JP6926749B2 - 文書管理装置、文書管理システム及びプログラム - Google Patents

Description

本発明は、文書管理装置、文書管理システム及びプログラムに関する。

従来から、秘匿情報あるいは機密情報を含む文書の検索を行う技術が提案されている。

特許文献１には、文書と文書内の機密情報等の関連性を隠蔽して適切な検索結果を生成する情報検索方法が記載されている。端末から、文書の機密情報と該機密情報に対するアクセス権情報を通信ネットワークを介して受信し、該受信情報を文書の索引語あるいは該索引語の位置に関連付けて管理する管理部と、端末から、文書の検索要求を通信ネットワークを介して受信すると、文書の検索要求に含まれる検索文中の単語と管理部に基づき、索引語あるいは該索引語の位置毎のアクセス権の有無を判定し、該判定によりアクセス権が有る場合に、該索引語を含む文書の情報を列挙した文書リストを作成し、該文書の適合度を算出し、該算出結果に基づき文書リスト中の各文書を並べ替え、これを検索結果候補として、通信ネットワークを介して文書の検索要求元の端末に送信する制御部とを有することが記載されている。

特許文献２には、文書に設定されたアクセス権限も加味して文書の検索を行う情報処理装置が記載されている。インデックス記憶手段は、ファイル情報取得手段によって取得された情報と、権限情報取得手段によって取得された権限情報とを関連付けてインデックスとして記憶し、検索条件式生成手段は、キーワード入力手段から入力されたキーワードと、ユーザ特定手段によって特定されたユーザを示す情報から検索条件式を生成し、検索手段は、検索条件式生成手段によって生成された検索条件式に該当するインデックスをインデックス記憶手段から検索することが記載されている。

特許文献３には、キャッシュを利用して性能とアクセス制御が最新であることのバランスを図る情報処理システムが記載されている。

特開２０１１−８１６４２号公報 特開２００１−３４４２４５号公報 特許第５５４９５９６号

秘匿情報あるいは機密情報（以下、「秘匿情報」と総称する）を含む文書を対象として検索を行う場合、文字と位置からなるインデックス対象毎にアクセス権を割り当てる技術が考えられるが、検索時にインデックス対象毎にアクセス権の有無を判定する処理が必要となるため処理コストが増大してしまう。特に、大量の文書、例えば１０００万文書にも上る文書の検索を想定するシステムでは処理性能の大幅な遅延を招き得る。

秘匿性を確保するためには秘匿情報を例えば黒塗り等して隠蔽した上で保存することが有効であるが、単に黒塗り文書を保存する構成では仮に当該文書が外部に流出した場合に、黒塗り文書と流出文書との一致の判定が困難で、追跡性が確保されない。

本発明の目的は、文書の秘匿性を維持しつつも追跡性を確保する技術を提供することにある。

請求項１に記載の発明は、秘匿情報が隠蔽された文書データを記憶する第１記憶部と、入力された検索条件に応じて前記文書データを検索する場合に、前記検索条件に含まれる前記秘匿情報を含む前記第１記憶部に記憶された前記文書データを検索結果として表示するに際し、前記文書データにおける前記秘匿情報が配置されている位置を明示して表示する表示制御部とを備え、前記文書データに含まれる前記秘匿情報について生成された第１検索インデックスを記憶する第３記憶部と、前記秘匿情報以外の非秘匿情報について生成された第２検索インデックスを記憶する第４記憶部とを備え、利用者の有する権限毎に前記第１検索インデックスと前記第２検索インデックスを切り替えて前記文書データを検索する文書管理装置である。

請求項２に記載の発明は、秘匿情報が隠蔽された文書データを記憶する第１記憶部と、前記秘匿情報をダミー情報に置換する置換部と、前記秘匿情報と前記ダミー情報との対応関係を規定するテーブルを記憶する第２記憶部と、入力された検索条件に応じて前記文書データを検索する場合に、前記検索条件に含まれる前記秘匿情報を前記テーブルに従って前記ダミー情報に変換して検索し、検索結果を提供する検索部とを備え、前記文書データに含まれる前記秘匿情報について生成された第１検索インデックスを記憶する第３記憶部と、前記秘匿情報以外の非秘匿情報について生成された第２検索インデックスを記憶する第４記憶部とを備え、利用者の有する権限毎に前記第１検索インデックスと前記第２検索インデックスを切り替えて前記文書データを検索する文書管理装置である。

請求項３に記載の発明は、前記ダミー情報は、検索条件の入力に使用されない記号である請求項２に記載の文書管理装置である。

請求項４に記載の発明は、前記検索結果には、隠蔽部分において前記検索条件が一致する位置の情報が含まれる請求項１〜３のいずれかに記載の文書管理装置である。

請求項５に記載の発明は、前記検索部は、特別権限を有する利用者に対して前記第１検索インデックス及び前記第２検索インデックスを用いて前記文書データを検索し、前記特別権限を有しない利用者に対して前記第２検索インデックスを用いて前記文書データを検索する請求項１〜４のいずれかに記載の文書管理装置である。

請求項６に記載の発明は、前記検索部は、特別権限を有する利用者に対して前記第１検索インデックスを用いて前記文書データを検索し、前記特別権限を有しない利用者に対して前記第２検索インデックスを用いて前記文書データを検索する請求項１〜４のいずれかに記載の文書管理装置である。

請求項７に記載の発明は、前記第１検索インデックスは、前記秘匿情報の文字列から生成される請求項１〜５のいずれかに記載の文書管理装置である。

請求項８に記載の発明は、前記第１検索インデックスは、前記秘匿情報の文字列と、その前後の非秘匿情報の文字列の少なくともいずれかの文字列との結合文字列から生成される請求項１〜５のいずれかに記載の文書管理装置である。

請求項９に記載の発明は、前記第１検索インデックスは、前記秘匿情報を含む前記文書データの文字列から生成される請求項６に記載の文書管理装置である。

請求項１０に記載の発明は、文書処理装置と、前記文書処理装置からの文書データを受信する文書管理装置であって、秘匿情報が隠蔽された文書データを記憶する第１記憶部と、入力された検索条件に応じて前記文書データを検索する場合に、前記検索条件に含まれる前記秘匿情報を含む前記第１記憶部に記憶された前記文書データを検索結果として表示するに際し、前記文書データにおける前記秘匿情報が配置されている位置を明示して表示する表示制御部と、前記文書データに含まれる前記秘匿情報について生成された第１検索インデックスを記憶する第３記憶部と、前記秘匿情報以外の非秘匿情報について生成された第２検索インデックスを記憶する第４記憶部とを備え、利用者の有する権限毎に前記第１検索インデックスと前記第２検索インデックスを切り替えて前記文書データを検索する文書管理装置と、前記文書管理装置に対して前記検索条件を送信し、前記文書管理装置からの前記検索結果を受信する端末とを備える文書管理システムである。

請求項１１に記載の発明は、文書処理装置と、前記文書処理装置からの文書データを受信する文書管理装置であって、秘匿情報が隠蔽された文書データを記憶する第１記憶部と、前記秘匿情報をダミー情報に置換する置換部と、前記秘匿情報と前記ダミー情報との対応関係を規定するテーブルを記憶する第２記憶部と、入力された検索条件に応じて前記文書データを検索する場合に、前記検索条件に含まれる前記秘匿情報を前記テーブルに従って前記ダミー情報に変換して検索し、検索結果を提供する検索部と、前記文書データに含まれる前記秘匿情報について生成された第１検索インデックスを記憶する第３記憶部と、前記秘匿情報以外の非秘匿情報について生成された第２検索インデックスを記憶する第４記憶部とを備え、利用者の有する権限毎に前記第１検索インデックスと前記第２検索インデックスを切り替えて前記文書データを検索する文書管理装置と、前記文書管理装置に対して前記検索条件を送信し、前記文書管理装置からの前記検索結果を受信する端末とを備える文書管理システムである。

請求項１２に記載の発明は、コンピュータに、文書データの秘匿情報を隠蔽処理するステップと、前記秘匿情報が隠蔽された文書データを第１記憶部に記憶するステップと、入力された検索条件に応じて前記文書データを検索する場合に、前記検索条件に含まれる前記秘匿情報を含む前記第１記憶部に記憶された前記文書データを検索結果として表示するに際し、前記文書データにおける前記秘匿情報が配置されている位置を明示して表示するステップと、前記文書データに含まれる前記秘匿情報について生成された第１検索インデックスを第３記憶部に記憶するステップと、前記秘匿情報以外の非秘匿情報について生成された第２検索インデックスを第４記憶部に記憶するステップと、利用者の有する権限毎に前記第１検索インデックスと前記第２検索インデックスを切り替えて前記文書データを検索するステップとを実行させるプログラムである。

請求項１３に記載の発明は、コンピュータに、文書データの秘匿情報を隠蔽処理するステップと、前記文書データの前記秘匿情報をダミー情報で置換するステップと、前記秘匿情報が隠蔽された前記文書データを第１記憶部に記憶するステップと、前記秘匿情報と前記ダミー情報との対応関係を規定するテーブルを第２記憶部に記憶するステップと、入力された検索条件に応じて前記文書データを検索する場合に、前記検索条件に含まれる前記秘匿情報を前記テーブルに従って前記ダミー情報に変換して検索するステップと、検索結果を出力するステップと、前記文書データに含まれる前記秘匿情報について生成された第１検索インデックスを第３記憶部に記憶するステップと、前記秘匿情報以外の非秘匿情報について生成された第２検索インデックスを第４記憶部に記憶するステップと、利用者の有する権限毎に前記第１検索インデックスと前記第２検索インデックスを切り替えて前記文書データを検索するステップとを実行させるプログラムである。

請求項１〜１３に記載の発明によれば、文書の秘匿性を維持しつつも追跡性を確保し得る。さらに、文書の検索性を確保し得る。

実施形態のシステム構成図である。 実施形態のログシステムの機能ブロック図である。 実施形態のログシステムの構成ブロック図である。 実施形態の処理フローチャート（その１）である。 実施形態の処理フローチャート（その２）である。 実施形態の処理を模式的に示す説明図である。 実施形態の端末画面の説明図である。

以下、図面に基づき本発明の実施形態について説明する。

図１は、本実施形態の文書管理システム構成を示す。システムは、端末１０と、文書処理装置１２と、ログシステム１４を備える。端末１０、文書処理装置１２、及びログシステム１４は、通信回線でデータ送受信可能に接続される。通信回線は、ＬＡＮやインターネット等であり、専用回線あるいは公衆回線である。また、通信回線は、有線回線あるいは無線回線である。

端末１０は、パーソナルコンピュータ（ＰＣ）やタブレット端末、あるいはスマートフォン等であり、文書を検索する利用者が操作する装置である。

文書処理装置１２は、複合機や画像形成装置、ＰＣ等の文書を処理する装置である。文書処理装置１２は、処理した文書を通信回線を介してログシステム１４に供給する。例えば、文書処理装置１２として複合機を例にとると、複合機１２でスキャンして得られた文書データは通信回線を介してログシステム１４に供給される。

ログシステム１４は、文書管理装置として機能し、文書処理装置１２で処理した文書を受信して保存する。ログシステム１４は、受信した文書に秘匿情報が含まれている場合に、秘匿情報とそれ以外の非秘匿情報とに分類し、秘匿情報について秘匿情報インデックスを生成して保存するとともに、非秘匿情報について非秘匿情報インデックスを生成して保存する。また、ログシステム１４は、秘匿情報について所定の隠蔽処理を施した上で受信した文書を保存する。また、ログシステム１４は、端末１０からの検索要求があった場合に、秘匿情報インデックスと非秘匿情報インデックスを切り替えて文書を検索し、検索結果を端末１０に返信する。この際、ログシステム１４は、隠蔽処理を施した秘匿情報の部分で検索がヒットした場合には、隠蔽処理されている秘匿情報のうちのどの部分において検索がヒットしたのかその位置も併せて返信する。

本実施形態では、ログシステム１４において秘匿情報が隠蔽された文書データを保存し、特別権限のない利用者は秘匿情報インデックスを用いた検索を行えないので、秘匿性が維持される。また、特別権限のない利用者でも非秘匿情報インデックスを用いた検索は行うことができ、かつ、特別権限を有する利用者は秘匿情報インデックスを用いた検索を行うことができるので、検索性を確保し得る。さらに、本実施形態では、単に検索がヒットしたことを検索結果として返信するのではなく、隠蔽処理された秘匿情報部分についてもそのヒット位置を示すので、利用者はたとえ秘匿情報を認識できなくても文書全体の中のどの位置に存在するのかを認識することができ、追跡性を確保し得る。ここで、「秘匿性」とは、秘匿情報を扱う権限のない利用者が、秘匿情報を参照できないようにすることをいう。また、「検索性」とは、秘匿情報を扱う権限のない利用者でも秘匿情報以外の情報について検索や内容の確認を行うことができることをいう。さらに、「追跡性」とは、実際に文書が外部に流出した場合に、その文書を誰が流出したのか特定できること、より具体的にはログシステム１４に保存されている文書と流出した文書が同一か否かを判定できることをいう。

図２は、ログシステム１４の機能ブロック図を示す。

ログシステム１４は、機能ブロックとして、文書受信部１４ａ、非秘匿情報文字列特定部１４ｂ、秘匿情報インデックス保存部１４ｃ、非秘匿情報インデックス保存部１４ｄ、文書保存部１４ｅ、検索対象インデックス制御部１４ｆ、秘匿情報文字列特定部１４ｇ、秘匿情報インデックス生成部１４ｈ、非秘匿情報インデックス生成部１４ｉ、秘匿情報文字列隠蔽部１４ｊ、アクセス権限管理部１４ｋ、検索処理部１４ｍ、文字列位置保存部１４ｎ、及びテーブル保存部１４ｐを備える。

文書受信部１４ａは、文書処理装置１２から供給された文書データを受信する。なお、文書データには、文字データのみならず画像データが含まれていてもよい。また、文書データに含まれる画像データには、写真やグラフなどの絵柄画像の他、文字画像や線画像が含まれていてもよい。

秘匿情報文字列特定部１４ｇは、正規表現（通常の文字と特殊文字から構成される文字列パターン）での文字列検索や、単純文字列検索によって文書データに含まれる秘匿情報の文字列を特定する。秘匿情報を特定するための正規表現は、例えばクレジットカード番号、住所、個人番号の書式等であり、秘匿情報に該当する正規表現や文字列は、予め管理者が設定してログシステム１４に登録しておく。処理対象がテキストデータの場合には当該テキストデータから秘匿情報を検索し、処理対象が画像データの場合にはＯＣＲ（Optical Character Recognition）によりテキストデータに変換した上で秘匿情報を検索する。

非秘匿情報文字列特定部１４ｂは、受信した文書データのうち、秘匿情報文字列特定部１４ｇで秘匿情報として特定された文字列以外の文字列を非秘匿情報文字列として特定する。

秘匿情報インデックス生成部１４ｈは、秘匿情報文字列特定部１４ｇで特定した文字列に対して第１検索インデックスとしての秘匿情報インデックスを生成する。秘匿情報インデックスには、秘匿情報文字列として特定された文字列を含む文書データ（現在処理中である）を特定する文書データ識別子と、当該秘匿情報文字列が配置されている文書データ上の位置を特定する位置情報を含む。

秘匿情報インデックス保存部１４ｃは、第３記憶部として機能し、秘匿情報インデックス生成部１４ｈで生成された秘匿情報インデックスを記憶する。秘匿情報インデックス保存部１４ｃは、秘匿情報にアクセスする特別な権限を有する利用者のみがアクセスし得る。

非秘匿情報インデックス生成部１４ｉは、非秘匿情報文字列特定部１４ｂで特定した文字列に対して第２検索インデックスとしての非秘匿情報インデックスを生成する。非秘匿情報インデックスには、非秘匿情報文字列として特定された文字列を含む文書データ（現在処理中である）を特定する文書データ識別子と、当該非秘匿情報文字列が配置されている文書データ上の位置を特定する位置情報を含む。

非秘匿情報インデックス保存部１４ｄは、第４記憶部として機能し、非秘匿情報インデックス生成部１４ｉで生成された非秘匿情報インデックスを記憶する。非秘匿情報インデックス保存部１４ｄは、秘匿情報インデックス保存部１４ｃとは異なる権限でアクセス制限される。より具体的には、秘匿情報にアクセスする権限を有しない利用者でもアクセスし得る。

秘匿情報文字列隠蔽部１４ｊは、秘匿情報文字列特定部１４ｇで特定した文字列を利用者が視認不能な状態に変換することで隠蔽する。視認不能な状態は、具体的には削除や黒塗りであるがこれに限定されない。秘匿情報が隠蔽された文書データは、秘匿情報が含まれない文書データである。このように文書データを「隠蔽された文書データ」に加工することで、ログシステムに保存される文書データが流出したとしても、秘匿情報が視認不能な状態になっているため、秘匿性が担保されていることになる。

文書保存部１４ｅは、第１記憶部として機能し、秘匿情報文字列隠蔽部１４ｊで隠蔽された文書データを記憶する。

アクセス権限管理部１４ｋは、利用者のアクセス権限を管理する。具体的には、予め利用者毎のアクセス権を規定するテーブルを参照し、利用者のアクセス権限を判定する。本実施形態では、特に、利用者のアクセス権限として、秘匿情報にアクセスする権限を有しているか否かを判定する。

検索対象インデックス制御部１４ｆは、利用者のアクセス権限に応じて検索対象インデックスを切り替える。すなわち、通常の利用者に対して非秘匿情報インデックスのみを検索対象として非秘匿情報インデックス保存部１４ｄへのアクセスを許可する。また、秘匿情報にアクセスし得る特別な権限を有する利用者に対しては非秘匿情報インデックスに加えて秘匿情報インデックスも検索対象として非秘匿情報インデックス保存部１４ｄ及び秘匿情報インデックス保存部１４ｃへのアクセスも許可する。

すなわち、
通常権限の利用者：非秘匿情報インデックス
特別権限の利用者：非秘匿情報インデックス＋秘匿情報インデックス
である。利用者のアクセス権限に応じて検索に用いる検索インデックスを切り替えて使用する。

検索処理部１４ｍは、検索部として機能し、利用者から指定された検索条件に基づいて検索を実行し、検索結果を利用者、すなわち端末１０に返す。検索条件に一致する（ヒットする）場合には検索結果として文書保存部１４ｅに保存された文書データ、すなわち秘匿情報が隠蔽された文書データが端末１０に返信される。

文字列位置保存部１４ｎは、置換部として機能し、秘匿情報文字列の位置情報を保存する。すなわち、秘匿情報と関連付けられたユニークな（一意の）ダミー文字列を生成し、秘匿情報をダミー文字列で置換して秘匿情報があった位置に当該ダミー文字列を埋め込む。文字列位置保存部１４ｎは、秘匿情報とこれに関連付けられたダミー文字列との対応関係を規定するテーブルを作成し、第２記憶部として機能するテーブル保存部１４ｐに保存する。ダミー文字列は検索文字列として使用しない記号（制御コードを含む）が用いられる。文字列位置保存部１４ｎは、端末１０からの検索要求時において、検索条件に秘匿情報が指定された場合に、テーブル保存部１４ｐに保存されたテーブルを参照することでダミー文字列を特定し、検索条件に含まれる秘匿情報に代えて当該ダミー文字列で文書データを検索することで秘匿情報の位置を特定する。つまり、ダミー文字列が秘匿情報の位置を示す位置情報を代替していることになる。このとき、秘匿情報インデックスが用いられることは言うまでもない。

本実施形態では、秘匿情報をダミー文字列で置換し、当該ダミー文字列を秘匿情報の位置を示す位置情報として機能させているが、秘匿情報をダミー文字列で置換することなく、単に、文字列位置保存部１４ｎで秘匿情報文字列の位置情報を保存してもよい。文字列位置保存部１４ｎは、端末１０からの検索要求時において、検索条件に秘匿情報が指定された場合に、この位置情報を用いて検索条件に含まれる秘匿情報の位置を特定する。この場合、秘匿情報とこれに関連付けられたダミー文字列との対応関係を規定するテーブルは不要である。

図３は、ログシステム１４の構成ブロック図を示す。

ログシステム１４は、文書管理サーバあるいは文書検索サーバとして機能し、サーバコンピュータとしての構成、すなわち、１又は複数のＣＰＵ、ＲＯＭ、ＲＡＭ、入出力インターフェイス（Ｉ／Ｆ）、通信Ｉ／Ｆ、及び記憶部を備える。通信Ｉ／Ｆは通信回線に接続され、端末１０とデータを送受信するとともに、文書処理装置１２とデータを送受信する。記憶部はＨＤＤ（ハードディスクドライブ）やＳＳＤ（ソリッドステートドライブ）等である。

１又は複数のＣＰＵは、ＲＯＭあるいは記憶部に記憶された処理プログラムを読み出して実行することで、図２に示す機能ブロックを実現する。すなわち、ＣＰＵは、通信Ｉ／Ｆを介して文書処理装置１２から文書データを受信すると、文書データの中から秘匿情報文字列を特定するとともに非秘匿情報文字列を特定し、秘匿情報文字列については秘匿情報インデックスを生成するとともに非秘匿情報文字列については非秘匿情報インデックスを生成する。ＣＰＵは、生成した秘匿情報インデックスを記憶部の秘匿情報インデックス保存領域に記憶し、生成した非秘匿情報インデックスを記憶部の非秘匿情報インデックス保存領域に記憶する。

また、１又は複数のＣＰＵは、文書データのうち特定した秘匿情報文字列を黒塗り等して隠蔽処理した上で、隠蔽後の文書データを記憶部に記憶する。

また、１又は複数のＣＰＵは、秘匿情報文字列をダミー文字列で置換し、秘匿情報文字列とダミー文字列との対応関係を規定するテーブルを作成して記憶部に記憶する。

さらに、１又は複数のＣＰＵは、利用者が端末１０を用いてログシステム１４にログインした場合、当該利用者のＩＤ及びパスワードを用いて認証した上で、ログインした利用者のアクセス権限を確認する。利用者毎のアクセス権限は記憶部にテーブルとして記憶されており、このテーブルを参照することでログインした利用者が秘匿情報にアクセスし得る権限を有しているか否かを判定する。ＣＰＵは、ログインした利用者が秘匿情報にアクセスし得る権限を有しない場合、非秘匿情報インデックスのみを検索対象インデックスとして検索を実行する。また、ログインした利用者が秘匿情報にアクセスし得る特別な権限を有する場合、非秘匿情報インデックス及び秘匿情報インデックスを検索対象インデックスとして検索を実行し、検索結果を端末１０に返す。特別な権限を有する利用者とそうでない利用者の場合、たとえ検索条件が同一であっても検索結果は異なり得る。

１又は複数のＣＰＵは、秘匿情報文字列特定部１４ｇ、非秘匿情報文字列特定部１４ｂ、秘匿情報インデックス生成部１４ｈ、非秘匿情報インデックス生成部１４ｉ、秘匿情報文字列隠蔽部１４ｊ、アクセス権限管理部１４ｋ、検索対象インデックス制御部１４ｆ、検索処理部１４ｍ、及び文字列位置保存部として機能し、通信Ｉ／Ｆは、文書受信部１４ａとして機能し、記憶部は、秘匿情報インデックス保存部１４ｃ、非秘匿情報インデックス保存部１４ｄ、文書保存部１４ｅ、及びテーブル保存部１４ｐとして機能する。

なお、図２に示す機能ブロックの一部は、プログラムの実行によるソフトウェア処理ではなく、ハードウェア処理により実現してもよい。ハードウェア処理は、例えばＡＳＩＣやＦＰＧＡ（フィールドプログラマブルゲートアレイ）などの回路を用いて行ってもよい。

図４は、本実施形態の処理フローチャートを示す。ログシステム１４におけるインデックス生成・隠蔽・保存処理である。

ログシステム１４のＣＰＵは、文書処理装置１２から通信Ｉ／Ｆを介して文書データを受信すると（Ｓ１０１）、文書データの中から全ての秘匿情報文字列を特定する（Ｓ１０２）。例えば、クレジットカード番号が含まれている場合、当該クレジットカード番号を秘匿情報文字列として特定する。

次に、ＣＰＵは、未処理の秘匿情報文字列があるか否かを判定する（Ｓ１０３）。ここでの未処理とは、インデックスが作成されていないことを意味する。未処理の秘匿情報文字列が存在する場合（Ｓ１０３でＹＥＳ）、処理対象の秘匿情報文字列を１つ選択し（Ｓ１０４）、秘匿情報文字列から秘匿情報インデックスを生成する（Ｓ１０５）。インデックスは、一般に、文書に含まれる単語や文字、文字列の出現位置を目録として表現したものをいう。単語や文字、文字列毎に、それが出現する文書と文書内の位置を表現する転置インデックスを用いてもよい。文書内の単語や文字、文字列の解析においては、例えば、形態素解析やＮ−ｇｒａｍ等を用いてもよい。秘匿情報についてインデックスを生成した後、秘匿情報インデックスを記憶部、すなわち秘匿情報インデックス保存部１４ｃに保存する（Ｓ１０６）。

次に、ＣＰＵは、選択した秘匿情報文字列に対して隠蔽処理を施す（Ｓ１０７）。隠蔽処理は、例えば当該文字列の黒塗りである。隠蔽処理した秘匿情報文字列を処理済みとしてその旨のフラグを付ける（Ｓ１０８）。

さらに、ＣＰＵは、選択した秘匿情報文字列に関連付けられたダミー文字列を生成し、秘匿情報位置に埋め込み、秘匿情報とダミー文字列との対応関係をテーブルに追加する（Ｓ１０９）。Ｓ１０４〜Ｓ１０９の処理を、文書データ内の全ての秘匿情報文字列に対して実行する。なお、秘匿情報をダミー文字列で置換しない場合には、この処理は不要である。

文書データ内の全ての秘匿情報文字列に対してインデックス生成及び隠蔽処理並びテーブル追加を実行すると（Ｓ１０３でＮＯ）、ＣＰＵは、次に、非秘匿情報文字列を特定し（Ｓ１１０）、非秘匿情報文字列から非秘匿情報インデックスを生成する（Ｓ１１１）。非秘匿情報文字列についても、秘匿情報文字列と同様に、単語や文字、文字列毎に、それが出現する文書と文書内の位置を表現する転置インデックスを用いてもよい。また、文書内の単語や文字、文字列の解析において、形態素解析やＮ−ｇｒａｍ等を用いてもよい。非秘匿情報についてインデックスを生成した後、非秘匿情報インデックスを記憶部、すなわち非秘匿情報インデックス保存部１４ｄに保存する（Ｓ１１２）。

秘匿情報インデックス及び非秘匿情報インデックスを作成して保存し、秘匿情報文字列の隠蔽処理を施した後、ＣＰＵは、隠蔽処理した文書データを記憶部、すなわち文書保存部１４ｅに保存する（Ｓ１１３）。

図５は、本実施形態の処理フローチャートを示す。ログシステム１４における検索処理である。

利用者が端末１０を用いてログシステム１４にアクセスし、ＩＤ及びパスワードを用いてログインすると（Ｓ２０１）、ＣＰＵは、まず、検索対象インデックスとして非秘匿情報インデックスを追加する（Ｓ２０２）。

次に、ＣＰＵは、予め利用者毎の権限を規定したテーブルを参照することでログインした利用者のアクセス権限を確認し、秘匿情報を扱う権限を有しているか否かを判定する（Ｓ２０３）。

利用者が秘匿情報を扱う権限を有していない場合（Ｓ２０３でＮＯ）、検索対象インデックスはＳ２０２で追加したインデックスをそのまま維持する。他方、利用者が秘匿情報を扱う権限を有している場合（Ｓ２０３でＹＥＳ）、検索対象インデックスとして秘匿情報インデックスも追加する（Ｓ２０４）。

アクセス権限に応じて検索対象インデックスを切り替えた後、ＣＰＵは、検索対象インデックスを用いて検索を実行し（Ｓ２０５）、検索結果を端末１０に返信する（Ｓ２０６）。検索条件として秘匿情報文字列が指定されている場合、ＣＰＵは、テーブル保存部１４ｐに保存されたテーブルを参照してダミー文字列を特定し、検索条件としてダミー文字列が指定されたものとして検索を実行する。この意味で、テーブルは、検索条件を秘匿情報からダミー文字列に変換するテーブルといえる。そして、ダミー文字列を用いて検索した結果、ヒットした場合には、ヒットした位置も併せて端末１０に返信する。秘匿情報は黒塗り等で隠蔽処理されているから、ヒット位置は、隠蔽部分における位置を示すものとなる。なお、秘匿情報をダミー文字列で置換しない場合、検索条件に含まれる秘匿情報文字列の位置情報を端末１０に返信する。

図６は、本実施形態の処理を模式的に示す。

文書１００は、文書処理装置１２から受信した文書であり、秘匿情報を含む文書である。当然ながら隠蔽処理等は施されていない。

ログシステム１４は、この文書１００を対象として秘匿情報文字列を特定し、秘匿情報文字列に対して秘匿情報インデックスを生成して秘匿情報インデックス保存部１４ｃに保存し、秘匿情報文字列以外の非秘匿情報文字列に対して非秘匿情報インデックスを生成して非秘匿情報インデックス保存部１４ｄに保存する。また、秘匿情報文字列に対して隠蔽処理（図では黒塗り）を施して文書１０２を生成する。この文書１０２は文書保存部１４ｅに文書１０４として保存される。

利用者は、文書保存部１４ｅに保存された文書１０４を対象として検索を行う。特別なアクセス権限を有する利用者２００は、秘匿情報インデックス保存部１４ｃに保存された秘匿情報インデックス、及び非秘匿情報インデックス保存部１４ｄに保存された非秘匿情報インデックスを用いて文書１０４を検索するので、検索キーワードに秘匿情報文字列が含まれている場合には当該検索に秘匿情報文字列がヒットしてヒット結果が返信される。ヒット結果は、端末１０の画面に表示される。利用者２００は、文書１０４を認識することができる（但し、秘匿情報文字列は黒塗りされており視認できない）。他方、特別なアクセス権限を有しない利用者２０２は、非秘匿情報インデックス保存部１４ｄに保存された非秘匿情報インデックスのみを用いて文書１０４を検索するので、検索キーワードに秘匿情報文字列が含まれていても当該検索に秘匿情報文字列はヒットしない。従って、利用者２０２は、文書１０４の存在を認識することがない。図において、破線及びＸ印は、秘匿情報インデックス保存部１４ｃにアクセスできないことを示す。

本実施形態では、インデックス毎にアクセス権限を割り当てるのではなく、アクセス権限毎に検索対象のインデックスを切り替えて検索を実行するので、管理する文書の秘匿性を維持しつつも、処理性能の大幅な遅延を招くことなく検索性も確保し得る。

図７は、ログシステム１４からの検索結果を受信した端末１０の画面１１の表示例を示す。

画面１１には検索してヒットした文書１０４が表示される。この文書１０４は、既述したように秘匿情報が黒塗り３００等で隠蔽処理された文書である。また、文書１０４とともに、検索条件が一致（ヒット）した位置が黒塗り３００との関係において表示される。図７（ａ）において、一致位置は、特定形状の情報３０２、具体的には矩形マークとして表示される。一致位置は、ダミー文字列が存在する位置である。

勿論、一致位置を示す情報３０２の形状は任意であり、図７（ｂ）に示すように、黒塗り３００内の一致位置を特定色、例えば赤色の枠で表示してもよい。

このように、単に隠蔽処理された文書１０４を検索結果として表示するのではなく、隠蔽処理された部分のうちのどの位置において検索条件が一致したのかを報知することで、追跡性が確保される。すなわち、仮に秘匿情報を含む文書１００が流出した場合、そこに含まれる秘匿情報の位置と、文書１０４における秘匿情報の位置とが一致する場合には、確かに文書１００が流出したものとみなすことができる。

以上、本発明の実施形態について説明したが、本発明はこれに限定されるものではなく種々の変形が可能である。以下、変形例について説明する。

＜変形例１＞
実施形態では、秘匿情報インデックス生成部１４ｈは、秘匿情報文字列特定部１４ｇで特定した秘匿情報文字列に対して秘匿情報インデックスを生成しているが、秘匿情報文字列の前後の文字列を含めて秘匿情報インデックスを生成してもよい。例えば、
「文字列Ａ＜秘匿情報文字列＞文字列Ｂ」
なる文字列があった場合、秘匿情報文字列の前の文字列Ａと組合せて、
文字列Ａ＜秘匿情報文字列＞
を用いて秘匿情報インデックスを生成する。あるいは、秘匿情報文字列の後の文字列Ｂと組み合わせて、
＜秘匿情報文字列＞文字列Ｂ
を用いて秘匿情報インデックスを生成する。勿論、秘匿情報文字列の前の文字列Ａ及び後の文字列Ｂを組み合わせて、
文字列Ａ＜秘匿情報文字列＞文字列Ｂ
を用いて秘匿情報インデックスを生成してもよい。

これにより、非秘匿情報と秘匿情報の両方が混在した検索キーワードでも検索可能となる。

なお、秘匿情報文字列の前後の非秘匿情報文字列をどこまで含めるかは、例えば予め管理者が設定してログシステム１４に登録しておく。

＜変形例２＞
実施形態では、文書データの文字列を秘匿情報文字列と非秘匿情報文字列に分類しているが、秘匿情報文字列についてさらにその秘匿の程度（あるいは機密の程度）に応じて複数のレベルに分類し、それぞれのレベルに応じてインデックスを生成してもよい。例えば、秘匿情報文字列をレベル１の秘匿情報文字列とレベル２の秘匿情報文字列に分類し（ここで、レベル１よりもレベル２の方が秘匿の程度が高いものとする）、レベル１の秘匿情報文字列についてレベル１の秘匿情報インデックスを生成して記憶部に保存するとともに、レベル２の秘匿情報文字列についてレベル２の秘匿情報インデックスを生成して記憶部に保存する。利用者のアクセス権限に応じ、特別権限のない利用者に対しては非秘匿情報インデックスを用いて検索し、レベル１の特別権限を有する利用者に対してレベル１の秘匿情報インデックスを追加して検索し、レベル２の特別権限を有する利用者に対してさらにレベル２の秘匿情報インデックスを追加して検索してもよい。

＜変形例３＞
実施形態では、同一記憶部内に第１記憶部、第２記憶部、第３記憶部、及び第４記憶部を構成しているが、これらの記憶部を異なる記憶媒体に構成してもよい。例えば、第１記憶部を構成する記憶媒体と、第２記憶部〜第４記憶部を構成する記憶媒体とを別個なものとしてもよい。

また、実施形態では、図２に示すように秘匿情報インデックス保存部１４ｃと非秘匿情報インデックス保存部１４ｄとを別個のものとして区別しているが、必ずしも区別する必要はなく、要するに、検索インデックスとして秘匿情報インデックスと非秘匿情報インデックスを互いに識別して管理すればよく、例えば秘匿情報インデックスにはその旨を示すフラグを付して保存してもよい。

＜変形例４＞
実施形態では、ログシステム１４において受信した文書データに含まれる秘匿情報を特定しているが、ログシステム１４以外の装置において秘匿情報を特定し、特定した秘匿情報をログシステム１４に提供してもよい。

例えば、図１の構成では文書処理装置１２からログシステム１４に文書データを送信しているが、文書処理装置１２において文書データに含まれる秘匿情報を特定し、文書データとともに特定した秘匿情報をログシステム１４に送信してもよい。

＜変形例５＞
実施形態では、秘匿情報から秘匿情報インデックスを生成し、非秘匿情報から非秘匿情報インデックスを生成したが、秘匿情報を含む文書データ全体から第１検索インデックスを生成するとともに、秘匿情報を除外した非秘匿情報から第２検索インデックスを生成してもよい。この場合、特別権限を有する利用者に対しては第１検索インデックスを用いて検索を実行し、特別権限を有しない利用者に対しては第２検索インデックスを用いて検索を実行することになる。

＜変形例６＞
実施形態では、図４に示すように、秘匿情報文字列について隠蔽処理した後に秘匿情報文字列をダミー文字列に置換しているが、秘匿情報文字列をダミー文字列に置換した後に隠蔽処理してもよい。なお、秘匿情報文字列をダミー文字列に置換する処理は、元の秘匿情報が視認不能となるのであれば隠蔽処理に相当し得る。

＜変形例７＞
実施形態では、秘匿情報について第１検索インデックスを生成し、非秘匿情報について第２検索インデックスを生成して利用者の権限に応じて検索インデックスを切り替えて検索しているが、検索インデックス自体は従来と同様に文書データ全体を対象として生成し、秘匿情報文字列についてはダミー文字列に置換した上で隠蔽処理を施して文書保存部１４ｅに保存してもよい。これにより、検索性は別にしても、秘匿性を維持しつつも追跡性を確保し得る。

＜変形例８＞
実施形態では、特別権限のある利用者に対して検索条件が一致した位置情報も検索結果として端末１０に返信しているが、特別権限のレベルに応じて、検索条件が一致した位置情報を提供するか否かを決定してもよい。また、特別権限のある利用者からの要求の有無に応じて、検索条件が一致した位置情報を提供するか否かを決定してもよい。

１０ 端末、１２ 文書処理装置、１４ ログシステム、１００ 文書（受信文書）、１０２ 文書（処理文書）、１０４ 文書（保存文書）、２００ 特別権限ある利用者、２０２ 特別権限ない利用者、３００ 黒塗り、３０２ 一致位置情報。

Claims (13)

1. 秘匿情報が隠蔽された文書データを記憶する第１記憶部と、
   入力された検索条件に応じて前記文書データを検索する場合に、前記検索条件に含まれる前記秘匿情報を含む前記第１記憶部に記憶された前記文書データを検索結果として表示するに際し、前記文書データにおける前記秘匿情報が配置されている位置を明示して表示する表示制御部と、
   を備え、
   前記文書データに含まれる前記秘匿情報について生成された第１検索インデックスを記憶する第３記憶部と、
   前記秘匿情報以外の非秘匿情報について生成された第２検索インデックスを記憶する第４記憶部と、
   を備え、利用者の有する権限毎に前記第１検索インデックスと前記第２検索インデックスを切り替えて前記文書データを検索する
   文書管理装置。
2. 秘匿情報が隠蔽された文書データを記憶する第１記憶部と、
   前記秘匿情報をダミー情報に置換する置換部と、
   前記秘匿情報と前記ダミー情報との対応関係を規定するテーブルを記憶する第２記憶部と、
   入力された検索条件に応じて前記文書データを検索する場合に、前記検索条件に含まれる前記秘匿情報を前記テーブルに従って前記ダミー情報に変換して検索し、検索結果を提供する検索部と、
   を備え、
   前記文書データに含まれる前記秘匿情報について生成された第１検索インデックスを記憶する第３記憶部と、
   前記秘匿情報以外の非秘匿情報について生成された第２検索インデックスを記憶する第４記憶部と、
   を備え、利用者の有する権限毎に前記第１検索インデックスと前記第２検索インデックスを切り替えて前記文書データを検索する
   文書管理装置。
3. 前記ダミー情報は、検索条件の入力に使用されない記号である
   請求項２に記載の文書管理装置。
4. 前記検索結果には、隠蔽部分において前記検索条件が一致する位置の情報が含まれる
   請求項１〜３のいずれかに記載の文書管理装置。
5. 前記検索部は、特別権限を有する利用者に対して前記第１検索インデックス及び前記第２検索インデックスを用いて前記文書データを検索し、前記特別権限を有しない利用者に対して前記第２検索インデックスを用いて前記文書データを検索する、
   請求項１〜４のいずれかに記載の文書管理装置。
6. 前記検索部は、特別権限を有する利用者に対して前記第１検索インデックスを用いて前記文書データを検索し、前記特別権限を有しない利用者に対して前記第２検索インデックスを用いて前記文書データを検索する、
   請求項１〜４のいずれかに記載の文書管理装置。
7. 前記第１検索インデックスは、前記秘匿情報の文字列から生成される
   請求項１〜５のいずれかに記載の文書管理装置。
8. 前記第１検索インデックスは、前記秘匿情報の文字列と、その前後の非秘匿情報の文字列の少なくともいずれかの文字列との結合文字列から生成される
   請求項１〜５のいずれかに記載の文書管理装置。
9. 前記第１検索インデックスは、前記秘匿情報を含む前記文書データの文字列から生成される
   請求項６に記載の文書管理装置。
10. 文書処理装置と、
    前記文書処理装置からの文書データを受信する文書管理装置であって、
    秘匿情報が隠蔽された文書データを記憶する第１記憶部と、
    入力された検索条件に応じて前記文書データを検索する場合に、前記検索条件に含まれる前記秘匿情報を含む前記第１記憶部に記憶された前記文書データを検索結果として表示するに際し、前記文書データにおける前記秘匿情報が配置されている位置を明示して表示する表示制御部と、
    前記文書データに含まれる前記秘匿情報について生成された第１検索インデックスを記憶する第３記憶部と、
    前記秘匿情報以外の非秘匿情報について生成された第２検索インデックスを記憶する第４記憶部と、
    を備え、利用者の有する権限毎に前記第１検索インデックスと前記第２検索インデックスを切り替えて前記文書データを検索する文書管理装置と、
    前記文書管理装置に対して前記検索条件を送信し、前記文書管理装置からの前記検索結果を受信する端末と、
    を備える文書管理システム。
11. 文書処理装置と、
    前記文書処理装置からの文書データを受信する文書管理装置であって、
    秘匿情報が隠蔽された文書データを記憶する第１記憶部と、
    前記秘匿情報をダミー情報に置換する置換部と、
    前記秘匿情報と前記ダミー情報との対応関係を規定するテーブルを記憶する第２記憶部と、
    入力された検索条件に応じて前記文書データを検索する場合に、前記検索条件に含まれる前記秘匿情報を前記テーブルに従って前記ダミー情報に変換して検索し、検索結果を提供する検索部と、
    前記文書データに含まれる前記秘匿情報について生成された第１検索インデックスを記憶する第３記憶部と、
    前記秘匿情報以外の非秘匿情報について生成された第２検索インデックスを記憶する第４記憶部と、
    を備え、利用者の有する権限毎に前記第１検索インデックスと前記第２検索インデックスを切り替えて前記文書データを検索する文書管理装置と、
    前記文書管理装置に対して前記検索条件を送信し、前記文書管理装置からの前記検索結果を受信する端末と、
    を備える文書管理システム。
12. コンピュータに、
    文書データの秘匿情報を隠蔽処理するステップと、
    前記秘匿情報が隠蔽された文書データを第１記憶部に記憶するステップと、
    入力された検索条件に応じて前記文書データを検索する場合に、前記検索条件に含まれる前記秘匿情報を含む前記第１記憶部に記憶された前記文書データを検索結果として表示するに際し、前記文書データにおける前記秘匿情報が配置されている位置を明示して表示するステップと、
    前記文書データに含まれる前記秘匿情報について生成された第１検索インデックスを第３記憶部に記憶するステップと、
    前記秘匿情報以外の非秘匿情報について生成された第２検索インデックスを第４記憶部に記憶するステップと、
    利用者の有する権限毎に前記第１検索インデックスと前記第２検索インデックスを切り替えて前記文書データを検索するステップと、
    を実行させるプログラム。
13. コンピュータに、
    文書データの秘匿情報を隠蔽処理するステップと、
    前記文書データの前記秘匿情報をダミー情報で置換するステップと、
    前記秘匿情報が隠蔽された前記文書データを第１記憶部に記憶するステップと、
    前記秘匿情報と前記ダミー情報との対応関係を規定するテーブルを第２記憶部に記憶するステップと、
    入力された検索条件に応じて前記文書データを検索する場合に、前記検索条件に含まれる前記秘匿情報を前記テーブルに従って前記ダミー情報に変換して検索するステップと、
    検索結果を出力するステップと、
    前記文書データに含まれる前記秘匿情報について生成された第１検索インデックスを第３記憶部に記憶するステップと、
    前記秘匿情報以外の非秘匿情報について生成された第２検索インデックスを第４記憶部に記憶するステップと、
    利用者の有する権限毎に前記第１検索インデックスと前記第２検索インデックスを切り替えて前記文書データを検索するステップと、
    を実行させるプログラム。

Images