JP6031467B2 - Ｗｅｂ情報アクセスシステムとその開示ポリシー判定方法 - Google Patents

Description

この発明は、情報保有者たるユーザがＷｅｂ上に保有する個人情報を他のユーザに開示する機能を備えるＷｅｂ情報アクセスシステムとその開示ポリシー判定方法に関する。

近年、医療や介護等のヘルスケアの分野では、効率的な医療又は介護の実現のため、複数の医療機関による分業および連携が行われるようになっている。このような状況下では、同一の患者に関する患者情報が複数の医療機関に散在することになるため、異なる複数の医療機関、診療科又は医療従事者が、他の医療機関で管理されている患者情報に対し適切なアクセス制御の下でアクセスできるようにする必要がある。

そこで、ユーザ関係を管理するユーザ関係管理サーバを設け、利用者端末の要求に応じてサービス連携サーバからデータプロバイドサーバ上の個人情報に対しアクセスする場合に、上記ユーザ関係管理サーバに記憶されているユーザ間の関係を表す情報と、データプロバイドサーバ上のアクセス制御ルール情報をもとに、アクセス要求元の利用者がその患者の掛り付け医であるか否かを判定し、このアクセス制御判定の結果がＯＫであれば、要求された個人情報へのアクセスを許可するシステムが提案されている（例えば特許文献１を参照）。また、同様の手法によりＷｅｂ上のコンテンツを共有する方法も提案されている（例えば特許文献２を参照）。

特許４８７１９９１号公報 特開２０１１−２３８２０８号公報

ところが、特許文献１及び２に記載されたアクセス制御システムには以下のような解決すべき課題があった。すなわち、自身の個人情報を他者に開示する際、情報保有者は情報の開示範囲を表すポリシーを設定するが、このポリシーの設定内容と、情報の開示を求める被開示者が指定する要求の内容とは必ずしも一致するとは限らない。例えば、情報開示者が自身の氏名は開示対象にしても生年月日は開示対象としていない場合に、被開示者が単に利用者情報というメニューを指定すると、両者の情報の粒度が異なるためポリシーチェックは行われない。そのため、被開示者は開示を要求する場合にポリシーとして設定された開示対象を事前に把握した上で開示対象を指定しなければならず、操作上の負担が大きかった。

この発明は上記事情に着目してなされたもので、その目的とするところは、情報保有者が指定したポリシーと被開示者が要求する開示対象との間の情報の粒度が異なる場合でも、適切なポリシーチェックを可能とし、これにより開示判定の信頼性を維持しつつ被開示者の操作負担の軽減を図ったＷｅｂ情報アクセスシステムとその開示ポリシー判定方法を提供することにある。

上記目的を達成するためにこの発明の１つの観点は、Ｗｅｂ情報毎に情報の内容をその属性と関連付けた状態で管理するリソースサーバと、前記Ｗｅｂ情報にアクセスするためのメニューを含むＷｅｂアプリケーションを管理するアプリケーションサーバと、前記Ｗｅｂ情報に対するアクセス条件を表すポリシー情報を管理するポリシー管理サーバと、前記Ｗｅｂ情報に対しアクセスする際に使用するユーザ端末との間を、ネットワークを介して接続したＷｅｂ情報アクセスシステムにあって、前記ポリシー管理サーバに、前記Ｗｅｂ情報の複数の属性のうちアクセスの許可対象となる属性をポリシー情報に含めて記憶しておく。この状態で、前記ユーザ端末から前記Ｗｅｂ情報にアクセスするためのメニューを指定するアクセス要求が送信されると、前記ポリシー管理サーバにより、前記記憶されたポリシー情報に基づいて、前記アクセス要求により指定されたメニューの中に、前記許可対象として設定された属性を全て含むメニューが存在するか否かを判定し、存在する場合に当該メニューに含まれる許可対象の属性を前記リソースサーバに通知する。これに対しリソースサーバでは、前記ポリシー管理サーバから通知された許可対象の属性に関連付けられた情報の内容を読み出して、前記アプリケーションサーバへ送信し、前記アプリケーションサーバでは、前記リソースサーバから送られた情報の内容にアクセスするためのメニューを表示したメニュー画面情報を生成し、前記ユーザ端末に送信するようにしたものである。

また、この発明の１つの観点は以下のような態様を備えることを特徴とする。
第１の態様は、前記ユーザ端末から送信されたアクセス要求を前記Ｗｅｂアプリケーションサーバを介して受信した場合に、前記リソースサーバにより、セッションＩＤを発行して当該セッションＩＤを付与したアクセストークン提示要求を前記アプリケーションサーバを介して前記ポリシー管理サーバへ送信する。これに対しポリシー管理サーバでは、前記アクセストークン提示要求により指定されたメニューの中に、許可対象として設定された属性を全て含むメニューが存在するか否かを前記ポリシー情報をもとに判定し、存在する場合にアクセストークンを生成して前記アプリケーションサーバを介して前記リソースサーバへ送信する。前記リソースサーバでは、前記ポリシー管理サーバから受信したアクセストークンと前記送信したアクセストークン提示要求との整合性を前記セッションＩＤをもとに検証した後、前記受信したアクセストークンを前記ポリシー管理サーバへ送信する。前記ポリシー管理サーバでは、当該受信したアクセストークンと前記生成したアクセストークンとの整合性を検証した後、その検証結果を前記リソースサーバに通知する。リソースサーバでは、前記検証結果を受信した場合に、前記返送されたアクセストークンと引き換えに、前記許可対象の属性に関連付けられた情報の内容を読み出して、前記アプリケーションサーバへ送信するようにしたものである。

第３の態様は、前記ポリシー管理サーバにより、前記記憶されたポリシー情報に基づいて、前記アクセス要求により指定されたメニューの中に、前記許可対象として設定された属性を全て含むメニューが存在するか否かを判定し、存在しなかった場合にはエラーメッセージを生成して前記ユーザ端末へ通知するようにしたものである。

この発明の１つの観点によれば、ユーザ端末からＷｅｂ情報にアクセスするためのメニューを指定するアクセス要求が送信されると、当該アクセス要求により指定されたメニューの中に、事前に許可対象として設定された属性を全て含むメニューが存在するか否かがポリシー情報をもとに判定される。そして、ポリシー情報に設定された属性を全て含むメニューが存在する場合に、当該メニューが表示された操作画面が生成されたユーザ端末に提示される。このため、被開示者がアクセス要求としてメニューを指定した場合でも、当該要求がポリシー情報を満たすか否かを確実に判定することができる。すなわち、被開示者が指定したアクセス要求とポリシー情報との間の情報の粒度が異なる場合でも、適切に開示の許否判定を行うことが可能となる。したがって、被開示者はアクセスを要求する際に、要求として入力する情報の粒度をポリシー情報の粒度に合わせる必要がなくなり、これによりアクセス要求の入力操作を簡単に行うことが可能となる。

第１の態様によれば、被開示者のアクセス要求の発生から、当該アクセス要求のポリシーチェック、リソースサーバによる開示対象情報の送信までの開示ポリシー判定手順が、アクセストークンを用いた情報転送手順を使用して行われる。このため、この発明に係る開示ポリシーの判定手順を、新たなプロトコルを使用することなく、既存のプロトコルを利用して実行することが可能となり、汎用のシステムにそのまま適用することが可能となる。

第２の態様によれば、アクセス要求により指定されたメニューの中に、許可対象として設定された属性を全て含むメニューが存在しなかった場合に、その理由を含むエラーメッセージが生成されて被開示者に提示される。このため、被開示者は、自身が指定したアクセス要求が拒否された理由を明確に知ることができる。

すなわちこの発明の１つの観点によれば、情報保有者が指定したポリシーと被開示者が要求する開示対象との間の情報の粒度が異なる場合でも、適切なポリシーチェックを可能とし、これにより開示判定の信頼性を維持しつつ被開示者の操作負担の軽減を図ったＷｅｂ情報アクセスシステムとその開示ポリシー判定方法を提供することができる。

この発明の一実施形態に係るＷｅｂ情報アクセスシステムの機能構成を示すブロック図。 図１に示したシステムにおける、開示ポリシー判定制御の概要を示す図。 図１に示したシステムのポリシー管理サーバが管理するユーザ情報の一例を示す図。 図１に示したシステムのポリシー管理サーバが管理するユーザのポリシー情報の一例を示す図。 図１に示したシステムのポリシー管理サーバが管理するメニュー管理情報の一例を示す図。 図１に示したシステムのポリシー管理サーバが管理するアクセストークン情報の一例を示す図。 図１に示したＷｅｂアプリサーバが管理するユーザ情報の一例を示す図。 図１に示したシステムのリソースサーバが管理するセッション情報の一例を示す図。 図１に示したシステムのリソースサーバが保存するリソース情報の一例を示す図。 図１に示したシステムにおける開示ポリシー判定手順を含むアクセス制御の処理手順と処理内容の前半部分を示すシーケンス図。 図１に示したシステムにおける開示ポリシー判定手順を含むアクセス制御の処理手順と処理内容の後半部分を示すシーケンス図。

以下、図面を参照してこの発明に係わる実施形態を説明する。
［一実施形態］
図１は、この発明の一実施形態に係るＷｅｂ情報アクセスシステムの機能構成を示すブロック図である。
このＷｅｂ情報アクセスシステムは、リソースサーバ１と、ポリシー管理サーバ２と、Ｗｅｂアプリケーションサーバ３と、ユーザ端末４を、ネットワーク５を介して通信可能に接続したものである。このうち各サーバ１〜３はサーバコンピュータからなり、またユーザ端末４はパーソナルコンピュータ等の固定端末又はスマートフォン等の携帯端末からなる。

先ずＷｅｂアプリケーションサーバ３は、ユーザ認証、リソースサーバ１へのアクセス、アクセストークンの要求と提示、開示メニュー情報の生成等の機能を有するもので、制御ユニット３１と、記憶ユニット３２と、送受信部３３を備えている。送受信部３３は、リソースサーバ１、ポリシー管理サーバ２及びユーザ端末４との間で、予め決められたプロトコルに従い情報の送受信を行う。

記憶ユニット３２は、ユーザ情報記憶部３２１を有する。ユーザ情報記憶部３２１には、システムに利用登録をしたユーザのユーザ情報が記憶される。ユーザ情報は、ユーザＩＤにパスワードを関連付けたものからなる。

制御ユニット３１は、認証処理部３１１と、リソースアクセス部３１２と、アクセストークン要求部３１３と、アクセストークン提示部３１４と、開示メニュー生成部３１５を有する。これらの制御機能はいずれも図示しないプログラムメモリに格納されたプログラムをＣＰＵに実行させることにより実現される。

認証処理部３１１は、ユーザ端末４からアクセス要求を受信した場合に、ユーザ情報記憶部３２１に記憶されたユーザ情報をもとに、ユーザ端末４との間で被開示者の認証手順を実行する。

リソースアクセス部３１２は、上記認証により被開示者の正当性が確認された場合に、ユーザ端末４から送られたアクセス先へのリクエストをリソースサーバ１へ転送する。アクセス先へのリクエストには、情報保有者の識別情報とリソースの内容を表す情報が含まれる。

アクセストークン要求部３１３は、リソースサーバ１からアクセストークンの提示要求を受信した場合に、アクセストークンの要求をポリシー管理サーバ２へ送信する。

アクセストークン提示部３１４と、上記アクセストークン要求の送信に対しポリシー管理サーバ２からアクセストークン値が返送された場合に、このアクセストークン値を上記アクセス先へのリクエストに付与してリソースサーバ１へ送信する。

開示メニュー生成部３１５は、上記アクセストークンの送信に対しリソースサーバ１から開示対象のリソース情報が送られた場合に、当該リソース情報にアクセス（操作）するためのＷｅｂアプリケーションのメニュー画面、つまり開示対象のメニューのみを表示した開示メニュー画面情報を生成し、当該開示メニュー画面情報をユーザ端末４へ送信する。

次にリソースサーバ１は、アクセストークンの提示及び検証を要求する機能と、情報保有者のリソースを提供する機能を備えたもので、上記Ｗｅｂアプリケーションサーバ３と同様に、制御ユニット１１と、記憶ユニット１２と、送受信部１３を備えている。送受信部１３は、Ｗｅｂアプリケーションサーバ３、ポリシー管理サーバ２及びユーザ端末４との間で、予め決められたプロトコルに従い情報の送受信を行う。

記憶ユニット１１は、セッション情報記憶部１２１と、リソース情報記憶部１２２を備えている。セッション情報記憶部１２１は、セッションＩＤに関連付けて、Ｗｅｂアプリケーションサーバ３から送られたアクセス先へのリクエストを保存するために使用される。図８はこのセッション情報の記憶例を示す。リソース情報記憶部１２２は、情報保有者のユーザＩＤに関連付けて、当該情報保有者の個人情報（リソース情報）を保存するために用いられる。リソース情報は、区分（属性）と内容とに分けて管理される。図９はこのリソース情報の記憶例を示すものである。

制御ユニット１１は、アクセストークン提示要求部１１１と、アクセストークン検証要求部１１２と、リソース情報提供部１１３とを有している。これらの制御機能はいずれも図示しないプログラムメモリに格納されたプログラムをＣＰＵに実行させることにより実現される。

アクセストークン提示要求部１１１は、Ｗｅｂアプリケーションサーバ３からアクセス先へのリクエストを受信した場合に、セッションＩＤを生成し、このセッションＩＤに関連付けて上記受信されたリクエストを上記セッション情報記憶部１２１に保存する。

アクセストークン検証要求部１１２は、Ｗｅｂアプリケーションサーバ３からアクセストークン情報を受信した場合に、当該アクセストークン情報の内容と、先に受信したアクセス先へのリクエストの内容との整合性を、セッション情報記憶部１２１に保存されたセッション情報に基づいて検証する。

リソース情報提供部１１３は、ポリシー管理サーバ２からアクセストークンの検証結果＝ＯＫと、開示対象のリソース情報の属性を受信した場合に、当該属性に該当するリソース情報の内容をリソース情報記憶部１２２から読み出して、Ｗｅｂアプリケーションサーバ３へ送信する。

最後にポリシー管理サーバ２は、ユーザ認証、ポリシーチェック及びアクセストークンの管理を行うもので、上記Ｗｅｂアプリケーションサーバ３及びリソースサーバ１と同様に、制御ユニット２１と、記憶ユニット２２と、送受信部２３を備えている。送受信部２３は、リソースサーバ１、Ｗｅｂアプリケーションサーバ３及びユーザ端末４との間で、予め決められたプロトコルに従い情報の送受信を行う。

記憶ユニット２１は、ユーザ情報記憶部２２１と、ポリシー情報記憶部２２２と、メニュー管理情報記憶部２２３と、アクセストークン情報記憶部２２４を有する。

ユーザ情報記憶部２２１には、システムに利用登録をしたユーザのユーザ情報が記憶される。ユーザ情報は、例えば図３に示すようにユーザＩＤにパスワードを関連付けたものからなる。

ポリシー情報記憶部２２２には、リソースサーバ１で管理されている情報保有者の個人情報（リソース情報）に対するアクセス許可条件を表す情報がポリシー情報として記憶される。ポリシー情報は、情報保有者の識別情報と、情報の開示を受けようとするユーザ（被開示者）の識別情報と、開示を許諾したリソース情報の属性を表す情報を含む。図４はその一例を示すものである。

メニュー管理情報記憶部２２３には、個人情報に対しアクセスするためのＷｅｂアプリケーションのメニューと、当該メニューに含まれる個人情報の属性との対応関係を表す情報が記憶される。図５はその一例を示す図である。

アクセストークン情報記憶部２２４には、被開示者からのアクセス要求に対し生成されるアクセストークン情報が格納される。アクセストークン情報は、被開示者の識別情報と、開示メニューを表す情報と、アクセストークン値と、有効期限を含む。図６にその一例を示す。

制御ユニット２１は、認証処理部２１１と、ポリシーチェック部２１２と、アクセストークン生成部２１３と、アクセストークン検証部２１４を有している。これらの制御機能はいずれも図示しないプログラムメモリに格納されたプログラムをＣＰＵに実行させることにより実現される。

認証処理部２１１は、Ｗｅｂアプリケーションサーバ３からアクセストークンの要求を受信した場合に、ユーザ情報記憶部２２１に記憶されたユーザ情報をもとにユーザ端末４との間で被開示者の認証を行う。

ポリシーチェック部２１２は、上記認証の結果、被開示者の正当性が確認された場合に、上記ポリシー情報記憶部２２２に格納されているポリシー情報をもとに、上記受信されたアクセストークンの要求に含まれるリソース情報に対し、メニューと属性の両方を考慮したポリシーチェックを行う。

アクセストークン生成部２１３は、上記ポリシーチェックの結果、アクセストークン要求で指定されたメニューの中にポリシー情報に設定された属性を全て含むメニューがある場合に、アクセストークン値を発行して上記アクセストークン要求の情報と共にアクセストークン情報記憶部２２４に保存すると共に、アクセストークン値をＷｅｂアプリケーションサーバ３へ返送する。

アクセストークン検証部２１４は、リソースサーバ１からアクセストークン情報が返送された場合に、当該アクセストークン情報の正否を上記アクセストークン情報記憶部２２４に保存されているアクセストークン情報をもとに検証する。

（動作）
（１）動作の概要
次に、以上のように構成されたシステムにおける、情報保有者の個人情報に対するアクセス制御動作を説明する。図２はＵＭＡプロトコルを利用したアクセス制御動作の全体の流れを示す図である。
なお、ポリシー管理サーバ２のポリシー情報記憶部２２２には、Ｗｅｂアプリケーションの保有者が自ら設定した、当該Ｗｅｂアプリケーションに対するアクセス許可条件を表すポリシー情報が、ステップＳＴ１により事前に登録されているものとして説明を行う。

被開示者がユーザ端末４において、所望の情報保有者の個人情報に対しアクセスするための操作を行うと、ステップＳＴ２によりユーザ端末４からＷｅｂアプリケーションサーバ３に対しアクセス要求が送信される。Ｗｅｂアプリケーションサーバ３は、上記アクセス要求を受信すると、ステップＳＴ３により当該アクセス要求をリソースサーバ１へ転送する。このアクセス要求を受信するとリソースサーバ１は、ステップＳＴ４によりアクセストークンの提示要求を送信する。当該アクセストークンの提示要求を受信したＷｅｂアプリケーションサーバ３は、ステップＳＴ５においてＨＴＴＰリダイレクト機能により、上記アクセストークンの要求をユーザ端末４を経由してポリシー管理サーバ２へ転送する。

ポリシー管理サーバ２は、ステップＳＴ６において要求元のユーザ端末４との間で認証手順を実行し、ステップＳＴ７により、ポリシー情報記憶部２２２に格納されているポリシー情報をもとに、上記受信されたアクセストークンの要求に含まれるリソース情報に対し、情報の粒度を考慮したポリシーチェック、つまりメニューと属性の両方を考慮したポリシーチェックを行う。具体的には、アクセストークン要求で指定されたメニューの中に、ポリシー情報に設定された属性を全て含むメニューが含まれているか否かを判定する。

上記ポリシーチェックの結果、条件を満たすメニューが存在する場合、ポリシー管理サーバ２はアクセストークンを発行してこれをステップＳＴ８によりＷｅｂアプリケーションサーバ３へ送信し、Ｗｅｂアプリケーションサーバ３はこのアクセストークンをステップＳＴ９によりリソースサーバ１へ転送する。

リソースサーバ１は、上記アクセストークンを受信すると、ステップＳＴ１０において発行元のポリシー管理サーバ２に対し上記受信したアクセストークンの検証を要求する。ポリシー管理サーバ２は、上記検証を要求されたアクセストークンの検証を行い、その検証結果をステップＳＴ１１によりリソースサーバ１へ返送する。

リソースサーバ１は、上記検証結果を受信すると、上記アクセストークンに記載された属性に該当する個人情報をリソース情報記憶部１２２から読み出し、ステップＳＴ１２によりＷｅｂアプリケーションサーバ３へ送信する。Ｗｅｂアプリケーションサーバ３は、上記個人情報を受信すると、当該個人情報を保存した後、当該個人情報にアクセスするための開示メニューを表示した開示メニュー画面情報を生成し、ステップＳＴ１３によりユーザ端末４へ送信する。

（２）アクセス制御動作の具体例
次に、以上述べたアクセス制御動作の具体例を説明する。図１０及び図１１はその処理手順と処理内容を示すシーケンス図である。
被開示者が、自身のユーザ端末４においてＷｅｂアクセス操作を行うと、ユーザ端末４からＷｅｂアプリケーションサーバ３に対し、ステップＳＴ２−１によりアクセス指示が送信される。これに対しＷｅｂアプリケーションサーバ３は、認証処理部３１１の制御の下、先ずステップＳＴ２−２においてユーザ端末４との間でユーザＩＤとパスワードを用いた認証処理を実行し、被開示者の正当性が確認されるとその旨をユーザ端末４に通知する。

この通知を受けて、被開示者がアクセス先となる情報保有者の識別情報と、アクセス対象のメニューを入力すると、これらの情報がアクセス要求としてユーザ端末４からＷｅｂアプリケーションサーバ３へ送信される。図１０では、アクセス要求として、情報保有者＝ｘｘｘと、リソースメニュー＝「利用者情報＆介護情報」が送られた場合を例示している。上記アクセス要求を受信するとＷｅｂアプリケーションサーバ３は、リソースアクセス部３１２の制御の下、上記受信したアクセス要求をステップＳＴ３によりリソースサーバ１へ転送する。

リソースサーバ１は、上記アクセス要求を受信すると、アクセストークン提示要求部１１１の制御の下、セッションＩＤを生成する。そして、このセッションＩＤに関連付けて、上記アクセス指示に含まれる情報保有者＝ｘｘｘ、及びリソースメニュー＝「利用者情報＆介護情報」をセッション情報記憶部１２１に保存した後、ステップＳＴ４によりアクセストークンの提示要求をＷｅｂアプリケーションサーバ３へ送信する。なお、このアクセストークンの提示要求には、上記セッションＩＤ、情報保有者＝ｘｘｘ、及びリソースメニュー＝「利用者情報＆介護情報」が含まれる。

上記アクセストークンの提示要求を受信すると、Ｗｅｂアプリケーションサーバ３はアクセストークン要求部３１３の制御の下、ステップＳＴ５においてＨＴＴＰリダイレクト機能により上記アクセストークンの提示要求に含まれる情報保有者＝ｘｘｘ、及びリソースメニュー＝「利用者情報＆介護情報」をアクセストークンの要求としてユーザ端末４を介してポリシー管理サーバ２へ転送する。

ポリシー管理サーバ２は、上記アクセストークンの要求を受信すると、先ず認証処理部２１１の制御の下、ステップＳＴ６によりユーザ端末４に対し被開示者のユーザＩＤとパスワードの送信を求め、ユーザ端末４から受信したユーザＩＤとパスワードをユーザ情報記憶部２２１に記憶されたユーザ情報と照合することで、被開示者の正当性を確認する。

そして、被開示者の正当性が確認されると、次にステップＳＴ７によりポリシーチェック部２１２を起動し、このポリシーチェック部２１２の制御の下で、ポリシー情報記憶部２２２に格納されているポリシー情報をもとに、上記受信されたアクセストークンの要求に含まれるリソースメニューに対し、メニューと属性の両方を考慮したポリシーチェックを行う。このポリシーチェックにより、アクセストークン要求で指定されたメニューの中に、ポリシー情報に設定された属性を全て含むメニューが含まれているか否かが判定される。その結果、ポリシー情報に設定された属性を全て含むメニューが１つもなかった場合には、エラーとしてその旨をユーザ端末４に通知する。

例えば、いま図４に示したポリシー情報のうち、属性として「氏名」、「入浴支援日」のみが設定され、「生年月日」、「健康状態」が設定されていなかったとすると、メニュー「利用者情報」及び「介護情報」のいずれも全ての属性を含んでいるとは言えないので、この場合はエラーとなる。そして、この場合にはその旨のエラーメッセージを生成してユーザ端末４へ通知する。

これに対し、図４に示したようにポリシー情報に、属性として「氏名」、「生年月日」、「入浴支援日」、「健康状態」が設定されていれば、メニュー「利用者情報」及び「介護情報」のいずれも全ての属性を含んでいると判定される。この場合ポリシー管理サーバ２は、アクセストークン生成部２１３によりアクセストークン値を発行し、このアクセストークン値を上記アクセストークン要求の情報と共にアクセストークン情報記憶部２２４に保存すると共に、ステップＳＴ８により上記アクセストークン値をＷｅｂアプリケーションサーバ３へ返送する。具体的には、図１０に示すようにランダムに文字列からなるアクセストークン値＝“Ad055vcc3jwr”を発行し、当該アクセストークン値＝“Ad055vcc3jwr”をＷｅｂアプリケーションサーバ３へ送信する。

Ｗｅｂアプリケーションサーバ３は、上記アクセストークン値＝“Ad055vcc3jwr”を受信すると、アクセストークン提示部３１４により、先にステップＳＴ４においてリソースサーバ１から通知された、セッションＩＤ＝00000001、情報保有者の識別情報＝ｘｘｘ及びリソースメニュー＝「利用者情報＆介護情報」に、上記アクセストークン値＝“Ad055vcc3jwr”を付加し、このアクセストークン情報をリソースサーバ１へ送信する。

リソースサーバ１は、上記アクセストークン情報を受信すると、アクセストークン検証要求部１１２により、当該受信したアクセストークン情報の内容をセッション情報記憶部１２１に記憶されたセッション情報と照合し、その整合性をチェックする。具体的には、今回送られたアクセストークン情報に含まれる情報保有者の識別情報＝ｘｘｘ、及びリソースメニュー＝「利用者情報＆介護情報」を、先にステップＳＴ３により送られた情報保有者の識別情報＝ｘｘｘ、及びリソースメニュー＝「利用者情報＆介護情報」と照合する。そして両情報が一致すれば、ステップＳＴ１０により上記アクセストークン情報をポリシー管理サーバ２へ送信する。なお、両情報が一致しなかった場合にはエラーとする。

ポリシー管理サーバ２は、アクセストークン検証部２１４により、上記検証を要求されたアクセストークン情報の検証を行う。具体的には、今回受信したアクセストークン情報に含まれるアクセストークン値＝“Ad055vcc3jwr”が、先に発行したアクセストークン値と一致するか、今回受信したアクセストークン情報に含まれる情報保有者の識別情報＝ｘｘｘ及びリソースメニュー＝「利用者情報＆介護情報」と、先にステップＳＴ５により受信したアクセストークンの要求に含まれる情報保有者の識別情報及びリソース情報との間に不整合がないかを検証する。またそれに加えて、アクセストークン情報記憶部２２４に保存されているアクセストークン情報に含まれる有効期限内であるかを判定する。

そして、全ての条件を満たすことが確認されると、ポリシー管理サーバ２はステップＳＴ１１により、検証結果＝ＯＫと、ポリシー情報記憶部２２２に記憶されている開示が許諾された属性、例えば図１１の例では「氏名」、「生年月日」、「入浴支援日」及び「健康状態」が対象リソースサーバ１へ返送する。なお、上記各判定の１つでも条件を満たさなければ、エラーとする。

リソースサーバ１は、上記検証結果＝ＯＫを受信すると、リソース提供部１１３により、当該検証結果＝ＯＫと共に受信した属性に該当する個人情報の内容をリソース情報記憶部１２２から読み出し、この読み出した個人情報をステップＳＴ１２によりＷｅｂアプリケーションサーバ３へ送信する。Ｗｅｂアプリケーションサーバ３は、リソースサーバ１から上記開示対象の個人情報を受信すると、開示メニュー生成部３１５の制御の下、当該個人情報にアクセス（操作）するためのＷｅｂアプリケーションのメニュー画面、つまり開示対象のメニューのみを表示した開示メニュー画面情報を生成し、当該開示メニュー画面情報をステップＳＴ１３によりユーザ端末４へ送信する。

例えば、図４に示したように属性「氏名」、「生年月日」、「入浴支援日」及び「健康状態」が開示許諾した属性として設定されている場合には、これらに対しアクセスするための「利用者情報」及び「介護情報」に対応するメニューを表示した開示メニュー画面情報を生成し、当該開示メニュー画面情報をユーザ端末４へ送信する。

ユーザ端末４では、上記送られた開示メニュー画面が表示される。したがって、以後被開示者は、当該メニュー画面に従いＷｅｂアプリケーションに対するアクセスが可能となる。例えば、いま開示メニューとして上記したように利用者情報と介護情報のボタン又はリンクが表示されていれば、被開示者は情報保有者に関する個人情報のうち利用者情報と介護情報について閲覧等の操作を行うことが可能となる。

（実施形態の効果）
以上詳述したようにこの発明の一実施形態では、ユーザ端末４からＷｅｂ情報にアクセスするためのメニューを指定するアクセス要求が送信された場合に、ポリシー管理サーバ２において、予め記憶されたポリシー情報に基づいて、上記アクセス要求により指定されたメニューの中に、許可対象として設定された属性を全て含むメニューが存在するか否かを判定する。そして、存在すると判定された場合に、当該メニューに含まれる許可対象の属性をリソースサーバ１に通知し、リソースサーバ１において上記通知された許可対象の属性に関連付けられた情報の内容を読み出してアプリケーションサーバ３へ送信し、アプリケーションサーバ３が上記リソースサーバ１から送られた情報の内容にアクセスするためのメニュー画面を生成してユーザ端末４に送信するようにしている。

したがって、被開示者がアクセス要求としてメニューを指定した場合でも、当該要求がポリシー情報を満たすか否かを確実に判定することができる。すなわち、被開示者が指定したアクセス要求とポリシー情報との間の情報の粒度が異なる場合でも、適切に開示の許否判定を行うことが可能となる。したがって、被開示者はアクセスを要求する際に、要求として入力する情報の粒度をポリシー情報の粒度に合わせる必要がなくなり、これによりアクセス要求の入力操作を簡単に行うことが可能となる。

また、被開示者のアクセス要求の発生から、当該アクセス要求のポリシーチェック、リソースサーバ１による開示対象情報の送信までの開示ポリシー判定手順が、アクセストークンを用いた情報転送手順を使用して行われる。このため、開示ポリシーの判定手順を、新たなプロトコルを使用することなく、既存のプロトコルを利用して実行することが可能となり、汎用のシステムにそのまま適用することが可能となる。

さらに、アクセス要求により指定されたメニューの中に、許可対象として設定された属性を全て含むメニューが存在しなかった場合に、その理由を含むエラーメッセージが生成されて被開示者に提示される。このため、被開示者は、自身が指定したアクセス要求が拒否された理由を明確に知ることができる。

［他の実施形態］
前記実施形態では、リソースサーバ１が管理する個人情報として患者の診療や介護に係るヘルスケア情報を取り扱う場合について述べたが、情報保有者の学業成績、勤務成績、業務実績などの情報を取り扱うようにしてもよい。
その他、システムの構成、各サーバにおける処理手順と処理内容等についても、この発明の要旨を逸脱しない範囲で種々変形して実施可能である。

要するにこの発明は、上記実施形態そのままに限定されるものではなく、実施段階ではその要旨を逸脱しない範囲で構成要素を変形して具体化できる。また、上記実施形態に開示されている複数の構成要素の適宜な組み合せにより種々の発明を形成できる。例えば、実施形態に示される全構成要素から幾つかの構成要素を削除してもよい。さらに、異なる実施形態に亘る構成要素を適宜組み合せてもよい。

１…リソースサーバ、２…ポリシー管理サーバ、３…Ｗｅｂアプリケーションサーバ、４…端末、５…ネットワーク、１１，２１，３１…制御ユニット、１２，２２，３２…記憶ユニット、１３，２３，３３…送受信部、１１１…アクセストークン提示要求部、１１２…アクセストークン検証要求部、１１３…リソース提供部、１２１…セッション情報記憶部、１２２…リソース情報記憶部、２１１…認証処理部、２１２…ポリシーチェック部、２１３…アクセストークン生成部、２１４…アクセストークン検証部、２２１…ユーザ情報記憶部、２２２…ポリシー情報記憶部、２２３…メニュー管理情報記憶部、２２４…アクセストークン情報記憶部、３１１…認証処理部、３１２…リソースアクセス部、３１３…アクセストークン要求部、３１４…アクセストークン提示部、３１５…開示メニュー生成部、３２１…ユーザ情報記憶部。

Claims (6)

1. Ｗｅｂ情報毎に情報の内容をその属性と関連付けた状態で管理するリソースサーバと、前記Ｗｅｂ情報にアクセスするためのメニューを含むＷｅｂアプリケーションを管理するアプリケーションサーバと、前記Ｗｅｂ情報に対するアクセス条件を表すポリシー情報を管理するポリシー管理サーバと、前記Ｗｅｂ情報に対しアクセスする際に使用するユーザ端末との間を、ネットワークを介して接続したＷｅｂ情報アクセスシステムであって、
   前記ポリシー管理サーバは、
   前記Ｗｅｂ情報の複数の属性のうちアクセスの許可対象となる属性の入力を受け付け、当該入力された属性を前記ポリシー情報に含めて記憶する手段と、
   前記ユーザ端末から前記Ｗｅｂ情報にアクセスするためのメニューを指定するアクセス要求が送信された場合に、前記記憶されたポリシー情報に基づいて、前記アクセス要求により指定されたメニューの中に、前記許可対象として設定された属性を全て含むメニューが存在するか否かを判定し、存在する場合に当該メニューに含まれる許可対象の属性を前記リソースサーバに通知する手段と
   を備え、
   前記リソースサーバは、
   前記ポリシー管理サーバから通知された許可対象の属性に関連付けられた情報の内容を読み出して、前記アプリケーションサーバへ送信する手段
   を備え、
   前記アプリケーションサーバは、
   前記リソースサーバから送られた情報の内容にアクセスするためのメニューを表示したメニュー画面情報を生成し、前記ユーザ端末に送信する手段
   を備えるＷｅｂ情報アクセスシステム。
2. 前記リソースサーバは、前記ユーザ端末から送信されたアクセス要求を前記Ｗｅｂアプリケーションサーバを介して受信した場合に、セッションＩＤを発行して当該セッションＩＤを付与したアクセストークン提示要求を前記アプリケーションサーバを介して前記ポリシー管理サーバへ送信し、
   前記ポリシー管理サーバは、前記アクセストークン提示要求を受信した場合に、当該提示要求により指定されたメニューの中に、許可対象として設定された属性を全て含むメニューが存在するか否かを前記ポリシー情報をもとに判定し、存在する場合にアクセストークンを生成して前記アプリケーションサーバを介して前記リソースサーバへ送信し、
   前記リソースサーバは、前記ポリシー管理サーバから受信したアクセストークンと前記送信したアクセストークン提示要求との整合性を前記セッションＩＤをもとに検証した後、前記受信したアクセストークンを前記ポリシー管理サーバへ送信し、
   前記ポリシー管理サーバは、前記アクセストークンを受信した場合に、当該受信したアクセストークンと前記生成したアクセストークンとの整合性を検証した後、その検証結果を前記リソースサーバに通知し、
   前記リソースサーバは、前記検証結果を受信した場合に、前記返送されたアクセストークンと引き換えに、前記許可対象の属性に関連付けられた情報の内容を読み出して、前記アプリケーションサーバへ送信する
   ことを特徴とする請求項１記載のＷｅｂ情報アクセスシステム。
3. 前記ポリシー管理サーバは、前記記憶されたポリシー情報に基づいて、前記アクセス要求により指定されたメニューの中に、前記許可対象として設定された属性を全て含むメニューが存在するか否かを判定し、存在しなかった場合にはエラーメッセージを生成して前記ユーザ端末へ通知することを特徴とする請求項１又は２記載のＷｅｂ情報アクセスシステム。
4. Ｗｅｂ情報毎に情報の内容をその属性と関連付けた状態で管理するリソースサーバと、前記Ｗｅｂ情報にアクセスするためのメニューを含むＷｅｂアプリケーションを管理するアプリケーションサーバと、前記Ｗｅｂ情報に対するアクセス条件を表すポリシー情報を管理するポリシー管理サーバと、前記Ｗｅｂ情報に対しアクセスする際に使用するユーザ端末との間を、ネットワークを介して接続したＷｅｂ情報アクセスシステムが実行する開示ポリシー判定方法であって、
   前記ポリシー管理サーバが、前記Ｗｅｂ情報の複数の属性のうちアクセスの許可対象となる属性の入力を受け付け、当該入力された属性を前記ポリシー情報に含めて記憶する過程と、
   前記ポリシー管理サーバが、前記ユーザ端末から前記Ｗｅｂ情報にアクセスするためのメニューを指定するアクセス要求が送信された場合に、前記記憶されたポリシー情報に基づいて、前記アクセス要求により指定されたメニューの中に、前記許可対象として設定された属性を全て含むメニューが存在するか否かを判定し、存在する場合に当該メニューに含まれる許可対象の属性を前記リソースサーバに通知する過程と、
   前記リソースサーバが、前記ポリシー管理サーバから通知された許可対象の属性に関連付けられた情報の内容を読み出して、前記アプリケーションサーバへ送信する過程と、
   前記アプリケーションサーバが、前記リソースサーバから送られた情報の内容にアクセスするためのメニューを表示したメニュー画面情報を生成し、前記ユーザ端末に送信する過程と
   を具備することを特徴とする開示ポリシー判定方法。
5. 前記リソースサーバが、前記ユーザ端末から送信されたアクセス要求を前記Ｗｅｂアプリケーションサーバを介して受信した場合に、セッションＩＤを発行して当該セッションＩＤを付与したアクセストークン提示要求を前記アプリケーションサーバを介して前記ポリシー管理サーバへ送信し、
   前記ポリシー管理サーバが、前記アクセストークン提示要求を受信した場合に、当該提示要求により指定されたメニューの中に、許可対象として設定された属性を全て含むメニューが存在するか否かを前記ポリシー情報をもとに判定し、存在する場合にアクセストークンを生成して前記アプリケーションサーバを介して前記リソースサーバへ送信し、
   前記リソースサーバが、前記ポリシー管理サーバから受信したアクセストークンと前記送信したアクセストークン提示要求との整合性を前記セッションＩＤをもとに検証した後、前記受信したアクセストークンを前記ポリシー管理サーバへ送信し、
   前記ポリシー管理サーバが、前記アクセストークンを受信した場合に、当該受信したアクセストークンと前記生成したアクセストークンとの整合性を検証した後、その検証結果を前記リソースサーバに通知し、
   前記リソースサーバが、前記検証結果を受信した場合に、前記返送されたアクセストークンと引き換えに、前記許可対象の属性に関連付けられた情報の内容を読み出して、前記アプリケーションサーバへ送信する
   ことを特徴とする請求項４記載の開示ポリシー判定方法。
6. 前記ポリシー管理サーバが、前記記憶されたポリシー情報に基づいて、前記アクセス要求により指定されたメニューの中に、前記許可対象として設定された属性を全て含むメニューが存在するか否かを判定し、存在しなかった場合にはその理由を含むエラーメッセージを生成して前記ユーザ端末へ通知することを特徴とする請求項４又は５記載の開示ポリシー判定方法。

Images