JP2021157250A - ドキュメント管理システム、処理端末装置及び制御装置 - Google Patents

Abstract

【課題】各ローカルネットワーク上にそれぞれ設けられた装置によってドキュメントに処理を施すドキュメント管理システムにおいて、特定の装置に負荷が集中することを防ぎつつ、ドキュメントをセキュアに処理する仕組みを提供する。【解決手段】制御装置１１０は、処理端末１０６によってドキュメントに施される処理の環境に関する環境情報と、処理端末１０６に関する処理端末情報とを、特定の通信条件を満たす通信方法を用いて処理端末１０６から取得し、環境情報と処理端末情報とが特定の処理条件を満たす場合、処理端末１０６がドキュメントに処理を施すことを許可する。処理端末１０６は、その処理端末１０６がドキュメントに処理を施すことが制御装置１１０によって許可された場合、ドキュメントに処理を施すことで処理済みドキュメントを生成する。【選択図】図１

Description

本発明は、ドキュメント管理システム、処理端末装置及び制御装置に関する。

ドキュメントに対して処理を施すことで処理済みドキュメントを生成し、当該処理済みドキュメントを管理するドキュメント管理システムが知られている。

特許文献１に記載されたシステムにおいては、処理装置は、ドキュメントを暗号化等によって保護済みドキュメントに変換し、指定された配信先の閲覧端末に配信し、配信先情報を含むメタデータを生成して保存すると共に、上位のローカルメタデータサーバに登録する。別の場所の処理装置は、閲覧端末を使用するユーザが自身に登録されていない場合、上位のローカルユーザＩＤサーバにユーザ認証を依頼し、また、要求された保護済みドキュメントのメタデータを持っていない場合、上位のローカルメタデータサーバからそのメタデータを取得して閲覧端末に送信する。

特開２０１８−１５６４０９号公報

ところで、ドキュメントに対して処理を施すことで処理済みドキュメントを生成するためには相応の処理負荷がかかる。ドキュメントを処理するサービスを、インターネット等を介して大規模に展開する場合、処理済みドキュメントの生成処理を中央のサーバで集中的に行う構成を採用すると、中央のサーバへの処理負荷の集中やネットワークの輻輳等によって、処理のレスポンスが悪くなる。

これに対し、処理済みドキュメントの生成処理を担う処理装置を各顧客のオフィス等のローカルネットワークにそれぞれ設ければ、そのような処理レスポンスの問題は回避される。しかし、この場合、個々のローカルネットワークに設けられた処理装置が提供する処理の品質が問題となる。例えば必要なアップデータがなされていない処理装置で生成された処理済みドキュメントは、漏洩等に対する安全性等の品質面のサービスの基準を満たさない。

これに対処するために、ローカルネットワークに接続された外部ネットワーク上に処理装置を管理する管理装置を設け、その処理装置が予め定められたセキュリティに関する条件を満たす場合に、その管理装置が、その処理装置による処理の実行を許可するシステムが考えられる。例えば、管理装置は、処理装置のステータスを管理し、そのステータスに基づいて、処理装置に処理の実行を許可するか否かを制御することが考えられる。

一方で、このようなシステムにおいて、処理装置が、同一のローカルネットワークに設けられた各装置から送信されるドキュメントに対して処理を施す場合、その処理装置に負荷が集中し、処理のレスポンスが悪くなる。これに対処するために、処理の一部を処理装置以外の他の装置に実行させることが考えられるが、この構成では、他の装置からドキュメントが漏洩する等して、ドキュメントをセキュアに処理できない可能性がある。

本発明の目的は、各ローカルネットワーク上にそれぞれ設けられた装置によってドキュメントに処理を施すドキュメント管理システムにおいて、特定の装置に負荷が集中することを防ぎつつ、ドキュメントをセキュアに処理する仕組みを提供することにある。

請求項１に係る発明は、各ローカルネットワーク上にそれぞれ設けられた制御装置及び処理端末と、前記各ローカルネットワークに接続された外部ネットワーク上に設けられ、前記制御装置が予め定められたセキュリティに関する条件を満たす場合に前記制御装置による処理を許可する管理装置と、を含み、前記制御装置は、第１プロセッサを有し、前記第１プロセッサは、前記処理端末によってドキュメントに施される処理の環境に関する環境情報と、前記処理端末に関する処理端末情報とを、特定の通信条件を満たす通信方法を用いて前記処理端末から取得し、前記環境情報と前記処理端末情報とが特定の処理条件を満たす場合、前記処理端末がドキュメントに処理を施すことを許可し、前記処理端末は、第２プロセッサを有し、前記第２プロセッサは、前記処理端末がドキュメントに処理を施すことが前記制御装置によって許可された場合、ドキュメントに処理を施すことで処理済みドキュメントを生成する、ドキュメント管理システムである。

請求項２に係る発明は、前記管理装置は、第３プロセッサを有し、前記第３プロセッサは、前記制御装置に対してドキュメントＩＤの発行権限を示す発行権限情報を付与し、前記制御装置が前記処理済みドキュメントに発行したドキュメントＩＤを前記制御装置から受信し、その受信したドキュメントＩＤをメモリに記憶させ、前記第１プロセッサは、更に、前記管理装置から付与された発行権限情報と、前記制御装置が発行したドキュメントＩＤであることを示す情報と、を含むドキュメントＩＤを前記処理済みドキュメントに対して発行し、前記第２プロセッサは、更に、前記制御装置によって発行されたドキュメントＩＤを前記処理済みドキュメントに付与する、ことを特徴とする請求項１に記載のドキュメント管理システムである。

請求項３に係る発明は、前記第２プロセッサは、更に、送信先ユーザと送信先端末とを示す送信先情報を取得し、前記処理済みドキュメントを利用するユーザとその利用に用いられる利用端末とが前記送信先情報の示す前記送信先ユーザと前記送信先端末とに該当する場合に前記処理済みドキュメントが前記利用端末で利用可能となるように制御するためのメタデータを生成し、前記第１プロセッサは、更に、前記処理済みドキュメントに対して発行されたドキュメントＩＤと、そのメタデータとを前記管理装置に送信し、前記第３プロセッサは、更に、前記制御装置が送信したドキュメントＩＤとメタデータとを受信し、その受信したドキュメントＩＤとメタデータとを対応付けてメモリに記憶させる、ことを特徴とする請求項２に記載のドキュメント管理システムである。

請求項４に係る発明は、前記第２プロセッサは、更に、前記ドキュメントに対して処理を施した前記処理端末を識別するための処理端末ＩＤを含む前記メタデータを生成する、ことを特徴とする請求項３に記載のドキュメント管理システムである。

請求項５に係る発明は、前記処理端末ＩＤが、ドキュメントＩＤの発行権限が付与された前記制御装置を識別するための制御装置ＩＤに対応付けられているか否かによって、前記処理済みドキュメントの正当性が検証される、ことを特徴とする請求項４に記載のドキュメント管理システムである。

請求項６に係る発明は、前記第２プロセッサは、更に、前記処理済みドキュメントと前記メタデータとを利用端末に送信する、ことを特徴とする請求項１から請求項５のいずれか一項に記載のドキュメント管理システムである。

請求項７に係る発明は、前記制御装置と前記処理端末との組み合わせが、予め定められた内容に合致する場合、前記通信方法が前記特定の通信条件を満たし、前記通信方法を用いた通信が、前記制御装置と前記処理端末との間で確立される、ことを特徴とする請求項１から請求項６のいずれか一項に記載のドキュメント管理システムである。

請求項８に係る発明は、前記環境情報は、前記処理端末にインストールされているセキュリティソフトの情報、前記処理端末にインストールされているオペレーティングシステムの情報、及び、ドキュメントに施される処理に用いられるソフトウエアの情報の中の少なくとも１つを含む、ことを特徴とする請求項１から請求項７のいずれか一項に記載のドキュメント管理システムである。

請求項９に係る発明は、各ローカルネットワーク上にそれぞれ設けられた制御装置、処理端末及び保管装置と、前記各ローカルネットワークに接続された外部ネットワーク上に設けられ、前記制御装置が予め定められたセキュリティに関する条件を満たす場合に前記制御装置による処理を許可する管理装置と、を含み、前記制御装置は、第１プロセッサを有し、前記第１プロセッサは、前記処理端末がドキュメントに処理を施すことの許可を制御し、前記処理端末は、第２プロセッサを有し、前記第２プロセッサは、前記処理端末がドキュメントに処理を施すことが前記制御装置によって許可された場合、ドキュメントに処理を施すことで処理済みドキュメントを生成し、前記処理済みドキュメントを特定の通信条件を満たす通信方法によって前記保管装置に送信し、前記保管装置は、前記処理済みドキュメントを記憶する、ドキュメント管理システムである。

請求項１０に係る発明は、前記第２プロセッサは、更に、送信先ユーザと送信先端末とを示す送信先情報を取得し、前記処理済みドキュメントを利用するユーザとその利用に用いられる利用端末とが前記送信先情報の示す前記送信先ユーザと前記送信先端末とに該当する場合に前記処理済みドキュメントが前記利用端末で利用可能となるように制御するメタデータを生成し、前記第１プロセッサは、更に、前記保管装置を識別するための保管装置ＩＤを前記メタデータに追加し、前記保管装置ＩＤが追加された前記メタデータを前記管理装置に送信する、ことを特徴とする請求項９に記載のドキュメント管理システムである。

請求項１１に係る発明は、プロセッサを有し、前記プロセッサは、自装置によってドキュメントに施される処理の環境に関する環境情報と、自装置に関する処理端末情報とを、自装置が設けられているローカルネットワーク上に設けられた制御装置であって、前記制御装置が予め定められたセキュリティに関する条件を満たす場合に、前記ローカルネットワークに接続された外部ネットワーク上に設けられた管理装置によって、処理を実行することが許可される制御装置に、特定の通信条件を満たす通信方法を用いて送信し、前記環境情報と前記処理端末情報とが特定の処理条件を満たすことによって自装置が前記ドキュメントに処理を施すことが前記制御装置によって許可された場合、その許可を示す許可情報を前記制御装置から受信し、前記許可情報を受信した場合、ドキュメントに処理を施すことで処理済みドキュメントを生成する、処理端末装置である。

請求項１２に係る発明は、プロセッサを有し、前記プロセッサは、自装置が設けられているローカルネットワークに接続された外部ネットワーク上に設けられた管理装置によって、自装置が予め定められたセキュリティに関する条件を満たす場合に自装置による処理が許可された場合、処理端末によってドキュメントに施される処理の環境に関する環境情報と、前記処理端末に関する処理端末情報とを特定の通信条件を満たす通信方法を用いて取得し、前記環境情報と前記処理端末情報とが特定の処理条件を満たす場合、前記処理端末がドキュメントに処理を施すことを許可する、制御装置である。

請求項１３に係る発明は、各ローカルネットワーク上にそれぞれ設けられた制御装置及び処理端末を含み、前記制御装置は、第１プロセッサを有し、前記第１プロセッサは、前記各ローカルネットワークに接続された外部ネットワーク上に設けられた管理装置によって、前記制御装置が予め定められたセキュリティに関する条件を満たすことに応じて前記制御装置による処理が許可された場合に、前記処理端末によってドキュメントに施される処理の環境に関する環境情報と、前記処理端末に関する処理端末情報とを、特定の通信条件を満たす通信方法を用いて前記処理端末から取得し、前記環境情報と前記処理端末情報とが特定の通信条件を満たす場合、前記処理端末がドキュメントに処理を施すことを許可し、前記処理端末は、第２プロセッサを有し、前記第２プロセッサは、前記処理端末がドキュメントに処理を施すことが前記制御装置によって許可された場合、ドキュメントに処理を施すことで処理済みドキュメントを生成する、ドキュメント管理システムである。

請求項１−３，６，１１，１２，１３に係る発明によれば、各ローカルネットワーク上にそれぞれ設けられた装置によってドキュメントに処理を施すドキュメント管理システムにおいて、特定の装置に負荷が集中することを防ぎつつ、ドキュメントをセキュアに処理する仕組みを提供することができる。

請求項４に係る発明によれば、ドキュメントに対して処理を施した処理端末を特定することができる。

請求項５に係る発明によれば、ドキュメントＩＤの発行権限が付与された制御装置の管理下で処理済みドキュメントが生成されたか否かを検証することができる。

請求項７に係る発明によれば、制御装置と処理端末との組み合わせが、予め定められた内容に合致する場合に、制御装置は、環境情報と処理端末情報とを処理端末から取得することができる。

請求項８に係る発明によれば、特定の処理条件を満たさないソフトウエア等がインストールされている処理端末による処理の実行を防ぐことができる。

請求項９，１０に係る発明によれば、処理端末から処理済みドキュメントを取得することができない場合であっても、保管装置から処理済みドキュメントを取得することができる。

ドキュメント管理システムの構成の例を示す図である。 処理端末、制御装置及び管理システムのハードウエアの構成の例を示す図である。 メタデータのデータ内容を例示する図である。 ユーザＩＤサーバが管理するデータ内容を例示する図である。 ＤＩＤサーバが管理するデータ内容を例示する図である。 処理装置管理サーバが管理するデータ内容を例示する図である。 処理装置の構成及び処理装置が持つデータ内容を例示する図である 処理端末及び制御装置の機能の構成の例を示す図である。 ドキュメント管理システムにおけるドキュメント配信及び閲覧の流れを説明する図である。 組織内管理システムを設けたシステム構成の例を示す図である。 ドキュメント管理システムの別の構成を示す図である。

図１に、ドキュメント管理システムの一つの実施形態の概略構成を示す。

紙の文書の場合、文書を持つ者が自由にコピーしたり他人に渡したりすることができる。また、文書を入手した者は、その文書を読むことができる。このように、紙の文書は情報漏洩を招くリスクが極めて高い。

これに対して、本実施形態のドキュメント管理システムは、電子的なドキュメントをセキュアに利用できる環境を提供し、ドキュメントの情報が漏洩するリスクを下げることを目指す。ここで、ドキュメントは、１つの単位（例えば１つのファイル）として流通可能なコンテントデータであり、データの種類は特に限定されない。例えば、ドキュメントの概念には、テキストデータ、ワードプロセッサソフトで作成された文書データ、表計算ソフトで作成されたスプレッドシートデータ、ＣＡＤ（Computer Aided Design）データ、画像データ、動画データ、音声データ、マルチメディアデータ、ウェブブラウザで表示されたページデータ、その他PC上で作成・編集・閲覧されプリントアウト対象となる様なデータなどが含まれる。

このドキュメント管理システムは、複数のローカルシステム１００とそれらローカルシステムに関する管理（特に後述する処理システムの管理）を行う管理システム２００とを含む。管理システム２００は、インターネット等の広域ネットワーク１０を介して各ローカルシステム１００と通信可能である。

ローカルシステム１００は、ローカルネットワーク１０８に接続された１以上の作成端末１０２、１以上の利用端末１０４、１以上の処理端末１０６、及び、制御装置１１０を含む。ローカルネットワーク１０８は、企業等の組織内に設けられたプライベートネットワーク（例えばＬＡＮとして構成）であり、ファイアウォール等により広域ネットワーク１０から保護されている。制御装置１１０は、基本的に、ローカルシステム１００内に１つ設置される。組織内のプライベートネットワークが大規模なものである場合、プライベートネットワークを構成する個々のネットワークセグメントをそれぞれローカルシステム１００とし、それら個々のローカルシステム１００内に１つずつ制御装置１１０を設置してもよい。例えば、ある会社の部署毎の居室内のネットワークセグメントがそれぞれその部署のローカルシステム１００となり、そのセグメントに１つの制御装置１１０が設置される。この例では、会社毎や各会社の部署毎に制御装置１１０を核とするローカルシステム１００が形成され、それら各制御装置１１０が中央にある管理システム２００から管理される。

作成端末１０２は、ドキュメントを作成するために用いられる端末であり、例えばデスクトップ型又はノート型のパーソナルコンピュータ、ワークステーション、タブレット端末、スマートフォン、複合機、スキャナ、ファクシミリ装置、又は、デジタルカメラ等である。作成端末１０２には、ドキュメントの作成、編集等のためのアプリケーションがインストールされている。また、作成端末１０２には、作成したドキュメントの配信をドキュメント管理システムに依頼するためのソフトウエアがインストールされている。このソフトウエアの形態としては、後述する処理端末１０６と情報をやりとりするデバイスドライバとして実装、またはＷｅｂアプリによる実装、などが考えられる。

処理端末１０６は、例えばデスクトップ型又はノート型のパーソナルコンピュータ、ワークステーション、タブレット端末、スマートフォン、複合機、スキャナ、ファクシミリ装置、又は、デジタルカメラ等である。処理端末１０６は、作成端末１０２が作成したドキュメントに処理を施すことで処理済みドキュメントを生成する。ドキュメントに施される処理は、元のドキュメントを処理済みドキュメントへとエンコードする処理ともいえ、この意味では、処理端末１０６は一種のエンコードである。処理済みドキュメントは、元のドキュメントを処理した結果生成されるドキュメントである。

例えば、ドキュメントに施される処理は保護処理であり、処理端末１０６は、元のドキュメントに保護処理を施すことで、保護されたドキュメントである保護済みドキュメントを生成する。ここでは、その保護済みドキュメントが、処理済みドキュメントの一例である。保護処理は、元のドキュメントをセキュアな環境で用いる形態である保護済みドキュメントへ変換する処理であり、例えば暗号化処理である。暗号化処理が元のドキュメントに施されることで、保護済みドキュメントの一例である暗号化されたドキュメントが生成される。例えば、処理端末１０６は、ドキュメントの配信先に指定されたユーザにのみ復号可能な形で暗号化する。

別の例として、元のドキュメントに施される処理は、元のドキュメントをドキュメント管理システムで利用することができるようにする処理であり、処理端末１０６は、元のドキュメントにその処理を施すことで、ドキュメント管理システムで利用することが可能なドキュメントを生成する。ここでは、その生成したドキュメントが、処理済みドキュメントの一例である。その処理は、元のドキュメントを、例えば、ドキュメント管理システムのために設計された専用フォーマットのデータに変換する変換処理である。変換処理が元のドキュメントに施されることで、専用フォーマットに変換されたドキュメントが生成される。

更に別の例として、元のドキュメントに施される処理は、上記の保護処理と変換処理の両方であってもよい。この場合、処理端末１０６は、例えば、元のドキュメントを、ドキュメント管理システムのために設計された専用フォーマットのデータに変換すると共に、そのドキュメントの配信先に指定されたユーザにのみ復号可能な形で暗号化する。ここでは、保護処理（例えば暗号化処理）と変換処理の両方を施すことで生成されたドキュメントが、処理済みドキュメントの一例である。なお、フォーマットの変換と暗号化はどちらを先に行ってもよい。

以下では、一例として、処理端末１０６によって、元のドキュメントに保護処理（例えば暗号化処理）と変換処理の両方が施される例について説明する。また、保護処理と変換処理の両方を施すことで生成されたドキュメントを「ｅＤｏｃファイル」と称することとする。もちろん、処理端末１０６によって、元のドキュメントに変換処理が施されずに保護処理が施されてもよいし、元のドキュメントに保護処理が施されずに変換処理が施されてもよい。

また、処理端末１０６は、処理済みドキュメントのメタデータを作成し、作成したメタデータを、特定の通信条件を満たす通信方法（例えばＳＳＬ等のセキュアな通信方法）を用いて制御装置１１０に送信する。メタデータは、制御装置１１０から上位システムである管理システム２００に送信されて登録される。メタデータは、処理済みドキュメントの書誌事項、配信先の情報、各配信先が保護済みドキュメント（処理済みドキュメントが保護済みドキュメントである場合）の暗号化を解除するのに用いるキーの情報等を含む。また、メタデータは、ドキュメントに対して処理を施した処理端末１０６の識別情報である処理端末ＩＤを含む。メタデータは複数の項目を含み、このサービスで提供される機能に応じて対応するデバイスやユーザからデータ付与・編集・更新が実行される。

例として、それら項目のうちの一部を、ドキュメント管理システムに対するドキュメントの登録指示を行ったユーザが指定し、別の一部を処理端末１０６が作成し、更に別の一部を制御装置１１０が作成する。また、メタデータのうちの一部の項目の値を管理システム２００や利用端末１０４が設定することもあり得る。また、処理端末１０６は、生成した処理済みドキュメントとメタデータを保存し、ユーザの指定した配信先の利用端末１０４に、処理済みドキュメントとメタデータを送信する。なお、メタデータは、処理端末１０６から利用端末１０４に送信されずに、管理システム２００から利用端末１０４に送信されてもよい。

例えば、処理端末１０６と制御装置１１０との組み合わせが、予め定められた内容に合致する場合に、特定の通信条件を満たす通信方法を用いた通信が、処理端末１０６と制御装置１１０との間で確立される。例えば、制御装置１１０に、その制御装置１１０と通信することが予め許可された処理端末１０６が予め登録されて、その制御装置１１０の識別情報である制御装置ＩＤと、その処理端末１０６の識別情報である処理端末ＩＤと、の組み合わせが予め作成されて、制御装置１１０に保存される。処理端末１０６は、通信の相手である制御装置１１０との通信の開始時に、自身の処理端末ＩＤを制御装置１１０に送信する。その制御装置１１０は、その処理端末１０６から処理端末ＩＤを受信し、その処理端末ＩＤと自身の制御装置ＩＤとの組み合わせが自身に保存されているか否かを確認する。その組み合わせがその制御装置１１０に保存されている場合、制御装置１１０は、その処理端末１０６との通信を許可し、これにより、その制御装置１１０とその処理端末１０６との間の通信が確立されて、処理端末１０６と制御装置１１０は、互いに情報を送受信することが可能となる。処理端末ＩＤと制御装置ＩＤとの組み合わせが制御装置１１０に保存されていない場合、制御装置１１０は、その処理端末１０６との通信を許可しない。この場合、その制御装置１１０とその処理端末１０６との間の通信は確立されず、その制御装置１１０とその処理端末１０６とは、互いに情報を送受信することができない。

１つの制御装置１１０には、複数の処理端末１０６が登録されてもよい。この場合、処理端末１０６毎に、その制御装置１１０の制御装置ＩＤと処理端末ＩＤとが対応付けられて制御装置１１０に保存される。

処理済みドキュメントの一例であるＤｏｃファイルは、元のドキュメントを専用フォーマットに変換し暗号化したものであり、ｅＤｏｃの本体とも呼ぶ。ｅＤｏｃファイルを利用可能（例えば閲覧可能）とするには、対応するメタデータが必要となる。ｅＤｏｃファイルとメタデータとが揃って、利用可能な完全なドキュメントを構成する。このように、ｅＤｏｃファイルとこれに対応するメタデータとの組を、以下では「ｅＤｏｃ」と呼ぶ。

制御装置１１０は、処理端末１０６によってドキュメントに施される処理の環境に関する環境情報と、その処理端末１０６に関する処理端末情報とを、特定の通信条件を満たす通信方法を用いて、処理端末１０６から取得する。制御装置１１０は、取得した環境情報と処理端末情報とが特定の処理条件を満たす場合、その処理端末１０６がドキュメントに処理を施すことを許可し、その許可を示す許可情報をその処理端末１０６に送信する。その許可情報はその処理端末１０６に記憶される。この場合、処理端末１０６は、ドキュメントに処理を施すことが許可される。許可情報に有効期限が設定されてもよい。この場合、処理端末１０６は、その有効期限内にドキュメントに処理を施すことが許可される。制御装置１１０に複数の処理端末１０６が登録される場合、制御装置１１０は、処理端末１０６毎に、処理端末１０６がドキュメントに処理を施すことを許可するか否かを判断する。

環境情報は、例えば、処理端末１０６にインストールされているセキュリティソフトの情報（例えば設置の情報や動作の情報）、処理端末１０６にインストールされているオペレーティングシステムの情報（例えばバージョンの情報）、及び、ドキュメントに施される処理に用いられるソフトウエア（つまり、エンコードに用いられるソフトウエア）の情報（例えばバージョンの情報や識別情報）の中の少なくとも１つを含む。

処理端末情報は、例えば、処理端末１０６の識別情報である処理端末ＩＤである。

例えば、処理端末１０６から取得した処理端末情報（例えば処理端末ＩＤ）が制御装置１１０に保存されており、かつ、処理端末１０６にインストールされているセキュリティソフトの動作状況や、オペレーティングシステムのバージョンや、保護処理に用いられるソフトウエアのバージョン等が、予め定められた条件を満たしている場合（例えば、ソフトウエアのバージョンが予め定められたバージョン以上である場合等）、環境情報と処理端末情報とが特定の処理条件を満たす。この場合、制御装置１１０は、処理端末１０６がドキュメントに処理を施すことを許可する。処理端末１０６にインストールされているソフトウエアの動作状況やバージョン等が、予め定められた条件を満たしていない場合（例えば、ソフトウエアのバージョンが予め定められたバージョン未満である場合等）、環境情報と処理端末情報とが特定の処理条件を満たさない。この場合、制御装置１１０は、処理端末１０６がドキュメントに処理を施すことを許可しない。

許可のタイミングは、例えば、処理端末１０６の電源がオンになって処理端末１０６が起動した時、処理に用いられるソフトウエアが起動した時、又は、許可情報の有効期間が過ぎている状態で処理が実行されようとしている時、等である。

制御装置１１０は、無線ＬＡＮのアクセスポイントの機能を内蔵していてもよい。この場合、作成端末１０２は、無線ＬＡＮで制御装置１１０と通信可能である。

利用端末１０４は、処理済みドキュメント（例えばｅＤｏｃファイル）の利用に用いられる端末である。例えば、利用端末１０４は、処理済みドキュメントの閲覧に用いられる。ここでの「閲覧」は、処理済みドキュメントをそのドキュメントが表す情報内容に応じた態様で利用することを意味する。例えば、処理済みドキュメントがワープロデータや図形等の文書を情報内容として持つ場合、閲覧は、利用端末１０４が表示したその文書をユーザが読む又は見ることである。また、処理済みドキュメントが表す情報内容が音声である場合、閲覧とは、利用端末１０４が再生したその音声をユーザが聞くことである。利用端末１０４は、例えば、デスクトップ型又はノート型のパーソナルコンピュータ、ワークステーション、タブレット端末、スマートフォン等の汎用のコンピュータに、処理済みドキュメントを閲覧するためのビューワアプリケーションをインストールして構成される。また、電子書籍端末のような閲覧専用の端末に、ビューワアプリケーションと同等の機能を持たせたものを利用端末１０４として用いてもよい。ビューワアプリケーションは、暗号化されている保護済みドキュメントをメタデータの情報を用いて復号する機能や、処理済みドキュメントの専用フォーマットで表されるデータを可読な状態のデータへとデコードする機能を有する。なお、本実施形態のドキュメント管理システムに対応するビューワアプリケーションを持たないコンピュータは、専用フォーマットのデータを可読なデータへとデコードすることはできない。

利用端末１０４は、処理済みドキュメントを復号及びデコードして表示する機能に加え、表示したそのドキュメントに対するユーザからの加工（つまり編集）を受け付ける機能を有してもよい。加工されたドキュメントは、元の処理済みドキュメントとは異なる内容となるが、この編集後のドキュメントを利用端末１０４から処理端末１０６に送ってドキュメント管理システムに登録（すなわち処理済みドキュメントへとエンコード）できるようにしてもよい。このように、１つの端末が、作成端末１０２と利用端末１０４の両方の機能を持っていてもよい。なお、ｅＤｏｃには利用者に許可する権限（後述するメタデータ中のアクセス権限情報）が設定されており、その権限の内容には、そのｅＤｏｃへの書き込み制限、再配布先の制限等が含まれてもよい。このような制限がアクセス権限情報中に規定されているｅＤｏｃファイルの場合、利用端末１０４は、利用者からの加工操作をその書き込み制限の範囲内でのみ受け付け、また加工後の新たなｅＤｏｃファイルの再配布先の指定を、その再配布先の制限の範囲内でのみ受け付ける。

また、本実施形態では、一例として、本実施形態のドキュメント管理システムを利用するユーザを認証するためのツールとして、ユーザが携帯する認証デバイス１０９を用いる。認証デバイス１０９は、ＩＣカードのように、当該デバイスを携帯するユーザの固有の識別情報を内蔵し、外部装置からの要求に応じてユーザ認証のためのデータ処理を実行するデバイスである。認証デバイス１０９は、そのような個人認証用のＩＣカードと同等の機能を内蔵したスマートフォンのような携帯端末であってもよい。利用端末１０４や作成端末１０２は、ＮＦＣ（Near Field Communication）等の無線通信プロトコルを用いて認証デバイス１０９と通信する機能を備える。利用端末１０４や作成端末１０２は、認証デバイス１０９との間で所定のプロトコルに沿ってユーザ認証のための情報をやりとりし、その認証デバイス１０９を携帯するユーザを認証する。あるいは、実際のユーザ認証は制御装置１１０や管理システム２００等、本実施形態のドキュメント管理システムのサーバ側が実行し、利用端末１０４や作成端末１０２は、サーバ側と認証デバイス１０９との間のデータ転送の仲介を行う方式であってもよい。また、利用端末１０４や作成端末１０２が認証デバイス１０９の機能を内蔵していてもよい。

作成端末１０２及び利用端末１０４は、その端末を利用するユーザ毎に、そのユーザの認証情報（例えばユーザＩＤ、パスワード等）、既定の処理端末１０６の処理端末ＩＤ、既定の処理端末１０６のアドレス情報、既定の制御装置１１０の制御装置ＩＤ、既定の制御装置１１０のアドレス情報、上位装置（例えば管理システム２００や後述の組織内管理システム１６０）のアドレス情報、制御装置や上位装置のセキュリティ証明書、通信路暗号化等に用いる暗号鍵等を記憶している。

管理システム２００は、各ローカルシステム１００内の制御装置１１０を管理する。また、管理システム２００は、処理済みドキュメントのメタデータを管理し、要求に応じてメタデータを利用端末１０４に提供する。管理システム２００は、１台のコンピュータ、又は、相互に通信可能な複数のコンピュータにより構成され、ユーザＩＤサーバ２１０、ＤＩＤサーバ２２０、メタデータサーバ２３０、及び、制御装置管理サーバ２４０の機能を有する。

ユーザＩＤサーバ２１０は、ドキュメント管理システムを利用する各ユーザの情報を管理するサーバである。ドキュメント管理システムを利用するユーザには、２つの階層がある。１つは、ドキュメント管理システムの利用のための契約を本システムの運営者と結んだ契約者であり、もう１つはその契約の下で実際にシステムを利用してドキュメントの登録や閲覧を行う一般ユーザである。例えば、会社が契約者であり、その会社のローカルネットワーク１０８に制御装置１１０が設置され、その会社の社員が一般ユーザとして、その制御装置１１０を介してドキュメント管理システムを利用するケースが多いと想定される。ユーザＩＤサーバ２１０は、契約者と一般ユーザのそれぞれについての情報を保持し、管理する。

ＤＩＤサーバ２２０は、処理済みドキュメントの識別情報（ＩＤ）であるＤＩＤ（ドキュメントＩＤ）を管理する。実際に処理済みドキュメントにＤＩＤを付与するのはその処理済みドキュメントを作成した処理端末１０６であるが、ＤＩＤサーバ２２０は制御装置１１０に対してＤＩＤの発行権限と発行枠（発行数）を付与し、その発行権限と発行枠の中で制御装置１１０が実際に発行したＤＩＤの報告を受けて記録する。これにより、ＤＩＤサーバ２２０は、不正なＤＩＤの発生を抑止し、不正なＤＩＤを持つドキュメントを検知可能とする。

メタデータサーバ２３０は、処理済みドキュメント（例えばｅＤｏｃファイル）のメタデータを保持し、管理する。メタデータサーバ２３０は、ユーザから利用端末１０４を介して処理済みドキュメントのメタデータを要求された場合、そのユーザが正当な者であれば、メタデータをその利用端末１０４に提供する。なお、メタデータを要求するユーザ（利用者）がメタデータサーバ２３０にとって「正当な者」であるとは、そのユーザと、そのユーザがその要求を発する際に用いた利用端末１０４との組合せが、その処理済みドキュメント（例えばｅＤｏｃファイル）のＤＩＤ（これはその要求に含まれる）に対応付けてメタデータサーバ２３０が保持しているメタデータ中の配信先情報（詳しくは後述）に示される配信先ユーザ及び配信先の利用端末１０４の組合せに該当する場合のことである。

制御装置管理サーバ２４０は、各制御装置１１０のステータスを管理するサーバである。

以下、図２を参照して、処理端末１０６、制御装置１１０及び管理システム２００のそれぞれのハードウエアの構成について説明する。図２には、それらのハードウエアの構成の一例が示されている。

処理端末１０６は、例えば、通信装置１０６ａ、ＵＩ１０６ｂ、メモリ１０６ｃ及びプロセッサ１０６ｄを含む。

通信装置１０６ａは、通信チップ等を有する通信インタフェース（例えばネットワークインタフェース等）であり、他の装置やシステムにデータを送信する機能、及び、他の装置やシステムから送信されてきたデータを受信する機能を有する。

ＵＩ１０６ｂはユーザインタフェースであり、表示装置及び操作装置の中の少なくとも１つを含む。表示装置は、液晶ディスプレイやＥＬディスプレイ等である。操作装置は、キーボードや入力キーや操作パネル等である。ＵＩ１０６ｂは、表示装置と操作装置とを兼ね備えたタッチパネル等のＵＩであってもよい。

メモリ１０６ｃは、データを記憶する１又は複数の記憶領域を構成する装置である。メモリ１０６ｃは、例えば、ハードディスクドライブ、各種のメモリ（例えばＲＡＭやＤＲＡＭやＲＯＭ等）、その他の記憶装置（例えば光ディスク等）、又は、それらの組み合わせである。

プロセッサ１０６ｄは、処理端末１０６の各部の動作を制御するように構成されている。プロセッサ１０６ｄは、メモリを含んでもよい。処理端末１０６の機能は、プロセッサ１０６ｄによって実現される。プロセッサ１０６ｄは、第２プロセッサの一例に相当する。

制御装置１１０は、例えば、通信装置１１０ａ、ＵＩ１１０ｂ、メモリ１１０ｃ及びプロセッサ１１０ｄを含む。

通信装置１１０ａは、通信チップ等を有する通信インタフェース（例えばネットワークインタフェース等）であり、他の装置やシステムにデータを送信する機能、及び、他の装置やシステムから送信されてきたデータを受信する機能を有する。

ＵＩ１１０ｂはユーザインタフェースであり、表示装置及び操作装置の中の少なくとも１つを含む。表示装置は、液晶ディスプレイやＥＬディスプレイ等である。操作装置は、キーボードや入力キーや操作パネル等である。ＵＩ１１０ｂは、表示装置と操作装置とを兼ね備えたタッチパネル等のＵＩであってもよい。

メモリ１１０ｃは、データを記憶する１又は複数の記憶領域を構成する装置である。メモリ１１０ｃは、例えば、ハードディスクドライブ、各種のメモリ（例えばＲＡＭやＤＲＡＭやＲＯＭ等）、その他の記憶装置（例えば光ディスク等）、又は、それらの組み合わせである。

プロセッサ１１０ｄは、制御装置１１０の各部の動作を制御するように構成されている。プロセッサ１１０ｄは、メモリを含んでもよい。制御装置１１０の機能は、プロセッサ１１０ｄによって実現される。プロセッサ１１０ｄは、第１プロセッサの一例に相当する。

管理システム２００は、例えば、通信装置２００ａ、ＵＩ２００ｂ、メモリ２００ｃ及びプロセッサ２００ｄを含む。

通信装置２００ａは、通信チップ等を有する通信インタフェース（例えばネットワークインタフェース等）であり、他の装置やシステムにデータを送信する機能、及び、他の装置やシステムから送信されてきたデータを受信する機能を有する。

ＵＩ２００ｂはユーザインタフェースであり、表示装置及び操作装置の中の少なくとも１つを含む。表示装置は、液晶ディスプレイやＥＬディスプレイ等である。操作装置は、キーボードや入力キーや操作パネル等である。ＵＩ２００ｂは、表示装置と操作装置とを兼ね備えたタッチパネル等のＵＩであってもよい。

メモリ２００ｃは、データを記憶する１又は複数の記憶領域を構成する装置である。メモリ２００ｃは、例えば、ハードディスクドライブ、各種のメモリ（例えばＲＡＭやＤＲＡＭやＲＯＭ等）、その他の記憶装置（例えば光ディスク等）、又は、それらの組み合わせである。

プロセッサ２００ｄは、管理システム２００の各部の動作を制御するように構成されている。プロセッサ２００ｄは、メモリを含んでもよい。管理システム２００の機能は、プロセッサ２００ｄによって実現される。プロセッサ２００ｄは、第３プロセッサの一例に相当する。なお、管理システム２００に含まれる各サーバがそれぞれプロセッサを有し、各サーバの機能は、自身に設けられているプロセッサによって実現されてもよい。

次に、図３を参照して、処理済みドキュメントのメタデータ３００のデータ内容の例を説明する。ここでは、ｅＤｏｃファイルのメタデータについて説明する。

メタデータ３００を含む項目のうち、まず「ＤＩＤ」は、そのｅＤｏｃファイルを生成した処理端末１０６が付与したドキュメントＩＤである。「ドキュメント名」は、そのｅＤｏｃファイルの名称又はタイトルである。

「配信者ＩＤ」は、そのｅＤｏｃを配信した者、すなわち作成端末１０２から処理端末１０６に対してドキュメントの登録操作を行い、処理端末１０６を介して配信を行う者（以下、「配信者」と呼ぶ）のユーザＩＤである。

「エンコード日時」は、作成端末１０２からのドキュメントがエンコードされてそのｅＤｏｃが作成された日時である。「制御装置ＩＤ」は、そのｅＤｏｃを作成した処理端末１０６に処理の実行を許可した制御装置１１０の識別情報である。「許可情報」は、その処理を実行した処理端末１０６の識別情報である処理端末ＩＤと、その処理端末１０６による処理の実行を許可することを示す情報とを含む。「暗号化情報」は、そのｅＤｏｃの生成時の暗号化に関する情報であり、暗号化に用いた暗号化ソフト名、その暗号化ソフトのバージョン、及び、その暗号化を解除（復号）するための鍵を表す鍵情報を含む。「キーワード情報」は、そのｅＤｏｃ（又は元データ）から抽出したキーワードのリストである。このキーワード情報は、例えばｅＤｏｃの検索の際に利用される。

「配信先情報」は、配信者がそのｅＤｏｃの配信先に指定したユーザ及び利用端末１０４を表す情報である。図３の例では、配信先情報は、配信先のユーザ毎に、そのユーザのユーザＩＤとそのユーザが用いるべき利用端末１０４のＩＤ（識別情報）とを含んでいる。複数の利用端末１０４が指定された場合には、そのユーザのユーザＩＤとそれら複数の利用端末１０４のＩＤとの組が配信先情報に組み込まれる。

ｅＤｏｃファイルのメタデータに、そのｅＤｏｃファイルを生成した処理端末１０６の処理端末ＩＤと、その処理の実行を許可した制御装置１１０の制御装置ＩＤとが対応付けられているか否かによって、そのｅＤｏｃファイルの正当性が検証される。処理端末ＩＤと制御装置ＩＤとが対応付けられている場合、その処理端末ＩＤを有する処理端末１０６は、その制御装置ＩＤを有する制御装置１１０によって許可されており、その処理端末１０６によって生成されたｅＤｏｃファイルは、制御装置１１０によって許可された処理端末１０６によって生成されたことが証明される。つまり、そのｅＤｏｃファイルの正当性が証明される。メタデータにおいて、処理端末ＩＤと制御装置ＩＤとが対応付けられていない場合、そのメタデータに対応付けられているｅＤｏｃファイルは、制御装置１１０によって許可されていない処理端末１０６等によって生成されたことになり、そのｅＤｏｃファイルの正当性が証明されないことになる。このようにして、ｅＤｏｃファイルの正当性が検証される。例えば、管理システム２００がｅＤｏｃファイルの正当性を検証する。

また、別の例として、配信先ユーザは配信先に指定された利用端末１０４のうちのいずれかを利用してそのｅＤｏｃを利用可能とする方式を採用した場合、配信先情報には、配信先ユーザのＩＤのリストと、配信先の利用端末１０４のＩＤのリストが含まれる。例えば、配信先の利用端末１０４の候補として、部署の共用端末や、部署の居室や会議室に備え付けられた端末等が想定される場合がある。共用端末や居室等の備え付け端末（これも共用端末の一種）等は、組織内のユーザの誰が使うか決まっていないが、少なくともどのような端末であるかは配信者には分かっており、また、勝手に組織外に持ち出される可能性が低いことも分かっているので、機密対象のドキュメントの配信先として適格である。このような素性の分かった共用端末でｅＤｏｃを利用する場合には、このように配信先ユーザは配信先に指定された利用端末１０４のうちのどれを利用してもよい、という利用形態も考えられる。

「アクセス権限情報」は、配信者が配信先のユーザに対して付与したそのｅＤｏｃに対する利用権限を表す情報である。

「オフライン有効期間」は、そのメタデータの有効期間の長さを表す情報である。すなわち、利用端末１０４が管理システム２００にアクセスできない状態（オフライン状態）にあるときでも、そのｅＤｏｃの前回の閲覧時に取得してキャッシュしているメタデータが存在し、そのメタデータの取得日時からその「オフライン有効期間」内であれば、利用端末１０４はそのメタデータ内の暗号化情報を用いてそのｅＤｏｃを復号して表示する。一方、オフライン状態であり、閲覧を指示されたｅＤｏｃについてのキャッシュしたメタデータのオフライン有効期間が既に過ぎている場合は、利用端末１０４は、そのｅＤｏｃを復号せず、したがって表示も行わない。なお、利用端末１０４は、管理システム２００にアクセス可能（すなわちオンライン状態）である間は、ユーザがｅＤｏｃの閲覧を指示した場合、そのｅＤｏｃの最新のメタデータをメタデータサーバ２３０から取得して使用する。

「元データ情報」は、ｅＤｏｃが生成（エンコード）される前の元データが保存されているか否かを示す情報と、保存されている場合はその元データの保存場所を示す情報（例えばＵＲＬ：Uniform Resource Locator）である。ここでの元データは、例えば作成端末１０２から処理端末１０６に送られたドキュメント（処理を施す前のもの）、そのドキュメントの元になったアプリケーションデータ（例えばドキュメントがページ記述言語データである場合、そのデータに変換する前のワープロソフトのデータ）、又は、それらの両方である。

「ドキュメント取得日時」は、利用端末１０４がそのｅＤｏｃの本体データのファイル（すなわちｅＤｏｃファイル）を取得した日時である。「メタデータ取得日時」は、利用端末１０４がそのｅＤｏｃの現在キャッシュしている最新のメタデータをメタデータサーバ２３０から取得した日時である。ドキュメント取得日時及びメタデータ取得日時は、管理システム２００に保持されているメタデータには含まれず、利用端末１０４がメタデータサーバ２３０から取得したメタデータに対して自機での管理のために追加する。

また、図３に示したメタデータの項目のうち、エンコード日時、キーワード情報、及び、許可情報は、処理端末１０６によってメタデータに含められる。ＤＩＤは制御装置１１０によって発行され、暗号化情報は制御装置１１０にて管理される。ＤＩＤ及び暗号化情報は、ＳＳＬ等のセキュアな通信方法を用いて、制御装置１１０から処理端末１０６に送信され、処理端末１０６によってメタデータに追加される。ドキュメント名、配信者ＩＤ、配信先情報、アクセス権限情報、オフライン有効期限、及び、元データ情報は、作成端末１０２から処理端末１０６に送られるドキュメントや属性データに由来し、処理端末１０６によってメタデータに追加される。

次に、管理システム２００の各サーバ２１０〜２５０が管理する情報のデータ内容を励磁する。

まず、図４を参照して、ユーザＩＤサーバ２１０が管理するデータ内容の例を説明する。ユーザＩＤサーバ２１０には、各契約者の契約者データ２１２と、各一般ユーザのユーザデータ２１４が登録されている。

契約者データ２１２には、契約者ＩＤ、契約内容情報、及び、ユーザリストが含まれる。契約者ＩＤは、ドキュメント管理システムの運営者と契約した契約者（例えば組織や組織内の部署）の識別情報である。ユーザリストは、その契約者の契約によってこのドキュメント管理システムを利用する一般ユーザ（例えば契約者である組織に所属するメンバ）のユーザＩＤのリストである。

一般ユーザデータ２１４には、その一般ユーザのユーザＩＤ、パスワード、ユーザＩＤキー情報、公開鍵証明書、既定の制御装置ＩＤ、既定の処理端末ＩＤ、既定の利用端末リスト、及び、所属情報が含まれる。ユーザＩＤキー情報は、そのユーザの認証デバイス１０９が用いるそのユーザの認証情報である。公開鍵証明書は、そのユーザの公開鍵を証明するデジタル証明書である。既定の制御装置ＩＤは、そのユーザが登録された制御装置１１０のＩＤである。通常、ユーザは自分が所属するオフィスに置かれた制御装置１１０に登録され、その制御装置１１０がそのユーザによっての既定の制御装置となる。既定の処理端末ＩＤは、そのユーザが主として使用する１以上の処理端末１０６のＩＤである。既定の利用端末リストは、そのユーザが主として使用する１以上の利用端末のＩＤのリストである。このリストに含まれる利用端末が、そのユーザに対してｅＤｏｃを配信する際の配信先の端末の候補となる。所属情報は、そのユーザが所属する組織やその部署等を特定する情報であり、例えばその組織や部署の契約者ＩＤである。

次に、図５を参照して、ＤＩＤサーバ２２０が管理するデータ内容の例を示す。

ＤＩＤサーバ２２０は、図５に示すように、制御装置１１０に発行した発行権限キー毎に、発行枠、付与先制御装置、キー付与日時、キー終了日時、発行済みＤＩＤリストの各項目の情報を保持している。

発行権限キーは、ＤＩＤサーバ２２０が制御装置１１０に対して付与した、ＤＩＤの発行権限を証明するキー情報（例えばランダムに生成した文字列）である。制御装置１１０は、自らが発行するＤＩＤに、ＤＩＤサーバ２２０から付与された発行権限キーを含めることで、そのＤＩＤが正当な発行権限の下で発行したものであることを証する。

発行枠は、その発行権限キーと共に制御装置１１０に付与したＤＩＤ発行上限数（ＤＩＤを付与可能な上限のドキュメント数）である。制御装置１１０は、発行権限キーと発行枠のペアをＤＩＤサーバ２２０から付与されると、その発行枠を示す上限数までのｅＤｏｃに対して、それぞれ固有のＤＩＤを付与することができる。

付与先制御装置は、その発行権限キー（及び発行枠）の付与先の制御装置１１０のＩＤを示す。キー付与日時は、その発行権限キーを制御装置１１０に付与した日時である。キー終了日時は、付与先の制御装置１１０がその発行権限キーを使い終わった日時である。すなわち、制御装置１１０がその発行権限キーと共に付与された発行枠が示す上限数のｅＤｏｃに対するＤＩＤの付与をし終えた日時である。なお、制御装置１１０が発行枠を使い切った後に次の発行権限キーと発行枠をＤＩＤサーバ２２０に要求する仕組みを採用している場合、ある発行権限キー（第１のキーと呼ぶ）のキー終了日時を明示的に記録する代わりに、当該発行権限キーの次に制御装置１１０が付与された発行権限キーのキー付与日時を、第１のキーのキー終了日時として用いてもよい。発行済ＤＩＤリストは、付与先の制御装置１１０がその発行権限キーを用いて発行したＤＩＤとその発行年月日のリストである。付与先の制御装置１１０は、発行権限キーを用いてＤＩＤを発行する毎にそのＤＩＤをＤＩＤサーバ２２０に通知し、ＤＩＤサーバ２２０は通知されたＤＩＤとその発行年月日を、そのＤＩＤに含まれる発行権限キーに対応する発行済みＤＩＤリストに追加する。

メタデータサーバ２３０は、各制御装置１１０から送られてくる各ｅＤｏｃのメタデータを保管する。保管するメタデータのデータ内容は、図３に例示したものと同様である。ただし、図３に例示したメタデータの項目のうち、利用端末１０４のみで用いる項目（ドキュメント取得日時やメタデータ取得日時）については、メタデータサーバ２３０では管理しない。

次に、図６を参照して制御装置管理サーバ２４０が管理するデータについて説明する。制御装置管理サーバ２４０は、管理対象の制御装置１１０毎に、その制御装置１１０のステータス履歴２４２を記憶している。ステータス履歴には、その制御装置１１０のＩＤに対応付けて、作成及び個々の更新の時点（作成・更新日時）でのその制御装置１１０のステータス２４４の情報が含まれる。

個々の時点でのステータス２４４には、設置場所、契約者ＩＤ、管理者名、管理者連絡先、登録ユーザリスト、ソフトウエア情報２４６、ハードウエア情報２４８、ディスク空き容量、セキュリティ証明書情報が含まれる。設置場所は、その制御装置１１０の設置場所を示す情報であり、例えば住所や建物名、階数等の情報を含む。契約者ＩＤは、その制御装置１１０を使用している契約者のＩＤである。管理者名は、その制御装置１１０の管理者の名前である。管理者は、制御装置１１０の設置先の部署等においてその制御装置１１０を管理しているユーザである。管理者連絡先は、その管理者の連絡先の情報（例えば電子メールアドレス）である。登録ユーザリストは、その制御装置１１０に登録されたユーザ（言い換えればその制御装置１１０を「既定の制御装置」とするユーザ）のユーザＩＤのリストである。

ソフトウエア情報２４６には、エンコードソフト名、エンコードソフトバージョン、暗号化ソフト名、暗号化ソフトバージョン、制御装置１１０にインストールされているその他のソフトウエアの名称及びバージョンが含まれる。ここでエンコードソフトは、その制御装置１１０に登録されている処理端末１０６にインストールされているエンコードソフトであり、暗号化ソフトは、その処理端末１０６にインストールされている暗号化ソフトである。エンコードソフトは、ドキュメントをドキュメント管理システムの専用フォーマットへ変換（エンコード）するソフトウエアである。暗号化ソフトは、ドキュメント（例えば専用フォーマットに変換されたもの）を暗号化するソフトウエアである。例えば、その制御装置１１０に登録されている各処理端末１０６にインストールされているエンコードソフト及び暗号化ソフトのそれぞれのソフト名及びバージョンが、各処理端末１０６の処理端末ＩＤに対応付けられてソフトウエア情報２４６に含まれる。例えば、処理端末１０６が制御装置１１０によって許可されると、これらの情報がソフトウエア情報２４６に含まれる。

ハードウエア情報２４８には、エンコード回路情報、エンコード回路ＦＷバージョン、及び、制御装置１１０の製造者名等の項目が含まれる。エンコード回路情報は、エンコード処理に用いるハードウエア回路の機種を示す情報である。エンコード回路ＦＷバージョンは、そのエンコード回路のファームウエア（＝ＦＷ）のバージョンである。例えば、その制御装置１１０に登録されている各処理端末１０６に搭載されているエンコード回路のエンコード回路情報及びエンコード回路ＦＷバージョンが、各処理端末１０６の処理端末ＩＤに対応付けられてハードウエア情報２４８に含まれる。例えば、処理端末１０６が制御装置１１０によって許可されると、これらの情報がハードウエア情報２４８に含まれる。

ディスク空き容量は、制御装置１１０が持つハードディスク又はソリッドステートディスク等の二次記憶装置の、その時点での空き容量である。

セキュリティ証明書情報は、制御装置１１０にその時点でインストールされている各セキュリティ証明書を特定する情報（例えば証明書のサブジェクト（subject：主体者）識別子、イシュア（issuer：発行者）識別子、発行日時等の情報）である。

また、煩雑さを避けるために図示は省略したが、ステータス２４４には、制御装置１１０にインストールされているフォントの種類（フォント名のリスト）、ネットワーク通信のためのアドレス（例えばＩＰアドレス）、搭載している二次記憶装置（ハードディスクドライブ等）の装置ＩＤ、制御装置１１０を設置先の組織の基幹システムの処理に繋ぐためのカスタマイズ内容を示す情報、制御装置１１０が用いる暗号鍵（通信路暗号化や署名等のためのもの）のインストール日時等が含まれる。

次に、図７を参照して、制御装置１１０が保持するデータベース群について説明する。図示のように、制御装置１１０は、管理情報記憶部１１２及びユーザＤＢを含む。

管理情報記憶部１１２には、管理情報１１２ａが記憶される。管理情報１１２ａには、上位装置アドレス情報、セキュリティ証明書、暗号鍵、エンコードソフト名、エンコードソフトバージョン、暗号化ソフト名、暗号化ソフトバージョン等の項目が含まれる。上位装置アドレス情報は、制御装置１１０を管理する上位装置のそれぞれの通信アドレス（例えばＩＰアドレス、ＵＲＬ等）の情報である。管理システム２００やその中の各サーバ２１０〜２４０、又は後述する組織内管理システム１６０やその中の各サーバ１６２〜１６６が上位装置の例である。セキュリティ証明書は、制御装置１１０がネットワーク上の他の装置と公開鍵基盤準拠のセキュアな通信を行う際に用いるデジタル証明書である。制御装置１１０は、よく通信する相手である各上位装置のセキュリティ証明書を保持している。また作成端末１０２や利用端末１０４を使用する各ユーザのセキュリティ証明を保持してもよい。暗号鍵は、制御装置１１０がネットワーク上の他の装置と通信を行う際の暗号化や復号、制御装置１１０によるデジタル署名（又はそれに類する証明情報の生成）等の目的に用いる、当該制御装置１１０の暗号鍵であり、例えば公開鍵基盤においてその制御装置１１０に対して付与された秘密鍵と公開鍵のペアである。エンコードソフト及び暗号化ソフトは、それぞれ、この制御装置１１０に登録されている処理端末１０６にインストールされているエンコード（専用フォーマットへの変換）及び暗号化のためのソフトウエアである。

ユーザＤＢ１１４には、この制御装置１１０に登録されている各ユーザ（言い換えればこの制御装置１１０を「既定の制御装置」とするユーザ）のユーザ情報１１４ａが記憶されている。個々の登録ユーザのユーザ情報１１４ａには、ユーザＩＤ、パスワード、ユーザＩＤキー情報、公開鍵情報、既定の処理端末ＩＤ、既定の利用端末リスト等の項目が含まれる。これらの項目については、上述のユーザＩＤサーバ２１０が持つデータの説明（図４参照）で説明した。

次に、図８を参照して、処理端末１０６及び制御装置１１０の構成について詳しく説明する。図８には、処理端末１０６及び制御装置１１０の機能の構成の一例が示されている。

制御装置１１０は、通信インタフェース１２０，１２２，１２４、ＩＤ発行部１２６、鍵情報管理部１２８、メタデータ生成部１３０、及び、送付部１３２を含む。

通信インタフェース１２０は、広域ネットワーク１０を介して、管理システム２００や他のローカルシステム１００に設置されている制御装置１１０と通信するために用いられる通信インタフェースである。

通信インタフェース１２２は、を用いて、処理端末１０６の通信インタフェース１４０と通信し、処理端末１０６との間で、処理端末１０６での処理に用いられる情報（例えばＤＩＤ、ユーザＩＤ、契約情報、鍵情報等）を送受信するために用いられる通信インタフェースである。

通信インタフェース１２４は、特定の通信条件を満たす通信方法（例えばＳＳＬ等のセキュアな通信方法）を用いて、処理端末１０６の通信インタフェース１４２と通信し、処理端末１０６との間で、処理済みドキュメント（例えばｅＤｏｃファイル）やメタデータを送受信するために用いられる通信インタフェースである。

ＩＤ発行部１２６は、処理端末１０６によって生成された処理済みドキュメント（例えばｅＤｏｃファイル）に付与されるＤＩＤを発行する。ＤＩＤサーバ２２０は、制御装置１１０に対してＤＩＤの発行権限及びこれに付随する発行枠（ドキュメント数）を事前に付与している。ＤＩＤの発行権限は、無制限ではなく、発行枠に制限される。すなわち、ＩＤ発行部１２６は、ＤＩＤサーバ２２０から付与された発行枠が示す数までのドキュメントであれば、同時に付与される発行権に基づいたＤＩＤを発行することができる。発行枠を使い切れば、ＩＤ発行部１２６は、ＤＩＤサーバ２２０から新たな発行権限及び発行枠の付与を受ける。ＩＤ発行部１２６は、ＤＩＤの発行権限及び発行枠を受け取っていない場合（あるいは受け取った発行枠を使い切った場合）は、ＤＩＤサーバ２２０に対して新たな発行権限及び発行枠を要求する。ＤＩＤサーバ２２０は、ＩＤ発行部１２６からの要求に応じて、新たな発行権限及び発行枠をそのＩＤ発行部１２６に送信する。ＤＩＤには、ＤＩＤサーバ２２０から受けた発行権限に基づくものであることを証する情報（後述する発行権限キー）と、その発行権限に基づき制御装置１１０が発行したものであることを証する情報（後述する発行証明キー）とが含まれる。後述するように、ＩＤ発行部１２６によって発行されたＤＩＤは、処理端末１０６によって処理済みドキュメント（例えばｅＤｏｃファイル）に付与される。

鍵情報管理部１２８は、暗号化されたファイル（例えばｅＤｏｃファイル）の生成時の暗号化に関する情報である暗号化情報を管理する。暗号化情報は、暗号化に用いた暗号化ソフト名、その暗号化ソフトのバージョン、及び、その暗号化を解除（復号）するための鍵を表す鍵情報を含む。鍵情報は、例えば、復号のための鍵を各配信先ユーザの公開鍵で暗号化したものである。

また、鍵情報管理部１２８は、処理端末１０６によってドキュメントに施される処理の環境に関する環境情報と、その処理端末１０６に関する処理端末情報とを、特定の通信条件を満たす通信方法（例えばＳＳＬ等のセキュアな通信方法）を用いて、通信インタフェース１２２，１４０を介して、処理端末１０６のエンコード管理部１４８から取得し、その環境情報と処理端末情報とに基づいて、処理端末１０６がドキュメントに処理を施すことを許可するか否かを判断する。鍵情報管理部１２８は、取得した環境情報と処理端末情報とが特定の処理条件を満たす場合、その処理端末１０６がドキュメントに処理を施すことを許可し、その許可を示す許可情報を、ＳＳＬ等のセキュアな通信方法を用いて、通信インタフェース１２２，１４０を介して、その処理端末１０６に送信する。その許可情報はその処理端末１０６に記憶される。

メタデータ生成部１３０は、処理端末１０６からメタデータを受けて、そのメタデータに項目を追加し、その項目が追加されたメタデータをメタデータサーバ２３０に送信して登録する。また、メタデータ生成部１３０は、そのメタデータを処理端末１０６に送信する。そのメタデータは、メタデータＤＢ１５４に保存される。例えば、アクセス権限情報や配信先情報がメタデータに含まれていない場合、メタデータ生成部１３０は、デフォルトのアクセス権限情報と配信先情報をメタデータに追加する。また、メタデータ生成部１３０は、メタデータの生成ログの情報をメタデータに追加する。また、後述するように、メタデータは処理端末１０６のメタデータＤＢ１５４に保存される。メタデータ生成部１３０は、その保存ログの情報とその保存場所情報をメタデータに追加する。

送付部１３２は、通信インタフェース１２０を介して、処理済みドキュメント（例えばｅＤｏｃファイル）を配布先である他の制御装置１１０に送付する。

処理端末１０６は、通信インタフェース１４０，１４２、受付部１４４、処理部１４６、エンコード管理部１４８、送付部１５０、ｅＤｏｃ保管部１５２、及び、メタデータＤＢ１５４を含む。

通信インタフェース１４０は、特定の通信条件を満たす通信方法（例えばＳＳＬ等のセキュアな通信方法）を用いて、制御装置１１０の通信インタフェース１２２と通信し、制御装置１１０との間で、処理端末１０６での処理に用いられる情報（例えばＤＩＤ、ユーザＩＤ、契約情報、鍵情報等）を送受信するために用いられる通信インタフェースである。

通信インタフェース１４２は、特定の通信条件を満たす通信方法（例えばＳＳＬ等のセキュアな通信方法）を用いて、制御装置１１０の通信インタフェース１２４と通信し、制御装置１１０との間で、処理済みドキュメント（例えばｅＤｏｃファイル）やメタデータを送受信するために用いられる通信インタフェースである。

受付部１４４は、作成端末１０２から送られてきた、登録対象のドキュメント、ドキュメント名、配信者ＩＤ、配信先情報、アクセス権限情報、オフライン有効期限、及び、元データ情報を受け付ける。

処理部１４６は、処理端末１０６がドキュメントに処理を施すことが鍵情報管理部１２８によって許可されると、受付部１４４が受け付けた登録対象のドキュメントに対して処理を施すことで処理済みドキュメント（例えばｅＤｏｃファイル）を生成する。この生成では、一例として、ドキュメントを本実施形態のドキュメント管理システムの専用フォーマットへとエンコード、エンコードしたデータを、暗号鍵を用いて暗号化することで、ｅＤｏｃファイルを生成する。エンコードと暗号化の順序は逆でもよい。別の例として、処理部１４６は、登録対象のドキュメントにフォーマット変換処理を施さずに保護処理を施してもよいし、そのドキュメントに保護処理を施さずにフォーマット変換処理を施してもよい。また、処理部１４６は、その処理済みドキュメント（例えばｅＤｏｃファイル）に対して一意なＤＩＤを付与する。そのＤＩＤは、制御装置１１０によって発行されて処理端末１０６に送られる。このＤＩＤには、発行権限キーと発行証明キーが含まれる。

また、処理部１４６は、生成した処理済みドキュメント（例えばｅＤｏｃファイル）に対応するメタデータを生成する。このメタデータには、作成端末１０２からそのドキュメントと共に受け取った属性データと、制御装置１１０から受け取った、処理に用いられる情報と、処理部１４６自身が作成した属性項目の値とが含まれる。メタデータに含まれる鍵情報は、ｅＤｏｃファイルの暗号化を解除するための鍵を示す情報である。暗号化に共通鍵方式を用いた場合、鍵情報はその共通鍵を示す情報である。ただし、共通鍵そのものを平文でメタデータに含めると、盗聴や傍受により悪用される懸念があるため、その共通鍵を配信先ユーザの公開鍵で暗号化したものを鍵情報としてメタデータに組み込む。

また、処理部１４６は、生成した処理済みドキュメント（例えばｅＤｏｃファイル）とメタデータを送付部１５０に出力する。

エンコード管理部１４８は、処理端末１０６によってドキュメントに施される処理の環境に関する環境情報と、その処理端末１０６に関する処理端末情報とを、特定の通信条件を満たす通信方法（例えばＳＳＬ等のセキュアな通信方法）を用いて、通信インタフェース１２２，１４０を介して、制御装置１１０の鍵情報管理部１２８に送信する。また、処理端末１０６がドキュメントに処理を施すことが、鍵情報管理部１２８によって許可されると、エンコード管理部１４８は、鍵情報管理部１２８から送られる許可情報を受信する。

送付部１５０は、処理部１４６によって生成された処理済みドキュメント（例えばｅＤｏｃファイル）をｅＤｏｃ保管部１５２に保存する。また、送付部１５０は、処理部１４６によって生成されたメタデータを、特定の通信条件を満たす通信方法（例えばＳＳＬ等のセキュアな通信方法）を用いて、通信インタフェース１２４，１４２を介して、制御装置１１０に送信する。上述したように、そのメタデータに、メタデータ生成部１３０によって項目が追加される。その項目が追加されたメタデータは、制御装置１１０から処理端末１０６に送信され、送付部１５０は、その項目が追加されたメタデータをメタデータＤＢ１５４に保存する。

また、送付部１５０は、処理部１４６によって生成された処理済みドキュメント（例えばｅＤｏｃファイル）を、配信先に指定された利用端末１０４に送信する。この配信は、プッシュ型でもプル型でも、それら両方（例えば処理済みドキュメントの作成時にプッシュ配信し、そのときに非稼働で受信しなかった利用端末１０４はプル型で配信を受ける）であってもよい。この配信は、ローカルシステム１００内のローカルネットワーク１０８を介して行われる。なお、送付部１５０は、処理済みドキュメントを利用端末１０４に送信せずに、処理済みドキュメントが生成された旨を示す通知を利用端末１０４に送信してもよい。

また、他の制御装置１１０に処理済みドキュメント（例えばｅＤｏｃファイル）を配送する場合、送付部１５０は、その処理済みドキュメントを、特定の通信条件を満たす通信方法（例えばＳＳＬ等のセキュアな通信方法）を用いて、通信インタフェース１２４，１４２を介して制御装置１１０に送信する。制御装置１１０の送付部１３２は、その処理済みドキュメント受けて、配送先に配送する。

ｅＤｏｃ保管部１５２には、処理部１４６によって生成されたｅＤｏｃファイルが保存される。

メタデータＤＢ１５４には、生成されたメタデータを保存する。

処理済みドキュメントの（例えばｅＤｏｃファイル）と、そのｅＤｏｃファイルに対応するメタデータとは、ＤＩＤの情報を含んでいるので、その処理済みドキュメントとメタデータとの対応付けが可能である。また、ｅＤｏｃ保管部１５２には、処理済みドキュメントにエンコードする前の元のデータ（作成端末１０２から受け取ったもの）を、その処理済みドキュメントのＤＩＤに対応付けて登録してもよい。

上記の構成を有するシステムにおいては、処理端末１０６での処理（つまりエンコード）に用いられる情報（例えばＤＩＤ、ユーザＩＤ、契約情報、鍵情報等）は、鍵情報管理部１２８とエンコード管理部１４８との間で、通信インタフェース１２２，１４０を介して、特定の通信条件を満たす通信方法（例えばＳＳＬ等のセキュアな通信方法）によって送受信される。その際に、処理端末１０６の正当性の確認に許可情報が用いられる。有効期間が切れていない許可情報が処理端末１０６に記憶されている場合、処理端末１０６での処理に用いられる情報が、鍵情報管理部１２８からエンコード管理部１４８に送信される。

＜制御装置のステータス管理＞
次に、制御装置１１０のステータス管理に基づく制御について説明する。

制御装置１１０は、定期的に自身のステータスを管理システム２００に通知する。管理システム２００では、制御装置管理サーバ２４０が、受け取ったステータスを、その受け取りの日時と対応付けて当該制御装置１１０についてのステータス履歴２４２に追加する。また制御装置管理サーバ２４０は、受け取ったステータスについてチェックを行い、そのチェックの結果に従って、制御装置１１０のユーザに対するサービス提供の可・不可を制御する。

制御装置１１０が制御装置管理サーバ２４０に定期送信するステータスは、図６に例示したステータス２４４と同様の項目を含む。

制御装置管理サーバ２４０は、制御装置１１０から送られてくるステータスに基づき、制御装置１１０による処理の実行を許可するか否かを制御する。例えば、制御装置管理サーバ２４０は、制御装置１１０のステータスに基づき、その制御装置１１０が予め定められたセキュリティに関する条件を満たしているか否かを判断し、その条件を満たしている場合、制御装置１１０による処理を許可し、その条件を満たしていない場合、制御装置１１０による処理を許可しない。以下、この点について詳しく説明する。

まず、制御装置管理サーバ２４０は、制御装置１１０からステータスを受信すると、そのステータスのうちの検査対象項目の値を、それぞれの項目の基準と照合する。検査対象項目には、制御装置１１０に登録されている処理端末１０６にインストールされている暗号化ソフトの名称及びバージョン、エンコードソフトの名称及びバージョン、セキュリティ証明書、暗号鍵（例えば秘密鍵と公開鍵ペア。通信路暗号化や署名的な目的等に用いる）の情報（例えば当該鍵の識別情報やインストール日時等）、処理端末１０６に搭載されているエンコード回路の名称及びファームウエア（ＦＷ）のバージョン、搭載フォント種類、ディスク（二次記憶）の空き容量、が含まれる。また、個々の項目についての基準の例としては、暗号化ソフトやエンコードソフト、ファームウエアが最新バージョンであること（あるいはあるバージョン以降のバージョンであること）、ディスクの空き容量が所定の閾値以上であること、セキュリティ証明書の中にブラックリストに入っている証明書がないこと、暗号鍵がインストールされた日から所定期間が経過していないこと、所定（すなわちあらかじめ定めた）種類のフォントがインストールされていること、などがある。

例えば、制御装置１１０が通信路暗号化や署名等に用いる暗号鍵は、その安全性を維持するために、定期的に新しい鍵に変更することが望ましいので、インストール日時から所定期間が経過した以降は基準を満たさないものと判定してサービス提供を不可とし（あるいは不可となる旨の警告を発し）、新しい鍵への交換を促す。

次に、制御装置管理サーバ２４０は、制御装置１１０から受け取ったステータスの検査対象項目の中に、当該項目の基準を満たさないものがあるかどうかを判定し、なければ今回ステータスを受信した制御装置１１０についての処理を終了する。基準を満たさない項目があった場合、制御装置管理サーバ２４０は、その制御装置１１０に対してサービス不可を通知する。この通知を受けた制御装置１１０は、本実施形態のドキュメント管理システムに対するドキュメントの登録（配信）サービスを停止する。すなわち、制御装置１１０は、処理端末１０６がドキュメントに対して処理を施すことを許可しない。処理端末１０６は、作成端末１０２からのドキュメントの登録（配信）要求を受け付けず、サービス停止中である旨のメッセージを返す。

このような制御によれば、制御装置１１０が基準を満たさない品質のｅＤｏｃを生成してしまう可能性が低減される。

＜システムの処理の流れ＞
ローカルネットワーク１０８上に制御装置１１０を設置した場合、制御装置１１０の保守を行う保守作業員は、制御装置１１０に対して、その制御装置１１０を利用するユーザの情報や、それらユーザが利用する可能性のある作成端末１０２や利用端末１０４や処理端末１０６の情報を登録する。登録されたユーザの情報は、上位装置であるユーザＩＤサーバ２１０（あるいは後述のローカルユーザＩＤサーバ１６２）にも転送され、登録される。なお、設置後、制御装置１１０を利用するユーザが増えたり減ったりした場合には、保守作業員は、制御装置１１０に対して増えたユーザの情報を新たに追加登録したり、減ったユーザの情報の登録を削除したりする作業を行う。このような追加や削除は、ユーザＩＤサーバ２１０等の上位装置にも通知され、これに応じ上位装置の保持する情報が更新される。また保守作業員は、それら各作成端末１０２に対して、処理端末１０６及び制御装置１１０にドキュメントの登録及び配信を依頼する処理を行うソフトウエア（例えば、処理端末１０６及び制御装置１１０のデバイスドライバの形態をとる）をインストールする。また、保守作業員は、各利用端末１０４に対して、制御装置１１０と通信するための情報（例えば装置名、通信アドレス、無線アクセス設定）等を登録する。

次に、図９を参照して、本実施形態に係るドキュメント管理システムによる処理について説明する。

（０）制御装置１１０は、ＤＩＤの発行権限及びこれに付随する発行枠の付与を、ＤＩＤサーバ２２０に要求する。ＤＩＤサーバ２２０は、その要求に応じて、その制御装置１１０に対してＤＩＤの発行権限及び発行枠を付与する。ＤＩＤの発行権限は、無制限ではなく、発行枠に制限される。すなわち、制御装置１１０は、ＤＩＤサーバ２２０から付与された発行枠が示す数までのドキュメントであれば、発行権限に基づいたＤＩＤを発行することができる。発行枠を使い切れば、制御装置１１０は、ＤＩＤサーバ２２０から新たな発行権限及び発行枠の付与を受ける。

（１）ユーザは、ドキュメントを本実施形態のドキュメント管理システムに登録したい（すなわち配信したい）場合、作成端末１０２にドキュメント登録を指示する（例えばアプリケーションのメニュー上で「登録」を指示する）。この指示を受けた作成端末１０２は、ユーザ認証を求める。この認証は、ユーザＩＤ及びパスワードの入力により行ってもよいし、作成端末１０２のカードリーダ部の近傍にユーザが認証デバイス１０９を近づけることで行ってもよい。ユーザ認証は、作成端末１０２が行ってもよいし、ドキュメントの登録先である処理端末１０６やその処理端末１０６を管理する制御装置１１０が行ってもよい。そして、ユーザは、作成端末１０２に保持されているドキュメントからドキュメント管理システムに登録するものを選んでその登録を指示する。

作成端末１０２（より詳しくは、作成端末１０２にインストールされた登録処理用プログラム）は、ユーザからドキュメントの登録指示を受けた場合、そのドキュメントに対する属性データのうちそのユーザが指定すべき項目（例えばドキュメントの配信先）の入力を受け付ける。ここで、配信先として、ユーザと利用端末１０４の組合せの指定を受け付けるようにしてもよい。この場合、ユーザと、そのユーザがドキュメントの利用に用いる利用端末１０４との組合せが、配信先として指定された組合せと一致する場合に、ユーザはそのドキュメントを利用可能となる。配信先のユーザと利用端末１０４は、制御装置１１０に登録されているユーザと利用端末１０４である。また、作成端末１０２にて、配信先ユーザのアクセス権限（例えば閲覧、編集、印刷、コピー等）や、オフライン有効期間等が設定されてもよい。

作成端末１０２は、ユーザが入力した配信先等の属性項目と、作成端末１０２自身が生成した他の属性項目（例えば登録者の情報、作成日時等）と合わせた属性データを、そのドキュメントと共に処理端末１０６に送信する。例えば、既定の処理端末１０６が定められて、その処理端末１０６の処理端末ＩＤとアドレス情報が、作成端末１０２に記憶されている。作成端末１０２は、その既定の処理端末１０６にドキュメントと属性データを送信する。また、複数の既定の処理端末１０６が定められている場合、ユーザは、それら複数の処理端末１０６の中から、ドキュメントに処理を施す処理端末１０６を選択してもよい。作成端末１０２は、ユーザが選択した処理端末１０６にドキュメントと属性データを送信する。なお、作成端末１０２は、様々なアプリケーションが作成した様々なフォーマットのドキュメントを、利用端末１０４側で取扱可能な統一的なフォーマットに変換するドライバを有していてもよい。例えば、ワープロデータ、スプレッドシート、ＣＡＤデータのような静的な文書画像を示すデータの場合、そのドライバは、プリンタドライバと同様、そのデータをページ記述言語で表現されたドキュメントへと変換する。また、例えば、元のデータが音声データの場合、ドライバは、その音声データを本実施形態のドキュメント管理システム（特に利用端末１０４）が対応する特定の音声データ形式のデータ（ドキュメント）へと変換する。

（２）処理端末１０６は、作成端末１０２からドキュメント及び属性データを受信する。処理端末１０６に有効期間が切れていない許可情報が保存されている場合、処理端末１０６は、ＳＳＬ等のセキュアな通信方法を用いて、その許可情報を自身が登録されている制御装置１１０に送信すると共に、処理に用いられる情報（例えばＤＩＤ、ユーザＩＤ、契約情報、鍵情報等）をその制御装置１１０に要求する。ＩＤ発行部１２６は、その要求に応じて、ＤＩＤサーバ２２０から付与された発行権限を用いてＤＩＤを発行する。そのＤＩＤには、発行権限キーと発行証明キーとが含まれる。そして、鍵情報管理部１２８は、ＳＳＬ等のセキュアな通信方法を用いて、処理に用いられる情報をエンコード管理部１４８に送信する。なお、許可情報が処理端末１０６に保存されていない場合、又は、処理端末１０６に保存されている許可情報の有効期間が切れている場合、処理の環境に関する環境情報と処理端末１０６に関する処理端末情報とが、処理端末１０６から制御装置１１０に送信される。制御装置１１０は、これらの情報に基づいて、処理端末１０６がドキュメントに処理を施すことを許可するか否かを判断し、これらの情報が特定の処理条件を満たす場合、処理端末１０６がドキュメントに処理を施すことを許可し、許可情報を処理端末１０６に送信する。

（３）ドキュメントに処理を施すことが許可される場合、処理部１４６は、作成端末１０２から受信した登録対象のドキュメントに対して処理を施すことで処理済みドキュメントを生成する。ここでは一例として、処理部１４６は、登録対象のドキュメントに保護処理とフォーマット変換処理とを施すことでｅＤｏｃファイルを生成する。また、処理部１４６は、そのｅＤｏｃファイルに対してＤＩＤを付与する。また、処理部１４６は、生成したｅＤｏｃファイルに対応するメタデータを生成する。このメタデータには、作成端末１０２からそのドキュメントと共に受け取った属性データと、制御装置１１０から受け取った情報と、処理部１４６自身が作成した属性項目の値とが含まれる。処理部１４６は、生成したｅＤｏｃファイルとメタデータを送付部１５０に出力する。

（４）送付部１５０は、処理部１４６によって生成されたｅＤｏｃファイルをｅＤｏｃ保管部１５２に保存する。

また、送付部１５０は、処理部１４６によって生成されたメタデータを、特定の通信条件を満たす通信方法（例えばＳＳＬ等のセキュアな通信方法）を用いて、通信インタフェース１２４，１４２を介して、制御装置１１０に送信する。上述したように、そのメタデータに、メタデータ生成部１３０によって項目が追加される。その項目が追加されたメタデータは、制御装置１１０から処理端末１０６に送信され、送付部１５０は、その項目が追加されたメタデータをメタデータＤＢ１５４に保存する。

また、メタデータ生成部１３０は、項目が追加されたメタデータをメタデータサーバ２３０にアップロードする。メタデータサーバ２３０は、制御装置１１０からアップロードされたメタデータを保存する。また、ＩＤ発行部１２６は、先ほど発行しｅＤｏｃファイルに付与されたＤＩＤをＤＩＤサーバ２２０にアップロードする。ＤＩＤサーバ２２０は、制御装置１１０からアップロードされたＤＩＤを保存する。

（５）送付部１５０は、ｅＤｏｃファイルの配信先の利用端末１０４に対して、そのｅＤｏｃファイルについての配信準備完了通知を送信する。この通知には、先ほど生成したＤＩＤ、ｅＤｏｃのドキュメント名の情報を含む。また、この通知は、ｅＤｏｃの代表ページ（例えば先頭ページ等の予め指定されたページ）のサムネイル画像を含んでいてもよい。なお、送付部１５０は、配信準備完了通知を送信せずに、ｅＤｏｃファイルを利用端末１０４に送信してもよい。

（６）利用端末１０４を利用するユーザ（閲覧者と呼ぶ）は、自分の認証デバイス１０９を利用端末１０４のカードリーダ部に近づけることで、ユーザ認証を受ける。利用端末１０４は、自身に配信されているｅＤｏｃのリストを表示するリスト画面を表示する。閲覧者は、このリスト画面上で、自分が閲覧したいｅＤｏｃを例えばタッチ操作等で選択し、閲覧指示を行う。

利用端末１０４は、選ばれたｅＤｏｃファイル及びメタデータを保持していないので、処理端末１０６から取得する必要がある。そこで、利用端末１０４は、自身が接続されているローカルネットワーク１０８上の処理端末１０６であって、上記の配信準備完了通知を自身に送信した処理端末１０６に対して、その閲覧者の認証デバイス１０９から取得した認証情報であるユーザＩＤキーを送信する。その処理端末１０６は、そのユーザＩＤキーが自身に登録されているユーザを証明するものであるか検証する（ユーザ認証）。ここでは、そのユーザ認証が成功したとする。なお、利用端末１０４から受信したユーザＩＤキーが処理端末１０６に登録されたいずれのユーザにも該当しなかった場合、処理端末１０６は、そのユーザＩＤキーをユーザ認証に関する上位装置（制御装置１１０、ユーザＩＤサーバ２１０又はローカルユーザＩＤサーバ１６２）に送り、ユーザ認証を依頼してもよい。

また、利用端末１０４は、処理端末１０６でのユーザ認証が成功したのを受けて、閲覧者が選択したｅＤｏｃファイルのＤＩＤを含む配信要求を処理端末１０６に送る。

処理端末１０６は、利用端末１０４からの配信要求に含まれるＤＩＤに対応するｅＤｏｃファイル及びメタデータを、利用端末１０４に返信する。

利用端末１０４は、処理端末１０６から送られてきたｅＤｏｃファイル及びメタデータを受信して保存（キャッシュ）する。

利用端末１０４は、自身と、自身を現在使用中の閲覧者との組合せと一致する組合せが、そのメタデータ中の配信先情報（図３参照）に示される配信先ユーザと配信先端末との組合せの中にあるかどうかを判定する。ないと判定した場合は、閲覧者はその利用端末１０４ではそのｅＤｏｃファイルを閲覧できない。この場合、利用端末１０４は、閲覧できない旨を示すエラーメッセージを表示する。またこの場合、利用端末１０４は、保存しているそのｅＤｏｃファイル（及び対応するメタデータ）を削除してもよい。一方、利用端末１０４とそれを現在使用中の閲覧者との組合せに該当するものがメタデータ中の配信者情報内にあると判定した場合、利用端末１０４は、閲覧者に対してｅＤｏｃの閲覧を許可する。この場合、利用端末１０４は、そのメタデータ内の暗号化情報に含まれる各配信先ユーザに対応する暗号化済みの鍵の中から閲覧者に対応するものを取り出し、その鍵を閲覧者の秘密鍵（これは例えば認証デバイス１０９が保持している）で復号することで、ｅＤｏｃファイルの復号に必要な復号鍵を復元する。

利用端末１０４は、復元した復号鍵を用いてそのｅＤｏｃファイルを復号することで閲覧可能なドキュメントを再生し、そのドキュメントを出力（例えば画面表示）する。また、利用端末１０４は、閲覧者からそのドキュメントに対する操作指示を受け付けるかどうかを、メタデータに含まれるアクセス権限情報に従って制御する。利用端末１０４は、基本的には、復号したドキュメントをファイルに保存することはしない。すなわち、閲覧終了後は、利用端末１０４の不揮発性記憶装置には、ｅＤｏｃファイルとメタデータが保存されるが、復号結果のドキュメントは保存されない。

なお、ｅＤｏｃファイルが、処理端末１０６から利用端末１０４に送信され、利用端末１０４は、その ｅＤｏｃファイルのメタデータをメタデータサーバ２３０に要求し、そのメタデータをメタデータサーバ２３０から受信して、ｅＤｏｃファイルを復号して出力（例えば画面表示）してもよい。

（７）また、配布先（例えば、他のローカルシステム１００）へのｅＤｏｃファイルの配布が、作成端末１０２を利用するユーザ等から指示されている場合、処理端末１０６は、配布先へのｅＤｏｃファイルの配布を制御装置１１０に指示する。

（８）制御装置１１０の送付部１３２は、その指示を受けると、配布先を確認する（例えば管理システム２００に問い合わせて配信先を確認する）。

（９）そして、送付部１３２は、配布対象のｅＤｏｃファイルを配信先に配信する。

本実施形態に係るドキュメント管理システムでは、エンコードに関する様々な処理（例えば、エンコード、メタデータの生成等）が制御装置１１０ではなく処理端末１０６によって実行されるので、これらの処理を全て制御装置１１０にて実行する場合と比べて、制御装置１１０に負荷が集中することを防ぐことができる。例えば、１つの制御装置１１０に複数の作成端末１０２が登録されている場合、その１つの制御装置１１０がこれら複数の作成端末１０２のそれぞれから送られたドキュメントに対してエンコードに関する様々な処理を施すと、その１つの制御装置１１０に負荷が集中する。これに対して、処理端末１０６がこれらの処理を施すことで、制御装置１１０の負荷を軽減することができる。また、複数のＰＣが処理端末１０６として使用され、それら複数のＰＣがエンコードに関する処理を施すことで、各ＰＣの負荷も分散する。また、処理端末１０６にインストールされているソフトウエアの動作状況やバージョン等に基づいて、処理端末１０６が処理を施すことを許可するか否かが判断され、許可された場合に、処理端末１０６が処理を施し、許可されない場合、処理端末１０６は処理を施さない。そのため、ドキュメントをセキュアに処理することができる。例えば、処理端末１０６にインストールされているセキュリティソフトやオペレーティングシステムのバージョンが古い場合、その処理端末１０６にて処理が施されることは許可されないため、セキュリティソフトやオペレーティングシステムの脆弱性に起因するドキュメントの漏洩等を防ぐことができる。

なお、作成端末１０２からドキュメントを受信した処理端末１０６が、制御装置１１０から許可されない処理端末１０６である場合、制御装置１１０は、その作成端末１０２に対して、許可された他の処理端末１０６にドキュメントを送信して登録要求をすることを促す通知を送ってもよい。例えば、その通知内容は、その作成端末１０２に表示される。例えば、許可された他の処理端末１０６の処理端末ＩＤやアドレス等が表示される。また、許可されていない処理端末１０６は、自身が受信したドキュメントを削除する。

次に、図１０を参照して、本実施形態のドキュメント管理システムの別の例を説明する。図１０に示す例では、企業等の組織のプライベートネットワークである組織内ネットワーク内にローカルシステム１００が複数存在する。そして、組織内ネットワークには、組織内管理システム１６０が設けられている。組織内管理システム１６０は、ドキュメント管理システムのうち当該組織内の処理やそれに必要な情報を管理する。すなわち、管理システム２００は、ドキュメント管理システムのサービスプロバイダが運用し、ドキュメント管理システムを利用する複数の組織についての情報や処理を管理するのに対し、組織内管理システム１６０はそれら情報や処理のうち当該組織に関する部分を、管理システム２００の管理下で管理する。

組織内管理システム１６０は、ローカルユーザＩＤサーバ１６２、ローカルＤＩＤサーバ１６４、及びローカルメタデータサーバ１６６を有する。

ローカルユーザＩＤサーバ１６２は、当該組織のメンバのうちドキュメント管理システムにユーザ登録されているユーザの情報を管理する。ローカルユーザＩＤサーバ１６２が保持する個々のユーザの情報は、図４に記載したユーザＩＤサーバ２１０が保持する一般ユーザの情報と同様である。制御装置１１０に対して、その制御装置１１０を利用するユーザ（すなわちその制御装置１１０を「既定の制御装置」とするユーザ）が登録されると、制御装置１１０は登録されたユーザの情報を組織内のローカルユーザＩＤサーバ１６２に送る。ローカルユーザＩＤサーバ１６２は、受け取ったユーザの情報を保存すると共に、広域ネットワーク１０経由で中央の管理システム２００のユーザＩＤサーバ２１０に送る。ユーザＩＤサーバ２１０は、受け取ったユーザの情報を保管する。また、制御装置１１０に登録されたユーザの情報に変更が生じた場合、管理者等が制御装置１１０に対してそのユーザの情報の変更を行う。制御装置１１０は、このユーザ情報の変更内容の情報（例えばユーザＩＤと、変更された情報項目の項目名と、その項目の変更後の値とを含む）をローカルユーザＩＤサーバ１６２に送信し、ローカルユーザＩＤサーバ１６２は、受信した変更に内容に応じて自身が保管している当該ユーザの情報を変更する。また、ローカルユーザＩＤサーバ１６２は、受け取った変更内容の情報を中央のユーザＩＤサーバ２１０に送り、ユーザＩＤサーバ２１０は送られてきた情報に応じて、自分が保持するそのユーザの情報を変更する。

ローカルＤＩＤサーバ１６４は、当該組織の組織内ネットワークに属する各ローカルシステム１００内の制御装置１１０が発行したＤＩＤを受け取り、保管する。ローカルＤＩＤサーバ１６４が保持する情報は、図５に記載したＤＩＤサーバ２２０が保持する情報と同様である。またローカルＤＩＤサーバ１６４は、制御装置１１０から受け取ったＤＩＤの情報を中央のＤＩＤサーバ２２０に送り、ＤＩＤサーバ２２０はその情報を保管する。また、ローカルＤＩＤサーバ１６４は、中央のＤＩＤサーバ２２０からＤＩＤの発行権限及び発行枠を付与され、その発行枠の範囲内で、その発行権限に基づいて管理下の各制御装置１１０に対してＤＩＤの発行権限及び発行枠を付与する。

ローカルメタデータサーバ１６６は、当該組織の組織内ネットワークに属する各ローカルシステム１００内の制御装置１１０が生成した処理済みドキュメント（例えばｅＤｏｃ）のメタデータを受け取り、保管する。ローカルメタデータサーバ１６６が保持する情報は、メタデータサーバ２３０が保持する情報と同様である。またローカルメタデータサーバ１６６は、制御装置１１０から受け取ったメタデータを中央のメタデータサーバ２３０に送り、メタデータサーバ２３０はそのメタデータを保管する。

図１０のシステムでは、制御装置１１０は、自分には登録されていないが同じ組織内の他の制御装置１１０に登録されているユーザからのドキュメントの登録（及び配信）要求、又は処理済みドキュメント（例えばｅＤｏｃファイル）又はメタデータの取得要求等の要求を受けた場合、組織内管理システム１６０を介してそれら要求に応答する。

次に、ドキュメント管理システムで処理済みドキュメントの識別情報に用いるＤＩＤの構成について説明する。

ＤＩＤは、発行権限キー、制御装置固有情報、発行年月日、発行証明キー、及び発行番号を含む。

発行権限キーは、ＤＩＤサーバ２２０が制御装置１１０に付与した発行権限を識別するキー情報である。ＤＩＤサーバ２２０は、制御装置１１０から発行権限及び発行枠の要求を受けた場合、発行権限キーを生成し、その発行権限キーを発行枠（例えばドキュメント数１００個）の数値と共に制御装置１１０に送信する。なお、ＤＩＤサーバ２２０と制御装置１１０との間にローカルＤＩＤサーバ１６４が介在するシステム構成の場合には、ＤＩＤサーバ２２０がローカルＤＩＤサーバ１６４に対して、例えば、発行権限キーと発行枠の組を複数組一括して付与する。この付与は、ＤＩＤサーバ２２０が、それら複数組の発行権限キー及び発行枠を制御装置１１０に付与する処理をローカルＤＩＤサーバ１６４に依頼することと捉えてもよい。ローカルＤＩＤサーバ１６４は、管理下の制御装置１１０から発行権限を要求された場合、付与された複数組の発行権限キー及び発行枠の中の未付与のものをその制御装置１１０に付与すればよい。

制御装置固有情報は、そのＤＩＤを発行した制御装置１１０に固有な情報である。すなわち、ＤＩＤ中の制御装置固有情報を調べることで、そのＤＩＤを発行した制御装置１１０が一意に特定できる。制御装置固有情報は、制御装置１１０が保持している。

発行年月日は、そのＤＩＤを発行した年月日を示す文字列である。ＤＩＤの発行年月日は、そのＤＩＤの付与先であるｅＤｏｃを生成（エンコード）した年月日でもある。

発行証明キーは、その制御装置１１０（制御装置固有情報により特定される）が、発行権限キーが示す発行権限を用いてそのＤＩＤを発行したことを証明するキー情報である。発行証明キーは、例えば、発行権限キーをその制御装置１１０の秘密鍵で暗号化することで得られる値である。この場合、発行証明キーをその制御装置１１０の公開鍵で復号して得られた値が、発行権限キーに一致すれば、そのＤＩＤは、その発行権限キーを用いてその制御装置１１０が発行したものであることが証明される。また、ＤＩＤのうち発行権限キーを除く部分の値（又はその値から生成した所定桁数のハッシュ値）を制御装置１１０の秘密鍵で暗号化して得た値を発行証明キーとしてもよい。この場合、発行証明キーを制御装置１１０の公開鍵で復号した値が、ＤＩＤの発行証明キーを除いた部分の値と矛盾しなければ（例えば復号結果がその値のハッシュ値と一致）、そのＤＩＤは発行権限キーに基づきその制御装置１１０が発行したものであり、ＤＩＤの発行証明キー以外の部分に改ざんがないことが証明される。

発行番号は、そのＤＩＤが、制御装置１１０がその発行権限キーを用いて発行した何番目のＤＩＤであるかを示す通し番号である。ある発行権限キーを用いて生成されたＤＩＤの発行番号が取り得る最大値は、その発行権限キーと共にＤＩＤサーバ２２０（又はローカルＤＩＤサーバ１６４）が付与した発行枠の値（ドキュメント数）である。

次に、図１１を参照して、本実施形態に係るドキュメント管理システムの別の例を説明する。図１１に示す例では、ドキュメント管理システムは、更に保管装置１７０を含む。この例では、処理済みドキュメント（例えばｅＤｏｃファイル）とメタデータは処理端末１０６に保存されずに、保管装置１７０に保存される。

保管装置１７０は、通信インタフェース１７２，１７４、送付部１７６、ｅＤｏｃ保管部１７８、及び、メタデータＤＢ１８０を含む。

通信インタフェース１７２は、広域ネットワーク１０を介して、管理システム２００や他のローカルシステム１００に設置されている制御装置１１０と通信するために用いられる通信インタフェースである。

通信インタフェース１７４は、特定の通信条件を満たす通信方法（例えばＳＳＬ等のセキュアな通信方法）を用いて、制御装置１１０の通信インタフェース１２２及び処理端末１０６の通信インタフェース１４２と通信するために用いられる通信インタフェースである。例えば、通信インタフェース１７４は、制御装置１１０の通信インタフェース１２２と通信し、制御装置１１０からメタデータやＤＩＤを受信する。また、通信インタフェース１７４は、処理端末１０６の通信インタフェース１４２と通信し、処理端末１０６からｅＤｏｃファイルを受信する。

送付部１７６は、通信インタフェース１７２を介して、制御装置１１０から受信したメタデータをメタデータサーバ２３０に送信する。また、送付部１７６は、そのメタデータをメタデータＤＢ１８０に保存する。また、送付部１７６は、処理端末１０６から受信した処理済みドキュメント（例えばｅＤｏｃファイル）をｅＤｏｃ保管部１７８に保存し、配布先が指定されている場合、配布対象の処理済みドキュメント（例えばｅＤｏｃファイル）を、通信インタフェース１７２を介して配布先の制御装置１１０に配布する。

ｅＤｏｃ保管部１７８には、処理端末１０６から送られてきた処理済みドキュメント（例えばｅＤｏｃファイル）が保存される。処理端末１０６の送付部１５０は、処理部１４６によって生成された処理済みドキュメントを、通信インタフェース１４２，１７４を介して保管装置１７０に送信する。

メタデータＤＢ１８０には、制御装置１１０から送られてきたメタデータが保存される。

例えば、制御装置１１０と保管装置１７０との組み合わせが、予め定められた内容に合致する場合に、特定の通信条件を満たす通信方法を用いた通信が、制御装置１１０と保管装置１７０との間で確立される。例えば、制御装置１１０に、その制御装置１１０と通信することが予め許可された保管装置１７０が予め登録されて、その制御装置１１０の制御装置ＩＤと、その保管装置１７０の識別情報である保管装置ＩＤと、の組み合わせが予め作成されて、制御装置１１０に保存される。例えば、制御装置１１０は、通信の相手である保管装置１７０との通信の開始時に、その保管装置１７０の保管装置ＩＤを取得し、その保管装置ＩＤと自身の制御装置ＩＤとの組み合わせが自身に保存されているか否かを確認する。その組み合わせが制御装置１１０に保存されている場合、制御装置１１０は、その保管装置１７０との通信を許可し、これにより、その制御装置１１０とその保管装置１７０との間の通信が確立されて、制御装置１１０と保管装置１７０は、互いに情報を送受信することが可能となる。制御装置ＩＤと保管装置ＩＤとの組み合わせが制御装置１１０に保存されていない場合、制御装置１１０は、その保管装置１７０との通信を許可しない。この場合、その制御装置１１０とその保管装置１７０との間の通信は確立されず、その制御装置１１０とその保管装置１７０とは、互いに情報を送受信することができない。

図１１に示す例では、図３に示すメタデータに、保管装置１７０の識別情報であるキャビネットＩＤが追加される。メタデータ生成部１３０は、処理端末１０６によって生成されたメタデータを受けると、そのメタデータに、保管装置１７０のキャビネットＩＤを追加する。例えば、保管装置１７０が制御装置１１０に予め登録される。メタデータ生成部１３０は、その登録時に制御装置１１０に保存されたその保管装置１７０のキャビネットＩＤをメタデータに追加してもよいし、メタデータにキャビネットＩＤを追加するときに、制御装置１１０に接続されている保管装置１７０からキャビネットＩＤを取得してメタデータに追加してもよい。メタデータ生成部１３０は、キャビネットＩＤを追加したメタデータを保管装置１７０に送信する。保管装置１７０の送付部１７６は、そのメタデータをメタデータＤＢ１８０に保存し、更に、そのメタデータをメタデータサーバ２３０に送信して登録する。

処理部１４６によって処理済みドキュメント（例えばｅＤｏｃファイル）が生成されると、送付部１５０は、その処理済みドキュメントの配信先の利用端末１０４に対して、その処理済みドキュメントについての配信準備完了通知を送信する。利用端末１０４は、閲覧者が選択した処理済みドキュメントのＤＩＤを含む配信要求を保管装置１７０に送信する。保管装置１７０は、利用端末１０４からの配信要求に含まれるＤＩＤに対応する処理済みドキュメント及びメタデータを、利用端末１０４に送信する。

利用端末１０４は、自身と、自身を現在使用中の閲覧者との組み合わせと一致する組み合わせが、そのメタデータ中の配信先情報に示される配信先ユーザと配信先端末との組み合わせの中にあるかどうかを判定する。あると判定した場合において、処理済みドキュメントが暗号化されたドキュメント（例えばｅＤｏｃファイル）である場合、利用端末１０４は、上述した実施形態と同様に、そのｅＤｏｃファイルを復号することで閲覧可能なドキュメントを再生し、そのドキュメントを出力（例えば画面表示）する。ないと判定した場合、利用端末１０４は、閲覧できない旨を示すメッセージを表示する。

保管装置１７０に処理済みドキュメント（例えばｅＤｏｃファイル）とメタデータとを保存しておくことで、処理端末１０６の電源がオフになっている場合や処理端末１０６が停止している場合等のように、処理端末１０６から処理済みドキュメントとメタデータを取得することができない場合であっても、利用端末１０４は、保管装置１７０から処理済みドキュメントとメタデータを取得することができる。

上記各実施形態において、プロセッサとは広義的なプロセッサを指し、汎用的なプロセッサ（例えばCPU： Central Processing Unit、等）や、専用のプロセッサ（例えばGPU： Graphics Processing Unit、ASIC： Application Specific Integrated Circuit、FPGA： Field Programmable Gate Array、プログラマブル論理デバイス、等）を含むものである。また上記各実施形態におけるプロセッサの動作は、１つのプロセッサによって成すのみでなく、物理的に離れた位置に存在する複数のプロセッサが協働して成すものであってもよい。また、プロセッサの各動作の順序は上記各実施形態において記載した順序のみに限定されるものではなく、適宜変更してもよい。

１００ ローカルシステム、１０２ 作成端末、１０４ 利用端末、１０６ 処理端末、１１０ 処理装置、１６０ 組織内管理システム、１６２ ローカルユーザＩＤサーバ、１６４ ローカルＤＩＤサーバ１６４、１６６ ローカルメタデータサーバ、２００ 管理システム、２１０ ユーザＩＤサーバ、２２０ ＤＩＤサーバ、２３０ メタデータサーバ、２４０ 制御装置管理サーバ。

Claims (13)

1. 各ローカルネットワーク上にそれぞれ設けられた制御装置及び処理端末と、
   前記各ローカルネットワークに接続された外部ネットワーク上に設けられ、前記制御装置が予め定められたセキュリティに関する条件を満たす場合に前記制御装置による処理を許可する管理装置と、
   を含み、
   前記制御装置は、第１プロセッサを有し、
   前記第１プロセッサは、
   前記処理端末によってドキュメントに施される処理の環境に関する環境情報と、前記処理端末に関する処理端末情報とを、特定の通信条件を満たす通信方法を用いて前記処理端末から取得し、
   前記環境情報と前記処理端末情報とが特定の処理条件を満たす場合、前記処理端末がドキュメントに処理を施すことを許可し、
   前記処理端末は、第２プロセッサを有し、
   前記第２プロセッサは、
   前記処理端末がドキュメントに処理を施すことが前記制御装置によって許可された場合、ドキュメントに処理を施すことで処理済みドキュメントを生成する、
   ドキュメント管理システム。
2. 前記管理装置は、第３プロセッサを有し、
   前記第３プロセッサは、
   前記制御装置に対してドキュメントＩＤの発行権限を示す発行権限情報を付与し、
   前記制御装置が前記処理済みドキュメントに発行したドキュメントＩＤを前記制御装置から受信し、
   その受信したドキュメントＩＤをメモリに記憶させ、
   前記第１プロセッサは、更に、
   前記管理装置から付与された発行権限情報と、前記制御装置が発行したドキュメントＩＤであることを示す情報と、を含むドキュメントＩＤを前記処理済みドキュメントに対して発行し、
   前記第２プロセッサは、更に、
   前記制御装置によって発行されたドキュメントＩＤを前記処理済みドキュメントに付与する、
   ことを特徴とする請求項１に記載のドキュメント管理システム。
3. 前記第２プロセッサは、更に、
   送信先ユーザと送信先端末とを示す送信先情報を取得し、
   前記処理済みドキュメントを利用するユーザとその利用に用いられる利用端末とが前記送信先情報の示す前記送信先ユーザと前記送信先端末とに該当する場合に前記処理済みドキュメントが前記利用端末で利用可能となるように制御するためのメタデータを生成し、
   前記第１プロセッサは、更に、
   前記処理済みドキュメントに対して発行されたドキュメントＩＤと、そのメタデータとを前記管理装置に送信し、
   前記第３プロセッサは、更に、
   前記制御装置が送信したドキュメントＩＤとメタデータとを受信し、
   その受信したドキュメントＩＤとメタデータとを対応付けてメモリに記憶させる、
   ことを特徴とする請求項２に記載のドキュメント管理システム。
4. 前記第２プロセッサは、更に、
   前記ドキュメントに対して処理を施した前記処理端末を識別するための処理端末ＩＤを含む前記メタデータを生成する、
   ことを特徴とする請求項３に記載のドキュメント管理システム。
5. 前記処理端末ＩＤが、ドキュメントＩＤの発行権限が付与された前記制御装置を識別するための制御装置ＩＤに対応付けられているか否かによって、前記処理済みドキュメントの正当性が検証される、
   ことを特徴とする請求項４に記載のドキュメント管理システム。
6. 前記第２プロセッサは、更に、
   前記処理済みドキュメントと前記メタデータとを利用端末に送信する、
   ことを特徴とする請求項１から請求項５のいずれか一項に記載のドキュメント管理システム。
7. 前記制御装置と前記処理端末との組み合わせが、予め定められた内容に合致する場合、前記通信方法が前記特定の通信条件を満たし、前記通信方法を用いた通信が、前記制御装置と前記処理端末との間で確立される、
   ことを特徴とする請求項１から請求項６のいずれか一項に記載のドキュメント管理システム。
8. 前記環境情報は、前記処理端末にインストールされているセキュリティソフトの情報、前記処理端末にインストールされているオペレーティングシステムの情報、及び、ドキュメントに施される処理に用いられるソフトウエアの情報の中の少なくとも１つを含む、
   ことを特徴とする請求項１から請求項７のいずれか一項に記載のドキュメント管理システム。
9. 各ローカルネットワーク上にそれぞれ設けられた制御装置、処理端末及び保管装置と、
   前記各ローカルネットワークに接続された外部ネットワーク上に設けられ、前記制御装置が予め定められたセキュリティに関する条件を満たす場合に前記制御装置による処理を許可する管理装置と、
   を含み、
   前記制御装置は、第１プロセッサを有し、
   前記第１プロセッサは、
   前記処理端末がドキュメントに処理を施すことの許可を制御し、
   前記処理端末は、第２プロセッサを有し、
   前記第２プロセッサは、
   前記処理端末がドキュメントに処理を施すことが前記制御装置によって許可された場合、ドキュメントに処理を施すことで処理済みドキュメントを生成し、
   前記処理済みドキュメントを特定の通信条件を満たす通信方法によって前記保管装置に送信し、
   前記保管装置は、前記処理済みドキュメントを記憶する、
   ドキュメント管理システム。
10. 前記第２プロセッサは、更に、
    送信先ユーザと送信先端末とを示す送信先情報を取得し、
    前記処理済みドキュメントを利用するユーザとその利用に用いられる利用端末とが前記送信先情報の示す前記送信先ユーザと前記送信先端末とに該当する場合に前記処理済みドキュメントが前記利用端末で利用可能となるように制御するメタデータを生成し、
    前記第１プロセッサは、更に、
    前記保管装置を識別するための保管装置ＩＤを前記メタデータに追加し、前記保管装置ＩＤが追加された前記メタデータを前記管理装置に送信する、
    ことを特徴とする請求項９に記載のドキュメント管理システム。
11. プロセッサを有し、
    前記プロセッサは、
    自装置によってドキュメントに施される処理の環境に関する環境情報と、自装置に関する処理端末情報とを、自装置が設けられているローカルネットワーク上に設けられた制御装置であって、前記制御装置が予め定められたセキュリティに関する条件を満たす場合に、前記ローカルネットワークに接続された外部ネットワーク上に設けられた管理装置によって、処理を実行することが許可される制御装置に、特定の通信条件を満たす通信方法を用いて送信し、
    前記環境情報と前記処理端末情報とが特定の処理条件を満たすことによって自装置が前記ドキュメントに処理を施すことが前記制御装置によって許可された場合、その許可を示す許可情報を前記制御装置から受信し、
    前記許可情報を受信した場合、ドキュメントに処理を施すことで処理済みドキュメントを生成する、
    処理端末装置。
12. プロセッサを有し、
    前記プロセッサは、
    自装置が設けられているローカルネットワークに接続された外部ネットワーク上に設けられた管理装置によって、自装置が予め定められたセキュリティに関する条件を満たす場合に自装置による処理が許可された場合、処理端末によってドキュメントに施される処理の環境に関する環境情報と、前記処理端末に関する処理端末情報とを特定の通信条件を満たす通信方法を用いて取得し、
    前記環境情報と前記処理端末情報とが特定の処理条件を満たす場合、前記処理端末がドキュメントに処理を施すことを許可する、
    制御装置。
13. 各ローカルネットワーク上にそれぞれ設けられた制御装置及び処理端末を含み、
    前記制御装置は、第１プロセッサを有し、
    前記第１プロセッサは、
    前記各ローカルネットワークに接続された外部ネットワーク上に設けられた管理装置によって、前記制御装置が予め定められたセキュリティに関する条件を満たすことに応じて前記制御装置による処理が許可された場合に、前記処理端末によってドキュメントに施される処理の環境に関する環境情報と、前記処理端末に関する処理端末情報とを、特定の通信条件を満たす通信方法を用いて前記処理端末から取得し、
    前記環境情報と前記処理端末情報とが特定の通信条件を満たす場合、前記処理端末がドキュメントに処理を施すことを許可し、
    前記処理端末は、第２プロセッサを有し、
    前記第２プロセッサは、
    前記処理端末がドキュメントに処理を施すことが前記制御装置によって許可された場合、ドキュメントに処理を施すことで処理済みドキュメントを生成する、
    ドキュメント管理システム。
    
    

Images