JP2010224947A - 文書送信制御システム、送信制御装置およびプログラム - Google Patents

Abstract

【課題】文書配信システムにおいて、予め設定された特定の情報についての誤配信を自動的に検知して防止する。
【解決手段】文書データを入力するための入力装置３００と、文書データの種類ごとにその開示が許される送信先の範囲が記録された開示情報を保持するセキュリティ情報管理部１２０と、少なくとも送信対象である文書データの種類を特定するための処理および送信先の情報を規定する処理規則を保持するフロー定義保持部１１０と、入力装置３００により入力された文書データを処理規則にしたがって処理し送信するジョブ実行部１３０とを備える。このジョブ実行部１３０は、処理規則にしたがって文書データの種類を特定し、この文書データの開示情報に記録された範囲と処理規則に規定された送信先の情報とを比較し、送信先の情報により特定される送信先が開示情報の範囲に含まれていない場合に、文書データの送信を停止する。
【選択図】図３

Description

本発明は、文書の送信を制御するシステム、送信制御装置およびプログラムに関する。

従来、相互に接続された種々の情報処理装置間で、一定の規則の下で情報を自動配信する情報配信システムが存在する。このようなシステムでは、誤配信や所望の配信先に情報が配信されないというような不具合を防止するため、様々な仕組みが提案されている。

例えば、特許文献１に記載された従来技術は、依頼元の端末と依頼先の端末とが、情報配信サーバを介して接続し、情報配信サーバがさらにデータベースに接続するシステムである。データベースには、各社員に付与された従業員コードと、この従業員コードに対応して記憶された各社員についての情報とが格納されている。情報配信サーバは、依頼元の端末から業務依頼が送信されると、この業務依頼に設定された条件に基づいてデータベースで依頼先を検索し、抽出された依頼先の端末に業務依頼を送信するとともに、依頼元の端末には送信を完了したことを通知する。依頼を受けた依頼先の端末では、情報配信サーバを介して依頼元の端末に返信を行う。

また、特許文献２に記載された従来技術は、送信ユーザと受信ユーザを認証するユーザ認証マネージャと、送信ユーザのために電子ドキュメントを作成するドキュメントデジタイザと、前記電子ドキュメントを格納するメモリストアと、認証された受信ユーザが前記電子ドキュメントにアクセスしたときに、必須の送信確認を記録する確認マネージャとを含む、ドキュメントの確認伝送装置である。これにより、意図する受信ユーザにはオプションで、新しいドキュメントのレビューが可能であることが伝えられる。送信ユーザにはオプションで、必須の送信確認が記録されたことが伝えられる。

特開２００７−２０６９６８号公報 特開２００７−５２７８６号公報

この種のシステムでは、機密情報や個人情報のような特定の相手に対してのみ配信が許される情報が配信される場合がある。そこで、このような情報の誤配信を防止する手段が必要となるが、送信先の設定間違い等のような人的誤操作を完全に防止することは容易ではない。
本発明の目的は、文書配信システムにおいて、予め設定された特定の情報についての誤配信を自動的に検知して防止することにある。

請求項１に記載の発明は、文書データを入力するための入力手段と、文書データの種類ごとに当該文書データの開示が許される送信先の範囲が記録された開示情報を保持する開示情報保持手段と、少なくとも送信対象である文書データに対する処理および送信先の情報を規定する処理規則を保持する規則保持手段と、前記入力手段により入力された前記文書データを前記処理規則にしたがって処理し送信する送信手段と、当該文書データの前記開示情報に記録された前記範囲と当該処理規則に規定された前記送信先の情報とを比較し、当該送信先の情報により特定される送信先が当該範囲に含まれていない場合に、当該文書データの送信を停止する制御手段と、を備えることを特徴とする文書送信制御システムである。
請求項２に記載の発明は、前記開示情報保持手段は、前記文書データに含まれる特定情報の開示が許される送信先の範囲が記録された開示情報をさらに保持し、前記制御手段は、前記処理規則に規定された前記送信先の情報により特定される送信先が前記特定情報に関する前記開示情報の送信先の範囲に含まれていない場合にも、前記文書データの送信を停止することを特徴とする請求項１に記載の文書送信制御システムである。
請求項３に記載の発明は、停止した前記文書データの送信に関して、送信内容の変更を指示する指示手段をさらに備え、前記制御手段は、前記送信内容の変更の指示に基づき、前記文書データおよび前記開示情報のうち少なくともいずれか一つを変更して当該文書データの送信を行うことを特徴とする請求項１または請求項２に記載の文書送信制御システムである。
請求項４に記載の発明は、前記指示手段は、前記文書データの送信の停止条件に応じて前記送信内容を変更する権限を持つ使用者の端末装置であって、表示装置に実行可能な送信内容の変更処理の種類を表示し、ユーザによる当該変更処理の選択操作を受け付ける端末装置であることを特徴とする請求項３に記載の文書送信制御システムである。
請求項５に記載の発明は、前記規則保持手段は、複数の前記処理規則を保持し、前記入力手段は、入力した前記文書データに対して適用する前記処理規則を特定する操作を受け付け、特定された当該処理規則の情報を前記制御手段に送り、前記制御手段は、前記入力手段から取得した情報により特定される前記処理規則にしたがって、前記文書データの送信を制御することを特徴とする請求項１に記載の文書送信制御システムである。
請求項６に記載の発明は、前記入力手段は、文書を入力する操作者の認証を行い、認証情報を前記制御手段に送り、前記制御手段は、前記入力手段から取得した認証情報により特定される前記開示情報に基づいて、前記文書データの送信を制御することを特徴とする請求項１に記載の文書送信制御システムである。
請求項７に記載の発明は、入力装置により入力された文書データを、予め定められた送信先の情報を含む処理規則にしたがって送信する送信制御装置において、当該文書データおよび当該文書データに含まれる特定情報のうち少なくともいずれか一方に関して、その開示が許される送信先の範囲が記録された開示情報を保持する開示情報保持部と、少なくとも文書データに対する処理および送信先の情報を規定する処理規則を保持する規則保持部と、当該文書データの前記開示情報に記録された前記範囲と当該処理規則に規定された前記送信先の情報とを比較し、当該送信先の情報により特定される送信先が当該範囲に含まれていない場合に、当該文書データの送信を停止する処理実行部と、を備えることを特徴とする送信制御装置である。
請求項８に記載の発明は、外部の端末装置において行われた、停止した前記文書データの送信に関する送信内容の変更指示を受け付ける受け付け部をさらに備え、前記処理実行部は、前記送信内容の変更指示に基づき、前記文書データおよび前記開示情報のうち少なくともいずれか一つを変更して当該文書データの送信を行うことを特徴とする請求項７に記載の送信制御装置である。
請求項９に記載の発明は、前記受け付け部は、前記端末装置の表示手段に実行可能な送信内容の変更処理の種類を表示させ、当該端末装置におけるユーザによる当該変更処理の選択操作を受け付けることを特徴とする請求項８に記載の送信制御装置である。
請求項１０に記載の発明は、前記受け付け部は、前記文書データの送信の停止条件に応じて前記送信内容を変更する権限を持つ使用者の端末装置に対して、前記変更指示の入力を依頼し、入力された変更指示を受け付けることを特徴とする請求項８に記載の送信制御装置である。
請求項１１に記載の発明は、コンピュータを、文書データおよび当該文書データに含まれる特定情報のうち少なくともいずれか一方に関して、その開示が許される送信先の範囲が記録された開示情報を記憶装置に保持する開示情報保持手段と、少なくとも文書データに対する処理および送信先の情報を規定する処理規則を記憶装置に保持する規則保持手段と、入力装置により入力された前記文書データを前記処理規則にしたがって処理し送信する送信手段と、当該文書データの前記開示情報に記録された前記範囲と当該処理規則に規定された前記送信先の情報とを比較し、当該送信先の情報により特定される送信先が当該範囲に含まれていない場合に、当該文書データの送信を停止する処理実行手段として、機能させることを特徴とするプログラムである。
請求項１２に記載の発明は、前記コンピュータを、外部の端末装置において行われた、停止した前記文書データの送信に関する送信内容の変更指示を受け付ける受け付け手段として、さらに機能させ、前記処理実行手段は、前記送信内容の変更指示に基づき、前記文書データおよび前記開示情報のうち少なくともいずれか一つを変更して当該文書データの送信を行うことを特徴とする、請求項１１に記載のプログラムである。
請求項１３に記載の発明は、前記受け付け手段は、前記端末装置の表示手段に実行可能な送信内容の変更処理の種類を表示させ、当該端末装置におけるユーザによる当該変更処理の選択操作を受け付けることを特徴とする請求項１２に記載のプログラムである。

請求項１の発明によれば、処理規則および開示情報に基づいて、特定の文書の誤配信を自動的に検知して防止することができる。
請求項２の発明によれば、文書に記載された特定の情報を自動的に検知して防止することができる。
請求項３の発明によれば、ユーザの指示に基づく操作により、停止条件を解消して文書の送信を実行することができる。
請求項４の発明によれば、停止条件に応じて用意された停止条件を解消するための操作の中から、権限を持つユーザの操作により選択された操作を行うことができる。
請求項５の発明によれば、複数の処理規則の中から選択された処理規則に基づいて文書の送信制御を行うことができる。
請求項６の発明によれば、文書の送信者ごとに異なる開示範囲を適用して文書の送信制御を行うことができる。
請求項７の発明によれば、処理規則および開示情報に基づいて、入力装置により入力された文書の誤配信を自動的に検知して防止することができる。
請求項８の発明によれば、ユーザの指示に基づく操作により、停止条件を解消して文書の送信を実行することができる。
請求項９の発明によれば、停止条件に応じて用意された停止条件を解消するための操作の中から選択された操作を行うことができる。
請求項１０の発明によれば、停止条件に応じて異なる、権限を持つユーザの操作により選択された操作を行うことができる。
請求項１１の発明によれば、コンピュータで実現される機能により、処理規則および開示情報に基づいて、入力装置により入力された文書の誤配信を自動的に検知して防止することができる。
請求項１２の発明によれば、停止条件に応じて用意された停止条件を解消するための操作の中から選択された操作を行うことができる。
請求項１３の発明によれば、停止条件に応じて異なる、権限を持つユーザの操作により選択された操作を行うことができる。

以下、添付図面を参照して、本発明の実施形態について詳細に説明する。
＜システム構成＞
図１は、本実施形態の文書配信システムの全体構成を示す図である。
図１に示すシステムは、スキャナによる読み取りやファクシミリの受信によって取得された文書を、各種の機器に配信するシステムである。図１を参照すると、この文書配信システムは、システムによる文書配信を制御するサーバ１００と、サーバ１００に接続された端末装置２００、入力装置３００、プリンタ４００、データベース５００を備える。

サーバ１００は、配信対象の文書を入力装置３００から取得し、配信先の機器群に配信する。図１に示す例では、端末装置２００、プリンタ４００、データベース５００等が配信先の機器となる。文書の配信制御は、フロー定義と呼ばれるジョブの処理に関する規則を記載した定義ファイル（処理規則）にしたがって行われる。フロー定義は複数用意されており、文書を配信するための配信指示であるジョブにおいて、所望のフロー定義が選択されることにより、具体的な配信方法や配信先が特定されることとなる。ジョブには、サーバ１００がジョブを実行するために用いられる属性情報と、配信対象である文書（データ）とが含まれる。

図２は、ジョブの構成例を示す図である。
図２に示すジョブには、個々のジョブを識別するためのジョブＩＤと、文書の送信者を特定するための送信者情報と、ジョブの実行に際して使用されるフロー定義を特定するためのフロー定義ＩＤとが含まれる。また、配信対象である文書（データ）、文書のプロファイル情報（以下、文書プロファイル）が含まれる。さらにジョブ自身の属性情報として、配信対象の文書から得られるキーワード（以下、文書キーワード）および個人情報、文書の送信先および送信方法の情報等が含まれる。詳しくは後述するが、これらの情報のうち、文書キーワードは、フロー定義にしたがって、サーバ１００の処理により抽出され、ジョブに記録される。

また本実施形態では、サーバ１００は、入力装置３００から取得したジョブの内容を解析し、予め設定された条件に該当する場合、ジョブの実行を停止する。そして、このジョブの停止条件に応じた対応措置が執られた場合、このジョブの実行を再開する。ジョブの停止および再開を含むサーバ１００の機能および動作の詳細については後述する。

端末装置２００は、サーバ１００による文書の配信先の１つである。フロー定義により配信先に指定されている場合に配信先となる。また本実施形態では、端末装置２００は、サーバ１００において停止されたジョブに対する操作を行う。停止されたジョブに対する操作の内容は、ジョブを停止させた停止条件に応じて異なる。その具体的な内容は、サーバ１００におけるジョブの停止および再開の動作と共に後述する。

入力装置３００は、配信対象の文書を含むジョブをシステムに投入するための装置である。具体的には、例えばスキャナやファクシミリ、あるいはこれらの機能を備えた複合機や、メール送信装置等により実現される。すなわち、本実施形態では、スキャナで読み取られた文書やファクシミリで受信された文書やファクシミリで送信する文書やメール送信する文書を配信対象として含むジョブが生成されてサーバ１００に送信され、このジョブが実行されることによって、文書が配信先の機器群やユーザ（受信者）に対して配信される。また、入力装置３００によりジョブを投入する際には、入力装置３００を使用するユーザ（送信者）の認証が行われ、送信者を特定する情報（送信者情報）が取得される。さらに、ユーザの入力装置３００に対する操作により処理対象文書の一連の処理を定義したフロー定義が選択され、フロー定義ＩＤが取得される。取得された送信者情報およびフロー定義ＩＤは、図２に示したように、ジョブに記録される。

プリンタ４００は、サーバ１００による文書の配信先の１つである。フロー定義により配信先に指定されている場合に配信先となる。プリンタ４００は、受信した文書を印刷出力する。
データベース５００は、サーバ１００による文書の配信先の１つである。フロー定義により配信先に指定されている場合に配信先となる。データベース５００は、受信した文書を蓄積し、管理する。

図３は、サーバ１００の機能構成を示す図である。
図３に示すように、サーバ１００は、ジョブの実行に用いられるフロー定義を保持するフロー定義保持部１１０と、ジョブの実行に用いられるセキュリティ情報を管理するセキュリティ情報管理部１２０と、ジョブを実行するジョブ実行部１３０とを備える。また、サーバ１００は、ジョブ実行部１３０が実行しているジョブのリスト（ジョブリスト）を作成するジョブリスト作成部１４０と、ジョブの実行に関して外部からの操作を受け付けるための対話ＵＩ（ユーザ・インターフェイス）制御部１５０とを備える。

フロー定義保持部１１０は、ジョブの実行に際して使用されるフロー定義を保持する。
図４は、フロー定義の構成例を示す図である。
図４に示すフロー定義は、各フロー定義の識別情報であるフロー定義ＩＤごとに、文書に対するフローの処理を定義した情報として、「処理」、「配信先」、「停止条件」、「ジョブ操作者」、「停止時の操作」、「フロー利用可能者」、の各項目の情報が登録されている。ここで、「処理」には、そのフロー定義が選択された場合に、ジョブの実行に伴って行われる処理が登録される。文書から文書キーワードや個人情報を取得するための処理も、この項目に記載される。「配信先」は、そのフロー定義が選択された場合に、ジョブの実行に伴って行われる処理の一つである配信処理に関する情報、すなわちジョブに含まれる文書の配信先および配信の方法が登録される。「停止条件」には、そのフロー定義が選択された場合に、ジョブの実行を停止させるための条件が登録される。「ジョブ操作者」には、そのフロー定義が選択された場合に、停止条件を回避するためにジョブに対して操作を行うことが許されている操作者が登録される。「停止時の操作」には、ジョブ操作者として登録された操作者が行うことが可能な操作の内容が登録される。

セキュリティ情報管理部１２０は、セキュリティ情報として、個人情報や文書の開示が許される範囲についての情報を管理する。具体的には、例えば、システムを使用するユーザのユーザ情報、ユーザに関する個人情報の取り扱いが許される範囲を設定した個人情報取り扱い範囲情報、文書の開示が許される配信先の範囲を文書の種類に応じて設定した開示範囲情報が管理される。すなわち、セキュリティ情報管理部１２０は、ユーザ情報保持手段であり、個人情報取り扱い範囲情報保持手段であり、開示範囲情報保持手段である。

図５は、セキュリティ情報の１つであるユーザ情報の構成例を示す図である。
図５に示すユーザ情報には、各ユーザの所属組織（所属グループおよび所属部署）と、役職とが記録されている。また、図示していないが、電子メールアドレスや電話番号等の個人情報も、このユーザ情報に記録される。

図６は、セキュリティ情報の１つである個人情報取り扱い範囲情報の構成例を示す図である。
図６に示す個人情報取り扱い範囲情報には、各ユーザの４つの個人情報（名前、電子メールアドレス、性別、電話番号）に関して、特定の取扱者が扱うことのできる範囲が規定されている。図において、取り扱いが許可されている情報には「○」が記載されており、取り扱いが許可されていない情報には「×」が記載されている。例えば、ユーザＡの個人情報に関して、ユーザＡが所属するグループＥのグループ長は、電話番号以外の情報を開示することができる。また、所属部長は、ユーザＡの全ての情報を開示することができる。

図７は、セキュリティ情報の１つである開示範囲情報の構成例を示す図である。
図７に示す開示範囲情報には、文書キーワードによって特定される文書ごとに、グループ内、所属部署内、社内の３段階で、開示可能な範囲が規定されている。例えば、「１１１プロジェクト」という文書キーワードが付された文書は、Ｅグループ内と、その他の責任者に対してのみ開示することができる。また、「２２２プロジェクト」という文書キーワードが付された文書は、ＡＢＣ部とＤＥＦ部の内部でのみ開示することができる。ここで、文書キーワードは、文書自体から抽出された特定の語句であり、文書に対する記録の仕方に応じて種々の手法で取得される。例えば、文書のデータや文書プロファイルにテキストデータとして記録されている場合は、このテキストデータを抽出して取得する。また、文書にＱＲコード等のコード画像で記録されている場合は、画像処理によりコード画像を読み取って取得する。また、テキスト文書で取得した文書は、文書に含まれる文字列から取得する。

ジョブ実行部１３０は、入力装置３００からジョブを取得し、解析して実行する。ジョブの実行は、フロー定義およびジョブの属性情報にしたがって行われる。また、ジョブ実行部１３０は、ジョブがフロー定義に記述される停止条件に該当する場合は、ジョブの実行を停止する。そして、停止条件を回避するための外部操作が行われた場合は、この操作を受け付け、ジョブや文書の内容を変更して再開したり、ジョブを終了（キャンセル）したりする。

ジョブがフロー定義に記述される停止条件に該当するか否かの判断は、次のようにして行われる。
ジョブ実行部１３０は、まずジョブの属性情報からフロー定義ＩＤを取得し、このフロー定義ＩＤに対応するフロー定義を、フロー定義保持部１１０から取得する。そして、フロー定義の「処理」に記述された処理を行う前に、文書から文書キーワードを取得し、この文書キーワードに対応する開示範囲情報を、セキュリティ情報管理部１２０から取得する。また、ジョブの属性情報から送信者情報を取得し、この送信者情報に対応するユーザ情報および個人情報取り扱い範囲情報を、セキュリティ情報管理部１２０から取得する。

次に、ジョブ実行部１３０は、ユーザ情報に記載されたユーザの所属組織に関する情報と開示範囲情報とに基づき、文書を開示可能な範囲を特定する。そして、得られた範囲とフロー定義の「配信方法」に記載された配信先とを比較し、文書の配信先が開示範囲に関する停止条件に該当していないかを判断する。また、フロー定義の「処理」に記述された処理を行って文書から個人情報を取得し、取得した個人情報とユーザの所属組織に関する情報と開示情報とを比較し、個人情報の取り扱いが停止条件に該当していないかを判断する。このようにして、文書の開示範囲および個人情報の取り扱いの範囲の少なくとも一方が、開示範囲情報および個人情報取り扱い範囲情報に記載された範囲を超え、停止条件に該当する場合は、ジョブ実行部１３０は、このジョブの実行を停止する。

さらに、ジョブ実行部１３０は、停止したジョブに関して、ユーザによる操作を受け付けて、その内容を変更する。そして、ジョブがフロー定義の停止条件に該当しなくなったならば、その変更後の内容でフロー定義に記述されたジョブ処理を実行する。また、停止条件およびユーザ操作による選択によっては、ジョブは実行されずキャンセルされる。ジョブが停止条件に該当して停止した際にユーザがどのような操作を選択できるかは、フロー定義の「停止時の操作」に記述される。例えば、図４に示したフロー定義において、フロー定義ＩＤ「１」が選択され、「個人情報の取り扱い範囲が異なっている」という停止条件に該当してジョブが停止した場合、停止時の操作として、「個人情報をマスクして送信」と「ジョブのキャンセル」のいずれかを選択することができる。前者が選択された場合、文書に付加された個人情報がマスクされ（例えば、文書画像中の個人情報に相当する領域部分画像を黒く塗りまたは白抜き処理をしたり、文書ファイルに付随する属性情報としての個人情報に相当する情報を削除する、といった処理を行う）、その修正された内容でジョブが実行される。一方、後者が選択された場合、ジョブはキャンセルされる。

ジョブリスト作成部１４０は、システムに係属しているジョブに関する情報の一覧であるジョブリストを作成する。作成されたジョブリストは、端末装置２００からの要求に応じてサーバ１００から端末装置２００へ送られる。また、ジョブがフロー定義に記載された「停止条件」に該当して停止した場合に、ジョブ実行部１３０により、「ジョブ操作者」に記載されたユーザの端末装置２００に送信される。そして、端末装置２００において、ジョブリストを提示するための表示画面が作成され、表示装置に表示される。

図８は、ジョブリストの表示画面の構成例を示す図である。
図８に示すジョブリストの表示画面には、ジョブの現在の状態、そのジョブを実行するために指定されたフロー定義のフロー定義ＩＤ、ジョブ受付時刻が表示されている。また、「詳細表示」のボタンオブジェクトを選択することにより、個々のジョブに関してさらに詳細な情報が表示される。一時停止の状態のジョブに関して、「詳細表示」ボタンが選択されると、停止状態のジョブに対する操作を行うための対話ＵＩ（ユーザ・インターフェイス）が表示される。

対話ＵＩ制御部１５０は、ジョブリストを送信した端末装置２００において、一時停止の状態のジョブに関して「詳細表示」ボタンが選択された場合に、その端末装置２００に対話ＵＩを表示させ、ユーザの操作を受け付ける。ユーザは、自身の端末装置２００に表示された対話ＵＩを参照してジョブが該当している停止条件を確認し、この停止条件を回避するために必要な操作を実行するか否かを選択する。また、ジョブに対して行い得る操作が複数ある場合、ユーザは、この対話ＵＩにより行おうとする操作を選択する。選択された操作は、対話ＵＩ制御部１５０からジョブ実行部１３０に通知され、ジョブ実行部１３０において実行される。

図９および図１０は、対話ＵＩの表示画面の構成例を示す図である。
図９および図１０に示す対話ＵＩには、ジョブが一時停止していることを示すメッセージと、該当した停止条件、ジョブの状態（一時停止）、ジョブを実行するために選択されているフロー定義のフロー定義ＩＤ（図ではフローＩＤ）、ジョブ受付日時、文書キーワードが表示されている。これらの情報は、必須の提示情報であり、ジョブが該当する停止条件に関わらず、共通して対話ＵＩに表示される。

図９の対話ＵＩには、さらに、文書のプレビューを表示させるためのボタンオブジェクトが設けられている。また、図１０の対話ＵＩには、さらに、停止条件に応じたメッセージが表示され、行い得る操作として複数の操作が選択できるようになっている。これらの情報は、ジョブが該当する停止条件の種類に応じて個別に作成され、対話ＵＩにおいて提示される。

＜ジョブ実行部の動作＞
次に、ジョブ実行部１３０の動作の流れを説明する。
初期的に、入力装置３００において送信対象の文書が入力され、使用するフロー定義が指定され、ユーザ（送信者）認証が行われて、システムにジョブが投入されたものとする。ジョブには、送信対象である文書と共に、属性情報として、ジョブＩＤ、送信者情報、フロー定義ＩＤが含まれる。また、文書の送信方法によっては、宛先の電子メールアドレス等の付加情報が付加される。

図１１−１〜図１１−３は、ジョブ実行部１３０による動作の流れを示すフローチャートである。
図１１−１〜図１１−３に示すように、ジョブ実行部１３０は、入力装置３００からジョブを取得すると（ステップ１１０１）、まず属性情報のフロー定義ＩＤに基づいて、フロー定義保持部１１０から該当するフロー定義を取得する（ステップ１１０２）。また、文書を処理して文書キーワードを抽出する（ステップ１１０３）。

次に、ジョブ実行部１３０は、ジョブの属性情報の送信者情報と抽出した文書キーワードとに基づいて、セキュリティ情報管理部１２０から該当するセキュリティ情報（ユーザ情報、個人情報取り扱い範囲情報、開示範囲情報）を取得する（ステップ１１０４）。そして、ユーザ情報および開示範囲情報から得られる文書を開示可能な範囲と、ステップ１１０２で取得したフロー定義の「配信方法」に記載された配信先とを比較する（ステップ１１０５）。

配信先が文書を開示可能な範囲に含まれている場合（ステップ１１０６でＹｅｓ）、次にジョブ実行部１３０は、文書から個人情報を抽出する（ステップ１１０７）。個人情報の抽出は、例えば、文書の書式に基づいて個人情報が記載される場所から読み取ったり、特定形式の文字列（電話番号であれば一定桁数の数字列、電子メールアドレスであれば文字「＠」とドット「．」を含む文字列等）を検出したりすることによって行われる。個人情報が抽出できた場合（ステップ１１０８でＹｅｓ）、ジョブ実行部１３０は、抽出された個人情報と配信先とに基づき、ジョブの内容が、個人情報取り扱い範囲情報から得られる個人情報を開示可能な範囲を逸脱していないかを調べる（ステップ１１０９）。

文書中に個人情報が存在しない場合（ステップ１１０８でＮｏ）、およびジョブの内容が個人情報取り扱い範囲情報から得られる個人情報を開示可能な範囲内である場合は（ステップ１１１０でＹｅｓ）、この文書をフロー定義にしたがって配信しても問題はないので、そのままジョブを実行することにより文書を配信する（ステップ１１１１）。

配信先が文書を開示可能な範囲に含まれていない場合（ステップ１１０６でＮｏ）、次にジョブ実行部１３０は、フロー定義の「停止条件」に開示範囲が異なっていることが含まれているかを調べる。停止条件でない場合（ステップ１１１２でＮｏ）、ジョブを停止する必要はないので、ステップ１１０７へ進む。一方、開示範囲が異なっていることが停止条件である場合（ステップ１１１２でＹｅｓ）、ジョブ実行部１３０は、ジョブリスト作成部１４０にジョブリストを作成させ、フロー定義の「ジョブ操作者」に記載されたユーザの端末装置２００へ送信する（ステップ１１１３）。そして、ユーザによる操作を受け付け（ステップ１１１４）、操作内容がジョブのキャンセルであれば（ステップ１１１５でＹｅｓ）、ジョブを終了する。ジョブのキャンセル以外の操作を受け付けた場合（ステップ１１１５でＮｏ）、ジョブ実行部１３０は、選択された操作をジョブに対して行った後（ステップ１１１６）、ステップ１１０７へ進む。

なお、開示範囲情報に文書の開示範囲が規定されておらず、開示範囲の指定がないことが停止条件となっている場合も、同様の処理（ステップ１１１２〜ステップ１１１６）が行われる。

文書から抽出された個人情報により、ジョブの内容が個人情報取り扱い範囲情報から得られる個人情報を開示可能な範囲を逸脱する場合（ステップ１１１０でＮｏ）、次にジョブ実行部１３０は、フロー定義の「停止条件」に個人情報の取り扱い範囲が異なっていることが含まれているかを調べる。停止条件でない場合（ステップ１１１７でＮｏ）、ジョブを停止する必要はないので、ステップ１１１１へ進み、文書を配信する。一方、個人情報の取り扱い範囲が異なっていることが停止条件である場合（ステップ１１１７でＹｅｓ）、ジョブ実行部１３０は、ジョブリスト作成部１４０にジョブリストを作成させ、フロー定義の「ジョブ操作者」に記載されたユーザの端末装置２００へ送信する（ステップ１１１８）。そして、ユーザによる操作を受け付け（ステップ１１１９）、操作内容がジョブのキャンセルであれば（ステップ１１２０でＹｅｓ）、ジョブを終了する。ジョブのキャンセル以外の操作を受け付けた場合（ステップ１１２０でＮｏ）、ジョブ実行部１３０は、選択された操作をジョブに対して行った後（ステップ１１２１）、ステップ１１１１へ進み、文書を配信する。

なお、上記の動作例では、配信先の適否について調べた後（ステップ１１０５、１１０６）に個人情報の適否について調べた（ステップ１１０７〜１１１０）が、これらの動作は独立であるため、どちらを先に行っても良いし、並列に実行しても構わない。

＜具体例＞
次に、具体的なジョブの例を挙げて、本実施形態の動作をさらに説明する。
以下の具体例では、図４に示したフロー定義および図５〜図７に示したセキュリティ情報が使用されるものとする。
ユーザＡが、入力装置３００であるスキャナを用いて文書を読み取り、送信対象として入力したものとする。文書には、ＱＲコードで文書キーワード「１１１プロジェクト」が記録されている。ここで、ジョブの実行に際して使用されるフロー定義が指定されるが、フロー定義ＩＤ「３」が指定されるべきところ、誤ってフロー定義ＩＤ「１」が指定されてジョブが作成されたものとする。また、スキャナ使用時のユーザ認証により、送信者情報として「ユーザＡ」が取得され、ジョブに記録される。

サーバ１００が上記のジョブを入力装置３００から受信すると、ジョブ実行部１３０は、まず、ジョブの属性情報に記載されたフロー定義ＩＤに基づいてＩＤ「１」のフロー定義をフロー定義保持部１１０から取得する。また、ジョブ実行部１３０は、文書に付加されたＱＲコードを復号して文書キーワード「１１１プロジェクト」を取得する。そして、この文書キーワード「１１１プロジェクト」とジョブの属性情報に記載された送信者情報「ユーザＡ」に基づいて、ユーザＡに関するユーザ情報および個人情報取り扱い範囲情報と、１１１プロジェクトの文書に関する開示範囲情報とを取得する。以上の動作は、図１１−１に示したステップ１１０１〜１１０４の動作に対応している。

次に、ジョブ実行部１３０は、開示範囲情報とフロー定義とを比較する。ここでは、１１１プロジェクトの文書の開示可能な範囲が「Ｅグループ」、所属部署の「責任者のみ」、社内の「責任者のみ」であり、フロー定義の「配信方法」が「ＤＥＦ部の文書データベース（ＤＢ）へ登録」であるので、文書の配信先が開示可能な範囲に合致していない。そして、フロー定義の「停止条件」を参照すると、「開示範囲が異なっている」ことが停止条件である。そこで、ジョブ実行部１３０は、ジョブの実行を一時停止し、フロー定義の「ジョブ操作者」に記載された「送信者」にジョブリストを送信する。ジョブリストの送信先は、送信者であるユーザＡの端末装置２００であるが、送信者が使用した入力装置３００としても良い。以上の動作は、図１１−１および図１１−２に示したステップ１１０５、１１０６、１１１２、１１１３の動作に対応している。

次に、ユーザＡが端末装置２００に表示されたジョブリストを参照し、一時停止中である上記ジョブに関する対話ＵＩを開いたものとする。このとき、ユーザＡの端末装置２００には、図９に示した画面が表示される。フロー定義の「停止時の操作」によれば、選択し得る操作は「ジョブのキャンセル」のみである。ユーザＡが対話ＵＩにより操作を選択すると、この操作を対話ＵＩ制御部１５０が受け付け、ジョブ実行部１３０が実行する。ここでは、「ジョブのキャンセル」が選択されるので、文書は配信されることなくジョブが終了する。以上の動作は、図１１−２に示したステップ１１１４、１１１５の動作に対応している。

次に、別のジョブの例を挙げる。
ユーザＢが、入力装置３００から送信対象の文書を入力したものとする。この動作例では、文書データベース（ＤＢ）から文書を読み出して提供するウェブサービスを行うウェブサーバを入力装置３００とする。文書のプロパティには、文書キーワード「２２２プロジェクト」が記録されている。また、文書内にはユーザＡの個人情報である電話番号が記載されている。ジョブの実行に際して使用されるフロー定義は、フロー定義ＩＤ「２」が指定されてジョブが作成されたものとする。また、ウェブサーバへアクセスした際のユーザ認証により、送信者情報として「ユーザＢ」が取得され、ジョブに記録される。

サーバ１００が上記のジョブを入力装置３００から受信すると、ジョブ実行部１３０は、まず、ジョブの属性情報に記載されたフロー定義ＩＤに基づいてＩＤ「２」のフロー定義をフロー定義保持部１１０から取得する。また、ジョブ実行部１３０は、文書のプロパティから文書キーワード「２２２プロジェクト」を取得する。そして、この文書キーワード「２２２プロジェクト」とジョブの属性情報に記載された送信者情報「ユーザＢ」に基づいて、ユーザＢに関するユーザ情報および個人情報取り扱い範囲情報と、２２２プロジェクトの文書に関する開示範囲情報とを取得する。以上の動作は、図１１−１に示したステップ１１０１〜１１０４の動作に対応している。

次に、ジョブ実行部１３０は、開示範囲情報とフロー定義とを比較する。ここでは、２２２プロジェクトの文書の開示可能な範囲が「ＡＢＣ部」と「ＤＥＦ部」であり、フロー定義の「配信方法」が「ＡＢＣ部の部長とＤＥＦ部の部長へメール送信」であるので、文書の配信先が開示可能な範囲に含まれている。したがって、次にジョブ実行部１３０は、文書から個人情報を抽出する。ここでは、文書の書式や文字列の記載形式等を手がかりにユーザＡの電話番号が抽出される。ユーザ情報および個人情報取り扱い範囲情報を参照すると、ユーザＡの電話番号は、所属部長であるＡＢＣ部の部長に対しては開示することが許されているが、ＤＥＦ部の部長に対しては開示することが許されていない。そして、フロー定義の「停止条件」を参照すると、「個人情報の取り扱い範囲が異なっている」ことが停止条件である。そこで、ジョブ実行部１３０は、ジョブの実行を一時停止し、フロー定義の「ジョブ操作者」に記載された「個人情報ユーザ」であるユーザＡの端末装置２００にジョブリストを送信する。以上の動作は、図１１−１および図１１−３に示したステップ１１０５〜１１１０、１１１７、１１１８の動作に対応している。

次に、ユーザＡが端末装置２００に表示されたジョブリストを参照し、一時停止中である上記ジョブに関する対話ＵＩを開いたものとする。このとき、ユーザＡの端末装置２００には、図１０に示した画面が表示される。フロー定義の「停止時の操作」によれば、選択し得る操作は「開示を拒否する」、「開示を一時的に許可する」、「開示を許可する」の三つである。このうち、「開示を一時的に許可する」は、現在のジョブに関してのみ例外的に個人情報の開示を許可するものである。「開示を許可する」は、この後も継続的に、ユーザＡの電話番号をＤＥＦ部の部長に対して開示することを許可するものである。

ユーザＡが対話ＵＩにより操作を選択すると、この操作を対話ＵＩ制御部１５０が受け付け、ジョブ実行部１３０が実行する。ここでは、「開示を許可する」が選択されたものとする。これにより、文書はＡＢＣ部の部長およびＤＥＦ部の部長へ電子メールを用いて送信される。また、これ以降、ユーザＡの電話番号は、ＤＥＦ部の部長に対して開示可能となるので、個人情報取り扱い範囲情報が書き替えられる。

図１２は、図６に示した個人情報取り扱い範囲情報を更新した状態を示す図である。
図１２と図６とを比較すると、ユーザＡの個人情報取扱者としてＤＥＦ部長が追加され、電話番号を含む各情報が取り扱い可能となっている。以上の動作は、図１１−３に示したステップ１１１９〜１１２１および図１１−１に示したステップ１１１１の動作に対応している。

＜サーバおよび端末装置のハードウェア構成例＞
図１３は、サーバ１００および端末装置２００を実現するコンピュータのハードウェア構成例を示す図である。
図１３に示すコンピュータ１０は、演算手段であるＣＰＵ（Central Processing Unit）１０ａと、記憶手段である主記憶装置（メインメモリ）１０ｂおよび外部記憶装置１０ｃを備える。外部記憶装置１０ｃとしては、一般に磁気ディスク装置（ＨＤＤ：Hard Disk Drive）が用いられる。また、図１３のコンピュータ１０は、ネットワークを介して外部装置に接続するためのネットワークＩ／Ｆ（インターフェイス）１０ｄと、ディスプレイ装置へ表示出力を行うための表示機構１０ｅと、音声出力を行うための音声機構１０ｆとを備える。さらに、キーボードやマウス等の入力デバイス１０ｇを備える。ＣＰＵ１０ａと他の構成要素との間には、図示しないチップセットやブリッジ回路が介在している。

図１３において、各構成要素は、システムバスや入出力バス等の各種のバスを介して接続される。例えば、ＣＰＵ１０ａと主記憶装置１０ｂの間は、システムバスやメモリバスを介して接続される。また、ＣＰＵ１０ａと外部記憶装置１０ｃ、ネットワークＩ／Ｆ１０ｄ、表示機構１０ｅ、音声機構１０ｆ、入力デバイス１０ｇ等との間は、ＰＣＩ（Peripheral Components Interconnect）、ＰＣＩ Ｅｘｐｒｅｓｓ、シリアルＡＴＡ（AT Attachment）、ＵＳＢ（Universal Serial Bus）、ＡＧＰ（Accelerated Graphics Port）等の入出力バスを介して接続される。

なお、図１３は、サーバ１００および端末装置２００を実現するのに好適なコンピュータのハードウェア構成を例示するに過ぎず、図示の構成に限定されないことは言うまでもない。例えば、補助記憶装置として、外部記憶装置１０ｃの他に、フレキシブルディスクや光学ディスクをメディアとするドライブを設けたり、ＵＳＢメモリを設けたりしても良い。ＵＳＢメモリは、ＵＳＢを介してブリッジ回路に接続されることとなる。また、表示機構１０ｅや音声機構１０ｆを独立した構成とせず、チップセットの機能として備えるようにしても良い。

サーバ１００が図１３に示すコンピュータで実現される場合、フロー定義保持部１１０、セキュリティ情報管理部１２０は、外部記憶装置１０ｃにより実現される。また、ジョブ実行部１３０、ジョブリスト作成部１４０、対話ＵＩ制御部１５０は、例えばプログラム制御されたＣＰＵ１０ａと主記憶装置１０ｂとで実現される。プログラムは磁気ディスクや半導体メモリ等の記憶手段に格納されており、このプログラムをＣＰＵ１０ａが読み出して実行することにより、これらの機能が実現される。

以上、本実施形態について説明したが、本発明の技術的範囲は上記実施形態に記載の範囲には限定されない。例えば、上記の実施形態では、ジョブの停止条件として、フロー定義により特定される配信先が開示範囲に合致しない場合と、文書に記載された個人情報が個人情報取り扱い範囲情報に規定された開示範囲に合致しない場合について説明したが、この他にも個人情報以外の特定の情報がその特定の情報に対して規定された開示範囲に合致しない場合等を含めて良い。その他、上記実施形態に、種々の変更または改良を加えたものも、本発明の技術的範囲に含まれることは、特許請求の範囲の記載から明らかである。

本実施形態の文書配信システムの全体構成を示す図である。 本実施形態におけるジョブの構成例を示す図である。 本実施形態のサーバの機能構成を示す図である。 本実施形態で用いられるフロー定義の構成例を示す図である。 本実施形態で用いられるセキュリティ情報の１つであるユーザ情報の構成例を示す図である。 本実施形態で用いられるセキュリティ情報の１つである個人情報取り扱い範囲情報の構成例を示す図である。 本実施形態で用いられるセキュリティ情報の１つである開示範囲情報の構成例を示す図である。 本実施形態のジョブリストの表示画面の構成例を示す図である。 本実施形態の対話ＵＩの表示画面の構成例を示す図である。 本実施形態の対話ＵＩの表示画面の他の構成例を示す図である。 本実施形態のジョブ実行部による動作の流れを示すフローチャートである。 本実施形態のジョブ実行部による動作の流れを示すフローチャートである。 本実施形態のジョブ実行部による動作の流れを示すフローチャートである。 図６に示した個人情報取り扱い範囲情報を更新した状態を示す図である。 本実施形態のサーバおよび端末装置を実現するコンピュータのハードウェア構成例を示す図である。

１００…サーバ、１１０…フロー定義保持部、１２０…セキュリティ情報管理部、１３０…ジョブ実行部、１４０…ジョブリスト作成部、１５０…対話ＵＩ（ユーザ・インターフェイス）制御部、２００…端末装置、３００…入力装置、４００…プリンタ、５００…データベース

Claims (13)

1. 文書データを入力するための入力手段と、
   文書データの種類ごとに当該文書データの開示が許される送信先の範囲が記録された開示情報を保持する開示情報保持手段と、
   少なくとも送信対象である文書データに対する処理および送信先の情報を規定する処理規則を保持する規則保持手段と、
   前記入力手段により入力された前記文書データを前記処理規則にしたがって処理し送信する送信手段と、
   当該文書データの前記開示情報に記録された前記範囲と当該処理規則に規定された前記送信先の情報とを比較し、当該送信先の情報により特定される送信先が当該範囲に含まれていない場合に、当該文書データの送信を停止する制御手段と、
   を備えることを特徴とする文書送信制御システム。
2. 前記開示情報保持手段は、前記文書データに含まれる特定情報の開示が許される送信先の範囲が記録された開示情報をさらに保持し、
   前記制御手段は、前記処理規則に規定された前記送信先の情報により特定される送信先が前記特定情報に関する前記開示情報の送信先の範囲に含まれていない場合にも、前記文書データの送信を停止することを特徴とする請求項１に記載の文書送信制御システム。
3. 停止した前記文書データの送信に関して、送信内容の変更を指示する指示手段をさらに備え、
   前記制御手段は、前記送信内容の変更の指示に基づき、前記文書データおよび前記開示情報のうち少なくともいずれか一つを変更して当該文書データの送信を行うことを特徴とする請求項１または請求項２に記載の文書送信制御システム。
4. 前記指示手段は、前記文書データの送信の停止条件に応じて前記送信内容を変更する権限を持つ使用者の端末装置であって、表示装置に実行可能な送信内容の変更処理の種類を表示し、ユーザによる当該変更処理の選択操作を受け付ける端末装置であることを特徴とする請求項３に記載の文書送信制御システム。
5. 前記規則保持手段は、複数の前記処理規則を保持し、
   前記入力手段は、入力した前記文書データに対して適用する前記処理規則を特定する操作を受け付け、特定された当該処理規則の情報を前記制御手段に送り、
   前記制御手段は、前記入力手段から取得した情報により特定される前記処理規則にしたがって、前記文書データの送信を制御することを特徴とする請求項１に記載の文書送信制御システム。
6. 前記入力手段は、文書を入力する操作者の認証を行い、認証情報を前記制御手段に送り、
   前記制御手段は、前記入力手段から取得した認証情報により特定される前記開示情報に基づいて、前記文書データの送信を制御することを特徴とする請求項１に記載の文書送信制御システム。
7. 入力装置により入力された文書データを、予め定められた送信先の情報を含む処理規則にしたがって送信する送信制御装置において、
   当該文書データおよび当該文書データに含まれる特定情報のうち少なくともいずれか一方に関して、その開示が許される送信先の範囲が記録された開示情報を保持する開示情報保持部と、
   少なくとも文書データに対する処理および送信先の情報を規定する処理規則を保持する規則保持部と、
   当該文書データの前記開示情報に記録された前記範囲と当該処理規則に規定された前記送信先の情報とを比較し、当該送信先の情報により特定される送信先が当該範囲に含まれていない場合に、当該文書データの送信を停止する処理実行部と、
   を備えることを特徴とする送信制御装置。
8. 外部の端末装置において行われた、停止した前記文書データの送信に関する送信内容の変更指示を受け付ける受け付け部をさらに備え、
   前記処理実行部は、前記送信内容の変更指示に基づき、前記文書データおよび前記開示情報のうち少なくともいずれか一つを変更して当該文書データの送信を行うことを特徴とする請求項７に記載の送信制御装置。
9. 前記受け付け部は、前記端末装置の表示手段に実行可能な送信内容の変更処理の種類を表示させ、当該端末装置におけるユーザによる当該変更処理の選択操作を受け付けることを特徴とする請求項８に記載の送信制御装置。
10. 前記受け付け部は、前記文書データの送信の停止条件に応じて前記送信内容を変更する権限を持つ使用者の端末装置に対して、前記変更指示の入力を依頼し、入力された変更指示を受け付けることを特徴とする請求項８に記載の送信制御装置。
11. コンピュータを、
    文書データおよび当該文書データに含まれる特定情報のうち少なくともいずれか一方に関して、その開示が許される送信先の範囲が記録された開示情報を記憶装置に保持する開示情報保持手段と、
    少なくとも文書データに対する処理および送信先の情報を規定する処理規則を記憶装置に保持する規則保持手段と、
    入力装置により入力された前記文書データを前記処理規則にしたがって処理し送信する送信手段と、
    当該文書データの前記開示情報に記録された前記範囲と当該処理規則に規定された前記送信先の情報とを比較し、当該送信先の情報により特定される送信先が当該範囲に含まれていない場合に、当該文書データの送信を停止する処理実行手段として、
    機能させることを特徴とするプログラム。
12. 前記コンピュータを、外部の端末装置において行われた、停止した前記文書データの送信に関する送信内容の変更指示を受け付ける受け付け手段として、さらに機能させ、
    前記処理実行手段は、前記送信内容の変更指示に基づき、前記文書データおよび前記開示情報のうち少なくともいずれか一つを変更して当該文書データの送信を行うことを特徴とする、請求項１１に記載のプログラム。
13. 前記受け付け手段は、前記端末装置の表示手段に実行可能な送信内容の変更処理の種類を表示させ、当該端末装置におけるユーザによる当該変更処理の選択操作を受け付けることを特徴とする請求項１２に記載のプログラム。

Images