JP4997920B2

JP4997920B2 - 管理システム

Info

Publication number: JP4997920B2
Application number: JP2006290164A
Authority: JP
Inventors: 敦成沢; 雅紀森田; 護坂井; 統丈石井; 康仁永友
Original assignee: Seiko Epson Corp
Current assignee: Seiko Epson Corp
Priority date: 2006-10-25
Filing date: 2006-10-25
Publication date: 2012-08-15
Anticipated expiration: 2026-10-25
Also published as: JP2008109387A

Description

本発明は、移動端末装置において文書のセキュリティを管理する技術に関する。

今日、いわゆる電子ブックリーダのような小型の情報表示装置（移動端末装置）が普及し始めている。これらの情報表示装置は小型でありながら大量の情報を持ち運び閲覧することができるというメリットを有している。しかしその一方で、機密情報が持ち出される危険性が増すという問題がある。ここで、文書のセキュリティを管理する技術として、例えば、特許文献１に記載された技術がある。特許文献１は、情報が記載される紙に無線タグを埋め込むことにより、文書の複製や配布先を管理する技術を開示している。

特開２００５−０３５０９５号公報

特許文献１によれば、文書がどこに配布されたかを知ることはできる。しかし、文書すなわちそこに記載された情報の持ち出しを制限することはできないという問題があった。これに対し本発明は、文書の持ち出しを制限することができる技術を提供する。

上述の課題を解決するため、本発明は、暗号鍵で暗号化された文書データを記憶するデータ記憶手段と、復号鍵を記憶した第１の無線書き込み装置および消去情報を記憶した第２の無線書き込み装置と非接触通信を行う非接触通信手段と、前記非接触通信手段を介して前記第１の無線書き込み装置から受信した前記復号鍵を記憶する端末鍵記憶手段と、前記非接触通信手段を介して前記第２の無線書き込み装置から受信した前記消去情報に基づいて、前記端末鍵記憶手段に記憶されている復号鍵を消去する記憶制御手段と、前記端末鍵記憶手段に復号鍵が記憶されている場合、その復号鍵を用いて、前記文書データ記憶手段に記憶された文書データを復号化する復号化手段と、前記復号化手段により復号化された文書データに従って画像を表示する画像表示手段とを有する移動端末装置を提供する。この移動端末装置が第２の無線書き込み装置と先に、第１の無線書き込み装置と後に通信した場合には、端末鍵記憶手段には、復号鍵が記憶される。この場合は、復号化手段は文書データを正しく復号化することができる。一方、移動端末装置が第１の無線書き込み装置と先に、第２の無線書き込み装置と後に通信した場合には、端末鍵記憶手段には、復号鍵が記憶されていない。この場合は、復号化手段は文書データを正しく復号化することができない。このように、この移動端末装置によれば、文書の持ち出しを制限することができる。

好ましい態様において、この移動端末装置は、前記非接触通信手段が、前記第１の無線書き込み装置または前記第２の無線書き込み装置から、セキュリティレベルを示す情報を受信し、前記非接触通信手段により受信されたセキュリティレベルを示す情報を記憶するセキュリティレベル記憶手段と、前記移動端末装置の動作に関する複数の処理のうち一の処理を行う処理制御手段と、前記複数の処理の各々について、その処理の識別子と、その処理に要求されるセキュリティレベルとを含むテーブルを記憶するテーブル記憶手段と、ユーザの操作に応じて、前記複数の処理から一の処理を選択する選択手段と、前記記憶手段に記憶されたセキュリティレベルが、前記テーブル記憶手段に記憶されたテーブルに含まれるセキュリティレベルのうち前記選択手段により選択された処理に対応するセキュリティレベルに適合しているか判断する判断手段とを有し、前記判断手段により、前記記憶手段に記憶されたセキュリティレベルが前記テーブル記憶手段に記憶されたテーブルに含まれるセキュリティレベルのうち前記選択手段により選択された処理に対応するセキュリティレベルに適合していると判断した場合、前記処理制御手段が、前記選択手段により選択された一の処理を行ってもよい。この移動端末装置によれば、復号鍵による管理に加えて、セキュリティレベルにより移動端末装置が行う処理を管理することができる。

別の好ましい態様において、この移動端末装置は、前記非接触通信手段が、前記第１の無線書き込み装置または前記第２の無線書き込み装置から、セキュリティレベルを示す情報を受信し、前記非接触通信手段により受信されたセキュリティレベルを示す情報を記憶するセキュリティレベル記憶手段と、前記移動端末装置の動作に関する複数の処理のうち一の処理を行う処理制御手段と、前記複数の処理の各々について、その処理の識別子と、その処理に要求されるセキュリティレベルとを含むテーブルを記憶するテーブル記憶手段と、ユーザの操作に応じて、前記複数の処理から一の処理を選択する選択手段と、前記記憶手段に記憶されたセキュリティレベルが、前記テーブル記憶手段に記憶されたテーブルに含まれるセキュリティレベルのうち前記選択手段により選択された処理に対応するセキュリティレベルに適合しているか判断する判断手段と前記判断手段により、前記記憶手段に記憶されたセキュリティレベルが前記テーブル記憶手段に記憶されたテーブルに含まれるセキュリティレベルのうち前記選択手段により選択された処理に対応するセキュリティレベルに適合しないと判断された回数を記憶する回数記憶手段と、前記回数記憶手段に記憶された回数がしきい値を超えた場合、前記移動端末装置をロックするロック手段とを有してもよい。この移動端末装置によれば、一定の場合には、移動端末装置をロックすることができる。

さらに別の好ましい態様において、この移動端末装置は、前記非接触通信手段が、前記第２の無線書き込み装置から、前記データ記憶手段に記憶されたデータの消去を要求する命令を受信し、前記記憶制御手段が、前記非接触通信手段により受信された命令に従って、前記データ記憶手段に記憶されたデータを消去してもよい。この移動端末装置によれば、第２の無線書き込み装置と通信した後は、文書データを消去することができる。

また、本発明は、復号鍵を記憶した第１の無線書き込み装置と、消去情報を記憶した第２の無線書き込み装置と、移動端末装置とを有する管理システムであって、前記移動端末装置が、暗号鍵で暗号化された文書データを記憶するデータ記憶手段と、復号鍵を記憶した第１の無線書き込み装置および消去情報を記憶した第２の無線書き込み装置と非接触通信を行う非接触通信手段と、前記非接触通信手段を介して前記第１の無線書き込み装置から受信した前記復号鍵を記憶する端末鍵記憶手段と、前記非接触通信手段を介して前記第２の無線書き込み装置から受信した前記消去情報に基づいて、前記端末鍵記憶手段に記憶されている復号鍵を消去する記憶制御手段と、前記端末鍵記憶手段に復号鍵が記憶されている場合、その復号鍵を用いて、前記文書データ記憶手段に記憶された文書データを復号化する復号化手段と、前記復号化手段により復号化された文書データに従って画像を表示する画像表示手段とを有することを特徴とする管理システムを提供する。この管理システムによれば、移動端末装置が第２の無線書き込み装置と先に、第１の無線書き込み装置と後に通信した場合には、端末鍵記憶手段には、復号鍵が記憶される。この場合は、復号化手段は文書データを正しく復号化することができる。一方、移動端末装置が第１の無線書き込み装置と先に、第２の無線書き込み装置と後に通信した場合には、端末鍵記憶手段には、復号鍵が記憶されていない。この場合は、復号化手段は文書データを正しく復号化することができない。このように、この管理システムによれば、文書の持ち出しを制限することができる。

さらに、本発明は、暗号鍵で暗号化された文書データを記憶するデータ記憶手段と、復号鍵を記憶した第１の無線書き込み装置および消去情報を記憶した第２の無線書き込み装置と非接触通信を行う非接触通信手段と、前記第１の無線書き込み装置または前記第２の無線書き込み装置から受信した情報を記憶する鍵記憶手段とを有するコンピュータ装置に、前記非接触通信手段を介して前記第１の無線書き込み装置から受信した前記復号鍵を、前記鍵記憶手段に記憶する鍵記憶処理と、前記非接触通信手段を介して前記第２の無線書き込み装置から受信した前記消去情報に基づいて、前記鍵記憶手段に記憶されている復号鍵を消去する記憶制御処理と、前記端末鍵記憶手段に復号鍵が記憶されている場合、その復号鍵を用いて、前記文書データ記憶手段に記憶された文書データを復号化する復号化処理と、前記復号化処理により復号化された文書データに従って画像を表示する画像表示処理とを実行させるプログラムを提供する。このプログラムによれば、移動端末装置が第２の無線書き込み装置と先に、第１の無線書き込み装置と後に通信した場合には、端末鍵記憶手段には、復号鍵が記憶される。この場合は、復号化手段は文書データを正しく復号化することができる。一方、移動端末装置が第１の無線書き込み装置と先に、第２の無線書き込み装置と後に通信した場合には、端末鍵記憶手段には、復号鍵が記憶されていない。この場合は、復号化手段は文書データを正しく復号化することができない。このように、このプログラムによれば、文書の持ち出しを制限することができる。

１．構成
図１は、本発明の一実施形態に係る文書管理システム１の機能構成を示すブロック図である。文書管理システム１は、文書表示装置１００と、ゲート装置２００と、ゲート装置３００とを有する。文書表示装置１００は、電子ペーパーまたは電子ブックリーダなどの、持ち運び可能な画像表示装置すなわち移動端末装置である。文書記憶部１０１は、文書データＤを記憶する。文書データＤは、暗号鍵Ｋ_Ｅにより暗号化されている。無線通信部１０２は、ゲート装置２００またはゲート装置３００と無線通信を行う。文書表示装置１００は、ゲート装置２００またはゲート装置３００から、無線通信部１０２を介して鍵の情報を取得する。鍵記憶部１０３は、取得された鍵を記憶する。復号化部１０４は、鍵記憶部１０３に記憶された鍵を用いて、文書データＤを復号化する。表示部１０５は、復号化された文書データＤに従って画像を表示する。

ゲート装置２００およびゲート装置３００は、求められる機密度が異なる２つの領域の間に設置される装置である。ゲート装置２００およびゲート装置３００は、それぞれ、無線読み取り装置および無線書き込み装置（いわゆる無線リーダ／ライタ）としての機能を有する。例えば、ゲート装置２００およびゲート装置３００は、研究所の実験室の出入り口に設置される。いま、実験室の内部は機密度が高く、実験室の外部は機密度が低い場合を例に説明する。すなわち、実験室の内部においては、文書表示装置１００に記憶された文書は自由に閲覧可能であるが、実験室の外部においては、文書の閲覧は制限される。

ゲート装置２００において、記憶部２０１は、文書データＤを復号化する鍵Ｋ_Ｄを記憶している。鍵Ｋ_Ｄは、文書データＤの暗号鍵である鍵Ｋ_Ｅに対して正当な鍵である。無線通信部２０２は、無線通信により復号鍵Ｋ_Ｄを文書表示装置１００に送信する。ゲート装置３００において、記憶部３０１は、復号鍵Ｋ_Ｄと異なる鍵である鍵Ｋ_Ｎを記憶している。鍵Ｋ_Ｎは、文書データＤの暗号鍵である鍵Ｋ_Ｅに対して正当な鍵ではない。無線通信部３０２は、無線通信により鍵Ｋ_Ｎを文書表示装置１００に送信する。

図２は、文書表示装置１００のハードウェア構成を示すブロック図である。ＣＰＵ（Central Processing Unit）１１０は、文書表示装置１００の要素を制御する制御装置である。ＲＯＭ（Read Only Memory）１２０は、文書表示装置１００の動作に必要なプログラムやデータを記憶した記憶装置である。ＲＡＭ１３０は、ＣＰＵ１１０がプログラムを実行する際の作業エリアとして機能する記憶装置である。ＶＲＡＭ（Video Random Access Memory）１３１は、表示装置１５１に表示させる画像を記憶する記憶装置である。Ｉ／Ｏ（Input/Output）１４０は、入出力インターフェースである。キーボタン１４１は、ユーザの操作に応じた信号をＩ／Ｏ１４０に出力する。無線モジュール４００は、文書表示装置１００に無線通信機能を提供するものである。無線モジュール４００の詳細については後述する。以下の説明において、便宜上、文書表示装置１００のうち無線モジュール４００以外の部分を「文書表示装置１００本体」という。

表示制御部１５０は、ＶＲＡＭ１３１に記憶された画像データに従って表示装置１５１を駆動する。表示装置１５１は、コレステリック液晶などの記憶性液晶層を有する表示装置である。電源制御部１６０は、バッテリー１６１からの電力の供給を制御する制御装置である。バッテリー１６１は、Ｎｉ−Ｃｄ系電池、Ｌｉイオン系電池などの２次電池である。通信制御部１７０は、通信用ＩＦ（Interface）１７１を介した他の機器との通信を制御する制御装置である。通信用ＩＦ１７１は、ＵＳＢ（Universal Serial Bus）、Blue Tooth（登録商標）、無線ＬＡＮ（Local Area Network）などの規格に準拠した通信を行うインターフェースである。記憶装置制御部１８０は、内蔵記憶装置１８１およびリムーバブルメディア１８３を制御する制御装置である。内蔵記憶装置１８１は、フラッシュメモリ等の書き換え可能な不揮発性の記憶装置である。リムーバブルメディア１８３は、メモリＩＦ１８２を介して文書表示装置１００に接続された、着脱可能な記憶装置である。リムーバブルメディア１８３は、例えば、ＳＤ（登録商標）メモリカードまたはメモリースティック（登録商標）である。以上の要素は、バス１９０を介して接続されている。

図３は、無線モジュール４００のハードウェア構成を示すブロック図である。ＣＰＵ４１０は、無線モジュール４００の要素を制御する制御装置である。ＲＯＭ４２０は、無線モジュール４００の動作に必要なプログラムやデータを記憶した記憶装置である。ＲＡＭ４３０は、ＣＰＵ４１０がプログラムを実行する際のワークエリアとして機能する記憶装置である。ＥＥＰＲＯＭ（Electronically Erasable and Programmable Read Only Memory）４３１は、取得した暗号鍵やセキュリティレベルなどのデータを記憶する記憶装置である。暗号エンジン４４０は、トリプルデス（Triple DES）方式やＲＳＡ（Rivest Shamir Adleman）方式などの公知のアルゴリズムに従って暗号化または復号化を行うプロセッサである。送信部４５０は、アンテナ４５２を介してデータを無線送信する送信機である。受信部４５１は、アンテナ４５２を介してデータを受信する受信機である。Ｉ／Ｏ４８０は、入出力インターフェースである。無線モジュール４００は、Ｉ／Ｏ４８０およびＩ／Ｏ１４０を介して、文書表示装置１００の他の要素とデータや信号の入出力を行う。以上の要素は、バス４９０を介して相互に接続されている。なお、無線モジュール４００は、文書表示装置１００から着脱可能であってもよい。

なお、無線モジュール４００は、文書表示装置１００の本体とは別に独自の電源を有していてもよい。文書表示装置１００においては、省電力化のため、電源制御部１６０が電力の供給または停止を細かく制御しているが、無線モジュール４００には常に電力が供給されている方が好ましいからである。また、文書表示装置１００とゲート装置との通信可能距離という観点からも、無線モジュール４００は独自の電源を有するアクティブな装置であることが好ましい。例えば、無線モジュール４００は、ＵＨＦ（Ultra High Frequency）帯のＲＦＩＤ（Radio Frequency Identification）を用いたものでもよい。

図４は、ゲート装置２００のハードウェア構成を示すブロック図である。ＣＰＵ２１０は、ゲート装置２００の要素を制御する制御装置である。ＲＯＭ２２０は、ゲート装置２００の動作に必要なプログラム等を記憶した記憶装置である。ＲＡＭ２３０は、ＣＰＵ２１０がプログラムを実行する際のワークエリアとして機能するプログラムである。送信部２４０は、アンテナ２６０を介してデータを無線送信する送信機である。受信部２５０は、アンテナ２６０を介してデータを受信する受信機である。ＥＥＰＲＯＭ２７０は、復号鍵Ｋ_ＤおよびセキュリティレベルＬ_Ｈを記憶する記憶装置である。以上の要素は、バス２９０を介して相互に接続されている。

図５は、ゲート装置３００のハードウェア構成を示すブロック図である。ゲート装置３００は、ＣＰＵ３１０、ＲＯＭ３２０、ＲＡＭ３３０、送信部３４０、受信部３５０、アンテナ３６０、ＥＥＰＲＯＭ３７０、およびバス３９０を有する。ＥＥＰＲＯＭ３７０は、不正鍵Ｋ_ＮおよびセキュリティレベルＬ_Ｌを記憶している。それ以外の要素の機能はゲート装置２００と同様である。文書表示装置１００、ゲート装置２００およびゲート装置３００がそれぞれ制御プログラムを実行することにより、文書管理システム１は、図１に示される機能を備える。

２．動作
図６は、文書管理システム１の概要を説明するイメージ図である。ゲート装置２００およびゲート装置３００は、セキュリティの高い部屋の出入り口に設置されている。図６において右手が高セキュリティの部屋であり、左手が低セキュリティの部屋である。ゲート装置２００およびゲート装置３００は、低セキュリティの部屋と高セキュリティの部屋の間の移動経路（図中点線の矢印）において、異なる位置に配置されている。具体的には、より高セキュリティの部屋に近い位置にゲート装置２００が、より低セキュリティの部屋に近い位置にゲート装置３００が配置されている。ユーザは、文書表示装置１００を持ったまま高セキュリティの部屋に出入りできるが、ゲート装置２００およびゲート装置３００が配置されているところを通過しなければ高セキュリティの部屋に入ることはできない。ユーザ（すなわち文書表示装置１００）がゲート装置３００の通信可能領域に入ると、文書表示装置１００はゲート装置３００と通信を行う。また、ユーザがゲート装置２００の通信可能領域に入ると、文書表示装置１００はゲート装置２００と通信を行う。

図７は、文書管理システム１の動作を示す図である。高セキュリティの部屋に入るときと高セキュリティの部屋から出るときはともに、文書管理システム１は基本的に図７のフローに従って動作する。以下では、高セキュリティの部屋に入るときと高セキュリティの部屋から出るときとに分けて、文書管理システム１の動作を説明する。

２−１．高セキュリティの部屋へ入るときの動作
ユーザが文書表示装置１００を持って高セキュリティの部屋に入るとき、文書表示装置１００の無線モジュール４００は、まずゲート装置３００と通信し、次にゲート装置２００と通信する。まずは文書表示装置１００とゲート装置３００との通信について説明する。

ステップＳ１００において、ゲート装置３００のＣＰＵ３１０は、文書表示装置１００の認証を行う。認証処理は、公知の技術を用いて行われる。ゲート装置３００は、送信部３４０およびアンテナ３６０を介して、移動端末装置（ここでは文書表示装置１００）にＩＤの送信を要求する要求信号を出力している。無線モジュール４００は、要求信号を受信すると、自己のＩＤなど、認証処理に必要な情報を送信する。ゲート装置３００のＣＰＵ３１０は、受信した情報に基づいて、文書表示装置１００の認証処理を行う。文書表示装置１００が正当な端末であると認証されなかった場合、ゲート装置３００のＣＰＵ３１０は以下の処理を行わない。文書表示装置１００が正当な端末であると認証された場合、ゲート装置３００のＣＰＵ３１０は、ＥＥＰＲＯＭ３７０から、鍵情報およびセキュリティレベルを読み出す。ＥＥＰＲＯＭ３７０は、鍵情報としてＫ_Ｎを、セキュリティレベルとしてＬ_Ｌを記憶している。ＣＰＵ３１０は、鍵およびセキュリティレベルを示す情報を含む信号を、文書表示装置１００に送信する。

ゲート装置３００（ゲート装置２００も同様である）は、一定の時間間隔で要求信号を出力してもよい。あるいは、文書表示装置１００が、認証処理の開始を要求する信号を出力してもよい。このように、認証処理のトリガとなる処理はどのようなものでもよい。

ステップＳ１１０において、無線モジュール４００のＣＰＵ４１０は、ゲート装置３００から受信した鍵Ｋ_ＮおよびセキュリティレベルＬ_ＬをＥＥＰＲＯＭ４３１に記憶する。ここで、ＥＥＰＲＯＭ４３１に既に鍵およびセキュリティレベルが記憶されている場合、ＣＰＵ４１０は、既に記憶されている鍵およびセキュリティレベルを、受信した鍵Ｋ_ＮおよびセキュリティレベルＬ_Ｌで上書きする。すなわち、それ以前に記憶されていた鍵およびセキュリティレベルは消去される。このように、ゲート装置３００との通信が完了すると、無線モジュール４００のＥＥＰＲＯＭ４３１には、鍵Ｋ_ＮおよびセキュリティレベルＬ_Ｌが記憶されている。例えば、Ｌ_Ｌ＝０である。なお、以下において、セキュリティレベルが０〜１０の整数で表され、数字が大きいほど高セキュリティを示す例について説明する。

ユーザが高セキュリティの部屋へ向かって歩いていくと、文書表示装置１００はゲート装置２００と通信可能な領域に達する。こうして、文書表示装置１００は、ゲート装置２００と通信を行う。文書表示装置１００とゲート装置２００との通信は、文書表示装置１００とゲート装置３００との通信と同様に行われる。ただし、ゲート装置２００から送信される鍵およびセキュリティレベルが、鍵Ｋ_ＤおよびセキュリティレベルＬ_Ｈである点が異なっている。ここで、例えば、Ｌ_Ｈ＝１０である。無線モジュール４００のＣＰＵ４１０は、ゲート装置２００から受信した鍵Ｋ_ＤおよびセキュリティレベルＬ_ＨをＥＥＰＲＯＭ４３１に記憶する。ここで、ＥＥＰＲＯＭ４３１には既にＫ_ＮおよびセキュリティレベルＬ_Ｌが記憶されているが、ＣＰＵ４１０は、これらのデータを、受信した鍵Ｋ_ＤおよびセキュリティレベルＬ_Ｈで上書きする。すなわち、高セキュリティの部屋に入った時点で、無線モジュール４００のＥＥＰＲＯＭ４３１には、鍵Ｋ_ＤおよびセキュリティレベルＬ_Ｈが記憶されている。

以上のように、低セキュリティの領域から高セキュリティの部屋に入ったとき、無線モジュール４００のＥＥＰＲＯＭ４３１には、鍵Ｋ_ＤおよびセキュリティレベルＬ_Ｈが記憶されている。この状態で、ユーザがキーボタン１４１を操作して文書データＤを表示する命令を入力するなど、トリガとなる処理が行われた場合、文書表示装置１００は、ステップＳ１２０〜Ｓ１４０の処理を行う。

ステップＳ１２０において、ＣＰＵ１１０は、レベルチェックを行う。「レベルチェック」とは、要求されている処理のセキュリティレベルと文書表示装置１００のセキュリティレベルとが適合しているかチェックする処理をいう。レベルチェックは、例えば次のように行われる。ＣＰＵ１１０は、無線モジュール４００に対し、現在のセキュリティレベルを返すように要求する命令を出力する。この命令が入力されると、無線モジュール４００のＣＰＵ４１０は、ＥＥＰＲＯＭ４３１に記憶されているセキュリティレベルを読み出す。ＣＰＵ４１０は、読み出したセキュリティレベルをＩ／Ｏ４８０を介して文書表示装置１００本体に出力する。文書表示装置１００のＣＰＵ１１０は、無線モジュール４００から出力されたセキュリティレベルおよび内蔵記憶装置１８１に記憶された処理レベルテーブルに基づいて、レベルチェックを行う。

図８は、処理レベルテーブルを例示する図である。内蔵記憶装置１８１（ＲＯＭ１２０、リムーバブルメディア１８３など別の記憶装置でもよい）は、図８に示されるような処理レベルテーブルをあらかじめ記憶している。処理レベルテーブルは、処理と、その処理を実行するのに必要なセキュリティレベルＬ_ＲＥＱとを含むデータの組を複数有している。例えば「ナビゲート操作」に必要なセキュリティレベルＬ_ＲＥＱは「１」である。また、現時点での文書表示装置１００のセキュリティレベルはＬ_Ｈである。すなわち、Ｌ_Ｈが１以上であれば、ＣＰＵ１１０は、要求されている処理のセキュリティレベルと文書表示装置１００のセキュリティレベルとが適合していると判断する。また別の例では、「設定変更」に必要なセキュリティレベルＬ_ＲＥＱは「７」である。すなわち、Ｌ_Ｈが７以上であれば、ＣＰＵ１１０は、要求されている処理のセキュリティレベルと文書表示装置１００のセキュリティレベルとが適合していると判断する。Ｌ_Ｈが７未満であれば、ＣＰＵ１１０は、要求されている処理のセキュリティレベルと文書表示装置１００のセキュリティレベルとが適合していないと判断する。

再び図７を参照して説明する。要求されている処理のセキュリティレベルと文書表示装置１００のセキュリティレベルとが適合しないと判断された場合（Ｓ１２０：ＮＧ）、ＣＰＵ１１０は、処理をステップＳ１５０に移行する。要求されている処理のセキュリティレベルと文書表示装置１００のセキュリティレベルとが適合していると判断された場合（Ｓ１２０：ＯＫ）、ＣＰＵ１１０は、処理をステップＳ１３０に移行する。いま、Ｌ_Ｈ＝１０であるので、要求されている処理のセキュリティレベルと文書表示装置１００のセキュリティレベルとが適合していると判断される。

ステップＳ１３０において、ＣＰＵ１１０は、要求されている処理、ここでは、文書データＤの表示の前段階として、文書データＤを復号化する処理を行う。この処理は例えば以下のように行われる。ＣＰＵ１１０は、文書データＤおよび文書データＤの復号化命令を、Ｉ／Ｏ１４０を介して無線モジュール４００に出力する。Ｉ／Ｏ４８０を介して復号化命令が入力されると、無線モジュール４００のＣＰＵ４１０は、入力された命令に従って処理を行う。いま、入力された命令は復号化命令であるので、まず、ＣＰＵ４１０は、入力された文書データＤをＲＡＭ４３０に記憶する。次に、ＣＰＵ４１０は、ＥＥＰＲＯＭ４３１に記憶された鍵（ここでは、鍵Ｋ_Ｄ）を用いて、文書データＤを復号化するように、暗号エンジン４４０を制御する。暗号エンジン４４０は、鍵Ｋ_Ｄを用いて文書データＤを復号化する。鍵Ｋ_Ｄは文書データＤを暗号化した際に用いられた鍵Ｋ_Ｅに対する正当な復号鍵であるから、文書データＤは正常に復号化される。ＣＰＵ４１０は、復号化された文書データＤをＲＡＭ４３０に記憶する。ＣＰＵ４１０は、復号化された文書データＤを、Ｉ／Ｏ４８０を介して文書表示装置１００本体に出力する。文書表示装置１００のＣＰＵ１１０は、入力された文書データＤをＲＡＭ１３０に記憶する。

ステップＳ１４０において、ＣＰＵ１１０は、文書を表示する。ＣＰＵ１１０は、文書データＤのうち表示させる画面に関するものをＶＲＡＭ１３１に記憶させる。表示制御部１５０は、ＶＲＡＭ１３１に記憶されたデータに従って表示装置１５１を制御する。ここで、文書データＤは正常に復号化されているので、正常な文書（の一部）が表示装置１５１に表示される。

２−２．高セキュリティの部屋から出るときの動作
ユーザが文書表示装置１００を持って高セキュリティの部屋から出ると、先ほどとは逆に、文書表示装置１００の無線モジュール４００は、まずゲート装置２００と通信し、次にゲート装置３００と通信する。すなわち、高セキュリティの部屋から出た時点で、無線モジュール４００のＥＥＰＲＯＭ４３１には、鍵Ｋ_ＮおよびセキュリティレベルＬ_Ｌが記憶されている。

いまＬ_Ｌ＝０かつＬ_ＲＥＱ＝５であるので、ステップＳ１２０のレベルチェックにおいて、要求されている処理のセキュリティレベルと文書表示装置１００のセキュリティレベルとが適合しないと判断される。したがって、ステップＳ１５０において、ＣＰＵ１１０は、その旨を示すメッセージを表示装置１５１に表示させる。

例えばＬ_Ｌ＝５であった場合、ステップＳ１２０のレベルチェックにおいて、要求されている処理のセキュリティレベルと文書表示装置１００のセキュリティレベルとは適合すると判断される。しかし、ＥＥＰＲＯＭ４３１に記憶されている鍵は、不正鍵Ｋ_Ｎである、すなわち、ＥＥＰＲＯＭ４３１に記憶されている鍵は、文書データＤの暗号鍵である鍵Ｋ_Ｅに対して正当な鍵ではない。したがって、暗号エンジン４４０は、文書データＤを正常に復号化することができない。よって、ステップＳ１４０において表示装置１５１に表示される画像は、意味不明なものである。

以上で説明したように、本実施形態によれば、文書表示装置１００に記憶されている鍵は、高セキュリティの領域に入ると正当なものに書き換えられ、低セキュリティの領域に入ると不正なものに書き換えられる。したがって、文書データＤの持ち出しを制限することができる。

３．他の実施形態
本発明は上述の実施形態に限定されるものではなく、種々の変形実施が可能である。
上述の実施形態においては、ゲート装置２００およびゲート装置３００は、鍵およびセキュリティレベルの２つの情報を文書表示装置１００に送信した。しかし、ゲート装置２００およびゲート装置３００は、セキュリティレベルを送信しなくてもよい。すなわち、文書表示装置１００は、セキュリティレベルに基づく処理制限機能を有さなくてもよい。この場合、図７のステップＳ１２０の処理は行われない。すなわち、文書表示装置１００において、正当な復号鍵が記憶されていれば文書が正常に表示され、不正な鍵が記憶されていれば意味不明の画像が表示される。

上述の実施形態において、高セキュリティ側に位置するゲート装置２００が正当な復号鍵を無線モジュール４００に書き込み、低セキュリティ側に位置するゲート装置３００が不正な鍵を無線モジュール４００に書き込む例について説明した。しかし、ゲート装置２００およびゲート装置３００の役割分担は上述の実施形態で説明したものに限られない。例えば、通信を行った時刻に基づいて入退室の方向が判断され、その判断結果に応じてゲート装置から文書表示装置１００に送信されるデータが決定されてもよい。詳細には次のとおりである。ゲート装置２００およびゲート装置３００には、サーバ装置が接続されている。サーバ装置はタイマーなどにより時刻を計測する機能を有している。また、サーバ装置は、正当な復号鍵Ｋ_Ｄおよび不正な鍵Ｋ_Ｎを記憶している。ゲート装置２００およびゲート装置３００は、文書表示装置１００と通信したことを示す信号をサーバ装置に出力する。サーバ装置は、ゲート装置の識別子と、そのゲート装置と通信した時刻とを含むデータの組を記憶する。サーバ装置は、このデータに基づいて入退室の方向を判断する。すなわち、先にゲート装置２００と、後にゲート装置３００と通信した場合、サーバ装置は、高セキュリティの部屋から出たと判断する。先にゲート装置３００と、後にゲート装置２００と通信した場合、サーバ装置は、高セキュリティの部屋に入ったと判断する。高セキュリティの部屋に入ったと判断された場合、サーバ装置は、鍵Ｋ_Ｄを文書表示装置１００に送信するように、ゲート装置２００を制御する。高セキュリティの部屋から出たと判断された場合、サーバ装置は、鍵Ｋ_Ｎを文書表示装置１００に送信するように、ゲート装置３００を制御する。

なお、時刻に基づいて入退室の方向を判断する代わりに、２つのゲート装置の電界強度に基づいて移動方向が判断されてもよい。

上述の実施形態においては、ゲート装置３００は、文書表示装置１００に対し不正鍵Ｋ_Ｎを送信した。しかし、ゲート装置３００が送信する情報は暗号鍵に限られない。正当な復号鍵Ｋ_Ｄ以外のデータであれば、どのようなデータが送信されてもよい。例えば、無意味なビット列が送信されてもよい。あるいは、ＥＥＰＲＯＭ４３１に記憶された鍵または正当な復号鍵Ｋ_Ｄを消去する命令が送信されてもよい。この命令を受信した場合、ＣＰＵ４１０は、ＥＥＰＲＯＭ４３１に記憶されている鍵を消去する。要は、文書表示装置１００のＥＥＰＲＯＭ４３１に記憶された鍵データを消去させるものであれば、どのような情報が用いられてもよい。

上述の実施形態においては、ゲート装置３００は、文書表示装置１００に対し不正鍵Ｋ_Ｎを送信した。しかし、ゲート装置３００は、不正鍵Ｋ_Ｎの代わりに、文書データＤの消去を要求する命令（この命令は文書データＤの識別子を含んでいてもよい）を文書表示装置１００に送信してもよい。この命令を受信した文書表示装置１００は、内蔵記憶装置１８１から文書データＤを消去してもよい。すなわち、無線モジュール４００は、文書表示装置１００本体に対し、文書データＤを消去させる割り込み処理を行ってもよい。

上述の実施形態においては、要求されている処理のセキュリティレベルと文書表示装置１００のセキュリティレベルとが適合しない場合、要求されている処理が行われなかった。しかし、この場合でも、要求されている処理が行われてもよい。このとき、ＣＰＵ１１０は、セキュリティレベルが適合しない処理が行われたことを示すログデータを生成し、これを内蔵記憶装置１８１に記憶してもよい。あるいは、ＣＰＵ１１０は、セキュリティレベルが適合しない処理が行われた回数をＲＡＭ１３０に記憶してもよい。さらに、一定回数以上セキュリティレベルが適合しない処理が行われた場合、ＣＰＵ１１０は、文書表示装置１００をロックしてもよい。すなわち、ユーザからのいかなる操作も受け付けない状態としてもよい。

上述の実施形態においては、ゲート装置２００およびゲート装置３００がそれぞれ別個の装置である例について説明した。しかし、単一の装置が、ゲート装置２００およびゲート装置３００の機能を有してもよい。この場合、この装置は、アンテナ、送信部および受信部をそれぞれ２つ有していればよく、ＣＰＵやＲＡＭなどは１つ有していればよい。また、メモリおよびその制御装置は、記憶するデータごとに個別に設けられてもよい。

上述の実施形態においては、暗号鍵と復号鍵が異なる鍵である例について説明した。しかし、暗号鍵と復号鍵が同一である、いわゆる共通鍵暗号のシステムが用いられてもよい。

上述の実施形態においては、暗号鍵および復号鍵の更新のタイミングについては特に言及しなかったが、所定のタイミングで（例えば、一定期間経過後に、あるいは、通信を行うたびに毎回）暗号鍵および復号鍵を新しいものに更新してもよい。あるいは、ゲート装置は、１回の通信で複数の復号鍵を移動端末装置に送信してもよい。このとき、ゲート装置は、復号鍵と文書データの対応関係を示す情報を移動端末装置に送信してもよい。移動端末装置は、複数の復号鍵の中から、処理対象の文書データに対応する復号鍵を用いて文書データを復号化することができる。

一実施形態に係る文書管理システム１の機能構成を示すブロック図である。文書表示装置１００のハードウェア構成を示すブロック図である。無線モジュール４００のハードウェア構成を示すブロック図である。ゲート装置２００のハードウェア構成を示すブロック図である。ゲート装置３００のハードウェア構成を示すブロック図である。文書管理システム１の概要を説明するイメージ図である。文書管理システム１の動作を示す図である。処理レベルテーブルを例示する図である。

符号の説明

１…文書管理システム、１００…文書表示装置、１０１…文書記憶部、１０２…無線通信部、１０３…鍵記憶部、１０４…復号化部、１０５…表示部、１１０…ＣＰＵ、１２０…ＲＯＭ、１３０…ＲＡＭ、１３１…ＶＲＡＭ、１４０…Ｉ／Ｏ、１４１…キーボタン、１５０…表示制御部、１５１…表示装置、１６０…電源制御部、１６１…バッテリー、１７０…通信制御部、１７１…通信用ＩＦ、１８０…記憶装置制御部、１８１…内蔵記憶装置、１８２…メモリＩＦ、１８３…リムーバブルメディア、１９０…バス、２００…ゲート装置、２０１…記憶部、２０２…無線通信部、２１０…ＣＰＵ、２２０…ＲＯＭ、２３０…ＲＡＭ、２４０…送信部、２５０…受信部、２６０…アンテナ、２７０…ＥＥＰＲＯＭ、２９０…バス、３００…ゲート装置、３０１…記憶部、３０２…無線通信部、３１０…ＣＰＵ、３２０…ＲＯＭ、３３０…ＲＡＭ、３４０…送信部、３５０…受信部、３６０…アンテナ、３７０…ＥＥＰＲＯＭ、３９０…バス、４００…無線モジュール、４１０…ＣＰＵ、４２０…ＲＯＭ、４３０…ＲＡＭ、４３１…ＥＥＰＲＯＭ、４４０…暗号エンジン、４５０…送信部、４５１…受信部、４５２…アンテナ、４６０…バッテリ、４８０…Ｉ／Ｏ、４９０…バス

Claims

第１の無線書き込み装置と、前記第１の無線書き込み装置より高セキュリティ側に配置された第２の無線書き込み装置と、移動端末装置とを有し、
前記第１の無線書き込み装置が、
復号鍵を記憶した第１の記憶手段と、
前記第１の無線書き込み装置を基準とする所定の領域内に入った前記移動端末装置に、前記第１の記憶手段に記憶されている前記復号鍵を非接触通信で送信する第１の送信手段と
を有し、
前記第２の無線書き込み装置が、
消去情報を記憶した第２の記憶手段と、
前記第２の無線書き込み装置を基準とする所定の領域内に入った前記移動端末装置に、前記第２の記憶手段に記憶されている前記消去情報を非接触通信で送信する第２の送信手段と
を有し、
前記移動端末装置が、
暗号鍵で暗号化された文書データを記憶するデータ記憶手段と、
前記第１の無線書き込み装置または前記第２の無線書き込み装置と非接触通信を行う非接触通信手段と、
前記非接触通信手段を介して前記第１の無線書き込み装置から受信した前記復号鍵および前記非接触通信手段を介して前記第２の無線書き込み装置から受信した前記消去情報のいずれか一方を記憶する端末鍵記憶手段と、
前記非接触通信手段を介して前記第１の無線書き込み装置または前記第２の無線書き込み装置から前記復号鍵または前記消去情報を受信した場合、受信した前記復号鍵または前記消去情報で、前記端末鍵記憶手段に記憶されている情報を上書きする記憶制御手段と、
前記端末鍵記憶手段に復号鍵が記憶されている場合、その復号鍵を用いて、前記文書データ記憶手段に記憶された文書データを復号化する復号化手段と、
前記復号化手段により復号化された文書データに従って画像を表示する画像表示手段と
を有する
ことを特徴とする管理システム。
前記非接触通信手段が、前記第１の無線書き込み装置または前記第２の無線書き込み装置から、セキュリティレベルを示す情報を受信し、
前記移動通信端末が、
前記非接触通信手段により受信されたセキュリティレベルを示す情報を記憶するセキュリティレベル記憶手段と、
前記移動端末装置の動作に関する複数の処理のうち一の処理を行う処理制御手段と、
前記複数の処理の各々について、その処理の識別子と、その処理に要求されるセキュリティレベルとを含むテーブルを記憶するテーブル記憶手段と、
ユーザの操作に応じて、前記複数の処理から一の処理を選択する選択手段と、
前記記憶手段に記憶されたセキュリティレベルが、前記テーブル記憶手段に記憶されたテーブルに含まれるセキュリティレベルのうち前記選択手段により選択された処理に対応するセキュリティレベルに適合しているか判断する判断手段と
を有し、
前記判断手段により、前記記憶手段に記憶されたセキュリティレベルが前記テーブル記憶手段に記憶されたテーブルに含まれるセキュリティレベルのうち前記選択手段により選択された処理に対応するセキュリティレベルに適合していると判断した場合、前記処理制御手段が、前記選択手段により選択された一の処理を行う
ことを特徴とする請求項１に記載の管理システム。
前記非接触通信手段が、前記第１の無線書き込み装置または前記第２の無線書き込み装置から、セキュリティレベルを示す情報を受信し、
前記移動通信端末が、
前記非接触通信手段により受信されたセキュリティレベルを示す情報を記憶するセキュリティレベル記憶手段と、
前記移動端末装置の動作に関する複数の処理のうち一の処理を行う処理制御手段と、
前記複数の処理の各々について、その処理の識別子と、その処理に要求されるセキュリティレベルとを含むテーブルを記憶するテーブル記憶手段と、
ユーザの操作に応じて、前記複数の処理から一の処理を選択する選択手段と、
前記記憶手段に記憶されたセキュリティレベルが、前記テーブル記憶手段に記憶されたテーブルに含まれるセキュリティレベルのうち前記選択手段により選択された処理に対応するセキュリティレベルに適合しているか判断する判断手段と
前記判断手段により、前記記憶手段に記憶されたセキュリティレベルが前記テーブル記憶手段に記憶されたテーブルに含まれるセキュリティレベルのうち前記選択手段により選択された処理に対応するセキュリティレベルに適合しないと判断された回数を記憶する回数記憶手段と、
前記回数記憶手段に記憶された回数がしきい値を超えた場合、前記移動端末装置をロックするロック手段と
を有する請求項１に記載の管理システム。
前記非接触通信手段が、前記第２の無線書き込み装置から、前記データ記憶手段に記憶されたデータの消去を要求する命令を受信し、
前記記憶制御手段が、前記非接触通信手段により受信された命令に従って、前記データ記憶手段に記憶されたデータを消去する
ことを特徴とする請求項１に記載の管理システム。