JP2011100228A - ログ管理方法、管理システム及び管理プログラム - Google Patents

Abstract

【課題】複数のサーバが同一ユーザについてそれぞれ作成したログの関連付けを容易に行えるようにした上で、ログからユーザを直接的及び長期的に特定できないようにし、これにより個人情報の秘匿性を高める。
【解決手段】クライアント端末ＣＴ１における一般ユーザＡのログインに応じて、認証サーバＡＳＶがログインからログアウトまでの期間のみ有効となるログ結合ＩＤを発行してこれを認証情報に含めて各サーバに通知し、各サーバは上記一般ユーザＡによる健康情報及び健診情報の閲覧動作において自サーバが実行した動作内容を表すログに、上記ログ結合ＩＤと動作時刻情報を含めるようにしたものである。
【選択図】図１

Description

この発明は、ユーザから要求された動作を複数のサーバが連携して実行し、その動作記録を表すログをユーザごとに管理するログ管理方法、管理システム及び管理プログラムに関する。

従来、ユーザが行った複数のサーバにまたがる作業に対して、各々のサーバで行った作業を時系列に統合した作業記録（ログ）を作成する方法が提案されている。例えば、サーバ間で時刻同期を行うとともに、すべてのサーバで共通したユーザの識別子を用い、それぞれのサーバにおいてユーザが行った作業内容を時刻情報及びユーザの識別子と共に記録し、各サーバで記録されたログを収集してこれらのログをユーザの識別子と時刻情報をキーとしてユーザごとに時系列に並べる方法がある。

また、複数のサーバが連携して動作するシステムにおいて、各サーバが互いに他のサーバが管理しているユーザ識別子を知らなくても同一ユーザの情報をやり取りすることを可能にしたシステムが提案されている。このシステムは、各々のサーバが独立したユーザ管理を行い、認証サーバにおいてこれら各サーバが管理するユーザ識別子をユーザごとに関連付けする。そして、サーバ同士でのユーザに関する情報の通信を行う場合に、認証サーバが仮名と呼ばれる識別子を発行し、仮名を用いてあるサーバと別のサーバとの間で情報のやり取りを行うものである（例えば、特許文献１を参照。）。

特開２００７−２９９３０３号公報

ところが、上記した従来のログ作成方法及びサーバ連携システムには、以下のような改善すべき課題があった。
すなわち、すべてのサーバにおいて同一のユーザに対し共通のユーザ識別子を用いる場合には、ログの出力に限らず通常の情報のやり取りにおいても、情報の漏えいが起こると、ユーザ識別子をキー情報として、漏えいした情報のうちどの情報が同一ユーザの情報であるかが容易に関連付けられてしまう。またそれと共に、不正アクセスの危険性も増すので、情報保護の観点からも好ましくない。万が一情報が漏えいした場合でも、複数の情報間での結びつけができないような配慮を行う必要がある。

また、同一ユーザであってもサーバごとに使用するユーザ識別子が異なる場合には、各々のサーバが作成するログに当該サーバが使用するユーザ識別子（仮名を含む）を埋め込んでも、後にそれらのログを収集して同一ユーザに関するログを時系列に並べようとする際に、各サーバで作成されたログだけからでは当該各ログを結びつけることができない。特に、仮名は同一ユーザ、同一サーバに対して常に同じであるとは限らず、途中で変更される可能性がある。このため、ログに仮名を埋め込んだ場合には、途中で仮名の変更が行われるとログの分析が難しくなる。

さらに、サーバごとのユーザ識別子の関連付けを管理している認証サーバの情報も用いれば、ログに含まれているユーザ識別子が同一ユーザの識別子かどうかを判断することができ、これにより各サーバが作成したログをユーザごとに関連付けることができる。しかし、同一ユーザの識別子か否かをその都度認証サーバに確認しなくてはならず、認証サーバへのアクセスによる負荷が大きくなってしまう。

また、サーバごとに異なるユーザ識別子を用いている場合でも、ログにユーザ識別子を含めるか或いは付加していると、万が一ログが漏えいした場合に、個人を特定する上で非常に重要なユーザ識別子自体が漏えいすることになる。このため、不正アクセスの危険性が増大したり、同一サーバ内での複数のログを長期に横断的に追跡することにより個人が特定されてしまう危険性が高くなる。

この発明は上記事情に着目してなされたもので、その目的とするところは、同一ユーザについて複数のサーバがそれぞれ作成したログの関連付けを容易に行えるようにした上で、ログからユーザを直接的及び長期的に特定できないようにし、これにより個人情報の秘匿性を高めたログ管理方法、管理システム及び管理プログラムを提供することにある。

上記目的を達成するためにこの発明の第１の観点は、ユーザ端末から要求された動作を複数のサーバがネットワークを介して連携して実行し、その動作記録を表すログを管理する方法、システム及びプログラムにおいて、ユーザ端末からのログインに応じて、上記複数のサーバのうちの少なくとも一つが、当該ログインからログアウトまでの期間に限り有効となるログ結合識別子を発行して他のサーバへ通知する。各サーバはそれぞれ、自己の動作記録を表すログを作成する際に、当該ログに上記ログ結合識別子を含めるようにしたものである。

したがって、同一ユーザについて複数のサーバが各々異なるユーザ識別子を用いて独自に管理している場合でも、各サーバが作成したログを、当該ログに含まれるログ結合識別子をキーにしてユーザごとに容易に結合し管理することが可能となる。しかも、たとえログが漏えいした場合でも、そのログ結合識別子から直接的にユーザを特定することは困難となり、また万が一特定できたとしてもログ結合識別子の有効期間はログインからログアウトまでの期間に限定されるので、ログとユーザとの結びつきが半永久的に明らかになることを防止することができる。

一方、この発明の第２の観点は、ユーザ端末からのログインに応じて、複数のサーバのうちの少なくとも一つが当該ログインからログアウトまでの期間に限り有効となるログ結合識別子を発行して他のサーバへ通知し、複数のサーバはそれぞれ自己の動作記録を表すログを作成する際に、上記発行又は通知されたログ結合識別子及び動作時刻情報を少なくとも含む通信ログと、上記動作時刻情報及び動作内容を表す情報を含む作業ログを作成し出力するようにしたものである。

したがって、上記第１の観点と同様に、同一ユーザについて複数のサーバが各々異なるユーザ識別子を用いて独自に管理している場合でも、各サーバが作成した作業ログを、動作時刻情報が対応する通信ログに含まれるログ結合識別子をキーにしてユーザごとに容易に結合し管理することが可能となる。しかも、たとえ作業ログが漏えいしたとしても、この作業ログにはユーザ識別子はもとよりログ結合識別子すら含まれていないので、当該作業ログのユーザを特定することは不可能となる。また、仮に作業ログと通信ログが同時に漏えいしたとしても、通信ログに含まれるログ結合識別子の有効期間はログインからログアウトまでの期間に限定されるので、ログとユーザとの結びつきが半永久的に明らかになる不具合を防止することができる。

また、この発明の第１及び第２の観点は以下のような態様を備えることも特徴とする。
第１の態様は、複数のサーバとの間でネットワークを介して通信可能なログ分析装置を設け、このログ分析装置により、上記複数のサーバからそれぞれ出力されるログをネットワークを介して収集し、この収集した複数のログを当該各ログに含まれるログ結合識別子をもとに結合するようにしたものである。
このようにすると、複数のサーバにより作成されたログをユーザごとに結合する処理がログ分析装置において自動的に行われる。このため、ログ監査等が必要となった場合に、ログの分析を効率良く実施することができる。

第２の態様は、前記ログを作成する際に、前記発行又は通知されたログ結合識別子をサーバごとに異なる暗号化鍵を用いて暗号化し、この暗号化されたログ結合識別子を含むログを作成する。そして、前記ログを結合する際には、複数のサーバから収集した各ログに含まれる、暗号化されたログ結合識別子を前記暗号化鍵と対をなす復号鍵を用いて復号し、この復号されたログ結合識別子をもとに、前記収集した各ログを結合するようにしたものである。
このようにすると、各サーバにおいてログにログ結合識別子を埋め込む際に、サーバごとに異なる暗号化鍵を用いてログ結合識別子が暗号化される。このため、仮にログが流出しても、ログ結合識別子を解読しない限りユーザを特定することは不可能となり、これによりログとユーザとの結びつきに関する秘匿性をさらに高めることができる。

すなわちこの発明の第１又は第２の観点によれば、同一ユーザについて複数のサーバがそれぞれ作成したログの関連付けを容易に行えるようにした上で、ログからユーザを直接的及び長期的に特定できないようになり、これにより個人情報の秘匿性を高めたログの管理方法、管理システム及び管理プログラムを提供することができる。

この発明の第１の実施形態に係わるログ管理システムの構成を示すブロック図である。 図１に示したログ管理システムによるログ管理処理手順とその処理内容の第１段階を示すシーケンス図である。 図１に示したログ管理システムによるログ管理処理手順とその処理内容の第２段階を示すシーケンス図である。 図１に示したログ管理システムによるログ管理処理手順とその処理内容の第３段階を示すシーケンス図である。 図１に示したログ管理システムによるログ管理処理手順とその処理内容の第４段階を示すシーケンス図である。 図１に示したログ管理システムによるログ管理処理手順とその処理内容の第５段階を示すシーケンス図である。 図１に示したログ管理システムにおいて認証サーバのユーザ情報管理部で管理されるユーザ情報の一例を示す図である。 図１に示したログ管理システムにおいて認証サーバのログイン管理部で管理されるログイン情報の一例を示す図である。 図１に示したログ管理システムにおいてディレクトリサービスサーバのユーザ情報管理部で管理されるユーザ情報の一例を示す図である。 図１に示したログ管理システムにおいてディレクトリサービスサーバのディレクトリサービス情報管理部で管理される情報の一例を示す図である。 図１に示したログ管理システムにおいてデータプロバイドサーバのユーザ情報管理部で管理されるユーザ情報の一例を示す図である。 図１に示したログ管理システムにおいてデータプロバイドサーバの健康情報管理部で管理される情報の一例を示す図である。 図１に示したログ管理システムにおいてＷｅｂサービスサーバのログイン管理部で管理されるログイン情報の一例を示す図である。 図１に示したログ管理システムにおいてＷｅｂサービスサーバで作成されるログの一例を示す図である。 図１に示したログ管理システムにおいて認証サーバで作成されるログの一例を示す図である。 図１に示したログ管理システムにおいてディレクトリサービスサーバで作成されるログの一例を示す図である。 図１に示したログ管理システムにおいて第１のデータプロバイドサーバで作成されるログの一例を示す図である。 図１に示したログ管理システムにおいて第２のデータプロバイドサーバで作成されるログの一例を示す図である。 図１４乃至図１８に示した各ログを結合した状態を示す図である。 図１４乃至図１８に示した各ログを結合した状態を示す図である。 図１４乃至図１８に示した各ログを結合した状態を示す図である。 この発明の第２の実施形態に係わるログ管理システムの構成を示すブロック図である。 図２２に示したログ管理システムによるログ管理処理手順とその処理内容の第１段階を示すシーケンス図である。 図２２に示したログ管理システムによるログ管理処理手順とその処理内容の第２段階を示すシーケンス図である。 図２２に示したログ管理システムによるログ管理処理手順とその処理内容の第３段階を示すシーケンス図である。 図２２に示したログ管理システムによるログ管理処理手順とその処理内容の第４段階を示すシーケンス図である。 図２２に示したログ管理システムによるログ管理処理手順とその処理内容の第５段階を示すシーケンス図である。 図２２に示したログ管理システムによるログ管理処理手順とその処理内容の第６段階を示すシーケンス図である。 図２２に示したログ管理システムによるログ管理処理手順とその処理内容の第７段階を示すシーケンス図である。 図２２に示したログ管理システムによるログ管理処理手順とその処理内容の第８段階を示すシーケンス図である。 図２２に示したログ管理システムにおいてＷｅｂサービスサーバで作成される通信ログを示す図である。 図２２に示したログ管理システムにおいてＷｅｂサービスサーバで作成される作業ログを示す図である。 図２２に示したログ管理システムにおいてＷｅｂサービスサーバで作成される作業ログを示す図である。 図２２に示したログ管理システムにおいて認証サーバで作成される通信ログを示す図である。 図２２に示したログ管理システムにおいて認証サーバで作成される通信ログを示す図である。 図２２に示したログ管理システムにおいて認証サーバで作成される作業ログを示す図である。 図２２に示したログ管理システムにおいて認証サーバで作成される作業ログを示す図である。 図２２に示したログ管理システムにおいてディレクトリサービスサーバで作成される通信ログの一例を示す図である。 図２２に示したログ管理システムにおいてディレクトリサービスサーバで作成される作業ログの一例を示す図である。 図２２に示したログ管理システムにおいて第１のデータプロバイドサーバで作成される通信ログの一例を示す図である。 図２２に示したログ管理システムにおいて第２のデータプロバイドサーバで作成される通信ログの一例を示す図である。 図２２に示したログ管理システムにおいて第１のデータプロバイドサーバで作成される作業ログの一例を示す図である。 図２２に示したログ管理システムにおいて第２のデータプロバイドサーバで作成される作業ログの一例を示す図である。 図３１乃至図４３に示した各ログをもとに結合された作業ログの一例を示す図である。 図３１乃至図４３に示した各ログをもとに結合された作業ログの一例を示す図である。 図３１乃至図４３に示した各ログをもとに結合された作業ログの一例を示す図である。 図３１乃至図４３に示した各ログをもとに結合された作業ログの一例を示す図である。 この発明の第３の実施形態におけるログ結合ＩＤの暗号化方法を示す図である。

以下、図面を参照してこの発明に係わる実施形態を説明する。
（第１の実施形態）
この発明の第１の実施形態は、同一ユーザを異なるアカウントにより管理する複数のサーバをネットワークを介して接続し、これらのサーバが連携してユーザに対しＷｅｂサービス等を提供するシステムにおいて、各サーバが出力するログに、ユーザの要求に応じて実行した作業内容を表す情報に加え、ログ結合用の識別子（ログ結合ＩＤ）と時刻情報を記録し、各サーバが出力したログをログ分析装置で収集して、これらのログをログ結合用ＩＤと時刻情報をもとにユーザごとに時系列に結合するようにしたものである。

図１は、この発明の第１の実施形態に係わるログ管理システムの構成を示すブロック図である。このシステムは、２台のＷｅｂサービスサーバＷＳＶ１，ＷＳＶ２と、２台のデータプロバイドサーバＰＳＶ１，ＰＳＶ２と、認証サーバＡＳＶと、ディレクトリサービスサーバＤＳＶを、ネットワークＮＷを介して接続可能とし、さらにこれらのサーバに対しネットワークＮＷを介してログ分析装置ＬＳＶを接続可能としている。

通信ネットワークＮＷは、ＩＰ（Internet Protocol）網と、このＩＰ網にアクセスするためのアクセス網とから構成される。アクセス網としては、光公衆通信網、携帯電話網、ＬＡＮ（Local Area Network）、無線ＬＡＮ、ＣＡＴＶ（Cable Television）網等が用いられる。

データプロバイドサーバＰＳＶ１は、ユーザの健康情報を蓄積して管理するもので、通信部１１０と、ユーザ情報管理部１１１と、健康情報管理部１１２と、ログ出力部１１６を備えている。このうち通信部１１０は、ネットワークで規定された通信プロトコルに従い他のサーバとの間でデータ通信を行う。通信プロトコルとしては、例えばＴＣＰ／ＩＰ（Transmission Control Protocol／Internet Protocol）が使用される。

ユーザ情報管理部１１１は、ユーザ情報データベースとその管理制御部を有し、ユーザごとにそのアカウント等のユーザ情報を記憶し管理する。図１１はこのユーザ情報管理部１１１により管理されるユーザ情報の一例を示すものである。健康情報管理部１１２は、健康情報データベースとその検索制御部を有する。そして、ユーザの閲覧要求に応じ、健康情報データベースに蓄積された該当するユーザの健康情報を検索して送信する動作を行う。図１２はこの健康情報管理部１１２により管理されるユーザ情報の一例を示すものである。

もう一つのデータプロバイドサーバＰＳＶ２は、ユーザの健診情報を蓄積して管理するもので、通信部１２０と、ユーザ情報管理部１２１と、健診情報管理部１２２と、ログ出力部１２６を備えている。通信部１２０は、上記通信部１１０と同様に、ネットワークＮＷで規定された通信プロトコルに従い他のサーバとの間でデータ通信を行う。ユーザ情報管理部１２１は、上記ユーザ情報管理部１１１と同様にユーザ情報データベースとその管理制御部を有し、ユーザごとにそのアカウント等のユーザ情報を記憶し管理する。健診情報管理部１２２は健診情報データベースとその検索制御部を有する。そして、ユーザの閲覧要求に応じ、健診情報データベースに蓄積された該当するユーザの健診情報を検索して送信する動作を行う。

ＷｅｂサービスサーバＷＳＶ１は、一般ユーザ向けのＷｅｂサービスを提供するもので、通信部２１０と、ユーザ情報管理部２１１と、Ｗｅｂアプリケーション提供部２１２と、ログ出力部２１６を備えている。通信部２１０は、ネットワークＮＷで規定された通信プロトコルに従い他のサーバとの間でデータ通信を行うと共に、一般ユーザが使用するクライアント端末ＣＴ１との間でデータ伝送を行う。

ユーザ情報管理部２１１は、ユーザ情報データベースとその管理制御部を有し、一般ユーザごとにそのアカウント等のユーザ情報を記憶し管理する。Ｗｅｂアプリケーション提供部２１２は、クライアント端末ＣＴ２からのＷｅｂアクセス要求に応じて、クライアント端末ＣＴ１に対しＷｅｂアプリケーションを提供する。図１３はこのＷｅｂアプリケーション提供部２１２により管理される情報の一例を示すものである。

もう一つのＷｅｂサービスサーバＷＳＶ２は、医療従事者等のプロユーザ向けのＷｅｂサービスを提供するもので、通信部２２０と、ユーザ情報管理部２２１と、Ｗｅｂアプリケーション提供部２２２と、ログ出力部２２６を備えている。通信部２２０は、上記通信部２１０と同様に、ネットワークＮＷで規定された通信プロトコルに従い他のサーバとの間でデータ通信を行うと共に、プロユーザが使用するクライアント端末ＣＴ２との間でデータ伝送を行う。ユーザ情報管理部２２１は、ユーザ情報データベースとその管理制御部を有し、プロユーザごとにそのアカウント等のユーザ情報を記憶し管理する。Ｗｅｂアプリケーション提供部２２２は、クライアント端末ＣＴ２からのＷｅｂアクセス要求に応じてクライアント端末ＣＴ２に対しＷｅｂアプリケーションを提供する。

認証サーバＡＳＶは、ユーザがログインしてからログアウトするまでの期間中において当該ユーザは認証済みであることを関連する各サーバに対し通知する処理を行なう機能や、データにアクセスするユーザ及びデータをアクセスされるユーザ（対象者）の双方について登録されているユーザであるか否かを確認（認証）する機能、サーバごとに持っている異なる仮名を変換する機能等を有するもので、通信部３１０と、ユーザ情報管理部３１１と、ログイン管理部３１２と、仮名生成部３１３と、認証情報生成部３１４と、ログ結合ＩＤ生成部３１５と、ログ出力部３１６とを備えている。

通信部３１０は、上記プロバイドサーバＰＳＶ１，ＰＳＶ２の通信部１１０，１２０と同様に、ネットワークＮＷで規定された通信プロトコルに従い他のサーバとの間でデータ通信を行う。ユーザ情報管理部３１１は、ユーザ情報データベースとその管理制御部を有し、一般ユーザ及びプロユーザの個々についてそのユーザ情報を記憶し管理する。図７はこのユーザ情報管理部３１１により管理されるユーザ情報の一例を示すものである。ログイン管理部３１２は、通信部３１０によりログイン情報が受信された場合に、このログイン情報に含まれるユーザ情報をユーザ情報管理部３１１に記憶されたユーザ情報と照合してユーザの正当性を判定し、正当な場合にログイン元のユーザがログインしたことをログアウトするまで記憶する。図８はログイン管理部３１２により管理されるログイン情報の一例を示すものである。

仮名生成部３１３は、上記ログイン元ユーザが正当と判定された場合に、当該ユーザについてＷｅｂサービスサーバＷＳＶ１，ＷＳＶ２が使用する仮名を生成する。ログ結合ＩＤ生成部３１５は、上記ログイン元ユーザが正当と判定された場合に、当該ユーザについて各サーバがそれぞれ作成するログ間を結合するためのログ結合ＩＤを発行する。認証情報生成部３１４は、上記ログイン元ユーザが正当と判定された場合に、上記生成された仮名及びログ結合ＩＤを埋め込んだ認証情報を生成し、この認証情報を送信元のＷｅｂサービスサーバＷＳＶ１，ＷＳＶ２へ送信する。

ディレクトリサービスサーバは、ディレクトリサービス情報、つまりどのユーザのどの情報がどのサーバに格納されているかを表す情報を管理するもので、通信部３２０と、ユーザ情報管理部３２１と、ディレクトリサービス情報管理部３２２と、ログ出力部３２６とを備えている。

通信部３２０は、上記プロバイドサーバＰＳＶ１，ＰＳＶ２の通信部１１０，１２０と同様に、ネットワークＮＷで規定された通信プロトコルに従い他のサーバとの間でデータ通信を行う。ユーザ情報管理部３２１は、ユーザ情報データベースとその管理制御部を有し、一般ユーザ及びプロユーザの個々についてそのユーザ情報を記憶し管理する。図９はこのユーザ情報管理部３２１により管理されるユーザ情報の一例を示すものである。ディレクトリサービス情報管理部３２２は、データベースとその管理制御部を有し、一般ユーザのディレクトリサービス情報を記憶し管理する。図１０はこのディレクトリサービス情報管理部３２２により管理されるディレクトリサービス情報の一例を示すものである。

ところで、上記データプロバイドサーバＰＳＶ１，ＰＳＶ２、ＷｅｂサービスサーバＷＳＶ１，ＷＳＶ２、認証サーバＡＳＶ及びディレクトリサービスサーバＤＳＶにそれぞれ設けられたログ出力部１１６，１２６，２１６，２２６，３１６，３２６は、以下のような機能を備える。すなわち、ユーザの要求に応じてサーバが動作を実行した場合に、その動作内容を表す情報に加え、当該ユーザに対し認証サーバＡＳＶが発行したログ結合ＩＤと、動作時刻を表す情報を含むログＬＤ１１，ＬＤ１２，ＬＤ２１，ＬＤ２２，ＬＤ３１，ＬＤ３２を作成し、この作成したログＬＤ１１，ＬＤ１２，ＬＤ２１，ＬＤ２２，ＬＤ３１，ＬＤ３２を保存する。

なお、上記データプロバイドサーバＰＳＶ１，ＰＳＶ２、ＷｅｂサービスサーバＷＳＶ１，ＷＳＶ２、認証サーバＡＳＶ及びディレクトリサービスサーバＤＳＶが備える各機能部は、プログラムメモリに格納されたアプリケーション・プログラムを図示しないプロセッサに実行させることにより実現される。

次に、以上のように構成されたシステムの動作を、一般ユーザＡがシステムにログインし、ユーザＡ自身の健康情報および健診情報を並べて閲覧する場合を例にとって説明する。図２乃至図６はその動作手順と動作内容を示すシーケンス図、図１４乃至図２１は作成されたログの一例を示す図である。

先ず、クライアント端末ＣＴ１において一般ユーザＡがログイン操作を行うと、クライアント端末ＣＴ１からＷｅｂサービスサーバＷＳＶ１へログイン情報が送られる。ＷｅｂサービスサーバＷＳＶ１は、クライアント端末から送信されたログイン情報を通信部２１０により受信すると、ログイン情報が正しいか否かを確認するための要求を通信部２１０から認証サーバＡＳＶに対して送信する。

認証サーバＡＳＶは、ＷｅｂサービスサーバＷＳＶ１から送信されたログイン情報の確認要求を通信部３１０により受信すると、ログイン管理部３１２が、この受信した確認要求に含まれるログイン情報をユーザ情報管理部３１１に格納されているユーザ情報と照合する。この照合の結果、ログイン情報が予め記憶されたユーザの正しい情報であることが確認されると、一般ユーザＡがログインしたことを表す情報をログイン管理部３１２内のメモリに記憶する。またそれと共に、ログ結合ＩＤ生成部３１５によりログ結合用ＩＤ６０を発行し、さらに仮名生成部３１３によりＷｅｂサービスサーバＷＳＶ１が使用するユーザＡの仮名６２２Ｂを生成する。そして、上記発行されたログ結合用ＩＤ６０及び上記生成されたユーザＡの仮名６２２Ｂを含んだ認証情報６１を認証情報生成部３１４により生成し、この生成された認証情報を通信部３１０から要求元のＷｅｂサービスサーバＷＳＶ１へ送信する。

また、このとき認証サーバＡＳＶのログ出力部３１６は、上記ログ結合ＩＤ６０と、ログイン情報の確認要求を受信した時刻ｔ001と、通信相手を表す情報（ＷｅｂサービスサーバＷＳＶ１）と、動作内容を表す情報（ログイン情報の確認要求の受信）とを含むログを作成する。またそれと共に、ログ結合ＩＤ６０と、認証情報６１の返送時刻ｔ002と、通信相手がＷｅｂサービスサーバＷＳＶ１であることと、動作内容が認証結果及び認証情報の返送であることとその正否の結果を表す情報を含むログを作成する。そして、この作成された各ログをログ出力部３１６内のメモリに図１５に示すように保存する。

ＷｅｂサービスサーバＷＳＶ１は、認証サーバＡＳＶから返送された認証情報を通信部２１０により受信すると、先ずログ出力部２１６において、上記受信した認証情報６１に含まれるログ結合ＩＤ６０と、当該認証情報の受信時刻ｔ003と、通信相手が認証サーバＡＳＶであること、動作内容がログイン結果の受信であることを含むログを作成し、ログ出力部２１６内のメモリに図１４に示すように保存する。

次に、ＷｅｂサービスサーバＷＳＶ１において一般ユーザＡが、自分自身の健康情報および健診情報を閲覧するための操作を行ったとする。そうすると、ＷｅｂサービスサーバＷＳＶ１は、先ずログ出力部２１６により、上記受信された認証情報６１に含まれるログ結合ＩＤ６０と、上記閲覧操作が行われた時刻ｔ004と、通信相手がクライアント端末ＣＴ１であること、動作内容が健康情報及び健診情報の閲覧要求の受信であることを含むログを作成し、ログ出力部２１６内のメモリに図１４に示すように保存する。そして、Ｗｅｂアプリケーション提供部２１２により、認証情報６１に含まれる一般ユーザＡの仮名をディレクトリサービスサーバＤＳＶ用の仮名に変換するためのリクエストを生成し、通信部２１０から認証サーバＡＳＶへ送信する。またこのとき、ログ出力部２１６により、ログ結合ＩＤ６０と、認証情報変換リクエストの送信時刻ｔ005と、通信相手が認証サーバＡＳＶであること、動作内容が認証情報変換リクエストの送信であることを含むログ２１９を作成し、ログ出力部２１６内のメモリに図１４に示すように保存する。

認証サーバＡＳＶは、ＷｅｂサービスサーバＷＳＶ１から送信された認証情報変換リクエストを通信部３１０により受信すると、この受信されたリクエストに含まれる認証情報６１の有効性の確認を、ユーザ情報管理部３１１により管理されているユーザ情報と、ログイン管理部３１２により管理されているログイン情報を用いて行う。具体的には、認証情報６１に含まれている仮名が、ＷｅｂサービスサーバＷＳＶ１で使用される一般ユーザＡの仮名であるか否かを判定する。またそれと共にユーザＡが現在ログイン状態にあるか否かを確認する。続いて仮名生成部３１３により、ディレクトリサービスサーバＤＳＶが使用する当該ユーザＡの仮名６３２Ｂを生成する。さらに、認証情報生成部３１４により、ディレクトリサービスサーバＤＳＶが使用するユーザＡの仮名と、ログ結合ＩＤ６０を含んだ新たな認証情報６２を生成する。そして、この生成された新たな認証情報６２を、通信部３１０からＷｅｂサービスサーバＷＳＶ１へ返信する。

また、このとき認証サーバＡＳＶのログ出力部３１６は、ログ結合ＩＤ６０と、認証情報変換リクエストの受信時刻ｔ006と、通信相手がＷｅｂサービスサーバＷＳＶ１であること、動作内容が認証情報変換リクエストの受信であることを含むログを作成する。またそれと共に、ログ結合ＩＤ６０と、認証情報変換リクエストの返信時刻ｔ007と、通信先がＷｅｂサービスサーバＷＳＶ１であることと、動作内容が認証情報変換結果の送信であることとその正否の結果を表す情報を含むログを作成し、ログ出力部３１６内のメモリに図１５に示すように保存する。

ＷｅｂサービスサーバＷＳＶ１は、ディレクトリサービスサーバＤＳＶにおけるユーザＡの認証情報６２を通信部２１０により受信すると、ログ出力部２１６においてログ結合ＩＤ６０と、認証情報６２の受信時刻ｔ008と、通信相手が認証サーバＡＳＶであることと、動作内容が認証情報（認証情報変換結果）の受信であることを含むログを作成し、ログ出力部２１６内のメモリに図１４に示すように保存する。

また、ＷｅｂサービスサーバＷＳＶ１は、通信部２１０により受信された、ディレクトリサービスサーバＤＳＶにおけるユーザＡの認証情報６２を用いて、通信部２１０からディレクトリサービスサーバＤＳＶに対し、ユーザＡの健康情報の格納先の問い合わせを送信する。また、このときログ出力部２１６により、ログ結合ＩＤ６０と、問い合わせを行った時刻ｔ009と、通信相手がディレクトリサービスサーバＤＳＶであること、動作内容が健康情報の格納先の問い合わせであることを含むログを作成し、ログ出力部２１６内のメモリに図１４に示すように保存する。

これに対しディレクトリサービスサーバＤＳＶは、ＷｅｂサービスサーバＷＳＶ１から送信された問い合わせを通信部３２０により受信すると、この受信した問い合わせに含まれる認証情報６２が有効な情報であるかを確認するための要求を、通信部３２０から認証サーバＡＳＶに対し送信する。また、このときログ出力部３２６により、ログ結合ＩＤ６０と、問い合わせを受信した時刻ｔ010と、通信相手がＷｅｂサービスサーバＷＳＶ１であることと、動作内容が健康情報の格納先の問い合わせの受信であることを含むログを作成する。またそれと共に、ログ結合ＩＤ６０と、認証情報確認要求の送信時刻ｔ011と、通信相手が認証サーバＡＳＶであることと、動作内容が認証情報の確認要求の送信であることを含むログを作成し、これらのログをログ出力部３２６内のメモリに図１６に示すように保存する。

認証サーバＡＳＶは、ディレクトリサービスサーバＤＳＶから送信された認証情報確認要求を通信部３１０により受信すると、この受信した確認要求に含まれる認証情報６２の有効性の確認を、ユーザ情報管理部３１１で管理されているユーザ情報と、ログイン管理部３１２で管理されているログイン情報とを用いて行う。具体的には、認証情報６２に含まれている仮名が、ディレクトリサービスサーバＤＳＶが使用する該当するユーザの仮名であるのか、そのユーザが現在ログイン状態にあるか否かを確認する。そして、その結果を通信部３１０からディレクトリサービスサーバＤＳＶへ送信する。

また、このとき認証サーバＡＳＶは、ログ出力部３１６によりログ結合ＩＤ６０と、認証情報確認要求の受信時刻ｔ012と、通信相手がディレクトリサービスサーバＤＳＶであることと、動作内容が認証情報確認要求の受信であることを含むログを作成する。またそれと共に、ログ結合ＩＤ６０と、認証情報の有効性確認結果の送信時刻ｔ013と、通信相手がディレクトリサービスサーバＤＳＶであることと、動作内容が認証情報の有効性確認結果の送信であることを含むログを作成し、これらのログをログ出力部３１６内のメモリに図１５に示すように保存する。

ディレクトリサーバＤＳＶは、認証サーバＡＳＶから返送された認証情報の有効性確認結果を通信部３２０により受信すると、この確認結果をもとに有効性が確認されたか否かを判定する。この判定の結果、有効であることが確認されると、認証情報６２に含まれる仮名のユーザの健康情報がどのサーバに格納されているかを表す所在情報、つまりデータプロバイドサーバＰＳＶ１のアドレス情報を、ユーザ情報管理部３２１及びディレクトリサービス情報管理部３２２に格納されている情報をもとに確認し、その確認結果を表すディレクトリ情報を通信部３２０からＷｅｂサービスサーバＷＳＶ１に返信する。

また、このときディレクトリサーバＤＳＶは、ログ出力部３２６により、ログ結合ＩＤ６０と、認証確認結果の受信時刻ｔ014と、通信相手が認証サーバＡＳＶであることと、動作内容が認証確認結果の受信であることを含むログを作成する。また、それと共にログ結合ＩＤ６０と、ディレクトリ情報の送信時刻ｔ015と、通信相手がＷｅｂサービスサーバＷＳＶ１であること、動作内容がディレクトリ情報の返信であることを含むログを作成し、これらのログをログ出力部３２６内のメモリに図１６に示すように保存する。

ＷｅｂサービスサーバＷＳＶ１は、ディレクトリサービスサーバＤＳＶから返送されたディレクトリ情報を通信部２１０により受信すると、ログ出力部２１６によりログ結合ＩＤ６０と、ディレクトリ情報の受信時刻ｔ016と、通信相手がディレクトリサービスサーバＤＳＶであること、動作内容が健康情報の保存先を示すディレクトリ情報の受信であることを含むログを作成し、ログ出力部２１６内のメモリに図１４に示すように保存する。

次にＷｅｂサービスサーバＷＳＶ１は、上記受信されたユーザＡの健康情報の格納先ディレクトリ情報（データプロバイドサーバＰＳＶ１のアドレス情報）をもとに、ユーザＡがデータプロバイドサーバＰＳＶ１にアクセスするために必要な認証情報を取得するための変換リクエストを、通信部２１０から認証サーバＡＳＶに対し送信する。またこのときログ出力部２１６により、ログ結合ＩＤ６０と、認証情報変換リクエストの送信時刻ｔ017と、通信相手が認証サーバＡＳＶであることと、動作内容が認証情報変換リクエストの送信であることを含むログを作成し、ログ出力部２１６内のメモリに図１４に示すように保存する。

認証サーバＡＳＶは、ＷｅｂサービスサーバＷＳＶ１から送信された認証情報変換リクエストを通信部３１０により受信すると、この受信されたリクエストに含まれる認証情報６１の有効性の確認を、ユーザ情報管理部３１１で管理されているユーザ情報と、ログイン管理部３１２で管理されているログイン情報とをもとに行う。具体的には、認証情報６１に含まれている仮名が、登録されているユーザの該当サーバにおける仮名であるかを判定する。また、そのユーザが現在ログイン状態にあるか否かを確認する。そして、認証情報６１の有効性が確認されると、仮名生成部３１３により当該ユーザのデータプロバイドサーバＰＳＶ１に対する仮名５１１を生成する。そして、認証情報生成部３１４において、上記生成されたデータプロバイドサーバＰＳＶ１に対する仮名とログ結合ＩＤ６０を含んだ新たな認証情報５３を生成し、この生成された新たな認証情報５３を通信部３１０からＷｅｂサービスサーバＷＳＶ１へ返信する。

また、このとき認証サーバＡＳＶは、ログ出力部３１６により、ログ結合ＩＤ６０と、認証情報変換リクエストの受信時刻ｔ018と、通信相手がＷｅｂサービスサーバＷＳＶ１であることと、動作内容が認証情報変換リクエストの受信であることを含むログを作成する。またそれと共に、ログ結合ＩＤ６０と、新たな認証情報５３の返信時刻ｔ019と、通信相手がＷｅｂサービスサーバＷＳＶ１であること、動作内容が新たな認証情報５３の返信であることと変換の正否を表す情報を含むログを作成し、これらのログを図１５に示すようにメモリに保存する。

ＷｅｂサービスサーバＷＳＶ１は、認証サーバＡＳＶから返信された新たな認証情報５３を通信部２１０で受信すると、この受信された認証情報５３を用いて、データプロバイドサーバＰＳＶ１に対し通信部２１０からユーザＡの健康情報の取得要求を送信する。また、このときログ出力部２１６は、ログ結合ＩＤ６０と、認証情報５３の受信時刻ｔ020と、通信相手が認証サーバＡＳＶであることと、動作内容が認証情報（認証情報変換結果）５３の受信であることを含むログを作成する。またそれと共に、ログ結合ＩＤ６０と、健康情報の取得要求の送信時刻ｔ021と、通信相手がデータプロバイドサーバＰＳＶ１であることと、動作内容が健康情報の取得要求の送信であることを含むログを作成し、これらのログを図１４に示すようにメモリに保存する。

データプロバイドサーバＰＳＶ１は、ＷｅｂサービスサーバＷＳＶ１から送信された健康情報取得要求を通信部１１０により受信すると、この受信した取得要求に含まれる認証情報５３が有効な情報であるかを確認するためのリクエストを、通信部１１０から認証サーバＡＳＶへ送信する。また、このときログ出力部１１６により、認証情報５３に含まれるログ結合ＩＤ６０と、取得要求の受信時刻ｔ022と、通信相手がＷｅｂサービスサーバＷＳＶ１であることと、動作内容が健康情報取得要求の受信であることを含むログを作成する。またそれと共に、ログ結合ＩＤ６０と、認証確認リクエストの送信時刻ｔ023と、通信相手が認証サーバＡＳＶであることと、動作内容が認証情報の正否確認リクエストの送信であることを含むログを作成し、これらのログをログ出力部１１６内のメモリに図１７に示すように保存する。

認証サーバＡＳＶは、データプロバイドサーバ１１から送信された認証情報確認リクエストを通信部３１０により受信すると、この受信したリクエストに含まれる認証情報５３の有効性の確認を、ユーザ情報管理部３１１で管理されているユーザ情報と、ログイン管理部３１２で管理されているログイン情報をもとに行う。具体的には、認証情報５３に含まれている仮名が、登録されているユーザの該当サーバにおける仮名であるか否かを判定する。また、そのユーザが現在ログイン状態にあるか否かを判定する。そして、その判定結果を通信部３１０からデータプロバイドサーバＰＳＶ１に送信する。また、このときログ出力部３１６により、認証情報５３に含まれるログ結合ＩＤ６０と、認証確認リクエストの受信時刻ｔ024と、通信相手がデータプロバイドサーバＰＳＶ４１であること、動作内容が認証情報確認リクエストの受信であることを含むログを作成する。またそれと共に、ログ結合ＩＤ６０と、認証情報の有効性確認結果の送信時刻ｔ025と、通信相手がデータプロバイドサーバＰＳＶ１であること、動作内容が認証情報の有効性確認結果の送信であることを含むログを作成し、これらのログを図１５に示すようにメモリに保存する。

データプロバイドサーバＰＳＶ１は、認証サーバＡＳＶから返送された認証情報５３の有効性確認結果を通信部１１０により受信すると、この確認結果から認証情報５３が有効であるか否かを判定する。この判定の結果、認証情報５３が有効であることが確認されると、健康情報管理部１１２に格納されている多くの情報の中から当該ユーザＡの健康情報を抽出し、この健康情報を通信部１１０からＷｅｂサービスサーバＷＳＶ１へ送信する。また、このときログ出力部１１６により、認証情報５３に含まれるログ結合ＩＤ６０と、認証情報確認結果の受信時刻ｔ026と、認証情報の確認結果を含むログを作成する。またそれと共に、ログ結合ＩＤ６０と、健康情報の送信時刻ｔ027と、通信相手がＷｅｂサービスサーバＷＳＶ１であること、動作内容が健康情報の送信であることを含むログを作成し、これらのログをログ出力部１１６内のメモリに図１７に示すように保存する。

ＷｅｂサービスサーバＷＳＶ１は、データプロバイドサーバ１１から送信されたユーザＡの健康情報を通信部２１０により受信すると、この受信された健康情報をＷｅｂサービスサーバＷＳＶ１内のメモリに保存する。そして、ログ出力部２１６によりログ結合ＩＤ６０と、健康情報の受信時刻ｔ028と、通信相手がデータプロバイドサーバ１１であること、動作内容が健康情報の受信であることを含むログを作成し、ログ出力部２１６内のメモリに図１４に示すように保存する。かくして、ユーザＡの健康情報の取得動作が終了する。

なお、ユーザＡの健診情報の取得動作についても、以上述べた健康情報の取得動作と同様に行われる。また、この健診情報の取得動作手順中において各サーバでは、時刻ｔ029〜時刻ｔ048においてそれぞれログが作成されてログ出力部内のメモリに保存される。

ＷｅｂサービスサーバＷＳＶ１は、データプロバイドサーバＰＳＶ１から取得したユーザＡの健康情報と、データプロバイドサーバＰＳＶ２から取得したユーザＡの健診情報が揃うと、閲覧要求元のクライアント端末ＣＴ１に表示させる画面データをＷｅｂアプリケーション提供部２１２で作成し、この表示画面データをクライアント端末ＣＴ１へ送信する。かくしてユーザＡは、クライアント端末ＣＴ１において自身の健康情報及び健診情報を並べた状態で閲覧することができる。またＷｅｂサービスサーバＷＳＶ１は、ログ出力部２１６によりログ結合ＩＤ６０と、画面提供時刻ｔ049と、通信相手がクライアント端末であることと、動作内容が健康情報及び健診情報の表示画面データの送信であることを含むログを作成し、ログ出力部２１６内のメモリに保存する。

クライアント端末ＣＴ１において、ユーザＡが必要な処理を行った後にログアウト操作を行ったとする。そうすると、クライアント端末ＣＴ１からＷｅｂサービスサーバＷＳＶ１へログアウトコマンドが送信される。ＷｅｂサービスサーバＷＳＶ１は、このログアウトコマンドを通信部２１０により受信すると、このログアウトコマンドを認証サーバＡＳＶへ転送する。このときログ出力部２１６は、ログ結合ＩＤ６０と、ログアウト受信時刻ｔ050と、通信相手がクライアント端末ＣＴ１であることと、動作内容がログアウトコマンドの受信であることを含むログを作成する。またそれと共に、ログ結合ＩＤ６０と、ログアウト送信時刻ｔ051と、通信相手が認証サーバＡＳＶであることと、動作内容がログアウトコマンドの転送であることを含むログを作成し、これらのログをログ出力部２１６内のメモリに図１４に示すように保存する。

認証サーバＡＳＶは、ＷｅｂサービスサーバＷＳＶ１から送信されたログアウトコマンドを通信部３１０により受信すると、ユーザ情報管理部３１１でユーザＡの照合を行い、ログイン管理部３１２で該当ユーザがログアウトしたことを記憶する。そして、以後ログ結合ＩＤ６０の使用を停止する。また、ログ出力部３１６によりログ結合ＩＤ６０と、ログアウト受信時刻ｔ052と、通信相手がＷｅｂサービスサーバＷＳＶ１であることと、動作内容がログアウトコマンドの受信であることを含むログを作成する。またそれと共に、ログ結合ＩＤ６０と、ログアウト処理時刻ｔ053と、通信相手“なし”と、動作内容がログアウト処理の完了を含むログを作成し、これらのログをログ出力部３１６内のメモリに図１５に示すように保存する。

さて、この状態でログ分析装置３５において、例えばネットワーク管理者がログの分析指示を入力するか、或いは予め設定したログ分析タイミングになったとする。この場合ログ分析装置３５は、先ずログ収集部３５１により、図６に示すようにＷｅｂサービスサーバＷＳＶ１，ＷＳＶ２、認証サーバＡＳＶ、ディレクトリサービスサーバＤＳＶ、データプロバイドサーバＰＳＶ１，ＰＳＶ２に対し順次ログ収集要求を送信し、これらのサーバからそれぞれログ出力部内のメモリに保存されているログを収集する。

次にログ分析部３５２により、上記収集された各ログを、当該ログに含まれるログ結合ＩＤをキーにしてログ結合ＩＤごとに集計し、この集計したログ結合ＩＤごとのログを当該ログに含まれる時刻情報をもとに時刻順に並べ直す。またそれと共に、並べ直された各ログにそれぞれ当該ログがどのサーバで作成されたかを表す情報（収集場所を表す情報）を付加する。そして、このようにログ結合ＩＤごとに時刻順に結合されたログ群をログ分析結果出力部３５３から出力する。図１９乃至図２１は上記時刻順に結合されたログ群の一例を示すものである。

なお、必要（要求）に応じて、ログ分析部３５２により該当するログ結合ＩＤを使用していたユーザ情報を認証サーバＡＳＶに対し問い合わせ、この問い合わせにより取得したユーザ情報を上記結合された各ログに含めるか又はログ群に付加した状態で出力するようにしてもよい。

以上詳述したように第１の実施形態では、クライアント端末ＣＴ１における一般ユーザＡのログインに応じて、認証サーバＡＳＶがログインからログアウトまでの期間のみ有効となるログ結合ＩＤを発行してこれを認証情報に含めて各サーバに通知し、各サーバは上記一般ユーザＡによる健康情報及び健診情報の閲覧動作において自サーバが実行した動作内容を表すログに、上記ログ結合ＩＤと動作時刻情報を含めるようにしている。

したがって、ユーザＡについて各サーバが各々異なるユーザ識別子を用いて独自に管理している場合でも、ログ分析装置ＬＳＶにおいて、各サーバが作成したログを当該ログに含まれるログ結合ＩＤをキーにしてユーザごとに容易に結合し管理することが可能となる。また、仮にログが漏えいした場合でも、そのログ結合ＩＤから直接的にユーザを特定することは困難となり、また万が一特定できたとしてもログ結合ＩＤの有効期間はログインからログアウトまでの期間に限定され、ログインごとに新しいログ結合ＩＤが付与されるので、ログとユーザとの結びつきが半永久的に明らかになることを防止することができる。すなわち、健康情報や健診情報等の重要な個人情報が、そのユーザ名と関連付けられた状態で流出してしまうことを防止することができる。

また、第１の実施形態では、ログ結合ＩＤをサーバ間で伝送する際にログ結合ＩＤを認証情報の一部として埋め込んで伝送するようにしているため、ログ結合ＩＤの信頼性をユーザ認証の信頼性と同等に高く保持することができる。

なお、ログ結合ＩＤを認証情報に埋め込む際には、図４８に示すようにサーバごとに異なる暗号化鍵を用いてログ結合ＩＤを暗号化し、この暗号化されたログ結合ＩＤをログに含めるようにするとよい。このようにすると、ログが漏えいしたとしてもログ結合ＩＤを特定することは著しく困難となり、ログの秘匿性をさらに高めることが可能となる。
なお、この場合ログ分析装置ＬＳＶのみが各サーバが使用する暗号化鍵と対をなす復号鍵を保持し、この復号鍵を用いて各ログのログ結合ＩＤを特定できるようにする。このようにすることで、ログ分析装置ＬＳＶではユーザ結合ＩＤごとのログの結合処理を何ら支障なく確実に行うことが可能となる。

また、第１の実施形態では、データプロバイドサーバＰＳＶ１，ＰＳＶ２やディレクトリサービスサーバＤＳＶは、ＷｅｂサービスサーバＷＳＶ１からの認証情報を受け取ると、認証サーバＡＳＶにその認証情報が正規のものであるかの確認をするようにしている。しかしながら、認証サーバＡＳＶが発行する認証情報に、認証サーバＡＳＶが発行した認証情報であることを示す証明書を持たせる（埋め込む）ようにしてもよい。このようにすると、データプロバイドサーバＰＳＶ１，ＰＳＶ２やディレクトリサービスサーバＤＳＶが認証情報を受け取った後に、認証サーバＡＳＶへの確認手順、つまり受け取った認証情報が正規のものであるか否かの確認手順を省略することができる。

（第２の実施形態）
この発明の第２の実施形態は、複数のサーバがネットワークを介して連携してユーザに対しＷｅｂサービス等を提供するシステムにおいて、各サーバがそれぞれ自己の動作記録を表すログを作成する際に、上記ログ結合ＩＤ及び動作時刻情報を含む通信ログと、動作時刻情報を含む作業ログをそれぞれ作成し出力するようにしたものである。

図２２は、この発明の第２の実施形態に係わるログ管理システムの構成を示すブロック図である。なお、同図において前記図１と同一部分には同一符号を付して詳しい説明は省略する。

データプロバイドサーバＰＳＶ１，ＰＳＶ２、ＷｅｂサービスサーバＷＳＶ１，ＷＳＶ２、認証サーバＡＳＶ及びディレクトリサービスサーバＤＳＶにそれぞれ設けられたログ出力部１１６′，１２６′，２１６′，２２６′，３１６′，３２６′は、以下のような機能を備える。

すなわち、ユーザの要求に応じてサーバが動作を実行した場合に、通信ログＣＬ１１，ＣＬ１２，ＣＬ２１，ＣＬ２２，ＣＬ３１，ＣＬ３２と、作業ログＯＬ１１，ＯＬ１２，ＯＬ２１，ＯＬ２２，ＯＬ３１，ＯＬ３２を作成する。通信ログＣＬ１１，ＣＬ１２，ＣＬ２１，ＣＬ２２，ＣＬ３１，ＣＬ３２には、当該ユーザに対し認証サーバＡＳＶが発行したログ結合ＩＤと、動作時刻を表す情報と、通信相手を表す情報が埋め込まれる。一方、作業ログＯＬ１１，ＯＬ１２，ＯＬ２１，ＯＬ２２，ＯＬ３１，ＯＬ３２には、動作時刻を表す情報と、通信相手を表す情報と、動作内容を表す情報と、要求主を表す情報が埋め込まれる。これらの作成された通信ログＣＬ１１，ＣＬ１２，ＣＬ２１，ＣＬ２２，ＣＬ３１，ＣＬ３２及び作業ログＯＬ１１，ＯＬ１２，ＯＬ２１，ＯＬ２２，ＯＬ３１，ＯＬ３２は、それぞれログ出力部１１６′，１２６′，２１６′，２２６′，３１６′，３２６′内のメモリに保存される。

なお、上記ログ出力部１１６′，１２６′，２１６′，２２６′，３１６′，３２６′は、各サーバのその他の機能部と共に、プログラムメモリに格納されたアプリケーション・プログラムをプロセッサに実行させることにより実現される。

次に、以上のように構成されたシステムの動作を、医療従事者等のプロユーザＢがシステムにログインし、健康管理を担当している患者等の一般ユーザＡの健康情報及び健診情報を閲覧する場合を例にとって説明する。図２３乃至図３０はその動作手順と動作内容を示すシーケンス図、図３１乃至図４７は作成されたログの一例を示す図である。

先ず、クライアント端末ＣＴ２においてプロユーザＢがログイン操作を行うと、クライアント端末ＣＴ２からＷｅｂサービスサーバＷＳＶ２へログイン情報が送られる。ＷｅｂサービスサーバＷＳＶ２は、クライアント端末から送信されたログイン情報を通信部２２０により受信すると、ログイン情報が正しいか否かを確認するための要求を通信部２２０から認証サーバＡＳＶに対して送信する。

認証サーバＡＳＶは、ＷｅｂサービスサーバＷＳＶ２から送信されたログイン情報の確認要求を通信部３１０により受信すると、ログイン管理部３１２が、この受信した確認要求に含まれるログイン情報をユーザ情報管理部３１１に格納されているユーザ情報と照合する。この照合の結果、ログイン情報が予め記憶されたユーザの正しい情報であることが確認されると、プロユーザＢがログインしたことを表す情報をログイン管理部３１２内のメモリに記憶する。またそれと共に、ログ結合ＩＤ生成部３１５によりログ結合用ＩＤ６０を発行し、さらに仮名生成部３１３によりＷｅｂサービスサーバＷＳＶ２が使用するユーザＢの仮名６２２Ｂを生成する。そして、上記発行されたログ結合用ＩＤ６０及び上記生成されたユーザＢの仮名６２２Ｂを含んだ認証情報６１を認証情報生成部３１４により生成し、この生成された認証情報を通信部３１０から要求元のＷｅｂサービスサーバＷＳＶ２へ送信する。

また、このとき認証サーバＡＳＶのログ出力部３１６′は、上記ログ結合ＩＤ６０と、ログイン情報の確認要求を受信した時刻ｔ101と、通信相手を表す情報（ＷｅｂサービスサーバＷＳＶ２）とを含む通信ログを作成すると共に、上記受信時刻ｔ101と、通信相手を表す情報（ＷｅｂサービスサーバＷＳＶ２）と、動作内容を表す情報（ログイン情報の確認要求の受信）と、要求主を表す情報（ユーザＢのローカルＩＤ）を含む作業ログを作成する。また、ログ結合ＩＤ６０と、認証情報６１の返送時刻ｔ102と、通信相手がＷｅｂサービスサーバＷＳＶ２であることを含む通信ログを作成すると共に、上記認証情報６１の返送時刻ｔ102と、通信相手がＷｅｂサービスサーバＷＳＶ２であることと、動作内容としての認証情報の返送とその正否の結果を表す情報と、要求主を表す情報（ユーザＢのローカルＩＤ）を含む作業ログを作成する。そして、この作成された各通信ログをログ出力部３１６′内のメモリに図３４に示すように保存し、かつ各作業ログをログ出力部３１６′内のメモリに図３６に示すように保存する。

ＷｅｂサービスサーバＷＳＶ２は、認証サーバＡＳＶから返送された認証情報を通信部２２０により受信すると、先ずログ出力部２２６′において、上記受信した認証情報６１に含まれるログ結合ＩＤ６０と、当該認証情報の受信時刻ｔ103と、通信相手が認証サーバＡＳＶであることを含む通信ログを作成すると共に、上記受信時刻ｔ103と、通信相手が認証サーバＡＳＶであることと、動作内容がログイン結果の受信であることと、要求主がユーザＢであることを含む作業ログを作成する。そして、この作成された通信ログ及び作業ログをそれぞれログ出力部２２６′内のメモリに図３１及び図３２に示すように保存する。

次に、ＷｅｂサービスサーバＷＳＶ２においてプロユーザＢが、ＷｅｂサービスサーバＷＳＶ２のユーザ情報管理部２２１に登録されているユーザのリストから、閲覧対象者としてユーザＡを選択し、ユーザＡの健康情報および健診情報の閲覧を要求するコマンドを選択する操作を行ったとする。そうすると、ＷｅｂサービスサーバＷＳＶ２は、先ずログ出力部２２６′により、上記受信された認証情報６１に含まれるログ結合ＩＤ６０と、上記閲覧操作が行われた時刻ｔ104と、通信相手がクライアント端末ＣＴ２であることを含む通信ログを作成すると共に、上記閲覧操作時刻ｔ104と、通信相手がクライアント端末ＣＴ２であることと、動作内容が健康情報及び健診情報の閲覧要求の受信であることと、要求主がユーザＢであることを含む作業ログを作成する。そして、この作成された通信ログ及び作業ログをそれぞれ、ログ出力部２２６′内のメモリに図３１及び図３２に示すように保存する。

続いてＷｅｂサービスサーバＷＳＶ２は、Ｗｅｂアプリケーション提供部２２２により、認証情報６１に含まれるプロユーザＢの仮名をディレクトリサービスサーバＤＳＶ用の仮名に変換するためのリクエストを生成し、通信部２２０から認証サーバＡＳＶへ送信する。またこのとき、ログ出力部２２６′により、ログ結合ＩＤ６０と、認証情報変換リクエストの送信時刻ｔ105と、通信相手が認証サーバＡＳＶであることを含む通信ログを作成すると共に、上記認証情報変換リクエストの送信時刻ｔ105と、通信相手が認証サーバＡＳＶであることと、動作内容が認証情報変換リクエストの送信であることと、要求主がユーザＢであることを含む作業ログ２１９を作成する。そして、この作成された通信ログ及び作業ログをそれぞれ、ログ出力部２２６′内のメモリに図３１及び図３２に示すように保存する。

認証サーバＡＳＶは、ＷｅｂサービスサーバＷＳＶ２から送信された認証情報変換リクエストを通信部３１０により受信すると、この受信されたリクエストに含まれる認証情報６１の有効性の確認を、ユーザ情報管理部３１１により管理されているユーザ情報と、ログイン管理部３１２により管理されているログイン情報を用いて行う。具体的には、認証情報６１に含まれている仮名が、ＷｅｂサービスサーバＷＳＶ２で使用されるプロユーザＢの仮名であるか否かを判定する。またそれと共にユーザＢが現在ログイン状態にあるか否かを確認する。続いて仮名生成部３１３により、ディレクトリサービスサーバＤＳＶが使用する当該ユーザＢの仮名６３２Ｂを生成する。さらに、認証情報生成部３１４により、ディレクトリサービスサーバＤＳＶが使用するユーザＢの仮名と、ログ結合ＩＤ６０を含んだ新たな認証情報６２を生成する。そして、この生成された新たな認証情報６２を、通信部３１０からＷｅｂサービスサーバＷＳＶ２へ返信する。

また、このとき認証サーバＡＳＶのログ出力部３１６は、ログ結合ＩＤ６０と、認証情報変換リクエストの受信時刻ｔ106と、通信相手がＷｅｂサービスサーバＷＳＶ２であることを含む通信ログを作成すると共に、上記認証情報変換リクエストの受信時刻ｔ106と、通信相手がＷｅｂサービスサーバＷＳＶ２であることと、動作内容が認証情報変換リクエストの受信であることと、要求主がユーザＢであることを含む作業ログを作成する。また、ログ結合ＩＤ６０と、認証情報変換リクエストの返信時刻ｔ107と、通信先がＷｅｂサービスサーバＷＳＶ２であることを含む通信ログを作成すると共に、上記認証情報変換リクエストの返信時刻ｔ107と、通信先がＷｅｂサービスサーバＷＳＶ２であることと、動作内容が認証情報変換結果の送信であることと、その正否の結果を表す情報と、要求主がユーザＢであることを含む作業ログを作成する。そして、この作成された各通信ログ及び各作業ログをそれぞれ、ログ出力部３１６内のメモリに図３４及び図３６に示すように保存する。

ＷｅｂサービスサーバＷＳＶ２は、ディレクトリサービスサーバＤＳＶにおけるユーザＢの認証情報６２を通信部２２０により受信すると、ログ出力部２２６′においてログ結合ＩＤ６０と、認証情報６２の受信時刻ｔ108と、通信相手が認証サーバＡＳＶであることとを含む通信ログを作成すると共に、上記認証情報６２の受信時刻ｔ108と、通信相手が認証サーバＡＳＶであることと、動作内容が認証情報（認証情報変換結果）の受信であることと、要求主がユーザＢであることを含む作業ログを作成する。そしてこの作成された通信ログ及び作業ログをそれぞれ、ログ出力部２２６′内のメモリに図３１及び図３２に示すように保存する。

次にＷｅｂサービスサーバＷＳＶ２は、ユーザＡのＷｅｂサービスサーバＡＳＶ１用の認証情報の作成要求を、ユーザＢの認証情報６１、ＷｅｂサービスサーバＡＳＶ２におけるユーザＡの仮名６２２Ａとともに通信部２２０から認証サーバＡＳＶに対し送信する。このときログ出力部２２６′は、ログ結合ＩＤ６０と、ユーザＡの認証情報作成要求の送信時刻ｔ109と、通信相手が認証サーバＡＳＶであることを含む通信ログを作成すると共に、上記認証情報作成要求の送信時刻ｔ109と、通信相手が認証サーバＡＳＶであることと、動作内容がユーザＡの認証情報作成要求の送信であることと、要求主がユーザＢであることを含む作業ログを作成する。そして、この作成された通信ログ及び作業ログをそれぞれ、ログ出力部２２６′内のメモリに図３１及び図３２に示すように保存する。なお、ユーザＡの仮名６２２Ａを知る方法としては、例えばユーザＢがアクセスする可能性のあるユーザのリストをＷｅｂサービスサーバＡＳＶ２内に保持しておく方法がある。

認証サーバＡＳＶは、ＷｅｂサービスサーバＷＳＶ２から送信された認証情報作成要求を通信部３１０により受信すると、この受信された要求に含まれるユーザＢの認証情報６１の有効性の確認を、ユーザ情報管理部３１１で管理されているユーザ情報を用いて行う。具体的には、認証情報６１に含まれているユーザＡの仮名６２２Ａが、ＷｅｂサービスサーバＷＳＶ２における仮名であるかどうかを確認する。そして、ＷｅｂサービスサーバＷＳＶ２における仮名であることが確認されると、認証情報生成部３１４によりユーザＡのＷｅｂサービスサーバＷＳＶ２における認証情報６３を作成し、この作成された認証情報を通信部３１０からＷｅｂサービスサーバＷＳＶ２へ返信する。

また認証サーバＡＳＶは、ログ出力部３１６′において、ログ結合ＩＤ６０と、認証情報作成要求の受信時刻ｔ110と、通信相手がＷｅｂサービスサーバＷＳＶ２であることを含む通信ログを作成すると共に、上記認証情報作成要求の受信時刻ｔ110と、通信相手がＷｅｂサービスサーバＷＳＶ２であることと、動作内容が認証情報作成要求の受信であることと、要求主がユーザＢであることを含む作業ログを作成する。また、ログ結合ＩＤ６０と、上記認証情報作成要求に対し認証情報６３を返信した時刻ｔ111と、通信相手がＷｅｂサービスサーバＷＳＶ２であることを含む通信ログを作成すると共に、上記認証情報６３の返信時刻ｔ111と、通信相手がＷｅｂサービスサーバＷＳＶ２であることと、動作内容が認証情報６３の返信であることと、要求主がユーザＢであることを含む作業ログを作成する。そして、作成された各通信ログ及び各作業ログをそれぞれログ出力部３１６′内のメモリに図３４及び図３６に示すように保存する。

続いてＷｅｂサービスサーバＷＳＶ２は、上記認証サーバＡＳＶから送信された、ＷｅｂサービスサーバＷＳＶ２におけるユーザＡの認証情報６３を通信部２２０により受信すると、ユーザＡのディレクトリサービスサーバＤＳＶ用の認証情報の作成要求を、ユーザＢの認証情報６１、ユーザＡの認証情報６３とともに、通信部２２０から認証サーバＡＳＶへ送信する。

また、このときＷｅｂサービスサーバＷＳＶ２は、ログ出力部２２６′において、ログ結合ＩＤ６０と、認証情報６３を受信した時刻ｔ112と、通信相手が認証サーバＡＳＶであることを含む通信ログを作成すると共に、上記受信した時刻ｔ112と、通信相手が認証サーバＡＳＶであることと、動作内容が認証情報６３の受信であることと、要求主がユーザＢであることを含む作業ログを作成する。また、ログ結合ＩＤ６０と、ユーザＡの認証情報作成要求の送信時刻ｔ113と、通信相手が認証サーバＡＳＶであることを含む通信ログを作成すると共に、上記認証情報作成要求の送信時刻ｔ113と、通信相手が認証サーバＡＳＶであることと、動作内容が認証情報の作成要求であることと、要求主がユーザＢであることを含む作業ログを作成する。そして、この作成された各通信ログ及び各作業ログをそれぞれ、ログ出力部２２６′内のメモリに図３１及び図３２に示すように保存する。

認証サーバＡＳＶは、ＷｅｂサービスサーバＷＳＶ２から送信された認証情報作成要求を通信部３１０により受信すると、この認証情報作成要求と共に受信したユーザＢの認証情報６１の有効性を、ユーザ情報管理部３１１で管理されているユーザ情報と、ログイン管理部３１２で管理されているログイン情報をもとに確認する。具体的には、認証情報６１に含まれている仮名が、登録されているユーザの該当サーバにおける仮名であるか、そのユーザが現在ログイン状態にあるか否かを確認する。またそれと共に、ユーザＡの認証情報６３の有効性を、ユーザ情報管理部３１１で管理されているユーザ情報をもとに確認する。具体的には、認証情報６３に含まれている仮名が、登録されているユーザの該当サーバにおける仮名であるか否かを確認する。そして、該当サーバにおける仮名であることが確認されると、仮名生成部３１３によりユーザＡのディレクトリサービスサーバＤＳＶに対する仮名６３２Ａを生成したのち、この生成された仮名６３２Ａを含んだ新たな認証情報６４を認証情報生成部３１４により生成し、この新たな認証情報６４を通信部３１０からＷｅｂサービスサーバＷＳＶ２へ返信する。

また認証サーバＡＳＶは、ログ出力部３１６′により、ログ結合ＩＤ６０と、認証情報作成要求の受信時刻ｔ114と、通信相手がＷｅｂサービスサーバＷＳＶ２であることを含む通信ログを作成すると共に、上記認証情報作成要求の受信時刻ｔ114と、通信相手がＷｅｂサービスサーバＷＳＶ２であることと、動作内容が認証情報作成要求の受信であることと、要求主がユーザＢであることを含む作業ログを作成する。また、ログ結合ＩＤ６０と、上記認証情報作成要求に対し新たな認証情報６４を返信した時刻ｔ115と、通信相手がＷｅｂサービスサーバＷＳＶ２であることを含む通信ログを作成すると共に、上記認証情報６４の返信時刻ｔ115と、通信相手がＷｅｂサービスサーバＷＳＶ２であることと、動作内容として認証情報６４の返信であることと変換の正否と、要求主がユーザＢであることを含む作業ログを作成する。そして、この作成された各通信ログ及び各作業ログをそれぞれ、ログ出力部３１６′内のメモリに図３４及び図３６に示すように保存する。

ＷｅｂサービスサーバＷＳＶ２は、認証サーバＡＳＶから返送された、ディレクトリサービスサーバＤＳＶにおけるユーザＡの認証情報６４を通信部２２０により受信すると、先ずログ出力部２２６′により、ログ結合ＩＤ６０と、認証情報６４を受信した時刻ｔ116と、通信相手が認証サーバＡＳＶであることを含む通信ログを作成すると共に、上記認証情報６４の受信時刻ｔ116と、通信相手が認証サーバＡＳＶであることと、動作内容が認証情報６４の受信であることと、要求主がユーザＢであることを含む作業ログを作成する。そして、この作成された通信ログ及び作業ログをそれぞれ、ログ出力部２２６′内のメモリに図３１及び図３２に示すように保存する。

次にＷｅｂサービスサーバＷＳＶ２は、通信部２２０により受信された、ディレクトリサービスサーバＤＳＶにおけるユーザＢの認証情報６２及びユーザＡの認証情報６４を用いて、通信部２２０からディレクトリサービスサーバＤＳＶに対して、ユーザＡの健康情報の格納先（所在情報）の問い合わせを送信する。また、このときログ出力部２２６′により、ログ結合ＩＤ６０と、問い合わせを行った時刻ｔ117と、通信相手がディレクトリサービスサーバＤＳＶであることを含む通信ログを作成すると共に、上記問い合わせの送信時刻ｔ117と、通信相手がディレクトリサービスサーバＤＳＶであることと、動作内容が問い合わせの送信であることと、要求主がユーザＢであることを含む作業ログを作成する。そして、この作成された通信ログ及び作業ログをそれぞれ、ログ出力部２２６′内のメモリに図３１及び図３２に示すように保存する。

ディレクトリサービスサーバＤＳＶは、ＷｅｂサービスサーバＷＳＶ２から送信された問い合わせを通信部３２０により受信すると、先ずログ出力部３２６′により、ログ結合ＩＤ６０と、問い合わせを受信した時刻ｔ118と、通信相手がＷｅｂサービスサーバＷＳＶ２であることを含む通信ログを作成すると共に、上記問い合わせを受信した時刻ｔ118と、通信相手がＷｅｂサービスサーバＷＳＶ２であることと、動作内容が問い合わせの受信であることと、要求主がユーザＢであることを含む作業ログを作成する。そして、この作成された通信ログ及び作業ログをそれぞれ、ログ出力部３２６′内のメモリに図３８及び図３９に示すように保存する。

続いてディレクトリサービスサーバＤＳＶは、上記受信されたユーザＢの認証情報６２及びユーザＡの認証情報６４が有効な情報であるか否かを確認するためのリクエストを、通信部３２０から認証サーバＡＳＶに対し送信する。このときログ出力部３２６′は、ログ結合ＩＤ６０と、認証確認リクエストの送信時刻ｔ119と、通信相手が認証サーバＡＳＶであることを含む通信ログを作成すると共に、上記認証確認リクエストの送信時刻ｔ119と、通信相手が認証サーバＡＳＶであることと、動作内容が認証確認リクエストの送信であることと、要求主がユーザＢであることを含む作業ログを作成する。そして、この作成された通信ログ及び作業ログをそれぞれ、ログ出力部３２６′内のメモリに図３８及び図３９に示すように保存する。

これに対し認証サーバＡＳＶは、ディレクトリサービスサーバＤＳＶから送信された認証情報確認リクエストを通信部３１０により受信すると、この受信されたリクエストに含まれるユーザＢの認証情報６２の有効性を、ユーザ情報管理部３１１で管理されているユーザ情報とログイン管理部３１２で管理されているログイン情報をもとに確認する。具体的には、認証情報６２に含まれている仮名が、登録されているユーザの該当サーバにおける仮名であるか否かと、そのユーザが現在ログイン状態にあるか否かを確認する。そして、この確認処理の結果を通信部３１０からディレクトリサービスサーバＤＳＶに返送する。

またこのとき認証サーバＡＳＶは、ログ出力部３１６′によりログ結合ＩＤ６０と、認証確認リクエストの受信時刻ｔ120と、通信相手がディレクトリサービスサーバＤＳＶであることを含む通信ログを作成すると共に、上記認証確認リクエストの受信時刻ｔ120と、通信相手がディレクトリサービスサーバＤＳＶであることと、動作内容が認証情報確認リクエストの受信であることと、要求主がユーザＢであることを含む作業ログを作成する。また、ログ結合ＩＤ６０と、認証情報の有効性の確認結果を送信した時刻ｔ121と、通信相手がディレクトリサービスサーバＤＳＶであることを含む通信ログを作成すると共に、上記認証情報の有効性の確認結果を送信した時刻ｔ121と、通信相手がディレクトリサービスサーバＤＳＶであることと、動作内容が認証情報の有効性の確認結果の送信であることと、要求主がユーザＢであることを含む作業ログを作成する。そして、この作成した各通信ログ及び各作業ログをそれぞれ、ログ出力部３１６′内のメモリに図３４及び図３６に示すように保存する。

ディレクトリサービスサーバＤＳＶは、認証サーバＡＳＶから送信された認証情報６２の有効性の確認結果を通信部３２０により受信すると、この受信された確認結果をもとに認証情報６２が有効であるか否かを判定する。そして、この判定の結果有効であれば、ログ出力部３２６′により、ログ結合ＩＤ６０と、認証情報の有効性の確認結果を受信した時刻ｔ122と、通信相手が認証サーバＡＳＶであることを含む通信ログを作成すると共に、上記確認結果の受信時刻ｔ122と、通信相手が認証サーバＡＳＶであることと、動作内容が確認結果の受信であることと、要求主がユーザＢであることを含む作業ログを作成する。そして、この作成した通信ログ及び作業ログをそれぞれ、ログ出力部３２６′内のメモリに図３８及び図３９に示すように保存する。

続いてディレクトリサービスサーバＤＳＶは、ユーザＡの認証情報６４が有効な情報であるか否かを確認するためのリクエストを通信部３２０から認証サーバＡＳＶへ送信する。またこのときログ出力部３２６′により、ログ結合ＩＤ６０と、認証確認リクエストの送信時刻ｔ123と、通信相手が認証サーバＡＳＶであることを含む通信ログを作成すると共に、上記認証確認リクエストの送信時刻ｔ123と、通信相手が認証サーバＡＳＶであることと、動作内容が認証確認リクエストの送信であることと、要求主がユーザＢであることを含む作業ログを作成する。そして、この作成した通信ログ及び作業ログをそれぞれ、ログ出力部３２６′内のメモリに図３８及び図３９に示すように保存する。

これに対し認証サーバＡＳＶは、ディレクトリサービスサーバＤＳＶから送信された認証情報の確認リクエストを通信部３１０により受信すると、このリクエストに応じてユーザＡの認証情報６４の有効性を、ユーザ情報管理部３１１で管理されているユーザ情報をもとに確認する。具体的には、認証情報６４に含まれている仮名が、登録されているユーザの該当サーバにおける仮名であるか否かを確認する。そして、この確認結果を通信部３１０からディレクトリサービスサーバＤＳＶへ送信する。

また、それと共に認証サーバＡＳＶは、ログ出力部３１６′によりログ結合ＩＤ６０と、認証確認リクエストの受信時刻ｔ124と、通信相手がディレクトリサービスサーバＤＳＶであることを含む通信ログを作成すると共に、上記認証確認リクエストの受信時刻ｔ124と、通信相手がディレクトリサービスサーバＤＳＶであることと、動作内容が認証確認リクエストの受信であることと、要求主がユーザＢであることを含む作業ログを作成する。また、ログ結合ＩＤ６０と、認証情報の有効性の確認結果を送信した時刻ｔ125と、通信相手がディレクトリサービスサーバＤＳＶであることを含む通信ログを作成すると共に、上記認証情報の有効性の確認結果を送信した時刻ｔ125と、通信相手がディレクトリサービスサーバＤＳＶであることと、動作内容が認証情報の有効性の確認結果の送信であることと、要求主がユーザＢであることを含む作業ログを作成する。そして、この作成した各通信ログ及び各作業ログをそれぞれ、ログ出力部３１６′内のメモリに図３４及び図３６に示すように保存する。

ディレクトリサービスサーバＤＳＶは、認証サーバＡＳＶから送信された認証情報６４の有効性の確認結果を通信部３２０により受信すると、この受信された確認結果をもとに認証情報６４の有効性が確認されたか否かを判定する。そして、この判定により、有効性が確認されると、先ずログ出力部３２６′により、ログ結合ＩＤ６０と、認証確認結果の受信時刻ｔ126と、通信相手が認証サーバＡＳＶであることを含む通信ログを作成すると共に、上記認証確認結果の受信時刻ｔ126と、通信相手が認証サーバＡＳＶであることと、動作内容が認証確認結果の受信であることと、要求主がユーザＢであることを含む作業ログを作成する。そして、この作成した通信ログ及び作業ログをそれぞれ、ログ出力部３２６′内のメモリに図３８及び図３９に示すように保存する。

さて、そうしてユーザＢの認証情報６２と、ユーザＡの認証情報６４の双方が共に有効であることが確認されると、ディレクトリサービスサーバＤＳＶは次に認証情報６４に含まれる仮名のユーザの健康情報がどのサーバに格納されているかを、ユーザ情報管理部３２１およびディレクトリサービス情報管理部３２２に格納されている情報をもとに確認する。そして、その確認結果であるディレクトリ情報を、通信部３２０からＷｅｂサービスサーバＷＳＶ２へ返信する。

また、このときディレクトリサービスサーバＤＳＶは、ログ出力部３２６′により、ログ結合ＩＤ６０と、ディレクトリ情報の送信時刻ｔ127と、通信相手がＷｅｂサービスサーバＷＳＶ２であることを含む通信ログを作成すると共に、上記ディレクトリ情報の送信時刻ｔ127と、通信相手がＷｅｂサービスサーバＷＳＶ２であることと、動作内容がディレクトリ情報の送信であることと、要求主がユーザＢであることを含む作業ログを作成する。そして、この作成した通信ログ及び作業ログをそれぞれ、ログ出力部３２６′内のメモリに図３８及び図３９に示すように保存する。

ＷｅｂサービスサーバＷＳＶ２は、ディレクトリサービスサーバＤＳＶから送信されたディレクトリ情報を通信部２２０により受信すると、先ずログ出力部２２６′により、ログ結合ＩＤ６０と、ディレクトリ情報の受信時刻ｔ128と、通信相手がディレクトリサービスサーバＤＳＶであることを含む通信ログを作成すると共に、上記ディレクトリ情報の受信時刻ｔ128と、通信相手がディレクトリサービスサーバＤＳＶであることと、動作内容がディレクトリ情報の受信であることと、要求主がユーザＢであることを含む作業ログを作成する。そして、この作成した通信ログ及び作業ログをそれぞれ、ログ出力部２２６′内のメモリに図３１及び図３２に示すように保存する。

次にＷｅｂサービスサーバＷＳＶ２は、上記受信されたユーザＡの健康情報の格納先ディレクトリ情報、つまりデータプロバイドサーバＰＳＶ１のアドレス情報をもとに、認証情報の変換リクエストを通信部２２０から認証サーバＡＳＶへ送信する。このとき送信する変換リクエストは、ユーザＢの認証情報６２をデータプロバイドサーバＰＳＶ１にアクセスするための認証情報に変換することを求めるもので、認証情報６２を添付した状態で送信される。

またこのときＷｅｂサービスサーバＷＳＶ２は、ログ出力部２２６′により、ログ結合ＩＤ６０と、認証情報変換リクエストの送信時刻ｔ129と、通信相手が認証サーバＡＳＶであることを含む通信ログを作成すると共に、上記認証情報変換リクエストの送信時刻ｔ129と、通信相手が認証サーバＡＳＶであることと、動作内容が認証情報変換リクエストの送信であることと、要求主がユーザＢであることを含む作業ログを作成する。そして、この作成した通信ログ及び作業ログをそれぞれ、ログ出力部２２６′内のメモリに図３１及び図３２に示すように保存する。

認証サーバＡＳＶは、ＷｅｂサービスサーバＷＳＶ２から送信された認証情報変換リクエストを通信部３１０により受信すると、この受信されたユーザＢの認証情報６２の有効性を、ユーザ情報管理部３１１で管理されているユーザ情報とログイン管理部３１２で管理されているログイン情報をもとに確認する。具体的には、認証情報６２に含まれている仮名が、登録されているユーザの該当サーバにおける仮名であるか否かと、そのユーザが現在ログイン状態にあるか否かを確認する。そして、仮名が登録されているものであることと、ログイン中であることが確認されると、仮名生成部３１３によりデータプロバイドサーバＰＳＶ１におけるユーザＢの仮名６１１Ｂを生成する。そして、この生成された仮名６１１Ｂとログ結合ＩＤ６０を含んだ新たな認証情報６５を認証情報生成部３１４で生成し、この新たな認証情報６５を通信部３１０からＷｅｂサービスサーバＷＳＶ２へ返信する。

またこのとき認証サーバＡＳＶは、ログ出力部３１６′により、ログ結合ＩＤ６０と、認証情報変換リクエストの受信時刻ｔ130と、通信相手がＷｅｂサービスサーバＷＳＶ２であることを含む通信ログを作成すると共に、上記認証情報変換リクエストの受信時刻ｔ130と、通信相手がＷｅｂサービスサーバＷＳＶ２であることと、動作内容が認証情報変換リクエストの受信であることと、要求主がユーザＢであることを含む作業ログを作成する。また、ログ結合ＩＤ６０と、新たな認証情報６５の返信時刻ｔ131と、通信相手がＷｅｂサービスサーバＷＳＶ２であることを含む通信ログを作成すると共に、上記新たな認証情報６５の返信時刻ｔ131と、通信相手がＷｅｂサービスサーバＷＳＶ２であることと、動作内容が新たな認証情報６５の返信であることと、変換の正否を表す情報と、要求主がユーザＢであることを含む作業ログを作成する。そして、この作成した各通信ログ及び各作業ログをそれぞれ、ログ出力部３１６′内のメモリに図３４及び図３６に示すように保存する。

ＷｅｂサービスサーバＷＳＶ２は、認証サーバＡＳＶから返信された新たな認証情報６５を通信部２２０により受信すると、先ずログ出力部２２６′により、ログ結合ＩＤ６０と、上記新たな認証情報６５の受信時刻ｔ132と、通信相手が認証サーバＡＳＶであることを含む通信ログを作成すると共に、上記新たな認証情報６５の受信時刻ｔ132と、通信相手が認証サーバＡＳＶであることと、動作内容が新たな認証情報６５の受信であることと、要求主がユーザＢであることを含む作業ログを作成する。そして、この作成した通信ログ及び作業ログをそれぞれ、ログ出力部２２６′内のメモリに図３１及び図３２に示すように保存する。

続いてＷｅｂサービスサーバＷＳＶ２は、同じくユーザＡの健康情報の格納先ディレクトリ情報、つまりデータプロバイドサーバＰＳＶ１のアドレス情報をもとに、ユーザＡの認証情報６４をデータプロバイドサーバＰＳＶ１にアクセスするための認証情報に変換することを求めるためのリクエストを、ユーザＢの認証情報６２とユーザＡの認証情報６４を添付して、通信部２２０から認証サーバＡＳＶへ送信する。

またこのとき、ログ出力部２２６′により、ログ結合ＩＤ６０と、認証情報変換リクエストの送信時刻ｔ133と、通信相手が認証サーバＡＳＶであることを含む通信ログを作成すると共に、上記認証情報変換リクエストの送信時刻ｔ133と、通信相手が認証サーバＡＳＶであることと、動作内容が認証情報変換リクエストの送信であることと、要求主がユーザＢであることを含む作業ログを作成する。そして、この作成した通信ログ及び作業ログをそれぞれ、ログ出力部２２６′内のメモリに図３１及び図３２に示すように保存する。

これに対し認証サーバＡＳＶは、ＷｅｂサービスサーバＷＳＶ２から送信された認証情報変換リクエストを通信部３１０により受信すると、この受信されたユーザＢの認証情報６２の有効性を、ユーザ情報管理部３１１で管理されているユーザ情報と、ログイン管理部３１２で管理されているログイン情報をもとに確認する。具体的には、認証情報６２に含まれている仮名が、登録されているユーザの該当サーバにおける仮名であるか否かと、そのユーザが現在ログイン状態にあるか否かを確認する。またそれと共に、上記受信されたユーザＡの認証情報６４の有効性を、ユーザ情報管理部３１１で管理されているユーザ情報をもとに確認する。具体的には、認証情報６４に含まれている仮名が、登録されているユーザの該当サーバにおける仮名であるかを確認する。この確認処理が終了すると、続いて仮名生成部３１３によりデータプロバイドサーバＰＳＶ１におけるユーザＡの仮名６１１Ａを生成する。そして、この生成されたユーザＡの仮名６１１Ａとログ結合ＩＤ６０を含んだ新たな認証情報６６を認証情報生成部３１４で生成し、この新たな認証情報６６を通信部３１０からＷｅｂサービスサーバＷＳＶ２へ返信する。

またこのとき認証サーバＡＳＶは、ログ出力部３１６′により、ログ結合ＩＤ６０と、認証情報変換リクエストの受信時刻ｔ134と、通信相手がＷｅｂサービスサーバＷＳＶ２であることを含む通信ログを作成すると共に、上記認証情報変換リクエストの受信時刻ｔ134と、通信相手がＷｅｂサービスサーバＷＳＶ２であることと、動作内容が認証情報変換リクエストの受信であることと、要求主がユーザＢであることを含む作業ログを作成する。また、ログ結合ＩＤ６０と、新たな認証情報６６の返信時刻ｔ135と、通信相手がＷｅｂサービスサーバＷＳＶ２であることを含む通信ログを作成すると共に、上記新たな認証情報６６の返信時刻ｔ135と、通信相手がＷｅｂサービスサーバＷＳＶ２であることと、動作内容が新たな認証情報６６の返信であることと、変換の正否を表す情報と、要求主がユーザＢであることを含む作業ログを作成する。そして、この作成した各通信ログ及び各作業ログをそれぞれ、ログ出力部３１６′内のメモリに図３４及び図３６に示すように保存する。

ＷｅｂサービスサーバＷＳＶ２は、認証サーバＡＳＶから返信されたユーザＡの認証情報６６を通信部２２０により受信すると、先ずログ出力部２２６′により、ログ結合ＩＤ６０と、認証情報６６の受信時刻ｔ136と、通信相手が認証サーバＡＳＶであることを含む通信ログを作成すると共に、上記認証情報６６の受信時刻ｔ136と、通信相手が認証サーバＡＳＶであることと、動作内容として認証情報６６を受信したことと、要求主がユーザＢであることを含む作業ログを作成する。そして、この作成した通信ログ及び作業ログをそれぞれ、ログ出力部２２６′内のメモリに図３１及び図３２に示すように保存する。

以上のようにしてユーザＢ及びユーザＡの認証情報の変換が完了すると、ＷｅｂサービスサーバＷＳＶ２は上記受信されたデータプロバイドサーバＰＳＶ１におけるユーザＢの認証情報６５およびユーザＡの認証情報６６を用いて、通信部２２０からデータプロバイドサーバＰＳＶ１に対して、ユーザＡの健康情報の取得要求を送信する。またこのとき、ログ出力部２２６′により、ログ結合ＩＤ６０と、健康情報の取得要求の送信時刻ｔ137と、通信相手がデータプロバイドサーバＰＳＶ１であることを含む通信ログを作成すると共に、上記健康情報の取得要求の送信時刻ｔ137と、通信相手がデータプロバイドサーバＰＳＶ１であることと、動作内容が健康情報の取得要求の送信であることと、要求主がユーザＢであることを含む作業ログを作成する。そして、この作成した通信ログ及び作業ログをそれぞれ、ログ出力部２２６′内のメモリに図３１及び図３２に示すように保存する。

データプロバイドサーバＰＳＶ１は、ＷｅｂサービスサーバＷＳＶ２から送信された健康情報取得要求を通信部１１０により受信すると、先ずログ出力部１１６′により、認証情報６５に含まれるログ結合ＩＤ６０と、健康情報取得要求の受信時刻ｔ138と、通信相手がＷｅｂサービスサーバＷＳＶ２であることを含む通信ログを作成すると共に、上記健康情報取得要求の受信時刻ｔ138と、通信相手がＷｅｂサービスサーバＷＳＶ２であることと、動作内容が健康情報取得要求の受信であることと、要求主がユーザＢであることを含む作業ログを作成する。そして、この作成した通信ログ及び作業ログをそれぞれ、ログ出力部１１６′内のメモリに図４０及び図４２に示すように保存する。

次に、データプロバイドサーバＰＳＶ１は、上記受信されたユーザＢの認証情報６５及びユーザＡの認証情報６６の有効性を確認するためのリクエストと、通信部１１０から認証サーバＡＳＶへ送信する。またこのときログ出力部１１６′により、ログ結合ＩＤ６０と、有効性確認リクエストの送信時刻ｔ139と、通信相手が認証サーバＡＳＶであることを含む通信ログを作成すると共に、上記有効性確認リクエストの送信時刻ｔ139と、通信相手が認証サーバＡＳＶであることと、動作内容が認証情報の有効性確認リクエストの送信であることと、要求主がユーザＢであることを含む作業ログを作成する。そして、この作成した通信ログ及び作業ログをそれぞれ、ログ出力部１１６′内のメモリに図４０及び図４２に示すように保存する。

認証サーバＡＳＶは、データプロバイドサーバＰＳＶ１から送信された認証情報の有効性確認リクエストを通信部３１０により受信すると、この受信したユーザＢの認証情報６５の有効性を、ユーザ情報管理部３１１で管理されているユーザ情報と、ログイン管理部３１２で管理されているログイン情報をもとに確認する。具体的には、認証情報６５に含まれている仮名が、登録されているユーザの該当サーバにおける仮名であるか否かと、そのユーザが現在ログイン状態にあるか否かを確認する。そして、その確認結果を通信部３１０からデータプロバイドサーバＰＳＶ１へ送信する。

またこのとき認証サーバＡＳＶは、ログ出力部３１６′により、ログ結合ＩＤ６０と、有効性確認リクエストの受信時刻ｔ140と、通信相手がデータプロバイドサーバＰＳＶ１であることを含む通信ログを作成すると共に、上記有効性確認リクエストの受信時刻ｔ140と、通信相手がデータプロバイドサーバＰＳＶ１であることと、動作内容が有効性確認リクエストの受信であることと、要求主がユーザＢであることを含む作業ログを作成する。また、ログ結合ＩＤ６０と、認証情報の有効性確認結果の送信時刻ｔ141と、通信相手がデータプロバイドサーバＰＳＶ１であることを含む通信ログを作成すると共に、上記有効性確認結果の送信時刻ｔ141と、通信相手がデータプロバイドサーバＰＳＶ１であることと、動作内容が認証情報の有効性確認結果の送信であることと、要求主がユーザＢであることを含む作業ログを作成する。そして、この作成した各通信ログ及び各作業ログをそれぞれ、ログ出力部３１６′内のメモリに図３４及び図３６に示すように保存する。

データプロバイドサーバＰＳＶ１は、認証サーバＡＳＶから返信されたユーザＢの認証情報６５の有効性確認結果を通信部１１０により受信すると、この有効性確認結果から有効であることが確認されたか否かを判定する。そして、有効であることが確認されると、ログ出力部１１６′により、ログ結合ＩＤ６０と、認証確認結果の受信時刻ｔ142と、通信相手が認証サーバＡＳＶであることを含む通信ログを作成すると共に、上記認証確認結果の受信時刻ｔ142と、通信相手が認証サーバＡＳＶであることと、動作内容が認証確認結果の受信であることと、要求主がユーザＢであることを含む作業ログを作成する。そして、この作成した通信ログ及び作業ログをそれぞれ、ログ出力部１１６′内のメモリに図４０及び図４２に示すように保存する。

次にデータプロバイドサーバＰＳＶ１は、通信部１１０から認証サーバＡＳＶに対しユーザＡの認証情報６６の有効性を確認するためのリクエストを送信する。このときログ出力部１１６′により、ログ結合ＩＤ６０と、認証の有効性確認リクエストの送信時刻ｔ143と、通信相手が認証サーバＡＳＶであることを含む通信ログを作成すると共に、上記有効性確認リクエストの送信時刻ｔ143と、通信相手が認証サーバＡＳＶであることと、動作内容が有効性確認リクエストの送信であることと、要求主がユーザＢであることを含む作業ログを作成する。そして、この作成した通信ログ及び作業ログをそれぞれ、ログ出力部１１６′内のメモリに図４０及び図４２に示すように保存する。

認証サーバＡＳＶは、データプロバイドサーバＰＳＶ１から送信された認証情報の有効性確認リクエストを通信部３１０により受信すると、この受信したユーザＡの認証情報６６の有効性を、ユーザ情報管理部３１１で管理されているユーザ情報をもとに行う。具体的には、認証情報６６に含まれている仮名が、登録されているユーザの該当サーバにおける仮名であるかを確認する。そして、その確認結果を通信部３１０からデータプロバイドサーバＰＳＶ１へ送信する。

またこのときログ出力部３１６′により、ログ結合ＩＤ６０と、認証有効性確認リクエストの受信時刻ｔ144と、通信相手がデータプロバイドサーバＰＳＶ１であることを含む通信ログを作成すると共に、上記認証有効性確認リクエストの受信時刻ｔ144と、通信相手がデータプロバイドサーバＰＳＶ１であることと、動作内容が認証有効性確認リクエストの受信であることと、要求主がユーザＢであることを含む作業ログを作成する。また、ログ結合ＩＤ６０と、認証情報の有効性確認結果の送信時刻ｔ145と、通信相手がデータプロバイドサーバＰＳＶ１であることを含む通信ログを作成すると共に、上記有効性確認結果の送信時刻ｔ145と、通信相手がデータプロバイドサーバＰＳＶ１であることと、動作内容が有効性確認結果の送信であることと、要求主がユーザＢであることを含む作業ログを作成する。そして、この作成した各通信ログ及び各作業ログをそれぞれ、ログ出力部３１６′内のメモリに図３４及び図３６に示すように保存する。

データプロバイドサーバＰＳＶ１は、認証サーバＡＳＶから送信されたユーザＡの認証情報６６の有効性確認結果を通信部１１０により受信すると、この確認結果をもとにユーザＡの認証情報６６の有効性が確認されたか否かを判定する。そして、有効であることが確認されると、ログ出力部１１６′によりログ結合ＩＤ６０と、有効性確認結果の受信時刻ｔ146と、通信相手が認証サーバＡＳＶであることを含む通信ログを作成すると共に、上記有効性確認結果の受信時刻ｔ146と、通信相手が認証サーバＡＳＶであることと、動作内容が有効性確認結果の受信であることと、要求主がユーザＢであることを含む作業ログを作成する。そして、この作成した通信ログ及び作業ログをそれぞれ、ログ出力部３１６′内のメモリに図３４及び図３６に示すように保存する。

データプロバイドサーバＰＳＶ１は、ユーザＢの認証情報６５及びユーザＡの認証情報６６の有効性が共に確認されると、健康情報管理部１１２に格納されている情報よりユーザＡの健康情報を抽出し、この抽出された健康情報を通信部１１０からＷｅｂサービスサーバＷＳＶ２へ送信する。またこのときログ出力部１１６′により、認証情報６５に含まれるログ結合ＩＤ６０と、健康情報の送信時刻ｔ147と、通信相手がＷｅｂサービスサーバＷＳＶ２であることを含む通信ログを作成すると共に、上記健康情報の送信時刻ｔ147と、通信相手がＷｅｂサービスサーバＷＳＶ２であることと、動作内容が健康情報の送信であることと、要求主がユーザＢであることを含む作業ログを作成する。そして、この作成した通信ログ及び作業ログをそれぞれ、ログ出力部１１６′内のメモリに図４０及び図４２に示すように保存する。

ＷｅｂサービスサーバＷＳＶ２は、データプロバイドサーバＰＳＶ１から送信されたユーザＡの健康情報を通信部２２０により受信すると、ログ出力部２２６′により、認証情報６５に含まれるログ結合ＩＤ６０と、健康情報の受信時刻ｔ148と、通信相手がデータプロバイドサーバＰＳＶ１であることを含む通信ログを作成すると共に、上記健康情報の受信時刻ｔ148と、通信相手がデータプロバイドサーバＰＳＶ１であることと、動作内容が健康情報の受信であることと、要求主がユーザＢであることを含む作業ログを作成する。そして、この作成した通信ログ及び作業ログをそれぞれ、ログ出力部２２６′内のメモリに図３１及び図３２に示すように保存する。かくして、ユーザＡの健康情報の取得動作が終了する。

なお、ユーザＡの健診情報の取得動作についても、以上述べた健康情報の取得動作と同様に行われる。また、この健診情報の取得動作手順中において各サーバでは、時刻ｔ149〜時刻ｔ180においてそれぞれ通信ログ及び作業ログが作成されてログ出力部内のメモリに保存される。

ＷｅｂサービスサーバＷＳＶ２は、データプロバイドサーバＰＳＶ１から取得したユーザＡの健康情報と、データプロバイドサーバＰＳＶ２から取得したユーザＡの健診情報が揃うと、閲覧要求元のクライアント端末ＣＴ２に表示させる画面データをＷｅｂアプリケーション提供部２２２で作成し、この表示画面データをクライアント端末ＣＴ２へ送信する。かくして、医療従事者等のプロユーザＢは、クライアント端末ＣＴ２において自身が担当する一般ユーザＡの健康情報及び健診情報を並べた状態で閲覧することができる。

またこのときＷｅｂサービスサーバＷＳＶ２は、ログ出力部２２６′により、ログ結合ＩＤ６０と、画面提供時刻ｔ181と、通信相手がクライアント端末ＣＴ２であることを含む通信ログを作成すると共に、上記画面提供時刻ｔ181と、通信相手がクライアント端末ＣＴ２であることと、動作内容が健康情報及び健診情報の表示画面データの送信であることと、要求主がユーザＢであることを含む作業ログを作成する。そして、この作成した通信ログ及び作業ログをそれぞれ、ログ出力部２２６′内のメモリに図３１及び図３２に示すように保存する。

クライアント端末ＣＴ２において、ユーザＢが必要な処理を行った後にログアウト操作を行ったとする。そうすると、クライアント端末ＣＴ２からＷｅｂサービスサーバＷＳＶ２へログアウトコマンドが送信される。ＷｅｂサービスサーバＷＳＶ２は、このログアウトコマンドを通信部２２０により受信すると、このログアウトコマンドを認証サーバＡＳＶへ転送する。また、このときログ出力部２２６′により、ログ結合ＩＤ６０と、クライアント端末４２からのログアウトコマンドの受信時刻ｔ182と、通信相手がクライアント端末ＣＴ２であることを含む通信ログを作成すると共に、上記ログアウトコマンドの受信時刻ｔ182と、通信相手がクライアント端末ＣＴ２であることと、動作内容がログアウトコマンドの受信であることと、要求主がユーザＢであることを含む作業ログを作成する。また、ログ結合ＩＤ６０と、ログアウト送信時刻ｔ183と、通信相手が認証サーバＡＳＶであることを含む通信ログを作成すると共に、上記ログアウト送信時刻ｔ183と、通信相手が認証サーバＡＳＶであることと、動作内容がログアウト送信であることと、要求主がユーザＢであることを含む作業ログを作成する。そして、この作成した通信ログ及び作業ログをそれぞれ、ログ出力部２２６′内のメモリに図３１及び図３２に示すように保存する。

認証サーバＡＳＶは、ＷｅｂサービスサーバＷＳＶ２から送信された、認証情報６１を有するログアウトコマンドを受信すると、ユーザ情報管理部３１１でユーザＢの照合を行い、ログイン管理部３１２で該当ユーザがログアウトしたことを記憶する。そして、以後ログ結合ＩＤ６０の使用を停止する。また、ログ出力部３１６′により、ログ結合ＩＤ６０と、ログアウト受信時刻ｔ184と、通信相手がＷｅｂサービスサーバＷＳＶ２であることを含む通信ログを作成すると共に、上記ログアウト受信時刻ｔ184と、通信相手がＷｅｂサービスサーバＷＳＶ２であることと、動作内容がログアウトコマンドの受信であることと、要求主がユーザＢであることを含む作業ログを作成する。また、ログ結合ＩＤ６０と、ログアウト処理を行った時刻ｔ185と、通信相手“なし”を含む通信ログを作成すると共に、上記ログアウト処理を行った時刻ｔ185と、通信相手“なし”と、動作内容がログアウト処理完了であることと、要求主がユーザＢであることを含む作業ログを作成する。そして、この作成した各通信ログ及び各作業ログをそれぞれ、ログ出力部３１６′内のメモリに図３５及び図３７に示すように保存する。

さて、この状態でログ分析装置３５において、例えばネットワーク管理者がログの分析指示を入力するか、或いは予め設定したログ分析タイミングになったとする。この場合ログ分析装置３５は、先ずログ収集部３５１により、図３０に示すようにＷｅｂサービスサーバＷＳＶ１，ＷＳＶ２、認証サーバＡＳＶ、ディレクトリサービスサーバＤＳＶ、データプロバイドサーバＰＳＶ１，ＰＳＶ２に対し順次ログ収集要求を送信し、これらのサーバからそれぞれログ出力部内のメモリに保存されている通信ログ及び作業ログを収集する。

次にログ分析部３５２により、上記収集された通信ログからログ結合ＩＤを抽出して、この抽出したログ結合ＩＤごとに通信ログを集計する。そして、この集計したログ結合ＩＤごとの通信ログから時刻情報と通信相手情報を取り出し、これらの時刻情報と通信相手情報と同一の時刻情報及び通信相手情報が記載された作業ログを選択する。そして、この選択された作業ログをその時刻情報をもとに時刻順に並べ直す。またそれと共に、並べ直された各作業ログにそれぞれ当該ログがどのサーバで作成されたかを表す情報（収集場所を表す情報）を付加する。そして、このようにログ結合ＩＤごとに時刻順に結合されたログ群をログ分析結果出力部３５３から出力する。図４４乃至図４７は上記時刻順に結合された作業ログ群の一例を示すものである。

なお、本実施形態においても、必要（要求）に応じて、ログ分析部３５２により該当するログ結合ＩＤを使用していたユーザ情報を認証サーバＡＳＶに対し問い合わせ、この問い合わせにより取得したユーザ情報を上記結合された各ログに含めるか又はログ群に付加した状態で出力するようにしてもよい。

以上詳述したように第２の実施形態では、クライアント端末ＣＴ２におけるプロユーザＢのログインに応じて、認証サーバＡＳＶがログインからログアウトまでの期間のみ有効となるログ結合ＩＤを発行してこれを認証情報に含めて各サーバに通知し、各サーバは上記プロユーザＢによる健康情報及び健診情報の閲覧動作において自サーバが何らかの動作を行った場合に、上記ログ結合ＩＤと、動作時刻情報と、通信相手情報を含む通信ログを作成すると共に、上記動作時刻情報と、通信相手情報と、動作内容を表す情報と、要求主を表す情報を含む作業ログを作成するようにしている。

したがって、第１の実施形態と同様にユーザについて各サーバが各々異なるユーザ識別子を用いて独自に管理している場合でも、ログ分析装置ＬＳＶにおいて、各サーバが作成した動作内容を示す作業ログを、通信ログに含まれるログ結合ＩＤと、作業ログ及び通信ログに共通に含まれる時刻情報及び通信相手情報をキーにして、ユーザごとに容易に結合し管理することが可能となる。また、仮に作業ログが漏えいした場合でも、この作業ログにはユーザ情報は勿論のことログ結合ＩＤすら含まれていないので、当該作業ログをユーザと結びつけることは不可能となる。また、万が一作業ログと通信ログの両方が漏えいしたとしても、ログ結合ＩＤの有効期間はログインからログアウトまでの期間に限定されるので、作業ログとユーザとの結びつきが半永久的に明らかになることを防止することができる。すなわち、健康情報や健診情報等の重要な個人情報が、そのユーザ名と関連付けられた状態で流出してしまうことを防止することができる。

また、第２の実施形態においても、前記第１の実施形態と同様に、ログ結合ＩＤをサーバ間で伝送する際にログ結合ＩＤを認証情報の一部として埋め込んで伝送するようにしているため、ログ結合ＩＤの信頼性をユーザ認証の信頼性と同等に高く保持することができる。

なお、この第２の実施形態においても、各サーバがログ結合ＩＤを認証情報に埋め込む際には、図４８に示すようにサーバごとに異なる暗号化鍵を用いてログ結合ＩＤを暗号化し、この暗号化されたログ結合ＩＤをログに含めるようにするとよい。このようにすると、ログが漏えいしたとしてもログ結合ＩＤを特定することは著しく困難となり、ログの秘匿性をさらに高めることが可能となる。
なお、この場合ログ分析装置ＬＳＶのみが各サーバが使用する暗号化鍵と対をなす復号鍵を保持し、この復号鍵を用いて各ログのログ結合ＩＤを特定できるようにする。このようにすることで、ログ分析装置ＬＳＶではユーザ結合ＩＤごとのログの結合処理を何ら支障なく確実に行うことが可能となる。

また、第２の実施形態においても、データプロバイドサーバＰＳＶ１，ＰＳＶ２やディレクトリサービスサーバＤＳＶは、ＷｅｂサービスサーバＷＳＶ２からの認証情報を受け取ると、認証サーバＡＳＶにその認証情報が正規のものであるかの確認をするようにしている。しかしながら、認証サーバＡＳＶが発行する認証情報に、認証サーバＡＳＶが発行した認証情報であることを示す証明書を持たせる（埋め込む）ようにしてもよい。このようにすると、データプロバイドサーバＰＳＶ１，ＰＳＶ２やディレクトリサービスサーバＤＳＶが認証情報を受け取った後に、認証サーバＡＳＶへの確認手順を省略することができる。

なお、この発明は上記実施形態に限定されるものではない。例えば、前記各実施形態では認証サーバＡＳＶにおいてログ結合ＩＤを発行して他のサーバに通知するようにしたが、他のサーバで発行して通知するようにしてもよい。また、ログ結合ＩＤを発行するサーバは一つに限ることはなく、複数でもよい。
その他、サーバの種類やその構成、ログ結合識別子の発行手順とその通知手順、ログの構成などについても、この発明の要旨を逸脱しない範囲で種々変形して実施可能である。

要するにこの発明は、上記各実施形態そのままに限定されるものではなく、実施段階ではその要旨を逸脱しない範囲で構成要素を変形して具体化できる。また、上記各実施形態に開示されている複数の構成要素の適宜な組み合せにより種々の発明を形成できる。例えば、各実施形態に示される全構成要素から幾つかの構成要素を削除してもよい。さらに、異なる実施形態に亘る構成要素を適宜組み合せてもよい。

ＣＴ１，ＣＴ２…クライアント端末、ＷＳＶ１，ＷＳＶ２…Ｗｅｂサービスサーバ、ＡＳＶ…認証サーバ、ＤＳＶ…ディレクトリサービスサーバ、ＰＳＶ１，ＰＳＶ２…データプロバイドサーバ、ＬＳＶ…ログ分析装置、１１０，１２０，２１０，２２０，３１０，３２０，３５０…通信部、２１１，２２１，３１１，３２１…ユーザ情報管理部、１１２…健康情報管理部、１２２…健診情報管理部、１１６，１２６，２１６，２２６，３１６，１２６，１１６′，１２６′，２１６′，２２６′，３１６′，１２６′…ログ出力部、２１２，２２２…Ｗｅｂアプリケーション提供部、３１３…仮名生成部、３１４…認証情報生成部、３１５…ログ結合ＩＤ生成部、３２２…ディレクトリサービス情報管理部、３５１…ログ収集部、３５２…ログ分析部、３５３…ログ分析結果出力部、ＬＤ１１，ＬＤ１２，ＬＤ２１，ＬＤ２２，ＬＤ３１，ＬＤ３２…ログ、ＣＬ１１，ＣＬ１２，ＣＬ２１，ＣＬ２２，ＣＬ３１，ＣＬ３２…通信ログ、ＯＬ１１，ＯＬ１２，ＯＬ２１，ＯＬ２２，ＯＬ３１，ＯＬ３２…作業ログ。

Claims (9)

1. ユーザ端末から要求された動作を複数のサーバがネットワークを介して連携して実行し、その動作記録を表すログを管理するログ管理方法において、
   前記ユーザ端末からのログインに応じ、前記複数のサーバのうちの少なくとも一つが、当該ログインからログアウトまでの期間に限り有効となるログ結合識別子を発行する過程と、
   前記発行されたログ結合識別子を、当該ログ結合識別子を発行したサーバが前記ネットワークを介して他のサーバへ通知する過程と、
   前記複数のサーバがそれぞれ、前記発行又は通知されたログ結合識別子を含む自己の動作記録を表すログを作成する過程と、
   前記複数のサーバがそれぞれ、前記作成されたログを出力する過程と
   を具備することを特徴とするログ管理方法。
2. ユーザ端末から要求された動作を複数のサーバがネットワークを介して連携して実行し、その動作記録を表すログを管理するログ管理方法において、
   前記ユーザ端末からのログインに応じ、前記複数のサーバのうちの少なくとも一つが、当該ログインからログアウトまでの期間に限り有効となるログ結合識別子を発行する過程と、
   前記発行されたログ結合識別子を、当該ログ結合識別子を発行したサーバが前記ネットワークを介して他のサーバへ通知する過程と、
   前記複数のサーバがそれぞれ、前記発行又は通知されたログ結合識別子及び動作時刻情報を少なくとも含む通信ログと、前記動作時刻情報及び動作内容を表す情報を含む作業ログを作成する過程と、
   前記複数のサーバがそれぞれ、前記作成された通信ログ及び作業ログを出力する過程と
   を具備することを特徴とするログ管理方法。
3. 前記複数のサーバとの間で前記ネットワークを介して通信可能なログ分析装置が設けられている場合に、
   前記複数のサーバからそれぞれ出力されるログを、前記ログ分析装置が前記ネットワークを介して収集する過程と、
   前記複数のサーバから収集した複数のログを、前記ログ分析装置が当該各ログに含まれるログ結合識別子をもとに結合する過程と
   を、さらに具備することを特徴とする請求項１又は２記載のログ管理方法。
4. 前記ログを作成する過程は、複数のサーバがそれぞれ、前記発行又は通知されたログ結合識別子をサーバごとに異なる暗号化鍵を用いて暗号化し、この暗号化されたログ結合識別子を含むログを作成し、
   前記ログを結合する過程は、前記複数のサーバから収集した各ログに含まれる、暗号化されたログ結合識別子を前記暗号化鍵と対をなす復号鍵を用いて復号し、この復号されたログ結合識別子をもとに前記各ログを結合することを特徴とする請求項３記載のログ管理方法。
5. ユーザ端末から要求された動作を複数のサーバがネットワークを介して連携して実行し、その動作記録を表すログを管理するログ管理システムにおいて、
   前記複数のサーバのうちの少なくとも一つは、
   前記ユーザ端末からのログインに応じ、当該ログインからログアウトまでの期間に限り有効となるログ結合識別子を発行する手段と、
   前記発行されたログ結合識別子を、前記ネットワークを介して他のサーバへ通知する手段と
   を備え、
   前記複数のサーバは、
   前記発行又は通知されたログ結合識別子を含む自己の動作記録を表すログを作成する手段と、
   前記作成されたログを出力する手段と
   を具備することを特徴とするログ管理システム。
6. ユーザ端末から要求された動作を複数のサーバがネットワークを介して連携して実行し、その動作記録を表すログを管理するログ管理システムにおいて、
   前記複数のサーバのうちの少なくとも一つは、
   前記ユーザ端末からのログインに応じ、当該ログインからログアウトまでの期間に限り有効となるログ結合識別子を発行する手段と、
   前記発行されたログ結合識別子を、前記ネットワークを介して他のサーバへ通知する手段と
   を備え、
   前記複数のサーバはそれぞれ、
   前記発行又は通知されたログ結合識別子及び動作時刻情報を少なくとも含む通信ログと、前記動作時刻情報及び動作内容を表す情報を含む作業ログを作成する手段と、
   前記作成された通信ログ及び作業ログを出力する手段と
   を備えることを特徴とするログ管理システム。
7. 前記複数のサーバとの間で前記ネットワークを介して通信可能なログ分析装置を、さらに具備し、
   前記ログ分析装置は、
   前記複数のサーバからそれぞれ出力されるログを、前記ネットワークを介して収集する手段と、
   前記複数のサーバから収集した複数のログを、当該各ログに含まれるログ結合識別子をもとに結合する手段と
   を備えることを特徴とする請求項５又は６記載のログ管理システム。
8. 前記ログを作成する手段は、
   前記発行又は通知されたログ結合識別子をサーバごとに異なる暗号化鍵を用いて暗号化する手段と、
   前記暗号化されたログ結合識別子を含むログを作成する手段と
   を有し、
   前記ログを結合する手段は、
   前記複数のサーバから収集した各ログに含まれる、暗号化されたログ結合識別子を前記暗号化鍵と対をなす復号鍵を用いて復号する手段と、
   前記復号されたログ結合識別子をもとに、前記収集した各ログを結合する手段と
   を有することを特徴とする請求項７記載のログ管理システム。
9. 請求項５乃至８に記載のログ管理システムが備える各手段に相当する処理を、前記複数のサーバが備えるプロセッサに実行させるログ管理プログラム。

Images