JP2022073172A - 情報処理装置、プログラム、画像処理システム - Google Patents

Abstract

【課題】秘匿された秘匿情報を復元できる情報処理装置を提供する。【解決手段】画像データに含まれる秘匿情報を秘匿する画像処理装置であって、１つ以上の秘匿情報が含まれる画像データから、秘匿情報を検出する秘匿情報検出部２７と、秘匿情報検出部が検出した秘匿情報を電子透かしに変換し、電子透かしを画像データに形成する電子透かし生成部２８と、を有する。【選択図】図５

Description

本発明は、情報処理装置、プログラム、及び、画像処理システムに関する。

個人情報などの秘匿情報をスキャナ等が読み取って画像データを保存しておくことが可能である。しかし、ユーザーは業務等のため画像データを利用することが必要なため、秘匿情報が漏洩する状況が生じうる。

そこで、従来から秘匿情報が記載された原稿をスキャナ等が読み取って生成した画像データから、秘匿情報を検出して秘匿する技術が知られている（例えば、特許文献１参照）。特許文献１には、全ての個人情報を隠すのでなく、所定の個人情報をマスクする技術が開示されている。

しかしながら、従来の技術は、秘匿された秘匿情報を復元できないという問題があった。また、秘匿された秘匿情報を復元できないため、従来の技術は、秘匿された秘匿情報が必要な場合は、再度、ユーザーが元の原稿を読み取る必要が生じる。また、従来の技術は、黒色で塗り潰すという秘匿方法であるため、美観を損ない、また、色材の消費量も多くなってしまう。

本発明は、上記課題に鑑み、秘匿された秘匿情報を復元できる情報処理装置を提供することを目的とする。

上記課題に鑑み、本発明は、画像データに含まれる秘匿情報を秘匿する情報処理装置であって、１つ以上の秘匿情報が含まれる画像データから、前記秘匿情報を検出する秘匿情報検出部と、前記秘匿情報検出部が検出した秘匿情報を電子透かしに変換し、前記電子透かしを前記画像データに形成する電子透かし生成部と、を有することを特徴とする。

秘匿された秘匿情報を復元できる情報処理装置を提供することができる。

比較技術における秘匿情報のマスク方法を説明する図である。 本実施形態のマスク方法の概略を説明する図である。 画像処理装置の一例の概観を示す図である。 画像処理装置の一例のハードウェア構成図である。 画像処理装置が有する機能をブロック状に分けて説明する機能ブロック図の一例である。 原稿画像と管理情報の一例を示す図である。 文字列に形成される電子透かしを説明する図の一例である。 画像処理装置がマスク画像を生成する手順を示すフローチャート図の一例である。 職員が個人情報を選択して出力する処理を説明するフローチャート図の一例である。 マスク属性リスト画面の一例を示す図である。 操作パネルに表示される復元画像の一例を示す図である。 画像処理装置が、職員のセキュリティレベルと個人情報を使用する目的に応じて秘匿情報を表示する処理を説明するフローチャート図の一例である。 開示の目的設定画面の一例を示す図である。 画像処理システムの構成例を示す図である。 健康保険証の原稿画像と健康保険証から生成される管理情報の一例を示す図である。 健康保険証の場合のマスク画像と復元画像の一例を示す図である。

以下、本発明を実施するための形態の一例として、画像処理装置と画像処理装置が行う情報管理方法について説明する。

＜比較技術の情報管理方法について＞
以下では、秘匿情報を扱う業種の一例として銀行の業務を説明する。銀行では本人確認のために免許証などのコピーを保存する場合がある。しかし、銀行の業務で免許証の全ての情報が必要なことはまれであり、銀行は個人情報を過剰に管理していた。一方、銀行が一部の個人情報のみを管理すると、管理していない情報が必要になった場合に、再度、顧客に免許証の提示を要求する必要が生じる。

このような不都合に対し、本実施形態の情報管理方法の理解を容易にするために、まずは、本実施形態の技術と比較されうる比較技術について説明する。

図１は、比較技術における秘匿情報のマスク方法を説明する図である。図１（ａ）はマスク前の原稿であり、ここでは免許証を示す。マスク前の原稿の画像を原稿画像３０１という。免許証には氏名、生年月日、及び、住所など多くの秘匿情報が記載されている。

画像処理装置が免許証を光学的に読み取った場合（撮像した場合）、読み取って生成した画像データから画像処理装置は秘匿情報を検出する。画像処理装置は、例えば、ＯＣＲ（Optical Character Reader）により秘匿情報を文字コードに変換し、免許証など、原稿の種類を判断できる文字を探す。画像処理装置は免許証であると判断すると、予め規定されたフォーマットで秘匿情報を探し、秘匿情報が存在する免許証の各項目をマスクする。

図１（ｂ）はマスクされた画像データ１００１を示す。生年月日等の秘匿情報がマスクされている。比較技術では、画像データの項目がベタ塗りされるため、一度マスクされた画像データの秘匿情報を、ユーザーが表示させることはできない。例えば、免許証の生年月日を、画像処理装置が表示することができない。生年月日が必要な場合、再度、銀行の職員が顧客の原稿（免許証）を借りてスキャンする必要がある。また、黒色で塗り潰すというマスク方法であるため、美観を損ない、また、色材の消費量も多くなってしまう。

＜本実施形態の情報管理方法について＞
図２は、本実施形態のマスク方法の概略を説明する図である。図２（ａ）は図１（ａ）と同様にマスク前の免許証（原稿画像３０１）である。

画像処理装置が免許証を光学的に読み取った場合（撮像した場合）、読み取って生成した画像データから全ての秘匿情報を認識する。画像処理装置は秘匿情報ごとに秘匿情報を文字列で置き換える。図２では、該文字列は「個人情報」である。文字列は他の文字でも数字でもよい。また、文字列はアルファベットでも記号でもよい。また、文字列は意味のある単語でなくてよい。

秘匿情報が置き換えられた画像データをマスク画像３０２という。図２（ｂ）はマスク画像３０２を示す。画像処理装置は図２（ａ）の元の画像データと図２（ｂ）のマスク画像３０２を銀行の顧客に対応付けて蓄積する。

マスク画像３０２が有する文字列には微小点が形成される。微小点で情報を表す技術を電子透かしという。本実施形態で電子透かしに含まれる情報の一例を図２（ｃ）に示す。秘匿情報と秘匿情報を管理する情報が電子透かしに含まれる。一例としては以下のような管理情報が電子透かしに変換される。管理情報の詳細は表１を参照されたい。
「マスク番号、マスク属性、マスク内容、位置情報、サイズ情報」
次に、画像処理装置が文字列から管理情報を復元する方法を説明する。本実施形態では、マスク画像３０２に原稿画像３０１の秘匿情報が含まれているので、画像処理装置はマスク画像３０２から秘匿情報を復元できる。例えば、銀行の窓口で、顧客がローンを契約する場合に、再度、免許証を提示する必要がない。

復元する方法としては、Ａ．銀行の任意の職員が復元できる方法と、Ｂ．職員のセキュリティレベルに応じた秘匿情報だけを職員が復元できる方法とがある。

例えば、Ａの方法では、職員が選択したマスク属性（秘匿情報の属性）を、画像処理装置が電子透かしから検出し、マスク内容（秘匿情報）を出力する。

Ｂの方法では、職員のセキュリティレベルと、秘匿情報を必要とする目的のセキュリティレベルの整合性に応じて、画像処理装置が開示する秘匿情報を制御する。これにより、目的と職員が確定すれば、画像処理装置が開示する秘匿情報が特定される。画像処理装置は非開示の秘匿情報を文字列のまま出力し、開示してよい秘匿情報であれば、画像処理装置が復元して、マスク内容を出力する。

図２（ｄ）は、一部の秘匿情報が復元された復元画像３０３を示す。図２（ｄ）では個人情報２，４，５，６、７を除いて秘匿情報が復元されている。

以上のように、画像処理装置は、秘匿情報を電子透かしで置き換えることで秘匿できる。復元時、画像処理装置は電子透かしを解析して、秘匿情報を取り出すことができる。画像処理装置は秘匿情報を何度でも出力させることができるが、電子透かしに置き換わっているので、個人情報の漏洩、及び、拡散を抑制することができる。また、電子透かしは見た目の違和感が少なく、色材の使用料も少ないというメリットがある。

＜用語について＞
秘匿情報は、個人又は組織にとって重大な情報で、公開されていない情報である。本実施形態では個人情報が秘匿情報の一例である。氏名や住所など一般に秘匿される情報だけでなく、所定の単語など予め定義されている情報も秘匿情報となる。

電子透かしとは画像に情報を埋め込む情報ハイディング（データハイディング）技術で埋め込まれた情報をいう。本実施形態では画像処理装置が微小点で情報を埋め込む例を説明するが、電子透かしの生成方法はこれに限られない。人間が見ても情報を解読できないが所定のアルゴリズムで画像処理装置が復元できればよい。

秘匿情報が視認できない態様とは、秘匿情報が削除されてもよいし、秘匿情報が別の情報で上書きされてもよい。データ処理なしに人間が情報を読み取れなければよい。

秘匿とは、何らかのことを秘密にする、明らかにしないことをいう。秘匿は、あいまいにしたり、内容を判読できないようにしたりすることも含む。画像処理装置は秘匿情報を別の情報で上書きして秘匿しても、秘匿情報を削除して秘匿してもよい。本実施形態では、マスクという用語で説明される。

＜構成例＞
図３は、本実施形態に係る画像処理装置１００の概観を示す図である。画像処理装置１００は、自動原稿送り機１１０、操作パネル９４０、スキャナ１３０、プリンタ１４０、及び、給紙バンク１６０を有する。自動原稿送り機１１０は、セットされた原稿を搬送路からコンタクトガラスに導き、スキャナ１３０により原稿を読み取らせる。

操作パネル９４０は、画像処理装置１００に対する指示の入力等を促す画面を表示し、操作者による入力を受け付ける。スキャナ１３０は、原稿に形成された画像を光学的に読み取った画像データを出力する。プリンタ１４０は、画像をインクやトナーでシート状部材に形成して出力する。給紙バンク１６０は、画像処理装置１００が出力するシート状部材を格納する。

この他、画像処理装置１００はフィニッシャを有していてよい。フィニッシャは、画像が形成されたシート状部材に対して、ステープル処理等の綴り処理、及び、ソート等の処理を行う。また、画像処理装置１００は、ネットワークを介してパソコン２００と接続されてよい。画像処理装置１００はパソコン２００から受信した画像データをシート状部材に印刷する。また、画像処理装置１００はＰＢＸ３００を介してファクシミリ電話回線ＰＮに接続されていてよい。

なお、画像処理装置１００は図４に示すように、コンピュータ等の情報処理装置の機能を有している。

＜画像処理装置のハードウェア構成＞
図４は、画像処理装置１００のハードウェア構成図である。図４に示されているように、画像処理装置１００は、コントローラ９１０、近距離通信回路９２０、エンジン制御部９３０、操作パネル９４０、ネットワークＩ／Ｆ９５０を備えている。

これらのうち、コントローラ９１０は、コンピュータの主要部であるＣＰＵ９０１、システムメモリ（ＭＥＭ－Ｐ）９０２、ノースブリッジ（ＮＢ）９０３、サウスブリッジ（ＳＢ）９０４、ＡＳＩＣ(Application Specific Integrated Circuit)９０６、記憶部であるローカルメモリ（ＭＥＭ－Ｃ）９０７、ＨＤＤコントローラ９０８、及び、記憶部であるＨＤ９０９を有し、ＮＢ９０３とＡＳＩＣ９０６との間をＡＧＰ(Accelerated Graphics Port)バス９２１で接続した構成となっている。

これらのうち、ＣＰＵ９０１は、画像処理装置１００の全体制御を行う制御部である。ＮＢ９０３は、ＣＰＵ９０１と、ＭＥＭ－Ｐ９０２、ＳＢ９０４、及びＡＧＰバス９２１とを接続するためのブリッジであり、ＭＥＭ－Ｐ９０２に対する読み書きなどを制御するメモリコントローラと、ＰＣＩ(Peripheral Component Interconnect)マスタ及びＡＧＰターゲットとを有する。

ＭＥＭ－Ｐ９０２は、コントローラ９１０の各機能を実現させるプログラムやデータの格納用メモリであるＲＯＭ９０２ａ、プログラムやデータの展開、及びメモリ印刷時の描画用メモリなどとして用いるＲＡＭ９０２ｂとからなる。なお、ＲＡＭ９０２ｂに記憶されているプログラムは、インストール可能な形式又は実行可能な形式のファイルでＣＤ－ＲＯＭ、ＣＤ－Ｒ、ＤＶＤ等のコンピュータで読み取り可能な記録媒体に記録して提供するように構成してもよい。

ＳＢ９０４は、ＮＢ９０３とＰＣＩデバイス、周辺デバイスとを接続するためのブリッジである。ＡＳＩＣ９０６は、画像処理用のハードウェア要素を有する画像処理用途向けのＩＣ(Integrated Circuit)であり、ＡＧＰバス９２１、ＰＣＩバス９２２、ＨＤＤコントローラ９０８及びＭＥＭ－Ｃ９０７をそれぞれ接続するブリッジの役割を有する。このＡＳＩＣ９０６は、ＰＣＩターゲット及びＡＧＰマスタ、ＡＳＩＣ９０６の中核をなすアービタ（ＡＲＢ）、ＭＥＭ－Ｃ９０７を制御するメモリコントローラ、ハードウェアロジックなどにより画像データの回転などを行う複数のＤＭＡＣ(Direct Memory Access Controller)、並びに、スキャナ部９３１及びプリンタ部９３２との間でＰＣＩバス９２２を介したデータ転送を行うＰＣＩユニットとからなる。なお、ＡＳＩＣ９０６には、ＵＳＢ(Universal Serial Bus)のインターフェースや、ＩＥＥＥ１３９４(Institute of Electrical and Electronics Engineers 1394）のインターフェースが接続されていてもよい。

ＭＥＭ－Ｃ９０７は、コピー用画像バッファ及び符号バッファとして用いるローカルメモリである。ＨＤ９０９は、画像データの蓄積、印刷時に用いるフォントデータの蓄積、フォームの蓄積を行うためのストレージである。ＨＤ９０９は、ＣＰＵ９０１の制御にしたがってＨＤ９０９に対するデータの読出又は書込を制御する。ＡＧＰバス９２１は、グラフィック処理を高速化するために提案されたグラフィックスアクセラレータカード用のバスインタフェースである。ＡＧＰバス９２１は、ＭＥＭ－Ｐ９０２に高スループットで直接アクセスすることにより、グラフィックスアクセラレータカードを高速にすることができる。

また、近距離通信回路９２０には、近距離通信回路のアンテナ９２０ａが備わっている。近距離通信回路９２０は、ＮＦＣ、Ｂｌｕｅｔｏｏｔｈ（登録商標）等の通信回路である。

更に、エンジン制御部９３０は、スキャナ部９３１及びプリンタ部９３２によって構成されている。また、操作パネル９４０は、現在の設定値や選択画面等を表示させる。操作パネル９４０は、操作者からの入力を受け付けるタッチパネル等のパネル表示部９４０ａ、並びに、濃度の設定条件などの画像形成に関する条件の設定値を受け付けるテンキー及びコピー開始指示を受け付けるスタートキー等からなるハードキー９４０ｂを備えている。コントローラ９１０は、画像処理装置１００全体の制御を行い、例えば、描画、通信、操作パネル９４０からの入力等を制御する。スキャナ部９３１又はプリンタ部９３２には、誤差拡散やガンマ変換などの画像処理部分が含まれている。

なお、画像処理装置１００は、操作パネル９４０のアプリケーション切り替えキーにより、ドキュメントボックス機能、コピー機能、プリンタ機能、及びファクシミリ機能を順次に切り替えて選択することが可能となる。ドキュメントボックス機能の選択時には画像処理装置１００はドキュメントボックスモードとなる。コピー機能の選択時には画像処理装置１００はコピーモードとなる。プリンタ機能の選択時には画像処理装置１００はプリンタモードとなる。ファクシミリモードの選択時には画像処理装置１００はファクシミリモードとなる。

また、ネットワークＩ／Ｆ９５０は、ネットワークＮ３を利用してデータ通信をするためのインターフェースである。近距離通信回路９２０及びネットワークＩ／Ｆ９５０は、ＰＣＩバス９２２を介して、ＡＳＩＣ９０６に電気的に接続されている。

＜画像処理装置の機能について＞
図５は、画像処理装置１００が有する機能をブロック状に分けて説明する機能ブロック図の一例である。画像処理装置１００は、読取部２１、表示制御部２２、操作受付部２３、認証部２４、出力部２５、画像処理制御部２６、秘匿情報検出部２７、電子透かし生成部２８、復元部２９、ＯＣＲ部３０、及び、顔認識部３１を有している。画像処理装置１００が有するこれらの機能は、図４に示された各構成要素のいずれかが、ＨＤ９０９又はＲＯＭ９０２ａからＲＡＭ９０２ｂに展開されたプログラムに従ったＣＰＵ９０１からの命令により動作することで実現される機能又は手段である。

読取部２１は、スキャナ部９３１を制御して原稿を撮像する。読取部２１は、適宜、ガンマ補正、濃度、コントラストなどを補正して原稿画像３０１の画像データを生成する。なお、画像処理装置１００は外部から画像データを取得したり、記憶媒体から画像データを読み取ったりしてもよい。この場合、読取部２１が不要になり、画像処理装置１００は情報処理装置でよい。

表示制御部２２はパネル表示部９４０ａに、ユーザーがコピー、スキャン、ファクシミリなどに関する操作を入力するための操作画面、及び、ジョブを実行中の画面等を表示する。本実施形態では、マスク画像３０２や復元画像３０３等を表示する場合がある。

操作受付部２３は、パネル表示部９４０ａ又はハードキー９４０ｂに対するユーザーの操作を受け付ける。表示制御部２２はユーザー操作に応じて操作画面を遷移させる。

認証部２４は、ユーザーを認証する。認証とはユーザーが正当な権限者か否かを判断することをいう。本実施例の場合は、画像処理装置１００を職員が使用する権限があるかどうかである。なお、認証が成功するとユーザーは画像処理装置１００にログインする。ログインにより職員の権限（セキュリティレベル）が特定される。なお、ログインとは、コンピュータやインターネット上の様々なサービスを利用する際に、予め登録しておいたアカウント情報を用いてシステムのリソースにアクセスする認証行為をいう。アカウント情報は、ユーザーＩＤとパスワード、ＩＣカードの番号、生体認証情報などである。

なお、認証を画像処理装置１００が行うのでなく、ネットワーク上の認証サーバが行ってもよい。

出力部２５は、プリンタ部９３２を制御して、シート状部材への画像形成及び排紙（印刷等）を実行する。出力部２５が、表示制御部２２を介して、複合した秘匿情報、マスク画像３０２又は復元画像３０３等をパネル表示部９４０ａに表示することも出力である。

画像処理制御部２６は、秘匿情報検出部２７、電子透かし生成部２８、復元部２９、ＯＣＲ部３０、及び、顔認識部３１を呼び出して、電子透かしの生成、マスク画像３０２の生成、及び、電子透かしの復元に関する制御を行う。

ＯＣＲ部３０は読取部２１が読み取った原稿画像３０１に文字認識を行い、画像になっている秘匿情報を１つ以上の文字を含む文字列に変換する。各文字は文字コードで表される。文字には、数字、アルファベット、及び、記号等も含まれる。

顔認識部３１は原稿に顔写真が含まれる場合に人間の顔を認識する。顔の認識は、例えばディープラーニングを用いた機械学習が知られている。顔認識部３１は、予め顔が写っている画像データ、写っていない画像データ、及び、画像データごとに顔の有無を示す教師信号をトレーニングデータとして、誤差逆伝播法でノード間の重みを学習する。顔認識部３１は画像データから顔が含まれている領域を検出できる。顔認識部３１は予め写真の領域を切り出してから顔の有無を判断してもよい。

秘匿情報検出部２７は、ＯＣＲ部３０が生成した文字列が秘匿情報か否かを判断する。例えば、「氏名」「生年月日」「住所」等、マスク属性は予め辞書として保持されている。秘匿情報検出部２７はＯＣＲで認識した文字列がこの辞書に登録されているか否かに応じて、マスク属性か否かを判断する。秘匿情報検出部２７は秘匿情報（文字列）の属性（マスク属性）に対し、決まった位置にある秘匿情報の外接矩形の位置を特定する。決まった位置は、マスク属性に対し最も近い、例えば右側、左側、下側、上側などである。

マスク属性と秘匿情報の相対位置は原稿の種別によって様々なので、原稿の種別に対応付けて、マスク属性と秘匿情報の位置がテーブルなどで予め用意されているとよい。この場合、秘匿情報検出部２７は、ＯＣＲ部３０が生成した文字列に含まれる、原稿の種別を表す文字列に基づいて原稿の種別を判断する。例えば、ＯＣＲ部３０が生成した文字列に「免許」という文字列が含まれる場合、秘匿情報検出部２７は原稿が免許証であると判断する。ＯＣＲ部３０が生成した文字列に「健康保険」という文字列が含まれる場合、秘匿情報検出部２７は原稿が健康保険証であると判断する。原稿の種別が分かれば、テーブルにより画像データ内の秘匿情報の位置がわかり、この秘匿情報のマスク属性も分かる。

電子透かし生成部２８は、秘匿情報を所定の文字列に置き換え、更に、この文字列に微小点を形成することで電子透かしを形成する。所定の文字列は例えば、「個人情報ｎ」などでよい。ｎは１から始まる整数でよい。電子透かしで形成される情報は、マスク番号、マスク属性、マスク内容、位置情報、及び、サイズ情報等である。なお、電子透かし生成部２８は文字列なしに電子透かしのみをマスク画像３０２に形成してもよい。しかし、文字列があることで電子透かしの存在を秘匿しやすくなる。

復元部２９は、文字列に形成された電子透かしを解析して、秘匿情報を復元する。復元部２９は、電子透かしが形成されていた文字列（「個人情報ｎ」）を削除し、復元した秘匿情報をマスク画像３０２に配置する。

また、画像処理装置１００は、図４に示されたＨＤ９０９又はＲＯＭ９０２ａ等により実現される記憶部３９を有している。記憶部３９は管理情報記憶部４１、職員情報記憶部４２、画像データ記憶部４３、及び、目的情報記憶部４４を有している（表１～表４参照）。

表１は、管理情報記憶部４１が記憶する管理情報の一例を示す。管理情報は、画像処理装置１００がマスク画像３０２を生成する場合に一時的に作成され、マスク画像３０２の作成後は削除される。これにより、漏洩リスクを低減できる。

管理情報は、免許証などの原稿からＯＣＲ部３０が取得した秘匿情報のリストである。表１は免許証が読み取られた場合の管理情報の例である。管理情報は、マスク番号、マスク属性、マスク内容、位置情報、及び、サイズ情報を有している。

・マスク番号…マスク番号は１つの原稿画像３０１内で重複しないように付された秘匿情報の識別情報である。マスク番号は例えば左から右、かつ、上から下に秘匿情報の出現順に付される。
・マスク属性…マスク属性は秘匿情報の項目名である。秘匿情報検出部２７はＯＣＲで得られた文字列を辞書で検索して、マスク属性を検出する。辞書には、氏名、住所、生、有効、交付等、秘匿情報がある原稿に含まれる文字列が掲載されている。
・マスク内容…マスク内容は秘匿情報である。秘匿情報検出部２７はマスク属性に対する相対位置、又は、原稿の種類に基づいて秘匿情報の位置を特定する。なお、顔写真以外のマスク内容は文字列である。顔写真はＪＰＥＧなどの画像データである。表１の管理情報のうち顔写真のみについては、秘匿情報検出部２７はマスク画像３０２の作成後も削除しないでよい。これは、電子透かしでは顔写真の容量を保存できないためである。
・位置情報…位置情報は秘匿情報の外接矩形の例えば左上の頂点のＸ，Ｙ座標である。
・サイズ情報…サイズ情報は秘匿情報の外接矩形の幅と高さである。

表２は、職員情報記憶部４２が記憶する職員情報の一例を示す。職員情報は、職員に関する情報である。職員情報は、職員ＩＤ、職員名、パスワード、及び、セキュリティレベルを有している。
・職員ＩＤ…職員ＩＤは職員の識別情報である。本実施形態では、メールアドレスが職員情報であるが、一意であれば任意の文字列等でよい。
・職員名…職員名は職員の氏名等である。
・パスワード…職員のみが知る秘密の文字列である。
・セキュリティレベル…セキュリティレベルは職員がどの秘匿情報にアクセスできるかの権限を示す。「職員のセキュリティレベル≧（後述する）目的のセキュリティレベル」を満たす秘匿情報であれば、職員がアクセスできる。セキュリティレベルは、例えば、１～５の数字で表される。数字が大きいほど秘匿性が高い。

表３は、画像データ記憶部４３が記憶する画像データ情報の一例を示す。画像データ情報は、原稿画像３０１やマスク画像３０２を有している。画像データ情報は、顧客ＩＤ、顧客氏名、原稿画像３０１、及び、マスク画像３０２を有している。
・顧客ＩＤ…顧客ＩＤは、銀行の顧客の識別情報である。
・顧客氏名…顧客氏名は顧客の氏名等である。
・原稿画像３０１…原稿画像３０１は該顧客の原稿画像３０１である。原稿画像３０１は秘匿性が高いので、マスク画像３０２とは別の記憶手段（ネットワークにつながっていないとよい。）に暗号化の上、保存される。
・マスク画像３０２…マスク画像３０２は該顧客のマスク画像３０２である。

表４（ａ）は、目的情報記憶部４４が記憶する目的別セキュリティ情報の一例を示す。目的別セキュリティ情報は、目的とセキュリティレベルの項目を有している。
・目的…目的は、例えば銀行の業務において、職員がどのような目的でマスク画像３０２を使用するかを示す。
・セキュリティレベル…対応する目的が必要とする職員のセキュリティレベルを示す。

表４（ｂ）は、目的情報記憶部４４が記憶する開示可能情報の一例を示す。開示可能情報は職員のセキュリティレベルと目的のセキュリティレベルの整合性に応じて開示が可能な個人情報が対応付けられている。開示可能情報はセキュリティレベルの関係と開示する個人情報の項目を有している。
・セキュリティレベルの関係…セキュリティレベルの関係は、職員のセキュリティレベルと目的のセキュリティレベルの大小関係を示す。
・開示する個人情報…開示する個人情報は、対応する大小関係の場合に、画像処理装置１００が開示する秘匿情報である。表４（ｂ）の開示する個人情報は、免許証の場合の個人情報ｎで表されているが、開示する個人情報はマスク属性で登録されてもよい。

＜原稿の一例＞
図６（ａ）は、画像処理装置１００が読み取る原稿の一例を示す。この原稿は免許証である。免許証の秘匿情報は、１．氏名、２．生年月日、３．住所、４．交付日、５．有効期限、６．免許の条件、７．優良ドライバーか否か、８．免許証番号、９．顔写真、１０．免許種類、１１．属する公安委員会の都道府県、１２．過去の交付年、１３．過去の交付月、１４．過去の交付日、等である。この番号１～１４は表１のマスク番号と対応している。

秘匿情報検出部２７はＯＣＲ部３０が生成した文字列に基づいてマスク属性を特定する。あるいは、秘匿情報検出部２７はＯＣＲ部３０が生成した文字列に基づいて免許証であると判断する。秘匿情報検出部２７は免許証のフォーマットに基づいて秘匿情報を特定し、各マスク属性に対応する免許証の秘匿情報（表１のマスク内容）を検出する。秘匿情報検出部２７は秘匿情報の外接矩形、又は、フォーマットで決まっている秘匿情報の位置とサイズを取得する。これにより、秘匿情報ごとに表１の一行分のデータが得られる。

次に、電子透かし生成部２８は秘匿情報を「個人情報１」～「個人情報１４」に置き換える。図６（ｂ）は、電子透かし生成部２８が秘匿情報を「個人情報１」～「個人情報１４」に置き換えたマスク画像３０２の一例である。マスク番号１～１４の秘匿情報が、「個人情報１」～「個人情報１４」に置き変えられている。そして、電子透かし生成部２８は個人情報１に、表１のマスク番号１の管理情報（一行分の管理情報）を含む電子透かしを形成する。電子透かし生成部２８は個人情報２～１４についても、表１のマスク番号２～１４の各行の管理情報を含む電子透かしを形成する。

なお、電子透かし生成部２８は表１の一行全ての情報を電子透かしにしなくてもよい。しかし、この場合、電子透かし生成部２８は、少なくともマスク番号を電子透かしに変更し、表１の管理情報を画像処理装置１００やネットワーク上のストレージが保存する必要がある。

また、マスク番号９の顔写真については、画像処理装置１００が顔写真のファイルを保存しておく。電子透かし生成部２８は、マスク番号９の電子透かしに、顔写真のファイルのＵＲＬやファイルパスを含める。あるいは、画像処理装置１００が顔写真のファイルを保存しておかなくてもよい。この場合、復元部２９は原稿画像３０１から顔写真をトリミングするので、顔写真の電子透かしには位置とサイズが含まれる。

＜電子透かしの一例＞
図７は、文字列に形成される電子透かしを説明する図である。図７では、文字の輪郭部の微小点（ドット）が付与されるか、又は、欠損することにより情報を埋め込む電子透かしの生成方法を示している。図７では「Ｄ」という文字に２つの微小点４０１，４０２が付加されている。電子透かしの生成方法が一例であるが、簡単に説明する。

(i) 電子透かし生成部２８は例えば「Ｄ」という文字列が形成された領域（免許証の例では、電子透かし生成部２８が作業用メモリに「個人情報ｎ」を描画した領域）でエッジを検出する。

(ii) エッジにより「Ｄ」という文字の外縁が検出される。電子透かし生成部２８は、「Ｄ」の外縁の内側及び外側に、アルゴリズムで決まっている起点から順番に、微小点の付与又は欠損を形成する。例えば、微小点の付与は「１」、微小点の欠損は「０」に対応する。したがって、１と０のデジタル信号が「Ｄ」に形成される。電子透かし生成部２８は決まった長さのビット列で各数字や各文字をコード化し、「Ｄ」の外縁に形成する。

(iii) 復元時、復元部２９はエッジ検出で「Ｄ」という文字の外縁を検出する。復元部２９は、「Ｄ」の外縁の内側及び外側から、アルゴリズムで決まっている起点から順番に、微小点の付与又は欠損を検出する。したがって、復元部２９は１と０のデジタル信号を復元できる。復元部２９は、決まった長さのビット列ごとに数字や文字に変換する。

＜マスク画像の生成の流れ＞
図８は、画像処理装置１００がマスク画像３０２を生成する手順を示すフローチャート図の一例である。図８は銀行の職員が画像処理装置１００を操作する場合の処理である。銀行の職員は、これから作成するマスク画像３０２の顧客に関する情報（顧客氏名と顧客ＩＤ）を画像処理装置１００に入力する。

まず、職員は操作パネルで「個人情報保護スキャン」というアプリを選択する（Ｓ１）。操作受付部２３が選択を受け付け、「個人情報保護スキャン」というアプリが起動する。

職員は原稿（例えば免許証）をコンタクトガラスに載せ、スタートボタン等を押下する。これにより、読取部２１が原稿のスキャンを実行し原稿画像３０１を生成する（Ｓ２）。

ＯＣＲ部３０が原稿画像３０１に文字認識（OCR）を行い、秘匿情報検出部２７はマスク属性と秘匿情報の領域（位置とサイズ）を特定する。また、顔認識部３１が原稿画像３０１から顔認識を行い、顔写真の領域を特定する（Ｓ３）。

秘匿情報検出部２７は特定された領域から、マスク属性と秘匿情報を取得する（Ｓ４）。また、秘匿情報検出部２７は左から右、上から下、などの決まった順番でマスク番号を採番する。

電子透かし生成部２８はマスク番号の数だけ、「個人情報ｎ」（ｎはマスク番号）という文字列を作成する。そして、電子透かし生成部２８は作業用メモリに「個人情報ｎ」という文字列を描画し、この文字列に秘匿情報等を電子透かしで形成する（Ｓ５）。電子透かしに含まれるのは「マスク番号、マスク属性、マスク内容、位置情報、サイズ情報」でよい。

電子透かし生成部２８は、取得した秘匿情報が存在した領域から秘匿情報を削除し（あるいは秘匿情報に「個人情報ｎ」を上書きしてもよい）、秘匿情報の領域ごとに、電子透かしが形成された「個人情報ｎ」という文字列（画像になっている）に置き換える（Ｓ６）。このような処理を「マスクする」という。秘匿情報が「個人情報ｎ」で置き換えられた画像データをマスク画像３０２という。

画像処理制御部２６は、顧客ＩＤ、顧客氏名、原稿画像３０１、及び、マスク画像３０２を対応付けて画像データ記憶部４３に保存する（Ｓ７）。

以上により、画像処理装置１００が、複数の秘匿情報が含まれた原稿を読み取り、秘匿情報を特定し、秘匿情報の内容を埋め込んだマスク画像３０２を生成し、格納することができる。

＜秘匿情報の出力の流れ＞
次に、ユーザーが秘匿情報を出力する流れについて説明する。以下では、Ａ．銀行の任意の職員が復元する方法と、Ｂ．職員のセキュリティレベルに応じた秘匿情報だけを職員が復元できる方法、をそれぞれ説明する。

＜＜Ａ．銀行の任意の職員が復元する方法＞＞
図９は、職員が個人情報を選択して出力する処理を説明するフローチャート図の一例である。

職員は、個人情報を使用したい顧客の顧客ＩＤ又は顧客氏名を画像処理装置１００に入力する（Ｓ１１）。職員は画像処理装置１００にログインしてもよいが、Ａの方法では職員のセキュリティレベルが考慮されない。

また、職員は、マスク属性のリストから出力したい個人情報を選択する（Ｓ１２）。操作受付部２３は顧客の顧客ＩＤ又は顧客氏名、及び、マスク属性の選択を受け付ける。図１０にマスク属性リスト画面の一例を示す。マスク属性のリストは、マスク属性の検出に使用される辞書でよい。

なお、画像処理制御部２６は、顧客氏名又は顧客ＩＤに対応付けられて蓄積されているマスク画像３０２を表示してもよい。職員はマスク画像３０２から表示したい個人情報１～１４（マスク属性）を選択することができる。操作受付部２３は個人情報１～１４の選択を受け付ける。

画像処理制御部２６は顧客ＩＤに対応付けられて蓄積されている該当する顧客のマスク画像３０２を画像データ記憶部４３から取得する（Ｓ１３）。

復元部２９は取得したマスク画像３０２から、電子透かしを復元する（Ｓ１４）。復元する個人情報は、職員が選択したものでよいので、復元部２９はマスク画像３０２の電子透かしを決まった順番で、職員が選択したマスク属性が見つかるまで復元する。最終的に、復元部２９は、職員が選択したマスク属性の個人情報のみを復元し、そうでない個人情報は復元しても破棄する。

出力部２５は、表示制御部２２を介して、職員が選択したマスク属性の個人情報のみを操作パネルに表示する。あるいは、復元部２９は、電子透かしに含まれる個人情報の位置とサイズに基づいて、マスク画像３０２の「個人情報ｎ」を復元した個人情報で置き換える。置き換えは、復元部２９が画像データから電子透かしを含む「個人情報ｎ」を削除し、位置情報に基づいて画像データに個人情報を形成すればよい。これにより、復元部２９は復元画像３０３を生成し、出力部２５は操作パネルに復元画像３０３を表示する（Ｓ１５）。出力部２５が復元画像３０３を印刷してもよい。

このように、画像処理装置１００はユーザーが選択した個人情報のみを復元して表示することができる。

図１０は、マスク属性リスト画面の一例である。マスク属性リスト画面は、「表示する属性を選択してください」というメッセージ、ＯＫボタン、及び、マスク属性のリストを有している。職員は１つ以上のマスク属性を選択して、ＯＫボタンを押下する。

＜＜復元画像の表示例＞＞
図１１は、操作パネルに表示される復元画像３０３の一例を示す。図１１では、１４個の個人情報のうち、個人情報１、３、９、が秘匿情報に置き換えられている。すなわち、ユーザーは氏名、住所、及び、顔写真（個人情報１、３、９）を操作パネルで選択したので、個人情報１、３、９に対応する秘匿情報が表示される。

＜＜Ｂ．職員のセキュリティレベルに応じた秘匿情報だけを職員が復元できる方法＞＞
図１２は、画像処理装置１００が、職員のセキュリティレベルと個人情報を使用する目的に応じて秘匿情報を表示する処理を説明するフローチャート図の一例である。

職員が画像処理装置１００に職員ＩＤとパスワードを入力して、ログインする（Ｓ２１）。操作受付部２３が入力を受け付け、認証部２４が認証成功又は失敗を判断する。ここでは認証が成功したものとする。ログインによりユーザーＩＤとセキュリティレベルが特定される。

職員は、個人情報を使用したい顧客の顧客ＩＤ又は顧客氏名を画像処理装置１００に入力する（Ｓ２２）。

職員は操作パネルで個人情報を使用する目的を選択する（Ｓ２３）。操作受付部２３が選択を受け付ける。図１３に開示の目的設定画面の一例を示す。目的は、表４（ａ）に示した、保険契約、ローン契約、及び、定期貯金口座開設などである。復元部２９は、選択された目的に対応付けられたセキュリティレベルを取得する。

画像処理制御部２６は顧客ＩＤに対応付けられて蓄積されている該当する顧客のマスク画像３０２を画像データ記憶部４３から取得する（Ｓ２４）。

復元部２９は、職員のセキュリティレベルと目的に対応付けられたセキュリティレベルを比較する。復元部２９は比較の結果、表４（ｂ）の開示可能情報から、「職員のセキュリティレベル≧目的のセキュリティレベル」、又は、「職員のセキュリティレベル＜目的のセキュリティレベル」に対応するマスク属性を特定する（Ｓ２５）。

復元部２９は、取得したマスク画像３０２から、電子透かしを復元する（Ｓ２６）。復元する個人情報はセキュリティレベルに整合性があるものでよいので、復元部２９はマスク画像３０２の電子透かしを決まった順番で、セキュリティレベルに整合性があるマスク属性が見つかるまで復元する。最終的に、復元部２９は、セキュリティレベルに整合性があるマスク属性の個人情報のみを復元し、そうでない個人情報は復元しても破棄する。

出力部２５は、表示制御部２２を介して、職員が有するセキュリティレベルが、開示の目的に対応したセキュリティレベル以上の場合に開示してよいマスク属性の個人情報のみを操作パネルに表示する。職員が有するセキュリティレベルが、開示の目的に対応したセキュリティレベルより小さい場合、出力部２５は、予め定められている一部の個人情報を出力する。

出力部２５は、電子透かしに含まれる個人情報の位置とサイズに基づいて、マスク画像３０２の「個人情報ｎ」を復元した個人情報で置き換えてもよい。これにより、復元部２９は復元画像３０３を生成し、出力部２５は操作パネルに復元画像３０３を表示する（Ｓ２７）。出力部２５が復元画像３０３を印刷してもよい。

以上により、画像処理装置１００は、マスク画像３０２が含む複数の個人情報のうち、職員のセキュリティレベルと個人情報が使用される目的のセキュリティレベルに応じて、個人情報を出力することができる。

図１３は開示の目的設定画面の一例である。開示の目的設定画面は、「開示の目的を選択してください」というメッセージ、及び、１つ以上の目的を有している。職員は開示の目的を選択する。

＜構成の他の例＞
上記の実施形態では画像処理装置１００が単体でマスク画像３０２を生成したり、秘匿情報を復元したりする形態を説明した。しかし、画像処理装置１００とサーバにより同様の処理を行うことができる。

図１４は、画像処理システムの構成例を示す。画像処理システムは、ネットワークを介して通信できるサーバ２１０と画像処理装置１００を有する。このような形態の場合、画像処理装置１００はサーバ２１０が提供するＷｅｂアプリを実行し、職員がＷｅｂアプリを操作する。画像処理装置１００は職員の操作に応じて原稿画像３０１をサーバ２１０に送信する。サーバ２１０は情報処理装置なので、図５の機能を有し、マスク画像３０２の生成を行うことができる。

復元時は、職員がＷｅｂアプリを操作して選択した個人情報、又は、セキュリティレベルに応じた個人情報を、サーバ２１０が復元して復元画像３０３を生成し、画像処理装置１００に送信する。

このような構成であれば、処理をサーバ２１０に集約できるので、画像処理装置１００が個別に図５の機能を有する必要がない。したがって、コスト増が抑制される。

また、画像処理装置１００は、ＭＦＰのような機器に限らず、撮像手段と通信手段を有していればよい。例えば、スマートフォン、タブレット端末、ＰＣ（Personal Computer）、ゲーム機、ＰＤＦ（Personal Digital Assistant）などの情報処理装置は、カメラを有している。情報処理装置はカメラで撮像した原稿画像３０１をサーバ２１０に送信することで、マスク画像３０２を生成できる。また、復元時は、ユーザーがＷｅｂアプリを操作して選択した個人情報、又は、セキュリティレベルに応じた個人情報を、サーバ２１０がマスク画像３０２から復元して復元画像３０３を生成し、画像処理装置１００に送信する。

＜免許証以外の原稿の例＞
本実施形態では、主に免許証を例に説明した。しかし、秘匿情報が記載されている書類は免許証に限られず、本実施形態は秘匿情報が記載されている書類であれば適用可能である。

図１５、図１６を用いて、秘匿情報が記載されている原稿の一例として健康保険証が本実施形態の画像処理装置１００に適用された場合を説明する。図１５は健康保険証の原稿画像３０１と健康保険証から生成される管理情報の一例である。図１６はマスク画像３０２と復元画像の一例である。

図１５（ａ）に示すように、健康保険証は、被保険者種別、交付日、記号、番号、氏名、生年月日、資格取得日、性別、事業所所在地、事業所名称、保険者所在地、保険者番号、保険者名称、保険者印、及び、発行通番の個人情報を有する。

また、図１５（ｂ）に示すように、画像処理装置１００は、健康保険証を読取り、文字認識を行うことで、全ての個人情報を認識し、個人情報の属性、個人情報の内容、位置、及び、サイズ等を検出しリスト化できる。

図１６（ａ）に示すように、画像処理装置１００は、検出した各個人情報を電子透かしに変換して、所定の文字列に電子透かしを形成する。画像処理装置１００は原稿画像３０１から個人情報を削除し、電子透かし付きの文字列を形成する。こうすることで、画像処理装置１００は、健康保険証のマスク画像３０２を生成できる。

証明書の目的と職員のセキュリティレベルの整合性により開示するマスク属性が規定されている。これにより、職員等がマスク画像３０２を証明書等で使用する場合、目的と職員が確定すれば、画像処理装置１００が開示するマスク属性を特定できる。画像処理装置１００は、非開示のマスク属性は「個人情報ｎ」のままとし、開示してよいマスク属性は電子透かしを復元してマスク内容を表示する。

こうすることで、図１６（ｂ）に示すように、証明書に必要な個人情報のみを画像処理装置１００が表示することができる。したがって、個人情報の漏洩、拡散を防止することができる。

なお、図１６（ｂ）では、画像処理装置１００は、個人情報５の氏名、個人情報６の生年月日、個人情報１０の事業所名称、個人情報１３の保険者名称、及び、個人情報１４の保険者印、を復元画像３０３に復元した。

以上により、免許証と同様に、画像処理装置１００は複数の個人情報のうち、必要となる個人情報のみを表示又は印刷することができ、その他の個人情報を復元しないことで個人情報の漏洩を防ぐことができる。

＜主な効果＞
以上説明したように、本実施形態の画像処理装置１００は、秘匿情報を電子透かしで置き換える。復元時、画像処理装置１００は電子透かしを解析して、秘匿情報を取り出すことができる。画像処理装置１００は秘匿情報を何度でも出力させることができるが、電子透かしに置き換わっているので、個人情報の漏洩、及び、拡散を抑制することができる。また、電子透かしは見た目の違和感が少なく、色材の使用料も少ないというメリットがある。

＜その他の適用例＞
以上、本発明を実施するための最良の形態について実施例を用いて説明したが、本発明はこうした実施例に何等限定されるものではなく、本発明の要旨を逸脱しない範囲内において種々の変形及び置換を加えることができる。

例えば、本実施形態は、銀行の業務に限らず、証券会社、保険会社、不動産の手続き、自治体、又は、携帯電話の契約など、本人確認が必要な業務に適用できる。

また、秘匿情報を含む電子透かしは、対応する秘匿情報の領域の外に形成されてもよい。電子透かしはシート状部材に存在すればよい。

例えば、図５などの構成例は、画像処理装置１００による処理の理解を容易にするために、主な機能に応じて分割したものである。処理単位の分割の仕方や名称によって本願発明が制限されることはない。画像処理装置１００の処理は、処理内容に応じて更に多くの処理単位に分割することもできる。また、１つの処理単位が更に多くの処理を含むように分割することもできる。

上記で説明した実施形態の各機能は、一又は複数の処理回路によって実現することが可能である。ここで、本明細書における「処理回路」とは、電子回路により実装されるプロセッサのようにソフトウェアによって各機能を実行するようプログラミングされたプロセッサや、上記で説明した各機能を実行するよう設計されたASIC(Application Specific Integrated Circuit)、DSP（Digital Signal Processor）、FPGA（Field Programmable Gate Array）や従来の回路モジュール等のデバイスを含むものとする。

１００ 画像処理装置
２１０ サーバ
３０１ 原稿画像
３０２ マスク画像
３０３ 復元画像

特許第４３３５９３０号公報

Claims (10)

1. 画像データに含まれる秘匿情報を秘匿する情報処理装置であって、
   １つ以上の秘匿情報が含まれる画像データから、前記秘匿情報を検出する秘匿情報検出部と、
   前記秘匿情報検出部が検出した秘匿情報を電子透かしに変換し、前記電子透かしを前記画像データに形成する電子透かし生成部と、
   を有することを特徴とする情報処理装置。
2. 前記電子透かし生成部は、前記秘匿情報が存在した前記画像データの領域に、前記電子透かしを形成することを特徴とする請求項１に記載の情報処理装置。
3. 前記秘匿情報検出部は前記秘匿情報の位置情報を検出し、
   前記電子透かし生成部は、前記秘匿情報と前記秘匿情報の位置情報を含む電子透かしを、前記秘匿情報が存在した前記画像データの領域に形成することを特徴とする請求項２に記載の情報処理装置。
4. 前記電子透かしから前記秘匿情報及び前記秘匿情報の位置情報を復元する復元部、を有し、
   前記復元部は、前記画像データから前記電子透かしを削除し、前記秘匿情報の位置情報に基づいて前記画像データに前記秘匿情報を形成することを特徴とする請求項３に記載の情報処理装置。
5. 前記電子透かし生成部は所定の文字列に前記電子透かしを形成し、
   前記文字列に形成された前記電子透かしを、前記秘匿情報が存在した前記画像データの領域に形成することを特徴とする請求項１～４のいずれか１項に記載の情報処理装置。
6. 前記電子透かし生成部は、更に、前記秘匿情報の属性を含む電子透かしを前記画像データに形成し、
   前記秘匿情報の属性のリストを表示し、前記秘匿情報の属性のリストから開示する前記属性の選択を受け付け、
   前記復元部が前記電子透かしから復元した前記秘匿情報の属性のうち、受け付けた前記属性と同じ属性の前記秘匿情報のみを出力する出力部、を有することを特徴とする請求項４に記載の情報処理装置。
7. 前記電子透かし生成部は、更に、前記秘匿情報の属性を含む電子透かしを前記画像データに形成し、
   前記秘匿情報の開示の目的を受け付け、
   前記開示の目的に対応したセキュリティレベルをログインにより特定されたユーザーが有する場合、前記復元部が前記電子透かしから復元した前記秘匿情報を出力する出力部を有することを特徴とする請求項４に記載の情報処理装置。
8. ログインにより特定されたユーザーが有するセキュリティレベルが、前記開示の目的に対応したセキュリティレベル以上である場合、
   前記出力部は、前記ユーザーが有するセキュリティレベルが、前記開示の目的に対応したセキュリティレベル以上の場合に開示してよい前記秘匿情報を出力し、
   前記ユーザーが有するセキュリティレベルが、前記開示の目的に対応したセキュリティレベルより小さい場合、
   前記出力部は、予め定められている一部の前記秘匿情報を出力することを特徴とする請求項７に記載の情報処理装置。
9. 画像データに含まれる秘匿情報を秘匿する情報処理装置を、
   １つ以上の秘匿情報が含まれる画像データから、前記秘匿情報を検出する秘匿情報検出部と、
   前記秘匿情報検出部が検出した秘匿情報を電子透かしに変換し、前記電子透かしを前記画像データに形成する電子透かし生成部、
   として機能させるためのプログラム。
10. 画像データに含まれる秘匿情報を秘匿する画像処理システムであって、
    秘匿情報が含まれる原稿を読み取って画像データを生成する読取部と、
    １つ以上の秘匿情報が含まれる画像データから、前記秘匿情報を検出する秘匿情報検出部と、
    前記秘匿情報検出部が検出した秘匿情報を電子透かしに変換し、前記電子透かしを前記画像データに形成する電子透かし生成部と、
    前記電子透かしから前記秘匿情報を復元する復元部と、
    前記復元部が復元した前記秘匿情報を出力する出力部と、
    を有することを特徴とする画像処理システム。

Images