JP5499148B1 - データアクセス制御装置及び方法 - Google Patents

Abstract

【課題】操作対象データを追加した場合にその都度アクセス制御ルールを定義する必要を無くし、これによりシステム運用上の負担軽減を図る。
【解決手段】データ提供サーバ１のアクセス制御変換・判定部１１２において、アクセス制御変換リスト記憶部１２２から検索したアクセス制御変換ルールに従い、利用者端末ＴＭｂから送られた操作対象データ指示情報の検索条件を変換し、この変換された検索条件に該当するアクセス制御ルールをアクセス制御リスト記憶部１２１から読み出して、アクセス制御の許否を判定する。
【選択図】図２

Description

この発明は、例えば患者に関する情報データを蓄積し管理するシステムにおいて、前記蓄積された情報データに対しアクセスするためのデータアクセス制御装置及び方法に関する。

近年、複数の医療機関がネットワークを介して連携し、医療サービスを市民に提供するサービスシステムが普及している。この種のシステムでは、例えば個々の病院がそれぞれサーバを運用し、これらのサーバ間で患者の情報データをやり取りするものとなっている。この種のシステムでは、各医療機関がそれぞれ自患者の情報データを管理している場合に、どの医療従事者がどの医療機関のどの患者の情報データにアクセスできるようにするかを柔軟に制御する必要がある。

データベースに蓄積された情報データへのアクセス制御方法の一例として、アクセス制御を行うために、インスタンス指示子、利用者指示子、操作指示子及び操作内容条件から成るインスタンス操作許可情報を管理しておき、操作実施前にアクセス要求に含まれる情報とその内容と照合し、要求された操作が可能かどうかを判定するシステムが提案されている（例えば特許文献１を参照）。

特許第３７８８１１３号公報

ところが、従来提案されている技術には以下のような解決すべき課題があった。すなわち、特許文献１に示すように、アクセス制御ルールにアクセス対象データを示すインスタンス指示子が直接含まれる場合には、アクセス対象データを追加したときに当該アクセス対象データに同一のアクセス制御ルールを適用可能な場合でも、当該アクセス制御ルールを追加もしくは修正する必要が生じる。

例えば、患者データとして、「診療サマリ」、「処方箋」及び「検査データ」を管理している場合、「診療サマリ」、「処方箋」及び「検査データ」のそれぞれに対しアクセス制御ルールを記述する必要が生じる。さらに、患者データとして、新たに「健康診断データ」を追加した場合、当該「健康診断データ」に対しても基本的に「検査データ」と同様のポリシでアクセス制御できるにも拘わらず、「検査データ」に対し定義していたアクセス制御ルールと同一のルールを「健康診断データ」に対しても定義する必要がある。この場合、「検査データ」に対するアクセス制御ルールが１つの場合には、特に運用上の負担とはならない。しかし、「検査データ」に対するアクセス制御ルールとして、１００個、１０００個といった多数のルールが記述されている場合には、システム運用上の負担がきわめて大きくなる。

特に医療の世界では、どの患者の情報を誰に見せてよいかというアクセス制御ルールを個人の都合や通院病院に合わせきめ細かく設定できることが要求される。このため、例えばＡさんの情報についてはＡさんのかかりつけ医、Ｂさんの情報についてはＢさんの家族と通院先の病院の医師というように、個人の都合に合わせてアクセス制御ルールを定義するため、定義するアクセス制御ルールの数がきわめて多くなる傾向がある。

この発明は上記事情に着目してなされたもので、その目的とするところは、操作対象データを追加した場合にその都度アクセス制御ルールを定義する必要を無くし、これによりシステム運用上の負担軽減を図ったデータアクセス制御装置及び方法を提供することにある。

上記目的を達成するためにこの発明の第１の観点は、第１の操作対象データに対し定義された、当該第１の操作対象データを検索するための第１の検索条件を含むアクセス制御ルールを記憶する第１の記憶手段と、前記第１の検索条件と、アクセス制御ルールが定義されていない第２の操作対象データを検索するための第２の検索条件とを相互に関連付けたアクセス制御変換情報を記憶する第２の記憶手段とを備える。そして、前記第２の検索条件を記述した、前記第２の操作対象データに対するデータ操作要求を受信したとき、当該受信されたデータ操作要求に記述された第２の検索条件を、前記第２の記憶手段に記憶されたアクセス制御変換情報に基づいて第１の検索条件に変換する。そして、前記変換された第１の検索条件をもとに、当該第１の検索条件を含むアクセス制御ルールを前記第１の記憶手段から読み出し、この読み出されたアクセス制御ルールに基づいて前記第２の操作対象データに対する操作を許可するか否かを判定し、操作が許可された場合に前記第２の操作データに対する操作を実行するようにしたものである。

またこの発明の第１の観点は、以下のようなより具体的な実施態様を備えることも特徴とする。すなわち、前記アクセス制御ルールに、データ操作要求を送出した利用者を示すアクセス者情報と、操作対象データに対して実施したい操作の種類を示す操作種別情報と、操作対象データの集合を特定するための対象データ識別子と、当該操作対象データの集合から抽出すべき操作対象データのデータ項目とその値を示す対象データ抽出条件と、前記利用者による前記操作対象データに対するデータ操作を許可するか許否するかを示すアクセス制御情報とを含める。また、前記アクセス制御変換情報は、前記アクセス制御ルールを検索するために用いる対象データ識別子、及び対象データ抽出項目を含むアクセス制御ルール照合情報と、操作対象データのデータ集合を特定する対象データ識別子、及びデータレコードを特定する対象データ抽出項目を含む操作対象データ指示情報とを、それぞれ第１及び第２の検索条件として含め、さらに前記各対象データ抽出項目を対応するデータ識別子により特定されるデータ集合に含まれる複数のデータ項目のうちの部分集合とする。そして、前記変換手段において、操作対象データのデータ集合を特定する対象データ識別子、及び操作対象データを特定するデータ項目を含む第２の検索条件を記述したデータ操作要求を受信し、当該受信された対象データ識別子及びデータ項目を操作対象データ指示情報に含むアクセス制御変換情報を前記第２の記憶手段から読み出す。そして、読み出されたアクセス制御変換情報からアクセス制御ルール照合情報に含まれる対象データ識別子及び対象データ抽出項目を抽出し、この抽出した対象データ識別子及び対象データ抽出項目を抽出条件に含むアクセス制御ルールを前記第１の記憶手段から読み出すようにする。

上記目的を達成するためにこの発明の第２の観点は、第１の操作対象データに対し定義された、当該第１の操作対象データを検索するための第１の検索条件を含むアクセス制御ルールを記憶する第１の記憶手段と、前記第１の検索条件と、アクセス制御ルールが定義されていない第２の操作対象データを検索するための第２の検索条件と、当該第２の検索条件を補充するための補充対象データを検索するために用いる第３の検索条件とを相互に関連付けたアクセス制御変換情報を記憶する第２の記憶手段とを備える。そして、前記第２の検索条件を記述した、前記第２の操作対象データに対するデータ操作要求を受信したとき、先ず当該受信されたデータ操作要求に記述された第２の検索条件をもとに前記第２の記憶手段から当該第２の検索条件を含むアクセス制御変換情報を読み出す。次に、前記読み出されたアクセス制御変換情報に含まれる第３の検索条件に基づいて、補充対象データを取得し、前記読み出されたアクセス制御変換情報に含まれる第１の検索条件に前記取得された補充対象データを加えて第４の検索条件を生成して、この生成された第４の検索条件をもとに、当該第４の検索条件を含むアクセス制御ルールを前記第１の記憶手段から読み出す。続いて、前記読み出されたアクセス制御ルールに基づいて、前記第２の操作対象データに対する操作を許可するか否かを判定し、操作が許可された場合に前記第２の操作データに対する操作を実行するようにしたものである。

またこの発明の第２の観点は、以下のようなより具体的な実施態様を備えることも特徴とする。
第１の態様は、前記補充対象データを取得する際に、前記受信されたデータ操作要求に記述された第２の検索条件と、前記読み出されたアクセス制御変換情報に含まれる第３の検索条件とが同一であるか否かを判定する。そして、同一ではないと判定された場合に当該第３の検索条件に基づいて補充対象データを取得し、一方同一であると判定された場合には前記補充対象データの取得処理を省略する。また、前記アクセス制御ルールを読み出す際に、前記補充対象データが取得された場合には第４の検索条件を生成して、当該第４の検索条件をもとに前記第１の記憶手段からアクセス制御ルールを読み出し、補充対象データの取得処理が省略された場合には、前記読み出されたアクセス制御変換情報に含まれる第１の検索条件をもとに前記第１の記憶手段からアクセス制御ルールを読み出すようにしたものである。

第２の態様は、前記アクセス制御ルールに、データ操作要求を送出した利用者を示すアクセス者情報と、操作対象データに対して実施したい操作の種類を示す操作種別情報と、操作対象データの集合を特定するための対象データ識別子と、当該操作対象データの集合から抽出すべき操作対象データのデータ項目とその値を示す対象データ抽出条件と、前記利用者による前記操作対象データに対するデータ操作を許可するか許否するかを示すアクセス制御情報とを含める。また、前記アクセス制御変換情報には、前記アクセス制御ルールを検索するために用いる対象データ識別子、及び対象データ抽出項目を含むアクセス制御ルール照合情報と、操作対象データのデータ集合を特定する対象データ識別子、及び操作対象データを特定する対象データ抽出項目を含む操作対象データ指示情報と、補充対象データのデータ集合を特定する補充対象データ識別子、及び操作対象データを特定する対象データ抽出項目を含む補充対象データ指示情報とを、それぞれ第１、第２及び第３の検索条件として含め、さらに前記各対象データ抽出項目は対応するデータ識別子により特定されるデータ集合に含まれる複数のデータ項目のうちの部分集合とする。そして、前記アクセス制御変換情報を読み出す際に、データ操作要求を送出した利用者を示すアクセス者情報と、操作対象データに対して実施したい操作の種類を示す操作種別情報と、操作対象データのデータ集合を特定する対象データ識別子と、操作対象データを特定するデータ項目とを含むデータ操作要求を受信し、この受信されたデータ操作要求に含まれる対象データ識別子及びデータ項目を操作対象データ指示情報に含むアクセス制御変換情報を前記第２の記憶手段から読み出す。また、補充対象データを取得する際に、前記読み出されたアクセス制御変換情報から補充対象データ指示情報に含まれる補充対象データ識別子及び対象データ抽出項目を抽出し、この抽出した補充対象データ識別子及び対象データ抽出項目を含む補充対象データを取得する。さらに、前記アクセス制御ルールを読み出す際には、前記受信されたデータ操作要求に含まれるアクセス者情報及び操作種別情報と、前記読み出されたアクセス制御変換情報のアクセス制御ルール照合情報に記述された対象データ識別子と、前記アクセス制御ルール照合情報に記述された対象データ抽出項目に前記取得された補充対象データを付加した補充後の対象データ抽出条件とをパラメータとして含む第４の検索条件を生成し、この生成された第４の検索条件をもとに、当該第４の検索条件に含まれる各パラメータを含むアクセス制御ルールを前記第１の記憶手段から読み出すようにする。

したがって、この発明の第１の観点によれば、ある操作対象データに対しアクセス制御ルールが定義されていない場合でも、アクセス制御変換情報に基づいて、データ操作要求に含まれる検索条件が、アクセス制御ルールが定義された他の関連する操作対象データに対応する検索条件に変換され、この変換後の検索条件に従いアクセス制御ルールが検索される。そして、この検索されたアクセス制御ルールによりアクセス制御の許否が判定される。このため、全ての操作対象データに対しそれぞれアクセス制御ルールを登録する場合に比べ、アクセス制御ルールの登録件数を大幅に減らしその運用上の負担を軽減することが可能となる。

また、この発明の第２の観点によれば、アクセス制御変換情報に記述された第１の検索条件と補充対象データを検索するための第３の検査条件とが同じ対象データ抽出項目を有していない場合でも、操作対象データと関連する他のデータに対し定義されたアクセス制御ルールを検索することが可能となり、このアクセス制御ルールを用いてアクセス制御の許否を判定することが可能となる。したがって、対象データ抽出項目の異なる操作対象データの全てに対しそれぞれアクセス制御ルールを登録する必要がなくなり、これによりアクセス制御ルールの登録件数を大幅に減らしその運用上の負担を軽減することが可能となる。

さらに、この発明の第２の観点に係る第１の実施態様によれば、補充対象データの検索を行う際に、第３の検索条件に含まれる対象データ抽出項目と、アクセス制御変換情報の第１の検索条件に含まれる対象データ抽出項目とが比較され、両対象データ抽出項目が同一だった場合には、補充対象データの検索処理がスキップされる。このため、装置の処理負荷は軽減され、またアクセス制御の許否の判定処理に要する時間を短縮することが可能となる。

すなわちこの発明の第１及び第２の観点によれば、操作対象データを追加した場合にその都度アクセス制御ルールを定義する必要がなくなり、これによりシステム運用上の負担軽減を図ったデータアクセス制御装置及び方法を提供することができる。

この発明の一実施形態に係るデータアクセス制御装置を備えたデータ蓄積システムの概略構成図。 この発明の一実施形態に係るデータアクセス制御装置として動作するデータ要求サーバ３の構成を示すブロック図。 図１に示したデータ蓄積システムにおけるデータ要求サーバの構成を示すブロック図。 図１に示したデータ蓄積システムにおけるユーザ認証サーバの構成を示すブロック図。 図２に示したデータ要求サーバ３で蓄積・管理される操作対象データ及びキー情報検索対象データのデータ構造を示す図。 図５に示した操作対象データ及びキー情報検索対象データの一例を示す図。 図２に示したデータ要求サーバ３で蓄積・管理されるアクセス制御リストの構造を示す図。 図７に示したアクセス制御リストの一例を示す図。 図２に示したデータ要求サーバ３で蓄積・管理されるアクセス制御変換リストの構造を示す図。 図９に示したアクセス制御変換リストの一例を示す図。 図１に示したデータ蓄積システムで実行されるデータアクセス制御シーケンスの第１の例（実施例１）を示す図。 図１に示したデータ蓄積システムで実行されるデータアクセス制御シーケンスの第２の例（実施例２）を示す図。 図１に示したデータ蓄積システムで実行されるデータアクセス制御シーケンスの第３の例（実施例３）を示す図。 図１に示したデータ蓄積システムで実行されるデータアクセス制御シーケンスの第４の例（実施例４）を示す図。 図１に示したデータ蓄積システムで実行されるデータアクセス制御シーケンスの第５の例（実施例５）を示す図。 図１に示したデータ蓄積システムの典型的な利用形態を説明するための図。

［原理］
この発明は、操作対象データに関するマッピング情報としてアクセス制御変換情報を定義し、ある操作対象データに対するアクセス制御の許否判定を、他の操作対象データに対して定義されているアクセス制御ルールを利用して行うもので、以下の２つの方式が考えられる。

（方式１）
前提として、アクセス制御ルールには、操作対象データを指示するための操作対象データ指示情報を含める。操作対象データ指示情報は、例えば操作対象データがデータベースに格納されている場合には、テーブル名とレコードを特定する条件を示すもので、第１の検索条件として使用される。

例えば、いま「検査データテーブル」の「ユーザ名が山田さんであるレコード」に対してアクセスを許可するアクセス制御ルールが登録され、「健康診断データテーブル」の「ユーザ名が山田さんであるレコード」についてはアクセス制御ルールが登録されていないとする。

通常、ある操作対象データにアクセスしようとする場合、当該データの操作対象データ指示情報を用いて対応するアクセス制御ルールを検索する。例えば、「検査データテーブル」の「ユーザ名が山田さんであるレコード」にアクセスしようとする場合には、これら２つのキー情報を第１の検索条件としてアクセス制御ルールを検索する。その結果、当該アクセス制御ルールが検索され、上記レコードに対するアクセスが許可される。しかし、例えば「健康診断データテーブル」の「ユーザ名が山田さんであるレコード」にアクセスしようとして、これら２つのキー情報を検索条件とすると、上記「検査データテーブル」の「ユーザ名が山田さんであるレコード」に対応付けて定義されたアクセス制御ルールとは検索条件が異なるため、アクセス制御ルールを検索することができず、結果的にデータに対するアクセスが拒否される。

そこでこの発明では、ある操作対象データにアクセスしようとする場合に、当該操作対象データの操作対象データ指示情報に記述された第２の検索条件を予め定義されたマッピング情報によって第１の検索条件に変換し、この変換された第２の検索条件を使ってアクセス制御ルールの検索を行う。マッピング情報には、変換前の操作対象データ指示情報（第２の検索条件）と、変換後の操作対象データ指示情報（以降アクセス制御ルール照合情報（第１の検索条件）と称する）とを、相互に対応付けて記述する。

例えば、マッピング情報に、変換前の操作対象データ指示情報として「健康診断データテーブル」を、またアクセス制御ルール照合情報として「検査データテーブル」をそれぞれ記述しておく。この場合、「健康診断データテーブル」の「ユーザ名が山田さんであるレコード」にアクセスしようとして、「健康診断データテーブル」を操作対象データ指示情報に含めて検索すると、上記マッピング情報に基づいて上記「健康診断データテーブル」が「検査データテーブル」に変換され、「検査データテーブル」の「ユーザ名が山田さんであるレコード」に対し定義されたアクセス制御ルールが検索される。

したがって、ある操作対象データに対しアクセス制御ルールが定義されていない場合でも、マッピング情報に変換前の検索条件と対応付けてアクセス制御ルールが定義された他の関連する操作対象データの検索条件を定義しておき、このマッピング情報をもとに検索条件を変換してこの変換後の検索条件に従いアクセス制御ルールを検索することで、上記操作対象データに対するアクセス制御の許否をすることが可能となる。

（方式２）
上記方式１は、操作対象データ指示情報とアクセス制御ルール照合情報とが、同じデータ項目からなるという条件の下で使用可能となる。例えば、「検査データテーブル」にはユーザ名の他にユーザのかかりつけの「病院名」が記述されており、アクセス制御ルールは「検査データテーブル」の「病院名がＡ病院であるレコード」に対して許可されているものとする。しかし、「健康診断データテーブル」にはユーザ名の項目はあるがユーザが通う「病院名」の項目がないとすると、「健康診断データテーブル」の「ユーザ名が山田さんであるレコード」を「検査データテーブル」の「ユーザ名が山田さんであるレコード」に変換しても、「検査データテーブル」の「病院名がＡ病院であるレコード」は検索されない。

そこで、この発明における第２の方式は、マッピング情報として、操作対象データ指示情報とアクセス制御ルール照合情報に加え、キー情報検索対象データ指示情報（補充対象データ指示情報）を第３の検索条件として定義する。そして、操作対象データ指示情報をアクセス制御ルール照合情報に直接変換するのではなく、キー情報検索対象データ指示情報を用いて対応する補充対象データを検索し、この検索された補充対象データも考慮してアクセス制御ルール照合情報に変換する。

例えば、操作対象データを「健康診断テーブル」の「ユーザ名が山田さんであるレコード」とし、この操作対象データに対するアクセス制御の許否を判定しようとする場合に、キー情報検索対象データ（補充対象データ）としてユーザ名とかかりつけの病院名を含む、「ユーザ基本情報テーブル」が定義されているとする。この場合、先ず「ユーザ基本情報テーブル」の「ユーザ名が山田さんであるレコード」を検索して、「Ａ病院」を抽出する。次に、「検査データテーブル」の「ユーザ名が山田さん又は病院名がＡ病院であるレコード」を第４の検索条件としてアクセス制御ルールを検索する。そして、この検索されたアクセス制御ルールをもとに、上記操作対象データに対するアクセス制御の許否を判定する。

このようにすることで、操作対象データ指示情報とアクセス制御ルール照合情報とが同じデータ項目を有していない場合でも、操作対象データと関連する他の補充対象データに対し定義されたアクセス制御ルールを検索することができ、このアクセス制御ルールを用いてアクセス制御の許否を判定することができる。

以下、図面を参照してこの発明に係わる実施形態を説明する。
［一実施形態］
（構成）
（１）システム全体の構成
図１は、この発明の一実施形態に係るデータ蓄積システムの概略構成図である。このシステムは、Ａ病院が運用するデータアクセス制御装置としてのＡ病院データ提供サーバ１と、Ｂ病院が運用するデータアクセス制御装置としてのＢ病院データ提供サーバ２と、データ要求サーバ３と、ユーザ認証サーバ４を備え、これらのサーバ１，２，３，４をネットワークＮＷを介して通信可能に接続したものである。なお、ＴＭａ，ＴＭｂはそれぞれ医師等の医療従事者や患者が使用する利用者端末であり、例えば固定設置型のパーソナル・コンピュータ、スマートフォンやタブレット型端末、ノード型パーソナル・コンピュータ等の携帯端末により構成される。

ネットワークＮＷは、インターネットと、このインターネットにアクセスするためのアクセス網とから構成される。アクセス網としては、有線電話網や有線ＬＡＮ（Local Area Network）、携帯電話網、無線ＬＡＮ等が用いられる。

（２）データ要求サーバ３の構成
データ要求サーバ３は、利用者端末ＴＭａ，ＴＭｂからの各種データ操作要求を受付けて当該要求を各データ提供サーバ１，２へ送信するもので、以下のように構成される。図３はその構成を示すブロック図である。

すなわち、データ要求サーバ３は、制御ユニット３１と通信ユニット３２を備える。通信ユニット３２は、制御ユニット３１の制御の下で、ネットワークＮＷにより規定されるプロトコルを使用して、利用者端末ＴＭａ，ＴＭｂ及びデータ提供サーバ１，２及びユーザ認証サーバ４との間でデータ通信を行う。

制御ユニット３１は、ＣＰＵ（Central Processing Unit）を有し、本実施形態を実施する上で必要な制御機能として、データ操作要求処理部３１１と、患者情報サービス処理部３１２と、ユーザ認証要求処理部３１３を備えている。なお、これらの処理部３１１〜３１３は、いずれも図示しないプログラムメモリに格納されたプログラムを上記ＣＰＵに実行させることにより実現される。

患者情報サービス処理部３１２は、利用者端末ＴＭａ，ＴＭｂから送られたデータ操作要求に応じて、各データ提供サーバ１，２に記憶された該当する患者のデータを操作し、その操作結果を利用者端末ＴＭａ，ＴＭｂへ転送して表示させる処理を行う。

ユーザ認証要求処理部３１３は、上記患者情報サービス処理部３１２の指示に応じて、ログインした利用者の認証をユーザ認証サーバ４に要求する。

データ操作要求処理部３１１は、上記ユーザ認証要求処理部３１３による利用者の認証終了後に、患者情報サービス処理部３１２の指示に応じて、利用者端末ＴＭａ，ＴＭｂからのデータ操作要求に応じて各データ提供サーバ１，２に対しデータ操作要求を送信し、その操作結果を表す情報を受信する処理を行う。なお、データ操作には、例えば「登録」、「更新」、「削除」及び「参照」がある。

（３）ユーザ認証サーバ４の構成
ユーザ認証サーバ４は、利用者についての認証処理を行うもので、以下のように構成される。図４はその構成を示すブロック図である。
すなわち、ユーザ認証サーバ４は、制御ユニット４１と、記憶ユニット４２と、通信ユニット４３を備えている。このうち通信ユニット４３は、制御ユニット４１の制御の下で、ネットワークＮＷにより規定されるプロトコルを使用して、データ要求サーバ３との間で認証に係るデータの送受信を行う。

記憶ユニット４２は、記憶媒体としてＨＤＤ（Hard Disk Drive）又はＳＳＤ（Solid State Drive）等を使用したもので、認証情報記憶部４２１を備えている。認証情報記憶部４２１には、利用者ごとにその認証処理に必要な利用者識別情報（利用者ＩＤ）やパスワード等が記憶されている。

制御ユニット３１は、ＣＰＵ（Central Processing Unit）を有し、本実施形態を実施する上で必要な制御機能として、ユーザ認証処理部４１１を備えている。なお、このユーザ認証処理部４１１は図示しないプログラムメモリに格納されたプログラムを上記ＣＰＵに実行させることにより実現される。

ユーザ認証処理部４１１は、上記データ要求サーバ３から送信された認証要求が上記通信ユニット４３により受信された場合に、当該要求に含まれる利用者ＩＤ及びパスワードを上記認証情報記憶部４２１に記憶された認証情報と照合することにより認証を行い、その認証結果を要求元のデータ要求サーバ３へ返送する処理を行う。

（４）データ提供サーバ１，２の構成
データ提供サーバ１，２は、Ａ病院に受診履歴のある患者に関する医療データと、当該医療データに対する操作を制御するための各種アクセス制御データを蓄積・管理するもので、以下のように構成される。図２はその構成を示すブロック図である。なお、データ提供サーバ１，２は同一構成であるため、図２ではＡ病院データ提供サーバ１のみを図示している。

すなわち、データ提供サーバ１は制御ユニット１１と、記憶ユニット１２と、通信ユニット１３を備えている。このうち通信ユニット１３は、制御ユニット１１の制御の下で、ネットワークＮＷにより規定されるプロトコルを使用してデータ要求サーバ３との間でデータ通信を行う。

記憶ユニット１２は記憶媒体としてＨＤＤ（Hard Disk Drive）又はＳＳＤ（Solid State Drive）等を使用したもので、本実施形態を実施するために必要な記憶領域として、アクセス制御リスト記憶部１２１と、アクセス制御変換リスト記憶部１２２と、操作対象データ記憶部１２３と、キー情報検索対象データ記憶部１２４を備えている。

操作対象データ記憶部１２３には、医師や患者等の利用者からの操作対象となる患者の医療データが操作対象データとして記憶される。図５は操作対象データのデータ構造を示すもので、操作対象データは複数のデータ集合ｉ（１≦ｉ≦Ｎ（ｉ，Ｎは正の整数））に分けられている。各データ集合にはそれぞれ複数のデータレコードｊ（１≦ｊ≦Ｍ（ｊ，Ｍは正の整数））が含まれ、さらに各データレコードにはそれぞれ複数のデータ項目Ｐ（１≦Ｐ（Ｐは正の整数））とそのデータ値が含まれる。

図６は、上記操作対象データの一例を示すもので、図６（ａ）に示すように診療サマリＤ１１、検査データＤ１２、健康診断データＤ１３をそれぞれデータ集合としている。このうち検査データＤ１２のデータレコードは、図６（ｄ）に示すように、患者ＩＤに対し、検査ＩＤ、検査日、検査種別、材料、検査項目、検査値等の各データ項目のデータ値を関連付けたものとなっている。健康診断データＤ１３のデータレコードは、図６（ｅ）に示すようにＰＩＤに対し、検査ＩＤ、検診日、身長、体重、視力（左）、視力（右）等の各データ項目のデータ値を関連付けたものとなっている。

アクセス制御リスト記憶部１２１には、上記操作対象データ記憶部１２３に記憶された操作対象データに対しアクセスする際のアクセス制御ルールのリストが記憶される。図７はアクセス制御リストのデータ構造を示すもので、アクセス制御リストは複数のアクセス制御ルールｉ（１≦ｉ≦Ｎ（ｉ，Ｎは正の整数））の集合よりなる。各アクセス制御ルールｉは、アクセス者情報と、操作種別情報と、対象データ識別子と、対象データ抽出条件と、アクセス制御情報と含む。このうち対象データ抽出条件には、複数のデータ項目Ｏ（１≦Ｏ（Ｏは正の整数））とそのデータ値が含まれる。

図８は、上記アクセス制御リストの一例を示すものである。同図に示すように各アクセス制御ルールは、ルール番号（No.）に対し、上記したアクセス者情報、操作種別情報、対象データ識別子、対象データ抽出条件及びアクセス制御情報を関連付けたもので、このうち対象データ識別子には「検査データ」や「アクセス制御リスト」等のアクセス制御ルールの適用対象となるデータの種別を識別するための情報が記述される。また対象データ抽出条件には、アクセス制御ルールの適用対象データを抽出する条件となる「患者ＩＤ」や「かかりつけ病院名」等が記述され、アクセス制御情報には「許可」するか否かを表す情報が記載される。

アクセス制御変換リスト記憶部１２２には、アクセス制御ルールが直接定義されていない操作対象データに対する操作指示情報をアクセス制御ルールが定義されている情報に変換するためのアクセス制御変換ルール（マッピング情報）のリストが記憶される。図９はこのアクセス制御変換リストのデータ構造を示すもので、アクセス制御変換リストは複数のアクセス制御変換ルールｉ（１≦ｉ≦Ｎ（ｉ，Ｎは正の整数））の集合よりなる。各アクセス制御変換ルールｉは、変換前の操作対象データの指示情報と、変換後のアクセス制御ルール照合情報と、変換に必要なキー情報を記述するキー情報検索対象データの指示情報を含む。これらの各指示情報及び照合情報は、いずれも対象データ識別子Ｘと対象データ抽出項目ｘとを含む。対象データ抽出項目ｘは、対象データ識別子Ｘで指示されるデータ集合に含まれるデータ項目の部分集合である。

図１０はアクセス制御変換リストの一例を示すものである。このうち図１０（ａ）は操作対象データ指示情報とアクセス制御ルール照合情報とが同一のデータ項目よりなる場合の変換処理（方式１）に使用するリストであり、キー情報検索対象データ指示情報は定義されていない。一方、図１０（ｂ）はアクセス制御ルール照合情報が操作対象データ指示情報とは異なるデータ項目を含む場合の変換処理（方式２）にも適用可能なリストであり、キー情報検索対象データ指示情報が定義されている。

キー情報検索対象データ記憶部１２４には、上記キー情報検索対象データ指示情報の対象データ抽出項目に記述されたキー情報の検索対象となるデータが記憶される。このキー情報検索対象データは、先に図５に示した操作対象データのデータ構造と同じデータ構造を有する。図６（ｂ），（ｃ）はキー情報検索対象データの一例を示すもので、患者基本データＤ２１及び医師基本データＳ２２を含む。

制御ユニット１１は、ＣＰＵ（Central Processing Unit）を有し、本実施形態を実施する上で必要な制御機能として、アクセス制御リスト操作処理部１１１と、アクセス制御変換・判定部１１２と、データ操作処理部１１３を備えている。なお、これらの処理部１１１〜１１３は図示しないプログラムメモリに格納されたプログラムを上記ＣＰＵに実行させることにより実現される。

アクセス制御リスト操作処理部１１１は、データ要求サーバ３からアクセス制御ルールを検索するための条件を受け取り、この条件に対応するアクセス制御ルールをアクセス制御リスト記憶部１２１から検索する。そして、この検索したアクセス制御ルールをもとにアクセス許可／許否を判定し、その判定結果を要求元のデータ要求サーバ３に返送する処理を行う。

アクセス制御変換・判定部１１２は、以下の処理機能を備えている。
(1) 上記アクセス制御リスト操作処理部１１１によるアクセス制御ルールの検索処理過程において、アクセス制御変換リスト記憶部１２２から上記検索条件に対応するアクセス制御変換ルールを読み出し、この読み出されたアクセス制御変換ルールをもとに検索条件を変換する処理。

(2) 上記変換処理過程において、上記読み出されたアクセス制御変換ルールに記述されたアクセス制御ルール照合情報と操作対象データ指示情報とが同一か否かを判定する。この判定の結果が同一でない場合に、上記読み出されたアクセス制御変換ルールに記述されたキー情報検索対象データ指示情報に対応するキー情報検索対象データをキー情報検索対象データ記憶部１２４から読み出し、このキー情報検索対象データを補充対象データとして上記検索条件に加える処理。

データ操作処理部１１３は、上記アクセス制御リスト操作処理部１１１によりアクセスの許可通知が送信されたのち、データ要求サーバ３からデータ操作要求が送られた場合に、このデータ操作要求に応じて操作対象データ記憶部１２３から該当する操作対象データを読み出し、この読み出された操作対象データを要求元のデータ要求サーバ３へ返送する処理を行う。なお、データ操作処理には、「読み出し（参照）」の他に、「登録」、「更新」、「削除」等も含まれる。

（動作）
次に、以上のように構成されたデータ蓄積システムによるアクセス制御動作を、複数の実施例を用いて説明する。
なお、Ａ病院データ提供サーバ１のアクセス制御リスト記憶部１２１、アクセス制御変換リスト記憶部１２２、操作対象データ記憶部１２３及びキー情報検索対象データ記憶部１２４には、それぞれ図８に示したアクセス制御リスト、図１０に示したアクセス制御変換リスト、図６に示した操作対象データ及びキー情報検索対象データが記憶されているものとして説明を行う。

（実施例１）
実施例１は、利用者端末ＴＭａにおける患者（山田さん）の操作に応じて、データ要求サーバ３から健康診断データの参照要求を受け取った場合に、この第２の検索条件を方式１専用のアクセス制御変換リスト（図１０（ａ））を用いて第１の検索条件に変換し、この変換された第１の検索条件をもとにアクセス制御ルールを検索して、上記参照要求に対するアクセスの許否を判定するものである。

図１１は、実施例１におけるアクセス制御シーケンスを示すものである。
山田さんが、患者用の利用者端末ＴＭｂを操作してデータ要求サーバ３に対し医師ＩＤ、パスワード等の認証情報を入力してログインすると、データ要求サーバ３は患者情報サービス処理部３１２の制御の下でユーザ認証要求処理部３１３を起動し、このユーザ認証要求処理部３１３からユーザ認証サーバ４に対し山田さんの認証要求を送信する。

そして、ユーザ認証サーバ４から認証が完了した旨の通知が返送された後、山田さんが利用者端末ＴＭｂにおいて自分の健康診断情報の参照を要求するための操作を行うと、データ要求サーバ３は患者情報サービス処理部３１２の制御の下でデータ操作要求処理部３１１を起動し、データ操作要求処理部３１１により操作対象データ指示情報を生成してＡ病院データ提供サーバ１に向け送信する。このとき操作対象データ指示情報には、パラメータとして、
(1) アクセス者情報：山田さんの患者ＩＤ＝S01
(2) 操作種別情報：参照
(3) 対象データ識別子：健康診断データ
(4) 対象データ：ＰＩＤ＝S01
を含める。なお、操作対象データ指示情報に、認証結果を表す情報、つまりアクセス者が山田さん（S01）であると認証されたことを示す情報も含める。

Ａ病院データ提供サーバ１は、通信ユニット１３により上記操作対象データ指示情報が受信されると、データ操作処理部１１３の制御の下でアクセス制御変換・判定部１１２を起動し、上記受信された操作対象データ指示情報をアクセス制御変換・判定部１１２に通知する。アクセス制御変換・判定部１１２は、上記通知された操作対象データ指示情報に含まれる対象データ識別子=健康診断データと、対象データ＝ＰＩＤを検索条件としてアクセス制御変換リスト記憶部１２２を検索し、当該検索条件に該当するアクセス制御変換ルールを読み出す。例えば、アクセス制御変換リスト記憶部１２２に記憶されている、図１０（ａ）に示す方式１専用のアクセス制御変換リストから、アクセス制御変換ルールNo.1を読み出す。

次にアクセス制御変換・判定部１１２は、上記読み出されたアクセス制御変換ルールNo.1をもとにアクセス制御リストの検索要求を生成し、この生成したアクセス制御ルールの検索要求をアクセス制御リスト操作処理部１１１に渡す。このとき、アクセス制御ルールの検索要求には以下のパラメータを検索条件として挿入する。
(1) アクセス者情報：S01（上記受信された操作対象データ指示情報に含まれるパラメータ）
(2) 操作種別情報：参照（上記受信された操作対象データ指示情報に含まれるパラメータ）
(3) 対象データ識別子：検査データ（上記検索されたアクセス制御変換ルールNo.1のアクセス制御ルール照合情報に記述された対象データ識別子）
(4) 対象データ抽出条件：患者ＩＤ＝S01（上記検索されたアクセス制御変換ルールNo.1のアクセス制御ルール照合情報に記述された対象データ抽出項目）。

アクセス制御リスト操作処理部１１１は、上記検索要求に含まれる各パラメータを検索条件としてアクセス制御リスト記憶部１２１を検索し、該当するアクセス制御ルールを読み出す。この結果、図８に示すアクセス制御リストからはアクセス制御ルールNo.1が読み出される。

アクセス制御変換・判定部１１２は、上記検索されたアクセス制御ルールNo.1のアクセス制御情報をもとにアクセスが許可されているか拒否されているかを判定する。なお、検索されたアクセス制御ルールが複数ある場合には、適宜判定ルールに従って判定する。そして、上記判定結果を表す情報をデータ操作処理部１１３に返却する。データ操作処理部１１３は、上記判定結果がアクセスを許可するOKであれば、操作対象データ記憶部１２３を検索してＰＩＤ＝S01に該当する健康診断データを読み出し、この読み出された健康診断データを通信ユニット１３から操作要求元のデータ要求サーバ３へ返送する。この結果、例えば操作対象データ記憶部１２３からは、図６（ｅ）に示すＰＩＤ＝S01に該当するデータ２件の健康診断データが読み出され、データ要求サーバ３へ返送される。

データ要求サーバ３は、上記返送された２件の健康診断データを要求操作元の利用者端末ＴＭｂへ転送する。かくして、山田さんは利用者端末ＴＭｂにおいて自身の健康診断データを参照することができる。

以上のように実施例１によれば、アクセス制御変換・判定部１１２において、アクセス制御変換リスト記憶部１２２から検索したアクセス制御変換ルールに従い、利用者端末ＴＭｂから送られた操作対象データ指示情報の検索条件が変換され、この変換された検索条件に該当するアクセス制御ルールがアクセス制御リスト記憶部１２１から読み出されてアクセス制御の許否が判定される。

したがって、患者ＩＤ＝S01を持つ山田さんの健康診断データに対し直接アクセス制御ルールを定義していなくても、上記検索条件の変換処理により、同じ山田さんの検査データに対応付けて定義されているアクセス制御ルールを読み出して、その内容をもとに上記健康診断データに対するアクセス制御の許否を判定することが可能となる。このため、全ての操作対象データに対し個別にアクセス制御ルールを登録する場合に比べ、アクセス制御ルールの登録件数を大幅に減らしその運用上の負担を軽減することが可能となる。

例えば、図８に示したアクセス制御リストでは、検査データに対するアクセス制御ルールはNo.1〜No.3の３件だけだが、多数の患者を収容する実システムでは１０万件、１００万件といったアクセス制御ルールが登録されるのが普通である。この場合、健康診断データに対しても同様に１０万件、１００万件といった専用のアクセス制御ルールを修正・追加することは運用上の大きな負担となる。これに対し実施例１によれば、アクセス制御変換リストを用いて検索条件を変換するようにしているので、例えばNo.1のアクセス制御ルールを１件登録するだけでよく、運用上の手間は大幅に軽減される。

（実施例２）
実施例２は、利用者端末ＴＭｂにおける患者（山田さん）の操作に応じて、データ要求サーバ３から健康診断データの参照要求を受け取った場合に、この第２の検索条件を方式２用のアクセス制御変換リスト（図１０（ｂ））を用いて第４の検索条件に変換し、この変換された第４の検索条件をもとにアクセス制御ルールを検索して、上記参照要求に対するアクセスの許否を判定するものである。

図１２は、実施例２におけるアクセス制御シーケンスを示すものである。なお、同図において前記図１１と同一部分については説明を省略する。
Ａ病院データ提供サーバ１は、データ要求サーバ３から操作対象データ指示情報を受信すると、データ操作処理部１１３の制御の下でアクセス制御変換・判定部１１２を起動し、上記受信された操作対象データ指示情報をアクセス制御変換・判定部１１２に通知する。アクセス制御変換・判定部１１２は、上記通知された操作対象データ指示情報に含まれる対象データ識別子=健康診断データと、対象データ＝ＰＩＤを検索条件としてアクセス制御変換リスト記憶部１２２を検索し、当該検索条件に該当するアクセス制御変換ルールを読み出す。この結果、アクセス制御変換リスト記憶部１２２に記憶されている、図１０（ｂ）に示す方式２用のアクセス制御変換リストから、アクセス制御変換ルールNo.1が読み出される。

次にアクセス制御変換・判定部１１２は、上記読み出されたアクセス制御変換ルールNo.1をもとにキー情報検索対象データの検索要求を生成し、この生成したキー情報検索対象データの検索要求をアクセス制御リスト操作処理部１１１に渡す。このとき、キー情報検索対象データ検索要求には以下のパラメータを検索条件として挿入する。
(1) 対象データ識別子：検査データ（上記検索されたアクセス制御変換ルールNo.1のキー情報検索対象データ指示情報に記述された対象データ識別子）
(2) 対象データ抽出条件：患者ＩＤ＝S01（上記検索されたアクセス制御変換ルールNo.1のキー情報検索対象データ指示情報に記述された対象データ抽出項目）。

アクセス制御リスト操作処理部１１１は、上記検索要求に含まれる各パラメータを検索条件としてキー情報検索対象データ記憶部１２４を検索する。しかし、キー情報検索対象データ記憶部１２４には検査データが記憶されていないため、操作対象データ記憶部１２３を検索する。操作対象データ記憶部１２３には検査データが記憶されている。このため、操作対象データ記憶部１２３から上記検索条件に該当する検査データが読み出される。例えば、図６（ｄ）に示す検査データＳ１２のうち患者ＩＤ＝S01に対応付けられた２件の検査データが読み出される。

アクセス制御変換・判定部１１２は、先にデータ要求サーバ３から受信した操作対象データ指示情報と、上記検索されたアクセス制御変換ルールと、上記検索された対象データとに基づいて、アクセス制御ルール検索要求を生成する。このアクセス制御ルール検索要求には以下のパラメータを挿入する。
(1) アクセス者情報：S01 （上記受信された操作対象データ指示情報に含まれるパラメータ）
(2) 操作種別情報：参照 （上記受信された操作対象データ指示情報に含まれるパラメータ）
(3) 対象データ識別子：検査データ（上記検索されたアクセス制御変換ルールNo.1のアクセス制御ルール照合情報に記述された対象データ識別子）
(4) 対象データ抽出条件：患者ＩＤ＝S01（上記検索されたアクセス制御変換ルールNo.1のアクセス制御ルール照合情報に記述された対象データ抽出項目と、キー情報検索対象データの検索結果のデータ値により設定）。

アクセス制御リスト操作処理部１１１は、上記アクセス制御変換・判定部１１２により生成されたアクセス制御ルール検索要求に含まれる各パラメータを検索条件としてアクセス制御リスト記憶部１２１を検索し、該当するアクセス制御ルールを読み出す。この検索処理により、図８に示すアクセス制御リストからはアクセス制御ルールNo.1が読み出される。

アクセス制御変換・判定部１１２は、上記検索されたアクセス制御ルールNo.1のアクセス制御情報をもとにアクセスが許可されているか拒否されているかを判定する。なお、検索されたアクセス制御ルールが複数ある場合には、適宜判定ルールに従って判定する。そして、上記判定結果を表す情報をデータ操作処理部１１３に返却する。データ操作処理部１１３は、上記判定結果がアクセスを許可するOKであれば、操作対象データ記憶部１２３を検索してＰＩＤ＝S01に該当する健康診断データを読み出し、この読み出された健康診断データを通信ユニット１３から操作要求元のデータ要求サーバ３へ返送する。この結果、例えば操作対象データ記憶部１２３からは、実施例１の場合と同様に、図６（ｅ）に示すＰＩＤ＝S01に該当するデータ２件の健康診断データが読み出され、データ要求サーバ３へ返送される。

データ要求サーバ３は、上記返送された２件の健康診断データを要求操作元の利用者端末ＴＭｂへ転送する。かくして、山田さんは利用者端末ＴＭｂにおいて自身の健康診断データを参照することができる。

以上のように実施例２によれば、先に述べた実施例１と同様に、患者ＩＤ＝S01を持つ山田さんの健康診断データに１対１に対応付けてアクセス制御ルールを定義していなくても、アクセス制御変換ルールを用いた検索条件の変換処理を行うことにより、同じ山田さんの検査データに対応付けて定義されているアクセス制御ルールを読み出し、その内容をもとに上記健康診断データに対するアクセス制御の許否を判定することが可能となる。したがって、全ての操作対象データに対し個別にアクセス制御ルールを登録する場合に比べ、アクセス制御ルールの登録件数を大幅に減らしその運用上の負担を軽減することが可能となる。

なお、上記実施例２では、検索されたアクセス制御変換ルールのキー情報検索対象データ指示情報に記述された対象データ抽出項目が、操作対象データ指示情報に記述された対象データ抽出項目と同一であるため、キー情報検索対象データの検索を行っても、追加される抽出項目はなく、結果としては実施例１と変わらない。

そこで、キー情報検索対象データの検索を行う際に、キー情報検索対象データ指示情報（第３の検索条件）の対象データ抽出項目（補充対象データ）と、操作対象データ指示情報（第２の検索条件）の対象データ抽出項目とを比較する。そして、両方の対象データ抽出項目が同一であれば、キー情報検索対象データの検索処理をスキップする。このようにすると、キー情報検索対象データの検索処理が省略され、その分データ提供サーバ１の処理負荷が軽減され、またアクセス制御の許否の判定処理に要する時間を短縮することが可能となる。

（実施例３）
実施例３は、利用者端末ＴＭａにおけるａ医師の操作に応じて、データ要求サーバ３からＡ病院をかかりつけ病院とする患者の山田さんに関する健康診断データの参照要求を受け取った場合に、この第２の検索条件を方式２に対応するアクセス制御変換リスト（図１０（ｂ））を用いて第４の検索条件に変換し、この変換された第４の検索条件をもとにアクセス制御ルールを検索して、上記参照要求に対するアクセスの許否を判定するものである。

図１３は、実施例３におけるアクセス制御シーケンスを示すものである。なお、同図において前記図１１と同一部分については説明を省略する。
利用者端末ＴＭａにおけるａ医師の操作に応じてデータ要求サーバ３から送られる操作対象データ指示情報には、以下のパラメータが含まれている。
(1) アクセス者情報：ａ医師
(2) 操作種別情報：参照
(3) 対象データ識別子：健康診断データ
(4) 対象データ：ＰＩＤ＝S01
なお、操作対象データ指示情報には、認証結果を表す情報、つまりアクセス者がａ医師であると認証されたことを示す情報も付加される。

上記操作対象データ指示情報が送られると、Ａ病院データ提供サーバ１はデータ操作処理部１１３の制御の下で先ずアクセス制御変換・判定部１１２を起動し、上記受信された操作対象データ指示情報をアクセス制御変換・判定部１１２に通知する。アクセス制御変換・判定部１１２は、上記通知された操作対象データ指示情報に含まれる対象データ識別子=健康診断データと、対象データ＝ＰＩＤを検索条件としてアクセス制御変換リスト記憶部１２２を検索し、当該検索条件に該当するアクセス制御変換ルールを読み出す。この結果、例えばいまアクセス制御変換リスト記憶部１２２に、図１０（ｂ）に示す方式２を適用するアクセス制御変換リストとして、アクセス制御変換ルールNo.2〜No.4のみが記憶されているとすれば、当該アクセス制御変換ルールNo.2〜No.4の中から、アクセス制御変換ルールNo.2が読み出される。

次にアクセス制御変換・判定部１１２は、上記読み出されたアクセス制御変換ルールNo.2をもとにキー情報検索対象データの検索要求を生成し、この生成したキー情報検索対象データの検索要求をアクセス制御リスト操作処理部１１１に渡す。このとき、キー情報検索対象データ検索要求には以下のパラメータを検索条件として挿入する。
(1) 対象データ識別子：患者基本データ（上記検索されたアクセス制御変換ルールNo.2のキー情報検索対象データ指示情報に記述された対象データ識別子）
(2) 対象データ抽出条件：患者ＩＤ＝S01（上記検索されたアクセス制御変換ルールNo.2のキー情報検索対象データ指示情報に記述された対象データ抽出項目）。

アクセス制御リスト操作処理部１１１は、上記検索要求に含まれる各パラメータを検索条件としてキー情報検索対象データ記憶部１２４を検索し、当該検索条件に該当する患者基本データをキー情報検索対象データ記憶部１２４から読み出す。この結果、いまキー情報検索対象データ記憶部１２４には図６（ｃ）に示す患者基本データが記憶されているので、この中から患者ＩＤ＝S01に対応付けられた患者基本データが読み出される。

なお、上記キー情報検索対象データの検索を行う際に、キー情報検索対象データ指示情報の対象データ抽出項目と、操作対象データ指示情報の対象データ抽出項目とを比較し、両方の対象データ抽出項目が同一であればキー情報検索対象データの検索処理をスキップするようにしてもよい。

アクセス制御変換・判定部１１２は、先にデータ要求サーバ３から受信した操作対象データ指示情報と、上記検索されたアクセス制御変換ルールと、上記検索された患者基本データとに基づいて、アクセス制御ルール検索要求を生成する。このアクセス制御ルール検索要求には以下のパラメータを含める。
(1) アクセス者情報：ａ医師（上記受信された操作対象データ指示情報に含まれるパラメータ）
(2) 操作種別情報：参照 （上記受信された操作対象データ指示情報に含まれるパラメータ）
(3) 対象データ識別子：検査データ（上記検索されたアクセス制御変換ルールNo.2のアクセス制御ルール照合情報に記述された対象データ識別子）
(4) 対象データ抽出条件：患者ＩＤ＝S01又はかかりつけ病院＝Ａ病院（上記検索されたアクセス制御変換ルールNo.2のアクセス制御ルール照合情報に記述された対象データ抽出項目（患者ＩＤ、かかりつけ病院）と、上記検索された患者基本データに記述されたデータ値（患者ＩＤ＝S01、かかりつけ病院＝Ａ病院）をもとに設定）。

アクセス制御リスト操作処理部１１１は、上記アクセス制御変換・判定部１１２により生成されたアクセス制御ルール検索要求に含まれる各パラメータを第４の検索条件としてアクセス制御リスト記憶部１２１を検索し、該当するアクセス制御ルールを読み出す。この結果、いまアクセス制御リスト記憶部１２１には図８に示すアクセス制御リストが記憶されているので、このリストの中からアクセス者＝ａ医師、対象データ識別子＝検査データ、かつ対象データ抽出条件＝Ａ病院を含むアクセス制御ルールNo.2が読み出される。

アクセス制御変換・判定部１１２は、上記検索されたアクセス制御ルールNo.2のアクセス制御情報をもとにアクセスが許可されているか拒否されているかを判定する。なお、検索されたアクセス制御ルールが複数ある場合には、適宜判定ルールに従って判定する。そして、上記判定結果を表す情報をデータ操作処理部１１３に返却する。データ操作処理部１１３は、上記判定結果がアクセスを許可するOKであれば、操作対象データ記憶部１２３を検索してＰＩＤ＝S01に該当する健康診断データを読み出し、この読み出された健康診断データを通信ユニット１３から操作要求元のデータ要求サーバ３へ返送する。この結果、例えば操作対象データ記憶部１２３からは、実施例１の場合と同様に、図６（ｅ）に示すＰＩＤ＝S01に該当するデータ２件の健康診断データが読み出され、データ要求サーバ３へ返送される。

データ要求サーバ３は、上記返送された２件の健康診断データを要求操作元の利用者端末ＴＭｂへ転送する。かくして、山田さんは利用者端末ＴＭｂにおいて自身の健康診断データを参照することができる。

以上のように実施例３によれば、アクセス制御変換・判定部１１２において、アクセス制御変換リスト記憶部１２２から検索したアクセス制御変換ルールと、このアクセス制御変換ルールのキー情報検索対象データ指示情報に記述された対象データ識別子をもとにキー情報検索対象データ記憶部１２４から検索したキー情報検索対象データとに基づいて、利用者端末ＴＭｂから送られた操作対象データ指示情報の第２の検索条件が第４の検索条件に変換され、この変換された第４の検索条件に該当するアクセス制御ルールがアクセス制御リスト記憶部１２１から検索されてアクセス制御の許否が判定される。

したがって、Ａ病院をかかりつけ病院とする患者の健康診断データに対するａ医師のデータ操作に対し、アクセス制御ルールが直接定義されていなくても、上記検索条件の変換処理を行うことにより、同じＡ病院をかかりつけ病院とする患者の検査データに対するａ医師のデータ操作に対し既に定義されているアクセス制御ルールを読み出し、その内容をもとに上記健康診断データに対するａ医師のアクセス制御の許否を判定することが可能となる。このため、ａ医師が操作対象とするＡ病院の患者に係る全ての操作対象データに対しそれぞれ個別にアクセス制御ルールを登録する場合に比べ、アクセス制御ルールの登録件数を大幅に減らしその運用上の負担を軽減することが可能となる。

（実施例４）
実施例４は、利用者端末ＴＭａにおけるａ医師の操作に応じて、データ要求サーバ３からＡ病院をかかりつけ病院とする患者の山田さんに関する検査データの登録要求を受け取った場合に、この第２の検索条件を方式２に対応するアクセス制御変換リスト（図１０（ｂ））を用いて第４の検索条件に変換し、この変換された第４の検索条件をもとにアクセス制御ルールを検索して、このルールをもとに上記登録要求に対するアクセスの許否を判定するものである。

図１４は、実施例４におけるアクセス制御シーケンスを示すものである。なお、同図において前記図１３と同一部分については説明を省略する。
利用者端末ＴＭａにおけるａ医師の操作に応じてデータ要求サーバ３から送られる操作対象データ指示情報には、以下のパラメータが含まれている。
(1) アクセス者情報：ａ医師
(2) 操作種別情報：登録
(3) 対象データ識別子：検査データ
(4) 対象データ：患者ＩＤ＝S01、検査ＩＤ＝0004、検査日＝2012/3/20、その他
なお、操作対象データ指示情報には、認証結果を表す情報、つまりアクセス者がａ医師であると認証されたことを示す情報も付加される。

上記操作対象データ指示情報が送られると、Ａ病院データ提供サーバ１はデータ操作処理部１１３の制御の下で先ずアクセス制御変換・判定部１１２を起動し、上記受信された操作対象データ指示情報をアクセス制御変換・判定部１１２に通知する。アクセス制御変換・判定部１１２は、上記通知された操作対象データ指示情報に含まれる対象データ識別子=検査データと、対象データ＝患者ＩＤを検索条件としてアクセス制御変換リスト記憶部１２２を検索し、当該検索条件に該当するアクセス制御変換ルールを読み出す。この結果、いまアクセス制御変換リスト記憶部１２２には、図１０（ｂ）に示すように方式２を適用するアクセス制御変換リストとして、アクセス制御変換ルールNo.1〜No.4が記憶されているので、当該アクセス制御変換ルールNo.1〜No.4の中から、アクセス制御変換ルールNo.3が読み出される。

次にアクセス制御変換・判定部１１２は、上記読み出されたアクセス制御変換ルールNo.3をもとにキー情報検索対象データの検索要求を生成し、この生成したキー情報検索対象データの検索要求をアクセス制御リスト操作処理部１１１に渡す。このとき、キー情報検索対象データ検索要求には以下のパラメータを検索条件として挿入する。
(1) 対象データ識別子：患者基本データ（上記検索されたアクセス制御変換ルールNo.3のキー情報検索対象データ指示情報に記述された対象データ識別子）
(2) 対象データ抽出条件：患者ＩＤ＝S01（上記検索されたアクセス制御変換ルールNo.3のキー情報検索対象データ指示情報に記述された対象データ抽出項目）。

アクセス制御リスト操作処理部１１１は、上記検索要求に含まれる各パラメータを検索条件としてキー情報検索対象データ記憶部１２４を検索し、当該検索条件に該当する患者基本データをキー情報検索対象データ記憶部１２４から読み出す。この結果、いまキー情報検索対象データ記憶部１２４には図６（ｃ）に示す患者基本データが記憶されているので、この中から患者ＩＤ＝S01に対応付けられた患者基本データが読み出される。

なお、上記キー情報検索対象データの検索を行う際に、キー情報検索対象データ指示情報の対象データ抽出項目と、操作対象データ指示情報の対象データ抽出項目とを比較し、両方の対象データ抽出項目が同一であればキー情報検索対象データの検索処理をスキップするようにしてもよい。

続いてアクセス制御変換・判定部１１２は、先にデータ要求サーバ３から受信した操作対象データ指示情報と、上記検索されたアクセス制御変換ルールと、上記検索された患者基本データに基づいて、アクセス制御ルール検索要求を生成する。このアクセス制御ルール検索要求には以下のパラメータを含める。
(1) アクセス者情報：ａ医師（上記受信された操作対象データ指示情報に含まれるパラメータ）
(2) 操作種別情報：登録（上記受信された操作対象データ指示情報に含まれるパラメータ）
(3) 対象データ識別子：検査データ（上記検索されたアクセス制御変換ルールNo.3のアクセス制御ルール照合情報に記述された対象データ識別子）
(4) 対象データ抽出条件：患者ＩＤ＝S01又はかかりつけ病院＝Ａ病院（上記検索されたアクセス制御変換ルールNo.3のアクセス制御ルール照合情報に記述された対象データ抽出項目（患者ＩＤ、かかりつけ病院）と、上記検索された患者基本データに記述されたデータ値（患者ＩＤ＝S01、かかりつけ病院＝Ａ病院）をもとに設定）。

アクセス制御リスト操作処理部１１１は、上記アクセス制御変換・判定部１１２により生成されたアクセス制御ルール検索要求に含まれる各パラメータを検索条件としてアクセス制御リスト記憶部１２１を検索し、該当するアクセス制御ルールを読み出す。この結果、いまアクセス制御リスト記憶部１２１には図８に示すアクセス制御リストが記憶されているので、このリストの中からアクセス者＝ａ医師、対象データ識別子＝検査データ、かつ対象データ抽出条件＝Ａ病院を含むアクセス制御ルールNo.2が読み出される。

アクセス制御変換・判定部１１２は、上記検索されたアクセス制御ルールNo.2のアクセス制御情報をもとにアクセスが許可されているか拒否されているかを判定する。なお、検索されたアクセス制御ルールが複数ある場合には、適宜判定ルールに従って判定する。そして、上記判定結果を表す情報をデータ操作処理部１１３に返却する。

データ操作処理部１１３は、上記判定結果がアクセスを許可するOKであれば、先にデータ要求サーバ３から送られた登録対象データを操作対象データ記憶部１２３に記憶させる。かくして、操作対象データ記憶部１２３には、患者ＩＤ＝S01に対応付けて検査ＩＤ＝0004、検査日＝2012/3/20、その他の検査値を含む検査データが登録される。

データ操作処理部１１３は、上記登録処理が終了すると登録結果を表す通知情報をデータ要求サーバ３に返送する。この通知情報はデータ要求サーバ３から要求元の利用者端末ＴＭａに転送され、ディスプレイに表示される。

以上述べたように実施例４では、検査データのアクセス制御の許否判定に検査データに対し定義されたアクセス制御ルールを適用している。このため、アクセス制御ルールを検索する際の検索条件の変換処理は、一見必要のない処理のように見える。しかし、検索条件の変換処理を行うことで次のような効果が奏せられる。

すなわち、アクセス制御変換ルールに記述されたキー情報検索対象データ指示情報と、キー情報検索対象データを参照することで、検査データには含まれない「かかりつけ病院」のデータ項目を利用したアクセス制御が可能となる。実施例４で利用している患者基本データテーブルには、かかりつけ病院、性別、年齢、主治医等の患者の基本情報が格納されている。例えば、診療サマリ、検査データ及び健康診断データはそれぞれ「かかりつけ病院」というデータ項目を持っていない。しかし、アクセス制御変換リストNo.3に示すように「かかりつけ病院」を定義することで、「かかりつけ病院」を利用したアクセス制御が可能となる。

また、患者に関するデータを複数のテーブルで管理している場合、患者基本データテーブルにすべての情報を蓄積すると、テーブル構成の大幅な変更になったり、データの二重管理になったりする。これを防止するために、既存の複数の患者データテーブルから、データベースのビューとして患者基本データテーブルを作成し、キー情報検索対象データとするとよい。ビューは通常直接更新することができないが、キー情報検索対象データは操作対象データではなく、アクセス制御判定に利用されるだけであるため、直接更新する必要はない。また、既存の複数の患者データテーブルが更新されれば、自動的に患者基本データテーブルに反映される。

（実施例５）
実施例５は、利用者端末ＴＭａにおけるａ医師の操作に応じて、データ要求サーバ３からＡ病院をかかりつけ病院とする患者の山田さんに関する検査データに対応付けられたアクセス制御リストの参照要求を受け取った場合に、その検索条件を方式２に対応するアクセス制御変換リスト（図１０（ｂ））を用いて変換し、この変換された検索条件をもとにアクセス制御ルールを検索して、上記参照要求に対するアクセスの許否を判定するものである。

図１５は、実施例５におけるアクセス制御シーケンスを示すものである。なお、同図において前記図１３と同一部分については説明を省略する。
利用者端末ＴＭａにおけるａ医師の操作に応じてデータ要求サーバ３から送られる操作対象データ指示情報には、以下のパラメータが含まれている。
(1) アクセス者情報：ａ医師
(2) 操作種別情報：参照
(3) 対象データ識別子：アクセス制御リスト
(4) 対象データ：検査データの患者ＩＤ＝S01
なお、操作対象データ指示情報には、認証結果を表す情報、つまりアクセス者がａ医師であると認証されたことを示す情報も付加される。

上記操作対象データ指示情報が送られると、Ａ病院データ提供サーバ１はデータ操作処理部１１３の制御の下で先ずアクセス制御変換・判定部１１２を起動し、上記受信された操作対象データ指示情報をアクセス制御変換・判定部１１２に通知する。アクセス制御変換・判定部１１２は、上記通知された操作対象データ指示情報に含まれる対象データ識別子=アクセス制御リストと、対象データ＝検査データの患者ＩＤを検索条件としてアクセス制御変換リスト記憶部１２２を検索し、当該検索条件に該当するアクセス制御変換ルールを読み出す。この結果、いまアクセス制御変換リスト記憶部１２２には、図１０（ｂ）に示すように方式２を適用するアクセス制御変換リストとして、アクセス制御変換ルールNo.1〜No.4が記憶されているので、当該アクセス制御変換ルールNo.1〜No.4の中から、アクセス制御変換ルールNo.4が読み出される。

次にアクセス制御変換・判定部１１２は、上記読み出されたアクセス制御変換ルールNo.4をもとにキー情報検索対象データの検索要求を生成し、この生成したキー情報検索対象データの検索要求をアクセス制御リスト操作処理部１１１に渡す。このとき、キー情報検索対象データ検索要求には以下のパラメータを検索条件として挿入する。
(1) 対象データ識別子：患者基本データ（上記検索されたアクセス制御変換ルールNo.4のキー情報検索対象データ指示情報に記述された対象データ識別子）
(2) 対象データ抽出条件：患者ＩＤ＝S01（上記検索されたアクセス制御変換ルールNo.4のキー情報検索対象データ指示情報に記述された対象データ抽出項目）。

アクセス制御リスト操作処理部１１１は、上記検索要求に含まれる各パラメータを検索条件としてキー情報検索対象データ記憶部１２４を検索し、当該検索条件に該当する患者基本データをキー情報検索対象データ記憶部１２４から読み出す。この結果、いまキー情報検索対象データ記憶部１２４には図６（ｃ）に示す患者基本データが記憶されているので、この中から患者ＩＤ＝S01に対応付けられた患者基本データが読み出される。

なお、上記キー情報検索対象データの検索を行う際に、キー情報検索対象データ指示情報の対象データ抽出項目と、操作対象データ指示情報の対象データ抽出項目とを比較し、両方の対象データ抽出項目が同一であればキー情報検索対象データの検索処理をスキップするようにしてもよい。

アクセス制御変換・判定部１１２は、先にデータ要求サーバ３から受信した操作対象データ指示情報と、上記検索されたアクセス制御変換ルールと、上記検索された患者基本データとに基づいて、アクセス制御ルール検索要求を生成する。このアクセス制御ルール検索要求には以下のパラメータを含める。
(1) アクセス者情報：ａ医師（上記受信された操作対象データ指示情報に含まれるパラメータ）
(2) 操作種別情報：参照 （上記受信された操作対象データ指示情報に含まれるパラメータ）
(3) 対象データ識別子：アクセス制御リスト（上記検索されたアクセス制御変換ルールNo.4のアクセス制御ルール照合情報に記述された対象データ識別子）
(4) 対象データ抽出条件：患者ＩＤ＝S01又はかかりつけ病院＝Ａ病院（上記検索されたアクセス制御変換ルールNo.4のアクセス制御ルール照合情報に記述された対象データ抽出項目（患者ＩＤ、かかりつけ病院）と、上記検索された患者基本データに記述されたデータ値（患者ＩＤ＝S01、かかりつけ病院＝Ａ病院）をもとに設定）。

アクセス制御リスト操作処理部１１１は、上記アクセス制御変換・判定部１１２により生成されたアクセス制御ルール検索要求に含まれる各パラメータを検索条件としてアクセス制御リスト記憶部１２１を検索し、該当するアクセス制御ルールを読み出す。この結果、いまアクセス制御リスト記憶部１２１には図８に示すアクセス制御リストが記憶されているので、このリストの中からアクセス者＝ａ医師、対象データ識別子＝検査データ、かつ対象データ抽出条件＝Ａ病院を含むアクセス制御ルールNo.5が読み出される。

アクセス制御変換・判定部１１２は、上記検索されたアクセス制御ルールNo.5のアクセス制御情報をもとにアクセスが許可されているか拒否されているかを判定する。なお、検索されたアクセス制御ルールが複数ある場合には、適宜判定ルールに従って判定する。そして、上記判定結果を表す情報をデータ操作処理部１１３に返却する。データ操作処理部１１３は、上記判定結果がアクセスを許可するOKであれば、アクセス制御リスト記憶部１２１を検索して、アクセス制御リストのうち検査データの患者ＩＤ＝S01に該当するアクセス制御ルールを読み出し、この読み出されたアクセス制御ルールを通信ユニット１３から要求元のデータ要求サーバ３へ返送する。この結果、いまアクセス制御リスト記憶部１２１には図８に示すアクセス制御ルールNo.1〜No.6が記憶されているので、これらのアクセス制御ルールNo.1〜No.6の中から、アクセス制御ルールNo.4が読み出され、データ要求サーバ３へ返送される。

データ要求サーバ３は、上記返送されたアクセス制御ルールNo.4を要求操作元の利用者端末ＴＭａへ転送する。かくして、ａ医師さんは利用者端末ＴＭａにおいて、検査データの患者ＩＤに対し定義したアクセス制御ルールの内容について確認することが可能となる。

以上のように実施例５によれば、アクセス制御変換・判定部１１２において、アクセス制御変換リスト記憶部１２２から検索したアクセス制御変換ルールと、このアクセス制御変換ルールのキー情報検索対象データ指示情報に記述された対象データ識別子をもとにキー情報検索対象データ記憶部１２４から検索したキー情報検索対象データとに基づいて、利用者端末ＴＭｂから送られた操作対象データ指示情報の検索条件が変換され、この変換された検索条件に該当するアクセス制御ルールがアクセス制御リスト記憶部１２１から検索されてアクセス制御の許否が判定される。

したがって、ａ医師が対象データとして検査データの患者ＩＤ＝S01を検索条件の１つとして指定してアクセス制御リストの参照を要求した場合に、アクセス制御リストの参照に対し定義されたアクセス制御ルールに対象データ抽出条件として検査データの患者ＩＤ＝S01が定義されていなくても、アクセス制御変換ルールとキー情報検索対象データに基づいて検索条件に「かかりつけ病院Ａ」を追加することで、この追加された「かかりつけ病院Ａ」をもとに上記アクセス制御ルールを読み出し、その内容をもとに上記アクセス制御リストに対するａ医師のアクセス制御の許否を判定することが可能となる。このため、ａ医師が操作対象とするアクセス制御リストに対しもれなくアクセス制御ルールを設定する場合に比べ、アクセス制御ルールの登録件数を大幅に減らしその運用上の負担を軽減することが可能となる。

［典型的な利用形態］
最後に、この発明に係るデータ蓄積システム及びアクセス制御方法の典型的な利用形態について以下に述べる。図１６はこの典型的な利用形態を説明するために使用する図である。
先ず、アクセス制御に必要な患者の属性情報をすべて持った患者基本データビューを作成し、キー情報検索データとする。続いて、操作対象データのアクセス制御パターンをカテゴライズし、それぞれのカテゴリに対しアクセス制御ルールを登録する。例えば、パターンがＡ，Ｂ，Ｃの３つの場合には、対象データ識別子パターンＡ、パターンＢ、パターンＣのそれぞれに対するアクセス制御ルールを登録する。最後に、アクセス制御変換リストを定義し、各テーブルをパターンＡ、パターンＢ、パターンＣのいずれかに対応付ける。例えば、テーブルａ１，ａ２がパターンＡ、テーブルｂ１がパターンＢ、テーブルｃ１がパターンＣの場合、図１６に示すようにアクセス制御変換リストを定義する。

なお、アクセス制御対象となるのは患者に関する情報なので、アクセス制御変換リストにより、どのアクセス制御ルールがどのテーブルに適用されるかという情報は事前に患者に対して公開されており、患者が了承のうえ、情報を提供する必要がある。例えば、図１０に示すようにアクセス制御変換リストにアクセス制御変換ルールNo.1が登録されており、患者が本システムに新たに加入する場合に、予め健康診断データには検査データと同じアクセス制御ルールが適用される旨を患者に確認させたうえで、加入を認める必要がある。

また、患者が利用している本システムに新たにデータ又は地域又はデータテーブルが追加される場合には、このデータ又はデータテーブルに、既存のほかのテーブルのアクセス制御ルールが適用される旨も、事前に注意する必要がある。患者がこれらのルールの適用を好まない場合、例えば健康診断データを見せたくない場合には、当該患者に対して拒否ルールを個別に設定することが可能である。

［その他の実施形態］
アクセス制御変換リストには、複数のアクセス制御変換ルールが検索された場合に、どのルールを優先させるかを決める優先度などの項目を含めるようにしてもよい。また、アクセス者や操作種別によりアクセス制御ルールが変わらない場合には、これらの項目を省略してもよい。さらに、操作種別については、「登録」、「更新」、「参照」、「削除」を定義したが、「読取り」、「書込み」の２つの操作種別に限定したり、「担当医師更新」、「紹介先医師更新」等のサービスごとに操作種別を細分化するようにしてもよい。

また、実施例１〜５では、アクセス制御リストを検索する際の対象データ抽出条件として、アクセス制御変換リストのアクセス制御ルール照合情報の対象データ抽出項目に記載されたデータ項目だけを利用して説明した。しかしそれに限らず、キー情報検索対象データを検索した結果、レコードの全データ項目或いは一部のデータ項目を、アクセス制御リストを検索する際の対象データ抽出条件に追加してもよい。

さらに、キー情報検索対象データの検索結果レコードが複数となった場合には、各レコードについてアクセス制御リストの検索を行うようにすればよい。例えば、実施例２では２件検索されるので、アクセス制御リストの検索を２回行えばよい。また、アクセス制御変換リストやアクセス制御リストが複数検索された場合にどのルールを適用するかを決めるために、優先順位を決めておくことが有効である。

さらに、「アクセス制御ルール照合情報」に対応する実データは、当該データ自体に実際にアクセスが行われるわけではないので、当該データは必ずしも設けなくてもよい。つまり、アクセス制御ルール照合情報に対応するアクセス制御ルールさえアクセス制御リスト記憶部に定義しておけば、アクセス制御ルール照合情報に対応する実データは操作対象データ記憶部に存在しなくてもよい。

さらに、「キー情報検索対象データ指示情報」により検索されるキー情報検索対象データは、実際に検索対象となるため実データである必要がある。しかし、「キー情報検索対象データ」はアクセス制御の許否を判定する過程においてのみ検索されるものであるため、操作対象データとすることは必須ではない。また、「キー情報検索対象データ指示情報」は、適用したいアクセス制御ルールに含まれる患者の属性情報をすべて含む必要がある。このため、ビュー等を使って「キー情報検索対象データ指示情報」用の専用テーブルを設け、複数のテーブルに分散する患者の属性情報を集めた１つの参照用テーブルを作成するという適用例が考えられる。なお、ビューとは、既存の別のテーブルを組み合わせて、作成する参照専用のテーブルを指すデータベースの用語である。すなわち、操作対象データの複数のテーブルに分散するユーザの属性情報を組み合わせて、参照専用の「患者基本データ」ビューを作成する。

また、データ提供サーバ１，２に設けられた操作対象データ記憶部１２３は、当該データ提供サーバ１，２とは別に設けられたデータ蓄積サーバに設けるようにし、データ提供サーバ１，２からデータ蓄積サーバに対しネットワークを介してアクセスするように構成してもよい。

その他、データ要求サーバ３の種類や構成、アクセス制御処理の手順とその内容等についても、この発明の要旨を逸脱しない範囲で種々変形して実施可能である。
要するにこの発明は、上記実施形態又は実施例そのままに限定されるものではなく、実施段階ではその要旨を逸脱しない範囲で構成要素を変形して具体化できる。また、上記実施形態又は実施例に開示されている複数の構成要素の適宜な組み合せにより種々の発明を形成できる。例えば、実施形態又は実施例に示される全構成要素から幾つかの構成要素を削除してもよい。さらに、異なる実施形態又は実施例に亘る構成要素を適宜組み合せてもよい。

ＮＷ…ネットワーク、ＴＭａ，ＴＭｂ…利用者端末、１…Ａ病院データ要求サーバ３、２…Ｂ病院データ要求サーバ３…データ要求サーバ、４…ユーザ認証サーバ、１１，３１，４１…制御ユニット、１２，４２…記憶ユニット、１３，３３，４３…通信ユニット、１１１…アクセス制御リスト操作処理部、１１２…アクセス制御変換・判定部、１１３…データ操作処理部、１２１…アクセス制御リスト記憶部、１２２…アクセス制御変換リスト記憶部、１２３…操作対象データ記憶部、１２４…キー情報検索対象データ記憶部、３１１…データ操作要求処理部、３１２…患者情報サービス処理部、３１３…ユーザ認証要求処理部、４１１…ユーザ認証処理部、４２１…認証情報記憶部。

Claims (7)

1. 第１の操作対象データに対し定義された、当該第１の操作対象データを検索するための第１の検索条件を含むアクセス制御ルールを記憶する第１の記憶手段と、
   前記第１の検索条件と、アクセス制御ルールが定義されていない第２の操作対象データを検索するための第２の検索条件とを相互に関連付けたアクセス制御変換情報を記憶する第２の記憶手段と、
   前記第２の検索条件を記述した、前記第２の操作対象データに対するデータ操作要求を受信したとき、当該受信されたデータ操作要求に記述された第２の検索条件を、前記第２の記憶手段に記憶されたアクセス制御変換情報に基づいて第１の検索条件に変換する変換手段と、
   前記変換された第１の検索条件をもとに、当該第１の検索条件を含むアクセス制御ルールを前記第１の記憶手段から読み出す手段と、
   前記読み出されたアクセス制御ルールに基づいて、前記第２の操作対象データに対する操作を許可するか否かを判定する判定手段と、
   前記判定手段により操作が許可された場合に、前記第２の操作データに対する操作を実行する手段と
   を具備することを特徴とするデータアクセス制御装置。
2. 前記アクセス制御ルールは、データ操作要求を送出した利用者を示すアクセス者情報と、操作対象データに対して実施したい操作の種類を示す操作種別情報と、操作対象データの集合を特定するための対象データ識別子と、当該操作対象データの集合から抽出すべき操作対象データのデータ項目とその値を示す対象データ抽出条件と、前記利用者による前記操作対象データに対するデータ操作を許可するか許否するかを示すアクセス制御情報とを含み、
   前記アクセス制御変換情報は、前記アクセス制御ルールを検索するために用いる対象データ識別子、及び対象データ抽出項目を含むアクセス制御ルール照合情報と、操作対象データのデータ集合を特定する対象データ識別子、及びデータレコードを特定する対象データ抽出項目を含む操作対象データ指示情報とを、それぞれ第１及び第２の検索条件として含み、さらに前記各対象データ抽出項目は対応するデータ識別子により特定されるデータ集合に含まれる複数のデータ項目のうちの部分集合を構成し、
   前記変換手段は、
   操作対象データのデータ集合を特定する対象データ識別子、及び操作対象データを特定するデータ項目を含む第２の検索条件を記述したデータ操作要求を受信し、当該受信された対象データ識別子及びデータ項目を操作対象データ指示情報に含むアクセス制御変換情報を前記第２の記憶手段から読み出す手段と、
   前記読み出されたアクセス制御変換情報からアクセス制御ルール照合情報に含まれる対象データ識別子及び対象データ抽出項目を抽出し、この抽出した対象データ識別子及び対象データ抽出項目を抽出条件に含むアクセス制御ルールを前記第１の記憶手段から読み出す手段と
   を備えることを特徴とする請求項１記載のデータアクセス制御装置。
3. 第１の操作対象データに対し定義された、当該第１の操作対象データを検索するための第１の検索条件を含むアクセス制御ルールを記憶する第１の記憶手段と、
   前記第１の検索条件と、アクセス制御ルールが定義されていない第２の操作対象データを検索するための第２の検索条件と、当該第２の検索条件を補充するための補充対象データを検索するために用いる第３の検索条件とを相互に関連付けたアクセス制御変換情報を記憶する第２の記憶手段と、
   前記第２の検索条件を記述した、前記第２の操作対象データに対するデータ操作要求を受信したとき、当該受信されたデータ操作要求に記述された第２の検索条件をもとに、前記第２の記憶手段から当該第２の検索条件を含むアクセス制御変換情報を読み出す手段と、
   前記読み出されたアクセス制御変換情報に含まれる第３の検索条件に基づいて、補充対象データを取得する手段と、
   前記読み出されたアクセス制御変換情報に含まれる第１の検索条件に前記取得された補充対象データを加えて第４の検索条件を生成し、この生成された第４の検索条件をもとに、当該第４の検索条件を含むアクセス制御ルールを前記第１の記憶手段から読み出すアクセス制御ルール読み出し手段と、
   前記読み出されたアクセス制御ルールに基づいて、前記第２の操作対象データに対する操作を許可するか否かを判定する判定手段と、
   前記判定手段により操作が許可された場合に、前記第２の操作データに対する操作を実行する手段と
   を具備することを特徴とするデータアクセス制御装置。
4. 前記補充対象データを取得する手段は、
   前記受信されたデータ操作要求に記述された第２の検索条件と、前記読み出されたアクセス制御変換情報に含まれる第３の検索条件とが同一であるか否かを判定する手段と、
   前記第２の検索手段と第３の検索手段とが同一ではないと判定された場合に、当該第３の検索条件に基づいて補充対象データを取得する手段と、
   前記第２の検索手段と第３の検索手段とが同一であると判定された場合には、前記補充対象データの取得処理を省略する手段と
   を備え、
   前記アクセス制御ルール読み出し手段は、
   前記補充対象データを取得する手段により補充対象データが取得された場合には、第４の検索条件を生成して、当該第４の検索条件をもとに前記第１の記憶手段からアクセス制御ルールを読み出す手段と、
   前記補充対象データを取得する手段により補充対象データの取得処理が省略された場合には、前記読み出されたアクセス制御変換情報に含まれる第１の検索条件をもとに前記第１の記憶手段からアクセス制御ルールを読み出す手段と
   を備えることを特徴とする請求項３記載のデータアクセス制御装置。
5. 前記アクセス制御ルールは、データ操作要求を送出した利用者を示すアクセス者情報と、操作対象データに対して実施したい操作の種類を示す操作種別情報と、操作対象データの集合を特定するための対象データ識別子と、当該操作対象データの集合から抽出すべき操作対象データのデータ項目とその値を示す対象データ抽出条件と、前記利用者による前記操作対象データに対するデータ操作を許可するか許否するかを示すアクセス制御情報とを含み、
   前記アクセス制御変換情報は、前記アクセス制御ルールを検索するために用いる対象データ識別子、及び対象データ抽出項目を含むアクセス制御ルール照合情報と、操作対象データのデータ集合を特定する対象データ識別子、及び操作対象データを特定する対象データ抽出項目を含む操作対象データ指示情報と、補充対象データのデータ集合を特定する補充対象データ識別子、及び操作対象データを特定する対象データ抽出項目を含む補充対象データ指示情報とを、それぞれ第１、第２及び第３の検索条件として含み、さらに前記各対象データ抽出項目は対応するデータ識別子により特定されるデータ集合に含まれる複数のデータ項目のうちの部分集合を構成し、
   前記アクセス制御変換情報を読み出す手段は、
   データ操作要求を送出した利用者を示すアクセス者情報と、操作対象データに対して実施したい操作の種類を示す操作種別情報と、操作対象データのデータ集合を特定する対象データ識別子と、操作対象データを特定するデータ項目とを含むデータ操作要求を受信する手段と、
   前記受信されたデータ操作要求に含まれる対象データ識別子及びデータ項目を操作対象データ指示情報に含むアクセス制御変換情報を前記第２の記憶手段から読み出す手段とを備え、
   前記補充対象データを取得する手段は、
   前記読み出されたアクセス制御変換情報から補充対象データ指示情報に含まれる補充対象データ識別子及び対象データ抽出項目を抽出し、この抽出した補充対象データ識別子及び対象データ抽出項目を含む補充対象データを取得する手段を備え、
   前記アクセス制御ルールを読み出す手段は、
   前記受信されたデータ操作要求に含まれるアクセス者情報及び操作種別情報と、前記読み出されたアクセス制御変換情報のアクセス制御ルール照合情報に記述された対象データ識別子と、前記アクセス制御ルール照合情報に記述された対象データ抽出項目に前記取得された補充対象データを付加した補充後の対象データ抽出条件とをパラメータとして含む第４の検索条件を生成する手段と、
   前記生成された第４の検索条件をもとに、当該第４の検索条件に含まれる各パラメータを含むアクセス制御ルールを前記第１の記憶手段から読み出す手段と
   を備えることを特徴とする請求項３又は４記載のデータアクセス制御装置。
6. 第１の操作対象データに対し定義された、当該第１の操作対象データを検索するための第１の検索条件を含むアクセス制御ルールを記憶する第１の記憶手段と、前記第１の検索条件と、アクセス制御ルールが定義されていない第２の操作対象データを検索するための第２の検索条件とを相互に関連付けたアクセス制御変換情報を記憶する第２の記憶手段とを備える装置で使用されるデータアクセス制御方法であって、
   前記第２の検索条件を記述した、前記第２の操作対象データに対するデータ操作要求を受信したとき、当該受信されたデータ操作要求に記述された第２の検索条件を、前記第２の記憶手段に記憶されたアクセス制御変換情報に基づいて第１の検索条件に変換する過程と、
   前記変換された第１の検索条件をもとに、当該第１の検索条件を含むアクセス制御ルールを前記第１の記憶手段から読み出す過程と、
   前記読み出されたアクセス制御ルールに基づいて、前記第２の操作対象データに対する操作を許可するか否かを判定する過程と、
   前記判定する過程で操作が許可された場合に、前記第２の操作データに対する操作を実行する過程と
   を具備することを特徴とするデータアクセス制御方法。
7. 第１の操作対象データに対し定義された、当該第１の操作対象データを検索するための第１の検索条件を含むアクセス制御ルールを記憶する第１の記憶手段と、前記第１の検索条件と、アクセス制御ルールが定義されていない第２の操作対象データを検索するための第２の検索条件と、当該第２の検索条件を補充するための補充対象データを検索するために用いる第３の検索条件とを相互に関連付けたアクセス制御変換情報を記憶する第２の記憶手段とを備える装置で使用されるデータアクセス制御方法であって、
   前記第２の検索条件を記述した、前記第２の操作対象データに対するデータ操作要求を受信したとき、当該受信されたデータ操作要求に記述された第２の検索条件をもとに、前記第２の記憶手段から当該第２の検索条件を含むアクセス制御変換情報を読み出す過程と、
   前記読み出されたアクセス制御変換情報に含まれる第３の検索条件に基づいて、補充対象データを取得する過程と、
   前記読み出されたアクセス制御変換情報に含まれる第１の検索条件に前記取得された補充対象データを加えて第４の検索条件を生成し、この生成された第４の検索条件をもとに、当該第４の検索条件を含むアクセス制御ルールを前記第１の記憶手段から読み出す過程と、
   前記読み出されたアクセス制御ルールに基づいて、前記第２の操作対象データに対する操作を許可するか否かを判定する過程と、
   前記判定する過程で操作が許可された場合に、前記第２の操作データに対する操作を実行する過程と
   を具備することを特徴とするデータアクセス制御方法。

Images