(57)【要約】【課題】内視鏡装置を様々な人が使用しても、個人情報の漏えいを防ぐ。【解決手段】プロセッサ３０において、サインメニュー画面上に対してＩＤカード、パスワードが入力され、サインインされた場合、ＩＤカード、パスワードを認証する。そして入力ＩＤコードの種類によって、入力者が医師などのユーザ、管理者、製造関連業者いずれであるかを識別し、ユーザ、管理者、製造関連業者それぞれに応じて区分けされたアクセス可能なデータ範囲で、データ閲覧、編集、保存が行われる。【選択図】図３
2018171246.tif 000002
【特許請求の範囲】
【請求項１】
入力されたＩＤコードを認証してデータをアクセス可能にする認証部と、
入力されたＩＤコードから識別される入力者種類に応じて、アクセス可能なデータ範囲を設定するアクセス制限部と
を備えたことを特徴とする内視鏡装置。
【請求項２】
入力者が、医師を含む医療従業者と、医療関連施設で導入される診療システムに携わる管理者とを含み、
前記アクセス制御部が、医療従業者のアクセス可能なデータ範囲の少なくとも一部について、管理者のアクセスを制限することを特徴とする請求項１に記載の内視鏡装置。
【請求項３】
前記アクセス制限部が、管理者のアクセス可能なデータ範囲を、医療従業者のアクセス可能なデータ範囲の一部、もしくは異なるデータ範囲に設定することを特徴とする請求項２に記載の内視鏡装置。
【請求項４】
前記アクセス制限部が、管理者に対し、医療従業者によってアクセス可能な患者情報のアクセスを制限することを特徴とする請求項２または３に記載の内視鏡装置。
【請求項５】
入力者が、内視鏡装置の製造関連業者を含み、
前記アクセス制限部が、製造関連業者のアクセス可能なデータ範囲を、医療従業者および管理者がアクセス可能なデータ範囲の一部もしくは異なるデータ範囲に設定することを特徴とする請求項１乃至４のいずれかに記載の内視鏡装置。
【請求項６】
前記アクセス制限部が、入力されたＩＤコードに基づいて認証できない場合、内視鏡作業に関する動作のみ実行可能となるように、アクセスを制限することを特徴とする請求項１乃至５のいずれかに記載の内視鏡装置。
【請求項７】
前記アクセス制限部が、管理者に対し、医療従業者の登録情報をアクセス可能にすることを特徴とする請求項２乃至６のいずれかに記載の内視鏡装置。
【請求項８】
管理者のＩＤコードによる認証でアクセス可能になった後、医療従業者のＩＤコードが作成可能になることを特徴とする請求項２乃至７のいずれかに記載の内視鏡装置。
【請求項９】
入力されたＩＤコードを記録するＩＤコード記録部をさらに備え、
前記アクセス制限部が、管理者に対し、記録されたＩＤコードを閲覧可能にすることを特徴とする請求項２乃至８にいずれかに記載の内視鏡装置。
【請求項１０】
患者情報へのアクセス履歴情報を、患者情報と関連付けて記録するアクセス情報記録部をさらに備え、
前記アクセス制限部が、管理者に対し、アクセス履歴情報を閲覧可能となるようにすることを特徴とする請求項２乃至９のいずれかに記載の内視鏡装置。
【請求項１１】
データ閲覧、データ編集、データ保存の少なくともいずれか１つの処理についてアクセス可能なデータ範囲が、入力者種類に応じて区分けされていることを特徴とする請求項１乃至１０のいずれかに記載の内視鏡装置。
【請求項１２】
前記認証部が、ＩＤコードとともに入力されるパスワードを認証することを特徴とする請求項１乃至１１のいずれかに記載の内視鏡装置。
【請求項１３】
入力されたＩＤコードを認証してデータをアクセス可能にし、
入力されたＩＤコードから識別される入力者種類に応じて、アクセス可能なデータ範囲を設定することを特徴とする内視鏡装置のデータ管理方法。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、スコープ（内視鏡）を使って体内器官などの被写体を撮像し、処置等を行う内視鏡装置に関し、特に、内視鏡装置に記録されている個人情報などのアクセス制限に関する。
【背景技術】
【０００２】
内視鏡装置では、内視鏡作業中、必要に応じて観察画像を記録することが可能であり、プロセッサ内のメモリあるいは外部のファイリングシステムへ観察画像データを記録する。また、患者情報（氏名、患者ＩＤ番号、年齢など）などが医師などによって入力、表示され、必要に応じて記録される。
【０００３】
患者情報などの個人情報はセキュリティ上厳重に管理する必要がある。そのため、医療関連装置では、ライセンス認証システムを設けることによって、データのアクセスを制限する。例えば、ＩＤ、パスワードを使用者に入力させ、ラインセンス認証を得ている人だけに個人情報データをアクセス可能にする（特許文献１参照）。
【先行技術文献】
【特許文献】
【０００４】
【特許文献１】特開２００９−２７１６１９号公報
【発明の概要】
【発明が解決しようとする課題】
【０００５】
内視鏡装置を使用する人は、医師、技師など医療従事者だけでなく、内視鏡装置を備えた病院などで運営される診療システムに携わるシステム管理者、内視鏡装置の製造に関係する業者（メンテナンス業者も含む）も、内視鏡装置の使用環境の確認、システム変更、設定変更などを目的として、プロセッサを起動させて使用する。このような医療従業者ではない人に対しても、サインインで認証を受けることができるとすると、医療従業者でない人が個人情報を閲覧、データの読み出しなどが可能となり、セキュリティ上問題となる。
【０００６】
したがって、サインインによる認証を受けて内視鏡装置を使用可能となっても、個人情報漏えいを防ぐことが求められる。
【課題を解決するための手段】
【０００７】
本発明の内視鏡装置は、入力されたＩＤコードを認証してデータをアクセス可能にする認証部と、入力されたＩＤコードから識別される入力者種類に応じて、アクセス可能なデータ範囲を設定するアクセス制限部とを備える。ここで入力者種類とは、入力者の装置使用目的の違いに応じて分類される人の種類であり、例えば入力者には、医師を含む医療従業者と、医療関連施設で導入される診療システムに携わる管理者とが含まれる。また、入力者に内視鏡装置の製造関連業者を含めてもよい。
【０００８】
認証部が、ＩＤコードとともに入力されるパスワードを認証することが可能である。データアクセス可能な状態におけるデータ処理としては、データ閲覧、データ編集、データ保存などがあり、アクセス可能なデータ範囲を、入力者の種類に応じて区分けすることが可能である。
【０００９】
アクセス制限部は、医療従業者のアクセス可能なデータ範囲の少なくとも一部について、管理者のアクセスを制限することが可能である。例えばアクセス制限部は、管理者のアクセス可能なデータ範囲を、医療従業者のアクセス可能なデータ範囲の一部、もしくは異なるデータ範囲に設定すればよい。具体的には、管理者に対し、医療従業者によってアクセス可能な患者情報のアクセスを制限することができる。
【００１０】
アクセス制限部は、入力されたＩＤコードに基づいて認証できない場合、内視鏡作業に関する動作のみ実行可能となるように、データアクセスを制限することが可能である。
【００１１】
アクセス制限部は、管理者に対し、医療従業者の登録情報をアクセス可能にしてもよい。また、管理者のＩＤコードによる認証でアクセス可能になった後、医療従業者のＩＤコードが作成可能にすることもできる。
【００１２】
入力されたＩＤコードを記録するＩＤコード記録部を設け、アクセス制限部が、管理者に対し、記録されたＩＤコードを閲覧可能にしてもよい。また、患者情報へのアクセス履歴情報を、患者情報と関連付けて記録するアクセス情報記録部を設け、アクセス制限部が、管理に対し、アクセス履歴情報を閲覧可能となるようにしてもよい。これらの構成は、上記アクセス制限の構成を含めなくてもよい。
【００１３】
本発明の他の態様である内視鏡装置のデータ管理方法は、入力されたＩＤコードを認証してデータをアクセス可能にし、入力されたＩＤコードから識別される入力者種類に応じて、アクセス可能なデータ範囲を設定する。
【発明の効果】
【００１４】
このように本発明によれば、内視鏡装置を様々な人が使用しても、個人情報の漏えいを防ぐことができる。
【図面の簡単な説明】
【００１５】
【図１】本実施形態における内視鏡装置のブロック図である。
【図２】出荷後最初のプロセッサ起動時における認証処理を示したフローチャートである。
【図３】サインインのメニュー（ログイン）画面を示した図である。
【図４】ユーザ新規登録画面を示した図である。
【図５】管理者ＩＤコードに基づく認証およびデータアクセス範囲設定処理のフローチャートである。
【図６】ユーザＩＤコードに基づいてサインインするときの認証およびデータアクセス範囲設定処理のフローチャートである。
【図７】製造関連業者ＩＤコードに基づいてサインインするときの認証およびデータアクセス範囲設定処理のフローチャートである。
【図８】メモリなどに記憶されているアクセス可能なデータのメモリ領域を示した図である。
【図９】外部メモリへのデータ保存のフローチャートである。
【図１０】内視鏡装置１００の使用履歴画面を示した図である。
【図１１】患者情報のデータ作成、更新などの履歴一覧表示画面を示した図である。
【発明を実施するための形態】
【００１６】
以下では、図面を参照して本実施形態である内視鏡装置について説明する。
【００１７】
図１は、本実施形態における内視鏡装置のブロック図である。
【００１８】
内視鏡装置１００は、体内に挿入されるビデオスコープ１０と、ビデオスコープ１０が接続可能なプロセッサ３０とを備え、プロセッサ３０に対してモニタ６０、キーボード７０がそれぞれ接続されている。プロセッサ３０は、キセノンランプなどのランプ４０を備え、ランプ４０から放射された光は、集光レンズ（図示せず）を介してビデオスコープ１０内に設けられたライトガイド（図示せず）の入射端に入射する。ライトガイドから射出した光は、配光レンズ（図示せず）を介してスコープ先端部１０Ｔから被写体に向けて出射する。
【００１９】
被写体で反射した光は、スコープ先端部１０Ｔに設けられた対物レンズ（図示せず）によって結像し、被写体像がイメージセンサ１２の受光面に形成される。ＣＭＯＳセンサ、ＣＣＤなどによって構成されるイメージセンサ１２では、１フィールドあるいは１フレーム分の画素信号が所定の時間間隔（例えば１／６０秒あるいは１／３０秒間隔）で読み出される。イメージセンサ１２の受光面上には、Ｃｙ、Ｙｅ、Ｇ、ＭｇあるいはＲ、Ｇ、Ｂなどのカラーフィルタをマトリクス配列させたカラーフィルタアレイ（図示せず）が配設されている。
【００２０】
信号処理回路１５では、画素信号に対して増幅処理など所定の信号処理が施され、画素信号がプロセッサ３０へ送られる。プロセッサ３０の画像信号処理回路５６では、画素信号に対してホワイトバランス処理、ガンマ補正処理などの画像信号処理が施される。これにより、Ｒ、Ｇ、Ｂの画像信号が生成される。Ｒ、Ｇ、Ｂ画像信号がモニタ６０に出力されることにより、観察画像が動画像としてモニタ６０に表示される。
【００２１】
メインＣＰＵを含むコントローラ５０は、画像信号処理回路５６などへ制御信号を出力し、プロセッサ３０が電源ＯＮ状態である間、プロセッサ３０の動作を制御する。一方、ビデオスコープ１０に設けられたスコープコントローラ１６は、信号処理回路１５に制御信号を出力し、ビデオスコープ１０の動作を制御する。
【００２２】
医師、技師など、医療行為に関係して内視鏡装置を使用するもの（以下、医療従業者という）は、内視鏡作業中、スコープボタン１１、キーボード７０などを操作することによって、観察画像データを不揮発性のメモリ５１に記録することができる。また、プロセッサ３０に対して着脱自在に装着可能な記録デバイス（ＵＳＢメモリなど）、プロセッサ３０とネットワークを通じて接続されるファイリングシステムなどにも記録可能である。
【００２３】
さらに医療従業者は、キーボード７０を操作することにより、患者の名前、患者ＩＤ番号、生年月日などを含む患者情報を、その患者の観察画像に関連付けて記録させることが可能であり、患者一覧表を作成することもできる。
【００２４】
内視鏡装置１００が設置される病院などの医療関連施設では、コンピュータネットワークによる診療システムが構築されており、ここではプロセッサ３０がネットワークを通じて診療システムに組み込まれている。診療システムの管理に携わる者（以下、管理者という）は、内視鏡装置の使用環境情報（施設情報、ネットワーク情報）などを閲覧し、システム管理上設けられる設定値などを必要に応じて変更することができる。
【００２５】
内視鏡装置の製造業者およびメンテナンス業者（以下、製造関連業者という）は、装置出荷前にパラメータ設定調整などを行うとともに、内視鏡装置の修理関連情報などを閲覧し、変更することができる。出荷時設定値、修理関連情報などのデータは、メモリ５１に記憶されている。
【００２６】
医療従業者、管理者、製造関連業者には、それぞれＩＤコードとパスワードが付与されている。プロセッサ３０は、サインイン（ログイン）画面においてＩＤコード、パスワードが入力されると（図３参照）、コントローラ５０は入力者を識別し、その入力者に応じてデータアクセス可能な範囲を設定する。医療従業者に対しては、患者情報をアクセス可能とする一方、管理者については、診療システムに関するデータのみアクセス可能とする。また、製造関連業者に対しては、装置関連データのみアクセス可能とする。以下、これについて詳述する。
【００２７】
図２は、出荷後最初のプロセッサ起動時における認証処理を示したフローチャートである。図３は、サインインのメニュー（ログイン）画面を示した図である。図４は、ユーザ新規登録画面を示した図である。なお、医療従業者に関し、以下では「ユーザ」と表す。
【００２８】
プロセッサ３０を初めて起動させると、図３に示すようなサインメニュー画面がモニタ画面６０Ｓに表示される。最初の起動時には、管理者がキーボード７０を使って付与されたＩＤコードとパスワードを入力し、サインインを行う。プロセッサ３０のコントローラ５０は、入力されたＩＤコードとパスワードが管理者のＩＤコードとパスワードと一致するか否かを判断する（Ｓ１０１、Ｓ１０２）。
【００２９】
ＩＤコードとパスワードの一致判断は、メモリ５１あるいはネットワークで接続されたデータベースに記憶された参照ＩＤコードおよび参照パスワードとの一致、不一致に基づいて行われる。ＩＤコードとパスワードが一致しない場合、認証せずにデータアクセス不可能とする。ただし、内視鏡作業などを行うための最低限のプロセッサ動作は許可する。
【００３０】
ＩＤコードとパスワードが一致する場合、ユーザ新規登録画面がモニタ画面６０Ｓに表示される（Ｓ１０３）。管理者は、内視鏡装置１００を使用する医師などのユーザに対してＩＤコード、パスワードをそれぞれ付与するため、ユーザの新規登録処理を行う。管理者が新規登録設定ボタンを画面で選ぶと、図４（Ｂ）に示すように、ユーザのＩＤコードおよびパスワードの設定画面が表示される。
【００３１】
ＩＤコード、パスワードが入力、設定されると、メモリ５１などに記録される（Ｓ１０３〜Ｓ１０５）。図４（Ａ）では、新規登録されたユーザ用ＩＤコードの一覧表示画面を示している。新規登録作業が終了すると、管理者は、医師などのユーザに対し、登録したＩＤコード、パスワードを提供することができる。
【００３２】
図５は、管理者ＩＤコードに基づく認証およびデータアクセス範囲設定処理のフローチャートである。
【００３３】
管理者がＩＤコードとパスワードを入力してサインインを行うと（図３参照）、コントローラ５０は、ＩＤコードとパスワードがメモリ５１などに記憶されているものと一致するか否かを判断する（Ｓ２０１、Ｓ２０２）。認証された場合、そのＩＤコードから入力者が管理者であるものと判断し、管理者を対象としたデータアクセス可能な範囲が設定される（Ｓ２０４）。ここでは、メモリ５１あるいは外部メモリなどに記憶されたデータの中で管理者アクセス可能なデータが読み出され、ＲＡＭなどのメモリに一時的に記憶される。
【００３４】
一方、ステップＳ２０２において認証されなかった場合、データアクセスが不可となり、内視鏡装置１００を使って内視鏡作業を行うための最低限の動作を許可する。なお、初回起動の場合には、図２の処理が実行される（Ｓ２０３）。
【００３５】
ユーザが管理者権限のＩＤコードと初期パスワードを提供された場合、管理者権限によるサインインによって認証を受けた後、図３で説明したようなパスワード変更を伴う登録設定することができる（Ｓ２０１〜Ｓ２０２、Ｓ２０５〜Ｓ２０９）。この場合、ユーザは、次回起動時以降において登録したパスワードでユーザ権限によるサインインを行うことになる。
【００３６】
図６は、ユーザＩＤコードに基づいてサインインするときの認証およびデータアクセス範囲設定処理のフローチャートである。
【００３７】
ユーザが自身のＩＤ、パスワードを入力し、サインインを行うと（Ｓ３０１〜Ｓ３０３）、ＩＤコードとパスワードがデータベースのものと一致するか否かを判断する（Ｓ３０４）。一致する場合、ユーザによる装置使用があるもと判断し、ユーザを対象としたときのデータアクセス可能な範囲が設定される（Ｓ３０４、Ｓ３０５）。一致しない場合、データアクセス不可になる一方、装置を使って内視鏡作業が行える最低限の動作を許可する。
【００３８】
図７は、製造関連業者ＩＤコードに基づいてサインインするときの認証およびデータアクセス範囲設定処理のフローチャートである。
【００３９】
製造関連業者がＩＤコード、パスワードを入力し、サインインを行うと（Ｓ４０１）、ＩＤコードとパスワードがデータベースのものと一致するか否かを判断する（Ｓ４０２）。認証された場合、製造関連業者が使用するものと判断し、製造関連業者がデータアクセス可能な範囲が設定される（Ｓ４０３）。認証されない場合、データアクセス不可となる一方、装置を使って内視鏡作業が行える最低限の動作を許可する。
【００４０】
図８は、メモリ５１などに記憶されているアクセス可能なデータのメモリ領域を示した図である。メモリ領域Ａは、医師などのユーザがアクセス可能なメモリ領域であり、メモリ領域Ｂは、管理者アクセス可能なメモリ領域であり、メモリ領域Ｃは、製造関連業者がデータアクセス可能な領域を示す。
【００４１】
製造関連業者によるサインインの認証が行われた場合、個人情報、登録ユーザ情報などがアクセスできず、装置設定値、装置の使用履歴情報、エラー発生履歴情報など、装置関連のデータだけがアクセス可能となる。すなわち、データ閲覧、データ編集、データ保存可能となる。管理者によるサインインの認証が行われた場合、使用環境情報（施設情報、ネットワーク情報）など、医師などのユーザ共通の情報やユーザＩＤ情報に対し、データアクセス可能となる。ユーザによるサインインの認証が行われた場合、個人情報である患者情報（氏名、性別、年齢、患者ＩＤなど）に対してデータアクセス可能となる。
【００４２】
このように、内視鏡装置１００を使用とする者が医師などのユーザ、管理者、製造関連業者のいずれかによって、データ閲覧、編集、保存などデータアクセス範囲が相違し、それぞれ区分けされている。また、サインインによる認証に失敗した場合、データアクセスは禁止され、設定値保存などを行うこともできない。その一方で、ランプ電源、ポンプのＯＮ、ＯＦＦ、画像処理など緊急時などに必要な装置動作だけを許可する。
【００４３】
図９は、外部メモリへのデータ保存のフローチャートである。
【００４４】
データ保存操作が行われると（Ｓ５０１）、メモリ５１から対応するデータが読み出され、外部メモリに保存される（Ｓ５０２、Ｓ５０３）。このとき、図８に示すメモリ領域Ａ〜Ｃに従い、データ取り出し可能な範囲がユーザ、管理者、製造関連業者によって異なる。
【００４５】
図１０は、内視鏡装置１００の使用履歴画面を示した図である。上述したように、管理者ＩＤコードに基づくサインインによって認証を受けた場合、ユーザ登録情報を閲覧することができる（図１０（Ａ））。また、管理者、ユーザ、製造関連業者のサインイン情報を表示させ、閲覧することができる（図１０（Ｂ））。これによって管理者は、誰が（どの職種の者が）内視鏡装置１００を使用したか知ることができる。
【００４６】
図１１は、患者情報のデータ作成、更新などの履歴一覧表示画面を示した図である。
【００４７】
ユーザは、個人情報となる患者情報に関してアクセス可能であり、データ編集、保存などが可能である。図１１（Ａ）には、患者情報画面を示している。そこには、患者名、患者ＩＤ、生年月日、性別とともに、どのユーザが作成、編集、記録したかを表示している。患者情報データはメモリ５１あるいは外部メモリに記憶可能である。また、図１１（Ｂ）に示すように、走査履歴一覧を画面表示することもできる。この一覧画面についても、メモリ５１などに記録することが可能である。
【００４８】
このように本実施形態によれば、プロセッサ３０において、サインメニュー画面上に対してＩＤカード、パスワードが入力され、サインインされた場合、ＩＤカード、パスワードを認証する。そして入力ＩＤコードの種類によって、入力者が医師などのユーザ、管理者、製造関連業者いずれであるかを識別し、ユーザ、管理者、製造関連業者それぞれに応じて区分けされたアクセス可能なデータ範囲で、データ閲覧、編集、保存が行われる。
【００４９】
内視鏡装置使用者がユーザ以外の管理者、製造関連業者である場合には患者情報をアクセスできないため、サインインによる認証手続きを経て内視鏡装置を使用可能となっても、個人情報の漏えいを防ぐことができる。
【００５０】
一方、管理者がユーザの登録情報、患者情報のアクセス履歴情報などを閲覧できるようにすることにより、複数のユーザは特定の患者に対して患者情報の更新、変更などを行った場合、それを外部メモリなどに取り出すことによって、その経過を提示することができる。一方、ユーザにはこれらの情報をアクセスできないようにすることで、自身とは関係ない患者に対する情報取得を防ぐことができる。
【００５１】
さらに、管理者がサインイン認証の履歴を閲覧可能とすることにより、診療システム上において内視鏡装置の使用状況などを把握することが可能である。管理者権限でサインインしたときにユーザ登録やユーザパスワード変更する構成にすることで、管理者権限でユーザ関連の項目を一括管理することができる。
【００５２】
本実施形態では、ユーザ、管理者、製造関連業者のアクセス可能なデータ範囲がそれぞれ区別されているが、ユーザがより広範囲にアクセス可能であって、管理者、製造関連業者がその一部に限定されるように構成してもよい。また、それ以外の方法で入力者の種類を識別してもよい。
【符号の説明】
【００５３】
１０  ビデオスコープ
３０  プロセッサ
５０  コントローラ（認証部、入力者識別部、アクセス制御部）
【図１】
2018171246.tif 000003
【図２】
2018171246.tif 000004
【図３】
2018171246.tif 000005
【図４】
2018171246.tif 000006
【図５】
2018171246.tif 000007
【図６】
2018171246.tif 000008
【図７】
2018171246.tif 000009
【図８】
2018171246.tif 000010
【図９】
2018171246.tif 000011
【図１０】
2018171246.tif 000012
【図１１】
2018171246.tif 000013