(57)【要約】【課題】個人情報を含むデータをサーバ（例えばクラウド上のサーバ）に集約し、集約されたデータを分析処理に供する場合に、個人情報の漏洩を防止するとともにその分析結果を閲覧し得る技術を提供する。【解決手段】画像形成装置１０ａ，１０ｂの利用履歴はログメッセージとして管理サーバ１２ａ，１２ｂに送信される。管理サーバ１２ａ，１２ｂは、ログメッセージに個人情報が含まれている場合に、個人情報を隠蔽処理した上でクラウドサーバ１４に送信して集約する。分析装置１６で分析した結果は、クラウドサーバ１４から端末１８に提供され、個人情報を復元するための情報は管理サーバ１２ａ，１２ｂから端末に提供される。【選択図】図２
2019021055.tif 000002
【特許請求の範囲】
【請求項１】
装置の利用履歴データに個人情報が含まれている場合に、前記個人情報を隠蔽処理してサーバに転送する転送手段と、
前記利用履歴データの分析データが端末に送信された場合に、前記分析データに含まれる隠蔽された前記個人情報を復元するための復元情報を前記端末に送信する送信手段と、
を備える管理サーバ。
【請求項２】
前記分析データは、前記端末からの要求に応じて前記サーバから前記端末に送信される
請求項１に記載の管理サーバ。
【請求項３】
前記送信手段は、前記サーバからの要求に応じて前記復元情報を前記端末に送信する
請求項２に記載の管理サーバ。
【請求項４】
前記送信手段は、前記端末からの要求に応じて前記復元情報を前記端末に送信する
請求項２に記載の管理サーバ。
【請求項５】
前記端末からの要求に応じて前記サーバから前記分析データを取得して前記端末に送信する分析データ送信手段
を備える請求項１に記載の管理サーバ。
【請求項６】
前記送信手段は、前記端末からの要求に応じて前記復元情報を前記端末に送信する
請求項５に記載の管理サーバ。
【請求項７】
前記転送手段は、前記利用履歴データをさらにフォーマット変換する
請求項１〜６のいずれかに記載の管理サーバ。
【請求項８】
前記個人情報は、前記装置の利用者のＩＤ、住所、年齢の少なくともいずれかを含む
請求項１〜７のいずれかに記載の管理サーバ。
【請求項９】
装置から利用履歴データを取得する管理サーバと、
前記管理サーバから転送される前記利用履歴データを記憶するサーバと、
端末と、
を備え、
前記管理サーバは、
前記利用履歴データに個人情報が含まれている場合に、前記個人情報を隠蔽処理して前記サーバに転送する転送手段と、
前記利用履歴データの分析データが前記端末に送信された場合に、前記分析データに含まれる隠蔽された前記個人情報を復元するための復元情報を前記端末に送信する送信手段と、
を備えるデータ閲覧システム。
【請求項１０】
前記管理サーバは複数設けられ、
前記複数の管理サーバの前記転送手段は、同一方法で前記個人情報を隠蔽処理する
請求項９に記載の管理サーバ。
【請求項１１】
前記管理サーバは複数設けられ、
前記複数の管理サーバの前記転送手段は、それぞれ異なる方法で前記個人情報を隠蔽処理する
請求項９に記載の管理サーバ。
【請求項１２】
コンピュータに、
装置の利用履歴データを受信するステップと、
前記利用履歴データに個人情報が含まれている場合に、前記個人情報を隠蔽処理するステップと、
隠蔽処理された利用履歴データをサーバに転送するステップと、
前記利用履歴データの分析データが端末に送信された場合に、前記分析データに含まれる隠蔽された前記個人情報を復元するための復元情報を前記端末に送信するステップと、
を実行させるプログラム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、管理サーバ、データ閲覧システム及びプログラムに関する。  
【背景技術】
【０００２】
特許文献１には、複数のサーバに蓄積されたアクセスログを安全に管理し、検索する人の立場に応じて簡単に閲覧できるようにするアクセス履歴提供システムが記載されている。
【０００３】
アクセス履歴提供サービスサーバは、各サーバからアクセスログを収集するアクセスログ収集部と、アクセスログに含まれる仮名とサーバ識別子と、自サーバのサーバ識別子とに基づいて連携サーバから自サーバにおけるユーザの仮名を取得し、取得した仮名に対応する自サーバのユーザ識別子と、アクセスログを収集したデータサーバのユーザ識別子およびサーバ識別子とを対応付けて登録し、アクセスログに自サーバのユーザ識別子を追加してアクセス履歴ログへ変換し、アクセス履歴ログに対するアクセス権限を自サーバのユーザ識別子に付与するアクセスログ登録部と、当該サーバにログインするユーザ識別子をもとにアクセス履歴ログを検索するアクセス履歴ログ検索部を有することが記載されている。
【先行技術文献】
【特許文献】
【０００４】
【特許文献１】特許第５５９３３７０号
【発明の概要】
【発明が解決しようとする課題】
【０００５】
アクセス履歴提供サーバが安全な環境内に構築されている場合はともかく、利便性等を考慮してクラウド上に構築する場合には、アクセス履歴がクラウド上に保存されることになるため、セキュリティリスクが生じ得る。このことは、アクセス履歴のみならず氏名等の個人情報全般に当てはまる。
【０００６】
本発明の目的は、個人情報を含むデータをサーバ（例えばクラウド上のサーバ）に集約し、集約されたデータを分析処理に供する場合に、個人情報の漏洩を防止するとともにその分析結果を閲覧し得る技術を提供することにある。
【課題を解決するための手段】
【０００７】
請求項１に記載の発明は、装置の利用履歴データに個人情報が含まれている場合に、前記個人情報を隠蔽処理してサーバに転送する転送手段と、前記利用履歴データの分析データが端末に送信された場合に、前記分析データに含まれる隠蔽された前記個人情報を復元するための復元情報を前記端末に送信する送信手段とを備える管理サーバである。
【０００８】
請求項２に記載の発明は、前記分析データは、前記端末からの要求に応じて前記サーバから前記端末に送信される請求項１に記載の管理サーバである。
【０００９】
請求項３に記載の発明は、前記送信手段は、前記サーバからの要求に応じて前記復元情報を前記端末に送信する請求項２に記載の管理サーバである。
【００１０】
請求項４に記載の発明は、前記送信手段は、前記端末からの要求に応じて前記復元情報を前記端末に送信する請求項２に記載の管理サーバである。
【００１１】
請求項５に記載の発明は、前記端末からの要求に応じて前記サーバから前記分析データを取得して前記端末に送信する分析データ送信手段を備える請求項１に記載の管理サーバである。
【００１２】
請求項６に記載の発明は、前記送信手段は、前記端末からの要求に応じて前記復元情報を前記端末に送信する請求項５に記載の管理サーバである。
【００１３】
請求項７に記載の発明は、前記転送手段は、前記利用履歴データをさらにフォーマット変換する請求項１〜６のいずれかに記載の管理サーバである。
【００１４】
請求項８に記載の発明は、前記個人情報は、前記装置の利用者のＩＤ、住所、年齢の少なくともいずれかを含む請求項１〜７のいずれかに記載の管理サーバである。
【００１５】
請求項９に記載の発明は、装置から利用履歴データを取得する管理サーバと、前記管理サーバから転送される前記利用履歴データを記憶するサーバと、端末とを備え、前記管理サーバは、前記利用履歴データに個人情報が含まれている場合に、前記個人情報を隠蔽処理して前記サーバに転送する転送手段と、前記利用履歴データの分析データが前記端末に送信された場合に、前記分析データに含まれる隠蔽された前記個人情報を復元するための復元情報を前記端末に送信する送信手段とを備えるデータ閲覧システムである。
【００１６】
請求項１０に記載の発明は、前記管理サーバは複数設けられ、前記複数の管理サーバの前記転送手段は、同一方法で前記個人情報を隠蔽処理する請求項９に記載の管理サーバである。
【００１７】
請求項１１に記載の発明は、前記管理サーバは複数設けられ、前記複数の管理サーバの前記転送手段は、それぞれ異なる方法で前記個人情報を隠蔽処理する請求項９に記載の管理サーバである。
【００１８】
請求項１２に記載の発明は、コンピュータに、装置の利用履歴データを受信するステップと、前記利用履歴データに個人情報が含まれている場合に、前記個人情報を隠蔽処理するステップと、隠蔽処理された利用履歴データをサーバに転送するステップと、前記利用履歴データの分析データが端末に送信された場合に、前記分析データに含まれる隠蔽された前記個人情報を復元するための復元情報を前記端末に送信するステップとを実行させるプログラムである。
【発明の効果】
【００１９】
請求項１，９，１２に記載の発明によれば、集約されたデータを分析処理に供する場合に、個人情報の漏洩を防止するとともにその分析データを閲覧し得る。
【００２０】
請求項２に記載の発明によれば、さらに、サーバから分析データを端末に提供し得る。
【００２１】
請求項３に記載の発明によれば、さらに、サーバからの要求により復元情報を端末に提供し得る。
【００２２】
請求項４に記載の発明によれば、さらに、端末からの要求により復元情報を端末に提供し得る。
【００２３】
請求項５に記載の発明によれば、さらに、管理サーバから分析データを端末に提供し得る。  
【００２４】
請求項６に記載の発明によれば、さらに、端末からの要求により復元情報を端末に提供し得る。
【００２５】
請求項７に記載の発明によれば、さらに、サーバでの分析処理が容易化され得る。
【００２６】
請求項８に記載の発明によれば、さらに、利用者のＩＤ、住所、年齢の少なくともいずれかの漏洩が防止される。
【００２７】
請求項１０に記載の発明によれば、さらに、複数の管理サーバで同一方法により隠蔽処理できる。
【００２８】
請求項１１に記載の発明によれば、さらに、複数の管理サーバでそれぞれ異なる方法により隠蔽処理できる。
【図面の簡単な説明】
【００２９】
【図１】実施形態のシステム構成図（その１）である。
【図２】実施形態のシステム構成図（その２）である。
【図３Ａ】実施形態の管理サーバの機能ブロック図である。
【図３Ｂ】実施形態の管理サーバの構成ブロック図である。
【図４】実施形態の処理フローチャート（その１）である。
【図５】実施形態の変換ルールの一例を示す説明図である。
【図６】実施形態のマスクルールの一例を示す説明図である。
【図７】実施形態の利用者情報の一例を示す説明図である。
【図８】実施形態の処理フローチャート（その２）である。
【図９】実施形態のログメッセージの一例を示す説明図である。
【図１０】実施形態のログ分析サービスに応じた出力例を示す説明図である。
【図１１】実施形態の処理フローチャート（その３）である。
【図１２】実施形態のログ分析サービスの分析結果例（マスク状態）を示す説明図である。
【図１３】実施形態のログ分析サービスの分析結果例（アンマスク状態）を示す説明図である。
【図１４】実施形態の他のマスクルール例を示す説明図である。
【図１５】実施形態の他のログ分析サービスの分析結果例（マスク状態）を示す説明図である。
【図１６】他の実施形態のシステム構成図である。
【発明を実施するための形態】
【００３０】
以下、図面に基づき本発明の実施形態について説明する。
【００３１】
＜実施形態１＞
図１は、実施形態におけるシステム構成図を示す。システムは、複数の画像形成装置１０ａ，１０ｂ、複数の管理サーバ１２ａ，１２ｂ、クラウドサーバ１４、及び分析装置１６を備える。
【００３２】
画像形成装置１０ａ，１０ｂは、コピー、ファックス、プリンタ、スキャナ等の複数の機能を備える複合機等であり、利用者は、画像形成装置１０ａ，１０ｂを用いてコピーやプリンタ機能等を操作して所望の画像を形成する。図では２台の画像形成装置１０ａ，１０ｂを示しているが、１台あるいは３台以上でもよい。利用者は、ＩＤやパスワードを入力しログインすることで画像形成装置１０ａ，１０ｂを利用する。
【００３３】
管理サーバ１２ａ，１２ｂは、画像形成装置１０ａ，１０ｂにおける利用履歴データを管理するサーバである。管理サーバ１２ａは、画像形成装置１０ａにおける利用履歴データを順次収集して管理する。管理サーバ１２ｂは、画像形成装置１０ｂにおける利用履歴データを順次収集して管理する。管理サーバ１２ａ，１２ｂは、収集した利用履歴データをクラウドサーバ１４に送信して集約するが、この際に、利用履歴データに含まれる個人情報がクラウド上に集約され、漏洩するおそれがあることを考慮して、個人情報について隠蔽処理（マスク）を実行してクラウドサーバ１４に転送する。
【００３４】
クラウドサーバ１４は、インターネット上に構築されたサーバコンピュータであり、管理サーバ１２ａ，１２ｂから転送された利用履歴データを受信して保存する。利用履歴データには個人情報が含まれているが、当該個人情報はマスク処理されている。クラウドサーバ１４は、集約した利用履歴データを用いて各種の統計処理や分析処理を実行する。あるいは、第３者（サードパーティ）の分析装置１６が集約された利用履歴データを用いて各種の統計処理や分析処理を実行し、統計処理や分析処理の結果をクラウドサーバ１４に送信する。サードパーティの分析装置１６が利用履歴データを用いて統計処理／分析処理を実行する場合でも、個人情報についてはマスク処理されているため外部漏洩のおそれはない。
【００３５】
図２は、実施形態におけるシステム構成図であり、クラウドサーバ１４に保存されている利用履歴データの統計処理／分析処理の結果を閲覧する場合のシステム構成である。
【００３６】
端末１８は、閲覧を希望する利用者が操作するパーソナルコンピュータ（ＰＣ）やタブレット、スマートフォン等の端末であり、クラウドサーバ１４にアクセスして統計処理／分析処理の結果を要求する。クラウドサーバ１４は、端末１８からの要求に応じて統計処理／分析処理の結果を端末１８に返信する。但し、統計処理／分析処理の結果は個人情報がマスク処理された状態であるため、利用性に欠ける場合もあり得る。例えば、利用者個人の利用状況を把握したい場合には個人情報を認識する必要があり得る。
【００３７】
そこで、管理サーバ１２ａ，１２ｂは、クラウドサーバ１４から端末１８に統計処理／分析処理の結果を返信することに関連付けて、個人情報のマスクを復元処理する（アンマスク）ための復元情報を端末１８に送信する。個人情報のマスク処理は、管理サーバ１２ａ，１２ｂで実行されるから、復元情報は、個人情報をマスク処理するためのマスクキーに対応するアンマスクキーであり、マスクキーを暗号キーとすると、アンマスクキーは復号キーに相当する。端末１８は、クラウドサーバ１４から返信された統計処理／分析処理の結果を管理サーバ１２ａ，１２ｂから受信した復元情報（復元キー）で処理し、マスク処理された個人情報をアンマスク処理して元の状態に復元して端末１８の画面上に表示する。利用者は、個人情報を認識しつつ、統計処理／分析処理の結果を閲覧できる。ここで、統計処理／分析処理の結果を返信することに関連付けて復元情報を送信するとは、統計処理／分析処理の結果を端末１８に返信したことをトリガとして、統計処理／分析処理の結果と同時に、あるいはその後に復元情報を送信することを意味する。
【００３８】
図３Ａは、管理サーバ１２ａの機能ブロック図を示す。管理サーバ１２ｂについても同様である。
【００３９】
管理サーバ１２ａは、機能ブロックとして、受信部１２１、ログメッセージ記憶部１２２、変換ルール記憶部１２３、ログメッセージマスク部１２５、マスクルール記憶部１２４、ログメッセージ転送部１２６、アンマスクキー記憶部１２７、及びアンマスクキー転送部１２８を備える。
【００４０】
受信部１２１は、画像形成装置１０ａでの利用履歴データ（以下、「ログメッセージ」という）を画像形成装置１０ａから受信する。受信タイミングは任意であり、画像形成装置１０ａが利用されたタイミングで逐次受信してもよく、一定期間内に累積されたログメッセージを所定タイミングで一括受信してもよい。
【００４１】
ログメッセージ記憶部１２２は、受信部１２１で受信したログメッセージを記憶する。
【００４２】
変換ルール記憶部１２３は、管理者が指定した変換ルールを記憶する。変換ルールは、クラウドサーバ１４あるいは分析装置１６において統計処理／分析処理に適したフォーマットに変換するルールである。
【００４３】
マスクルール記憶部１２４は、ログメッセージに個人情報が含まれる場合に、当該個人情報をマスク処理するためのルールを記憶する。マスクルールは、個人情報毎に異なり得る。例えば、個人情報が個人の氏名や住所、年齢である場合に、氏名、住所、年齢のマスクルールはそれぞれ異なり得る。勿論、全ての個人情報を一律のルールでマスク処理してもよい。マスクルール記憶部は、マスクルールとともに、当該ルールを実行するためのマスクキーを記憶する。マスクキーは、マスク処理前後の関係を規定するテーブル、あるいは関数である。
【００４４】
ログメッセージマスク部１２５は、ログメッセージのフォーマットを変換ルール記憶部１２３に記憶された変換ルールに従って変換するとともに、ログメッセージに含まれる個人情報をマスクルール記憶部１２４に記憶されたマスクルール及びマスクキーに従ってマスク処理する。
【００４５】
ログメッセージ転送部１２６は、個人情報がマスク処理されたログメッセージをクラウドサーバ１４に転送する。転送タイミングも任意である。ログメッセージマスク部１２５及びログメッセージ転送部１２６は、転送手段として機能する。
【００４６】
アンマスクキー記憶部１２７は、個人情報をアンマスクするためのアンマスクキーを記憶する。アンマスクキーは、マスクルール記憶部１２４に記憶されたマスクキーの逆演算キーである。
【００４７】
アンマスクキー転送部１２８は、送信手段として機能し、アンマスクキー記憶部１２７に記憶されたアンマスクキーを、マスク処理された個人情報を復元するために読み出して端末１８に転送する。
【００４８】
図３Ｂは、管理サーバ１２ａの構成ブロック図を示す。管理サーバ１２ｂについても同様である。
【００４９】
管理サーバ１２ａは、ＣＰＵ１２０１、ＲＯＭ１２０２、ＲＡＭ１２０３、入出力インターフェイス（Ｉ／Ｆ）１２０４、通信Ｉ／Ｆ１２０５、及びＨＤＤやＳＳＤ等のメモリ１２０６を備える。
【００５０】
ＣＰＵ１２０１は、ＲＯＭ１２０２やメモリ１２０６に記憶された処理プログラムを読み出し、ＲＡＭ１２０３をワーキングメモリとして用いて実行することで、各種機能を実現する。
【００５１】
入出力Ｉ／Ｆ１２０４は、キーボードやマウス等の入力装置、表示装置等の出力装置に接続され、各種データを入出力する。管理者は、キーボード等の装置を用いて変換ルールやマスクルール、マスクキー、アンマスクキーを入力する。
【００５２】
通信Ｉ／Ｆ１２０５は、専用回線やインターネットに接続され、画像形成装置１０ａ，１０ｂからのログメッセージを専用回線を介して受信し、変換ルールに従ってフォーマット変換され、個人情報がマスク処理されたログメッセージをインターネットを介してクラウドサーバ１４に送信する。さらに、通信Ｉ／Ｆ１２０５は、専用回線を介してアンマスクキーを端末１８に送信する。
【００５３】
メモリ１２０６は、ログメッセージを記憶するとともに、変換ルール、マスクルール、マスクキー及びアンマスクキーを記憶する。
【００５４】
ＣＰＵ１２０１は、処理プログラムを実行することで、画像形成装置１０ａ，１０ｂからのログメッセージを受信してメモリ１２０６に記憶する。また、ＣＰＵ１２０１は、入力された変換ルール、マスクルール、マスクキー、及びアンマスクキーをメモリ１２０６に記憶する。また、ＣＰＵ１２０１は、メモリ１２０６に記憶されたログメッセージを変換ルールに従ってフォーマット変換し、ログメッセージに個人情報が含まれているか否かを判定し、個人情報が含まれている場合に、マスクルール及びマスクキーに従って当該個人情報をマスク処理してメモリ１２０６に記憶する。また、ＣＰＵ１２０１は、個人情報がマスク処理されたログメッセージをメモリ１２０６から読み出してクラウドサーバ１４に転送する。さらに、ＣＰＵ１２０１は、メモリ１２０６からアンマスクキーを読み出して端末１８に転送する。アンマスクキーの転送のタイミングは、クラウドサーバ１４から統計処理／分析処理された結果が端末１８に送信されるタイミングに関連付けられる。すなわち、ＣＰＵ１２０１は図３Ａにおけるログメッセージマスク部１２５、ログメッセージ転送部１２６及びアンマスクキー転送部１２８として機能し、通信Ｉ／Ｆ１２０５は受信部１２１として機能し、メモリ１２０６はログメッセージ記憶部１２２、変換ルール記憶部１２３、マスクルール記憶部１２４及びアンマスクキー記憶部１２７として機能する。
【００５５】
なお、図３Ａに示す機能ブロックの一部は、プログラムの実行によるソフトウェア処理ではなく、ハードウェア処理により実現してもよい。ハードウェア処理は、例えばＡＳＩＣやＦＰＧＡ（フィールドプログラマブルゲートアレイ）等の回路を用いて行ってもよい。
【００５６】
図４は、実施形態の処理フローチャートであり、設定時の処理フローチャートである。
【００５７】
まず、管理者は、管理サーバ１２ａ，１２ｂからログメッセージを転送する先のクラウドサーバ１４を設定する（Ｓ１０１）。具体的には、クラウドサーバ１４の名称やＩＰアドレスを設定する。設定されたクラウドサーバ１４の情報は、メモリ１２０６に記憶される。
【００５８】
次に、ログ転送先に合わせたログメッセージの変換ルールを指定する（Ｓ１０２）。変換ルールは、ログメッセージ転送先のクラウドサーバ１４において、集約したログメッセージを統計処理／分析処理するのに好適なフォーマットに変換するためのルールである。なお、クラウドサーバ１４で統計処理／分析処理するのではなく、サードパーティの分析装置１６で統計処理／分析処理する場合には、当該サードパーティの分析装置１６における統計処理／分析処理するのに好適なフォーマットに変換するためのルールである。変換ルール（フォーマット変換ルール）は、変換ルール記憶部１２３に記憶される。
【００５９】
次に、管理者は、個人情報（セキュリティ情報）をマスク処理するためのルールを指定する（Ｓ１０３）。マスクルールは、マスクルール記憶部１２４に記憶される。マスクルールは、利用者（ユーザ）がマスクしたい全ての個人情報について設定する（Ｓ１０４）。
【００６０】
全ての個人情報についてマスクルールを設定した後、管理サーバ１２ａ，１２ｂについてマスクキーを設定する（Ｓ１０５）。すなわち、Ｓ１０３，Ｓ１０４で設定したマスクルールに従ってマスクするためのツールとしてのマスクキーを設定する。
【００６１】
マスクキーを設定する際には、管理サーバ１２ａ，１２ｂでマスクキーを共有する場合と、管理サーバ１２ａ，１２ｂで異なるマスクキーを用いる場合があり得る。前者の場合には管理サーバ１２ａ，１２ｂでマスクキーを共有してマスクルール記憶部１２４に記憶し、後者の場合には管理サーバ１２ａ，１２ｂ毎に異なるマスクキーをそれぞれのマスクルール記憶部１２４に記憶する（Ｓ１０６，Ｓ１０７，Ｓ１０８）。勿論、マスクキーをマスクルール記憶部１２４と異なる記憶部、例えばアンマスクキー記憶部１２７にマスクキーとアンマスクキーとをペアにして記憶してもよい。
【００６２】
図５は、変換ルールの一例を示す。項目として、
・日付
・ユーザ名
・年齢
・カラー枚数
・白黒枚数
が規定される。また、それぞれの項目において書き込む情報は、
・日付：Date Time
・ユーザ名：User
・年齢：Userのユーザ情報よりAgeの情報を取得
・カラー枚数：color pages
・白黒枚数：monochrome Pages
である。ここで、Userは画像形成装置１０ａ，１０ｂを利用した利用者のＩＤである。
【００６３】
図６は、個人情報のマスクルールの一例を示す。個人情報として、
・User
・Age
・Town
が規定される。すなわち、画像形成装置１０ａ，１０ｂを利用する利用者（ユーザ）のＩＤ、年齢、住所である。各個人情報についてのマスクルールは、
・User：マスクするＩＤで置換する。例えばＧＵＩＤ(Globally Unique Identifier)で置換する
・Age：１０歳毎の年代別に変換する
・Town：地域情報は県までとする。例えば、「日本国神奈川県」等
である。
【００６４】
各マスクルールを実行するためのマスクキーとしては、例えばUserについてはＩＤとＧＵＩＤの対応関係を規定するテーブルを用いる、Ageについては１０歳毎に変換するための関数を用いる、Townについては県より下位の詳細住所については削除する関数を用いる等である。
【００６５】
Userのマスク処理を例示すると、例えば、
XX12345
なるＩＤは、
XX12345→{973497A4-9B00-4048-94C3-9766233A6E02}
等とＧＵＩＤに変換されてマスク処理される。
【００６６】
管理サーバ１２ａ，１２ｂ毎に異なるマスクキーを用いる場合には、例えば各管理サーバの名称を添字に付加してマスク処理してもよい。具体的には、管理サーバ１２ａでは、
XX12345→Sever1-{973497A4-9B00-4048-94C3-9766233A6E02}
とマスク処理し、管理サーバ１２ｂでは、
XX12345→Server2-{973497A4-9B00-4048-94C3-9766233A6E02}
とマスク処理する等である。
【００６７】
図７は、画像形成装置１０ａ，１０ｂを利用する利用者のユーザ情報の一例を示す。ユーザ情報の項目は、
・User
・Age
・Town
・Name
である。Userは、利用者のＩＤであり、Ageは利用者の年齢、Townは利用者の住所、Nameは利用者の名前である。ユーザ情報は、予め画像形成装置１０ａ，１０ｂに登録されており、利用者が画像形成装置１０ａ，１０ｂにログインして利用する際の認証に用いられる。認証サーバが別途設けられている場合には、当該認証サーバにユーザ情報が登録され得る。
【００６８】
図８は、実施形態の処理フローチャートであり、利用者が画像形成装置１０ａ，１０ｂを利用してログが発生した後の処理である。
【００６９】
画像形成装置１０ａ，１０ｂにおいてログを記憶するイベントが発生すると（Ｓ２０１）、画像形成装置１０ａ，１０ｂは、当該イベントについてのログメッセージを作成して（Ｓ２０２）、管理サーバ１２ａ，１２ｂのログメッセージ記憶部１２２に書き込む（Ｓ２０３）。ログメッセージには、イベントの日付、利用者ＩＤ、操作等が含まれる。利用者ＩＤは、利用者が画像形成装置１０ａ，１０ｂを操作するためのログインする際に入力される。顔認証等でログインする場合には、顔認証した利用者に関連する利用者ＩＤがユーザ情報から取得され得る。
【００７０】
管理サーバ１２ａ，１２ｂのＣＰＵ１２０１は、ログメッセージ記憶部１２２に書き込まれたログメッセージに個人情報（セキュリティ情報）が含まれているか否かを判定する（Ｓ２０４）。個人情報が含まれている場合（Ｓ２０４でＹＥＳ）、ＣＰＵ１２０１は、変換ルールに従っているログメッセージをマスク処理する（Ｓ２０５）。すなわち、ログメッセージ記憶部１２２に記憶されているログメッセージを、変換ルール記憶部１２３に記憶されている変換ルールに従ってフォーマット変換した上で個人情報部分をマスク処理する。そして、マスク処理したログメッセージを転送用のログファイルに書き込む（Ｓ２０６）。
【００７１】
他方、ログメッセージに個人情報が含まれていない場合には、ＣＰＵ１２０１は、マスク処理を実行することなく転送用のログファイルに書き込む。なお、この場合も変換ルールに従ってフォーマット変換した上で転送用のログファイルに書き込む。
【００７２】
次に、ＣＰＵ１２０１は、ログ転送先のクラウドサーバ１４を認証処理し（Ｓ２０７）、個人情報がマスク処理されたログメッセージをクラウドサーバ１４に転送する（Ｓ２０８）。
【００７３】
ログメッセージのクラウドサーバ１４への転送は、
（１）ある一定サイズのログメッセージが蓄積されたタイミング
（２）１日毎、１時間毎等、所定の時間間隔のタイミング
（３）ログを記録するイベント発生のタイミング
のいずれかで実行し得る。
【００７４】
図９は、画像形成装置１０ａ，１０ｂで形成されるログメッセージの一例を示す。ログメッセージの項目は、
・日付（Date Time）
・利用者ＩＤ(User)
・操作内容（Operation）
・カラー枚数(Color Pages)
・白黒枚数（Monochrome Pages）
等である。例えば、利用者が画像形成装置１０ａを操作してカラー５頁分をプリントした場合、
・日付：2017-04-08 T05:30:00Z
・利用者ＩＤ：XX12345
・操作内容：プリント
・カラー枚数：５
・白黒枚数：０
等である。利用者ＩＤは、既述したように利用者ログイン時のＩＤである。
【００７５】
なお、図９に示すログメッセージには利用者の年齢（Age）が含まれていない。従って、変換ルールが図５に示すような変換ルールの場合、すなわち、
・日付
・ユーザ名
・年齢
・カラー枚数
・白黒枚数
の場合、管理サーバ１２ａ，１２ｂのＣＰＵ１２０１は、利用者のユーザ情報から年齢（Age）の情報を取得してログメッセージをフォーマット変換する。画像形成装置１０ａ，１０ｂにユーザ情報が登録されていれば、管理サーバ１２ａ，１２ｂのＣＰＵ１２０１はこれらの情報を取得し、認証サーバに登録されていればＣＰＵ１２０１は認証サーバから取得する。
【００７６】
図１０は、ログメッセージを変換ルールに従ってフォーマット変換し、かつ、個人情報についてマスク処理した結果の一例を示す。変換ルールに含まれる
・日付
・ユーザ名
・年齢
・カラー枚数
・白黒枚数
のうち、個人情報はユーザ名及び年齢であるから、ＣＰＵ１２０１は、これらの項目についてそれぞれマスクルールに従ってマスク処理する。例えば、図６に示すようなマスクルールの場合、ユーザ名についてはＧＵＩＤに変換し、年齢については１０歳毎の年代別に変換する。従って、ユーザ名が
XX12345
であり、年齢が
２４
である場合、ユーザ名については
XX12345→{973497A4-9B00-4048-94C3-9766233A6E02}
とマスク処理され、年齢については
２４→２０
とマスク処理される。日付、カラー枚数、白黒枚数については個人情報（セキュリティ情報）でないためマスク処理されない。図１０に示すログメッセージがクラウドサーバ１４に転送され保存される。クラウドサーバ１４あるいはサードパーティの分析装置１６は、このようなログメッセージ群に対して統計処理／分析処理を実行し、その分析結果を保存して端末１８からの利用に供する。
【００７７】
図１１は、実施形態の処理フローチャートであり、統計処理／分析処理の結果（以下、「分析データ」と称する）の閲覧処理である。
【００７８】
利用者は、端末１８を操作してログ転送先のクラウドサーバ１４にアクセスして認証する（Ｓ３０１）。クラウドサーバ１４において、分析データを閲覧する正当な権限を有する利用者であることが認証されると、端末１８は、クラウドサーバ１４から分析データをダウンロードする（Ｓ３０２）。
【００７９】
次に、利用者は、端末１８を操作して分析データの変換ルールファイルを指定し（Ｓ３０３）、マスクを解除するためのアンマスクキーを取得する（Ｓ３０４）。変換ルールファイルの指定は必須ではなく、現在のフォーマットのまま閲覧してもよい。利用者が変換ルールファイルを指定した場合、この変換ルールに従ってフォーマット変換する。また、Ｓ３０４では、端末１８からクラウドサーバ１４にアンマスクキー取得の要求が送信され、クラウドサーバ１４は、この要求に応じて管理サーバ１２ａ，１２ｂに対してアンマスクキーの端末１８への送信要求を出力する。管理サーバ１２ａ，１２ｂのＣＰＵ１２０１は、クラウドサーバ１４からの要求に応じてアンマスクキーを端末１８に送信する。なお、管理サーバ１２ａ，１２ｂでマスクキーを共有している場合には、アンマスクキーも共有されることになるから、管理サーバ１２ａ，１２ｂのいずれかからアンマスクキーを端末１８に送信すればよい。また、Ｓ３０４では、端末１８から管理サーバ１２ａ，１２ｂに対してアンマスクキーの送信を要求してもよい。
【００８０】
より詳細には以下の通りである。端末１８のＣＰＵがクラウドサーバ１４から分析データを受信すると、ＣＰＵは、分析データに含まれるマスク情報からどの管理サーバ１２ａ，１２ｂでマスク処理されたものであるかを特定し、特定した管理サーバ１２ａ、１２ｂに対してアンマスクキーを要求する。管理サーバ１２ａ，１２ｂのＣＰＵ１２０１は、端末１８からの要求に応じてアンマスクキーを端末１８に返信する。
【００８１】
管理サーバ１２ａ，１２ｂからアンマスクキーを取得すると、端末１８のＣＰＵは取得したアンマスクキーを用いて分析データをアンマスク処理して元の個人情報を復元し（Ｓ３０５）、端末１８の画面に分析結果を表示する（Ｓ３０６）。
【００８２】
図１２は、クラウドサーバ１４あるいは分析装置１６で分析して得られた分析データの一例を示す。あるユーザの月毎のカラー枚数及び白黒枚数の統計処理結果である。ユーザ名については既述したようにＧＵＩＤでマスク処理されている。
【００８３】
図１３は、管理サーバ１２ａ，１２ｂから取得したアンマスクキーを用いてユーザ名をアンマスクした結果を示す。ユーザ名について、
{973497A4-9B00-4048-94C3-9766233A6E02} →XX12345
とアンマスク処理され、元のユーザＩＤが復元されている。
【００８４】
図１４は、Ｓ３０３で利用者が指定する変換ルールファイルの一例を示す。ユーザ名をアンマスク処理する際に、ユーザ情報からカッコでNameを取得するルールである。これは、図７に示すユーザ情報に対応するものであり、ユーザ情報にはNameが含まれており、これを取得するルールである。
【００８５】
図１５は、図１４に示す変換ルールを適用した場合のアンマスク処理された分析データの一例を示す。図１３に示す分析データに加え、ユーザ名としてカッコでNameが付加されている。
【００８６】
このように、本実施形態では、ログメッセージに含まれる個人情報をマスク処理した上でクラウドサーバ１４に集約し、個人情報をマスク処理されたログメッセージ群に対して統計処理／分析処理を実行してその結果を端末１８に提供し、かつ、個人情報をマスク処理した管理サーバ１２ａ，１２ｂからアンマスクキーを取得して個人情報をアンマスク処理して分析データを閲覧可能とすることで、個人情報の漏洩を防止するとともに分析結果を適切に（個人情報を認識し得る状態で）閲覧し得る。
【００８７】
＜実施形態２＞
実施形態１では、端末１８からクラウドサーバ１４に対して分析データの閲覧要求を送信しているが、クラウドサーバ１４ではなく管理サーバ１２ａ，１２ｂのいずれかに分析データの閲覧要求を送信してもよい。
【００８８】
図１６は、本実施形態のシステム構成図を示す。本実施形態においても、実施形態１と同様に、管理サーバ１２ａ，１２ｂで個人情報をマスク処理した上でログメッセージをクラウドサーバ１４に集約し、クラウドサーバ１４あるいは分析装置１６で統計処理／分析処理を実行し、その結果をクラウドサーバ１４で保存しているものとする。
【００８９】
利用者は、端末１８を操作して管理サーバ１２ａ，１２ｂのいずれか、例えば図１６に示すように管理サーバ１２ｂに対して分析データの閲覧を要求する。
【００９０】
管理サーバ１２ｂのＣＰＵ１２０１は、この要求に応じてクラウドサーバ１４にアクセスし、分析データの送信を要求する。クラウドサーバ１４は、利用者の認証を行って正当な権限がある場合に分析データを管理サーバ１２ｂに送信し、管理サーバ１２ｂのＣＰＵ１２０１は取得した分析データを端末１８に返信する。管理サーバ１２ｂのＣＰＵ１２０１は、分析データ送信手段として機能する。また、管理サーバ１２ｂのＣＰＵ１２０１は、分析データとともにアンマスクキーを端末１８に返信する。管理サーバ１２ａ，１２ｂにおけるマスクデータがそれぞれ異なる場合には、管理サーバ１２ｂは管理サーバ１２ａにアクセスしてアンマスクキーを取得し、自己のアンマスクキーとともに端末１８に返信する。
【００９１】
この構成によっても、ログメッセージに含まれる個人情報をマスク処理した上でクラウドサーバ１４に集約し、個人情報をマスク処理されたログメッセージ群に対して統計処理／分析処理を実行してその結果を端末１８に提供し、かつ、個人情報をマスク処理した管理サーバ１２ａ，１２ｂからアンマスクキーを取得して個人情報をアンマスク処理して分析データを閲覧可能とすることで、個人情報の漏洩を防止するとともに分析結果を適切に（個人情報を認識し得る状態で）閲覧し得る。
【００９２】
以上、本発明の実施形態について説明したが、本発明はこれらの実施形態に限定されるものではなく、種々の変形が可能である。以下、変形例について説明する。
【００９３】
＜変形例１＞
実施形態では、画像形成装置１０ａ，１０ｂでログメッセージを作成して管理サーバ１２ａ，１２ｂに送信し、管理サーバ１２ａ，１２ｂでログメッセージに含まれる個人情報をマスク処理した上でクラウドサーバ１４に集約しているが、画像形成装置１０ａ，１０ｂでログメッセージを作成するとともに個人情報についてマスク処理した上で（管理サーバ１２ａ，１２ｂを経由することなく）クラウドサーバ１４に集約してもよい。この場合、画像形成装置１０ａ，１０ｂに管理サーバ１２ａ，１２ｂの機能が付加されるといえる。端末１８は、クラウドサーバ１４に対して分析データを取得するとともに、画像形成装置１０ａ，１０ｂから個人情報をアンマスク処理するためのアンマスクキーを取得すればよい。
【００９４】
＜変形例２＞
実施形態では、管理サーバ１２ａ，１２ｂからアンマスクキーを端末１８に送信し、端末１８でアンマスクキーを用いて個人情報をアンマスク処理して元の個人情報を復元しているが、閲覧する利用者の権限に応じてアンマスク処理できる個人情報を制限してもよい。例えば、特別な権限を有する利用者に対しては全ての個人情報をアンマスク処理すべく全てのアンマスクキーを端末１８に送信し、特別な権限を有しない利用者に対しては個人情報のうち年齢と住所についてはアンマスク処理すべく対応するアンマスクキーを端末１８に送信し、ユーザ名についてはアンマスク処理を許可しない等である。
【００９５】
＜変形例３＞
実施形態において、管理サーバ１２ａ，１２ｂ毎にマスクキーが異なる場合には、ログメッセージをマスクする際にどの管理サーバでマスク処理したのか識別し得る情報を個人情報のメタデータとして付加してもよい。分析データを取得して個人情報をアンマスク処理する場合、端末１８は個人情報のメタデータからどの管理サーバでマスク処理されたものかを特定し、特定した管理サーバに対してアンマスクキーの送信を要求してもよい。
【００９６】
＜変形例４＞
実施形態では、画像形成装置１０ａ，１０ｂを例示しているが、これ以外にも利用者が操作し得る任意の装置に適用し得る。例えば、ＰＣの利用履歴（Ｗｅｂページの閲覧先を含む）をログメッセージとして管理サーバ１２ａ，１２ｂに送信し、クラウドサーバ１４に集約して分析処理に供する等である。
【００９７】
＜変形例５＞
実施形態では、管理サーバ１２ａ，１２ｂで異なるマスクキーで個人情報をマスク処理する方法として、各サーバの名称を添字に加えてマスク処理する例を示したが、これ以外にも、管理サーバ１２ａ，１２ｂで異なる変換テーブルを用いる、あるいは異なる暗号キーを用いる等も可能である。管理サーバ１２ａ，１２ｂで処理する個人情報にレベル差が存在する場合、当該レベル差に応じてマスク処理する程度を変えてもよい。
【００９８】
＜変形例６＞
実施形態では、ログメッセージを集約するサーバとしてクラウドサーバ１４を例示したが、個人情報漏洩防止の必要性が高い環境下に構築された任意のサーバに適用し得る。
【符号の説明】
【００９９】
１０ａ，１０ｂ  画像形成装置、１２ａ，１２ｂ  管理サーバ、１４  クラウドサーバ、１６  分析装置、１８  端末。
【図１】
2019021055.tif 000003
【図２】
2019021055.tif 000004
【図３Ａ】
2019021055.tif 000005
【図３Ｂ】
2019021055.tif 000006
【図４】
2019021055.tif 000007
【図５】
2019021055.tif 000008
【図６】
2019021055.tif 000009
【図７】
2019021055.tif 000010
【図８】
2019021055.tif 000011
【図９】
2019021055.tif 000012
【図１０】
2019021055.tif 000013
【図１１】
2019021055.tif 000014
【図１２】
2019021055.tif 000015
【図１３】
2019021055.tif 000016
【図１４】
2019021055.tif 000017
【図１５】
2019021055.tif 000018
【図１６】
2019021055.tif 000019