JP7763972B2 - クラウドサーバ、情報処理システム、管理方法、及び、プログラム - Google Patents

Description

本開示は、クラウドサーバ、情報処理システム、管理方法、及び、プログラムに関する。

近年、宅内に設置されたＩｏＴ（Internet of Things）機器をインターネットを介して外部から遠隔操作する技術が種々提案されている。このようなＩｏＴ機器には、ユーザのプライバシーに関するプライバシーデータが蓄積される場合が多い。そのため、ＩｏＴ機器からプライバシーデータが漏洩したり、ＩｏＴ機器のプライバシーデータが改ざんされたりするリスクがあった。

そのため、プライバシー保護方法をユーザが選択できる技術も開示されている。例えば、特許文献１に開示された技術では、プライバシーに関するオプションを選択または拒絶することにより、個人の作業空間に関連付けられたデータが収集されないようにしたり、収集されるがデータは個人の作業空間にリンクされないようにしたり、データの使用の目的を制限したりすることができる。つまり、特許文献１には、データ収集方法、又は、利用方法をユーザが変更できるようにする技術が開示されている。

特開２０１８－０５６１２８号公報

上述した特許文献１に開示された技術では、ユーザの選択によりデータの収集方法、又は、利用方法が変更できるものの、データの収集を行う機器に対するセキュリティについては充分に考慮されていない。そのため、特許文献１に開示された技術を適用しても、ＩｏＴ機器からプライバシーデータが漏洩したり、ＩｏＴ機器に蓄積されたプライバシーデータが改ざんされるといったリスクは残ったままとなる。

本開示は、上記課題を解決するためになされたものであり、ＩｏＴ機器に蓄積されたプライバシーデータを適切に保護することのできるクラウドサーバ、情報処理システム、管理方法、及び、プログラムを提供することを目的とする。

上記目的を達成するため、本開示に係るクラウドサーバは、
ユーザのプライバシーに関するプライバシーデータを収集して蓄積するＩｏＴ機器を管理するクラウドサーバであって、
前記プライバシーデータの利用についての同意内容を、ユーザが操作する端末から取得する同意内容取得手段と、
前記同意内容取得手段が取得した前記同意内容に応じたセキュリティレベルを、前記ＩｏＴ機器に設定する設定手段と、
前記プライバシーデータを利用したサービスを処理するサービス処理手段と、
前記サービス処理手段が前記サービスを開始する際に、前記ＩｏＴ機器に設定されているセキュリティレベルを確認する確認手段と、を備え、
前記ＩｏＴ機器には、インストールされているファームウェアバージョンに応じたセキュリティレベルが規定されており、
前記確認手段は、前記サービス処理手段が前記サービスを開始する際に、前記ＩｏＴ機器にインストールされている前記ファームウェアバージョンを確認し、
前記サービス処理手段は、前記確認手段が確認した前記ファームウェアバージョンが要求基準よりも低い場合に、前記ＩｏＴ機器から前記プライバシーデータを収集しない。

本開示に係るクラウドサーバでは、同意内容取得手段が、プライバシーデータの利用についての同意内容を、ユーザが操作する端末から取得する。そして、設定手段が、同意内容取得手段が取得した同意内容に応じたセキュリティレベルを、ＩｏＴ機器に設定する。そのため、プライバシーデータを利用したサービスを、ＩｏＴ機器のセキュリティを確保してから提供することになる。この結果、ＩｏＴ機器に蓄積されるプライバシーデータを適切に保護することができる。

本開示の実施形態１に係る情報処理システムの全体構成の一例を示す図 ＩｏＴ機器の構成の一例を示す図 機器接続クラウドサーバの構成の一例を示す図 サービス管理テーブルの一例を示す図 レベル管理テーブルの一例を示す図 端末に表示される同意画面の一例を示す図 セキュリティレベルを設定する処理の流れを説明するためのシーケンス図 セキュリティレベルを確認する処理の流れを説明するためのシーケンス図 同意画面に設定可能な項目を表示する処理の流れを説明するためのシーケンス図 端末に表示される他の同意画面の一例を示す図 他の管理テーブルの一例を示す図 プライバシーデータを削除する処理の流れを説明するためのシーケンス図 プライバシーデータの一例を示す図

以下、本開示の実施形態について、図面を参照しながら詳細に説明する。以下では、ＩｏＴ機器が、一例として、空調機器である場合について説明するが、後述するように、照明機器といった他の種類の機器を管理する場合でも同様に本開示を適用することができる。すなわち、以下に説明する実施形態は説明のためのものであり、本開示の範囲を制限するものではない。従って、当業者であればこれらの各要素または全要素をこれと均等なものに置換した実施形態を採用することが可能であるが、これらの実施形態も本開示の範囲に含まれる。また、以下の実施形態で説明する各図においては、共通する要素に同一の符号を付けるものとする。

（実施形態１）
図１は、本開示の実施形態１に係る情報処理システム１の全体構成の一例を示す図である。図１に示すように、情報処理システム１は、ＩｏＴ機器１０と、機器接続クラウドサーバ２０と、サービス運用クラウドサーバ３０と、端末４０とが、インターネットＮを介して通信可能に接続されている。

ＩｏＴ機器１０は、例えば、ユーザの住宅内に設置されている空調機器であり、後述するセンサ・カメラによって、ユーザのプライバシーに関するプライバシーデータを収集して蓄積可能となっている。

機器接続クラウドサーバ２０は、例えば、サーバ用のコンピュータであり、サービス運用クラウドサーバ３０と連携し、ＩｏＴ機器１０を管理する。

サービス運用クラウドサーバ３０は、例えば、サーバ用のコンピュータであり、端末４０を認証し、認証した端末４０からのアクセスを受け付ける。なお、情報処理システム１において、機器接続クラウドサーバ２０とサービス運用クラウドサーバ３０とを備える場合について説明するが、これら機器接続クラウドサーバ２０とサービス運用クラウドサーバ３０との機能を、１台のクラウドサーバに集約させてもよい。

端末４０は、例えば、ユーザに操作されるスマートフォン、タブレット等であり、後述する同意画面を表示し、ユーザの操作に応じた同意内容をサービス運用クラウドサーバ３０を通じて機器接続クラウドサーバ２０へ送信する。

以下、情報処理システム１において最も特徴的なＩｏＴ機器１０と機器接続クラウドサーバ２０との構成について、より詳細に説明する。

図２は、ＩｏＴ機器１０の構成の一例を示す模式図である。ＩｏＴ機器１０は、センサ・カメラ１１と、プライバシーデータ記憶部１２と、ソフトウェアサービス１３と、ネットワークサービス１４と、機器認証部１５と、ネットワークＩ／Ｆ（インタフェース）１６とを備えている。

センサ・カメラ１１は、温度センサ、湿度センサ、熱画像カメラ等であり、ＩｏＴ機器１０を使用するユーザのプライバシーに関するプライバシーデータを取得する。なお、センサ・カメラ１１は、ＩｏＴ機器１０内に配置されている場合に限られず、ＩｏＴ機器１０外に配置されていてもよい。その場合、センサ・カメラ１１は、ＩｏＴ機器１０と、有線または無線で接続された構成となる。例えば、センサ・カメラ１１は、ユーザが身に着けたウェアラブルセンサであってもよい。この場合、センサ・カメラ１１は、ユーザの心拍、体温等のプライバシーデータを取得する。

プライバシーデータ記憶部１２は、センサ・カメラ１１が取得したプライバシーデータを蓄積して記憶する。なお、プライバシーデータ記憶部１２へのプライバシーデータの蓄積は、後述するように、端末４０における同意画面の操作に伴って、機器接続クラウドサーバ２０からセキュリティレベルの設定が要求された後に開始される。また、同意画面の操作を経ることなく、ＩｏＴ機器１０単体で、プライバシーデータの収集と蓄積を行えるようにしてもよい。

ソフトウェアサービス１３は、ＩｏＴ機器１０の標準機能であるローカル機能を提供する。例えば、ソフトウェアサービス１３は、機器接続クラウドサーバ２０との通信を必要としない標準的な空調制御をＩｏＴ機器１０に行わせる。

ネットワークサービス１４は、ＩｏＴ機器１０の追加機能であるネットワーク機能を提供する。例えば、ネットワークサービス１４は、機器接続クラウドサーバ２０からの指令に従った空調制御をＩｏＴ機器１０に行わせる。

機器認証部１５は、ネットワークサービス１４を提供する際、若しくは、後述する同意画面を表示する際に、機器認証を行う。例えば、機器認証部１５は、ユーザ名、パスワード等のアカウント情報を記憶しており、サービス運用クラウドサーバ３０を通じて端末４０を使用するユーザと共に機器認証する。

ネットワークＩ／Ｆ１６は、例えば、インターネットＮを通じて機器接続クラウドサーバ２０と通信を行うための通信ユニットである。

このような構成のＩｏＴ機器１０は、インターネットＮに接続することから、通信データの漏洩、不正操作等のサイバー攻撃の対象となる可能性がある。そのため、ＩｏＴ機器１０は、例えば、通信データの暗号化、ストレージの暗号化、Ｆ／Ｗ（ファームウェア）の自動更新等のセキュリティ機能を備えている。

これらのセキュリティ機能は、デフォルト状態で、ベストプラクティスとなるように設定されている。それでも、暗号化により通信速度が遅くなること、Ｆ／Ｗの自動更新により待機時間が発生することなどのデメリットがあるため、これらのセキュリティ機能のＯＮ／ＯＦＦについて、ユーザが手動で切り替えられるように設計されている。つまり、ユーザが、リスクを許容する場合、代替のセキュリティ機能を設ける場合等に、セキュリティ機能をＯＦＦにすることができる。なお、代替のセキュリティ機能とは、ローカルネットワーク内でしかＩｏＴ機器１０を使用しない場合、アクセス制御機能を持ったルータを別途設ける場合等である。

ユーザはセキュリティ機能の設定を、ＩｏＴ機器１０に設置されたスイッチを操作して行ったり、端末４０から操作画面を操作して行えるようにしてもよい。

次に、図３を参照して、機器接続クラウドサーバ２０の構成について説明する。図３は、機器接続クラウドサーバ２０の構成の一例を示す模式図である。機器接続クラウドサーバ２０は、記憶部２１と、ネットワークＩ／Ｆ２２と、制御部２３とを備えている。

記憶部２１は、例えば、ＳＳＤ（Solid State Drive）、ハードディスク等であり、種々の情報を記憶する。例えば、記憶部２１は、サービス管理テーブル２１１とレベル管理テーブル２１２とを記憶する。

サービス管理テーブル２１１は、例えば、図４に示すように、ユーザの同意が必要となる項目２１１ａと、要求されるセキュリティレベル２１１ｂとを対応付けて記憶する。なお、セキュリティレベル２１１ｂの値は、大きな値ほど、セキュリティレベルが高いことを示している。

一方、レベル管理テーブル２１２は、例えば、図５に示すように、セキュリティレベル２１２ａと、必要となる設定２１２ｂとを対応付けて記憶する。

この他にも、記憶部２１には、ＩｏＴ機器１０から収集したプライバシーデータを蓄積可能となっている。

図３に戻って、ネットワークＩ／Ｆ２２は、例えば、インターネットＮを通じてＩｏＴ機器１０と通信を行うための通信ユニットである。なお、ネットワークＩ／Ｆ２２は、インターネットＮを通じてサービス運用クラウドサーバ３０との通信も行うものとする。

制御部２３は、例えば、ＣＰＵ（Central Processing Unit）、ＲＡＭ（Random Access Memory）、ＲＯＭ（Read Only Memory）等を備えた演算ユニットであり、機器接続クラウドサーバ２０全体を制御する。例えば、ＣＰＵが、ＲＡＭをワークメモリとして用い、ＲＯＭに記憶されている制御プログラムを適宜実行することにより、同意内容取得手段２３１、設定手段２３２、確認手段２３３、サービス処理手段２３４、撤回指示取得手段２３５、及び、削除手段２３６が実現される。

同意内容取得手段２３１は、サービス運用クラウドサーバ３０を通じて、端末４０から送られる同意内容を取得する。例えば、端末４０には、図６に示すようなプライバシーデータについての同意画面ＣＧ１が表示され、同意が必要となる各項目について、ユーザが任意にチェックを入力できるようになっている。そして、同意画面ＣＧ１にて同意ボタンＢＴ１が押下されると、同意内容がサービス運用クラウドサーバ３０を通じて、機器接続クラウドサーバ２０へ送られるようになっている。そのため、同意内容取得手段２３１は、この同意内容を取得する。なお、同意画面ＣＧ１にて同意撤回ボタンＢＴ２が押下されると、後述するように、撤回指示がサービス運用クラウドサーバ３０を通じて、機器接続クラウドサーバ２０へ送られるようになっている。

図３に戻って、設定手段２３２は、上記の同意内容取得手段２３１が取得した同意内容に応じたセキュリティレベルを、ＩｏＴ機器１０に設定する。具体的に設定手段２３２は、上述した図４に示すサービス管理テーブル２１１を参照し、同意内容に含まれる同意項目に要求されるセキュリティレベルをそれぞれ特定する。そして、設定手段２３２は、特定したセキュリティレベルのうち、最も高いセキュリティレベルを、ＩｏＴ機器１０に設定する。より詳細に設定手段２３２は、セキュリティレベルに対応するセキュリティオプションをＩｏＴ機器１０に設定する。

確認手段２３３は、ＩｏＴ機器１０に設定されているセキュリティレベルを確認する。より詳細に確認手段２３３は、ＩｏＴ機器１０に設定されているセキュリティオプションを読み出す。そして、確認手段２３３は、同意内容に必要なセキュリティレベルと、ＩｏＴ機器１０に設定されているセキュリティレベルとを比較する。

サービス処理手段２３４は、上記の設定手段２３２によってセキュリティレベルを設定したＩｏＴ機器１０を用いて、セキュリティレベルに応じたサービスを提供する。例えば、サービス処理手段２３４は、セキュリティレベルを「３」に設定したＩｏＴ機器１０を用いて、プライバシーデータを使用した自動制御のサービスを提供する。具体的にサービス処理手段２３４は、ＩｏＴ機器１０から心拍、体温、温度等のプライバシーデータを収集し、そのユーザに適した空調制御を行う。

撤回指示取得手段２３５は、サービス運用クラウドサーバ３０を通じて、端末４０から送られる撤回指示を取得する。例えば、上述した図６に示すような同意画面ＣＧ１にて同意撤回ボタンＢＴ２が押下されると、撤回指示がサービス運用クラウドサーバ３０を通じて、機器接続クラウドサーバ２０へ送られるようになっている。そのため、撤回指示取得手段２３５は、この撤回指示を取得する。

削除手段２３６は、上記の撤回指示取得手段２３５が撤回指示を取得すると、ＩｏＴ機器１０に対して、蓄積したプライバシーデータの削除を指令する。また、削除手段２３６は、記憶部２１にプライバシーデータを記憶している場合に、記憶部２１からもプライバシーデータを削除する。

以下、このような構成の情報処理システム１の動作について、図面を参照して詳細に説明する。

最初に、図７を参照して、セキュリティレベルを設定する処理について説明する。図７は、セキュリティレベルを設定する処理の流れを説明するシーケンス図である。なお、図７では、ユーザ認証、機器認証等についての通信は省略しているが、実際には、ユーザ認証、機器認証等が行われた上で、以下に説明するように、セキュリティレベルを設定する処理が実行されるものとする。

まず、端末４０は、同意内容をサービス運用クラウドサーバ３０へ送信する（ＳＱ１）。例えば、端末４０は、上述した図６に示すような同意画面ＣＧ１にて、同意が必要となる各項目について、ユーザが任意にチェックを入力した上で、同意ボタンＢＴ１が押下されると、各項目のチェックの有無を含む同意内容を、サービス運用クラウドサーバ３０へ送信する。

サービス運用クラウドサーバ３０は、端末４０から送られた同意内容を機器接続クラウドサーバ２０へ送信する（ＳＱ２）。つまり、サービス運用クラウドサーバ３０は、同意内容を受信すると、その同意内容を機器接続クラウドサーバ２０へ転送する。

機器接続クラウドサーバ２０は、同意内容に応じたセキュリティレベルを決定する（ＳＱ３）。すなわち、同意内容取得手段２３１が、端末４０から送られる同意内容を取得すると、設定手段２３２は、同意内容に応じたセキュリティレベルを決定する。なお、このＳＱ３が、同意内容取得ステップの一例となる。

機器接続クラウドサーバ２０は、セキュリティレベルの設定要求を、ＩｏＴ機器１０へ送信する（ＳＱ４）。すなわち、設定手段２３２は、上記のＳＱ３にて特定したセキュリティレベルを、ＩｏＴ機器１０に設定する。より詳細に設定手段２３２は、セキュリティレベルに対応するセキュリティオプションをＩｏＴ機器１０に設定する。なお、このＳＱ４が、設定ステップの一例となる。

ＩｏＴ機器１０は、設定要求に応答して、セキュリティレベルを設定する（ＳＱ５）。より詳細にＩｏＴ機器１０は、セキュリティレベルに対応するセキュリティオプションを設定する。

ＩｏＴ機器１０は、設定結果を機器接続クラウドサーバ２０へ返信する（ＳＱ６）。つまり、ＩｏＴ機器１０は、セキュリティレベルの設定を正常に終えると、設定結果が「ＯＫ」である旨の返信を、機器接続クラウドサーバ２０へ送信する。

機器接続クラウドサーバ２０は、サービスの提供を開始する（ＳＱ７）。つまり、サービス処理手段２３４は、セキュリティレベルを設定したＩｏＴ機器１０を用いて、セキュリティレベルに応じたサービスを提供する。例えば、サービス処理手段２３４は、セキュリティレベルを「３」に設定したＩｏＴ機器１０を用いて、プライバシーデータを使用した自動制御のサービスを提供する。具体的にサービス処理手段２３４は、ＩｏＴ機器１０から心拍、体温、温度等のプライバシーデータを収集し、そのユーザに適した空調制御を行う。

このような、図７に示す処理によって、プライバシーデータを利用したサービスを、ＩｏＴ機器１０のセキュリティを確保してから提供することになる。この結果、ＩｏＴ機器１０に蓄積されるプライバシーデータを適切に保護することができる。

なお、上述した同意画面ＣＧ１にてユーザが同意しなかった場合に、ＩｏＴ機器１０には、セキュリティレベルが設定されないため、プライバシーデータを利用したサービスが提供されないものの、下記のような利点がある。

ストレージのセキュアでない領域も利用できるため、リソースを有効に使える。アクセス権の制御が必要ない場合には、ローカル上でプライバシーデータを含むセンサ情報を確認することができる。

次に、図８を参照して、セキュリティレベルを確認する処理について説明する。図８は、セキュリティレベルを確認する処理の流れを説明するシーケンス図である。なお、図８でも、ユーザ認証、機器認証等についての通信は省略しているが、実際には、ユーザ認証、機器認証等が行われた上で、以下に説明するように、セキュリティレベルを確認する処理が実行されるものとする。また、既に説明した内容と同じ処理内容については、簡略化して説明する。

まず、端末４０は、同意内容をサービス運用クラウドサーバ３０へ送信する（ＳＱ１１）。また、サービス運用クラウドサーバ３０は、端末４０から送られた同意内容を機器接続クラウドサーバ２０へ送信する（ＳＱ１２）。

機器接続クラウドサーバ２０は、ＩｏＴ機器１０に対してセキュリティレベルを要求する（ＳＱ１３）。すなわち、確認手段２３３は、ＩｏＴ機器１０に設定されているセキュリティレベルを確認する。より詳細に確認手段２３３は、ＩｏＴ機器１０に設定されているセキュリティオプションを読み出す。

ＩｏＴ機器１０は、要求に応答して、設定済のセキュリティレベルを返信する（ＳＱ１４）。より詳細にＩｏＴ機器１０は、セキュリティレベルに対応するセキュリティオプションを、機器接続クラウドサーバ２０へ返信する。

機器接続クラウドサーバ２０は、同意内容に必要なセキュリティレベルを確認する（ＳＱ１５）。すなわち、確認手段２３３は、ＩｏＴ機器１０に設定されているセキュリティレベルが、同意内容に必要なセキュリティレベルを満たしているかどうかを確認する。より詳細に確認手段２３３は、同意内容に必要なセキュリティレベルに対応するセキュリティオプションと、ＩｏＴ機器１０に設定されているセキュリティオプションとを比較する。

ＩｏＴ機器１０に設定されているセキュリティレベルが、同意内容に必要なセキュリティレベル、つまり、要求基準を満たしていない場合に、機器接続クラウドサーバ２０は、セキュリティレベルの不足を、サービス運用クラウドサーバ３０へ通知する（ＳＱ１６）。なお、ＩｏＴ機器１０に設定されているセキュリティレベルが、同意内容に必要なセキュリティレベルを満たしている場合には、機器接続クラウドサーバ２０は、上述した図７のＳＱ７と同様に、サービスの提供を開始するものとする。

サービス運用クラウドサーバ３０は、ユーザへ警告を発する（ＳＱ１７）。例えば、サービス運用クラウドサーバ３０は、セキュリティレベルが不足している旨の警告メッセージを、端末４０に表示させる。

このような、図８に示す処理によって、セキュリティが確保されていない状態で、プライバシーデータを利用したサービスの提供が行われないようにすることができる。

なお、図８のＳＱ１１，ＳＱ１２において、上述した図６に示すような同意画面ＣＧ１にて、同意が必要となる各項目の何れかにチェックが入力される毎に、同意内容が送られるようにしてもよい。この場合では、ＳＱ１６，ＳＱ１７にて、セキュリティレベルが不足している項目を送るようにして、同意画面ＣＧ１にて、セキュリティレベルが不足している項目を、例えば、赤色にて強調表示するようにしてもよい。

次に、図９を参照して、同意画面に設定可能な項目を表示する処理について説明する。図９は、同意画面に設定可能な項目を表示する処理の流れを説明するシーケンス図である。なお、図９でも、ユーザ認証、機器認証等についての通信は省略しているが、実際には、ユーザ認証、機器認証等が行われた上で、以下に説明するように、同意画面に設定可能な項目を表示する処理が実行されるものとする。また、既に説明した内容と同じ処理内容については、簡略化して説明する。

まず、端末４０は、同意画面が選択された旨をサービス運用クラウドサーバ３０へ送信する（ＳＱ２１）。つまり、端末４０は、同意画面についての表示が指示されたことをサービス運用クラウドサーバ３０へ送信する。

サービス運用クラウドサーバ３０は、選択可能な項目を機器接続クラウドサーバ２０へ要求する（ＳＱ２２）。

機器接続クラウドサーバ２０は、ＩｏＴ機器１０に対してセキュリティレベルを要求する（ＳＱ２３）。また、ＩｏＴ機器１０は、要求に応答して、設定済のセキュリティレベルを返信する（ＳＱ２４）。

機器接続クラウドサーバ２０は、設定済のセキュリティレベルから設定可能な項目を特定する（ＳＱ２５）。すなわち、確認手段２３３は、ＩｏＴ機器１０に設定されているセキュリティレベルを基に、上述した図４のサービス管理テーブル２１１を参照して、設定可能な項目を特定する。例えば、ＩｏＴ機器１０に設定されているセキュリティレベルが「２」の場合であれば、機器接続クラウドサーバ２０は、設定可能な項目として、「プライバシーデータのアップロード」と「プライバシーデータのリモート閲覧」とを特定する。

機器接続クラウドサーバ２０は、特定した設定可能な項目を、サービス運用クラウドサーバ３０へ送信する（ＳＱ２６）。

サービス運用クラウドサーバ３０は、設定可能な項目に応じた同意画面を、端末４０に表示させる（ＳＱ２７）。例えば、設定可能な項目が、「プライバシーデータのアップロード」と「プライバシーデータのリモート閲覧」とであれば、端末４０は、図１０に示す同意画面ＣＧ２のように、「データの収集」と「遠隔からのデータ閲覧」とをチェック可能に表示し、「自動制御」についてはグレーアウトさせてチェック不可の状態で表示する。

このような、図９に示す処理によって、ＩｏＴ機器１０に設定されているセキュリティレベルに応じて、設定可能な項目を同意画面に適切に表示することができる。

上記の実施形態１では、セキュリティレベルを数値で管理する場合について説明したが、セキュリティレベルをＩｏＴ機器１０のＦ／Ｗ（ファームウェア）バージョンにて管理するようにしてもよい。

この場合、機器接続クラウドサーバ２０は、上述した図４のサービス管理テーブル２１１の代わりに、図１１に示すような管理テーブルを記憶部２１に記憶するようにする。図１１に示す管理テーブルは、ユーザの同意が必要な項目とＦ／Ｗバージョンとが対応付けられている。

そして、機器接続クラウドサーバ２０は、上述した図７に示す処理において、ＳＱ３にてセキュリティレベルを決定する代わりに、同意内容に応じたＦ／Ｗバージョンを決定する。そして、機器接続クラウドサーバ２０は、ＳＱ４にて設定要求する際に、決定したＦ／Ｗバージョンの設定をＩｏＴ機器１０に要求する。この要求に応答して、ＩｏＴ機器１０は、ＳＱ５にてセキュリティレベルを設定する代わりに、Ｆ／Ｗバージョンの更新を適宜行う。つまり、設定が要求されたＦ／Ｗバージョンが、現在のＦ／Ｗバージョンよりも新しい場合に、ＩｏＴ機器１０は、要求されたＦ／Ｗバージョンへアップデートを行う。なお、設定が要求されたＦ／Ｗバージョンが、現在のＦ／Ｗバージョンよりも古い場合には、ＩｏＴ機器１０は、特に何も行わないものとする。

また、機器接続クラウドサーバ２０は、上述した図８，図９に示す処理において、ＳＱ１３，ＳＱ２３にてセキュリティレベルをＩｏＴ機器１０に要求する代わりに、Ｆ／Ｗバージョンを要求する。この要求に応答して、ＩｏＴ機器１０は、ＳＱ１４，ＳＱ２４にて設定済のセキュリティレベルを返信する代わりに、現在のＦ／Ｗバージョンを返信する。そして、機器接続クラウドサーバ２０は、ＳＱ１５にてセキュリティレベルを確認する代わりに、同意に必要なＦ／Ｗバージョンを確認する。また、機器接続クラウドサーバ２０は、ＳＱ２５にてセキュリティレベルから設定可能な項目を特定する代わりに、現在のＦ／Ｗバージョンから設定可能な項目を特定する。

このように、ＩｏＴ機器１０のＦ／Ｗバージョンを用いる場合でも、プライバシーデータを利用したサービスを、セキュリティを確保してから提供することができる。また、ＩｏＴ機器１０のＦ／Ｗを必要に応じて、古いバージョンのまま利用できる。例えば、ＩｏＴ機器１０のスペック上の制限、若しくは、古いバージョンのＵＩ（ユーザインタフェース）にユーザが慣れ親しんでいるなどの理由で、Ｆ／Ｗをアップデートしたがらないユーザにも対応できる。

次に、図１２を参照して、プライバシーデータを削除する処理について説明する。図１２は、プライバシーデータを削除する処理の流れを説明するシーケンス図である。なお、図１２でも、ユーザ認証、機器認証等についての通信は省略しているが、実際には、ユーザ認証、機器認証等が行われた上で、以下に説明するように、セキュリティレベルを確認する処理が実行されるものとする。また、既に、プライバシーデータを利用したサービスが提供されている状態であり、機器接続クラウドサーバ２０とＩｏＴ機器１０には、図１３に示すようなプライバシーデータが蓄積されているものとする。

まず、端末４０は、同意内容の撤回をサービス運用クラウドサーバ３０へ送信する（ＳＱ３１）。例えば、端末４０は、上述した図６に示すような同意画面ＣＧ１にて、同意撤回ボタンＢＴ２が押下されると、同意内容の撤回を、サービス運用クラウドサーバ３０へ送信する。

サービス運用クラウドサーバ３０は、端末４０から送られた同意内容の撤回を機器接続クラウドサーバ２０へ送信する（ＳＱ３２）。

機器接続クラウドサーバ２０は、撤回した同意内容に応じたプライバシーデータを特定する（ＳＱ３３）。例えば、削除手段２３６は、図１３を参照し、撤回された同意内容に応じて、機器接続クラウドサーバ２０とＩｏＴ機器１０とに蓄積されているプライバシーデータを特定する。

機器接続クラウドサーバ２０は、特定したプライバシーデータの削除要求を、ＩｏＴ機器１０へ送信する（ＳＱ３４）。例えば、削除手段２３６は、上記のＳＱ３３にて特定したＩｏＴ機器１０に蓄積されているプライバシーデータの削除を、ＩｏＴ機器１０に指令する。

ＩｏＴ機器１０は、削除要求に応答して、プライバシーデータを削除する（ＳＱ３５）。より詳細にＩｏＴ機器１０は、プライバシーデータ記憶部１２からプライバシーデータを削除する。

ＩｏＴ機器１０は、削除結果を機器接続クラウドサーバ２０へ返信する（ＳＱ３６）。つまり、ＩｏＴ機器１０は、プライバシーデータの削除を正常に終えると、削除結果が「ＯＫ」である旨の返信を、機器接続クラウドサーバ２０へ送信する。

機器接続クラウドサーバ２０は、記憶部２１内のプライバシーデータを削除する（ＳＱ３７）。例えば、削除手段２３６は、上述したＳＱ３３にて特定した機器接続クラウドサーバ２０に蓄積されているプライバシーデータを削除する。

機器接続クラウドサーバ２０は、削除通知をサービス運用クラウドサーバ３０へ送信する（ＳＱ３８）。また、サービス運用クラウドサーバ３０は、削除通知を端末４０へ送信する（ＳＱ３９）。

このような、図１２に示す処理によって、機器接続クラウドサーバ２０に蓄積されているプライバシーデータだけでなく、ＩｏＴ機器１０に蓄積されているプライバシーデータも適切に削除することができる。そして、削除通知が端末４０まで送られることから、ユーザは、同意内容の撤回を契機に、蓄積されたプライバシーデータが機器接続クラウドサーバ２０及びＩｏＴ機器１０の双方から削除されたことを確認することができる。特に、ＩｏＴ機器１０が売却された場合、ホテル、賃貸施設等でＩｏＴ機器１０を一時的に利用する場合等、ユーザがＩｏＴ機器１０の所有者でなくとも、端末４０からＩｏＴ機器１０内のプライバシーデータを削除することが可能となる。

（他の実施形態）
上記の実施形態１では、ＩｏＴ機器１０が空調機器である場合について説明したが、ＩｏＴ機器１０が他の機器である場合でも同様に本開示を適用することができる。例えば、ＩｏＴ機器１０が照明機器である場合でも、本開示を適宜適用可能である。

また、上記の実施形態１では、機器接続クラウドサーバ２０において、ＣＰＵが、ＲＡＭをワークメモリとして用い、ＲＯＭに記憶されている制御プログラムを適宜実行することにより、同意内容取得手段２３１、設定手段２３２、確認手段２３３、サービス処理手段２３４、撤回指示取得手段２３５、及び、削除手段２３６が実現される場合について説明した。しかし、制御部２３の全部又は一部が、専用のハードウェアで実現されるようにしてもよい。専用のハードウェアとは、例えば、単一回路、複合回路、プログラム化されたプロセッサ、ＡＳＩＣ（Application Specific Integrated Circuit）、ＦＰＧＡ（Field-Programmable Gate Array）、又は、これらの組み合わせ等である。

また、上記の制御プログラムは、ＣＤ－ＲＯＭ（Compact Disc Read Only Memory）、ＤＶＤ（Digital Versatile Disc）、光磁気ディスク（Magneto-Optical Disc）、ＵＳＢ（Universal Serial Bus）メモリ、メモリカード、ＨＤＤ（Hard Disk Drive）等のコンピュータ読み取り可能な記録媒体に格納して配布することも可能である。

そして、機器接続クラウドサーバ２０とは別体の装置によってこのような制御プログラムを実行する構成を採用する場合では、上記のように配布したプログラムを特定の又は汎用のコンピュータにインストールすることによって、当該コンピュータを機器接続クラウドサーバ２０として機能させることも可能である。また、制御プログラムをインターネット上の他のサーバが有するディスク装置に格納しておき、当該サーバから制御装置に制御プログラムがダウンロードされるようにしてもよい。

本開示は、広義の精神と範囲を逸脱することなく、様々な実施形態及び変形が可能である。また、上述した実施形態は、本開示を説明するためのものであり、本開示の範囲を限定するものではない。つまり、本開示の範囲は、実施形態ではなく、特許請求の範囲によって示される。そして、特許請求の範囲内及びそれと同等の意義の範囲内で施される様々な変形が、本開示の範囲内とみなされる。

本開示は、ＩｏＴ機器に蓄積されるプライバシーデータを適切に保護することのできるクラウドサーバ、情報処理システム、管理方法、及び、プログラムに好適に採用され得る。

１ 情報処理システム、１０ ＩｏＴ機器、１１ センサ・カメラ、１２ プライバシーデータ記憶部、１３ ソフトウェアサービス、１４ ネットワークサービス、１５ 機器認証部、１６ ネットワークＩ／Ｆ、２０ 機器接続クラウドサーバ、２１ 記憶部、２１１ サービス管理テーブル、２１２ レベル管理テーブル、２２ ネットワークＩ／Ｆ、２３ 制御部、２３１ 同意内容取得手段、２３２ 設定手段、２３３ 確認手段、２３４ サービス処理手段、２３５ 撤回指示取得手段、２３６ 削除手段、３０ サービス運用クラウドサーバ、４０ 端末

Claims (6)

1. ユーザのプライバシーに関するプライバシーデータを収集して蓄積するＩｏＴ（Internet of Things）機器を管理するクラウドサーバであって、
   前記プライバシーデータの利用についての同意内容を、ユーザが操作する端末から取得する同意内容取得手段と、
   前記同意内容取得手段が取得した前記同意内容に応じたセキュリティレベルを、前記ＩｏＴ機器に設定する設定手段と、
   前記プライバシーデータを利用したサービスを処理するサービス処理手段と、
   前記サービス処理手段が前記サービスを開始する際に、前記ＩｏＴ機器に設定されているセキュリティレベルを確認する確認手段と、を備え、
   前記ＩｏＴ機器には、インストールされているファームウェアバージョンに応じたセキュリティレベルが規定されており、
   前記確認手段は、前記サービス処理手段が前記サービスを開始する際に、前記ＩｏＴ機器にインストールされている前記ファームウェアバージョンを確認し、
   前記サービス処理手段は、前記確認手段が確認した前記ファームウェアバージョンが要求基準よりも低い場合に、前記ＩｏＴ機器から前記プライバシーデータを収集しない、
   クラウドサーバ。
2. 前記同意内容取得手段が取得した前記同意内容を撤回する撤回指示を取得する撤回指示取得手段と、
   前記撤回指示取得手段が前記撤回指示を取得すると、前記ＩｏＴ機器に対して、蓄積した前記プライバシーデータの削除を指令する削除手段と、を更に備える、
   請求項１に記載のクラウドサーバ。
3. ユーザのプライバシーに関するプライバシーデータを収集して蓄積するＩｏＴ機器を管理するクラウドサーバであって、
   前記プライバシーデータの利用についての同意内容を、ユーザが操作する端末から取得する同意内容取得手段と、
   前記同意内容取得手段が取得した前記同意内容に応じたセキュリティレベルを、前記ＩｏＴ機器に設定する設定手段と、
   前記同意内容取得手段が取得した前記同意内容を撤回する撤回指示を取得する撤回指示取得手段と、
   前記撤回指示取得手段が前記撤回指示を取得すると、前記ＩｏＴ機器に対して、蓄積した前記プライバシーデータの削除を指令する削除手段と、
   を備えるクラウドサーバ。
4. ユーザのプライバシーに関するプライバシーデータを収集して蓄積するＩｏＴ機器と、ユーザが操作する端末と、クラウドサーバとが通信可能に接続された情報処理システムであって、
   前記クラウドサーバは、
   前記プライバシーデータの利用についての同意内容を、前記端末から取得する同意内容取得手段と、
   前記同意内容取得手段が取得した前記同意内容に応じたセキュリティレベルを、前記ＩｏＴ機器に設定する設定手段と、
   前記同意内容取得手段が取得した前記同意内容を撤回する撤回指示を取得する撤回指示取得手段と、
   前記撤回指示取得手段が前記撤回指示を取得すると、前記ＩｏＴ機器に対して、蓄積した前記プライバシーデータの削除を指令する削除手段と、を備える、
   情報処理システム。
5. ユーザのプライバシーに関するプライバシーデータを収集して蓄積するＩｏＴ機器を管理するクラウドサーバが実行する管理方法であって、
   前記プライバシーデータの利用についての同意内容を、ユーザが操作する端末から取得する同意内容取得ステップと、
   前記同意内容取得ステップにて取得した前記同意内容に応じたセキュリティレベルを、前記ＩｏＴ機器に設定する設定ステップと、
   前記同意内容取得ステップにて取得した前記同意内容を撤回する撤回指示を取得する撤回指示取得ステップと、
   前記撤回指示取得ステップにて前記撤回指示を取得すると、前記ＩｏＴ機器に対して、蓄積した前記プライバシーデータの削除を指令する削除ステップと、
   を備える管理方法。
6. ユーザのプライバシーに関するプライバシーデータを収集して蓄積するＩｏＴ機器を管理するコンピュータに、
   前記プライバシーデータの利用についての同意内容を、ユーザが操作する端末から取得する同意内容取得ステップ、
   前記同意内容取得ステップにて取得した前記同意内容に応じたセキュリティレベルを、前記ＩｏＴ機器に設定する設定ステップ、
   前記同意内容取得ステップにて取得した前記同意内容を撤回する撤回指示を取得する撤回指示取得ステップ、
   前記撤回指示取得ステップにて前記撤回指示を取得すると、前記ＩｏＴ機器に対して、蓄積した前記プライバシーデータの削除を指令する削除ステップ、
   を実行させるためのプログラム。