CN111740940A - 信息处理系统 - Google Patents

Abstract

一种信息处理系统包括：连接到内部网络的一个或更多个内部装置，内部网络通过防火墙连接到外部网络；以及中间装置，其能够与内部网络和外部网络进行通信；每个内部装置包括：存储单元，其存储一个或更多个文档以及每个文档的元数据；以及请求接受单元，其从用户接受由外部网络上的外部服务器对存储在存储单元中的文档中的一个进行处理的请求，并将接受的请求发送到中间装置；中间装置包括：本文定义的请求发送单元。

Description

信息处理系统

技术领域

本发明涉及一种信息处理系统。

背景技术

申请人已经提出了一种文档管理系统，其包括由管理装置(或管理系统)和多个处理装置组成的两层结构(参见JP-A-2018-156409、JP-A-2018-156410、JP-A-2018-156411和JP-A-2018-156383)。每个处理装置主要执行通过加密等来保护在系统中注册的文档的处理，以及将通过上述处理获得的受保护文档分发到用户的处理。管理装置管理处理装置，存储由处理装置产生的受保护文档的元数据，并且提供所存储的元数据。每个用户在处理装置中的被设置为用户主装置(home)的一个处理装置中注册。例如，分别针对诸如公司部门的单元对处理装置进行放置，并且将属于其中一个单元的用户注册在放置在该单元中的处理装置中。

由用户注册在系统中的文档的受保护文档被存储在由用户设置为主装置的处理装置中。然后，通过被设置为用户的主装置的处理装置或者通过针对被设置为用户的主装置的处理装置被注册为安全的另一处理装置，受保护文档被发送到作为由注册该文档的用户指定的发送目的地并且提出分发该文档的请求的用户终端。受保护文档被存储在已注册该文档的处理装置和被指定为发送目的地的用户终端中。然而，受保护文档并不存储在管理装置、任何其它处理装置或任何其它终端中。

另一方面，受保护文档的元数据保持具有诸如允许浏览受保护文档的权限的用户的信息。关于权限的信息由诸如已在系统中注册该受保护文档的用户(注册者)的认证人员通过处理装置在系统中进行注册或改变。当终端从操作该终端的用户接收到浏览该终端内的受保护文档的指令时，终端从其附近的处理装置获取对应于受保护文档的标识信息的最新元数据，并且基于所获取的最新元数据确定用户现在是否具有浏览受保护文档的权限。当确定用户具有浏览受保护文档的权限时，终端通过利用元数据中的密钥信息对受保护文档进行解码，并且显示经解码的文档。否则，终端将用户无法浏览文档的事实通知给用户。

如上所述，由于受保护文档仅被保持在被设置为已注册该受保护文档的用户的主装置的处理装置和由已注册该受保护文档的用户指定为发送目的地的用户终端中的机制，该系统可以防止受保护文档被轻易地传递到第三方。

发明内容

存在这样一种服务，其中防火墙外部的外部网络上的外部服务器对存储在防火墙内部的内部网络上的内部装置中的文档执行处理。这样的处理不仅需要关于文档的属于内部装置的信息，而且需要属于外部网络上的装置的信息。

本发明提供一种机制，即使当外部服务器不仅需要属于内部装置的信息而且需要属于外部网络上的装置的信息以执行处理时，其也允许外部服务器对存储在内部装置中的文档执行处理。

根据本公开的一个方面，作为本发明的第一配置，提供了一种信息处理系统，其包括：连接到内部网络的一个或更多个内部装置，内部网络通过防火墙连接到外部网络；以及中间装置，其能够与内部网络和外部网络进行通信；每个内部装置包括：存储单元，其存储一个或更多个文档以及每个文档的元数据；以及请求接受单元，其从用户接受由外部网络上的外部服务器对存储在存储单元中的文档中的一个进行处理的请求，并将所接受的请求发送到中间装置；中间装置包括：请求发送单元，其接收请求，从外部网络获取外部服务器为执行请求所需的多个数据项中的至少一个数据项，通过内部网络从发送请求的内部装置获取数据项中的另外一个或更多个数据项，并且将包括所获取的多个数据项的所请求的数据发送到外部服务器。

本发明的第二配置是根据第一配置的信息处理系统，其还包括：外部装置，其连接到外部网络；其中：内部装置接受将至少一个授权用户作为被授予浏览文档的权限的目的地的指定，将指示所指定的至少一个授权用户的认证用户信息结合到存储单元中的文档的元数据中，将元数据注册到外部装置中，并且在文档已经被加密的状态下向至少一个授权用户中的每一个的浏览装置提供存储在存储单元中的文档，使得至少一个授权用户能够解码加密的文档；外部装置存储从内部装置注册的元数据；在用户发出浏览在浏览终端内的文档的请求的情况下，浏览装置检查用户是否作为至少一个授权用户中的一个而被包括在存储于内部装置或外部装置的可访问装置中的文档的元数据中所包括的认证用户信息中，当用户作为至少一个授权用户中的一个被包括时，解码并且显示文档，并且当用户没有作为至少一个授权用户中的一个被包括时，禁止显示文档；要进行处理的文档的文档标识信息被包括在多个数据项中；中间装置还包括：服务器请求处理单元，其执行处理，在处理中，当从接收请求数据的外部服务器接收到包括文档标识信息的文档请求时，将向外部服务器提供对应于文档标识信息的文档的提供指令发送到存储文档的内部装置，并且将根据提供指令从内部装置加密和提供的文档发送到外部服务器；并且内部装置包括：数据提供单元，其在文档已经被加密的状态下向中间装置提供由提供指令预期接收的文档，使得外部服务器能够解码文档，但是中间装置不能解码文档。

本发明的第三配置是根据第二配置的信息处理系统，其中：多个数据项中包括元数据指定信息，元数据指定信息指定由所述处理预期的元数据或元数据的一部分；并且在从接收请求数据的外部服务器接收到包括元数据指定信息的元数据请求时，中间装置的服务器请求处理单元从外部装置或内部装置获取对应于元数据指定信息的元数据或元数据的一部分，将所获取的元数据或元数据的一部分转换成可以由外部服务器解码的加密元数据，并且将加密的元数据或元数据的一部分发送到外部服务器。

本发明的第四配置是根据第一配置到第三配置中任一项的信息处理系统，其中，多个数据项中的一个是作为用于外部网络的地址信息的中间装置的地址信息。

本发明的第五配置是根据第一配置至第四配置中任一项的信息处理系统，其中，中间装置还包括：处理结果发送单元，其接收指示处理的结果并且从外部服务器发送的处理结果数据，并且将所接收的处理结果数据通过内部网络发送到发送对应于所述处理的请求的内部装置。

本发明的第六配置是根据第一配置到第五配置中任一项的信息处理系统，其中：文档的元数据中包括多个元素；多个数据项包括文档的文档标识信息和元素标识信息，元素标识信息指示文档的元数据中所包括的元素中应当写入作为处理的结果的处理结果数据的元素；并且当从外部服务器接收到文档标识信息、元素标识信息和对应于请求数据的处理结果数据时，中间装置进行控制，使得处理结果数据被写入对应于存储在内部装置的存储单元中的文档标识信息的文档的元数据的一组元素中与元素标识信息相对应的元素。

本发明的第七配置是根据第一配置到第六配置中任一项的信息处理系统，其中，当接收到来自用户的请求时，中间装置从内部网络上的预定装置获取指示用户是否具有使用中间装置的权限的信息，并且当从获取的信息中发现用户不具有使用中间装置的权限时，进行控制以拒绝来自用户的请求。

本发明的第八配置是根据第一配置至第七配置中任一项的信息处理系统，其中：中间装置经由外部网络从外部服务器获取由外部服务器临时生成并且指示请求数据的地址的地址数据；并且请求发送单元向外部服务器发送包括作为数据项中的一个的地址数据的请求数据。

根据本发明的第一配置，即使当为了执行处理不仅需要属于内部装置的信息而且需要属于外部网络上的装置的信息时，外部服务器也可以对存储在内部装置中的文档执行处理。

根据本发明的第二配置，可以防止属于内部装置的文档的内容被披露给除了内部装置和对文档执行处理的外部服务器之外的任何其它装置。

根据本发明的第三配置，当元数据也存储在外部装置中时，可以节省内部装置加密元数据的时间和劳动。

根据本发明的第四配置，可以向外部服务器通知地址，外部服务器的处理结果数据应利用该地址而被发送回中间装置。

根据本发明的第五配置，可以将外部服务器的处理结果数据发送到内部装置。

根据本发明的第六配置，可以将外部服务器的处理结果数据写入元数据中的预定元素。

根据本发明的第七配置，可以防止不具有使用中间装置的权限的用户通过中间装置使用外部服务器。

根据本发明的第八配置，与中间装置将请求的数据发送到外部服务器的固定地址的情况相比，可以提高安全性。

附图说明

将基于以下附图详细描述本发明的示例性实施方式，其中：

图1是示出应用了根据示例性实施方式的机制的文档管理系统的示例的示图；

图2是示出其中设置组织内管理系统的系统配置的示例的示图；

图3是以示例的方式示出根据示例性实施方式的文档管理系统的配置的示图；

图4是以示例的方式示出处理装置的内部结构的示图；

图5是以示例的方式示出外部应用GWS的内部结构的示图；

图6是以示例的方式示出由组织内管理系统管理的外部应用的管理信息的视图；以及

图7是以示例的方式示出根据示例性实施方式的系统中的外部应用的使用流程的图表。

具体实施方式

<应用了示例性实施方式的控制的系统的说明>

图1和图2通过示例的方式示出了应用根据本发明一个示例性实施方式的系统的文档管理系统的示意性配置。图1和图2所示的系统类似于JP-A-2018-156409、JP-A-2018-156410、JP-A-2018-156411和JP-A-2018-156383所示的系统。这里，将进行示意性描述。关于这些系统的细节参见JP-A-2018-156409、JP-A-2018-156410、JP-A-2018-156411和JP-A-2018-156383。

图1和图2所示的文档管理系统提供了一种环境，其中可以安全地使用电子文档(下文中也被称为文档)，从而可以降低关于文档的信息泄漏的风险。这里，每个文档是可以作为一个单元(例如一个文件)分发的内容数据。数据的种类没有特别限制。例如，文档的概念包括文本数据、由文字处理软件创建的文档数据、由电子表格软件创建的电子表格数据、计算机辅助设计(CAD)数据、图像数据、电影数据、声音数据、多媒体数据、由web浏览器显示的页面数据、将在PC上被创建、编辑和浏览并且将被打印出来的数据等。

图1中的文档管理系统包括多个本地系统100，以及用于管理本地系统(特别是用于管理稍后将描述的处理系统)的管理系统200。管理系统200可以通过诸如因特网的广域网10与每个本地系统100通信。

每个本地系统100包括连接到本地网络108的至少一个创建终端102、至少一个浏览终端104、以及处理装置110。本地网络108是在诸如公司的组织中设置的专用网络(例如，构建为LAN)。通过防火墙等保护局域网108不受广域网10的影响。基本上，在每个本地系统100中放置一个处理装置110。当组织中的专用网络具有较大规模时，形成专用网络的各个网段可以分别被视为本地系统100，并且可以在本地系统100中的每一个中放置一个处理装置110。

创建终端102是用于创建文档的终端。创建终端102的示例包括台式或笔记本式个人计算机、工作站、平板终端、智能电话、复合机、扫描仪、传真机、数码相机等。将用于文档的创建、编辑等的应用安装在创建终端102中。此外，将用于请求文档管理系统分发所创建的文档的软件安装在创建终端102中。可以认为，软件可以实现为用于与稍后将描述的处理装置110、Web应用等交换信息的设备驱动程序。

处理装置110执行保护处理，其中由创建终端102创建的文档被转换成受保护文档(下文中也被称为“eDoc文件”)。eDoc文件具有文档可在由文档管理系统提供的安全环境中使用的形式。保护处理还可以被认为是用于将原始文档编码为eDoc文件的处理。为此，处理装置110是一种编码器。在保护处理中，文档例如被转换成针对该示例性实施方式的系统设计的特定格式的数据，并且以只能由被指定为文档的分发目的地的用户解码的形式被加密。可以首先执行格式转换和加密中的任一个。

此外，处理装置110生成受保护文档的元数据，并且将所创建的元数据与受保护文档相关联地存储在构建于其内的数据库中。同时，处理装置110在作为主机系统的管理系统200中注册元数据。元数据包括受保护文档的目录项、分发目的地信息、访问权限信息、每个分发目的地可以用来解密受保护文档的密钥信息等。目录项的示例包括文档的DID的项目、已在系统中注册文档的用户(即分发者)的用户ID的项目、注册日期和时间(即编码日期和时间)的项目等。可以由相应的装置或用户根据由服务提供的功能向被包括在元数据中的一些项目赋予或更新数据。此外，例如，项目中的一部分可以由已经向文档管理系统给出注册文档的指令的用户指定，而项目中的另一部分可以由处理装置110生成。此外，元数据的一些项目的值可以由管理系统200或浏览终端104设置。此外，处理装置110将生成的受保护文档(eDoc文件)发送到用户指定的每个分发目的地的浏览终端104。

在受保护文档(即eDoc文件)中，原始文档已被转换并且加密为特定格式。eDoc文件也被称为eDoc主体。受保护文档是文档的示例。为了能够浏览eDoc文件，需要与其对应的元数据。一组eDoc文件和元数据构成可以被浏览的完整受保护文档。这样的一组eDoc文件及其对应的元数据将被称为"eDoc"。

每个用户的默认处理装置110针对用户而确定。默认处理装置110通常是放置在用户所属部门中的处理装置110。在典型的使用场景中，用户在处理装置110中注册要与用户所属部门内的其它用户共享的文档，并且将文档分发给其它用户。用户的默认处理装置110被注册在用户ID服务器210中，以便与用户的用户ID相关联。当用户向默认处理装置110之外的另一处理装置110发出注册文档的请求时，接收该请求的处理装置110将文档转换成受保护文档，生成其元数据，并且将元数据注册到管理系统200中。同时，接收到请求的处理装置110将受保护文档和元数据传输到用户的默认处理装置110。默认处理装置110将传输至其的受保护文档和元数据存储到构建于其内的数据库中。另一方面，作为传输源装置的处理装置110从其自身的存储器中删除已经传输到默认处理装置110的受保护文档和元数据。以这种方式，由用户注册的受保护文档仅存储在用户的默认处理装置110中。

浏览终端104是用于浏览受保护文档(eDoc文件)的终端。这里提到的词语“浏览”是指以与文档所表达的信息内容相对应的形式来使用受保护文档。例如，当受保护文档包括诸如文字处理器数据或绘图的文档作为信息内容时，浏览是指用户读取或查看由浏览终端104显示的文档。当由受保护文档表达的信息内容是声音时，浏览是指用户收听由浏览终端104再现的声音。浏览终端104由用于浏览受保护文档的查看器应用实现。查看器应用例如安装在诸如台式或笔记本式个人计算机、工作站、平板终端、智能电话等的通用计算机中。另选地，具有与查看器应用类似的功能的浏览专用终端(诸如电子书终端)可以用作浏览终端104。查看器应用具有通过使用元数据的信息来解码加密的受保护文档的功能，或将受保护文档的以特定格式表示的数据解码为可读数据的功能。顺便提及，不具有对应于文档管理系统的查看器应用的计算机不能将特定格式的数据解码为可读数据。

由使用文档管理系统的用户携带的认证装置130用作用于认证用户的工具。认证装置130是类似IC卡的装置，其内部具有对于携带该装置的用户唯一的标识信息，并且根据来自外部装置的请求执行用于认证用户的数据处理。认证装置130可以是内部具有类似于用于个人认证的这种IC卡的功能的诸如智能电话的便携式终端。浏览终端104或创建终端102具有通过使用诸如近场通信(NFC)的无线通信协议与认证装置130通信的功能。浏览终端104或创建终端102按照预定协议与认证装置130交换用于用户认证的信息，以认证携带认证装置130的用户。可以使用替选方式，其中文档管理系统的服务器端(例如处理装置110或管理系统200)可以在浏览终端104或创建终端102协调服务器端与认证装置130之间的数据传输的同时执行实际的用户认证。此外，可以在浏览终端104或创建终端102中构建如认证装置130的功能。

管理系统200管理每个本地系统100内的处理装置110。此外，管理系统200管理由那些处理装置110生成的受保护文档的元数据，并根据浏览终端104的请求向浏览终端104提供元数据。管理系统200由单个计算机或能够彼此通信的多个计算机构成。管理系统200具有如用户ID服务器210、DID服务器220、元数据服务器230和处理装置管理服务器240的功能。

用户ID服务器210是用于管理使用文档管理系统的各个用户的信息的服务器。使用文档管理系统的用户可以分为两类。其中一类是与文档管理系统的管理员签约以使用该系统的签约者。另一类是通过在前一类的合约下的系统的实际使用而注册或浏览文档的普通用户。例如，认为存在如下多种情况。也即，公司是签约者，并且将处理装置110放置在公司的本地网络108中。公司成员通过处理装置110而作为普通用户使用文档管理系统。用户ID服务器210单独保持关于签约者和普通用户的信息。

DID服务器220管理作为每个受保护文档的标识信息(ID)的文档ID(DID)。实际上，受保护文档由生成受保护文档的处理装置110给予DID。DID服务器220向每个处理装置110授予发布DID的权限，并且针对处理装置110设置发布限制(发布数量)。DID服务器220接收在发布权限和发布限制内由处理装置110实际发布的DID的报告，并且记录所接收的报告。因此，DID服务器220可以抑制未认证DID的发生并且检测具有未认证DID的文档。

元数据服务器230保持并且管理由处理装置110生成的受保护文档(eDoc文件)的元数据。在通过浏览终端104从用户发出对于受保护文档的元数据的请求的情况下，当用户是合法人员时，元数据服务器230向浏览终端104提供元数据。顺便提及，当用户和用户用来发出请求的浏览终端104的组合对应于分发目的地用户和分发目的地浏览终端104(在元数据服务器230所保持的与eDoc文件的DID(被包括在所述请求中)相关联的元数据中的分发目的地信息中示出)的组合时，发出元数据的请求的用户是元数据服务器230的“合法人员”。

处理装置管理服务器240是用于管理每个处理装置110的状态(状况)的服务器。

将示意性地描述图1的系统中的处理流程。

想要在文档管理系统中注册(即，想要分发)文档的用户通过使用认证装置130等登录创建终端102，并且作出注册文档的指令。用户从保持在创建终端102中的文档中选择要在文档管理系统中注册的文档，并且作出注册所选文档的指令。

响应于该指令，创建终端102接受关于所选文档的属性数据的用户应当指定的项目(诸如文档的分发目的地)的输入。这里，作为分发目的地，创建终端102可以接受用户和浏览终端104的组合的指定。在这种情况下，当用户和用于由用户浏览文档的浏览终端104的组合与被指定为分发目的地的组合一致时，用户可以浏览文档。

创建终端102向处理装置110发送属性数据以及文档的数据，属性数据包括由用户输入的诸如分发目的地的属性项和由创建终端102自身创建的其它属性项(诸如注册者的信息、创建日期和时间等)。

处理装置110对已从创建终端102接收的待注册文档应用保护处理。因此，处理装置110生成受保护文档(eDoc文件)。在该创建中，将所接收到的文档编码为用于文档管理系统的特定格式，并且使用生成的密钥对经编码的数据进行加密，以生成eDoc文件。编码和加密可以以相反的顺序执行。此外，处理装置110向eDoc文件给出唯一的DID。所生成的DID被结合在eDoc文件中(例如，作为文件属性的一项)。

此外，处理装置110生成对应于所生成的eDoc文件的元数据。元数据包括与文档一起从创建终端102接收的属性数据，以及由处理装置110自身生成的属性项的值(例如DID、处理装置自身的ID、编码日期和时间、密钥信息)。被包括在元数据中的加密密钥信息是指示用于解密eDoc文件的密钥的信息。当公用密钥被用于加密时，加密密钥信息是指示公用密钥的信息。然而，当公用密钥本身以明文(plain data)格式被包括在元数据中时，存在对于公用密钥可能由于被窃听或截取而被滥用的担忧。因此，公用密钥作为加密密钥信息而被结合在元数据中，其中公用密钥已经通过分发目的地用户的公共密钥被加密。

此外，处理装置110将eDoc文件和由此生成的元数据存储到构建于其内的数据库中。

处理装置110将所生成的元数据发送到管理系统200以在其中注册元数据。管理系统200(元数据服务器230)存储所接收的元数据。顺便提及，根据示例性实施方式特有的控制，处理装置110不向管理系统200发送关于所生成的元数据的所有项目的实体数据，而是仅发送关于一组预定(即，预先确定的)的项目部分的实体数据，如稍后将会详细描述的那样。

处理装置110将所生成的eDoc文件分发到被指定为分发目的地的浏览终端104。该分发通过本地系统100内的本地网络108来执行。

由于每个浏览终端104接收到的eDoc文件通过加密等而受到保护，因此不能原样浏览eDoc文件。想要浏览浏览终端104中的eDoc文件的用户登录到浏览终端104，并且然后作出在浏览终端104的屏幕上浏览eDoc文件的指令。接收到该指令的浏览终端104获得对可访问处理装置110或管理系统200的访问，并且向其发出对eDoc的元数据的请求。该请求包括eDoc的DID。

接收到请求的处理装置110从管理系统200获取对应于该DID的元数据的最新版本，并且将元数据发送到浏览终端104。顺便提及，在管理系统200(特别是元数据服务器230)接收请求的配置中，管理系统200将对应于DID的元数据的最新版本发送到浏览终端104。当通过用户在处理装置110上的操作对元数据进行了改变(例如，改变访问权限信息)时，该改变被发送到管理系统200，并且管理系统200反映由管理系统200自身保持的元数据的改变。以这种方式，管理系统200始终具有受保护文档的元数据的最新版本。

这里，已经接收到浏览受保护文档的指令的浏览终端104立即要求元数据的分发目的地信息和访问权限信息。因此，处理装置110或管理系统可以根据浏览终端104的请求而向浏览终端104仅发送访问权限信息。顺便提及，分发目的地信息包括例如被指定为受保护文档的分发目的地的用户ID的列表。此外，分发目的地信息还可以包括成对的用户ID和终端ID的列表。另一方面，访问权限信息包括指示与被包括在受保护文档的分发目的地信息中的用户的用户ID相关联的每个用户的权限的内容(例如仅允许浏览、允许浏览和编辑等)的信息。也就是说，访问权限信息包括作为具有对eDoc的授权访问权限(诸如浏览eDoc的权限)的目的地的授权用户的信息。访问权限信息是认证用户信息的示例。当用户请求浏览终端104浏览eDoc时，浏览终端104向处理装置110发出对eDoc的最新元数据的请求，并且检查由此获取的元数据中的访问权限信息。当从最新元数据中发现用户具有对eDoc的访问权限(例如浏览eDoc的权限)时，浏览终端104显示eDoc的内容。当发现用户没有对eDoc的访问权限时，浏览终端104拒绝显示eDoc的内容的请求。

在接收到所请求的元数据时，浏览终端104确定浏览终端104和正在使用浏览终端104的用户的组合是否被包括在属于元数据的分发目的地信息中。当不包括该组合时，确定用户没有浏览浏览终端104中的eDoc的权限。因此，浏览终端104不打开eDoc文件，而是显示指示用户没有浏览权限的错误消息。当包括该组合时，确定用户具有浏览浏览终端104中的eDoc文件的权限。在这种情况下，浏览终端104通过使用被包括在eDoc文件的元数据中的密钥信息来解码eDoc文件，并且以对应于eDoc文件的解码结果的信息内容的形式输出eDoc文件。

在元数据首次在管理系统200中注册之后，被包括在元数据中的分发目的地信息或访问权限信息可以由分发者或已被授权改变分发目的地的人员(例如已被授权编辑数据的人员)进行改变。处理装置110具有从分发者接受关于定义每个用户对分发者已注册的eDoc文件的访问权限内容的访问权限信息的输入或改变的功能。在创建并且注册eDoc时被指定为分发目的地的用户可能由于稍后进行的改变而被排除在分发目的地之外。在这种情况下，浏览终端104根据被包括在从管理系统200获取的最新元数据中的分发目的地信息检测该事实。因此，浏览终端104不显示eDoc文件。

尽管图1示出了具有包括管理系统200和一组处理装置110的两层结构的系统，但是可以将另一层或其它层插入到管理系统中，使得系统具有三层或更多层。图2示出了三层系统。

在图2所示的示例中，在组织内网络中存在多个本地系统100，该组织内网络是诸如公司的组织的专用网络。用于本地系统100的组织内网络或本地网络108是内部网络的示例。

在组织内网络中设置组织内管理系统150。组织内管理系统150管理文档管理系统的组织内的处理和该处理所需的信息。也就是说，管理系统200由文档管理系统的服务提供者操作，以管理关于使用该文档管理系统的多个组织的信息和处理，而组织内管理系统150在管理系统200的控制下管理信息和处理中与组织内管理系统150所属的组织有关的部分。

组织内网络通过防火墙300连接到作为外部网络的示例的因特网上的管理系统200。例如，组织内网络构成管理系统200的外联网。组织内网络通过防火墙300连接到因特网。

组织内管理系统150具有本地用户ID服务器152、本地DID服务器154和本地元数据服务器156。

本地用户ID服务器152管理属于组织的成员的已在文档管理系统中注册的用户的信息。由本地用户ID服务器152保持的个人用户的信息类似于由用户ID服务器210保持的普通用户的信息。当获取和使用处理装置110的用户(即，将处理装置110设置为“默认处理装置”的用户)在处理装置110中注册时，处理装置110将注册用户的信息发送到组织内的本地用户ID服务器152。本地用户ID服务器152存储接收到的用户信息，并通过防火墙300将该信息发送到因特网上的中央管理系统200的用户ID服务器210。用户ID服务器210维护接收到的用户信息。此外，当注册在处理装置110中的用户的信息发生改变时，管理员等改变处理装置110上的用户的信息。处理装置110向本地用户ID服务器152发送关于用户信息的改变内容的信息(例如包括用户ID、改变的信息项目的项目名称以及项目的改变值)。本地用户ID服务器152根据接收到的改变内容来改变由本地用户ID服务器152自身维护的用户信息。此外，本地用户ID服务器152将接收到的改变内容的信息发送到中央用户ID服务器210。用户ID服务器210根据发送给它的信息改变由用户ID服务器210自身保持的用户的信息。

本地DID服务器154接收并且维护从属于该组织的组织内网络的每个本地系统100中的处理装置110发布的DID。由本地DID服务器154保持的信息类似于由DID服务器220保持的信息。此外，本地DID服务器154将从处理装置110接收的DID的信息发送到中央DID服务器220。DID服务器220维护该信息。此外，通过中央DID服务器220向本地DID服务器154授予发布DID的权限和发布DID的限制。在所授予的发布DID的限制内和在所授予的发布DID的权限下，本地DID服务器154向本地DID服务器154下的每个处理装置110授予发布DID的权限和发布DID的限制。

本地元数据服务器156接收由属于组织的组织内网络的每个本地系统100中的处理装置110生成的eDoc的元数据，并且维护所接收的元数据。由本地元数据服务器156保持的信息类似于由元数据服务器230保持的信息。此外，本地元数据服务器156将从处理装置110接收的元数据发送到中央元数据服务器230。元数据服务器230维护所接收的元数据。

<示例性实施方式>

下面将描述一种机制，其中由文档管理系统外部的服务器提供的应用可以应用于在系统中注册的受保护文档。

图3是以示例的方式示出根据示例性实施方式的文档管理系统的配置的示图。图3所示的系统基于包括图2所示的组织内管理系统150的层的系统。然而，这仅仅是一个示例。示例性实施方式的方法可以应用于具有更多层的系统，或者相反地，可以应用于如图1所示的仅具有管理系统200和本地系统100两层的系统。

在图3的系统中，诸如因特网的外部网络上的管理系统200通过外部网络安全地连接到外部应用服务器400。外部应用服务器400提供用于对文档管理系统内的受保护文档或其元数据执行某些应用(即信息处理)的服务。外部应用服务器400是外部服务器的示例。尽管在图3中仅示出了一个外部应用服务器400，但是多个外部应用服务器400可以提供各种应用。顺便提及，由外部应用服务器400提供的应用将称为外部应用。

这种外部应用的示例包括用于将eDoc的文档内容翻译为特定语言的应用、用于生成eDoc的文档内容的摘要的应用、用于分析eDoc的元数据的应用等。然而，这些仅仅是示例。

图3的系统具有外部应用GWS(网关服务器)320。外部应用GWS(下文中也被简称为GWS)320为网关，其用于安全地和自动地在本地系统100内的每个用户和外部应用服务器400之间起媒介作用，以交换使用外部应用的请求、要由外部应用处理的数据、由外部应用处理的结果的数据等。

外部应用GWS 320被设置为使得外部应用GWS 320可以与作为内部网络的组织内网络上的任何装置以及诸如因特网的外部网络上的任何装置进行通信。在图3的示例中，外部应用GWS 320被设置为防火墙300内的装置，以将组织内网络与外部网络分离。然而，这只是一个示例。只要外部应用GWS 320能够与组织内网络和外部网络两者通信，都能够良好地工作。外部应用GWS 320的安装位置不限于防火墙300的内部。

下面将详细描述在图3的系统中与根据示例性实施方式的控制相关的元件。

<处理装置>

图4以示例的方式示出了处理装置100的配置。处理装置110是内部装置的示例。如图4所示，处理装置110包括管理信息存储部112、用户DB 114、文档DB 116、请求接受部117和数据提供部119。

管理信息112a存储在管理信息存储部112中。管理信息112a包括诸如主机装置地址信息、安全证书、加密密钥、编码软件名称、编码软件版本、加密软件名称、加密软件版本等项目。主机装置地址信息是关于管理处理装置110的每个主机装置的通信地址(诸如IP地址或URL)的信息。这种主机装置的示例包括管理系统200、属于管理系统200的服务器210至240、组织内管理系统150、属于组织内管理系统150的服务器152至156等。安全证书是用于基于公共秘钥基础设施的在处理装置110和网络上的另一装置之间的安全通信的数字证书服务。处理装置110保持处理装置110经常与之通信的每个主机装置的安全证书。此外，处理装置110可以保持使用创建终端102或浏览终端104的每个用户的安全证书。加密密钥是处理装置110的加密密钥，其例如用于在处理装置110与网络上的另一装置通信时进行加密或解码，或用于由处理装置110进行数字签名(或生成与其类似的证书信息)。例如，加密密钥包括在公共密钥基础设施中被授予处理装置110的一对私有密钥和公共密钥。编码软件和加密软件分别是安装在处理装置110中的编码(转换为特定格式)和加密程序。

在处理装置110中注册的每个用户(即将处理装置110设置为“默认处理装置”的每个用户)的用户信息114a存储在用户DB 114中。每个注册用户的用户信息114a包括诸如用户ID、口令、用户ID密钥信息、公共密钥信息、默认浏览终端列表等项目。用户ID密钥信息是将由用户的认证装置130使用的用户的认证信息。默认浏览终端列表是用户主要使用的一个或更多个浏览终端的ID列表。

文档DB 116存储由处理装置110生成的每个eDoc文件和对应于eDoc文件的元数据。由于eDoc文件和元数据包括DID信息，因此eDoc文件和元数据可以彼此关联。此外，还没有被编码到eDoc的原始数据(从创建终端102接收的)可以与eDoc的DID相关联地注册。文档DB 116是设置在作为内部装置的示例的处理装置110中的存储单元的示例。

请求接受部117是请求接受单元的示例，其执行处理以从用户接受使用外部应用的请求(下文中被称为应用使用请求或使用请求)，并且将所接受的应用使用请求传输到主机装置(即图3的示例中的组织内管理系统150)。所传输的应用使用请求通过组织内管理系统150和外部应用GWS 320而被发送到外部应用服务器400。此外，请求接受部117接收外部应用的处理结果作为对于应用使用请求的应答，并且将处理结果提供给请求源的用户或将处理结果反映在文档DB 116中的元数据上。

数据提供部119执行用于向外部应用提供由用户请求的外部应用所需的eDoc文件和/或元数据的处理。数据提供部119是数据提供单元的示例。

<外部应用GWS>

接下来，将以示例的方式参照图5来描述外部应用GWS 320的功能和配置。外部应用GWS 320是中间装置的示例。外部应用GWS 320具有请求传输部322、服务器请求处理部324和处理结果传输部326。

请求传输部322将通过组织内管理系统150从用户接收的应用使用请求传输到可以执行外部应用的外部应用服务器400。请求传输部322是请求发送单元的示例，并且应用使用请求是请求数据的示例。

这里，为了适当地执行外部应用，外部应用所需的一组数据项必须被包括在使用请求中。执行外部应用所需的该组数据项在某些情况下可以在组织内网络内，或者在另一情况下可以在外部网络上。因此，当执行外部应用所需的数据项没有被包括在通过组织内管理系统150从用户接收的使用请求中时，请求传输部322从组织内网络内的装置或从外部网络上的装置获取数据项。以这种方式，请求传输部322具有从组织内网络上的装置(诸如处理装置110)以及从外部网络上的装置(诸如外部应用服务器400或管理系统200)获取应当被包括在应用使用请求中以被传输到外部应用的数据项的功能。将包括由此获取的数据项的应用使用请求发送到外部应用服务器400。

当从外部应用GWS 320接收到应用使用请求时，外部应用服务器400向外部应用GWS 320发送数据请求，以便根据应用请求获取执行外部应用所需的数据。

服务器请求处理部324从外部应用服务器400接收数据请求，并且从组织内网络内的装置(诸如处理装置110)获取由数据请求指示的数据。此外，服务器请求处理部324将所获取的数据发送到外部应用服务器400。

处理结果传输部326接收外部应用服务器400的处理结果的数据(被称为处理结果数据)作为对于应用使用请求的应答，并将处理结果数据传输到已接受来自用户的应用使用请求的处理装置110。在这种情况下，处理结果传输部326可以将处理结果数据直接传输到处理装置110，或者可以沿着与已传输应用使用请求的路径相反的路径传输处理结果数据。在后一种情况下，处理结果传输部326将处理结果数据传输到组织内管理系统150。处理结果传输部326是处理结果发送单元的示例。

这里，将描述被包括在要被传输到外部应用服务器400的应用使用请求中的多个数据项。在示例性实施方式中，要被传输到外部应用服务器400的应用使用请求必须包括以下数据项(a)至(e)。

(a)请求接受地址信息

请求接受地址信息是指示由外部应用服务器400专门准备以便接受应用使用请求的接受地址(例如URL)的信息。

在示例性实施方式中，当外部应用GWS 320向外部应用服务器400发送应用使用请求时，外部应用GWS 320获得对外部应用服务器400的已知固定查询地址的访问，并且执行与外部应用服务器400的握手处理。在握手处理中，外部应用服务器400生成对于应用使用请求是唯一的接受地址，并且将接受地址提供给外部应用GWS 320。外部应用GWS 320向接受地址发送应用使用请求。指示接受地址的信息是请求接受地址信息。顺便提及，当应用使用请求的处理终止时，外部应用服务器400使对应于该应用使用请求的接受地址(即，请求接受地址信息)无效。以这种方式，可以降低第三方可能使用接受地址的安全风险。请求接受地址信息是由外部应用服务器400临时生成的地址数据的示例。

(b)用于外部网络的外部应用GWS 320的地址信息

该地址信息是指示当外部网络上的装置获得对外部应用GWS 320的访问时要使用的地址的信息。地址信息例如以URL格式表示。

外部应用服务器400向外部应用GWS 320发送处理结果数据，作为对从外部应用GWS 320接收的应用使用请求的应答。此时，外部应用服务器400将处理结果数据发送到由地址信息指示的地址。此外，在外部应用服务器400向外部应用GWS 320发出对应用使用请求的处理所需的数据的请求的情况下，外部应用服务器400可以将该请求发送到由地址信息指定的地址。

地址信息可以是固定的。此外，作为地址信息，外部应用GWS 320可以以与上述请求接受地址信息相同的方式生成专用于应用使用请求的地址信息。

(c)对外部应用GWS 320的访问权限信息

该访问权限信息是指示发出应用使用请求的用户是否可以使用外部应用GWS 320的信息。该访问权限信息用于确定外部应用GWS 320是否应该接受来自用户的应用使用请求。此外，当包括访问权限信息的应用使用请求发送到外部应用服务器400时，第三方不能轻易地模仿外部应用GWS 320。

(d)应用ID和访问密钥

应用ID是由应用使用请求预期(intended)的外部应用的标识信息。访问密钥是指示外部应用的可用功能和可用级别的信息。例如，外部应用的提供者向具有组织内网络的组织发布使用外部应用的许可证。许可证包括访问密钥。基于被包括在应用使用请求中的应用ID和访问密钥，外部应用服务器400识别要执行哪个外部应用，并确定是否提供应用使用请求所要求的功能(即，是否允许用户使用该功能)。

(e)请求信息

请求信息是作为应用使用请求的主体的信息。请求信息由表示应用使用请求的内容的至少一个项目组成。请求信息包括例如DID、用户ID、元数据ID、应用功能ID等中的一个或更多个项目。DID是将由与应用使用请求相关的外部应用处理的eDoc的ID。用户ID是作出应用使用请求的用户的ID。元数据ID是将由与应用使用请求相关的外部应用处理的元数据项的标识信息。元数据ID是元数据指定信息的示例。元数据项是构成元数据的项目(诸如DID、用户ID、访问权限信息、密钥信息等)。特定eDoc的特定元数据项由eDoc的DID和元数据项的元数据ID的组合来指定。在元数据项中，存在用于存储外部应用的处理结果的项目。此外，请求信息可以包括当用户向处理装置110发出使用外部应用的请求时用户所使用的终端(诸如浏览终端104)的终端ID。每个元数据项是构成元数据的元素的示例。元数据ID是用于唯一地标识元数据的元素的元素标识信息的示例。

应用功能ID是在想要使用外部应用的用户的应用使用请求中所请求使用的外部应用的功能的标识信息。应用功能ID例如由外部应用的标识信息(即，应用ID)和在外部应用的一个或更多个功能中由用户所请求使用的功能的标识信息的组合来表示。

例如，由管理系统200的管理员对向示例性实施方式的文档管理系统提供外部应用的提供者进行关于外部应用的检查。当提供者通过检查时，管理员将应用ID授予外部应用。同时，还为外部应用所提供的一个或更多个功能中的每一个授予ID。此外，对于外部应用的每个功能，还授予元数据项的ID。元数据项用作写入目的地，其中由功能处理的结果应当写入该写入目的地。

当外部应用GWS 320向外部应用服务器400发送应用使用请求时，从外部应用服务器400获取在上文以示例的方式描述的数据项(a)至(e)的组中的数据项(a)。也就是说，数据项(a)是由外部应用GWS 320从外部网络获取的数据项的示例。数据项(b)是已知的或由外部应用GWS 320自身生成的。数据项(c)是用户的一条属性信息。例如，数据项(c)由组织内管理系统150内的本地用户ID服务器152进行管理。此外，由于处理装置110允许用户选择用户想要使用的外部应用，所以处理装置110可以抓取数据项(d)的应用ID。此外，访问密钥与应用ID相关联地由组织内管理系统150进行管理。当处理装置110从用户接受对外部应用的使用请求时，指定数据项(e)中的DID、用户ID和应用功能ID中的每一项。此外，根据所指定的应用功能ID来确定元数据ID(例如，在组织内管理系统150中)。

接下来，将参照图6描述由组织内管理系统150保持的外部应用的管理信息的示例。

作为示例，图6所示的外部应用的管理信息包括应用ID、外部应用服务器的查询地址信息、访问密钥、合约分类信息、期满时间和收费条件信息。针对由一组外部应用服务器400提供的每个外部应用创建并且管理管理信息。应用ID是外部应用的标识信息。外部应用服务器的查询地址信息是执行外部应用的外部应用服务器400的固定查询地址(例如URL)。如上所述，外部应用GWS 320获取对外部应用服务器400的固定查询地址的访问，并且获取用作应用使用请求的发送目的地的请求接受地址信息。外部应用GWS 320从组织内管理系统150获取与被包括在由用户发出的使用请求中的应用ID相对应的外部应用服务器400的查询地址的信息。访问密钥是由使用组织内管理系统150的组织获取的关于外部应用的访问密钥。前文已经描述了访问密钥的内容。合约分类信息是指示组织和外部应用的提供者之间的合约的分类的信息。期满时间是访问密钥的期满时间。收费条件信息是提供如何合计关于组织中的外部应用的收费(例如，是向用户收费还是向用户所属的部门收费)的信息。

在作为示例而示出在图6中的管理信息中，外部应用服务器的应用ID和查询地址信息不是对于组织唯一的信息。因此，外部应用服务器的应用ID和查询地址信息可以由中央管理系统200管理。

接下来，将参照图6描述外部应用的使用流程。

(1)根据来自用户的请求，处理装置110通过网络向用户的浏览终端104提供UI屏幕，在UI屏幕中，用户可以输入执行外部应用的指令。UI屏幕可以是例如示出用户具有访问权限并且存储在处理装置110的文档DB 116中的eDoc列表的屏幕。

(2)用户在UI屏幕上执行操作以请求使用外部应用。例如，当用户在UI屏幕上选择一个eDoc时，显示可以在eDoc上执行的处理的菜单。菜单包括分别指示由一组外部应用提供的功能的菜单项。例如，假设由外部应用服务器400提供的被称为各种语言翻译服务的外部应用提供包括翻译为汉语的功能和翻译为阿拉伯语的功能的多个功能。在这种情况下，分别对功能提供菜单项。表示外部应用的功能的菜单项中的每个与唯一指定该功能的外部应用功能ID相关联。外部应用功能ID例如由外部应用的应用ID和外部应用内的功能的ID(例如，分配给由外部应用提供的功能的序列号)的组合来表示。顺便提及，一些应用可以仅提供一个功能。在这种情况下，该功能的外部应用功能ID可以与外部应用的应用ID相同。

如上所述，在一个示例中，用户在UI屏幕上选择eDoc并且选择要应用于所选eDoc的外部应用的功能。因此，可以将用户的使用外部应用的指令的内容发送到处理装置110。

(3)处理装置110按照由用户输入的指令的内容生成应用使用请求，并且将应用使用请求传递到用于处理装置110的主机组织内管理系统150。应用使用请求包括数据项，该数据项包括用户的用户ID、指定由用户选择的外部应用的功能的外部应用功能ID以及应该应用该功能的eDoc的DID。此外，应用使用请求可以包括处理装置110的ID。

(4)组织内管理系统150向从处理装置110接收的应用使用请求添加要被包括在请求中的数据项的中由组织内管理系统150自身持有的数据项。例如，组织内管理系统150从被包括在应用使用请求中的应用功能ID获得对应于应用功能ID的应用ID，并且将对应于所获得的应用ID的访问密钥添加到应用使用请求。顺便提及，当应用ID被包括在应用功能ID中时，这种添加不是必需的。此外，组织内管理系统150从用于由组织内管理系统150自身持有的应用ID的访问ID中选择对应于应用ID的访问密钥，并且将所选择的访问密钥添加到应用使用请求。此外，对于每个应用功能ID，组织内管理系统150保持元数据项的ID(即，元数据ID)，元数据项的ID用作当执行由应用功能ID指示的外部应用的功能时应当存储处理结果的目的地。组织内管理系统150获得对应于被包括在应用使用请求中的应用功能ID的元数据ID，并且将获得的元数据ID添加到应用使用请求。此外，组织内管理系统150从被包括在应用使用请求中的用户ID获得对应于用户ID的对应用GWS的访问权限信息，并且将获得的访问权限信息添加到应用使用请求。然后，组织内管理系统150向外部应用GWS320发送已经由此添加了必要的数据项的应用使用请求。

(5)在从组织内管理系统150接收到应用使用请求时，外部应用GWS 320基于被包括在使用请求中的对外部应用GWS 320的访问权限信息来确定是接受还是拒绝应用使用请求。当确定拒绝使用请求时，外部应用GWS 320通过组织内管理系统150和处理装置110或直接地向用户的浏览终端104发送由于没有权限而不能接受请求的错误消息。

另一方面，当确定接受应用使用请求时，外部应用GWS 320从管理系统200获取关于提供与被包括在应用使用请求中的应用ID相对应的外部应用的外部应用服务器400的固定查询地址的信息。在该示例中，假设外部应用服务器400的固定查询地址的信息由管理系统200进行管理。在这种情况下，例如，当外部应用服务器400的查询地址由于某种原因而改变时，只要改变反映在由中央管理系统200管理的信息上，都将会良好地工作。

(6)外部应用GWS 320获得对所获取的查询地址的访问，并且执行与外部应用服务器400的握手。因此，外部应用GWS 320从外部应用服务器400接收指示应用使用请求本次应当被发送到的临时目的地地址的请求接受地址信息。

(7)外部应用GWS 320将请求接受地址信息和外部应用GWS 320自身用于外部网络的地址信息添加到从组织内管理系统150接收的应用使用请求。然后，外部应用GWS 320将添加的应用使用请求发送到外部应用服务器400。在这种情况下发送的应用使用请求的数据通过外部应用GWS 320和外部应用服务器400之间的传输路径的加密而受到保护。通过上述处理，应用使用请求被发送到由请求接受地址信息指示的地址。

(8)外部应用服务器400根据从外部应用GWS 320接收的应用使用请求来执行外部应用。稍后将详细描述外部应用的这种执行。

(9)外部应用服务器400将通过执行外部应用获得的处理结果数据发送到被包括在应用使用请求中的外部应用GWS320的用于外部网络的地址。处理结果数据伴随有被包括在应用使用请求中的用户ID的信息和/或由用户使用的终端的终端ID的信息。

(10)使用伴随处理结果数据的用户ID或终端ID，外部应用GWS 320指定作为应用使用请求的发布源的用户的浏览终端104，并且通过组织内网络将处理结果数据发送到浏览终端104。浏览终端104在屏幕上显示所接收的处理结果数据。

(11)此外，外部应用服务器400将用于处理以记录关于外部应用的使用的日志(下文中被称为日志处理)的数据发送到外部应用GWS 320。该数据包括已经应用了外部应用的eDoc的DID，以及指定用于存储处理结果数据的元数据项的元数据ID。

(12)外部应用GWS 320将用于日志处理的数据传递到组织内管理系统150。

组织内管理系统150将所接收的用于的日志处理的数据反映到本地元数据服务器156上。也就是说，组织内管理系统150将被包括在用于日志处理的数据中的日志信息添加到由外部应用处理的eDoc的元数据中的日志信息。日志包括诸如外部应用的执行日期和时间、外部应用服务器400的ID、所执行的外部应用的标识名称、发布指令的用户的ID等项目。

此外，由组织内管理系统150从外部应用GWS 320接收的用于日志处理的数据包括处理结果数据、DID和元数据ID。组织内管理系统150将处理结果数据写入与对应于本地元数据服务器156内的DID的元数据中的元数据ID相对应的元数据项中。

(13)组织内管理系统150与接受来自用户的应用使用请求的处理装置110执行元数据的同步处理。结果，在上述步骤(12)中更新的元数据的内容(即，日志和处理结果数据的添加)也反映在处理装置110中的文档DB 116上。

接着，将进一步详细描述上述步骤(8)中外部应用服务器400的处理。

外部应用服务器400根据被包括在从外部应用GWS 320接收的应用使用请求中的应用功能ID指定外部应用的要执行的功能。此外，当需要预期eDoc或元数据来执行外部应用的指定功能时，外部应用服务器400获取eDoc或元数据。

例如，假设该功能正在处理(翻译)eDoc的内容。在这种情况下，外部应用服务器400向外部应用GWS 320发送文档请求。文档请求包括应用使用请求中所包括的DID。DID是用于唯一地标识文档的文档标识信息的示例。此外，文档请求可以包括外部应用服务器400的公共密钥。接收文档请求的外部应用GWS 320向存储对应于DID的eDoc的处理装置110(在该示例中，为已经接受来自用户的应用使用请求的处理装置110)发送提供eDoc的指令。接收到提供eDoc的指令的处理装置110将eDoc(其已经被加密)和其中用于解码eDoc的密钥利用外部应用服务器400的公共密钥而加密的数据(该数据称为密钥数据)彼此关联地发送到外部应用GWS 320。外部应用GWS 320将从处理装置110接收的eDoc和密钥数据发送到外部应用服务器400。外部应用服务器400从外部应用GWS 320接收eDoc和密钥数据。外部应用服务器400利用外部应用服务器400自身的私有密钥对密钥数据进行解码，以获得用于对eDoc进行解码的解码密钥。外部应用服务器400利用解码密钥对eDoc进行解码，以获得指示eDoc的内容的明文数据。然后，外部应用服务器400对明文数据执行与所请求的外部应用的功能相关的处理。外部应用服务器400将作为处理结果获得的处理结果数据发送回外部应用GWS320，然后删除纯明文数据。

在上述处理流程中，外部应用GWS 320从处理装置110接收eDoc和密钥数据，但是不能解码密钥数据。毕竟，外部应用GWS 320不能知道eDoc的内容。因此，eDoc的内容仅对已接受eDoc注册的处理装置110、对eDoc具有访问权限的用户以及对eDoc执行处理的外部应用服务器400开放。

当应用请求数据中的应用功能ID指示的功能正对eDoc的元数据项进行处理时，外部应用服务器400向外部应用GWS 320发送请求。该请求包括应用使用请求中所包括的DID以及指示元数据项的元数据ID。该请求是元数据请求的示例。接收该请求的外部应用GWS320向存储由DID指定的eDoc的处理装置110发送包括DID和元数据ID的请求。处理装置110将由被包括在请求中的DID和元数据ID的组合指定的元数据项的值发送回外部应用GWS320。外部应用GWS 320将从处理装置110接收的元数据项的值发送到外部应用服务器400。在该发送的情况下，外部应用GWS 320加密元数据项的值，并且将通过加密获得的数据发送到外部应用服务器400。该数据是加密元数据的示例。外部应用服务器400解码所接收到的数据以获得元数据项的值，并且使用所获得的值来执行与所请求的外部应用的功能相关的处理。

以上通过示例的方式描述的创建终端102、浏览终端104、处理装置110、本地用户ID服务器152、本地DID服务器154、本地元数据服务器156、用户ID服务器210、DID服务器220、元数据服务器230、处理装置管理服务器240、外部应用GWS 320等当中的每个装置可以通过使计算机执行将功能表示为装置的程序来实现。这里，例如，计算机具有作为硬件的电路结构，其中微处理器(诸如CPU)、存储器(主存储器)(诸如随机存取存储器(RAM)、只读存储器(ROM)等)、用于控制固定存储单元(诸如闪存或固态驱动器(SSD)、硬盘驱动器(HDD)等)的控制器、各种输入/输出(I/O)接口、用于控制与网络(诸如局域网)的连接的网络接口等已通过总线等连接。针对这些功能的处理的内容所描述的程序经由网络等存储在固定存储单元(诸如闪存存储器)中，并且安装在计算机中。存储在固定存储单元中的程序在RAM上被读取并且由诸如CPU的微处理器执行。因此，可以实现以上通过示例的方式描述的功能模块组。

为了说明和描述的目的，已经提供了对于本发明实施方式的上述描述，但是并非旨在穷举或将本发明限制于所公开的精确形式。显然，许多修改和变化对本领域技术人员来说是显而易见的。选择和描述这些实施方式是为了最好地解释本发明的原理及其实际应用，由此使得本领域的其他技术人员能够理解本发明的各种实施方式以及适合于预期的特定用途的各种修改。本发明的范围由所附权利要求及其等同形式限定。

附图标记列表

100本地系统、102创建终端、104浏览终端、108本地网络、110处理装置、112管理信息存储部、114用户DB、116文档DB、117请求接受部、119数据提供部、130认证装置、150组织内管理系统、152本地用户ID服务器、154本地DID服务器、156本地元数据服务器、200管理系统、210用户ID服务器、220DID服务器、230元数据服务器、240处理装置管理服务器、300防火墙、320外部应用网关服务器(GWS)、322请求传输部、324服务器请求处理部、326处理结果传输部以及400外部应用服务器。

Claims (8)

1.一种信息处理系统，所述信息处理系统包括：

一个或更多个内部装置，所述一个或更多个内部装置连接到内部网络，所述内部网络通过防火墙连接到外部网络；以及

中间装置，所述中间装置能够与所述内部网络和所述外部网络进行通信；

所述内部装置中的每一个包括：

存储单元，所述存储单元存储一个或更多个文档以及所述文档中的每一个的元数据；以及

请求接受单元，所述请求接受单元从用户接受对于通过所述外部网络上的外部服务器对存储在所述存储单元中的所述文档中的一个文档进行处理的请求，并将所接受的请求发送到所述中间装置；

所述中间装置包括：

请求发送单元，请求发送单元接收所述请求，从所述外部网络获取所述外部服务器为执行所述请求所需的多个数据项中的至少一个数据项，通过所述内部网络从发送所述请求的所述内部装置获取所述数据项中的另外一个或更多个数据项，并且将包括所获取的多个数据项的所请求的数据发送到所述外部服务器。

2.根据权利要求1所述的信息处理系统，所述信息处理系统还包括：

外部装置，所述外部装置连接到所述外部网络；其中：

所述内部装置接受将至少一个授权用户作为被授予浏览所述文档的权限的目的地的指定，将指示所指定的所述至少一个授权用户的认证用户信息结合到所述存储单元中的所述文档的所述元数据中，将所述元数据注册到所述外部装置中，并且在所述文档已经被加密的状态下向所述至少一个授权用户中的每一个的浏览装置提供存储在所述存储单元中的所述文档，使得所述至少一个授权用户能够解码被加密的所述文档；

所述外部装置存储从所述内部装置注册的所述元数据；

在用户发出浏览在浏览终端内的所述文档的请求的情况下，所述浏览装置检查所述用户是否作为所述至少一个授权用户中的一个而被包括在存储于所述内部装置或所述外部装置的可访问装置中的所述文档的所述元数据中所包括的所述认证用户信息中，当所述用户作为所述至少一个授权用户中的一个而被包括时，解码并且显示所述文档，并且当所述用户没有作为所述至少一个授权用户中的一个而被包括时，禁止显示所述文档；

要进行处理的所述文档的文档标识信息被包括在所述多个数据项中；

所述中间装置还包括：

服务器请求处理单元，所述服务器请求处理单元执行处理，在所述处理中，当从接收请求数据的所述外部服务器接收到包括所述文档标识信息的文档请求时，将向所述外部服务器提供对应于所述文档标识信息的所述文档的提供指令发送到存储所述文档的所述内部装置，并且将根据所述提供指令从所述内部装置加密和提供的所述文档发送到所述外部服务器；并且

所述内部装置包括：

数据提供单元，所述数据提供单元在所述文档已经被加密的状态下向所述中间装置提供由所述提供指令预期接收到的文档，使得所述外部服务器能够解码所述文档，但是所述中间装置不能解码所述文档。

3.根据权利要求2所述的信息处理系统，其中：

在所述多个数据项中包括元数据指定信息，所述元数据指定信息指定由所述处理预期的所述元数据或所述元数据的一部分；并且

在从接收所述请求数据的所述外部服务器接收到包括所述元数据指定信息的元数据请求时，所述中间装置的所述服务器请求处理单元从所述外部装置或所述内部装置获取对应于所述元数据指定信息的所述元数据或所述元数据的一部分，将所获取的所述元数据或所述元数据的一部分转换成能够由所述外部服务器解码的加密的元数据，并且将加密的元数据或元数据的一部分发送到所述外部服务器。

4.根据权利要求1至3中任一项所述的信息处理系统，其中，所述多个数据项中的一个是作为用于所述外部网络的地址信息的所述中间装置的地址信息。

5.根据权利要求1至4中任一项所述的信息处理系统，其中，所述中间装置还包括：

处理结果发送单元，所述处理结果发送单元接收指示所述处理的结果并且从所述外部服务器发送的处理结果数据，并且将所接收的所述处理结果数据通过所述内部网络发送到发送对应于所述处理的所述请求的所述内部装置。

6.根据权利要求1至5中任一项所述的信息处理系统，其中：

在所述文档的所述元数据中包括多个元素；

在所述多个数据项中包括所述文档的文档标识信息和元素标识信息，所述元素标识信息指示所述文档的所述元数据中所包括的所述元素中应当写入作为所述处理的结果的处理结果数据的元素；并且

当从所述外部服务器接收到所述文档标识信息、所述元素标识信息和对应于请求数据的处理结果数据时，所述中间装置进行控制，使得所述处理结果数据被写入与存储在所述内部装置的所述存储单元中的所述文档标识信息相对应的所述文档的所述元数据的一组元素中与所述元素标识信息相对应的元素。

7.根据权利要求1至6中任一项所述的信息处理系统，其中，当接收到来自用户的所述请求时，所述中间装置从所述内部网络上的预定装置获取指示所述用户是否具有使用所述中间装置的权限的信息，并且当从所获取的信息中发现所述用户不具有使用所述中间装置的权限时，进行控制以拒绝来自所述用户的所述请求。

8.根据权利要求1至7中任一项所述的信息处理系统，其中：

所述中间装置经由所述外部网络从所述外部服务器获取由所述外部服务器临时生成并且指示请求数据的地址的地址数据；并且

所述请求发送单元向所述外部服务器发送包括作为所述数据项中的一个的所述地址数据的所述请求数据。

Images