JP2010044454A - 電子文書管理システム及び電子文書管理方法、並びにコンピューター・プログラム - Google Patents

Abstract

【課題】ユーザー個人用の端末にダウンロードした電子文書の情報の漏洩を防ぐ。
【解決手段】会議室内などあらかじめ決められた文書閲覧可能場所で、各会議参加者へ電子文書を配布する。電子会議が終了して電子文書が必要なくなると、電子文書をダウンロードしたすべての文書閲覧者のＩＣカード４００から電子文書が消去されたかどうかを閲覧者リストで照合する。電子文書削除装置３００が会議室のドアの自動施錠及び開錠装置と連動して、閲覧者リストの全員が消去したのを確認できた後に、会議室のドアの鍵を開けて会議参加者すなわち文書閲覧者の退出を許可する。
【選択図】 図８

Description

本発明は、電子文書管理システム及び電子文書管理方法、並びにコンピューター・プログラムに関する。

文書サーバー上で格納された電子文書を閲覧する際、閲覧者は手元にある記憶媒体（例えば、ローカル・ディスクなど）に閲覧対象の電子文書を格納した後、閲覧用のソフトウェアを使用して電子文書を閲覧する文書システムが存在する。通常、電子文書の閲覧者は、手元にある記憶媒体に電子文書を格納した後は、記憶媒体を携帯して自由に何処にでも電子文書を持ち出すことができる。言い換えれば、記憶媒体に一旦格納された電子文書は閲覧者が文書システム外でも閲覧することが可能であり、電子文書の情報は簡単に文書システム外に漏洩することになる。

電子文書の情報を漏洩することを防ぐため、さまざまな文書システムが存在する。例えば、電子文書が文書システム外に持ち出されても情報が漏洩しないように、電子文書にパスワードを設定する文書システムを挙げることができる。しかしながら、電子文書にパスワードを設定する場合、パスワード情報が漏洩すると、誰でもが電子文書を閲覧することができるため、電子文書の情報は簡単に文書システム外に漏洩することになる。一般的なシステム運用形態では、電子文書のパスワードは関係者全員に通知されるが、文書提供者が関係者に通知したパスワードがさらに第３者に知られる危険性は十分に考えられる。つまり、文書提供者が意図しない第３者にまで電子文書の内容が漏洩することになる。また、一度パスワードを知ってしまえば、社外など何処でも自由に閲覧することができる。

例えば、電子文書ファイル作成装置は所属するグループの識別情報を記録した電子文書ファイルを作成し、一方の電子文書処理装置は、処理対象の電子文書ファイルに付加されたグループ識別情報を抽出し、電子文書を閲覧しようとしている電子機器と文書作成者が電子文書を作成した機器が同じグループに所属するかを判断して、グループ外の電子文書ファイルに対する閲覧、印刷、編集処理などの処理を実行できなくすることによって、電子文書ファイルのセキュリティー管理を確実に行なう電子文書処理システムについて提案がなされている（例えば、特許文献１を参照のこと）。つまり、閲覧者が電子文書を社外に持ち出して電子文書を閲覧しようとするとドメイン外のため、電子文書の閲覧ができなくなる。

同電子文書処理システムによれば、部外又は社外の人でもパスワードさえ知ってしまえば、この電子文書ファイルを開いたり、印刷したりすることができてしまうというセキュリティー上の問題を改善して、パスワード漏洩による電子文書の情報漏洩を防止することができる。しかしながら、記録媒体に記録した電子文書自体を記録媒体から消去している訳ではない。また、電子文書の閲覧を許可にはドメイン情報を使用しているため、電子文書が作成された場所と同じドメイン名でネットワークを構築すると、社外でも電子文書を閲覧することは可能である。つまり、電子文書の情報が漏洩することになる。また、閲覧者のＰＣをドメインに参加させるためにシステム管理者の手も煩わせる必要がある。

また、同電子文書管理システムでは、電子文書を作成した電気機器が所属するドメイン名と同じドメイン名でネットワークが構築された環境下で、簡単に社外で電子文書を閲覧することは可能である。また、誰がダウンロードしたかはドメインに参加したユーザーを管理すれば可能であるが、ダウンロード済みの文書を破棄したかの確認をすることはできない。ポリシー・サーバーによる電子文書の閲覧管理をする場合でも、ポリシー・サーバーとアクセス可能な場所では、電子文書を閲覧可能である。つまり、社内の複数の部門で同じポリシー・サーバーにアクセス可能な場合、パスワード情報などが漏れると誰もが電子文書を閲覧可能な状態になる。通常、会社の業績情報や人事情報など、会議では使用するがある期限までは公開したくない情報が存在する。このような情報は会議などで出席者に電子文書として配布しても、情報漏洩の観点から会議が終了すると出席者のＰＣから電子文書自体を削除することが望ましいが、一旦ローカルＰＣにダウンロードされた電子文書を削除することはできない。

また、情報システムのセキュリティーを確保するシステムに関し、特に、ドキュメントのドキュメント属性を取得することによって、セキュリティーポリシーに基づいた処理制御を行なうドキュメント属性管理サーバーについて提案がなされている（例えば、特許文献２を参照のこと）。例えば、社外に電子文書を持ち出した後、閲覧させないようなセキュリティー管理を実現するため、ポリシー・サーバーを設置する。そして、電子文書を閲覧する際に電子文書の属性をポリシー・サーバーに送信し、許可されたポリシーに従って、電子文書の閲覧許可などの処理制御を実施することができる。しかしながら、記録装置に記録された電子文書自体を削除するものではなく、ポリシー・サーバーとアクセス可能な場所では、ポリシーに従った閲覧は可能である。つまり、パスワード情報などが漏洩した場合、ポリシー・サーバーとアクセス可能な範囲では自由に電子文書の閲覧が可能である。

また、携帯電話などに搭載されたＧＰＳ（Ｇｌｏｂａｌ Ｐｏｓｉｔｉｏｎｉｎｇ Ｓｙｓｔｅｍ）機能を利用して文書の閲覧を制限する位置認証システムについて提案がなされている（例えば、特許文献３を参照のこと)。この位置認証システムでは、携帯電話端末により測位された位置情報を基にして、位置認証サーバーは、登録経路に記憶されている登録経路と地図情報を参照することによって携帯電話端末の位置認証を行ない、認証に成功した場合にサービス許可証が発行する。そして、このサービス許可証を得た携帯電話端末では、所定のコンテンツの再生が許可される。すなわち、この位置認証システムによれば、文書利用者が電子文書を閲覧しようとしている場所が登録経路上であれば認証が成功するので、文書閲覧者は閲覧可能な場所でコンテンツを閲覧することが可能である。

しかしながら、この位置認証システムでは、端末内のＨＤＤなどに一旦ダウンロードされたコンテンツをあらかじめ定めた文書閲覧可能場所以外で自動的に消去するものではない。つまり、文書利用者は、一度閲覧可能な場所に移動して認証に成功すれば、ＨＤＤにコンテンツをコピーして持ち歩くことが可能であり、何処でもコンテンツを利用することが可能である。また、この位置認証システムは鉄道などの対象エリア内で、対象エリアに関連があるコンテンツを見せることを本来の目的としたものであるから、閲覧可能な文書閲覧者が閲覧した後、閲覧者がダウンロードしたコンテンツを消去する必要もない。この位置認証システムは、地域に沿った情報を提供するものであり、一度閲覧可能になった情報を閲覧できないようにすることは念頭にはない。情報閲覧者が閲覧可能領域以外に情報を持ち出した際、記憶領域に格納された電子情報自体を削除する仕組み自体も持たない。

また、同一の情報処理装置を複数のユーザーで共有する場合に、十分なセキュリティーを確保する方法について提案がなされている（例えば、特許文献４を参照のこと）。文書サーバーに機密保護が必要な電子ファイルを格納しておき、情報端末にユーザーがログオンする際、文書サーバーから電子ファイルをログオン端末にダウンロードする。さらに、ユーザーが端末からログオフする際、ダウンロードした電子ファイルを消去することで機密情報を保護することができる。

しかしながら、この方法では、あらかじめログオン用の端末をクライアント台数分だけ用意しておく必要がある。会議などに参加するユーザーが個人で所有しているＰＣをログオン用の端末として利用してもよいが、その場合は文書サーバーと同じネットワークのドメインに個人所有のＰＣを参加させる必要がある。つまり、ドメイン・ユーザーが閲覧権限を持つ領域のファイルはすべて参照できるようになる。このため、実際に会議で使用するファイルだけをログオン・ユーザーが参照可能な共有領域に格納する必要がある。また、個人所有のＰＣをドメインに参加させるためにネットワークの管理者が個々のＰＣの設定をしなければならず、手間が掛かることが、個人所有のＰＣをネットワークに参加させることは現実的ではない。

クライアントＰＣを文書サーバーが設定されているネットワークからログオフすれば、ダウンロードしたローカルの機密文書は削除されるが、個人所有のＰＣをドメインにその都度参加させる必要がある。また、クライアントＰＣがドメインに参加した後、ドメインの参加を解除しなければ、文書閲覧者は何時でもドメインに参加をして情報を閲覧可能である。さらに、ドメイン・ユーザーが閲覧可能な共有領域の情報を使用しなくなったら、文書提供者側がその都度削除する必要があり、文書提供者側の手間が必要である。また、ドメインに参加可能なネットワーク上では、何処でも電子文書の閲覧が可能である。また、個人用のＰＣにダウンロードして持ち出した際、誰がドメインに参加しているかは管理することはできるが、誰が電子情報を社外に持ち出したかを管理することができない。

特開２００５−２７５８０９号公報 特開２００４−１９２６１０号公報 特開２００７−１３３７６４号公報 特開２００５−２３５０５５号公報

本発明の目的は、文書サーバー上に格納された電子文書の情報がシステム外では削除されることにより漏洩を好適に防ぐことができる、優れた電子文書管理システム及び電子文書管理方法、並びにコンピューター・プログラムを提供することにある。

本願の請求項１に記載の発明は、
文書提供者が提供する電子文書を格納する電子文書提供装置（文書サーバ）と、
文書閲覧者が閲覧する電子文書を格納する文書格納場所となる電子文書記憶装置（ＩＣカード又はＨＤＤ）と、
前記電子文書提供装置から前記電子文書記憶装置に電子文書をダウンロードするとともに、文書閲覧者が前記電子文書記憶装置に格納された電子文書を閲覧する電子文書閲覧装置（クライアント端末）と、
あらかじめ決められた閲覧可能場所外に存在する前記電子文書記憶装置に格納されている電子文書を削除する電子文書削除装置と、
を具備することを特徴とする電子文書管理システムである。

本願の請求項２に係る電子文書管理システムは、前記電子文書閲覧装置の現在の位置情報を取得する位置取得部をさらに備えている。そして、前記電子文書削除装置は、前記位置取得部が取得した位置情報が前記閲覧可能場所内であるかどうかを判断し、前記閲覧可能場所外に存在すると判断されたときに前記電子文書記憶装置に格納されている電子文書を削除する。

また、本願の請求項３に係る電子文書管理システムでは、前記電子文書削除装置は、前記電子文書記憶装置が前記閲覧可能場所の外に出る際に、前記電子文書記憶装置に格納されている電子文書を削除する。

また、本願の請求項４に係る電子文書管理システムでは、前記電子文書記憶装置は、電子文書を格納する文書格納場所となるメモリ領域を備えたＩＣカードで構成されている。そして、前記電子文書閲覧装置は、ＩＣカード読み書き部を備え、前記ＩＣカード読み書き部を介して前記ＩＣカードに電子文書をダウンとロードし、又は、前記ＩＣカードに格納された電子文書を読み出して文書閲覧者の閲覧に供するようになっている。また、前記電子文書削除装置は、ＩＣカード読み書き部を備え、前記ＩＣカード読み書き部を介して前記ＩＣカードに格納された電子文書を削除するようになっている。

また、本願の請求項５に係る電子文書管理システムでは、文書提供者が提供する電子文書にはダウンロード先となる文書格納場所が指定されており、前記電子文書閲覧装置は、前記の指定された文書格納場所となる電子文書記憶装置にのみ電子文書のダウンロードを行なうようになっている。

また、本願の請求項６に係る電子文書管理システムでは、前記電子文書記憶装置は電子文書を格納する文書格納場所となるメモリ領域を備えたＩＣカードであり、文書提供者が提供する電子文書のダウンロード先としてＩＣカード内の文書格納場所が指定されている。そして、前記電子文書閲覧装置は、ＩＣカード読み書き部を備え、前記ＩＣカード読み書き部を介して文書閲覧者が所有するＩＣカード内の文書格納場所に電子文書をダウンロードするようになっている。

また、本願の請求項７に係る電子文書管理システムでは、前記電子文書削除装置は、前記閲覧可能場所外に存在する前記電子文書記憶装置に格納されている電子文書の特定の領域を一時的に破壊して閲覧不能な状態にし、前記電子文書記憶装置が前記閲覧可能場所内に戻ったことに応じて前記電子文書記憶装置に格納されている電子文書の前記の破壊された特定の領域を修復して閲覧可能な状態に復元するようになっている。

また、本願の請求項８に係る電子文書管理システムでは、前記電子文書記憶装置は、文書閲覧者を特定する識別情報を格納するとともに、電子文書を格納する文書格納場所となるメモリ領域を備えたＩＣカードで構成されている。また、前記電子文書提供装置から前記ＩＣカード内の文書格納場所に電子文書をダウンロードする際に、前記ＩＣカードから取得した文書閲覧者の情報を記録する閲覧者リストをさらに備えている。

そして、本願の請求項９に記載されているように、前記電子文書削除装置は、前記ＩＣカードから電子文書を削除する度に、前記閲覧者リストから該当する文書閲覧者のエントリを消去する。本願の請求項１０に記載されているように、前記閲覧可能場所は、施錠及び開錠が自動化された扉を持つ特定の会議室である場合には、前記電子文書削除装置は、前記閲覧者リストからすべての文書閲覧者のエントリが消去されたことを確認した後、前記扉を開錠して文書閲覧者が退出可能な状態にするようにしてもよい。

また、本願の請求項１１に記載のように、前記閲覧者リストには、前記閲覧可能場所外に電子文書を持ち出すことを許可された文書閲覧者を記録してもよい。前記電子文書削除装置は、前記閲覧可能場所外に存在する電子文書記憶装置から電子文書を削除しようとする際に前記閲覧者リストを照合するようにする。そして、当該電子文書記憶装置を利用する文書閲覧者が電子文書を持ち出すことが許可されている場合には、電子文書を削除せず又は閲覧不能な状態にしない。

また、本願の請求項１２に係る電子文書管理システムでは、文書提供者などは電子文書に閲覧可能期間を記録することができる。そして、前記電子文書削除装置は、前記電子文書記憶装置に格納されている電子文書に記録されている閲覧可能期間が既に経過しているときには、当該電子文書を削除するようにする。

また、本願の請求項１３に係る電子文書管理システムでは、文書提供者などは電子文書に閲覧可能場所を記録することができる。そして、前記電子文書削除装置は、前記電子文書記憶装置に格納されている電子文書に記録されている閲覧可能場所外であるときには、当該電子文書を削除するようにする。

また、本願の請求項１４に記載の発明は、文書提供者が提供する電子文書を格納する電子文書提供装置と、文書閲覧者が閲覧する電子文書を格納する文書格納場所となる電子文書記憶装置と、文書閲覧者が前記電子文書記憶装置に格納された電子文書を閲覧する電子文書閲覧装置と、前記電子文書記憶装置に格納されている電子文書を削除する電子文書削除装置で構成される電子文書管理システムにおいて、電子文書を管理する電子文書管理方法であって、
前記電子文書提供装置から前記電子文書記憶装置に電子文書をダウンロードするステップと、
前記電子文書削除装置が、あらかじめ決められた閲覧可能場所外に存在する前記電子文書記憶装置に格納されている電子文書を削除するステップと、
を具備することを特徴とする電子文書管理方法である。

また、本願の請求項１５に記載の発明は、文書提供者が提供する電子文書を格納する電子文書提供装置と、文書閲覧者が閲覧する電子文書を格納する文書格納場所となる電子文書記憶装置と、文書閲覧者が前記電子文書記憶装置に格納された電子文書を閲覧する電子文書閲覧装置と、前記電子文書記憶装置に格納されている電子文書を削除する電子文書削除装置で構成される電子文書管理システムにおいて、電子文書を管理するための処理をコンピューター上で実行するようにコンピューター可読形式で記述されたコンピューター・プログラムであって、前記コンピューターに対し、
前記電子文書提供装置から前記電子文書記憶装置に電子文書をダウンロードする手順と、
前記電子文書削除装置が、あらかじめ決められた閲覧可能場所外に存在する前記電子文書記憶装置に格納されている電子文書を削除する手順と、
を実行させることを特徴とするコンピューター・プログラムである。

本願の請求項１５に係るコンピューター・プログラムは、コンピューター・システム上で所定の処理を実現するようにコンピューター可読形式で記述されたコンピューター・プログラムを定義したものである。換言すれば、本願の請求項１５に係るコンピューター・プログラムをコンピューター・システムにインストールすることによって、コンピューター・システム上では協働的作用が発揮され、本願の請求項１に係る電子文書管理システムと同様の作用効果を得ることができる。

本願の請求項１、１４、１５に記載の発明によれば、電子文書を配布しても、あらかじめ決められた閲覧可能場所の外に存在する電子文書のファイル自体を削除することによりが持ち出されることを防ぐことができる。

また、本願の請求項２に記載の発明によれば、電子文書削除装置は、前記電子文書閲覧装置の現在の位置情報を基に、閲覧可能場所外に存在する電子文書を自動的に削除することができる。

また、本願の請求項３に記載の発明によれば、文書閲覧者が電子文書記憶装置を閲覧可能場所の外に出る際に、前記電子文書記憶装置に格納されている電子文書を自動的に削除することができる。

また、本願の請求項４に記載の発明によれば、電子文書記憶装置は電子文書を格納する文書格納場所となるメモリ領域を備えたＩＣカードで構成されているので、文書閲覧者は、ＩＣカード読み書き部を備えた電子文書閲覧装置に自分のＩＣカードをかざすことで、ＩＣカードに電子文書をダウンロードし、ＩＣカードから電子文書を閲覧することができる。また、電子文書削除装置は、文書閲覧者が閲覧可能場所から立ち去る際などにＩＣカードをかざすと、電子文書を削除することができる。

また、本願の請求項５に記載の発明によれば、電子文書閲覧装置は、文書提供者がダウンロード先として指定した文書格納場所にのみ電子文書のダウンロードを行なうので、安全若しくは信頼できる文書可能場所を指定することによって、電子文書に含まれる機密情報が漏洩の危険にさらされないようにすることができる。

また、本願の請求項６に記載の発明によれば、文書提供者はダウンロード先としてＩＣカードを指定しており、文書閲覧者が所有するＩＣカードにのみ電子文書をダウンロードしないようにすることができる。

また、本願の請求項７に記載の発明によれば、電子文書記憶装置に格納されている電子文書は、文書閲覧者が閲覧可能場所に移動した際に一時的に閲覧不能な状態になるが、閲覧可能場所に戻ってくると元の閲覧可能な状態に復元されるので、文書閲覧者は電子文書を逐次ダウンロードする必要がなくなる。

また、本願の請求項８乃至１０に記載の発明によれば、電子文書提供装置からＩＣカードに電子文書をダウンロードした文書閲覧者を閲覧者リストで管理することによって、閲覧者リストに記録されているすべての文書閲覧者のＩＣカードから電子文書を削除するまでは会議室から退出できないようにして、電子文書に含まれる機密情報をより強固に漏洩から防ぐことができる。

また、本願の請求項８及び１１に記載の発明によれば、閲覧者リストには、前記閲覧可能場所外に電子文書を持ち出すことを事前の申請などによって許可された文書閲覧者を記録しておくことで、電子文書を持ち出すことが許可されている文書閲覧者であれば、削除されることなく閲覧可能場所から電子文書を持ち出すことができる。

また、本願の請求項１２に記載の発明によれば、文書提供者などは電子文書に閲覧可能期間を記録することができ、閲覧可能期間が既に経過している電子文書を電子文書削除装置が削除することで、電子文書に含まれる機密情報が不当に長期間閲覧に供されるのを防ぐことができる。

また、本願の請求項１３に記載の発明によれば、文書提供者などは電子文書に閲覧可能場所を記録することができ、電子文書削除装置が閲覧可能場所外にある電子文書を削除することで、電子文書が不当な場所で閲覧に供されるのを防ぐことができる。

以下、図面を参照しながら本発明の実施形態について詳解する。

図１には、本発明の一実施形態に係る電子文書管理システムの構成を模式的に示している。図示のシステムは、電子文書を格納する文書サーバーと、電子文書を閲覧する各ユーザーが所有する個人用のクライアント端末を、ネットワーク接続して構成されている。また、システム内の一部のホスト装置は、クライアント端末内の特定の記憶領域に格納された電子文書のうち使用済みとなったものを削除する電子文書削除装置として動作する。システム内には、なお、ネットワーク上には電子文書データの印刷を行なうプリンタも設置されていてもよい。

ネットワークは、有線又は無線など特定のメディア種別や、特定の通信規格若しくはプロトコルに限定されるものではない。但し、クライアント端末は、特定の会議室内などあらかじめ決められた文書閲覧可能場所でのみ、文書サーバーとネットワーク接続が可能であるものとする。

クライアント端末は、文書サーバーに格納された電子文書をダウンロードする特定の記憶領域を備えている。また、クライアント端末は、ダウンロードした電子文書を閲覧するための閲覧用アプリケーションをインストールしている。

また、本実施形態に係る電子文書管理システムでは、文書サーバーから電子文書をダウンロードする際のユーザーを認証する仕組みやダウンロードした電子文書の格納先として、ＩＣカード機能を導入し、例えばクライアント端末がカード読取装置を搭載している。ＩＣカードの標準規格として、密着型のＩＳＯ／ＩＥＣ１０５３６、近接型のＩＳＯ／ＩＥＣ１４４４３、近傍型のＩＳＯ／ＩＥＣ１５６９３を挙げることができる。ＩＣカードは、高い耐タンパ性を以ってデータを格納することが可能である（周知）。但し、本発明の要旨は特定のＩＣカード規格に限定されるものではなく、且つ、既存の認証機能を適用することができるので、本明細書では詳細な説明を省略する。

また、本実施形態に係る電子文書管理システムは、クライアント端末内の特定の記憶領域に電子文書のうち使用済みとなったものを削除する電子文書削除装置を備えている。

また、本実施形態に係る電子文書管理システムは、クライアント端末があらかじめ決められた文書閲覧可能場所（特定の会議室内など）にいることを検出する仕組みとして、位置情報取得手段を備えている。位置情報取得手段は、例えばクライアント端末に搭載するＧＰＳ機能で構成することができる他、無線ＬＡＮにおける受信電波に基づいて位置を測定する方法を用いることもできる。

図２には、文書サーバーとして動作するコンピューター１００の構成を示している。

ＣＰＵ１０１は、オペレーティング・システム（ＯＳ）が提供するプログラム実行環境下で、ＲＯＭ１０１やハード・ディスク・ドライブ１１１に格納されているプログラムを実行する。

ＲＯＭ（Ｒｅａｄ Ｏｎｌｙ Ｍｅｍｏｒｙ）１０２は、ＰＯＳＴ（Ｐｏｗｅｒ Ｏｎ Ｓｅｌｆ Ｔｅｓｔ）やＢＩＯＳ（Ｂａｓｉｃ Ｉｎｐｕｔ Ｏｕｔｐｕｔ Ｓｙｓｔｅｍ）などのプログラム・コードを恒久的に格納する。ＲＡＭ１０３は、ＲＯＭ１０２やＨＤＤ１１１に格納されているプログラムをＣＰＵ１０１が実行する際にロードしたり、実行中のプログラムの作業データを一時的に保持したりするために使用される。これらはＣＰＵ１０１のローカル・ピンに直結されたローカル・バス１０４により相互に接続されている。

ローカル・バス１０４は、ブリッジ１０５を介して、ＰＣＩ（Ｐｅｒｉｐｈｅｒａｌ Ｃｏｍｐｏｎｅｎｔ Ｉｎｔｅｒｃｏｎｎｅｃｔ）バスなどの入出力バス１０６に接続されている。

キーボード１０８と、マウスなどのポインティング・デバイス１０９は、ユーザーにより操作される入力デバイスである。ディスプレイ１１０は、ＬＣＤ（Ｌｉｑｕｉｄ Ｃｒｙｓｔａｌ Ｄｉｓｐｌａｙ）又はＣＲＴ（Ｃａｔｈｏｄｅ Ｒａｙ Ｔｕｂｅ）などからなる。ここで言うユーザーは、本実施形態に係る電子文書管理システム上で、文書閲覧者に対して電子文書を提供する文書提供者に相当する。

ＨＤＤ１１１は、記録メディアとしてのハード・ディスクを内蔵したドライブ・ユニットであり、ハード・ディスクを駆動する。ハード・ディスクには、オペレーティング・システムや各種アプリケーションなどＣＰＵ１０１が実行するプログラムをインストールしたり、各種のローカル・ファイルを保存したりするために使用される。本実施形態では、ＨＤＤ１１１は、文書サーバーとして提供する電子文書の格納場所として活用される。

通信部１１５は、ネットワークに接続され、その他の情報処理装置との通信を実行する。ネットワーク接続されたクライアント端末は、所定の認証手続を経て、ＨＤＤ１１１内に格納されている電子文書を、所定の「文書格納場所」（後述）をダウンロード先に指定した場合のみ、ダウンロードが許容されるものとする。

文書提供者や文書管理者は、文書サーバーとしてのコンピューター１００のＨＤＤ１１１に格納する電子文書に対して、許可されるダウンロード先などを指定する文書属性情報や、閲覧可能場所、閲覧可能期限といった閲覧制御情報を記録することができる。

図３には、文書閲覧者としてのユーザーが所有するクライアント端末として動作するコンピューター２００の構成を示している。

ＣＰＵ２０１は、ＯＳが提供するプログラム実行環境下で、ＲＯＭ２０１やハード・ディスク・ドライブ２１１に格納されているプログラムを実行する。

ＲＯＭ２０２は、ＰＯＳＴやＢＩＯＳなどのプログラム・コードを恒久的に格納する。ＲＡＭ２０３は、ＲＯＭ２０２やＨＤＤ２１１に格納されているプログラムをＣＰＵ２０１が実行する際にロードしたり、実行中のプログラムの作業データを一時的に保持したりするために使用される。これらはＣＰＵ２０１のローカル・ピンに直結されたローカル・バス２０４により相互に接続されている。

ローカル・バス２０４は、ブリッジ２０５を介して、ＰＣＩバスなどの入出力バス２０６に接続されている。

キーボード２０８と、マウスなどのポインティング・デバイス２０９は、ユーザーにより操作される入力デバイスである。ディスプレイ２２０は、ＬＣＤ又はＣＲＴなどからなる。ここで言うユーザーは、クライアント端末の所有者であり、文書サーバーから提供される文書を閲覧する文書閲覧者に相当する。

ＨＤＤ２１１は、記録メディアとしてのハード・ディスクを内蔵したドライブ・ユニットであり、ハード・ディスクを駆動する。ハード・ディスクには、オペレーティング・システムや各種アプリケーションなどＣＰＵ２０１が実行するプログラムをインストールしたり、各種のローカル・ファイルを保存したりするために使用される。

また、ＨＤＤ２１１にインストールされるアプリケーション・プログラムの一例として、文書サーバーからダウンロードした電子文書を閲覧するための閲覧用アプリケーションや、ＩＣカード機能を利用した認証手続きを実行する認証処理アプリケーションなどを挙げることができる。

本実施形態では、閲覧用アプリケーションは、所定の「文書格納場所」（後述）に格納されている電子文書を閲覧する機能を持つものとする。また、電子文書にダウンロード先などの文書属性情報が記録されているときには、閲覧用アプリケーションは、文書属性情報で指定されているダウンロード先を文書格納場所として電子文書のダウンロードを行なう。また、ダウンロードした電子文書に閲覧可能期限が記録されている場合には、閲覧用アプリケーションは、閲覧可能期限を超過した電子文書を自動的に削除する機能を備えていても良い。

通信部２１５は、ネットワークに接続され、その他の情報処理装置との通信を実行する。ネットワーク接続されたクライアント端末は、所定の認証手続を経て文書サーバーにアクセスして、ＨＤＤ２１１内に格納されている電子文書を所定の「文書格納場所」（後述）にのみダウンロードすることができる。

位置取得部２１６は、ＧＰＳ機能、あるいは無線ＬＡＮのアクセスポイントなどからの到来電波に基づいて、当該コンピューター２００（すなわち、クライアント端末）の現在位置情報を取得する。

ＩＣカード読み書き部２１７は、クライアント・ユーザーが所持するＩＣカードを受容する受容部（図示しない）を備え、この受容部にかざされたＩＣカード４００に対するデータ読み書き動作を行なうことができる。

ＩＣカード読み書き部２１７並びにクライアント・ユーザーが所持するＩＣカード４００は、例えばＦｅｌｉｃａ（登録商標）などのＩＳＯ／ＩＥＣ１４４４３技術を利用して構成される。

ＩＣカード４００内のメモリ領域には、文書サーバーからダウンロードした電子文書を格納するための、耐タンパ性のある特定の記憶領域が設けられており、認証情報や価値情報などの他のユーザー・データの記憶領域とは区別されている（図５を参照のこと）。以下では、この特定の記憶領域のことを、「文書保管場所」と呼ぶことにする。

本実施形態では、耐タンパ性のある記憶領域である文書保管場所にダウンロードされた電子文書を勝手にクライアント端末内のローカル・ディスクなどにコピーされて持ち出されることを防止する必要がある。このため、閲覧用アプリケーションは、コピー操作ができないように制御する。具体的には、ＩＣカード４００内の電子文書を一旦ダウンロードしてから削除されるまでの間は、閲覧用アプリケーションは、当該電子文書のコピー操作のイベントをフックして、当該電子文書のコピー操作ができないように制御するために、常駐アプリケーションとして動作する。

なお、ＩＣカード４００内の記憶領域を区画化して文書閲覧場所を設けるのではなく、ダウンロードした電子文書に特定のファイル拡張子を割り当て、閲覧可能場所外では閲覧すべきでない又は削除すべき文書であることを識別できるようにしてもよい。

図４には、電子文書削除装置として動作するコンピューター３００の構成を示している。

ＣＰＵ３０１は、ＯＳが提供するプログラム実行環境下で、ＲＯＭ３０１やハード・ディスク・ドライブ３１１に格納されているプログラムを実行する。

ＲＯＭ３０２は、ＰＯＳＴやＢＩＯＳなどのプログラム・コードを恒久的に格納する。ＲＡＭ３０３は、ＲＯＭ３０２やＨＤＤ３１１に格納されているプログラムをＣＰＵ３０１が実行する際にロードしたり、実行中のプログラムの作業データを一時的に保持したりするために使用される。これらはＣＰＵ３０１のローカル・ピンに直結されたローカル・バス３０４により相互に接続されている。

ローカル・バス３０４は、ブリッジ３０５を介して、ＰＣＩバスなどの入出力バス３０６に接続されている。

キーボード３０８と、マウスなどのポインティング・デバイス３０９は、ユーザーにより操作される入力デバイスである。ディスプレイ１２０は、ＬＣＤ又はＣＲＴなどからなる。ここで言うユーザーは、本実施形態に係る電子文書管理システム上で電子文書を提供する文書提供者（前述）から文書管理を委ねられた文書管理者などに相当する。

ＨＤＤ３１１は、記録メディアとしてのハード・ディスクを内蔵したドライブ・ユニットであり、ハード・ディスクを駆動する。ハード・ディスクには、オペレーティング・システムや各種アプリケーションなどＣＰＵ３０１が実行するプログラムをインストールしたり、各種のローカル・ファイルを保存したりするために使用される。本実施形態では、ＨＤＤ３１１内には、例えば、電子文書のダウンロード先となる文書閲覧者を登録する閲覧者リスト（後述）のファイルが格納される。

また、ＨＤＤ３１１にインストールされるアプリケーション・プログラムの一例として、ＩＣカード機能を利用した認証手続きを実行する認証処理アプリケーションや、文書閲覧者が所持するＩＣカード４００内に設けられた文書格納場所（前述）内の電子文書を一定の条件下で自動削除するための電子文書削除用アプリケーションなどを挙げることができる。

通信部３１５は、ネットワークに接続され、その他の情報処理装置との通信を実行する。

ＩＣカード読み書き部３１６は、クライアント・ユーザーが所持するＩＣカードを受容する受容部を備え、そこに設置されたＩＣカード４００に対するデータ読み書き動作を行なう。

ＩＣカード読み書き部３１６並びにクライアント・ユーザーが所持するＩＣカード４００は、例えばＦｅｌｉｃａ（登録商標）などのＩＳＯ／ＩＥＣ１４４４３技術を利用して構成される。ＩＣカード読み書き部３１６は、かざされたＩＣカード４００内の文書格納場所（前述）に格納されている電子文書を削除することができる。

続いて、図１に示した電子文書管理システムにおける動作について説明する。

文書閲覧者が文書サーバー１００から電子文書を取得して、自分のクライアント端末２００にダウンロードする際、閲覧用アプリケーションは、ＩＣカード４００内のメモリ領域のうち、電子文書削除装置３００が消去可能な特定のメモリ領域すなわち「文書格納場所」にだけ電子文書をダウンロードして保存可能にする。あるいは、ＩＣカード４００内にダウンロードされた電子文書には、他のユーザー・ファイルと識別可能な特定のファイル拡張子が割り当てられている（前述）。

ＩＣカード４００内の文書格納場所に記録された電子文書は、文書閲覧者が不要になった際に、電子文書を削除する電子文書削除装置３００に照合させることで、自動的にＩＣカード４００内の文書可能場所から消去される。ＩＣカード４００は、例えばＦｅｌｉｃａ（登録商標）などのＩＳＯ／ＩＥＣ１４４４３技術を利用して製作されており、電子文書削除装置３００のＩＣカード読み書き部３１６にかざすことで電子文書は自動的に消去される。あるいは、電子文書削除装置３００は、電子文書を完全に消去してしまうのではなく、電子文書のうち特定の部分領域に‘０’や‘１’を書き込んで、閲覧用アプリケーションで閲覧できないように電子文書データを破壊する方法であっても良い。

文書サーバー１００が提供する電子文書をクライアント端末２００にダウンロードする際、ダウンロード先となるＩＣカード４００は、例えば文書閲覧者であるユーザーの社員証などの個人が特定できる（すなわち、識別情報を格納する）ような記憶手段を利用しても良い。このような場合、文書サーバー１００は、ＩＣカード４００から識別された文書閲覧者を「閲覧者リスト」に記録し、誰がどの電子文書をダウンロードしたかを管理するようにする。そして、電子文書削除装置３００が電子文書を削除する際には、文書サーバー１００内の閲覧者リストを照合して、閲覧者リストから該当する文書閲覧者のエントリを消去するようにしても良い。

電子文書管理システムの１つの運用形態は、会議室内などあらかじめ決められた文書閲覧可能場所における各会議参加者への電子文書の配布である。電子会議が終了した後など、実際に電子文書が必要なくなったときに、電子文書をダウンロードしたすべての文書閲覧者のＩＣカード４００から電子文書が消去されたかどうかを閲覧者リストで照合するようにしても良い。また、電子文書削除装置３００が会議室のドアの自動施錠及び開錠装置と連動して、閲覧者リストの全員が消去したのを確認できた後に、会議室のドアの鍵を開けて会議参加者すなわち文書閲覧者の退出を許可するようにしても良い。

あるいは、文書閲覧者が所持するＩＣカード４００ではなく、クライアント端末２００内のＨＤＤ３１１（ローカル・ディスク）内の特定の領域を電子文書のダウンロード先（すなわち文書格納場所）として用いるとともに、閲覧用アプリケーション（若しくは、クライアント端末２００内のその他の手段）が電子文書の自動削除機能を担うというシステム変形例も考えられる。

例えば、クライアント端末２００上で動作する閲覧用アプリケーションは、ＩＣカード４００内の電子文書を閲覧する際に、位置取得部２１６が無線ＬＡＮ又はＧＰＳなどのシステムを利用して取得した現在位置が、あらかじめ決められている文書閲覧可能場所であるかどうかを判断する。そして、閲覧用アプリケーションは、文書閲覧者の現在位置が文書閲覧可能場所にいるかどうかに応じて電子文書の閲覧許可並びに電子文書の処分を制御する。ここで、文書閲覧可能場所でない場合には、ＨＤＤ２１１内の文書格納場所に記憶された電子文書を自動的に削除するか、あるいは電子文書のうち特定の部分領域に‘０’や‘１’を書き込んで閲覧できないようにする。

電子文書を完全に削除するのではなく、特定の部分領域に‘０’や‘１’を書き込んで閲覧できないようにした場合には、電子文書を格納したＩＣカード４００又はクライアント端末２００が文書閲覧可能場所に再び戻ってきたことに応じて、電子文書削除装置３００又は削除手段が特定の部分領域の書き込み内容を元通りに復元することによって、同場所内で電子文書を閲覧可能な状態に回復することができる。

例えば、文書閲覧者が電子文書を格納したＩＣカード４００内を携帯して社外に持ち出したとしても、閲覧用アプリケーションは、文書閲覧者が電子文書の閲覧を行なおうとする度に、ＧＰＳ機能などで現在位置が文書閲覧場所であるかどうかを判断する。そして、文書閲覧者が閲覧可能場所外となる地域にいる場合には、電子文書の特定のメモリ領域を“０”で埋める。再度、社内や会議室などの特定の閲覧可能場所に戻ってきたときには”０”に埋められたメモリ領域を再度元の状態に戻すことにより、電子文書を閲覧可能な状態にすることができる。

また、文書提供者は文書管理者に対して、自分が提供した電子文書を持ち出し可能な文書閲覧者をあらかじめ申請して、閲覧者リストに登録しておくようにしてもよい。電子文書削除装置３００は、文書閲覧者がＩＣカード４００などの文書格納場所に格納して電子文書を閲覧可能場所（例えば特定の会議室）の外に持ち出す際、当該文書閲覧者は電子文書を持ち出し可能であることがあらかじめ申請された人物であるかどうかを閲覧者リストと照合して確認する。そして、持ち出し可能な文書閲覧者であることが確認されたときには、電子文書削除装置３００は、ＩＣカード４００などの文書格納場所に格納されている電子文書を削除しないようにする。

また、文書提供者や文書管理者は、電子文書に対して閲覧可能期間などの文書の閲覧を制御する制御情報を記録するようにしてもよい。電子文書削除装置３００や閲覧用アプリケーションは、閲覧可能期間が過ぎた電子文書をＩＣカード４００などの文書格納場所から自動的に削除するようにしてもよい。

文書提供者や文書管理者は、文書サーバーとしてのコンピューター１００のＨＤＤ１１１に格納する電子文書に対して、許可されるダウンロード先などを指定する文書属性情報や、閲覧可能場所、閲覧可能期限といった閲覧制御情報を記録することができる（前述）。

図６には、電子文書に対して閲覧制御情報を設定するための文書プロパティー設定画面の構成例を示している。また、図７には、指定されたダウンロード先へ電子文書をダウンロードする動作シーケンスを示している。例えば、文書提供者が、富士ゼロックス株式会社のＤｏｃｕＷｏｒｋｓ Ｃｏｎｔｅｘｔ Ｓｅｒｖｉｃｅのような文書属性の指定可能なアプリケーションなどを利用して文書サーバー１００に格納する際、ＩＣカード読み書き部が使用可能なメモリ領域のみダウンロードを許可するように指定することができる。

一方、文書閲覧者は、電子文書閲覧装置としての自クライアント端末（ＰＣ）２００のＩＣカード読み書き部２１７に自分のＩＣカード４００をかざした後、閲覧用アプリケーションを利用して、電子文書提供装置としての文書サーバー１００からＩＣカード４００内の文書格納場所へ、電子文書をダウンロードすることができる。

また、電子文書閲覧装置２００は、電子文書をＩＣカード４００にダウンロードする際、ＩＣカード４００に記録されている識別情報を読み出して、電子文書提供装置１００に送信する。電子文書提供装置１００側では、受信した識別情報を閲覧者リストとして管理する。

あるいは、非接触型のＩＣカードに電子文書をダウンロードする際、電子文書閲覧装置２００のＩＣカード読み書き部２１７にＩＣカード４００がかざされるなど、指定されたダウンロード先を認識できる状態に成ったことに応じて自動的にダウンロードを開始するようにしても良い。

なお、耐タンパ性のある記憶領域である文書保管場所にダウンロードされた電子文書を勝手にクライアント端末内のローカル・ディスクなどにコピーされて持ち出されることを防止する必要がある。このため、閲覧用アプリケーションは、コピー操作ができないように制御するようにしている。具体的には、ＩＣカード４００内の電子文書を一旦ダウンロードしてから削除されるまでの間は、閲覧用アプリケーションは、常駐アプリケーションとして動作して、他のアプリケーションなどがＩＣカード４００内の電子文書のコピー操作を行なうイベントをフックする。そして、当該電子文書のコピー操作を試みるイベントが発生すると、コピーが実行できないように制御する。

上述したような電子文書管理システムは、企業などの会議に適用することができる（図８を参照のこと）。会議には、文書サーバーとしての電子文書提供装置１００と電子文書削除装置３００が設置されている。また、会議室内には、文書閲覧者としての各会議参加者が電子文書を閲覧するための電子文書閲覧装置２００が会議テーブル上に設置されている。電子文書閲覧装置２００は、文書閲覧者が会議室に持ち込むＰＣなどのモバイル機器であっても良い。

電子文書提供装置１００は、会議用資料などの電子文書を提供する。そして、会議に出席した文書閲覧者は、社員証など自分が所持するＩＣカード４００に電子文書をダウンロードし、電子文書閲覧装置２００上でダウンロードした文書を閲覧する。電子文書をダウンロードする際、誰が電子文書をダウンロードしたかを、電子文書提供装置１００内の閲覧リストに記録しておく（図７を参照のこと）。

電子文書削除装置３００は、会場の出入り口に設置されたＩＣカード読み書き部３１６を備えている。会議が終了した後、会議に参加した文書閲覧者は、ＩＣカード４００を出入り口のＩＣカード読み書き部３１６にかざすことで、ダウンロードした電子文書が消去される。さらに、電子文書削除装置３００は、ＩＣカード４００から電子文書を消去する際、ＩＣカード４００に記録されている識別情報を読み出して、電子文書提供装置１００に送信する。電子文書提供装置１００側では、受信した識別情報を閲覧者リストとして管理しているが、電子文書削除装置３００からの通知に応じて、閲覧者リストから該当する文書閲覧者を削除する。図９には、ＩＣカードから電子文書を削除する動作シーケンスを示している。

例えば、電子文書削除装置３００が会議室の出入り口に設置されている場合には、文書閲覧者が退室する際に、所持しているＩＣカード４００から電子文書を自動的に消去することができる。

ここで、ＩＣカード４００内の文書格納場所にダウンロードした電子文書を、完全に消去してしまうのではなく、電子文書のうち特定の部分領域に‘０’や‘１’を書き込んで、閲覧用アプリケーションで閲覧できないように電子文書データを一時的に破壊する方法であっても良い。このような場合、文書閲覧者が途中で退席した後に再び会議室に戻ってきたときに、電子文書削除装置３００が、先に破壊した特定の領域を修復することで、ＩＣカード４００内の電子文書を閲覧可能な状態に復元することができる。すなわち、電子文書を何度もダウンロードする必要がなくなる。

電子文書提供装置１００は、会議が終了した後に、閲覧者リストを参照することで、ダウンロードした電子文書をＩＣカード４００から削除せずに保持したままの文書閲覧者がいないかどうかをチェックすることができる。電子文書を保持したままの文書閲覧者がいる場合には、電子文書提供装置１００はかかる文書閲覧者に電子文書の削除を促すメールを送信するようにしてもよい。

また、電子文書提供装置１００は、文書のプロパティー設定（図６を参照のこと）などにより、電子文書に閲覧可能期間を設けることができる。電子文書削除装置３００は、ＩＣカード４００がかざされた際に、その文書格納場所にダウンロードされている電子文書の閲覧可能期間をチェックする。そして、電子文書削除装置３００は、閲覧可能期間が既に経過している電子文書を自動的に削除するようにしてもよい。

また、電子文書閲覧装置２００は、ＩＣカード４００から電子文書を読み出して閲覧する際に、位置取得部２１６が無線ＬＡＮ又はＧＰＳなどのシステムを利用して現在位置を取得して、そこが文書閲覧可能場所であるかどうかを判断する。ここで、文書閲覧可能場所でない場合には、ＨＤＤ２１１内の文書格納場所に記憶された電子文書の閲覧を許可しないか、あるいは自動的に削除し若しくは特定の部分領域に‘０’や‘１’を書き込んで閲覧できないようにする。

以上、特定の実施形態を参照しながら、本発明について詳解してきた。しかしながら、本発明の要旨を逸脱しない範囲で当業者が該実施形態の修正や代用を成し得ることは自明である。

本願発明に係る電子文書の管理方法を、文書属性の管理システムと連携することで、文書閲覧者が所有するクライアント端末（ＰＣ）にダウンロードする電子文書を削除可能な場所にのみ限定することができる。さらに、閲覧禁止の機能と組み合わせることで、より強固なセキュリティーを備えた電子文書管理システムを構築することができる。

また、本発明に係る電子文書管理システムをＩＣカード・システムと連携することができる。

要するに、例示という形態で本発明を開示してきたのであり、本明細書の記載内容を限定的に解釈するべきではない。本発明の要旨を判断するためには、特許請求の範囲を参酌すべきである。

図１は、本発明の一実施形態に係る電子文書管理システムの構成を模式的に示した図である。 図２は、文書サーバー又は電子文書削除装置として動作するコンピューター１００の構成を示した図である。 図３は、クライアント端末として動作するコンピューター２００の構成を示した図である。 図４は、電子文書削除装置として動作するコンピューター３００の構成を示した図である。 図５は、ＩＣカード４００内のメモリ領域の構成を示した図である。 図６は、電子文書に対して閲覧制御情報を設定するための文書プロパティー設定画面の構成例を示した図である。 図７は、指定されたダウンロード先へ電子文書をダウンロードする動作シーケンスを示した図である。 図８は、電子文書管理システムを会議に適用した例を示した図である。 図９は、ＩＣカードから電子文書を削除する動作シーケンスを示した図である。

符号の説明

１００…コンピューター（文書サーバー）
１０１…ＣＰＵ
１０２…ＲＯＭ
１０３…ＲＡＭ
１０４…ローカル・バス
１０５…ブリッジ
１０６…入出力バス
１０７…入出力インターフェース
１０８…キーボード
１０９…ポインティング・デバイス（マウス）
１１０…ディスプレイ
１１１…ＨＤＤ
１１５…通信部
２００…コンピューター（クライアント端末）
２０１…ＣＰＵ
２０２…ＲＯＭ
２０３…ＲＡＭ
２０４…ローカル・バス
２０５…ブリッジ
２０６…入出力バス
２０７…入出力インターフェース
２０８…キーボード
２０９…ポインティング・デバイス（マウス）
２１０…ディスプレイ
２１１…ＨＤＤ
２１５…通信部
２１６…位置取得部
２１７…ＩＣカード読み書き部
３００…コンピューター（電子文書削除装置）
３０１…ＣＰＵ
３０２…ＲＯＭ
３０３…ＲＡＭ
３０４…ローカル・バス
３０５…ブリッジ
３０６…入出力バス
３０７…入出力インターフェース
３０８…キーボード
３０９…ポインティング・デバイス（マウス）
３１０…ディスプレイ
３１１…ＨＤＤ
３１５…通信部
３１６…ＩＣカード読み書き部

Claims (15)

1. 文書提供者が提供する電子文書を格納する電子文書提供装置と、
   文書閲覧者が閲覧する電子文書を格納する文書格納場所となる電子文書記憶装置と、
   前記電子文書提供装置から前記電子文書記憶装置に電子文書をダウンロードするとともに、文書閲覧者が前記電子文書記憶装置に格納された電子文書を閲覧する電子文書閲覧装置と、
   前記電子文書記憶装置に格納されている電子文書を削除する電子文書削除装置と、
   を具備し、
   前記電子文書削除装置は、あらかじめ決められた閲覧可能場所外に存在する前記電子文書記憶装置に格納されている電子文書を削除する、
   ことを特徴とする電子文書管理システム。
2. 前記電子文書閲覧装置の現在の位置情報を取得する位置取得部をさらに備え、
   前記電子文書削除装置は、前記位置取得部が取得した位置情報が前記閲覧可能場所内であるかどうかを判断し、前記閲覧可能場所外に存在すると判断されたときに前記電子文書記憶装置に格納されている電子文書を削除する、
   ことを特徴とする請求項１に記載の電子文書管理システム。
3. 前記電子文書削除装置は、前記電子文書記憶装置が前記閲覧可能場所の外に出る際に、前記電子文書記憶装置に格納されている電子文書を削除する、
   ことを特徴とする請求項１に記載の電子文書管理システム。
4. 前記電子文書記憶装置は、電子文書を格納する文書格納場所となるメモリ領域を備えたＩＣカードであり、
   前記電子文書閲覧装置は、ＩＣカード読み書き部を備え、前記ＩＣカード読み書き部を介して前記ＩＣカードに格納された電子文書を読み出して文書閲覧者の閲覧に供し、
   前記電子文書削除装置は、ＩＣカード読み書き部を備え、前記ＩＣカード読み書き部を介して前記ＩＣカードに電子文書をダウンとロードし、又は、前記ＩＣカードに格納された電子文書を削除する、
   ことを特徴とする請求項１に記載の電子文書管理システム。
5. 文書提供者が提供する電子文書にはダウンロード先となる文書格納場所が指定されており、
   前記電子文書閲覧装置は、前記の指定された文書格納場所となる電子文書記憶装置にのみ電子文書のダウンロードを行なう、
   ことを特徴とする請求項１に記載の電子文書管理システム。
6. 前記電子文書記憶装置は電子文書を格納する文書格納場所となるメモリ領域を備えたＩＣカードであり、文書提供者が提供する電子文書のダウンロード先としてＩＣカード内の文書格納場所が指定されており、
   前記電子文書閲覧装置は、ＩＣカード読み書き部を備え、前記ＩＣカード読み書き部を介して文書閲覧者が所有するＩＣカード内の文書格納場所に電子文書をダウンロードする、
   ことを特徴とする請求項１に記載の電子文書管理システム。
7. 前記電子文書削除装置は、前記閲覧可能場所外に存在する前記電子文書記憶装置に格納されている電子文書の特定の領域を一時的に破壊して閲覧不能な状態にし、前記電子文書記憶装置が前記閲覧可能場所内に戻ったことに応じて前記電子文書記憶装置に格納されている電子文書の前記の破壊された特定の領域を修復して閲覧可能な状態に復元する、
   ことを特徴とする請求項１に記載の電子文書管理システム。
8. 前記電子文書記憶装置は、文書閲覧者を特定する識別情報を格納するとともに、電子文書を格納する文書格納場所となるメモリ領域を備えたＩＣカードであり、
   前記電子文書提供装置から前記ＩＣカード内の文書格納場所に電子文書をダウンロードする際に、前記ＩＣカードから取得した文書閲覧者の情報を記録する閲覧者リストをさらに備える、
   ことを特徴とする請求項１に記載の電子文書管理システム。
9. 前記電子文書削除装置は、前記ＩＣカードから電子文書を削除する度に、前記閲覧者リストから該当する文書閲覧者のエントリを消去する、
   ことを特徴とする請求項８に記載の電子文書管理システム。
10. 前記閲覧可能場所は、施錠及び開錠が自動化された扉を持つ特定の会議室であり、
    前記電子文書削除装置は、前記閲覧者リストからすべての文書閲覧者のエントリが消去されたことを確認した後、前記扉を開錠して文書閲覧者が退出可能な状態にする、
    ことを特徴とする請求項９に記載の電子文書管理システム。
11. 前記閲覧者リストには、前記閲覧可能場所外に電子文書を持ち出すことを許可された文書閲覧者が記録されており、
    前記電子文書削除装置は、前記閲覧可能場所外に存在する電子文書記憶装置から電子文書を削除しようとする際に前記閲覧者リストを照合して、当該電子文書記憶装置を利用する文書閲覧者が電子文書を持ち出すことが許可されている場合には、電子文書を削除せず又は閲覧不能な状態にしない、
    ことを特徴とする請求項８に記載の電子文書管理システム。
12. 電子文書には閲覧可能期間が記録されており、
    前記電子文書削除装置は、前記電子文書記憶装置に格納されている電子文書に記録されている閲覧可能期間が既に経過しているときには、当該電子文書を削除する、
    ことを特徴とする請求項１に記載の電子文書管理システム。
13. 電子文書には閲覧可能場所が記録されており、
    前記電子文書削除装置は、前記電子文書記憶装置に格納されている電子文書に記録されている閲覧可能場所外であるときには、当該電子文書を削除する、
    ことを特徴とする請求項１に記載の電子文書管理システム。
14. 文書提供者が提供する電子文書を格納する電子文書提供装置と、文書閲覧者が閲覧する電子文書を格納する文書格納場所となる電子文書記憶装置と、文書閲覧者が前記電子文書記憶装置に格納された電子文書を閲覧する電子文書閲覧装置と、前記電子文書記憶装置に格納されている電子文書を削除する電子文書削除装置で構成される電子文書管理システムにおいて、電子文書を管理する電子文書管理方法であって、
    前記電子文書提供装置から前記電子文書記憶装置に電子文書をダウンロードするステップと、
    前記電子文書削除装置が、あらかじめ決められた閲覧可能場所外に存在する前記電子文書記憶装置に格納されている電子文書を削除するステップと、
    を具備することを特徴とする電子文書管理方法。
15. 文書提供者が提供する電子文書を格納する電子文書提供装置と、文書閲覧者が閲覧する電子文書を格納する文書格納場所となる電子文書記憶装置と、文書閲覧者が前記電子文書記憶装置に格納された電子文書を閲覧する電子文書閲覧装置と、前記電子文書記憶装置に格納されている電子文書を削除する電子文書削除装置で構成される電子文書管理システムにおいて、電子文書を管理するための処理をコンピューター上で実行するようにコンピューター可読形式で記述されたコンピューター・プログラムであって、前記コンピューターに対し、
    前記電子文書提供装置から前記電子文書記憶装置に電子文書をダウンロードする手順と、
    前記電子文書削除装置が、あらかじめ決められた閲覧可能場所外に存在する前記電子文書記憶装置に格納されている電子文書を削除する手順と、
    を実行させることを特徴とするコンピューター・プログラム。