊急状態とみなせる場所を示す位置情報」とを比較し、「所有者ＩＣカードの現在位置」と「緊急状態とみなせる場所」との距離が所定値以下である場合、所有者ＩＣカードの所有者が緊急状態にあると判定する。「緊急状態とみなせる場所」とは、例えば「傷病者を収容するために、救急車両に装備されているストレッチャーの近辺」や「救命救急施設を備えた病院（いわゆる「救急病院」）内の救急治療室（いわゆる「ＩＣＵ」の近辺）である。
また、データとは所有者ＩＣカード１００内に記録する電子情報であり、例えば医療現場における電子カルテなどの医療情報といった所有者の情報である。
制御部４０２は、所有者端末１０２からのアクセス要求、入力部４０１からの入力データに応じて必要な処理を実施するように制御する。
【００２４】
記憶部４０３は、記憶領域であり、識別認証を実施するための認証用データや前述した所有者の情報が保存されている。
識別認証部４０４は、所有者ＩＣカード１００の所有者を識別認証するための機能を有し、入力部４０１から入力された認証情報と記憶部４０３に保存されている認証用データを利用して識別認証を実施し、結果を出力部４０８へ出力する。本実施形態では、認証方式をパスワード認証方式として説明するが、この認証方式に限らず、指紋認証方式、虹彩認証方式といった別方式を利用してもよい。また、識別認証部４０４が提供する認証方式は１つとは限らず、複数の認証方式に成功しないと識別認証成功と認めないようにしてもよい。
【００２５】
更に、識別認証部４０４は、緊急状態判定部４０５の判定結果次第では、識別認証方式が変更される。変更する識別認証方式は、認証方式切り換え部４０７で切り替えられた認証方式（緊急時用の認証方式）となる。緊急状態であると判定されなかった場合は、通常時用の認証方式のみによって認証が可能である。
緊急状態判定部４０５は、緊急状態であるか否かを判定する。ここで、緊急状態について説明する。緊急状態とは、通常の利用方法による利用が不可能である状態のことであり、例えば医療分野における救命救急現場などがあげられる。
【００２６】
本実施形態では、救急状態を救命救急の現場として説明する。救命救急の現場においては、所有者ＩＣカード１００の所有者は患者であり、使用者ＩＣカード１０１の使用者は医師、あるいは救急隊員である。また、所有者ＩＣカード１００には、患者が通常診察している電子カルテのような医療情報が保存されている。
救命救急の現場において、患者の意識がない場合や患者の生体情報が欠落するような場合が考えられる。このような場合、パスワード認証や生体認証を行えないことが考えられる。緊急状態判定部４０５は、このような緊急状態、つまり救命救急の状態であることを判定している。
【００２７】
＜緊急状態の判定方法＞
次に、緊急状態判定部４０５における緊急状態の判定方法について説明する。入力部４０１に、地理的位置を示す位置情報（以下、「第１の位置情報」とも表記する）および第１の位置情報の発信元を識別する発信元識別情報が入力される。緊急状態判定部４０５は、入力部４０１に入力される第１の位置情報と発信元識別情報を利用する。
発信元識別情報が、緊急状態に対応する設備、車両又は施設にのみ使用が許可された所定の情報（以下、「緊急対応設備識別情報」とも表記する）を含む場合、緊急状態判定部４０５は第１の位置情報が示す場所は緊急状態が発生していると判定する。
第１の位置情報は、前述したとおり緊急状態であることを判定するために利用する位置情報であり、本実施形態では救急車両の位置情報として説明するが、例えば救命救急施設のある病院や１１９番通報した端末の位置情報を利用してもよい。
緊急状態判定部４０５は、更に位置情報取得部４０９によって取得された本所有者ＩＣカード１００の位置情報を利用する。
【００２８】
緊急状態判定部４０５は、位置情報取得部４０９によって取得した所有者ＩＣカード１００の地理的位置を示す位置情報（以下、「第２の位置情報」とも表記する）と入力部４０１に入力された第１の位置情報とを比較する。
緊急状態判定部４０５は、第１の位置情報と第２の位置情報とが、一致した場合に所有者ＩＣカード１００のの所有者が緊急状態であると判定する。
例えば、第１の位置情報が緯度ｙ１、経度ｘ１であり、第２の位置情報が緯度ｙ２、経度ｘ２であるとした場合に、｜ｙ１−ｙ２｜が距離判定用の第１の所定値より小であり、かつ｜ｘ１−ｘ２｜が距離判定用の第２の所定値より小であるとする。このような場合に、２つの位置情報が示す地理的位置が一致すると判定する。距離判定用の第１の所定値と距離判定用の第２の所定値は同一の値であっても異なる値であってもよい。
本実施形態においては所有者ＩＣカード１００中に位置情報取得部４０９を設けて位置情報を取得し、取得された位置情報を所有者ＩＣカード１００の位置情報としている。
しかし、所有者端末１０２の位置情報を所有者端末１０２のＨＤＤ３０６などに予め登録しておき、この位置情報を利用するとしてもよい。例えば、所有者ＩＣカード１００が所有者端末１０２に接続された際に、接続された所有者端末１０２から所有者ＩＣカード１００の入力部４０１に入力された所有者端末１０２の位置情報を所有者ＩＣカード１００の位置情報としてもよい。
【００２９】
緊急状態判定部４０５が緊急状態であると判定した場合は、認証方式切り替え部４０７にその結果を通知し、更に緊急状態であることを示す認証状態フラグを立てる。この緊急状態フラグが立っている状態の時は、緊急状態であるということを示す。
２つの位置情報を比較したが一致しなかった場合または発信元識別情報が緊急対応設備識別情報を含まない場合は、所有者ＩＣカード１００の所有者は緊急状態ではないと判定し、識別認証部４０４は通常の認証方式による識別認証を実施する。
有効期限判定部４０６は、緊急状態判定部４０５によって緊急状態であると判定された場合、緊急状態の有効期限を決定する。有効期限内である間は、認証方式切り換え部４０７で切り替えられた認証方式による識別認証を行う。
【００３０】
有効期限判定部４０６における有効期限の決定方法について説明する。有効期限は、緊急状態判定部４０５が緊急状態であると判定した時から予め決められた期間（以下、「第１の有効期間」とも表記する）とする。例えば、有効期間が「１日（２４時間）」と予め設定されていた場合は、緊急状態であると判定された日時から２４時間後が第１の有効期限として設定される。有効期間が設定されていなければ、有効期限は設定されない。
【００３１】
認証方式切り換え部４０７は、緊急状態判定部４０５が緊急状態であると判定した場合に、既存の認証方式とは異なる認証方式に切り替えるものである。本実施形態では、認証方式をワンタイムパスワード方式に切り替えるとして説明するが、所有者を認証する方法であればいずれの認証方式に切り替えてもよい。また、認証なしでアクセスできるようにしてもよいし、通常時は複数の認証方式に成功しなければアクセスできないが緊急時だけ１つの認証方式に成功すればアクセスできるようにしてもよい。
出力部４０８は、識別認証部４０４の識別認証結果や識別認証に成功した場合にアクセス要求のあったデータを出力する。
【００３２】
＜使用者ＩＣカード１０１の機能構成＞
図２（Ｂ）を用いて本実施形態に適用される使用者ＩＣカード１０１の機能構成を説明する。図２（Ｂ）に示すように、本実施形態における使用者ＩＣカード１０１は、入力部５０１、制御部５０２、記憶部５０３、識別認証部５０４、出力部５０５から構成される。使用者ＩＣカード１０１は、使用者端末１０３の使用者を特定するために利用するものであり、各構成要素は前述した所有者ＩＣカードで説明した構成要素と同じであるため、説明は省略する。
【００３３】
＜所有者端末１０２、使用者端末１０３の機能構成＞
図３を用いて本実施形態に適用される所有者端末１０２の機能構成を説明する。図３に示すように、本実施形態における所有者端末１０２は、入力部６０１、制御部６０２、表示部６０３、出力部６０４から構成される。
入力部６０１は、所有者端末１０２に接続された所有者ＩＣカード１００の認証を実施するための認証情報が入力される。
【００３４】
制御部６０２は、認証結果やアクセス要求、所有者ＩＣカード１００や使用者端末１０３から出力されたデータ、入力部６０１で入力された認証情報に応じて制御する。表示部６０３は、識別認証を実施するための操作指示や認証結果に応じたメッセージ等を表示する。出力部６０４は、所有者ＩＣカード１００に認証情報を出力したり、所有者ＩＣカード１００や使用者端末１０３から入力されたデータを出力したりする。
尚、使用者端末１０３の機能構成は所有者端末１０２と同様であるため、説明は省略する。
【００３５】
＜所有者ＩＣカード１００への情報書き込みフロー＞
図４（Ａ）を用いて所有者ＩＣカード１００への情報書き込みフローについて説明する。本説明では、所有者を患者、使用者を医師として説明する。
まず、医師は使用者端末１０３に使用者ＩＣカード１０１を接続し、使用者識別認証を行う（ステップＳ７０１）。
使用者ＩＣカード１０１は使用者識別認証結果を使用者端末１０３に出力する。
使用者識別認証に成功した場合、医師は患者を診断し、使用者端末１０３で電子カルテを作成する（ステップＳ７０２）。
使用者識別認証に失敗した場合、使用者端末１０３に認証失敗のメッセージが出力される（ステップＳ７０３）。
【００３６】
尚、本実施形態では作成した電子カルテは平文のまま利用することとするが、医師共通の暗号鍵を用いて暗号化してもよい。医師共通の鍵を利用する場合は、前述の識別認証により医師であることを判定し、医師のみが利用できる共通の鍵を利用して暗号化する必要がある。
医師は、電子カルテの作成が完了すると、使用者端末１０３を利用して患者のＩＣカードへ電子カルテの書き込みを要求する（ステップＳ７０４）。
使用者端末１０３の書き込み要求（アクセス要求）は、所有者端末１０２によって受信され、所有者端末１０２は接続された所有者ＩＣカード１００の所有者の識別認証を行う（ステップＳ７０５）。
所有者識別認証に成功した場合、所有者端末１０２は使用者端末１０３から受信した電子カルテを所有者ＩＣカード１００に保存して（ステップＳ７０６）、処理を終了する。
所有者識別認証に失敗した場合、所有者端末１０２及び使用者端末１０３のいずれか一方又は双方に認証失敗のメッセージが出力されて（ステップＳ７０３）、処理が終了する。
【００３７】
＜所有者ＩＣカード１００からの情報読み出しフロー＞
図４（Ｂ）を用いて通常の所有者ＩＣカード１００からの情報読み出しフローについて説明する。所有者ＩＣカード１００への書き込みフローと同様に、本説明においてもＩＣカードの所有者を患者、使用者を医師として説明する。
まず、医師は使用者端末１０３に使用者ＩＣカード１０１を接続し、使用者識別認証を行う（ステップＳ８０１）。
使用者ＩＣカード１０１は使用者認証結果を使用者端末１０３に出力する。
使用者識別認証に成功した場合、医師は使用者端末１０３から所有者端末１０２に対して電子カルテの読み出し要求（アクセス要求）を行う（ステップＳ８０２）。
【００３８】
使用者識別認証に失敗した場合、使用者端末１０３に認証失敗のメッセージが出力される（ステップＳ８０３）。
使用者端末１０３の読み出し要求は、所有者端末１０２によって受信され、所有者端末１０２は接続された所有者ＩＣカード１００の所有者の識別認証を行う（ステップＳ８０４）。
所有者識別認証に成功した場合、所有者端末１０２は所有者ＩＣカード１００に保存してある電子カルテを読み出し（ステップＳ８０５）、その電子カルテを使用者端末１０３へ出力して処理を終了する。尚、使用者端末１０３で受信した電子カルテが暗号化されている場合は、使用者端末１０３内で復号することとなる。
所有者識別認証に失敗した場合、所有者端末１０２及び使用者端末１０３のいずれか一方又は双方に認証失敗のメッセージが出力されて（ステップＳ８０３）、処理が終了する。
【００３９】
＜緊急時における所有者ＩＣカード１００からの情報読み出しフロー＞
図５を用いて緊急時における所有者ＩＣカード１００からの情報読み出しフローについて説明する。ここでも、ＩＣカードの所有者を患者、使用者を医師として説明する。
医師は使用者端末１０３に使用者ＩＣカード１０１を接続し、使用者識別認証を行った後に使用者端末１０３を経由して所有者端末１０２に対して読み出し要求を行う（ステップＳ９０１）。
使用者端末１０３における識別認証方式は既に説明しているため省略する。使用者端末１０３の読み出し要求は、所有者端末１０２によって受信され、所有者端末１０２は接続された所有者ＩＣカード１００内で、緊急状態であるか否かをチェックする（ステップＳ９０２）。
【００４０】
所有者ＩＣカード１００内には、前述した緊急状態判定部４０５において、緊急状態だと判定された場合に緊急状態フラグが立てられている。つまり、ステップＳ９０２では既に所有者ＩＣカード１００が緊急状態であると判定されているか否かをチェックしている。緊急状態フラグが立っている場合、つまり緊急状態であると判断された場合は、有効期限をチェックする（ステップＳ９０３）。
有効期限は、前述の有効期限判定部４０６において決定された有効期限であり、有効期限内であると判断された場合は、すでに生成され（ステップＳ９０７）、出力された（ステップＳ９０８）ワンタイムパスワードを用いて認証を実施する（ステップＳ９０９）。
【００４１】
有効期限が切れている場合は、緊急状態フラグを緊急状態でない状態に戻し、改めて緊急状態であるか否かを判定する（ステップＳ９０４）。ステップＳ９０２で緊急状態フラグが立っていない場合、つまり緊急状態ではないと判断された場合も、緊急状態であるか否かを判断する（ステップＳ９０４）。
緊急状態判定では、前述した緊急状態判定部４０５において説明した手法で緊急状態であるか否かを判定する。緊急状態であると判定された場合は、緊急状態フラグと有効期限を設定する（ステップＳ９０５）。
緊急状態でないと判断された場合は、予め指定されている従来方式の認証方式で所有者を識別認証する（ステップＳ９０６）。
緊急状態フラグが設定されると、ワンタイムパスワードが生成される（ステップＳ９０７）。
【００４２】
ワンタイムパスワードの生成は、前述した認証方式切り換え部４０７によって切り替えられた認証方式である。認証方式切り換え部４０７の説明でも述べたが、本実施形態ではワンタイムパスワードを利用した認証方式を利用するが、別の認証方式を利用してもよい。ステップＳ９０７でワンタイムパスワードが生成されると、生成されたワンタイムパスワードは所有者端末１０２を経由して使用者端末１０３に出力される（ステップＳ９０８）。
医師は、使用者端末１０３に出力されたワンタイムパスワードを利用して認証を行う（ステップＳ９０９）。
ステップＳ９１０で認証に成功すると所有者ＩＣカード１００は所有者端末１０２を経由して所有者ＩＣカード１００が保存している電子カルテを使用者端末１０３へ出力する（ステップＳ９１１）。
ステップＳ９１０で認証に失敗すると所有者ＩＣカード１００が保存している電子カルテは使用者端末１０３へ出力されずに処理は終了する。
【００４３】
このようにして、医師は患者が認証行為を行えないような緊急時においても患者の電子カルテにアクセス可能となる。また、有効期間を設けることによって、緊急状態になってから所定期間内に限定してアクセス可能とし、所定期間経過後は、医師といえども患者の電子カルテにアクセス不可能となる。
【００４４】
（第２の実施形態）
本発明の第２の実施形態について説明する。本実施形態についての説明は、第１の実施形態と異なる部分を主に説明し、第１の実施形態と重複する部部については図および符号を流用する。
【００４５】
第１の実施形態では、緊急状態であると判定された日時から第１の有効期間後を緊急時用の認証方式の第１の有効期限とした。しかし、緊急状態であると判定された日時から第１の有効期限に至るまでの間、緊急状態が継続しているとは限らない。緊急状態が継続していない場合は、セキュリティ強化の観点から、緊急時用の認証方式が使用できなくなることが好ましい。
そこで、本実施形態では、緊急状態と判定された後に一定時間アクセス要求がなかった場合に緊急状態が解除されるようにする。
【００４６】
図６を用いて、本実施形態における有効期限判定を説明する。
ステップＳ１００１では、第１の有効期限が切れているかを判定する。第１の有効期限が切れているかの判定は、緊急状態であると判定された日時と予め記憶されている第１の有効期間に基づいて実行される。「予め記憶されている」とは、当該有効期限判定を実行する前に記憶されている、という意味である。
【００４７】
第１の有効期限が切れているか否かを判定する方法は特に制限されない。
例えば、「緊急状態であると判定された日時」に「予め記憶されている第１の有効期間」を加算して得られる「第１の有効期限」と、「当該判定を実行する日時」とを比較することによって第１の有効期限が切れているか否かを判定することができる。
また、「当該判定を実行する日時」から「緊急状態であると判定された日時」を減算して得られた期間と、「予め記憶されている第１の有効期間」とを比較することによって第１の有効期限が切れているか否かを判定するとしてもよい。
【００４８】
ステップＳ１００２では、第２の有効期限が切れているかを判定する。第２の有効期間は第１の有効期間よりも短い。例えば、第２の有効期間を１時間とし、第１の有効期間を２４時間とする。
第２の有効期限が切れているかの判定は、緊急時用の認証方式による認証が前回要求された日時と予め記憶されている第２の有効期間に基づいて実行される。
第２の有効期限が切れているか否かを判定する方法も、第１の有効期限が切れているか否かを判定する方法と同様に、特に制限されない。
【００４９】
第１の有効期限および第２の有効期限の双方が切れていない場合、つまりステップＳ１００１およびステップＳ１００２の双方においてＮＯと判定された場合に、緊急時用の認証方式の有効期限が切れていないと判定する（ステップＳ１００３）。
一方、第１の有効期限または第２の有効期限のいずれかが切れている場合、つまりステップＳ１００１またはステップＳ１００２のいずれかにおいてＹＥＳと判定された場合に、緊急時用の認証方式の有効期限が切れていると判定する（ステップＳ１００４）。
【００５０】
本実施形態によれば、第１の有効期限が切れていない場合であっても、第２の有効期限が切れている場合は、緊急時用の認証方式の有効期限が切れていると判定される。
つまり、緊急状態であると判定された日時から第１の有効期間（例えば、２４時間）が経過する前でも、緊急時用の認証方式による認証が前回要求された日時から第２の有効期間（例えば、１時間）が経過したら、認証方式の有効期限が切れたと判定される。
【００５１】
本実施形態では、緊急時用の認証方式による認証が所定期間要求されない場合に、緊急時用の認証方式の有効期限が切れたと判定されるが、緊急状態判定部４０５において定期的に緊急状態を判定し、判定結果に応じて自動的に有効期限を更新するようにしてもよい。
【００５２】
第１の実施形態、第２の実施形態に示すようにして、医師は患者が認証行為を行えないような緊急時においても患者の電子カルテにアクセス可能となる。また、有効期限を設けることによって、緊急時に限定してアクセスさせることを実現し、緊急時以外における所有者ＩＣカード１００への権限外のアクセスができないことを可能としている。
【符号の説明】
【００５３】
１００  所有者ＩＣカード
４０１  入力部
４０２  制御部
４０３  記憶部
４０４  識別認証部
４０５  緊急状態判定部
４０６  有効期限判定部
４０７  認証方式切り換え部
４０８  出力部
４０９  位置情報取得部
【図１】
2014142794.tif 000003
【図２】
2014142794.tif 000004
【図３】
2014142794.tif 000005
【図４】
2014142794.tif 000006
【図５】
2014142794.tif 000007
【図６】
2014142794.tif 000008