JP5976148B1 - ログ生成システム、方法及びプログラム - Google Patents

Abstract

【課題】セキュリティを維持しつつ、トランザクション処理をトレースできるログを生成する。【解決手段】ログ生成システムは、第１のサーバ装置（情報管理装置）１０、及び第２のサーバ装置（情報管理装置）２０を備える。第１のサーバ装置１０の識別子変換部１０５は、第１のトランザクション処理に応じて第２のトランザクション処理が第２のサーバ装置との間で実行される場合、第１の利用者識別子及び第１の操作対象識別子を、第２の利用者識別子及び第２の操作対象識別子に変換する。各サーバ装置のログ生成部１０８は、第２のトランザクション処理に基づき、第２の利用者識別子及び第２の操作対象識別子と、及び第２のトランザクション識別子とが設定されたログを生成する。第１のサーバ装置のログ生成部１０８は、第１のトランザクション識別子を更に上記ログに設定する。【選択図】図２

Description

この発明は、ログ生成システム、方法及びプログラムに関する。

コンピュータシステムのセキュリティ管理に関する技術の一つとして、管理者又は利用者等の操作者の操作を追跡するための情報を監査ログとして生成し、データベースに記憶する技術が知られている。この技術によれば、記憶された監査ログを事後検証することにより、コンピュータシステムへの不正アクセス又は改ざん等の事故が発生した場合、操作者の操作を追跡し、事故の原因を特定できる。

監査ログには、事後検証を行うために必要な情報として例えば、いつ、誰が、どの人・物のデータに対して、何の操作をしたか、の情報が生成される。

例えば、特許文献１には、ログを一元的かつ安全に収集し、利用者がログを効率よく閲覧することができるログ収集システムが提案されている。

特許文献２には、複数のサーバに蓄積されたアクセスログを安全に管理し、検索する人の立場に応じて簡単に閲覧できるアクセス履歴提供システムが提案されている。

しかしながら、上記のような技術は、複数のシステムが連携して動作する場合、各々のシステムの監査ログは独立して記録され、同一の操作対象及び操作者に対して異なる識別子が設定される可能性がある。このため、各監査ログで共通する情報がないという理由から、どのシステム間でデータアクセスが実行されたかを監査ログから追跡できない、という不都合がある。

したがって、操作者がある操作対象について行う操作に関して、複数のシステムが連携して動作する場合、システム間で送受信した通信を識別するトランザクション識別子が更に監査ログとして記憶される。また、トランザクション処理同士が連携して実行される親子関係にある場合、子トランザクション処理が実行されたときの監査ログに、親トランザクション処理のトランザクション識別子を生成することで、順序関係を導くことができる。このように、同一の操作対象に対する同じ種類のトランザクション処理の順序関係は、当該操作対象の識別子と、トランザクション識別子を組み合わせることで、明確にできる。

特許文献３には、ユーザ端末からのログインに応じて、当該ログインからログアウトまでの期間に限り有効となるログ結合識別子を発行して他のサーバへ通知し、各サーバは自己の動作記録を表すログを作成する際に、当該ログにログ結合識別子を含める機能を有するログ管理システムが提案されている。

特開２０１３−０８４２１２号公報 特許第５５９３３７０号公報 特許第４８２０９００号公報

しかしながら、ログ結合識別子を含める技術は、トランザクション処理同士を時系列に整理することはできるものの、同一の操作対象に対する同じ種類のトランザクション処理が行われた場合に、親トランザクション処理と子トランザクション処理との順序関係、又は対応関係を一意に導くことができない、という不都合がある。したがって、複数のシステムが同一の対象に対して異なる識別子を用いた監査ログを出力する場合、各システムの監査ログを単に集めただけでは、同一の対象に対するトランザクション処理であってもこれらをトレースすることができない、という不都合がある。

例えば、トランザクション処理同士の関係や、操作対象の識別子変換内容が不正に操作された場合に、当該不正を見抜くことができない。したがって、システム毎に異なる操作対象の識別子をトレースするために、操作対象の識別子がどのように変換されたか、に関する情報が必要となる。

これに対し、システム毎に異なる操作対象の識別子をトレースするためには、トランザクション処理に関係する各システムにおいて、操作対象の実識別子、及びシステム毎に異なる実識別子間の変換に関する情報が必要である。しかしながら、操作対象の実識別子、及びシステム毎に異なる実識別子間の変換に関する情報を監査ログに出力すると、この実識別子を使用して不正アクセスが行われる危険性が高まるので、セキュリティを維持しつつログが生成できない、という不都合がある。

即ち、従来の技術は、セキュリティを維持しつつ、トランザクション処理をトレースできるログを生成することができない。

この発明は上記事情に着目してなされたもので、その目的とするところは、セキュリティを維持しつつ、トランザクション処理をトレースできるログを生成できるようにしたログ生成システム、方法及びプログラムを提供することにある。

上記目的を達成するためにこの発明の第１の観点は、以下のような構成要素を備えている。すなわち、ログ生成システムは、利用者端末からのアクセスに基づくトランザクション処理に応じて、第１のサーバ装置及び第２のサーバ装置間で実行されるトランザクション処理をトレースするログを生成する、上記各サーバ装置を備える。上記ログは、利用者を識別する利用者識別情報、操作対象を識別する操作対象識別情報、及び前記トランザクション処理を識別するトランザクション識別情報を含む。上記第１のサーバ装置は、第１の利用者識別子と、上記第１の利用者識別子と同一の利用者を示す利用者識別情報である第２の利用者識別子とを対応付けて記憶する第１の記憶処理を実行する。第１の操作対象識別子と、上記第１の操作対象識別子と同一の操作対象を示す操作対象識別情報であり、上記第２のサーバ装置においても上記同一の操作対象を識別可能な第２の操作対象識別子とを対応付けて記憶する第２の記憶処理を実行する。上記利用者端末からのアクセスに基づき、上記第１の利用者識別子で識別される利用者からの上記第１の操作対象識別子で識別される操作対象の情報に関する第１のトランザクション識別子で識別される第１のトランザクション処理に応じて、第２のトランザクション識別子で識別される第２のトランザクション処理が上記第２のサーバ装置との間で実行される場合、上記第１の記憶処理及び上記第２の記憶処理に基づき、上記第１の利用者識別子及び上記第１の操作対象識別子を、上記第２の利用者識別子及び上記第２の操作対象識別子に変換する。上記実行された第２のトランザクション処理に基づき、上記変換された第２の利用者識別子及び第２の操作対象識別子と、上記第１のトランザクション識別子及び上記第２のトランザクション識別子とが設定されたログを生成する第１のログ生成処理を実行する。上記第２のサーバ装置は、上記実行された第２のトランザクション処理に基づき、上記変換された第２の利用者識別子及び第２の操作対象識別子と、上記第２のトランザクション識別子とが設定されたログを生成する第２のログ生成処理を実行するようにしたものである。

また、この発明の第１の観点は、以下のような態様を備えることを特徴とする。

第１の態様は、上記変換処理が実行されると、上記第１のサーバ装置において、上記第１の利用者識別子及び上記第１の操作対象識別子と、上記第２の利用者識別子及び上記第２の操作対象識別子とを、別々のログに生成する第３のログ生成処理を実行するようにしたものである。

第２の態様は、上記第２の記憶処理において、上記第２の操作対象識別子に代えて、上記第１の操作対象識別子と同一の操作対象を示す識別子であり、上記第２のサーバ装置において上記同一の操作対象を識別不可能な第３の操作対象識別子を記憶する。上記識別子の変換処理は、上記第２のトランザクション処理に用いる上記第２の操作対象識別子に代えて、第３のトランザクション処理に用いる上記第３の操作対象識別子に変換する。上記第１のトランザクション処理に応じて、上記第１のサーバ装置と第３のトランザクション識別子で識別される第３のトランザクション処理を連携して実行する第３のサーバ装置を更に備える。上記第３のサーバ装置は、上記第３の操作対象識別子と、上記第３の操作対象識別子と同一の操作対象を示す識別情報であり、上記第２のサーバ装置においても上記同一の操作対象を識別可能な第２の操作対象識別子とを対応付けて記憶する第３の記憶処理を実行する。上記第１のサーバ装置及び上記第３のサーバ装置は、上記変換された第３の操作対象識別子に基づき、上記第３のトランザクション処理を実行し、上記第３のサーバ装置に記憶された第２の操作対象識別子を上記第１のサーバ装置と共有し、識別子解決する識別子解決手段を更に備える。上記第１のサーバ装置は、上記実行された第３のトランザクション処理に基づき、上記変換された第２の利用者識別子及び第３の操作対象識別子と、上記共有された第２の操作対象識別子と、上記第１のトランザクション識別子及び上記第３のトランザクション識別子とが設定されたログを生成する第４のログ生成手段を更に備える。上記第３のサーバ装置は、上記実行された第３のトランザクション処理に基づき、上記変換された第２の利用者識別子及び第３の操作対象識別子と、上記共有された第２の操作対象識別子と、上記第３のトランザクション識別子とが設定されたログを生成する第５のログ生成処理を更に実行する。

第３の態様は、上記変換処理が実行されると、上記第１のサーバ装置において、上記第１の利用者識別子及び上記第１の操作対象識別子と、上記第２の利用者識別子及び上記第３の操作対象識別子とを、別々のログに生成する第６のログ生成処理を実行するようにしたものである。

第４の態様は、上記第１の利用者識別子が仮利用者識別子の場合、上記第１の利用者識別子を変換しないようにしたものである。

第５の態様は、上記ログにおいて、上記各トランザクション処理における送信先を識別する送信先情報を更に含むようにしたものである。

第６の態様は、上記生成された各ログにおいて、時系列に整理可能であるようにしたものである。

この発明の第１の観点によれば、利用者端末からのアクセスに基づき、第１のトランザクション処理に応じて、第２のトランザクション処理が第２のサーバ装置との間で実行される場合、非公開用の第１の利用者識別子及び第１の操作対象識別子を、公開用の第２の利用者識別子及び第２の操作対象識別子に変換する。上記実行された第２のトランザクション処理に基づき、上記変換された第２の利用者識別子及び第２の操作対象識別子と、上記第１のトランザクション識別子及び上記第２のトランザクション識別子とが設定されたログを生成する第１のログ生成処理を実行する。上記第２のサーバ装置は、上記実行された第２のトランザクション処理に基づき、上記変換された第２の利用者識別子及び第２の操作対象識別子と、上記第２のトランザクション識別子とが設定されたログを生成する第２のログ生成処理を実行する。このため、非公開の識別子を公開することなく、各サーバ装置間のトランザクション処理をトレースすることができる。また、トランザクション間の順序関係も導くことができる。したがって、セキュリティを維持しつつ、トランザクション処理をトレースできるログを生成することができる。

第１の態様によれば、上記変換処理が実行されると、上記第１のサーバ装置において、上記第１の利用者識別子及び上記第１の操作対象識別子と、上記第２の利用者識別子及び上記第２の操作対象識別子とを、別々のログに生成する第３のログ生成処理を実行する。

これにより、公開用のログと、非公開のログとを別々に生成することができる。また、非公開のログについても、実識別子が設定されたログと、仮の識別子が設定されたログとを更に別々に生成することができる。したがって、更にセキュリティを向上することができる。

第２の態様によれば、各サーバ装置間において互いに識別不可能な操作対象識別子を対応付けて記憶した第３のサーバ装置との第３のトランザクション処理により、第１のサーバ装置は第２のサーバ装置の操作対象識別子を第３のサーバ装置と共有する。このため、サーバ装置間で公開用の識別子が異なる場合においても、セキュリティを維持しつつ、トランザクション処理をトレースできるログを生成することができる。

第３の態様によれば、上記変換処理が実行されると、上記第１のサーバ装置において、上記第１の利用者識別子及び上記第１の操作対象識別子と、上記第２の利用者識別子及び上記第３の操作対象識別子とを、別々のログに生成する第６のログ生成処理を実行する。

これにより、公開用のログと、非公開のログとを別々に生成することができる。また、非公開のログについても、実識別子が設定されたログと、仮の識別子が設定されたログとを更に別々に生成することができる。したがって、更にセキュリティを向上することができる。

第４の態様によれば、上記第１の利用者識別子が仮利用者識別子の場合、上記第１の利用者識別子を変換しないようにしている。これにより、利用者識別子が誰を指すのかが分からなくても、データアクセス自体は実行できるため、不要な識別子変換を省略することができる。

第５の態様によれば、上記ログにおいて、上記各トランザクション処理における送信先を識別する送信先情報を更に含むようにしている。これにより、データアクセスの経路を更に確認することができる。したがって、更にセキュリティを向上することができる。

第６の態様によれば、上記生成された各ログにおいて、時系列に整理可能であるようにしている。これにより、生成したログ履歴を使用してログトレースを実施する際に、ログトレースが容易に実行できる。

すなわち、この発明によれば、セキュリティを維持しつつ、トランザクション処理をトレースできるログを生成できるようにしたログ生成システム、方法及びプログラムを提供することができる。

この発明の第１の実施形態に係るログ生成システムの機能構成の一例を示すブロック図である。 同実施形態における情報管理装置の機能構成の一例を示すブロック図である。 同実施形態におけるログの一例を示す模式図である。 同実施形態における利用者識別情報の一例を示す模式図である。 同実施形態における操作対象識別情報の一例を示す模式図である。 同実施形態における操作対象識別情報の一例を示す模式図である。 同実施形態における操作対象識別子解決装置の機能構成の一例を示すブロック図である。 同実施形態における操作対象識別子解決情報の一例を示す模式図である。 同実施形態における動作の一例を示すシーケンス図である。 同実施形態における動作の他の例を示すシーケンス図である。 同実施形態におけるログ生成システムの動作の一例を示すシーケンス図である。 同実施形態におけるログ履歴の一例を示す模式図である。 同実施形態におけるログ履歴の一例を示す模式図である。 同実施形態におけるログ履歴の一例を示す模式図である。 同実施形態におけるログ履歴の一例を示す模式図である。 同実施形態におけるログ履歴の一例を示す模式図である。 同実施形態におけるログ生成システムの動作の一例を示す模式図である。 同実施形態におけるログ履歴の一例を示す模式図である。 同実施形態におけるログ履歴の一例を示す模式図である。 同実施形態におけるログ履歴の一例を示す模式図である。 同実施形態におけるログ履歴の一例を示す模式図である。

以下、図面を参照してこの発明に関わる実施形態を説明する。なお、以下のログ生成システムは、各ネットワーク内のコンピュータにおけるログを生成するログ生成システムとして各コンピュータを機能させるためのプログラムを用いて実施してもよい。すなわち、ログ生成システムは、コンピュータ読取可能なメモリ及びＣＰＵ(Central Processing Unit)等のハードウェア資源とプログラムとが協働した機能ブロックの機能により実現してもよい。

［第１の実施形態］
図１は、この発明の第１の実施形態に係るログ生成システムの機能構成の一例を示すブロック図である。ログ生成システム１は、情報管理装置１０、情報管理装置２０及び操作対象識別子解決装置３０を備えている。但し、操作対象識別子解決装置３０は、必須ではなく、例えば、識別子解決のための第３のトランザクション処理がない場合には省略してもよい。利用者端末４０は、ネットワーク５０を介して情報処理装置１０に接続されている。情報管理装置１０と情報管理装置２０とは、操作対象識別子解決装置３０に相互にアクセスできるように、ネットワーク６０を介して接続されている。ログ生成システム１は、利用者端末４０からのアクセスに基づくトランザクション処理に応じて、情報管理装置１０及び情報管理装置２０間で実行されるトランザクション処理をトレースするログを生成するシステムである。

なお、ログ生成システム１は、２個に限らず、任意の数の情報管理装置１０，２０を、ネットワーク６０を介して接続可能なシステムとなっている。また、ログ生成システム１は、１個に限らず、任意の数の利用者端末４０を、ネットワーク５０を介して情報管理装置１０と接続可能なシステムとなっている。

ここで、トランザクション処理は、利用者が操作する利用者端末４０からの操作対象のデータへのアクセスに基づき、各装置１０，２０，３０間で相互に連携して実行される一連の処理を示す。トランザクション処理は、当該トランザクション処理の処理内容を識別するトランザクション識別情報によって識別される。また、トランザクション処理は、当該トランザクションに付随する情報として、利用者及び操作対象を識別する利用者識別情報及び操作対象識別情報を少なくとも含む。また、トランザクション処理は、当該トランザクション処理のデータアクセスの経路を確認可能な情報を更に含んでもよい。

利用者識別情報及び操作対象識別情報の例としては、実利用者識別子及び実操作対象識別子、仮利用者識別子及び仮操作対象識別子、及び各装置に依存しない一意な利用者識別子及び操作対象識別子等が挙げられる。実利用者識別子及び実操作対象識別子は、各装置１０，２０，３０内において当該利用者及び操作対象に関する処理を実行する際に実際に使用される情報である。したがって、実利用者識別子及び実操作対象識別子は、外部に流出した場合、各装置１０，２０，３０内の処理に不正にアクセスされる可能性が高まるため、セキュリティ維持の観点から、外部へ流出しない運用が望まれる情報である。仮利用者識別子及び仮操作対象識別子は、各装置１０，２０，３０内において実利用者識別子及び実操作対象識別子と対応付けられた、仮に設定される情報である。また、各装置に依存しない一意な利用者識別子及び操作対象識別子としては、例えば、氏名、各種免許証の登録番号、及び政府等によって管理される全国共通の識別情報などが適宜、使用可能となっている。したがって、仮利用者識別子及び仮操作対象識別子、又は各装置に依存しない一意な利用者識別子及び操作対象識別子は、外部に流出した場合においても各装置１０，２０，３０内の処理に不正にアクセスされる可能性が比較的低い情報であり、他装置へのデータアクセス時に使用される。

トランザクション識別情報の例としては、トランザクション識別子が挙げられる。トランザクション識別子は、各装置１０，２０，３０間で実行される各トランザクションを一意に識別する。例えば、トランザクション識別子は、当該トランザクションを実行する装置の装置名、実行されるトランザクションのトランザクション名、及び時刻等が設定されてもよい。時刻等は日時であってもよい。

データアクセスの経路を確認可能な情報の例としては、トランザクション処理における送信先を識別する送信先情報として、システム識別子及び連携システム関連情報が挙げられる。例えば、システム識別子は、トランザクション処理における送信先の装置名又はコミュニティ名が設定されてもよい。この場合、「システム識別子」は、例えば「装置識別子」又は「コミュニティ識別子」と呼んでもよい。また、連携システム関連情報は、連携装置同士の関連情報として、例えば、トランザクション処理の送信元及び送信先の装置のＵＲＬ／ＩＰ（Uniform Resource Locator / Internet Protocol）アドレス、又は送信先のＤＮＳ（Domain Name System）名が設定されてもよい。同様に、「連携システム関連情報」は、例えば、「連携装置関連情報」と呼んでもよい。

なお、以下の説明において、上述の如き、トランザクション処理に含まれる情報を総称して、「トランザクション処理に係る情報」と言う。

また、以下の説明では、「情報管理装置１０」及び「情報管理装置２０」は、それぞれ「第１のサーバ装置」及び「第２のサーバ装置」と読み替えてもよい。また、「操作対象識別子解決装置３０」は、「第３のサーバ装置」と読み替えてもよい。また、「利用者端末４０」は、単に「端末」と読み替えてもよい。

情報管理装置１０は、利用者端末４０からのアクセスに基づくトランザクション処理に応じて、情報管理装置２０との間でトランザクション処理を連携して実行する装置である。情報管理装置１０は、図２に示す通り、ログＤＢ(Database)１０１、識別情報記憶部１０２、受付部１０３、制御部１０４、識別子変換部１０５、識別子解決部１０６、送信部１０７、及びログ生成部１０８を備える。但し、識別子解決部１０６は、必須ではなく、例えば、識別子解決のための第３のトランザクション処理がない場合には省略してもよい。

ログＤＢ１０１は、各部から読出し／書込み可能なメモリであり、図３に示す如き、ログ生成部１０８によって生成されたログ１００ａをログ履歴として記憶する。

ログ１００ａは、ログ生成システム１内の各装置１０，２０，３０において、他の各装置１０，２０，３０へのデータアクセスに関係する処理を実行した際に生成される。ログ１００ａは、利用者識別情報、操作対象識別情報、及びトランザクション識別情報を含む。また、ログ１００ａは、データアクセスの経路を確認できる情報として、トランザクション処理における送信先を識別する送信先情報を更に含んでもよい。例えば、ログ１００ａは、システム識別子、又は連携システム関連情報を含んでもよい。

なお、ログＤＢ１０１は、１個のログ履歴に限らず、任意の個数のログ履歴に分割して記憶可能である。例えば、ログＤＢ１０１は、外部に公開するログ履歴と、外部に公開しないログ履歴とを分けて記憶可能である。

また、ログＤＢ１０１内に記憶された複数のログ履歴は、ログに含まれるトランザクション識別子に時刻情報が含まれる場合、当該時刻情報に基づき、時系列に整理可能であってもよい。「時刻情報」は「日時情報」と呼んでもよい。また、複数のログ履歴は、各装置内で個別に生成されるシステムログの如き、順序が時系列でわかるものを参照することで、時系列に整理可能であってもよい。いずれにしても、複数のログ履歴は、各装置間で実行されたトランザクション処理に係る一連の処理を時系列で整理可能であってもよい。

識別情報記憶部１０２は、各部から読出し可能なメモリであり、図４に示す如き、実利用者識別子と、実利用者識別子と同一の利用者を示す識別情報である仮利用者識別子とを対応付けた利用者識別情報１００ｂを記憶する。なお、仮利用者識別子は、実利用者識別子に対して複数記憶されていてもよい。したがって、複数の仮利用者識別子が記憶されている場合、各仮利用者識別子は、互いに同一の利用者を示す識別情報として対応付けられている。また、利用者識別情報１００ｂは、他装置に対して公開可能な仮利用者識別子を含んでもよく、非公開の仮利用者識別子を含んでもよいが、非公開の仮利用者識別子を少なくとも含むものとする。

また、識別情報記憶部１０２は、図５に示す如き、実操作対象識別子と、当該実操作対象識別子と同一の操作対象を示す識別情報であり、情報管理装置２０においても同一の操作対象を識別可能な仮操作対象識別子とを対応付けた操作対象識別情報１００ｃを記憶してもよい。なお、仮操作対象識別子は、実操作対象識別子に対して複数記憶されていてもよい。したがって、複数の仮操作対象識別子が記憶されている場合、各操作対象識別子は、互いに同一の操作対象を示す識別情報として対応付けられている。また、操作対象識別情報１００ｃは、他装置に対して公開可能な仮操作対象識別子を含んでもよく、非公開の仮操作対象識別子を含んでもよいが、非公開の仮操作対象識別子を少なくとも含むものとする。

なお、以下の説明において、「実利用者識別子又は仮利用者識別子」、及び「実操作対象識別子又は仮操作対象識別子」は、それぞれ「第１の利用者識別子」、及び「第１の操作対象識別子」と読み替えてもよい。また、「第１の利用者識別子と同一の利用者を示す識別情報である仮利用者識別子」、及び「第１の操作対象識別子と同一の操作対象を示す識別情報であり、情報管理装置２０においても同一の操作対象を識別可能な仮操作対象識別子」は、それぞれ「第２の利用者識別子」、及び「第２の操作対象識別子」と読み替えてもよい。

なお、識別情報記憶部１０２は、第２の操作対象識別子に代えて、第１の操作対象識別子と同一の操作対象を示す識別子であり、情報管理装置２０において同一の操作対象を識別不可能な仮操作対象識別子を記憶してもよい。なお、以下の説明において、「第１の操作対象識別子と同一の操作対象を示す識別情報であり、情報管理装置２０において同一の操作対象を識別不可能な仮操作対象識別子」は、「第３の操作対象識別子」と読み替えてもよい。第３の操作対象識別子が識別情報記憶部１０２に無い場合、識別子解決のための第３のトランザクション処理が実行されないため、識別子解決部１０６及び操作対象識別子解決装置３０がログ生成システム１から省略される。第３のトランザクション処理は、識別子解決に用いる第３の操作対象識別子を操作対象識別子解決装置３０に送信し、第２のトランザクション処理に用いる第２の操作対象識別子を操作対象識別子解決装置３０から受信するまでの一連の処理である。

受付部１０３は、ネットワーク５０を介して利用者端末４０からのアクセスに基づくトランザクション処理を受付ける。受付部１０３は、当該トランザクション処理に係る情報を制御部１０４及びログ生成部１０８に送信する。また、受付部１０３は、当該受付けに係るログの生成指示をログ生成部１０８に送信する。

制御部１０４は、アクセスに基づくトランザクション処理に係る情報を受付部１０３から受信し、当該トランザクション処理の実行を制御する。制御部１０４は、当該トランザクション処理に応じて、情報管理装置２０との間で新たなトランザクション処理を実行する必要があるか否かを判定する。制御部１０４は、受付部１０３から受信したトランザクション処理に応じた情報管理装置２０との新たなトランザクション処理を実行する必要があると判定した場合、情報管理装置２０へアクセスするためのデータアクセス実行機能を呼出す。制御部１０４は、呼出した情報管理装置２０へのデータアクセス実行機能に基づき、受付部１０３から受信したトランザクション処理に係る情報を識別子変換部１０５に送信する。制御部１０４は、新たなトランザクション処理を実行する必要がないと判定した場合、受付部１０３から受信したトランザクション処理の情報管理装置１０内における実行を引き続き制御する。なお、制御部１０４は、新たなトランザクション処理を実行する必要がないと判定した場合においても、受付部１０３から受信したトランザクション処理に係る情報を識別子変換部１０５に送信し、識別子変換するように制御してもよい。

なお、以下の説明において、「第１の利用者識別子及び第１の操作対象識別子を含むトランザクション処理」は、「第１のトランザクション処理」と読み替えてもよい。また、「第１のトランザクション処理に応じて情報管理装置２０との間で実行される新たなトランザクション処理」は、「第２のトランザクション処理」と読み替えてもよい。また、「第１のトランザクション処理を識別するトランザクション識別情報」、及び「第２のトランザクション処理を識別するトランザクション識別情報」は、それぞれ「第１のトランザクション識別子」、及び「第２のトランザクション識別子」と読み替えてもよい。

制御部１０４は、識別子変換された第１のトランザクション処理に係る情報を識別子変換部１０５から受信する。制御部１０４は、当該識別子変換された第１のトランザクション処理に係る情報内の操作対象識別子が情報管理装置２０において識別可能な場合、当該識別子変換された第１のトランザクション処理に係る情報に基づき、第２のトランザクション処理に係る情報を生成する。制御部１０４は、生成した第２のトランザクション処理に係る情報を送信部１０７に送信し、第２のトランザクション処理を実行するよう制御する。

なお、識別子変換された第１のトランザクション処理に係る情報に基づき生成された第２のトランザクション処理に係る情報は、第２の利用者識別子、第２の操作対象識別子、及び第２のトランザクション識別子を含んでもよい。

制御部１０４は、識別子変換された第１のトランザクション処理に係る情報内の操作対象識別子が情報管理装置２０において識別不可能な場合、当該識別子変換された第１のトランザクション処理に係る情報に基づき、第１のトランザクション処理に応じて操作対象識別子解決装置３０との間で実行される新たなトランザクション処理に係る情報を生成する。なお、制御部１０４は、当該操作対象識別子が情報管理装置２０において識別可能か否かに関する情報を予め設定されていてもよい。

なお、以下の説明において、「第１のトランザクション処理に応じて操作対象識別子解決装置３０との間で実行される新たなトランザクション処理」は、「第３のトランザクション処理」又は「識別子解決用のトランザクション処理」等と読み替えてもよい。また、「第３のトランザクション処理を識別するトランザクション識別情報」は、「第３のトランザクション識別子」又は「識別子解決用のトランザクション識別子」等と読み替えてもよい。

制御部１０４は、生成した第３のトランザクション処理に係る情報を識別子解決部１０６に送信し、当該第３のトランザクション処理を実行するように制御する。制御部１０４は、識別子解決された操作対象識別子を識別子解決部１０６から受信する。

制御部１０４は、識別子変換された第１のトランザクション処理に係る情報、及び識別子解決された操作対象識別子に基づき、第２のトランザクション処理に係る情報を生成する。制御部１０４は、生成した第２のトランザクション処理に係る情報を送信部１０７に送信し、当該第２のトランザクション処理を実行するように制御する。

なお、第２のトランザクション処理に係る情報は、第２の利用者識別子、識別子解決された操作対象識別子、第１のトランザクション識別子、及び第２のトランザクション識別子を含む。

識別子変換部１０５は、利用者端末４０からのアクセスに基づき、第１の利用者識別子で識別される利用者からの第１の操作対象識別子で識別される操作対象の情報に関する第１のトランザクション識別子で識別される第１のトランザクション処理に応じて、第２のトランザクション識別子で識別される第２のトランザクション処理が第２のサーバ装置との間で実行される場合、識別子情報記憶部１０２（第１の記憶手段及び第２の記憶手段）に基づき、第１のトランザクション処理に用いた第１の利用者識別子及び第１の操作対象識別子を、第２のトランザクション処理に用いる第２の利用者識別子及び第２の操作対象識別子に変換する機能を有する。

即ち、識別子変換部１０５は、第１のトランザクション処理に係る情報を制御部１０４から受信し、識別情報記憶部１０２から利用者識別情報１００ｂ及び操作対象識別情報１００ｃを読出す。識別子変換部１０５は、当該利用者識別情報１００ｂ及び操作対象識別情報１００ｃに基づき、当該第１のトランザクション処理に係る情報内の第１の利用者識別子及び第１の操作対象識別子を、第２の利用者識別子及び第２の操作対象識別子に変換する。

なお、識別子変換部１０５は、受信した第１のトランザクション処理に係る情報内の第１の利用者識別子が仮利用者識別子である場合、当該仮利用者識別子を変換しなくてもよい。

識別子変換部１０５は、識別子変換した第１のトランザクション処理に係る情報を制御部１０４に送信する。識別子変換部１０５は、識別子変換の前後における第１のトランザクション処理に係る情報、及び当該変換に係るログの生成指示をログ生成部１０８に送信する。

識別子解決部１０６は、第３のトランザクション処理に係る情報を制御部１０４から受信し、当該第３のトランザクション処理に係る情報に基づき、第３のトランザクション処理を操作対象識別子解決装置３０と連携して実行する。具体的には、識別子解決部１０６は、第３のトランザクション処理に係る情報を、操作対象識別子解決装置３０に送信し、識別子解決を問合わせる。識別子解決部１０６は、問合わせの結果、第３の操作対象識別子と同一の操作対象を示す識別情報であり、情報管理装置２０においても当該同一の操作対象を識別可能な操作対象識別子を共有し、操作対象識別子の識別子解決を実行する。

なお、以下の説明において、「第３の操作対象識別子と同一の操作対象を示す識別情報であり、情報管理装置２０においても当該同一の操作対象を識別可能な操作対象識別子」は、「第２の操作対象識別子」と読み替えてもよい。また、「識別子解決された操作対象識別子」も、同様に「第２の操作対象識別子」と読み替えてもよい。

識別子解決部１０６は、識別子解決された第２の操作対象識別子を制御部１０４に送信する。また、識別子解決部１０６は、第３のトランザクション処理に係る情報及び第２の操作対象識別子をログ生成部１０８に送信する。識別子解決部１０６は、第３のトランザクション処理に係るログの生成をログ生成部１０８に指示する。

送信部１０７は、第２のトランザクション処理に係る情報を制御部１０４から受信し、当該第２のトランザクション処理に係る情報に基づき、第２のトランザクション処理を情報管理装置２０と連携して実行する。送信部１０７は、ログ生成部１０８に第２のトランザクション処理に係る情報、及び当該第２のトランザクション処理の実行に係るログの生成を指示する。

ログ生成部１０８は、各部１０３，１０５，１０６，１０７からログ生成に係る指示を受信し、ログを生成し、生成したログをログＤＢ１０１に記憶する。

具体的には、ログ生成部１０８は、ログ生成に係る指示と共に第１のトランザクション処理に係る情報を受付部１０３から受信した場合、当該第１のトランザクション処理に係る情報内の第１の利用者識別子、第１の操作対象識別子、及び第１のトランザクション識別子が設定されたログを生成する。

また、ログ生成部１０８は、ログ生成に係る指示と共に識別子変換前後の第１のトランザクション処理に係る情報を識別子変換部１０５から受信した場合、当該識別子変換前後の第１のトランザクション処理に係る情報内の、第１の利用者識別子及び第２の利用者識別子と、第１の操作対象識別子及び第２の操作対象識別子と、第１のトランザクション識別子とに基づき、ログを生成する。なお、ログ生成部１０８は、第１の利用者識別子及び第１の操作対象識別子と、第２の利用者識別子及び第２の操作対象識別子とを、別々のログに分けて生成してもよい。なお、ログ生成部１０８は、識別子変換前後のログを生成する場合、第１の利用者識別子及び第１の操作対象識別子をログに設定しなくてもよい。この場合、第１の利用者識別子及び第１の操作対象識別子と、第２の利用者識別子及び第２の操作対象識別子との対応関係は、利用者識別情報１００ｂ及び操作対象識別情報１００ｃを参照することで対応付けてもよい。

また、ログ生成部１０８は、ログ生成に係る指示と共に第２のトランザクション処理に係る情報を送信部１０７から受信した場合、当該第２のトランザクション処理に係る情報内の、第２の利用者識別子、第２の操作対象識別子、第１のトランザクション識別子及び第２のトランザクション識別子が設定されたログを生成する。

また、ログ生成部１０８は、ログ生成に係る指示と共に第３のトランザクション処理に係る情報及び第２の操作対象識別子を識別子解決部１０６から受信した場合、当該第３のトランザクション処理に係る情報内の第２の利用者識別子、第３の操作対象識別子、第１のトランザクション識別子、及び第３のトランザクション識別子と、第２の操作対象識別子とが設定されたログを生成する。

なお、ログ生成部１０８は、生成した各ログを、実利用者識別子及び／又は実操作対象者識別子を含むログと、仮利用者識別子及び仮操作対象識別子を含むログとに分けて、ログＤＢ１０１に記憶してもよい。また、ログ生成部１０８は、生成した各ログのうち、仮利用者識別子及び仮操作対象識別子を含むログを、外部に公開用のログと、非公開用のログとに分けてログＤＢ１０１に記憶してもよい。

情報管理装置２０は、利用者端末４０からのアクセスに基づく第１のトランザクション処理に応じて、情報管理装置１０との間で第２のトランザクション処理を連携して実行する装置である。情報管理装置２０は、情報管理装置１０と同じ機能構成を備えていてもよい。また、情報管理装置２０は、第２のトランザクション処理によりアクセスされる操作対象のデータを記憶した記憶部（図示せず）を備えた場合、図２に示す構成から識別子解決部１０６を省略してもよい。以下の説明では、情報管理装置１０と異なる部分についてのみ述べる。

情報管理装置２０の識別情報記憶部１０２は、各部から読出し可能なメモリである。識別情報記憶部１０２は、図６（Ａ）に示す如き、実操作対象識別子と、当該実操作対象識別子と同一の操作対象を示す識別情報であり、情報管理装置１０においても当該同一の操作対象を識別可能な仮操作対象識別子とを対応付けた操作対象識別情報１００ｄを記憶する。ここで、仮操作対象識別子は、第１の操作対象識別子と同一の操作対象を示す識別情報であり、情報管理装置１０においても同一の操作対象を識別可能な仮操作対象識別子であってもよい。なお、仮操作対象識別子は、実操作対象識別子に対して複数記憶されていてもよい。したがって、複数の仮操作対象識別子が記憶されている場合、各操作対象識別子は、互いに同一の操作対象を示す識別情報として対応付けられている。

なお、以下の説明において、「第１の操作対象識別子と同一の操作対象を示す識別情報であり、情報管理装置１０においても同一の操作対象を識別可能な仮操作対象識別子」は、「第２の操作対象識別子」と読み替えてもよい。

なお、識別情報記憶部１０２は、図６（Ｂ）に示す如き、実操作対象識別子と、当該実操作対象識別子と同一の操作対象を示す識別情報であり、情報管理装置１０において同一の操作対象を識別不可能な仮操作対象識別子とを対応付けた操作対象識別情報１００ｅを記憶してもよい。ここで、仮操作対象識別子は、前述したように、情報管理装置１０において当該同一の操作対象を識別可能なものとしてもよく、識別不可能なものとしてもよい。

なお、以下の説明において、「第１の操作対象識別子と同一の操作対象を示す識別情報であり、情報管理装置１０において当該同一の操作対象を識別不可能な仮操作対象識別子」は、「第２の操作対象識別子」と読み替えてもよい。

受付部１０３は、ネットワーク６０を介して情報管理装置１０からの第２のトランザクション処理を受付ける。受付部１０３は、当該第２のトランザクション処理に係る情報を制御部１０４及びログ生成部１０８に送信する。また、受付部１０３は、当該受け付けに係るログの生成指示をログ生成部１０８に送信する。

制御部１０４は、第２のトランザクション処理に係る情報を受付部１０３から受信し、当該第２のトランザクション処理の実行を制御する。

ログ生成部１０８は、受付部１０３からログ生成に係る指示を受信し、ログを生成し、生成したログをログＤＢ１０１に記憶する。

具体的には、ログ生成部１０８は、ログ生成に係る指示と共に第２のトランザクション処理に係る情報を受付部１０３から受信した場合、当該第２のトランザクション処理に係る情報内の第２の利用者識別子、第２の操作対象識別子、第１のトランザクション識別子、及び第２のトランザクション識別子が設定されたログを生成する。

操作対象識別子解決装置３０は、第１のトランザクション処理に応じて、情報管理装置１０と第３のトランザクション識別子で識別される第３のトランザクション処理を連携して実行する機能を備えている。具体的には、操作対象識別子解決装置３０は、図７に示す通り、ログＤＢ３０１、識別子解決情報記憶部３０２、操作対象識別子解決部３０３、及びログ生成部３０４を備えている。

ログＤＢ３０１は、各部から読出し／書込み可能なメモリであり、図３に示す如き、ログ生成部３０４によって生成されたログ１００ａを記憶する。

識別子解決情報記憶部３０２は、各部から読出し／書込み可能なメモリである。識別子解決情報記憶部３０２は、第３の操作対象識別子と、第３の操作対象識別子と同一の操作対象を示す識別情報であり、情報管理装置２０においても同一の操作対象を識別可能な第２の操作対象識別子とを対応付けて記憶する。即ち、識別子解決情報記憶部３０２は、図８に示す如き操作対象識別子解決情報１００ｆを記憶する。

操作対象識別子解決部３０３は、第３のトランザクション処理に係る情報に基づき、第３のトランザクション処理を情報管理装置１０と連携して実行する。具体的には、操作対象識別子解決部３０３は、第３のトランザクション処理を情報管理装置１０から受付けると、当該第３のトランザクション処理に係る情報から第３の操作対象識別子を抽出する。また、操作対象識別子解決部３０３は、識別子解決情報記憶部３０２から操作対象識別子解決情報１００ｆを読出し、抽出した第３の操作対象識別子に対応する第２の操作対象識別子を検索する。操作対象識別子解決部３０３は、検索した第２の操作対象識別子を識別子解決部１０６に送信することで当該第２の操作対象識別子を情報管理装置１０と共有し、操作対象識別子の識別子解決を実行する。

また、操作対象識別子解決部３０３は、第３のトランザクション処理に係る情報及び第２の操作対象識別子をログ生成部３０４に送信する。操作対象識別子解決部３０３は、第３のトランザクション処理に係るログの生成をログ生成部３０４に指示する。

ログ生成部３０４は、操作対象識別子解決部３０３からログ生成に係る指示を受信し、ログを生成し、生成したログをログＤＢ３０１に記憶する。

具体的には、ログ生成部３０４は、ログ生成に係る指示と共に第３のトランザクション処理に係る情報及び第２の操作対象識別子を操作対象識別子解決部３０３から受信し、当該第３のトランザクション処理に係る情報内の第２の利用者識別子、第３の操作対象識別子、第１のトランザクション識別子、及び第３のトランザクション識別子と、第２の操作対象識別子とが設定されたログを生成する。

次に、以上のように構成されたログ生成システムの動作の一例について図９及び図１０のシーケンス図を用いて説明する。以下の説明は、図９に示す如き、識別子解決をしない場合と、図１０に示す如き、識別子解決をする場合とについて順次、述べる。なお、以下の説明中、ログの内容は一例であり、適宜、追加及び省略可能となっている。

（識別子解決をしない場合）
この場合、ログ生成システム１は、操作対象識別子解決装置３０及び識別子解決部１０６がそれぞれ省略された構成として実施される。また、情報管理装置１０は、識別子情報記憶部１０２に対し、予め第１及び第２の記憶ステップを実行している。第１の記憶ステップは、第１の利用者識別子と、当該第１の利用者識別子と同一の利用者を示す利用者識別情報である第２の利用者識別子とを対応付けて記憶するステップである。第２の記憶ステップは、第１の操作対象識別子と、当該第１の操作対象識別子と同一の操作対象を示す操作対象識別情報であり、情報管理装置２０においても当該同一の操作対象を識別可能な第２の操作対象識別子とを対応付けて記憶するステップである。第１及び第２の記憶ステップの完了後、以下の動作が実行される。

始めに、利用者端末４０は、利用者の操作に応じて、当該利用者を識別する第１の利用者識別子と、操作対象を識別する第１の操作対象識別子と、操作対象に対する操作内容（例、読出）と、利用者端末４０を示す送信元情報と、情報管理装置１０を示す送信先情報とを含むアクセス要求をネットワーク５０を介して情報管理装置１０に送信する（ＳＴ１）。

このとき、第１のトランザクション処理が開始される。第１のトランザクション処理は、利用者端末１０がアクセス要求を情報管理装置１０に送信し、情報管理装置１０がアクセス要求を受け付けるまでの一連の処理である。

情報管理装置１０においては、受付部１０３が、このアクセス要求を受け付けると、当該受付けに係るログの生成指示をログ生成部１０８に送信する一方、利用者端末１０との間の第１のトランザクション処理を識別する第１のトランザクション識別子を生成する。ログ生成部１０８は、このログの生成指示に基づいて、受付けに係るログを生成し、当該ログをログＤＢ１０１に書き込む。

受付けに係るログとしては、例えば、アクセス要求に含まれる第１の利用者識別子、第１の操作対象識別子、操作内容、利用者端末４０を示す送信元情報、情報管理装置１０を示す送信先情報及び日時情報などが適宜、使用可能となっている。

受付部１０３は、アクセス要求及び第１のトランザクション識別子を含む第１のトランザクション処理に係る情報を制御部１０４及びログ生成部１０８に送信する。ログ生成部１０８は、このログの生成指示に基づいて、第１のトランザクション識別子の生成に係るログを生成し、当該ログをログＤＢ１０１に書き込む（ＳＴ２）。第１のトランザクション識別子の生成に係るログとしては、例えば、第１の利用者識別子、第１の操作対象識別子、操作内容、利用者端末４０を示す送信元情報、情報管理装置１０を示す送信先情報、第１のトランザクション識別子及び日時情報などが適宜、使用可能となっている。

制御部１０４は、第１のトランザクション処理に係る情報に基づき、第１のトランザクション処理に応じて、情報管理装置２０との間で第２のトランザクション処理を実行する必要があるか否かを判定する。判定の結果、否の場合には、制御部１０４は、第１のトランザクション処理に係る情報に基づき、情報管理装置１０内における情報処理の実行を引き続き制御する。

ここでは、判定の結果、第２のトランザクション処理を実行する必要がある場合について述べる。この場合、制御部１０４は、第１のトランザクション処理に係る情報を識別子変換部１０５に送信する。

識別子変換部１０５は、利用者端末４０からのアクセスに基づき、第１の利用者識別子で識別される利用者からの第１の操作対象識別子で識別される操作対象の情報に関する第１のトランザクション識別子で識別される第１のトランザクション処理に応じて、第２のトランザクション識別子で識別される第２のトランザクション処理が情報管理装置２０との間で実行される場合、第１の記憶ステップ及び第２の記憶ステップに基づき、第１のトランザクション処理に用いた第１の利用者識別子及び第１の操作対象識別子を、第２のトランザクション処理に用いる第２の利用者識別子及び第２の操作対象識別子に変換する。この識別子変換ステップは、例えば、以下のステップＳＴ３に示すように実行される。

識別子変換部１０５は、送信された第１のトランザクション処理に係る情報に含まれるアクセス要求内の第１の利用者識別子及び第１の操作対象識別子に基づいて、識別情報記憶部１０２から利用者識別情報１００ｂ及び操作対象識別情報１００ｃを読出す。

識別子変換部１０５は、当該利用者識別情報１００ｂ及び操作対象識別情報１００ｃに基づき、第１のトランザクション処理に用いた第１の利用者識別子及び第１の操作対象識別子を、第２のトランザクション処理に用いる第２の利用者識別子及び第２の操作対象識別子に変換する（ＳＴ３）。なお、識別子変換部１０５は、第１の利用者識別子が仮利用者識別子の場合、第１の利用者識別子を変換しなくてもよい。

識別子変換部１０５は、識別子変換した第１のトランザクション処理に係る情報を制御部１０４に送信する。また、識別子変換部１０５は、識別子変換の前後における第１のトランザクション処理に係る情報、及び当該変換に係るログの生成指示をログ生成部１０８に送信する。ログ生成部１０８は、ログの生成指示に基づいて、当該変換に係るログを生成し、当該ログをログＤＢ１０１に書き込む（ＳＴ４）。当該変換に係るログとしては、例えば、第１の利用者識別子（変換前）、第１の操作対象識別子（変換前）、第２の利用者識別子（変換後）、第２の操作対象識別子（変換後）、操作内容、利用者端末４０を示す送信元情報、情報管理装置１０を示す送信先情報、第１のトランザクション識別子及び日時情報などが適宜、使用可能となっている。なお、変換に係るログとしては、変換前のログと、変換後のログとを別々に生成してもよい。この場合、変換前のログとしては、例えば、第１の利用者識別子、第１の操作対象識別子、操作内容、利用者端末４０を示す送信元情報、情報管理装置１０を示す送信先情報、第１のトランザクション識別子及び日時情報などが適宜、使用可能となっている。変換後のログとしては、例えば、第２の利用者識別子、第２の操作対象識別子、操作内容、利用者端末４０を示す送信元情報、情報管理装置１０を示す送信先情報、第１のトランザクション識別子及び日時情報などが適宜、使用可能となっている。また、ログ生成部１０８は、変換前のログを非公開用のログＤＢに保存し、変換後のログを公開用のログＤＢに保存するというように、変換前のログと変換後のログとを別々のログＤＢに保存してもよい。

制御部１０４は、識別子変換された第１のトランザクション処理に係る情報に基づき、第２のトランザクション処理に係る情報を生成する。ここで、第２のトランザクション処理に係る情報は、例えば、第２の利用者識別子、第２の操作対象識別子、操作内容、情報管理装置１０を示す送信元情報、情報管理装置２０を示す送信先情報、第１のトランザクション識別子、及び第２のトランザクション識別子などが適宜、使用可能となっている。

制御部１０４は、当該第２のトランザクション処理に係る情報を送信部１０７に送信する。

送信部１０７は、当該第２のトランザクション処理に係る情報に基づき、第２のトランザクション処理を情報管理装置２０と連携して実行する。具体的には例えば、送信部１０７は、第２のトランザクション処理に係る情報を含むアクセス要求を情報管理装置２０に送信する（ＳＴ５）。第２のトランザクション処理は、情報管理装置１０がアクセス要求を情報管理装置２０に送信し、このアクセス要求に応じたアクセス応答を情報処理装置２０が返信し、当該アクセス応答を情報管理装置１０が受け付けるまでの一連の処理である。

また、送信部１０７は、第２のトランザクション処理に係る情報、及び当該第２のトランザクション処理の実行に係るログの生成指示をログ生成部１０８に送出する。

ログ生成部１０８は、実行された第２のトランザクション処理に基づき、変換された第２の利用者識別子及び第２の操作対象識別子と、第１のトランザクション識別子及び第２のトランザクション識別子とが設定されたログを生成する。なお、ログの内容は、これに限定されない。また、この第１のログ生成ステップは、例えば、以下のステップＳＴ６に示すように実行される。

ログ生成部１０８は、送信部１０７から送出されたログの生成指示と第２のトランザクション処理に係る情報とに基づいて、当該第２のトランザクション処理の実行に係るログを生成し、当該ログをログＤＢ１０１に書き込む（ＳＴ６）。第２のトランザクション処理の実行に係るログとしては、例えば、第２の利用者識別子、第２の操作対象識別子、操作内容、情報管理装置１０を示す送信元情報、情報管理装置２０を示す送信先情報、第１のトランザクション識別子、第２のトランザクション識別子、及び日時情報などが適宜、使用可能となっている。

情報管理装置２０の受付部１０３は、第２のトランザクション処理に係る情報を含むアクセス要求を受け付けると、当該受付けに係るログの生成指示をログ生成部１０８に送信する。

情報管理装置２０のログ生成部１０８は、実行された第２のトランザクション処理に基づき、変換された第２の利用者識別子及び第２の操作対象識別子と、第２のトランザクション識別子とが設定されたログを生成する。なお、ログの内容は、これに限定されない。また、この第２のログ生成ステップは、例えば、以下のステップＳＴ７に示すように実行される。

情報管理装置２０のログ生成部１０８は、受付部１０３から送信されたログの生成指示に基づいて、受付けに係るログを生成し、当該ログをログＤＢ１０１に書き込む（ＳＴ７）。

受付けに係るログとしては、例えば、アクセス要求に含まれる第２の利用者識別子、第２の操作対象識別子、操作内容、情報管理装置１０を示す送信元情報、情報管理装置２０を示す送信先情報、第１のトランザクション識別子、第２のトランザクション識別子、及び日時情報などが適宜、使用可能となっている。

情報管理装置２０の受付部１０３は、アクセス要求を制御部１０４に送信する。

情報管理装置２０の制御部１０４は、アクセス要求を受けると、アクセス要求に含まれる第２のトランザクション処理に係る情報を識別子変換部１０５に送信する。

情報管理装置２０の識別子変換部１０５は、この第２のトランザクション処理に係る情報に含まれる第２の操作対象識別子に基づいて、識別情報記憶部１０２から操作対象識別情報１００ｄを読出す。

情報管理装置２０の識別子変換部１０５は、当該操作対象識別情報１００ｄに基づき、第２のトランザクション処理に用いた第２の操作対象識別子（仮操作対象識別子）を、自装置２０内で管理する操作対象のデータを識別する実操作対象識別子に変換する（ＳＴ８）。

情報管理装置２０の識別子変換部１０５は、識別子変換した第２のトランザクション処理に係る情報を制御部１０４に送信する。また、識別子変換部１０５は、識別子変換の前後における第２のトランザクション処理に係る情報、及び当該変換に係るログの生成指示をログ生成部１０８に送信する。

情報管理装置２０のログ生成部１０８は、ログの生成指示に基づいて、当該変換に係るログを生成し、当該ログをログＤＢ１０１に書き込む（ＳＴ９）。当該変換に係るログとしては、例えば、第２の利用者識別子、第２の操作対象識別子（変換前）、実操作対象識別子（変換後）、操作内容、情報管理装置１０を示す送信元情報、情報管理装置２０を示す送信先情報、第１のトランザクション識別子、第２のトランザクション識別子及び日時情報などが適宜、使用可能となっている。

情報管理装置２０の制御部１０４は、識別子変換された第２のトランザクション処理に係る情報に含まれる実操作対象識別子及び操作内容（例、読出）に基づき、図示しない記憶部内のデータにアクセスする（ＳＴ１０）。この場合、操作内容が「読出」のため、制御部１０４は、実操作対象識別子及び操作内容（例、読出）に基づき、記憶部内のデータを読み出す。また、この制御部１０４は、識別子変換された第２のトランザクション処理に係る情報と、データの読み出しに係るログの生成指示とをログ生成部１０８に送信する。ログ生成部１０８は、このログの生成指示に基づいて、データの読み出しに係るログを生成し、当該ログをログＤＢ１０１に書き込む（ＳＴ１１）。

データの読み出しに係るログとしては、例えば、識別子変換された第２のトランザクション処理に係る情報に含まれる第２の利用者識別子、実操作対象識別子、操作内容、情報管理装置１０を示す送信元情報、情報管理装置２０を示す送信先情報及び日時情報などが適宜、使用可能となっている。

また、情報管理装置２０の制御部１０４は、当該読み出したデータと、アクセス要求に含まれる第２のトランザクション処理に係る情報（識別子変換前の情報）とを送信部１０７に送信する。

情報管理装置２０の送信部１０７は、当該読み出したデータと、当該第２のトランザクション処理に係る情報（識別子変換前の情報）とに基づき、アクセス応答を情報管理装置１０に送信する（ＳＴ１２）。また、この送信部１０７は、アクセス応答、及び当該アクセス応答の送信に係るログの生成指示をログ生成部１０８に送出する。

情報管理装置２０のログ生成部１０８は、このログの生成指示とアクセス応答とに基づいて、当該アクセス応答の送信に係るログを生成し、当該ログをログＤＢ１０１に書き込む（ＳＴ１３）。アクセス応答の送信に係るログとしては、例えば、第２の利用者識別子、第２の操作対象識別子（変換前）、操作内容、情報管理装置２０を示す送信元情報、情報管理装置１０を示す送信先情報、第１のトランザクション識別子、第２のトランザクション識別子、及び日時情報などが適宜、使用可能となっている。

情報管理装置１０においては、受付部１０３が、このアクセス応答を受け付けると、当該受付けに係るログの生成指示をログ生成部１０８に送信する。ログ生成部１０８は、このログの生成指示に基づいて、受付けに係るログを生成し、当該ログをログＤＢ１０１に書き込む（ＳＴ１４）。

受付けに係るログとしては、例えば、アクセス応答に含まれる第２の利用者識別子、第２の操作対象識別子、操作内容、情報管理装置２０を示す送信元情報、情報管理装置１０を示す送信先情報、第１のトランザクション識別子、第２のトランザクション識別子、及び日時情報などが適宜、使用可能となっている。

情報管理装置１０の受付部１０３は、アクセス応答を制御部１０４に送信する。

情報管理装置１０の制御部１０４は、アクセス応答を識別子変換部１０５に送信する。

識別子変換部１０５は、アクセス応答に含まれる第２の利用者識別子及び第２の操作対象識別子に基づいて、識別情報記憶部１０２から利用者識別情報１００ｂ及び操作対象識別情報１００ｃを読出す。

識別子変換部１０５は、当該利用者識別情報１００ｂ及び操作対象識別情報１００ｃに基づき、第２のトランザクション処理に用いた第２の利用者識別子及び第２の操作対象識別子を、第１のトランザクション処理に用いた第１の利用者識別子及び第１の操作対象識別子に変換する（ＳＴ１５）。

識別子変換部１０５は、識別子変換した第１の利用者識別子及び第１の操作対象識別子を含むアクセス応答を制御部１０４に送信する。また、識別子変換部１０５は、識別子変換の前後におけるアクセス応答、及び当該変換に係るログの生成指示をログ生成部１０８に送信する。ログ生成部１０８は、ログの生成指示に基づいて、当該変換に係るログを生成し、当該ログをログＤＢ１０１に書き込む（ＳＴ１６）。当該変換に係るログとしては、例えば、第１の利用者識別子（変換後）、第１の操作対象識別子（変換後）、第２の利用者識別子（変換前）、第２の操作対象識別子（変換前）、第１のトランザクション識別子、第２のトランザクション識別子及び日時情報などが適宜、使用可能となっている。

制御部１０４は、識別子変換されたアクセス応答を送信部１０７に送信する。

送信部１０７は、識別子変換されたアクセス応答に基づき、最終的なアクセス応答を利用者端末４０に送信する（ＳＴ１７）。最終的なアクセス応答は、第１の利用者識別子、第１の操作対象識別子、操作内容、データ、情報管理装置１０を示す送信元情報、利用者端末４０を示す送信先情報、第１のトランザクション識別子、第２のトランザクション識別子を含んでいる。

また、送信部１０７は、最終的なアクセス応答、及び最終的なアクセス応答の送信に係るログの生成指示をログ生成部１０８に送出する。

ログ生成部１０８は、このログの生成指示と、最終的なアクセス応答とに基づいて、最終的なアクセス応答の送信に係るログを生成し、当該ログをログＤＢ１０１に書き込む（ＳＴ１８）。最終的なアクセス応答の送信に係るログとしては、例えば、第１の利用者識別子、第１の操作対象識別子、操作内容、データ、情報管理装置１０を示す送信元情報、利用者端末４０を示す送信先情報、第１のトランザクション識別子、第２のトランザクション識別子及び日時情報などが適宜、使用可能となっている。

利用者端末４０は、最終的なアクセス応答を受けると、例えば、当該アクセス応答に含まれるデータを記憶部（図示せず）に記憶する。また、利用者端末４０は、利用者の操作に応じて、記憶部に記憶したデータを表示部（図示せず）に表示する（ＳＴ１９）。

以上が識別子解決をしない場合の動作である。続いて、識別子解決をする場合の動作について図１０を用いて説明する。

（識別子解決をする場合）
識別子解決をする場合、ログ生成システム１は、図１及び図２に示すように、操作対象識別子解決装置３０及び識別子解決部１０６をも備えている。この場合の動作は、図１０の破線に示すように、前述したステップＳＴ３，ＳＴ４に代えて、ステップＳＴ３１〜ＳＴ４０を実行するものである。このため、以下の説明は、前述したステップとは異なるステップＳＴ３１〜ＳＴ４０について主に述べる。また、情報管理装置１０は、識別子情報記憶部１０２に対し、予め第１及び第２の記憶ステップを実行している。第１の記憶ステップは、第１の利用者識別子と、当該第１の利用者識別子と同一の利用者を示す利用者識別情報である第２の利用者識別子とを対応付けて記憶するステップである。第２の記憶ステップは、第１の操作対象識別子と、当該第１の操作対象識別子と同一の操作対象を示す操作対象識別情報であり、情報管理装置２０においても当該同一の操作対象を識別不可能な第３の操作対象識別子とを対応付けて記憶するステップである。但し、識別子解決をする場合の第２の記憶ステップは、識別子解決をしない場合の第２の記憶ステップとは異なり、第２の操作対象識別子に代えて、第３の操作対象識別子を記憶する。第１及び第２の記憶ステップの完了後、以下の動作が実行される。

始めに、ステップＳＴ１及びＳＴ２は、前述同様に実行される。しかる後、前述同様に、制御部１０４は、第１のトランザクション処理に係る情報を識別子変換部１０５に送信する。

識別子変換部１０５は、この第１のトランザクション処理に係る情報に含まれるアクセス要求内の第１の利用者識別子及び第１の操作対象識別子に基づいて、識別情報記憶部１０２から利用者識別情報１００ｂ及び操作対象識別情報１００ｃを読出す。

識別子変換部１０５は、当該利用者識別情報１００ｂ及び操作対象識別情報１００ｃに基づき、第１のトランザクション処理に用いた第１の利用者識別子及び第１の操作対象識別子を、第２のトランザクション処理に用いる第２の利用者識別子及び第３のトランザクション処理に用いる第３の操作対象識別子に変換する（ＳＴ３１）。なお、ステップＳＴ３１は、前述したステップＳＴ３とは異なり、第１の操作対象識別子が第３の操作対象識別子に変換されている。また、識別子変換部１０５は、第１の利用者識別子が仮利用者識別子の場合、第１の利用者識別子を変換しなくてもよい。

識別子変換部１０５は、識別子変換した第１のトランザクション処理に係る情報を制御部１０４に送信する。また、識別子変換部１０５は、識別子変換の前後における第１のトランザクション処理に係る情報、及び当該変換に係るログの生成指示をログ生成部１０８に送信する。ログ生成部１０８は、ログの生成指示に基づいて、当該変換に係るログを生成し、当該ログをログＤＢ１０１に書き込む（ＳＴ３２）。当該変換に係るログとしては、例えば、第１の利用者識別子（変換前）、第１の操作対象識別子（変換前）、第２の利用者識別子（変換後）、第３の操作対象識別子（変換後）、操作内容（例、読出）、利用者端末４０を示す送信元情報、情報管理装置１０を示す送信先情報、第１のトランザクション識別子及び日時情報などが適宜、使用可能となっている。なお、変換に係るログとしては、変換前のログと、変換後のログとを別々に生成してもよい。この場合、変換前のログとしては、例えば、第１の利用者識別子、第１の操作対象識別子、操作内容、利用者端末４０を示す送信元情報、情報管理装置１０を示す送信先情報、第１のトランザクション識別子及び日時情報などが適宜、使用可能となっている。変換後のログとしては、例えば、第２の利用者識別子、第３の操作対象識別子、操作内容、利用者端末４０を示す送信元情報、情報管理装置１０を示す送信先情報、第１のトランザクション識別子及び日時情報などが適宜、使用可能となっている。また、ログ生成部１０８は、変換前のログを非公開用のログＤＢに保存し、変換後のログを公開用のログＤＢに保存するというように、変換前のログと変換後のログとを別々のログＤＢに保存してもよい。

制御部１０４は、識別子変換された第１のトランザクション処理に係る情報に基づき、第３のトランザクション処理に係る情報を生成する。ここで、第３のトランザクション処理に係る情報は、例えば、第２の利用者識別子、第３の操作対象識別子、操作内容（例、識別子解決）、情報管理装置１０を示す送信元情報、操作対象識別子解決装置３０を示す送信先情報、第１のトランザクション識別子、及び第３のトランザクション識別子などが適宜、使用可能となっている。

制御部１０４は、当該第３のトランザクション処理に係る情報を送信部１０７に送信する。

送信部１０７は、当該第３のトランザクション処理に係る情報に基づき、第３のトランザクション処理を操作対象識別子解決装置３０と連携して実行する。具体的には例えば、送信部１０７は、第３のトランザクション処理に係る情報を含む識別子解決要求を操作対象識別子解決装置３０に送信する（ＳＴ３３）。第３のトランザクション処理は、情報管理装置１０が識別子解決要求を操作対象識別子解決装置３０に送信し、この識別子解決要求に応じた識別子解決応答を操作対象識別子解決装置３０が返信し、当該識別子解決応答を情報管理装置１０が受け付けるまでの一連の処理である。

また、送信部１０７は、第３のトランザクション処理に係る情報、及び当該第３のトランザクション処理の実行に係るログの生成指示をログ生成部１０８に送出する。

ログ生成部１０８は、このログの生成指示と第３のトランザクション処理に係る情報とに基づいて、当該第３のトランザクション処理の実行に係るログを生成し、当該ログをログＤＢ１０１に書き込む（ＳＴ３４）。第３のトランザクション処理の実行に係るログとしては、例えば、第２の利用者識別子、第３の操作対象識別子、操作内容、情報管理装置１０を示す送信元情報、操作対象識別子解決装置３０を示す送信先情報、第１のトランザクション識別子、第３のトランザクション識別子、及び日時情報などが適宜、使用可能となっている。

操作対象識別子解決装置３０の操作対象識別子解決部３０３は、第３のトランザクション処理に係る情報を含む識別子解決要求を受け付けると、当該受付けに係るログの生成指示をログ生成部３０４に送信する。ログ生成部３０４は、このログの生成指示に基づいて、受付けに係るログを生成し、当該ログをログＤＢ３０１に書き込む（ＳＴ３５）。

受付けに係るログとしては、例えば、識別子解決要求に含まれる第２の利用者識別子、第３の操作対象識別子、操作内容、情報管理装置１０を示す送信元情報、操作対象識別子解決装置３０を示す送信先情報及び日時情報などが適宜、使用可能となっている。

操作対象識別子解決部３０３は、識別子解決要求内の第３のトランザクション処理に係る情報に含まれる第３の操作対象識別子に基づいて、識別子解決情報記憶部３０２から操作対象識別子解決情報１００ｆを読出す。

操作対象識別子解決部３０３は、当該操作対象識別子解決情報１００ｆに基づき、第３のトランザクション処理に用いた第３の操作対象識別子を、第２のトランザクション処理に用いる第２の操作対象識別子に変換する（ＳＴ３６）。

操作対象識別子解決部３０３は、識別子変換の前後における第３のトランザクション処理に係る情報、及び当該変換に係るログの生成指示をログ生成部３０４に送信する。

ログ生成部３０４は、ログの生成指示に基づいて、当該変換に係るログを生成し、当該ログをログＤＢ３０１に書き込む（ＳＴ３７）。当該変換に係るログとしては、例えば、第２の利用者識別子、第３の操作対象識別子（変換前）、第２の操作対象識別子（変換後）、操作内容、情報管理装置１０を示す送信元情報、操作対象識別子解決装置３０を示す送信先情報、第１のトランザクション識別子、第３のトランザクション識別子及び日時情報などが適宜、使用可能となっている。

操作対象識別子解決部３０３は、識別子変換により得られた第２の操作対象識別子と、識別子変換前の第３のトランザクション処理に係る情報とに基づき、識別子解決応答を情報管理装置１０に送信する（ＳＴ３８）。識別子解決応答は、例えば、第２の利用者識別子、第２の操作対象識別子（変換後）、操作内容（識別子変換）、操作対象識別子解決装置３０を示す送信元情報、情報管理装置１０を示す送信先情報、第１のトランザクション識別子、第３のトランザクション識別子、及び日時情報などを含んでいる。

また、この操作対象識別子解決部３０３は、識別子解決応答、及び当該識別子解決応答の送信に係るログの生成指示をログ生成部３０４に送出する。

ログ生成部３０４は、このログの生成指示と識別子解決応答とに基づいて、当該識別子解決応答の送信に係るログを生成し、当該ログをログＤＢ３０１に書き込む（ＳＴ３９）。識別子解決応答の送信に係るログとしては、例えば、第２の利用者識別子、第２の操作対象識別子、操作内容、操作対象識別子解決装置３０を示す送信元情報、情報管理装置１０を示す送信先情報、第１のトランザクション識別子、第３のトランザクション識別子、及び日時情報などが適宜、使用可能となっている。

情報管理装置１０においては、受付部１０３が、この識別子解決応答を受け付けると、当該受付けに係るログの生成指示をログ生成部１０８に送信する。ログ生成部１０８は、このログの生成指示に基づいて、受付けに係るログを生成し、当該ログをログＤＢ１０１に書き込む（ＳＴ４０）。

受付けに係るログとしては、例えば、識別子解決応答に含まれる第２の利用者識別子、第２の操作対象識別子、操作内容、操作対象識別子解決装置３０を示す送信元情報、情報管理装置１０を示す送信先情報、第１のトランザクション識別子、第３のトランザクション識別子、及び日時情報などが適宜、使用可能となっている。

情報管理装置１０の受付部１０３は、識別子解決応答を制御部１０４に送信する。

情報管理装置１０の制御部１０４は、識別子変換された第１のトランザクション処理に係る情報と、識別子解決応答とに基づき、第２のトランザクション処理に係る情報を生成する。ここで、第２のトランザクション処理に係る情報は、例えば、第２の利用者識別子、第２の操作対象識別子、操作内容（例、読出）、情報管理装置１０を示す送信元情報、情報管理装置２０を示す送信先情報、第１のトランザクション識別子及び第２のトランザクション識別子などが適宜、使用可能となっている。

制御部１０４は、当該第２のトランザクション処理に係る情報を送信部１０７に送信する。

送信部１０７は、当該第２のトランザクション処理に係る情報に基づき、第２のトランザクション処理を情報管理装置２０と連携して実行する。具体的には例えば、前述したステップＳＴ５が実行される。

以下、前述同様に、ステップＳＴ６〜ＳＴ１９が実行される。

上述したように本実施形態によれば、識別子解決をしない場合、情報管理装置１０は、利用者端末４０からのアクセスに基づき、第１のトランザクション処理に応じて、第２のトランザクション処理を情報管理装置２０との間で実行する。この場合、情報管理装置１０は、非公開用の第１の利用者識別子及び第１の操作対象識別子を、公開用の第２の利用者識別子及び第２の操作対象識別子に変換する。情報管理装置１０は、上記実行された第２のトランザクション処理に基づき、上記変換された第２の利用者識別子及び第２の操作対象識別子と、上記第１のトランザクション識別子及び上記第２のトランザクション識別子とが設定されたログを生成する第１のログ生成処理を実行する。上記情報管理装置２０は、上記実行された第２のトランザクション処理に基づき、上記変換された第２の利用者識別子及び第２の操作対象識別子と、上記第２のトランザクション識別子とが設定されたログを生成する第２のログ生成処理を実行する。このため、非公開の識別子を公開することなく、各情報処理装置１０，２０間のトランザクション処理をトレースすることができる。また、トランザクション間の順序関係も導くことができる。したがって、セキュリティを維持しつつ、トランザクション処理をトレースできるログを生成することができる。

また、上記変換処理が実行されると、情報管理装置１０は、上記第１の利用者識別子及び上記第１の操作対象識別子と、上記第２の利用者識別子及び上記第２の操作対象識別子とを、別々のログに生成する第３のログ生成処理を実行してもよい。この場合、公開用のログと、非公開のログとを別々に生成することができる。また、非公開のログについても、実識別子が設定されたログと、仮の識別子が設定されたログとを更に別々に生成することができる。したがって、更にセキュリティを向上することができる。

また、識別子解決をする場合、各情報管理装置１０，２０間において互いに識別不可能な第２及び第３の操作対象識別子を対応付けて記憶した操作対象識別子解決装置３０との第３のトランザクション処理により、情報管理装置１０は、情報管理装置２０の第２の操作対象識別子を操作対象識別子解決装置３０と共有する。このため、情報管理装置１０，２０間で公開用の識別子が異なる場合においても、セキュリティを維持しつつ、トランザクション処理をトレースできるログを生成することができる。

また同様に、上記変換処理が実行されると、情報管理装置１０において、上記第１の利用者識別子及び上記第１の操作対象識別子と、上記第２の利用者識別子及び上記第３の操作対象識別子とを、別々のログに生成する第６のログ生成処理を実行してもよい。この場合、公開用のログと、非公開のログとを別々に生成できる。また、非公開のログについても、実識別子が設定されたログと、仮の識別子が設定されたログとを更に別々に生成することができる。したがって、更にセキュリティを向上することができる。

一方、識別子解決の有無のいずれにしても、次の（i）〜（iii）に示す構成及び効果を得ることができる。

（i）上記第１の利用者識別子が仮利用者識別子の場合、上記第１の利用者識別子を変換しないようにしてもよい。これにより、利用者識別子が誰を指すのかが分からなくても、データアクセス自体は実行できるため、不要な識別子変換を省略することができる。

（ii）上記ログにおいて、上記各トランザクション処理における送信先を識別する送信先情報を更に含むようにしてもよい。これにより、データアクセスの経路を更に確認できる。したがって、更にセキュリティを向上することができる。

（iii）上記生成された各ログにおいて、時系列に整理可能な構成としてもよい。これにより、生成したログ履歴を使用してログトレースを実施する際に、ログトレースを容易に実行できる。

［第２の実施形態］
次に、この発明の第２の実施形態に係るログ生成システムについて説明する。第２の実施形態では、前述した図面と同一部分には同一符号を付してその詳しい説明を省略し、ここでは異なる部分について主に述べる。

具体的には、図１１に示すシーケンス図、及び図１２―図１６に示すログ履歴２００ａ―２００ｋを用いて説明する。なお、以下の説明では、ログ生成システム１は、図１７に示す如き、複数のサーバ装置で構成される複数のコミュニティ間における各サーバ装置間の各トランザクション処理について、それぞれ適用される場合について述べる。また、ログ生成システム１は、図１８―図２１に示す如き、各装置間のトランザクション処理の各識別子によるログトレースが実行される。

即ち、ログ生成システム１は、コミュニティＣ１，Ｃ２、操作対象識別子解決装置３０、及び利用者端末４０を備える。

コミュニティＣ１は、組織内サーバ装置Ａ，Ｂ、連携ゲートウェイ装置ＧＷ１、及びポータルサイト装置Ｐを備え、各装置Ａ，Ｂ，ＧＷ１，Ｐがそれぞれネットワークを介して接続されている。各装置Ａ，Ｂ，ＧＷ１，Ｐは、コミュニティＣ１内において同一の操作対象を識別可能であり、コミュニティＣ２内において識別不可能な仮操作対象識別子を共有している。また、各装置Ａ，Ｂ，ＧＷ１，Ｐは、情報管理装置１０又は情報管理装置２０として動作可能である。

コミュニティＣ２は、組織内サーバ装置Ｘ，Ｙ，Ｚ、及び連携ゲートウェイ装置ＧＷ２を備え、各装置Ｘ，Ｙ，Ｚ，ＧＷ２がそれぞれネットワークを介して接続されている。各装置Ｘ，Ｙ，Ｚ，ＧＷ２は、コミュニティＣ２内において同一の操作対象を識別可能であり、コミュニティＣ１内において識別不可能な仮操作対象識別子を共有している。また、各装置Ｘ，Ｙ，Ｚ，ＧＷ２は、情報管理装置１０又は情報管理装置２０として動作可能である。

各コミュニティＣ１，Ｃ２は、各連携ゲートウェイ装置ＧＷ１，ＧＷ２がネットワークを介して接続されており、各連携ゲートウェイ装置ＧＷ１，ＧＷ２を介して互いのコミュニティ内の各装置にアクセス可能である。各連携ゲートウェイ装置ＧＷ１，ＧＷ２は、それぞれのコミュニティ内で共通利用される仮操作対象識別子に対応付けられた、他コミュニティへ公開可能な仮操作対象識別子を管理する。ただし、当該各連携ゲートウェイ装置ＧＷ１，ＧＷ２がそれぞれ管理する他コミュニティへ公開可能な仮操作対象識別子は、他コミュニティが識別不可能な仮操作対象識別子である。

操作対象識別子解決装置３０は、各連携ゲートウェイ装置ＧＷ１，ＧＷ２が管理する他コミュニティへ公開可能な仮操作対象識別子を対応付ける操作対象識別子解決情報１００ｆを記憶する。操作対象識別子解決装置３０は、連携ゲートウェイ装置ＧＷ１，ＧＷ２との間で操作対象識別子解決に係るトランザクション処理を実行する。

利用者端末４０は、ポータルサイト装置Ｐに接続することで、コミュニティＣ１へアクセスする。

以下の説明では、以上のようなログ生成システム１において、利用者端末４０からコミュニティＣ１内のポータルサイト装置Ｐを介して、コミュニティＣ２内の組織内サーバ装置Ｚのデータへアクセスする場合について述べる。したがって、ポータルサイト装置Ｐ及び連携ゲートウェイ装置ＧＷ１は、トランザクション処理Ｔ１を実行し、連携ゲートウェイ装置ＧＷ１及び連携ゲートウェイ装置ＧＷ２は、トランザクション処理Ｔ２を実行する。また、連携ゲートウェイ装置ＧＷ１及び操作対象識別子解決装置３０は、トランザクション処理Ｔ３を実行し、連携ゲートウェイ装置ＧＷ２及び組織内サーバ装置Ｚは、トランザクション処理Ｔ４を実行するものとする。

始めに、利用者は、実利用者識別子である「usr_yamadataro19851023」を使用して、利用者端末４０からポータルサイト装置Ｐにログインする（ＳＴ１００）。ポータルサイト装置Ｐ内の受付部１０３は、ログインを受付け（ＳＴ１０１）、ログ生成部１０８は、当該ログイン受付に係るログを生成する（ＳＴ１０１−１）。

ポータルサイト装置Ｐ内の制御部１０４は、ポータルサイト装置Ｐにおいて実操作対象識別子「subj_satohanako19990701」で識別される組織内サーバ装置Ｚ内の操作対象に対するアクセス要求を生成する（ＳＴ１０２）。ポータルサイト装置Ｐ内の制御部１０４は、当該アクセス要求に基づき、トランザクション処理Ｔ１を実行する必要があると判定する。ポータルサイト装置Ｐは、トランザクション識別子として「potal_dataaccess_20141123110501」が設定されたトランザクション処理Ｔ１を生成する。ポータルサイト装置Ｐ内のログ生成部１０８は、当該アクセス要求に基づくトランザクション処理Ｔ１生成に係るログを生成する（ＳＴ１０２−１）。

ポータルサイト装置Ｐ内の識別子変換部１０５は、トランザクション処理Ｔ１に係る情報内の実利用者識別子及び実操作対象識別子を、仮利用者識別子「common_usr_01」及び仮操作対象識別子「common_subj_91」に識別子変換する（ＳＴ１０３）。なお、識別子変換された仮利用者識別子及び仮操作対象識別子は、コミュニティＣ１外部には非公開であり、コミュニティＣ１内で同一の利用者及び操作対象を識別可能な識別情報である。

ポータルサイト装置Ｐ内のログ生成部１０８は、当該識別子変換に係るログを生成する（ＳＴ１０３−１）。なお、ポータルサイト装置Ｐ内のログ生成部１０８は、実利用者識別子及び実操作対象識別子と、コミュニティＣ１の非公開用の仮利用者識別子及び仮操作対象識別子とを、別々のログに生成してもよい（ＳＴ１０３−２）。

ポータルサイト装置Ｐ内の制御部１０４は、連携ゲートウェイ装置ＧＷ１との間でトランザクション処理Ｔ１を実行する。ポータルサイト装置Ｐ内の送信部１０７は、連携ゲートウェイ装置ＧＷ１にアクセス要求を送信し（ＳＴ１０４）、当該アクセス要求送信に係るログを生成する（ＳＴ１０４−１）。

なお、ポータルサイト装置Ｐ内のログＤＢ１０１は、図１２（Ａ）に示す如き、実利用者識別子及び実操作対象者識別子を含むログ履歴２００ａと、図１２（Ｂ）に示す如き、仮利用者識別子及び仮操作対象識別子を含むログ履歴２００ｂとを分けて記憶してもよい。また、ログ履歴２００ａ，２００ｂは、いずれも監査ログとして外部に非公開のログとして記憶されていてもよい。

連携ゲートウェイ装置ＧＷ１内の受付部１０３は、アクセス要求を受信し、トランザクション処理Ｔ１を受付け（ＳＴ１０５）、ログ生成部１０８は、当該受付けに係るログを生成する（ＳＴ１０５−１）。また、連携ゲートウェイ装置ＧＷ１内の制御部１０４は、当該トランザクション処理Ｔ１に応じて、連携ゲートウェイ装置ＧＷ２との間でトランザクション処理Ｔ２を実行する必要があると判定する。したがって、トランザクション処理Ｔ１及びトランザクション処理Ｔ２の関係は、第１のトランザクション処理及び第２のトランザクション処理と見なせる。また、当該関係において、トランザクション処理Ｔ１に係る情報内のコミュニティＣ１の非公開用の仮利用者識別子及び仮操作対象識別子は、それぞれ第１の利用者識別子及び第１の操作対象識別子と見なせる。

連携ゲートウェイ装置ＧＷ１内の識別子変換部１０５は、当該受付けたトランザクション処理Ｔ１に係る情報内の仮利用者識別子及び仮操作対象識別子を、新たな仮利用者識別子及び仮操作対象識別子に識別子変換する（ＳＴ１０６）。なお、新たな仮利用者識別子及び仮操作対象識別子は、コミュニティＣ１の外部に公開可能な、公開用の仮利用者識別子「nw1_usr_yamadataro」及び仮操作対象識別子「nw1_subj_0091」である。なお、当該コミュニティＣ１の公開用の仮操作対象識別子は、コミュニティＣ２内では同一の操作対象を識別不可能となっている。

連携ゲートウェイ装置ＧＷ１内のログ生成部１０８は、当該識別子変換に係るログを生成する（ＳＴ１０６−１）。なお、ログ生成部１０８は、識別子変換前のコミュニティＣ１の非公開用の仮利用者識別子及び仮操作対象識別子と、識別子変換後のコミュニティＣ１の非公開用の仮利用者識別子及び仮操作対象識別子とを、別々のログに生成してもよい（ＳＴ１０６−２）。

連携ゲートウェイ装置ＧＷ１内の制御部１０４は、識別子変換されたトランザクション処理Ｔ１に係る情報内の操作対象識別子が連携ゲートウェイ装置ＧＷ２において識別不可能であると判定する。したがって、トランザクション処理Ｔ１，Ｔ２の関係において、識別子変換されたトランザクション処理Ｔ１に係る情報内の仮利用者識別子及び仮操作対象識別子は、それぞれ第２の利用者識別子及び第３の操作対象識別子と見なせる。

連携ゲートウェイ装置ＧＷ１内の制御部１０４は、当該識別子変換されたトランザクション処理Ｔ１に係る情報に基づき、トランザクション処理Ｔ１に応じて操作対象識別子解決装置３０との間で実行されるトランザクション処理Ｔ３に係る情報を生成し、当該処理の実行を制御する。したがって、トランザクション処理Ｔ１及びトランザクション処理Ｔ３の関係は、第１のトランザクション処理及び第３のトランザクション処理と見なせる。なお、トランザクション処理Ｔ３を識別するトランザクション識別情報として、トランザクション識別子「gw1_subj.no.resolve_20141123110502」が設定される。

連携ゲートウェイ装置ＧＷ１内の識別子解決部１０６は、操作対象識別子解決装置３０との間でトランザクション処理Ｔ３を実行し、コミュニティＣ２において、コミュニティＣ１の仮操作対象識別子と同一の操作対象を識別可能な仮操作対象識別子を共有することで識別子解決を実行する。具体的には、連携ゲートウェイ装置ＧＷ１及び操作対象識別子解決装置３０は、以下のステップ（ＳＴ１０７−ＳＴ１１１）を実行する。なお、トランザクション処理Ｔ１，Ｔ２，Ｔ３の関係において、当該共有されるコミュニティＣ２の仮操作対象識別子は、第２の操作対象識別子と見なせる。

連携ゲートウェイ装置ＧＷ１内の識別子解決部１０６は、トランザクション処理Ｔ３に係る情報を送信し、識別子解決を問合わせる（ＳＴ１０７）。

操作対象識別子解決部３０３は、トランザクション処理Ｔ３に係る情報を受信し、識別子解決の問合わせを受付ける（ＳＴ１０８）。操作対象識別子解決部３０３は、トランザクション処理Ｔ３に係る情報からコミュニティＣ１の公開用の仮操作対象識別子「nw1_usr_yamadataro」を抽出する。操作対象識別子解決部３０３は、識別子解決情報記憶部３０２から抽出したコミュニティＣ１の公開用の仮操作対象識別子に対応するコミュニティＣ２の公開用の仮操作対象識別子「nw2_c.subj.no_a2091」を検索する（ＳＴ１０９）。操作対象識別子解決部３０３は、検索したコミュニティＣ２の公開用の仮操作対象識別子を識別子解決部１０６に送信することで連携ゲートウェイ装置ＧＷ１と共有し、操作対象識別子の識別子解決を実行する（ＳＴ１１０）。また、ログ生成部３０４は、トランザクション処理Ｔ３に係るログを生成する（ＳＴ（１０７−１１１）−１）。なお、当該生成されたトランザクション処理Ｔ３に係るログは、図１４に示す如き、外部に公開可能なログ履歴２００ｆとしてログＤＢ３０１に記憶される。

連携ゲートウェイ装置ＧＷ１内の識別子解決部１０６は、問合わせの結果、コミュニティＣ２の公開用の仮操作対象識別子を受信することで共有し、トランザクション処理Ｔ３の実行を完了する（ＳＴ１１１）。連携ゲートウェイ装置ＧＷ１内のログ生成部１０８は、トランザクション処理Ｔ３に係るログを生成する（ＳＴ（１０７−１１１）−２）。

連携ゲートウェイ装置ＧＷ１内の制御部１０４は、識別子変換されたトランザクション処理Ｔ１に係る情報、及び識別子解決されたコミュニティＣ２の公開用の仮操作対象識別子に基づき、トランザクション処理Ｔ２に係る情報を生成し、当該トランザクション処理Ｔ２を実行するように制御する。なお、トランザクション処理Ｔ２は、トランザクション識別子「gw1_xgwdataaccess_20141123110503」が設定される。

連携ゲートウェイ装置ＧＷ１内の送信部１０７は、トランザクション処理Ｔ２に基づき、連携ゲートウェイ装置ＧＷ２にアクセス要求を送信する（ＳＴ１１２）。連携ゲートウェイ装置ＧＷ１内のログ生成部１０８は、当該アクセス要求送信に係るログを生成する（ＳＴ１１２−１）。

なお、連携ゲートウェイ装置ＧＷ１内のログＤＢ１０１は、図１３（Ａ）に示す如き、コミュニティＣ１の非公開用の仮利用者識別子及び仮操作対象者識別子を含むログ履歴２００ｃと、図１３（Ｂ）に示す如き、コミュニティＣ１の公開用の仮利用者識別子及び仮操作対象識別子を含むログ履歴２００ｄとを分けて記憶してもよい。

また、連携ゲートウェイ装置ＧＷ１は、当該装置ＧＷ１内でのみ使用される実利用者識別子「gw1_usr_yamadataro」及び実操作対象識別子「gw1_subj_satohanako」を記憶していてもよい。また、連携ゲートウェイ装置ＧＷ１内のログＤＢ１０１は、図１３（Ｃ）に示す如き、連携ゲートウェイ装置ＧＷ１内で実行された各トランザクション処理Ｔ１，Ｔ２，Ｔ３に対して、当該実利用者識別子及び実操作対象識別子が設定されたログ履歴２００ｅを更に記憶してもよい。ログ履歴２００ｅは、他のログ履歴２００ｃ，２００ｄと分けて記憶されてもよく、コミュニティＣ１内の他の各装置Ａ，Ｂ，Ｐに非公開となるよう設定されてもよい。

連携ゲートウェイ装置ＧＷ２内の受付部１０３は、アクセス要求を受信し、トランザクション処理Ｔ２を受付け（ＳＴ１１３）、ログ生成部１０８は、当該受付けに係るログを生成する（ＳＴ１１３−１）。また、連携ゲートウェイ装置ＧＷ２内の制御部１０４は、当該トランザクション処理Ｔ２に応じて、組織内サーバ装置Ｚとの間で新たなトランザクション処理Ｔ４を実行する必要があると判定する。したがって、トランザクション処理Ｔ２及びトランザクション処理Ｔ４の関係は、第１のトランザクション処理及び第２のトランザクション処理と見なせる。また、当該関係において、トランザクション処理Ｔ２に係る情報内のコミュニティＣ２の公開用の仮利用者識別子及び仮操作対象識別子は、それぞれ第１の利用者識別子及び第１の操作対象識別子と見なせる。

連携ゲートウェイ装置ＧＷ２内の識別子変換部１０５は、当該受付けたトランザクション処理Ｔ２に係る情報内のコミュニティＣ２の公開用の仮操作対象識別子を、新たな仮操作対象識別子に識別子変換する（ＳＴ１１４）。また、連携ゲートウェイ装置ＧＷ２内の識別子変換部１０５は、当該受付けたトランザクション処理Ｔ２に係る情報内のコミュニティＣ２の公開用の利用者識別子が仮利用者識別子であるため、当該仮利用者識別子を変換しなくてもよい。なお、新たな仮操作対象識別子は、コミュニティ外部には非公開であり、コミュニティＣ２内で同一の操作対象を識別可能な仮操作対象識別子「c.subjno_091」である。連携ゲートウェイ装置ＧＷ２内のログ生成部１０８は、当該識別子変換に係るログを生成する（ＳＴ１１４−１）。なお、ログ生成部１０８は、コミュニティＣ２の公開用の仮操作対象識別子と、コミュニティＣ２の非公開用の仮操作対象識別子とを、別々のログに生成してもよい（ＳＴ１１４−２）。

連携ゲートウェイ装置ＧＷ２内の制御部１０４は、識別子変換されたトランザクション処理Ｔ２に係る情報内の操作対象識別子が組織内サーバ装置Ｚにおいて識別可能であると判定する。

連携ゲートウェイ装置ＧＷ２内の制御部１０４は、識別子変換されたトランザクション処理Ｔ２に係る情報に基づき、トランザクション処理Ｔ４に係る情報を生成し、当該トランザクション処理Ｔ４を実行するように制御する。なお、トランザクション処理Ｔ４は、トランザクション識別子「gw2_dataaccess_20141123110504」が設定される。

連携ゲートウェイ装置ＧＷ２内の送信部１０７は、トランザクション処理Ｔ４に基づき、組織内サーバ装置Ｚにアクセス要求を送信する（ＳＴ１１５）。連携ゲートウェイ装置ＧＷ２内のログ生成部１０８は、当該アクセス要求送信に係るログを生成する（ＳＴ１１５−１）。

なお、連携ゲートウェイ装置ＧＷ２内のログＤＢ１０１は、図１５（Ａ）に示す如き、コミュニティＣ２の公開用の仮利用者識別子及び仮操作対象者識別子を含むログ履歴２００ｇと、図１５（Ｂ）に示す如き、コミュニティＣ２の非公開用の仮利用者識別子及び仮操作対象識別子を含むログ履歴２００ｈとを分けて記憶してもよい。

また、連携ゲートウェイ装置ＧＷ２は、当該装置ＧＷ２内でのみ使用される実操作対象識別子「gw2_subj.satohanako」を記憶していてもよい。また、連携ゲートウェイ装置ＧＷ２内のログＤＢ１０１は、図１５（Ｃ）に示す如き、連携ゲートウェイ装置ＧＷ２内で実行された各トランザクション処理Ｔ２，Ｔ４に対して、当該実操作対象識別子が設定されたログ履歴２００ｉを更に記憶してもよい。ログ履歴２００ｉは、他のログ履歴２００ｇ，２００ｈと分けて記憶されてもよく、コミュニティＣ２内の他の各装置Ｘ，Ｙ，Ｚに非公開となるよう設定されてもよい。

組織内サーバ装置Ｚ内の受付部１０３は、アクセス要求を受信し、トランザクション処理Ｔ４を受付け（ＳＴ１１６）、ログ生成部１０８は、当該受付けに係るログを生成する（ＳＴ１１６−１）。

組織内サーバ装置Ｚ内の制御部１０４は、当該アクセス要求に基づき、アクセス要求処理を実行する。具体的には、組織内サーバ装置Ｚ内の制御部１０４は、以下のステップ（ＳＴ１１７−ＳＴ１１８）を実行する。

組織内サーバ装置Ｚ内の識別子変換部１０５は、トランザクション処理Ｔ４に係る情報内のコミュニティＣ２内の非公開用の仮操作対象識別子を、実操作対象識別子「subj.no_hanako.sat」に識別子変換する（ＳＴ１１７）。なお、識別子変換された実操作対象識別子は、組織内サーバ装置Ｚの外部には非公開であり、組織内サーバ装置Ｚ内でアクセス処理を実行するための識別情報である。組織内サーバ装置Ｚ内のログ生成部１０８は、当該識別子変換に係るログを生成する（ＳＴ１１７−１）。

組織内サーバ装置Ｚ内の識別子変換部１０５は、トランザクション処理Ｔ４に基づき、要求されたアクセスを処理する（ＳＴ１１８）。組織内サーバ装置Ｚ内のログ生成部１０８は、当該アクセス要求処理に係るログを生成する（ＳＴ１１８−１）。

なお、組織内サーバ装置Ｚ内のログＤＢ１０１は、図１６（Ａ）に示す如き、仮操作対象者識別子を含むログ履歴２００ｊと、図１６（Ｂ）に示す如き、実操作対象識別子を含むログ履歴２００ｋとを分けて記憶してもよい。

組織内サーバ装置Ｚ内の送信部１０７は、トランザクション処理Ｔ４に基づき、連携ゲートウェイ装置ＧＷ２にアクセス応答を送信する（ＳＴ１１９）。組織内サーバ装置Ｚ内のログ生成部１０８は、当該アクセス応答送信に係るログを生成する（ＳＴ１１９−１）。

連携ゲートウェイ装置ＧＷ２内の受付部１０３は、アクセス応答を受信し、トランザクション処理Ｔ４を受付け（ＳＴ１２０）、ログ生成部１０８は、当該受付けに係るログを生成する（ＳＴ１２０−１）。

連携ゲートウェイ装置ＧＷ２内の制御部１０４は、当該アクセス応答に基づき、アクセス応答処理を実行する。具体的には、連携ゲートウェイ装置ＧＷ２内の制御部１０４は、以下のステップ（ＳＴ１２１）を実行する。

連携ゲートウェイ装置ＧＷ２内の識別子変換部１０５は、トランザクション処理Ｔ４に係る情報内のコミュニティＣ２内の非公開用の仮操作対象識別子を、トランザクション処理Ｔ２に係る情報内のコミュニティＣ２の公開用の仮操作対象識別子に識別子変換する（ＳＴ１２１）。連携ゲートウェイ装置ＧＷ２内のログ生成部１０８は、当該識別子変換に係るログを生成する（ＳＴ１２１−１）。なお、ログ生成部１０８は、コミュニティＣ２の公開用の仮操作対象識別子と、コミュニティＣ２の非公開用の仮操作対象識別子とを、別々のログに生成してもよい（ＳＴ１２１−２）。

連携ゲートウェイ装置ＧＷ２内の送信部１０７は、トランザクション処理Ｔ２に基づき、連携ゲートウェイ装置ＧＷ１にアクセス応答を送信する（ＳＴ１２２）。連携ゲートウェイ装置ＧＷ２内のログ生成部１０８は、当該アクセス応答送信に係るログを生成する（ＳＴ１２２−１）。

連携ゲートウェイ装置ＧＷ１内の受付部１０３は、アクセス応答を受信し、トランザクション処理Ｔ２を受付け（ＳＴ１２３）、ログ生成部１０８は、当該受付けに係るログを生成する（ＳＴ１２３−１）。

連携ゲートウェイ装置ＧＷ１内の制御部１０４は、当該アクセス応答に基づき、アクセス応答処理を実行する。具体的には、連携ゲートウェイ装置ＧＷ１内の制御部１０４は、以下のステップ（ＳＴ１２４）を実行する。

連携ゲートウェイ装置ＧＷ１内の識別子変換部１０５は、トランザクション処理Ｔ２に係る情報内のコミュニティＣ２内の公開用の仮操作対象識別子を、トランザクション処理Ｔ１に係る情報内のコミュニティＣ１の非公開用の仮操作対象識別子に識別子変換する。また、連携ゲートウェイ装置ＧＷ１内の識別子変換部１０５は、トランザクション処理Ｔ２に係る情報内のコミュニティＣ１内の公開用の仮利用者識別子を、トランザクション処理Ｔ１に係る情報内のコミュニティＣ１の非公開用の仮利用者識別子に識別子変換する（ＳＴ１２４）。連携ゲートウェイ装置ＧＷ１内のログ生成部１０８は、当該識別子変換に係るログを生成する（ＳＴ１２４−１）。なお、ログ生成部１０８は、コミュニティＣ２の公開用の仮操作対象識別子と、コミュニティＣ１の非公開用の仮操作対象識別子とを、別々のログに生成してもよい（ＳＴ１２４−２）。

連携ゲートウェイ装置ＧＷ１内の送信部１０７は、トランザクション処理Ｔ１に基づき、ポータルサイトＰにアクセス応答を送信する（ＳＴ１２５）。連携ゲートウェイ装置ＧＷ１内のログ生成部１０８は、当該アクセス応答送信に係るログを生成する（ＳＴ１２５−１）。

ポータルサイトＰ内の受付部１０３は、アクセス応答を受信し、トランザクション処理Ｔ１を受付け（ＳＴ１２６）、ログ生成部１０８は、当該受付けに係るログを生成する（ＳＴ１２６−１）。

ポータルサイトＰ内の制御部１０４は、当該アクセス応答に基づき、アクセス応答処理を実行する。具体的には、ポータルサイトＰ内の制御部１０４は、以下のステップ（ＳＴ１２７）を実行する。

ポータルサイトＰ内の識別子変換部１０５は、トランザクション処理Ｔ１に係る情報内のコミュニティＣ１内の非公開用の仮操作対象識別子及び利用者識別子を、トランザクション処理Ｔ１に係る情報内のコミュニティＣ１の非公開用の実操作対象識別子及び実利用者識別子に識別子変換する（ＳＴ１２７）。ポータルサイトＰ内のログ生成部１０８は、当該識別子変換に係るログを生成する（ＳＴ１２７−１）。なお、ログ生成部１０８は、コミュニティＣ１の非公開用の仮操作対象識別子及び仮利用者識別子と、コミュニティＣ１の非公開用の実操作対象識別子及び実利用者識別子とを、別々のログに生成してもよい（ＳＴ１２７−２）。

ポータルサイトＰ内の送信部１０７は、トランザクション処理Ｔ１に基づき、利用者端末４０にアクセス応答を送信する（ＳＴ１２８）。ポータルサイトＰ内のログ生成部１０８は、当該アクセス応答送信に係るログを生成する（ＳＴ１２８−１）。

利用者端末４０は、アクセス応答を受信し（ＳＴ１２９）、当該アクセス応答に基づき、アクセス応答結果を表示する（ＳＴ１３０）。

以上詳述したように、第２の実施形態では、ログ生成システム１は、利用者端末４０からのアクセスに基づくトランザクション処理に応じて、第１のサーバ装置及び第２のサーバ装置間（Ｐ−ＧＷ１間，ＧＷ１−ＧＷ２間，ＧＷ２−Ｚ間）で（繰り返し）実行されるトランザクション処理Ｔ１，Ｔ２，Ｔ４をトレースするログを生成する、上記各サーバ装置を備える。上記ログは、利用者を識別する利用者識別情報、操作対象を識別する操作対象識別情報、及び前記トランザクション処理を識別するトランザクション識別情報を含む。上記第１のサーバ装置は、第１の利用者識別子と、上記第１の利用者識別子と同一の利用者を示す識別情報である第２の利用者識別子とを対応付けて記憶する第１の記憶処理を実行する。第１の操作対象識別子と、上記第１の操作対象識別子と同一の操作対象を示す識別情報であり、上記第２のサーバ装置においても上記同一の操作対象を識別可能な第２の操作対象識別子とを対応付けて記憶する第２の記憶処理を実行する。上記利用者端末からのアクセスに基づき、上記第１の利用者識別子で識別される利用者からの上記第１の操作対象識別子で識別される操作対象の情報に関する第１のトランザクション識別子で識別される第１のトランザクション処理に応じて、第２のトランザクション識別子で識別される第２のトランザクション処理が上記第２のサーバ装置との間で実行される場合、上記第１の記憶処理及び上記第２の記憶処理に基づき、上記第１の利用者識別子及び上記第１の操作対象識別子を、上記第２の利用者識別子及び上記第２の操作対象識別子に変換する。上記実行された第２のトランザクション処理に基づき、上記変換された第２の利用者識別子及び第２の操作対象識別子と、上記第１のトランザクション識別子及び上記第２のトランザクション識別子とが設定されたログを生成する第１のログ生成処理を実行する。上記第２のサーバ装置は、上記実行された第２のトランザクション処理に基づき、上記変換された第２の利用者識別子及び第２の操作対象識別子と、上記第２のトランザクション識別子とが設定されたログを生成する第２のログ生成処理を実行するようにしている。

したがって、セキュリティを維持しつつ、トランザクション処理をトレースできるログを生成することができる。

補足すると、各サーバ装置は、第２の利用者識別子、第２の操作対象識別子、及び第２のトランザクション識別子が設定されたログを公開用に生成する。第２の利用者識別子及び第２の操作対象識別子は仮の識別子であるため、各サーバ装置間のトランザクション処理において、いつ、だれが、どの人・物のデータに対して、何の操作をしたかを、内部処理を公開することなく、事後検証することができる。また、公開される情報は、データアクセスを実行するために必要な各サーバ装置間の通信において、どの装置が何の要求又は応答を送信又は受信したかを知るための最低限の情報である。したがって、セキュリティを維持することができる。

また、第１のサーバ装置は、第１のトランザクション識別子が更に設定されたログを公開用に生成する。したがって、複数のトランザクション処理を紐づけることができるため、トランザクション処理をトレースできるログを生成することができる。

また、上記第２の記憶処理において、上記第２の操作対象識別子に代えて、上記第１の操作対象識別子と同一の操作対象を示す識別子であり、上記第２のサーバ装置において上記同一の操作対象を識別不可能な第３の操作対象識別子を記憶する。上記変換処理は、上記第２の操作対象識別子に代えて、上記第３の操作対象識別子に変換する。上記第１のトランザクション処理に応じて、上記第１のサーバ装置と第３のトランザクション識別子で識別される第３のトランザクション処理を連携して実行する第３のサーバ装置（３０）を更に備える。上記第３のサーバ装置は、上記第３の操作対象識別子と、上記第３の操作対象識別子と同一の操作対象を示す識別情報であり、上記第２のサーバ装置においても上記同一の操作対象を識別可能な第２の操作対象識別子とを対応付けて記憶する第３の記憶処理を実行する。上記第１のサーバ装置及び上記第３のサーバ装置は、上記変換された第３の操作対象識別子に基づき、上記第３のトランザクション処理を実行し、上記第３のサーバ装置に記憶された第２の操作対象識別子を上記第１のサーバ装置と共有し、識別子解決する識別子解決機能を更に備える。上記第１のサーバ装置は、上記実行された第３のトランザクション処理に基づき、上記変換された第２の利用者識別子及び第３の操作対象識別子と、上記共有された第２の操作対象識別子と、上記第１のトランザクション識別子及び上記第３のトランザクション識別子とが設定されたログを生成する第３のログ生成機能を更に備える。上記第３のサーバ装置は、上記実行された第３のトランザクション処理に基づき、上記変換された第２の利用者識別子及び第３の操作対象識別子と、上記共有された第２の操作対象識別子と、上記第３のトランザクション識別子とが設定されたログを生成する第４のログ生成処理を更に実行する。

これにより、第１のサーバ装置と第２のサーバ装置との間で異なる仮の操作対象識別子を記憶している場合においても、操作対象識別子解決装置３０と第３のトランザクション処理を実行することで、各サーバ装置間で仮の操作対象識別子を共有することができる。したがって、セキュリティを維持しつつ、トランザクション処理をトレースできるログを生成することができる。

また、上記変換処理が実行されると、上記第１のサーバ装置において、上記第１の利用者識別子及び上記第１の操作対象識別子と、上記第２の利用者識別子及び上記第２の操作対象識別子とを、別々のログに生成する第３のログ生成処理を実行するようにしている。

これにより、公開用のログと、非公開のログとを別々に生成することができる。また、非公開のログについても、実識別子が設定されたログと、仮の識別子が設定されたログとを更に別々に生成することができる。したがって、更にセキュリティを向上することができる。

また、上記第１の利用者識別子が仮利用者識別子の場合、上記第１の利用者識別子を、上記第２の利用者識別子に変換しないようにしている。

これにより、利用者識別子が誰を指すのかが分からなくても、データアクセス自体は実行できるため、不要な識別子変換を省略することができる。

また、上記ログにおいて、上記各トランザクション処理における送信先を識別する送信先情報を更に含むようにしている。

これにより、データアクセスの経路を更に確認することができる。したがって、更にセキュリティを向上することができる。

また、上記生成された各ログにおいて、時系列に整理可能であるようにしている。

これにより、生成したログ履歴を使用してログトレースを実施する際に、ログトレースが容易に実行できる。

その他、ログ生成システムの構成や機能、通信手段、処理手順と処理内容などについても、この発明の要旨を逸脱しない範囲で種々変形して実施可能である。

要するにこの発明は、上記実施形態そのままに限定されるものではなく、実施段階ではその要旨を逸脱しない範囲で構成要素を変形して具体化できる。また、上記実施形態に開示されている複数の構成要素の適宜な組み合せにより種々の発明を形成できる。例えば、実施形態に示される全構成要素から幾つかの構成要素を削除してもよい。さらに、異なる実施形態に亘る構成要素を適宜組み合せてもよい。

１…ログ生成システム、１０，２０…情報管理装置、３０…操作提唱識別子解決装置、４０…利用者端末、５０，６０…ネットワーク、１０１，３０１…ログＤＢ、１０２…識別情報記憶部、１０３…受付部、１０４…制御部、１０５…識別子変換部、１０６…識別子解決部、１０７…送信部、１０８，３０４…ログ生成部、３０２…識別子解決情報記憶部、３０３…操作対象識別子解決部、１００ａ…ログ、１００ｂ…利用者識別情報、１００ｃ，１００ｄ，１００ｅ…操作対象識別情報、１００ｆ…操作対象識別子解決情報、２００ａ，２００ｂ，２００ｃ，２００ｄ，２００ｅ，２００ｆ，２００ｇ，２００ｈ，２００ｉ，２００ｊ，２００ｋ…ログ履歴。

Claims (9)

1. 利用者端末からのアクセスに基づくトランザクション処理に応じて、第１のサーバ装置及び第２のサーバ装置の間で実行されるトランザクション処理をトレースするログを生成する、前記各サーバ装置を備えるログ生成システムであって、
   前記ログは、利用者を識別する利用者識別情報、操作対象を識別する操作対象識別情報、及び前記トランザクション処理を識別するトランザクション識別情報を含み、
   前記第１のサーバ装置は、
   第１の利用者識別子と、前記第１の利用者識別子と同一の利用者を示す利用者識別情報である第２の利用者識別子とを対応付けて記憶する第１の記憶手段と、
   第１の操作対象識別子と、前記第１の操作対象識別子と同一の操作対象を示す操作対象識別情報であり、前記第２のサーバ装置においても前記同一の操作対象を識別可能な第２の操作対象識別子とを対応付けて記憶する第２の記憶手段と、
   前記利用者端末からのアクセスに基づき、前記第１の利用者識別子で識別される利用者からの前記第１の操作対象識別子で識別される操作対象の情報に関する第１のトランザクション識別子で識別される第１のトランザクション処理に応じて、第２のトランザクション識別子で識別される第２のトランザクション処理が前記第２のサーバ装置との間で実行される場合、前記第１の記憶手段及び前記第２の記憶手段に基づき、前記第１のトランザクション処理に用いた前記第１の利用者識別子及び前記第１の操作対象識別子を、前記第２のトランザクション処理に用いる前記第２の利用者識別子及び前記第２の操作対象識別子に変換する識別子変換手段と、
   前記実行された第２のトランザクション処理に基づき、前記変換された第２の利用者識別子及び第２の操作対象識別子と、前記第１のトランザクション識別子及び前記第２のトランザクション識別子とが設定されたログを生成する第１のログ生成手段と、
   を備え、
   前記第２のサーバ装置は、前記実行された第２のトランザクション処理に基づき、前記変換された第２の利用者識別子及び第２の操作対象識別子と、前記第２のトランザクション識別子とが設定されたログを生成する第２のログ生成手段を備える
   ことを特徴とするログ生成システム。
2. 前記識別子変換手段が実行されると、前記第１のサーバ装置は、前記第１の利用者識別子及び前記第１の操作対象識別子と、前記第２の利用者識別子及び前記第２の操作対象識別子とを、別々のログに生成する第３のログ生成手段
   を更に備えることを特徴とする請求項１に記載のログ生成システム。
3. 前記第２の記憶手段は、前記第２の操作対象識別子に代えて、前記第１の操作対象識別子と同一の操作対象を示す識別子であり、前記第２のサーバ装置において前記同一の操作対象を識別不可能な第３の操作対象識別子を記憶し、
   前記識別子変換手段は、前記第２のトランザクション処理に用いる前記第２の操作対象識別子に代えて、第３のトランザクション処理に用いる前記第３の操作対象識別子に変換し、
   前記第１のトランザクション処理に応じて、前記第１のサーバ装置と第３のトランザクション識別子で識別される第３のトランザクション処理を連携して実行する第３のサーバ装置を更に備え、
   前記第３のサーバ装置は、前記第３の操作対象識別子と、前記第３の操作対象識別子と同一の操作対象を示す識別情報であり、前記第２のサーバ装置においても前記同一の操作対象を識別可能な第２の操作対象識別子とを対応付けて記憶する第３の記憶手段を備え、
   前記第１のサーバ装置及び前記第３のサーバ装置は、前記変換された第３の操作対象識別子に基づき、前記第３のトランザクション処理を実行し、前記第３のサーバ装置に記憶された第２の操作対象識別子を前記第１のサーバ装置と共有し、識別子解決する識別子解決手段を更に備え、
   前記第１のサーバ装置は、前記実行された第３のトランザクション処理に基づき、前記変換された第２の利用者識別子及び第３の操作対象識別子と、前記共有された第２の操作対象識別子と、前記第１のトランザクション識別子及び前記第３のトランザクション識別子とが設定されたログを生成する第４のログ生成手段を更に備え、
   前記第３のサーバ装置は、前記実行された第３のトランザクション処理に基づき、前記変換された第２の利用者識別子及び第３の操作対象識別子と、前記共有された第２の操作対象識別子と、前記第３のトランザクション識別子とが設定されたログを生成する第５のログ生成手段を更に備えたことを特徴とする請求項１に記載のログ生成システム。
4. 前記識別子変換手段が実行されると、前記第１のサーバ装置は、前記第１の利用者識別子及び前記第１の操作対象識別子と、前記第２の利用者識別子及び前記第３の操作対象識別子とを、別々のログに生成する第６のログ生成手段
   を更に備えることを特徴とする請求項３に記載のログ生成システム。
5. 前記識別子変換手段は、前記第１の利用者識別子が仮利用者識別子の場合、前記第１の利用者識別子を変換しないことを特徴とする請求項１乃至請求項４のいずれか１項に記載のログ生成システム。
6. 前記ログは、前記各トランザクション処理における送信先を識別する送信先情報を更に含むことを特徴とする請求項１乃至請求項５のいずれか１項に記載のログ生成システム。
7. 前記生成された各ログは、時系列に整理可能であることを特徴とする請求項１乃至請求項６のいずれか１項に記載のログ生成システム。
8. 利用者端末からのアクセスに基づくトランザクション処理に応じて、第１のサーバ装置及び第２のサーバ装置の間で実行されるトランザクション処理をトレースするログを生成する、前記各サーバ装置を備えるログ生成システムにおけるログ生成方法であって、
   前記ログは、利用者を識別する利用者識別情報、操作対象を識別する操作対象識別情報、及び前記トランザクション処理を識別するトランザクション識別情報を含み、
   前記第１のサーバ装置は、
   第１の利用者識別子と、前記第１の利用者識別子と同一の利用者を示す利用者識別情報である第２の利用者識別子とを対応付けて記憶する第１の記憶工程と、
   第１の操作対象識別子と、前記第１の操作対象識別子と同一の操作対象を示す操作対象識別情報であり、前記第２のサーバ装置においても前記同一の操作対象を識別可能な第２の操作対象識別子とを対応付けて記憶する第２の記憶工程と、
   前記利用者端末からのアクセスに基づき、前記第１の利用者識別子で識別される利用者からの前記第１の操作対象識別子で識別される操作対象の情報に関する第１のトランザクション識別子で識別される第１のトランザクション処理に応じて、第２のトランザクション識別子で識別される第２のトランザクション処理が前記第２のサーバ装置との間で実行される場合、前記第１の記憶工程及び前記第２の記憶工程に基づき、前記第１のトランザクション処理に用いた前記第１の利用者識別子及び前記第１の操作対象識別子を、前記第２のトランザクション処理に用いる前記第２の利用者識別子及び前記第２の操作対象識別子に変換する識別子変換工程と、
   前記実行された第２のトランザクション処理に基づき、前記変換された第２の利用者識別子及び第２の操作対象識別子と、前記第１のトランザクション識別子及び前記第２のトランザクション識別子とが設定されたログを生成する第１のログ生成工程と、
   を備え、
   前記第２のサーバ装置は、前記実行された第２のトランザクション処理に基づき、前記変換された第２の利用者識別子及び第２の操作対象識別子と、前記第２のトランザクション識別子とが設定されたログを生成する第２のログ生成工程を備える
   ことを特徴とするログ生成方法。
9. 利用者端末からのアクセスに基づくトランザクション処理に応じて、第１のサーバ装置及び第２のサーバ装置の間で実行されるトランザクション処理をトレースするログを生成する、前記各サーバ装置を備えるログ生成システムに用いられるログ生成プログラムであって、
   前記ログは、利用者を識別する利用者識別情報、操作対象を識別する操作対象識別情報、及び前記トランザクション処理を識別するトランザクション識別情報を含み、
   前記第１のサーバ装置を、
   第１の利用者識別子と、前記第１の利用者識別子と同一の利用者を示す利用者識別情報である第２の利用者識別子とを対応付けて記憶する第１の記憶手段、
   第１の操作対象識別子と、前記第１の操作対象識別子と同一の操作対象を示す操作対象識別情報であり、前記第２のサーバ装置においても前記同一の操作対象を識別可能な第２の操作対象識別子とを対応付けて記憶する第２の記憶手段、
   前記利用者端末からのアクセスに基づき、前記第１の利用者識別子で識別される利用者からの前記第１の操作対象識別子で識別される操作対象の情報に関する第１のトランザクション識別子で識別される第１のトランザクション処理に応じて、第２のトランザクション識別子で識別される第２のトランザクション処理が前記第２のサーバ装置との間で実行される場合、前記第１の記憶手段及び前記第２の記憶手段に基づき、前記第１のトランザクション処理に用いた前記第１の利用者識別子及び前記第１の操作対象識別子を、前記第２のトランザクション処理に用いる前記第２の利用者識別子及び前記第２の操作対象識別子に変換する識別子変換手段、
   前記実行された第２のトランザクション処理に基づき、前記変換された第２の利用者識別子及び第２の操作対象識別子と、前記第１のトランザクション識別子及び前記第２のトランザクション識別子とが設定されたログを生成する第１のログ生成手段、
   として機能させ、
   前記第２のサーバ装置を、前記実行された第２のトランザクション処理に基づき、前記変換された第２の利用者識別子及び第２の操作対象識別子と、前記第２のトランザクション識別子とが設定されたログを生成する第２のログ生成手段
   として機能させるためのプログラム。