JP7272344B2 - システム内にユーザーの情報交換ユニットにある権限を設定する方法 - Google Patents

Description

本発明は、ＥＲＰ等の管理ソフトウェアシステムに関し、特にシステム内にユーザーの情報交換ユニットにある権限を設定する方法を関する。

ロールベースのアクセス制御（ＲＢＡＣ）は、近年最も多く研究されており、最も成熟したデータベース権限管理メカニズムの一つであり、従来の強制アクセス制御（ＭＡＣ）及び自律アクセス制御（ＤＡＣ）に代わる理想的な候補と考えられる。ロールベースのアクセス制御（ＲＢＡＣ）の基本的な考え方は、企業組織ビューのさまざまな機能的位置を分割して異なるロールを形成し、データベースリソースのアクセス権をロールにカプセル化するに従って、ユーザーは、異なるロールを割り当てられることにより、データベースリソースに間接的にアクセスする。

大量のテーブルとビューが大規模なアプリケーションシステムに組み込まれているため、データベースリソースの管理と承認が非常に複雑になる。ユーザーがデータベースリソースのアクセスと権限承認を直接管理することは非常に困難である。ユーザーはデータベース構造を十分に理解し、ＳＱＬ言語を使用に精通している必要があり、アプリケーションシステム構造またはセキュリティ要件が変更されたら、大量の複雑かつ面倒な承認変更を実行するために、予期しない承認エラーに引き起こされるセキュリティ脆弱性が非常に発生しやすい。したがって、大規模なアプリケーションシステムのために簡単かつ効率的な権限の管理方法を設計することは、システムとシステムユーザーの共通の要件になっている。

ロールベースの権限制御メカニズムにより、システムのアクセス権が簡単かつ効率的に管理できる。これにより、システム権限管理の負担とコストが大幅に削減され、さらに、システム権限管理は、アプリケーションシステムのビジネス管理仕様とより一致している。

ただし、従来のロールベースのユーザー権限管理は、「ロール対ユーザー、１対多」の関連付けメカニズムを採用し、「ロール」はグループ／クラスの性質を有する。つまり、一つのロールは複数のユーザーが同時期に対応／関連付できる。ロールは、役職／職務／職種の概念に似ている。この関連付けメカニズムに基づくユーザー権限の承認は、基本的に次の３つの形式と分けられる。１、図１に示すように、ユーザーが直接承認されるが、不利な点は、ワークロードが大きく、操作が頻繁且つ面倒である。２、図２に示すように、ロール（クラス／グループ／役職／職種）は承認され（一つのロールを複数のユーザーに関連付けることができる）、ユーザーはロールを介して権限を取得する。３、図３に示すように、上記の２つの方法が組み合わされている。

上記の説明では、２と３の両方にクラス／グループの性質を有するロールを承認する必要があり、クラス／グループ／役職／職種の性質を有するロールを介する承認及びワークフロー制御の方法には次の欠点がある。１、ユーザーのアクセス権限が変わる場合、操作が難しくなる。実際のシステム使用プロセスでは、多くの場合、運用プロセス中にユーザーの権限を調整する必要がある。たとえば、従業員の権限の変更を処理する場合、ロールの関連付けた従業員の権限を変更するが、ロールは権限の変更されない他の従業員も関連付けたことで、個々の従業員の権限の変更により、ロール全体の権限を変更することができない。そのため、この状況に対応して、権限の変更した従業員に適うために新しいロールを設立するか、権限要件に基づいて従業員を直接承認（ロールからの離脱）する。上記の２つの処理方法は、ロールの権限が多数ある場合、ロールの承認に長い時間がかかるだけでなく、ミスを犯しやすく、ユーザーの操作がわずらわしく、面倒であり、システムユーザーの損失につながるエラーも発生しやすい。

２、ロールの含む特定の権限を長期的に覚えることは困難である。ロールに複数の権限機能がある場合、時間が経つにつれて、ロールの特定の権限を覚えることは困難になり、権限の類似したロール間の権限差別を覚えるのがより難しくなる。新しいユーザーを関連付けると、どうやって関連付けるかを正確に判断することはできない。

３、ユーザーの権限が変わるため、ロールをさらに設立することをもたらす（新しいロールを設立しない場合、ユーザーを直接承認するのが大幅に増加する）。各ロール間の特定の差別を区別することはより困難である。

４、役職を調整するときに、異動するユーザーの多くの権限を他の複数のユーザーに割り当てる場合、異動するユーザーの権限を区分し、他の複数のユーザーを関連付けるためにそれぞれロールを設立する必要があるが、このような操作は、複雑であり、時間がかかるだけでなく、エラーがより発生しやすい。

既存の管理ソフトウェアの情報交換ユニット（例えば、知識ベース）では、複数のブロックを設定しており、各ブロックは様々な分野或は様々な部門情報に関わる。システム内のユーザーの情報交換ユニットの情報ブロックにある権限を有効的と適時に管理することができないと、システムの情報交換ユニットの情報ブロックが正常と有効的に運転することができないのにつながり易い。現行の権限設置方法には以下のいくつかある。第一、ユーザーに対して権限を直接設定する。ユーザーに対して権限を直接設定する方法を採用すると、ユーザーの仕事内容や職位等が変わる時、情報交換ユニットでの情報ブロックのその権限を適時に変更しない場合、情報漏洩を引き起こす。例えば、知識ベースユニットでは、開発資料ブロックや販売資料ブロックや財務資料ブロック等を設定する。財務部門の従業員は財務資料ブロックの資料をダウンロードすることがでる場合、従業員Ａが財務部門から販売部門に異動すると、従業員Ａの知識ベースユニットにある権限を適時に修正しない場合、従業員Ａを販売部に異動した後依然として財務資料ブロックの資料をダウンロードダウンロードすることができ、且つ財務資料ブロックの続に追加する資料を操作することもでき、従って、財務情報の漏洩につながる。その上、従業員Ａが販売資料ブロックの資料をダウンロードすることができないにつながり、その正常な作業に影響を及ぼす。

しかし、実際に、あるシステムに多くのユーザーがあり、ユーザーの作業内容と職位がよく変わり、これ等のユーザーの情報交換ユニットの情報ブロックにある権限を全部と適時に修正することを確保し難く、情報漏洩の隠す危険につながる。しかも、ユーザーの作業内容や職位等が変わる度に、そのユーザーの情報交換ユニットの情報ブロックにある権限を再度設置する必要があるので、権限を設定するために巨大な作業量を引き起こす。

第二、職種で権限を設定する。職種で権限を設定する方法を採用すると、同様に情報漏洩を引き起こし易い。例えば、ある情報交換ユニットに航空機事業販売ブロックと家具事業販売ブロックがあり、販売職種で権限を設定する（販売職種を全て検分するように以上の二つのブロックを設定する）と、家具事業部門の販売員は、航空機事業販売ブロックの情報が検分できることが現れる。従って、情報漏洩を引き起こす。

第三、部門で権限を設定する。部門で権限を設定する方法を採用すると、同様に情報漏洩を引き起こし易い。例えば、各部門に多くの職種があるとする。例えば、販売部に、販売エンジニアや、販売エンジニアを助けて資料を用意する事務員などがおり、生産部に組立作業員、テスト作業員などがいる。部門で権限を設定すると、異なる職種の人員にとって情報交換ユニットにある権限が一致する問題をもたらし、情報漏洩を引き起こし易い。別の例として、ある部門に職員、主管等がおり、主管のみに情報交換ユニットでの一つのブロックを加入させるのが実現できない。

その上、既存の幾つかの情報交換ユニットに更にブロックを分けないと、情報交換ユニットに入れる権限を持つ人員が情報交換ユニットでの情報を検分する操作等ことができるのにつながり、情報漏洩を引き起こし易い。例えば、ある販売員が情報交換ユニットで自分の仕事に関係のない開発情報等を検分することができ、従って、開発情報漏洩を引き起こす。

管理人員を設定する。人と直接設定する場合、張三は、現在、務めるのが販売管理の職種であり、且つ販売ブロックの管理を担当し、今に張三は生産をやるように移り変わり、他の人に張三のその販売ブロックに対する管理を引き継がせる必要がある。適時に設定しない場合、張三は会社の続く販売或は市場情報資料が見えるだけでなく、これ等の資料をダウンロード／修正／削除することができ、会社の情報漏洩を引き起こす。また一方で、そのブロックのウェブマスターがアップロードされた資料を審査する必要がある場合、張三は、その職位から移るので、その職務を担当しなっかたと分かると、今審査予定の資料を再度審査する必要がなく、提出された審査予定の資料は適時に審査されないと、ウェブマスターを新しく担当する人がそのブロックの作業を引き継いても、その任務が張三に移ったため、以前アップロードされた審査予定の資料を審査することができない。

本発明の目的は、現行技術の欠陥を克服し、システム内にユーザーの情報交換ユニットにある権限を設定する方法を提供し、従業員の作業内容や職務異動が変わる時、従業員の情報交換ユニッでの情報ブロックにある権限を単独に設定する必要がない。

本発明の目的は、以下の技術的手段により達成される。

システム内にユーザーの情報交換ユニットにある権限を設定する方法は、
（１）情報交換ユニットに一つ或は複数の情報ブロックを設定すること、
（２）各情報ブロックに参与ロールをそれぞれ設定し、前記参与ロールはシステム内の一つ或は複数のロールを含み、参与ロール中の各ロールの情報ブロックにある権限を設定し、各ロールは、グループ／クラスではなく、独立した個体であり、同時期に一つのロールが唯一のユーザーを関連付けることができ、一人のユーザが一つ或は複数のロールを関連付けること。
（３）システム内のユーザーとロールに関連関係を組み立てることを含む。

ステップ（１）、（２）を順番に実行し、ステップ（３）がステップ（１）の前、或はステップ（１）の後、ステップ（２）の前、或はステップ（２）の後に実行される。

優先的に、前記ロールの情報ブロックにある権限は、参与権限及び／又は管理権限を含む。

優先的に、前記参与権限は、資料を検分する（内容／情報）権限、資料をアップロードする（内容／情報）権限、資料をダウンロードする（内容／情報）権限、及び、資料を評価する（内容／情報）権限のうちの一種類或は複数の種類を含む。

優先的に、前記管理権限は、資料を検分する（内容／情報）権限、資料をアップロードする（内容／情報）権限、資料をダウンロードする（内容／情報）権限、資料を評価する（内容／情報）権限、資料を封印する（内容／情報）権限、資料を開封する（内容／情報）権限、資料を審査する（内容／情報）権限、及び、資料を削除することを評価する（内容／情報）権限のうちの一種類或は複数の種類を含む。

優先的に、前記管理権限は、少なくとも一つの段階を含む。

優先的に、ロールを作成した時或はロールを作成した後に前記ロールに一つの部門を選定すると、前記ロールが前記部門に属し、ロールの作業内容によりロールを承認し、且つ前記ロールの名称が前記部門に唯一であり、前記ロールの番号がシステムに唯一である。

優先的に、前記ユーザーが異動する時、ユーザーと元の職務に対応するロールの関連を取り消し、ユーザーを新しい職務に対応するロールに関連付ける。

優先的に、一人の従業員が一人のユーザに対応し、一人のユーザが一人の従業員に対応し、従業員がそれに対応するユーザーの関連付けるロールにより情報交換ユニットにある権限を決定（取得）する。前記従業員が離職した後その従業員に対応するユーザーを凍結し、その従業員が再度入職した後、その従業員の以前のユーザーを解凍してその従業員の現在のロールとする。ユーザーが凍結されている時、従業員に対応するユーザーとされない。

優先的に、管理権限を与えられるロールの関連付けるユーザーに対応する従業員が資料を審査する時、指定時間内に、資料の通過率＝審査結果が公開された且つ通過となる人数／審査結果が公開された総人数である。以上の説明に審査方式は承認方式となる可能性もある。

システム内にユーザーの情報交換ユニットにある権限を設定する方法は、情報交換ユニットのために一つ或は複数の情報ブロックを選定すること、システム内のロールの各情報ブロックにある権限を設定し、各ロールは、グループ／クラスではなく、独立した個体であり、同時期に一つのロールが唯一のユーザーを関連付けることができ、一人のユーザが一つ或は複数のロールを関連付けることこと、システム内のユーザーとロールに関連関係を組み立てることを含む。

本発明の有益な効果は次のとおりである。（１）本発明は、ロールがユーザーの情報交換ユニットにある情報ブロックの権限を設定することにより、ユーザーが異動する時、ユーザーと元の職務に対応するロールの関連を取り消し、ユーザーを新しい職務に対応するロールに関連付け、ユーザーの作業権限を変更しながらユーザーの情報交換ユニットにある情報ブロックの権限を変更することを実現し、ユーザーのために情報交換ユニットにある情報ブロックを再度変更するのを必要としなく、ユーザーの情報交換ユニットにある情報ブロックの権限を速やかに更新することを確保するだけでなく、ユーザーの情報交換ユニットにある情報ブロックの権限を設定するための作業量を大幅に削減する。

例えば、従業員Ａの作業内容は製品開発と製品販売を含む。ロール１の作業内容は製品開発であり、ロール１が開発資料ブロックに資料を検分し、資料をダウンロードし、資料をアップロードする権限を有する。ロール２の作業内容は製品販売であり、ロール２が販売資料ブロックに資料を検分し、資料をダウンロードし、資料をアップロードする権限を有する。ロール２の作業内容は製品生産であり、ロール２が製品生産資料ブロックに資料を検分し、資料をダウンロードし、資料をアップロードする権限を有する。ロール１とロール２を従業員に対応するユーザーにしか関連付けないと従業員Ａの作業内容を承認するだけでなく、従業員Ａに開発資料ブロックと販売資料ブロックに資料を検分し、資料をダウンロードし、資料をアップロードする権限を有させる。従業員Ａの作業内容を製品開発だけと調整すると、従業員Ａに対応するユーザーとロール２の関連のみを取り消すのが必要となってもよく、同時に、従業員Ａの作業内容と情報交換ユニットにある情報ブロックの権限を調整することを実現する。従業員Ａの作業内容を製品生産と調整すると、従業員Ａに対応するユーザーとロール１、ロール２の関連のみを取り消すのを必要となって従業員Ａに対応するユーザーをロール３に関連付け、同時に、従業員Ａの作業内容と情報交換ユニットにある情報ブロックの権限を調整することを実現する。

（２）本発明は、情報交換ユニットに複数の情報ブロックが設定されており、各情報ブロックにロールの権限をそれぞれ設定するにたがって、各情報ブロックの参与ロールを制限し、更にユーザーの各情報ブロックにある参与ロールを制限するのを達成し、各情報ブロックの情報が関係のない担当者に漏洩しないようにする。

（３）従来の権利管理メカニズムでは、ロールをグループや職種やクラスなどと定義し、ロールがユーザーとの１対多の関係にあり。実際にシステムを使用するプロセスでは、運用プロセス中にユーザーの権限を調整する必要がある。たとえば、従業員の権限変更を処理する場合、ロールを関連付ける従業員の権限が変更され、このロールは権限の変更しない他の従業員を関連付けるので、個々の従業員の権限を変更したため、全体のロールの権限が変更できない。そのため、この状況に対応して、権限を変更した従業員に適うために新しいロールを設立するか、権限要件に基づいて従業員を直接承認（ロールからの離脱）する。上記の２つの処理方法は、ロールの権限が多数ある場合、ロールの承認に長い時間がかかるだけでなく、ミスを犯しやすく、ユーザーの操作がわずらわしく、面倒であり、システムユーザーの損失につながるエラーも発生しやすい。

しかし、本発明の方法では、ロールが独立した個体であるため、ロール権限を変更して目標を達成することができる。本発明の方法は、システムの初期化時にワークロードを増加させるように見えるが、ロールの作成或は権限授与の効率は、コピーなどの方法によってグループの性質を有する従来のロールより高くさせる。ユーザーを関連つける時にグループの性質を有するロールの共通性を考慮しないため、この発明技術的手段は、承認設定を明確にさせる。特に、システムが一定期間使用された後（ユーザー／ロールの権限が動的に変化している）、この発明技術的手段は、システム使用時のシステム管理の効率を大幅に向上させ、動的承認をより簡単、便利、明確にさせ、権限設定の効率と信頼性を向上させる。

（４）従来のグループの性質を有するロールの承認方法はエラーが発生しやすく、本発明の方法では、従来の方法でこのグループの性質を有するロールを関連付ける複数のユーザーにどのような共通性があるかを考慮することなく、ロールを独立した個体として考慮するだけでよいため、本発明の方法は権限エラーの確率を大幅に低減させる。承認エラーが発生した場合でも、ロールを関連付けるその一人のユーザのみに影響するが、従来のグループの性質を有するロールは前記ロールを関連付ける全部のユーザーに影響する。承認エラーが発生した場合でも、本発明の修正方法は簡単であり、時間が短く、従来のグループの性質を有するロールはエラーを修正する時に前記ロールを関連付ける全部のユーザーの共通性を考えなければならない。機能ポイントが多い場合、変更が面倒且つ複雑であるだけでなく、非常にエラーが発生しやすく、且つ多くの場合、新しいロールを作成するだけで解決できる。

（５）従来のグループの性質を有するロールの承認方法では、ロールの権限機能ポイントが多くある場合、時間が長くなると、ロールの具体的な権限を覚えにくく、権限の近付くロールの間の区別を覚えるのはより困難である。本発明の方法のロール自身は、役職番号／職務番号の性質を有しており、選択は明らかである。

（６）異動するときに、異動されたユーザーの多くの権限を他のユーザーに割り当てる場合、処理する時に異動されたユーザーのこれ等の権限を区別して、他のユーザーを関連付けるようにロールをそれぞれ作成する必要がある。このような操作は、複雑であり、時間がかかるだけでなく、エラーが発生しやすくなる。

本発明の方法は次のとおりである。異動されたユーザーはいくつかのロールを関連付け、異動する場合、まず元の部門のロールとのユーザーの関連付けを取り消し（これ等の取り消されたロールは他のユーザーに再度関連付けることができる）、ユーザーは新しい部門のロールを関連付けてもよい。操作は簡単であり、エラーが生じない。

（７）ロールを作成する時或はロールを作成した後、一つの部門を選定するのを必要として前記ロールが前記部門に属した後、部門が変更できず、ロールは部門が変更できないのはなぜであるか？理由１：本発明のロールの性質は役職番号／職務番号と同等であるため、様々な役職番号／職務番号の作業内容／権限は異なる。例えば、販売部門の販売員１のロールと技術部門の開発者１のロールは、２つの役職番号／職務番号がまったく異なり、権限が違う。理由２：販売員１のロールの部門（販売部門）が技術部門に置き換えられる場合、販売員１のロールを変更しないと、技術部門には販売部門の権限を有するロールがある。これは、管理の混乱とセキュリティの脆弱性につながる可能性がある。

図１は、背景技術においてシステムがユーザーを直接承認する方法の概略図である。 図２は、背景技術においてシステムがグループ／クラスの性質を有するロールを承認する方法の概略図である。 図３は、背景技術においてシステムがユーザーを直接承認し、グループ／クラスの性質を有するロールを承認して組み合わせる方法の概略図である。 図４は、本発明の一種の実施例のフローチャートである。 図５は、本発明のシステムにおいて独立した個体の性質を有するロールを介してユーザーを承認する方法の概略図である。 図６は、本発明の他種の実施例のフローチャートである。

本発明の技術的手段は、添付の図面を参照して以下でさらに詳細に説明されるが、本発明の保護範囲は以下に限定されない。

図４に示すように、システム内にユーザーの情報交換ユニットにある権限を設定する方法は、以下のステップを含む。情報交換ユニットに複数の情報ブロック（或は情報の類別）を設定する。例えば、一つの知識ベースに電工ブロック、機械ブロック、化工ブロック、財務ブロック、管理ブロック等を設定する。

各情報ブロックに参与ロールをそれぞれ設定し、前記参与ロールはシステム内の一つ或は複数のロールを含み、参与ロール中の各ロールの情報ブロックにある権限を設定し、各ロールは、グループ／クラスではなく、独立した個体であり、同時期に一つのロールが唯一のユーザーを関連付けることができ、一人のユーザが一つ或は複数のロールを関連付ける。つまり、各情報ブロックに対して、システムのロールから一つ或は複数のロールを選定してその情報ブロックの参与ロールとし、且つその情報ブロックの参与ロール中の各ロールの情報ブロックにある権限を設定する。

図５に示すように、前記ロールは、グループ／クラスではなく、独立した個体であり、同時期に一つのロールが唯一のユーザーを関連付けることができ、一人のユーザが一つ或は複数のロールを関連付ける。ロールを作成した時或はロールを作成した後に前記ロールに一つの部門を選定すると、前記ロールが前記部門に属し、ロールの作業内容によりロールを承認し、且つ前記ロールの名称が前記部門に唯一であり、前記ロールの番号がシステムに唯一である。

ロールの定義：ロールは、グループ／クラス／カテゴリ／役職／職務／職種の性質を有しないが、非集合の性質を有する。ロールは唯一性を有し、独立して存在している個体である。ロールは企業や機関の応用で役職番号と同等である（役職番号はここで役職ではなく、一つの役職に同時に複数の従業員がいるが、一つの役職番号は同時に一人の従業員にしか対応できない）。

たとえば、会社のシステムは次のロールを設立する可能性がある。総経理、副総経理１、副総経理２、北京販売部Ｉの経理、北京販売部ＩＩの経理、北京販売部ＩＩＩの経理、上海販売エンジニア１、上海販売エンジニア２、上海販売エンジニア３、上海販売エンジニア４、上海販売エンジニア５等。ユーザーとロールの関連関係：その会社の従業員である張三は、会社の副総経理２を務め、同時に北京販売部Ｉの経理を務める場合、張三は副総経理２及び北京販売部Ｉの経理というロールを関連付ける必要がある。張三は両方のロールに対する権限を持っている。

従来のロールの概念は、グループ／クラス／役職／職務／職種の性質であり、一つのロールは複数のユーザーに対応できる。本発明の「ロール」の概念は、役職番号／職務番号と同等であり、映画やテレビドラマのロールに似ている。一つのロールは一つの俳優のみに同時に（幼年、少年、中年...）演じられ、一つの俳優は複数のロールを演じることができる。

前記ユーザーが異動する時、ユーザーと元の職務に対応するロールの関連を取り消し、ユーザーを新しい職務に対応するロールに関連付ける。ロールを作成した後、ユーザーを作成するプロセスでロールを関連付けることができ、または、ユーザーを作成した後、いつでもロールを関連付けることができる。ユーザーは、ロールを関連付けた後ロールとの関係がいつでも解除でき、他のロールとの関係がいつでも確立できる。

前記ロールの情報ブロックにある権限は参与ロール或は／及び管理権限を含む。従って、情報ブロックのユーザーを情報交換ユニットの情報ブロック中の参与ロールと管理ロールと分けることができる。参与ロールと管理ロールに異なる権限をそれぞれ与え（参与ロールに参与権限を与え、管理ロールに管理権限を与える）、情報交換ユニットの情報ブロックの正常な運転を維持するのに有利である。

前記参与権限は、資料を検分する権限、資料をアップロードする権限、資料をダウンロードする権限と資料を評価する権限等のうちの一種類或は複数の種類を含む。更に、参与権限は少なくとも資料を検分する権限を含む。

前記管理権限は、資料を検分する権限、資料をアップロードする権限、資料をダウンロードする権限、資料を評価する権限、資料を封印する権限、資料を開封する権限、資料を審査する権限、資料を削除することを評価する権限のうちの一種類或は複数の種類を含む。

一人の従業員が一人のユーザに対応し、一人のユーザが一人の従業員に対応し、従業員がそれに対応するユーザーの関連付けるロールにより権限を決定（取得）する。

前記管理権限は、少なくとも一つの段階を含む。例えば、管理権限は、二つの段階を含み、一つは普通の管理権限であり、もう一つは特殊な管理権限であり、その中に、普通の管理権限に対応する従業員は相応の情報ブロックの管理（例えば、資料を審査すること等）を行い、特殊な管理権限に対応する従業員は、普通の管理権限に対応する従業員の対する相応の情報ブロックの管理品質を監督する。

管理権限を与えられたロールに対応する従業員が資料を審査する時（例えば、アップロードされた資料を審査する時）、指定時間内（指定時間帯の設置を自分で定義することができる）に、資料の通過率＝審査結果が公開された且つ通過となる人数／審査結果が公開された総人数である。資料の通過率は、設定値より大きい及び／または等しいと、審査を可決し、それ以外に、審査を可決しなく、資料の審査周期を大幅に短縮する。

更に、普通の管理権限の権限内容は、資料を検分する権限、並びに資料を審査する権限、資料を削除する権限、資料を削除することを評価する権限のうちの一種類或は複数の種類、並びに資料をアップロードする権限、資料をダウンロードする権限、資料を評価する権限のうちの一種類或は複数の種類を含む。特殊な管理権限は、資料を検分する権限、資料を封印する権限、資料を開封する権限、並びに資料をアップロードする権限、資料をダウンロードする権限、資料を評価する権限、資料を審査する権限、資料を削除する権限、資料を削除することを評価する権限のうちの一種類或は複数の種類を含む。その中に、資料を封印することは、資料（資料を評価すること等の相関情報を含む）を隠し、資料を封印した後特殊な管理権限のみに対応する従業員は検分等の操作を行うことができ、普通の管理権限と参与権限に対応する従業員は封印された資料を検分することができない。資料を解封することは、封印された資料を再度表示し出し、解封した後資料を封印した前の最後の状態に回復する。

システム内のユーザーとロールに関連関係を組み立てる。

図６に示すように、システム内にユーザーの情報交換ユニットにある権限を設定する方法は、以下のステップを含む。情報交換ユニットに複数の情報ブロック（或は情報の類別）を設定する。例えば、一つの知識ベースに電工ブロック、機械ブロック、化工ブロック、財務ブロック、管理ブロック等を設定する。

システム内のロールの各情報ブロックにある権限を設定し、各ロールは、グループ／クラスではなく、独立した個体であり、同時期に一つのロールが唯一のユーザーを関連付けることができ、一人のユーザが一つ或は複数のロールを関連付ける。

前記ロールは、グループ／クラスではなく、独立した個体であり、同時期に一つのロールが唯一のユーザーを関連付けることができ、一人のユーザが一つ或は複数のロールを関連付ける。ロールを作成した時或はロールを作成した後に前記ロールに一つの部門を選定すると、前記ロールが前記部門に属し、ロールの作業内容によりロールを承認し、且つ前記ロールの名称が前記部門に唯一であり、前記ロールの番号がシステムに唯一である。

前記ユーザーが異動する時、ユーザーと元の職務に対応するロールの関連を取り消し、ユーザーを新しい職務に対応するロールに関連付ける。ロールを作成した後、ユーザーを作成するプロセスでロールを関連付けることができ、または、ユーザーを作成した後、いつでもロールを関連付けることができる。ユーザーは、ロールを関連付けた後ロールとの関係がいつでも解除でき、他のロールとの関係がいつでも確立できる。

前記ロールの情報ブロックにある権限は参与ロール或は／及び管理権限を含む。従って、情報ブロックのユーザーを情報交換ユニットの情報ブロック中の参与ロールと管理ロールと分けることができる。参与ロールと管理ロールに異なる／相応の権限をそれぞれ与え（参与ロールに参与権限を与え、管理ロールに管理権限を与える）、情報交換ユニットの情報ブロックの正常な運転を維持するのに有利である。

前記参与権限は、資料を検分する権限、資料をアップロードする権限、資料をダウンロードする権限と資料を評価する権限のうちの一種類或は複数の種類を含む。更に、参与権限は少なくとも資料を検分する権限を含む。

前記管理権限は、資料を検分する権限、資料をアップロードする権限、資料をダウンロードする権限、資料を評価する権限、資料を封印する権限、資料を開封する権限、資料を審査する権限、資料を削除することを評価する権限のうちの一種類或は複数の種類を含む。

一人の従業員が一人のユーザに対応し、一人のユーザが一人の従業員に対応し、従業員がそれに対応するユーザーの関連付けるロールにより権限を決定（取得）する。

前記管理権限は、少なくとも一つの段階を含む。例えば、管理権限は、二つの段階を含み、一つは普通の管理権限であり、もう一つは特殊な管理権限であり、その中に、普通の管理権限に対応する従業員は相応の情報ブロックの管理（例えば、資料を審査すること等）を行い、特殊な管理権限に対応する従業員は、普通の管理権限に対応する従業員の対する相応の情報ブロックの管理品質を監督する。

普通の管理権限の権限内容は、資料を検分する権限、資料をアップロードする権限、資料をダウンロードする権限、資料を評価する権限、資料を審査する権限、資料を削除する権限、及び、資料を削除することを評価する権限のうちの一種類或は複数の種類を含む。特殊な管理権限は、資料を検分する権限、資料をアップロードする権限、資料をダウンロードする権限、資料を評価する権限、資料を封印する権限、資料を開封する権限、資料を審査する権限、資料を削除する権限、及び、資料を削除することを評価する権限のうちの一種類或は複数の種類を含む。その中に、資料を封印することは、資料を隠し、資料を封印した後特殊な管理権限のみに対応する従業員は検分等の操作を行うことができ、普通の管理権限と参与権限に対応する従業員は封印された資料を検分することができない。資料を解封することは、封印された資料を再度表示し出し、解封した後に資料を封印した前の最後の状態に回復する。

システム内のユーザーとロールに関連関係を組み立てる。

上記は本発明の優先的な実施形態だけである。本発明は、本明細書に開示された形態に限定されないと理解され、他の実施形態を除くとみなされなく、却って様々な他の組み合わせや修正や環境に利用でき、本明細書のコンセプトの範囲内で、上記の教示または関連分野の技術または知識により修正を行うことができる。当業者に行われる修正及び変更は、本発明の趣旨及び範囲から逸脱するものではなく、全部と本発明に添付される請求項の範囲内にあるべきである。

Claims (8)

1. システム内にユーザーの情報交換ユニットにある権限を設定する方法であって、
   前記システムを制御する制御手段が、
   情報交換ユニットのために一つ或は複数の情報ブロックの設定を受け付けること、
   各情報ブロックのために参与ロールの設定をそれぞれ受け付け、前記参与ロールはシステム内の一つ或は複数のロールを含み、
   参与ロール中の各ロールの情報ブロックにある権限の設定を受け付け、各ロールは、グループ／クラスではなく、独立した個体であり、
   相異なる一の時期に一つのロールがそれぞれ異なる唯一のユーザーを関連付けることができ、一人のユーザーが一つ或は複数のロールを関連付けることができるように、ユーザーとロールの関連付けを受け付けて、システム内のユーザーとロールのために関連関係を組み立てることを含む方法。
2. 前記ロールの情報ブロックにある権限は、参与権限及び／又は管理権限を含む請求項１に記載の方法。
3. 前記情報ブロックにある権限に前記参与権限が含まれる場合、前記参与権限は、資料を検分する権限、資料をアップロードする権限、資料をダウンロードする権限、及び、資料を評価する権限のうちの一種類或は複数の種類を含む請求項２に記載の方法。
4. 前記情報ブロックにある権限に前記管理権限が含まれる場合、前記管理権限は、資料を検分する権限、資料をアップロードする権限、資料をダウンロードする権限、資料を評価する権限、資料を封印する権限、資料を開封する権限、資料を審査する権限、及び、資料を削除することを評価する権限のうちの一種類或は複数の種類を含む請求項２に記載の方法。
5. 前記情報ブロックにある権限に前記管理権限が含まれる場合、前記管理権限は、少なくとも一つの段階を含む請求項２に記載の方法。
6. 前記ユーザーが異動する時、前記制御手段が、前記ユーザーと元の職務に対応するロールの関連の取り消しを受け付け、前記ユーザーと新しい職務に対応するロールの関連付けを受け付ける請求項１に記載の方法。
7. 一人の従業員が一人のユーザーに対応し、一人のユーザーが一人の従業員に対応し、従業員が、該従業員に対応するユーザーに関連付けられたロールの権限を取得する請求項１に記載の方法。
8. システム内にユーザーの情報交換ユニットにある権限を設定する方法であって、
   前記システムを制御する制御手段が、
   情報交換ユニットのために一つ或は複数の情報ブロックの選定を受け付けること、
   システム内のロールの各情報ブロックにある権限の設定を受け付け、各ロールは、グループ／クラスではなく、独立した個体であり、
   相異なる一の時期に一つのロールがそれぞれ異なる唯一のユーザーを関連付けることができ、一人のユーザーが一つ或は複数のロールを関連付けることができるように、ユーザーとロールの関連付けを受け付けて、システム内のユーザーとロールのために関連関係を組み立てることを含む方法。

Images