(57)【要約】【課題】ユーザが領域から出た際に、その領域内に居た間のユーザのログを特定できないよう所定の制御を行うことが可能な情報処理装置、通信端末装置および記憶媒体を提供する。【解決手段】ユーザのログを記憶部に記憶するよう制御する記憶制御部と、ユーザの位置が、設定されている領域内であるか否かを判別する判別部と、前記判別部により前記ユーザの位置が領域内ではないと判別されたとき、前記記憶部に記憶される前記ユーザのログのうち少なくともユーザ個人を特定可能なデータを実質的に消去する消去制御部と、を備える、情報処理装置。【選択図】図１
2014126912.tif 000002
【特許請求の範囲】
【請求項１】
ユーザのログを記憶部に記憶するよう制御する記憶制御部と、
ユーザの位置が、設定されている領域内であるか否かを判別する判別部と、
前記判別部により前記ユーザの位置が領域内ではないと判別されたとき、前記記憶部に記憶される前記ユーザのログのうち少なくともユーザ個人を特定可能なデータを実質的に消去する消去制御部と、
を備える、情報処理装置。
【請求項２】
前記消去制御部は、時間的要素あるいは距離的要素を考慮して前記データの消去を実行する、請求項１に記載の情報処理装置。
【請求項３】
前記消去制御部は、前記ユーザの位置が、前記領域内から出て一定時間経過、あるいは前記領域内から出て一定距離離れたことが検出された場合、前記消去を実行する、請求項２に記載の情報処理装置。
【請求項４】
前記消去制御部は、前記データへのアクセスを制限することで、前記データを実質的に消去する、請求項１に記載の情報処理装置。
【請求項５】
前記消去制御部は、前記判別部により前記位置が領域内ではないと判別されたとき、前記ユーザ個人を特定可能なデータに管理者がアクセス可能な状態にして、一定期間経過後、当該管理者のアクセスが不可能な状態にするよう制御する、請求項４に記載の情報処理装置。
【請求項６】
前記判別部は、前記ユーザに紐付けられた所定の時刻を経過したか否かを判別し、
前記消去制御部は、前記判別部により、前記所定の時刻を経過したと判別された場合、前記ユーザ個人を特定可能なデータを実質的に消去する、請求項１に記載の情報処理装置。
【請求項７】
前記ユーザ個人を特定可能なデータは、ユーザの顔画像である、請求項１に記載の情報処理装置。
【請求項８】
前記判別部は、ユーザが所持する通信端末装置から取得した位置情報に基づいて、前記ユーザの位置が前記設定されている領域内であるか否かを判別する、請求項１に記載の情報処理装置。
【請求項９】
前記判別部は、ユーザが所持する通信端末装置からの電波強度を解析し、前記ユーザの位置が前記設定されている領域内であるか否かを判別する、請求項１に記載の情報処理装置。
【請求項１０】
前記判別部は、前記設定されている領域の境界付近で撮像された撮像画像の解析し、前記ユーザの位置が前記設定されている領域内であるか否かを判別する、請求項１に記載の情報処理装置。
【請求項１１】
前記判別部は、前記設定されている領域の出口で取得された退場者情報を参照し、前記ユーザの位置が前記設定されている領域内であるか否かを判別する、請求項１に記載の情報処理装置。
【請求項１２】
前記記憶制御部は、前記設定されている領域内に居る間の前記ユーザの行動履歴、購入履歴、飲食履歴、撮像データ、および録音データの少なくともいずれかを、前記ユーザ個人を特定可能なデータと対応付けて、前記ユーザのログとして、前記記憶部に記憶するよう制御する、請求項１に記載の情報処理装置。
【請求項１３】
通信端末装置の現在位置に関する位置情報を検出する検出部と、
前記検出された位置情報が示す位置が、設定されている領域内であるか否かを判別する判別部と、
前記判別部により、前記位置情報が示す位置が前記設定されている領域内ではないと判別されたとき、情報処理装置に蓄積されているユーザのログのうち少なくともユーザ個人を特定できるデータの消去を指示する制御信号を、前記情報処理装置に対して送信するよう送信部を制御する送信制御部と、
を備える、通信端末装置。
【請求項１４】
前記送信制御部は、時間的要素あるいは距離的要素を考慮して、前記データの消去を指示する制御信号の送信を実行する、請求項１３に記載の通信端末装置。
【請求項１５】
前記送信制御部は、前記位置情報が示す位置が、前記領域内から出て一定時間経過、あるいは前記領域内から出て一定距離離れたことが検出された場合、前記制御信号の送信を実行する、請求項１４に記載の通信端末装置。
【請求項１６】
ユーザのログを記憶部に記憶するよう制御する記憶制御部と、
通信端末装置の位置が設定されている領域内ではないと判別されたために前記通信端末装置から送信された、前記ユーザのログのうちの少なくともユーザ個人を特定できるデータの消去を指示する制御信号を受信する受信部と、
前記受信した制御信号に応じて、前記記憶部に記憶される前記ユーザのログのうち前記ユーザ個人を特定できるデータを実質的に消去する消去制御部と、
を備える、情報処理装置。
【請求項１７】
コンピュータを、
ユーザのログを記憶部に記憶するよう制御する記憶制御部と、
ユーザの位置が、設定されている領域内であるか否かを判別する判別部と、
前記判別部により前記ユーザの位置が領域内ではないと判別されたとき、前記記憶部に記憶される前記ユーザのログのうち少なくともユーザ個人を特定可能なデータを実質的に消去する消去制御部と、
として機能させるプログラムを記憶する記憶媒体。
【請求項１８】
コンピュータを、
通信端末装置の現在位置に関する位置情報を検出する検出部と、
前記検出された位置情報が示す位置が、設定されている領域内であるか否かを判別する判別部と、
前記判別部により、前記位置情報が示す位置が前記設定されている領域内ではないと判別されたとき、情報処理装置に蓄積されているユーザのログのうち少なくともユーザ個人を特定できるデータの消去を指示する制御信号を、前記情報処理装置に対して送信するよう送信部を制御する送信制御部と、
として機能させるプログラムを記憶する記憶媒体。
【発明の詳細な説明】
【技術分野】
【０００１】
本開示は、情報処理装置、通信端末装置および記憶媒体に関する。
【背景技術】
【０００２】
一般的に、行楽施設や観光地では、案内情報の提供や写真撮影等、様々なサービスが提供されている。
【０００３】
例えば下記特許文献１では、ネットワーク事業者やセンシング事業者が収集し、保有する個人情報に基づき、その個人に最適にパーソナライズされたテーマパーク内の案内情報を提供する案内情報提供サービスが開示されている。また、かかる案内情報提供サービスが、テーマパークの他、遊園地、球場、大規模百貨店およびショッピングモール等の各種施設に適用されることが好ましい旨も開示されている。
【０００４】
ここで、個人情報に基づいて個人にパーソナライズされた情報提供を受けるには、予めユーザ登録が必要であるが、ユーザ登録時に自身の氏名を入力することは、ユーザにとってプライバシーに大きく関連することであって、なるべく控えたいと考える。
【０００５】
これに対し、下記特許文献２では、個人情報である実名とは異なる匿名ＩＤとしてのニックネームを非接触情報媒体の識別情報と組にして管理し、ユーザが非接触情報媒体を使用して、生活活動、経済活動に参加できる、匿名ＩＤ管理システムが開示されている。かかる匿名ＩＤ管理システムは、特にシッピングモール、デパート、百貨店、複合施設、展示会会場、博覧会会場、遊園地、娯楽施設等の各種施設に設けられ、ユーザの施設内への入場や施設内での商品購入情報等が、匿名を保ったまま管理される。
【先行技術文献】
【特許文献】
【０００６】
【特許文献１】特開２００４−２５８８７２号公報
【特許文献２】特開２０１１−２２１５８４号公報
【発明の概要】
【発明が解決しようとする課題】
【０００７】
しかしながら、特許文献１に記載の技術では、施設において個人情報に応じた案内情報提供等のサービスを受けられるが、ユーザが施設から退場した後はサービスが受けられないにも関わらず、個人情報は保持されたまま、分析・統計のデータとして活用されてしまう。また、特許文献１では、ユーザが施設から退場した場合にユーザの個人情報の取り扱いを変更することについては何ら言及されていない。
【０００８】
また、特許文献２では、実名とは異なる匿名ＩＤとしてのニックネームを利用して生活活動、経済活動に参加することで実名の入力を避けることが可能であるが、このようなニックネームを日常生活において知人に知られたくないと考える場合もある。また、特にテーマパークや遊園地等の非日常空間を味わえる施設で利用していたニックネームが、施設で登録した顔画像や撮影した写真等と組にして管理され、利用者情報として保持され続けることはユーザにとって望ましくない。
【０００９】
そこで、本開示では、ユーザが領域から出た際に、その領域内に居た間のユーザのログを特定できないよう所定の制御を行うことが可能な、新規かつ改良された情報処理装置、通信端末装置および記憶媒体を提案する。
【課題を解決するための手段】
【００１０】
本開示によれば、ユーザのログを記憶部に記憶するよう制御する記憶制御部と、ユーザの位置が、設定されている領域内であるか否かを判別する判別部と、前記判別部により前記ユーザの位置が領域内ではないと判別されたとき、前記記憶部に記憶される前記ユーザのログのうち少なくともユーザ個人を特定可能なデータを実質的に消去する消去制御部と、を備える、情報処理装置を提案する。
【００１１】
また、本開示によれば、通信端末装置の現在位置に関する位置情報を検出する検出部と、前記検出された位置情報が示す位置が、設定されている領域内であるか否かを判別する判別部と、前記判別部により、前記位置情報が示す位置が前記設定されている領域内ではないと判別されたとき、情報処理装置に蓄積されているユーザのログのうち少なくともユーザ個人を特定できるデータの消去を指示する制御信号を、前記情報処理装置に対して送信するよう送信部を制御する送信制御部と、を備える、通信端末装置を提案する。
【００１２】
また、本開示によれば、ユーザのログを記憶部に記憶するよう制御する記憶制御部と、通信端末装置の位置が設定されている領域内ではないと判別されたために前記通信端末装置から送信された、前記ユーザのログのうちの少なくともユーザ個人を特定できるデータの消去を指示する制御信号を受信する受信部と、前記受信した制御信号に応じて、前記記憶部に記憶される前記ユーザのログのうち前記ユーザ個人を特定できるデータを実質的に消去する消去制御部と、を備える、情報処理装置を提案する。
【００１３】
また、本開示によれば、コンピュータを、ユーザのログを記憶部に記憶するよう制御する記憶制御部と、ユーザの位置が、設定されている領域内であるか否かを判別する判別部と、前記判別部により前記ユーザの位置が領域内ではないと判別されたとき、前記記憶部に記憶される前記ユーザのログのうち少なくともユーザ個人を特定可能なデータを実質的に消去する消去制御部と、として機能させるプログラムを記憶する記憶媒体を提案する。
【００１４】
本開示によれば、コンピュータを、通信端末装置の現在位置に関する位置情報を検出する検出部と、前記検出された位置情報が示す位置が、設定されている領域内であるか否かを判別する判別部と、前記判別部により、前記位置情報が示す位置が前記設定されている領域内ではないと判別されたとき、情報処理装置に蓄積されているユーザのログのうち少なくともユーザ個人を特定できるデータの消去を指示する制御信号を、前記情報処理装置に対して送信するよう送信部を制御する送信制御部と、として機能させるプログラムを記憶する記憶媒体を提案する。
【発明の効果】
【００１５】
以上説明したように本開示によれば、ユーザが領域から出た際に、その領域内に居た間のユーザのログを特定できないよう所定の制御を行うことが可能となる。
【図面の簡単な説明】
【００１６】
【図１】本開示の一実施形態による消去制御システムの概要を説明するための図である。
【図２】第１の実施形態による管理サーバの構成を示すブロック図である。
【図３】第１の実施形態によるログＤＢに記憶されるユーザログの一例を示す図である。
【図４】第１の実施形態による消去制御処理を示すフローチャートである。
【図５】第２の実施形態によるユーザ端末の主要構成を示すブロック図である。
【図６】第２の実施形態による管理サーバの主要構成を示すブロック図である。
【図７】第２の実施形態による消去制御処理を示すシーケンス図である。
【図８】第３の実施形態による消去制御システムの概要を説明するための図である。
【図９】第３の実施形態による自動車の構成を示すブロック図である。
【図１０】第３の実施形態による消去制御システムの動作処理を示すフローチャートである。
【発明を実施するための形態】
【００１７】
以下に添付図面を参照しながら、本開示の好適な実施の形態について詳細に説明する。なお、本明細書及び図面において、実質的に同一の機能構成を有する構成要素については、同一の符号を付することにより重複説明を省略する。
【００１８】
また、説明は以下の順序で行うものとする。
１．本開示の一実施形態による消去制御システムの概要
２．第１の実施形態
３．第２の実施形態
４．第３の実施形態
５．まとめ
【００１９】
＜＜１．本開示の一実施形態による消去制御システムの概要＞＞
まず、本開示の一実施形態による消去制御システムの概要について、図１を参照して説明する。図１は、本開示の一実施形態による消去制御システムの概要を説明するための図である。本実施形態による制御システムは、テーマパーク、遊園地、球場、百貨店、デパート、ショッピングモール、複合施設、展示会会場、博覧会会場、および娯楽施設等の各種施設等の各種施設に適用される。図１に示す例では、本実施形態による制御システムが例えばテーマパークに適用された場合を想定している。
【００２０】
テーマパークでは、写真撮影や案内情報提供等の各種サービスを受けることができるが、さらに個人情報を管理サーバ１に登録することで、個人にパーソナライズされたサービスも受けることが可能である。例えば、ユーザ２の顔画像を登録しておくことで、図１に示すテーマパーク内に設置されているカメラ３Ａ、３Ｂにより自動的に撮影した撮影画像から、管理サーバ１によりユーザ２が写っている撮影画像を抽出し、ユーザ２に提供するサービスが実現可能である。また、ユーザ２の行動履歴（位置情報の履歴）に基づいて、領域Ｐ１の地図上にユーザ２が歩いた経路を示す画像を生成して提供するサービスや、ユーザ２が写る撮影画像を撮像場所に基づいて地図上に配置した画像を生成して提供するサービスも実現可能である。
【００２１】
また、ユーザ２が搭乗したアトラクションの情報を蓄積することで、まだ搭乗していないアトラクションを案内したり、蓄積した情報に基づいてユーザ２の好みのアトラクションを推薦したりするサービスが実現可能である。さらに、ユーザ２が売店４で購入した商品や食べ物の情報を蓄積し、蓄積した情報に基づいてユーザ２の好みの商品や食べ物を推薦したり、予想される空腹時刻にレストランの案内を行ったりするサービスも実現可能である。
【００２２】
このように、テーマパークという特定の領域Ｐ１に居る間だけ、ユーザ２が自分の個人情報をテーマパーク側（管理サーバ１）に開示（登録）することで、ユーザ２は、テーマパーク内で個人にパーソナライズされたサービスを受けることができる。また、ユーザ２は、テーマパークに居る間だけ、非日常を満喫するために自分のニックネームを個人情報として登録し、ニックネームを用いたサービスを受けることもできる。
【００２３】
しかしながら、テーマパークという特定の領域Ｐ１を出た後は、テーマパークのサービスを受けることができないので、ユーザ２は、テーマパーク側（管理サーバ１）に開示（登録）した個人情報を消去したいと考える。または、ユーザ２は、少なくともテーマパーク側に蓄積されたユーザの行動履歴や購入履歴、アトラクション履歴等のログに紐付けられている、ユーザ個人を特定可能なデータを消去したいと考える。
【００２４】
そこで、上記事情を一着眼点にして本開示の各実施形態による制御システムを創作するに至った。本開示の各実施形態による制御システムは、ユーザが所定の領域から出た際に、当該所定の領域内に居た間のユーザのログを特定できないよう、管理サーバ１に蓄積されているユーザのログのうち少なくともユーザ個人を特定可能なデータを実質的に消去する制御を行う。
【００２５】
これにより、例えばユーザ２がテーマパークという特定の領域Ｐ１を出た後、テーマパークにおいてユーザのログを管理していた管理サーバ１によりユーザ２の個人情報が消去される。または、管理サーバ１により、ユーザ２のログのうち、ユーザ２個人を特定可能なデータ（例えば顔画像や氏名）を消去することで、ユーザ２にとっては個人が特定される恐れが無くなり、テーマパーク側ではログを分析・統計のデータとして活用することができる。
【００２６】
また、管理サーバ１は、ユーザ２が氏名と異なるニックネームを登録している場合、当該ニックネームを消去するよう制御してもよい。これによりユーザ２にとっては非日常空間を満喫するために設定したニックネームが日常生活において他人に知られる恐れがなくなる。
【００２７】
なお、ユーザ２がテーマパークという特定の領域Ｐ１を出たか否かについては、例えば図１に示すように、出口ゲートに設けられたカメラ３Ｃで撮影した退場者の顔画像と、登録されたユーザ２の顔画像とに基づいて判定されてもよい。または、ユーザ２が所持する通信端末装置（不図示）から発信される位置情報に基づいて判定されてもよい。
【００２８】
以上、本開示の一実施形態における制御システムの概要について説明した。続いて、本実施形態による制御システムについて、複数の実施形態を用いて具体的に説明する。
【００２９】
＜＜２．第１の実施形態＞＞
第１の実施形態による制御システムは、図１に示す管理サーバ１（情報処理装置）により、領域Ｐ１におけるユーザ２のログを蓄積し、ユーザ２が領域Ｐ１から出た場合に、蓄積したログを消去する制御を行う。以下、本実施形態による管理サーバ１の構成および動作処理について、図２〜図４を参照して説明する。
【００３０】
＜２−１．管理サーバの構成＞
図２は、第１の実施形態による管理サーバ１の構成を示すブロック図である。図２に示すように、管理サーバ１は、通信部１２、主制御部１００、およびログＤＢ（データベース）１４を有する。
【００３１】
（通信部１２）
通信部１２は、外部機器と接続し、データの送受信を行うインターフェースである。本実施形態による通信部１２は、領域Ｐ１内に設置される各装置と接続し、データの送受信を行う。領域Ｐ１内に設置される各装置とは、例えば図１に示すカメラ３Ａ〜３Ｃ、売店４のレジスター、各アトラクションのゲート（不図示）、領域Ｐ１内に設置される個人情報登録用の端末装置（不図示）である。通信部１２は、カメラ３Ａ〜３Ｃにより領域Ｐ１内を撮像した撮像画像を受信する。
【００３２】
ここで、カメラ３Ａ〜３Ｃは、ユーザ２を撮像した撮像画像（静止画／動画）を管理サーバ１に送信することが可能である。カメラ３Ａ〜３Ｃがユーザ２を特定して撮像する方法は特に限定しないが、例えばカメラ３Ａ〜３Ｃは、管理サーバ１に予め登録されたユーザ２の顔画像に基づいて撮像画像の顔認識を行い、ユーザ２が画角に含まれる撮像画像を特定することができる。また、カメラ３Ａ〜３Ｃは、個人情報登録時にテーマパーク側からユーザ２に配布される無線装置（不図示）から発信された識別信号（ユーザ２に割り当てられた個別信号）に応じて撮像した撮像画像を、当該識別信号と紐付けた状態で管理サーバ１に送信してもよい。これにより管理サーバ１は、ユーザ２の個人情報登録時にユーザ２に割り当てた識別信号と一致する識別信号が紐付けられた撮像画像を、ユーザ２が写る撮像画像と判断することができる。
【００３３】
さらに、管理サーバ１側で、カメラ３Ａ〜３Ｃから送信された撮像画像（静止画／動画）の顔認識を行い、ユーザ２が画角に含まれる撮像画像を特定してもよい。
【００３４】
また、カメラ３Ａ〜３Ｃが音声を集音する機能（マイクロフォン）も有する場合、ユーザ２の音声を集音した音声データ（以下、録音データとも称す）を管理サーバ１に送信することもできる。
【００３５】
また、通信部１２は、売店４のレジスターから、ユーザ２による商品や飲食物の購入履歴を受信する。ユーザ２の購入履歴であることは、例えば販売時にユーザ２の氏名や識別信号、または顔画像を取得することで特定され得る。
【００３６】
また、通信部１２は、各アトラクションのゲート（不図示）から、ユーザ２の搭乗履歴を受信する。ユーザ２の搭乗履歴であることは、例えば搭乗時にゲートでユーザ２の氏名や識別信号、または顔画像を取得することで特定され得る。
【００３７】
また、通信部１２は、領域Ｐ１内に設置される個人情報登録用の端末装置（不図示）から、ユーザ２の個人情報を受信する。個人情報登録用の端末装置は、キー入力、ペン入力、タッチ入力、または音声入力等によりユーザ２の個人情報の入力を受け付ける。ユーザ２の個人情報とは、例えばユーザ２の氏名、ニックネーム、顔画像等のユーザ２個人を特定可能なデータを含む。ユーザ２は、テーマパークに来場した際、領域Ｐ１内に設置される個人情報登録用の端末装置から個人情報を入力して登録することで、ユーザ２個人に特化されたサービスの提供を受けることができる。
【００３８】
上述したように、通信部１２は、領域Ｐ１内に設置される各装置と接続して、各場所（売店、アトラクション、ゲート等）におけるユーザ２の行動に関する履歴（ユーザ２のログ）を受信することができる。なお、通信部１２は、ユーザ２のログを、ユーザ２が所持する無線装置から一括して受信してもよい。すなわち、個人情報登録時にユーザ２に貸し出す無線装置がある場合、当該無線装置に、各場所におけるユーザ２の行動に関する履歴が蓄積される。
【００３９】
例えば、ユーザ２がカメラ３Ａの近くを歩くと、ユーザ２が所持する無線装置から自動的に発信される制御信号をカメラ３Ａが受信し、制御信号に応じてカメラ３Ａが撮像した撮像画像が無線装置に送信される。これにより、ユーザ２が領域Ｐ１内を歩いているうちに、自動的に周囲で撮像された撮像画像が無線装置に蓄積されていく。また、ユーザ２が売店４で商品や飲食物を購入する際、売店４のレジスターから無線装置に購入履歴が入力される。また、ユーザ２がアトラクションに搭乗する際、アトラクションのゲートから無線装置に搭乗履歴が入力される。また、無線装置は、無線装置に搭載されたＧＰＳ（Ｇｌｏｂａｌ  Ｐｏｓｉｔｉｏｎｉｎｇ  Ｓｙｓｔｅｍ）、加速度センサ、振動センサ等の各種センサで定期的に取得した位置情報等のデータを、ユーザ２の行動履歴として蓄積できる。また、無線装置が電子マネーシステムに対応している場合、無線装置は、電子マネーによる決算情報を購入履歴として蓄積できる。そして、無線装置は、定期的に、または所定のタイミングで、蓄積したユーザ２のログを管理サーバ１に送信する。
【００４０】
（主制御部１００）
主制御部１００は、管理サーバ１の各構成を制御する。本実施形態による主制御部１００は、図２に示すように、記憶制御部１１０、判別部１２０、および消去制御部１３０として機能する。
【００４１】
記憶制御部１１０は、通信部１２から受信した各ユーザのログを、ログＤＢ１４に記憶するよう制御する。具体的には、例えば記憶制御部１１０は、ユーザ２の購入履歴、飲食履歴、撮像画像、および録音データの少なくともいずれかを、ユーザ個人を特定可能なデータと対応付けて、ユーザ２のログとして、ログＤＢ１４に記憶する。上記飲食履歴は、飲食物の購入履歴から抽出され得る。また、ユーザ個人を特定可能なデータとは、ユーザの氏名または顔画像等である。これらの個人情報は、上述したように例えば領域Ｐ１内に設置される個人情報登録用の端末装置から入力され、管理サーバ１に送信される。若しくは、個人情報は、ユーザ２が所持する携帯電話端末、スマートフォン、タブレット端末等の通信端末装置からネットワークを介して管理サーバ１に送信されてもよい。
【００４２】
また、記憶制御部１１０は、撮像画像の撮像位置情報を、ユーザ２の行動履歴（ユーザ２が歩行した経路を示す情報）としてログＤＢ１４に記憶させてもよい。または、記憶制御部１１０は、ユーザ２に貸し出された無線装置から送信される位置情報を、ユーザ２の行動履歴としてログＤＢ１４に記憶させてもよい。
【００４３】
このように記憶制御部１１０は、各ユーザのログをログＤＢ１４に記憶させ、ログＤＢ１４に記憶されたログは、ユーザへの各種サービスを提供する際や、来客の分析・統計時に利用される。
【００４４】
判別部１２０は、ユーザの位置が、設定されている領域内であるか否かを判別する機能を有する。例えば判別部１２０は、図１に示すユーザ２の位置が領域Ｐ１内であるか否かを判別する。
【００４５】
判別部１２０による判別方法は特に限定しないが、例えば以下のような方法により判別することが可能である。
【００４６】
例えば、判別部１２０は、領域Ｐ１の境界付近で撮像された撮像画像を解析し、ユーザ２が領域Ｐ１から出たことを判別することができる。また、判別部１２０は、領域Ｐ１の出口で取得された退場者情報（退場者の氏名、識別番号、顔画像等）を参照し、ユーザ２が領域Ｐ１から出たことを判別することができる。
【００４７】
また、判別部１２０は、ユーザ２が所持する通信端末装置（携帯電話端末、スマートフォン、タブレット端末等）から発信された位置情報に基づいて、ユーザ２が領域Ｐ１から出たことを判別してもよい。具体的には、判別部１２０は、ユーザ２が所持する通信端末装置から発信された位置情報で示される位置が、設定された領域Ｐ１のエリア内でない場合、ユーザ２は領域Ｐ１から外に出たと判別することができる。さらに、判別部１２０は、ユーザが所持する通信端末装置からの電波強度を解析し、ユーザ２が領域Ｐ１から出たことを判別してもよい。具体的には、判別部１２０は、ユーザ２が所持する通信端末装置の電波強度が、所定の値を下回る場合、ユーザ２は領域Ｐ１から外に出たと判別することができる。
【００４８】
消去制御部１３０は、判別部１２０によりユーザの位置が領域内ではないと判別されたとき、ログＤＢ１４に記憶されるユーザのログのうち少なくともユーザ個人を特定可能なデータ（例えば登録した顔画像）を実質的（論理的）に消去する。実質的（論理的）消去とは、具体的には、消去制御部１３０は、ユーザ個人を特定可能なデータへのアクセスを制限することであってもよい。
【００４９】
また、消去制御部１３０は、判別部１２０によりユーザ２が領域Ｐ１の外に出たと判別された際、まずユーザ個人を特定可能なデータに管理者がアクセス可能な状態にし、一定期間経過後、当該管理者のアクセスも不可能な状態にすることで、データを実質的に消去してもよい。
【００５０】
このように、少なくともユーザ個人を特定可能なデータを消去することで、ユーザと行動履歴等のログとの紐付けが消滅するので、ユーザにとっては個人が特定される恐れが無くなり、テーマパーク側ではログを分析・統計のデータとして活用することができる。
【００５１】
また、消去制御部１３０は、ユーザ個人を特定可能なデータおよび当該データに紐付けられたユーザログを消去してもよい。例えば、消去制御部１３０は、登録されたユーザの顔画像と、ユーザが写る撮影画像や、行動履歴、購入履歴等を消去する。また、消去制御部１３０は、ユーザが写る撮影画像のうち、ユーザの顔部分だけをモザイク処理したり、他の画像に置換したりすることで消去してもよい。
【００５２】
さらに、消去制御部１３０は、時間的要素あるいは距離的要素を考慮して、少なくともユーザ個人を特定可能なデータの消去を実行してもよい。これにより、途中退場者に対しては消去を保留することができる。具体的には、例えば消去制御部１３０は、ユーザ２の位置が領域Ｐ１の外に移動してから一定時間経過した場合に、データの消去を実行するよう制御する。また、消去制御部１３０は、ユーザ２の位置が領域Ｐ１から一定距離離れた場合に、データの消去を実行するよう制御してもよい。消去制御部１３０は、ユーザ２が離れた距離を、領域Ｐ１の外に出てからの経過時間に基づいて推定してもよいし、ユーザ２の現在位置を示す位置情報に基づいて検出してもよい。
【００５３】
時間的要素を考慮した他の例としては、消去制御部１３０は、ユーザ２の位置が領域Ｐ１の外に移動し、かつ、テーマパークの閉園時刻等の所定の時刻を経過した場合に、データの消去を実行するよう制御してもよい。
【００５４】
また、消去制御部１３０は、ユーザ２に紐付けられた所定の時刻、例えば個人に特化したサービス提供の終了時刻や、入場チケットの期限時刻を経過した場合に、データの消去を実行するよう制御してもよい。これにより、例えばユーザ２が２日間テーマパークに入場できるチケットを利用している場合、１日目にテーマパークの領域Ｐ１から外に出た後も、ユーザ２のログ消去は保留される。なお、ユーザ２に紐付けられた所定の時刻の情報は、例えばログＤＢ１４に記憶される。
【００５５】
（ログＤＢ１４）
ログＤＢ１４は、記憶制御部１１０の制御に従って、各ユーザのログを、各ユーザを特定可能なデータに対応付けて記憶する記憶部である。ここで、図３に、ログＤＢ１４に記憶されるユーザログ１４０の一例を示す。
【００５６】
図３に示すように、ユーザログ１４０は、各ユーザを特定可能なデータ、例えば顔画像に対応付けて、各ユーザのログである行動履歴ｒ１、購入履歴ｒ２、飲食履歴ｒ３、撮影画像ｒ４、録音データｒ５等を記憶する。
【００５７】
以上、第１の実施形態による管理サーバ１の主要な構成について具体的に説明した。なお、管理サーバ１の構成は、図２に示す例に限定されず、例えばログＤＢ１４に記憶させたユーザのログを用いたサービス提供を実現する構成をさらに有していてもよい。また、管理サーバ１は、ログＤＢ１４に記憶させたユーザのログを、ユーザのログを用いたサービス提供を実現する他のサーバ（不図示）に転送してもよい。
【００５８】
＜２−２．管理サーバの動作処理＞
続いて、本実施形態による動作処理について図４を参照して説明する。
【００５９】
図４は、第１の実施形態による消去制御処理を示すフローチャートである。図４に示すように、まず、ステップＳ１０３において、管理サーバ１の記憶制御部１１０は、ユーザの個人特定情報（ユーザ個人を特定可能なデータ）を登録する。
【００６０】
次に、ステップＳ１０６において、管理サーバ１は、登録したユーザの行動履歴、購入履歴、飲食履歴等の各種履歴、撮像画像、および録音データ等の取得を開始する。例えば、管理サーバ１は、登録したユーザの顔画像やＩＤ（識別信号）を、領域Ｐ１内に設置されているカメラ３に送信する。
【００６１】
次いで、ステップＳ１０９において、管理サーバ１の記憶制御部１１０は、通信部１２を介して取得した各ユーザの各種履歴や撮像画像等を、各ユーザ個人を特定可能なデータに対応付けてログＤＢ１４に記憶させる。ログＤＢ１４に記憶されたユーザのログは、領域Ｐ１内でユーザ個人に特化したサービスを提供する際に利用され得る。
【００６２】
次に、ステップＳ１１２において、管理サーバ１の判別部１２０は、ユーザ２の位置が領域Ｐ１の外に出たか否かを判別する。
【００６３】
次いで、領域Ｐ１の外に出たと判別された場合（Ｓ１１２／Ｙｅｓ）、ステップＳ１１５において、管理サーバ１の消去制御部１３０は、ユーザ２が領域Ｐ１の外に出てから所定時間経過、またはユーザ２が領域Ｐ１から一定距離離れたか否かを判断する。
【００６４】
そして、上記いずれかに該当すると判断された場合（Ｓ１１５／Ｙｅｓ）、ステップＳ１１８において、消去制御部１３０は、ログＤＢ１４に記憶されているユーザのログのうち、少なくともユーザ個人を特定可能なデータを消去する。または、消去制御部１３０は、ログＤＢ１４に記憶されているユーザ個人を特定可能なデータおよび各種履歴や撮影画像等を消去してもよい。
【００６５】
以上、第１の実施形態による消去制御処理について具体的に説明した。なお、図４に示すフローでは、消去制御部１３０が、ユーザ２が領域Ｐ１から出てから所定時間経過後、または一定距離離れた場合にデータの消去を実行しているが、本実施形態による消去の実行はこれに限定されない。例えば本実施形態による消去制御部１３０は、ユーザ２が領域Ｐ１から出たと略同時にデータの消去を実行してもよい。
【００６６】
＜＜３．第２の実施形態＞＞
上述した第１の実施形態では、管理サーバ１が判別部１２０および消去制御部１３０を有し、各ユーザのログを集中管理しているが、本開示による制御システムはこれに限定されない。例えば、個々のユーザが所持する通信端末装置が、管理サーバに蓄積されているユーザのログの消去を指示する制御システムであってもよい。以下、このように通信端末装置（以下、ユーザ端末とも称す）がログの消去を指示する制御システムについて、図５〜図７を参照して説明する。
【００６７】
＜３−１．ユーザ端末の構成＞
図５は、第２の実施形態によるユーザ端末２０の主要構成を示すブロック図である。図５に示すように、ユーザ端末２０は、通信部２２、ＧＰＳ測位部２３、および主制御部２００を有する。なお、ユーザ端末２０は、例えば携帯電話、スマートフォン、タブレット端末、またはライフログを取得可能なウェラブル装置等により実現される。
【００６８】
（通信部２２）
通信部２２は、外部機器と接続し、データの送受信を行うインターフェースである。例えば通信部２２は、無線ＬＡＮ、Ｗｉ−Ｆｉ（登録商標）、赤外線通信、Ｂｌｕｅｔｏｏｔｈ（登録商標）等によりネットワークに接続し、管理サーバ１０とデータの送受信を行うことができる。
【００６９】
また、本実施形態による通信部２２は、後述する検出部２１０により検出されたユーザ端末２０の現在位置に関する位置情報を、定期的または所定のタイミングで管理サーバ１０に送信する。また、通信部２２は、後述する送信制御部２３０の制御に従って、データの消去を指示する制御信号を管理サーバ１０に送信する。
【００７０】
（ＧＰＳ測位部２３）
ＧＰＳ（Ｇｌｏｂａｌ  Ｐｏｓｉｔｉｏｎｉｎｇ  Ｓｙｓｔｅｍ）測位部２３は、ＧＰＳ衛星からの電波を受信して、ユーザ端末２０が存在している位置（現在位置）を測位する。なお、ＧＰＳ測位部２３は、外部からの取得信号に基づいてユーザ端末２０の現在位置情報を取得する位置情報取得部の一例であって、本実施形態による位置情報取得部の例はこれに限定されない。例えば、位置情報取得部は、Ｗｉ−Ｆｉ、他の携帯電話・ＰＨＳ・スマートフォン等との送受信、または近距離通信等により現在位置情報を取得するものであってもよい。
【００７１】
（主制御部２００）
主制御部２００は、ユーザ端末２０の各構成を制御する。本実施形態による主制御部２００は、図５に示すように、検出部２１０、判別部２２０、および送信制御部２３０として機能する。
【００７２】
検出部２１０は、ユーザ端末２０の現在位置に関する位置情報を検出する。例えば、検出部２１０は、ＧＰＳ測位部２３により測位された位置情報（緯度、経度、高度）を、現在位置に関する位置情報として検出してもよい。また、検出部２１０は、ユーザ端末２０に設けられたカメラ（不図示）により周囲を自動的に撮影し、撮影画像に基づいて現在位置に関する位置情報を検出してもよいし、ユーザにより手動で入力された情報に基づいて位置情報を検出してもよい。また、検出部２１０は、領域Ｐ１の領域付近や出口ゲートで発信される退場信号に基づいて、現在位置に関する位置情報（少なくとも領域Ｐ１の外に位置することを示す情報）を検出してもよい。
【００７３】
検出部２１０は、検出した位置情報を判別部２２０に出力する。
【００７４】
判別部２２０は、検出部２１０により検出された位置情報で示される位置が、設定されている領域内であるか否か、すなわちユーザが設定された領域の外に出たか否かを判別する。例えば、判別部２２０は、ＧＰＳ測位部２３により測位された位置情報（緯度、経度、高度）に基づいて、ユーザ２が領域Ｐ１の外に出たか否かを判別する。また、判別部２２０は、判別結果を送信制御部２３０に出力する。
【００７５】
送信制御部２３０は、判別部２２０により、検出された位置情報が示す位置が設定された領域内ではない、すなわちユーザが設定された領域の外に出たと判別された場合、データの消去を指示する制御信号を通信部２２から管理サーバ１に送信するよう制御する。具体的には、送信制御部２３０は、管理サーバ１に蓄積されているユーザのログのうち少なくともユーザ個人を特定できるデータを実質的（論理的）に消去するよう指示する制御信号を、管理サーバ１０に送信する。
【００７６】
また、本実施形態による送信制御部２３０は、時間的要素を考慮して、データの消去を指示する制御信号の送信を実行してもよい。これにより、ユーザが途中退場した場合に消去を指示する制御信号の送信を保留することができる。具体的には、例えば送信制御部２３０は、ユーザ２の位置が領域Ｐ１の外に移動してから一定時間経過した場合に、データの消去を指示する制御信号の送信を実行するよう制御する。また、送信制御部２３０は、ユーザ２の位置が領域Ｐ１から一定距離離れた場合に、データの消去を指示する制御信号の送信を実行するよう制御してもよい。
【００７７】
以上、本実施形態によるユーザ端末２０の主要構成について具体的に説明した。続いて、本実施形態による管理サーバ１０の構成について、図６を参照して説明する。
【００７８】
＜３−２．管理サーバの構成＞
図６は、第２の実施形態による管理サーバ１０の主要構成を示すブロック図である。図６に示すように管理サーバ１０は、通信部１３、ログＤＢ１４、および主制御部３００を有する。本実施形態による管理サーバ１０は、領域Ｐ１におけるユーザ２のログを蓄積し、ユーザ２が所持するユーザ端末２０から送信されるデータの消去を指示する制御信号に従って、蓄積したログを消去する制御を行う。
【００７９】
（通信部１３）
通信部１３は、外部機器と接続し、データの送受信を行うインターフェースである。本実施形態による通信部１３は、第１の実施形態による管理サーバ１の通信部１２と同様に、領域Ｐ１内に設置される各装置と接続し、データの送受信を行う。領域Ｐ１内に設置される各装置とは、例えば図１に示すカメラ３Ａ〜３Ｃ、売店４のレジスター、各アトラクションのゲート（不図示）、領域Ｐ１内に設置される個人情報登録用の端末装置（不図示）である。
【００８０】
具体的には、通信部１３は、カメラ３Ａ〜３Ｃにより領域Ｐ１内を撮像した撮像画像を受信したり、売店４のレジスターからユーザ２による商品や飲食物の購入履歴を受信したり、各アトラクションのゲート（不図示）からユーザ２の搭乗履歴を受信したりする。また、通信部１３は、領域Ｐ１内に設置される個人情報登録用の端末装置（不図示）からユーザ２の個人情報を受信してもよいし、ユーザ端末２０からユーザ２の個人情報を受信してもよい。
【００８１】
さらに、本実施形態による通信部１３は、ユーザ端末２０から、ログデータの消去を指示する制御信号を受信する。
【００８２】
（主制御部３００）
主制御部３００は、管理サーバ１の各構成を制御する。本実施形態による主制御部３００は、図６に示すように、記憶制御部３１０、よび消去制御部３３０として機能する。
【００８３】
記憶制御部３１０は、通信部１３から受信した各ユーザのログを、ログＤＢ１４に記憶するよう制御する。具体的には、例えば記憶制御部３１０は、第１の実施形態による記憶制御部１１０と同様に、ユーザ２の購入履歴、飲食履歴、撮像画像、および録音データの少なくともいずれかを、ユーザ個人を特定可能なデータと対応付けて、ユーザ２のログとして、ログＤＢ１４に記憶する。ログＤＢ１４に記憶されたログは、ユーザへの各種サービスを提供する際や、来客の分析・統計時に利用される。
【００８４】
消去制御部３３０は、通信部１３によりユーザ端末２０から受信したログデータの消去を指示する制御信号に従って、第１の実施形態による消去制御部１３０と同様に、ログＤＢ１４に記憶されるユーザのログのうち少なくともユーザ個人を特定可能なデータを実質的（論理的）に消去する。
【００８５】
（ログＤＢ１５）
ログＤＢ１５は、記憶制御部３１０の制御に従って、第１の実施形態によるログＤＢ１４と同様に、各ユーザのログを、各ユーザを特定可能なデータに対応付けて記憶する記憶部である。具体的には、ログＤＢ１５は、各ユーザを特定可能なデータ、例えば顔画像に対応付けて、各ユーザのログである行動履歴、購入履歴、飲食履歴、撮影画像、録音データ等を記憶する。
【００８６】
以上、本実施形態による管理サーバ１０の主要構成について具体的に説明した。
【００８７】
＜３−３．動作処理＞
次に、図７を参照して本実施形態による動作処理について説明する。図７は、第２の実施形態による消去制御処理を示すシーケンス図である。
【００８８】
図７に示すように、まず、ステップＳ１２３において、管理サーバ１０の記憶制御部３１０は、ユーザ２の個人特定情報（ユーザ個人を特定可能なデータ）を登録する。管理サーバ１０は、ユーザ２の個人特定情報を、ユーザ端末２０から受信してもよいし、領域Ｐ１内に設置されている所定の登録用の端末装置から受信してもよい。
【００８９】
次に、ステップＳ１２６において、管理サーバ１０は、登録したユーザの行動履歴、購入履歴、飲食履歴等の各種履歴、撮像画像、および録音データ等の取得を開始する。
【００９０】
次いで、ステップＳ１２９において、管理サーバ１０の記憶制御部３１０は、通信部１３を介して取得した各ユーザの各種履歴や撮像画像等を、各ユーザ個人を特定可能なデータに対応付けてログＤＢ１５に記憶させる。ログＤＢ１５に記憶されたユーザのログは、領域Ｐ１内でユーザ個人に特化したサービスを提供する際に利用され得る。
【００９１】
一方、ステップＳ１３２において、ユーザ２に所持されるユーザ端末２０の検出部２１０は、定期的または所定のタイミングで、現在位置を示す位置情報を検出する。
【００９２】
次に、ステップＳ１３５において、ユーザ端末２０の判別部２２０は、検出部２１０に検出された位置情報に基づいて、ユーザ２が領域Ｐ１から出たか否かを判別する。
【００９３】
次いで、ユーザが領域Ｐ１から出たと判別された場合（Ｓ１３５／Ｙｅｓ）、ステップＳ１３８において、ユーザ端末２０の送信制御部２３０は、ユーザ２が領域Ｐ１の外に出てから所定時間経過、またはユーザ２が領域Ｐ１から一定距離離れたか否かを判断する。
【００９４】
続いて、上記いずれかに該当すると判断された場合（Ｓ１３５／Ｙｅｓ）、ステップＳ１４１において、送信制御部２３０は、管理サーバ１０に記憶されているユーザのログのうち、少なくともユーザ個人を特定可能なデータの消去を指示する制御信号を管理サーバ１０に送信する。
【００９５】
そして、ステップＳ１４４において、管理サーバ１０の消去制御部３３０は、ユーザ端末２０から送信された消去を指示する制御信号に従って、ログＤＢ１５に記憶されているユーザのログのうち、少なくともユーザ個人を特定可能なデータを消去する。
また、制御信号が、ユーザ個人を特定可能なデータおよび各種履歴や撮影画像等の消去を指示するものである場合、消去制御部３３０は、ログＤＢ１５に記憶されているユーザ個人を特定可能なデータおよび各種履歴や撮影画像等を消去する。
【００９６】
以上、第２の実施形態による消去制御処理について具体的に説明した。なお、図７に示すフローでは、消去制御部３３０が、ユーザ２が領域Ｐ１から出てから所定時間経過後、または一定距離離れた場合にデータの消去を実行しているが、本実施形態による消去の実行はこれに限定されない。例えば本実施形態による消去制御部３３０は、ユーザ２が領域Ｐ１から出たと略同時にデータの消去を実行してもよい。
【００９７】
＜＜４．第３の実施形態＞＞
上記各実施形態では、テーマパークに代表される各種施設の領域Ｐ１にユーザ２が居る間のユーザ２のログが、管理サーバ１、１０（情報処理装置）に記憶されている場合における、当該ログの消去制御システムについて説明した。しかし、本開示による消去制御システムは、各種施設の領域に限定されず、例えば移動体の中にユーザ２が居る間のユーザ２のログが記憶されている場合における、当該ログの消去制御システムであってもよい。以下、移動体の一例として自動車５の中にユーザ２が居る間に記憶されたユーザ２のログに対する消去制御について、図８〜図１０を参照して説明する。
【００９８】
＜４−１．概要＞
図８は、第３の実施形態による消去制御システムの概要を説明するための図である。図８に示すように、ユーザ２がレンタカー店舗６から自動車５（情報処理装置）をレンタルし、自動車５で走行した際、通常、レンタル期間中の走行履歴がユーザのログとして自動車５に記憶される。また、自動車５がネットワークに接続可能な場合、ユーザ２が音楽や映画等をダウンロードして購入し、車内で楽しむことができるが、かかる購入履歴もユーザのログとして自動車５に記憶され得る。また、自動車５は、自動車５に設けられた車外カメラにより外の風景を撮影した撮影画像を、ユーザのログとして記憶することも可能である。
【００９９】
これにより、ユーザ２は、走行経路を確認したり、音楽や映画の購入リストを確認したり、撮影された車外の映像を再生して楽しんだりすることができる。また、ユーザ個人を特定可能な情報として、氏名やニックネーム、顔画像等を登録し、通信可能な他車とコミュニケーションを行うこともできる。一方、レンタカー店舗６側では、走行履歴や購入履歴等のユーザのログを、分析・統計のデータとして活用することができる。
【０１００】
しかしながら、ユーザのログが、ユーザの個人情報（顔画像や氏名等）と対応付けられて記憶されている場合、ユーザのログがレンタル期間終了後も自動車５に保持され続けることはユーザにとって望ましくない。
【０１０１】
そこで、本実施形態による消去制御システムでは、ユーザ２が自動車５の領域Ｐ２から外に出ており、さらにレンタル期間等を考慮して、自動車５に記憶されたユーザのログを消去するよう制御する。以下、第３の実施形態による自動車５の構成および動作処理について順次説明する。
【０１０２】
＜４−２．自動車の構成＞
図９は、第３の実施形態による自動車５の構成を示すブロック図である。図９に示すように、自動車５は、主制御部５００、コンテンツ取得部５２、車内カメラ５３、ログＤＢ５４、表示操作部５５、走行系５６、ＧＰＳ測位部５７、および車外設置系５８を有する。
【０１０３】
（主制御部５００）
主制御部５００は、自動車５の各構成を制御する。本実施形態による主制御部５００は、図９に示すように、記憶制御部５１０、判別部５２０、および消去制御部５３０として機能する。
【０１０４】
記憶制御部５１０は、自動車５に乗車している間のユーザ２のログを、ログＤＢ５４に記憶するよう制御する。具体的には、例えば記憶制御部５１０は、ユーザ２の運転に従って走行する自動車５の走行経路を示す走行履歴を、ユーザ２のログとしてログＤＢ５４に記憶させる。走行履歴は、ＧＰＳ測位部５７から定期的または所定のタイミングで取得される自動車５の位置情報に基づいて生成される。
【０１０５】
また、記憶制御部５１０は、コンテンツ取得部５２によりネットワーク上から音楽、映画等のコンテンツがダウンロード購入された場合、購入履歴をユーザ２のログとしてログＤＢ５４に記憶させる。さらに、記憶制御部５１０は、自動車５に補給されたガソリン、または充電された電気の履歴も、ユーザ２のログとしてログＤＢ５４に記憶させてもよい。
【０１０６】
なお、記憶制御部５１０は、これらのログを、ユーザ個人を特定可能なデータと対応付けてログＤＢ５４に記憶させる。ユーザ個人を特定可能なデータとは、ユーザ２の氏名や、顔画像等である。
【０１０７】
判別部５２０は、ユーザ２の位置が自動車５の領域Ｐ２内であるか否か、すなわちユーザ２が自動車５の外に出たか否かを判別する。例えば、判別部５２０は、車内カメラ５３で撮影された乗車者の顔画像と、予め登録されたユーザ２の顔画像とを比較し、ユーザ２が領域Ｐ２（自動車５）の外に出たか否かを判別する。また、判別部５２０は、人感センサ（不図示）を用いて、車内（領域Ｐ２内）に乗車者が居るか否かを判別することもできる。
【０１０８】
なお、目的地に着いてユーザ２が領域Ｐ２（自動車５）の外に出た後、帰宅の際に再び領域Ｐ２内に戻ることが想定されるので、判別部５２０は、領域Ｐ２の外にユーザ２が出てから所定時間（半日〜１日）経過した場合に、ユーザ２が自動車５の外に出たと判別してもよい。または、判別部５２０は、領域Ｐ２の外にユーザ２が出て、かつ、予め登録されたレンタル期間が経過した際や、レンタカーの清算が済んだことが確認できた場合に、ユーザ２が自動車５の外に出たと判別してもよい。
【０１０９】
消去制御部５３０は、判別部５２０により、ユーザ２の位置が領域Ｐ２内ではない、すなわちユーザ２が領域Ｐ２の外に出たと判別された場合、ログＤＢ５４に記憶されるユーザのログのうち少なくともユーザ個人を特定可能なデータを実質的（論理的）に消去する。これにより、ユーザ２が領域Ｐ２（自動車５）内に居る間に取得されたユーザ２のログが、ユーザ２が領域Ｐ２の外に出た際に消去されるので、レンタカー（自動車５）を返却した後もユーザ２のログが保持され続けることはない。また、少なくともユーザ個人を特定可能なデータを消去することで、ユーザと走行履歴、購入履歴等のログとの紐付けが消滅するので、ユーザにとっては個人が特定される恐れが無くなり、テーマパーク側ではログを分析・統計のデータとして活用することができる。
【０１１０】
（コンテンツ取得部５２）
コンテンツ取得部５２は、ネットワークと接続し、ネットワーク上の所定のサーバから、音楽や映画等のコンテンツをダウンロードすることができる。ダウンロードされた音楽や映画は、車内のスピーカ（不図示）や表示部（表示操作部５５、ウィンドウディスプレイ）で再生される。
【０１１１】
（車内カメラ５３）
車内カメラ５３は、自動車５の中に居る乗車者を撮影し、撮影画像を主制御部５００に出力する。車内カメラ５３が撮影した撮影画像は、判別部５２０が、ユーザ２が車内に居るか否かを判別する際に用いられる。なお、車内カメラ５３の代わりに、人感センサが車内に設けられていてもよい。
【０１１２】
（ログＤＢ５４）
ログＤＢ５４は、記憶制御部５１０の制御に従って、走行履歴や購入履歴、車外カメラ５８１で撮影された撮影画像等をユーザのログとして、ユーザ個人を特定可能なデータに対応付けて記憶する記憶部である。具体的には、ログＤＢ５４は、ユーザ２の顔画像または氏名に対応付けて、ユーザ２のログである走行履歴、購入履歴、撮影画像等を記憶する。
【０１１３】
（表示操作部５５）
表示操作部５５は、表示機能および操作入力機能を有するデバイスであって、例えば車内の運転席から操作可能な場所に配置されている。表示操作部５５は、タッチパネルディスプレイにより実現されてもよい。ユーザ２は、表示操作部５５を操作して、個人情報の登録や、所望のコンテンツの購入操作、音楽や映画の再生操作、自動車５がナビゲーションシステムを有する場合は目的地の入力等を行うことができる。また、表示操作部５５では、レンタカーである自動車５の清算が済んだ旨が管理者により入力されることも想定される。
【０１１４】
（ＧＰＳ測位部５７）
ＧＰＳ（Ｇｌｏｂａｌ  Ｐｏｓｉｔｉｏｎｉｎｇ  Ｓｙｓｔｅｍ）測位部５７は、ＧＰＳ衛星からの電波を受信して、自動車５が存在している位置（現在位置）を測位する。なお、ＧＰＳ測位部５７は、外部からの取得信号に基づいて自動車５の現在位置情報を取得する位置情報取得部の一例であって、本実施形態による位置情報取得部の例はこれに限定されない。例えば、位置情報取得部は、無線通信により周囲の基地局から位置情報を取得するものであってもよい。
【０１１５】
（走行系５６）
走行系５６は、自動車５において走行のために必要な構成を含む。具体的には、図９に示すように、走行系５６は、ハンドル５６１、ブレーキ５６３、アクセル５６５、およびアクチュエータ５６７を含む。ハンドル５６１、ブレーキ５６３、およびアクセル５６５は、運転席に設けられ、運転者の操作を受け付ける。アクチュエータ５６７は、例えばタイヤおよびエンジン等であって、ハンドル５６１、ブレーキ５６３、およびアクセル５６５からの操作情報に基づいて駆動する。
【０１１６】
（車外設置系５８）
車外設置系５８は、自動車５において車外に設けられた構成を含む。具体的には、図９に示すように、車外設置系５８は、車外カメラ５８１、ライト５８２、およびホーン５８３を含む。車外カメラ５８１は、車外の風景を撮影する機能を有する。なお、車外カメラ５８１は、車内から車外を撮影するよう設けられてもよい。ライト５８２は、自動車５の走行方向（前方）および後方を照射するよう自動車５の前後にそれぞれ設けられる照明部である。ホーン５８３は、ユーザ２の操作に応じて警告音を自動車５の周囲に出力する出力部であって、通常、自動車５の前方に設けられる。
【０１１７】
以上、本実施形態による自動車５（情報処理装置）の構成について具体的に説明した。続いて、本実施形態による自動車５の動作処理について図１０を参照して説明する。
【０１１８】
＜４−３．動作処理＞
図１０は、第３の実施形態による消去制御システムの動作処理を示すフローチャートである。図１０に示すように、まず、ステップＳ２０３において、自動車５は、レンタル設定を行う。具体的には、例えば表示操作部５５から、レンタル期間の設定、利用者の個人特定情報の登録を受け付ける。
【０１１９】
次に、ステップＳ２０６において、自動車５は、登録した利用者（ユーザ２）のログとして、走行履歴、購入履歴、車外カメラ５８１により撮像された車外の撮像画像等の取得を開始する。
【０１２０】
次いで、ステップＳ２０９において、自動車５の記憶制御部５１０は、取得したユーザのログを、ユーザ個人を特定可能なデータに対応付けてログＤＢ５４に記憶させる。記憶制御部５１０は、例えばコンテンツ取得部５２で取得されたコンテンツに基づく購入履歴、車外カメラ５８１で撮影された車外の撮影画像、ＧＰＳ測位部５７や走行系５６から取得した情報に基づく走行履歴等をユーザのログとしてログＤＢ５４に記憶させる。ログＤＢ５４に記憶されたユーザのログは、ユーザ２が自身の走行履歴や購入履歴を確認する際や、車外の撮像画像を再生して楽しむ際に利用され得る。
【０１２１】
次に、ステップＳ２１２において、自動車５の判別部５２０は、ユーザ２の位置が領域Ｐ２（自動車５）の外に出たか否かを判別する。
【０１２２】
次いで、領域Ｐ２の外に出たと判別された場合（Ｓ２１２／Ｙｅｓ）、ステップＳ２１５において、自動車５の消去制御部５３０は、レンタル期間終了、またはレンタカーの利用料金が清算済みであるか否かを判断する。
【０１２３】
そして、上記いずれかに該当すると判断された場合（Ｓ２１５／Ｙｅｓ）、ステップＳ２１８において、消去制御部５３０は、ログＤＢ５４に記憶されているユーザのログのうち、少なくともユーザ個人を特定可能なデータを消去する。または、消去制御部５３０は、ログＤＢ５４に記憶されているユーザ個人を特定可能なデータおよび各種履歴や撮影画像等を消去してもよい。
【０１２４】
以上、第３の実施形態による消去制御処理について具体的に説明した。上述したように、本開示による消去制御システムは、テーマパークに代表される各種施設の領域Ｐ１内に居るユーザのログに対する消去制御の他、自動車に代表される移動体の領域Ｐ２内に居るユーザのログに対する消去制御にも適用することができる。
【０１２５】
＜＜５．まとめ＞＞
上述したように、本実施形態による消去制御システムによれば、ユーザが所定の領域から出た際に、当該所定の領域内に居た間のユーザのログを特定できないよう、ユーザのログのうち少なくともユーザ個人を特定可能なデータを実質的に消去することができる。
【０１２６】
以上、添付図面を参照しながら本開示の好適な実施形態について詳細に説明したが、本技術はかかる例に限定されない。本開示の技術分野における通常の知識を有する者であれば、特許請求の範囲に記載された技術的思想の範疇内において、各種の変更例または修正例に想到し得ることは明らかであり、これらについても、当然に本開示の技術的範囲に属するものと了解される。
【０１２７】
例えば、情報処理装置（管理サーバ１、１０、自動車５）またはユーザ端末２０に内蔵されるＣＰＵ、ＲＯＭおよびＲＡＭなどのハードウェアを、上述した情報処理装置またはユーザ端末２０の各構成と同等の機能を発揮させるためのコンピュータプログラムも作成可能である。また、該コンピュータプログラムを記憶させた記憶媒体も提供される。
【０１２８】
また、本開示による情報処理装置（管理サーバ１、１０、自動車５）は、ユーザのログの消去を完了した場合、消去完了の通知をユーザに対して行ってもよい。
【０１２９】
なお、本技術は以下のような構成も取ることができる。
（１）
ユーザのログを記憶部に記憶するよう制御する記憶制御部と、
ユーザの位置が、設定されている領域内であるか否かを判別する判別部と、
前記判別部により前記ユーザの位置が領域内ではないと判別されたとき、前記記憶部に記憶される前記ユーザのログのうち少なくともユーザ個人を特定可能なデータを実質的に消去する消去制御部と、
を備える、情報処理装置。
（２）
前記消去制御部は、時間的要素あるいは距離的要素を考慮して前記データの消去を実行する、前記（１）に記載の情報処理装置。
（３）
前記消去制御部は、前記ユーザの位置が、前記領域内から出て一定時間経過、あるいは前記領域内から出て一定距離離れたことが検出された場合、前記消去を実行する、前記（２）に記載の情報処理装置。
（４）
前記消去制御部は、前記データへのアクセスを制限することで、前記データを実質的に消去する、前記（１）〜（３）のいずれか１項に記載の情報処理装置。
（５）
前記消去制御部は、前記判別部により前記位置が領域内ではないと判別されたとき、前記ユーザ個人を特定可能なデータに管理者がアクセス可能な状態にして、一定期間経過後、当該管理者のアクセスが不可能な状態にするよう制御する、前記（４）に記載の情報処理装置。
（６）
前記判別部は、前記ユーザに紐付けられた所定の時刻を経過したか否かを判別し、
前記消去制御部は、前記判別部により、前記所定の時刻を経過したと判別された場合、前記ユーザ個人を特定可能なデータを実質的に消去する、前記（１）〜（５）のいずれか１項に記載の情報処理装置。
（７）
前記ユーザ個人を特定可能なデータは、ユーザの顔画像である、前記（１）〜（６）のいずれか１項に記載の情報処理装置。
（８）
前記判別部は、ユーザが所持する通信端末装置から取得した位置情報に基づいて、前記ユーザの位置が前記設定されている領域内であるか否かを判別する、前記（１）〜（７）のいずれか１項に記載の情報処理装置。
（９）
前記判別部は、ユーザが所持する通信端末装置からの電波強度を解析し、前記ユーザの位置が前記設定されている領域内であるか否かを判別する、前記（１）〜（７）のいずれか１項に記載の情報処理装置。
（１０）
前記判別部は、前記設定されている領域の境界付近で撮像された撮像画像の解析し、前記ユーザの位置が前記設定されている領域内であるか否かを判別する、前記（１）〜（７）のいずれか１項に記載の情報処理装置。
（１１）
前記判別部は、前記設定されている領域の出口で取得された退場者情報を参照し、前記ユーザの位置が前記設定されている領域内であるか否かを判別する、前記（１）〜（７）のいずれか１項に記載の情報処理装置。
（１２）
前記記憶制御部は、前記設定されている領域内に居る間の前記ユーザの行動履歴、購入履歴、飲食履歴、撮像データ、および録音データの少なくともいずれかを、前記ユーザ個人を特定可能なデータと対応付けて、前記ユーザのログとして、前記記憶部に記憶するよう制御する、前記（１）〜（１１）のいずれか１項に記載の情報処理装置。
（１３）
通信端末装置の現在位置に関する位置情報を検出する検出部と、
前記検出された位置情報が示す位置が、設定されている領域内であるか否かを判別する判別部と、
前記判別部により、前記位置情報が示す位置が前記設定されている領域内ではないと判別されたとき、情報処理装置に蓄積されているユーザのログのうち少なくともユーザ個人を特定できるデータの消去を指示する制御信号を、前記情報処理装置に対して送信するよう送信部を制御する送信制御部と、
を備える、通信端末装置。
（１４）
前記送信制御部は、時間的要素あるいは距離的要素を考慮して、前記データの消去を指示する制御信号の送信を実行する、前記（１３）に記載の通信端末装置。
（１５）
前記送信制御部は、前記位置情報が示す位置が、前記領域内から出て一定時間経過、あるいは前記領域内から出て一定距離離れたことが検出された場合、前記制御信号の送信を実行する、前記（１４）に記載の通信端末装置。
（１６）
ユーザのログを記憶部に記憶するよう制御する記憶制御部と、
通信端末装置の位置が設定されている領域内ではないと判別されたために前記通信端末装置から送信された、前記ユーザのログのうちの少なくともユーザ個人を特定できるデータの消去を指示する制御信号を受信する受信部と、
前記受信した制御信号に応じて、前記記憶部に記憶される前記ユーザのログのうち前記ユーザ個人を特定できるデータを実質的に消去する消去制御部と、
を備える、情報処理装置。
（１７）
コンピュータを、
ユーザのログを記憶部に記憶するよう制御する記憶制御部と、
ユーザの位置が、設定されている領域内であるか否かを判別する判別部と、
前記判別部により前記ユーザの位置が領域内ではないと判別されたとき、前記記憶部に記憶される前記ユーザのログのうち少なくともユーザ個人を特定可能なデータを実質的に消去する消去制御部と、
として機能させるプログラムを記憶する記憶媒体。
（１８）
コンピュータを、
通信端末装置の現在位置に関する位置情報を検出する検出部と、
前記検出された位置情報が示す位置が、設定されている領域内であるか否かを判別する判別部と、
前記判別部により、前記位置情報が示す位置が前記設定されている領域内ではないと判別されたとき、情報処理装置に蓄積されているユーザのログのうち少なくともユーザ個人を特定できるデータの消去を指示する制御信号を、前記情報処理装置に対して送信するよう送信部を制御する送信制御部と、
として機能させるプログラムを記憶する記憶媒体。
【符号の説明】
【０１３０】
１、１０    管理サーバ（情報処理装置）
２    ユーザ
３Ａ〜３Ｃ    カメラ
１２、１３    通信部
１００、３００    主制御部
１１０、３１０    記憶制御部
１２０    判別部
１３０、３３０    消去制御部
１４    ログＤＢ
２０    ユーザ端末
２２    通信部
２３    ＧＰＳ測位部
２００    主制御部
２１０    検出部
２２０    判別部
２３０    送信制御部
５    自動車（情報処理装置）
５２    コンテンツ取得部
５３    車内カメラ
５４    ログＤＢ
５５    表示操作部
５６    走行系
５６１    ハンドル
５６３    ブレーキ
５６５    アクセル
５６７    アクチュエータ
５７    ＧＰＳ測位部
５８    車外設置系
５８１    車外カメラ
５８２    ライト
５８３    ホーン
Ｐ１、Ｐ２    領域
【図１】
2014126912.tif 000003
【図２】
2014126912.tif 000004
【図３】
2014126912.tif 000005
【図４】
2014126912.tif 000006
【図５】
2014126912.tif 000007
【図６】
2014126912.tif 000008
【図７】
2014126912.tif 000009
【図８】
2014126912.tif 000010
【図９】
2014126912.tif 000011
【図１０】
2014126912.tif 000012