JP5024056B2 - 操作管理システム - Google Patents

Description

本発明は、操作管理システムに関する。

文書管理装置で管理する文書の機密性を確保するために、たとえばその文書に対して操作権限を設定し、操作権限によって可能とする操作を制限する方法や文書を参照する際に特定の部分（語句等）を代替文字に変更したりする方法がある。

また、操作権限によって文書の印刷の操作が許可され、印刷操作によって出力した印刷物を持ち出す場合には、その印刷物の廃棄状態を管理することによって機密性を確保する方法がある。

さらに、以下に示す特許文献１に開示された従来技術では、操作対象となる文書（秘文書）を構成する内容（コンテンツ）に基づいてその文書を操作する際の操作権限を操作者ごとに設定し、その操作者によって操作可能であるかを判定することにより文書の機密性を確保している。特に、操作者の地位や役職によって文書の参照できる範囲を限定し、特定の語句を他の語句に置換することにより機密性を確保している。

しかしながら、従来の方式では、文書管理装置で文書を管理しているときしか、文書の操作権限を管理できない。または、文書管理装置外に持ち出された文書の操作権限が管理できたとしても、文書管理装置で管理している元の文書と同じ操作権限でしか管理出来なかった。すなわち、文書管理装置外に持ち出された場合に操作権限を個別に変更できなかった。
特開２００７−００４４３５公報

本発明は、文書管理装置で管理する文書に参照要求して文書が操作される場合と、文書管理装置から文書が取得された状態で文書が操作される場合とで異なる操作制限情報を適用できるようにした操作管理システムを提供することを目的とする。

上記目的を達成するために、請求項１の発明は、文書を管理する文書管理装置と、前記文書管理装置に対して文書の参照を要求し、前記文書管理装置の管理対象下の文書を参照して操作する第１の操作と、前記文書管理装置に対して文書の取得を要求し、該取得要求によって前記文書管理装置の管理対象外へ持ち出された管理対象外文書を操作する第２の操作とを行なう文書操作装置とを備え、前記文書管理装置は、前記文書操作装置により前記文書が取得要求された際に、該取得要求された文書が前記取得要求によって前記文書操作装置へ持ち出されて該文書管理装置の管理対象外の文書となり、該文書管理装置と前記文書操作装置間が通信できないオフライン状態となったときの該文書操作装置の利用者による前記管理対象外の文書に対する前記第２の操作を制限する操作制限情報であって、該管理対象外の文書が前記文書管理装置の管理対象下にあるときの当該文書に対する前記第１の操作を制限する前記第１の操作制限情報とは操作制限内容が異なる第２の操作制限情報を作成する操作制限情報作成手段と、前記文書操作装置が前記文書管理装置に参照要求して操作する前記管理対象下の文書の該文書操作装置の利用者による前記第１の操作を制限する第１の操作制限情報と、前記操作制限情報作成手段により作成された前記第２の操作制限情報とを管理する操作制限情報管理手段と、前記文書操作装置からの前記文書取得要求に基づき、該取得要求された前記文書管理装置の管理対象外となる文書を当該文書に対応して前記操作制限情報管理手段により管理される前記第２の操作制限情報とともに前記文書操作装置に発行する発行手段とを具備し、前記文書操作装置は、前記文書の取得要求に対して前記発行手段により発行される前記文書管理装置から持ち出した前記管理対象外の文書を、前記オフライン状態で操作する場合は、前記発行手段により該文書に対応して発行された前記第２の操作制限情報に基づき当該文書の操作制限を行う操作制限手段を具備する。

また、請求項２の発明は、請求項１の発明において、前記操作制限情報作成手段は、前記文書操作装置から取得要求された前記文書に対応して前記操作制限情報管理手段により管理される前記第１の操作制限情報に基づき前記第２の操作制限情報を作成する。

また、請求項３の発明は、請求項１の発明において、前記操作制限情報作成手段は、前記文書操作装置から取得要求された前記文書の属性情報と、該文書に対応して前記操作制限情報管理手段により管理される前記第１の操作制限情報との組合せに基づき前記第２の操作制限情報を作成する。

本発明の請求項１によれば、文書管理装置による管理対象下から管理対象外へと移動した文書について、文書管理装置と文書操作装置間が通信できないオフライン状態となったときには、該管理対象外の文書が文書管理装置の管理対象下にあるときの当該文書の第１の操作制限情報とは操作制限内容が異なる第２の操作制限情報を適用することで適切に操作制限できる。
また、文書が取得されるタイミングで操作制限情報を作成するため、余分な操作制限情報を保持しておく必要がなくなるという効果を奏する。

また、請求項２によれば、文書管理装置内の文書に参照要求がなされて文書操作が行われる場合に適用される操作制限情報に基づいて、文書が取得されて文書操作が行われる場合に適用される操作制限情報が作成されるため、操作制限情報間での乖離がなくなるとい効果を奏する。

また、請求項３によれば、文書に設定された属性情報と文書管理装置内の文書に参照要求がなされて文書操作が行われる場合に適用される操作制限情報との組合せに基づいて、文書が取得されて文書操作が行われる場合に適用される操作制限情報が作成されるため、きめ細かな操作制限が可能になるという効果を奏する。

以下、本発明に係わる操作管理システムおよびプログラムの一実施例を添付図面を参照して詳細に説明する。

図１は、本発明の実施の形態における操作管理システムのシステム構成を示す図である。

図１において、操作管理システムは、文書管理システム１００、アクセスチケット管理装置２００、クライアントＰＣ３００を具備し、文書管理システム１００は文書管理装置１０１、データベース１０２を具備して構成する。

文書管理装置１０１では、操作対象の文書ごとに、当該文書に対する各ユーザの操作を制限する操作制限情報を管理しており、この文書管理装置１０１が管理する操作制限情報により許可された文書操作を、クライアントＰＣ３００を用いて行うことが可能となる。

文書管理装置１０１が管理する操作制限情報によって操作が制限される文書は、データベース１０２に登録されており、クライアントＰＣ３００が当該文書を操作する場合にはクライアントＰＣ３００から文書管理装置１０１に対して操作要求を行う。

例えば、文書管理装置１０１で管理されている文書をクライアントＰＣ３００で参照しようとすると、文書管理装置１０１が管理する文書管理装置内に文書がある場合の操作制限情報を基に、参照要求したユーザに文書の参照を許すか否かを決定する。

一方、文書管理装置１０１の外に持ち出された文書の操作制限は、文書がダウンロードされるときに、文書を暗号化し、その文書のＩＤと共に、持ち出された文書の操作制限情報をアクセスチケット管理装置に伝える。この場合の、持ち出された文書の操作制限情報は、文書管理装置１０１内で、文書管理装置１０１が管理する文書管理装置内に文書がある場合の操作制限情報とは別に持ち出された文書に対する操作制限情報を基に決定される。

本操作管理システムは、文書管理装置１０１によって管理される文書が参照されて操作される場合と、ダウンロード等により文書管理装置から取得、すなわち持ち出されて操作される場合とで、異なる操作制限情報による操作制限を行えるようにしたシステムである。

以降では、前者の場合に適用される操作制限情報を「第１の操作制限情報」、後者の場合に適用される操作制限情報を「第２の操作制限情報」と示す。なお、特に区別する必要が無い場合は「操作制限情報」と示す。

また、文書管理装置内で文書が管理されている状態を「管理対象下」、文書管理装置から文書がダウンロード等により持ち出されている状態を「管理対象外」と示す。

文書管理装置１０１が管理する操作制限情報によって操作が制限される文書は、データベース１０２に登録されており、クライアントＰＣ３００が当該文書を操作する場合にはクライアントＰＣ３００から文書管理装置１０１に対して文書の参照要求またはダウンロード要求（取得要求）を行う。参照要求が行われて文書が操作される場合は、第１の操作制限情報により許可された文書操作を行うことが可能となるが、この構成に関しては、従来と同様であるため、詳細は省略する。

文書管理装置１０１では、ダウンロード要求された文書をデータベース１０２から検索し、その文書に対する第２の操作制限情報を生成して登録する。この第２の操作制限情報の操作制限として、その文書をカプセル化するための情報が指定されており、例えば、暗号鍵が指定されている。この暗号鍵を用いて暗号化アルゴリズムを適用してその文書を暗号化することによりカプセル化文書を作成する。

そして、作成したカプセル化文書をダウンロード要求元のクライアントＰＣ３００へ送信する。

このとき、文書管理装置１０１は、操作対象の文書の文書情報とその文書に適用する操作制限情報とをアクセスチケット管理装置２００へ送信する。これらの情報を受信したアクセスチケット管理装置２００は、文書情報に対して第２の操作制限情報を対応付けて管理する。

カプセル化文書をダウンロードしたクライアントＰＣ３００では、続いて、アクセスチケット管理装置２００に対して当該カプセル化文書を操作する際に必要となる情報を含むアクセスチケットを要求する。

アクセスチケット管理装置２００は、クライアントＰＣ３００からのアクセスチケット要求に基づいてアクセスチケットを生成する。このアクセスチケットの要求にはクライアントＰＣ３００で操作対象となるカプセル化文書が指定されており、アクセスチケット管理装置２００では、登録されている第２の操作制限情報を用いてアクセスチケットを作成する。

アクセスチケットは、例えば図５に示すようなものであり、カプセル化文書を復号する復号鍵と、その復号鍵を用いて復号した文書を管理対象外で操作する際の第２の操作制限情報とが含まれる。

アクセスチケット管理装置２００では、作成したアクセスチケットを要求元のクライアントＰＣ３００へ送信してクライアントＰＣ３００がそのアクセスチケットを記憶する。

クライアントＰＣ３００では、ダウンロードしたカプセル化文書を受信したアクセスチケットに含まれる復号鍵で復号し、そのアクセスチケットの第２の操作制限情報により許可される操作を行う。

なお、図１の構成として文書管理システム１００、アクセスチケット管理装置２００、クライアントＰＣ３００を具備した構成であるが、これに限定されることなくアクセスチケット管理装置２００の機能を文書管理システム１００の文書管理装置１０１に持たせるような構成であってもよい。また、文書管理装置１００やアクセスチケット管理装置２００が複数存在するような構成であってもよい。

図２は、本発明の実施の形態における操作制限管理システムの機能構成を示すブロック図である。

図２において、操作制限管理システムは、文書管理部１０、操作制限情報管理部１１、操作制限登録部１２、文書蓄積部１３、暗号化処理部１４、認証処理部１５、アクセスチケット発行部２１、操作制限情報管理部２２、文書処理部３１、文書操作部３２、表示部３３、操作部３４、復号部３５、情報記憶部３６を具備して構成される。

図１に示すシステム構成では、文書管理システム１００で文書管理部１０、操作制限情報管理部１１、操作制限登録部１２、文書蓄積部１３、暗号化処理部１４、認証処理部１５の各機能を実現し、アクセスチケット管理装置２００でアクセスチケット発行部２１、操作制限情報管理部２２の各機能を実現し、クライアントＰＣ３００で文書処理部３１、文書操作部３２、表示部３３、操作部３４、復号部３５、情報記憶部３６の各機能を実現した例を示している。

もちろん、これに限定されることはなく、アクセスチケット管理装置２００での機能全てを文書管理システム１００の文書管理装置１０１で実現するような構成であってもよい。

クライアントＰＣ３００を用いて文書を操作するユーザを、認証装置（図示せず）により認証して、認証した認証情報（以下、「ユーザ認証情報」という）が情報記憶部３６に記憶された状態で、当該ユーザが文書操作部３２を用いて文書の操作要求を指示すると、文書処理部３１へとその操作要求が転送される。なお、ユーザを認証すること自体は、本発明において必須の構成ではなく、クライアントＰＣ３００を用いるユーザを文書管理システム１００やアクセスチケット管理装置２００で識別できるような構成になっていればよいが、本実施例では一例としてユーザ認証を行う構成を示す。

この文書操作部３２は、表示ディスプレイなどにより構成される表示部３３、キーボードやポインティングデバイスなどにより構成される操作部３４から構成され、表示部３３、操作部３４を用いて操作対象である文書を指定してその文書の参照、編集などの操作を行う。

また、この文書操作部３２から文書蓄積部１３で蓄積する文書の文書処理部３１で要求元のユーザを識別する情報やユーザ認証した認証情報等を含むダウンロード要求を文書管理部１０に対して行う。

文書管理部１０は、データベースなどによって構成される文書蓄積部１３で蓄積する文書を管理する。この文書管理部１０では文書処理部３１からのダウンロード要求された文書に対する操作制限情報を生成し、操作制限情報管理部１１に登録する。

また、ダウンロード要求を行ったユーザが認証された認証情報の正当性を確認するために認証処理部１５へと確認要求を行う。この認証処理部１５は第三者の認証機関などにより発行された署名を確認することにより認証情報を確認して文書管理部１０へ応答する。

認証処理部１５によりユーザの認証情報が確認されている場合には、暗号化処理部１４にその文書の暗号化処理要求を行う。

暗号化処理部１４では文書を暗号化することによりカプセル化文書を作成する。これにより、文書管理部１０は要求元の文書処理部３１へカプセル化文書を転送する。また、同時に文書管理部１０では生成した第２の操作制限情報とその文書を識別する文書識別情報との対応関係をアクセスチケット発行部２１へと送信する。

アクセスチケット発行部２１では、受信した対応関係を操作制限情報管理部２２へと登録する。これにより、操作制限情報管理部２２では文書に対する操作制限情報を管理する。

カプセル化文書を受信した文書処理部３１では、続いてカプセル化文書を操作するためにアクセスチケット発行部２１にアクセスチケットの発行要求を行う。これを受信したアクセスチケット発行部２１では操作制限情報管理部２２で管理する第２の操作制限情報と文書識別情報の対応関係よりアクセスチケットの発行が可能であるかを判断する。このとき発行するアクセスチケットは予め指定されたアクセスチケットを発行するほか、予め指定されたそのアクセスチケット作成元情報を用いてアクセスチケットを作成して発行するような構成であってもよい。

この場合の作成元情報を用いてアクセスチケットを作成する例を図９、図１０を用いて以下で説明する。

アクセスチケットには、カプセル化された状態の文書を平文へ復号する復号鍵、平文の文書に対して操作制限を行う第２の操作制限情報が含まれ、これらを含むアクセスチケットを文書処理部３１へと送信する。

アクセスチケットを受信した文書処理部３１では、そのアクセスチケットを情報記憶部３６へと記憶する。

そして、文書操作部３２からの操作指示によりカプセル化文書の操作指示が行われると、文書処理部３１では、情報記憶部３６に記憶されたアクセスチケットの情報を用いて復号部３５に復号要求を行う。復号部３５がアクセスチケットに含まれる復号鍵を用いて復号すると、文書処理部３１がアクセスチケットに含まれる第２の操作制限情報に基づいて操作制限を行う。

図３は、本発明の実施の形態における操作制限管理システムの概要構成を示す図である。

図３には、文書管理システム１００、アクセスチケット管理装置２００、クライアントＰＣ３００を示しており、さらに文書管理システム１００として暗号化処理部１４を示し、他のクライアントＰＣの例としてクライアントＰＣ＿２（３０１）を示している。

以下で、これらの構成における文書の状態遷移を示す。

ユーザＡがクライアントＰＣ３００を用いて文書管理システム１００が管理する文書の操作を行う場合において、まず、文書の操作者であるユーザＡを文書管理システム１００の認証機能によって認証する。この認証処理においては別途、認証サーバ（図示せず）を設け、その認証サーバとクライアントＰＣ３００との通信によってユーザＡを認証するような構成であってもよい。

このようにしてクライアントＰＣ３００の操作者がユーザＡであることが認証された状態で、クライアントＰＣ３００から文書管理システム１００に対して所定の文書（文書の一例として「文書Ａ」）のダウンロード要求（取得要求）が行われると、文書を管理する文書管理システム１００では、ダウンロード要求された文書を検索して合致する文書（文書Ａ）のカプセル化要求を、暗号化処理部１４へと要求する。

なお、図１または図２に示す構成では、暗号化処理部１４を文書管理システム１００の一部として構成している。

カプセル化要求を受信した暗号化処理部１４では、所定の暗号化アルゴリズムを用いて文書Ａを暗号化し、この暗号化処理を行って暗号化された文書（「カプセル化文書Ａ」）を要求元の文書管理システム１００に送信するとともに、暗号化処理を行った文書Ａの文書情報と第２の操作制限情報との対応をアクセスチケット管理装置２００へ登録する。

このアクセスチケット管理装置２００へ登録する第２の操作制限情報は、暗号化された文書を復号し、カプセル化文書の操作の可否を決定するための情報である。その情報として、アクセスチケット管理装置２００では、暗号化されたカプセル化文書を復号する復号鍵、クライアントＰＣ３００を利用するユーザＡによる操作を制限する第２の操作制限情報が含まれる。

次に、カプセル化文書を暗号化処理部１４から受信した文書管理システム１００では、このカプセル化文書Ａをダウンロード要求元のクライアントＰＣ３００へ送信する。

これにより、クライアントＰＣ３００では、ダウンロード要求した文書を取得した状態となる。

また、文書管理システム１００からダウンロードしたカプセル化文書Ａを操作可能とするために、クライアントＰＣ３００は、アクセスチケット管理装置２００にアクセスチケット（以下、単に「チケット」ともいう）の発行要求を行う。

クライアントＰＣ３００からチケットの発行要求を受信したアクセスチケット管理装置２００では、暗号化処理部１４により登録された文書と操作制限情報の対応から、発行要求元のクライアントＰＣ３００を操作するユーザ（ユーザＡ）に対してその文書の操作制限の情報およびカプセル化された文書を復号する復号鍵を含むチケットを生成して、要求元のクライアントＰＣ３００にそのチケットを送信する。

これにより、ユーザＡは文書管理システム１００からクライアントＰＣ３００に文書をダウンロードして操作する場合において、カプセル化文書Ａを、そのチケットにより示される許可された範囲内の操作が可能となる。例えば、参照操作と編集操作が許可されている場合には、文書の参照・編集を行うことができる。結果として、ユーザＡが文書管理システム内の文書に参照要求を行って文書を操作する場合に適用される操作制限情報（第１の操作制限情報）とは、同じ文書でも異なる操作制限情報（第２の操作制限情報）を適用することが可能となる。

以下で、クライアントＰＣ３００がチケットを受信した状態で、カプセル化文書をユーザＡが操作するクライアントＰＣ３００からユーザＢが操作するクライアントＰＣ＿２（３０１）へと電子メール機能やファイル転送機能などを用いて送信した場合を考える。

この場合、クライアントＰＣ＿２（３０１）はクライアントＰＣ３００と同様に、アクセスチケット管理装置２００にチケットの発行要求を行う。

このとき、アクセスチケット管理装置２００は、暗号化処理部１４により登録された文書と操作制限情報との対応から、発行するチケットを生成するために必要な復号鍵や操作制限情報などの情報を検索する。しかしながら、この場合、アクセスチケット管理部２００は暗号化処理部１４によりこれらの情報が登録されていないと判断した場合は、チケットを発行しない。

これによって、ユーザＢが操作するクライアントＰＣ＿２（３０１）ではカプセル化文書を復号することができず、また操作制限によって操作することが拒否される。

発行するチケットを生成するために必要な復号鍵や操作制限情報などの情報が登録されている場合は、ユーザＢに対応する権利情報を基にして作成したチケットを発行する。

クライアントＰＣ３００がノートＰＣなどのモバイル端末によって実現され、アクセスチケット管理装置と通信できないオフライン状態となった場合には、アクセスチケット管理装置２００から取得したチケットに示される操作制限情報に基づいて操作を行う。

図４は、本発明の実施の形態における操作管理システムの状態遷移を示すシーケンス図である。

図４では、図１に示すシステム構成における状態遷移を示しており、クライアントＰＣを操作するユーザＡが認証された状態で、クライアントＰＣから文書管理システムで管理する文書（文書Ａ）のダウンロード要求を行うと処理が開始される（４０１）。

この文書のダウンロード要求には、操作対象となる「文書Ａ」を指定する情報のほか、認証したユーザのユーザ情報が含まれており、このダウンロード要求を受信した文書管理システムでは、管理する文書から該当する文書Ａを検索し、その文書Ａと操作制限情報との対応をアクセスチケット管理装置へ転送する（４０２）。

文書管理システムでは、予め文書に対する操作制限などを規定した操作制限情報が記憶されており、検索した文書Ａとその文書Ａに対応する操作制限情報をアクセスチケット管理装置に転送する。また、第２の操作制限情報に関しては、ダウンロード要求があった際に、既に規定されている第１の操作制限情報を基に生成してもよいし、文書の属性を基に生成してもよい。例えば、既に規定されている第１の操作制限情報を基に生成する場合、第１の操作制限情報により許可される操作が「印刷、閲覧」であった場合、第２の操作制限情報により許可される操作を、より制限するために「閲覧」のみとしてもよい。

また、例えば文書の属性を基に生成する場合、文書の種別、文書の機密度、文書の状態等を基に生成すればよい。文書の種別としては、「契約書」、「設計書」等が、文書機密度としては「社外秘」、「厳秘」等が、文書の状態としては、「作成中」、「承認済」等がある。これらの要素から適宜生成すればよいことになる。また、これらに加えてダウンロード要求を行ったユーザの役職や役割を考慮して生成するようにしてもよい。

文書Ａと第２の操作制限情報とを受信したアクセスチケット管理装置では、これらの情報を登録する（４０３）。

そして、文書管理システムでは、ダウンロード要求によって検索した文書Ａを所定の暗号化アルゴリズムに基づいて暗号化し、カプセル化文書を生成する（４０４）。そして、生成したカプセル化文書を要求元のクライアントＰＣへと送信する（４０５）。

続いて、ダウンロード要求した文書である文書Ａを受信したクライアントＰＣでは、その文書Ａを操作するために必要となるアクセスチケット（チケット）の発行要求をアクセスチケット管理装置に行う。アクセスチケット管理装置では、発行要求で指定されている文書Ａに対するアクセスチケットを生成する（４０７）。

このアクセスチケットの生成処理では、文書管理システムにより登録された文書Ａとその文書Ａに対応する第２の操作制限情報を元に、暗号化された文書を復号する復号鍵および第２の操作制限情報を含むチケットを生成する。もちろん、予め作成したアクセスチケットを用いるような構成であってもよい。

アクセスチケットを生成すると、アクセスチケット管理装置は、生成したそのアクセスチケットを発行要求元のクライアントＰＣへ送信する（４０８）。

アクセスチケットを受信したクライアントＰＣでは、アクセスチケットに含まれる復号鍵を用いてカプセル化文書を復号し（４０９）、復号した状態の文書Ａを、同じく第２の操作制限情報に基づいて操作する（４１０）。

なお、アクセスチケットがアクセスチケット管理装置から発行され、そのアクセスチケットに基づいて操作対象の文書Ａを操作するように構成しているが、これに限定されることなく、操作対象の文書Ａを文書管理システムからダウンロードし、さらにチケットを受信して記憶した状態のクライアントＰＣが、文書管理システムと通信できないオフライン状態へと移行した状態となった場合にのみ、チケットに含まれる第２の操作制限情報で制限される操作を行うように構成してもよい。

すなわち、文書を操作するクライアントＰＣが文書管理システムと相互通信可能な状態にある場合には、その文書管理システムが管理する第１の操作制限情報に基づいて文書操作を行うようにしてもよい。

図５は、本願発明の実施の形態における操作管理システムで用いるアクセスチケットの一例を示す図である。

図５に示すアクセスチケットは、少なくとも、暗号化された文書を復号する復号鍵および第２の操作制限情報を含み、図１に示すアクセスチケット管理装置２００が生成して発行する。

アクセスチケットは、アクセスチケット管理装置で管理している文書管理システムから受信した文書情報と第２の操作制限情報の対応から生成される情報であって、文書を操作するクライアントＰＣが文書管理システムからダウンロードした文書を操作する際に参照される情報である。

図５に示すアクセスチケットには、復号鍵の一例として「af328eaabcc」が示され、また、オフライン状態で操作制限する操作制限情報が含まれている。

図６は、本発明の実施の形態における操作管理システムのクライアントＰＣでの処理の流れを示すフローチャートである。

図６において、文書管理装置が管理する文書のダウンロード要求を行ってカプセル化文書をダウンロードすると処理が開始され、クライアントＰＣがそのカプセル化文書を操作するに際に、アクセスチケットの発行要求をアクセスチケット管理装置へ要求する（６０１）。

アクセスチケット管理装置からチケットを受信すると、そのアクセスチケットを用いて文書を復号する（６０２）。

そして、アクセスチケットに含まれる操作制限情報に基づいて復号した文書を操作する（６０３）。

図７は、本発明の実施の形態における操作管理システムの管理対象下で文書を操作する際の制限情報を示すテーブル構成図である。

すなわち、図１の構成においてクライアントＰＣ３００が文書管理装置１０１内の文書を参照要求して操作を行う際の文書の操作を制限する情報であり、本発明における第１の操作制限情報を含むものである。

図７において、図７（ａ）は、文書に対する操作制限情報および復号情報とを示し、[文書ＩＤ]項目７０１、[アクセス権ＩＤ]項目７０２、[復号情報]項目７０３から構成される。操作対象の文書を識別する情報を[文書ＩＤ]項目７０１に示し、この[文書ＩＤ]項目７０１に示される識別情報の文書を操作制限する操作制限情報の識別情報を[アクセス権ＩＤ]項目７０２に示し、[文書ＩＤ]項目７０１に示される識別情報の文書を復号する復号鍵を[復号情報]項目７０３に示している。

図７（ｂ）は、図７（ａ）の[アクセス権ＩＤ]項目７０２に示す操作制限情報の識別情報に対する操作制限の内容および対象ユーザを示す情報である。

[アクセス権ＩＤ]項目７０２、[対象ユーザ]項目７０４、[管理対象下でのアクセス権]項目７０５から構成され、[アクセス権ＩＤ]項目７０２に示す操作制限情報の識別情報に対して、文書を操作するユーザを示す[対象ユーザ]項目７０４、文書に対して可能な操作を示す[管理対象下でのアクセス権]項目７０５とから構成される。

例えば、図７（ａ）に示すように、[文書ＩＤ]項目７０１が「doc101」であり、[アクセス権ＩＤ]項目７０２が「ID901」であり、[復号情報]項目７０３が「af328eaabcc」である項目においては、識別情報「doc101」によって識別される文書に対して設定されたアクセス権が「ID901」で識別され、暗号化された状態にある文書を「af328eaabcc」の復号鍵を用いて復号することによって操作可能であることを示す。

そして、このアクセス権「ID901」で識別される操作制限の内容が、図７（ｂ）の[対象ユーザ]項目７０４で示されるユーザに対して[管理対象下でのアクセス権]項目７０５に示され、「ユーザＡ」は「差し止め、参照、印刷、編集、属性変更、属性参照」の各操作が可能であることを示している。

図８は、本発明の実施の形態における操作管理システムで管理対象外となった文書を管理する情報を示すテーブル構成図である。

図８に示すテーブルは、[管理外文書ＩＤ]項目８０１、[元文書ＩＤ]項目８０２、[管理外となった日]項目８０３、[管理外アクセス権ＩＤ]項目８０４、[復号情報]項目８０５を具備して構成される。

[管理外文書ＩＤ]項目８０１は、クライアントＰＣが文書管理装置からダウンロードした文書を識別する情報であって、文書管理装置による管理対象外となった文書を識別する。[元文書ＩＤ]項目８０２は、文書管理装置で管理した状態における文書の識別情報である。

[管理外となった日]項目８０３は、管理外となることにより[管理外文書ＩＤ]項目８０１に示す管理外文書ＩＤが採番された日付である。[管理外アクセス権ＩＤ]項目８０４は、管理外となった状態で適用する操作制限情報の識別情報である。[復号情報]項目８は、カプセル化文書を復号するための復号鍵を示す情報である。

例えば、[管理外文書ＩＤ]項目８０１が「excp001」であり、[元文書ＩＤ]項目８０２が「doc101」であり、[管理外となった日]項目８０３が「2007/03/10」であり、[管理外アクセス権ＩＤ]項目８０４が「acc001」であり、[復号情報]項目８０５が「af328eaabcc」である場合について説明する。

この場合、文書管理装置による管理外となることにより採番された管理外文書ＩＤが「excp001」であって、この識別情報によって識別される文書が「2007/03/10」に管理外となったことを示し、この管理外文書ＩＤ「excp001」で示される文書は、文書管理装置の管理下では、元文書ＩＤ「doc101」によって管理していることを示す。また、管理外文書ＩＤ「excp001」の文書には、管理外アクセス権ＩＤ「acc001」で示される操作制限情報が適用されることを示し、また復号情報「af328eaabcc」によって復号することを示す。

図９は、本発明の実施の形態における操作管理システムで管理対象外となった文書を操作制限する操作制限情報、すなわち本発明における第２の操作制限情報の一例を示す図である。

図９（ａ）、図９（ｂ）は、管理対象外の状態でクライアントＰＣが文書を操作する場合に参照する操作制限情報の一例であって、これらの操作制限情報は、図１０に示す情報を用いて作成した操作制限情報の一例である。すなわち、図１０は、図９に示す操作制限情報を作成する元となる作成元情報を示す。

もちろん、図９のような操作制限情報を予め記憶しておくような構成であってもよい。

図９（ａ）は、図１０（ａ）に示す作成元情報を用いて作成した管理対象外の操作制限情報であって、図９（ｂ）は、図１０（ｂ）に示す作成元情報を用いて作成した管理対象外の操作制限情報である。図９（ａ）、図９（ｂ）は、[管理外アクセス権ＩＤ]項目９０１、[対象ユーザ]項目９０２、[管理対象外でのアクセス権]項目９０３から構成される。

[管理外アクセス権ＩＤ]項目９０１は、管理対象外における操作制限情報を識別する識別情報であって、図８の[管理外アクセス権ＩＤ]項目８０４に示される識別情報と対応する項目である。

[対象ユーザ]項目９０２は、管理対象外における操作制限情報を適用するユーザを示し、[管理対象外でのアクセス権]項目９０３は、文書を制限する制限情報である。

ここで、図１０について説明する。

図１０は、図９に示す管理対象外での操作制限情報を作成する元となる作成元情報であって、この作成元情報は、図７（ｂ）に示すような管理対象下における操作制限情報を、どのように変更することによって管理対象外での操作制限情報とするかを指定した情報である。

図１０（ａ）では、３つの作成元情報を示しており、例えば、[作成元情報ＩＤ]項目１００１が「Ａ００１」である作成元情報は、管理対象下における操作制限情報から[内容]項目１００２に示す「印刷権を剥奪」することによって作成されるものであることを示している。

これによって作成された管理対象外での操作制限情報を図９（ａ）に示す。

図１０（ｂ）では、４つの作成元情報を示しており、操作対象となる文書の属性に基づいて作成元情報が指定されている。

例えば、[作成元情報ＩＤ]項目１００３が「Ｂ０４」である作成元情報は、[属性]項目１００４に示す文書に設定された属性の機密属性が「社内公開」であり状態属性が「保管」である文書を管理対象外で操作する際の操作制限情報を[内容]項目１００７に示し、「管理者に削除権と参照権を付与し、他のユーザは無効」であることを示す。

これによって作成された管理対象外での操作制限情報を図９（ｂ）に示す。

すなわち、図９（ａ）は、図１０（ａ）で「印刷権を剥奪」するという作成元情報によって作成された管理対象外における文書の操作制限情報である。この図９（ａ）では全ての操作制限情報から印刷権が剥奪された状態を示している。

また、図９（ｂ）は、図１０（ｂ）で「管理者に削除権と参照権を付与し、他のユーザは無効」とするという作成元情報によって作成された管理対象外における文書の操作制限情報である。この図９（ｂ）では管理者権限を有する「ユーザＡ」と「ユーザＣ」は文書の「削除、参照」を可能とし、他のユーザやグループは全ての操作が「無効」となっている。

このようにして、文書管理装置による管理対象下から管理対象外へと移動した場合においても適切に操作制限できる。

なお、本発明は、通信機能を備えた操作管理システムで上述の動作を実行させ、あるいは上述の手段を構成させるためのプログラムを格納した記録媒体（ＣＤ−ＲＯＭ、ＤＶＤ−ＲＯＭ等）から該プログラムをコンピュータにインストールし、これを実行させることにより、上述の処理を実行する操作管理システムを構成することも可能である。操作管理システムを構成するコンピュータは、システムバスを介してＣＰＵ（Central Processor Unit）、ＲＯＭ（Read Only Memory）、ＲＡＭ（Random Access Memory）、ハードディスクが接続されている。ＣＰＵは、ＲＯＭまたはハードディスクに記憶されているプログラムに従い、ＲＡＭを作業領域にして処理を行う。

また、プログラムを供給するための媒体は、通信媒体（通信回線、通信システムのように一時的または流動的にプログラムを保持する媒体）でもよい。例えば、通信ネットワークの電子掲示板（ＢＢＳ：Bulletin Board Service）に該プログラムを掲示し、これを通信回線を介して配信するようにしてもよい。

本発明は、上記し、且つ図面に示す実施例に限定することなく、その要旨を変更しない範囲内で適宜変形して実施できるものである。

本発明の実施の形態における操作管理システムのシステム構成を示す図。 本発明の実施の形態における操作管理システムの機能構成を示すブロック図。 本発明の実施の形態における操作管理システムの概要構成を示す図。 本発明の実施の形態における操作管理システムの状態遷移を示すシーケンス図。 アクセスチケットの一例を示す図。 本発明の実施の形態における操作管理システムのクライアントＰＣでの処理の流れを示すフローチャート。 本発明の実施の形態における操作管理システムの管理対象下で文書を操作する際の制限情報を示すテーブル構成図。 本発明の実施の形態における操作管理システムで管理対象外となった文書を管理する情報を示すテーブル構成図。 本発明の実施の形態における操作管理システムで管理対象外となった文書を操作制限する操作制限情報の一例を示す図。 図９に示す管理対象外での操作制限情報を作成する元となる作成元情報を示す図。

符号の説明

１０ 文書管理部
１１ 操作制限情報管理部
１２ 操作制限登録部
１３ 文書蓄積部
１４ 暗号化処理部
１５ 認証処理部
２１ アクセスチケット発行部
２２ 操作制限情報管理部
３１ 文書処理部
３２ 文書操作部
３３ 表示部
３４ 操作部
３５ 復号部
３６ 情報記憶部
１００ 文書管理システム
１０１ 文書管理装置
１０２ データベース
２００ アクセスチケット管理装置
３００ クライアントＰＣ

Claims (3)

1. 文書を管理する文書管理装置と、
   前記文書管理装置に対して文書の参照を要求し、前記文書管理装置の管理対象下の文書を参照して操作する第１の操作と、前記文書管理装置に対して文書の取得を要求し、該取得要求によって前記文書管理装置の管理対象外へ持ち出された管理対象外文書を操作する第２の操作とを行なう文書操作装置と
   を備え、
   前記文書管理装置は、
   前記文書操作装置により前記文書が取得要求された際に、該取得要求された文書が前記取得要求によって前記文書操作装置へ持ち出されて該文書管理装置の管理対象外の文書となり、該文書管理装置と前記文書操作装置間が通信できないオフライン状態となったときの該文書操作装置の利用者による前記管理対象外の文書に対する前記第２の操作を制限する操作制限情報であって、該管理対象外の文書が前記文書管理装置の管理対象下にあるときの当該文書に対する前記第１の操作を制限する前記第１の操作制限情報とは操作制限内容が異なる第２の操作制限情報を作成する操作制限情報作成手段と、
   前記文書操作装置が前記文書管理装置に参照要求して操作する前記管理対象下の文書の該文書操作装置の利用者による前記第１の操作を制限する第１の操作制限情報と、前記操作制限情報作成手段により作成された前記第２の操作制限情報とを管理する操作制限情報管理手段と、
   前記文書操作装置からの前記文書取得要求に基づき、該取得要求された前記文書管理装置の管理対象外となる文書を当該文書に対応して前記操作制限情報管理手段により管理される前記第２の操作制限情報とともに前記文書操作装置に発行する発行手段と
   を具備し、
   前記文書操作装置は、
   前記文書の取得要求に対して前記発行手段により発行される前記文書管理装置から持ち出した前記管理対象外の文書を、前記オフライン状態で操作する場合は、前記発行手段により該文書に対応して発行された前記第２の操作制限情報に基づき当該文書の操作制限を行う操作制限手段
   を具備する操作管理システム。
2. 前記操作制限情報作成手段は、
   前記文書操作装置から取得要求された前記文書に対応して前記操作制限情報管理手段により管理される前記第１の操作制限情報に基づき前記第２の操作制限情報を作成する請求項１記載の操作管理システム。
3. 前記操作制限情報作成手段は、
   前記文書操作装置から取得要求された前記文書の属性情報と、該文書に対応して前記操作制限情報管理手段により管理される前記第１の操作制限情報との組合せに基づき前記第２の操作制限情報を作成する請求項１記載の操作管理システム。

Images