JP5422639B2 - データ蓄積システムとそのデータアクセス制御方法 - Google Patents

Description

この発明は、例えば医療分野において患者に関する情報データを蓄積するデータ蓄積システムと、上記情報データに対しアクセスするためのデータアクセス制御方法に関する。

近年、複数の医療機関がネットワークを介して連携し、医療サービスを市民に提供するサービスシステムが普及している。この種のシステムでは、例えば個々の病院がそれぞれサーバを運用し、これらのサーバ間で患者の情報データをやり取りするものとなっている。この種のシステムでは、各医療機関がそれぞれ自患者の情報データを管理している場合に、どの医療従事者がどの医療機関のどの患者の情報データにアクセスできるようにするかを柔軟に制御する必要がある。

データベースに蓄積された情報データへのアクセス制御方法の一例として、アクセス制御を行うために、インスタンス指示子、利用者指示子、操作指示子及び操作内容条件から成るインスタンス操作許可情報を管理しておき、操作実施前にアクセス要求に含まれる情報とその内容と照合し、要求された操作が可能かどうかを判定するシステムが提案されている（例えば特許文献１を参照）。

また、患者情報等のユーザの個人情報と、当該個人情報にアクセス可能なユーザとの対応付けを１対１ではなく柔軟に記述した方法も提案されている。この方法は、アクセス制御ルール以外に、本人ユーザと他のユーザとの人間関係を表すユーザ関係情報を用い、患者とある関係にあるユーザに対し、アクセスを許可するというアクセス制御ルールを用いるものである（例えば特許文献２を参照）。

特許第３７８８１１３号明細書 特開２０１１−１００３６２号公報

ところが、従来提案されている技術には以下のような解決すべき課題があった。
すなわち、アクセス制御ルールにおいて、特許文献１に示すような患者情報と当該患者情報の開示先ユーザとを直接対応付ける方法では、個々の患者に対しアクセス制御ルールを定義する必要がある。このため、患者が追加されるたびにシステム運用者や医療従事者が当該追加された患者のためのアクセス制御ルールを作成し登録する必要があり、システム運用上の負担が大きくなる。また、特許文献２に示す方法も、患者ごとに当該患者情報とは別に作成したユーザ関係情報を管理する必要があり、運用上の負担が大きい。

さらに、例えば医療情報を管理するデータベースシステムでは、治療中はその患者の情報へのアクセスを許可するが、治療後はアクセスを禁止するなど、患者の情報の内容によってアクセス制御方法を変更する場合がある。しかし、従来のアクセス制御方法では、患者のデータの内容の変更に応じて、個々のアクセス制御ルールやユーザ関係情報を変更する必要があり、その負担が大きい。

この発明は上記事情に着目してなされたもので、その目的とするところは、操作対象データ又はその所有者ごとにアクセス制御ルールを作成しなくても済むようにし、これにより管理者の負担の軽減を図ったデータ蓄積システムとそのデータアクセス制御方法を提供することにある。

上記目的を達成するためにこの発明の１つの観点は、データ自体又はその所有者を個別に特定する項目を含む特定情報と、データの内容を表す少なくとも一つの項目を含む一般情報と、上記特定情報及び一般情報に含まれる複数の項目のうちどの項目がアクセス制御データキーとして定義されているかを表す情報とから構成される操作対象データを記憶する操作対象データ記憶手段と、上記操作対象データに含まれる複数の項目のうちアクセス制御データキーとして定義されている項目の少なくとも一つとそのデータ値との組み合せをアクセス制御対象抽出条件として含み、このアクセス制御対象抽出条件に関連付けてアクセスの許否を表す情報を定義したアクセス制御ルール情報を記憶するアクセス制御ルール記憶手段とを具備するデータ蓄積システムにあって、
データ操作要求を受信した場合に、この受信されたデータ操作要求から該当する操作対象データに含まれる項目のうちアクセス制御データキーとして定義されている項目のデータ値を全て抽出し、この抽出された全てのデータ値又はその組み合わせの論理和をアクセス制御対象抽出条件として定義したアクセス制御判定要求を作成する。そして、この作成されたアクセス制御判定要求で定義されたアクセス制御対象抽出条件を満足するアクセス制御ルール情報を、上記アクセス制御ルール記憶手段から検索し、この検索されたアクセス制御ルール情報により定義されたアクセスの許否を表す情報をもとに、上記データ操作要求に対するアクセスの許否を判定するようにしたものである。

また、この発明の第１の観点は以下のような態様を備えることを特徴とする。
第１の態様は、アクセス制御判定要求を作成する際に、受信されたデータ操作要求に、アクセス者、データ操作種別及びデータ集合識別を表す項目とそのデータ値が含まれている場合にこれらの項目のデータ値の論理積を第１の条件とし、かつ上記受信されたデータ操作要求に含まれる複数の項目のうちアクセス制御データキーとして定義されている全ての項目のデータ値又はその組み合わせの論理和を第２の条件としてそれぞれ定義したアクセス制御判定要求を作成する。そして、この作成されたアクセス制御判定要求で定義された第１及び第２の条件の両方を満足するアクセス制御ルール情報をアクセス制御ルール記憶手段から検索するものである。

第２の態様は、アクセス制御判定要求を作成する際に、受信されたデータ操作要求に含まれるデータ操作種別が操作対象データの登録である場合に、当該データ操作要求に含まれる登録対象データから当該登録対象データに含まれる複数の項目のうちアクセス制御データキーとして定義されている項目のデータ値を全て抽出して、この抽出されたデータ値又はその組み合わせの論理和をアクセス制御対象抽出条件として定義したアクセス制御判定要求を作成する。そして、この作成されたアクセス制御判定要求で定義されたアクセス制御対象抽出条件を満足するアクセス制御ルール情報を上記アクセス制御ルール記憶手段から検索し、この検索されたアクセス制御ルール情報により定義されたアクセスの許否を表す情報をもとに上記データ操作要求に対するアクセスの許否を判定して、許可された場合に上記受信されたデータ操作要求に含まれる登録対象データを上記操作対象データ記憶手段に記憶させるものである。

第３の態様は、アクセス制御判定要求を作成する際に、受信されたデータ操作要求に含まれるデータ操作種別が操作対象データの検索又は削除である場合に、当該データ操作要求に含まれる検索又は削除対象を表すデータから当該データに含まれる複数の項目のうちアクセス制御データキーとして定義されている項目のデータ値を全て抽出して、この抽出されたデータ値又はその組み合わせの論理和をアクセス制御対象抽出条件として定義したアクセス制御判定要求を作成する。そして、この作成されたアクセス制御判定要求で定義されたアクセス制御対象抽出条件を満足するアクセス制御ルール情報を上記アクセス制御ルール記憶手段から検索し、この検索されたアクセス制御ルール情報により定義されたアクセスの許否を表す情報をもとに上記データ操作要求に対するアクセスの許否を判定し、許可された場合に、上記受信されたデータ操作要求に含まれる検索又は削除対象を指定するデータに応じて上記操作対象データ記憶手段に記憶された該当する操作対象データに対し検索又は削除処理を行うものである。

また上記アクセスの許否を判定する際に、検索もしくは削除したい操作対象データを特定するための検索条件が特定情報に該当する全てのアクセス制御データキーを含んでいないことに起因して、上記操作対象データ記憶手段から複数のアクセス制御ルール情報が検索された場合に、当該検索された複数のアクセス制御ルール情報によるアクセス許否の判定結果を総合して、検索もしくは削除を行うかどうかを判断するとよい。

第４の態様は、アクセス制御判定要求を作成する際に、受信されたデータ操作要求に含まれるデータ操作種別が操作対象データの変更である場合に、当該データ操作要求に含まれる変更データから当該変更データに含まれる複数の項目のうちアクセス制御データキーとして定義されている変更前の項目のデータ値を全て抽出し、この抽出されたデータ値又はその組み合わせの論理和をアクセス制御対象抽出条件として定義した第１のアクセス制御判定要求と、上記変更データに含まれる複数の項目のうちアクセス制御データキーとして定義されている変更後の項目のデータ値を全て抽出し、この抽出されたデータ値又はその組み合わせの論理和をアクセス制御対象抽出条件として定義した第２のアクセス制御判定要求をそれぞれ作成する。そして、この作成された第１及び第２のアクセス制御判定要求でそれぞれ定義されたアクセス制御対象抽出条件を満足する第１及び第２のアクセス制御ルール情報を上記アクセス制御ルール記憶手段から検索し、この検索された第１及び第２のアクセス制御ルール情報により定義されたアクセスの許否を表す情報を総合して上記データ操作要求に対するアクセスの許否を判定し、この判定によりアクセスが許可された場合に、上記受信されたデータ操作要求に含まれる変更データに応じて、上記操作対象データ記憶手段に記憶された該当する操作対象データに対し変更処理を行うものである。

第５の態様は、アクセス制御判定要求を作成する際に、受信されたデータ操作要求からアクセス制御データキーとして定義されている項目のデータ値の全て又は一部を抽出できない場合に、当該データ操作要求に含まれる操作対象データの指定情報をもとに上記操作対象データ記憶手段から該当する操作対象データを読み出し、この読み出された操作対象データからアクセス制御データキーとして定義されている項目のうち上記データ操作要求から抽出できなかった項目のデータ値を抽出して、上記アクセス制御対象抽出条件に加えるものである。

したがってこの発明の１つの観点によれば、操作対象データに含まれる複数の項目のうちその所有者を特定する情報等の特定要素を必須の検索条件に含めず、上記操作対象データに含まれる複数の項目の少なくとも１つが一致することを検索条件としてアクセス制御ルールの検索が行われることになる。このため、操作対象データごとにそのアクセス制御ルールを設定する必要がなくなり、その分アクセス制御対象の選択の自由度を高めることができ、これによりシステム管理者や医師等の作業負担を軽減することが可能となる。

すなわちこの発明によれば、操作対象データ又はその所有者ごとにアクセス制御ルールを作成しなくても済むようになり、これにより管理者の負担の軽減を図ったデータ蓄積システムとそのデータアクセス制御方法を提供することができる。

この発明の原理説明に使用するデータ蓄積システムの機能構成図。 図１に示すデータ蓄積システムが取り扱う操作対象データのデータ構造を示す図。 図１に示すデータ蓄積システムが操作対象データのアクセス制御のために管理するアクセス制御リストのデータ構造を示す図。 この発明の一実施形態に係るデータ蓄積システムの機能構成を示すブロック図。 図４に示したデータ蓄積システムが操作対象データとして取り扱う患者データの一例を示す図。 図５に示した患者データから抽出されるアクセス制御データキー情報の一例を示す図。 図４に示したデータ蓄積システムが管理するアクセス制御リストの一例を示す図。 図４に示したデータ蓄積システムによるデータアクセス制御動作の第１の例を示す図。 図４に示したデータ蓄積システムによるデータアクセス制御動作の第２の例を示す図。 図４に示したデータ蓄積システムによるデータアクセス制御動作の第３の例を示す図。

以下、図面を参照してこの発明に係わる実施形態を説明する。
［原理］
図１は、この発明の原理説明に使用するデータ蓄積システムの機能構成図である。
このシステムは、データ提供装置１とデータ要求装置２とをネットワーク３を介して接続可能としたものである。

データ提供装置１は、制御機能としてアクセス制御リスト操作手段１−１と、アクセス制御判定手段１−２と、データ操作手段１−３とを備え、また記憶機能としてアクセス制御リスト記憶手段１−４と、アクセス制御データキー情報記憶手段１−５と、操作対象データ記憶手段１−６を備えている。

操作対象データ記憶手段１−６には操作対象データＤが格納される。操作対象データＤは、図２に示すように１つ以上のデータ集合Ｄ１〜ＤＮ（１≦ｉ≦Ｎ）に分けられ、各データ集合Ｄｉは１つ以上のデータコードＲ１〜ＲＭ（１≦ｊ≦Ｍ）を含んでいる。データコードＲｊは、１つ以上のデータ項目Ｃ１〜ＣＰ及びそのデータ値ＣＶ１〜ＣＶＰ（０≦Ｐ）と、アクセス制御データキー情報を含む。

アクセス制御データキー情報は、データ集合ごとにどのデータ項目がアクセス制御データキーであるかを定義したもので、アクセス制御データＫＯとそのデータ値ＫＶＯとの組み合わせで表現される。このアクセス制御データＫＯとそのデータ値ＫＶＯの組み合わせは、１つのデータ集合について１つ以上（１≦Ｏ）設定される。この設定されたアクセス制御データキーＫ１〜ＫＯは、アクセス制御データキー情報記憶手段１−５で管理される。

アクセス制御リスト記憶手段１−４には、１つ以上のアクセス制御リストＬが格納される。アクセス制御リストＬは、上記操作対象データＤに対するアクセス制御ルールを定義するもので、図３に示すように１つ以上のアクセス制御データＬ１〜ＬＮ（１≦ｉ≦Ｎ）を有し、１つのアクセス制御データＬｉはアクセス者情報と、操作種別情報と、データ集合識別情報と、アクセス制御対象抽出条件情報と、アクセス制御情報を含む。

アクセス制御対象抽出条件情報ＴＤｉには、上記アクセス制御データキー情報記憶手段１５においてアクセス制御データキーとして管理されているデータ項目のうちの少なくとも一つが、そのデータ値と共に設定される。すなわち、操作対象データに含まれる複数のデータ項目（カラム）のうち、アクセス制御データキーとして定義されているデータ項目の少なくとも１つとそのデータ値との組み合わせがアクセス制御対象抽出条件情報ＴＤｉとして設定される。アクセス制御情報は、上記アクセス者による上記データ集合のデータレコードに対するアクセスを許可するか拒否するかを示す情報である。

データ操作手段１−３は、後述するデータ要求装置２からデータ操作要求を受け付けた場合に、アクセス制御判定要求を作成する。このアクセス制御判定要求には、データ操作要求を送出したユーザや認証状態を示すアクセス者情報と、アクセス対象データに対して実施したい操作の種類を示す操作種別情報と、アクセス制御対象とするデータ集合を特定するためのデータ集合識別情報と、アクセス制御対象抽出条件情報が記述される。

アクセス制御対象抽出条件情報は、アクセス制御対象データを絞り込む条件となる可能性がある全てのアクセス制御データキーとそのデータ値を含む。このとき、上記データ操作要求に絞り込む条件となる可能性がある全てのアクセス制御データキーとそのデータ値が含まれていない場合には、操作対象データ記憶手段１−６に格納された該当する操作対象データから不足するアクセス制御データキーのデータ値を検索して補完する。

そしてデータ操作手段１−３は、上記作成されたアクセス制御判定要求をアクセス制御判定手段１２に与えてアクセス制御判定処理を実行させ、その判定結果に従い操作対象データに対してデータ操作を行い、その結果を返却する。

アクセス制御判定手段１−２は、上記データ操作手段１−３からアクセス制御判定要求が与えられると、当該要求をもとにアクセス制御対象抽出条件情報に含まれる複数のアクセス制御データキーの１つ以上の組み合わせと一致することを検索条件とする検索条件を作成し、アクセス制御リスト操作手段１−１に与える。そして、アクセス制御リスト操作手段１−１により検索されたアクセス制御ルールをもとに、要求された操作対象データに対するアクセスが許可されているか拒否されているかを判定し、その判定結果をデータ操作手段１−３に返却する。

アクセス制御リスト操作手段１−１は、上記アクセス制御判定手段１−２から与えられた検索条件に記述された検索条件を満足するアクセス制御ルールを、アクセス制御リスト記憶手段１−４から検索する。そして、この検索により読み出されたアクセス制御ルールを上記アクセス制御判定手段１−２に返却する。

データ要求装置２はデータ操作要求手段２−１を備える。このデータ操作要求手段２−１は、アクセス者の操作に応じて操作対象データにアクセスするためのアクセス操作要求情報を作成し、データ提供装置１へ送信する機能を有する。アクセス操作要求情報には、アクセス者情報、操作対象データ又はその集合の識別情報及び操作種別を表す情報が記述され、さらにアクセス制御対象抽出条件を表す情報が記述される。このときアクセス制御対象抽出条件となる情報には、操作対象データに含まれる複数のデータ項目のうちアクセス制御データキーとして定義されているデータ項目とそのデータ値が用いられる。

したがって、このようなシステムによれば、データ要求装置２からアクセス操作要求情報が送信されると、データ提供装置１では、先ずデータ操作手段１−３において、アクセス制御データキー情報１−５を参照して、上記アクセス要操作求情報から該当する操作対象データに含まれる項目のうちアクセス制御データキーとして定義されているデータ項目のデータ値を全て抽出し、これをアクセス制御対象抽出条件情報としてアクセス制御要求情報に含める。次にこのアクセス制御要求情報をもとに、アクセス制御判定手段１−２により上記アクセス制御対象抽出条件情報に含まれる複数のアクセス制御データキーとそのデータ値の１つ以上の組み合わせが一致することを検索条件とする検索条件が作成される。そして、この条件を満足するアクセス制御ルールがアクセス制御リスト操作手段１−１によりアクセス制御リストから検索され、この検索されたアクセス制御ルールをもとに操作対象データに対するアクセスの許否が判定される。

すなわち、データ提供装置１では、操作対象データの識別情報やユーザ関係情報等の特定の情報ではなく、操作対象データに含まれる汎用な一般情報をキーとしてアクセス制御ルールの検索が行われる。このため、操作対象データごとにアクセス制御ルールを定義する必要がなく、また操作対象データとは別に作成したユーザ関係情報を管理する必要もない。さらに、操作対象データの内容の変更等に応じて、その都度アクセス制御ルールやユーザ関係情報を変更する必要もない。したがって、システム運用上の管理者等の負担は大幅に軽減される。

［一実施形態］
（構成）
図４は、この発明の一実施形態に係るデータ蓄積システムの機能構成を示すブロック図である。
このシステムは、複数のデータ提供サーバ１０ａ，１０ｂを備え、これらのデータ提供サーバ１０ａ，１０ｂにはデータ要求サーバ２０がネットワーク３０を介して接続可能となっている。また、データ要求サーバ２０には、医師端末４０及びユーザ認証サーバ５０がネットワーク３０を介して接続可能となっている。

医師端末４０は、パーソナル・コンピュータ等の端末からなり、Ａ病院の医師及びＢ病院の医師が病院データに対しアクセスする際に使用する。

データ要求サーバ２０は、制御機能としてデータ操作要求部２１と、患者情報サービス部２２と、ユーザ認証要求部２３を備える。
患者情報サービス部２２は、医師端末４０から病院データに対するアクセス要求が送られた場合に、ユーザ認証要求部２３を起動してアクセス元のユーザの認証手順を実行させる処理と、データ操作要求部２１を起動して上記データ提供サーバ１０ａ，１０ｂの患者データに対し操作要求を送信させる処理と、操作結果を要求元の医師端末２０に返送して表示させる処理を実行する機能を有する。

ユーザ認証要求部２３は、医師端末４０からアクセス者である医師のユーザＩＤやパスワード等の認証情報を受け取り、このユーザＩＤやパスワード等の認証情報を含む認証要求をユーザ認証サーバ５０へ送信する処理と、この認証要求に対する認証結果を受信して患者情報サービス部２２に通知する処理を実行する機能を有する。

ユーザ認証サーバ５０は、ユーザ認証部５１と、ユーザ認証に必要なユーザ個人情報を記憶した認証情報記憶部５２を備える。ユーザ認証部５１は、上記データ要求サーバ２０から認証要求が送られた場合に、この認証要求に含まれるユーザＩＤ及びパスワードを認証情報記憶部５２に記憶されているユーザ個人情報と照合し、アクセス者の正当性を判定してその結果を要求元のデータ要求サーバ２０に返送する機能を有する。

データ要求サーバ２０のデータ操作要求部２１は、医師端末４０におけるアクセス者の操作に応じて操作対象の患者データにアクセスするためのアクセス操作要求情報を作成し、データ提供装置１へ送信する機能を有する。アクセス操作要求情報には、アクセス者を表す情報（医師名又は医師ＩＤ）と、操作種別つまり「登録」、「変更」、「削除」又は「参照」を表す情報と、操作対象データが属するデータ集合の識別情報（例えば診療データ、入院データ又は診療詳細データ）と、アクセス制御対象抽出条件を表す情報と、上記認証結果を表す情報を含める。アクセス制御対象抽出条件を表す情報としては、操作対象データに含まれる複数のデータ項目のうちアクセス制御データキーとして定義されているデータ項目の少なくとも一つとそのデータ値を含める。

データ提供サーバ１０ａ，１０ｂは、それぞれＡ病院及びＢ病院が個別に運用するもので、この発明を実施するために必要な制御機能として、アクセス制御リスト操作部１１と、アクセス制御判定部１２と、データ操作部１３とを備え、また記憶機能としてアクセス制御リスト記憶部１４と、アクセス制御データキー情報記憶部１５と、患者データ記憶部１６を備えている。

患者データ記憶部１６には、それぞれの病院が管理する患者のデータが記憶されている。図５はその一例を示すもので、患者データは同図（ａ）に示すように診療データと、入院データと、診療詳細データとから構成される。これらのデータはそれぞれデータ集合として独立するデータテーブルに記憶される。このうち診療データを例にとると、診療データは同図（ｂ）に示すように、患者ＩＤ、診療科名、担当医師名、紹介先医師名、患者本人の名前、最終来院日時、診療情報等のカラムを有する。

アクセス制御データキー情報記憶部１５には、上記患者データのアクセス制御データキー情報が記憶される。図６は、そのうちの診療データのアクセス制御データキー情報の一例を示したもので、診療データの各カラムのうち患者ＩＤ、診療科名、担当医師名及び紹介先医師名はアクセス制御データキーであることを記述している。また、患者本人の名前、最終来院日時及び診療情報はデータ項目、患者ＩＤ及び診療科名は主キーであることをそれぞれ記述している。なお、図６はＸＭＬ（Extensible Markup Language）で記述した場合を例示したが、記述方式は問わない。

アクセス制御リスト記憶部１４には、ユーザアクセス制御リストが格納される。ユーザアクセス制御リストは、病院ごとに予め設定された患者データに対するアクセス制御ポリシをアクセス制御リスト化したもので、例えば以下のように構成される。図７はその構成を示すものである。

すなわち、アクセス制御ポリシごとに、当該ポリシを反映したアクセス制御ルールを表すデータ（アクセス制御データ）が作成される。各アクセス制御データは、ルール番号（Ｎｏ．）に対し、アクセス者情報（医師名）と、操作種別情報（「登録」、「変更」、「削除」又は「参照」）と、データ集合識別情報（診療データ、入院データ、診療詳細データ）と、アクセス制御対象抽出条件情報と、アクセス制御情報（許可／拒否）を関連付けたものである。

このうちアクセス制御対象抽出条件情報としては、アクセス対象データに含まれるアクセスデータ項目のうちアクセス制御データキーとして定義されたデータ項目の全てとそのデータ値が使用される。例えば、診療データの場合には、図６に示すように「患者ＩＤ」、「診療科名」、「担当医師名」、「紹介先医師名」が使用される。

したがって、新たな患者データが追加登録された場合でも、当該新たな患者データに対応付けてアクセス制御ルールを追加登録する必要はなくなる。また、登録済の患者データが変更された場合には、当該患者データのカラムの更新に応じて、適用されるアクセス制御ルールが自動的に変更される。このため、この場合もアクセス制御ルールを追加・変更する必要はない。

データ操作部１３は、データ要求サーバ２０からデータ操作要求を受信した場合に、アクセス制御判定要求を作成してアクセス制御判定部１２に与える。アクセス制御判定要求には、アクセス者情報（医師名）と、操作種別情報（「登録」、「変更」、「削除」又は「参照」）と、データ集合識別情報（診療データ）と、アクセス制御対象抽出条件情報が記述される。アクセス制御対象抽出条件情報には、診療データの全てのアクセス制御データキーが記述される。このとき、アクセス制御データキーが不足している場合には、患者データ記憶部１６に格納された該当する診療データから不足するアクセス制御データキーを検索して補完する。またデータ操作部１３は、後述するアクセス制御判定部１２からアクセスを許可する旨が通知された場合に、上記データ操作要求の内容に応じて患者データに対する操作を行う。

アクセス制御判定部１２は、上記データ操作部１３からアクセス制御判定要求が与えられた場合に、当該要求をもとにアクセス者情報（医師名）、操作種別情報（「登録」、「変更」、「削除」又は「参照」）及びデータ集合識別情報（診療データ）が何れも一致することを第１の条件とし、かつアクセス制御対象抽出条件情報に含まれる複数のアクセス制御データキーのうちの１つ以上の組み合わせと一致することを第２の条件とする検索条件を作成し、アクセス制御リスト操作部１１に与える。そして、当該検索条件に対しアクセス制御リスト操作部１１からアクセス制御ルールが返送された場合に、このルールをもとにアクセスが許可されたか拒否されたかを判定してその判定結果をデータ操作部１３に通知する。

アクセス制御リスト操作部１１は、上記アクセス制御判定部１２から与えられた検索条件に記述された第１及び第２の条件を満足するアクセス制御ルールを、アクセス制御リスト記憶部１４から検索する。そして、この検索により読み出されたアクセス制御ルールを上記アクセス制御判定部１２に返却する。

（動作）
次に、以上のように構成されたデータ提供サーバ１０ａ，１０ｂにおける幾つかのアクセス制御動作を説明する。
なおここでは、Ａ病院の動作を例にとり、Ａ病院は患者データに対し以下のようなアクセス制御ポリシを持っているものとして説明を行う。
ポリシ１；Ａ病院の患者の担当医師は、患者の診療データを登録、更新、参照、削除してよい。
ポリシ２；Ａ病院の患者の担当医師の代理の医師は、患者の診療データを登録、更新、参照、削除してよい。
ポリシ３；Ａ病院の医師は、自分の診療科の患者の診療データを参照してよい。
ポリシ４；Ａ病院の患者の紹介先医師は、患者の診療データを参照してよい。

（１）第１の動作
Ａ病院のａ医師が、Ａ病院のデータ提供サーバ１０ａに鈴木さんの診療データを登録する場合

Ａ病院の医師ａが、医師端末４０を用いてデータ要求サーバ２０にアクセスし、自身の医師ＩＤとパスワードを入力してログインすると、データ要求サーバ２０は患者情報サービス部２２の制御の下、ユーザ認証要求部２３によりユーザ認証サーバ５０へ上記医師ＩＤ及びパスワードを含む認証要求を送信する。これに対しユーザ認証サーバ５０は、上記認証要求を受信すると、ユーザ認証部５１が上記認証要求に含まれる医師ＩＤ及びパスワードを認証情報記憶部５２に記憶されているユーザ個人情報と照合し、アクセス者である医師ａの正当性を判定してその結果を要求元のデータ要求サーバ２０に返送する。

続いて医師ａが、医師端末４０において鈴木さんの患者データを入力したとする。そうすると、データ要求サーバ２０は患者情報サービス部２２の制御の下、上記医師端末４０から送られた患者データをもとにデータ操作要求部２１でデータ操作要求を作成し、このデータ操作要求をアクセス先のデータ提供サーバ１０ａに送信する。このときデータ操作要求には、アクセス者を示す「医師ａ」と、操作種別を示す「データ登録」と、データ集合識別を示す「診療データ」と、登録対象データを含める。登録対象データの内容は、例えば患者ＩＤを示す「Ｓ０５」と、診療科を示す「内科」と、担当医師を示す「医師ａ」と、患者の氏名を示す「鈴木一郎」と、最終来院日時を示す「2011.10.10」と、診療情報を示す「風邪」とから構成される。なお、アクセス者情報には、アクセス者が医師ａと認証されたことを示す情報も付加される。

さて、上記データ操作要求が受信されると、データ提供サーバ１０ａは以下のように患者データの登録処理を実行する。図８はその処理手順と処理内容を示すフローチャートである。
すなわち、データ提供サーバ１０ａは、ステップＳ１１で上記データ操作要求を受信すると、データ操作部１３の制御の下、先ずステップＳ１２により、上記受信したデータ操作要求をもとにアクセス制御判定要求を作成する。このアクセス制御判定要求は、図８のステップＳ１３に示すように、アクセス者を示す「医師ａ」と、操作種別を示す「データ登録」と、データ集合識別を示す「診療データ」と、アクセス制御対象抽出条件情報を含む。このうちアクセス制御対象抽出条件情報には、上記データ操作要求に含まれる登録データから抽出したアクセス制御データキーの値が挿入される。具体的には、患者ＩＤを示す「Ｓ０５」と、診療科を示す「内科」と、担当医師を示す「医師ａ」が挿入される。

データ提供サーバ１０ａは、次にステップＳ１４によりアクセス要求判定部１２を起動し、このアクセス要求判定部１２の制御の下、上記アクセス制御判定要求をもとに検索条件を作成する。例えば、ステップＳ１５に示すように、アクセス者を示す「医師ａ」、操作種別を示す「データ登録」及びデータ集合識別を示す「診療データ」が何れも一致することを第１の条件とし、かつ患者ＩＤを示す「Ｓ０５」、診療科を示す「内科」及び担当医師を示す「医師ａ」の１つ以上の組み合わせと一致することを第２の条件とする検索条件を作成する。

データ提供サーバ１０ａは、続いてステップＳ１６によりアクセス制御リスト操作部１１を起動する。そして、このアクセス制御リスト操作部１１の制御の下、上記作成された第１及び第２の条件を満足するアクセス制御ルールを、アクセス制御リスト記憶部１４から検索する。この結果、図７に示すユーザアクセス制御リストのうち「ルールＮｏ．１」のアクセス制御ルールが読み出される。アクセス制御リスト操作部１１はこの読み出された「ルールＮｏ．１」のアクセス制御ルールを、ステップＳ１７によりアクセス要求判定部１２に返却する。
なお、上記アクセス制御対象抽出条件情報に含まれるアクセス制御データキーをもとに第２の条件を作成する処理は、アクセス制御リスト操作部１１において行ってもよい。

データ提供サーバ１０ａは、次にステップＳ１８においてアクセス要求判定部１２の制御の下、上記「ルールＮｏ．１」のアクセス制御ルールに記載されたアクセス制御情報をもとにアクセスが許可されているか否かを判定する。そして、この場合は「許可」されているので、ステップＳ１９によりデータ登録の許可通知をデータ操作部１３に返却する。

データ提供サーバ１０ａは、データ操作部１３の制御の下で、ステップＳ２０により、先に受信されたデータ操作要求に含まれる登録データを、患者データ記憶部１６内の診療データベースに記憶する処理を実行する。そして、登録処理が終了するとステップＳ２１によりデータ登録が成功した旨のメッセージを、要求元のデータ要求サーバ２０に返送する。データ要求サーバ２０は、このメッセージを受信すると当該メッセージを医師端末４０へ返送する。

かくして、Ａ病院のａ医師の操作による、Ａ病院のデータ提供サーバ１０ａへの診療データの登録がなされる。
なお、図８の例では紹介先医師カラムが空欄となっており、アクセス制御判定要求に含めていない。しかし、「紹介先医師カラムが空欄である」を検索条件としてアクセス制御判定要求に含めるようにしてもよい。

（２）第２の動作
Ａ病院の医師ｅが、Ａ病院のデータ提供サーバ１０ａに登録済の山田さんの患者データについて、担当医師を医師ａから医師ｃに変更しようとした場合

Ａ病院の医師ｅの認証処理は、先に（１）で述べた医師ａの認証処理と同様に行われる。
この認証処理後、医師ｅが医師端末４０において、Ａ病院のデータ提供サーバ１０ａに登録済の山田さんの診療データにおいて、「担当医師」欄を「医師ａ」から「医師ｃ」に変更する操作を行ったとする。

そうすると、データ要求サーバ２０は患者情報サービス部２２の制御の下、上記医師端末４０から送られた変更データをもとにデータ操作要求部２１でデータ操作要求を作成し、このデータ操作要求をアクセス先のデータ提供サーバ１０ａに送信する。このときのデータ操作要求には、アクセス者を示す「医師ｅ」と、操作種別を示す「データ更新」と、データ集合識別を示す「診療データ」と、更新データが挿入される。更新データの内容は、例えば患者ＩＤを示す「Ｓ０１」と、診療科を示す「内科」と、担当医師を示す「医師ｃ」とから構成される。なお、アクセス者情報には、アクセス者が医師ｅと認証されたことを示す情報も付加される。

さて、上記データ操作要求が受信されると、データ提供サーバ１０ａは以下のように患者データの変更処理を実行する。図９はその処理手順と処理内容を示すフローチャートである。

すなわち、データ提供サーバ１０ａは、ステップＳ３１で上記データ操作要求を受信すると、データ操作部１３の制御の下、先ずステップＳ３２により、上記受信したデータ操作要求をもとにアクセス制御判定要求を作成する。

例えば、先ず上記受信されたデータ操作要求をもとに、更新前のアクセス制御判定要求と、更新後のアクセス制御判定要求を作成する。但し、上記受信したデータ操作要求に含まれる更新データだけではアクセス制御データキーが不足する場合には、上記更新データに含まれる全ての主キーを使って、更新前の山田さんの診療データを患者データ記憶部１６から検索する。そして、この検索された診療データから全てのアクセス制御データキーの値を抽出し、上記更新前及び更新後の各アクセス制御判定要求のアクセス制御対象抽出条件情報を補完する。図９中のステップＳ３３及びステップＳ３４は、それぞれこのようにして作成された更新前アクセス制御判定要求及び更新後アクセス制御判定要求の構成を示すものである。

データ提供サーバ１０ａは、次にステップＳ３５においてアクセス制御判定部１２を起動し、このアクセス制御判定部１２の制御の下、上記作成された更新前アクセス制御判定要求及び更新後アクセス制御判定要求をもとにそれぞれ検索条件を作成する。

例えば、更新前アクセス制御判定要求については、ステップＳ３６に示すようにアクセス者を示す「医師ｅ」、操作種別を示す「データ変更」及びデータ集合識別を示す「診療データ」が何れも一致することを第１の条件とし、かつ患者ＩＤを示す「Ｓ０１」、診療科を示す「内科」及び担当医師を示す「医師ａ」及び紹介先医師を示す「医師ｂ」の１つ以上の組み合わせと一致することを第２の条件とする検索条件を作成する。

また更新後アクセス制御判定要求については、ステップＳ３７に示すようにアクセス者を示す「医師ｅ」、操作種別を示す「データ変更」及びデータ集合識別を示す「診療データ」が何れも一致することを第１の条件とし、かつ患者ＩＤを示す「Ｓ０１」、診療科を示す「内科」及び担当医師を示す「医師ｃ」及び紹介先医師を示す「医師ｂ」の１つ以上の組み合わせと一致することを第２の条件とする検索条件を作成する。

データ提供サーバ１０ａは、続いてステップＳ３８によりアクセス制御リスト操作部１１を起動する。そして、このアクセス制御リスト操作部１１の制御の下、上記作成された更新前アクセス制御判定要求による検索条件を満足するアクセス制御ルールと、更新後アクセス制御判定要求による検索条件を満足するアクセス制御ルールを、アクセス制御リスト記憶部１４からそれぞれ検索する。この検索の結果、更新前アクセス制御判定要求による検索条件を満足するアクセス制御ルールとして、図７に示したユーザアクセス制御リストからは「ルールＮｏ．５」のアクセス制御ルールが読み出される。一方、更新後アクセス制御判定要求による検索条件を満足するアクセス制御ルールは図７に示したユーザアクセス制御リストには存在しないため、アクセス制御ルールの読み出しは行われない。

データ提供サーバ１０ａは、続いてアクセス制御判定部１２の制御の下、上記検索結果をもとに、ステップＳ４０においてアクセスの許否を判定する。例えば、更新前アクセス制御判定要求に対しては、「ルールＮｏ．５」のアクセス制御ルールから「アクセス許可」と判定する。一方、更新後アクセス制御判定要求に対しては、該当するアクセス制御ルールがないので「アクセス拒否（又は禁止）」と判定する。そして、これらの判定結果を表す応答(1) ，(2) をステップＳ４１によりデータ操作部１３に返却する。

データ提供サーバ１０ａは、データ操作部１３の制御の下、ステップＳ４２により上記返却された応答(1) ，(2) をもとに総合的に「アクセス禁止」と判断し、ステップＳ４３でデータ更新失敗を表すメッセージを作成して要求元のデータ要求サーバ２０へ返送する。

なお、以上の説明では、更新前データと更新後データとに分けて、データ操作部１３からアクセス制御判定部１２を２回呼んでいるが、更新前データと更新後データを合わせたインタフェースによりアクセス制御判定部１２を１回で呼ぶという方式も実施可能である。

（３）第３の動作
Ｂ病院の医師ｂが、Ａ病院のデータ提供サーバ１０ａで管理されている山田さんの診療データを参照する場合

Ｂ病院の医師ｂの認証処理は、先に（１）で述べた医師ａの認証処理と同様に行われる。
この認証処理後、医師ｂが医師端末４０において、Ａ病院のデータ提供サーバ１０ａに登録済の山田さんの診療データを参照（閲覧）するために、検索キーとして「患者ＩＤ＝Ｓ０１」及び「診療科＝内科」を入力したとする。

そうすると、データ要求サーバ２０は患者情報サービス部２２の制御の下、上記医師端末４０から送られた検索データをもとにデータ操作要求部２１でデータ操作要求を作成し、このデータ操作要求をアクセス先のデータ提供サーバ１０ａに送信する。このときのデータ操作要求には、アクセス者を示す「医師ｂ」と、操作種別を示す「データ検索」と、データ集合識別を示す「診療データ」と、検索データが挿入される。検索データの内容は、例えば患者ＩＤを示す「Ｓ０１」と、診療科を示す「内科」とから構成される。なお、アクセス者情報には、アクセス者が医師ｂと認証されたことを示す情報も付加される。

上記データ操作要求が受信されると、データ提供サーバ１０ａは以下のように患者データの検索処理を実行する。図１０はその処理手順と処理内容を示すフローチャートである。

すなわち、データ提供サーバ１０ａは、ステップＳ５１で上記データ操作要求を受信すると、データ操作部１３の制御の下、先ずステップＳ５２により、上記受信したデータ操作要求をもとにアクセス制御判定要求を作成する。
例えば、図１０のステップＳ５３に示すように、アクセス者を示す「医師ｂ」と、操作種別を示す「データ検索」と、データ集合識別を示す「診療データ」と、アクセス制御対象抽出条件情報を含むアクセス制御判定要求を作成する。このうちアクセス制御対象抽出条件情報には、上記データ操作要求に含まれる検索データから抽出したアクセス制御データキーの値が挿入される。但し、上記受信したデータ操作要求に含まれる検索データだけではアクセス制御データキーが不足する場合には、上記検索データに含まれる全ての主キーを使って、山田さんの診療データを患者データ記憶部１６から検索する。そして、この検索された診療データから全てのアクセス制御データキーの値を抽出し、上記アクセス制御対象抽出条件情報を補完する。この結果、アクセス制御対象抽出条件情報には、患者ＩＤを示す「Ｓ０１」及び診療科を示す「内科」に加え、担当医師を示す「医師ａ」と、紹介先医師を示す「医師ｂ」が追加される。

データ提供サーバ１０ａは、次にステップＳ５４によりアクセス要求判定部１２を起動し、このアクセス要求判定部１２の制御の下で、上記アクセス制御判定要求をもとに検索条件を作成する。例えば、ステップＳ５５に示すように、アクセス者を示す「医師ｂ」、操作種別を示す「データ検索」及びデータ集合識別を示す「診療データ」が何れも一致することを第１の条件とし、かつ患者ＩＤを示す「Ｓ０１」、診療科を示す「内科」、担当医師を示す「医師ａ」及び照会医師を示す「医師ｂ」の１つ以上の組み合わせと一致することを第２の条件とする検索条件を作成する。

データ提供サーバ１０ａは、続いてステップＳ５６によりアクセス制御リスト操作部１１を起動する。そして、このアクセス制御リスト操作部１１の制御の下で、上記作成された第１及び第２の条件を満足するアクセス制御ルールを、アクセス制御リスト記憶部１４から検索する。この結果、図７に示すユーザアクセス制御リストのうち「ルールＮｏ．１１」のアクセス制御ルールが読み出される。アクセス制御リスト操作部１１はこの読み出された「ルールＮｏ．１１」のアクセス制御ルールを、ステップＳ５７によりアクセス要求判定部１２に返却する。
なお、上記アクセス制御対象抽出条件情報に含まれるアクセス制御データキーをもとに第２の条件を作成する処理は、アクセス制御リスト操作部１１において行ってもよい。

データ提供サーバ１０ａは、次にステップＳ５８においてアクセス要求判定部１２の制御の下で、上記「ルールＮｏ．１１」のアクセス制御ルールに記載されたアクセス制御情報をもとにアクセスが許可されているか否かを判定する。そして、この場合は「許可」されているので、ステップＳ５９によりデータ検索の許可通知をデータ操作部１３に返却する。

データ提供サーバ１０ａは、データ操作部１３の制御の下で、ステップＳ６０により、先に受信されたデータ操作要求に含まれる患者ＩＤをキーに患者データ記憶部１６を検索し、該当する山田さんの診療データを選択的に読み出す。そして、この読み出された診療データを、ステップＳ６１により操作要求元のデータ要求サーバ２０に返送する。データ要求サーバ２０は、この返送された山田さんの診療データを医師端末４０へ返送する。
かくして、Ｂ病院のｂ医師は、Ａ病院のデータ提供サーバ１０ａで管理されている山田さんの診療データを自身の医師端末４０で閲覧することができる。

なお、以上述べた（３）の動作例では、ステップＳ５２でアクセス制御判定要求を作成する際に、主キー全てを使って山田さんの診療データテーブルを検索しているため、１レコードのみがヒットしている。仮に、検索キーとして主キーが全て指定されていなかった場合には、複数レコードが検索結果として得られる。この場合、１レコードについて１回ずつアクセス制御判定部１２を呼び出してアクセス制御判定を行うか、又は１回のアクセス制御判定部１２の呼び出しで全レコード分のパラメータを渡すようにしてもよい。

また、検索レコードのそれぞれに対しアクセス制御判定結果が得られるが、その後の動作としては以下の２つが考えられる。
(1) アクセス制御判定結果が「許可」のレコードについてのみ、検索レコードを返却する。
(2) 複数のアクセス制御判定結果から、検索対象レコード全体のアクセス制御判定結果を出す。例えば、全てのアクセス制御判定結果が「許可」であれば、検索レコードを返却するが、一つでも「禁止」があると処理失敗と判断して１件もレコードを返却しない。
この２つの動作はどちらを選択してもよい。

（実施形態の効果）
以上詳述したように一実施形態に係るデータ提供サーバ１０ａ，１０ｂでは、データ要求サーバ２０から送信されたデータ操作要求を受信した場合に、このデータ操作要求により指定されたアクセス者情報、操作種別情報及びデータ集合識別情報の全てが一致することを第１の検索条件とし、かつ上記データ操作要求により指定された操作対象の患者データに含まれる複数の項目のうちアクセス制御データキーとして用いる項目の１つ以上の組み合わせと一致することを第２の検索条件とするアクセス制御判定要求を作成する。そして、この作成されたアクセス制御判定要求の第１及び第２の検索条件を満足するアクセス制御ルールをアクセス制御リスト記憶部１４から検索し、この検索されたアクセス制御ルールをもとに上記データ操作要求に対する拒否を判定するようにしている。

したがって、患者データに含まれる複数の項目のうち患者を特定する患者ＩＤや病院を特定する病院ＩＤ等の特定要素を必須の検索条件に含めず、上記患者データに含まれる複数の項目の少なくとも１つが一致することを検索条件としてアクセス制御ルールの検索が行われることになる。このため、患者データごとにそのアクセス制御ルールを設定する必要がなくなり、その分アクセス制御対象の選択の自由度を高めることができ、これによりシステム管理者や医師等の作業負担を軽減することが可能となる。

例えば、患者データに対するアクセス制御ルールを、患者番号以外の診療科や居住地等に対応付けたルールを設定することが可能となる。これにより、アクセス制御ルールが汎用的になり、少ない数のアクセス制御ルールで記述が可能となる。それに伴い、アクセス制御ルールの運用負荷が軽減される。
また、患者データに含まれる項目の情報を利用するため、アクセス制御対象の選択のために、アクセス制御対象をグルーピングするためのデータやテーブルを別途追加する必要もない。

［その他の実施形態］
アクセス制御リスト記憶部１４に格納されるユーザアクセス制御リストには、優先度情報の項目を含めるようにしてもよい。このようにすると、アクセス制御操作リスト操作部１１により複数のアクセス制御ルールが検索された場合に、上記優先度情報をもとに上記複数のルールのうちどのルールを優先させるかを判断することができる。また、アクセス者、操作種別、データ集合識別情報によりルールが変わらない場合には、これらの項目を省略してもよい。

また、操作種別について、前記一実施形態では「データ登録」、「データ更新」、「データ参照」、「データ削除」の４種類としたが、これ以外にも「読取」及び「書込」の２種類の操作種別としたり、「担当医師更新」、「紹介先医師更新」等のサービスごとに細かく操作種別を設定してもよい。

さらに、図１に示したシステムでは、データ操作手段１−３、アクセス制御判定手段１−２及びアクセス制御リスト操作手段１−１をデータ提供装置１に設けた場合を例示したが、それぞれ独立した異なるサーバ装置に設けるようにしてもよい。例えば、データ操作用のサーバにデータ操作手段とそのデータを設け、アクセス制御用のサーバにアクセス制御判定手段、アクセス制御リスト操作手段及びアクセス制御リスト情報を設けるように構成してもよい。この場合には、データ操作用サーバのデータ操作手段が、アクセス制御用サーバのアクセス制御判定手段との間でネットワーク３を介して通信を行うことになるが、全体の処理手順は変わらない。

さらに、前記実施形態ではデータ提供サーバ１０ａ，１０ｂとは別にデータ要求サーバ２０を設けたが、データ要求サーバ２０の機能をデータ提供サーバ１０ａ，１０ｂに設けてもよい。また、データ要求サーバ２０の機能をアクセス者の端末に設けるようにしてもよい。その他、データ提供サーバの機能や、操作対象データ及びアクセス制御リストの構成、データ操作手段、アクセス制御判定手段及びアクセス制御リスト操作手段による処理手順とその処理内容等についても、この発明の要旨を逸脱しない範囲で種々変形して実施可能である。

要するにこの発明は、上記実施形態そのままに限定されるものではなく、実施段階ではその要旨を逸脱しない範囲で構成要素を変形して具体化できる。また、上記実施形態に開示されている複数の構成要素の適宜な組み合せにより種々の発明を形成できる。例えば、実施形態に示される全構成要素から幾つかの構成要素を削除してもよい。さらに、異なる実施形態に亘る構成要素を適宜組み合せてもよい。

１…データ提供装置、２…データ要求装置、３…ネットワーク、１−１…アクセス制御リスト操作手段、１−２…アクセス制御判定手段、１−３…データ操作手段、１−４…アクセス制御リスト、１−５…アクセス制御データキー情報、１−６…患者データ、２−１…データ操作要求手段、１０ａ，１０ｂ…病院データ提供サーバ、１１…アクセス制御リスト操作部、１２…アクセス制御判定部、１３…データ操作部、１４…アクセス制御リスト記憶部、１５…アクセス制御データキー情報記憶部、１６…患者データ、２０…データ要求サーバ、２１…データ操作要求部、２２…患者情報サービス部、２３…ユーザ認証要求部、３０…ネットワーク、４０…医師端末、５０…ユーザ認証サーバ、５１…ユーザ認証部、５２…認証情報記憶部。

Claims (8)

1. データ自体又はその所有者を個別に特定する項目を含む特定情報と、データの内容を表す少なくとも一つの項目を含む一般情報と、前記特定情報及び一般情報に含まれる複数の項目のうちどの項目がアクセス制御データキーとして定義されているかを表す情報とから構成される操作対象データを記憶する操作対象データ記憶手段と、
   前記操作対象データに含まれる複数の項目のうちアクセス制御データキーとして定義されている項目の少なくとも一つとそのデータ値との組み合わせをアクセス制御対象抽出条件として含み、このアクセス制御対象抽出条件に関連付けてアクセスの許否を表す情報を定義したアクセス制御ルール情報を記憶するアクセス制御ルール記憶手段と、
   データ操作要求を受信した場合に、この受信されたデータ操作要求から該当する操作対象データに含まれる項目のうちアクセス制御データキーとして定義されている項目のデータ値を全て抽出し、この抽出された全てのデータ値又はその組み合わせの論理和をアクセス制御対象抽出条件として定義したアクセス制御判定要求を作成する手段と、
   前記作成されたアクセス制御判定要求で定義されたアクセス制御対象抽出条件を満足するアクセス制御ルール情報を、前記アクセス制御ルール記憶手段から検索する手段と、
   前記検索されたアクセス制御ルール情報により定義されたアクセスの許否を表す情報をもとに、前記データ操作要求に対するアクセスの許否を判定する手段と
   を具備することを特徴とするデータ蓄積システム。
2. 前記アクセス制御判定要求を作成する手段は、
   前記受信されたデータ操作要求に、アクセス者、データ操作種別及びデータ集合識別を表す項目とそのデータ値が含まれている場合にこれらの項目のデータ値の論理積を第１の条件とし、かつ前記受信されたデータ操作要求に含まれる複数の項目のうちアクセス制御データキーとして定義されている全ての項目のデータ値又はその組み合わせの論理和を第２の条件としてそれぞれ定義したアクセス制御判定要求を作成し、
   前記アクセス制御ルールの検索手段は、
   前記作成されたアクセス制御判定要求で定義された第１及び第２の条件の両方を満足するアクセス制御ルール情報を、前記アクセス制御ルール記憶手段から検索する
   ことを特徴とする請求項１記載のデータ蓄積システム。
3. 前記アクセス制御判定要求を作成する手段は、
   前記受信されたデータ操作要求に含まれるデータ操作種別が操作対象データの登録である場合に、当該データ操作要求に含まれる登録対象データから当該登録対象データに含まれる複数の項目のうちアクセス制御データキーとして定義されている項目のデータ値を全て抽出して、この抽出されたデータ値又はその組み合わせの論理和をアクセス制御対象抽出条件として定義したアクセス制御判定要求を作成し、
   前記アクセス制御ルールの検索手段は、
   前記作成されたアクセス制御判定要求で定義されたアクセス制御対象抽出条件を満足するアクセス制御ルール情報を、前記アクセス制御ルール記憶手段から検索し、
   前記アクセスの許否を判定する手段は、
   前記検索されたアクセス制御ルール情報により定義されたアクセスの許否を表す情報をもとに前記データ操作要求に対するアクセスの許否を判定し、この判定によりアクセスが許可された場合に前記受信されたデータ操作要求に含まれる登録対象データを前記操作対象データ記憶手段に記憶させる
   ことを特徴とする請求項１記載のデータ蓄積システム。
4. 前記アクセス制御判定要求を作成する手段は、
   前記受信されたデータ操作要求に含まれるデータ操作種別が操作対象データの検索又は削除である場合に、当該データ操作要求に含まれる検索又は削除対象を表すデータから当該データに含まれる複数の項目のうちアクセス制御データキーとして定義されている項目のデータ値を全て抽出して、この抽出されたデータ値又はその組み合わせの論理和をアクセス制御対象抽出条件として定義したアクセス制御判定要求を作成し、
   前記アクセス制御ルールの検索手段は、
   前記作成されたアクセス制御判定要求で定義されたアクセス制御対象抽出条件を満足するアクセス制御ルール情報を、前記アクセス制御ルール記憶手段から検索し、
   前記アクセスの許否を判定する手段は、
   前記検索されたアクセス制御ルール情報により定義されたアクセスの許否を表す情報をもとに前記データ操作要求に対するアクセスの許否を判定し、この判定によりアクセスが許可された場合に、前記受信されたデータ操作要求に含まれる検索又は削除対象を指定するデータに応じて、前記操作対象データ記憶手段に記憶された該当する操作対象データに対し検索又は削除処理を行う
   ことを特徴とする請求項１記載のデータ蓄積システム。
5. 前記アクセスの許否を判定する手段は、
   検索もしくは削除したい操作対象データを特定するための検索条件が特定情報に該当する全てのアクセス制御データキーを含んでいないことに起因して、前記操作対象データ記憶手段から複数のアクセス制御ルール情報が検索された場合に、当該検索された複数のアクセス制御ルール情報によるアクセス許否の判定結果を総合して、検索もしくは削除を行うかどうかを判断することを特徴とする請求項４記載のデータ蓄積システム。
6. 前記アクセス制御判定要求を作成する手段は、
   前記受信されたデータ操作要求に含まれるデータ操作種別が操作対象データの変更である場合に、当該データ操作要求に含まれる変更データから当該変更データに含まれる複数の項目のうちアクセス制御データキーとして定義されている変更前の項目のデータ値を全て抽出し、この抽出されたデータ値又はその組み合わせの論理和をアクセス制御対象抽出条件として定義した第１のアクセス制御判定要求と、前記変更データに含まれる複数の項目のうちアクセス制御データキーとして定義されている変更後の項目のデータ値を全て抽出し、この抽出されたデータ値又はその組み合わせの論理和をアクセス制御対象抽出条件として定義した第２のアクセス制御判定要求をそれぞれ作成し、
   前記アクセス制御ルールの検索手段は、
   前記作成された第１及び第２のアクセス制御判定要求でそれぞれ定義されたアクセス制御対象抽出条件を満足する第１及び第２のアクセス制御ルール情報を、前記アクセス制御ルール記憶手段から検索し、
   前記アクセスの許否を判定する手段は、
   前記検索された第１及び第２のアクセス制御ルール情報により定義されたアクセスの許否を表す情報を総合して前記データ操作要求に対するアクセスの許否を判定し、この判定によりアクセスが許可された場合に、前記受信されたデータ操作要求に含まれる変更データに応じて、前記操作対象データ記憶手段に記憶された該当する操作対象データに対し変更処理を行う
   ことを特徴とする請求項１記載のデータ蓄積システム。
7. 前記アクセス制御判定要求を作成する手段は、
   前記受信されたデータ操作要求からアクセス制御データキーとして定義されている項目のデータ値の全部又は一部を抽出できない場合に、当該データ操作要求に含まれる操作対象データの指定情報をもとに前記操作対象データ記憶手段から該当する操作対象データを読み出し、この読み出された操作対象データからアクセス制御データキーとして定義されている項目のうち前記データ操作要求から抽出できなかった項目のデータ値を抽出して、前記アクセス制御対象抽出条件に加えることを特徴とする請求項１乃至６のいずれかに記載のデータ蓄積システム。
8. データ自体又はその所有者を個別に特定する項目を含む特定情報と、データの内容を表す少なくとも一つの項目を含む一般情報と、前記特定情報及び一般情報に含まれる複数の項目のうちどの項目がアクセス制御データキーとして定義されているかを表す情報とから構成される操作対象データを記憶する操作対象データ記憶手段と、前記操作対象データに含まれる複数の項目のうちアクセス制御データキーとして定義されている項目の少なくとも一つとそのデータ値との組み合わせをアクセス制御対象抽出条件として含み、このアクセス制御対象抽出条件に関連付けてアクセスの許否を表す情報を定義したアクセス制御ルール情報を記憶するアクセス制御ルール記憶手段とを備えるデータ蓄積システムで実行されるデータアクセス制御方法であって、
   データ操作要求を受信した場合に、この受信されたデータ操作要求から該当する操作対象データに含まれる項目のうちアクセス制御データキーとして定義されている項目のデータ値を全て抽出し、この抽出された全てのデータ値又はその組み合わせの論理和をアクセス制御対象抽出条件として定義したアクセス制御判定要求を作成する過程と、
   前記作成されたアクセス制御判定要求で定義されたアクセス制御対象抽出条件を満足するアクセス制御ルール情報を、前記アクセス制御ルール記憶手段から検索する過程と、
   前記検索されたアクセス制御ルール情報により定義されたアクセスの許否を表す情報をもとに、前記データ操作要求に対するアクセスの許否を判定する過程と
   を具備することを特徴とするデータアクセス制御方法。

Images