(57)【要約】【課題】機器に関するサービスの利便性を損なわずにユーザの保護を可能とすること。【解決手段】情報処理装置は、ユーザによる機器の利用に応じて生成され、前記ユーザの識別情報を含むデータについて、条件記憶部が記憶する、前記識別情報を秘匿する条件が満たされるか否かを判定する判定部と、前記条件が満たされる場合に、前記データに含まれる前記識別情報を秘匿する処理を実行する秘匿部と、前記識別情報を含む前記データ又は前記識別情報が秘匿された前記データを記憶するデータ記憶部とを有する。【選択図】図４
2014160389.tif 000002
【特許請求の範囲】
【請求項１】
ユーザによる機器の利用に応じて生成され、前記ユーザの識別情報を含むデータについて、条件記憶部が記憶する、前記識別情報を秘匿する条件が満たされるか否かを判定する判定部と、
前記条件が満たされる場合に、前記データに含まれる前記識別情報を秘匿する処理を実行する秘匿部と、
前記識別情報を含む前記データ又は前記識別情報が秘匿された前記データを記憶するデータ記憶部とを有する情報処理装置。
【請求項２】
前記データごとに、前記判定部による判定回数を記録する記録部を有し、
前記データが前記記憶部より取得されて処理されるたびに、前記判定部による判定、及び該判定結果に応じて前記秘匿部による処理の実行が行われ、
前記条件は、前記判定回数が所定値以上であることを含む請求項１記載の情報処理装置。
【請求項３】
前記データ記憶部が記憶するデータを、ネットワークを介して接続される所定のコンピュータに送信する送信部を有し、
前記判定部は、前記送信部によって前記所定のコンピュータに送信される前記データについて前記条件が満たされるか否かを判定し、
前記条件は、前記送信部によって前記所定のコンピュータに送信される前記データについては満たされない請求項１又は２記載の情報処理装置。
【請求項４】
前記データを、ネットワークを介して受信する受信部を有し、
前記判定部は、前記受信部によって受信され、前記データ記憶部に記憶される前記データについて前記条件が満たされるか否かを判定し、
前記条件は、前記受信部によって受信され、前記データ記憶部に記憶される前記データについては満たされる請求項１又は２記載の情報処理装置。
【請求項５】
機器と情報管理装置とを含む情報処理システムであって、
前記機器は、
ユーザによる当該機器の利用に応じて生成され、前記ユーザの識別情報を含むデータについて、条件記憶部が記憶する、前記識別情報を秘匿する条件が満たされるか否かを第一の判定する判定部と、
前記条件が満たされる場合に、前記データに含まれる前記識別情報を秘匿する処理を実行する秘匿部と、
前記データを前記情報管理装置に送信する送信部とを有し、
前記情報管理装置は、
前記送信部より送信される前記データを受信する受信部と、
前記データについて、前記条件が満たされるか否かを判定する第二の判定部と、
前記条件が満たされる場合に、前記データに含まれる前記識別情報を秘匿する処理を実行する第二の秘匿部と、
前記識別情報を含む前記データ又は前記識別情報が秘匿された前記データを記憶するデータ記憶部とを有する情報処理システム。
【請求項６】
ユーザによる機器の利用に応じて生成され、前記ユーザの識別情報を含むデータについて、条件記憶部が記憶する、前記識別情報を秘匿する条件が満たされるか否かを判定する判定手順と、
前記条件が満たされる場合に、前記データに含まれる前記識別情報を秘匿する処理を実行する秘匿手順と、
前記識別情報を含む前記データ又は前記識別情報が秘匿された前記データをデータ記憶部に記憶するデータ記憶手順とを実行させる情報処理プログラム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、情報処理装置、情報処理システム、及び情報処理プログラムに関する。
【背景技術】
【０００２】
機器が、利用者のユーザＩＤ等を含むログを生成し、当該ログに基づいてユーザごとに機器等の動作を変更する技術が有る（例えば、特許文献１）。すなわち、特許文献１では、機器が生成したログに基づいて、ユーザごとに機器の利用実績が記録され、利用実績が所定の状態に到達したユーザに関して、機器の利用を制限するといった技術が開示されている。
【０００３】
また、このようなログを蓄積し、集計等することで、例えば、ユーザごと、又は部署等のグループごとの利用状況等を把握することができる。
【発明の概要】
【発明が解決しようとする課題】
【０００４】
ところが、国又は地域によっては、労務規定等において、労働者の人事評価等における不利益を避けるために、上記のようなログに、個人を特定可能なユーザＩＤ等を関連付けて永続的に保存しておくことを禁止しているところがある。
【０００５】
そこで、このような国又は地域においては、ユーザＩＤを関連付けずに上記のようなログを生成し、保存しておくことが考えられる。
【０００６】
しかし、上記のような国又は地域においても、利用実績に応じた機器の利用制限等、機器が生成するログに関連付いているユーザＩＤを利用した機能を利用したいという要求が有る。
【０００７】
そうすると、単に、ユーザＩＤを関連付けずにログを生成するといった解決方法では、上記のような国又は地域に属するユーザに対して利便性の高いサービスを提供することができない。
【０００８】
本発明は、上記の点に鑑みてなされたものであって、機器に関するサービスの利便性を損なわずにユーザの保護を可能とすることを目的とする。
【課題を解決するための手段】
【０００９】
そこで上記課題を解決するため、情報処理装置は、ユーザによる機器の利用に応じて生成され、前記ユーザの識別情報を含むデータについて、条件記憶部が記憶する、前記識別情報を秘匿する条件が満たされるか否かを判定する判定部と、前記条件が満たされる場合に、前記データに含まれる前記識別情報を秘匿する処理を実行する秘匿部と、前記識別情報を含む前記データ又は前記識別情報が秘匿された前記データを記憶するデータ記憶部とを有する。
【発明の効果】
【００１０】
機器に関するサービスの利便性を損なわずにユーザの保護を可能とすることができる。
【図面の簡単な説明】
【００１１】
【図１】本発明の実施の形態における情報処理システムの構成例を示す図である。
【図２】本発明の実施の形態における画像形成装置のハードウェア構成例を示す図である。
【図３】本発明の実施の形態における情報管理装置のハードウェア構成例を示す図である。
【図４】本発明の実施の形態における各装置の機能構成例を示す図である。
【図５】動作ログに対するマスク処理の処理手順の一例を説明するためのフローチャートである。
【図６】マスク実行テーブルの構成例を示す図である。
【図７】マスク条件テーブルの構成例を示す図である。
【図８】マスク情報の構成例を示す図である。
【図９】動作ログに関する処理手順の一例を説明するためのシーケンス図である。
【図１０】動作ログの構成例を示す図である。
【図１１】利用情報記憶部の構成例を示す図である。
【図１２】係数テーブルの構成例を示す図である。
【発明を実施するための形態】
【００１２】
以下、図面に基づいて本発明の実施の形態を説明する。図１は、本発明の実施の形態における情報処理システムの構成例を示す図である。同図において、情報処理システム１は、一台以上の画像形成装置１０、情報管理装置２０、及びクライアント端末３０等を含む。各画像形成装置１０及び情報管理装置２０は、ＬＡＮ（Local Area Network）又はインターネット等のネットワーク（有線又は無線の別は問わない）を介して通信可能に接続されている。
【００１３】
画像形成装置１０は、印刷、スキャン、コピー、及びＦＡＸ送受信等のうちの二以上の機能を一台の筐体によって実現する複合機である。但し、いずれか一つの機能を有する機器が画像形成装置１０として用いられてもよい。
【００１４】
情報管理装置２０は、一以上の各画像形成装置１０の利用状況に関する情報等を一元的に管理するコンピュータである。例えば、情報管理装置２０は、ユーザの操作に応じた画像形成装置１０の動作（すなわち、ユーザによる画像形成装置１０の利用）に応じて画像形成装置１０が生成するログデータ（以下、「動作ログ」という。）や、動作ログに基づいて導出される情報等を管理する。
【００１５】
クライアント端末３０は、画像形成装置１０が記憶する情報や情報管理装置２０が管理する情報等を閲覧するために利用される端末である。例えば、ＰＣ（Personal Computer）、タブレット型端末、スマートフォン、又は携帯電話等が、クライアント端末３０として用いられてもよい。
【００１６】
図２は、本発明の実施の形態における画像形成装置のハードウェア構成例を示す図である。同図において、画像形成装置１０は、コントローラ１１、スキャナ１２、プリンタ１３、モデム１４、操作パネル１５、ネットワークインタフェース１６、及びＳＤカードスロット１７等のハードウェアを有する。
【００１７】
コントローラ１１は、ＣＰＵ１１１、ＲＡＭ１１２、ＲＯＭ１１３、ＨＤＤ１１４、及びＮＶＲＡＭ１１５等を有する。ＲＯＭ１１３には、各種のプログラムやプログラムによって利用されるデータ等が記録されている。ＲＡＭ１１２は、プログラムをロードするための記憶領域や、ロードされたプログラムのワーク領域等として用いられる。ＣＰＵ１１１は、ＲＡＭ１１２にロードされたプログラムを処理することにより、各種の機能を実現する。ＨＤＤ１１４には、プログラムやプログラムが利用する各種のデータ等が記録される。ＮＶＲＡＭ１１５には、各種の設定情報等が記録される。
【００１８】
スキャナ１２は、原稿より画像データを読み取るためのハードウェア（画像読取手段）である。プリンタ１３は、印刷データを印刷用紙に印刷するためのハードウェア（印刷手段）である。モデム１４は、電話回線に接続するためのハードウェアであり、ＦＡＸ通信による画像データの送受信を実行するために用いられる。操作パネル１５は、ユーザからの入力の受け付けを行うためのボタン等の入力手段や、液晶パネル等の表示手段等を備えたハードウェアである。ネットワークインタフェース１６は、ＬＡＮ等のネットワーク（有線又は無線の別は問わない。）に接続するためのハードウェアである。ＳＤカードスロット１７は、ＳＤカード８０に記録されたプログラムを読み取るために利用される。すなわち、画像形成装置１０では、ＲＯＭ１１３に記録されたプログラムだけでなく、ＳＤカード８０に記録されたプログラムもＲＡＭ１１２にロードされ、実行されうる。なお、他の記録媒体（例えば、ＣＤ−ＲＯＭ又はＵＳＢ（Universal Serial Bus）メモリ等）によってＳＤカード８０が代替されてもよい。すなわち、ＳＤカード８０の位置付けに相当する記録媒体の種類は、所定のものに限定されない。この場合、ＳＤカードスロット１７は、記録媒体の種類に応じたハードウェアによって代替されればよい。
【００１９】
図３は、本発明の実施の形態における情報管理装置のハードウェア構成例を示す図である。図３の情報管理装置２０は、それぞれバスBで相互に接続されているドライブ装置２００と、補助記憶装置２０２と、メモリ装置２０３と、ＣＰＵ２０４と、インタフェース装置２０５とを有する。
【００２０】
情報管理装置２０での処理を実現するプログラムは、ＣＤ−ＲＯＭ等の記録媒体２０１によって提供される。プログラムを記録した記録媒体２０１がドライブ装置２００にセットされると、プログラムが記録媒体２０１からドライブ装置２００を介して補助記憶装置２０２にインストールされる。但し、プログラムのインストールは必ずしも記録媒体２０１より行う必要はなく、ネットワークを介して他のコンピュータよりダウンロードするようにしてもよい。補助記憶装置２０２は、インストールされたプログラムを格納すると共に、必要なファイルやデータ等を格納する。
【００２１】
メモリ装置２０３は、プログラムの起動指示があった場合に、補助記憶装置２０２からプログラムを読み出して格納する。ＣＰＵ２０４は、メモリ装置２０３に格納されたプログラムに従って情報管理装置２０に係る機能を実行する。インタフェース装置２０５は、ネットワークに接続するためのインタフェースとして用いられる。
【００２２】
図４は、本発明の実施の形態における各装置の機能構成例を示す図である。図４において、画像形成装置１０は、ログ生成部１２１、ログ処理部１２２、及びマスク処理部１２３等を有する。これら各部は、画像形成装置１０にインストールされたプログラムが、ＣＰＵ１１１に実行させる処理により実現される。画像形成装置１０は、また、ログ記憶部１４１及びマスクルール記憶部１４２等を有する。これら各記憶部は、ＨＤＤ１１４、又は画像形成装置１０にネットワークを介して接続される記憶装置等を用いて実現可能である。
【００２３】
ログ生成部１２１は、動作ログを生成する。動作ログは、例えば、画像形成装置１０が、ユーザからの要求に応じて処理を実行するたび（例えば、ジョブごと）に生成される。動作ログには、当該ユーザの識別情報の一例であるユーザ名が含まれる。ログ処理部１２２は、動作ログを、情報管理装置２０に転送する。但し、本実施の形態において、ログの転送は、所定のタイミングで一括して行われる。ログ処理部１２２は、ログの転送時期が到来するまでに生成した動作ログを、ログ記憶部１４１に保存（記憶）する。ログ処理部１２２は、ログ記憶部１４１への動作ログの保存前や、情報管理装置２０への動作ログの転送前において、保存対象又は転送対象とされる各動作ログについて、マスクに関する処理をマスク処理部１２３に依頼する。
【００２４】
マスク処理部１２３は、動作ログに対して、マスクに関する処理を実行する。マスクとは、動作ログに含まれるユーザ名が秘匿された状態とすることをいう。本実施の形態では、動作ログ内のユーザ名を、所定の文字列によって置換することにより、ユーザ名のマスク（秘匿）が行われる。但し、マスクの形態は、所定の文字列による置換に限定されない。例えば、ユーザ名の削除によってマスクが実現されてもよい。また、要求される秘匿の程度に応じて、マスクは可逆的であってもよいし、非可逆的であってもよい。例えば、生の（加工されていない）動作ログを閲覧した者が、各動作ログと各個人との関係を特定できなければよいのであれば、ユーザ名のマスクは、ユーザ名の暗号化等、可逆的な処理によって実現されてもよい。一方、マスク後の状態からユーザ名が復元可能であることも許されないのであれば、マスクは、非可逆的な処理によって実現されてもよい。
【００２５】
図４において、マスク処理部１２３は、マスク情報更新部１３１、マスク判定部１３２、マスク適用部１３３、及びマスクルール設定部１３４等を含む。
【００２６】
マスク情報更新部１３１は、マスク情報が関連付けられていない動作ログに対してマスク情報を関連付けたり、マスク情報が関連付けられている動作ログのマスク情報の内容を更新したりする。すなわち、全ての動作ログのそれぞれには、マスク情報更新部１３１によってマスク情報が関連付けられる。マスク情報とは、マスクルール記憶部１４２が記憶するマスクルールを含む情報である。マスクルールとは、マスクを適用する条件（以下、「マスク条件」という。）や、マスクに用いられる文字列等を含む情報である。なお、動作ログに対するマスク情報の関連付けとは、動作ログ内のユーザ名に対して、マスクを適用することとは異なる。
【００２７】
マスク判定部１３２は、動作ログごとに、当該動作ログに関連付けられたマスク情報に基づいて、マスクの適用の要否を判定する。マスク適用部１３３は、マスク判定部１３２によってマスクが必要であると判定された動作ログ内のユーザ名に対してマスクを適用する。マスクルール設定部１３４は、例えば、クライアント端末３０からの指示に応じて、マスクルール記憶部１４２に対して、マスクルールを設定する。
【００２８】
情報管理装置２０は、ログ受信部２１、ログ処理部２２、マスク処理部２３、及び利用情報更新部２４等を有する。これら各部は、情報管理装置２０にインストールされたプログラムが、ＣＰＵ２０４に実行させる処理により実現される。情報管理装置２０は、また、ログ記憶部２５及び利用情報記憶部２６等を有する。これら各記憶部は、補助記憶装置２０２、又は情報管理装置２０にネットワークを介して接続される記憶装置等を用いて実現可能である。
【００２９】
ログ受信部２１は、画像形成装置１０より送信された動作ログを受信する。ログ受信部２１は、受信された動作ログを、利用情報更新部２４及びログ処理部２２のそれぞれに入力する。
【００３０】
ログ処理部２２、マスク処理部２３、及びログ記憶部２５の機能は、ログ処理部１２２、マスク処理部１２３、又はログ記憶部１４１とほぼ同様である。但し、マスク処理部２３は、マスクルール設定部１３４を有していない。情報管理装置２０は、マスクルール記憶部１４２に相当する記憶部を有しておらず、マスクルールの設定が不要だからである。
【００３１】
また、ログ記憶部１４１は、一時的に動作ログを記憶するのに対し、ログ記憶部２５は、永続的に又は長期間にわたって動作ログを記憶する点において両者は相違する。本実施の形態では、一時的（例えば、数時間以内や数日以内等）に動作ログを記憶する場合、動作ログにユーザ名が含まれることは許容され、永続的又は長期間にわたって動ログを記憶する場合、動作ログにユーザ名が含まれることは許容されないこととする。したがって、ログ記憶部１４１に動作ログが記憶される場合、当該動作ログ内にユーザ名が含まれることは許容される。一方、ログ記憶部２５に動作ログが記憶される場合、当該動作ログ内にユーザ名が含まれることは許されない。
【００３２】
利用情報更新部２４は、利用情報記憶部２６が記憶する利用情報を、動作ログに基づいて更新する。利用情報とは、画像形成装置１０の利用状況等を示す情報である。利用情報記憶部２６には、ユーザ名ごとに、利用情報が記憶されている。
【００３３】
クライアント端末３０は、ログ受信部３１を有する。ログ受信部３１は、クライアント端末３０にインストールされたプログラムが、クライアント端末３０のＣＰＵに実行させる処理により実現される。ログ受信部３１は、画像形成装置１０のログ記憶部１４１、又は情報管理装置２０のログ記憶部２５に記憶されている動作ログを受信する。受信された動作ログは、例えば、クライアント端末３０が備える表示装置に表示される。
【００３４】
以下、情報処理システム１において実行される処理手順について説明する。まず、マスク処理部１２３又はマスク処理部２３によって実行される動作ログに対するマスク処理について説明する。
【００３５】
図５は、動作ログに対するマスク処理の処理手順の一例を説明するためのフローチャートである。図５の処理は、マスク処理部１２３又はマスク処理部２３が、ログ処理部１２２又はログ処理部２２より、動作ログに対するマスク処理を要求された際に実行される。したがって、図５では、便宜上、マスク処理部１２３が実行主体である場合について説明するが、マスク処理部２３も、同様のロジックでマスク処理を実行する。
【００３６】
ステップＳ１１において、マスク情報更新部１３１は、マスクルール記憶部１４２が記憶するマスク実行テーブルＴ１を参照して、マスクフラグがｔｒｕｅであるか否かを判定する（Ｓ１２）。
【００３７】
図６は、マスク実行テーブルの構成例を示す図である。図６において、マスク実行テーブルＴ１は、マスク文字列及びマスクフラグ等の項目ごとに、値を含む。マスク文字列の値は、ユーザ名の置換に用いられる文字列である。図６では、マスク文字列は、「Ａｎｏｎｙｍｏｕｓ」に設定された例が示されている。したがって、各動作ログに含まれるユーザ名は、「Ａｎｏｎｙｍｏｕｓ」に置換されることでマスクされる。マスクフラグの値は、マスク処理の要否を示す。ｔｒｕｅは、マスク処理が必要であることを示し、ｆａｌｓｅは、マスク処理が不要であることを示す。
【００３８】
したがって、ステップＳ１１では、マスク処理の要否が判定される。マスクフラグがｆａｌｓｅの場合（Ｓ１１でＮｏ）、以降のステップは実行されない。この場合、マスク処理の対象とされた動作ログは、そのままの状態でマスク処理部１２３に返却される。
【００３９】
一方、マスクフラグがｔｒｕｅの場合（Ｓ１１でＹｅｓ）、マスク情報更新部１３１は、マスク処理の対象の動作ログ（以下、「対象動作ログ」という。）に対して、既にマスク情報が関連付けられているか否かを判定する（Ｓ１２）。画像形成装置１０において生成された動作ログが最初にマスク処理の処理対象とされる場合、当該動作ログには、マスク情報は関連付けられていない。
【００４０】
対象動作ログに対してマスク情報が関連付けられていない場合（Ｓ１２でＮｏ）、マスク情報更新部１３１は、対象動作ログに対するマスク情報を生成する（Ｓ１３）。マスク情報は、図６において説明したマスク実行テーブルＴ１と、マスクルール記憶部１４２が記憶するマスク条件テーブルＴ２とに基づいて生成される。
【００４１】
図７は、マスク条件テーブルの構成例を示す図である。図７において、マスク条件テーブルＴ２は、優先度順に、１以上のマスク条件を記憶する。優先度１のマスク条件は、「ホップ数が２以上の場合、マスク要」である。本実施の形態において、ホップ数とは、マスク情報に含められて動作ログごとに関連付けられる変数であり、動作ログに関して、マスク条件に基づいてマスクの適用の要否が判定されるたびに、インクリメントされる。したがって、ホップ数は、マスクの適用の要否の判定回数であるともいえる。よって、「ホップ数が２以上」とは、「マスクの適用の要否の判定が、既に２回以上実行されている」と同義である。
【００４２】
優先度２のマスク条件は、「Ｓｅｎｄ  ｔｏ  ｌｏｃａｌｈｏｓｔの場合、マスク不要」である。「ｌｏｃａｌｈｏｓｔ」とは、動作ログの生成元の画像形成装置１０をいう。したがって、「Ｓｅｎｄ  ｔｏ  ｌｏｃａｌｈｏｓｔの場合」とは、「ログ記憶部１４１に動作ログを保存する場合」に相当する。
【００４３】
優先度３のマスク条件は、「Ｓｅｎｄ  ｔｏ  １３３．１３９．２２．ｘｘｘの場合、マスク不要」である。これは、ＩＰアドレスが、１３３．１３９．２２．ｘｘｘに該当する外部の装置に動作ログを転送する場合、マスクは不要であることを示す。なお、「ｘｘｘ」は、特定の番号であるとする。但し、マスク条件に指定されるＩＰアドレスについて、ワイルドカードが含められてもよいし、範囲指定がされてもよい。本実施の形態では、情報管理装置２０のＩＰアドレスが、１３３．１３９．２２．ｘｘｘに該当することとする。
【００４４】
優先度４のマスク条件は、「Ｓｅｎｄ  ｔｏ  １３３．１３９．ｙｙｙ．ｙｙｙの場合、マスク要」である。これは、ＩＰアドレスが、１３３．１３９．ｙｙｙ．ｙｙｙに該当する外部の装置に動作ログを転送する場合、マスクは必要であることを示す。本実施の形態では、クライアント端末３０のＩＰアドレスが、１３３．１３９．ｙｙｙ．ｙｙｙに該当することとする。
【００４５】
優先度５のマスク条件は、「上記以外の場合、マスク要」である。すなわち、優先度１〜４のいずれのマスク条件にも該当しない場合は、マスクは必要であることを示す。予期しない宛先に動作ログが転送された場合の、ユーザ名の漏洩を防止するためである。
【００４６】
なお、優先度は、値が小さいほど高い。すなわち、優先度１の方が優先度２よりも優先度は高い。複数のマスク条件に合致する場合、優先度の高い方のマスク条件が採用される。
【００４７】
以上のようなマスク条件テーブルＴ２と、図６に示したマスク実行テーブルＴ１とに基づいて、マスク情報は、例えば、図８に示されるように生成される。
【００４８】
図８は、マスク情報の構成例を示す図である。図８において、マスク情報は、マスク文字列、ホップ数、及びマスク条件等を含む。マスク文字列は、マスク実行テーブルＴ１より取得される。マスク条件は、マスク条件テーブルＴ２より取得される。ホップ数は、マスクの適用の要否の判定の実行に応じて更新される変数である。なお、本実施の形態において、マスク情報生成時のホップ数の初期値は、０（ゼロ）である。
【００４９】
続いて、マスク情報更新部１３１は、生成されたマスク情報を、対象動作ログに関連付ける（Ｓ１４）。例えば、動作ログの末端以降に、マスク情報が追加されてもよい。
【００５０】
一方、動作ログにマスク情報が既に関連付いている場合（Ｓ１２でＹｅｓ）、ステップＳ１３及びＳ１４は、実行されない。
【００５１】
続いて、マスク判定部１３２は、対象動作ログに関連付けられているマスク情報が含むマスク条件に基づいてマスクの適用の要否を判定する（Ｓ１５）。なお、優先度１のマスク条件におけるホップ数との比較対象は、当該マスク情報に含まれているホップ数である。
【００５２】
マスクが必要であると判定される場合（Ｓ１５でＹｅｓ）、マスク適用部１３３は、対象動作ログに対してマスクを適用する（Ｓ１６）。すなわち、対象動作ログ内のユーザ名が、対象動作ログに関連付いているマスク情報内のマスク文字列によって置換される。続いて、マスク適用部１３３は、対象動作ログに関連付いているマスク情報を除去する（Ｓ１７）。すなわち、対象動作ログからマスク情報が除かれる。したがって、ステップＳ１６及びＳ１７が実行された場合、ユーザ名がマスク文字列に置換され、マスク情報が関連付けられていない動作ログが、ログ処理部１２２に返却される。
【００５３】
一方、マスクは不要であると判定される場合（Ｓ１５でＮｏ）、マスク情報更新部１３１は、対象動作ログに関連付いているマスク情報内のホップ数に１を加算する（Ｓ１８）。したがって、この場合、ユーザ名はマスクされず、マスク情報が関連付けられたマスク情報が、ログ処理部１２２に返却される。
【００５４】
続いて、情報処理システム１における動作ログに関する処理全体について説明する。図９は、動作ログに関する処理手順の一例を説明するためのシーケンス図である。
【００５５】
画像形成装置１０が、例えば、何らかのジョブ等、ユーザによる要求に応じた処理を実行すると、ログ生成部１２１は、当該処理に関する動作ログを生成する（Ｓ１０１）。なお、ユーザによる要求は、必ずしも操作パネル１５を介して入力されるとは限らない。例えば、印刷データの受信に応じて実行される印刷ジョブに関しても、動作ログは生成される。
【００５６】
図１０は、動作ログの構成例を示す図である。図１０では、ジョブ一回分の動作ログの例が示されている。図１０において、動作ログは、ユーザ名、日時、面数、カラー種別、及び用紙サイズ等の項目ごとに値を含む。ユーザ名は、動作ログに係る処理（ジョブ）の要求元のユーザのユーザ名である。例えば、操作パネル１５を介して入力される要求に応じた処理に関する動作ログであれば、画像形成装置１０に対するログインユーザのユーザ名が、動作ログに含められる。印刷データの受信に応じて実行される処理（印刷ジョブ）に関する動作ログであれば、印刷データに含まれているユーザ名が、動作ログに含められる。なお、図１０の動作ログでは、ユーザＡが、１面分のモノクロＡ４印刷を５部行ったことが示されている。
【００５７】
続いて、ログ生成部１２１は、生成した動作ログの処理をログ処理部１２２に要求する（Ｓ１０２）。ログ処理部１２２は、当該動作ログをログ記憶部１４１に記憶するためのマスク処理を、マスク処理部１２３に要求する（Ｓ１０３）。当該要求には、当該動作ログと、当該動作ログの宛先であるログ記憶部１４１を示す「ｌｏｃａｌｈｏｓｔ」とが指定される。
【００５８】
マスク処理部１２３は、当該動作ログに対してマスク処理を実行する（Ｓ１０４）。マスク処理の詳細は、図５において説明した通りである。ここでは、処理対象の動作ログに対してマスク情報は関連付けられていない。したがって、図８に示されるようなマスク情報が生成され、当該動作ログに対して当該マスク情報が関連付けられる。
【００５９】
また、図５のステップＳ１５の段階において、マスク情報のホップ数は０である。したがって、優先度１のマスク条件は満たされない。一方、動作ログの宛先はｌｏｃａｌｈｏｓｔ（ログ記憶部１４１）であるから、優先度２のマスク条件は満たされる。したがって、マスクは不要であると判定される。その結果、マスク情報のホップ数に１が加算される。すなわち、本実施の形態において、優先度２のマスク条件は、ログ記憶部１４１への保存の際に、マスクの適用を回避するためのマスク条件である。
【００６０】
続いて、マスク処理部１２３は、マスク情報が関連付けられた動作ログを含む応答を、ログ処理部１２２に対して返却する（Ｓ１０５）。
【００６１】
続いて、ログ処理部１２２は、マスク情報が関連付けられた動作ログを、ログ記憶部１４１に記憶する（Ｓ１０６）。上記より明らかなように、ログ記憶部１４１に記憶される動作ログには、マスクは適用されておらず、ホップ数が１であるマスク情報が関連付けられている。
【００６２】
続く、ステップＳ１０７以降は、情報管理装置２０への動作ログの転送時期の到来に応じて実行される。動作ログの転送時期は、例えば、ログインユーザのログアウトごとであってもよいし、定期的であってもよい。または、予め設定された時刻等に実行されてもよい。
【００６３】
ステップＳ１０７において、ログ処理部１２２は、ログ記憶部１４１に記憶されている動作ログを取得する（Ｓ１０７、Ｓ１０８）。なお、取得される各動作ログには、マスク情報が関連付けられている。また、ステップＳ１０７では、ログ記憶部１４１に記憶されている全ての動作ログが取得されてもよいし、一部の動作ログが取得されてもよい。いずれの場合であっても、取得された動作ログは、ログ処理部１２２によって、ログ記憶部１４１より削除される。
【００６４】
なお、図９の説明において、ステップＳ１０９以降における動作ログには、特に断りのない限り、マスク情報が関連付けられている。
【００６５】
ステップＳ１０９において、ログ処理部１２２は、動作ログを情報管理装置２０へ送信するためのマスク処理を、マスク処理部１２３に要求する。当該要求には、当該動作ログと、当該動作ログの宛先である情報管理装置２０のＩＰアドレスとが指定される。なお、情報管理装置２０のＩＰアドレスは、例えば、ＨＤＤ１１４に予め記憶されている。
【００６６】
マスク処理部１２３は、当該動作ログに対してマスク処理を実行する（Ｓ１１０）。マスク処理の詳細は、図５において説明した通りである。ここでは、処理対象の動作ログにはマスク情報が関連付けられている。したがって、図５のステップＳ１２の判定結果はＹｅｓとなり、ステップＳ１５が実行される。ステップＳ１５において、当該マスク情報のホップ数は１であるから、優先度１のマスク条件は満たされない。また、動作ログの宛先は、情報管理装置２０であるから、優先度２のマスク条件は満たされないが、優先度３のマスク条件は満たされる。したがって、マスクは不要であると判定される。その結果、マスク情報のホップ数に１が加算され、当該マスク情報のホップ数は２となる。すなわち、本実施の形態において、優先度３のマスク条件は、情報管理装置２０への転送の際に、マスクの適用を回避するためのマスク条件である。
【００６７】
なお、仮に、ログ記憶部１４１に記憶されている動作ログが、クライアント端末３０へ送信される場合、優先度２のマスク条件によって、当該動作ログにはマスクが適用される。すなわち、優先度２のマスク条件は、クライアント端末３０への送信の際に、マスクを適用するためのマスク条件である。クライアント端末３０において動作ログが閲覧されることによって、動作ログごとにユーザが特定されないようにするためのである。
【００６８】
このように、ログ記憶部１４１に記憶された動作ログが取り出され、何らかの処理対象とされるたびにマスク処理は実行される。
【００６９】
続いて、マスク処理部１２３は、ホップ数が２に更新されたマスク情報が関連付けられた動作ログを含む応答を、ログ処理部１２２に対して返却する（Ｓ１１１）。続いて、ログ処理部１２２は、当該動作ログを、情報管理装置２０宛に送信する（Ｓ１１２）。
【００７０】
情報管理装置２０のログ受信部２１は、画像形成装置１０より送信された動作ログを受信すると、当該動作ログを、利用情報更新部２４及びログ処理部２２のそれぞれに入力する（Ｓ１１３、Ｓ１１５）。なお、利用情報更新部２４に入力される動作ログからは、マスク情報が除去されてもよい。
【００７１】
利用情報更新部２４は、当該動作ログに基づいて、利用情報記憶部２６の記憶内容を更新する（Ｓ１１４）。
【００７２】
図１１は、利用情報記憶部の構成例を示す図である。図１１において、利用情報記憶部２６は、ユーザごとに、ユーザ名、消費量、及び上限値等を記憶する。
【００７３】
消費量は、ポイントの消費量である。ポイントとは、画像形成装置１０の利用の程度を示す指標である。上限値は、所定期間におけるポイントの上限値である。なお、消費量は、所定期間ごと（例えば、１ヶ月ごと）に０に初期化される。すなわち、上限値は、所定期間に対する上限値である。
【００７４】
ステップＳ１１４では、入力された動作ログに基づいてポイントの消費量が算出され、算出結果が、当該動作ログに含まれているユーザ名に対応する消費量に加算される。動作ログに基づくポイントの消費量の算出は、例えば、補助記憶装置２０２に記憶されている係数テーブルＴ３を参照して行われる。
【００７５】
図１２は、係数テーブルの構成例を示す図である。図１２において、係数テーブルＴ３は、印刷ジョブに対する設定項目の値ごとに、係数を記憶する。本実施の形態では、以下の算出式によって、ポイントの消費量が算出される。
【００７６】
部数×面数×カラー種別の係数×用紙サイズの係数
例えば、図１０に示される動作ログに関して、ポイントの消費量は、以下の通りとなる。
【００７７】
５×１×１×１＝５
したがって、この場合、ユーザＡの消費量に対して、５が加算される。
【００７８】
このように、利用情報更新部２４が動作ログを利用するまでには、動作ログに対するマスクの適用は回避されているため、利用情報更新部２４は、動作ログに含まれているユーザ名を利用した処理を実行することができる。
【００７９】
なお、例えば、画像形成装置１０に対してユーザがログインした場合に、当該ユーザに対応する消費量及び上限値が、画像形成装置１０より取得される。画像形成装置１０は、例えば、消費量と上限値とが所定の関係である場合（例えば、消費量＞上限値の場合）に、当該ユーザによる画像形成装置１０の利用を制限する。
【００８０】
一方、ログ処理部２２は、当該動作ログをログ記憶部２５に記憶するためのマスク処理を、マスク処理部１２３に要求する（Ｓ１１６）。当該要求には、当該動作ログと、当該動作ログの宛先として、ログ記憶部２５を示す識別情報とが指定される。なお、当該識別情報は、「ｌｏｃａｌｈｏｓｏｔ」ではない。本実施の形態において、「ｌｏｃａｌｈｏｓｔ」は、動作ログの生成元の画像形成装置１０を意味するところ、情報管理装置２０は、動作ログの生成元ではないからである。
【００８１】
マスク処理部２３は、当該動作ログに対してマスク処理を実行する（Ｓ１１７）。マスク処理の詳細は、図５において説明した通りである。ここでは、処理対象の動作ログにはマスク情報が関連付けられている。したがって、図５のステップＳ１２の判定結果はＹｅｓとなり、ステップＳ１５が実行される。ステップＳ１５において、当該マスク情報のホップ数は２であるから、優先度１のマスク条件が満たされる。したがって、マスクは必要であると判定される。その結果、動作ログに対してマスクが適用され、当該動作ログからマスク情報が除去される。すなわち、本実施の形態において、優先度１のマスク条件は、情報管理装置２０のログ記憶部２５へ保存される動作ログに対して、マスクを適用するためのマスク条件である。
【００８２】
続いて、マスク処理部２３は、マスクが適用され、マスク情報が除去された動作ログを含む応答を、ログ処理部１２２に対して返却する（Ｓ１１８）。続いて、ログ処理部２２は、当該動作ログを、ログ記憶部２５に記憶する（Ｓ１１９）。上記より明らかなように、ログ記憶部２５に記憶される全ての動作ログには、マスクが適用される。したがって、ログ記憶部２５に記憶される動作ログにユーザ名は含まれることは許されないとする要件を満たすことができる。
【００８３】
なお、情報管理装置２０は、階層化されていてもよい。この場合、最上位の情報管理装置２０において動作ログは永続的に記憶され、中間の階層の情報管理装置２０においては、動作ログは一時的に記憶される（例えば、上位の階層の情報管理装置２０への転送に応じて削除される。）ようにしてもよい。すなわち、最上位の情報管理装置２０においてマスクが適用され、中間の情報管理装置２０においては、マスクは適用されないようにしてもよい。そうするために、例えば、階層の数に応じて、優先度１のマスク条件のホップ数の値が調整されてもよい。
【００８４】
また、マスク情報は、必ずしも各動作ログに関連付けられなくてもよい。この場合、マスク判定部１３２は、マスク条件テーブルＴ２を直接参照して、マスクの適用の要否を判定してもよい。また、情報管理装置２０も、マスク条件テーブルＴ２を有してもよい。または、マスク条件テーブルＴ２は、情報管理装置２０と画像形成装置１０との間で共用されてもよい。共用の形態として、いずれか一方にマスク条件テーブルＴ２が記憶され、他方がネットワークを介して当該マスク条件テーブルＴ２を参照してもよい。または、情報管理装置２０及び画像形成装置１０から参照可能な記憶装置に、マスク条件テーブルＴ２が記憶されていてもよい。いずれの場合であっても、情報管理装置２０のマスク判定部２３２は、マスク条件テーブルＴ２を参照して、マスクの適用の要否を判定してもよい。この場合、優先度１のマスク条件は、マスク条件テーブルＴ２に含まれていなくてもよい。
【００８５】
但し、相互に異なる国又は地域に設置されている複数の画像形成装置１０からの動作ログが情報管理装置２０に転送され、これらの国又は地域ごとに、動作ログ内のユーザ名の取り扱いが異なる場合、本実施の形態のように、画像形成装置１０側で各動作ログにマスク条件を含むマスク情報が関連付けられる形態は好適である。
【００８６】
例えば、画像形成装置１０ａは、ログ記憶部２５に記憶される動作ログにユーザ名が関連付けられていることが許されない国又は地域に設置されているとする。また、画像形成装置１０ｂ及び情報管理装置２０は、そのような規定は無い国又は地域に設置されているとする。
【００８７】
このような状況において、画像形成装置１０ａからの動作ログには図８に示されるようなマスク情報が関連付けられていれば、上記したように、情報管理装置２０において、当該動作ログに対してマスクを適用することができる。一方、画像形成装置１０ｂからの動作ログには、マスク情報は関連付けられていないか、又はいかなる場合もマスクは不要とするマスク条件を含むマスク条件が関連付けられていれば、情報管理装置２０において、当該動作ログに対してマスクは適用されることはない。その結果、画像形成装置１０ａからの動作ログに対してのみ、マスクを適用することができる。
【００８８】
このような運用は、特に、複数の国又は地域に跨って活動する国際的な企業等において有効である。
【００８９】
なお、画像形成装置１０ごとに、マスクの適用の要否を異ならせるために、他の方法が採用されてもよい。例えば、情報管理装置２０側において、宛先ではなく、送信元別にマスクの適用の要否を指定するマスク条件が記憶されたマスク条件テーブルＴ２が設定されてもよい。この場合、動作ログに対してマスク情報が関連付いているか否かに拘わらず、動作ログがいずれの画像形成装置１０から送信されたかによって、マスクの適用の要否を異ならせることができる。各動作ログには、送信元の画像形成装置１０又は当該画像形成装置１０が属する国又は地域等の識別情報が指定されればよい。情報管理装置２０のマスク条件テーブルＴ２には、当該識別情報ごとに、マスク条件が設定されればよい。
【００９０】
上述したように、本実施の形態によれば、マスク条件の設定内容に応じて、利用情報更新部２４のように、動作ログ内のユーザ名を参照する処理部が利用する前に、当該動作ログへのマスクの適用を回避し、当該動作ログが永続化される際に、マスクを適用することができる。
【００９１】
その結果、画像形成装置１０等の機器に関するサービスの利便性を損なわずにユーザの保護を可能とすることができる。
【００９２】
本実施の形態は、プロジェクタ、ＴＶ会議用機器、又はデジタルカメラ等、画像形成装置１０以外の機器に関して適用されてもよい。
【００９３】
なお、本実施の形態において、画像形成装置１０は、機器の一例である。画像形成装置１０（又は画像形成装置１０のコントローラ１１）及び情報管理装置２０は、情報処理装置の一例である。マスク判定部１３２及びマスク判定部２３２は、判定部の一例である。マスク適用部１３３及びマスク適用部２３３は、秘匿部の一例である。マスク情報更新部１３１及びマスク情報更新部２３１は、記録部の一例である。ログ処理部１２２は、送信部の一例である。マスクルール記憶部１４２は、条件記憶部の一例である。ログ記憶部１４１及びログ記憶部２５は、データ記憶部の一例である。動作ログは、データの一例である。
【００９４】
以上、本発明の実施例について詳述したが、本発明は斯かる特定の実施形態に限定されるものではなく、特許請求の範囲に記載された本発明の要旨の範囲内において、種々の変形・変更が可能である。
【符号の説明】
【００９５】
１            情報処理システム
１０          画像形成装置
１１          コントローラ
１２          スキャナ
１３          プリンタ
１４          モデム
１５          操作パネル
１６          ネットワークインタフェース
１７          ＳＤカードスロット
２０          情報管理装置
２１          ログ受信部
２２          ログ処理部
２３          マスク処理部
２４          利用情報更新部２４
２５          ログ記憶部
２６          利用情報記憶部
３０          クライアント端末
３１          ログ受信部
８０          ＳＤカード
１１１        ＣＰＵ
１１２        ＲＡＭ
１１３        ＲＯＭ
１１４        ＨＤＤ
１１５        ＮＶＲＡＭ
１２１        ログ生成部
１２２        ログ処理部
１２３        マスク処理部
１３１        マスク情報更新部
１３２        マスク判定部
１３３        マスク適用部
１３４        マスクルール設定部
１４１        ログ記憶部
１４２        マスクルール記憶部
２００        ドライブ装置
２０１        記録媒体    
２０２        補助記憶装置
２０３        メモリ装置
２０４        ＣＰＵ
２０５        インタフェース装置
２３１        マスク情報更新部
２３２        マスク判定部
２３３        マスク適用部
Ｂ            バス
【先行技術文献】
【特許文献】
【００９６】
【特許文献１】特開２０１１−０５９６３１号公報
【図１】
2014160389.tif 000003
【図２】
2014160389.tif 000004
【図３】
2014160389.tif 000005
【図４】
2014160389.tif 000006
【図５】
2014160389.tif 000007
【図６】
2014160389.tif 000008
【図７】
2014160389.tif 000009
【図８】
2014160389.tif 000010
【図９】
2014160389.tif 000011
【図１０】
2014160389.tif 000012
【図１１】
2014160389.tif 000013
【図１２】
2014160389.tif 000014