CN103329121A

CN103329121A - 文档管理系统和方法

Info

Publication number: CN103329121A
Application number: CN2011800661206A
Authority: CN
Inventors: H.巴林斯基; S.J.辛斯克
Original assignee: Hewlett Packard Development Co LP
Current assignee: Hewlett Packard Development Co LP
Priority date: 2011-01-28
Filing date: 2011-01-28
Publication date: 2013-09-25
Anticipated expiration: 2031-01-28
Also published as: US20150169500A1; EP2668593A4; WO2012102736A1; US9600448B2; CN103329121B; EP2668593A1

Abstract

文档管理系统包括复合文档（CD）和混合工作流，所述混合工作流包括后面是如下阶段之一的无序阶段：i)有序阶段或ii)另一个无序阶段。所述系统包括用于与所述有序阶段或另一个无序阶段关联的混合工作流中的参与者（P）的文档（CD）的映射文件（map）和映射文件（map）的包（W）。包（W）包括等于或大于与所述无序阶段关联的组（G）内的工作流参与者（P）的数量的多个映射文件片段（F）。所述多个映射文件片段（F）使得在多个映射文件片段（F）中的每一个被组（G）内的工作流参与者（P）中的每一个释放之前，文档（CD）不能被与所述有序阶段或另一个无序阶段关联的参与者（P）所访问。

Description

文档管理系统和方法

背景技术

本公开大体上涉及文档管理系统和方法。

许多文档已经变成不同格式化部分的混合物、或复合物。可以通过专用软件将复合文档（composite document）呈现给用户作为一个可编辑、可浏览、可审批、可播放的文档。通过例如java jar-archive、HP dlf等各种串行化机制将不同的部分结合在一起。复合文档的一个示例是包括产品jpeg图像、市场wav片断、ppt展示和带有财务详情的xsl电子表格的基于文档的提案。

复合文档能够参与工作流。工作流包括复合文档在其生命周期期间必须通过的阶段（通常每个阶段有一个或多个任务）的已定义集合。工作流的一个示例是有序工作流，其中复合文档以特定的次序从一个参与者传给下一个参与者。工作流的另一个示例是无序工作流，其中参与者可以以任何次序且在任何时间访问复合文档。工作流的又一个示例是混合或组合工作流，其中工作流的一个或多个阶段是有序的且工作流的一个或多个阶段是无序的。从无序阶段到有序阶段的改变对保证参与到无序阶段的每个工作流参与者在下一个有序阶段或无序阶段开始之前已做出贡献和/或执行他/她的一个或多个任务提出了挑战。

附图说明

通过参考下述详细说明和附图，本公开的示例的特征和优势将变得显而易见，其中相同的附图标记对应于类似的、尽管可能不完全相同的组件。为了简洁起见，具有前述功能的附图标记或特征可以或可以不联系它们出现在其中的其他附图进行描述。

图1A直至1D是工作流应用的示例屏幕截图的图示，其中生成的工作流是混合工作流；

图2是描述文档管理方法的示例的流程图；

图3是图示混合工作流从有序阶段转到无序阶段的示例的示意图；

图4是描述文档管理方法的另一个示例的流程图；

图5是图示混合工作流从无序阶段转到有序阶段的示例的示意图；以及

图6是图示混合工作流从无序阶段转到另一个无序阶段的示例的示意图。

具体实施方式

本文公开的文档管理系统和方法的示例用于保证在工作流中的特定阶段的每个参与者在复合文档沿工作流传播之前访问和/或做出贡献。特别地，本文公开的一个或多个系统和一个或多个方法保证在工作流的无序阶段做贡献的每个参与者已经在复合文档被传播到下一个阶段之前做出贡献，无论下一个阶段是有序的还是无序的。这防止复合文档被接下来的一个或多个参与者过早地访问，并从而也防止工作流中复合文档的意外转移。如果无意地将复合文档过早地发送给下一个参与者，那么本文公开的示例保证该参与者不能恢复他/她的映射文件（map-file）并从而不能访问文档内容。

如上文提到的，术语“工作流”指代复合文档在其生命周期期间必须通过的阶段（通常每个阶段有一个或多个任务）的已定义集合。复合文档是包括多个项目（例如，PDF、PPT、DOC等）的文档。在一个示例中，工作流是为了动作或提供信息的目的在其期间根据程序规则的集合将文档、信息、和/或任务从一个参与者传到另一个的自动化过程。工作流包括成像工作流（例如，质量保证、认证、取证（forensic）等）、供应链工作流（例如，跟踪与追踪、检查、运送/接收、召回等）、环境或传感器数据监视工作流、或其他合适的工作流（例如，统计（例如，清单等）、符合性、审计等）。换句话说，工作流是与复合文档关联的要完成的任务的任何已定义集合。在一个示例中，工作流涉及其内容部分在每个工作流步骤/阶段被访问、改变、和/或更新的数字文档。

如上文还提到的，工作流可以是有序的、无序的或混合的。有序工作流是其中复合文档以特定次序从一个参与者传到下一个参与者的工作流。在有序工作流中，参与者的映射文件被包装（wrap）成对应于访问次序的二进制大对象（blob）。无序工作流是其中工作流参与者能够以任何次序访问复合文档的工作流。在无序工作流中，所有映射文件都位于复合文档的根中并且可以在任何时间被任何工作流参与者所访问。混合工作流包括有序和无序的阶段。在有序阶段，复合文档在特定的工作流阶段/步骤可被一个特定的参与者所访问，并且在无序阶段，复合文档可同时被一组多个参与者所访问。混合工作流是包括交错的有序和无序阶段/步骤的工作流。混合工作流能够包括任何数量的步骤，并且在一个示例中，包括两个顺序的步骤，其中文档访问从有序阶段转到无序阶段、从无序阶段转到有序阶段、或从无序阶段转到另一个无序阶段。

图1A直至1D图示了经由处理器运行的工作流应用的屏幕截图，其中生成的工作流是有序阶段和无序阶段的混合工作流。图1A和1B对应于有序工作流步骤/阶段。例如，在图1A所示的工作流步骤1，Joe Customer被授予访问包括.docx文件、.pdf文件和.xls文件的文档。如图所示，Joe Customer被给予对复合文档的各种文件的读/写（RW）或只读（RO）访问权限，而Pete Jones和Ann Evans在该阶段不具有访问权限（no access，NA）。在该工作流中，在Joe Customer做出他的贡献之前没有其他参与者能够访问复合文档。一旦Joe Customer完成了，他就将该文档传送给作为工作流步骤2中的单个参与者的Ann Evans。类似的工作流实施应用于工作流步骤2是因为只有Ann Evans在该步骤能够访问复合文档。如图1B所示，Ann Evans被给予对复合文档的各种文件的读/写（RW）访问权限或验证访问权限（Validate Access，VA），而Pete Jones和Joe Customer不具有访问权限（NA）。验证访问权限对应于参与者接收到完整文档并且带有验证访问权限的部分对于读/写不可访问的情形。正因为这样，当被给予验证访问权限时，参与者必须在不访问部分内容的情况下验证这样的部分的真实性。

一旦文档移动到工作流步骤3（见图1C），任何参与者可以根据在该步骤授予他们的访问权限以任何次序访问文档。例如，在该步骤，Pete Jones只能读取Hooks_receipt.pdf和plan_confi.xls并且具有对APEX_demo.docx的验证访问权限。工作流步骤3对应于无序工作流步骤/阶段，并且因而从步骤2到步骤3的转换是有序到无序。如图1D所示，工作流步骤4也是无序步骤，因为参与者中的两个可以根据在该步骤授予他们的访问权限以任何次序访问文档。正因为这样，从步骤3到步骤4的转换是从一个无序步骤到另一个无序步骤的转换。进一步参考图2直至6对混合工作流的阶段之间的转换进行描述。

如图1A直至1D所示，给在各种步骤的一个或多个工作流参与者提供完整的复合文档，不过复合文档的一个或多个文件可以是可只读（RO）访问、可读写（RW）访问、可用验证访问权限（VA）访问、或不可访问（NA）。希望把完整的复合文档提供给每个参与者，是因为工作流中后面的一个或多个参与者可能需要访问前面的工作流参与者不能访问的部分。

在本文公开的示例中，复合文档包括i)单独内容项目/部分（例如，文件）以及ii)包（wrap），当其被打开时，根据工作流次序顺序地交付个人单独映射文件。其他复合文档的示例包括i)单独内容项目/部分（例如，文件），以及ii)允许多个参与者以任何期望次序访问复合文档的单独映射文件。“映射文件”是与授予特定参与者的访问权限相对应的文档部分的访问密钥的子集，其中为每个参与者单独地对每个映射文件进行加密并签名。“包”通过将访问控制数据打包成映射文件的形式从最后一个工作流参与者开始穿过工作流到第一个工作流参与者来创建强制工作流条目。通常，通过以下述方式来创建包i)为最后一个（例如，第N个）工作流参与者计算Enc_sN（map_N），ii)然后为第（N-1）个工作流参与者、以及每个后续的参与者计算合适形式的Enc_sN-1（map_N-1+Enc_sN（map_N）），以及然后iii)为第一个工作流参与者计算Enc_s1(map₁ + Enc_s2(map₂) + … + Enc_sN-1(map_N-1) + Enc_sN(map_N))。通过分别单独为对应的参与者可用/已知的密钥来对映射文件（例如，map_N）进行加密。将包放置于传递给第一个工作流参与者的文档的原始版本中。如将进一步在下文讨论的，来自包的二进制数据可以被拆分成片段（fragment）以便保证合适的工作流次序。正因为这样，包是用于实施有序工作流和/或保证在每个工作流步骤/阶段，文档能被对应的工作流参与者访问并且不能被在他/她的工作流步骤之前或之后的工作流参与者访问的机制。

在一些实例中，复合文档还可以包括在不暴露参与者的身份的情况下识别参与者的映射文件的快速过滤机制的条目表。这涉及为每个工作流参与者加密小型已知字符串。每个用户尝试解密字符串，直到发现正确解密的字符串。对于有序工作流步骤，包会释放恰好一个映射文件并因此可以不使用条目表。然而，对于无序工作流步骤，包会释放两个或更多映射文件（以使得每个参与者可以独立地访问文档）。条目表提供了确定哪个映射文件是针对哪个用户的机制。为了提供对内容部分的受控的有差异的访问权限，该部分被其自己特定生成并分配的加密密钥E所加密。提供了对于每个部分的额外的密钥对，即签名密钥S和签名验证密钥V。从而通过4个密钥实现对复合文档部分的访问控制：{{E,D},{S,V}}，其中，D是解密密钥。通过具有或不具有解密密钥D来控制只读访问权限。读写访问权限需要三个密钥E、D、S。将使用D对项目进行解密，按需修改，使用E来加密并且然后使用S来签名。没有对项目的任何授予访问权限的用户被给予将允许用户验证项目真实性（该验证访问权限对应于图1中的“VA”）的签名验证密钥V。

正因为这样，复合文档的每个内容部分由其自己的签名密钥S来签名，并且每个工作流参与者被安全地给予对于每个项目的对应的签名验证密钥V，不考虑授予的访问权限的类型。在接收到的情况下，每个工作流参与者使用对应的签名验证密钥来验证每个项目的签名。参与者能够只访问读取给予他/她对应的解密密钥D的那些部分并且能够只修改给予他/她E、D、S的那些部分。用户使用E来加密修改后的内容并且使用S生成被后续的工作流参与者所验证的新签名。应理解，能够使用对称加密来简化该方案，其中E=D。

如图1A直至1D所示，工作流可以涉及众多参与者，其中的许多或全部不知道其他参与者。在本文公开的示例中，可以通过任何可用的信道在工作流参与者之间传送作为工作流的主题的复合文档，所述信道包括例如，电子邮件（e-mail）、任何公共共享存储设备（例如，光盘（CD）、数字视频光盘（DVD）、通用串行总线（USB）密钥等）、公共发布系统（例如，其中文档可以被上传和下载的云计算系统、文件共享系统（例如，Sharepoint等））等。正因为这样，期望通过可能不安全的信道来交付安全复合文档。前述映射文件用于实现该交付。针对每个步骤的每个工作流参与者生成一个映射文件。映射文件由每个文档部分一个条目组成。每个条目包括部分名称/id和与授予工作流参与者对该特定部分的访问权限对应的密钥的子集。条目包括：1）读/写访问权限：项目名称、E_i、D_i、S_i、V_i，2）只读访问权限：项目名称、D_i、V_i，3）无访问权限：项目名称、V_i。映射文件可以是任何格式，包括例如xml、逗号分隔值（CSV）、SQL等。

在本文公开的方法的示例中，包被用于实施复合文档在混合工作流的阶段之间的转移。被利用来执行本文公开的方法的示例的文档管理系统包括安全创作工具（secure authoring tool）和执行本文公开的方法的一个或多个步骤的一个或多个单独计算系统。安全创作工具使得文档主人（master）能够生成复合文档、一个或多个映射文件以及对应于工作流的一个或多个包。在工作流参与者中经由任何可用的信道对文档的文档主版本进行导出和传送。

单独计算系统可以是固定的（例如，台式计算机）或移动的（例如，笔记本计算机、上网本、蜂窝电话、个人数字助手（PDA）等）。单独计算系统运行使得用户能够根据预设的（授予的）访问权限以及根据由文档主人创建的次序获取对复合文档的一个或多个部分的访问权限的一个或多个应用。单独计算机还能够执行加密、解密、签名验证、和/或签名。

在一个示例中，安全创作工具与使得复合文档能够被上传和下载或者经由共享驱动器或云计算网络共享的系统相关联。在该示例中，多个工作流参与者能够通过访问共享驱动器或云计算网络来访问来自单独计算机的复合文档。安全创作工具也可以经由因特网访问并且不与任何特定的共享驱动器或云计算网络相关联。在这些实例中，经由诸如CD、DVD、USB等之类的公共共享存储设备或经由任何其他合适的信道对一个或多个文档进行传输。

当被包括为系统的部分时，共享驱动器或云计算网络可以与互连的计算机和/或其他电子设备（例如，扫描仪、打印机等）的网络相关联，所述网络包括虚拟化和/或冗余的处理器、处理器和/或服务器的库（bank）等。应理解的是，共享驱动器或云计算网络的组件可以实现在统一的位置，或者共享驱动器或云计算网络的一个或多个部分可以被实现在不同的位置。在一个示例中，共享驱动器或云计算网络是实现基于因特网的计算（能够通过其访问安全创作工具）的计算机（例如，处理器和/或服务器）的虚拟化库。与共享驱动器或云计算网络关联的软件和数据被存储在服务器和与它们关联的存储器上。

共享驱动器或云计算网络以及执行方法的步骤的单独计算设备的硬件包括诸如例如控制器、微控制器、微处理器、主处理器、专用集成电路（ASIC）、和/或可重编程的硬件逻辑设备（例如，现场可编程门阵列（FPGA））之类的电子处理设备。应理解的是电子处理设备可以是与执行通用处理器功能的中央处理单元（CPU）结合工作的处理器。一个或多个计算机程序和/或软件（例如，计算机可读代码）可以被装载到计算机/计算系统的一个或多个上，并存储在其存储器中。此类程序和/或软件可经由处理设备来运行。

在本文公开的任何示例中，可以由利用安全创作工具来创建工作流的工作流管理者、管理员等来生成工作流。在一些实例中，系统可以被编程为自动建立工作流。

现参考图2，公开了文档管理方法的示例。该方法包括为复合文档生成混合工作流（如附图标记200处所示）并为一个或多个工作流参与者生成包（如附图标记202处所示）。所述包包括多个部分（例如，映射文件、映射文件片段等），所述部分i)可全部被工作流参与者释放（见例如，图3）或ii)可分别被混合工作流步骤中先于该工作流参与者的其他工作流参与者释放（见例如，图5和6）。将进一步参考图3直至6对图2所示的方法的更多特定示例进行描述。

现参考图3，描述了包括后面是无序阶段的有序阶段的工作流的示例。尽管在图3中示出了工作流的两个阶段，然而应理解的是，工作流可以包括任何数量的阶段。有序阶段涉及一个参与者P₁。参与者P₁执行他/她的一个或多个任务并释放复合文档CD（例如，经由本文提到的信道之一）。无序阶段涉及包括在复合文档CD已经被参与者P₁释放之后被允许不以特定的次序访问复合文档CD的多个参与者（例如，参与者P₂、P₃、和P₄）的组G。正因为这样，希望组中的工作流参与者P₂、P₃、和P₄中的每一个能够在复合文档CD被参与者P₁释放之后访问复合文档CD，而不是之前。

在该示例中，为了保证遵循该工作流并且参与者P₂、P₃、和P₄能够在他们的工作流步骤访问复合文档CD，在每个阶段的访问控制数据被包成映射文件map₁、map₂、map₃、map₄的形式（即，用于有差异的访问控制的机制，其中为每个阶段的每个工作流参与者提供至少一个映射文件）。在该示例中，参与者P₁的工作流包W₁包括他/她自己的映射文件map₁和其他参与者P₂、P₃、和P₄的映射文件map₂、map₃、map₄。用对应的一个或多个密钥来对映射文件map₁、map₂、map₃、map₄中的每一个进行加密，其中所述密钥是为每个参与者P₁、P₂、P₃、和P₄特别生成的密钥。这保证了持有相应密钥的各个参与者能够从他/她自己的映射文件map₁、map₂、map₃、map₄中提取访问密钥（例如，E、D、S、V）。对于参与者P₁的工作流包W₁的示例是：

W₁= Enc_s1(map₁ + Enc_s2(map₂) + Enc_s3(map₃) + Enc_s4(map₄))。

在该示例中，通过分别单独为参与者P₂、P₃、和P₄可用/已知的s2、s3和s4密钥来对参与者P₂、P₃、和P₄的映射文件map₂、map₃、map₄进行加密。然而，这些加密后的映射文件map₂、map₃、map₄与明码文本映射文件map₁组合，并且使用单独为参与者P₁可用/已知的密钥s1对该组合进行加密以形成包W₁。因而，只有参与者P₁能够解密包W₁。一旦他/她解密了包W₁，他/她就获得了他/她的明文文本的映射文件map₁和加密形式的剩余的映射文件map₂、map₃、map₄，如上所述。参与者P₁使用一个或多个密钥（例如，来自他/她的映射文件map₁）以访问文档部分并且把加密的映射文件map₂、map₃、map₄释放（放置）在文档序列（serialization）中。这时，加密的映射文件map₂、map₃、map₄在文档序列中可被相应参与者P₂、P₃、和P₄（能够用各自已知的密钥对它们解密）所访问。应理解的是，在参与者P₁的计算机上运行的应用自动从包W₁中提取用于参与者P₂、P₃、和P₄的映射文件map₂、map₃、map₄并响应于参与者P₁对包W₁进行解密或随后当参与者P₁完成他的工作并触发文档释放动作时自动地将加密后的映射文件map₂、map₃、map₄放入文档序列中。释放的文档CD中映射文件map₂、map₃、map₄的存在使得任何参与者P₂、P₃、和P₄能够以任何次序或甚至并行地访问文档CD。

本文公开的系统和方法可以特别适合于管理工作流，所述工作流包括从有序阶段转到无序阶段（如上文参考图3所述），从无序阶段转到有序阶段、和/或从无序阶段转到另一个无序阶段。图4图示了涉及从无序阶段转到有序阶段和/或从无序阶段转到另一个无序阶段的文档管理方法的示例。一般地，该方法示例包括为复合文档CD生成混合工作流，其中混合工作流包括后面是如下阶段之一的无序阶段i)有序阶段或ii)另一个无序阶段（见附图标记400）；以及为与有序阶段或另一个无序阶段关联的混合工作流中的参与者生成复合文档CD的映射文件（例如，map₁、map₂、map₃、map₄等）（见附图标记402）。更一般地，在它们被授予访问权限的每个步骤为每个工作流参与者生成映射文件。

图4所示的方法的示例进一步包括生成映射文件的包（见附图标记404）；以及将映射文件的包拆分成等于或大于与无序阶段关联的组内的工作流参与者的数量的多个映射文件片段（见附图标记406）。将参考图5和6进一步讨论图4所示的方法的示例。尽管在图4到6中所示的示例是针对从无序步骤转为有序步骤或从无序步骤转为另一个无序步骤的混合工作流，但是应理解的是混合工作流不限于这些示例。如上所述，混合工作流广泛地包含带有以任何次序的至少一个有序步骤和至少一个无序步骤或者两个不同的无序步骤的有序和无序步骤的任何组合。

现参考图5，描述了包括后面是有序阶段的无序阶段的工作流的示例。尽管在图5中示出了工作流的两个阶段，但是应理解的是工作流可以包括任何数量的阶段。当从无序阶段转为有序阶段时，在来自组G的每个参与者P₁、P₂、和P₃已经做出贡献（例如，访问文档CD、执行他/她的任务等）之后，将复合文档CD释放给单个参与者（例如，图3中的参与者P₄）。应理解的是在来自组G的每个或一些（按工作流的需要）参与者P₁、P₂、和P₃已经做出贡献之前，参与者P₄不能访问文档CD的一个或多个部分。正因为这样，即使参与者P₄在任何强制参与者P₁、P₂、和P₃已经做出贡献之前过早地接收到文档CD，参与者P₄也将不能访问他/她的映射文件map₄或文档CD内的一个或多个内容部分。类似于图3中示出的示例，参与者P₄与只有他/她能够解密以获得对文档CD受控的访问权限的映射文件map₄相关联。尽管可能希望来自组G的上一个参与者P₁、P₂、和P₃释放下一个参与者的映射文件map₄，但是由于组G内的所有参与者P₁、P₂、和P₃可以以随机的次序访问文档CD，因此可能不知道上一个参与者P₁、P₂、和P₃。

在该示例中，为了保证工作流被遵循，并且参与者P₄能够在他的工作流步骤/阶段期间访问复合文档CD，用于参与者P₄的包W₄的二进制数据被拆分成多个映射文件片段F₁、F₂、和F₃。在该示例中，片段F₁、F₂、和F₃的数量等于或大于来自与直接在有序阶段之前的无序阶段关联的组G的工作流参与者P₁、P₂、和P₃的数量。正因为这样，对于包括三个参与者P₁、P₂、和P₃的组G，片段F₁、F₂、和F₃的数量能够是三个或更多。

应理解的是当工作流包括超出图5中所示的有序阶段之外的附加阶段时，用于参与者P₄的包W₄包括工作流的剩余部分（即，用于后续的参与者）。

在图5所示的示例中，给来自组G的每个参与者P₁、P₂、和P₃分配片段F₁、F₂、和F₃的至少一个。由于片段F₁、F₂、和F₃分别与来自组G的不同参与者P₁、P₂、和P₃关联，因此来自无序组G的每个工作流参与者P₁、P₂、和P₃能够单独地释放他/她的所分配的一个或多个片段F₁、F₂、和F₃。正因为这样，每个参与者P₁、P₂、和P₃必须访问文档CD（并且，在一些实例中，执行他/她的所分配的一个或多个任务）并且然后释放他/她的片段F₁、F₂、和F₃。此外，必须在能够汇编（assemble）并释放参与者P₄的完整包W₄之前释放所有片段F₁、F₂、和F₃（和对应的字节）。正因为这样，在来自组G的所有参与者P₁、P₂、和P₃已经完成了他们的一个或多个任务并释放了他们的片段F₁、F₂、和F₃之前，参与者P₄不能解密他的包W₄来访问他的映射文件map₄。对于参与者P₄的拆分和重汇编的包W₄包括工作流的剩余部分（如果有的话，例如后续的一个或多个参与者的一个或多个映射文件）并且使用参与者P₄已知的或提供给参与者P₄的密钥对该包进行加密。该类型的加密有助于保证只有参与者P₄能够访问完全释放的复合文档CD（即，在来自无序组G的每个参与者P₁、P₂、和P₃已经释放了他/她的一个或多个片段F₁、F₂、和F₃之后的文档CD）。

作为图5所示的场景的示例，对于参与者P₄的包W₄可以包括总共10kB。由于在无序阶段的组G中存在三个参与者P₁、P₂、和P₃，因此片段F₁、F₂、和F₃的数量可以被选为三个或更多。作为一个示例，包W₄可以被分为三个片段F₁、F₂、和F₃，其中F₁=4kB、F₂=3kB、和F₃=3kB。注意的是片段F₁、F₂、和F₃能够以非顺序的方式从包中选择并且能够是重叠的。作为另一个示例，包W₄可以被分为五个片段F₁、F₂、F₃、F₄、F₅，其中片段F₁、F₂、F₃、F₄、F₅中的每一个等于2kB。在后面的示例中，组G中的参与者P₁、P₂、和P₃中的两个被分配片段F₁、F₂、F₃、F₄、F₅中的两个，并且组G中的参与者P₁、P₂、和P₃中的一个被分配另一个剩余的片段F₁、F₂、F₃、F₄、F₅。应理解的是可以以使得部分块解密不可能的任何其他期望和/或合适的方式对包W₄进行拆分/分割。

在一个示例中，由输出复合文档CD的一个或多个应用来定义片段F₁、F₂、F₃、F₄、F₅。应用可以识别从无序工作流阶段到有序工作流阶段的转换，并且自动地用映射文件和映射文件片段生成适当的包。可以给工作流管理员提供选项（例如，经由屏幕上的提示）以添加有关的额外的信息，例如，组访问权限（例如，是否来自组的所有或一些参与者必须访问）、强制和/或可选参与者、或其他工作流相关信息。

文档CD的释放可以是自动的或遵循用户的命令。这意味着一旦参与者P₁、P₂、和P₃已经访问了复合文档CD，那么他/她的对于下一个参与者的包W₄的一个或多个片段F₁、F₂、和F₃被自动释放或响应于用户命令（通过图形用户界面，“gui”）释放。在一些实例中，可以希望给单个参与者或组G中的参与者P₁、P₂、和P₃的一个或多个提供复合文档CD内多个会话的机会。在这些实例中，参与者访问他的包，对其解密并提取他的映射文件，执行一些功能，并且然后两个场景可能发生。在一个示例中，在参与者最初访问文档之后，原始包保持在原地不变，尽管事实是该包被读取到存储器并解密。结果，工作流步骤不前进。而是，在该示例中，相同的参与者需要再次访问该文档以释放文档访问权限。在另一个示例中，在参与者最初访问文档之后，包被从文档中移除并且被恢复的映射文件/包所代替用于后续的步骤。在该示例中，能够将应用编程为默认地在第一次访问时或响应于用户命令来释放文档控制。当响应于用户命令而建立文档控制释放时，可以期望给用户提供在那时释放文档CD的选项，或以其当时的状态保存文档CD以用于随后的访问。能够通过应用控制来实现该级别的控制。例如，当工作流参与者保存他/她当前的工作时，应用能够提供弹出窗口或“释放”按钮用于参与者释放他/她的包W₄的一个或多个片段F₁、F₂、和F₃用于下一个参与者。当参与者保存该复合文档CD并且不释放它时，原始参与者的工作流包保留在原地至少直到下一个迭代和当他/她释放该文档CD时。

在图5所示的场景的一个示例中，可见性指示器（visual indicator）也可以与包W₄相关联。除了使用片段F₁、F₂、和F₃之外，该示例涉及拆分组G中参与者P₁、P₂、和P₃之中已知的字符串（例如，单词或短语），并且在各个参与者的映射文件map₁、map₂、map₃中提供相应拆分部分。参与者P₁、P₂、和P₃访问他/她的一个或多个映射文件map₁、map₂、map₃并且执行他/她的一个或多个工作流任务，并且复合文档CD的随后释放释放了他/她的所分配的一个或多个片段F₁、F₂、和F₃以及包含在他/她的一个或多个映射文件map₁、map₂、map₃中的字符串的解密的拆分部分。对以另外的方式已知的短语的解密和释放字符能够验证复合文档CD的状态。

例如，短语“the document is ready to be shipped”可以被拆分成组G中三个参与者P₁、P₂、和P₃的映射文件map₁、map₂、map₃。该短语包括可以以任何期望的方式拆分的35个字符（带空格）。例如，该短语可以被拆分成三个部分，包括：“the document”（12个字符）作为第一部分，“is ready to”（12个字符）作为第二个部分，以及“be shipped”（11个字符）作为第三部分。各个部分被放置在参与者P₁、P₂、和P₃的对应的映射文件map₁、map₂、map₃中，并且随后当他/她释放复合文档CD时被释放。当完整的短语被恢复时，清楚的是文档能够沿其工作流传输。然而，如果所述部分中的两个被解密并且第三部分未解密，那么短语可能显示为例如“the document is ready to A#7┤∟JΩi☻+♣”。该不完全短语向工作流参与者指示工作流的该阶段还没有完成，并且文档CD还没准备好传输。这可以用于避免意外传输给参与者P₄。

现参考图6，描述了包括后面是另一个无序阶段的无序阶段的工作流的示例。尽管图6中示出了工作流的两个阶段，但是应理解的是工作流可以包括任何数量的阶段。当从无序阶段转为另一个无序阶段时，在来自第一组G的每个参与者P₁、P₂、P₃、和P₄做出贡献（例如，访问文档CD、执行他/她的任务等）之后，复合文档CD被释放给第二组G2中的多个参与者（例如，图6中的参与者P₅、P₆、和P₇）。

在该示例中，第二组G2的包W_G2被分割以使得来自组G的每个参与者P₁、P₂、P₃、和P₄释放用于随后的组G2的参与者P₅、P₆、和P₇的每个映射文件map₅、map₆、map₇的一些块（chunk）/部分（例如，片段F₁、F₂、F₃、或F₄）。通过包W_G2内的映射文件map₅、map₆、map₇来提供对第二组G2的访问。换句话说，包W_G2包括组G2的映射文件map₅、map₆、map₇的集合，并且该数据被拆分用于在之前的组G中的工作流参与者之中释放。

映射文件map₅、map₆、map₇的每一个被分解成等于或大于第一（或在先的）组G中参与者数量的多个片段F₁、F₂、F₃、或F₄。来自组G的每个参与者P₁、P₂、P₃、和P₄应该接收到（在他/她的包中）来自映射文件map₅、map₆、map₇中的每一个的片段F₁、F₂、F₃、或F₄的一些而不是全部。为了说明这个概念，在图6所示的示例中，参与者P₁可以在他/她的包中接收到来自映射文件map₅、map₆、map₇中的每一个的片段F₁。然而，参与者P₁将不能在他/她的包中接收到来自映射文件map₅、map₆、map₇的任何一个的所有片段F₁、F₂、F₃、和F₄。由于只有每个参与者P₁、P₂、P₃、和P₄能够释放他/她的一个或多个片段F₁、F₂、F₃、或F₄，因此每个参与者P₁、P₂、P₃、和P₄必须在能够释放他/她的片段F₁、F₂、F₃、或F₄之前访问文档CD（并且，在一些实例中，执行他/她的一个或多个所分配任务）。这保证了第一组参与者P₁、P₂、P₃、和P₄的每一个必须在来自第二组G2的任何参与者P₅、P₆、和P₇完成他/她的映射文件map₅、map₆、map₇并能够访问该文档之前释放他们的片段F₁、F₂、F₃、或F₄。

在图6所示的示例中，四个无序参与者P₁、P₂、P₃、和P₄的组G之后为三个无序参与者P₅、P₆、和P₇的第二组G2。在该示例中，映射文件map₅、map₆、map₇用矩形图示并且均被分成四个近似相等（不过在其他实例中他们不相等）的部分（基于第一组G中参与者的数量），并且对应的片段F₁、F₂、F₃、和F₄（在该示例中，其分别被分配给每个参与者P₁、P₂、P₃、和P₄）与所述部分一起汇编。在该示例中，所有片段F₁被设置为由第一工作流参与者P₁所释放，所有片段F₂被设置为由第二工作流参与者P₂所释放，所有片段F₃被设置为由第三工作流参与者P₃所释放，并且所有片段F₄被设置为由第四工作流参与者P₄所释放。因此，来自组G的每个工作流参与者P₁、P₂、P₃、和P₄必须在来自组G2的任何参与者P₅、P₆、和P₇能够访问该文档之前做出贡献。

使用参与者P₅、P₆、和P₇已知或提供给他们的密钥来分别对映射文件map₅、map₆、map₇进行加密。由于映射文件map₅、map₆、map₇被加密，因此释放部分片段（例如，释放F₁和F₂而不释放F₃和F₄）将不提供部分访问。正因为这样，在图6所示的示例中，在来自第一组G的每个工作流参与者P₁、P₂、P₃、和P₄已经参与之前，单独映射文件map₅、map₆、map₇不能被汇编和释放。例如，在来自第一组G的所有参与者P₁、P₂、P₃、和P₄已经完成他们的一个或多个任务并释放他们相应的片段F₁、F₂、F₃、和F₄之前，参与者P₅不能解密他的映射文件map₅。

应理解的是，图6的示例能够被进一步一般化，其中，来自第一组G的一些参与者P₁、P₂、P₃、和P₄的访问不是强制的。在这些实例中，强制参与者（例如，参与者P₁、P₂、P₃）应该能够完全释放映射文件map₅、map₆、map₇。在这些实例中，将在强制参与者P₁、P₂、P₃之间划分片段F₁、F₂、F₃、或F₄，并且对于第一组G的可选参与者（例如P₄），可以不给予要释放的任何片段或可以给予与强制参与者P₁、P₂、P₃的片段重叠的片段。当不存在预定义的强制/可选参与者而是存在在文档被释放到下一组G2之前必须访问的来自组G的某一预定义数量的参与者时，该场景可能发生。如上所述，在一个示例中，通过为参与者提供重叠的片段以使得他们的任何子集能够完全释放映射文件map₅、map₆、map₇而能够实现该控制。

在图6所示的示例中，应理解的是包W_G2还可以包括超过第二组G2外的后续的工作流步骤。

本文公开的方法和系统的示例允许实施混合工作流。这在不损害工作流或限制能够包括在工作流中的阶段的类型的情况下实现协作文档创建和无序访问。

尽管已经详细描述了多个示例，但是对本领域技术人员显而易见的是，可以对公开的示例做出修改。因此上述描述被认为是非限制性的。

Claims

1.一种文档管理系统，包括：

复合文档（CD）；

与所述复合文档（CD）关联的混合工作流，所述混合工作流包括后面是如下阶段之一的无序阶段：i)有序阶段或ii)另一个无序阶段；

复合文档（CD）的映射文件（map），用于与所述有序阶段或另一个无序阶段关联的混合工作流中的参与者；以及

映射文件（map）的包（W），所述包（W）包括等于或大于与所述无序阶段关联的组（G）内的工作流参与者（P）的数量的多个映射文件片段（F），所述多个映射文件片段（F）使得在所述多个映射文件片段（F）中的每一个被与所述无序阶段关联的组内的工作流参与者（P）中的每一个释放之前，复合文档（CD）不能被与所述有序阶段或另一个无序阶段关联的参与者（P）所访问。

2.如权利要求1所述的文档管理系统，其中所述组（G）内的工作流参与者（P）中的每一个被分配映射文件片段（F）的至少一个。

3.如权利要求1所述的文档管理系统，进一步包括与所述包（W）关联的可见性指示器，其中所述可见性指示器是被分成等于与所述无序阶段关联的组（G）内的工作流参与者（P）的数量的多个部分的单词或短语，并且当所述多个映射文件片段（F）被释放时所述可见性指示器是完整的。

4.如权利要求1所述的文档管理系统，其中组（G）内的工作流参与者（P）的数量大于1，其中与所述有序阶段关联的参与者（P）是单个参与者，并且其中所述系统进一步包括在所述复合文档（CD）从所述组（G）释放之后对所述复合文档（CD）进行加密的所述单个参与者（P）的密钥。

5.如权利要求1所述的文档管理系统，其中组（G）内的工作流参与者（P）的数量大于1，其中与所述另一个无序阶段关联的参与者（P）是带有大于1的第二数量的工作流参与者（P）的第二组（G2），并且其中所述文档管理系统进一步包括用于第二组（G2）中的工作流参与者（P）中的每一个的相应映射文件（map）。

6.如权利要求5所述的文档管理系统，其中所述相应映射文件（map）中的每一个包括：

对应于组（G）中工作流参与者（P）的数量的多个部分；以及

相应映射文件片段（F），其每一个与所述部分之一关联且根据组（G）内的工作流参与者（P）被汇编。

7.如权利要求1所述的文档管理系统，其中所述复合文档（CD）：

当所述映射文件片段（F）的任何一个还没有被释放时，不可释放给与所述有序阶段或另一个无序阶段关联的参与者（P）；并且

在所有映射文件片段（F）都被释放之后，可释放给与所述有序阶段或另一个无序阶段关联的参与者（P）。

8.如权利要求1所述的文档管理系统，进一步包括支持所述复合文档（CD）的公共公布系统。

9.一种文档管理方法，包括：

为复合文档（CD）生成混合工作流；以及

为工作流参与者生成包（W），所述包（W）包括多个部分，所述多个部分i)可全部被工作流参与者（P）释放或ii)可分别被混合工作流中的在工作流参与者（P）之前的其他工作流参与者（P）释放。

10.如权利要求9所述的文档管理方法，其中生成混合工作流包括创建混合工作流以使得无序阶段后面是如下阶段之一：i)有序阶段或ii)另一个无序阶段；并且其中所述方法进一步包括：

为与所述有序阶段或另一个无序阶段关联的混合工作流中的参与者（P）生成所述复合文档（CD）的映射文件（map）；

生成包（W）以使得包（W）是映射文件（map）的包；以及

将所述映射文件（map）的包（W）拆分成等于或大于与所述无序阶段关联的组（G）内的工作流参与者（P）的数量的多个映射文件片段（F），所述多个映射文件片段（F）使得在多个映射文件片段（F）中的每一个被与所述无序阶段关联的组（G）内的工作流参与者（P）中的每一个释放之前，复合文档（CD）不能被与所述有序阶段或另一个无序阶段关联的参与者（P）所访问。

11.如权利要求10所述的文档管理方法，进一步包括在所有映射文件片段（F）被组（G）内的多个工作流参与者（P）所释放之后将所述复合文档（CD）释放给与所述有序阶段或另一个无序阶段关联的参与者（P）。

12.如权利要求10所述的文档管理方法，进一步包括将单词或短语分成等于与所述无序阶段关联的组（G）内的工作流参与者（P）的数量的多个部分以生成可见性指示器，所述可见性指示器在所述多个映射文件片段（F）被释放时是完整的。

13.如权利要求10所述的文档管理方法，其中组（G）内的工作流参与者（P）的数量大于1，其中与所述有序阶段关联的参与者（P）是单个参与者（P），并且其中所述方法进一步包括在所述复合文档（CD）从组（G）释放之后使用所述单个参与者（P）的密钥对所述复合文档（CD）进行加密。

14.如权利要求10所述的文档管理方法，其中组（G）内的工作流参与者（P）的数量大于1，其中与所述另一个无序阶段关联的参与者（P）是带有大于1的第二数量的工作流参与者（P）的第二组（G2），并且其中所述方法进一步包括：

为第二组（G2）中的工作流参与者（P）中的每一个生成相应映射文件（map）；以及

将所述相应映射文件（map）拆分成等于组（G）内的工作流参与者（P）的数量的相应映射文件片段（F）。

15.如权利要求9所述的文档管理方法，其中生成混合工作流包括创建混合工作流以使得有序阶段后面是无序阶段，并且其中所述包（W）的多个部分包括用于无序阶段中的工作流参与者（P）的加密的映射文件（map）。