(57)【特許請求の範囲】
【請求項１】
１以上の情報処理装置を含む情報処理システムであって、
コンピュータの利用に関する履歴情報に含まれているユーザごとの識別情報を、各ユーザの識別情報に関連付けられて記憶部に記憶されている各ユーザの属性情報が所定の単位で分類されることで形成される集合ごとの識別情報に置換する置換部と、
前記記憶部に記憶されている各ユーザの属性情報を変更する変更部とを備え、
前記置換部は、前記変更部による変更が行われると、前記記憶部に記憶されている各属性情報が前記所定の単位で分類されることで形成される集合のうち、属する属性情報の数が所定数以下である集合の有無を判定し、該当する集合が有れば、前記所定の単位を変更する、
ことを特徴とする情報処理システム。
【請求項２】
前記履歴情報及び前記各ユーザの属性情報は、前記各ユーザが属する組織を示す情報を含み、
前記置換部は、前記記憶部に記憶されている各属性情報が前記組織ごとに前記所定の単位で分類されることで形成される集合のうち、属する属性情報の数が所定数以下である集合の有無を判定する、
ことを特徴とする請求項１記載の情報処理システム。
【請求項３】
前記置換部は、前記記憶部に記憶されている各属性情報が前記組織ごとに前記所定の単位で分類されることで形成される集合のうち、属する属性情報の数が所定数以下である組織に係る履歴情報に関して前記所定の単位を変更する、
ことを特徴とする請求項２記載の情報処理システム。
【請求項４】
前記属性情報は、ユーザの年齢を含み、
前記置換部は、前記履歴情報に含まれているユーザごとの識別情報を、各ユーザの年齢が所定の単位で分類されることで形成される集合ごとの識別情報に置換する、
ことを特徴とする請求項１又は２記載の情報処理システム。
【請求項５】
コンピュータの利用に関する履歴情報に含まれているユーザごとの識別情報を、各ユーザの識別情報に関連付けられて記憶部に記憶されている各ユーザの属性情報が所定の単位で分類されることで形成される集合ごとの識別情報に置換する置換部と、
前記記憶部に記憶されている各ユーザの属性情報を変更する変更部とを備え、
前記置換部は、前記変更部による変更が行われると、前記記憶部に記憶されている各属性情報が前記所定の単位で分類されることで形成される集合のうち、属する属性情報の数が所定数以下である集合の有無を判定し、該当する集合が有れば、前記所定の単位を変更する、
ことを特徴とする情報処理装置。
【請求項６】
情報処理装置に、
コンピュータの利用に関する履歴情報に含まれているユーザごとの識別情報を、各ユーザの識別情報に関連付けられて記憶部に記憶されている各ユーザの属性情報が所定の単位で分類されることで形成される集合ごとの識別情報に置換する置換手順と、
前記記憶部に記憶されている各ユーザの属性情報を変更する変更手順とを実行させ、
前記置換手順は、前記変更手順における変更が行われると、前記記憶部に記憶されている各属性情報が前記所定の単位で分類されることで形成される集合のうち、属する属性情報の数が所定数以下である集合の有無を判定し、該当する集合が有れば、前記所定の単位を変更する、
ことを特徴とするプログラム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、情報処理システム、情報処理装置、及びプログラムに関する。
【背景技術】
【０００２】
オフィスにおいて利用される画像形成装置等の機器と、インターネット等を介して機器に接続される１以上のコンピュータ（以下、単に「サーバ」という。）との連携によって実現されるクラウドサービスが提供されている。例えば、画像形成装置が、原稿から画像データをスキャンして、当該画像データをサーバに転送し、サーバが、当該画像データに関する画像処理や、当該画像データを所定のストレージに保存するといったサービスが提供されている。
【０００３】
上記のサーバには、複数の企業におけるサービスの利用に関する履歴情報が蓄積される。斯かる履歴情報は、どのようなユーザがいつどのようなサービスを利用したのかを示すものであり、このような履歴情報の分析することで、例えば、マーケティング活動等における有用な資料の獲得を期待することができる。
【発明の概要】
【発明が解決しようとする課題】
【０００４】
しかしながら、履歴情報に基づいて各ユーザの行動が特定されてしまうのは、プライバシーの保護の観点から好ましくない。但し、履歴情報からユーザに関する情報を完全に除去してしまっては、履歴情報の分析によって有用な情報が得られる可能性が低下してしまう。
【０００５】
本発明は、上記の点に鑑みてなされたものであって、コンピュータの利用に関する履歴情報とユーザとの関連性を適切に低下させることを目的とする。
【課題を解決するための手段】
【０００６】
そこで上記課題を解決するため、１以上の情報処理装置を含む情報処理システムは、コンピュータの利用に関する履歴情報に含まれているユーザごとの識別情報を、各ユーザの識別情報に関連付けられて記憶部に記憶されている各ユーザの属性情報が所定の単位で分類されることで形成される集合ごとの識別情報に置換する置換部と、前記記憶部に記憶されている各ユーザの属性情報を変更する変更部とを備え、前記置換部は、前記変更部による変更が行われると、前記記憶部に記憶されている各属性情報が前記所定の単位で分類されることで形成される集合のうち、属する属性情報の数が所定数以下である集合の有無を判定し、該当する集合が有れば、前記所定の単位を変更する。
【発明の効果】
【０００７】
コンピュータの利用に関する履歴情報とユーザとの関連性を適切に低下させることができる。
【図面の簡単な説明】
【０００８】
【図１】本発明の実施の形態のクラウドサービスシステムと機器との関係を説明するための図である。
【図２】本発明の実施の形態におけるクラウドサービスシステムを構成する各コンピュータのハードウェア構成例を示す図である。
【図３】本発明の実施の形態におけるクラウドサービスシステムの機能構成例を示す図である。
【図４】ログデータに関して実行される処理手順の一例を説明するためのシーケンス図である。
【図５】ログデータの構成例を示す図である。
【図６】ユーザ情報記憶部に記憶されているユーザ情報の一例を示す図である。
【図７】匿名化されたログデータの一例を示す図である。
【図８】変更後のユーザ情報の一例を示す図である。
【図９】変更後の分類単位に基づくログデータの匿名化の一例を示す図である。
【発明を実施するための形態】
【０００９】
以下、図面に基づいて本発明の実施の形態を説明する。図１は、本発明の実施の形態のクラウドサービスシステムと機器との関係を説明するための図である。図１において、クラウドサービスシステム１と、機器利用環境２ａ、２ｂ、又は２ｃにおける各機器とは、インターネットに代表されるＷＡＮ（Wide Area Network）等のネットワークＮ１によって通信可能に接続されている。
【００１０】
機器利用環境２ａ、２ｂ、又は２ｃ（以下、それぞれを区別しない場合「機器利用環境２」という。）は、クラウドサービスシステム１によって提供されるサービスと連携可能な機器が利用される環境である。機器利用環境２の一例として、クラウドサービスシステム１が提供するサービスの顧客である企業等の組織におけるシステム環境等が挙げられる。例えば、機器利用環境２は、或る企業のオフィスでもよい。本実施の形態において、機器利用環境２ａ、２ｂ、２ｃは、それぞれ、顧客ａ、顧客ｂ、顧客ｃのシステム環境であるとする。
【００１１】
機器利用環境２ａは、ＭＦＰ２０ａ１及びプロジェクタ２０ａ２等の機器を含む。機器利用環境２ｂは、ＴＶ会議用機器２０ｂ１及びＴＶ会議用機器２０ｂ２等の機器を含む。機器利用環境２ｃは、ＭＦＰ２０ｃ１及び電子黒板２０ｃ２等の機器を含む。
【００１２】
ＭＦＰ２０ａ１及び２０ｃ１は、複合機（ＭＦＰ（Multifunction Peripheral））である。スキャナ又はプリンタ等、他の画像形成装置が、ＭＦＰ２０ａ１又は２０ｃ１の代わりに利用されてもよい。プロジェクタ２０ａ２は、プロジェクタ、すなわち、画像データを投影する機器である。ＴＶ会議用機器２０ｂ１及び２０ｂ２は、テレビ会議に利用される機器である。電子黒板２０ｃ２は、描画された内容を電子化することが可能なホワイトボードである。なお、図１に示される機器以外の機器に関して、本実施の形態が適用されてもよい。
【００１３】
各機器には、クラウドサービスと連携するためのアプリケーションプログラムがインストール（導入又は搭載）されている。例えば、ＭＦＰ２０ａ１は、アプリＡ及びアプリＢを有する。プロジェクタ２０ａ２は、アプリＥを有する。ＴＶ会議用機器２０ｂ１及び２０ｂ２は、それぞれアプリＧを有する。ＭＦＰ２０ｃ１は、アプリＡ及びアプリＣを有する。以下、これらのアプリケーションプログラムを区別しない場合、「機器アプリ」という。
【００１４】
各機器にインストール可能な機器アプリは、各機器利用環境２（すなわち、各顧客）と、クラウドサービスシステム１を運営する組織（以下、「サービス提供者」という。）との間で機器ごとに締結される契約に依存する。すなわち、各機器利用環境２は、サービス提供者との間で、機器ごとに、当該機器を介して利用したいサービスの利用契約を結ぶ。各機器利用環境２は、各機器に関して、利用契約されたサービスを利用するための機器アプリをダウンロードすることができる。
【００１５】
クラウドサービスシステム１は、機器が連携可能な各種サービスをクラウドサービスとして提供する１以上のコンピュータ（情報処理装置）の集合である。例えば、ＭＦＰ２０ａ１又は２０ｃ１と連携したサービスの一例として、ＭＦＰ２０ａ１又は２０ｃ１においてスキャンされ、ＭＦＰ２０ａ１又は２０ｃ１より転送された画像データを、所定のストレージに保存したり、所定の配信先に配信したりするサービス（以下、「クラウドスキャンサービス」という。）が挙げられる。また、クラウドサービスシステム１に予めアップロードされた印刷データをＭＦＰ２０ａ１又は２０ｃ１にダウンロードさせ、当該印刷データに基づく印刷ジョブを、当該ＭＦＰ２０ａ１又は２０ｃ１に実行させるサービス（以下、「クラウドプリントサービス」という。）も、斯かるサービスの一例として挙げられる。
【００１６】
なお、クラウドサービスシステム１によるサービスは、必ずしもクラウドサービスとして提供されなくてもよい。例えば、クラウドサービスシステム１は、一般的なサーバクライアントシステムにおけるサーバ側のシステムであってもよい。また、ネットワークＮ１は、ＬＡＮ（Local Area Network）であってもよい。
【００１７】
図２は、本発明の実施の形態におけるクラウドサービスシステムを構成する各コンピュータのハードウェア構成例を示す図である。
【００１８】
図２に示されるように、各コンピュータは、それぞれバスＢで相互に接続されているドライブ装置１００、補助記憶装置１０２、メモリ装置１０３、ＣＰＵ１０４、及びインタフェース装置１０５等を有する。
【００１９】
各コンピュータでの処理を実現するプログラムは、ＣＤ−ＲＯＭ等の記録媒体１０１によって提供される。プログラムを記憶した記録媒体１０１がドライブ装置１００にセットされると、プログラムが記録媒体１０１からドライブ装置１００を介して補助記憶装置１０２にインストールされる。但し、プログラムのインストールは必ずしも記録媒体１０１より行う必要はなく、ネットワークを介して他のコンピュータよりダウンロードするようにしてもよい。補助記憶装置１０２は、インストールされたプログラムを格納すると共に、必要なファイルやデータ等を格納する。
【００２０】
メモリ装置１０３は、プログラムの起動指示があった場合に、補助記憶装置１０２からプログラムを読み出して格納する。ＣＰＵ１０４は、メモリ装置１０３に格納されたプログラムに従って各コンピュータに係る機能を実行する。インタフェース装置１０５は、ネットワークに接続するためのインタフェースとして用いられる。
【００２１】
図３は、本発明の実施の形態におけるクラウドサービスシステムの機能構成例を示す図である。クラウドサービスシステム１の機能は、アプリケーション層１２０、共通サービス層１３０、及びデータベース層１４０等の三つの層に分類される。
【００２２】
データベース層１４０は、アプリケーション層１２０又は共通サービス層１３０において実行される処理に必要な情報等を記憶するデータベース（記憶部）を含む層である。図３において、データベース層１４０は、ユーザ情報記憶部１４１及びログ記憶部１４２等を含む。これら各記憶部は、補助記憶装置１０２、又はクラウドサービスシステム１にネットワークを介して接続可能な記憶装置等を用いて実現可能である。
【００２３】
ユーザ情報記憶部１４１は、クラウドサービスシステム１が提供するサービスのユーザに関する情報を記憶する。例えば、ユーザ情報記憶部１４１は、各ユーザの認証に利用される情報や、各ユーザの属性情報等を記憶する。以下、ユーザ情報記憶部１４１においてユーザごとに記憶されている情報を「ユーザ情報」という。
【００２４】
ログ記憶部１４２には、クラウドサービスシステム１の利用に関するログデータ（履歴情報）が記憶される。
【００２５】
アプリケーション層１２０は、クラウドサービスシステム１が提供するサービスを実現するアプリケーションプログラム（以下、「サーバアプリ」という。）を含む層である。図３において、アプリケーション層１２０は、ポータルアプリ１２０ａ、クラウドスキャンアプリ１２０ｂ、及びクラウドプリントアプリ１２０ｃ等を含む。ポータルアプリ１２０ａは、クラウドサービスシステム１が提供するサービスのポータルサイトを提供するサーバアプリである。当該ポータルサイトでは、例えば、ユーザ情報の登録や、サーバアプリに対するユーザごとの設定情報の設定等を行うことができる。クラウドスキャンアプリ１２０ｂは、上述したクラウドスキャンサービスに関する処理を実行するサーバアプリである。クラウドプリントアプリ１２０ｃは、上述したクラウドプリントサービスに関する処理を実行するサーバアプリである。なお、サーバアプリは、機器アプリと連携することにより、機器に対してサービスを提供することができる。
【００２６】
共通サービス層１３０は、複数のサーバアプリに共通する機能、又は複数のサーバアプリから利用される基本機能等を含む層である。図３において、共通サービス層１３０は、認証部１３１、ユーザ管理部１３２、ログ生成部１３３、及び置換部１３４等を有する。これら各部は、クラウドサービスシステム１にインストールされた１以上のプログラムが、ＣＰＵ１０４に実行させる処理により実現される。
【００２７】
認証部１３１は、機器アプリを介してサーバアプリを利用する機器のユーザの認証等を行う。したがって、認証部１３１によって各サーバアプリのユーザが特定される。
【００２８】
ユーザ管理部１３２は、ユーザ情報記憶部１４１に記憶されているユーザ情報の管理を行う。例えば、ユーザ管理部１３２は、ユーザ情報記憶部１４１に記憶されているユーザ情報の変更を行う。ユーザ情報の変更とは、例えば、新たなユーザ情報の追加、既存のユーザ情報の削除、既存のユーザ情報の更新等である。
【００２９】
ログ生成部１３３は、クラウドサービスシステム１によって提供されるサービスの利用に関するログデータを生成する。
【００３０】
置換部１３４は、ログ生成部１３３によって生成されるログデータに含まれているユーザの識別情報（以下、「ユーザＩＤ」という。）を、ユーザ情報記憶部１４１に記憶されているユーザ情報が所定の単位で分類されることで形成される集合（グループ）ごとの識別情報に置換する。その結果、ログデータに含まれているユーザＩＤは、匿名化される。すなわち、各ログデータがいずれのユーザに係るものであるのかを特定することが困難になる。但し、ユーザ情報記憶部１４１に記憶されているユーザ情報は、変更されうる。変更の結果、或るグループに分類されるユーザが一人になってしまう可能性が有る。そうすると、当該ユーザに係るログデータについては、ユーザＩＤに関して匿名化が行われたとしても、実質的には、当該ユーザとの関連性は失われない。すなわち、当該ログデータが、当該ユーザに係るものであることが特定されてしまう。そこで、置換部１３４は、ユーザ管理部１３２によってユーザ情報記憶部１４１に記憶されているユーザ情報が変更された場合には、一ユーザのみが属するグループの有無を判定する。該当するグループが有る場合、以降のログデータについて、グループ分けの単位（以下、「グループの分類単位」という。）を変更する。具体的には、一ユーザのみのグループが存在しないように、グループの分類単位が変更される。
【００３１】
なお、図３に示される各ソフトウェア及び各記憶部の分類形態は、一例であり、本実施の形態を実施するために、クラウドサービスシステム１の各機能が、図３に示されるような階層で分類されていることは必須ではない。すなわち、各機器の機器アプリが、アプリケーション層１２０のサーバアプリ等と連携可能であれば、クラウドサービスシステム１における機能の階層構造等は、特定のものに限定されない。
【００３２】
以下、クラウドサービスシステム１において実行される処理手順について説明する。図４は、ログデータに関して実行される処理手順の一例を説明するためのシーケンス図である。
【００３３】
例えば、アプリケーション層１２０におけるいずれかのサーバアプリが、いずれかの機器からの要求に応じて何らかの処理を実行すると、ログ生成部１３３は、当該処理に関するログデータを生成する。ログ生成部１３３は、生成したログデータの匿名化を置換部１３４に要求する（Ｓ１０１）。
【００３４】
図５は、ログデータの構成例を示す図である。図５において、ログデータは、日時、テナントＩＤ、ユーザＩＤ、所属部署名、サービス名、及び詳細情報等の項目を含む。
【００３５】
日時は、当該ログデータに係る処理が実行された日時である。テナントＩＤは、当該ログデータに係るユーザが属する機器利用環境２の識別情報である。すなわち、本実施の形態において、テナントＩＤは、機器利用環境２ごとの識別情報である。なお、「Ａ」は、機器利用環境２ａのテナントＩＤであるとする。ユーザＩＤは、当該ログデータに係るユーザのユーザＩＤである。なお、ユーザＩＤは、複数の機器利用環境２を跨って重複する可能性が有るため、テナントＩＤとユーザＩＤとの組によって、各ユーザが一意に特定される。所属部署名は、テナントＩＤに係る機器利用環境２において、ユーザＩＤに係るユーザが所属する部署（組織）の名前である。サービス名は、当該ログデータに係る処理の実行元のサーバアプリの名前である。詳細情報は、当該ログデータに係る処理に関する詳細情報（例えば、呼び出されたメソッドやメソッドに対するパラメータ等）である。なお、テナントＩＤ、ユーザＩＤ、及び所属部署名は、認証部１３１によってユーザが認証された際に特定されている。
【００３６】
続いて、置換部１３４は、ユーザ情報記憶部１４１を参照して、当該ログデータを匿名化する（Ｓ１０２）。
【００３７】
図６は、ユーザ情報記憶部に記憶されているユーザ情報の一例を示す図である。図６に示されるように、ユーザ情報記憶部１４１には、ユーザごとに、テナントＩＤ、ユーザＩＤ、パスワード、所属部署名、及び年齢等を含むユーザ情報が記憶されている。テナントＩＤがユーザ情報に含まれていることで、ユーザ情報は、テナントＩＤ別に記憶されているともいえる。また、所属部署名がユーザ情報に含まれていることで、ユーザ情報は、更に、所属部署名別に記憶されているともいえる。
【００３８】
本実施の形態において、置換部１３４は、ユーザ情報に含まれている年齢に基づいて、ログデータに含まれているユーザＩＤを置換することにより、ログデータを匿名化する。但し、単純に年齢によってユーザＩＤを置換したのでは、匿名性が確保されない可能性が有る。例えば、テナントＩＤが「Ａ」である機器利用環境２ａの経理部には、同じ年齢のユーザは存在しない。したがって、年齢によって一意にユーザが特定されてしまう。そこで、置換部１３４は、初期状態として、年齢を１０の桁が共通するグループごとに各ユーザを分類し、各グループの識別情報（年齢の１０の桁を示す情報）によって、ログデータに含まれているユーザＩＤを置換する。その結果、図５のログデータのユーザＩＤは、図７に示されるように置換される。
【００３９】
図７は、匿名化されたログデータの一例を示す図である。図７では、ユーザＩＤが、「３０代」に置換されている。図６より明らかなように、機器利用環境２ａの経理部において、３０代のユーザは、二人いる。したがって、図７に示されるログデータによれば、ユーザを一意に特定するのは困難である。
【００４０】
続いて、置換部１３４は、匿名化されたログデータをログ記憶部１４２に保存する（Ｓ１０３）。
【００４１】
その後、例えば、機器利用環境２ａにおける人事異動等により、ユーザｔａｎａｋａが、開発部に異動したとする。この場合、機器利用環境２ａの管理者は、例えば、自らの端末からポータルアプリ１２０ａにアクセスして、ユーザｔａｎａｋａの所属部署名について、「経理」から「開発」への変更指示を入力する。
【００４２】
ユーザ管理部１３２は、ポータルアプリ１２０ａからの要求に応じ、ユーザ情報記憶部１４１に記憶されているユーザ情報のうち、テナントＩＤが「Ａ」であり、ユーザＩＤが「ｔａｎａｋａ」であるユーザ情報の所属部署名を「開発」に変更する（Ｓ１１１）。その結果、ユーザ情報記憶部１４１に記憶されているユーザ情報は、図８に示されるようになる。
【００４３】
図８は、変更後のユーザ情報の一例を示す図である。図８では、テナントＩＤが「Ａ」であり、ユーザＩＤが「ｔａｎａｋａであるユーザ情報の所属名が「開発」に変更されている。
【００４４】
続いて、ユーザ管理部１３２は、ユーザ情報が変更されたことを、置換部１３４に通知する（Ｓ１１２）。当該通知には、変更されたユーザ情報に係るテナントＩＤ（以下、「対象テナントＩＤ」という。）が含まれてもよい。置換部１３４は、当該通知に応じ、当該通知に含まれている対象テナントＩＤを指定して、ユーザ情報の一覧の取得をユーザ管理部１３２に要求する（Ｓ１１３）。ユーザ管理部１３２は、対象テナントＩＤを含むユーザ情報をユーザ情報記憶部１４１から取得し（Ｓ１１４）、取得されたユーザ情報の一覧を、置換部１３４に出力する（Ｓ１１５）。
【００４５】
続いて、置換部１３４は、当該ユーザ情報の一覧に基づいて、現在のグループの分類単位の妥当性を判定する（Ｓ１１６）。具体的には、置換部１３４は、現在の分類単位（年齢の１０の桁ごとの単位）によって、当該一覧に含まれる各ユーザ情報を各グループに分類する。本実施の形態では、所属部署名ごとに分類された後、更に、年齢の１０の桁ごとのグループに分類される。すなわち、分類単位の妥当性の判定の際のユーザ情報の分類では、ログデータに含まれている項目のうち、ユーザの特定に利用可能な項目であって、置換が行われない項目（本実施の形態では、「テナントＩＤ」及び「所属部署名」）の値ごとにグループが生成される。したがって、ログデータの匿名化において、テナントＩＤ及び所属部署名がログデータから削除されるようにする場合には、ユーザ情報記憶部１４１に記憶されている全てのユーザ情報の一覧に関して、テナントＩＤ及び所属部署名の異同を問わず、年齢に基づく分類が行われて、妥当性が判定されてもよい。
【００４６】
分類の結果、１つのユーザ情報のみが属するグループが１以上有る場合、置換部１３４は、現在の分類単位は妥当でないと判定する。一方、全てのグループについて、属するユーザ情報が、０又は２以上である場合、置換部１３４は、現在の分類単位は妥当であると判定する。すなわち、本実施の形態において、分類単位が妥当であることの条件は、「１つのユーザ情報のみが属するグループが存在しないこと」である。但し、「属するユーザ情報が所定数以下（例えば、２以下）であるグループが存在しないこと」等、各グループに属するユーザ情報の数に対する条件について、異なる値が適用されてもよい。
【００４７】
現在の分類単位が妥当でないと判定した場合、置換部１３４は、分類単位を変更する（Ｓ１１７）。本実施の形態では、グループの分類単位が２倍に拡大される。すなわち、これまでの２つのグループが１つに統合される。具体的には、２０代と３０代とが１つのグループとされ、４０代と５０代とが１つのグループとされる。但し、妥当性を確保できない原因となっているグループ（一つのユーザ情報のみが属するグループ）のみが、他のグループと統合されてもよい。例えば、３０代のグループによって妥当性が確保できない場合、２０代と３０代とが統合され、４０代及び５０代は、統合されなくてもよい。なお、グループの統合は、１つのユーザ情報のみが属するグループが存在しなくなるまで再帰的に実行される。変更された分類単位を示す情報は、例えば、補助記憶装置１０２等に記憶され、当該分類単位に基づく匿名化は、以降において生成されるログデータに関して適用される。すなわち、既にログ記憶部１４２に記憶されているログデータについては、新たな分類単位に基づく匿名化は実行されなくてもよい。ユーザｔａｎａｋａが異動するまでは、機器利用環境２ａの経理部において３０代のユーザは、二人存在していたため、ユーザｔａｎａｋａの異動前のログデータの匿名性は確保されているからである。但し、ログ記憶部１４２に記憶されているログデータについても、新たな分類単位に基づく匿名化が再実行されてもよい。
【００４８】
なお、分類単位の決定において、Ｌ−多様性が考慮されてもよい。すなわち、分類後のグループがＬ通り存在することが、分類単位が妥当であることの条件とされてもよい。
【００４９】
また、分類単位は、テナントＩＤごと、又はテナントＩＤ及び所属部署名ごとに異なっていてもよい。例えば、機器利用環境２ａの経理部に関してのみ、グループの分類単位が妥当でない場合には、当該経理部に関してのみ、分類単位の変更が行われてもよい。
【００５０】
その後、ログ生成部１３３が、新たに実行された処理に関してログデータを生成し、当該ログデータの匿名化を置換部１３４に要求すると（Ｓ１２１）、置換部１３４は、変更後の分類単位に基づいて、当該ログデータを匿名化する（Ｓ１２２）。したがって、例えば、図９に示されるような置換が実行される。
【００５１】
図９は、変更後の分類単位に基づくログデータの匿名化の一例を示す図である。図９において、（１）は、匿名化が行われる前のログデータであり、（２）は、匿名化が行われた後のログデータである。図９においては、ユーザＩＤ「ｔａｋａｈａｓｈｉ」が、「２０〜３０代」に置換されている。その結果、（２）のログデータに基づいて、当該ログデータに係るユーザが、ユーザｔａｋａｈａｓｈｉであることの特定が困難になっている。なお、仮に、ユーザＩＤ「ｔａｋａｈａｓｈｉ」が、３０代に置換された場合、当該ログデータのテナントＩＤ及び所属部署と３０代とを、ユーザ情報記憶部１４１に記憶されているユーザ情報に当てはめることで、ユーザＩＤ「ｔａｋａｈａｓｈｉ」が一意に特定されてしまう。ユーザｔａｎａｋａの異動により、経理部の３０代のユーザは、ユーザｔａｋａｈａｓｈｉの一人になってしまっているからである。
【００５２】
上述したように、本実施の形態によれば、ログデータに含まれているユーザごとの識別情報（ユーザＩＤ）は、当該識別情報に関連付けられてユーザ情報記憶部１４１に記憶されている各ユーザの年齢が所定の単位で分類された集合ごとの識別情情報（１０代、２０代等）によって置換される。その結果、ユーザごとのサービスの利用傾向の分析は行えなくなるが、年代別のサービスの利用傾向の分析は可能である。すなわち、ユーザとログデータとの関連性が低下しても、ログデータの利用価値の低下を抑制することができる。
【００５３】
また、本実施の形態では、ユーザ情報の変更に応じて、匿名化のための分類単位の妥当性が判定され、妥当でない場合には、分類単位の変更が行われる。したがって、ユーザの構成が変化した場合に、それ以降のログデータに関して、匿名性が低下してしまう可能性を低下させることができる。
【００５４】
上記より、本実施の形態によれば、ログデータ（履歴情報）と各ユーザとの関連性を適切に低下させることができる。
【００５５】
なお、本実施の形態においては、説明の便宜上、年齢の分類に基づいてログデータが匿名化される例について説明したが、他の属性の分類（例えば、ユーザの自宅の住所等）に基づいてログデータが匿名化される場合について、本実施の形態が適用されてもよい。
【００５６】
また、本実施の形態においては、ログデータの生成に応じて当該ログデータが匿名化される例について説明したが、匿名化のタイミングは、ログデータの生成時以外であってもよい。例えば、ログデータの分析時（例えば、ログデータに基づいてレポート情報が生成される際）等において、匿名化が行われてもよい。このような形態においては、ユーザ情報が変更されるたびではなく、ログデータの分析時において、分類単位の妥当性が判定されてもよい。
【００５７】
また、クラウドサービス以外のサービスを提供する情報処理システム（例えば、企業内の情報処理システム）において生成されるログデータについて、本実施の形態が適用されてもよい。
【００５８】
また、本実施の形態では、サービスを提供するコンピュータとログを記憶するコンピュータとが同じ（クラウドサービスシステム１）である例について説明したが、それぞれは、異なるコンピュータ又はコンピュータシステムによって実現されてもよい。
【００５９】
なお、本実施の形態において、クラウドサービスシステム１は、情報処理システム又は情報処理装置の一例である。ユーザ管理部１３２は、変更部の一例である。
【００６０】
以上、本発明の実施例について詳述したが、本発明は斯かる特定の実施形態に限定されるものではなく、特許請求の範囲に記載された本発明の要旨の範囲内において、種々の変形・変更が可能である。
【符号の説明】
【００６１】
１            クラウドサービスシステム
２ａ、２ｂ、２ｃ  機器利用環境
２０ａ１、２０ｃ１  ＭＦＰ
２０ｂ１、２０ｂ２  ＴＶ会議用機器
２０ａ２      プロジェクタ
２０ｃ２      電子黒板
１００        ドライブ装置
１０１        記録媒体
１０２        補助記憶装置
１０３        メモリ装置
１０４        ＣＰＵ
１０５        インタフェース装置
１２０        アプリケーション層
１２０ａ      ポータルアプリ
１２０ｂ      クラウドスキャンアプリ
１２０ｃ      クラウドプリントアプリ
１３０        共通サービス層
１３１        認証部
１３２        ユーザ管理部
１３３        ログ生成部
１３４        及び置換部
１４０        データベース層
１４１        ユーザ情報記憶部
１４２        ログ記憶部
Ｂ            バス
【先行技術文献】
【特許文献】
【００６２】
【特許文献１】特開２０１１−１７０６３２号公報
【図１】
0006617456.tif 000002
【図２】
0006617456.tif 000003
【図３】
0006617456.tif 000004
【図４】
0006617456.tif 000005
【図５】
0006617456.tif 000006
【図６】
0006617456.tif 000007
【図７】
0006617456.tif 000008
【図８】
0006617456.tif 000009
【図９】
0006617456.tif 000010