情報アクセス制御システムとそのサーバ装置及び情報アクセス制御方法
【課題】ユーザの個人情報を適切な相手にのみ開示できるようにすると共に、開示対象ユーザの設定を簡単かつ確実に行えるようにする。
【解決手段】本人ユーザと他のユーザとの人間関係を表すユーザ関係情報をユーザ関係管理サーバＭＳＶに記憶すると共に、このユーザ関係と関連付けて本人ユーザの医療健康関連情報の開示条件を設定したアクセス制御ルールをデータプロバイドサーバＰＳＶに記憶しておく。そして、利用者端末ＵＴから情報取得リクエストが送信された場合に、この情報取得リクエストに応じて取得要求元のユーザが本人ユーザとどのような関係にあるかをデータプロバイドサーバＰＳＶからユーザ関係管理サーバＭＳＶに問い合わせ、その回答結果とアクセス制御ルールとに基づいて上記本人ユーザの医療健康関連情報の開示を許可するか否かを判定するようにしたものである。
【解決手段】本人ユーザと他のユーザとの人間関係を表すユーザ関係情報をユーザ関係管理サーバＭＳＶに記憶すると共に、このユーザ関係と関連付けて本人ユーザの医療健康関連情報の開示条件を設定したアクセス制御ルールをデータプロバイドサーバＰＳＶに記憶しておく。そして、利用者端末ＵＴから情報取得リクエストが送信された場合に、この情報取得リクエストに応じて取得要求元のユーザが本人ユーザとどのような関係にあるかをデータプロバイドサーバＰＳＶからユーザ関係管理サーバＭＳＶに問い合わせ、その回答結果とアクセス制御ルールとに基づいて上記本人ユーザの医療健康関連情報の開示を許可するか否かを判定するようにしたものである。
【発明の詳細な説明】
【技術分野】
【０００１】
この発明は、例えば医療機関や保健関連機関、自治体等が保有するデータベースに散在して保存されているユーザ情報を、本人もしくは本人が許可した第三者に対し提供するサービスを実現するための情報アクセス制御システムとそのサーバ装置及び情報アクセス制御方法に関する。
【背景技術】
【０００２】
近年、複数の医療機関・保健関連機関・自治体等が保有する医療や健康に係る情報を、通信ネットワークを介し、相互接続・共有することで統合的医療サービス・健康サービスを目指すＥＨＲ（Electronic Health Record）システムが提案されている。
ＥＨＲシステムにおいては、個人のプライバシーに関わる医療及び健康関連情報を扱う。プライバシーに関わる情報は、その扱いのミスが個人にとって大きな損害につながる場合があり、その流通と開示は必要最小限度にとどめる必要がある。そのため、従来型の個人情報を扱うシステムにおいては認証技術により本人確認を行い、本人に係る情報は本人のみが参照することを基本としていた（例えば、非特許文献１を参照。）。
【先行技術文献】
【非特許文献】
【０００３】
【非特許文献１】医療の情報化、EHRは何をもたらしたか −地域の役割と情報の自己管理−インターネット＜URL : http://e-public.nttdata.co.jp/f/repo/602_j0902/j0902.aspx＞
【発明の概要】
【発明が解決しようとする課題】
【０００４】
ところが、医療健康関連の情報を本人しか閲覧できない状況では、その医療健康関連情報を活用することは困難であり、現代日本で目指されている地域に根ざした統合的医療サービスといったものの実現は難しい。例えば、医師に自身の情報を十分に閲覧してもらい、診断及び指導を受けるなど、他者に情報を閲覧してもらった上でその閲覧者から有益な情報を得ることができない。本人の医療健康関連の情報を活用するためには、情報開示したい相手には、簡単にそして過ちなく開示できるしくみが必要である。
【０００５】
この発明は上記事情に着目してなされたもので、その目的とするところは、ユーザの個人情報を適切な相手にのみ開示できるようにすると共に、開示対象ユーザの設定を簡単かつ確実に行えるようにする情報アクセス制御システムとそのサーバ装置及び情報アクセス制御方法を提供することにある。
【課題を解決するための手段】
【０００６】
上記目的を達成するためにこの発明の一つの観点は、データベースに記憶された第１のユーザの個人情報を、情報取得者としての第２のユーザが使用する端末から送信される情報取得要求に応じて検索し要求元の端末へ送信するシステム又は方法にあって、
上記第１のユーザとその個人情報の開示を許可する第２のユーザとの関係を表すユーザ関係情報を管理する手段又は過程と、上記ユーザ関係情報と関連付けて上記第１のユーザの個人情報の開示条件を設定したアクセス制御ルールを管理する手段又は過程と、アクセス許否を判定する手段又は過程とを備える。
そして、このアクセス許否を判定する手段又は過程により、上記端末から、第１及び第２のユーザの識別情報を含む情報取得要求が送られた場合に、この情報取得要求に含まれる第１及び第２の識別情報をもとに上記ユーザ関係管理手段及び上記アクセス制御ルール管理手段に対しそれぞれアクセスし、そのユーザ関係情報及びアクセス制御ルールに基づいて上記第２のユーザに対する上記第１のユーザの個人情報の開示の許否を判定し、この判定の結果情報開示が許可された場合に、上記第１のユーザの識別情報をもとに上記データベースから該当する個人情報を読み出して、取得要求元の端末へ送信するように構成したものである。
【０００７】
したがって、第１のユーザの個人情報を他のユーザに開示してもよいかどうかが、予め設定された当該第１のユーザとの人間関係を表す情報と、このユーザ関係と関連付けて開示条件を設定したアクセス制御ルールに基づいて判定される。このため、第１のユーザとの人間関係が予め設定された関係にあり、かつアクセス制御ルールに規定された開示条件を満たす第２のユーザに対してのみ、第１のユーザの個人情報は開示される。したがって、個人情報が無制限に開示される不具合を防止した上で、例えば家族やかかりつけの医師といった特定の関係にある第２のユーザに対しては個人情報を開示してアドバイス等を受けることが可能となる。また、一度特定の関係にあるユーザへの開示条件を設定しておくことで、同様の関係にあるユーザに対する開示条件の設定作業が簡易になる。また、一般ユーザにとってわかりやすく、ルールの設定を間違い難く、誤った情報の開示が起き難い。
【０００８】
例えば、転居に伴いかかりつけの医師等が変更になった場合、この発明に係わる手段又は過程を具備していなければ、新たな医師のために誤りのない開示条件をアクセス制御ルールに設定することが必要となる。しかし、この発明によれば一度「かかりつけ」という人間関係に関する開示条件をアクセス制御ルールに設定しておけば、かかりつけの医師が追加又は変更された場合でも、当該ユーザのユーザ関係情報に「かかりつけ」として新たな医師ユーザを追加するだけで設定を完了することができ、上記新たな医師ユーザに対する開示条件をアクセス制御ルールに個別かつ詳細に設定する必要がない。さらに、一度「家族」という人間関係に関する開示条件をアクセス制御ルールに設定しておけば、例えば結婚によって家族が増えても、当該ユーザとの人間関係情報に「家族」としてこの新しい家族ユーザを追加するだけでよく、上記新たな家族ユーザに対する開示条件をアクセス制御ルールに個別かつ詳細に設定しなくてもよい。
【０００９】
また、この発明の一つの観点は以下のような態様を備えることも特徴とする。
第１の態様は、端末から第２のユーザの識別情報を含むユーザ関係取得要求が送られた場合に、当該ユーザ関係取得要求に含まれる第２のユーザの識別情報をもとにユーザ関係管理手段に対しアクセスし、上記第２のユーザと当該第２のユーザに対し情報開示を許可している第１のユーザとの関係を表すユーザ関係情報を検索して要求元の端末へ送信する手段又は過程をさらに備えるものである。
【００１０】
第２の態様は、アクセス制御ルールを管理する手段又は過程において、第２のユーザの属性情報と、開示期間又は非開示期間を指定する情報と、個人情報を構成する複数の項目のうち開示対象項目又は非開示対象項目を指定する情報とのうちの少なくとも一つを開示条件としてさらに含むアクセス制御ルールを管理し、アクセス許否を判定する手段又は過程において、アクセス制御ルールに開示条件として含まれる第２のユーザの属性情報、開示期間又は非開示期間を指定する情報、或いは開示対象項目又は非開示対象項目を表す情報を加味して、第２のユーザに対する第１のユーザの個人情報の開示の許否を判定するものである。
このようにすると、「かかりつけ」や「家族」等の人間関係に加え、第２のユーザの属性情報と、開示期間又は非開示期間を指定する情報と、開示対象項目又は非開示対象項目を表す情報の少なくとも一つをさらに考慮してアクセスの許否を判定することが可能となり、さらにきめ細やかなアクセス制御を実現することが可能となる。
【００１１】
例えば、第２のユーザの属性情報としてかかりつけ医師の氏名や所属病院名等を考慮することで、すべてのかかりつけ医師へ無条件に情報を開示するのではなく、Ｘ内科医院のかかりつけ医師にのみ情報を開示するといった開示制限を行うことが可能となる。また、開示期間又は開示禁止期間を考慮することで、特定の期間にのみ情報を開示又は非開示とすることも可能とする。例えば、骨折治療のために一定期間のみ通うＹ整骨医院への情報開示を初診から６ヶ月と設定することで、無用の情報開示を控えることが可能となる。さらに、アクセス制御対象とするデータ項目を規定することで、データ項目ごとの開示／非開示の制御が可能となる。例えば、自身の家族に対して、罹患病名は明らかにするが具体的な治療記録は非開示とするといった情報項目別の開示制御が可能となる。
【発明の効果】
【００１２】
すなわちこの発明によれば、ユーザの個人情報を適切な相手にのみ開示できるようにすると共に、開示対象ユーザの設定を簡単かつ確実に行えるようにする情報アクセス制御システムとそのサーバ装置及び情報アクセス制御方法を提供することができる。
【図面の簡単な説明】
【００１３】
【図１】この発明の一実施形態に係わる情報アクセス制御システムの機能構成を示すブロック図である。
【図２】図１に示したシステムにおけるユーザ関係登録処理シーケンスを示す図である。
【図３】図２に示したユーザ関係登録処理シーケンスにより登録されるユーザ関係情報の一例を示す図である。
【図４】図２に示したユーザ関係登録処理シーケンスにより登録されるユーザ関係情報の他の例を示す図である。
【図５】図１に示したシステムにおけるアクセス制御ルール登録制御シーケンスを示す図である。
【図６】図１に示したシステムにおけるアクセス制御ルール更新・削除制御シーケンスを示す図である。
【図７】図５に示したアクセス制御ルール登録制御シーケンスにより登録されるアクセス制御ルールリストの一例を示す図である。
【図８】図１に示したシステムの情報取得処理シーケンスにおいて情報取得を行えた場合を示す図である。
【図９】図１に示したシステムの情報取得処理シーケンスにおいて情報取得を行えない場合を示す図である。
【図１０】この発明の他の実施形態に係わる情報アクセス制御システムの機能構成を示すブロック図である。
【発明を実施するための形態】
【００１４】
以下、図面を参照してこの発明に係わる実施形態を説明する。
この発明の一実施形態に係わる情報アクセス制御システムの全体構成を示す機能ブロック図である。
この一実施形態に係わる情報アクセス制御システムは、医療機関や保健関連機関、運動関連施設等がそれぞれ運用する複数のデータプロバイドサーバＰＳＶ１〜ＰＳＶｎと、複数のサービス連携サーバＳＳＶと、認証サーバＡＳＶａと、ユーザ登録サーバＲＳＶと、ユーザ関係管理サーバＭＳＶとを備え、これらのサーバ間及びこれらのサーバと利用者端末ＵＴとの間をネットワークＮＷを介して接続可能としたものである。
【００１５】
ネットワークＮＷは、例えばインターネットに代表されるＩＰ網と、このＩＰ網に対しアクセスするための複数のアクセス網とから構成される。アクセス網としては例えばＬＡＮ（Local Area Network）、無線ＬＡＮ、携帯電話網、有線電話網、ＣＡＴＶ（Cable Television）網が用いられる。
【００１６】
利用者端末ＵＴには、患者等の一般ユーザが自宅等において使用する一般ユーザ用の端末と、医師や保健師、薬剤師等が患者の依頼を受けて患者の医療情報等を取得するために使用する業務用の端末と、ユーザ登録サーバＲＳＶに設けられるオペレータ用のコンソール端末が含まれる。
【００１７】
データプロバイドサーバＰＳＶ１〜ＰＳＶｎは、中央制御ユニット（Central Control Unit；ＣＰＵ）に、バスを介してプログラムメモリと、各種データベースを保存するためのデータメモリと、通信インタフェースを接続したもので、その機能モジュールとして、アプリケーション処理モジュール１０と、情報取得リクエスト処理モジュール１１と、アクセス制御ルール管理モジュール１２と、アクセス制御モジュール１３と、連携処理モジュール１４と、ユーザ設定処理モジュール１５とを備えている。これらの機能モジュールは何れも、上記プログラムメモリに格納されたプログラムを上記ＣＰＵに実行させることにより実現される。
【００１８】
データベースとしては、ユーザデータベース１６と、連携用ＩＤデータベース１７と、アクセス制御ルールデータベース１８と、アプリケーションデータベース１９を備えている。ユーザデータベース１６には、各ユーザを識別し管理するためのユーザ情報が記憶される。ユーザ情報は、ユーザの識別情報（ＩＤ）、ユーザ基本情報およびユーザ属性等からなる。アプリケーションデータベース１９には、各ユーザの個人情報、例えば保健指導情報や健康診断情報等の医療健康関連情報が上記ユーザＩＤに対応付けられて格納される。
【００１９】
連携用ＩＤデータベース１７には、ユーザ登録サーバＲＳＶから登録を要求されたＩＤ連携情報が記憶される。ＩＤ連携情報は、他サーバから自サーバのあるユーザの個人データにアクセスするための情報である。
【００２０】
アクセス制御ルールデータベース１８には、アプリケーションデータベース１９に格納されているユーザの医療健康関連情報について、当該情報をどのような条件のもとでアクセスを許可するかを設定するためのアクセス制御ルールを表す情報が記憶される。図７にこのアクセス制御ルールのリストの一例を示す。
【００２１】
アクセス制御ルールには、情報の開示条件を表す複数のルール項目が記載されている。このルール項目は、例えば医療健康関連情報のオーナを示すデータ所有ユーザ（ＩＤ等で管理される）と、アクセス制御対象とするデータ項目（「対象データ−項目」）と、何時から何時までに登録されたデータをアクセス制御対象とするかを示す情報である「対象データ−期間」と、誰をアクセス制限又は許可の対象とするかを示す「対象ユーザ」と、どの組織をアクセス制限・許可の対象とするかを示す「対象ユーザ−所属組織」と、どのような資格を持った者をアクセス制限又は許可の対象とするかを示す「対象ユーザ−ロール」と、データ所有者とどのような人間関係にある者をアクセス制限又は許可の対象とするかを示す「対象ユーザ−関係」とから構成される。「対象データ−項目」としては、例えば、病名、投薬名、体重、アレルギー情報がある。
また、アクセス制御ルールには、上記各ルール項目に加え、上記アプリケーションデータベース１９に格納されているユーザの医療健康関連情報の読み取りの可否を表す項目と、当該医療健康関連情報の書き込みの可否を表す項目が記載されている。
【００２２】
なお、例えばアクセス制御対象とするユーザがＩＣカードとパスワードで認証された際にのみアクセスを許可するといったように、アクセスを許可する認証手段を限定する項目（「対象ユーザ−認証手段」）を含ませることも可能である。また、このアクセス制御ルール自体の有効期間を示す「ルール有効期間」項目を含ませ、これにより特定の期間にのみ情報を開示／非開示とすることも可能とする。
【００２３】
ユーザ設定処理モジュール１５は、ユーザ登録サーバＲＳＶからの要求に応じて、自らの連携用ＩＤデータベース１７およびユーザデータベース１６の検索、連携用ＩＤデータベース１７へのＩＤ連携情報の登録または削除、ユーザデータベース１６へのユーザ情報の登録または削除を行い、その結果をユーザ登録サーバＲＳＶに応答するものである。
【００２４】
連携処理モジュール１４は、認証サーバＡＳＶａから認証情報を取得し、連携用ＩＤデータベース１７に格納されたＩＤ連係情報を用いて他のデータプロバイドサーバＰＳＶ１〜ＰＳＶｎとの間で属性交換（個人データの流通）を行う。この属性交換の処理は、ＳＡＭＬ（Security Assertion Markup Language）におけるＳＰ等の機能を有する認証連携部や、ID-WSF（Identity Web Service Framework）におけるＷＳＣ（Web Service Consumer）等の機能を使用して行われる。なお、ＳＡＭＬおよびＩＤ−ＷＳＦは、Liberty Allianceが定めているＷｅｂサービスのための仕様である。
【００２５】
アクセス制御ルール管理モジュール１２は、上記アクセス制御ルールデータベース１８に対するアクセス制御ルールの登録、更新又は削除処理を行う。
アクセス制御モジュール１３は、サービス連携サーバＳＳＶから送信された情報取得リクエストを情報取得リクエスト処理モジュール１１が受信した場合に、この受信された情報取得リクエストに基づいて、リクエスト対象となっている情報に関連付けられているアクセス制御ルールを参照し、当該情報の読み取り可否及び書き込み可否を判定する。そして、アクセス可と判定された場合には、アプリケーション処理モジュール１０に対し情報取得リクエストを転送し、リクエスト対象である医療健康関連情報を読み出す処理を行う。
【００２６】
アプリケーション処理モジュール１０は、例えば保健指導情報や健康診断情報といったユーザの個人情報に基づいて、当該ユーザに対し保健指導を行うようなアプリケーション機能を備える。このアプリケーション機能は、データプロバイドサーバＰＳＶ１〜ＰＳＶｎ内の上記各機能モジュールを利用することができ、それ以外の部分は自由に作成できるものである。
【００２７】
認証サーバＡＳＶａは、上記データプロバイドサーバＰＳＶ１〜ＰＳＶｎと同様に、ＣＰＵに対しバスを介してプログラムメモリと、データベースを記憶するデータメモリと、通信インタフェースを接続したもので、その機能モジュールとして認証処理モジュール２１と、連携処理モジュール２２と、ユーザ設定処理モジュール２３を備えている。これらの機能モジュールは何れも、上記プログラムメモリに格納されたプログラムを上記ＣＰＵに実行させることにより実現される。
【００２８】
また、データベースとして、ユーザデータベース２４と、連携用ＩＤデータベース２５と、ディレクトリデータベース２６を備えている。ユーザデータベース２４には、各ユーザを識別し管理するためのユーザ情報が記憶される。連携用ＩＤデータベース２５には、ユーザ登録サーバＲＳＶから登録を要求されたＩＤ連携情報が記憶される。このＩＤ連携情報は、それぞれのユーザに対してサーバごとに設定される。ディレクトリデータベース２６には、個人情報の所在、つまりどのサーバがどの医療健康関連情報を保持しているかを表すディレクトリデータが記憶される。
【００２９】
ユーザ設定処理モジュール２３は、ユーザ登録サーバＲＳＶからの要求に応じて自らのＩＤ連携データベース２５及びユーザデータベース２４の検索、連携用ＩＤデータベース２５へのＩＤ連携情報の登録又は削除、ユーザデータベース２４へのユーザ情報の登録又は削除を行い、その結果をユーザ登録サーバＲＳＶに対し応答する処理を行う。
【００３０】
連携処理モジュール２２は、ユーザデータベース２４、連携用ＩＤデータベース２５及びディレクトリデータベース２６を用いて、データプロバイドサーバＰＳＶ１〜ＰＳＶｎに対し、認証情報の提供及びディレクトリサービスの提供を行う。この連携処理モジュール２２は、上記処理のためにＩＤ−ＷＳＦにおけるＳＰ（Service Provider）機能を有すると共に、ＳＡＭＬにおけるＩＤＰ（Identity Provider）の機能を有する。
【００３１】
認証処理モジュール２１は、ユーザに対する認証処理を行うものであり、利用者端末ＵＴにおいてユーザが入力したユーザ情報をもとにユーザデータベース２４を参照し、当該ユーザの正当性を認証する。認証方式としては、ＩＤ／パスワード認証、ＩＣカード認証、公開鍵暗号基盤認証、多要素認証等の様々な認証方式を用いることができる。
【００３２】
サービス連携サーバＳＳＶは、上記認証サーバＡＳＶａと同様に、ＣＰＵにバスを介してプログラムメモリ、データベースを記憶するデータメモリ及び通信インタフェースを接続したもので、その機能モジュールとしてアプリケーション処理モジュール３１と、関係検索モジュール３２と、アクセス制御ルール設定管理要求モジュール３３と、情報取得リクエストモジュール３４と、連携処理等モジュール３５と、ユーザ設定処理モジュール３６を備えている。これらの機能モジュールは何れも、上記プログラムメモリに格納されたプログラムを上記ＣＰＵに実行させることにより実現される。
【００３３】
またデータベースとしては、ユーザデータベース３７と、連携用ＩＤデータベース３８を備えている。ユーザデータベース３７には、各ユーザを識別し管理するためのユーザ情報が記憶される。連携用ＩＤデータベース３８には、ユーザ登録サーバＲＳＶから登録を要求されてＩＤ連携情報が記憶される。
【００３４】
ユーザ設定処理モジュール３６は、ユーザ登録サーバＲＳＶからの検索要求に応じて、自らのユーザデータベース３７及び連携用ＩＤデータベース３８の検索、連携用ＩＤデータベース３８へのＩＤ連携情報の登録又は削除、ユーザデータベース３７へのユーザ情報の登録又は削除を行い、その検索結果をユーザ登録サーバＲＳＶに対し応答する処理を行う。
【００３５】
連携処理モジュール３５は、認証サーバＡＳＶａから認証情報を取得し、連携用ＩＤデータベース３８を用いて、データプロバイドサーバＰＳＶ１〜ＰＳＶｎや他のサービス連携サーバＳＳＶ等との間で属性交換を行うものであり、この属性交換処理のためにＳＡＭＬにおけるＳＰの機能を有する。また、ＩＤ−ＷＳＦにおけるＷＳＣの機能を有する。
【００３６】
関係検索モジュール３２は、利用者端末ＵＴから送信された情報取得リクエストが受信された場合に、情報取得対象となるユーザのリストを提示する際に機能するもので、要求元のユーザと関係性を持つユーザを検索する処理を行う。
【００３７】
情報取得リクエストモジュール３４は、ユーザデータベース３７に記憶されたユーザ情報を用いて、データプロバイドサーバＰＳＶ１〜ＰＳＶｎに対しアクセス制御ルール情報、及びユーザ個人の医療健康関連情報の収集を要求する。
【００３８】
アクセス制御ルール設定管理要求モジュール３３は、利用者端末ＵＴから送られるアクセス制御ルール設定リクエストに応じて、データプロバイドサーバＰＳＶ１〜ＰＳＶｎに対し、アクセス制御ルールデータベース１８へのアクセス制御ルール情報の追加、更新または削除を要求する。
【００３９】
アプリケーション処理モジュール３１は、利用者端末ＵＴから送信される要求に応じて、要求元のユーザに関する様々な医療健康関連情報の一覧サービスを行うためのアプリケーション等を備える。
【００４０】
ユーザ登録サーバＲＳＶも、上記認証サーバＡＳＶａ等と同様に、ＣＰＵにバスを介してプログラムメモリと、データベースを記憶するデータメモリと、通信インタフェースを接続したもので、その機能モジュールとして、利用者操作処理モジュール４１及びユーザ設定処理モジュール４２を備えている。またデータベースとしては、ユーザデータベース４３を備えている。このユーザデータベース４３には、各ユーザのユーザ情報が記憶される。なお、上記各機能モジュールは何れも、上記プログラムメモリに格納されたプログラムを上記ＣＰＵに実行させることにより実現される。
【００４１】
ユーザ設定処理モジュール４２は、ユーザ又はオペレータからの操作に応じて自らのユーザデータベース４３に記憶されたユーザ情報を更新すると共に、認証サーバＡＳＶａ、データプロバイドサーバＰＳＶ１〜ＰＳＶｎ及びサービス連携サーバＳＳＶに対してユーザの登録、更新又は削除を要求する。
【００４２】
また、ユーザＩＤと、認証サーバＡＳＶａ、データプロバイドサーバＰＳＶ１〜ＰＳＶｎ、サービス連携サーバＳＳＶがそれぞれ独自に管理するユーザＩＤとの間の関連付けと、その解除処理を行う。
【００４３】
さらに、データプロバイドサーバＰＳＶ１〜ＰＳＶｎを利用可能又は利用不可能にするために、認証サーバＡＳＶａに対してサービス関連情報の登録又は解除を要求する。認証サーバＡＳＶａ、データプロバイドサーバＰＳＶ１〜ＰＳＶｎ及びサービス連携サーバＳＳＶがそれぞれ独自に使用する匿名ＩＤ（ＳＡＭＬ等）をシステム共通のユーザＩＤに、又はシステム共通のユーザＩＤからそれぞれの匿名ＩＤに変換する機能も持つ。また、各サーバに対し、指定された条件でのユーザ検索機能も持つ。
【００４４】
ユーザ関係管理サーバＭＳＶも、上記認証サーバＡＳＶａ等と同様に、ＣＰＵにバスを介してプログラムメモリと、データベースを記憶するデータメモリと、通信インタフェースを接続したもので、その機能モジュールとして、ユーザ関係管理モジュール５１と、連携処理モジュール５２と、組織・ロール管理モジュール５３と、ユーザ設定処理モジュール５４を備えている。これらの機能モジュールは何れも、上記プログラムメモリに格納されたプログラムを上記ＣＰＵに実行させることにより実現される。
【００４５】
また、データベースとして、ユーザ関係データベース５５と、ユーザデータベース５６と、連携用ＩＤデータベース５７と、組織データベース５８と、ロールデータベース５９と、関係名データベース６０を備えている。ユーザデータベース５６には、各ユーザを識別し管理するためのユーザ情報が記憶される。連携用ＩＤデータベース５７には、ユーザ登録サーバＲＳＶから登録を要求されてＩＤ連携情報が記憶される。
【００４６】
関係名データベース６０には、ユーザと当該ユーザが自己の個人情報の閲覧を許可した情報取得ユーザとの人間関係を表す具体名が記憶される。人間関係を表す具体名としては、例えば「家族」や「かかりつけ」、「職場同僚」等がある。ロールデータベース５９には、情報取得者たるユーザのロール情報が記憶される。ロール情報には、例えばＩＳＯによって協議されているｈｃＲｏｌｅ（health care Role）のように保健医療福祉分野の国家資格等によって識別される役割である、「医師」や「保健師」、「看護師」、「理学療法士」といった役割名が用いられる。組織データベース５８には、情報取得者たるユーザが所属する組織名が記憶される。組織名としては、例えば「Ａ診療所」、「Ｂ市民病院」、「Ｃフィットネスクラブ」等がある。
【００４７】
ユーザ関係データベース５５には、ユーザと当該ユーザが自己の個人情報の閲覧を許可した情報取得ユーザとの人間関係を表す情報が記憶される。図３及び図４はこのユーザ関係データベース５５に記憶される人間関係を表す情報の一例を示すものである。すなわち、図３は市民Ｂの関係情報を示しており、市民Ｂとこのシステム上で人間関係が作られているユーザは市民Ａであり、その関係が「家族」であることを示している。また図４は、市民Ａの関係情報を示しており、市民Ａと人間関係が作られているユーザとして、市民Ｂ、市民Ｃ、Ｘ病院ｘ医師、Ｙ病院ｙ医師、Ｙ病院ｚ保健師がいることを示している。またｘ医師、ｙ医師、ｚ保健師はいずれも、市民Ａの「かかりつけ」という関係として登録されていることを示している。
【００４８】
組織・ロール管理モジュール５３は、上記組織データベース５８、ロールデータベース５９及び関係名データベース６０にそれぞれ記憶された組織、ロール及び関係名を管理するもので、これらの情報の登録、更新又は削除を実行する機能を持つ。
【００４９】
ユーザ設定処理モジュール５４は、ユーザ登録サーバＲＳＶから送信された要求に応じて、自らの連携用ＩＤデータベース５７及びユーザデータベース５６の検索、連携用ＩＤデータベース５７へのＩＤ連携情報の登録又は削除、ユーザ情報の登録又は削除を行い、その結果をユーザ登録サーバＲＳＶに対し応答する。
【００５０】
ユーザ関係管理モジュール５１は、サービス連携サーバＳＳＶ及びデータプロバイドサーバＰＳＶ１〜ＰＳＶｎからユーザ関係情報の検索リクエストが送られた場合に、このリクエストにより指定されたユーザのユーザ関係情報をユーザ関係データベース５５から読み出す。そして、この読み出したユーザ関係情報を要求元のサーバへ返送する。
【００５１】
次に、以上のように構成されたシステムの動作を説明する。
（１）ユーザ関係情報の登録
先ず、ユーザ関係情報の登録処理は以下のように行われる。図２はその処理手順と処理内容を示すシーケンス図である。
【００５２】
すなわち、利用者端末ＵＴにおいてシステムにログオンした状態で、ユーザ本人が自身のユーザ関係情報を追加、削除又は更新を要求する操作を行ったとする。そうすると、この操作に応じてユーザ関係情報の追加、削除又は更新を要求するためのリクエストが、利用者端末ＵＴからサービス連携サーバＳＳＶへ送信される。サービス連携サーバＳＳＶは上記リクエストを受信すると、アプリケーション処理モジュール３１の制御の下で、上記リクエストをユーザ関係管理サーバＭＳＶへ転送する。
【００５３】
ユーザ関係管理サーバＭＳＶは、上記リクエストを受信すると、ユーザ関係管理モジュール５１の制御の下で、上記リクエストの内容に従いユーザ関係データベース５５に対しユーザ関係情報を新規登録するか、又は登録済みのユーザ関係情報の更新又は削除を行う。そして、その実行結果（OKまたはNG）を表すレスポンスを返送する。このレスポンスは、ユーザ関係管理サーバＭＳＶからサービス連携サーバＳＳＶに送られ、このサービス連携サーバＳＳＶから要求元の利用者端末ＵＴへ転送される。
【００５４】
かくして、ユーザ関係管理サーバＭＳＶのユーザ関係データベース５５には、要求元のユーザが市民Ｂであれば、例えば図３に示したようなユーザ関係情報が登録される。また要求元のユーザが市民Ａであれば、例えば図４に示したようなユーザ関係情報が登録される。
【００５５】
（２）アクセス制御ルールの登録
次に、アクセス制御ルールの登録処理は以下のように行われる。図５はその処理手順と処理内容を示すシーケンス図である。
【００５６】
すなわち、利用者端末ＵＴにおいてシステムにログオンした状態で、ユーザが自身の個人情報の開示条件を表すアクセス制御ルールの登録を要求する操作を行ったとする。そうすると、先ず利用者端末ＵＴからサービス連携サーバＳＳＶへ、登録対象組織、登録対象ロール又は登録対象関係名の検索・選択リクエストが送信される。サービス連携サーバＳＳＶは上記検索・選択リクエストを受信すると、アクセス制御ルール設定管理要求モジュール３３の制御の下で、上記検索・選択リクエストをユーザ関係管理サーバＭＳＶへ送信する。
【００５７】
ユーザ関係管理サーバＭＳＶは、上記アクセス制御ルールの検索・選択リクエストを受信すると、組織・ロール管理モジュール５３の制御の下で、組織データベース５８、ロールデータベース５９又は関係名データベース６０からそれぞれ、アクセス制御ルールを編集する際にその項目に記載する候補となる組織名、ロール名又は関係名を表す情報を読み出す。そして、この読み出した組織名、ロール名又は関係名を表す情報をサービス連携サーバＳＳＶへ返送する。この組織名、ロール名又は関係名を表す情報は、サービス連携サーバＳＳＶを介して要求元の利用者端末ＵＴへ送られ、ディスプレイに表示される。
【００５８】
この状態でユーザは、利用者端末ＵＴにおいて、上記表示された組織名、ロール名又は関係名の候補の中から所望のものを選択してアクセス制御ルール中の対応する項目に挿入する。なお、「対象データ−期間」、「対象ユーザ−認証手段」、「ルール有効期間」、「読み取り可否」及び「書き込み可否」等の、アクセス制御ルールを構成するその他の項目については、ユーザがデータを手操作で入力することで挿入する。かくしてアクセス制御ルールの編集が行われる。
【００５９】
上記アクセス制御ルールの編集が終了し、ユーザが送信操作を行ったとする。そうすると、利用者端末ＵＴからサービス連携サーバＳＳＶへ、上記編集により作成された新たなアクセス制御ルールの登録リクエストが送信される。サービス連携サーバＳＳＶは、上記登録リクエストを受信すると、アクセス制御ルール設定管理要求モジュール３３の制御の下で、上記アクセス制御ルールの登録リクエストをデータプロバイドサーバＰＳＶ１〜ＰＳＶｎへ送信する。
【００６０】
データプロバイドサーバＰＳＶ１〜ＰＳＶｎは、上記アクセス制御ルールの登録リクエストを受信すると、アクセス制御ルール管理モジュール１２の制御の下で、上記登録リクエストと共に送られた新たなアクセス制御ルールを、要求元のユーザＩＤに対応付けてアクセス制御ルールデータベース１８に格納する。そして、その処理結果（登録OKまたはNG情報）を表すレスポンスを返送する。このレスポンスは、データプロバイドサーバＰＳＶ１〜ＰＳＶｎからサービス連携サーバＳＳＶに送信され、このサービス連携サーバＳＳＶから要求元の利用者端末ＵＴへ転送される。
かくして、データプロバイドサーバＰＳＶ１〜ＰＳＶｎのアクセス制御ルールデータベース１８には、例えば図７に示したようなアクセス制御ルールがリストに追加登録される。
【００６１】
（３）アクセス制御ルールの更新又は削除
上記アクセス制御ルールデータベース１８に登録されたアクセス制御ルールの変更又は削除処理は以下のように行われる。図６はその処理手順と処理内容を示すシーケンス図である。
【００６２】
すなわち、利用者端末ＵＴにおいてシステムにログオンした状態で、ユーザが自身のアクセス制御ルールリストの表示要求操作を行ったとする。そうすると、利用者端末ＵＴからサービス連携サーバＳＳＶへ、アクセス制御ルールリストの表示リクエストが送信される。サービス連携サーバＳＳＶは、上記表示リクエストを受信すると、アクセス制御ルール設定管理要求モジュール３３の制御の下で、上記表示リクエストをデータプロバイドサーバＰＳＶ１〜ＰＳＶｎへ転送する。
【００６３】
データプロバイドサーバＰＳＶ１〜ＰＳＶｎは、上記表示リクエストを受信するとアクセス制御ルール管理モジュール１２の制御の下で、上記表示リクエストに含まれる表示対象ユーザのＩＤをもとにアクセス制御ルールデータベース１８から対応するアクセス制御ルールリストの一覧を読み出し、この読み出されたアクセス制御ルールリストの一覧を返送する。このアクセス制御ルールリストの一覧は、サービス連携サーバＳＳＶを介して要求元の利用者端末ＵＴへ転送され表示される。
【００６４】
この状態で、ユーザが、表示されたアクセス制御ルールリストの一覧の中から変更又は削除対象のルールを選択して変更又は削除操作を行ったとする。そうすると、利用者端末ＵＴから当該選択したルールに対する変更又は削除を要求するリクエストがサービス連携サーバＳＳＶへ送信される。サービス連携サーバＳＳＶは、上記ルール変更又は削除のためのリクエストを受信すると、アクセス制御ルール設定管理要求モジュール３３の制御の下で、上記ルール変更又は削除のためのリクエストをデータプロバイドサーバＰＳＶ１〜ＰＳＶｎへ転送する。
【００６５】
データプロバイドサーバＰＳＶ１〜ＰＳＶｎは、上記変更又は削除のためのリクエストを受信するとアクセス制御ルール管理モジュール１２の制御の下で、アクセス制御ルールデータベース１８記憶されたアクセス制御ルールのうち、上記変更又は削除のためのリクエストにより指定されたルールの変更又は削除処理を行う。そして、その処理結果（変更又は削除OKまたはNG情報）を表すレスポンスを返送する。このレスポンスは、データプロバイドサーバＰＳＶ１〜ＰＳＶｎからサービス連携サーバＳＳＶに送信され、このサービス連携サーバＳＳＶから要求元の利用者端末ＵＴへ転送される。
かくして、データプロバイドサーバＰＳＶ１〜ＰＳＶｎのアクセス制御ルールデータベース１８に記憶されたアクセス制御ルールの変更又は削除が行われる。
【００６６】
（４）ユーザの医療健康関連情報の取得
ここでは、データプロバイドユーザＰＳＶ１〜ＰＳＶｎに格納された市民Ａの医療健康関連情報を、当該市民Ａの家族である市民Ｂが取得する場合を例にとって説明する。図８及び図９はその取得処理の手順と処理内容を示すシーケンス図である。
【００６７】
利用者端末ＵＴにおいて、市民Ｂがシステムにログインすると、先ず利用者端末ＵＴと認証サーバＡＳＶａとの間で市民Ｂの認証手順が実行される。そして、この認証手順により市民Ｂの正当性が確認され、当該市民Ｂが自身のユーザ関係情報の取得操作を行うと、利用者端末ＵＴからサービス連携サーバＳＳＶへユーザ関係情報の取得リクエストが送信される。サービス連携サーバＳＳＶは、上記ユーザ関係情報の取得リクエストを受信すると、先ず関係検索モジュール３２の制御の下で、市民Ｂのユーザ関係検索・指定リクエストを生成して、このリクエストをユーザ関係管理サーバＭＳＶへ送信する。
【００６８】
ユーザ関係管理サーバＭＳＶは、上記ユーザ関係検索・指定リクエストを受信すると、ユーザ関係管理モジュール５１の制御の下で、ユーザ関係データベース５５から要求元の市民Ｂと人間関係のあるユーザのリストであるユーザ関係情報を検索し、この検索したユーザ関係情報を要求元の利用者端末ＵＴへ返送する。利用者端末ＵＴでは、上記ユーザ関係情報がディスプレイに表示される。
【００６９】
この状態で、市民Ｂが上記表示されたユーザリストの中から情報取得対象のユーザとして市民Ａを選択したとする。そうすると、この選択された市民ＡのユーザＩＤと情報取得者である市民ＢのユーザＩＤを含む情報取得リクエストが、利用者端末ＵＴからサービス連携サーバＳＳＶへ送信される。サービス連携サーバＳＳＶは、上記情報取得リクエストを受信すると、情報取得リクエストモジュール３４の制御の下で、上記情報取得リクエストをデータプロバイドサーバＰＳＶ１〜ＰＳＶｎへ送信する。
【００７０】
データプロバイドサーバＰＳＶ１〜ＰＳＶｎは、上記情報取得リクエストを受信すると、先ず情報取得リクエスト処理モジュール１１の制御の下で、上記受信された情報取得リクエストを、アクセス制御モジュール１３が処理するために必要なデータ形式に変換した上で、この変換後の情報取得リクエストをアクセス制御モジュール１３に転送する。アクセス制御モジュール１３は、上記情報取得リクエストを受信すると、その送信元のユーザ（市民Ｂ）が市民Ａの医療健康関連情報を取得する権限を有しているか否かを以下のようにして判定する。
【００７１】
すなわち、先ずユーザ関係管理サーバＭＳＶに対し、要求元ユーザ（市民Ｂ）のユーザ関係情報の確認要求を送信する。ユーザ関係管理サーバＭＳＶは、上記確認要求を受信すると、ユーザ関係管理モジュール５１の制御の下で、ユーザ関係データベース５５から要求元ユーザ（市民Ｂ）のユーザ関係情報を読み出し、このユーザ関係情報をデータプロバイドサーバＰＳＶ１〜ＰＳＶｎへ返送する。
【００７２】
次に、上記受信したユーザ関係情報と、アクセス制御ルールデータベース１８に記憶された市民Ａのアクセス制御ルールを参照し、市民Ｂが市民Ａの医療健康関連情報の取得権限を有しているか否かを判定する。例えば、いま市民Ａのアクセス制御ルール１に図７に示すように対象ユーザとの関係として「家族」が設定されており、一方市民Ｂのユーザ関係情報に図３に示すように市民Ａが市民Ｂの家族として登録されていれば、市民Ｂは市民Ａの医療健康関連情報の取得権限を有すると判定される。
【００７３】
そうして市民Ｂが市民Ａの医療健康関連情報の取得権限を有する者であることが確認されると、アクセス制御モジュール１３は上記受信された市民Ａの情報取得リクエストをアプリケーション処理モジュール１０へ転送する。
【００７４】
アプリケーション処理モジュール１０は、上記転送されたリクエストに従いアプリケーションデータベース１９から市民Ａの医療健康関係情報を選択的に読み出し、この読み出した市民Ａの医療健康関係情報をアクセス制御モジュール１３に転送する。アクセス制御モジュール１３は、上記転送された市民Ａの医療健康関係情報を情報取得リクエスト処理モジュール１１に転送し、情報取得リクエスト処理モジュール１１はこの市民Ａの医療健康関係情報をレスポンスとして返送する。このレスポンスは、サービス連携サーバＳＳＶを介して要求元の利用者端末ＵＴへ伝送される。
かくして、市民Ａの家族である市民Ｂは、利用者端末ＵＴにおいて市民Ａの医療健康関連情報を閲覧することが可能となる。
【００７５】
一方、上記データプロバイドサーバＰＳＶ１〜ＰＳＶｎのアクセス制御モジュール１３による情報取得権限の有無の判定処理において、市民Ｂは市民Ａの「家族」として設定されておらず、また「かかりつけ」の医師または保健師としても登録されていないと判定されたとする。この場合、データプロバイドサーバＰＳＶ１〜ＰＳＶｎのアクセス制御モジュール１３は、上記判定結果（ＮＧ）に基づいて、市民Ａの医療関健康連情報の読み書きを不許可とする。そして、情報取得リクエスト処理モジュール１１に対し、情報取得を拒否する旨のＮＧレスポンスを図９に示すように返送する。このＮＧレスポンスは、データプロバイドサーバＰＳＶ１〜ＰＳＶｎからサービス連携サーバＳＳＶを介して要求元の利用者端末ＵＴへ返送される。
【００７６】
以上詳述したようにこの実施形態では、本人ユーザと他のユーザとの人間関係を表すユーザ関係情報をユーザ関係管理サーバＭＳＶに記憶すると共に、このユーザ関係と関連付けて上記本人ユーザの医療健康関連情報の開示条件を設定したアクセス制御ルールをデータプロバイドサーバＰＳＶ１〜ＰＳＶｎに記憶しておく。そして、利用者端末ＵＴから情報取得リクエストが送信された場合に、この情報取得リクエストに応じて取得要求元のユーザが本人ユーザとどのような関係にあるかをデータプロバイドサーバＰＳＶ１〜ＰＳＶｎからユーザ関係管理サーバＭＳＶに問い合わせ、その回答結果とアクセス制御ルールとに基づいて上記本人ユーザの医療健康関連情報の開示を許可するか否かを判定する。そして、許可された場合にのみ、上記本人ユーザの医療健康関連情報をアプリケーションデータベース１９から読み出して要求元の利用者端末ＵＴへ送信するようにしている。
【００７７】
したがって、情報取得要求元のユーザが、本人ユーザとの人間関係が予め設定された関係にあり、かつアクセス制御ルールに規定された開示条件を満たす場合にのみ、情報取得要求元のユーザに対し本人ユーザの医療健康関連情報が開示される。このため、個人情報であるユーザの医療健康関連情報が無制限に開示される不具合を防止した上で、例えば家族やかかりつけの医師といった特定の関係にあるユーザに対しては医療健康関連情報を開示してアドバイス等を受けることが可能となる。
【００７８】
さらに、アクセス制御ルールに、ユーザ所属する組織名と、開示有効期間と、情報の開示対象項目を開示条件としてさらに追加し、アクセス許否を判定する際に、アクセス制御ルールに開示条件として含まれるユーザの組織名と、開示有効期間と、開示対象項目をもとに、情報取得要求元のユーザに対する本人ユーザの医療健康関連情報の開示の許否を判定するようにしている。このため、「かかりつけ」や「家族」等の人間関係に加え、情報取得要求元ユーザの組織名と、開示有効期間と、開示対象項目をさらに考慮してアクセスの許否を判定することが可能となり、さらにきめ細やかなアクセス制御を実現することが可能となる。
【００７９】
さらに、ユーザ関係情報又はアクセス制御ルールを、利用者端末ＵＴからのリクエストに応じて登録、変更衣又は削除できるようにしている。しかも、この登録、変更衣又は削除処理を行う際に、登録済みのユーザ関係情報をユーザ関係管理サーバＭＳＶから利用者端末ＵＴに送信し、ユーザがこのユーザ関係情報を参照してユーザ関係情報又はアクセス制御ルールの変更処理等を行うようにしている。このため、一度特定の関係にあるユーザへの開示条件を設定しておけば、以後同様の関係にあるユーザに対する開示条件の設定作業を容易に行えるようになる。また、一般ユーザにとってわかりやすくルールの設定を間違い難くなり、これにより誤った情報開示が発生し難くできる利点がある。
【００８０】
なお、この発明は上記実施形態に限定されるものではない。例えば、前記実施形態ではユーザ関係管理サーバＭＳＶを独立して設けたが、このユーザ関係管理サーバＭＳＶの機能を図１０に示すように認証サーバＡＳＶｂに備えるようにしてもよい。このようにすると、利用者端末ＵＴはシステムにログインした際に、認証サーバＡＳＶｂにおいてログイン元ユーザの認証処理と当該ユーザに対するユーザ関係情報の送信を同時に行うことが可能となる。また、データプロバイドサーバＰＳＶ１〜ＰＳＶｎがアクセスの許否を判定する際にユーザ関係情報を参照しようとした場合に、認証サーバへの認証確認要求と同時にユーザ関係情報を取得することが可能となる。
【００８１】
その他、データプロバイドサーバ、サービス連携サーバ、ユーザ登録サーバ、認証サーバ、ユーザ関係管理サーバの構成やこれらのサーバを使用した一連のアクセス制御手順等についても、この発明の要旨を逸脱しない範囲で種々変形して実施可能である。
要するにこの発明は、上記実施形態そのままに限定されるものではなく、実施段階ではその要旨を逸脱しない範囲で構成要素を変形して具体化できる。また、上記実施形態に開示されている複数の構成要素の適宜な組み合せにより種々の発明を形成できる。例えば、実施形態に示される全構成要素から幾つかの構成要素を削除してもよい。さらに、異なる実施形態に亘る構成要素を適宜組み合せてもよい。
【符号の説明】
【００８２】
ＵＴ…利用者端末ＵＴ、ＰＳＶ１〜ＰＳＶｎ…データプロバイドサーバＰＳＶ１〜ＰＳＶｎ、ＡＳＶａ…認証サーバＡＳＶａ、ＡＳＶｂ…ユーザ関係管理機能付きの認証サーバＡＳＶａ、ＳＳＶ…サービス連携サーバＳＳＶ、ＲＳＶ…ユーザ登録サーバＲＳＶ、ＭＳＶ…ユーザ関係管理サーバＭＳＶ、ＮＷ…ネットワーク、１０，３１…アプリケーション処理モジュール、１１…情報取得リクエスト処理モジュール１１、１２…アクセス制御ルール管理モジュール１２、１３…アクセス制御モジュール１３、１４，２２，３５，５２…連携処理モジュール、１５，２３，３６，４２，５４…ユーザ設定処理モジュール、１６，２４，３７，４３，５６…ユーザデータベース、１７，２５，３８，５７…連携用ＩＤデータベース、１８…アクセス制御ルールデータベース、１９…アプリケーションデータベース、２１…認証処理モジュール２１、２６…ディレクトリデータベース、３２…関係検索モジュール３２、３３…アクセス制御ルール設定管理要求モジュール３３、３４…情報取得リクエストモジュール３４、４１…利用者操作処理モジュール、５１…ユーザ関係管理モジュール、５３…組織・ロール管理モジュール５３、５５…ユーザ関係データベース、５８…組織データベース、５９…ロールデータベース、６０…関係名データベース。
【技術分野】
【０００１】
この発明は、例えば医療機関や保健関連機関、自治体等が保有するデータベースに散在して保存されているユーザ情報を、本人もしくは本人が許可した第三者に対し提供するサービスを実現するための情報アクセス制御システムとそのサーバ装置及び情報アクセス制御方法に関する。
【背景技術】
【０００２】
近年、複数の医療機関・保健関連機関・自治体等が保有する医療や健康に係る情報を、通信ネットワークを介し、相互接続・共有することで統合的医療サービス・健康サービスを目指すＥＨＲ（Electronic Health Record）システムが提案されている。
ＥＨＲシステムにおいては、個人のプライバシーに関わる医療及び健康関連情報を扱う。プライバシーに関わる情報は、その扱いのミスが個人にとって大きな損害につながる場合があり、その流通と開示は必要最小限度にとどめる必要がある。そのため、従来型の個人情報を扱うシステムにおいては認証技術により本人確認を行い、本人に係る情報は本人のみが参照することを基本としていた（例えば、非特許文献１を参照。）。
【先行技術文献】
【非特許文献】
【０００３】
【非特許文献１】医療の情報化、EHRは何をもたらしたか −地域の役割と情報の自己管理−インターネット＜URL : http://e-public.nttdata.co.jp/f/repo/602_j0902/j0902.aspx＞
【発明の概要】
【発明が解決しようとする課題】
【０００４】
ところが、医療健康関連の情報を本人しか閲覧できない状況では、その医療健康関連情報を活用することは困難であり、現代日本で目指されている地域に根ざした統合的医療サービスといったものの実現は難しい。例えば、医師に自身の情報を十分に閲覧してもらい、診断及び指導を受けるなど、他者に情報を閲覧してもらった上でその閲覧者から有益な情報を得ることができない。本人の医療健康関連の情報を活用するためには、情報開示したい相手には、簡単にそして過ちなく開示できるしくみが必要である。
【０００５】
この発明は上記事情に着目してなされたもので、その目的とするところは、ユーザの個人情報を適切な相手にのみ開示できるようにすると共に、開示対象ユーザの設定を簡単かつ確実に行えるようにする情報アクセス制御システムとそのサーバ装置及び情報アクセス制御方法を提供することにある。
【課題を解決するための手段】
【０００６】
上記目的を達成するためにこの発明の一つの観点は、データベースに記憶された第１のユーザの個人情報を、情報取得者としての第２のユーザが使用する端末から送信される情報取得要求に応じて検索し要求元の端末へ送信するシステム又は方法にあって、
上記第１のユーザとその個人情報の開示を許可する第２のユーザとの関係を表すユーザ関係情報を管理する手段又は過程と、上記ユーザ関係情報と関連付けて上記第１のユーザの個人情報の開示条件を設定したアクセス制御ルールを管理する手段又は過程と、アクセス許否を判定する手段又は過程とを備える。
そして、このアクセス許否を判定する手段又は過程により、上記端末から、第１及び第２のユーザの識別情報を含む情報取得要求が送られた場合に、この情報取得要求に含まれる第１及び第２の識別情報をもとに上記ユーザ関係管理手段及び上記アクセス制御ルール管理手段に対しそれぞれアクセスし、そのユーザ関係情報及びアクセス制御ルールに基づいて上記第２のユーザに対する上記第１のユーザの個人情報の開示の許否を判定し、この判定の結果情報開示が許可された場合に、上記第１のユーザの識別情報をもとに上記データベースから該当する個人情報を読み出して、取得要求元の端末へ送信するように構成したものである。
【０００７】
したがって、第１のユーザの個人情報を他のユーザに開示してもよいかどうかが、予め設定された当該第１のユーザとの人間関係を表す情報と、このユーザ関係と関連付けて開示条件を設定したアクセス制御ルールに基づいて判定される。このため、第１のユーザとの人間関係が予め設定された関係にあり、かつアクセス制御ルールに規定された開示条件を満たす第２のユーザに対してのみ、第１のユーザの個人情報は開示される。したがって、個人情報が無制限に開示される不具合を防止した上で、例えば家族やかかりつけの医師といった特定の関係にある第２のユーザに対しては個人情報を開示してアドバイス等を受けることが可能となる。また、一度特定の関係にあるユーザへの開示条件を設定しておくことで、同様の関係にあるユーザに対する開示条件の設定作業が簡易になる。また、一般ユーザにとってわかりやすく、ルールの設定を間違い難く、誤った情報の開示が起き難い。
【０００８】
例えば、転居に伴いかかりつけの医師等が変更になった場合、この発明に係わる手段又は過程を具備していなければ、新たな医師のために誤りのない開示条件をアクセス制御ルールに設定することが必要となる。しかし、この発明によれば一度「かかりつけ」という人間関係に関する開示条件をアクセス制御ルールに設定しておけば、かかりつけの医師が追加又は変更された場合でも、当該ユーザのユーザ関係情報に「かかりつけ」として新たな医師ユーザを追加するだけで設定を完了することができ、上記新たな医師ユーザに対する開示条件をアクセス制御ルールに個別かつ詳細に設定する必要がない。さらに、一度「家族」という人間関係に関する開示条件をアクセス制御ルールに設定しておけば、例えば結婚によって家族が増えても、当該ユーザとの人間関係情報に「家族」としてこの新しい家族ユーザを追加するだけでよく、上記新たな家族ユーザに対する開示条件をアクセス制御ルールに個別かつ詳細に設定しなくてもよい。
【０００９】
また、この発明の一つの観点は以下のような態様を備えることも特徴とする。
第１の態様は、端末から第２のユーザの識別情報を含むユーザ関係取得要求が送られた場合に、当該ユーザ関係取得要求に含まれる第２のユーザの識別情報をもとにユーザ関係管理手段に対しアクセスし、上記第２のユーザと当該第２のユーザに対し情報開示を許可している第１のユーザとの関係を表すユーザ関係情報を検索して要求元の端末へ送信する手段又は過程をさらに備えるものである。
【００１０】
第２の態様は、アクセス制御ルールを管理する手段又は過程において、第２のユーザの属性情報と、開示期間又は非開示期間を指定する情報と、個人情報を構成する複数の項目のうち開示対象項目又は非開示対象項目を指定する情報とのうちの少なくとも一つを開示条件としてさらに含むアクセス制御ルールを管理し、アクセス許否を判定する手段又は過程において、アクセス制御ルールに開示条件として含まれる第２のユーザの属性情報、開示期間又は非開示期間を指定する情報、或いは開示対象項目又は非開示対象項目を表す情報を加味して、第２のユーザに対する第１のユーザの個人情報の開示の許否を判定するものである。
このようにすると、「かかりつけ」や「家族」等の人間関係に加え、第２のユーザの属性情報と、開示期間又は非開示期間を指定する情報と、開示対象項目又は非開示対象項目を表す情報の少なくとも一つをさらに考慮してアクセスの許否を判定することが可能となり、さらにきめ細やかなアクセス制御を実現することが可能となる。
【００１１】
例えば、第２のユーザの属性情報としてかかりつけ医師の氏名や所属病院名等を考慮することで、すべてのかかりつけ医師へ無条件に情報を開示するのではなく、Ｘ内科医院のかかりつけ医師にのみ情報を開示するといった開示制限を行うことが可能となる。また、開示期間又は開示禁止期間を考慮することで、特定の期間にのみ情報を開示又は非開示とすることも可能とする。例えば、骨折治療のために一定期間のみ通うＹ整骨医院への情報開示を初診から６ヶ月と設定することで、無用の情報開示を控えることが可能となる。さらに、アクセス制御対象とするデータ項目を規定することで、データ項目ごとの開示／非開示の制御が可能となる。例えば、自身の家族に対して、罹患病名は明らかにするが具体的な治療記録は非開示とするといった情報項目別の開示制御が可能となる。
【発明の効果】
【００１２】
すなわちこの発明によれば、ユーザの個人情報を適切な相手にのみ開示できるようにすると共に、開示対象ユーザの設定を簡単かつ確実に行えるようにする情報アクセス制御システムとそのサーバ装置及び情報アクセス制御方法を提供することができる。
【図面の簡単な説明】
【００１３】
【図１】この発明の一実施形態に係わる情報アクセス制御システムの機能構成を示すブロック図である。
【図２】図１に示したシステムにおけるユーザ関係登録処理シーケンスを示す図である。
【図３】図２に示したユーザ関係登録処理シーケンスにより登録されるユーザ関係情報の一例を示す図である。
【図４】図２に示したユーザ関係登録処理シーケンスにより登録されるユーザ関係情報の他の例を示す図である。
【図５】図１に示したシステムにおけるアクセス制御ルール登録制御シーケンスを示す図である。
【図６】図１に示したシステムにおけるアクセス制御ルール更新・削除制御シーケンスを示す図である。
【図７】図５に示したアクセス制御ルール登録制御シーケンスにより登録されるアクセス制御ルールリストの一例を示す図である。
【図８】図１に示したシステムの情報取得処理シーケンスにおいて情報取得を行えた場合を示す図である。
【図９】図１に示したシステムの情報取得処理シーケンスにおいて情報取得を行えない場合を示す図である。
【図１０】この発明の他の実施形態に係わる情報アクセス制御システムの機能構成を示すブロック図である。
【発明を実施するための形態】
【００１４】
以下、図面を参照してこの発明に係わる実施形態を説明する。
この発明の一実施形態に係わる情報アクセス制御システムの全体構成を示す機能ブロック図である。
この一実施形態に係わる情報アクセス制御システムは、医療機関や保健関連機関、運動関連施設等がそれぞれ運用する複数のデータプロバイドサーバＰＳＶ１〜ＰＳＶｎと、複数のサービス連携サーバＳＳＶと、認証サーバＡＳＶａと、ユーザ登録サーバＲＳＶと、ユーザ関係管理サーバＭＳＶとを備え、これらのサーバ間及びこれらのサーバと利用者端末ＵＴとの間をネットワークＮＷを介して接続可能としたものである。
【００１５】
ネットワークＮＷは、例えばインターネットに代表されるＩＰ網と、このＩＰ網に対しアクセスするための複数のアクセス網とから構成される。アクセス網としては例えばＬＡＮ（Local Area Network）、無線ＬＡＮ、携帯電話網、有線電話網、ＣＡＴＶ（Cable Television）網が用いられる。
【００１６】
利用者端末ＵＴには、患者等の一般ユーザが自宅等において使用する一般ユーザ用の端末と、医師や保健師、薬剤師等が患者の依頼を受けて患者の医療情報等を取得するために使用する業務用の端末と、ユーザ登録サーバＲＳＶに設けられるオペレータ用のコンソール端末が含まれる。
【００１７】
データプロバイドサーバＰＳＶ１〜ＰＳＶｎは、中央制御ユニット（Central Control Unit；ＣＰＵ）に、バスを介してプログラムメモリと、各種データベースを保存するためのデータメモリと、通信インタフェースを接続したもので、その機能モジュールとして、アプリケーション処理モジュール１０と、情報取得リクエスト処理モジュール１１と、アクセス制御ルール管理モジュール１２と、アクセス制御モジュール１３と、連携処理モジュール１４と、ユーザ設定処理モジュール１５とを備えている。これらの機能モジュールは何れも、上記プログラムメモリに格納されたプログラムを上記ＣＰＵに実行させることにより実現される。
【００１８】
データベースとしては、ユーザデータベース１６と、連携用ＩＤデータベース１７と、アクセス制御ルールデータベース１８と、アプリケーションデータベース１９を備えている。ユーザデータベース１６には、各ユーザを識別し管理するためのユーザ情報が記憶される。ユーザ情報は、ユーザの識別情報（ＩＤ）、ユーザ基本情報およびユーザ属性等からなる。アプリケーションデータベース１９には、各ユーザの個人情報、例えば保健指導情報や健康診断情報等の医療健康関連情報が上記ユーザＩＤに対応付けられて格納される。
【００１９】
連携用ＩＤデータベース１７には、ユーザ登録サーバＲＳＶから登録を要求されたＩＤ連携情報が記憶される。ＩＤ連携情報は、他サーバから自サーバのあるユーザの個人データにアクセスするための情報である。
【００２０】
アクセス制御ルールデータベース１８には、アプリケーションデータベース１９に格納されているユーザの医療健康関連情報について、当該情報をどのような条件のもとでアクセスを許可するかを設定するためのアクセス制御ルールを表す情報が記憶される。図７にこのアクセス制御ルールのリストの一例を示す。
【００２１】
アクセス制御ルールには、情報の開示条件を表す複数のルール項目が記載されている。このルール項目は、例えば医療健康関連情報のオーナを示すデータ所有ユーザ（ＩＤ等で管理される）と、アクセス制御対象とするデータ項目（「対象データ−項目」）と、何時から何時までに登録されたデータをアクセス制御対象とするかを示す情報である「対象データ−期間」と、誰をアクセス制限又は許可の対象とするかを示す「対象ユーザ」と、どの組織をアクセス制限・許可の対象とするかを示す「対象ユーザ−所属組織」と、どのような資格を持った者をアクセス制限又は許可の対象とするかを示す「対象ユーザ−ロール」と、データ所有者とどのような人間関係にある者をアクセス制限又は許可の対象とするかを示す「対象ユーザ−関係」とから構成される。「対象データ−項目」としては、例えば、病名、投薬名、体重、アレルギー情報がある。
また、アクセス制御ルールには、上記各ルール項目に加え、上記アプリケーションデータベース１９に格納されているユーザの医療健康関連情報の読み取りの可否を表す項目と、当該医療健康関連情報の書き込みの可否を表す項目が記載されている。
【００２２】
なお、例えばアクセス制御対象とするユーザがＩＣカードとパスワードで認証された際にのみアクセスを許可するといったように、アクセスを許可する認証手段を限定する項目（「対象ユーザ−認証手段」）を含ませることも可能である。また、このアクセス制御ルール自体の有効期間を示す「ルール有効期間」項目を含ませ、これにより特定の期間にのみ情報を開示／非開示とすることも可能とする。
【００２３】
ユーザ設定処理モジュール１５は、ユーザ登録サーバＲＳＶからの要求に応じて、自らの連携用ＩＤデータベース１７およびユーザデータベース１６の検索、連携用ＩＤデータベース１７へのＩＤ連携情報の登録または削除、ユーザデータベース１６へのユーザ情報の登録または削除を行い、その結果をユーザ登録サーバＲＳＶに応答するものである。
【００２４】
連携処理モジュール１４は、認証サーバＡＳＶａから認証情報を取得し、連携用ＩＤデータベース１７に格納されたＩＤ連係情報を用いて他のデータプロバイドサーバＰＳＶ１〜ＰＳＶｎとの間で属性交換（個人データの流通）を行う。この属性交換の処理は、ＳＡＭＬ（Security Assertion Markup Language）におけるＳＰ等の機能を有する認証連携部や、ID-WSF（Identity Web Service Framework）におけるＷＳＣ（Web Service Consumer）等の機能を使用して行われる。なお、ＳＡＭＬおよびＩＤ−ＷＳＦは、Liberty Allianceが定めているＷｅｂサービスのための仕様である。
【００２５】
アクセス制御ルール管理モジュール１２は、上記アクセス制御ルールデータベース１８に対するアクセス制御ルールの登録、更新又は削除処理を行う。
アクセス制御モジュール１３は、サービス連携サーバＳＳＶから送信された情報取得リクエストを情報取得リクエスト処理モジュール１１が受信した場合に、この受信された情報取得リクエストに基づいて、リクエスト対象となっている情報に関連付けられているアクセス制御ルールを参照し、当該情報の読み取り可否及び書き込み可否を判定する。そして、アクセス可と判定された場合には、アプリケーション処理モジュール１０に対し情報取得リクエストを転送し、リクエスト対象である医療健康関連情報を読み出す処理を行う。
【００２６】
アプリケーション処理モジュール１０は、例えば保健指導情報や健康診断情報といったユーザの個人情報に基づいて、当該ユーザに対し保健指導を行うようなアプリケーション機能を備える。このアプリケーション機能は、データプロバイドサーバＰＳＶ１〜ＰＳＶｎ内の上記各機能モジュールを利用することができ、それ以外の部分は自由に作成できるものである。
【００２７】
認証サーバＡＳＶａは、上記データプロバイドサーバＰＳＶ１〜ＰＳＶｎと同様に、ＣＰＵに対しバスを介してプログラムメモリと、データベースを記憶するデータメモリと、通信インタフェースを接続したもので、その機能モジュールとして認証処理モジュール２１と、連携処理モジュール２２と、ユーザ設定処理モジュール２３を備えている。これらの機能モジュールは何れも、上記プログラムメモリに格納されたプログラムを上記ＣＰＵに実行させることにより実現される。
【００２８】
また、データベースとして、ユーザデータベース２４と、連携用ＩＤデータベース２５と、ディレクトリデータベース２６を備えている。ユーザデータベース２４には、各ユーザを識別し管理するためのユーザ情報が記憶される。連携用ＩＤデータベース２５には、ユーザ登録サーバＲＳＶから登録を要求されたＩＤ連携情報が記憶される。このＩＤ連携情報は、それぞれのユーザに対してサーバごとに設定される。ディレクトリデータベース２６には、個人情報の所在、つまりどのサーバがどの医療健康関連情報を保持しているかを表すディレクトリデータが記憶される。
【００２９】
ユーザ設定処理モジュール２３は、ユーザ登録サーバＲＳＶからの要求に応じて自らのＩＤ連携データベース２５及びユーザデータベース２４の検索、連携用ＩＤデータベース２５へのＩＤ連携情報の登録又は削除、ユーザデータベース２４へのユーザ情報の登録又は削除を行い、その結果をユーザ登録サーバＲＳＶに対し応答する処理を行う。
【００３０】
連携処理モジュール２２は、ユーザデータベース２４、連携用ＩＤデータベース２５及びディレクトリデータベース２６を用いて、データプロバイドサーバＰＳＶ１〜ＰＳＶｎに対し、認証情報の提供及びディレクトリサービスの提供を行う。この連携処理モジュール２２は、上記処理のためにＩＤ−ＷＳＦにおけるＳＰ（Service Provider）機能を有すると共に、ＳＡＭＬにおけるＩＤＰ（Identity Provider）の機能を有する。
【００３１】
認証処理モジュール２１は、ユーザに対する認証処理を行うものであり、利用者端末ＵＴにおいてユーザが入力したユーザ情報をもとにユーザデータベース２４を参照し、当該ユーザの正当性を認証する。認証方式としては、ＩＤ／パスワード認証、ＩＣカード認証、公開鍵暗号基盤認証、多要素認証等の様々な認証方式を用いることができる。
【００３２】
サービス連携サーバＳＳＶは、上記認証サーバＡＳＶａと同様に、ＣＰＵにバスを介してプログラムメモリ、データベースを記憶するデータメモリ及び通信インタフェースを接続したもので、その機能モジュールとしてアプリケーション処理モジュール３１と、関係検索モジュール３２と、アクセス制御ルール設定管理要求モジュール３３と、情報取得リクエストモジュール３４と、連携処理等モジュール３５と、ユーザ設定処理モジュール３６を備えている。これらの機能モジュールは何れも、上記プログラムメモリに格納されたプログラムを上記ＣＰＵに実行させることにより実現される。
【００３３】
またデータベースとしては、ユーザデータベース３７と、連携用ＩＤデータベース３８を備えている。ユーザデータベース３７には、各ユーザを識別し管理するためのユーザ情報が記憶される。連携用ＩＤデータベース３８には、ユーザ登録サーバＲＳＶから登録を要求されてＩＤ連携情報が記憶される。
【００３４】
ユーザ設定処理モジュール３６は、ユーザ登録サーバＲＳＶからの検索要求に応じて、自らのユーザデータベース３７及び連携用ＩＤデータベース３８の検索、連携用ＩＤデータベース３８へのＩＤ連携情報の登録又は削除、ユーザデータベース３７へのユーザ情報の登録又は削除を行い、その検索結果をユーザ登録サーバＲＳＶに対し応答する処理を行う。
【００３５】
連携処理モジュール３５は、認証サーバＡＳＶａから認証情報を取得し、連携用ＩＤデータベース３８を用いて、データプロバイドサーバＰＳＶ１〜ＰＳＶｎや他のサービス連携サーバＳＳＶ等との間で属性交換を行うものであり、この属性交換処理のためにＳＡＭＬにおけるＳＰの機能を有する。また、ＩＤ−ＷＳＦにおけるＷＳＣの機能を有する。
【００３６】
関係検索モジュール３２は、利用者端末ＵＴから送信された情報取得リクエストが受信された場合に、情報取得対象となるユーザのリストを提示する際に機能するもので、要求元のユーザと関係性を持つユーザを検索する処理を行う。
【００３７】
情報取得リクエストモジュール３４は、ユーザデータベース３７に記憶されたユーザ情報を用いて、データプロバイドサーバＰＳＶ１〜ＰＳＶｎに対しアクセス制御ルール情報、及びユーザ個人の医療健康関連情報の収集を要求する。
【００３８】
アクセス制御ルール設定管理要求モジュール３３は、利用者端末ＵＴから送られるアクセス制御ルール設定リクエストに応じて、データプロバイドサーバＰＳＶ１〜ＰＳＶｎに対し、アクセス制御ルールデータベース１８へのアクセス制御ルール情報の追加、更新または削除を要求する。
【００３９】
アプリケーション処理モジュール３１は、利用者端末ＵＴから送信される要求に応じて、要求元のユーザに関する様々な医療健康関連情報の一覧サービスを行うためのアプリケーション等を備える。
【００４０】
ユーザ登録サーバＲＳＶも、上記認証サーバＡＳＶａ等と同様に、ＣＰＵにバスを介してプログラムメモリと、データベースを記憶するデータメモリと、通信インタフェースを接続したもので、その機能モジュールとして、利用者操作処理モジュール４１及びユーザ設定処理モジュール４２を備えている。またデータベースとしては、ユーザデータベース４３を備えている。このユーザデータベース４３には、各ユーザのユーザ情報が記憶される。なお、上記各機能モジュールは何れも、上記プログラムメモリに格納されたプログラムを上記ＣＰＵに実行させることにより実現される。
【００４１】
ユーザ設定処理モジュール４２は、ユーザ又はオペレータからの操作に応じて自らのユーザデータベース４３に記憶されたユーザ情報を更新すると共に、認証サーバＡＳＶａ、データプロバイドサーバＰＳＶ１〜ＰＳＶｎ及びサービス連携サーバＳＳＶに対してユーザの登録、更新又は削除を要求する。
【００４２】
また、ユーザＩＤと、認証サーバＡＳＶａ、データプロバイドサーバＰＳＶ１〜ＰＳＶｎ、サービス連携サーバＳＳＶがそれぞれ独自に管理するユーザＩＤとの間の関連付けと、その解除処理を行う。
【００４３】
さらに、データプロバイドサーバＰＳＶ１〜ＰＳＶｎを利用可能又は利用不可能にするために、認証サーバＡＳＶａに対してサービス関連情報の登録又は解除を要求する。認証サーバＡＳＶａ、データプロバイドサーバＰＳＶ１〜ＰＳＶｎ及びサービス連携サーバＳＳＶがそれぞれ独自に使用する匿名ＩＤ（ＳＡＭＬ等）をシステム共通のユーザＩＤに、又はシステム共通のユーザＩＤからそれぞれの匿名ＩＤに変換する機能も持つ。また、各サーバに対し、指定された条件でのユーザ検索機能も持つ。
【００４４】
ユーザ関係管理サーバＭＳＶも、上記認証サーバＡＳＶａ等と同様に、ＣＰＵにバスを介してプログラムメモリと、データベースを記憶するデータメモリと、通信インタフェースを接続したもので、その機能モジュールとして、ユーザ関係管理モジュール５１と、連携処理モジュール５２と、組織・ロール管理モジュール５３と、ユーザ設定処理モジュール５４を備えている。これらの機能モジュールは何れも、上記プログラムメモリに格納されたプログラムを上記ＣＰＵに実行させることにより実現される。
【００４５】
また、データベースとして、ユーザ関係データベース５５と、ユーザデータベース５６と、連携用ＩＤデータベース５７と、組織データベース５８と、ロールデータベース５９と、関係名データベース６０を備えている。ユーザデータベース５６には、各ユーザを識別し管理するためのユーザ情報が記憶される。連携用ＩＤデータベース５７には、ユーザ登録サーバＲＳＶから登録を要求されてＩＤ連携情報が記憶される。
【００４６】
関係名データベース６０には、ユーザと当該ユーザが自己の個人情報の閲覧を許可した情報取得ユーザとの人間関係を表す具体名が記憶される。人間関係を表す具体名としては、例えば「家族」や「かかりつけ」、「職場同僚」等がある。ロールデータベース５９には、情報取得者たるユーザのロール情報が記憶される。ロール情報には、例えばＩＳＯによって協議されているｈｃＲｏｌｅ（health care Role）のように保健医療福祉分野の国家資格等によって識別される役割である、「医師」や「保健師」、「看護師」、「理学療法士」といった役割名が用いられる。組織データベース５８には、情報取得者たるユーザが所属する組織名が記憶される。組織名としては、例えば「Ａ診療所」、「Ｂ市民病院」、「Ｃフィットネスクラブ」等がある。
【００４７】
ユーザ関係データベース５５には、ユーザと当該ユーザが自己の個人情報の閲覧を許可した情報取得ユーザとの人間関係を表す情報が記憶される。図３及び図４はこのユーザ関係データベース５５に記憶される人間関係を表す情報の一例を示すものである。すなわち、図３は市民Ｂの関係情報を示しており、市民Ｂとこのシステム上で人間関係が作られているユーザは市民Ａであり、その関係が「家族」であることを示している。また図４は、市民Ａの関係情報を示しており、市民Ａと人間関係が作られているユーザとして、市民Ｂ、市民Ｃ、Ｘ病院ｘ医師、Ｙ病院ｙ医師、Ｙ病院ｚ保健師がいることを示している。またｘ医師、ｙ医師、ｚ保健師はいずれも、市民Ａの「かかりつけ」という関係として登録されていることを示している。
【００４８】
組織・ロール管理モジュール５３は、上記組織データベース５８、ロールデータベース５９及び関係名データベース６０にそれぞれ記憶された組織、ロール及び関係名を管理するもので、これらの情報の登録、更新又は削除を実行する機能を持つ。
【００４９】
ユーザ設定処理モジュール５４は、ユーザ登録サーバＲＳＶから送信された要求に応じて、自らの連携用ＩＤデータベース５７及びユーザデータベース５６の検索、連携用ＩＤデータベース５７へのＩＤ連携情報の登録又は削除、ユーザ情報の登録又は削除を行い、その結果をユーザ登録サーバＲＳＶに対し応答する。
【００５０】
ユーザ関係管理モジュール５１は、サービス連携サーバＳＳＶ及びデータプロバイドサーバＰＳＶ１〜ＰＳＶｎからユーザ関係情報の検索リクエストが送られた場合に、このリクエストにより指定されたユーザのユーザ関係情報をユーザ関係データベース５５から読み出す。そして、この読み出したユーザ関係情報を要求元のサーバへ返送する。
【００５１】
次に、以上のように構成されたシステムの動作を説明する。
（１）ユーザ関係情報の登録
先ず、ユーザ関係情報の登録処理は以下のように行われる。図２はその処理手順と処理内容を示すシーケンス図である。
【００５２】
すなわち、利用者端末ＵＴにおいてシステムにログオンした状態で、ユーザ本人が自身のユーザ関係情報を追加、削除又は更新を要求する操作を行ったとする。そうすると、この操作に応じてユーザ関係情報の追加、削除又は更新を要求するためのリクエストが、利用者端末ＵＴからサービス連携サーバＳＳＶへ送信される。サービス連携サーバＳＳＶは上記リクエストを受信すると、アプリケーション処理モジュール３１の制御の下で、上記リクエストをユーザ関係管理サーバＭＳＶへ転送する。
【００５３】
ユーザ関係管理サーバＭＳＶは、上記リクエストを受信すると、ユーザ関係管理モジュール５１の制御の下で、上記リクエストの内容に従いユーザ関係データベース５５に対しユーザ関係情報を新規登録するか、又は登録済みのユーザ関係情報の更新又は削除を行う。そして、その実行結果（OKまたはNG）を表すレスポンスを返送する。このレスポンスは、ユーザ関係管理サーバＭＳＶからサービス連携サーバＳＳＶに送られ、このサービス連携サーバＳＳＶから要求元の利用者端末ＵＴへ転送される。
【００５４】
かくして、ユーザ関係管理サーバＭＳＶのユーザ関係データベース５５には、要求元のユーザが市民Ｂであれば、例えば図３に示したようなユーザ関係情報が登録される。また要求元のユーザが市民Ａであれば、例えば図４に示したようなユーザ関係情報が登録される。
【００５５】
（２）アクセス制御ルールの登録
次に、アクセス制御ルールの登録処理は以下のように行われる。図５はその処理手順と処理内容を示すシーケンス図である。
【００５６】
すなわち、利用者端末ＵＴにおいてシステムにログオンした状態で、ユーザが自身の個人情報の開示条件を表すアクセス制御ルールの登録を要求する操作を行ったとする。そうすると、先ず利用者端末ＵＴからサービス連携サーバＳＳＶへ、登録対象組織、登録対象ロール又は登録対象関係名の検索・選択リクエストが送信される。サービス連携サーバＳＳＶは上記検索・選択リクエストを受信すると、アクセス制御ルール設定管理要求モジュール３３の制御の下で、上記検索・選択リクエストをユーザ関係管理サーバＭＳＶへ送信する。
【００５７】
ユーザ関係管理サーバＭＳＶは、上記アクセス制御ルールの検索・選択リクエストを受信すると、組織・ロール管理モジュール５３の制御の下で、組織データベース５８、ロールデータベース５９又は関係名データベース６０からそれぞれ、アクセス制御ルールを編集する際にその項目に記載する候補となる組織名、ロール名又は関係名を表す情報を読み出す。そして、この読み出した組織名、ロール名又は関係名を表す情報をサービス連携サーバＳＳＶへ返送する。この組織名、ロール名又は関係名を表す情報は、サービス連携サーバＳＳＶを介して要求元の利用者端末ＵＴへ送られ、ディスプレイに表示される。
【００５８】
この状態でユーザは、利用者端末ＵＴにおいて、上記表示された組織名、ロール名又は関係名の候補の中から所望のものを選択してアクセス制御ルール中の対応する項目に挿入する。なお、「対象データ−期間」、「対象ユーザ−認証手段」、「ルール有効期間」、「読み取り可否」及び「書き込み可否」等の、アクセス制御ルールを構成するその他の項目については、ユーザがデータを手操作で入力することで挿入する。かくしてアクセス制御ルールの編集が行われる。
【００５９】
上記アクセス制御ルールの編集が終了し、ユーザが送信操作を行ったとする。そうすると、利用者端末ＵＴからサービス連携サーバＳＳＶへ、上記編集により作成された新たなアクセス制御ルールの登録リクエストが送信される。サービス連携サーバＳＳＶは、上記登録リクエストを受信すると、アクセス制御ルール設定管理要求モジュール３３の制御の下で、上記アクセス制御ルールの登録リクエストをデータプロバイドサーバＰＳＶ１〜ＰＳＶｎへ送信する。
【００６０】
データプロバイドサーバＰＳＶ１〜ＰＳＶｎは、上記アクセス制御ルールの登録リクエストを受信すると、アクセス制御ルール管理モジュール１２の制御の下で、上記登録リクエストと共に送られた新たなアクセス制御ルールを、要求元のユーザＩＤに対応付けてアクセス制御ルールデータベース１８に格納する。そして、その処理結果（登録OKまたはNG情報）を表すレスポンスを返送する。このレスポンスは、データプロバイドサーバＰＳＶ１〜ＰＳＶｎからサービス連携サーバＳＳＶに送信され、このサービス連携サーバＳＳＶから要求元の利用者端末ＵＴへ転送される。
かくして、データプロバイドサーバＰＳＶ１〜ＰＳＶｎのアクセス制御ルールデータベース１８には、例えば図７に示したようなアクセス制御ルールがリストに追加登録される。
【００６１】
（３）アクセス制御ルールの更新又は削除
上記アクセス制御ルールデータベース１８に登録されたアクセス制御ルールの変更又は削除処理は以下のように行われる。図６はその処理手順と処理内容を示すシーケンス図である。
【００６２】
すなわち、利用者端末ＵＴにおいてシステムにログオンした状態で、ユーザが自身のアクセス制御ルールリストの表示要求操作を行ったとする。そうすると、利用者端末ＵＴからサービス連携サーバＳＳＶへ、アクセス制御ルールリストの表示リクエストが送信される。サービス連携サーバＳＳＶは、上記表示リクエストを受信すると、アクセス制御ルール設定管理要求モジュール３３の制御の下で、上記表示リクエストをデータプロバイドサーバＰＳＶ１〜ＰＳＶｎへ転送する。
【００６３】
データプロバイドサーバＰＳＶ１〜ＰＳＶｎは、上記表示リクエストを受信するとアクセス制御ルール管理モジュール１２の制御の下で、上記表示リクエストに含まれる表示対象ユーザのＩＤをもとにアクセス制御ルールデータベース１８から対応するアクセス制御ルールリストの一覧を読み出し、この読み出されたアクセス制御ルールリストの一覧を返送する。このアクセス制御ルールリストの一覧は、サービス連携サーバＳＳＶを介して要求元の利用者端末ＵＴへ転送され表示される。
【００６４】
この状態で、ユーザが、表示されたアクセス制御ルールリストの一覧の中から変更又は削除対象のルールを選択して変更又は削除操作を行ったとする。そうすると、利用者端末ＵＴから当該選択したルールに対する変更又は削除を要求するリクエストがサービス連携サーバＳＳＶへ送信される。サービス連携サーバＳＳＶは、上記ルール変更又は削除のためのリクエストを受信すると、アクセス制御ルール設定管理要求モジュール３３の制御の下で、上記ルール変更又は削除のためのリクエストをデータプロバイドサーバＰＳＶ１〜ＰＳＶｎへ転送する。
【００６５】
データプロバイドサーバＰＳＶ１〜ＰＳＶｎは、上記変更又は削除のためのリクエストを受信するとアクセス制御ルール管理モジュール１２の制御の下で、アクセス制御ルールデータベース１８記憶されたアクセス制御ルールのうち、上記変更又は削除のためのリクエストにより指定されたルールの変更又は削除処理を行う。そして、その処理結果（変更又は削除OKまたはNG情報）を表すレスポンスを返送する。このレスポンスは、データプロバイドサーバＰＳＶ１〜ＰＳＶｎからサービス連携サーバＳＳＶに送信され、このサービス連携サーバＳＳＶから要求元の利用者端末ＵＴへ転送される。
かくして、データプロバイドサーバＰＳＶ１〜ＰＳＶｎのアクセス制御ルールデータベース１８に記憶されたアクセス制御ルールの変更又は削除が行われる。
【００６６】
（４）ユーザの医療健康関連情報の取得
ここでは、データプロバイドユーザＰＳＶ１〜ＰＳＶｎに格納された市民Ａの医療健康関連情報を、当該市民Ａの家族である市民Ｂが取得する場合を例にとって説明する。図８及び図９はその取得処理の手順と処理内容を示すシーケンス図である。
【００６７】
利用者端末ＵＴにおいて、市民Ｂがシステムにログインすると、先ず利用者端末ＵＴと認証サーバＡＳＶａとの間で市民Ｂの認証手順が実行される。そして、この認証手順により市民Ｂの正当性が確認され、当該市民Ｂが自身のユーザ関係情報の取得操作を行うと、利用者端末ＵＴからサービス連携サーバＳＳＶへユーザ関係情報の取得リクエストが送信される。サービス連携サーバＳＳＶは、上記ユーザ関係情報の取得リクエストを受信すると、先ず関係検索モジュール３２の制御の下で、市民Ｂのユーザ関係検索・指定リクエストを生成して、このリクエストをユーザ関係管理サーバＭＳＶへ送信する。
【００６８】
ユーザ関係管理サーバＭＳＶは、上記ユーザ関係検索・指定リクエストを受信すると、ユーザ関係管理モジュール５１の制御の下で、ユーザ関係データベース５５から要求元の市民Ｂと人間関係のあるユーザのリストであるユーザ関係情報を検索し、この検索したユーザ関係情報を要求元の利用者端末ＵＴへ返送する。利用者端末ＵＴでは、上記ユーザ関係情報がディスプレイに表示される。
【００６９】
この状態で、市民Ｂが上記表示されたユーザリストの中から情報取得対象のユーザとして市民Ａを選択したとする。そうすると、この選択された市民ＡのユーザＩＤと情報取得者である市民ＢのユーザＩＤを含む情報取得リクエストが、利用者端末ＵＴからサービス連携サーバＳＳＶへ送信される。サービス連携サーバＳＳＶは、上記情報取得リクエストを受信すると、情報取得リクエストモジュール３４の制御の下で、上記情報取得リクエストをデータプロバイドサーバＰＳＶ１〜ＰＳＶｎへ送信する。
【００７０】
データプロバイドサーバＰＳＶ１〜ＰＳＶｎは、上記情報取得リクエストを受信すると、先ず情報取得リクエスト処理モジュール１１の制御の下で、上記受信された情報取得リクエストを、アクセス制御モジュール１３が処理するために必要なデータ形式に変換した上で、この変換後の情報取得リクエストをアクセス制御モジュール１３に転送する。アクセス制御モジュール１３は、上記情報取得リクエストを受信すると、その送信元のユーザ（市民Ｂ）が市民Ａの医療健康関連情報を取得する権限を有しているか否かを以下のようにして判定する。
【００７１】
すなわち、先ずユーザ関係管理サーバＭＳＶに対し、要求元ユーザ（市民Ｂ）のユーザ関係情報の確認要求を送信する。ユーザ関係管理サーバＭＳＶは、上記確認要求を受信すると、ユーザ関係管理モジュール５１の制御の下で、ユーザ関係データベース５５から要求元ユーザ（市民Ｂ）のユーザ関係情報を読み出し、このユーザ関係情報をデータプロバイドサーバＰＳＶ１〜ＰＳＶｎへ返送する。
【００７２】
次に、上記受信したユーザ関係情報と、アクセス制御ルールデータベース１８に記憶された市民Ａのアクセス制御ルールを参照し、市民Ｂが市民Ａの医療健康関連情報の取得権限を有しているか否かを判定する。例えば、いま市民Ａのアクセス制御ルール１に図７に示すように対象ユーザとの関係として「家族」が設定されており、一方市民Ｂのユーザ関係情報に図３に示すように市民Ａが市民Ｂの家族として登録されていれば、市民Ｂは市民Ａの医療健康関連情報の取得権限を有すると判定される。
【００７３】
そうして市民Ｂが市民Ａの医療健康関連情報の取得権限を有する者であることが確認されると、アクセス制御モジュール１３は上記受信された市民Ａの情報取得リクエストをアプリケーション処理モジュール１０へ転送する。
【００７４】
アプリケーション処理モジュール１０は、上記転送されたリクエストに従いアプリケーションデータベース１９から市民Ａの医療健康関係情報を選択的に読み出し、この読み出した市民Ａの医療健康関係情報をアクセス制御モジュール１３に転送する。アクセス制御モジュール１３は、上記転送された市民Ａの医療健康関係情報を情報取得リクエスト処理モジュール１１に転送し、情報取得リクエスト処理モジュール１１はこの市民Ａの医療健康関係情報をレスポンスとして返送する。このレスポンスは、サービス連携サーバＳＳＶを介して要求元の利用者端末ＵＴへ伝送される。
かくして、市民Ａの家族である市民Ｂは、利用者端末ＵＴにおいて市民Ａの医療健康関連情報を閲覧することが可能となる。
【００７５】
一方、上記データプロバイドサーバＰＳＶ１〜ＰＳＶｎのアクセス制御モジュール１３による情報取得権限の有無の判定処理において、市民Ｂは市民Ａの「家族」として設定されておらず、また「かかりつけ」の医師または保健師としても登録されていないと判定されたとする。この場合、データプロバイドサーバＰＳＶ１〜ＰＳＶｎのアクセス制御モジュール１３は、上記判定結果（ＮＧ）に基づいて、市民Ａの医療関健康連情報の読み書きを不許可とする。そして、情報取得リクエスト処理モジュール１１に対し、情報取得を拒否する旨のＮＧレスポンスを図９に示すように返送する。このＮＧレスポンスは、データプロバイドサーバＰＳＶ１〜ＰＳＶｎからサービス連携サーバＳＳＶを介して要求元の利用者端末ＵＴへ返送される。
【００７６】
以上詳述したようにこの実施形態では、本人ユーザと他のユーザとの人間関係を表すユーザ関係情報をユーザ関係管理サーバＭＳＶに記憶すると共に、このユーザ関係と関連付けて上記本人ユーザの医療健康関連情報の開示条件を設定したアクセス制御ルールをデータプロバイドサーバＰＳＶ１〜ＰＳＶｎに記憶しておく。そして、利用者端末ＵＴから情報取得リクエストが送信された場合に、この情報取得リクエストに応じて取得要求元のユーザが本人ユーザとどのような関係にあるかをデータプロバイドサーバＰＳＶ１〜ＰＳＶｎからユーザ関係管理サーバＭＳＶに問い合わせ、その回答結果とアクセス制御ルールとに基づいて上記本人ユーザの医療健康関連情報の開示を許可するか否かを判定する。そして、許可された場合にのみ、上記本人ユーザの医療健康関連情報をアプリケーションデータベース１９から読み出して要求元の利用者端末ＵＴへ送信するようにしている。
【００７７】
したがって、情報取得要求元のユーザが、本人ユーザとの人間関係が予め設定された関係にあり、かつアクセス制御ルールに規定された開示条件を満たす場合にのみ、情報取得要求元のユーザに対し本人ユーザの医療健康関連情報が開示される。このため、個人情報であるユーザの医療健康関連情報が無制限に開示される不具合を防止した上で、例えば家族やかかりつけの医師といった特定の関係にあるユーザに対しては医療健康関連情報を開示してアドバイス等を受けることが可能となる。
【００７８】
さらに、アクセス制御ルールに、ユーザ所属する組織名と、開示有効期間と、情報の開示対象項目を開示条件としてさらに追加し、アクセス許否を判定する際に、アクセス制御ルールに開示条件として含まれるユーザの組織名と、開示有効期間と、開示対象項目をもとに、情報取得要求元のユーザに対する本人ユーザの医療健康関連情報の開示の許否を判定するようにしている。このため、「かかりつけ」や「家族」等の人間関係に加え、情報取得要求元ユーザの組織名と、開示有効期間と、開示対象項目をさらに考慮してアクセスの許否を判定することが可能となり、さらにきめ細やかなアクセス制御を実現することが可能となる。
【００７９】
さらに、ユーザ関係情報又はアクセス制御ルールを、利用者端末ＵＴからのリクエストに応じて登録、変更衣又は削除できるようにしている。しかも、この登録、変更衣又は削除処理を行う際に、登録済みのユーザ関係情報をユーザ関係管理サーバＭＳＶから利用者端末ＵＴに送信し、ユーザがこのユーザ関係情報を参照してユーザ関係情報又はアクセス制御ルールの変更処理等を行うようにしている。このため、一度特定の関係にあるユーザへの開示条件を設定しておけば、以後同様の関係にあるユーザに対する開示条件の設定作業を容易に行えるようになる。また、一般ユーザにとってわかりやすくルールの設定を間違い難くなり、これにより誤った情報開示が発生し難くできる利点がある。
【００８０】
なお、この発明は上記実施形態に限定されるものではない。例えば、前記実施形態ではユーザ関係管理サーバＭＳＶを独立して設けたが、このユーザ関係管理サーバＭＳＶの機能を図１０に示すように認証サーバＡＳＶｂに備えるようにしてもよい。このようにすると、利用者端末ＵＴはシステムにログインした際に、認証サーバＡＳＶｂにおいてログイン元ユーザの認証処理と当該ユーザに対するユーザ関係情報の送信を同時に行うことが可能となる。また、データプロバイドサーバＰＳＶ１〜ＰＳＶｎがアクセスの許否を判定する際にユーザ関係情報を参照しようとした場合に、認証サーバへの認証確認要求と同時にユーザ関係情報を取得することが可能となる。
【００８１】
その他、データプロバイドサーバ、サービス連携サーバ、ユーザ登録サーバ、認証サーバ、ユーザ関係管理サーバの構成やこれらのサーバを使用した一連のアクセス制御手順等についても、この発明の要旨を逸脱しない範囲で種々変形して実施可能である。
要するにこの発明は、上記実施形態そのままに限定されるものではなく、実施段階ではその要旨を逸脱しない範囲で構成要素を変形して具体化できる。また、上記実施形態に開示されている複数の構成要素の適宜な組み合せにより種々の発明を形成できる。例えば、実施形態に示される全構成要素から幾つかの構成要素を削除してもよい。さらに、異なる実施形態に亘る構成要素を適宜組み合せてもよい。
【符号の説明】
【００８２】
ＵＴ…利用者端末ＵＴ、ＰＳＶ１〜ＰＳＶｎ…データプロバイドサーバＰＳＶ１〜ＰＳＶｎ、ＡＳＶａ…認証サーバＡＳＶａ、ＡＳＶｂ…ユーザ関係管理機能付きの認証サーバＡＳＶａ、ＳＳＶ…サービス連携サーバＳＳＶ、ＲＳＶ…ユーザ登録サーバＲＳＶ、ＭＳＶ…ユーザ関係管理サーバＭＳＶ、ＮＷ…ネットワーク、１０，３１…アプリケーション処理モジュール、１１…情報取得リクエスト処理モジュール１１、１２…アクセス制御ルール管理モジュール１２、１３…アクセス制御モジュール１３、１４，２２，３５，５２…連携処理モジュール、１５，２３，３６，４２，５４…ユーザ設定処理モジュール、１６，２４，３７，４３，５６…ユーザデータベース、１７，２５，３８，５７…連携用ＩＤデータベース、１８…アクセス制御ルールデータベース、１９…アプリケーションデータベース、２１…認証処理モジュール２１、２６…ディレクトリデータベース、３２…関係検索モジュール３２、３３…アクセス制御ルール設定管理要求モジュール３３、３４…情報取得リクエストモジュール３４、４１…利用者操作処理モジュール、５１…ユーザ関係管理モジュール、５３…組織・ロール管理モジュール５３、５５…ユーザ関係データベース、５８…組織データベース、５９…ロールデータベース、６０…関係名データベース。
【特許請求の範囲】
【請求項１】
データベースに記憶された第１のユーザの個人情報を、情報取得者としての第２のユーザが使用する端末から送信される情報取得要求に応じて検索し要求元の端末へ送信する情報アクセス制御システムにおいて、
前記第１のユーザとその個人情報の開示を許可する第２のユーザとの関係を表すユーザ関係情報を管理するユーザ関係管理手段と、
前記ユーザ関係情報と関連付けて前記第１のユーザの個人情報の開示条件を設定したアクセス制御ルールを管理するアクセス制御ルール管理手段と、
前記端末から、第１及び第２のユーザの識別情報を含む情報取得要求が送られた場合に、この情報取得要求に含まれる第１及び第２の識別情報をもとに、前記ユーザ関係管理手段及び前記アクセス制御ルール管理手段からそれぞれ該当するユーザのユーザ関係情報及びアクセス制御ルールを読み出し、この読み出されたユーザ関係情報及びアクセス制御ルールに基づいて前記第２のユーザに対する前記第１のユーザの個人情報の開示の許否を判定するアクセス許否判定手段と、
前記判定の結果情報開示が許可された場合に、前記第１のユーザの識別情報をもとに前記データベースから該当する個人情報を読み出して、取得要求元の端末へ送信する手段と
を具備することを特徴とする情報アクセス制御システム。
【請求項２】
請求項１記載の情報アクセス制御システムが具備する各手段のうち、
前記第１のユーザとその個人情報の開示を許可する第２のユーザとの関係を表すユーザ関係情報を管理するユーザ関係管理手段
を具備することを特徴とするユーザ関係管理サーバ装置。
【請求項３】
前記端末から第２のユーザに係わるユーザ関係情報の取得要求が送られた場合に、当該取得要求に含まれる第２のユーザの識別情報をもとに前記ユーザ関係管理手段から該当するユーザ関係情報を検索して要求元の端末へ送信する手段を、さらに具備することを特徴とする請求項２記載のユーザ関係管理サーバ装置。
【請求項４】
請求項１記載の情報アクセス制御システムが具備する各手段のうち、
前記第１のユーザの個人情報を記憶する個人情報データベースと、
前記ユーザ関係情報と関連付けて前記第１のユーザの個人情報の開示条件を設定したアクセス制御ルールを管理するアクセス制御ルール管理手段と、
前記端末から、第１及び第２のユーザの識別情報を含む情報取得要求が送られた場合に、この情報取得要求に含まれる第１及び第２の識別情報をもとに、前記ユーザ関係管理手段及び前記アクセス制御ルール管理手段からそれぞれ該当するユーザのユーザ関係情報及びアクセス制御ルールを読み出し、この読み出されたユーザ関係情報及びアクセス制御ルールに基づいて前記第２のユーザに対する前記第１のユーザの個人情報の開示の許否を判定するアクセス許否判定手段と、
前記判定の結果情報開示が許可された場合に、前記第１のユーザの識別情報をもとに前記データベースから該当する個人情報を読み出して、取得要求元の端末へ送信する手段と
を具備することを特徴とするデータプロバイドサーバ装置。
【請求項５】
前記アクセス制御ルール管理手段は、第２のユーザの属性情報と、開示期間又は非開示期間を指定する情報と、個人情報を構成する複数の項目のうち開示対象項目又は非開示対象項目を指定する情報のうちの少なくとも一つを開示条件としてさらに含むアクセス制御ルールを管理し、
前記アクセス許否判定手段は、前記アクセス制御ルールに開示条件として含まれる第２のユーザの属性情報、開示期間又は非開示期間を指定する情報、或いは開示対象項目又は非開示対象項目を表す情報を加味して、前記第２のユーザに対する前記第１のユーザの個人情報の開示の許否を判定することを特徴とする請求項４記載のデータプロバイドサーバ装置。
【請求項６】
請求項２記載のユーザ関係管理サーバ装置と、請求項３記載のデータプロバイドサーバ装置と、前記第２のユーザが使用する端末とを、ネットワークを介して接続可能としたシステムで使用される情報アクセス制御方法であって、
前記データプロバイドサーバ装置が、前記ユーザ関係情報と関連付けて前記第１のユーザの個人情報の開示条件を設定したアクセス制御ルールをアクセス制御ルール用データベースにより管理する過程と、
前記データプロバイドサーバが、前記端末から第１及び第２のユーザの識別情報を含む情報取得要求が送られた場合に、この情報取得要求に含まれる第１及び第２の識別情報をもとに前記ユーザ関係管理サーバ装置及び前記アクセス制御ルール用データベースからそれぞれ該当するユーザのユーザ関係情報及びアクセス制御ルールを読み出し、この読み出されたユーザ関係情報及びアクセス制御ルールに基づいて前記第２のユーザに対する前記第１のユーザの個人情報の開示の許否を判定する過程と、
前記データプロバイドサーバが、前記判定の結果情報開示が許可された場合に、前記第１のユーザの識別情報をもとに前記データベースから該当する個人情報を読み出して、取得要求元の端末へ送信する過程と
を具備することを特徴とする情報アクセス制御方法。
【請求項７】
前記ユーザ関係管理サーバ装置が、前記端末から第２のユーザの識別情報を含むユーザ関係取得要求が送られた場合に、当該ユーザ関係取得要求に含まれる第２のユーザの識別情報に基づいて、前記ユーザ関係管理手段により管理されている該当するユーザ関係情報を検索し、この検索されたユーザ関係情報を要求元の端末へ送信する過程を、さらに具備することを特徴とする請求項６記載の情報アクセス制御方法。
【請求項８】
前記アクセス制御ルールを管理する過程は、第２のユーザの属性情報と、開示期間又は非開示期間を指定する情報と、個人情報を構成する複数の項目のうち開示対象項目又は非開示対象項目を指定する情報のうちの少なくとも一つを開示条件としてさらに含むアクセス制御ルールを管理し、
前記個人情報の開示の許否を判定する過程は、前記アクセス制御ルールに開示条件として含まれる第２のユーザの属性情報、開示期間又は非開示期間を指定する情報或いは開示対象項目又は非開示対象項目を表す情報を加味して、前記第２のユーザに対する前記第１のユーザの個人情報の開示の許否を判定することを特徴とする請求項６又は７記載の情報アクセス制御方法。
【請求項９】
前記ユーザ関係管理サーバ装置が、前記端末から送信される、第１のユーザに関連するユーザ関係情報の検索要求を受信した場合に、該当するユーザ関係情報を読み出して要求元の端末へ送信する過程と、
前記データプロバイドサーバ装置が、前記端末から送信される、前記ユーザ関係管理サーバ装置から送信されたユーザ関係情報をもとに編集された新たなアクセス制御ルールを表す情報を受信した場合に、この受信した新たなアクセス制御ルールを表す情報を前記アクセス制御ルール用データベースに記憶させる過程と
を、さらに具備することを特徴とする請求項６乃至８のいずれかに記載の情報アクセス制御方法。
【請求項１】
データベースに記憶された第１のユーザの個人情報を、情報取得者としての第２のユーザが使用する端末から送信される情報取得要求に応じて検索し要求元の端末へ送信する情報アクセス制御システムにおいて、
前記第１のユーザとその個人情報の開示を許可する第２のユーザとの関係を表すユーザ関係情報を管理するユーザ関係管理手段と、
前記ユーザ関係情報と関連付けて前記第１のユーザの個人情報の開示条件を設定したアクセス制御ルールを管理するアクセス制御ルール管理手段と、
前記端末から、第１及び第２のユーザの識別情報を含む情報取得要求が送られた場合に、この情報取得要求に含まれる第１及び第２の識別情報をもとに、前記ユーザ関係管理手段及び前記アクセス制御ルール管理手段からそれぞれ該当するユーザのユーザ関係情報及びアクセス制御ルールを読み出し、この読み出されたユーザ関係情報及びアクセス制御ルールに基づいて前記第２のユーザに対する前記第１のユーザの個人情報の開示の許否を判定するアクセス許否判定手段と、
前記判定の結果情報開示が許可された場合に、前記第１のユーザの識別情報をもとに前記データベースから該当する個人情報を読み出して、取得要求元の端末へ送信する手段と
を具備することを特徴とする情報アクセス制御システム。
【請求項２】
請求項１記載の情報アクセス制御システムが具備する各手段のうち、
前記第１のユーザとその個人情報の開示を許可する第２のユーザとの関係を表すユーザ関係情報を管理するユーザ関係管理手段
を具備することを特徴とするユーザ関係管理サーバ装置。
【請求項３】
前記端末から第２のユーザに係わるユーザ関係情報の取得要求が送られた場合に、当該取得要求に含まれる第２のユーザの識別情報をもとに前記ユーザ関係管理手段から該当するユーザ関係情報を検索して要求元の端末へ送信する手段を、さらに具備することを特徴とする請求項２記載のユーザ関係管理サーバ装置。
【請求項４】
請求項１記載の情報アクセス制御システムが具備する各手段のうち、
前記第１のユーザの個人情報を記憶する個人情報データベースと、
前記ユーザ関係情報と関連付けて前記第１のユーザの個人情報の開示条件を設定したアクセス制御ルールを管理するアクセス制御ルール管理手段と、
前記端末から、第１及び第２のユーザの識別情報を含む情報取得要求が送られた場合に、この情報取得要求に含まれる第１及び第２の識別情報をもとに、前記ユーザ関係管理手段及び前記アクセス制御ルール管理手段からそれぞれ該当するユーザのユーザ関係情報及びアクセス制御ルールを読み出し、この読み出されたユーザ関係情報及びアクセス制御ルールに基づいて前記第２のユーザに対する前記第１のユーザの個人情報の開示の許否を判定するアクセス許否判定手段と、
前記判定の結果情報開示が許可された場合に、前記第１のユーザの識別情報をもとに前記データベースから該当する個人情報を読み出して、取得要求元の端末へ送信する手段と
を具備することを特徴とするデータプロバイドサーバ装置。
【請求項５】
前記アクセス制御ルール管理手段は、第２のユーザの属性情報と、開示期間又は非開示期間を指定する情報と、個人情報を構成する複数の項目のうち開示対象項目又は非開示対象項目を指定する情報のうちの少なくとも一つを開示条件としてさらに含むアクセス制御ルールを管理し、
前記アクセス許否判定手段は、前記アクセス制御ルールに開示条件として含まれる第２のユーザの属性情報、開示期間又は非開示期間を指定する情報、或いは開示対象項目又は非開示対象項目を表す情報を加味して、前記第２のユーザに対する前記第１のユーザの個人情報の開示の許否を判定することを特徴とする請求項４記載のデータプロバイドサーバ装置。
【請求項６】
請求項２記載のユーザ関係管理サーバ装置と、請求項３記載のデータプロバイドサーバ装置と、前記第２のユーザが使用する端末とを、ネットワークを介して接続可能としたシステムで使用される情報アクセス制御方法であって、
前記データプロバイドサーバ装置が、前記ユーザ関係情報と関連付けて前記第１のユーザの個人情報の開示条件を設定したアクセス制御ルールをアクセス制御ルール用データベースにより管理する過程と、
前記データプロバイドサーバが、前記端末から第１及び第２のユーザの識別情報を含む情報取得要求が送られた場合に、この情報取得要求に含まれる第１及び第２の識別情報をもとに前記ユーザ関係管理サーバ装置及び前記アクセス制御ルール用データベースからそれぞれ該当するユーザのユーザ関係情報及びアクセス制御ルールを読み出し、この読み出されたユーザ関係情報及びアクセス制御ルールに基づいて前記第２のユーザに対する前記第１のユーザの個人情報の開示の許否を判定する過程と、
前記データプロバイドサーバが、前記判定の結果情報開示が許可された場合に、前記第１のユーザの識別情報をもとに前記データベースから該当する個人情報を読み出して、取得要求元の端末へ送信する過程と
を具備することを特徴とする情報アクセス制御方法。
【請求項７】
前記ユーザ関係管理サーバ装置が、前記端末から第２のユーザの識別情報を含むユーザ関係取得要求が送られた場合に、当該ユーザ関係取得要求に含まれる第２のユーザの識別情報に基づいて、前記ユーザ関係管理手段により管理されている該当するユーザ関係情報を検索し、この検索されたユーザ関係情報を要求元の端末へ送信する過程を、さらに具備することを特徴とする請求項６記載の情報アクセス制御方法。
【請求項８】
前記アクセス制御ルールを管理する過程は、第２のユーザの属性情報と、開示期間又は非開示期間を指定する情報と、個人情報を構成する複数の項目のうち開示対象項目又は非開示対象項目を指定する情報のうちの少なくとも一つを開示条件としてさらに含むアクセス制御ルールを管理し、
前記個人情報の開示の許否を判定する過程は、前記アクセス制御ルールに開示条件として含まれる第２のユーザの属性情報、開示期間又は非開示期間を指定する情報或いは開示対象項目又は非開示対象項目を表す情報を加味して、前記第２のユーザに対する前記第１のユーザの個人情報の開示の許否を判定することを特徴とする請求項６又は７記載の情報アクセス制御方法。
【請求項９】
前記ユーザ関係管理サーバ装置が、前記端末から送信される、第１のユーザに関連するユーザ関係情報の検索要求を受信した場合に、該当するユーザ関係情報を読み出して要求元の端末へ送信する過程と、
前記データプロバイドサーバ装置が、前記端末から送信される、前記ユーザ関係管理サーバ装置から送信されたユーザ関係情報をもとに編集された新たなアクセス制御ルールを表す情報を受信した場合に、この受信した新たなアクセス制御ルールを表す情報を前記アクセス制御ルール用データベースに記憶させる過程と
を、さらに具備することを特徴とする請求項６乃至８のいずれかに記載の情報アクセス制御方法。
【図１】
【図２】
【図３】
【図４】
【図５】
【図６】
【図７】
【図８】
【図９】
【図１０】
【図２】
【図３】
【図４】
【図５】
【図６】
【図７】
【図８】
【図９】
【図１０】
【公開番号】特開２０１１−１００３６２（Ｐ２０１１−１００３６２Ａ）
【公開日】平成２３年５月１９日（２０１１．５．１９）
【国際特許分類】
【出願番号】特願２００９−２５５４５３（Ｐ２００９−２５５４５３）
【出願日】平成２１年１１月６日（２００９．１１．６）
【出願人】（０００００４２２６）日本電信電話株式会社 (13,992)
【Ｆターム（参考）】
【公開日】平成２３年５月１９日（２０１１．５．１９）
【国際特許分類】
【出願日】平成２１年１１月６日（２００９．１１．６）
【出願人】（０００００４２２６）日本電信電話株式会社 (13,992)
【Ｆターム（参考）】
[ Back to top ]