監査証跡とノード認証・時刻の整合性
放射線部門オプション

Audit Trail and Node Authentication
Radiology Option

Consistent Time
ATNA・CT

ATNA＋CT の仕組み
Audit Record
Repository

個人情報へのアクセスログ

Record Audit Events
Secure NodeTransaction related
Non-transaction related
Secure NodeAuthenticate
NodeUser
Authentication

Maintain Time
UserTime Server2

監査証跡とノード認証 (ATNA) + 放射線部門拡張

概要・スコープ
医療施設における安全な個人情報保護環境の一部として使用される個々のシステムにおける基本的なセキュリティ機能を定める。
¾ ホスト単位の認証機能を提供し、EUAやXUAによるユーザ認証と関連して使用される¾ セキュリティや患者情報保護に関連した作業をモニタするための監査証跡機能を提供する

3

ATNAの目的
患者個人情報の保護とシステムの安全性を守る：¾ 倫理的および法的規制に適合する医療施設全体での管理に便利:¾ 統一化され均質な監査システム¾ マルチベンダでの共通の対策により施設のポリシや手順の制定が単純になる¾ 共通の対策により管理がシンプルになる

コードの再利用により開発および管理のコストが削減できる:¾ 一回の開発で複数のアクタに適用出るようになる¾ 異なったセキュリティポリシや規制の環境でも、一つの開発成果で対応できる

4

ATNA セキュリティに関する要求
理由：臨床での使用とプライバシ¾ 医療従事者は患者の診療情報にアクセスしなくてはならないが、その情報を他の者に開示してはならない¾ 許可されない者が業務の邪魔をしたり、データを変更したりできないようにすべきである

運用とセキュリティ機構により、下記を保証する：¾ 機密性（Confidentiality）¾ 完全性（Integrity）¾ 可用性（Availability）¾ 信頼性・確実性（Authenticity）

5

ATNA ノード認証
X.509 証明書をノードの識別と鍵として使う
TCP/IP Transport Layer Security Protocol (TLS) をノード認証と, オプションの暗号化に使うアソシエーションの確立にセキュア・ハンドシェイク・プロトコルを使用する:¾ 暗号化プロトコルの識別¾ セッション鍵の交換

アクタは許可されたノードの証明書リストを作れなくてはな
らない.
ATNA は、現時点では、HTTP, DICOM, and HL7に対するメカニズムを指定する
6

ATNA 監査システム
法的な利用よりも監視の目的で設計されている。
２種類の監査メッセージ形式¾ 放射線ＩＨＥ用暫定形式：放射線部門用の下位互換¾ IETF/DICOM/HL7/ASTM 形式、将来拡張可能• DICOM Supplement 95• IETF Draft for Common Audit Message• ASTM E.214• HL7 Audit Informative documents

両形式とも XML メッセージで、ＸＭＬ規格の拡張機能により、拡張が許されている。

7

ATNA 監査イベントの記録
監査記録の通信には、Reliable Syslog (RFC 3195)の使用が推奨されるが、BSD Syslog (RFC 3164) も放射線ＩＨＥのBasic Securityとの互換性のために使用しても良い。
監査証跡のイベントと内容はAudit trail events andcontent based on IETF, DICOM, HL7, 及び ASTMの規格に準拠する。また、放射線ＩＨＥの BasicSecurity の監査イベント形式も互換性のために許される。

8セキュアノードになるためにはノードとなるシステム全体がセキュアでなくてはならず、部分的なアクタだけの対応では駄目
ノードとなるシステム全体において、識別、認証、許可におけるユーザに対する適切なアクセス制御が必須である
診療情報を扱う全ての通信は、認証され、傍受を防がなくてはならない。
全ての保健医療情報に関する動作について監査証跡を生成しなくてはならず、IHEのアクタとしてのものだけでは駄目

9セキュアノードになるためには監査機能を付加するだけでなく、十分な効果を得るために以下を考慮すべき：¾ どのイベントについて監査すべきかを決めること¾ 実装する全てのアプリケーションにおいて、監査されるべきイベントを検出し監査メッセージを生成すること¾ 全ての通信経路が保護されていることを保証すること¾ 全てのローカルな資源は、ローカルなセキュリティ機構により守られていること¾ 下記の技術の組合せを確立する：
時刻の整合性（CT）プロファイルによる時刻の同期• 証明書の管理• ネットワーク構成•10

時刻の整合性 (CT)
Network Time Protocol ( NTP) version 3(RFC 1305) を時刻の同期に用いる
アクタは手動での調整をサポートすること
要求精度: 1 秒
オプションとして Secure NTP を使用できる
ATNA, EUA, XUAをサポートする場合はCTが必須
11

複数検査の一括処理
Presentation of Grouped ProcedurePGP

放射線検査の課題
マルチスライスCTや高速MRIは、大量な画像を素早く生成する¾ ３０００枚以上の画像¾ 検査の一部が必要な場合、すべてを読み出すことは必要ない

複数のオーダが一つの撮影として実施される検査全体は、一人の読影医だけでは読影されない
主治医は、検査全体には興味は無い
それぞれの要求手続きの進歩が把握できない13

PGPのユースケース
CTによる胸部・腹部・骨盤の撮影
神経放射線：CTによる頸部と胸部の撮影
MRIによる複数脊柱の撮影
MRI and MRA of vessels acquired together
MRI of the head and neck with specialized coils
Direct radiography (DR) in a trauma patient: AP images,
then move the patient once to acquire a set of orthogonal
images, and then regroup by body part
Sonographic evaluation of the kidneys and of the abdomen
CT of the pelvis with CT angiographic runoff
Angiographic studies of multiple vessels mixed withtherapeutic interventions on selected segments.

14

Presentation of Group Procedures
Scope
One Order – Two Procedures – One Acquisition - Two Reports

Step

Radiology Department

ORDER
A request forRadiologic
Requested
Service
Procedure
CT Chest & CT Chest
AbdomenRequested
ProcedureCT
Abdomen

ReportAcquisition Modality

CT Chest

ReportOne or more
series ofimages

CT AbdoSet ofCodifiable,Billable,
Acts
Set ofCodifiable,Billable,
Acts

15

Group Case
DICOM
Modality Worklist
ORDER
A request forRadiologic
ServiceRequested
Procedure

1

Requested
Procedure

2Radiology Department
ReportScheduled
Procedure
Step A

Scheduled
Procedure
Step B

PerformedProcedure
Step P1
One ormore seriesof images

ReportSet ofCodifiable,
Billable, Acts

Set ofCodifiable,
Billable, Acts

Acquisition
Modality

16

IHE PGP - Implementation Example
Image Display Constraints

SWF/PGP Actors
Requested
Procedure:
CHEST

Report:
CHEST

Report:ABDOMEN

Requested
Procedure:
Chest
View

ABDOMEN
Scheduled
Procedure
Step Chest

Image
Mgr
(Incl.
Display)

Scheduled
Procedure
Step Abdo

Order Filler
MODALITY

Performs asingle acquisition
Operatorgroups2 procedures

Abdomen
View

ChestView

AbdomenView

CPI onlyActor
ChestView

Abdomen
View

ImageDisplay
Image Display
has no access to full
Requested Procedure
Information17

放射線検査会計
Charge Posting
CHGCHG
アメリカでも誰も使っていないし、誰も説明してくれないので、省略します。

19

ティーチングファイルと臨床試験
Teaching File andClinical Trail Export
TCE

TCE Profile: Abstract / Scope
Teaching Files are valuable training tools (mandated)
Clinical Trials are essential for research & evidence-based medicine
Assume you recognize a good study for Teaching or a Clinical Trial
How do you flag that study data?
¾ And add relevant notes

How do you get it properly de-identified?
¾ Teaching files (HIPAA Privacy)¾ Clinical trials (pseudonymization)

How do you route the study to the appropriate destination?
¾ Teaching File Authoring System¾ Clinical Trial Repository

Use existing DICOM mechanisms & infrastructure
21

TCE Profile: Value for Customers
Digital Workflow for a traditionally film-based activity
Facilitates clinical research and grant acquisition
Standardizes clinical trial data collection
Improves the efficiency of teaching file production
Supports meeting teaching file requirements¾ e.g. Accreditation Council on Graduate Medical Education

22

TCE Profile: Actors
Export Selector¾ identifies information to be sent to a teaching file or clinical trial system¾ e.g. a user function on a PACS diagnostic workstation¾ can include images, reports, evidence documents, presentation states andadditional information
Export Manager¾ accepts selected objects¾ de-identifies and re-identifies with pseudonymous values¾ remaps to trial-specific identifiers and populates clinical trial specific attributes(Remap Identifiers option)¾ sends pseudonymized DICOM objects and updated manifest to a Receiver.
Receiver¾ a local teaching file
¾ a clinical trial repository¾ a clinical trial system that transfers images to the central review facility
23

WWW.IHE-J.ORG
24