JP2007259354A - アクセス管理装置、暗号化及び復号化装置、記憶媒体、アクセス管理方法及びアクセス管理プログラム - Google Patents

Abstract

【課題】情報の機密性を簡易に確保することが可能なアクセス管理装置、暗号化及び復号化装置、記憶媒体、アクセス管理方法及びアクセス管理プログラムを提供する。
【解決手段】電子文書作成装置１０−１内のＲ／Ｗ１３−１は、外部メモリ５０−１に記憶されたユーザＩＤと、当該ユーザＩＤを公開鍵によって暗号化した暗号化ＩＤとを読み出し、文書サーバ３０からの暗号化ＩＤを秘密鍵によって復号した復号化ＩＤを取得し、復号化ＩＤとユーザＩＤとが一致する場合に、文書サーバ３０へのアクセスを許可し、アクセスが許可された後に、ユーザＩＤを新たな暗号鍵によって暗号化した新たな暗号化ＩＤを取得し、外部メモリ５０−１に記憶された暗号化ＩＤを新たな暗号化ＩＤに更新する。
【選択図】図１

Description

本発明は、情報へのアクセスを管理する管理するアクセス管理装置、アクセス管理方法、アクセス管理プログラム、アクセス管理装置と通信可能に接続された暗号化及び復号化装置、及び、アクセスされる情報を記憶した記憶媒体に関する。

図２１は、従来の電子文書を利用する印刷システムのハードウェア構成を示す図である。図２１では、電子文書作成装置５１０が電子文書を作成し、コマンドを発行してネットワークを介して文書データベース（ＤＢ）５３０に対して、電子文書、あるいは、電子文書を電子文書処理装置である印刷装置５２０に適した形式に変換したものを送信し、文書ＤＢ５３０がこれを保存する。更に、電子文書処理装置である印刷装置５２０がユーザによる操作パネル５２１の操作に応じて、ユーザ認証装置５２２によるユーザ認証を行い、認証が成功した場合には、文書ＤＢ５３０から電子文書等を読み出して印刷を行う。電子文書の管理は、機密性が要求される。このような要求に対して、特許文献１及び特許文献２に記載された技術が存在する。
特開２００３−１５８６０３号公報 特開２００４−１８５３５２号公報

しかしながら、上述した特許文献１及び特許文献２に記載の技術には、以下のような問題がある。すなわち、特許文献１に記載の技術では、ユーザは、電子文書作成後に当該電子文書を文書サーバに保存する、電子メールでアクセス権情報等を送信する、印刷装置の操作パネルにおいてユーザ認証、文書選択といった操作をする必要がある。印刷までの間、電子文書の機密が保持されるものの、操作が煩雑であり、ユーザに過剰な負荷が生じる。電子文書は、単独又は複数のユーザによって編集されるものも存在するため、電子文書に変更が生じる際にこれらの操作が必要となることは、ユーザの使用意欲を損ない、利用頻度の低下を招く。

これに対し、特許文献２に記載の技術では、電子文書がユーザ側の個々のホスト装置又はその記憶媒体に保存されるため、電子文書の保存に関しては特許文献１ほどの煩雑な操作は必要ではない。しかし、電子文書が分散して保存されていることにより、電子文書処理装置である印刷装置での操作において、ユーザは、所望する電子文書を保存するユーザ側のホスト装置を指定する必要がある。更には、ユーザによっては複数のホスト装置を使用する場合もあるため、どのホスト装置にどの電子文書が保存されているのかを記憶しておく必要があり、煩雑である。

本発明は、上記問題点に鑑みてなされたもので、情報の機密性を簡易に確保することが可能なアクセス管理装置、アクセス管理方法及びアクセス管理プログラムを提供することを目的としている。

本発明のアクセス管理装置は、記憶媒体に記憶されたユーザの識別情報と、該識別情報を暗号鍵によって暗号化した暗号化識別情報とを読み出す第１の読み出し手段と、前記暗号化識別情報を復号鍵によって復号した復号化識別情報を取得する第１の取得手段と、前記復号化識別情報と前記識別情報とが一致する場合に、情報源へのアクセスを許可する許可手段と、前記アクセスが許可された後に、前記識別情報を前記暗号鍵とは別の新たな暗号鍵によって暗号化した新たな暗号化識別情報を取得する第２の取得手段と、記憶媒体に記憶された前記暗号化識別情報を前記新たな暗号化識別情報に更新する第１の更新手段とを有することを特徴とする。

この構成によれば、記憶媒体から読み出した、識別情報を暗号化した暗号化識別情報を復号して得られる復号化識別情報と、記憶媒体に記憶された識別情報とが一致する場合に、ユーザ認証が成功したとみなして、情報源へのアクセスが許可される。更には、ユーザ認証が成功する毎に、識別情報を新たな暗号鍵で暗号化した新たな暗号化情報を記憶媒体に記憶させる。従って、その後のユーザ認証においては、正規の記憶媒体以外の記憶媒体から読み出された更新前の暗号化識別情報を、新たな暗号鍵に対応する新たな復号鍵で復号して得られる復号化識別情報は、識別情報と一致せず、情報源に対するアクセスは許可されないため、情報の機密性が確保される。

また、本発明のアクセス管理装置は、前記暗号化識別情報が、前記識別情報を公開鍵暗号方式における公開鍵によって暗号化したものであり、前記復号化識別情報が、前記暗号化識別情報を前記公開鍵に対応する秘密鍵によって復号したものであり、前記新たな暗号化識別情報が、前記公開鍵とは別の新たな公開鍵によって暗号化したものであるようにしてもよい。

また、本発明のアクセス管理装置は、電子文書に対する処理を監視する監視手段と、前記監視手段により前記電子文書に対する処理が検出され、且つ、前記電子文書を保持する前記情報源へのアクセスが許可された場合に、前記記憶媒体に、前記電子文書に対する処理の履歴を表す履歴情報を書き込む書き込み手段とを有するようにしてもよい。

この構成によれば、電子文書に対する処理がなされた場合には、その処理に対応する履歴情報のみが記憶媒体に書き込まれ、電子文書は書き込まれない。従って、電子文書の機密性が確保される。また、記憶媒体に記憶された履歴情報により、電子文書を特定して、その電子文書に対する各種処理が可能となるとともに、電子文書の状態を容易に認識することができる。ここで、電子文書に対する処理とは、電子文書の新規作成、保存、移動、コピー、削除、アクセス権変更、文書名変更、閲覧、印刷等である。

また、本発明のアクセス管理装置は、前記情報源から前記記憶媒体に記憶された前記履歴情報により特定される電子文書を読み出す第２の読み出し手段を有するようにしてもよい。

この構成によれば、履歴情報から電子文書を特定して、当該電子文書の読み出しを行うことが可能となる。

また、本発明のアクセス管理装置は、前記記憶媒体に記憶された前記履歴情報を、前記情報源に保存される基準となる履歴情報に整合させる整合手段を有するようにしてもよい。

この構成により、最新の履歴情報が記憶媒体に記憶されることになる。

また、本発明のアクセス管理装置は、前記履歴情報が、前記電子文書の存在場所の情報及び前記処理が行われたアクセス管理装置の識別情報の少なくともいずれかを含むようにしてもよい。

この構成により、電子文書及び当該電子文書に対する処理に関する各種情報をより詳細に把握することが可能となる。

本発明は、上述したアクセス管理装置と通信可能に接続された暗号化及び復号化装置であって、前記識別情報と前記暗号鍵及び復号鍵とを対応付けて保持する保持手段と、前記第１の読み出し手段によって読み出された識別情報及び暗号化識別情報を受信する受信手段と、前記受信された識別情報に対応付けられて前記保持手段に保持されている復号鍵によって、前記受信された暗号化識別情報を復号する復号手段と、前記復号により得られた復号化識別情報を前記アクセス管理装置へ送信する第１の送信手段とを有することを特徴とする。

また、本発明の暗号化及び復号化装置は、前記許可手段によりアクセスが許可された場合に、前記保持手段に保持されている暗号鍵及び復号鍵を更新する第２の更新手段と、前記更新された新たな暗号鍵によって、前記識別情報を暗号化する暗号化手段と、前記暗号化により得られた新たな暗号化識別情報を前記アクセス管理装置へ送信する第２の送信手段とを有するようにしてもよい。

本発明のアクセス管理方法は、記憶媒体に記憶されたユーザの識別情報と、該識別情報を暗号鍵によって暗号化した暗号化識別情報とを読み出す読み出しステップと、前記暗号化識別情報を復号鍵によって復号した復号化識別情報を取得する第１の取得ステップと、前記復号化識別情報と前記識別情報とが一致する場合に、前記記憶媒体に記憶された情報へのアクセスを許可する許可ステップと、前記アクセスが許可された後に、前記識別情報を前記暗号鍵とは別の新たな暗号鍵によって暗号化した新たな暗号化識別情報を取得する第２の取得ステップと、記憶媒体に記憶された前記暗号化識別情報を前記新たな暗号化識別情報に更新する更新ステップとを有することを特徴とする。

また、本発明は、アクセス管理装置において実行されるアクセス管理プログラムであって、憶媒体に記憶されたユーザの識別情報と、該識別情報を暗号鍵によって暗号化した暗号化識別情報とを読み出す読み出しステップと、前記暗号化識別情報を復号鍵によって復号した復号化識別情報を取得する第１の取得ステップと、前記復号化識別情報と前記識別情報とが一致する場合に、前記記憶媒体に記憶された情報へのアクセスを許可する許可ステップと、前記アクセスが許可された後に、前記識別情報を前記暗号鍵とは別の新たな暗号鍵によって暗号化した新たな暗号化識別情報を取得する第２の取得ステップと、
記憶媒体に記憶された前記暗号化識別情報を前記新たな暗号化識別情報に更新する更新ステップとを有することを特徴とする。

本発明によれば、正規の記憶媒体以外の記憶媒体から読み出された暗号化識別情報に基づくユーザ認証は、成功しないため、情報源に対するアクセスは許可されず、情報の機密性が確保される。

以下、本発明の実施の形態について、図面を用いて説明する。図１は、本発明に係るアクセス管理装置を適用した電子文書利用システムのハードウェア構成を示す図である。図１に示す電子文書利用システムは、電子文書作成装置１０−１、１０−２、１０−３（以下、適宜電子文書作成装置１０と称する）と、操作パネル２２を有する印刷装置２０と、電子文書及び文書履歴情報のバックアップを行う文書サーバ３０と、電子文書作成装置１０−３に接続されるプロジェクタ４０と、ユーザが所有するＩＣカードやフラッシュメモリ等のランダムアクセスが可能な記憶媒体である外部メモリ５０−１、５０−２、５０−３、５０−４（以下、適宜外部メモリ５０と称する）とにより構成される。

これらのうち、電子文書作成装置１０−１、１０−２、１０−３、印刷装置２０、文書サーバ３０は、ネットワークを介して、相互に通信可能に接続されている。また、外部メモリ５０−１は電子文書作成装置１０−１に、外部メモリ５０−２は電子文書作成装置１０−２に、外部メモリ５０−３は電子文書作成装置１０−３に、外部メモリ５０−４は印刷装置２０に、それぞれ通信可能に結合されている。

図２は、電子文書利用システムにおける情報のやり取りの第１の例を説明する図である。図２は、電子文書作成装置１０−１が電子文書αを作成し、電子文書作成装置１０−２が電子文書αを編集し、印刷装置２０が電子文書αを印刷し、電子文書作成装置１０−３がプロジェクタ４０を用いて電子文書αのプレゼンテーションを行う場合の例である。

図２において、電子文書作成装置１０−１はユーザＡに、電子文書作成装置１０−２はユーザＢに、印刷装置２０はユーザＣに、電子文書作成装置１０−３はユーザＤに、それぞれ利用される。電子文書作成装置１０−１、１０−２、１０−３、印刷装置２０は、ユーザの操作によって入力されるユーザＩＤに基づく認証（ユーザ認証）が成功した場合にログオン状態となる。なお、以下においては、ユーザＡ乃至Ｄのいずれもが電子文書αに対するアクセス権を有しているものとする。

電子文書作成装置１０−１内のイベント処理部１２−１は、自装置、電子文書作成装置１０−２、１０−２、印刷装置２０における電子文書αに対するイベント処理を監視する。ここでイベント処理とは、新規作成、保存、移動、コピー、削除、アクセス権変更、文書名変更、閲覧、印刷等の電子文書に対して行われる各種処理である。また、イベント処理部１２−１は、電子文書作成装置１０−２、１０−３内のイベント処理部（図示せず）、印刷装置２０内のイベント処理部１２−４、及び、文書サーバ３０との間で、電子文書αや当該電子文書αに対するイベント処理の情報をやり取りする。また、イベント処理部１２−１は、Ｒ／Ｗ１３−１に配置された外部メモリ５０−１との間で、電子文書αに対して行われたイベント処理の履歴を表し、電子文書を特定可能な情報である文書履歴情報やイベント処理情報をやり取りする。記憶部１４は、電子文書αや当該電子文書αに対するイベント処理の情報を保存する。

印刷装置２０内のイベント処理部１２−４は、自装置における電子文書αに対するイベント処理を監視する。ここでイベント処理とは、複写、印刷、スキャン、電子文書ダウンロード等の各種処理である。また、イベント処理部１２−４は、リーダ/ライタ(Ｒ／Ｗ)１３−４に配置された外部メモリ５０−４との間で、電子文書αに対応する文書履歴情報やイベント処理情報をやり取りする。

図３は、電子文書利用システムにおける情報のやり取りの第２の例を説明する図である。図３は、電子文書αを作成した電子文書作成装置１０−１が電源オフの場合を示す。この場合、電子文書作成装置１０−２、１０−３、印刷装置２０は、電子文書αや当該電子文書αに対応する文書履歴情報をバックアップしている文書サーバ３０との間で、電子文書αや当該電子文書αに対するイベント処理の情報をやり取りする。

以下、文書作成装置１０−１、印刷装置２０及び文書サーバ３０の第１の動作を説明する。図４は、第１の動作における文書履歴情報の一例である。図４に示すように、文書履歴情報は、識別のための番号が付与されており、文書イベント、日時、関連イベントの各情報により構成される。文書イベントは、対応する電子文書の作成のイベント処理の際に生成されるイベント処理情報に対応する。

図５は、文書イベントの一例を示す図である。図５に示すように、文書名、文書保存先、バックアップ文書保存先、作成者ＩＤ、作成装置ＩＤ、装置所有者、装置管理者、位置情報、アクセス権、実行イベントの各項目により構成される。図２の例では、文書名は電子文書α、文書保存先は電子文書作成装置１０−１、バックアップ文書保存先は文書サーバ３０、作成者ＩＤはユーザＡのユーザＩＤ、作成装置ＩＤは電子文書作成装置１０−１のＩＤ、位置情報は電子文書作成装置１０−１の設置場所の緯度及び経度、アクセス権はユーザＡ、Ｂ、Ｃ、Ｄとなる。

図６は、アクセス権の一例である。図６では、アクセス権は、ユーザ、グループ、位置、ネットワークの単位に設定可能である。アクセス権の種別としては、読み取り、書き込み、及び、アクセス権の変更等がある。

再び、図４に戻って説明する。図４における日時は、文書イベントが作成された日時を示す。関連イベントは、対応する電子文書の作成後に当該電子文書に対してイベント処理が行われる際に生成されるイベント処理情報に対応する。この関連イベントは、対応するイベント処理を行った装置のＩＤと、そのイベント名とにより構成される。

図７は、電子文書作成装置１０−１の第１の動作を示すフローチャートである。電子文書作成装置１０−１は、ユーザ操作によって入力されたユーザ認証を行う（Ｓ１０１）。

図８は、ユーザ認証における、電子文書作成装置１０−１内のリーダ/ライタ（Ｒ／Ｗ）１３−１、文書サーバ３０、外部メモリ５０−１の情報のやり取りを示す図である。また、図９は、ユーザ認証におけるＲ／Ｗ１３−１の動作を示すフローチャート、図１０は、ユーザ認証における文書サーバ３０の動作を示すフローチャートである。

外部メモリ５０の読み出し可能領域５１には、ユーザＩＤ領域が設けられ、当該ユーザＩＤ領域にはユーザＩＤが記憶されている。また、外部メモリ５０の読み書き可能領域５１には、文書履歴情報領域とともに暗号化ＩＤ領域が設けられ、当該暗号化ＩＤ領域には、公開鍵暗号方式における公開鍵で暗号化されたユーザＩＤ（暗号化ＩＤ）が記憶されている。

図９に示すように、電子文書作成装置１０や印刷装置２０内のＲ／Ｗ１３−１は、外部メモリ５０−１に対してＩＤを問い合わせ（Ｓ１５１）、ユーザＩＤと暗号化ＩＤとを読み出す（Ｓ１５２）。次に、Ｒ／Ｗ１３−１は、読み出したユーザＩＤと暗号化ＩＤとを文書サーバ３０へ送信する（Ｓ１５３）。

文書サーバ３０は、アクセス可能なユーザＩＤと、当該ユーザＩＤの暗号化及び復号化に用いる公開鍵及び秘密鍵とを対応付けたリスト（鍵対応付けリスト）を保持している。この鍵対応付けリストの内容はユーザによって設定可能である。図１０に示すように、文書サーバ３０は、Ｒ／Ｗ１３−１からのユーザＩＤと暗号化ＩＤを受信すると（Ｓ１７１）、鍵対応付けリストにおいて、受信したユーザＩＤに対応付けられた秘密鍵を特定し、その秘密鍵により暗号化ＩＤを復号する（Ｓ１７２）。更に、文書サーバ３０は、復号化によって得られた復号化ＩＤをＲ／Ｗ１３−１へ送信する（Ｓ１７３）。

再び、図９に戻って説明する。Ｒ／Ｗ１３−１は、文書サーバ３０からの復号化ＩＤを受信すると（Ｓ１５４）、当該復号化ＩＤとＳ１５２において外部メモリ５０−１から読み出したユーザＩＤと比較し、両者が一致するか否かを判定する（Ｓ１５５）。復号化ＩＤとユーザＩＤとが一致する場合には、ユーザ認証が成功し、ユーザＩＤは正規のもの、換言すれば、外部メモリ５０−１は正規のものである。この場合、Ｒ／Ｗ１３−１は、文書サーバ３０に保持されている文書履歴情報内のイベント処理情報に対するアクセスを許可状態にする（Ｓ１５６）。一方、復号化ＩＤとユーザＩＤとが一致しない場合には、文書サーバ３０に保持されている文書履歴情報内のイベント処理情報に対するアクセスを不許可状態にする（Ｓ１５７）。

イベント処理情報に対するアクセスが許可状態になった後、Ｒ／Ｗ１３−１は、文書サーバ３０へ再暗号化を要求する（Ｓ１５６）。

図１０に示すように、文書サーバ３０は、Ｒ／Ｗ１３−１からの再暗号化要求を受信すると（Ｓ１７４）、鍵対応付けリストにおいて、Ｓ１７１にて受信したユーザＩＤに対応付けられている公開鍵及び秘密鍵の組み合わせを新たなものに更新する（Ｓ１７５）。更に、文書サーバ３０は、Ｓ１７１において受信したユーザＩＤを新たな公開鍵で暗号化し（Ｓ１７６）、当該暗号化によって得られた新規暗号化ＩＤを、Ｒ／Ｗ１３−１へ送信する（Ｓ１７７）。

再び、図９に戻って説明する。Ｒ／Ｗ１３−１は、文書サーバ３０からの新規暗号化ＩＤを受信すると（Ｓ１５９）、外部メモリ５０の読み書き可能領域５１に記憶された暗号化ＩＤを、受信した新規暗号化ＩＤに更新する（Ｓ１６０）。

再び、図７に戻って説明する。Ｓ１０１におけるユーザ認証が成功してログオン状態になると、イベント処理部１２−１は、Ｒ／Ｗ１３−１を介して配置された外部メモリ５０−１から文書履歴情報を読み出す（Ｓ１０２）。次に、イベント処理部１２−１は、外部メモリ５０−１に記憶されている文書履歴情報と、文書サーバ３０に保存されている文書履歴情報に整合させる（同期処理）（Ｓ１０３）。具体的には、イベント処理部１２−１は、文書サーバ３０内の電子文書αに対応するイベント処理情報を読み出す。次に、イベント処理部１２−１は、文書サーバ３０から読み出したイベント処理情報により、外部メモリ５０−１から読み出した電子文書αに対応する文書履歴情報を更新し、外部メモリ５０−１に書き込む。これにより、外部メモリ５０−１に記憶されている電子文書αに対応する文書履歴情報が、文書サーバ３０に保存されている電子文書αに対応する文書履歴情報に整合される。なお、イベント処理部１２−１は、外部メモリ５０−１に記憶されている文書履歴情報を、記憶部１４に記憶されている文書履歴情報に整合させるようにしてもよい。

次に、イベント処理部１２−１は、電子文書に対するイベント処理を検出する（Ｓ１０４）。イベント処理を検出した場合、そのイベント処理が自装置におけるもの（内部イベント）であれば、イベント処理部１２−１は、自装置がログオフされたか否かを判定する（Ｓ１０５）。ログオフされた場合には、イベント処理部１２−１は、Ｓ１０３と同様の手順により、外部メモリ５０−１に記憶されている文書履歴情報を、文書サーバ３０に保存されている文書履歴情報に整合させる（同期処理）（Ｓ１０６）。

一方、自装置がログオフされていない場合、イベント処理部１２−１は、検出したイベント処理が他の文書作成装置１０において作成された電子文書に対するイベント処理であるか否かを判定する（Ｓ１０７）。検出したイベント処理が他の電子文書作成装置１０において作成された電子文書に対するイベント処理である場合、イベント処理部１２−１は、対応するイベント処理情報を生成し、他の電子文書作成装置１０へ通知する（Ｓ１０８）。その後は、イベント処理の検出（Ｓ１０４）以降の動作が繰り返される。

また、検出したイベント処理が他の電子文書作成装置１０において作成された電子文書に対するイベント処理でない場合には、イベント処理部１２−１は、そのイベント処理が新規の電子文書の作成であるか否かを判定する（Ｓ１０９）。新規の電子文書の作成である場合には、イベント処理部１２−１は、対応するイベント処理情報を生成し、文書イベントとして外部メモリ５０−１内の文書履歴情報に追記する（Ｓ１１０）。更に、イベント処理部１２−１は、作成された電子文書とイベント処理情報とを文書サーバ３０に出力して、バックアップを指示する。文書サーバ３０は、この指示に応じて、入力した電子文書を保存するとともに、入力したイベント処理情報に応じた、電子文書に対応する文書履歴情報を保存してバックアップをとる（Ｓ１１１）。その後は、イベント処理の検出（Ｓ１０４）以降の動作が繰り返される。なお、記憶部１４に文書履歴情報が記憶される場合には、上述した文書サーバ３０におけるバックアップとともに、イベント処理部１２−１は、記憶部１４に電子文書を保存させるとともに、イベント処理情報に応じた、電子文書に対応する文書履歴情報を保存してバックアップをとる。

また、イベント処理が新規の電子文書の作成でない場合には、イベント処理部１２−１は、対応するイベント処理情報を生成し、関連イベントとして外部メモリ５０−１におけるイベント処理の対象となる電子文書に対応する文書履歴情報に追記する（Ｓ１１２）。更に、イベント処理部１２−１は、イベント処理が行われた電子文書とイベント処理情報とを文書サーバ３０に出力して、バックアップを指示する。文書サーバ３０は、この指示に応じて、入力した電子文書を保存するとともに、入力したイベント処理情報に応じた、電子文書に対応する文書履歴情報を保存してバックアップをとる（Ｓ１１３）。その後は、イベント処理の検出（Ｓ１０４）以降の動作が繰り返される。

一方、Ｓ１０４において検出したイベント処理が他の装置におけるもの（外部イベント）である場合には、イベント処理部１２−１は、当該他の装置からのイベント処理情報を取得し、関連イベントとして外部メモリ５０−１におけるイベント処理の対象となる電子文書に対応する文書履歴情報に追記する（Ｓ１１４）。更に、イベント処理部１２−１は、イベント処理が行われた電子文書とイベント処理情報とを文書サーバ３０に出力して、バックアップを指示する。文書サーバ３０は、この指示に応じて、入力した電子文書を保存するとともに、入力したイベント処理情報に応じた、電子文書に対応する文書履歴情報を保存してバックアップをとる（Ｓ１１３）。その後は、イベント処理の検出（Ｓ１０４）以降の動作が繰り返される。

図１１は、印刷装置２０の第１の動作を示すフローチャートである。印刷装置２０は、ユーザ操作によって入力されたユーザ認証を行う（Ｓ２０１）。ユーザ認証における、印刷装置２０内のＲ／Ｗ１３−４、文書サーバ３０、外部メモリ５０−４における情報のやり取り、Ｒ／Ｗ１３−４及び文書サーバ３０の動作は、図８乃至図１０に示すものと同様である。ユーザ認証が成功してログオン状態になると、イベント処理部１２−４は、配置された外部メモリ５０−４から文書履歴情報を読み出す（Ｓ２０２）。次に、イベント処理部１２−４は、電子文書作成装置１０−１内のイベント処理部１２−１を介して、文書サーバ３０内のイベント処理情報を読み出し、当該イベント処理情報により、外部メモリ５０−４に記憶されている文書履歴情報を、文書サーバ３０に保存されている文書履歴情報に整合させる（同期処理）（Ｓ２０３）。

次に、操作パネル２２は、文書履歴情報に基づいて、印刷対象となる電子文書の一覧を内蔵する表示部（図示せず）に表示し（Ｓ２０４）、その一覧を見たユーザの操作に応じて印刷対象となる電子文書を選択する（Ｓ２０５）。更に、イベント処理部１２−４は、文書履歴情報のうち、選択された印刷対象の電子文書に対応する文書履歴情報の文書イベントに含まれるアクセス権を確認する（Ｓ２０６）。

次に、イベント処理部１２−４は、確認したアクセス権に基づいて、ユーザにアクセス権があるか否かを判定する（Ｓ２０７）。ユーザにアクセス権がない場合には、一連の動作が終了する。一方、ユーザにアクセス権がある場合には、イベント処理部１２−４は、印刷対象の電子文書に対応する文書履歴情報の文書イベントに含まれる文書保存先又はバックアップ文書保存先の情報に基づいて、印刷対象の電子文書の保存場所（電子文書作成装置１０や文書サーバ３０）を把握し、その保存場所から印刷対象の電子文書をダウンロードする（Ｓ２０８）。

次に、印刷装置２０は、ダウンロードされた電子文書の印刷を行う（Ｓ２０９）。更に、印刷装置２０は、印刷対象の電子文書に対応する文書履歴情報の文書イベントに含まれる作成装置ＩＤによって特定される、印刷対象の電子文書を作成した装置に対して、当該印刷のイベント処理の情報を通知する（Ｓ２１０）。

図１２は、文書サーバ３０の動作を示すフローチャートである。文書サーバ３０は、外部からの指示を受け付けると（Ｓ３０１）、その指示が終了指示であるか否かを判定する（Ｓ３０２）。終了指示である場合には、一連の動作を終了する。一方、終了指示でない場合には、文書サーバ３０は、その指示に応じて、バックアップ、同期処理、電子文書ダウンロード等の各種処理を行う（Ｓ３０３）。その後は、外部からの指示受け付け（Ｓ３０１）以降の動作が繰り返される。

次に、文書作成装置１０−１及び印刷装置２０の第２の動作を説明する。図１３は、第２の動作における文書履歴情報の一例である。図１３に示す文書履歴情報は、図４に示す文書履歴情報と比較すると、文書イベントは、図１４に示すように、文書名、作成者ＩＤ、作成装置ＩＤ、装置所有者、装置管理者、位置情報、アクセス権、実行イベントの各項目により構成される。また、関連イベントは、対応する電子文書の作成のイベント処理が行われた装置のＩＤ（親装置ＩＤ）と、その作成のイベント処理以降のイベント処理が行われた装置のＩＤ（子装置ＩＤ）とにより構成される。この関連イベントにより、図１５に示すように、電子文書に対するイベント処理を行った各装置間がツリー構造により関連付けられる。

図１６は、電子文書作成装置１０−１の第２の動作を示すフローチャートである。電子文書作成装置１０−１は、ユーザ操作によって入力されたユーザ認証を行う（Ｓ４０１）。ユーザ認証における、電子文書作成装置１０−１内のＲ／Ｗ１３−１、文書サーバ３０、外部メモリ５０−１における情報のやり取り、Ｒ／Ｗ１３−１及び文書サーバ３０の動作は、図８乃至図１０に示すものと同様である。ユーザ認証が成功してログオン状態になると、イベント処理部１２−１は、配置された外部メモリ５０−１から文書履歴情報を読み出す（Ｓ４０２）。

次に、イベント処理部１２−１は、電子文書に対するイベント処理を検出する（Ｓ４０３）。イベント処理を検出した場合、そのイベント処理が内部イベント）であれば、イベント処理部１２−１は、自装置がログオフされたか否かを判定する（Ｓ４０４）。ログオフされた場合には、一連の動作が終了する。

一方、自装置がログオフされていない場合、イベント処理部１２−１は、検出したイベント処理が他の文書作成装置１０において作成された電子文書に対するイベント処理であるか否かを判定する（Ｓ４０５）。検出したイベント処理が他の電子文書作成装置１０において作成された電子文書に対するイベント処理である場合、イベント処理部１２−１は、自装置のＩＤを含むイベント処理情報を生成し、他の電子文書作成装置１０へ通知する（Ｓ４０６）。その後は、イベント処理の検出（Ｓ４０３）以降の動作が繰り返される。

また、検出したイベント処理が他の電子文書作成装置１０において作成された電子文書に対するイベント処理でない場合には、イベント処理部１２−１は、そのイベント処理が新規の電子文書の作成であるか否かを判定する（Ｓ４０７）。新規の電子文書の作成である場合には、イベント処理部１２−１は、対応するイベント処理情報を生成し、文書イベントとして外部メモリ５０−１内の文書履歴情報に追記する（Ｓ４０８）。その後は、イベント処理の検出（Ｓ４０３）以降の動作が繰り返される。

また、新規の電子文書の作成でない場合には、イベント処理部１２−１は、対応するイベント処理情報を生成し、外部メモリ５０−１におけるイベント処理の対象となる電子文書に対応する文書履歴情報の関連イベントに、自装置のＩＤを子装置ＩＤとして追記する（Ｓ４０９）。その後は、イベント処理の検出（Ｓ４０３）以降の動作が繰り返される。

一方、Ｓ４０３において検出したイベント処理が外部イベントである場合には、イベント処理部１２−１は、当該他の装置からのイベント処理情報を取得し、外部メモリ５０−１におけるイベント処理の対象となる電子文書に対応する文書履歴情報の関連イベントに、当該他の装置のＩＤを子装置ＩＤとして追記する（Ｓ４１０）。その後は、イベント処理の検出（Ｓ１０４）以降の動作が繰り返される。

図１７は、印刷装置２０の第２の動作を示すフローチャートである。図１７に示すフローチャートは、図１１に示すフローチャートと比較すると、外部メモリ５０−４に記憶されている文書履歴情報と、文書サーバ３０に保存されている文書履歴情報との同期（図１１のＳ２０３）が行われない以外は、同様であるので、その説明は省略する。

次に、文書履歴情報の同期動作について説明する。図１８は、文書履歴の同期動作を示すフローチャートである。

電子文書作成装置１０−１は、ユーザ操作によって入力されたユーザ認証を行う（Ｓ６００）。ユーザ認証における、電子文書作成装置１０−１内のＲ／Ｗ１３−１、文書サーバ３０、外部メモリ５０−１における情報のやり取り、Ｒ／Ｗ１３−１及び文書サーバ３０の動作は、図８乃至図１０に示すものと同様である。ユーザ認証が成功してログオン状態になると、イベント処理部１２−１は、リーダライタ１３−１を介して外部メモリ５０−１から文書履歴情報を読み出す（Ｓ６０１）。更に、イベント処理部１２−１は、読み出された文書履歴情報の文書イベント内の文書保存先、バックアップ文書保存先、作成装置ＩＤの各情報を抽出する（Ｓ６０２）。次に、イベント処理部１２−１は、抽出した文書保存先へアクセスし（Ｓ６０３）、当該文書保存先からの応答があるか否かを判定する（Ｓ６０４）。

所定時間内に文書保存先から応答があった場合には、イベント処理部１２−１は、その文書保存先からイベント処理情報を取得し、その取得したイベント情報に対応する関連イベントと、外部メモリ５０−１から読み出された文書履歴情報の関連イベントとを比較する。そして、イベント処理部１２−１は、文書保存先からのイベント処理情報に対応する関連イベントが文書履歴情報の関連イベントに存在しない場合には、当該関連イベントを文書履歴情報の関連イベントに追記する（Ｓ６０５）。

一方、所定時間内に電子文書作成装置１０から応答がない場合には、イベント処理部１２−１は、抽出したバックアップ文書保存先により特定される文書サーバ３０へアクセスする（Ｓ６０６）。そして、イベント処理部１２−１は、文書サーバ３０からイベント処理情報を取得し、その取得したイベント情報に対応する関連イベントと、外部メモリ５０−１から読み出された文書履歴情報の関連イベントとを比較し、文書サーバ３０からのイベント処理情報に対応する関連イベントが文書履歴情報の関連イベントに存在しない場合には、当該関連イベントを文書履歴情報の関連イベントに追記する（Ｓ６０７）。

Ｓ６０５又はＳ６０７の後、イベント処理部１２−１は、外部メモリ１３−１が取り外されたり、印刷装置２０がシャットダウンされたかを判定する（Ｓ６０８）。これらの措置がなされていない場合には、所定時間待機した後に、外部メモリ５０−１からの文書履歴情報の読み出し（Ｓ６０１）以降の動作が繰り返される。

次に、電子文書の読み出し時の動作について説明する。図１９は、電子文書の読み出し時の動作を示すフローチャートである。電子文書作成装置１０−１は、ユーザ操作によって入力されたユーザ認証を行う（Ｓ７００）。ユーザ認証における、電子文書作成装置１０−１内のＲ／Ｗ１３−１、文書サーバ３０、外部メモリ５０−１における情報のやり取り、Ｒ／Ｗ１３−１及び文書サーバ３０の動作は、図８乃至図１０に示すものと同様である。ユーザ認証が成功してログオン状態になった後、イベント処理部１２−１は、自装置でのイベント処理が発生すると（Ｓ７０１）、そのイベント処理が新規の電子文書の作成であるか否かを判定する（Ｓ７０２）。新規の電子文書の作成である場合、イベント処理部１２−１は、対応するイベント処理情報を生成し、文書イベントとして外部メモリ５０−１内の文書履歴情報に追記する（Ｓ７０３）。更に、イベント処理部１２−１は、文書サーバ３０へアクセスして（Ｓ７０４）、対応するイベント処理情報を文書イベントとして文書サーバ３０内の文書履歴情報に追記する（Ｓ７０５）。

また、イベント処理が新規の電子文書の作成でない場合、イベント処理部１２−１は、対応するイベント処理情報を生成し、関連イベントとして外部メモリ５０−１内におけるイベント処理の対象となる電子文書に対応する文書履歴情報に追記する（Ｓ７０６）。更に、イベント処理部１２−１は、文書サーバ３０へアクセスして（Ｓ７０７）、対応するイベント処理情報を関連イベントとして文書サーバ３０内におけるイベント処理の対象となる電子文書に対応する文書履歴情報に追記する（Ｓ７０８）。

また、電子文書作成装置１０−１は、ユーザ操作によって入力されたユーザ認証を行う（Ｓ７０９）。ユーザ認証における、電子文書作成装置１０−１内のＲ／Ｗ１３−１、文書サーバ３０、外部メモリ５０−１における情報のやり取り、Ｒ／Ｗ１３−１及び文書サーバ３０の動作は、図８乃至図１０に示すものと同様である。ユーザ認証が成功してログオン状態になった後、イベント処理部１２−１は、他の装置でのイベント処理が発生すると（Ｓ７１０）、そのイベント処理の対象となる電子文書に対応する文書履歴情報をメモリ５０−１から読み出す（Ｓ７１１）。更に、イベント処理部１２−１は、対応するイベント処理情報を他の装置から取得し、メモリ５０−１から読み出した文書履歴情報に関連イベントとして追記する（Ｓ７１２）。

次に、イベント処理部１２−１は、読み出した文書履歴情報の文書イベント内の文書保存先、バックアップ文書保存先、作成装置ＩＤの各情報を抽出する（Ｓ７１３）。更に、イベント処理部１２−１は、抽出した文書保存先へアクセスし（Ｓ７１４）、当該文書保存先からの応答があるか否かを判定する（Ｓ７１５）。所定時間内に文書保存先からの応答があった場合には、Ｓ７０６以降の動作が行われる。一方、所定時間内に文書保存先からの応答がない場合には、Ｓ７０７以降の動作が行われる。

このように、本実施形態における電子文書利用システムでは、電子文書作成装置１０や印刷装置２０は、外部メモリ５０に記憶された、ユーザＩＤを公開鍵によって暗号化した暗号化ＩＤに基づいてユーザ認証を行って、ユーザ認証が成功した場合には文書サーバ３０に保持された情報へのアクセスを許可するとともに、ユーザ認証が成功する毎に、ユーザＩＤに対応する公開鍵及び秘密鍵を更新し、ユーザＩＤを新たな公開鍵で暗号化した暗号化ＩＤを外部メモリ５０に記憶させる。これにより、正規の外部メモリ５０−１についてのみ、暗号化ＩＤが更新され、外部メモリ５０−１内の情報をコピーした他の外部メモリが存在しても、その外部メモリ内の暗号化ＩＤは更新されていないため、その後にユーザ認証が行われても、復号化ＩＤとユーザＩＤとが一致せず、イベント処理情報に対するアクセスは許可されず、電子文書の機密性が確保される。また、電子文書作成装置１０や印刷装置２０は、電子文書に対するイベント処理を監視し、イベント処理を検出した場合には、自装置と通信可能な外部メモリ５０にイベント処理に対応する文書履歴情報を書き込んでおり、電子文書は書き込まれないため、電子文書の機密性が確保される。また、外部メモリ５０に記憶された文書履歴情報により、電子文書を特定して当該電子文書に対する各種イベント処理を容易に行うことが可能となるとともに、電子文書の状態を容易に認識することができる。

なお、本発明は、種々の変形実施が可能であり、アクセス管理装置が複数のネットワークに跨る場合、例えば、図２０に示すようにイントラネット７０内の電子文書作成装置１０−１、１０−２、文書サーバ３０が存在し、外部ネットワークに電子文書作成装置１０−３、印刷装置２０が存在し、イントラネット７０と外部ネットワークとを接続するルータ６０が存在するような構成の場合にも、本発明を適用することができる。また、上述した実施形態では、文書サーバ３０がユーザＩＤの暗号化や復号化を行ったが、専用のサーバによってこれら暗号化及び復号化が行われるようにしてもよい。

以上、説明したように、本発明に係るアクセス管理装置、記憶媒体、アクセス管理方法及びアクセス管理プログラムは、電子文書の機密性を簡易に確保することが可能であり、アクセス管理装置等として有用である。

電子文書利用システムのハードウェア構成を示す図である。 電子文書利用システムにおける情報のやり取りの第１の例を説明する図である。 電子文書利用システムにおける情報のやり取りの第１の例を説明する図である。 文書履歴情報の一例である。 文書イベントの一例を示す図である。 アクセス権の一例である。 電子文書作成装置の第１の動作を示すフローチャートである。 ユーザ認証における、電子文書作成装置内のＲ／Ｗ、文書サーバ、外部メモリの情報のやり取りを示す図である。 ユーザ認証におけるＲ／Ｗの動作を示すフローチャートである ユーザ認証における文書サーバの動作を示すフローチャートである。 印刷装置の第１の動作を示すフローチャートである。 文書サーバの動作を示すフローチャートである。 文書履歴情報の他の例を示す図である。 文書イベントの他の例を示す図である。 電子文書に対するイベント処理を行った各装置間の関係を表すツリー構造を示す図である。 電子文書作成装置の第２の動作を示すフローチャートである。 印刷装置の第２の動作を示すフローチャートである。 文書履歴の同期動作を示すフローチャートである。 電子文書の読み出し動作を示すフローチャートである。 電子文書利用システムの他のハードウェア構成を示す図である。 従来の印刷システムのハードウェア構成を示す図である。

符号の説明

１０−１、１０−２、１０−３ 電子文書作成装置
１２−１、１２−４ イベント処理部
１３−１、１３−２ リーダライタ
４０ 記憶部
２０ 印刷装置
２２ 操作パネル
３０ 文書サーバ
４０ プロジェクタ
５０−１、５０−２、５０−３、５０−４ 外部メモリ

Claims (11)

1. 記憶媒体に記憶されたユーザの識別情報と、該識別情報を暗号鍵によって暗号化した暗号化識別情報とを読み出す第１の読み出し手段と、
   前記暗号化識別情報を復号鍵によって復号した復号化識別情報を取得する第１の取得手段と、
   前記復号化識別情報と前記識別情報とが一致する場合に、情報源へのアクセスを許可する許可手段と、
   前記アクセスが許可された後に、前記識別情報を前記暗号鍵とは別の新たな暗号鍵によって暗号化した新たな暗号化識別情報を取得する第２の取得手段と、
   記憶媒体に記憶された前記暗号化識別情報を前記新たな暗号化識別情報に更新する第１の更新手段とを有することを特徴とするアクセス管理装置。
2. 前記暗号化識別情報は、前記識別情報を公開鍵暗号方式における公開鍵によって暗号化したものであり、
   前記復号化識別情報は、前記暗号化識別情報を前記公開鍵に対応する秘密鍵によって復号したものであり、
   前記新たな暗号化識別情報は、前記公開鍵とは別の新たな公開鍵によって暗号化したものであることを特徴とする請求項１に記載のアクセス管理装置。
3. 電子文書に対する処理を監視する監視手段と、
   前記監視手段により前記電子文書に対する処理が検出され、且つ、前記電子文書を保持する前記情報源へのアクセスが許可された場合に、前記記憶媒体に、前記電子文書に対する処理の履歴を表す履歴情報を書き込む書き込み手段とを有することを特徴とする請求項１又は２に記載のアクセス管理装置。
4. 前記情報源から前記記憶媒体に記憶された前記履歴情報により特定される電子文書を読み出す第２の読み出し手段を有することを特徴とする請求項３に記載のアクセス管理装置。
5. 前記記憶媒体に記憶された前記履歴情報を、前記情報源に保存される基準となる履歴情報に整合させる整合手段を有することを特徴とする請求項３又は４に記載のアクセス管理装置。
6. 前記履歴情報は、前記電子文書の存在場所の情報及び前記処理が行われたアクセス管理装置の識別情報の少なくともいずれかを含むことを特徴とする請求項３乃至５のいずれかに記載のアクセス管理装置。
7. 請求項１乃至６のいずれかに記載のアクセス管理装置と通信可能に接続された暗号化及び復号化装置であって、
   前記識別情報と前記暗号鍵及び復号鍵とを対応付けて保持する保持手段と、
   前記第１の読み出し手段によって読み出された識別情報及び暗号化識別情報を受信する受信手段と、
   前記受信された識別情報に対応付けられて前記保持手段に保持されている復号鍵によって、前記受信された暗号化識別情報を復号する復号手段と、
   前記復号により得られた復号化識別情報を前記アクセス管理装置へ送信する第１の送信手段とを有することを特徴とする暗号化及び復号化装置。
8. 前記許可手段によりアクセスが許可された場合に、前記保持手段に保持されている暗号鍵及び復号鍵を更新する第２の更新手段と、
   前記更新された新たな暗号鍵によって、前記識別情報を暗号化する暗号化手段と、
   前記暗号化により得られた新たな暗号化識別情報を前記アクセス管理装置へ送信する第２の送信手段とを有することを特徴とする請求項７に記載の暗号化及び復号化装置。
9. ユーザの識別情報と、該識別情報を暗号鍵によって暗号化した暗号化識別情報とを記憶する記憶媒体。
10. 記憶媒体に記憶されたユーザの識別情報と、該識別情報を暗号鍵によって暗号化した暗号化識別情報とを読み出す読み出しステップと、
    前記暗号化識別情報を復号鍵によって復号した復号化識別情報を取得する第１の取得ステップと、
    前記復号化識別情報と前記識別情報とが一致する場合に、前記記憶媒体に記憶された情報へのアクセスを許可する許可ステップと、
    前記アクセスが許可された後に、前記識別情報を前記暗号鍵とは別の新たな暗号鍵によって暗号化した新たな暗号化識別情報を取得する第２の取得ステップと、
    記憶媒体に記憶された前記暗号化識別情報を前記新たな暗号化識別情報に更新する更新ステップとを有することを特徴とするアクセス管理方法。
11. アクセス管理装置において実行されるアクセス管理プログラムであって、
    記憶媒体に記憶されたユーザの識別情報と、該識別情報を暗号鍵によって暗号化した暗号化識別情報とを読み出す読み出しステップと、
    前記暗号化識別情報を復号鍵によって復号した復号化識別情報を取得する第１の取得ステップと、
    前記復号化識別情報と前記識別情報とが一致する場合に、前記記憶媒体に記憶された情報へのアクセスを許可する許可ステップと、
    前記アクセスが許可された後に、前記識別情報を前記暗号鍵とは別の新たな暗号鍵によって暗号化した新たな暗号化識別情報を取得する第２の取得ステップと、
    記憶媒体に記憶された前記暗号化識別情報を前記新たな暗号化識別情報に更新する更新ステップとを有することを特徴とするアクセス管理プログラム。

Images