JP5459777B2 - アクセス権管理システム、ファイル管理サーバ、クライアントマシン、アクセス権管理方法およびプログラム - Google Patents

Description

本発明は、アクセス権管理システム、ファイル管理サーバ、クライアントマシン、アクセス権管理方法およびプログラムに関し、特に編集しようとしている電子ドキュメントファイルが最新のバージョンであるか否かを確認することを可能とするアクセス権管理システム、ファイル管理サーバ、クライアントマシン、アクセス権管理方法およびプログラムに関する。

企業や役所などのような各種機関では、職務を遂行する上で、その構成員がワープロ、表計算、プレゼンテーションなどのようなオフィスアプリケーションを日常的に利用して電子ドキュメントファイル（以後、単に電子ドキュメントという）を作成および交換している。その際、一つの電子ドキュメントが、同一の組織の中で複数の構成員の手を経て編集されることは既に珍しいことではない。

その際、その職務に関与しない者が、当該電子ドキュメントの内容の改変に関与しないことが当然必要となる。そこで、ＤＲＭ（Digital Rights Management：デジタル権利管理）の仕組みを利用して、関係ない者による電子ドキュメントの内容の改変を防止するという方法が利用され始めている。たとえばマイクロソフト・コーポレーションの「ウィンドウズ・ライツ・マネージメント・サービシズ（Windows Rights Management Services）」（ウィンドウズは登録商標です）などがこれに該当する。

オフィスアプリケーションを利用して新たな電子ドキュメントを作成したユーザは、その利用方法や流通の権限などのアクセス権限情報を規定したライセンスの登録をＤＲＭサーバに対して申請する。ＤＲＭサーバは、作成された電子ドキュメントに対して属性情報を付与して暗号化する。アクセス権についての情報も、この属性情報の一部となる。これを電子ドキュメントのカプセル化という。

図２７は、ＤＲＭを利用してアクセス権の管理を行う一般的なアクセス権管理システム６０１について示す説明図である。アクセス権管理システム６０１は、電子ドキュメント６３０を作成および編集するクライアントマシン６１１、電子ドキュメント６３０からカプセル化ファイル６４０を作成する暗号化サーバ６２０、およびクライアントマシン６１１を操作するユーザを認証する認証サーバ６５０が、ネットワーク６６０を介して相互に接続されて構成される。

クライアントマシン６１１を操作するユーザは、このクライアントマシン６１１で作成した電子ドキュメント６３０を、暗号化サーバ６２０に渡して、そのカプセル化を依頼する。このとき、電子ドキュメント６３０への様々な利用者のアクセス権限を規定したアクセス権限リスト６３１も、同時に暗号化サーバ６２０に送信する。ＤＲＭサーバがその電子ドキュメント６３０に、アクセス権限リスト６３１も含めて、カプセル化ファイル６４０を作成する。

図２８は、図２７に示したアクセス権管理システム６０１で作成されたカプセル化ファイル６４０について示す説明図である。図２８（ａ）はカプセル化ファイル６４０の構成を示し、図２８（ｂ）はそこに含まれるアクセス権限リスト６３１について示す。カプセル化ファイル６４０は、電子ドキュメント６３０とアクセス権限リスト６３１とを合わせて圧縮および暗号化したファイルである。

アクセス権限リスト６３１は、各ユーザのユーザＩＤ６３１ａと、各々のユーザＩＤ６３１ａに対応するアクセス権の権限種類６３１ｂの一覧である。そのカプセル化ファイル６４０の利用者は、認証サーバ６５０にアクセスして自らのユーザＩＤ６３１ａを認証し、アクセス権限リスト６３１に記載された権限種類６３１ｂに従って電子ドキュメント６３０の操作を行うことができる。

この場合、カプセル化ファイル６４０について、その作成者が他のユーザに設定したアクセス権限がアクセス権限リスト６３１に記載される。例えば、同一組織の構成員にその電子ドキュメントの編集権限を与え、同一会社の別組織の構成員には参照権限のみを与え、その他の人物には何も見ることもできない、などのように電子ドキュメントの作成者が他者に対してアクセス権限を設定することができる。

ただし、カプセル化ファイル６４０の作成者は、カプセル化を解除して元の電子ドキュメント６３０に戻す権限を他者に譲渡することはできない。ファイルのカプセル化、カプセル化の解除、他者のアクセス権の設定などを合わせてフル権限というが、このフル権限は電子ドキュメントの作成者のみに限定されている。

電子ドキュメントにおける操作権限の設定に関連する技術文献として、たとえば次に示す各特許文献がある。その中でも特許文献１には、特定のコンピュータから特定のコンピュータ資源に対するアクセス権限を「アクセス制御親機」に照会して当該アクセスを許可するか否かを判断するというアクセス制御システムについて記載されている。特許文献２には、特定のファイルへのアクセスに対して、当該ファイルの操作ログ情報を元にしてアクセス権限を判断するというアクセス権限制御システムについて記載されている。

特許文献３には、特定のコンピュータ資源に対してアクセスしようとする利用者の状態を判断して、当該アクセスを許可するか否かを判断するというアクセス権限管理装置について記載されている。特許文献４には、特定の電子文書にアクセスしようとするユーザが当該文書を既読であるか否かによって、当該アクセスを許可するか否かを判断するというアクセス権管理装置について記載されている。

特許文献５には、カプセル化ファイルにカプセル化解除権を設定し、権限の委譲などの細かい管理を容易に行うことを可能にするというアクセス権管理装置について記載されている。特許文献６には、電子ドキュメントに設定するアクセス権のリストを個人またはグループに対して定義し、そのリストを利用してアクセス権についての情報を簡素化するという電子情報管理装置について記載されている。

特開２００７−０９４４９３号公報 特開２００８−２４２８３４号公報 特開２００８−２８２１８２号公報 特開２００９−００３６９７号公報 特開２００９−１８１５５３号公報 特開２００９−１９９２３１号公報

最新ではないバージョンの電子ドキュメントを編集して次の人の手に渡すことは、ユーザごとにその電子ドキュメントの内容が異なるということの原因となり、無用なトラブルの発生要因となりうる。

前述した既存のＤＲＭシステムでは、電子ドキュメントをカプセル化して、これに対してアクセス権限を設定することにより、当該電子ドキュメントに関与しないメンバーに対する不必要な情報の開示や、そのようなメンバーによる内容の改変を防止することは可能である。しかしながら、アクセス権限が設定されている電子ドキュメントが各ユーザに配布された後で、編集の権限を持った別のユーザが編集を行っても、その電子ドキュメント（カプセル化ファイル）が最新版であるか否かを知ることが可能であるＤＲＭシステムは存在しない。従って、既存のＤＲＭシステムでは、この問題を解決することはできない。

前述の特許文献１〜６には、カプセル化ファイルが最新版であるか否かを知ることを可能としうる技術は記載されていない。従って、これらの文献に記載の技術を組み合わせても、上記の問題は解決されない。

本発明の目的は、編集しようとしている電子ドキュメントが最新のバージョンであるか否かを確認することを可能とするアクセス権管理システム、ファイル管理サーバ、クライアントマシン、アクセス権管理方法およびプログラムを提供することにある。

上記目的を達成するため、本発明に係るアクセス権管理システムは、電子ドキュメントを暗号化してカプセル化ファイルを作成および編集するアクセス権管理システムであって、電子ドキュメントを編集するクライアントマシンと、電子ドキュメントを暗号化してカプセル化ファイルを作成する暗号化サーバと、クライアントマシンからの依頼に応じて暗号化サーバに電子ドキュメントからのカプセル化ファイルの作成を指令するファイル管理サーバとが相互に接続されて構成され、カプセル化ファイルが、ファイル管理サーバに付与されたカプセルＩＤおよび文書版番号を含み、ファイル管理サーバが、カプセル化ファイルに対して一意に識別しうるカプセルＩＤを付与するカプセルＩＤ発行部と、カプセル化ファイル内の電子ドキュメントが更新されるたびにカプセル化ファイル内の文書版番号を更新する文書版番号発行部と、カプセルＩＤと文書版番号とを対応づけてファイル管理データとして記憶する記憶手段と、文書版番号が更新されるとファイル管理データを更新する情報管理部と、ファイル管理データをカプセルＩＤで検索してこのカプセルＩＤに対応する文書版番号を検索してこれをクライアントマシンに返信するログ検索部とを有し、クライアントマシンが、カプセル化ファイル内の電子ドキュメントを編集する際にカプセル化ファイルに保存されたカプセルＩＤに対応する文書版番号をファイル管理サーバに照会するイベント操作記録部と、カプセル化ファイルに保存された文書版番号とファイル管理サーバから返信された文書版番号とを比較してこの両者が異なっていれば警告を発信する文書版番号照合部とを有することを特徴とする。

上記目的を達成するため、本発明に係るファイル管理サーバは、電子ドキュメントを暗号化したカプセル化ファイルに対してカプセルＩＤおよび文書版番号を付与するファイル管理サーバであって、電子ドキュメントを編集するクライアントマシンおよび電子ドキュメントを暗号化してカプセル化ファイルを作成する暗号化サーバと相互に接続され、作成されたカプセル化ファイルに対して一意に識別しうるカプセルＩＤを付与するカプセルＩＤ発行部と、カプセル化ファイル内の電子ドキュメントが更新されるたびにカプセル化ファイル内の文書版番号を更新する文書版番号発行部と、カプセルＩＤと文書版番号とを対応づけてファイル管理データとして記憶する記憶手段と、文書版番号が更新されるとファイル管理データを更新する情報管理部と、ファイル管理データをカプセルＩＤで検索してこのカプセルＩＤに対応する文書版番号を検索してこれをクライアントマシンに返信するログ検索部とを有することを特徴とする。

上記目的を達成するため、本発明に係るクライアントマシンは、電子ドキュメントを暗号化したカプセルＩＤおよび文書版番号を含めたカプセル化ファイルを編集するクライアントマシンであって、電子ドキュメントを暗号化してカプセル化ファイルを作成する暗号化サーバおよび暗号化サーバに電子ドキュメントからのカプセル化ファイルの作成を指令するカプセル化ファイルを作成させるファイル管理サーバと相互に接続され、カプセル化ファイル内の電子ドキュメントを更新する際にカプセル化ファイルに保存されたカプセルＩＤに対応する文書版番号をファイル管理サーバに照会するイベント操作記録部と、カプセル化ファイルに保存された文書版番号とファイル管理サーバから返信された文書版番号とを比較してこの両者が異なっていれば警告を発信する文書版番号照合部とを有することを特徴とする。

上記目的を達成するため、本発明に係るアクセス権管理方法は、電子ドキュメントを編集するクライアントマシンと、電子ドキュメントを暗号化してカプセル化ファイルを作成する暗号化サーバと、クライアントマシンからの依頼に応じて暗号化サーバに電子ドキュメントからのカプセル化ファイルの作成を指令するファイル管理サーバとが相互に接続されて構成されるアクセス権管理システムにあって、ファイル管理サーバのカプセルＩＤ発行部が、カプセル化ファイルに対して一意に識別しうるカプセルＩＤを付与し、ファイル管理サーバの文書版番号発行部が、カプセル化ファイル内の電子ドキュメントの更新に応じてカプセル化ファイル内の文書版番号を更新し、ファイル管理サーバの情報管理部が、更新された文書版番号を予め記憶されたファイル管理データにカプセルＩＤに対応させて保存し、クライアントマシンのイベント操作記録部が、カプセル化ファイル内の電子ドキュメントを更新する際にカプセル化ファイルに保存されたカプセルＩＤに対応する文書版番号をファイル管理サーバに照会し、ファイル管理サーバのログ検索部が、クライアントマシンから受信したカプセルＩＤでファイル管理データを検索してこれに対応する文書版番号をクライアントマシンに返信し、クライアントマシンの文書版番号照合部が、カプセル化ファイルに保存された文書版番号とファイル管理サーバから返信された文書版番号とを比較してこの両者が異なっていれば警告を発信することを特徴とする。

上記目的を達成するため、本発明に係るアクセス権プログラムは、電子ドキュメントを編集するクライアントマシンと、電子ドキュメントを暗号化してカプセル化ファイルを作成する暗号化サーバと、クライアントマシンからの依頼に応じて暗号化サーバに電子ドキュメントからのカプセル化ファイルの作成を指令するファイル管理サーバとが相互に接続されて構成されるアクセス権管理システムにあって、ファイル管理サーバに、カプセル化ファイルに対して一意に識別しうるカプセルＩＤを付与する手順、カプセル化ファイル内の電子ドキュメントの更新に応じてカプセル化ファイル内に記憶された文書版番号を更新する手順、更新された文書版番号を予め記憶されたファイル管理データにカプセルＩＤに対応させて保存する手順、およびクライアントマシンがカプセル化ファイル内の電子ドキュメントを更新する際にクライアントマシンから受信したカプセルＩＤでファイル管理データを検索してこれに対応する文書版番号をクライアントマシンに返信する手順を実行させることを特徴とする。

上記目的を達成するため、本発明に係る他のアクセス権プログラムは、電子ドキュメントを編集するクライアントマシンと、電子ドキュメントを暗号化してカプセル化ファイルを作成する暗号化サーバと、クライアントマシンからの依頼に応じて暗号化サーバに電子ドキュメントからのカプセル化ファイルの作成を指令するファイル管理サーバとが相互に接続されて構成されるアクセス権管理システムにあって、クライアントマシンに、カプセル化ファイル内の電子ドキュメントを更新する際にカプセル化ファイル内から取得したカプセルＩＤに対応する文書版番号をファイル管理サーバに照会する手順、およびカプセル化ファイル内から取得した文書版番号とファイル管理サーバから返信された文書版番号とを比較してこの両者が異なっていれば警告を発信する手順を実行させることを特徴とする。

上述したように本発明は、カプセル化ファイル内およびファイル管理サーバに文書版番号を記憶してクライアントマシンからこれを照会可能なように構成したので、クライアントマシンがこの文書版番号を比較してこのカプセル化ファイルが最新のものであるか否かを判断することが可能となり、これによって、編集しようとしている電子ドキュメントが最新のバージョンであるか否かを確認することが可能であるという、優れた特徴を持つアクセス権管理システム、ファイル管理サーバ、クライアントマシン、アクセス権管理方法およびプログラムを提供することができる。

図２に示したクライアントマシンおよびファイル管理サーバで動作するソフトウェアの構成を示す説明図である。 本発明の実施形態に係るアクセス権管理システムのネットワーク構成を示す説明図である。 図１に示したクライアントマシンにユーザが入力する依頼者ＩＤおよびアクセス権限リストについて示す説明図である。図３（ａ）は依頼者ＩＤを示し、図３（ｂ）はアクセス権限リストを示す。 図１で示したファイル管理データの文書版管理表およびアクセス権限リスト表のデータ構成を示す説明図である。図４（ａ）は文書版管理表を示し、図４（ｂ）はアクセス権限リスト表を示す。 図１で示した操作ログデータ内の操作ログ表のデータ構成を示す説明図である。 図１〜２で示した暗号化サーバによって作成されたカプセル化ファイルの内部構成を示す説明図である。 図１〜２で示したで示したクライアントマシンでカプセル化ファイルを編集する際のソフトウェアの動作をより詳しく示す説明図である。 図１〜２で示したアクセス権管理システムで、クライアントマシンが未カプセル化ドキュメントのカプセル化をファイル管理サーバに依頼する際の動作を示すフローチャートである。 図１〜２で示したアクセス権管理システムで、クライアントマシンがカプセル化ファイルの権限変更をファイル管理サーバに依頼する際の動作を示すフローチャートである。 図１〜２で示したアクセス権管理システムで、クライアントマシンがカプセル化ファイルを編集する際の動作を示すフローチャートである。 図１０の続きである。 図１〜２で示したアクセス権管理システムで、クライアントマシンが未カプセル化ドキュメントのカプセル化をファイル管理サーバに依頼する際のより具体的な動作例を示すフローチャートである。 図１２のステップＳ３０１で送信されるアクセス権限リストの内容について示す表である。 図１２のステップＳ３０９で保存される文書版管理表について示す表である。 図１２のステップＳ３１０で保存されるアクセス権限リスト表について示す表である。 図１６は、図１２のステップＳ３１１で保存される操作ログ表について示す表である。 図１２に示した処理によって作成されたカプセル化ファイルを示す説明図である。 図１〜２で示したアクセス権管理システムで、クライアントマシンがカプセル化ファイルの権限変更をファイル管理サーバに依頼する際のより具体的な動作例を示すフローチャートである。 図１８のステップＳ４０１で送信されるアクセス権限リストの内容について示す表である。 図１８のステップＳ４１０で保存される文書版管理表の内容について示す表である。 図１８のステップＳ４１１で保存されるアクセス権限リスト表について示す表である。 図２２は、図１８のステップＳ４１２で保存される操作ログ表について示す表である。 図１８に示した処理によって更新されたカプセル化ファイルを示す説明図である。 図１〜２で示したアクセス権管理システムで、クライアントマシンがカプセル化ファイルを編集する際のより具体的な動作例を示すフローチャートである。 図２４の続きである。 図２４〜２５のステップＳ５３２で保存された操作ログ表について示す表である。 ＤＲＭを利用してアクセス権の管理を行う一般的なアクセス権管理システムについて示す説明図である。 図２７に示したアクセス権管理システムで作成されたカプセル化ファイルについて示す説明図である。図２８（ａ）はカプセル化ファイルの構成を示し、図２８（ｂ）はそこに含まれるアクセス権限リストについて示す。

（第１の実施形態）
以下、本発明の第１の実施形態の構成について添付図１に基づいて説明する。
最初に、本実施形態の基本的な内容について説明し、その後でより具体的な内容について説明する。
本実施形態に係るアクセス権管理システム１は、電子ドキュメントを暗号化してカプセル化ファイルを作成および編集するアクセス権管理システムである。このシステムは、電子ドキュメント１２１を編集するクライアントマシン１１と、電子ドキュメントを暗号化してカプセル化ファイルを作成する暗号化サーバ４０と、クライアントマシンからの依頼に応じて暗号化サーバに電子ドキュメントからカプセル化ファイル１２２を作成させるファイル管理サーバ２０とが相互に接続されて構成される。カプセル化ファイルが、ファイル管理サーバに付与されたカプセルＩＤ１２２ａおよび文書版番号１２２ｂを含み、ファイル管理サーバ２０が、カプセル化ファイルに対して一意に識別しうるカプセルＩＤを付与するカプセルＩＤ発行部２１３と、カプセル化ファイル内の電子ドキュメントが更新されるたびにカプセル化ファイル内の文書版番号を更新する文書版番号発行部２１４と、カプセルＩＤと文書版番号とを対応づけてファイル管理データ２２１として記憶する記憶手段１２２と、文書版番号が更新されるとファイル管理データを更新する情報管理部２１５と、ファイル管理データをカプセルＩＤで検索してこのカプセルＩＤに対応する文書版番号２３１ａを検索してこれをクライアントマシンに返信するログ検索部２１７とを有する。その一方でクライアントマシン１１は、カプセル化ファイル内の電子ドキュメントを編集する際にカプセル化ファイルに保存されたカプセルＩＤに対応する文書版番号をファイル管理サーバに照会するイベント操作記録部１１２と、カプセル化ファイルに保存された文書版番号１２２ｂとファイル管理サーバから返信された文書版番号２３１ａとを比較してこの両者が異なっていれば警告を発信する文書版番号照合部１１３とを有する。

ここでファイル管理サーバ２０が、電子ドキュメントを利用可能なユーザのユーザＩＤとユーザＩＤに対応する電子ドキュメントの利用権限とを記憶する利用者管理サーバ３０に相互に接続され、カプセル化ファイル１２２が、ユーザＩＤ１３２ａとこれに対応する電子ドキュメントの利用権限とを記憶するアクセス権限リスト１３２を記憶すると共に、
ファイル管理サーバが、クライアントマシンから電子ドキュメントのカプセル化を依頼された際にユーザＩＤ（依頼者ＩＤ１３１）に対応するユーザが電子ドキュメントをカプセル化する権限を有するか否かを利用者管理サーバ３０に照会する解析部２１１を有する。

またファイル管理サーバ２０が、クライアントマシン１１からカプセル化ファイル内のアクセス権限リスト１３２の内容変更を依頼された際に、カプセル化ファイルに保存された文書版番号１２２ｂとファイル管理サーバから返信された文書版番号２３１ａとを比較してこの両者が異なっていればアクセス権限リストの内容変更を許可しない制御部２１２を有する。

そしてファイル管理サーバ２０が、クライアントマシン１１から受信したカプセル化ファイル１２２内に対する操作内容を操作ログデータとして記録するログ記録部２１６を有する。

以上の構成を備えることにより、このアクセス権管理システム１は、編集しようとしている電子ドキュメントファイルが最新のバージョンであるか否かを確認することが可能となる。
以下、これをより詳細に説明する。

図２は、本発明の実施形態に係るアクセス権管理システム１のネットワーク構成を示す説明図である。アクセス権管理システム１は、各々のユーザが操作する複数台のクライアントマシン１１、１２、…１ｎと、ファイル管理サーバ２０と、利用者管理サーバ３０と、暗号化サーバ４０とが、ネットワーク５０によって相互に接続されて構成されている。

複数台のクライアントマシン１１、１２、…１ｎは全て同一の構成を有するので、ここではその中の１台であるクライアントマシン１１についてのみ説明する。また、利用者管理サーバ３０および暗号化サーバ４０は各々一般的な利用者管理装置およびＤＲＭ装置であるので、それらの内部の構成はどのようなものでもよい。

クライアントマシン１１は、ワープロ、表計算などの電子ドキュメントファイルを作成および編集すると共に、ファイル管理サーバ２０にカプセル化されていないその電子ドキュメントファイルを送信し、ファイル管理サーバ２０はその電子ドキュメントファイルを暗号化サーバ４０にカプセル化させ、クライアントマシン１１に返信する。またそのカプセル化の際に、クライアントマシン１１でその電子ドキュメントファイルを作成および編集したユーザについて、利用者管理サーバ３０に照会する。

クライアントマシン１１は、コンピュータプログラムを実行する主体となるＣＰＵ（Central Processing Unit）１０１と、プログラムおよびデータを記憶する記憶手段１０２と、ネットワーク５０を介してファイル管理サーバ２０とデータ通信を行う通信手段１０３と、ユーザに対して情報を提示し、またユーザからの情報入力を受け付ける入出力手段１０４とを備える。

ファイル管理サーバ２０は、コンピュータプログラムを実行する主体となるＣＰＵ（Central Processing Unit）２０１と、プログラムおよびデータを記憶する記憶手段２０２と、ネットワーク５０を介してクライアントマシン１１とデータ通信を行う通信手段２０３とを備える。

図１は、図２に示したクライアントマシン１１およびファイル管理サーバ２０で動作するソフトウェアの構成を示す説明図である。クライアントマシン１１のＣＰＵ１０１では、後述するイベント発信部１１１、イベント操作記録部１１２、文書版番号照合部１１３、および電子ドキュメントファイルの作成および編集を行うオフィスアプリケーション１１４とが、各々コンピュータプログラムとして動作する。また記憶手段１０２には、オフィスアプリケーション１１４によって作成および編集される未カプセル化ドキュメント１２１、およびカプセル化ファイル１２２が記憶されている。

ファイル管理サーバ２０のＣＰＵ２０１では、後述する解析部２１１、制御部２１２、カプセルＩＤ発行部２１３、文書版番号発行部２１４、情報管理部２１５、ログ記録部２１６およびログ検索部２１７が、各々コンピュータプログラムとして動作する。また記憶手段２０２には、後述するファイル管理データ２２１、および操作ログデータ２２２が記憶されている。

図３は、図１に示したクライアントマシン１１にユーザが入力する依頼者ＩＤ１３１およびアクセス権限リスト１３２について示す説明図である。クライアントマシン１１を操作するユーザは、入出力手段１０４から依頼者ＩＤ１３１とアクセス権限リスト１３２とを入力して、オフィスアプリケーション１１４によって未カプセル化ドキュメント１２１を作成および編集する。

依頼者ＩＤ１３１は、システム内での一意性を保つため、電子メールアドレスと同じく記号「＠」の左側がユーザＩＤ１３１ａ、右側がドメイン１３１ｂであるという形式である。アクセス権限リスト１３２は、利用者ＩＤ１３２ａとその各々に対応するアクセス権限を示す権限種類１３２ｂとで形成されるリストである。

利用者ＩＤ１３２ａは依頼者ＩＤ１３１と同形式だが、依頼者ＩＤ１３１が現在クライアントマシン１１を操作しているユーザを示しているのに対し、利用者ＩＤ１３２ａはアクセス権管理システム１を利用可能なユーザ全員を示している。各々の利用者ＩＤ１３２ａに対応する権限種類１３２ｂは「フルアクセス」「編集可能」「印刷可能」「複写可能」「参照可能」のうちのいずれかである。

ユーザは、依頼者ＩＤ１３１、アクセス権限リスト１３２、および未カプセル化ドキュメント１２１を入出力手段１０４からクライアントマシン１１に入力して、カプセル化の依頼指示と一緒に、ファイル管理サーバ２０に送信する。

ファイル管理サーバ２０では、通信手段２０３がこれらを受信して、解析部２１１に渡す。解析部２１１は、入出力手段１０４から受け取った依頼者ＩＤ１３１が有効なＩＤであるか否かを利用者管理サーバ３０に照会し、有効であればこれらの情報を制御部２１２に渡す。

制御部２１２は、クライアントマシン１１からの依頼指示の内容が「カプセル化」であり、受信したファイルが未カプセル化ドキュメント１２１であることから、カプセルＩＤ発行部２１３にカプセルＩＤの発行を指示し、文書版番号発行部２１４に文書版番号の発行を指示し、情報管理部２１５にファイル管理データ２２１内の文書版管理表２３１とアクセス権限リスト表２３２に記録を依頼し、ログ記録部２１６に操作ログデータ２２２内の操作ログ表２３３に操作の記録を依頼し、暗号化サーバ４０に未カプセル化ドキュメント１２１のカプセル化を依頼し、アクセス権限リストを含めたカプセル化ファイル１２２を受け取る。

そして制御部２１２は、暗号化サーバ４０から受け取ったカプセル化ファイル１２２に、カプセルＩＤ発行部２１３が発行したカプセルＩＤ１２２ａと文書版番号発行部２１４が発行した文書版番号１２２ｂとを記録して保存する。

カプセルＩＤ発行部２１３はカプセルＩＤ１２２ａを、文書版番号発行部２１４は文書版番号１２２ｂを制御部２１２からの指示によって各々発行する。情報管理部２１５は、発行されたそれらのカプセルＩＤ１２２ａおよび文書版番号１２２ｂを、制御部２１２から渡された依頼者ＩＤ１３１とアクセス権限リスト１３２の内容と共に、ファイル管理データ２２１内の文書版管理表２３１とアクセス権限リスト表２３２に記録する。

ログ記録部２１６は、発行されたカプセルＩＤ１２２ａと制御部２１２から渡された依頼者ＩＤ１３１とアクセス権限リスト１３２の内容と依頼日時とを操作ログデータ２２２内の操作ログ表２３３に新規レコードをアクセス権限リスト１３２の件数分生成して記録する。

そして制御部２１２は、暗号化サーバ４０から受け取ったカプセル化ファイル１２２をクライアントマシン１１に返却する。

ログ検索部２１７は、操作ログデータ２２２内の操作ログ表２３３に蓄積された操作ログの中から、カプセルＩＤとカプセル化ファイル１２２の名前と日時を指定することによって特定の情報を検索することができる。

図４は、図１で示したファイル管理データ２２１内の文書版管理表２３１およびアクセス権限リスト表２３２のデータ構成を示す説明図である。図４（ａ）は文書版管理表２３１を示し、図４（ｂ）はアクセス権限リスト表２３２を示す。図５は、図１で示した操作ログデータ２２２内の操作ログ表２３３のデータ構成を示す説明図である。文書版管理表２３１は、カプセルＩＤ１２２ａの各々に対して依頼者ＩＤ１３１、および文書版番号２３１ａを各１件のみ保存するテーブルである。

アクセス権限リスト表２３２は、カプセルＩＤ１２２ａ、利用者ＩＤ１３２ａ、および権限種類１３２ｂを、アクセス権限リスト１３２に定義された件数だけ保存するテーブルである。

そして操作ログ表２３３は、作成された各カプセル化ファイル１２２のカプセルＩＤ１２２ａと、そのカプセル化ファイル１２２の作成日時２３３ａとファイル名２３３ｂ、依頼者ＩＤ１３１と利用者ＩＤ２３２ａ、そして権限種類１３２ｂと、後述の操作イベント２３３ｃとをアクセス権限リスト１３２に定義された件数だけ保存する。操作イベント２３３ｃの初期値は空データ（ｎｕｌｌ値）である。

図６は、図１〜２で示した暗号化サーバ４０によって作成されたカプセル化ファイル１２２の内部構成を示す説明図である。カプセル化ファイル１２２には、未カプセル化ドキュメント１２１と、カプセルＩＤ１２２ａと文書版番号１２２ｂとが保存されると共に、図３に示したアクセス権限リスト１３２がそのまま含まれ、これらがまとめて圧縮および暗号化されて保存される。

また、カプセルＩＤ１２２ａは一意になるように発行される。文書版番号１２２ｂは、任意のルールに基づいて作成および更新できるが、ここでは「ａ．ｂ．ｃ」（ａは１以上の整数、ｂ，ｃは共に０〜９の整数）として、カプセル化ファイル１２２の文書が更新されるたびにｃを１ずつ増加させ、ｃ＝９の状態から更新する場合にはｂを１つ増加させてｃ＝０とし、ｂ＝ｃ＝９の状態から更新する場合にはａを１つ増加させてｂ＝ｃ＝０とするというルールで運用するものとする。

図７は、図１〜２で示したクライアントマシン１１でカプセル化ファイル１２２を編集する際のソフトウェアの動作をより詳しく示す説明図である。イベント発信部１１１は、イベント受信機能１５１とＴＣＰ通信機能１５２とから構成されている。イベント操作記録部１１２は、情報取得機能１６１とイベント処理機能１６２とＴＣＰ通信機能１６３とログ通信機能１６４とから構成されている。

オフィスアプリケーション１１４は、カプセル化ファイル１２２を読み込み、暗号化サーバ４０に認証のための処理を依頼すると共に、入力した利用者ＩＤとパスワードの組みを利用者管理サーバ３０に問い合わせて、成功ならばカプセル化ファイル１２２を開いて編集することができる。

イベント受信機能１５１は、オフィスアプリケーション１１４のカプセル化ファイル１２２への操作を操作イベント２３３ｃ＝「開く」の動作として受け取り、カプセルＩＤ１２２ａ、カプセル化ファイル１２２のファイル名、および操作イベントの情報をＴＣＰ通信機能１５２に渡す。ＴＣＰ通信機能１５２は、イベント受信機能１５１から受け取ったこれらの情報をＴＣＰ通信機能１６３に送信する。

情報取得機能１６１は、クライアントマシン１１が起動される時に入力されたログインＩＤを端末利用者ＩＤとして取得すると共に、クライアントマシン１１のコンピュータ名、ドメイン名、およびＩＰアドレスを端末ネットワーク情報として取得する。ＴＣＰ通信機能１６３は、カプセルＩＤ１２２ａ、カプセル化ファイル１２２のファイル名２３３ｂ、および操作イベント情報２３３ｃ＝「開く」をイベント発信部１１１から受け取る。

イベント処理機能１６２は、これらの各々のデータを、ログ通信機能１６４を介してファイル管理サーバ２０に送信する。ファイル管理サーバ２０では、通信手段２０３がこれらを受信して情報管理部２１５およびログ記録部２１６に渡し、ファイル管理データ２２１および操作ログデータ２２２に記録させる。

情報管理部２１５およびログ記録部２１６は、端末利用者ＩＤ、端末ネットワーク情報（クライアントマシン１１の「コンピュータ名」、「ドメイン名」、「ＩＰアドレス」）、カプセルＩＤ１２２ａ、カプセル化ファイル１２２のファイル名２３３ｂ、および操作イベント情報２３３ｃ、以上の情報をファイル管理データ２２１および操作ログデータ２２２に記録する。その際、操作ログ表２３３には、「端末利用者ＩＤ」と「ドメイン名」を「＠」でつなぎ合わせたデータを依頼者ＩＤ１３１として記録する。それ以外は各データを図５に示した通りの項目に新規レコードとして記録する。

（動作の説明）
図８は、図１〜２で示したアクセス権管理システム１で、クライアントマシン１１が未カプセル化ドキュメント１２１のカプセル化をファイル管理サーバ２０に依頼する際の動作を示すフローチャートである。まずユーザがクライアントマシン１１を操作して、未カプセル化ドキュメント１２１をカプセル化する依頼を入力する。この依頼は、未カプセル化ドキュメント１２１に、各ユーザが入力した依頼者ＩＤ１３１およびアクセス権限リスト１３２を引数として、クライアントマシン１１からファイル管理サーバ２０に送信される（ステップＳ３０１）。

この依頼を受けたファイル管理サーバ２０の通信手段２０３は、これを解析部２１１に渡して処理を引き継ぐ（ステップＳ３０２）。解析部２１１はまず、受信データの引数を解析し、依頼者ＩＤ１３１とアクセス権限リスト１３２に設定された利用者ＩＤ１３２ａが「カプセル化ファイルの作成が可能なユーザ」の有効なＩＤであるか否かを利用者管理サーバ３０に照会する（ステップＳ３０３）。この利用者ＩＤ２３２ａが無効であればそこで処理を終了し、有効であれば制御部２１２に処理を移して継続する（ステップＳ３０４）。照会の対象となるユーザが複数名である場合、その中に一人でも無効なユーザがいる場合はそこで処理を終了する。

制御部２１２は、クライアントマシン１１からの依頼内容が「カプセル化」であるか否かについて判断し（ステップＳ３０５）、「カプセル化」の依頼であればさらに受信したファイルが未カプセル化ドキュメント１２１であるか否かについて判断する（ステップＳ３０６）。依頼内容が「カプセル化」でかつファイルが「未カプセル化ドキュメント１２１」であれば処理を継続し、それ以外の場合は処理を終了する。

処理を継続する場合に、制御部２１２はまずカプセルＩＤ発行部２１３に新規のカプセルＩＤ１２２ａを発行させ（ステップＳ３０７）、続いて文書版番号発行部２１４に新規の文書版番号２３１ａを発行させる（ステップＳ３０８）。そして情報管理部２１５に、発行されたカプセルＩＤ１２２ａ、文書版番号２３１ａ、および依頼者ＩＤ１３１を渡し、これらをファイル管理データ２２１の文書版管理表２３１に新規レコードとして記録し保存させる（ステップＳ３０９）。

さらに制御部２１２は、受信したアクセス権限リスト１３２の件数分、アクセス権限リスト表２３２に発行されたカプセルＩＤ１２２ａを付加した新規レコードを作成して記録するよう情報管理部２１５に指示する（ステップＳ３１０）。そして制御部２１２は、次に受信したアクセス権限リスト１３２の利用者ＩＤ２３２ａ、権限種類１３２ｂ、発行されたカプセルＩＤ１２２ａ、依頼者ＩＤ１３１に、その依頼を受け取った日時２３３ａを、受信したアクセス権限リスト１３２の件数分、操作ログデータ２２２の操作ログ表２３３に追加するようログ記録部２１６に指示する（ステップＳ３１１）。その際、操作イベント２３３ｃは空データ（ｎｕｌｌ値）となる。

次に制御部２１２は、受信した未カプセル化ドキュメント１２１とアクセス権限リスト１３２を暗号化サーバ４０に渡し、暗号化されたカプセル化ファイル１２２を受け取る（ステップＳ３１２）。そして制御部２１２は、カプセル化ファイル１２２に、発行されたカプセルＩＤ１２２ａと文書版番号１２２ｂを保存する（ステップＳ３１３）。最後に、ここまでで作成完了したカプセル化ファイル１２２をクライアントマシン１１に返却する（ステップＳ３１４）。

以上の動作により、ファイル管理サーバ２０は電子ドキュメントに対する利用者個々人のアクセス権限を設定して暗号化を行って、不要な人間に対しては情報を開示せずにカプセル化処理を行ってその処理の課程の履歴を操作ログ表２３３として残し、かつカプセル化ファイル１２２に対して適切な版番号を設定することができる。

図９は、図１〜２で示したアクセス権管理システム１で、クライアントマシン１１がカプセル化ファイル１２２の権限変更をファイル管理サーバ２０に依頼する際の動作を示すフローチャートである。まずユーザがクライアントマシン１１を操作して、カプセル化ファイル１２２の権限変更する依頼を入力する。この依頼は、カプセル化ファイル１２２に、各ユーザが入力した依頼者ＩＤ１３１およびアクセス権限リスト１３２を引数として、クライアントマシン１１からファイル管理サーバ２０に送信される（ステップＳ４０１）。

この依頼を受けたファイル管理サーバ２０の通信手段２０３は、これを解析部２１１に渡して処理を引き継ぐ（ステップＳ４０２）。解析部２１１はまず、受信データの引数を解析し、依頼者ＩＤ１３１とアクセス権限リスト１３２に設定された利用者ＩＤ２３２ａが有効なＩＤであるか否かを利用者管理サーバ３０に照会する（ステップＳ４０３）。この利用者ＩＤ２３２ａが無効であればそこで処理を終了し、有効であれば制御部２１２に処理を移して継続する（ステップＳ４０４）。

制御部２１２は、クライアントマシン１１からの依頼内容が「権限変更」であるか否かについて判断し（ステップＳ４０５）、「権限変更」の依頼であればさらに受信したファイルがカプセル化ファイル１２２であるか否かについて判断する（ステップＳ４０６）。依頼内容が「権限変更」でかつファイルが「カプセル化ファイル１２２」であれば処理を継続し、それ以外の場合は処理を終了する。

制御部２１２はさらに、依頼者ＩＤ１３１に該当する権限種類１３２ｂが、カプセル化ファイル１２２の権限変更が可能な「フルアクセス」もしくは「編集可能」であるか否かについて判断する（ステップＳ４０７）。権限変更が可能な権限種類１３２ｂであれば、制御部２１２は引き続いてカプセル化ファイル１２２の文書版番号１２２ｂと、ファイル管理データ２２１内の文書版管理表２３１に記録された文書版番号２３１ａとが一致するか否かを判断する（ステップＳ４０８）。権限変更が可能な権限種類１３２ｂで、かつ文書版番号１２２ｂ（２３１ａ）が一致する場合に処理を継続し、それ以外の場合は処理を終了する。

処理を継続する場合に、制御部２１２はまず文書版番号発行部２１４に文書版番号２３１ａを更新させ（ステップＳ４０９）、受信したカプセルＩＤ１２２ａおよび依頼者ＩＤ１３１に更新された文書版番号２３１ａを組み合わせて情報管理部２１５に渡してファイル管理データ２２１の文書版管理表２３１に新規レコードとして記録し保存させる（ステップＳ４１０）。

さらに制御部２１２は、受信したアクセス権限リスト１３２の件数分、アクセス権限リスト表２３２に発行されたカプセルＩＤ１２２ａを付加した新規レコードを作成して記録するよう情報管理部２１５に指示する（ステップＳ４１１）。そして制御部２１２は、次に受信したアクセス権限リスト１３２の利用者ＩＤ２３２ａ、権限種類１３２ｂ、発行されたカプセルＩＤ１２２ａ、依頼者ＩＤ１３１に、その依頼を受け取った日時（作成日時２３３ａ）を、受信したアクセス権限リスト１３２の件数分、操作ログデータ２２２の操作ログ表２３３に追加するようログ記録部２１６に指示する（ステップＳ４１２）。その際、操作イベント２３３ｃは空データ（ｎｕｌｌ値）となる。

次に制御部２１２は、受信したカプセル化ファイル１２２とアクセス権限リスト１３２を暗号化サーバ４０に渡して再カプセル化させ、再作成されたカプセル化ファイル１２２を受け取る（ステップＳ４１３）。そして制御部２１２は、再作成されたカプセル化ファイル１２２に、元のカプセルＩＤ１２２ａそのままと更新された文書版番号１２２ｂとを保存する（ステップＳ４１４）。最後に、ここまでで再作成が完了したカプセル化ファイル１２２をクライアントマシン１１に返却する（ステップＳ４１５）。

以上の動作により、ファイル管理サーバ２０はカプセル化ファイルに対するアクセス権限変更を行う際に、カプセル化ファイルに格納した版番号と全体で管理している最新の版番号との比較を行って、常に最新状態での版番号管理と設定している権限情報の管理を行うことができる。

図１０〜１１は、図１〜２で示したアクセス権管理システム１で、クライアントマシン１１がカプセル化ファイル１２２を編集する際の動作を示すフローチャートである。まず、クライアントマシン１１でイベント操作記録部１１２が起動する（ステップＳ５０１）。そしてイベント操作記録部１１２の情報取得機能１６１が端末利用者ＩＤと端末ネットワーク情報とを取得し（ステップＳ５０２）、ＴＣＰ通信機能１６３がイベント受信機能１５１からの接続を待機する状態となる（ステップＳ５０３）。

このステップＳ５０１〜５０３の処理と並行して、オフィスアプリケーション１１４がカプセル化ファイル１２２を編集操作として開く操作を行う（ステップＳ５１１）。イベント受信機能１５１が、操作イベント「開く」を受けて（ステップＳ５１２）、カプセル化ファイル１２２からカプセルＩＤ１２２ａの値を取得し（ステップＳ５１３）、カプセル化ファイル１２２のファイル名とカプセルＩＤ１２２ａと操作イベント２３３ｃ＝「開く」とをＴＣＰ通信機能１６３に送信する（ステップＳ５１４）。

ＴＣＰ通信機能１６３は受信したこれらのデータをイベント処理機能１６２に渡し（ステップＳ５２１）、イベント処理機能１６２は操作イベント２３３ｃの値に応じて操作イベントでの処理の振り分けを行う（ステップＳ５２２）。

ここでは操作イベント２３３ｃ＝「開く」であるので、これを操作ログ表２３３に記録するよう、ログ通信機能１６４にカプセル化ファイル１２２のファイル名２３３ｂとカプセルＩＤ１２２ａと操作イベント２３３ｃ＝「開く」の各データをファイル管理サーバ２０に送信させる（ステップＳ５２３）。

ファイル管理サーバ２０のログ記録部２１６は、クライアントマシン１１から受信した（ステップＳ５３１）カプセル化ファイル１２２のファイル名２３３ｂ、カプセルＩＤ１２２ａ、操作イベント２３３ｃ＝「開く」、端末利用者ＩＤ、端末ネットワーク情報を操作ログ表２３３に新規レコードとして記録する（ステップＳ５３２）。その際、端末利用者ＩＤとドメイン名とを「＠」の前後で組み合わせて依頼者ＩＤ１３１とする。

そしてログ検索部２１７が、文書版管理表２３１からカプセル化ファイル１２２のカプセルＩＤ１２２ａに該当する依頼者ＩＤ１３１と文書版番号２３１ａを検索し（ステップＳ５３３）、この依頼者ＩＤ１３１と文書版番号２３１ａとをクライアントマシン１１に返す（ステップＳ５３４）。

ログ通信機能１６４は、ファイル管理サーバ２０から返信された依頼者ＩＤ１３１と文書版番号２３１ａとを、ＴＣＰ通信機能１６３を介してイベント受信機能１５１のＴＣＰ通信機能１５２に返信する（ステップＳ５２４）。

ＴＣＰ通信機能１５２は受信した依頼者ＩＤ１３１と文書版番号２３１ａの組を、さらにイベント受信機能１５１に渡し（ステップＳ５２５）、イベント受信機能１５１は文書版番号照合部１１３にカプセル化ファイル１２２の文書版番号１２２ｂと返却されてきた文書版番号２３１ａとを照合させ（ステップＳ５２６）、この両者が異なっていれば最新版ではない旨の警告と共に返却された依頼者ＩＤ１３１を表示して（ステップＳ５２７）カプセル化ファイル１２２の内容の編集に入る（ステップＳ５２８）。文書版番号１２２ｂが同じであれば、そのままカプセル化ファイル１２２の内容の編集に入る（ステップＳ５２８）。

以上の動作により、ファイル管理サーバ２０はカプセル化ファイル１２２の編集操作履歴を操作ログ表２３３に保存し、さらにカプセル化ファイル１２２が最新の版番号であるか否かを確認することできる。

図１０〜１１に示した例で、ステップＳ５２７で「最新版ではない旨の警告」を表示する際に、たとえば操作ログ表２３３に記録された依頼者ＩＤ１３１を同時にメッセージとして表示するようにしてもよい。この依頼者ＩＤ１３１の人物が、そのカプセル化ファイル１２２の文書の最新版の作成もしくは編集を行った人物であるので、該ファイルの最新版についてはその人物に照会すればよいからである。

あるいは、ステップＳ５２７で「最新版ではない旨の警告」を表示すると同時に、そのまま当該カプセル化ファイル１２２の内容の編集を禁止するようにしてもよい。

（より詳細な動作例）
図１２は、図１〜２で示したアクセス権管理システム１で、クライアントマシン１１が未カプセル化ドキュメント１２１のカプセル化をファイル管理サーバ２０に依頼する際のより具体的な動作例を示すフローチャートである。まずユーザがクライアントマシン１１を操作して、未カプセル化ドキュメント１２１をカプセル化する依頼を入力する。

この依頼は、未カプセル化ドキュメント１２１（ファイル名「capsl_a.doc」）に、各ユーザが入力した依頼者ＩＤ１３１＝「owner@aaa.co.jp」およびアクセス権限リスト１３２を引数として、クライアントマシン１１からファイル管理サーバ２０に送信される（ステップＳ３０１）。この図１２は、図８で示した処理について例を挙げて示すものであるので、各ステップには図８と同一のステップ番号を付している。

図１３は、図１２のステップＳ３０１で送信されるアクセス権限リスト１３２の内容について示す表である。アクセス権限リスト１３２には利用者ＩＤ１３２ａ＝「owner@aaa.co.jp」とこれに対応する権限種類１３２ｂ＝「編集可能」、利用者ＩＤ１３２ａ＝「aja@aaa.co.jp」とこれに対応する権限種類１３２ｂ＝「編集可能」が登録されている。

この依頼を受けたファイル管理サーバ２０の通信手段２０３は、これを解析部２１１に渡して処理を引き継ぐ（ステップＳ３０２）。解析部２１１はまず、受信データの引数にある依頼者ＩＤ１３１＝「owner@aaa.co.jp」から「＠」の左側の「owner」を抽出し、さらにアクセス権限リスト１３２にある利用者ＩＤ１３２ａから「＠」の左側の「owner」と「aja」とを抽出し、これらが全て「カプセル化ファイルの作成が可能なユーザ」の有効なＩＤであるか否かを利用者管理サーバ３０に照会する（ステップＳ３０３）。

１つでも無効なＩＤがあれば、ここで利用者管理サーバ３０からエラーが戻ってくるが、ここでは全て有効なユーザのＩＤであるので、処理が制御部２１２に移って継続される（ステップＳ３０４）。制御部２１２は、クライアントマシン１１からの依頼内容が「カプセル化」であるか否かについて判断し（ステップＳ３０５）、「カプセル化」の依頼であればさらに受信したファイルが未カプセル化ドキュメント１２１であるか否かについて判断する（ステップＳ３０６）。ここでは依頼内容が「カプセル化」でかつファイルが「未カプセル化ドキュメント１２１」であるので、処理は継続される。

制御部２１２はまずカプセルＩＤ発行部２１３に新規のカプセルＩＤ１２２ａ＝「0123456789ABCDEF」を発行させ（ステップＳ３０７）、続いて文書版番号発行部２１４に新規の文書版番号２３１ａ＝「１．０．１」を発行させる（ステップＳ３０８）。

そして情報管理部２１５に、発行されたカプセルＩＤ１２２ａ＝「0123456789ABCDEF」、文書版番号２３１ａ＝「１．０．１」、および依頼者ＩＤ１３１＝「owner@aaa.co.jp」を渡し、これらをファイル管理データ２２１の文書版管理表２３１に新規レコードとして記録し保存させる（ステップＳ３０９）。図１４は、図１２のステップＳ３０９で保存される文書版管理表２３１について示す表である。

さらに制御部２１２は、受信したアクセス権限リスト１３２の件数分、アクセス権限リスト表２３２に発行されたカプセルＩＤ１２２ａ＝「0123456789ABCDEF」を付加した新規レコードを作成して記録するよう情報管理部２１５に指示する（ステップＳ３１０）。図１５は、図１２のステップＳ３１０で保存されるアクセス権限リスト表２３２について示す表である。

そして制御部２１２は次に、受信したアクセス権限リスト１３２の利用者ＩＤ２３２ａ、権限種類１３２ｂ、発行されたカプセルＩＤ１２２ａ＝「0123456789ABCDEF」、依頼者ＩＤ１３１＝「owner@aaa.co.jp」に、その依頼を受け取った日時２３３ａ＝「2010/1/4 10:00:01」、ファイル名２３３ｂ＝「capsl_a.doc」を、受信したアクセス権限リスト１３２の件数＝「２件」分、操作ログデータ２２２の操作ログ表２３３に追加するようログ記録部２１６に指示する（ステップＳ３１１）。その際、操作イベント２３３ｃは空データ（ｎｕｌｌ値）となる。図１６は、図１２のステップＳ３１１で保存される操作ログ表２３３について示す表である。

次に制御部２１２は、受信した未カプセル化ドキュメント１２１とアクセス権限リスト１３２を暗号化サーバ４０に渡し、暗号化されたカプセル化ファイル１２「capsl_a.doc」２を受け取る（ステップＳ３１２）。そして制御部２１２は、カプセル化ファイル１２２「capsl_a.doc」に、発行されたカプセルＩＤ１２２ａ＝「0123456789ABCDEF」と文書版番号１２２ｂ＝「１．０．１」を保存する（ステップＳ３１３）。最後に、ここまでで作成完了したカプセル化ファイル１２２「capsl_a.doc」をクライアントマシン１１に返却する（ステップＳ３１４）。図１７は、図１２に示した処理によって作成されたカプセル化ファイル１２２「capsl_a.doc」を示す説明図である。

図１８は、図１〜２で示したアクセス権管理システム１で、クライアントマシン１１がカプセル化ファイル１２２の権限変更をファイル管理サーバ２０に依頼する際のより具体的な動作例を示すフローチャートである。ここでは、図１２に示した処理によって作成されたカプセル化ファイル１２２（ファイル名「capsl_a.doc」）に対して、依頼者ＩＤ１３１＝「owner@aaa.co.jp」のユーザが、新たな利用者ＩＤ１３２ａ＝「rio@aaa.co.jp」のユーザを追加しようとしているものとする。

カプセル化ファイル１２２「capsl_a.doc」（ファイル名「capsl_a.doc」）に、ユーザが入力した依頼者ＩＤ１３１＝「owner@aaa.co.jp」およびアクセス権限リスト１３２を引数として、権限変更依頼がクライアントマシン１１からファイル管理サーバ２０に送信される（ステップＳ４０１）。この図１８は、図９で示した処理について例を挙げて示すものであるので、各ステップには図９と同一のステップ番号を付している。

図１９は、図１８のステップＳ４０１で送信されるアクセス権限リスト１３２の内容について示す表である。アクセス権限リスト１３２には、図１３で示した例のものに加えて、利用者ＩＤ１３２ａ＝「rio@aaa.co.jp」とこれに対応する権限種類１３２ｂ＝「参照可能」というユーザが追加されている。

この依頼を受けたファイル管理サーバ２０の通信手段２０３は、これを解析部２１１に渡して処理を引き継ぐ（ステップＳ４０２）。解析部２１１はまず、受信データの引数にある依頼者ＩＤ１３１＝「owner@aaa.co.jp」から「＠」の左側の「owner」を抽出し、さらにアクセス権限リスト１３２にある利用者ＩＤ１３２ａから「＠」の左側の「owner」「aja」「rio」を抽出し、これらが全て「カプセル化ファイルの作成が可能なユーザ」の有効なＩＤであるか否かを利用者管理サーバ３０に照会する（ステップＳ４０３）。

１つでも無効なＩＤがあれば、ここで利用者管理サーバ３０からエラーが戻ってくるが、ここでは全て有効なユーザのＩＤであるので、処理が制御部２１２に移って継続される（ステップＳ４０４）。制御部２１２は、クライアントマシン１１からの依頼内容が「権限変更」であるか否かについて判断し（ステップＳ４０５）、「権限変更」の依頼であればさらに受信したファイルがカプセル化ファイル１２２であるか否かについて判断する（ステップＳ４０６）。ここでは依頼内容が「権限変更」でかつファイルが「カプセル化ファイル１２２」であるので、処理は継続される。

制御部２１２はさらに、依頼者ＩＤ１３１＝「owner@aaa.co.jp」に該当する権限種類１３２ｂが「フルアクセス」もしくは「編集可能」であるか否かについて判断する（ステップＳ４０７）。ここでは権限種類１３２ｂ＝「編集可能」であるので、処理は継続される。そして制御部２１２は図１７に示されたカプセル化ファイル１２２の文書版番号１２２ｂと、図１４に示されたファイル管理データ２２１内の文書版管理表２３１に記録された文書版番号２３１ａとが一致するか否かを判断する（ステップＳ４０８）。ここでは共に「１．０．１」であるので、さらに処理は継続される。

引き続いて制御部２１２は、文書版番号発行部２１４に文書版番号２３１ａ＝「１．０．１」を更新させて（ステップＳ４０９）、更新された文書版番号２３１ａは「１．０．２」となる。受信したカプセルＩＤ１２２ａ＝「0123456789ABCDEF」および依頼者ＩＤ１３１＝「owner@aaa.co.jp」に更新された文書版番号２３１ａ＝「１．０．２」を組み合わせて情報管理部２１５に渡してファイル管理データ２２１の文書版管理表２３１に新規レコードとして記録し保存させる（ステップＳ４１０）。図２０は、図１８のステップＳ４１０で保存される文書版管理表２３１の内容について示す表である。

さらに制御部２１２は、受信したアクセス権限リスト１３２の件数分、アクセス権限リスト表２３２に発行されたカプセルＩＤ１２２ａ＝「0123456789ABCDEF」を付加した新規レコードを作成して記録するよう情報管理部２１５に指示する（ステップＳ４１１）。図２１は、図１８のステップＳ４１１で保存されるアクセス権限リスト表２３２について示す表である。

そして制御部２１２は次に、受信したアクセス権限リスト１３２の利用者ＩＤ２３２ａ、権限種類１３２ｂ、発行されたカプセルＩＤ１２２ａ＝「0123456789ABCDEF」、依頼者ＩＤ１３１＝「owner@aaa.co.jp」に、その依頼を受け取った日時（作成日時２３３ａ）＝「2010/1/4 10:00:01」、ファイル名２３３ｂ＝「capsl_a.doc」を、受信したアクセス権限リスト１３２で変更された件数＝「１件」分、操作ログデータ２２２の操作ログ表２３３に追加するようログ記録部２１６に指示する（ステップＳ４１２）。その際、操作イベント２３３ｃは空データ（ｎｕｌｌ値）となる。図２２は、図１８のステップＳ４１２で保存される操作ログ表２３３について示す表である。

次に制御部２１２は、受信したカプセル化ファイル１２２とアクセス権限リスト１３２を暗号化サーバ４０に渡し、更新されたカプセル化ファイル１２２「capsl_a.doc」を受け取る（ステップＳ４１３）。そして制御部２１２は、カプセル化ファイル１２２「capsl_a.doc」に、カプセルＩＤ１２２ａについては変更せず、更新された文書版番号１２２ｂ＝「１．０．２」を保存する（ステップＳ４１４）。最後に、ここまでで更新したカプセル化ファイル１２２「capsl_a.doc」をクライアントマシン１１に返却する（ステップＳ４１５）。図２３は、図１８に示した処理によって更新されたカプセル化ファイル１２２「capsl_a.doc」を示す説明図である。

図２４〜２５は、図１〜２で示したアクセス権管理システム１で、クライアントマシン１１がカプセル化ファイル１２２を編集する際のより具体的な動作例を示すフローチャートである。ここでは、カプセル化ファイル１２２（ファイル名「capsl_a.doc」）を、図１８に示した処理によって追加された依頼者ＩＤ１３１＝「rio@aaa.co.jp」のユーザが開こうとしているものとする。この図２４〜２５は、図１０〜１１で示した処理について例を挙げて示すものであるので、各ステップには図１０〜１１と同一のステップ番号を付している。

まず、クライアントマシン１１でイベント操作記録部１１２が起動する（ステップＳ５０１）。そしてイベント操作記録部１１２の情報取得機能１６１が端末利用者ＩＤ「rio」と端末ネットワーク情報（コンピュータ名「client01」、ドメイン名「aaa.co.jp」、ＩＰアドレス「192.168.1.10」）とを取得し（ステップＳ５０２）、ＴＣＰ通信機能１６３がイベント受信機能１５１からの接続を待機する状態となる（ステップＳ５０３）。

このステップＳ５０１〜５０３の処理と並行して、オフィスアプリケーション１１４がカプセル化ファイル１２２を編集操作として開く操作を行う（ステップＳ５１１）。イベント受信機能１５１が、操作イベント「開く」を受けて（ステップＳ５１２）、カプセル化ファイル１２２（ファイル名「capsl_a.doc」）からカプセルＩＤ１２２ａ＝「0123456789ABCDEF」を取得し（ステップＳ５１３）、カプセル化ファイル１２２のファイル名「capsl_a.doc」とカプセルＩＤ１２２ａ＝「0123456789ABCDEF」と操作イベント２３３ｃ＝「開く」とをＴＣＰ通信機能１６３に送信する（ステップＳ５１４）。

ＴＣＰ通信機能１６３は受信したこれらのデータをイベント処理機能１６２に渡し（ステップＳ５２１）、イベント処理機能１６２は操作イベント２３３ｃの値に応じて操作イベントでの処理の振り分けを行う（ステップＳ５２２）。ここでは操作イベント２３３ｃ＝「開く」であるので、これを操作ログ表２３３に記録するよう、ログ通信機能１６４にカプセル化ファイル１２２のファイル名２３３ｂ「capsl_a.doc」とカプセルＩＤ１２２ａ＝「0123456789ABCDEF」と操作イベント２３３ｃ＝「開く」の各データをファイル管理サーバ２０に送信させる（ステップＳ５２３）。

ファイル管理サーバ２０のログ記録部２１６は、クライアントマシン１１から受信した（ステップＳ５３１）ファイル名２３３ｂ「capsl_a.doc」、カプセルＩＤ１２２ａ＝「0123456789ABCDEF」、操作イベント２３３ｃ＝「開く」、端末利用者ＩＤ＝「rio」、端末ネットワーク情報（コンピュータ名「client01」、ドメイン名「aaa.co.jp」、ＩＰアドレス「192.168.1.10」）を操作ログ表２３３に新規レコードとして記録する（ステップＳ５３２）。その際、端末利用者ＩＤ＝「rio」とドメイン名＝「aaa.co.jp」とを組み合わせて依頼者ＩＤ１３１＝「rio@aaa.co.jp」とする。図２６は、図２４〜２５のステップＳ５３２で保存された操作ログ表２３３について示す表である。

そしてログ検索部２１７が、文書版管理表２３１からカプセル化ファイル１２２のカプセルＩＤ１２２ａ＝「0123456789ABCDEF」に該当する依頼者ＩＤ１３１＝「rio@aaa.co.jp」と文書版番号２３１ａ＝「１．０．２」を検索し（ステップＳ５３３）、この依頼者ＩＤ１３１＝「rio@aaa.co.jp」と文書版番号２３１ａ＝「１．０．２」とをクライアントマシン１１に返す（ステップＳ５３４）。

ログ通信機能１６４は、ファイル管理サーバ２０から返信された依頼者ＩＤ１３１＝「rio@aaa.co.jp」と文書版番号２３１ａ＝「１．０．２」とを、ＴＣＰ通信機能１６３を介してイベント受信機能１５１のＴＣＰ通信機能１５２に返信する（ステップＳ５２４）。

ＴＣＰ通信機能１５２は受信した依頼者ＩＤ１３１＝「rio@aaa.co.jp」と文書版番号２３１ａ＝「１．０．２」の組を、さらにイベント受信機能１５１に渡し（ステップＳ５２５）、イベント受信機能１５１は文書版番号照合部１１３にカプセル化ファイル１２２の文書版番号１２２ｂ＝「１．０．２」と返却されてきた文書版番号２３１ａ＝「１．０．２」とを照合させる（ステップＳ５２６）。ここでは両者とも「１．０．２」であるので、そのままカプセル化ファイル１２２の内容の編集に入る（ステップＳ５２８）。

（第１の実施形態の全体的な動作）
次に、上記の実施形態の全体的な動作について説明する。本実施形態に係るアクセス権管理方法は、電子ドキュメントを編集するクライアントマシンと、電子ドキュメントを暗号化してカプセル化ファイルを作成する暗号化サーバと、クライアントマシンからの依頼に応じて暗号化サーバに電子ドキュメントからカプセル化ファイルを作成させるファイル管理サーバとが相互に接続されて構成されるアクセス権管理システムにあって、ファイル管理サーバのカプセルＩＤ発行部が、カプセル化ファイルに対して一意に識別しうるカプセルＩＤを付与し（図８：ステップＳ３０７）、ファイル管理サーバの文書版番号発行部が、カプセル化ファイル内の電子ドキュメントの更新に応じて文書版番号を更新し（図９：ステップＳ４０９）、ファイル管理サーバの情報管理部が、カプセルＩＤに対応して更新された文書版番号を予め記憶されたファイル管理データに保存し（図９：ステップＳ４１０）、クライアントマシンのイベント操作記録部が、カプセル化ファイル内の電子ドキュメントを更新する際にカプセル化ファイルに保存されたカプセルＩＤに対応する文書版番号をファイル管理サーバに照会し（図１０：ステップＳ５１４）、ファイル管理サーバのログ検索部が、クライアントマシンから受信したカプセルＩＤでファイル管理データを検索してこれに対応する文書版番号をクライアントマシンに返信し（図１１：ステップＳ５３３〜５３４）、クライアントマシンの文書版番号照合部が、カプセル化ファイルに保存された文書版番号とファイル管理サーバから返信された文書版番号とを比較してこの両者が異なっていれば警告を発信する（図１１：ステップＳ５２６〜５２７）。

ここで、上記各動作ステップについては、これをコンピュータで実行可能にプログラム化し、これらを前記各ステップを直接実行するコンピュータであるクライアントマシン１１およびファイル管理サーバ２０に実行させるようにしてもよい。
この構成および動作により、本実施形態は以下のような効果を奏する。

本実施形態によれば、カプセル化ファイルに文書版番号を設定してカプセルＩＤとともに管理すると共に、カプセルＩＤに対応する最新の文書版番号をファイル管理データとして記憶するようにしたので、最新ではない文書版番号を持つカプセル化ファイルに対して編集を行おうとした場合にもそのことを把握することが可能である。従って、最新のバージョンではない電子ドキュメントファイルが編集されることを防止することが可能となり、ユーザごとにその電子ドキュメントの内容が異なることに起因する無用なトラブルの発生を防止することが可能となる。

これまで本発明について図面に示した特定の実施形態をもって説明してきたが、本発明は図面に示した実施形態に限定されるものではなく、本発明の効果を奏する限り、これまで知られたいかなる構成であっても採用することができる。

本発明は、アクセス権管理システムに利用することができる。

１ アクセス権管理システム
１１ クライアントマシン
２０ ファイル管理サーバ
３０ 利用者管理サーバ
４０ 暗号化サーバ
５０ ネットワーク
１０１、２０１ ＣＰＵ
１０２、２０２ 記憶手段
１０３、２０３ 通信手段
１０４、２０４ 入出力手段
１１１ イベント発信部
１１２ イベント操作記録部
１１３ 文書版番号照合部
１１４ オフィスアプリケーション
１２１ 未カプセル化ドキュメント
１２２ カプセル化ファイル
１２２ａ カプセルＩＤ
１２２ｂ 文書版番号
１３１ 依頼者ＩＤ
１３１ａ ユーザＩＤ
１３１ｂ ドメイン
１３２ アクセス権限リスト
１３２ａ、２３２ａ 利用者ＩＤ
１３２ｂ 権限種類
１５１ イベント受信機能
１５２、１６３ ＴＣＰ通信機能
１６１ 情報取得機能
１６２ イベント処理機能
１６４ ログ通信機能
２１１ 解析部
２１２ 制御部
２１３ カプセルＩＤ発行部
２１４ 文書版番号発行部
２１５ 情報管理部
２１６ ログ記録部
２１７ ログ検索部
２２１ ファイル管理データ
２２２ 操作ログデータ
２３１ 文書版管理表
２３２ アクセス権限リスト表
２３３ 操作ログ表
２３３ａ 作成日時
２３３ｂ ファイル名
２３３ｃ 操作イベント

Claims (9)

1. 電子ドキュメントを暗号化してカプセル化ファイルを作成および編集するアクセス権管理システムであって、
   前記電子ドキュメントを編集するクライアントマシンと、前記電子ドキュメントを暗号化して前記カプセル化ファイルを作成する暗号化サーバと、前記クライアントマシンからの依頼に応じて前記暗号化サーバに前記電子ドキュメントからの前記カプセル化ファイルの作成を指令するファイル管理サーバとが相互に接続されて構成され、
   前記カプセル化ファイルが、前記ファイル管理サーバに付与されたカプセルＩＤおよび文書版番号を含み、
   前記ファイル管理サーバが、前記カプセル化ファイルを一意に識別しうる前記カプセルＩＤを付与するカプセルＩＤ発行部と、前記カプセル化ファイル内の前記電子ドキュメントが更新されるたびに前記カプセル化ファイル内の前記文書版番号を更新する文書版番号発行部と、前記カプセルＩＤと前記文書版番号とを対応づけてファイル管理データとして記憶する記憶手段と、前記文書版番号が更新されると前記ファイル管理データを更新する情報管理部と、前記ファイル管理データを前記カプセルＩＤで検索してこのカプセルＩＤに対応する前記文書版番号を検索してこれを前記クライアントマシンに返信するログ検索部とを有し、
   前記クライアントマシンが、前記カプセル化ファイル内の前記電子ドキュメントを編集する際に前記カプセル化ファイルに保存されたカプセルＩＤに対応する前記文書版番号を前記ファイル管理サーバに照会するイベント操作記録部と、前記カプセル化ファイルに保存された文書版番号と前記ファイル管理サーバから返信された文書版番号とを比較してこの両者が異なっていれば警告を発信する文書版番号照合部とを有することを特徴とするアクセス権管理システム。
2. 前記ファイル管理サーバが、前記電子ドキュメントを利用可能なユーザのユーザＩＤと前記ユーザＩＤに対応する前記電子ドキュメントの利用権限とを記憶する利用者管理サーバに相互に接続され、
   前記カプセル化ファイルが、前記ユーザＩＤとこれに対応する前記電子ドキュメントの利用権限とを記憶するアクセス権限リストを記憶すると共に、
   前記ファイル管理サーバが、前記クライアントマシンから前記電子ドキュメントのカプセル化を依頼された際に前記ユーザＩＤに対応するユーザが前記電子ドキュメントをカプセル化する権限を有するか否かを前記利用者管理サーバに照会する解析部を有することを特徴とする、請求項１に記載のアクセス権管理システム。
3. 前記ファイル管理サーバが、前記クライアントマシンから前記カプセル化ファイル内の前記アクセス権限リストの内容変更を依頼された際に、前記カプセル化ファイルに保存された文書版番号と前記ファイル管理サーバから返信された文書版番号とを比較してこの両者が異なっていれば前記アクセス権限リストの内容変更を許可しない制御部を有することを特徴とする、請求項２に記載のアクセス権管理システム。
4. 前記ファイル管理サーバが、前記クライアントマシンから受信した前記カプセル化ファイル内に対する操作内容を操作ログデータとして記録するログ記録部を有することを特徴とする、請求項１に記載のアクセス権管理システム。
5. 電子ドキュメントを暗号化したカプセル化ファイルに対してカプセルＩＤおよび文書版番号を付与するファイル管理サーバであって、
   前記電子ドキュメントを編集するクライアントマシンおよび前記電子ドキュメントを暗号化して前記カプセル化ファイルを作成する暗号化サーバと相互に接続され、
   作成された前記カプセル化ファイルに対して一意に識別しうる前記カプセルＩＤを付与するカプセルＩＤ発行部と、
   前記カプセル化ファイル内の前記電子ドキュメントが更新されるたびに前記カプセル化ファイル内の前記文書版番号を更新する文書版番号発行部と、
   前記カプセルＩＤと前記文書版番号とを対応づけてファイル管理データとして記憶する記憶手段と、
   前記文書版番号が更新されると前記ファイル管理データを更新する情報管理部と、
   前記ファイル管理データを前記カプセルＩＤで検索してこのカプセルＩＤに対応する前記文書版番号を検索してこれを前記クライアントマシンに返信するログ検索部とを有することを特徴とするファイル管理サーバ。
6. 電子ドキュメントを暗号化したカプセルＩＤおよび文書版番号を含めたカプセル化ファイルを編集するクライアントマシンであって、
   前記電子ドキュメントを暗号化して前記カプセル化ファイルを作成する暗号化サーバおよび前記暗号化サーバに前記電子ドキュメントからの前記カプセル化ファイルの作成を指令するファイル管理サーバと相互に接続され、
   前記カプセル化ファイル内の前記電子ドキュメントを更新する際に前記カプセル化ファイルに保存されたカプセルＩＤに対応する前記文書版番号を前記ファイル管理サーバに照会するイベント操作記録部と、
   前記カプセル化ファイルに保存された文書版番号と前記ファイル管理サーバから返信された文書版番号とを比較してこの両者が異なっていれば警告を発信する文書版番号照合部とを有することを特徴とするクライアントマシン。
7. 電子ドキュメントを編集するクライアントマシンと、前記電子ドキュメントを暗号化してカプセル化ファイルを作成する暗号化サーバと、前記クライアントマシンからの依頼に応じて前記暗号化サーバに前記電子ドキュメントからの前記カプセル化ファイルの作成を指令するファイル管理サーバとが相互に接続されて構成されるアクセス権管理システムにあって、
   前記ファイル管理サーバのカプセルＩＤ発行部が、前記カプセル化ファイルに対して一意に識別しうるカプセルＩＤを付与し、
   前記ファイル管理サーバの文書版番号発行部が、前記カプセル化ファイル内の前記電子ドキュメントの更新に応じて前記カプセル化ファイル内の文書版番号を更新し、
   前記ファイル管理サーバの情報管理部が、更新された前記文書版番号を予め記憶されたファイル管理データに前記カプセルＩＤに対応させて保存し、
   前記クライアントマシンのイベント操作記録部が、前記カプセル化ファイル内の前記電子ドキュメントを更新する際に前記カプセル化ファイルに保存されたカプセルＩＤに対応する前記文書版番号を前記ファイル管理サーバに照会し、
   前記ファイル管理サーバのログ検索部が、前記クライアントマシンから受信したカプセルＩＤで前記ファイル管理データを検索してこれに対応する前記文書版番号を前記クライアントマシンに返信し、
   前記クライアントマシンの文書版番号照合部が、前記カプセル化ファイルに保存された文書版番号と前記ファイル管理サーバから返信された文書版番号とを比較してこの両者が異なっていれば警告を発信することを特徴とするアクセス権管理方法。
8. 電子ドキュメントを編集するクライアントマシンと、前記電子ドキュメントを暗号化してカプセル化ファイルを作成する暗号化サーバと、前記クライアントマシンからの依頼に応じて前記暗号化サーバに前記電子ドキュメントからの前記カプセル化ファイルの作成を指令するファイル管理サーバとが相互に接続されて構成されるアクセス権管理システムにあって、
   前記ファイル管理サーバに、
   前記カプセル化ファイルに対して一意に識別しうるカプセルＩＤを付与する手順、
   前記カプセル化ファイル内の前記電子ドキュメントの更新に応じて前記カプセル化ファイル内に記憶された文書版番号を更新する手順、
   更新された前記文書版番号を予め記憶されたファイル管理データに前記カプセルＩＤに対応させて保存する手順、
   および前記クライアントマシンが前記カプセル化ファイル内の前記電子ドキュメントを更新する際に前記クライアントマシンから受信したカプセルＩＤで前記ファイル管理データを検索してこれに対応する前記文書版番号を前記クライアントマシンに返信する手順を実行させることを特徴とするアクセス権管理プログラム。
9. 電子ドキュメントを編集するクライアントマシンと、前記電子ドキュメントを暗号化してカプセル化ファイルを作成する暗号化サーバと、前記クライアントマシンからの依頼に応じて前記暗号化サーバに前記電子ドキュメントからの前記カプセル化ファイルの作成を指令するファイル管理サーバとが相互に接続されて構成されるアクセス権管理システムにあって、
   前記クライアントマシンに、
   前記カプセル化ファイル内の前記電子ドキュメントを更新する際に前記カプセル化ファイル内から取得したカプセルＩＤに対応する文書版番号を前記ファイル管理サーバに照会する手順、
   および前記カプセル化ファイル内から取得した文書版番号と前記ファイル管理サーバから返信された文書版番号とを比較してこの両者が異なっていれば警告を発信する手順を実行させることを特徴とするアクセス権管理プログラム。

Images