(57)【要約】      （修正有）【課題】機器群から収集したデータを暗号化する際、機器の種類のみに応じて暗号化手法を決定する場合と比べて、機器の機能変更に伴うセキュリティレベルの不整合を抑制可能なデータ収集システム、装置及びプログラムを提供する。【解決手段】データ収集装置としての画像形成装置１４は、複数のＩｏＴ機器１８からなる機器群１６が生成するデータを収集する。データを収集した画像形成装置は、それぞれ予め分類されたＩｏＴ機器の種類及びデータ項目の種類の組み合わせと、暗号化手法の種類との対応関係を示す暗号化ポリシー７６，７８に従って、機器群から収集されたデータの暗号化を行う。データを暗号化した画像形成装置は、暗号化済みデータを中央サーバ１２へ送信する。【選択図】図９
2020155838.tif 000002
【特許請求の範囲】
【請求項１】
中央サーバと、
前記中央サーバと双方向に通信可能な少なくとも１つのエッジサーバと、
を備え、前記エッジサーバは、
複数の機器からなる機器群が生成するデータを収集する収集手段と、
それぞれ予め分類された機器の種類及びデータ項目の種類の組み合わせと、暗号化手法の種類との対応関係を示す暗号化ポリシーに従って、前記収集手段により前記機器群から収集されたデータの暗号化を行い、暗号化済みのデータを前記中央サーバに送信する出力処理手段と、
備えることを特徴とするデータ収集システム。
【請求項２】
前記エッジサーバが、プロキシサーバを経由して前記暗号化済みのデータを前記中央サーバに送信する際に、
前記中央サーバは、前記プロキシサーバとの間で暗号化通信を行わないことを特徴とする請求項１に記載のデータ収集システム。
【請求項３】
前記中央サーバは、暗号化された通信路を用いて、データの暗号化に用いられる暗号鍵を前記暗号化ポリシーとともに前記エッジサーバに送信することを特徴とする請求項１又は２に記載のデータ収集システム。
【請求項４】
前記出力処理手段は、同一の暗号化手法に対応する複数種類のデータ項目を集約し、暗号化手法毎にデータの暗号化を一括で行うことを特徴とする請求項１〜３のいずれか１項に記載のデータ収集システム。
【請求項５】
前記収集手段により１つの機器から複数種類のデータ項目を含むデータが収集された場合、
前記出力処理手段は、複数種類のデータ項目のうちセキュリティレベルが最も高いデータ項目に対応する暗号化手法を用いて、データの暗号化を一括で行うことを特徴とする請求項１〜３のいずれかに記載のデータ収集システム。
【請求項６】
前記出力処理手段は、セキュリティレベルが最も高いデータ項目に対応する暗号化手法を用いて、予め分類されたデータ項目のいずれにも属さないデータの暗号化を行うことを特徴とする請求項１〜３のいずれか１項に記載のデータ収集システム。
【請求項７】
前記出力処理手段は、セキュリティレベルが最も低いデータ項目に対応する暗号化手法を用いて、予め分類されたデータ項目のいずれにも属さないデータの暗号化を行うことを特徴とする請求項１〜３のいずれか１項に記載のデータ収集システム。
【請求項８】
前記エッジサーバは、データの内容又はデータの収集状況から前記暗号化ポリシーの変更が必要であるか否かを判定する判定手段をさらに備えることを特徴とする請求項１に記載のデータ収集システム。
【請求項９】
前記出力処理手段は、前記判定手段による判定結果に応じて、前記暗号化ポリシーの変更を前記中央サーバに要求する通知を行い、
前記中央サーバは、前記エッジサーバに対してプル型通信を行うサーバであり、前記エッジサーバの要求に応じて変更された暗号化ポリシーを前記エッジサーバに送信する
ことを特徴とする請求項８に記載のデータ収集システム。
【請求項１０】
前記判定手段は、前記機器による測定を通じて得られる測定データの値が、予め定められた管理範囲から逸脱したか否かを判定し、
前記出力処理手段は、前記管理範囲から逸脱したと判定された場合、前記測定データのセキュリティレベルを現在のレベルから高くするように前記暗号化ポリシーの変更を要求する通知を行う
ことを特徴とする請求項９に記載のデータ収集システム。
【請求項１１】
前記測定データは、前記機器を装着するユーザに対する測定で得られる生体データであることを特徴とする請求項１０に記載のデータ収集システム。
【請求項１２】
前記判定手段は、ユーザが携帯可能であり、かつ前記エッジサーバにアクセス可能である携帯型機器の機体数が閾値を下回ったか否かを判定し、
前記出力処理手段は、前記閾値を下回ったと判定された場合、前記携帯型機器が生成するデータのセキュリティレベルを現在のレベルから高くするように前記暗号化ポリシーの変更を要求する通知を行う
ことを特徴とする請求項９に記載のデータ収集システム。
【請求項１３】
複数の機器からなる機器群が生成するデータを収集する収集手段と、
それぞれ予め分類された機器の種類及びデータ項目の種類の組み合わせと、暗号化手法の種類との対応関係を示す暗号化ポリシーに従って、前記収集手段により前記機器群から収集されたデータの暗号化を行い、暗号化済みのデータを外部装置に送信する出力処理手段と、
を備えることを特徴とするデータ収集装置。
【請求項１４】
複数の機器からなる機器群が生成するデータを収集する収集ステップと、
それぞれ予め分類された機器の種類及びデータ項目の種類の組み合わせと、暗号化手法の種類との対応関係を示す暗号化ポリシーに従って、前記機器群から収集されたデータの暗号化を行い、暗号化済みのデータを外部装置に送信する出力処理ステップと、
を１つ又は複数のコンピュータに実行させることを特徴とするデータ収集プログラム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、データ収集システム、装置、及びプログラムに関する。
【背景技術】
【０００２】
特許文献１には、印刷データ及びストレージのセキュリティレベルをそれぞれ判定し、送信先のストレージを決定する情報処理装置が開示されている。例えば、この装置が、印刷データに機密性を示す文字が含まれるか否かに応じて印刷データのセキュリティレベルを判定する旨が記載されている。
【０００３】
特許文献２には、ユーザ認証を行う管理サーバを含んで構成されるデータ管理システムが開示されている。例えば、この管理サーバが、予め定められたポリシーに従ってクライアント端末の位置情報からセキュリティレベルを決定し、このセキュリティレベルに応じた暗号鍵をクライアント端末に送信する旨が記載されている。
【先行技術文献】
【特許文献】
【０００４】
【特許文献１】特開２０１０−０２０３９７号公報
【特許文献２】特開２０１６−０７２７６９号公報
【発明の概要】
【発明が解決しようとする課題】
【０００５】
ところで、端末機器（以下、単に「機器」という）の近くにサーバを分散配置する「エッジコンピューティングシステム」において、エッジサーバと中央サーバの間の通信時のセキュリティ対策を講じる必要がある。例えば、機能上の要請から各々の機器が予め定められた形式又は定義のデータを生成することを考慮し、エッジサーバが、機器の種類に応じてデータの暗号化手法を動的に決定する運用が想定される。
【０００６】
しかしながら、上記した運用において、機器の機能変更（例えば、追加、削除、データ仕様の変更など）によって収集可能なデータが変更されたにもかかわらず、そのデータの暗号化手法は、機器の種類に応じて画一的に決定される。その結果、エッジサーバは、セキュリティレベルが部分的に整合しない状態で、データの暗号化及び送信を行う可能性がある。特に、様々なデバイスがインターネットに接続されるＩｏＴ（Internet Of Things）システムでは、データの収集対象である機器の種類数が多くなるので、上記した不整合がより高い頻度で起こってしまう。
【０００７】
本発明の目的は、機器群から収集したデータを暗号化する際、機器の種類のみに応じて暗号化手法を決定する場合と比べて、機器の機能変更に伴うセキュリティレベルの不整合を抑制することである。
【課題を解決するための手段】
【０００８】
請求項１に記載の発明は、中央サーバと、前記中央サーバと双方向に通信可能な少なくとも１つのエッジサーバと、を備え、前記エッジサーバは、複数の機器からなる機器群が生成するデータを収集する収集手段と、それぞれ予め分類された機器の種類及びデータ項目の種類の組み合わせと、暗号化手法の種類との対応関係を示す暗号化ポリシーに従って、前記収集手段により前記機器群から収集されたデータの暗号化を行い、暗号化済みのデータを前記中央サーバに送信する出力処理手段と、備えるデータ収集システムである。
【０００９】
請求項２に記載の発明は、前記エッジサーバが、プロキシサーバを経由して前記暗号化済みのデータを前記中央サーバに送信する際に、前記中央サーバは、前記プロキシサーバとの間で暗号化通信を行わない、請求項１に記載のデータ収集システムである。
請求項３に記載の発明は、前記中央サーバは、暗号化された通信路を用いて、データの暗号化に用いられる暗号鍵を前記暗号化ポリシーとともに前記エッジサーバに送信する、請求項１又は２に記載のデータ収集システムである。
請求項４に記載の発明は、前記出力処理手段は、同一の暗号化手法に対応する複数種類のデータ項目を集約し、暗号化手法毎にデータの暗号化を一括で行う、請求項１〜３のいずれか１項に記載のデータ収集システムである。
請求項５に記載の発明は、前記収集手段により１つの機器から複数種類のデータ項目を含むデータが収集された場合、前記出力処理手段は、複数種類のデータ項目のうちセキュリティレベルが最も高いデータ項目に対応する暗号化手法を用いて、データの暗号化を一括で行う、請求項１〜３のいずれかに記載のデータ収集システムである。
請求項６に記載の発明は、前記出力処理手段は、セキュリティレベルが最も高いデータ項目に対応する暗号化手法を用いて、予め分類されたデータ項目のいずれにも属さないデータの暗号化を行う、請求項１〜３のいずれか１項に記載のデータ収集システムである。
請求項７に記載の発明は、前記出力処理手段は、セキュリティレベルが最も低いデータ項目に対応する暗号化手法を用いて、予め分類されたデータ項目のいずれにも属さないデータの暗号化を行う、請求項１〜３のいずれか１項に記載のデータ収集システムである。
【００１０】
請求項８に記載の発明は、前記エッジサーバは、データの内容又はデータの収集状況から前記暗号化ポリシーの変更が必要であるか否かを判定する判定手段をさらに備える、請求項１に記載のデータ収集システムである。
請求項９に記載の発明は、前記出力処理手段は、前記判定手段による判定結果に応じて、前記暗号化ポリシーの変更を前記中央サーバに要求する通知を行い、前記中央サーバは、前記エッジサーバに対してプル型通信を行うサーバであり、前記エッジサーバの要求に応じて変更された暗号化ポリシーを前記エッジサーバに送信する、請求項８に記載のデータ収集システムである。
請求項１０に記載の発明は、前記判定手段は、前記機器による測定を通じて得られる測定データの値が、予め定められた管理範囲から逸脱したか否かを判定し、前記出力処理手段は、前記管理範囲から逸脱したと判定された場合、前記測定データのセキュリティレベルを現在のレベルから高くするように前記暗号化ポリシーの変更を要求する通知を行う、請求項９に記載のデータ収集システムである。
請求項１１に記載の発明は、前記測定データは、前記機器を装着するユーザに対する測定で得られる生体データである、請求項１０に記載のデータ収集システムである。
請求項１２に記載の発明は、前記判定手段は、ユーザが携帯可能であり、かつ前記エッジサーバにアクセス可能である前記機器の機体数が閾値を下回ったか否かを判定し、前記出力処理手段は、前記閾値を下回ったと判定された場合、前記個人データのセキュリティレベルを現在のレベルから高くするように前記暗号化ポリシーの変更を要求する通知を行う、請求項９に記載のデータ収集システムである。
【００１１】
請求項１３に記載の発明は、複数の機器からなる機器群が生成するデータを収集する収集手段と、それぞれ予め分類された機器の種類及びデータ項目の種類の組み合わせと、暗号化手法の種類との対応関係を示す暗号化ポリシーに従って、前記収集手段により前記機器群から収集されたデータの暗号化を行い、暗号化済みのデータを中央サーバに送信する出力処理手段と、を備えるデータ収集装置である。
請求項１４に記載の発明は、複数の機器からなる機器群が生成するデータを収集する収集ステップと、それぞれ予め分類された機器の種類及びデータ項目の種類の組み合わせと、暗号化手法の種類との対応関係を示す暗号化ポリシーに従って、前記機器群から収集されたデータの暗号化を行い、暗号化済みのデータを中央サーバに送信する出力処理ステップと、を１つ又は複数のコンピュータに実行させるデータ収集プログラムである。
【発明の効果】
【００１２】
請求項１，１３，１４に記載の発明によれば、機器群から収集したデータを暗号化する際、機器の種類のみに応じて暗号化手法を決定する場合と比べて、機器の機能変更に伴うセキュリティレベルの不整合が抑制される。
請求項２に記載の発明によれば、プロキシサーバが暗号化処理を行う場合と比べて、プロキシサーバの処理負荷が軽減される。
請求項３に記載の発明によれば、暗号鍵及び暗号化ポリシーを別々に送信する場合と比べて、暗号化処理に必要である暗号化情報の管理性が向上する。
請求項４に記載の発明によれば、データ項目の種類毎に暗号化を行う場合と比べて、暗号化処理の回数が削減される。
請求項５に記載の発明によれば、機器の種類毎に暗号化を行う場合と比べて、暗号化処理の回数が削減される。
請求項６に記載の発明によれば、セキュリティレベルが相対的に低く設定される場合と比べて、分類できなかったデータの機密性が高い場合における情報漏洩のリスクが低減される。
請求項７に記載の発明によれば、セキュリティレベルが相対的に高く設定される場合と比べて、分類できなかったデータの暗号化に伴うエッジサーバの処理負荷が軽減される。
【００１３】
請求項８に記載の発明によれば、中央サーバが判定する場合と比べて、暗号化ポリシーの変更要否に関する判定結果がより迅速に得られる。
請求項９に記載の発明によれば、暗号化ポリシーに関する情報を定期的に配信するプッシュ型通信の場合と比べて、中央サーバによる処理負荷が軽減される。
請求項１０に記載の発明によれば、測定データの値の推移にかかわらず一律の暗号化を行う場合と比べて、測定データに対する関心の高さに応じた適切な暗号化が行われる。
請求項１１に記載の発明によれば、生体データが含み得る個人情報の保護が図られやすくなる。
請求項１２に記載の発明によれば、機体数の推移にかかわらず一律の暗号化を行う場合と比べて、機体数の多少に起因するユーザの匿名性の変化に応じた適切な暗号化が行われる。
【図面の簡単な説明】
【００１４】
【図１】本発明の一実施形態におけるデータ収集システムの全体構成図である。
【図２】図１に示す設置エリア内のネットワーク構成図である。
【図３】図１及び図２に示す画像形成装置の電気的なブロック図である。
【図４】図３に示すメインコントローラの機能ブロック図である。
【図５】図４の暗号化ポリシーが有するデータ構造の一例を示す図である。
【図６】図１に示す中央サーバの電気的なブロック図である。
【図７】データ収集システムの第１動作に伴う、機器群、画像形成装置及び中央サーバの連携を模式的に示す図である。
【図８】第１動作に関するフローチャートである。
【図９】データ収集システムの第２動作に伴う、機器群、画像形成装置及び中央サーバの連携を模式的に示す図である。
【図１０】第２動作に関するフローチャートである。
【図１１】暗号化ポリシーの第１変更例を示す図である。
【図１２】暗号化ポリシーの第２変更例を示す図である。
【図１３】データ収集システムの第３動作に伴う、機器群、画像形成装置及び中央サーバの連携を模式的に示す図である。
【図１４】第３動作に関するフローチャートである。
【発明を実施するための形態】
【００１５】
本発明におけるデータ収集システムについて、データ収集装置及びデータ収集プログラムとの関係において好適な実施形態を挙げ、添付の図面を参照しながら説明する。なお、本発明は、以下の実施形態に限定されるものではなく、この発明の主旨を逸脱しない範囲で自由に変更できることは勿論である。あるいは、技術的に矛盾が生じない範囲で各々の構成を任意に組み合わせてもよい。
【００１６】
［データ収集システム１０の構成］
＜全体構成＞
図１は、本発明の一実施形態におけるデータ収集システム１０の全体構成図である。データ収集システム１０は、設置エリアＡｒ内のユーザに画像形成物を提供する「画像形成サービス」と、設置エリアＡｒ内で逐次生成されるデータの収集・解析を行う「データ収集サービス」を複合的に提供可能に構成されるシステムである。
【００１７】
具体的には、このデータ収集システム１０は、中央サーバ１２と、エッジサーバ（あるいは、データ収集装置）としての画像形成装置１４と、複数のＩｏＴ（Internet Of Things）機器１８からなる機器群１６と、を含んで構成される。画像形成装置１４及び機器群１６は、オフォスなどの設置エリアＡｒ内に設けられている。画像形成装置１４は、中央サーバ１２との間で、ネットワーク２２を介して双方向に通信可能に構成される。なお、本図には１つの画像形成装置１４のみを表記しているが、１つの設置エリアＡｒ内に複数の画像形成装置１４が配されてもよい。また、本図には１箇所の設置エリアＡｒのみを表記しているが、設置エリアＡｒとは異なる他の設置エリアがあってもよい。
【００１８】
中央サーバ１２は、クラウド２４上に配置された１つ又は複数のサーバコンピュータから構成される。中央サーバ１２は、エッジサーバとしての画像形成装置１４からデータを収集し、このデータを利活用するための様々な処理を行う。なお、中央サーバ１２は、クラウド型のサーバ（いわゆる、クラウドサーバ）であってもよいし、オンプレミス型のサーバであってもよい。
【００１９】
画像形成装置１４は、プリンタ機能、コピー機能、スキャン機能、ファクシミリ機能、及びデータ送信機能のうち少なくとも１つの機能を実行するデジタル複合機（いわゆるＭＦＰ；Multifunction Printer）である。画像形成装置１４は、主に「画像形成サービス」に関わる機能を担う本体機能部２６と、主に「データ収集サービス」に関わる機能を担うエッジサーバ機能部２８と、を有する。
【００２０】
なお、エッジサーバは、画像形成装置１４にエッジサーバ機能部２８を追加する装置構成に限られない。例えば、画像形成装置１４とは異なる別の本体機能部を有する各種装置にエッジサーバ機能部２８が搭載されてもよいし、エッジサーバ機能のみを有する専用装置で構成されてもよい。
【００２１】
ＩｏＴ機器１８は、自装置に搭載される各種機能の発揮に伴ってデータを生成する生成機能と、生成されたデータを有線通信又は無線通信によって外部に送信する通信機能と、を備える機器である。このＩｏＴ機器１８は、設置エリアＡｒ内にある据置型の機器（例えば、コンピュータ機器、通信機器、事務機器、照明機器、空調機器、測定機器など）であってもよいし、設置エリアＡｒ内に持ち込み可能な可搬型の機器（例えば、ラップトップ、タブレット、スマートフォン、ウェアラブルデバイスなど）であってもよい。なお、本体機能部２６を有する画像形成装置１４そのものをＩｏＴ機器１８とみなしてもよい。
【００２２】
図２は、図１に示す設置エリアＡｒ内のネットワーク構成図である。設置エリアＡｒ内には、狭域ネットワーク（以下、ＬＡＮ３０という）が構築されている。このＬＡＮ３０には、画像形成装置１４、ＩｏＴ機器１８、プロキシサーバ３２、ＤＨＣＰ（Dynamic Host Configuration Protocol）サーバ３４、及び画像形成装置３６が接続されている。
【００２３】
プロキシサーバ３２は、ＬＡＮ３０に接続された各種機器に代わって、中央サーバ１２を含む外部装置との通信を行うサーバである。ＤＨＣＰサーバ３４は、ＬＡＮ３０内の機器に対してネットワーク情報の設定・管理を行うサーバである。なお、画像形成装置３６の装置構成は、エッジサーバ機能部２８を有さない点で、画像形成装置１４とは異なっている。
【００２４】
＜画像形成装置１４の電気的なブロック図＞
図３は、図１及び図２に示す画像形成装置１４の電気的なブロック図である。この画像形成装置１４は、メインコントローラ４０と、ストレージ装置４２と、画像形成部４４と、ユーザ・インターフェース部（以下、ＵＩ部４６という）と、ネットワーク通信部４８と、無線通信部５０と、を含んで構成される。
【００２５】
画像形成部４４は、用紙を読み取って画像データを生成する読取ユニット５２と、画像データに基づいて印刷物を出力する印刷ユニット５３と、ファクシミリの送受信を行うＦＡＸユニット５４と、を含んで構成される。ＵＩ部４６は、例えば、タッチパネルディスプレイ及びハードウェアボタンから構成されており、ユーザの入力操作を受け付ける。
【００２６】
ネットワーク通信部４８は、中央サーバ１２を含む外部装置との間でネットワーク通信を行うための通信モジュールである。無線通信部５０は、ＩｏＴ機器１８を含む外部装置との間で無線通信を行うための通信モジュールである。この「無線通信」には、電波を用いた狭義の無線通信のみならず、空間光を用いた空間光通信（具体的には、赤外線通信又は可視光通信）が含まれる。
【００２７】
メインコントローラ４０は、プロセッサ４０ｐ及びメモリ４０ｍを含んで構成され、画像形成装置１４を構成する各部を統括的に制御する装置である。プロセッサ４０ｐは、ＣＰＵ（Central Processing Unit）、ＭＰＵ（Micro-Processing Unit）を含む処理演算装置である。メモリ４０ｍは、非一過性であり、かつコンピュータ読み取り可能な記憶媒体である。
【００２８】
ストレージ装置４２は、例えば、ハードディスクドライブ（ＨＤＤ：Hard Disk Drive）又はソリッドステートドライブ（ＳＳＤ：Solid State Drive）から構成され、画像形成装置１４が取り扱う様々なデータを記憶する。本図の例では、このストレージ装置４２には、いずれも後述するデータ群５６及び暗号化情報５８が格納されている。
【００２９】
＜メインコントローラ４０の機能ブロック図＞
図４は、図３に示すメインコントローラ４０の機能ブロック図である。メインコントローラ４０のプロセッサ４０ｐは、データ収集サービスに関するプログラムをメモリ４０ｍから読み出して実行することで、データ収集部６０（「収集手段」に相当）、データ処理部６２、及び出力処理部６４（「出力処理手段」に相当）として機能する。
【００３０】
データ収集部６０は、機器群１６が生成するデータ（以下、「１次データＤ１」ともいう）を収集するとともに、この１次データＤ１をＩｏＴ機器１８に関する特定の情報（以下、機器情報という）と対応付けた状態にてストレージ装置４２（図３）に一時的に記憶させる。この「機器情報」は、ＩｏＴ機器１８を識別又は分類可能な情報であり、例えば、製品型番、ＭＡＣアドレス、ＤＨＣＰオプション６０（つまり、ベンダクラスＩＤ）が挙げられる。
【００３１】
データ処理部６２は、１次データＤ１に対して所望のデータ処理を行う。具体的には、データ処理部６２は、１次データＤ１の解析を通じて２次データＤ２を生成する解析部６６と、１次データＤ１が特定の条件を満たすか否かを判定する判定部６８（「判定手段」に相当）と、を備える。
【００３２】
出力処理部６４は、データ群５６に含まれる１次データＤ１又は２次データＤ２（以下、「提供データＤ３」ともいう）に対して所望の出力処理を施し、得られたデータを中央サーバ１２に向けて出力する。具体的には、出力処理部６４は、暗号化情報５８を用いてデータの暗号化を行う暗号化処理部７０と、ネットワーク通信部４８を介してデータの送信処理を行う送信処理部７２と、を備える。
【００３３】
この暗号化情報５８には、少なくとも１つの暗号鍵７４と、暗号化手法を決定するための暗号化ポリシー７６が含まれる。暗号鍵７４は、中央サーバ１２（図１）と共有する秘密鍵であり、データの暗号化／復号化処理に用いられる。
【００３４】
図５は、図４の暗号化ポリシー７６が有するデータ構造の一例を示す図である。本図の例では、暗号化ポリシー７６は、２種類のポリシー情報の組み合わせから構成されているが、これとは別のデータ構造を有してもよい。
【００３５】
図５（ａ）は、第１ポリシー情報７６ａが有するデータ構造の一例を示している。この第１ポリシー情報７６ａは、データのセキュリティレベルと暗号化手法との対応関係を示すテーブルデータからなる。ここで、「セキュリティレベル」は、データの送信時に要求されるセキュリティの度合いを意味し、複数のレベル（本図の例では、高／中／低の３段階）で定義される。また、「暗号化手法」は、例えば、ストリーム暗号のＲＣ４、ブロック暗号の３ＤＥＳ、ＡＥＳ、ＲＳＡが挙げられる。ブロック暗号のモードとして、例えば、ＥＣＢ、ＣＢＣ、ＣＦＢ、ＯＦＢ、ＣＴＲが挙げられる。
【００３６】
図５（ｂ）は、第２ポリシー情報７６ｂが有するデータ構造の一例を示している。この第２ポリシー情報７６ｂは、機器の種類、データ項目の種類、及びセキュリティレベルの間の対応関係を示すテーブルデータからなる。
【００３７】
「機器」は、例えば、用途、機能、一般名称、製品名に関する、予め定められた区分に従って分類される。例えば、ＩｏＴ機器１８は、［１］コンピュータ機器・事務機器・照明機器のような「大区分」、［２］複写機・スマートフォン・ウェアラブル端末、あるいは製造業者の名称のような「中区分」、［３］製品の型番・シリーズ・搭載済みソフトウェアのバージョン情報のような「小区分」に従って分類されてもよい。
【００３８】
「データ項目」は、データが示す意味又は内容の区分であり、例えば、用途・機能に関する、予め定められた区分に従って分類される。「対話」データは、ユーザ同士の対話を示すデータを意味し、例えば、音声データ・動画データ、テキストデータなどが挙げられる。「生体」データは、人間を含む生体の状態を示すデータを意味し、例えば、脈拍・体温・血圧などが挙げられる。「位置」データは、ＩｏＴ機器１８の所在を示すデータを意味し、例えば、測位衛星からの信号を用いて算出した位置情報などが挙げられる。「機器動作」データは、ＩｏＴ機器１８の動作又は状態を示すデータを意味し、例えば、測定データ・自己診断結果（エラーコード）などが挙げられる。「システム運用」は、画像形成装置１４を含むシステムの運用状態を示すデータを意味し、例えば、課金情報・消耗品情報・ジョブログ情報などが挙げられる。
【００３９】
なお、データの収集対象となり得る全種類のＩｏＴ機器１８を網羅できない場合を想定し、「機器」の種類には、予め分類された種類のいずれにも属さない「非該当」が含まれてもよい。同様に、収集された全種類のデータを網羅できない場合を想定し、「データ項目」には、予め分類された種類のいずれにも属さない「非該当」が含まれてもよい。
【００４０】
＜中央サーバ１２の電気的なブロック図＞
図６は、図１に示す中央サーバ１２の電気的なブロック図である。中央サーバ１２は、サーバ側通信部１００と、サーバ側制御部１０２と、サーバ側記憶部１０４と、を含んで構成される。
【００４１】
サーバ側通信部１００は、外部装置に対して電気信号を送受信するための通信インターフェースである。これにより、中央サーバ１２は、ネットワーク２２を経由して、画像形成装置１４との間で様々なデータ（例えば、暗号化情報５８、暗号化済みのデータＤ４）のやり取りが可能である。
【００４２】
サーバ側制御部１０２は、ＣＰＵ、ＭＰＵを含む処理演算装置によって構成される。サーバ側制御部１０２は、サーバ側記憶部１０４に格納されたプログラムを読み出して実行することで、データの暗号化／復号化処理を行うデータ処理部１０６、暗号化ポリシー７６を作成するポリシー作成部１０８、及び、データの詳細な分析を行う分析処理部１１０として機能する。
【００４３】
サーバ側記憶部１０４は、非一過性であり、かつ、コンピュータ読み取り可能な記憶媒体で構成されている。本図の例では、サーバ側記憶部１０４には、画像形成装置１４と共有する暗号化情報５８と、画像形成装置１４からの収集データ１１２と、が格納されている。また、サーバ側記憶部１０４には、データの分析結果に関するデータベース（以下、分析結果ＤＢ１１４）が構築されている。
【００４４】
［データ収集システム１０の第１動作］
この実施形態におけるデータ収集システム１０は、以上のように構成される。続いて、データ収集システム１０の動作について、第１動作、第２動作、第３動作に分けてそれぞれ説明する。
【００４５】
＜第１動作の概略＞
図７は、データ収集システム１０の第１動作に伴う機器群１６、画像形成装置１４及び中央サーバ１２の連携を模式的に示す図である。ここで、「第１動作」とは、機器群１６が生成するデータを中央サーバ１２に提供するための一連の動作を意味する。
【００４６】
図７（ａ）において、画像形成装置１４は、機器群１６が生成したデータを定期的又は不定期に収集し、このデータを一時的に記憶しておく。その後、画像形成装置１４は、中央サーバ１２と共有する暗号鍵７４を用いてデータを適時に暗号化し、暗号化済みのデータＤ４を得る。
【００４７】
図７（ｂ）において、画像形成装置１４は、中央サーバ１２との間のコネクションを確立した後、自身が生成した暗号化済みのデータＤ４を中央サーバ１２に向けて送信する。そうすると、中央サーバ１２は、ネットワーク２２上の暗号化されていない通信路８０を介して、処理済みのデータＤ４を受信する。
【００４８】
図７（ｃ）において、中央サーバ１２は、画像形成装置１４と共有する暗号鍵７４を用いて復号化することで、暗号化済みのデータＤ４を提供データＤ３に変換する。以下、このデータのやり取りを実現するための、画像形成装置１４及び中央サーバ１２の第１動作について、図８のフローチャートを主に参照しながら詳細に説明する。
【００４９】
＜第１動作のフローチャート＞
図８のステップＳ１において、データ収集部６０は、１つ又は複数のＩｏＴ機器１８からなる機器群１６からデータを収集し、得られたデータをストレージ装置４２に記憶させる。これにより、データの集合体であるデータ群５６が逐次的に更新される。
【００５０】
ステップＳ２において、出力処理部６４は、ステップＳ１で収集されたデータ群５６の送信タイミングが到来したか否かを判定する。送信タイミングがまだ到来していない場合（ステップＳ２：ＮＯ）、ステップＳ１に戻って、この送信タイミングが到来するまでの間、データの収集動作を継続する。一方、送信タイミングが到来した場合（ステップＳ２：ＹＥＳ）、次のステップＳ３に進む。
【００５１】
ステップＳ３において、出力処理部６４は、ストレージ装置４２に記憶されている暗号化情報５８、すなわち、暗号鍵７４及び暗号化ポリシー７６を読み出して取得する。この暗号化情報５８は、中央サーバ１２からオンラインで提供されてもよいし、管理者の作業を通じてオフラインで提供されてもよい。
【００５２】
例えば、オンラインによる提供の場合、中央サーバ１２は、暗号化された通信路を用いて、データの暗号化に用いられる暗号鍵７４を、暗号化ポリシー７６とともに画像形成装置１４に送信してもよい。これにより、画像形成装置１４は、暗号鍵７４及び暗号化ポリシー７６の両方が対応付けられた状態にて受信可能となり、これらを別々に送信する場合と比べて、暗号化処理に必要である暗号化情報５８の管理性が向上する。
【００５３】
ステップＳ４において、出力処理部６４は、データ群５６の中から送信対象のデータ（つまり、提供データＤ３）を抽出する。そして、出力処理部６４は、第２ポリシー情報７６ｂ（図５（ｂ）参照）にて定義される「機器」又は「データ項目」の区分に従って、提供データＤ３を分類しておく。これらの区分は、分類処理に要する演算量を軽減するため、例えば、データの形式（例えば、データサイズ・ファイル拡張子）又はデータに含まれる識別情報（例えば、文字列・フラグ）によって特定可能な程度に定義される。
【００５４】
ステップＳ５において、出力処理部６４（より詳しくは、暗号化処理部７０）は、ステップＳ３で取得された暗号化ポリシー７６に従って、ステップＳ４で抽出された提供データＤ３の暗号化を行う。この暗号化に先立ち、暗号化処理部７０は、暗号化ポリシー７６を構成する２種類のテーブルを結合した後、「機器」及び「データ項目」の組み合わせと「暗号化手法」を対応付ける。図５の例では、「機種Ａ」及び「対話」の組み合わせは「ＡＥＳ２５６」に対応付けられる。
【００５５】
そして、暗号化処理部７０は、暗号化処理の実行単位で提供データＤ３を集約し、対応する暗号化手法を用いてデータの暗号化を行う。以下、提供データＤ３の集約方法について、５つの具体例を挙げながら説明する。
【００５６】
第１例として、暗号化処理部７０は、機器群１６による提供データＤ３のうち、同一の種類のデータ項目を集約し、対応する暗号化手法を用いてデータの暗号化を一括で行ってもよい。これにより、「機器」及び「データ項目」の種類毎に暗号化を行う場合と比べて、暗号化処理の回数が削減される。
【００５７】
第２例として、暗号化処理部７０は、機器群１６による提供データＤ３のうち、同一の暗号化手法に対応する複数種類のデータ項目を集約し、暗号化手法毎にデータの暗号化を一括で行ってもよい。これにより、「データ項目」の種類毎に暗号化を行う場合と比べて、暗号化処理の回数が削減される。
【００５８】
第３例として、暗号化処理部７０は、データ収集部６０により１つのＩｏＴ機器１８から複数種類のデータ項目を含むデータが収集された場合、複数種類のデータ項目のうちセキュリティレベルが最も高いデータ項目に対応する暗号化手法を用いて、データの暗号化を一括で行ってもよい。これにより、「機器」の種類毎に暗号化を行う場合と比べて、暗号化処理の回数が削減される。
【００５９】
第４例として、暗号化処理部７０は、収集されたデータが予め分類されたデータ項目のいずれにも属さない場合、すなわち「非該当」である場合、セキュリティレベルが最も高いデータ項目に対応する暗号化手法を用いて、データの暗号化を行ってもよい。これにより、セキュリティレベルが相対的に低く設定される場合と比べて、分類できなかったデータの機密性が高い場合における情報漏洩のリスクが低減される。
【００６０】
第５例として、暗号化処理部７０は、収集されたデータが予め分類されたデータ項目のいずれにも属さない場合、すなわち「非該当」である場合、セキュリティレベルが最も低いデータ項目に対応する暗号化手法を用いて、データの暗号化を行ってもよい。これにより、セキュリティレベルが相対的に高く設定される場合と比べて、分類できなかったデータの暗号化に伴う画像形成装置１４の処理負荷が軽減される。
【００６１】
ステップＳ６において、出力処理部６４（より詳しくは、送信処理部７２）は、ステップＳ５で暗号化されたデータ（つまり、暗号化済みのデータＤ４）を、ネットワーク通信部４８（図３）を介して中央サーバ１２に送信する処理を行う。
【００６２】
ところで、設置エリアＡｒ内には、画像形成装置１４を代理して中央サーバ１２との通信を行うプロキシサーバ３２（図２）が設けられている場合がある。画像形成装置１４が中央サーバ１２にデータを送信する際、データ又は通信路の暗号化をプロキシサーバ３２に依頼すると、プロキシサーバ３２の処理負荷が大きくなってしまう。また、システム構成上の制約から、プロキシサーバ３２が、暗号化ポリシー７６（第１ポリシー情報７６ａ）に挙げられたすべての暗号化手法に対応できない場合もあり得る。
【００６３】
そこで、画像形成装置１４がプロキシサーバ３２を経由して暗号化済みのデータＤ４を中央サーバ１２に送信する際に、中央サーバ１２は、プロキシサーバ３２との間で暗号化通信（つまり、通信時におけるデータ又は通信路の暗号化）を行わないようにしてもよい。これにより、プロキシサーバ３２が暗号化処理を行うことなく、画像形成装置１４と中央サーバ１２の間における暗号化が可能となる。その結果、プロキシサーバ３２が暗号化処理を行う場合と比べて、プロキシサーバ３２の処理負荷が軽減される。
【００６４】
特に、暗号化ポリシー７６には、画像形成装置１４及び中央サーバ１２の両方が利用可能な暗号化手法の種類のみが含まれることが好ましい。これにより、画像形成装置１４及び中央サーバ１２の組み合わせに起因する暗号化／復号化の不整合が解消可能となり、定められた暗号化ポリシー７６に忠実に従う運用がなされる。
【００６５】
ステップＳ７において、中央サーバ１２は、ステップＳ６で送信された暗号化済みのデータＤ４を受信し、画像形成装置１４と共有する暗号化情報５８を用いて、データの復号化を行う。その後、中央サーバ１２は、復号化により得られた提供データＤ３を収集データ１１２の一部として蓄積する。このようにして、データ収集システム１０の第１動作が終了する。
【００６６】
＜第１動作による効果＞
以上のように、データ収集装置としての画像形成装置１４は、複数のＩｏＴ機器１８からなる機器群１６が生成するデータを収集するデータ収集部６０（収集手段）と、それぞれ予め分類されたＩｏＴ機器１８の種類及びデータ項目の種類の組み合わせと、暗号化手法の種類との対応関係を示す暗号化ポリシー７６に従って、機器群１６から収集されたデータの暗号化を行い、暗号化済みのデータＤ４を中央サーバ１２に送信する出力処理部６４（出力処理手段）を備える。
【００６７】
また、このデータ収集方法及びプログラムによれば、１つ又は複数のコンピュータが、機器群１６が生成するデータを収集する収集ステップ（Ｓ１）と、ＩｏＴ機器１８の種類及びデータ項目の種類の組み合わせと、暗号化手法の種類との対応関係を示す暗号化ポリシー７６に従って、機器群１６から収集されたデータの暗号化を行い（Ｓ５）、暗号化済みのデータＤ４を中央サーバ１２（外部装置）に送信する出力処理ステップ（Ｓ６）を実行する。
【００６８】
このように、それぞれ予め分類されたＩｏＴ機器１８の種類及びデータ項目の種類の組み合わせと、暗号化手法の種類の対応関係を示す暗号化ポリシー７６に従ってデータを暗号化するので、ＩｏＴ機器１８の機能変更（例えば、追加、削除、データ仕様の変更など）によって収集可能なデータが変更された場合であっても、さらにデータ項目に適した暗号化手法を決定することができる。これにより、機器群１６から収集したデータを暗号化する際、ＩｏＴ機器１８の種類のみに応じて暗号化手法を決定する場合と比べて、ＩｏＴ機器１８の機能変更に伴うセキュリティレベルの不整合が抑制される。特に、様々なデバイスがネットワークに接続されるＩｏＴシステムでは、ＩｏＴ機器１８の種類数が多い分だけ機能変更の回数及び頻度が高くなるので、上記した抑制効果がより顕著に現われる。
【００６９】
［データ収集システム１０の第２動作］
＜第２動作の概略＞
図９は、データ収集システム１０の第２動作に伴う、機器群１６、画像形成装置１４及び中央サーバ１２の連携を模式的に示す図である。ここで、「第２動作」とは、特定のデータ項目におけるセキュリティを一時的に強化するための一連の動作を意味する。
【００７０】
図９（ａ）において、画像形成装置１４は、機器群１６が生成したデータを定期的又は不定期に収集し、このデータを一時的に記憶しておく。ここで、画像形成装置１４は、「通常時」の暗号化ポリシー７６に従ってデータの暗号化及び送信を行う。
【００７１】
図９（ｂ）において、画像形成装置１４は、ユーザＸの脈拍を示す生体データが管理範囲から逸脱したことを検出すると、中央サーバ１２との間のコネクションを確立し、暗号化ポリシー７６の変更を要求する通知を行う。そして、中央サーバ１２は、ネットワーク２２上の暗号化されていない通信路８０を介して、画像形成装置１４からの通知を受け付ける。
【００７２】
図９（ｃ）において、中央サーバ１２は、画像形成装置１４とのコネクションを確立した後、自身が生成した「セキュリティ強化時」の暗号化ポリシー７８を画像形成装置１４に向けて送信する。そして、画像形成装置１４は、ネットワーク２２上の暗号化された通信路８２を介して、中央サーバ１２から暗号化ポリシー７８を受信する。これ以降、画像形成装置１４は、変更された暗号化ポリシー７８に従って、データの暗号化及び送信を行う。
【００７３】
＜第２動作のフローチャート＞
以下、このデータのやり取りを実現するための、画像形成装置１４及び中央サーバ１２の第２動作について、図１０のフローチャートを参照しながら詳細に説明する。なお、第２動作の実行前にて、画像形成装置１４及び中央サーバ１２は、「通常時」の暗号化ポリシー７６を共有している点に留意する。
【００７４】
図１０のステップＳ１１において、データ処理部６２（より詳しくは、判定部６８）は、データ群５６の中から判定対象であるデータを抽出する。例えば、判定部６８は、図８のステップＳ４の場合と同様に、第２ポリシー情報７６ｂにて定義される「機器」又は「データ項目」の区分に従って必要なデータを部分的に抽出してもよい。
【００７５】
ステップＳ１２において、判定部６８は、ステップＳ１１で抽出されたデータが、予め定められた第１条件（以下、「セキュリティ強化条件」という）を満たすか否かを判定する。ここで、「セキュリティ強化条件」とは、個人又は業務に関するデータの機密性が相対的に高くなった状態を検出するための条件である。このセキュリティ強化条件を満たす場合、画像形成装置１４の外部にデータを送信する際、特定のデータを通常よりも一層慎重に取り扱う必要がある。
【００７６】
このセキュリティ強化条件は、データの内容又はデータの収集状況に関する条件であってもよく、具体的な例として、［１］特定のデータの値が管理範囲から逸脱した場合、［２］特定のデータに異常又は異常疑いを示す情報が含まれる場合、［３］ＩｏＴ機器１８の所有者を特定できる状況になった場合、などが挙げられる。また、時系列のデータを取得可能な場合、１回のみならず、複数回連続してセキュリティ強化条件を満たすか否かを判定してもよい。
【００７７】
ところで、画像形成装置１４の判定部６８に代わって、中央サーバ１２がセキュリティ強化条件の成否判定を行うことも考えられる。しかし、中央サーバ１２による判定開始時点の遅延、あるいはプッシュ型通信の非対応（つまり、プル型通信のみの対応）などの理由で、セキュリティの強化に即時に対応できない可能性がある。ここで、「プル型通信」とは、画像形成装置１４からの要求に応じて情報を配信するタイプの通信を意味する。そこで、この即時性を高めるべく、画像形成装置１４がセキュリティ強化条件の成否を判定する点に留意する。
【００７８】
ステップＳ１３において、判定部６８は、ステップＳ１２での判定結果を確認する。セキュリティ強化条件を満たさない場合（ステップＳ１３：ＮＯ）、以下、ステップＳ１１，Ｓ１２を順次繰り返す。一方、セキュリティ強化条件を満たす場合（ステップＳ１３：ＹＥＳ）、次のステップＳ１４に進む。
【００７９】
ステップＳ１４において、出力処理部６４（より詳しくは、送信処理部７２）は、セキュリティの強化が必要である旨の判定結果を判定部６８から受け付けた後に、現在の暗号化ポリシー７６の変更を要求する通知を行う送信制御を行う。そうすると、画像形成装置１４は、ネットワーク通信部４８（図３）を介して、中央サーバ１２に通知信号を送信する。
【００８０】
ステップＳ１５において、中央サーバ１２は、ステップＳ１４での通知内容に応じて、暗号化ポリシー７６の変更を行う。具体的には、サーバ側制御部１０２（より詳しくは、ポリシー作成部１０８）は、第２ポリシー情報７６ｂの一部を書き換えることで、「セキュリティ強化時」の暗号化ポリシー７８を生成する。
【００８１】
図１１は、暗号化ポリシー７６の第１変更例を示す図である。本図の例では、ＩｏＴ機器１８は、ユーザが装着可能な多機能腕時計（いわゆるスマートウォッチ）であり、ユーザの生体情報を測定するバイタルセンサを備える。
【００８２】
図１１（ａ）に示すように、画像形成装置１４が、３人のユーザＸ，Ｙ，Ｚにおける生体データを機器群１６から逐次収集する場合を想定する。例えば、図１０（ｂ）に示すように、ユーザＸの体調に異変が生じ、ユーザＸの脈拍（単位時間当たりの脈拍数）が管理範囲から逸脱した場合、図１０（ｃ）に示す第２ポリシー情報７８ｂが作成される。
【００８３】
この第２ポリシー情報７８ｂは、データ項目が「生体」のセキュリティレベルが「高」である点を除き、図５（ｂ）に示す第２ポリシー情報７６ｂと同じである。つまり、「生体」のセキュリティレベルを「中」から「高」に変更することで、生体データの送信時におけるセキュリティが強化される。
【００８４】
図１２は、暗号化ポリシー７６の第２変更例を示す図である。本図の例では、ＩｏＴ機器１８は、ユーザが所持可能な携帯端末（例えば、スマートフォン）であり、ユーザの位置を測定する測位センサを備える。
【００８５】
図１２（ａ）に示すように、画像形成装置１４が、３人のユーザＸ，Ｙ，Ｚにおける個人データを機器群１６から逐次収集する場合を想定する。例えば、図１２（ｂ）に示すように、２人のユーザＹ，Ｚが同時に立ち去り、１人のユーザＸのみが残った場合、図１２（ｃ）に示す第２ポリシー情報７８ｂが作成される。
【００８６】
この第２ポリシー情報７８ｂは、データ項目が「位置」のセキュリティレベルが「高」である点を除き、図５（ｂ）に示す第２ポリシー情報７６ｂと同じである。つまり、「位置」のセキュリティレベルを「中」から「高」に変更することで、位置データの送信時におけるセキュリティが強化される。なお、ここでは「位置」の例を挙げて説明しているが、個人情報としての側面を有する他のデータ項目、例えば「生体」であってもよい。
【００８７】
図１０のステップＳ１６において、中央サーバ１２（より詳しくは、サーバ側制御部１０２）は、ステップＳ１５で作成された暗号化ポリシー７８を、サーバ側通信部１００（図６）を介して画像形成装置１４に送信する。具体的には、中央サーバ１２は、画像形成装置１４（又はプロキシサーバ３２）との間でコネクションを確立した後、暗号化された通信路８２を用いて暗号化ポリシー７８を送信する。
【００８８】
ステップＳ１７において、画像形成装置１４は、ステップＳ１６で送信された暗号化ポリシー７８を受信した後、「通常時」の暗号化ポリシー７６と置き換えてストレージ装置４２に記憶させる。これ以降、画像形成装置１４は、変更された「セキュリティ強化時」の暗号化ポリシー７８に従って、データの暗号化及び送信を行う。このようにして、データ収集システム１０の第２動作が終了する。
【００８９】
＜第２動作による効果＞
このように、エッジサーバとしての画像形成装置１４は、データの内容又はデータの収集状況から暗号化ポリシー７６の変更（第２動作では、セキュリティの「強化」）が必要であるか否かを判定する判定部６８（判定手段）を備えてもよい。データ流れの下流側に近い画像形成装置１４が判定を行うことで、中央サーバ１２が判定する場合と比べて、暗号化ポリシーの変更要否に関する判定結果がより迅速に得られる。
【００９０】
また、送信処理部７２（出力処理手段）は、判定部６８による判定結果に応じて、暗号化ポリシー７６の変更を中央サーバ１２に要求する通知を行い、中央サーバ１２は、画像形成装置１４に対してプル型通信を行うサーバであり、画像形成装置１４の要求に応じて変更された暗号化ポリシー７８を画像形成装置１４に送信してもよい。これにより、暗号化ポリシー７６に関する情報を定期的に配信するプッシュ型通信の場合と比べて、中央サーバ１２による処理負荷が軽減される。
【００９１】
また、判定部６８は、ＩｏＴ機器１８による測定を通じて得られる測定データの値が、予め定められた管理範囲から逸脱したか否かを判定し、送信処理部７２は、管理範囲から逸脱したと判定された場合、測定データのセキュリティレベルを現在のレベルから高くするように暗号化ポリシー７６の変更を要求する通知を行ってもよい。これにより、測定データの値の推移にかかわらず一律の暗号化を行う場合と比べて、測定データに対する関心の高さに応じた適切な暗号化が行われる。
【００９２】
特に、上記した測定データは、ＩｏＴ機器１８を装着するユーザに対する測定で得られる生体データであることが好ましい。これにより、生体データが含み得る個人情報の保護が図られやすくなる。
【００９３】
また、判定部６８は、ユーザが携帯可能であり、かつ画像形成装置１４にアクセス可能である携帯型機器の機体数が閾値を下回ったか否かを判定し、送信処理部７２は、閾値を下回ったと判定された場合、この携帯型機器が生成するデータのセキュリティレベルを現在のレベルから高くするように暗号化ポリシー７６の変更を要求する通知を行ってもよい。これにより、機体数の推移にかかわらず一律の暗号化を行う場合と比べて、機体数の多少に起因するユーザの匿名性の変化に応じた適切な暗号化が行われる。
【００９４】
［データ収集システム１０の第３動作］
＜第３動作の概略＞
図１３は、データ収集システム１０の第３動作に伴う、機器群１６、画像形成装置１４及び中央サーバ１２の連携を模式的に示す図である。ここで、「第３動作」とは、特定のデータ項目におけるセキュリティの強化を解除するための一連の動作を意味する。
【００９５】
図１３（ａ）において、画像形成装置１４は、機器群１６が生成したデータを定期的又は不定期に収集し、このデータを一時的に記憶しておく。ここで、画像形成装置１４は、「セキュリティ強化時」の暗号化ポリシー７８に従ってデータの暗号化及び送信を行う。
【００９６】
図１３（ｂ）において、画像形成装置１４は、ユーザＸの脈拍を示す生体データが管理範囲内に戻ったことを検出すると、中央サーバ１２との間のコネクションを確立し、暗号化ポリシー７８の変更を要求する通知を行う。そして、中央サーバ１２は、ネットワーク２２上の暗号化されていない通信路８０を介して、画像形成装置１４からの通知を受け付ける。
【００９７】
図１３（ｃ）において、中央サーバ１２は、画像形成装置１４とのコネクションを確立した後、自身が生成した「通常時」の暗号化ポリシー７６を画像形成装置１４に向けて送信する。そして、画像形成装置１４は、ネットワーク２２上の暗号化された通信路８２を介して、中央サーバ１２から暗号化ポリシー７６を受信する。
【００９８】
＜第３動作のフローチャート＞
以下、このデータのやり取りを実現するための、画像形成装置１４及び中央サーバ１２の第３動作について、図１４のフローチャートを参照しながら詳細に説明する。なお、第３動作の実行前にて、画像形成装置１４及び中央サーバ１２は、「セキュリティ強化時」の暗号化ポリシー７８を共有している点に留意する。
【００９９】
図１４のステップＳ２１において、データ処理部６２（より詳しくは、判定部６８）は、データ群５６の中から判定対象であるデータを抽出する。この動作は、第２動作のステップＳ１１（図１０）と同様であるため、具体的な説明を省略する。
【０１００】
ステップＳ２２において、判定部６８は、ステップＳ２１で抽出されたデータが、予め定められた第２条件（以下、「強化解除条件」という）を満たすか否かを判定する。ここで、「強化解除条件」とは、個人又は業務に関するデータの機密性が相対的に低くなった状態を検出するための条件であり、例えば、データの内容又はデータの収集状況に関する条件である。
【０１０１】
この強化解除条件の具体的な例として、［１］特定のデータの値が管理範囲内に戻った場合、［２］特定のデータに正常を示す情報が含まれる場合、［３］ＩｏＴ機器１８の所有者を特定できない状況になった場合、などが挙げられる。また、時系列のデータを取得可能な場合、１回のみならず、複数回連続して強化解除条件を満たすか否かを判定してもよい。この強化解除条件は、上記したセキュリティ強化条件の余事象（全体の補集合）であってもよいし、余事象とは異なる条件であってもよい。
【０１０２】
ステップＳ２３において、判定部６８は、ステップＳ２２での判定結果を確認する。強化解除条件を満たさない場合（ステップＳ２３：ＮＯ）、以下、ステップＳ２１，Ｓ２２を順次繰り返す。一方、強化解除条件を満たす場合（ステップＳ２３：ＹＥＳ）、次のステップＳ２４に進む。
【０１０３】
ステップＳ２４において、出力処理部６４（より詳しくは、送信処理部７２）は、セキュリティの強化の解除が必要である旨の判定結果を判定部６８から受け付けた後に、現在の暗号化ポリシー７８の変更を要求する通知を行う送信制御を行う。そうすると、画像形成装置１４は、ネットワーク通信部４８（図３）を介して、中央サーバ１２に通知信号を送信する。
【０１０４】
ステップＳ２５において、中央サーバ１２は、ステップＳ２４での通知内容に応じて、暗号化ポリシー７８の変更を行う。具体的には、サーバ側制御部１０２（より詳しくは、ポリシー作成部１０８）は、第２ポリシー情報７８ｂの一部を書き換えることで、「通常時」の暗号化ポリシー７６を生成する。
【０１０５】
ステップＳ２６において、中央サーバ１２（より詳しくは、サーバ側制御部１０２）は、ステップＳ２５で作成された暗号化ポリシー７６を、サーバ側通信部１００（図６）を介して画像形成装置１４に送信する。具体的には、中央サーバ１２は、画像形成装置１４（又はプロキシサーバ３２）との間でコネクションを確立した後、暗号化された通信路８２を用いて暗号化ポリシー７６を送信する。
【０１０６】
ステップＳ２７において、画像形成装置１４は、ステップＳ２６で送信された暗号化ポリシー７６を受信した後、「セキュリティ強化時」の暗号化ポリシー７８と置き換えてストレージ装置４２に記憶させる。これ以降、画像形成装置１４は、元の「通常時」の暗号化ポリシー７６に従って、データの暗号化及び送信を行う。このようにして、データ収集システム１０の第３動作が終了する。
【０１０７】
＜第３動作による効果＞
このように、エッジサーバとしての画像形成装置１４は、データの内容又はデータの収集状況から暗号化ポリシー７８の変更（第３動作では、セキュリティの「弱化」）が必要であるか否かを判定する判定部６８を備えてもよい。この構成を採ることで、第２動作の場合と同様に、中央サーバ１２が判定する場合と比べて、暗号化ポリシー７８の変更要否に関する判定結果がより迅速に得られる。
【符号の説明】
【０１０８】
１０  データ収集システム、１２  中央サーバ、１４  画像形成装置（エッジサーバ／データ収集装置）、１６  機器群、１８  ＩｏＴ機器（機器）、２６  本体機能部、２８  エッジサーバ機能部、３２  プロキシサーバ、４０  メインコントローラ、４２  ストレージ装置、５６  データ群、５８  暗号化情報、６０  データ収集部（収集手段）、６２  データ処理部、６４  出力処理部（出力処理手段）、６６  解析部、６８  判定部（判定手段）、７０  暗号化処理部、７２  送信処理部、７４  暗号鍵  ７６，７８  暗号化ポリシー、７６ａ  第１ポリシー情報、７８ａ，７８ｂ  第２ポリシー情報、８０，８２  通信路、Ｄ１  １次データ、Ｄ２  ２次データ、Ｄ３  提供データ、Ｄ４  暗号化済みのデータ。
【図１】
2020155838.tif 000003
【図２】
2020155838.tif 000004
【図３】
2020155838.tif 000005
【図４】
2020155838.tif 000006
【図５】
2020155838.tif 000007
【図６】
2020155838.tif 000008
【図７】
2020155838.tif 000009
【図８】
2020155838.tif 000010
【図９】
2020155838.tif 000011
【図１０】
2020155838.tif 000012
【図１１】
2020155838.tif 000013
【図１２】
2020155838.tif 000014
【図１３】
2020155838.tif 000015
【図１４】
2020155838.tif 000016