(57)【要約】【課題】ネットワークを介して保守端末と接続された医用機器のセキュリティを確保することを目的とする。【解決手段】医用機器１０のアクセス許可位置管理手段１２に、医用機器１０に対してアクセス可能な場所を予め登録しておく。位置情報取得手段３２は、保守端末３０に接続されたＧＰＳレシーバが取得した位置情報から、緯度情報と経度情報を抽出する。アクセス許可申請作成手段３３は、現在位置情報（緯度情報と経度情報）を含む申請メッセージを作成し、医用機器１０に送信する。医用機器１０のアクセス許可判定手段１４は、受信した現在位置情報が、アクセス許可位置管理手段１２に予め登録されている位置情報と一致する場合、又は予め決定された許容範囲に含まれる場合は、保守端末３０から医用機器１０へのアクセスを許可する。【選択図】図１
2007286879.tif 000002
【特許請求の範囲】
【請求項１】
医用機器と端末とがネットワークを介して接続された医用機器のセキュリティ管理システムであって、
前記端末の位置情報を取得する位置情報取得手段と、
前記取得された位置情報に応じて、前記端末から前記医用機器への前記ネットワークを介してのアクセスを許可するアクセス許可判定手段と、
を有することを特徴とする医用機器のセキュリティ管理システム。
【請求項２】
前記アクセス許可判定手段は、予め設定された位置情報が示す場所を含む所定範囲内に、前記取得された位置情報が示す場所が含まれる場合に、前記アクセスを許可することを特徴とする請求項１に記載の医用機器のセキュリティ管理システム。
【請求項３】
医用機器と端末とがネットワークを介して接続され、
操作者を識別するための操作者識別情報に基づいて、前記端末から前記医用機器へのアクセスの許可／不許可を判定する第１のアクセス許可判定手段と、
前記第１のアクセス許可判定手段によってアクセスが許可された端末から前記医用機器へのアクセスを可能とするリモートアクセス手段と、
を備えた医用機器のセキュリティ管理システムであって、
前記端末から前記医用機器へのアクセスの許可／不許可を判定するための認証情報を予め登録する登録手段と、
前記端末から認証情報を含む申請メッセージを受けて、前記登録手段に前記申請メッセージに含まれる認証情報が登録されているか否かを判定する第２のアクセス許可判定手段と、
前記第２のアクセス許可判定手段によって、前記認証情報が前記登録手段に登録されていると判定された場合に、前記第１のアクセス許可判定手段に前記アクセスの許可／不許可を判定させる制御手段と、
を有することを特徴とする医用機器のセキュリティ管理システム。
【請求項４】
前記申請メッセージには、前記医用機器へのアクセスを試みる端末にて入力された操作者識別情報が含まれており、
前記第２のアクセス許可判定手段は、前記端末から前記申請メッセージを受けて、その申請メッセージに含まれる認証情報が、前記登録手段に登録されているか否かを判定し、
前記制御手段は、前記認証情報が前記登録手段に登録されていると判定された場合に、前記申請メッセージに含まれる操作者識別情報をアクセス可能な識別情報として登録して、前記第１のアクセス許可判定手段に前記アクセスの許可／不許可を判定させ、
前記第１のアクセス許可判定手段は、前記制御手段によってアクセス可能な識別情報として登録された操作者識別情報を含む申請メッセージを送った端末については、前記医用機器へのアクセスを許可することを特徴とする請求項３に記載の医用機器のセキュリティ管理システム。
【請求項５】
前記端末の位置情報を取得する位置情報取得手段を更に有し、
前記登録手段は、前記医用機器へのアクセスが許可された場所を示すアクセス許可位置情報を前記認証情報として登録し、
前記第２のアクセス許可判定手段は、前記位置情報取得手段によって取得された位置情報を含む申請メッセージを前記端末から受けて、前記登録手段に前記取得された位置情報がアクセス許可位置情報として登録されているか否かを判定し、
前記制御手段は、前記取得された位置情報が前記登録手段に登録されていると判定された場合に、前記第１のアクセス許可判定手段に前記アクセスの許可／不許可を判定させることを特徴とする請求項３に記載の医用機器のセキュリティ管理システム。
【請求項６】
前記第２のアクセス許可判定手段は、前記登録手段に登録されているアクセス許可位置情報が示す場所を含む所定範囲内に、前記取得された位置情報が示す場所が含まれているか否かの判定をし、
前記制御手段は、前記取得された位置情報が示す場所が、前記所定範囲内に含まれていると判定された場合に、前記第１のアクセス許可判定手段に前記アクセスの許可／不許可を判定させることを特徴とする請求項５に記載の医用機器のセキュリティ管理システム。
【請求項７】
予め決定された情報を含む許可証と、前記予め決定された情報を含む認証キーと、を前記認証情報として発行する発行手段を更に有し、
前記登録手段は、前記許可証を前記端末に登録し、前記認証キーを前記医用機器に登録し、
前記第２のアクセス許可判定手段は、前記許可証に含まれる予め決定された情報を含む申請メッセージを前記端末から受けて、前記登録手段に前記申請メッセージに含まれる予め決定された情報と同じ情報を含む認証キーが登録されているか否かを判定し、
前記制御手段は、前記予め決定された情報と同じ情報を含む認証キーが前記登録手段に登録されていると判定された場合に、前記第１のアクセス許可判定手段に前記アクセスの許可／不許可を判定させることを特徴とする請求項３に記載の医用機器のセキュリティ管理システム。
【請求項８】
ネットワークを介して端末と接続された医用機器であって、
前記端末の位置情報に応じて、前記端末からのアクセスを許可するアクセス許可判定手段を有することを特徴とする医用機器。
【請求項９】
ネットワークを介して端末と接続され、
操作者を識別するための操作者識別情報に基づいて、前記端末からのアクセスの許可／不許可を判定する第１のアクセス許可判定手段と、
前記第１のアクセス許可判定手段によってアクセスが許可された端末からのアクセスを可能とするリモートアクセス手段と、
を備えた医用機器であって、
前記端末からのアクセスの許可／不許可を判定するための認証情報を予め登録する登録手段と、
前記端末から認証情報を含む申請メッセージを受けて、前記登録手段に前記申請メッセージに含まれる認証情報が登録されているか否かを判定する第２のアクセス許可判定手段と、
前記第２のアクセス許可判定手段によって、前記認証情報が前記登録手段に登録されていると判定された場合に、前記第１のアクセス許可判定手段に前記アクセスの許可／不許可を判定させる制御手段と、
を有することを特徴とする医用機器。
【請求項１０】
医用機器と端末とがネットワークを介して接続された医用機器のセキュリティ管理方法であって、
前記端末の位置情報を取得する位置情報取得ステップと、
前記取得された位置情報に応じて、前記端末から前記医用機器への前記ネットワークを介してのアクセスを許可するアクセス許可判定ステップと、
を含むことを特徴とする医用機器のセキュリティ管理方法。
【請求項１１】
医用機器と端末とがネットワークを介して接続された医用機器のセキュリティ管理方法であって、
前記医用機器において、前記端末から前記医用機器へのアクセスの許可／不許可を判定するための認証情報を予め登録する登録ステップと、
前記医用機器が、前記端末から認証情報を含む申請メッセージを受けて、前記申請メッセージに含まれる認証情報が登録されているか否かを判定する第１の判定ステップと、
前記第１の判定ステップによって、前記認証情報が登録されていると判定された場合に、操作者を識別するための操作者識別情報に基づいて、前記端末から前記医用機器へのアクセスの許可／不許可を判定する第２の判定ステップと、
前記第２の判定ステップによって、アクセスが許可された端末から前記医用機器への接続を開始するステップと、
を含むことを特徴とする医用機器のセキュリティ管理方法。
【発明の詳細な説明】
【技術分野】
【０００１】
この発明は、ネットワークを介して医用機器にアクセスする場合における、セキュリティの管理に関する。
【背景技術】
【０００２】
遠隔アクセスに関する技術では、これまで、ユーザの本人性を確認したり、アクセスの資格の有無を確認したりする認証技術に注力されてきた。認証技術として、大別して以下に示す技術がある。（１）ユーザＩＤやパスワードなどを利用する認証技術、（２）ＵＳＢトークンやスマートカードなどの、ユーザの持ち物を利用する認証技術、（３）バイオメトリクスなどの、ユーザの身体の特徴を利用する認証技術。
【０００３】
上記（１）から（３）の認証技術はそれぞれ一長一短があり、１つの認証技術でセキュリティのレベルを高めるには限界があるため、２つの方式を組み合わせて認証する方式も提案されている。
【０００４】
ところで、医用機器のアップタイムを最大化するためには、２４時間３６５日、医用機器を監視して異常の有無を確認し、医用機器が故障に至る前に異常の原因を突き止め、異常の原因となるものを交換、調整又は設定変更することが求められる。このような監視は、保守サービス会社がネットワークを介して医用機器を遠隔操作することで、実行されている。なお、上記医用機器には、例えば、Ｘ線ＣＴ装置、Ｘ線診断装置、ＭＲＩ装置又は超音波診断装置などの医用画像診断装置が該当する。
【０００５】
上記のような監視システムが構築されている状態で医用機器が異常を検知した場合に、その異常の検知を保守サービス会社に通知すると、その通知を受けた保守サービス会社は医用機器を遠隔操作して医用機器の状態を確認する。このように、遠隔操作によって医用機器の異常の有無が確認される。また、保守サービス会社が定期的に医用機器にアクセスして医用機器を点検することで、医用機器の異常の有無が確認される。
【０００６】
一方、医用機器には、患者のプライバシーに関する個人情報が格納されている。そのため、医用機器を遠隔操作する操作者の確認、操作者が使用する端末の確認、及び、医用機器に格納されている個人情報の取り扱いの確認は非常に重要となっている。例えば、医用機器を遠隔操作できる操作者を特定してアクセス制限したり、遠隔操作可能な端末を特定してアクセス制限したり、遠隔操作によって参照又は取得された個人情報を記録したり、そのアクセスの履歴を管理したりする必要がある。
【０００７】
医用機器を遠隔操作できる操作者を特定してアクセス制限する技術については、従来から様々なユーザ認証技術が提案されてきた（例えば特許文献１）。例えば、上述した（１）から（３）のユーザ認証技術が挙げられる。
【０００８】
また、医用機器を遠隔操作できる端末を特定してアクセス制限する技術については、端末に割り当てられているＩＰアドレス（Ｉｎｔｅｒｎｅｔ  Ｐｒｏｔｏｃｏｌ  Ａｄｄｒｅｓｓ）を基に、端末から医用機器へのアクセスを制限するアクセス制御技術が知られている。
【０００９】
また、医用機器を遠隔操作できる端末を、物理的にセキュリティが確保された部屋に設置し、その部屋への操作者の入室及び退室を管理することで、医用機器を遠隔操作できる操作者と端末を特定してアクセス制限することが提案されている。
【００１０】
医用機器を遠隔操作できるようにするため、医用機器には、様々なリモートアクセスツールやファイル転送ツールが用いられている。それらのリモートアクセスツールやファイル転送ツールは、ユーザ認証などのセキュリティ機能を実行することにより、医用機器のセキュリティを確保している。
【００１１】
ここで、保守サービス会社から医用機器に遠隔からアクセスするためのネットワークの構成について、図１７及び図１８を参照して説明する。図１７は、保守サービス会社から医用機器に遠隔からアクセスするためのネットワークの概略構成を示すブロック図である。図１８は、医用機器の１例としてＸ線ＣＴ装置を示す図である。
【００１２】
医療機関１００のネットワークは、複数のネットワークセグメント１１０で構成され、パブリックネットワーク（インターネット）に接続されている。医用機器は、医療機関１００のある部門のネットワークセグメント１１０に接続されている。また、フィルムを印刷するイメージャ１１２、撮影した画像を保管管理する画像管理システム（ＰＡＣＳ）１１３、及び、撮影した画像の読影を行う読影端末１１４が、医用機器１１１と同じネットワークセグメント１１０に接続されている。
【００１３】
このネットワークセグメント１１０には、公衆電話回線網やＩＳＤＮ（Ｉｎｔｅｇｒａｔｅｄ  Ｓｅｒｖｉｃｅｓ  Ｄｉｇｉｔａｌ  Ｎｅｔｗｏｒｋ）回線網を介して遠隔からのアクセスを可能とするために、ダイアルアップルータやＴＡ（Ｔｅｒｍｉｎａｌ  Ａｄａｐｔｅｒ）／ＤＳＵ（Ｄｉｇｉｔａｌ  Ｓｅｒｖｉｃｅ  Ｕｎｉｔ／回線接続装置）などの、遠隔アクセスルータ１１５が設置されている。
【００１４】
ここで、医用機器１１１の１例として、Ｘ線ＣＴ装置について図１８を参照して説明する。Ｘ線ＣＴ装置は、寝台３０１、ガントリ３０２、スキャンコンソール３０３及びレビューコンソール３０４を備えて構成されている。スキャンコンソール３０３は、寝台３０１、及びガントリ３０２に配置されたＸ線管やＸ線検出器の動作を制御し、さらに、Ｘ線検出器で検出されたデータに基づいてコンピュータ処理することにより、被検体の断層像を生成する。
【００１５】
レビューコンソール３０４は、Ｘ線検出器で検出されたデータに基づいて、新しい条件で再度、被検体の断層像を生成したり、３次元画像を生成したり、画像をフィルムに印刷したり、ＰＡＣＳ１１３に画像を転送したりする。
【００１６】
寝台３０１、ガントリ３０２、スキャンコンソール３０３、及びレビューコンソール３０４は、通信ケーブルで接続されて、データの転送が行われる。通信ケーブルは、シリアル通信のようにコンピュータ間を直結する場合と、ＴＣＰ／ＩＰのようなネットワークを用いる場合がある。
【００１７】
スキャンコンソール３０３やレビューコンソール３０４は、医療機関１００にある他のシステムや、遠隔から医用機器にアクセスするためのネットワークＮに接続されている。
【００１８】
保守サービス会社２００のネットワークも、複数のネットワークセグメント２１０で構成され、パブリックネットワーク（インターネット）に接続されている。また、遠隔から医用機器にアクセスするための保守端末２１１は、保守サービス会社２００のある部門のネットワークセグメント２１０に接続されている。
【００１９】
このネットワークセグメント２１０には、公衆電話回線網やＩＳＤＮ回線網を介して医用機器にアクセスするために、ダイアルアップルータやＴＡ（Ｔｅｒｍｉｎａｌ  Ａｄａｐｔｅｒ）／ＤＳＵ（Ｄｉｇｉｔａｌ  Ｓｅｒｖｉｃｅ  Ｕｎｉｔ／回線接続装置）などの、遠隔アクセスルータ２１２が設置されている。
【００２０】
なお、保守サービス会社から医用機器への遠隔からのアクセスは、パブリックネットワーク上に仮想的な専用ネットワーク回線を実現するＶＰＮ（Ｖｉｒｔｕａｌ  Ｐｒｉｖａｔｅ  Ｎｅｔｗｏｒｋ）を構築して、そのＶＰＮを経由して行うこともできる。この場合も、図１７に示すように、遠隔アクセスルータＲを介してアクセスが行われる。
【００２１】
なお、ファイアーウォールＦＷとスイッチＳＷが、医用機器１００と保守サービス会社２００に設置されている。
【００２２】
上記の構成を有するネットワークにおいて、保守サービス会社２００に設置された保守端末２１１から、医療機関１００に設置された医用機器１１１に遠隔からアクセスする場合には、まず、保守端末２１１にログオンする。このとき、その保守端末２１１に対するユーザ認証が行われ、操作者の本人性が検証される。
【００２３】
次に、公衆回線網やＩＳＤＮ回線網を介して医用機器に遠隔からアクセスする場合には、保守端末２１１は医療機関１００に設置されている遠隔アクセスルータ１１５に接続する。これにより、保守端末２１１は、あたかも医用機器１１１が接続しているネットワークセグメント１１０に接続しているかのようになる。
【００２４】
そして、保守端末２１１上で、ＴＥＬＮＥＴ、ＳＳＨ（Ｓｅｃｕｒｅ  Ｓｈｅｌｌ）、ＶＮＣ（Ｖｉｒｔｕａｌ  Ｎｅｔｗｏｒｋ  Ｃｏｍｐｕｔｉｎｇ）などのリモートアクセスツールを起動して、医用機器１１１上で動作するリモートアクセスツールと接続し、ユーザ認証が行われることで、医用機器１１１に対して保守端末２１１から操作できるようになる。保守端末２１１からの通信切断要求、又は、医用機器１１１での通信切断により、遠隔操作は終了する。
【００２５】
また、保守端末２１１上で、ＦＴＰなどのファイル転送ツールを起動して、医用機器１１１上で動作するファイル転送ツールと接続し、ユーザ認証が行われることで、保守端末２１１と医用機器１１１との間でファイルの転送が可能となる。保守端末２１１からの通信切断要求、又は、医用機器１１１での通信切断により、ファイル転送は終了する。
【００２６】
遠隔操作やファイル転送が終了すると、医療機関１００に設置されている遠隔アクセスルータ１１５との接続を遮断することで、一連の作業が終了する。
【００２７】
なお、遠隔アクセスルータ１１５には、ユーザＩＤやパスワードを利用したユーザ認証、着信した電話番号を利用した着信認証、ＩＰパケットフィルタリング、又は、発信者番号通知機能で発信者を特定し、コールバックを行う自動コールバック機能などのセキュリティ機能が実施される。ここで、ユーザ認証用の画面の１例を図１９に示す。保守端末２１１でユーザＩＤとパスワードが入力されると、予め登録されているユーザＩＤ及びパスワードと、入力されたユーザＩＤ及びパスワードとが一致する場合には、そのユーザが本人であると判断されるようになっている。これにより、リモートアクセスツールやファイル転送ツールが機能することになる。
【００２８】
ところで、市場で稼動している医用機器の数は非常に多いため、担当しているサービスマンが交代するごとに、全ての医用機器に対して最新のユーザ登録を行うことは現実的には困難である。そのため、複数のサービスマンが共通に利用できるアカウントを、リモートアクセスツールやファイル転送ツールに対して設定しておくことが一般的に行われている。これにより、複数のサービスマンがその共通のアカウントを使用することで、医用機器に対して遠隔操作することが可能となる。
【００２９】
しかしながら、共通に利用可能なアカウントのＩＤやパスワードが意図しない第三者に知られてしまうと、その第三者が簡単に医用機器を遠隔操作できてしまう問題がある。例えば、医療機関に設置された無線ＬＡＮに端末を登録して、あたかも医療機関の端末であるかのように見せかけることで、その端末から医用機器にアクセスしたり、その医療機関と接続している別の機関に設置された端末から医用機器にアクセスしたりすることが可能となってしまう問題がある。
【００３０】
また、ＩＰアドレスに基づくＩＰフィルタリングを実施することで、アクセスを許可する端末を制限することもできるが、ＩＰアドレス自体が詐称された場合には、ＩＰフィルタリングによるアクセス制限が機能しないことになる。
【００３１】
さらに、端末を外部に持ち出して、外出先でその端末を用いて医用機器を遠隔操作した場合、その端末の画面には医用機器に格納されている個人情報が表示される場合がある。この場合に、意図しない第三者に端末の画面を覗き見されたり、携帯端末などで画面に表示された個人情報が盗撮されたりするおそれがあるため、医用機器に格納されている情報のセキュリティが確保されないおそれがある。
【００３２】
以上のように、従来技術に係るセキュリティ方式によると、医用機器に格納されている情報を盗難、破壊、又は改ざんから保護できない危険性がある。
【００３３】
【特許文献１】特開２００１−３４４３４９号公報
【発明の開示】
【発明が解決しようとする課題】
【００３４】
この発明は上記の問題点を解決するものであり、医用機器に遠隔からアクセス可能な端末を識別し、端末からのアクセスを制限することで、医用機器のセキュリティを確保することが可能な医用機器のセキュリティ管理システム、医用機器、及び医用機器のセキュリティ管理方法を提供することを目的とする。
【課題を解決するための手段】
【００３５】
請求項１に記載の発明は、医用機器と端末とがネットワークを介して接続された医用機器のセキュリティ管理システムであって、前記端末の位置情報を取得する位置情報取得手段と、前記取得された位置情報に応じて、前記端末から前記医用機器への前記ネットワークを介してのアクセスを許可するアクセス許可判定手段と、を有することを特徴とする医用機器のセキュリティ管理システムである。
【００３６】
請求項３に記載の発明は、医用機器と端末とがネットワークを介して接続され、操作者を識別するための操作者識別情報に基づいて、前記端末から前記医用機器へのアクセスの許可／不許可を判定する第１のアクセス許可判定手段と、前記第１のアクセス許可判定手段によってアクセスが許可された端末から前記医用機器へのアクセスを可能とするリモートアクセス手段と、を備えた医用機器のセキュリティ管理システムであって、前記端末から前記医用機器へのアクセスの許可／不許可を判定するための認証情報を予め登録する登録手段と、前記端末から認証情報を含む申請メッセージを受けて、前記登録手段に前記申請メッセージに含まれる認証情報が登録されているか否かを判定する第２のアクセス許可判定手段と、前記第２のアクセス許可判定手段によって、前記認証情報が前記登録手段に登録されていると判定された場合に、前記第１のアクセス許可判定手段に前記アクセスの許可／不許可を判定させる制御手段と、を有することを特徴とする医用機器のセキュリティ管理システムである。
【００３７】
請求項８に記載の発明は、ネットワークを介して端末と接続された医用機器であって、前記端末の位置情報に応じて、前記端末からのアクセスを許可するアクセス許可判定手段を有することを特徴とする医用機器である。
【００３８】
請求項９に記載の発明は、ネットワークを介して端末と接続され、操作者を識別するための操作者識別情報に基づいて、前記端末からのアクセスの許可／不許可を判定する第１のアクセス許可判定手段と、前記第１のアクセス許可判定手段によってアクセスが許可された端末からのアクセスを可能とするリモートアクセス手段と、を備えた医用機器であって、前記端末からのアクセスの許可／不許可を判定するための認証情報を予め登録する登録手段と、前記端末から認証情報を含む申請メッセージを受けて、前記登録手段に前記申請メッセージに含まれる認証情報が登録されているか否かを判定する第２のアクセス許可判定手段と、前記第２のアクセス許可判定手段によって、前記認証情報が前記登録手段に登録されていると判定された場合に、前記第１のアクセス許可判定手段に前記アクセスの許可／不許可を判定させる制御手段と、を有することを特徴とする医用機器である。
【００３９】
請求項１０に記載の発明は、医用機器と端末とがネットワークを介して接続された医用機器のセキュリティ管理方法であって、前記端末の位置情報を取得する位置情報取得ステップと、前記取得された位置情報に応じて、前記端末から前記医用機器への前記ネットワークを介してのアクセスを許可するアクセス許可判定ステップと、を含むことを特徴とする医用機器のセキュリティ管理方法である。
【００４０】
請求項１１に記載の発明は、医用機器と端末とがネットワークを介して接続された医用機器のセキュリティ管理方法であって、前記医用機器において、前記端末から前記医用機器へのアクセスの許可／不許可を判定するための認証情報を予め登録する登録ステップと、前記医用機器が、前記端末から認証情報を含む申請メッセージを受けて、前記申請メッセージに含まれる認証情報が登録されているか否かを判定する第１の判定ステップと、前記第１の判定ステップによって、前記認証情報が登録されていると判定された場合に、操作者を識別するための操作者識別情報に基づいて、前記端末から前記医用機器へのアクセスの許可／不許可を判定する第２の判定ステップと、前記第２の判定ステップによって、アクセスが許可された端末から前記医用機器への接続を開始するステップと、を含むことを特徴とする医用機器のセキュリティ管理方法である。
【発明の効果】
【００４１】
この発明によると、端末の位置情報に基づいて、端末から医用機器へのアクセスを許可することにより、登録されていない場所で医用機器にアクセスを要求している場合はそのアクセスが制限されることになるため、医用機器のセキュリティを確保することが可能となる。
【００４２】
また、この発明によると、認証情報が予め登録されている場合に、アクセスの許可／不許可を判定し、アクセスが許可された場合に、リモートアクセス手段によって端末から医用機器へのアクセスが可能となる。従って、端末から送られる申請メッセージに含まれる認証情報が、予め登録されている情報と異なる場合は、アクセスの許可／不許可の判定が行われず、端末から医用機器にアクセスできないため、操作者識別情報が漏洩した場合であっても、医用機器のセキュリティを確保することが可能となる。
【発明を実施するための最良の形態】
【００４３】
［第１の実施の形態］
（構成）
この発明の第１の実施形態に係る医用機器のセキュリティ管理システムの構成について、図１を参照して説明する。図１は、この発明の第１の実施形態に係る医用機器のセキュリティ管理システムの概略構成を示す機能ブロック図である。
【００４４】
第１の実施形態に係る医用機器のセキュリティ管理システムは、医用機器１０と保守端末３０を備えて構成されている。医用機器１０は医療機関に設置されている。保守端末３０は、例えば、保守サービス会社に設置されたり、携帯して保守サービス会社の外部で用いられたりする。医用機器１０は、例えば、Ｘ線ＣＴ装置、ＭＲＩ装置、Ｘ線診断装置、又は超音波診断装置などの医用画像診断装置が該当する。
【００４５】
この第１の実施形態に係る医用機器のセキュリティ管理システムは、保守端末３０の位置情報に基づいて、保守端末３０から医用機器１０へのアクセスの許可／不許可を判断する。
【００４６】
＜医用機器１０上での、アクセス許可位置情報の登録＞
まず、医用機器１０上において、医用機器１０へのアクセスを許可する場所（位置）を登録するための構成について説明する。
【００４７】
操作者は、医用機器１０に設置されているＵＩ１１の入力手段１１Ａによって、医用機器１０へのアクセスを許可する場所（位置）を示す情報（以下、「アクセス許可位置情報」と称する場合がある）を入力する。例えば、緯度と経度によって、アクセスを許可する場所を特定する。緯度と経度が入力手段１１Ａによって入力されると、アクセス許可位置管理手段１２に、緯度と経度がアクセス許可位置情報として登録されることになる。なお、アクセス許可位置管理手段１２が、この発明の「登録手段」に相当する。
【００４８】
また、操作者ごとにアクセス可能な場所を登録する場合は、操作者は、アクセス許可位置情報とともに、操作者を特定するためのユーザＩＤを入力手段１１Ａによって入力する。これにより、ユーザＩＤとアクセス許可位置情報とが対応付けられて、アクセス許可位置管理手段１２に登録されることになる。
【００４９】
また、施設名、住所、郵便番号、又は地図帳上のエリアコードによって、アクセスを許可する位置を特定しても良い。例えば、医用機器１０へのアクセスが予定される施設名、住所、郵便番号、又はエリアコードの緯度と経度を、設定ファイルとして、予め記憶装置（図示しない）に登録しておくことで、施設名、住所、郵便番号、又はエリアコードが入力手段１１Ａによって入力されると、アクセス許可位置管理手段１２に、入力された場所の緯度と経度が登録されることになる。
【００５０】  また、ＵＩ１１の表示手段１１Ｂに、医用機器１０へのアクセスが予定される場所（位置）を示す情報を表示し、表示されている場所（位置）から、アクセスを許可する場所（位置）を指定しても良い。図２に、ＵＩ１１の表示手段１１Ｂに表示される登録画面の１例を示す。図２には、場所（位置）を示す例として、施設名が表示手段１１Ｂに表示されている。この登録画面において、操作者が指定した場所（位置）が、アクセスを許可する場所（位置）として、アクセス許可位置管理手段１２に登録されることになる。図２に示す例では、施設名として「（公序良俗違反につき、不掲載）本社」と「（公序良俗違反につき、不掲載）東京支社」が指定されているため、その施設の緯度と経度がアクセス許可位置情報として、アクセス許可位置管理手段１２に登録されることになる。【００５１】
ここで、上記設定ファイルの構造について図３を参照して説明する。図３は、場所を特定する情報を説明するための図である。「区分」は、場所（位置）が施設名、住所、又は郵便番号のいずれかによって特定されているかを示すための情報である。図３に示す例では、場所が施設名で特定されているため、「区分」は「施設名」となる。「タイトル」は、図２に示す登録画面上に表示する文字列である。図３に示す例では、施設名「東芝メディカル本社」がタイトルとなっている。「緯度情報」、「経度情報」、及び「エリアコード」は、場所を特定するための情報である。「エリアコード」は、「緯度情報」と「経度情報」とによって特定される場所を含むエリアを地図帳上で表した情報である。なお、エリアコードは、設定ファイルに含まれていなくても良い。また、「緯度情報」と「経度情報」の代わりに、エリアコードのみでアクセスが許可された場所を特定しても良い。
【００５２】
このように設定ファイルを予め記憶装置（図示しない）に登録しておくことで、施設名、住所、又は郵便番号が入力手段１１Ａによって入力されることで、アクセス許可位置管理手段１２は、その設定ファイルを参照し、入力された情報に対応する経度情報と緯度情報をアクセス許可位置情報として登録する。
【００５３】
アクセス許可位置管理手段１２は、入力手段１１Ａによって入力されたユーザＩＤとアクセス許可位置情報とを対応付けて管理する。ここで、アクセス許可位置管理手段１２が管理している管理用データの構造について、図４を参照して説明する。図４は、アクセス許可位置管理手段１２が管理している管理用データの構造を説明するための図である。管理用データは、各データを識別するための識別番号、ユーザＩＤ、緯度情報、経度情報、エリアコード、及びコメントを格納する領域を有しており、それらの情報が対応付けられている。なお、この管理用データは、データファイルとして実現されても良く、データベース管理システムなどのテーブルとして実現されても良い。
【００５４】
以上のように、アクセス許可位置管理手段１２には、医用機器１０に対して遠隔からアクセス可能な場所（位置）が登録されることになる。
【００５５】
＜保守端末３０上での、アクセス許可の申請＞
次に、保守端末３０上において、保守端末３０から医用機器１０へのアクセスの許可を得るための構成について説明する。
【００５６】
操作者は、保守端末３０に設置されているＵＩ３１の入力手段３１Ａによって、医用機器１０にアクセスを行う操作者を特定するための情報、位置情報を取得するデバイスを特定するための情報、及び、接続先（医用機器１０）を特定するための情報を入力する。例えば、操作者を特定するための情報としてユーザＩＤが入力され、デバイスを特定するための情報としてデバイスＩＤが入力される。また、接続先（医用機器１０）を特定するための情報として、例えばＩＰアドレスが入力される。なお、ユーザＩＤが、この発明の「操作者識別情報」に相当する。
【００５７】
ここで、医用機器１０へのアクセスを申請するための申請画面の１例を図５に示す。この申請画面上で、接続先（医用機器１０）を特定するための情報、ユーザＩＤ、及びデバイスＩＤを入力することができる。そして、申請画面の「申請ボタン」を押下（クリック）することで、アクセスの申請が行われる。また、接続先（医用機器１０）、ユーザＩＤ、及びデバイスＩＤが選択可能なように表示手段３１Ｂに表示しても良い。
【００５８】
入力手段３１Ａによって接続先（医用機器１０）を示す情報、ユーザＩＤ、及びデバイスＩＤが入力されると、それらの情報は、アクセス許可申請作成手段３３に出力される。また、デバイスＩＤが入力手段３１Ａから位置情報取得手段３２に出力される。
【００５９】
位置情報取得手段３２は、入力手段３１Ａによって指定されたデバイスを用いて位置情報を取得し、その位置情報から緯度情報と経度情報を抽出する。位置情報を取得するデバイスの１例としては、ＧＰＳレシーバ（ＧＰＳ受信機）を用いる。例えば、図６に示すように、保守端末３０とＧＰＳレシーバ４０とをＵＳＢケーブルなどのケーブル４１で接続する。位置情報取得手段３２は、ＧＰＳレシーバ４０が受信した位置情報を受けて、その位置情報に含まれる緯度情報と経度情報を抽出する。
【００６０】
ＧＰＳレシーバ４０から出力されるデータは、ＮＭＥＡ−０１８３で規格されるフォーマットで出力される。位置情報取得手段３２は、ＧＰＳレシーバ４０から出力されたデータから緯度情報と経度情報を抽出する。
【００６１】
ここで、ＧＰＳレシーバ４０から出力されるデータの構成について、図７を参照して説明する。図７は、ＧＰＳレシーバから出力されるデータの構造を示す図である。出力データは、センテンスと称される複数のレコードで構成されている。センテンスには複数の種類があり、各センテンスは、［ＣＲ］［ＬＦ］文字コードで区切られ、最初の文字は「＄」で始まり、先頭の文字列によって種類が判別可能となっている。センテンス内は、カンマで区切られるＣＳＶ形式で記述されている。代表的なセンテンスの種類としては、ＧＧＡ（Ｇｌｏｂａｌ  Ｐｏｓｉｔｉｏｎｉｎｇ  Ｓｙｓｔｅｍ  Ｆｉｘ  Ｄａｔａ）、ＧＬＬ（Ｇｅｏｇｒａｐｈｉｃ  Ｐｏｓｉｔｉｏｎ  Ｌａｔｉｔｕｄｅ  ａｎｄ  Ｌｏｎｇｉｔｕｄｅ）、ＧＳＡ（ＧＮＳＳ  ＤＯＰ  ａｎｄ  Ａｃｔｉｖｅ  Ｓａｔｅｌｌｉｔｅｓ）、ＧＳＶ（Ｓａｔｅｌｌｉｔｅｓ  ｉｎ  Ｖｉｅｗ）、ＲＭＣ（Ｒｅｃｏｍｍｅｎｄｅｄ  Ｍｉｎｉｍｕｍ  Ｓｐｅｃｉｆｉｃ  ＧＮＳＳ  Ｄａｔａ）、ＶＴＧ（Ｃｏｕｒｓｅ  Ｏｖｅｒ  Ｇｒｏｕｎｄ  ａｎｄ  Ｇｒｏｕｎｄ  Ｓｐｅｅｄ）、ＺＤＡ（Ｔｉｍｅ  ＆  Ｄａｔｅ）などがある。図７には、ＲＭＣのデータ形式を示している。
【００６２】
位置情報取得手段３２は、ＧＰＳレシーバ４０から出力されるデータの各行の先頭の文字列を比較して「＄ＧＰＲＭＣ」である行を処理対象として、カンマで区切られた３番目のデータがステータスを表すのでその値が「Ａ：有効」であることを確認し、有効であれば、４番目のデータを緯度として、６番目のデータを経度として抽出する。
【００６３】
アクセス許可申請作成手段３３は、入力手段３１Ａによって入力されたユーザＩＤ、デバイスＩＤ、及び、位置情報取得手段３２によって取得された現在位置情報（緯度情報と経度情報を含む）に基づいて、アクセスの許可を求める申請メッセージを作成する。この申請メッセージは、ユーザＩＤ、デバイスＩＤ、緯度情報、経度情報、及びエリアコードがコロンで区切られた文字列で構成されている。なお、エリアコードを、申請メッセージに含ませなくても良い。エリアコードを申請メッセージに含ませる場合、アクセス許可申請作成手段３３は、緯度情報と経度情報とに基づいて地図帳上のエリアコードを特定し、申請メッセージにそのエリアコードを含ませる。
【００６４】
なお、詐称対策として、アクセス許可申請作成手段６３が公開鍵又は秘密鍵を用いて署名を作成し、その署名データを申請メッセージに追記しても構わない。
【００６５】
送信手段３４は、入力手段３１Ａによって入力された接続先（医用機器１０）に対して、アクセス許可申請作成手段３３によって作成された申請メッセージを送信する。例えば、接続先を示す情報がＩＰアドレスの場合、送信手段３４は、そのＩＰアドレスに申請メッセージを送信する。また、接続先を示す情報としてホスト名が指定されている場合は、送信手段３４は、そのホストからＩＰアドレスを取得し、そのＩＰアドレスに申請メッセージを送信する。
【００６６】
申請メッセージの送信は、ＴＣＰ／ＩＰ上のソケット通信による独自プロトコルで行う。なお、ＲＰＣ（Ｒｅｍｏｔｅ  Ｐｒｏｃｅｄｕｒｅ  Ｃａｌｌ）や、ＳＯＡＰ（Ｓｉｍｐｌｅ  Ｏｂｊｅｃｔ  Ａｃｃｅｓｓ  Ｐｒｏｔｏｃｏｌ）、ＩＩＯＰ（Ｉｎｔｅｒｎｅｔ  Ｉｎｔｅｒ−ＯＲＢ  Ｐｒｏｔｏｃｏｌ）、ＲＭＩ（Ｒｅｍｏｔｅ  Ｍｅｔｈｏｄ  Ｉｎｖｏｃａｔｉｏｎ）などの標準化された通信プロトコルを使用しても構わない。また、ネットワーク上を流れるデータの安全性を確保するために、ＳＳＬ（Ｓｅｃｕｒｅ  Ｓｏｃｋｅｔ  Ｌａｙｅｒ）／ＴＬＳ（Ｔｒａｎｓｐｏｒｔ  Ｌａｙｅｒ  Ｓｅｃｕｒｉｔｙ）による暗号化通信でやりとりしても構わない。
【００６７】
以上のように、保守端末３０の現在の位置を示す情報（現在位置情報）が含まれる申請メッセージが保守端末３０から医用機器１０に送信されることになる。
【００６８】
＜医用機器１０上での、アクセス許可の判定＞
次に、医用機器１０上において、保守端末３０から医用機器１０へのアクセスの許可を判定するための構成について説明する。
【００６９】
医用機器１０の受信手段１６は、保守端末３０から送信される申請メッセージを受信し、アクセス許可判定手段１４にその申請メッセージを送る。
【００７０】
なお、申請メッセージに署名が追記されている場合は、受信手段１６は、公開鍵又は秘密鍵のうち、保守端末３０で用いられていない鍵を用いて署名データを作成する。そして、受信手段１６は、作成した署名データと申請メッセージの署名データとを比較し、詐称の有無を判断する。署名データが異なる場合、受信手段１６は、申請メッセージが詐称されていると判断し、保守端末３０からのアクセスを禁止する。この場合、送信手段１７が、アクセス不可の回答を保守端末３０に送信する。
【００７１】
アクセス許可判定手段１４は、受信した申請メッセージから、ユーザＩＤ、デバイスＩＤ、緯度情報、経度情報、及びエリアコードを抽出し、ユーザＩＤをアクセス位置情報検索手段１３に出力する。アクセス位置情報検索手段１３は、アクセス許可判定手段１４からユーザＩＤを受けると、アクセス位置情報管理手段１２に管理されている管理データから、同じユーザＩＤが付されたアクセス許可位置情報を抽出し、アクセス許可判定手段１４にそのアクセス許可位置情報を出力する。なお、そのユーザＩＤに複数のアクセス許可位置情報が対応付けられている場合は、アクセスが許可された場所（位置）が複数登録されていることになるため、アクセス位置情報検索手段１３は、それら複数の位置情報を抽出してアクセス許可判定手段１４に出力する。
【００７２】
アクセス位置情報管理手段１２において、位置情報がファイルとして管理されている場合、アクセス位置情報検索手段１３は、そのファイルを読み出して位置情報を検索する。また、アクセス位置情報管理手段１２において、位置情報がデータベース管理システムで管理されている場合、アクセス位置情報検索手段１３は、データベース検索言語を用いて位置情報を検索する。
【００７３】
アクセス許可判定手段１４は、申請メッセージに含まれる現在位置情報（緯度情報と緯度情報）と、アクセス位置情報管理手段１２に管理されているアクセス許可位置情報（緯度情報と経度情報）とを比較する。アクセス位置情報検索手段１３によって複数の位置情報が抽出されている場合は、アクセス許可判定手段１４は、位置情報の一覧と、申請メッセージに含まれる現在位置情報とを比較する。そして、アクセス位置情報管理手段１２に登録されている位置情報と、現在位置情報とが一致する場合は、アクセス許可判定手段１４は、保守端末３０から医用機器１０へのアクセスを許可する。一方、一致する場所がない場合は、アクセス許可判定手段１４は、アクセスを不許可とする。アクセスを許可する場合、アクセス許可判定手段１４は、申請メッセージに含まれているユーザＩＤを制御手段１５に出力する。また、アクセス許可判定手段１４は、アクセスの許可又は不許可を示す判定結果を送信手段１７に出力する。なお、アクセス許可判定手段１４が、この発明の「第２のアクセス許可判定手段」に相当する。
【００７４】
また、申請メッセージに含まれる現在位置情報と、アクセス位置情報管理手段１２に管理されているアクセス許可位置情報とが完全に一致しなくても、アクセス許可判定手段１４は、保守端末３０から医用機器１０へのアクセスを許可しても良い。例えば、アクセス許可位置情報が示す場所（位置）に対して予め設定された範囲内に、現在位置情報が示す場所（位置）が含まれている場合は、アクセス許可判定手段１４は、保守端末３０から医用機器１０へのアクセスを許可する。このようにアクセス可能な場所に許容範囲を設けることで、アクセスが許可された施設内で、保守端末３０を所持した状態で操作者が移動しても、医用機器１０にアクセスすることが可能となる。
【００７５】
送信手段１７は、アクセス許可判定手段１４から判定結果を受けると、その判定結果を保守端末３０に送信する。
【００７６】
制御手段１５は、アクセス許可判定手段１４によってアクセスが許可されたユーザＩＤのみが医用機器１０が提供するリモートアクセスツールやファイル転送ツールを使用できるように、各ツールが提供するユーザ認証情報に対して、そのユーザＩＤのみを有効とする。ユーザ認証情報がファイルとして管理されている場合は、制御手段１５は、そのユーザ認証ファイルを更新して、そのユーザＩＤのみを有効とする。例えば、制御手段１５は、図１中のユーザ認証ファイル２０を更新して、アクセスが許可されたユーザＩＤのみを有効とする。
【００７７】
また、制御手段１５は、リモートアクセスツールやファイル転送ツールを起動することができるポート監視手段１９を起動する。ポート監視手段１９は、保守端末３０のリモートアクセスツールやファイル転送ツールからの接続要求を待つ。ここでは、医用機器１０に、リモートアクセスツールとして機能するリモートアクセス手段２１を設け、保守端末３０に、リモートアクセスツールとして機能するリモートアクセス手段３６を設けた場合について説明する。
【００７８】
保守端末３０から医用機器１０を遠隔操作する場合、保守端末３０のリモートアクセス手段３６は、操作者のユーザＩＤを含む接続要求を医用機器１０に送信する。保守端末３０のリモートアクセス手段３６から医用機器１０に対して接続要求が送信されると、医用機器１０のアクセス許可判定手段１８は、その接続要求に含まれるユーザＩＤが、ユーザ認証ファイル２０において有効になっているか否かの判断を行う。ユーザ認証ファイル２０においてそのユーザＩＤが有効になっている場合、アクセス許可判定手段１８は、保守端末３０から医用機器１０への遠隔操作を許可する。一方、ユーザ認証ファイル２０においてそのユーザＩＤが有効になっていない場合は、アクセス許可判定手段１８は、遠隔操作を不許可とする。なお、アクセス許可判定手段１８が、この発明の「第１のアクセス許可判定手段」に相当する。
【００７９】
アクセス許可判定手段１８によって、そのユーザＩＤによる遠隔操作が許可された場合、ポート監視手段１９は、指定されたポートに対応付けられたリモートアクセス手段２１に以後の通信を引き継ぐ。
【００８０】
これにより、医用機器１０のリモートアクセス手段２１と、保守端末３０のリモートアクセス手段３６とによって、保守端末３０から医用機器１０の遠隔操作が可能となる。また、ファイル転送ツールの場合も、リモートアクセスツールと同じ処理が実行されることで、医用機器１０と保守端末３０との間でファイルの転送が可能となる。
【００８１】
なお、制御手段１５は、アクセス許可判定手段１４からアクセスを許可する通知を受けたときに、リモートアクセス手段２１によって遠隔操作が既に行われている場合には、アクセス許可判定手段１４に対して、使用中の回答を行う。つまり、既に別の操作者に対して遠隔操作を許可していた場合には、制御手段１５は、アクセス許可判定手段１４に対して、使用中の回答を行う。この場合、アクセス許可判定手段１４は、送信手段１７に対して、アクセス不可を示す判定結果を送る。
【００８２】
＜保守端末３０上での、アクセス申請結果の確認＞
次に、保守端末３０上において、保守端末３０から医用機器１０へのアクセス許可の確認を行うための構成について説明する。
【００８３】
保守端末３０の受信手段３５は、医用機器１０の送信手段１７から送信される判定結果を受信し、その判定結果をＵＩ３１の表示手段３１Ｂに出力する。表示手段３１Ｂには、その判定結果が表示される。図８に、アクセスが許可された場合の表示例を示す。この例では、アクセス申請が許可された旨が表示手段３１Ｂに表示される。アクセス申請が許可されなかった場合は、不許可の旨が表示手段３１Ｂに表示される。
【００８４】
以上のように、保守端末３０の現在の場所に基づいて医用機器１０へのアクセスの許可／不許可を判定することで、リモートアクセスツールやファイル転送ツールのユーザ認証情報（ユーザＩＤやパスワード）が漏洩した場合であっても、医用機器１０へのアクセスの制限を課すことが可能となる。これにより、医用機器１０に対するネットワーク経由での個人情報の漏洩や改ざんの危険性を低減することが可能となるため、医用機器１０のセキュリティを確保することが可能となる。
【００８５】
また、予め登録された場所からのみのアクセスを許可することで、例えば、保守端末３０を携帯して外出した場合であっても、外出先が登録されていない場所であった場合は、医用機器１０へのアクセスを制限することが可能となる。これにより、外出先で、医用機器１０に格納されている情報が覗き見されたり盗撮されたりする危険性を回避することが可能となる。
【００８６】
（動作）
次に、この発明の第１の実施形態に係る医用機器のセキュリティ管理システムによる一連の動作（セキュリティ管理方法）について、図９を参照して説明する。図９は、この発明の第１の実施形態に係る医用機器のセキュリティ管理システムによる一連の動作を示すフローチャートである。
【００８７】
（ステップＳ０１）
まず、医用機器１０上において、医用機器１０へのアクセスを許可する場所（位置）を登録する。そのために、操作者は、医用機器１０に設置されているＵＩ１１の入力手段１１Ａによって、医用機器１０へのアクセスを許可する場所（位置）を示す情報（アクセス許可位置情報）を入力する。例えば、緯度と経度を入力することで、アクセスを許可する場所を特定する。このようにアクセス許可位置情報が入力手段１１Ａによって入力されると、アクセス許可位置管理手段１２に、入力されたアクセス許可位置情報が登録されることになる。
【００８８】  例えば、ＵＩ１１の表示手段１１Ｂに、図２に示す登録画面を表示し、この登録画面において、操作者は、ユーザＩＤとアクセスを許可する場所を指定する。図２に示す例では、施設名として「（公序良俗違反につき、不掲載）本社」と「（公序良俗違反につき、不掲載）東京支社」が指定されているため、アクセス許可位置管理手段１２は、記憶装置（図示しない）に記憶されている設定ファイルを参照することで、指定された施設に対応する緯度情報と経度情報をアクセス許可位置情報として登録する。アクセス許可位置管理手段１２は、例えば、図４の表に示すように、入力手段１１Ａによって入力されたユーザＩＤとアクセス許可位置情報（緯度情報と経度情報）とを対応付けて管理する。【００８９】
（ステップＳ０２）
次に、保守サービス会社側の保守端末３０上において、医用機器１０へのアクセスの許可を得るための申請を行う。操作者は、保守端末３０に設置されているＵＩ３１の入力手段３１Ａによって、ユーザＩＤ、デバイスＩＤ、及び接続先（医用機器１０）を特定するための情報（例えばＩＰアドレス）を入力する。例えば、ＵＩ３１の表示手段３１Ｂに、図５に示す申請画面を表示し、その申請画面において、ユーザＩＤ、デバイスＩＤ、及び接続先（医用機器１０）情報を入力する。入力手段３１Ａによって入力された接続先（医用機器１０）情報、ユーザＩＤ、及びデバイスＩＤは、アクセス許可申請作成手段３３に出力され、デバイスＩＤは位置情報取得手段３２に出力される。
【００９０】
（ステップＳ０３）
位置情報取得手段３２は、入力手段３１Ａによって指定されたデバイス、例えば、図６に示すＧＰＳレシーバ４０を用いて位置情報を取得し、その位置情報から経度情報と緯度情報を抽出する。具体的には、位置情報取得手段３２は、ＧＰＳレシーバ４０から出力されるデータに含まれる緯度情報と経度情報を抽出する。
【００９１】
（ステップＳ０４）
以上のように、入力手段３１ＡによってユーザＩＤ及びデバイスＩＤが入力され、位置情報取得手段３２によって現在位置情報（緯度情報と経度情報）が取得されると、アクセス許可申請作成手段３３は、ユーザＩＤ、デバイスＩＤ、及び現在位置情報を含む、アクセスの許可を求める申請メッセージを作成する。
【００９２】
（ステップＳ０５）
申請メッセージが作成されると、送信手段３４は、入力手段３１Ａによって入力された接続先（医用機器１０）に対して、申請メッセージを送信する。例えば、接続先を示す情報がＩＰアドレスの場合、送信手段３４は、そのＩＰアドレスに申請メッセージを送信する。
【００９３】
（ステップＳ０６）
次に、医用機器１０のアクセス許可判定手段１４は、申請メッセージに含まれる現在位置情報（緯度情報と経度情報）に基づいて、医用機器１０へのアクセスの許可又は不許可を判定する。
【００９４】
具体的には、医用機器１０の受信手段１６は、保守端末３０から送信された申請メッセージを受信すると、アクセス許可判定手段１４にその申請メッセージを送る。アクセス許可判定手段１４は、受信した申請メッセージから、ユーザＩＤ、デバイスＩＤ、緯度情報、経度情報、及びエリアコードを抽出し、ユーザＩＤをアクセス位置情報検索手段１３に出力する。アクセス位置情報検索手段１３は、アクセス位置情報管理手段１２に管理されている管理データから、同じユーザＩＤが付されたアクセス許可位置情報を抽出し、アクセス許可判定手段１４にそのアクセス許可位置情報を出力する。そして、アクセス許可判定手段１４は、申請メッセージに含まれる現在位置情報（緯度情報と経度情報）と、アクセス位置情報管理手段１２に管理されているアクセス許可位置情報（緯度情報と経度情報）とを比較する。位置情報が一致する場合は、アクセス許可判定手段１４は、保守端末３０から医用機器１０へのアクセスを許可し、位置情報が一致しない場合は、アクセス許可判定手段１４は、アクセスを不許可とする。
【００９５】
アクセスを許可する場合、アクセス許可判定手段１４は、申請メッセージに含まれているユーザＩＤを制御手段１５に出力する。また、アクセス許可判定手段１４は、アクセスの許可又は不許可を示す判定結果を送信手段１７に出力する。
【００９６】
なお、申請メッセージに含まれる現在位置情報と、アクセス許可位置情報とが完全に一致しなくても、アクセスが許可された場所に対して予め設定された範囲内に、現在位置情報が示す場所が含まれている場合は、アクセス許可判定手段１４は、保守端末３０から医用機器１０へのアクセスを許可しても良い。
【００９７】
（ステップＳ０７）
次に、医用機器１０の送信手段１７は、アクセス許可判定手段１４から判定結果を受けると、その判定結果を保守端末３０に送信する。アクセスが許可された場合、送信手段１７は、アクセス許可を示す判定結果を保守端末３０に送信し、アクセスが不許可とされた場合は、送信手段１７は、アクセス不許可を示す判定結果を保守端末３０に送信する。
【００９８】
（ステップＳ０８）
保守端末３０の受信手段３５は、医用機器１０の送信手段１７から送信される判定結果を受信し、その判定結果をＵＩ３１の表示手段３１Ｂに出力する。表示手段３１Ｂには、例えば図８に示す画面のように、アクセス申請が許可又は不許可とされた旨が表示される。
【００９９】
（ステップＳ０９）
アクセスが許可された場合は、医用機器１０の制御手段１５は、アクセスが許可されたユーザＩＤのみがリモートアクセスツールやファイル転送ツールを使用できるように、各ツールが提供するユーザ認証ファイル２０を更新して、そのユーザＩＤのみを有効とする。
【０１００】
（ステップＳ１０）
次に、医用機器１０の制御手段１５はポート監視手段１９を起動する。これにより、ポート監視手段１９は、保守端末３０のリモートアクセスツールやファイル転送ツールからの接続要求を待つ状態となる。
【０１０１】
（ステップＳ１１）
次に、保守端末３０から医用機器１０に対して遠隔操作を行うために、保守端末３０のリモートアクセス手段３６が、操作者のユーザＩＤを含む接続要求を医用機器１０に送信する。
【０１０２】
（ステップＳ１２）
ステップＳ１１で接続要求が医用機器１０に送信されると、アクセス許可判定手段１８は、その接続要求に含まれるユーザＩＤが、ユーザ認証ファイル２０において有効になっているか否かの判断を行う。そのユーザＩＤがユーザ認証ファイル２０において有効になっている場合は、アクセス許可判定手段１８は、保守端末３０からのアクセス（遠隔操作）を許可し、有効になっていない場合は、アクセス（遠隔操作）を不許可とする。
【０１０３】
（ステップＳ１３）
そして、アクセスが許可されると、ポート監視手段１９は、指定されたポートに対応付けられたリモートアクセス手段２１に以後の通信を引き継ぐ。こにより、医用機器１０のリモートアクセス手段２１と、保守端末３０のリモートアクセス手段３６とによって、保守端末３０から医用機器１０の遠隔操作が可能となる。
【０１０４】
以上のように、保守端末３０の現在の位置に基づいて医用機器１０へのアクセスの許可／不許可を判定することで、リモートアクセスツールやファイル転送ツールのユーザ認証情報（ユーザＩＤやパスワード）が漏洩した場合であっても、医用機器１０へのアクセスの制限を課すことが可能となる。
【０１０５】
（変形例）
次に、上記第１の実施形態にかかる医用機器のセキュリティ管理システムの変形例について説明する。この変形例では、制御手段１５とポート監視手段１９の機能に特徴があるため、主に、制御手段１５とポート監視手段１９の機能について説明する。
【０１０６】
まず、アクセス許可判定手段１４によってアクセスが許可された場合、制御手段１５は、ポート監視手段１９を起動する。つまり、保守端末３０の現在の位置情報に基づいて、保守端末３０から医用機器１０へのアクセスが許可された場合には、制御手段１５はポート監視手段１９を起動する。一方、アクセス許可判定手段１４によってアクセスが許可されない場合、制御手段１５は、ポート監視手段１９を起動しない。これにより、保守端末３０の現在の位置情報に基づいてアクセスが許可された場合のみ、ポート監視手段１９が起動し、許可されない場合には、ポート監視手段１９は起動しないことになる。
【０１０７】
以上のように、アクセス許可判定手段１４によってアクセスが不許可となった場合は、ポート監視手段１９は起動しないため、保守端末３０のリモートアクセス手段３６から接続要求が医用機器１０に送信されても、医用機器１０のリモートアクセス手段２１はその接続要求に応答することはない。これにより、リモートアクセスツールやファイル転送ツールの操作者識別情報（ユーザＩＤやパスワード）が漏洩しても、アクセスが許可されていない場所からのアクセスは拒否されるため、医用機器１０のセキュリティを確保することができる。
【０１０８】
そして、ポート監視手段１９が起動した場合において、保守端末３０のリモートアクセス手段３６から医用機器１０に対して接続要求が送信されると、アクセス許可判定手段１８は、その接続要求に含まれるユーザＩＤが、ユーザ認証ファイル２０において有効になっているか否かの判断を行う。ユーザ認証ファイル２０においてそのユーザＩＤが有効になっている場合は、アクセス許可判定手段１８は、アクセスを許可し、有効になっていない場合は、アクセスを不許可とする。
【０１０９】
そして、そのユーザＩＤによるアクセスが許可された場合、起動したポート監視手段１９は、指定されたポートに対応付けられたリモートアクセス手段２１を起動して、以後の通信を起動したリモートアクセス手段２１に引き継ぐ。
【０１１０】
これにより、医用機器１０のリモートアクセス手段２１と、保守端末３０のリモートアクセス手段３６とによって、保守端末３０から医用機器１０への遠隔操作が可能となる。また、ファイル転送ツールの場合も、リモートアクセスツールと同じ処理が実行されることで、医用機器１０と保守端末３０との間でファイルの転送が可能となる。
【０１１１】
以上のように、保守端末３０の現在の位置に基づいて認証を行い、医用機器１０へのアクセスが許可されない場合は、ポート監視手段１９自体を起動しないことにより、リモートアクセス手段２１による遠隔操作が不可能となるため、リモートアクセスツールやファイル転送ツールのユーザＩＤやパスワードが漏洩した場合も、医用機器１０のセキュリティを確保することが可能となる。
【０１１２】
また、リモートアクセス手段２１を介しての遠隔操作が終了した場合には、制御手段１５は、ポート監視手段１９を終了させる。これにより、位置情報に基づくアクセス許可の判定を再度行わない限り、リモートアクセス手段２１を介しての遠隔操作が不可能となるため、医用機器１０のセキュリティレベルを高めることが可能となる。
【０１１３】
なお、上記第１の実施形態及び変形例では、医用機器１０へのアクセスを許可する場所（位置）を特定する情報として、緯度情報と経度情報を用い、緯度情報と経度情報をアクセス許可位置情報管理手段１２に登録して、保守端末３０の緯度情報と経度情報に基づいてアクセスの許可／不許可を判定したが、保守端末３０の移動速度や高度を示す情報に基づいてアクセスの許可／不許可を判定しても良い。この場合も、医用機器１０へのアクセスを許可する移動速度や高度を示す情報をアクセス許可位置情報管理手段１２に予め登録しておき、保守端末３０の現在の移動速度や高度を示す情報と、その予め登録された情報とを比較することで、医用機器１０へのアクセスの許可／不許可を判定する。このように、移動速度や高度に基づいてアクセスの許可／不許可を判定することで、リモートアクセスツールやファイル転送ツールのユーザＩＤやパスワードが漏洩した場合も、医用機器１０へのセキュリティを確保することが可能となる。
【０１１４】
なお、アクセス位置情報検索手段１３、アクセス許可判定手段１４、制御手段１５、アクセス許可判定手段１８、ポート監視手段１９、及びリモートアクセス手段２１は、ハードウェアで構成されていても良く、ソフトウェアで構成されていても良い。ソフトウェアで構成されている場合は、例えば、医用機器１０に設置されているＣＰＵが、記憶装置（図示しない）に記憶されているプログラムを実行することにより、アクセス位置情報検索手段１３、アクセス許可判定手段１４、制御手段１５、アクセス許可判定手段１８、ポート監視手段１９、及びリモートアクセス手段２１の機能を実行する。
【０１１５】
また、位置情報取得手段３２、アクセス許可申請作成手段３３、及びリモートアクセス手段３６は、ハードウェアで構成されていても良く、ソフトウェアで構成されていても良い。ソフトウェアで構成されている場合は、例えば、保守端末３０に設置されているＣＰＵが、記憶装置（図示しない）に記憶されているプログラムを実行することにより、位置情報取得手段３２、アクセス許可申請作成手段３３、及びリモートアクセス手段３６の機能を実行する。
【０１１６】
［第２の実施の形態］
（構成）
次に、この発明の第２の実施形態に係る医用機器のセキュリティ管理システムの構成について、図１０を参照して説明する。図１０は、この発明の第２の実施形態に係る医用機器のセキュリティ管理システムの概略構成を示す機能ブロック図である。
【０１１７】
第２の実施形態に係る医用機器のセキュリティ管理システムは、医用機器５０、保守端末６０、及び保守サービス会社７０を備えて構成されている。医用機器５０は医療機関に設置されている。保守端末６０は、例えば、保守サービス会社７０に設置されたり、携帯して保守サービス会社７０の外部で用いられたりする。
【０１１８】
この第２の実施形態に係る医用機器のセキュリティ管理システムは、保守サービス会社７０にて発行された許可証と認証キーとに基づいて、保守端末６０から医用機器５０へのアクセスの許可／不許可を判断する。
【０１１９】
＜保守サービス会社７０での、許可証と認証キーの発行＞
まず、保守サービス会社７０において、医用機器５０へのアクセスを許可するための許可証と認証キーを発行するための構成について説明する。
【０１２０】
保守サービス会社７０の許可証発行手段７１は、医用機器５０へのアクセスを許可するための許可証と認証キーを発行する。例えば、保守サービス会社７０に設置されている入力部によって、秘密コード（暗証番号など）、パスワード、及び有効期限が入力されると、許可証発行手段７１は、秘密コードと有効期限を示す情報とによって、許可証を作成する。この許可証は、秘密コードと有効期限を示す情報とが、カンマで区切られた文字列で構成されている。この許可証のデータを記録媒体に記憶しておく。また、許可証発行手段７１は、秘密コードとパスワードを文字列として結合し、文字列のハッシュ値を求め、そのハッシュ値を認証キーとする。この認証キーのデータも、記録媒体に記憶しておく。なお、許可証は、共通鍵、公開鍵又は秘密鍵を用いて暗号化しても良い。また、有効期限を示す情報は必須ではないため、有効期限を入力しなくても良く、許可証に含ませなくても良い。なお、秘密コードが、この発明の「予め決定された情報」に相当する。
【０１２１】
また、保守サービス会社７０に設置されているＵＩの表示装置（図示しない）に、許可証発行画面を表示し、その許可証発行画面において、秘密コード、パスワード、及び有効期限を入力しても良い。図１１に、表示装置に表示される許可証発行画面の１例を示す。この許可証発行画面の「発行ボタン」を押下（クリック）することで、許可証の発行指示が与えられることになる。
【０１２２】
以上のように、保守サービス会社７０において、医用機器５０へのアクセスを許可するための許可証と認証キーが発行されることになる。
【０１２３】
許可証発行手段７１によって発行された許可証と認証キーのデータを、ＣＤ−Ｒ、ＤＶＤ−Ｒ、又はＨＤＤなどの記録媒体に記録しておき、その後、認証キーを医用機器５０にインストールし、許可証を保守端末６０にインストールする。
【０１２４】
＜許可証及び認証キーのインストール＞
保守端末６０の許可証登録手段６１は、記録媒体に記録された許可証を保守端末６０にインストールする。このとき、許可証登録手段６１は、ファイル名を付した許可証を指定された登録先にインストールする。例えば、図１２に示すように、ＵＩ３１の表示手段３１Ｂに許可証登録画面を表示し、その許可証登録画面で、操作者が登録先を指定することで、許可証登録手段６１は、指定された登録先に許可証をインストールする。この許可証登録画面の「登録ボタン」を押下（クリック）することで、許可証が指定された登録先にインストールされる。
【０１２５】
医用機器５０の認証キー登録手段５１は、記録媒体に記録された認証キーを医用機器５０にインストールする。このとき、認証キー登録手段５１は、ファイル名を付した認証キーを指定された登録先にインストールする。例えば、図１３に示すように、ＵＩの表示装置（図示しない）に認証キー登録画面を表示し、その認証キー登録画面で、操作者が登録先を指定することで、認証キー登録手段５１は、指定された登録先に認証キーをインストールする。この認証キー登録画面の「登録ボタン」を押下（クリック）することで、認証キーが指定された登録先にインストールされる。
【０１２６】
以上のように、保守サービス会社７０にて発行された許可証は、保守端末６０にインストールされ、認証キーは医用機器５０にインストールされることになる。なお、許可証登録手段６１及び認証キー登録手段５１が、この発明の「登録手段」に相当する。
【０１２７】
＜保守端末６０上での、アクセス許可の申請＞
次に、保守端末６０上において、保守端末６０から医用機器５０へのアクセスの許可を得るための構成について説明する。
【０１２８】
操作者は、保守端末６０に設置されているＵＩ３１の入力手段３１Ａによって、接続先（医用機器５０）を特定するための情報、ユーザＩＤ、許可証のファイル名、及びパスワードを入力する。ここで、医用機器５０へのアクセスを申請するための申請画面の１例を図１４に示す。この申請画面上で、接続先（医用機器５０）を特定するための情報、ユーザＩＤ、許可証のファイル名、及びパスワードを入力することができる。また、接続先（医用機器５０）、ユーザＩＤ、及び許可証のファイル名が選択可能なように表示手段６１Ｂに表示しても良い。この申請画面の「申請ボタン」を押下（クリック）することで、アクセスの申請が行われる。
【０１２９】
許可証取得手段６２は、入力手段３１Ａによって指定されたファイル名が付された許可証を登録先から読み出して、アクセス許可申請作成手段６３に出力する。また、許可証が暗号化されている場合には、許可証取得手段６２は、共通鍵、公開鍵、又は秘密鍵のうち暗号化に用いられていない鍵を用いて複合化する。なお、複合化するためには、共通鍵、公開鍵、又は秘密鍵を、予め決められた保存先にコピーしておく必要がある。
【０１３０】
アクセス許可申請作成手段６３は、入力手段３１Ａによって入力されたユーザＩＤ、パスワード、及び許可証取得手段６２によって取得された許可証に含まれる秘密コードに基づいて、アクセスの許可を求める申請メッセージを作成する。
【０１３１】
この申請メッセージを作成するために、まず、アクセス許可申請作成手段６３は、許可証から秘密コードを抽出する。そして、アクセス許可申請作成手段６３は、その秘密コードと、入力手段３１Ａによって入力されたパスワードを文字列として結合し、その結合のハッシュ値を求める。
【０１３２】
そして、アクセス許可申請作成手段６３は、入力手段３１Ａによって入力されたユーザＩＤ、許可証に含まれる秘密コード、及び、上記ハッシュ値を用いて、アクセスの許可を求める申請メッセージを作成する。この申請メッセージは、ユーザＩＤ、秘密コード、及びハッシュ値がコロンで区切られた文字列で構成されている。
【０１３３】
なお、アクセス許可申請作成手段６３は、保守端末６０に設置されている時計の時刻と、許可証に含まれている有効期限とを比較し、有効期限切れか否かの判断を行っても良い。有効期限切れになっていない場合、アクセス許可申請作成手段６３は申請メッセージを作成する。一方、有効期限切れになっている場合、アクセス許可申請作成手段６３は、申請メッセージの作成を中止し、中止した旨をＵＩ３１の表示手段３１Ｂに表示させる。
【０１３４】
なお、詐称対策として、アクセス許可申請作成手段６３が公開鍵又は秘密鍵を用いて署名を作成し、その署名データを申請メッセージに追記しても構わない。
【０１３５】
送信手段３４は、入力手段３１Ａによって入力された接続先（医用機器５０）に対して、アクセス許可申請作成手段６３によって生成された申請メッセージを送信する。例えば、接続先を示す情報がＩＰアドレスの場合、送信手段３４は、そのＩＰアドレスに申請メッセージを送信する。また、接続先を示す情報としてホスト名が指定されている場合は、送信手段３４は、そのホストからＩＰアドレスを取得し、そのＩＰアドレスに申請メッセージを送信する。なお、通信プロトコルについては、上記第１の実施形態における送信手段３４と同じであるため、ここでは、説明を省略する。
【０１３６】
以上のように、秘密コードとパスワードが含まれる申請メッセージが保守端末６０から医用機器５０に送信されることになる。
【０１３７】
＜医用機器５０上での、アクセス許可の判定＞
次に、医用機器５０上において、保守端末６０から医用機器５０へのアクセスの許可を判定するための構成について説明する。
【０１３８】
医用機器５０の受信手段１６は、保守端末６０から送信される申請メッセージを受信し、アクセス許可判定手段５３にその申請メッセージを送る。なお、申請メッセージに署名が追記されている場合は、第１の実施形態と同様に、受信手段１６は、保守端末６０で用いられていない鍵を用いて署名データを作成し、詐称の有無を確認する。
【０１３９】
認証キー取得手段５２は、医用機関５０内における登録先から認証キーを読み出してアクセス許可判定手段５３に出力する。
【０１４０】
アクセス許可判定手段５３は、認証キーと、申請メッセージに含まれるハッシュ値とを比較する。認証キーには、秘密コードとパスワードが含まれ、ハッシュ値は、秘密コードとパスワードの文字列を基にして作成されているため、認証キーと申請メッセージに含まれるハッシュ値とを比較することで、アクセスの許可／不許可を判定することができる。
【０１４１】
アクセス許可判定手段５３は、認証キーに含まれる秘密コード及びパスワードと、ハッシュ値を構成する秘密コード及びパスワードとが一致する場合は、医用機器５０へのアクセスを許可し、一致しない場合は、アクセスを不許可とする。アクセスを許可する場合、アクセス許可判定手段５３は、申請メッセージに含まれているユーザＩＤを制御手段１５に出力する。また、アクセス許可判定手段５３は、アクセスの許可又は不許可を示す判定結果を送信手段１７に出力する。
【０１４２】
送信手段１７は、アクセス許可判定手段５３から判定結果を受けると、その判定結果を保守端末６０に送信する。
【０１４３】
制御手段１５は、アクセス許可判定手段５３によってアクセスが許可されたユーザＩＤのみが医用機器５０が提供するリモートアクセスツールやファイル転送ツールを使用できるように、各ツールが提供するユーザ認証情報に対して、そのユーザＩＤのみを有効とする。ユーザ認証情報がファイルとして管理されている場合は、制御手段１５は、そのユーザ認証ファイルを更新して、そのユーザＩＤのみを有効とする。例えば、制御手段１５は、図１０中のユーザ認証ファイル２０を更新して、アクセスが許可されたユーザＩＤのみを有効とする。
【０１４４】
また、アクセス許可判定手段５３によってアクセスが許可された場合、制御手段１５は、リモートアクセスツールやファイル転送ツールを起動することができるポート監視手段１９を起動する。つまり、許可証と認証キーに基づいて、保守端末６０から医用機器５０へのアクセスが許可された場合には、制御手段１５はポート監視手段１９を起動する。一方、アクセス許可判定手段５３によってアクセスが許可されない場合、制御手段１５は、ポート監視手段１９を起動しない。これにより、許可証と認証キーに基づいてアクセスが許可された場合のみ、ポート監視手段１９が起動し、許可されない場合には、ポート監視手段１９は起動しないことになる。
【０１４５】
以上のように、アクセス許可判定手段５３によってアクセスが不許可となった場合は、ポート監視手段１９は起動しないため、保守端末６０のリモートアクセス手段３６から接続要求が医用機器５０に送信されても、医用機器５０のリモートアクセス手段２１はその接続要求に応答することはない。これにより、リモートアクセスツールやファイル転送ツールのユーザ認証情報（ユーザＩＤやパスワード）が漏洩しても、許可証と認証キーが異なる場合は、アクセスは拒否されるため、医用機器５０のセキュリティを確保することができる。
【０１４６】
そして、ポート監視手段１９が起動した場合において、保守端末３０のリモートアクセス手段３６から医用機器１０に対して接続要求が送信されると、アクセス許可判定手段１８は、その接続要求に含まれるユーザＩＤが、ユーザ認証ファイル２０において有効になっているか否かの判断を行う。ユーザ認証ファイル２０においてそのユーザＩＤが有効になっている場合は、アクセス許可判定手段１８は、アクセスを許可し、有効になっていない場合は、アクセスを不許可とする。
【０１４７】
そして、そのユーザＩＤによるアクセスが許可された場合、起動したポート監視手段１９は、指定されたポートに対応付けられたリモートアクセス手段２１を起動して、以後の通信を起動したリモートアクセス手段２１に引き継ぐ。
【０１４８】
これにより、医用機器５０のリモートアクセス手段２１と、保守端末６０のリモートアクセス手段３６とによって、保守端末６０から医用機器５０への遠隔操作が可能となる。また、ファイル転送ツールの場合も、リモートアクセスツールと同じ処理が実行されることで、医用機器５０と保守端末６０との間でファイルの転送が可能となる。
【０１４９】
以上のように、許可証と認証キーとに基づいてユーザ認証を行い、医用機器５０へのアクセスが許可されない場合は、ポート監視手段１９自体を起動しないことにより、リモートアクセス手段２１による遠隔操作が不可能となるため、リモートアクセスツールやファイル転送ツールのユーザＩＤやパスワードが漏洩しても、医用機器５０のセキュリティを確保することが可能となる。
【０１５０】
また、リモートアクセス手段２１を介しての遠隔操作が終了した場合には、制御手段１５は、ポート監視手段１９を終了させる。これにより、許可証と認証キーとに基づくアクセス許可の判定を再度行わない限り、リモートアクセス手段２１を介しての遠隔操作が不可能となるため、医用機器５０のセキュリティを確保することが可能となる。
【０１５１】
＜保守端末６０上での、アクセス申請結果の確認＞
保守端末６０の受信手段３５は、医用機器５０の送信手段１７から送信される判定結果を受信し、その判定結果をＵＩ３１の表示手段３１Ｂに出力する。表示手段３１Ｂには、その判定結果が表示される。図１５に、アクセスが許可された場合の表示例を示す。この例では、アクセス申請が許可された旨が表示手段３１Ｂに表示される。アクセス申請が許可されなかった場合は、不許可の旨が表示手段３１Ｂに表示される。
【０１５２】
なお、認証キー登録手段５１、認証キー取得手段５２、アクセス許可判定手段５３、アクセス許可判定手段１８、ポート監視手段１９、及びリモートアクセス手段２１は、ハードウェアで構成されていても良く、ソフトウェアで構成されていても良い。ソフトウェアで構成されている場合は、例えば、医用機器５０に設置されているＣＰＵが、記憶装置（図示しない）に記憶されているプログラムを実行することにより、認証キー登録手段５１、認証キー取得手段５２、アクセス許可判定手段５３、アクセス許可判定手段１８、ポート監視手段１９、及びリモートアクセス手段２１の機能を実行する。
【０１５３】
また、許可証登録手段６１、許可証取得手段６２、アクセス許可申請作成手段６３、及びリモートアクセス手段３６は、ハードウェアで構成されていても良く、ソフトウェアで構成されていても良い。ソフトウェアで構成されている場合は、例えば、保守端末６０に設置されているＣＰＵが、記憶装置（図示しない）に記憶されているプログラムを実行することにより、許可証登録手段６１、許可証取得手段６２、アクセス許可申請作成手段６３、及びリモートアクセス手段３６の機能を実行する。
【０１５４】
また、許可証発行手段７１は、ハードウェアで構成されていても良く、ソフトウェアで構成されていても良い。ソフトウェアで構成されている場合は、例えば、保守サービス会社７０内のコンピュータ（ＣＰＵ）が、記憶装置（図示しない）に記憶されているプログラムを実行することにより、許可証発行手段７１の機能を実行する。
【０１５５】
（動作）
次に、この発明の第２の実施形態に係る医用機器のセキュリティ管理システムによる一連の動作（セキュリティ管理方法）について、図１６を参照して説明する。図１６は、この発明の第２の実施形態に係る医用機器のセキュリティ管理システムによる一連の動作を示すフローチャートである。
【０１５６】
（ステップＳ２０）
まず、保守サービス会社７０において、許可証発行手段７１が、医用機器５０へのアクセスを許可するための許可証と認証キーを発行する。例えば、図１１に示す許可証発行画面を表示装置（図示しない）に表示し、その許可証発行画面において、秘密コード、パスワード、及び有効期限を入力する。許可証発行手段７１は、その入力を受けて、秘密コードと有効期限を示す情報とによって許可証を作成し、許可証のデータを記憶装置（図示しない）に記憶しておく。また、許可証発行手段７１は、秘密コードとパスワードを文字列として結合し、文字列のハッシュ値を求め、そのハッシュ値を認証キーとする。この認証キーのデータも、記憶装置（図示しない）に記憶しておく。
【０１５７】
（ステップＳ２１）
次に、許可証及び認証キーのインストール作業を行う。保守端末６０の許可証登録手段６１は、記録媒体に記録された許可証を保守端末６０にインストールする。このとき、許可証登録手段６１は、ファイル名を付した許可証を指定された登録先にインストールする。また、医用機器５０の認証キー登録手段５１は、記録媒体に記録された認証キーを医用機器５０にインストールする。このとき、認証キー登録手段５１は、ファイル名を付した認証キーを指定された登録先にインストールする。
【０１５８】
（ステップＳ２２）
操作者は、保守端末６０に設置されているＵＩ３１の入力手段３１Ａによって、接続先（医用機器５０）を特定するための情報、ユーザＩＤ、許可証のファイル名、及びパスワードを入力し、アクセス許可の申請を行う。例えば、図１４に示す申請画面を表示手段３１Ｂに表示し、その申請画面上でアクセス許可の申請を行う。アクセス許可の申請が行われると、許可証取得手段６２は、入力手段３２Ａによって指定されたファイル名が付された許可証を登録先から読み出して、アクセス許可申請作成手段６３に出力する。
【０１５９】
（ステップＳ２３）
アクセス許可申請作成手段６３は、許可証取得手段６２によって取得された許可証から秘密コードを抽出し、その秘密コードと、入力手段３１Ａによって入力されたパスワードを文字列として結合し、その結合のハッシュ値を求める。そして、アクセス許可証申請作成手段６３は、入力手段３１Ａによって入力されたユーザＩＤ、許可証に含まれる秘密コード、及び上記ハッシュ値を用いて、アクセスの許可を求める申請メッセージを作成する。
【０１６０】
（ステップＳ２４）
次に、送信手段３４が、入力手段３１Ａによって入力された接続先（医用機器５０）に対して、アクセス許可申請作成手段６３によって作成された申請メッセージを送信する。例えば、接続先を示す情報がＩＰアドレスの場合、送信手段３４は、そのＩＰアドレスに申請メッセージを送信する。
【０１６１】
（ステップＳ２５）
医用機器５０の受信手段１６は、保守端末６０から送信される申請メッセージを受信し、アクセス許可判定手段５３にその申請メッセージを送る。認証キー取得手段５２は、医用機関５０内における登録先から認証キーを読み出してアクセス許可判定手段５３に出力する。そして、アクセス許可判定手段５３は、認証キーに含まれる秘密コード及びパスワードと、申請メッセージに含まれるハッシュ値を構成する秘密コード及びパスワードとを比較し、それらが一致する場合は、医用機器５０へのアクセスを許可し、一致しない場合は、アクセスを不許可とする。アクセスを許可する場合、アクセス許可判定手段５３は、申請メッセージに含まれているユーザＩＤを制御手段１５に出力する。また、アクセス許可判定手段５３は、判定結果を送信手段１７に出力する。
【０１６２】
（ステップＳ２６）
次に、送信手段１７は、アクセス許可判定手段５３から判定結果を受けると、その判定結果を保守端末６０に送信する。
【０１６３】
（ステップＳ２７）
保守端末６０の受信手段３５は、医用機器５０の送信手段１７から送信された判定結果を受信し、その判定結果をＵＩ３１の表示手段３１Ｂに出力する。表示手段３１Ｂには、例えば図１５に示すように、アクセスが許可された旨が表示される。
【０１６４】
（ステップＳ２８）
アクセスが許可された場合は、医用機器５０の制御手段１５は、アクセスが許可されたユーザＩＤのみがリモートアクセスツールやファイル転送ツールを使用できるように、各ツールが提供するユーザ認証ファイル２０を更新して、そのユーザＩＤのみを有効とする。
【０１６５】
（ステップＳ２９）
アクセス許可判定手段５３によってアクセスが許可された場合、制御手段１５はポート監視手段１９を起動し、アクセスが許可されない場合は、ポート監視手段１９を起動しない。つまり、許可証と認証キーとに基づいてアクセスが許可された場合のみ、ポート監視手段１９が起動し、許可されない場合には、ポート監視手段１９は起動しないことになる。ポート監視手段１９が起動した場合、ポート監視手段１９は、保守端末６０のリモートアクセスツールやファイル転送ツールからの接続要求を待つ状態となる。
【０１６６】
アクセス許可判定手段５３によってアクセスが不許可となった場合は、ポート監視手段１９は起動しないため、保守端末６０のリモートアクセス手段３６から接続要求が医用機器５０に送信されても、医用機器５０のリモートアクセス手段２１はその接続要求に応答することがない。これにより、リモートアクセスツールやファイル転送ツールのユーザ認証情報（ユーザＩＤやパスワード）が漏洩しても、許可証と認証キーが異なる場合は、アクセスは拒否されるため、医用機器５０のセキュリティを確保することが可能となる。
【０１６７】
（ステップＳ３０）
次に、保守端末６０から医用機器５０に対して遠隔操作を行うために、保守端末６０のリモートアクセス手段３６が、操作者のユーザＩＤを含む接続要求を医用機器５０に送信する。
【０１６８】
（ステップＳ３１）
ステップＳ３０で接続要求が医用機器５０に送信されると、アクセス許可判定手段１８は、その接続要求に含まれるユーザＩＤが、ユーザ認証ファイル２０において有効になっているか否かの判断を行う。そのユーザＩＤがユーザ認証ファイル２０において有効になっている場合は、アクセス許可判定手段１８は、保守端末６０からのアクセスを許可し、有効になっていない場合は、アクセスを不許可とする。
【０１６９】
（ステップＳ３２）
そして、アクセスが許可されると、ポート監視手段１９は、指定されたポートに対応付けられたリモートアクセス手段２１に以後の通信を引き継ぐ。これにより、医用機器５０のリモートアクセス手段２１と、保守端末６０のリモートアクセス手段３６とによって、保守端末６０から医用機器５０の遠隔操作が可能となる。
【０１７０】
以上のように、許可証と認証キーとに基づいてユーザ認証を行い、医用機器５０へのアクセスが許可されない場合は、ポート監視手段１９自体を起動しないことにより、リモートアクセス手段２１による遠隔操作が不可能となるため、医用機器５０のセキュリティを確保することが可能となる。
【図面の簡単な説明】
【０１７１】
【図１】この発明の第１の実施形態に係る医用機器のセキュリティ管理システムの概略構成を示す機能ブロック図である。
【図２】アクセスを許可する場所を登録するための登録画面の１例を示す図である。
【図３】場所を特定する情報を説明するための図である。
【図４】アクセス許可位置管理手段が管理している管理用データの構造を説明するための図である。
【図５】医用機器へのアクセスを申請するための申請画面の１例を示す図である。
【図６】保守端末とＧＰＳレシーバとを示すブロック図である。
【図７】ＧＰＳレシーバから出力されるデータの構造を示す図である。
【図８】アクセスの判定結果の表示例を示す図である。
【図９】この発明の第１の実施形態に係る医用機器のセキュリティ管理システムによる一連の動作を示すフローチャートである。
【図１０】この発明の第２の実施形態に係る医用機器のセキュリティ管理システムの概略構成を示す機能ブロック図である。
【図１１】許可証発行画面の１例を示す図である。
【図１２】許可証の登録先を指定するための画面の１例を示す図である。
【図１３】認証キーの登録先を指定するための画面の１例を示す図である。
【図１４】医用機器へのアクセスを申請するための申請画面の１例を示す図である。
【図１５】アクセスの判定結果の表示例を示す図である。
【図１６】この発明の第２の実施形態に係る医用機器のセキュリティ管理システムによる一連の動作を示すフローチャートである。
【図１７】保守サービス会社から医用機器に遠隔からアクセスするためのネットワークの概略構成を示すブロック図である。
【図１８】医用機器の１例としてＸ線ＣＴ装置を示す図である。
【図１９】ユーザ認証用の画面を示す図である。
【符号の説明】
【０１７２】
１０、５０  医用機器
１１、３１  ＵＩ
１２  アクセス許可位置管理手段
１３  アクセス位置情報検索手段
１４、１８、５３  アクセス許可判定手段
１５  制御手段
１９  ポート監視手段
２０  ユーザ認証ファイル
２１、３６  リモートアクセス手段
３０、６０  保守端末
３２  位置情報取得手段
３３、６３  アクセス許可申請作成手段
４０  ＧＰＳレシーバ
５１  認証キー登録手段
５２  認証キー取得手段
６１  許可証登録手段
６２  許可証取得手段
７０  保守サービス会社
７１  許可証発行手段
【図１】
2007286879.tif 000003
【図２】
2007286879.tif 000004
【図３】
2007286879.tif 000005
【図４】
2007286879.tif 000006
【図５】
2007286879.tif 000007
【図６】
2007286879.tif 000008
【図７】
2007286879.tif 000009
【図８】
2007286879.tif 000010
【図９】
2007286879.tif 000011
【図１０】
2007286879.tif 000012
【図１１】
2007286879.tif 000013
【図１２】
2007286879.tif 000014
【図１３】
2007286879.tif 000015
【図１４】
2007286879.tif 000016
【図１５】
2007286879.tif 000017
【図１６】
2007286879.tif 000018
【図１７】
2007286879.tif 000019
【図１８】
2007286879.tif 000020
【図１９】
2007286879.tif 000021