JP2006023966A - 監査証跡の記録方法、および監査証跡の記録装置 - Google Patents

Abstract

【課題】 記録媒体のコストを抑制しながら、監査証跡のデータを容易に検索することができる監査証跡の記録方法、および監査証跡の記録装置を提供する。
【解決手段】 患者ＩＤの下１桁の数「ｎ」（ｎ＝０〜９）にそれぞれ割り当てられた１０枚の光ディスク２０を用意する。そして、端末装置３を介して患者の個人情報へのアクセスがあった場合には、アクセスの対象となった患者の患者ＩＤの下１桁の「ｎ」に対応した光ディスク２０に、そのアクセス履歴を記録する。患者を検索キーとしてアクセス履歴を検索する際には、その患者の「ｎ」に対応した光ディスクのみを検索すればよいため、検索時間を短縮できる。患者の生まれ月や性別に基づいて、記録先となる光ディスク２０を区別するようにしてもよい。
【選択図】図１

Description

本発明は、個人情報等へのアクセス履歴を記録する監査証跡の記録方法、および監査証跡の記録装置に関し、とくに監査証跡の検索を容易なものとすることができる監査証跡の記録方法等に関する。

近年、個人情報保護の機運が高まっており、例えば、医療機関においては、患者の個人情報に対するアクセス履歴としての監査証跡を記録する医療情報システムが導入されてきている。このようなシステムでは、何時、誰が、どのような目的（更新、参照、削除等）で患者の個人情報にアクセスしたかをデータとして記録している。このようなアクセス履歴を記録に残すことで、個人情報に対する不正なアクセスを容易に発見できるとともに、アクセス履歴を記録している事実を予め知らせておくことで、不正なアクセスを効果的に抑止することが可能となる。

特開平０９−２１８９０２号公報

しかし、監査証跡は時間の経過とともにアクセス履歴のデータ量が増え、変更や削除によりデータ量が減少することはなく、長期間に渡って記録を保存しておく必要がある。このため、記録しておく監査証跡のデータ量は膨大なものとなる。したがって、監査証跡のデータを、例えば、ＤＶＤ（Digital Versatile Disc）を含む光ディスク等の安価で大容量の記録媒体に記録できればコスト面で有利である。しかしながら、このような記録媒体では監査証跡のデータを検索するのに長時間を要するという問題がある。このため、従来は短時間で検索が可能なハードディスク等の磁気ディスクに記録しており、記録媒体が高価なものとなっていた。

本発明の目的は、記録媒体のコストを抑制しながら、監査証跡のデータを容易に検索することができる監査証跡の記録方法、および監査証跡の記録装置を提供することにある。

本発明の監査証跡の記録方法は、情報へのアクセス履歴を記録する監査証跡の記録方法において、所定情報へのアクセスがあった場合に、アクセスの対象となった前記所定情報に基づいて、複数の記録先の中から当該アクセスのアクセス履歴の記録先を選択するステップと、選択された前記記録先に当該アクセスのアクセス履歴を記録するステップと、を備えることを特徴とする。
この監査証跡の記録方法によれば、アクセスの対象となった前記所定情報に基づいてアクセス履歴の記録先を選択するので、監査証跡を検索するに際して目的とするアクセス履歴が記録されている記録先のみを検索の対象とすることができるため、検索時間を短縮できる。各記録先として別々の記憶媒体を使用してもよいし、１つの記憶媒体に設けられた別々の記憶領域を使用してもよい。

前記記録先を選択するステップでは、前記所定情報の情報主に関する情報に基づいてアクセス履歴の記録先を選択してもよい。この場合には、情報主に応じて記録先を区別できるため、情報主を検索キーとして検索する場合に検索時間を短縮できる。

前記情報主に関する情報は、前記情報主を特定する情報であってもよい。
前記情報主に関する情報は、前記情報主の生まれ月であってもよいし、前記情報主の性別であってもよい。

本発明の監査証跡の記録方法は、情報へのアクセス履歴を記録する監査証跡の記録方法において、所定情報へのアクセスがあった場合に、アクセスの受け付けに際して得られた情報に基づいて、複数の記録先の中から当該アクセス履歴の記録先を選択するステップと、選択された前記記録先に当該アクセスのアクセス履歴を記録するステップと、を備えることを特徴とする。
この監査証跡の記録方法によれば、アクセスの受け付けに際して得られた情報に基づいてアクセス履歴の記録先を選択するので、監査証跡を検索するに際して目的とするアクセス履歴が記録されている記録先のみを検索の対象とすることができるため、検索時間を短縮できる。各記録先として別々の記憶媒体を使用してもよいし、１つの記憶媒体に設けられた別々の記憶領域を使用してもよい。

前記記録先を選択するステップでは、アクセス者を特定する情報に基づいてアクセス履歴の記録先を選択してもよい。この場合には、アクセス者に応じて記録先を区別できるため、アクセス者を検索キーとして検索する場合に検索時間を短縮できる。

本発明の監査証跡の記録方法は、情報へのアクセス履歴を記録する監査証跡の記録方法において、所定情報へのアクセスがあった場合に、当該アクセスのアクセス履歴に含まれる情報に基づいて、複数の記録先の中から当該アクセス履歴の記録先を選択するステップと、選択された前記記録先に当該アクセスのアクセス履歴を記録するステップと、を備えることを特徴とする。
この監査証跡の記録方法によれば、当該アクセスのアクセス履歴に含まれる情報に基づいてアクセス履歴の記録先を選択するので、監査証跡を検索するに際してアクセス履歴に含まれる項目等を検索キーとしてアクセス履歴を検索する場合、必要な記録先のみを検索の対象とすることができるため、検索時間を短縮できる。各記録先として別々の記憶媒体を使用してもよいし、１つの記憶媒体に設けられた別々の記憶領域を使用してもよい。

本発明の監査証跡の記録装置は、情報へのアクセス履歴を記録する監査証跡の記録装置において、所定情報へのアクセスがあった場合に、アクセスの対象となった前記所定情報に基づいて、複数の記録先の中から当該アクセス履歴の記録先を選択する記録先選択手段と、選択された前記記録先に当該アクセスのアクセス履歴を記録する記録手段と、を備えることを特徴とする。
この監査証跡の記録装置によれば、アクセスの対象となった前記所定情報に基づいてアクセス履歴の記録先を選択するので、監査証跡を検索するに際して目的とするアクセス履歴が記録されている記録先のみを検索の対象とすることができるため、検索時間を短縮できる。各記録先として別々の記憶媒体を使用してもよいし、１つの記憶媒体に設けられた別々の記憶領域を使用してもよい。

前記記録先選択手段は、前記所定情報の情報主に関する情報に基づいてアクセス履歴の記録先を選択してもよい。この場合には、情報主に応じて記録先を区別できるため、情報主を検索キーとして検索する場合に検索時間を短縮できる。

前記情報主に関する情報は、前記情報主を特定する情報であってもよい。
前記情報主に関する情報は、前記情報主の生まれ月であってもよいし、前記情報主の性別であってもよい。

本発明の監査証跡の記録装置は、情報へのアクセス履歴を記録する監査証跡の記録装置において、所定情報へのアクセスがあった場合に、アクセスの受け付けに際して得られた情報に基づいて、複数の記録先の中から当該アクセス履歴の記録先を選択する記録先選択手段と、選択された前記記録先に当該アクセスのアクセス履歴を記録する記録手段と、を備えることを特徴とする。
この監査証跡の記録装置によれば、アクセスの受け付けに際して得られた情報に基づいてアクセス履歴の記録先を選択するので、監査証跡を検索するに際して目的とするアクセス履歴が記録されている記録先のみを検索の対象とすることができるため、検索時間を短縮できる。各記録先として別々の記憶媒体を使用してもよいし、１つの記憶媒体に設けられた別々の記憶領域を使用してもよい。

前記記録先選択手段は、アクセス者を特定する情報に基づいてアクセス履歴の記録先を選択してもよい。この場合には、アクセス者に応じて記録先を区別できるため、アクセス者を検索キーとして検索する場合に検索時間を短縮できる。

本発明の監査証跡の記録装置は、情報へのアクセス履歴を記録する監査証跡の記録装置において、所定情報へのアクセスがあった場合に、当該アクセスのアクセス履歴に含まれる情報に基づいて、複数の記録先の中から当該アクセス履歴の記録先を選択する記録先選択手段と、選択された前記記録先に当該アクセスのアクセス履歴を記録する記録手段と、を備えることを特徴とする。
この監査証跡の記録装置によれば、当該アクセスのアクセス履歴に含まれる情報に基づいてアクセス履歴の記録先を選択するので、監査証跡を検索するに際してアクセス履歴に含まれる項目等を検索キーとしてアクセス履歴を検索する場合、必要な記録先のみを検索の対象とすることができるため、検索時間を短縮できる。各記録先として別々の記憶媒体を使用してもよいし、１つの記憶媒体に設けられた別々の記憶領域を使用してもよい。

本発明の監査証跡の記録方法、および監査証跡の記録装置によれば、アクセス履歴を適宜、複数の記録先に区分して記録するため、アクセス履歴の検索に際して必要な記録先のみを検索の対象とすることができるため、検索時間を効果的に抑制することができる。

次に、本発明による監査証跡の記録方法の実施例について説明する。

以下、図１〜図３を参照して、本発明による監査証跡の記録方法の実施例１について説明する。

図１は本実施例の監査証跡の記録方法を実行するための医療情報システムの構成を示すブロック図である。図１に示すように、この医療情報システムは、情報主である患者の個人情報を格納するサーバ１と、通信回線２を介してサーバ１に接続される複数の端末装置３とを備える。このシステムでは、端末装置３を使用することで、サーバ１に記録されている患者の個人情報にアクセスし、これを更新、参照し、あるいは削除することができるように構成されている。また、サーバ１は、何時、誰が、どのような目的（更新、参照、削除等）で患者の個人情報にアクセスしたかを監査証跡として記録する機能を有する。

サーバ１には、個人情報を格納する個人情報記憶部１１と、監査証跡を記憶する監査証跡記憶部１２と、サーバ１における各種処理を実行する処理部１４と、アクセス者の認証を行う認証機能部１５が設けられている。処理部１４および認証機能部１５は通信回線２を介して端末装置３との間で必要な通信を行い、アクセス者の個人認証を行うとともに、個人情報の新規作成、更新、参照、削除等の処理を実行する。アクセス者の個人認証では、端末装置３を介してアクセス者のアクセス者ＩＤを取得する。また、アクセス者に対しパスワードの入力を要求し、端末装置３を介して入力されたパスワードがアクセス者ＩＤに対して予め登録されたパスワードと一致するか否か判断することで個人認証を行う。個人情報へのアクセスは、アクセス者に対する認証行為が終了した後に可能となる。また、処理部１４は、端末装置３を介して患者の個人情報に対するアクセスがあった場合に、アクセス履歴を監査証跡として監査証跡記憶部１２に記録する。

図１に示すように、監査証跡記憶部１２は、１０枚のＤＶＤ（Digital Versatile Disc）等の光ディスク２０，２０，・・・のいずれかに選択的にアクセス履歴を記録する機能を有する。各光ディスク２０は患者ＩＤの下１桁の数「ｎ」に対応しており、アクセス履歴はアクセスの対象となった患者に対応する光ディスクに記録される。このように、光ディスク２０は患者ＩＤの下１桁の数「ｎ」ごとに１枚ずつ、全部で１０枚用意されており、例えば、「ｎ」が０の患者の監査証跡はｎ＝０の患者用の光ディスク２０に、「ｎ」が１の患者の監査証跡はｎ＝１の患者用の光ディスク２０に、それぞれ記録される。また、空き容量がなくなった光ディスク２０は新たなディスクに交換される。例えば、ｎ＝０の患者用の光ディスク２０の空容量がなくなった場合には、ｎ＝０の患者用の光ディスク２０のみが新たなディスクに交換される。アクセス履歴の記録方法については、さらに後述する。

図２は、アクセス履歴の内容を示す監査証跡テーブルを例示する図である。図２に示す例では、アクセス日を示す「アクセス年月日」、アクセス者を特定する「アクセス者氏名」、患者を特定する「患者ＩＤ」および「患者氏名」、患者の性別を示す「患者の性別」、実施された検査を特定する「検査ＩＤ」、アクセスの目的となった行為（更新、参照、削除のいずれか）を示す「行為」などのカラムが１つのレコードを構成している。

図３はサーバ１における監査証跡の記録処理を示すフローチャートである。この処理は処理部１４の制御により実行される。この処理では、まず、図３のステップＳ１において監査証跡のデータを追加記録する必要があるか否かを判断し、判断が肯定されるのを待ってステップＳ２へ進む。ステップＳ２では、図２の監査証跡テーブルに示すカラムから構成される１つのレコードを作成する。次に、ステップＳ３では、アクセス対象である患者の患者ＩＤの下１桁の数「ｎ」を取得する。「ｎ」はステップＳ２において作成されたレコードから取得してもよい。「ｎ」は０〜９のいずれかである。

次に、ステップＳ４では取得された「ｎ」の値が０であるか否か判断し、判断が肯定されればステップＳ５へ進み、判断が否定されればステップＳ６へ進む。ステップＳ５では、ステップＳ２において作成されたレコードをｎ＝０の患者用の光ディスク２０に記録する。その後、ステップＳ１に戻る。

ステップＳ６では取得された「ｎ」の値が１であるか否か判断し、判断が肯定されればステップＳ７へ進み、判断が否定されればステップＳ８へ進む。ステップＳ７では、ステップＳ２において作成されたレコードをｎ＝１の患者用の光ディスク２０に記録する。その後、ステップＳ１に戻る。

ステップＳ８では取得された「ｎ」の値が２であるか否か判断し、判断が肯定されればステップＳ９へ進み、判断が否定されればステップＳ１０へ進む。ステップＳ９では、ステップＳ２において作成されたレコードをｎ＝２の患者用の光ディスク２０に記録する。その後、ステップＳ１に戻る。

ステップＳ１０では取得された「ｎ」の値が３であるか否か判断し、判断が肯定されればステップＳ１１へ進み、判断が否定されればステップＳ１２へ進む。ステップＳ１１では、ステップＳ２において作成されたレコードをｎ＝３の患者用の光ディスク２０に記録する。その後、ステップＳ１に戻る。

ステップＳ１２では取得された「ｎ」の値が４であるか否か判断し、判断が肯定されればステップＳ１３へ進み、判断が否定されればステップＳ１４へ進む。ステップＳ１３では、ステップＳ２において作成されたレコードをｎ＝４の患者用の光ディスク２０に記録する。その後、ステップＳ１に戻る。

ステップＳ１４では取得された「ｎ」の値が５であるか否か判断し、判断が肯定されればステップＳ１５へ進み、判断が否定されればステップＳ１６へ進む。ステップＳ１５では、ステップＳ２において作成されたレコードをｎ＝５の患者用の光ディスク２０に記録する。その後、ステップＳ１に戻る。

ステップＳ１６では取得された「ｎ」の値が６であるか否か判断し、判断が肯定されればステップＳ１７へ進み、判断が否定されればステップＳ１８へ進む。ステップＳ１７では、ステップＳ２において作成されたレコードをｎ＝６の患者用の光ディスク２０に記録する。その後、ステップＳ１に戻る。

ステップＳ１８では取得された「ｎ」の値が７であるか否か判断し、判断が肯定されればステップＳ１９へ進み、判断が否定されればステップＳ２０へ進む。ステップＳ１９では、ステップＳ２において作成されたレコードをｎ＝７の患者用の光ディスク２０に記録する。その後、ステップＳ１に戻る。

ステップＳ２０では取得された「ｎ」の値が８であるか否か判断し、判断が肯定されればステップＳ２１へ進み、判断が否定されればステップＳ２２へ進む。ステップＳ２１では、ステップＳ２において作成されたレコードをｎ＝８の患者用の光ディスク２０に記録する。その後、ステップＳ１に戻る。

ステップＳ２２では取得された「ｎ」の値が９であるか否か判断し、判断が肯定されればステップＳ２３へ進み、判断が否定されればステップＳ１に戻る。ステップＳ２３では、ステップＳ２において作成されたレコードをｎ＝９の患者用の光ディスク２０に記録する。その後、ステップＳ１に戻る。

このように、ステップＳ４〜ステップＳ２３では、患者ＩＤの下１桁の数「ｎ」ごとに割り当てられた所定の光ディスク２０に、アクセス履歴のレコードを時系列順に記録している。

次に、監査証跡を検索する手順について説明する。図４は監査証跡の検索処理を示すフローチャートである。この処理は処理部１４の制御により実行される。この処理では、監査証跡の検索対象である患者を特定したうえで、その患者の監査証跡を検索する。

図４のステップＳ３１では、検索対象である患者の患者ＩＤおよび、患者ＩＤの下１桁の数「ｎ」を取得する。患者ＩＤおよび「ｎ」は、例えば、検索キーとして患者ＩＤの入力を要求することにより取得できる。

次に、ステップＳ３２では取得された「ｎ」の値が０であるか否か判断し、判断が肯定されればステップＳ３３へ進み、判断が否定されればステップＳ３４へ進む。ステップＳ３３では、ｎ＝０の患者用の光ディスク２０を検索し、検索対象である患者の監査証跡データを抽出し、処理を終了する。

ステップＳ３４では取得された「ｎ」の値が１であるか否か判断し、判断が肯定されればステップＳ３５へ進み、判断が否定されればステップＳ３６へ進む。ステップＳ３５では、ｎ＝１の患者用の光ディスク２０を検索し、検索対象である患者の監査証跡データを抽出し、処理を終了する。

ステップＳ３６では取得された「ｎ」の値が２であるか否か判断し、判断が肯定されればステップＳ３７へ進み、判断が否定されればステップＳ３８へ進む。ステップＳ３７では、ｎ＝２の患者用の光ディスク２０を検索し、検索対象である患者の監査証跡データを抽出し、処理を終了する。

ステップＳ３８では取得された「ｎ」の値が３であるか否か判断し、判断が肯定されればステップＳ３９へ進み、判断が否定されればステップＳ４０へ進む。ステップＳ３９では、ｎ＝３の患者用の光ディスク２０を検索し、検索対象である患者の監査証跡データを抽出し、処理を終了する。

ステップＳ４０では取得された「ｎ」の値が４であるか否か判断し、判断が肯定されればステップＳ４１へ進み、判断が否定されればステップＳ４２へ進む。ステップＳ４１では、ｎ＝４の患者用の光ディスク２０を検索し、検索対象である患者の監査証跡データを抽出し、処理を終了する。

ステップＳ４２では取得された「ｎ」の値が５であるか否か判断し、判断が肯定されればステップＳ４３へ進み、判断が否定されればステップＳ４４へ進む。ステップＳ４３では、ｎ＝５の患者用の光ディスク２０を検索し、検索対象である患者の監査証跡データを抽出し、処理を終了する。

ステップＳ４４では取得された「ｎ」の値が６であるか否か判断し、判断が肯定されればステップＳ４５へ進み、判断が否定されればステップＳ４６へ進む。ステップＳ４５では、ｎ＝６の患者用の光ディスク２０を検索し、検索対象である患者の監査証跡データを抽出し、処理を終了する。

ステップＳ４６では取得された「ｎ」の値が７であるか否か判断し、判断が肯定されればステップＳ４７へ進み、判断が否定されればステップＳ４８へ進む。ステップＳ４７では、ｎ＝７の患者用の光ディスク２０を検索し、検索対象である患者の監査証跡データを抽出し、処理を終了する。

ステップＳ４８では取得された「ｎ」の値が８であるか否か判断し、判断が肯定されればステップＳ４９へ進み、判断が否定されればステップＳ５０へ進む。ステップＳ４９では、ｎ＝８の患者用の光ディスク２０を検索し、検索対象である患者の監査証跡データを抽出し、処理を終了する。

ステップＳ５０では取得された「ｎ」の値が９であるか否か判断し、判断が肯定されればステップＳ５１へ進み、判断が否定されれば処理を終了する。ステップＳ４９では、ｎ＝８の患者用の光ディスク２０を検索し、検索対象である患者の監査証跡データを抽出し、処理を終了する。

このように、本実施例では患者ＩＤの下１桁の数「ｎ」ごとに１つの光ディスク２０を使用しており、検索時には検索対象となる患者の患者ＩＤに対応する光ディスク２０のみを検索するようにしている。患者ＩＤの下１桁の数「ｎ」は全患者の約１／１０ずつに均等に割り当てられるため、１０枚の光ディスク２０は、ほぼ均等のデータ量で監査証跡が記録されていく。

後から監査証跡を調べる多くの場合に、患者を検索キーに含む検索が必要となる。本実施例では、患者ＩＤに応じて記録先となる光ディスク２０を区別しているため、対象となる光ディスク２０のみを検索すればよい。例えば、患者ＩＤが「１２３４５６」である患者の検査情報に対し所定期間内（例えば、検索時点の５年前から１年前までの４年間）にアクセスしたアクセス履歴を検索したい場合、ｎ＝６の光ディスク２０のみを検索すればよく、他の光ディスク２０を検索する必要がない。このため所定期間内のアクセス履歴をすべて検索する場合と比較し、検索時間を約１／１０に短縮できる。このように本実施例では患者ＩＤに応じて光ディスク２０を区別して使用しているので、安価な記憶媒体を使用しつつ、検索時間を効果的に短縮することが可能となる。なお、本実施例では、患者のみを検索キーとして検索する場合のみならず、他の検索キーとの論理和を条件とする検索時にも同様の効果を発揮する。

上記実施例では、情報主である患者の患者ＩＤに応じて記録先を区別しているが、監査証跡をほぼ均等に分離することができ、検索時に検索先を指定できる情報であれば、どのような情報を用いて記録先を区別してもよい。例えば、患者の生年月日の月に応じて記録先を区別してもよい。この場合には１２の記録先に監査証跡を分離することができる。このため、監査証跡を検索する際には患者の生まれ月の光ディスクのみを検索することにより、監査証跡の全体を検索する場合と比較して検索時間を約１／１２に短縮できる。

また、患者の性別に応じて監査証跡の記録先を区別してもよく、この場合には記録先が２つに分離されるため、検索時間を約１／２に短縮できる。

上記実施例では患者ＩＤに基づいて記録先を区別しているが、記録先を区分する情報の取得方法は限定されない。例えば、患者の生まれ月に従ってアクセス履歴の記録先を区別する場合、患者の生まれ月が個人情報に含まれていなくてもよい。患者を特定する情報、例えば患者ＩＤと、患者の生年月日を含むテーブルが、個人情報とは別に記録されていれば、そのテーブルを参照することによりアクセス対象となった患者の生まれ月を取得することができる。

本実施例の監査証跡の記録方法はアクセス者のアクセス者ＩＤに基づいてアクセス履歴の記録先を区別する例を示す。この実施例では、アクセス者を検索キーとして監査証跡を検索する場合に検索時間を短縮することが可能となる。以下、実施例１との相違点を中心として説明する。

実施例１と同様、監査証跡記憶部１２（図１）は、１０枚のＤＶＤ等の光ディスク２０，２０，・・・のいずれかに選択的にアクセス履歴を記録する機能を有する。各光ディスク２０はアクセス者ＩＤの下１桁の数「ｎ」に対応しており、アクセス履歴はアクセスを行ったアクセス者に対応する光ディスクに記録される。このように、実施例２では光ディスク２０はアクセス者ＩＤの下１桁の数「ｎ」ごとに１枚ずつ、全部で１０枚用意されており、例えば、「ｎ」が０のアクセス者の監査証跡はｎ＝０のアクセス者用の光ディスク２０に、「ｎ」が１のアクセス者の監査証跡はｎ＝１のアクセス者用の光ディスク２０に、それぞれ記録される。また、実施例１と同様、空き容量がなくなった光ディスク２０は新たなディスクに交換される。例えば、ｎ＝０のアクセス者用の光ディスク２０の空容量がなくなった場合には、ｎ＝０のアクセス者用の光ディスク２０のみが新たなディスクに交換される。

図５はサーバ１における監査証跡の記録処理を示すフローチャートである。この処理は処理部１４の制御により実行される。この処理では、まず、図５のステップＳ１Ａにおいて監査証跡のデータを追加記録する必要があるか否かを判断し、判断が肯定されるのを待ってステップＳ２Ａへ進む。ステップＳ２Ａでは、図２の監査証跡テーブルに示すカラムから構成された１つのレコードを作成する。次に、ステップＳ３Ａでは、アクセス者を示すアクセス者ＩＤの下１桁の数「ｎ」を取得する。「ｎ」は０〜９のいずれかである。上記のように、アクセス者ＩＤはアクセスの受け付けに際して実行される個人認証において入力することが要求されるため、本来的にアクセスを受け付ける際の個人認証の処理において取得できる。ステップＳ２Ａにおいて作成されるレコードに使用されるアクセス者ＩＤ等も同様である。また、取得されたアクセス者ＩＤに基づいて「ｎ」を取得することができる。

次に、ステップＳ４Ａでは取得された「ｎ」の値が０であるか否か判断し、判断が肯定されればステップＳ５Ａへ進み、判断が否定されればステップＳ６Ａへ進む。ステップＳ５Ａでは、ステップＳ２Ａにおいて作成されたレコードをｎ＝０のアクセス者用の光ディスク２０に記録する。その後、ステップＳ１Ａに戻る。

ステップＳ６Ａでは取得された「ｎ」の値が１であるか否か判断し、判断が肯定されればステップＳ７Ａへ進み、判断が否定されればステップＳ８Ａへ進む。ステップＳ７Ａでは、ステップＳ２Ａにおいて作成されたレコードをｎ＝１のアクセス者用の光ディスク２０に記録する。その後、ステップＳ１Ａに戻る。

ステップＳ８Ａでは取得された「ｎ」の値が２であるか否か判断し、判断が肯定されればステップＳ９Ａへ進み、判断が否定されればステップＳ１０Ａへ進む。ステップＳ９Ａでは、ステップＳ２Ａにおいて作成されたレコードをｎ＝２のアクセス用の光ディスク２０に記録する。その後、ステップＳ１Ａに戻る。

ステップＳ１０Ａでは取得された「ｎ」の値が３であるか否か判断し、判断が肯定されればステップＳ１１Ａへ進み、判断が否定されればステップＳ１２Ａへ進む。ステップＳ１１Ａでは、ステップＳ２Ａにおいて作成されたレコードをｎ＝３のアクセス者用の光ディスク２０に記録する。その後、ステップＳ１Ａに戻る。

ステップＳ１２Ａでは取得された「ｎ」の値が４であるか否か判断し、判断が肯定されればステップＳ１３Ａへ進み、判断が否定されればステップＳ１４Ａへ進む。ステップＳ１３Ａでは、ステップＳ２Ａにおいて作成されたレコードをｎ＝４のアクセス者用の光ディスク２０に記録する。その後、ステップＳ１Ａに戻る。

ステップＳ１４Ａでは取得された「ｎ」の値が５であるか否か判断し、判断が肯定されればステップＳ１５Ａへ進み、判断が否定されればステップＳ１６Ａへ進む。ステップＳ１５Ａでは、ステップＳ２Ａにおいて作成されたレコードをｎ＝５のアクセス者用の光ディスク２０に記録する。その後、ステップＳ１Ａに戻る。

ステップＳ１６Ａでは取得された「ｎ」の値が６であるか否か判断し、判断が肯定されればステップＳ１７Ａへ進み、判断が否定されればステップＳ１８Ａへ進む。ステップＳ１７Ａでは、ステップＳ２Ａにおいて作成されたレコードをｎ＝６のアクセス者用の光ディスク２０に記録する。その後、ステップＳ１Ａに戻る。

ステップＳ１８Ａでは取得された「ｎ」の値が７であるか否か判断し、判断が肯定されればステップＳ１９Ａへ進み、判断が否定されればステップＳ２０Ａへ進む。ステップＳ１９Ａでは、ステップＳ２Ａにおいて作成されたレコードをｎ＝７のアクセス者用の光ディスク２０に記録する。その後、ステップＳ１Ａに戻る。

ステップＳ２０Ａでは取得された「ｎ」の値が８であるか否か判断し、判断が肯定されればステップＳ２１Ａへ進み、判断が否定されればステップＳ２２Ａへ進む。ステップＳ２１Ａでは、ステップＳ２Ａにおいて作成されたレコードをｎ＝８のアクセス者用の光ディスク２０に記録する。その後、ステップＳ１Ａに戻る。

ステップＳ２２Ａでは取得された「ｎ」の値が９であるか否か判断し、判断が肯定されればステップＳ２３Ａへ進み、判断が否定されればステップＳ１Ａに戻る。ステップＳ２３Ａでは、ステップＳ２Ａにおいて作成されたレコードをｎ＝９のアクセス者用の光ディスク２０に記録する。その後、ステップＳ１Ａに戻る。

このように、ステップＳ４Ａ〜ステップＳ２３Ａでは、アクセス者ＩＤの下１桁の数「ｎ」ごとに割り当てられた所定の光ディスク２０にアクセス履歴のレコードを記録している。

次に、監査証跡を検索する手順について説明する。図６は監査証跡の検索処理を示すフローチャートである。この処理は処理部１４の制御により実行される。この処理では、アクセス者を特定したうえで、そのアクセス者によるアクセス履歴を検索する。

図６のステップＳ３１Ａでは、アクセス者のアクセス者ＩＤおよび、アクセス者ＩＤの下１桁の数「ｎ」を取得する。アクセス者ＩＤおよび「ｎ」は、例えば、検索キーとしてアクセス者ＩＤの入力を要求することにより取得できる。

次に、ステップＳ３２Ａでは取得された「ｎ」の値が０であるか否か判断し、判断が肯定されればステップＳ３３Ａへ進み、判断が否定されればステップＳ３４Ａへ進む。ステップＳ３３Ａでは、ｎ＝０のアクセス者用の光ディスク２０を検索し、検索対象であるアクセス者の監査証跡データを抽出し、処理を終了する。

ステップＳ３４Ａでは取得された「ｎ」の値が１であるか否か判断し、判断が肯定されればステップＳ３５Ａへ進み、判断が否定されればステップＳ３６Ａへ進む。ステップＳ３５Ａでは、ｎ＝１のアクセス者用の光ディスク２０を検索し、検索対象であるアクセス者の監査証跡データを抽出し、処理を終了する。

ステップＳ３６Ａでは取得された「ｎ」の値が２であるか否か判断し、判断が肯定されればステップＳ３７Ａへ進み、判断が否定されればステップＳ３８Ａへ進む。ステップＳ３７Ａでは、ｎ＝２のアクセス者用の光ディスク２０を検索し、検索対象であるアクセス者の監査証跡データを抽出し、処理を終了する。

ステップＳ３８Ａでは取得された「ｎ」の値が３であるか否か判断し、判断が肯定されればステップＳ３９Ａへ進み、判断が否定されればステップＳ４０Ａへ進む。ステップＳ３９Ａでは、ｎ＝３のアクセス者用の光ディスク２０を検索し、検索対象であるアクセス者の監査証跡データを抽出し、処理を終了する。

ステップＳ４０Ａでは取得された「ｎ」の値が４であるか否か判断し、判断が肯定されればステップＳ４１Ａへ進み、判断が否定されればステップＳ４２Ａへ進む。ステップＳ４１Ａでは、ｎ＝４のアクセス者用の光ディスク２０を検索し、検索対象であるアクセス者の監査証跡データを抽出し、処理を終了する。

ステップＳ４２Ａでは取得された「ｎ」の値が５であるか否か判断し、判断が肯定されればステップＳ４３Ａへ進み、判断が否定されればステップＳ４４Ａへ進む。ステップＳ４３Ａでは、ｎ＝５のアクセス者用の光ディスク２０を検索し、検索対象であるアクセス者の監査証跡データを抽出し、処理を終了する。

ステップＳ４４Ａでは取得された「ｎ」の値が６であるか否か判断し、判断が肯定されればステップＳ４５Ａへ進み、判断が否定されればステップＳ４６Ａへ進む。ステップＳ４５Ａでは、ｎ＝６のアクセス者用の光ディスク２０を検索し、検索対象であるアクセス者の監査証跡データを抽出し、処理を終了する。

ステップＳ４６Ａでは取得された「ｎ」の値が７であるか否か判断し、判断が肯定されればステップＳ４７Ａへ進み、判断が否定されればステップＳ４８Ａへ進む。ステップＳ４７Ａでは、ｎ＝７のアクセス者用の光ディスク２０を検索し、検索対象であるアクセス者の監査証跡データを抽出し、処理を終了する。

ステップＳ４８Ａでは取得された「ｎ」の値が８であるか否か判断し、判断が肯定されればステップＳ４９Ａへ進み、判断が否定されればステップＳ５０Ａへ進む。ステップＳ４９Ａでは、ｎ＝８のアクセス者用の光ディスク２０を検索し、検索対象であるアクセス者の監査証跡データを抽出し、処理を終了する。

ステップＳ５０Ａでは取得された「ｎ」の値が９であるか否か判断し、判断が肯定されればステップＳ５１Ａへ進み、判断が否定されれば処理を終了する。ステップＳ４９Ａでは、ｎ＝８のアクセス者用の光ディスク２０を検索し、検索対象であるアクセス者の監査証跡データを抽出し、処理を終了する。

このように、本実施例ではアクセス者ＩＤの下１桁の数「ｎ」ごとに１つの光ディスク２０を使用しており、検索時には検索対象となるアクセス者のアクセス者ＩＤに対応する光ディスク２０のみを検索するようにしている。アクセス者ＩＤの下１桁の数「ｎ」は全アクセス者の約１／１０ずつに均等に割り当てられるため、１０枚の光ディスク２０は、ほぼ均等のデータ量で監査証跡が記録されていく。

後から監査証跡を調べる場合に、アクセス者を検索キーとしてアクセス履歴を検索したい場合がある。本実施例では、本実施例では、アクセス者ＩＤに応じて記録先となる光ディスク２０を区別しているため、アクセス者を検索キーとして監査証跡を検索する場合には対象となる光ディスク２０のみを検索すればよい。このため、例えば、所定期間内のアクセス履歴をすべて検索する場合と比較し、検索時間を約１／１０に短縮できる。このように本実施例ではアクセス者ＩＤに応じて光ディスク２０を区別して使用しているので、安価な記憶媒体を使用しつつ、検索時間を効果的に短縮することが可能となる。

上記実施例では、アクセス者ＩＤに応じて記録先を区別しているが、例えば、アクセス者が所属する部署ごとに記録先を区別してもよい。この場合、部署を検索キーとしてアクセス履歴を検索するに際し、必要な記録先のみを検索すればよいので、検索時間が短縮される。

上記各実施例では複数の記録先として複数の光ディスクを用意しているが、検索時に検索範囲を選択できる形式であれば、記録先を区別する方法は限定されない。例えば、１つの記録媒体を複数の記憶領域に分離し、各記憶領域を別の記録先として区別して使用してもよい。この場合、記憶領域は物理フォーマット上で区別してもよいし、論理フォーマット上で区別してもよい。要は、検索時に検索範囲を指定できるような形式で記録先が区別されていればよい。

また、上記各実施例では個人情報へのアクセスがあると、その都度、１つのレコードを作成し、これをアクセス履歴として記録しているが、適当なタイミングで複数のアクセスについてアクセス履歴をまとめて記録するようにしてもよい。例えば、アクセスの頻度が低下する夜間などに、１日分のアクセス履歴を記録してもよい。

上記各実施例では、本発明を医療情報システムに適用した例を示したが、本発明は医療関連のみならず、監査証跡を記録するシステムに対し広く適用することができる。

監査証跡の記録方法を実行するための医療情報システムの構成を示すブロック図。 アクセス履歴の内容を示す監査証跡テーブルを例示する図。 実施例１の監査証跡の記録方法における記録処理の手順を示すフローチャート。 実施例１の監査証跡の記録方法における検索処理の手順を示すフローチャート。 実施例２の監査証跡の記録方法における記録処理の手順を示すフローチャート。 実施例２の監査証跡の記録方法における検索処理の手順を示すフローチャート。

符号の説明

１ サーバ
３ 端末装置
１２ 監査証跡記憶部（記録手段）
１４ 処理部（記録先選択手段、記録手段）
１５ 認証機能部
２０ 光ディスク（記録媒体）

Claims (18)

1. 情報へのアクセス履歴を記録する監査証跡の記録方法において、
   所定情報へのアクセスがあった場合に、アクセスの対象となった前記所定情報に基づいて、複数の記録先の中から当該アクセスのアクセス履歴の記録先を選択するステップと、
   選択された前記記録先に当該アクセスのアクセス履歴を記録するステップと、
   を備えることを特徴とする監査証跡の記録方法。
2. 前記記録先を選択するステップでは、前記所定情報の情報主に関する情報に基づいてアクセス履歴の記録先を選択することを特徴とする請求項１に記載の監査証跡の記録方法。
3. 前記情報主に関する情報は、前記情報主を特定する情報であることを特徴とする請求項２に記載の監査証跡の記録方法。
4. 前記情報主に関する情報は、前記情報主の生まれ月であることを特徴とする請求項２に記載の監査証跡の記録方法。
5. 前記情報主に関する情報は、前記情報主の性別であることを特徴とする請求項２に記載の監査証跡の記録方法。
6. 情報へのアクセス履歴を記録する監査証跡の記録方法において、
   所定情報へのアクセスがあった場合に、アクセスの受け付けに際して得られた情報に基づいて、複数の記録先の中から当該アクセス履歴の記録先を選択するステップと、
   選択された前記記録先に当該アクセスのアクセス履歴を記録するステップと、
   を備えることを特徴とする監査証跡の記録方法。
7. 前記記録先を選択するステップでは、アクセス者を特定する情報に基づいてアクセス履歴の記録先を選択することを特徴とする請求項６に記載の監査証跡の記録方法。
8. 情報へのアクセス履歴を記録する監査証跡の記録方法において、
   所定情報へのアクセスがあった場合に、当該アクセスのアクセス履歴に含まれる情報に基づいて、複数の記録先の中から当該アクセス履歴の記録先を選択するステップと、
   選択された前記記録先に当該アクセスのアクセス履歴を記録するステップと、
   を備えることを特徴とする監査証跡の記録方法。
9. 前記アクセス履歴の記録先として複数の記録媒体が用意され、前記記録先を選択するステップでは１つの記録媒体を前記記録先として選択することを特徴とする請求項１〜８のいずれか１項に記載の監査証跡の記録方法。
10. 情報へのアクセス履歴を記録する監査証跡の記録装置において、
    所定情報へのアクセスがあった場合に、アクセスの対象となった前記所定情報に基づいて、複数の記録先の中から当該アクセスのアクセス履歴の記録先を選択する記録先選択手段と、
    選択された前記記録先に当該アクセスのアクセス履歴を記録する記録手段と、
    を備えることを特徴とする監査証跡の記録装置。
11. 前記記録先選択手段は、前記所定情報の情報主に関する情報に基づいてアクセス履歴の記録先を選択することを特徴とする請求項１０に記載の監査証跡の記録装置。
12. 前記情報主に関する情報は、前記情報主を特定する情報であることを特徴とする請求項１１に記載の監査証跡の記録装置。
13. 前記情報主に関する情報は、前記情報主の生まれ月であることを特徴とする請求項１１に記載の監査証跡の記録装置。
14. 前記情報主に関する情報は、前記情報主の性別であることを特徴とする請求項１１に記載の監査証跡の記録装置。
15. 情報へのアクセス履歴を記録する監査証跡の記録装置において、
    所定情報へのアクセスがあった場合に、アクセスの受け付けに際して得られた情報に基づいて、複数の記録先の中から当該アクセス履歴の記録先を選択する記録先選択手段と、
    選択された前記記録先に当該アクセスのアクセス履歴を記録する記録手段と、
    を備えることを特徴とする監査証跡の記録装置。
16. 前記記録先選択手段は、アクセス者を特定する情報に基づいてアクセス履歴の記録先を選択することを特徴とする請求項１５に記載の監査証跡の記録装置。
17. 情報へのアクセス履歴を記録する監査証跡の記録装置において、
    所定情報へのアクセスがあった場合に、当該アクセスのアクセス履歴に含まれる情報に基づいて、複数の記録先の中から当該アクセス履歴の記録先を選択する記録先選択手段と、
    選択された前記記録先に当該アクセスのアクセス履歴を記録する記録手段と、
    を備えることを特徴とする監査証跡の記録装置。
18. 前記アクセス履歴の記録先として複数の記録媒体が用意され、前記記録先選択手段は、１つの記録媒体を前記記録先として選択することを特徴とする請求項１０〜１７のいずれか１項に記載の監査証跡の記録装置。
    

Images