JP4924269B2 - 操作制限管理システムおよびプログラム - Google Patents

Description

本発明は、操作制限管理システムおよびプログラムに関する。

所定のアプリケーションを用いて生成した電子情報や複合機で生成した電子情報などの文書に、セキュリティポリシーに基づくポリシー情報を設定することによりその文書の機密性を確保する技術があり、当該文書を操作する際には設定されたポリシー情報により示される操作のみが可能である。たとえば、ポリシー情報で印刷操作するためには印刷権限が設定されている必要がある。

このようなポリシー情報が設定された文書同士の合成や派生などに際し、ポリシー情報を継承したり新たに設定したりすることがある。

特許文献１に開示された従来技術では、複数の元となる電子文書から１つのバインダ文書を作成し、そのバインダ文書のアクセス権が変更された場合に元となった電子文書のアクセス権を同じく変更する技術が示されている。

すなわち、この特許文献１の従来技術は、バインダ文書を作成する際に、元となる元文書と作成したバインダ文書のアクセス権を同時に変更できるようにした技術である。
特開２００６−２６８４６４

本発明は、文書に設定された操作制限を変更することにより該文書に関連する関連文書の操作制限をも同時に変更する操作制限管理システムおよびプログラムを提供することを目的とする。

上記目的を達成するため、請求項１の発明は、文書の操作制限を行う操作制限情報を記憶する操作制限情報記憶手段と、前記操作制限情報記憶手段に記憶された前記操作制限情報により操作制限を行う文書の操作履歴を管理する操作履歴管理手段と、前記操作制限情報記憶手段に記憶された前記操作制限情報を変更した場合、前記操作履歴管理手段で管理される該当文書の操作履歴を用いて該文書に関連する関連文書を検索する関連文書検索手段と、前記関連文書検索手段により検索した関連文書に設定された操作制限情報を変更後の操作制限情報に変更する操作制限情報変更手段を具備することを特徴とする。

また、請求項２の発明は、請求項１の発明において、前記操作履歴管理手段は、前記操作制限情報変更手段によって前記文書と該文書に関連する関連文書の操作制限情報を変更したことを操作履歴として管理することを特徴とする。

また、請求項３の発明は、請求項１または２の発明において、前記操作履歴管理手段は、前記文書の操作履歴に、該文書に関連する１または複数の関連文書とを関連識別情報を記録して管理し、前記関連文書検索手段は、前記文書に関連する関連文書を、前記操作履歴管理手段で管理する該文書の操作履歴で示される前記関連識別情報を用いて検索することを特徴とする。

また、請求項４の発明は、請求項１または２の発明において、前記関連文書検索手段は、指定された検索範囲内にある文書から前記関連文書を検索することを特徴とする。

また、請求項５の発明は、請求項１から４のいずれかの発明において、前記操作制限情報により操作制限された文書を操作する操作者を認証する操作者認証手段を更に具備し、前記操作制限情報変更手段は、前記操作者認証手段によって認証した前記操作者により前記文書に関連する関連文書の操作制限情報を、当該文書の操作制限情報へ変更することを特徴とする。

また、請求項６の発明は、請求項１から５のいずれかの発明において、前記文書および前記関連文書は、識別情報が印刷されている印刷物であり、前記操作制限情報記憶手段は、前記識別情報に対して操作制限情報を記憶することを特徴とする。

また、請求項７の発明は、コンピュータを、文書の操作制限を行う操作制限情報を記憶する操作制限情報記憶手段と、前記操作制限情報記憶手段に記憶された前記操作制限情報により操作制限を行う文書の操作履歴を管理する操作履歴管理手段と、前記操作制限情報記憶手段に記憶された前記操作制限情報を変更した場合、前記操作履歴管理手段で管理される該当文書の操作履歴を用いて該文書に関連する関連文書を検索する関連文書検索手段と、前記関連文書検索手段により検索した関連文書に設定された操作制限情報を変更後の操作制限情報に変更する操作制限情報変更手段として機能させることを特徴とする。

本発明の請求項１によれば、文書に設定されている操作制限情報の変更に伴い、その操作制限情報を変更した文書に関連する関連文書を操作履歴から検索し、該関連文書のポリシー情報をも同時に変更することが可能になるという効果を奏する。

また、請求項２によれば、文書の操作制限情報を変更するという操作においても文書間の関連ができ、文書の操作制限情報を変更することによりその文書に関連する関連文書の操作制限情報をも変更することができるようになる。

また、請求項３によれば、文書と関連する関連文書をより高速に検索することが可能となるという効果を奏する。

また、請求項４によれば、操作制限情報の変更に伴う関連文書のポリシー情報の変更に際し、意図しない文書の操作制限情報までもが変更されてしまうことを防止することが可能になるという効果を奏する。

また、請求項５によれば、操作制限情報の変更に際してより高い安全性を確保することが可能になるという効果を奏する。

また、請求項６によれば、印刷物を識別する識別情報に対して設定された操作制限情報をも変更することが可能になるという効果を奏する。

また、請求項７によれば、文書に設定されている操作制限情報の変更に伴い、その操作制限情報を変更した文書に関連する関連文書を操作履歴から検索し、該関連文書のポリシー情報をも同時に変更することが可能になるという効果を奏する。

以下、本発明の実施の形態に係る操作制限管理システムおよびプログラムの一実施例を添付図面を参照して詳細に説明する。

図１は、本発明の実施の形態における操作制限管理システムおよびプログラムを適用して構成した操作制限情報管理システムのシステム構成図の一例である。

図１において、操作制限情報管理システムは、ポリシーサーバ１００、ログ管理サーバ２００、クライアントＰＣ３００により構成され、所定のセキュリティポリシーに基づいて文書に設定された操作制限情報であるポリシー情報の変更を行うことにより、その文書に関連する他の文書（以下、「関連文書」という）のポリシー情報をも同様に変更できるようにしたシステムである。

セキュリティポリシーは、リスク要因を排除し、文書の機密性を確保する方針や規範を示すものであって、セキュリティポリシーによる機密性を実現するために、ポリシーサーバ１００では、そのセキュリティポリシーに基づいて管理するポリシー情報を文書に対応付ける（設定する）。

情報漏えいや不正アクセスなどを防止するためのセキュリティポリシーとして暗号化機能や操作管理機能があり、これらの機能のセキュリティレベルを指定したものがポリシー情報である。

ポリシーサーバ１００は、文書の操作者であるユーザをユーザＩＤとパスワードの組合せ等によって認証するユーザ認証機能を具備するとともに、文書を識別する文書識別情報（以下、「文書ＩＤ」という）に対してその文書に設定されたポリシー情報を管理する。また、このポリシーサーバ１００では、セキュリティポリシーの暗号化機能により暗号化された文書を複号する複号鍵をもその文書ＩＤに対応付けて管理する。

もちろん、別途、認証サーバ（図示せず）を設け、ポリシーサーバ１００からその認証サーバにユーザの認証要求を送信することで、認証サーバが管理する操作者の情報を用いてユーザ認証を行い、認証要求元のポリシーサーバ１００にその認証結果を送信するような構成であってもよい。

ポリシー情報が設定された文書は、暗号化機能や操作管理機能によって暗号化や操作制限された状態にある文書であり、この状態にある文書を以降では「セキュリティ文書」と示し、セキュリティ文書は、設定されたポリシー情報を満たすことにより操作可能である。

クライアントＰＣ３００は、ポリシー情報が設定されたセキュリティ文書に対して閲覧や編集、印刷などの所定の操作を行う。これらの操作に際し、操作者であるユーザを認証するためにポリシーサーバ１００に対してユーザ情報を送信して認証要求を行う。ポリシーサーバ１００で認証されることによってセキュリティ文書の所定の操作が可能となる。

このときクライアントＰＣ３００では、ポリシーサーバ１００から当該セキュリティ文書に対して許可された操作内容の一覧、暗号化されたセキュリティ文書を複号するための複号鍵を受信する。この複合鍵は文書の暗号化を行う暗号化アルゴリズムで用いる暗号鍵に対応し、その暗号鍵を用いて暗号化された文書を複号するために用いる情報である。

続いてクライアントＰＣ３００は、受信したその複号鍵を用いてセキュリティ文書を複号して複号後の文書に対して閲覧や編集などの操作を行う。その後、操作が完了すると、操作後の文書を識別する文書ＩＤを生成するほか、操作前のセキュリティ文書からその文書ＩＤの文書へとなる過程を追跡できるようにした「トレーサブルＩＤ」を生成して、操作内容とともにログ管理サーバ２００に登録する。

この文書ＩＤは、セキュリティ文書の文書内容を変更する編集操作などを行った場合に新たに生成される識別情報であって、閲覧などの文書内容そのものを変更しない操作に対しては新たな文書ＩＤは生成されず、この場合、トレーサブルＩＤのみが生成される。すなわち、トレーサブルＩＤはいずれの操作においても生成され、文書に設定される。

編集操作などによって新たな文書が生成された場合には、その文書のポリシー情報として編集操作前の文書に設定されたポリシー情報が設定される。もちろん、ポリシーサーバ１００が管理する他のポリシー情報をクライアントＰＣ３００を用いてユーザが選択し、選択したポリシー情報をその編集後の文書に設定することも可能である。

ログ管理サーバ２００は、セキュリティ文書に対する操作内容の履歴を系列的に示した操作履歴の情報（ログ情報）を管理する。このログ管理サーバ２００が管理するログ情報には、操作対象の文書を識別する文書ＩＤ、その文書ＩＤの文書を操作したユーザの情報、操作前の文書のトレーサブルＩＤ、操作後の文書のトレーサブルＩＤが含まれ、操作履歴を記録する文書と関連する関連文書の検索を可能としている。本発明において、関連文書の検索は、文書ＩＤによって文書を特定することを示している。

このログ管理サーバ２００では、編集などの文書内容が変更される操作以外にも、参照や閲覧、印刷などの文書内容そのものが変わらない操作についても操作履歴を管理する。この場合、上記するように新たな文書ＩＤは生成されず、トレーサブルＩＤのみが生成されて操作履歴として管理する。

クライアントＰＣ３００によって操作元の文書を「親文書」とすると、その親文書を操作することにより生成した新たな文書は「子文書」となる。

この親子関係の階層構造を構築することにより、生成された文書（子文書）の派生元の文書（親文書）を特定できるとともに、派生元の文書（親文書）から生成された文書（子文書）を特定することができる。これらの親子関係を文書に設定された「トレーサブルＩＤ」により示している。

本実施例では、クライアントＰＣ３００から文書に設定されたポリシー情報の変更要求を行い、その変更要求に基づいてポリシーサーバ１００がその文書および関連文書のポリシー情報を一括して若しくは選択的に変更する例を示すが、これに限定されることはなく、クライアントＰＣ３００がポリシーサーバ１００から変更後のポリシー情報を受信することでポリシー情報を一括して変更する処理を行うように構成してもよい。

このような構成からなる操作制限情報管理システムにおいて、クライアントＰＣ３００が操作対象のセキュリティ文書に設定されたポリシー情報の変更要求を行うと、その変更要求をポリシーサーバ１００に転送する。ポリシー情報の変更要求を受信したポリシーサーバ１００は当該セキュリティ文書に関連する関連文書の一覧をログ管理サーバ２００に要求して、受信した関連文書の一覧に示される関連文書のポリシー情報を変更要求された文書のポリシー情報とともに、変更要求に含まれるポリシー情報に変更する。

本実施例では、暗号化機能および操作管理機能のセキュリティポリシーによってセキュリティ文書を作成する例を示し、ポリシーサーバ１００は、ユーザ認証により当該セキュリティ文書の操作が可能である場合に、暗号化機能により暗号化されたセキュリティ文書を復号する復号鍵および操作管理機能により操作管理が行われた操作内容の一覧（リスト）を操作元であるクライアントＰＣ３００に送信する。

クライアントＰＣ３００では、受信した複号鍵によりセキュリティ文書を複号し、操作管理機能による操作権限に基づいて操作を行う。操作権限にポリシー情報の変更が許可されている場合に、クライアントＰＣ３００からポリシーサーバ１００へのポリシー情報変更要求を送信する。

クライアントＰＣ３００からポリシー情報の変更要求を受信したポリシーサーバ１００では、変更要求された文書に関連する関連文書の検索要求をログ管理サーバ２００へ行い、ログ管理サーバ２００では管理した操作履歴から当該文書に関連する関連文書を検索し、その関連文書の一覧を要求元のポリシーサーバ１００へ送信する。

ポリシーサーバ１００では一覧に示された関連文書のポリシー情報を、クライアントＰＣ３００により指定されたポリシー情報に変更する。

このような構成からなる操作制限情報管理システムの詳細な機能構成を図２に示し、以下で説明する。

図２は、本発明の実施の形態における操作制限情報管理システムの機能構成を示すブロック図である。

図２において、操作制限情報管理システムは、表示操作部２０１、操作制御部２０２、識別情報生成部２０３、認証部２０４、ユーザ情報管理部２０５、ポリシー制御部２０６、ポリシー記憶部２０７、文書情報記憶部２０８、セキュリティ情報登録部２１０、履歴制御部２１１、履歴記録部２１２、履歴記憶部２１３を具備して構成される。

図１のシステム構成図では、表示操作部２０１、操作制御部２０２、識別情報生成部２０３をクライアントＰＣ３００で実現し、認証部２０４、ユーザ情報管理部２０５、ポリシー制御部２０６、ポリシー記憶部２０７、文書情報記憶部２０８、セキュリティ情報登録部２１０をポリシーサーバ１００で実現し、履歴制御部２１１、履歴記録部２１２、履歴記憶部２１３をログ管理サーバ２００で実現した一例を示している。

表示操作部２０１は、ユーザインターフェースであってキーボードやポインティングデバイス、表示ディスプレイなどにより構成される。この表示操作部２０１を用いてポリシー情報が設定されていない文書（非セキュリティ文書）にセキュリティポリシーに基づくポリシー情報を指定すると、表示操作部２０１から操作制御部２０２に、指定したポリシー情報を設定する設定要求を行う。

このとき、文書に設定するポリシー情報の指定方法の一例として、図３に示すような画面を用いる方法がある。図３については以下で説明する。

操作制御部２０２は、文書に対する操作の主制御を行うとともに、文書に設定されたポリシー情報の変更に係わる処理の制御を行う。

表示操作部２０１からポリシー情報の設定要求を受信すると、この操作制御部２０２では、その文書を識別する文書ＩＤの生成要求および文書の操作過程から特定の文書を追跡可能とするトレーサブルＩＤの生成要求を識別情報生成部２０３へと行い、指定されたポリシー情報を設定したセキュリティ文書を生成する。

このセキュリティ文書の生成処理は、指定されたポリシー情報の示す操作権限を文書に指定するとともに、そのポリシー情報に指定された暗号化アルゴリズムによって暗号化を行うことで機密性を確保する処理である。

続いて、操作制御部２０２から識別情報（文書ＩＤ、トレーサブルＩＤ）の生成要求を受信した識別情報生成部２０３は、その生成要求に基づいて文書ＩＤ、トレーサブルＩＤを生成する。生成したこれらの識別情報は要求元である操作制御部２０２へと応答し、操作制御部２０２は、これらの操作内容を履歴情報として記録するために、操作記録部２１２へこれらの識別情報、ユーザ情報、操作内容などの情報を送信する。

操作記録部２１２は、履歴情報として管理する操作履歴を履歴記憶部２１３へと記録する処理を行う。この操作記録部２１２により履歴記憶部２１３へ記録された情報は、例えば、図７に示すようなテーブル構成で記憶する。この図７についても以下で説明する。

ちなみに、ポリシー情報が設定されていない文書（非セキュリティ文書）に、ポリシー情報を設定してセキュリティ文書を生成する処理の場合、新たにセキュリティ文書の履歴情報を登録して操作履歴の記録を開始することから、履歴記憶部２１３ではこの操作を「登録」として記憶する。

この履歴記憶部２１３で記憶した操作履歴は、履歴制御部２１１により制御される情報であって、ポリシー情報を変更する文書に関連する関連文書の検索に用いられる。

このようにしてポリシー情報が登録されていない非セキュリティ文書にポリシー情報を設定してセキュリティ文書を生成する。この処理に際し、その操作履歴を履歴記憶部２１３に記憶する。

以下で、セキュリティ文書に設定された文書のポリシー情報を変更する処理を説明する。

まず、表示操作部２０１を用いて操作者であるユーザを認証するためのユーザ情報（ユーザＩＤ、パスワード）を入力すると、そのユーザ情報を含むユーザ認証要求を操作制御部２０２に送信する。そして、操作制御部２０２はその要求が認証要求であると判別することで認証部２０４へと転送する。

認証部２０４は、ユーザ情報管理部２０５で管理するユーザ情報を用いてユーザを認証する処理を行う。このユーザ認証によって、ポリシー情報の変更が可能であるユーザであることが認証されると、その認証結果を操作制御部２０２を介して表示操作部２０１の表示ディスプレイに表示する。

ちなみに、認証した結果を示す認証情報（トークン）は表示操作部の作業領域となる記憶領域に一時的に記憶された状態となり、操作が終了するとともに消去される。

このようにユーザ認証が行われた状態で、セキュリティ文書に設定されたポリシー情報の変更を表示操作部２０１から指示すると、操作制御部２０２にポリシー情報の変更要求操作が通知される。このポリシー情報の変更指示は、例えば図６に示すような画面を用いて行う。

図６は、本発明の実施の形態にかかる操作制限情報管理システムで、文書に設定されたポリシー情報の変更を指示する画面を示す図である。

図６に示す画面は、操作した文書に設定するポリシー情報を指定する[ポリシー情報指定]項目６０１、[ポリシー情報指定]項目６０１で指定したポリシー情報で既存のポリシー情報を変更する文書の範囲を指定する[変更文書範囲指定]項目６０２、ＯＫボタン６０３、キャンセルボタン６０４を具備して構成される。

[ポリシー情報指定]項目６０１では、文書に設定可能なポリシー情報を選択することが可能である。このポリシー情報は図２のポリシー記憶部２０７で記憶する情報であって、表示操作部２０１でこの図６の画面を表示する際にポリシー制御部２０６を介して受信する。

[変更文書範囲指定]項目６０２では、ポリシー情報を変更する文書の範囲として（１）「関連文書全体（他のユーザが生成・編集した文書を含む）」、（２）「制限付き関連文書（自分が生成・編集した文書のみを含む）」、（３）「制限付き関連文書（紙文書を含み、自分が生成・編集した文書のみ）」、（４）「この文書のみ（関連文書のポリシーは変更しない）」のいずれかを選択することができる。

（１）「関連文書全体（他のユーザが生成・編集した文書を含む）」を選択した場合には、ポリシー情報を変更する対象文書に指定した文書に関連する全ての文書を関連文書として選択する。また、（２）「制限付き関連文書（自分が生成・編集した文書のみを含む）」を選択した場合には、ポリシー情報を変更する対象文書に指定した文書に関連する関連文書のうち、その対象文書のユーザが操作した文書を関連文書として選択する。また、（３）「制限付き関連文書（紙文書を含み、自分が生成・編集した文書のみ）」を選択した場合には、ポリシー情報を変更する対象文書に指定した文書に関連する関連文書のうち、印刷によって紙文書を作成した文書も関連文書として選択する。さらに、（４）「この文書のみ（関連文書のポリシーは変更しない）」を選択した場合には、関連文書は選択されず、ポリシー情報を変更する対象文書に指定した文書のみのポリシー情報を変更する。

この４つの場合のうち、（１）〜（３）の条件で、ポリシー情報を変更する処理の流れを図１３から図１５に示して以下で説明する。ちなみに（４）の条件は関連文書を検索する処理は行われないことから処理の流れは不要となる。

この図６に示すような画面を用いて表示操作部２０１からポリシー情報の変更指示が行われると、操作制御部２０２では、その変更指示の内容がポリシー情報の変更であると判断してポリシー制御部２０６にポリシー情報の変更制御を要求する。

ポリシー制御部２０６は、ポリシー情報の登録、管理、変更などの処理を制御する。操作制御部２０２からポリシー情報の変更要求を受信すると、ポリシー制御部２０６では、変更要求された文書に関連する他の関連文書の検索要求を履歴制御部２１１へ行う。

履歴制御部２１１では、ポリシー制御部２０６からの関連文書の検索要求を受信することにより、表示操作部２０１で図６を用いて指定したポリシー情報の変更条件に基づいて関連文書を検索し、合致する関連文書を一覧（リスト）にして要求元であるポリシー制御部２０６へと送信する。

この履歴制御部２１１は、履歴記憶部２１３で記憶する履歴情報から各文書間の関係を形成することにより、あるセキュリティ文書と関連する他の関連文書を検索する。この関係は例えばツリー構造（木構造）によって示すことができ、その木構造の例を図５に示している。

図５は、本発明の実施の形態における操作制限情報管理システムで管理する履歴情報の関係を示す図である。

図５において、図５（ａ）は文書間の論理関係の例を示す図であり、図５（ａ）では「文書Ａ」に対して所定の操作（例えば、編集操作など）を行うことにより「文書Ｂ」と「文書Ｃ」とが関連文書として関連付けられた状態を示している。なお、「文書Ａ」には「ＤｏｃＩＤ＿Ａ」の文書ＩＤが設定され、「文書Ｂ」には「ＤｏｃＩＤ＿Ｂ」の文書ＩＤが設定され、「文書Ｃ」には「ＤｏｃＩＤ＿Ｃ」の文書ＩＤが設定されており、各文書にはそれぞれ異なる文書ＩＤが設定されていることから、文書Ｂおよび文書Ｃは文書Ａに対して文書内容を変更する編集操作などを行った状態を示す。

このとき、文書Ａが「親文書」であって、文書Ｂおよび文書Ｃは文書Ａを親文書とする「子文書」という関係にある。

また、文書Ａと文書Ｂの間、文書Ａと文書Ｃの間はトレーサブルＩＤ（「ＴＩＤ」と表記）が設定されており、文書Ａと文書Ｂの間のトレーサブルＩＤとして「ＴＩＤ＿１」が設定され、文書Ａと文書Ｃとの間のトレーサブルＩＤとして「ＴＩＤ＿２」が設定されて文書同士が関連付けられている。

ちなみに、文書Ｂと文書Ｃには各文書の元となった親文書である文書Ａと同一のポリシー情報が設定されて作成された状態にある。

これらのセキュリティ文書に対して設定されたポリシー情報の状態を図５（ｂ）に示している。

図５（ｂ）は、各文書を識別する文書ＩＤを示す[文書ＩＤ]項目５０１、[文書ＩＤ]項目５０１で指定された文書ＩＤの文書に設定されたポリシー情報を示す[ポリシー情報]項目５０２、[文書ＩＤ]項目５０１の文書ＩＤの文書を複号する複号鍵を示す[複号鍵]項目５０３により構成される。

すなわち、[文書ＩＤ]項目５０１に示される「ＤｏｃＩＤ＿Ａ、ＤｏｃＩＤ＿Ｂ、ＤｏｃＩＤ＿Ｃ」の文書全てに、[ポリシー情報]項目５０２に示すポリシー情報「ポリシー１」が設定され、各文書それぞれに異なる複号鍵が設定された状態を示している。

このように各文書にポリシー情報が設定された状態から、図６に示すような画面を用いてポリシー情報の変更が指示されると、その指示内容に基づいてポリシー情報が変更される。このときのポリシー情報の変更例を図５（ｃ）に示している。

図５（ｃ）は、各セキュリティ文書に設定されたポリシー情報が図５（ｂ）の「ポリシー１」から「ポリシー２」へと変更された状態を示している。これは文書Ａ、文書Ｂ、文書Ｃのいずれかをポリシー情報の変更対象文書に指定し、指定した文書に関連する他の文書を関連文書として指定されることでこれら全ての文書のポリシー情報を「ポリシー２」へと変更した例を示している。

この図５（ｃ）は、図６の[ポリシー情報指定]項目６０１として「ポリシー２（グループＢ、グループＣに閲覧権）」を選択し、[変更文書範囲指定]項目６０２として「関連文書全体（他のユーザが生成・編集した文書を含む）」を選択することにより全ての文書のポリシー情報が「ポリシー２」へと変更された状態を示している。

このように履歴制御部２１１では履歴記憶部２１３で管理する文書ＩＤやトレーサブルＩＤを用いて関連文書を検索する。

この履歴制御部２１１で関連文書を検索する方法として、例えば図６に示す画面で選択可能な条件を選択する方法や、図１２に示すような画面から関連文書を指定する方法がある。これらの画面を用いた場合の詳細な関連文書の検索方法を、図１３〜図１５および図１６〜図２０に示し、以下で説明する。

このように、履歴制御部２１１から関連文書の一覧（リスト）を受信したポリシー制御部２０６では、操作制御部２０２から指定された変更後のポリシー情報をポリシー記憶部２０７から取得し、受信したリストに示される関連文書のポリシー情報を変更する。

ちなみに、ポリシー記憶部２０７で管理するポリシー情報は、例えば、図４に示すような情報である。

ポリシー制御部２０６が所定のセキュリティ文書および関連する関連文書のポリシー情報を変更すると、その結果を操作制御部２０２に通知する。操作制御部２０２では通知された内容を表示操作部２０１に表示させる。特に、その通知内容が変更の失敗を示すものである場合、表示操作部２０１を介してユーザに通知する。

図３は、本発明の実施の形態における操作制限情報管理システムでセキュリティ文書を生成する条件を指定する画面を示す図である。

図３に示す画面は、文書に設定するポリシー情報を指定する画面であり、図２のブロック図の表示操作部２０１に表示される画面である。

この画面は、文書に指定するポリシー情報を指定する[ポリシー情報選択]項目３０１と、[ポリシー情報選択]項目３０１で選択したポリシー情報を設定する文書を指定する[対象文書指定]項目３０２とから構成される。[対象文書指定]項目３０２は、参照ボタン３０３を押下して表示される文書の一覧より指定することも可能である。

それぞれの項目を指定し、ＯＫボタン３０４を押下すると、指定した文書にポリシー情報が設定されたセキュリティ文書を生成する処理が行われる。ちなみに、キャンセルボタン３０５を押下すると文書にポリシー情報を設定する処理が取り消される。

図３に示す例には、[ポリシー情報選択]項目３０１で「ポリシー１（グループＢに編集権、グループＣに操作権なし）」が選択され、[対象文書指定]項目３０２で「C:\Documents and Settings\userA1\デスクトップ\文書Ａ」の位置にある「文書Ａ」が指定された状態を示している。

この状態でＯＫボタン３０４が押下されると、文書Ａに、グループＢに属するユーザに対して編集権を設定してグループＣに属するユーザには操作権を設定しないという権限のポリシー１が適用されたセキュリティ文書が生成される。

図４は、本発明の実施の形態における操作制限情報管理システムのポリシー情報に対する許可された操作内容の一覧を示す図である。

図４にはテーブル構成のポリシー情報を示しており、図２に示すブロック図のポリシー記憶部２０７で管理するポリシー情報の一例であって、ポリシーの種別を示す[ポリシー種別項目]４０１、文書を操作するユーザが属するグループを示す[ユーザグループ]項目４０２、[ポリシー種別]項目４０１で指定されたポリシー情報が設定された文書を[ユーザグループ]項目４０２で示すグループに属するユーザが操作する場合に許可する操作内容を示す[許可する操作]項目４０３から構成される。

図４には、[ポリシー種別項目]４０１として「ポリシー１」を設定し、[ユーザグループ]項目４０２として「グループＡ」を設定し、[許可する操作]項目４０３として「閲覧、印刷、編集、ポリシー変更」を設定した例を示している。

これは、ポリシー１が設定されたセキュリティ文書をグループＡに属するユーザが操作する場合に許可された操作が「閲覧、印刷、編集、ポリシー変更」であることを示している。

また、他の例として、[ポリシー種別項目]４０１として「ポリシー１」を設定し、[ユーザグループ]項目４０２として「グループＣ」を設定し、[許可する操作]項目４０３として「−（アクセス不可）」を設定した例を示している。

これは、ポリシー１が設定されたセキュリティ文書をグループＣに属するユーザが操作する場合に許可された操作がないことを示しており、つまりグループＣに属するユーザはこの文書を操作することができないことを示している。

図７は、本発明の実施の形態における操作制限情報管理システムのログ管理サーバで管理する文書操作の履歴情報を示す図である。

図７において、この履歴情報はテーブル構成で管理された例を示しており、図２に示すブロック図の履歴記憶部２１３で記憶する。この履歴情報は、[操作前トレーサブルＩＤ（操作前TID）]項目７０１、[操作後トレーサブルＩＤ（操作後TID）]項目７０２、[文書ＩＤ]項目７０３、[操作内容]項目７０４、[操作者]項目７０５を具備して構成される。

[文書ＩＤ]項目７０３は、操作後の状態にある文書を識別する識別情報であって、[操作内容]項目７０４は、[文書ＩＤ]項目７０３で示される識別情報の文書に対して行った操作の内容を示しており、例えば新たにセキュリティ文書として生成して履歴情報を登録する処理や、履歴情報が登録されたセキュリティ文書を編集する処理などがある。

また、[操作者]項目７０５は、[文書ＩＤ]項目７０３の識別情報の文書に対して[操作内容]項目７０４に示される操作を行ったユーザを示す。

さらに、[操作前トレーサブルＩＤ（操作前TID）]項目７０１は、[文書ＩＤ]項目７０３の文書ＩＤが示す文書に対する操作履歴が記録される前の状態の文書を特定する情報であって、[操作後トレーサブルＩＤ（操作後TID）]項目７０２は、[操作内容]項目７０４で示される操作内容が行われた文書を、操作前の状態の文書から特定する情報である。

図７に示す例では、[文書ＩＤ]項目７０３が「ＤｏｃＩＤ＿Ａ」であって、[操作内容]項目７０４が「登録」であって、[操作者]項目７０５が「ｕｓｅｒＡ１」であることから、ＤｏｃＩＤ＿Ａによって識別されるセキュリティ文書の履歴情報が新たにｕｓｅｒＡ１によって登録されたことを示している。

また、この状態にあるセキュリティ文書には、[操作前トレーサブルＩＤ（操作前TID）]項目７０１に「−（なし）」が指定され、[操作後トレーサブルＩＤ（操作後TID）]項目７０２に「ＴＩＤ１」が指定されていることから、これは操作前ＴＩＤが設定されておらず、セキュリティ文書を生成して新たに操作履歴を登録し、その登録処理のトレーサブルＩＤが「ＴＩＤ１」であることを示している。

さらに、図７では、[操作前トレーサブルＩＤ（操作前TID）]項目７０１が「ＴＩＤ１」で、[操作後トレーサブルＩＤ（操作後TID）]項目７０２が「ＴＩＤ２」で、[文書ＩＤ]項目７０３が「ＤｏｃＩＤ＿Ｂ」で、[操作内容]項目７０４が「編集」で、[操作者]項目７０５が「ｕｓｅｒＡ１」の例を示している。

これは、ＤｏｃＩＤ＿Ｂによって識別されるセキュリティ文書の履歴情報が新たにｕｓｅｒＡ１によって編集操作し、この編集操作前のセキュリティ文書を特定するためのトレーサブルＩＤが「ＴＩＤ１」で、編集操作によって生成したセキュリティ文書を特定するためのトレーサブルＩＤが「ＴＩＤ２」であることを示している。

このことから、[操作後トレーサブルＩＤ（操作後TID）]項目７０２に「ＴＩＤ１」が設定されているセキュリティ文書は、[操作前トレーサブルＩＤ（操作前TID）]項目７０１に「ＴＩＤ１」が設定されているセキュリティ文書を操作する前の状態を示す文書であることを示している。

すなわち、文書ＩＤ「ＤｏｃＩＤ＿Ａ」のセキュリティ文書は文書ＩＤ「ＤｏｃＩＤ＿Ｂ」のセキュリティ文書を生成する前の状態の文書である。

以上に示すような構成によってポリシー情報を変更する。

図８から図１１には操作制限情報管理システムの状態遷移であるシーケンスを示している。

図８は、本発明の実施の形態における操作制限情報管理システムで文書にポリシー情報を設定することによりセキュリティ文書を生成する処理の流れを示すシーケンス図である。

この処理を開始する前処理として、ポリシー情報を文書に設定することによりセキュリティ文書を生成する処理が可能なユーザであるかを判断するために、クライアントＰＣを用いて指定されたユーザ情報およびパスワードをポリシーサーバへと送信する（８０１）。ユーザ情報およびパスワードを受信したポリシーサーバでは、予め管理するユーザ情報に基づいてユーザ認証を行い（８０２）、その認証結果と認証できた場合にそのユーザが利用可能なポリシー情報とをクライアントＰＣへ送信する（８０３）。

もちろん、ポリシーサーバでユーザ認証を行うのではなくポリシーサーバから他の認証サーバに認証要求を行うような構成であってもよい。

クライアントＰＣでは、ポリシーサーバから当該ユーザの利用可能なポリシー情報を受信すると、図３に示すような画面を用いてそのポリシー情報から所望のポリシー情報を選択できるようにし、選択されたポリシー情報を、同じく図３の画面を用いて設定した文書に設定する処理を行い（８０４）、セキュリティ文書を生成する。

続いて、そのセキュリティ文書を識別する文書ＩＤと、そのセキュリティ文書になる状態を示すトレーサブルＩＤを生成する（８０５）。

そして、セキュリティ文書を生成した履歴情報を記録するために生成した文書ＩＤ、設定したポリシー情報、セキュリティ文書の暗号鍵に対する復号鍵をポリシーサーバに送信する。本実施例では、セキュリティポリシーとして暗号化機能を用いた例を示していることから、文書を暗号化する暗号アルゴリズムの暗号鍵に対する復号鍵が生成されることとなるため、その復号鍵をポリシーサーバへ送信している（８０６）。

これらを受信したポリシーサーバでは、受信した文書ＩＤに対してポリシー情報、復号鍵を対応付けて登録する（８０７）。

さらに、クライアントＰＣは、文書ＩＤ、トレーサブルＩＤ、ユーザ情報、操作情報をログ管理サーバへ送信する（８０８）。これらの情報を受信したログ管理サーバでは、図７に示すような構成で操作履歴として記録する（８０９）。

この状態によりログ管理サーバはセキュリティ文書の履歴情報を管理した状態となる。

次に、図９は、本発明の実施の形態における操作制限情報管理システムでセキュリティ文書を編集する操作を行う処理の流れを示すシーケンス図である。

例えば、図８に示すような処理により生成されたセキュリティ文書に対して編集操作を行う。まず、編集対象となるセキュリティ文書を指定すると、そのセキュリティ文書の文書ＩＤ、編集操作を行うユーザのユーザ情報およびパスワードをポリシーサーバへ送信する（９０１）。

これらの情報を受信したポリシーサーバでは、ユーザ認証を行い（９０２）、認証した場合にその文書ＩＤにより示されるセキュリティ文書を復号するための復号鍵、そのセキュリティ文書に設定されたポリシー情報を要求元にクライアントＰＣへと送信する（９０３）。

ユーザが認証され、復号鍵、ポリシー情報を受信したクライアントＰＣでは、その復号鍵を用いてセキュリティ文書を復号し（９０４）、その文書に関する所定のアプリケーションを用いて編集操作を行う（９０５）。

編集操作が終了すると、予め指定された所定の暗号アルゴリズムでその編集操作した文書を暗号化する（９０６）。なお、この暗号化処理により暗号化したセキュリティ文書を復号する復号鍵が生成される。この暗号化処理後、暗号化されたセキュリティ文書の新たな文書ＩＤと、その操作処理による文書の状態を特定するトレーサブルＩＤとを生成若しくは取得する（９０７）。

そして、文書ＩＤ、ポリシー情報、復号鍵をポリシーサーバへと送信する（９０８）。これらを受信したポリシーサーバでは、文書ＩＤに対してポリシー情報、復号鍵を対応付けて登録する（９０９）。

さらに、クライアントＰＣは、文書ＩＤ、操作前の文書のトレーサブルＩＤ、操作後の生成したトレーサブルＩＤ、ユーザ情報、操作情報などをログ管理サーバに送信する（９１０）。

ログ管理サーバでは、図７に示すような構成でこれらの情報を操作履歴として管理する（９１１）。

そして、図１０は、本発明の実施の形態における操作制限情報管理システムで印刷物に付与されている識別情報を読み取ることによりその識別情報により示される文書を複写する処理の流れを示すシーケンス図である。

図１０に示すシーケンスでは、図１に示す構成に複合機を新たに追加し、その複合機で、ログ管理サーバが管理する識別情報に対する文書の複写（コピー）という操作を行う場合の処理である。この処理では、予めログ管理サーバが文書ＩＤに対して印刷データを管理している。

まず、複合機は、カード読み取り装置から読み取ったユーザ情報、パスワードや操作パネルから入力されたこれらの情報を、ポリシーサーバへ送信する（１００１）。ユーザ情報、パスワードを受信したポリシーサーバでは、ユーザ認証ができたことが示される場合にその認証したユーザにより操作可能な操作一覧である操作メニューを複合機へと送信する（１００３）。

操作メニューを受信した複合機では、その操作メニューから複写処理を選択すると、印刷物を読み取ることにより文書を識別する文書ＩＤを取得する処理が行われ（１００４）、続いて、取得した文書ＩＤをポリシーサーバへと送信する処理が行われる（１００５）。

ポリシーサーバでは受信した文書ＩＤ、ユーザ情報に基づいて最適なポリシー情報を検索し（１００６）、合致するポリシー情報を複合機へと送信する（１００７）。ポリシー情報を受信した複合機は、そのポリシー情報を確認し（１００８）、複写が可能である場合にその文書ＩＤに対する印刷データをログ管理サーバへと要求する（１００９）。

印刷データの要求が行われたログ管理サーバでは、その文書ＩＤに対する印刷データを検索し（１０１０）、合致する印刷データを複合機へと送信する（１０１１）。

印刷データを受信した複合機は、印刷出力を行い（１０１２）、印刷出力を行った印刷データの文書を識別する文書ＩＤを生成し、またトレーサブルＩＤをも生成する（１０１３）。生成した文書ＩＤとポリシー情報とをポリシーサーバへと送信する（１０１４）。ポリシーサーバでは、文書ＩＤに対するポリシー情報として登録する（１０１５）。

また、複合機では、印刷出力を行った印刷データの文書ＩＤ、その印刷データの文書のトレーサブルＩＤ、新たに生成したトレーサブルＩＤ、ユーザ情報、操作情報などをログ管理サーバへ送信する（１０１６）。受信したログ管理サーバでは、これらの情報を履歴情報として登録する（１０１７）。

図１１は、本発明の実施の形態における操作制限情報管理システムでセキュリティ文書に設定されているポリシー情報を変更する処理の状態遷移を示すシーケンス図である。

ポリシー情報の変更対象となるセキュリティ文書を指定し、そのセキュリティ文書の文書ＩＤ、ユーザ情報、パスワードを含むポリシー変更要求をポリシーサーバへ送信する（１１０１）。このポリシー変更要求を受信したポリシーサーバでは、そのポリシー変更要求に含まれる情報を用いてユーザ認証を行い（１１０２）、認証することによりその文書ＩＤにより識別されるセキュリティ文書に設定されたポリシー情報を要求元のクライアントＰＣに送信する（１１０３）。

ポリシーサーバには、図８に示すようなシーケンスによって各文書に設定したポリシー情報を管理している状態にある。

続いて、クライアントＰＣでは、ユーザが画面や設定ファイルなどを用いて、変更後の新たなポリシー情報を選択すると（１１０４）、選択したポリシー情報およびそのポリシー情報を設定する文書の文書ＩＤをポリシーサーバへ送信する（１１０５）。ポリシーサーバでは、受信した文書ＩＤの文書に関連する関連文書の一覧（リスト）をログ管理サーバへ要求する（１１０６）。

なお、この関連文書の一覧要求には、ポリシー情報の変更対象となる文書の範囲が指定されており、この指定された範囲内にある文書を関連文書する処理が行われる。ちなみに、文書の範囲の指定には、例えば、図６に示すような画面の[変更文書範囲指定]項目６０２を用いて指定することが可能である。

続いて、ポリシーサーバから関連文書の一覧要求を受信したログ管理サーバでは、要求された文書ＩＤに対する関連文書を検索する（１１０７）。この検索処理における詳細な流れを示すフローチャートを図１３〜図１５に示し、また具体例を図１６〜図２０を用いて以下で説明する。

これらの検索処理以外にも、図１２に示すような画面を用いて関連文書をユーザが選択するような構成であってもよい。

この検索処理により関連文書が検索され、これらの関連文書の一覧が生成されると、その一覧（リスト）を要求元のポリシーサーバへ送信する（１１０８）。

関連文書の一覧を受信したポリシーサーバでは、登録して管理した当該関連文書のポリシー情報を、選択されたポリシー情報に変更する（１１０９）。全ての関連文書のポリシー情報を変更後、処理が終了したことをポリシー情報の変更要求元であるクライアントＰＣへ送信する（１１１０）。

次に、ポリシー情報を変更するセキュリティ文書に関連する関連文書を特定する方法を説明する。

図１２はユーザが関連文書を選択することにより特定する方法を示し、図１３から図１５は条件に合致するセキュリティ文書を関連文書として特定する方法を示す。図１３から図１５は図６に示す画面の[変更文書範囲指定]項目６０２で選択可能な検索条件（（４）の条件の場合は除く）のフローチャートである。

図１２は、本発明の実施の形態における操作制限情報管理システムで所定の文書に関連する関連文書を選択する画面を示す図である。

図１２は、所定の文書を選択した場合における当該文書の派生関係を階層構造によって示す[派生関係表示]項目１２０１、[ポリシー情報選択]項目１２０２により構成され、[ポリシー変更]ボタン１２０３を押下することにより[派生関係表示]項目１２０１で選択した文書のポリシー情報を[ポリシー情報選択]項目１２０２で選択したポリシー情報に変更する処理が開始する。また、[キャンセル]ボタン１２０４を押下することによりそのポリシー情報の変更処理が取り消される。

[派生関係表示]項目１２０１は、所定の文書が構成する階層構造が示される項目であって、図１２は所定の文書として「文書Ｇ」を指定した場合にその文書Ｇが構成する階層構造を示している。

さらにこの図１２は、この[派生関係表示]項目１２０１に示された階層構造を形成する文書（文書Ａ、文書Ｂ、文書Ｃ、文書Ｄ、文書Ｅ、文書Ｆ、文書Ｇ、文書Ｈ、文書Ｉ、文書Ｊ）のうち、ポリシー情報を変更する関連文書として文書Ａ、文書Ｅ、文書Ｆ、文書Ｇ、文書Ｈ、文書Ｉ、文書Ｊの７つの文書を選択した状態を示している。

[ポリシー情報選択]項目１２０２は、[派生関係表示]項目１２０１で選択した文書のポリシー情報を変更する変更後のポリシー情報を選択する項目である。図１２に示す例では、「ポリシー１（グループＢに編集権あり、グループＣに操作権なし）」を選択した例を示している。

すなわち、[派生関係表示]項目１２０１で選択した７つの文書のポリシー情報が[ポリシー情報選択]項目１２０２で選択した「ポリシー１（グループＢに編集権あり、グループＣに操作権なし）」へと変更される。

図１３は、図６に示す画面のポリシー情報の変更対象となる文書を選択する条件として、全ての関連文書のポリシー情報を変更することを選択した場合における処理の流れを示すフローチャートの一例である。

図１３において、ポリシーサーバによって所定のセキュリティ文書に関連する関連文書の一覧（リスト）が要求されると、ログ管理サーバは、そのセキュリティ文書の履歴情報（ログ情報）を検索する（１３０１）。この処理は例えば、図７に示すような履歴情報からセキュリティ文書の文書ＩＤが示されたレコードを示すことである。

これにより検索したセキュリティ文書の履歴情報に示されるトレーサブルＩＤのうち、親文書を検索するトレーサブルＩＤを取得する（１３０２）。このトレーサブルＩＤが取得できたかを判断し（１３０３）、取得できた場合（１３０３でＹＥＳ）には、順次、そのトレーサブルＩＤを辿ることによりルートとなる大元の文書状態を示す操作履歴（以下、「ルート履歴」という）に至るまでのトレーサブルＩＤ全てを取得する（１３０４）。

それに対して、親文書を検索するトレーサブルＩＤが取得できない場合（１３０３でＮＯ）には、このセキュリティ文書が親文書のないルート履歴であることを示していることからこの処理を行う必要がない。

これにより、所定のセキュリティ文書に対するルート文書の文書ＩＤと、トレーサブルＩＤとが特定される。

次に、特定したルート履歴により表されるセキュリティ文書の子孫となる各文書のトレーサブルＩＤを取得する（１３０５）。そして、そのトレーサブルＩＤに対応する文書ＩＤを取得する（１３０６）。そして、取得した文書ＩＤから重複を除いて文書ＩＤリストを作成する（１３０７）。作成した文書ＩＤリストをポリシーサーバに送信する（１３０８）。

この重複を除く処理は、閲覧や参照などの文書内容の変更が行われない操作によって記録された履歴情報を省く処理である。

図１４は、図６に示す画面のポリシー情報の変更対象となる文書を選択する条件として、特定のユーザに関連する関連文書のポリシー情報を変更することを選択した場合における処理の流れを示すフローチャートの一例である。

図１４において、ポリシーサーバによって所定のセキュリティ文書に関連する関連文書の一覧（リスト）が要求されると、ログ管理サーバは、そのセキュリティ文書の履歴情報（ログ情報）を検索する（１４０１）。

これにより検索したセキュリティ文書の履歴情報に示されるトレーサブルＩＤのうち、親文書を検索するトレーサブルＩＤを取得する（１４０２）。このトレーサブルＩＤが取得できたかを判断し（１４０３）、取得できた場合（１４０３でＹＥＳ）には、順次、そのトレーサブルＩＤを辿ることによりルート履歴に至るまでのトレーサブルＩＤ全てを取得する（１４０４）。

それに対して、親文書を検索するトレーサブルＩＤが取得できない場合（１４０３でＮＯ）には、このセキュリティ文書がルート履歴により示される親文書である。

これにより、所定のセキュリティ文書に対するルート履歴の文書ＩＤと、トレーサブルＩＤとが特定される。

次に、特定したルート履歴のセキュリティ文書からみて子孫となる各文書のトレーサブルＩＤを取得する（１４０５）。取得したトレーサブルＩＤのうち、ポリシー情報の変更要求を行ったユーザが登録や編集などの文書内容を変更する操作を行った各文書のトレーサブルＩＤを取得する（１４０６）。

そして、そのトレーサブルＩＤに対応する文書ＩＤを取得する（１４０７）。そして、取得した文書ＩＤから重複を除いて文書ＩＤリストを作成する（１４０８）。作成した文書ＩＤリストをポリシーサーバに送信する（１４０９）。

この図１４に示す処理は、例えばユーザＡがセキュリティ文書を生成し、そのセキュリティ文書の編集途中の文書を公開して他のユーザによる操作を可能にしている状態から、該セキュリティ文書の編集が終了して内容が確定することに伴い、該セキュリティ文書の公開は中止する状態になっても、編集途中のセキュリティ文書を他のユーザが操作した文書のポリシー情報は変更したくない場合などに有効である。

つまり、内容が確定したセキュリティ文書のポリシー情報のみを変更したい場合などに有効である。

図１５は、図６に示す画面のポリシー情報の変更対象となる文書を選択する条件として、紙文書を含んだ特定のユーザに関連する関連文書のポリシー情報を変更することを選択した場合における処理の流れを示すフローチャートの一例である。

図１５において、ポリシーサーバによって所定のセキュリティ文書に関連する関連文書の一覧（リスト）が要求されると、ログ管理サーバは、そのセキュリティ文書の履歴情報（ログ情報）を検索する（１５０１）。

これにより検索したセキュリティ文書の履歴情報に示されるトレーサブルＩＤのうち、親文書を検索するトレーサブルＩＤを取得する（１５０２）。このトレーサブルＩＤが取得できたかを判断し（１５０３）、取得できた場合（１５０３でＹＥＳ）には、順次、トレーサブルＩＤを辿ることによりルート履歴に至るまでのトレーサブルＩＤ全てを取得する（１５０４）。

それに対して、親文書を検索するトレーサブルＩＤが取得できない場合（１５０３でＮＯ）には、このセキュリティ文書がルート履歴により示される親文書である。

これにより、所定のセキュリティ文書に対するルート履歴の文書ＩＤとトレーサブルＩＤが特定される。

そして、特定したルート履歴のセキュリティ文書からみて子孫となる各文書のトレーサブルＩＤを取得する（１５０５）。次に、取得したこのトレーサブルＩＤに対して次の２つの処理を行う。

１つ目の処理として、取得したトレーサブルＩＤのうち、ポリシー情報の変更要求を行ったユーザが登録や編集などの文書内容を変更する操作を行った各文書のトレーサブルＩＤを取得する（１５０６）。

また、２つ目の処理として、取得したトレーサブルＩＤのうち「印刷、複写」の操作を行ったトレーサブルＩＤを取得し（１５０７）、そのトレーサブルＩＤから祖先となる文書を辿り、直近の「登録、編集、スキャン」の操作がポリシー情報の変更を指示したユーザによって行われたものであれば取得したトレーサブルＩＤを残し、直近の「登録、編集、スキャン」の操作がポリシー情報の変更を指示したユーザ以外によって行われたものであれば取得したトレーサブルＩＤを取得したものから除く（１５０８）。

これらの２つの処理によって取得したトレーサブルＩＤの論理和をとり、重複を除いたトレーサブルＩＤを取得する（１５０９）。

そして、そのトレーサブルＩＤに対する文書ＩＤを取得することにより文書ＩＤリストを作成する（１５１０）。作成した文書ＩＤリストはポリシーサーバに送信する（１５１１）。

なお、（１５０７）、（１５０８）に示す２つのステップの処理は、印刷や複写（コピー）の操作では異なる文書IDが付与されるが文書の内容そのものが変化しないことから、その印刷や複写（コピー）の操作を行う元となった文書のうち、ポリシー情報の変更要求を行ったユーザが登録や編集などの文書内容を変更する操作を行ったものだけを関連文書として検索する処理である。

図１６、図１７、図１８、図１９、図２０は、ログ管理サーバが管理する操作履歴の関係をツリー構造で表した階層構造図である。

これらの各図では、操作履歴を丸図形で表し、その丸図形で表される操作履歴を線で結ぶことにより操作履歴同士の関係を表している。この操作履歴同士の関係は各操作履歴で示されるトレーサブルＩＤによって示され、そのトレーサブルＩＤを用いることにより階層構造を生成する。

階層構造を形成する操作履歴の各丸図形には、数字を記載しており、この数字はトレーサブルＩＤであって各操作履歴を識別し、操作履歴間の関係を示すためのものである。なお、トレーサブルＩＤとして便宜的に数字を用いているが、１６進数やハッシュ関数によって算出された値をトレーサブルＩＤに用いることも可能である。

図１６から図２０までの５つの図では、１８個の操作履歴により構成されており、これはセキュリティ文書を１８回操作した状態を表している。また各操作履歴にはメタデータとして操作者であるユーザと、そのユーザにより行われた操作の内容を「（ユーザ）、（操作内容）」の形式で表している。

これら各図では、「１」が記載された丸図形によって階層構造のルートとなる操作履歴を示し、この操作履歴により表される文書を操作することにより下位階層に操作履歴が生成されていく。

図１６から図２０の各図では、「１」の操作履歴の文書を、ユーザＡ１が編集操作を行ったことを示す操作履歴を「２」の丸図形で表し、またユーザＢ１が閲覧操作を行ったことを示す操作履歴を「３」の丸図形で表し、「１」の操作履歴の丸図形と線で結ぶことにより各操作履歴同士の関係を表している。

このようにそれぞれの操作履歴により示される状態の文書に対して所定の操作を行って生成した操作履歴の関係を図１６から図２０で表している。

図１６は、図６に示す画面でポリシー情報の変更条件として「（１）関連文書全体（他のユーザが生成・編集した文書を含む）」を選択した場合に、関連文書を検索する例を示す階層構造図である。

一例として、「８」で表される操作履歴のセキュリティ文書のポリシー情報を変更する場合に、そのセキュリティ文書に関連する関連文書の文書ＩＤを検索する例を示す。この場合、関連文書の検索処理は図１３に示すような流れによって行われる。

まず、指定したセキュリティ文書の操作履歴が示すトレーサブルＩＤとして「８」を取得し、次に、そのトレーサブルＩＤ「８」を元に、祖先にあたる全てのトレーサブルＩＤを取得する。この処理によって、３つのトレーサブルＩＤ（「５」、「３」、「１」）が取得できる。

続いて、取得したこれらのトレーサブルＩＤ（「５」、「３」、「１」）のうち、ルート履歴を示すトレーサブルＩＤとして「１」を取得する。ルート履歴のトレーサブルＩＤ「１」を取得すると、このトレーサブルＩＤ「１」の操作履歴からみて子孫の関係にあるすべての操作履歴のトレーサブルＩＤを取得する。

これにより、１８個のトレーサブルＩＤ（「１」、「２」、「３」、「４」、「５」、「６」、「７」、「８」、「９」、「１０」、「１１」、「１２」、「１３」、「１４」、「１５」、「１６」、「１７」、「１８」）を取得する。

そして、取得したこれら１８個のトレーサブルＩＤに対する文書ＩＤを特定する。文書ＩＤは編集操作などによって文書の内容が更新されることにより変更される情報であることから、閲覧や参照などといった文書の内容に変更が伴わない操作の操作履歴には操作前の操作履歴と同一の文書ＩＤが設定されていることになる。すなわち、特定した文書ＩＤの中には重複する文書ＩＤがある可能性がある。

そのため、重複する文書ＩＤを除く処理を行い、算出される文書ＩＤのリストを作成する。この重複する文書ＩＤを除く処理によって算出された文書ＩＤは、図１６で黒塗り白抜きで表した操作履歴のトレーサブルＩＤ（「１」、「２」、「６」、「７」、「８」、「９」、「１３」、「１４」、「１５」、「１６」、「１７」、「１８」）に対する文書ＩＤである。

この文書ＩＤリストに示される文書ＩＤの文書が関連文書として検索されたセキュリティ文書であることを示す。

図１７は、図６に示す画面でポリシー情報の変更条件として「（２）制限付き関連文書（自分が生成・編集した文書のみ）」を選択した場合に、関連文書を検索する例を示す階層構造図である。

一例として、「８」で表される操作履歴のセキュリティ文書のポリシー情報をユーザＡが変更する場合に、そのセキュリティ文書に関連する関連文書の文書ＩＤを検索する例を示す。この場合、関連文書の検索処理は図１４に示すような流れによって行われる。

まず、指定したセキュリティ文書の操作履歴が示すトレーサブルＩＤとして「８」を取得し、次に、そのトレーサブルＩＤ「８」を元に、祖先にあたる全てのトレーサブルＩＤを取得する。この処理によって、３つのトレーサブルＩＤ（「５」、「３」、「１」）が取得できる。

続いて、取得したこれらのトレーサブルＩＤ（「５」、「３」、「１」）のうち、ルート履歴を示すトレーサブルＩＤとして「１」を取得する。ルート履歴のトレーサブルＩＤ「１」を取得すると、このトレーサブルＩＤ「１」の操作履歴からみて子孫の関係にあるすべての操作履歴のトレーサブルＩＤを取得する。

これにより、１８個のトレーサブルＩＤ（「１」、「２」、「３」、「４」、「５」、「６」、「７」、「８」、「９」、「１０」、「１１」、「１２」、「１３」、「１４」、「１５」、「１６」、「１７」、「１８」）を取得する。

そして、取得したこれら１８個のトレーサブルＩＤによって示される操作履歴から、ポリシー情報の変更を指示するユーザＡによって登録、編集などの文書の内容を変更する操作を行った操作履歴のトレーサブルＩＤを取得する。この処理によって、８つのトレーサブルＩＤ（「１」、「２」、「７」、「８」、「９」、「１３」、「１５」、「１６」）を取得する。

そして、この８つのトレーサブルＩＤに対する文書ＩＤを操作履歴から特定して文書ＩＤリストを作成する。

この文書ＩＤリストに示される文書ＩＤの文書が関連文書として検索されたセキュリティ文書であることを示す。

図１８は、指定したセキュリティ文書からみて子孫にあたる文書を関連文書として検索する例を示す階層構造図である。

一例として、「８」で表される操作履歴のセキュリティ文書のポリシー情報を変更する場合に、そのセキュリティ文書に関連する関連文書の文書ＩＤを検索する例を示す。

まず、指定したセキュリティ文書のトレーサブルＩＤ「８」が「操作後のトレーサブルＩＤ」として指定されている操作履歴を特定する。これは、例えば、図７に示す操作履歴情報の[操作後トレーサブルＩＤ（操作前TID）]７０２にトレーサブルＩＤ「８」が設定されているものを検索する処理である。

図１８の例では、トレーサブルＩＤ「１３」の履歴情報の「操作後のトレーサブルＩＤ」として「８」が設定されていることからこのトレーサブルＩＤ「１３」が示す操作履歴の文書ＩＤが子孫にあたる関連文書であると特定する。

続いて、このトレーサブルＩＤ「１３」についても子孫にあたる文書を検索する。上記同様に、トレーサブルＩＤ「１３」が「操作前のトレーサブルＩＤ」として指定されている操作履歴を特定する。これによりトレーサブルＩＤ「１６」とトレーサブルＩＤ「１７」が検索される。よってこの２つのトレーサブルＩＤに対応する文書ＩＤが子孫にあたる関連文書であると特定する。

このようにして、トレーサブルＩＤ「８」のセキュリティ文書に関連する文書は、４つのトレーサブルＩＤ（「８」、「１３」、「１６」、「１７」）に対応する文書ＩＤの文書である。

図１９は、指定したセキュリティ文書からみて直系の祖先にあたる文書のうち、そのセキュリティ文書を指定したユーザにより文書の内容を変更する操作が行われた文書を関連文書として検索する例を示す階層構造図である。

一例として、「１６」で表される操作履歴のセキュリティ文書のポリシー情報をユーザＡが変更する場合に、そのセキュリティ文書に関連する関連文書の文書ＩＤを検索する例を示す。

まず、指定したセキュリティ文書のトレーサブルＩＤ「１６」が「操作前のトレーサブルＩＤ」として指定されている操作履歴を特定する。図７に示すような操作履歴の情報の[操作前のトレーサブルＩＤ]項目７０１を参照する。これにより、図１９に示す階層構造の操作履歴の例では、トレーサブルＩＤ「１３」により示される操作履歴が該当する。

次に、このトレーサブルＩＤ「１３」についても同様に、このトレーサブルＩＤ「１３」が「操作前のトレーサブルＩＤ」として指定されている操作履歴を特定する処理を行う。これにより、トレーサブルＩＤ「８」により示される操作履歴が該当する。

このような操作をルート履歴になるまで順次、行うことにより操作履歴を特定する。図１９に示す図では、６つのトレーサブルＩＤ（「１６」、「１３」、「８」、「５」、「３」、「１」）により示される操作履歴であって、この操作履歴のうち、ポリシー情報の変更要求を行ったユーザＡが登録、編集などの文書を更新する操作を行ったことを示す操作履歴のトレーサブルＩＤを特定する。すなわち、トレーサブルＩＤ「１６」、トレーサブルＩＤ「１３」、トレーサブルＩＤ「８」、トレーサブルＩＤ「１」の４つが特定される。

これにより、トレーサブルＩＤ「１６」のセキュリティ文書に関連する文書は、４つのトレーサブルＩＤ（「１６」、「１３」、「８」、「１」）に対応する文書ＩＤの文書である。

図２０は、図６に示す画面でポリシー情報の変更条件として「（３）制限付き関連文書（紙文書を含み、自分が生成・編集した文書のみ）」を選択した場合に、関連文書を検索する例を示す階層構造図である。

一例として、「１５」で表される操作履歴のセキュリティ文書のポリシー情報をユーザＡが変更する場合に、そのセキュリティ文書に関連する関連文書の文書ＩＤを検索する例を示す。この場合、関連文書の検索処理は図１５に示すような流れによって行われる。

まず、指定したセキュリティ文書の操作履歴が示すトレーサブルＩＤとして「１５」を取得し、次に、そのトレーサブルＩＤ「１５」を元に、祖先にあたる全てのトレーサブルＩＤを取得する。この処理によって、４つのトレーサブルＩＤ（「１０」、「６」、「３」、「１」）が取得できる。

続いて、取得したこれらのトレーサブルＩＤ（「１０」、「６」、「３」、「１」）のうち、ルート履歴を示すトレーサブルＩＤとして「１」を取得する。ルート履歴のトレーサブルＩＤ「１」を取得すると、このトレーサブルＩＤ「１」の操作履歴からみて子孫の関係にあるすべての操作履歴のトレーサブルＩＤを取得する。

これにより、１８個のトレーサブルＩＤ（「１」、「２」、「３」、「４」、「５」、「６」、「７」、「８」、「９」、「１０」、「１１」、「１２」、「１３」、「１４」、「１５」、「１６」、「１７」、「１８」）を取得する。

ここで、取得した１８個のトレーサブルＩＤに対して次の２つの処理がそれぞれ行われる。

まず、１つ目の処理として、ポリシー情報の変更を指示するユーザＡによって登録、編集などの文書の内容を変更する操作を行った操作履歴のトレーサブルＩＤを取得する。この処理によって、８個のトレーサブルＩＤ（「１」、「２」、「７」、「８」、「９」、「１３」、「１５」、「１６」）が取得される。

次に、２つ目の処理として、１８個のトレーサブルＩＤに対して印刷、複写（コピー）の操作を示すトレーサブルＩＤを取得する。そして、取得したトレーサブルＩＤの祖先を辿り、登録、編集、スキャンの操作を行った直近のトレーサブルＩＤを検索してポリシー情報の変更を要求したユーザＡが操作した操作履歴のトレーサブルＩＤを取得する。

この２つ目の処理では、先の処理で２つのトレーサブルＩＤ（「１１」、「１５」）を取得し、後の処理でその２つのトレーサブルＩＤの祖先を辿り、直近の登録、編集、スキャンの操作がユーザＡにより行われているトレーサブルＩＤ「１１」を取得する。このトレーサブルＩＤ「１１」によって示される操作履歴は、先の処理で取得したトレーサブルＩＤ「１１」を辿ることにより直近の操作履歴で登録、編集、スキャンのいずれかの操作をユーザＡによって行っていることを示している。

このような２つの処理が行われると、それぞれの処理で取得したトレーサブルＩＤの論理和となるトレーサブルＩＤを取得する。これにより９個のトレーサブルＩＤ（「１」、「２」、「７」、「８」、「９」、「１１」、「１３」、「１５」、「１６」）が取得される。

これにより、トレーサブルＩＤ「１５」のセキュリティ文書に関連する文書は、９個のトレーサブルＩＤ（「１」、「２」、「７」、「８」、「９」、「１１」、「１３」、「１５」、「１６」）により示される文書である。

本発明は、上記し、且つ図面に示す実施例に限定することなく、その要旨を変更しない範囲内で適宜変形して実施できるものである。

なお、本発明は、通信機能を備えた操作制限情報管理システムで上述の動作を実行させ、あるいは上述の手段を構成させるためのプログラムを格納した記録媒体（ＣＤ−ＲＯＭ、ＤＶＤ−ＲＯＭ等）から該プログラムをコンピュータにインストールし、これを実行させることにより、上述の処理を実行する操作制限情報管理システムを構成することも可能である。操作制限情報管理システムを構成するコンピュータは、システムバスを介してＣＰＵ（Central Processor Unit）、ＲＯＭ（Read Only Memory）、ＲＡＭ（Random Access Memory）、ハードディスクが接続されている。ＣＰＵは、ＲＯＭまたはハードディスクに記憶されているプログラムに従い、ＲＡＭを作業領域にして処理を行う。

また、プログラムを供給するための媒体は、通信媒体（通信回線、通信システムのように一時的または流動的にプログラムを保持する媒体）でもよい。例えば、通信ネットワークの電子掲示板（ＢＢＳ：Bulletin Board Service）に該プログラムを掲示し、これを通信回線を介して配信するようにしてもよい。

本発明の実施の形態における操作制限管理システムおよびプログラムを適用して構成した操作制限情報管理システムのシステム構成図の一例。 本発明の実施の形態における操作制限情報管理システムの機能構成を示すブロック図。 本発明の実施の形態における操作制限情報管理システムでセキュリティ文書を生成する条件を指定する画面を示す図。 本発明の実施の形態における操作制限情報管理システムのポリシー情報に対する許可された操作内容の一覧を示す図。 本発明の実施の形態における操作制限情報管理システムで管理する履歴情報の関係を示す図。 本発明の実施の形態にかかる操作制限情報管理システムで、文書に設定されたポリシー情報の変更を指示する画面を示す図。 本発明の実施の形態における操作制限情報管理システムのログ管理サーバで管理する文書操作の履歴情報を示す図。 本発明の実施の形態における操作制限情報管理システムで文書にポリシー情報を設定することによりセキュリティ文書を生成する処理の流れを示すシーケンス図。 本発明の実施の形態における操作制限情報管理システムでセキュリティ文書を編集する操作を行う処理の流れを示すシーケンス図。 本発明の実施の形態における操作制限情報管理システムで印刷物に付与されている識別情報を読み取ることによりその識別情報により示される文書を複写する処理の流れを示すシーケンス図。 本発明の実施の形態における操作制限情報管理システムでセキュリティ文書に設定されているポリシー情報を変更する処理の状態遷移を示すシーケンス図。 本発明の実施の形態における操作制限情報管理システムで所定の文書に関連する関連文書を選択する画面を示す図。 図６に示す画面のポリシー情報の変更対象となる文書を選択する条件として、全ての関連文書のポリシー情報を変更することを選択した場合における処理の流れを示すフローチャートの一例。 図６に示す画面のポリシー情報の変更対象となる文書を選択する条件として、特定のユーザに関連する関連文書のポリシー情報を変更することを選択した場合における処理の流れを示すフローチャートの一例。 図６に示す画面のポリシー情報の変更対象となる文書を選択する条件として、紙文書を含んだ特定のユーザに関連する関連文書のポリシー情報を変更することを選択した場合における処理の流れを示すフローチャートの一例。 図６に示す画面でポリシー情報の変更条件として「（１）関連文書全体（他のユーザが生成・編集した文書を含む）」を選択した場合に、関連文書を検索する例を示す階層構造図。 図６に示す画面でポリシー情報の変更条件として「（２）制限付き関連文書（自分が生成・編集した文書のみ）」を選択した場合に、関連文書を検索する例を示す階層構造図。 指定したセキュリティ文書からみて子孫にあたる文書を関連文書として検索する例を示す階層構造図。 指定したセキュリティ文書からみて直系の祖先にあたる文書のうち、そのセキュリティ文書を指定したユーザにより文書の内容を変更する操作が行われた文書を関連文書として検索する例を示す階層構造図。 図６に示す画面でポリシー情報の変更条件として「（３）制限付き関連文書（紙文書を含み、自分が生成・編集した文書のみ）」を選択した場合に、関連文書を検索する例を示す階層構造図。

符号の説明

１００ ポリシーサーバ
２００ ログ管理サーバ
２０１ 表示操作部
２０２ 操作制御部
２０３ 識別情報生成部
２０４ 認証部
２０５ ユーザ情報管理部
２０６ ポリシー制御部
２０７ ポリシー記憶部
２０８ 文書情報記憶部
２１０ セキュリティ情報登録部
２１１ 履歴制御部
２１２ 操作記録部
２１３ 履歴記憶部
３００ クライアントＰＣ

Claims (7)

1. 文書の操作制限を行う操作制限情報を記憶する操作制限情報記憶手段と、
   前記操作制限情報記憶手段に記憶された前記操作制限情報により操作制限を行う文書の操作履歴を管理する操作履歴管理手段と、
   前記操作制限情報記憶手段に記憶された前記操作制限情報を変更した場合、前記操作履歴管理手段で管理される該当文書の操作履歴を用いて該文書に関連する関連文書を検索する関連文書検索手段と、
   前記関連文書検索手段により検索した関連文書に設定された操作制限情報を変更後の操作制限情報に変更する操作制限情報変更手段
   を具備する操作制限管理システム。
2. 前記操作履歴管理手段は、
   前記操作制限情報変更手段によって前記文書と該文書に関連する関連文書の操作制限情報を変更したことを操作履歴として管理する請求項１記載の操作制限管理システム。
3. 前記操作履歴管理手段は、
   前記文書の操作履歴に、該文書に関連する１または複数の関連文書とを関連識別情報を記録して管理し、
   前記関連文書検索手段は、
   前記文書に関連する関連文書を、前記操作履歴管理手段で管理する該文書の操作履歴で示される前記関連識別情報を用いて検索する請求項１または２記載の操作制限情報管理システム。
4. 前記関連文書検索手段は、
   指定された検索範囲内にある文書から前記関連文書を検索する請求項１または２記載の操作制限情報管理システム。
5. 前記操作制限情報により操作制限された文書を操作する操作者を認証する操作者認証手段
   を更に具備し、
   前記操作制限情報変更手段は、
   前記操作者認証手段によって認証した前記操作者により前記文書に関連する関連文書の操作制限情報を、当該文書の操作制限情報へ変更する請求項１から４のいずれかに記載の操作制限情報管理システム。
6. 前記文書および前記関連文書は、
   識別情報が印刷されている印刷物であり、
   前記操作制限情報記憶手段は、
   前記識別情報に対して操作制限情報を記憶する請求項１から５のいずれかに記載の操作制限情報管理システム。
7. コンピュータを、
   文書の操作制限を行う操作制限情報を記憶する操作制限情報記憶手段と、
   前記操作制限情報記憶手段に記憶された前記操作制限情報により操作制限を行う文書の操作履歴を管理する操作履歴管理手段と、
   前記操作制限情報記憶手段に記憶された前記操作制限情報を変更した場合、前記操作履歴管理手段で管理される該当文書の操作履歴を用いて該文書に関連する関連文書を検索する関連文書検索手段と、
   前記関連文書検索手段により検索した関連文書に設定された操作制限情報を変更後の操作制限情報に変更する操作制限情報変更手段
   として機能させる操作制限管理プログラム。

Images