JP7287096B2 - 情報処理装置、制御方法及びプログラム - Google Patents

Description

本発明は、個人情報の保護に関する。

従来から、教育分野において個人情報を保護するための技術が知られている。例えば、特許文献１には、ｅラーニングにおいて、受講者の属性ごとに設定した共通ＩＤと、各受講者に設定した固有ＩＤによる二重のＩＤにより受講の可否を判断することにより、受講者の個人情報を保護することが可能なｅラーニングシステムが開示されている。

特開２０１６－１９１８９９号公報

塾などの民間教育機関と学校とが連携して生徒の指導を行う試みが近年なされてきており、このような形態において、生徒の指導を円滑かつ効率的に行うためには、学校と民間教育機関との間で各生徒の情報を共有する必要が生じる場合がある。しかしながら、自治体によっては、個人情報保護に関するセキュリティポリシー等の関係により学校から民間教育機関への情報の提供が制限される場合がある。

本発明は、例えば、上記のような課題を解決するためになされたものであり、データ共有において個人情報を好適に保護することが可能な情報処理装置を提供することを主な目的とする。

本発明の１つの観点では、情報処理装置は、ファイルの種別毎に、個人情報記入欄に相当する個人情報の記入領域を示す情報を予め第１記憶部に記憶する第１記憶手段と、前記ファイルに相当する表示データであり、前記個人情報を含む第１データを第１端末から受信する受信手段と、前記第１記憶部を参照し、前記第１データにおける個人情報記入欄を特定する特定手段と、前記第１データにおける個人情報記入欄上の表示を消去し、前記個人情報に基づかずに生成された匿名情報を代わりに前記個人情報記入欄上に表示する第２データを生成する生成手段と、前記第２データを第２端末に送信する送信手段と、を有する。

上記情報処理装置は、個人情報を含む第１データを第１端末から受信した場合、まず、第１記憶部を参照し、第１データにおける個人情報記入欄を特定する。そして、情報処理装置は、第１データにおける個人情報記入欄上に表示された個人情報を消去して、個人情報に基づかずに生成された匿名情報を代わりに個人情報記入欄上に表示する第２データを生成する。そして、情報処理装置は、生成した第２データを、第２端末に送信する。これにより、情報処理装置は、第２端末が第２データに基づく表示を行う場合に、個人情報に代えて匿名情報を表示させることができるため、個人情報を好適に保護しつつ、第１端末と第２端末との間のデータの共有を好適に支援することができる。

上記情報処理装置の他の一態様では、前記生成手段は、前記個人情報と前記匿名情報とを関連付けたテーブル情報を参照することで、前記第２データを生成する。これにより、情報処理装置は、第２データを好適に生成することができる。

上記情報処理装置の他の一態様では、前記生成手段は、前記テーブル情報に前記個人情報が存在しない場合に、当該個人情報に対して固有の匿名情報を生成し、当該匿名情報を前記個人情報と関連付けて前記テーブル情報に追加する。これにより、情報処理装置は、テーブル情報に登録されていない個人情報に対しても匿名情報を生成し、テーブル情報を更新することができる。

上記情報処理装置の他の一態様では、前記個人情報は、当該個人情報が指し示す人物が属する学校、学年、組、番号又は前記人物の氏名の少なくともいずれかである。情報処理装置は、このような個人情報を匿名情報に変換した第２データを生成することで、学校において生成された第１データを民間教育機関等へ提供する場合であっても、個人情報を好適に保護することができる。

上記情報処理装置の他の一態様では、前記受信手段は、前記第２端末から、前記第２データに基づき生成された第３データを受信し、前記生成手段は、前記テーブル情報を参照し、前記第３データにおける個人情報記入欄上に表示された匿名情報を消去し、前記個人情報を代わりに前記個人情報記入欄上に表示する第４データを生成し、前記送信手段は、前記第４データを前記第１端末に送信する。この態様によれば、情報処理装置は、第２端末から第２データに基づき生成された第３データを受信した場合に、テーブル情報を参照し、匿名情報を消去して、個人情報を表示する第４データを生成する。これにより、情報処理装置は、第１端末に対し、第１データと同様に個人情報が付加された第４データを好適に供給することができる。

上記情報処理装置の他の一態様では、前記生成手段が生成した第２データを、前記第２端末により参照可能となるよう第２記憶部に記憶する第２記憶手段をさらに備え、前記送信手段は、前記第２端末からの要求に基づき、前記第２記憶部に記憶された第２データを、前記第２端末へ送信する。この態様によれば、情報処理装置は、個人情報を匿名情報に代えて表示する第２データを、第２端末により参照可能に保持し、第２端末の要求に応じて第２端末に第２データを提供することができる。
上記情報処理装置の他の一態様では、前記第２記憶手段は、前記第２データ毎に、前記個人情報から前記匿名情報への変換部分に関する情報を関連付けて前記第２記憶部に記憶しており、前記生成手段は、前記第２記憶部を参照し、前記第３データにおける個人情報記入欄上に表示された前記匿名情報を消去し、前記個人情報を代わりに前記個人情報記入欄上に表示する第４データを生成する。この態様によれば、情報処理装置は、第２端末から第２データに基づき生成された第３データを受信した場合に、第２記憶部を参照し、匿名情報を消去して、個人情報を表示する第４データを生成する。これにより、情報処理装置は、第１端末に対し、第１データと同様に個人情報が付加された第４データを好適に供給することができる。

本発明の１つの観点では、情報処理装置が実行する制御方法であって、ファイルの種別毎に、個人情報記入欄に相当する個人情報の記入領域を示す情報を予め第１記憶部に記憶する第１記憶工程と、前記ファイルに相当する表示データであり、前記個人情報を含む第１データを第１端末から受信する受信工程と、前記第１記憶部を参照し、前記第１データにおける個人情報記入欄を特定する特定工程と、前記第１データにおける個人情報記入欄上の表示を消去して、前記個人情報に基づかずに生成された匿名情報を代わりに前記個人情報記入欄上に表示する第２データを生成する生成工程と、前記第２データを第２端末に送信する送信工程と、を有する。情報処理装置は、この制御方法を実行することで、個人情報を好適に保護しつつ、第１端末と第２端末との間のデータの共有を好適に支援することができる。

本発明の他の観点では、コンピュータが実行するプログラムであって、ファイルの種別毎に、個人情報記入欄に相当する個人情報の記入領域を示す情報を予め第１記憶部に記憶する第１記憶手段、前記ファイルに相当する表示データであり、前記個人情報を含む第１データを第１端末から受信する受信手段、前記第１記憶部を参照し、前記第１データにおける個人情報記入欄を特定する特定手段、前記第１データにおける個人情報記入欄上の表示を消去して、前記個人情報に基づかずに生成された匿名情報を代わりに前記個人情報記入欄上に表示する第２データを生成する生成手段、前記第２データを第２端末に送信する送信手段、として前記コンピュータを機能させる。このプログラムをコンピュータで実行することにより、上記の情報処理装置を実現することができる。

第１実施形態に係る教育支援システムの構成を示す。 学校端末及び管理サーバの構成を示すブロック図である。 機関端末及び遠隔管理サーバの構成を示すブロック図である。 匿名変換テーブルのデータ構造の一例である。 第１データの表示例である。 第２データの表示例である。 第１実施形態において管理サーバが実行する匿名化処理の手順を示すフローチャートである。 第２実施形態における教育支援システムの構成を示す。 第３データの表示例である。 第４データの表示例である。 第２実施形態において管理サーバが実行する再変換処理の手順を示すフローチャートである。

以下、図面を参照しながら、本発明の実施の形態について説明する。

＜第１実施形態＞
（１）全体構成
図１は、第１実施形態における教育支援システム１００の構成を示す。教育支援システム１００は、学校と民間教育機関とが連携して生徒（人物）を指導するためのデータ共有を実現するシステムである。教育支援システム１００は、学校において使用される学校端末１０と、管理サーバ２０と、塾などの民間教育機関において使用される機関端末３０とを含む。

学校には、学校端末１０として、ファイルのアップロードなどに用いられる専用端末１０Ａと、民間教育機関との遠隔授業に用いられる遠隔授業用端末１０Ｂとが設けられる。

専用端末１０Ａは、ネットワーク５を通じ、アップロードするファイルに相当する第１データ「Ｄ１」を、管理サーバ２０へ送信する。ここで、第１データＤ１は、民間教育機関における指導用に学校から提供されるファイルであって、例えば、生徒の個人カルテ、生徒の連絡帳、民間教育機関における指導の対象となる復習教材の添削前のファイルなどが該当する。また、第１データＤ１は、画像データ又はその他所定のビューアにより表示可能な表示データである。なお、ネットワーク５を通じた専用端末１０Ａと管理サーバ２０との通信は有線であっても無線であってもよい。専用端末１０Ａは、「第１端末」の一例である。

遠隔授業用端末１０Ｂは、例えば、学校ごとに複数設けられており、民間教育機関が管理する遠隔指導用端末３０Ｂと接続を行い、リアルタイムに取得される画像及び音声などの情報である遠隔授業用データ「Ｄｒ」の送受信を行う。この場合、遠隔授業用端末１０Ｂは、例えば、民間教育機関が管理する遠隔管理サーバ３１から認証を受けるためのデータの授受を遠隔管理サーバ３１と行った後、遠隔指導用端末３０Ｂと遠隔授業用データＤｒの送受信を行うための通信を確立する。この場合の遠隔授業用データＤｒのデータ通信は、遠隔管理サーバ３１により中継されてもよく、遠隔管理サーバ３１により中継されることなく直接的に行われてもよい。また、遠隔授業用端末１０Ｂは、上述の認証を受けるため、例えば、遠隔管理サーバ３１に対して、所定のログイン用のＩＤ（ログインＩＤ）及びパスワードなどを指定した認証用データを送信する。

また、遠隔授業用端末１０Ｂは、例えば、カメラ及び音声入力装置などと接続しており、当該カメラが生成した画像データ及び音声入力装置が生成した音声データを、遠隔授業用データＤｒとして遠隔指導用端末３０Ｂに送信する。また、遠隔授業用端末１０Ｂは、ディスプレイ及びスピーカなどを有し、遠隔授業用データＤｒとして、画像データ及び音声データが含まれていた場合には、当該画像データをディスプレイに表示したり、音声データをスピーカにより出力したりする。なお、ネットワーク５を通じた遠隔授業用端末１０Ｂと遠隔指導用端末３０Ｂ又は遠隔管理サーバ３１との通信は、有線であっても無線であってもよい。

管理サーバ２０は、専用端末１０Ａから第１データＤ１を受信した場合に、第１データＤ１に含まれる個人情報を匿名情報に変換した第２データ「Ｄ２」を生成する。ここで、匿名情報は、個人情報に基づかずに生成された情報であって、民間教育機関が各生徒を一意に識別（区別）するための情報である。そして、管理サーバ２０は、生成した第２データＤ２を記憶する。そして、管理サーバ２０は、専用端末３０Ａから第２データＤ２の取得要求があった場合、当該第２データＤ２を専用端末３０Ａへ送信する。管理サーバ２０は、情報処理装置の一例である。

民間教育機関には、機関端末３０として、ファイルのダウンロードなどに用いられる専用端末３０Ａと、学校との遠隔授業に用いられる遠隔指導用端末３０Ｂとが設けられる。また、民間教育機関には、上述の遠隔授業を管理する遠隔管理サーバ３１が設けられている。

専用端末３０Ａは、ネットワーク５を通じ、第２データＤ２を管理サーバ２０から受信する。ここで、第２データＤ２は、第１データＤ１の個人情報を匿名情報に変換したデータである。そして、専用端末３０Ａは、例えば、受信した第２データＤ２をディスプレイに表示する。また、第２データＤ２が遠隔授業に用いられるデータである場合には、第２データＤ２を遠隔管理サーバ３１へ供給する。専用端末３０Ａは、「第２端末」の一例である。

遠隔指導用端末３０Ｂは、遠隔授業用端末１０Ｂからの接続要求を遠隔管理サーバ３１から受信した場合に、所定の処理を実行することで、遠隔管理サーバ３１を介し、遠隔授業用端末１０Ｂと遠隔授業用データＤｒの授受を行うための通信接続を行う。また、遠隔指導用端末３０Ｂは、遠隔管理サーバ３１から、遠隔授業において必要な第２データＤ２を受信し、ディスプレイなどに表示する。なお、遠隔指導用端末３０Ｂは、遠隔管理サーバ３１を中継することなく、遠隔授業用データＤｒの通信を行うための遠隔授業用端末１０Ｂとの通信接続を行ってもよい。この場合、遠隔指導用端末３０Ｂは、例えば、遠隔授業用端末１０Ｂと通信を行うための遠隔授業用端末１０Ｂの通信アドレスの情報などの情報を遠隔管理サーバ３１から受信することで、遠隔授業用端末１０Ｂと通信接続を行う。

なお、図１では、学校端末１０及び機関端末３０は、ノート型パソコンとして表示されているが、これに限定されず、デスクトップ型パソコンであってもよく、タブレット型端末であってもよい。

（２）装置構成
図２（Ａ）は、学校端末１０の構成を示すブロック図である。図示のように、学校端末１０は、通信部１３、記憶部１４、入力部１５、制御部１６、及び出力部１７を備える。これらの構成要素は、バス１９により相互に接続されている。

通信部１３は、制御部１６の制御に基づき、管理サーバ２０等の外部装置と通信を行う。記憶部１４は、ＲＡＭ、ＲＯＭなどのメモリにより構成される。記憶部１４には、制御部１６により実行される様々な処理のプログラムが記憶される。制御部１６は、それらのプログラムを実行することにより、学校端末１０全体を制御する。また、記憶部１４は、制御部１６が様々な処理を実行する際の作業メモリとして機能する。

入力部１５は、学校端末１０に入力される情報を生成する。入力部１５は、例えば、マウス、ボタン、タッチパネル、カメラ、マイクなどの音声入力装置等であってもよく、これらのデバイスに接続するためのインターフェースであってもよい。

出力部１７は、制御部１６の制御に基づき、所定の表示及び音出力を行う。出力部１７は、例えば、ディスプレイ、プロジェクタ、スピーカ、ヘッドホン等であってもよく、これらのデバイスに接続するためのインタ－フェースであってもよい。

制御部１６は、ＣＰＵ（Ｃｅｎｔｒａｌ Ｐｒｏｃｅｓｓｉｎｇ Ｕｎｉｔ）、ＧＰＵ（Ｇｒａｐｈｉｃｓ Ｐｒｏｃｅｓｓｉｎｇ Ｕｎｉｔ）などのプロセッサ（コンピュータ）により構成され、学校端末１０の各構成要素を制御する。制御部１６は、記憶部１４に記憶されるプログラムに基づき、所定の処理を行う。

図２（Ｂ）は、管理サーバ２０の構成を示すブロック図である。管理サーバ２０は、通信部２１と、記憶部２２と、制御部２３とを備える。なお、これらの構成要素は、バス２９を介して相互に接続されている。

通信部２１は、制御部２３の制御に基づき、ネットワーク５を通じて専用端末１０Ａ及び専用端末３０Ａと通信を行う。

記憶部２２は、ＲＡＭ、ＲＯＭなどのメモリにより構成される。記憶部２２には、制御部２３により実行される様々な処理のプログラムが記憶される。また、記憶部２２は、制御部２３が様々な処理を実行する際の作業メモリとして機能する。記憶部２２は、匿名変換テーブル２７と、共有ファイルＤＢ（ＤａｔａＢａｓｅ）２８とを有している。

匿名変換テーブル２７は、第１データＤ１に含まれる個人情報を匿名情報に変換するためのテーブルである。ここで、個人情報は、例えば、民間教育機関により指導を受ける生徒が所属する学校名、学年、クラス、番号、氏名などの個人の属性情報である。匿名情報は、民間教育機関が生徒の各々を識別するための情報であって、当該生徒の個人情報に基づかずに生成された識別情報である。匿名変換テーブル２７のデータ構造については後述する。匿名変換テーブル２７は、テーブル情報の一例である。

共有ファイルＤＢ２８は、第１データＤ１から制御部２３により変換された第２データＤ２のデータベースである。共有ファイルＤＢ２８は、少なくとも専用端末３０Ａにより参照可能となっている。制御部２３は、第１データＤ１を専用端末１０Ａから受信する毎に第２データＤ２を生成し、生成した第２データＤ２を共有ファイルＤＢ２８に登録する。なお、制御部２３は、第２データＤ２毎に、個人情報から匿名情報への変換部分に関する情報を関連付けた状態で、第２データＤ２を共有ファイルＤＢ２８に登録してもよい。上述の個人情報から匿名情報への変換部分に関する情報は、例えば、第２データＤ２から第１データＤ１を復元するための情報である。例えば、このような情報は、第２データＤ２において削除した個人情報に関する表示データと、第２データＤ２において追加した匿名情報に関する表示データとをそれぞれ含んでもよい。

なお、匿名変換テーブル２７及び共有ファイルＤＢ２８の少なくとも一方は、管理サーバ２０とは別体の記憶装置により記憶されてもよい。この場合、上述の記憶装置は、例えば、１又は複数の装置により構成され、管理サーバ２０とネットワーク５を介して接続してもよい。

制御部２３は、ＣＰＵ、ＧＰＵなどのコンピュータにより構成され、管理サーバ２０の各構成要素を制御する。制御部２３は、記憶部１４に記憶されるプログラムに基づき、所定の処理を行う。例えば、制御部２３は、通信部２１が専用端末１０Ａから第１データＤ１を受信した場合に、匿名変換テーブル２７を参照し、受信した第１データＤ１を第２データＤ２に変換する処理などを行う。制御部２３は、本発明における受信手段、生成手段、送信手段及びプログラムを実行するコンピュータの一例である。

図３（Ａ）は、機関端末３０の構成を示すブロック図である。機関端末３０は、通信部３３と、記憶部３４と、入力部３５と、制御部３６と、出力部３７とを備える。なお、これらの構成要素は、バス３９を介して相互に接続されている。

通信部３３は、制御部３６の制御に基づき、管理サーバ２０などの外部装置とデータ通信を行う。記憶部３４は、ＲＡＭ、ＲＯＭなどのメモリにより構成される。記憶部３４には、制御部３６により実行される様々な処理のプログラムが記憶される。制御部３６は、それらのプログラムを実行することにより、機関端末３０の全体を制御する。また、記憶部３４は、制御部３６が様々な処理を実行する際の作業メモリとして機能する。

入力部３５は、学校端末１０に入力される情報を生成する。入力部３５は、例えば、マウス、ボタン、タッチパネル、カメラ、マイクなどの音声入力装置等であってもよく、これらのデバイスに接続するためのインターフェースであってもよい。

出力部３７は、制御部３６の制御に基づき、所定の表示及び音出力を行う。出力部３７は、例えば、ディスプレイ、プロジェクタ、スピーカ、ヘッドホン等であってもよく、これらのデバイスに接続するためのインタ－フェースであってもよい。

制御部３６は、ＣＰＵ、ＧＰＵなどのコンピュータにより構成され、機関端末３０の各構成要素を制御する。制御部３６は、記憶部３４に記憶されるプログラムに基づき、所定の処理を行う。

図３（Ｂ）は、遠隔管理サーバ３１の構成を示すブロック図である。遠隔管理サーバ３１は、通信部４３と、記憶部４４と、制御部４６とを備える。なお、これらの構成要素は、バス４９を介して相互に接続されている。

通信部４３は、制御部４６の制御に基づき、ネットワーク５を通じ、遠隔授業用端末１０Ｂなどの外部装置と通信を行う。

記憶部４４は、ＲＡＭ、ＲＯＭなどのメモリにより構成される。記憶部４４には、制御部４６により実行される様々な処理のプログラムが記憶される。また、記憶部４４は、制御部４６が様々な処理を実行する際の作業メモリとして機能する。また、記憶部４４は、遠隔授業用端末１０ＢをログインＩＤやパスワードなどにより生徒をログイン認証するための認証用情報、及び、遠隔授業用端末１０Ｂに対する認証後の接続先である遠隔指導用端末３０Ｂの通信アドレス情報などを有している。

制御部４６は、ＣＰＵ、ＧＰＵなどのコンピュータにより構成され、遠隔管理サーバ３１の各構成要素を制御する。制御部４６は、記憶部１４に記憶されるプログラムに基づき、所定の処理を行う。例えば、制御部４６は、遠隔授業用端末１０Ｂから遠隔指導用端末３０Ｂに対する接続要求を通信部４３が受信した場合に、遠隔指導用端末３０Ｂが遠隔授業用端末１０Ｂと通信接続を確立するために必要な処理を実行する。

（３）匿名変換テーブル
図４は、匿名変換テーブル２７のデータ構造の一例である。図４に示す匿名変換テーブル２７は、主に、「学校」、「学年」、「クラス」、「番号」、「氏名」、「機関用ＩＤ」の各項目を有する。匿名変換テーブル２７の各レコードは、生徒毎に設けられる。匿名変換テーブル２７において、「学校」、「学年」、「クラス」、「番号」、「氏名」に対応する情報は、個人情報の一例であり、「機関用ＩＤ」は、匿名情報の一例である。

「学校」は、対象の生徒が属する学校の識別情報（ここでは学校名）を示す。「学年」は、対象の生徒が属する学年を示す。「クラス」は、対象の生徒が属するクラスを示し、「番号」は、対象の生徒に割り当てられたクラス番号を示す。「氏名」は、対象の生徒の氏名を示す。

「機関用ＩＤ」は、民間教育機関が各生徒を識別するための識別情報であり、対象の個人情報に基づかずに生成された、生徒毎に固有の情報である。

ここで、機関用ＩＤは、例えば、遠隔授業用端末１０Ｂが遠隔授業に参加するために遠隔管理サーバ３１に接続してログインを行う際に使用するログインＩＤであってもよい。この場合、例えば、匿名変換テーブル２７は、当該ログインＩＤが各生徒の個人情報と紐づけられた状態で予め記憶部２２に記憶されている。

他の例では、機関用ＩＤは、管理サーバ２０により生成される情報であってもよい。この場合、管理サーバ２０は、第１データＤ１を受信する度に、第１データＤ１から個人情報を抽出し、抽出した個人情報が匿名変換テーブル２７に存在しない場合に、抽出した個人情報に対して機関用ＩＤを生成する。この場合、管理サーバ２０は、ランダムな文字列を機関用ＩＤとして生成してもよく、所定の通し番号を機関用ＩＤとして生成してもよい。そして、管理サーバ２０は、生成した機関用ＩＤと対応する個人情報とを関連付けたレコードを、匿名変換テーブル２７に追加する。

（４）匿名化処理
次に、第１データＤ１の個人情報を匿名情報に変換して第２データＤ２を生成する処理（「匿名化処理」とも呼ぶ。）について説明する。概略的には、管理サーバ２０は、第１データＤ１に含まれるテキストを文字認識することで個人情報を抽出し、抽出した個人情報を当該個人情報に対応する機関用ＩＤに書き換えた第２データＤ２を生成する。

ここで、匿名化処理の詳細について、図５~図７を参照して具体的に説明する。

図５は、復習テストの実行後の答案を示す第１データＤ１の表示例である。図５に示す復習テストには、個人情報記入欄５１と、解答記入欄５２とが含まれている。ここで、個人情報記入欄５１は、主に、学年記入欄５１Ａと、クラス記入欄５１Ｂと、番号記入欄５１Ｃと、氏名記入欄５１Ｄとを含んでいる。

管理サーバ２０は、第２データＤ２を受信した場合、第２データＤ２を対応するビューアで表示した際に表示される表示領域から個人情報が記入される領域である個人情報記入欄５１を特定する。

ここで、個人情報記入欄５１の特定方法について補足説明する。第１の例では、管理サーバ２０は、第２データＤ２に個人情報記入欄５１に関するメタデータが付加されている場合、当該メタデータを参照することで、個人情報記入欄５１を特定する。第２の例では、管理サーバ２０は、第１データＤ１のファイルの種別毎に個人情報記入欄５１に相当する個人情報の記入領域を示す情報を予め記憶部２２に記憶しておき、当該情報を参照することで、個人情報記入欄５１を特定する。第３の例では、管理サーバ２０は、ＯＣＲなどの文字認識により「学年」、「番号」、「氏名」などの所定のキーワードを第２データＤ２の表示領域全体から抽出する。そして、管理サーバ２０は、当該キーワードを含む最小の矩形領域と少なくとも辺の一部を共有する最大の矩形枠を、個人情報記入欄５１として特定する。第４の例では、管理サーバ２０は、氏名に関するデータベースを参照し、第２データＤ２の表示領域全体から文字認識により抽出したテキストから、氏名に該当する文字列を抽出し、当該文字列を囲む最小の矩形領域と少なくとも辺の一部を共有する最大の矩形枠を、個人情報が記入される個人情報記入欄５１として特定する。

次に、管理サーバ２０は、個人情報記入欄５１を構成する各記入欄５１Ａ~５１ＤからＯＣＲに基づく文字認識により、個人情報の文字列を抽出し、各文字列が対応する個人情報の種別（学年、クラス、番号、氏名）をそれぞれ認識する。

ここで、個人情報記入欄５１から抽出した各文字列の種別の特定方法について補足説明する。

第１の例では、管理サーバ２０は、抽出した各文字列（１文字も含む）に含まれる文字の種類（漢字、アルファベット、数字等）に基づき、個人情報の種別を特定する。例えば、管理サーバ２０は、文字列に漢字が含まれている場合には氏名を表す文字列であると認識し、文字列がアルファベットである場合にはクラスであると認識する。第２の例では、管理サーバ２０は、個人情報記入欄５１における「学年」、「クラス」、「番号」、「氏名」などの個人情報の種別を表す各文字列を認識し、これらの各文字列を囲む最小の矩形領域に隣接する（右隣となる）矩形領域内の文字列を、それぞれの種別に対応する個人情報を表す文字列として認識する。第３の例では、管理サーバ２０は、記入欄５１Ａ~５１Ｄごとの記入領域を示す情報を、各記入領域に記入される個人情報の種別と関連付けて予め記憶部２２に記憶しておく。そして、管理サーバ２０は、上述の情報を参照することで、記入欄５１Ａ~５１Ｄごとに記入された文字列を抽出し、かつ、抽出した各文字列が該当する個人情報の種別を認識する。

次に、管理サーバ２０は、認識した個人情報が記録された匿名変換テーブル２７のレコードの有無を判定する。そして、管理サーバ２０は、認識した個人情報が記録された匿名変換テーブル２７のレコードが存在する場合、当該レコードに含まれる機関用ＩＤを抽出する。また、管理サーバ２０は、認識した個人情報が記録された匿名変換テーブル２７のレコードが存在しない場合、例えは所定の規則又はランダムにより、機関用ＩＤを生成する。そして、管理サーバ２０は、生成した機関用ＩＤを認識した個人情報と関連付けたレコードを、匿名変換テーブル２７に追加する。

そして、管理サーバ２０は、個人情報が記入される領域である個人情報記入欄５１上の表示を消去し、抽出した機関用ＩＤを代わりに個人情報記入欄５１上に表示するように第１データＤ１を修正した第２データＤ２を生成する。

図６は、図５に示される第１データＤ１に基づき生成された第２データＤ２の表示例である。図６に示すように、第２データＤ２では、個人情報記入欄５１における氏名等の個人情報の表示が消去されており、代わりに機関用ＩＤが個人情報記入欄５１において表示されている。

このように、管理サーバ２０は、第１データＤ１に含まれている個人情報を削除し、かつ、民間教育機関の担当者が個人を特定できない匿名情報である機関用ＩＤが表示されるように第２データＤ２を生成する。言い換えると、第２データＤ２が管理サーバ２０からダウンロードされて機関端末３０により表示された場合であっても、民間教育機関の担当者は、復習テストの実行者である生徒の個人情報を特定できない。これにより、個人情報の開示に関するセキュリティポリシー等が対象の自治体において存在する場合であっても、当該セキュリティポリシー等を好適に順守することができる。このように、本実施形態に係る教育支援システム１００によれば、学校と民間教育機関が各生徒を指導するためのデータを好適に共有しつつ、セキュリティポリシー及びその他の個人情報に関する法令を順守することができる。

なお、管理サーバ２０は、第１データＤ１において表示されていた個人情報記入欄５１内を全て消去する代わりに、少なくとも個人情報を表すストロークのみを消去すればよい。例えば、管理サーバ２０は、学年、クラス、番号、氏名をそれぞれ記入する記入欄５１Ａ~５１Ｄを認識した場合には、これらの記入欄５１Ａ~５１Ｄ内のストロークのみを消去してもよい。また、管理サーバ２０は、機関用ＩＤを個人情報記入欄５１上に表示する代わりに、復習テストの表示領域における左上隅や右上隅など、個人情報記入欄５１以外の任意の場所に表示してもよい。

図７は、第１実施形態において管理サーバ２０が実行する匿名化処理の手順を示すフローチャートである。

まず、管理サーバ２０は、学校端末１０である専用端末１０Ａから第１データＤ１がアップロードされたか（即ち第１データＤ１を受信したか）否か判定する（ステップＳ１１）。そして、管理サーバ２０は、専用端末１０Ａから第１データＤ１を受信した場合（ステップＳ１１；Ｙｅｓ）、ステップＳ１２へ処理を進める。一方、管理サーバ２０は、専用端末１０Ａから第１データＤ１を受信していない場合（ステップＳ１１；Ｎｏ）、引き続きステップＳ１１において専用端末１０Ａから第１データＤ１を受信したか否かの判定を行う。

次に、管理サーバ２０は、個人情報が記入された個人情報記入欄を特定する（ステップＳ１２）。そして、管理サーバ２０は、特定した個人情報記入欄から、ＯＣＲなどの文字認識によりテキストを抽出することで、個人情報を認識する（ステップＳ１３）。

そして、管理サーバ２０は、匿名変換テーブル２７において、ステップＳ１３で認識した個人情報に該当するレコードが存在するか否か判定する（ステップＳ１４）。そして、管理サーバ２０は、ステップＳ１３で認識した個人情報に該当するレコードが匿名変換テーブル２７に存在すると判断した場合（ステップＳ１４；Ｙｅｓ）、匿名変換テーブル２７の該当するレコードから機関用ＩＤを抽出する（ステップＳ１５）。一方、管理サーバ２０は、ステップＳ１３で認識した個人情報に該当するレコードが匿名変換テーブル２７に存在しないと判断した場合（ステップＳ１４；Ｎｏ）、機関用ＩＤを生成し、ステップＳ１３で認識した個人情報と関連付けたレコードを匿名変換テーブル２７に追加する（ステップＳ１６）。

そして、管理サーバ２０は、ステップＳ１５又はステップＳ１６で機関用ＩＤを抽出又は生成後、第１データＤ１の個人情報記入欄に記載された個人情報を機関用ＩＤに書き換えた第２データＤ２を生成する（ステップＳ１７）。そして、管理サーバ２０は、生成した第２データＤ２を共有ファイルＤＢ２８に保存する（ステップＳ１８）。

＜第２実施形態＞
図８は、第２実施形態における教育支援システム１００Ａの構成を示す。第２実施形態における教育支援システム１００Ａでは、専用端末３０Ａにより第２データＤ２を加工したデータである第３データ「Ｄ３」が管理サーバ２０にアップロードされる。この場合、管理サーバ２０は、第３データＤ３の匿名情報を個人情報へ変換したデータである第４データ「Ｄ４」の生成処理（「再変換処理」とも呼ぶ。）を行う。以後において、第１実施形態と同一の構成要素については適宜同一の符号を付し、その説明を省略する。

第２実施形態において、専用端末３０Ａは、管理サーバ２０からダウンロードした第２データＤ２に対して指導者による添削を示すストローク情報などが付加された第３データＤ３を生成する。そして、専用端末３０Ａは、生成した第３データＤ３を管理サーバ２０に送信することでアップロードを行う。

この場合、管理サーバ２０は、アップロードされた第３データＤ３から個人情報記入欄を認識し、当該個人情報記入欄において第１データＤ１と同様に個人情報が表示されるように第３データＤ３を修正した第４データＤ４を生成する。そして、管理サーバ２０は、生成した第４データＤ４を、共有ファイルＤＢ２８に記憶する。そして、管理サーバ２０は、専用端末１０Ａから第４データＤ４の取得要求があった場合に、当該第４データＤ４を専用端末１０Ａに送信する。

図９は、図６に示す復習テストに相当する第２データＤ２に対して民間教育機関の担当者による添削のストローク情報が付加された第３データＤ３の表示例である。図９に示す第４データＤ４には、図６に示す第２データＤ２と比較して、上述のストローク情報に基づく正誤判定のストローク７１及び点数を示すストローク７２の表示が付加されている。

図１０は、図９に示す第３データＤ３に基づき生成された第４データＤ４の表示例である。図１０に示す第４データＤ４では、第２データＤ２の生成時に変更された個人情報記入欄５１が第１データＤ１と同一の表示となっている。

この場合、管理サーバ２０は、第１の例では、個人情報記入欄５１に表示された機関用ＩＤと匿名変換テーブル２７とを参照することで、個人情報記入欄５１に表示すべき個人情報を認識し、個人情報記入欄５１の表示情報を生成する。第２の例では、管理サーバ２０は、共有ファイルＤＢ２８を参照することで、第３データＤ３から個人情報記入欄を第１データＤ１の状態に復元した第４データＤ４を生成する。この場合、共有ファイルＤＢ２８には、第２データＤ２毎に、個人情報記入欄を第１データＤ１の状態に復元するためのデータ（例えば消去したストローク情報等）が関連付けられている。この場合、管理サーバ２０は、例えば、第２データＤ２及び第３データＤ３の各メタデータ（例えばファイルの識別情報）を参照することで、第３データＤ３に対応する第２データＤ２を共有ファイルＤＢ２８から特定する。

図１１は、図７に示す匿名化処理に加えて第２実施形態において管理サーバ２０が実行する再変換処理の手順を示すフローチャートである。

まず、管理サーバ２０は、機関端末３０である専用端末３０Ａから第３データＤ３がアップロードされたか（即ち第３データＤ３を受信したか）否か判定する（ステップＳ２１）。そして、管理サーバ２０は、第３データＤ３を受信した場合（ステップＳ２１；Ｙｅｓ）、ステップＳ２２へ処理を進める。一方、管理サーバ２０は、専用端末３０Ａから第３データＤ３を受信していない場合（ステップＳ２１；Ｎｏ）、引き続きステップＳ２１において専用端末３０Ａから第３データＤ３を受信したか否かの判定を行う。

次に、管理サーバ２０は、第３データＤ３に表示される機関用ＩＤを特定する（ステップＳ２２）。例えば、管理サーバ２０は、第３データＤ３に対してＯＣＲの文字認識を行うことにより、匿名変換テーブル２７に登録されたいずれかの機関用ＩＤを示す文字列の検出を行う。また、好適には、管理サーバ２０は、機関用ＩＤが個人情報記入欄上に表示される場合には、機関用ＩＤを囲む矩形領域を、個人情報記入欄として検出する。なお、管理サーバ２０は、第２データＤ２の生成時に個人情報記入欄の表示位置情報を第２データＤ２と関連付けて共有ファイルＤＢ２８に登録した場合には、当該表示位置情報に基づき個人情報記入欄を検出してもよい。

そして、管理サーバ２０は、ステップＳ２２で特定した機関用ＩＤに対応する個人情報を取得する（ステップＳ２３）。例えば、管理サーバ２０は、匿名変換テーブル２７を参照することで、ステップＳ２２で特定した機関用ＩＤに対応する個人情報を取得する。

次に、管理サーバ２０は、ステップＳ２２で特定した機関用ＩＤをステップＳ２３で取得した個人情報に変換した第４データＤ４を生成する（ステップＳ２４）。この場合、管理サーバ２０は、好適には、ステップＳ２２で特定した機関用ＩＤの表示が消去され、かつ、上述の個人情報が個人情報記入欄上に表示されるように、第３データＤ３を修正した第４データＤ４を生成する。そして、管理サーバ２０は、ステップＳ２４で生成した第４データＤ４を、共有ファイルＤＢ２８に保存する（ステップＳ２５）。

その後、管理サーバ２０は、専用端末１０Ａの要求に基づき、第４データＤ４を専用端末１０Ａに送信する。これにより、第１データＤ１の提供者である生徒等は、専用端末１０Ａ又は遠隔授業用端末１０Ｂ等により、第４データＤ４を閲覧することが可能となる。この場合、対象の生徒等は、添削された復習テストなどの答案を、個人情報が復元された状態で好適に閲覧することができる。

＜変形例＞
次に、上述の第１及び第２実施形態に好適な変形例について説明する。以下に示す変形例は、任意に組み合わせて上述の実施形態に適用されてもよい。

（変形例１）
第１実施形態において、管理サーバ２０は、生成した第２データＤ２を共有ファイルＤＢ２８に記憶する代わりに、第２データＤ２の生成後即時に第２データＤ２を専用端末３０Ａに送信してもよい。この場合、図７のフローチャートのステップＳ１８において、管理サーバ２０は、ステップＳ１７において第２データＤ２の生成後、第２データＤ２を共有ファイルＤＢ２８に記憶することなく、専用端末３０Ａに即時に送信する。

同様に、第２実施形態において、管理サーバ２０は、生成した第４データＤ４を共有ファイルＤＢ２８に記憶する代わりに、第４データＤ４の生成後即時に第４データＤ４を専用端末３０Ａに送信してもよい。この場合、図１１のフローチャートのステップＳ２５において、管理サーバ２０は、ステップＳ２４において第４データＤ４の生成後、第４データＤ４を共有ファイルＤＢ２８に記憶することなく、専用端末１０Ａに即時に送信する。

（変形例２）
図１に示す教育支援システム１００及び図８に示す教育支援システム１００Ａの構成は、一例であり、本発明が適用可能な構成はこれに限定されない。

例えば、管理サーバ２０は、学校に設置された専用端末１０Ａから第１データＤ１を受信する代わりに、生徒の自宅などにおいて生徒が使用する端末から第１データＤ１を受信してもよい。他の例では、専用端末１０Ａと遠隔授業用端末１０Ｂとは同一の端末であってもよい。同様に、専用端末３０Ａと遠隔指導用端末３０Ｂとは同一の端末であってもよい。さらに別の例では、遠隔授業用端末１０Ｂは、遠隔管理サーバ３１を介すことなく遠隔指導用端末３０Ｂに対して接続要求を行い、遠隔指導用端末３０Ｂとの通信を確立することで、遠隔授業用データＤｒの授受を行ってもよい。

５ ネットワーク
１０ 学校端末
１０Ａ 専用端末
１０Ｂ 遠隔授業用端末
２０ 管理サーバ
３０ 機関端末
３０Ａ 専用端末
３０Ｂ 遠隔指導用端末
３１ 遠隔管理サーバ
１００、１００Ａ 教育支援システム

Claims (9)

1. ファイルの種別毎に、個人情報記入欄に相当する個人情報の記入領域を示す情報を予め第１記憶部に記憶する第１記憶手段と、
   前記ファイルに相当する表示データであり、前記個人情報を含む第１データを第１端末から受信する受信手段と、
   前記第１記憶部を参照し、前記第１データにおける個人情報記入欄を特定する特定手段と、
   前記第１データにおける個人情報記入欄上の表示を消去し、前記個人情報に基づかずに生成された匿名情報を代わりに前記個人情報記入欄上に表示する第２データを生成する生成手段と、
   前記第２データを第２端末に送信する送信手段と、
   を有する情報処理装置。
2. 前記生成手段は、前記個人情報と前記匿名情報とを関連付けたテーブル情報を参照することで、前記第２データを生成する、請求項１に記載の情報処理装置。
3. 前記生成手段は、前記テーブル情報に前記個人情報が存在しない場合に、当該個人情報に対して固有の匿名情報を生成し、当該匿名情報を前記個人情報と関連付けて前記テーブル情報に追加する、請求項２に記載の情報処理装置。
4. 前記個人情報は、当該個人情報が指し示す人物が属する学校、学年、組、番号又は前記人物の氏名の少なくともいずれかである、請求項１～３のいずれか一項に記載の情報処理装置。
5. 前記受信手段は、前記第２端末から、前記第２データに基づき生成された第３データを受信し、
   前記生成手段は、前記テーブル情報を参照し、前記第３データにおける個人情報記入欄上に表示された匿名情報を消去し、前記個人情報を代わりに前記個人情報記入欄上に表示する第４データを生成し、
   前記送信手段は、前記第４データを前記第１端末に送信する、請求項２又は３に記載の情報処理装置。
6. 前記生成手段が生成した第２データを、前記第２端末により参照可能となるよう第２記憶部に記憶する第２記憶手段をさらに備え、
   前記送信手段は、前記第２端末からの要求に基づき、前記第２記憶部に記憶された第２データを、前記第２端末へ送信する、請求項１～５のいずれか一項に記載の情報処理装置。
7. 前記第２記憶手段は、前記第２データ毎に、前記個人情報から前記匿名情報への変換部分に関する情報を関連付けて前記第２記憶部に記憶しており、
   前記生成手段は、前記第２記憶部を参照し、前記第３データにおける個人情報記入欄上に表示された前記匿名情報を消去し、前記個人情報を代わりに前記個人情報記入欄上に表示する第４データを生成する、請求項６に記載の情報処理装置。
8. 情報処理装置が実行する制御方法であって、
   ファイルの種別毎に、個人情報記入欄に相当する個人情報の記入領域を示す情報を予め第１記憶部に記憶する第１記憶工程と、
   前記ファイルに相当する表示データであり、前記個人情報を含む第１データを第１端末から受信する受信工程と、
   前記第１記憶部を参照し、前記第１データにおける個人情報記入欄を特定する特定工程と、
   前記第１データにおける個人情報記入欄上の表示を消去し、前記個人情報に基づかずに生成された匿名情報を代わりに前記個人情報記入欄上に表示する第２データを生成する生成工程と、
   前記第２データを第２端末に送信する送信工程と、
   を有する、制御方法。
9. コンピュータが実行するプログラムであって、
   ファイルの種別毎に、個人情報記入欄に相当する個人情報の記入領域を示す情報を予め第１記憶部に記憶する第１記憶手段、
   前記ファイルに相当する表示データであり、前記個人情報を含む第１データを第１端末から受信する受信手段、
   前記第１記憶部を参照し、前記第１データにおける個人情報記入欄を特定する特定手段、
   前記第１データにおける個人情報記入欄上の表示を消去して、前記個人情報に基づかずに生成された匿名情報を代わりに前記個人情報記入欄上に表示する第２データを生成する生成手段、
   前記第２データを第２端末に送信する送信手段、
   として前記コンピュータを機能させるプログラム。

Images