(57)【要約】      （修正有）【課題】利用者が利用しているロボット端末について、それがネットワークを介してサーバや他のロボット端末と情報を共有していることを利用者に意識させることなく、個人のプライバシーを十分に配慮した演出動作を実現するロボット端末を用いた個人情報制御システムを提供する【解決手段】ロボット端末とペアになっている特定個人に緊急事態等が発生したときには、情報制御テーブルの個人情報開示許可識別子が登録されたり、変化することにより、当該特定個人に関係付けられたロボット端末以外のロボット端末から当該特定個人に関する個人情報の出力を許可する。ただし、その個人情報を出力する場合には、動作制御テーブルの演出動作識別子をロボット端末に送信してロボット端末に演出動作をさせた後に、当該個人情報を出力させる。【選択図】図１
2005271098.tif 000002
【特許請求の範囲】
【請求項１】
それぞれ特定個人毎に関係付けられた複数の個人端末と、各個人端末と通信可能なサーバとからなり、
前記サーバには、
個人端末毎に各個人端末が出力すべき情報の種類とその情報の出力可否を登録する情報制御テーブルと、
前記各個人端末から受信した個人情報を蓄積する個人情報データベースと、
を有し、
前記各個人端末には、
それと関係付けられた個人の情報を入力する入力手段と、
入力された情報と、前記サーバの個人情報データベースから受信した情報とを蓄積する記憶手段と、
前記サーバの情報制御テーブルの内容に基づいて前記の情報の出力を制御する個人端末内制御手段と、
前記個人端末内制御手段の制御指示にしたがって、前記記憶手段に蓄積された情報を出力する出力手段と、
を有する個人情報出力制御システム。
【請求項２】
前記個人端末は、可動部の動作等の仕草によって観察者に意志情報を伝達するロボット端末であって、
前記サーバには、ロボット端末の一連の可動部の動作を演出動作識別子として登録する動作制御テーブルと、
前記個人情報データベースの個人情報と前記動作制御テーブルの演出動作識別子とを選択的にロボット端末に送信するロボット端末制御手段とが設けられており、
前記情報制御テーブルには、特定個人に関係付けられたロボット端末以外のロボット端末又はサーバの入力手段から入力された個人情報の出力を該ロボット端末に対して許可する個人情報開示許可識別子が登録可能とされており、
前記ロボット端末制御手段は、前記情報制御テーブルを参照して前記個人情報開示許可識別子が登録されているときには、前記演出動作識別子を前記ロボット端末に送信してロボット端末に演出動作をさせた後に、前記で許可された個人情報を当該ロボット端末を通じて出力させることを特徴とする請求項１ 記載の個人情報出力制御システム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、個人情報制御システム、特にロボット端末から出力される情報をサーバで制御するシステムに適用して有効な技術である。
【背景技術】
【０００２】
犬や猫等の動物を模したペットロボットが数多く提案されている。これらのペットロボットでは、ＣＣＤカメラ（ＣＭ）、ＣＭＯＳカメラやマイク等の入力手段、ＬＥＤ、スピーカ（ＳＰ）等の出力手段を備えて飼い主である個人の情報を入力したり出力させたりすることが考えられる。
【０００３】
そしてさらに、これらの複数のペットロボットをロボット端末として動作をサーバで制御するともに、ロボット端末間で情報を共有させることが考えられている。
【０００４】
しかし、飼い主である利用者としては、自身が飼っている（所有している）ロボット端末がネットワーク及びサーバを介して他のロボット端末と情報が共有されていることを意識してしまうと、自身のプライバシーが保護されていないように感じさせてしまう可能性があった。
【０００５】
なお、特開２００２−１６０１８４号公報（特許文献１）には、ネットワークに接続されたロボット端末がカメラで取り込んだ画像から情報を抽出して、抽出した情報をサーバに送信する技術が示されている。
【特許文献１】特開２００２−１６０１８４号公報
【発明の開示】
【発明が解決しようとする課題】
【０００６】
本発明は、利用者が利用しているロボット端末について、それがネットワークを介してサーバや他のロボット端末と情報を共有していることを利用者に意識させることなく、個人のプライバシーを十分に配慮した演出動作を実現するロボット端末を用いた個人情報制御システムを提供することを課題とする。
【課題を解決するための手段】
【０００７】
前記課題を解決するために、本発明では、以下の手段を採用した。
【０００８】
本発明の請求項１は、「それぞれ特定個人毎に関係付けられた複数の個人端末と、各個人端末と通信可能なサーバとからなり、：前記サーバには、個人端末毎に各個人端末が出力すべき情報の種類とその情報の出力可否を登録する情報制御テーブルと、前記各個人端末から受信した個人情報を蓄積する個人情報データベースと、を有し、：前記各個人端末には、それと関係付けられた個人の情報を入力する入力手段と、入力された情報と、前記サーバの個人情報データベースから受信した情報とを蓄積する記憶手段と、前記サーバの情報制御テーブルの内容に基づいて前記の情報の出力を制御する個人端末内制御手段と、前記個人端末内制御手段の制御指示にしたがって、前記記憶手段に蓄積された情報を出力する出力手段と、を有する個人情報出力制御システム」である。
【０００９】
請求項２は、「前記個人端末は、可動部の動作等の仕草によって観察者に意志情報を伝達するロボット端末であって、前記サーバには、ロボット端末の一連の可動部の動作を演出動作識別子として登録する動作制御テーブルと、前記個人情報データベースの個人情報と前記動作制御テーブルの演出動作識別子とを選択的にロボット端末に送信するロボット
端末制御手段とが設けられており、前記情報制御テーブルには、特定個人に関係付けられたロボット端末以外のロボット端末又はサーバの入力手段から入力された個人情報の出力を該ロボット端末に対して許可する個人情報開示許可識別子が登録可能とされており、
前記ロボット端末制御手段は、前記情報制御テーブルを参照して前記個人情報開示許可識別子が登録されているときには、前記演出動作識別子を前記ロボット端末に送信してロボット端末に演出動作をさせた後に、前記で許可された個人情報を当該ロボット端末を通じて出力させることを特徴とする請求項１記載の個人情報出力制御システム」である。
【００１０】
特定個人に緊急事態等が発生したときには、情報制御テーブルの個人情報開示許可識別子が登録されたり、変化することにより、当該特定個人に関係付けられたロボット端末以外のロボット端末から当該特定個人に関する個人情報の出力が許可される。ただし、その個人情報を出力する場合には、動作制御テーブルの演出動作識別子をロボット端末に送信してロボット端末に演出動作をさせた後に、当該個人情報を出力させる。これにより、緊急事態に際しては、ロボット端末が本来は当該利用者と当該ロボット端末との関係においては入力されていない（知り得ない）はずの第三者の個人情報について、当該ロボット端末が出力することについて致し方ないと思わせる演出動作を先行させてから情報を出力させることができ、個人のプライバシーに配慮した情報出力を実現することができる。
【発明を実施するための最良の形態】
【００１１】
図１〜図７を用いて本発明の実施形態を説明する。
図１は、本発明の概念を示す説明図である。
【００１２】
本発明は、以下のコンセプトに基づいてなされたものである。
【００１３】
(1).ロボット端末が知り得ないことは知っていても利用者には言わない。
すなわち、複数のロボット端末が接続されるネットワークサーバでは、どのロボット端末からの情報（個人情報）であったかを管理しているのが通常であり、あるロボット端末から入力された情報（個人情報）は、そのペアとなる利用者の固有の情報として扱うことを原則としている。
【００１４】
したがって、他の利用者とペア関係にあるロボット端末から入力された情報は原則として他のロボット端末から出力してはならない。
【００１５】
(2).前記(1)の原則が遵守できない事態となった場合には、「ロボット端末が他のロボ
ット端末から入力された情報（個人情報）を知っていても不思議ではない」という演出動作を行わせた後に当該情報（個人情報）を出力する。
【００１６】
そのために、ロボット端末は動物の外観を模したものとすることが好ましい。これは動物には人が持っていない不思議な能力（動物にそれぞれ固有に備わる本能のこと）があり、人にはわからないことを察知していても不自然ではないと人が思う既成概念を利用することができる。具体的な演出動作としては、利用者に対して他の個人情報を出力する前に動物同士のコミュニケーション行為の真似（例えば動物が犬の場合、遠吠え音等の出力）を実行させた後に、当該利用者に対して当該他の個人情報を出力するようにしてもよい。
【００１７】
その他の演出動作としては、利用者の目の前（視野の範囲）から一旦退出（あたかもロボット端末自身が他の場所に一旦行って見てきたかのような行動）をさせてから利用者に対して当該他の個人情報を出力するようにしてもよい。
【００１８】
図２は、本実施形態のシステム構成を示すブロック図である。
同図に示すように、本システムは、サーバと複数のロボット端末とで構成されており、サ
ーバとこれらのロボット端末とは無線ＬＡＮ等の通信システムによって通信可能となっている。
【００１９】
ロボット端末は、中央処理装置（ＣＰＵ）によって制御されており、バス（ＢＵＳ）を介してネットワークインターフェース（ＮＷＩＦ）、メインメモリ（ＭＭ）、駆動部、入出力インターフェース（入出力ＩＦ）、データベース管理部等が接続されている。
【００２０】
データベース管理部にはオペレーティングシステム（ＯＳ）やアプリケーションプログラム及び個人情報記憶部等の記憶手段が設けられている。これらの記憶手段はフラッシュメモリ等の不揮発性メモリ、ハードディスク装置等で構成することができる。
【００２１】
入出力インターフェース（入出力ＩＦ）には、マイク（ＭＩＣ）、カメラ（ＣＭ）等の入力手段が設けられており、これらの入力手段から入力された情報は当該ロボット端末とペアになる利用者の個人情報として、一旦個人情報記憶部に記憶されるようになっている。また、該入出力インターフェース（入出力ＩＦ）には、液晶ディスプレイ、ＬＥＤ 等
で構成された表示部（ＤＳＰ）やスピーカ（ＳＰ）等の出力手段が設けられており、これらを介して前記個人情報記憶部又はサーバから受信した個人情報を出力可能となっている。
【００２２】
駆動部は例えばサーボモータ、流体アクチュエータ等で構成されており、中央処理装置（ＣＰＵ）からの指示によりロボット端末の四肢や頭部の可動部の動作を行わせるようになっている。
【００２３】
サーバは、中央処理装置（ＣＰＵ）によって制御されており、バス（ＢＵＳ）を介してネットワークインターフェース（ＮＷＩＦ）、メインメモリ（ＭＭ）、データベース管理部等が接続されている。
【００２４】
データベース管理部にはオペレーティングシステム（ＯＳ）やアプリケーションプログラム等の記憶手段が設けられている。さらにこのデータベース管理部には、情報制御テーブル、個人情報データベース（個人情報ＤＢ）及び動作制御テーブルが設けられている。
【００２５】
情報制御テーブルは、図３に示すように、個人・ロボットペア情報として利用者の個人ＩＤとそれとペアになるロボット端末のＩＤ（ロボットＩＤ）が登録されている。そして、この利用者ＩＤの個人情報を登録する個人情報データベースのアドレスが登録されるようになっている。さらに、当該テーブルには個人情報開示許可識別子が登録可能となっており、通常の場合、「ＯＦＦ」が登録されるようになっている。この個人情報開示許可識別子は、当該ロボット端末から入力された個人情報を、他のロボット端末から出力してもよいか否かを示すためのフラグエリアである。例えば図３の場合、ロボットＩＤがＲ０００１のロボット端末から入力された個人情報は個人情報開示許可識別子が「ＯＦＦ」であるため、他のロボット端末（例えばＲ０００２）から出力することが禁止されている。一方、ロボットＩＤがＲ０００２のロボット端末から入力された個人情報は個人情報開示許可識別子が「ＯＮ」であるため、他のロボット端末（例えばＲ０００１）から出力することが許可された状態となっている。
【００２６】
図４に示すように、個人情報データベースには、個人ＩＤ毎に情報ＩＤとともにその個人情報が登録されるようになっている。ここで登録される個人情報は、テキスト情報（例えばＡＢＣ．ＴＸＴ）、動画情報（例えばＸＹＺ．ＭＯＶ）、画像情報（例えばＶＷＺ．ＪＰＧ）、音声情報（例えばＰＱＲ．ＷＡＶ）等いかなるデータ形式のものであってもよい。この中で動画情報や画像情報は、ロボット端末に設けられたカメラ（ＣＭ）を通じて入力することが可能であり、音声情報はマイクを通じて入力することが可能である。
【００２７】
動作制御テーブルには、図５に示すように、演出動作識別子とともに、その一連の動作指示信号（ここでは(1)〜(4)）が登録されている。同図に示された演出動作識別子（ＤＩ０００１）は、(1)自身のロボット端末とペアとなる利用者をカメラ（ＣＭ）等の入力手
段を用いて探し、(2)その利用者を発見すると一旦その利用者から離れる動作を行い、(3)一定の時間の後に再度その利用者に接近し、(4)許可された他の個人情報（他のロボット
端末から取得した個人情報）を出力するというものである。このような一連の演出動作により、当該ロボット端末が知らないはずの情報を一旦利用者から離れることであたかも当該ロボット端末が確認してきたかのように振る舞わせた後に利用者に対して出力させることができ、当該ロボット端末がネットワークを介してサーバや他のロボット端末と情報を共有していることを利用者に意識させることなく、個人のプライバシーを十分に配慮した演出動作により利用者に「知っていても不思議はない」と思わせる情報出力が実現できるようになっている。
【００２８】
なお、この演出動作識別子は各動作指示信号をサーバよりロボット端末に対して一連の動作指示信号として送信することにより、それを受信したロボット端末が中央処理装置（ＣＰＵ）により駆動部を制御することで実現するようになっている。
【００２９】
次に、図６を用いてサーバにおける個人情報の入力処理手順を説明する。
まず、サーバの中央処理装置（ＣＰＵ）は、いずれかのロボット端末から個人情報が入力されたか否かを検出する。ここでは、例えばロボット端末（Ｒ０００２）のマイクを通じて音声情報（Ｍ０００２の利用者の個人情報）の入力（ＰＱＲ．ＷＡＶ）がなされた場合、これがロボット端末内の個人情報記憶部に一旦蓄積された後に、ネットワークを介してサーバが受信することになる（ステップ６０１）。
【００３０】
次に、受信した個人情報（ＰＱＲ．ＷＡＶ）に対して情報制御テーブルを参照して、対応する利用者（Ｍ０００２）の個人情報データベースのアドレスを読み出して、当該個人情報（ＰＱＲ．ＷＡＶ）を当該アドレスで指定された個人情報データベースに情報ＩＤを付与して登録する。このようにして、利用者Ｍ０００２からロボット端末Ｒ０００２に対して入力された音声情報（ＰＱＲ．ＷＡＶ）は、サーバの個人情報データベースに情報ＩＤ（ＭＤ０００４）と関係付けられて登録される。なお、このとき、情報制御テーブルの個人情報開示許可識別子は初期値として「ＯＦＦ」に設定されるものとする。これによって、当該個人情報（ＰＱＲ．ＷＡＶ）は、それを入力した利用者Ｍ０００２とペアになるロボット端末Ｒ０００２以外からは出力されない。
【００３１】
次に、利用者Ｍ０００２に緊急事態が発生した場合を例に、当該個人情報（ＰＱＲ．ＷＡＶ）を利用者Ｍ０００２以外の利用者とペアになっているロボット端末（例えばＲ０００１）からも出力する場合について説明する。
【００３２】
サーバは、ロボット端末Ｒ０００２を監視しており、例えば当該ロボット端末Ｒ０００２とペアになる利用者Ｍ０００２の顔色がおかしいとか、表情がすぐれないなどと判断される場合を重度の緊急事態とし、例えばロボット端末Ｒ０００２のカメラ（ＣＭ）によって利用者Ｍ０００２が長期間認識できない場合を要注意の緊急事態として、情報制御テーブル上で当該利用者の個人ＩＤとロボット端末Ｒ０００２についての個人情報の個人情報開示許可識別子を「ＯＦＦ」から「ＯＮ」に書き換える。
【００３３】
これは例えば、利用者Ｍ０００２の身の上になんらか異変が発生した可能性があり、利用者Ｍ０００２がロボット端末Ｒ０００２を通じて入力した個人情報を他の利用者にも開示した方が適切な場合があるためである。なお、個人情報開示許可識別子には、利用者Ｍ０００２に対してあらかじめ想定される緊急事態について、緊急事態に重度軽度を示す緊急事態レベル識別子を付与してもよく、緊急事態レベル識別子によって他の利用者に開示する個人情報の範囲を変更するとよい。異変が発生した可能性があると判断した場合には、その経過時間によって緊急事態レベル識別子のレベルを軽度から重度に段階的に引き上げてもよい。
【００３４】
図７に示すように、サーバは、情報制御テーブルを監視しており（ステップ７０１）、個人情報開示許可識別子が「ＯＮ」となっている個人ＩＤを発見すると（前記の例ではＭ０００２：ステップ７０２）、個人情報データベースを検索して、Ｍ０００２に対応する情報ＩＤを抽出する（ステップ７０３）。ここでは、ＭＤ０００４が索出されることになる。
【００３５】
次に、当該情報ＩＤに対応する個人情報（ＰＱＲ．ＷＡＶ）を読み出す（ステップ７０４）。そして、当該利用者の個人ＩＤ以外の個人ＩＤに対応するロボットＩＤを抽出する（ステップ７０５）。前記例では、個人ＩＤとしてＭ０００１が抽出され、それに対応するペアのロボットＩＤとしてＲ０００１が抽出される。どのロボットＩＤをペアとするかについては、ペアとするロボットＩＤの組をあらかじめ制御テーブルに登録しておくとよい。
【００３６】
次に、抽出されたロボットＩＤ（ここではＲ０００１）に対して動作制御テーブルを参照して演出動作識別子（ＤＩ０００１）と前記個人情報（ＰＱＲ．ＷＡＶ）とを送信する。
【００３７】
これらを受信したロボット端末（Ｒ０００１）の中央処理装置（ＣＰＵ）は、演出動作識別子（ＤＩ０００１）と個人情報（ＰＱＲ．ＷＡＶ）とを一旦個人情報記憶部に格納した後に、前記演算動作識別子に規定された動作を駆動部に指示した後に、当該個人情報（ＰＱＲ．ＷＡＶ）を出力する。
【００３８】
具体的には、まず(1)ロボット端末Ｒ０００１とペアになる利用者Ｍ０００１をカメラ
（ＣＭ）で探し、(2)発見すると当該利用者から一旦離れる動作を行う。かかる動作によ
って本来的にはロボット端末Ｒ０００１が知り得ないはずの利用者Ｍ０００２の個人情報（ＰＱＲ．ＷＡＶ）をどこからか見聞きしに行ったかのような演出動作を行うことになる。利用者Ｍ０００１をカメラ（ＣＭ）で探す場合には、例えばカメラ（ＣＭ）が撮像した撮像画像からまず人を識別（人体識別）し、人と識別された場合にはさらに個人を特定するバイオメトリクス技術（例えば顔面認証など）を用いて利用者Ｍ０００１か否かを特定するとよい。
【００３９】
次に、(3)再度当該利用者Ｍ０００１に近付いて、(4)前記個人情報（ＰＱＲ．ＷＡＶ）をスピーカ（ＳＰ）から出力する。
【００４０】
このようにして、利用者Ｍ０００２に緊急事態（所在不明）が発生する前に利用者Ｍ０００２がそのペアとなるロボット端末Ｒ０００２に入力した個人情報（ＰＱＲ．ＷＡＶ）を、別のロボット端末Ｒ０００１とペアになっている利用者Ｍ０００１が聴取することにより、所在を知る手がかりを得ることが可能となり、利用者Ｍ０００２が犯罪や事故に巻き込まれることを未然に防止したり、早期の解決を図ることが可能となる。
【００４１】
ただし、利用者Ｍ０００１からみると、自身とペアになっているロボット端末Ｒ０００１が本来知り得ないはずの利用者Ｍ０００２の個人情報（ＰＱＲ．ＷＡＶ）をいきなり出力したのでは、プライバシーが保護されていない印象を強く受けることになる可能性があるため、前述の演出動作（図５の(1)〜(3)）を行わせた後に、個人情報（ＰＱＲ．ＷＡＶ）の出力を行わせるようにした。このような演出動作により、利用者Ｍ０００１にとって
は、ロボット端末Ｒ０００１が本来知るはずのない他人の個人情報（ＰＱＲ．ＷＡＶ）について、それならば知っていても仕方がないと思わせることができ、当該ロボット端末Ｒ０００１がネットワークを介してサーバや他のロボット端末（Ｒ０００２）と情報を共有していることを利用者（Ｍ０００１）に意識させることなく、個人のプライバシーを十分に配慮した情報共有型のネットワークロボット制御システムが構築できる。
【産業上の利用可能性】
【００４２】
本発明は、ロボット端末を情報端末とした情報出力制御システムに利用可能である。
【図面の簡単な説明】
【００４３】
【図１】本発明の概念を説明する説明図
【図２】実施形態のシステム構成を示すブロック図
【図３】情報制御テーブルの内容を示す説明図
【図４】個人情報データベースの内容を示す説明図
【図５】動作制御テーブルの内容を示す説明図
【図６】サーバの処理手順を示すフロー図（１）
【図７】サーバの処理手順を示すフロー図（２）
【符号の説明】
【００４４】
ＣＰＵ  中央処理装置
ＭＭ  メインメモリ
ＢＵＳ  バス
ＮＷＩＦ  ネットワークインターフェース
ＳＰ  スピーカ
入出力ＩＦ  入出力インターフェース
ＭＩＣ  マイク
ＣＭ  カメラ
ＤＳＰ  表示部
Ｍ０００１，Ｍ０００２  利用者
Ｒ０００１ ，Ｒ０００２  ロボット端末
【図１】
2005271098.tif 000003
【図２】
2005271098.tif 000004
【図３】
2005271098.tif 000005
【図４】
2005271098.tif 000006
【図５】
2005271098.tif 000007
【図６】
2005271098.tif 000008
【図７】
2005271098.tif 000009