JP2005339255A - 端末装置、秘匿情報管理方法及びプログラム - Google Patents

Abstract

【課題】携帯端末が盗難されたり、紛失したりしたときでも、携帯端末に格納されている秘匿情報を含むコンテンツの不正使用を未然に防止することができる端末装置、秘匿情報管理方法を提供する。
【解決手段】秘匿情報を含む文書を記憶する文書記憶手段と、前記秘匿情報が利用可能な許容エリアを示す許容エリア情報を記憶する許容エリア情報記憶手段と、位置情報を取得する位置情報取得手段と、前記位置情報取得手段で前記許容エリア外の位置情報を取得したとき、前記文書記憶手段から前記文書中の前記秘匿情報を削除する削除手段とを具備する。
【選択図】 図１

Description

本発明は、携帯型の端末装置に関する。

近年、サーバにマルチメディアコンテンツデータ（以下、コンテンツと呼ぶ）を格納し、有線あるいは無線ネットワークでサーバに接続された情報端末から、上記コンテンツの閲覧、複製、編集を実行する利用形態が増えてきている。情報端末としては、例えばパーソナルコンピュータ（以下、ＰＣ）、携帯電話やＰＤＡ（Ｐｅｒｓｏｎａｌ Ｄｉｇｉｔａｌ Ａｓｓｉｓｔａｎｃｅ）に代表される携帯端末などがある。コンテンツとしては、映像、画像、文書あるいはこれらを複合したＷｅｂデータなどがあり、Ｗｅｂデータは、インターネットを介して閲覧や編集が可能なように、ＨＴＭＬやＸＭＬ等の構造化文書で記述されている場合が多い。

このように、場所を選ばずコンテンツを閲覧、編集することが日常になっているため、コンテンツが機密情報あるいはプライバシーに係る情報を含む場合に、情報漏洩への対策の必要性が増してきている。

前者に該当するコンテンツとしてイントラネット内の企業文書、後者に該当するコンテンツとして病院内の診療データ，ホーム機器に格納した個人の映像や写真等がある。

これらのデータは通常データベースに保存されているため、データベース内のコンテンツにアクセスする各ユーザに対して、適切に参照権、編集権、複製権を設定してアクセスを制限する方法が開示されている（例えば、特許文献１参照）。

また、なりすまし等でこのようなアクセス制限が破られたときに備え、コンテンツにアクセスしたユーザの情報を電子透かしとしてコンテンツに挿入し、コンテンツが不正に操作されたことをその操作結果ログから検出する方法も開示されている（例えば、特許文献２参照）。

しかし、これらのようにコンテンツにアクセス権限をかけていても、なりすましあるいはアクセス権の改竄によって、いったんコンテンツが流出し、それを加工、編集して派生する二次コンテンツに含まれてしまうと、コンテンツに含まれる機密情報あるいはプライバシーに係る情報を削除するには多大なコストがかかってしまう。特に二次コンテンツがインターネット上に流出してしまった場合はそのコストは莫大なものになる。

その他、出張等でネットワーク環境あるいは通信環境のよくない地域にＰＣ等の端末にコンテンツを保存し、現地で閲覧、編集する必要がある場合に、そのＰＣからコンテンツが流出してしまったり、ＰＣごと盗難にあってしまうケースも考えられる。

従って、機密情報やプライバシーに係わる情報の漏洩を防止するために、コンテンツが盗難にあったときに、その不正な閲覧編集や不正な持ち出しを困難にする方法および装置が求められている。
特開２００３−１１４９３０公報 特開平１１−７２４１号公報

このように、構造化文書に代表される、機密情報あるいはプライバシーに係る情報を含むデータが何らかの不正により流出した場合に、単にその不正が起きたことを検出するだけでは、そのコンテンツを加工、編集して派生する二次コンテンツに含まれてしまった場合に、上記コンテンツに含まれる機密情報あるいはプライバシーに係る情報を削除するなりしてその拡散を防ぐために要するコストは莫大なものになってしまう。

特に、パソコンやＰＤＡなどの携帯端末に（不正使用を目的とする場合に限らず、正当な目的（例えば業務上必要な場合など）で）秘匿情報を含むコンテンツが一旦格納されてしまうと、当該携帯端末が盗難されたり、紛失したりしたときには、当該携帯端末内の秘匿情報の不正使用を未然に防止するための手立てがないという問題点があった。

そこで、本発明は上記問題点に鑑みなされたもので、携帯端末が盗難されたり、紛失したりしたときでも、携帯端末に格納されている秘匿情報を含むコンテンツの不正使用を未然に防止することができる端末装置及び秘匿情報管理方法を提供することを目的とする。

本発明の端末装置は、秘匿情報を含む文書を記憶する文書記憶手段と、前記秘匿情報が利用可能な許容エリアを示す許容エリア情報を記憶する許容エリア情報記憶手段と、位置情報を取得する位置情報取得手段と、前記位置情報取得手段で前記許容エリア外の位置情報を取得したとき、前記文書記憶手段から前記文書中の前記秘匿情報を削除する削除手段とを具備することにより、端末装置が盗難されたり、紛失したりしたときでも、端末装置に格納されている秘匿情報を含む文書の不正使用を未然に防止することができる。

また、本発明の端末装置は、前記秘匿情報が利用可能な許容期間を示す許容期間情報を記憶する許容期間情報記憶手段をさらに備え、前記許容期間が経過し、且つ前記位置情報取得手段で前記許容エリア外の位置情報を取得したとき、前記文書記憶手段から前記文書中の前記秘匿情報を削除することにより、秘匿情報を含む文書の正当な利用者による利用に支障をきたすことなく、端末装置に格納されている秘匿情報を含む文書の不正使用を未然に防止することができる。

本発明によれば、端末装置が盗難されたり、紛失したりしたときでも、端末装置に格納されている秘匿情報を含む文書の不正使用を未然に防止することができる。

以下、図面を参照しながら本発明の実施形態について説明する。なお、ここでは、ＸＭＬ（Extensible markup language）で記述された構造化文書を対象とする秘匿情報管理装置を例にとり説明する。

構造化文書は、例えば、複数の映像、画像、文書を複合した文書構造を有する文書である。なお、文書中の映像あるいは画像情報はバイナリファイルへのＵＲＬとして記述されている場合を想定している。なお、以下の例ではコンテンツとして構造化文書を例にとり説明するが、この場合に限らない。インターネットを介して閲覧されることを目的として作成され、インターネットを介して取得した構造化文書、任意のエディタで任意の目的で作成され、任意の手段で取得した、ＨＴＭＬ文書やＸＭＬ文書などの一般的な構造化文書であっても、本実施形態は適用可能である。

まず、ＸＭＬについて簡単に説明する。ＸＭＬでは、構造の表現にタグが用いられる。タグには、開始タグと終了タグがあり、コンテンツ構造情報の構成要素を開始タグと終了タグで囲むことにより、コンテンツ中の文字列（テキスト）区切りと、そのテキストが構造上どの構成要素に属するのかを明確に記述することができる。

ここで開始タグとは要素名称を記号「＜」、「＞」で閉じたものであり、終了タグとは要素名称を記号「＜／」と「＞」で閉じたものである。タグに続く構成要素の内容が、テキスト（文字列）または子供の構成要素の繰り返しである。また開始タグには「＜要素名称 属性＝“属性値”＞」などのように属性情報を設定することができる。「＜氏名＞＜／氏名＞」のようにテキストを含まない構成要素は、簡易記法として「＜氏名／＞」のように表わすこともできる。

図２に示す構造化文書は、ルートノードである「コンテンツ」タグから始まる要素と、その子要素として、「操作モジュール」タグから始まる複数の要素が含まれている。「操作モジュール」タグから始まる要素（「操作モジュール」要素）は、１つまたは複数の子要素が含まれている。例えば、２番目の「操作モジュール」要素は、子要素として「氏名」タグおよび「住所」タグから始まる要素集合が存在する。各要素は１つのテキスト（文字列）を値として持つことができる。例えば、要素タグ「氏名」の値は「川崎太郎」である。

（第１の実施形態）
図１は第１の実施形態に係る秘匿情報管理装置の全体構成を示す図である。

図１に示すように、秘匿情報管理装置は、文書記憶部１、部品オブジェクト生成部２、部品オブジェクト記憶部３、部品オブジェクト変換部４、更新部５、変換ルール記憶部６、位置情報取得部７、エリア登録情報記憶部８、操作表示部９、制御部１１からなる。

以下の説明では、図１に示す構成を含み、秘匿情報管理装置としての機能を有するパソコン、ＰＤＡなどの携帯端末を例にとり説明する。一般に、携帯端末等の機器のハードウェア構成は、ＣＰＵと、ＣＰＵに接続された記憶装置と、入力装置と、表示装置と、通信装置などからなる。そして、記憶装置からプログラムが読み出されることによりＣＰＵが部品オブジェクト生成部２、部品オブジェクト変換部４、更新部５、位置情報取得部７、操作表示部９、制御部１１等として機能する。記憶装置は、携帯端末を秘匿情報管理装置と機能させるための各種プログラムやデータが格納され、文書記憶部１、部品オブジェクト記憶部３、変換ルール記憶部６、エリア登録情報記憶部８等として機能する。なお、記録媒体読取装置が記録媒体からプログラムを読み出しＣＰＵにより上記各種プログラムを実行するようにしてもよい。

携帯端末の入力装置あるいは通信装置を介して携帯端末へ入力された構造化文書は文書記憶部１で記憶される。

文書記憶部１には、複数の構造化文書が記憶されている。各構造化文書は、複数のデータブロック（部分文書）が含まれている。例えば、図２に示すような構造化文書３０が文書記憶部１に記憶されている。例えば、構造化文書３０には、図３に示すように、３つの部分文書３０ａ〜３０ｃが含まれている。

各部分文書は、「操作モジュール」要素をルートノードとする構造化文書であり、通常、１または複数の子要素をもつ。また、子要素をもたない「操作モジュール」要素のみの部分文書もあり得る。

各部分文書には、当該部分文書を識別するための識別情報（部分文書ＩＤ）と、当該部分文書の種別（タイプ）を示す情報（タイプ情報）が含まれている。ここでは、「操作モジュール」要素の属性値として各部分文書に含まれている。

部分文書のタイプには、例えば、「ｔｉｔｌｅ」、「ｏｐｅｎ」、「ｐｒｉｖａｔｅ」、「ｓｅｃｕｒｅ」などがある。構造化文書のタイトル情報を含む部分文書の場合にはタイプ情報は「ｔｉｔｌｅ」である。プライバシーに関わる秘匿情報を含む部分文書の場合にはタイプ情報は「ｐｒｉｖａｔｅ」である。機密情報のような秘匿情報を含む部分文書の場合にはタイプ情報は「ｓｅｃｕｒｅ」である。秘匿情報を含んでいない部分文書の場合にはタイプ情報は「ｏｐｅｎ」である。

部品オブジェクト生成部２は、文書記憶部１に記憶されている構造化文書（例えば、構造化文書３０）を読み出して、操作対象である複数の部品オブジェクトを生成する。例えば、図２に示したような構造化文書３０からは、図４に示すように、３つの部品オブジェクトが生成される。構造化文書３０はタイプの異なる３つの部分文書が含まれている。部分文書３０ａから、図４（ａ）に示すような部品オブジェクトＯｂｊａが生成され、部分文書３０ｂから、図４（ｂ）に示すような部品オブジェクトＯｂｊｂが生成され、部分文書３０ｃから、図４（ｃ）に示すような部品オブジェクトＯｂｊｃが生成される。

部品オブジェクト生成部２は、例えば、構造化文書３０の階層構造と各要素の内容をＤＯＭ（Document Object Model）等を用いて解析した結果から、図４（ａ）〜（ｃ）に示した部品オブジェクトを生成する。

各部品オブジェクトは、図４（ａ）〜（ｃ）に示すように、当該部品オブジェクトに対応する部分文書に含まれる（部分文書の）ＩＤ、タイプ情報、要素の数と、各要素の要素名と要素値を有する。各部品オブジェクトのＩＤは、当該部品オブジェクトに対応する部分文書のＩＤである。

各部品オブジェクトは、操作表示部９により所定のディスプレイ上に表示される表示単位であると同時に、ユーザが構造化文書に対して編集等の操作を行なうための操作単位でもある。各部品オブジェクトには、予めユーザ操作（ページ閲覧、ページ編集（部品オブジェクトの追加、複製、更新、削除、位置移動、ページ間での部品オブジェクト受け渡し）、ページ書き戻し、表示スタイル切替え等）に対してどのような処理を実行できるかが予め定められている。なお、各構造化文書に対してどのような操作が行えるかは本願の要旨ではないので、説明は省略する。

部品オブジェクト生成部２で生成された、図４（ａ）〜（ｃ）に示した各部品オブジェクトは、部品オブジェクト記憶部３に一旦記憶される。

構造化文書に含まれる秘匿情報は、予め定められたエリア内でのみ図１の構成を有するパソコン等の携帯端末では表示、編集等が行える。例えば、病院内の診療データは、当該病院内では表示、編集が可能であり、イントラネット内の企業文書であれば、会社構内であれば表示、編集が可能である。

例えば、構造化文書３０が文書記憶部１に記憶されている秘匿情報管理装置（として機能する携帯端末）が勤務病院のエリア範囲内にあれば、部品オブジェクト記憶部３に記憶された図４に示した各部品オブジェクトは、操作表示部９により、所定のディスプレイ上に図５に示すように表示される。

図５は、構造化文書３０の表示例を示したものである。構造化文書３０の３つの部品オブジェクトＯｂｊａ〜Ｏｂｊｃは、それぞれの表示領域５０ａ〜５０ｃに表示されている。

このように、文書記憶部１に記憶されている構造化文書（の秘匿情報を含む部分文書）を表示、編集可能なエリアを定められたものがエリア登録情報である。エリア登録情報はエリア登録情報記憶部８に記憶されている。

図６は、図２に示した構造化文書３０（中の秘匿情報）の表示、編集が可能なエリアを示したエリア登録情報の一例を示したものである。ここでは、テーブル形式で、構造化文書３０を閲覧、編集可能な許容エリアの範囲を示している。図６に示したエリア登録情報によれば、「勤務先の病院」、「提携病院」、「大学」、「自宅」に限って、構造化文書の表示、編集が可能であることを示している。また、図６に示した許容エリアの範囲は、基準地点からの距離で表している。基準地点とは、例えば、構造化文書３０を含む複数の構造化文書を一元管理するデータベースの設置されている位置（例えば、勤務病院内の所定の位置）などである。

勤務先の病院のエリアとして、（東０、北０）−（東２００、北３００）と表されているが、この場合、基準地点から（東へ０メートル、北へ０メートル）の地点、基準地点から（東へ２００メートル、北へ０メートル）の地点、基準地点から（東へ０メートル、北へ３００メートル）の地点、及び基準地点から（東へ２００メートル、北へ３００メートル）の地点で囲まれる長方形の内部範囲を表している。他の場所についても同様である。なお、説明の簡単のため、以下の説明では、基準地点から（東へＸメートル、北へＹメートル）を（Ｘ、Ｙ）と表すことにする。また、部屋や土地などのエリアが長方形以外の形もあり得るので、複数の長方形エリアに分割して上記のように範囲を定めてもよいし、線形不等式等を用いて斜めに区分される領域として表現してもよい。また、エリアの範囲を指定する情報は上記のような基準地点からの相対的な距離などを示す相対的な位置情報に限らず、「北緯４４度２０分８秒７」のような緯度経度座標情報であってもよい。

図６に示したエリア登録情報にて指定されたエリア内であれば、文書記憶部１に記憶されている構造化文書３０は、図１に示した構成を含むパソコンやＰＤＡなどの携帯端末で閲覧・編集可能である。

位置情報取得部７は、ＧＰＳ（Global positioning system）等を用いて、秘匿情報管理装置（として機能する携帯端末）の現在位置を示す位置情報を獲得する。上記のように相対的な位置情報が必要な場合には、位置情報取得部７は、基準地点の絶対的な位置（例えば緯度経度座標情報）を予め記憶しておく。そして、秘匿情報管理装置（として機能する携帯端末）の現在位置をＧＰＳ等で取得したら、それを基準地点からの相対的な位置情報に変換する。その結果得られた位置情報を制御部１１へ出力する。

制御部１１は、例えば、所定時間毎に、位置情報取得部７で取得された位置情報とエリア登録情報記憶部８に記憶されているエリア登録情報にて指定された各エリアの範囲とを比較し、取得された位置情報が当該エリア内であるか否かをチェックする。秘匿情報管理装置の現在位置が許容エリア外であると判定したときには、部品オブジェクト生成部２を起動して、文書記憶部１に記憶されている構造化文書（例えば、許容エリア外であると判定された構造化文書３０）に対する処理（後述する更新処理）を開始する。秘匿情報管理装置の現在位置が許容エリア内であるときは、再び所定時間経過するまで待つ。

部品オブジェクト変換部４及び更新部５は、制御部１１で、秘匿情報管理装置の現在位置が許容エリア外であると判定したときに、起動される。

以下、図７に示すフローチャートを参照して、図１の秘匿情報管理装置の処理動作について説明する。

なお、ここでは、説明の簡単のため、文書記憶部１に記憶されている構造化文書３０を含む複数の構造化文書は全て同じ許容エリアが定められているものとする。例えば、文書記憶部１に記憶されている各構造化文書には、図６に示すようなエリア登録情報が適用されるものとする。

図１に示す各構成部を有し、秘匿情報管理装置として機能する第１の携帯端末が、勤務病院内で、構造化文書３０を含む複数の構造化文書を一元管理するデータベースを有するサーバ装置から所定のネットワークを介して、構造化文書３０をダウンロードして、文書記憶部１に構造化文書３０が格納されたとする。当該第１の携帯端末の現在位置は勤務病院内である。また、現在文書記憶部１に記憶されている図６のエリア登録情報が適用できる構造化文書は構造化文書３０のみであるとする。

前述したように、制御部１１は、所定時間毎（例えば、３分毎）に、位置情報取得部７で取得された位置情報（Ｘ、Ｙ）とエリア登録情報記憶部８に記憶されているエリア登録情報にて指定された各エリアの範囲とを比較し、取得された位置情報が当該エリア内であるか否かをチェックする。第１の携帯端末の現在位置が許容エリア内であるときは、再び所定時間経過するまで待つ（ステップＳ１〜ステップＳ３）。

制御部１１が第１の携帯端末の現在位置が許容エリア外であると判定したときには（ステップＳ２）、部品オブジェクト生成部２を起動する。例えば、現在位置が、文書記憶部１に記憶されている構造化文書３０に対し予め定められた許容エリアの外であると判定された場合、部品オブジェクト生成部２は、文書記憶部１に記憶されている構造化文書３０から、図４（ａ）〜（ｃ）に示したような部品オブジェクトを生成する。この生成された各部品オブジェクトは部品オブジェクト記憶部３に一時記憶される（ステップＳ４）。

次に、部品オブジェクト変換部４は、変換ルール記憶部６に記憶されている変換ルールを参照して、部品オブジェクト記憶部３に記憶されている部品オブジェクトのタイプを変更する。具体的には、秘匿情報を含む部品オブジェクトから当該秘匿情報を削除するための部品オブジェクトのタイプを変更する（ステップＳ５）。

変換ルール記憶部６に記憶されている変換ルールの一例を図８に示す。図８に示す変換ルールは、タイプ情報「ｐｒｉｖａｔｅ」をもつ部品オブジェクトや、タイプ情報「ｓｅｃｕｒｅ」をもつ部品オブジェクトを、「ｎｏｎ」というタイプへ変換するというルールである。ここで「ｎｏｎ」というタイプの部品オブジェクトは、その中に含まれる要素の数が「０」である部品オブジェクトであり、子要素をもたない部分文書に対応する部品オブジェクトである。

現在部品オブジェクト記憶部３に記憶されている部品オブジェクトのうち、タイプ情報が「ｐｒｉｖａｔｅ」、「ｓｅｃｕｒｅ」である部品オブジェクトは、図４（ｂ）の部品オブジェクトＯｂｊｂである。従って、部品オブジェクト変換部４は、図９に示すように、図４（ｂ）の部品オブジェクトＯｂｊｂのタイプ情報を「ｎｏｎ」に変更するとともに、当該部品オブジェクトのもつ要素を削除する（先頭要素アドレスを「ＮＵＬＬ」、要素数を「０」に書き換える）。なお、部品オブジェクトのＩＤは、元のＩＤ（当該部品オブジェクトに対応する部分文書に含まれるＩＤ）のままであり、書き換えはされない。

このようにして、部品オブジェクト変換部４は、部品オブジェクト記憶部３に記憶されている、図４（ｂ）の秘匿情報を含む部品オブジェクトＯｂｊｂを、図９の当該部品オブジェクトから当該秘匿情報（ここでは、「氏名」要素と「住所」要素）の削除された部品オブジェクトＯｂｊｄに書き換える。

この時点で、部品オブジェクト記憶部３に記憶されている部品オブジェクトは、図４（ａ）の部品オブジェクトＯｂｊａ、図４（ｃ）の部品オブジェクトＯｂｊｃ、図９の部品オブジェクトＯｂｊｄの３つである。

次に、制御部１１は、更新部５を起動する。更新部５は、現在部品オブジェクト記憶部３に記憶されている上記各部品オブジェクトＯｂｊａ、Ｏｂｊｃ、Ｏｂｊｄを用いて、文書記憶部１に記憶されている構造化文書３０を更新する（ステップＳ６）。

部品オブジェクトＯｂｊａ、部品オブジェクトＯｂｊｃには変更がないので、構造化文書３０のこれら各部品オブジェクトのＩＤに対応する部分文書３０ａ、３０ｃは元のままで変更がない。しかし、部品オブジェクトＯｂｊｄのＩＤをもつ部分文書からは、子要素である「氏名」要素と「住所」要素が削除され、タイプ情報が「ｎｏｎ」に書き換えられているため、図１０に示すような部分文書３０ｄが新たなに生成され、この新たに生成された部分文書３０ｄで、文書記憶部１に記憶されている部分文書３０ｂが書き換えられる。この結果、文書記憶部１に記憶されていた構造化文書３０は、図１１に示すような構造化文書に更新される。

すなわち、図１１に示す構造化文書３０では、部分文書３０ｂが部分文書３０ｄに書き換えられている。

制御部１１が、第１の携帯端末の現在位置が許容エリア外であると判定した場合には、上記のように、ステップＳ４〜ステップＳ６に示す処理動作を行い、この後、ステップＳ３へ進み、再び所定時間経過するまで待つ。

以上のステップＳ４〜ステップＳ６に示した処理動作が行われた後、文書記憶部１に記憶されている構造化文書３０自体に、秘匿情報は含まれていない。従って、図１１に示す構造化文書を操作表示部９で所定のディスプレイで表示したとしても、図１２に示すように、秘匿情報は表示されることはない。

なお、文書記憶部１に記憶されている構造化文書を表示する際には、まず、部品オブジェクト生成部２で部品オブジェクトを生成して、部品オブジェクト記憶部３に、当該生成された部品オブジェクトを記憶した後に、操作表示部９で、部品オブジェクト記憶部３に記憶された部品オブジェクトを用いて、部品オブジェクト単位に所定のディスプレイに表示される。この場合、図１１に示す構造化文書から部品オブジェクト生成部２により生成される部品オブジェクトは、各部品オブジェクトＯｂｊａ、Ｏｂｊｃ、Ｏｂｊｄである。部品オブジェクトＯｂｊｄには、表示すべき子要素が含まれていないから、図１２に示すように、表示領域５０ｂには、情報が表示されている。

次に、第１の携帯端末が、同じく、図１に示す各構成部を有し、秘匿情報管理装置として機能する第２の携帯端末へ、構造化文書３０のファイルデータを送信（メールにファイル添付による送信、ＦＴＰによるファイルシステム間受け渡しなど）したとする。

第２の携帯端末では、第１の携帯端末から送信された構造化文書３０を受信して、文書記憶部１に格納する。この後の第２の携帯端末の処理動作は、図７のフローチャートに従って、前述同様に行われる。

例えば、第２の携帯端末の現在位置が構造化文書３０を受信した時点で、もう既に構造化文書３０を表示、編集できる許容エリア外である場合を考える。この場合には、構造化文書３０が文書記憶部１に格納された直後に位置情報取得部７で取得された位置情報から、第２の携帯端末の現在位置が構造化文書３０を表示、編集できる許容エリア外であると判定される（ステップＳ１，ステップＳ２）。この結果、ステップＳ５〜ステップＳ７を経て、構造化文書３０に含まれる秘匿情報が文書記憶部１から削除される。従って、第２の携帯端末では、構造化文書３０に含まれる秘匿情報（部分文書３０ｂ）を表示することはない。

なお、上記第１の実施形態においては、位置情報を獲得する間隔が短いほど外部（許容エリア外）に流出した情報をより効果的に削除することができる。

また、上記第１の実施形態では、部品オブジェクト中の秘匿情報を含む子要素を削除する場合を示したが、この場合に限らず、秘匿情報を任意の文字列や記号、コードなどで上書きすることで、これら秘匿情報を削除するようにしてもよい。この場合も上記説明がそのまま当てはまる。

以上説明したように、上記第１の実施形態に係る秘匿情報管理装置によれば、機密情報やプライバシーに係わる秘匿情報を含むコンテンツ（例えば構造化文書）が記憶されている携帯端末が盗難されたり、紛失したりしたとき、さらに、上記コンテンツが当該コンテンツに予め定められた許容エリア外にネットワーク等を介して不正に持ち出された場合でも、当該コンテンツに対し予め定められた許容エリア外では文書記憶部１から当該コンテンツ中の秘匿情報は削除されるので、秘匿情報の複製などを含む不正使用を未然に防止することができる。

なお、上記第１の実施形態では、文書記憶部１に記憶されている構造化文書３０を含む複数の構造化文書は全て同じ許容エリアが定められている場合を例にとり説明したが、この場合に限らず、例えば、文書記憶部１に許容エリアが異なる複数の構造化文書が記憶されていてもよい。この場合には、構造化文書と当該構造化文書に適用するエリア登録情報を対応付けるための情報を別途記憶するようにすればよい。

（第２の実施形態）
第１の実施形態では、秘匿情報管理装置の現在位置が許容エリア外である場合に秘匿情報を削除する場合を示したが、第２の実施形態では、文書記憶部１で記憶される構造化文書には、当該秘匿情報管理装置で表示・編集が可能な期間、すなわち許容期間が定められ、この許容期限内であれば、例えば、当該構造化文書を表示・編集できる許容エリア外であっても、秘匿情報は削除されない。許容期間が経過し、且つ当該秘匿情報管理装置が許容エリア外にあるときに、秘匿情報が削除される。

第２の実施形態にかかる秘匿情報管理装置の構成例を図１３に示す。なお、図１３において図１と同一部分には同一符号を付し、異なる部分についてのみ説明する。すなわち、図１３では、利用条件管理部２１が新たに追加されている。また、文書記憶部１に記憶される構造化文書中の秘匿情報（タイプが「ｐｒｉｖａｔｅ」や「ｓｅｃｕｒｅ」であるような部分文書）には、図１４に示すように、当該秘匿情報を表示等することのできる許容期間（利用開始時「ｂｅｇｉｎ」から利用期限「ｅｎｄ」までの期間）と、好ましくは、当該秘匿情報に許容された利用形態（例えば、参照のみ可能であるのか、参照と編集が可能であるのか等）を示す情報「ｏｐ」が「操作モジュール」要素の属性情報として含まれていてもよい。

図１４に示す構造化文書３０は、図３と同様、図１５に示すように３つの部分文書３０ａ〜３０ｃが含まれている。図３と異なるのは、部分文書３０ｂの「操作モジュール」要素の属性として、許容期間の開始時を示す属性「ｂｅｇｉｎ」と許容期間の終了時を示す属性「ｅｎｄ」と、当該部分文書３０ｂに許容された利用形態を示す属性「ｏｐ」が含まれている。図１５では、属性「ｏｐ」の値は「ｒｅｆｅｒｅｎｃｅ」であり、これは、当該部分文書３０ｂは参照のみ可能であることを示している。属性「ｂｅｇｉｎ」の値は、「２００３０９２０」であり、これは、当該部分文書３０ｂを参照可能な許容期間の開始時は「２００３年９月２０日」であることを示している。属性「ｅｎｄ」の値は「２００３０９２３」であり、これは、当該部分文書３０ｂを参照可能な許容期間の終了時は「２００３年９月２３日」であることを示している。

図１４に示すような構造化文書３０（当該構造化文書を識別するためのコンテンツＩＤは「１」）は、当該構造化文書３０に予め定められている利用条件データとともに、あるいは、当該構造化文書３０に利用条件データが付加されて、秘匿情報管理装置に入力されるので、秘匿情報管理装置は、構造化文書３０を文書記憶部１で記憶し、利用条件データを利用条件管理部２１で記憶する。

利用条件データは、図１６に示すように、当該利用条件データに対応する構造化文書のコンテンツＩＤと、当該構造化文書中の部分文書（例えば、利用形態や利用可能な期間を限定する必要がある部分文書）について、当該部分文書のＩＤ、当該部分文書に許容される利用形態、当該部分文書を利用可能な期間を含む。図１６では説明の簡単のため構造化文書３０中の部分文書３０ｂについて利用形態や利用可能な期間が限定されている場合の利用条件データを示している。また、ここで示した利用条件データに含まれる条件は、図１３の部分文書３０ｂのもつ属性と同様である。すなわち、部分文書３０ｂは参照のみ可能であり、当該部分文書を利用可能な許容期間の開始時は「２００３年９月２０日」、終了時は「２００３年９月２３日」である。

利用条件管理部２１は、日時を計測するタイマー２２を有し、所定時間おきに、文書記憶部１に記憶されている各構造化文書の利用条件データをチェックして、許容期間を経過した部分文書を含む構造化文書の有無をチェックする。許容期間を経過した部分文書を含む構造化文書の存在を検知したときには、当該構造化文書のコンテンツＩＤを制御部１１へ通知する。

次に、図１７のフローチャートを参照して、第２の実施形態にかかる秘匿情報管理装置の処理動作について説明する。なお、図１７と同一部分には同一符号を付し、異なる部分についてのみ説明する。すなわち、図１７では、ステップＳ１０が追加されている。

図１３に示す各構成部を有し、秘匿情報管理装置として機能する第１の携帯端末が、例えば勤務病院内で、構造化文書３０を含む複数の構造化文書を一元管理するデータベースを有するサーバ装置から所定のネットワーク、第１の携帯端末の通信装置を介して、第１の携帯端末に、構造化文書３０及び利用条件データが入力されると、文書記憶部１に構造化文書３０が格納され、利用条件管理部２１に利用条件データが格納される。当該第１の携帯端末の現在位置は勤務病院内である。

ステップＳ１０では、利用条件管理部２１は、所定時間毎に、タイマー２２で計測される現在日時と、文書記憶部１に記憶されている構造化文書３０の利用条件データ中の利用終了時（例えば、「２００３年９月２２日」）を比較して、現在日時が利用終了時を経過するまで、制御部１１における構造化文書３０に対する図７に示す処理動作を実行させないようになっている。現在日時が利用終了時を経過したとき（例えば、現在日時が「２００３年９月２３日」に、当該構造化文書３０のコンテンツＩＤ「１」を制御部１１へ通知する。

制御部１１は、利用条件管理部２１からコンテンツＩＤ「１」を受け取ると、文書記憶部１に記憶されているコンテンツＩＤ「１」の構造化文書３０に対し、図７と同様にして、ステップＳ１〜ステップＳ６の処理動作を開始する。

上記第２の実施形態によれば、文書記憶部１に構造化文書３０が記憶されている第１の携帯端末が、当該構造化文書３０の許容エリア外にあったとしても、現在日時が利用条件データで定められた許容期間内であれば、部分文書３０ｂ中の秘匿情報は削除されることはない。すなわち、構造化文書３０は、許容エリア外でも図５に示すように表示される。しかし、現在日時が許容期間外であれば、図１７のステップＳ１〜ステップＳ６に示すような処理動作により、即座に文書記憶部１から部分文書３０ｂ中の秘匿情報は削除されるので、その後、構造化文書３０を表示しようとしても、図１２に示したように秘匿情報は表示されることはない。

従って、秘匿情報を含むコンテンツを携帯端末に格納し、仕事でやむを得ず、当該コンテンツの許容エリア外の出張先へ当該携帯端末をもっていく場合には、出張期間（仕事で当該コンテンツを実際に利用する期間）を当該コンテンツの許容期間する利用条件データを利用条件管理部２１に格納しておくことで、仕事に支障をきたすことなく、秘匿情報の管理を行うことができる。

なお、上記第１及び第２の実施形態では、構造化文書を対象とし、構造化文書に含まれる秘匿情報を管理する場合を例にとり説明したが、構造化文書の場合に限らず、テーブル形式の文書であってもよい。好ましくは、表示や操作単位の複数のデータブロックを含むような文書である。

また、上記各実施形態に記載した本発明の手法（特に図７、１７のフローチャートに示した処理）は、コンピュータに実行させることのできるプログラムとして、磁気ディスク（フレキシブルディスク、ハードディスクなど）、光ディスク（ＣＤ−ＲＯＭ、ＤＶＤなど）、半導体メモリなどの記録媒体に格納して頒布することもできる。

なお、本発明は上記実施形態そのままに限定されるものではなく、実施段階ではその要旨を逸脱しない範囲で構成要素を変形して具体化できる。また、上記実施形態に開示されている複数の構成要素の適宜な組み合わせにより、種々の発明を形成できる。例えば、実施形態に示される全構成要素から幾つかの構成要素を削除してもよい。さらに、異なる実施形態にわたる構成要素を適宜組み合わせてもよい。

本発明の第１の実施形態に係る秘匿情報管理装置の構成例を示した図。 構造化文書の一例を示した図。 図２の構造化文書に含まれる各部分文書を示した図。 図２の構造化文書から生成された部品オブジェクトの一例を示した図。 図２の構造化文書の表示例を示した図。 エリア登録情報の一例を示した図。 秘匿情報管理装置の処理動作を説明するためのフローチャート。 変換ルールの一例を示した図。 変換後の部品オブジェクトの一例を示した図。 図９の部品オブジェクトに対応する部分文書の一例を示した図。 図２に示した構造化文書から秘匿情報の削除した結果得られた構造化文書の一例を示した図。 図１１の構造化文書の表示例を示した図。 本発明の第２の実施形態にかかる秘匿情報管理装置の構成例を示した図。 構造化文書の他の例を示した図。 図１４の構造化文書に含まれる各部分文書を示した図。 利用条件データの一例を示した図。 第２の実施形態にかかる秘匿情報管理装置の処理動作を説明するためのフローチャート。

符号の説明

１…文書記憶部、２…部品オブジェクト生成部、３…部品オブジェクト記憶部、４…部品オブジェクト変換部、５…更新部、６…変換ルール記憶部、７…位置情報取得部、８…エリア登録情報記憶部、９…操作表示部、１１…制御部、２１…利用条件管理部、２２…タイマー、３０…構造化文書、３０ａ〜３０ｃ…部分文書。

Claims (7)

1. 秘匿情報を含む文書を記憶する文書記憶手段と、
   前記秘匿情報が利用可能な許容エリアを示す許容エリア情報を記憶する許容エリア情報記憶手段と、
   位置情報を取得する位置情報取得手段と、
   前記位置情報取得手段で前記許容エリア外の位置情報を取得したとき、前記文書記憶手段から前記文書中の前記秘匿情報を削除する削除手段と、
   を具備したことを特徴とする端末装置。
2. 前記文書記憶手段に記憶される文書は、複数のデータブロックを含み、各データブロックは、秘匿情報を含む第１の種別を含む複数の種別のうちのいずれか１つの種別に属し、
   前記削除手段は、前記文書中の前記第１の種別のデータブロックを、秘匿情報を含まない第２の種別のデータブロックに変換することにより、前記文書中の前記秘匿情報を削除することを特徴とする請求項１記載の端末装置。
3. 前記秘匿情報が利用可能な許容期間を示す許容期間情報を記憶する許容期間情報記憶手段をさらに具備し、
   前記削除手段は、
   前記許容期間が経過し、且つ前記位置情報取得手段で前記許容エリア外の位置情報を取得したとき、前記文書記憶手段から前記文書中の前記秘匿情報を削除することを特徴とする請求項１記載の端末装置。
4. 秘匿情報を含む文書を記憶する文書記憶手段と、前記秘匿情報が利用可能な許容エリアを示す許容エリア情報を記憶する許容エリア情報記憶手段と、位置情報を取得する位置情報取得手段とを備えた端末装置における秘匿情報管理方法であって、
   前記位置情報取得手段で前記位置情報を取得する第１のステップと、
   前記第１のステップで前記許容エリア外の位置情報を取得したとき、前記文書記憶手段から前記文書中の前記秘匿情報を削除する第２のステップと、
   を有することを特徴とする秘匿情報管理方法。
5. 前記第２のステップは、
   前記秘匿情報が利用可能な許容期間が経過し、且つ前記第１のステップで前記許容エリア外の位置情報を取得したとき、前記文書記憶手段から前記文書中の前記秘匿情報を削除することを特徴とする請求項４記載の秘匿情報管理方法。
6. 秘匿情報を含む文書を記憶する文書記憶手段と、前記秘匿情報が利用可能な許容エリアを示す許容エリア情報を記憶する許容エリア情報記憶手段と、位置情報を取得する位置情報取得手段とを備えたコンピュータに、
   前記位置情報取得手段で前記位置情報を取得する第１のステップと、
   前記第１のステップで前記許容エリア外の位置情報を取得したとき、前記文書記憶手段から前記文書中の前記秘匿情報を削除する第２のステップと、
   を含む処理を実行させるためのプログラム。
7. 前記第２のステップは、
   前記秘匿情報が利用可能な許容期間が経過し、且つ前記第１のステップで前記許容エリア外の位置情報を取得したとき、前記文書記憶手段から前記文書中の前記秘匿情報を削除することを特徴とする請求項６記載のプログラム。

Images