アクセス可能な電子文書を提供するアクセス制御装置
【課題】
更新・削除が制限され，グループ構造を持つ電子文書を，ユーザ属性だけでなく，事務処理のステータスも条件としてアクセス制御を判定するアクセス制御装置を備えた文書管理システムを提供する。
【解決手段】
本発明の文書管理システムでは，アクセス制御部４１で，文書群・文書・ＸＭＬ項目というグループ単位でアクセス制御を実施する。また，各グループ単位のアクセス制御において，事務処理のステータスやアクセス制御情報を取得し，これらを用いてアクセス制御判定を行う。アクセス制御の条件を記述したポリシ情報やユーザの属性情報をポリシ情報管理部７で管理する。また，アクセス制御実施後，表示用データ作成装置３０で文書の最新状態に加工する。
更新・削除が制限され，グループ構造を持つ電子文書を，ユーザ属性だけでなく，事務処理のステータスも条件としてアクセス制御を判定するアクセス制御装置を備えた文書管理システムを提供する。
【解決手段】
本発明の文書管理システムでは，アクセス制御部４１で，文書群・文書・ＸＭＬ項目というグループ単位でアクセス制御を実施する。また，各グループ単位のアクセス制御において，事務処理のステータスやアクセス制御情報を取得し，これらを用いてアクセス制御判定を行う。アクセス制御の条件を記述したポリシ情報やユーザの属性情報をポリシ情報管理部７で管理する。また，アクセス制御実施後，表示用データ作成装置３０で文書の最新状態に加工する。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は，更新と削除を制限される電子文書の文書管理システム，アクセス制御方法，表示方法に関する。
【背景技術】
【０００２】
従来，データベースに保存されている電子文書を取得するために，ユーザは，クライアントとなるコンピュータ端末を使用し，インターネットやＬＡＮ（Local Area Network）を経由してデータベースサーバにアクセスし，電子文書の提供を受けている。データベースの管理者は，通常，許可していないユーザのアクセスを拒否できるように電子文書の管理を行っている。アクセス制御を行う際のルールをポリシと呼び，ポリシは，例えば，ユーザ名や職業，役職などの属性に基づいて決定される。
【０００３】
近年，電子文書の一例として，ＸＭＬ（eXtensible Markup Language）で書かれた電子文書，ＸＭＬ文書が利用され始めている。ＸＭＬ文書は，文書作成者によって独自に定義されたタグを用いて，内容を要素に分け，構造化することができる。そのため，例えば，ＸＭＬ文書の特定の要素へのアクセスを拒否するといった，要素単位でのアクセス制御が可能となる。
【０００４】
しかしながら，従来，アクセス可否を判定する際に用いられるポリシはアクセス制御対象のＸＭＬ文書内に記述されていた。そのため，属性の新規作成，更新や削除や，要素の新規作成，更新や削除などの，ポリシやＸＭＬ文書の変化に応じて，ＸＭＬ文書を修正する必要があり，ＸＭＬ文書の管理が困難であった。
【０００５】
この課題に対して，電子文書について，アクセス制御対象のＸＭＬ要素や利用者属性が追加・削除・変更された場合でも、ＸＭＬ要素毎のアクセス制御を可能とすることを目的とする技術がある（特許文献１，段落０００６，０００７，００１３参照）。この技術では，ＸＭＬ文書の要素毎に，ユーザのアクセス可否を示す制限情報をアクセス制限情報記憶手段（利用者属性データベース）に記憶しておき，クライアントのユーザがリクエストしたＸＭＬ文書の要素がアクセス可能であるかを制限情報に基づいて確認し，アクセス不可の要素を削除したＸＭＬ文書をクライアントに提供する。
【０００６】
一方，従来，紙文書として保管されていた文書の原本を，電子文書によって保管しようとする場合に，保管する組織や機関がその原本性を確保するためにどうすればよいか，が検討されている（例えば，非特許文献１）。非特許文献１には，原本性を確保するためには，改ざん防止機能が必要であること，より具体的には，保存期間内の電子文書データ（原本データ）は，変更・上書き・削除ができないようにし，データを変更する際は追記とすること，改変された文書を新しい版とすることで，文書の改変履歴や古い版の参照を可能とすること，等が記されている。
【０００７】
非特許文献１に記載されている要件に従うと，新規文書の追加，文書の読み出しのみが許可され，更新や削除に関しては，それらの情報を記述した文書が作成される。また，これらの文書は，ユーザの属性や事務処理の進行状況や，特定の文書へのアクセスを制限するアクセス制御情報により，アクセス可否が判定される。
【０００８】
【特許文献１】特開２００５−２７５７５９号公報
【非特許文献１】“原本性保証システムガイドライン（９ページ，５．２改ざん防止機能（１）書換・消去不可機能）”[online]，２００１年３月，財団法人ニューメディア開発協会，[２００７年６月４日検索]，インターネット<URL：http://www.nmda.or.jp/nmda/soc/pdf/genpon_guide.pdf>
【発明の開示】
【発明が解決しようとする課題】
【０００９】
非特許文献１に記されている要件を満たす文書管理システムにおいて，特許文献１に記載されているアクセス制御を行うとすると，以下に述べるいくつかの課題が生じる。
【００１０】
特許文献１が開示する技術では，ユーザの属性毎のアクセス制御情報により，電子文書に対するアクセス制御を行う。しかし，本発明の対象となる利用環境では，電子文書に対するアクセス可否を判定する条件として，利用者属性データベースに格納されているユーザの属性だけでなく，特定文書（事務処理の進行状況，例外的なアクセス制御情報）を参照することがある。このような場合は，これらの特定文書の存在や内容を確認する処理が必要となり，アクセス制御が複雑となり，処理に時間が掛かるようになる。
【００１１】
また，非特許文献１に記されている要件を満たす文書管理システムで扱われる電子文書は，ＸＭＬ文書のように独自に定義した要素により構造化された文書と，対象となる文書に関係する一連の事務処理に関連する文書とをまとめ，文書群というグループを構成することがある。
【００１２】
しかしながら，文書群単位でアクセス制御を実施すると，アクセス制御情報が記述された文書そのものがアクセス制限され，アクセス制御を行う前に，当該アクセス制御情報が削除され，アクセス制限が機能しなくなるおそれがある。
【課題を解決するための手段】
【００１３】
本発明は，電子文書管理システムにおける，正しいアクセス可否判定技術，および，高速なアクセス可否判定技術を提供する。
【００１４】
本発明の一態様は，文書ＤＢを備えた文書管理システムに於いて，電子文書要求に応じて，前記文書ＤＢに登録された電子文書群を構成する電子文書のうち，アクセス可能な電子文書を提供するアクセス制御装置である。
【００１５】
本発明が前提とする電子文書ＤＢは，各々の前記電子文書の内容修正手段を備えないものであり，本発明が扱う電子文書群には，起点となるルート電子文書と，前記ルート電子文書または前記ルート電子文書への処理指示電子文書に対する，他の処理指示電子文書とが，互いに関連づけられて含まれ，前記電子文書群の最新の状態は，前記ルート電子文書または前記ルート電子文書への処理指示電子文書の構成要素に対する，他の前記処理指示電子文書に記載された処理指示の反映により，表現されることを特徴とする。
【００１６】
さらに，本発明が提供するアクセス制御装置が備えるアクセス制御部は，前記電子文書群において，アクセス制御情報を含む処理指示電子文書の複数に対して，他の処理指示電子文書によるアクセス制御の対象か非対象かに係わらず，アクセスを行い，含まれる前記アクセス制御情報を取得し，取得した前記アクセス制御情報に基づく複数のアクセス制御判定結果を出力するアクセス制御判定部と，前記複数のアクセス制御判定結果を結合し，前記結合結果に基づき，アクセス可能な電子文書で構成された，アクセス可能電子文書群を，前記電子文書要求への応答として出力する結果結合部と，を備えることを特徴とする。
【００１７】
上記構成により，アクセス制御判定部は，アクセス不許可と判断される処理指示文書に記されているアクセス制御情報であっても，取得することが可能になり，取得したアクセス制御情報を結果結合部が結合することにより，正確なアクセス制御判定に基づく，アクセス可能電子文書群の取得が可能になる。
【００１８】
より具体的には，前記アクセス制御装置の前記アクセス制御部は，前記複数のアクセス制御判定として，前記電子文書群に含まれる，アクセス制御情報を含む処理指示電子文書に対するアクセス制御判定と，当該処理指示電子文書を構成する構成要素に対するアクセス制御判定と，を独立して，例えば，並行に行うものである。
【００１９】
上記構成により，電子文書群が，アクセス制御対象となる，電子文書とその構成要素からなる場合であっても，漏れのないアクセス制御情報の取得と，正確なアクセス制御判定と，が可能になる。
【００２０】
また，前記アクセス制御装置の前記アクセス制御部は，前記ポリシ管理部が管理するポリシ情報と，前記クライアントを利用するユーザＩＤとを参照し，前記ルート電子文書に対するアクセス制御判定を行い，前記判定結果が，アクセス不許可である場合は，アクセス制御情報を含む前記処理指示電子文書へのアクセスと，当該アクセスにより取得するアクセス制御情報に基づく前記アクセス制御判定と，を省略し，受信した前記電子文書要求に対して，アクセス不許可を応答することを特徴とする。
【００２１】
この構成により，電子文書群全体がアクセス不許可の場合に，高速応答が可能になる。
【００２２】
上記態様によれば，アクセス制御情報を記述した文書を削除することがないので，アクセス制御を確実に行うことが可能になる。
【００２３】
また，アクセス不許可の判定結果を得た層より下位の層の，アクセス制御の判定と実行を省略することで，クライアントに対して結果を早く応答することができるため，利便性が向上する。
【発明の効果】
【００２４】
本発明によれば，電子文書へのアクセス制御機能を備えた文書管理システムに於いて，アクセス制御判定を簡単に行うことができる。
【発明を実施するための最良の形態】
【００２５】
本実施形態では，ある組織に対して，外部の申請者が文書を提出して処理を申請し，提出された文書が組織内部で処理され，提出された文書や内部処理結果を外部の第三者が申請により閲覧できる，という文書管理システムについて説明する。なお，本明細書を通じて，文書とは，ディジタル化された電子文書を指す。
【００２６】
図１は，本発明の一実施形態である文書管理システムの構成を示すブロック図の一例である。
【００２７】
クライアント１０は，文書を要求するユーザ端末である。ユーザとして，外部から文書を閲覧する一般利用者，外部から文書を申請する申請者，文書管理システムで業務を行う職員が存在する。図1ではクライアント１０として１台示しているが，上記ユーザの種類別に複数のクライアント１０が接続されることが望ましい。
【００２８】
ネットワーク２０はインターネットやＬＡＮであり，一般利用者，申請者，職員は，それぞれ異なるクライアント１０を用いネットワーク２０を経由して文書管理システムと通信し，処理を行う。
【００２９】
表示用データ作成装置３０は，クライアント１０に要求された文書を最新の状態に加工する装置である。文書データ解析部３２は、アクセス制御装置４０から取得した文書群の中に存在する更新・削除に関する文書（処理指示文書）から，文書を修正するための情報を解析する。文書データ加工部３３は、文書の要素の書き換えや削除を行う。そして，最新状態にした文書をクライアント１０に送信する。また，アクセス制御装置４０からユーザから要求された文書がアクセス不許可である結果を取得した場合は，エラー結果をクライアント１０に送信する。
【００３０】
アクセス制御装置４０は，文書ＤＢ５０から取得した文書群のアクセス制御を行い，アクセス不許可部分を削除して，表示用データ作成装置３０に送信する。アクセス制御装置４０は，アクセス制御部４１，ポリシ管理部４２，属性情報ＤＢ４３，ポリシ情報ＤＢ４４から構成される。
【００３１】
ポリシ管理部４２は，属性情報ＤＢ４３やポリシ情報ＤＢ４４で管理される情報の作成や更新を行う。また，アクセス制御部４１がアクセス制御を行う際に，アクセス制御に必要な属性情報ＤＢ４３やポリシ情報ＤＢ４４の情報をアクセス制御部４１に送信する。
【００３２】
属性情報ＤＢ４３は，ユーザを一意に識別するユーザＩＤに属性を付与し，それをリスト化した属性情報を保存している。本実施形態の文書管理システムでは，ユーザの属性には，一般利用者，申請者，職員の３種類があり，職員には更に役職・所属に関する属性も付与される。
【００３３】
ポリシ情報ＤＢ４４は，アクセス制御を実施する上でのポリシを記述した，アクセス制御リストを保存している。ポリシは，各文書群，文書，文書要素にアクセスできる条件が各ユーザ属性に対してリスト化して記述されている。
【００３４】
アクセス制御部４１は，文書ＤＢ５０から取得した文書群にポリシ管理部４２から取得した属性情報とポリシに基づいて，アクセス制御を行う。アクセス制御部４１は，応答制御部４５，文書群アクセス制御判定部４６，文書アクセス制御判定部４７，ＸＭＬ要素アクセス制御判定部４８，結果結合部４９から構成される。
【００３５】
応答制御部４５は，ポリシ管理部４２から取得した属性情報を参照し，アクセス制御前の段階で取得したユーザＩＤでユーザの属性を確認する。ユーザＩＤは、図６に示す文書要求４０１に含まれている。
【００３６】
応答制御部４５は，ユーザの属性とポリシ管理部４２から取得したポリシとを文書群アクセス制御判定部４６，文書アクセス制御判定部４７，ＸＭＬ要素アクセス制御判定部４８からの要求に応じて，各部に送信する。
【００３７】
文書群アクセス制御判定部４６は，ユーザから要求された文書が含まれる文書群のアクセス可否をユーザの属性とポリシに基づいて判定する。アクセス可の場合は文書群を文書アクセス制御判定部４７とＸＭＬ要素アクセス制御判定部４８に送信する。アクセス不許可の場合はエラー結果を表示用データ作成装置３０に返す。
【００３８】
文書アクセス制御判定部４７は，文書群に含まれる全ての文書のアクセス可否をユーザの属性とポリシに基づいて判定する。アクセス不許可の文書があった場合は，不許可文書のＩＤを結果結合部４９に送信する。
【００３９】
ＸＭＬ要素アクセス制御判定部４８は，文書群に含まれる文書のＸＭＬ要素のアクセス可否をユーザ属性とポリシで判定する。アクセス不許可のＸＭＬ要素があった場合は，アクセス不許可のＸＭＬ要素が含まれる文書の文書ＩＤとＸＭＬ要素名を結果結合部４９に送信する。
【００４０】
結果結合部４９は，文書アクセス制御判定部４７，ＸＭＬ要素アクセス制御判定部４８から送信されたアクセス不許可の文書ＩＤとＸＭＬ要素名を元に，アクセス不許可部分を削除，あるいは他の文字に置き換え，アクセス可能な文書群に加工し，アクセス制御済文書群として，表示データ作成装置３０に送信する（詳細は後述する）。
【００４１】
文書ＤＢ５０は，文書管理システムで扱われる文書を保存しているデータベース装置である。本実施形態の文書管理システムでは，扱う文書の修正を許可しない。そのため，文書全体や文書の項目の更新や削除を制限するために，文書ＤＢ５０に用いる記録媒体として，書き込みは出来るが消去ができない追記型と呼ばれるもの（例えば，ＤＶＤ−Ｒ）を用いることが望ましい。ただし，これ以外の技術を用いても実現しても構わない。
【００４２】
修正を許可しない，という前提のため，文書の最新の状態は，ルート文書またはルート電子文書への処理指示文書の構成要素に対する，他の処理指示文書に記載された処理指示の反映により，表現する。
【００４３】
したがって，本実施形態の文書管理システムでは，起点となるルート文書と，ルート文書またはルート文書への処理指示文書に対する，他の処理指示文書とが，互いに関連づけられた電子文書群を処理対象とする。
【００４４】
図１に示すクライアント１０，表示用データ作成装置３０，アクセス制御装置４０，文書ＤＢ５０は，例えば，図２に示す一般的な情報処理装置を用いて実現することが可能である。図２のハードウェア構成図に示す通り，情報処理装置は，ＣＰＵ１２と，メモリ１３と，図１に示すネットワーク２０を介して他の装置と通信を行うための通信装置１４と，キーボードやマウス等の入力装置１５と，モニタやプリンタ等の出力装置１６と，読取装置１７と，ハードディスク等の外部記憶装置１８とが，バスなどの内部通信線１１を介して接続されている。
【００４５】
また，読取装置１７にはＩＣカードやＵＳＢメモリのような，可搬性を有する記憶媒体１９を接続することができる。以下に説明する各装置の各機能（処理部）は，これらの機能を実装したプログラムをメモリ１３上にロードし，それをＣＰＵ１２が実行することにより実現できる。
【００４６】
また，アクセス制御装置４０における属性情報ＤＢとポリシ情報ＤＢ，および，文書ＤＢ５０は，それぞれ一つ以上の外部記憶装置１８を用いることにより実現できる。
【００４７】
また，各プログラムは，予め外部記憶装置１８に格納されていても良いし，必要なときに，上記情報処理装置が利用可能な媒体を介して、他の装置から外部記憶装置１８に導入されてもよい。媒体とは、たとえば、読取装置１７を用いて利用可能な記憶媒体１９、または通信装置１４を用いて利用可能な通信媒体（すなわちネットワーク２０またはネットワーク２０を伝搬する搬送波やディジタル信号）を指す。
【００４８】
図３に本実施形態で扱う文書の書式を例示する。
【００４９】
図３(ａ)は，文書管理システムで扱われる文書のフォーマット例１０１である。本実施形態において，文書とは独自に定義された要素から構造化された電子文書で，フォーマット例１０１では，ＸＭＬで記述され，複数のＸＭＬ要素から構成されている。文書ＩＤ１０１１，ルート文書ＩＤ１０１２，親文書ＩＤ１０１３，文書名１０１４，提出日１０１５のＸＭＬ要素は，全ての文書に共通に含まれる。文書ＩＤ１０１１は，文書を一意に識別するためのＸＭＬ要素である。ルート文書ＩＤ１０１２は，一連の業務に関連する文書群の中で，処理の起点となる文書の文書ＩＤを示したＸＭＬ要素である。親文書ＩＤ１０１３は，自身の文書の親となる文書の文書ＩＤを示したＸＭＬ要素である。文書名１０１４は，文書の種類を識別するための名称を示したＸＭＬ要素である。提出日１０１５は，文書が文書管理システムに登録された日付を示したＸＭＬ要素である。それぞれの文書には，前述した共通するＸＭＬ要素の次に，文書内容を記述したＸＭＬ要素１０１６が続き，ＸＭＬ要素名を文書名とする。さらに，文書内容を記述したＸＭＬ要素１０１６は，様々な項目のＸＭＬ要素１０１７から構成され，それぞれの項目には独自のＸＭＬ要素名が付く。また，文書の中には，外部の申請人が作成する申請文書と職員が作成する内部文書があり，それぞれ様々な種類の文書がある。以下にその一例を示す。
【００５０】
図３(ｂ)は，外部の申請人が提出する提出文書１０２の一例で，申請人の名前を示した要素，申請人が提出する内容を示した要素から構成されている。提出文書１０２には，ルート文書や親文書が存在しない。これは，申請人が作成する申請文書である。
【００５１】
図３(ｃ)は，申請人が提出した文書に関連する業務が職員によって終了したことを表す完了書１０３の一例で，完了処理の内容を示した要素から構成されている。これは，職員が作成する内部文書である。
【００５２】
図３(ｄ)は，過去に登録した文書に対して，文書を処理した職員の上長の決裁が下りたこと示す決裁書１０４の一例で，決裁者の名前を示した要素，決裁内容を示した要素から構成される。これは，職員が作成する内部文書である。
【００５３】
図３(ｅ)は，一般利用者や申請者が閲覧するのに不適切な文書群，文書，ＸＭＬ要素があった場合にその閲覧禁止内容を示す閲覧禁止書１０５の一例で，閲覧禁止範囲（文書群，文書，ＸＭＬ要素の何れか）を示した要素，閲覧禁止となった理由を示した要素から構成される。これは，職員が作成する内部文書である。
【００５４】
図３(ｆ)は，過去に登録した文書に削除したい内容がある場合に職員や申請者が作成する取消書１０６の一例で，取消範囲（文書群，文書，ＸＭＬ要素の何れか）を示した要素，取消対象の名称（文書群，文書ＩＤ，ＸＭＬ要素名の何れか）を示した要素から構成される。職員が作成した場合は，内部文書，申請者が作成した場合は，申請文書となる。
【００５５】
図４は，一連の業務に関連する文書群の構造を例示する図である。
【００５６】
図４(ａ)は，文書群の木構造を示す。申請者から送信される申請文書２０１がルート（根）文書となり，追加された処理指示文書（２０２〜２１２）が，分岐した枝それぞれにおいて，処理の流れに従って順に繋がり，親子関係を持つ。
【００５７】
これらの親子関係を，図４(ｂ)に示す管理テーブルで管理する。管理テーブルは，例えば，ルート文書ＩＤを識別子として，文書ＤＢ５０に格納すればよく，新たな電子文書を電子文書群に追加する際には，ルート文書ＩＤをキーとして，対象となる管理テーブルを検索し更新すればよい。
【００５８】
新たな電子文書は，クライアント１０を操作する職員または一般利用者，申請者が追加作成するものであるから，クライアント１０から文書が要求された場合には，アクセス制御装置４０，表示用データ作成装置３０は，電子文書群と併せて管理テーブルも取得し，クライアント１０に応答することにより，管理テーブルの更新も可能になる。
【００５９】
図４では，申請文書２０１，補正文書２０６のように，申請者が操作するクライアント１０から受け付けた文書を２重線枠で示す。申請文書２０１，補正文書２０６には，申請を受け付けた職員による，受付処理に関連する業務が終了したことを表す完了書２０７，完了書２０９を付与する。
【００６０】
文書を受け付けた組織（機関）内部の文書を一重線枠で示す。内部文書の中でいくつかは，承認者の決裁が下りたことを示す決裁書（２０４，２０８，２１０）が付与されることで，有効な文書となる。
【００６１】
また，文書または文書群を一般利用者に公開できる段階になると，文書群全体を公開の対象とする公開書２１１が付与される。ただし，文書群が公開可能になった場合でも，公開が許可されない文書がある場合は,個別にアクセス制御が行われる。
【００６２】
完了書２０７，完了書２０９，公開書２１１は，業務の状況を表す文書となる。
【００６３】
また，各文書に，一般利用者や申請者が閲覧するのに不適切な文書やＸＭＬ要素があった場合，職員が，禁止対象者と，禁止対象文書または項目を指定した閲覧禁止書２０３を発行する。閲覧禁止書２０３が発行されると，たとえば，一般利用者は全文書の内容や項目が閲覧禁止になり，申請者は内部文書の内容や項目が閲覧禁止となる。図４では，審査指令書２０２には閲覧禁止書２０３が発行されているため，文書全体あるいはＸＭＬ要素が一般利用者や申請者に閲覧されないように処理される。具体的には，たとえば，他の文字への置き換え処理を行う。
【００６４】
また，仕様として，各文書の訂正や削除を禁じているので，訂正や削除が必要な場合は，補正文書２０６や取消書２１２を職員や申請者が作成して追加する。図４では，公開書２１１は，取消書２１２が発行されているので，有効ではなくなる。取消書が付与されていない文書（もし，決裁書を必要とする場合は，さらに，決裁書が付与されている文書）を有効な文書と呼ぶ。
【００６５】
図５は，アクセス制御リストの構成を例示する図である。
【００６６】
図５(ａ)は，ポリシ管理部４２が保存しているＸＭＬで記述されたポリシ（アクセス制御リスト(ＡＣＬと略す)という）のフォーマット例３０１である。各文書群のアクセス制御のポリシを記述した文書群ＡＣＬ３０２，各文書のアクセス制御のポリシを記述した文書ＡＣＬ３０３，各ＸＭＬ要素のアクセス制御のポリシを記述したＸＭＬ要素ＡＣＬ３０４のように，構造化された各グループのポリシから構成されている。ＡＣＬのバージョンの管理はポリシ管理部で行う。
【００６７】
図５(ｂ)は，文書群ＡＣＬの一例３０２で，ある案件の文書群に対する，各ユーザ属性におけるアクセス可の条件を示すポリシが例示されている。図５(ｂ)のポリシ例によれば，属性が一般利用者であるユーザは，文書群の中に公開書があり，さらに文書群全体に対する閲覧禁止書が存在しない場合，当該案件の文書群にアクセスすることができる。属性が申請者や職員であるユーザは，文書群の中の文書に関係なく，全ての場合で当該案件件の文書群にアクセスすることができる。
【００６８】
図５(ｃ)は，文書ＡＣＬの一例３０３で，提出文書に対するポリシが例示されている。図５(ｃ)のポリシ例によれば，各ユーザ属性が，アクセス可の条件である一般利用者であるユーザは，文書群の中に完了書があり，さらに該当する提出文書に対する閲覧禁止書が存在しない場合，提出文書にアクセスすることができる。属性が申請者や職員であるユーザは，文書群の中の文書に関係なく，全ての場合で事件の文書群にアクセスすることができる。
【００６９】
図５(ｄ)は，ＸＭＬ要素ＡＣＬの一例３０４で，個人情報のＸＭＬ要素に対するポリシが例示されている。図５(ｄ)のポリシ例によれば，各ユーザ属性が，アクセス可の条件である一般利用者であるユーザは，アクセス可の条件が指定されていないため，個人情報のＸＭＬ要素にアクセスすることができない。属性が申請者や職員であるユーザは，全ての場合で事件の文書群にアクセスすることができる。
【００７０】
図６〜図８は，クライアント１０が文書を要求してから，システムが結果を返すまでのデータと処理を処理階層別に表したシーケンス図である。
【００７１】
図６について説明する。クライアント１０は，クライアント１０の出力装置１６に表示されている文書名を選択し，クライアント１０の利用者の識別子を伴う文書管理システムに文書要求（文書名）４０１を出す。
【００７２】
表示用データ作成装置３０の応答制御部３１は，クライアント１０から取得した文書要求４０１に含まれる文書名を，対応する文書ＩＤ４０２に変換した，文書要求を文書ＤＢ５０に送信する。
【００７３】
文書ＤＢ５０は，要求された文書ＩＤ４０２を備える文書について文書ＤＢ５０で記憶している文書を検索し，該当する文書を取得する。取得した文書に記述されているルート文書ＩＤを確認し，そのルート文書ＩＤが記述されている文書についてさらに検索し，取得する。取得した全ての文書は，ルート文書とルート文書または他の処理指示文書を親とする処理指示文書が，図４（ｂ）の管理テーブルに基づく，図４（ａ）のような構成を持つ文書群である。
そして，アクセス制御装置４０に文書応答（文書群）を出す。
【００７４】
アクセス制御装置４０は，表示用データ作成装置３０がクライアント１０から取得した，クライアント１０のユーザ識別子を取得し，ポリシ管理部４２からルート文書ＩＤに基づきアクセス制御情報を取得し（４０４），文書ＤＢ５０から取得した文書群にアクセス制御を行う（４０５）。その結果，部分的に削除あるいは他の文字に置き換えられたアクセス制御済文書群４０６が作成され，それらを表示用データ作成装置３０に送信する。
【００７５】
表示用データ作成装置３０では，アクセス制御済文書群４０６の中に含まれている文書の更新や削除に関する文書からユーザから要求された文書を修正するための情報を参照し，文書を最新の状態に加工し（４０７），加工した文書４０８をクライアント１０に送信する。
【００７６】
図７は，図６のアクセス制御装置４０アクセス制御情報取得４０４を詳細に説明したシーケンス図である。アクセス制御部４１は，ポリシ管理部４２に属性情報とＡＣＬの要求５０１を出す。
【００７７】
ポリシ管理部４２は，属性情報とＡＣＬの要求５０１を受けて，属性情報要求５０２を属性ＤＢ８に，ＡＣＬ要求をポリシＤＢ９に出す。要求を受けて，属性ＤＢ８は，最新の属性情報５０３をポリシ管理部に送信し，ポリシＤＢ９は，最新のＡＣＬをポリシ管理部に送信する。ポリシ管理部４２は，取得した属性情報とＡＣＬ５０６をアクセス制御部４１に送信する
図８は，図７のアクセス制御部４１を詳細に説明したシーケンス図である。応答制御部４５は，ポリシ管理部４２から取得した属性情報，ＡＣＬ６０２を，文書ＤＢ５０は文書群６０１を，それぞれ文書群アクセス制御判定部４６に送信する。
【００７８】
文書群アクセス制御判定部４６は，送信された文書群６０１に対し，属性情報とＡＣＬ６０２に基づいたアクセス制御判定を実施する（６０３）。文書群６０１中の全ての文書がアクセス不許可の場合は，次のアクセス制御に進まず，応答制御部４５を介して，表示用データ作成装置３０にアクセス不許可というエラー６０４を返す。文書群６０１にアクセス可の場合は，文書群アクセス制御判定部４６は文書群６０１をそれぞれ，文書アクセス制御判定部４７とＸＭＬ要素アクセス制御判定部４８，結果結合部４９に送信する。
【００７９】
文書アクセス制御判定部４７は，文書群アクセス制御判定部４６から送信された文書群６０１と，属性情報とＡＣＬ６０６に基づいてアクセス制御判定を実施する（６０７）。アクセス制御判定の結果，アクセス不許可となった文書ＩＤ６０８を結果結合部４９に送信する。
【００８０】
ＸＭＬ要素アクセス制御判定部４８は，文書群アクセス制御判定部４６から送信された文書群６０１と，属性情報とＡＣＬ６１０に基づいてアクセス制御判定を実施する（６１１）。アクセス制御判定の結果，アクセス不許可となったＸＭＬ要素の文書ＩＤ，ＸＭＬ要素名６１３を結果結合部４９に送信する。
【００８１】
結果結合部４９は，送信された文書ＩＤ６０８とＸＭＬ要素の文書ＩＤ，ＸＭＬ要素名６１３を参照して，文書群６０１のアクセス不許可部分を削除あるいは他の文字に置き換え，アクセス制御結果を結合する（６１４）。
【００８２】
図９は，図４に示す文書群を構成している，文書と，各文書中のＸＭＬ要素と，各ＸＭＬ要素の中をさらに構造化した要素と，をそれぞれ異なる階層に位置づけ，各階層間の関係を木構造で示した模式図である。この木構造をあらわすデータは，図4(ｂ)に示す管理テーブルと併せて，アクセス制御装置４０，表示用データ作成装置３０が作成,管理すればよい。
データ群は，複数の階層より構成され，７０１から７１３は各階層の構成要素である。このデータ群を本実施形態の文書管理システムで扱われる文書に適応させると，第一階層は申請した文書に関係する一連の事務処理に関連する文書をまとめた文書群になる。第二階層は文書，第三階層は文書のＸＭＬ要素になる。第四階層以降は，各ＸＭＬ要素の中をさらに構造化した要素になる。図９の点線部分はアクセス不許可であることを示し，ある階層の要素がアクセス不許可となるとその要素の下位層全てもアクセス不許可となる。例えば，第二階層にある要素７０３がアクセス不許可であるため，下位層の要素７０７，７０８，７１２もアクセス不許可となっている。
【００８３】
図９では，要素７０３の文書には要素７０６の文書に関するアクセス制御情報が記述され，要素７１０の文書には要素７１１の文書に関するアクセス制御情報が記述されているものとする。
【００８４】
従来技術のように階層順にアクセス制御を行うと，第２階層に対するアクセス制御で７０３を親とする枝，第３階層に対するアクセス制御で７０５を親とする枝がアクセス不許可となる。そのため，従来技術の課題として述べたように，第３階層に対するアクセス制御，第４階層に対するアクセス制御で，欠落するアクセス制御情報が存在し，７０６，７１１のアクセス制御を適切に行うことができない。
【００８５】
図１０は，図９のデータ群に対するアクセス制御処理を示したフローチャートである。図９の第一階層には，アクセス制御情報とアクセス制御対象の要素が含まれていないので，第一階層アクセス制御８０１を最初に行う。第一階層の全ての要素がアクセス不許可だった場合，他の階層のアクセス制御を省略することができるため，他の場合と比較して応答処理が早くなる。
【００８６】
一方，図９の第二階層以降で，アクセス制御情報とアクセス制御対象の要素が含まれ，互いに影響し合う階層について，アクセス制御を並列に行う。そして，アクセス制御結果結合８０５で，並列に行ったアクセス制御の結果を結合する図１０では，第二階層８０２〜第四階層８０４が該当すると仮定している）。
【００８７】
続けて，アクセス制御情報とアクセス制御対象の要素が含まれていない下位層のアクセス制御を，第ｎ階層アクセス制御８０６まで行う。
【００８８】
図１１は，図１０のフローチャート図を文書群，文書，ＸＭＬ要素というデータ構造に応用し，図８の文書群アクセス制御，文書アクセス制御，ＸＭＬ要素アクセス制御の判定処理を説明したフローチャート図である。また、図１２は、アクセス制御結果結合の処理を説明したフローチャート図である。
【００８９】
図１１のＳ０１からＳ０５が文書群アクセス制御判定，Ｓ０６からＳ１１が文書アクセス制御判定，Ｓ１２からＳ１７がＸＭＬ要素アクセス制御判定，Ｓ１８からＳ１９がアクセス制御判定結果結合の処理である。
【００９０】
また、図１１、図１２の処理を図１０に対応させると、Ｓ０１からＳ０５が第一階層アクセス制御８０１、Ｓ０６からＳ１１が第二階層アクセス制御８０２、Ｓ１２からＳ１７が第三階層アクセス制御８０３、Ｓ１８からＳ１９がアクセス制御結果結合８０５に当たる。
【００９１】
文書群アクセス制御判定部４６は，文書群の中の処理指示文書に，文書群を取消範囲とする有効な取消書があるかどうかタグを検索して確認する（Ｓ０１）。取消書がある（文書群中の全ての文書が取り消されている）場合，要求する文書は存在しないことになるので，エラーを返す（Ｓ２１）。
【００９２】
取消書がない場合，文書群を閲覧禁止範囲とする閲覧禁止書があるかどうかタグを検索して確認する（Ｓ０２）。閲覧禁止書があり，かつアクセス要求ユーザの属性が一般利用者である場合，文書群にアクセス不許可なのでエラーを返す（Ｓ２１）。
【００９３】
上記条件と一致しない場合，文書群ＡＣＬにユーザ属性に対するアクセス可の条件が存在するかどうか確認する（Ｓ０３）。アクセス可の条件がない場合，エラーを返す（Ｓ２１）。アクセス可の条件がある場合，条件を満たしているか確認する（Ｓ０４）。具体的には，アクセス可の条件となる有効な文書の有無を確認する。アクセス可の条件を満たしていない場合，エラーを返す（Ｓ２１）。
【００９４】
アクセス可の条件を満たしている場合，文書群を文書アクセス制御判定部４７とＸＭＬ要素アクセス制御判定部４８に送信する（Ｓ０５）。文書アクセス制御判定部４７とＸＭＬ要素アクセス制御判定部４８は独立して，処理を行う。
【００９５】
文書群を受信した文書アクセス制御判定部４７は，文書群の中に文書を取消範囲とする有効な取消書があるかどうかタグを検索して確認する（Ｓ０６）。取消書がある場合，取消対象の文書ＩＤを保存する（Ｓ０７）。取消書がない場合は，Ｓ０８に進む。文書を閲覧禁止範囲とする閲覧禁止書があるかどうかタグを検索して確認し，かつ見つかった閲覧禁止書の有効性をＳ０７で保存した取消対象文書ＩＤと決裁書から確認する（Ｓ０８）。
【００９６】
有効な閲覧禁止文書がある場合，閲覧禁止対象の文書ＩＤを保存する（Ｓ０９）。有効な閲覧禁止書がない場合は，Ｓ１０に進む。ユーザ属性に対するアクセス可の条件（文書ＡＣＬに記述されている）を満たしていない文書の文書ＩＤを保存する（Ｓ１０）。アクセス不許可の文書ＩＤを結果結合部に送信する（Ｓ１１）。
【００９７】
並行して文書群を受信したＸＭＬ要素アクセス制御判定部４８は，文書群の中にＸＭＬ要素を取消範囲とする有効な取消書があるかどうかタグを検索して確認する（Ｓ１２）。取消書がある場合，取消対象のＸＭＬ要素の文書ＩＤとＸＭＬ要素名を保存する（Ｓ１３）。取消書がない場合は，Ｓ１４に進む。ＸＭＬを閲覧禁止範囲とする有効な閲覧禁止書があるかどうかタグを検索して確認する（Ｓ１４）。
【００９８】
閲覧禁止書があった場合は，閲覧禁止対象のＸＭＬ要素の文書ＩＤとＸＭＬ要素名を保存する（Ｓ１５）。閲覧禁止書がない場合は，Ｓ１６に進む。ユーザ属性に対するアクセス可の条件（ＸＭＬ要素ＡＣＬに記述されている）を満たしていないＸＭＬ要素の文書ＩＤとＸＭＬ要素名を保存する（Ｓ１６）。アクセス不許可のＸＭＬ要素の文書ＩＤとＸＭＬ要素名を結果結合部に送信する（Ｓ１７）。
【００９９】
結果結合部４９は，アクセス制御判定結果結合処理として，文書アクセス制御判定部４７から送信されたアクセス不許可の文書ＩＤから各当する文書を間引き，併せて，ＸＭＬ要素アクセス制御判定部４８から送信されたアクセス不許可のＸＭＬ要素の内容を他の文字に置き換え（マスクし）（Ｓ１８），アクセス制御判定結果結合の済んだ文書群を表示用データ作成装置３０に送信する（Ｓ１９）。
【０１００】
表示用データ作成装置３０は，文書群の取消書と補正書を反映し，要求された文書を最新の状態に加工し，表示したり印刷したりすることにより，要求者に提供する（Ｓ２０）。
【０１０１】
もし，第四階層の各ＸＭＬ要素が，アクセス制御情報とアクセス制御対象の要素が含まれていない構造化された要素で構成されている場合は，Ｓ１８，Ｓ１９において，これらｎ階層のアクセス制御８０６も併せて行う。
【０１０２】
本発明は，上記実施形態で説明した，データの更新や削除が制限された電子文書管理システムに限らず，ＸＭＬ文書だけでなく，グループ構造を持つ電子文書のアクセス制御システムに広く適用可能である。
【図面の簡単な説明】
【０１０３】
【図１】本実施形態による文書管理システムの構成を示すブロック図である。
【図２】クライアントのハードウェア構成を示したブロック図である。
【図３】実施形態で扱う文書を例示する模式図である。
【図４】業務に関連する文書の構造を例示する図である。
【図５】各アクセス制御リスト（ＡＣＬ）のフォーマットを例示する模式図である。
【図６】クライアントが文書を要求してから，文書を取得するまでのデータの流れを示したシーケンス図である。
【図７】アクセス制御情報を取得する際のデータの流れを示したシーケンス図である。
【図８】アクセス制御を実施する際のデータの流れを示したシーケンス図である。
【図９】木構造のデータ群を示した模式図である。
【図１０】木構造のデータ群のアクセス制御処理を示したフローチャート図である。
【図１１】文書群のアクセス制御処理を示したフローチャート図である。
【図１２】文書群のアクセス制御結果結合処理を示したフローチャート図である。
【符号の説明】
【０１０４】
１０：クライアント
２０：ネットワーク
３０：表示用データ作成装置
３１：応答制御部
３２：文書データ解析部
３３：文書データ加工部
４０：アクセス制御装置
４１：アクセス制御部
４２：ポリシ管理部
４３：属性情報ＤＢ
４４：ポリシ情報ＤＢ
４５：応答制御部
４６：文書群アクセス制御判定部
４７：文書アクセス制御判定部
４８：ＸＭＬ要素アクセス制御判定部
４９：結果結合部
５０：文書ＤＢ
【技術分野】
【０００１】
本発明は，更新と削除を制限される電子文書の文書管理システム，アクセス制御方法，表示方法に関する。
【背景技術】
【０００２】
従来，データベースに保存されている電子文書を取得するために，ユーザは，クライアントとなるコンピュータ端末を使用し，インターネットやＬＡＮ（Local Area Network）を経由してデータベースサーバにアクセスし，電子文書の提供を受けている。データベースの管理者は，通常，許可していないユーザのアクセスを拒否できるように電子文書の管理を行っている。アクセス制御を行う際のルールをポリシと呼び，ポリシは，例えば，ユーザ名や職業，役職などの属性に基づいて決定される。
【０００３】
近年，電子文書の一例として，ＸＭＬ（eXtensible Markup Language）で書かれた電子文書，ＸＭＬ文書が利用され始めている。ＸＭＬ文書は，文書作成者によって独自に定義されたタグを用いて，内容を要素に分け，構造化することができる。そのため，例えば，ＸＭＬ文書の特定の要素へのアクセスを拒否するといった，要素単位でのアクセス制御が可能となる。
【０００４】
しかしながら，従来，アクセス可否を判定する際に用いられるポリシはアクセス制御対象のＸＭＬ文書内に記述されていた。そのため，属性の新規作成，更新や削除や，要素の新規作成，更新や削除などの，ポリシやＸＭＬ文書の変化に応じて，ＸＭＬ文書を修正する必要があり，ＸＭＬ文書の管理が困難であった。
【０００５】
この課題に対して，電子文書について，アクセス制御対象のＸＭＬ要素や利用者属性が追加・削除・変更された場合でも、ＸＭＬ要素毎のアクセス制御を可能とすることを目的とする技術がある（特許文献１，段落０００６，０００７，００１３参照）。この技術では，ＸＭＬ文書の要素毎に，ユーザのアクセス可否を示す制限情報をアクセス制限情報記憶手段（利用者属性データベース）に記憶しておき，クライアントのユーザがリクエストしたＸＭＬ文書の要素がアクセス可能であるかを制限情報に基づいて確認し，アクセス不可の要素を削除したＸＭＬ文書をクライアントに提供する。
【０００６】
一方，従来，紙文書として保管されていた文書の原本を，電子文書によって保管しようとする場合に，保管する組織や機関がその原本性を確保するためにどうすればよいか，が検討されている（例えば，非特許文献１）。非特許文献１には，原本性を確保するためには，改ざん防止機能が必要であること，より具体的には，保存期間内の電子文書データ（原本データ）は，変更・上書き・削除ができないようにし，データを変更する際は追記とすること，改変された文書を新しい版とすることで，文書の改変履歴や古い版の参照を可能とすること，等が記されている。
【０００７】
非特許文献１に記載されている要件に従うと，新規文書の追加，文書の読み出しのみが許可され，更新や削除に関しては，それらの情報を記述した文書が作成される。また，これらの文書は，ユーザの属性や事務処理の進行状況や，特定の文書へのアクセスを制限するアクセス制御情報により，アクセス可否が判定される。
【０００８】
【特許文献１】特開２００５−２７５７５９号公報
【非特許文献１】“原本性保証システムガイドライン（９ページ，５．２改ざん防止機能（１）書換・消去不可機能）”[online]，２００１年３月，財団法人ニューメディア開発協会，[２００７年６月４日検索]，インターネット<URL：http://www.nmda.or.jp/nmda/soc/pdf/genpon_guide.pdf>
【発明の開示】
【発明が解決しようとする課題】
【０００９】
非特許文献１に記されている要件を満たす文書管理システムにおいて，特許文献１に記載されているアクセス制御を行うとすると，以下に述べるいくつかの課題が生じる。
【００１０】
特許文献１が開示する技術では，ユーザの属性毎のアクセス制御情報により，電子文書に対するアクセス制御を行う。しかし，本発明の対象となる利用環境では，電子文書に対するアクセス可否を判定する条件として，利用者属性データベースに格納されているユーザの属性だけでなく，特定文書（事務処理の進行状況，例外的なアクセス制御情報）を参照することがある。このような場合は，これらの特定文書の存在や内容を確認する処理が必要となり，アクセス制御が複雑となり，処理に時間が掛かるようになる。
【００１１】
また，非特許文献１に記されている要件を満たす文書管理システムで扱われる電子文書は，ＸＭＬ文書のように独自に定義した要素により構造化された文書と，対象となる文書に関係する一連の事務処理に関連する文書とをまとめ，文書群というグループを構成することがある。
【００１２】
しかしながら，文書群単位でアクセス制御を実施すると，アクセス制御情報が記述された文書そのものがアクセス制限され，アクセス制御を行う前に，当該アクセス制御情報が削除され，アクセス制限が機能しなくなるおそれがある。
【課題を解決するための手段】
【００１３】
本発明は，電子文書管理システムにおける，正しいアクセス可否判定技術，および，高速なアクセス可否判定技術を提供する。
【００１４】
本発明の一態様は，文書ＤＢを備えた文書管理システムに於いて，電子文書要求に応じて，前記文書ＤＢに登録された電子文書群を構成する電子文書のうち，アクセス可能な電子文書を提供するアクセス制御装置である。
【００１５】
本発明が前提とする電子文書ＤＢは，各々の前記電子文書の内容修正手段を備えないものであり，本発明が扱う電子文書群には，起点となるルート電子文書と，前記ルート電子文書または前記ルート電子文書への処理指示電子文書に対する，他の処理指示電子文書とが，互いに関連づけられて含まれ，前記電子文書群の最新の状態は，前記ルート電子文書または前記ルート電子文書への処理指示電子文書の構成要素に対する，他の前記処理指示電子文書に記載された処理指示の反映により，表現されることを特徴とする。
【００１６】
さらに，本発明が提供するアクセス制御装置が備えるアクセス制御部は，前記電子文書群において，アクセス制御情報を含む処理指示電子文書の複数に対して，他の処理指示電子文書によるアクセス制御の対象か非対象かに係わらず，アクセスを行い，含まれる前記アクセス制御情報を取得し，取得した前記アクセス制御情報に基づく複数のアクセス制御判定結果を出力するアクセス制御判定部と，前記複数のアクセス制御判定結果を結合し，前記結合結果に基づき，アクセス可能な電子文書で構成された，アクセス可能電子文書群を，前記電子文書要求への応答として出力する結果結合部と，を備えることを特徴とする。
【００１７】
上記構成により，アクセス制御判定部は，アクセス不許可と判断される処理指示文書に記されているアクセス制御情報であっても，取得することが可能になり，取得したアクセス制御情報を結果結合部が結合することにより，正確なアクセス制御判定に基づく，アクセス可能電子文書群の取得が可能になる。
【００１８】
より具体的には，前記アクセス制御装置の前記アクセス制御部は，前記複数のアクセス制御判定として，前記電子文書群に含まれる，アクセス制御情報を含む処理指示電子文書に対するアクセス制御判定と，当該処理指示電子文書を構成する構成要素に対するアクセス制御判定と，を独立して，例えば，並行に行うものである。
【００１９】
上記構成により，電子文書群が，アクセス制御対象となる，電子文書とその構成要素からなる場合であっても，漏れのないアクセス制御情報の取得と，正確なアクセス制御判定と，が可能になる。
【００２０】
また，前記アクセス制御装置の前記アクセス制御部は，前記ポリシ管理部が管理するポリシ情報と，前記クライアントを利用するユーザＩＤとを参照し，前記ルート電子文書に対するアクセス制御判定を行い，前記判定結果が，アクセス不許可である場合は，アクセス制御情報を含む前記処理指示電子文書へのアクセスと，当該アクセスにより取得するアクセス制御情報に基づく前記アクセス制御判定と，を省略し，受信した前記電子文書要求に対して，アクセス不許可を応答することを特徴とする。
【００２１】
この構成により，電子文書群全体がアクセス不許可の場合に，高速応答が可能になる。
【００２２】
上記態様によれば，アクセス制御情報を記述した文書を削除することがないので，アクセス制御を確実に行うことが可能になる。
【００２３】
また，アクセス不許可の判定結果を得た層より下位の層の，アクセス制御の判定と実行を省略することで，クライアントに対して結果を早く応答することができるため，利便性が向上する。
【発明の効果】
【００２４】
本発明によれば，電子文書へのアクセス制御機能を備えた文書管理システムに於いて，アクセス制御判定を簡単に行うことができる。
【発明を実施するための最良の形態】
【００２５】
本実施形態では，ある組織に対して，外部の申請者が文書を提出して処理を申請し，提出された文書が組織内部で処理され，提出された文書や内部処理結果を外部の第三者が申請により閲覧できる，という文書管理システムについて説明する。なお，本明細書を通じて，文書とは，ディジタル化された電子文書を指す。
【００２６】
図１は，本発明の一実施形態である文書管理システムの構成を示すブロック図の一例である。
【００２７】
クライアント１０は，文書を要求するユーザ端末である。ユーザとして，外部から文書を閲覧する一般利用者，外部から文書を申請する申請者，文書管理システムで業務を行う職員が存在する。図1ではクライアント１０として１台示しているが，上記ユーザの種類別に複数のクライアント１０が接続されることが望ましい。
【００２８】
ネットワーク２０はインターネットやＬＡＮであり，一般利用者，申請者，職員は，それぞれ異なるクライアント１０を用いネットワーク２０を経由して文書管理システムと通信し，処理を行う。
【００２９】
表示用データ作成装置３０は，クライアント１０に要求された文書を最新の状態に加工する装置である。文書データ解析部３２は、アクセス制御装置４０から取得した文書群の中に存在する更新・削除に関する文書（処理指示文書）から，文書を修正するための情報を解析する。文書データ加工部３３は、文書の要素の書き換えや削除を行う。そして，最新状態にした文書をクライアント１０に送信する。また，アクセス制御装置４０からユーザから要求された文書がアクセス不許可である結果を取得した場合は，エラー結果をクライアント１０に送信する。
【００３０】
アクセス制御装置４０は，文書ＤＢ５０から取得した文書群のアクセス制御を行い，アクセス不許可部分を削除して，表示用データ作成装置３０に送信する。アクセス制御装置４０は，アクセス制御部４１，ポリシ管理部４２，属性情報ＤＢ４３，ポリシ情報ＤＢ４４から構成される。
【００３１】
ポリシ管理部４２は，属性情報ＤＢ４３やポリシ情報ＤＢ４４で管理される情報の作成や更新を行う。また，アクセス制御部４１がアクセス制御を行う際に，アクセス制御に必要な属性情報ＤＢ４３やポリシ情報ＤＢ４４の情報をアクセス制御部４１に送信する。
【００３２】
属性情報ＤＢ４３は，ユーザを一意に識別するユーザＩＤに属性を付与し，それをリスト化した属性情報を保存している。本実施形態の文書管理システムでは，ユーザの属性には，一般利用者，申請者，職員の３種類があり，職員には更に役職・所属に関する属性も付与される。
【００３３】
ポリシ情報ＤＢ４４は，アクセス制御を実施する上でのポリシを記述した，アクセス制御リストを保存している。ポリシは，各文書群，文書，文書要素にアクセスできる条件が各ユーザ属性に対してリスト化して記述されている。
【００３４】
アクセス制御部４１は，文書ＤＢ５０から取得した文書群にポリシ管理部４２から取得した属性情報とポリシに基づいて，アクセス制御を行う。アクセス制御部４１は，応答制御部４５，文書群アクセス制御判定部４６，文書アクセス制御判定部４７，ＸＭＬ要素アクセス制御判定部４８，結果結合部４９から構成される。
【００３５】
応答制御部４５は，ポリシ管理部４２から取得した属性情報を参照し，アクセス制御前の段階で取得したユーザＩＤでユーザの属性を確認する。ユーザＩＤは、図６に示す文書要求４０１に含まれている。
【００３６】
応答制御部４５は，ユーザの属性とポリシ管理部４２から取得したポリシとを文書群アクセス制御判定部４６，文書アクセス制御判定部４７，ＸＭＬ要素アクセス制御判定部４８からの要求に応じて，各部に送信する。
【００３７】
文書群アクセス制御判定部４６は，ユーザから要求された文書が含まれる文書群のアクセス可否をユーザの属性とポリシに基づいて判定する。アクセス可の場合は文書群を文書アクセス制御判定部４７とＸＭＬ要素アクセス制御判定部４８に送信する。アクセス不許可の場合はエラー結果を表示用データ作成装置３０に返す。
【００３８】
文書アクセス制御判定部４７は，文書群に含まれる全ての文書のアクセス可否をユーザの属性とポリシに基づいて判定する。アクセス不許可の文書があった場合は，不許可文書のＩＤを結果結合部４９に送信する。
【００３９】
ＸＭＬ要素アクセス制御判定部４８は，文書群に含まれる文書のＸＭＬ要素のアクセス可否をユーザ属性とポリシで判定する。アクセス不許可のＸＭＬ要素があった場合は，アクセス不許可のＸＭＬ要素が含まれる文書の文書ＩＤとＸＭＬ要素名を結果結合部４９に送信する。
【００４０】
結果結合部４９は，文書アクセス制御判定部４７，ＸＭＬ要素アクセス制御判定部４８から送信されたアクセス不許可の文書ＩＤとＸＭＬ要素名を元に，アクセス不許可部分を削除，あるいは他の文字に置き換え，アクセス可能な文書群に加工し，アクセス制御済文書群として，表示データ作成装置３０に送信する（詳細は後述する）。
【００４１】
文書ＤＢ５０は，文書管理システムで扱われる文書を保存しているデータベース装置である。本実施形態の文書管理システムでは，扱う文書の修正を許可しない。そのため，文書全体や文書の項目の更新や削除を制限するために，文書ＤＢ５０に用いる記録媒体として，書き込みは出来るが消去ができない追記型と呼ばれるもの（例えば，ＤＶＤ−Ｒ）を用いることが望ましい。ただし，これ以外の技術を用いても実現しても構わない。
【００４２】
修正を許可しない，という前提のため，文書の最新の状態は，ルート文書またはルート電子文書への処理指示文書の構成要素に対する，他の処理指示文書に記載された処理指示の反映により，表現する。
【００４３】
したがって，本実施形態の文書管理システムでは，起点となるルート文書と，ルート文書またはルート文書への処理指示文書に対する，他の処理指示文書とが，互いに関連づけられた電子文書群を処理対象とする。
【００４４】
図１に示すクライアント１０，表示用データ作成装置３０，アクセス制御装置４０，文書ＤＢ５０は，例えば，図２に示す一般的な情報処理装置を用いて実現することが可能である。図２のハードウェア構成図に示す通り，情報処理装置は，ＣＰＵ１２と，メモリ１３と，図１に示すネットワーク２０を介して他の装置と通信を行うための通信装置１４と，キーボードやマウス等の入力装置１５と，モニタやプリンタ等の出力装置１６と，読取装置１７と，ハードディスク等の外部記憶装置１８とが，バスなどの内部通信線１１を介して接続されている。
【００４５】
また，読取装置１７にはＩＣカードやＵＳＢメモリのような，可搬性を有する記憶媒体１９を接続することができる。以下に説明する各装置の各機能（処理部）は，これらの機能を実装したプログラムをメモリ１３上にロードし，それをＣＰＵ１２が実行することにより実現できる。
【００４６】
また，アクセス制御装置４０における属性情報ＤＢとポリシ情報ＤＢ，および，文書ＤＢ５０は，それぞれ一つ以上の外部記憶装置１８を用いることにより実現できる。
【００４７】
また，各プログラムは，予め外部記憶装置１８に格納されていても良いし，必要なときに，上記情報処理装置が利用可能な媒体を介して、他の装置から外部記憶装置１８に導入されてもよい。媒体とは、たとえば、読取装置１７を用いて利用可能な記憶媒体１９、または通信装置１４を用いて利用可能な通信媒体（すなわちネットワーク２０またはネットワーク２０を伝搬する搬送波やディジタル信号）を指す。
【００４８】
図３に本実施形態で扱う文書の書式を例示する。
【００４９】
図３(ａ)は，文書管理システムで扱われる文書のフォーマット例１０１である。本実施形態において，文書とは独自に定義された要素から構造化された電子文書で，フォーマット例１０１では，ＸＭＬで記述され，複数のＸＭＬ要素から構成されている。文書ＩＤ１０１１，ルート文書ＩＤ１０１２，親文書ＩＤ１０１３，文書名１０１４，提出日１０１５のＸＭＬ要素は，全ての文書に共通に含まれる。文書ＩＤ１０１１は，文書を一意に識別するためのＸＭＬ要素である。ルート文書ＩＤ１０１２は，一連の業務に関連する文書群の中で，処理の起点となる文書の文書ＩＤを示したＸＭＬ要素である。親文書ＩＤ１０１３は，自身の文書の親となる文書の文書ＩＤを示したＸＭＬ要素である。文書名１０１４は，文書の種類を識別するための名称を示したＸＭＬ要素である。提出日１０１５は，文書が文書管理システムに登録された日付を示したＸＭＬ要素である。それぞれの文書には，前述した共通するＸＭＬ要素の次に，文書内容を記述したＸＭＬ要素１０１６が続き，ＸＭＬ要素名を文書名とする。さらに，文書内容を記述したＸＭＬ要素１０１６は，様々な項目のＸＭＬ要素１０１７から構成され，それぞれの項目には独自のＸＭＬ要素名が付く。また，文書の中には，外部の申請人が作成する申請文書と職員が作成する内部文書があり，それぞれ様々な種類の文書がある。以下にその一例を示す。
【００５０】
図３(ｂ)は，外部の申請人が提出する提出文書１０２の一例で，申請人の名前を示した要素，申請人が提出する内容を示した要素から構成されている。提出文書１０２には，ルート文書や親文書が存在しない。これは，申請人が作成する申請文書である。
【００５１】
図３(ｃ)は，申請人が提出した文書に関連する業務が職員によって終了したことを表す完了書１０３の一例で，完了処理の内容を示した要素から構成されている。これは，職員が作成する内部文書である。
【００５２】
図３(ｄ)は，過去に登録した文書に対して，文書を処理した職員の上長の決裁が下りたこと示す決裁書１０４の一例で，決裁者の名前を示した要素，決裁内容を示した要素から構成される。これは，職員が作成する内部文書である。
【００５３】
図３(ｅ)は，一般利用者や申請者が閲覧するのに不適切な文書群，文書，ＸＭＬ要素があった場合にその閲覧禁止内容を示す閲覧禁止書１０５の一例で，閲覧禁止範囲（文書群，文書，ＸＭＬ要素の何れか）を示した要素，閲覧禁止となった理由を示した要素から構成される。これは，職員が作成する内部文書である。
【００５４】
図３(ｆ)は，過去に登録した文書に削除したい内容がある場合に職員や申請者が作成する取消書１０６の一例で，取消範囲（文書群，文書，ＸＭＬ要素の何れか）を示した要素，取消対象の名称（文書群，文書ＩＤ，ＸＭＬ要素名の何れか）を示した要素から構成される。職員が作成した場合は，内部文書，申請者が作成した場合は，申請文書となる。
【００５５】
図４は，一連の業務に関連する文書群の構造を例示する図である。
【００５６】
図４(ａ)は，文書群の木構造を示す。申請者から送信される申請文書２０１がルート（根）文書となり，追加された処理指示文書（２０２〜２１２）が，分岐した枝それぞれにおいて，処理の流れに従って順に繋がり，親子関係を持つ。
【００５７】
これらの親子関係を，図４(ｂ)に示す管理テーブルで管理する。管理テーブルは，例えば，ルート文書ＩＤを識別子として，文書ＤＢ５０に格納すればよく，新たな電子文書を電子文書群に追加する際には，ルート文書ＩＤをキーとして，対象となる管理テーブルを検索し更新すればよい。
【００５８】
新たな電子文書は，クライアント１０を操作する職員または一般利用者，申請者が追加作成するものであるから，クライアント１０から文書が要求された場合には，アクセス制御装置４０，表示用データ作成装置３０は，電子文書群と併せて管理テーブルも取得し，クライアント１０に応答することにより，管理テーブルの更新も可能になる。
【００５９】
図４では，申請文書２０１，補正文書２０６のように，申請者が操作するクライアント１０から受け付けた文書を２重線枠で示す。申請文書２０１，補正文書２０６には，申請を受け付けた職員による，受付処理に関連する業務が終了したことを表す完了書２０７，完了書２０９を付与する。
【００６０】
文書を受け付けた組織（機関）内部の文書を一重線枠で示す。内部文書の中でいくつかは，承認者の決裁が下りたことを示す決裁書（２０４，２０８，２１０）が付与されることで，有効な文書となる。
【００６１】
また，文書または文書群を一般利用者に公開できる段階になると，文書群全体を公開の対象とする公開書２１１が付与される。ただし，文書群が公開可能になった場合でも，公開が許可されない文書がある場合は,個別にアクセス制御が行われる。
【００６２】
完了書２０７，完了書２０９，公開書２１１は，業務の状況を表す文書となる。
【００６３】
また，各文書に，一般利用者や申請者が閲覧するのに不適切な文書やＸＭＬ要素があった場合，職員が，禁止対象者と，禁止対象文書または項目を指定した閲覧禁止書２０３を発行する。閲覧禁止書２０３が発行されると，たとえば，一般利用者は全文書の内容や項目が閲覧禁止になり，申請者は内部文書の内容や項目が閲覧禁止となる。図４では，審査指令書２０２には閲覧禁止書２０３が発行されているため，文書全体あるいはＸＭＬ要素が一般利用者や申請者に閲覧されないように処理される。具体的には，たとえば，他の文字への置き換え処理を行う。
【００６４】
また，仕様として，各文書の訂正や削除を禁じているので，訂正や削除が必要な場合は，補正文書２０６や取消書２１２を職員や申請者が作成して追加する。図４では，公開書２１１は，取消書２１２が発行されているので，有効ではなくなる。取消書が付与されていない文書（もし，決裁書を必要とする場合は，さらに，決裁書が付与されている文書）を有効な文書と呼ぶ。
【００６５】
図５は，アクセス制御リストの構成を例示する図である。
【００６６】
図５(ａ)は，ポリシ管理部４２が保存しているＸＭＬで記述されたポリシ（アクセス制御リスト(ＡＣＬと略す)という）のフォーマット例３０１である。各文書群のアクセス制御のポリシを記述した文書群ＡＣＬ３０２，各文書のアクセス制御のポリシを記述した文書ＡＣＬ３０３，各ＸＭＬ要素のアクセス制御のポリシを記述したＸＭＬ要素ＡＣＬ３０４のように，構造化された各グループのポリシから構成されている。ＡＣＬのバージョンの管理はポリシ管理部で行う。
【００６７】
図５(ｂ)は，文書群ＡＣＬの一例３０２で，ある案件の文書群に対する，各ユーザ属性におけるアクセス可の条件を示すポリシが例示されている。図５(ｂ)のポリシ例によれば，属性が一般利用者であるユーザは，文書群の中に公開書があり，さらに文書群全体に対する閲覧禁止書が存在しない場合，当該案件の文書群にアクセスすることができる。属性が申請者や職員であるユーザは，文書群の中の文書に関係なく，全ての場合で当該案件件の文書群にアクセスすることができる。
【００６８】
図５(ｃ)は，文書ＡＣＬの一例３０３で，提出文書に対するポリシが例示されている。図５(ｃ)のポリシ例によれば，各ユーザ属性が，アクセス可の条件である一般利用者であるユーザは，文書群の中に完了書があり，さらに該当する提出文書に対する閲覧禁止書が存在しない場合，提出文書にアクセスすることができる。属性が申請者や職員であるユーザは，文書群の中の文書に関係なく，全ての場合で事件の文書群にアクセスすることができる。
【００６９】
図５(ｄ)は，ＸＭＬ要素ＡＣＬの一例３０４で，個人情報のＸＭＬ要素に対するポリシが例示されている。図５(ｄ)のポリシ例によれば，各ユーザ属性が，アクセス可の条件である一般利用者であるユーザは，アクセス可の条件が指定されていないため，個人情報のＸＭＬ要素にアクセスすることができない。属性が申請者や職員であるユーザは，全ての場合で事件の文書群にアクセスすることができる。
【００７０】
図６〜図８は，クライアント１０が文書を要求してから，システムが結果を返すまでのデータと処理を処理階層別に表したシーケンス図である。
【００７１】
図６について説明する。クライアント１０は，クライアント１０の出力装置１６に表示されている文書名を選択し，クライアント１０の利用者の識別子を伴う文書管理システムに文書要求（文書名）４０１を出す。
【００７２】
表示用データ作成装置３０の応答制御部３１は，クライアント１０から取得した文書要求４０１に含まれる文書名を，対応する文書ＩＤ４０２に変換した，文書要求を文書ＤＢ５０に送信する。
【００７３】
文書ＤＢ５０は，要求された文書ＩＤ４０２を備える文書について文書ＤＢ５０で記憶している文書を検索し，該当する文書を取得する。取得した文書に記述されているルート文書ＩＤを確認し，そのルート文書ＩＤが記述されている文書についてさらに検索し，取得する。取得した全ての文書は，ルート文書とルート文書または他の処理指示文書を親とする処理指示文書が，図４（ｂ）の管理テーブルに基づく，図４（ａ）のような構成を持つ文書群である。
そして，アクセス制御装置４０に文書応答（文書群）を出す。
【００７４】
アクセス制御装置４０は，表示用データ作成装置３０がクライアント１０から取得した，クライアント１０のユーザ識別子を取得し，ポリシ管理部４２からルート文書ＩＤに基づきアクセス制御情報を取得し（４０４），文書ＤＢ５０から取得した文書群にアクセス制御を行う（４０５）。その結果，部分的に削除あるいは他の文字に置き換えられたアクセス制御済文書群４０６が作成され，それらを表示用データ作成装置３０に送信する。
【００７５】
表示用データ作成装置３０では，アクセス制御済文書群４０６の中に含まれている文書の更新や削除に関する文書からユーザから要求された文書を修正するための情報を参照し，文書を最新の状態に加工し（４０７），加工した文書４０８をクライアント１０に送信する。
【００７６】
図７は，図６のアクセス制御装置４０アクセス制御情報取得４０４を詳細に説明したシーケンス図である。アクセス制御部４１は，ポリシ管理部４２に属性情報とＡＣＬの要求５０１を出す。
【００７７】
ポリシ管理部４２は，属性情報とＡＣＬの要求５０１を受けて，属性情報要求５０２を属性ＤＢ８に，ＡＣＬ要求をポリシＤＢ９に出す。要求を受けて，属性ＤＢ８は，最新の属性情報５０３をポリシ管理部に送信し，ポリシＤＢ９は，最新のＡＣＬをポリシ管理部に送信する。ポリシ管理部４２は，取得した属性情報とＡＣＬ５０６をアクセス制御部４１に送信する
図８は，図７のアクセス制御部４１を詳細に説明したシーケンス図である。応答制御部４５は，ポリシ管理部４２から取得した属性情報，ＡＣＬ６０２を，文書ＤＢ５０は文書群６０１を，それぞれ文書群アクセス制御判定部４６に送信する。
【００７８】
文書群アクセス制御判定部４６は，送信された文書群６０１に対し，属性情報とＡＣＬ６０２に基づいたアクセス制御判定を実施する（６０３）。文書群６０１中の全ての文書がアクセス不許可の場合は，次のアクセス制御に進まず，応答制御部４５を介して，表示用データ作成装置３０にアクセス不許可というエラー６０４を返す。文書群６０１にアクセス可の場合は，文書群アクセス制御判定部４６は文書群６０１をそれぞれ，文書アクセス制御判定部４７とＸＭＬ要素アクセス制御判定部４８，結果結合部４９に送信する。
【００７９】
文書アクセス制御判定部４７は，文書群アクセス制御判定部４６から送信された文書群６０１と，属性情報とＡＣＬ６０６に基づいてアクセス制御判定を実施する（６０７）。アクセス制御判定の結果，アクセス不許可となった文書ＩＤ６０８を結果結合部４９に送信する。
【００８０】
ＸＭＬ要素アクセス制御判定部４８は，文書群アクセス制御判定部４６から送信された文書群６０１と，属性情報とＡＣＬ６１０に基づいてアクセス制御判定を実施する（６１１）。アクセス制御判定の結果，アクセス不許可となったＸＭＬ要素の文書ＩＤ，ＸＭＬ要素名６１３を結果結合部４９に送信する。
【００８１】
結果結合部４９は，送信された文書ＩＤ６０８とＸＭＬ要素の文書ＩＤ，ＸＭＬ要素名６１３を参照して，文書群６０１のアクセス不許可部分を削除あるいは他の文字に置き換え，アクセス制御結果を結合する（６１４）。
【００８２】
図９は，図４に示す文書群を構成している，文書と，各文書中のＸＭＬ要素と，各ＸＭＬ要素の中をさらに構造化した要素と，をそれぞれ異なる階層に位置づけ，各階層間の関係を木構造で示した模式図である。この木構造をあらわすデータは，図4(ｂ)に示す管理テーブルと併せて，アクセス制御装置４０，表示用データ作成装置３０が作成,管理すればよい。
データ群は，複数の階層より構成され，７０１から７１３は各階層の構成要素である。このデータ群を本実施形態の文書管理システムで扱われる文書に適応させると，第一階層は申請した文書に関係する一連の事務処理に関連する文書をまとめた文書群になる。第二階層は文書，第三階層は文書のＸＭＬ要素になる。第四階層以降は，各ＸＭＬ要素の中をさらに構造化した要素になる。図９の点線部分はアクセス不許可であることを示し，ある階層の要素がアクセス不許可となるとその要素の下位層全てもアクセス不許可となる。例えば，第二階層にある要素７０３がアクセス不許可であるため，下位層の要素７０７，７０８，７１２もアクセス不許可となっている。
【００８３】
図９では，要素７０３の文書には要素７０６の文書に関するアクセス制御情報が記述され，要素７１０の文書には要素７１１の文書に関するアクセス制御情報が記述されているものとする。
【００８４】
従来技術のように階層順にアクセス制御を行うと，第２階層に対するアクセス制御で７０３を親とする枝，第３階層に対するアクセス制御で７０５を親とする枝がアクセス不許可となる。そのため，従来技術の課題として述べたように，第３階層に対するアクセス制御，第４階層に対するアクセス制御で，欠落するアクセス制御情報が存在し，７０６，７１１のアクセス制御を適切に行うことができない。
【００８５】
図１０は，図９のデータ群に対するアクセス制御処理を示したフローチャートである。図９の第一階層には，アクセス制御情報とアクセス制御対象の要素が含まれていないので，第一階層アクセス制御８０１を最初に行う。第一階層の全ての要素がアクセス不許可だった場合，他の階層のアクセス制御を省略することができるため，他の場合と比較して応答処理が早くなる。
【００８６】
一方，図９の第二階層以降で，アクセス制御情報とアクセス制御対象の要素が含まれ，互いに影響し合う階層について，アクセス制御を並列に行う。そして，アクセス制御結果結合８０５で，並列に行ったアクセス制御の結果を結合する図１０では，第二階層８０２〜第四階層８０４が該当すると仮定している）。
【００８７】
続けて，アクセス制御情報とアクセス制御対象の要素が含まれていない下位層のアクセス制御を，第ｎ階層アクセス制御８０６まで行う。
【００８８】
図１１は，図１０のフローチャート図を文書群，文書，ＸＭＬ要素というデータ構造に応用し，図８の文書群アクセス制御，文書アクセス制御，ＸＭＬ要素アクセス制御の判定処理を説明したフローチャート図である。また、図１２は、アクセス制御結果結合の処理を説明したフローチャート図である。
【００８９】
図１１のＳ０１からＳ０５が文書群アクセス制御判定，Ｓ０６からＳ１１が文書アクセス制御判定，Ｓ１２からＳ１７がＸＭＬ要素アクセス制御判定，Ｓ１８からＳ１９がアクセス制御判定結果結合の処理である。
【００９０】
また、図１１、図１２の処理を図１０に対応させると、Ｓ０１からＳ０５が第一階層アクセス制御８０１、Ｓ０６からＳ１１が第二階層アクセス制御８０２、Ｓ１２からＳ１７が第三階層アクセス制御８０３、Ｓ１８からＳ１９がアクセス制御結果結合８０５に当たる。
【００９１】
文書群アクセス制御判定部４６は，文書群の中の処理指示文書に，文書群を取消範囲とする有効な取消書があるかどうかタグを検索して確認する（Ｓ０１）。取消書がある（文書群中の全ての文書が取り消されている）場合，要求する文書は存在しないことになるので，エラーを返す（Ｓ２１）。
【００９２】
取消書がない場合，文書群を閲覧禁止範囲とする閲覧禁止書があるかどうかタグを検索して確認する（Ｓ０２）。閲覧禁止書があり，かつアクセス要求ユーザの属性が一般利用者である場合，文書群にアクセス不許可なのでエラーを返す（Ｓ２１）。
【００９３】
上記条件と一致しない場合，文書群ＡＣＬにユーザ属性に対するアクセス可の条件が存在するかどうか確認する（Ｓ０３）。アクセス可の条件がない場合，エラーを返す（Ｓ２１）。アクセス可の条件がある場合，条件を満たしているか確認する（Ｓ０４）。具体的には，アクセス可の条件となる有効な文書の有無を確認する。アクセス可の条件を満たしていない場合，エラーを返す（Ｓ２１）。
【００９４】
アクセス可の条件を満たしている場合，文書群を文書アクセス制御判定部４７とＸＭＬ要素アクセス制御判定部４８に送信する（Ｓ０５）。文書アクセス制御判定部４７とＸＭＬ要素アクセス制御判定部４８は独立して，処理を行う。
【００９５】
文書群を受信した文書アクセス制御判定部４７は，文書群の中に文書を取消範囲とする有効な取消書があるかどうかタグを検索して確認する（Ｓ０６）。取消書がある場合，取消対象の文書ＩＤを保存する（Ｓ０７）。取消書がない場合は，Ｓ０８に進む。文書を閲覧禁止範囲とする閲覧禁止書があるかどうかタグを検索して確認し，かつ見つかった閲覧禁止書の有効性をＳ０７で保存した取消対象文書ＩＤと決裁書から確認する（Ｓ０８）。
【００９６】
有効な閲覧禁止文書がある場合，閲覧禁止対象の文書ＩＤを保存する（Ｓ０９）。有効な閲覧禁止書がない場合は，Ｓ１０に進む。ユーザ属性に対するアクセス可の条件（文書ＡＣＬに記述されている）を満たしていない文書の文書ＩＤを保存する（Ｓ１０）。アクセス不許可の文書ＩＤを結果結合部に送信する（Ｓ１１）。
【００９７】
並行して文書群を受信したＸＭＬ要素アクセス制御判定部４８は，文書群の中にＸＭＬ要素を取消範囲とする有効な取消書があるかどうかタグを検索して確認する（Ｓ１２）。取消書がある場合，取消対象のＸＭＬ要素の文書ＩＤとＸＭＬ要素名を保存する（Ｓ１３）。取消書がない場合は，Ｓ１４に進む。ＸＭＬを閲覧禁止範囲とする有効な閲覧禁止書があるかどうかタグを検索して確認する（Ｓ１４）。
【００９８】
閲覧禁止書があった場合は，閲覧禁止対象のＸＭＬ要素の文書ＩＤとＸＭＬ要素名を保存する（Ｓ１５）。閲覧禁止書がない場合は，Ｓ１６に進む。ユーザ属性に対するアクセス可の条件（ＸＭＬ要素ＡＣＬに記述されている）を満たしていないＸＭＬ要素の文書ＩＤとＸＭＬ要素名を保存する（Ｓ１６）。アクセス不許可のＸＭＬ要素の文書ＩＤとＸＭＬ要素名を結果結合部に送信する（Ｓ１７）。
【００９９】
結果結合部４９は，アクセス制御判定結果結合処理として，文書アクセス制御判定部４７から送信されたアクセス不許可の文書ＩＤから各当する文書を間引き，併せて，ＸＭＬ要素アクセス制御判定部４８から送信されたアクセス不許可のＸＭＬ要素の内容を他の文字に置き換え（マスクし）（Ｓ１８），アクセス制御判定結果結合の済んだ文書群を表示用データ作成装置３０に送信する（Ｓ１９）。
【０１００】
表示用データ作成装置３０は，文書群の取消書と補正書を反映し，要求された文書を最新の状態に加工し，表示したり印刷したりすることにより，要求者に提供する（Ｓ２０）。
【０１０１】
もし，第四階層の各ＸＭＬ要素が，アクセス制御情報とアクセス制御対象の要素が含まれていない構造化された要素で構成されている場合は，Ｓ１８，Ｓ１９において，これらｎ階層のアクセス制御８０６も併せて行う。
【０１０２】
本発明は，上記実施形態で説明した，データの更新や削除が制限された電子文書管理システムに限らず，ＸＭＬ文書だけでなく，グループ構造を持つ電子文書のアクセス制御システムに広く適用可能である。
【図面の簡単な説明】
【０１０３】
【図１】本実施形態による文書管理システムの構成を示すブロック図である。
【図２】クライアントのハードウェア構成を示したブロック図である。
【図３】実施形態で扱う文書を例示する模式図である。
【図４】業務に関連する文書の構造を例示する図である。
【図５】各アクセス制御リスト（ＡＣＬ）のフォーマットを例示する模式図である。
【図６】クライアントが文書を要求してから，文書を取得するまでのデータの流れを示したシーケンス図である。
【図７】アクセス制御情報を取得する際のデータの流れを示したシーケンス図である。
【図８】アクセス制御を実施する際のデータの流れを示したシーケンス図である。
【図９】木構造のデータ群を示した模式図である。
【図１０】木構造のデータ群のアクセス制御処理を示したフローチャート図である。
【図１１】文書群のアクセス制御処理を示したフローチャート図である。
【図１２】文書群のアクセス制御結果結合処理を示したフローチャート図である。
【符号の説明】
【０１０４】
１０：クライアント
２０：ネットワーク
３０：表示用データ作成装置
３１：応答制御部
３２：文書データ解析部
３３：文書データ加工部
４０：アクセス制御装置
４１：アクセス制御部
４２：ポリシ管理部
４３：属性情報ＤＢ
４４：ポリシ情報ＤＢ
４５：応答制御部
４６：文書群アクセス制御判定部
４７：文書アクセス制御判定部
４８：ＸＭＬ要素アクセス制御判定部
４９：結果結合部
５０：文書ＤＢ
【特許請求の範囲】
【請求項１】
文書ＤＢを備えた文書管理システムに於いて，電子文書要求に応じて，前記文書ＤＢに登録された電子文書群を構成する電子文書のうち，アクセス可能な電子文書を提供するアクセス制御装置であって，
前記電子文書ＤＢは，各々の前記電子文書の内容修正手段を備えず，
前記電子文書群には，起点となるルート電子文書と，前記ルート電子文書または前記ルート電子文書への処理指示電子文書に対する，他の処理指示電子文書とが，互いに関連づけられて含まれるものであり，
前記電子文書群の最新の状態は，前記ルート電子文書または前記ルート電子文書への処理指示電子文書の構成要素に対する，他の前記処理指示電子文書に記載された処理指示の反映により，表現されるものであり，
前記アクセス制御装置が備えるアクセス制御部は，
前記電子文書群において，アクセス制御情報を含む処理指示電子文書の複数に対して，他の処理指示電子文書によるアクセス制御の対象か非対象かに係わらず，アクセスを行い，含まれる前記アクセス制御情報を取得し，取得した前記アクセス制御情報に基づく複数のアクセス制御判定結果を出力するアクセス制御判定部と，
前記複数のアクセス制御判定結果を結合し，前記結合結果に基づき，アクセス可能な電子文書で構成された，アクセス可能電子文書群を，前記電子文書要求への応答として出力する結果結合部と，を備える
ことを特徴とするアクセス制御装置。
【請求項２】
請求項１に記載のアクセス制御装置において，
前記アクセス制御装置の前記アクセス制御部は，
前記複数のアクセス制御判定として，前記電子文書群に含まれる，アクセス制御情報を含む処理指示電子文書に対するアクセス制御判定と，当該処理指示電子文書を構成する構成要素に対するアクセス制御判定と，を独立して行う
ことを特徴とするアクセス制御装置。
【請求項３】
請求項１に記載のアクセス制御装置において，
前記アクセス制御装置は，
ユーザを識別するユーザＩＤと，当該ユーザＩＤに付与された属性との対応付けを記憶する属性情報ＤＢと，前記アクセス制御判定の条件を記したポリシ情報を記憶するポリシ情報ＤＢと，を管理するポリシ管理部を備え，
前記アクセス制御部は，前記アクセス制御判定において，前記ポリシ管理部に管理されるポリシ情報を参照する
ことを特徴とするアクセス制御装置。
【請求項４】
請求項１に記載のアクセス制御装置において，
前記アクセス制御部は，
前記ポリシ管理部が管理するポリシ情報と，前記クライアントを利用するユーザＩＤとを参照し，前記ルート電子文書に対するアクセス制御判定を行い，
前記判定結果が，アクセス不許可である場合は，アクセス制御情報を含む前記処理指示電子文書へのアクセスと，当該アクセスにより取得するアクセス制御情報に基づく前記アクセス制御判定と，を省略し，
受信した前記電子文書要求に対して，アクセス不許可を応答する
ことを特徴とするアクセス制御装置。
【請求項５】
請求項１に記載のアクセス制御装置において，
前記処理指示電子文書が複数の文書要素からなる場合に，
前記アクセス制御判定部は，
電子文書群単位でのアクセス可否判定を行う文書群アクセス制御判定部と，処理指示電子文書単位でのアクセス可否判定を行う文書アクセス制御判定部と，文書要素単位でのアクセス可否判定を行う文書要素アクセス制御判定部とを備え，
前記文書群アクセス制御判定部は，電子文書群単位でのアクセス制御判定結果が不許可でなければ，前記文書アクセス制御判定部と，前記文書要素アクセス制御判定部は，並行して，処理指示電子文書のアクセス制御判定処理と，文書要素のアクセス制御判定と，を行う
ことを特徴とするアクセス制御装置。
【請求項６】
請求項１に記載のアクセス制御装置において，
前記結果結合部は，
前記複数のアクセス制御判定結果に基づき，アクセス不許可の前記電子文書および前記構成要素を削除し，および，他の文字に置き換えることにより，前記アクセス可能電子文書群を構成する
ことを特徴とするアクセス制御装置。
【請求項１】
文書ＤＢを備えた文書管理システムに於いて，電子文書要求に応じて，前記文書ＤＢに登録された電子文書群を構成する電子文書のうち，アクセス可能な電子文書を提供するアクセス制御装置であって，
前記電子文書ＤＢは，各々の前記電子文書の内容修正手段を備えず，
前記電子文書群には，起点となるルート電子文書と，前記ルート電子文書または前記ルート電子文書への処理指示電子文書に対する，他の処理指示電子文書とが，互いに関連づけられて含まれるものであり，
前記電子文書群の最新の状態は，前記ルート電子文書または前記ルート電子文書への処理指示電子文書の構成要素に対する，他の前記処理指示電子文書に記載された処理指示の反映により，表現されるものであり，
前記アクセス制御装置が備えるアクセス制御部は，
前記電子文書群において，アクセス制御情報を含む処理指示電子文書の複数に対して，他の処理指示電子文書によるアクセス制御の対象か非対象かに係わらず，アクセスを行い，含まれる前記アクセス制御情報を取得し，取得した前記アクセス制御情報に基づく複数のアクセス制御判定結果を出力するアクセス制御判定部と，
前記複数のアクセス制御判定結果を結合し，前記結合結果に基づき，アクセス可能な電子文書で構成された，アクセス可能電子文書群を，前記電子文書要求への応答として出力する結果結合部と，を備える
ことを特徴とするアクセス制御装置。
【請求項２】
請求項１に記載のアクセス制御装置において，
前記アクセス制御装置の前記アクセス制御部は，
前記複数のアクセス制御判定として，前記電子文書群に含まれる，アクセス制御情報を含む処理指示電子文書に対するアクセス制御判定と，当該処理指示電子文書を構成する構成要素に対するアクセス制御判定と，を独立して行う
ことを特徴とするアクセス制御装置。
【請求項３】
請求項１に記載のアクセス制御装置において，
前記アクセス制御装置は，
ユーザを識別するユーザＩＤと，当該ユーザＩＤに付与された属性との対応付けを記憶する属性情報ＤＢと，前記アクセス制御判定の条件を記したポリシ情報を記憶するポリシ情報ＤＢと，を管理するポリシ管理部を備え，
前記アクセス制御部は，前記アクセス制御判定において，前記ポリシ管理部に管理されるポリシ情報を参照する
ことを特徴とするアクセス制御装置。
【請求項４】
請求項１に記載のアクセス制御装置において，
前記アクセス制御部は，
前記ポリシ管理部が管理するポリシ情報と，前記クライアントを利用するユーザＩＤとを参照し，前記ルート電子文書に対するアクセス制御判定を行い，
前記判定結果が，アクセス不許可である場合は，アクセス制御情報を含む前記処理指示電子文書へのアクセスと，当該アクセスにより取得するアクセス制御情報に基づく前記アクセス制御判定と，を省略し，
受信した前記電子文書要求に対して，アクセス不許可を応答する
ことを特徴とするアクセス制御装置。
【請求項５】
請求項１に記載のアクセス制御装置において，
前記処理指示電子文書が複数の文書要素からなる場合に，
前記アクセス制御判定部は，
電子文書群単位でのアクセス可否判定を行う文書群アクセス制御判定部と，処理指示電子文書単位でのアクセス可否判定を行う文書アクセス制御判定部と，文書要素単位でのアクセス可否判定を行う文書要素アクセス制御判定部とを備え，
前記文書群アクセス制御判定部は，電子文書群単位でのアクセス制御判定結果が不許可でなければ，前記文書アクセス制御判定部と，前記文書要素アクセス制御判定部は，並行して，処理指示電子文書のアクセス制御判定処理と，文書要素のアクセス制御判定と，を行う
ことを特徴とするアクセス制御装置。
【請求項６】
請求項１に記載のアクセス制御装置において，
前記結果結合部は，
前記複数のアクセス制御判定結果に基づき，アクセス不許可の前記電子文書および前記構成要素を削除し，および，他の文字に置き換えることにより，前記アクセス可能電子文書群を構成する
ことを特徴とするアクセス制御装置。
【図１】
【図２】
【図３】
【図４】
【図５】
【図６】
【図７】
【図８】
【図９】
【図１０】
【図１１】
【図１２】
【図２】
【図３】
【図４】
【図５】
【図６】
【図７】
【図８】
【図９】
【図１０】
【図１１】
【図１２】
【公開番号】特開２００９−１０４３４７（Ｐ２００９−１０４３４７Ａ）
【公開日】平成２１年５月１４日（２００９．５．１４）
【国際特許分類】
【出願番号】特願２００７−２７４５８６（Ｐ２００７−２７４５８６）
【出願日】平成１９年１０月２３日（２００７．１０．２３）
【出願人】（０００００５１０８）株式会社日立製作所 (27,607)
【Ｆターム（参考）】
【公開日】平成２１年５月１４日（２００９．５．１４）
【国際特許分類】
【出願日】平成１９年１０月２３日（２００７．１０．２３）
【出願人】（０００００５１０８）株式会社日立製作所 (27,607)
【Ｆターム（参考）】
[ Back to top ]