利用者による情報へのアクセスに関するログデータを収集する第1装置と、前記ログデータを提供する1以上の第2装置と、識別子を格納する第3装置とを具備するログ収集システムであって、前記第1装置は、利用者を識別するための第1利用者識別子、該第1利用者識別子よりも暗号強度が高い第1一時識別子、および、該第1利用者識別子とは異なる利用者の属性情報をそれぞれ対応付けて格納する第1格納手段と、前記ログデータを前記第2装置へ要求する要求信号を生成する要求手段と、を具備し、前記第2装置は、前記第1利用者識別子と同一の利用者を示す識別子である第2利用者識別子と、該第2利用者識別子よりも暗号強度が高い第2一時識別子とを対応付けて格納する第2格納手段と、前記第1装置からの前記要求信号に応じて、少なくとも前記第2利用者識別子を含む前記ログデータを取得する取得手段と、前記第2格納手段を参照して、前記ログデータに含まれる第2利用者識別子を、対応する第2一時識別子に変換して、該第2一時識別子を含む第1変換ログデータを得る第1変換手段と、を具備し、前記第1装置は、前記第2装置から前記第1変換ログデータを受信する第1受信手段をさらに具備し、前記第3装置は、前記第1装置から前記第1変換ログデータに含まれる前記第2一時識別子を受信する第2受信手段と、前記第1一時識別子と1以上の前記第2一時識別子とを対応付けて格納する第3格納手段と、前記第3格納手段を参照して、前記第1変換ログデータに含まれる第2一時識別子に対応する第1一時識別子を抽出する抽出手段と、を具備し、前記第1装置は、前記第3装置から前記抽出された第1一時識別子を受信する第3受信手段と、前記第1格納手段を参照して、前記第1変換ログデータに含まれる第2一時識別子を、前記抽出された第1一時識別子に対応する属性情報に変換して、第2変換ログデータを得る第2変換手段と、をさらに具備することを特徴とするログ収集システム。前記第1装置は、入力された利用者識別子が含まれる部分ログデータを前記第2変換ログデータから抽出し、閲覧可能な形式に変換して提示する閲覧手段をさらに具備することを特徴とする請求項1に記載のログ収集システム。前記第1装置は、前記第2変換ログデータを格納する第4格納手段をさらに具備することを特徴とする請求項1または請求項2に記載のログ収集システム。前記第1装置は、利用者からの入力により、または一定期間経過後に、前記第2変換ログデータの少なくとも一部分を削除する削除手段をさらに具備することを特徴とする請求項1から請求項3のいずれか1項に記載のログ収集システム。利用者を識別するための第1利用者識別子、該第1利用者識別子よりも暗号強度が高い第1一時識別子、および、該第1利用者識別子とは異なる利用者の属性情報をそれぞれ対応付けて第1格納手段に格納し、前記利用者による情報へのアクセスに関するログデータを要求する要求信号を生成し、前記第1利用者識別子と同一の利用者を示す識別子である第2利用者識別子と、該第2利用者識別子よりも暗号強度が高い第2一時識別子とを対応付けて第2格納手段に格納し、前記要求信号に応じて、少なくとも前記第2利用者識別子を含む前記ログデータを取得し、前記第2格納手段を参照して、前記ログデータに含まれる第2利用者識別子を、対応する第2一時識別子に変換して、該第2一時識別子を含む第1変換ログデータを得、前記第1変換ログデータを受信し、前記第1変換ログデータに含まれる前記第2一時識別子を受信し、前記第1一時識別子と1以上の前記第2一時識別子とを対応付けて第3格納手段に格納し、前記第3格納手段を参照して、前記第1変換ログデータに含まれる第2一時識別子に対応する第1一時識別子を抽出し、前記抽出された第1一時識別子を受信し、前記第1格納手段を参照して、前記第1変換ログデータに含まれる第2一時識別子を、前記抽出された第1一時識別子に対応する属性情報に変換して、第2変換ログデータを得ることを具備することを特徴とするログ収集方法。コンピュータを、請求項1に記載のログ収集システムの各手段として実行させるためのプログラム。しかしながら、ログ収集の対象となる複数のサーバにおいて、サーバの管理主体が異なるなどの理由で利用者を一意に識別する情報である利用者識別子以下、ユーザIDともいうの付与規則が異なったり、氏名等の利用者の属性を示す情報の粒度がサーバごとに異なったりする可能性がある。この場合、1箇所に収集したアクセスログから、同一利用者によるアクセスを特定することは困難である。さらに一般的には、特定の担当者が、収集されたアクセスログを一元的に分析および閲覧することを想定しているので、アクセスログに出力された自分の個人情報にアクセスされた履歴を利用者自身が閲覧することは考慮されていない。また、アクセスログには、ユーザIDとして利用者の氏名、ニックネームなどが含まれる可能性があり、このような個人情報を含むアクセスログをネットワークを介して収集する場合に、盗聴などのセキュリティリスクが増大する。この発明は上記事情に着目してなされたもので、その目的とするところは、ログを一元的かつ安全に収集し、利用者がログを効率よく閲覧することができるログ収集システム、方法及びプログラムを提供することにある。上記目的を達成するためにこの発明の一つの観点は、利用者による情報へのアクセスに関するログデータを収集する第1装置と、前記ログデータを提供する1以上の第2装置と、識別子を格納する第3装置とを具備するログ収集システムであって、前記第1装置は、利用者を識別するための第1利用者識別子、該第1利用者識別子よりも暗号強度が高い第1一時識別子、および、該第1利用者識別子とは異なる利用者の属性情報をそれぞれ対応付けて格納する第1格納手段と、前記ログデータを前記第2装置へ要求する要求信号を生成する要求手段と、を具備し、前記第2装置は、前記第1利用者識別子と同一の利用者を示す識別子である第2利用者識別子と、該第2利用者識別子よりも暗号強度が高い第2一時識別子とを対応付けて格納する第2格納手段と、前記第1装置からの前記要求信号に応じて、少なくとも前記第2利用者識別子を含む前記ログデータを取得する取得手段と、前記第2格納手段を参照して、前記ログデータに含まれる第2利用者識別子を、対応する第2一時識別子に変換して、該第2一時識別子を含む第1変換ログデータを得る第1変換手段と、を具備し、前記第1装置は、前記第2装置から前記第1変換ログデータを受信する第1受信手段をさらに具備し、前記第3装置は、前記第1装置から前記第1変換ログデータに含まれる前記第2一時識別子を受信する第2受信手段と、前記第1一時識別子と1以上の前記第2一時識別子とを対応付けて格納する第3格納手段と、前記第3格納手段を参照して、前記第1変換ログデータに含まれる第2一時識別子に対応する第1一時識別子を抽出する抽出手段と、を具備し、前記第1装置は、前記第3装置から前記抽出された第1一時識別子を受信する第3受信手段と、前記第1格納手段を参照して、前記第1変換ログデータに含まれる第2一時識別子を、前記抽出された第1一時識別子に対応する属性情報に変換して、第2変換ログデータを得る第2変換手段と、をさらに具備することを特徴とする。すなわちこの発明によれば、ログを一元的かつ安全に収集し、利用者がログを効率よく閲覧することができる。以下、図面を参照しながら本開示の一実施形態に係るログ収集システム、方法及びプログラムについて詳細に説明する。なお、以下の実施形態では、同一の番号を付した部分については同様の動作を行うものとして、重ねての説明を省略する。本実施形態に係るログ収集システムについて図1のブロック図を参照して説明する。本実施形態に係るログ収集システム100は、ログ収集サーバ101、情報提供サーバ111および連携サーバ121を含む。また、ログ収集サーバ101、情報提供サーバ111、連携サーバ121および利用者端末141は、ネットワーク131を介して接続される。なお、ログ収集サーバ101と連携サーバ121とをそれぞれ分離した場合を想定しているが、これに限らず、ログ収集サーバ101と連携サーバ121とが一体となっていてもよい。また、図1の例では、情報提供サーバ111は1つであるが、複数存在してもよい。情報提供サーバ111は、自サーバにおけるログを収集し、ログ収集サーバ101の要求によりまたは所定期間ごとに、ログデータをログ収集サーバ101へ送信する。ログデータは、利用者による情報へのアクセスに関するログであり、本実施形態ではログデータとして、利用者の個人情報を扱う情報システムを利用した際に出力されるログ以下、アクセスログともいうを想定するが、これに限らず、秘匿情報や機密情報といったセキュリティ強度を高く設定する必要がある情報を扱うシステムを利用した際のログなどでもよい。連携サーバ121は、ログ収集サーバ101および情報提供サーバ111のそれぞれの一時識別子を対応付けて格納する。一時識別子は、利用者を一意に識別する利用者識別子よりも暗号強度が高い識別子を示す。ログ収集サーバ101は、1以上の情報提供サーバ111から、それぞれログデータを受信し、連携サーバ121に格納される一時識別子に基づいて、それぞれのログを対応付けて管理する。ネットワーク131は、ログ収集サーバ101、情報提供サーバ111および連携サーバ121を相互接続するために用いられる回線であり、一般的な有線ネットワークまたは無線ネットワークを用いればよい。利用者端末141は、例えばPC、携帯端末である。利用者は、利用者端末141を介してログ収集サーバ101で管理されるログデータを参照することにより、自身のアクセスログを閲覧することができる。以下、ログ収集サーバ101、情報提供サーバ111および連携サーバ121の詳細について説明する。ログ収集サーバ101は、利用者情報格納部102、ログ要求部103、一時識別子要求部104、名称変換部105、ログ格納部106、ログ削除部107およびログ閲覧部108を含む。利用者情報格納部102は、ログ収集サーバ101での利用者識別子第1利用者識別子ともいう、一時識別子第1一時識別子ともいう、および属性情報をそれぞれ対応付け、これらの情報を例えばテーブル形式で格納する。第1利用者識別子は、利用者を一意に識別するための番号またはその他の記号であればよい。一時識別子は、例えば、予め第1利用者識別子と対応付けてランダムに生成した番号またはその他の記号でもよいし、第1利用者識別子を暗号化して生成してもよいし、SAMLSecurityAssertionMarkupLanguageにおける仮名を用いてもよい。属性情報は、第1利用者識別子とは異なり容易に利用者を特定できる情報であり、例えば、氏名、ニックネーム、所属するカテゴリにおける統一的な呼び名が挙げられる。なお、利用者情報格納部102には上述の第1利用者識別子、一時識別子および属性情報が少なくとも対応付けられていればよく、その他の情報を対応づけて格納してもよい。ログ要求部103は、情報提供サーバ111にログデータを要求するためのログ要求信号を生成する。ログ要求部103は、情報提供サーバ111から変換されたログデータ第1変換ログデータともいうを受信する。第1変換ログデータは、情報提供サーバ111で生成されるログデータであり、詳細な説明は後述する。また、ログ要求部103は、変換ログデータに含まれる情報提供サーバ111での一時識別子第2一時識別子ともいうに対応するログ収集サーバ101での一時識別子を取得するための取得要求信号を生成する。ログ要求部103はその後、後述の一時識別子要求部104から、情報提供サーバ111での一時識別子に対応するログ収集サーバ101での一時識別子を受け取る。一時識別子要求部104は、ログ要求部103から、取得要求信号と変換ログデータに含まれる情報提供サーバ111での一時識別子とを受け取る。一時識別子要求部104は、ネットワーク131を介して連携サーバ121へ情報提供サーバ111での一時識別子を送信する。また、一時識別子要求部104は、連携サーバ121から、送信した情報提供サーバ111での一時識別子に対応する、ログ収集サーバ101での一時識別子を受け取る。名称変換部105は、ログ要求部103から変換ログデータと情報提供サーバ111での一時識別子に対応するログ収集サーバ101での一時識別子とをそれぞれ受け取る。名称変換部105は、利用者情報格納部102からログ収集サーバ101での一時識別子に対応する属性情報を抽出し、変換ログデータに含まれる一時識別子を抽出した属性情報に変換し、変換されたログデータ第2変換ログデータともいうを得る。ログ格納部106は、名称変換部105から第2変換ログデータを受け取って格納する。ログ削除部107は、ログ格納部106に格納されたログデータを削除する。例えば、指定された期間のログデータを削除したり、指定された利用者のログデータを削除する。なお、ログデータの削除が実行されるタイミングは、利用者によって手動で行われてもよいし、予め指定された時間を経過した後または所定の時間間隔で実行されもよい。ログ閲覧部108は、利用者の入力に応じて、ログ格納部106に格納されたログデータから部分ログデータを抽出して、部分ログデータを利用者が閲覧可能な形式に変換し、ログデータをネットワーク131を介して利用者端末141に送信する。なお、図1では、ログ格納部106から部分ログデータを抽出し、利用者端末141にログデータを送信する例を示すが、ログ閲覧部108が名称変換部105から直接第2変換ログデータを受け取って部分ログデータを抽出し、リアルタイムに利用者のログデータを表示してもよい。次に、情報提供サーバ111は、利用者情報格納部112、ログ取得部113および一時識別子変換部114を含む。利用者情報格納部112は、情報提供サーバ111での利用者識別子第2利用者識別子ともいうと一時識別子とを対応付け、これらの情報を例えばテーブル形式で格納する。なお、利用者情報格納部112には第2利用者識別子および一時識別子が少なくとも対応付けられていればよく、その他の情報を対応づけて格納してもよい。ログ取得部113は、ログ収集サーバ101からログ要求信号を受け取り、ログデータ115から未取得のログデータを取得する。一時識別子変換部114は、ログ取得部113からログデータを、利用者情報格納部112からログデータに含まれる第2利用者識別子に対応する一時識別子をそれぞれ受け取る。一時識別子変換部114は、ログデータ中の第2利用者識別子を一時識別子に変換し、変換ログデータを得る。その後、一時識別子変換部114は、変換ログデータをネットワーク131を介してログ収集サーバ101へ返送する。次に、連携サーバ121は、一時識別子格納部122と一時識別子抽出部123とを含む。一時識別子格納部122は、連携サーバ121での利用者識別子と、ログ収集サーバ101での一時識別子と、情報提供サーバ111での一時識別子とをそれぞれ対応付け、例えばテーブル形式で格納する。一時識別子の対応付けは、例えば、情報提供サーバ111で一時識別子に対応付けられた利用者がログ収集サーバ101での一時識別子と同一の利用者かどうかをパスワード認証により検証し、同一の利用者であれば、それぞれの一時識別子を対応付けるといった一般的な登録処理を行えばよく、ここでの説明は省略する。一時識別子抽出部123は、ログ収集サーバ101から情報提供サーバ111での一時識別子を受信し、情報提供サーバ111での一時識別子に対応するログ収集サーバ101での一時識別子を抽出し、ログ収集サーバ101に送信する。次に、本実施形態に係るログ収集システムにおけるログ収集処理について図2のシーケンス図を参照して説明する。ステップS201では、ログ収集サーバ101のログ要求部103が、情報提供サーバ111にログデータを要求する。ステップS202では、情報提供サーバ111のログ取得部113が、ログデータを取得する。ステップS203では、情報提供サーバ111の一時識別子変換部114が、ログデータ中の第2利用者識別子を対応する一時識別子に変換し、変換ログデータを得る。ステップS204では、情報提供サーバ111がログ収集サーバ101に変換ログデータを送信する。ステップS205では、ログ収集サーバ101が変換ログデータを受信し、ログ収集サーバ101の一時識別子要求部104が、連携サーバ121に、変換ログデータに含まれる情報提供サーバ111での一時識別子に対応するログ収集サーバ101での一時識別子を要求する。ステップS206では、連携サーバ121がログ収集サーバ101から情報提供サーバ111での一時識別子を受け取り、連携サーバ121の一時識別子抽出部123が、情報提供サーバ111での一時識別子に対応するログ収集サーバ101での一時識別子を抽出し、ログ収集サーバ101にログ収集サーバ101での一時識別子を送信する。ステップS207では、ログ収集サーバ101の名称変換部105が、ログ収集サーバ101の一時識別子を、対応する属性情報例えば、利用者の氏名に変換する。ステップS208では、ログ収集サーバ101のログ格納部106が、属性情報氏名に変換された変換ログデータを格納する。以上で本実施形態に係るログ収集処理を終了する。上述のログ収集処理の後、利用者の入力に応じて、ログ閲覧部108が利用者のログデータを抽出し、利用者端末141のブラウザなどで表示可能な形式に変換して送信する。氏名に変換されたログデータを表示することにより、同一人物か否かを利用者が容易に判別することができ、ログデータから不正利用などを効率よく検出することができる。また、利用者識別子を一時識別子に変換することで、ログ収集サーバ101および情報提供サーバ111でのユーザIDがネットワーク上で通信されることなく、ユーザIDが盗聴されずにセキュリティ強度を高めたログ収集を行なうことができる。また、定期的にログ収集サーバ101のログ削除手段が、ログ格納部106に格納されるログデータ全体または一部分を削除してもよい。これにより、利用者端末141に表示できない古いログデータを削除してデータ量を減らすことができ、処理速度の低下を抑えることができる。次に、本実施形態に係るログ収集システムの利用例について図3のブロック図を参照して説明する。本利用例では、患者が病院での検査結果をもとに、かかりつけの診療所で診断を受ける医療サービスを受診した場合を想定する。図3に示すログ収集システム300は、ログ収集サーバ101、連携サーバ121、病院サーバ301-1および診療所サーバ301-2を含む。ログ収集サーバ101および連携サーバ121は、図1に示すログ収集サーバ101および連携サーバ121と同様の動作を行なうので、ここでの詳細な説明は省略する。病院サーバ301-1および診療所サーバ301-2は、病院サーバ301-1ではログデータが検査データ302-1から収集され、診療所サーバ301-2ではログデータが診療データ302-2から収集される点が異なるが、その他の構成は情報提供サーバ111と同様であるため、ここでの説明は省略する。病院サーバ301-1には、患者の検査データへのアクセスに関するログがログデータに記録され、診療所サーバ301-2には、診療データへのアクセスに関するログがログデータに記録される。次に、ログ収集サーバ101の利用者情報格納部102に格納される利用者情報テーブルの一例について図4を参照して説明する。図4に示す利用者情報テーブルには、ユーザID第1利用者識別子401、第1一時識別子402および氏名403がそれぞれ対応付けられて格納される。例えば、ユーザID401A001は、一時識別子402としてaaa111bbbが付与され、氏名403は山田太郎である。このように、利用者ごとにログ収集サーバ101での一時識別子が付与される。次に、情報提供サーバ111の利用者情報格納部112に格納される利用者情報テーブルの一例について図5を参照して説明する。図5aは、情報提供サーバ111の一例として病院サーバ301-1に格納されるテーブルを示し、図5bは、情報提供サーバ111の一例として診療所サーバ301-2に格納されるテーブルを示す。図5aに示す病院サーバ301-1の利用者情報テーブルには、ユーザID第2利用者識別子501-1、第2一時識別子502-1、氏名503-1がそれぞれ対応付けられて格納される。具体的に、ユーザID501-1Daaa、一時識別子hs1111、氏名Yamadaが対応付けられる。一方、図5bに示す診療所サーバ301-2の利用者情報テーブルには、ユーザID第2利用者識別子501-2と第2一時識別子502-2とが対応付けられて格納される。具体的に、ユーザID502-21011と一時識別子502-2cl9999とが対応付けられる。次に、連携サーバ121の一時識別子格納部122に格納される一時識別子変換テーブルの一例について図6を参照して説明する。図6に示す一時識別子変換テーブルには、ユーザID601、ログ収集サーバ101での一時識別子402、情報提供サーバ病院サーバ301-1での一時識別子502-1および情報提供サーバ診療所サーバ301-2での一時識別子502-2がそれぞれ対応付けられて格納される。具体的に、ログ収集サーバ101での一時識別子402aaa111bbbと、情報提供サーバ病院サーバ301-1での一時識別子502-1hs1111と、情報提供サーバ診療所サーバ301-2での一時識別子502-2cl9999とが対応付いている。次に、情報提供サーバ111において出力されるログデータの一例について図7を参照して説明する。図7aは、病院サーバ301-1におけるログデータ700-1の出力例を示し、図7bは、診療所サーバ301-2におけるログデータ700-2の出力例を示す。図7aおよび図7bのそれぞれのログデータ700は、日時、アクセス者、対象者、対象データ、操作および結果に関するログを1組として出力する。通常のログデータでは、アクセス者および対象者がそれぞれのサーバでのユーザIDを用いて記録されている。具体的には、図7aでは、アクセス者として病院サーバ301-1のユーザID501-1Daaaが、対象者としてユーザID501-1Dcccが記録される。次に、情報提供サーバ111において出力される変換ログデータの一例について図8を参照して説明する。図8aは、病院サーバ301-1における変換ログデータ800-1の出力例を示し、図8bは、診療所サーバ301-2におけるログデータ800-2の出力例を示す。図8aおよび図8bに示すように、ユーザID501-1が対応する一時識別子502-1に変換される。具体的には、図5aに示す利用者情報テーブルを参照すると、ユーザID501-1Daaaが対応する一時識別子502-1hs1111に変換され、ユーザID501-1Dcccが対応する一時識別子502-1k9999に変換される。次に、ログ収集サーバ101のログ格納部106に格納されるログ保管テーブルの一例について図9を参照して説明する。図9に示すログ保管テーブルには、アクセス日時901、アクセス者902、対象サーバ903、対象利用者904、対象データ905、操作906および結果907が、それぞれ対応付けられて格納される。具体的には、例えば、アクセス日時9012011/3/110:00、アクセス者902山田太郎、対象サーバ903病院、対象利用者904田中三郎、対象データ905検査データ、操作906閲覧、および結果907成功が対応付けられる。このように、アクセス者902として、ユーザIDや一時識別子ではなく、属性情報ここでは氏名が格納されることにより、同一人物かどうかを容易にかつ一意に判別できる。例えば、図5に示すように、同じ病院内でも利用者によって入力する氏名表記が一致しないこともあり、病院と診療所とでは組織体系が異なり、患者や医療従事者のユーザIDは異なることが多いと考えられる。本実施形態に係るログ収集システム300によれば、ログ収集サーバ101に格納されている氏名に変換されるので、同一人物であるかどうかが容易かつ一意に判別できる。また、利用者として患者がログ保管テーブルからログを閲覧する場合には、自身が対象利用者904となる部分的なログデータがログ格納部106に格納される全ログデータから抽出され、利用者端末141を介して表示される。また、医療従事者がログを閲覧する場合には、自身がアクセス者902となる部分的なログデータが同様にログ格納部106に格納される全ログデータから抽出されて利用者端末141を介して表示される。なお、セキュリティの観点から、利用者端末141にログデータの閲覧の入力指示をした利用者以外のログデータを表示させないようにすることが望ましい。上述の利用例では、病院の検査データは当該病院の医療従事者および診療所の医師のみが閲覧し、診療所の診療データは診療所の医師のみが閲覧していることを想定する。つまり、ログ収集サーバ101において、医師および医療従事者以外の利用者によるアクセス結果があれば、不正利用があったことを容易にかつ効率的に判定することができる。以上に示した本実施形態によれば、個人情報を提供する複数の情報提供サーバからログデータを収集する場合に、ユーザIDより暗号強度の高い一時識別子を用い、ログデータに含まれる利用者識別子を一時識別子に変換し、さらに利用者の氏名またはニックネームといった属性情報に変換してログデータを収集することにより、サーバごとに利用者識別子や属性情報の粒度が異なった場合でも、一元的にかつ安全にログを収集することができ、利用者がログを容易に閲覧することができる。要するにこの発明は、上記実施形態そのままに限定されるものではなく、実施段階ではその要旨を逸脱しない範囲で構成要素を変形して具体化できる。また、上記実施形態に開示されている複数の構成要素の適宜な組み合せにより種々の発明を形成できる。例えば、実施形態に示される全構成要素から幾つかの構成要素を削除してもよい。さらに、異なる実施形態に亘る構成要素を適宜組み合せてもよい。