(57)【要約】      （修正有）【課題】ユーザの機密情報の保護を図りつつ、メーカー側も不必要な機密情報を扱うことがなくなるようにする。【解決手段】情報の少なくとも一部がマスキングされたログ情報のマスキング部分を属性ごとに紐付けて管理し、マスキング解除（復号化）の要求があったときに、機密情報に該当するテキストの属性によってマスキングを解除するか否かを、復号化判定部４６で判定し、その判定結果に基づいて、最初から不具合の解析に不必要な属性項目についてはマスキングを解除せず、マスキングしたまま表示部４８で表示するようにする。【選択図】図７
2017097703.tif 000002
【特許請求の範囲】
【請求項１】
情報の少なくとも一部がマスキングされたログ情報のマスキング部分を属性ごとに紐付けて管理する管理部と、
前記ログ情報が入力されたとき、前記ログ情報を解析し、前記マスキング部分を識別する解析部と、
前記解析部によって識別された前記マスキング部分の前記属性を、前記管理部の管理結果に基づいて識別する識別部と、
前記属性と前記マスキング部分のマスキング解除の要否情報とを紐付けて管理するテーブルと、
前記ログ情報を出力するとき、前記テーブルに基づいて前記属性ごとにマスキングを解除するか否かを判定する判定部と、
前記判定部の判定結果が、マスキング解除しない場合、マスキングを解除せずに前記ログ情報を出力し、マスキング解除する場合、マスキングを解除して前記ログ情報を出力する出力部と、
を備えることを特徴とする情報処理装置。
【請求項２】
前記ログ情報を生成する生成部と、
前記生成部で生成された前記ログ情報に対して選択的に、情報の少なくとも一部をマスキング処理を施すマスキング処理部と、
を備えることを特徴とする請求項１に記載の情報処理装置。
【請求項３】
前記ログ情報に対するマスキング処理は、暗号化処理である
ことを特徴とする請求項１または請求項２に記載の情報処理装置。
【請求項４】
前記ログ情報に対するマスキング処理は、塗り潰し処理である
ことを特徴とする請求項１または請求項２に記載の情報処理装置。
【請求項５】
前記出力部は、マスキング解除されないログ情報、あるいはマスキング解除されたログ情報を表示する表示部である
ことを特徴とする請求項１または請求項２に記載の情報処理装置。
【請求項６】
情報の少なくとも一部がマスキングされたログ情報のマスキング部分を属性ごとに紐付けて管理し、
前記ログ情報が入力されたとき、前記ログ情報を解析して前記マスキング部分の前記属性を、前記管理の結果に基づいて識別し、
前記ログ情報を出力するとき、前記属性と前記マスキング部分のマスキング解除の要否情報とを紐付けて管理するテーブルに基づいて、前記属性ごとにマスキングを解除するか否かを判定し、
その判定結果が、マスキング解除しない場合、マスキングを解除せずに前記ログ情報を出力し、マスキング解除する場合、マスキングを解除して前記ログ情報を出力する
ことを特徴とする情報処理方法。
【請求項７】
少なくとも１台の情報処理装置と、前記少なくとも１台の情報処理装置を管理する管理サーバとを有する情報処理システムであって、
前記情報処理装置は、
情報の少なくとも一部がマスキングされたログ情報のマスキング部分を属性ごとに紐付けて管理する管理部と、
前記ログ情報が入力されたとき、前記ログ情報を解析し、前記マスキング部分を識別する解析部と、
前記解析部によって識別された前記マスキング部分の前記属性を、前記管理部の管理結果に基づいて識別する識別部と、
前記属性と前記マスキング部分のマスキング解除の要否情報とを紐付けて管理するテーブルと、
前記ログ情報を出力するとき、前記テーブルに基づいて前記属性ごとにマスキングを解除するか否かを判定する判定部と、
前記判定部の判定結果が、マスキング解除しない場合、マスキングを解除せずに前記ログ情報を出力し、マスキング解除する場合、マスキングを解除して前記ログ情報を出力する出力部と、
を備えることを特徴とする情報処理システム。
【請求項８】
情報の少なくとも一部がマスキングされたログ情報のマスキング部分を属性ごとに紐付けて管理し、
前記ログ情報が入力されたとき、前記ログ情報を解析して前記マスキング部分の前記属性を、前記管理の結果に基づいて識別し、
前記ログ情報を出力するとき、前記属性と前記マスキング部分のマスキング解除の要否情報とを紐付けて管理するテーブルに基づいて、前記属性ごとにマスキングを解除するか否かを判定し、
その判定結果が、マスキング解除しない場合、マスキングを解除せずに前記ログ情報を出力し、マスキング解除する場合、マスキングを解除して前記ログ情報を出力する
処理をコンピュータに実行させることを特徴とする情報処理プログラム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、情報処理装置、情報処理方法、情報処理システム及び情報処理プログラムに関する。
【背景技術】
【０００２】
情報処理装置に関して、ユーザから不具合を報告され、メーカーからエンジニアが来て不具合の解析のためにユーザの情報処理装置でログ情報やレポートを取る。そして、そのログ情報をメーカーに持ち帰ろうとするが、それらのログ情報やレポートにユーザの機密情報（ユーザにとっての顧客情報を含む）が含まれている可能性があり、ユーザはとにかく機密情報に当たるものをユーザの外部（ビルや部屋の外）に持ち出してほしくない、と希望することがある。一方で、ログ情報を持ち帰らなければ、メーカー側は不具合の解析を行うことができなくなってしまう。
【０００３】
そこで、ログ情報の一部のユーザ機密部分（例えば、メールアドレスやＩＰアドレス、ネットワーク情報など）を、暗号化または黒塗り等によるマスキングを行って持ち出すことになる。このようにすると、ユーザの機密を守ったまま、なおかつ、ある程度不具合の解析を行うことができる。また後でメーカー側が暗号化またはマスキングした部分をユーザの元に赴けば確認できるように、情報処理装置に復号化キーやオリジナルのログ情報を保存しておくこともできる。
【０００４】
ところで、メーカー側がログ情報から不具合を解析していくうちに、やはりマスキングした部分に不具合に関係する情報が含まれているとわかってきたとして、ユーザの元に赴いてユーザの立ち会いの下、マスキングされたログ情報を見せてもらおうとする。これまでの技術では、過去の解析結果を考慮せずにマスキング部分を全て解除するだけであったが、それだと不具合に関係ない部分のマスキングも解除されてしまい、少しでも情報を見せたくないユーザにとっては不必要な情報公開となってしまっていた。また、メーカー側にとっても、不要な機密情報を扱うことになり、情報の扱いには厳重に気をつけなければならなかった。
【０００５】
ログ情報に関して、従来は、画像読取装置固有の秘密鍵を格納部に格納し、この格納した秘密鍵で動作ログを暗号化する、耐ダンパー性を有するチップを備えるようにしていた（例えば、特許文献１参照）。また、管理サーバが、監視対象サーバから大量のログ情報を通知された場合に、その状況を検知し、大量通知の原因となっている特定のログ情報の通知を抑制することで、必要な情報の抜け落ちを防止するようにしていた（例えば、特許文献２参照）。
【先行技術文献】
【特許文献】
【０００６】
【特許文献１】特開２００７−２２００７３号公報
【特許文献２】特開２０１０−２７１８７５号公報
【発明の概要】
【発明が解決しようとする課題】
【０００７】
特許文献１に記載の従来技術は、サーバと装置との通信間でログ情報を漏らさないことを目的としており、ログ情報に含まれている機密情報の保護については何ら考慮されていない。また、特許文献２に記載の従来技術は、多すぎるログ情報から必要な情報の抜け落ちを防止することが課題で、多すぎるログ情報は抑止することで実現しているが、単に件数で判断しているのであって、内容では判断していない。故に、機密情報であっても数が少なければ抑止できず、機密情報の漏れを防止すことはできない。
【０００８】
本発明は、ユーザの機密情報の保護を図りつつ、メーカー側も不必要な機密情報を扱うことがなくなるようにすることができる情報処理装置、情報処理方法、情報処理システム及び情報処理プログラムを提供することを目的とする。
【課題を解決するための手段】
【０００９】
上記目的を達成するために、本発明の情報処理装置は、
情報の少なくとも一部がマスキングされたログ情報のマスキング部分を属性ごとに紐付けて管理する管理部と、
ログ情報が入力されたとき、ログ情報を解析し、マスキング部分を識別する解析部と、
解析部によって識別されたマスキング部分の属性を、管理部の管理結果に基づいて識別する識別部と、
属性とマスキング部分のマスキング解除の要否情報とを紐付けて管理するテーブルと、
ログ情報を出力するとき、テーブルに基づいて属性ごとにマスキングを解除するか否かを判定する判定部と、
判定部の判定結果が、マスキング解除しない場合、マスキングを解除せずにログ情報を出力し、マスキング解除する場合、マスキングを解除してログ情報を出力する出力部と、
を備えることを特徴とする。
【００１０】
また、本発明の情報処理方法は、
情報の少なくとも一部がマスキングされたログ情報のマスキング部分を属性ごとに紐付けて管理し、
ログ情報が入力されたとき、ログ情報を解析してマスキング部分の属性を、管理の結果に基づいて識別し、
ログ情報を出力するとき、属性とマスキング部分のマスキング解除の要否情報とを紐付けて管理するテーブルに基づいて、属性ごとにマスキングを解除するか否かを判定し、
その判定結果が、マスキング解除しない場合、マスキングを解除せずにログ情報を出力し、マスキング解除する場合、マスキングを解除してログ情報を出力する
ことを特徴とする。
【００１１】
また、本発明の情報処理システムは、
少なくとも１台の情報処理装置と、前記少なくとも１台の情報処理装置を管理する管理サーバとを有する情報処理システムであって、
情報処理装置は、上記構成の情報処理装置の各構成要素を備える
ことを特徴とする。
【００１２】
また、本発明の情報処理プログラムは、
上記情報処理方法の処理をコンピュータに実行させる
ことを特徴とする。
【００１３】
情報の少なくとも一部がマスキングされたログ情報のマスキング部分を属性ごとに紐付けて管理する情報処理装置において、マスキング解除（復号化）の要求があったときに、機密情報に該当するテキストの属性によってマスキングを解除するか否かを判定し、その判定結果に基づいて、最初から不具合の解析に不必要な属性項目についてはマスキングを解除せず、マスキングしたまま出力にする。
【発明の効果】
【００１４】
本発明によれば、機密情報に該当するテキストの属性によってマスキングを解除するか否かを判断するため、ユーザの機密情報の保護を図りつつ、メーカー側も不必要な機密情報を扱うことを減らすことができる。
【図面の簡単な説明】
【００１５】
【図１】本発明の一実施形態に係る情報処理システムの全体を示すシステム構成図である。
【図２】属性テーブルの一例を示す図である。
【図３】情報処理装置の動作ログの一例を示す図である。
【図４】情報処理装置のハードウェア構成の一例を示すブロック図である。
【図５】管理サーバのハードウェア構成の一例を示すブロック図である。
【図６】ログのユーザ機密部分のマスキングについて説明する図である。
【図７】実施例１の情報処理システムにおける情報処理装置及び管理サーバが持つ機能構成の一例を示す機能ブロック図である。
【図８】ログ情報の管理テーブルの一例を示す図である。
【図９】機密情報テーブルの一例を示す図である。
【図１０】暗号化したログを出力するときの処理の流れの一例を示すフローチャートである。
【図１１】ブラウザを使用した属性テーブルの編集画面の一例を示す図である。
【図１２】暗号化した情報をログに埋め込むときの文字列の一例について説明する図である。
【図１３】ログ解析して復号化するときの処理の流れの一例を示すフローチャートである。
【図１４】スキャン時のログに含まれるジョブ設定ログ（復号化前）の一例を示す図である。
【図１５】情報処理装置と管理サーバとの通信シーケンスを示す図である。
【図１６】実施例２の情報処理システムにおける情報処理装置及び管理サーバが持つ機能構成の一例を示す機能ブロック図である。
【図１７】ログ情報保存部のテーブルの一例を示す図である。
【図１８】塗り潰し処理されたログ出力の一例を示す図である。
【図１９】レポートでマスキングを適用した例を示す図である。
【発明を実施するための形態】
【００１６】
以下、本発明を実施するための形態（以下、「実施形態」と記述する）について図面を用いて詳細に説明する。本発明は実施形態に限定されるものではなく、実施形態における種々の数値などは例示である。なお、以下の説明や各図において、同一要素又は同一機能を有する要素には同一符号を用いることとし、重複する説明は省略する。
【００１７】
＜情報処理システム＞
図１は、本発明の一実施形態に係る情報処理システムの全体を示すシステム構成図である。本情報処理システム１００は、ユーザサイドの画像処理装置１０と、メーカーサイドの管理サーバ２０とが、インターネット等の通信回線３０を介して接続された構成となっている。画像処理装置１０として、複合機を例示することができる。ただし、画像処理装置１０としては、複合機に限られるものではない。
【００１８】
本実施形態では、画像処理装置１０が１台のシステム構成を例示しているが、管理サーバ２０が管理する画像処理装置１０は１台に限られるものではない。すなわち、管理サーバ２０が複数台の画像処理装置を一括管理するシステム構成であってもよい。
【００１９】
画像処理装置１０と通信回線３０を介して通信する管理サーバ２０は、画像処理装置１０のログ情報（以下、「ログ」と記述する場合もある）に関する属性テーブルを管理している。ここで、「属性テーブル」とは、ログ情報の暗号化対象となる属性名、例えばメールアドレスやＩＰアドレス、ユーザ名といった項目名を管理しているテーブルであり、それぞれの項目名を暗号化するか否かのフラグを管理している。また、管理サーバ２０は、ログ情報の暗号化対象の属性名を管理するだけでなく、ログの特性を同時に管理してもよい。ここで、「ログの特性」とは、ジョブの種別やジョブの設定のことである。例えば、ジョブ種別ならコピー、スキャン、ＦＡＸ（ファクシミリ）といった値である。コピージョブの設定例としては、印字は両面か片面か、カラーモードはカラーかモノクロか、などの情報を例示することができる。
【００２０】
[属性テーブル]
属性テーブルの一例を図２に示す。この属性テーブルにおいて、メールアドレス、電話番号、ＩＰアドレス、ユーザ名は、ログに関する属性項目名（ログの属性）である。ログの各属性項目の値は、“Ｙｅｓ”／“Ｎｏ”の値（論理の“１”／“０”）を持つ。ここでは、Ｙｅｓ／Ｎｏの値は、マスキング（暗号化含む）するか否かを表す。“Ｙｅｓ”ならその項目を表示するときにマスキングして表示することを意味する。また、属性テーブルにおいて、ジョブ種別、ＣＯＰＹ：両面、ＣＯＰＹ：カラー、・・・、ＳＣＡＮ：解像度、ＳＣＡＮ：ファイルは、ジョブの属性である。
【００２１】
図２の各行は、一つのログ属性項目の値の組み合わせを表すもの（以下、「レコード」と呼ぶ）であり、これらは複数あることも考えられる。また、図２の例では、ログの属性に加えて、ジョブの属性値とも紐付けて管理している。図２において、「ジョブ種別」は、ジョブの種別を表したものであり、例えばＣＯＰＹやＳＣＡＮといった種類がある。「ＣＯＰＹ：両面」、「ＣＯＰＹ：カラー」、「ＳＣＡＮ：解像度」、「ＳＣＡＮ：ファイル」はジョブに関する属性である。「ＣＯＰＹ：」が付く属性はＣＯＰＹジョブ、「ＳＣＡＮ：」が付く属性はＳＣＡＮジョブに関する。なお、値が「−」になっているものはその属性値に対して値がないものである。例えば、ＣＯＰＹジョブを実行したときは「ＳＣＡＮ：解像度」は関係ないために「−」となる。レポートの場合はジョブの属性と紐付けしないこともあり得る。図２において、「・・・」は省略記号である。
【００２２】
[ログ]
「ログ」とは、情報処理装置１０がどのように動作したかの情報や解析に必要な情報を記載したテキストのことである。通常、メーカーなどの開発者でしか取得する術がないことが多い。ログには、情報処理装置１０の不具合の解析に使用される情報が記載される。出力内容は制御によって様々であるが、制御の要所ごとに実行した内容が書かれることが多い。また、情報処理装置１０の環境情報が出力されることもある。なお、上記のログの他、ユーザが出力・確認できるような履歴等を含むレポートも本発明の対象に含まれてもよい。情報処理装置１０の動作ログの一例を図３に示す。
【００２３】
[ハードウェア構成]
情報処理装置１０及び管理サーバ２０のハードウェア構成について説明する。図４は、情報処理装置１０のハードウェア構成の一例を示すブロック図である。ここでは、情報処理装置１０が複合機の場合を例示している。
【００２４】
複合機である情報処理装置１０は、制御部１１と、不揮発性メモリ１２と、操作表示部１３と、スキャナ部１４と、ファクシミリ通信部１５と、画像処理部１６と、プリンタ部１７と、ＵＳＢインターフェース（Ｉ／Ｆ）１８と、ネットワーク通信部１９とを備えている。
【００２５】
制御部１１は、例えば、ＣＰＵ（Central Processing Unit）１１１と、ＣＰＵ１１１が実行するプログラム等を記憶するためのＲＯＭ（Read Only Memory）１１２と、ＣＰＵ１１１の作業領域として使用されるＲＡＭ（Random Access Memory）１１３とを有している。なお、ＲＯＭ１１２としては、例えば、電気的に消去可能なプログラマブルＲＯＭを用いることができる。
【００２６】
制御部１１は、不揮発性メモリ１２、操作表示部１３、スキャナ部１４、ファクシミリ通信部１５、画像処理部１６、プリンタ部１７、ＵＳＢインターフェース１８及びネットワーク通信部１９のそれぞれに対してシステムバスＳＢ１を介して接続されている。
【００２７】
操作表示部１３は、液晶表示装置（ＬＣＤ）や有機ＥＬ（Electro Luminescence）表示装置等の平面型ディスプレイからなるタッチパネルである。この操作表示部１３は、ユーザに対する指示メニューや、取得した種々の情報等を表示する。さらに、操作表示部１３は、複数のキーを備え、ユーザのキー操作による各種の指示、文字、数字などのデータの入力を受け付けて、入力信号を制御部１１に出力する。
【００２８】
不揮発性メモリ１２は、スキャナ部１４で読み取って得た原稿画像の画像データを記憶したり、出力済みの画像データ等を記憶したりする。スキャナ部１４は、原稿画像をスキャンして読み取る。ファクシミリ通信部１５は、スキャナ部１４で読み取って得た画像データを外部へ送信する、あるいは外部から入力される画像データを受信する。
【００２９】
画像処理部１６は、スキャナ部１４で読み取って得た画像データに対して、所定のアナログ処理、Ａ／Ｄ変換、シェーディング補正、画像圧縮等の処理を行う。プリンタ部１７は、スキャナ部１４で読み取って得た画像データや、ファクシミリ通信部１５が受信した画像データなどを印字して出力する。ＵＳＢインターフェース１８には、ＵＳＢメモリを差し込むことができる。ネットワーク通信部１９は、本情報処理装置１０と管理サーバ２０とを、インターネット等の通信回線３０を介して接続する。
【００３０】
図５は、管理サーバ２０のハードウェア構成の一例を示すブロック図である。管理サーバ２０は、制御部２１と、記憶装置２２と、操作表示部２３と、ネットワーク通信部２４とを備えている。
【００３１】
制御部２１は、例えば、ＣＰＵ２１１と、ＣＰＵ２１１が実行するプログラム等を記憶するためのＲＯＭ２１２と、ＣＰＵ２１１の作業領域として使用されるＲＡＭ２１３とを有している。なお、ＲＯＭ２１２としては、例えば、電気的に消去可能なプログラマブルＲＯＭを用いることができる。
【００３２】
制御部２１は、記憶装置２２、操作表示部２３及びネットワーク通信部２４のそれぞれに対してシステムバスＳＢ２を介して接続されている。記憶装置２２は、管理サーバ２０が扱う種々の情報を記憶する。操作表示部２３は、液晶表示装置や有機ＥＬ表示装置等の平面型ディスプレイからなるタッチパネルである。操作表示部２３は、基本的に、情報処理装置１０の操作表示部１３と同様の機能を持っている。ネットワーク通信部２４は、本管理サーバ２０と情報処理装置１０とを通信回線３０を介して接続する。
【００３３】
［ログのユーザ機密部分のマスキング］
上記構成の情報処理システム１００において、ユーザから情報処理装置１０の不具合を報告されると、メーカーからエンジニアが来て情報処理装置１０の不具合を解析するために、ユーザの情報処理装置１０でログやレポートを取ることになる。このとき、例えば図６Ａに示すように、ある情報処理装置１０が、情報の少なくとも一部、例えば機密情報に該当する部分を塗り潰したログを出力したとする。それらは、情報処理装置１０でマスキング解除が可能で、特にマスキング解除に制限がなければ、図６Ｂに示すように、全ての機密情報が表示される。ログから情報処理装置１０の不具合を解析していく過程で、メールアドレス部分はログの解析に不要であるとわかった場合、メールアドレス部分は表示する必要がない機密情報となる。
【００３４】
［本情報処理システムの機能］
そこで、本実施形態に係る情報処理システム１００では、メールアドレス部分はマスキングを解除しない、という情報を情報処理装置１０に登録し、図６Ｃに示すように、メールアドレス部分だけがマスキング解除されないまま表示されるようにする。すなわち、本情報処理システム１００では、マスキング解除（復号化）の要求があったときに、機密情報に該当するテキストの属性によってマスキングを解除するか否かを判断し、最初から不具合の解析に不必要な属性項目についてはマスキングを解除せず、マスキングしたまま出力（例えば、表示）するようにする。これにより、ユーザの機密情報の保護を図りつつ、メーカーも不必要な機密情報を扱うことがなくなるようにすることができる。
【００３５】
（マスキングの例）
ログの機密情報をマスキングするマスキング処理として、暗号化処理や塗り潰し処理を例示することができる。ただし、マスキング処理としては、暗号化処理や塗り潰し処理に限られるものではなく、マスキングした部分が判断でき、元の情報に戻せるなら、その手法は問わない。以下に、マスキング処理が暗号化処理の場合を実施例１として、マスキング処理が塗り潰し処理の場合を実施例２として、本実施形態に係る情報処理システム１００の具体的な実施例について説明する。
【００３６】
［実施例１］
実施例１は、マスキング処理が暗号化処理の場合の例である。実施例１の情報処理システム１００における情報処理装置１０及び管理サーバ２０の機能構成の一例の機能ブロック図を図７に示す。以下に、実施例１の場合の情報処理装置１０及び管理サーバ２０の機能構成について具体的に説明する。
【００３７】
（情報処理装置の機能構成）
情報処理装置１０は、属性テーブル管理部４１を持ち、指定したジョブ属性と一致するレコードを属性テーブルから検索し、そのレコードのログの属性項目とフラグを取得することができる。本例では、属性テーブル管理部４１は、属性テーブル要求部４２から管理サーバ２０に対して属性テーブルを要求し、管理サーバ２０から属性テーブル受信部４３を通じて受信したレコードで、該当するジョブ属性と一致するレコードを更新する機能を備えている。
【００３８】
情報処理装置１０は更に、ログ入力部４４及びログ解析部４５を備えている。ログ入力部４４は、マスキング処理されたログの入力を受け付ける。ログ入力部４４のログ入力を受け付ける手段は問わず、例えばＵＳＢインターフェース１８（図４参照）を経由してＵＳＢメモリからテキストログのまま入力してもよいし、スキャナ部１４（図４参照）でスキャンして取り込んでもよい。
【００３９】
ログ解析部４５は、ログ入力部４４が受け付けたログデータを解析する。スキャナ部１４で画像として読み込んだ場合も、ログ解析部４５において、ＯＣＲ（Optical Character Recognition：光学文字認識）といった読取ソフトウェアを使用してテキストに変換することができる。ログ解析部４５では、ログに付与されているジョブ情報識別、マスキング部の認識を行う。ここで、「マスキング部の認識」とは、黒塗りや暗号化等で読み取れなくなったテキスト部分を認識する（見つける）ことである。黒塗りによるマスキングであるなら一定以上の面積の黒塗りを検出し、暗号化によるマスキングであるなら暗号化テキストを識別する。
【００４０】
情報処理装置１０は更に、復号化判定部４６、復号化部４７及び表示部４８を備えている。復号化判定部４６は、ログのマスキングされた部分の属性と一致する項目を、属性テーブル管理部４１が管理する属性テーブルから見つけ、それを復号化（マスキング解除）するか否かを判定する。すなわち、復号化判定部４６は、マスキング部分の属性を、属性テーブル管理部４１の管理に基づいて識別する属性識別部の一例である。
【００４１】
復号化部４７は、復号化判定部４６で復号化すると判定されたマスキング部分を元のテキストに戻す（復号化する）。表示部４８は、図４の操作表示部１３が持つ表示機能に相当し、復号化判定部４６で復号化しないと判定されたログ情報、あるいは復号化部４７でマスキング部分が復号化されたログ情報を表示する。表示部４８は、マスキング部分が復号化された、あるいは復号化されないログ情報を出力する出力部の一例である。
【００４２】
情報処理装置１０は更に、ログ生成部４９、暗号化判定部５０、機密情報テーブル５１、暗号化部５２及びログ出力部５３を備えている。ログ生成部４９は、レポートや不具合解析用のログの生成を行う。暗号化判定部５０は、ログ情報のテキストを生成する際、機密情報テーブル５１を基に、マスキングが必要な情報か否かを判定する。暗号化判定部５０は、ログに情報をテキストとして出力する際、その出力する情報の属性を識別し、機密情報テーブル５１からマスキングが必要か否かを判定する。
【００４３】
ログ情報は、制御部１１のＲＡＭ１１３（図４参照）上に存在し、属性名と紐付けられて、ＣＰＵ１１１の制御プログラムによって管理されている。ログ情報を例えばテーブルで管理するなら、図８に示すように、ログで使用する情報の値とその情報の属性とを紐付けて管理する。機密情報テーブル５１は、ログ出力部５３からログを出力するときに、マスキングする属性であるか否かを記載したテーブルである。機密情報テーブル５１は、属性テーブル管理部４１が管理する属性テーブルとは異なり、ログの解析が進んでもマスキングするか否かは変化せず、原則、機密情報属性であるならマスキングするフラグがセットされる。一例として、図９に示すように、属性名ごとにマスキングする機密情報であるか否かのフラグ（Ｙｅｓ／Ｎｏ）が管理されている。ここでは、フラグが“Ｙｅｓ”なら出力時に、機密情報をマスキングする。
【００４４】
暗号化部５２は、暗号化判定部５０で機密情報をマスキングすると判定された場合、その判定された機密情報を暗号化によってマスキングする。すなわち、暗号化部５２は、ログ生成部４９で生成されてログ情報に対して選択的に、情報の少なくとも一部、例えば機密情報をマスキング処理を施すマスキング処理部の一例である。ログ出力部５３は、暗号化判定部５０でマスキングしないと判定されたログ、あるいは暗号化部５２で機密情報を暗号化によってマスキングされたログを出力する。
【００４５】
上述した情報処理装置１０において、特定の機能部（４１，４６，４７，４９，５０，５２）については、それぞれの機能を実現するプログラムを解釈し、ソフトウェアで実行するコンピュータ（例えば、図４のＣＰＵ１１１）上の処理プログラムモジュールとして存在してもよい。また、それらの機能部の一部または全部が専用のハードウェアで構成されてもよい。上記の特定の機能部は、ハードウェア構成が必須となる属性テーブル要求部４２、属性テーブル受信部４３、ログ入力部４４、表示部４８及びログ出力部５３を除いた機能部となる。
【００４６】
（暗号化ログの出力処理）
上記構成の情報処理装置１０において、暗号化したログを出力するときの処理の流れについて、図１０のフローチャートに沿って説明する。暗号化したログを出力する処理は、暗号化判定部５０、暗号化部５２及びログ出力部５３によって実行される。
【００４７】
暗号化判定部５０は、ログに情報をテキストとして出力する際、その出力する情報の属性を識別し（ステップＳ１１）、機密情報テーブル５１からマスキングする機密情報であるか否かのフラグ（機密情報フラグ）を取得する（ステップＳ１２）。そして、暗号化判定部５０は、取得した機密情報フラグに基づいて、出力する情報が機密情報であるか否かを判断し（ステップＳ１３）、機密情報であれば（Ｓ１３のＹｅｓ）、暗号化部５２に対して機密情報である旨を通知する（ステップＳ１４）。
【００４８】
暗号化判定部５０からの通知を受けて、暗号化部５２は、機密情報を暗号化（マスキング）し（ステップＳ１５）、その暗号化した機密情報を含むログをログ出力部５３へ渡す（ステップＳ１６）。暗号化判定部５０は、出力する情報が機密情報でない場合は（Ｓ１３のＮｏ）、ステップＳ１６へ以降し、暗号化処理を施さないログを直接ログ出力部５３へ渡す。
【００４９】
（管理サーバの機能構成）
図７に示すように、管理サーバ２０は、属性要求受信部６１及び属性テーブル送信部６２を備えており、属性テーブルを管理し、情報処理装置１０から属性要求受信部６１を介して最新の属性テーブルの要求があったときに、属性テーブル送信部６２を介して情報処理装置１０へ属性テーブルを送信する。
【００５０】
管理サーバ２０は更に、属性検索部６３、属性テーブル管理部６４及び属性テーブル入力部６５を備えている。属性テーブル管理部６４は、図２に示すような属性テーブルを保持している。属性検索部６３は、ジョブ情報によって属性テーブル管理部６４からジョブ情報と一致するレコードを検索する。
【００５１】
属性テーブル入力部６５は、例えばパーソナルコンピュータなどを使用して属性テーブル管理部６４が管理するレコードの内容を更新するための入力部である。例えば、メーカーでエンジニアがパーソナルコンピュータを使用してレコードを更新することができる。具体的には、一例として、管理サーバ２０でＷｅｂサーバを立ち上げ、図１１に示すような画面を出力することで、エンジニアは属性テーブルのレコードを編集することができる。例えば、属性テーブルの表をクリックすると、マスキングしたままにするか否かのフラグを編集することができる。
【００５２】
上述した管理サーバ２０において、属性検索部６３、属性テーブル管理部６４及び属性テーブル入力部６５については、コンピュータ（例えば、図５のＣＰＵ２１１）上の処理プログラムモジュールとして存在してもよい。また、それらの機能部の一部または全部が専用のハードウェアで構成されてもよい。
【００５３】
（マスキングの具体例）
ここで、マスキングを暗号化によって行う具体例について説明する。暗号化すると不明な文字列になり、誰が見ても解読することはできない。暗号化する際、情報処理装置１０だけが持つ固有の文字列を鍵として暗号化してもよいし、ユーザが設定した文字列を鍵として暗号化してもよい。そして、その鍵を使用して復号化もできる。
【００５４】
ここでは、一例として、ＡＥＳ（Advanced Encryption Standard）形式を使用して暗号化する場合を例に挙げて説明する。暗号化する際の鍵を、情報処理装置１０だけが管理している情報として、「machine-key12345」とする。そして、暗号化する対象の文字列を、メールアドレス「abc123@abc3.co.jp」とした場合、ＡＥＳ形式で暗号化してＢａｓｅ６４でエンコードしたとすると、
「qsxc3rSfqh5M012K+frj+UJSRb2uIT0/ukiDPbfEEdmyRwb96ioCBnIdT7i40BT3」
といった文字列になる。復号化するときは、Ｂａｓｅ６４でデコードし、鍵を使用して復号化する。すると、元の「abc123@abc3.co.jp」というメールアドレスがわかる。
【００５５】
次に、これらの暗号化した情報をログに埋め込むときを考える。一例として、先のメールアドレスが、図１２Ａに示すようにログの行に含まれていたとする。これに先の暗号化を適用すると、図１２Ｂに示すように変換される。
【００５６】
ところで、先の暗号化されたテキスト「qsxc〜」の直前と終わりに「<MADRS>」や「</MADRS>」が挿入されているが、これは暗号化された部分の開始と終わりを意味し、なおかつ、属性としてメールアドレスであることを示す特殊な文字である（いわゆる、「タグ」と言われるものである）。どこが暗号化されているかはログを読み取っただけでは不明であるから印として特殊な文字列を付けておく。本例では、５文字を付加しているが、付加する文字数は何文字でもよく、暗号化されている部分が識別できればよい。他にも、電話番号なら「TLPNN」といった文字列をつける、といったことをする。これらは一例であり、属性が識別できればどのような文字列でもよい。
【００５７】
（ログ解析＆復号化処理）
ログ解析して復号化するときの処理の流れについて、図１３のフローチャートに沿って説明する。ログ解析して復号化するときの処理は、ログ解析部４５、復号化判定部４６及び復号化部４７によって実行される。
【００５８】
ログ解析部４５は、ログ入力部４４が受け付けたログデータについて、図２の属性テーブルと照らし合わせるにあたって、照らし合わせを行っていない行が残っているか否かを判断し（ステップＳ２１）、残っていれば（Ｓ２１のＹｅｓ）、行の値を読み込む（ステップＳ２２）。そして、ログ解析部４５は、ログデータにタグがあるか否かを判断し（ステップＳ２３）、タグがあれば（Ｓ２３のＹｅｓ）、タグから属性を識別し（ステップＳ２４）、次いで、タグに挟まれたテキストを抽出する（ステップＳ２５）。
【００５９】
次に、復号化判定部４６は、ログ解析部４５で抽出された暗号化テキストについて、復号化するフラグが立っている属性か否かを判断し（ステップＳ２６）、復号化するフラグが立っている属性であれば（Ｓ２６のＹｅｓ）、復号化部４７に対して復号化する旨を通知する（ステップＳ２７）。復号化判定部４６からの通知を受けて、復号化部４７は、ログ解析部４５で抽出された暗号化テキストを復号化し（ステップＳ２８）、その復号化したログを表示部４８へ送信する（ステップＳ２９）。
【００６０】
ステップＳ２１において照らし合わせを行っていない行が残っていないと判断した場合（Ｓ２１のＮｏ）、ログ解析部４５は本一連の処理を終了する。ステップＳ２３においてログデータにタグがないと判断した場合（Ｓ２３のＮｏ）、ログ解析部４５はステップＳ２９へ移行し、復号化を行わない、暗号化したままのログを直接表示部４８へ送信する。ステップＳ２６において復号化するフラグが立っている属性でなければ（Ｓ２６のＮｏ）、復号化判定部４６はステップＳ２９へ移行し、復号化を行わない、暗号化したままのログを直接表示部４８へ送信する。一例として、ＳＣＡＮジョブを実行したとする。このときの設定が、ＳＣＡＮ解像度が２００［ｄｐｉ］で、ファイルタイプがｐｄｆであったとする（図２参照）。このジョブを実行した後、何らかの不具合があると思われたとき、不具合解析用の暗号化ログを出力する。暗号化ログには、動作したログに加え、そのときのジョブ設定も出力される。例えば、今回の例であれば、図１４に示すように、ログの情報が動作ログに混じって出力される。ログ解析部４５はこの部分を読み取り、解析してジョブ設定を判断する。
【００６１】
次に、ログ解析部４５がログを読み込み、暗号化部分を見つけたとする。例えば、図１４に示すような<MADRS></MADRS>で囲われた部分を見つけたとする。「MADRS」という文字列は、メールアドレスの属性を意味し、ここにはメールアドレスが暗号化されていることがわかる。このログを表示部４８で表示しようとする前に復号化判定部４６で、属性テーブル管理部４１からメールアドレスという属性を復号化するか否かのフラグを取得する。このとき、先に読み取ったジョブ情報を検索する。
【００６２】
例えば、図２の属性テーブルを例に挙げると、検索するのはジョブ種別：ＳＣＡＮ、ＳＣＡＮ解像度：２００［ｄｐｉ］、ＳＣＡＮファイルタイプ：ｐｄｆのジョブである。図２の属性テーブルからＮｏ．２のレコードが該当することがわかる。そして、このレコードのメールアドレスをマスキングするか否かのフラグを取得すると「Ｎｏ」である。つまり、このとき表示部４８には、<MADRS></MADRS>で囲われた部分を、復号化部４７を通して復号化し表示する。逆に、マスキングするフラグが「Ｙｅｓ」であるなら復号化せずに、暗号化したままの文字列で表示する。
【００６３】
なお、ジョブ条件と合致するレコードがなかった場合は、マスキングフラグのデフォルト値を使用する。例えば、マスキングする否かのフラグのデフォルト値として「Ｎｏ」と設定した場合、ジョブ条件と合致しなかったら、全ての属性項目は復号化されて表示される。表示に関しては、情報処理装置１０が有するタッチパネル等の操作表示部１３（図４参照）に表示する。表示以外にも電子データや紙に出力することも考えられるが、機密情報を漏らさないという観点からすれば紙に出力することは好ましくない。
【００６４】
（情報処理装置と管理サーバとの通信シーケンス）
情報処理装置１０と管理サーバ２０との通信に関して、図１５を用いて説明する。図１５は、情報処理装置１０と管理サーバ２０との通信シーケンスを示す図である。
【００６５】
情報処理装置１０は、管理サーバ２０とはインターネット等の通信回線３０を通じて通信を行う。管理サーバ２０は、様々なジョブ設定に関する属性テーブルを持つ。属性テーブルについては、他のユーザと共有するようにしてもよい。
【００６６】
情報処理装置１０は、ログ入力部４４（図７参照）から暗号化ログが入力されると（ステップＳ３１）、入力された暗号化ログを読み取り（ステップＳ３２）、最新の属性テーブルを管理サーバ２０に送るように要求する（ステップＳ３３）。この要求に対して、管理サーバ２０は、ジョブ設定から属性テーブルを検索し（ステップＳ３４）、もし所定の条件(ここでは、ジョブ設定の一致)に合致する属性テーブルのレコードがあったら、当該属性テーブルを情報処理装置１０に送信する（ステップＳ３５）。
【００６７】
情報処理装置１０は、管理サーバ２０が送信した属性テーブルを受信し（ステップＳ３６）、次いで、保持している属性テーブルのレコードを更新する（ステップＳ３７）。なお、管理サーバ２０では、所定の条件に合致する属性テーブルがなかった場合は、属性テーブルの送信を行わない。したがって、情報処理装置１０では、属性テーブルのレコードの更新は行われない。
【００６８】
情報処理装置１０は、属性テーブルのレコードを更新した後、そのレコードを使用し、ログの各機密情報を復号化するか否かを判断し、復号化する必要がある場合、ログの各機密情報に対して復号化処理を行う（ステップＳ３８）。このステップＳ３８の処理は、図１０の処理である。そして、情報処理装置１０は、復号化処理を行ったログを表示部４８で表示する（ステップＳ３９）。
【００６９】
この表示部４８に表示されたログをエンジニアが確認する（ステップＳ４０）。管理サーバ２０には、エンジニアが不具合の解析に不必要と判断した属性を入力するインターフェースがある。このインターフェースを通してエンジニアは、例えばＷｅｂベースのページから、ジョブ設定と属性ごとにマスキングするか否かフラグを設定する（ステップＳ４１）。これを受けて、管理サーバ２０は属性テーブルを更新する（ステップＳ４２）。
【００７０】
そして、表示部４８に表示されたログを基に、情報処理装置１０の不具合の解明ができたのであれば（Ｓ４３のＹｅｓ）、ログに基づく一連の不具合解明の処理を終了する。また、情報処理装置１０の不具合の解明ができていなければ（Ｓ４３のＮｏ）、ステップＳ３１に戻って、上述した一連の処理を繰り返して実行する。
【００７１】
以上説明したように、管理サーバ２０を使い、他のユーザと共有することにより、他のユーザで起きた過去の不具合でのマスキング情報を使用できるため、最初から全てマスキング解除するのではなく、最初から不具合の解析に不必要な属性項目はマスキングしたまま表示できるようになる。その結果、より機密情報が守られやすくなる。
【００７２】
［実施例２］
実施例２は、マスキング処理が塗り潰し処理の場合の例である。実施例２の情報処理システム１００における情報処理装置１０及び管理サーバ２０の機能構成の一例の機能ブロック図を図１６に示す。以下に、実施例２の場合の情報処理装置１０及び管理サーバ２０の機能構成について具体的に説明する。
【００７３】
（情報処理装置の機能構成）
実施例１（図７）と対比して説明すると、情報処理装置１０は、復号化判定部４６及び復号化部４７に代えて、塗り潰し解除判定部７１、ログ情報取得部７２及びログ情報保存部７３を備えている。情報処理装置１０は更に暗号化判定部５０及び暗号化部５２に代えて、塗り潰し判定部７４及び塗り潰し処理部７５を備えている。
【００７４】
塗り潰しの場合、暗号化の場合と異なり、ログの情報そのものから元の機密情報に戻す（元の機密情報を復号する）といった処理を行うことはできない。そのため、情報処理装置１０は、塗り潰す対象となる元の機密情報を管理する必要がある。また、情報処理装置１０は、処理対象のログ情報と、情報処理装置１０が保持しているオリジナルの機密情報を含むログ情報とを関連付けておくようにする必要がある。
【００７５】
このような観点から、ログ情報保存部７３が備えられており、当該ログ情報保存部７３には、オリジナルの機密情報を含むログ情報を、処理対象のログ情報と関連付けて保存されているとともに、塗り潰した部分の情報が保存されている。これらの情報は、塗り潰し判定部７４及び塗り潰し処理部７５による塗り潰し処理の際に取得することができる。
【００７６】
ログ情報保存部７３としては、通常情報処理装置１０が備える不揮発性メモリ１２（図４参照）を用いることができる。不揮発性メモリ１２は、ＨＤＤ（Hard Disk Drive）やＳＳＤ（Solid State Drive）などからなる。ログ情報保存部７３のテーブルの一例を図１７に示す。
【００７７】
塗り潰し判定部７４は、ログ情報のテキストを生成する際、機密情報テーブル５１を基に、塗り潰しが必要な機密情報か否かを判定し、塗り潰しが必要であれば、その旨を塗り潰し処理部７５に対して通知する。塗り潰し判定部７４は、塗り潰しが必要でなければ、ログ生成部４９で生成されたログ情報をそのままログ出力部５３へ渡す。塗り潰し処理部７５は、塗り潰し判定部７４から塗り潰しが必要な旨の通知を受けると、塗り潰しが必要な機密情報に対して塗り潰し処理を行い、その処理後のログ情報をログ出力部５３へ渡す。
【００７８】
塗り潰し解除判定部７１は、ログ解析部４５を経て入力されるログの、塗り潰しによってマスキングされた部分の属性と一致する項目を、属性テーブル管理部４１が管理する属性テーブルから見つけ、塗り潰しを解除するか否かを判定する。そして、塗り潰し解除判定部７１は、塗り潰しを解除する場合にはその旨をログ情報取得部７２に通知する。
【００７９】
ログ情報取得部７２は、塗り潰し解除判定部７１から塗り潰し解除の通知を受けると、ログ情報保存部７３に処理対象のログ情報と関連付けられて保存されている、オリジナルの機密情報を含むログ情報や、塗り潰した部分の情報を基に、塗り潰し前の元の機密情報を取得、再現する。
【００８０】
上述した情報処理装置１０において、塗り潰し解除判定部７１、ログ情報取得部７２、塗り潰し判定部７４及び塗り潰し処理部７５については、コンピュータ（例えば、図４のＣＰＵ１１１）上の処理プログラムモジュールとして存在してもよい。また、それらの機能部の一部または全部が専用のハードウェアで構成されてもよい。
【００８１】
（管理サーバの機能構成）
実施例２の情報処理システム１００における管理サーバ２０の機能構成については、実施１の情報処理システム１００における管理サーバ２０（図７参照）の機能構成と同じである。
【００８２】
（塗り潰し処理の具体例）
ここで、塗り潰し処理の具体例について説明する。一例として、図１８に示すように、メールアドレス部分が塗り潰されて出力されたログがあったとする。この例では、ログ内容を紙などに印字した場合を考える。
【００８３】
ログの入力は、スキャナ部１４（図４参照）から画像として行われる。この例では、ログ入力部４４がスキャナ部１４となる。ログ入力部４４から入力された画像は、ログ解析部４５によってログの解析が行われる。ログ解析部４５において、塗り潰し処理された部分の検出は、例えば一定面積以上の黒塗りを検出するなどによって行われる。また、図１８の例では、黒塗り部分の前に「(1)」という数字が書かれている。この数字は、この塗り潰しのＩＤを表すもので、ログ情報保存部７３に保存している、この塗り潰し部分のオリジナル情報と紐付けるためのものである。
【００８４】
ログ解析部４５は、検出した塗り潰し部分の前にある文字列をＯＣＲ等で文字列として解釈し、数字を抽出する。オリジナルの情報を管理している、ログ情報保存部７３のテーブルで上記抽出したＩＤから黒塗り部分が元々どのような情報であったかがわかる。例えば、図１７のテーブルの番号（＃）と照らし合わせると元のメールアドレスは番号１のメールアドレスであることがわかる。なお、上記の塗り潰し処理された部分とオリジナル情報との紐付けは数値だけではなく、画像や記号を使用してもよい。
【００８５】
（情報処理装置と管理サーバとの通信シーケンス）
実施例２における情報処理装置１０と管理サーバ２０との通信シーケンスに関して、マスキングの方式が違うだけで、基本的なシーケンスは、図１５に示す実施例１における情報処理装置１０と管理サーバ２０との通信シーケンスと同じである。
【００８６】
［情報処理プログラム］
以上説明した実施例１、実施例２の情報処理システム１００において、例えば情報処理装置１０の各機能部が、例えばＣＰＵ１１１上の処理プログラムモジュールとして存在する場合、各機能をＣＰＵ１１１に実行させるプログラムが、本発明の情報処理プログラムとなる。この情報処理プログラムについては、情報処理装置１０が備える記憶部、例えば制御部１１のＲＯＭ１１２（図４参照）にあらかじめインストールしておくことが考えられる。ただし、これに限定されるものではなく、有線や無線による通信手段によって提供することも可能であるし、コンピュータ読み取りが可能なＩＣカードやＵＳＢメモリ等の記憶媒体に格納して提供することも可能である。
【００８７】
＜変形例＞
以上、本発明について実施形態を用いて説明したが、本発明は上記実施形態に記載の範囲には限定されない。すなわち、本発明の要旨を逸脱しない範囲内で上記実施形態に多様な変更または改良を加えることができ、そのような変更または改良を加えた形態も本発明の技術的範囲に含まれる。
【００８８】
例えば、上記実施形態では、情報処理装置１０と管理サーバ２０とを備える情報処理システム１００を例に挙げて説明したが、本発明は情報処理システム１００への適用に限られるものではなく、情報処理装置１０単体への適用も可能である。すなわち、情報処理装置１０単体（本発明の情報処理装置）では、管理サーバ２０を使わずに、情報処理装置１０だけで属性テーブルの管理、更新を行うようにすることも可能である。この場合、情報処理装置１０には、図７の管理サーバ２０の属性検索部６３、属性テーブル管理部６４及び属性テーブル入力部６５の各機能部を持たせるようにすればよい。
【００８９】
また、上記実施形態では、情報処理装置１０として複合機を例示したが、複合機に限られるものではなく、プリンタ装置、ファクシミリ装置、印刷機などの画像形成装置や、画像形成装置に限らず、ログ情報から不具合の解析が可能な情報処理装置全般に対して適用可能である。
【００９０】
また、上記実施形態では、不具合の解析に使用する不具合ログに適用した場合を例に挙げて説明したが、送信レポートなどのレポートに適用することも可能である。例えば、図１９に示すように、送信履歴レポートを紙に出力したとき、送信先名と電話番号という属性があった場合で、更にマスキング解除要求が合った場合の表示時、マスキングしたままにするか否かのフラグをチェックし、マスキング解除するか、マスキングしたままにするかを制御する。
【００９１】
レポートにおいて、番号の記載がある(055)〜(059)は送信先名の属性、(060)〜(064)は電話番号の属性である。それぞれをマスキング解除して表示する際、属性テーブルから送信先名、電話番号の属性のマスキングしたままにするか否かのフラグを取得し、フラグが“Ｙｅｓ”ならマスキングを解除せずに黒塗り、フラグが“Ｎｏ”ならマスキングを解除して元の情報を表示する。図１９は、送信先名、電話番号の両方共、黒塗り（塗り潰し）によってマスキングしたままの例である。
【符号の説明】
【００９２】
１０…情報処理装置、  ２０…管理サーバ、  ３０…通信回線、  ４１…属性テーブル管理部、  ４４…ログ入力部、  ４５…ログ解析部、  ４６…復号化判定部、  ４７…復号化部、  ４９…ログ生成部、  ５０…暗号化判定部、  ５１…機密情報テーブル、  ５２…暗号化部、  ５３…ログ出力部、  ６３…属性検索部、  ６４…属性テーブル管理部、  ６５…属性テーブル入力部、  ７１…塗り潰し解除判定部、  ７２…ログ情報取得部、  ７３…ログ情報保存部、  ７４…塗り潰し判定部、  ７５…塗り潰し処理部、  １００…情報処理システム
【図１】
2017097703.tif 000003
【図２】
2017097703.tif 000004
【図３】
2017097703.tif 000005
【図４】
2017097703.tif 000006
【図５】
2017097703.tif 000007
【図６】
2017097703.tif 000008
【図７】
2017097703.tif 000009
【図８】
2017097703.tif 000010
【図９】
2017097703.tif 000011
【図１０】
2017097703.tif 000012
【図１１】
2017097703.tif 000013
【図１２】
2017097703.tif 000014
【図１３】
2017097703.tif 000015
【図１４】
2017097703.tif 000016
【図１５】
2017097703.tif 000017
【図１６】
2017097703.tif 000018
【図１７】
2017097703.tif 000019
【図１８】
2017097703.tif 000020
【図１９】
2017097703.tif 000021