JP4838631B2 - 文書アクセス管理プログラム、文書アクセス管理装置および文書アクセス管理方法 - Google Patents

Description

本発明はユーザに配布されたファイルの閲覧状況を管理する文書アクセス管理プログラム、文書アクセス管理装置および文書アクセス管理方法に関し、特にファイルに対するアクセスログを収集する文書アクセス管理プログラム、文書アクセス管理装置および文書アクセス管理方法に関する。

コンピュータ上の文書は、ネットワークを介して容易に複数のユーザに閲覧させることができる。たとえば、文書作成者が作成した文書をファイルサーバに格納し、他のユーザがファイルサーバにアクセスすることでその文書を閲覧できる。

ファイルサーバで文書を管理する場合、その文書を閲覧可能なユーザを制限することも可能である。その際、文書へのアクセスの履歴をファイルサーバで保存する技術もある（たとえば、特許文献１参照）。

このように、ファイルサーバで文書を管理しておけば、その文書に対する不正アクセスの検出が容易となる。ただし、このようなシステムでは、ファイルサーバにネットワークで接続可能な環境でしか、その文書を閲覧することができない。また、文書を閲覧する際には、その文書がクライアントに送信されるため、送信された文書に対してその後どのようなアクセスが行われたのかを管理することができない。

そこで、所定の文書閲覧機能を有するクライアントでしか閲覧できない文書を生成し、その文書を配布することが考えられている。その場合、電子メールに文書を添付して、メールサーバ経由で任意のユーザに文書を配布できる。

図３２は、従来のファイル管理システムの例を示す図である。文書の作成者は、クライアント９１０を用いて文書９４１を作成し、ネットワークを介して作成した文書を配布する。その際、作成者は、クライアント９１０を用いて文書アクセス管理サーバ９２０にアクセスし、文書９４１へのアクセスポリシ９４２を設定する。なお、アクセスポリシ９４２は、作成者がクライアント９１０を操作して文書アクセス管理サーバ９２０にアクセスすることで、任意に変更可能である。

アクセスポリシ９４２は、文書９４１に対するアクセス条件を示す情報である。たとえば、アクセスポリシ９４２には、文書９４１を閲覧可能なユーザのリストなどが設定される。

文書アクセス管理サーバ９２０は、配布された文書９４１へのアクセス状況を管理する。たとえば、文書９４１を閲覧しようとする閲覧者のクライアント９３０に対して、アクセスポリシ９４２を送信する。クライアント９３０では、閲覧者の操作入力により文書９４１の閲覧要求があると、アクセスポリシ９４２を参照して閲覧の可否を判定する。そして、閲覧可能と判断した場合にのみ、クライアント９３０は、文書９４１の内容を画面に表示する。

この際、クライアント９３０は、文書９４１に対するアクセスの内容を示すアクセスログ９４３を生成する。たとえば、文書９４１が閲覧された場合には、閲覧時刻や閲覧したユーザ名などがアクセスログ９４３に設定される。そして、クライアント９３０は、生成したアクセスログ９４３を文書アクセス管理サーバ９２０に送信する。なお、クライアント９３０から文書アクセス管理サーバ９２０にアクセスログ９４３を送信するタイミングは、たとえば、アクセスログ９４３生成後、最初にネットワークを介して文書アクセス管理サーバ９２０に接続できたときである。

文書アクセス管理サーバ９２０では、アクセスログ９４３をアクセスログＤＢ９２１に格納する。このようにして、アクセスログＤＢ９２１には、文書９４１に対して行われたアクセスに関するアクセスログが蓄積される。同様に、文書９４１に対する他のユーザによるアクセスや、他の文書に対するアクセスに関するアクセスログがアクセスログＤＢ９２１に格納される。アクセスログには、文書９４１へのアクセス日時やアクセスしたユーザのユーザ名に加え、アクセスポリシと照らし合わせてそのアクセスが正当か否かの情報が含まれる。
特開２００２−１７５３００号公報

しかし、従来のようにアクセスログのみを記録していたのでは、不正アクセスの存在は認識できるが、そのアクセスが不正であると判断した理由までは不明である。一般に、アクセスポリシは、システム運用中に変更可能であるため、現在のアクセスポリシとアクセスログとを照らし合わせてみても、不正アクセスと判断された理由を正確に知ることはできない。

また、アクセスポリシが運用中に変更されると、閲覧するべきユーザのうち誰が既に閲覧しているのか、誰がまだ閲覧していないか、最終的に閲覧しなかったのかを把握するのが困難となる。

本発明はこのような点に鑑みてなされたものであり、アクセスポリシが変更された場合であっても、文書へのアクセスログに基づくアクセス状況をアクセスポリシに基づいて正確に判断することができる文書アクセス管理プログラム、文書アクセス管理装置および文書アクセス管理方法を提供することを目的とする。

本発明では上記課題を解決するために、図１に示すような文書アクセス管理プログラムが提供される。本発明に係る文書アクセス管理プログラムは、文書に対するアクセス状況を管理するために、図１に示す機能をコンピュータに実行させることができる。

アクセスポリシ記憶手段１ａは、文書５に対するアクセスの許可条件が定義されたアクセスポリシを記憶する。ポリシログ記憶手段１ｂは、アクセスポリシの設定操作の内容を示すポリシログを記憶する。アクセスログ記憶手段１ｃは、文書５に対するアクセスの内容を示すアクセスログを記憶する。アクセスポリシ管理手段１ｄは、第１のクライアント２からアクセスポリシの設定要求を受け付け、設定要求に応じてアクセスポリシ記憶手段１ａに対するアクセスポリシの新規設定または記憶されているアクセスポリシの内容変更を行う。ポリシログ取得手段１ｅは、アクセスポリシ管理手段１ｄによってアクセスポリシの新規設定または内容変更が行われると、新規設定された内容または変更後の内容をポリシログ記憶手段１ｂに格納する。アクセスポリシ送信手段１ｆは、第２のクライアント３から文書５に関するアクセスポリシ取得要求が入力されると、アクセスポリシ記憶手段１ａから文書５に関するアクセスポリシを取得し、取得したアクセスポリシを第２のクライアント３に対して送信する。アクセスログ取得手段１ｇは、第２のクライアント３から文書５に関するアクセスログを取得し、アクセスログ記憶手段１ｃに格納する。ログ検索手段１ｈは、第３のクライアント４から検索条件を受け取ると、検索条件に合致するポリシログをポリシログ記憶手段１ｂから取得し、検索条件に合致するアクセスログをアクセスログ記憶手段１ｃから取得し、取得したポリシログとアクセスログとを第３のクライアント４に送信する。

このような文書アクセス管理プログラムをコンピュータに実行させると、次の処理が実行される。第１のクライアント２からアクセスポリシの設定要求が入力されると、アクセスポリシ管理手段１ｄにより、アクセスポリシ記憶手段１ａに対するアクセスポリシの新規設定または記憶されているアクセスポリシの内容変更が行われる。すると、ポリシログ取得手段１ｅにより、新規設定された内容または変更後の内容がポリシログ記憶手段１ｂに格納される。また、第２のクライアント３から文書５に関するアクセスポリシ取得要求が入力されると、アクセスポリシ送信手段１ｆにより、アクセスポリシ記憶手段１ａから文書５に関するアクセスポリシが取得され、取得したアクセスポリシが第２のクライアント３に対して送信される。その後、アクセスログ取得手段１ｇにより、第２のクライアント３から文書５に関するアクセスログが取得され、アクセスログ記憶手段１ｃに格納される。そして、第３のクライアント４から検索条件が入力されると、ログ検索手段１ｈにより、検索条件に合致するポリシログがポリシログ記憶手段１ｂから取得され、検索条件に合致するアクセスログがアクセスログ記憶手段１ｃから取得され、取得されたポリシログとアクセスログとが第３のクライアント４に送信される。

また、本発明では上記課題を解決するために、文書に対するアクセス状況を管理するための文書アクセス管理装置において、文書に対するアクセスの許可条件が定義されたアクセスポリシを記憶するアクセスポリシ記憶手段と、前記アクセスポリシの設定操作の内容を示すポリシログを記憶するポリシログ記憶手段と、前記文書に対するアクセスの内容を示すアクセスログを記憶するアクセスログ記憶手段と、第１のクライアントからアクセスポリシの設定要求を受け付け、前記設定要求に応じて前記アクセスポリシ記憶手段に対する前記アクセスポリシの新規設定または記憶されている前記アクセスポリシの内容変更を行うアクセスポリシ管理手段と、前記アクセスポリシ管理手段によって前記アクセスポリシの新規設定または内容変更が行われると、新規設定された内容または変更後の内容を前記ポリシログ記憶手段に格納するポリシログ取得手段と、第２のクライアントから前記文書に関するアクセスポリシ取得要求が入力されると、前記アクセスポリシ記憶手段から前記文書に関する前記アクセスポリシを取得し、取得した前記アクセスポリシを前記第２のクライアントに対して送信するアクセスポリシ送信手段と、前記第２のクライアントから前記文書に関する前記アクセスログを取得し、前記アクセスログ記憶手段に格納するアクセスログ取得手段と、第３のクライアントから検索条件を受け取ると、前記検索条件に合致する前記ポリシログを前記ポリシログ記憶手段から取得し、前記検索条件に合致する前記アクセスログを前記アクセスログ記憶手段から取得し、取得した前記ポリシログと前記アクセスログとを前記第３のクライアントに送信するログ検索手段と、を有することを特徴とする文書アクセス管理装置が提供される。

さらに、本発明では上記課題を解決するために、文書に対するアクセス状況を管理するための文書アクセス管理方法において、アクセスポリシ管理手段が、第１のクライアントからアクセスポリシの設定要求を受け付け、前記設定要求に応じて、文書に対するアクセスの許可条件が定義されたアクセスポリシを記憶するアクセスポリシ記憶手段に対する前記アクセスポリシの新規設定または記憶されている前記アクセスポリシの内容変更を行い、ポリシログ取得手段が、前記アクセスポリシ管理手段によって前記アクセスポリシの新規設定または内容変更が行われると、新規設定された内容または変更後の内容をポリシログ記憶手段に格納し、アクセスポリシ送信手段が、第２のクライアントから前記文書に関するアクセスポリシ取得要求が入力されると、前記アクセスポリシ記憶手段から前記文書に関する前記アクセスポリシを取得し、取得した前記アクセスポリシを前記第２のクライアントに対して送信し、アクセスログ取得手段が、前記第２のクライアントから前記文書に関する前記アクセスログを取得し、アクセスログ記憶手段に格納し、ログ検索手段が、第３のクライアントから検索条件を受け取ると、前記検索条件に合致する前記ポリシログを前記ポリシログ記憶手段から取得し、前記検索条件に合致する前記アクセスログを前記アクセスログ記憶手段から取得し、取得した前記ポリシログと前記アクセスログとを前記第３のクライアントに送信する、ことを特徴とする文書アクセス管理方法が提供される。

本発明では、アクセスログの取得に加えアクセスポリシの新規設定や内容変更時の内容を示すポリシログを取得し、検索条件に合致するアクセスログとポリシログとを送信するようにしたため、運用中にアクセスポリシが変更された場合であっても、アクセスログに示されるアクセス拒否の理由を正確に判断することが可能となる。

以下、本発明の実施の形態を図面を参照して説明する。
図１は、本実施の形態の概略を示す図である。図１に示すように、文書アクセス管理装置１には、第１のクライアント２、第２のクライアント３および第３のクライアント４が接続されている。第１のクライアント２から第２のクライアント３へは文書５が配布される。第２のクライアント３は、文書５の閲覧などのアクセス機能に加え、文書５に対するアクセスログの取得機能を備えている。第２のクライアント３が取得したアクセスログは、所定のタイミング（たとえば、文書５へアクセスした直後や文書アクセス管理装置１との間で通信が可能となったとき）で文書アクセス管理装置１に送信される。

文書アクセス管理装置１は、文書５へのアクセス状況を管理するために、アクセスポリシ記憶手段１ａ、ポリシログ記憶手段１ｂ、アクセスログ記憶手段１ｃ、アクセスポリシ管理手段１ｄ、ポリシログ取得手段１ｅ、アクセスポリシ送信手段１ｆ、アクセスログ取得手段１ｇおよびログ検索手段１ｈを有する。

アクセスポリシ記憶手段１ａは、文書５に対するアクセスの許可条件が定義されたアクセスポリシを記憶する。たとえば、アクセスポリシには、文書５を閲覧可能なユーザや、文書５を閲覧可能なクライアントなどが定義されている。

ポリシログ記憶手段１ｂは、アクセスポリシの設定操作の内容を示すポリシログを記憶する。ポリシログには、たとえば、変更前後のアクセスポリシの内容が含まれる。
アクセスログ記憶手段１ｃは、文書５に対するアクセスの内容を示すアクセスログを記憶する。アクセスログには、たとえば、アクセス日時やアクセス対象の文書名に加え、不正なアクセスか否かなどの情報が含まれる。

アクセスポリシ管理手段１ｄは、第１のクライアント２からアクセスポリシの設定要求を受け付け、設定要求に応じてアクセスポリシ記憶手段１ａに対するアクセスポリシの新規設定または記憶されているアクセスポリシの内容変更を行う。なお、アクセスポリシ管理手段１ｄは、アクセスログの改竄などの不正を検出した際に、そのアクセスログの送信元に関連するアクセスポリシの内容を自動変更し、アクセスログの送信元のクライアントから文書５へのアクセスを禁止させることもできる。

ポリシログ取得手段１ｅは、アクセスポリシ管理手段１ｄによってアクセスポリシの新規設定または内容変更が行われると、新規設定された内容または変更後の内容をポリシログ記憶手段１ｂに格納する。ポリシログ取得手段１ｅが取得するポリシログには、アクセスポリシの設定要求に応じて行われたアクセスポリシの操作内容を示すポリシログと、不正検出などによりアクセスポリシ管理手段１ｄが自動で実行したアクセスポリシの操作内容を示すポリシログとが含まれる。

アクセスポリシ送信手段１ｆは、第２のクライアント３から文書５に関するアクセスポリシ取得要求が入力されると、アクセスポリシ記憶手段１ａから文書５に関するアクセスポリシを取得し、取得したアクセスポリシを第２のクライアント３に対して送信する。これによって、第２のクライアント３では、アクセスポリシにおいて許可された文書５へのアクセスのみが実行される。その際、第２のクライアント３では、アクセス状況を示すアクセスログが生成される。なお、第２のクライアント３に対して、アクセスポリシで許可されていないアクセスを要求する操作入力が行われた場合には、不正アクセスがあったことを示すアクセスログが生成される。

アクセスログ取得手段１ｇは、第２のクライアント３から文書５に関するアクセスログを取得し、アクセスログ記憶手段１ｃに格納する。なお、アクセスログ取得手段１ｇは、アクセスログを取得する際に、そのアクセスログに対して改竄などの不正が行われていないことを確認する。たとえば、第２のクライアント３において、アクセスログを送信する際に、そのアクセスログに署名を付加する。アクセスログ取得手段１ｇは、署名の正当性を確認することで、アクセスログに対する不正操作の有無を判断する。

ログ検索手段１ｈは、第３のクライアント４から検索条件を受け取ると、検索条件に合致するポリシログをポリシログ記憶手段１ｂから取得し、検索条件に合致するアクセスログをアクセスログ記憶手段１ｃから取得し、取得したポリシログとアクセスログとを第３のクライアント４に送信する。

このような文書アクセス管理装置１によれば、第１のクライアント２からアクセスポリシの設定要求が入力されると、アクセスポリシ管理手段１ｄにより、設定要求に応じてアクセスポリシ記憶手段１ａに対するアクセスポリシの新規設定または記憶されているアクセスポリシの内容変更が行われる。すると、ポリシログ取得手段１ｅにより、新規設定された内容または変更後の内容がポリシログ記憶手段１ｂに格納される。また、第２のクライアント３から文書５に関するアクセスポリシ取得要求が入力されると、アクセスポリシ送信手段１ｆにより、アクセスポリシ記憶手段１ａから文書５に関するアクセスポリシが取得され、取得したアクセスポリシが第２のクライアント３に対して送信される。その後、アクセスログ取得手段１ｇにより、第２のクライアント３から文書５に関するアクセスログが取得され、アクセスログ記憶手段１ｃに格納される。そして、第３のクライアント４から検索キーを含むログ取得要求が入力されると、ログ検索手段１ｈにより、検索条件に合致するポリシログがポリシログ記憶手段１ｂから取得され、検索条件に合致するアクセスログがアクセスログ記憶手段１ｃから取得され、取得されたポリシログとアクセスログとが第３のクライアント４に送信される。

このように、アクセスポリシの設定や変更が行われた際に、その操作の内容をポリシログとして格納しておき、ログ取得要求に応じて、アクセスログとポリシログとを検索して検索結果を応答するようにした。その結果、アクセスログだけでは不明であった事項を、明確に判断できるようになる。

たとえば、あるユーザに対して文書５の閲覧が許可されていたが、アクセスポリシの変更により閲覧が不許可になる場合がある。このような場合、アクセスログだけを参照すると、過去に文書５を閲覧したことのあるユーザによる文書５の閲覧処理が、ある時期を境に不正と判断されていることしか分からない。そこで、ポリシログを参照すれば、アクセスログの変更が原因で文書５の閲覧ができなくなったことが判断できる。

次に、本実施の形態の詳細を説明する。
［第１の実施の形態］
図２は、本実施の形態のシステム構成例を示す図である。本実施の形態では、文書アクセス管理サーバ１００に対して、ネットワーク１０を介して複数のクライアント２００，クライアント３００，・・・が接続されている。

文書アクセス管理サーバ１００は、クライアント２００，クライアント３００，・・・間で受け渡される文書に対するアクセス状況を管理する。クライアント２００，クライアント３００，・・・は、ユーザの操作入力に応答して、文書の作成、配布、閲覧（表示）などを行う。

たとえば、クライアント２００で文書が作成され、その文書がクライアント３００に配布される。配布された文書がクライアント３００で閲覧されると、閲覧時のアクセスログがクライアント３００で取得される。そして、クライアント３００で取得されたアクセスログが、ネットワーク１０を介して文書アクセス管理サーバ１００で収集される。

以下に、このようなシステムを実現するための各コンピュータのハードウェア構成について説明する。
図３は、本実施の形態に用いる文書アクセス管理サーバのハードウェア構成例を示す図である。文書アクセス管理サーバ１００は、ＣＰＵ（Central Processing Unit）１０１によって装置全体が制御されている。ＣＰＵ１０１には、バス１０７を介してＲＡＭ（Random Access Memory）１０２、ハードディスクドライブ（ＨＤＤ:Hard Disk Drive）１０３、グラフィック処理装置１０４、入力インタフェース１０５、および通信インタフェース１０６が接続されている。

ＲＡＭ１０２には、ＣＰＵ１０１に実行させるＯＳ（Operating System）のプログラムやアプリケーションプログラムの少なくとも一部が一時的に格納される。また、ＲＡＭ１０２には、ＣＰＵ１０１による処理に必要な各種データが格納される。ＨＤＤ１０３には、ＯＳやアプリケーションプログラムが格納される。

グラフィック処理装置１０４には、モニタ１１が接続されている。グラフィック処理装置１０４は、ＣＰＵ１０１からの命令に従って、画像をモニタ１１の画面に表示させる。入力インタフェース１０５には、キーボード１２とマウス１３とが接続されている。入力インタフェース１０５は、キーボード１２やマウス１３から送られてくる信号を、バス１０７を介してＣＰＵ１０１に送信する。

通信インタフェース１０６は、ネットワーク１０に接続されている。通信インタフェース１０６は、ネットワーク１０を介して、他のコンピュータとの間でデータの送受信を行う。

図４は、本実施の形態に用いるクライアントのハードウェア構成例を示す図である。クライアント２００は、ＣＰＵ２０１によって装置全体が制御されている。ＣＰＵ２０１には、バス２０８を介してＲＡＭ２０２、ハードディスクドライブ（ＨＤＤ）２０３、グラフィック処理装置２０４、入力インタフェース２０５、通信インタフェース２０６およびＴＰＭ（Trusted Platform Module）が接続されている。

ＲＡＭ２０２には、ＣＰＵ２０１に実行させるＯＳのプログラムやアプリケーションプログラムの少なくとも一部が一時的に格納される。また、ＲＡＭ２０２には、ＣＰＵ２０１による処理に必要な各種データが格納される。ＨＤＤ２０３には、ＯＳやアプリケーションプログラムが格納される。

グラフィック処理装置２０４には、モニタ２１が接続されている。グラフィック処理装置２０４は、ＣＰＵ２０１からの命令に従って、画像をモニタ２１の画面に表示させる。入力インタフェース２０５には、キーボード２２とマウス２３とが接続されている。入力インタフェース２０５は、キーボード２２やマウス２３から送られてくる信号を、バス２０８を介してＣＰＵ２０１に送信する。

通信インタフェース２０６は、ネットワーク１０に接続されている。通信インタフェース２０６は、ネットワーク１０を介して、他のコンピュータとの間でデータの送受信を行う。

ＴＰＭ２０７は、ＴＣＧ（Trusted Computing Group）で定義されたソフトウェアの信頼性確保機能を有する半導体チップである。ＴＰＭ２０７は、たとえば、以下の機能を有している。
・ソフトウェアの改竄を発見するために、ソフトウェアなどのハッシュ値を保存する機能。
・正当なＴＰＭが使用されていることを保障するための、ＴＰＭ内に格納する秘密鍵の生成、保持機能。
・暗号鍵を安全に保管するための、保護された記憶機能。
・暗号処理を安全・正確に行うための公開鍵暗号演算、乱数発生、ハッシュ演算機能。

ＴＰＭ２０７は、これらの機能を用いて、暗号化された文書の鍵の生成やアクセスログの署名の生成などを行う。
以上のようなハードウェア構成によって、本実施の形態の処理機能を実現することができる。なお、図４にはクライアント２００のハードウェアを示しているが、他のクライアント３００，・・・も同様のハードウェア構成で実現することができる。

図５は、本システムの処理の概略を示す図である。文書を作成したユーザ（作成者）は、クライアント２００を用いて文書３１を作成し、ネットワークを介して作成した文書を配布する。文書３１は、クライアント２００において暗号化されており、文書を閲覧するユーザ（閲覧者）が使用するクライアント３００のＴＰＭに保存されている鍵を用いることで復号できる。なお、文書３１は、たとえば、電子メールの添付ファイルとして配布することができる。

文書３１を配布する際、作成者は、クライアント２００を用いて文書アクセス管理サーバ１００にアクセスし、文書３１へのアクセスポリシ３２を設定する。アクセスポリシ３２は、文書３１に対するアクセス条件を示す情報である。たとえば、アクセスポリシ３２には、文書３１を閲覧可能なユーザのリストなどが設定される。

文書アクセス管理サーバ１００では、アクセスポリシ３２が設定されると、その設定内容を、ポリシログ記憶部１４０に保存する。また、文書アクセス管理サーバ１００は、アクセスポリシ３２が変更された際にも、変更内容をポリシログ記憶部１４０に保存する。

閲覧者が、クライアント３００に対して文書３１の閲覧要求を入力すると、クライアント３００から文書アクセス管理サーバ１００へ、アクセスポリシ３２の取得要求が出される。文書アクセス管理サーバ１００は、その取得要求に応じてアクセスポリシ３２をクライアント３００に送信する。

クライアント３００では、アクセスポリシ３２に基づいて、閲覧者に閲覧が許可されていることを確認する。閲覧が許可されていれば、クライアント３００は文書３１を復号し、内容を画面に表示する。

この際、クライアント３００は、文書３１に対するアクセスの内容を示すアクセスログ３３を生成する。たとえば、閲覧時刻や閲覧したユーザ名などがアクセスログ３３に設定される。そして、クライアント３００は、生成したアクセスログ３３に項番３４と署名３５とを付して文書アクセス管理サーバ１００に送信する。項番３４は、アクセスログを送信する度に値がカウントアップされる通し番号である。署名３５は、アクセスログ３３と項番３４とから生成されたハッシュ値をＴＰＭ内の秘密鍵で暗号化したものである。なお、クライアント３００から文書アクセス管理サーバ１００にアクセスログ３３を送信するタイミングは、たとえば、アクセスログ３３生成後、最初にネットワークを介して文書アクセス管理サーバ１００に接続できたときである。

文書アクセス管理サーバ１００では、取得したアクセスログ３３の正当性を項番３４と署名３５とに基づいて判断する。そして、アクセスログ３３が正当であれば、文書アクセス管理サーバ１００は取得したアクセスログ３３をアクセスログ記憶部１３０に格納する。

このようにして、ポリシログ記憶部１４０にはアクセスポリシの設定履歴が蓄積され、アクセスログ記憶部１３０にはアクセスログが蓄積される。そして、文書３１の作成者がクライアント２００を操作して、アクセスログ記憶部１３０とポリシログ記憶部１４０とに対する検索を行うことで、文書３１に対する他のユーザのアクセス状況を知ることができる。

以下、このような処理を実現するために文書アクセス管理サーバ１００と各クライアント２００，３００，・・・とが有すべき機能について説明する。
図６は、第１の実施の形態の機能ブロック図である。クライアント２００は、文書編集部２１０、文書暗号化部２２０、文書配布部２３０、アクセスポリシ設定部２４０、およびアクセスログ検索要求部２５０を有する。

文書編集部２１０は、他のユーザに配布する文書３１の作成機能を有する。たとえば、文書編集部２１０は、ワードプロセッサである。
文書暗号化部２２０は、文書編集部２１０で作成された文書を暗号化する。暗号化は、文書３１の配布先のクライアント３００内のＴＰＭに格納された鍵で復号できるような暗号鍵（たとえば、クライアント３００内の秘密鍵に対応する公開鍵）を用いて行われる。

文書配布部２３０は、文書暗号化部２２０で暗号化された文書３１をネットワーク１０経由でクライアント３００に配布する。たとえば、文書配布部２３０は、電子メールの添付ファイルとしてクライアント３００に文書を送信する。

アクセスポリシ設定部２４０は、ユーザからの操作入力に応答して、文書３１に対するアクセスポリシ３２を生成する。そして、アクセスポリシ設定部２４０は、生成したアクセスポリシ３２の内容を、文書アクセス管理サーバ１００に送信する。また、アクセスポリシ設定部２４０は、ユーザからのアクセスポリシ変更の操作入力に応答し、アクセスポリシ３２の変更要求を文書アクセス管理サーバ１００に送信する。

アクセスログ検索要求部２５０は、ユーザからのアクセスログの検索を示す操作入力に応答し、文書アクセス管理サーバ１００に対して検索要求を送信する。そして、アクセスログ検索要求部２５０は、文書アクセス管理サーバ１００から検索結果を受け取り、検索結果を画面に表示する。

クライアント３００は、文書取得部３１１、文書記憶部３１２、文書閲覧部３１３、アクセス許否判定部３１４、文書復号部３１５、アクセスログ生成部３１６、アクセスログ記憶部３１７、項番記憶部３１８、ハッシュ値記憶部３１９、署名生成部３２０、およびアクセスログ送信部３２１を有している。

文書取得部３１１は、クライアント２００から配布された文書３１をネットワーク１０経由で取得する。たとえば、文書３１が電子メールの添付ファイルとして配布されていれば、図示していないメールサーバ経由で文書３１を取得することができる。文書取得部３１１は、取得した文書３１を文書記憶部３１２に格納する。

文書記憶部３１２は、文書３１を記憶するための記憶装置である。たとえば、ＨＤＤの一部の記憶領域が文書記憶部３１２として使用される。
文書閲覧部３１３は、クライアント３００を使用する閲覧者からの操作入力に応答して、文書３１の内容を表示する。具体的には、文書閲覧部３１３は、操作入力で指定された文書３１のアクセス許否判定をアクセス許否判定部３１４に依頼する。アクセス許否判定部３１４でアクセスが許可された場合、文書閲覧部３１３は、復号された文書３１を文書復号部３１５から取得する。そして、文書閲覧部３１３は、取得した文書３１の内容を画面に表示する。

アクセス許否判定部３１４は、文書閲覧部３１３からの依頼に応じて、文書３１へのアクセスの許否を判定する。具体的には、アクセス許否判定部３１４は、アクセス許否判定の依頼を受けると、文書アクセス管理サーバ１００に対してアクセスポリシ取得要求を送信する。アクセスポリシ取得要求に応じ文書アクセス管理サーバ１００からアクセスポリシ３２が返されると、アクセス許否判定部３１４は、アクセスポリシ３２の内容と、クライアント３００を使用しているユーザやクライアント３００に関する情報およびアクセス日時とを比較し、アクセスの許否を判定する。ユーザに関する情報は、たとえば、クライアント３００にユーザがログインしたときのアカウント情報から取得することができる。アクセス許否判定部３１４は、アクセスポリシ３２におけるアクセスを許可する条件にクライアント３００のユーザの情報などが合致していればアクセスを許可する。一方、ユーザがアクセスポリシ３２の許可条件に合致しなければ、アクセス許否判定部３１４はアクセスを拒否する。

なお、アクセスポリシ３２は、予め文書アクセス管理サーバ１００から取得しておくこともできる。たとえば、アクセス許否判定部３１４は、所定のタイミングで、文書アクセス管理サーバ１００から、クライアント３００が対象クライアントとして設定されている全てのアクセスポリシを取得する。そして、アクセス許否判定部３１４は、取得したアクセスポリシをＨＤＤなどに保存しておく。この場合、アクセス許否判定の依頼を受けたアクセス許否判定部３１４は、予め取得しておいたアクセスポリシを参照して、アクセスの許否を判定する。これにより、クライアント３００が文書アクセス管理サーバ１００と通信できない環境下でも、文書３１の閲覧が可能となる。

なお、アクセスポリシの内容は、文書アクセス管理サーバ１００内で変更される可能性がある。そこで、クライアント３００に予め取得しておいたアクセスポリシには、有効期間が設定される（たとえば、取得してから２４時間のみ、そのアクセスポリシを有効とする）。この場合、アクセス許否判定部３１４は、有効期間内のアクセスポリシを保持していれば、そのアクセスポリシを参照してアクセスの許否を判定する。保持しているアクセスポリシの有効期間が過ぎていれば、アクセス許否判定部３１４は、現在のアクセスポリシを文書アクセス管理サーバ１００から取得する。取得できなければ、文書３１へのアクセスは拒否される。これにより、変更前のアクセスポリシに基づいて長期間アクセス許否判定が行われることを回避できる。

文書復号部３１５は、アクセス許否判定部３１４によってアクセスが許可された場合に、文書３１を文書記憶部３１２から取得して、その文書３１を復号する。復号する際の鍵は、ＴＰＭ内から取得される。そして、文書復号部３１５は、復号した文書３１を文書閲覧部３１３に渡す。

アクセスログ生成部３１６は、アクセス許否判定部３１４による判定結果を取得し、文書３１に対するアクセス操作の内容を示すアクセスログを生成する。アクセスログには、アクセス日時やアクセスしたユーザなどの情報が設定される。そして、アクセスログ生成部３１６は、生成したアクセスログをアクセスログ記憶部３１７に格納する。

アクセスログ記憶部３１７は、アクセスログを記憶する記憶装置である。たとえば、ＨＤＤ内の記憶領域の一部がアクセスログ記憶部３１７として使用される。なお、アクセスログ記憶部３１７には、文書アクセス管理サーバ１００へ送信するまでの間、複数のアクセスログが記憶される。そして、文書アクセス管理サーバ１００に送信されたアクセスログは、署名生成部３２０によってアクセスログ記憶部３１７から削除される。

項番記憶部３１８は、最新の項番を記憶する記憶装置である。本実施の形態では、ＴＰＭ内の記憶領域の一部が項番記憶部３１８として使用される。
ハッシュ値記憶部３１９は、最新に生成されたハッシュ値を記憶する記憶装置である。本実施の形態では、ＴＰＭ内の記憶領域の一部がハッシュ値記憶部３１９として使用される。

署名生成部３２０は、文書アクセス管理サーバ１００との通信が可能であることを確認すると、アクセスログ記憶部３１７に蓄積されているアクセスログに対する署名を生成する。具体的には、署名生成部３２０は、アクセスログ記憶部３１７に最初のアクセスログが格納されると、そのアクセスログから所定のアルゴリズムによりハッシュ値を生成する。生成したハッシュ値は、ハッシュ値記憶部３１９に格納される。また、署名生成部３２０は、アクセスログ記憶部３１７に２つめ以降のアクセスログが格納されると、ハッシュ値記憶部３１９内のハッシュ値を格納されたアクセスログに付加し、所定のアルゴリズムで新たなハッシュ値を生成する。そして、署名生成部３２０は、新たに生成したハッシュ値によって、ハッシュ値記憶部３１９内のハッシュ値を更新する。

アクセスログに応じたハッシュ値を生成したら、署名生成部３２０は、文書アクセス管理サーバ１００との通信の可否を判断する。通信が可能であれば、署名生成部３２０は、ハッシュ値記憶部３１９に格納されているハッシュ値に対して項番記憶部３１８に格納されている項番を付加し、それらのデータから所定のアルゴリズムによってハッシュ値を生成する。次に、署名生成部３２０は、ＴＰＭ内に予め格納されている鍵を用いて、生成したハッシュ値を暗号化する。そして、署名生成部３２０は、暗号化処理によって生成された暗号データを署名として、アクセスログ記憶部３１７内の全てのアクセスログ、署名、および項番の組をアクセスログ送信部３２１に渡す。

アクセスログ送信部３２１は、署名生成部３２０から受け取った項番と署名付きのアクセスログを文書アクセス管理サーバ１００へ送信する。
文書アクセス管理サーバ１００は、アクセスポリシ記憶部１１０、項番記憶部１２０、アクセスログ記憶部１３０、ポリシログ記憶部１４０、アクセスポリシ管理部１５１、ポリシログ取得部１５２、アクセスポリシ送信部１５３、アクセスログ取得部１５４、ログ検索部１５５および閲覧指示通知部１５６を有する。

アクセスポリシ記憶部１１０は、文書３１に対するアクセスポリシを記憶する記憶装置である。たとえば、ＨＤＤ１０３の記憶領域の一部がアクセスポリシ記憶部１１０として使用される。

項番記憶部１２０は、クライアント毎にアクセスログに対して付与される最新の項番を記憶する記憶装置である。たとえば、ＨＤＤ１０３の記憶領域の一部が項番記憶部１２０として使用される。

アクセスログ記憶部１３０は、文書毎のアクセスログを記憶する記憶装置である。たとえば、ＨＤＤ１０３の記憶領域の一部がアクセスログ記憶部１３０として使用される。
ポリシログ記憶部１４０は、アクセスポリシの設定・変更内容を示すポリシログを記憶する記憶装置である。たとえば、ＨＤＤ１０３の記憶領域の一部がポリシログ記憶部１４０として使用される。

アクセスポリシ管理部１５１は、クライアント２００から文書３１に対する新たなアクセスポリシ３２が送られると、そのアクセスポリシ３２をアクセスポリシ記憶部１１０に設定する。また、アクセスポリシ管理部１５１は、クライアント２００からアクセスポリシ３２の変更要求を受け取ると、その変更要求に従ってアクセスポリシ記憶部１１０に記憶されたアクセスポリシ３２の内容を変更する。さらに、アクセスポリシ管理部１５１は、アクセスログ記憶部１３０の内容を参照し、文書３１に対するアクセスログに基づいて文書３１への不正アクセスを検出する。そして、不正アクセスが所定の条件を満たした場合、アクセスポリシ管理部１５１は、不正アクセスを行ったクライアントまたは不正アクセス操作をしたユーザが様々な文書にアクセスする際のアクセス条件を厳しくするように、アクセスポリシ記憶部１１０内のアクセスポリシを自動変更する。

ポリシログ取得部１５２は、アクセスポリシ管理部１５１によるアクセスポリシ記憶部１１０に対する処理を検出し、その処理内容を示すポリシログを生成する。そして、ポリシログ取得部１５２は、生成したポリシログをポリシログ記憶部１４０に格納する。

アクセスポリシ送信部１５３は、クライアント３００からアクセスポリシ取得要求を受け取ると、そのアクセスポリシ取得要求で示される文書３１に関するアクセスポリシをアクセスポリシ記憶部１１０から取得する。そして、アクセスポリシ送信部１５３は、取得したアクセスポリシをクライアント３００に対して送信する。

アクセスログ取得部１５４は、クライアント３００と通信が可能となったとき、項番と署名とを付加したアクセスログをクライアント３００から取得する。アクセスログ取得部１５４は、文書３１に関するアクセスログ３３を取得した際には、項番記憶部１２０からクライアント３００に対応する項番を取得する。

さらに、アクセスログ取得部１５４は、項番記憶部１２０から取得した項番を用いて、取得したアクセスログ３３に付与された項番と署名とを検証する。具体的には、アクセスログ取得部１５４は、まず、アクセスログ３３に付与された項番と、項番記憶部１２０から取得した項番が同一であることを確認する。次に、アクセスログ取得部１５４は、署名を所定の鍵で復号しハッシュ値を取得する。さらに、アクセスログ取得部１５４は、クライアント３００から送られたアクセスログ３３と項番記憶部１２０から取得した項番とから、所定のアルゴリズムでハッシュ値を生成する。この際のハッシュ値の生成アルゴリズムは、クライアント３００の署名生成部３２０におけるハッシュ値の生成アルゴリズムと同様である。

なお、アクセスログ取得部１５４は、複数のアクセスログが同時に送られてきた場合、日時の情報が最も古いアクセスログに基づいてハッシュ値を計算する。その後、アクセスログ取得部１５４は、日時の情報が古い順にアクセスログを選択し、直前に生成されたハッシュ値を選択したアクセスログに付加し、それらのデータからハッシュ値を計算する。最後のアクセスログからハッシュ値が計算されたら、そのハッシュ値に項番記憶部１２０内の項番を付加し、それらのデータからハッシュ値を計算する。項番に基づいて計算されたハッシュ値が照合用のハッシュ値となる。

そして、アクセスログ取得部１５４は、照合用に算出したハッシュ値と署名を復号することで取得したハッシュ値とを比較し、一致していれば署名を認証する。署名が認証されたということは、アクセスログに付加されていた項番の連続性（アクセスログの抜けがないこと）も保証されている。署名の認証処理後、アクセスログ取得部１５４は、項番記憶部１２０に記憶されている文書３１に対応する項番に１を加算し、クライアント３００から取得したアクセスログ３３をアクセスログ記憶部１３０に格納する。

ログ検索部１５５は、クライアント２００からの検索要求に応じて、アクセスログ記憶部１３０からアクセスログの検索を行うと共に、ポリシログ記憶部１４０からポリシログの検索を行う。そして、ログ検索部１５５は、検出したアクセスログとポリシログとをクライアント２００に送信する。

閲覧指示通知部１５６は、ログ検索部１５５を介して、閲覧が許可されていながら未閲覧のユーザの情報を取得する。そして、閲覧指示通知部１５６は、未閲覧のユーザに対して閲覧指示を通知する。また、閲覧指示通知部１５６は、未閲覧ユーザリストを、文書作成者に対して通知する。閲覧指示や未閲覧ユーザリストは、たとえば電子メールによって通知することができる。

次に、アクセスポリシ記憶部１１０、項番記憶部１２０、アクセスログ記憶部１３０、およびポリシログ記憶部１４０に格納されるデータの構造について説明する。
図７は、アクセスポリシ記憶部のデータ構造例を示す図である。アクセスポリシ記憶部１１０には、複数のアクセスポリシ１１１，１１２，１１３，・・・が格納されている。各アクセスポリシ１１１，１１２，１１３，・・・には、対象文書の作成者、対象ユーザ、対象ＰＣ、対象文書、閲覧許可回数、閲覧許可期間、印刷許可部数、印刷許可期間、印刷時に透かしを挿入するか否か、未読時に対象ユーザへの通知時期、未読時に文書作成者への通知時期の各欄が設けられている。

対象文書の作成者の欄には、管理対象となる文書の作成者のユーザ名が設定される。対象ユーザの欄には、管理対象となる文書へのアクセスを許可するユーザのユーザ名が設定される。対象ＰＣの欄には、管理対象となるクライアントを一意に識別するための名称が設定される。対象文書の欄には、管理対象となる文書を一意に識別するための名称が設定される。閲覧許可回数の欄には、ユーザに対して閲覧を許可する回数が設定される。閲覧許可期間の欄には、ユーザに対して閲覧を許可する期間が設定される。印刷許可部数の欄には、ユーザが印刷を許可できる最大部数が設定される。印刷許可期間の欄には、印刷を許可する期間が設定される。印刷時に透かしを挿入するか否かの欄は、印刷時に電子透かし（画像解析を行うことが任意の情報に変換可能な画像を印刷すること）を入れるか否かを設定する。未読時に対象ユーザへの通知時期の欄には、対象ユーザが所定の日時まで文書を閲覧しなかった場合に対象ユーザに対して閲覧を促すこととしたときの、当該所定の時期が設定される（通知を行わない場合、その旨が設定される）。未読時に文書作成者への通知期間の欄には、対象ユーザが所定の時期までに文書を閲覧しなかった未読ユーザの存在を文書作成者に対して通知することとした場合の、当該所定の時期が設定される（通知を行わない場合、その旨が設定される）。

図８は、項番記憶部のデータ構造例を示す図である。項番記憶部１２０には、アクセス元クライアントと項番との欄が設けられている。アクセス元クライアントの欄には、対象文書に対してアクセスを行ったクライアントの名称が設定される。項番の欄には、対応するクライアントから次に送信されるアクセスログに付与されるべき項番が設定される。

図９は、アクセスログ記憶部のデータ構造例を示す図である。アクセスログ記憶部１３０には、日時、ファイル名、ユーザ、アクセス元クライアント、行為の欄が設けられている。アクセスログ記憶部１３０内の横方向に並べられたデータ同士が互いに関連づけられ、アクセスログのレコードを構成している。

日時の欄には、管理対象の文書に対してアクセスが行われた日時が設定される。ファイル名の欄には、アクセスされた文書のファイル名が設定される。ユーザの欄には、アクセスを行ったユーザのユーザ名が設定される。アクセス元クライアントの欄には、文書に対するアクセスを行ったクライアントの名称が設定される。

行為の欄には、アクセスの内容が設定される。たとえば、閲覧のアクセスであれば、行為の欄に「閲覧」と設定される。なお、アクセスがクライアントで拒否された場合、行為の欄のアクセス内容の後に「不正」と設定される。

図１０は、ポリシログ記憶部のデータ構造例を示す図である。ポリシログ記憶部１４０には、複数のポリシログ１４１，１４２，１４３，・・・が登録されている。各ポリシログ１４１，１４２，１４３，・・・には、変更者、変更日時、対象項目、変更項目、変更前の値、および変更後の値の欄が設けられている。変更者の欄には、アクセスポリシを設定・変更した主体が設定される。設定・変更の主体としては、文書作成者、アクセスポリシ管理部１５１が有り得る。文書作成者による設定・変更の場合、変更者の欄に文書作成者のユーザ名が設定される。アクセスポリシ管理部１５１による自動変更（不正操作による自動変更など）の場合、変更者の欄に自動変更と設定される。

変更日時の欄には、アクセスポリシが変更された日時が設定される。対象ユーザの欄には、変更されたアクセスポリシの対象ユーザのユーザ名が設定される。対象ＰＣの欄には、変更されたアクセスポリシの対象クライアントの名称が設定される。対象文書の欄には、管理対象の文書の名称が設定される。

さらに、ポリシログ１４１，１４２，１４３，・・・には、アクセスポリシへの設定項目（閲覧許可回数、閲覧許可期間、印刷許可部数、印刷許可期間、印刷時に透かしを挿入するか否か、未読時に対象ユーザへの通知時期、未読時に文書作成者への通知時期）に関して、変更前の値と変更後の値とが設定される。

図１０に示すポリシログ１４１は、図７に示したアクセスポリシ１１１の初期設定時の状態を示している。そのため、設定項目のうち変更前の値は全て空欄である。たとえば、既に設定されているポリシログの内容が、不正発見などの理由でアクセスポリシの内容が自動変更された場合、変更前の値と変更後の値とがポリシログとして保存される。

図１１は、アクセスポリシ自動変更時のポリシログの例を示す図である。図１１には、図７に示したアクセスポリシ１１１が、不正発見を理由に閲覧禁止に変更された場合に採取されるポリシログ１４９を示している。

ポリシログ１４９では、変更者の欄に「自動変更（不正発見）」と設定されている。また、閲覧許可回数が、変更前は「無限回」であったのが、変更後は「閲覧禁止」となっている。さらに、閲覧許可期間が、変更前は所定の期間が設定されていたが、変更後は空欄となっている。

このような構成のシステムにおいて、文書３１に対するアクセスログ３３と、文書３１のアクセスポリシ３２の設定・変更に関するポリシログとを、文書アクセス管理サーバ１００で取得することができる。そして、文書３１の作成者は、アクセスログ３３とポリシログとの検索を行うことで、不正なアクセスが発生した時点でのアクセスポリシを確認することができ、不正と判断された正確な理由を知ることができる。

以下に、上記のような構成のシステムで行われる処理を説明する。
図１２は、ポリシログ取得処理を示す概念図である。ポリシログの取得は、たとえば、文書の作成者がクライアント２００を用いて、アクセスポリシの設定や変更を文書アクセス管理サーバ１００に対して指示したときに行われる。

また、閲覧者がクライアント３００を用いて文書３１に対する不正アクセスを行った場合にも、クライアント３００から文書アクセス管理サーバ１００に送られるアクセスログ３３に基づいてアクセスポリシが自動更新され、同時にポリシログが取得される。

さらに、文書アクセス管理サーバ１００では、アクセスポリシにおいて文書の閲覧可能期間や印刷可能期間が経過したときには、その旨をポリシログとして取得する。具体的には、アクセスポリシ管理部１５１が定期的にアクセスポリシ記憶部１１０内の各アクセスポリシに関して閲覧可能期間や印刷可能期間が経過したか否かを判断する。そして、閲覧可能期間や印刷可能期間の経過したアクセスポリシがある場合、該当するアクセスポリシの内容を閲覧付加または印刷付加に変更する。アクセスポリシ管理部１５１によってアクセスポリシの内容が変更されると、アクセスログ記憶部１３０によってその変更内容がポリシログとしてポリシログ記憶部１４０に格納される。

図１３は、ポリシログ取得処理を示すフローチャートである。以下、図１３に示す処理をステップ番号に沿って説明する。
［ステップＳ１１］ポリシログ取得部１５２は、アクセスポリシ管理部１５１がアクセスポリシ記憶部１１０に対してアクセスポリシの設定・変更を行ったか否かを判断する。アクセスポリシの設定・変更が行われた場合、処理がステップＳ１２に進められる。アクセスポリシの設定・変更が行われなければ、ステップＳ１１の処理が繰り返される。

［ステップＳ１２］ポリシログ取得部１５２は、アクセスポリシ管理部１５１がアクセスポリシ記憶部１１０による設定・変更の対象となったアクセスポリシの設定・変更前後の内容からポリシログを生成する。具体的には、アクセスポリシの新規設定が行われた場合、ポリシログ取得部１５２は、設定されたアクセスポリシの内容を含むポリシログを生成する。また、アクセスポリシの変更が行われた場合、ポリシログ取得部１５２は、変更前のアクセスポリシの内容と、変更後のアクセスポリシの内容とを含むポリシログを生成する。

［ステップＳ１３］ポリシログ取得部１５２は、生成したポリシログをポリシログ記憶部１４０に格納する。
このようにして、アクセスポリシ３２が設定・変更される毎に、ポリシログが取得される。その後、クライアント３００において文書３１に対してアクセスが行われると、文書アクセス管理サーバ１００は、クライアント３００からアクセスログ３３を取得する。

図１４は、アクセスログ取得処理の概略を示す図である。クライアント３００を使用する閲覧者が文書３１の閲覧を要求する操作入力を行うと、文書アクセス管理サーバ１００からアクセスポリシ３２がクライアント３００に送信される。具体的には、クライアント３００を操作している閲覧者のユーザ名、クライアント３００の名称（クライアント名）、および閲覧対象の文書３１のファイル名を含むアクセスポリシ取得要求がクライアント３００から文書アクセス管理サーバ１００に送信される。すると、文書アクセス管理サーバ１００では、アクセスポリシ取得要求で示されるユーザ名、クライアント名、およびファイル名が、それぞれ対象ユーザ、対象ＰＣ、対象文書の欄に設定されたアクセスポリシをアクセスポリシ記憶部１１０から検索する。そして、文書アクセス管理サーバ１００は、検出されたアクセスポリシ３２をクライアント３００へ送信する。

クライアント３００では、アクセスポリシ３２に基づいてアクセスの許否が判定され、アクセスが許可された場合、ＴＰＭ内に格納された鍵３１５ａを用いて文書３１が復号される。そして、復号された文書が、クライアント３００のモニタの画面に表示される。

すると、クライアント３００において、アクセスログ３３が生成さされる。そのとき、クライアント３００と文書アクセス管理サーバ１００が通信可能であれば、ＴＰＭに格納されている項番３１８ａとアクセスログ３３とからハッシュ値３１９ａが計算される。ハッシュ値３１９ａはＴＰＭ内に格納される。さらに、ハッシュ値３１９ａがＴＰＭ内に格納されていた秘密鍵で暗号化され、署名３５が生成される。

そして、項番３４と署名３５とが付与されたアクセスログ３３が、クライアント３００から文書アクセス管理サーバ１００に送信される。文書アクセス管理サーバ１００では、項番記憶部１２０に格納されているクライアント３００に対応する項番を用いて、署名３５を認証する。署名３５が正しければ、アクセスログ３３がアクセスログ記憶部１３０に格納される。

図１５は、クライアントにおけるアクセスログの送信処理を示す図である。以下、図１５に示す処理をステップ番号に沿って説明する。
［ステップＳ２１］文書閲覧部３１３が、閲覧者からの文書３１の閲覧を示す操作入力を受け付ける。

［ステップＳ２２］文書閲覧部３１３は、文書３１へのアクセス処理を行う。具体的には、文書閲覧部３１３は、アクセス許否判定部３１４にアクセス許否判定を依頼する。すると、アクセス許否判定部３１４が文書アクセス管理サーバ１００から文書３１に関するアクセスポリシ３２を取得し、取得したアクセスポリシ３２において閲覧者によるアクセスが許可されている否かを判断する。許可されていなければ、アクセス許否判定部３１４は、アクセス許否の判定結果を文書閲覧部３１３に伝える。すると、文書閲覧部３１３は、文書３１へのアクセスをエラー終了する。

アクセスポリシ３２においてアクセスが許可されていれば、アクセス許否判定部３１４は、文書復号部３１５へ文書３１へのアクセスが許可されていることを伝える。すると、文書復号部３１５が文書３１を復号し、復号した内容を文書閲覧部３１３に渡す。文書閲覧部３１３では、文書復号部３１５が復号した文書３１の内容を画面に表示する。

［ステップＳ２３］文書３１へのアクセス処理が行われると、アクセスログ生成部３１６がアクセスログ３３を生成する。生成されたアクセスログは、アクセスログ記憶部３１７に追加格納される。

さらに、署名生成部３２０が、アクセスログ記憶部３１７に格納されているアクセスログのハッシュ値を生成する。具体的には、署名生成部３２０は、ハッシュ値記憶部３１９内にハッシュ値が格納されてない場合には、新たに生成されたアクセスログ３３のみからハッシュ値を生成する。また、署名生成部３２０は、ハッシュ値記憶部３１９内にハッシュ値が格納されている場合には、そのハッシュ値と新たに生成されたアクセスログ３３とを合わせたデータからハッシュ値を生成する。最後に、署名生成部３２０は、生成したハッシュ値によってハッシュ値記憶部３１９内のハッシュ値を更新する。

［ステップＳ２４］署名生成部３２０は、文書アクセス管理サーバ１００と通信可能か否かを判断する。たとえば、文書アクセス管理サーバ１００に対して、ネットワーク上の接続を確認するコマンド（pingなど）を送信することで、文書アクセス管理サーバ１００と通信可能か否かを判断できる。通信が可能であれば、処理がステップＳ２５に進められる。通信ができなければ、処理がステップＳ２１に進められる。

［ステップＳ２５］署名生成部３２０は、ハッシュ値記憶部３１９に格納されているハッシュ値に項番を加えて、それらのデータからハッシュ値を生成する。
［ステップＳ２６］署名生成部３２０は、ハッシュ値記憶部３１９に格納されているハッシュ値をＴＰＭ内に保持している秘密鍵で暗号化し、生成された暗号データを署名３５とする。

［ステップＳ２７］アクセスログ送信部３２１は、アクセスログ記憶部３１７に格納されているアクセスログ３３に項番３４と署名３５とを付与し、文書アクセス管理サーバ１００に送信する。このとき、署名生成部３２０は、アクセスログが文書アクセス管理サーバ１００に送られたことを確認後、アクセスログ記憶部３１７内に格納されていたアクセスログを消去する。

［ステップＳ２８］署名生成部３２０は、ハッシュ値記憶部３１９内のハッシュ値をクリアし、項番記憶部３１８内の項番に１を加算する。その後、処理がステップＳ２１に進められる。

図１６は、文書アクセス管理サーバのアクセスログ取得処理の手順を示すフローである。以下、図１６に示す処理をステップ番号に沿って説明する。
［ステップＳ３１］アクセスログ取得部１５４は、クライアント３００との通信が可能か否かを判断する。クライアント３００との通信が可能であれば、処理がステップＳ３２に進められる。クライアント３００との通信が不可能であれば、アクセスログ取得部１５４は、ステップＳ３１の処理が繰り返され、通信可能となるのを待つ。

［ステップＳ３２］アクセスログ取得部１５４は、項番３４と署名３５とが付与されたアクセスログ３３をクライアント３００から取得する。
［ステップＳ３３］アクセスログ取得部１５４は、クライアント３００から項番３４、と署名３５とが付与されたアクセスログ３３を正しく取得できたか否かを判断する。取得できなかった場合、処理がステップＳ３８に進められる。取得できた場合、処理がステップＳ３４に進められる。

［ステップＳ３４］アクセスログ取得部１５４は、項番３４および署名３５を検証する。具体的には、アクセスログ取得部１５４は、アクセスログ３３に付与されていた項番３４と、項番記憶部１２０に格納されている項番（クライアント３００との組に対応付けられて登録されている項番）とを比較する。一致していれば、項番３４に抜けが無いことが確認される。さらに、アクセスログ取得部１５４は、取得した署名３５を予め用意されている復号鍵で復号し、ハッシュ値との組を得る。

また、アクセスログ取得部１５４は、項番記憶部１２０に格納されている項番とアクセスログ３３とからハッシュ値を生成する。このとき、１つの項番３４と共に複数のアクセスログ３３が同時に送られてきた場合、アクセスログ取得部１５４は、日時情報に基づいて最も古いアクセスログから順にアクセスログを選択する。そして、アクセスログ取得部１５４は、最初に選択したアクセスログからハッシュ値を生成する。そして、アクセスログ取得部１５４は、生成したハッシュ値を次に選択したアクセスログに付加して、ハッシュ値を生成する。最後のアクセスログ（最新のアクセスログ）に応じたハッシュ値が生成されると、アクセスログ取得部１５４は、生成したハッシュ値に対して項番記憶部１２０に格納されていた項番を付加して、ハッシュ値を生成する。

そして、アクセスログ取得部１５４は、生成したアクセスログ３３と項番記憶部１２０内の項番とから生成したハッシュ値と、署名３５に含まれていたハッシュ値と比較する。ハッシュ値が同一であれば、アクセスログ取得部１５４は、署名３５が正当であると判断する。

［ステップＳ３５］アクセスログ取得部１５４は、項番３４が一致しており署名３５が正当であれば、検証結果に問題なしと判断し、処理をステップＳ３６に進める。一方、アクセスログ取得部１５４は、項番３４が不一致であるか署名３５が正当で無い場合、検証結果に問題有りと判断し、処理がステップＳ３８に進められる。

［ステップＳ３６］アクセスログ取得部１５４は、取得したアクセスログ３３をアクセスログ記憶部１３０に追加格納する。
［ステップＳ３７］アクセスログ取得部１５４は、項番記憶部１２０に格納されている項番に１を加える。その後、処理がステップＳ３１に進められる。

［ステップＳ３８］アクセスログ取得部１５４は、不正があったことを示す情報を付加して、取得したアクセスログ３３をアクセスログ記憶部１３０に追加格納する。
［ステップＳ３９］アクセスポリシ管理部１５１は、アクセスログ３３のアクセス元クライアントの欄に設定されているクライアント名を対象クライアントとするアクセスポリシに対して、閲覧を不許可とするように設定の変更を行う（たとえば、閲覧許可回数の欄に閲覧禁止と設定する）。また、不正が行われたアクセスログのユーザ（閲覧のアクセスであれば閲覧者）を対象ユーザとするアクセスポリシに対して、閲覧を不許可とするように設定の変更を行うこともできる。その後、処理がステップＳ３１に進められる。

このようにアクセスログ３３が正しく取得できない場合、該当ユーザにおける文書３１への不正アクセス行為があった可能性があると判断され、そのユーザに対して閲覧を不許可とするようにアクセスポリシが自動変更される。

また、過去のアクセスによってアクセスログ記憶部１３０に蓄積されているアクセスログがある場合、既にハッシュ値記憶部３１９に格納されているハッシュ値を用いて、新たなアクセスログ３３のハッシュ値を計算する。これにより、アクセスログ記憶部１３０がＴＰＭ外の記憶装置内に設けられていても、アクセスログの改竄を防止できる。すなわち、ハッシュ値記憶部３１９はＴＰＭ内に設けられハッシュ値はＴＰＭで保護されている。そのため、アクセスログが改竄された場合、ハッシュ値記憶部３１９内のハッシュ値との間に不整合が生じ、クライアント３００で不正が行われたことを文書アクセス管理サーバ１００側で認識できる。

次に、文書アクセス管理サーバ１００に蓄積されたアクセスログとポリシログとを、文書３１の作成者が検索する場合の処理について説明する。
図１７は、ログ検索手順の概略を示す図である。文書３１の作成者がログを検索する場合、作成者は、クライアント２００に対して検索指示の操作入力を行う。すると、クライアント２００から文書アクセス管理サーバ１００へ検索条件４１が送信される。文書アクセス管理サーバ１００では、検索条件４１に応答して、アクセスログ記憶部１３０とポリシログ記憶部１４０とに対する検索を行う。そして、文書アクセス管理サーバ１００は、検索結果をまとめてログ情報４２を生成し、クライアント２００に送信する。

図１８は、ログ検索処理の手順を示すシーケンス図である。以下、図１８に示す処理をステップ番号に沿って説明する。
［ステップＳ４１］クライアント２００のアクセスログ検索要求部２５０は、文書作成者からユーザ名とパスワードとの入力を受け付ける。

［ステップＳ４２］クライアント２００のアクセスログ検索要求部２５０は、入力されたユーザ名とパスワードとを文書アクセス管理サーバ１００に送信する。
［ステップＳ４３］文書アクセス管理サーバ１００のログ検索部１５５は、クライアント２００から送信されたユーザ名とパスワードとによりユーザ認証を行う。

［ステップＳ４４］文書アクセス管理サーバ１００のログ検索部１５５は、ユーザ認証の結果をクライアント２００に応答する。ここでは、正しくユーザ認証が行われたものとする。

［ステップＳ４５］クライアント２００のアクセスログ検索要求部２５０は、正しくユーザ認証がされると、文書作成者からのログの検索条件の入力を受け付ける。検索条件としては、対象ユーザ、対象クライアント、文書のファイル名、行為（閲覧、印刷など）、期間などが指定できる。

［ステップＳ４６］クライアント２００のアクセスログ検索要求部２５０は、入力された検索条件を文書アクセス管理サーバ１００に送信する。
［ステップＳ４７］文書アクセス管理サーバ１００のログ検索部１５５は、クライアント２００から送られた検索条件を取得する。

［ステップＳ４８］文書アクセス管理サーバ１００のログ検索部１５５は、検索条件に適合するアクセスログを、アクセスログ記憶部１３０から検索する。
［ステップＳ４９］文書アクセス管理サーバ１００のログ検索部１５５は、検索条件に適合するポリシログを、ポリシログ記憶部１４０から検索する。

［ステップＳ５０］文書アクセス管理サーバ１００のログ検索部１５５は、検索によって検出されたログに基づいて、権限行使の有無をチェックする。たとえば、閲覧権が付与されたユーザ（閲覧が許可されているユーザ）が閲覧を行ったか、あるいは印刷権が付与されたユーザ（印刷が許可されているユーザ）印刷を行ったかをチェックする。

［ステップＳ５１］文書アクセス管理サーバ１００のログ検索部１５５は、権限のチェック結果を付与したログ情報をクライアント２００に送信する。
［ステップＳ５２］クライアント２００のアクセスログ検索要求部２５０は、ログ情報を画面に表示する。

［ステップＳ５３］クライアント２００のアクセスログ検索要求部２５０は、文書作成者からの表示条件入力を受け付ける。表示条件（たとえば、時間軸などによるソート条件）が入力されると、その条件に合致するように表示内容を変更し、処理がステップＳ５２に進められる。

以下、検索条件に応じた検索結果の表示例を図１９〜図２７に示す。
図１９は、ファイルＡに注目したときの検索結果を示す図である。これは、検索条件として「ファイルＡ」を指定した場合に表示される検索結果である。図１９の例では、ユーザＡとユーザＢとによる閲覧を示すアクセスログが表示されている。また、アクセス権設定やアクセス禁止へのアクセスポリシ変更に関するポリシログが表示されている。この図１９の検索結果を参照すれば、アクセス権を有するユーザのうち、ユーザＡとユーザＣはファイルＡを閲覧しているが、ユーザＢが閲覧していないことが分かる。

図２０は、ファイルＢに注目したときの検索結果を示す図である。これは、検索条件として「ファイルＢ」を指定した場合に表示される検索結果である。図２０の例では、ユーザＢとユーザＡとによる閲覧を示すアクセスログが表示されているとともに、ユーザＢによる不正な閲覧が行われたことが示されている。また、ポリシログとして、アクセス権設定に加え、ユーザＢの閲覧期限が完了したことが表示されている。そのため、図２０の検索結果を参照すれば、ユーザＢは閲覧期限を過ぎてからも、ファイルＢを閲覧しようとしたことが分かる。

図２１は、ファイルＣに注目したときの検索結果を示す図である。これは、検索条件として「ファイルＣ」を指定した場合に表示される検索結果である。図２１の例では、ユーザＢによる閲覧とユーザＣによる不正な閲覧を示すアクセスログが表示されている。そこで、ポリシログを参照すると、ユーザＣが閲覧操作を行う前に、ユーザＣが閲覧に使用したＰＣ−Ｃによるアクセスが禁止されていることが分かる。

図２２は、ユーザＡに注目したときの検索結果を示す図である。これは、検索条件として「ユーザＡ」を指定した場合に表示される検索結果である。図２２の例では、ユーザＡに対してファイルＡやファイルＢの閲覧が許可されており、ユーザＡは両方のファイルを閲覧済みであることが分かる。

なお、ＰＣ−Ｃからのアクセス禁止を示すポリシログは、ユーザに関する情報を有していないが、図２２の例では検索結果に含められている。すなわち、ユーザ名を指定した検索条件が入力された際には、ユーザに関する情報を含まないポリシログもログ情報に含めることで、ユーザＡが使用する可能性があるクライアントに関するポリシログも表示させることができる。

図２３は、ユーザＢに注目したときの検索結果を示す図である。これは、検索条件として「ユーザＢ」を指定した場合に表示される検索結果である。図２３の例では、ユーザＢに対してファイルＡ、ファイルＢおよびファイルＣの閲覧が許可されており、ユーザＢはファイルＢとファイルＣとを閲覧済みであり、ファイルＡが未読であることが分かる。また、ユーザＢは閲覧期限完了後にファイルＢの閲覧操作を行っていることが分かる。

図２４は、ユーザＣに注目したときの検索結果を示す図である。これは、検索条件として「ユーザＣ」を指定した場合に表示される検索結果である。図２４の例では、ユーザＣに対してファイルＡとファイルＣとの閲覧が許可されており、ユーザＣはファイルＡを閲覧済みであり、ファイルＣが未読であることが分かる。また、ユーザＣは、ファイルＣの閲覧操作をしたが、アクセスが禁止されたクライアント（ＰＣ−Ｃ）で閲覧操作を行ったために、閲覧に失敗していることが分かる。

図２５は、ＰＣ−Ａに注目したときの検索結果を示す図である。これは、検索条件として「ＰＣ−Ａ」を指定した場合に表示される検索結果である。図２５の例では、ＰＣ−Ａを用いたファイルＡとファイルＢとの閲覧が許可されており、ユーザＡがＰＣ−Ａを用いてファイルＡとファイルＢとを閲覧済みであることが分かる。

図２６は、ＰＣ−Ｂに注目したときの検索結果を示す図である。これは、検索条件として「ＰＣ−Ｂ」を指定した場合に表示される検索結果である。図２６の例では、ＰＣ−Ｂを用いたファイルＡ、ファイルＢ、ファイルＣの閲覧が許可されていたが、ファイルＢに関しては閲覧期限が完了していることがかわる。また、閲覧期限が完了してから、ユーザＢがＰＣ−Ｂを用いてファイルＢの閲覧操作を行っていることが分かる。

図２７は、ＰＣ−Ｃに注目したときの検索結果を示す図である。これは、検索条件として「ＰＣ−Ｃ」を指定した場合に表示される検索結果である。図２７の例では、ＰＣ−Ｃを用いたファイルＡとファイルＣとの閲覧が許可されていたが、その後、ＰＣ−Ｃを用いたアクセスが禁止されていることが分かる。また、ユーザＣは、ＰＣ−Ｃによるアクセスが禁止された後にＰＣ−Ｃを用いてファイルＣの閲覧操作を行っていることが分かる。

このように、アクセスログとポリシログとから検索条件に合致する情報を取得して表示することで、閲覧可能なユーザのうちの未閲覧のユーザを容易に見つけ出すことができる。なお、未閲覧のユーザに対しては、文書アクセス管理サーバ１００から閲覧の指示を通知することもできる。

図２８は、未閲覧ユーザへの閲覧指示処理を示すフローチャートである。以下、図２８に示す処理をステップ番号に沿って説明する。
［ステップＳ６１］閲覧指示通知部１５６は、所定のタイミング（たとえば、毎日の決まった時刻）で、ログ検索部１５５に対して所定の文書に関する未閲覧ユーザチェック要求を出力する。未閲覧ユーザチェック要求を受けたログ検索部１５５は、未閲覧ユーザチェック要求で指定されている文書の文書名を検索キーとして、アクセスログ記憶部１３０とポリシログ記憶部１４０とを検索する。そして、ログ検索部１５５は、指定された文書に関するアクセスログとポリシログとを取得する。

［ステップＳ６２］ログ検索部１５５は、未閲覧ユーザをチェックする。具体的には、ログ検索部１５５は、取得したポリシログに基づいて、指定された文書に対する閲覧が許可されているユーザを判断する。さらに、ログ検索部１５５は、取得したアクセスログに基づいて、閲覧が許可されたユーザのうち、未閲覧のユーザを判断する。そして、ログ検索部１５５は、未閲覧のユーザのユーザ名を閲覧指示通知部１５６に渡す。

［ステップＳ６３］閲覧指示通知部１５６は、未閲覧のユーザ宛に閲覧指示を通知する。
［ステップＳ６４］閲覧指示通知部１５６は、文書の作成者宛に、未閲覧ユーザのリストを通知する。

このようにして、未閲覧のユーザに対して閲覧指示を自動的に出すことができる。
［第２の実施の形態］
第２の実施の形態は、前回のハッシュ値を用いてアクセスログの連続性を保証するものである。第１の実施の形態では、項番によってアクセスログの連続性を保証していた。すなわち、項番を用いれば、項番が連続であることを確認することでアクセスログの抜けや重複が無いことを保証できる。第２の実施の形態では、クライアントにおいて、前回送信したハッシュ値を保存しておき、そのハッシュ値に新たに送信するアクセスログを加えて新たなハッシュ値を生成する。このように、ハッシュ値を連鎖的に生成することで、文書アクセス管理サーバが受信したアクセスログに抜けがあれば、ハッシュ値の不整合が生じることとなる。その結果、文書アクセス管理サーバにおいて、アクセスログの抜けの検出が可能となる。換言すれば、アクセスログの連続性を保証することができる。

図２９は、第２の実施の形態の機能ブロック図である。第２の実施の形態を実現するための機能は、一部を除き第１の実施の形態と同様である。そこで、図２９において、図６に示した第１の実施の形態の要素と同様の機能の要素には図６に示した要素と同じ符号を付し、説明を省略する。

図２９に示すように、第２の実施の形態において第１の実施の形態と異なる機能を有するのは、クライアント３００ａと文書アクセス管理サーバ１００ａとである。
クライアント３００ａでは、署名生成部３２０ａの処理機能が第１の実施の形態と異なると共に、第１の実施の形態における項番記憶部３１８が不要となっている。署名生成部３２０ａは、アクセスログを送信した際に生成したハッシュ値をハッシュ値記憶部３１９に格納しておき、その後、アクセスログが生成されると、アクセスログにハッシュ値記憶部３１９内のハッシュ値を付加した値を用いて、新たなハッシュ値を生成する。

文書アクセス管理サーバ１００ａでは、アクセスログ取得部１５４ａの処理機能が第１の実施の形態と異なると共に、項番記憶部１２０に代えてハッシュ値記憶部１６０が設けられている。ハッシュ値記憶部１６０は、アクセスログ取得部１５４ａがアクセスログを取得した際に算出したハッシュ値を記憶する記憶装置である。たとえば、ＨＤＤ１０３の記憶領域の一部がハッシュ値記憶部１６０として使用される。アクセスログ取得部１５４ａは、アクセスログを取得した際に、ハッシュ値記憶部１６０に格納されているハッシュ値を用いて、取得したアクセスログに応じたハッシュ値を生成する。

以下、クライアント３００ａから文書アクセス管理サーバ１００ａへアクセスログを送信する際の処理を、詳細に説明する。
図３０は、前回のハッシュ値を用いて連続性を保証するアクセスログ送信処理を示す図である。以下、図３０に示す処理をステップ番号に沿って説明する。

［ステップＳ７１］文書閲覧部３１３が、閲覧者からの文書３１の閲覧を示す操作入力を受け付ける。
［ステップＳ７２］文書閲覧部３１３は、文書３１へのアクセス処理を行う。具体的には、図１５に示したステップＳ２２の処理と同様である。

［ステップＳ７３］文書３１へのアクセス処理が行われると、アクセスログ生成部３１６がアクセスログ３３を生成する。生成されたアクセスログは、アクセスログ記憶部３１７に追加格納される。すると、署名生成部３２０ａが、アクセスログ記憶部３１７に格納されているアクセスログのハッシュ値を生成する。この際、ハッシュ値記憶部３１９内にすでにハッシュ値が格納されていれば、そのハッシュ値を格納されたアクセスログに付加し、それらのデータからハッシュ値を生成する。そして、署名生成部３２０ａは、生成したハッシュ値によってハッシュ値記憶部３１９内のハッシュ値を更新する。

［ステップＳ７４］署名生成部３２０ａは、文書アクセス管理サーバ１００と通信可能か否かを判断する。通信が可能であれば、処理がステップＳ７５に進められる。通信ができなければ、処理がステップＳ７１に進められる。

［ステップＳ７５］署名生成部３２０ａは、ハッシュ値記憶部３１９に格納されているハッシュ値をＴＰＭ内に保持している秘密鍵で暗号化し、生成された暗号データを署名とする。

［ステップＳ７６］アクセスログ送信部３２１は、アクセスログ記憶部３１７に格納されているアクセスログ３３に署名を付与し、文書アクセス管理サーバ１００に送信する。このとき、署名生成部３２０ａは、アクセスログが文書アクセス管理サーバ１００に送られたことを確認後、アクセスログ記憶部３１７内に格納されていたアクセスログを消去する。なお、ハッシュ記憶部３１９内のハッシュ値は、消去されずにそのまま保存される。その後、処理がステップＳ７１に進められる。

図３１は、前回のハッシュ値を用いて連続性を保証する文書アクセス管理サーバのアクセスログ取得処理の手順を示すフローである。以下、図３１に示す処理をステップ番号に沿って説明する。

［ステップＳ８１］アクセスログ取得部１５４ａは、クライアント３００との通信が可能か否かを判断する。クライアント３００との通信が可能であれば、処理がステップＳ８２に進められる。クライアント３００との通信が不可能であれば、アクセスログ取得部１５４ａは、ステップＳ８１の処理が繰り返され、通信可能となるのを待つ。

［ステップＳ８２］アクセスログ取得部１５４ａは、署名３５が付与されたアクセスログ３３をクライアント３００から取得する。
［ステップＳ８３］アクセスログ取得部１５４ａは、クライアント３００から署名３５が付与されたアクセスログ３３を正しく取得できたか否かを判断する。取得できなかった場合、処理がステップＳ８８に進められる。取得できた場合、処理がステップＳ８４に進められる。

［ステップＳ８４］アクセスログ取得部１５４ａは、署名３５を検証する。具体的には、アクセスログ取得部１５４ａは、取得した署名３５を予め用意されている復号鍵で復号し、ハッシュ値との組を得る。

また、アクセスログ取得部１５４ａは、ハッシュ値記憶部１６０に格納されているハッシュ値とアクセスログ３３とからハッシュ値を生成する。このとき、複数のアクセスログ３３が同時に送られてきた場合、アクセスログ取得部１５４ａは、日時情報に基づいて最も古いアクセスログから順にアクセスログを選択する。次に、アクセスログ取得部１５４ａは、最初に選択したアクセスログに対して、ハッシュ値記憶部１６０に格納されているハッシュ値を付加して、ハッシュ値を生成する。さらに、アクセスログ取得部１５４ａは、生成したハッシュ値を次に選択したアクセスログに付加して、ハッシュ値を生成する。

そして、アクセスログ取得部１５４ａは、最後に選択したアクセスログから生成したハッシュ値と署名３５に含まれていたハッシュ値と比較する。ハッシュ値が同一であれば、アクセスログ取得部１５４ａは、署名３５が正当であると判断する。

［ステップＳ８５］アクセスログ取得部１５４ａは、署名３５が正当であれば、検証結果に問題なしと判断し、処理をステップＳ８６に進める。一方、アクセスログ取得部１５４ａは、署名３５が正当で無い場合、検証結果に問題有りと判断し、処理がステップＳ８８に進められる。

［ステップＳ８６］アクセスログ取得部１５４ａは、取得したアクセスログ３３をアクセスログ記憶部１３０に追加格納する。
［ステップＳ８７］アクセスログ取得部１５４ａは、ステップＳ８４で最後に生成されたハッシュ値をハッシュ値記憶部１６０に格納する。その後、処理がステップＳ８１に進められる。

［ステップＳ８８］アクセスログ取得部１５４ａは、不正があったことを示す情報を付加して、取得したアクセスログ３３をアクセスログ記憶部１３０に追加格納する。
［ステップＳ８９］アクセスポリシ管理部１５１は、不正があったアクセスログ３３に関連するクライアントやユーザにより閲覧を不許可とするように、アクセスポリシの設定変更を行う（たとえば、閲覧許可回数の欄に閲覧禁止と設定する）。その後、処理がステップＳ８１に進められる。

このようにして、前回のアクセスログ送信時のハッシュ値から連鎖的に次のアクセスログのハッシュ値を計算することで、アクセスログの連続性を保証することが可能となる。
［その他の応用例］
上記の処理機能は、コンピュータによって実現することができる。その場合、文書アクセス管理サーバ１００，１００ａやクライアント２００，３００，３００ａが有すべき機能の処理内容を記述したプログラムが提供される。そのプログラムをコンピュータで実行することにより、上記処理機能がコンピュータ上で実現される。処理内容を記述したプログラムは、コンピュータで読み取り可能な記録媒体に記録しておくことができる。コンピュータで読み取り可能な記録媒体としては、磁気記録装置、光ディスク、光磁気記録媒体、半導体メモリなどがある。磁気記録装置には、ハードディスク装置（ＨＤＤ）、フレキシブルディスク（ＦＤ）、磁気テープなどがある。光ディスクには、ＤＶＤ（Digital Versatile Disc）、ＤＶＤ−ＲＡＭ（Random Access Memory）、ＣＤ−ＲＯＭ（Compact Disc Read Only Memory）、ＣＤ−Ｒ（Recordable）／ＲＷ（ReWritable）などがある。光磁気記録媒体には、ＭＯ（Magneto-Optical disk）などがある。

プログラムを流通させる場合には、たとえば、そのプログラムが記録されたＤＶＤ、ＣＤ−ＲＯＭなどの可搬型記録媒体が販売される。また、プログラムをサーバコンピュータの記憶装置に格納しておき、ネットワークを介して、サーバコンピュータから他のコンピュータにそのプログラムを転送することもできる。

プログラムを実行するコンピュータは、たとえば、可搬型記録媒体に記録されたプログラムもしくはサーバコンピュータから転送されたプログラムを、自己の記憶装置に格納する。そして、コンピュータは、自己の記憶装置からプログラムを読み取り、プログラムに従った処理を実行する。なお、コンピュータは、可搬型記録媒体から直接プログラムを読み取り、そのプログラムに従った処理を実行することもできる。また、コンピュータは、サーバコンピュータからプログラムが転送される毎に、逐次、受け取ったプログラムに従った処理を実行することもできる。

なお、本発明は、上述の実施の形態にのみ限定されるものではなく、本発明の要旨を逸脱しない範囲内において種々の変更を加えることができる。
以上説明した実施の形態の主な技術的特徴は、以下の付記の通りである。

（付記１） 文書に対するアクセス状況を管理するための文書アクセス管理プログラムにおいて、
コンピュータを、
文書に対するアクセスの許可条件が定義されたアクセスポリシを記憶するアクセスポリシ記憶手段、
前記アクセスポリシの設定操作の内容を示すポリシログを記憶するポリシログ記憶手段、
前記文書に対するアクセスの内容を示すアクセスログを記憶するアクセスログ記憶手段、
第１のクライアントからアクセスポリシの設定要求を受け付け、前記設定要求に応じて前記アクセスポリシ記憶手段に対する前記アクセスポリシの新規設定または記憶されている前記アクセスポリシの内容変更を行うアクセスポリシ管理手段、
前記アクセスポリシ管理手段によって前記アクセスポリシの新規設定または内容変更が行われると、新規設定された内容または変更後の内容を前記ポリシログ記憶手段に格納するポリシログ取得手段、
第２のクライアントから前記文書に関するアクセスポリシ取得要求が入力されると、前記アクセスポリシ記憶手段から前記文書に関する前記アクセスポリシを取得し、取得した前記アクセスポリシを前記第２のクライアントに対して送信するアクセスポリシ送信手段、
前記第２のクライアントから前記文書に関する前記アクセスログを取得し、前記アクセスログ記憶手段に格納するアクセスログ取得手段、
第３のクライアントから検索条件を受け取ると、前記検索条件に合致する前記ポリシログを前記ポリシログ記憶手段から取得し、前記検索条件に合致する前記アクセスログを前記アクセスログ記憶手段から取得し、取得した前記ポリシログと前記アクセスログとを前記第３のクライアントに送信するログ検索手段、
として機能させることを特徴とする文書アクセス管理プログラム。

（付記２） 前記アクセスログ取得手段は、前記第２のクライアントから署名付きの前記アクセスログを取得し、前記署名が正しいか否かを判断することで前記アクセスログの正当性を判断することを特徴とする付記１記載の文書アクセス管理プログラム。

（付記３） 前記アクセスポリシ管理手段は、前記アクセスログ取得手段において前記アクセスログが正当でないと判断された場合、前記第２のクライアントを用いた前記文書へのアクセスを禁止するように、前記アクセスポリシの内容を変更することを特徴とする付記２記載の文書アクセス管理プログラム。

（付記４） 前記コンピュータを、さらに、
前記第２のクライアントから前記アクセスログが送信された回数を示す項番を記憶する項番記憶手段として機能させ、
前記アクセスログ取得手段は、前記第２のクライアントから取得した前記アクセスログに前記項番記憶手段に記憶されている項番を付加して得られたデータのハッシュ値を生成すると共に暗号化された前記署名を所定の鍵で復号し、生成した前記ハッシュ値と復号されたデータが一致する場合には、前記署名が正当であると判断することを特徴とする付記２記載の文書アクセス管理プログラム。

（付記５） 前記コンピュータを、さらに、
前回のアクセスログ取得時に生成されたハッシュ値を記憶するハッシュ値記憶手段として機能させ、
前記アクセスログ取得手段は、前記第２のクライアントから取得した前記アクセスログに前記ハッシュ値記憶手段に記憶されているハッシュ値を付加して得られたデータのハッシュ値を生成すると共に暗号化された前記署名を所定の鍵で復号し、生成した前記ハッシュ値と復号されたデータが一致する場合には、前記署名が正当であると判断することを特徴とする付記２記載の文書アクセス管理プログラム。

（付記６） 前記ログ検索手段は、定期的に前記アクセスポリシ記憶手段に格納されている前記アクセスポリシを参照し、前記アクセスポリシにおいて前記文書の閲覧が許可されているユーザのユーザ名を抽出し、前記ポリシログ記憶手段に格納されている前記アクセスログを参照し、前記文書の閲覧が許可されているユーザのうち、未閲覧のユーザのユーザ名を判断することを特徴とする付記１記載の文書アクセス管理プログラム。

（付記７） 前記コンピュータを、さらに、
前記ログ検索手段から前記文書を未閲覧のユーザのユーザ名を取得し、該当するユーザに対して前記文書の閲覧を促すメッセージを送信する閲覧指示通知手段として機能させることを特徴とする付記６記載の文書アクセス管理プログラム。

（付記８） 前記コンピュータを、さらに、
前記ログ検索手段から前記文書を未閲覧のユーザのユーザ名を取得し、未閲覧のユーザのリストを前記文書を作成した作成者に送信する未閲覧者リスト送信手段として機能させることを特徴とする付記６記載の文書アクセス管理プログラム。

（付記９） 前記ログ検索手段は、取得した前記ポリシログと前記アクセスログとをそれぞれに付加されている日時の情報に基づいて時系列に並べて、前記第３のクライアントに送信することを特徴とする付記１記載の文書アクセス管理プログラム。

（付記１０） 文書に対するアクセス状況を管理するための文書アクセス管理装置において、
文書に対するアクセスの許可条件が定義されたアクセスポリシを記憶するアクセスポリシ記憶手段と、
前記アクセスポリシの設定操作の内容を示すポリシログを記憶するポリシログ記憶手段と、
前記文書に対するアクセスの内容を示すアクセスログを記憶するアクセスログ記憶手段と、
第１のクライアントからアクセスポリシの設定要求を受け付け、前記設定要求に応じて前記アクセスポリシ記憶手段に対する前記アクセスポリシの新規設定または記憶されている前記アクセスポリシの内容変更を行うアクセスポリシ管理手段と、
前記アクセスポリシ管理手段によって前記アクセスポリシの新規設定または内容変更が行われると、新規設定された内容または変更後の内容を前記ポリシログ記憶手段に格納するポリシログ取得手段と、
第２のクライアントから前記文書に関するアクセスポリシ取得要求が入力されると、前記アクセスポリシ記憶手段から前記文書に関する前記アクセスポリシを取得し、取得した前記アクセスポリシを前記第２のクライアントに対して送信するアクセスポリシ送信手段と、
前記第２のクライアントから前記文書に関する前記アクセスログを取得し、前記アクセスログ記憶手段に格納するアクセスログ取得手段と、
第３のクライアントから検索条件を受け取ると、前記検索条件に合致する前記ポリシログを前記ポリシログ記憶手段から取得し、前記検索条件に合致する前記アクセスログを前記アクセスログ記憶手段から取得し、取得した前記ポリシログと前記アクセスログとを前記第３のクライアントに送信するログ検索手段と、
を有することを特徴とする文書アクセス管理装置。

（付記１１） 文書に対するアクセス状況を管理するための文書アクセス管理方法において、
アクセスポリシ管理手段が、第１のクライアントからアクセスポリシの設定要求を受け付け、前記設定要求に応じて、文書に対するアクセスの許可条件が定義されたアクセスポリシを記憶するアクセスポリシ記憶手段に対する前記アクセスポリシの新規設定または記憶されている前記アクセスポリシの内容変更を行い、
ポリシログ取得手段が、前記アクセスポリシ管理手段によって前記アクセスポリシの新規設定または内容変更が行われると、新規設定された内容または変更後の内容をポリシログ記憶手段に格納し、
アクセスポリシ送信手段が、第２のクライアントから前記文書に関するアクセスポリシ取得要求が入力されると、前記アクセスポリシ記憶手段から前記文書に関する前記アクセスポリシを取得し、取得した前記アクセスポリシを前記第２のクライアントに対して送信し、
アクセスログ取得手段が、前記第２のクライアントから前記文書に関する前記アクセスログを取得し、アクセスログ記憶手段に格納し、
ログ検索手段が、第３のクライアントから検索条件を受け取ると、前記検索条件に合致する前記ポリシログを前記ポリシログ記憶手段から取得し、前記検索条件に合致する前記アクセスログを前記アクセスログ記憶手段から取得し、取得した前記ポリシログと前記アクセスログとを前記第３のクライアントに送信する、
ことを特徴とする文書アクセス管理方法。

本実施の形態の概略を示す図である。 本実施の形態のシステム構成例を示す図である。 本実施の形態に用いる文書アクセス管理サーバのハードウェア構成例を示す図である。 本実施の形態に用いるクライアントのハードウェア構成例を示す図である。 本システムの処理の概略を示す図である。 第１の実施の形態の機能ブロック図である。 アクセスポリシ記憶部のデータ構造例を示す図である。 項番記憶部のデータ構造例を示す図である。 アクセスログ記憶部のデータ構造例を示す図である。 ポリシログ記憶部のデータ構造例を示す図である。 アクセスポリシ自動変更時のポリシログの例を示す図である。 ポリシログ取得処理を示す概念図である。 ポリシログ取得処理を示すフローチャートである。 アクセスログ取得処理の概略を示す図である。 クライアントにおけるアクセスログの送信処理を示す図である。 文書アクセス管理サーバのアクセスログ取得処理の手順を示すフローである。 ログ検索手順の概略を示す図である。 ログ検索処理の手順を示すシーケンス図である。 ファイルＡに注目したときの検索結果を示す図である。 ファイルＢに注目したときの検索結果を示す図である。 ファイルＣに注目したときの検索結果を示す図である。 ユーザＡに注目したときの検索結果を示す図である。 ユーザＢに注目したときの検索結果を示す図である。 ユーザＣに注目したときの検索結果を示す図である。 ＰＣ−Ａに注目したときの検索結果を示す図である。 ＰＣ−Ｂに注目したときの検索結果を示す図である。 ＰＣ−Ｃに注目したときの検索結果を示す図である。 未閲覧ユーザへの閲覧指示処理を示すフローチャートである。 第２の実施の形態の機能ブロック図である。 前回のハッシュ値を用いて連続性を保証するアクセスログ送信処理を示す図である。 前回のハッシュ値を用いて連続性を保証する文書アクセス管理サーバのアクセスログ取得処理の手順を示すフローである。 従来のファイル管理システムの例を示す図である。

符号の説明

１ 文書アクセス管理装置
１ａ アクセスポリシ記憶手段
１ｂ ポリシログ記憶手段
１ｃ アクセスログ記憶手段
１ｄ アクセスポリシ管理手段
１ｅ ポリシログ取得手段
１ｆ アクセスポリシ送信手段
１ｇ アクセスログ取得手段
１ｈ ログ検索手段
２ 第１のクライアント
３ 第２のクライアント
４ 第３のクライアント
５ 文書

Claims (10)

1. 文書に対するアクセス状況を管理するための文書アクセス管理プログラムにおいて、
   コンピュータを、
   前記文書に対するアクセスの許可条件が定義されたアクセスポリシを記憶するアクセスポリシ記憶手段、
   前記アクセスポリシの設定操作の内容を示すポリシログを記憶するポリシログ記憶手段、
   前記文書に対するアクセスの内容を示すアクセスログを記憶するアクセスログ記憶手段、
   第１のクライアントからアクセスポリシの設定要求を受け付け、前記設定要求に応じて前記アクセスポリシ記憶手段に対する前記アクセスポリシの新規設定または記憶されている前記アクセスポリシの内容変更を行うアクセスポリシ管理手段、
   前記アクセスポリシ管理手段によって前記アクセスポリシの新規設定または内容変更が行われると、新規設定された内容または変更後の内容を前記ポリシログ記憶手段に格納するポリシログ取得手段、
   第２のクライアントから前記文書に関するアクセスポリシ取得要求が入力されると、前記アクセスポリシ記憶手段から前記文書に関する前記アクセスポリシを取得し、取得した前記アクセスポリシを前記第２のクライアントに対して送信するアクセスポリシ送信手段、
   前記第２のクライアントから前記文書に関するアクセスログを取得し、前記アクセスログ記憶手段に格納するアクセスログ取得手段、
   第３のクライアントから検索条件を受け取ると、前記検索条件に合致する前記ポリシログを前記ポリシログ記憶手段から取得し、前記検索条件に合致する前記アクセスログを前記アクセスログ記憶手段から取得し、取得した前記ポリシログと前記アクセスログとを前記第３のクライアントに送信するログ検索手段、
   として機能させることを特徴とする文書アクセス管理プログラム。
2. 前記アクセスログ取得手段は、前記第２のクライアントから署名付きの前記アクセスログを取得し、前記署名が正しいか否かを判断することで前記アクセスログの正当性を判断することを特徴とする請求項１記載の文書アクセス管理プログラム。
3. 前記アクセスポリシ管理手段は、前記アクセスログ取得手段において前記アクセスログが正当でないと判断された場合、前記第２のクライアントを用いた前記文書へのアクセスを禁止するように、前記アクセスポリシの内容を変更することを特徴とする請求項２記載の文書アクセス管理プログラム。
4. 前記コンピュータを、さらに、
   前記第２のクライアントから前記アクセスログが送信された回数を示す項番を記憶する項番記憶手段として機能させ、
   前記アクセスログ取得手段は、前記第２のクライアントから取得した前記アクセスログに前記項番記憶手段に記憶されている項番を付加して得られたデータのハッシュ値を生成すると共に暗号化された前記署名を所定の鍵で復号し、生成した前記ハッシュ値と復号されたデータが一致する場合には、前記署名が正当であると判断することを特徴とする請求項２または３のいずれかに記載の文書アクセス管理プログラム。
5. 前記コンピュータを、さらに、
   前回のアクセスログ取得時に生成されたハッシュ値を記憶するハッシュ値記憶手段として機能させ、
   前記アクセスログ取得手段は、前記第２のクライアントから取得した前記アクセスログに前記ハッシュ値記憶手段に記憶されているハッシュ値を付加して得られたデータのハッシュ値を生成すると共に暗号化された前記署名を所定の鍵で復号し、生成した前記ハッシュ値と復号されたデータが一致する場合には、前記署名が正当であると判断することを特徴とする請求項２または３のいずれかに記載の文書アクセス管理プログラム。
6. 前記ログ検索手段は、定期的に前記アクセスポリシ記憶手段に格納されている前記アクセスポリシを参照し、前記アクセスポリシにおいて前記文書の閲覧が許可されているユーザのユーザ名を抽出し、前記ポリシログ記憶手段に格納されている前記アクセスログを参照し、前記文書の閲覧が許可されているユーザのうち、未閲覧のユーザのユーザ名を判断することを特徴とする請求項１乃至５のいずれかに記載の文書アクセス管理プログラム。
7. 前記コンピュータを、さらに、
   前記ログ検索手段から前記文書を未閲覧のユーザのユーザ名を取得し、該当するユーザに対して前記文書の閲覧を促すメッセージを送信する閲覧指示通知手段として機能させることを特徴とする請求項６記載の文書アクセス管理プログラム。
8. 前記コンピュータを、さらに、
   前記ログ検索手段から前記文書を未閲覧のユーザのユーザ名を取得し、未閲覧のユーザのリストを前記文書を作成した作成者に送信する未閲覧者リスト送信手段として機能させることを特徴とする請求項６または７のいずれかに記載の文書アクセス管理プログラム。
9. 文書に対するアクセス状況を管理するための文書アクセス管理装置において、
   前記文書に対するアクセスの許可条件が定義されたアクセスポリシを記憶するアクセスポリシ記憶手段と、
   前記アクセスポリシの設定操作の内容を示すポリシログを記憶するポリシログ記憶手段と、
   前記文書に対するアクセスの内容を示すアクセスログを記憶するアクセスログ記憶手段と、
   第１のクライアントからアクセスポリシの設定要求を受け付け、前記設定要求に応じて前記アクセスポリシ記憶手段に対する前記アクセスポリシの新規設定または記憶されている前記アクセスポリシの内容変更を行うアクセスポリシ管理手段と、
   前記アクセスポリシ管理手段によって前記アクセスポリシの新規設定または内容変更が行われると、新規設定された内容または変更後の内容を前記ポリシログ記憶手段に格納するポリシログ取得手段と、
   第２のクライアントから前記文書に関するアクセスポリシ取得要求が入力されると、前記アクセスポリシ記憶手段から前記文書に関する前記アクセスポリシを取得し、取得した前記アクセスポリシを前記第２のクライアントに対して送信するアクセスポリシ送信手段と、
   前記第２のクライアントから前記文書に関するアクセスログを取得し、前記アクセスログ記憶手段に格納するアクセスログ取得手段と、
   第３のクライアントから検索条件を受け取ると、前記検索条件に合致する前記ポリシログを前記ポリシログ記憶手段から取得し、前記検索条件に合致する前記アクセスログを前記アクセスログ記憶手段から取得し、取得した前記ポリシログと前記アクセスログとを前記第３のクライアントに送信するログ検索手段と、
   を有することを特徴とする文書アクセス管理装置。
10. 文書に対するアクセス状況を管理するための文書アクセス管理方法において、
    アクセスポリシ管理手段が、第１のクライアントからアクセスポリシの設定要求を受け付け、前記設定要求に応じて、前記文書に対するアクセスの許可条件が定義されたアクセスポリシを記憶するアクセスポリシ記憶手段に対する前記アクセスポリシの新規設定または記憶されている前記アクセスポリシの内容変更を行い、
    ポリシログ取得手段が、前記アクセスポリシ管理手段によって前記アクセスポリシの新規設定または内容変更が行われると、新規設定された内容または変更後の内容をポリシログ記憶手段に格納し、
    アクセスポリシ送信手段が、第２のクライアントから前記文書に関するアクセスポリシ取得要求が入力されると、前記アクセスポリシ記憶手段から前記文書に関する前記アクセスポリシを取得し、取得した前記アクセスポリシを前記第２のクライアントに対して送信し、
    アクセスログ取得手段が、前記第２のクライアントから前記文書に関するアクセスログを取得し、アクセスログ記憶手段に格納し、
    ログ検索手段が、第３のクライアントから検索条件を受け取ると、前記検索条件に合致する前記ポリシログを前記ポリシログ記憶手段から取得し、前記検索条件に合致する前記アクセスログを前記アクセスログ記憶手段から取得し、取得した前記ポリシログと前記アクセスログとを前記第３のクライアントに送信する、
    ことを特徴とする文書アクセス管理方法。

Images