JP2001325249A

JP2001325249A - 文書提供装置及びシステム

Info

Publication number: JP2001325249A
Application number: JP2000140790A
Authority: JP
Inventors: Susumu Otake; 晋大竹
Original assignee: Fuji Xerox Co Ltd
Current assignee: Fujifilm Business Innovation Corp
Priority date: 2000-05-12
Filing date: 2000-05-12
Publication date: 2001-11-22

Abstract

(57)【要約】【課題】アクセス権限の異なるユーザに対する文書の
開示管理を、文書の構成要素単位で行えるようにする。【解決手段】文書サーバ３０に格納されたＨＴＭＬ文
書は、構成要素単位でセキュリティレベルが設定されて
いる。ユーザがプリントシステム１０に、文書サーバ３
０内の文書を印刷対象に指定して印刷指示を行った場
合、プリントシステム１０は、文書サーバ３０からその
文書を取得するとともに、ディレクトリサービスなどか
らそのユーザのセキュリティレベルの情報を取得する。
そして、プリントシステム１０は、取得した文書の各構
成要素のセキュリティレベルとそのユーザのセキュリテ
ィレベルとを比較し、各構成要素ごとに、その要素がそ
のユーザに開示可能か否かを判定する。そして、開示不
可と判定した要素については伏せ字等の画像に置き換え
て印刷する。

Description

【発明の詳細な説明】

【０００１】

【発明の属する技術分野】本発明は、ユーザからの要求
に応じて文書出力を行う文書提供装置に関する。

【０００２】

【従来の技術】ＬＡＮ上の文書サーバやインターネット
上のＷｅｂ（ウェブ）サーバなど、ユーザに電子文書を
提供するシステムが普及している。また、近年、ユーザ
から直接又はネットワークを介して文書のＵＲＬの指定
を受け、このＵＲＬを用いてインターネット上のその文
書を取得して印刷する機能を持つプリンタも開発されて
いる。

【０００３】このようなシステムにおいては、文書開示
に関するセキュリティ管理が重要な問題となる。例え
ば、企業活動において作成され保存される文書は、広く
一般に公開する文書から高度な機密を要する文書まで、
セキュリティのレベルが多岐にわたる。このような電子
文書のセキュリティ管理は、従来例えば、個々のユーザ
やユーザグループに対し、文書ファイル単位やフォルダ
（ディレクトリ）単位でアクセス権を設定することによ
り行われていた。また、Ｗｅｂページ（ＨＴＭＬ文書）
へのアクセスを受け付ける際に、パスワード入力などに
よりユーザ認証を行って、予め許可されたものしかＨＴ
ＭＬ文書を閲覧できないようにすることも広く行われて
いる。

【０００４】また、特開平９−２９３０３６号公報に
は、クライアント装置からプリントサーバに印刷操作指
示を発行する際、発行者のユーザ名と共に身分証明書デ
ータを作成してプリントサーバに送信し、プリントサー
バ側でこの身分証明書データに基づきユーザ認証を行う
ことにより、印刷ジョブに関する操作指示の実行可否を
決定するシステムが開示されている。このシステムで
は、操作指示のプロトコルに依存しない身分証明書デー
タを用いることにより、マルチプロトコル対応プリンタ
においてユーザ認証を可能にしている。

【０００５】

【発明が解決しようとする課題】しかしながら、上記各
従来技術では、ユーザ認証によるセキュリティの管理
は、文書ファイルやフォルダ、あるいは印刷ジョブの単
位でしか行うことができない。

【０００６】ところが、一般に１つの文書には様々な内
容の記事、図版、写真などが含まれており、これらそれ
ぞれが固有の意義を有している。極端な場合、企業名や
製品の商標などの固有名詞等、個々の語句だけでも秘密
保護上重要な意味を持つ場合がある。したがって、文書
中に１つでも極秘の記事や図版、語句などがあれば、文
書全体を極秘扱いにして閲覧を制限するのが一般的であ
る。また、例えば同じ内容の文書を、社内イントラネッ
ト、取引先企業との間のエクストラネット、インターネ
ットによる一般公開、などと情報開示レベルの異なる複
数の対象に開示しようとする場合、従来は、開示対象ご
とに開示可能レベルを考慮してＷｅｂページを個別作成
しなければならなかった。

【０００７】このように従来は、文書単位で開示、非開
示を判定するか、あるいは同内容の文書について各開示
対象向けのバージョンを予め作成するかしかない。前者
は文書の有効利用の面で十分なものとは言えず、後者は
文書の有効利用はできるが手間がかかるという問題があ
った。

【０００８】本発明は、このような問題に鑑みなされた
ものであり、文書開示のセキュリティ管理を、少ない手
間で、きめ細かく行える装置及びシステムを提供するこ
とを目的とする。

【０００９】

【課題を解決するための手段】上記目的を達成するた
め、本発明に係る文書提供装置は、ユーザから文書取得
命令を受信する命令受信手段と、前記文書取得命令を発
行した前記ユーザのセキュリティ情報を取得するユーザ
セキュリティ取得手段と、前記文書取得命令にて指定さ
れた文書を取得する文書取得手段と、取得した文書の各
構成要素ごとに、その構成要素のセキュリティ情報を取
得する文書要素セキュリティ取得手段と、前記取得した
文書の各構成要素ごとに、その構成要素のセキュリティ
情報と前記ユーザのセキュリティ情報との関係からその
構成要素のそのユーザに対する開示可能性を判定する開
示判定手段と、前記各構成要素ごとの開示可能性の判定
の結果に応じて、前記取得した文書を編集して出力する
出力制御手段とを備える。

【００１０】この構成によれば、文書提供装置は、ユー
ザに対する開示可能性を、文書の構成要素単位で判定し
た上で、必要な編集を加えて出力することができる。な
お、この文書提供装置は、例えば、提供する文書を自分
で保持・管理していてもよいし、提供する文書をネット
ワーク上の他のサーバから取得して、必要な編集を加え
るような方式でもよい。

【００１１】また、好適な態様では、出力制御手段は、
前記開示判定手段で開示不可能と判定された構成要素に
ついては、予め登録した置換情報に置き換えて出力す
る。更に好適には、出力制御手段は、前記構成要素の種
類ごとに、前記置換情報を生成するための情報を記憶し
ておき、前記構成要素ごとにその種類に応じた置換情報
に置き換える。

【００１２】また、別の好適な態様では、ユーザのセキ
ュリティ情報と文書構成要素のセキュリティ情報との関
係に基づく開示可能性の判定の基準となる判定ルールを
保持する手段を備え、前記開示判定手段は、この判定ル
ールを参照して開示可能性の判定を行う。この態様で
は、個々のユーザや文書構成要素のセキュリティ情報を
変更しなくても、開示ルールを変更することにより、開
示範囲を変更することができる。

【００１３】また、別の好適な態様では、文書提供装置
は、前記文書取得命令の発行者であるユーザの電子証明
書を取得する手段と、前記文書取得命令に対応して取得
した電子証明書の正当性を検証する手段とを備え、前記
文書取得手段は、前記ユーザの電子証明書が正当である
と検証できた場合に、その文書取得命令にて指定された
文書を保持するサーバに対し、その電子証明書を用いて
前記ユーザの代理としてアクセスしてその文書を取得す
る。この態様では、文書提供装置が文書の保管場所から
文書を取得する際に、ユーザの電子証明書を用いてセキ
ュア通信方式で文書を代理取得することができる。

【００１４】また、別の好適な態様では、文書提供装置
は、前記文書取得命令の発行者であるユーザの電子証明
書を取得し記憶する手段と、前記文書取得命令に関する
処理において発生したイベントに関し、前記発行者であ
るユーザに通知を行う手段であって、そのユーザの電子
証明書が前記証明書記憶手段に記憶されている場合に
は、その電子証明書の情報を用いて通知内容を暗号化し
た上で通知するイベント通知手段と、を備える。この態
様では、文書提供装置からユーザへの通知の内容の秘密
を保護することができる。

【００１５】また、本発明に係る文書提供システムは、
構成要素単位でセキュリティ情報が設定された文書を保
持する文書サーバと、ユーザからの文書取得要求に応じ
て前記文書サーバから文書を取得し、この文書の各構成
要素のセキュリティレベルとそのユーザのセキュリティ
レベルとの関係からそれら各構成要素ごとに開示の可否
を判定し、その判定結果に応じて開示できない構成要素
については所定の秘匿処理を施して前記ユーザに提供す
る文書提供装置とを備える。

【００１６】このシステムでは、ユーザに対して文書を
提供する際に、文書の構成要素単位で開示可否を判定
し、開示できない要素については所定の秘匿処理を施し
た上で出力することができる。このシステムによれば、
同一内容の文書について、ユーザのセキュリティ（アク
セス権限）のレベルごとに開示範囲を変えた複数のバー
ジョンを作成し保持しておく必要がない。

【００１７】

【発明の実施の形態】以下、本発明の実施の形態（以下
実施形態という）について、図面に基づいて説明する。

【００１８】図１は、本発明の実施形態の全体的なシス
テム構成を示す図である。本実施形態では、プルプリン
ト機能を持つプリントシステム１０を、遠隔のユーザ端
末２０からの指示により操作して印刷する場合を例にと
って説明する。プルプリント機能とは、ユーザから印刷
対象の文書ファイルのアドレス（ＵＲＩ（uniform reso
urce identifier）等）を受け付け、このアドレスを用
いてその文書ファイルを取得して印刷する機能である。

【００１９】ユーザ端末２０は、ＰＣ（パーソナルコン
ピュータ）や携帯情報端末、携帯電話などである。文書
サーバ３０は、例えばＷｅｂ（ＷＷＷ：ワールド・ワイ
ド・ウェブ）サーバや匿名ＦＴＰサーバなど、ユーザに
対して文書等のファイルを提供するサーバである。

【００２０】プリントシステム１０は、ＩＰＰ／１．０
（internet Printing protocol：[RFC2565],[RFC256
6]）に規定されているPrint-URI命令などを受け付ける
機能を備えている。ユーザ端末２０からPrint-URI命令
によりＵＲＩを指定して印刷を指示すると、プリントシ
ステム１０は、インターネット４０を介してそのＵＲＩ
が示す文書を格納した文書サーバ３０にアクセスし、そ
の文書のファイルを取得して印刷する。このとき、本実
施形態のプリントシステム１０は、取得した文書の開示
可能性を、記事や図版、語句などの構成要素単位で判定
し、印刷要求元のユーザに対して開示不可能な構成要素
について所定の秘匿処理を行った上で印刷処理を行う。

【００２１】文書構成要素の開示可否の判定は、当該構
成要素のセキュリティレベルと印刷要求元のユーザのセ
キュリティレベルとの比較に基づき行う。このため、文
書には構成要素単位でセキュリティレベルが設定可能と
なっている。そして、プリントシステム１０は、それら
各構成要素のセキュリティレベルと、印刷要求元のユー
ザのセキュリティレベルとを取得する機構を備える。

【００２２】図２を参照して、文書の構成要素単位での
セキュリティレベルの設定の方法の一例について説明す
る。

【００２３】図２は、構成要素単位でセキュリティレベ
ルが設定された文書の一例である。この例は、ＨＴＭＬ
文書の場合の例であり、文書の構成要素へのセキュリテ
ィレベルの設定に、２つの方式を用いている。

【００２４】第一の方式は、ＨＴＭＬの文書要素の単位
でセキュリティレベルを設定する場合に用いる方式であ
り、その文書要素を表す既存のタグに、Publicityパラ
メータを付加するというものである。図２の例では、た
とえば文書本体を表す＜BODY＞タグ５００のタグ名「BO
DY」の後に、「Publicity="level 1"」の形でパラメー
タが設定されている。これにより文書要素「BODY」に対
し、“level 1”という文字列で表されるセキュリティ
レベルが設定されたことになる。このような方式で、タ
グ名に続いてPublicityパラメータを記述することによ
り、例示した「BODY」タグだけでなく、ＨＴＭＬで定め
られるすべてのタグ（すなわち文書要素）に対してセキ
ュリティレベルを指定できる。

【００２５】セキュリティレベル設定の第二の方式は、
１つの文書要素中の語句等に対してセキュリティレベル
を設定する場合の方式である。この方式では、レベル設
定用に定めた＜Publicity＞タグで対象となる文字列等
を挟むことにより、その文字列等にセキュリティレベル
を設定する。例えば、図２の例では、ＨＴＭＬ文書のテ
キスト部分の“松竹梅”という文字列５１５の前後に、
＜Publicity＞タグの開始タグ５１０ａ（＜Publicity L
evel="level3"＞）と終了タグ５１０ｂ（＜/Publicity
＞）が設定されている。セキュリティレベルは、そのタ
グの中のLevelパラメータ（例えば「Level="level
3"」）に設定される。ここでLevelパラメータとして指
定可能な値の集合は、前述の第一の方式におけるPublic
ityパラメータの場合と同じである。

【００２６】このように、図２に示した例では、ＨＴＭ
Ｌ文書の文書要素、及びその中の語句等のレベルの要素
に対し、セキュリティレベルが設定できる。文書作成者
は、このような方法により、文書の各構成要素ごとに個
別にセキュリティレベルを設定することができる。文書
サーバ３０には、このような文書が格納されている。

【００２７】プリントシステム１０は、図２に示したよ
うな文書を取得した場合、その文書をパーズする際に、
Publicityパラメータや＜Publicity＞タグを検知する
と、そのパラメータやタグが付された文書要素又は語句
等について、そのパラメータ等に示すセキュリティレベ
ルが指定されているものと判断する。

【００２８】ユーザのセキュリティレベルは、例えば、
オフィスその他の組織のシステム管理者によって付与さ
れる。各ユーザのセキュリティレベルの情報は、プリン
トシステム１０に保持させてもよいが、プリントシステ
ム１０とは別のサーバ装置で集中管理してネットワーク
上の各プリントシステム１０から参照できるようにすれ
ば、個々のプリントシステムのコストやセキュリティレ
ベルに関する保守コストの面で有利である。このような
アプローチの１つとして、ネットワーク上のディレクト
リサービスにてセキュリティレベル情報を管理する方式
が可能である。

【００２９】次に、図３を参照して、プリントシステム
１０の詳細な構成とこのシステムによる印刷処理の手順
を説明する。図３のシステムは、ジョブの管理や印刷可
能形式への展開を行うプリントサーバ１００と、用紙へ
の印刷処理を行うプリントエンジン１５０から構成され
る。なお、図３では、印刷対象文書のデータの流れは、
基端に黒丸印のついた実線矢印で、機能モジュール間の
メッセージの流れは破線矢印で示している。

【００３０】プリントサーバ１００の各機能モジュール
では、ジョブ受信部１０２はユーザからの印刷指示（ジ
ョブ）を受信する。ユーザからのジョブには、印刷対象
の文書データが付属する場合と、印刷対象文書のＵＲＩ
が指定されている場合とがある。後者の場合、文書取得
部１０４が、そのＵＲＩを用いて印刷対象文書を、ネッ
トワーク上の当該文書の格納場所から取得する。受信し
たジョブや、文書取得部１０４が取得した文書のデータ
はスプールバッファ１０６に蓄積される。文書解析部１
０８は、スプールバッファ１０６から文書データを取得
し、その文書データを解析して、プリントエンジン１５
０にて印字可能なビットマップデータに展開する。ま
た、文書解析部１０８は、印刷対象文書の解析の際に、
文書要素や語句に対するセキュリティレベルの設定を検
出し、その情報をセキュリティ評価部１３０に渡して評
価を求める。セキュリティ評価部１３０は、印刷ジョブ
発行元のユーザのセキュリティレベルを取得し、文書解
析部１０８から得た文書の各構成要素のセキュリティレ
ベルと比較することにより、それら各構成要素が当該ユ
ーザに対して開示可能か否かを判定する。この判定結果
は、文書解析部１０８に返される。文書解析部１０８
は、この判定結果に応じ、開示可能と判定された構成要
素はそのままビットマップ画像に展開し、開示不可と判
定された構成要素については、伏せ字にしたり黒塗りに
したり等、予め設定した画像に置き換えることにより、
元の文書から印刷可能なビットマップデータを構成す
る。得られたビットマップデータはページバッファ１１
０に一旦保持され、出力制御部１１２により順次プリン
トエンジン１５０に対して供給される。

【００３１】ジョブ制御部１１４は、受信したジョブ群
の処理の流れを管理する。タッチパネル１１８は、ユー
ザからローカルに指示を受け付けるための装置であり、
表示したユーザインタフェース画面に対するユーザから
の指示を取得する。入力制御部１１６は、タッチパネル
１１８の制御を行ってユーザからの指示を取得し、サー
バ１００内の各モジュールに伝達する。通知部１２２
は、プリントサーバ１００内で発生したイベント等に関
する通知を、所定の通知先に対して発する。通知部１２
２が発するイベント通知には、ジョブ完了や用紙切れな
どジョブに関するイベントの通知や、紙詰まりやトナー
切れなどプリントシステム１０のイベントの通知などが
ある。これら通知は電子メールなどの形で通知先に通知
される。通知先は、予めプリントシステム１０に設定さ
れている人（例えばシステム管理者）や、印刷ジョブ指
示時にユーザが指定した通知先などである。

【００３２】なお、以上に説明したプリントサーバ１０
０の各機能モジュールは、タスク間通信バス１２０を介
して通信を行い、処理を実行していく。

【００３３】次に、図４を参照して、本実施形態のプリ
ントシステム１０を用いた印刷処理について説明する。

【００３４】Ｓ１０：まずユーザがユーザ端末２０から
プリントシステム１０に対し、文書サーバ３０に蓄積さ
れている文書の印刷指示を送信する。この指示には、例
えばＩＰＰ／１．０で定められているPrint-URI命令が
用いられる。この命令では、印刷対象文書のＵＲＩを、
document-uriIPPオペレーションアトリビュートとして
指定することができる。このアトリビュートには、例え
ば次のような値が指定される。 http://"document-server's address"/path/document.h
tml

【００３５】ここで"document-server's address"に
は、文書サーバのアドレスを表す文字列が記述される。
また、この命令のアトリビュートの一つであるrequest-
user-name属性には、この命令の発行者名が格納されて
いる。一般に、ネットワーク上のディレクトリサービス
にログインしているユーザであれば、その属性には、デ
ィスティングイッシュド・ネームと呼ばれる当該命令発
行者のユーザ名が格納される。

【００３６】Ｓ１２：ユーザから印刷指示を受信したプ
リントシステム１０のジョブ受信部１０２は、ジョブ制
御部１１４に対して当該指示に対応するジョブの生成を
依頼する。

【００３７】Ｓ１４：ジョブ制御部１１４は、依頼され
たジョブを生成し、そのジョブをスプールバッファ１０
６へ書き込む準備が完了したときに、文書取得部１０４
に対し、印刷対象文書のＵＲＩを指定して取得依頼を行
う。

【００３８】Ｓ１６：この依頼を受けた文書取得部１０
４は、document-uriIPPオペレーションアトリビュート
で指定されたＵＲＩのスキームであるＨＴＴＰプロトコ
ルを使用して、その印刷対象のＨＴＭＬ文書を格納場所
である文書サーバ３０から取得し、スプールバッファ１
０６への書き込みを行う。

【００３９】Ｓ１８：スプールバッファ１０６への文書
の書き込みが終了すると、ジョブ制御部１１４は、文書
解析部１０８に対してその文書の解析を開始させる。す
ると、文書解析部１０８は、ＨＴＭＬ文書の解析を開始
し、印刷可能なビットマップデータへ展開していく。

【００４０】Ｓ２０：この解析処理において、ＨＴＭＬ
文書からPublicityタグ又はパラメータを検出した場
合、文書解析部１０８は、そのタグ又はパラメータに示
されたセキュリティレベルの値をセキュリティレベル評
価部１３０に渡し、当該タグ又はパラメータに対応する
構成要素の開示可否の評価を行わせる。セキュリティレ
ベル評価部１３０は、その構成要素のセキュリティレベ
ルを、ネットワーク上のディレクトリサービスから取得
したユーザのセキュリティレベルと比較し、その構成要
素が開示可能か否かを判定し、その結果を文書解析部１
０８に渡す。構成要素が開示可能と判定された場合は、
文書解析部１０８は、その構成要素をＨＴＭＬ文書の記
述に従ってビットマップイメージへ展開する。一方、構
成要素が開示不可と判定された場合は、文書解析部１０
８は、その構成要素に対し、予め設定されたセキュリテ
ィポリシーに従った秘匿処理を施す。秘匿処理には、例
えばその構成要素が文字列の場合は、個々の文字を
「＊」などと予め設定しておいた伏せ字に置き換えるな
どがある。また、開示不可の構成要素の部分を空白や黒
塗り画像に置き換えたり、予め設定しておいた警告文や
警告画像に置き換えるというポリシーも考えられる。

【００４１】このような置き換え処理では、例えば秘匿
すべき要素が文字列の場合は伏せ字に、画像の場合は黒
塗りになどと、構成要素の種類ごとに、置換する画像を
予め登録しておくことも好適である。文書解析部１０８
では、タグの記述から当該構成要素の種類を判別し、そ
の判別結果に応じて、適切な置換画像に置き換える。

【００４２】Ｓ２２：このようにして印刷対象文書のビ
ットマップイメージへの展開が終わると、ジョブ制御部
１１４は出力制御部１１２に対してその文書の出力を指
示する。これにより、ビットマップイメージがプリント
エンジン１５０に供給され、用紙上に印刷される。

【００４３】このような開示セキュリティ管理により得
られる図２のＨＴＭＬ文書の印刷結果の例を図５〜図８
に示す。これらの例では、ユーザのセキュリティレベル
の値が文書構成要素のセキュリティレベル未満の場合に
その文書構成要素を開示不可とし、Publicityパラメー
タでセキュリティ設定がなされた文書要素については組
版自体を省略し、Publicityタグでセキュリティ設定さ
れた語句については伏せ字「＊」に置き換えるというセ
キュリティポリシーを採用しているものとする。

【００４４】図５は、セキュリティレベル０のユーザの
場合の印刷結果であり、レベル１以上の文書要素は全く
印刷されておらず、セキュリティレベル設定のなされて
いない要素のみが表示されている。図６はセキュリティ
レベル１のユーザの場合の印刷結果であり、レベル１以
下の構成要素が表示されている。図７はセキュリティレ
ベル２のユーザの場合の印刷結果であり、セキュリティ
レベル３の構成要素である語句“松竹梅”（図２参照）
が伏せ字「＊＊＊」に置き換えられている。図８は、セ
キュリティレベル３のユーザの場合の印刷結果であり、
文書のすべての要素が表示されている。

【００４５】以上説明したように、本実施形態のプリン
トシステム１０によれば、文書の構成要素単位で、印刷
要求元のユーザに対して開示可能か否かを判定し、開示
不可のものを秘匿して印刷することができる。したがっ
て、本実施形態によれば、セキュリティレベルの異なる
複数のユーザに対して、単一の文書を用意しておくだけ
で、各ユーザのセキュリティレベルに応じた開示管理を
行うことができる。

【００４６】＜変形例１＞以上の例では、ユーザのセキ
ュリティレベルと文書構成要素のセキュリティレベルを
単純に数値比較することにより開示可能性を判断した。
この場合、各セキュリティレベルのユーザに対して開示
する文書要素の範囲を変更する場合には、個々の構成要
素のセキュリティレベルの値を変更するか、あるいは個
々のユーザのセキュリティレベルの値を変更するかのい
ずれかが必要となる。これに対し、この変形例では、開
示範囲の変更をより容易にするための仕組みの例を説明
する。

【００４７】この変形例では、ユーザと文書要素のセキ
ュリティレベルの解釈及び比較のルールをセキュリティ
レベル評価部１３０に登録する。セキュリティレベル評
価部１３０は、このルールを参照して、ユーザと文書構
成要素のセキュリティレベルを比較し、開示可否を判定
する。

【００４８】例えば、ある組織においてプロジェクトＡ
というプロジェクトが進行中であり、そのプロジェクト
Ａに関する文書を文書サーバ３０に登録してプロジェク
ト関係者に開示するという状況を考える。ここでプロジ
ェクトの構成人員が、アルバイト、正社員、プロジェク
トＡの担当社員、プロジェクトＡの担当役員、の４段階
のレベルに分類できるものとし、これらのレベルが、当
該人員（ユーザ）の文書開示レベル（セキュリティレベ
ル）に対応しているものとする。

【００４９】このような組織において、ディレクトリサ
ービスにアルバイト、正社員、プロジェクトＡ担当社
員、プロジェクトＡ担当役員というユーザオブジェクト
を作成する。この場合、これら４種のオブジェクトが各
ユーザのセキュリティレベルを表し、各ユーザはそれら
４種のユーザオブジェクトのいずれかに対応づけられ
る。また、個々の文書を表す文書オブジェクトと、文書
構成要素の各セキュリティレベルに対応したセキュリテ
ィオブジェクトをディレクトリサービスに登録する。文
書オブジェクトには、１以上の文書構成要素が含まれ、
この構成要素に対して図２で示したようにセキュリティ
レベルが設定可能である。

【００５０】そして、本変形例では、セキュリティオブ
ジェクトに対して、開示判定のルールを持たせる。例え
ば、セキュリティレベル１に対応するセキュリティオブ
ジェクトに、「正社員、担当社員、担当役員に開示可
能」などのルールを設定するなどである。セキュリティ
レベル評価部１３０は、印刷対象文書の各構成要素のセ
キュリティレベルに対応するセキュリティオブジェクト
を参照し、このオブジェクトに設定されたルールに従
い、印刷ジョブ発行者に対してその構成要素が開示可能
かどうかを判断する。

【００５１】この構成の場合、開示範囲を変更する場合
には、セキュリティオブジェクトに設定されたルール内
容を変更すればよい。例えば、セキュリティレベル１に
対応するセキュリティオブジェクトの設定内容を変更す
れば、セキュリティレベルが１に設定されている文書構
成要素の開示範囲を一括して変更できる。

【００５２】＜変形例２＞次に、ユーザのセキュリティ
レベルの取得方式の変形例について説明する。この変形
例では、ユーザの電子証明書（デジタル証明書）にセキ
ュリティレベルの情報を組み込む。この方式では、ユー
ザは印刷指示を行う際、プリントシステム１０に対して
電子証明書を送り、プリントシステム１０はその電子証
明書からそのユーザのセキュリティレベルを取得すると
いうものである。印刷指示の際ユーザ端末２０とプリン
トシステム１０との間で、ネットスケープ社が提唱する
ＳＳＬ（Secure Socket Layer）や、インターネット上
で仕様が公開されているＴＬＳ（Transport Layer Secu
rity:RFC2246）等のセキュア通信方式を用いて通信を行
う場合には、セキュア通信路の確立の際に互いの電子証
明書が取り交わされる。したがって、ユーザの電子証明
書にセキュリティレベルの情報を組み込んでおけば、プ
リントシステム１０はそのユーザのセキュリティレベル
を取得することができる。

【００５３】この方式では、図９に示すようにプリント
システム１０に電子証明書管理部１３５を設ける。な
お、図９では省略しているが、この変形例のプリントシ
ステム１０は、電子証明書管理部１３５以外の構成につ
いては上記実施形態と同様の機能モジュールを備えてい
る。電子証明書管理部１３５には、所定の認証局が発行
した各ユーザの電子証明書が登録されている。そして、
システム１０は、電子証明書管理部１３５に電子証明書
を登録したユーザしか利用できないようにしている。

【００５４】このシステム１０を用いた場合の処理手順
について図９を参照して説明する。

【００５５】Ｓ３０：このプリントシステム１０を利用
する場合、ユーザは、プリントシステム１０に対してセ
キュア通信での接続要求を行い、例えば次のような印刷
対象文書のＵＲＩを指定して、印刷指示を発行する。 https://"document-server's address"/path/document.
html

【００５６】Ｓ３２：この接続要求により、ユーザ端末
と、プリントシステム１０のジョブ受信部１０２との間
でセキュア通信路の接続処理が行われ、この接続処理に
伴ってユーザの電子証明書がジョブ受信部１０２に送信
される。

【００５７】Ｓ３４：ジョブ受信部１０２は、電子証明
書を受信すると、電子証明書管理部１３５に対しその電
子証明書が正当なものかどうかを問い合わせる。電子証
明書管理部１３５は、受信した電子証明書を、保管して
いる当該ユーザの電子証明書と比較し、同じであれば受
信した証明書が正当であると判断する。

【００５８】Ｓ３６：このようにしてユーザの電子証明
書が正当であると判断されると、ジョブ受信部１０２は
ジョブ制御部１１４に対してジョブ作成を依頼する。

【００５９】ジョブが作成されると、文書取得部１０４
（図９では省略）によりＵＲＩで指定された文書が取得
される。このとき、文書取得部１０４はそのＵＲＩを用
いて、セキュア通信方式により文書サーバ３０から文書
を取得する。このとき、文書取得部１０４は、ユーザの
電子証明書を使用することにより、ユーザの代理人とし
て文書取得処理を代理実行する。そして、取得した文書
の各構成要素の開示可否を判定する際、ユーザのセキュ
リティレベルを電子証明書から取得して判定を行う。

【００６０】この変形例では、このように電子証明書に
記載されているユーザのセキュリティレベルにより、文
書の構成要素の開示可否を決定できる。また、本実施形
態では、プリントシステム１０が、要求元ユーザの電子
証明書を用いて文書サーバ３０からセキュア通信方式で
文書を代理取得するので、プリントシステム１０・文書
サーバ３０間の通信路での文書内容の漏洩を防止するこ
とができる。

【００６１】また、この変形例では、ユーザからの印刷
指示の際にそのユーザの電子証明書を受信しているの
で、通知部１２２（図３参照）によりそのユーザに対し
てイベント発生の通知を行う際には、その電子証明書に
含まれる当該ユーザの公開鍵を用いて通知内容を暗号化
して送信する。これにより、プリントシステム１０から
ユーザへの通知内容を保護することができる。

【００６２】＜変形例３＞以上の例では、文書のセキュ
リティ保護処理を、文書サーバ３０から文書を取得する
プリントシステム１０の側で行った。これに対し、本変
形例では、文書を提供する文書サーバ自体で文書のセキ
ュリティ保護処理を行う例を説明する。ここでは、文書
サーバがＷＷＷのＷｅｂサーバであり、Ｗｅｂページを
ユーザ端末に表示する場合を例にとる。

【００６３】図１０に本変形例におけるＷｅｂサーバ６
０の構成を示す。Ｗｅｂサーバ６０は、機能モジュール
として、ＨＴＴＰデーモン６０２、スクリプト実行部６
０４、セキュリティレベル評価部６０６、応答文書生成
部６０８、及びドキュメントレポジトリ６１０を備え
る。ＨＴＴＰデーモン６０２は、ユーザからの要求を受
け付け、それに応じた応答文書の情報をユーザに送信す
る。スクリプト実行部６０４は、Ｗｅｂサーバの処理の
ために必要な各種スクリプトを実行する。ドキュメント
レポジトリ６１０は、様々なＨＴＭＬ文書を保存・管理
している。この中には、図２に示したようなセキュリテ
ィレベルの設定されたＨＴＭＬ文書も含まれる。応答文
書生成部６０８は、ドキュメントレポジトリ６１０から
取り出したＨＴＭＬ文書に対し、要求元ユーザのセキュ
リティレベルに応じた開示内容となるよう編集する。セ
キュリティ評価部６０６は、ＨＴＭＬ文書の各構成要素
のセキュリティレベルとユーザのセキュリティレベルと
に基づき、各構成要素ごとに、そのユーザに開示するか
否かを判定する。なお、ユーザ端末５０は、一般的なＷ
ｅｂブラウザを備えていればよい。

【００６４】次に、図１１を参照してこのＷｅｂサーバ
の処理手順を説明する。

【００６５】Ｓ５０：ユーザは、ユーザ端末５０のブラ
ウザから、ＨＴＴＰプロトコルを用いて、Ｗｅｂサーバ
６０に対して所望の文書についての文書取得命令を発す
る。

【００６６】Ｓ５２：Ｗｅｂサーバ６０では、この文書
取得命令をＨＴＴＰデーモン６０２が受信し、スクリプ
ト実行部６０４に対しその命令に対する応答文書生成の
ためのスクリプトを実行させる。

【００６７】Ｓ５４：そのスクリプトの実行により、応
答文書生成部６０８に対して応答文書の生成依頼がなさ
れる。

【００６８】Ｓ５６：この依頼に応じ、応答文書生成部
６０８は、まず、文書取得命令で指示された文書をドキ
ュメントレポジトリ６０８から取得する。

【００６９】Ｓ５８：そして応答文書生成部６０８は、
取得した文書のタグを順に調べていき、セキュリティレ
ベルが設定されている文書構成要素を抽出する。

【００７０】Ｓ６０：セキュリティレベルが設定されて
いる構成要素を見つけると、応答文書生成部６０８はセ
キュリティレベル評価部６０６に対し、その構成要素の
開示性の評価を依頼する。これを受けたセキュリティレ
ベル評価部６０６は、その構成要素のセキュリティレベ
ルと、要求元のユーザのセキュリティレベルとの比較に
基づき、それら各構成要素がそのユーザに対して開示で
きるか否かを判定する。ユーザのセキュリティレベルの
情報は、上記実施形態の中に例示した手法で取得でき
る。この判定において、開示できないと判定された構成
要素については、予め設定したセキュリティポリシーに
従って、伏せ字や黒塗り画像に置き換えるなどの秘匿処
理を行う。例えば、当該ＨＴＭＬ文書において、秘匿す
べき文字列の各文字を伏せ字「＊」で置き換えるなどで
ある。このとき、ブラウザの誤動作等を防止するため、
セキュリティレベルを示すタグ（Publicityタグ）やパ
ラメータ（Publicityパラメータ）を削除してもよい。
取得した文書全体にわたって、このようなＳ５８及びＳ
６０の処理を行う。

【００７１】この処理の結果、要求元のユーザに開示で
きない部分を伏せ字などに置換したＨＴＭＬ文書ができ
る。このようにしてできたＨＴＭＬ文書が、ＨＴＴＰデ
ーモン６０２から要求元のユーザ端末５０に送信され
る。

【００７２】ユーザ端末５０では、このようにして取得
したＨＴＭＬ文書を通常のブラウザで表示する。この場
合、そのユーザが閲覧できないと判定された構成要素は
伏せ字置換などで秘匿されており、ユーザはその内容を
知ることができない。

【００７３】このように、この変形例では、Ｗｅｂサー
バ６０が各ユーザのセキュリティレベルに応じた開示内
容のＨＴＭＬ文書を作成してユーザに送る。したがっ
て、ユーザ端末のブラウザに特別な機能がなくても、ユ
ーザに対して開示できない部分を開示しないようにする
ことができる。

【００７４】以上、本発明の好適な実施の形態とその変
形例を説明した。以上説明したように、本実施形態及び
その変形例によれば、セキュリティレベル（アクセス権
限）の異なる各ユーザに対して、文書の構成要素単位で
開示を制御できる。

【００７５】なお、以上では文字や画像の開示制御につ
いて説明したが、本発明の手法は、マルチメディア文書
等における動画像や音声（サウンド）についても同様に
適用可能である。例えばＨＴＭＬ文書には、動画像やサ
ウンドを文書要素として組み込めるが、その要素のタグ
に例えばPublicityパラメータを設定し、そのパラメー
タに応じて開示制御を行うことができる。

【００７６】また、以上では、ユーザに提供する文書の
フォーマットとしてＨＴＭＬを例にとったが、この本発
明の手法は、ＨＴＭＬのみならずＸＭＬ等他のマークア
ップ言語の文書にも同様に適用可能である。さらに言え
ば、マークアップ言語以外のフォーマットであっても、
文書構成要素ごとに属性情報が設定できるフォーマット
であれば、その属性情報の一つとしてセキュリティレベ
ルを設定するようにすることで上記実施形態の手法が適
用できる。

【００７７】また以上では、開示できない文書構成要素
を秘匿する手法として、予め用意した画像や記号などで
置き換える手法を説明したが、秘匿の手法はこのような
置換に限らない。例えば、いったん生成したその構成要
素の画像に対して平均化フィルタ等の画像フィルタ（元
の画像が分からなくなるようなものであればどのような
フィルタでもよい）を作用させて秘匿することも好適で
ある。

【図面の簡単な説明】

【図１】実施形態の手法が適用されるネットワーク環
境の一例を示す図である。

【図２】構成要素単位でセキュリティレベルが設定さ
れたＨＴＭＬ文書の一例を示す図である。

【図３】実施形態に係るプリントシステムの機能構成
を示す図である。

【図４】実施形態のプリントシステムの機能モジュー
ル間のメッセージ交換手順を示す図である。

【図５】セキュリティレベル０のユーザに図２の文書
を開示した場合の開示結果を示す図である。

【図６】セキュリティレベル１のユーザに図２の文書
を開示した場合の開示結果を示す図である。

【図７】セキュリティレベル２のユーザに図２の文書
を開示した場合の開示結果を示す図である。

【図８】セキュリティレベル３のユーザに図２の文書
を開示した場合の開示結果を示す図である。

【図９】変形例２のシステムの機能モジュール間のメ
ッセージ交換手順を示す図である。

【図１０】変形例３のＷｅｂサーバの機能構成を示す
図である。

【図１１】変形例３のＷｅｂサーバの機能モジュール
間のメッセージ交換手順を示す図である。

【符号の説明】

１０プリントシステム、２０ユーザ端末、３０文
書サーバ、１００プリントサーバ、１０２ジョブ受
信部、１０４文書取得部、１０６スプールバッフ
ァ、１０８文書解析部、１１０ページバッファ、１
１２出力制御部、１１４ジョブ制御部、１１６入
力制御部、１１８タッチパネル、１２０タスク間通信
バス、１２２通知部、１５０プリントエンジン。

───────────────────────────────────────────────────── フロントページの続き (51)Int.Cl.⁷ 識別記号ＦＩテーマコート゛(参考）Ｇ０６Ｆ 17/30 １７０Ｇ０６Ｆ 17/30 １７０Ａ

Claims

【特許請求の範囲】

【請求項１】ユーザから文書取得命令を受信する命令
受信手段と、前記文書取得命令を発行した前記ユーザのセキュリティ
情報を取得するユーザセキュリティ取得手段と、前記文書取得命令にて指定された文書を取得する文書取
得手段と、取得した文書の各構成要素ごとに、その構成要素のセキ
ュリティ情報を取得する文書要素セキュリティ取得手段
と、前記取得した文書の各構成要素ごとに、その構成要素の
セキュリティ情報と前記ユーザのセキュリティ情報との
関係からその構成要素のそのユーザに対する開示可能性
を判定する開示判定手段と、前記各構成要素ごとの開示可能性の判定の結果に応じ
て、前記取得した文書を編集して出力する出力制御手段
と、を備える文書提供装置。
【請求項２】前記文書取得手段は、前記文書取得命令
にて指定された文書をネットワークを介して取得するこ
とを特徴とする請求項１記載の文書提供装置。
【請求項３】前記出力制御手段は、前記開示判定手段
で開示不可能と判定された構成要素については、予め登
録した置換情報に置き換えて出力することを特徴とする
請求項１記載の文書提供装置。
【請求項４】前記出力制御手段は、前記構成要素の種
類ごとに、前記置換情報を生成するための情報を記憶し
ておき、前記構成要素ごとにその種類に応じた置換情報
に置き換えることを特徴とする請求項３記載の文書提供
装置。
【請求項５】前記ユーザのセキュリティ情報と前記文
書の構成要素のセキュリティ情報との関係に基づく開示
可能性の判定の基準となる判定ルールを保持する手段を
備え、前記開示判定手段は、この判定ルールを参照して
開示可能性の判定を行うことを特徴とする請求項１記載
の文書提供装置。
【請求項６】前記文書取得命令の発行者であるユーザ
の電子証明書を取得する手段と、前記文書取得命令に対応して取得した電子証明書の正当
性を検証する手段と、を備え、前記文書取得手段は、前記ユーザの電子証明書が正当で
あると検証できた場合に、その文書取得命令にて指定さ
れた文書を保持するサーバに対し、その電子証明書を用
いて前記ユーザの代理としてアクセスしてその文書を取
得する、請求項１記載の文書出力装置。
【請求項７】前記文書取得命令の発行者であるユーザ
の電子証明書を取得し記憶する手段と、前記文書取得命令に関する処理において発生したイベン
トに関し、前記発行者であるユーザに通知を行う手段で
あって、そのユーザの電子証明書が前記証明書記憶手段
に記憶されている場合には、その電子証明書の情報を用
いて通知内容を暗号化した上で通知するイベント通知手
段と、を備える請求項１記載の文書提供装置。
【請求項８】構成要素単位でセキュリティ情報が設定
された文書を保持する文書サーバと、ユーザからの文書取得要求に応じて前記文書サーバから
文書を取得し、この文書の各構成要素のセキュリティレ
ベルとそのユーザのセキュリティレベルとの関係からそ
れら各構成要素ごとに開示の可否を判定し、その判定結
果に応じて開示できない構成要素については所定の秘匿
処理を施して前記ユーザに提供する文書提供装置と、を含む文書提供システム。
【請求項９】各ユーザのセキュリティレベルを管理す
るディレクトリサービスを備え、前記文書提供装置はこのディレクトリサービスから前記
ユーザのセキュリティレベルを取得することを特徴とす
る請求項８記載の文書提供システム。
【請求項１０】前記文書提供装置は、ユーザから電子
証明書を受信し、この電子証明書から当該ユーザのセキ
ュリティレベルを取得することを特徴とする請求項８記
載の文書提供システム。