JP5593370B2 - アクセス履歴提供システム及びアクセス履歴提供方法 - Google Patents

Description

この発明は、例えば、各サーバに蓄積されているアクセスログを収集して、アクセス履歴検索・閲覧サービスを行うアクセス履歴提供システム及びアクセス履歴提供方法に関する。

アクセスログは、ユーザの利便性向上や、オンラインサイトの利用状況に関する統計、分析などに活用されている。例えば、Ｗｅｂブラウザを使ったサービスにおけるアクセスログは、Ｗｅｂサービスの運営者のために用いられている（非特許文献１を参照）。また、mixiには、自分のページに誰がアクセスしたのかを見せる「足跡」機能がある（非特許文献２を参照）。

また、特許文献１には、利用者からリクエストがあった場合にアクセス制御ポリシーを確認し、利用者を特定するアクセス元認識情報がない場合にアクセス履歴情報データベースに記録するアクセス管理手段を有するＷｅｂコンテンツ提供システムが提案されている。

特許文献２には、検索要求に基づいてユーザが過去に閲覧したファイルの格納場所を取得し、ユーザの記憶にあるキーワードやファイル属性から検索し、ファイル毎に検索要求への適合度を表すファイル適合スコアを算出し、経験スコアを算出し、操作履歴情報を利用して、ファイル毎のファイル適合スコアと、コンテンツ毎の経験スコアを統合した統合適合スコアを算出し、該統合スコアを利用して、検索要求を満たす期間オブジェクトを抽出し、期間オブジェクトの検索結果を検索要求元に送信する機能を有する操作検索装置が提案されている。

特許文献３には、利用者が電子私書箱サーバを経由して各々の情報保有機関が提供する情報提供サーバへの問い合わせをしたときの履歴情報を求めたときに、電子私書箱サーバから各情報提供サーバに問い合わせるために、電子私書箱サーバ利用者ＩＤから情報提供サーバの利用者ＩＤへ置き換えて申請書を作成して各情報提供サーバに履歴情報を要求する。履歴情報を受け取った電子私書箱サーバは各履歴情報を利用者ごと、情報保有機関ごと、かつ時系列に並べて利用者に提示する履歴収集システムが提案されている。

ところで、医療機関で取り扱う患者に関する情報は、極めて機微度が高い個人情報であり、これらへのアクセスを監査することが義務付けられている（例えば、非特許文献３を参照）。また、上記ガイドラインにおいて求められている業務アプリケーションの監査ログについては、ログメッセージ規約が規定されている（例えば、非特許文献４を参照）。

特開２０１１−１８６８４９号公報 特開２００７−１４８６８９号公報 特開２０１０−２２４５９３号公報

「ゼンリンオンラインショップ」、［online］、［平成２４年１０月０５日検索］、インターネット〈ＵＲＬ：http://shop.zenrin.co.jp/shop/customer_param/actionNameTxt/policy〉 「訪問者とはなんですか？」、［online］、［平成２４年１０月０５日検索］、インターネット〈ＵＲＬ：http://mixi.jp/help.pl?mode=item&item=295〉 厚生労働省、「医療情報システムの安全管理に関するガイドライン 第4.1版」、平成２２年２月、［online］、インターネット〈ＵＲＬ：http://www.mhlw.go.jp/shingi/2010/02/dl/s0202-4a.pdf〉 保健医療福祉情報システム工業会（JAHIS）、「ヘルスケア分野における監査証跡のメッセージ標準規約Ver1.1」、２０１０年０２月、［online］、インターネット〈ＵＲＬ：http://www.jahis.jp/wp-content/uploads/st09-003.pdf〉

ところが、例えば、医療情報部門を運営する人は、内部監査として、患者の個人情報への不正アクセス有無の確認、業務に関わりのない個人情報にアクセスしていないかどうかといった目的外アクセスの有無の確認などを行ない、情報システムの適正な運営を維持することと、患者から問い合わせがあったときにきちんと説明できる必要があるが、上記のような技術では、これらに対応することができない。

特許文献１では、アクセス履歴情報は、あくまでもアクセス元認識情報を格納するものにすぎない。また、特許文献２は、利用者がＰＣの操作履歴を使用しているＰＣに蓄積しているため、アクセスログを自分のために使うことはできるが、他者からのアクセスに対するログではないため、アクセスした人を知ることはできない。また特許文献３は、あくまでも一般市民を対象としたサービスにおける履歴情報提供に関する技術であり、医療機関全体での履歴情報提供は考慮されていない。

一方、非特許文献１のように、Ｗｅｂブラウザを使ったサービスにおけるアクセスログとは、あくまでもＷｅｂサービスの運営者のために用いられるものであり、その結果が利用者に提供されることはないため、どのように使われたかを知るすべがない。また、非特許文献２の機能は、あくまでも利用者の知り合いがアクセスした履歴であり、赤の他人がアクセスした結果は残らないようになっている。これでは、不正な手段で自分のデータを見たかどうかを把握することができない。

この発明は上記事情に着目してなされたもので、その目的とするところは、複数のサーバに蓄積されたアクセスログを安全に管理し、検索する人の立場に応じて簡単に閲覧できるようにするアクセス履歴提供システム及びアクセス履歴提供方法を提供することにある。

上記目的を達成するためにこの発明に係るアクセス履歴提供システム及びアクセス履歴提供方法の第１の態様は、複数のデータサーバと、連携サーバと、アクセス履歴提供サービスサーバとがネットワークを介して接続されるアクセス履歴提供システムにおいて、前記データサーバは、当該データサーバへのデータアクセス者のユーザ識別子と仮名とサーバ識別子とを含むアクセスログを出力し、前記連携サーバは、各サーバ毎に管理されるユーザ識別子を仮名を介して連携させる。前記アクセス履歴提供サービスサーバは、前記データサーバから前記アクセスログを収集し、前記アクセスログに含まれる仮名とサーバ識別子と、自サーバのサーバ識別子とに基づいて前記連携サーバから自サーバにおけるユーザの仮名を取得し、取得した仮名に対応する自サーバのユーザ識別子と、前記アクセスログを収集したデータサーバのユーザ識別子およびサーバ識別子とを対応付けて登録し、前記アクセスログに前記自サーバのユーザ識別子を追加してアクセス履歴ログへ変換し、前記アクセス履歴ログに対するアクセス権限を前記自サーバのユーザ識別子に付与し、自サーバにログインするユーザ識別子をもとに前記アクセス履歴ログを検索するものである。

上記第１の態様によれば、アクセス履歴検索・閲覧サービスを提供するにあたり、提供サービスにわざわざユーザ登録をしなくても、アクセスログから自動的に登録すべきユーザを抽出し、かつ本人しかアクセスできないようにアクセス制御も設定することが可能となる。これによりユーザは特別な手続きをせずに自分のデータへのアクセス状況をいつでも確認することが可能となる。

この発明の第２の態様は、上記第１の態様において、前記アクセス履歴提供サービスサーバは、前記アクセスログに含まれる識別子に対応する説明文をマスタ情報として格納し、前記変換において、前記マスタ情報をもとに前記アクセスログに含まれる識別子に対応する前記説明文を前記アクセス履歴ログに追加するものである。
上記第２の態様によれば、アクセスログに出力される様々な情報が数字や英語等の識別子で記載されている場合でも、利用者が理解しやすい表記でアクセス履歴を閲覧・検索結果を提供することが可能となる。

この発明の第３の態様は、上記第１又は第２の態様において、前記検索において、自サーバにログインするユーザ識別子に複数の組織又は資格が対応付けられている場合は、前記組織又は資格の少なくとも１つを選択させ、前記組織又は資格の組み合わせに対応する前記アクセス履歴ログを検索するものである。

上記第３の態様によれば、例えば、複数の病院に従事している医療従事者が市民（患者）の医療情報を閲覧する際には、組織を一意に特定し、どの立場で閲覧したのかを明確に示すことが可能となる。また、病院の内部監査実施のために、ある資格を有する操作者に対しては、市民（患者）の医療情報へのアクセスを特定の組織で絞り込んで検索できるようになる。

この発明の第４の態様は、上記第１又は第２の態様において、前記検索において、自サーバにログインするユーザ識別子が他のユーザから代理人として前記アクセス履歴ログへのアクセス権限の委託を受けている場合は、前記ログインしたユーザ識別子又は前記委託を受けた他のユーザのユーザ識別子をもとに前記アクセス履歴ログを検索するものである。
上記第４の態様によれば、代理人の場合は、自分自身のアクセス履歴ログを検索するか、委託を受けた患者のアクセス履歴ログを検索するかの２パターンを実行することが可能となる。

すなわちこの発明によれば、複数のサーバに蓄積されたアクセスログを安全に管理し、検索する人の立場に応じて簡単に閲覧できるようにするアクセス履歴提供システム及びアクセス履歴提供方法を提供することができる。

本発明の一実施形態に係るアクセス履歴提供システムを構成する各サーバの機能構成図。 サーバに蓄積されるアクセスログの一例を示す図。 アクセス履歴提供サービスサーバから提供されるアクセス履歴ログの一例を示す図。 各サーバのユーザＩＤとアクセス履歴提供サービスサーバのユーザＩＤとの対応関係を示す図。 アクセス履歴ログ検索画面の一例を示す図。 アクセス履歴ログ検索結果画面の一例を示す図。 アクセス履歴ログ検索処理の一例を示すシーケンス図。 アクセス履歴ログ検索処理の一例を示すシーケンス図。

以下、図面を参照してこの発明に係る実施の形態について詳細に説明する。
図１は、本発明の一実施形態に係るアクセス履歴提供システムを構成する各サーバの機能構成図である。クライアント端末１、要求側サーバ２、提供側サーバ３、連携サーバ４、およびアクセス履歴提供サービス５は、ネットワークを介して接続されている。また、各サーバ２〜５はトラストサークルでＩＤ連携されている。要求側サーバ２、提供側サーバ３の基本構成は同じである。要求側サーバ２は、他のサーバからの問い合わせに対応するときは、情報を提供するため、提供側サーバとして振る舞う。逆に提供側サーバ３は、他のサーバに問い合わせるときは要求側サーバとして振る舞うためである。

このアクセス履歴提供システムは、例えば、トラストサークル上で動作する医療分野における情報システムを使用する状況において、各サーバに格納される電子カルテや検査結果といった患者の医療情報に対するアクセスログを、検索する人に分かりやすい表記に置き換えたものをアクセス履歴ログとして保存し、アクセスログに出力されているユーザを抽出して、アクセス履歴ログが検索できるように、アクセス制御ルールを自動登録し、かつ検索する立場の違いによるアクセス制御を適用して、アクセス履歴ログを検索した結果を提示する。

［クライアント端末の構成］
クライアント端末１はＷｅｂブラウザ１１０を有する。ユーザは、クライアント端末１にインストールされているＷｅｂブラウザ１１０を使って要求側サーバ２にアクセスする。要求側サーバ２は、クライアント端末１からの要求を受け付ける。要求側サーバ２は、自サーバ内で解決できればサービスを提供するが、解決できない場合は、該当する提供側サーバ３にサービス提供を依頼する。

［各サーバの基本構成］
各サーバ２〜５は、例えば、ＩＤ管理プログラム１００、コアモジュール部２００、アプリケーションプログラム格納部３００の３つの部を有するものとする。ＩＤ管理プログラム１００は、ＳＡＭＬ（Security Assertion Markup Language）１０１やＩＤ−ＷＳＦ（Identity Web Service Framework）１０２の機能を有する。

ＩＤ管理プログラム１００を実行することにより、ＳＡＭＬ１０１で認証されたユーザが、ＩＤ−ＷＳＦ１０２でユーザの属性情報を交換して、要求するデータにアクセスできるかどうかを判断し、アクセス可能であれば、要求するデータに関する情報をＩＤ−ＷＳＦ１０２で問い合わせ、検索結果をＩＤ−ＷＳＦ１０２を使ってユーザに提示する。なお、ＳＡＭＬとは、インターネット経由でセキュリティ情報を交換するためのＸＭＬベースのフレームワーク、ＩＤ−ＷＳＦとは、Liberty Alliance Projectによって策定された、異なるサイト間でユーザの意思に基づき属性情報を安全に流通するための仕様である。

ＳＡＭＬ１０１によるＩＤ連携では、ユーザ情報を扱う１つのアイデンティティプロバイダ（IdP: Identity Provider）と、複数のサービスプロバイダ（SP: Service Provider）との間のトラストサークルに基づいて行なわれる。本実施形態では、ＩｄＰを連携サーバ４、ＳＰを要求側サーバ２、提供側サーバ３と呼んでいる。ＩＤ連携の実現方法として、仮名（かめい）を採用する。仮名を使うのは、実ユーザのＩＤが漏れるのを防ぐのと、別々のサーバのユーザＩＤを直接対応付けないことで、個人情報が漏れるのを防ぐ役割を果たす。ＩＤ管理プログラム１００は、自サーバが管理するユーザＩＤと仮名とを対応付けた「サーバユーザＩＤ／仮名マッピングデータ」を有する。

コアモジュール部２００は、認証連携部２０１、ＩＤ連携部２０２、Ｗｅｂアクセス受付部２０３、アクセス制御判定部２０４、ユーザアクセス制御リスト格納部２０５、ローカルデータアクセス部２０６、ユーザ情報格納部２０７、アプリケーションデータ格納部２０８、リモートデータアクセス部２０９、情報流通部２１０、ログ出力部２１１、監査ログ２１２、及びアクセスログ２１３を有する。

認証連携部２０１は、シングルサインオン（SSO: Single Sign-On）、シングルログアウト（SLO: Single Log-Out）など、用途に応じたユーザ認証を実施する。ＩＤ連携部２０２は、各サーバで提供されるサービスのユーザＩＤを仮名を介して紐付ける。Ｗｅｂアクセス受付部２０３は、Ｗｅｂブラウザから要求されたＨＴＴＰリクエストを受け付けて解析を行なう。アクセス制御判定部２０４は、ユーザアクセス制御リスト格納部２０５に設定されるアクセス制御ルールにしたがってユーザのデータへのアクセス可否を判断する。

ローカルデータアクセス部２０６は、要求側サーバ（自サーバ）のユーザ情報格納部２０７及びアプリケーションデータ格納部２０８が保有するテーブルへのデータのアクセスを実施する。リモートデータアクセス部２０９は、提供側サーバ（他のサーバ）にあるデータへのアクセスを実施し、他のサーバに問い合わせるための通信データを作成し、情報流通部２１０に渡す。情報流通部２１０は、受け取った通信データを暗号化して、ＩＤ管理プログラム１００のＩＤ−ＷＳＦ１０２に依頼して、他のサーバに送信する。

リモートデータアクセス部２０９は、ローカルデータアクセス部２０６の機能のうち、テーブル操作およびファイル操作を除いた機能である、リモートデータの検索・削除・取得・登録・更新の機能に加え、他サーバとのやり取りのための機能として、リモートデータアクセス要求・応答機能を有する。ローカルデータアクセス部２０６と同じく、これらの機能を実現するためのアプリケーションインタフェースが規定されている。また、リモートデータアクセス部２０９を使って、他のシステムのリモートデータアクセス部２０９を呼び出した後は、その中でローカルデータアクセス部２０６を呼び出すため、呼び出す操作や形式を統一しているので、ローカルデータアクセス部２０６と同じやり方を用いて、具体的な値を入力パラメータとして外部から指定させることで、上記機能を実現することができるようになっている。

各々のサーバにおいて、ユーザが存在するかどうかを確認するために、ローカルデータアクセス部２０６を通してユーザ情報格納部２０７へ問い合わせる。自サーバでユーザが存在しない場合は、他のサーバにリモートデータアクセス部２０９を経由して他のサーバのユーザ情報格納部２０７へ問い合わせる。アプリケーションデータ格納部２０８には、各々のサーバ上で動作するアプリケーションが用いる設定ファイルや個別データが格納される。サーバで提供されるサービスを利用する場合は、ユーザ情報をユーザ情報格納部２０７に登録する。

ログ出力部２１１は、上記のユーザ情報格納部２０７への問い合わせといった、サーバが有する個人情報等のデータへのアクセスがあった場合に、非特許文献４のログメッセージ規約等に従った監査ログ２１２を出力すると共に、アクセスログ２１３として情報を記録する。データはローカルデータアクセス部２０６を通じてアクセスされるので、ローカルアクセス部２０６からログ出力部２１１に必要な情報を渡し、ログ出力部２１１でアクセスログ２１３としてファイルに出力する。

図２に、アクセスログに出力される項目例を示す。斜線パターンが付されている項目（Ｎｏ．１、Ｎｏ．２、Ｎｏ．３、Ｎｏ．４、Ｎｏ．６、Ｎｏ．７）は、非特許文献４のログメッセージ規約で出力すべき項目として決められているものである。医師などの医療従事者が複数の病院に勤務していることはよくあることである。そこで、どの病院に勤務しているときに、市民（患者）の医療情報を見たかを特定するために、医療情報を閲覧するサービスにログインするタイミングで、所属する組織を選択させる。これにより、医師の所属組織を一意に決定することができるため、アクセスログの図２のＮｏ．１１にも所属組織が１つだけ出力されるようになる。

アプリケーションプログラム格納部３００には、特定のサービスを実現させるために必要となるアプリケーションが格納される。認証ＡＰＬ３０１は、すべてのサーバに格納されているアプリケーションプログラムである。コアモジュール部２００に格納されている部品で特定のサービスを実現できないときには、必要な部品が追加される。

［連携サーバの構成］
連携サーバ４は、上記機能に加え、各サーバが有するサーバに関する情報や使用する認証方式が格納されているサーバ情報格納部２１５と、ユーザが所属する組織や資格に関する情報を格納するマスタ情報格納部２１４とを有する。なお、資格とは、例えば、ＩＳＯ１７０９０で定義された医療従事者の資格や、国家資格名である「医師」「看護師」「救急救命士」などや、医療機関の管理責任者である「病院長」「保険薬局の管理責任者」などである。新しく組織を追加したい場合には、マスタ情報格納部２１４にアクセスして新規組織名を登録する。組織情報は、マスタ情報格納部２１４で一意に区別できる組織ＩＤと、その説明文の組み合わせで登録される。例えば、新規組織ＩＤとして「A_GenHos」、説明文として「Ａ総合病院」として登録される。サーバ間でやり取りされる情報は組織ＩＤとなる。

［アクセス履歴提供サービスサーバの構成］
アクセス履歴提供サービスサーバ５は、要求側サーバ２の構成に加え、さらにアクセス履歴提供サービスに必要となる構成を追加している。アプリケーションプログラム格納部３００には、ユーザへの画面表示の制御を実施するアクセス履歴ログ検索アプリケーション３０２が格納される。コアモジュール部２００には、アクセスログ収集部２２１、アクセスログ登録部２２２、アクセス履歴ログ格納部２２３、及びアクセス履歴ログ検索部２２４が追加され、連携サーバ４に格納されているマスタ情報格納部２１４とサーバ情報格納部２１５が保存される。

アクセスログ収集部２２１は、サーバ情報格納部２１５に格納される情報をもとに各々のサーバで出力されたアクセスログを収集する。アクセスログ登録部２２２は、アクセスログ収集部２２１により収集されたアクセスログを解析して、英数字で記載された文字列やＩＤといった識別子のうち、説明文を保有しているものは、新たにその説明文を追加してアクセス履歴ログとして保存し、アクセス履歴ログ格納部２２３に登録する。図３にアクセス履歴ログの項目例を示す。図３の斜線パターンの部分が、識別子の説明文を追加した項目となる。また、アクセスログ登録部２２２は、登録されたアクセス履歴ログをユーザが検索できるようにするために、ユーザアクセス制御リスト格納部２０５にアクセス制御ルールを設定する。

アクセス履歴ログ検索部２２４は、市民（患者や代理人）が自己のデータのアクセス履歴を検索する、あるいは内部監査のため医療機関である特定の権限を持った人がアクセス履歴を検索して結果を表示するための機能を提供する。アクセス履歴提供サービスサーバ５は、アクセスログに含まれる識別子のうち、説明文を保有しているものがあるかどうかを検索するために、連携サーバ４に格納されているマスタ情報格納部２１４を保存している。図２のＮｏ．５，６，１１，１２，１３，１５が該当する。

次に、アクセス履歴提供サービスサーバ５の動作について説明する。図４には、アクセスログ収集からアクセスログ登録までの処理の流れを示す。
［アクセスログ収集］
アクセス履歴提供サービスサーバ５のアクセスログ収集部２２１は、図４の（１）の矢印に示すように、各サーバに蓄積されているアクセスログを収集する。収集方法として、例えば、手動でサーバからサーバにコピーする方法、該当するファイルをメールでアクセス履歴提供サービスサーバ５の運用者に送る方法などいくつか考えられる。アクセス履歴を閲覧するサービスを利用するためには、アクセスログを提供することが必要であることから、アクセス履歴提供サービスサーバ５からＳＣＰ（Secure Copy）などのセキュリティの高いファイル転送を行なう方法もある。これは認証情報ややり取りされるデータが暗号化されてネットワーク上を流れるため、アクセス履歴提供サービスサーバ５の特定のユーザのみアクセス許可を出すことにより、各サーバのアクセスログを安全に収集することが可能となる。前回の収集日付を記録しておくことで、前回からの差分となるアクセスログを収集できるため、効率よく作業を行なうことができる。なお、複数のサーバで同じログファイル名がついている可能性もあることから、収集したアクセスログを保存するディレクトリ名に、収集するサーバを一意に特定する名称を付けて区別できるようにしておく必要がある。

［アクセスログ登録］
アクセスログ登録部２２２は、アクセスログ収集部２２１から収集完了通知を受けると、アクセスログ２１３を解析してアクセス履歴ログに変換して、アクセス履歴ログ格納部２２３に登録する処理を実施する。
アクセスログ２１３に出力される様々な情報が、数字や英語（文字の省略も含む）といった、コンピュータが処理しやすい文字列で記載されており、人が見てわかりやすい表記にはなっていない場合がある。そのためには、マスタ情報格納部２１４に登録されている識別子と説明文とを対応付けて、識別子と説明文の両方を格納する。従って、アクセスログ登録の準備として、マスタ情報格納部２１４に格納されているデータをメモリ上に保持しておく。

次に、アクセスログ登録部２２２は、アクセスログ収集で得られたアクセスログファイルを解析し、図２のアクセスログのＮｏ．８とＮｏ．９の組である「アクセスされたデータが表す患者の仮名とログ出力サーバの識別子」のリスト、Ｎｏ．５とＮｏ．９の組である「データアクセス者の仮名とログ出力サーバの識別子」リストを作成する。これは、アクセス履歴提供サービスサーバ５のユーザＩＤとアクセスログを収集する各サーバのユーザＩＤとの対応付けをすることで、アクセス履歴提供サービスサーバ５のユーザＩＤでログインしても、ログインしたユーザに関係するすべてのサーバのアクセスログ２１３を検索できるようにするためである。

アクセス履歴提供サービスサーバ５は、自サーバにおけるユーザの仮名を取得するために、作成されたリストに記載されている仮名とログ出力サーバの識別子であるプロバイダＩＤを連携サーバ４に送信する。連携サーバ４は、受け取った仮名とプロバイダＩＤに基づき、連携サーバ４のユーザＩＤを検索する。得られたユーザＩＤとアクセス履歴提供サービスサーバ５の識別子をもとに、アクセス履歴提供サービスサーバ５の仮名を検索し、結果をアクセス履歴提供サービスサーバ５に返す。

図４の（２）の矢印を用いて処理の流れを示す。ここでは、サーバの識別子としてプロバイダＩＤを用いている。アクセス履歴提供サービスサーバ５は、Ａ病院サーバのアクセスログ２１３から市民Ｘの仮名“4SG3H”を取り出したとすると、連携サーバ４には、“4SG3H”とＡ病院サーバのプロバイダＩＤが送られる。連携サーバ４は、ＩＤ管理プログラム１００が有する「サーバユーザＩＤ／仮名マッピングデータ」を検索し、“4SG3H”の連携サーバ４でのユーザＩＤである“MES_x”を見つける。次に“MES_x”とアクセス履歴提供サービスサーバ５のプロバイダＩＤを用いて「サーバユーザＩＤ／仮名マッピングデータ」を検索し、アクセス履歴提供サービスサーバ５の仮名である“abcdefg”を取得する。取得した仮名をアクセス履歴提供サービスサーバ５に返す。

そうすると、図４の（３）の矢印に示すように、アクセス履歴提供サービスサーバ５は、受け取った仮名“abcdefg”でサーバユーザＩＤ／仮名マッピングデータ」を検索し、自サーバのユーザＩＤ“rireki_001”を取得する。
この後、アクセスログ登録部２２２は、図４の（４）の矢印に示すように、アクセスログを収集したサーバでのユーザＩＤと、アクセス履歴提供サービスサーバ５のユーザＩＤとの対応付けを、アクセス履歴ログ格納部２２３のアクセス履歴テーブルに格納する。

アクセスログ２１３に記載されている各サーバのユーザＩＤと合わせて、アクセス履歴提供サービスサーバ５のユーザＩＤを、新たに変換するアクセス履歴ログに書き加える。医療従事者の場合は、図２のアクセスログのＮｏ．５に対して、図３のアクセス履歴ログのＮｏ．８が追加された項目となる。市民（患者）の場合は、図２のアクセスログのＮｏ．８に対して、図３のアクセス履歴ログのＮｏ．１２が追加された項目となる。この処理を実施することで、アクセス履歴提供サービスサーバ５のユーザＩＤを指定すれば、複数のサーバで出力されたアクセスログを検索できるようになる。

次に、ユーザＩＤのユーザデータを取得するため、アクセス履歴提供サービスサーバ５から連携サーバ４に問い合わせる。検索結果としてユーザの漢字氏名やカナ氏名が返ってくるので、これらをアクセス履歴ログに書き加える。図２のアクセスログのＮｏ．４に対して、図３のアクセス履歴ログのＮｏ．６およびＮｏ．７が追加された項目となる。

マスタ情報格納部２１４には、所属組織、資格、認証方式の各々の識別子であるＩＤに対する説明文を保持している。従って、アクセス履歴提供サービスサーバ５のマスタデータを検索し、説明文を、ユーザの情報と同じくアクセス履歴ログに書き加える。図２のアクセスログのＮｏ．１１、Ｎｏ．１２、Ｎｏ．１３に対して、図３のアクセス履歴ログのＮｏ．１４、Ｎｏ．１６、Ｎｏ．１８が追加された項目となる。

アクセス制御ルールも、所属組織、資格などの識別子であるＩＤで書かれているので、マスタ情報格納部２１４を参照して該当する説明文をアクセス履歴ログに書き加える。図２のアクセスログのＮｏ．１６に対して、図３のアクセス履歴ログのＮｏ．２１が追加された項目となる。

上記のように作成したアクセス履歴テーブルに新規に登録されたユーザは、アクセス履歴ログにアクセスする権限を持たない。そこで、アクセス履歴ログをアクセス履歴ログ格納部２２３に登録するときに、新規登録ユーザがアクセスできるように、自動的にユーザアクセス制御リスト格納部２０５にアクセス制御ルールを追加し、新規登録ユーザにアクセス権限を付与する。

代理人は、事前に患者の申請に基づき決定されるものである。すなわち、患者自身が、患者に関するデータやログを誰に閲覧させるかを決めて、その人に対して、アクセス権限を与えることになる。従って、代理人の場合は、自分自身のアクセス履歴ログを検索するか、委託を受けた患者のアクセス履歴ログを検索するかの２パターンを実行することができる。

［アクセスログ検索］
アクセス履歴ログ検索部２２４は、上記のアクセスログ登録処理で登録されたアクセス履歴ログに対して検索処理を実施する。図５に、アクセス履歴ログ検索画面を示し、図６には、アクセス履歴ログ検索結果画面を示す。これらの画面は、アクセス履歴ログ検索アプリケーション３０２により出力される。

利用者は、この検索サービスを使うためにアクセス履歴ログ検索アプリケーション３０２にアクセスする。このアプリケーションからログインするときに、複数の組織に所属する利用者がログインする場合は、上記と同じく必ず組織を選択させるようにする。なお、市民（患者）や代理人は組織に属さないため、組織を選択する必要がない。一方、操作者も市民であるが、業務用のログインＩＤと市民として使うときのログインＩＤは異なるものとしている。これにより、操作者が自分の医療情報のアクセス履歴ログを検索したい場合は、市民のログインＩＤを指定して検索すればよい。

市民（患者）が自分のアクセス履歴ログを検索するときは、検索対象は「検索結果に自分を含める」ものとなる。代理人が委託を受けた市民（患者）のアクセス履歴ログを検索するときは、検索対象は「検索結果に自分を含めない」ものとし、かつ「対象ユーザログインＩＤ」に、市民（患者）のＩＤを入力することになる。

一方、病院の内部監査実施のために、ある組織に所属し、かつある資格を有する操作者がアクセス履歴ログを検索するときは、検索対象は「検索結果に自分を含めない」ものとなる。これは、操作者は医療従事者ではなく、その病院のサーバを円滑に運営するための業務を行なっている人であり、市民（患者）の医療情報を見ることはもともと認められない立場にあるからである。アクセス制御ルールに、特定の組織名と特定の資格を有する人のみ、アクセス履歴ログを検索できるように記載することで、病院関係者の限られた人だけしか検索できないようにすることができる。

図５にある「対象ユーザログインＩＤ」、「データアクセス者漢字氏名」、「データアクセス者カナ氏名」、「ログ出力サーバ識別子」および「対象期間」は、アクセス履歴ログを検索するための絞り込み要素である。この画面は、利用者がログインできたときに、アクセス履歴ログ検索アプリケーション３０２により出力される。

図７Ａ、図７Ｂは、アクセス履歴ログを検索するときの処理フローを示したものである。実施中には、結果がＮＧの場合もありうるが、ここではすべての処理が成功した例を示す。なお、図７Ａにおいて、アクセス履歴提供サービスサーバ５のアクセス履歴ログ検索部２２４にのみ、サーバ起動時に各種設定ファイルをメモリ上に読み込むとしているが、アクセス履歴提供サービスサーバ５の他の部分や、連携サーバ４でも同様の処理が実施される。

市民（患者）、代理人または操作者は、クライアント端末１のＷｅｂブラウザ１１０にアクセス履歴ログを検索するページのＵＲＬを入力し、アクセス履歴提供サービスサーバ５のアクセス履歴ログ検索アプリケーション３０２に認証要求（Ｓ１）を送信する。アクセス履歴提供サービスサーバ５の認証連携部２０１は、アクセス履歴ログ検索アプリケーション３０２からＳＳＯを受け付けると（Ｓ２）、連携サーバ４にＳＳＯリダイレクト（Ｓ３）を行う。連携サーバ４の認証ＡＰＬ３０１は、ＳＳＯリダイレクトによる認証を受け付け、ＩＤ／パスワード認証実行（Ｓ４）を行い、ＩＤ／パスワード入力要求（Ｓ５）をクライアント端末１へ送信する。クライアント端末１は、市民（患者）、代理人または操作者によりログインＩＤとパスワードが入力されると（Ｓ６）、連携サーバ４へログインＩＤおよびパスワードを送信する（Ｓ７）。

連携サーバ４の認証ＡＰＬ３０１は、ログインＩＤおよびパスワードの認証についてＯＫ／ＮＧ判定（Ｓ８）を行い、ＯＫならば次の処理を行う。操作者と、市民（患者）や代理人との違いは、ログインＩＤおよびパスワードを連携サーバ４の認証ＡＰＬ３０１に送信した際、所属組織を選択させる画面が出力されるか否かである。操作者の場合は、１つもしくは２つ以上の組織に所属することが考えられる。所属組織を一意に決定するため、当該ログインユーザについて所属組織が見つかった場合は、組織選択要求（Ｓ９）を実施し、クライアント端末１に組織を選択させる画面を表示する。クライアント端末１は、操作者により組織の選択が行われると（Ｓ１０）、選択した組織を連携サーバ４に返信（Ｓ１１）する。認証ＡＰＬ３０１は、組織選択についてＯＫ／ＮＧ判定（Ｓ１２）を行い、ＯＫであれば、ＳＳＯ応答リダイレクト（Ｓ１３）を実施する。一方、市民（患者）や代理人の場合は、連携サーバ４の認証ＡＰＬ３０１のログインＩＤ／パスワードの判定結果がＯＫであれば、ＳＳＯ応答リダイレクト（Ｓ１３）を実施する。

アクセス履歴提供サービスサーバ５の認証連携部２０１は、ＳＳＯ結果を受け取ると（Ｓ１４）、遷移すべきＵＲＬ（アクセス履歴ログ検索）をクライアント端末１に送付する（Ｓ１５）。ログインユーザによりアクセス履歴ログ検索画面の表示依頼があると（Ｓ１６）、アクセス履歴ログ検索アプリケーション３０２は、クライアント端末１にアクセス履歴ログ検索画面（図５）を表示する（Ｓ１７）。図７Ｂにおいて、ユーザが図５の画面で検索条件として必要な項目を入力して、検索実行ボタンを押下すると（Ｓ１８）、クライアント端末１のＷｅｂブラウザ１１０により、検索条件がアクセス履歴提供サービスサーバ５に送信される（Ｓ１９）。

アクセス履歴ログ検索アプリケーション３０２は、ユーザ情報や検索条件を含むアクセス履歴ログ検索依頼（Ｓ２０）をアクセス履歴ログ検索部２２４に送信する。アクセス履歴ログ検索部２２４は、アクセス履歴ログ検索依頼を受け取ると、ローカルデータアクセス部２０６に対してアクセス履歴ログ検索（Ｓ２１）を実施する。アクセス制御ルール判定（Ｓ２２）では、アクセス履歴ログを検索する利用者が、アクセス履歴ログに対する検索操作権限があるか否かを、ユーザアクセス制御リスト格納部２０５のアクセス制御ルールに基づいて判定する。アクセス履歴ログに対する検索操作権限がない場合は、サービスが提供できないメッセージを表示して処理を終了する。アクセス履歴ログに対する検索操作権限がある場合は、検索条件に基づきアクセス履歴ログ格納部２２３からアクセス履歴ログを検索し（Ｓ２３）、検索した結果をアクセス履歴ログ検索部２２４を経由してアクセス履歴ログ検索アプリケーション３０２に返す（Ｓ２４，Ｓ２５）。アクセス履歴ログ検索アプリケーション３０２は、検索結果に基づいてアクセス履歴ログ検索結果画面（図６）を作成し、クライアント端末１に表示する（Ｓ２６）。

図６は、市民（患者）が検索したアクセス履歴ログ検索結果を示したものである。図３に示したアクセス履歴ログに書かれている項目のうち、Ｎｏ．１１の「アクセスされたデータが表す患者の識別子」と市民（患者）のログインＩＤが一致するものが検索結果として抽出され、画面に表示される。また、アクセスログ登録の過程で名称変更された項目については、説明文で表示されるようになる。

以上述べたように、本実施形態によれば、市民（患者）はアクセスログから自動登録され、かつアクセス履歴ログへのアクセス制御ルールも自動的に書き加えられるため、特別な手続きをせずに、自分のデータへのアクセス状況をいつでも確認することができる。

複数の医療従事者に対しては、どの病院の医師として患者のデータを閲覧するかを明示する方法として、事前に組織を選択させることにより、患者にどの病院のどの医師が自分のデータを見たかを提示することができる。
また、本実施形態で実現することは、市民（患者）に関係するデータへのアクセスの状況をアクセスログから抽出して表示することであり、アクセス者のデータ閲覧の成功／失敗にかかわらず結果を確認できる。これにより、市民（患者）に関するデータが許可していない人に見えていないか、あるいは不正なアクセス行為をされていないかを確認することができる。

さらに、病院の内部監査実施のために、ある資格を有する操作者に対しては、市民（患者）の医療情報へのアクセスを特定の組織で絞り込んで検索できるようにする。これにより、ある特定の医療機関の組織名とアクセス者の資格情報の両方を組み合わせることにより、他の医療機関の医師がアクセスしたログは排除し、自分の所属する医療機関における内部監査を実施することが可能となる。

なお、この発明は、上記実施形態そのままに限定されるものではなく、実施段階ではその要旨を逸脱しない範囲で構成要素を変形して具体化できる。また、上記実施形態に開示されている複数の構成要素の適宜な組み合せにより種々の発明を形成できる。例えば、実施形態に示される全構成要素から幾つかの構成要素を削除してもよい。さらに、異なる実施形態に亘る構成要素を適宜組み合せてもよい。

１…クライアント端末、２…要求側サーバ、３…提供側サーバ、４…連携サーバ、５…アクセス履歴提供サービスサーバ、１１０…Ｗｅｂブラウザ、１００…ＩＤ管理プログラム、１０１…ＳＡＭＬ、１０２…ＩＤ−ＷＳＦ、２００…コアモジュール部、２０１…認証連携部、２０２…ＩＤ連携部、２０３…Ｗｅｂアクセス受付部、２０４…アクセス制御判定部、２０５…ユーザアクセス制御リスト格納部、２０６…ローカルデータアクセス部、２０７…ユーザ情報格納部、２０８…アプリケーションデータ格納部、２０９…リモートデータアクセス部、２１０…情報流通部、２１１…ログ出力部、２１２…監査ログ、２１３…アクセスログ、２１４…マスタ情報格納部、２１５…サーバ情報格納部、２２１…アクセスログ収集部、２２２…アクセスログ登録部、２２３…アクセス履歴ログ格納部、２２４…アクセス履歴ログ検索部、３００…アプリケーションプログラム格納部、３０１…認証ＡＰＬ、３０２…アクセス履歴ログ検索アプリケーション。

Claims (8)

1. 複数のデータサーバと、連携サーバと、アクセス履歴提供サービスサーバとがネットワークを介して接続されるアクセス履歴提供システムであって、
   前記データサーバは、
   当該データサーバへのデータアクセス者のユーザ識別子と仮名とサーバ識別子とを含むアクセスログを出力するログ出力手段を具備し、
   前記連携サーバは、
   各サーバ毎に管理されるユーザ識別子を仮名を介して連携させる連携手段を具備し、
   前記アクセス履歴提供サービスサーバは、
   前記データサーバから前記アクセスログを収集する収集手段と、
   前記アクセスログに含まれる仮名とサーバ識別子と、自サーバのサーバ識別子とに基づいて前記連携サーバから自サーバにおけるユーザの仮名を取得し、取得した仮名に対応する自サーバのユーザ識別子と、前記アクセスログを収集したデータサーバのユーザ識別子およびサーバ識別子とを対応付けて登録する登録手段と、
   前記アクセスログに前記自サーバのユーザ識別子を追加してアクセス履歴ログへ変換する変換手段と、
   前記アクセス履歴ログに対するアクセス権限を前記自サーバのユーザ識別子に付与する付与手段と、
   自サーバにログインするユーザ識別子をもとに前記アクセス履歴ログを検索する検索手段と
   を具備することを特徴とするアクセス履歴提供システム。
2. 前記アクセス履歴提供サービスサーバは、前記アクセスログに含まれる識別子に対応する説明文をマスタ情報として格納するマスタ情報格納手段をさらに具備し、
   前記変換手段は、前記マスタ情報をもとに前記アクセスログに含まれる識別子に対応する前記説明文を前記アクセス履歴ログに追加することを特徴とする請求項１に記載のアクセス履歴提供システム。
3. 前記検索手段は、自サーバにログインするユーザ識別子に複数の組織又は資格が対応付けられている場合は、前記組織又は資格の少なくとも１つを選択させ、前記組織又は資格の組み合わせに対応する前記アクセス履歴ログを検索することを特徴とする請求項１又は２に記載のアクセス履歴提供システム。
4. 前記検索手段は、自サーバにログインするユーザ識別子が他のユーザから代理人として前記アクセス履歴ログへのアクセス権限の委託を受けている場合は、前記ログインしたユーザ識別子又は前記委託を受けた他のユーザのユーザ識別子をもとに前記アクセス履歴ログを検索することを特徴とする請求項１又は２に記載のアクセス履歴提供システム。
5. 複数のデータサーバと、連携サーバと、アクセス履歴提供サービスサーバとがネットワークを介して接続されるアクセス履歴提供システムに用いられる方法であって、
   前記データサーバにおいて、
   当該データサーバへのデータアクセス者のユーザ識別子と仮名とサーバ識別子とを含むアクセスログを出力するログ出力ステップを有し、
   前記連携サーバにおいて、
   各サーバ毎に管理されるユーザ識別子を仮名を介して連携させる連携ステップを有し、
   前記アクセス履歴提供サービスサーバにおいて、
   前記データサーバから前記アクセスログを収集する収集ステップと、
   前記アクセスログに含まれる仮名とサーバ識別子と、自サーバのサーバ識別子とに基づいて前記連携サーバから自サーバにおけるユーザの仮名を取得し、取得した仮名に対応する自サーバのユーザ識別子と、前記アクセスログを収集したデータサーバのユーザ識別子およびサーバ識別子とを対応付けて登録する登録ステップと、
   前記アクセスログに前記自サーバのユーザ識別子を追加してアクセス履歴ログへ変換する変換ステップと、
   前記アクセス履歴ログに対するアクセス権限を前記自サーバのユーザ識別子に付与する付与ステップと、
   自サーバにログインするユーザ識別子をもとに前記アクセス履歴ログを検索する検索ステップと
   を具備することを特徴とするアクセス履歴提供方法。
6. 前記アクセス履歴提供サービスサーバは、前記アクセスログに含まれる識別子に対応する説明文をマスタ情報として格納し、
   前記変換ステップは、前記マスタ情報をもとに前記アクセスログに含まれる識別子に対応する前記説明文を前記アクセス履歴ログに追加することを特徴とする請求項５に記載のアクセス履歴提供方法。
7. 前記検索ステップは、自サーバにログインするユーザ識別子に複数の組織又は資格が対応付けられている場合は、前記組織又は資格の少なくとも１つを選択させ、前記組織又は資格の組み合わせに対応する前記アクセス履歴ログを検索することを特徴とする請求項５又は６に記載のアクセス履歴提供方法。
8. 前記検索ステップは、自サーバにログインするユーザ識別子が他のユーザから代理人として前記アクセス履歴ログへのアクセス権限の委託を受けている場合は、前記ログインしたユーザ識別子又は前記委託を受けた他のユーザのユーザ識別子をもとに前記アクセス履歴ログを検索することを特徴とする請求項５又は６に記載のアクセス履歴提供方法。

Images