JP2008181290A

JP2008181290A - 文書管理システム、文書管理装置、制限情報管理装置、文書管理プログラムおよび制限情報管理プログラム

Info

Publication number: JP2008181290A
Application number: JP2007013807A
Authority: JP
Inventors: Masaki Kyojima; 仁樹京嶋; Toshikatsu Suzuki; 敏克鈴木; Yukifumi Takeda; 幸史竹田; Rumiko Kakehi; るみ子筧
Original assignee: Fuji Xerox Co Ltd
Current assignee: Fujifilm Business Innovation Corp
Priority date: 2007-01-24
Filing date: 2007-01-24
Publication date: 2008-08-07

Abstract

【課題】
セキュリティポリシーが対応付けられて管理される保護文書より派生して生成される新しい文書に対しても、自動的に文書ＩＤが付与されてセキュリティポリシーで管理が行われる、文書管理システムおよびプログラムを提供する。
【解決手段】
文書ＩＤで特定される文書に対して許容される利用制御を規定したセキュリティポリシーをポリシーサーバ５０のセキュリティポリシーＤＢ６０で記憶し、ユーザの認証をユーザ認証サーバ７０で記憶し、ポリシー検索部５８が操作される文書ＩＤの文書のセキュリティポリシーを検索し、保護文書操作部１２或いは文書画像操作部３２で該セキュリティポリシーによって操作が制限され、その結果、操作された文書から派生する新たな文書が生成されると、新たな当該文書のセキュリティポリシーが派生ポリシー生成部５６で生成されセキュリティポリシーＤＢ６０に記憶される。
【選択図】図１

Description

本発明は、文書管理システム、文書管理装置、制限情報管理装置、文書管理プログラムおよび制限情報管理プログラムに関する。

昨今、企業内で取り扱われる文書に対して、セキュリティ管理の要望が強まっている。

企業内で、極秘文書や秘密文書などの機密書類が取り扱われることも多くなり、文書のセキュリティ管理が簡単に可能になるシステムが望まれている。

そして、現在では、特定のユーザが特定の文書を操作する操作範囲が予め規定されて、特定の文書についてセキュリティ管理が可能となる文書管理システムが存在する。

特許文献１には、次のようなコンテンツ利用制御の方法および装置およびプログラムが提案されている。

特許文献１の発明は、対象となる文書に文書ＩＤが付与され、文書ＩＤで特定される文書に対して、どのユーザがどういう操作ができるかといった利用方針が規定されたセキュリティポリシーを管理者等のユーザが割り当てて該セキュリティポリシーは文書ＩＤと共にポリシーサーバに記憶される。

そして、ユーザがクライアントＰＣ上から文書を操作する際に、ユーザＩＤと文書ＩＤとがポリシーサーバに送られ、ポリシーサーバからクライアントＰＣに、許可される操作範囲が記載された利用制御情報が送られる。

利用制御情報を受信したクライアントＰＣでは、受信した利用制御情報の範囲内で、ユーザによる文書操作が制御される。

このような特許文献１の発明により、特定のユーザが特定の文書を操作する際に、限定された操作範囲で文書操作が制御される管理が可能となる。

また、特許文献２には、文書ＩＤが割り当てられた電子文書或いは紙文書に、印刷、複写等が行われて、元の電子文書或いは紙文書から派生した新しい文書が生成された場合に、派生元の文書の文書ＩＤと派生結果の新しい文書の文書ＩＤとが管理されて記憶され、派生元と派生結果との派生関係が明確になるようなセキュリティサーバ、文書セキュリティ管理システムおよび文書セキュリティ管理方法が提案されている。
特開２００４−３００５６号公報特開２００５−２５９１０８号公報

ところで、派生元の文書から新しく生成された文書に対して、派生関係を記憶する場合、派生関係のある新しい文書に対して操作範囲が記されたセキュリティポリシーを管理者等のユーザが派生元の文書と同等のセキュリティレベルを保つように設定を行っていたが、入力漏れが生じることがあった。

本発明は、管理される保護文書より派生して生成される新しい文書に対しても、自動的に文書ＩＤが付与されてセキュリティポリシーに基づき管理が行われる、文書管理システム、文書管理装置、制限情報管理装置、文書管理プログラムおよび制限情報管理プログラムを提供することを目的とする。

上記目的を達成するため、請求項１の発明の文書管理システムは、文書識別情報で特定される文書に対して許容される利用制限を規定した利用制限情報を該文書識別情報に対応して記憶する記憶手段と、文書の利用者の認証を行う認証手段と、前記利用者により操作される文書に付与された文書識別情報に基づいて当該文書の利用制限情報を前記記憶手段から検索する検索手段と、前記検索手段によって検索された前記利用制限情報に基づいて前記認証手段によって正当性が確認された利用者の当該文書に対する操作を制限する制限手段と、前記文書の前記制限手段により制限された操作により当該文書から派生する新たな文書が生成された場合は、該新たな文書に新たな文書識別情報を付与する付与手段と、前記付与手段により新たな文書識別情報が付与された文書の派生元文書の利用制限情報に対応する利用制限情報を生成する生成手段と、前記付与手段により付与された文書識別情報に対応して前記生成手段により生成した新たな利用制限情報を前記記憶手段に記憶する記憶制御手段とを具備するように構成される。

また、請求項２の発明の文書管理システムは、文書識別情報で特定される文書に対して許容される利用制限を規定した利用制限情報を該文書識別情報に対応して記憶するとともに、前記利用制限情報により操作が制限される操作により当該文書から派生した文書の文書識別情報および該文書の元文書との派生関係を記憶する記憶手段と、文書の利用者の認証を行う認証手段と、前記利用者により操作される文書に付与された識別情報に基づいて当該文書の利用制限情報を前記記憶手段に記憶された利用制限情報および当該文書の派生関係から特定する特定手段と、前記特定手段によって特定された前記利用制限情報に基づいて前記認証手段によって正当性が確認された利用者の当該文書に対する操作を制限する制限手段と、前記文書の前記制限手段によリ制限された操作により当該文書から派生する新たな文書が生成された場合は、該新たな文書に新たな文書識別情報を付与する付与手段と、前記付与手段により付与された文書識別情報に対応して該文書識別情報が付与された文書の元文書に対する派生関係を前記記憶手段に記憶する記憶制御手段とを具備するように構成される。

また、請求項３の発明の文書管理装置は、文書識別情報で特定される文書に対して許容される利用制限を規定した利用制限情報を記憶する制限情報管理装置に、前記利用者の識別情報と前記利用者により操作される文書に付与された文書識別情報とを送信する送信手段と、前記制限情報管理装置から送信される情報に基づいて利用者の当該文書に対する操作を制限する制限手段と、前記文書の前記制限手段により制限された操作により当該文書から派生する新たな文書が生成された場合は、該新たな文書に新たな文書識別情報を付与する付与手段と、前記制限情報管理装置に、派生元の当該文書の文書識別情報と派生結果の該文書の文書識別情報とを送信する文書識別情報送信手段とを具備するように構成される。

また、請求項４の発明の制限情報管理装置は、文書識別情報で特定される文書に対して許容される利用制限を規定した利用制限情報を該文書識別情報に対応して記憶する記憶手段と、文書の操作が行われる文書管理装置より、操作される文書に付与された文書識別情報と当該文書の利用者の識別情報とを少なくとも受信する受信手段と、前記受信手段により受信した文書識別情報に基づいて当該文書の利用制限情報を前記記憶手段から検索する検索手段と、前記検索手段によって検索された前記利用制限情報に基づいて前記受信手段で受信した利用者の当該文書に対する操作制御情報を前記文書管理装置に送信する送信手段と、前記文書管理装置より当該文書から派生する新たな文書の文書識別情報と当該文書の文書識別情報とを受信した場合には、当該文書から派生する新たな文書の利用制限情報を生成する生成手段と、当該文書から派生する新たな文書の文書識別番号に対応して前記生成手段により生成した新たな利用制限情報を前記記憶手段に記憶する記憶制御手段とを具備するように構成される。

また、請求項５の発明の制限情報管理装置は、文書識別情報で特定される文書に対して許容される利用制限を規定した利用制限情報を該文書識別情報に対応して記憶するとともに、前記利用制限情報により操作が制限される操作により当該文書から派生した文書の文書識別情報および該文書の元文書との派生関係を記憶する記憶手段と、文書の操作が行われる文書管理装置より、操作される文書に付与された文書識別情報と当該文書の利用者の識別情報とを少なくとも受信する受信手段と、当該文書の利用制限情報を前記受信手段により受信した文書識別情報および当該文書の派生関係から特定する特定手段と、前記特定手段によって特定された利用制限情報に基づいて前記受信手段で受信した利用者の当該文書に対する操作制御情報を前記文書管理装置に送信する送信手段と、前記文書管理装置より当該文書から派生する新たな文書の文書識別情報と当該文書の文書識別情報とを受信した場合には、当該文書と当該文書から派生した新たな文書の派生関係を前記記憶手段に記憶する記憶制御手段とを具備するように構成される。

また、請求項６の発明の文書管理プログラムは、コンピュータを文書識別情報で特定される文書に対して許容される利用制限を規定した利用制限情報を記憶する制限情報管理装置に、前記利用者の識別情報と前記利用者により操作される文書に付与された文書識別情報とを送信する送信手段と、前記制限情報管理装置から送信される情報に基づいて利用者の当該文書に対する操作を制限する制限手段と、前記文書の前記制限手段により制限された操作により当該文書から派生する新たな文書が生成された場合は、該新たな文書に新たな文書識別情報を付与する付与手段と、前記制限情報管理装置に、派生元の当該文書の文書識別情報と派生結果の該文書の文書識別情報とを送信する文書識別情報送信手段として機能させるように構成される。

また、請求項７の発明の制限情報管理プログラムは、コンピュータを文書識別情報で特定される文書に対して許容される利用制限を規定した利用制限情報を該文書識別情報に対応して記憶する記憶手段と、文書の操作が行われる文書管理装置より、操作される文書に付与された文書識別情報と当該文書の利用者の識別情報とを少なくとも受信する受信手段と、前記受信手段により受信した文書識別情報に基づいて当該文書の利用制限情報を前記記憶手段から検索する検索手段と、前記検索手段によって検索された前記利用制限情報に基づいて前記受信手段で受信した利用者の当該文書に対する操作制御情報を前記文書管理装置に送信する送信手段と、前記文書管理装置より当該文書から派生する新たな文書の文書識別情報と当該文書の文書識別情報とを受信した場合には、当該文書から派生する新たな文書の利用制限情報を生成する生成手段と、当該文書から派生する新たな文書の文書識別番号に対応して前記生成手段により生成した新たな利用制限情報を前記記憶手段に記憶する記憶制御手段として機能させるように構成される。

また、請求項８の発明の制限情報管理プログラムは、コンピュータを文書識別情報で特定される文書に対して許容される利用制限を規定した利用制限情報を該文書識別情報に対応して記憶するとともに、前記利用制限情報により操作が制限される操作により当該文書から派生した文書の文書識別情報および該文書の元文書との派生関係を記憶する記憶手段と、文書の操作が行われる文書管理装置より、操作される文書に付与された文書識別情報と当該文書の利用者の識別情報とを少なくとも受信する受信手段と、当該文書の利用制限情報を前記受信手段により受信した文書識別情報および当該文書の派生関係から特定する特定手段と、前記特定手段によって特定された利用制限情報に基づいて前記受信手段で受信した利用者の当該文書に対する操作制御情報を前記文書管理装置に送信する送信手段と、前記文書管理装置より当該文書から派生する新たな文書の文書識別情報と当該文書の文書識別情報とを受信した場合には、当該文書と当該文書から派生した新たな文書の派生関係を前記記憶手段に記憶する記憶制御手段として機能させるように構成される。

請求項１の発明によれば、利用制限情報によって操作が制限される文書から派生して生成される新しい文書にも利用制限情報を生成することができるという効果を奏する。

請求項２の発明によれば、利用制限情報によって操作が制限される文書から派生して生成される新しい文書の利用制限情報を生成しなくても、新しい文書に対して許容される利用制限を規定する利用制限情報は派生関係から特定されるという効果を奏する。

請求項３の発明によれば、利用制限情報によって操作が制限される文書から派生して生成される新しい文書にも制限情報管理装置で利用制限情報が生成されるように情報を送信することができるという効果を奏する。

請求項４の発明によれば、利用制限情報によって操作が制限される文書から派生して生成される新しい文書にも、文書管理装置より送られる情報を元に利用制限情報を生成することができるという効果を奏する。

請求項５の発明によれば、利用制限情報によって操作が制限される文書から派生して生成される新しい文書の利用制限情報を生成しなくても、文書管理装置より送られる情報に基づいて、新しい文書に対して許容される利用制御を規定する利用制御情報は派生関係から特定されるようにすることができるという効果を奏する。

請求項６の発明によれば、利用制限情報によって操作が制限される文書から派生して生成される新しい文書にも制限情報管理装置で利用制限情報が生成されるように情報を送信することができるという効果を奏する。

請求項７の発明によれば、利用制限情報によって操作が制限される文書から派生して生成される新しい文書にも、文書管理装置より送られる情報を元に利用制限情報を生成することができるという効果を奏する。

請求項８の発明によれば、利用制限情報によって操作が制限される文書から派生して生成される新しい文書の利用制限情報を生成しなくても、文書管理装置より送られる情報に基づいて、新しい文書に対して許容される利用制御を規定する利用制御情報は派生関係から特定されるようにすることができるという効果を奏する。

以下、本発明に係わる文書管理システムおよびプログラムの実施例について添付図面を参照して詳細に説明を行う。

図１は、本発明に係わる文書管理システム１００の概略を示すシステム構成図である。

文書管理システム１００は、文書操作アプリケーション１０が動作するパーソナルコンピュータ、画像形成装置３０、ポリシーサーバ５０、ユーザ認証サーバ７０が通信回線１によって接続されて構成される。

各装置は、それぞれＣＰＵ（Central Processing Unit）、主記憶手段としてのメモリであるＲＯＭ（Read Only Memory）やＲＡＭ（Random Access Memory）、周辺記憶手段としてのハードディスク、入力インタフェース、通信インタフェース等から構成されている。

文書管理システム１００では、文書ＩＤが付与された保護文書の操作が管理される。

保護文書は、その保護文書に対応付けられたセキュリティポリシーに従って操作の制御が行われる。

保護文書に対応付けられたセキュリティポリシーには、その保護文書の文書ＩＤがそのセキュリティポリシーに記載されている。

また、保護文書は、電子文書の状態で存在する保護電子文書と、紙の状態で存在する保護紙文書とがある。

セキュリティポリシーとは、保護文書に対して対応付けられるものであり、どのユーザがその保護文書にどういった操作ができるのかが記載されたものである。

保護電子文書は、文書操作アプリケーション１０によって暗号化されて記憶され、また、保護紙文書は、画像形成装置３０で文書ＩＤを示す情報が紙に地紋として印刷されて生成される。

図１に示す文書操作アプリケーション１０は、ユーザが電子文書の閲覧、編集、印刷等の操作をする際に使用されるアプリケーションであり、通信回線１に接続されたパーソナルコンピュータ上で動作する。

文書操作アプリケーション１０が動作するパーソナルコンピュータとポリシーサーバ５０との情報のやり取りは、以下、文書操作アプリケーション１０とポリシーサーバ５０との情報のやり取りとして説明を行う。

また、文書操作アプリケーション１０が動作するパーソナルコンピュータとユーザ認証サーバ７０との情報のやり取りについても同様に、以下、文書操作アプリケーション１０とユーザ認証サーバ７０との情報のやり取りとして説明を行う。

そして、文書操作アプリケーション１０は、ユーザインタフェース（以下、ＩＦと呼ぶ）１１、保護文書操作部１２、利用制御情報問い合わせ部１３、利用許可情報問い合わせ部１４、派生情報送信部１５、テンプレート選択部１６、ユーザ認証問い合わせ部１７、サービスクライアントＩＦ１８、文書データ記憶部１９、利用制御情報記憶部２０を備える。

ユーザＩＦ１１は、文書操作アプリケーション１０を操作するユーザとのインタフェースの役目を担う。

保護文書操作部１２は、文書管理システム１００で利用される保護文書について、ＩＤ抽出、ＩＤ生成、電子文書の暗号化、復号等の操作を行う。

また、保護文書操作部１２は、文書ＩＤ抽出部２１、文書ＩＤ生成部２２、文書暗号化部２３、文書復号部２４を備える。

保護文書操作部１２内の文書ＩＤ抽出部２１は、保護電子文書より、保護電子文書に付与された識別番号である文書ＩＤを抽出する処理を行う。

文書ＩＤ生成部２２は、保護文書に付与される文書ＩＤを生成する。

また、文書ＩＤ生成部２２は、既に文書ＩＤが付与されている保護文書から派生して生成される保護文書に付与される文書ＩＤだけではなく、新規に第１世代として保護文書が生成される場合にもその第１世代の保護文書に付与される文書ＩＤを生成する。

文書暗号化部２３は、文書管理システム１００で操作される保護電子文書を暗号化する処理を行う。

文書管理システム１００で操作される保護電子文書は暗号化されて文書ＩＤが付与されて文書データ記憶部１９に記憶される。

保護電子文書の文書ＩＤは、暗号化されることなく保護電子文書とのバインドが維持される。

文書復号部２４は、文書データ記憶部１９に暗号化されて記憶されている保護電子文書を復号して、ユーザによる閲覧、編集、印刷等の操作が可能な状態にする。

保護電子文書は、文書操作アプリケーション１０が保持する暗復号鍵によって暗号化されている。この暗復号鍵は、同様の文書操作アプリケーション１０に共通に保持されており、あるパーソナルコンピュータ上で動作している文書操作アプリケーション１０で暗号化された保護電子文書は、別のパーソナルコンピュータ上で動作している文書操作アプリケーション１０で復号することができる。

ただし、文書操作アプリケーション１０は、復号結果を一時的にであってもファイル化することはなく、必要なときに、保護電子文書を復号してメインメモリ上に展開し、閲覧、編集、印刷などの処理を行う。

そして、文書操作アプリケーション１０は、通常の電子文書を保護電子文書に変える機能をもつ。

また、利用制御情報問い合わせ部１３は、ユーザが保護電子文書を操作する際に、そのユーザに許されるその保護電子文書の操作範囲をポリシーサーバ５０に問い合わせる処理を行う。

利用制御情報問い合わせ部１３によって問い合わせが行われたポリシーサーバ５０は、操作範囲が記載された利用制御情報を文書操作アプリケーション１０に返す。

利用許可情報問い合わせ部１４は、ユーザが所望する操作が許可されているか否かを、ポリシーサーバ５０に問い合わせる処理を行う。

利用許可情報問い合わせ部１４によって問い合わせが行われたポリシーサーバ５０は、問い合わせられた操作が許可されるか否かを判定して文書操作アプリケーション１０に返す。

派生情報送信部１５は、保護文書が文書操作アプリケーション１０によって操作されてその保護文書より派生する新しい保護文書が生成されると、派生元の保護文書の文書ＩＤと派生結果の保護文書の文書ＩＤとが含まれる派生情報をポリシーサーバ５０に送信する。

テンプレート選択部１６は、保護文書を操作するユーザが、保護文書から派生する新たに生成される保護文書に、元の保護文書に対応付けられたセキュリティポリシーの雛形であるポリシーテンプレートとは異なるポリシーテンプレートを雛形に持つセキュリティポリシーを対応付けるよう所望する場合に、ユーザにポリシーテンプレートを表示して選択させる処理を行う。ポリシーテンプレートそのもの、および、ポリシーテンプレートとセキュリティポリシーの関係については、後述する。

ユーザ認証問い合わせ部１７は、ユーザＩＤやユーザのパスワード等のユーザ認証情報を、ユーザ認証サーバ７０に対して送信し、正しく認証されたか否かの結果を受け取る。

サービスクライアントＩＦ１８は、画像形成装置３０やポリシーサーバ５０やユーザ認証サーバ７０と情報の授受を行う。

文書データ記憶部１９は、文書操作アプリケーション１０で操作される保護電子文書を暗号化された状態で記憶する。

利用制御情報記憶部２０は、ポリシーサーバ５０より送られた利用制御情報を記憶する。

利用制御情報は、保護文書に対応付けられたセキュリティポリシーにより生成される情報であって、特定のユーザにその保護文書に対して許される操作範囲が記載されている。

また、図１に示す文書管理システム１００の画像形成装置３０では、文書操作アプリケーション１０より保護電子文書に印刷指示が行われて、文書ＩＤを示す情報が紙に地紋として印刷された保護紙文書を生成する処理や、画像形成装置３０が有するスキャナ装置より読取った画像データを文書操作アプリケーション１０に送る処理や、スキャナ装置より読取った画像データを保護紙文書として生成する処理（コピー処理）や、スキャナ装置より読取った画像データをファクシミリ通信する処理（ファックス処理）などを行う。

そして、画像形成装置３０は、通常の紙文書を保護紙文書に変える機能を持つ。

このような処理を行う画像形成装置３０は、画像入出力デバイスＩＦ３１、文書画像操作部３２、利用制御情報問い合わせ部３３、利用許可情報問い合わせ部３４、派生情報送信部３５、ユーザ認証問い合わせ部３６、サービスクライアントＩＦ３７、文書データ記憶部３８、利用制御情報記憶部３９を備える。

画像入出力デバイスＩＦ３１は、画像形成装置３０が有するスキャナ装置やプリント装置と接続され、そのスキャナ装置より読取られた画像データを受け付ける処理を行い、また、そのプリント装置に対してそこで印刷出力する画像データを送る処理を行う。

文書画像操作部３２は、画像形成装置３０で処理される文書画像に対して、ＩＤ抽出、ＩＤ生成、ＩＤ埋め込み等の処理を行う。

また、文書画像操作部３２は、文書ＩＤ抽出部４１、文書ＩＤ生成部４２、文書ＩＤ埋め込み部４３を有する。

文書ＩＤ抽出部４１は、画像形成装置３０が有するスキャナ装置から保護文書を読み取り、該保護紙文書に印刷された地紋を解析して、その保護紙文書に付与された文書ＩＤを抽出する。

文書ＩＤ生成部４２は、保護文書に付与される文書ＩＤを生成する。

また、文書ＩＤ生成部４２は、既にセキュリティポリシーが対応付けられた保護文書から派生して生成される保護文書に付与する文書ＩＤだけではなく、新規に第１世代として保護文書が生成された場合にも、その第１世代の保護文書に付与する文書ＩＤを生成する。

文書ＩＤ埋め込み部４３は、画像入出力デバイスＩＦ３１に接続されるプリント装置で印刷される保護紙文書に文書ＩＤが地紋として印刷されるように、保護紙文書として印刷される画像データに文書ＩＤ生成部４３が生成した文書ＩＤを埋め込む処理を行う。

利用制御情報問い合わせ部３３は、保護文書が画像形成装置３０で操作される際に、画像形成装置３０を操作するユーザに許されるその保護文書の操作範囲をポリシーサーバ５０に問い合わせる処理を行う。

利用制御情報問い合わせ部３３によって問い合わせが行われたポリシーサーバ５０は、操作範囲が記載された利用制御情報を画像形成装置３０に返す。

利用許可情報問い合わせ部３４は、ユーザが所望する画像形成装置３０の操作が図示しないスキャナ装置にセットされた保護紙文書に対して許可されているか否かを、ポリシーサーバ５０に問い合わせる処理を行う。

利用許可情報問い合わせ部３４によって問い合わせが行われたポリシーサーバ５０は、問い合わせられた操作が許可されるか否かを画像形成装置３０に返す。

派生情報送信部３５は、画像形成装置３０が操作されて、文書ＩＤ生成部４２によって生成された文書ＩＤが付与された新しい保護文書が生成されると、元の保護文書の文書ＩＤと新規の保護文書の文書ＩＤとが含まれる派生情報をポリシーサーバ５０に送信する。

ユーザ認証問い合わせ部３６は、ユーザＩＤやユーザのパスワード等のユーザ認証情報を、ユーザ認証サーバ７０に送信して、正しく認証されたか否かの結果を受け取る。

サービスクライアントＩＦ３７は、ポリシーサーバ５０やユーザ認証サーバ７０と情報の授受を行う。

文書データ記憶部３８は、画像形成装置３０で操作される文書を記憶する。

利用制御情報記憶部３９は、ポリシーサーバ５０より送られる利用制御情報を記憶する。

また、ポリシーサーバ５０は、文書操作アプリケーション１０や画像形成装置３０に保護文書の利用制御情報や利用許可情報などを送信する。

ポリシーサーバ５０は、サービスＩＦ５１、管理者用ユーザＩＦ５２、ポリシーテンプレート生成部５３、ポリシーテンプレート取得部５４、新規ポリシー生成部５５、派生ポリシー生成部５６、利用制御情報生成部５７、ポリシー検索部５８、利用許可情報生成部５９、セキュリティポリシーＤＢ（Data Base）６０を備える。

サービスＩＦ５１は、文書操作アプリケーション１０が動作するパーソナルコンピュータや、画像形成装置３０と情報の授受を行う。

管理者用ユーザＩＦ５２は、ポリシーサーバ５０を管理する管理者により使用されるインタフェースである。

ポリシーサーバ５０の管理とは、例えば、管理者がポリシーテンプレート生成部５３よりポリシーテンプレートを生成する処理である。

ポリシーテンプレート生成部５３は、管理者の管理者用ユーザＩＦ５２の操作により、ポリシーテンプレートを生成する。

生成されたポリシーテンプレートはセキュリティポリシーＤＢ６０に記憶される。

ポリシーテンプレートとは、後で図２を参照して詳しく説明するがセキュリティポリシーの元となる雛形である。

ポリシーテンプレート取得部５４は、セキュリティポリシーＤＢ６０に記憶されるポリシーテンプレートを取得する。

新規ポリシー生成部５５は、文書操作アプリケーション１０或いは画像形成装置３０で既存の保護文書より派生して生成された保護文書ではなく、既存の保護文書と派生関係のない新規に生成された保護文書が生成されたときに、その新規に生成された保護文書に対応付けられるセキュリティポリシーを生成する。

派生ポリシー生成部５６は、文書操作アプリケーション１０或いは画像形成装置３０より派生情報が送信された際に、元の保護文書と派生関係のある保護文書であって新しく生成された保護文書に対応付けられるセキュリティポリシーを生成する。

利用制御情報生成部５７は、文書操作アプリケーション１０或いは画像形成装置３０より送信されたユーザＩＤと文書ＩＤとに基づき、その文書ＩＤが対応付けられたセキュリティポリシーに従って、そのユーザＩＤのユーザがその文書ＩＤの保護文書に許される操作範囲を記述した利用制御情報を生成する。

利用制御情報生成部５７で生成された利用制御情報は、サービスＩＦ５１より、ユーザＩＤと文書ＩＤとを送信した文書操作アプリケーション１０或いは画像形成装置３０に送信される。

ポリシー検索部５８は、利用制御情報生成部５７或いは利用許可情報生成部５９より送られる文書ＩＤに基づいて、その文書ＩＤが記載されるセキュリティポリシーをセキュリティポリシーＤＢより検索する処理を行う。

利用許可情報生成部５９は、文書操作アプリケーション１０或いは画像形成装置３０より送信される操作内容が許可されるか否かの利用許可情報を生成する。

セキュリティポリシーＤＢ６０は、ポリシーテンプレートとセキュリティポリシーとを記憶する。

その際、ポリシーテンプレートの識別情報がテンプレートＩＤとしてポリシーテンプレートに記憶され、またセキュリティポリシーの識別情報がポリシーＩＤとしてセキュリティポリシーに記憶される。

また、図１に示す文書管理システム１００のユーザ認証サーバ７０は、文書操作アプリケーション１０や画像形成装置３０のユーザを認証するサーバである。

文書操作アプリケーション１０や画像形成装置３０から送られたユーザＩＤとパスワードとを受け付け、ユーザ認証サーバ７０内に記憶される情報よりユーザ認証を行い、その結果を、情報を送った文書操作アプリケーション１０或いは画像形成装置３０に送信する。

このように構成される文書管理システム１００では、文書操作アプリケーション１０或いは画像形成装置３０で、電子文書か紙文書が生成され、生成された文書には文書管理システム１００における保護文書として文書ＩＤが付与され、保護電子文書や保護紙文書とされる。

生成された文書ＩＤは、該文書ＩＤが付与された保護文書に対応付けられるセキュリティポリシーに記載されて、そのセキュリティポリシーがポリシーサーバ５０に記憶される。

このように生成された第１世代の保護文書に対して、文書操作アプリケーション１０或いは画像形成装置３０でコピーや編集などの操作が行われると、コピーや編集などの操作によって新たに生成された保護文書は、第１世代からの派生結果となる第２世代の保護文書となる。

その時、第２世代の保護文書が生成された文書操作アプリケーション１０或いは画像形成装置３０で、派生元である第１世代の保護文書の文書ＩＤとは異なる文書ＩＤが第２世代の保護文書に付与される。

派生結果の保護文書に文書ＩＤが付与されると、派生元の保護文書の文書ＩＤと新しく生成された派生結果の保護文書の文書ＩＤとが、派生結果の保護文書が生成された文書操作アプリケーション１０或いは画像形成装置３０からポリシーサーバ５０に送信される。

派生元の保護文書の文書ＩＤと派生結果の保護文書の文書ＩＤとを受信したポリシーサーバ５０は、派生元の保護文書に対応付けられているセキュリティポリシーのポリシーテンプレートに基づいて、派生結果の保護文書に対応付けるセキュリティポリシーを生成する。

第２世代となる派生結果である保護文書に対応付けられるセキュリティポリシーが生成されると、そのセキュリティポリシーに派生結果である保護文書の文書ＩＤが記載されてポリシーサーバ５０に記憶される。

このようにして、文書管理システム１００で新しく生成される保護文書には、新しいセキュリティポリシーが自動的に生成され対応付けられる。

次に、保護文書に対応付けられるセキュリティポリシーの雛形であるポリシーテンプレートについて図２を参照して説明を行う。セキュリティポリシーは、ポリシーテンプレートを元にして生成される。ポリシーテンプレートには、該ポリシーテンプレートを元にセキュリティポリシー内容を決定するための情報が含まれている。

図２は、ポリシーテンプレートの例を示した表である。

図２に示すように、ポリシーテンプレートには、テンプレートＩＤ、テンプレート名、利用範囲、有効期間、許諾機能リストが記載される。

テンプレートＩＤは、ポリシーテンプレート自身の識別番号である。

テンプレート名は、ポリシーテンプレート自身の名前である。

利用範囲は、そのポリシーテンプレートを元に生成されるセキュリティポリシーが適用される保護文書を利用することができるユーザの範囲である。

有効期間は、そのポリシーテンプレートを元に生成されるセキュリティポリシーが適用される保護文書をユーザが利用可能な期間である。

許諾機能リストは、そのポリシーテンプレートを元に生成されるセキュリティポリシーが適用される保護文書に対して許される操作の内容である。

このポリシーテンプレートを元にして、保護文書に対応付けられるセキュリティポリシーが生成される。

ポリシーテンプレートの内容には、具体的な記述が行われていない箇所があり、それは、＜＞でくくられている。

このように＜＞でくくられている箇所は、そのポリシーテンプレートからセキュリティポリシーが生成される時点で決定される内容である。

例えば、利用範囲に＜オリジナルの作成者＞と記載されている箇所は、セキュリティポリシーが生成される時点で、第１世代の保護文書で生成したユーザのユーザ名がその箇所に記述される。

また、例えば、有効期間に＜ポリシーバインド後３日間＞と記載されている箇所は、セキュリティポリシーが生成される時点の日付から３日間がその箇所に記述され、セキュリティポリシーが生成される時点が１月１日であれば、その日から３日間である１月３日までが有効期間とされる。

このように記載されるポリシーテンプレートについて、図２で示す例について説明を行うと、テンプレートＩＤが「１３４Ａ６７Ｂ」のポリシーテンプレートは、テンプレート名が「システム開発部内レビュー資料用」であり、利用範囲が「所属組織名：システム開発部」、有効範囲は「＜ポリシーバインド後３日間＞」、許諾機能リストは「電子文書の閲覧、電子文書の印刷」と記載される。

この「システム開発部内レビュー資料用」よりセキュリティポリシーが生成された時には、そのセキュリティポリシーは、セキュリティポリシーが生成された日から３日間だけシステム開発部に電子文書の閲覧と印刷を許すという内容となる。

次に、ポリシーテンプレートから生成されるセキュリティポリシーについて図３を参照して説明を行う。

図３は、セキュリティポリシーを示した表である。

図３に示すように、セキュリティポリシーには、ポリシーＩＤ、文書ＩＤ、テンプレートＩＤ、利用範囲、有効期間、許諾機能リストが記される。

ポリシーＩＤは、セキュリティポリシー自身の識別番号である。

文書ＩＤは、そのセキュリティポリシーが対応付けられる保護文書の文書ＩＤである。

テンプレートＩＤは、セキュリティポリシーが生成される元となった雛形であるポリシーテンプレートのテンプレートＩＤを示す。

利用範囲は、そのセキュリティポリシーが適用される保護文書を利用することができるユーザの範囲である。

有効期間は、そのセキュリティポリシーが適用される保護文書をユーザが利用可能な期間である。

許諾機能リストは、セキュリティポリシーが適用される保護文書に対して許される操作の内容である。

例えば、図３に示す例について説明をすると、ポリシーＩＤが「２７Ａ４３Ｂ」のセキュリティポリシーは、対応付けられる保護文書の文書ＩＤが「０９３Ｂ４５ＥＡ」という保護文書であり、雛形となったポリシーテンプレートは「１３４Ａ６７Ｂ」であり、利用範囲が「所属組織名：システム開発部」、有効範囲は「２００７年２月１日から２００７年２月３日まで」、許諾機能リストは「電子文書の閲覧、電子文書の印刷」と記載される。

「２７Ａ４３Ｂ」というセキュリポリシーは、「１３４Ａ６７Ｂ」のポリシーテンプレートから作成され、「システム開発部」に所属しているユーザが「０９３Ｂ４５ＥＡ」の保護文書を２００７年２月１日から２００７年２月３日まで電子文書の閲覧、印刷がすることを許可する内容である。

次に、文書管理システム１００で利用される保護文書の派生関係について、図４を参照して説明を行う。

図４は、文書管理システム１００で利用される保護文書の派生関係について示した模式図である。

図４に示すように、文書管理システム１００で、まず第１世代の保護文書が生成される（参照番号４０１）。

そして、この第１世代の保護文書に画像形成装置３０での複写指示が行われると、複写されて排紙される第２世代（参照番号４０２）の保護紙文書には、第２世代の保護文書には生成された文書ＩＤが地紋として印刷される。

そして、第２世代の保護文書を生成した画像形成装置３０からポリシーサーバ５０に、派生元の第１世代の保護文書（参照番号４０１）の文書ＩＤと派生結果の第２世代の保護文書（参照番号４０２）の文書ＩＤとが送信される。

そして、派生元の文書ＩＤと派生結果の文書ＩＤとが送られたポリシーサーバ５０では、新たなセキュリティポリシーが生成されて、そのセキュリティポリシーは派生結果の保護文書に対応付けられる（参照番号４０３）。

派生結果の保護文書に対応付けられるセキュリティポリシーの生成は、ポリシーサーバ５０で行われるが、派生元の保護文書に対応付けられたセキュリティポリシーの雛形のポリシーテンプレートに基づいて生成される場合と、ユーザが新たに選択したポリシーテンプレートに基づいて生成される場合とがある。

雛形となるポリシーテンプレートに記載されているテンプレートＩＤ、利用範囲、有効範囲、許諾機能リストが、生成されるセキュリティポリシーに記載される。

ポリシーテンプレートに具体的に記述されてなくて＜＞でくくられている箇所がある場合には、セキュリティポリシーが生成される時点の状況が反映されてセキュリティポリシーに記載される。

そして、セキュリティポリシー中の文書ＩＤには、新たに生成された派生結果の保護文書の文書ＩＤが記載される。ポリシーＩＤは、派生ポリシー生成部より生成された新たなポリシーＩＤが記載される。

このようにして、派生結果の保護文書に対応付けられるセキュリティポリシーの生成が行われる。

この派生関係は、図４に示すようにツリー構造となってかまわないが、生成される保護文書には、後述する実施例２で生成される保護文書とは違って、生成された保護文書には必ずセキュリティポリシーが対応付けられる。

次に、文書管理システム１００における文書操作アプリケーション１０或いは画像形成装置３０とポリシーサーバ５０などとの情報のやり取りについて、利用制御情報の問い合わせが行われる場合を、図５を参照して説明を行う。

図５は、利用制御情報の問い合わせが行われる場合の文書管理システム１００での情報のやり取りを示したシーケンス図である。

図５に示すように、保護文書が利用される文書操作アプリケーション１０或いは画像形成装置３０でユーザ認証操作が行われて、ユーザＩＤとパスワードとを含むユーザ認証情報がユーザ認証サーバ７０に送られる（ステップ５０１）。

ユーザ認証サーバ７０で認証が行われると、その認証結果が、ユーザ認証サーバ７０からユーザ認証操作が行われた文書操作アプリケーション１０或いは画像形成装置３０に送られる（ステップ５０２）。

そして、文書操作アプリケーション１０或いは画像形成装置３０からポリシーサーバ５０に、取り扱われる保護文書の文書ＩＤと取り扱うユーザのユーザＩＤが送られる（ステップ５０３）。

ポリシーサーバ５０では、送られた文書ＩＤの保護文書に対応付けられているセキュリティポリシーが検索され、検索されたセキュリティポリシーに基づいて、送られたユーザＩＤのユーザに許される操作範囲を表す利用制御情報が生成される。

ポリシーサーバ５０で生成された利用制御情報は、文書ＩＤとユーザＩＤを送った文書操作アプリケーション１０或いは画像形成装置３０に送信される（ステップ５０４）。

利用制御情報が送られた文書操作アプリケーション１０或いは画像形成装置３０は、受信した利用制御情報を記憶し、その利用制御情報に基づいて制御が行われ各種操作が実行される。

そして、各種操作が実行されて派生結果となる新しい保護文書が生成されると、派生元と派生結果に関する派生情報が、操作が行われた文書操作アプリケーション１０或いは画像形成装置３０からポリシーサーバ５０に送信される（ステップ５０５）。

ステップ５０５で送信される派生情報には、派生元となった保護文書の文書ＩＤと派生結果である保護文書の文書ＩＤとが含まれる。

派生情報が送信されたポリシーサーバ５０では、派生結果の保護文書の文書ＩＤが、生成されるセキュリティポリシーに記載されてセキュリティポリシーＤＢ６０に記憶される。

また、ユーザが派生した保護文書に対応付けるセキュリティポリシーの雛形であるポリシーテンプレートを新しく選択した場合には、ステップ５０５で派生元の保護文書の文書ＩＤと派生結果の保護文書の文書ＩＤに加えて選択されたポリシーテンプレートのテンプレートＩＤもポリシーサーバ５０に送信される。

そして、テンプレートＩＤを受信したポリシーサーバ５０は、そのテンプレートＩＤのポリシーテンプレートに基づいてセキュリティポリシーを生成し、生成したセキュリティポリシーに派生結果の保護文書の文書ＩＤを記載して、セキュリティポリシーＤＢ６０に記憶する。

次に、ポリシーサーバ５０から文書操作アプリケーション１０或いは画像形成装置３０に送信される利用制御情報について図６を参照して説明を行う。

図６は、利用制御情報の一例を示した図である。

図６に示すように、ポリシーサーバ５０から文書操作アプリケーション１０或いは画像形成装置３０に送信される利用制御情報は、ＸＭＬ形式で記述されている。

利用制御情報は、文書操作アプリケーション１０或いは画像形成装置３０を操作するユーザが操作を許される保護文書の操作範囲について示した情報である。

例えば、図６に示すように、ユーザＩＤが「６７８９０」のユーザは（参照番号６０１）、文書ＩＤが「０９３Ｂ４５ＥＡ」の保護文書に対して（参照番号６０２）、電子文書の閲覧と電子文書の印刷と紙文書のコピー（参照番号６０３）とが許されるように記述される。

次に、ポリシーサーバ５０に利用制御情報の問い合わせが行われる場合に、問い合わせを行う文書操作アプリケーション１０或いは画像形成装置３０で行われる処理について図７を参照して説明を行う。

図７は、利用制御情報の問い合わせが行われる場合に、問い合わせを行う文書操作アプリケーション１０或いは画像形成装置３０で行われる処理について示したフローチャートである。

まず、文書操作アプリケーション１０或いは画像形成装置３０でユーザ認証操作が行われる（ステップ７０１）。

ユーザ認証操作では、ユーザが入力するユーザＩＤとパスワードが文書操作アプリケーション１０或いは画像形成装置３０に受け付けられる。

文書操作アプリケーション１０或いは画像形成装置３０は、ユーザ認証サーバ７０にユーザＩＤとパスワードとを送信し（図５ではステップ５０１に相当）、そして、ユーザ認証サーバ７０によって認証された認証結果を受信する（図５ではステップ５０２に相当）。

受信した認証結果が、認証に失敗した内容だと（ステップ７０２でＮＯ）、認証結果を受信した文書操作アプリケーション１０或いは画像形成装置３０でエラー表示が行われ（ステップ７０３）、認証に成功した内容だと（ステップ７０２でＹＥＳ）、認証結果を受信した文書操作アプリケーション１０或いは画像形成装置３０で次のステップであるステップ７０４の処理が行われる。

ステップ７０４の処理は、認証に成功した旨をユーザに表示してユーザより所望の操作を受け付ける処理である（ステップ７０４）。

ユーザより所望の操作が受け付けられると（ステップ７０４）、ユーザの操作対象の保護文書の文書ＩＤの抽出が行われる（ステップ７０５）。

ユーザ所望の操作が文書操作アプリケーション１０の操作であった場合には、ステップ７０５での文書ＩＤの抽出は、閲覧、編集、印刷等の操作対象の保護電子文書から文書ＩＤが抽出される。

また、ユーザ所望の操作が画像形成装置３０の操作であった場合には、ステップ７０５での文書ＩＤの抽出は、コピー、ファックス等のために図示しないスキャナ装置に配置された保護紙文書から地紋が読取られ、その地紋より文書ＩＤが抽出される。

ステップ７０５で文書ＩＤが抽出されると、次に、利用制御情報記憶部２０或いは３９に抽出された文書ＩＤを持つ保護文書に対する利用制御情報が記憶されているか否かが確認される（ステップ７０６）。

確認された結果、利用制御情報記憶部２０或いは３９に、操作される保護文書の文書ＩＤを持つ利用制御情報が記憶されていない場合には（ステップ７０６でＮＯ）、利用制御情報問い合わせ部１３或いは３３によって、ポリシーサーバ５０に利用制御情報の問い合わせが行われる（ステップ７０７、図５ではステップ５０３に相当）。

問い合わせに対する返事として利用制御情報でなくてエラー情報が受信されると（ステップ７０８でＮＯ）、問い合わせを行った文書操作アプリケーション１０或いは画像形成装置３０で、ユーザに対するエラー表示が行われる（ステップ７０３）。

また、問い合わせに対する返事として利用制御情報が受信されると（ステップ７０８でＹＥＳ、図５ではステップ５０４に相当）、利用制御情報を受信した文書操作アプリケーション１０或いは画像形成装置３０は、受信した利用制御情報を利用制御情報記憶部２０或いは３９に記憶する（ステップ７０９）。

操作される保護文書の文書ＩＤの利用制御情報が利用制御情報記憶部２０或いは３９に記憶された状態になると（ステップ７０６でＹＥＳ）、次のステップであるステップ７１０の処理が行われる。

ステップ７１０では、操作される保護文書の文書ＩＤの利用制御情報であって利用制御情報記憶部２０或いは３９に記憶される利用制御情報に基づいて、ステップ７０４で受け付けたユーザ所望の操作が許されるか否かの確認が保護文書操作部１２或いは文書画像操作部３２で行われる（ステップ７１０）。

確認された結果、所望の操作が許されない場合には（ステップ７１０でＮＯ）、エラー表示が行われる（ステップ７０３）。

また、確認された結果、所望の操作が許される場合には（ステップ７１０でＹＥＳ）、ユーザが所望した操作が行われる（ステップ７１１）。

文書操作アプリケーション１０或いは画像形成装置３０は、利用制御情報で許される操作だけが行われるように、ユーザが所望した操作内容の実行を制限する。

そして、操作が行われた結果、編集や印刷等により、新しい保護文書が生成されると（ステップ７１２でＹＥＳ）、文書ＩＤ生成部２２或いは４２で新しい保護文書に付与する文書ＩＤが生成される（ステップ７１３）。

ユーザが所望した操作が行われた結果、新しい保護文書が生成されない場合には（ステップ７１２でＮＯ）、処理は終了する。

新しい保護文書に付与される文書ＩＤが生成されると（ステップ７１３）、ユーザの所望の操作によって生成された新しい保護文書に、生成された文書ＩＤが付与される（ステップ７１４）。

ユーザの所望の操作が電子文書の編集であった場合には、ステップ７１１の操作で編集されて生成された派生結果である保護文書に対して、派生元の文書ＩＤが削除された後に、生成された文書ＩＤが付与されて文書データ記憶部１９に記憶される。

ユーザの所望の操作が電子文書の印刷であった場合には、保護電子文書の印刷が画像形成装置３０で行われる際に、生成された文書ＩＤが用紙に地紋として印刷される。

ユーザの所望の操作が紙文書のコピーであった場合には、保護紙文書のコピーが画像形成装置３０で行われる際に、派生元の紙文書に地紋として印刷されていた派生元の文書ＩＤは地紋として印刷されずに、生成された文書ＩＤが地紋として用紙に印刷される。

このような保護文書に対する文書ＩＤの削除、付与の処理は、保護文書操作部１２或いは文書画像操作部３２によって行われる。

新しく生成された派生結果である保護文書に文書ＩＤが付与されると（ステップ７１４）、次に、文書ＩＤの付与を行った文書操作アプリケーション１０或いは画像形成装置３０からポリシーサーバ５０に対して、派生元の文書ＩＤと派生結果の文書ＩＤとが含まれた派生情報が送信される（ステップ７１５、図５ではステップ５０５に相当）。

派生元とは、例えば、電子文書の編集の場合には編集される前の保護文書を指し、電子文書の印刷の場合には印刷される対象の保護電子文書を指し、紙文書のコピーの場合にはコピーされる保護紙文書を指す。

また、ステップ７１５では、ユーザが、派生結果の保護文書に対応付けるセキュリティポリシーの雛形であるポリシーテンプレートを、派生元の保護文書に対応付けられたセキュリティポリシーの雛形であるポリシーテンプレートと異なるポリシーテンプレートにするように所望する場合には、テンプレート選択部１６によりポリシーテンプレートが選択されて、選択されたポリシーテンプレートのテンプレートＩＤもポリシーサーバ５０に送信される。

次に、ポリシーサーバ５０に利用制御情報の問い合わせが行われる場合に、ポリシーサーバ５０で行われる処理について図８を参照して説明を行う。

図８は、ポリシーサーバ５０に利用制御情報の問い合わせが行われる場合に、ポリシーサーバ５０で行われる処理について示したフローチャートである。

まず、文書操作アプリケーション１０或いは画像形成装置３０からポリシーサーバ５０に利用制御情報の問い合わせが行われると、ポリシーサーバ５０では、サービスＩＦ５１がその問い合わせを受け付ける。

利用制御情報の問い合わせにポリシーサーバ５０に送られる情報には、ユーザＩＤと文書ＩＤとが含まれる。

サービスＩＦ５１が利用制御情報の問い合わせを受け付けると、利用制御情報生成部５７が、ポリシー検索部５８に、受け付けた文書ＩＤに対応付けられているセキュリティポリシーをセキュリティポリシーＤＢ６０から検索するように促す。

ポリシー検索部５８は、受け付けた文書ＩＤに対応付けられているセキュリティポリシーをセキュリティポリシーＤＢ６０より検索して、検索結果のセキュリティポリシーを利用制御情報生成部５７に送る（ステップ８０１）。

検索結果のセキュリティポリシーが送られた利用制御情報生成部５７は、送られたセキュリティポリシーに基づき、文書操作アプリケーション１０或いは画像形成装置３０より問い合わされたユーザＩＤのユーザが問い合わされた文書ＩＤの保護文書に対して何らかの操作が許されているか否かを確認する（ステップ８０２）。

確認の結果、何らの操作も許されていない場合には（ステップ８０２でＮＯ）、利用制御情報の問い合わせを行った文書操作アプリケーション１０或いは画像形成装置３０に、エラー情報が送信される。

また、確認の結果、何らかの操作が許されている場合には（ステップ８０２でＹＥＳ）、利用制御情報生成部５７は、許される操作範囲を示す利用制御情報を生成する（ステップ８０３）。

そして、サービスＩＦ５１より、ステップ８０３で生成された利用制御情報が、問い合わせを行った文書操作アプリケーション１０或いは画像形成装置３０に送信される（ステップ８０４）。

利用制御情報が送信された結果、文書操作アプリケーション１０或いは画像形成装置３０で操作が行われて、派生結果となる新しい保護文書が生成されると、ポリシーサーバ５０に新しい保護文書に関する派生情報が送信される。

派生情報を受信したポリシーサーバ５０の処理について説明を行う。

文書操作アプリケーション１０或いは画像形成装置３０から送信される派生情報には、派生元である保護文書の文書ＩＤと派生結果である保護文書の文書ＩＤとが含まれる。

また、ユーザが派生結果の保護文書に対応付けるセキュリティポリシーの雛形であるポリシーテンプレートを新たに選択した場合には、派生情報には、選択されたポリシーテンプレートのテンプレートＩＤも含まれる。

派生情報はサービスＩＦ５１で受け付けられ、派生情報にテンプレートＩＤが含まれているか否かが確認される（ステップ８１０）。

テンプレートＩＤが含まれていなかった場合には（ステップ８１０でＮＯ）、派生ポリシー生成部５６が、派生結果の保護文書に対して対応付けるセキュリティポリシーを生成するために、派生元の保護文書に対応付けられているセキュリティポリシーをセキュリティポリシーＤＢ６０から検索する（ステップ８１１）。

派生ポリシー生成部５６がセキュリティポリシーＤＢ６０より派生元の保護文書に対応付けられているセキュリティポリシーを検索すると、今度は、派生ポリシー生成部５６が検索されたセキュリティポリシーに記載されるテンプレートＩＤに基づいて、ポリシーテンプレート取得部５４が検索されたセキュリティポリシーの雛形であるポリシーテンプレートをセキュリティポリシーＤＢ６０より検索する（ステップ８１２）。

ポリシーテンプレート取得部５４がポリシーテンプレートを取得すると（ステップ８１２）、派生ポリシー生成部５６が、取得されたポリシーテンプレートを元にして新しいセキュリティポリシーを生成する（ステップ８１３）。

派生結果の保護文書に対応付けられる新しいセキュリティポリシーの内容は、ポリシーＩＤは新しく設定され、文書ＩＤは派生結果の保護文書の文書ＩＤであり、テンプレートＩＤは取得されたポリシーテンプレートのテンプレートＩＤであり、利用範囲と有効期間と許諾機能リストは＜＞でくくられている箇所がなければそのまま取得されたポリシーテンプレートの内容が記され、＜＞でくくられている箇所があれば新しいセキュリティポリシーが生成される時点の内容が記載される。

新しいセキュリティポリシーが派生ポリシー生成部５６で生成されると、生成されたセキュリティポリシーに派生結果の保護文書の文書ＩＤが記載されてセキュリティポリシーＤＢ６０に記憶される（ステップ８１４）。

また、ステップ８１０で、受信された派生情報にテンプレートＩＤが含まれている場合には、そのテンプレートＩＤのポリシーテンプレートをテンプレート取得部がセキュリティポリシーＤＢ６０より取得し、新規ポリシー生成部５５がそのポリシーテンプレートを元にして新しいセキュリティポリシーを生成する（ステップ８１５）。

新しいセキュリティポリシーが新規ポリシー生成部５５で生成されると、生成されたセキュリティポリシーに派生結果の保護文書の文書ＩＤが記載されてセキュリティポリシーＤＢ６０に記憶される（ステップ８１６）。

次に、文書管理システム１００における文書操作アプリケーション１０或いは画像形成装置３０とポリシーサーバ５０などとの情報のやり取りについて、利用許可情報の問い合わせが行われる場合を図９を参照して説明を行う。

図９は、利用許可情報の問い合わせが行われる場合の文書管理システム１００での情報のやり取りを示したシーケンス図である。

図９に示すように、保護文書が利用される文書操作アプリケーション１０或いは画像形成装置３０でユーザ認証操作が行われて、ユーザＩＤとパスワードとを含むユーザ認証情報がユーザ認証サーバ７０に送られる（ステップ９０１）。

ユーザ認証サーバ７０で認証が行われると、その認証結果が、ユーザ認証サーバ７０からユーザ認証操作が行われた文書操作アプリケーション１０或いは画像形成装置３０に送られる（ステップ９０２）。

そして、文書操作アプリケーション１０或いは画像形成装置３０からポリシーサーバ５０に、利用許可情報の問い合わせとして、取り扱われる保護文書の文書ＩＤと取り扱うユーザのユーザＩＤとそのユーザが所望する操作内容とが送られる（ステップ９０３）。

図５を参照して説明した利用制御情報の問い合わせの場合とは違って、利用許可情報の問い合わせの場合には、ユーザが所望する操作内容が許可されるか否かを文書操作アプリケーション１０或いは画像形成装置３０からポリシーサーバ５０に問い合わせる形式となる。

保護文書の文書ＩＤとユーザＩＤとユーザが所望する操作内容とが送られたポリシーサーバ５０では、送られた文書ＩＤの保護文書に対応付けられているセキュリティポリシーが検索され、検索されたセキュリティポリシーに基づいて、送られたユーザＩＤのユーザに送られた操作内容が許されるか否かを確認する。

そして、確認が行われると、確認された結果が許可或いはエラー情報として、問い合わせを行った文書操作アプリケーション１０或いは画像形成装置３０に送信される（ステップ９０４）。

確認された結果が許可或いはエラー情報として送信された文書操作アプリケーション１０或いは画像形成装置３０では、その内容に従って操作が制御される。

ユーザが所望する操作が許可された場合には、文書操作アプリケーション１０或いは画像形成装置３０でユーザ所望の操作が行われ、そして、その操作によって新たな保護文書が派生された場合には、派生元の保護文書の文書ＩＤと派生結果の保護文書の文書ＩＤとが含まれる派生情報がポリシーサーバ５０に送られる（ステップ９０５）。

派生情報が送信されたポリシーサーバ５０では、派生結果の保護文書にセキュリティポリシーを対応付ける為に、ポリシーサーバ５０でセキュリティポリシーを生成し、そのセキュリティポリシーに派生結果の保護文書の文書ＩＤが記載されてセキュリティポリシーＤＢ６０に記憶される。

また、ユーザが派生した保護文書に対応付けるセキュリティポリシーの雛形であるポリシーテンプレートを新しく選択した場合には、ステップ９０５で派生元の保護文書の文書ＩＤと派生結果の保護文書の文書ＩＤに加えて選択されたポリシーテンプレートのテンプレートＩＤもポリシーサーバ５０に送信される。

次に、ポリシーサーバ５０に利用許可情報の問い合わせが行われる場合に、問い合わせを行う文書操作アプリケーション１０或いは画像形成装置３０で行われる処理について図１０を参照して説明を行う。

図１０は、利用許可情報の問い合わせが行われる場合に、問い合わせを行う文書操作アプリケーション１０或いは画像形成装置３０で行われる処理について示したフローチャートである。

まず、文書操作アプリケーション１０或いは画像形成装置３０でユーザ認証の操作が行われる（ステップ１００１）。

ユーザ認証の操作は、ユーザが文書操作アプリケーション１０或いは画像形成装置３０に、ユーザＩＤとパスワードを入力する操作となる。

文書操作アプリケーション１０或いは画像形成装置３０は、ユーザ認証サーバ７０にユーザＩＤとパスワードとを送信し（図９ではステップ９０１に相当）、そして、ユーザ認証サーバ７０によって認証された認証結果を受信する。

受信する認証結果が、認証に失敗した内容だと（ステップ１００２でＮＯ）エラー表示を行い（ステップ１００３）、認証に成功した内容だと（ステップ１００２でＹＥＳ）次のステップであるステップ１００４の処理に移る。

ステップ１００４の処理は、文書操作アプリケーション１０或いは画像形成装置３０がユーザから所望の操作を受け付ける処理である（ステップ１００４）。

所望の操作とは、ユーザが文書操作アプリケーション１０を操作する場合には、電子文書の閲覧、編集、印刷などであり、また、ユーザが画像形成装置３０を操作する場合には、紙文書のコピー、ファックスなどである。

このようなユーザ所望の操作を受け付けると（ステップ１００４）、次に、文書操作アプリケーション１０或いは画像形成装置３０は、操作の対象となる保護文書の文書ＩＤを抽出する処理を行う（ステップ１００５）。

ユーザが文書操作アプリケーション１０を操作する場合には、電子文書の閲覧、編集、印刷等のために操作される保護電子文書から文書ＩＤが抽出される。

また、ユーザが画像形成装置３０を操作する場合には、紙文書のコピー、ファックスのために図示しないスキャナ装置に配置された保護紙文書から地紋が読取られ、その地紋より文書ＩＤが抽出される。

文書ＩＤが抽出されると（ステップ１００５）、次に、文書操作アプリケーション１０或いは画像形成装置３０を操作するユーザが操作対象の保護文書に所望の操作内容を行うことが許可されるか否かを、利用許可情報問い合わせ部１４或いは利用許可情報問い合わせ部３４がポリシーサーバ５０に問い合わせる（ステップ１００６、図９ではステップ９０３に相当）。

問い合わせの結果、利用許可情報が受信されなくてエラー情報が受信された場合には（ステップ１００７でＮＯ）、問い合わせを行った文書操作アプリケーション１０或いは画像形成装置３０でユーザに対してエラー表示が行われる（ステップ１００３）。

また、問い合わせの結果、ユーザが所望する操作内容が許可されるという内容である利用許可情報が受信されると（ステップ１００７でＹＥＳ）、ユーザが所望する操作が行われる（ステップ１００８）。

そして、所望の操作が行われた結果、編集や印刷等により、新しい保護文書が生成されると（ステップ１００９でＹＥＳ）、文書ＩＤ生成部２２或いは４２で新しい文書ＩＤが生成される（ステップ１０１０）。

ユーザが所望した操作が行われた結果、新しい保護文書が生成されない場合には（ステップ１００９でＮＯ）、処理は終了する。

新しい文書ＩＤが生成されると（ステップ１０１０）、ユーザの所望の操作によって生成された新しい保護文書に、生成された文書ＩＤが付与される（ステップ１０１１）。

ユーザの所望の操作が電子文書の編集であった場合には、ステップ１００８の操作で編集されて生成された派生結果である保護電子文書に対して、派生元の文書ＩＤが削除された後に、生成された文書ＩＤが付与される。

ユーザの所望の操作が電子文書の印刷であった場合には、保護電子文書の印刷が画像形成装置３０で行われる際に、生成された文書ＩＤが地紋として用紙に印刷される。

新しく生成された派生結果である保護文書に文書ＩＤが付与されると（ステップ１０１１）、次に、文書ＩＤの付与を行った文書操作アプリケーション１０或いは画像形成装置３０からポリシーサーバ５０に対して、派生元の文書ＩＤと派生結果の文書ＩＤとが含まれる派生情報が送信される（ステップ１０１２、図９では、ステップ９０５に相当）。

また、ステップ１０１２では、ユーザが、派生結果の保護文書に対応付けるセキュリティポリシーの雛形であるポリシーテンプレートを、派生元の保護文書に対応付けられているセキュリティポリシーの雛形であるポリシーテンプレートと異なるポリシーテンプレートにするように所望する場合には、テンプレート選択部１６によりポリシーテンプレートが選択されて、選択されたポリシーテンプレートのテンプレートＩＤもポリシーサーバ５０に送信される。

次に、ポリシーサーバ５０に利用許可情報の問い合わせが行われる場合に、ポリシーサーバ５０で行われる処理について図１１を参照して説明を行う。

図１１は、ポリシーサーバ５０に利用許可情報の問い合わせが行われる場合に、ポリシーサーバ５０で行われる処理について示したフローチャートである。

まず、文書操作アプリケーション１０或いは画像形成装置３０からポリシーサーバ５０に利用許可情報の問い合わせが行われると、ポリシーサーバ５０では、サービスＩＦ５１がその問い合わせを受け付ける。

利用許可情報の問い合わせには、ポリシーサーバ５０にユーザＩＤと文書ＩＤとユーザ所望の操作内容が送信される。

サービスＩＦ５１が利用許可情報の問い合わせを受け付けると、利用許可情報生成部５９が、ポリシー検索部５８に、受け付けた文書ＩＤに対応付けられているセキュリティポリシーをセキュリティポリシーＤＢ６０から検索するように促す。

ポリシー検索部５８は、受け付けた文書ＩＤに対応付けられているセキュリティポリシーをセキュリティポリシーＤＢ６０より検索して、検索結果のセキュリティポリシーを利用許可情報生成部５９に送る（ステップ１１０１）。

セキュリティポリシーが送られた利用許可情報生成部５９は、送られたセキュリティポリシーに基づき、文書操作アプリケーション１０或いは画像形成装置３０より問い合わされたユーザＩＤのユーザが問い合わされた文書ＩＤの保護文書に対して問い合わされたユーザ所望の操作内容が許可されるか否かを確認する（ステップ１１０２）。

確認の結果、ユーザ所望の操作内容を行うことが許可されない場合には（ステップ１１０２でＮＯ）、利用許可情報の問い合わせを行った文書操作アプリケーション１０或いは画像形成装置３０に、エラー情報が送信される（ステップ１１０５）。

また、確認の結果、ユーザ所望の操作内容が許可される場合には（ステップ１１０２でＹＥＳ）、利用許可情報生成部５９は、ユーザ所望の操作内容が許可される旨を示す利用許可情報を生成する（ステップ１１０３）。

そして、サービスＩＦ５１より、ステップ１１０３で生成された利用許可情報が、問い合わせを行った文書操作アプリケーション１０或いは画像形成装置３０に送信される（ステップ１１０４）。

利用許可情報が送信された結果、文書操作アプリケーション１０或いは画像形成装置３０で操作が行われて、派生結果となる新しい保護文書が生成されると、ポリシーサーバ５０に新しい保護文書に関する派生情報が送信される。

利用許可情報の問い合わせが行われる場合に、文書操作アプリケーション１０或いは画像形成装置３０で派生する新しい保護文書が生成された後、派生情報を受信したポリシーサーバ５０で行われる処理は、図８を参照して説明した利用制御情報の問い合わせが行われる場合の派生情報を受信したポリシーサーバ５０の処理（ステップ８１０乃至８１６）と同じであるので、重複を避けるため説明は省略する。

なお、画像形成装置３０で印刷される保護紙文書には地紋として文書ＩＤが印刷されるように説明したが、地紋印刷ではなくて、用紙に印刷するバーコードや用紙に付与するＲＦＩＤ（Radio Frequency IDentification）により保護紙文書に文書ＩＤを付与するようにしてもよい。

なお、ポリシーサーバ５０は、派生結果の保護文書に対応付けられるセキュリティポリシーの生成が派生元の保護文書に対応付けられているセキュリティポリシーの雛形であるポリシーテンプレートから生成されるように説明したが、そうではなくて、派生元の保護文書に対応付けられているセキュリティポリシーから直接生成されるように構成されてもよい。

その際に、派生元の保護文書に対応付けられているセキュリティポリシーをコピーしてその文書ＩＤを派生結果の保護文書の文書ＩＤに変更するだけではなくて、有効期間などのいくつかの項目を変えてもよい。

なお、文書管理システム１００において、文書操作アプリケーション１０或いは画像形成装置３０で派生結果となる新しい保護文書が生成された場合には（ステップ７１２でＹＥＳまたはステップ１００９でＹＥＳ）文書操作アプリケーション１０或いは画像形成装置３０からポリシーサーバ５０に派生情報を送信するように説明したが、そうではなくて、文書管理システム１００内に保護文書の利用履歴を記録する履歴サーバを設置して、文書操作アプリケーション１０或いは画像形成装置３０から送信する派生情報の送信先はポリシーサーバ５０ではなくその履歴サーバにするように構成することもできる。

文書管理システム１００がそのように構成された場合には、文書管理システム１００内に設置された履歴サーバが派生情報を受信するとその履歴サーバがポリシーサーバ５０に派生情報を送信するように構成されるか、或いは、ポリシーサーバ５０が履歴サーバに新たな派生情報の発生を問い合わせた後に、履歴サーバからポリシーサーバ５０に派生情報が送られるように構成される。

どちらの場合にしろ、派生情報を受信したポリシーサーバ５０では、派生結果の保護文書に対応付けられるセキュリティポリシーが生成される。

なお、文書データ記憶部１９に記憶される保護電子文書が復号された後に行われる閲覧、編集、印刷等の操作は保護文書操作部１２で行われるように説明したが、復号された保護電子文書の閲覧、編集、印刷等の操作は文書操作アプリケーション１０とは異なる文書操作専用のアプリケーションによって処理が行われるように構成されてもよい。

その際には、復号された保護文書のファイル化は、文書操作専用のアプリケーションによっては不可能であって、文書操作アプリケーション１０の保護文書操作部１２の文書暗号化部２３によってのみ可能とされる。

なお、画像形成装置３０に設置される図示しないスキャナ装置に地紋印刷された保護文書がスキャンされて、その地紋より文書ＩＤが読取られ、画像形成装置３０から文書操作アプリケーション１０にその保護文書の画像データと文書ＩＤとが送られて文書操作アプリケーションで処理が行われることも可能である。

なお、本実施例では、ユーザの認証のために、文書操作アプリケーション１０や画像形成装置３０に対して、ユーザがユーザＩＤとパスワードを入力するものとして説明したが、ユーザが所持する個人認証用のＩＣカードを使用してもよい。この場合、文書操作アプリケーション１０や画像形成装置３０にＩＣカードリーダを接続し、ユーザが所持するＩＣカードから認証データを取得し、その認証データをユーザ認証サーバに送る。

なお、本実施例では、保護文書が新たに派生した場合、新しい保護文書に付与される文書ＩＤは、文書操作アプリケーション１０、あるいは、画像形成装置３０で生成され、派生元の保護文書の文書ＩＤと派生結果の保護文書の文書ＩＤが、文書操作アプリケーション１０、あるいは、画像形成装置３０から、ポリシーサーバ５０に送付されるように構成されている。これとは異なり、派生結果の文書ＩＤがポリシーサーバ５０で生成され、その文書ＩＤが、文書操作アプリケーション１０、あるいは、画像形成装置３０に送付され、文書操作アプリケーション１０、あるいは、画像形成装置３０で、派生結果の保護文書に付与されるよう構成してもよい。この場合、派生元の保護文書の文書ＩＤと派生結果の保護文書の文書ＩＤの関係は、ポリシーサーバ５０内部で生成されるので、この情報が、文書操作アプリケーション１０、あるいは、画像形成装置３０からポリシーサーバ５０に送られることはない。

次に、本実施例では、実施例１とは異なり、文書操作アプリケーション或いは画像形成装置より新たに生成された派生結果の保護文書に必ずセキュリティポリシーが対応付けられるわけではないように構成される文書管理システム２００について説明を行う。

図１２は、本発明に係わる文書管理システム２００の概略を示すシステム構成図である。

文書管理システム２００は、文書操作アプリケーション１１０が動作するパーソナルコンピュータ、画像形成装置１３０、ポリシーサーバ１５０、ユーザ認証サーバ１７０が通信回線１０１によって接続されて構成される。

文書管理システム２００では、文書ＩＤが付与された保護文書の操作が管理される。

保護文書は、その保護文書に対応付けられるセキュリティポリシーに従って操作の制御が行われる。

保護電子文書は、文書操作アプリケーション１１０によって暗号化されて記憶され、また、保護紙文書は、画像形成装置１３０で文書ＩＤを示す情報が紙に地紋として印刷されて生成される。

セキュリティポリシーとは、保護文書に対して、どのユーザにどういった操作が許されているかが記載されたものである。

図１２に示す文書操作アプリケーション１１０は、ユーザが電子文書の閲覧、編集、印刷等の操作をする際に使用されるアプリケーションであり、通信回線１０１と接続されたパーソナルコンピュータ上で動作する。

文書操作アプリケーション１１０が動作するパーソナルコンピュータとポリシーサーバ１５０との情報のやり取りは、以下、文書操作アプリケーション１１０とポリシーサーバ１５０との情報のやり取りとして説明を行う。

また、文書操作アプリケーション１１０が動作するパーソナルコンピュータとユーザ認証サーバ７０との情報のやり取りについても同様に、以下、文書操作アプリケーション１１０とユーザ認証サーバ１７０との情報のやり取りとして説明を行う。

そして、文書操作アプリケーション１１０は、ユーザＩＦ１１１、保護文書操作部１１２、利用制御情報問い合わせ部１１３、利用許可情報問い合わせ部１１４、派生情報送信部１１５、テンプレート選択部１１６、ユーザ認証問い合わせ部１１７、サービスクライアントＩＦ１１８、文書データ記憶部１１９、利用制御情報記憶部１２０を備える。

ユーザＩＦ１１１は、文書操作アプリケーション１１０を操作するユーザとのインタフェースの役目を担う。

保護文書操作部１１２は、文書管理システム２００で利用される保護文書について、ＩＤ抽出、ＩＤ生成、電子文書の暗号化、復号等の操作を行う。

また、保護文書操作部１１２は、文書ＩＤ抽出部１２０、文書ＩＤ生成部１２１、文書暗号化部１２２、文書復号部１２３を備える。

保護文書操作部１１２内の文書ＩＤ抽出部１２０は、保護電子文書より、保護電子文書に付与された識別番号である文書ＩＤを抽出する処理を行う。

文書ＩＤ生成部１２１は、保護文書に付与される文書ＩＤを生成する。

また、文書ＩＤ生成部１２１は、保護文書から派生して生成される保護文書に対して付与される文書ＩＤだけではなく、新規に第１世代として保護文書が生成される場合にもその第１世代の保護文書に付与される文書ＩＤを生成する。

文書ＩＤ暗号化部１２２は、文書管理システム２００で操作される保護電子文書を暗号化する処理を行う。

文書管理システム２００で操作される保護電子文書は暗号化されて文書ＩＤが付与されて文書データ記憶部１１９に記憶される。

文書復号部１２３は、文書データ記憶部１１９に暗号化されて記憶されている保護電子文書を復号して、ユーザによる閲覧、編集、印刷等の操作が可能な状態にする。

保護電子文書は、文書操作アプリケーション１１０が保持する暗復号鍵によって暗号化されている。この暗復号鍵は、同様の文書操作アプリケーション１１０に共通に保持されており、あるパーソナルコンピュータ上で動作している文書操作アプリケーション１１０で暗号化された保護電子文書は、別のパーソナルコンピュータ上で動作している文書操作アプリケーション１１０で復号することができる。

暗号化された保護電子文書は、文書操作アプリケーション１１０のみが復号することができる。

ただし、文書操作アプリケーション１１０は、復号結果を一時的にであってもファイル化することはなく、必要なときに、保護電子文書を復号してメインメモリ上に展開し、閲覧、編集、印刷などの処理を行う。

そして、文書操作アプリケーション１１０は、通常の電子文書を保護電子文書に変える機能をもつ。

復号された保護電子文書は、文書操作アプリケーション１１０が動作するパーソナルコンピュータのメインメモリ上に展開され、保護文書操作部１１２によって閲覧、編集、印刷等の処理が行われる。

また、復号された保護電子文書は、一時的にでもファイル化されることはなく、ファイル化されるときには文書暗号化部１２２によって暗号化されて文書データ記憶部１１９に記憶される。

また、利用制御情報問い合わせ部１１３は、ユーザが保護電子文書を操作する際に、そのユーザに許されるその保護電子文書の操作範囲をポリシーサーバ１５０に問い合わせる処理を行う。

利用制御情報問い合わせ部１１３によって問い合わせが行われたポリシーサーバ１５０は、操作範囲が記載された利用制御情報を文書操作アプリケーション１１０に返す。

利用許可情報問い合わせ部１１４は、ユーザが所望する操作が許可されるか否かを、ポリシーサーバ１５０に問い合わせる処理を行う。

利用許可情報問い合わせ部１１４によって問い合わせが行われたポリシーサーバ１５０は、問い合わせられた操作が許可されるか否かを判定して、結果を文書操作アプリケーション１１０に返す。

派生情報送信部１１５は、保護文書が文書操作アプリケーション１１０によって操作されてその保護文書より派生する新しい保護文書が生成されると、派生元の保護文書の文書ＩＤと派生結果の保護文書の文書ＩＤとが含まれる派生情報をポリシーサーバ１５０に送信する。

テンプレート選択部１１６は、保護文書を操作するユーザが、保護文書から派生する新たに生成される保護文書にポリシーテンプレートの異なるセキュリティポリシーを対応付けるよう所望する場合に、ユーザにポリシーテンプレートを表示して選択させる処理を行う。

ユーザ認証問い合わせ部１１７は、ユーザＩＤやパスワード等のユーザ認証情報を、ユーザ認証サーバ１６０に対して送信し、正しく認証されたか否かの結果を受け取る。

サービスクライアントＩＦ１１８は、画像形成装置１３０やポリシーサーバ１５０やユーザ認証サーバ１６０と情報の授受を行う。

文書データ記憶部１１９は、文書操作アプリケーション１１０で操作される保護電子文書を暗号化された状態で記憶する。

利用制御情報記憶部１２０は、ポリシーサーバ１５０より送られた利用制御情報を記憶する。

利用制御情報は、保護文書に適用されるセキュリティポリシーにより生成される情報であって、特定のユーザがその保護文書に対して許される操作範囲が記載されている。

また、図１２に示す文書管理システム２００の画像形成装置１３０では、文書操作アプリケーション１１０より保護電子文書に印刷指示が行われて、文書ＩＤを示す情報が紙に地紋として印刷された保護紙文書を生成する処理や、画像形成装置１３０に設置される図示しないスキャナ装置より読取った画像データを文書操作アプリケーション１１０に送る処理や、スキャナ装置より読取った画像データを保護紙文書として生成する処理（コピー処理）や、スキャナ装置より読取った画像データをファクシミリ通信する処理（ファックス処理）などを行う。

そして、画像形成装置１３０は、通常の紙文書を保護紙文書に変える機能を持つ。

このような処理を行う画像形成装置１３０は、画像入出力デバイスＩＦ１３１、文書画像操作部１３２、利用制御情報問い合わせ部１３３、利用許可情報問い合わせ部１３４、派生情報送信部１３５、ユーザ認証問い合わせ部１３６、サービスクライアントＩＦ１３７、文書データ記憶部１３８、利用制御情報記憶部１３９を備える。

画像入出力デバイスＩＦ１３１は、画像形成装置１３０に設置される図示しないスキャナ装置やプリント装置と接続され、そのスキャナ装置より読取られた画像データを受け付ける処理を行い、また、そのプリント装置に対してそこで印刷出力する画像データを送る処理を行う。

文書画像操作部１３２は、画像形成装置１３０で処理される文書画像に対して、ＩＤ抽出、ＩＤ生成、ＩＤ埋め込み等の処理を行う。

また、文書画像操作部１３２は、文書ＩＤ抽出部１４０、文書ＩＤ生成部１４１、文書ＩＤ埋め込み部１４２を有する。

文書ＩＤ抽出部１４０は、画像形成装置１３０が有するスキャナ装置から保護文書を読み取り、該保護紙文書に印刷された地紋を解析してその保護紙文書に付与された文書ＩＤを抽出する。

文書ＩＤ生成部１４１は、保護文書に付与される文書ＩＤを生成する。

また、文書ＩＤ生成部１４１は、保護文書から派生して生成される保護文書に付与する文書ＩＤだけではなく、新規に第１世代として保護文書が生成された場合にも、その第１世代の保護文書に付与する文書ＩＤを生成する。

文書ＩＤ埋め込み部１４２は、図示しないプリント装置で印刷される保護紙文書に文書ＩＤが地紋として印刷されるように、保護紙文書として印刷される画像データに文書ＩＤ生成部１４１が生成した文書ＩＤを埋め込む処理を行う。

利用制御情報問い合わせ部１３３は、保護文書が画像形成装置１３０で操作される際に、画像形成装置１３０を操作するユーザに許されるその保護文書の操作範囲をポリシーサーバ１５０に問い合わせる処理を行う。

利用制御情報問い合わせ部１３３によって問い合わせが行われたポリシーサーバ１５０は、操作範囲が記載された利用制御情報を画像形成装置１３０に返す。

利用許可情報問い合わせ部１３４は、ユーザが所望する画像形成装置１３０の操作が図示しないスキャナ装置に配置された保護文書に対して許可されているか否かを、ポリシーサーバ１５０に問い合わせる処理を行う。

利用許可情報問い合わせ部１３４によって問い合わせが行われたポリシーサーバ１５０は、問い合わせられた操作が許可されるか否かを画像形成装置１３０に返す。

派生情報送信部１３５は、画像形成装置１３０が操作されて、文書ＩＤ生成部１４１によって生成された文書ＩＤが付与された新しい保護文書が生成されると、元の保護文書の文書ＩＤと新規の保護文書の文書ＩＤとが含まれる派生情報をポリシーサーバ１５０に送信する。

ユーザ認証問い合わせ部１３６は、ユーザＩＤやパスワード等のユーザ認証情報を、ユーザ認証サーバ１６０に送信して、正しく認証されたか否かの結果を受け取る。

サービスクライアントＩＦ１３７は、ポリシーサーバ１５０やユーザ認証サーバ１６０と情報の授受を行う。

文書データ記憶部１３８は、画像形成装置１３０で操作される文書を記憶する。

利用制御情報記憶部１３９は、ポリシーサーバ１５０より送られる利用制御情報を記憶する。

また、ポリシーサーバ１５０は、文書操作アプリケーション１１０や画像形成装置１３０に保護文書の利用制御情報や利用許可情報などを送信する。

ポリシーサーバ１５０は、サービスＩＦ１５１、セキュリティポリシーＤＢ１５２、新規ポリシー生成部１５３、利用者制御情報生成部１５４、適用ポリシー検索部１５５、利用許可情報生成部１５６、派生情報処理部１５７、保護文書派生関係ＤＢ１５８を備える。

サービスＩＦ１５１は、文書操作アプリケーション１１０が動作するパーソナルコンピュータや、画像形成装置１３０と情報の授受を行う。

セキュリティポリシーＤＢ１５２は、ポリシーテンプレートとセキュリティポリシーとを記憶する。

その際、ポリシーテンプレートの識別情報がテンプレートＩＤとしてポリシーテンプレートに記憶され、また、セキュリティポリシーの識別情報がポリシーＩＤとしてセキュリティポリシーに記憶される。

新規ポリシー生成部１５３は、文書操作アプリケーション１１０或いは画像形成装置１３０で新規に生成された保護文書に対応付けるセキュリティポリシーを生成する処理や、また、派生結果の保護文書に対応付けるセキュリティポリシーを生成する処理を行う。

利用制御情報生成部１５４は、文書操作アプリケーション１１０或いは画像形成装置１３０より送信されたユーザＩＤと文書ＩＤとに基づき、その文書ＩＤが記載されるセキュリティポリシーに従って、そのユーザＩＤのユーザがその文書ＩＤの保護文書に許される操作範囲を記載した利用制御情報を生成する。

利用制御情報生成部１５４で生成された利用制御情報は、サービスＩＦ１５１より、ユーザＩＤと文書ＩＤとを送信した文書操作アプリケーション１１０或いは画像形成装置１３０に送信される。

適用ポリシー検索部１５５は、利用制御情報生成部１５４或いは利用許可情報生成部１５６より送られる文書ＩＤに基づいて、その文書ＩＤが記載されるセキュリティポリシー、或いは、その文書ＩＤの保護文書にはセキュリティポリシーが対応付けられていない場合にはその文書ＩＤの保護文書からさかのぼる派生関係の保護文書に対応付けられているセキュリティポリシーを検索する。

セキュリティポリシーが検索される際には、適用ポリシー検索部１５５は、送られた文書ＩＤに対応付けられているセキュリティポリシーをセキュリティポリシーＤＢ１５２より検索する。その結果、送られた文書ＩＤに対応付けられているセキュリティポリシーが存在しない場合には、送られた文書ＩＤの保護文書からさかのぼる派生関係の保護文書であってセキュリティポリシーが対応付けられている文書のセキュリティポリシーを探す。

利用許可情報生成部１５６は、文書操作アプリケーション１１０或いは画像形成装置１３０より送信される操作内容が許可されるか否かの利用許可情報を生成する。

利用許可情報生成部１５６で生成された利用許可情報は、サービスＩＦ１５１より、操作内容の許可を問い合わせた文書操作アプリケーション１１０或いは画像形成装置１３０に送信される。

派生情報処理部１５７は、文書操作アプリケーション１１０或いは画像形成装置１３０より送られる派生元の保護文書の文書ＩＤと派生結果の保護文書の文書ＩＤとを、派生関係が明確になるように保護文書派生関係ＤＢ１５８に記憶させる。

保護文書派生関係ＤＢ１５８は、文書操作アプリケーション１１０或いは画像形成装置１３０より送信されて派生情報処理部１５７より送られる派生元の保護文書の文書ＩＤと派生結果の保護文書の文書ＩＤとを、派生関係が明確になるように記憶する。

また、ユーザ認証サーバ１６０は、文書操作アプリケーション１１０や画像形成装置１３０のユーザを認証するサーバである。

ユーザ認証サーバ１６０は、文書操作アプリケーション１１０や画像形成装置１３０から送られたユーザＩＤとパスワードとを受け付け、ユーザ認証サーバ１６０内に記憶される情報よりユーザ認証を行い、その結果を、情報を送った文書操作アプリケーション１１０或いは画像形成装置１３０に送信する。

このように構成される文書管理システム２００では、文書操作アプリケーション１１０或いは画像形成装置１３０で、電子文書か紙文書が生成され、生成された文書には文書管理システム２００における保護文書として文書ＩＤが付与され、保護電子文書や保護紙文書とされる。

生成された文書ＩＤは、文書ＩＤの保護文書に対応付けられるセキュリティポリシーに記載されて、そのセキュリティポリシーがポリシーサーバ１５０に記憶される。

このように生成された第１世代の保護文書に対して、文書操作アプリケーション１１０或いは画像形成装置１３０でコピーや編集などの操作が行われると、コピーや編集などの操作によって新たに生成された文書は、第１世代からの派生結果となる第２世代の保護文書である。

その時、第２世代の保護文書が生成された文書操作アプリケーション１１０或いは画像形成装置１３０で、派生元である第１世代の保護文書の文書ＩＤとは異なる文書ＩＤが第２世代の保護文書に付与される。

派生結果の保護文書に文書ＩＤが付与されると、派生元の保護文書の文書ＩＤと新しく生成された派生結果の保護文書の文書ＩＤとが、派生結果の保護文書が生成された文書操作アプリケーション１１０或いは画像形成装置１３０からポリシーサーバ１５０に送られる。

派生元の保護文書の文書ＩＤと派生結果の保護文書の文書ＩＤとを受信したポリシーサーバ１５０は、派生元と派生結果との派生関係が明確になるように、派生元の保護文書の文書ＩＤと派生結果の保護文書の文書ＩＤとを保護文書派生関係ＤＢ１５８に記憶する。

本実施例の文書管理システム２００は、実施例１の文書管理システム１００とは異なり、派生結果の保護文書に対して必ずしもセキュリティポリシーが対応付けられるわけではない。

文書管理システム２００のポリシーサーバ１５０では、派生元の保護文書と派生結果の保護文書との派生関係が保護文書派生関係ＤＢ１５８に記憶されるが、派生結果の保護文書に対して対応付けられるセキュリティポリシーが必ず生成されるわけではなく、文書操作アプリケーション１１０或いは画像形成装置１３０を操作するユーザが所望する場合にだけ派生結果の保護文書に対応付けられるセキュリティポリシーが生成される。

文書管理システム２００で使用されるポリシーテンプレートとセキュリティポリシーの説明は、実施例１で図２、３を参照して説明した説明と同様であるので、重複を避けるため省略する。

次に、文書管理システム２００における保護文書の派生関係と、保護文書に対応付けられるセキュリティポリシーについての説明を図１３を参照して行う。

図１３は、文書管理システム２００で生成される保護文書の派生関係と、保護文書に対応付けられるセキュリティポリシーの例について示した模式図である。

図１３に示すように、文書操作アプリケーション１１０或いは画像形成装置１３０より第１世代の保護文書（参照番号１３０１）が生成されて、その第１世代の保護文書にはセキュリティポリシーが対応付けられている（参照番号１３０２）。

本実施例では、実施例１とは異なり、派生結果の保護文書に対して必ずしもセキュリティポリシーが対応付けられるわけではない。

第１世代の保護文書より派生して生成された第２世代の保護文書には（参照番号１３０３、１３０４）、セキュリティポリシーが対応付けられていない。

第２世代の保護文書より派生して生成された第３世代の保護文書には、セキュリティポリシーが対応付けられた保護文書（参照番号１３０５、１３０６）と、セキュリティポリシーが対応付けられていない保護文書（参照番号１３０７）が存在している。

このように、文書管理システム２００では、生成されるすべての保護文書に対してセキュリティポリシーが対応付けられるのではない。

文書管理システム２００で生成される保護文書にセキュリティポリシーが対応付けられる場合は、文書操作アプリケーション１１０を操作するユーザであって保護文書の生成を指示したユーザ、或いは、画像形成装置１３０を操作するユーザであって保護文書の生成を指示したユーザが、生成された保護文書にセキュリティポリシーが対応付けられることを所望する場合に限られる。

ユーザが生成された保護文書にセキュリティポリシーが対応付けられることを所望する場合は、ユーザがテンプレート選択部１１６より新たなポリシーテンプレートを選択して、そのポリシーテンプレートを元にセキュリティポリシーが生成される適用される場合である。

次に、文書管理システム２００における情報のやり取りについて、ポリシーサーバ１５０が文書操作アプリケーション１１０や画像形成装置１３０に利用制御情報を送信する場合について、図１４を参照して説明を行う。

図１４は、利用制御情報の問い合わせが行われる場合の文書管理システム２００での情報のやり取りを示したシーケンス図である。

図１４に示すように、保護文書が利用される文書操作アプリケーション１１０或いは画像形成装置１３０でユーザ認証操作が行われて、ユーザ認証情報がユーザ認証サーバ１６０に送られる（ステップ１４０１）。

ユーザ認証サーバ１６０で認証が行われると、その認証結果が、ユーザ認証サーバ１６０からユーザ認証操作が行われた文書操作アプリケーション１１０或いは画像形成装置１３０に送られる（ステップ１４０２）。

そして、文書操作アプリケーション１１０或いは画像形成装置１３０からポリシーサーバ１５０に、取り扱われる保護文書の文書ＩＤと取り扱うユーザのユーザＩＤが送られる（ステップ１４０３）。

ポリシーサーバ１５０では、送られた文書ＩＤの保護文書に適用されるセキュリティポリシーが検索される。

本実施例では実施例１とは異なり、ポリシーサーバ１５０に送られた文書ＩＤの保護文書にセキュリティポリシーが対応付けられていない場合もあるので、そのような場合には送られた文書ＩＤの派生関係をさかのぼって、送られた文書ＩＤの保護文書からさかのぼる派生関係の保護文書であってセキュリティポリシーが対応付けられている保護文書の検索が行われる。

送られた文書ＩＤの保護文書からさかのぼる派生関係の保護文書であってセキュリティポリシーが対応付けられている保護文書が見つけられると、その保護文書に対応付けられているセキュリティポリシーが、ステップ１４０３で送られた文書ＩＤの保護文書に適用されるセキュリティポリシーとされる。

そして、ステップ１４０３で送られた文書ＩＤの保護文書に適用されるセキュリティポリシーに基づいて、ステップ１４０３で送られたユーザＩＤのユーザに許される操作範囲を示す利用制御情報がポリシーサーバ１５０で生成される。

ポリシーサーバ１５０で生成された利用制御情報は、文書ＩＤとユーザＩＤとを送った文書操作アプリケーション１１０或いは画像形成装置１３０に送信される（ステップ１４０４）。

利用制御情報は、実施例１において図６を参照して説明したようにＸＭＬ形式で記述されている。

利用制御情報が送られた文書操作アプリケーション１１０或いは画像形成装置１３０は、受信した利用制御情報を記憶し、その利用制御情報に基づいて制御が行れ各種操作が実行される。

そして、各種操作が実行されて派生結果となる新しい保護文書が生成されると、派生元と派生結果に関する派生情報が、操作が行われた文書操作アプリケーション１１０或いは画像形成装置１３０からポリシーサーバ１５０に送信される（ステップ１４０５）。

ステップ１４０５で送信される派生情報は、派生元となった保護文書の文書ＩＤと派生結果である保護文書の文書ＩＤとが含まれる。

派生情報が送信されたポリシーサーバ１５０では、派生関係が明確になるように、派生元と派生結果の保護文書の文書ＩＤが記憶される。

また、ユーザが派生した保護文書に対応付けるセキュリティポリシーの雛形であるポリシーテンプレートを新しく選択した場合には、ステップ１４０５で派生元の保護文書の文書ＩＤと派生結果の保護文書の文書ＩＤに加えて選択されたポリシーテンプレートのテンプレートＩＤもポリシーサーバ５０に送信される。

そして、テンプレートＩＤを受信したポリシーサーバ１５０は、そのテンプレートＩＤのポリシーテンプレートに基づいてセキュリティポリシーを生成し、生成したセキュリティポリシーに派生結果の保護文書の文書ＩＤを記載して、セキュリティポリシーＤＢ１５２に記憶する。

次に、ポリシーサーバ１５０に利用制御情報の問い合わせが行われる場合に文書操作アプリケーション１１０或いは画像形成装置１３０で行われる処理についての説明は、実施例１において図７を参照して説明した文書操作アプリケーション１０或いは画像形成装置３０における処理の説明と同様であるので、重複を避けるため省略する。

図７を参照して説明した内容は、文書操作アプリケーション１１０或いは画像形成装置１３０と参照番号が異なる場合でも、構成要素の名前（例えば、ポリシーサーバ、利用制御情報記憶部など）が一致していればその構成要素を指すものとして説明される（但し、図５のステップ５０１、５０２、５０３、５０４、５０５は、図１４のステップ１４０１、１４０２、１４０３、１４０４、１４０５に置き換わる）。

次に、ポリシーサーバ１５０に利用制御情報の問い合わせが行われる場合に、ポリシーサーバ１５０で行われる処理について図１５を参照して説明を行う。

図１５は、文書操作アプリケーション１１０或いは画像形成装置１３０からポリシーサーバ１５０に利用制御情報の問い合わせが行われる場合に、ポリシーサーバ１５０で行われる処理について示したフローチャートである。

まず、ポリシーサーバ１５０が文書操作アプリケーション１１０或いは画像形成装置１３０から利用制御情報の問い合わせを受け付ける（図１４では、ステップ１４０３に相当）。

利用制御情報の問い合わせにポリシーサーバ１５０に送られる情報には、ユーザＩＤと文書ＩＤとが含まれる。

ポリシーサーバ１５０のサービスＩＦ１５１が利用制御情報の問い合わせを受け付けると、利用制御情報生成部１５４が、適用ポリシー検索部１５５に、受け付けた文書ＩＤに適用されるセキュリティポリシーを検索するよう促す。

適用ポリシー検索部１５５は、サービスＩＦ１５１が受け付けた文書ＩＤを検索対象の文書ＩＤにセットして（ステップ１５０１）、検索対象の文書ＩＤの保護文書に対応付けられているセキュリティポリシーをセキュリティポリシーＤＢ１５２より検索する（ステップ１５０２）。

ステップ１５０２で検索された結果、検索対象の文書ＩＤの保護文書に対応付けられたセキュリティポリシーがセキュリティＤＢ１５２に存在しない場合には（ステップ１５０２でＮＯ）、適用ポリシー検索部１５５は、保護文書派生関係ＤＢ１５８を探索して、検索対象の文書ＩＤの保護文書に派生元文書が存在するかどうかを調べる。

その結果、該当する保護文書の文書ＩＤが見つからなかった場合には（ステップ１５０３でＮＯ）、サービスＩＦ１５１から、問い合わせを行った文書操作アプリケーション１１０或いは画像形成装置１３０に、利用制御情報を送付できない旨のエラー情報を送信する（ステップ１５０４）。

また、該当する保護文書が見つかった場合には（ステップ１５０３でＹＥＳ）、適用ポリシー検索部１５５は、見つかった保護文書の文書ＩＤに対して、対応するセキュリティポリシーが存在するかどうかをセキュリティポリシーＤＢ１５２から探索する（ステップ１５０２）。

そして、適用ポリシー検索部１５５がセキュリティポリシーＤＢ１５２より、検索対象とされた文書ＩＤの保護文書に対応付けられているセキュリティポリシーを見つけると（ステップ１５０２でＹＥＳ）、そのセキュリティポリシーを利用制御情報生成部１５４に送る（ステップ１５０６）。

セキュリティポリシーが送られた利用制御情報生成部１５４は、ステップ１５０６で送られたセキュリティポリシーに基づき、問い合わされたユーザＩＤのユーザが問い合わされた文書ＩＤの保護文書に対して何らかの操作が許されているか否かを確認する（ステップ１５０７）。

確認の結果、何らの操作も許されない場合には（ステップ１５０７でＮＯ）、利用制御情報の問い合わせを行った文書操作アプリケーション１１０或いは画像形成装置１３０に、ポリシーサーバ１５０からエラー情報が送信される。

また、確認の結果、何らかの操作が許される場合には（ステップ１５０７でＹＥＳ）、利用制御情報生成部１５４は、許される操作範囲を示す利用制御情報を生成する（ステップ１５０９）。

そして、サービスＩＦ１５１より、ステップ１５０９で生成された利用制御情報が、問い合わせを行った文書操作アプリケーション１１０或いは画像形成装置１３０に送信される（ステップ１５１０、図１４ではステップ１４０４に相当）。

利用制御情報が送信された結果、文書操作アプリケーション１１０或いは画像形成装置１３０で操作が行われて、派生結果となる新しい保護文書が生成されると、ポリシーサーバ１５０に新しい保護文書に関する派生情報が送信される（図１４ではステップ１４０５に相当）。

派生情報には、派生元の保護文書の文書ＩＤと派生結果の保護文書の文書ＩＤとが含まれる。

また、派生情報には、ユーザが派生結果の保護文書に新たにセキュリティポリシーを対応付けることを所望する場合にはポリシーテンプレートのテンプレートＩＤが含まれる場合がある。

派生情報を受信したポリシーサーバ１５０では、派生情報にテンプレートＩＤが含まれているか否かが確認される（ステップ１５１１）。

派生情報にテンプレートＩＤが含まれていない場合には（ステップ１５１１でＮＯ）、派生情報処理部１５７が、派生元と派生結果の派生関係が明確になるように、派生元の保護文書の文書ＩＤと派生結果の保護文書の文書ＩＤとを保護文書派生関係ＤＢ１５８に記憶する（ステップ１５１２）。

また、派生情報にテンプレートＩＤが含まれている場合には（ステップ１５１１でＹＥＳ）、新規ポリシー生成部１５３がセキュリティポリシーＤＢより派生情報に含まれるテンプレートＩＤのポリシーテンプレートを検索して、そのポリシーテンプレートを元にセキュリティポリシーを生成する（ステップ１５１３）。

セキュリティポリシーが生成されると、生成されたセキュリティポリシーに派生結果の保護文書の文書ＩＤが記載されてセキュリティポリシーＤＢ１５２に記憶される（ステップ１５１３）。

次に、文書管理システム２００における情報のやり取りについて、文書操作アプリケーション１１０或いは画像形成装置１３０からポリシーサーバ１５０に、利用制御情報問い合わせではなく利用許可情報問い合わせが行われる場合について、図１６を参照して説明を行う。

図１６は、利用許可情報の問い合わせが行われる場合の文書管理システム２００での情報のやり取りを示したシーケンス図である。

図１６に示すように、保護文書が利用される文書操作アプリケーション１１０或いは画像形成装置１３０でユーザ認証操作が行われて、ユーザ認証情報がユーザ認証サーバ１６０に送られる（ステップ１６０１）。

ユーザ認証サーバ１６０で認証が行われると、その認証結果が、ユーザ認証サーバ１６０からユーザ認証操作が行われた文書操作アプリケーション１１０或いは画像形成装置１３０に送られる（ステップ１６０２）。

次には、文書操作アプリケーション１１０或いは画像形成装置１３０からポリシーサーバ１５０に利用許可情報問い合わせとして、文書操作アプリケーション１１０或いは画像形成装置１３０で取り扱われる保護文書の文書ＩＤと取り扱うユーザのユーザＩＤとユーザが所望する操作内容とが送られる（ステップ１６０３）。

図１４を参照して説明した利用制御情報の問い合わせとは違って、利用許可情報の問い合わせの場合には、ユーザが所望する操作内容が許可されるか否かをポリシーサーバ１５０に問い合わせる形式となる。

保護文書の文書ＩＤとユーザＩＤとユーザ所望の操作内容が送られたポリシーサーバ１５０では、受け付けた文書ＩＤの保護文書に適用されるセキュリティポリシーが検索される。

本実施例では実施例１とは異なり、ポリシーサーバ１５０に送られた文書ＩＤの保護文書にセキュリティポリシーが対応付けられていない場合もあるので、そのような場合には、送られた文書ＩＤの派生関係をさかのぼって、セキュリティポリシーが対応付けられている保護文書の検索が行われる（例えば、図１３の例では、参照番号１３０７の保護文書からさかのぼる派生関係であってセキュリティポリシーが対応付けられた保護文書は、参照番号１３０１の保護文書となる）。

送られた文書ＩＤの保護文書からさかのぼる派生関係の保護文書であってセキュリティポリシーが対応付けられている保護文書が見つけられると、その保護文書に対応付けられているセキュリティポリシーが、ステップ１６０３で送られた文書ＩＤの保護文書に適用されるセキュリティポリシーとされる。

そして、そのセキュリティポリシーに基づいて、ステップ１６０３で送られたユーザＩＤのユーザにステップ１６０３で送られた操作内容が許されるか否かがポリシーサーバ１５０で確認される。

確認が行われると、確認された結果が、問い合わせを行った文書操作アプリケーション１１０或いは画像形成装置１３０に送信される（ステップ１６０４）。

確認された結果が許可或いはエラー情報として送信された文書操作アプリケーション１１０或いは画像形成装置１３０では、確認結果の内容に従って操作が制御される。

ユーザ所望の操作が許可された場合には、文書操作アプリケーション１１０或いは画像形成装置１３０で保護文書を操作する処理が行われ、その操作によって派生結果となる新たな保護文書が生成された場合には、派生元の保護文書の文書ＩＤと派生結果の保護文書の文書ＩＤとが含まれる派生情報が、操作が行われた文書操作アプリケーション１１０或いは画像形成装置１３０からポリシーサーバ１５０に送られる（ステップ１６０５）。

派生情報が送信されたポリシーサーバ１５０では、派生関係が明確になるように、派生元と派生結果との保護文書の文書ＩＤが記憶される。

また、ユーザが派生した保護文書に対応付けるセキュリティポリシーの雛形であるポリシーテンプレートを新しく選択した場合には、ステップ１６０５で派生元の保護文書の文書ＩＤと派生結果の保護文書の文書ＩＤに加えて選択されたポリシーテンプレートのテンプレートＩＤもポリシーサーバ１５０に送信される。

次に、ポリシーサーバ１５０に利用許可情報の問い合わせが行われる場合に文書操作アプリケーション１１０或いは画像形成装置１３０で行われる処理についての説明は、実施例１において図１０を参照して説明した文書操作アプリケーション１０或いは画像形成装置３０における処理の説明と同様であるので、重複を避けるため省略する。

図１０を参照して説明した内容は、文書操作アプリケーション１１０或いは画像形成装置１３０と参照番号が異なる場合でも、構成要素の名前（例えば、ポリシーサーバ、利用許可情報問い合わせ部など）が一致していればその構成要素を指すものとして説明される（但し、図９のステップ９０１、９０３、９０５は、図１６のステップ１６０１、１６０３、１６０５に置き換わる）。

次に、文書操作アプリケーション１１０或いは画像形成装置１３０からポリシーサーバ１５０に利用許可情報の問い合わせが行われる場合に、ポリシーサーバ１５０で行われる処理について図１７を参照して説明を行う。

図１７は、文書操作アプリケーション１１０或いは画像形成装置１３０からポリシーサーバ１５０に利用許可情報の問い合わせが行われる場合に、ポリシーサーバ１５０で行われる処理について示したフローチャートである。

まず、ポリシーサーバ１５０が文書操作アプリケーション１１０或いは画像形成装置１３０から利用許可情報の問い合わせを受け付ける（図１６では、ステップ１６０３に相当）。

利用許可情報の問い合わせには、ユーザＩＤと文書ＩＤとユーザ所望の操作内容とが送られる。

ポリシーサーバ１５０のサービスＩＦ１５１が利用許可情報の問い合わせを受け付けると、利用許可情報生成部１５６が、適用ポリシー検索部１５５に、受け付けた文書ＩＤに適用されるセキュリティポリシーを検索するよう促す。

適用ポリシー検索部１５５は、サービスＩＦ１５１が受け付けた文書ＩＤを検索対象の文書ＩＤにセットして（ステップ１７０１）、検索対象の文書ＩＤの保護文書に対応付けられているセキュリティポリシーをセキュリティポリシーＤＢ１５２より検索する（ステップ１７０２）。

ステップ１７０２で検索された結果、検索対象の文書ＩＤの保護文書に対応付けられたセキュリティポリシーがセキュリティＤＢ１５２に存在しない場合には（ステップ１７０２でＮＯ）、適用ポリシー検索部１５５は、保護文書派生関係ＤＢ１５８を探索して、検索対象の文書ＩＤの保護文書に派生元文書が存在するかどうかを調べる。

その結果、該当する保護文書の文書ＩＤが見つからなかった場合には（ステップ１７０３でＮＯ）、サービスＩＦ１５１から、問い合わせを行った文書操作アプリケーション１１０或いは画像形成装置１３０に、エラー情報が送信される（ステップ１７０４）。

エラー情報を受信した文書操作アプリケーション１１０或いは画像形成装置１３０は、問い合わせを行った文書ＩＤの保護文書に対する所望の操作内容は許可されなかったとして、エラー表示を行う。

また、該当する保護文書が見つかった場合には（ステップ１７０３でＹＥＳ）、適用ポリシー検索部１５５は、見つかった保護文書の文書ＩＤに対して、対応するセキュリティポリシーが存在するかどうかをセキュリティポリシーＤＢ１５２から探索する（ステップ１７０２）。

そして、適用ポリシー検索部１５５がセキュリティポリシーＤＢ１５２より、検索対象とされた文書ＩＤの保護文書に対応付けられているセキュリティポリシーを見つけると（ステップ１７０２でＹＥＳ）、そのセキュリティポリシーを利用許可情報生成部１５６に送る（ステップ１７０６）。

セキュリティポリシーが送られた利用許可情報生成部１５６は、ステップ１７０６で送られたセキュリティポリシーに基づき、文書操作アプリケーション１１０或いは画像形成装置１３０より問い合わされたユーザＩＤのユーザが問い合わされた文書ＩＤの保護文書に対して何らかの操作が許されているか否かを確認する（ステップ１７０７）。

確認の結果、何らの操作も許されない場合には（ステップ１７０７でＮＯ）、利用許可情報の問い合わせを行った文書操作アプリケーション１１０或いは画像形成装置１３０に、エラー情報が送信される。

また、確認の結果、何らかの操作が許される場合には（ステップ１７０７でＹＥＳ）、利用許可情報生成部１５６は、許される操作範囲を示す利用許可情報を生成する（ステップ１７０９）。

そして、サービスＩＦ１５１より、ステップ１７０９で生成された利用許可情報が、問い合わせを行った文書操作アプリケーション１１０或いは画像形成装置１３０に送信される（ステップ１７１０、図１６ではステップ１６０４に相当）。

利用許可情報が送信された結果、文書操作アプリケーション１１０或いは画像形成装置１３０で操作が行われて、派生結果となる新しい保護文書が生成されると、ポリシーサーバ１５０に新しい保護文書に関する派生情報が送信される（図１６ではステップ１６０５に相当）。

派生情報には、派生元の保護文書の文書ＩＤと派生結果の保護文書の文書ＩＤが含まれる。

利用許可情報の問い合わせが行われる場合に、文書操作アプリケーション１１０或いは画像形成装置１３０で派生する新しい保護文書が生成された後、派生情報を受信したポリシーサーバ１５０で行われる処理は、図１５を参照して説明した利用制御情報の問い合わせが行われる場合の派生情報を受信したポリシーサーバ１５０の処理（ステップ１５１１乃至１５１４）と同じであるので、重複を避けるため説明は省略する。

なお、画像形成装置１３０で印刷される保護紙文書には地紋として文書ＩＤが印刷されるように説明したが、地紋印刷ではなくて、用紙に印刷するバーコードや用紙に付与するＲＦＩＤにより保護紙文書に文書ＩＤを付与するようにしてもよい。

なお、文書管理システム２００において、文書操作アプリケーション１１０或いは画像形成装置１３０で派生結果となる新しい保護文書が生成された場合には（ステップ７１２でＹＥＳまたはステップ１００９でＹＥＳの場合）文書操作アプリケーション１１０或いは画像形成装置１３０からポリシーサーバ１５０に派生情報を送信するように説明したが、そうではなくて、文書管理システム２００内に保護文書の利用履歴を記録する履歴サーバを設置して、文書操作アプリケーション１１０或いは画像形成装置１３０から送信する派生情報の送信先はポリシーサーバ１５０ではなくその履歴サーバにするように構成することもできる。

文書管理システム１００がそのように構成された場合には、文書管理システム１００内に設置された履歴サーバが派生情報を受信するとその履歴サーバがポリシーサーバ１５０に派生情報を送信するように構成されるか、或いは、ポリシーサーバ１５０が履歴サーバに新たな派生情報の発生を問い合わせた後に、履歴サーバからポリシーサーバ１５０に派生情報が送られるように構成される。

なお、文書データ記憶部１１９に記憶される保護電子文書が復号された後に行われる閲覧、編集、印刷等の操作は保護文書操作部１１２で行われるように説明したが、復号された保護電子文書の閲覧、編集、印刷等の操作は文書操作アプリケーション１１０とは異なる文書操作専用のアプリケーションによって処理が行われるように構成されてもよい。

その際には、復号された保護文書のファイル化は、文書操作専用のアプリケーションによって不可能であって、文書操作アプリケーション１１０の保護文書操作部１１２の文書暗号化部１２２によって行われる。

なお、画像形成装置１３０に設置される図示しないスキャナ装置に地紋印刷された保護文書がスキャンされて、その地紋より文書ＩＤが読取られ、画像形成装置１３０から文書操作アプリケーション１１０にその保護文書の画像データと文書ＩＤとが送られて文書操作アプリケーションで処理が行われることも可能である。

なお、本実施例では、ユーザの認証のために、文書操作アプリケーション１１０や画像形成装置１３０に対して、ユーザがユーザＩＤとパスワードを入力するものとして説明したが、ユーザが所持する個人認証用のＩＣカードを使用してもよい。この場合、文書操作アプリケーション１１０や画像形成装置１３０にＩＣカードリーダを接続し、ユーザが所持するＩＣカードから認証データを取得し、その認証データをユーザ認証サーバに送る。

なお、本実施例では、保護文書が新たに派生した場合、新しい保護文書に付与される文書ＩＤは、文書操作アプリケーション１１０、あるいは、画像形成装置１３０で生成され、派生元の保護文書の文書ＩＤと派生結果の保護文書の文書ＩＤが、文書操作アプリケーション１１０、あるいは、画像形成装置１３０から、ポリシーサーバ１５０に送付されるように構成されている。これとは異なり、派生結果の文書ＩＤがポリシーサーバ１５０で生成され、その文書ＩＤが、文書操作アプリケーション１１０、あるいは、画像形成装置１３０に送付され、文書操作アプリケーション１１０、あるいは、画像形成装置１３０で、派生結果の保護文書に付与されるよう構成してもよい。この場合、派生元の保護文書の文書ＩＤと派生結果の保護文書の文書ＩＤの関係は、ポリシーサーバ１５０内部で生成されるので、この情報が、文書操作アプリケーション１１０、あるいは、画像形成装置１３０からポリシーサーバ１５０に送られることはない。

また、上記実施例では、ポリシーサーバに文書管理プログラムを実装し、該プログラムに基づき、該ポリシーサーバの各種処理手段を機能させることとしているが、当該文書管理プログラムをＣＤＲＯＭ等の記憶媒体に格納して提供するようにしても良い。

この発明は、文書管理システムおよびプログラムにおいて利用可能である。

この発明によれば、セキュリティポリシーが対応付けられている保護文書だけでなくその保護文書の派生結果として新たに生成される文書に対しても、自動的に文書ＩＤが付与されてセキュリティポリシーによる操作の制限が課された保護文書として管理されるようにすることができる。

文書管理システム１００を示すシステム構成図。ポリシーテンプレートを示した表。セキュリティポリシーを示した表。保護文書の派生関係を示した模式図。利用制御情報の問い合わせが行われる場合に、文書管理システム１００で行われる情報のやり取りを示したシーケンス図。利用制御情報を示した図。利用制御情報の問い合わせが行われる場合に、文書操作アプリケーション１０或いは画像形成装置３０で行われる処理について示したフローチャート。利用制御情報の問い合わせが行われる場合に、ポリシーサーバ５０で行われる処理を示したフローチャート。利用許可情報の問い合わせが行われる場合に、文書管理システム１００で行われる情報のやり取りを示したシーケンス図。利用許可情報の問い合わせが行われる場合に、文書操作アプリケーション１０或いは画像形成装置３０で行われる処理について示したフローチャート。利用許可情報の問い合わせが行われる場合に、ポリシーサーバ５０で行われる処理について示したフローチャート。文書管理システム２００を示すシステム構成図。保護文書の派生関係と、対応付けられているセキュリティポリシーについて示した模式図。利用制御情報の問い合わせが行われる場合に、文書管理システム２００で行われる情報のやり取りを示したシーケンス図。利用制御情報の問い合わせが行われる場合に、ポリシーサーバ１５０で行われる処理を示したフローチャート。利用許可情報の問い合わせが行われる場合に、文書管理システム２００で行われる情報のやり取りを示したシーケンス図。利用許可情報の問い合わせが行われる場合に、ポリシーサーバ１５０で行われる処理について示したフローチャート。

符号の説明

１通信回線
１０文書操作アプリケーション
３０画像形成装置
５０ポリシーサーバ
７０ユーザ認証サーバ
１００文書管理システム
１０１通信回線
１１０文書操作アプリケーション
１３０画像形成装置
１５０ポリシーサーバ
１６０ユーザ認証サーバ
４０１、４０２保護文書
４０３セキュリティポリシー
１３０１、１３０３、１３０４、１３０５、１３０６、１３０７保護文書
１３０２セキュリティポリシー

Claims

文書識別情報で特定される文書に対して許容される利用制限を規定した利用制限情報を該文書識別情報に対応して記憶する記憶手段と、
文書の利用者の認証を行う認証手段と、
前記利用者により操作される文書に付与された文書識別情報に基づいて当該文書の利用制限情報を前記記憶手段から検索する検索手段と、
前記検索手段によって検索された前記利用制限情報に基づいて前記認証手段によって正当性が確認された利用者の当該文書に対する操作を制限する制限手段と、
前記文書の前記制限手段により制限された操作により当該文書から派生する新たな文書が生成された場合は、該新たな文書に新たな文書識別情報を付与する付与手段と、
前記付与手段により新たな文書識別情報が付与された文書の派生元文書の利用制限情報に対応する利用制限情報を生成する生成手段と、
前記付与手段により付与された文書識別情報に対応して前記生成手段により生成した新たな利用制限情報を前記記憶手段に記憶する記憶制御手段と
を具備する文書管理システム。
文書識別情報で特定される文書に対して許容される利用制限を規定した利用制限情報を該文書識別情報に対応して記憶するとともに、前記利用制限情報により操作が制限される操作により当該文書から派生した文書の文書識別情報および該文書の元文書との派生関係を記憶する記憶手段と、
文書の利用者の認証を行う認証手段と、
前記利用者により操作される文書に付与された識別情報に基づいて当該文書の利用制限情報を前記記憶手段に記憶された利用制限情報および当該文書の派生関係から特定する特定手段と、
前記特定手段によって特定された前記利用制限情報に基づいて前記認証手段によって正当性が確認された利用者の当該文書に対する操作を制限する制限手段と、
前記文書の前記制限手段によリ制限された操作により当該文書から派生する新たな文書が生成された場合は、該新たな文書に新たな文書識別情報を付与する付与手段と、
前記付与手段により付与された文書識別情報に対応して該文書識別情報が付与された文書の元文書に対する派生関係を前記記憶手段に記憶する記憶制御手段と
を具備する文書管理システム。
文書識別情報で特定される文書に対して許容される利用制限を規定した利用制限情報を管理する制限情報管理装置に、前記利用者の識別情報と前記利用者により操作される文書に付与された文書識別情報とを送信する送信手段と、
前記制限情報管理装置から送信される情報に基づいて利用者の当該文書に対する操作を制限する制限手段と、
前記文書の前記制限手段により制限された操作により当該文書から派生する新たな文書が生成された場合は、該新たな文書に新たな文書識別情報を付与する付与手段と、
前記制限情報管理装置に、派生元の当該文書の文書識別情報と派生結果の該文書の文書識別情報とを送信する文書識別情報送信手段と
して機能させる文書管理装置。
文書識別情報で特定される文書に対して許容される利用制限を規定した利用制限情報を該文書識別情報に対応して記憶する記憶手段と、
文書の管理が行われる文書管理装置より、操作される文書に付与された文書識別情報と当該文書の利用者の識別情報とを少なくとも受信する受信手段と、
前記受信手段により受信した文書識別情報に基づいて当該文書の利用制限情報を前記記憶手段から検索する検索手段と、
前記検索手段によって検索された前記利用制限情報に基づいて前記受信手段で受信した利用者の当該文書に対する操作制御情報を前記文書管理装置に送信する送信手段と、
前記文書管理装置より当該文書から派生する新たな文書の文書識別情報と当該文書の文書識別情報とを受信した場合には、当該文書から派生する新たな文書の利用制限情報を生成する生成手段と、
当該文書から派生する新たな文書の文書識別番号に対応して前記生成手段により生成した新たな利用制限情報を前記記憶手段に記憶する記憶制御手段と
して機能させる制限情報管理装置。
文書識別情報で特定される文書に対して許容される利用制限を規定した利用制限情報を該文書識別情報に対応して記憶するとともに、前記利用制限情報により操作が制限される操作により当該文書から派生した文書の文書識別情報および該文書の元文書との派生関係を記憶する記憶手段と、
文書の操作が行われる文書管理装置より、操作される文書に付与された文書識別情報と当該文書の利用者の識別情報とを少なくとも受信する受信手段と、
当該文書の利用制限情報を前記受信手段により受信した文書識別情報および当該文書の派生関係から特定する特定手段と、
前記特定手段によって特定された利用制限情報に基づいて前記受信手段で受信した利用者の当該文書に対する操作制御情報を前記文書管理装置に送信する送信手段と、
前記文書管理装置より当該文書から派生する新たな文書の文書識別情報と当該文書の文書識別情報とを受信した場合には、当該文書と当該文書から派生した新たな文書の派生関係を前記記憶手段に記憶する記憶制御手段と
して機能させる制限情報管理装置。
コンピュータを
文書識別情報で特定される文書に対して許容される利用制限を規定した利用制限情報を記憶する制限情報管理装置に、前記利用者の識別情報と前記利用者により操作される文書に付与された文書識別情報とを送信する送信手段と、
前記制限情報管理装置から送信される情報に基づいて利用者の当該文書に対する操作を制限する制限手段と、
前記文書の前記制限手段により制限された操作により当該文書から派生する新たな文書が生成された場合は、該新たな文書に新たな文書識別情報を付与する付与手段と、
前記制限情報管理装置に、派生元の当該文書の文書識別情報と派生結果の該文書の文書識別情報とを送信する文書識別情報送信手段と
して機能させる文書管理プログラム。
コンピュータを
文書識別情報で特定される文書に対して許容される利用制限を規定した利用制限情報を該文書識別情報に対応して記憶する記憶手段と、
文書の操作が行われる文書管理装置より、操作される文書に付与された文書識別情報と当該文書の利用者の識別情報とを少なくとも受信する受信手段と、
前記受信手段により受信した文書識別情報に基づいて当該文書の利用制限情報を前記記憶手段から検索する検索手段と、
前記検索手段によって検索された前記利用制限情報に基づいて前記受信手段で受信した利用者の当該文書に対する操作制御情報を前記文書管理装置に送信する送信手段と、
前記文書管理装置より当該文書から派生する新たな文書の文書識別情報と当該文書の文書識別情報とを受信した場合には、当該文書から派生する新たな文書の利用制限情報を生成する生成手段と、
当該文書から派生する新たな文書の文書識別番号に対応して前記生成手段により生成した新たな利用制限情報を前記記憶手段に記憶する記憶制御手段と
して機能させる制限情報管理プログラム。
コンピュータを
文書識別情報で特定される文書に対して許容される利用制限を規定した利用制限情報を該文書識別情報に対応して記憶するとともに、前記利用制限情報により操作が制限される操作により当該文書から派生した文書の文書識別情報および該文書の元文書との派生関係を記憶する記憶手段と、
文書の操作が行われる文書管理装置より、操作される文書に付与された文書識別情報と当該文書の利用者の識別情報とを少なくとも受信する受信手段と、
当該文書の利用制限情報を前記受信手段により受信した文書識別情報および当該文書の派生関係から特定する特定手段と、
前記特定手段によって特定された利用制限情報に基づいて前記受信手段で受信した利用者の当該文書に対する操作制御情報を前記文書管理装置に送信する送信手段と、
前記文書管理装置より当該文書から派生する新たな文書の文書識別情報と当該文書の文書識別情報とを受信した場合には、当該文書と当該文書から派生した新たな文書の派生関係を前記記憶手段に記憶する記憶制御手段と
して機能させる制限情報管理プログラム。