JP2017059158A - 電子情報管理制御装置、電子情報管理制御システム、電子情報管理制御プログラム - Google Patents

Abstract

【課題】電子情報のダウンロードの可否管理に必要なダウンロード先の位置情報を、手動で設定して管理するよりも効率良く管理する。
【解決手段】ユーザーが外出するときに、持ち出しＰＣ１４Ｍを携帯し、外出先から文書ＤＢ１００１に登録されている文書のダウンロードを要求する場合がある。このとき、一般的な処理として、持ち出しＰＣ１４Ｍと文書管理制御装置１００との間で認証処理は実行される。しかし、持ち出したユーザーと持ち出しＰＣ１４Ｍとが必要以上に離れていたとしても、認証処理で認証されれば、要求者がユーザーではない場合であっても、文書がダウンロードされる場合があった。持ち出しＰＣ１４Ｍを持ち出したユーザーのスケジュール情報を参酌し、ユーザーと持ち出しＰＣ１４Ｍとの相対位置関係を認識した上で、文書のダウンロードを実行するようにした。
【選択図】図３

Description

本発明は、電子情報管理制御装置、電子情報管理制御システム、電子情報管理制御プログラムに関する。

特許文献１には、文書管理サーバーから文書をダウンロードする際、文書に設定された位置情報と、ダウンロード先ＰＣの位置情報が一致していなければその文書をダウンロードしない。

特許文献２には、文書管理サーバーと会議室の入退ＩＣカードシステムを連携させ、会議参加者が会議で使用する文書を文書管理システムからダウンロードした際、文書管理システムはダウンロードしたユーザーを記録する。会議室終了後、参加者が文書を削除すると、文書管理システムに文書が削除されたことが通知される。全ユーザーの文書削除通知が確認できるまで会議室のドアが開かない。

特開２０１３−０６９３３９号公報 特開２０１０−０４４４５４号公報

文書管理サービスに登録されている膨大な数の文書に対して、ダウンロードの可否を判断するための位置情報を、その都度手動で設定することは非現実的である。

本発明は上記事実を考慮し、電子情報のダウンロードの可否管理に必要なダウンロード先の位置情報を、手動で設定して管理するよりも効率良く管理することができる電子情報管理制御装置、電子情報管理制御システム、電子情報管理制御プログラムを得ることが目的である。

請求項１に記載の発明は、電子情報のダウンロードを要求するとき、電子情報を特定する特定情報、要求者を識別する識別情報、ダウンロード先の情報端末機器の位置を特定する位置情報を受け付ける受付手段と、予め登録された要求者のスケジュール管理上の要求受付時の位置と、前記情報端末機器の位置に基づいて、電子情報のダウンロード実行を許可するか否かを判定する判定手段と、を有している。

請求項２に記載の発明は、前記請求項１に記載の発明において、前記判定手段が、前記スケジュール管理上の要求者の位置と、前記情報端末機器の位置とが、予め定めたしきい値以上離れている場合に、要求者の承認を促す通信手段を有し、前記通信手段による応答要求に対して、要求者から承認の応答があった場合は、前記電子情報のダウンロードを許可し、前記通信手段による応答要求に対して、要求者から承認の応答が一定期間内に無い場合、又は、要求者から未承認の応答があった場合は、前記電子情報のダウンロードを不許可とする。

請求項３に記載の発明は、前記請求項１に記載の発明において、前記判定手段が、前記スケジュール管理上の要求者の位置と、前記情報端末機器の位置とが、予め定めたしきい値以上離れている場合に、要求者の承認を促す通信手段を有し、判定手段の判定度合いとして、要求者へ承認を促し、かつ電子情報のダウンロードを常に許可する第１のレベル、要求者へ承認を促した後に承認の応答があれば電子情報のダウンロードを許可する第２のレベル、又は、要求者へ承認を促し、かつ電子情報のダウンロードを常に不許可とする第３のレベルから選択可能とする。

請求項４に記載の発明は、前記請求項２又は請求項３に記載の発明において、前記通信手段による応答要求が、前記情報端末機器とは別に要求者が所持する携帯通信端末に対して実行される。

請求項５に記載の発明は、前記請求項１〜請求項４の何れか１項記載の発明において、前記判定手段の判定の結果がダウンロード実行不許可の場合に、不正アクセスがあった旨を警告する警告手段をさらに有する。

請求項６に記載の発明は、電子情報のダウンロードを要求するとき、電子情報を特定する特定情報、要求者を識別する識別情報、ダウンロード先の情報端末機器の位置を特定する位置情報を含むリクエスト情報を受け付ける文書管理装置と、前記要求者の所在を予め登録してスケジュール管理するスケジュール管理装置と、前記要求者が前記情報端末機器とは別に所持する通信携帯端末に、ダウンロードの承認要求を通知して、確認履行又は不履行を判定する本人確認装置とを有し、前記文書管理装置が、電子情報が記憶された記憶装置と、前記リクエスト情報を受け付けたときに、前記スケジュール管理装置へ、前記識別情報と現在時刻情報とを送出して前記要求者のスケジュール管理上の位置情報を要求する要求手段と、前記要求手段に対して回答された、要求者のスケジュール管理上の位置と、前記情報端末機器の位置とを照合する照合手段と、前記照合手段の照合の結果が不一致の場合に、前記本人確認装置へ本人確認を指示する指示手段と、前記照合手段の照合の結果が一致の場合、又は、前記本人確認装置で本人確認が履行された場合に、前記特定情報に基づいて、前記記憶装置から電子情報を読み出し、前記情報端末機器へ送出する送出手段と、を備える電子情報管理制御システムである。

請求項７に記載の発明は、前記請求項６に記載の発明において、前記本人確認装置が、
本人確認が不履行となった場合に、不正アクセスがあった旨を警告する警告手段をさらに有する。

請求項８に記載の発明は、コンピュータを、請求項１〜請求項７の何れか１項記載の電子情報管理制御装置として実行させる電子情報管理制御プログラムである。

請求項１に記載の発明によれば、電子情報のダウンロードの可否管理に必要なダウンロード先の位置情報を、手動で設定して管理するよりも効率良く管理することができる。

請求項２に記載の発明によれば、要求者の承認によってダウンロードの可否を判定することができる。

請求項３に記載の発明によれば、セキュリティレベルを選択することができる。

請求項４に記載の発明によれば、要求者に承認を要求することができる。

請求項５に記載の発明によれば、第三者に不正アクセスを報知することができる。

請求項６に記載の発明によれば、電子情報のダウンロードの可否管理に必要なダウンロード先の位置情報を、手動で設定して管理するよりも効率良く管理することができる。

請求項７に記載の発明によれば、第三者に不正アクセスを報知することができる。

請求項８に記載の発明によれば、電子情報のダウンロードの可否管理に必要なダウンロード先の位置情報を、手動で設定して管理するよりも効率良く管理することができる。

本実施の形態に係る電子情報管理制御システムの全体図である。 本実施の形態に係る電子情報管理制御システムを構成する文書管理装置、スケジュール管理装置、及び本人確認装置のそれぞれの制御ブロック図である。 本実施の形態に係る文書管理装置、スケジュール管理装置、及び本人確認装置で実行されるアクセス権付与処理を主体とした機能ブロック図である。 本実施の形態に係る文書管理制御装置で実行される、文書管理制御ルーチンを示すフローチャートである。 本実施の形態に係るスケジュール管理装置で実行される、現在位置検索制御ルーチンを示すフローチャートである。 本実施の形態に係る本人確認装置で実行される、認証制御ルーチンを示すフローチャートである。 図４〜図６のフローチャートに基づく処理において、持ち出しＰＣから正常なリクエス情報を受け付けたときの通信手順（通信プロトコル）である。 図４〜図６のフローチャートに基づく処理において、持ち出しＰＣから異常なリクエス情報を受け付け、本人確認されたことでアクセスを許可したときの通信手順（通信プロトコル）である。 図４〜図６のフローチャートに基づく処理において、持ち出しＰＣから異常なリクエス情報を受け付け、本人確認ができずアクセスを不許可とする共に、不正アクセス警告を実行したときの通信手順（通信プロトコル）である。

（システム）
図１には、本実施の形態に係る電子情報管理制御システムの全体図が示されている。

電子情報管理制御システムは、文書管理制御装置１００、スケジュール管理装置１０２、及び本人確認装置１０４（総称する場合、「電子情報管理制御装置１０」という）がそれぞれ通信回線網１２によって接続され、相互に情報をやりとりすることで、電子情報管理制御システムとして機能する。

なお、「文書」は、本実施の形態では、文字、図形、画像、イラスト、絵画、写真及びこれらの組み合わせを含み、電子化された全ての電子情報の総称とする。

通信回線網１２は、例えば、ＬＡＮ（ローカル・エリア・ネットワーク）であり、複数のＬＡＮが、ＷＡＮ（ワールド・エリア・ネットワーク）によって相互に接続されていてもよい。また、通信回線網１２を含む全ての通信回線網は、それぞれ有線接続である必要はない。すなわち、一部又は全部が無線によって情報を送受信する無線通信回線網であってもよい。

通信回線網１２の枝線１２Ａには、電子情報管理制御システム１０の文書管理制御装置１００から文書情報を読み出して作業（閲覧、編集等）ための複数台のＰＣ（パーソナルコンピュータ）１４がそれぞれ接続されている。ＰＣ１４は例えば各ユーザーがそれぞれ占有し、予め定めたアクセス権を持って、電子情報管理制御システム１０とアクセスするようになっている。

なお、通信回線網１２には、出力デバイスとして、画像処理装置１６を接続してもよい。図１では、通信回線網１２に１台の画像処理装置１６が接続されているが、複数台であってもよい。

画像処理装置１６は、ＰＣ１４から遠隔で文書情報を受信して画像形成（プリント）を実行する機能、及びユーザーが画像処理装置１０の前に立って各種操作によって、例えば、複写（コピー）、スキャン（画像読取）、ファクシミリ送受信等の処理を実行する機能を有する。特に、スキャン（画像読取）した文書情報は、電子情報管理制御システム１０へ送出され、文書ファイルとして記憶される場合がある。

また、通信回線網１２には、通信デバイスとして無線通信機器１８が接続され、遠隔に持ち出されたＰＣ１４Ｍ（以下、持ち出しＰＣ１４Ｍという）や、当該持ち出しＰＣ１４Ｍを持ち出したユーザーが形態する通信携帯端末２０（スマートフォン、携帯電話等）と通信が可能となっている。

例えば、無線通信機器１８は、文書管理制御装置１００から持ち出しＰＣ１４Ｍへ文書をダウロードするときの通信手段として適用され、また、本人確認装置１０４から通信携帯端末２０へメールを送信するときの通信手段として適用される（詳細後述）。

図２は、電子情報管理制御システム１０（文書管理制御装置１００、スケジュール管理装置１０２、及び本人確認装置１０４）のそれぞれの制御ブロック図を示しており、それぞれのハード構成は相互に同一であるため、文書管理制御装置１００を例にとり説明し、スケジュール管理装置１０２及び本人確認装置１０４については、符号１００を１０２、１０４に読み替えることで説明を省略する。

文書管理制御装置１００は、ＣＰＵ１００Ａ、ＲＡＭ１００Ｂ、ＲＯＭ１００Ｃ、Ｉ／Ｏ１００Ｄ及びこれらを相互に接続するデータバスやコントロールバス等のバス１００Ｅを備えている。

Ｉ／Ｏ１００Ｄには、必要に応じてキーボードやマウス等の入力装置１００Ｆと、モニタ１００Ｇが接続されている。また、Ｉ／Ｏ１００Ｄには、Ｉ／Ｆ１００Ｈを介して前記通信回線網１２に接続されている。なお、サーバーとして適用する場合、入力装置１００Ｆ及びモニタ１００Ｇは必須ではない。

さらに、Ｉ／Ｏ１００Ｄには、大規模記録媒体として、ハードディスク（ＨＤＤ）１００Ｉが接続されている。

電子情報管理制御プログラムは、主体となる管理制御装置、例えば、時間外業務管理制御装置１００のＲＯＭ１００Ｂに予めインストールされ、適宜、連携する管理装置、例えば、文書管理制御装置１０２及び工数情報管理制御装置１０４のＲＯＭ１０２Ｂ、１０４Ｂに転送し、通信プロトコルによって相互に連携しあってプログラムを実行する。

ここで、文書管理制御装置１００のハードディスク１０１Ｉは、文書データベース（文書ＤＢ）として機能するため、以後、ハードディスク１０１Ｉを、文書ＤＢ１０１Ｉという。

また、スケジュール管理装置１０２のハードディスク１０２Ｉは、スケジュールデータベース（スケジュールＤＢ）として機能するため、以後、ハードディスク１０２Ｉを、スケジュールＤＢ１０２Ｉという。

さらに、本人確認装置１０４のハードディスク１０４Ｉは、ユーザーデータベース（ユーザーＤＢ）として機能するため、以後、ハードディスク１０４Ｉを、ユーザーＤＢ１０４Ｉという。

本実施の形態に係る電子情報管理制御システムでは、通信回線網１２（及び枝線１２Ａ）に接続されたＰＣ１４からの要求に対して、文書をダウンロードすることが主たる機能として実行される。

これに対して、ユーザーが外出するときに、持ち出しＰＣ１４Ｍを携帯し、外出先から文書ＤＢに登録されている文書のダウンロードを要求する場合がある。

このとき、一般的な処理として、持ち出しＰＣ１４Ｍと文書管理制御システムとの間で認証処理は実行される。しかし、例えば、持ち出したユーザーと持ち出しＰＣ１４Ｍとが必要以上に離れていたとしても、前記認証処理で認証されれば、要求者がユーザーではない場合であっても、文書がダウンロードされる場合があった。

そこで、本実施の形態では、持ち出しＰＣ１４Ｍを持ち出したユーザーのスケジュール情報を参酌し、ユーザーと持ち出しＰＣ１４Ｍとの相対位置関係を認識した上で、文書のダウンロードを実行するようにした。

図３は、本実施の形態に係る電子情報管理制御システム１０として機能する、文書管理制御装置１００、スケジュール管理装置１０２、及び本人確認装置１０４が連携し、文書のダウンロードを含むアクセスの可否判定のための制御が実行される機能ブロック図である。

なお、図３の機能ブロック図は、機能別にブロック化したものであり、文書管理制御装置１００、スケジュール管理装置１０２、及び本人確認装置１０４のそれぞれのハード構成を限定するものではない。

（文書管理制御装置１００）
文書管理制御装置１００は、リクエスト処理部２２とアクセス評価部２４とを備えている。リクエスト処理部２２は、受付け手段の一例としてのリクエスト情報受付部２６と文書データ送出部２８を有する。

持ち出しＰＣ１４Ｍは、無線通信機器１８を介して、リクエスト情報受付部２６に対してリクエスト情報を送出することで、文書のダウンロードを要求する。

リクエスト情報は、文書を特定するための文書ＩＤ、要求者であるユーザーを特定するためのユーザーＩＤ、及び持ち出しＰＣ１２Ｍが持つＧＰＳ機能によって特定される当該持ち出しＰＣ１４Ｍの位置情報を含む。

一方、文書データ送出部２８では、アクセス評価部２４を主体とした位置情報の照合、及び必要に応じて本人確認によってアクセス許可があった場合に、持ち出しＰＣ１４Ｍに対して、無線通信機器１８を介して文書をダウロードする。

前記リクエスト情報受付部２６は、アクセス評価部２４のリクエスト情報抽出部３０に接続されている。

リクエス情報抽出部３０は、リクエスト情報受付部２６で受け付けたリクエスト情報（文書ＩＤ、ユーザーＩＤ、位置情報）を抽出する。

リクエスト情報の内、文書ＩＤは文書データ読出部３２に送出され、ユーザーＩＤ及び位置情報はスケジュール要求部３４へ送出される。

スケジュール要求部３４は、本人確認装置１０２に対して、文書のダウンロードを要求したユーザー（以下、「確認対象ユーザー」という）が予め登録したスケジュール情報を要求する。すなわち、スケジュール要求部３４は、本人確認装置１０２のユーザー情報受付部３６と接続され、このユーザー情報受付部３６に対して、スケジュール要求として、ユーザーＩＤと現在時刻が送出される。

ユーザー情報受付部３６では、前記スケジュール要求部３４からスケジュール要求を受け付けると、受け付けたユーザーＩＤと現在時刻をスケジュール情報取得部３８へ送出する。スケジュール情報取得部３８は、ユーザーＩＤと現在時刻とに基づいて、スケジュールＤＢ１０２Ｉから、確認対象ユーザーのスケジュール情報を取得し、スケジュール情報送出部４０へ送出する。

スケジュール情報送出部４０は、前記文書管理制御装置１００のアクセス可否判定部４２に接続されており、このアクセス可否判定部４２へ確認対象ユーザーのスケジュール情報を送出する。アクセス可否判定部４２は、判定手段の一例として機能する。

アクセス可否判定部４２は、前記スケジュール要求部３４に接続されており、前記スケジュール情報送出部４０からスケジュール情報を受けるのに前後して、スケジュール要求部３４から持ち出しＰＣ１４Ｍの位置情報を取り込む。

アクセス可否判定部４２では、持ち出しＰＣ１４Ｍの位置と確認対象ユーザーのスケジュール上の位置との照合を実行し、アクセスの可否を判定する。

すなわち、持ち出しＰＣ１４Ｍは、確認対象ユーザーが所持していることが前提であり、正常であれば、持ち出しＰＣ１４Ｍの位置と、確認対象ユーザーの位置は一致（予め定めた許容範囲を含む）する。一方、例えば、置き忘れ、盗難等が発生した場合は異常であり、持ち出しＰＣ１４Ｍの位置と、確認対象ユーザーの位置は不一致となる。

アクセス可否判定部４２は、第１段階の判定として、前記正常の場合はアクセス許可とし、異常の場合はアクセス不許可とする判定を行う。

アクセス可否判定部４２は、前記文書データ読出部３２及び本人確認指示部４４に接続されている。

アクセス可否判定部４２では、文書データ読出部３２に対してアクセス許可信号を送出し、本人確認指示部４４に対してアクセス不許可信号及び確認対象ユーザーのユーザーＩＤを送出する。

文書データ読出部３２では、アクセス許可信号の受け付けに応じて、文書データＤＢ１００Ｉから文書ＩＤに基づいて文書を読み出し、文書データ送出部２８へ送出する。

これにより、文書データ送出部２８では、無線通信機器１８を介して持ち出しＰＣ１４Ｍへ文書をダウンロードする。

一方、本人確認指示部４４では、アクセス不許可信号の受け付けに応じて、第２段階の判定として、本人確認装置１０４の通知先取得部４６に対して、本人確認の指示を行う。

通知先取得部４６では、確認対象ユーザーのユーザーＩＤに基づいて、ユーザーＤＢ１０４Ｉから当該確認対象ユーザーと通信するための情報、例えば、メールアドレスを読み出し、通信手段の一例としての本人確認処理実行部４８へ送出する。

本人確認実行部４８では、前記アクセス可否判定部４２と共に判定手段の一例としても機能するものであり、受け付けたメールアドレスに基づき、確認対象ユーザーに対して、例えば、以下の通知１〜通知３の通知を実行する。

（通知１）持ち出しＰＣ１４Ｍから文書のダウンロードを受けている。

（通知２）持ち出しＰＣ１４Ｍがユーザーのスケジュール上の位置から離れている。

（通知３）ダウンロードの要否の確認メールの返信を要求。

なお、通知１〜通知３は、定型の文書として通知されるのが一般的であるが、音声ガイダンスであってもよい。また、通知１〜通知３の主旨が伝われば、文面は限定されるものではない。

本人確認処理実行部４８は、警告手段の一例としての不正アクセス警告部５０の不正アクセス警告処理部５２に接続されている。不正アクセス警告処理部５２では、本人確認処理実行部４８から確認不履行（アクセス不許可）を示す信号を受け付けると、警告報知部５４を起動して、セキュリティ管理者へ不正アクセスがあった旨を報知する。このとき、不正アクセス、すなわち、持ち出しＰＣ１４Ｍからリクエスと情報を受け付けたときの位置情報を、併せて報知することが好ましい。

一方、本人確認処理実行部４８は、文書管理制御装置１００の文書データ読出部３２に接続されている。文書データ読出部３２では、本人確認処理実行部４８から確認履行（アクセス許可）を示す信号を受け付けると、文書データＤＢ１００Ｉから文書ＩＤに基づいて文書を読み出し、文書データ送出部２８へ送出する。

これにより、文書データ送出部２８では、無線通信機器１８を介して持ち出しＰＣ１４Ｍへ文書をダウンロードする。

以下に本実施の形態の作用を、図４〜図６のフローチャートに従い説明する。

図４は、文書管理制御装置１００における、特に、持ち出しＰＣ１４Ｍから文書参照リクエスト受け付けたときの文書管理制御ルーチンを示すフローチャートである。

ステップ２００では、持ち出しＰＣ１４Ｍから文書参照リクエストを受け付けたか否かが判断され、否定判定された場合はこのルーチンは終了する。

また、ステップ２００で肯定判定され場合は、ステップ２０２へ移行して、文書参照リクエストから、ユーザーＩＤを抽出し、ステップ２０４へ移行する。

ステップ２０４では、スケジュール管理装置１０２へスケジュール情報を要求する。このとき、抽出したユーザーＩＤと現在時刻とを送出する。

このスケジュール情報の要求を受けて、スケジュール管理装置１０２では、現在位置検索制御が実行される（図５参照）。

次のステップ２０６では、スケジュール管理装置１０２から返信があるまで待機し、返信があると（肯定判定されると）、ステップ２０８へ移行する。

ステップ２０８では、文書参照リクエストから、位置情報を抽出し、次いでステップ２１０へ移行して、スケジュール管理装置１０２から受けたスケジュール位置と、現在位置とを照合する。

次のステップ２１２では、前記ステップ２１０での照合で、位置情報が一致したか否かが判断される。

ステップ２１２で肯定判定、すなわち、一致したと判断されると、アクセスが許可され、ステップ２１４へ移行する。

ステップ２１４では、文書参照リクエストから、文書ＩＤを抽出し、次いでステップ２１６へ移行して、当該文書ＩＤに基づき文書を読出し、ステップ２１８へ移行して持ち出しＰＣ１４Ｍへ文書を送出（ダウンロード）し、このルーチンは終了する。

また、ステップ２１２で否定判定、すなわち、不一致と判断されると、第１段階として、アクセスを不許可として、ステップ２２０へ移行する。

ステップ２２０では、本人確認装置１０４へ本人確認を要求する。このとき、本人確認装置１０４へユーザーＩＤを送出する。

この本人確認の要求を受けて、本人確認装置１０４では、本人確認（認証制御）が実行される（図６参照）。

次のステップ２２２では、本人確認装置１０４から返信があるまで待機し、返信があると（肯定判定されると）、ステップ２２４へ移行する。

ステップ２２４では、第２段階として、本人確認が履行されたか否かが判断される。このステップ２２４で本人確認された（すなわち、本人確認履行）と判断されると、アクセスが許可され、前記ステップ２１４へ移行する。

ステップ２１４では、文書参照リクエストから、文書ＩＤを抽出し、次いでステップ２１６へ移行して、当該文書ＩＤに基づき文書を読出し、ステップ２１８へ移行して持ち出しＰＣ１４Ｍへ文書を送出（ダウンロード）し、このルーチンは終了する。

また、ステップ２２４で本人確認されなかった（すなわち、本人確認不履行）と判断されると、アクセスが不許可となり、ステップ２２６へ移行して、不正アクセス警告処理を実行し、持ち出しＰＣ１４Ｍへの文書のダウンロードはなされない。

なお、不正アクセス警告処理としては、セキュリティ管理者へ通知することが前提である。

しかし、本実施の形態では持ち出しＰＣ１４Ｍから文書参照リクエストがあったときの持ち出しＰＣ１４Ｍの位置情報を認識しているため、この位置情報を起点として追跡処理を実行する。

この追跡処理は、何時持ち出しＰＣ１４Ｍが、ユーザーから離れたか不明であるときよりも、追跡が容易となり、持ち出しＰＣ１４Ｍの早期発見につながる場合がある。

（位置照合）
図５は、図４のステップ２０４で要求を受けて起動する、スケジュール管理装置１０２における、現在位置検索制御ルーチンを示すフローチャートである。

ステップ２５０では、文書管理制御装置１００からスケジュール情報の要求があったか否か判断され、否定判定された場合は、このルーチンは終了する。

また、ステップ２５０で肯定判定されると、ステップ２５２へ移行して、ユーザーＩＤと現在時刻とを取り込み、次いで、ステップ２５４へ移行してスケジュールＤＢ１０２ＩからユーザーＩＤで特定されたユーザーの現在時刻のスケジュール（位置情報）を検索する。

次のステップ２５６では、検索した位置情報を文書管理制御装置へ返信し、このルーチンは終了する。なお、ユーザーＩＤに基づく現在時刻のスケジュールが登録されていない場合は、未登録である旨を文書管理制御装置１００へ返信すればよい。

（本人確認）
図６は、図４のステップ２２０で要求を受けて起動する、本人確認装置１０４における、認証制御ルーチンを示すフローチャートである。

ステップ２６０では、文書管理制御装置１００から本人確認の要求があったか否か判断され、否定判定された場合は、このルーチンは終了する。

また、ステップ２６０で肯定判定されると、ステップ２６２へ移行して、ユーザーＩＤを取り込み、次いでステップ２６４へ移行して、ユーザー情報ＤＢ１０４ＩからユーザーＩＤで特定されたユーザー連絡先（例えば、メールアドレス）を検索する。

次のステップ２６６では、検索したメールアドレスに基づき、ユーザーへ本人確認通知を、返信要求を含めて通知する（通知１〜通知３参照）。

（通知１）持ち出しＰＣ１４Ｍから文書のダウンロードを受けている。

（通知２）持ち出しＰＣ１４Ｍがユーザーのスケジュール上の位置から離れている。

（通知３）ダウンロードの要否の確認メールの返信を要求。

次のステップ２６８では、ユーザーから返信があったか否かが判断される。

このステップ２６８で肯定判定されると、ステップ２６９へ移行して、返信内容に基づいて、本人がスケジュール上の位置と異なることを認識し了承しているか否かを判断する。

このステップ２６９で肯定判定された場合は、本人（持ち出しＰＣ１４Ｍを持ち出したユーザー）から文書参照リクエストがあったと判断し、ステップ２７０へ移行して本人確認履行を確定し、ステップ２７８へ移行する。

また、ステップ２６９で否定判定された場合は、本人確認通知を受けて手元に持ち出しＰＣ１４Ｍが無いことに気付き、本人の知らぬ間に文書参照リクエストがあった場合があると判断し、ステップ２７６へ移行して本人確認不履行を確定し、ステップ２７８へ移行する。

また、ステップ２６８で否定判定されるとステップ２７０へ移行して一定時間経過したか否かが判断される。このステップ２７２で否定判定されると、ステップ２６８へ戻り、ステップ２７２で肯定判定されるまで、ステップ２６８、２７２をループする。

また、ステップ２７２で肯定判定されると、ステップ２７４へ移行して、Ｎ回（Ｎは整数）通知したか否かが判断され、否定判定された場合は、ステップ２６６へ戻り、再度、本人確認通知を実行する。

このステップ２７４で肯定判定された場合は、一定時間毎にＮ回通知しても返信がないため、本人（持ち出しＰＣ１４Ｍを持ち出したユーザー）以外から文書参照リクエストがあったと判断し、ステップ２７６へ移行して本人確認不履行を確定し、ステップ２７８へ移行する。

ステップ２７８では、本人確認状況（ステップ２７０での履行、又はステップ２７６での不履行）を文書管理制御装置１００へ返信し、このルーチンは終了する。

（状況別の通信手順「ダウンロード実行パターン１」）
図７は、図４〜図６のフローチャートに基づく処理において、持ち出しＰＣ１４Ｍから正常なリクエス情報を受け付けたときの通信手順（通信プロトコル）である。

文書管理制御装置１００は、持ち出しＰＣ１４Ｍから文書参照リクエストを受けると（図７の（１）参照）、スケジュール管理装置１０２へユーザーのスケジュールを要求する（図７の（２）参照）。スケジュール管理装置１０２は、要求を受けてスケジュール上のユーザーの現在位置を読み出し返送する（図７の（３）及び（４）参照）。

文書管理装置１００では、持ち出しＰＣ１４Ｍの例えば、ＧＰＳ機能によって認識される現在位置と、スケジュール上のユーザーの現在位置とを照合する（図７の（５）参照）。

照合の結果、一致（一定の許容範囲を含む）した場合に、文書ＤＢ１００Ｉから文書情報を読み出して、持ち出しＰＣ１４Ｍへ送信する（図７の（６）及び（７）参照）。

（状況別の通信手順「ダウンロード実行パターン２」）
図８は、図４〜図６のフローチャートに基づく処理において、持ち出しＰＣ１４Ｍから異常なリクエス情報を受け付け、本人確認されたことでアクセスを許可したときの通信手順（通信プロトコル）である。

図８において、通信手順（１）〜（４）までは、図７と同一であるので説明を省略する。

照合の結果、不一致の場合に、本人確認装置１０４へ本人確認指示を通知する（図８の（８）及び（９）参照）。

本人確認装置１０４では、ユーザー情報に基づき（図８の（１０）参照）、例えば、ユーザーが所持する通信携帯端末２０へ応答を要求する（図８の（１１）参照）。

ユーザーは、当該ユーザーがスケジュールとは異なる場所で持ち出しＰＣ１４Ｍに文書をダウンロードすることを認識している場合は、本人確認装置１０４からの応答要求に応答する（図８の（１２）参照）。

本人確認装置１０４は、ユーザーからの応答を受けて、判定を実行し（図８の（１３）参照）、文書管理装置１００へ本人確認を履行した旨を通知する（図８の（１４）参照）。

文書管理制御装置１００では、図７の（６）及び（７）と同様に、文書ＤＢ１００Ｉから文書情報を読み出して、持ち出しＰＣ１４Ｍへ送信する（図８の（１５）及び（１６）参照）。

（状況別の通信手順「ダウンロード不実行パターン」）
図９は、図４〜図６のフローチャートに基づく処理において、持ち出しＰＣ１４Ｍから異常なリクエス情報を受け付け、本人確認ができずアクセスを不許可とする共に、不正アクセス警告を実行したときの通信手順（通信プロトコル）である。

図９において、通信手順（１）〜（１０）までは、図８と同一であるので説明を省略する。

本人確認装置１０４からユーザーが所持する通信携帯端末２０へのＮ回（Ｎは整数）の応答要求（図９の（１７）参照）に対して、ユーザーから応答が無い場合、或いは、応答はあったユーザーが承認しない場合（図９の（１８）参照）、判定を実行し（図９の（１９）、文書管理制御装置１００へ本人確認が不履行であった旨を通知する（図９の（２０）参照）。また、本人確認装置１０４では、不正アクセス警告を実行する（図９の（２１）参照）。

本実施の形態では、要求者を含む文書管理制御装置１０から文書をダウンロードして利用するユーザー自身で、予めスケジュール管理装置１０２にスケジュールを登録していることに着目し、当該スケジュール管理装置１０２に登録されているスケジュール情報を利用することで、ダウンロードの要求を必要とする機会の都度、手動で要求者の位置情報を登録する必要がない。

また、要求者が予めスケジュール管理装置１０２に登録した位置におらず、予定を変更して別の位置でダウンロードを要求した場合に、要求者が所持する携帯通信端末２０に届く応答要求に対し、承認の返信をすることで、業務上発生し得る例外的な状況にも、利便性を低下させることなく対応可能となる。

また、例えば、不正アクセスがあった場合、応答要求は要求者が所持する通信携帯端末２０に届くため、不正アクセス者は応答要求に対して、返信することができない。これにより、文書参照リクエスト自体がエラーとなり、不正に文書がダウンロードされることがない。

また、要求者には、身に覚えのない応答要求が届くため、情報漏洩が発生していることを認識し、迅速に持ち出しＰＣ１４Ｍの追跡調査を開始することが可能である。言い換えれば、文書参照リクエストには、持ち出しＰＣ１４Ｍの位置情報が含まれるため、当該位置情報から持ち出しＰＣ１４Ｍの調査起点が認識可能となる。

なお、本実施の形態では、セキュリティを重視して、通信手段による応答要求に対して、要求者から承認の応答があった場合は電子情報のダウンロードを許可し、要求者から承認の応答が一定期間内に無い場合又は要求者から未承認の応答があった場合は電子情報のダウンロードを不許可としたが、当該セキュリティ性と利便性とのバランスを考慮して、ダウンロードの許可／不許可のレベルを選択するようにしてもよい。

例えば、判定度合いとして、要求者へ承認を促しかつ電子情報のダウンロードを常に許可する第１のレベル、要求者へ承認を促した後に承認の応答があれば電子情報のダウンロードを許可する第２のレベル、又は、要求者へ承認を促しかつ電子情報のダウンロードを常に不許可とする第３のレベルを設定し選択可能としておく。

選択の適用例としては、要求者毎に設定を選択する、要求者からの文書参照リクエストの位置に応じて設定を選択する、文書の重要度に応じて設定を選択する、といた場合が考えられる。

また、本実施の形態におけるスケジュール管理装置１０２は、狭義では、ユーザーが予めスケジュールを登録することを前提としているが、広義としては、ユーザーの社内と社外とを区別する入退官システム等の少なくとも２つの位置を区画し得るシステムをスケジュール管理装置１０２として適用してもよい。例えば、入退官システムであれば、社内では文書のダウンロードを許可するが、社外では許可しない（応答要求に対する承認でダウンロードを許可する）、といった文書管理制御が可能である。

さらに、本実施の形態では、応答要求を要求者が所持する通信携帯端末２０へ送信するようにしたが、持ち出しＰＣ１４Ｍに応答要求専用のパスワードを設定しておき、当該応答要求を持ち出しＰＣ１４Ｍに送信するようにしてもよい。

運用の一例としては、持ち出しＰＣ１４Ｍに、開かないと文書ダウンロードができないＵＲＬを送信し、当該ＵＲＬを開くとき応答要求専用のパスワードの入力を条件とする。これにより、一定時間内にパスワードが入力されないときは、応答要求専用のパスワードを知らないと判断し、ダウンロードを禁止し、かつ不正アクセスの疑いをかけることで、要求者が通信携帯端末２０を必ずしも所持していなくても、セキュリティ性と利便性の両立の確保が可能である。

１０ 電子情報管理制御装置
１２ 通信回線網
１２Ａ 枝線
１４ ＰＣ
１６ 画像処理装置
２２ リクエスト処理部
２４ アクセス評価部
２６ リクエスト情報受付部
２８ 文書データ送出部
１４Ｍ 持ち出しＰＣ
１８ 無線通信機器
３０ リクエスト情報抽出部
３２ 文書データ読出部
３４ スケジュール要求部
３６ ユーザー情報受付部
３８ スケジュール情報取得部
４０ スケジュール情報送出部
４２ アクセス可否判定部
４４ 本人確認指示部
４６ 通知先取得部
４８ 本人確認処理実行部
５０ 不正アクセス警告部
５２ 不正アクセス警告処理部
５４ 警告報知部
１００ 文書管理制御装置、
１０２ スケジュール管理装置
１０４ 本人確認装置
１００Ｉ ハードディスク（文書ＤＢ）
１０２Ｉ ハードディスク（スケジュールＤＢ）
１０４Ｉ ハードディスク（ユーザーＤＢ）

Claims (8)

1. 電子情報のダウンロードを要求するとき、電子情報を特定する特定情報、要求者を識別する識別情報、ダウンロード先の情報端末機器の位置を特定する位置情報を受け付ける受付手段と、
   予め登録された要求者のスケジュール管理上の要求受付時の位置と、前記情報端末機器の位置に基づいて、電子情報のダウンロード実行を許可するか否かを判定する判定手段と、
   を有する電子情報管理制御装置。
2. 前記判定手段が、
   前記スケジュール管理上の要求者の位置と、前記情報端末機器の位置とが、予め定めたしきい値以上離れている場合に、要求者の承認を促す通信手段を有し、
   前記通信手段による応答要求に対して、要求者から承認の応答があった場合は、前記電子情報のダウンロードを許可し、
   前記通信手段による応答要求に対して、要求者から承認の応答が一定期間内に無い場合、又は、要求者から未承認の応答があった場合は、前記電子情報のダウンロードを不許可とする請求項１記載の電子情報管理制御装置。
3. 前記判定手段が、
   前記スケジュール管理上の要求者の位置と、前記情報端末機器の位置とが、予め定めたしきい値以上離れている場合に、要求者の承認を促す通信手段を有し、
   判定手段の判定度合いとして、要求者へ承認を促し、かつ電子情報のダウンロードを常に許可する第１のレベル、要求者へ承認を促した後に承認の応答があれば電子情報のダウンロードを許可する第２のレベル、又は、要求者へ承認を促し、かつ電子情報のダウンロードを常に不許可とする第３のレベルから選択可能とする請求項１記載の電子情報管理制御装置。
4. 前記通信手段による応答要求が、前記情報端末機器とは別に要求者が所持する携帯通信端末に対して実行される請求項２又は請求項３記載の電子情報管理制御装置。
5. 前記判定手段の判定の結果がダウンロード実行不許可の場合に、不正アクセスがあった旨を警告する警告手段をさらに有する請求項１〜請求項４の何れか１項記載の電子情報管理制御装置。
6. 電子情報のダウンロードを要求するとき、電子情報を特定する特定情報、要求者を識別する識別情報、ダウンロード先の情報端末機器の位置を特定する位置情報を含むリクエスト情報を受け付ける文書管理装置と、
   前記要求者の所在を予め登録してスケジュール管理するスケジュール管理装置と、
   前記要求者が前記情報端末機器とは別に所持する通信携帯端末に、ダウンロードの承認要求を通知して、確認履行又は不履行を判定する本人確認装置とを有し、
   前記文書管理装置が、
   電子情報が記憶された記憶装置と、
   前記リクエスト情報を受け付けたときに、前記スケジュール管理装置へ、前記識別情報と現在時刻情報とを送出して前記要求者のスケジュール管理上の位置情報を要求する要求手段と、
   前記要求手段に対して回答された、要求者のスケジュール管理上の位置と、前記情報端末機器の位置とを照合する照合手段と、
   前記照合手段の照合の結果が不一致の場合に、前記本人確認装置へ本人確認を指示する指示手段と、
   前記照合手段の照合の結果が一致の場合、又は、前記本人確認装置で本人確認が履行された場合に、前記特定情報に基づいて、前記記憶装置から電子情報を読み出し、前記情報端末機器へ送出する送出手段と、
   を備える電子情報管理制御システム。
7. 前記本人確認装置が、
   本人確認が不履行となった場合に、不正アクセスがあった旨を警告する警告手段をさらに有する請求項６記載の電子情報管理制御システム。
8. コンピュータを、
   請求項１〜請求項７の何れか１項記載の電子情報管理制御装置として実行させる電子情報管理制御プログラム。