JP6942628B2 - 情報管理システム、および、端末認証方法 - Google Patents

Description

本開示は、情報管理システムおよび端末認証方法に関する。

病院および薬局等の医療機関が取り扱うカルテおよび処方箋等の医療情報は、情報共有および検索の容易性等の観点から、紙媒体による管理から、電子データによる管理に移行している（例えば、特許文献１）。現在、医療機関は、医療情報を電子データとして管理するサーバを、自前で設置および運用している。

医療機関が自前でサーバを設置および運用することは、サーバの設置場所および運用者の確保など、医療機関の負担が大きい。そこで、いわゆるクラウド上のサーバで医療情報を管理することが検討されている。この場合、医療機関に設置された端末が、通信ネットワークを介して、いわゆるクラウド上のサーバで管理されている医療情報にアクセスする。

特開２０１６−１８１２９６号公報

医療情報は個人のセンシティブな情報を含むため、医療情報を管理するサーバには、高いセキュリティが求められる。

本開示は、情報を管理するサーバに対する不正アクセスを予防する情報管理システムおよび端末認証方法を提供することを目的とする。

本開示の一態様に係る情報管理システムは、サーバと端末とを備える情報管理システムであって、前記サーバは、ＩＤと第１のパスワードを対応付けて管理し、前記端末は、前記ＩＤと前記第１のパスワードを含む第１のＶＰＮ（Virtual Private Network）接続要求を前記サーバへ送信し、前記サーバは、前記第１のＶＰＮ接続要求に含まれるＩＤとパスワードの認証に成功した場合、前記端末と第１のＶＰＮセッションを確立し、前記端末は、前記第１のＶＰＮセッションの確立に成功した場合、自動的に第２のパスワードを生成し、前記ＩＤ、前記第１のパスワード、および前記第２のパスワードを含むパスワード変更要求を、前記第１のＶＰＮセッションを通じて前記サーバへ送信し、前記サーバは、前記パスワード変更要求に含まれるＩＤの前記第２のパスワードへの変更に成功した場合、成功応答を前記端末へ送信し、前記端末は、前記成功応答を受信した場合、前記第２のパスワードを暗号化して保存し、前記第１のＶＰＮセッションを切断し、前記ＩＤと前記第２のパスワードを含む第２のＶＰＮ接続要求を前記サーバへ送信し、前記サーバは、前記第２のＶＰＮ接続要求に含まれるＩＤとパスワードの認証に成功した場合、前記端末と第２のＶＰＮセッションを確立する。

なお、これらの包括的または具体的な態様は、装置、方法、集積回路、コンピュータプログラム、または、記録媒体で実現されてもよく、システム、装置、方法、集積回路、コンピュータプログラムおよび記録媒体の任意な組み合わせで実現されてもよい。

本開示によれば、情報を管理するサーバに対する不正アクセスを予防できる。

本開示の一態様における更なる利点および効果は、明細書および図面から明らかにされる。かかる利点および／または効果は、いくつかの実施形態並びに明細書および図面に記載された特徴によってそれぞれ提供されるが、１つまたはそれ以上の同一の特徴を得るために必ずしも全てが提供される必要はない。

実施の形態１に係る情報管理システムの構成の例を示すブロック図。 ＶＰＮサーバの構成の例を示すブロック図。 接続先情報の例を示す図。 仮パスワードの発行処理の例を示すシーケンスチャート。 初回ＶＰＮ接続処理の例を示すシーケンスチャート。 接続先情報の更新処理の例を示すシーケンスチャート。 ＶＰＮサーバの冗長化構成の例を示す模式図。 実施の形態２に係るＶＰＮサーバの冗長化構成の例を示す模式図。 本開示に係る装置のハードウェア構成の例を示すブロック図。

以下、図面を適宜参照して、本発明の実施の形態について、詳細に説明する。但し、必要以上に詳細な説明は省略する場合がある。例えば、既によく知られた事項の詳細説明や実質的に同一の構成に対する重複説明を省略する場合がある。これは、以下の説明が不必要に冗長になるのを避け、当業者の理解を容易にするためである。

なお、添付図面および以下の説明は、当業者が本開示を十分に理解するために、提供されるのであって、これらにより特許請求の範囲に記載の主題を限定することは意図されていない。

また、同種の要素を区別して説明する場合には、「ユーザ端末３１Ａ」、「ユーザ端末３１Ｂ」のように参照符号を使用し、同種の要素を区別しないで説明する場合には、「ユーザ端末３１」のように参照符号のうちの共通番号のみを使用することがある。

（実施の形態１）
＜システム構成＞
次に、図１を参照しながら、情報管理システムの構成について説明する。

情報管理システム１０は、医療機関が取り扱う様々な情報（医療情報）を電子データとして管理する。医療機関は、例えば、病院および薬局等である。医療情報は、例えば、カルテ情報および処方箋情報等である。

情報管理システム１０は、ＤＢ（DataBase）サーバ２１と、ＤＢ２２と、認証サーバ２３と、ＡＰＰ（Application）サーバ２４と、ＶＰＮ（Virtual Private Network）サーバ２５Ａ、２５Ｂとを備える。ＤＢサーバ２１、認証サーバ２３、ＡＰＰサーバ２４およびＶＰＮサーバ２５Ａ、２５Ｂは、ＬＡＮ２６に接続されている。ＶＰＮサーバ２５Ａ、２５Ｂは、ＡＰＰサーバ２４を介して、ＤＢサーバ２１とデータを送受信する。なお、このＬＡＮ２６は、物理的または論理的なネットワークの何れであってもよい。また、以下、ＶＰＮサーバ２５Ａ、２５Ｂを区別しないで説明する場合には、ＶＰＮサーバ２５と記載する。

また、ユーザ端末３１Ａ、３１Ｂ、３１Ｃ、３１Ｄ、保守端末３２および運用端末３３は、それぞれ、通信ネットワーク３４を通じて、情報管理システム１０と、双方向にデータを送受信できる。通信ネットワーク３４は、例えば、インターネットである。なお、ユーザ端末３１Ａ、３１Ｂ、３１Ｃ、３１Ｄ、保守端末３２および運用端末３３を含めて、情報管理システム１０と呼んでもよい。また、以下、ユーザ端末３１Ａ、３１Ｂ、３１Ｃ、３１Ｄを区別しないで説明する場合には、ユーザ端末３１と記載する。

ＤＢ２２は、各医療機関の医療情報をデータベースとして管理する。

ＤＢサーバ２１は、ＤＢ２２に接続されており、ＤＢ２２に対する医療情報の登録、変更、削除および検索等を行う。ＤＢサーバ２１は、例えば、ＳＱＬサーバである。

認証サーバ２３は、ＩＤおよびパスワードのペアを管理および認証する。認証サーバ２３が管理および認証するＩＤは、例えば、ユーザ端末３１がＶＰＮサーバ２５に接続する際に用いられるＶＰＮＩＤである。

ＡＰＰサーバ２４は、情報管理システム１０が備える機能に対応するＡＰＩ（Application Programming Interface）を提供する。ＡＰＰサーバ２４は、例えば、ＪＳＯＮ形式のＷｅｂＡＰＩを提供する。

ＶＰＮサーバ２５は、ユーザ端末３１、保守端末３２および／または運用端末３３との間にＶＰＮセッションを確立する。なお、ＶＰＮサーバ２５の詳細については後述する。ＶＰＮに用いるプロトコルは、例えば、ＳＳＬ、ＩＰＳｅｃ、Ｌ２ＴＰ／ＩＰＳｅｃ、ＳＳＴＰまたはＯｐｅｎＶＰＮである。

ユーザ端末３１は、医療機関に属する医療従事者によって利用される端末である。医療従事者は、例えば、医師、看護師、薬剤師および医療事務員等である。ユーザ端末３１は、通信ネットワーク３４（インターネット）を介してＶＰＮサーバ２５に接続し、ＶＰＮサーバ２５との間にＶＰＮセッションを確立する。そして、ユーザ端末３１は、ＶＰＮセッションを介して、当該ユーザ端末３１が属する医療機関の医療情報にアクセスする。なお、同じ医療機関に属するユーザ端末３１が、必ずしも同じ施設内に設置される必要はない。例えば、同じ医療機関に属するユーザ端末３１が、同じ医療機関の別の施設に設置されてもよいし、同じ医療機関に属する医療従事者に所持されてもよい。ユーザ端末３１は、例えば、ＰＣ、タブレット端末またはスマートフォン等である。

保守端末３２は、保守機関に属する保守者によって利用される端末である。保守機関は、例えば、医療機関から委託を受けて、情報管理システム１０におけるその医療機関に関係する各種設定および管理等を請け負う機関である。保守端末３２は、通信ネットワーク３４を介してＶＰＮサーバ２５に接続し、ＶＰＮサーバ２５との間にＶＰＮセッションを確立する。そして、保守者は、保守端末３２を操作して、保守対象の医療機関に関係する各種設定および管理等を行う。

運用端末３３は、情報管理システム１０の運用機関に属する運用者によって利用される端末である。運用端末３３は、通信ネットワーク３４を介してＶＰＮサーバ２５に接続し、ＶＰＮサーバ２５との間にＶＰＮセッションを確立する。そして、運用者は、運用端末３３を操作して、情報管理システム１０を運用する。

情報管理システム１０は、可用性を高めるために、２つ以上のＶＰＮサーバ２５Ａ、２５Ｂを備えてよい。そして、ユーザ端末３１は、プライマリのＶＰＮサーバ２５Ａに接続できない場合、セカンダリのＶＰＮサーバ２５Ｂに接続してもよい。同様に、可用性を高めるため、情報管理システム１０が、ＤＢサーバ２１、認証サーバ２３および／またはＡＰＰサーバ２４を、２つ以上備えてもよい。

＜ＶＰＮサーバの詳細＞
次に、図２を参照しながら、ＶＰＮサーバ２５の詳細について説明する。

ＶＰＮサーバ２５は、従来のＨＵＢ装置、ＮＡＴ装置およびＤＨＣＰ装置が有する機能を、ソフトウェアの機能で実現する。以下、ＨＵＢ装置、ＮＡＴ装置およびＤＣＨＰ装置に対応するソフトウェア機能を、それぞれ、仮想ＨＵＢ、仮想ＮＡＴおよび仮想ＤＨＣＰと呼ぶ。

ＶＰＮサーバ２５は、これらの仮想的な装置を仮想的に接続し、仮想的なネットワークを構築できる。例えば、図２は、仮想ＮＡＴ４２Ａと仮想ＤＨＣＰ４３Ａが仮想ＨＵＢ４１Ａに仮想的に接続されており、仮想ＮＡＴ４２Ｂと仮想ＤＨＣＰ４３Ｂが仮想ＨＵＢ４３Ｂに仮想的に接続されていることを示す。なお、以下、仮想ＨＵＢ４１Ａ、４１Ｂ、仮想ＮＡＴ４２Ａ、４２Ｂ、および仮想ＤＨＣＰ４３Ａ、４３Ｂを区別しないで説明する場合は、それぞれ、仮想ＨＵＢ４１、仮想ＮＡＴ４２、および仮想ＤＨＣＰ４３と記載する。

ＶＰＮサーバ２５は、ユーザ端末３１を、仮想ＨＵＢ４１に仮想的に接続できる。すなわち、ＶＰＮサーバ２５は、ユーザ端末３１と仮想ＨＵＢ４１との間にＶＰＮセッション５１を確立できる。以下、ユーザ端末３１を仮想ＨＵＢ４１との間にＶＰＮセッション５１を確立し、ユーザ端末３１を仮想ＨＵＢ４１に仮想的に接続することを、「ＶＰＮ接続」と記載する場合がある。また、ＶＰＮサーバ２５は、ユーザ端末３１の認証に用いられるＶＰＮＩＤを管理する。

ＶＰＮサーバ２５は、同じ医療機関に属するユーザ端末３１を、その医療機関に対応付けられている同じ仮想ＨＵＢ４１にＶＰＮ接続する。そして、この仮想ＨＵＢ４１に接続している仮想ＤＨＣＰ４３は、ＶＰＮ接続されたユーザ端末３１に、同じサブネットに属するプライベートＩＰアドレス（例えば「１９２．１６８．１．１／２４」または「１９２．１６８．１．２／２４」等）を割り当てる。これにより、同じ医療機関に属するユーザ端末３１は、論理的に同じＬＡＮに接続されている状態となる。別言すると、異なる医療機関に属するユーザ端末３１は、異なる仮想ＨＵＢ４１にＶＰＮ接続されるので、論理的に異なるＬＡＮに接続されている状態となる。例えば、図２は、同じ医療機関Ａに属するユーザ端末３１Ａ、３１Ｂは、医療機関Ａに対応付けられている同じ仮想ＨＵＢ４１ＡにＶＰＮ接続され、同じ医療機関Ｂに属するユーザ端末３１Ｃ、３１Ｄは、医療機関Ｂに対応付けられている同じ仮想ＨＵＢ４１ＢにＶＰＮ接続されていることを示す。

仮想ＨＵＢ４１にＶＰＮ接続されたユーザ端末３１は、仮想ＮＡＴ４２を通じて、ＤＢサーバ２１、認証サーバ２３およびＡＰＰサーバ２４にアクセスできる。なお、ＤＢサーバ２１へのアクセスは、ＡＰＰサーバ２４を介して行われる。例えば、ユーザ端末３１は、仮想ＮＡＴ４２を通じて、ＡＰＰサーバ２４を介してＤＢサーバ２１にアクセスし、当該ユーザ端末３１が属する医療機関の医療情報を取得できる。

ＶＰＮサーバ２５は、保守端末３２を、保守対象の医療機関に対応付けられている仮想ＨＵＢ４１にＶＰＮ接続する。この場合、当該仮想ＨＵＢ４１に接続している仮想ＤＨＣＰ４３は、ＶＰＮ接続された保守端末３２に対して、保守対象の医療機関に係るサブネットに属するプライベートＩＰアドレス（例えば「１９２．１６８．１．３／２４」等）を割り当てる。これにより、保守端末３２は、保守対象の医療機関のユーザ端末３１と、論理的に同じＬＡＮに接続されている状態となる。よって、保守者は、保守端末３２を通じて、情報管理システム１０における保守対象の医療機関に係る動作を保守できる。

なお、ＶＰＮサーバ２５は、保守端末３２が仮想ＨＵＢ４１にＶＰＮ接続可能な期間（以下「保守可能期間」という）の設定情報を有してよい。例えば、ＶＰＮサーバ２５は、医療機関から保守可能期間が設定された場合、当該保守可能期間以外では、保守端末３２から当該医療機関に対応付けられている仮想ＨＵＢ４１へのＶＰＮ接続を拒否する。これにより、保守端末３２は、保守対象の医療機関が設定した保守可能期間以外では、当該医療機関に対応する仮想ＨＵＢ４１に接続できないため、情報管理システム１０は、保守端末３２を介して医療機関の医療情報に不正にアクセスされることを予防できる。

＜接続先情報＞
次に、図３を参照しながら、ユーザ端末３１が保持する接続先情報６０について説明する。

ユーザ端末３１は、ＶＰＮサーバ２５に接続するための接続先情報６０を、不揮発性メモリ（例えばＨＤＤ（Hard Disk Drive）、ＳＳＤ（Solid State Drive））に保持する。接続先情報６０には、例えば、図３に示すように、ＶＰＮＩＤ、パスワード、プライマリのＶＰＮサーバのＩＰアドレス、プライマリのＶＰＮサーバのポート番号、セカンダリのＶＰＮサーバのＩＰアドレス、セカンダリのＶＰＮサーバのポート番号、および、仮想ＨＵＢ名が含まれる。

ユーザ端末３１は、まず、接続先情報６０に記録されているプライマリのＶＰＮサーバのＩＰアドレスおよびポート番号にアクセスし、ＶＰＮセッションの確立を試みる。これに失敗した場合、次に、ユーザ端末３１は、セカンダリのＶＰＮサーバのＩＰアドレスおよびポート番号にアクセスし、ＶＰＮセッションの確立を試みる。これにより、プライマリのＶＰＮサーバ２５Ａに障害が発生しても、ユーザ端末３１は、セカンダリのＶＰＮサーバ２５Ｂに接続できる。

また、ユーザ端末３１は、ＶＰＮセッションを確立する際、接続先情報６０に記録されているＶＰＮＩＤとパスワードのペアを含むＶＰＮ接続要求を生成し、ＶＰＮサーバ２５に送信する。ＶＰＮサーバ２５は、この送信されたＶＰＮ接続要求に含まれるＶＰＮＩＤとパスワードのペアの認証を、認証サーバ２３に要求し、当該認証が成功した場合、当該ユーザ端末３１との間にＶＰＮセッションを確立する。これにより、正しいＶＰＮＩＤとパスワードのペアを保持しないユーザ端末３１がＶＰＮサーバ２５にＶＰＮ接続することを防止できる。

また、ユーザ端末３１は、ＶＰＮセッションを確立する際、仮想ＨＵＢ名をＶＰＮサーバ２５に送信する。ＶＰＮサーバ２５は、この送信された仮想ＨＵＢ名に対応する仮想ＨＵＢ４１に、当該ユーザ端末３１をＶＰＮ接続する。これにより、同じ医療機関に属するユーザ端末３１が、同じ仮想ＨＵＢ４１にＶＰＮ接続される。

なお、ユーザ端末３１は、初めてＶＰＮサーバ２５に接続する際、ＶＰＮＩＤと仮パスワードのペアを用いてＶＰＮセッションを確立し、その後、新パスワードを自動的に生成し、その生成した新パスワードを暗号化して接続先情報６０に記録する。そして、ユーザ端末３１は、２回目以降、ＶＰＮサーバ２５に接続する際、ＶＰＮＩＤと暗号化して記録されているパスワードのペアを用いてＶＰＮセッションを確立する。これにより、ユーザ端末３１は、誰にも新パスワードを知られることなく、ＶＰＮセッションを確立できる。すなわち、ＶＰＮセッションを確立するための新パスワードの漏洩を、予防できる。なお、仮パスワードの発行処理、ユーザ端末３１が初めてＶＰＮサーバ２５に接続する際の処理（以下「初回ＶＰＮ接続処理」という）、および、接続先情報６０の更新処理の詳細については、後述する。

＜仮パスワードの発行処理＞
次に、図４のシーケンスチャートを参照しながら、仮パスワードの発行処理について説明する。仮パスワードの発行処理は、ＩＤの新規発行の際に行われてもよいし、ＩＤの新規発行とは別に（独立して）行われてもよい。

まず、運用端末３３は、ＶＰＮサーバ２５との間でＶＰＮセッションを確立する（Ｓ１０１）。このＶＰＮセッションは、運用端末３３の専用のＶＰＮＩＤおよびパスワードによって確立されてよい。

次に、運用端末３３は、仮パスワード発行対象のＶＰＮＩＤを含む仮パスワード発行要求を生成し、ＡＰＰサーバ２４へ送信する（Ｓ１０２）。この仮パスワード発行要求は、ＡＰＰサーバ２４が仮パスワード発行機能として提供しているＷｅｂＡＰＩに従うデータ形式であってよい。

ＡＰＰサーバ２４は、Ｓ１０２の仮パスワード発行要求を受信し、仮パスワードを生成する（Ｓ１０３）。次に、ＡＰＰサーバ２４は、仮パスワード発行要求に含まれているＶＰＮＩＤと、Ｓ１０３で生成した仮パスワードとを含むＩＤ登録要求を生成し、認証サーバ２３へ送信する（Ｓ１０４）。

認証サーバ２３は、Ｓ１０４のＩＤ登録要求を受信し、当該ＩＤ登録要求に含まれているＶＰＮＩＤと仮パスワードとを対応付けて登録する（Ｓ１０５）。次に、認証サーバ２３は、当該登録に成功した場合、Ｓ１０４のＩＤ登録要求に対応する成功応答を、ＡＰＰサーバ２４に送信する（Ｓ１０６）。

ＡＰＰサーバ２４は、Ｓ１０６の成功応答を受信し、Ｓ１０２の仮パスワード発行要求に対応する成功応答を、運用端末３３に送信する（Ｓ１０７）。ここで、ＡＰＰサーバ２４は、Ｓ１０３で生成した仮パスワードを、当該成功応答に含める。

以上の処理により、ＶＰＮＩＤと仮パスワードのペアが認証サーバ２３に登録される。また、運用端末３３（および運用者）に、ＶＰＮＩＤに対応付けられた仮パスワードが通知される。

＜初回ＶＰＮ接続処理＞
次に、図５のシーケンスチャートを参照しながら、ユーザ端末３１が初めてＶＰＮサーバ２５に接続する際の処理（初回接続処理）について説明する。

まず、上記の図４の仮パスワード発行処理で発行されたＶＰＮＩＤと仮パスワードのペアが、例えば、運用者から医療従事者に通知される（Ｓ２０１）。この通知は、セキュアな方法であれば、どのような方法で行われてもよい。例えば、郵送、電話または口頭による通知であってもよい。または、運用端末３３が、ＶＰＮＩＤと仮パスワードを含む情報を、セキュアな通信手段（例えば暗号化された電子メール）で、ユーザ端末３１に送信してもよい。または、運用端末３３が、ＶＰＮＩＤと仮パスワードを含む情報をセキュアな通信手段で所定のサーバにアップロードし、ユーザ端末３１がそのサーバからＶＰＮＩＤと仮パスワードを含む情報をセキュアな通信手段でダウンロードしてもよい。

次に、ユーザ端末３１は、Ｓ２０１のＶＰＮＩＤと仮パスワードのペアを含むＶＰＮ接続要求を生成し、ＶＰＮサーバ２５に送信する（Ｓ２０２）。このＶＰＮＩＤと仮パスワードのペアは、医療従事者によってユーザ端末３１に入力されてよい。

ＶＰＮサーバ２５は、Ｓ２０２のＶＰＮ接続要求を受信し、当該要求に含まれるＶＰＮＩＤと仮パスワードのペアを含むＩＤ認証要求を生成し、認証サーバ２３に送信する（Ｓ２０３）。

認証サーバ２３は、Ｓ２０３のＩＤ認証要求を受信し、当該要求に含まれるＶＰＮＩＤと仮パスワードのペアを認証する（Ｓ２０４）。このペアは図４の仮パスワード発行処理において既に登録されているため、Ｓ２０２での入力に誤りが無ければ、当該認証は成功となる。

次に、認証サーバ２３は、当該認証に成功した場合、Ｓ２０３のＩＤ認証要求に対応する成功応答を、ＶＰＮサーバ２５に送信する（Ｓ２０５）。

ＶＰＮサーバ２５は、Ｓ２０５の成功応答を受信した場合、ユーザ端末３１との間に第１のＶＰＮセッションを確立する（Ｓ２０６）。

ユーザ端末３１は、第１のＶＰＮセッションの確立に成功した場合、Ｓ２０２で入力されたＶＰＮＩＤに対応付ける新パスワードを自動的に生成する（Ｓ２０７）。すなわち、ユーザ端末３１は、医療従事者にパスワードを入力させずに、新パスワードを生成する。

次に、ユーザ端末３１は、Ｓ２０２のＶＰＮＩＤおよび仮パスワードと、Ｓ２０７で自動的に生成した新パスワードとを含む初回設定要求を生成し、ＡＰＰサーバ２４に送信する（Ｓ２０８）。この初回設定要求は、ＡＰＰサーバ２４が初回設定機能として提供しているＷｅｂＡＰＩに従うデータ形式であってよい。

ＡＰＰサーバ２４は、Ｓ２０７の初回設定要求を受信し、当該要求に含まれるＶＰＮＩＤ、仮パスワードおよび新パスワードを含むパスワード変更要求を生成し、認証サーバ２３に送信する（Ｓ２０９）。

認証サーバ２３は、Ｓ２０９のパスワード変更要求を受信し、当該パスワード変更要求に含まれているＶＰＮＩＤに対応するパスワードを、仮パスワードから新パスワードに変更する（Ｓ２１０）。

次に、認証サーバ２３は、新パスワードへの変更に成功した場合、Ｓ２０９のパスワード変更要求に対応する成功応答を、ＡＰＰサーバ２４に送信する（Ｓ２１１）。

ＡＰＰサーバ２４は、Ｓ２１１の成功応答を受信した場合、Ｓ２０８の初回設定要求に対応する成功応答を、ユーザ端末３１に送信する（Ｓ２１２）。

ユーザ端末３１は、Ｓ２１２の成功応答を受信した場合、ＶＰＮＩＤと新パスワードを接続先情報６０に記録する（Ｓ２１３）。このとき、ユーザ端末３１は、新パスワードを暗号化して記録する。

次に、ユーザ端末３１は、Ｓ２０６で確立した第１のＶＰＮセッションを、いったん切断する（Ｓ２１４）。

次に、ユーザ端末３１は、接続先情報６０に記録されているＶＰＮＩＤと新パスワードのペアを含むＶＰＮ接続要求を生成し、ＶＰＮサーバ２５に送信する（Ｓ２１５）。

次に、ＶＰＮサーバ２５および認証サーバ２３は、仮パスワードを新パスワードに代えて、上述のＳ２０３〜Ｓ２０５と同様のフローを実行し（Ｓ２１６〜Ｓ２１８）、ＶＰＮサーバ２５は、ユーザ端末３１との間に第２のＶＰＮセッションを確立する（Ｓ２１９）。

なお、次回から、ユーザ端末３１は、Ｓ２１５の処理を自動的に実行し、ＶＰＮサーバ２５との間に第２のＶＰＮセッションを確立してよい。

以上の処理により、医療従事者および運用者等の誰にも新パスワードを知らせることなく、ユーザ端末３１とＶＰＮサーバ２５との間に第２のＶＰＮセッションを確立できる。よって、ユーザ端末３１に対応するＶＰＮＩＤに対応付けられているパスワードが漏洩することを防止できる。

また、ユーザ端末３１は、医療従事者にＶＰＮＩＤおよびパスワードを入力させることなく、自動的にＶＰＮサーバ２５と第２のＶＰＮセッションを確立できる。よって、医療従事者の手間の軽減と、セキュリティの向上とを両立できる。

＜接続先情報の更新処理＞
次に、図６のシーケンスチャートを参照しながら、ユーザ端末３１が保持する接続先情報６０の更新処理について説明する。なお、本処理は、ユーザ端末３１がＶＰＮサーバ２５との間に第２のＶＰＮセッションを確立（Ｓ３００）した後に実行される。

まず、ユーザ端末３１は、自分のＶＰＮＩＤを含む接続先情報要求を生成し、ＡＰＰサーバ２４に送信する（Ｓ３０１）。

ＡＰＰサーバ２４は、Ｓ３０１の接続先情報要求を受信し、当該要求に含まれるＶＰＮＩＤを含む属性情報要求を生成し、認証サーバ２３に送信する（Ｓ３０２）。

認証サーバ２３は、Ｓ３０２の属性情報要求を受信し、当該要求に含まれるＶＰＮＩＤに対応付けられている属性情報を取得する（Ｓ３０３）。すなわち、認証サーバ２３は、ＶＰＮＩＤに対応する接続先情報６０の内容を、ＶＰＮＩＤの属性情報として管理してよい。次に、認証サーバ２３は、その取得した属性情報を含む、Ｓ３０２の属性情報要求に対応する応答を、ＡＰＰサーバ２４に送信する（Ｓ３０４）。

ＡＰＰサーバ２４は、認証サーバ２３から、Ｓ３０４の属性情報を含む応答を受信し、当該応答に含まれる内容に基づいて接続先情報６０を生成する（Ｓ３０５）。次に、ＡＰＰサーバ２４は、その生成した接続先情報６０を含む、Ｓ３０１の接続先情報要求に対応する応答を生成し、ユーザ端末３１に送信する（Ｓ３０６）。

ユーザ端末３１は、Ｓ３０６の接続先情報６０を受信し、当該受信した接続先情報６０の内容と、既に保持している接続先情報６０の内容とが異なるか否かを判定する（Ｓ３０７）。

受信した接続先情報６０の内容と既に保持している接続先情報６０の内容とが一致する場合（Ｓ３０７：ＮＯ）、ユーザ端末３１は、第２のＶＰＮセッションを維持する。

受信した接続先情報６０の内容と既に保持している接続先情報６０とが異なる場合（Ｓ３０７：ＹＥＳ）、ユーザ端末３１は、Ｓ３００の第２のＶＰＮセッションをいったん切断する（Ｓ３０８）。次に、ユーザ端末３１は、保持している接続先情報６０を、受信した接続先情報６０に更新する（Ｓ３０９）。次に、ユーザ端末３１は、Ｓ３０９で更新した接続先情報６０を用いて、ＶＰＮサーバ２５との間に第３のＶＰＮセッションを確立する（Ｓ３１０）。

以上の処理により、ユーザ端末３１は、保持している接続先情報６０を更新できる。接続先情報６０の更新は、例えば、或る医療機関に属するユーザ端末３１の接続先のＶＰＮサーバ２５および／または仮想ＨＵＢ４１等を変更する場合に実行される。

なお、ＶＰＮにＩＰＳｅｃプロトコルを用いる場合、図３に示す接続先情報６０は、さらに事前共有鍵を含んでよい。事前共有鍵は、図５における、ユーザ端末３１との間に第１のＶＰＮセッションを確立する際（Ｓ２０６）、及び、ＶＰＮサーバ２５が、ユーザ端末３１との間に第２のＶＰＮセッションを確立する際（Ｓ２１９）に用いられる。また、ＶＰＮにＳＳＬプロトコルを用いる場合、図３に示す接続先情報６０は、事前共有鍵に代えて、サーバ証明書を含んでよい。

＜実施の形態１の効果＞
実施の形態１では、ＡＰＰサーバ２４が、ＶＰＮＩＤに対応付ける仮パスワードを生成し、認証サーバ２３に登録し、仮パスワードを運用端末３３に通知する。そして、運用端末３３の運用者は、ＶＰＮＩＤおよび仮パスワードを、ユーザ端末３１を利用する医療従事者に通知する。ユーザ端末３１は、ＶＰＮＩＤと仮パスワードを用いてＶＰＮサーバ２５と第１のＶＰＮセッションを確立し、自動的に新パスワードを生成し、ＶＰＮＩＤと仮パスワードと新パスワードを含む初回設定要求をＡＰＰサーバ２４へ送信する。ＡＰＰサーバ２４は、初回設定要求を受信し、認証サーバ２３のＶＰＮＩＤのパスワードを仮パスワードから新パスワードに変更し、ユーザ端末３１に成功応答を送信する。ユーザ端末３１は、ＡＰＰサーバ２４から、初回設定要求に対応する成功応答を受信した場合、新パスワードを暗号化して保存し、第１のＶＰＮセッションを切断し、新パスワードを用いてＶＰＮサーバ２５と第２のＶＰＮセッションを確立する。

これにより、医療従事者および運用者等の誰にも新パスワードを知らせることなく、ユーザ端末３１は、ＶＰＮサーバ２５と第２のＶＰＮセッションを確立できる。よって、ユーザ端末３１に対応するＶＰＮＩＤに対応付けられている新パスワードが漏洩することを予防できる。また、医療従事者は、新パスワードを覚えたり、入力したりすることなく、ユーザ端末３１を使用できる。すなわち、医療従事者の利便性が向上する。

（実施の形態２）
実施の形態２に係る情報管理システム１０について説明する。なお、実施の形態２に係る情報管理システム１０は、図１と同様の構成であってよい。

図１に示すように、情報管理システム１０では、可用性を高めるために、ＶＰＮサーバ２５が冗長化される。すなわち、情報管理システム１０は、複数のＶＰＮサーバ２５Ａ、２５Ｂを備える。なお、この冗長化構成された複数のＶＰＮサーバ２５を、「ＶＰＮシステム」ということがある。

ＶＰＮサーバ２５は、同時に確立可能とするＶＰＮセッションの上限数（以下「ＶＰＮ接続上限数」という）に応じたライセンス数を必要とする場合がある。例えば、運用者が、１つのＶＰＮサーバ２５のＶＰＮ接続上限数を「３００」とする場合、そのＶＰＮサーバ２５は「３００」のライセンス数を必要とする。この場合、例えば、図７に示すように、プライマリとセカンダリの２つのＶＰＮサーバ２５Ａ、２５Ｂを用いて冗長化する場合、必要なライセンス数の合計は「３００＋３００＝６００」となる。

しかし、セカンダリのＶＰＮサーバ２５Ｂは、プライマリのＶＰＮサーバ２５Ａに障害が発生していないときは利用されないため、２つのＶＰＮサーバ２５Ａ、２５Ｂのライセンス数の合計「６００」に対して、２つのＶＰＮサーバ２５Ａ、２５Ｂに対して実際に同時に確立されるＶＰＮセッションの最大数（以下「実質ＶＰＮ最大接続数」という）は「３００」となる。つまり、実質ＶＰＮ最大接続数と、ライセンス数（ＶＰＮ接続上限数）の合計との割合（以下「収容率」という）は、３００／６００＝５０％となる。この収容率は、ＶＰＮサーバ２５のライセンスの利用効率の指標の一例である。実施の形態２では、ＶＰＮサーバ２５のライセンスの利用効率（収容率）が比較的高い情報管理システム１０について説明する。

図８は、実施の形態２に係るＶＰＮサーバ２５の構成例を示す図である。

実施の形態２に係る情報管理システム１０は、図８に示すように、３つのＶＰＮサーバ２５Ｃ、２５Ｄ、２５Ｅを備える。そして、運用者は、ＶＰＮサーバ２５Ｃ、２５Ｄ、２５Ｅに、それぞれ、「３００」のライセンス数（ＶＰＮ接続上限数）を設定する。

また、運用者は、ＶＰＮＩＤを所属させる６つのグループＡ〜Ｆを設け、グループＡ〜Ｆに、それぞれ、グループに登録可能なＶＰＮＩＤの上限数（以下「グループ上限数」という）「１００」を設定する。

また、運用者は、ＶＰＮサーバ２５Ｃ、２５Ｄ、２５Ｅに、それぞれ、正常時に管理する２つのグループを割り当てる。以下、ＶＰＮサーバ２５が正常時に管理するグループを、「管理グループ」という。例えば、図８の括弧無しの管理グループＡからＦに示すように、ＶＰＮサーバ２５Ｃに管理グループＡとＤを、ＶＰＮサーバ２５Ｄに管理グループＢとＥを、ＶＰＮサーバ２５Ｅに管理グループＣとＦを割り当てる。

また、運用者は、ＶＰＮサーバ２５Ｃ、２５Ｄ、２５Ｅに、それぞれ、他の１つのＶＰＮサーバ２５に障害が発生した場合に、その障害が発生したＶＰＮサーバ２５に割り当てられている２つの管理グループのうち、何れの管理グループを引き受けるかを設定する。ただし、運用者は、その障害が発生したＶＰＮサーバ２５に割り当てられている２つの管理グループを、それぞれ、別のＶＰＮサーバ２５が引き受けるように設定する。以下、正常なＶＰＮサーバ２５が、障害時に管理を引き受けるグループを、「受託グループ」という。例えば、図８の括弧有りの受託グループＡからＦに示すように、運用者は、ＶＰＮサーバ２５Ｃに受託グループＢとＣを、ＶＰＮサーバ２５Ｄに受託グループＡとＦを、ＶＰＮサーバ２５Ｅに受託グループＤとＥを設定する。

これにより、図８に示す構成の場合、１つのＶＰＮサーバ２５において、実質ＶＰＮ最大接続数は、２つのグループ上限数の合計「１００＋１００＝２００」となる。よって、３つのＶＰＮサーバ２５Ｃ、２５Ｄ、２５Ｅにおける実質ＶＰＮ最大接続数の合計は「２００＋２００＋２００＝６００」となる。一方、２つのＶＰＮサーバ２５Ｃ、２５Ｄ、２５Ｅのライセンス数の合計は「３００＋３００＋３００＝９００」となる。よって、収容率は６００／９００＝６６％となる。この収容率は、図７に示す構成の収容率（５０％）よりも高い。つまり、実施の形態２に係るＶＰＮシステムの構成によれば、ＶＰＮサーバ２５のライセンスの利用効率を向上させることができる。

なお、上述の説明における数値は、あくまで一例である。例えば、ＶＰＮシステムが備えるＶＰＮサーバ２５の数は、３以上であれば幾つであってもよい。また、１つのＶＰＮサーバ２５に設定される管理グループの数は、２以上であれば幾つであってもよい。

また、各ＶＰＮサーバ２５には、各管理グループの上限数および各受託グループの上限数の合計が、ライセンス数（ＶＰＮ接続上限数）以下であり、かつ、各管理グループが互いに異なる他のＶＰＮサーバ２５の受託サーバに設定されるのであれば、ＶＰＮサーバ２５には、どのように管理グループおよび受託グループが設定されてもよい。

また、ＶＰＮサーバ２５に設定するライセンス数（ＶＰＮ接続上限数）は、当該ＶＰＮサーバ２５の各管理グループの上限数および各受託グループの上限数の合計以上であれば、幾つであってもよい。

また、運用者は、同じ医療機関に属するＶＰＮＩＤを、同じグループに登録してよい。これにより、正常なＶＰＮサーバ２５が、障害の発生したＶＰＮサーバ２５の管理グループを、受託グループで引き受ける際に、その管理グループに登録されているＶＰＮＩＤに係るユーザ端末３１をまとめて、その医療機関に対応する仮想ＨＵＢ４１に接続させることができる。

なお、上述で「運用者」を主体として説明した処理は、運用端末３２、ＡＰＰサーバ２４またはＶＰＮサーバ２５等で稼働するプログラムによって、自動的に行われてもよい。

＜実施の形態２の効果＞
実施の形態２では、情報管理システム１０（ＶＰＮシステム）が、少なくとも３つのＶＰＮサーバ２５を備える。各ＶＰＮサーバ２５は、ライセンス数（ＶＰＮ接続上限数）と、少なくとも２つの管理グループと、少なくとも１つの受託グループと、グループ上限数とを有する。ここで、管理グループの上限数と受託グループの上限数との合計は、ライセンス数以下であり、各管理グループが、互いに異なる他のＶＰＮサーバの受託グループと対応付けられている。そして、１つのＶＰＮサーバ２５に障害が発生した場合、当該１つのＶＰＮサーバ２５の管理グループに対応付けられる受託グループを有するＶＰＮサーバ２５が、当該管理グループの管理を引き受ける。

これにより、ＶＰＮシステムにおけるライセンス数の利用効率（収容率）が向上する。また、ＶＰＮシステムの可用性が維持および向上し得る。

以上、本発明に係る実施形態について図面を参照して詳述してきたが、上述した、ＤＢサーバ２１、ＤＢ２２、認証サーバ２３、ＡＰＰサーバ２４、ＶＰＮサーバ２５、ユーザ端末３１、保守端末３２および運用端末３３の各装置の機能は、コンピュータプログラムにより実現され得る。

図９は、各装置の機能をプログラムにより実現するコンピュータのハードウェア構成を示す図である。このコンピュータ２１００は、キーボード又はマウス、タッチパッドなどの入力装置２１０１、ディスプレイ又はスピーカーなどの出力装置２１０２、ＣＰＵ（Central Processing Unit）２１０３、ＲＯＭ（Read Only Memory）２１０４、ＲＡＭ（Random Access Memory）２１０５、ハードディスク装置又はＳＳＤ（Solid State Drive）などの記憶装置２１０６、ＤＶＤ−ＲＯＭ（Digital Versatile Disk Read Only Memory）又はＵＳＢ（Universal Serial Bus）メモリなどの記録媒体から情報を読み取る読取装置２１０７、ネットワークを介して通信を行う送受信装置２１０８を備え、各部はバス２１０９により接続される。

そして、読取装置２１０７は、上記各装置の機能を実現するためのプログラムを記録した記録媒体からそのプログラムを読み取り、記憶装置２１０６に記憶させる。あるいは、送受信装置２１０８が、ネットワークに接続されたサーバ装置と通信を行い、サーバ装置からダウンロードした上記各装置の機能を実現するためのプログラムを記憶装置２１０６に記憶させる。

そして、ＣＰＵ２１０３が、記憶装置２１０６に記憶されたプログラムをＲＡＭ２１０５にコピーし、そのプログラムに含まれる命令をＲＡＭ２１０５から順次読み出して実行することにより、上記各装置の機能が実現される。

上述した実施形態は、本発明の説明のための例示であり、本発明の範囲を実施形態にのみ限定する趣旨ではない。当業者は、本発明の要旨を逸脱することなしに、他の様々な態様で本発明を実施することができる。

本開示は、医療情報を管理するシステムおよび方法に利用可能である。

１０ 情報管理システム
２１ ＤＢサーバ
２２ ＤＢ
２３ 認証サーバ
２４ ＡＰＰサーバ
２５、２５Ａ、２５Ｂ、２５Ｃ、２５Ｄ、２５Ｅ ＶＰＮサーバ
３１、３１Ａ、３１Ｂ、３１Ｃ、３１Ｄ ユーザ端末
３２ 保守端末
３３ 運用端末
３４ 通信ネットワーク
４１、４１Ａ、４１Ｂ 仮想ＨＵＢ
４２、４２Ａ、４２Ｂ 仮想ＮＡＴ
４３、４３Ａ、４３Ｂ 仮想ＤＨＣＰ

Claims (4)

1. サーバと端末とを備える情報管理システムであって、
   前記サーバは、ＩＤと第１のパスワードを対応付けて管理し、
   前記端末は、前記ＩＤと前記第１のパスワードを含む第１のＶＰＮ（Virtual Private Network）接続要求を前記サーバへ送信し、
   前記サーバは、前記第１のＶＰＮ接続要求に含まれるＩＤとパスワードの認証に成功した場合、前記端末と第１のＶＰＮセッションを確立し、
   前記端末は、前記第１のＶＰＮセッションの確立に成功した場合、自動的に第２のパスワードを生成し、前記ＩＤ、前記第１のパスワード、および前記第２のパスワードを含むパスワード変更要求を、前記第１のＶＰＮセッションを通じて前記サーバへ送信し、
   前記サーバは、前記パスワード変更要求に含まれるＩＤの前記第２のパスワードへの変更に成功した場合、成功応答を前記端末へ送信し、
   前記端末は、前記成功応答を受信した場合、前記第２のパスワードを暗号化して保存し、前記第１のＶＰＮセッションを切断し、前記ＩＤと前記第２のパスワードを含む第２のＶＰＮ接続要求を前記サーバへ送信し、
   前記サーバは、前記第２のＶＰＮ接続要求に含まれるＩＤとパスワードの認証に成功した場合、前記端末と第２のＶＰＮセッションを確立する、
   情報管理システム。
2. 前記サーバは、各医療機関の医療情報を保持し、
   各端末は、それぞれ、何れかの医療機関に属し、
   前記サーバは、前記医療機関と仮想ＨＵＢとを１対１で対応付け、前記端末との前記第２のＶＰＮセッションを、前記端末の属する医療機関の前記仮想ＨＵＢに接続し、
   前記端末は、前記第２のＶＰＮセッションおよび前記仮想ＨＵＢを通じて、当該端末が属する前記医療機関の前記医療情報にアクセスする、
   請求項１に記載の情報管理システム。
3. 前記医療機関に関する保守に利用する保守端末をさらに備え、
   前記サーバは、前記保守端末とのＶＰＮセッションを、前記保守端末が許可を得た前記医療機関の前記仮想ＨＵＢに接続する、
   請求項２に記載の情報管理システム。
4. サーバが端末を認証する方法であって、
   前記サーバは、ＩＤと第１のパスワードを対応付けて管理し、
   前記端末は、前記ＩＤと前記第１のパスワードを含む第１のＶＰＮ（Virtual Private Network）接続要求を前記サーバへ送信し、
   前記サーバは、前記第１のＶＰＮ接続要求に含まれるＩＤとパスワードの認証に成功した場合、前記端末と第１のＶＰＮセッションを確立し、
   前記端末は、前記第１のＶＰＮセッションの確立に成功した場合、自動的に第２のパスワードを生成し、前記ＩＤ、前記第１のパスワード、および前記第２のパスワードを含むパスワード変更要求を、前記第１のＶＰＮセッションを通じて前記サーバへ送信し、
   前記サーバは、前記パスワード変更要求に含まれるＩＤの前記第２のパスワードへの変更に成功した場合、成功応答を前記端末へ送信し、
   前記端末は、前記成功応答を受信した場合、前記第２のパスワードを暗号化して保存し、前記第１のＶＰＮセッションを切断し、前記ＩＤと前記第２のパスワードを含む第２のＶＰＮ接続要求を前記サーバへ送信し、
   前記サーバは、前記第２のＶＰＮ接続要求に含まれるＩＤとパスワードの認証に成功した場合、前記端末と第２のＶＰＮセッションを確立する、
   端末認証方法。

Images