JP5976149B1 - ログ生成システム、方法及びプログラム - Google Patents

Abstract

【課題】バッチ処理等によってアップロードされるデータについて、生成から削除までの間に実行される処理をトレースできるログを生成するシステム、方法及びプログラムを提供する。【解決手段】ログ生成システム１は、第１のサーバ装置１０（情報アップロード装置）及び第２のサーバ装置２０（情報公開装置）を備える。第１のサーバ装置１０は、データ更新処理に応じて、データ更新処理が実行された時刻を示す第１の時刻、操作対象識別子及び第１の利用者識別子を含む第１のログを生成する。また、実行されたアップロード処理に応じて、アップロード処理が実行された時刻を示す第２の時刻と、直近の第１の時刻及び操作対象識別子とを含む第２のログを生成する。第２のサーバ装置２０は、応答処理に応じて、応答処理が実行された時刻を示す第３の時刻と、通信要求及び通信応答内の第２の利用者識別子及び操作対象識別子とを含む第３のログを生成する。【選択図】図１

Description

この発明は、ログ生成システム、方法及びプログラムに関する。

コンピュータシステムのセキュリティ管理に関する技術の一つとして、管理者又は利用者等の操作者の操作を追跡するための情報を監査ログとして生成し、データベースに記憶する技術が知られている。この技術によれば、記憶された監査ログを事後検証することにより、コンピュータシステムへの不正アクセス又は改ざん等の事故が発生した場合、操作者の操作を追跡し、事故の原因を特定できる。

監査ログには、事後検証を行うために必要な情報として例えば、いつ、誰が、どの人・物のデータに対して、何の操作をしたか、の情報が生成される。

例えば、特許文献１には、ログを一元的かつ安全に収集し、利用者がログを効率よく閲覧することができるログ収集システムが提案されている。

特許文献２には、複数のサーバに蓄積されたアクセスログを安全に管理し、検索する人の立場に応じて簡単に閲覧できるアクセス履歴提供システムが提案されている。

しかしながら、上記のような技術は、複数のシステムが連携して動作する場合、各々のシステムの監査ログは独立して記録されるため、どのシステム間でデータアクセスが実行されたかを監査ログから追跡できない、という不都合がある。

したがって、操作者の操作に関して、複数のシステムが連携して動作する場合、システム間で送受信した通信を識別するトランザクション識別子が更に監査ログとして記憶される。また、トランザクション処理同士が連携して実行される親子関係にある場合、子トランザクション処理が実行されたときの監査ログに、親トランザクション処理のトランザクション識別子を生成することで、順序関係を導くことができる。

特許文献３には、ユーザ端末からのログインに応じて、当該ログインからログアウトまでの期間に限り有効となるログ結合識別子を発行して他のサーバへ通知し、各サーバは自己の動作記録を表すログを作成する際に、当該ログにログ結合識別子を含める機能を有するログ管理システムが提案されている。

特開２０１３−０８４２１２号公報 特許第５５９３３７０号公報 特許第４８２０９００号公報

しかしながら、ログ結合識別子を含める技術は、トランザクション処理同士を時系列に整理することはできるものの、あるシステムから別のシステムへ１又は複数個のデータが一括してアップロードされた場合、各データが、いつ、誰が、アップロードしたどのデータか、を追跡することができない。

即ち、本発明者の検討によれば、バッチ処理等により１又は複数個のデータが一括してアップロードされる場合、アップロードの実行者としては、各データを生成した個人ではなく、アップロードを実行した装置を示す識別子がログに出力される。したがって、アップロードされたデータの、アップロード以前の生成・更新履歴を辿る場合、アップロードに係るログからは、いつ、誰が、どのような処理をした、どのデータがアップロードされたか、を追跡することができない、と言う不都合がある。

また、アップロードされたデータの、アップロード以前の生成・更新履歴を追跡する場合、データ生成・更新時のログと、バッチ処理等によるアップロード時のログとを組み合わせることにより、追跡することができる可能性がある。

しかしながら、本発明者の検討によれば、バッチ処理等によるアップロード時のログと、データ生成・更新時のログとは、従来、紐づくように設計されていない、と言う不都合がある。

即ち、従来の技術は、バッチ処理等によってアップロードされるデータについて、生成から削除までの間に実行される処理をトレース（追跡）できるログを生成することができない。

この発明は上記事情に着目してなされたもので、その目的とするところは、バッチ処理等によってアップロードされるデータについて、生成から削除までの間に実行される処理をトレースできるログを生成できるようにしたログ生成システム、方法及びプログラムを提供することにある。

上記目的を達成するためにこの発明の第１の観点は、以下のような構成要素を備える。すなわち、ログ生成システムは、第１のサーバ装置から第２のサーバ装置にアップロード処理され、外部ネットワークからの通信要求に対して応答処理されるデータに対して実行された各々の処理をトレースするためのログを生成する、上記各サーバ装置を備える。上記第１のサーバ装置は、第１の利用者の操作によって入力された指示に基づき、前記データへのデータ更新処理を実行する。上記データを識別する操作対象識別子と、上記第１の利用者を識別する第１の利用者識別子とを記憶する。上記データに対して実行された上記データ更新処理に応じて、上記データ更新処理が実行された時刻を示す第１の時刻と、上記記憶された操作対象識別子、及び上記第１の利用者識別子とを含む第１のログを生成する。上記データ更新処理が実行されたデータを上記第２のサーバ装置にアップロードするアップロード処理を実行する。上記実行された上記アップロード処理に応じて、上記データに対して上記アップロード処理が実行された時刻を示す第２の時刻と、上記データに対応する直近の上記第１の時刻及び上記操作対象識別子とを含む第２のログを生成する。上記第２のサーバ装置は、上記アップロード処理が実行された上記データを記憶する。第２の利用者の操作によって入力された指示に基づき、上記第２の利用者を識別する第２の利用者識別子と、上記データの操作対象識別子とを含む通信要求を受信する。上記受信した通信要求に基づき、通信応答を送信する応答処理を実行する。上記実行された応答処理に応じて、上記応答処理が実行された時刻を示す第３の時刻と、上記通信要求及び上記通信応答内の上記第２の利用者識別子、及び上記操作対象識別子とを含む第３のログを生成するようにしたものである。

また、この発明の第１の観点は、以下のような態様を備えることを特徴とする。

第１の態様は、上記データが、上記外部ネットワークとの通信を制限する制限情報を含む。上記データ更新処理は、上記第１の利用者の操作により上記制限情報を更に設定し、最終的に上記データへ実行される。上記第１のログは、上記データ内の制限情報を更に含む。上記アップロード処理は、上記制限情報に基づき、上記データ更新処理が実行されたデータをアップロードするか否かを判定し、アップロードすると判定した場合、実行されるようにしたものである。

第２の態様は、上記第１のサーバ装置において、第３の利用者の操作によって入力された指示に基づき、上記外部ネットワークとの通信を制限する制限情報、及び上記制限情報に対応する更新番号又は更新時刻を含む更新履歴情報と、上記第３の利用者を識別する第３の利用者識別子とを含む制限リストを記憶する。上記記憶された制限リスト内の制限情報及び更新履歴情報を更新する制限リスト更新処理を実行する。上記実行された制限リスト更新処理に応じて、上記記憶された制限リスト内の制限情報と、更新履歴情報と、上記第３の利用者識別子とを含む第４のログを生成する。上記アップロード処理は、上記記憶された制限リストに基づき、上記データ更新処理又は上記制限リスト更新処理が実行されたデータをアップロードするか否かを判定し、アップロードすると判定した場合に実行される。上記第２のログは、上記記憶された制限リスト内の更新履歴情報を更に含むようにしたものである。

第３の態様は、上記第１のサーバ装置において、次回のアップロード処理が実行されるデータの操作対象識別子を含むアップロード対象リストを記憶する。上記アップロード処理は、上記記憶されたアップロード対象リスト内の操作対象識別子で識別されるデータに対して実行されるようにしたものである。

第４の態様は、上記第３のログにおいて、上記応答処理が他のトランザクション処理と連携して実行される場合、上記応答処理を識別する第１のトランザクション識別子と、上記他のトランザクション処理を識別する第２のトランザクション識別子とを更に含むようにしたものである。

第５の態様は、上記第２のサーバ装置において、上記応答処理が、上記受信した通信要求に基づき上記応答処理を実行するか否かを判定し、上記判定の結果、上記応答処理を実行すると判定された場合、最終的に実行される。上記第３のログは、上記判定の結果を更に含むようにしたものである。

この発明の第１の観点によれば、ログ生成システムは、データに対して実行されたデータ更新処理に応じて、上記データ更新処理が実行された時刻を示す第１の時刻と、記憶された操作対象識別子、及び第１の利用者識別子とを含む第１のログを生成する。実行されたアップロード処理に応じて、上記データに対して上記アップロード処理が実行された時刻を示す第２の時刻と、上記データに対応する直近の上記第１の時刻及び上記操作対象識別子とを含む第２のログを生成する。実行された応答処理に応じて、上記応答処理が実行された時刻を示す第３の時刻と、通信要求及び通信応答内の第２の利用者識別子、及び上記操作対象識別子とを含む第３のログを生成する。このため、バッチ処理等によってアップロードされたデータが、いつ、誰が、更新処理したものかをトレースするログを生成することができる。また、バッチ処理等によってアップロードされたデータに対して、いつ、誰が、通信処理したかをトレースするログを生成することができる。

第１の態様によれば、ログ生成システムは、上記第１の利用者の操作によりデータ内の制限情報を更に設定し、最終的に上記データへのデータ更新処理を実行する。上記データ内の制限情報を更に含む第１のログを生成する。上記制限情報に基づき、上記データ更新処理が実行されたデータをアップロードするか否かを判定し、アップロードすると判定した場合、上記アップロード処理を実行するようにしている。このため、バッチ処理等によってアップロードされたデータに、いつ、誰が、どのような公開範囲及び操作制限を設定して、データ更新処理が実行されたかをトレースするログを生成することができる。

第２の態様によれば、第１のサーバ装置は、第３の利用者の操作によって入力された指示に基づき、制限情報、更新履歴情報、及び上記第３の利用者を識別する第３の利用者識別子を含む制限リストを更新する制限リスト更新処理を実行する。上記制限リスト更新処理に応じて、制限リスト内の制限情報と、更新履歴情報と、第３の利用者識別子とを含む第４のログを生成する。上記記憶された制限リストに基づき、データ更新処理又は制限リスト更新処理が実行されたデータをアップロードするか否かを判定し、アップロードすると判定した場合、上記アップロード処理を実行する。上記第２のログは、記憶された制限リスト内の更新履歴情報を更に含むようにしている。このため、バッチ処理等によってアップロードされたデータに対して、制限リストを適用する場合、当該制限リストが、いつ、誰が、どのような公開範囲及び操作制限を設定した、どのバージョンの制限リストか、を更にトレースするログを生成することができる。

第３の態様によれば、第１のサーバ装置は、アップロード対象リスト内の操作対象識別子で識別されるデータに対してアップロード処理が実行されるようにしている。これにより、バッチ処理の処理性能を向上することができ、また、監査ログ及びバッチ処理ログの出力性能が低下することを防止できる。したがって、よりデータに対して実行される処理をトレースしやすくすることが可能となる。

第４の態様によれば、第２のサーバ装置は、応答処理が他のトランザクション処理と連携して実行される場合、上記応答処理を識別する第１のトランザクション識別子と、他のトランザクション処理を識別する第２のトランザクション識別子とを更に含む第３のログを生成するようにしている。このため、他装置からどのような経路でデータアクセスがあったかを事後検証することができる。したがって、データに対して実行される処理を、より詳細にトレースできるログを生成することが可能となる。

第５の態様によれば、第２のサーバ装置は、受信した通信要求に基づき応答処理を実行するか否かを判定し、上記判定の結果、応答処理を実行すると判定された場合、最終的に上記応答処理を実行する。上記判定の結果を更に含む第３のログを生成するようにしている。このため、外部ネットワークからのデータへの通信が正当なものであったかを事後検証することができる。したがって、データに対して実行される処理を、より詳細にトレースできるログを生成することが可能となる。

すなわち、この発明によれば、バッチ処理等によってアップロードされるデータについて、生成から削除までの間に実行される処理をトレースできるログを生成できるようにしたログ生成システム、方法及びプログラムを提供することができる。

この発明の第１の実施形態に係るログ生成システムの機能構成の一例を示すブロック図である。 同実施形態における情報アップロード装置の機能構成の一例を示すブロック図である。 同実施形態における操作対象データの一例を示す模式図である。 同実施形態における監査ログの一例を示す模式図である。 同実施形態におけるバッチ処理ログの一例を示す模式図である。 同実施形態における情報公開装置の機能構成の一例を示すブロック図である。 同実施形態における通信要求及び通信応答の一例を示す模式図である。 同実施形態における情報要求装置の機能構成の一例を示すブロック図である。 同実施形態の変形例におけるログ生成システムの機能構成の一例を示すブロック図である。 同実施形態の変形例におけるログ生成システムの機能構成の一例を示す模式図である。 同実施形態の変形例における情報更新装置の機能構成の一例を示すブロック図である。 同実施形態の変形例におけるログ生成システムの動作の一例を示すシーケンス図である。 同実施形態における監査ログの一例を示す模式図である。 同実施形態における監査ログ及びバッチ処理ログの一例を示す模式図である。 同実施形態における監査ログの一例を示す模式図である。 この発明の第２の実施形態に係る操作対象データの一例を示す模式図である。 同実施形態における監査ログの一例を示す模式図である。 同実施形態におけるログ生成システムの動作の一例を示すシーケンス図である 同実施形態における監査ログ及びバッチ処理ログの一例を示す模式図である。 同実施形態における監査ログの一例を示す模式図である。 この発明の第３の実施形態に係る情報アップロード装置の機能構成の一例を示すブロック図である。 同実施形態における制限リストの一例を示す模式図である。 同実施形態における監査ログの一例を示す模式図である。 同実施形態におけるログ生成システムの動作の一例を示すシーケンス図である 同実施形態における監査ログ及びバッチ処理ログの一例を示す模式図である。 この発明の第４の実施形態に係る情報アップロード装置の機能構成の一例を示すブロック図である。 同実施形態におけるアップロード対象リストの一例を示す模式図である。 この発明の第５の実施形態に係る監査ログの一例を示す模式図である。 この発明の第６の実施形態に係る監査ログの一例を示す模式図である。

以下、図面を参照してこの発明に関わる実施形態を説明する。なお、以下のログ生成システムは、各ネットワーク内のコンピュータにおけるログを生成するログ生成システムとして各コンピュータを機能させるためのプログラムを用いて実施してもよい。すなわち、ログ生成システムは、コンピュータ読取可能なメモリ及びＣＰＵ(Central Processing Unit)等のハードウェア資源とプログラムとが協働した機能ブロックの機能により実現してもよい。

［第１の実施形態］
図１は、この発明の第１の実施形態に係るログ生成システムの機能構成の一例を示すブロック図である。ログ生成システム１は、情報アップロード装置１０、情報公開装置２０、情報要求装置４０及び利用者端末５０，６０を備える。情報公開装置２０と情報要求装置４０とは、ネットワーク３０を介して接続されている。なお、ログ生成システム１は、１台に限らず、任意の台数の情報要求装置４０を、ネットワーク３０を介して接続可能なシステムとなっている。

ログ生成システム１は、情報アップロード装置１０から情報公開装置２０にアップロード処理され、ネットワーク３０を介して接続された情報要求装置４０からの通信に対して応答処理されるデータに対して実行された各々の処理をトレースするためのログを生成する機能を備える。なお、以下の説明において、「情報アップロード装置１０」、「情報公開装置２０」、及び「ネットワーク３０を介して接続された情報要求装置４０」は、それぞれ「第１のサーバ装置」、「第２のサーバ装置」、及び「外部ネットワーク」と読み替えてもよい。

なお、情報アップロード装置１０、情報公開装置２０、及び利用者端末５０は、例えば、ある地域内に整備された医療連携ネットワークを構成する装置でもよい。同様に、情報要求装置４０及び利用者端末６０は、例えば、他の地域内に整備された他の医療連携ネットワークを構成する装置でもよい。

具体的には例えば、情報アップロード装置１０、情報公開装置２０、及び利用者端末５０は、医療圏Ｘに構成された地域医療連携ネットワークを構成していてもよい。また、情報要求装置４０及び利用者端末６０は、医療圏Ｙに構成された地域医療連携ネットワークを構成していてもよい。また、ネットワーク３０は、各医療圏Ｘ，Ｙの地域医療連携ネットワーク間を互いに接続するためのネットワークでもよい。ここで、医療圏Ｘ，Ｙは、一次医療圏の如き市町村を単位とするような地域でもよく、二次医療圏の如き複数の市町村を単位とするような、より広範な地域であってもよい。

情報アップロード装置１０は、図２に示すように、操作対象データＤＢ（Database）１０１、監査ログＤＢ１０２、バッチ処理ログＤＢ１０３、受信部１０４、データ更新部１０５、バッチ処理制御部１０６、送信部１０７及びログ生成部１０８を備える。

操作対象データＤＢ１０１は、各部から読出し可能であり、データ更新部１０５から書込み可能なメモリであり、図３に示す如き操作対象データ１００ａを記憶する。

操作対象データ１００ａは、データ更新時刻、利用者識別子、操作対象識別子、及び操作対象データの具体的内容を含んでいてもよい。なお、以下の説明では、「操作対象データ１００ａ」は、単に「データ」と読み替えてもよい。

ここで、データは、データ更新部１０５によって実行されるデータ更新処理のうち、直近のデータ更新処理による最新の内容を含む。また、データは、直近のデータ更新処理以前のデータ更新処理による内容を履歴として記憶していてもよく、最新の内容で上書きされてもよい。なお、データ更新部１０５によって実行されるデータ更新処理とは、当該データの新規生成、修正等の更新、及び削除等を含む。なお、データが削除された場合、当該データは、操作対象データＤＢ１０１から削除されてもよい。

同様に、データ内のデータ更新時刻、利用者識別子、操作対象識別子は、対応する当該データに対する直近のデータ更新処理を実行した際の時刻、利用者識別子、操作対象識別子を含む。ここで、利用者識別子は、データに対する各処理を実行するために、利用者端末５０，６０を介して各装置１０，４０を操作することによって指示を入力する利用者を一意に識別する情報である。また、操作対象識別子は、各処理が実行される対象となるデータを一意に識別する情報である。

監査ログＤＢ１０２は、データ更新部１０５によって、データに対して実行されるデータ更新処理に応じて、ログ生成部１０８から書込まれるメモリであり、図４に示す如き、監査ログ１００ｂを記憶する。

監査ログ１００ｂは、時刻、利用者識別子、及び操作対象識別子を含む。また、監査ログ１００ｂは、操作種別等を更に含んでもよい。

ここで、時刻は、当該監査ログ１００ｂに関する各処理が実行された時刻を示す情報である。操作種別は、データに対して実行された処理の種別を示す情報であり、例えば当該データの「生成」、「修正」、「削除」等を含む。また、操作種別は、当該データの他装置への「送信」、及び他装置からの「受信」等を含んでもよい。

なお、以下の説明において、「データに対して実行されたデータ更新処理に応じて生成される監査ログ１００ｂ」は、「第１のログ」と読み替えてもよい。また、「データ更新処理が実行された時刻」は、「第１の時刻」と読み替えてもよい。また、「データ更新処理を実行するための指示を入力する利用者」は、「第１の利用者」と読み替えてもよい。また、「第１の利用者を識別する情報」は、「第１の利用者識別子」と読み替えてもよい。

バッチ処理ログＤＢ１０３は、バッチ処理制御部１０６が開始するバッチ処理によって制御される送信部１０７が実行するアップロード処理に応じて、ログ生成部１０８から書込まれるメモリである。バッチ処理ログＤＢ１０３は、当該アップロード処理に応じて、図５に示す如き、バッチ処理ログ１００ｃを記憶する。

バッチ処理ログ１００ｃは、バッチ処理制御部１０６によって開始されるバッチ処理に基づき、送信部１０７によってデータをアップロードするアップロード処理に応じて生成されるログである。バッチ処理ログ１００ｃは、アップロード時刻、操作対象識別子、及びデータ更新時刻を含む。また、バッチ処理ログ１００ｃは、バッチ処理ＩＤ（Identifier）を更に含んでもよい。

ここで、アップロード時刻は、データに対してアップロード処理が実行された時刻を示す。データ更新時刻は、当該アップロード処理が実行されたデータについて直近のデータ更新処理が実行された時刻を示す。したがって、データ更新時刻は、当該アップロード処理が実行されたデータに対応する直近の第１の時刻を示す。バッチ処理ＩＤは、当該データに対して実行されたバッチ処理を一意に識別するための情報である。

なお、以下の説明において、「データをアップロードするアップロード処理に応じて生成されるバッチ処理ログ１００ｃ」は、「第２のログ」と読み替えてもよい。また、「データに対してアップロード処理が実行された時刻」は、「第２の時刻」と読み替えてもよい。

受信部１０４は、第１の利用者の操作によって入力された指示に基づき、利用者端末５０からデータ更新処理に関する指示を受信し、当該データ更新処理に関する指示をデータ更新部１０５に送信する。

データ更新部１０５は、データ更新処理に関する指示を受信部１０４から受信し、当該データを操作対象データＤＢ１０１から読出す。データ更新部１０５は、当該指示に基づき、読出した当該データへのデータ更新処理を実行する。データ更新部１０５は、当該指示がデータ生成処理に関する指示の場合、当該データの生成処理を実行し、最終的にデータ更新処理を実行してもよい。データ更新部１０５は、データ更新処理を実行したデータを、操作対象データＤＢ１０１に記憶する。また、データ更新部１０５は、データ更新処理が実行された場合、ログ生成部１０８に当該実行されたデータ更新処理に関する監査ログ生成指示を送信する。

バッチ処理制御部１０６は、データ更新処理が実行されたデータを、データ更新処理が実行された他のデータと共に操作対象データＤＢ１０１から読出す。バッチ処理制御部１０６は、読出したデータ及び情報公開装置２０にアップロードするアップロード処理を実行するように、送信部１０７を制御する。具体的には、バッチ処理制御部１０６は、読出したデータ及び他のデータを情報公開装置２０に一括して又は個別にアップロードするためのバッチ処理を開始し、読出したデータを送信部１０７に送信する。また、バッチ処理制御部１０６は、当該バッチ処理を識別するためのバッチ処理ＩＤを生成し、送信部１０７に送信してもよい。なお、バッチ処理制御部１０６は、複数のデータに限らず、１個以上の任意の数のデータに対してアップロード処理が実行されるように制御可能である。

送信部１０７は、バッチ処理に基づき、データ更新処理が実行されたデータをバッチ処理制御部１０６から受信する。また、送信部１０７は、受信した各データを情報公開装置２０にアップロードするアップロード処理を実行する。送信部１０７は、アップロード処理が実行された場合、ログ生成部１０８に当該実行されたアップロード処理に関するバッチ処理ログ生成指示を送信する。また、送信部１０７は、バッチ処理ＩＤをバッチ処理制御部１０６から受信し、当該バッチ処理ＩＤをバッチ処理ログ生成指示と共にログ生成部１０８に送信してもよい。

ログ生成部１０８は、データ更新部１０５から監査ログ生成指示を受信すると、操作対象データＤＢ１０１から監査ログ生成対象のデータを読出し、監査ログ１００ｂを生成する。また、ログ生成部１０８は、送信部１０７からバッチ処理ログ生成指示を受信すると、バッチ処理ログ１００ｃを生成する。

具体的には、ログ生成部１０８は、監査ログ生成指示をデータ更新部１０５から受信すると、第１のログを生成する。第１のログは、データ更新処理に応じて、当該データ更新処理が実行された時刻を示す第１の時刻と、読出した当該データ内の操作対象識別子、及び第１の利用者識別子とを含む。ログ生成部１０８は、生成した第１のログを監査ログＤＢ１０２に記憶する。

また、ログ生成部１０８は、送信部１０７からバッチ処理ログ生成指示を受信すると、第２のログを生成する。第２のログは、アップロード処理に応じて、データに対して当該アップロード処理が実行された時刻を示す第２の時刻と、当該データに対応する直近の第１の時刻及び操作対象識別子とを含む。ログ生成部１０８は、生成した第２のログをバッチ処理ログＤＢ１０３に記憶する。なお、第２のログは、バッチ処理に基づいて生成されるため、データ更新に係る利用者の識別子（例えば、第１の利用者識別子等）を含まない。また、第２のログは、当該アップロード処理に係る利用者が存在しないため、当該アップロード処理に係る利用者の識別子に代えて、当該アップロード処理を実行した情報アップロード装置１０を識別する識別子を含んでもよい。

情報公開装置２０は、図６に示すように、操作対象データＤＢ２０１、監査ログＤＢ２０２、受信部２０３、応答処理部２０４、送信部２０５及びログ生成部２０６を備える。

操作対象データＤＢ２０１は、各部から読出し可能で、受信部２０３から書込み可能なメモリであり、受信部２０３が情報アップロード装置１０の送信部１０７から受信した、アップロードされた操作対象データ１００ａを記憶する。

監査ログＤＢ２０２は、各部２０３，２０５が実行する各処理に応じて、ログ生成部２０６から書込まれるメモリであり、監査ログ１００ｂを記憶する。なお、監査ログＤＢ２０２に記憶される監査ログ１００ｂは、監査ログＤＢ１０２に記憶される監査ログ１００ｂと同様の構成のため、詳細な説明を省略する。

受信部２０３は、アップロード処理によって送信部１０７からアップロードされた各データを受信し、操作対象データＤＢ２０１に記憶する。受信部２０３は、当該受信処理に応じて、監査ログ１００ｂを生成する指示をログ生成部２０６に送信してもよい。

また、受信部２０３は、図７（Ａ）に示す如き通信要求１００ｄを情報要求装置４０から受信し、応答処理部２０４に送信する。受信部２０３は、当該通信要求１００ｄの受信に係る処理に応じて、通信要求１００ｄ及び監査ログ生成指示をログ生成部２０６に送信する。

なお、通信要求１００ｄは、応答処理を実行するための指示を入力する利用者により操作された利用者端末６０を介して、情報要求装置４０から送信される。通信要求１００ｄは、当該利用者を識別する利用者識別子と、要求するデータに対応する操作対象識別子とを含む。

なお、以下の説明において、「応答処理を実行するための指示を入力する利用者」は、「第２の利用者」と読み替えてもよい。また、「第２の利用者を識別する利用者識別子」は、「第２の利用者識別子」と読み替えてもよい。

したがって、受信部２０３は、第２の利用者の操作によって入力された指示に基づき、第２の利用者を識別する第２の利用者識別子と、操作対象識別子とを含む通信要求１００ｄを受信する。

応答処理部２０４は、通信要求１００ｄを受信部２０３から受信し、当該通信要求１００ｄに基づき、図７（Ｂ）に示す如き、通信応答１００ｅを送信する応答処理を実行する。具体的には、応答処理部２０４は、通信要求１００ｄ内の操作対象識別子に基づき、当該操作対象識別子に該当するデータを操作対象データＤＢ２０１から読出す。応答処理部２０４は、通信要求１００ｄ内の第２の利用者識別子及び操作対象識別子と、当該読出したデータとを含む通信応答１００ｅを生成し、送信部２０５に送信する。

送信部２０５は、通信応答１００ｅを応答処理部２０４から受信し、ネットワーク３０を介して情報要求装置４０に送信する。送信部２０５は、当該通信応答１００ｅの送信に係る処理に応じて、監査ログ生成指示と共に、通信応答１００ｅをログ生成部２０６に送信する。

ログ生成部２０６は、受信部２０３及び送信部２０５から監査ログ生成指示を受信すると、監査ログ１００ｂを生成する。

具体的には、ログ生成部２０６は、アップロードされた各データの受信処理に係る監査ログ生成指示を受信部２０３から受信すると、当該受信処理によって各データを受信した時刻と、当該各データ内の操作対象識別子、及び第１の利用者識別子とを含む監査ログ１００ｂを生成してもよい。

また、ログ生成部２０６は、通信要求１００ｄの受信処理に係るログ生成指示及び通信要求１００ｄを受信部２０３から受信し、通信応答１００ｅの送信処理に係るログ生成指示及び通信応答１００ｅを送信部２０５から受信する。ログ生成部２０６は、通信要求１００ｄを受信した時刻及び通信応答１００ｅを送信した時刻と、当該通信要求１００ｄ及び通信応答１００ｅ内の第２の利用者識別子、及び操作対象識別子とを含む監査ログ１００ｂを生成する。

なお、以下の説明において、「通信要求１００ｄを受信した時刻及び通信応答１００ｅを送信した時刻」は、「応答処理が実行された時刻」と読み替えてもよく、「応答処理が実行された時刻」は、「第３の時刻」と読み替えてもよい。また、「第３の時刻と、通信要求１００ｄ及び通信応答１００ｅ内の第２の利用者識別子、及び操作対象識別子とを含むログ」は、「第３のログ」と読み替えてもよい。

情報要求装置４０は、図８に示すように、操作対象データＤＢ４０１、監査ログＤＢ４０２、受信部４０３、要求生成部４０４、送信部４０５及びログ生成部４０６を備える。

操作対象データＤＢ４０１は、各部から読出し可能で、受信部４０３から書込み可能なメモリであり、受信部４０３が情報公開装置２０の送信部２０５から受信した、通信応答１００ｅ内の操作対象データ１００ａを記憶する。

監査ログＤＢ４０２は、各部４０３，４０５による各処理に応じて、ログ生成部４０６から書込まれるメモリであり、監査ログ１００ｂを記憶する。なお、監査ログＤＢ４０２に記憶される監査ログ１００ｂは、監査ログＤＢ１０２に記憶される監査ログ１００ｂと同様の構成のため、詳細な説明を省略する。

受信部４０３は、通信応答１００ｅを情報公開装置２０の送信部２０５から受信し、当該通信応答１００ｅを送信部４０５に送信する。受信部４０３は、通信応答１００ｅの受信処理に応じて、監査ログ生成指示と共に、通信応答１００ｅをログ生成部２０６に送信する。

また、受信部４０３は、第２の利用者の操作によって入力されたデータへの通信要求に関する指示を利用者端末６０から受信し、当該データ通信要求に関する指示を要求生成部４０４に送信する。

要求生成部４０４は、通信要求に関する指示を受信部４０３から受信し、当該指示に基づく通信要求１００ｄを生成する。要求生成部４０４は、生成した通信要求１００ｄを送信部４０５に送信する。

送信部４０５は、通信要求１００ｄを要求生成部４０４から受信し、当該通信要求１００ｄを情報公開装置２０の受信部２０３に送信する。送信部４０５は、当該通信要求１００ｄの送信処理に応じて、監査ログ生成指示と共に、通信要求１００ｄをログ生成部４０６に送信する。

また、送信部４０５は、通信応答１００ｅを受信部４０３から受信し、当該通信応答１００ｅ内のデータを利用者端末６０に送信する。

ログ生成部４０６は、受信部４０３及び送信部４０５から監査ログ生成指示を受信すると、監査ログ１００ｂを生成する。

具体的には、ログ生成部４０６は、通信要求１００ｄの送信処理に係るログ生成指示及び通信要求１００ｄを送信部４０５から受信し、通信応答１００ｅの受信処理に係るログ生成指示及び通信応答１００ｅを受信部４０３から受信する。ログ生成部４０６は、通信要求１００ｄを受信した時刻及び通信応答１００ｅを送信した時刻と、当該通信要求１００ｄ及び通信応答１００ｅ内の第２の利用者識別子、及び操作対象識別子とを含む監査ログ１００ｂを生成する。

利用者端末５０は、第１の利用者の操作によってデータ更新処理に係る指示が入力される端末であり、情報アップロード装置１０にデータ更新処理を実行させるための指示を送信する。

利用者端末６０は、第２の利用者の操作によってデータの通信に係る指示が入力される端末であり、情報要求装置４０に通信要求１００ｄを送信させるための指示を送信する。

なお、以上のように構成されたログ生成システム１は、図９に示す如き構成に変形可能である。即ち、ログ生成システム１は、情報更新装置７０及び利用者端末８０を更に備えてもよい。なお、ログ生成システム１は、１台に限らず、任意の台数の情報更新装置７０を、情報アップロード装置１０と接続可能である。

ここで、情報アップロード装置１０、情報公開装置２０及び利用者端末５０が医療圏Ｘにおける地域医療連携ネットワークを構成する場合、情報更新装置７０及び利用者端末８０は、当該地域医療連携ネットワーク内に構成されていてもよい。

また、複数の情報更新装置７０が情報アップロード装置１０に接続される場合、図１０に示すように、各情報更新装置７０は、医療圏Ｘ内の総合病院Ａ及び診療所Ｂにそれぞれ設置されていてもよい。

情報更新装置７０は、図１１に示すように、操作対象データＤＢ７０１、監査ログＤＢ７０２、受信部７０３、データ更新部７０４、送信部７０５、及びログ生成部７０６を備える。即ち、情報更新装置７０は、情報アップロード装置１０から、バッチ処理ログＤＢ１０３、及びバッチ処理制御部１０６を除く各機能を有していてもよい。

従って、操作対象データＤＢ７０１、監査ログＤＢ７０２は、それぞれ操作対象データＤＢ１０１、及び監査ログＤＢ１０２と同様の機能を有している。

なお、以下の説明において、「データ更新部７０４によって実行されたデータ更新処理に応じて生成される監査ログ１００ｂ」についても、「第１のログ」と読み替えてもよい。即ち、「データ更新部７０４によって実行されるデータ更新処理が実行された時刻」は、「第１の時刻」と読み替えてもよい。また、「データ更新部７０４によるデータ更新処理を実行するための操作を行う利用者」は、「第１の利用者」と読み替えてもよく、当該「第１の利用者を識別する情報」は、「第１の利用者識別子」と読み替えてもよい。したがって、本実施形態の変形例における第１の利用者は、データに対するデータ更新処理を実行するために、利用者端末５０を介して情報アップロード装置１０のデータ更新部１０５を操作する者、又は利用者端末８０を介して情報更新装置７０のデータ更新部７０４を操作する者である。

受信部７０３は、第１の利用者の操作によって入力されたデータへのデータ更新処理に関する指示を利用者端末８０から受信し、当該データ更新処理に関する指示をデータ更新部７０４に送信する。

データ更新部７０４は、データ更新処理に関する指示を受信部７０３から受信し、当該データを操作対象データＤＢ７０１から読出す。データ更新部７０４は、当該指示に基づき、読出した当該データへのデータ更新処理を実行する。データ更新部７０４は、データ更新処理を実行したデータを、操作対象データＤＢ７０１に記憶し、送信部７０５に送信する。また、データ更新部７０４は、データ更新処理が実行された場合、ログ生成部７０６に当該実行されたデータ更新処理に関する監査ログ生成指示を送信する。

送信部７０５は、データ更新部７０４からデータ更新処理が実行されたデータを受信し、当該データを情報アップロード装置１０の受信部１０４に送信する。また、送信部７０５は、当該データ送信に係る処理が実行された場合、ログ生成部７０６に送信処理に係る監査ログ生成指示を送信してもよい。

ログ生成部７０６は、データ更新部７０４から監査ログ生成指示を受信すると、操作対象データＤＢ１０１から当該監査ログ１００ｂの対象データを読出し、監査ログ１００ｂを生成する。

具体的には、ログ生成部７０６は、データ更新処理の実行に関する監査ログ１００ｂの生成指示をデータ更新部７０４から受信すると、第１のログを生成する。第１のログは、データ更新部７０４が実行したデータ更新処理に応じて、当該データ更新処理が実行された時刻を示す第１の時刻と、読出した当該データ内の操作対象識別子、及び第１の利用者識別子とを含む。ログ生成部７０６は、生成した第１のログを監査ログＤＢ７０２に記憶する。

また、ログ生成部７０６は、送信部７０５から送信処理に係る監査ログ生成指示を受信すると、監査ログ１００ｂを生成してもよい。ログ生成部７０６は、送信部７０５から送信処理に係る監査ログ生成指示を受信すると、当該データを送信した時刻と、当該データ内の操作対象識別子、及び第１の利用者識別子とを含むログを生成してもよい。

利用者端末８０は、第１の利用者の操作によって入力された、情報更新装置７０にデータ更新処理を実行させるための指示を送信する。

情報アップロード装置１０の受信部１０４は、送信部７０５からデータ更新処理が実行されたデータを受信し、操作対象データＤＢ１０１に記憶する。受信部１０４は、当該受信処理に係る監査ログ生成指示をログ生成部１０８に送信してもよい。

ログ生成部１０８は、受信部１０４からデータ更新処理が実行されたデータの受信処理に係る監査ログ生成指示を受信すると、当該データを受信した時刻と、当該データ内の操作対象識別子、及び第１の利用者識別子とを含むログを生成してもよい。

次に、以上のように構成されたログ生成システムの動作の一例について図１２に示すシーケンス図を用いて説明する。なお、以下の説明では、ログ生成システム１は、図１０に示す如き、複数の情報更新装置７０が情報アップロード装置１０に接続される場合について述べる。

即ち、ログ生成システム１は、医療圏Ｘ内に構成された地域医療連携ネットワーク及び医療圏Ｙ内に構成された地域医療連携ネットワークにおいて構成される。ログ生成システム１は、医療圏Ｘに、情報アップロード装置１０、情報公開装置２０、総合病院Ａの情報更新装置７０、診療所Ｂの情報更新装置７０、及び利用者端末８０を備える。また、ログ生成システム１は、医療圏Ｙに、情報要求装置４０の機能を有する他医療圏接続ＧＷ（Gateway）（以下、情報要求装置４０という。）、及び利用者端末６０を備える。

始めに、第１の利用者である医師Ｐは、利用者端末８０を操作し、第１の利用者識別子“usr_01”で総合病院Ａの情報更新装置７０にログインする。

利用者端末８０は、医師Ｐの操作により入力された指示を受け付け、操作対象識別子“subj_91”で識別される操作対象に関するデータを生成する指示を総合病院Ａの情報更新装置７０に送信する。総合病院Ａの受信部７０３は、当該データ生成処理に係る指示を受信し、データ更新部７０４に送信する。総合病院Ａのデータ更新部７０４は、当該データ生成に係る指示を受信し、第１の利用者の操作によって入力された指示に基づき、時刻Ｔ１００にデータ更新処理を実行する。

総合病院Ａのデータ更新部７０４は、データ更新処理に基づいて生成された、利用者識別子“usr_01”による操作対象識別子“subj_91”に関するデータを操作対象データＤＢ１０１に記憶する。総合病院Ａのデータ更新部７０４は、生成した当該データを送信部７０５に送信する。データ更新部７０４は、当該データ更新処理に係る監査ログ生成指示をログ生成部７０６に送信する。

総合病院Ａのログ生成部７０６は、データ更新処理に係る監査ログ生成指示を受信する。総合病院Ａのログ生成部７０６は、データ更新処理に応じて、データ更新処理が実行された時刻を示す第１の時刻と、記憶された操作対象識別子、及び第１の利用者識別子とを含む第１のログを生成する。具体的には、総合病院Ａのログ生成部７０６は、図１３（Ａ）に示すように、第１の時刻に“T100”、利用者識別子に“usr_01”、操作対象識別子に“subj_91”、操作種別に“データ生成”と記載された監査ログ１００ｆを生成する。

総合病院Ａの送信部７０５は、データ更新処理が実行されたデータを受信し、時刻Ｔ２００に情報アップロード装置１０の受信部１０４に送信する。総合病院Ａの送信部７０５は、当該送信処理に係る監査ログ生成指示をログ生成部７０６に送信する。

総合病院Ａのログ生成部７０６は、データ送信処理に係る監査ログ生成指示を受信し、監査ログを生成する。具体的には、総合病院Ａのログ生成部７０６は、図１３（Ａ）に示すように、送信処理を実行した時刻に“T200”、利用者識別子に“usr_01”、操作対象識別子に“subj_91”、操作種別に“データ送信”と記載された監査ログ１００ｆを生成する。

次に、第１の利用者である医師Ｐは、利用者端末８０を操作し、第１の利用者識別子“usr_02”で診療所Ｂの情報更新装置７０にログインする。

利用者端末８０は、医師Ｐの操作により入力された指示を受け付け、操作対象識別子“subj_92”，“subj_93”でそれぞれ識別される操作対象に関するデータを更新する指示を診療所Ｂの情報更新装置７０に送信する。診療所Ｂの情報更新装置７０の受信部７０３は、当該データ更新に係る指示を受信し、データ更新部７０４に送信する。診療所Ｂのデータ更新部７０４は、当該データ更新に係る指示を受信し、第１の利用者の操作によって入力された指示に基づき、時刻Ｔ３００，Ｔ３０１にそれぞれデータ更新処理を実行する。

診療所Ｂのデータ更新部７０４は、データ更新処理に基づいて生成された、利用者識別子“usr_02”による操作対象識別子“subj_92”，“subj_93”に関するデータを操作対象データＤＢ１０１に記憶する。診療所Ｂのデータ更新部７０４は、生成した当該データを送信部７０５に送信する。診療所Ｂのデータ更新部７０４は、当該データ更新処理に係る監査ログ生成指示をログ生成部７０６に送信する。

診療所Ｂのログ生成部７０６は、データ更新処理に係る監査ログ生成指示を受信する。診療所Ｂのログ生成部７０６は、データ更新処理に応じて、データ更新処理が実行された時刻を示す第１の時刻と、記憶された操作対象識別子、及び第１の利用者識別子とを含む第１のログを生成する。具体的には、診療所Ｂのログ生成部７０６は、図１３（Ｂ）に示すように、第１の時刻に“T300”，“T301”、利用者識別子に“usr_02”、操作対象識別子に“subj_92”，“subj_93”、操作種別に“データ更新”と記載された監査ログ１００ｇを生成する。

診療所Ｂの送信部７０５は、データ更新処理が実行された各データを受信し、時刻Ｔ４００，Ｔ４０１にそれぞれ情報アップロード装置１０の受信部１０４に送信する。診療所Ｂの送信部７０５は、当該送信処理に係る監査ログ生成指示をログ生成部７０６に送信する。

診療所Ｂのログ生成部７０６は、当該送信処理に係る監査ログ生成指示を受信し、監査ログを生成する。具体的には、診療所Ｂのログ生成部７０６は、図１３（Ｂ）に示すように、送信処理を実行した時刻に“T400”，“T401”、利用者識別子に“usr_02”、操作対象識別子に“subj_92”，“subj_93”、操作種別に“データ送信”と記載された監査ログ１００ｇを生成する。

情報アップロード装置１０の受信部１０４は、総合病院Ａの送信部７０５から送信されたデータを時刻Ｔ２０１に受信し、診療所Ｂの送信部７０５から送信された各データを時刻Ｔ４０２，Ｔ４０３にそれぞれ受信し、操作対象データＤＢ１０１に記憶する。受信部１０４は、各データの受信処理に係る監査ログ生成指示をログ生成部１０８に送信する。

ログ生成部１０８は、当該受信処理に係る監査ログ生成指示を受信し、監査ログを生成する。具体的には、ログ生成部１０８は、図１４（Ａ）に示すように、受信処理を実行した時刻に“T201”、利用者識別子に“usr_01”、操作対象識別子に“subj_91”、操作種別に“データ受信”と記載された監査ログ１００ｈと、受信処理を実行した時刻に“T402”，“T403”、利用者識別子に“usr_02”、操作対象識別子に“subj_92”，“subj_93”、操作種別に“データ受信”と記載された監査ログ１００ｈとをそれぞれ生成する。

次に、第１の利用者である管理者Ｑは、利用者端末５０を操作し、第１の利用者識別子“admin_01”で情報アップロード装置１０にログインする。

利用者端末５０は、管理者Ｑの操作により入力された指示を受け付け、操作対象識別子“subj_93”で識別される操作対象に関するデータを更新する指示を情報アップロード装置１０に送信する。受信部１０４は、当該データ更新に係る指示を受信し、データ更新部１０５に送信する。データ更新部１０５は、当該データ更新に係る指示を受信し、第１の利用者の操作によって入力された指示に基づき、時刻Ｔ５００にデータ更新処理を実行する。

データ更新部１０５は、データ更新処理に基づいて更新された、利用者識別子“admin_01”による操作対象識別子“subj_93”に関するデータを操作対象データＤＢ１０１に記憶する。データ更新部１０５は、当該データ更新処理に係る監査ログ生成指示をログ生成部１０８に送信する。

ログ生成部１０８は、データ更新処理に係る監査ログ生成指示を受信する。ログ生成部１０８は、当該データ更新処理に応じて、データ更新処理が実行された時刻を示す第１の時刻と、記憶された操作対象識別子、及び第１の利用者識別子とを含む第１のログを生成する。具体的には、ログ生成部１０８は、図１４（Ａ）に示すように、第１の時刻に“T500”、利用者識別子に“admin_01”、操作対象識別子に“subj_93”、操作種別に“データ更新”と記載された監査ログ１００ｈを生成する。

バッチ処理制御部１０６は、操作対象データＤＢ１０１に記憶された各データを読出し、バッチ処理制御を開始する。バッチ処理制御部１０６は、データ更新処理が実行されたデータを情報公開装置２０にアップロードするアップロード処理を実行するように送信部１０７を制御する。バッチ処理制御部１０６は、当該バッチ処理にバッチ処理ＩＤ“１”を付与し、各データと共に送信部１０７に送信する。

送信部１０７は、各データ及びバッチ処理ＩＤを受信し、バッチ処理制御に基づき、当該複数のデータを情報公開装置２０にアップロードするアップロード処理を実行する。送信部１０７は、情報公開装置２０の受信部２０３に各データを、それぞれ時刻Ｔ６００，Ｔ６０１，Ｔ６０２にそれぞれ送信し、アップロードする。送信部１０７は、当該アップロード処理に係るバッチ処理ログ生成指示をログ生成部１０８に送信する。

ログ生成部１０８は、アップロード処理に係るバッチ処理ログ生成指示を受信する。ログ生成部１０８は、各データに対して実行されたアップロード処理に応じて、各データに対してアップロード処理が実行された時刻を示す第２の時刻と、当該各データにそれぞれ対応する直近の第１の時刻及び操作対象識別子とを含む第２のログを生成する。具体的には、ログ生成部１０８は、図１４（Ａ）に示すように、バッチ処理ＩＤに“１”、第２の時刻に“T600”，“T601”，“T602”、操作対象識別子に“subj_91”，“subj_92”，“subj_93”、直近の第１の時刻であるデータ更新時刻に“T100”，“T300”，“T500”と記載されたバッチ処理ログ１００ｉを生成する。

情報公開装置２０の受信部２０３は、情報アップロード装置１０からアップロードされた複数のデータを受信し、操作対象データＤＢ２０１に記憶する。

次に、第２の利用者である医師Ｒは、利用者端末６０を操作し、第２の利用者識別子“usr_11”で情報要求装置４０にログインする。

利用者端末６０は、医師Ｒの操作により入力された指示を受け付け、操作対象識別子“subj_91”，“subj_92”，“subj_93”で識別される操作対象に関するデータの取得を要求する指示を情報要求装置４０に送信する。なお、本実施例における当該データ要求に係る指示は、各操作対象識別子で識別される操作対象に関するデータを同時に取得するものとする。また、利用者端末６０は、本実施例に限らず、個別のデータの取得を要求する指示を情報要求装置４０に送信してもよい。 受信部４０３は、当該データ要求に係る指示を受信し、要求生成部４０４に送信する。要求生成部４０４は、当該データ要求に係る指示を受信し、利用者識別子“usr_11”、操作対象識別子“subj_91”，“subj_92”，“subj_93”、操作種別に“データ取得”を含む通信要求１００ｄを生成し、当該生成した通信要求１００ｄを送信部４０５に送信する。

送信部４０５は、受信した通信要求１００ｄを、ネットワーク３０を介して情報公開装置２０に時刻Ｔ７００に送信する。送信部４０５は、当該送信処理に係る監査ログ生成指示をログ生成部４０６に送信する。

情報公開装置２０の受信部２０３は、通信要求１００ｄを時刻Ｔ７０１に受信し、当該通信要求１００ｄを応答処理部２０４に送信する。受信部２０３は、当該受信処理に係る監査ログ生成指示をログ生成部２０６に送信する。

応答処理部２０４は、受信した通信要求１００ｄに基づき、応答処理を実行する。応答処理部２０４は、操作対象データＤＢ２０１から通信要求１００ｄ内の操作対象識別子“subj_91”，“subj_92”，“subj_93”に対応するデータを読出す。応答処理部２０４は、当該読出したデータに基づき、利用者識別子“usr_11”、操作対象識別子“subj_91”，“subj_92”，“subj_93”、操作種別に“データ取得”、及び当該各データを含む通信応答１００ｅを生成し、当該通信応答１００ｅを送信部２０５に送信する。

送信部２０５は、受信した通信応答１００ｅを、ネットワーク３０を介して情報要求装置４０に時刻Ｔ７０２に送信する。送信部２０５は、当該送信処理に係る監査ログ生成指示をログ生成部２０６に送信する。

ログ生成部２０６は、通信要求１００ｄの受信処理に係る監査ログ生成指示、及び通信応答１００ｅの送信処理に係る監査ログ生成指示を受信する。ログ生成部２０６は、各データに対して実行された応答処理に応じて、当該応答処理が実行された時刻を示す第３の時刻と、当該通信要求１００ｄ及び通信応答１００ｅ内の第２の利用者識別子及び操作対象識別子とを含む第３のログを生成する。具体的には、ログ生成部２０６は、図１５（Ａ）に示すように、第３の時刻に“T701”，“T702”、第２の利用者識別子に“usr_11”、操作対象識別子に“subj_91”，“subj_92”，“subj_93”、操作種別に“通信要求受信”，“通信応答送信”と記載された監査ログ１００ｊを生成する。

受信部４０３は、情報公開装置２０から通信応答１００ｅを時刻Ｔ７０３に受信し、送信部４０５に送信する。受信部４０３は、当該受信処理に係る監査ログ生成指示をログ生成部４０６に送信する。

ログ生成部４０６は、通信要求１００ｄの送信処理に係る監査ログ生成指示、及び通信応答１００ｅの受信処理に係る監査ログ生成指示を受信する。ログ生成部４０６は、通信要求１００ｄの送信処理及び通信応答１００ｅの受信処理に応じて、当該各処理が実行された時刻を示す時刻と、当該通信要求１００ｄ及び通信応答１００ｅ内の第２の利用者識別子及び操作対象識別子とを含むログを生成する。具体的には、ログ生成部４０６は、図１５（Ｂ）に示すように、各処理が実行された時刻を示す時刻に“T700”，“T703”、第２の利用者識別子に“usr_11”、操作対象識別子に“subj_91”，“subj_92”，“subj_93”、操作種別に“通信要求送信”，“通信応答受信”と記載された監査ログ１００ｋを生成する。

送信部４０５は、受信した通信応答１００ｅ内のデータを利用者端末６０に送信する。

以上詳述したように、第１の実施形態では、ログ生成システム１は、情報アップロード装置１０から情報公開装置２０にアップロード処理され、ネットワーク３０を介して接続された情報要求装置４０からの通信要求１００ｄに対して応答処理されるデータに対して実行された各々の処理をトレースするためのログを生成する。情報アップロード装置１０は、第１の利用者の操作によって入力された指示に基づき、前記データへのデータ更新処理を実行する。上記データを識別する操作対象識別子と、上記第１の利用者を識別する第１の利用者識別子とを記憶する。上記データに対して実行された上記データ更新処理に応じて、上記データ更新処理が実行された時刻を示す第１の時刻と、上記記憶された操作対象識別子、及び上記第１の利用者識別子とを含む第１のログを生成する。上記データ更新処理が実行されたデータを情報公開装置２０にアップロードするアップロード処理を実行する。上記実行された上記アップロード処理に応じて、上記データに対して上記アップロード処理が実行された時刻を示す第２の時刻と、上記データに対応する直近の上記第１の時刻及び上記操作対象識別子とを含む第２のログを生成する。情報公開装置２０は、上記アップロード処理が実行された上記データを記憶する。第２の利用者の操作によって入力された指示に基づき、上記第２の利用者を識別する第２の利用者識別子と、上記データの操作対象識別子とを含む通信要求１００ｄを受信する。上記受信した通信要求１００ｄに基づき、通信応答１００ｅを送信する応答処理を実行する。上記実行された応答処理に応じて、上記応答処理が実行された時刻を示す第３の時刻と、上記通信要求１００ｄ及び上記通信応答１００ｅ内の上記第２の利用者識別子、及び上記操作対象識別子とを含む第３のログを生成する。このため、バッチ処理等によってアップロードされたデータが、いつ、誰が、更新処理したものかをトレースするログを生成することができる。また、バッチ処理等によってアップロードされたデータに対して、いつ、誰が、通信処理したかをトレースするログを生成することができる。

補足すると、データ生成処理に係る監査ログ１００ｆ，１００ｇ，１００ｈと、アップロード処理に係るバッチ処理ログ１００ｉと、アップロード後の通信処理に係る監査ログ１００ｊ，１００ｋとを、一意の操作対象識別子で紐づけることができる。具体的には、各ログ１００ｆ−１００ｋを一意の操作対象識別子をキーにして抽出することができ、更に、各ログ１００ｆ−１００ｋを、時刻をキーにして時系列で一覧化することができる。これにより、データの生成時、アップロード時、アップロード後の通信時、という異なるタイミングで出力されるログを容易に紐づけることができる。

したがって、バッチ処理等によってアップロードされるデータについて、生成から削除までの間に実行される処理をトレースできるログを生成することができる。

［第２の実施形態］
第２の実施形態は、第１の実施形態の変形例であり、アップロードするデータを制限するデータ更新処理を更に実行し得る構成となっている。具体的には、このログ生成システム１の機能構成は、図９に示す機能構成と同様である。以下では、図９と同一部分には同一符号を付してその詳しい説明を省略し、異なる部分について主に述べる。

操作対象データＤＢ１０１は、図１６に示すように、制限情報を更に含む操作対象データ２００ａを記憶する。即ち、本実施形態におけるデータは、制限情報を更に含む。なお、操作対象データ２００ａ内の制限情報は、データ更新部１０５から書込み可能な情報である。

ここで、制限情報は、外部ネットワークとの通信を制限する情報であり、例えば、時刻制限情報及び／又はアクセス制限情報等を含んでいてもよい。また、制限情報は、公開情報の種類等を更に含んでもよい。また、「外部ネットワークとの通信を制限する情報」は、「情報公開装置２０へのアップロード処理を制限する情報」と読み替えてもよい。

時刻制限情報は、当該データを情報公開装置２０にアップロード可能な期間を制限する情報であり、当該時刻制限情報に記載された期間外の場合、情報公開装置２０へのアップロード処理を制限する。また、時刻制限情報は、当該期間内にアップロードされたが時刻制限期間外となった場合、情報要求装置４０からの通信を制限してもよい。

アクセス制限情報は、情報公開装置２０が公開するアクセス対象のデータを制限するための情報であり、例えば、当該データの公開が不許可の情報要求装置４０から通信可能な情報公開装置２０に対して、当該データのアップロード処理を制限する情報である。なお、アクセス制限情報は、アクセス先の装置に限らず、アクセス要求を実行する利用者、利用者の所属組織、及び利用者の資格等の条件を含んでもよく、当該条件に基づき、データのアップロード処理を制限する情報であってもよい。

監査ログＤＢ１０２は、データ更新処理に応じて、ログ生成部１０８から書込まれるメモリであり、図１７に示す如き、監査ログ２００ｂを記憶する。

監査ログ２００ｂは、監査ログ１００ｂが含む各項目に加え、制限情報を更に含む。

データ更新部１０５は、データへのデータ更新処理に関する指示を受信部１０４から受信し、当該データを操作対象データＤＢ１０１から読出す。データ更新部１０５は、当該指示に基づき、読出したデータ内の制限情報を設定し、最終的に当該データへのデータ更新処理を実行する。データ更新部１０５は、データ更新処理を実行したデータを、操作対象データＤＢ１０１に記憶する。また、データ更新部１０５は、データ更新処理が実行された場合、ログ生成部１０８に当該データ更新処理に関する監査ログ生成指示を送信する。

バッチ処理制御部１０６は、データ更新部１０５によってデータ更新処理が実行されたデータを、操作対象データＤＢ１０１から読出す。バッチ処理制御部１０６は、読出したデータを情報公開装置２０にアップロードするアップロード処理を実行するように、送信部１０７を制御する。具体的には、バッチ処理制御部１０６は、読出したデータ内の制限情報に基づき、データ更新処理が実行されたデータをアップロードするか否かを判定する。バッチ処理制御部１０６は、当該判定の結果、アップロードすると判定した場合、当該データを情報公開装置２０にアップロードするためのバッチ処理を開始し、アップロードすると判定されたデータを送信部１０７に送信する。

送信部１０７は、バッチ処理に基づき、データ更新処理が実行され、アップロードすると判定されたデータをバッチ処理制御部１０６から受信する。また、送信部１０７は、受信した各データを情報公開装置２０にアップロードするアップロード処理を実行する。送信部１０７は、アップロード処理が実行された場合、当該アップロード処理に関するバッチ処理ログ生成指示をログ生成部１０８に送信する。また、送信部１０７は、バッチ処理ＩＤをバッチ処理制御部１０６から受信し、当該バッチ処理ＩＤをバッチ処理ログ生成指示と共に、ログ生成部１０８に送信してもよい。

ログ生成部１０８は、データ更新部１０５から監査ログ生成指示を受信すると、操作対象データＤＢ１０１から監査ログ生成対象のデータを読出し、監査ログ２００ｂを生成する。また、ログ生成部１０８は、送信部１０７からバッチ処理ログ生成指示を受信すると、バッチ処理ログ１００ｃを生成する。

具体的には、ログ生成部１０８は、監査ログ生成指示をデータ更新部１０５から受信すると、第１のログを生成する。第１のログは、データ更新部１０５により制限情報を更に設定し、最終的に実行されるデータ更新処理に応じて、当該データ更新処理が実行された時刻を示す第１の時刻と、読出した当該データ内の操作対象識別子、及び第１の利用者識別子を含み、読出した当該データ内の制限情報を更に含む。ログ生成部１０８は、生成した第１のログを監査ログＤＢ１０２に記憶する。

また、ログ生成部１０８は、送信部１０７からバッチ処理ログ生成指示を受信すると、第２のログを生成する。第２のログは、バッチ処理制御部１０６によって制御された送信部１０７が実行したアップロード処理に応じて生成される。第２のログは、データに対して当該アップロード処理が実行された時刻を示す第２の時刻と、当該データに対応する直近の第１の時刻及び操作対象識別子とを含む。ログ生成部１０８は、生成した第２のログをバッチ処理ログＤＢ１０３に記憶する。

また、ログ生成部１０８は、受信部１０４からデータの受信処理に係る監査ログ生成指示を受信すると、当該データを受信した時刻と、当該データ内の操作対象識別子、及び第１の利用者識別子とを含む監査ログ１００ｂを生成してもよい。なお、ログ生成部１０８は、当該データ内の制限情報を更に含む監査ログ２００ｂを生成してもよい。

次に、以上のように構成されたログ生成システム１の動作の一例について図１８に示すシーケンス図を用いて説明する。なお、以下の説明では、図１０に示す如き、複数の情報更新装置７０が情報アップロード装置１０に接続される場合について述べ、第１の実施形態と同様の動作となる部分については、説明を省略する。

なお、当該動作説明におけるアップロードするか否かの判定は、時刻制限情報で定められた期間内に実行されるものとする。

始めに、総合病院Ａの情報更新装置７０及び診療所Ｂの情報更新装置７０は、時刻Ｔ１００−Ｔ４０１において、それぞれデータを生成又は更新し、情報アップロード装置１０に送信する。情報アップロード装置１０は、当該送信された各データを時刻Ｔ２０１，Ｔ４０２−Ｔ４０３において受信する。なお、時刻Ｔ１００，Ｔ２００−Ｔ２０１，Ｔ３００−Ｔ３０１，Ｔ４００−Ｔ４０３に係る動作については、第１の実施形態と同様の動作であるため、説明を省略する。

次に、第１の利用者である管理者Ｑは、利用者端末５０を操作し、第１の利用者識別子“admin_01”で情報アップロード装置１０にログインする。

利用者端末５０は、管理者Ｑの操作により入力された指示を受け付け、操作対象識別子“subj_91”，“subj_92”，“subj_93”で識別される操作対象に関するデータの制限情報を設定し、最終的に当該データを更新する指示を情報アップロード装置１０に送信する。受信部１０４は、当該データ更新に係る指示を受信し、データ更新部１０５に送信する。

データ更新部１０５は、当該データ更新に係る指示を受信し、第１の利用者の操作によって入力された指示に基づき、時刻Ｔ５１０−Ｔ５１２に制限情報を設定し、最終的にデータ更新処理を実行する。

具体的には、データ更新部１０５は、当該各データの制限情報内の時刻制限情報に“2015/01/01~2015/12/31”を設定する。また、データ更新部１０５は、操作対象識別子“subj_91”，“subj_92”のデータのアクセス制限情報に“情報要求装置４０：許可”を設定し、“subj_93”のデータのアクセス制限情報に“情報要求装置４０：不許可”を設定する。

データ更新部１０５は、データ更新処理に基づいて生成された、利用者識別子“admin_01”による操作対象識別子“subj_91”，“subj_92”，“subj_93”に関する各データを操作対象データＤＢ１０１に記憶する。データ更新部１０５は、当該データ更新処理に係る監査ログ生成指示をログ生成部１０８に送信する。

ログ生成部１０８は、制限情報を更に設定されたデータ更新処理に係る監査ログ生成指示を受信する。ログ生成部１０８は、データ更新処理に応じて、当該データ更新処理が実行された時刻を示す第１の時刻と、記憶された操作対象識別子、及び第１の利用者識別子とを含み、制限情報を更に含む第１のログを生成する。具体的には、ログ生成部１０８は、図１９（Ａ）に示すように、第１の時刻に“T510”，“T511”，“T512”、利用者識別子に“admin_01”、操作対象識別子に“subj_91”，“subj_92”，“subj_93”、操作種別に“制限情報更新”、と記載された監査ログ２００ｃを生成する。また、ログ生成部１０８は、当該監査ログ２００ｃの時刻制限情報に“2015/01/01~2015/12/31”と更に記載する。また、ログ生成部１０８は、当該監査ログ２００ｃのうち、操作対象識別子“subj_91”，“subj_92”のデータのアクセス制限情報に“情報要求装置４０：許可”と更に記載し、“subj_93”のデータのアクセス制限情報に“情報要求装置４０：不許可”と更に記載する。

バッチ処理制御部１０６は、データ更新処理が実行された各データを操作対象データＤＢ１０１から読出す。バッチ処理制御部１０６は、当該各データ内の制限情報に基づき、アップロードするか否かを判定する。バッチ処理制御部１０６は、データ内のアクセス制限情報が情報要求装置４０に対して“許可”である操作対象識別子“subj_91”，“subj_92”のデータについて、アップロードすると判定する。バッチ処理制御部１０６は、判定の結果、アップロードすると判定された各データに対してバッチ処理制御を開始する。バッチ処理制御部１０６は、当該バッチ処理にバッチ処理ＩＤ“１”を付与し、当該バッチ処理ＩＤを各データと共に送信する。バッチ処理制御部１０６は、制限情報に基づき、アップロードすると判定された各データを情報公開装置２０にアップロードするアップロード処理を実行するように送信部１０７を制御する。

送信部１０７は、各データを受信し、バッチ処理制御に基づき、当該各データを情報公開装置２０にアップロードするアップロード処理を実行する。送信部１０７は、情報公開装置２０の受信部２０３に各データを、それぞれ時刻Ｔ６００，Ｔ６０１にそれぞれ送信し、アップロードする。送信部１０７は、当該アップロード処理に係るバッチ処理ログ生成指示をログ生成部１０８に送信する。

ログ生成部１０８は、アップロード処理に係るバッチ処理ログ生成指示を受信する。ログ生成部１０８は、各データに対して実行されたアップロード処理に応じて、アップロード処理が実行された時刻を示す第２の時刻と、当該各データにそれぞれ対応する直近の第１の時刻及び操作対象識別子とを含む第２のログを生成する。具体的には、ログ生成部１０８は、図１９（Ｂ）に示すように、バッチ処理ＩＤに“１”、第２の時刻に“T600”，“T601”、操作対象識別子に“subj_91”，“subj_92”、直近の第１の時刻であるデータ更新時刻に“T510”，“T511”と記載されたバッチ処理ログ２００ｄを生成する。

情報公開装置２０の受信部２０３は、情報アップロード装置１０からアップロードされた各データを受信し、操作対象データＤＢ２０１に記憶する。

次に、第２の利用者である医師Ｒは、利用者端末６０を操作し、第２の利用者識別子“usr_11”で情報要求装置４０にログインする。

利用者端末６０は、医師Ｒの操作により入力された指示を受け付け、操作対象識別子“subj_91”，“subj_92”，“subj_93”で識別される操作対象に関するデータの取得を要求する指示を情報要求装置４０に送信する。なお、本実施例における当該データ要求に係る指示は、第１の実施形態と同様、各操作対象識別子で識別される操作対象に関するデータを同時に取得するものとする。

受信部４０３は、当該データ要求に係る指示を受信し、要求生成部４０４に送信する。要求生成部４０４は、当該データ要求に係る指示を受信し、利用者識別子“usr_11”、操作対象識別子“subj_91”，“subj_92”，“subj_93”、操作種別に“データ取得”を含む通信要求１００ｄを生成し、当該生成した通信要求１００ｄを送信部４０５に送信する。

送信部４０５は、受信した通信要求１００ｄを、ネットワーク３０を介して情報公開装置２０に時刻Ｔ７００に送信する。送信部４０５は、当該送信処理に係る監査ログ生成の指示をログ生成部４０６に送信する。

情報公開装置２０の受信部２０３は、通信要求１００ｄを時刻Ｔ７０１に受信し、当該通信要求１００ｄを応答処理部２０４に送信する。受信部２０３は、当該受信処理に係る監査ログ生成の指示をログ生成部２０６に送信する。

応答処理部２０４は、受信した通信要求１００ｄに基づき、応答処理を実行する。応答処理部２０４は、操作対象データＤＢ２０１から通信要求１００ｄ内の操作対象識別子のうち、操作対象データＤＢ２０１内に存在する“subj_91”，“subj_92”に対応するデータを読出す。応答処理部２０４は、読出したデータに基づき、利用者識別子“usr_11”、操作対象識別子“subj_91”，“subj_92”、操作種別に“データ取得”、及び当該各データを含む通信応答１００ｅを生成し、当該通信応答１００ｅを送信部２０５に送信する。

送信部２０５は、受信した通信応答１００ｅを、ネットワーク３０を介して情報要求装置４０に時刻Ｔ７０２に送信する。送信部２０５は、当該送信処理に係る監査ログ生成指示をログ生成部２０６に送信する。

ログ生成部２０６は、通信要求１００ｄの受信処理に係る監査ログ生成の指示、及び通信応答１００ｅの送信処理に係る監査ログ生成の指示を受信する。ログ生成部２０６は、各データに対して実行された応答処理に応じて、当該応答処理が実行された時刻を示す第３の時刻と、当該通信要求１００ｄ及び通信応答１００ｅ内の第２の利用者識別子及び操作対象識別子とを含む第３のログを生成する。具体的には、ログ生成部２０６は、図２０（Ａ）に示すように、第３の時刻に“T701”、第２の利用者識別子に“usr_11”、操作対象識別子に“subj_91”，“subj_92”，“subj_93”、操作種別に“通信要求受信”と記載された監査ログ２００ｅを生成する。また、ログ生成部２０６は、第３の時刻に“T702”、第２の利用者識別子に“usr_11”、操作対象識別子に“subj_91”，“subj_92”、操作種別に“通信応答送信”と記載された監査ログ２００ｅを生成する。

受信部４０３は、情報公開装置２０から通信応答１００ｅを時刻Ｔ７０３に受信し、送信部４０５に送信する。受信部４０３は、当該受信処理に係る監査ログ生成指示をログ生成部４０６に送信する。

ログ生成部４０６は、通信要求１００ｄの送信処理に係る監査ログ生成指示、及び通信応答１００ｅの受信処理に係る監査ログ生成指示を受信する。ログ生成部４０６は、通信要求１００ｄの送信処理及び通信応答１００ｅの受信処理に応じて、当該各処理が実行された時刻を示す時刻と、当該通信要求１００ｄ及び通信応答１００ｅ内の第２の利用者識別子及び操作対象識別子とを含むログを生成する。

具体的には、ログ生成部４０６は、図２０（Ｂ）に示すように、通信要求送信処理が実行された時刻を示す時刻に“T700”、第２の利用者識別子に“usr_11”、操作対象識別子に“subj_91”，“subj_92”，“subj_93”、操作種別に“通信要求送信”と記載された監査ログ２００ｆを生成する。また、ログ生成部４０６は、通信応答受信処理が実行された時刻を示す時刻に“T703”、第２の利用者識別子に“usr_11”、操作対象識別子に“subj_91”，“subj_92”、操作種別に“通信応答受信”と記載された監査ログ２００ｆを生成する。

送信部４０５は、受信した通信応答１００ｅ内のデータを利用者端末６０に送信する。

以上詳述したように、第２の実施形態では、ログ生成システム１は、上記データは、上記外部ネットワークとの通信を制限する制限情報を含む。上記第１の利用者の操作により上記制限情報を更に設定し、最終的に上記データへのデータ更新処理を実行する。上記データ内の制限情報を更に含む第１のログを生成する。上記制限情報に基づき、上記データ更新処理が実行されたデータをアップロードするか否かを判定し、アップロードすると判定した場合、上記アップロード処理を実行するようにしている。このため、アップロードされたデータに、いつ、誰が、どのような公開範囲及び操作制限を設定して、データ更新処理が実行されたかをトレースするログを生成することができる。

したがって、第２の実施形態によれば、第１の実施形態の効果に加え、データのアップロード処理を制限情報に応じて制限できると共に、当該制限情報に関して実行された各々の処理をトレースできるログを生成することができる。

［第３の実施形態］
図２１は、第３の実施形態に係る情報アップロード装置１０の機能構成の一例を示すブロック図である。以下では、図２と同一部分には同一符号を付してその詳しい説明を省略し、第１の実施形態と異なる部分について主に述べる。

第３の実施形態は、第１の実施形態の変形例であり、アップロードするデータを制限する制限リストを更新する制限リスト更新処理を更に実行し得る構成となっている。具体的には、このログ生成システム１の機能構成は、図９に示す機能構成と同様であるが、情報アップロード装置１０は、第１の実施形態に加え、制限リストＤＢ１０９及び制限リスト更新部１１０を更に備える。

制限リストＤＢ１０９は、各部から読出し可能で、制限リスト更新部１１０から書込み可能なメモリであり、図２２に示す如き、制限リスト３００ａを記憶する。制限リスト３００ａは、外部ネットワークとの通信を制限する更新履歴情報、及び制限情報と、利用者識別子とを含む。

ここで、更新履歴情報は、更新時刻及び／又は更新番号を含む情報である。更新時刻は、当該制限リスト３００ａが更新された時刻を示す。また、更新番号は、当該制限リスト３００ａが更新された場合、当該最新の制限リスト３００ａが何回目の更新処理によって生成されたものかを識別するための、制限情報に対応する番号である。

利用者識別子は、当該制限リスト３００ａを生成又は更新するために、制限リスト更新処理を実行するための指示を入力する利用者を識別する識別子である。なお、以下の説明において、「制限リスト更新処理を実行するための指示を入力する利用者」は、「第３の利用者」と読み替えてもよい。また、「第３の利用者を識別する利用者識別子」は、「第３の利用者識別子」と読み替えてもよい。

制限情報は、第２の実施形態におけるデータに含まれる制限情報と同様の情報であるため、説明を省略する。

なお、制限リスト３００ａは、操作対象データＤＢ１０１内に記憶された全てのデータについて適用されてもよく、一部のデータについてのみ適用されてもよい。制限リスト３００ａは、操作対象データＤＢ１０１内に記憶されたデータの一部について適用される場合、複数の制限リスト３００ａがそれぞれ各データに適用されてもよく、当該各制限リスト３００ａが、どのデータに適用されるかを示す適用範囲を更に含んでもよい。

制限リスト更新部１１０は、第３の利用者の操作によって入力された指示に基づき、制限リストＤＢ１０９に記憶された制限リスト３００ａ内の制限情報及び更新履歴情報を更新する制限リスト更新処理を実行する機能を有する。

具体的には、制限リスト更新部１１０は、データへの制限リスト更新処理に関する指示を受信部１０４から受信し、当該制限リスト３００ａを制限リストＤＢ１０９から読出す。制限リスト更新部１１０は、当該指示に基づき、読出した当該制限リスト３００ａ内の制限情報及び更新履歴情報を更新する制限リスト更新処理を実行する。制限リスト更新部１１０は、制限リスト更新処理を実行した制限リスト３００ａを、制限リストＤＢ１０９に記憶する。また、制限リスト更新部１１０は、制限リスト更新処理が実行された場合、当該制限リスト更新処理に関する監査ログ生成指示をログ生成部１０８に送信する。

監査ログＤＢ１０２は、制限リスト更新部１１０による制限リスト更新処理に応じて、ログ生成部１０８から書込まれるメモリであり、図２３に示す如き、監査ログ３００ｂを記憶する。

監査ログ３００ｂは、制限リスト３００ａ内の制限情報と、更新履歴情報と、第３の利用者識別子とを含む。なお、以下の説明において、「制限リスト３００ａ内の制限情報と、更新履歴情報と、第３の利用者識別子とを含む監査ログ３００ｂ」は、「第４のログ」と読み替えてもよい。

バッチ処理制御部１０６は、データ更新部１０５によってデータ更新処理が実行されたデータを、操作対象データＤＢ１０１から読出す。また、バッチ処理制御部１０６は、制限リスト更新部１１０によって制限リスト更新処理が実行された制限リスト３００ａを、制限リストＤＢ１０９から読出す。バッチ処理制御部１０６は、読出したデータを情報公開装置２０にアップロードするアップロード処理を実行するように、送信部１０７を制御する。

具体的には、バッチ処理制御部１０６は、読出した制限リスト３００ａに基づき、データ更新処理又は制限リスト更新処理が実行されたデータをアップロードするか否かを判定する。バッチ処理制御部１０６は、当該判定の結果、アップロードすると判定した場合、当該データを情報公開装置２０にアップロードするためのバッチ処理を開始し、アップロードすると判定されたデータを送信部１０７に送信する。

送信部１０７は、バッチ処理制御部１０６が制御するバッチ処理に基づき、アップロードすると判定されたデータをバッチ処理制御部１０６から受信する。また、送信部１０７は、受信した各データを情報公開装置２０にアップロードするアップロード処理を実行する。送信部１０７は、アップロード処理が実行された場合、当該アップロード処理に関するバッチ処理ログ生成指示をログ生成部１０８に送信する。送信部１０７は、バッチ処理ＩＤをバッチ処理制御部１０６から受信し、当該バッチ処理ＩＤをバッチ処理ログ生成指示と共にログ生成部１０８に送信してもよい。

ログ生成部１０８は、データ更新部１０５から監査ログ生成指示を受信すると、操作対象データＤＢ１０１から監査ログ生成対象のデータを読出し、監査ログ１００ｂを生成する。また、ログ生成部１０８は、制限リスト更新部１１０から監査ログ生成指示を受信すると、制限リストＤＢ１０９から監査ログ生成対象の制限リスト３００ａを読出し、監査ログ３００ｂを生成する。また、ログ生成部１０８は、送信部１０７からバッチ処理ログ生成指示を受信すると、バッチ処理ログ１００ｃを生成する。

具体的には、ログ生成部１０８は、データ更新部１０５から監査ログ生成指示を受信すると、第１のログを生成する。第１のログは、データ更新部１０５により実行されるデータ更新処理に応じて、当該データ更新処理が実行された時刻を示す第１の時刻と、読出した当該データ内の操作対象識別子、及び第１の利用者識別子を含む。ログ生成部１０８は、生成した第１のログを監査ログＤＢ１０２に記憶する。

また、ログ生成部１０８は、制限リスト更新部１１０から監査ログ生成指示を受信すると、第４のログを生成する。第４のログは、制限リスト更新部１１０により実行される制限リスト更新処理に応じて、当該制限リスト更新処理で使用された制限リスト３００ａ内の制限情報と、更新履歴情報と、第３の利用者識別子とを含む。ログ生成部１０８は、生成した第４のログを監査ログＤＢ１０２に記憶する。

また、ログ生成部１０８は、送信部１０７からバッチ処理ログ生成指示を受信すると、第２のログを生成する。第２のログは、アップロード処理に応じて、データに対して当該アップロード処理が実行された時刻を示す第２の時刻と、当該データに対応する直近の第１の時刻及び操作対象識別子とを含み、当該データに対して適用された制限リスト３００ａ内の更新履歴情報を更に含む。ログ生成部１０８は、生成した第２のログをバッチ処理ログＤＢ１０３に記憶する。

また、ログ生成部１０８は、受信部１０４からデータの受信処理に係る監査ログ生成指示を受信すると、当該データを受信した時刻と、当該データ内の操作対象識別子、及び第１の利用者識別子とを含む監査ログ１００ｂを生成してもよい。なお、ログ生成部１０８は、当該データ内の制限情報を更に含む監査ログ２００ｂを生成してもよい。

利用者端末５０は、第１の利用者の操作によってデータ更新処理に係る指示を入力される端末であり、情報アップロード装置１０にデータ更新処理を実行させるための指示を送信する。

また、利用者端末５０は、第２の利用者の操作によって制限リスト更新処理に係る指示を入力される端末であり、情報アップロード装置１０に制限リスト更新処理を実行させるための指示を送信する。

次に、以上のように構成されたログ生成システム１の動作の一例について図２４に示すシーケンス図を用いて説明する。なお、以下の説明では、ログ生成システム１は、図１０に示す如き、複数の情報更新装置７０が情報アップロード装置１０に接続される場合について述べ、第１の実施形態と同様の動作となる部分については、説明を省略する。

なお、当該動作説明におけるアップロードするか否かの判定は、時刻制限情報で定められた期間内に実行されるものとする。また、制限リスト３００ａは、全てのデータについて適用されるものとし、５回目の制限リスト更新処理が実行されるものとする。

始めに、総合病院Ａの情報更新装置７０及び診療所Ｂの情報更新装置７０は、時刻Ｔ１００−Ｔ４０１において、それぞれデータを生成又は更新し、情報アップロード装置１０に送信する。情報アップロード装置１０は、当該送信された各データを時刻Ｔ２０１，Ｔ４０２−Ｔ４０３において受信する。なお、時刻Ｔ１００，Ｔ２００−Ｔ２０１，Ｔ３００−Ｔ３０１，Ｔ４００−Ｔ４０３に係る動作については、第１の実施形態と同様の動作であるため、説明を省略する。

次に、第３の利用者である管理者Ｑは、利用者端末５０を操作し、第１の利用者識別子“admin_01”で情報アップロード装置１０にログインする。

利用者端末５０は、管理者Ｑの操作により入力された指示を受け付け、制限リスト３００ａ内の制限情報を更新する指示を情報アップロード装置１０に送信する。受信部１０４は、当該制限リスト更新に係る指示を受信し、制限リスト更新部１１０に送信する。制限リスト更新部１１０は、当該制限リスト更新に係る指示を受信し、第３の利用者の操作によって入力された指示に基づき、時刻Ｔ５２０に制限リストＤＢ１０９に記憶された制限リスト３００ａ内の制限情報を更新し、制限リスト更新処理を実行する。

具体的には、制限リスト更新部１１０は、当該制限リスト３００ａの制限情報内の時刻制限情報に“2015/01/01~2015/12/31”を設定し、アクセス制限情報に“情報要求装置４０：許可”を設定する。また、制限リスト更新部１１０は、当該制限リスト３００ａの更新履歴情報内の更新時刻に“T520”を設定し、更新番号に“5”を設定する。また、制限リスト更新部１１０は、当該制限リスト更新処理に係る指示を入力した第３の利用者を識別する第３の利用者識別子“admin_01”を設定する。

制限リスト更新部１１０は、制限リスト更新処理に基づいて生成された制限リスト３００ａを制限リストＤＢ１０９に記憶する。制限リスト更新部１１０は、当該制限リスト更新処理に係る監査ログ生成指示をログ生成部１０８に送信する。

ログ生成部１０８は、制限リスト更新処理に係る監査ログ生成指示を受信する。ログ生成部１０８は、当該指示に応じて、更新された制限リスト３００ａ内の制限情報と、更新履歴情報と、第３の利用者識別子とを含む第４のログを生成する。具体的には、ログ生成部１０８は、図２５（Ａ）に示すように、更新履歴情報の更新時刻に“T520”、更新番号に“5”、利用者識別子に“admin_01”、制限情報の時刻制限情報に“2015/01/01~2015/12/31”、アクセス制限情報に“情報要求装置４０：許可”と記載された監査ログ３００ｃを生成する。

バッチ処理制御部１０６は、データ更新部７０４によってデータ更新処理が実行された各データを操作対象データＤＢ１０１から読出す。また、バッチ処理制御部１０６は、制限リスト更新部１１０によって制限リスト更新処理が実行された制限リスト３００ａを制限リストＤＢ１０９から読出す。バッチ処理制御部１０６は、当該制限リスト３００ａに基づき、データ更新処理又は制限リスト更新処理が実行されたデータをアップロードするか否かを判定する。バッチ処理制御部１０６は、制限リスト３００ａ内のアクセス制限情報が情報要求装置４０に対して“許可”であることに基づき、全てのデータについて、アップロードすると判定する。バッチ処理制御部１０６は、当該判定の結果、全てのデータに対してバッチ処理制御を開始する。バッチ処理制御部１０６は、当該バッチ処理にバッチ処理ＩＤ“１”を付与し、当該バッチ処理ＩＤを各データと共に送信部１０７に送信する。

送信部１０７は、各データを受信し、バッチ処理制御に基づき、当該各データを情報公開装置２０にアップロードするアップロード処理を実行する。送信部１０７は、情報公開装置２０の受信部２０３に各データを、それぞれ時刻Ｔ６００，Ｔ６０１，Ｔ６０２にそれぞれ送信し、アップロードする。送信部１０７は、当該アップロード処理に係るバッチ処理ログ生成指示をログ生成部１０８に送信する。

ログ生成部１０８は、アップロード処理に係るバッチ処理ログ生成指示を受信する。ログ生成部１０８は、各データに対して実行されたアップロード処理に応じて、第２のログを生成する。第２のログは、アップロード処理が実行された時刻を示す第２の時刻と、当該各データにそれぞれ対応する直近の第１の時刻及び操作対象識別子とを含み、制限リスト３００ａ内の更新履歴情報を更に含む。具体的には、ログ生成部１０８は、図２５（Ｂ）に示すように、バッチ処理ＩＤに“１”、第２の時刻に“T600”，“T601”，“T602”、操作対象識別子に“subj_91”，“subj_92”，“subj_93”、直近の第１の時刻であるデータ更新時刻に“T100”，“T300”，“T301”、更新履歴情報の更新時刻に“T520”、更新番号に“5”と記載されたバッチ処理ログ３００ｄを生成する。

情報公開装置２０の受信部２０３は、情報アップロード装置１０からアップロードされたデータを受信し、操作対象データＤＢ２０１に記憶する。

次に、第２の利用者である医師Ｒは、利用者端末６０を操作し、情報要求装置４０に対する指示を入力し、情報公開装置２０内のデータに対する通信要求１００ｄを送信し、通信応答１００ｅを受信する（時刻Ｔ７００−Ｔ７０３）。なお、時刻Ｔ７００−Ｔ７０３に係る動作については、第１の実施形態と同様の動作であるため、説明を省略する。

以上詳述したように、第３の実施形態では、情報アップロード装置１０は、第３の利用者の操作によって入力された指示に基づき、外部ネットワークとの通信を制限する制限情報、及び前記制限情報に対応する更新番号又は更新時刻を含む更新履歴情報と、第３の利用者を識別する第３の利用者識別子とを含む制限リストを記憶する。上記記憶された制限リスト内の制限情報及び更新履歴情報を更新する制限リスト更新処理を実行する。上記実行された制限リスト更新処理に応じて、上記記憶された制限リスト内の制限情報と、更新履歴情報と、第３の利用者識別子とを含む第４のログを生成する。上記記憶された制限リストに基づき、データ更新処理又は制限リスト更新処理が実行されたデータをアップロードするか否かを判定し、アップロードすると判定した場合、上記アップロード処理を実行する。上記第２のログは、記憶された制限リスト内の更新履歴情報を更に含むようにしている。このため、アップロードされたデータに対して、制限リストを適用する場合、当該制限リストが、いつ、誰が、どのような公開範囲及び操作制限を設定した、どのバージョンの制限リストか、を更にトレースするログを生成することができる。

したがって、第３の実施形態によれば、第１の実施形態の効果に加え、データのアップロード処理を制限リストに応じて制限できると共に、当該制限リストに関して実行された各々の処理をトレースできるログを生成することができる。

［第４の実施形態］
図２６は、第４の実施形態に係る情報アップロード装置１０の機能構成の一例を示すブロック図である。以下では、図２と同一部分には同一符号を付してその詳しい説明を省略し、第１の実施形態と異なる部分について主に述べる。

第４の実施形態は、第１の実施形態の変形例であり、アップロード対象データをアップロード処理が実行される前にリストアップしておき、当該リストアップされたアップロード対象データに対してアップロード処理を実行し得る構成となっている。具体的には、このログ生成システム１の機能構成は、図９に示す機能構成と同様であるが、情報アップロード装置１０は、第１の実施形態に加え、アップロード対象リストＤＢ１１１を更に備える。なお、第４の実施形態は、第１の実施形態に限らず、第２又は第３の実施形態の変形例としてもよい。

ここで、アップロード対象リストＤＢ１１１は、各部から読出し／書込み可能なメモリであり、図２７に示す如きアップロード対象リスト４００ａを記憶する。

アップロード対象リスト４００ａは、次回のアップロード処理が実行されるデータの操作対象識別子を含む。アップロード対象リスト４００ａは、アップロード対象の操作対象識別子に加え、次回アップロード時刻を更に含んでもよい。

受信部１０４は、利用者の操作によって利用者端末５０に入力されたデータへのデータ更新処理に関する指示を受信し、当該データ更新処理に関する指示をデータ更新部１０５に送信する。

また、受信部１０４は、情報更新装置７０の送信部７０５からデータ更新処理が実行されたデータを受信し、操作対象データＤＢ１０１に記憶すると共に、当該データの操作対象識別子をアップロード対象リストＤＢ１１１に記憶する。受信部１０４は、当該データの受信処理に係る監査ログ生成指示をログ生成部１０８に送信してもよい。

データ更新部１０５は、データへのデータ更新処理に関する指示を受信部１０４から受信し、当該データを操作対象データＤＢ１０１から読出し、当該指示に基づき、データ更新処理を実行する。データ更新部１０５は、データ更新処理を実行したデータを、操作対象データＤＢ１０１に記憶すると共に、当該データの操作対象識別子をアップロード対象リストＤＢ１１１に記憶する。また、データ更新部１０５は、データ更新処理が実行された場合、データ更新処理に係る監査ログ生成指示をログ生成部１０８に送信する。

バッチ処理制御部１０６は、アップロード対象リストＤＢ１１１に記憶されたアップロード対象リスト４００ａを読出し、アップロード対象の操作対象識別子を抽出する。バッチ処理制御部１０６は、データ更新処理を実行したデータであって、アップロード対象リスト４００ａ内の操作対象識別子で識別される当該データに対して次回のアップロード処理を実行するように、送信部１０７を制御する。また、バッチ処理制御部１０６は、次回のアップロード実行時刻をアップロード対象リスト４００ａに設定してもよく、当該アップロード時刻を設定したアップロード対象リスト４００ａをアップロード対象リストＤＢ１１１に記憶してもよい。

次に、以上のように構成されたログ生成システム１の動作の一例について図１２に示すシーケンス図を用いて説明する。なお、以下の説明では、第１の実施形態と同様の動作となる部分については、説明を省略する。

始めに、総合病院Ａの情報更新装置７０及び診療所Ｂの情報更新装置７０は、時刻Ｔ１００−Ｔ４０１において、それぞれデータを生成又は更新し、情報アップロード装置１０に送信する。なお、時刻Ｔ１００，Ｔ２００，Ｔ３００−Ｔ３０１，Ｔ４００−Ｔ４０１に係る動作については、第１の実施形態と同様の動作であるため、説明を省略する。

なお、次回アップロード時刻は、Ｔ６００が予め設定されているものとする。

情報アップロード装置１０の受信部１０４は、当該送信された各データを時刻Ｔ２０１，Ｔ４０２−Ｔ４０３に受信し、操作対象データＤＢ１０１に記憶すると共に、受信した各データの操作対象識別子をアップロード対象リストＤＢ１１１に記憶する。受信部１０４は、各データの受信処理に係る監査ログ生成指示をログ生成部１０８に送信する。

ログ生成部１０８は、上述の通り、当該受信処理に係る監査ログ１００ｂを生成する。

次に、第１の利用者である管理者Ｑは、利用者端末５０を操作し、第１の利用者識別子“admin_01”で情報アップロード装置１０にログインする。

利用者端末５０は、管理者Ｑの操作により入力された指示を受け付け、操作対象識別子“subj_93”で識別される操作対象に関するデータ更新処理に係る指示を情報アップロード装置１０に送信する。受信部１０４は、当該指示を受信し、データ更新部１０５に送信する。データ更新部１０５は、当該指示を受信し、第１の利用者の操作によって入力された指示に基づき、時刻Ｔ５００にデータ更新処理を実行する。

データ更新部１０５は、データ更新処理に基づいて生成された、利用者識別子“admin_01”による操作対象識別子“subj_93”に関するデータを操作対象データＤＢ１０１に記憶すると共に、当該データの操作対象識別子をアップロード対象リストＤＢ１１１に記憶する。データ更新部１０５は、当該データ更新処理に係る監査ログ生成指示をログ生成部１０８に送信する。

ログ生成部１０８は、上述の通り、当該データ更新処理に係る監査ログ１００ｂを生成する。

バッチ処理制御部１０６は、時刻Ｔ６００に、アップロード対象リスト４００ａ内の操作対象識別子で識別されるデータに対してアップロード処理を実行するように、送信部１０７を制御する。

以下の時刻Ｔ７００−Ｔ７０３における各動作については、第１の実施形態と同様の動作であるため、説明を省略する。

以上詳述したように、第４の実施形態では、情報アップロード装置１０は、次回のアップロード処理が実行されるデータの操作対象識別子を含むアップロード対象リスト４００ａを記憶する。上記記憶されたアップロード対象リスト内の操作対象識別子で識別されるデータに対してアップロード処理が実行されるようにしている。これにより、バッチ処理の処理性能を向上することができる。また、ログに含める事項を増やさずに実施できるので、ログ生成の負荷が増大せず、もって、監査ログ及びバッチ処理ログの出力性能が低下することを防止できる。

したがって、第４の実施形態によれば、アップロード対象リストに応じてアップロード処理を実行する構成により、第１の実施形態の効果に加え、よりデータに対して実行される処理をトレースしやすくすることが可能となる。

なお、第４の実施形態は、第１の実施形態に限らず、第２又は第３の実施形態の変形例としてもよい。この場合も同様に、第２又は第３の実施形態の効果に加え、よりデータに対して実行される処理をトレースしやすくすることが可能となる。

［第５の実施形態］
第５の実施形態は、第１の実施形態の変形例であり、外部ネットワークからどのような経路でデータアクセスがあったかを事後検証し得る構成となっている。以下では、第１の実施形態と同一部分には同一符号を付してその詳しい説明を省略し、第１の実施形態と異なる部分について主に述べる。但し、第５の実施形態は、第１の実施形態に限らず、第２〜第４の各実施形態の変形例としてもよい。

ログ生成部２０６，４０６は、応答処理が他のトランザクション処理と連携して実行される場合、応答処理を識別する第１のトランザクション識別子と、当該他のトランザクション処理を識別する第２のトランザクション識別子とを更に含む第３のログを生成する。

次に、以上のように構成されたログ生成システム１の動作の一例について図１２に示すシーケンス図を用いて説明する。なお、以下の説明では、第１の実施形態と同様の動作となる部分については、説明を省略する。

情報アップロード装置１０は、データを情報公開装置２０にアップロードする。

なお、時刻Ｔ１００，Ｔ２００−Ｔ２０１，Ｔ３００−Ｔ３０１，Ｔ４００−Ｔ４０３，Ｔ５００−Ｔ５０２，Ｔ６００−Ｔ６０２に係る動作については、第１の実施形態と同様の動作であるため、説明を省略する。

次に、第２の利用者である医師Ｒは、利用者端末６０を操作し、第２の利用者識別子“usr_11”で情報要求装置４０にログインする。

利用者端末６０は、医師Ｒの操作により入力された指示を受け付け、操作対象識別子“subj_91”，“subj_92”，“subj_93”で識別される操作対象に関するデータの取得を要求する指示を情報要求装置４０に送信する。なお、本実施例における当該データ要求に係る指示は、各操作対象識別子で識別される操作対象に関するデータを同時に取得するものとする。なお、当該指示に係る利用者端末８０と情報要求装置４０との通信は、トランザクション識別子“access_from_R”で識別されるトランザクション処理として情報要求装置４０に送信される。 受信部４０３は、当該データ要求に係る指示を受信し、要求生成部４０４に送信する。要求生成部４０４は、当該データ要求に係る指示を受信し、利用者識別子“usr_11”、操作対象識別子“subj_91”，“subj_92”，“subj_93”、操作種別に“データ取得”を含む通信要求１００ｄを生成し、当該生成した通信要求１００ｄを送信部４０５に送信する。

送信部４０５は、受信した通信要求１００ｄを、ネットワーク３０を介して情報公開装置２０に時刻Ｔ７００に送信する。なお、当該通信要求１００ｄに係る情報要求装置４０と情報公開装置２０との通信は、トランザクション識別子“access_from_GW”で識別されるトランザクション処理として実行される。また、当該トランザクション処理は、トランザクション識別子“access_from_R”で識別される他のトランザクション処理と連携して実行される。送信部４０５は、当該送信処理に係る監査ログ生成の指示をログ生成部４０６に送信する。

情報公開装置２０の受信部２０３は、通信要求１００ｄを時刻Ｔ７０１に受信し、当該通信要求１００ｄを応答処理部２０４に送信する。受信部２０３は、当該受信処理に係る監査ログ生成指示をログ生成部２０６に送信する。

応答処理部２０４は、受信した通信要求１００ｄに基づき、応答処理を実行する。応答処理部２０４は、操作対象データＤＢ２０１から通信要求１００ｄ内の操作対象識別子“subj_91”，“subj_92”，“subj_93”に対応するデータを読出す。応答処理部２０４は、当該読出したデータに基づき、利用者識別子“usr_11”、操作対象識別子“subj_91”，“subj_92”，“subj_93”、操作種別に“データ取得”、及び当該各データを含む通信応答１００ｅを生成し、当該通信応答１００ｅを送信部２０５に送信する。

送信部２０５は、受信した通信応答１００ｅを、ネットワーク３０を介して情報要求装置４０に時刻Ｔ７０２に送信する。送信部２０５は、当該送信処理に係る監査ログ生成指示をログ生成部２０６に送信する。

ログ生成部２０６は、通信要求１００ｄの受信処理に係る監査ログ生成指示、及び通信応答１００ｅの送信処理に係る監査ログ生成指示を受信する。ログ生成部２０６は、各データに対して実行された応答処理に応じて、当該応答処理が実行された時刻を示す第３の時刻と、当該通信要求１００ｄ及び通信応答１００ｅ内の第２の利用者識別子及び操作対象識別子とを含む第３のログを生成する。また、第３のログは、当該応答処理が他のトランザクション処理と連携して実行される場合、当該応答処理を識別する第１のトランザクション識別子と、他のトランザクション処理を識別する第２のトランザクション識別子とを更に含む。具体的には、ログ生成部２０６は、図２８（Ａ）に示すように、第３の時刻に“T701”，“T702”、第２の利用者識別子に“usr_11”、操作対象識別子に“subj_91”，“subj_92”，“subj_93”、操作種別に“通信要求受信”，“通信応答送信”、トランザクション識別子に“access_from_R”，“access_from_GW”と記載された監査ログ５００ａを生成する。

受信部４０３は、情報公開装置２０から通信応答１００ｅを時刻Ｔ７０３に受信し、送信部４０５に送信する。受信部４０３は、当該受信処理に係る監査ログ生成指示をログ生成部４０６に送信する。

ログ生成部４０６は、通信要求１００ｄの送信処理に係る監査ログ生成指示、及び通信応答１００ｅの受信処理に係る監査ログ生成指示を受信する。ログ生成部４０６は、通信要求１００ｄの送信処理及び通信応答１００ｅの受信処理に応じて、当該各処理が実行された時刻を示す時刻と、当該通信要求１００ｄ及び通信応答１００ｅ内の第２の利用者識別子及び操作対象識別子とを含むログを生成する。具体的には、ログ生成部４０６は、図２８（Ｂ）に示すように、各処理が実行された時刻を示す時刻に“T700”，“T703”、第２の利用者識別子に“usr_11”、操作対象識別子に“subj_91”，“subj_92”，“subj_93”、操作種別に“通信要求送信”，“通信応答受信”、トランザクション識別子に“access_from_R”，“access_from_GW”と記載された監査ログ５００ｂを生成する。

送信部４０５は、受信した通信応答１００ｅ内のデータを利用者端末６０に送信する。

以上詳述したように、第５の実施形態では、情報公開装置２０は、応答処理が他のトランザクション処理と連携して実行される場合、上記応答処理を識別する第１のトランザクション識別子と、他のトランザクション処理を識別する第２のトランザクション識別子とを更に含む第３のログを生成するようにしている。このため、他装置からどのような経路でデータアクセスがあったかを事後検証することができる。

このように、第５の実施形態によれば、トランザクション識別子を含むログを生成する構成により、第１の実施形態の効果に加え、データに対して実行される処理を、より詳細にトレースできるログを生成することが可能となる。

なお、第５の実施形態は、第１の実施形態に限らず、第２〜第４の各実施形態の変形例としてもよい。この場合も同様に、第２〜第４の各実施形態の効果に加え、よりデータに対して実行される処理をトレースしやすくすることが可能となる。

［第６の実施形態］
第６の実施形態は、第１の実施形態の変形例であり、外部ネットワークからのデータへの通信が正当なものであったかを事後検証し得る構成となっている。以下では、第１の実施形態と同一部分には同一符号を付してその詳しい説明を省略し、第１の実施形態と異なる部分について主に述べる。但し、第６の実施形態は、第１の実施形態に限らず、第２〜第５の各実施形態の変形例としてもよい。

応答処理部２０４は、通信要求１００ｄを受信部２０３から受信し、当該受信した通信要求１００ｄに基づき、応答処理を実行するか否かを判定し、判定の結果応答処理を実行すると判定された場合、最終的に応答処理を実行する。応答処理部２０４は、通信要求１００ｄ内の操作対象識別子に基づき、当該操作対象識別子に該当するデータを操作対象データＤＢ２０１から読み出し、通信応答１００ｅを生成し、送信部２０５に送信する。応答処理部２０４は、該当するデータが操作対象データＤＢ２０１内に存在しない場合、判定の結果として、当該データの送信が“不許可”である操作制御結果を、送信部２０５に送信する。

送信部２０５は、通信応答１００ｅ及び操作制御結果を応答処理部２０４から受信し、ネットワーク３０を介して情報要求装置４０に送信する。また、送信部２０５は、当該通信応答１００ｅの送信処理に応じて、監査ログ生成指示と共に、通信応答１００ｅ及び操作制御結果をログ生成部２０６に送信する。

ログ生成部２０６は、受信部２０３及び送信部２０５から監査ログ生成指示を受信すると、監査ログ１００ｂを生成する。

具体的には、ログ生成部２０６は、通信要求１００ｄの受信に係る監査ログ生成指示、及び通信要求１００ｄを受信部２０３から受信すると、当該通信要求１００ｄを受信した時刻と、当該通信要求１００ｄ内の第２の利用者識別子、及び操作対象識別子とを含む監査ログ１００ｂを生成する。

また、ログ生成部２０６は、通信応答１００ｅの送信処理に係る監査ログ生成指示、通信応答１００ｅ、及び操作制御結果を送信部２０５から受信すると、当該通信応答１００ｅが実行された時刻と、当該通信応答１００ｅ内の第２の利用者識別子、及び操作対象識別子と、判定の結果としての操作制御結果を含む第３のログを生成する。

受信部４０３は、通信応答１００ｅ及び操作制御結果を情報公開装置２０の送信部２０５から受信し、当該通信応答１００ｅを送信部４０５に送信する。受信部４０３は、当該通信応答１００ｅ及び操作制御結果の受信処理に応じて、監査ログ生成指示と共に、通信応答１００ｅ及び操作制御結果をログ生成部２０６に送信する。

ログ生成部４０６は、受信部４０３及び送信部４０５から監査ログ生成指示を受信すると、監査ログ１００ｂを生成する。

具体的には、ログ生成部４０６は、通信要求１００ｄの送信処理に係る監査ログ生成指示と共に、通信要求１００ｄを送信部４０５から受信すると、当該通信要求１００ｄを送信した時刻と、当該通信要求１００ｄ内の操作対象識別子、及び第２の利用者識別子とを含むログを生成してもよい。

また、ログ生成部４０６は、通信応答１００ｅの受信処理に係る監査ログ生成指示、通信応答１００ｅ、及び操作制御結果を受信部４０３から受信すると、当該通信応答１００ｅを受信した時刻と、当該通信応答１００ｅ内の第２の利用者識別子、及び操作対象識別子とを含み、操作制御結果を更に含むログを生成してもよい。

次に、以上のように構成されたログ生成システム１の動作の一例について図１２に示すシーケンス図を用いて説明する。なお、以下の説明では、第１の実施形態と同様の動作となる部分については、説明を省略する。

始めに、情報アップロード装置１０は、データを情報公開装置２０にアップロードする。なお、時刻Ｔ１００，Ｔ２００−Ｔ２０１，Ｔ３００−Ｔ３０１，Ｔ４００−Ｔ４０３，Ｔ５００−Ｔ５０２，Ｔ６００−Ｔ６０２に係る動作については、第１の実施形態と同様の動作であるため、説明を省略する。

次に、第２の利用者である医師Ｒは、利用者端末６０を操作し、第２の利用者識別子“usr_11”で情報要求装置４０にログインする。

利用者端末６０は、医師Ｒの操作により入力された指示を受け付け、操作対象識別子“subj_91”，“subj_92”，“subj_93”で識別される操作対象に関するデータの取得を要求する指示を情報要求装置４０に送信する。なお、本実施例における当該データ要求に係る指示は、各操作対象識別子で識別される操作対象に関するデータを同時に取得するものとする。

受信部４０３は、当該データ要求に係る指示を受信し、要求生成部４０４に送信する。要求生成部４０４は、当該データ要求に係る指示を受信し、利用者識別子“usr_11”、操作対象識別子“subj_91”，“subj_92”，“subj_93”，“subj_94”、操作種別に“データ取得”を含む通信要求１００ｄを生成し、当該生成した通信要求１００ｄを送信部４０５に送信する。

送信部４０５は、受信した通信要求１００ｄを、情報公開装置２０に時刻Ｔ７００に送信する。送信部４０５は、当該送信処理に係る監査ログ生成指示をログ生成部４０６に送信する。

情報公開装置２０の受信部２０３は、通信要求１００ｄを時刻Ｔ７０１に受信し、当該通信要求１００ｄを応答処理部２０４に送信する。受信部２０３は、当該受信処理に係る監査ログ生成指示をログ生成部２０６に送信する。

応答処理部２０４は、受信した通信要求１００ｄに基づき、応答処理を実行するか否かを判定し、判定の結果、応答処理を実行すると判定された場合、最終的に応答処理を実行する。応答処理部２０４は、操作対象データＤＢ２０１から通信要求１００ｄ内の操作対象識別子を検索し、“subj_91”，“subj_92”，“subj_93”に対応するデータを読出す。応答処理部２０４は、操作対象識別子“subj_94”に対応するデータが存在しないため、当該データに対する応答処理を実行しないと判定し、当該データに対する判定の結果が “不許可”である操作制御結果を生成する。応答処理部２０４は、当該読出したデータに基づき、利用者識別子“usr_11”、操作対象識別子“subj_91”，“subj_92”，“subj_93”、操作種別に“データ取得”、及び当該各データを含む通信応答１００ｅを生成し、当該通信応答１００ｅ及び操作制御結果を送信部２０５に送信する。

送信部２０５は、受信した通信応答１００ｅを、情報要求装置４０に時刻Ｔ７０２に送信する。送信部２０５は、当該送信処理に係る監査ログ生成指示を、通信応答１００ｅ及び操作制御結果と共にログ生成部２０６に送信する。

ログ生成部２０６は、通信要求１００ｄの受信処理に係る監査ログ生成指示、及び通信応答１００ｅの送信処理に係る監査ログ生成指示を受信する。ログ生成部２０６は、各データに対して実行された応答処理に応じて、当該応答処理が実行された時刻を示す第３の時刻と、当該通信要求１００ｄ及び通信応答１００ｅ内の第２の利用者識別子及び操作対象識別子とを含み、操作制御結果を更に含む第３のログを生成する。具体的には、ログ生成部２０６は、図２９（Ａ）に示すように、第３の時刻に“T701”，“T702”、第２の利用者識別子に“usr_11”、操作対象識別子に“subj_91”，“subj_92”，“subj_93”，“subj_94”、操作種別に“通信要求受信”，“通信応答送信”、操作制御結果に“一部許可”と記載された監査ログ５００ａを生成する。なお、ログ生成部２０６は、操作制御結果として、“subj_91：許可、subj_92：許可、subj_93：許可、subj_94：不許可、”と更に記載された監査ログ６００ａを生成してもよい。

受信部４０３は、情報公開装置２０から通信応答１００ｅ及び操作制御結果を時刻Ｔ７０３に受信し、送信部４０５に送信する。受信部４０３は、当該受信処理に係る監査ログ生成指示をログ生成部４０６に送信する。

ログ生成部４０６は、通信要求１００ｄの送信処理に係る監査ログ生成指示、及び通信応答１００ｅの受信処理に係る監査ログ生成指示を受信する。ログ生成部４０６は、通信要求１００ｄの送信処理及び通信応答１００ｅの受信処理に応じて、当該各処理が実行された時刻を示す時刻と、当該通信要求１００ｄ及び通信応答１００ｅ内の第２の利用者識別子及び操作対象識別子と、操作制御結果を含むログを生成する。具体的には、ログ生成部４０６は、図２９（Ｂ）に示すように、各処理が実行された時刻を示す時刻に“T700”，“T703”、第２の利用者識別子に“usr_11”、操作対象識別子に“subj_91”，“subj_92”，“subj_93”，“subj_94”、操作種別に“通信要求送信”，“通信応答受信”、操作制御結果に“一部許可”と記載された監査ログ６００ｂを生成する。なお、ログ生成部４０６は、操作制御結果として、“subj_91：許可、subj_92：許可、subj_93：許可、subj_94：不許可、”と更に記載された監査ログ６００ｂを生成してもよい。

送信部４０５は、受信した通信応答１００ｅ内のデータを利用者端末６０に送信する。

以上詳述したように、第６の実施形態では、情報公開装置２０は、受信した通信要求１００ｄに基づき応答処理を実行するか否かを判定し、上記判定の結果、応答処理を実行すると判定された場合、最終的に上記応答処理を実行する。上記判定の結果を更に含む第３のログを生成するようにしている。このため、外部ネットワークからのデータへの通信が正当なものであったかを事後検証することができる。

補足すると、第６の実施形態によれば、応答処理を実行すると判定した場合の判定結果を含むログを生成する構成により、第１の実施形態の効果に加え、データに対して実行される処理を、より詳細にトレースできるログを生成することが可能となる。

なお、第６の実施形態は、第１の実施形態に限らず、第２〜第５の各実施形態の変形例としてもよい。この場合も同様に、第２〜第５の各実施形態の効果に加え、データに対して実行される処理を、より詳細にトレースできるログを生成することが可能となる。

その他、ログ生成システムの構成や機能、通信手段、処理手順と処理内容などについても、この発明の要旨を逸脱しない範囲で種々変形して実施可能である。

要するにこの発明は、上記実施形態そのままに限定されるものではなく、実施段階ではその要旨を逸脱しない範囲で構成要素を変形して具体化できる。また、上記実施形態に開示されている複数の構成要素の適宜な組み合せにより種々の発明を形成できる。例えば、実施形態に示される全構成要素から幾つかの構成要素を削除してもよい。さらに、異なる実施形態に亘る構成要素を適宜組み合せてもよい。

１…ログ生成システム、１０…情報アップロード装置、２０…情報公開装置、３０…ネットワーク、４０…情報要求装置、５０，６０，８０…利用者端末、７０…情報更新装置、１０１，２０１，４０１，７０１…操作対象データＤＢ、１０２，２０２，４０２，７０２…監査ログＤＢ、１０３…バッチ処理ログＤＢ、１０４，２０３，４０３，７０３…受信部、１０５，７０４…データ更新部、１０６…バッチ処理制御部、１０７，２０５，４０５，７０５…送信部、１０８，２０６，４０６，７０６…ログ生成部、１０９…制限リストＤＢ、１１０…制限リスト更新部、１１１…アップロード対象リストＤＢ、１００ａ，２００ａ…操作対象データ、１００ｂ，１００ｆ，１００ｇ，１００ｈ，１００ｊ，１００ｋ，２００ｂ，２００ｃ，２００ｅ，２００ｆ，３００ｂ，３００ｃ，５００ａ，５００ｂ，６００ａ，６００ｂ…監査ログ、１００ｃ，１００ｉ，２００ｄ，３００ｄ…バッチ処理ログ、１００ｄ…通信要求、１００ｅ…通信応答、３００ａ…制限リスト、４００ａ…アップロード対象リスト。

Claims (8)

1. 第１のサーバ装置から第２のサーバ装置にアップロード処理され、外部ネットワークからの通信要求に対して応答処理されるデータに対して実行された各々の処理をトレースするためのログを生成する、前記各サーバ装置を備えるログ生成システムであって、
   前記第１のサーバ装置は、
   第１の利用者の操作によって入力された指示に基づき、前記データへのデータ更新処理を実行するデータ更新手段と、
   前記データを識別する操作対象識別子と、前記第１の利用者を識別する第１の利用者識別子とを記憶する第１の記憶手段と、
   前記データに対して実行された前記データ更新処理に応じて、前記データ更新処理が実行された時刻を示す第１の時刻と、前記記憶された操作対象識別子、及び前記第１の利用者識別子とを含む第１のログを生成する第１のログ生成手段と、
   前記データ更新処理が実行されたデータを前記第２のサーバ装置にアップロードするアップロード処理を実行するアップロード手段と、
   前記実行された前記アップロード処理に応じて、前記データに対して前記アップロード処理が実行された時刻を示す第２の時刻と、前記データに対応する直近の前記第１の時刻及び前記操作対象識別子とを含む第２のログを生成する第２のログ生成手段と
   を備え、
   前記第２のサーバ装置は、
   前記アップロード処理が実行された前記データを記憶する第２の記憶手段と、
   第２の利用者の操作によって入力された指示に基づき、前記第２の利用者を識別する第２の利用者識別子と、前記データの操作対象識別子とを含む通信要求を受信する受信手段と、
   前記受信した通信要求に基づき、通信応答を送信する応答処理を実行する応答手段と、
   前記実行された応答処理に応じて、前記応答処理が実行された時刻を示す第３の時刻と、前記通信要求及び前記通信応答内の前記第２の利用者識別子、及び前記操作対象識別子とを含む第３のログを生成する第３のログ生成手段と
   を備えることを特徴とするログ生成システム。
2. 前記データは、前記外部ネットワークとの通信を制限する制限情報を含み、
   前記データ更新手段は、前記第１の利用者の操作により前記制限情報を更に設定し、最終的に前記データへのデータ更新処理を実行し、
   前記第１のログ生成手段は、前記データ内の制限情報を更に含む第１のログを生成し、
   前記アップロード手段は、前記制限情報に基づき、前記データ更新処理が実行されたデータをアップロードするか否かを判定し、アップロードすると判定した場合、前記アップロード処理を実行する
   ことを特徴とする請求項１に記載のログ生成システム。
3. 前記第１のサーバ装置は、
   第３の利用者の操作によって入力された指示に基づき、前記外部ネットワークとの通信を制限する制限情報、及び前記制限情報に対応する更新番号又は更新時刻を含む更新履歴情報と、前記第３の利用者を識別する第３の利用者識別子とを含む制限リストを記憶する第３の記憶手段と、
   前記記憶された制限リスト内の制限情報及び更新履歴情報を更新する制限リスト更新処理を実行する制限リスト更新手段と、
   前記実行された制限リスト更新処理に応じて、前記記憶された前記制限リスト内の制限情報と、更新履歴情報と、前記第３の利用者識別子とを含む第４のログを生成する第４のログ生成手段と
   を更に備え、
   前記アップロード手段は、前記記憶された制限リストに基づき、前記データ更新処理又は前記制限リスト更新処理が実行されたデータをアップロードするか否かを判定し、アップロードすると判定した場合、前記アップロード処理を実行し、
   前記第２のログ生成手段は、前記記憶された制限リスト内の更新履歴情報を更に含む第２のログを生成する
   ことを特徴とする請求項１に記載のログ生成システム。
4. 前記第１のサーバ装置は、
   前記データ更新処理が実行されたデータであって、次回のアップロード処理が実行される前記データの操作対象識別子を含むアップロード対象リストを記憶する第４の記憶手段を更に備え、
   前記アップロード手段は、前記記憶されたアップロード対象リスト内の操作対象識別子で識別されるデータに対して前記次回のアップロード処理を実行する
   ことを特徴とする請求項１乃至請求項３のいずれか１項に記載のログ生成システム。
5. 前記第３のログ生成手段は、前記応答処理が他のトランザクション処理と連携して実行される場合、前記応答処理を識別する第１のトランザクション識別子と、前記他のトランザクション処理を識別する第２のトランザクション識別子とを更に含む第３のログを生成することを特徴とする請求項１乃至請求項４のいずれか１項に記載のログ生成システム。
6. 前記第２のサーバ装置は、
   前記応答手段は、前記受信した通信要求に基づき前記応答処理を実行するか否かを判定し、前記判定の結果、前記応答処理を実行すると判定された場合、最終的に前記応答処理を実行し、
   前記第３のログ生成手段は、前記判定の結果を更に含む第３のログを生成することを特徴とする請求項２乃至請求項５のいずれか１項に記載のログ生成システム。
7. 第１のサーバ装置から第２のサーバ装置にアップロード処理され、外部ネットワークからの通信要求に対して応答処理されるデータに対して実行された各々の処理をトレースするための、前記各サーバ装置が実行するログ生成方法であって、
   第１の利用者の操作によって入力された指示に基づき、前記データへのデータ更新処理を実行するデータ更新工程と、
   前記データを識別する操作対象識別子と、前記第１の利用者を識別する第１の利用者識別子とを記憶する第１の記憶工程と、
   前記データに対して実行された前記データ更新処理に応じて、前記データ更新処理が実行された時刻を示す第１の時刻と、前記記憶された操作対象識別子、及び前記第１の利用者識別子とを含む第１のログを生成する第１のログ生成工程と、
   前記データ更新処理が実行されたデータを前記第２のサーバ装置にアップロードするアップロード処理を実行するアップロード工程と、
   前記実行された前記アップロード処理に応じて、前記データに対して前記アップロード処理が実行された時刻を示す第２の時刻と、前記データに対応する直近の前記第１の時刻及び前記操作対象識別子とを含む第２のログを生成する第２のログ生成工程と、
   前記アップロード処理が実行された前記データを記憶する第２の記憶工程と、
   第２の利用者の操作によって入力された指示に基づき、前記第２の利用者を識別する第２の利用者識別子と、前記データの操作対象識別子とを含む通信要求を受信する受信工程と、
   前記受信した通信要求に基づき、通信応答を送信する応答処理を実行する応答工程と、
   前記実行された応答処理に応じて、前記応答処理が実行された時刻を示す第３の時刻と、前記通信要求及び前記通信応答内の前記第２の利用者識別子、及び前記操作対象識別子とを含む第３のログを生成する第３のログ生成工程と
   を備えることを特徴とするログ生成方法。
8. 第１のサーバ装置から第２のサーバ装置にアップロード処理され、外部ネットワークからの通信要求に対して応答処理されるデータに対して実行された各々の処理をトレースするためのログを生成する、前記各サーバ装置に個別に用いられるログ生成プログラムであって、
   前記第１のサーバ装置を、
   第１の利用者の操作によって入力された指示に基づき、前記データへのデータ更新処理を実行するデータ更新手段、
   前記データを識別する操作対象識別子と、前記第１の利用者を識別する第１の利用者識別子とを記憶する第１の記憶手段、
   前記データに対して実行された前記データ更新処理に応じて、前記データ更新処理が実行された時刻を示す第１の時刻と、前記記憶された操作対象識別子、及び前記第１の利用者識別子とを含む第１のログを生成する第１のログ生成手段、
   前記データ更新処理が実行されたデータを前記第２のサーバ装置にアップロードするアップロード処理を実行するアップロード手段、
   前記実行された前記アップロード処理に応じて、前記データに対して前記アップロード処理が実行された時刻を示す第２の時刻と、前記データに対応する直近の前記第１の時刻及び前記操作対象識別子とを含む第２のログを生成する第２のログ生成手段
   として機能させ、
   前記第２のサーバ装置を、
   前記アップロード処理が実行された前記データを記憶する第２の記憶手段、
   第２の利用者の操作によって入力された指示に基づき、前記第２の利用者を識別する第２の利用者識別子と、前記データの操作対象識別子とを含む通信要求を受信する受信手段、
   前記受信した通信要求に基づき、通信応答を送信する応答処理を実行する応答手段、
   前記実行された応答処理に応じて、前記応答処理が実行された時刻を示す第３の時刻と、前記通信要求及び前記通信応答内の前記第２の利用者識別子、及び前記操作対象識別子とを含む第３のログを生成する第３のログ生成手段
   として機能させるためのプログラム。

Images