JP5018541B2 - 情報処理装置および履歴情報管理プログラム - Google Patents

Description

本発明は、情報処理装置および履歴情報管理プログラムに関する。

近年、情報機器の普及とネットワーク化の進展に伴い、オフィスには印刷装置、複写機、ファクシミリ、複合機などの文書情報を処理する装置としての情報処理装置をネットワーク接続したネットワークシステムが導入されている。

また、これらの情報処理装置には、自装置で処理したジョブの履歴情報を保持する履歴情報保持機能を有する装置が少なくない。

例えば印刷機能、コピー機能、ファクシミリ機能、スキャナ機能などの各種機能を有する複合機において、ファックス送信の処理を実施した場合、その処理内容（ファックス送信処理）、処理日時、送信文書名、送信したユーザ名（処理実施者）、送信先などが記録された履歴情報が当該複合機の記憶装置内に保存され、当該複合機の管理者や一般利用者は、その履歴情報を自由に閲覧できるようになっている。

このような履歴情報保持機能は、利用者が指示したジョブの実施状況を確認する、或いは、管理者が当該複合機でのジョブの実施状況を確認する上では有用な機能ではあるが、個人情報の漏洩防止や情報セキュリティーの強化の観点から履歴情報に記録された全ての情報が管理者や一般利用者に自由に閲覧されることに問題がある場合もある。

例えばファックス送信処理においては、履歴情報に記録される送信文書名や送信先などの情報は、他の利用者には見せたくない情報であり、これらの情報も管理者や一般利用者に自由に閲覧されてしまうことには問題がある。

そこで、このような問題を解決する技術として、特許文献１には、ユーザ単位で、表示可能な全てのジョブ履歴情報中でユーザが表示させたくない（他のユーザには開示を欲しない）項目はマスクして表示する技術が開示されている。
特開２００５−３２４４５０号公報

上記特許文献１の提案の技術を適用した場合において、障害発生時や課金集計処理などを実施の際には、マスクされた情報が必要となる場合もあり、その際に各ユーザにマスク解除を実施してもらうのは大変である上、マスク解除の際には、そのユーザの全ての情報が開示されるという問題がある。

また、上記特許文献１の提案の技術を管理者権限で全てのマスクが解除できるように適用した場合、マスク解除の際には、不要な個人情報まで開示されてしまうと共に、マスク解除が実施されたことを当該情報のユーザが知らないため、ユーザに個人情報の漏洩の不安を抱かせる可能性がある。

そこで、本発明は、ジョブの履歴情報に含まれる個人情報を保護して管理すると共に、許可された者にのみ履歴情報に含まれる個人情報を開示する情報処理装置および履歴情報管理プログラムを提供することを目的とする。

上記目的を達成するため、請求項１の発明の情報処理装置は、各種処理を実施する毎に該処理の履歴情報を生成する履歴情報生成手段と、前記履歴情報生成手段で生成された前記履歴情報に含まれる個人情報に対して一意に定まる識別子を割り当てる識別子割当手段と、前記識別子割当手段で割り当てられた前記識別子で前記履歴情報の前記個人情報を置き換えて保存する履歴情報保存手段と、前記識別子を割り当てた個人情報と該個人情報の所有者とを関連付けた管理情報を生成する管理情報生成手段と、前記管理情報生成手段で生成された前記管理情報に含まれる前記個人情報を該個人情報の所有者の暗号鍵で暗号化して保存する管理情報保存手段と、前記識別子および前記個人情報の所有者の復号鍵の入力により、前記管理情報保存手段に保存された前記識別子に割り当てられた個人情報を該復号鍵で復号して提供する個人情報復号手段とを具備することを特徴とする。

また、請求項２の発明は、請求項１の発明において、前記管理情報保存手段は、前記管理情報生成手段で生成された前記管理情報に含まれる前記個人情報を前記個人情報の所有者の暗号鍵で暗号化した情報と、前記管理情報に含まれる前記個人情報を管理者の暗号鍵で暗号化した情報とをそれぞれ生成して保存し、前記個人情報復号手段は、前記識別子および前記個人情報の所有者の復号鍵または前記管理者の復号鍵の入力により、前記管理情報保存手段に保存された前記識別子に割り当てられた個人情報を該復号鍵で復号して提供することを特徴とする。

また、請求項３の発明は、請求項２の発明において、前記個人情報が前記管理者の復号鍵で復号された場合に、その旨を該個人情報の所有者に対して通知する通知手段を更に具備することを特徴とする。

また、請求項４の発明の履歴情報管理プログラムは、コンピュータを各種処理を実施する毎に該処理の履歴情報を生成する履歴情報生成手段、前記履歴情報生成手段で生成された前記履歴情報に含まれる個人情報に対して一意に定まる識別子を割り当てる識別子割当手段、前記識別子割当手段で割り当てられた前記識別子で前記履歴情報の前記個人情報を置き換えて保存する履歴情報保存手段、前記識別子を割り当てた個人情報と該個人情報の所有者とを関連付けた管理情報を生成する管理情報生成手段、前記管理情報生成手段で生成された前記管理情報に含まれる前記個人情報を該個人情報の所有者の暗号鍵で暗号化して保存する管理情報保存手段、前記識別子および前記個人情報の所有者の復号鍵の入力により、前記管理情報保存手段に保存された前記識別子に割り当てられた個人情報を該復号鍵で復号して提供する個人情報復号手段として機能させることを特徴とする。

請求項１記載の発明によれば、各種処理の履歴情報に含まれる個人情報が保護されると共に、個人情報の漏洩を防止することができる。

また、請求項２記載の発明によれば、各種処理の履歴情報に含まれる個人情報のセキュリティーをより強化して管理することができる。

また、請求項３記載の発明によれば、各種処理の履歴情報に含まれる個人情報がその個人情報の所有者以外の者に開示された場合には、その旨がその個人情報の所有者に通知されるので、管理者による個人情報の必要以上の取得が防止できる。

請求項４記載の発明によれば、各種処理の履歴情報に含まれる個人情報を保護し、個人情報が漏洩することを防止する動作をコンピュータで実現することができる。

以下、本発明に係わる情報処理装置および履歴情報管理プログラムの一実施例を添付図面を参照して詳細に説明する。

図１は、本発明に係わる情報処理装置および履歴情報管理プログラムを適用して構成された情報処理システムと情報処理システムを構成する各装置の機能的な構成の一例を示す構成図である。

図１において、本発明に係わる情報処理装置および履歴情報管理プログラムは、実行ジョブの履歴情報に含まれる個人情報の漏洩を防止するために、履歴情報に含まれる個人情報を保護し、許可された者にのみ、履歴情報に含まれる個人情報が開示されるように構成されている。

このような情報処理装置および履歴情報管理プログラムを適用した情報処理システムの一例として、図１に示すような、情報処理システム１００を例に説明する。

図１に示すように、情報処理システム１００は、複数のクライアントＰＣ１−１、クライアントＰＣ１−２、・・・（以下、総称する場合は「クライアントＰＣ１−ｎ」という。）と本発明に係わる情報処理装置の一例としての複合機２とがＬＡＮ（＝Ｌｏｃａｌ Ａｒｅａ Ｎｅｔｗｏｒｋ）等のネットワーク３で接続されている。

複合機２は、自装置で処理したジョブの履歴情報を生成して蓄積保存する機能を有しており、複合機２に対してクライアントＰＣ１−ｎから履歴情報の取得要求があった場合、若しくは複合機２の後述するユーザＩ／Ｆ２５を介してユーザが履歴情報の出力操作を行った場合には、履歴情報に含まれる個人情報が保護された状態の履歴情報で提供し、許可された者にのみ、履歴情報に含まれる個人情報が開示されるように構成されている。

このような履歴情報の生成および管理を実現可能とするために、複合機２は、制御部２０、画像読取部２１、画像処理部２２、画像形成部２３、ネットワークインタフェース部（以下、「ネットワークＩ／Ｆ部」という。）２４、ユーザインタフェース部（以下、「ユーザＩ／Ｆ部」という）２５、記憶部２６の各機能的なブロックで構成され、また、複合機２には履歴情報管理プログラム２６０がインストールされている。

複合機２の制御部２０は、複合機２のＣＰＵであり、複合機２を構成する各部を制御し、複合機２全体を統括制御する。

画像読取部２１は、紙文書を光学的に走査して、当該紙文書に形成された画像を読み取る。具体的には、スキャナー装置を備え、複合機２が具備するＡＤＦ（＝自動原稿送り装置）あるいはプラテンガラス上にセットされた紙文書を光学的に走査（スキャン）し、当該紙文書の画像を読み取り、読み取った画像（読取画像）を記憶部２６の所定の記憶領域に記憶させる。

画像処理部２２は、読取画像または印刷指示された印刷データに対してユーザにより設定された、例えば印刷部数、印刷面指定（両面／裏面）、用紙サイズ、色数等の印刷条件に応じた画像処理を施し、所定の画像フォーマット形式に変換する。

画像形成部２３は、複合機２で印刷、複製、スキャン、ファックス通信等の各種処理を実施する際に、画像処理された画像データ（読取画像を含む）を複合機２が備える図示せぬ用紙上に形成して出力するための制御を行う。

ネットワークＩ／Ｆ部２４は、ネットワーク３または複合機２とは他の装置（外部装置）と接続し、ネットワーク３を介して接続されたクライアントＰＣ１−ｎまたは直接接続された外部装置とデータ信号や制御信号の授受の制御を行う。また、制御部２０の指令に基づき指定された宛先に文書データや読取画像などの各種データを送信する。

ユーザＩ／Ｆ部２５は、ＬＣＤ（＝Ｌｉｑｕｉｄ Ｃｒｙｓｔａｌ Ｄｉｓｐｌａｙ）等の表示装置や操作ボタンを備え、ユーザの操作による複合機２への指示情報の入力及び複合機２からユーザへの複合機２のステータス情報や各種情報の表示等、ユーザと複合機２とのインタフェース処理を行う。

記憶部２６は、ＲＯＭ、ＲＡＭ、ハードディスク等の記憶装置で構成され、これらの各記憶装置へのデータの書き込みや各記憶装置からのデータの読み込み等の制御を行う。

前述した履歴情報管理プログラム２６０は、記憶部２６のハードディスクに格納されており、制御部２０が記憶部２６から履歴情報管理プログラム２６０を読込み、実行することで、本願発明に係わる処理が複合機２で実現される。

また、記憶部２６には、履歴情報管理プログラム２６０の他に、本発明の処理動作に必要な各種データや制御プログラム、ファクス送信の際の宛先情報等の各種情報がＲＯＭ、ハードディスク等の装置の所定の記憶領域に格納されている。

尚、履歴情報管理プログラム２６０（図２参照）の詳細については後述する。

クライアントＰＣ１−１は、制御部（ＰＣ）１０、入力部１１、出力部１２、記憶部（ＰＣ）１３、ネットワークインタフェース部（以下、「ネットワークＩ／Ｆ部（ＰＣ）」という。）１４の各機能的なブロックで構成されている。

制御部（ＰＣ）１０は、クライアントＰＣ１のＣＰＵであり、クライアントＰＣ１を構成する各部を制御し、クライアントＰＣ１全体を統括制御する。

入力部１１は、入力装置（例えばキーボードやマウス等）を備え、これらの装置を制御して、クライアントＰＣ１への各種情報の入力制御を行う。

出力部１２は、出力装置（例えばディスプレイ等）を備え、出力装置を制御してクライアントＰＣ１で各種処理した情報を出力装置へ出力する。

記憶部（ＰＣ）１３は、記憶装置（ＲＯＭ、ＲＡＭ、ハードディスク、外部記憶装置等）を備え、これらの装置を制御して、本発明の処理動作を実現するための各種情報、プログラム等を記憶管理する。

ネットワークＩ／Ｆ部（ＰＣ）１４は、ネットワーク３またはクライアントＰＣ１−１とは他の装置（外部装置）と接続し、ネットワーク３を介して接続された複合機２や自装置とは他のクライアントＰＣ１−ｎまたは直接接続された外部装置とデータ信号や制御信号の授受の制御を行う。

図２は、履歴情報管理プログラム２６０の機能的な構成を示す構成図である。

図２に示すように、履歴情報管理プログラム２６０は、設定部２６１、履歴情報取得部２６２、履歴情報生成部２６３、個人情報生成部２６４、暗号処理部２６５、復号処理部２６６、履歴情報出力部２６７の各機能的なブロックで構成されている。

設定部２６１は、複合機２で蓄積記憶される実行ジョブの履歴情報のうちの個人情報として保護する項目の情報を設定する。

履歴情報取得部２６２は、ジョブの実行毎に当該ジョブの履歴情報の生成に必要な当該ジョブの処理内容、処理した文書名、ユーザ名、送信先（ファックス送信の場合など）、処理日時、処理結果などの各種情報を取得する。

尚、複合機２は、自装置でジョブを実行した場合は、そのジョブの処理内容、処理した文書名、ユーザ名、送信先（ファックス送信の場合など）などの情報（以下、説明の便宜上、「第１の履歴情報」という。）を生成し、第１の履歴情報のうちの個人情報の部分については所定の識別子に置き換えて記憶するように構成されている。

履歴情報生成部２６３は、第１の履歴情報を構成する情報のうちの設定部２６１で設定された個人情報に対応する情報を所定の識別子に置き換えた履歴情報（第２の履歴情報）を生成して記憶部２６の所定の記憶装置に蓄積保存して管理する。

個人情報生成部２６４は、履歴情報生成部２６２で第１の履歴情報から第２の履歴情報を生成する際に、識別子に置き換えられた個人情報と当該識別子との対応関係をテーブル化（以下、テーブル化された表を「個人情報管理表」という。）して管理すると共に、個人情報管理表を記憶部２６の所定の記憶装置に格納する際には、個人情報を暗号化して格納する。

暗号処理部２６５は、指定された情報を指定された暗号鍵で暗号化する。

復号処理部２６６は、暗号化されている情報を指定された復号鍵で復号化する。

履歴情報出力部２６７は、出力指示された履歴情報を所定の画面構成や出力フォーマットでユーザＩ／Ｆ部２５の表示装置などの出力装置に出力する。

このように構成された履歴情報管理プログラム２６０がインストールされた複合機２は、自装置で処理したジョブの履歴情報を履歴情報に含まれる個人情報を保護して保持すると共に、履歴情報を構成する各情報のうちの個人情報として保護する情報の指定が可能で、且つ、履歴情報を開示する場合には、履歴情報のうちの個人情報として指定された情報については特定の識別子に置き換えて開示し、許可された者にのみ個人情報が開示されるように構成されている。

このように構成された複合機２による本発明に係わる履歴情報の処理手順について、図３乃至図１２を参照して説明する。

図３は、複合機２で生成されて保持される履歴情報の個人情報を指定する処理手順の一例を示す流れ図である。

図３に示すように、複合機２で生成されて保持される履歴情報の個人情報を指定する場合は、複合機２のユーザＩ／Ｆ部２５の表示装置に表示されたメニュー画面（図示せぬ）から「履歴情報の設定」の選択メニューを選択することで、複合機２は、管理者認証画面（図示せぬ）を表示装置に表示し、管理者認証画面から入力された管理者情報（管理者ＩＤおよびパスワードなど）を認証後、更に履歴情報の設定に関する設定メニュー画面（図示せぬ）を表示し、設定メニュー画面で「個人情報の設定」の選択メニューを選択することで、図４に示すような個人情報設定画面３００を表示装置に表示して、履歴情報を構成する各情報のうちの個人情報として保護する情報を管理者に指定させる（Ｓ１０１）。

図４は、複合機２の表示装置に表示される個人情報設定画面３００の一例を示す図であり、個人情報設定画面３００は、図４に示すように、実行ジョブの履歴情報の構成に対応した処理内容、文書名、ユーザ名、送信先などの各種情報と、これらの各種情報を個人情報として保護するか否かの値（「Ｙ」または「Ｎ」）を設定する設定ボックスが各種情報に対応して表示され、また、設定された値（「Ｙ」または「Ｎ」）を登録する「ＯＫ」ボタンおよびキャンセルする「キャンセル」ボタンが表示されている。

図４に示した例は、履歴情報を構成する各種情報のうちの文書名および送信先の各情報を個人情報として保護するように設定した一例であり、文書名および送信先に対応する各設定ボックスには「Ｙ」の値を設定し、個人情報として保護しない処理内容およびユーザ名に対応する各設定ボックスには「Ｎ」の値を設定して、「ＯＫ」ボタンを選択することで、設定された値（履歴情報を構成する各種情報を個人情報として保護するか否かの設定値「Ｙ」または「Ｎ」）が図５に示すように構成された設定個人情報４００として生成され、記憶部２６の所定の記憶装置に保存される（Ｓ１０２）。

図５に示すように、設定個人情報４００は、個人情報設定画面３００に表示された処理内容、文書名、ユーザ名、送信先などの各種情報と、これらの各種情報に対応して設定されたそれぞれの設定値（「Ｙ」または「Ｎ」）が記録されるように構成されている。

また、Ｓ１０１で表示される個人情報設定画面３００（図４）で「キャンセル」ボタンを選択すると、設定された値（「Ｙ」または「Ｎ」）がキャンセルされ、再設定が可能に構成されている。

尚、個人情報設定画面３００の各設定ボックスへの「Ｙ」または「Ｎ」の設定は、設定ボックスを指などでタッチする毎に「Ｙ」から「Ｎ」または「Ｎ」から「Ｙ」に値が変更されて設定される。

この履歴情報を構成する各種情報を個人情報として保護するか否かの設定は、管理者（許可された者）が必要に応じて適宜実施可能である。

このＳ１０１およびＳ１０２における履歴情報の個人情報の設定および設定値の保存動作は、履歴情報管理プログラム２６０の設定部２６１の処理手順に基づき制御部２０による各部の制御により実現される。

次に、実行ジョブの履歴情報を生成して蓄積保存する処理手順について説明する。

図６は、複合機２が実行ジョブの履歴情報を生成して蓄積保存する処理手順の一例を示す流れ図である。

図６に示すように、複合機２がジョブの処理要求を受信すると（Ｓ２０１でＹＥＳ）、要求された処理に応じたジョブを実行する（Ｓ２０２）。

具体的には、例えば複合機２の表示装置に表示されたメニュー画面（図示せぬ）で、ユーザが「ファックス送信」の選択メニューを選択した場合、ファックス送信の処理条件（送信文書、送信先、原稿画質、送信画質、色指定など）を設定するファックス送信設定画面（図示せぬ）を複合機２の表示装置に表示して処理条件をユーザに設定させ、設定された処理条件に基づき送信文書を送信先に送信する。

また、例えばクライアントＰＣ１−１から複合機２に対して印刷ジョブの処理が要求された場合、複合機２は、受信した印刷ジョブに含まれる印刷文書（印刷する文書データ）を印刷条件に基づき印刷処理する。

この場合、印刷ジョブにはクライアントＰＣ１−１でユーザが指定した印刷文書、当該印刷文書の印刷条件、印刷文書の文書名やユーザＩＤなどの属性情報（印刷文書やユーザの属性情報）が含まれているものとする。

また、例えば複合機２の表示装置に表示されたメニュー画面（図示せぬ）で、ユーザが「スキャンｔｏサーバ」の選択メニューを選択した場合、スキャンの処理条件（スキャンした画像の格納先、読取り画質、解像度、色指定など）を設定するスキャンｔｏサーバ設定画面（図示せぬ）を表示して処理条件をユーザに設定させ、設定された処理条件に基づきスキャンｔｏサーバの処理を実施する。

尚、複合機２は、自装置の表示装置に表示されたメニュー画面（図示せぬ）でユーザが所望する処理の選択メニューを選択すると、当該ユーザを認証するユーザ認証画面（図示せぬ）を表示してユーザの属性情報（例えばユーザＩＤやパスワードなど）を入力させ、ユーザ認証後でなければ、選択された処理を実施しないように構成されている。

Ｓ２０２において、要求された処理に応じたジョブを実行すると、複合機２は、実行したジョブの第１の履歴情報を生成する（Ｓ２０３）。

具体的には、図７（ａ）乃至図７（ｃ）に示すように、ジョブが実行される毎にジョブの処理内容、文書名、ユーザ名、送信先などの各種情報から構成される第１の履歴情報４０１、４０２、４０３を生成する。

図７（ａ）に示された第１の履歴情報４０１は、複合機２でファックス送信処理を実施した場合に生成される実行ジョブの第１の履歴情報を示した一例であり、処理内容にはファックス送信処理を実施した旨の情報を示す「ファックス送信」、文書名にはファックス送信した文書名を示す「注文書．ｄｏｃ」、ユーザ名にはファックス送信処理を選択指示したユーザ名を示す「ｔａｎａｋａ」、送信先にはファックス送信した送信先を示す「０３−１２３４−５６７８」の各情報がそれぞれ生成される。

第１の履歴情報４０１を構成する処理内容の「ファックス送信」の情報は、複合機２の表示装置に表示されたメニュー画面（図示せぬ）で「ファックス送信」の選択メニューが選択指示された旨の情報により取得され、文書名の「注文書．ｄｏｃ」および送信先の「０３−１２３４−５６７８」の各情報は、ファックス送信設定画面で設定された処理条件の情報により取得され、ユーザ名の「ｔａｎａｋａ」は、ユーザ認証画面で入力されたユーザの属性情報により取得される。

また、図７（ｂ）および図７（ｃ）に示された第１の履歴情報４０２および第１の履歴情報４０３は、複合機２で印刷処理を実施した場合とスキャンｔｏサーバの処理を実施した場合のそれぞれの第１の履歴情報を示した一例であり、各処理に対応してそれぞれの処理内容、文書名、ユーザ名、送信先などの各種情報に対応する各履歴情報が取得されて第１の履歴情報４０２および第１の履歴情報４０３がそれぞれ生成される。

Ｓ２０３における第１の履歴情報の生成動作は、履歴情報管理プログラム２６０の履歴情報取得部２６２の処理手順に基づく制御により第１の履歴情報の生成に必要な各種情報が複合機２の各部から取得され、取得された各種情報から履歴情報生成部２６３の処理手順に基づく制御により第１の履歴情報が生成される。

Ｓ２０３において、実行ジョブの第１の履歴情報４０１（図７（ａ）参照）が生成されると、複合機２は、生成された第１の履歴情報４０１を構成する各情報（処理内容、文書名、ユーザ名、送信先など）のうちの個人情報として保護する情報を特定の識別子に置き換えた第２の履歴情報を生成して記憶部２６の所定の記憶装置に蓄積保存する（Ｓ２０４）。

具体的には、図８に示すように、第１の履歴情報４０１（図８（ａ））と設定個人情報４００（図８（ｂ））とを参照し、第１の履歴情報４０１を構成する各情報のうちの当該各情報に対応する設定個人情報４００の設定値が「Ｙ」の情報については、個人情報として保護するように特定の識別子に置き換えて記録し、設定値が「Ｎ」の情報については、第１の履歴情報４０１に記録された情報をそのまま記録する第２の履歴情報５０１（図８（ｃ））を生成する。

例えば第１の履歴情報４０１の処理内容（ファックス送信）は、処理内容（ファックス送信）に対応する設定個人情報４００の設定値が「Ｎ」であるので、図８（ｃ）に示すように、第２の履歴情報５０１の処理内容には、第１の履歴情報４０１の処理内容（ファックス送信）をそのまま記録し、第１の履歴情報４０１の文書名（注文書．ｄｏｃ）は、文書名（注文書．ｄｏｃ）に対応する設定個人情報４００の設定値が「Ｙ」であるので、第２の履歴情報５０１の文書名には、第１の履歴情報４０１の文書名（注文書．ｄｏｃ）を個人情報として保護するために生成された識別子（ＦＩＬＥ００１）と置き換えて記録する。

また、第１の履歴情報４０１のユーザ名および送信先に対応する設定個人情報４００の各設定値は、それぞれ「Ｎ」および「Ｙ」であるので、第２の履歴情報５０１のユーザ名には第１の履歴情報４０１のユーザ名（ｔａｎａｋａ）がそのまま記録され、第２の履歴情報５０１の送信先には第１の履歴情報４０１の送信先（０３−１２３４−５６７８）を個人情報として保護するために生成された識別子（ＤＳＴ００１）と置き換えて記録して、第２の履歴情報５０１を生成する。

このような処理動作を行うことで、複合機２の記憶部２６の所定の記憶装置には、複合機２で処理された各ジョブに対応して図８（ｄ）に示すような第２の履歴情報５０１、５０２、５０３が蓄積保存される。

尚、第２の履歴情報５０１、５０２、５０３は、それぞれ複合機２で処理されたファックス送信、印刷、スキャンｔｏサーバなどの各ジョブの第２の履歴情報である。

Ｓ２０４における第２の履歴情報の生成および蓄積保存の動作は、履歴情報生成部２６３の処理手順に基づく制御により、第１の履歴情報に含まれる各個人情報に対応するそれぞれの識別子が生成され、生成された識別子が当該識別子に対応する第１の履歴情報の個人情報と置き換えられて第２の履歴情報が生成され、保存される。

Ｓ２０４において、複合機２で処理されたジョブの第２の履歴情報が生成されると、複合機２は、第２の履歴情報を構成する各情報のうちの個人情報保護のために特定の識別子で記録された情報と、当該識別子とを対応付けた個人情報管理表６００（図９（ｃ）参照）を生成し、生成した個人情報管理表６００の各個人情報を暗号化した後、記憶部２６の所定の記憶装置に格納して管理する（Ｓ２０５）。

具体的には、図９に示すように、第１の履歴情報４０１（図９（ａ））から第２の履歴情報５０１（図９（ｂ））を生成する際に、第２の履歴情報５０１で識別子に置き換えられた第１の履歴情報４０１の各情報、例えば第２の履歴情報５０１の文書名（ＦＩＬＥ００１）および送信先（ＤＳＴ００１）の各識別子と、これらの各識別子にそれぞれ置き換えられた第１の履歴情報４００の文書名（注文書．ｄｏｃ）および送信先（０３−１２３４−５６７８）の各情報との対応関係を図９（ｃ）に示すように構成した個人情報管理表６００として生成し、生成した個人情報管理表６００の各情報のうちの個人情報に対応する情報を当該個人情報の所有者の暗号鍵で暗号化して、図９（ｄ）に示すような個人情報管理表６１０の状態で格納する。

図９（ｃ）に示すように、個人情報管理表６００は、識別子、個人情報および個人情報の所有者などの各情報が対応付けされて構成されており、個人情報管理表６００の個人情報６０１は、「ＦＩＬＥ００１」で示される識別子が「注文書．ｄｏｃ」という個人情報と対応し、当該個人情報（「注文書．ｄｏｃ」）の所有者が「ｔａｎａｋａ」であることを示している。

また、個人情報６０２は、「ＤＳＴ００１」で示される識別子が「０３−１２３４−５６７８」という個人情報と対応し、当該個人情報（「０３−１２３４−５６７８」）の所有者が「ｔａｎａｋａ」であることを示している。

また、個人情報管理表６００を保存する場合には、個人情報管理表６００の各個人情報（この場合は、「注文書．ｄｏｃ」および「０３−１２３４−５６７８」など）は、暗号化され、図９（ｄ）に示すような個人情報管理表６１０のように、各個人情報が暗号化された状態（図中では「*****」で示す）で格納される。

Ｓ２０５における個人情報管理表６００、６１０の生成および暗号化して保存する動作は、履歴情報管理プログラム２６０の個人情報生成部２６４の処理手順に基づく制御により、第１の履歴情報から第２の履歴情報を生成する際に、第２の履歴情報に含まれる識別子と、当該識別子に置き換えられた第１の履歴情報の個人情報とが対応付けされた個人情報管理表が生成され、履歴情報管理プログラム２６０の暗号処理部２６５の処理手順に基づく制御により、個人情報管理表の個人情報が予め記憶された当該個人情報所有者の暗号鍵により暗号化された後、保存される。

尚、暗号鍵および復号鍵は、予め個人情報の所有者毎に対応付けされて記憶されており、個人情報管理表６００の個人情報を暗号化する場合は、当該個人情報の所有者から当該所有者の暗号鍵が特定される。

次に、履歴情報を開示する場合の処理手順について説明する。

図１０は、複合機２で履歴情報を出力する場合の処理手順の流れ図の一例を示す図である。

図１０に示すように、複合機２で蓄積保持されている実行ジョブの履歴情報を複合機２の表示装置に表示させる場合は、複合機２のユーザＩ／Ｆ部２５の表示装置に表示されたメニュー画面（図示せぬ）から「履歴情報の表示」の選択メニューを選択することで、複合機２は、記憶部２６の所定の記憶装置に蓄積保存された第２の履歴情報５０１、５０２、５０３等（図１１（ａ）参照）のうちの直近の情報から順次表示装置に表示して、図１１（ｂ）に示すような履歴情報表示画面３１０を表示する（Ｓ３０１）。

図１１（ｂ）に示すように、履歴情報表示画面３１０には、実行ジョブ毎の第２の履歴情報に対応した処理内容、文書名、ユーザ名、送信先などの各種情報で構成された履歴情報３１１、３１２等の履歴情報一覧３１３が表示され、各履歴情報の文書名および送信先には「ＦＩＬＥ００１」、「ＦＩＬＥ００２」、「ＤＳＴ００１」等の識別子が表示されている。

各履歴情報３１１、３１２などの文書名および送信先に表示された識別子は、当該識別子で表示された情報が個人情報であるため、その個人情報を保護する目的で表示されたものであり、当該識別子に対応する個人情報を表示させたい場合は、履歴情報表示画面３１０に表示されている履歴情報の識別子を指などでタッチして選択し、履歴情報表示画面３１０に表示されている「ＯＫ」ボタンをタッチすることで（Ｓ３０２でＹＥＳ）、複合機２が図１２（ａ）に示すような個人情報復号画面３２０を表示して、選択された識別子に対応する個人情報の復号鍵をユーザに入力させ（Ｓ３０３）、正しい復号鍵が入力された場合にのみ（Ｓ３０４でＹＥＳ）、図１２（ｂ）に示すような個人情報表示画面３３０を表示して、選択された識別子に対応する個人情報を表示する（Ｓ３０５）。

図１２（ａ）に示すように、個人情報復号画面３２０には、選択された識別子の情報を表示する識別子表示部（破線四角の部分）３２１と、当該識別子に対応する個人情報の復号鍵を入力する復号鍵入力部（破線四角の部分）３２２および各操作ボタン（「ＯＫ」ボタン、「キャンセル」ボタン）３２３が表示されており、復号鍵入力部３２２でユーザが復号鍵の情報を入力して「ＯＫ」ボタンを選択することで、正しい復号鍵が入力された場合のみ、個人情報表示画面３３０（図１２（ｂ））を表示して、選択された識別子に対応する個人情報を表示する。

また、入力された復号鍵が正しくない場合は（Ｓ３０４でＮＯ）、前述の履歴情報表示画面３１０（図１１（ｂ））に遷移する。

正しい復号鍵が入力された否かの判断は、入力された復号鍵が選択された識別子の所有者から特定される復号鍵と一致する場合に、正しい復号鍵が入力されたと判断し、一致しない場合には、入力復号鍵が正しくないと判断する。

尚、Ｓ３０１において、複合機２の表示装置に表示された履歴情報表示画面３１０（図１１（ｂ））で「終了」ボタンがタッチされて選択された場合（Ｓ３０２でＮＯ、Ｓ３０６でＹＥＳ）、またはＳ３０５において、複合機２の表示装置に表示された個人情報表示画面３３０（図１２（ｂ））で「終了」ボタンがタッチされて選択された場合は、履歴情報の表示処理を終了する。

また、Ｓ３０１、Ｓ３０５において、複合機２の表示装置に表示された履歴情報表示画面３１０、個人情報復号画面３２０で「キャンセル」ボタンが選択された場合は、各画面で選択された情報または入力された情報がキャンセルされ再選択または再入力可能となる。

Ｓ３０１およびＳ３０３における履歴情報表の表示および復号鍵の入力動作は、履歴情報管理プログラム２６０の履歴情報出力部２６７の処理手順に基づく制御により、第２の履歴情報５０１、５０２、５０３（図１１（ａ）参照）等が記憶部２６から読込まれて履歴情報表示画面３１０が表示され、履歴情報表示画面３１０での識別子の選択操作に応じて個人情報復号画面３２０を表示させる。

また、Ｓ３０５における個人情報の開示動作は、履歴情報管理プログラム２６０の復号処理部２６６の処理手順に基づく制御により、個人情報復号画面３２０で入力された復号鍵で選択された識別子に対応する個人情報を復号し、復号された個人情報が履歴情報出力部２６７の処理手順に基づく制御により、個人情報表示画面３３０に表示される。

尚、前述の実行ジョブの個人情報管理表６００（図９（ｃ）参照）を生成して暗号化した個人情報管理表６１０を保存する処理手順（図６のＳ２０５参照）において、個人情報管理表６００で管理する個人情報を２つの暗号鍵で暗号化して保存するような構成としてもよい。

この場合は、図１３に示すように、前述の実行ジョブの履歴情報を生成して蓄積保存する処理手順（図６のＳ２０４参照）において、複合機２で処理されたジョブの第２の履歴情報が生成されると、複合機２が第２の履歴情報を構成する各情報のうちの個人情報保護のために特定の識別子で記録された情報と、当該識別子とを対応付けた個人情報管理表６２０（図１３（ｃ）参照）を生成し、生成した個人情報管理表６２０の各個人情報を各個人情報それぞれの所有者の暗号鍵と複合機２の管理者の暗号鍵で暗号化した後、記憶部２６の所定の記憶装置に格納して管理する。

具体的には、第１の履歴情報４０１（図１３（ａ））から第２の履歴情報５０１（図１３（ｂ））を生成する際に、第２の履歴情報５０１で識別子に置き換えられた第１の履歴情報４０１の各情報、例えば第２の履歴情報５０１の文書名（ＦＩＬＥ００１）および送信先（ＤＳＴ００１）の各識別子と、これらの各識別子にそれぞれ置き換えられた第１の履歴情報４００の文書名（注文書．ｄｏｃ）および送信先（０３−１２３４−５６７８）の各情報との対応関係を図１３（ｃ）に示すように構成した個人情報管理表６２０として生成し、生成した個人情報管理表６２０の各情報のうちの個人情報Ａに対応する情報を各個人情報の所有者の暗号鍵で暗号化し、個人情報Ｂに対応する情報を管理者の暗号鍵で暗号化して図１３（ｄ）に示すような個人情報管理表６３０の状態で格納する。

図１３（ｃ）に示すように、個人情報管理表６２０は、識別子、個人情報Ａ、個人情報Ｂおよび各個人情報の所有者などの各情報が対応付けされて構成されており、個人情報管理表６２０の管理情報６２１は、識別子（ＦＩＬＥ００１）に対応する個人情報（注文書．ｄｏｃ）が個人情報Ａおよび個人情報Ｂとに対応付けされ、当該個人情報Ａ（注文書．ｄｏｃ）および個人情報Ｂ（注文書．ｄｏｃ）の所有者（ｔａｎａｋａ）と対応付けされている。

このように生成した個人情報管理表６２０を保存する場合には、各管理情報６２１、６２２の個人情報Ａに記録された個人情報（この場合は、「注文書．ｄｏｃ」および「０３−１２３４−５６７８」など）は、当該個人情報の所有者の暗号鍵で暗号化し、個人情報Ｂに記録された個人情報（この場合は、「注文書．ｄｏｃ」および「０３−１２３４−５６７８」など）は、複合機２の管理者の暗号鍵で暗号化して、図１３（ｄ）に示すような個人情報管理表６３０のように、各管理情報６２１、６２２の個人情報Ａおよび個人情報Ｂが個人情報の所有者または管理者の暗号鍵で暗号化された状態（図中では「*****」で示す）で格納される。

このような処理手順で個人情報管理表６２０を生成し、生成した個人情報管理表６２０の個人情報を暗号化した個人情報管理表６３０の状態で保存することで、履歴情報の個人情報を開示する場合には、復号鍵の入力（図１０のＳ３０３）に際に表示される個人情報復号画面３４０（図１４（ａ）参照）において、選択された識別子に対応する個人情報の復号鍵が入力されると、入力された復号鍵で個人情報管理表６３０の選択された識別子（例えば「ＦＩＬＥ００１」）に対応する個人情報Ａの個人情報（例えば「注文書．ｄｏｃ」）の復号化を試み、成功した場合は、個人情報表示画面３５０（図１４（ｂ））を表示して、選択された識別子に対応する個人情報を表示する。

また、入力された復号鍵による個人情報Ａの履歴情報の復号化が失敗した場合は、入力された復号鍵で個人情報Ｂの履歴情報（例えば「注文書．ｄｏｃ」）の復号化を試み、成功した場合は、個人情報表示画面３５０（図１４（ｂ））を表示し、失敗した場合は、前述の履歴情報表示画面３１０（図１１（ｂ））に遷移する。

尚、暗号鍵および復号鍵は、予め管理者および個人情報の所有者毎に対応付けされて記憶されており、個人情報管理表６２０の個人情報Ａを暗号化する場合は、当該個人情報Ａの所有者の属性情報から特定される暗号鍵で暗号化し、個人情報管理表６２０の個人情報Ｂを暗号化する場合は、管理者の属性情報から特定される暗号鍵で暗号化する。

また、選択された識別子に対応する個人情報を復号する場合は、入力された復号鍵が選択された識別子の所有者から特定される復号鍵と一致する場合に、入力復号鍵で個人情報管理表６３０の個人情報Ａの情報を復号し、一致しない場合は、更に、入力復号鍵が管理者の属性情報から特定される復号鍵と一致するかを判断し、一致する場合に、入力復号鍵で個人情報管理表６３０の個人情報Ｂの情報を復号する。

このような処理動作は、前述した履歴情報管理プログラム２６０の個人情報生成部２６４、暗号処理部２６５、復号処理部２６６および履歴情報出力部２６７の構成を、当該処理動作の制御が可能なように構成することで、実現できる。

このように、履歴情報に含まれる個人情報を管理する場合に、１つの個人情報に対して当該個人情報の所有者の暗号鍵と、管理者の暗号鍵との２つの暗号鍵で暗号化して管理することで、履歴情報の個人情報が当該個人情報の所有者以外の者（本例の場合は、管理者）の復号鍵で復号されて開示された場合に、その旨を当該個人情報の所有者に電子メールなどで通知するように構成することも可能となり、個人情報のセキュリティーがより強化される。

尚、個人情報管理表６２０の個人情報を暗号化する暗号鍵は、個人情報の所有者や複合機２の管理者に限定されるものではなく、情報処理システムの運用形態に応じて、適宜、定めることが可能である。

以上の説明では、本発明に係わる履歴情報の処理動作が複合機２にインストールされる履歴情報管理プログラム２６０により行われる例を示したが、履歴情報管理プログラム２６０の機能的な構成を複合機２の制御部に構成し、履歴情報管理プログラム２６０を不要とするようにしてもよい。

また、履歴情報の開示要求を複合機２とは他の装置（クライアントＰＣなど）から行い、履歴情報および個人情報の開示を要求元の装置に出力する構成としてもよい。

本発明は、個人情報を保護するための種々な利用形態に対応した個人情報保護技術に適用可能である。

情報処理システム１００の構成の一例を示す構成図 履歴情報管理プログラム２６０の機能的な構成を示す構成図 複合機２で生成されて保持される履歴情報の個人情報を指定する処理手順の一例を示す流れ図 個人情報設定画面３００の一例を示す図 設定個人情報４００の構成の一例を示す構成図 複合機２による実行ジョブの履歴情報を生成および蓄積保存する処理手順の一例を示す流れ図 第１の履歴情報４０１、４０２、４０３の一例を示す図 第１の履歴情報４０１および設定個人情報４００から第２の履歴情報を生成して蓄積保存するまでの処理動作の説明図 第１の履歴情報４０１から第２の履歴情報５０１を生成する処理動作に伴い個人情報管理表６００、６１０が生成されて保存されるまでの処理動作の説明図 複合機２で履歴情報を出力する場合の処理手順の流れ図の一例を示す図 蓄積保存された第２の履歴情報および履歴情報表示画面３１０の一例を示す図 個人情報復号画面３２０および個人情報表示画面３３０の一例を示す図 第１の履歴情報４０１から第２の履歴情報５０１を生成する処理動作に伴い個人情報管理表６２０、６３０が生成されて保存されるまでの処理動作の説明図 個人情報復号画面３４０および個人情報表示画面３５０の一例を示す図

符号の説明

１−１、１−２、１−ｎ クライアントＰＣ
２ 複合機
３ ネットワーク
１０ 制御部（ＰＣ）
１１ 入力部
１２ 出力部
１３ 記憶部（ＰＣ）
１４ ネットワークＩ／Ｆ部（ＰＣ）
２０ 制御部
２１ 画像読取部
２２ 画像処理部
２３ 画像形成部
２４ ネットワークＩ／Ｆ部
２５ ユーザＩ／Ｆ部
２６ 記憶部
２６０ 履歴情報管理プログラム
２６１ 設定部
２６２ 履歴情報取得部
２６３ 履歴情報生成部
２６４ 個人情報生成部
２６５ 暗号処理部
２６６ 復号処理部
２６７ 履歴情報出力部
３００ 個人情報設定画面
３１０ 履歴情報表示画面
３２０、３４０ 個人情報復号画面
３２１ 識別子表示部
３２２ 復号鍵入力部
３２３ 操作ボタン
３３０、３５０ 個人情報表示画面
４００ 設定個人情報
４０１、４０２、４０３ 第１の履歴情報
５０１、５０２、５０３ 第２の履歴情報
６００、６１０、６２０、６３０ 個人情報管理表
６０１、６０２、６２１、６２２ 個人情報

Claims (4)

1. 各種処理を実施する毎に該処理の履歴情報を生成する履歴情報生成手段と、
   前記履歴情報生成手段で生成された前記履歴情報に含まれる個人情報に対して一意に定まる識別子を割り当てる識別子割当手段と、
   前記識別子割当手段で割り当てられた前記識別子で前記履歴情報の前記個人情報を置き換えて保存する履歴情報保存手段と、
   前記識別子を割り当てた個人情報と該個人情報の所有者とを関連付けた管理情報を生成する管理情報生成手段と、
   前記管理情報生成手段で生成された前記管理情報に含まれる前記個人情報を該個人情報の所有者の暗号鍵で暗号化して保存する管理情報保存手段と、
   前記識別子および前記個人情報の所有者の復号鍵の入力により、前記管理情報保存手段に保存された前記識別子に割り当てられた個人情報を該復号鍵で復号して提供する個人情報復号手段と
   を具備する情報処理装置。
2. 前記管理情報保存手段は、
   前記管理情報生成手段で生成された前記管理情報に含まれる前記個人情報を前記個人情報の所有者の暗号鍵で暗号化した情報と、前記管理情報に含まれる前記個人情報を管理者の暗号鍵で暗号化した情報とをそれぞれ生成して保存し、
   前記個人情報復号手段は、
   前記識別子および前記個人情報の所有者の復号鍵または前記管理者の復号鍵の入力により、前記管理情報保存手段に保存された前記識別子に割り当てられた個人情報を該復号鍵で復号して提供する請求項１記載の情報処理装置。
3. 前記個人情報が前記管理者の復号鍵で復号された場合に、その旨を該個人情報の所有者に対して通知する通知手段
   を更に具備する請求項２記載の情報処理装置。
4. コンピュータを
   各種処理を実施する毎に該処理の履歴情報を生成する履歴情報生成手段、
   前記履歴情報生成手段で生成された前記履歴情報に含まれる個人情報に対して一意に定まる識別子を割り当てる識別子割当手段、
   前記識別子割当手段で割り当てられた前記識別子で前記履歴情報の前記個人情報を置き換えて保存する履歴情報保存手段、
   前記識別子を割り当てた個人情報と該個人情報の所有者とを関連付けた管理情報を生成する管理情報生成手段、
   前記管理情報生成手段で生成された前記管理情報に含まれる前記個人情報を該個人情報の所有者の暗号鍵で暗号化して保存する管理情報保存手段、
   前記識別子および前記個人情報の所有者の復号鍵の入力により、前記管理情報保存手段に保存された前記識別子に割り当てられた個人情報を該復号鍵で復号して提供する個人情報復号手段
   として機能させる履歴情報管理プログラム。

Images