JP5521024B1 - 分散情報連携システム及び方法 - Google Patents

Abstract

【課題】外部装置を改修することなく当該外部装置との間で情報伝送を可能にする。
【解決手段】ＩＤ連携システムＳＳ１内に証明書中継サーバ４を設けて、この証明書中継サーバ４にシステム外の証明書管理サーバ５をネットワークＮＷを介して接続する。そして証明書中継サーバ４において、システム内のサービス提供サーバ１，２から証明書取得要求が送られた場合に、この要求に含まれる自装置の利用者識別子もしくは自装置の利用者識別子に関連付けられた情報を、利用者識別子変換情報記憶部４２１に記憶された変換情報をもとに証明書管理サーバ５が使用する証明書ＤＮに変換し、この証明書ＤＮを含む証明書取得要求を証明書管理サーバ５へ送信する。
【選択図】図６

Description

この発明は、例えば医療機関や保健関連機関、運動関連施設等がそれぞれ固有の利用者識別子を用いて管理している医療等に関する個人データを、ネットワークを介して利用者間で共有する分散情報連携システム及び方法に関する。

患者が病院に掛かったときに、医師が患者の過去の病歴や治療歴、検査情報等の患者情報を確認したい場合がある。このような場合、他の医療機関が管理する患者の診療情報をネットワークを介して取得し参照できると大変便利である。そこで、複数の医療機関がそれぞれ自病院で管理する患者情報を共有できるようにするシステムが提案されている（例えば特許文献１を参照）。

一般に、各医療機関ではそれぞれ同一の患者に対しても独自に固有の利用者識別子を発行し管理している。このため、上記した複数の医療機関で患者情報を共有するシステムでは、ある医療機関の医師が他の医療機関が保持する同一患者の情報にアクセスする場合、医療機関間の利用者識別子を変換するＳＡＭＬ（Security Assertion Markup Language）や、ＩＤ−ＷＳＦ等の仕組みが利用されている（例えば非特許文献１又は２を参照）。このような仕組みを採用した複数の装置からなるシステムは、ＩＤ連携システムと呼ばれる。

特許第４８４８４０７号公報

"Assertions and Protocols for the OASIS Security Assertion Markup Language（SAML） V2.0"、［online］、［平成２３年１０月３１日検索］、インターネット＜ＵＲＬ：http://docs.oasis-open.org/security/saml/v2.0/saml-core-2.0-os.pdf ＞ "Liberty ID-WSF Web Services Framework Overview Version: 2.0"、［online］、［平成２３年１０月３１日検索］、インターネット＜ＵＲＬ：http://www.projectliberty.org/liberty/content/download/889/6243/file/liberty-idwsf-overview-v2.0.pdf ＞

ところが、従来提案されたＩＤ連携システムには以下のような改善すべき課題がある。すなわち、ＩＤ連携システムでは、運用開始後にシステムに属するサーバ装置間に限らず、システムに属さない外部のサーバ装置との間で情報伝送を行う必要が生じる場合がある。この場合、新たに接続する外部のサーバ装置も独自に利用者識別子を管理しているため、この外部のサーバ装置に利用者識別子を変換するためのモジュールを新たに設ける必要がある。この結果、外部のサーバ装置の改修が必要となる。

例えば、患者の紹介状に対し医師が署名を付与し、紹介先の医師又は患者がその署名を検証するサービスをＩＤ連携システムで実現しようとする場合、ＩＤ連携システムは医師の公開鍵証明書を外部のサーバ装置から取得しなければならない。医師の公開鍵証明書は例えばＬＤＡＰサーバで管理されているため、ＩＤ連携システムはＬＤＡＰサーバとの間で情報伝送を行う必要がある。しかし、そのためにはＬＤＡＰサーバにＩＤ連携モジュールを追加しなければならず、ＬＤＡＰサーバの改修が必要となる。仮に、ＬＤＡＰサーバがＩＤ連携システムとは関係のない他のサービスや利用者と共用されていたとすると、ＬＤＡＰサーバを改修してＩＤ連携システム専用とした場合、他のサービスやユーザに対し悪影響が及ぶことになりかねず、きわめて好ましくない。

この発明は上記事情に着目してなされたもので、その目的とするところは、外部装置を改修することなく当該外部装置との間で情報伝送を可能にした分散情報連携システム及び方法を提供することにある。

上記目的を達成するためにこの発明の第１の観点は、ネットワークを介して相互に通信が可能な、利用者の個人情報を保存する複数のサービス提供装置、識別子連携装置及び外部中継装置を備え、上記複数のサービス提供装置、識別子連携装置及び外部中継装置はそれぞれ一利用者を識別するための固有の利用者識別子を管理し、前記識別子連携装置は前記複数のサービス提供装置及び外部中継装置がそれぞれ管理する固有の利用者識別子を自装置が管理する固有の利用者識別子と関連付けて管理し、さらに前記外部中継装置が、前記利用者の個人情報と関連する情報を保存する外部情報管理装置との間で前記ネットワークを介して通信可能に接続される分散情報連携システムであって、
上記サービス提供装置が、先ず上記一利用者について、自装置固有の利用者識別子と対応する上記外部中継装置固有の利用者識別子を上記識別子連携装置から取得し、この取得された外部中継装置固有の利用者識別子を含む、上記利用者の個人情報に関連する情報を取得するための外部情報取得要求を、前記外部中継装置に向け送信する。これに対し外部中継装置では、上記一利用者について自装置固有の利用者識別子と上記外部情報管理装置固有の利用者識別子との間の対応関係を表す利用者識別子変換情報を予め記憶しておき、上記サービス提供装置から送信された外部情報取得要求を受信した場合に、先ずこの受信した外部情報取得要求に含まれる自装置固有の利用者識別子を、上記記憶された利用者識別子変換情報に基づいて上記外部情報管理装置固有の利用者識別子に変換する。そして、この変換された外部情報管理装置固有の利用者識別子を含む外部情報取得要求を上記外部情報管理装置へ送信し、これに対し上記外部情報管理装置から返送される外部情報を受信して、当該受信された外部情報を取得要求元のサービス提供装置へ返送するようにしたものである。

また上記第１の観点は、上記外部中継装置が外部情報を返送する際に、当該外部情報に含まれる上記外部情報管理装置固有の利用者識別子を、上記利用者識別子変換情報に基づいて自装置固有の利用者識別子に変換し、この変換された外部中継装置固有の利用者識別子を含む外部情報を取得要求元のサービス提供装置へ返送することも特徴とする。

上記目的を達成するためにこの発明の第２の観点は、ネットワークを介して相互に通信が可能な、利用者の個人情報を保存する複数のサービス提供装置、識別子連携装置及び利用者識別子変換装置を備え、上記複数のサービス提供装置、識別子連携装置及び利用者識別子変換装置はそれぞれ一利用者を識別するための固有の利用者識別子を管理し、上記識別子連携装置は上記複数のサービス提供装置及び利用者識別子変換装置がそれぞれ管理する固有の利用者識別子を自装置が管理する固有の利用者識別子と関連付けて管理し、さらに上記利用者識別子変換装置が、上記利用者の個人情報と関連する情報を保存する外部情報管理装置との間で上記ネットワークを介して通信可能に接続される分散情報連携システムであって、
上記サービス提供装置が、先ず上記一利用者について自装置固有の利用者識別子と対応する上記利用者識別子変換装置固有の利用者識別子を上記識別子連携装置から取得し、この取得された利用者識別子変換装置固有の利用者識別子を含む利用者識別子変換要求を上記利用者識別子変換装置に向け送信する。これに対し利用者識別子変換装置では、上記一利用者について、自装置固有の利用者識別子と上記外部情報管理装置固有の利用者識別子との間の対応関係を表す利用者識別子変換情報を予め記憶しておき、上記サービス提供装置から送信された利用者識別子変換要求を受信した場合に、この受信した利用者識別子変換得要求に含まれる自装置固有の利用者識別子を、上記記憶された利用者識別子変換情報に基づいて上記外部情報管理装置固有の利用者識別子に変換する。そして、この変換された外部情報管理装置固有の利用者識別子を変換要求元のサービス提供装置へ返送する。さらに上記サービス提供装置では、上記利用者識別子変換装置から返送された外部情報管理装置固有の利用者識別子を含む、上記利用者の個人情報に関連する情報の取得要求を上記外部情報管理装置へ送信し、これに対し上記外部情報管理装置から返送される外部情報を受信するようにしたものである。

この発明の第１の観点によれば、例えばサービス提供装置が外部の外部情報管理装置から外部情報を取得しようとする場合、サービス提供装置から送信された取得要求に含まれる要求元固有の利用者識別子が識別子連携装置を介して外部中継装置により要求先の外部情報管理装置固有の利用者識別子に変換されたのち外部情報管理装置へ転送される。すなわち、サービス提供装置から送信された取得要求が外部中継装置により中継される。このため、外部情報管理装置に利用者識別子の変換モジュールを追加しなくてもよくなり、これにより外部情報管理装置の改修は不要となる。

また第１の観点によれば、外部情報管理装置から返送された外部情報に含まれる外部情報管理装置固有の利用者識別子が、外部中継装置により当該中継装置固有の利用者識別子に変換され、さらに識別子連携装置により返送先のデータ提供装置固有の利用者識別子に変換されて伝送される。このため、外部中継装置で管理されている固有の利用者識別子をデータ提供装置に対し秘匿することが可能となる。

この発明の第２の観点によれば、例えばサービス提供装置が外部の外部情報管理装置から外部情報を取得しようとする場合、サービス提供装置から先ず利用者識別子の変換要求が利用者識別子変換装置に送られ、この変換装置で利用者識別子の変換処理が行われて外部情報管理装置の利用者識別子がサービス提供サーバに通知される。次にサービス提供装置から、上記通知された外部情報管理装置固有の利用者識別子を用いて要求先の外部情報管理装置に対し外部情報取得要求が直接送信され、この要求に応じて外部情報管理装置から外部情報がサービス提供装置に返送される。すなわち、システム内のサービス提供装置と外部の外部情報管理装置がそれぞれ個別に管理する利用者識別子が、利用者識別子変換装置により変換される。このため、先に述べた第１の観点と同様に、外部情報管理装置に利用者識別子の変換モジュールを追加しなくてもよくなり、これにより外部情報管理装置の改修は不要となる。

すなわちこの発明の第１及び第２の観点によれば、外部装置を改修することなく当該外部装置との間で情報伝送を可能にした分散情報連携システム及び方法を提供することができる。

この発明の第１の実施形態に係る分散情報連携システムの概略構成図。 図１に示した分散情報連携システムのサービス提供サーバの構成を示すブロック図。 図１に示した分散情報連携システムのＩＤ連携サーバの構成を示すブロック図。 図１に示した分散情報連携システムの証明書中継サーバの構成を示すブロック図。 図１に示した分散情報連携システムの証明書管理サーバの構成を示すブロック図。 図１に示した分散情報連携システムによる分散情報連携動作の手順と内容を示すシーケンス図。 図６に示した分散情報連係動作において使用される各サーバの管理情報の一例を示す図。 この発明の第２の実施形態に係る分散情報連携システムの概略構成図。 図８に示した分散情報連携システムのサービス提供サーバの構成を示すブロック図。 図８に示した分散情報連携システムの紹介状管理サーバの構成を示すブロック図。 図８に示した分散情報連携システムによる分散情報連携動作の手順と内容を示すシーケンス図。 図１１に示した分散情報連係動作において使用される各サーバの管理情報の一例を示す図。

以下、図面を参照してこの発明に係わる実施形態を説明する。
［第１の実施形態］
（構成）
（１）システム全体の構成
図１は、この発明の第１の実施形態に係る分散情報連携システムの概略構成図であり、同図では分散情報連携システムをＩＤ連携システムＳＳ１として図示している。

ＩＤ連携システムＳＳ１は、Ａ病院が運用するサービス提供装置としてのＡ病院サービス提供サーバ１と、Ｂ病院が運用するサービス提供装置としてのＢ病院サービス提供サーバ２と、識別子連携装置としてのＩＤ連携サーバ３と、外部中継装置としての証明書中継サーバ４とを備えている。これらのサービス提供サーバ１，２、ＩＤ連携サーバ３及び証明書中継サーバ４は、ネットワークＮＷを介して相互に通信が可能となっている。

ネットワークＮＷは、インターネットと、このインターネットにアクセスするためのアクセス網とから構成される。アクセス網としては、有線電話網や有線ＬＡＮ（Local Area Network）、携帯電話網、無線ＬＡＮ等が用いられる。

また、上記各サービス提供サーバ１，２には、それぞれＡ病院及びＢ病院の医師が使用する利用者端末ＴＭａ，ＴＭｂがネットワークＮＷを介して接続可能となっている。これらの利用者端末ＴＭａ，ＴＭｂは、固定設置型のパーソナル・コンピュータ、或いはタブレット型端末やスマートフォン等の携帯端末からなる。

さらに、上記証明書中継サーバ４には、ネットワークＮＷを介して外部情報管理装置としての証明書管理サーバ５が接続可能となっている。この証明書管理サーバ５は、上記各サービス提供サーバ１，２が保存する署名付紹介状に対し、その署名を証明するための証明書を管理する。

（２）サービス提供サーバ１，２の構成
Ａ病院及びＢ病院が運用する各サービス提供サーバ１，２は以下のように構成される。図２はその構成を示すブロック図である。なお、サービス提供サーバ１，２は同一構成であるため、図２ではＡ病院サービス提供サーバ１のみを図示している。
サービス提供サーバ１は、Ａ病院に受診履歴のある患者の診療情報やその紹介状情報、医師等のスタッフの情報を、自装置で独自に発行した利用者識別子を用いて管理するもので、制御ユニット１１と、記憶ユニット１２と、通信ユニット１３を備えている。

通信ユニット１３は、制御ユニット１１の制御の下で、ネットワークＮＷにより規定されるプロトコルを使用して他のサーバ及び利用者端末ＴＭａ，ＴＭｂとの間でデータ通信を行う。

記憶ユニット１２は記憶媒体としてＨＤＤ（Hard Disk Drive）又はＳＳＤ（Solid State Drive）等を使用したもので、第１の実施形態を実施するために必要な記憶領域として、利用者情報記憶部１２１と、ＩＤ連携情報記憶部１２２と、紹介状情報記憶部１２３を備えている。

利用者情報記憶部１２１には、Ａ病院に所属する医師等のスタッフやＡ病院を受診した患者を表す情報（例えば名前）が、Ａ病院が独自に発行した利用者識別子と関連付けて記憶される。ＩＤ連携情報記憶部１２２には、上記利用者ごとにその利用者識別子と利用者の仮名を表す情報とが関連付けて記憶されている。紹介状情報記憶部１２３には、上記利用者の紹介状が作成された場合に、当該紹介状を表す情報が紹介状識別子と当該紹介状を作成した医師の利用者識別子と関連付けて記憶される。

制御ユニット１１はＣＰＵ（Central Processing Unit）を有し、第１の実施形態を実施する上で必要な制御機能として、署名検証処理部１１１と、ＩＤ連携処理部１１２と、データ操作要求処理部１１３を備えている。なお、これらの処理部１１１〜１１３は、いずれも図示しないプログラムメモリに格納されたプログラムを上記ＣＰＵに実行させることにより実現される。

署名検証処理部１１１は、利用者端末ＴＭａから紹介状の署名検証要求を受信した場合に、紹介状情報記憶部１２３から署名者識別子及び署名付き紹介状情報を読み出すと共に、証明書取得要求の送信をデータ操作要求処理部１１３に対し指示する。また、証明書情報取得要求に対し証明書管理サーバ５から証明書情報が送られた場合に、この証明書情報をもとに上記署名付紹介状の署名について検証を行い、その検証結果を要求元の利用者端末ＴＭａへ返送する処理を行う。

データ操作要求処理部１１３は、上記署名検証処理部１１１の指示に応じて証明書取得要求を生成する。そして、この生成された証明書取得要求を証明書中継サーバ４へ送信する処理を行う。

ＩＤ連携処理部１１２は、上記データ操作要求処理部１１３による証明書取得要求の送信過程において、ＩＤ連携サーバ３に対し利用者識別子の変換処理を要求する。

（３）ＩＤ連携サーバ３の構成
ＩＤ連携サーバ３は以下のように構成される。図３はその構成を示すブロック図である。
すなわち、ＩＤ連携サーバ３は、同一の利用者に対しシステム内の各サーバ１，２，４が独自に発行し管理している利用者識別子を連携させるもので、前記サービス提供サーバ１，２と同様に、制御ユニット３１と、記憶ユニット３２と、通信ユニット３３を備えている。

通信ユニット３３は、制御ユニット３１の制御の下で、ネットワークＮＷにより規定されるプロトコルを使用してシステム内の他のサーバ１，２，４との間でデータ通信を行う。

記憶ユニット３２は記憶媒体としてＨＤＤ又はＳＳＤ等を使用したもので、ＩＤ連携情報記憶部３２１を備えている。ＩＤ連携情報記憶部３２１には、同一の利用者に対しシステム内の各サーバ１，２，４がそれぞれ独自に発行し管理している利用者識別子に対応する仮名が、自装置で発行した利用者識別子を介して関連付けられた状態で記憶されている。

制御ユニット３１はＣＰＵ（Central Processing Unit）を有し、その制御機能としてＩＤ連携処理部３１１を備えている。このＩＤ連携処理部３１１は、図示しないプログラムメモリに格納されたプログラムを上記ＣＰＵに実行させることにより実現される。

ＩＤ連携処理部３１１は、システム内のサービス提供サーバ１，２及び証明書中継サーバ４から利用者識別子に対応する仮名の変換要求が送られた場合に、上記ＩＤ連携情報記憶部３２１に記憶されたＩＤ連携情報に基づいて当該仮名を変換し、この変換後の仮名を変換要求元のサーバ１，２，４へ返送する処理を行う。

（４）証明書中継サーバ４の構成
証明書中継サーバ４は以下のように構成される。図４はその構成を示すブロック図である。
すなわち、証明書中継サーバ４は、システム内のサービス提供サーバ１，２とシステム外の証明書管理サーバ５との間で情報の中継を行うもので、前記サービス提供サーバ１，２と同様に、制御ユニット４１と、記憶ユニット４２と、通信ユニット４３を備えている。

通信ユニット４３は、制御ユニット４１の制御の下で、ネットワークＮＷにより規定されるプロトコルを使用してシステム内外の他のサーバ１，２，３，５との間でデータ通信を行う。

記憶ユニット４２は記憶媒体としてＨＤＤ又はＳＳＤ等を使用したもので、第１の実施形態を実施するために必要な記憶領域として、利用者識別子変換情報記憶部４２１及びＩＤ連携情報記憶部４２２を備えている。利用者識別子変換情報記憶部４２１には、証明書管理サーバ５に記憶されている証明書の識別子（証明書ＤＮ）と、上記証明書の署名者について自装置で発行した利用者識別子とが相互に関連付けられて記憶されている。ＩＤ連携情報記憶部４２２には、上記利用者識別子と利用者の仮名を表す情報とが関連付けて記憶されている。

制御ユニット４１は、ＣＰＵ（Central Processing Unit）を有し、第１の実施形態を実施する上で必要な制御機能として、ＩＤ連携処理部４１１及びデータ中継処理部４１２を備えている。なお、これらの処理部４１１，４１２は、いずれも図示しないプログラムメモリに格納されたプログラムを上記ＣＰＵに実行させることにより実現される。

データ中継処理部４１２は、サービス提供サーバ１，２から証明書取得要求を受信した場合に、当該証明書取得要求に含まれる利用者識別子を上記利用者識別子変換情報記憶部４２１に記憶された変換情報に基づいて対応する証明書ＤＮに変換し、この変換された証明書ＤＮをパラメータとする取得要求を証明書管理サーバ５へ送信する。また、この取得要求に対し証明書管理サーバ５から証明書情報が返送された場合に、この証明書情報を要求元のサービス提供サーバ１，２へ転送する処理を行う。

ＩＤ連携処理部４１１は、上記データ操作要求処理部１１３による利用者識別子の変換過程において、上記受信された証明書取得要求に利用者識別子の代わりに仮名が含まれている場合に、この仮名をＩＤ連携情報に基づいて対応する利用者識別子に変換する処理を行う。

（５）証明書管理サーバ５の構成
証明書管理サーバ５は以下のように構成される。図５はその構成を示すブロック図である。
すなわち、証明書管理サーバ５は前記サービス提供サーバ１，２と同様に、制御ユニット５１と、記憶ユニット５２と、通信ユニット５３を備えている。

通信ユニット５３は、制御ユニット５１の制御の下で、ネットワークＮＷにより規定されるプロトコルを使用してシステム内の証明書中継サーバ４との間でデータ通信を行う。

記憶ユニット５２は記憶媒体としてＨＤＤ又はＳＳＤ等を使用したもので、第１の実施形態を実施するために必要な記憶領域として、証明書情報記憶部５２１を備えている。証明書情報記憶部５２１には、証明書を表す情報と証明書ＤＮとが相互に関連付けて記憶されている。

制御ユニット５１は、ＣＰＵ（Central Processing Unit）を有し、第１の実施形態を実施する上で必要な制御機能として、データ操作処理部５１１を備えている。なお、このデータ操作処理部５１１は、図示しないプログラムメモリに格納されたプログラムを上記ＣＰＵに実行させることにより実現される。

データ操作処理部５１１は、上記証明書中継サーバ４から証明書取得要求を受信した場合に、この受信した証明書取得要求に含まれる証明書ＤＮに対応する証明書情報を上記証明書情報記憶部５２から読み出し、この読み出した証明書情報を要求元の証明書中継サーバ４に向け返送する処理を行う。

（動作）
次に、以上のように構成されたＩＤ連携システムの動作を説明する。図６はこの動作の処理手順と処理内容を示すシーケンス図である。
なお、ここではＡ病院及びＢ病院の各サービス提供サーバ１，２、証明書中継サーバ４、証明書管理サーバ５及びＩＤ連携サーバ３の記憶ユニットにそれぞれ図７（ａ）〜（ｅ）に示すような管理情報が記憶されており、この状態でＡ病院の医師「山田太郎」が、自身が発行した紹介状の署名検証を要求する場合を例にとって説明する。

（１）署名検証要求の入力
上記紹介状の署名検証を要求する場合、Ａ病院の医師「山田太郎」は先ず自身の利用者端末ＴＭａを用いてＡ病院サービス提供サーバ１に対しログインし、続いて検証を要求する紹介状の識別子“1111”を入力した上で操作内容として「署名検証」を指定する。そうすると利用者端末ＴＭａからＡ病院サービス提供サーバ１へ、上記紹介状識別子“1111”を含む署名検証要求が送信される。

（２）サーバ１，４間のＩＤ連携処理
Ａ病院サービス提供サーバ１は、通信ユニット１３により上記署名検証要求が受信されると、先ず制御ユニット１１の署名検証処理部１１１が、ステップＳ１１において、上記受信された署名検証要求に含まれる紹介状識別子“1111”をもとに、紹介状情報記憶部１２３から医師「山田太郎」の署名者識別子“1001”及び署名付紹介状“ｘｘｘ”を読み出す。次にＩＤ連携処理部１１２が、ステップＳ１２において、上記読み出された署名者識別子“1001”に対応する仮名“ＡＡＡ”をＩＤ連携情報記憶部１２２から読み出し、ＩＤ連携サーバ３へ利用者識別子の問い合わせ要求を送信する。この問い合わせ要求には、上記読み出された仮名“ＡＡＡ”と、問い合わせ元となる自サーバ１のサーバＩＤ＝Ａと、問い合わせ先となる証明書中継サーバ４のサーバＩＤ＝Ｃをパラメータとして含める。

これに対しＩＤ連携サーバ３は、通信ユニット３３により上記問い合わせ要求が受信されると、制御ユニット３１のＩＤ連携処理部３１１が、先ずステップＳ１３により上記問い合わせ要求に含まれる仮名“ＡＡＡ”をもとに、ＩＤ連携情報記憶部３２１から自己の利用者識別子“A001”を読み出す。続いてステップＳ１４により、上記読み出された自己の利用者識別子“A001”と、上記問い合わせ要求に含まれるサーバＩＤ＝Ｃとをもとに、証明書中継サーバ４で管理されている上記署名者識別子“1001”に対応する仮名“ＣＣＣ”をＩＤ連携情報記憶部３２１から読み出す。そして、この読み出された仮名“ＣＣＣ”を問い合わせ元のＡ病院サービス提供サーバ１へ返送する。

（３）証明書中継サーバ４における中継処理
Ａ病院サービス提供サーバ１は、通信ユニット１３により上記仮名“ＣＣＣ”が受信されると、データ操作要求処理部１１３が上記受信された仮名“ＣＣＣ”をパラメータとして含む証明書取得要求を生成し、この生成された証明書取得要求を通信ユニット１３から証明書中継サーバ４へ送信する。

これに対し証明書中継サーバ４は、通信ユニット４３により上記証明書取得要求が受信されると、先ず制御ユニット４１のＩＤ連携処理部４１１が、ステップＳ１５により上記証明書取得要求に含まれる仮名“ＣＣＣ”に対応する利用者識別子“1234”をＩＤ連携情報記憶部４２２から読み出す。次にデータ中継処理部４１２が、先ずステップＳ１６において、上記読み出された利用者識別子“1234”に対応する証明書ＤＮ“ＦＦＦＦ”を利用者識別子変換情報記憶部４２１から読み出す。続いて、上記証明書取得要求のパラメータを上記仮名“ＣＣＣ”から上記証明書ＤＮ“ＦＦＦＦ”に置き換え、この証明書取得要求を証明書管理サーバ５へ送信する。

証明書管理サーバ５は、通信ユニット５３により上記証明書取得要求が受信されると、制御ユニット５１のデータ操作処理部５１１が、ステップＳ１７により、上記受信された証明書取得要求に含まれる証明書ＤＮ“ＦＦＦＦ”に対応する証明書情報“ｘｘｘｘｘ”を証明書情報記憶部５２１から読み出す。そして、この読み出された証明書情報“ｘｘｘｘｘ”を証明書中継サーバ４へ返送する。証明書中継サーバ４は、上記返送された証明書情報“ｘｘｘｘｘ”を取得要求元のＡ病院サービス提供サーバ１に向け通信ユニット５３から送信する。

なお、証明書管理サーバ５から送信された上記証明書情報“ｘｘｘｘｘ”をそのままＡ病院サービス提供サーバ１へ転送すると、当該証明書情報“ｘｘｘｘｘ”に含まれる証明書ＤＮ“ＦＦＦＦ”がＡ病院サービス提供サーバ１に転送されてしまい、証明書情報“ｘｘｘｘｘ”を秘匿できない。

本実施形態では、返送される取得対象の情報として証明書情報を扱っており、その証明書ＤＮは秘匿する必要がないため特に問題は発生しない。しかし、仮に返送される取得対象の情報に含まれる利用者識別子を秘匿したい場合には、以下のように処理すればよい。すなわち、証明書中継サーバ４は、上記証明書管理サーバ５から送信された上記証明書情報“ｘｘｘｘｘ”が受信された場合に、制御ユニット４１のデータ中継処理部４１２の制御の下で、上記受信された証明書情報“ｘｘｘｘｘ”に含まれる証明書ＤＮ“ＦＦＦＦ”を利用者識別子“1234”に変換する。そして、ＩＤ連携処理部４１１の制御の下でＩＤ連携サーバ３に対し利用者識別子の変換を要求し、これに対しＩＤ連携サーバ３から通知される変換後の利用者識別子の仮名“ＡＡＡ”を、上記証明書情報“ｘｘｘｘｘ”に含めてＡ病院サービス提供サーバ１へ転送する。

（４）Ａ病院サービス提供サーバ１における署名検証処理
Ａ病院サービス提供サーバ１は、通信ユニット１３により上記証明書情報“ｘｘｘｘｘ”を受信すると、制御ユニット１１の署名検証処理部１１１が、ステップＳ１８において上記証明書情報“ｘｘｘｘｘ”をもとに署名付紹介状“ｘｘｘ”の署名を検証する。そして、その検証結果を表す情報を通信ユニット１３から検証要求元の利用者端末ＴＭａに返送する。なお、証明書中継サーバ４から証明書情報“ｘｘｘｘｘ”と共に送られた利用者識別子が、仮名“ＡＡＡ”に変換されている場合には、Ａ病院サービス提供サーバ１はＩＤ連携処理部１１２の制御の下で、上記仮名“ＡＡＡ”に対応する署名者識別子“1001”をＩＤ連携情報記憶部１２２から読み出す。つまり、仮名“ＡＡＡ”を署名者識別子“1001”に変換する。

利用者端末ＴＭａでは、上記返送された検証結果を表す情報がディスプレイに表示される。したがって、医師「山田太郎」は、上記表示された検証結果により紹介状の署名を確認することができる。

（第１の実施形態の効果）
以上詳述したように第１の実施形態では、ＩＤ連携システムＳＳ１内に証明書中継サーバ４を設けて、この証明書中継サーバ４にシステム外の証明書管理サーバ５をネットワークＮＷを介して接続する。そして証明書中継サーバ４において、システム内のサービス提供サーバ１，２から証明書取得要求が送られたとき、この要求に含まれる自装置４の利用者識別子に対応する仮名“ＣＣＣ”を、利用者識別子変換情報記憶部４２１に記憶された変換情報をもとに証明書管理サーバ５が使用する証明書ＤＮに変換し、この証明書ＤＮを含む証明書取得要求を証明書管理サーバ５へ送信するようにしている。

したがって、Ａ病院サービス提供サーバ１から送信された証明書取得要求は、証明書中継サーバ４で利用者識別子が変換されて証明書管理サーバ５に中継されることになる。このため、システム外の証明書管理サーバ５を使用する場合に、当該証明書管理サーバ５に利用者識別子変換モジュールを追加しなくてもよくなり、これにより外証明書管理サーバ５の改修は不要となる。

また、第１の実施形態では証明書管理サーバ５から送信された上記証明書情報“ｘｘｘｘｘ”に含まれる証明書ＤＮ“ＦＦＦＦ”が、証明書中継サーバ４のＩＤ連携処理により、Ａ病院サービス提供サーバ１が使用する利用者識別子の仮名“ＡＡＡ”に変換されてＡ病院サービス提供サーバ１に転送される。このため、証明書情報“ｘｘｘｘｘ”に含まれる証明書ＤＮ“ＦＦＦＦ”をＡ病院サービス提供サーバ１から秘匿することが可能となる。

［第２の実施形態］
（構成）
（１）システム全体の構成
図８は、この発明の第２の実施形態に係る分散情報連携システムの概略構成図であり、同図では分散情報連携システムをＩＤ連携システムＳＳ２として図示している。なお、同図において前記図１と同一部分には同一符号を付してある。

ＩＤ連携システムＳＳ２は、Ａ病院が運用するサービス提供装置としてのＡ病院サービス提供サーバ６と、Ｂ病院が運用するサービス提供装置としてのＢ病院サービス提供サーバ７と、識別子連携装置としてのＩＤ連携サーバ３と、利用者識別子変換装置としての紹介状管理サーバ８とを備えている。これらのサービス提供サーバ６，７、ＩＤ連携サーバ３及び証明書中継サーバ８は、ネットワークＮＷを介して相互に通信が可能となっている。

また、上記各サービス提供サーバ６，７には、それぞれＡ病院及びＢ病院の医師が使用する利用者端末ＴＭａ，ＴＭｂがネットワークＮＷを介して接続可能となっている。これらの利用者端末ＴＭａ，ＴＭｂは、固定設置型のパーソナル・コンピュータ、或いはタブレット型端末やスマートフォン等の携帯端末からなる。

さらに、上記サービス提供サーバ６，７には、ネットワークＮＷを介して外部情報管理装置としての証明書管理サーバ５が接続可能となっている。この証明書管理サーバ５は、上記各サービス提供サーバ６，７が保存する紹介状に付された医師の署名を証明するための証明書を管理する。

（２）サービス提供サーバ６，７の構成
Ａ病院及びＢ病院が運用する各サービス提供サーバ６，７は以下のように構成される。図９はその構成を示すブロック図である。なお、サービス提供サーバ６，７は同一構成であるため、図９ではＡ病院サービス提供サーバ６のみを図示している。
サービス提供サーバ６は、Ａ病院に受診履歴のある患者の診療情報やその紹介状情報、医師等のスタッフの情報を、自装置で独自に発行した利用者識別子を用いて管理するもので、制御ユニット６１と、記憶ユニット６２と、通信ユニット６３を備えている。

通信ユニット６３は、制御ユニット６１の制御の下で、ネットワークＮＷにより規定されるプロトコルを使用して他のサーバ及び利用者端末ＴＭａ，ＴＭｂとの間でデータ通信を行う。

記憶ユニット６２は記憶媒体としてＨＤＤ（Hard Disk Drive）又はＳＳＤ（Solid State Drive）等を使用したもので、第２の実施形態を実施するために必要な記憶領域として、利用者情報記憶部６２１と、ＩＤ連携情報記憶部６２２を備えている。

利用者情報記憶部６２１には、Ａ病院に所属する医師等のスタッフやＡ病院を受診した患者を表す情報（例えば名前）が、Ａ病院が独自に発行した利用者識別子と関連付けて記憶される。ＩＤ連携情報記憶部６２２には、上記利用者ごとにその利用者識別子と仮名を表す情報とが関連付けて記憶されている。

制御ユニット１１はＣＰＵ（Central Processing Unit）を有し、第２の実施形態を実施する上で必要な制御機能として、署名検証処理部６１１と、ＩＤ連携処理部６１２と、データ操作要求処理部６１３と、利用者識別子変換要求処理部６１４を備えている。なお、これらの処理部６１１〜６１４は、いずれも図示しないプログラムメモリに格納されたプログラムを上記ＣＰＵに実行させることにより実現される。

署名検証処理部６１１は、利用者端末ＴＭａから紹介状の署名検証要求を受信した場合に、紹介状情報記憶部６２３から署名者識別子及び署名付き紹介状情報を読み出すと共に、証明書取得要求の送信をデータ操作要求処理部６１３に対し指示する。また、証明書情報取得要求に対し証明書管理サーバ５から証明書情報が送られた場合に、この証明書情報をもとに上記署名付紹介状の署名について検証を行い、その検証結果を要求元の利用者端末ＴＭａへ返送する処理を行う。

利用者識別子変換要求処理部６１４は、上記署名検証処理部６１１の指示に応じて、利用者識別子の変換を要求するための利用者識別子変換要求を生成し、この利用者識別子変換要求を紹介状管理サーバ８へ送信する処理を行う。

データ操作要求処理部６１３は、上記利用者識別子変換要求処理部６１４の変換要求に応じて紹介状管理サーバ８から通知される変換後の利用者識別子、つまり証明書ＤＮを用いて証明書取得要求を生成する。そして、この生成された証明書取得要求を証明書管理サーバ５へ直接送信する処理を行う。

ＩＤ連携処理部６１２は、上記利用者識別子変換要求処理部６１４による利用者識別子変換要求の送信過程において、ＩＤ連携サーバ３に対し利用者識別子の変換処理を要求する。

（３）ＩＤ連携サーバ３の構成
ＩＤ連携サーバ３は、図３に示したように同一の利用者に対しシステム内の各サーバ６，７，８が独自に発行し管理している利用者識別子を連携させるもので、前記サービス提供サーバ６，７と同様に、制御ユニット３１と、記憶ユニット３２と、通信ユニット３３を備えている。

通信ユニット３３は、制御ユニット３１の制御の下で、ネットワークＮＷにより規定されるプロトコルを使用してシステム内の他のサーバ６，７，８との間でデータ通信を行う。

記憶ユニット３２は記憶媒体としてＨＤＤ又はＳＳＤ等を使用したもので、ＩＤ連携情報記憶部３２１を備えている。ＩＤ連携情報記憶部３２１には、同一の利用者に対しシステム内の各サーバ６，７，８がそれぞれ独自に発行し管理している利用者識別子に対応する仮名が、自装置で発行した利用者識別子を介して関連付けられた状態で記憶されている。

制御ユニット３１はＣＰＵ（Central Processing Unit）を有し、その制御機能としてＩＤ連携処理部３１１を備えている。このＩＤ連携処理部３１１は、図示しないプログラムメモリに格納されたプログラムを上記ＣＰＵに実行させることにより実現される。

ＩＤ連携処理部３１１は、システム内のサービス提供サーバ６，７及び紹介状管理サーバ８から利用者識別子に対応する仮名の変換要求が送られた場合に、上記ＩＤ連携情報記憶部３２１に記憶されたＩＤ連携情報に基づいて当該仮名を変換し、この変換後の仮名を変換要求元のサーバ６，７，８へ返送する処理を行う。

（４）紹介状管理サーバ８の構成
紹介状管理サーバ８は以下のように構成される。図１０はその構成を示すブロック図である。
すなわち、紹介状管理サーバ８は、紹介状情報を保存しサービス提供サーバ６，７からの取得要求に応じて該当する紹介状情報を検索して要求元へ送信する紹介状データベースとしての機能と、一利用者についてシステム内のサービス提供サーバ６，７が使用する固有の利用者識別子と、システム外の証明書管理サーバ５が使用する固有の利用者識別子との間の変換を行う機能とを備えたもので、前記サービス提供サーバ６，７と同様に、制御ユニット８１と、記憶ユニット８２と、通信ユニット８３を備えている。

通信ユニット８３は、制御ユニット８１の制御の下で、ネットワークＮＷにより規定されるプロトコルを使用してシステム内外の他のサーバ６，７，３，５との間でデータ通信を行う。

記憶ユニット８２は記憶媒体としてＨＤＤ又はＳＳＤ等を使用したもので、第２の実施形態を実施するために必要な記憶領域として、利用者識別子変換情報記憶部８２１と、ＩＤ連携情報記憶部８２２と、紹介状情報記憶部８２３を備えている。

利用者識別子変換情報記憶部８２１には、証明書管理サーバ５に記憶されている証明書の識別子（証明書ＤＮ）と、上記証明書の署名者について自装置で発行した利用者識別子とが相互に関連付けられて記憶されている。ＩＤ連携情報記憶部８２２には、上記利用者識別子と利用者の仮名を表す情報とが関連付けて記憶されている。

紹介状情報記憶部８２３には、Ａ病院及びＢ病院の医師が作成した署名付紹介状を表す情報が記憶される。この紹介状情報は、紹介状ごとに、その紹介状識別子と署名者（作成した医師）の識別子と署名付紹介状を表す情報とを関連付けたものである。

制御ユニット８１は、ＣＰＵ（Central Processing Unit）を有し、第２の実施形態を実施する上で必要な制御機能として、ＩＤ連携処理部８１１と、紹介状管理処理部８１２と、利用者識別子変換処理部８１３を備えている。なお、これらの処理部８１１，８１２，８１３は、いずれも図示しないプログラムメモリに格納されたプログラムを上記ＣＰＵに実行させることにより実現される。

紹介状管理処理部８１２は、サービス提供サーバ６，７から紹介状の取得要求が送られた場合に、この取得要求に含まれる紹介状識別子をもとに紹介状情報記憶部８２３から該当する紹介状情報を検索し、この検索された紹介状情報を要求元のサービス提供サーバ６，７へ返送する処理を行う。

ＩＤ連携処理部８１１は、上記紹介状管理処理部８１２による紹介状の返送過程において、上記検索された紹介状情報に含まれる自装置固有の利用者識別子の変換要求をＩＤ連携サーバ３に要求し、この要求に対しＩＤ連携サーバ３から返送される利用者識別子の仮名を受信する処理を行う。

利用者識別子変換処理部８１３は、サービス提供サーバ６，７から利用者識別子の変換要求が送られた場合に、要求元の利用者識別子を上記利用者識別子変換情報をもとに対応する証明書ＤＮに変換し、この変換された証明書ＤＮを要求元のサービス提供サーバ６，７へ返送する処理を行う。

（５）証明書管理サーバ５の構成
証明書管理サーバ５は、図５に示したように制御ユニット５１と、記憶ユニット５２と、通信ユニット５３を備えている。
通信ユニット５３は、制御ユニット５１の制御の下、ネットワークＮＷにより規定されるプロトコルを使用してシステム内のサービス提供サーバ６，７との間でデータ通信を行う。

記憶ユニット５２は記憶媒体としてＨＤＤ又はＳＳＤ等を使用したもので、第２の実施形態を実施するために必要な記憶領域として、証明書情報記憶部５２１を備えている。証明書情報記憶部５２１には、証明書を表す情報と証明書ＤＮとが相互に関連付けて記憶されている。

制御ユニット５１は、ＣＰＵ（Central Processing Unit）を有し、第２の実施形態を実施する上で必要な制御機能として、データ操作処理部５１１を備えている。なお、このデータ操作処理部５１１は、図示しないプログラムメモリに格納されたプログラムを上記ＣＰＵに実行させることにより実現される。

データ操作処理部５１１は、上記サービス提供サーバ６，７から証明書取得要求を受信した場合に、この受信した証明書取得要求に含まれる証明書ＤＮに対応する証明書情報を上記証明書情報記憶部５２から読み出し、この読み出した証明書情報を要求元のサービス提供サーバ６，７に向け返送する処理を行う。

（動作）
次に、以上のように構成されたＩＤ連携システムの動作を説明する。
図１１はこの動作の処理手順と処理内容を示すシーケンス図である。なお、Ａ病院及びＢ病院の各サービス提供サーバ６，７、紹介状管理サーバ８、証明書管理サーバ５及びＩＤ連携サーバ３の記憶ユニットにはそれぞれ図１２（ａ）〜（ｅ）に示すような管理情報が記憶されているものもとする。
本実施形態においても、前記第１の実施形態と同様に、Ａ病院の医師「山田太郎」が、自身が発行した紹介状の署名検証を要求する場合を例にとって説明する。

（１）署名検証要求の入力
上記紹介状の署名検証を要求する場合、Ａ病院の医師「山田太郎」は先ず自身の利用者端末ＴＭａを用いてＡ病院サービス提供サーバ６に対しログインし、続いて検証を要求する紹介状の識別子“1111”を入力した上で操作内容として「署名検証」を指定する。そうすると利用者端末ＴＭａからＡ病院サービス提供サーバ６へ、上記紹介状識別子“1111”を含む署名検証要求が送信される。

（２）紹介状管理サーバ８による紹介状検索処理
Ａ病院サービス提供サーバ６は、通信ユニット６３により上記署名検証要求が受信されると、先ず制御ユニット６１の署名検証処理部６１１が、上記受信された署名検証要求に含まれる紹介状識別子“1111”をパラメータとする要求を生成し、この要求を紹介状管理サーバ８へ送信する。

紹介状管理サーバ８は、通信ユニット８３により上記要求が受信されると、制御ユニット８１の紹介状管理処理部８１２が、先ずステップＳ２１において上記要求に含まれる紹介状識別子“1111”をもとに、紹介状情報記憶部８２３から自装置８における医師「山田太郎」の利用者識別子“1234”及び署名付紹介状“ｘｘｘ”を読み出す。次にＩＤ連携処理部８１２が、ステップＳ２２において、上記読み出された利用者識別子“1234”に対応する仮名“ＣＣＣ”をＩＤ連携情報記憶部８２２から読み出し、ＩＤ連携サーバ３へ利用者識別子の問い合わせ要求を送信する。この問い合わせ要求には、上記読み出された仮名“ＣＣＣ”と、自サーバ８のサーバＩＤ＝Ｃと、要求元となるサービス提供サーバ６のサーバＩＤ＝Ａをパラメータとして含める。

これに対しＩＤ連携サーバ３は、通信ユニット３３により上記問い合わせ要求が受信されると、制御ユニット３１のＩＤ連携処理部３１１が、先ずステップＳ２３により上記問い合わせ要求に含まれる仮名“ＣＣＣ”をもとに、ＩＤ連携情報記憶部３２１から自己の利用者識別子“A001”を読み出す。続いてステップＳ２４により、上記読み出された自己の利用者識別子“A001”と、上記問い合わせ要求に含まれるサーバＩＤ＝Ａをもとに、要求元のサービス提供サーバ６で管理されている上記利用者識別子“1234”に対応する仮名“ＡＡＡ”をＩＤ連携情報記憶部３２１から読み出す。そして、この読み出された仮名“ＡＡＡ”を問い合わせ元の紹介状管理サーバ８へ返送する。

紹介状管理サーバ８は、上記ＩＤ連携サーバ３から返送された仮名“ＡＡＡ”を、上記検索された書名付紹介状“ｘｘｘ”と共にＡ病院サービス提供サーバ６へ返送する。

（３）利用者識別子の変換処理
紹介状管理サーバ８から返送された上記書名付紹介状“ｘｘｘ”及び仮名“ＡＡＡ”が通信ユニット６３で受信されると、Ａ病院サービス提供サーバ６は制御ユニット６１の利用者識別子変換要求処理部６１４の制御の下、ステップＳ２５でＩＤ連携情報記憶部６２１に記憶されたＩＤ連携情報をもとに、上記受信された仮名“ＡＡＡ”を利用者識別子“1001”に変換する。そして、ＩＤ連携サーバ３へ利用者識別子の問い合わせ要求を送信する。この問い合わせ要求には、上記利用者識別子“1001”に対応する仮名“ＡＡＡ”と、問い合わせ元となる自サーバ６のサーバＩＤ＝Ａと、問い合わせ先となる紹介状管理サーバ８のサーバＩＤ＝Ｃをパラメータとして含める。

これに対しＩＤ連携サーバ３は、通信ユニット３３により上記問い合わせ要求が受信されると、制御ユニット３１のＩＤ連携処理部３１１が、先ずステップＳ２６により上記問い合わせ要求に含まれる仮名“ＡＡＡ”をもとに、ＩＤ連携情報記憶部３２１から自己の利用者識別子“A001”を読み出す。続いてステップＳ２７により、上記読み出された自己の利用者識別子“A001”と、上記問い合わせ要求に含まれるサーバＩＤ＝Ｃとをもとに、証明書中継サーバ４で管理されている上記署名者識別子“1001”に対応する仮名“ＣＣＣ”をＩＤ連携情報記憶部３２１から読み出す。そして、この読み出された仮名“ＣＣＣ”を問い合わせ元のＡ病院サービス提供サーバ６へ返送する。

Ａ病院サービス提供サーバ６は、通信ユニット１３により上記仮名“ＣＣＣ”が受信されると、データ操作要求処理部６１３が上記受信された仮名“ＣＣＣ”をパラメータとして含む利用者識別子変換要求を生成し、この生成された利用者識別子変換要求を紹介状管理サーバ８へ送信する。

これに対し紹介状管理サーバ８は、通信ユニット８３により、上記Ａ病院サービス提供サーバ６から送信された利用者識別子変換要求が受信されると、制御ユニット８１の利用者識別子変換処理部８１３の制御の下、先ずステップＳ２８により、上記受信された変換要求に含まれる仮名“ＣＣＣ”に対応する利用者識別子“1234”をＩＤ連携情報記憶部８２２から読み出す。続いてステップＳ２９により、上記読み出された利用者識別子“1234”に対応する証明書ＤＮ“ＦＦＦＦ”を利用者識別子変換情報記憶部８２１から読み出し、この証明書ＤＮ“ＦＦＦＦ”を要求元のＡ病院サービス提供サーバ６へ通信ユニット８３から返送する。

（４）証明書の取得処理
Ａ病院サービス提供サーバ６は、通信ユニット６３により上記証明書ＤＮ“ＦＦＦＦ”が受信されると、データ操作要求処理部６１３が上記受信された証明書ＤＮ“ＦＦＦＦ”をパラメータとして含む証明書取得要求を生成し、この生成された証明書取得要求を通信ユニット６３から証明書管理サーバ５へ直接送信する。

これに対し証明書管理サーバ５は、通信ユニット５３により上記証明書取得要求が受信されると、制御ユニット５１のデータ操作処理部５１１が、ステップＳ３０により、上記受信された証明書取得要求に含まれる証明書ＤＮ“ＦＦＦＦ”に対応する証明書情報“ｘｘｘｘｘ”を証明書情報記憶部５２１から読み出す。そして、この読み出された証明書情報“ｘｘｘｘｘ”を要求元のＡ病院サービス提供サーバ６へ返送する。

（５）Ａ病院サービス提供サーバ６における署名検証処理
Ａ病院サービス提供サーバ６は、通信ユニット６３により上記証明書情報“ｘｘｘｘｘ”を受信すると、制御ユニット６１の署名検証処理部６１１が、ステップＳ３１において上記証明書情報“ｘｘｘｘｘ”をもとに署名付紹介状“ｘｘｘ”の署名を検証する。そして、その検証結果を表す情報を通信ユニット６３から検証要求元の利用者端末ＴＭａに返送する。

利用者端末ＴＭａでは、上記返送された検証結果を表す情報がディスプレイに表示される。したがって、医師「山田太郎」は、上記表示された検証結果により紹介状の署名を確認することができる。

（第２の実施形態の効果）
以上詳述したように第２の実施形態では、ＩＤ連携システムＳＳ２内に利用者識別子変換処理部８１３を備えた紹介状管理サーバ８を設け、この紹介状管理サーバ８により、サービス提供サーバ６，７から利用者識別子変換要求が送られた場合に、当該要求元のサービス提供サーバ６，７が使用する固有の利用者識別子をシステム外の証明書管理サーバ５が使用する固有の利用者識別子に変換して要求元のサービス提供サーバ６，７に返送する。そして、サービス提供サーバ６，７が、上記変換された証明書管理サーバ５固有の利用者識別子をパラメータとする証明書取得要求を証明書管理サーバ５に対し直接送信し、証明書管理サーバ５から証明書情報を受信するようにしている。

したがって、システムＳＳ２内のサービス提供サーバ６，７とシステム外部の証明書管理サーバ５がそれぞれ個別に管理する利用者識別子が、利用者識別子変換機能を備えた紹介状管理サーバ８により変換されることになる。このため、本実施形態においても、先に述べた第１の実施形態と同様に、証明書管理サーバ５に利用者識別子の変換モジュールを追加しなくてもよくなり、これにより証明書管理サーバ５の改修は不要となる。

また、第１の実施形態では、証明書管理サーバ５への要求が全て証明書中継サーバ４を経由するため証明書中継サーバ５に負荷が集中するが、第２の実施形態では、各病院サービス提供サーバ６，７から証明書管理サーバ５に直接要求が送られるため、紹介状管理サーバ８における負荷の集中は発生しない。

［その他の実施形態］
外部情報提供装置に格納された外部情報へのアクセス制御は、以下のような手法により実施できる。
先ず第１の実施形態で述べた証明書中継サーバ４を使用する場合には、証明書中継サーバ４のデータ中継処理部４１２から、利用者識別子変換情報記憶部４２１へアクセスする際に、証明書管理サーバ５に対しアクセス制御を行うことで、間接的に証明書管理サーバ５内の対応する情報に対するアクセス制御を実現することができる。

また第２の実施形態で述べた利用者識別子変換機能を備えた紹介状管理サーバ８を使用する場合には、紹介状管理サーバ８の利用者識別子変換処理部８１３が利用者識別子変換情報記憶部８２１にアクセスする際に、証明書管理サーバ５に対するアクセス制御を行うようにしてもよい。このようにすることで、間接的に、証明書管理サーバ５が管理する対応する情報へのアクセス制御を実現できる。

なお、上記いずれのアクセス制御を実行する場合でも、証明書管理サーバ５に利用者情報が格納された利用者に対しては、上記のような手法でアクセス制御が行われる旨を事前に通知し了承を得ておくことが必要である。

第２の実施形態では、利用者識別子変換機能を備えた紹介状管理サーバ８を使用する場合を例にとって説明したが、利用者識別子変換装置を紹介状管理サーバ８とは別個に設けてもよい。その他、各サーバの種類や構成、利用者識別子の変換処理手順とその内容、システムが取り扱う情報の種類や用途等についても、この発明の要旨を逸脱しない範囲で種々変形して実施可能である。

要するにこの発明は、上記各実施形態そのままに限定されるものではなく、実施段階ではその要旨を逸脱しない範囲で構成要素を変形して具体化できる。また、上記各実施形態に開示されている複数の構成要素の適宜な組み合せにより種々の発明を形成できる。例えば、各実施形態に示される全構成要素から幾つかの構成要素を削除してもよい。さらに、異なる実施形態に亘る構成要素を適宜組み合せてもよい。

ＳＳ１，ＳＳ２…ＩＤ連携システム、ＮＷ…ネットワーク、ＴＭａ，ＴＭｂ…利用者端末、１，６…Ａ病院サービス提供サーバ、２，７…Ｂ病院サービス提供サーバ、３…ＩＤ連携サーバ、４…証明書中継サーバ、５…証明書管理サーバ、８…紹介状管理サーバ、１１，３１，４１，５１，６１，８１…制御ユニット、１２，３２，４２，５２，６２，８２…記憶ユニット、１３，３３，４３，５３，６３，８３…通信ユニット、１１１，６１１…署名検証処理部、１１２，３１１，４１１，６１２，８１１…ＩＤ連携処理部、１１３，６１３…データ操作要求処理部、１２１…利用者情報記憶部、１２２，３２１，４２２…ＩＤ連携情報記憶部、１２３…紹介状情報記憶部、４１２…データ中継処理部、４２１…利用者識別子変換情報記憶部、５１１…データ操作処理部、５２１…証明書情報記憶部、６１４…利用者識別子変換要求処理部、８１２…紹介状管理処理部、８１３…利用者識別子変換処理部。

Claims (6)

1. ネットワークを介して相互に通信が可能な、利用者の個人情報を保存する複数のサービス提供装置、識別子連携装置及び外部中継装置を備え、前記複数のサービス提供装置、識別子連携装置及び外部中継装置はそれぞれ一利用者を識別するための固有の利用者識別子を管理し、前記識別子連携装置は前記複数のサービス提供装置及び外部中継装置がそれぞれ管理する固有の利用者識別子を自装置が管理する固有の利用者識別子と関連付けて管理し、さらに前記外部中継装置が、前記利用者の個人情報と関連する情報を保存する外部情報管理装置との間で前記ネットワークを介して通信可能に接続される分散情報連携システムであって、
   前記サービス提供装置は、
   前記一利用者について、自装置固有の利用者識別子に対応する前記外部中継装置固有の利用者識別子を前記識別子連携装置から取得する手段と、
   前記取得された外部中継装置固有の利用者識別子を含む、前記利用者の個人情報に関連する情報を取得するための外部情報取得要求を、前記外部中継装置に向け送信する手段と
   を備え、
   前記外部中継装置は、
   前記一利用者について自装置固有の利用者識別子と前記外部情報管理装置固有の利用者識別子との間の対応関係を表す利用者識別子変換情報を記憶する手段と、
   前記サービス提供装置から送信された外部情報取得要求を受信した場合に、この受信した外部情報取得要求に含まれる自装置固有の利用者識別子を、前記記憶された利用者識別子変換情報に基づいて前記外部情報管理装置固有の利用者識別子に変換する手段と、
   前記変換された外部情報管理装置固有の利用者識別子を含む外部情報取得要求を前記外部情報管理装置へ送信する手段と、
   前記外部情報取得要求に対し前記外部情報管理装置から返送される外部情報を受信し、当該受信された外部情報を取得要求元のサービス提供装置へ返送する返送手段と
   を備えることを特徴とする分散情報連携システム。
2. 前記外部中継装置の返送手段は、
   前記外部情報管理装置から返送される外部情報を受信した場合に、当該外部情報に含まれる前記外部情報管理装置固有の利用者識別子を、前記利用者識別子変換情報に基づいて自装置固有の利用者識別子に変換する手段と、
   前記変換された外部中継装置固有の利用者識別子を含む外部情報を、取得要求元のサービス提供装置へ返送する手段と
   を有することを特徴とする請求項１記載の分散情報連携システム。
3. ネットワークを介して相互に通信が可能な、利用者の個人情報を保存する複数のサービス提供装置、識別子連携装置及び利用者識別子変換装置を備え、前記複数のサービス提供装置、識別子連携装置及び利用者識別子変換装置はそれぞれ一利用者を識別するための固有の利用者識別子を管理し、前記識別子連携装置は前記複数のサービス提供装置及び利用者識別子変換装置がそれぞれ管理する固有の利用者識別子を自装置が管理する固有の利用者識別子と関連付けて管理し、さらに前記利用者識別子変換装置が、前記利用者の個人情報と関連する情報を保存する外部情報管理装置との間で前記ネットワークを介して通信可能に接続される分散情報連携システムであって、
   前記サービス提供装置は、
   前記一利用者について自装置固有の利用者識別子に対応する前記利用者識別子変換装置固有の利用者識別子を前記識別子連携装置から取得する手段と、
   前記取得された利用者識別子変換装置固有の利用者識別子を含む利用者識別子変換要求を、前記利用者識別子変換装置に向け送信する手段と
   を備え、
   前記利用者識別子変換装置は、
   前記一利用者について、自装置固有の利用者識別子と前記外部情報管理装置固有の利用者識別子との間の対応関係を表す利用者識別子変換情報を記憶する手段と、
   前記サービス提供装置から送信された利用者識別子変換要求を受信した場合に、この受信した利用者識別子変換得要求に含まれる自装置固有の利用者識別子を、前記記憶された利用者識別子変換情報に基づいて前記外部情報管理装置固有の利用者識別子に変換する手段と、
   前記変換された外部情報管理装置固有の利用者識別子を、変換要求元のサービス提供装置へ返送する手段と
   を備え、
   さらに前記サービス提供装置は、
   前記利用者識別子変換装置から返送された外部情報管理装置固有の利用者識別子を含む、前記利用者の個人情報に関連する情報の取得要求を、前記外部情報管理装置へ送信する手段と、
   前記外部情報取得要求に対し前記外部情報管理装置から返送される外部情報を受信する手段と
   を備えることを特徴とする分散情報連携システム。
4. ネットワークを介して相互に通信が可能な、利用者の個人情報を保存する複数のサービス提供装置、識別子連携装置及び外部中継装置を備え、前記複数のサービス提供装置、識別子連携装置及び外部中継装置はそれぞれ一利用者を識別するための固有の利用者識別子を管理し、前記識別子連携装置は前記複数のサービス提供装置及び外部中継装置がそれぞれ管理する固有の利用者識別子を自装置が管理する固有の利用者識別子と関連付けて管理し、さらに前記外部中継装置が、前記利用者の個人情報と関連する情報を保存する外部情報管理装置との間で前記ネットワークを介して通信可能に接続されるシステムで使用される分散情報連携方法あって、
   前記一利用者について、自装置固有の利用者識別子に対応する前記外部中継装置固有の利用者識別子を前記識別子連携装置から取得する過程と、
   前記サービス提供装置が、前記取得された外部中継装置固有の利用者識別子を含む、前記利用者の個人情報に関連する情報を取得するための外部情報取得要求を、前記外部中継装置に向け送信する過程と、
   前記外部中継装置が、前記一利用者について自装置固有の利用者識別子と前記外部情報管理装置固有の利用者識別子との間の対応関係を表す利用者識別子変換情報を記憶媒体に記憶する過程と、
   前記外部中継装置が、前記サービス提供装置から送信された外部情報取得要求を受信した場合に、この受信した外部情報取得要求に含まれる自装置固有の利用者識別子を、前記記憶された利用者識別子変換情報に基づいて前記外部情報管理装置固有利用者識別子に変換する過程と、
   前記外部中継装置が、前記変換された外部情報管理装置固有の利用者識別子を含む外部情報取得要求を前記外部情報管理装置へ送信する過程と、
   前記外部中継装置が、前記外部情報取得要求に対し前記外部情報管理装置から返送される外部情報を受信し、当該受信された外部情報を取得要求元のサービス提供装置へ返送する返送過程と
   を備えることを特徴とする分散情報連携方法。
5. 前記外部中継装置の返送過程は、
   前記外部情報管理装置から返送される外部情報を受信した場合に、当該外部情報に含まれる前記外部情報管理装置固有の利用者識別子を、前記利用者識別子変換情報に基づいて自装置固有の利用者識別子に変換する過程と、
   前記変換された外部中継装置固有の利用者識別子を含む外部情報を、要求元のサービス提供装置へ返送する過程と
   を有することを特徴とする請求項４記載の分散情報連携方法。
6. ネットワークを介して相互に通信が可能な、利用者の個人情報を保存する複数のサービス提供装置、識別子連携装置及び利用者識別子変換装置を備え、前記複数のサービス提供装置、識別子連携装置及び利用者識別子変換装置はそれぞれ一利用者を識別するための固有の利用者識別子を管理し、前記識別子連携装置は前記複数のサービス提供装置及び利用者識別子変換装置がそれぞれ管理する固有の利用者識別子を自装置が管理する固有の利用者識別子と関連付けて管理し、さらに前記利用者識別子変換装置が、前記利用者の個人情報と関連する情報を保存する外部情報管理装置との間で前記ネットワークを介して通信可能に接続されるシステムで使用される分散情報連携方法であって、
   前記サービス提供装置が、前記一利用者について自装置固有の利用者識別子に対応する前記利用者識別子変換装置固有の利用者識別子を前記識別子連携装置から取得する過程と、
   前記サービス提供装置が、前記取得された利用者識別子変換装置固有の利用者識別子を含む利用者識別子変換要求を、前記利用者識別子変換装置に向け送信する過程と、
   前記利用者識別子変換装置が、前記一利用者について、自装置固有の利用者識別子と前記外部情報管理装置固有の利用者識別子との間の対応関係を表す利用者識別子変換情報を記憶する過程と、
   前記利用者識別子変換装置が、前記サービス提供装置から送信された利用者識別子変換要求を受信した場合に、この受信した利用者識別子変換得要求に含まれる自装置固有の利用者識別子を、前記記憶された利用者識別子変換情報に基づいて前記外部情報管理装置固有の利用者識別子に変換する過程と、
   前記利用者識別子変換装置が、前記変換された外部情報管理装置固有の利用者識別子を、要求元のサービス提供装置へ返送する過程と、
   前記サービス提供装置が、前記利用者識別子変換装置から返送された外部情報管理装置固有の利用者識別子を用いて、前記利用者の個人情報に関連する情報の取得要求を前記外部情報管理装置へ送信する過程と、
   前記サービス提供装置が、前記外部情報の取得要求に対し前記外部情報管理装置から返送される外部情報を受信する過程と
   を備えることを特徴とする分散情報連携方法。

Images