JP2015207043A - 情報処理装置、履歴情報提示方法、プログラムおよび履歴管理システム - Google Patents

Abstract

【課題】 履歴情報を提示する情報処理装置、履歴情報提示方法、プログラムおよび履歴管理システムを提供すること。【解決手段】本情報処理装置１２０は、履歴情報を構成する履歴要素毎に内容の性質を表す内容属性を記憶する内容属性記憶手段２０６と、各利用者に対し、各内容属性の履歴要素の開示を許可、条件付きで許可または不許可とするかの開示可否を管理する開示可否管理手段２０４，２０８と、履歴情報の提示を要求する利用者に対する、履歴情報を構成する履歴要素各々の開示可否を判定する判定手段２３２と、開示が条件付きで許可されると判定された履歴要素に対し、開示する条件として適用する処理を実行する処理手段２３６と、開示が許可されると判定された履歴要素の値と、処理を適用して生成された値とを含む提示用履歴情報を提示する提示手段とを含む。【選択図】 図２

Description

本発明は、情報処理装置、履歴情報提示方法、プログラムおよび履歴管理システムに関し、より詳細には、履歴情報を提示する情報処理装置、履歴情報提示方法、プログラムおよび履歴管理システムに関する。

従来、パーソナル・コンピュータや複合機などの情報処理装置のセキュリティの重要性が広く認識されている。このような情報処理装置では、セキュリティ・インシデントが発生した場合に装置の利用状況を追跡するために、操作履歴を記録し、閲覧可能とする機能が搭載されている。一方、これらの操作履歴情報は、利用者の情報を含んでいるため、そのまま製品の障害解析などに利用することが難しい。このような背景から、障害解析用に利用者情報を含まない履歴情報を別途記録したり、利用者情報を含む記録された履歴情報から、利用者情報を秘匿した状態に変換する方法が知られている。

このような、情報を秘匿する技術に関し、例えば、特開２０１１−１３３９９１号公報（特許文献１）が知られている。特許文献１では、機密データと当該機密データに対応して設定した伏字データとの対応関係を示す機密データ辞書を記憶した機密データ保護システムを開示する。特許文献１のデータ変換装置は、文書データの保存処理の動作開始が検知された場合に、保存処理が実行されるのに先立ち文書データを取得し、文書データ内の機密データを機密データ辞書に基づき伏字データへと置換する。

しかしながら、従来技術の履歴情報の秘匿化方法は、利用者の権限に応じて開示状態または秘匿状態のいずれとするかを制御できるにすぎなかった。上記特許文献１の従来技術は、文書データ内に含まれる機密データを予め設定された伏字データに変換することができるものの、利用者の履歴情報の用途に応じた秘匿状態を実現することを可能とするものではなかった。

本発明は、上記従来技術における不充分な点に鑑みてなされたものであり、本発明は、情報処理装置の履歴情報から、利用者に対し、開示を許可しないよう管理される情報を秘匿しながら、開示を許可するよう管理される情報および条件付きで開示を許可するよう管理された情報を条件付きで提示することができる、情報処理装置、履歴情報提示方法、プログラムおよび履歴管理システムを提供することを目的とする。

本発明では、上記課題を解決するために、下記特徴を有する情報処理装置を提供する。本情報処理装置は、履歴情報を構成する履歴要素毎に内容の性質を表す内容属性を記憶する内容属性記憶手段と、各利用者に対し、各内容属性の履歴要素の開示を許可、条件付きで許可または不許可とするかの開示可否を管理する開示可否管理手段と、履歴情報の提示を要求する利用者に対する、上位履歴情報を構成する履歴要素各々の開示可否を判定する判定手段と、判定手段により開示が条件付きで許可されると判定された履歴要素に対し、開示する条件として適用する処理を実行する処理手段と、判定手段により開示が許可されると判定された履歴要素の値と、処理手段により処理を適用して生成された値とを含む提示用履歴情報を提示する提示手段とを含む。

上記構成により、情報処理装置の履歴情報から、利用者に対し、開示を許可しないよう管理される情報を秘匿しながら、開示を許可するよう管理される情報および条件付きで開示を許可するよう管理された情報を条件付きで提示することができる。

本実施形態による複合機を含む履歴管理システムの概略構成図。 本実施形態による履歴情報提示機能に関連する機能ブロック図。 本実施形態による複合機が実行する履歴情報提示処理を示すフローチャート。 本実施形態による複合機の履歴蓄積部が蓄積する履歴テーブルのデータ構造を例示する図。 本実施形態による複合機が保持する（Ａ）利用者情報管理テーブル、（Ｂ）利用者利用権限テーブルおよび（Ｃ）文書情報管理テーブルのデータ構造を例示する図。 本実施形態による複合機が保持する（Ａ）履歴要素−機密属性テーブルおよび（Ｂ）開示可否テーブルのデータ構造を例示する図。 本実施形態による複合機が保持する置換テーブルのデータ構造を例示する図。 特定の利用者が履歴情報の提示を要求した場合に提供される提示用履歴テーブルを例示する図。 特定の利用者が履歴情報の提示を要求した場合に提供される他の提示用履歴テーブルを例示する図。 特定の利用者が履歴情報の提示を要求した場合に提供されるさらに他の提示用履歴テーブルを例示する図。 変形例の実施形態による複合機が実行する履歴情報提示処理を示すフローチャート。 変形例の実施形態による複合機が実行する置換テーブル生成処理を示すフローチャート。 本実施形態による複合機１２０のハードウェア構成図。

以下、本実施形態について説明するが、本実施形態は、以下に説明する実施形態に限定されるものではない。なお、以下に説明する実施形態では、情報処理装置、および、履歴管理システムとして、画像機能に関連する操作の履歴情報を蓄積する複合機、および、該複合機の履歴を管理する履歴管理システムを一例に説明する。

図１は、本実施形態による複合機１２０を含む履歴管理システム１００の概略構成図である。図１に示す履歴管理システム１００は、ネットワーク１０２を介して相互に接続された、利用者端末１１０と、コピー、スキャナ、プリンタ、ファクシミリなどの画像機能を有する複合機１２０とを含み構成される。

複合機１２０は、当該複合機１２０の操作や処理の履歴情報を蓄積しており、複合機１２０が備える操作パネル上で履歴情報を提示できるとともに、外部からの照会に応答して履歴情報を提示することができるよう構成されている。利用者端末１１０には、複合機１２０を管理する管理ツールが導入されており、複合機１２０に対し、履歴情報の照会を要求し、取得した履歴情報を閲覧することができる。

複合機１２０に蓄積される履歴情報には、利用者の個人名、文書の文書名といった情報が記録されている可能性がある。このような情報は、情報管理されるべき性質を有する場合があり、特定の目的で履歴情報を利用しようとする正当な利用者には開示してもよいが、それ以外の利用者には、秘匿することが望ましい情報である。また、このような情報は、完全に秘匿することが求められる場合もあるが、所定の編集処理を行って詳細な内容を伏せた形で開示することが求められる場合もある。例えば、製品の障害解析を担当する利用者には、利用者の個人名や文書の文書名などの個人情報や機密情報が含まれ得る情報を開示すべきではないが、障害解析のため記録された操作の主体である利用者および操作対象の文書を識別して把握することが求められる場合もある。

そこで、本実施形態による複合機１２０は、利用者が履歴情報を利用する用途に応じて事前に定義された開示可否の管理情報に基づき、利用者に対し、履歴情報に含まれる開示すべきではない情報を保護しながら、上記用途において必要となる履歴情報を提示する機能を備える。

以下、図２〜図１０を参照しながら、本実施形態による履歴情報提示機能について説明する。

図２は、本実施形態による履歴情報提示機能に関連する機能ブロック図である。図２に示す機能ブロック２００は、履歴レコード読出部２２０と、履歴要素処理部２３０と、履歴情報提示部２４０とを含み構成される。機能ブロック２００は、さらに、履歴蓄積部２０２と、利用者利用権限テーブル２０４と、履歴要素−機密属性テーブル２０６と、開示可否テーブル２０８と、置換テーブル２１０とを含み構成される。なお、図２には、点線で区分して、他の実施形態による複合機が備える機能部も記載されているが、他の実施形態については後述する。

履歴蓄積部２０２は、ＨＤＤ、フラッシュメモリなどの不揮発性記憶媒体の記憶領域により提供され、上述した当該複合機１２０の操作および処理の履歴テーブルを記憶している。なお、履歴情報の記録処理は、特に説明しないが、複合機１２０上で随時発生する操作または処理のイベントに応答して、履歴蓄積部２０２に随時記録されるものとする。履歴テーブルは、それぞれ記録されたイベントの情報を保持する１以上の履歴レコードを含み構成され、履歴レコード各々は、複数の履歴要素を含んで構成される。履歴要素は、特に限定されるものではないが、日時、処理または操作に関わった利用者の利用者ＩＤ、利用者名、処理または操作の内容、処理または操作の結果、処理または操作された文書の文書ＩＤ、文書名といった、履歴情報として記憶される種々の情報を保持する。

利用者利用権限テーブル２０４は、当該複合機１２０の履歴を照会可能な利用者毎に、各々が保有する権限を表す権限属性を記憶する。権限属性は、所定の履歴要素に対し利用権限を有する一群の利用者を識別する。履歴要素−機密属性テーブル２０６は、履歴情報を構成する履歴要素毎に、各々に設定される機密属性を記憶する。ここで、機密属性は、履歴要素の内容の性質を記述する内容属性値であり、例えば、利用者ＩＤや利用者名は、利用者情報の属性を有し、文書ＩＤや文書名は、文書情報の属性を有する。説明する実施形態では、この文書情報の属性および利用者情報の属性が機密性を表している。

開示可否テーブル２０８は、権限属性および機密属性の組み合わせに対して、開示が許可されるか、開示が不許可であるかまたは条件付きで開示が許可されるかを管理するテーブルである。開示可否テーブル２０８により、権限属性各々に対し、該権限属性各々の権限を有する利用者の履歴情報の用途において開示されるべき属性、条件付きで開示されるべき属性、および秘匿されるべき属性が対応付けられる。

上記利用者利用権限テーブル２０４および開示可否テーブル２０８は、各利用者に対し、各機密属性が付された履歴要素の開示を許可、条件付きで許可または不許可とするかの開示可否を管理する開示可否管理手段を構成する。この利用者利用権限テーブル２０４は、典型的には、利用者に関する管理情報を記憶する利用者情報データベース（以下、データベースをＤＢと省略する。）２１２に基づいて作成することができる。

置換テーブル２１０は、条件付きで開示が許可される履歴要素と、開示する条件として該履歴要素の値に適用する編集処理を対応付けて記憶するテーブルであり、開示条件記憶手段を構成する。説明する実施形態では、開示する条件として適用される編集処理は、履歴要素の値を置換する置換処理であり、置換処理を適用して生成される値は、置換値となる。詳細は上述するが、置換テーブル２１０は、典型的には、上述した利用者情報ＤＢ２１２と、文書に関する管理情報を記憶する文書情報ＤＢ２１４とに基づいて作成することができる。

履歴レコード読出部２２０は、履歴蓄積部２０２から履歴テーブルを構成する履歴レコードを読み出し、履歴レコード毎に履歴要素処理部２３０へ渡す。履歴要素処理部２３０は、履歴情報の提示を要求してきた利用者に対し、履歴要素各々の開示可否を判定する。履歴情報提示部２４０は、履歴要素処理部２３０による判定結果に基づき、提示用の履歴レコードを構成し、要求元に提示する。

履歴要素処理部２３０は、より詳細には、履歴要素判定部２３２と、履歴要素書込部２３４と、履歴要素置換部２３６とを含み構成される。

履歴要素判定部２３２は、利用者利用権限テーブル２０４と、履歴要素−機密属性テーブル２０６と、開示可否テーブル２０８とに基づき、履歴情報の提示を要求する利用者に対し、履歴情報を構成する履歴要素各々の開示可否を判定する。履歴要素各々に対応する機密属性が、要求する利用者の権限属性に対応して開示されるべき機密属性、秘匿されるべき機密属性、および条件付きで開示されるべき機密属性のいずれとして記憶されているかに応じて、開示可否が判定される。条件付きで開示されるべき機密属性については、さらに、どのような条件が付されているかも判断される。

履歴要素置換部２３６は、条件付きで開示が許可される履歴要素の値に対し、開示する条件として該履歴要素の値に対し置換処理を適用する処理手段である。履歴要素書込部２３４は、条件付きで開示が許可される履歴要素については、その値に対して置換処理を適用して生成された置換値を提示用レコードに書き込む。また、条件なく開示が許可される履歴要素については、履歴要素書込部２３４は、その値をそのまま提示用レコードに書き込む。

以下、図３に示すフローチャートおよび図４〜図１０に例示するデータ構造を参照しながら、本実施形態による複合機１２０が有する履歴情報提示機能について説明する。

図３は、本実施形態による複合機１２０が実行する履歴情報提示処理を示すフローチャートである。図４は、本実施形態による複合機１２０の履歴蓄積部２０２が蓄積する履歴テーブルのデータ構造を例示する図である。図５（Ａ）は、本実施形態による複合機１２０の利用者情報ＤＢ２１２が記憶する利用者情報管理テーブルのデータ構造を例示する図である。これに対して、図５（Ｂ）は、本実施形態による複合機１２０が保持する利用者利用権限テーブル２０４のデータ構造を例示する図である。図５（Ｃ）は、本実施形態による複合機１２０の文書情報ＤＢ２１４が記憶する文書情報管理テーブルのデータ構造を例示する図である。

図６（Ａ）は、本実施形態による複合機１２０が保持する履歴要素−機密属性テーブル２０６のデータ構造を例示する図である。図６（Ｂ）は、本実施形態による複合機１２０が保持する開示可否テーブル２０８のデータ構造を例示する図である。図７は、本実施形態による複合機１２０が保持する置換テーブル２１０のデータ構造を例示する図である。

図３に示す処理は、利用者端末１１０からの履歴情報の提示要求に応答して、ステップＳ１００から開始される。ステップＳ１０１では、履歴要素判定部２３２は、図５（Ｂ）に示すような利用者利用権限テーブル２０４から、提示要求にかかる利用者の権限属性を読み出す。ステップＳ１０２では、履歴要素判定部２３２は、図６（Ａ）に示すような履歴要素−機密属性テーブル２０６から履歴要素毎の権限属性を読み出す。

図５（Ａ）に示す利用者情報管理テーブルの例では、各利用者には、利用者ＩＤ、利用者名、所属および権限レベルが管理されている。図５（Ｂ）に示す利用者利用権限テーブル２０４は、図５（Ａ）に示す利用者情報管理テーブルの内容に対応して生成されたものに相当し、利用者の利用者ＩＤ、利用者名および利用者が有する権限属性を対応付けている。権限属性は、例えば、利用者情報管理テーブルで管理される権限レベルをそのまま用いることができるが、特に限定されるものではない。

図４に示す例では、履歴テーブルは、それぞれイベントが発生した日時、イベントに関連する利用者の利用者ＩＤ、利用者名、処理の内容、処理の結果、処理かかわる文書の文書ＩＤおよび文書名の履歴要素からなる１以上のレコードを含んでいる。図４に示す履歴テーブルに基づいて説明すると、履歴要素−機密属性テーブル２０６は、図６（Ａ）に示すように、レコードを構成する履歴要素各々に対して、「一般」、「利用者情報」または「文書情報」の機密属性が付されている。

「一般」が付される「日時」や「処理」、「結果」などの履歴要素は、一般の利用者にまで広く開示してもよい情報である。これに対して、「利用者情報」が付される「利用者ＩＤ」および「利用者名」の履歴要素は、個人を特定できる点で、そのような権限を有する特定の利用者だけに開示されるべき情報である。また、「文書情報」が付される「文書ＩＤ」および「文書名」の履歴要素は、文書を特定できる点および文書の内容を含む可能性がある点で、その文書の内容を閲覧する権限を有する特定の利用者だけに開示されるべき情報である。

ステップＳ１０１およびステップＳ１０２で、履歴要素の開示可否を判断するために必要なデータが読み出されると、ステップＳ１０３では、履歴レコード読出部２２０は、履歴蓄積部２０２から、図４に示すような履歴テーブルを構成する履歴レコード各々を順次読込む。

ステップＳ１０４では、履歴テーブルにそれ以上の履歴レコードが無い、つまりＥＯＦ（End Of File）であるか否かが判定される。ステップＳ１０４で、ＥＯＦではないと判定された場合（ＮＯ）は、ステップＳ１０５へ処理が進められる。

ステップＳ１０５では、履歴要素判定部２３２は、読み出した履歴レコードから、順次、履歴要素を抽出する。図４に示す履歴テーブルの例では、「日時」、「利用者ＩＤ」、「利用者名」のような順に抽出される。ステップＳ１０６では、履歴レコードにそれ以上の履歴要素がない、つまりＥＯＬ（End Of List）であるか否かが判定される。ステップＳ１０６で、ＥＯＬではないと判定された場合（ＮＯ）は、ステップＳ１０７へ処理が進められる。

ステップＳ１０７では、履歴要素判定部２３２は、開示可否テーブルを参照し、当該利用者の権限属性と、抽出した履歴要素の機密属性との組み合わせに対応付けられた開示可否情報を参照し、開示が許可されるか否かを判定する。ステップＳ１０７の判定では、条件なく開示が許可される場合（開示可否情報が「可」である場合）、条件付きで開示が許可される場合（開示可否情報が「置換１」または「置換２」である場合）の両方で、開示が許可されると判定される。

ステップＳ１０８では、履歴要素判定部２３２は、開示可否情報に基づき、開示に条件が付いているか否かが判定される。ステップＳ１０８で、開示可否情報が「置換１」または「置換２」であり、条件付きで開示が許可されると判定された場合（ＹＥＳ）は、ステップＳ１１１へ処理が分岐される。ステップＳ１１１では、履歴要素置換部２３６は、開示可否情報に応じた置換テーブル２１０を参照して、処理中の履歴要素の値に対応する置換値を読み出し、履歴要素の値を置換して、ステップＳ１０９へ処理を進める。

図７（Ａ）は、利用者ＩＤの置換テーブルを例示し、図７（Ｂ）は、利用者名の置換テーブルを例示する。図７（Ｃ）は、文書ＩＤの置換テーブルを例示し、図７（Ｄ）は、文書名の置換テーブルを例示する。図７（Ａ）〜図７（Ｄ）に示すように、説明する実施形態においては、各履歴要素の値に対して、「置換１」および「置換２」として複数の置換値が対応付けられている。図６（Ｂ）に示した開示可否テーブル２０８においては、適用する置換処理が２種類存在し、開示可否情報として、いずれの置換処理を適用すべきかが指定されている。開示可否テーブル２０８において、「置換１」が指定された場合は、対応する置換テーブルにおける「置換１」で示した置換値で置換が行われることになる。「置換２」が指定された場合についても同様である。

図７（Ａ）および図７（Ｖ）に示す例でいうと、「置換１」は、利用者の権限レベルに番号が付された、利用者の属性情報を一部含む形の置換値が対応付けられている。これに対して、「置換２」は、利用者の別が識別可能な無機質な情報となっている。置換値にどの種類またどの程度の属性情報を含めるかは、組織の情報管理ポリシーに基づき定めればよい。また、図７に示す例示では、履歴要素の１つの値に対して置換値が対応付けられた置換テーブルを用いているが、履歴要素の値に適用する編集処理としては特に限定されるものではない。例えば、「置換２」のような無機質な情報で置換する場合は、利用者ＩＤや利用者名を入力としてハッシュ関数から出力されるハッシュ値を用いたりしてもよい。

これに対して、ステップＳ１０８で、条件が付いていないと判定された場合（ＮＯ）は、ステップＳ１０９へ直接処理が分岐される。ステップＳ１０９では、履歴要素書込部２３４は、提示用の履歴レコードに履歴要素を追加し、ステップＳ１０５へ処理をループさせ、次の要素へ処理を進める。ここでは、条件が付かずに開示が許可される履歴要素のそのままの値、または置換条件付きで開示が許可される履歴要素の値を置換した置換値が履歴用レコードに書き込まれる。

ステップＳ１０６で、ＥＯＬであると判定された場合（ＹＥＳ）は、ステップＳ１１０へ処理が進められる。図４に示す履歴テーブルの例では、「文書名」の履歴要素に対する処理が終わった段階で、ＥＯＬと判定される。ステップＳ１１０では、履歴情報提示部２４０は、ステップＳ１０９で構成された提示用の履歴レコードを利用者端末１１０に出力し、ステップＳ１０３へ処理をループさせ、次のレコードへ処理を進める。再びステップＳ１０４に説明を戻すと、ステップＳ１０４で、履歴テーブルの最後のレコードの処理が終了しておりＥＯＦであると判定された場合（ＹＥＳ）は、ステップＳ１１２へ処理が進められ、本処理が終了される。

図８〜図１０は、特定の利用者が履歴情報の提示を要求した場合に提供される提示用履歴テーブルを例示する図である。図８（Ａ）は、「課長」の権限属性を有する利用者の場合の提示用履歴テーブルのデータ構造を示す図である。図６（Ｂ）に示すように、「課長」の権限属性に対しては、「一般」の履歴要素の開示が許可されるものの、「利用者情報」および「文書情報」の履歴要素については、開示が許可されていない。したがって、図８（Ａ）に示すように、「一般」の属性が付された「日時」、「処理」および「結果」のみからなる提示用のレコードが構成されて出力される。利用者情報および文書情報の機密属性を有する履歴要素については開示されない。

図８（Ｂ）は、「利用者管理者」の権限属性を有する利用者の場合の提示用履歴テーブルのデータ構造を示す図である。図６（Ｂ）に示すように、「利用者管理者」の権限属性に対しては、「一般」および「利用者情報」の履歴要素の開示が許可され、「文書情報」の履歴要素については、「置換１」の条件付きで開示が許可されている。したがって、図８（Ｂ）に示すように、利用者情報の属性を有する履歴要素はそのまま開示されるが、文書の属性を有する履歴要素については、文書の性質の記述を一部含む置換値で置換された形で開示される。

図９は、「文書管理者」の権限属性を有する利用者の場合の提示用履歴テーブルのデータ構造を示す図である。図６（Ｂ）に示すように、「文書管理者」の権限属性に対しては、「一般」および「文書情報」の履歴要素の開示が許可され、「利用者情報」の履歴要素については、「置換１」の条件付きで開示が許可されている。したがって、図９に示すように、文書情報の属性を有する履歴要素は、そのまま開示されるが、利用者の属性を有する履歴要素については、「置換１」が適用されて、利用者の性質の記述を一部含む置換値で置換された形で開示される。

図１０は、「設計者」の権限属性を有する利用者の場合の提示用履歴テーブルのデータ構造を示す図である。図６（Ｂ）に示すように、「文書管理者」の権限属性に対しては、「一般」の履歴要素の開示が許可され、「文書情報」および「利用者情報」の履歴要素については、「置換２」の条件付きで開示が許可されている。したがって、図１０に示すように、文書および利用者の属性を有する履歴要素については、それぞれ、置換２が適用されて無機質かつ識別可能な形へ置換した上で開示されることになる。

上述したように、本実施形態によれば、利用者毎の権限属性と履歴要素毎の機密属性とに対する開示可、開示不可、置換条件付きで開示可が判定される。そして、利用者の履歴レコードの提示要求時に、開示可と判断された履歴要素と、置換条件付きで開示可と判定され、その値を置換テーブルに登録されている置換値に置換した履歴要素とで新たな提示用の履歴レコードが構成される。このため、利用者の個人名、文書の文書名といった情報管理されるべき性質を有する情報が含まれ得る履歴情報から、利用者が履歴情報を利用する用途に応じて事前に定義された開示可否の管理情報に基づき、利用者に対し、履歴情報に含まれる開示すべきではない情報を保護しながら、用途において必要となる履歴情報を提示することができるようになる。

上述した実施形態では、置換テーブル２１０は、静的なものであった。以下、置換テーブル２１０を動的に構成することができる変形例の実施形態について、図２、図１１および図１２を参照しながら説明する。

ここで、再び図２を参照すると、図２には、図２中の点線で区分された部分において、さらに変形例の実施形態による機能ブロックが示されている。図２に示した変形例の実施形態による複合機の機能ブロック２００は、さらに、履歴レコード提示カウンタ２１６と、置換テーブル初期化部２５０と、置換テーブル生成部２６０とを含むことができる。

置換テーブル生成部２６０は、利用者情報ＤＢ２１２および文書情報ＤＢ２１４にそれぞれ記憶される図５（Ａ）で例示した利用者情報管理テーブルおよび図５（Ｃ）で例示した文書情報管理テーブルを参照し、置換テーブル２１０の各エントリを生成する。置換テーブル生成部２６０は、上述した利用者および文書の管理情報の少なくともいずれかの情報を参照しながら、履歴要素の値に対し、開示する条件として適用する編集処理を決定する、本実施形態における開示条件設定手段を構成する。

より具体的には、置換テーブル生成部２６０は、利用者情報の属性を有する履歴要素に対しては、利用者の管理情報において設定された利用者の情報管理上の属性（権限レベル）に基づく置換値を決定する。また、置換テーブル生成部２６０は、文書情報の属性を有する履歴要素に対しては、文書の管理情報における文書の情報管理上の属性（機密レベル）に基づく置換値を決定する。

履歴レコード提示カウンタ２１６は、履歴情報提示部２４０が提示した提示用履歴レコードの件数を計数する。置換テーブル初期化部２５０は、履歴レコード提示カウンタ２１６により計数された件数が所定閾値を超えた場合に、置換テーブル２１０を初期化する。置換テーブル２１０には、置換元の機密情報が蓄積され続けるので、定期的に記録された情報を消去することが好ましいためである。

図１１は、変形例の実施形態による複合機が実行する履歴情報提示処理を示すフローチャートである。図１１に示す処理は、利用者端末１１０からの履歴情報の提示要求に応答して、ステップＳ２００から開始される。なお、図１１に示すフローチャートは、図３に示したフローチャートと共通する部分があるので、以下、相違点を中心に説明する。図１１に示すステップＳ２０１〜ステップＳ２１１の処理は、ステップＳ１０１〜ステップＳ１１１の処理に対応するので、説明を割愛する。

ステップＳ２０６で、ＥＯＬであると判定された場合（ＹＥＳ）は、ステップＳ２１０へ処理が進められ、ステップＳ２１０で構成された提示用の履歴レコードが利用者端末１１０に出力される。変形例の実施形態では、ステップＳ２１０からステップＳ２１２へ処理が進められる。ステップＳ２１２では、履歴レコード提示カウンタ２１６は、所定基準点から計数している提示用履歴レコードの出力件数を、当該提示用履歴レコードの出力に対応してカウントアップする。ステップＳ２１３では、置換テーブル初期化部２５０は、履歴レコード提示カウンタ２１６を参照し、出力件数が閾値を超えたか否かを判定する。

ステップＳ２１３で、出力件数が閾値を超えていないと判定された場合（ＮＯ）は、ステップＳ２０３へ処理をループさせ、次のレコードへ処理を進める。これに対して、ステップＳ２１３で、出力件数が閾値を超えたと判定された場合（ＹＥＳ）は、ステップＳ２１４で、置換テーブル２１０を消去した上で、ステップＳ２０３へ処理をループさせ、次のレコードへ処理を進める。

ステップＳ２０４で、履歴テーブルの最後のレコードの処理が終了しており、ＥＯＦであると判定された場合（ＹＥＳ）は、ステップＳ２１５へ処理が進められ、本処理が終了される。

図１２は、変形例の実施形態による複合機が実行する、置換テーブル生成処理を示すフローチャートである。図１２に示す処理は、履歴蓄積部２０２に履歴レコードが新たに記録されたことに応答して開始される。なお、図１２は、利用者情報に基づき利用者の属性を有する履歴要素の置換テーブルを生成する処理を主として示しており、文書情報については括弧書きで補足されている点に留意されたい。

ステップＳ３０１では、置換テーブル生成部２６０は、履歴蓄積部２０２に新たに追加された履歴レコードを読み込む。ステップＳ３０２では、置換テーブル生成部２６０は、読み込んだ履歴レコードから、利用者情報の属性を有する履歴要素を抽出する。ステップＳ３０３では、置換テーブル生成部２６０は、抽出した履歴要素に対応するエントリが置換テーブル２１０に既に登録済みであるか否かを判定する。例えば、所定の利用者にかかる履歴レコードが新たに追加された場合において、その所定の利用者にかかる利用者ＩＤおよび利用者名が履歴テーブルに既に登録されている場合は、登録有りと判定される。

ステップＳ３０３で、登録なしと判定された場合（ＮＯ）は、ステップＳ３０４へ処理が進められる。ステップＳ３０４では、図５（Ａ）に示した利用者情報管理テーブルの対応する利用者の管理情報のレコードから権限レベルを読み込む。ステップＳ３０５〜ステップＳ３０８のループでは、利用者情報の属性を有する履歴要素毎に、ステップＳ３０６およびステップＳ３０７の処理が実行される。

ステップＳ３０６では、置換テーブル生成部２６０は、処理対象となる履歴要素について、利用者の権限レベルを含めた形で置換値を生成する。ここでは、例えば「課長」といった権限レベルに対し、出現順序「１」を付した「課長１」のような置換値が生成される。なお、ここでの説明は、図７に例示した「置換１」に対応するものであり、「置換２」など他の置換条件については、別途処理が行われる。

ステップＳ３０７では、置換テーブル生成部２６０は、処理対象となる履歴要素について、履歴要素の元の値と、置換値とを対応付けるエントリを置換テーブル２１０に出力する。ステップＳ３０５〜ステップＳ３０８のループを抜けると、ステップＳ３０９で、本処理を終了させる。また、ステップＳ３０３で、既に登録されていると判定された場合（ＹＥＳ）は、ステップＳ３０９へ処理を分岐させて、本処理を終了する。そして、履歴蓄積部２０２に新たに履歴レコードが追加されたタイミングで、再度、図１２に示す処理が繰り返される。

上記変形例の実施形態によれば、履歴テーブルが動的に構成され、適宜消去されるので、機密情報が履歴テーブルに残され続けるといったリスクが軽減される。また、上記変形例の実施形態によれば、機器利用者の個人名や利用者ＩＤなどのプライバシーにかかわる情報に配慮する一方で、ある一定の属性情報を含めた形で履歴レコードを開示することが可能となる。

以下、上述した複合機１２０のハードウェア構成について、図１３を参照して説明する。図１３は、本実施形態による複合機１２０のハードウェア構成を示す図である。複合機１２０は、コントローラ１２と、オペレーション・パネル４２と、ＦＣＵ（ファクシミリ・コントロール・ユニット）４４と、エンジン部４６とを含み構成される。コントローラ１２は、ＣＰＵ（中央演算処理装置）１４と、ＮＢ（ノース・ブリッジ）１８と、ＮＢ１８を介してＣＰＵ１４と接続するＡＳＩＣ２０と、システムメモリ１６とを含み構成される。ＡＳＩＣ２０は、各種画像処理を実行し、ＡＧＰ（Accelerated Graphic Port）４８を介してＮＢ１８と接続される。システムメモリ１６は、描画用メモリなどとして用いられる。

ＡＳＩＣ２０は、ローカルメモリ２２と、ハードディスクドライブ（以下、ＨＤＤとして参照する。）２４と、フラッシュメモリなどの不揮発性メモリ（以下、ＮＶ−ＲＡＭとして参照する。）２６と接続する。ローカルメモリ２２は、コピー用画像バッファや符号バッファとして用いられ、ＨＤＤ２４は、画像データ、文書データなどを蓄積するストレージである。ＮＶ−ＲＡＭ２６は、複合機１２０を制御するためのプログラムや各種システム情報や各種設定情報を格納する。

コントローラ１２は、さらにＳＢ（サウス・ブリッジ）２８と、ＮＩＣ（ネットワーク・インタフェース・カード）３０と、ＳＤ（Secure Digital）カード・スロット３２と、ＵＳＢインタフェース３４と、ＩＥＥＥ１３９４インタフェース３６と、セントロニクス・インタフェース３８とを含み構成され、これらはＰＣＩバス５０を介してＮＢ１８と接続される。ＮＩＣ３０は、複合機１２０をインターネットやＬＡＮなどのネットワークに接続するインタフェース機器であり、ネットワークを介した上述した履歴情報の提示要求などを受付けている。

オペレーション・パネル４２は、コントローラ１２のＡＳＩＣ２０と接続され、オペレータからの各種指示の入力を受付けや、画面表示を行なうためのユーザ・インタフェースを提供する。ＦＣＵ４４およびエンジン部４６は、ＰＣＩバス５２を介してＡＳＩＣ２０と接続する。エンジン部４６は、アプリケーションが発行したプリント指令やスキャン指令を受け、画像形成処理や画像読取処理を実行する。

本実施形態による複合機１２０は、ＨＤＤ２４から制御プログラムを読み出し、システムメモリ１６が提供する作業空間に展開することにより、ＣＰＵ１４の制御の下、上述した各機能部および各処理を実現する。

以上説明した実施形態によれば、情報処理装置の履歴情報から、利用者に対し、開示を許可しないよう管理される情報を秘匿しながら、開示を許可するよう管理される情報および条件付きで開示を許可するよう管理された情報を条件付きで提示することができる、情報処理装置、履歴情報提示方法、プログラムおよび履歴管理システムを提供することができる。

なお、上述までの実施形態では、情報処理装置として複合機を一例に説明した。しかしながら、情報処理装置としては、複合機に限定されるものではなく、プリンタ、スキャナ、ファクシミリなどの画像機器、プロジェクタ、テレビジョンなどの映像出力装置、スチルカメラ、ビデオカメラなどの撮像装置、会議端末、ネットワーク家電、携帯情報端末、サーバ装置などの如何なる電子機器とすることができる。

また、上記機能部は、アセンブラ、Ｃ、Ｃ＋＋、Ｃ＃、Ｊａｖａ（登録商標）などのレガシープログラミング言語やオブジェクト指向プログラミング言語などで記述されたコンピュータ実行可能なプログラムにより実現でき、ＲＯＭ、ＥＥＰＲＯＭ、ＥＰＲＯＭ、フラッシュメモリ、フレキシブルディスク、ＣＤ−ＲＯＭ、ＣＤ−ＲＷ、ＤＶＤ−ＲＯＭ、ＤＶＤ−ＲＡＭ、ＤＶＤ−ＲＷ、ブルーレイディスク、ＳＤカード、ＭＯなど装置可読な記録媒体に格納して、あるいは電気通信回線を通じて頒布することができる。

これまで本発明の実施形態について説明してきたが、本発明の実施形態は上述した実施形態に限定されるものではなく、他の実施形態、追加、変更、削除など、当業者が想到することができる範囲内で変更することができ、いずれの態様においても本発明の作用・効果を奏する限り、本発明の範囲に含まれるものである。

１００…履歴管理システム、１０２…ネットワーク、１１０…利用者端末、１２０…複合機、２００…機能ブロック、２０２…履歴蓄積部、２０４…利用者利用権限テーブル、２０６…履歴要素−機密属性テーブル、２０８…開示可否テーブル、２１０…置換テーブル、２２０…履歴レコード読出部、２３０…履歴要素処理部、２３０…履歴要素処理部、２３２…履歴要素判定部、２３４…履歴要素書込部、２３６…履歴要素置換部、２４０…履歴情報提示部、１０…複合機、１２…コントローラ、１４…ＣＰＵ、１６…システムメモリ、１８…ＮＢ、２０…ＡＳＩＣ、２２…ローカルメモリ、２４…ＨＤＤ、２６…ＮＶ−ＲＡＭ、２８…ＳＢ、３０…ＮＩＣ、３２…ＳＤカード・スロット、３４…ＵＳＢインタフェース、３６…ＩＥＥＥ１３９４インタフェース、３８…セントロニクス・インタフェース、４２…オペレーション・パネル、４４…ＦＣＵ、４６…エンジン部、４８…ＡＧＰ、５０…ＰＣＩバス、５２…ＰＣＩバス

特開２０１１−１３３９９１号公報

Claims (10)

1. 履歴情報を構成する履歴要素毎に内容の性質を表す内容属性を記憶する内容属性記憶手段と、
   各利用者に対し、各内容属性の履歴要素の開示を許可、条件付きで許可または不許可とするかの開示可否を管理する開示可否管理手段と、
   履歴情報の提示を要求する利用者に対する、前記履歴情報を構成する履歴要素各々の開示可否を判定する判定手段と、
   前記判定手段により開示が条件付きで許可されると判定された履歴要素に対し、開示する条件として適用する処理を実行する処理手段と、
   前記判定手段により開示が許可されると判定された履歴要素の値と、前記処理手段により前記処理を適用して生成された値とを含む提示用履歴情報を提示する提示手段と
   を含む、情報処理装置。
2. 前記開示可否管理手段は、
   利用者各々が保有する権限を表す権限属性を記憶する権限属性記憶手段と、
   権限属性各々に対し、該権限属性各々の権限を有する利用者の履歴情報の用途の上で開示されるべき内容属性、秘匿されるべき内容属性および条件付きで開示されるべき内容属性を対応付けて記憶する開示可否記憶手段と
   を含む、請求項１に記載の情報処理装置。
3. 前記判定手段は、前記履歴要素各々に対応する内容属性が、前記開示可否記憶手段において、前記要求する利用者の権限属性に対応して前記開示されるべき内容属性、前記秘匿されるべき内容属性および前記条件付きで開示されるべき内容属性のいずれとして記憶されているかに応じて、前記開示可否を判定する、請求項２に記載の情報処理装置。
4. 開示が条件付きで許可される履歴要素と、開示する条件として適用する履歴要素の値を置換する置換処理を対応付けて記憶する開示条件記憶手段を含み、前記処理を適用して生成される値は、置換値である、請求項１〜３のいずれか１項に記載の情報処理装置。
5. 利用者の管理情報および文書の管理情報の少なくともいずれかを参照して、開示する条件として適用する処理を設定する開示条件設定手段
   をさらに含む、請求項１〜４のいずれか１項に記載の情報処理装置。
6. 前記開示条件設定手段は、利用者に関する内容属性を有する履歴要素に対し、利用者管理情報において設定された利用者の情報管理上の属性に基づく置換値を設定し、文書に関する内容属性を有する履歴要素に対し、文書管理情報における文書の情報管理上の属性に基づく置換値を設定する、請求項５に記載の情報処理装置。
7. 前記提示手段が提示した提示用履歴情報の件数を計数する計数手段と、
   前記計数手段が計数した件数が所定閾値を超えた場合に、前記開示条件記憶手段が記憶する情報を初期化する初期化手段と
   をさらに含む、請求項１〜６のいずれか１項に記載の情報処理装置。
8. コンピュータが実行する履歴情報を提示する方法であって、コンピュータが、
   前記履歴情報を構成する履歴要素毎に内容の性質を表す内容属性を読み出すステップと、
   履歴情報の提示を要求する利用者に対し、前記履歴情報を構成する履歴要素各々の内容属性に基づき、該履歴要素各々の開示を許可、条件付きで許可または不許可とするかの開示可否を判定するステップと、
   前記履歴情報から、開示が許可されると判定された履歴要素の値を取得するステップと、
   開示が条件付きで許可されると判定された履歴要素の値に対し、開示する条件として適用する処理を実行して値を生成するステップと、
   開示が許可された履歴要素の値と、開示が条件付きで許可された履歴要素の前記処理を適用して生成された値とを含む提示用履歴情報を提示するステップと
   を含む、履歴情報提示方法。
9. コンピュータを、
   履歴情報を構成する履歴要素毎に内容の性質を表す内容属性を記憶する内容属性記憶手段、
   各利用者に対し、各内容属性の履歴要素の開示を許可、条件付きで許可または不許可とするかの開示可否を管理する開示可否管理手段、
   履歴情報の提示を要求する利用者に対する、前記履歴情報を構成する履歴要素各々の開示可否を判定する判定手段、
   前記判定手段により開示が条件付きで許可されると判定された履歴要素に対し、開示する条件として適用する処理を実行する処理手段、
   前記判定手段により開示が許可されると判定された履歴要素の値と、前記処理手段により前記処理を適用して生成された値とを含む提示用履歴情報を提示する提示手段
   として機能させるためのプログラム。
10. 情報処理装置と、該情報処理装置に対し履歴情報を要求する端末装置とを含む履歴管理システムであって、前記情報処理装置は、
    履歴情報を構成する履歴要素毎に内容の性質を表す内容属性を記憶する内容属性記憶手段と、
    各利用者に対し、各内容属性の履歴要素の開示を許可、条件付きで許可または不許可とするかの開示可否を管理する開示可否管理手段と、
    履歴情報の提示を要求する利用者に対する、前記履歴情報を構成する履歴要素各々の開示可否を判定する判定手段と、
    前記判定手段により開示が条件付きで許可されると判定された履歴要素に対し、開示する条件として適用する処理を実行する処理手段と、
    前記判定手段により開示が許可されると判定された履歴要素の値と、前記処理手段により前記処理を適用して生成された値とを含む提示用履歴情報を提示する提示手段と
    を含み、
    前記端末装置は、前記情報処理装置に対し利用者を識別する情報を送付し、履歴情報を要求する、履歴管理システム。