(57)【要約】【課題】  近年、分析対象のデータ種別が増えたことで、スキーマを限定せずデータを蓄積するＤａｔａＬａｋｅが広まりつつある。ＤａｔａＬａｋｅに個人データが登録された場合、あらかじめユーザーの同意を得ていないサービスが前記データを分析対象に含めることは防ぎたいが、ＤａｔａＬａｋｅに蓄積されるデータは特定のスキーマに依存しないため、データの属性ごとのアクセス制御は困難であるという課題がある。【解決手段】  複数の機器から受信した分析対象データを個人データを保持する第１の分類と未加工の個人データを含まないデータを保持する第２の分類とに分類して蓄積し、前記データを要求されると、要求されたデータが前記個人情報を持つ第１の分類であり、また前記データの要求元が前記第１の分類のデータへのアクセスを許可されている場合にデータを返すようデータへのアクセス制御を実施する。【選択図】  図７
2017220112.tif 000002
【特許請求の範囲】
【請求項１】
データ管理システムであって、
複数の機器から分析対象データを受信する受信手段と、
前記受信手段により受信された分析対象データを複数の分類の内の少なくとも１つの分類に分類する分類手段と、
個人データを含む分析対象データを蓄積する第１の蓄積手段と、
個人データを含む分析対象データに対し、個人データが識別できないように処理が施された分析対象データを蓄積する第２の蓄積手段と、
Ｗｅｂサーバーから分析対象データの要求を受信した際、前記要求が指定する分類を識別し、識別された前記分類に対応する分析対象データへのアクセスが前記Ｗｅｂサーバーに対して許可されているか否かを確認し、許可されていると確認した場合は識別された前記分類に対応する前記第１の蓄積手段または前記第２の蓄積手段に蓄積された分析対象データを応答する応答手段と、を有するデータ管理システム。
【請求項２】
前記応答手段は、識別された前記分類に対応する分析対象データへのアクセスが前記Ｗｅｂサーバーに対して許可されていると確認した場合は、前記要求が指定する機器の識別子に対応する機器が前記データ管理システムに送信し前記第１の蓄積手段または前記第２の蓄積手段に蓄積された分析対象データを応答することを特徴とする請求項１に記載のデータ管理システム。
【請求項３】
前記応答手段の前記要求が指定する分類の識別は、前記要求が指定する分類が個人データであるか否かの識別であることを特徴とする請求項１または２に記載のデータ管理システム。
【請求項４】
前記応答手段は、前記要求が指定する機器の識別子が前記Ｗｅｂサーバーに関連付いているか否かを判断し、識別された前記分類に対応する分析対象データへのアクセスが前記Ｗｅｂサーバーに対して許可されているか否かを確認することを特徴とする請求項１乃至３の何れか１項に記載のデータ管理システム。
【請求項５】
ユーザーからアクセス制御設定要求を受け付ける受け付け手段と、
前記アクセス制御設定要求に含まれる機器の識別子とＷｅｂサーバーの識別子とが、前記ユーザーの識別子と関連付いているか否かを判断する判断手段と、
前記応答手段は、前記判断手段により関連付いていると判断されたことに応じて、前記アクセス制御設定要求に含まれる機器の識別子とＷｅｂサーバーの識別子とを関連付け、さらに当該Ｗｅｂサーバーの個人データへのアクセスレベルを関連付けて記憶することを特徴とする請求項４に記載のデータ管理システム。
【請求項６】
前記第２の蓄積手段は、分析対象データに含まれる個人データを削除する処理、または分析対象データに含まれる個人データを難読化する処理を、個人データを含むとして分類された分析対象データに施して蓄積することを特徴とする請求項１乃至５の何れか１項に記載のデータ管理システム。
【請求項７】
前記第１の蓄積手段は、前記受信手段が受信した分析対象データの内、個人データを含まない分析対象データも蓄積することを特徴とする請求項１乃至６の何れか１項に記載のデータ管理システム。
【請求項８】
データ管理システムを制御する制御方法であって、
複数の機器から分析対象データを受信する受信ステップと、
前記受信ステップにおいて受信された分析対象データを複数の分類の内の少なくとも１つの分類に分類する分類ステップと、
個人データを含む分析対象データを蓄積する第１の蓄積ステップと、
個人データを含む分析対象データに対し、個人データが識別できないように処理が施された分析対象データを蓄積する第２の蓄積ステップと、
Ｗｅｂサーバーから分析対象データの要求を受信した際、前記要求が指定する分類を識別し、識別された前記分類に対応する分析対象データへのアクセスが前記Ｗｅｂサーバーに対して許可されているか否かを確認し、許可されていると確認した場合は識別された前記分類に対応する前記第１の蓄積ステップまたは前記第２の蓄積ステップによって蓄積された分析対象データを応答する応答ステップと、を含む制御方法。
【請求項９】
前記応答ステップにおいて、識別された前記分類に対応する分析対象データへのアクセスが前記Ｗｅｂサーバーに対して許可されていると確認した場合は、前記要求が指定する機器の識別子に対応する機器が前記データ管理システムに送信し前記第１の蓄積ステップまたは前記第２の蓄積ステップによって蓄積された分析対象データを応答することを特徴とする請求項８に記載の制御方法。
【請求項１０】
前記応答ステップにおける前記要求が指定する分類の識別は、前記要求が指定する分類が個人データであるか否かの識別であることを特徴とする請求項８または９に記載の制御方法。
【請求項１１】
前記応答ステップにおいて、前記要求が指定する機器の識別子が前記Ｗｅｂサーバーに関連付いているか否かを判断し、識別された前記分類に対応する分析対象データへのアクセスが前記Ｗｅｂサーバーに対して許可されているか否かを確認することを特徴とする請求項８乃至１０の何れか１項に記載の制御方法。
【請求項１２】
ユーザーからアクセス制御設定要求を受け付ける受け付けステップと、
前記アクセス制御設定要求に含まれる機器の識別子とＷｅｂサーバーの識別子とが、前記ユーザーの識別子と関連付いているか否かを判断する判断ステップと、を含み
前記応答ステップにおいて、前記判断ステップにより関連付いていると判断されたことに応じて、前記アクセス制御設定要求に含まれる機器の識別子とＷｅｂサーバーの識別子とを関連付け、さらに当該Ｗｅｂサーバーの個人データへのアクセスレベルを関連付けて記憶することを特徴とする請求項１１に記載の制御方法。
【請求項１３】
前記第２の蓄積ステップにおいて、分析対象データに含まれる個人データを削除する処理、または分析対象データに含まれる個人データを難読化する処理を、個人データを含むとして分類された分析対象データに施して蓄積することを特徴とする請求項８乃至１２の何れか１項に記載の制御方法。
【請求項１４】
前記第１の蓄積ステップにおいて、前記受信ステップにて受信した分析対象データの内、個人データを含まない分析対象データも蓄積することを特徴とする請求項８乃至１３の何れか１項に記載の制御方法。
【請求項１５】
データ管理システムを制御するプログラムであって、
複数の機器から分析対象データを受信する受信ステップと、
前記受信ステップにおいて受信された分析対象データを複数の分類の内の少なくとも１つの分類に分類する分類ステップと、
個人データを含む分析対象データを蓄積する第１の蓄積ステップと、
個人データを含む分析対象データに対し、個人データが識別できないように処理が施された分析対象データを蓄積する第２の蓄積ステップと、
Ｗｅｂサーバーから分析対象データの要求を受信した際、前記要求が指定する分類を識別し、識別された前記分類に対応する分析対象データへのアクセスが前記Ｗｅｂサーバーに対して許可されているか否かを確認し、許可されていると確認した場合は識別された前記分類に対応する前記第１の蓄積ステップまたは前記第２の蓄積ステップによって蓄積された分析対象データを応答する応答ステップと、を含むプログラム。
【発明の詳細な説明】
【技術分野】
【０００１】
個人データの扱いを考慮したビッグデータ分析に適したデータ管理システム、制御方法、およびプログラムに関する
【背景技術】
【０００２】
従来、ビッグデータ用のリポジトリとして、ＤａｔａＷａｒｅｈｏｕｓｅとよばれるものがあった。これはデータのスキーマを意識し、データを分類・整理して管理するものだった。このようにスキーマを意識して蓄積されたデータは、ビッグデータ分析等に用いられた。
【０００３】
ここで、分析対象のデータにユーザー個人に直接紐付く個人データも含まれる場合を考える。オプトインの原則に則ると、分析対象データを扱うサービスは、ユーザーの個人データの内、事前に同意の取れたデータにしかアクセスしてはいけない。特許文献１には、あらかじめ指定されたユーザー属性へのアクセス制御を行う技術が開示されている。
【０００４】
その後クラウドが一般化するにともない、様々な種類のデータに対する分析の機運が高まってきた。データの種類が増えることでデータのスキーマも増え、スキーマを意識したＤａｔａＷａｒｅｈｏｕｓｅでは、データを管理することが難しくなってきた。例えば、あるデータはユーザーＩＤとドキュメント名と印刷ページ数を含むが、他のデータは「ａａａ＠ｅｘａｍｐｌｅ．ｃｏｍをアドレス帳に追加」のように、データに含まれる属性に共通項が無い場合もある。
【０００５】
そこで新たにＤａｔａＬａｋｅという考え方が出てきた。ＤａｔａＬａｋｅではデータのスキーマを限定せず、ネイティブのままデータ登録する。また登録されたデータは分類・整理せず管理し、分析などのために取り出す際に、必要な形で取り出すようにする。このようにすることで、柔軟なデータ蓄積・データ分析ができるようになった。
【先行技術文献】
【特許文献】
【０００６】
【特許文献１】特願２００２−３０７５７６
【発明の概要】
【発明が解決しようとする課題】
【０００７】
ＤａｔａＬａｋｅは、様々なスキーマのデータを収集し分析するＩｏＴ時代に適した考え方である。分析対象となりうるデータとして、ＤａｔａＬａｋｅに様々な種類のデータを保持できるようになると、分析対象データにアクセスする複数のサービスがそれぞれの用途でＤａｔａＬａｋｅのデータを分析するようになると考えられる。
【０００８】
このデータに、ユーザー個人に直接紐付く個人データも含まれる場合を考える。オプトインの原則に則ると、サービスは、ユーザーの個人データの内、事前に同意の取れたデータにしかアクセスしてはいけない。そのため、ＤａｔａＬａｋｅに個人データを登録するようになると、事前に同意を取れていないサービスからは、ＤａｔａＬａｋｅ内のデータを参照してはいけなくなる。
【０００９】
しかし、サービスごとに、ユーザーの同意を取れているか否かには差があるため、本来は個人データを参照してはいけないサービスも、個人データを参照してしまうおそれがある。本発明は前述の課題を鑑みてなされたもので、個人データを参照してはいけないサービスは個人データを参照しないよう制御することを目的とする。
【課題を解決するための手段】
【００１０】
本発明の一実施形態に係るデータ管理システムは、複数の機器から分析対象データを受信する受信手段と、前記受信手段により受信された分析対象データを複数の分類の内の少なくとも１つの分類に分類する分類手段と、個人データを含む分析対象データを蓄積する第１の蓄積手段と、個人データを含む分析対象データに対し、個人データが識別できないように処理が施された分析対象データを蓄積する第２の蓄積手段と、Ｗｅｂサーバーから分析対象データの要求を受信した際、前記要求が指定する分類を識別し、識別された前記分類に対応する分析対象データへのアクセスが前記Ｗｅｂサーバーに対して許可されているか否かを確認し、許可されていると確認した場合は識別された前記分類に対応する前記第１の蓄積手段または前記第２の蓄積手段に蓄積された分析対象データを応答する応答手段を、を有することを特徴とする。
【発明の効果】
【００１１】
個人データを参照してはいけないサービスは個人データを参照しないよう制御することが可能になる。
【図面の簡単な説明】
【００１２】
【図１】ネットワーク構成を示す図である。
【図２】本発明の実施の形態に係るサーバーコンピューターの構成図である。
【図３】本実施の形態に係るモジュール構成図である。
【図４】本実施の形態に係る分析対象データ登録フローである。
【図５】本実施の形態に係るアクセス制御設定フローである。
【図６】本実施の形態に係る分析対象データアクセスフローである。
【図７】本実施の形態に係る分析対象データの登録およびアクセスの模式図である。
【図８】本実施の形態に係るアクセス制御更新フローである。
【発明を実施するための形態】
【００１３】
以下、本発明を実施するための形態について図面を用いて説明する。なお、個人データとは、特定の個人を識別するに足る情報を指す。また単独のデータでは特定の個人を識別できなくとも、他のデータと組み合わせて分析することで特定の個人を識別できる可能性がある場合は、これも個人データであるとする。たとえばモバイル端末の識別子は、モバイル端末の利用者個人との結びつきが強いため、個人データと考えられる。また位置情報の履歴も、他のデータと組み合わせることで、特定の個人を識別できる可能性があるため、個人データと考えられる。
【実施例１】
【００１４】
本実施の形態に係るデータ管理システムは、図１に示すような構成のネットワーク上に実現される。１００は、Ｗｉｄｅ  Ａｒｅａ  Ｎｅｔｗｏｒｋ（ＷＡＮ１００）であり、本発明ではＷｏｒｌｄ  Ｗｉｄｅ  Ｗｅｂ（ＷＷＷ）システムが構築されている。１０１および１０２は各構成要素を接続するＬｏｃａｌ  Ａｒｅａ  Ｎｅｔｗｏｒｋ（ＬＡＮ１０１、ＬＡＮ１０２）である。
【００１５】
１５１は分析対象のデータを受信し分類する分析対象データ分類サーバーである。１５２は分析対象のデータを蓄積する分析対象データ蓄積サーバーである。１５３は分析対象のデータへのアクセスを制御する、分析対象データアクセス制御サーバーである。１５０は前述の分析対象データ分類サーバー１５１、分析対象データ蓄積サーバー１５２、分析対象データアクセス制御サーバー１５３で構成される、データ管理システムである。１５４は蓄積されたデータの内のジョブログを分析するジョブログ分析サーバーであり、１５５は蓄積されたデータの内の機器状態を分析する機器状態分析サーバーである。ジョブログ分析サーバー１５４上ではジョブログ分析サービスが、機器状態分析サーバー１５５上では機器状態分析サービスが、それぞれ提供されている。３００および４００はＬＡＮ１０２に接続され印刷を行う複合機である。分析対象データ分類サーバー１５１は、これら複合機（ＭＦＰ）３００や複合機４００で発生したデータを受信し、分析対象データ蓄積サーバー１５２で分析のために蓄積する。なお分析対象データ分類サーバー１５１に分析対象データを送信する機器は複合機に限定されるものではない。また分析対象データ蓄積サーバー１５２に蓄積されたデータを分析するサーバーは、ジョブログ分析サーバー１５４や機器状態分析サーバー１５５に限定されるものではない。それ以外のＷｅｂサービスを提供するＷｅｂサーバーであっても良い。
【００１６】
分析対象データ分類サーバー１５１、分析対象データ蓄積サーバー１５２、分析対象データアクセス制御サーバー１５３はそれぞれＬＡＮ１０１を介して接続されている。また同様にジョブログ分析サーバー１５４、機器状態分析サーバー１５５もそれぞれＬＡＮ１０１を介して接続されている。また同様に複合機３００および４００はＬＡＮ１０２を介して接続されている。ＬＡＮ１０１とＬＡＮ１０２はＷＡＮ１００を介して接続されている。なお分析対象データ分類サーバー１５１、分析対象データ蓄積サーバー１５２、分析対象データアクセス制御サーバー１５３、ジョブログ分析サーバー１５４、機器状態分析サーバー１５５はそれぞれ個別のＬＡＮ上に構成されていてもよいし同一のＬＡＮ上に構成されていてもよい。また同一のＰＣまたはサーバーコンピューター上に構成されていてもよい。たとえばデータ管理システム１５０を構成する分析対象データ分類サーバー１５１、分析対象データ蓄積サーバー１５２、分析対象データアクセス制御サーバー１５３は同一のサーバー上で構成されてもよい。また分析対象データ分類サーバー１５１など、データ管理システム１５０を構成する複数サーバーの一部が複合機３００や複合機４００と同一のＬＡＮ１０２上に配置されてもよい。
【００１７】
本実施の形態に係るデータ管理システムは、図２に示すような構成のＰＣから成るシステム上に実現される。図２は本実施の形態に係る、分析対象データ分類サーバー１５１のサーバーコンピューターの構成を示す図である。また分析対象データ蓄積サーバー１５２、分析対象データアクセス制御サーバー１５３、ジョブログ分析サーバー１５４および機器状態分析サーバー１５５のサーバーコンピューターの構成も同様である。尚、図２に示されるハードウェアブロック図は一般的な情報処理装置のハードウェアブロック図に相当するものとし、本実施形態のサーバーコンピューターには一般的な情報処理装置のハードウェア構成を適用できる。
【００１８】
図２において、ＣＰＵ２０１は、ＲＯＭ２０３のプログラム用ＲＯＭに記憶された、或いはハードディスク２１１からＲＡＭ２０２にロードされたＯＳやアプリケーション等のプログラムを実行する。ここでＯＳとはコンピューター上で稼動するオペレーティングシステムの略語であり、以下オペレーティングシステムのことをＯＳと呼ぶ。後述する各フローチャートの処理はこのプログラムの実行により実現できる。ＲＡＭ２０２は、ＣＰＵ２０１の主メモリ、ワークエリア等として機能する。キーボードコントローラ（ＫＢＣ）２０５は、キーボード（ＫＢ）２０９や不図示のポインティングデバイスからのキー入力を制御する。ＣＲＴコントローラ（ＣＲＴＣ）２０６は、ＣＲＴディスプレイ２１０の表示を制御する。ディスクコントローラ（ＤＫＣ）２０７は各種データを記憶するハードディスク（ＨＤ）２１１やフロッピー（登録商標）ディスク（ＦＤ）等におけるデータアクセスを制御する。ＮＣ２１２はネットワークに接続されて、ネットワークに接続された他の機器との通信制御処理を実行する。
【００１９】
尚、後述の全ての説明においては、特に断りのない限り実行のハード上の主体はＣＰＵ２０１であり、ソフトウェア上の主体はハードディスク（ＨＤ）２１１にインストールされたアプリケーションプログラムである。
【００２０】
図３は本実施の形態に係る、分析対象データのデータ管理システム１５０を構成する、分析対象データ分類サーバー１５１、分析対象データ蓄積サーバー１５２、分析対象データアクセス制御サーバー１５３のモジュール構成を示す図である。これらのモジュールはハードディスク２１１からＲＡＭ２０２にロードされ、ＣＰＵ２０１により実行されることで夫々の機能を実現する。分析対象データ分類サーバー１５１はデータ分類モジュール５０１を持つ。分析対象データ蓄積サーバー１５２は個人データ蓄積モジュール５０２、非個人データ蓄積モジュール５０３を持つ。分析対象データアクセス制御サーバー１５３はアクセス制御設定モジュール５０４、ユーザー機器管理モジュール５０５、ユーザーサービス管理モジュール５０６、サービスデータアクセス管理モジュール５０７、アクセス制御モジュール５０８を持つ。
【００２１】
データ分類モジュール５０１は複合機３００や複合機４００から受信したデータを分類し、個人データを含むデータであれば個人データ蓄積モジュール５０２に蓄積し、個人データを含まないデータであれば非個人データ蓄積モジュール５０３に蓄積する。即ち、識別された分類に対応する蓄積モジュールに対して分析対象データが蓄積される。ユーザー機器管理モジュール５０５およびユーザーサービス管理モジュール５０６はそれぞれ、ユーザーと機器の紐付けおよびユーザーとサービスの紐付けを管理する。アクセス制御設定モジュール５０４はユーザー機器管理モジュール５０５およびユーザーサービス管理モジュール５０６を参照する。そして機器およびサービスに紐付くユーザーが、機器で発生したデータに対するサービスのアクセスを許可すると、サービスと機器の紐付けを生成する。ここで生成されたサービスと機器の紐付けはサービスデータアクセス管理モジュール５０７で管理され、アクセス制御モジュール５０８は分析対象データにアクセスするサービスが当該機器のデータにアクセスする際のアクセス可否を判断する。
【００２２】
図４は本実施の形態に係る、複合機などの機器で発生したデータをデータ管理システム上に登録する処理を示すフローチャートである。本フローチャートの処理は複合機３００や複合機４００などの機器から送信されたデータを、データ分類モジュール５０１が受信することで開始される。
【００２３】
ステップＳ１００１でデータ分類モジュール５０１は、複合機などの機器から送信された分析対象データを受信する。なおここで受信する分析対象データには、データ送信元の機器を識別する情報も含まれる。ステップＳ１００２でデータ分類モジュール５０１は、ステップＳ１００１で受信した分析対象データの送信元の機器を識別する。
【００２４】
ステップＳ１００３でデータ分類モジュール５０１は、ステップＳ１００１で受信した分析対象データの分類を判別する。たとえばここでは、分析対象データとして、次のものを考える。まず１つ目の分類として、複合機などの機器で発生した状態のままのログが考えられる。また２つ目の分類として、複合機などの機器で発生した状態から加工はされているものの、個人に紐付くデータが残っている個人データが考えられる。
【００２５】
これら１つ目および２つ目のデータは、データが特定の個人に結びつくことが考えられるため、ステップＳ１００３でも未加工の個人データを含むと判断される。前記以外に３つ目の分類として、個人に紐付く情報がハッシュ関数などの一方向性の関数で加工された匿名データが考えられる。また４つ目の分類として、個人と紐付く情報を含まない、たとえば複合機のトナー残量を表すような一般データが考えられる。これら３つ目および４つ目のデータは、データが特定の個人に結びつきにくいと考えられ、ステップＳ１００３では未加工の個人データを含まないと判断される。なおこの判断基準は必ずしも前述の通りでなくともよく、例えば３つ目の分類である匿名データを個人データと判断してもよい。データの分類は前記４つより多くても少なくてもよく、またステップＳ１００１で受信したデータを分類する際の参考情報として、データ送信元の機器から予め、データの分類に関する情報を付与してあってもよい。
【００２６】
ステップＳ１００４でデータ分類モジュール５０１は、ステップＳ１００３の判断を元に、後続の処理を分岐させる。ステップＳ１００３の判断が、ステップＳ１００１で受信したデータが未加工の個人データを含むという判断であれば、ステップＳ１００５に遷移する。またステップＳ１００３の判断が、ステップＳ１００１で受信したデータが未加工の個人データを含まないという判断であれば、ステップＳ１００７に遷移する。
【００２７】
ステップＳ１００５でデータ分類モジュール５０１は、ステップＳ１００３で個人データを含むと判断されたデータを、ステップＳ１００２で識別した機器とあわせ個人データ蓄積モジュール５０２に渡す。また個人データ蓄積モジュール５０２は受け取ったデータと機器の識別子とを紐付けて蓄積する。
【００２８】
表１は個人データ蓄積モジュール５０２に蓄積されるデータの例である。ここでは例えば、ＭＦＰ−３００から、２０１６／４／１  ９：００  に、ＵｓｅｒＸがＭＦＰにログインしたことを示すデータなどが含まれる。
【００２９】
【表１】
2017220112.tif 000003
ステップＳ１００６でデータ分類モジュール５０１は、ステップＳ１００３で個人データを含むと判断されたデータを加工し、個人データを含まないデータに変換する。ステップＳ１００７でデータ分類モジュール５０１は、ステップＳ１００３で個人データを含まないと判断されたデータを、ステップＳ１００２で識別した機器とあわせ非個人データ蓄積モジュール５０３に渡す。もしくはステップＳ１００６で個人データを含まないよう加工されたデータを、ステップＳ１００２で識別した機器とあわせ非個人データ蓄積モジュール５０３に渡す。また非個人データ蓄積モジュール５０３は受け取ったデータと機器の識別子とを紐付けて蓄積する。
【００３０】
表２は非個人データ蓄積モジュール５０３に蓄積されるデータの例である。ここで個人データ蓄積モジュール５０２に蓄積されるデータと比較すると、ユーザーＩＤがハッシュ化されて難読化されている他、個人データが削除されユーザーに紐付かない情報が登録されていることを示している。なお、加工の方法は、難読化および削除以外の処理であってもよく、個人データが認識できない状態に加工されなければどのような方法であっても良い。また、非個人データ蓄積モジュール５０３は機器から送信された個人データを含まない状態の分析対象データも記憶可能である。
【００３１】
【表２】
2017220112.tif 000004
図５は本実施の形態に係る、複合機などの機器と、分析対象データにアクセスするサービスを紐付けることで、サービスが複合機などの機器で発生したデータにアクセスできるよう設定する処理を示すフローチャートである。本フローチャートの処理はユーザーが不図示のユーザー端末を用い、サービスのデータアクセス設定画面にアクセスし、データアクセス設定操作をすることで開始される。本フローチャートの処理を実施することでユーザーは、サービスが分析対象データにアクセスすることに同意することができる。
【００３２】
ステップＳ１１０１でアクセス制御設定モジュール５０４は、アクセス制御設定要求を受け付ける。ここでアクセス制御設定要求には、要求を行ったユーザーを識別する情報が含まれる。またアクセス制御を設定したい機器およびサービスを識別する情報と、許可するデータの分類の情報も含まれる。
【００３３】
ステップＳ１１０２でアクセス制御設定モジュール５０４は、ステップＳ１１０１で受信したアクセス制御設定要求の要求元であるユーザーを識別する。ステップＳ１１０３でアクセス制御設定モジュール５０４は、ステップＳ１１０１で受信したアクセス制御設定対象の機器およびサービスを識別する。ステップＳ１１０４でアクセス制御設定モジュール５０４は、ステップＳ１１０２で識別したユーザーが、ステップＳ１１０３で識別した機器及びサービスと紐付けられているか確認する。ユーザーが機器とサービスの双方に紐付けられている場合はステップＳ１１０５に遷移し、少なくとも一方に紐付けられていない場合はステップＳ１１５０に遷移する。
【００３４】
表３はユーザー機器管理モジュール５０５が記憶するユーザー機器管理テーブルである。ここでたとえばＵｓｅｒＸとＭＦＰ−３００が紐付けられていることを示すデータが含まれている。アクセス制御設定モジュール５０４はユーザー機器管理モジュール５０５に問い合わせ、ユーザーと機器との紐付けを確認する。たとえばステップＳ１１０２で識別したユーザーがＵｓｅｒＸであり、ステップＳ１１０３で識別した機器がＭＦＰ−３００であれば、ユーザーと機器は紐付けられていると確認できる。
【００３５】
【表３】
2017220112.tif 000005
表４はユーザーサービス管理モジュール５０６が記憶するユーザーサービス管理テーブルである。ここでたとえばＵｓｅｒＸとジョブログ分析サービスが紐付けられていることを示すデータが含まれている。アクセス制御設定モジュール５０４はユーザーサービス管理モジュール５０６に問い合わせ、ユーザーとサービスとの紐付けを確認する。たとえばステップＳ１１０２で識別したユーザーがＵｓｅｒＸであり、ステップＳ１１０３で識別したサービスがジョブログ分析サービスであれば、ユーザーとサービスは紐付けられていると確認できる。
【００３６】
【表４】
2017220112.tif 000006
ステップＳ１１０５でアクセス制御設定モジュール５０４は、ステップＳ１１０１で受信したアクセス制御設定要求に含まれる、サービスに許可するアクセス制御レベルを取得する。
【００３７】
ステップＳ１１０６でアクセス制御設定モジュール５０４は、ステップＳ１１０３で識別したサービスが、同じくステップＳ１１０３で識別した機器の分析対象データにアクセスを許可されたことをサービスデータアクセス管理モジュール５０７に通知する。サービスデータアクセス管理モジュール５０７では、前記通知されたサービスと機器とを紐付けると共に、ステップ１１０５で取得した、サービスに許可するアクセス制御レベルを記憶し、フローを終了する。
【００３８】
表５はサービスデータアクセス管理モジュール５０７が記憶する機器データアクセスレベル管理テーブルである。たとえばここでジョブログ分析サービスはＭＦＰ−３００の個人データも非個人データも取得できるが、機器状態分析サービスはＭＦＰ−３００の非個人データでないと取得できないことがあらわされている。機器データアクセスレベル管理テーブルには、Ｗｅｂサービスの識別子と機器の識別子が関連付けられ、さらに個人データおよび非個人データにアクセスする権限も関連付けられている。
【００３９】
【表５】
2017220112.tif 000007
ステップＳ１１５０でアクセス制御設定モジュール５０４は、ユーザーが機器およびサービスの少なくとも一方と紐付けられていないため、アクセス制御設定を行えない旨を応答として返し、フローを終了する。
【００４０】
図６は本実施の形態に係る、ジョブログ分析サーバー１５４や機器状態分析サーバー１５５などのサービスによるデータアクセスを制御する処理を示すフローチャートである。本処理のフローチャートは分析対象データアクセス制御サーバー１５３がジョブログ分析サービスや機器状態分析サービス等のサービスからデータアクセス要求を受け付けることで開始される。
【００４１】
ステップＳ１２０１でアクセス制御モジュール５０８は、サービスからデータアクセス要求を受け付ける。データアクセス要求には、要求を行ったサービスを識別する情報が含まれる。またアクセスを要求されたデータと紐付けられた機器を識別する情報や、アクセス対象となるデータの分類も含まれる。データアクセス要求には、機器の指定およびデータの分類の指定以外の指定が含まれていても良い。
【００４２】
ステップＳ１２０２でアクセス制御モジュール５０８は、ステップＳ１２０１で受け付けたデータアクセス要求の要求元であるサービスを識別する。ステップＳ１２０３でアクセス制御モジュール５０８は、ステップＳ１２０１で受け付けたデータアクセス要求で要求されたデータの分類およびデータに紐付けられた機器を識別する。
【００４３】
ステップＳ１２０４でアクセス制御モジュール５０８は、サービスデータアクセス管理モジュール５０７に問い合わせ、ステップＳ１２０２で識別されたサービスが、ステップＳ１２０３で識別された分類、機器のデータにアクセス可能かを判断する。たとえばサービスがジョブログ分析サービスで、対象のデータ分類が個人データであり、機器がＭＦＰ−３００の場合、ステップＳ１２０１で要求されたデータアクセスは可能と判断される。一方でたとえばサービスが機器状態分析サービスで、対象のデータ分類が個人データであり、機器がＭＦＰ−３００の場合、ステップＳ１２０１で要求されたデータアクセスは不可能と判断される。データアクセス可能と判断された場合はステップＳ１２０５に遷移し、不可能と判断された場合はステップＳ１２５０に遷移する。
【００４４】
ステップＳ１２０５でアクセス制御モジュール５０８は、ステップＳ１２０３で要求されたデータを応答として返し、フローを終了する。たとえばステップＳ１２０３で要求されたデータが個人データだった場合は個人データ蓄積モジュール５０２から該当するデータを取得して返す。またステップＳ１２０３で要求されたデータが非個人データだった場合は非個人データ蓄積モジュール５０３から該当するデータを取得して返す。
【００４５】
ステップＳ１２５０でアクセス制御モジュール５０８は、ステップＳ１２０１で受信したデータアクセス要求に対し、データを取得できない旨を応答として返し、フローを終了する。
【００４６】
図７は本実施の形態に係る、データ登録とデータアクセスの流れを示した模式図である。図７（Ａ）でデータ分類モジュール５０１は、ＭＦＰ−３００から受信したデータを分類および加工し、個人データ蓄積モジュール５０２および非個人データ蓄積モジュール５０３にそれぞれ蓄積する。
【００４７】
図７（Ｂ）でアクセス制御モジュール５０８は、機器状態分析サーバー１５５上の機器状態分析サービスからデータアクセス要求を受け付ける。データアクセス要求を受け付けたアクセス制御モジュール５０８は、サービスデータアクセス管理モジュール５０７に問い合わせ、機器状態分析サービスがアクセス可能なデータを判断する。その結果、機器状態分析サービスからのデータアクセス要求の内、非個人データ蓄積モジュール５０３で管理されるＭＦＰ−３００のデータへのアクセスは許可される。一方で個人データ蓄積モジュール５０２で管理されるＭＦＰ−３００のデータへのアクセスは拒否される。
【００４８】
図８は本実施の形態に係る、サービスが機器で発生したデータにアクセスできるよう設定されたアクセス制御設定を更新する処理のフローチャートである。本処理のフローチャートはユーザーが不図示のユーザー端末を用い、サービスのデータアクセス更新画面にアクセスし、データアクセス更新操作をすることで開始される。
【００４９】
ステップＳ２１０１でアクセス制御設定モジュール５０４は、アクセス制御更新要求を受け付ける。ここでアクセス制御更新要求には、要求を行ったユーザーを識別する情報が含まれる。またアクセス制御を更新したい機器およびサービスを識別する情報と、新しく許可するデータの分類の情報も含まれる。
【００５０】
ステップＳ２１０２でアクセス制御設定モジュール５０４は、ステップＳ２１０１で受信したアクセス制御更新要求の要求元であるユーザーを識別する。
【００５１】
ステップＳ２１０３でアクセス制御設定モジュール５０４は、ステップＳ２１０１で受信したアクセス制御更新対象の機器およびサービスを識別する。ステップＳ２１０４でアクセス制御設定モジュール５０４は、ステップＳ２１０２で識別したユーザーが、ステップＳ２１０３で識別した機器及びサービスと紐付けられているか確認する。ユーザーが機器とサービスの双方に紐付けられている場合はステップＳ２１０５に遷移し、少なくとも一方に紐付けられていない場合はステップＳ２１５０に遷移する。
【００５２】
ステップＳ２１０５でアクセス制御設定モジュール５０４は、ステップＳ２１０１で受信したアクセス制御更新要求から、サービスに許可するアクセス制御レベルを取得する。またサービスデータアクセス管理モジュール５０７が記憶するアクセス制御レベルを、前記取得した値で更新し、フローを終了する。
【００５３】
ステップＳ２１５０でアクセス制御設定モジュール５０４は、ユーザーが機器およびサービスの少なくとも一方と紐付けられていないため、アクセス制御を更新できない旨を応答として返し、フローを終了する。
【００５４】
本実施の形態によれば、分析対象データにアクセスするサービスは、ユーザーが同意し事前に設定した分析対象データにのみアクセスできるようになる。その結果、サービスごとにユーザーの同意を取れているか否かに差がある場合でも、本来は個人データを参照してはいけないサービスは個人データを参照しないよう制御できるようになる。
【００５５】
また本実施の形態によれば、ユーザーがサービスに対して分析対象データへのアクセスを許可したとしても、あとからアクセス設定を変更することもできる。分析対象データへのアクセスをするサービスは、ユーザーがアクセス設定を変更することで同意を取り消した分析対象データにはアクセスできないようになる。
【００５６】
［その他の実施例］
本発明は、以下の処理を実行することによっても実現される。即ち、上述した実施例の機能を実現するソフトウェア（プログラム）を、ネットワーク又は各種記憶媒体を介してシステム或いは装置に供給し、そのシステム或いは装置のコンピュータ（またはＣＰＵやＭＰＵ等）がプログラムを読み出して実行する処理である。
【符号の説明】
【００５７】
１５０  データ管理システム
１５１  分析対象データ分類サーバー
１５２  分析対象データ蓄積サーバー
１５３  分析対象データアクセス制御サーバー
５０１  データ分類モジュール
５０２  個人データ蓄積モジュール
５０３  非個人データ蓄積モジュール
５０７  サービスデータアクセス管理モジュール
５０８  アクセス制御モジュール
【図１】
2017220112.tif 000008
【図２】
2017220112.tif 000009
【図３】
2017220112.tif 000010
【図４】
2017220112.tif 000011
【図５】
2017220112.tif 000012
【図６】
2017220112.tif 000013
【図７】
2017220112.tif 000014
【図８】
2017220112.tif 000015