JPWO2020050105A1 - ファイル閲覧システム、ファイル閲覧方法及び記憶媒体 - Google Patents

Abstract

照合対象者の生体情報と、電子ファイルに対応付けられている人物の生体情報とを照合する照合部と、前記照合部による照合の結果に基づいて、前記電子ファイルの閲覧を妨げる処理を行う閲覧阻止部と、を備えるファイル閲覧システムが提供される。

Description

本発明は、ファイル閲覧システム、ファイル閲覧方法及び記憶媒体に関する。

特許文献１、特許文献２及び特許文献３には、顔照合等の生体照合技術を活用してセキュリティ保護を実現する種々の技術が開示されている。特許文献１、特許文献２及び特許文献３の技術では、顔照合の結果に基づいて、機器の利用を制限する処理が行われている。

特開２００３−１４１０８８号公報 特開２００６−１１４０１８号公報 特開２０１５−２２６２９４号公報

特許文献１、特許文献２及び特許文献３に例示されているような生体照合を用いたセキュリティ保護技術を電子ファイルのセキュリティ保護に適用する際において、利便性を向上させる余地があった。

本発明は、上述の課題に鑑みてなされたものであって、電子ファイルのセキュリティ保護における利便性が向上されたファイル閲覧システム、ファイル閲覧方法及び記憶媒体を提供することを目的とする。

本発明の一観点によれば、照合対象者の生体情報と、電子ファイルに対応付けられている人物の生体情報とを照合する照合部と、前記照合部による照合の結果に基づいて、前記電子ファイルの閲覧を妨げる処理を行う閲覧阻止部と、を備える、ファイル閲覧システムが提供される。

本発明の他の一観点によれば、照合対象者の生体情報と、電子ファイルに対応付けられている人物の生体情報とを照合するステップと、前記照合の結果に基づいて、前記照合対象者による前記電子ファイルの閲覧を妨げる処理を行うステップと、を備える、ファイル閲覧方法が提供される。

本発明の他の一観点によれば、コンピュータに、照合対象者の生体情報と、電子ファイルに対応付けられている人物の生体情報とを照合するステップと、前記照合の結果に基づいて、前記照合対象者による前記電子ファイルの閲覧を妨げる処理を行うステップと、を備えるファイル閲覧方法を実行させるためのプログラムが記憶された記憶媒体が提供される。

本発明によれば、電子ファイルのセキュリティ保護における利便性が向上されたファイル閲覧システム、ファイル閲覧方法及び記憶媒体を提供することができる。

第１実施形態に係るファイル閲覧システムを含むネットワークの全体構成図である。 第１実施形態に係るファイル閲覧システムのハードウェア構成例を示すブロック図である。 第１実施形態に係るファイル閲覧システムの機能ブロック図である。 第１実施形態に係る処理の概略を示すシーケンスチャートである。 第１実施形態に係るファイル閲覧システムにより行われる特徴量取得の処理を示すフローチャートである。 電子ファイルに設定されている権限情報の例を示す表である。 ユーザの登録情報の例を示す表である。 第１実施形態に係るファイル閲覧システムにより行われる閲覧開始前の処理を示すフローチャートである。 電子ファイルのコンテンツの例を示す図である。 マスクパターンの表示例を示す図である。 マスクパターンの表示例を示す図である。 マスクパターンの表示例を示す図である。 第１実施形態に係るファイル閲覧システムにより行われる閲覧中の処理を示すフローチャートである。 第２実施形態に係るファイル閲覧システムの機能ブロック図である。 第２実施形態に係るファイル閲覧システムにより行われる閲覧中の処理を示すフローチャートである。 第３実施形態に係るファイル閲覧システムの機能ブロック図である。 第３実施形態に係るファイル閲覧システムにより行われる閲覧開始前の処理を示すフローチャートである。 第４実施形態に係るファイル閲覧システムの機能ブロック図である。 類似度の閾値設定値の変化例を示すグラフである。

以下、図面を参照して、本発明の例示的な実施形態を説明する。図面において同様の要素又は対応する要素には同一の符号を付し、その説明を省略又は簡略化することがある。

［第１実施形態］
本実施形態に係るファイル閲覧システムについて、図１乃至図１３を参照しつつ説明する。本実施形態のファイル閲覧システムは、ユーザが電子ファイルの閲覧を行うためのシステムである。また、本実施形態のファイル閲覧システムは、顔画像、顔画像から生成された特徴量等の生体情報を用いた生体照合によりユーザの閲覧権限を判定し、ユーザが閲覧権限を有していない場合に電子ファイルの閲覧を妨げる処理を行う機能を有する。

なお、本実施形態における閲覧の対象である電子ファイルのコンテンツの種類は特に限定されない。当該コンテンツは、例えば、文書、スプレッドシート、プレゼンテーション用スライド、図面、プログラムコード、動画等を含み得る。また、ファイル閲覧システムは、これらのコンテンツの表示に用いられる閲覧ソフトウェア（ビューワ）を備えている。

また、本実施形態における生体照合は、一例として、顔画像を生体情報として用いる顔照合であるものとするが、これ以外の生体照合であってもよい。他の例としては、虹彩の模様を用いる虹彩照合、耳介の形状を用いる耳介照合等が用いられ得る。しかしながら、電子ファイルの閲覧時における生体情報の取得の容易性、照合精度等を総合的に考慮すると、本実施形態における生体照合は、顔照合であることが望ましい。以下の説明においては、特記した場合を除き、生体照合として顔照合が用いられているものとする。

図１は、本実施形態に係るファイル閲覧システムを含むネットワークの全体構成図である。このネットワークは、例えば、社内のＬＡＮ（Local Area Network）であり得る。図１に示されているように、ネットワークは、互いに通信可能に接続されたファイル閲覧システム１００と管理サーバ２００とを備える。

ファイル閲覧システム１００は、ユーザが電子ファイルの閲覧に用いることができる装置を含んでいればよく、例えば、デスクトップＰＣ（Personal Computer）、ノートＰＣ、タブレットＰＣ等のコンピュータであり得る。管理サーバ２００は、例えば、ファイル閲覧システム１００又はネットワークにアクセスするユーザの権限情報管理、顔照合用の顔画像等の記録等を行うサーバである。

なお、本ネットワークは、例えば、ユーザが業務等に使用する電子ファイルを記憶するデータサーバ、電子ファイル、メッセージ等を他のユーザとやりとりするためのメールサーバを更に備えていてもよい。あるいは、管理サーバ２００は、データサーバの機能、メールサーバの機能等を更に備えていてもよい。

例えば、本ネットワークが企業の基幹システムである場合には、ファイル閲覧システム１００はエンドユーザ端末であり、管理サーバ２００はユーザ管理サーバであり得る。

図２は、ファイル閲覧システム１００のハードウェア構成例を示すブロック図である。ファイル閲覧システム１００は、演算、制御及び記憶を行うコンピュータとして、ＣＰＵ（Central Processing Unit）１５１、ＲＡＭ（Random Access Memory）１５２、ＲＯＭ（Read Only Memory）１５３及びＨＤＤ（Hard Disk Drive）１５４を備える。また、ファイル閲覧システム１００は、通信Ｉ／Ｆ（インターフェース）１５５、表示装置１５６、入力装置１５７及び撮像装置１５８を備える。ＣＰＵ１５１、ＲＡＭ１５２、ＲＯＭ１５３、ＨＤＤ１５４、通信Ｉ／Ｆ１５５、表示装置１５６、入力装置１５７及び撮像装置１５８は、バス１５９を介して相互に接続される。なお、表示装置１５６、入力装置１５７及び撮像装置１５８は、これらの装置を駆動するための不図示の駆動装置を介してバス１５９に接続されていてもよい。

図２では、ファイル閲覧システム１００を構成する各部が一体の装置として図示されているが、これらの機能の一部は外付け装置により提供されるものであってもよい。例えば、表示装置１５６、入力装置１５７及び撮像装置１５８は、ＣＰＵ１５１等を含むコンピュータの機能を構成する部分とは別の外付け装置であってもよい。

ＣＰＵ１５１は、ＲＯＭ１５３、ＨＤＤ１５４等に記憶されたプログラムに従って所定の演算を行うとともに、ファイル閲覧システム１００の各部を制御する機能をも有するプロセッサである。ＲＡＭ１５２は、揮発性記憶媒体から構成され、ＣＰＵ１５１の動作に必要な一時的なメモリ領域を提供する。ＲＯＭ１５３は、不揮発性記憶媒体から構成され、ファイル閲覧システム１００の動作に用いられるプログラム等の必要な情報を記憶する。ＨＤＤ１５４は、不揮発性記憶媒体から構成され、処理に必要なデータ、ファイル閲覧システム１００の動作用プログラム等の記憶を行う記憶装置である。

通信Ｉ／Ｆ１５５は、イーサネット（登録商標）、Ｗｉ−Ｆｉ（登録商標）、４Ｇ等の規格に基づく通信インターフェースであり、他の装置との通信を行うためのモジュールである。表示装置１５６は、液晶ディスプレイ、ＯＬＥＤ（Organic Light Emitting Diode）ディスプレイ等であって、電子ファイルのコンテンツ、ＧＵＩ（Graphical User Interface）等の表示に用いられる。入力装置１５７は、キーボード、ポインティングデバイス等であって、ユーザがファイル閲覧システム１００を操作するために用いられる。ポインティングデバイスの例としては、マウス、トラックボール、タッチパネル、ペンタブレット等が挙げられる。表示装置１５６及び入力装置１５７は、タッチパネルとして一体に形成されていてもよい。

撮像装置１５８は、被写体を撮影して静止画又は動画の電子データを生成するデジタルカメラ等の装置である。撮像装置１５８は、ＣＭＯＳ（Complementary Metal Oxide Semiconductor）イメージセンサ等の撮像素子、制御回路、信号処理回路等を含んで構成される。撮像装置１５８は、ファイル閲覧システム１００を使用しているユーザが撮影範囲に含まれる位置に設置される。撮像装置１５８が設置される位置は、例えば、表示装置１５６の表示領域の外枠であり得る。これにより、ファイル閲覧システム１００を使用しようとして表示装置１５６を見ているユーザの顔画像の撮影が可能となる。

なお、図２に示されているハードウェア構成は例示であり、これら以外の装置が追加されていてもよく、一部の装置が設けられていなくてもよい。また、一部の装置が同様の機能を有する別の装置に置換されていてもよい。更に、本実施形態の一部の機能がネットワークを介して他の装置により提供されてもよく、本実施形態の機能が複数の装置に分散されて実現されるものであってもよい。例えば、ＨＤＤ１５４は、半導体メモリを用いたＳＳＤ（Solid State Drive）に置換されていてもよく、クラウドストレージに置換されていてもよい。

図３は、本実施形態に係るファイル閲覧システム１００の機能ブロック図である。ファイル閲覧システム１００は、権限情報取得部１０１、特徴量取得部１０２、画像取得部１０３、特徴量算出部１０４、照合部１０５、表示情報生成部１０６、閲覧阻止部１０７、ログ生成部１０８及び記憶部１０９を有する。

ＣＰＵ１５１は、ＲＯＭ１５３、ＨＤＤ１５４等に記憶されたプログラムをＲＡＭ１５２にロードして実行する。これにより、ＣＰＵ１５１は、権限情報取得部１０１、特徴量算出部１０４、照合部１０５、表示情報生成部１０６、閲覧阻止部１０７及びログ生成部１０８の機能を実現する。ＣＰＵ１５１は、当該プログラムに基づいて通信Ｉ／Ｆ１５５を制御することにより特徴量取得部１０２の機能を実現する。ＣＰＵ１５１は、当該プログラムに基づいて撮像装置１５８を制御することにより画像取得部１０３の機能を実現する。ＣＰＵ１５１は、当該プログラムに基づいてＨＤＤ１５４を制御することにより記憶部１０９の機能を実現する。これらの各部で行われる具体的な処理については後述する。

図４は、本実施形態に係るファイル閲覧システム１００により行われる処理の概略を示すシーケンスチャートである。本処理は、ユーザがファイル閲覧システム１００に対し、電子ファイルを閲覧するための操作を行ったときに開始される。具体的には、ユーザが閲覧ソフトウェアに対して電子ファイルを開く操作を行ったときに本処理が開始される。したがって、ファイル閲覧システム１００の起動中に常時本処理を行うことは必須ではない。まず、図４を参照しつつ、ファイル閲覧システム１００により行われる処理の概略を説明する。

ステップＳ１１からステップＳ１４は、顔照合に用いられる特徴量の取得を行う処理である。ステップＳ１１において、ファイル閲覧システム１００は、ユーザが閲覧しようとする電子ファイルに対応付けられている権限情報を参照して、当該ファイルを閲覧可能な人物の範囲を特定する。なお、ユーザは、顔照合の対象者であることから、より一般的に照合対象者と呼ばれることもある。

ステップＳ１２において、ファイル閲覧システム１００は、電子ファイルを閲覧可能な人物の顔画像の特徴量を取得するため、管理サーバ２００に対して特徴量を提供するよう要求する信号を送信する。ステップＳ１３において、管理サーバ２００は、ファイル閲覧システム１００から要求された特徴量をファイル閲覧システム１００に送信する。

ステップＳ１４において、ファイル閲覧システム１００は、電子ファイルを閲覧しようとするユーザの顔画像を撮影し、顔画像から特徴量を生成する。

ステップＳ１５は、ユーザが電子ファイル閲覧を開始する前に実行される顔照合の処理である。ステップＳ１５において、ファイル閲覧システム１００は、ユーザの顔画像から生成された特徴量と、管理サーバ２００から提供された電子ファイルを閲覧可能な人物の顔画像の特徴量とを照合する。ユーザが電子ファイルを閲覧可能な人物である場合には、電子ファイルのコンテンツが表示装置１５６の表示領域に表示され、ユーザが電子ファイルを閲覧可能な状態となる。ユーザが電子ファイルを閲覧可能な人物でない場合には、電子ファイルの閲覧を妨げる処理が行われる。

ステップＳ１６は、ユーザが電子ファイル閲覧を行っている際に実行される顔照合の処理である。ファイル閲覧システム１００は、電子ファイルを閲覧可能な期間に所定の間隔でユーザの顔画像の取得及び顔照合を繰り返し行う。この顔照合により、電子ファイルを閲覧可能な人物でない人物が検出された場合、ユーザが不在となった場合等には、電子ファイルの閲覧を妨げる処理が行われる。

次に、図４に示した特徴量取得の処理、閲覧開始前の処理、閲覧中の処理のそれぞれについて、より詳細に説明する。図５は、ファイル閲覧システム１００により行われる特徴量取得の処理を示すフローチャートである。

図５のステップＳ１０１は、図４のステップＳ１１に対応する処理である。ステップＳ１０１において、権限情報取得部１０１は、ユーザが閲覧しようとする電子ファイルに対応付けられている権限情報を参照して、当該電子ファイルを閲覧可能な人物の範囲を特定する。ここで、権限情報は電子ファイルごとに設定されており、各電子ファイルには、重要度、機密度等に応じて異なる権限が設定され得る。この権限情報は、典型的には、電子ファイル内に保持され得るものであるが、別のファイルに格納されていてもよい。

図６は、電子ファイルに設定されている権限情報の例を示す表である。権限の設定は、ユーザごと又はユーザが所属するグループごとに設定され得る。ユーザは、氏名、社員番号等の個人を識別可能な名称で設定される。グループの種類としては、例えば、図６に示されている「Ａ事業部」、「Ｂ事業部」のような所属、「一般社員」、「マネージャー」のような役職があり得る。ユーザとグループの対応関係については、電子ファイルに設定されていてもよく、管理サーバ２００に記憶されていてもよい。本例では、ユーザとグループの対応関係が管理サーバ２００に記憶されているものとする。

設定可能な権限は、図６に示されているような「閲覧」、「変更」等があり得る。「閲覧」は、電子ファイルを閲覧することができる権限を示しており、「変更」は、電子ファイル内のコンテンツに編集、追加、削除等の変更を行うことができる権限を示している。各ユーザ及び各グループについて、「許可」又は「拒否」の権限が設定可能である。例えば、図６に示されているように、ユーザ「ＡＡＡ」には、「閲覧」及び「変更」について「許可」が設定されており、「閲覧」及び「変更」の権限を有している。これに対し、ユーザ「ＤＤＤ」は、「閲覧」及び「変更」の権限をいずれも有していない。

グループについて権限が設定されている場合には、グループに所属するすべてのユーザに対して同様の権限が設定される。また、「拒否」は権限を有しないことを示している。あるユーザに対して、「許可」が設定されているが、当該ユーザが所属するグループには「拒否」が設定される場合がある。このように、１人のユーザに「許可」と「拒否」の両方が設定された場合には、「拒否」が優先される。すなわち、図６の例では、Ｂ事業部に所属するユーザは、仮に個別に「許可」が設定されていたとしてもグループの「拒否」が優先されるので、「閲覧」及び「変更」の権限を有しない。

図６の例では、ユーザ「ＡＡＡ」、ユーザ「ＢＢＢ」及びユーザ「ＣＣＣ」が電子ファイルの閲覧権限を有している。したがって、権限情報取得部１０１は、ユーザ「ＡＡＡ」、ユーザ「ＢＢＢ」及びユーザ「ＣＣＣ」を電子ファイルの閲覧が可能な人物として特定する。

図５のステップＳ１０２は、図４のステップＳ１２に対応する処理である。ステップＳ１０２において、特徴量取得部１０２は、電子ファイルを閲覧可能な人物の顔画像の特徴量を取得するため、管理サーバ２００に対して特徴量を提供するよう要求する信号を送信する。図６の例では、特徴量取得部１０２は、ユーザ「ＡＡＡ」、ユーザ「ＢＢＢ」及びユーザ「ＣＣＣ」の特徴量の提供を要求する。

なお、ステップＳ１０２での処理において、グループに設定されている権限情報を管理サーバ２００に送信することができる。ユーザの権限とグループの権限が交錯しており、更にグループとユーザとの対応関係がファイル閲覧システム１００側ではなく管理サーバ２００で管理されている場合には、ユーザの閲覧権限の有無は、管理サーバ２００側で判定する必要があるためである。この場合、管理サーバ２００は受信した情報に基づいて、電子ファイルの閲覧が可能な人物を特定する。

図７は、管理サーバ２００に記憶されているユーザの登録情報の例を示す表である。図７に示されるように、管理サーバ２００には、顔画像データ、特徴量等がユーザと対応付けて記憶されている。また、管理サーバ２００には、ユーザの所属、役職等のようなユーザの属性を示す情報がユーザと対応付けて記憶されている。

図５のステップＳ１０３は、図４のステップＳ１３に対応する処理である。ステップＳ１０３において、管理サーバ２００は、ユーザ「ＡＡＡ」、ユーザ「ＢＢＢ」及びユーザ「ＣＣＣ」にそれぞれ対応する特徴量「ａａａ．ｄａｔ」、特徴量「ｂｂｂ．ｄａｔ」及び特徴量「ｃｃｃ．ｄａｔ」をファイル閲覧システム１００に送信する。特徴量取得部１０２は、管理サーバ２００から電子ファイルの特徴量「ａａａ．ｄａｔ」、特徴量「ｂｂｂ．ｄａｔ」及び特徴量「ｃｃｃ．ｄａｔ」を受信して、これらの特徴量を取得する。取得した特徴量は、記憶部１０９に記憶される。

図５のステップＳ１０４及びステップＳ１０５は、図４のステップＳ１４に対応する処理である。ステップＳ１０４において、画像取得部１０３は、撮像装置１５８を制御してユーザの顔を含むように表示装置１５６の表示領域の前方を撮影する。記憶部１０９は、この撮影により取得された顔画像を記憶する。

ステップＳ１０５において、特徴量算出部１０４は、顔画像から特徴量を算出する。この特徴量の算出処理は、例えば、顔画像から顔領域を検出し、顔領域に含まれる目、口角等の特徴点の位置を特徴量として算出する処理であり得る。記憶部１０９は、この撮影により取得された特徴量を記憶する。

なお、ステップＳ１０３において、管理サーバ２００は、特徴量ではなく顔画像データを送信してもよい。この場合、権限情報取得部１０１において顔画像データから特徴量の算出する処理を追加することで、特徴量を取得することができ、同様の照合処理を行うことができる。また、ステップＳ１０３において、管理サーバ２００は、特徴量と顔画像データの双方を送信してもよい。

また、図５において、ステップＳ１０１からＳ１０３までの処理とステップＳ１０４、Ｓ１０５の処理の順序は逆であってもよい。

図８は、ファイル閲覧システム１００により行われる閲覧開始前の顔照合の処理を示すフローチャートである。図８に示されているステップＳ２０１からステップＳ２０５は、図４のステップＳ１５に対応する処理である。

ステップＳ２０１において、照合部１０５は、ステップＳ１０３において取得されたユーザの特徴量と、ステップＳ１０５において取得された閲覧権限保持者の特徴量とを照合する。この照合において、ユーザの特徴量が、閲覧権限保持者の特徴量のいずれかと合致した場合（ステップＳ２０２においてＹＥＳ）、処理はステップＳ２０３に移行する。ユーザの特徴量が、閲覧権限保持者の特徴量のいずれとも合致しなかった場合（ステップＳ２０２においてＮＯ）、処理はステップＳ２０４に移行する。なお、ユーザが退席している、ユーザが横を向いている等の理由により、照合に失敗した場合にも合致しなかった場合と同様に、処理はステップＳ２０４に移行する。

ステップＳ２０３において、表示情報生成部１０６は、電子ファイルのコンテンツを表示装置１５６の表示領域に表示させるための表示情報を生成する。表示装置１５６は、当該表示情報を表示領域に表示させる。これにより、ユーザはコンテンツを閲覧することができる。

ステップＳ２０４において、閲覧阻止部１０７は、電子ファイルの閲覧を妨げる処理を行う。具体的には、コンテンツの閲覧を妨げるマスクパターンをコンテンツの上に重ねて表示することによりこの処理が実現される。

図９乃至図１２を参照して、ステップＳ２０４におけるマスクパターンの表示例を説明する。図９は電子ファイルのコンテンツの例を示す図である。図９には、コンテンツの例として、Ａ事業部方針書のプレゼンテーションのスライド３０１の５ページ目が示されている。ステップＳ２０３において、表示の処理が行われると表示装置１５６の表示領域には図９のようなスライド３０１が表示される。

図１０乃至図１２は、マスクパターンの表示例を示す図である。図１０は、ステップＳ２０４における処理後に表示装置１５６の表示領域に表示されるスライド３０１の一例を示している。図１０に示されているように、スライド３０１の上にマスクパターン３０２が表示されている。これにより、スライド３０１の閲覧が妨げられている。マスクパターン３０２の色、模様等は、スライド３０１を閲覧できないようなものであれば特に限定されない。例えば、図１０のようなハッチングパターンであってもよく、黒色等の単色による塗り潰しであってもよい。しかしながら、マスクパターン３０２は、ユーザが閲覧権限を有しないことを認識することができるように、スライド３０１のデザインと明らかに異なるものであることが望ましい。

図１１は、マスクパターンの別の例を示している。本例では、コンテンツは、閲覧制限がなされている第１の部分と、閲覧制限がなされていない第２の部分を含んでいる。そして、マスクパターン３０３は、第１の部分のみに重なるように配されている。図１１の例では、「Ａ事業部方針書」、「５ページ」のような機密度の低い第２の部分だけが閲覧可能となっており、「Ａ事業部目標」のような機密度が高い第１の部分はマスクパターン３０３により閲覧が制限されている。このように本例では、機密度等に応じてマスクする部分とマスクしない部分を区別して閲覧制限を行うことができる。

なお、上述の第１の部分と第２の部分は、ページ単位で設定されていてもよい。例えば、機密度の高い５ページ目に対して図１０のようなマスクパターン３０２を表示し、その他のページにはマスクパターンを表示しないというようなものであってもよい。また、第１の部分と第２の部分は、文単位又は単語単位で設定されていてもよい。例えば、文書の中の特定の一文に顧客の営業秘密が含まれている場合にその一文のみを第１の部分として設定してもよい。また、例えば、売上額等の数字の部分、顧客の氏名等、特定の単語の機密度が高い場合には、特定の単語のみを第１の部分として設定してもよい。

また、ユーザごとに第１の部分と第２の部分の範囲を異ならせてもよい。この場合、ユーザごとに閲覧可能範囲を多段階に変えることができる。これにより、複数のユーザに対して閲覧可能範囲を変えた場合であっても、同じファイルを配布することができ、利便性が向上する。また、ユーザごとに別のファイルを配布する場合と比べて誤配布のリスクが低減する。仮に誤配布が生じたとしても、通常、誤配布されたユーザは権限を有しないため、誤配布時に機密情報を見られるおそれも低減される。

図１２は、マスクパターンの更に別の例を示している。本例では、マスクパターン３０４は、メッセージ３０５、３０６を含んでいる。メッセージ３０５は、図１２に示されるように「閲覧不許可」の文字であり、電子ファイルの閲覧を許可しない旨を示す情報をユーザに提示している。メッセージ３０５を表示することにより、ユーザが閲覧権限を有していないことをより確実にユーザに認識させることができる等、ユーザに対して情報を提示することができる。

メッセージ３０６は、図１２に示されるように「閲覧権限申請先」の文字及び申請すべき担当者の氏名及び内線番号であり、電子ファイルの閲覧を要求するための連絡先の情報をユーザに提供している。メッセージ３０６を表示することにより、単に閲覧制限がなされているという事実だけでなく、閲覧権限を解除したいユーザに対して連絡先を提示することができる。

なお、閲覧阻止部１０７による電子ファイルの閲覧を妨げる処理はマスクパターンの表示以外の処理であってもよい。例えば、電子ファイルのコンテンツを表示させている閲覧ソフトウェアを制御してコンテンツを非表示とするものであってもよく、表示装置１５６を制御して表示領域を非表示とするものであってもよい。また、ファイル閲覧システム１００全体を制御してファイル閲覧システム１００をシャットダウンする等により表示を妨げるものであってもよい。しかしながら、ユーザに対する作業妨害を最小限にする観点から、マスクパターンを重ねる処理であることが望ましい。また、マスクパターンを重ねる処理は、閲覧ソフトウェアの処理を変更しなくても実現可能であるため、従来の閲覧ソフトウェアを利用可能である利点がある。

ステップＳ２０５において、ログ生成部１０８は、当該電子ファイルが閲覧されたことを示すログを生成する。生成されたログは、記憶部１０９に記憶される。ここで、ログは、閲覧したユーザ、ファイル閲覧システム１００のハードウェア識別情報、電子ファイルのファイル名、閲覧日時、編集の有無、マスクをしたか否か等の情報を含み得る。なお、ログは電子ファイルごとに生成されてもよく、複数の電子ファイルに共通のログが生成されてもよい。また、生成されたログは、管理サーバ２００に送信されてもよい。この場合、管理サーバ２００は、電子ファイルの閲覧記録を一括して管理することができる。

図１３は、ファイル閲覧システム１００により行われる閲覧中の顔照合の処理を示すフローチャートである。図１３に示されている一連の処理は、図４のステップＳ１６において繰り返し行われる顔照合の１サイクル分を示している。なお、閲覧中に図１３の処理が行われる頻度は特に限定されず、例えば、１秒あたり１回のように固定された頻度であってもよく、ユーザ、電子ファイルの機密度等によって異なる頻度であってもよく、顔照合の処理速度に応じた頻度であってもよい。

図１３のステップＳ１０４、Ｓ１０５の処理は、図５のステップＳ１０４、Ｓ１０５の処理と同一であるため説明を省略又は簡略化する。また、図１３のステップＳ２０１、Ｓ２０５の処理は、図８のステップＳ２０１、Ｓ２０５の処理と同一であるため説明を省略又は簡略化する。

なお、ステップＳ２０１での照合は、例えば、図８の処理と同様に、ステップＳ１０４で撮影されたユーザの特徴量と、複数の閲覧権限保持者の特徴量とを照合するものであり得る。しかしながら、図１３の照合ですべての閲覧権限保持者に対する照合を行うことは必須ではなく、例えば、ステップＳ１０４で撮影されたユーザの特徴量と、閲覧開始前の照合時に特定された閲覧権限保持者の特徴量とを１対１で照合するものであってもよい。通常、電子ファイルの閲覧者が途中で入れ替わることは少なく、閲覧者が入れ替わった場合には閲覧権限を有しない人物に入れ替わったものと扱っても多くの場合差し支えないためである。この方式では、照合回数を少なくすることができるため、照合速度を向上させることができる。なお、この構成において、閲覧開始前の照合時における閲覧権限保持者の特定は、顔照合以外の方法で行われてもよい。例えば、ＩＤ番号（Identification number）とパスワードとを入力させることによる人物特定であってもよく、社員証等のＩＤ情報が記録された媒体を用いた人物特定であってもよい。

ステップＳ２０１での照合において、ユーザの特徴量が、閲覧権限保持者の特徴量のいずれかと合致した場合（ステップＳ３０１においてＹＥＳ）、処理はステップＳ３０２に移行する。ユーザの特徴量が、閲覧権限保持者の特徴量のいずれとも合致しなかった場合（ステップＳ３０１においてＮＯ）、処理はステップＳ３０３に移行する。なお、ユーザが退席している、ユーザが横を向いている等の理由により、照合に失敗した場合にも合致しなかった場合と同様に、処理はステップＳ３０３に移行する。

ステップＳ３０２において、閲覧阻止部１０７により電子ファイルの閲覧を妨げる処理（マスクの表示等）が既に行われている場合（ステップＳ３０２においてＹＥＳ）、処理はステップＳ３０４に移行する。電子ファイルの閲覧を妨げる処理が行われていない場合（ステップＳ３０２においてＮＯ）、処理はステップＳ２０５に移行する。

ステップＳ３０４において、閲覧阻止部１０７は、電子ファイルの閲覧を妨げる処理を解除する。これにより、ユーザはコンテンツを閲覧可能な状態となる。

ステップＳ３０３において、閲覧阻止部１０７により電子ファイルの閲覧を妨げる処理（マスクの表示等）が既に行われている場合（ステップＳ３０３においてＹＥＳ）、処理はステップＳ２０５に移行する。電子ファイルの閲覧を妨げる処理が行われていない場合（ステップＳ３０３においてＮＯ）、処理はステップＳ３０５に移行する。

ステップＳ３０５において、閲覧阻止部１０７は、電子ファイルの閲覧を妨げる処理を行う。具体的な処理の内容は、図８のステップＳ２０４と同様であるため説明を省略する。

図１３に示されている閲覧中の顔照合の処理は必須ではない。しかしながら、本処理を行うことにより、閲覧開始時の照合の後にユーザが離席した場合、別の作業をするために表示装置１５６を見ていない場合、来客対応などにより他の人物の方を向いている場合等に自動的にコンテンツが非表示状態となる。したがって、セキュリティの向上が実現される。なお、閲覧開始時の照合の後にユーザが離席した場合、別の作業をするために表示装置１５６を見ていない場合、来客対応などにより他の人物の方を向いている場合等の閲覧状況の検出が可能であれば、顔照合以外の手法を用いた場合であっても同様にセキュリティ向上の効果が得られる。このような手法の例としては、撮影した画像に顔検出技術を適用することにより、画像中にユーザ等の人物の顔が検出されたか否かに基づいて上述の閲覧状況を判定する手法が適用され得る。また、この顔検出に更に顔向き検出が追加されてもよい。

以上のように、本実施形態によれば、電子ファイルに対応付けられた生体情報を用いた生体照合により、閲覧の可否が判定されている。これにより、電子ファイルごとに閲覧を認めるユーザ、閲覧を認めないユーザ等の設定を細かく設定することができる。したがって、電子ファイルのセキュリティ保護における利便性が向上されたファイル閲覧システムが提供される。

本実施形態では、顔照合により閲覧の可否を判定しているため、電子ファイルにパスワードを設定しておき、ユーザにパスワードを入力させる方法と比較してユーザの操作負担が軽減され、利便性が向上する。特に、電子ファイルを何度も開くような用途においては、パスワード認証の場合にはファイルを開くたびに入力の手間が生じるが、本実施形態ではそのような手間は生じない。また、パスワードを用いないことにより、パスワードの漏洩のリスクが解消される。更に、電子ファイルを配布する側にとってもパスワードを別途通知する必要がなくなるため、利便性が向上する。電子ファイルの圧縮時に解凍パスワードを設定する手法もあるが、この手法で解凍後には閲覧制限が無くなる問題があるのに対し、本実施形態では電子ファイル自体に設定がなされているためそのような問題は生じない。なお、セキュリティを重視する場合には、本実施形態の生体照合にパスワード認証を併用してもよい。

また、ユーザは、従来と同様にコンテンツを作成し、作成後のコンテンツを含む電子ファイルにＲＭＳ（Right Managing Services）等により提供される既存の権限付与を行うだけで本実施形態の処理に適合した電子ファイルを生成することができる。したがって、本実施形態では、独自形式の電子ファイル、専用ビューワ等を用意する必要がない。また、ユーザは、電子メールへの添付、サーバへのアップロード等のこれまで通りの方法で電子ファイルの配布を行うことができる。したがって、本実施形態のシステムの導入におけるユーザの負担は少ない。しかしながら、本実施形態の権限情報の管理、電子ファイルの閲覧等は専用のソフトウェアによって行われるものであってもよい。

また、本実施形態では、閲覧時にログが自動的に生成されるため、電子ファイルを閲覧させるべきユーザが実際に閲覧したことを記録に残すことができる。また、ログの中の閲覧したユーザ、閲覧時刻等の情報を電子ファイルの作成者に送信する等の手法により、閲覧確認機能が更に追加されていてもよい。この閲覧確認機能は、顔画像による照合結果に基づくものであるため、電子メール等の開封確認機能とは異なり、他人が本人になりすまして閲覧したものではないことが保証されている点で確実性が向上されている。また、ログに閲覧したユーザと編集の有無を併せて記録することにより、文書の偽造、改ざんの有無を後から検証することが可能となる。

また、本実施形態では、電子ファイルに対して閲覧権限の情報が設定されているため、電子ファイルの作成者の意に反して電子ファイルが配布された場合でも、あらかじめ設定された人物以外は電子ファイルを閲覧することができない。したがって、セキュリティの向上が実現される。また、多数の人物がアクセスできるサーバに電子ファイルが保存された場合であっても設定された人物以外は電子ファイルを閲覧することができないため、情報の漏洩を防ぐことができる。

一方、本実施形態では、電子ファイルを閲覧するハードウェア側ではなく、電子ファイルに対して閲覧権限の情報が設定されているため、ユーザが不特定の複数の端末で電子ファイルを閲覧する場合であっても適切な権限設定が行われる。

また、本実施形態では、端末へのログイン時に本人確認を行う手法と比較して、ログイン後にも本人確認のための照合が継続されるため、セキュリティが向上されている。

本実施形態において、閲覧権限がユーザ個人と、ユーザの所属、役職等のグループ（属性）の２段階で設定されている理由を説明する。電子ファイルの閲覧権限はユーザ個人の個別の事情によって定められている場合もあるが、そのユーザが所属している部門の業務、そのユーザの役職等の地位によって定められる場合も多い。

例えば、図６及び図７によれば、ユーザ「ＣＣＣ」はＡ事業部に所属しており、電子ファイルの閲覧権限を有している。ここで、仮にユーザ「ＣＣＣ」がＢ事業部に異動することになったとすると、Ａ事業部方針書等の電子ファイルのユーザ「ＣＣＣ」の閲覧権限は削除されることが望ましい。しかしながら、対象となるすべての電子ファイルからユーザ「ＣＣＣ」個人の閲覧権限を削除することは手間がかかる場合がある。そこで、図６に示されているようにグループ「Ｂ事業部」の権限に「拒否」を設定しておけば、ユーザ「ＣＣＣ」の「許可」を削除しなくてもグループ「Ｂ事業部」の「拒否」により、ユーザ「ＣＣＣ」は自動的に閲覧権限を喪失する。

このような理由により、本実施形態では、閲覧権限があらかじめ人物の属性に基づいて設定されており、照合対象者の属性に対応する閲覧権限に基づいて閲覧阻止部１０７による処理が行われるように構成されている。これにより、ユーザの異動等の属性の変化に起因する権限を再設定する手間が削減される。

［第２実施形態］
本実施形態に係るファイル閲覧システム４００について、図１４及び図１５を参照しつつ説明する。図１４は、本実施形態に係るファイル閲覧システム４００の機能ブロック図である。本実施形態のファイル閲覧システム４００は、図１４に示されるように、視線検出部４０１を更に備えている。ＣＰＵ１５１は、プログラムを実行することにより視線検出部４０１の機能を実現する。視線検出部４０１の追加及び視線検出部４０１により行われる処理以外については第１実施形態と同様であるため説明を省略する。

図１５は、ファイル閲覧システム４００により行われる閲覧中の視線検出の処理を示すフローチャートである。図１５に示されている一連の処理は、図４のステップＳ１６において顔照合の処理と並行して行われる。本処理は、繰り返し行われる顔照合の処理の間に行われてもよく、顔照合の処理のフローに組み込まれていてもよい。

ステップＳ１０４において、画像取得部１０３はユーザの顔画像を撮影する。この顔画像は、視線検出に用いられる。本処理は、図５及び図１３のステップＳ１０４と同様であるため詳細な説明は省略する。

ステップＳ４０１において、視線検出部４０１は、ユーザの顔画像からユーザの目を検出し、目尻、目頭等の特徴部と虹彩の位置との位置関係に基づいてユーザの視線の向き、位置等を検出する。なお、視線検出の手法はこれに限定されるものではなく、種々の視線検出技術が適用され得る。

ステップＳ４０２において、視線検出部４０１は、視線の位置が所定の範囲内であるか否かを判定する。視線の位置が所定の範囲内である場合（ステップＳ４０２においてＹＥＳ）、処理はステップＳ３０２に移行する。視線の位置が所定の範囲外である場合（ステップＳ４０２においてＮＯ）、処理はステップＳ３０３に移行する。これ以後の処理は、図１３と同様であるため説明を省略する。

なお、上述の所定の範囲とは、典型的には表示装置１５６の表示領域に表示されているコンテンツの範囲である。この場合、ユーザがコンテンツを見ているときには、マスクパターンは表示されないが、ユーザがコンテンツから目を離したときにはマスクパターンが表示されるという処理が実現される。視線検出の誤差を考慮して、上述の範囲よりも広い範囲が所定の範囲として設定されていてもよく、例えば、所定の範囲が表示装置１５６の表示領域全体であってもよい。

本実施形態によれば、第１実施形態と同様の効果が得られる。更に、本実施形態では、視線がコンテンツから離れた場合に自動的にコンテンツの閲覧が妨げられるため、コンテンツを表示させたままユーザが電話応対等の別の作業を行った場合に他の人物に電子ファイルのコンテンツを見られるおそれが低減される。したがって、セキュリティが更に向上される。

なお、ログ生成部１０８は視線検出の結果を更にログに記録してもよい。例えば、コンテンツの中の特定の場所に視線が向けられたことがあるか否かを記録することにより、ユーザが所定の箇所を見たか否かを記録することができる。例えば、資料の中の確認して欲しい箇所を上述の所定の箇所に設定しておき、ログに記録された情報を電子ファイルの作成者に送信することにより、特定の箇所を見てもらえたかどうかを資料の作成者が確認することができる。

本実施形態では、視線検出部４０１による視線検出技術を採用した例を説明したが、これ以外の技術を用いた場合であってもユーザが注目している方向、箇所等が判別可能であれば、同様に本実施形態の処理が実現可能である。例えば、視線検出に代えて顔画像から顔の向きを検出する顔向き検出が採用されていてもよい。

［第３実施形態］
本実施形態に係るファイル閲覧システム５００について、図１６及び図１７を参照しつつ説明する。図１６は、本実施形態に係るファイル閲覧システム５００の機能ブロック図である。本実施形態のファイル閲覧システム５００は、図１６に示されるように、有効期間取得部５０１及び時刻取得部５０２を更に備えている。ＣＰＵ１５１は、プログラムを実行することにより有効期間取得部５０１及び時刻取得部５０２の機能を実現する。有効期間取得部５０１及び時刻取得部５０２の追加及びそれらに関連する処理以外については第１実施形態と同様であるため説明を省略する。

図１７は、ファイル閲覧システム５００により行われる閲覧開始前の顔照合の処理を示すフローチャートである。図１７に示されている一連の処理は、図４のステップＳ１５に対応するものであり、図８にステップＳ５０１からステップＳ５０３を追加したものである。

ステップＳ５０１において、有効期間取得部５０１は、電子ファイルの有効期間を取得する。ここで有効期間とは、電子ファイルごとに設定された電子ファイルを閲覧可能な期間である。有効期間を示す情報は、閲覧しようとする電子ファイル内に格納されていてもよく、閲覧しようとする電子ファイルとは別の設定ファイルに格納されていてもよい。なお、有効期間は、始期及び終期の間という形式で設定されていてもよく、始期及び終期の一方のみにより設定されていてもよい。

ステップＳ５０２において、時刻取得部５０２は現在時刻を取得する。時刻取得部５０２は、例えば、ファイル閲覧システム１００又は管理サーバ２００に設けられたタイマーから現在時刻を取得することができる。

ステップＳ５０３において、ＣＰＵ１５１は、現在時刻が有効期間内であるか否かを判定する。現在時刻が有効期限内である場合（ステップＳ５０３においてＹＥＳ）、処理はステップＳ２０１に移行する。現在時刻が有効期限の外である場合（ステップＳ５０３においてＮＯ）、処理はステップＳ２０４に移行する。これ以後の処理は、図８と同様であるため説明を省略する。

なお、本実施形態においても、閲覧中の照合処理は図１３と同様に行われ得るが、現在時刻が有効期限の外である場合には、ステップＳ３０４の電子ファイルの閲覧を妨げる処理を解除する処理は行われない。

本実施形態によれば、第１実施形態と同様の効果が得られる。更に、本実施形態では、有効期間を経過した場合等、電子ファイルの作成者が望まない時期に電子ファイルを閲覧されることを防ぐことができる。例えば、配布したファイルが意に反して再配布されてしまった場合にも、有効期間が経過すれば自動的に電子ファイルが閲覧できない状態となる。また、プレスリリース資料のように、ある時期まで公開せず秘密にしておきたい情報がコンテンツに含まれていたとしても、有効期間の始期を設定することで、始期が経過するまでは秘密を維持することができる。以上のように、本実施形態によれば、セキュリティ及び利便性が更に向上される。

上述の実施形態において説明したシステムは以下の第４実施形態のようにも構成することができる。

［第４実施形態］
図１８は、第４実施形態に係るファイル閲覧システム６００の機能ブロック図である。ファイル閲覧システム６００は、照合部６０１及び閲覧阻止部６０２を備える。照合部６０１は、照合対象者の生体情報と、電子ファイルに対応付けられている人物の生体情報とを照合する。閲覧阻止部６０２は、照合部６０１による照合の結果に基づいて、電子ファイルの閲覧を妨げる処理を行う。

本実施形態によれば、電子ファイルのセキュリティ保護における利便性が向上されたファイル閲覧システム６００が提供される。

［変形実施形態］
本発明は、上述の実施形態に限定されることなく、本発明の趣旨を逸脱しない範囲において適宜変更可能である。

上述の実施形態においては、撮像装置１５８は、コンピュータと一体に構成されていることを前提としているが、ユーザを撮影可能であれば、これに限定されるものではない。例えば、オフィス内に設置されたネットワーク接続カメラによりユーザを撮影することにより、上述の実施形態の撮像装置１５８と同様の処理を実現してもよい。この構成では、各コンピュータに撮像装置１５８が設けられていないようなハードウェア環境であっても上述の実施形態の処理が実現可能となる。また、１つのカメラを設置することにより、同じオフィスにいる複数のユーザをカバーすることもできる。

上述の実施形態では、照合対象となるユーザの人数は１名であることを前提としているが、照合対象者の数は１名に限定されるものではなく、複数であってもよい。例えば、複数名が同時に電子ファイルを閲覧しようとして表示装置１５６の表示領域を見ているような場面にも上述の実施形態が適用可能である。この場合には、閲覧阻止部１０７は、複数の照合対象者のうちの少なくとも１人が閲覧権限を有していない場合に電子ファイルの閲覧を妨げる処理を行うことが望ましい。このような処理とすることにより、閲覧権限を有している第１のユーザが電子ファイルを閲覧しようとしているときに閲覧権限を有しない第２のユーザが電子ファイルを閲覧しようとして近づいてきた場合にも、第２のユーザによる閲覧を妨げることができる。

上述の実施形態において、コンテンツが稟議書等の確認欄、承認欄等の署名欄を有する書類である場合、顔照合の結果と署名すべき人物とが同一であるか否かに基づいて、署名を実際に本人が行ったかどうかを示す情報がログに記録されてもよい。この場合、署名者が本人であることを示す証拠を残すことができる。本手法では、パスワード、電子署名等による従来の手法と比較して、生体認証により本人確認が行われているので、他人によるなりすましの可能性が低減されている。また、図１１のようなマスクパターン３０３を用い、マスクパターン３０３の範囲を役職に応じて異ならせることにより、１つの電子ファイルにより、確認欄、承認欄等の署名者の役職に応じた適切な範囲を署名者に閲覧させることができる。

上述の実施形態において、本実施形態の管理サーバ２００には顔照合のためにユーザと関連付けられた顔画像が記憶されている。そのため、電子ファイル作成時等に行われる権限の設定のインターフェースに、候補者の顔画像を表示する機能が設けられていてもよい。このインターフェースを用いて権限を設定することにより、ユーザは顔画像を見ながら権限を設定することができるため、会議で同席しただけの人物等の、正確な氏名がわからない人物に対しても権限を設定することができる。また、同姓同名の人物がいる場合等に生じ得る設定間違いを防ぐことができる。

上述の実施形態において、顔照合における一致又は不一致の判定は、例えば、２つの特徴量の類似度が照合の基準となる所定の閾値を超えているか否かに基づいて行うことができる。ここで、閾値の設定値は、状況に応じて異なる値に変動するものであってもよい。

図１９は、類似度の閾値設定値の変化例を示すグラフである。図４のステップＳ１５の閲覧開始前の照合（第１の照合）のように閲覧のための操作を実行したときの閾値をＶ１とし、図４のステップＳ１６の閲覧中の照合（第２の照合）のように閲覧可能な期間の閾値をＶ２とする。このとき、図１９に示されるように、閾値Ｖ１は閾値Ｖ２よりも大きい値に設定されている。

第１の照合は、ユーザにコンテンツを閲覧させてもよいか否かを判定するものであり、確実な本人確認が必要であるため、閾値Ｖ１はある程度高い値である必要がある。これに対し、第２の照合は、ユーザに対するコンテンツの閲覧の可否を変更すべき状況の変化が生じたか否かを判定するものであるため、本人確認の精度はさほど要求されない。むしろ、精度が高すぎると閲覧途中に突然閲覧ができなくなる等により利便性を損なうことになる。そのため、閾値Ｖ１を閾値Ｖ２よりも大きい値に設定することにより、精度と利便性を両立させることができる。

上述のように、照合対象者の数が複数である場合においては、複数のユーザがいずれも閲覧権限を有している場合には、同一の表示装置１５６に表示されている電子ファイルを同時に閲覧することができる。このとき、複数のユーザのうちの少なくとも１人が、電子ファイルから目を離す等により、そのユーザの顔が正面から撮影されない状態になると、そのユーザの顔照合における類似度が低下する場合があり得る。このような要因により類似度が低下すると、実際に閲覧権限を有しているユーザであっても、類似度の低下により登録されている顔画像の人物と同一人物ではないと判断され、電子ファイルの閲覧が妨げられることになる。このケースでは、電子ファイルから目を離しているユーザだけでなく、電子ファイルを見ている他のユーザまで電子ファイルを閲覧できなくなるため、利便性が低下するおそれがある。

そこで、照合対象者の数が複数である場合においては、所定の人数よりも多くの照合対象者が検出され、かつ、これらの照合対象者がいずれも閲覧権限を有する場合には、類似度の閾値設定値を小さくしてもよい。この場合、一部のユーザが電子ファイルから目を離した場合であっても閲覧が妨げられにくくなるため、上述の要因による利便性の低下が抑制される。

また、ファイル閲覧システムに第２実施形態のような視線検出の機能が設けられている場合には、視線の位置が所定の範囲外（コンテンツの外）であるユーザの人数に基づいて電子ファイルの閲覧が妨げられる処理が行われてもよい。例えば、この人数がＮ人以上と設定されている場合には、Ｎ−１人以下のユーザが電子ファイルから目を離した場合には他のユーザは閲覧が妨げられない。したがって、上述の要因による利便性の低下が抑制される。

また、照合対象者の数が複数である場合には、閲覧中に行われる顔照合の頻度を照合対象者の数が１人である場合よりも少なく設定してもよい。顔照合の頻度を少なくすることで、一部のユーザが一時的に電子ファイルから目を離した場合にも閲覧が妨げられにくくなるため、上述の要因による利便性の低下が抑制される。

上述の第１実施形態では、デスクトップＰＣ、ノートＰＣ、タブレットＰＣ等のユーザ端末側にファイル閲覧システム１００の機能が設けられているが、ファイル閲覧システム１００の顔照合の機能が管理サーバ２００又はこれ以外の顔照合サーバに設けられていてもよい。すなわち、顔照合を行う装置は、ユーザ端末側に限定されるものではない。顔照合サーバで顔照合を行う手法の具体例としては、以下のものがあり得る。顔照合サーバは、図４のステップＳ１４で取得されたユーザの顔画像又は特徴量をユーザ端末から取得し、更に、閲覧権限を有している人物の特徴量を管理サーバ２００から取得する。顔照合サーバは、これらを照合し、照合結果をユーザ端末に送信する。この手法によっても第１実施形態と同様の処理が実現可能である。本手法は、端末が常時ネットワーク接続されていることが前提となるものの、端末側での処理を簡略化できる利点がある。

上述の実施形態の機能を実現するように該実施形態の構成を動作させるプログラムを記憶媒体に記録させ、記憶媒体に記録されたプログラムをコードとして読み出し、コンピュータにおいて実行する処理方法も各実施形態の範疇に含まれる。すなわち、コンピュータ読取可能な記憶媒体も各実施形態の範囲に含まれる。また、上述のプログラムが記録された記憶媒体だけでなく、そのプログラム自体も各実施形態に含まれる。また、上述の実施形態に含まれる１又は２以上の構成要素は、各構成要素の機能を実現するように構成されたＡＳＩＣ（Application Specific Integrated Circuit）、ＦＰＧＡ（Field Programmable Gate Array）等の回路であってもよい。

該記憶媒体としては例えばフロッピー（登録商標）ディスク、ハードディスク、光ディスク、光磁気ディスク、ＣＤ（Compact Disk）−ＲＯＭ、磁気テープ、不揮発性メモリカード、ＲＯＭを用いることができる。また該記憶媒体に記録されたプログラム単体で処理を実行しているものに限らず、他のソフトウェア、拡張ボードの機能と共同して、ＯＳ（Operating System）上で動作して処理を実行するものも各実施形態の範疇に含まれる。

上述の各実施形態の機能により実現されるサービスは、ＳａａＳ（Software as a Service）の形態でユーザに対して提供することもできる。

なお、上述の実施形態は、いずれも本発明を実施するにあたっての具体化の例を示したものに過ぎず、これらによって本発明の技術的範囲が限定的に解釈されてはならないものである。すなわち、本発明はその技術思想、又はその主要な特徴から逸脱することなく、様々な形で実施することができる。

上述の実施形態の一部又は全部は、以下の付記のようにも記載されうるが、以下には限られない。

（付記１）
照合対象者の生体情報と、電子ファイルに対応付けられている人物の生体情報とを照合する照合部と、
前記照合部による照合の結果に基づいて、前記電子ファイルの閲覧を妨げる処理を行う閲覧阻止部と、
を備える、ファイル閲覧システム。

（付記２）
前記照合部は、前記照合対象者が前記電子ファイルの閲覧のための操作を実行したときに、前記照合を行う、
付記１に記載のファイル閲覧システム。

（付記３）
前記照合部は、前記照合対象者が前記電子ファイルの閲覧のための操作を実行した後であって、前記照合対象者が前記電子ファイルを閲覧可能な期間に、前記照合を行う、
付記１又は２に記載のファイル閲覧システム。

（付記４）
前記閲覧阻止部は、表示装置に表示されている前記電子ファイルのコンテンツの上に前記コンテンツの閲覧を妨げるマスクパターンを重ねて表示することにより、前記照合対象者による前記電子ファイルの閲覧を妨げる処理を行う、
付記１乃至３のいずれか１項に記載のファイル閲覧システム。

（付記５）
前記マスクパターンは、前記照合対象者に対するメッセージを含む、
付記４に記載のファイル閲覧システム。

（付記６）
前記マスクパターンは、前記電子ファイルの閲覧を要求するための連絡先の情報を含む、
付記４又は５に記載のファイル閲覧システム。

（付記７）
前記電子ファイルのコンテンツは、前記照合対象者に対する閲覧制限がなされている第１の部分と、前記照合対象者に対する閲覧制限がなされていない第２の部分とを含み、
前記閲覧阻止部は、前記照合対象者による前記電子ファイルの閲覧を妨げる処理を前記第１の部分のみに対して行う、
付記１乃至６のいずれか１項に記載のファイル閲覧システム。

（付記８）
前記第１の部分と前記第２の部分とは、前記コンテンツの機密度に応じて区分されている、
付記７に記載のファイル閲覧システム。

（付記９）
前記照合部による照合の結果に基づいて、前記照合対象者が前記電子ファイルを閲覧したことを示す情報を含むログを生成するログ生成部を更に備える、
付記１乃至８のいずれか１項に記載のファイル閲覧システム。

（付記１０）
前記電子ファイルのコンテンツは署名欄を含み、
前記ログは、前記署名欄への署名を行うべき人物が、前記照合対象者であるか否かを示す情報を含む、
付記９に記載のファイル閲覧システム。

（付記１１）
前記照合対象者の視線を検出する視線検出部を更に備え、
前記閲覧阻止部は、前記視線に基づいて、前記照合対象者による前記電子ファイルの閲覧を妨げる処理を行う、
付記１乃至１０のいずれか１項に記載のファイル閲覧システム。

（付記１２）
前記閲覧阻止部は、前記視線が前記電子ファイルのコンテンツの外にある場合に、前記照合対象者による前記電子ファイルの閲覧を妨げる処理を行う、
付記１１に記載のファイル閲覧システム。

（付記１３）
前記視線に基づいて、前記照合対象者が前記電子ファイルのコンテンツの所定の箇所を閲覧したか否かを示すログを生成するログ生成部を更に備える、
付記１１又は１２に記載のファイル閲覧システム。

（付記１４）
前記人物の閲覧権限は、前記人物の属性に基づいて設定されており、
前記閲覧阻止部は、前記照合対象者の属性に対応する閲覧権限に基づいて、前記照合対象者による前記電子ファイルの閲覧を妨げる処理を行う、
付記１乃至１３のいずれか１項に記載のファイル閲覧システム。

（付記１５）
前記照合対象者の属性は、前記照合対象者の所属及び前記照合対象者の役職の少なくとも１つを含む、
付記１４に記載のファイル閲覧システム。

（付記１６）
前記照合部は、前記電子ファイルを閲覧しようとする複数の照合対象者のそれぞれについて照合を行い、
前記閲覧阻止部は、前記複数の照合対象者のうちの少なくとも１人が閲覧権限を有しない場合に前記電子ファイルの閲覧を妨げる処理を行う、
付記１乃至１５のいずれか１項に記載のファイル閲覧システム。

（付記１７）
前記複数の照合対象者のそれぞれの視線を検出する視線検出部を更に備え、
前記閲覧阻止部は、前記視線が前記電子ファイルのコンテンツの外にある照合対象者の人数に基づいて、前記電子ファイルの閲覧を妨げる処理を行う、
付記１６に記載のファイル閲覧システム。

（付記１８）
前記電子ファイルに設定された有効期間を取得する有効期間取得部と、
現在時刻を取得する時刻取得部と、
を更に備え、
前記閲覧阻止部は、前記現在時刻が前記有効期間の外である場合に、前記照合対象者による前記電子ファイルの閲覧を妨げる処理を行う、
付記１乃至１７のいずれか１項に記載のファイル閲覧システム。

（付記１９）
前記照合部は、前記照合対象者が前記電子ファイルの閲覧のための操作を実行したときに、第１の照合を行い、かつ、前記照合対象者が前記電子ファイルを閲覧可能な期間に、第２の照合を行い、
第１の照合と前記第２の照合とにおいて、前記照合対象者の照合の基準となる閾値が、互いに異なる、
付記１乃至１８のいずれか１項に記載のファイル閲覧システム。

（付記２０）
前記生体情報は、前記照合対象者の顔画像又は前記照合対象者の顔画像から生成された特徴量である、
付記１乃至１９のいずれか１項に記載のファイル閲覧システム。

（付記２１）
照合対象者の生体情報と、電子ファイルに対応付けられている人物の生体情報とを照合するステップと、
前記照合の結果に基づいて、前記照合対象者による前記電子ファイルの閲覧を妨げる処理を行うステップと、
を備える、ファイル閲覧方法。

（付記２２）
コンピュータに、
照合対象者の生体情報と、電子ファイルに対応付けられている人物の生体情報とを照合するステップと、
前記照合の結果に基づいて、前記照合対象者による前記電子ファイルの閲覧を妨げる処理を行うステップと、
を備えるファイル閲覧方法を実行させるためのプログラムが記憶された記憶媒体。

この出願は、２０１８年９月３日に出願された日本出願特願２０１８−１６４２１３を基礎とする優先権を主張し、その開示の全てをここに取り込む。

１００、４００、５００、６００ ファイル閲覧システム
１０１ 権限情報取得部
１０２ 特徴量取得部
１０３ 画像取得部
１０４ 特徴量算出部
１０５、６０１ 照合部
１０６ 表示情報生成部
１０７、６０２ 閲覧阻止部
１０８ ログ生成部
１０９ 記憶部
１５１ ＣＰＵ
１５２ ＲＡＭ
１５３ ＲＯＭ
１５４ ＨＤＤ
１５５ 通信Ｉ／Ｆ
１５６ 表示装置
１５７ 入力装置
１５８ 撮像装置
１５９ バス
２００ 管理サーバ
３０１ スライド
３０２、３０３、３０４ マスクパターン
３０５、３０６ メッセージ
４０１ 視線検出部
５０１ 有効期間取得部
５０２ 時刻取得部
Ｖ１、Ｖ２ 閾値

Claims (22)

1. 照合対象者の生体情報と、電子ファイルに対応付けられている人物の生体情報とを照合する照合部と、
   前記照合部による照合の結果に基づいて、前記電子ファイルの閲覧を妨げる処理を行う閲覧阻止部と、
   を備える、ファイル閲覧システム。
2. 前記照合部は、前記照合対象者が前記電子ファイルの閲覧のための操作を実行したときに、前記照合を行う、
   請求項１に記載のファイル閲覧システム。
3. 前記照合部は、前記照合対象者が前記電子ファイルの閲覧のための操作を実行した後であって、前記照合対象者が前記電子ファイルを閲覧可能な期間に、前記照合を行う、
   請求項１又は２に記載のファイル閲覧システム。
4. 前記閲覧阻止部は、表示装置に表示されている前記電子ファイルのコンテンツの上に前記コンテンツの閲覧を妨げるマスクパターンを重ねて表示することにより、前記照合対象者による前記電子ファイルの閲覧を妨げる処理を行う、
   請求項１乃至３のいずれか１項に記載のファイル閲覧システム。
5. 前記マスクパターンは、前記照合対象者に対するメッセージを含む、
   請求項４に記載のファイル閲覧システム。
6. 前記マスクパターンは、前記電子ファイルの閲覧を要求するための連絡先の情報を含む、
   請求項４又は５に記載のファイル閲覧システム。
7. 前記電子ファイルのコンテンツは、前記照合対象者に対する閲覧制限がなされている第１の部分と、前記照合対象者に対する閲覧制限がなされていない第２の部分とを含み、
   前記閲覧阻止部は、前記照合対象者による前記電子ファイルの閲覧を妨げる処理を前記第１の部分のみに対して行う、
   請求項１乃至６のいずれか１項に記載のファイル閲覧システム。
8. 前記第１の部分と前記第２の部分とは、前記コンテンツの機密度に応じて区分されている、
   請求項７に記載のファイル閲覧システム。
9. 前記照合部による照合の結果に基づいて、前記照合対象者が前記電子ファイルを閲覧したことを示す情報を含むログを生成するログ生成部を更に備える、
   請求項１乃至８のいずれか１項に記載のファイル閲覧システム。
10. 前記電子ファイルのコンテンツは署名欄を含み、
    前記ログは、前記署名欄への署名を行うべき人物が、前記照合対象者であるか否かを示す情報を含む、
    請求項９に記載のファイル閲覧システム。
11. 前記照合対象者の視線を検出する視線検出部を更に備え、
    前記閲覧阻止部は、前記視線に基づいて、前記照合対象者による前記電子ファイルの閲覧を妨げる処理を行う、
    請求項１乃至１０のいずれか１項に記載のファイル閲覧システム。
12. 前記閲覧阻止部は、前記視線が前記電子ファイルのコンテンツの外にある場合に、前記照合対象者による前記電子ファイルの閲覧を妨げる処理を行う、
    請求項１１に記載のファイル閲覧システム。
13. 前記視線に基づいて、前記照合対象者が前記電子ファイルのコンテンツの所定の箇所を閲覧したか否かを示すログを生成するログ生成部を更に備える、
    請求項１１又は１２に記載のファイル閲覧システム。
14. 前記人物の閲覧権限は、前記人物の属性に基づいて設定されており、
    前記閲覧阻止部は、前記照合対象者の属性に対応する閲覧権限に基づいて、前記照合対象者による前記電子ファイルの閲覧を妨げる処理を行う、
    請求項１乃至１３のいずれか１項に記載のファイル閲覧システム。
15. 前記照合対象者の属性は、前記照合対象者の所属及び前記照合対象者の役職の少なくとも１つを含む、
    請求項１４に記載のファイル閲覧システム。
16. 前記照合部は、前記電子ファイルを閲覧しようとする複数の照合対象者のそれぞれについて照合を行い、
    前記閲覧阻止部は、前記複数の照合対象者のうちの少なくとも１人が閲覧権限を有しない場合に前記電子ファイルの閲覧を妨げる処理を行う、
    請求項１乃至１５のいずれか１項に記載のファイル閲覧システム。
17. 前記複数の照合対象者のそれぞれの視線を検出する視線検出部を更に備え、
    前記閲覧阻止部は、前記視線が前記電子ファイルのコンテンツの外にある照合対象者の人数に基づいて、前記電子ファイルの閲覧を妨げる処理を行う、
    請求項１６に記載のファイル閲覧システム。
18. 前記電子ファイルに設定された有効期間を取得する有効期間取得部と、
    現在時刻を取得する時刻取得部と、
    を更に備え、
    前記閲覧阻止部は、前記現在時刻が前記有効期間の外である場合に、前記照合対象者による前記電子ファイルの閲覧を妨げる処理を行う、
    請求項１乃至１７のいずれか１項に記載のファイル閲覧システム。
19. 前記照合部は、前記照合対象者が前記電子ファイルの閲覧のための操作を実行したときに、第１の照合を行い、かつ、前記照合対象者が前記電子ファイルを閲覧可能な期間に、第２の照合を行い、
    第１の照合と前記第２の照合とにおいて、前記照合対象者の照合の基準となる閾値が、互いに異なる、
    請求項１乃至１８のいずれか１項に記載のファイル閲覧システム。
20. 前記生体情報は、前記照合対象者の顔画像又は前記照合対象者の顔画像から生成された特徴量である、
    請求項１乃至１９のいずれか１項に記載のファイル閲覧システム。
21. 照合対象者の生体情報と、電子ファイルに対応付けられている人物の生体情報とを照合するステップと、
    前記照合の結果に基づいて、前記照合対象者による前記電子ファイルの閲覧を妨げる処理を行うステップと、
    を備える、ファイル閲覧方法。
22. コンピュータに、
    照合対象者の生体情報と、電子ファイルに対応付けられている人物の生体情報とを照合するステップと、
    前記照合の結果に基づいて、前記照合対象者による前記電子ファイルの閲覧を妨げる処理を行うステップと、
    を備えるファイル閲覧方法を実行させるためのプログラムが記憶された記憶媒体。

Images