JP2008176594A - 情報配信管理システム、情報配信管理サーバ、プログラム - Google Patents

Abstract

【課題】情報配信管理システムにおいて、情報アクセス要求と記憶容量の利用効率とのバランスを採ることができるようにする。
【解決手段】情報ごとおよびユーザごとに、ユーザ識別情報に対応する電子識別情報を生成してデータベースで管理するとともに（Ｓ１２〜Ｓ２４）、電子識別情報に対応付けてアクセス認証情報を発行する（Ｓ２６，Ｓ２８）。発行したアクセス認証情報の入力を受け付けると、電子識別情報に変換し（Ｓ５２，Ｓ５４）、データベースで管理されているものと一致するか否かの認証処理を行なう（Ｓ５６）。認証成功時には情報操作を許可し（Ｓ６０，Ｓ６２）、操作完了後には電子識別情報を削除，無効化する（Ｓ６４）。その他のデータ削除条件に合致すれば、情報を記憶媒体から削除する（Ｓ６７，Ｓ６８）。
【選択図】図４

Description

本発明は、情報配信管理システム、情報配信管理サーバ、およびプログラムに関する。より詳細には、情報提供端末と情報受信端末との間に介在して、情報配信管理を行なう仕組みに関する。

ハードディスクを初めとした大容量記憶装置に蓄積された文書にパーソナルコンピュータや画像形成装置を使ってアクセスし、ダウンロードしたり、印字出力したりするコンテンツサービス技術が一般的によく知られている。

さらに近年では、ネットワークの普及に伴って新しいコンテンツサービスがオフィスや家庭でも簡単に利用できるようになってきている。これは予め開設されたパブリックボックスやコンテンツサーバなどに格納された文書サービスに対して多数のユーザがアクセスし、これらのサービスが提供する文書を得ようとするものである。

しかしながら、当然これらのコンテンツも大容量記憶装置に格納されており、このような記憶装置の記憶容量も近年飛躍的に増大しているとはいえ無限ではない。よって従来から有限な記憶領域をより効率的に活用する目的で様々な技術が提案されている（たとえば特許文献１〜６を参照）。

特開平０８−０６５４７１号公報 特開２０００−２３６４２５号公報 特開２００１−０９４７４５号公報 特開平０８−１９７７８６号公報 特開平１０−１９０９９７号公報 特開２００１−０７５７４８号公報

たとえば、特許文献１に記載の仕組みでは、記憶装置に蓄積された画像データが一定量を越えると印刷を開始し、印字が終了した文書を順にメモリ上から消去していく仕組みが提案されている。

しかしながら、特許文献１に記載の仕組みでは、一旦文書を削除してしまった場合には、後日その画像データが必要となったときに再利用できない。

こういった課題を解決するために、たとえば、特許文献２，３では、一定時間の経過後に文書を削除する仕組みが提案され、また特許文献４では、予め削除時刻を指定しておき、その時間に達するとデータを削除する仕組みが提案されている。

また、特許文献５では、印字出力の頻度を算出し、利用頻度の高い文書に対しては削除する時期を遅らせるように調整する仕組みが提案されている。さらに、特許文献６では、予め印刷回数を設定しておき、予め設定した印刷回数がゼロ回になったときに印刷データを消去する仕組みが提案されている。

しかしながら、特許文献２〜６に記載の仕組みでは、多数のユーザがアクセスすることを前提としたコンテンツサービスでの利用を考えたときには次のような課題がある。

そもそも「出力を行ないたい」という欲求は、その文書を欲する一人一人のユーザの事情から発しているのであって、文書が作成された経過時間や出力回数やアクセスの頻度といった属性には依存してしない。

たとえば、あるユーザＡが何度も出力を行ない、既に出力回数を超過して文書が削除されてしまっていたとする。すると別のユーザＢが後からその文書を入手しようとしても、そのときには既に利用したい文書が存在していないことになる。また、時間の経過や頻度を基準に考えた場合には、暫く時間が経過してからその文書を入手しようとしたユーザＣがいたとしても、同じようにその文書を入手することができないといった課題がある。

この問題を解決するために、データを永続化させるというのは、記憶装置の有効活用という本来の課題解決の目的に対して逆行することになる。

このように、従来の情報配信管理の仕組みでは、情報に対するアクセス要求と記憶容量の利用効率とのバランスを採ることが難しいのが実情である。

本発明は、上記事情に鑑みてなされたものであり、情報に対するアクセス要求と記憶容量の利用効率とのバランスを採ることのできる情報配信管理の仕組みを提供することを目的とする。

本発明に係る仕組みにおいては、提供対象情報の前記情報受信端末への配信が行なわれるのに先立って、電子識別情報管理部は、提供対象情報のそれぞれについて、提供対象情報の受信対象者ごとに、受信対象者を特定する受信者認証情報を提供対象情報と対応付けてデータベースで管理する。また、アクセス認証情報管理部は、受信者認証情報に対応付けて提供対象情報を受信するためのアクセス権を発行する。

そして、認証処理部は、アクセス権を使用した提供対象情報の受信要求を受けたとき、アクセス権に対応する受信者認証情報がデータベースに使用可能であるとして管理されているものであるか否かを判定することで提供対象情報の情報受信端末への配信可否を決定する。また、情報削除制御部は、アクセス権を使用しての提供対象情報の受信要求に応じた配信処理を反映した、それぞれの受信対象者についての受信者認証情報のデータベースでの管理状況に基づいて、提供対象情報の削除を制御する。

なお、本発明に係る仕組みは、電子計算機（コンピュータ）を用いてソフトウェアで実現することもでき、このためのプログラムやこのプログラムを格納した記録媒体を発明として抽出することも可能である。プログラムは、コンピュータ読取り可能な記憶媒体に格納されて提供されてもよいし、有線あるいは無線による通信手段を介した配信により提供されてもよい。

本発明によれば、情報配信に先立って、情報ごとおよび受信対象者ごとに受信者認証情報を対応付けて管理するとともに、受信者認証情報と対応付けてアクセス権を受信対象者に発行し、このアクセス権を使用した受信要求を監視しながら、提供対象情報の情報受信端末への配信を制御しつつ、提供対象情報の削除を制御するようにしたので、情報に対するアクセス要求と記憶容量の利用効率とのバランスを、確実に採ることができる。

たとえば、コンテンツサービスを利用しようとするユーザやそのシステムを対象に、ユーザが利用したいときに予期せず削除されてしまっているようなことがなく、該当コンテンツを確実に入手することができるような操作性と、さらにシステムの記憶装置の記憶領域を有効活用することができる。

以下、図面を参照して本発明の実施形態について詳細に説明する。

＜情報配信管理システムの概要＞
図１は、蓄積情報のアクセス制御を管理する情報配信管理システムの概要を示す図である。図示のように、本実施形態の情報配信管理システム１は、配信対象となる情報を蓄積する情報蓄積装置３、および、その情報蓄積装置３ａに蓄積されている情報の蓄積や配信や削除などの、蓄積情報のアクセス制御を制御する蓄積制御装置４を具備した情報配信管理サーバ５と、情報蓄積装置３への情報保存要求（データ登録またはアップロードとも称する）や情報蓄積装置３からの情報配信要求（ダウンロードとも称する）を実行するクライアント端末６とが、ＬＡＮ（Local Area Network），ＷＡＮ（Wide Area Network ），あるいはインターネットなどのネットワーク９により接続されて構成されている。

なお、図では、情報蓄積装置３が蓄積制御装置４を介してネットワーク９に接続され、情報の情報蓄積装置３への保存や、情報蓄積装置３に保存されている情報のユーザへの提供は、蓄積制御装置４を介してなされるように構成した例で示している。つまり、蓄積制御装置４は、情報蓄積装置３への情報保存や情報提供を制御するだけでなく、情報蓄積装置３への情報保存や情報提供に介在（中継）するように構成例である。

ただし、このような構成は一例であって、情報蓄積装置３がネットワーク９に接続され、情報蓄積装置３への情報保存や情報提供は、情報蓄積装置３との間で直接に行なうようにしつつ、その情報蓄積装置３への情報保存や情報提供を、蓄積制御装置４が制御する構成とすることもできる。

また、情報提供ユーザにより情報提供端末６ａを介して提供される情報を情報配信管理サーバ５の情報蓄積装置３に保存しておき、情報利用ユーザの使用する情報受信端末６ｂに送信する形態に限らず、情報配信管理サーバ５は、専ら情報提供端末６ａから情報受信端末６ｂへの情報配信時に認証情報を利用して配信処理を制御する蓄積制御装置４のみを有し、情報蓄積装置３を備えていない構成を採ることもできる。この場合、情報提供端末６ａ側に情報蓄積装置３の機能を備えておくことになる。

情報蓄積装置３には、ハードディスク装置３ａや、光／磁気ディスク装置３ｂや、その他の大容量記憶装置が搭載される。

また、クライアント端末６としては、情報蓄積装置３にデータ登録を行なったり、また、情報蓄積装置３に保存されている情報の配信要求を行なったりすることのできるものであればよい。たとえば、情報蓄積装置３にデータ登録を行なうという情報提供端末６ａの機能としての観点では、デジタルドキュメントＤＯＣを作成し、また編集などの処理をする、たとえばノート型もしくはデスクトップ型のパソコン（パーソナルコンピュータ）６ａ_1の他、カラースキャナ６ａ_2、デジタルカメラ６ａ_3、またはハードディスク装置や光磁気ディスク装置あるいは光ディスク装置などのデータ格納装置（たとえばドキュメントボックスやＷｅｂサーバ）６ａ_4、さらにはＦＡＸ装置６ａ_5や携帯電話６ａ_6など、任意数の情報入力ソースを含み得る。なお、携帯電話６ａ_6は無線によりネットワーク９に接続される。

一方、情報蓄積装置３に保存されている情報の配信要求を行なうという情報受信端末６ｂの機能としての観点では、パソコン６ｂ_1などの電子計算機を利用した構成のものや、配信された情報を受信して、その情報に基づいて印刷出力などの画像形成処理を実行するプリンタ、複写機、ＦＡＸ装置、あるいは複合機などの画像形成装置６ｂ_2の他、携帯電話６ｂ_3など、任意数の情報受信端末を含み得る。

蓄積制御装置４は、蓄積制御装置本体４ａと、表示装置４ｂと、指示入力装置４ｃとを備えている。蓄積制御装置本体４ａは、その内部に、情報蓄積装置３に保存するあるいは保存されている情報へのアクセスを管理する機能を実現する各種の機能部が設けられる。

蓄積制御装置４としては、情報提供端末６ａから提供された情報の情報蓄積装置３への保存（蓄積）や、情報蓄積装置３に保存されている情報の情報受信端末６ｂへの配信や、情報蓄積装置３に保存されている情報の削除あるいは配信禁止（纏めて配信無効化とも称する）などを制御する制御機能を実現することのできるものであればよい。

典型的には、蓄積制御装置４としては、たとえば、パーソナルコンピュータなどの電子計算機を利用した構成のものを使用する。もちろん、このような電子計算機を利用した構成に限らず、当該蓄積制御装置４の機能を実現するハードウェアで構成された各機能部により実現されるものであってもよい。

このようなシステム構成において、情報配信管理サーバ５には、ハードディスク装置３ａを始めとする大容量記憶装置が搭載された情報蓄積装置３が備えられ、この情報蓄積装置３に情報提供端末６ａを介して公開対象の情報をアップロードしておき、情報蓄積装置３に蓄積された情報に、パソコン６ｂ_1や画像形成装置６ｂ_2などを使ってアクセスし、情報をダウンロードしたり、印字出力したりする、いわゆるコンテンツサービスが実行されるようになっている。

ここで、情報蓄積装置３には、様々な情報を蓄積可能であるが、その情報の提供に当たっては、提供対象のクライアントを制限したり、あるいは期限や使用回数などの提供条件を設定したり、するなど、一定のアクセス制限を加えることができるようになっており、このようなアクセス制限を加えるための管理を蓄積制御装置４が実行する。

たとえば、情報蓄積装置３に保存される情報の中には、アクセス対象ユーザを限定せず、常時誰でもフリーにアクセスできるようにするものと、たとえば、機密性のある文書など、アクセス対象ユーザを限定すべきものとが混在し得る。アクセス対象ユーザを限定すべき情報が悪意のある第三者へ流出するような事態に陥ることを防止するために、蓄積制御装置４は、情報へのアクセス権を管理し、アクセス権の許容範囲で、ダウンロードを許可する。

また、予め開設されたパブリックボックスやコンテンツサーバなどとして機能する情報蓄積装置３に格納された文書サービスに対して、多数のユーザがアクセスするが、アクセス権の許容範囲で、これらのサービスが提供する文書を得ようとすることができる。

ここで、当然、これらのコンテンツが情報蓄積装置３の大容量記憶装置に格納されているが、このような記憶装置の記憶容量は、近年飛躍的に増大しているとはいえ無限ではない。

そこで、本実施形態の情報配信管理システム１においては、蓄積制御装置４は、情報のアップロードやダウンロードを管理するだけでなく、情報蓄積装置３の有限な記憶領域をより効率的に活用する目的で、ユーザ（受信対象者）およびオブジェクトデータ（提供対象情報）ごとにアクセス権を設定して該当ユーザに公開するとともに、そのアクセス権を使用したオブジェクトデータへのアクセス状況を監視しながら、アクセス要求度合いが所定の条件に達したとき、蓄積情報を情報蓄積装置３から削除するように制御する。このような情報アクセス管理手法を、アクセス認証制御方式と称する。

単純に、予め設定されている削除期限や使用回数に達したときにオブジェクトデータを情報蓄積装置３から削除してしまうと、本来正当なアクセス権を持つユーザからのアクセス要求があっても、その要求に応えることができない。これに対して、削除期限や使用回数などの削除条件とアクセス要求度合いとのバランスを考慮して、動的に削除条件を調整することで、蓄積容量の効率的な利用と、アクセス要求とのバランスを採るのである。

こうすることで、コンテンツサービスを利用しようとするユーザやそのシステムを対象に、ユーザが利用したいときに予期せず情報が削除されてしまっているようなことがなく、また秘匿性を確保した上で常に該当コンテンツを入手することができるような操作性と、さらにシステムの記憶装置の記憶領域を有効活用するという目的を達成する。

＜情報配信管理サーバの構成例＞
図２は、本発明に係る情報配信管理サーバ５（特に蓄積制御装置４）の構成例を示す図である。この情報配信管理サーバ５は、情報アクセス管理を実行する機能部を具備する点に特徴を有する。

ここで、本実施形態の情報配信管理サーバ５を構成する蓄積制御装置４は、各種の機能部の一部を、ハードウェア処理回路により構成することに限らず、その機能を実現するプログラムコードに基づき電子計算機（コンピュータ）と同様の仕組みを用いてソフトウェア的に実現することが可能に構成されている。

ソフトウェアにより所定の処理（特に本実施形態では情報アクセス管理）を実行させる仕組みとすることで、ハードウェア処理回路で構成される各機能要素の一部を取り外した構成にすることができ、またハードウェアの変更を伴うことなく、処理手順などを容易に変更できる利点を享受できるようになる。これに対して、ハードウェア処理回路で行なうことで、高速化を図ったアクセラレータシステムを構築することができるようになる。アクセラレータシステムは、処理が複雑であっても、処理速度の低下を防ぐことができ、高いスループットを得ることができる。

電子計算機と同様の仕組みで、情報アクセス管理機能をソフトウェアにより実行する場合には、そのソフトウェアを構成するプログラムが、専用のハードウェアに組み込まれているコンピュータ（組込マイコンなど）、あるいは、ＣＰＵ（Central Processing Unit ）、論理回路、読出専用の記憶部であるＲＯＭ（Read Only Memory）、随時書込みおよび読出しが可能であるとともに揮発性の記憶部の一例であるＲＡＭ（Random Access Memory）、あるいは不揮発性の記憶部の一例であるＲＡＭ（ＮＶＲＡＭと記述する）を始めとする記憶装置などの機能を１つのチップ上に搭載して所望のシステムを実現するＳＯＣ（System On a Chip：システムオンチップ）、または、各種のプログラムをインストールすることで各種の機能を実行することが可能な構成で、記録媒体からインストールされる。

記録媒体は、コンピュータのハードウェア資源に備えられている読取装置に対して、プログラムの記述内容に応じて、磁気、光、電気などのエネルギの状態変化を引き起こして、それに対応する信号の形式で、読取装置にプログラムの記述内容を伝達できるものである。

たとえば、コンピュータとは別に、ユーザにプログラムを提供するために配布される、プログラムが記録されている磁気ディスク（フレキシブルディスクＦＤを含む）、光ディスク（ＣＤ−ＲＯＭ（Compact Disc-Read Only Memory ）、ＤＶＤ（Digital Versatile Disc）を含む）、光磁気ディスク（ＭＤ（Mini Disc ）を含む）、または半導体メモリなどよりなるパッケージメディア（可搬型の記憶媒体）により構成されるだけでなく、コンピュータに予め組み込まれた状態でユーザに提供される、プログラムが記録されているＲＯＭやハードディスクなどで構成されてもよい。

また、ソフトウェアを構成するプログラムは、記録媒体を用いずに、記録媒体を介して提供されることに限らず、有線あるいは無線などの通信網を介して提供されてもよい。

たとえば、情報アクセス管理機能を実現するソフトウェアのプログラムコードを記録した記憶媒体を、システムあるいは装置に供給し、そのシステムあるいは装置のコンピュータ（またはＣＰＵやＭＰＵ）が記憶媒体に格納されたプログラムコードを読み出し実行することによっても、ハードウェア処理回路にて構成する場合と同様の効果は達成される。この場合、記憶媒体から読み出されたプログラムコード自体が情報アクセス管理機能を実現する。

また、コンピュータが読み出したプログラムコードを実行することで情報アクセス管理機能が実現されるだけでなく、プログラムコードの指示に基づき、コンピュータ上で稼働しているＯＳ（Operating Systems ；基本ソフト）などが実際の処理の一部または全部を行ない、その処理により情報アクセス管理機能が実現される場合であってもよい。

さらに、記憶媒体から読み出されたプログラムコードが、コンピュータに挿入された機能拡張カードやコンピュータに接続された機能拡張ユニットに備わるメモリに書き込まれた後、そのプログラムコードの指示に基づき、その機能拡張カードや機能拡張ユニットに備わるＣＰＵなどが実際の処理の一部または全部を行ない、その処理によって情報アクセス管理機能が実現される場合であってもよい。

なお、情報アクセス管理機能を実現するプログラムコードを記述したファイルとしてプログラムが提供されるが、この場合、一括のプログラムファイルとして提供されることに限らず、コンピュータで構成されるシステムのハードウェア構成に応じて、個別のプログラムモジュールとして提供されてもよい。

たとえば、コンピュータシステムとして構成される蓄積制御装置４は、装置全体の動作を制御するシステム制御部１０２を備える。具体的には、システム制御部１０２は、コントローラ部（制御部）１０４と、図示したハードディスク装置（ＨＤＤ）１１８あるいは光／磁気ディスク装置１１９や、図示を割愛した、フレキシブルディスク（ＦＤ）ドライブ、ＣＤ−ＲＯＭ（Compact Disk ROM）ドライブ、半導体メモリコントローラなどの、所定の記憶媒体からデータを読み出したり記録したりするための記録・読取制御部１０６とを有する。なお、ハードディスク装置１１８は情報蓄積装置３に備えられているハードディスク装置３ａを利用することができ、光／磁気ディスク装置１１９は、情報蓄積装置３に備えられている光／磁気ディスク装置３ｂを利用することができる。

コントローラ部１０４は、ＣＰＵ１１２、読出専用の記憶部であるＲＯＭ１１３、随時書込みおよび読出しが可能であるとともに揮発性の記憶部の一例であるＲＡＭ１１５、および不揮発性の記憶部の一例であるＲＡＭ（ＮＶＲＡＭと記述する）１１６を有する。

なお、上記において“揮発性の記憶部”とは、装置の電源がオフされた場合には、記憶内容を消滅してしまう形態の記憶部を意味する。一方、“不揮発性の記憶部”とは、装置のメイン電源がオフされた場合でも、記憶内容を保持し続ける形態の記憶部を意味する。記憶内容を保持し続けることができるものであればよく、半導体製のメモリ素子自体が不揮発性を有するものに限らず、バックアップ電源を備えることで、揮発性のメモリ素子を“不揮発性”を呈するように構成するものであってもよい。

また、半導体製のメモリ素子により構成することに限らず、磁気ディスクや光ディスクなどの媒体を利用して構成してもよい。たとえば、ハードディスク装置１１８や光／磁気ディスク装置１１９を不揮発性の記憶部として利用できる。また、ＣＤ−ＲＯＭなどの記録媒体から情報を読み出す構成を採ることでも不揮発性の記憶部として利用できる。

また、コンピュータシステムと同様の仕組みで構成された蓄積制御装置４は、装置の操作指示を受け付けるなどのユーザインタフェースをなす機能部としての指示受付部１５２と、操作時のガイダンス画面（操作メニュー）や装置の動作状態や処理結果などの所定の情報をユーザに提示する表示出力部１５４（図１の表示装置４ｂに相当）と、各機能部との間のインタフェース機能をなすインタフェース部（ＩＦ部）１９０とを有する。

インタフェース部１９０としては、処理データ（画像データを含む）や制御データの転送経路であるシステムバス１９１の他、たとえば、操作パネル部１９２ａおよび操作キー部１９２ｂを具備したユーザインタフェース部１９２（図１の指示入力装置４ｃに相当）や、プロトコル制御を実行しネットワークとのインタフェース機能をなす通信インタフェース部１９４や、その他の外部デバイスとのインタフェース機能をなすデバイスインタフェース部を有する。

通信インタフェース部１９４は、ＬＡＮ（Local Area Network）やＷＡＮ（Wide Area Network ）などの有線形態のネットワークを制御するネットワークコントローラ１４２や、公衆回線網（たとえば電話回線）などを通じ、コンピュータ同士でデータをやり取りするときに利用するモデム１４４などの通信制御機能を持つ。なお、ネットワークは、有線形態のものに限らず、無線形態のネットワークであってもよく、この場合無線仕様のネットワークコントローラ１４６が設けられる。

デバイスインタフェース部は、後述するように、各種のデバイス装置をコントロールする。

指示受付部１５２としては、たとえば、ユーザインタフェース部１９２の操作キー部１９２ｂを利用することができる。あるいは、キーボード１５２ａやマウス１５２ｂなどを利用することもできる。

ユーザインタフェース部１９２やキーボード１５２ａやマウス１５２ｂは、図示を割愛するが、キーボード１５２ａからのキー入力およびマウス１５２ｂといったポインティングデバイスからの入力を制御するそれぞれに応じたデバイスインタフェース部を介してシステムバス１９１に接続される。

表示出力部１５４は、表示制御部と表示装置とを備える。表示装置としては、たとえば、ユーザインタフェース部１９２の操作パネル部１９２ａを利用することができる。あるいは、ＣＲＴ（Cathode Ray Tube；陰極線管）やＬＣＤ（Liquid Crystal Display；液晶）などでなるその他のディスプレイ部１５４ａを利用することもできる。

たとえば、表示制御部が、操作パネル部１９２ａやディスプレイ部１５４ａ上に、ガイダンス情報や記録・読取制御部１０６が各種の媒体から取り込んだ情報の一覧などを表示させる。また、各種の情報を操作者に通知する際の表示デバイスとしても利用される。なお、表示面上にタッチパネルを有するディスプレイ部１５４ａとすることで指先やペンなどで所定の情報を入力する指示受付部１５２を構成することもできる。

また、蓄積制御装置４には、前述の各機能部の他にも、装置機能に応じた特有の機能部も設けられる。一例として、情報蓄積装置３に保存する情報量を少なくする機能を持つ場合であれば、画像データやその他のデータの圧縮伸張処理やデータ加工などの処理を実行するデータ処理部１８０が設けられる。

ここで、本実施形態のデータ処理部１８０は、出力される文書情報に所定の情報を埋め込む付加情報埋込処理を実行する付加情報埋込装置２００をなす機能部や、付加情報が埋め込まれた画像を処理対象として付加情報抽出（付加情報復元）処理を実行する付加情報復元装置３００をなす機能部を具備する。

付加情報埋込装置２００と付加情報復元装置３００は、蓄積制御装置４がどのような形態のものであるのかに応じて、何れか一方のみが搭載される構成もあれば、両者が搭載される構成もある。この付加情報埋込装置２００や付加情報復元装置３００をなす各機能部についての詳細は後述する。

また、一例として、印刷出力機能や複写機能などを備えた画像形成装置の機能をも持つようにする場合であれば、図示を割愛するが、原稿画像を読み取る画像読取部や、画像情報を印刷出力してユーザに提示する構成とするべく、画像読取部が読み取った画像や通信インタフェース部１９４を介して取得した印刷データなどに基づき、所定の出力媒体（たとえば印刷用紙）に画像を出力する画像記録部（画像形成部）を設けることもできる。画像読取部や画像記録部は、インタフェース部１９０をなすデバイスインタフェース部としてのスキャナインタフェース部やプリンタインタフェース部を介してシステムバス１９１に接続される。

なお、これらの他にも、たとえば、音声情報を発するオーディオデバイス１８８が、音声信号の入出力を制御するオーディオインタフェース部１９８を介してシステムバス１９１に接続される。

また、ＵＳＢ（Universal Serial Bus）規格に準拠したＵＳＢメモリなどのＵＳＢデバイス１８９が、ＵＳＢデバイス１８９との間のデータ入出力を制御するＵＳＢインタフェース部１９９を介してシステムバス１９１に接続される。

データ処理部１８０、画像読取部、画像記録部、オーディオデバイス１８８、ＵＳＢデバイス１８９などの各種のデバイスは、それらに応じたアプリケーションプログラムとコントローラ部１０４による全体を制御するアプリケーションプログラム（オペレーティングシステム用のソフトウェアなど）との連携（協調動作）によって、コピー、プリンタ、スキャナ、ファクシミリなどの画像形成処理に関わる各種のサービスを提供するように構築される。たとえば、データ処理部１８０に設けられる付加情報埋込処理を実行するための各種の機能部の処理を、ソフトウェアで実現することができる。

これら各デバイス用の各アプリケーションは、アプリケーションごとに、追加（インストール）、仕様変更（バージョンアップやバグ修正などの同一バージョン内での微小変更）、または削除（アンインストール）することができし、アプリケーションを構成するモジュールごとにも、追加、仕様変更、あるいは削除することができる。

このような構成において、ＣＰＵ１１２は、システムバス１９１を介してシステム全体の制御を行なう。ＲＯＭ１１３は、ＣＰＵ１１２が使用する制御プログラムを含む各種固定データを格納する。ＲＡＭ１１５は、ＳＲＡＭ（Static Random Access Memory ）などで構成され、プログラム制御変数や各種処理のためのデータなどを格納し、また、所定のアプリケーションプログラムに従って演算して得たデータや外部から取得したデータなどを一時的に格納する領域を含んでおり、ＣＰＵ１１２がデータ処理などを行なう際に、ワークメモリなどの用途に使用される。

ＮＶＲＡＭ１１６は、制御パラメータや処理されたデータなどを記憶しておくものであり、バックアップされる。特に、本実施形態の構成では、付加情報埋込処理に関連する各種のデータを保存する機能をなすようになっている。

このような構成の蓄積制御装置４において、たとえば、情報アクセス管理機能をコンピュータに実行させるプログラムは、ＣＤ−ＲＯＭなどの記録媒体を通じて配布される。あるいは、このプログラムは、ＣＤ−ＲＯＭではなくＦＤに格納されてもよい。また、ＭＯドライブを設け、ＭＯに前記プログラムを格納してもよく、またフラッシュメモリなどの不揮発性の半導体メモリカードなど、その他の記録媒体にプログラムを格納してもよい。さらに、他のサーバなどからインターネットなどのネットワークを経由してプログラムをダウンロードして取得したり、あるいは更新したりしてもよい。

なおプログラムを提供するための記録媒体としては、ＦＤやＣＤ−ＲＯＭなどの他にも、ＤＶＤなどの光学記録媒体、ＭＤなどの磁気記録媒体、ＰＤなどの光磁気記録媒体、テープ媒体、磁気記録媒体、ＩＣカードやミニチュアカードなどの半導体メモリを用いることができる。記録媒体の一例としてのＦＤやＣＤ−ＲＯＭなどには、情報アクセス管理機能を実現する際の、一部または全ての機能を格納することができる。

また、ハードディスク装置１１８や光／磁気ファイルなどの記憶装置は、プログラムや各種のアプリケーション、フォントデータやユーザファイルといったユーザデータや制御管理データを保持したり、自装置で取得したデータや外部から取得したデータなどを大量に一時的に格納したりする領域を含んでおり、入出力インタフェース機能をなす記録・読取制御部１０６によりデータの読出しや書込みが制御される。

このような構成により、所定の指令にて、情報アクセス管理機能を実行するプログラムが記憶されているＣＤ−ＲＯＭなどの読取可能な記録媒体からＲＡＭ１１５に情報アクセス管理プログラムがインストールされ、また指示受付部１５２を介した操作者による指令や所定の条件を契機とする自動処理にて情報アクセス管理プログラムが起動される。

ＣＰＵ１１２は、この情報アクセス管理プログラムに従って後述する情報アクセス管理処理に伴う処理ステップを実行し、処理結果をＲＡＭ１１５やハードディスク装置１１８などの記憶装置に格納し、必要により操作パネル部、あるいはＣＲＴやＬＣＤなどの表示装置に情報提示出力する。情報アクセス管理処理を実行するプログラムが記録した記録媒体を用いることにより、既存のシステムを変えることなく、情報アクセス管理処理を実行する蓄積制御装置４を汎用的に構築することができる。

なお、このようなコンピュータを用いた構成に限らず、各機能部の処理をなす専用のハードウェアの組合せにより、情報アクセス管理機能を実行することを可能とする蓄積制御装置４を構成することもできる。

＜情報アクセス管理機能；ブロック図＞
図３は、蓄積制御装置４において、情報アクセス管理機能を実現するための機能の側面から、装置構成例を示した機能ブロック図である。

蓄積制御装置４は、保存要求のあった情報（以下オブジェクトデータと称する）の情報蓄積装置３への保存を制御するとともに、情報提供要求のあったオブジェクトデータの提供やオブジェクトデータの情報蓄積装置３からの削除を制御する情報管理制御部の一例であるオブジェクト制御部２００と、情報蓄積装置３に保存するオブジェクトデータごとにそのオブジェクトデータに対するアクセス権を、当該オブジェクトデータと対応付けて管理するアクセス権設定管理部３００と、アクセス権設定管理部３００が設定したオブジェクトデータごとのアクセス権に基づいて、情報提供要求時に認証処理を実行する認証処理部４００とを備えている。

オブジェクト制御部２００は、あるオブジェクトデータによるコンテンツを配布する目的を持ったユーザＡから、オブジェクトデータの提供を受けると、そのオブジェクトデータを情報蓄積装置３に保存する。

ここで、オブジェクトデータの中には、開示を無制限とするものに限らず、一定の公開期限が設定されたり、公開回数が設定されたり、あるいは、秘匿性の高いビジネス上の機密文書などのように、公開対象ユーザが制限されたりするものも存在する。

オブジェクト制御部２００は、情報提供端末６ａを介してユーザにより提供されたオブジェクトを情報蓄積装置３に保存するオブジェクトデータ保存部２１０と、情報蓄積装置３に保存されているオブジェクトデータを読み出して配信要求のあった情報受信端末６ｂに配信するオブジェクトデータアクセス部２２０と、情報蓄積装置３に保存されているオブジェクトデータを情報蓄積装置３から削除する情報削除制御部の一例であるオブジェクトデータ削除部２３０とを有している。

データアップロード時に公開期限や公開回数などのオブジェクトデータの削除条件が設定されたときには、オブジェクトデータ保存部２１０は、オブジェクトデータを情報蓄積装置３に保存する際、公開期限や公開回数などのオブジェクトデータの削除条件をオブジェクトデータに対応付けて保存する。

オブジェクトデータアクセス部２２０は、情報受信端末６ｂを介してユーザよりオブジェクトデータのダウンロード要求を受けると、そのユーザが、要求されたオブジェクトデータのダウンロードに対して正当なアクセス権を持つユーザであるか否かの認証処理部４００による認証結果に基づいて、情報蓄積装置３に保存されているオブジェクトデータへのアクセスを制御する。

オブジェクトデータ削除部２３０は、オブジェクトデータのそれぞれに設定されている公開期限や公開回数などの削除条件に基づいて、オブジェクトデータを削除する。なお、特段の削除条件がオブジェクトデータに設定されていなければ、当該蓄積制御装置４に固有の削除条件に従って削除することにする。無制限にデータ保存することを避けるためである。

ここで、本実施形態のオブジェクトデータ削除部２３０は、オブジェクトデータのそれぞれに設定されている削除条件だけをオブジェクトデータの削除判定に利用するのではなく、アクセス権設定管理部３００が管理している、当該オブジェクトデータに対応付けられている電子識別情報ＤＩＤ_1の状況、つまり、当該オブジェクトデータに対するアクセスの要求度合いをも勘案して、削除すべきか否かを決定するアクセス状況削除部２３２を有している点に特徴を有する。

アクセス権設定管理部３００は、ユーザ識別情報ＵＩＤを取得する識別情報取得部３０２と、識別情報取得部３０２が取得したユーザ識別情報ＵＩＤから電子化された識別情報（電子識別情報ＤＩＤ_1と称する）を生成する電子識別情報生成部３０４と、電子識別情報生成部３０４により生成された受信者認証情報としての電子識別情報ＤＩＤ_1を、提供対象となるオブジェクトデータと対応付けてデータベース（たとえばハードディスク装置１１８や光／磁気ディスク装置１１９）にて管理する電子識別情報管理部３１０と、電子識別情報管理部３１０がデータベースで管理している電子識別情報ＤＩＤ_1に対応する公開用のアクセス認証情報ＡＩＤの発行を管理するアクセス認証情報管理部３２０とを備えている。アクセス認証情報ＡＩＤは、情報受信端末６ｂでの情報受信時に、アクセス権として利用されるものである。

アクセス認証情報開示部３１０は、情報提供端末６ａから提供され、オブジェクト制御部２００の制御の元で情報蓄積装置３（たとえばハードディスク装置３ａや光／磁気ディスク装置３ｂや半導体で構成されたメモリ素子などの記憶手段）に蓄積された、情報受信端末６ｂ側への提供対象となるオブジェクトデータに対して、オブジェクトデータごとに電子識別情報ＤＩＤ_1を付与する電子識別情報対応部３１２と、電子識別情報対応部３１２がオブジェクトデータに対応付けた電子識別情報ＤＩＤ_1を削除する電子識別情報削除部３１４と、電子識別情報対応部３１２がオブジェクトデータに対応付けた電子識別情報ＤＩＤ_1を無効にする電子識別情報無効化部３１６と、電子識別情報無効化部３１６が一旦削除した電子識別情報ＤＩＤ_1を有効にする電子識別情報有効化部３１８とを有している。

電子識別情報削除部３１４による電子識別情報ＤＩＤ_1の削除と、電子識別情報無効化部３１６による電子識別情報ＤＩＤ_1の無効化とを合わせて、電子識別情報ＤＩＤ_1を使用不可にすると称する。

識別情報取得部３０２は、ユーザＡによりアップロードされたオブジェクトデータに関して、公開対象のユーザ範囲を規定するために、公開対象のユーザ範囲を規定するユーザ識別情報ＵＩＤの入力を、アップロードユーザであるユーザＡから受け付ける。

たとえば、ユーザＡは、公開対象をユーザＢ，Ｃ，Ｄとする場合であれば、各ユーザＢ，Ｃ，Ｄを特定するユーザ識別情報ＵＩＤを識別情報取得部３０２に入力する。このユーザ識別情報ＵＩＤとしては、たとえば、各ユーザＢ，Ｃ，Ｄの固有識別子ＩＤや名前や任意の文字列といった論理的な情報が代表的なものであるが、網膜や静脈、指紋、声紋などの生体情報で認識される情報も入力することも当然可能である。

なお、前述の説明では、公開対象ユーザを予め制限する必要のあるオブジェクトデータについて、アップロードユーザであるユーザＡが、予め公開を許可し得るユーザ範囲を設定する事例で説明したが、これに限らず、公開対象ユーザに関しては公開制限がないが、期限や情報提供回数などの、その他の側面からの公開制限が設定されるものであってもよい。この場合には、オブジェクトデータの提供を希望するユーザ自らが自身を特定するユーザ識別情報ＵＩＤを識別情報取得部３０２に入力する。

電子識別情報生成部３０４は、識別情報取得部３０２により取得されたユーザ識別情報ＵＩＤを、コンピュータが電気的に処理できる信号列などに変換し、これを電子識別情報ＤＩＤ_1とする。

ユーザＡが所望する電子識別情報管理部３１０において、電子識別情報対応部３１２は、電子識別情報生成部３０４により生成された電子識別情報ＤＩＤ_1を、情報蓄積装置３に既に格納された、またはこれから登録予定のオブジェクトデータ（文書、メール、映像、音楽といったコンテンツ情報）に対して、管理情報として１対１に対応付ける。

こうすることで、オブジェクトデータごとに、公開を許可し得るユーザ範囲が設定される。公開対象ユーザに関しては公開制限がない場合、既に登録済のユーザ以外から情報提供の要求があれば、先ずユーザ識別情報ＵＩＤの入力を受けることになるので、期限や情報提供回数などの側面からオブジェクトデータの公開が禁止されない時点であれば、公開を許可し得るユーザ範囲が動的に調整されることになる。

電子識別情報削除部３１４や電子識別情報無効化部３１６は、オブジェクトデータに対するアクセス権としてのアクセス認証情報ＡＩＤを付与されたユーザのオブジェクトデータのアクセス（操作）の終了を以って電子識別情報ＤＩＤ_1の削除や無効化を処理する。

事実上、電子識別情報生成部３０４により生成され、電子識別情報対応部３１２によりオブジェクトデータに対応付けて設定された電子識別情報ＤＩＤ_1およびそれに対応するアクセス認証情報ＡＩＤは、ワンタイム（一度限りの）アクセス権となる。ワンタイムパスワードを使用した仕組みに類似したものとなる。

たとえば、ユーザＢ，Ｃ，Ｄのそれぞれについて、オブジェクトデータに対する操作が終了した後には、オブジェクトデータに対するアクセス権を失ったとして、電子識別情報削除部３１４は電子識別情報ＤＩＤ_1を削除する、あるいは、電子識別情報無効化部３１６は電子識別情報ＤＩＤ_1を無効にする。よって以後、前回使ったアクセス認証情報ＡＩＤによる再度のアクセスがあったとしても、そのアクセス認証情報ＡＩＤに対応する有効な電子識別情報ＤＩＤ_1が存在しない、あるいは削除されているため、オブジェクトデータへのアクセスが実行されることはないのである。

換言すれば、アクセス認証情報ＡＩＤとは、オブジェクトデータに対するアクセス権を兼ねたセキュリティチケットのようなものである。情報蓄積装置３に対して、この権利を行使することで、データアクセスが可能となるが、使用済みのチケット（本例のアクセス認証情報ＡＩＤ）では、オブジェクトデータへのアクセスを行なうことはできなくなる。

再度のアクセスを希望する場合には、識別情報取得部３０２を介したユーザ識別情報ＵＩＤの入力からやり直すか、電子識別情報無効化部３１６によって電子識別情報ＤＩＤ_1が無効化されている場合であれば、電子識別情報有効化部３１８にアクセスして、無効中の電子識別情報ＤＩＤ_1を有効にすることで対処できる。

ユーザ識別情報ＵＩＤの入力からやり直す場合、電子識別情報ＤＩＤ_1およびアクセス認証情報ＡＩＤの再発行が必要になるので、処理時間が掛かるが、無効中の電子識別情報ＤＩＤ_1を電子識別情報有効化部３１８で有効にするだけであれば、処理時間は掛からない。

また、無効中の電子識別情報ＤＩＤ_1を電子識別情報有効化部３１８で有効にする場合、前回使用されたアクセス認証情報ＡＩＤをそのまま使用することも可能である。ただし、この場合でも、アクセス認証情報ＡＩＤを再発行するようにしてもよい。

オブジェクト制御部２００は、情報蓄積装置３に保存しているオブジェクトデータを削除する場合、そのオブジェクトデータに設定されている公開期限や公開回数の他に、当該オブジェクトデータに対応付けられている電子識別情報の情報をも勘案して、削除すべきか、無効にしておくべきかを、アクセス状況削除部２３２により決定する。

たとえば、あるユーザＢが何度も出力を行ない、出力回数を超過して文書を削除すべき時期に達しても、別のユーザＣに対しての電子識別情報ＤＩＤ_1がアクセス権設定管理部３００によって管理されていれば、出力回数の側面からの削除条件に達していても、削除を保留する。

また、あるユーザＢの使用後に相当の時間が経過し、公開期限を超過して文書を削除すべき時期に達しても、別のユーザＣに対しての電子識別情報ＤＩＤ_1がアクセス権設定管理部３００によって管理されていれば、公開期限の側面からの削除条件に達していても、削除を保留する。

オブジェクトデータごとに設定されるアクセス権（電子識別情報ＤＩＤ_1）が有効であるものとしてアクセス権設定管理部３００によって管理されている限り、出力回数や公開期限などの一般的な削除条件に合致しても削除を保留する。こうすることで、時間の経過や頻度を基準に考えた場合でも、しばらく時間が経過してからその文書を入手しようとしたユーザＣに対して、同じようにその文書を入手することができるようにするのである。

もちろん、オブジェクトデータに対する全てのアクセス権が無効である場合には、従前のように、出力回数や公開期限などの一般的な削除条件に合致したときに、オブジェクトデータを削除できるので、何ら不都合は生じない。オブジェクトデータへのアクセスがあったとしても、有効な電子識別情報ＤＩＤ_1がアクセス権設定管理部３００によって管理されていなければ、オブジェクトデータへのアクセスが実行されることはないのである。

アクセス認証情報管理部３２０は、電子識別情報対応部３１２によりオブジェクトデータごとに付与された電子識別情報ＤＩＤ_1を、予め定められている変換規則に従ってユーザが認識することのできるアクセス認証情報ＡＩＤに変換して発行するアクセス認証情報発行部３２２と、アクセス認証情報発行部３２２が発行したアクセス認証情報ＡＩＤをユーザに対して開示するアクセス認証情報開示部３２６と、アクセス認証情報発行部３２２が発行するアクセス認証情報ＡＩＤの、ユーザ単位での最大発行数を管理するアクセス認証情報最大発行数管理部３２８とを有している。

アクセス認証情報ＡＩＤとしては、たとえば、紙に印刷されたバーコード情報であるとか、光や音といった情報や、電子メールに付随した電子暗号鍵や、ＩＣタグなど工業製品を始めとするあらゆる分野への用途変換が可能である。

アクセス認証情報発行部３２２は、別途要求を受けてアクセス認証情報ＡＩＤを再発行する再発行部３２４と、最大発行数を超過したユーザに対してのアクセス認証情報ＡＩＤの発行を禁止するアクセス禁止部３２５とを有している。再発行部３２４による再発行分も含めて、ユーザ単位でのアクセス認証情報ＡＩＤの最大発行数がアクセス認証情報最大発行数管理部３２８によって管理され、アクセス禁止部３２５は、最大発行数を超過したユーザへのアクセス認証情報ＡＩＤの付与を禁止するのである。

たとえば、アクセス認証情報発行部３２２は、電子識別情報対応部３１２によって付与されたオブジェクトデータに対するアクセスを管理するための管理情報としての電子識別情報ＤＩＤ_1に対応付けて、各ユーザ（たとえばユーザＢ，Ｃ，Ｄ）が認識可能なアクセス認証情報ＡＩＤを生成し、アクセス認証情報開示部３２６を介してユーザに対して交付する。

認証処理部４００は、アクセス認証情報発行部３２２により発行されアクセス認証情報開示部３２６により対応ユーザに公開されたアクセス認証情報ＡＩＤを取得するアクセス認証情報取得部４０２と、アクセス認証情報取得部４０２によって取得されたアクセス認証情報ＡＩＤに対応する電子識別情報ＤＩＤ_2を解析する電子識別情報解析部４０４と、電子識別情報解析部４０４によって解析された電子識別情報ＤＩＤ_2が、電子識別情報管理部３１０が使用可能であるとしてデータベースで管理している電子識別情報ＤＩＤ_1と合致するか否かを照合する電子識別情報照合部４０６と、電子識別情報照合部４０６で合致した電子識別情報ＤＩＤ_1に対応付けられているオブジェクトデータに対して、オブジェクトデータアクセス部２２０を介してアクセスする権利を与えるアクセス権付与部４０８とを有している。

また、認証処理部４００は、アクセス認証情報取得部４０２が取得するアクセス認証情報ＡＩＤの利用状況、すなわち、アクセス認証情報ＡＩＤに対応するオブジェクトデータの閲覧やダウンロードなどの利用（アクセス）状況を監視する利用状況監視部４２０と、正当なアクセス認証情報ＡＩＤを持たない不正利用者からのアクセスを検知する不正アクセス検知部４２２とを有する。

ここで、「正当なアクセス認証情報ＡＩＤを持たない不正利用者」とは、そもそも正規のアクセス認証情報ＡＩＤを持たない利用者と、アクセス権設定管理部３００により発行されたアクセス認証情報ＡＩＤを持つ利用者ではあるが、アクセス認証情報ＡＩＤの最大発行数を超過した利用者とを含む。

アクセス認証情報ＡＩＤを用いたオブジェクトデータへのアクセス権は、利用を希望する都度発行されるし、利用完了の都度無効にされ、再度の利用希望時には、アクセス認証情報ＡＩＤを最大発行数の範囲内で発行し直すことで、使用済のアクセス認証情報ＡＩＤの再利用を禁止するのである。

また、認証処理部４００は、利用状況監視部４２０による利用状況の監視結果に基づくオブジェクトデータの利用に関する所定の通知を、該当のアクセス認証情報ＡＩＤが発行された利用者に対して行なう利用状況警告部としての利用者通知部４２４と、不正アクセス検知部４２２が検知した不正アクセスに基づく不正アクセスに関する所定の通知（特に警告のための通知）を、該当のアクセス認証情報ＡＩＤを入力した利用者に対して行なう不正アクセス警告部としての利用者通知部４２６とを有する。

また、認証処理部４００は、正当なアクセス認証情報ＡＩＤを持たない不正利用者によるオブジェクトデータへのアクセスを禁止するアクセス禁止部４３０と、利用状況監視部４２０や不正アクセス検知部４２２により検知される、情報蓄積装置３に保存されているオブジェクトデータへのアクセスの検知結果を、オブジェクトデータの主たる管理者に対して通知するアクセス状況通知部４３２とを有する。

アクセス認証情報取得部４０２は、たとえばユーザＢ，Ｃ，Ｄによる、アクセス認証情報発行部３２２およびアクセス認証情報開示部３２６を介して発行・公開されたアクセス認証情報ＡＩＤの入力を受け付け、アクセス認証情報ＡＩＤを取得すると、電子識別情報解析部４０４に渡す。

電子識別情報解析部４０４は、アクセス認証情報発行部３２２が適用する変換規則とは逆の変換規則に従って、アクセス認証情報取得部４０２から受け取ったアクセス認証情報ＡＩＤを電子識別情報ＤＩＤ_2に変換し、電子識別情報照合部４０６に渡す。

電子識別情報照合部４０６は、電子識別情報解析部４０４から受け取った電子識別情報ＤＩＤ_2が、アクセス権設定管理部３００のアクセス認証情報管理部３２０により管理されている電子識別情報ＤＩＤ_1と同一のものであるか否かを確認する。

ここで、一致する電子識別情報ＤＩＤ_1に対応付けられているオブジェクトデータに対しては、ユーザＢ，Ｃ，Ｄがアクセスする権利を有することをアクセス権付与部４０８により証明する。アクセス権付与部４０８は、その証明結果をオブジェクトデータアクセス部２２０に通知する。

オブジェクトデータアクセス部２２０は、アクセス権付与部４０８からの証明結果に基づき、オブジェクトデータへのアクセスを制御する。たとえば、正当なユーザＢ，Ｃ，Ｄは、情報蓄積装置３に保存されているオブジェクトデータに対する操作、たとえば、読出しや書込み、あるいは印刷出力や削除などのアクセスが可能となる。

アクセス操作が完了すると、オブジェクトデータに対するアクセス権を失ったものとして、電子識別情報削除部３１４は電子識別情報ＤＩＤを削除する、あるいは電子識別情報無効化部３１６は電子識別情報ＤＩＤを無効にしておく。以後は、先に発行されたアクセス認証情報ＡＩＤを用いたアクセスは、認証処理部４００によって不正なものであるとして検知されるので、オブジェクトデータへの不正アクセス（ここでは再アクセス）が禁止されることになる。アクセス認証情報ＡＩＤによる再使用でのアクセスがあったとしても有効な電子識別情報ＤＩＤ_1が削除されている、あるいは無効になっているためである。

また、アクセス認証情報管理部３２０は、アクセス認証情報ＡＩＤを再発行する再発行部３２４を有することにより、一旦アクセス認証情報ＡＩＤ（つまり電子識別情報ＤＩＤ_1）を使用してしまった後でも必要に応じて情報受信対象のユーザ（たとえばユーザＢ，Ｃ，Ｄ）に対する再発行が可能である。

しかしながら、これは無尽蔵にオブジェクトデータに対するアクセスを生じさせることになるため、場合によっては、オブジェクトデータを永久に削除できない事態も起こり、蓄積容量の利用効率低下を招き得る。この問題を解消するため、予めユーザ単位でアクセス認証情報ＡＩＤの発行数（設定回数）をどの程度にするかをアクセス認証情報最大発行数管理部３２８より指示することができる。そして、認証処理部４００は、アクセス認証情報最大発行数管理部３２８により指定された最大発行数を超過した受信対象者からのオブジェクトデータの受信要求を拒否する、つまり、設定回数を越えてのアクセスを禁止する。

＜処理手順；全体概要＞
図４は、情報アクセス管理処理手順の全体概要の一例を示すフローチャートである。また、図５は、ユーザ間でコンテンツであるオブジェクトデータを、ユーザ識別情報ＵＩＤおよび電子識別情報ＤＩＤ並びにアクセス認証情報ＡＩＤを用いて授受を行なうプロセスの一事例を示した図である。

あるオブジェクトデータによるコンテンツを配布する目的を持ったユーザＡは、そのオブジェクトデータを、情報提供端末６ａを介して情報配信管理サーバ５にアップロードする（Ｓ１０）。情報配信管理サーバ５は、このアップロードされたオブジェクトデータを情報蓄積装置３に保存する（Ｓ１１）。

ここで、オブジェクトデータが、秘匿性の高いビジネス上の機密文書などのように、公開対象ユーザを制限すべきものである場合（Ｓ１２−ＹＥＳ）、ユーザＡは、その公開対象のユーザ範囲を設定する（Ｓ１３）。具体的には、ユーザＡは、公開対象ユーザ（たとえばユーザＢ，Ｃ，Ｄ）を特定するユーザ識別情報ＵＩＤもオブジェクトデータと対応付けて情報配信管理サーバ５にアップロードする。

機密文書へのユーザアクセスを限定せず、常時誰でもフリーにアクセスできるようにしてしまった場合、機密性のある文書などが悪意のある第三者へ流出するような事態に陥るような問題も新たに懸念されるが、事前に、公開対象のユーザ範囲を情報提供者側で制限しておくことで、この問題を解消するのである。

一方、公開対象ユーザに関しての公開制限がない場合（Ｓ１２−ＮＯ）、オブジェクトデータへのアクセスを希望するユーザ（アクセスユーザと称する）は、実際のアクセスに先立って、予め、アクセス権の発行を依頼するべく、オブジェクトデータの提供を希望するユーザ自らが、自身を特定するユーザ識別情報ＵＩＤとアクセスを希望するオブジェクトデータを特定する情報とを対応付けて情報受信端末６ｂを介して情報配信管理サーバ５に要求する（Ｓ１４）。

情報配信管理サーバ５の蓄積制御装置４は、ユーザ識別情報ＵＩＤを受信すると（Ｓ２０）、入力されたユーザ識別情報ＵＩＤを電子識別情報ＤＩＤ_1に変換して（Ｓ２２）、提供対象となるオブジェクトデータに対応付けてデータベースに登録するとともに（Ｓ２４）、電子識別情報ＤＩＤ_1をアクセス認証情報ＡＩＤに変換して（Ｓ２６）、該当のユーザに発行する（Ｓ２８）。

オブジェクトデータが情報蓄積装置３から削除される前であれば、さらに別のアクセスユーザからユーザ識別情報ＵＩＤが入力される都度、蓄積制御装置４は、ユーザ識別情報ＵＩＤに対応する電子識別情報ＤＩＤやアクセス認証情報ＡＩＤを生成して、電子識別情報ＤＩＤをアクセス希望のオブジェクトデータに対応付けるとともに、アクセス認証情報ＡＩＤを該当ユーザに公開することができる（Ｓ１２〜Ｓ２８）。

蓄積制御装置４は、アクセス認証情報ＡＩＤの公開後に、そのアクセス認証情報ＡＩＤを使用したオブジェクトデータへのアクセスの有無を利用状況監視部４２０や不正アクセス検知部４２２で監視する（Ｓ３０）。

アクセス認証情報ＡＩＤの公開後に、所定期間経過しても、そのアクセス認証情報ＡＩＤを用いたアクセスがなければ（Ｓ３２−ＹＥＳ）、蓄積制御装置４は、長期間使用していないユーザに対して、注意喚起を利用者通知部４２４を介して行なう（Ｓ３４）。

この通知を受けたユーザは、交付済のアクセス認証情報ＡＩＤを用いたオブジェクトデータへのアクセスの可能性が依然としてあれば、期限延長の通知（期間リセット通知）を情報配信管理サーバ５に発する（Ｓ３６−ＹＥＳ）。期限延長の通知があると、蓄積制御装置４は、経過期間をリセットする（Ｓ３８）。

こうすることで、オブジェクトデータに対する利用予約権としてのアクセス認証情報ＡＩＤの交付を受けたにも拘わらず、知らないうちに、オブジェクトデータが情報蓄積装置３から削除されてしまうことを防止することができる。なお、アクセスの可能性がなければ、そのままとしておけばよいし、あるいは、積極的にその旨を情報配信管理サーバ５に通知してもよい。

情報蓄積装置３に保存されているオブジェクトデータへのアクセスを希望するアクセスユーザは、蓄積制御装置４から発行されたアクセス認証情報ＡＩＤを、情報受信端末６ｂを介して入力する（Ｓ４０）。

アクセス認証情報ＡＩＤの公開後に、そのアクセス認証情報ＡＩＤを用いた正当なアクセス、あるいは不正なアクセスがあると（Ｓ４０，Ｓ３０−ＹＥＳ）、蓄積制御装置４の利用状況監視部４２０や不正アクセス検知部４２２は、オブジェクトデータの主たるユーザに対して、アクセスがあった旨の通知（状態変化通知）を行なうか否かを判定する（Ｓ４２）。このときの状態変化通知をオーナー通知とも称する。

ここで、「状態変化通知を行なうか否か」の判定に当たっては、たとえば、オブジェクトデータへの一部あるいは全てに対する追加や更新行為があった場合を基準とするとよい。たとえば、情報を提供するユーザＡの立場からすれば、配布しようとする会議の書類などに対してユーザＢ／Ｃ／Ｄから勝手な修正を加えられたりすることは、本来の意図とは異なるものである。

なお、オーナー通知に係る利点としては、以下のようなことが挙げられる。主たる管理者としては、どのようなユーザからどのような変更が加えられたのかというアクセス通知を受ける構成であることで、（それが仮に悪意のないものであったとしても）オリジナルであるオブジェクトデータの改ざんを監視する、全てのユーザへ均一のコンテンツを利用することを保障する、などの改竄コントロールが実現できる。

「ダウンロードやプリントのみ許可する」、「改訂することを許可する」といった具合に、ユーザごとのアクセス認証情報について、作業の属性レベルまで細かく指定できるような手段を採用することで、上記と同様の改竄コントロールが可能である（問題を回避できる）としても、改めて、作業を限定できるといった（たとえば認証ユーザレベルの管理を併用する）構成も加えることで、オーナーへのアクセス通知構成をとることもできる。

状態変化通知を行なう場合には（Ｓ４２−ＹＥＳ）、利用状況監視部４２０や不正アクセス検知部４２２は、オブジェクトデータの主たるユーザであるオーナーに対して、正当ユーザによるアクセスのあったことや、不正ユーザによる不正なアクセスのあったことを、アクセス状況通知部４３２を介して行なう（Ｓ４４）。

情報配信管理サーバ５の蓄積制御装置４は、アクセス認証情報ＡＩＤを受信すると（Ｓ５２）、入力されたアクセス認証情報ＡＩＤを電子識別情報ＤＩＤ_2に変換して（Ｓ５４）、この変換した電子識別情報ＤＩＤ_2が、データベースに管理されている電子識別情報ＤＩＤ_1と同一であるか否かを判定する、すなわちユーザ認証処理を行なう（Ｓ５６）。

電子識別情報ＤＩＤ_2と同一の電子識別情報ＤＩＤ_1が存在しないもしくは無効中である場合には（Ｓ５６−ＮＯ）、蓄積制御装置４は、不正なユーザからのアクセス要求であるとして、情報蓄積装置３に保存されているオブジェクトデータへのアクセスを禁止するとともに、アクセス禁止の旨の警告を発する（Ｓ５８）。

正当ユーザとしてのアクセスを希望する場合（Ｓ６６−ＹＥＳ）、オブジェクトデータが情報蓄積装置３から削除されてしまう前に、ステップＳ１３，Ｓ１４に戻って、予め、公開ユーザもしくは自身によるユーザ識別情報ＵＩＤの入力によって、アクセス認証情報ＡＩＤの交付を受けておく（Ｓ２０〜Ｓ２８）。

一方、電子識別情報ＤＩＤ_2が電子識別情報ＤＩＤ_1と同一である場合には（Ｓ５６−ＹＥＳ）、蓄積制御装置４は、正当なユーザからのアクセス要求であるとして、情報蓄積装置３に保存されているオブジェクトデータへのアクセスを許可する（Ｓ６０）。これにより、アクセスユーザは、情報蓄積装置３の保存されているオブジェクトデータをダウンロードして閲覧し、あるいは画像形成装置６ｂ_2で印刷出力するなど、オブジェクトデータへのアクセスが可能となる。

蓄積制御装置４は、アクセスユーザへのオブジェクトデータの提供を完了すると、そのオブジェクトデータに対応付けられている電子識別情報ＤＩＤ_1を削除もしくは無効化する（Ｓ６４）。また、電子識別情報ＤＩＤ_1に対応するアクセス認証情報ＡＩＤの公開後に一定期間が経過してもアクセス要求がなく（Ｓ３０−ＮＯ，Ｓ３２−ＮＯ）、その旨の警告通知（Ｓ３４）に呼応したユーザからの期限延長の通知がないときにも（Ｓ３６−ＮＯ）、電子識別情報ＤＩＤ_1を削除もしくは無効にする（Ｓ６４）。

また、蓄積制御装置４は、アクセス認証情報ＡＩＤを用いたアクセス状況を監視しながら、使用期限や使用回数などの一般的な削除条件と、アクセス状況の監視結果に基づくアクセス要求の度合いとの関係で、所定の削除条件に合致したときには（Ｓ６７−ＹＥＳ）、オブジェクトデータを情報蓄積装置３から削除する（Ｓ６８）。

たとえば、ある情報について対応付けられた電子識別情報（つまり各ユーザに発行されるアクセス認証情報（アクセス権））が全部無くなった場合である。なお、一般的には、情報提供者であるユーザＡが不要と判断した場合（間違いがあり、新しいオブジェクトデータに差し替えたい場合など）もその候補となり得る。ただし、ここでは、極力ユーザが介入しなくても、システムが自動的にアクセス認証情報を用いてコントロールするという点に特徴があるので、この点は考慮せず、新規の構成を追加することなく、アクセス権が全て消失したときに削除する構成とする。

所定の削除条件としては、判定対象となるオブジェクトデータ（提供情報）について、全ての利用希望ユーザに対しての有効な電子識別情報ＤＩＤ_1がデータベースに存在する限り、一般的な削除条件に合致しても削除しないようにするのが典型例である。

オブジェクトデータの利用が完了したアクセスユーザは、同じオブジェクトデータに対しての再利用の可能性がある場合、つまり、正当ユーザとしての再度のアクセスを希望する場合（Ｓ６６−ＹＥＳ）、オブジェクトデータが情報蓄積装置３から削除されてしまう前に、ステップＳ１３，Ｓ１４に戻って、予め、公開ユーザもしくは自身によるユーザ識別情報ＵＩＤの入力によって、アクセス認証情報ＡＩＤの交付を受けておく（Ｓ２０〜Ｓ２８）。使用済のアクセス認証情報ＡＩＤでの再アクセスは、不正アクセスであるとして、情報配信管理サーバ５によって禁止されるからである。

なお、実際の公開ユーザＡに認証情報発行の入力手順を行なわせるのではなく、たとえば、“ステップＳ１０＋ステップＳ１３”でオブジェクトデータおよび公開対象ユーザの情報を情報配信管理サーバ５に対して公開している構成とすれば、アクセス権を有するユーザに対してＤＩＤ、すなわちシステムとしてＡＩＤを付与する認証作業を代行できれば、ユーザＢ，Ｃ，Ｄのアクセス権利設定（ステップＳ２８）に対して応答することは可能である。ユーザＡが設定した情報はデータベースで管理し、電子識別情報対応部３１２がその照合を行なう構成とすることで、機密文書の場合のユーザ識別情報の入力を情報公開ユーザＡが行なう必要がなくなる。

このような本実施形態の情報アクセス管理手順によれば、アクセス対象のユーザごと、およびアクセス要求のあるオブジェクトデータごとに、電子識別情報ＤＩＤとアクセス認証情報ＡＩＤとをオブジェクトデータに対応付けて発行し、アクセス認証情報ＡＩＤを使った情報蓄積装置３に保存されているオブジェクトデータへのアクセス要求が存在する限り、そのアクセス要求の度合いに応じて、オブジェクトデータの削除を制御するようにしたので、アクセス要求への対応と記憶容量の利用効率のバランスを採ることができる。

すなわち、アクセス認証情報ＡＩＤを使用したアクセス状況を監視し、長期間使用していないユーザに対して注意喚起を行なった上で、電子識別情報ＤＩＤ_1やオブジェクトデータの削除を行なうことができるので、利用を希望するユーザの意図しない状況下でオブジェクトデータが削除されてしまうということを確実に防止できるので、利便性が向上する。加えて、利用希望が無ければ情報蓄積装置３からオブジェクトデータを削除することで、記憶容量の利用効率を改善することができる。

ユーザがコンテンツを利用したいときには、利用できることが確実に保証され、安心感や利便性が向上するし、利用希望がなければ、不要となった文書を削除することで、情報蓄積装置３の記憶領域を有効活用することができる。

また、不特定多数のユーザが利用するような環境に置かれていても、コンテンツにアクセスするユーザを限定することもできるため、データの外部流出を未然に防ぐなど秘匿性を高めることもできる。

なお、蓄積制御装置４は、ネットワーク９として、インターネット通信網に接続することができる。これにより、予め定められたＨＴＴＰ（Hypertext Transfer Protocol ）などの通信プロトコルを用いて、前述したような種々の機能をインターネット通信網を介して実現することができる。これはたとえば、電子識別情報ＤＩＤ_1やアクセス認証情報ＡＩＤ、あるいは状態変化通知などをインターネット通信網に接続されたコンピュータとの間で通信網を介してやり取りを行なうといった構成を取ることで可能となるものである。

また、提供対象となるオブジェクトデータは、文書データに限らず、どのようなものであってもよい。主に文書の出力やダウンロードといったサービスへの適用に限定されないのである。たとえば、ネットワーク上に存在する画像、映像、音楽といったデータへのアクセスや、電子商取引などの分野でも、上記の手順を同様にして適用することができる。

＜処理手順；アクセス権設定管理＞
図６は、蓄積制御装置４における、ユーザ識別情報の取得を契機としたアクセス認証情報ＡＩＤの設定および公開まで処理手順の一例を示すフローチャートである。

先ず、アクセス権設定管理部３００の動作とは独立して、オブジェクトデータ保存部２１０は、情報提供端末６ａを介したオブジェクトデータの提供者からのオブジェクトデータのアップロードを受け付けると、そのオブジェクトデータを情報蓄積装置３に保存する（Ｓ１００）。

一方、識別情報取得部３０２は、情報蓄積装置３に保存されているオブジェクトデータへのアクセスを希望するユーザ自身、あるいはアクセスを許可するユーザに関する情報提供者が設定するユーザ範囲に基づくユーザ識別情報ＵＩＤの入力を受け付けると、そのユーザ識別情報ＵＩＤを電子識別情報生成部３０４に渡す（Ｓ１１０）。

電子識別情報生成部３０４は、識別情報取得部３０２により取得されたユーザ識別情報ＵＩＤを電子識別情報ＤＩＤに変換し、電子識別情報管理部３１０の電子識別情報対応部３１２に渡す（Ｓ１１２）。

電子識別情報対応部３１２は、情報蓄積装置３にアクセスして、電子識別情報ＤＩＤ、つまりアクセスを許可するユーザを関連付けようとするオブジェクトデータを検索し（Ｓ１２０）、該当のオブジェクトデータが事前に情報蓄積装置３に保存されていれば（Ｓ１２０−ＹＥＳ）、電子識別情報ＤＩＤをオブジェクトデータに対応付ける（Ｓ１２２）。

一方、該当のオブジェクトデータが事前に情報蓄積装置３に保存されていなければ（Ｓ１２０−ＮＯ）、電子識別情報対応部３１２は、情報提供ユーザからのオブジェクトデータのアップロードがあった段階で（Ｓ１００）、同様に、電子識別情報ＤＩＤをオブジェクトデータに対応付ける（Ｓ１２２）。電子識別情報対応部３１２は、オブジェクトデータに対応付けた電子識別情報ＤＩＤをデータベースとして登録するとともに、その電子識別情報ＤＩＤをアクセス認証情報管理部３２０のアクセス認証情報発行部３２２に渡す。

アクセス認証情報発行部３２２は、電子識別情報対応部３１２から受け取った電子識別情報ＤＩＤを、アクセス認証情報ＡＩＤに変換しアクセス認証情報開示部３２６に渡す（Ｓ１２４）。アクセス認証情報開示部３２６は、アクセス認証情報発行部３２２から受け取ったアクセス認証情報ＡＩＤを、該当する利用者に、たとえば情報受信端末６ｂを介して公開する（Ｓ１２６）。つまり、アクセス認証情報ＡＩＤを該当ユーザに開示するのである。

一連のプロセスが正常であればプロセスを終了し（Ｓ１３０−ＹＥＳ）、エラーが発生した場合には所定のエラー処理プロセスが実行される（Ｓ１３０−ＮＯ，Ｓ１３２）。エラー処理として、たとえば、処理を中断し、ユーザに対してアクセス認証情報の発行ができない旨を報知する。この報知手段としては、画面へのメッセージ表示や報知音の発生、あるいは電子メールの通報などを使用すればよい。

また、再発行部３２４は、ユーザからのアクセス認証情報ＡＩＤの再発行要求を受け付けると（Ｓ１４０）、再発行が可能か否かを確認し（Ｓ１４２）、再発行が可能である場合には（Ｓ１４２−ＹＥＳ）、所望の電子識別情報ＤＩＤを検索し（Ｓ１４４）、検索した電子識別情報ＤＩＤを、再度、アクセス認証情報ＡＩＤに変換する（Ｓ１２４）。

なお、再発行部３２４の構成としては、「再度新規のＩＤを発行する手段」と言った狭義の意味では無く、「ユーザがアクセス認証情報を忘れてしまった場合に、そのＩＤを教えるといった目的をもった手段」としておくとよい。たとえば、仮にユーザがＡＩＤを忘れてしまい、新規のＩＤを再発行したと仮定すると、忘れられてしまったＩＤはいつまでも消去されることなく、システムの中に存在できることになり、オブジェクトデータのアクセス完了（全ＡＩＤが無効になる）でオブジェクトを削除することができないという問題を回避することもできる。一旦発行したＩＤを使い切る保障手段としての再発行部３２４の構成としてこのような構成にすることで、アクセス認証情報ＡＩＤを無駄なく使いことができ、しかも、オブジェクトの削除不可を回避することもできるのである。

＜処理手順；アクセス制御＞
図７は、蓄積制御装置４における、アクセス認証情報ＡＩＤの取得を契機としたオブジェクトデータへのアクセスを制御する処理手順の一例を示すフローチャートである。

アクセス認証情報取得部４０２は、情報蓄積装置３に保存されているオブジェクトデータへのアクセスを希望するユーザからアクセス認証情報ＡＩＤの入力を受け付けると、そのアクセス認証情報ＡＩＤを電子識別情報解析部４０４に渡す（Ｓ２１０）。電子識別情報解析部４０４は、アクセス認証情報ＡＩＤを電子識別情報ＤＩＤ_2に変換し、電子識別情報照合部４０６に渡す（Ｓ２１２）。

電子識別情報照合部４０６は、電子識別情報ＤＩＤ_2が、アクセス認証情報管理部３２０によりデータベースとして管理されている電子識別情報ＤＩＤ_1と同一のものであるか否かを照合し、その照合結果をアクセス権付与部４０８や不正アクセス検知部４２２に通知する（Ｓ２１４）。

電子識別情報ＤＩＤ_2に一致する電子識別情報ＤＩＤ_1が存在しない場合（Ｓ２１６−ＮＯ）、不正アクセス検知部４２２は、その該当ユーザによるアクセスは不正アクセスであると判定し、その旨の警告を利用者通知部４２６を介して該当ユーザに発するとともに、その他のエラー処理を行なう（Ｓ２１８）。たとえば、エラー処理として、処理を中断し、再度アクセス認証情報入力画面の表示に戻る（Ｓ２１０）。

一方、電子識別情報ＤＩＤ_2に一致する電子識別情報ＤＩＤ_1が存在する場合（Ｓ２１６−ＹＥＳ）、アクセス権付与部４０８は、その該当ユーザに対してアクセス権（証明結果）を付与し、その証明結果をオブジェクトデータアクセス部２２０に通知する（Ｓ２２０）。

オブジェクトデータアクセス部２２０は、アクセス権付与部４０８からの証明結果に基づき、正当なユーザによるデータ操作を許可する（Ｓ２２２）。正当ユーザは、情報蓄積装置３に保存されているオブジェクトデータの読出しや書込み、あるいは印刷出力や削除などの種々の操作を実施し、これを終了する（Ｓ２２４）。

オブジェクトデータアクセス部２２０は、アクセス操作の完了を検知すると（Ｓ２２４−ＹＥＳ）、その旨をアクセス権設定管理部３００の電子識別情報管理部３１０に通知する（Ｓ２２６）。

電子識別情報削除部３１４および電子識別情報無効化部３１６は、アクセス権が付与された正当ユーザによるデータアクセス後に電子識別情報ＤＩＤを削除あるいは無効化（つまり使用不可に）できるか否かを判定する（Ｓ２３０）。

ここで、「削除あるいは無効化できるか否か」の判定に当たっては、たとえば、アクセスするユーザのレベルに応じて電子識別情報の削除や無効化を区別するような構成にするとよい。たとえば、公開ユーザは事前にユーザ設定情報を構築する際に、その属性にゲスト、共有、管理者といったアクセスレベルを設定することができるようにする。すなわち、アクセス認証情報管理部３２０はいわゆるゲストのような扱いであるユーザのアクセスに対しては、このルールに基づき、文書を閲覧する権利のみを与えるといった処理を行なう。

通常、作業完了時には電子識別情報の削除、無効化のステップを採るが、このような“ゲストユーザ”が行なった作業であれば、付与されたアクセス認証情報は操作の終了でシステムが必ず削除してしまうという条件になる。しかし、共有や管理者レベルのユーザのアクセスであれば、電子識別情報を固定で削除するのではなく、（操作画面のメニューのようなものから）無効化することも選択できるようにする。

削除あるいは無効化できる場合には（Ｓ２３０−ＹＥＳ）、電子識別情報削除部３１４は電子識別情報ＤＩＤを削除する、あるいは電子識別情報無効化部３１６は電子識別情報ＤＩＤを無効にする（Ｓ２３２）。

また、オブジェクトデータ削除部２３０は、アクセス状況削除部２３２により、共通のオブジェクトデータに対応付けられている全ての電子識別情報ＤＩＤ_1、つまり、アクセスを希望する全てのユーザについてのアクセス認証情報ＡＩＤを使用したアクセス状況を監視している。

アクセス状況削除部２３２は、このアクセス状況の監視結果で特定されるアクセス要求度合いと、使用期限や利用回数などのその他の削除条件との総合的な判定に基づき、オブジェクトデータを削除できる状態であれば（Ｓ２３４−ＹＥＳ）、オブジェクトデータを情報蓄積装置３から削除し（Ｓ２３６）、オブジェクトデータを削除できる状態になければ（Ｓ２３４−ＮＯ）、オブジェクトデータを情報蓄積装置３から削除しない。

たとえば、判定対象となるオブジェクトデータについて、全ての利用希望ユーザに対しての有効な電子識別情報ＤＩＤ_1がデータベースに存在せず、かつ、一般的な削除条件に合致する場合には、オブジェクトデータを情報蓄積装置３から削除する。

これに対して、判定対象となるオブジェクトデータについて、全ての利用希望ユーザに対しての有効な電子識別情報ＤＩＤ_1がデータベースに存在する限り、一般的な削除条件に合致しても削除しない。

また、判定対象となるオブジェクトデータについて、全ての利用希望ユーザに対しての有効な電子識別情報ＤＩＤ_1がデータベースに存在しなくても、一般的な削除条件に合致していなければ削除しない。この間に、あるユーザからユーザ識別情報ＵＩＤの入力を契機とするアクセス要求があると、蓄積制御装置４は電子識別情報ＤＩＤ_1やアクセス認証情報ＡＩＤを発行する（図４のＳ１２〜Ｓ２８を参照）。

よって、その後に、一般的な削除条件に合致するようになっても、オブジェクトデータは情報蓄積装置３に保存され続けるので、アクセス認証情報ＡＩＤを発行されたユーザは、一般的な削除条件に合致した後であっても、データアクセスが可能である。

アクセス完了後は、再度の利用希望がない限り（図４のＳ６６を参照）、電子識別情報ＤＩＤ_1が削除もしくは無効にされるので（図４のＳ６４を参照）、アクセス状況削除部２３２は、他の削除条件にも全て合致すれば、オブジェクトデータを情報蓄積装置３から削除でき、無用なデータが残り続けることも確実に防止できる。

また、アクセス認証情報ＡＩＤの公開後に、所定期間経過しても、そのアクセス認証情報ＡＩＤを用いたアクセスがないときには、注意喚起を促して、本当に利用可能性が無くなれば、電子識別情報ＤＩＤ_1が削除もしくは無効にされるので（図４のＳ３２〜Ｓ３６）、アクセス状況削除部２３２は、他の削除条件にも全て合致すれば、オブジェクトデータを情報蓄積装置３から削除でき、無用なデータが残り続けることも確実に防止できる。

削除期限や使用回数などの一般的な削除条件とアクセス要求度合いとのバランスを考慮して、オブジェクトデータを削除するべきか否かを判定することで、蓄積容量の効率的な利用と、アクセス要求とのバランスを採ることができるのである。

蓄積情報のアクセス制御を管理する情報配信管理システムの概要を示す図である。 本発明に係る情報配信管理サーバ（特に蓄積制御装置）の構成例を示す図である。 情報アクセス管理機能を実現するための機能の側面から、蓄積制御装置の構成例を示した機能ブロック図である。 情報アクセス管理処理手順の全体概要の一例を示すフローチャートである。 情報授受プロセスの一事例を示した図である。 ユーザ識別情報の取得を契機としたアクセス認証情報の設定および公開まで処理手順の一例を示すフローチャートである。 アクセス認証情報の取得を契機としたオブジェクトデータへのアクセスを制御する処理手順の一例を示すフローチャートである。

符号の説明

１…情報配信管理システム、３…情報蓄積装置、４…蓄積制御装置、５…情報配信管理サーバ、６…クライアント端末、６ａ…情報提供端末、６ｂ…情報受信端末、９…ネットワーク、２００…オブジェクト制御部、２１０…オブジェクトデータ保存部、２２０…オブジェクトデータアクセス部、２３０…オブジェクトデータ削除部、２３２…アクセス状況削除部、３００…アクセス権設定管理部、３０２…識別情報取得部、３０４…電子識別情報生成部、３１０…電子識別情報管理部、３１２…電子識別情報対応部、３１４…電子識別情報削除部、３１６…電子識別情報無効化部、３１８…電子識別情報有効化部、３２０…アクセス認証情報管理部、３２２…アクセス認証情報発行部、３２４…再発行部、３２５…アクセス禁止部、３２６…アクセス認証情報開示部、３２８…アクセス認証情報最大発行数管理部、４００…認証処理部、４０２…アクセス認証情報取得部、４０４…電子識別情報解析部、４０６…電子識別情報照合部、４０８…アクセス権付与部、４２０…利用状況監視部、４２２…不正アクセス検知部、４２４…利用者通知部、４２６…利用者通知部、４３０…アクセス禁止部、４３２…アクセス状況通知部

Claims (6)

1. 提供対象情報を提供する情報提供端末と、前記提供対象情報を受信する情報受信端末と、前記提供対象情報の配信を制御する情報配信管理サーバとが通信網により接続されてなる情報配信管理システムであって、
   前記情報配信管理サーバは、前記提供対象情報の前記情報受信端末への配信が行なわれるのに先立って、前記提供対象情報のそれぞれについて、前記提供対象情報の受信対象者ごとに、当該受信対象者を特定する受信者認証情報を前記提供対象情報と対応付けてデータベースで管理するとともに、前記受信者認証情報に対応付けて前記提供対象情報を受信するためのアクセス権を発行し、
   前記アクセス権を使用した前記提供対象情報の受信要求を受けたとき、当該アクセス権に対応する前記受信者認証情報が前記データベースに使用可能であるとして管理されているものであるか否かを判定することで前記提供対象情報の前記情報受信端末への配信可否を決定し、さらに、
   それぞれの前記受信対象者についての前記受信者認証情報の前記データベースでの管理状況に基づいて、前記提供対象情報の削除を制御する
   ことを特徴とする情報配信管理システム。
2. 提供対象情報を提供する情報提供端末と前記提供対象情報を受信する情報受信端末との間で、通信網により接続されて介在し、前記提供対象情報の配信を制御する情報配信管理サーバであって、
   前記提供対象情報のそれぞれについて、前記提供対象情報の受信対象者ごとに、当該受信対象者を特定する受信者認証情報を前記提供対象情報と対応付けてデータベースで管理する電子識別情報管理部と、
   前記電子識別情報管理部が管理する前記受信者認証情報に対応付けて前記提供対象情報を受信するためのアクセス権を発行するアクセス認証情報管理部と、
   前記アクセス認証情報管理部により発行された前記アクセス権を使用した前記提供対象情報の受信要求を受け付けるとともに、当該アクセス権に対応する前記受信者認証情報が前記データベースに使用可能であるとして管理されているものであるか否かを判定することで前記提供対象情報の前記情報受信端末への配信可否を決定する認証処理部と、
   前記アクセス認証情報管理部により発行された前記アクセス権を使用しての前記提供対象情報の受信要求に応じた配信処理を反映した、それぞれの前記受信対象者についての前記受信者認証情報の前記データベースでの管理状況に基づいて、前記提供対象情報を保存している記憶部から当該記提供対象情報を削除するように制御する情報削除制御部と
   を備えたことを特徴とする情報配信管理サーバ。
3. 前記電子識別情報管理部は、前記アクセス認証情報管理部により発行された前記アクセス権を使用しての前記提供対象情報の受信要求に応じた配信処理後に、前記アクセス権に対応する前記受信者認証情報を使用不可にする
   ことを特徴とする請求項２に記載の情報配信管理サーバ。
4. 前記認証処理部は、前記アクセス認証情報管理部により発行された前記アクセス権を使用しての前記提供対象情報の受信要求を監視する利用状況監視部と、
   前記利用状況監視部の監視結果に基づいて、前記提供対象情報の利用に関する通知を、該当のアクセス権が発行された受信対象者に対して行なう利用状況警告部と
   を備えたことを特徴とする請求項２または３に記載の情報配信管理サーバ。
5. 前記アクセス認証情報管理部は、前記受信対象者単位での前記提供対象情報に対する前記アクセス権の最大発行数を指定する最大発行数管理部を有し、
   前期認証処理部は、前期最大発行数管理部により指定された前記最大発行数を超過した前記受信対象者からの前記提供対象情報の受信要求を拒否する
   ことを特徴とする請求項２〜４のうちの何れか１項に記載の情報配信管理サーバ。
6. 提供対象情報を提供する情報提供端末と前記提供対象情報を受信する情報受信端末との間に介在して、前記提供対象情報の配信を制御するための処理をコンピュータを用いて行なうためのプログラムであって、
   前記コンピュータを、
   前記提供対象情報のそれぞれについて、前記提供対象情報の受信対象者ごとに、当該受信対象者を特定する受信者認証情報を前記提供対象情報と対応付けてデータベースで管理する電子識別情報管理部と、
   前記電子識別情報管理部が管理する前記受信者認証情報に対応付けて前記提供対象情報を受信するためのアクセス権を発行するアクセス認証情報管理部と、
   前記アクセス認証情報管理部により発行された前記アクセス権を使用した前記提供対象情報の受信要求を受け付けるとともに、当該アクセス権に対応する前記受信者認証情報が前記データベースに使用可能であるとして管理されているものであるか否かを判定することで前記提供対象情報の前記情報受信端末への配信可否を決定する認証処理部と、
   前記アクセス認証情報管理部により発行された前記アクセス権を使用しての前記提供対象情報の受信要求に応じた配信処理を反映した、それぞれの前記受信対象者についての前記受信者認証情報の前記データベースでの管理状況に基づいて、前記提供対象情報を保存している記憶部から当該記提供対象情報を削除するように制御する情報削除制御部と
   として機能させることを特徴とするプログラム。

Images