JP2004021923A - 情報処理装置と情報処理方法 - Google Patents

Abstract

【課題】対象情報へのアクセス制御を、外部状況や機器の信頼度、ネットワークの信頼度等に応じてきめ細かく実施できる情報処理装置を提供する。
【解決手段】対象情報４１に対するアクセスを制御する情報処理装置３０において、任意の情報の処理を実行する情報処理実行手段３１から対象情報へのアクセス要求を受け、この対象情報に対してアクセスを行う情報アクセス手段３２と、対象情報へのアクセスのルールを規定したアクセス制御情報４２に基づいて情報アクセス手段の制御を行うアクセス制御手段３３とを設け、アクセス制御手段が、情報処理実行手段の動作とは独立して、情報アクセス手段の対象情報に対するアクセスを制御するように構成する。制御情報で、外部状況や機器の信頼度、ネットワークの信頼度等に対応付けて個人情報へのアクセスの在り方を規定する事により、個人情報に対するきめ細かいアクセス制御ができる。
【選択図】　　　図１

Description

【０００１】
【発明の属する技術分野】
本発明は、パーソナルコンピュータ（ＰＣ）や携帯情報端末（ＰＤＡ）、セットトップボックス（ＳＴＢ）などの情報処理装置と、その装置での情報処理方法に関し、特に、蓄積された個人情報などへのアクセスを制御するものである。
【０００２】
【従来の技術】
従来、Ｗｅｂ上でユーザの個人情報を保護するためＰ３Ｐ（Ｐｌａｔｆｏｒｍ　ｆｏｒ　Ｐｒｉｖａｃｙ　Ｐｒｅｆｅｒｅｎｃｅｓ）という仕様が規定されている。このＰ３Ｐでは、Ｗｅｂサイトのサーバが、ユーザの個人情報をサイト運営者側でどのように利用するかを規定したプライバシー保護ポリシーをユーザに提供し、Ｐ３Ｐ対応のＷｅｂブラウザを使用している端末に、送信しても支障がないユーザの個人情報だけをサーバ側に送出し、それ以外の情報の送信を自動的に遮断する、といった動作をさせることが可能となる。
【０００３】
また、コンピュータでは、アプリケーションで利用できるデータがログイン者に応じて制限される機種が存在している。この装置は、図７に示すように、データを蓄積したデータベース１５と、装置１０上でデータベース１５の管理動作を行う情報アクセス手段（ＤＢＭＳ：Ｄａｔａｂａｓｅ　Ｍａｎａｇｅｍｅｎｔ　Ｓｙｓｔｅｍ）１４と、この装置１０で実行されるアプリケーション１１とを備えており、アプリケーション１１は、ログイン時の処理を行うログイン部１２と、表示のための処理を行う表示部１３とを備えている。
【０００４】
例えば、アプリケーション１１が、ユーザの最近の読書傾向を基に、本を推薦・紹介するアプリケーションであり、データベース１５にはユーザの最近読んだ本に関するデータが蓄積されているとすると、この情報処理装置１０における動作は、次のようになる。
ユーザがログインして“本の推薦・紹介”アプリケーション１１を起動すると、アプリケーション１１は、情報アクセス手段１４に対し、ログイン者の種類を引数として“ユーザの最近読んだ本”の情報へのアクセスを要求する。
情報アクセス手段（ＤＢＭＳ）１４は、アプリケーション１１から受信した“ログイン者の種類”を基に、要求された情報へのアクセス可否を判断し、データベース１５から利用可能なデータを読み出してアプリケーション１１に返す。
アプリケーション１１は、この“ユーザの最近読んだ本”の情報をもとに推薦・紹介する本を選択し、それを表示する処理を行う。
【０００５】
また、図８に示すように、この情報処理装置１０が通信機能を有しており、アプリケーション１１が、“ユーザの最近読んだ本”の情報をサーバに送信する処理を行う通信部１６を備えている場合は、アプリケーション１１が情報アクセス手段１４に要求して取得した“ユーザの最近読んだ本”の情報が、通信部１６によりサーバに送信される。
【０００６】
また、図９に示すように、例えば、アプリケーション１１が、患者のカルテを画面に表示するアプリケーションであり、医師の操作で患者の電子カルテがデータベース１５から読み出されて情報処理装置１０の画面に表示され、この画面を回転して患者の方に向けると、患者用に加工された電子カルテが表示されるものだとする。
【０００７】
このアプリケーション１１は、アプリケーション１１が予め定めている外部状況２０（即ち、情報処理装置１０の画面が向いている方向）を検知する状況検知部１７と、画面の向きと画面の参照者（医師または患者）との関係が記述された外部状況−参照者対応表１８と、参照者に応じた電子カルテの表示内容を規定する参照者ごとの参照条件１９と、表示のための処理を行う表示部１３とを備えている。
【０００８】
この場合の情報処理装置１０の動作は、次のようになる。
医師がログインして“電子カルテ”アプリケーション１１を起動し、患者ＩＤを入力すると、アプリケーション１１は、情報アクセス手段１４に対し、ログイン者の種類を引数として患者のカルテ情報へのアクセスを要求する。
情報アクセス手段（ＤＢＭＳ）１４は、アプリケーション１１から受信した“ログイン者の種類”を基に、要求された情報へのアクセス可否を判断し、データベース１５から利用可能なデータを読み出してアプリケーション１１に返す。
アプリケーション１１は、状況検知部１７で検知した外部状況２０と外部状況−参照者対応表１８とを照合して参照者を特定する。そして、参照者ごとの参照条件１９に基づいて、参照者が医師であれば、医師用の電子カルテのデータを表示し、また、参照者が患者であれば、患者用に加工した電子カルテのデータを表示する。
【０００９】
このように、従来の情報処理装置では、データベースに蓄積された個人情報へのアクセス制御のために、アプリケーションを起動したログイン者が、個人情報にアクセスする適格性を持つか否かが判断される。
【００１０】
【発明が解決しようとする課題】
しかし、従来の情報処理装置では、アプリケーションにログインしたユーザの全ての個人情報に対してアプリケーションからアクセスすることが可能になり、アプリケーションに全ての個人情報を公開していることと同じになる。
そのため、先の“本の推薦・紹介”アプリケーションの場合を例に挙げれば、ユーザがこのアプリケーションとは無関係と考える既婚・未婚の別や子供の有無などの個人情報にまでアプリケーションはアクセスできることとなり、これらの個人情報がデータベースから読み出されてサーバに送られたりすると、ユーザは極めて不快であり、不安を感じる。
【００１１】
また、先の“電子カルテ”アプリケーションのように、外部状況に応じて個人情報の表示を変える場合には、参照者を特定するための条件や参照者ごとの参照条件などをアプリケーションの中に作り込む必要があり、また、データベースの内容が変わるとアプリケーションを変更しなければならない。そのため、アプリケーションの制作に手間が掛かる。
【００１２】
また、外部状況を予想してアプリケーションを制作しても、アプリケーションで予期しなかった外部状況（例えば、患者が医師の後ろから画面を覗き込むような状況）が発生すると、それに対応することができない。
【００１３】
また、信頼性が高いユーザ専用の情報処理装置を使用する場合と、信頼性が低いホテルなどの情報処理装置を使用する場合とで個人情報へのアクセスの制限を変える必要があるが、従来は、こうした機器の信頼度に応じた個人情報へのアクセス制御は行われていない。
【００１４】
また、同様に、信頼性が高いネットワークを使用する場合と、信頼性が低いネットワークを使用する場合とで個人情報へのアクセスの制限を変える必要があるが、従来は、こうしたネットワークの信頼度に応じた個人情報へのアクセス制御は行われていない。
【００１５】
本発明は、こうした従来の問題点を解決するものであり、個人情報などへのアクセス制御を、外部状況や機器の信頼度、ネットワークの信頼度などに応じてきめ細かく実施することができる情報処理装置を提供し、また、その情報処理方法を提供することを目的としている。
【００１６】
【課題を解決するための手段】
そこで、本発明では、対象情報に対するアクセスを制御する情報処理方法において、任意の情報の処理を実行する情報処理実行手段から対象情報へのアクセス要求を受けたときに、対象情報へのアクセスのルールを規定したアクセス制御情報に基づいて、情報処理実行手段の動作とは独立して、対象情報に対するアクセスを制御するようにしている。
【００１７】
また、対象情報に対するアクセスを制御する情報処理装置において、任意の情報の処理を実行する情報処理実行手段から対象情報へのアクセス要求を受け、この対象情報に対してアクセスを行う情報アクセス手段と、対象情報へのアクセスのルールを規定したアクセス制御情報に基づいて情報アクセス手段の制御を行うアクセス制御手段とを設け、アクセス制御手段が、情報処理実行手段の動作とは独立して、情報アクセス手段の対象情報に対するアクセスを制御するように構成している。
【００１８】
また、アクセス制御情報では、対象情報へのアクセスのルールとして、対象情報、及び／または、情報処理実行手段が扱う情報から独立な事象に対応付けたルールを規定している。
【００１９】
そのため、アクセス制御情報で、外部状況や機器の信頼度、ネットワークの信頼度などに対応付けたルールを規定することにより、対象情報に対するきめ細かいアクセス制御が可能になる。
【００２０】
なお、この明細書で言う「対象情報」は、それへのアクセスの制御を行いたい情報の集合を指し、その情報の内容や属性、性質等は問わない。
【００２１】
【発明の実施の形態】
（第１の実施形態）
第１の実施形態では、外部状況に応じて個人情報へのアクセス制御を行う情報処理装置について説明する。
この情報処理装置は、図１に示すように、可搬型デバイス４０を装着する可搬型デバイス装着手段３６を具備しており、個人情報４１と、個人情報４１へのアクセスのルールを規定する制御情報４２とを蓄積した可搬型デバイス４０が装着される。
【００２２】
情報処理装置３０は、さらに、外部状況３５を検知する状況検知手段３４と、外部状況３５と制御情報４２とを比較して個人情報４１へのアクセスの可否やアクセス順位を決定するアクセス順位決定手段３３と、個人情報４１にアクセスする情報アクセス手段３２と、個人情報４１を利用した情報処理を実行するアプリケーション３１とを備えている。このアクセス順位決定手段３３は、情報アクセス手段３２の個人情報４１へのアクセスを制御するアクセス制御手段として機能する。
【００２３】
可搬型デバイス４０は、小型メモリカードやＩＣカードなどと呼ばれる記録媒体である。
可搬型デバイス４０に蓄積される個人情報４１は、住所、氏名、趣味などの個人の属性情報やコンテンツの参照履歴、ＥＣでの買い物履歴などであり、ここでは、次のような情報から成るものとする。
（ａ）［趣味］：“演歌”＞“歴史”＞“料理”
（ｂ）［好きな食べ物］：“うなぎ”、“天ぷら”、“蕎麦”
この（ａ）趣味の情報には順位が付されている。（ｂ）好きな食べ物の情報は、単に列挙されている。
【００２４】
また、制御情報４２は、特定の情報への参照を禁止したり、特定の情報への参照を推奨したり、順位付けされ得る情報に対して順位を変更したりするアクセス制御情報であり、ここでは、次のような情報から成るものとする。
（ａ）他に誰もいない：［趣味］には順序を変えずフルアクセス可
（ｂ）友人Ａがいる：［趣味］には一切アクセス不可
（ｃ）友人Ｂがいる：［趣味］のトップは“料理”、“演歌”は見せない
この（ａ）では、周囲に他人がいないとき、個人情報４１の［趣味］を“演歌”＞“歴史”＞“料理”とすることが規定され、（ｂ）では、周囲に友人Ａがいるとき、趣味の情報の参照を禁止することが規定され、また、（ｃ）では、周囲に友人Ｂがいるとき、［趣味］の順位を“料理”＞“歴史”とすることが規定されている。
【００２５】
この個人情報４１及び制御情報４２は、ユーザが登録する。制御情報４２の登録方法については第５の実施形態で詳述する。
【００２６】
この実施形態での情報処理装置３０はＳＴＢであり、情報処理実行手段であるアプリケーション３１は、多数の番組の中から個人情報４１の趣味に適合した番組のＥＰＧ（Ｅｌｅｃｔｒｏｎｉｃ　Ｐｒｏｇｒａｍ　Ｇｕｉｄｅ１：電子番組案内）を生成するアプリケーションであるとする。
状況検知手段３４は、情報処理装置３０の周辺に他人がいるか否かを検知し、他人がいるときは、その人を特定する。他人の有無は情報処理装置３０に赤外線センサや話声センサ、温熱センサ等を設置して検知することができ、また、人物の特定は、情報処理装置３０で各人の声紋を保持し、話声センサで検知した声紋と照合して行うことができる。また、ユーザが「他人がいる」ことを情報処理装置３０に通知するためのボタンを設け、あるいは、ユーザが言葉で喋り、情報処理装置３０に音声認識ＵＩを設置して、ユーザの喋った内容から他人の有無や人物を特定するようにしても良い。
また、情報アクセス手段３２、アクセス順位決定手段３３及び状況検知手段３４は、モジュール化し、個人情報へのアクセスを制御する部品として情報処理装置３０に装着する。
【００２７】
次に、この情報処理装置３０の動作手順について説明する。ここでは、外部状況３５が“他に誰もいない”状態であるとする。
▲１▼“ＥＰＧ生成”アプリケーション３１は、情報アクセス手段３２に対して、情報４１の“ユーザの趣味”へのアクセスを要求する。
▲２▼情報アクセス手段３２は、アクセス順位決定手段３３に対して、要求された情報“ユーザの趣味”のアクセス順位を問い合わせる。
▲３▼アクセス順位決定手段３３は、状況検知手段３４から外部状況３５の“他に誰もいない”を取得し、制御情報４２における該当する外部状況でのアクセス制御情報「（ａ）他に誰もいない：［趣味］には順序を変えずフルアクセス可」を参照して、情報４１の“ユーザの趣味”の参照可を決定し、その旨を情報アクセス手段３２に伝える。
▲４▼アクセス順位決定手段３３からアクセス順位の通知を受けた情報アクセス手段３２は、情報４１にアクセスし、“ユーザの趣味”として“演歌”＞“歴史”＞“料理”と言う情報を得てアプリケーション３１に返す。
アプリケーション３１は、この情報に基づいて、多数の番組の中からユーザの趣味に適合した番組を選択し、そのＥＰＧを生成して表示する。
【００２８】
このとき、外部状況３５が変わり、友人Ｂが情報処理装置３０の近くに来たとする。
▲５▼状況検知手段３４は、外部状況３５が“友人Ｂがいる”に変更したことを検知して、アクセス順位決定手段３３にイベントとして通知する。
▲６▼アクセス順位決定手段３３は、情報アクセス手段３２にアクセス順位の変更があり得ることを通知する。
▲７▼情報アクセス手段３２は、“ＥＰＧ生成”アプリケーション３１に対して動作のリセットを要求する。
▲８▼アプリケーション３１は、ＥＰＧの生成・表示の動作をリセットし、改めて情報アクセス手段３２に対して、情報４１の“ユーザの趣味”へのアクセスを要求する。
【００２９】
その後の手順は、▲１▼〜▲４▼と同じである。ただし、外部状況３５が変更したことにより、▲３▼では、アクセス順位決定手段３３が、状況検知手段３４から外部状況３５の“友人Ｂがいる”を取得し、制御情報４２における該当する外部状況でのアクセス制御情報「（ｃ）友人Ｂがいる：［趣味］のトップは“料理”、“演歌”は見せない」を参照して、情報４１の“ユーザの趣味”の順位変更と一部（“演歌”）の参照禁止を決定し、その旨を情報アクセス手段３２に伝える。▲４▼では、情報アクセス手段３２が、情報４１にアクセスし、アクセス順位決定手段３３から受けた通知に基づいて、“ユーザの趣味”として“料理”＞“歴史”と言う情報を得てアプリケーション３１に返す。
このように、この情報処理装置では、外部状況に応じて、ユーザの趣味の情報（即ち、個人情報自身）の表示や、その情報を加工して得られるＥＰＧ（即ち、個人情報を加工して得られる情報）の表示を制御することができる。
【００３０】
このように「状況」を考慮することは、アプリケーション利用場面において、実際上、極めて重要であり、成人向けの画像が表示された情報処理装置の画面を見得る位置に子供が来たときや、自室でメールを読んでいる最中に、後ろから父親が来て画面を覗いたときなどを想起すれば明らかである。この実施形態の情報処理装置では、そのような「状況」を、個人情報自身に対して作用させることで、個人情報を用いる全てのアプリケーションに対して「状況」を反映させることができる。
【００３１】
また、この場合、個人情報を加工して得られる情報を規制対象とするのでは無く、個人情報そのものを対象としてアクセス制御を実施しているため、その個人情報を加工して得られる全ての情報を漏れ無く規制することができる。
【００３２】
つまり、アクセス制御を行いたい個人情報は、さまざまなアプリケーションにより、さまざまな手法で用いられ、実際に個人情報が作用して現れる姿は、アプリケーション毎に千差万別である。例えば、ＥＰＧ向けにユーザの嗜好情報を使用する場合、ユーザの嗜好（漫画が好き、歴史が好きなど）はＥＰＧ向けに加工され、アニメーション番組やニュース番組などの番組名に変換されて表に現れる。一方、このユーザの嗜好情報が音楽推薦アプリケーションに用いられる場合には、例えばアニメ映画のサントラや、大河ドラマのシナリオとして表示されることになる。
【００３３】
「他人に見られたくないもの・見せたいもの」をアプリケーションレベルで制御しようとすると、すべてのアプリケーションに対して制御を行わねばならず、また、ユーザのどの嗜好がいかにアプリケーションに作用しているかをユーザが知らなければ、それを行うことができない。
これに対し、個人情報を対象として直接アクセス制御を実行する場合には、その個人情報を加工して得られる全ての情報を漏れ無く規制することができ、ユーザにとって安心感をもたらす。
【００３４】
なお、前述した▲５▼〜▲８▼の手順は、アプリケーションが常に表示をリフレッシュするタイプの場合には、必要がない。
【００３５】
また、外部状況として、ここでは情報処理装置の周囲に他人がいるかいないかの状況について説明したが、次のような外部状況を個人情報のアクセス制御に用いることも可能である。
・時刻、曜日、日付情報
・・現在時刻
・・曜日
・・日付（記念日など）
・場所情報
・・絶対位置情報
・・特定の部屋（自室等）
・・特定の車両内（自家用車内等）
・・公共の場所（公共の車両内等）
・・徒歩
・移動速度
・天気、気温、湿度
・ホットスポット内かどうか
・回りの物理的状況
・・明るさ
・・他人の存在
・外部ネットワークの安全性
・・外部ネットワークに接続している他の装置の識別子の集合
・・所属中のネットワークの識別子
時刻、曜日、日付情報を検知し、それに応じて個人情報へのアクセス制御を変えることにより、個人情報をコンテンツ推薦に用いるアプリケーションにおいて、現在時刻や曜日、記念日などに相応しいコンテンツを推薦することが可能になる。これらの情報は、情報処理装置にカレンダと日付付きの時計を内蔵することにより検知が可能である。
【００３６】
また、場所情報として、情報処理装置の位置の検知は、ＧＰＳを搭載することにより可能となる。また、特定の場所、例えば特定の部屋（自室等）や特定の車両内（自家用車内等）にいるかの検知は、自室や自家用車内等に発信機を取り付け、情報処理装置に受信機を取り付けることにより可能になる。
また、情報処理装置が移動中であるか否かの検知は、情報処理装置にＧＰＳを搭載し、情報処理装置自身の移動速度を計測することにより可能になる。または、ユーザが「移動中である」ことを情報処理装置に通知するためのボタンや音声認識ＵＩを情報処理装置に設けるようにしても良い。
【００３７】
また、公共の場所、例えば公共の車両内であるか否かの検知は、情報処理装置が移動中であるかどうかを検知し、さらに、自室や自家用車等の特定の場所にいるのではないことを検知することにより可能になる。または、「公共の場所」であることを情報処理装置に通知するためのボタンや音声認識ＵＩを情報処理装置に設けるようにしても良い。
【００３８】
また、情報処理装置が繋がれているネットワークの安全性を検知することにより、例えば、信用していないプロバイダがネットワークを提供している場合に、個人情報のアクセスを制限することができる。このプロバイダの検知は、ホットスポット提供者のＩＤを調べる手段を設け、自分のブラックリストに記載されたＩＤと照合することにより可能になる。
【００３９】
また、例えば、ストーカーがネットワークに接続している場合に、個人情報へのアクセスを禁止して、ストーカーに個人情報が探られる危険を回避することができる。ホットスポットに接続しているストーカーの検知は、そのスポット内に存在している他のユーザのＩＤを調べる手段を設け、自分のブラックリストと照合することにより可能になる。
このように、この情報処理装置では、外部状況やネットワークの信頼度などに応じて、きめ細かく対象情報へのアクセス制御を行うことができる。
【００４０】
（第２の実施形態）
第２の実施形態では、情報処理実行手段であるアプリケーションに参考情報を設定し、この参考情報を評価することにより、アプリケーションに対する個人情報のアクセス制御を行う情報処理装置について説明する。
この情報処理装置は、図２に示すように、アプリケーション３１に参考情報３７が設定されており、アクセス順位決定手段３３は、この参考情報３７と制御情報４２とを参照して、個人情報４１へのアクセスの可否やアクセス順位を決定する。また、この情報処理装置３０は、状況検知手段３４は有していない。
その他の構成は第１の実施形態（図１）と変わりがない。この情報処理装置３０の情報アクセス手段３２及びアクセス順位決定手段３３は、モジュール化して、個人情報へのアクセスを制御する部品として情報処理装置３０に装着される。
【００４１】
参考情報３７は、個人情報へのアクセスの可否やアクセス順位を評価するために参考となる情報であり、次のような情報から成る。
（ａ）情報利用の目的
（ｂ）利用する情報の種類
（ｃ）情報公開に対する予定報酬
（ｄ）情報処理装置の識別子
（ｅ）情報処理装置のプロパティ（ホテルの端末である、等）
（ｆ）アプリケーションの識別子（例：プログラム識別子）
（ｇ）アプリケーションの使用する情報処理装置の資源
・・メモリ領域、ファイル、ディレクトリ、ソケット等
（ｈ）アプリケーションの利用者の識別子
（ｉ）アプリケーションの利用者のプロパティ
・・身体的特徴（声紋、指紋、虹彩、掌紋、身長、体重）
・・知識（パスワード、ＰＩＮ、合言葉等）
・・性別、年齢、国籍、
なお、（ｆ）アプリケーションの識別子は、情報処理装置で動作させるアプリケーションの属性仕様を標準化し、アプリケーションの作者がこの識別子により属性を登録できるように、また、情報処理装置がこの識別子によりアプリケーションの属性を取得できるように設定する。
【００４２】
次に、この情報処理装置３０の動作手順について説明する。ここでは、参考情報３７と制御情報４２とが次の情報から成る場合について説明する。
参考情報３７は、
［最近読んだ本］の利用目的：
（１）情報処理装置内で、本を推薦して表示するために使う。
（２）センターサーバで、マーケティングに使う。その場合、１００ポイン　　ト差し上げる。
［メールアドレス］の利用目的：
（１）センターサーバで、当社のダイレクトメールに使う。ダイレクトメー　　ル１通につき５ポイント差し上げる。
と言う情報から成る。
【００４３】
制御情報４２は、
［最近読んだ本］：
・情報処理装置内で使用可、
・情報処理装置外の場合、ポイントと交換すれば使用可。
［メールアドレス］：
・情報処理装置外の場合、リソース制限実行手段より送信（なお、リソース制限実行手段については、第３の実施形態で詳述する）。
と言う情報から成る。
▲１▼“本の推薦・紹介”アプリケーション３１は、「（１）情報処理装置内で、本を推薦して表示する」ことを目的として、個人情報４１の中の“ユーザの［最近読んだ本］”の情報へのアクセスを、情報アクセス手段３２に対して要求する。
▲２▼情報アクセス手段３２は、アクセス順位決定手段３３に対して、アプリケーション３１から要求された情報とその目的とを伝えて、その情報のアクセス順位を問い合わせる。
▲３▼アクセス順位決定手段３３は、アプリケーション３１の参考情報３７から該当する参考情報「（１）情報処理装置内で、本を推薦して表示する」を取得し、制御情報４２と比較してアクセス順位を決定する。ここでは、制御情報４２が“［最近読んだ本］：情報処理装置内で使用可”であるため、“ユーザの［最近読んだ本］”の情報へのアクセス可を情報アクセス手段３２に伝える。
▲４▼情報アクセス手段３２は、アクセス順位決定手段３３より通知を受けたアクセス順位を基に、情報４１から“ユーザの［最近読んだ本］”の情報を取得し、アプリケーション３１に送る。
アプリケーション３１は、この“ユーザの［最近読んだ本］”の情報をもとに推薦・紹介する本を選択し、それを表示する処理を行う。
【００４４】
このように、この情報処理装置では、アプリケーションに設定した参考情報がアクセス制御情報に基づいて評価され、評価結果に従って、個人情報へのアクセス制御が行われる。そのため、アプリケーションのアクセス可能な個人情報を、ユーザが登録するアクセス制御情報により絞り込むことができる。
また、前述するように、「（ｅ）情報処理装置のプロパティ」を参考情報として設定することにより、信頼性が低いホテルなどの情報処理装置を使用する場合に、個人情報へのアクセスを制限することが可能になる。
【００４５】
（第３の実施形態）
第３の実施形態では、制御情報に個人情報を利用するリソースを制限する規定が設けられている場合について説明する。
この制御情報に対応可能な情報処理装置は、図３に示すように、アプリケーション３１の指示に基づき、情報アクセス手段３２から個人情報を取得して、リソースを利用する処理を行うリソース制限実行手段３８を備えている。その他の構成は第２の実施形態（図２）と変わりがない。
リソース制限実行手段３８は、情報アクセス手段３２から取得した個人情報を、通信手段を用いて外部へ送信したり、モニターを用いて表示したり、プリンターを用いて印刷したりする。
【００４６】
この情報処理装置３０のリソース制限実行手段３８、情報アクセス手段３２及びアクセス順位決定手段３３は、モジュール化して、個人情報へのアクセスを制御する部品として情報処理装置３０に装着される。
このリソース制限実行手段３８がリソースを用いて行う処理については、その処理に利用される個人情報が適正に読み出された情報であり、それ以外の個人情報が含まれていないことが保証されるため、ユーザの個人情報漏洩の不安を取り除くことができる。
【００４７】
次に、この情報処理装置３０の動作手順について説明する。参考情報３７及び制御情報４２については第２の実施形態と同じであるとする。
▲１▼“本の推薦・紹介”アプリケーション３１は、「（１）センターサーバでダイレクトメールに使用する」ことを目的として、個人情報４１の中の“ユーザの［メールアドレス］”の情報へのアクセスを、情報アクセス手段３２に対して要求する。
▲２▼情報アクセス手段３２は、アクセス順位決定手段３３に対して、アプリケーション３１から要求された情報とその目的とを伝えて、その情報のアクセス順位を問い合わせる。
▲３▼アクセス順位決定手段３３は、アプリケーション３１の参考情報３７から該当する参考情報「（１）センターサーバでダイレクトメールに使用する（ダイレクトメール１通に付き５ポイント贈呈）」を取得し、制御情報４２と比較してアクセス順位を決定する。ここでは、制御情報４２が“［メールアドレス］：情報処理装置外の場合、リソース制限実行手段より送信”であるため、個人情報４１の中の“ユーザの［メールアドレス］”の情報は、リソース制限実行手段より送信するならばアクセス可であることを情報アクセス手段３２に伝える。
▲４▼この通知を受けた情報アクセス手段３２は、アプリケーション３１に対して、“ユーザの［メールアドレス］”の情報を要求するのであれば、リソース制限実行手段３８を通じて再度アクセスするように指示する。
▲５▼アプリケーション３１は、リソース制限実行手段３８に対して、「（１）センターサーバでダイレクトメールに使用する」ことを目的として、個人情報４１の中の“ユーザの［メールアドレス］”の情報を取得し、外部送信するように要求する。
▲６▼これを受けたリソース制限実行手段３８は、情報アクセス手段３２に対して、アプリケーション３１から要求された情報とその目的とを伝えて、その情報の取得を要求する。
▲７▼情報アクセス手段３２は前記▲２▼▲３▼の手順の後、情報４１から“ユーザの［メールアドレス］”の情報を取得し、リソース制限実行手段３８に送る。
▲８▼リソース制限実行手段３８は、情報アクセス手段３２から取得した“ユーザの［メールアドレス］”を外部送信する。
【００４８】
なお、▲１▼でアプリケーション３１が直接リソース制限実行手段３８に対して、「（１）センターサーバでダイレクトメールに使用する」ことを目的として、個人情報４１の中の“ユーザの［メールアドレス］”の情報を取得し、センターサーバに送信するように要求し、これを受けて、リソース制限実行手段３８が情報アクセス手段３２に情報の取得を要求する、という方法もある（この場合には、図３のアプリケーション３１と情報アクセス手段３２とを繋ぐ線は特に必要では無い）。
【００４９】
この場合、▲３▼に記述したように、アクセス順位決定手段３３が、“ユーザの［メールアドレス］”の情報をリソース制限実行手段３８を用いて外部送信するように指示している場合には、リソース制限実行手段３８は、▲６▼▲７▼▲８▼に記述した手順で外部送信を行うことになる。一方、アクセス順位決定手段３３から、アプリケーション３１が直接外部送信して良い、と指示された場合には、リソース制限実行手段３８は“ユーザの［メールアドレス］”の情報をアプリケーション３１に返し、アプリケーション３１が、その外部送信を実行することになる。また、アクセス順位決定手段３３から、“ユーザの［メールアドレス］”の情報をまったく外部送信してはならないと指示された場合には、アプリケーション３１に送信エラーを返すことになる。
【００５０】
また、リソース制限実行手段３８の機能をライブラリ化して、アプリケーション３１が通常用いるリソースを使用するライブラリと交換することにより、アプリケーション３１が使うリソースを何時如何なる場合でも強制的に変更し、上述の例で説明すると、“ユーザの［メールアドレス］”の情報を外部に送る場合には、必ずライブラリ化されたリソース制限実行手段によって行うようにする方法もある。
【００５１】
このように、この情報処理装置では、制御情報４２で個人情報４１を利用するリソースが制限された場合に、アプリケーション３１がリソース制限実行手段３８に対して、そのリソースを利用する処理を要求し、リソース制限実行手段３８が、アプリケーション３１に代わって、その処理を実行する。リソース制限実行手段３８による処理には、適正に読み出された個人情報だけが使われ、それ以外の個人情報が含まれないため、個人情報利用における信頼性を高めることができ、ユーザの不安を払拭することができる。
【００５２】
なお、制御情報で制限する「リソース」及び「制限内容」には、次のようなものが含まれる。
・メモリ
読み出し／書き込みの可否、それらが可能な場合の使用可能量・使用可能範囲アドレスなどの制限。
・ファイル（端末、外部メモリの持つファイルアクセスへの制限として）
読み出し／書き込みの可否、それらが可能な場合のアクセス可能ディレクトリ名・ファイル名・ファイル種類（拡張子指定ほか）などの制限。
・ＩｒＤＡ（赤外線通信）
送受信の可否、それが可能な場合の使用可能時刻・使用可能時間・使用回数などの制限。
・Ｂｌｕｅｔｏｏｔｈ（非指向的な短距離無線通信）
送受信の可否、それが可能な場合の使用可能時刻・使用可能時間・使用回数・使用可能電波強度・ローミング回数などの制限。
・通信（サーバなどとの有線／無線通信による通信の制限として）
送受信の可否、それが可能な場合の使用可能時刻・使用可能時間・使用回数・使用可能電波強度・ローミング回数・アクセス可能なサーバ（アドレス指定、ドメイン指定，種類指定（メールサーバ，ｆｔｐサーバほか））などの制限。
・アプリケーション（端末内アプリケーション（アドレス帳、メール、スケジュール、ｉアプリケーション他）等の制限として）
その動作の制限、通信時のアプリケーションの動作（並行動可能、通信開始時の自動停止、通信開始時の自動終了ほか）などの制限。
・接触／非接触ＩＣカードＩ／Ｆ（ＩＣチップ）
使用可能時刻・使用可能時間・使用回数・使用可能Ｉ／Ｆタイプ・利用可能コマンドの種類・アクセス可能対象カードアプリなどの制限。
・その他、「印刷」「出力（画面表示ほか）」などの制限。
【００５３】
（第４の実施形態）
第４の実施形態では、ネットワークを介して接続する２台の情報処理装置の一方が、他方に蓄積されている個人情報を利用するシステムについて説明する。
例えば、外出先のユーザがＰＤＡを操作して、自宅のＳＴＢに蓄積されている個人情報を利用し、ＰＤＡの画面に趣味に合った推奨コンテンツを表示させたり、本の推薦・紹介情報を表示させたりする場合である。
【００５４】
図４は、このシステムの一例を示している。第１の情報処理装置５０は、例えばＳＴＢであり、制御情報４２と個人情報４１とが蓄積された可搬型デバイス４０を装着する可搬型デバイス装着手段３６と、アクセス順位決定手段３３と、他方の情報処理装置とのインタフェース５２と、第１の情報処理装置５０の装置情報５１とを備えている。
ネットワーク６０を介して第１の情報処理装置５０に接続する第２の情報処理装置７０は、情報アクセス手段７１と、外部状況７５を検知する状況検知手段７４と、第１の情報処理装置５０とのインタフェース７２と、第２の情報処理装置７０の装置情報７３とを備えている。
【００５５】
この第１の情報処理装置５０及び第２の情報処理装置７０には、第１の実施形態（図１）の情報処理装置における構成が一部ずつ振り分けられており、その他に、第１の情報処理装置５０と第２の情報処理装置７０との間で通信路を設定するために必要な互いの装置情報５１、７３やインタフェース５２、７２が設けられている。
【００５６】
第２の情報処理装置７０には、第１の情報処理装置５０に側の個人情報４１に基づいて、ユーザの趣味に合った推奨コンテンツや本などが表示されるため、外部状況７５を検知し、外部状況に応じて、その表示を制御する必要がある。
この第１の情報処理装置５０及び第２の情報処理装置７０における動作手順は、実質的に第１の実施形態と同じである。
【００５７】
また、図５には、第２の実施形態（図２）の情報処理装置における構成を一部ずつ第１の情報処理装置５０と第２の情報処理装置７０とに振り分けたシステムを示している。この第１の情報処理装置５０及び第２の情報処理装置７０にも、相互間で通信路を設定するために必要な互いの装置情報５１、７３やインタフェース５２、７２が設けられている。
【００５８】
この第１の情報処理装置５０及び第２の情報処理装置７０における動作手順は、実質的に第２の実施形態と同じである。
このように、ネットワークを介して接続する２台の情報処理装置の間で、一方に蓄積されている個人情報に対して、アクセス制御しながら他方でも利用することが可能である。
【００５９】
（第５の実施形態）
第５の実施形態では、制御情報の登録について説明する。
制御情報の登録は、図１に示す可搬型デバイス４０を情報処理装置３０に装着し、情報処理装着３０の画面に表示されるＧＵＩに従って所要の項目を選択し、必要な事項を入力することにより実行できる。
【００６０】
図６は、制御情報の登録画面を生成する制御情報登録手段８０が、登録済みの個人情報４１や制御情報４２を取得し、また、状況検知手段３４が検知する登録済みの外部状況を取得して生成するＧＵＩ画面８１、８２を示している。画面８１は、登録されている制御情報を表示する画面であり、外部状況に対する制御情報の変更や新規登録を行う場合には、この画面８１の変更ボタンをクリックする。この操作で設定登録用の画面８２が表示され、この画面の該当欄に手入力やＤｒａｇ＆Ｄｒｏｐで文字（料理、歴史、演歌）を入力した後、登録ボタンをクリックすると、制御情報が登録される。
【００６１】
この設定登録用の画面８２の情報を登録すると、新しい制御情報は次の通りとなる。
（１）他に誰もいない：［趣味］には順序を変えずフルアクセス可
（２）友人Ａがいる：［趣味］には一切アクセス不可
（３）友人Ｂがいる：［趣味］のトップは“料理”、“演歌”は見せない
（４）友人Ａ，Ｂ以外の誰かがいる：［趣味］のトップは“料理”と“歴史”、“演歌”は見せない
このように、ユーザはＧＵＩ画面から、所望の制御情報を簡単に登録することができる。
【００６２】
なお、各実施形態では、個人情報及び制御情報を可搬型デバイスに蓄積し、この可搬型デバイスを情報処理装置に装着する場合について説明した。このように、可搬型デバイスに個人情報及び制御情報を蓄積し、この可搬型デバイスを携帯すれば、任意の情報処理装置に可搬型デバイスを装着することにより、その情報処理装置を、ユーザの個人情報に配慮するユーザ専用の情報処理装置に変えることができる。
しかし、個人情報及び制御情報は、情報処理装置に直接格納するようにしても良い。
【００６３】
また、ここでは個人情報を中心に、そのアクセス制御について説明してきたが、「他人に見られたくない、情報価値が有る情報」は、何も個人情報だけに限らない。本発明は、個人情報以外の情報をも対象に加えることができる。また、「他人に見られたくない情報」だけでなく、「他人に見せたい情報」についても本発明の対象とすることができる。
【００６４】
また、各実施形態では、情報アクセス手段やアクセス順位決定手段、状況検知手段等をモジュール化して情報処理装置に搭載する場合について説明したが、これら手段の機能を、コンピュータプログラムで規定して、情報処理装置が内蔵するコンピュータに行わせることも可能である。
【００６５】
【発明の効果】
以上の説明から明らかなように、本発明の情報処理装置及び情報処理方法では、個人情報などへのアクセス制御を、外部状況や機器の信頼度、ネットワークの信頼度などに応じてきめ細かく実施することができる。
【００６６】
また、本発明では、個人情報を加工して得られる情報を規制対象とするのでは無く、個人情報そのものを対象としてアクセス制御を実施しているため、その個人情報を加工して得られる全ての情報を漏れ無く規制することができ、ユーザに安心感を与えることができる。
【図面の簡単な説明】
【図１】本発明の第１の実施形態における情報処理装置の構成を示すブロック図
【図２】本発明の第２の実施形態における情報処理装置の構成を示すブロック図
【図３】本発明の第３の実施形態における情報処理装置の構成を示すブロック図
【図４】本発明の第４の実施形態における情報処理装置の構成を示すブロック図
【図５】本発明の第４の実施形態における他の情報処理装置の構成を示すブロック図
【図６】本発明の第５の実施形態における制御情報の登録画面を示す図
【図７】従来の情報処理装置の構成を示すブロック図
【図８】従来の情報処理装置の他の構成を示すブロック図
【図９】従来の外部状況検知部を持つ情報処理装置の構成を示すブロック図
【符号の説明】
１０　情報処理装置
１１　アプリケーション
１２　ログイン部
１３　表示部
１４　情報アクセス手段（ＤＢＭＳ）
１５　データベース
１６　通信部
１７　状況検知部
１８　外部状況−参照者対応表
１９　参照者毎の参照条件
３０　情報処理装置
３１　アプリケーション
３２　情報アクセス手段
３３　アクセス順位決定手段
３４　状況検知手段
３５　外部状況
３６　可搬型デバイス装着手段
３７　参考情報
３８　リソース制限実行手段
４０　可搬型デバイス
４１　個人情報
４２　制御情報
５０　第１の情報処理装置
５１　装置情報
５２　第２の情報処理装置とのインタフェース
６０　ネットワーク
７０　第２の情報処理装置
７１　情報アクセス手段
７２　第１の情報処理装置とのインタフェース
７３　装置情報
７４　状況検知手段
７５　外部状況
８０　制御情報登録手段
８１　ＧＵＩ画面
８２　ＧＵＩ画面

Claims (13)

1. 対象情報に対するアクセスを制御する情報処理方法であって、
   任意の情報の処理を実行する情報処理実行手段から前記対象情報へのアクセス要求を受けたときに、前記対象情報へのアクセスのルールを規定したアクセス制御情報に基づいて、前記情報処理実行手段の動作とは独立して、前記対象情報に対するアクセスを制御することを特徴とする情報処理方法。
2. 対象情報に対するアクセスを制御する情報処理装置であって、
   任意の情報の処理を実行する情報処理実行手段から前記対象情報へのアクセス要求を受け、前記対象情報に対してアクセスを行う情報アクセス手段と、
   前記対象情報へのアクセスのルールを規定したアクセス制御情報に基づいて前記情報アクセス手段の制御を行うアクセス制御手段と
   を備え、
   前記アクセス制御手段は、前記情報処理実行手段の動作とは独立して前記情報アクセス手段の前記対象情報に対するアクセスを制御することを特徴とする情報処理装置。
3. 前記アクセス制御情報は、前記対象情報へのアクセスのルールとして、前記対象情報、及び／または、前記情報処理実行手段が扱う情報とは独立な事象と対応付けたルールを規定することを特徴とする請求項２に記載の情報処理装置。
4. 前記独立な事象として、当該情報処理装置が接続する外部ネットワークの性質が含まれることを特徴とする請求項３に記載の情報処理装置。
5. 前記独立な事象として、当該情報処理装置の周辺状況が含まれることを特徴とする請求項３に記載の情報処理装置。
6. 前記周辺状況を検知するための状況検知手段を備えることを特徴とする請求項５に記載の情報処理装置。
7. 前記アクセス制御手段は、前記アクセス制御情報に基づいて、特定の前記対象情報の参照を禁止もしくは推奨し、または、前記対象情報の優先順位を変更することを特徴とする請求項２または３に記載の情報処理装置。
8. 前記アクセス制御手段は、ネットワークを介して前記対象情報に対してアクセスを行う前記情報アクセス手段のアクセス制御を行うことを特徴とする請求項２または３に記載の情報処理装置。
9. リソースを利用する処理を実行するリソース制限実行手段を備え、
   前記アクセス制御情報が対象情報を利用するリソースの制限を規定している場合に、
   リソース制限実行手段は、前記情報処理実行手段から前記リソースを利用する処理の実行要求を受信して、前記処理に要する対象情報へのアクセス要求を前記情報アクセス手段へ送信し、情報アクセス手段から前記対象情報を取得して前記処理を実行することを特徴とする請求項２または３に記載の情報処理装置。
10. 前記情報アクセス手段は、
    前記情報処理実行手段から対象情報へのアクセス要求を受けたときに、情報処理実行手段に対して、前記リソース制限実行手段を介して前記アクセス要求を行うように指示し、
    これを受けて情報処理実行手段からリソース制限実行手段に前記リソースを利用する前記処理の実行要求が送信されることを特徴とする請求項９に記載の情報処理装置。
11. 前記情報アクセス手段は、
    前記情報処理実行手段から対象情報へのアクセス要求を前記リソース制限実行手段を介して受け、
    前記アクセス要求が前記規定に適合しているとき、リソース制限実行手段に前記処理に要する前記対象情報を与えることを特徴とする請求項９に記載の情報処理装置。
12. 請求項２または３に記載の情報処理装置に着脱可能であって、前記対象情報、及び／または、前記アクセス制御情報が記録された可搬性記録媒体。
13. 情報処理装置のコンピュータに、
    任意の情報の処理を実行する情報処理実行手段から対象情報へのアクセス要求を受けて、前記対象情報へのアクセスのルールを規定したアクセス制御情報に基づいて前記対象情報へのアクセスの是非を判断する手順と、
    判断結果に基づいて前記対象情報にアクセスし、前記対象情報を前記情報処理実行手段に与える手順と
    を実行させるためのプログラム。

Images