(57)【要約】【課題】  電子文書に適用するセキュリティポリシを効率的に設定すること。【解決手段】  本発明のサーバ装置１１０は、１以上の文書分類を特徴付けるパラメータを受け取る手段２１０と、ポリシ設定の対象となる複数の電子文書をネットワーク上のリソース１６０から取得する取得手段２１０と、取得された電子文書それぞれからテキストを抽出し、自然言語解析を施し、受け取ったパラメータに従って内容の類似性を有する文書を取りまとめて電子文書それぞれに対し文書分類を付す解析手段２１４と、それぞれの文書分類が付される電子文書に適用すべきセキュリティポリシを受け取る手段２１８と、分類された電子文書それぞれに対し、付された文書分類に対応するセキュリティポリシに従って、利用権限が規定される設定データを生成する設定手段２１８とを含む。【選択図】  図２
2011018267.tif 000002
【特許請求の範囲】
【請求項１】
ネットワークに接続され、利用権限を規定するセキュリティポリシを電子文書に対し設定するサーバ装置を含むセキュリティ管理システムであって、前記サーバ装置は、
１以上の文書分類を特徴付けるパラメータを受け取る手段と、
ポリシ設定の対象となる複数の電子文書を前記ネットワーク上のリソースから取得する取得手段と、
取得された前記電子文書それぞれからテキストを抽出し、自然言語解析を施し、受け取った前記パラメータに従って内容の類似性を有する文書を取りまとめて前記電子文書それぞれに対し前記文書分類を付す解析手段と、
それぞれの前記文書分類が付される電子文書に適用すべきセキュリティポリシを受け取る手段と、
分類された前記電子文書それぞれに対し、付された前記文書分類に対応する前記セキュリティポリシに従って、前記利用権限が規定される設定データを生成する設定手段と
を含む、セキュリティ管理システム。
【請求項２】
前記解析手段は、前記電子文書に複数の前記文書分類が付与可能となるように前記電子文書を分類し、前記設定手段は、前記セキュリティポリシを結合する際の優先規定の指定に従って複数の前記文書分類のセキュリティポリシに含まれる権限情報を結合する、請求項１に記載のセキュリティ管理システム。
【請求項３】
前記解析手段は、取得された前記電子文書それぞれについて、前記電子文書それぞれに含まれる単語を集計し、前記電子文書それぞれに含まれる前記単語それぞれの出現頻度を集計したデータセットを生成し、クラスタリング・アルゴリズムに従って前記類似性を有する文書を分類する、請求項１または２に記載のセキュリティ管理システム。
【請求項４】
前記設定手段は、オリジナルの電子文書からセキュリティ保護されたセキュア電子文書に変換する変換手段に対し、取得された前記電子文書それぞれと、対応する前記設定データそれぞれとを渡して、それぞれのセキュア電子文書を生成させ、生成された前記セキュア電子文書を利用可能な状態とする、請求項１〜３のいずれか１項に記載のセキュリティ管理システム。
【請求項５】
前記パラメータは、前記文書分類それぞれについて定義されるキーワードを含み、前記キーワードは、分類にかかる処理の初期条件を求めるために用いられる、請求項１〜４のいずれか１項に記載のセキュリティ管理システム。
【請求項６】
前記セキュリティ管理システムは、前記パラメータを入力するためのユーザインタフェース、それぞれの前記文書分類が付された電子文書に適用するべき前記セキュリティポリシを入力するためのユーザインタフェース、および前記電子文書に対し付された前記文書分類を編集するためのユーザインタフェースを提供する管理端末と、前記変換手段を実現する変換サーバ装置を含む、請求項１〜５のいずれか１項に記載のセキュリティ管理システム。
【請求項７】
指定される前記優先規定は、許可されない事項を優先させて結合する拒否優先方式、許可されている事項を優先させて結合する許可優先方式、および予め設定された前記文書分類に対する優先順位に従って結合する分類優先方式から選択される、請求項２に記載のセキュリティ管理システム。
【請求項８】
ネットワークに接続され、利用権限を規定するセキュリティポリシを電子文書に対して設定するサーバ装置であって、前記サーバ装置は、
１以上の文書分類を特徴付けるパラメータを受け取る手段と、
ポリシ設定の対象となる複数の電子文書を前記ネットワーク上のリソースから取得する取得手段と、
取得された前記電子文書それぞれからテキストを抽出し、自然言語解析を施し、受け取った前記パラメータに従って内容の類似性を有する文書を取りまとめて前記電子文書それぞれに対し前記文書分類を付す解析手段と、
それぞれの前記文書分類が付される電子文書に適用すべきセキュリティポリシを受け取る手段と、
分類された前記電子文書それぞれに対し、付された前記文書分類に対応する前記セキュリティポリシに従って、前記利用権限が規定される設定データを生成する設定手段と
を含む、サーバ装置。
【請求項９】
前記解析手段は、前記電子文書に複数の前記文書分類が付与可能となるように前記電子文書を分類し、前記設定手段は、前記セキュリティポリシを結合する際の優先規定の指定に従って複数の前記文書分類のセキュリティポリシに含まれる権限情報を結合する、請求項８に記載のサーバ装置。
【請求項１０】
前記解析手段は、取得された前記電子文書それぞれについて、前記電子文書それぞれに含まれる単語を集計し、前記電子文書それぞれに含まれる前記単語それぞれの出現頻度を集計したデータセットを生成し、クラスタリング・アルゴリズムに従って前記類似性を有する文書を分類する、請求項８または９に記載のサーバ装置。
【請求項１１】
前記設定手段は、オリジナルの電子文書からセキュリティ保護されたセキュア電子文書に変換する変換手段に対し、取得された前記電子文書それぞれと、対応する前記設定データそれぞれとを渡して、それぞれのセキュア電子文書を生成させ、生成された前記セキュア電子文書を利用可能な状態とする、請求項８〜１０のいずれか１項に記載のサーバ装置。
【請求項１２】
利用権限を規定するセキュリティポリシを電子文書に対して設定する方法であって、サーバ装置に対し、
１以上の文書分類を特徴付けるパラメータを受け取るステップと、
ポリシ設定の対象となる複数の電子文書をネットワーク上のリソースから取得するステップと、
取得された前記電子文書それぞれからテキストを抽出し、自然言語解析を施し、受け取った前記パラメータに従って内容の類似性を有する文書を取りまとめて前記電子文書それぞれに対し前記文書分類を付すステップと、
分類された前記電子文書それぞれに対し、付された前記文書分類に対応する、受け取ったセキュリティポリシに従って、前記利用権限が規定される設定データを生成するステップと
を実行させる、セキュリティ管理方法。
【請求項１３】
前記文書分類を付すステップは、前記電子文書に複数の前記文書分類が付与可能となるように前記電子文書を分類するサブステップを含み、前記生成するステップは、前記セキュリティポリシを結合する際の優先規定の指定に従って複数の前記文書分類のセキュリティポリシに含まれる権限情報を結合するサブステップを含む、請求項１２に記載のセキュリティ管理方法。
【請求項１４】
前記文書分類を付すステップは、取得された前記電子文書それぞれについて、前記電子文書それぞれに含まれる単語を集計し、前記電子文書それぞれに含まれる前記単語それぞれの出現頻度を集計したデータセットを生成するサブステップと、クラスタリング・アルゴリズムに従って前記類似性を有する文書を分類するサブステップとを含む、請求項１２または１３に記載のセキュリティ管理方法。
【請求項１５】
請求項８〜１１のいずれか１項に記載の各手段をコンピュータに実現するためのコンピュータ実行可能なプログラム。
【請求項１６】
請求項１５に記載のコンピュータ実行可能なプログラムを装置可読に格納する記録媒体。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、情報セキュリティ技術に関し、より詳細には、電子文書に適用するセキュリティポリシを効率的に設定するためのセキュリティ管理システム、サーバ装置、セキュリティ管理方法、プログラムおよび記録媒体に関する。
【背景技術】
【０００２】
近年、官公庁、企業、教育機関などの組織においては、業務上使用する文書や画像を紙媒体ではなく電子文書として取り扱う、いわゆるペーパレス化が進んでいる。電子文書として取り扱うことにより、インターネットやイントラネットを介して多数人や遠隔地の人に配布したり、ファイルサーバまたはデータベースに電子文書に配置して、適時アクセスして利用したりすることができ、業務の効率化が図られる。一方、このような電子文書は、その複製の容易性に起因して情報漏洩し易く、上述のような組織においては、企業秘密や個人情報など機密情報を含む電子文書に対する利用権限を適切に管理し、機密情報の漏洩を防止する施策を施すことが、信用維持にとって重要となっている。
【０００３】
電子文書の利用を管理することを目的とした技術としては、ドキュメントファイルを開く際にユーザ認証を求めて、正当なユーザに対してのみ閲覧を許可するか、また印刷の際に該ユーザの印刷の権限を確認し、印刷可能な権限を有するユーザに対してのみ印刷を許可する技術がある（例えば、特許文献１：特開２００４−１５２２６１号公報）。
【０００４】
また特開２００７−４６１６号公報（特許文献２）は、時系列でセキュリティポリシが変更されるドキュメントファイルを提供することを目的として、利用者が閲覧等するドキュメントファイルのセキュリティ管理を行うため、ドキュメントファイルの閲覧権限者情報等の利用条件を定めたセキュリティポリシが複数記載され、ドキュメントファイルに現時点で適用されるポリシとしてこの複数のポリシの中から選択されているポリシを示す有効ポリシ番号が記載されているセキュリティ管理ファイルを格納する、セキュリティ管理データベースを開示している。
【０００５】
その他、特開２００８−４０６５９号公報（特許文献３）は、電子文書に記載された情報の漏洩をより確実に阻止することを目的として、クライアントからの設定依頼に応じて電子文書にポリシを設定し、ポリシ情報保持部にて保持するとともに電子文書を暗号化して保存させる、ポリシ管理サーバを開示している。
【発明の概要】
【発明が解決しようとする課題】
【０００６】
上記従来技術によれば、セキュリティ保護すべき電子文書に対して、閲覧権限や印刷権限を含むセキュリティポリシを設定し、このポリシに従った電子文書の適切な利用方法を提供することができる。しかしながら、上記従来技術では、各電子文書に対してひとつひとつセキュリティポリシの設定を繰り返さなければならず、作業者の作業負担となっていた。セキュリティ管理システムが既に構築済みである場合などには、電子文書に対してポリシの設定操作を行う作業者が通常電子文書の作成者である場合が多く、上記作業負担に起因する問題はあまり顕在化しないが、システムの導入時などには、管理者が大量の既存の電子文書を処理する必要があるため、管理者の作業負担は増大し、ひいてはセキュリティ管理システムの導入に対する敷居となる。また、文書管理システム等が既に構築されている場合には、その文書管理システムにおける文書リポジトリの管理者の視点から文書に対してセキュリティポリシを設定したいとの要望もある。
【０００７】
本発明は、上記従来技術における問題点に鑑みてなされたものであり、内容的に類似する電子文書には同一のセキュリティポリシを適用すればよいとの考えに基づき、所与の電子文書群において、内容の類似性によって分類される電子文書に対し、一括にセキュリティポリシを設定可能とし、ひいては電子文書に適用するセキュリティポリシを効率的に設定することができ、作業者の作業負担を軽減することができる、セキュリティ管理システム、サーバ装置、セキュリティ管理方法、プログラムおよび記録媒体を提供することを目的とする。
【課題を解決するための手段】
【０００８】
本発明では、上記課題を解決するために、ネットワークに接続され、利用権限を規定するセキュリティポリシを電子文書に対し設定するサーバ装置、該サーバを含むセキュリティ管理システムを提供する。本発明のサーバ装置では、１以上の文書分類を特徴付けるパラメータを受け取り、ポリシ設定の対象となる複数の電子文書をネットワーク上のリソースから取得する。そして、取得された電子文書それぞれからテキストを抽出し、自然言語解析を施し、受け取ったパラメータに従って内容の類似性を有する文書を取りまとめて電子文書それぞれに対し文書分類を付す。そして、それぞれの文書分類が付される電子文書に適用すべきセキュリティポリシを受け取り、この分類された電子文書それぞれに対し、付された文書分類に対応するセキュリティポリシに従って、利用権限を規定するための設定データを生成する。
【０００９】
上記構成によれば、ポリシ設定の対象とすべきものとして指定された電子文書群において、電子文書が含むテキストの内容の類似性に従って分類された電子文書に対し、付与された文書分類に関連付けられたセキュリティポリシに従って一括に利用権限の設定を行うことが可能となり、ひいては電子文書にセキュリティポリシを効率的に設定することを可能とし、作業者の作業負担を軽減することができる。
【００１０】
さらに本発明では、上記文書分類を付す際に、それぞれの電子文書が複数の文書分類に所属可能なように電子文書を分類することができる。この場合に、セキュリティポリシを結合する際の優先規定の指定に従って複数の文書分類のセキュリティポリシに含まれる権限情報を結合することができる。上記構成により、各電子文書に対し、内容の類似性に従ってより柔軟かつ効率的に、高度な利用権限の制御を行うことが可能となる。
【００１１】
また本発明では、取得された電子文書それぞれについて、電子文書それぞれに含まれる単語を集計し、電子文書それぞれに含まれる単語それぞれの出現頻度を集計したデータセットを生成し、クラスタリング・アルゴリズムに従って類似性を有する文書を分類することができる。このデータセットは、例えば、電子文書に含まれる各単語の出現頻度をベクトルデータとした文書ベクトルの各電子文書毎のセットとすることができ、あるいは、電子文書に含まれる単語の出現頻度を各電子文書毎および各単語毎に集計したデータとすることができる。また出現頻度は、出現回数をそのまま用いてもよいし、出現回数を規格化した値を用いてもよい。上記クラスタリング・アルゴリズムは、好適には、制約付きＫ平均法、ナイーブ・ベイズ法とＥＭ（Expectation Maximization）法とを組み合わせた手法、グラフ理論に従ったアルゴリズムを採用することができる。
【００１２】
なお本発明では、上記電子文書の利用権限は、閲覧権限を有するユーザを特定する識別値と、印刷権限を有するユーザを特定する識別値と、上記閲覧権限および印刷権限の一方または両方に付加される付加条件とを含むことができる。上記付加条件は、閲覧時の追加要求、印刷時の追加要求を含むことができる。上記閲覧時の追加要求は、警告メッセージの表示の指定を含むことができ、上記印刷時の追加要求は、警告メッセージの表示の指定、機密印刷の指定、地紋印刷の指定、スタンプ印刷の指定と、警告印字の指定とを含むことができる。
【００１３】
さらに本発明によれば、上述したサーバ装置が実行するセキュリティ管理方法、上述したサーバ装置をコンピュータ上に実現するためのプログラム、該プログラムを格納する記録媒体を提供することができる。
【図面の簡単な説明】
【００１４】
【図１】第１実施形態の文書セキュリティ管理システムの概略を示す図。
【図２】第１実施形態の文書セキュリティ管理システムにおける、セキュアファイル変換サービスの動作に関連する機能ブロック図。
【図３】第１実施形態の文書セキュリティ管理システムにおける、セキュアファイル変換サービスの動作に関連する詳細機能ブロック図。
【図４】第１実施形態の文書セキュリティ管理システムにおける、セキュアファイル変換サービスの動作を示すシーケンス図。
【図５】第１実施形態のセキュア文書管理サーバが実行する、「排他」が選択される場合の解析処理を示すフローチャート。
【図６】第１実施形態のセキュア文書管理サーバが実行する、「共存」が選択される場合の解析処理を示すフローチャート。
【図７】第１実施形態のファイル解析部において生成されるデータのデータ構造を示す図。
【図８】第１実施形態の管理端末の表示装置の画面上に表示されるＧＵＩを示す図。
【図９】本実施形態の管理端末の表示装置の画面上に表示される分類パラメータ設定画面を示す図。
【図１０】第１実施形態の管理端末の表示装置の画面上に表示される他のＧＵＩを示す図。
【図１１】第１実施形態の管理端末の表示画面上に表示されるポリシ設定入力画面を示す図。
【図１２】第１実施形態の文書セキュリティ管理システムにおいて使用されるデータ構造を示す図。
【図１３】第１実施形態の文書セキュリティ管理システムにおける、セキュアファイル利用時のシーケンス図（１／２）。
【図１４】第１実施形態の文書セキュリティ管理システムにおける、セキュアファイル利用時のシーケンス図（２／２）。
【図１５】第２実施形態のセキュア文書管理サーバが実行する、「排他」が選択される場合の解析処理を示すフローチャート。
【図１６】第２実施形態のセキュア文書管理サーバが実行する、「共存」が選択される場合の解析処理を示すフローチャート。
【図１７】第３実施形態のセキュア文書管理サーバが実行する解析処理を示すフローチャート。
【図１８】第３実施形態におけるクラスタリングの概念図。
【発明を実施するための形態】
【００１５】
以下、本発明の実施形態を説明するが、本発明の実施形態は、以下の実施形態に限定されるものではない。なお、以下の実施形態では、サーバ装置およびセキュリティ管理システムの一例として、電子文書にセキュリティポリシの設定を行うとともに、セキュリティ保護された電子文書を利用者に提供するセキュア文書管理サーバ、および該セキュア文書管理サーバを含む文書セキュリティ管理システムを用いて説明する。
【００１６】
［第１実施形態］
図１は、第１実施形態の文書セキュリティ管理システム１００の概略を示す図である。図１に示す文書セキュリティ管理システム１００は、ネットワーク１０２を介して相互に接続されるセキュア文書管理サーバ１１０と、管理端末１３０と、利用者端末１４０ａ，１４０ｂと、セキュリティサーバ１５０とを含む。図１に示す文書セキュリティ管理システム１００では、セキュア文書管理サーバ１１０には、さらに、ファイアウォール１２０および他のネットワークを介して、文書リポジトリ１６０ａ，１６０ｂ，１６０ｃが接続されている。
【００１７】
上記ネットワーク１０２は、イーサネット（登録商標）やＴＣＰ／ＩＰ（Transmission Control Protocol / Internet Protocol）などのトランザクション・プロトコルによるＬＡＮ（Local Area Network）や、ＶＰＮ（Virtual Private Network）や専用線を使用して接続されるＷＡＮ（Wide Area Network）などとして構成することができる。しかしながら、ネットワーク１０２の構成は、特に限定されるものではなく、図示しないルータを介して接続されるインターネットなどを含んでいてもよく、また有線または無線、またはこれらの混合のネットワークとして構成することができる。
【００１８】
上記セキュア文書管理サーバ１１０は、文書リポジトリ１６０などのネットワーク上のリソースに保管されている一群の電子文書のファイルに対し、所定のセキュリティポリシを適用し、セキュリティ保護された電子文書のファイルに変換するセキュアファイル変換サービスを提供する。ここで、セキュアファイル変換サービスとは、オリジナルの電子文書に対し、暗号化などのセキュリティ保護を施すことにより、セキュリティ保護が施された文書ファイル（以下、セキュアファイルという。）に変換するサービスである。
【００１９】
上記管理端末１３０は、セキュア文書管理サーバ１１０にアクセスして上記セキュアファイル変換サービスの利用を指示するために管理者等が使用する端末である。管理端末１３０は、セキュア文書管理サーバ１１０と通信して各種設定管理するための管理ツールがインストールされた、専用端末として構成することができる。あるいはセキュア文書管理サーバ１１０がウェブサーバとして構成される場合には、管理端末１３０は、ウェブブラウザを備え、セキュア文書管理サーバ１１０が提供するウェブベースのユーザインタフェースにアクセスする端末として構成されてもよい。
【００２０】
上記セキュリティサーバ１５０は、実際に電子文書に対しセキュリティ保護を施すセキュアファイル変換処理を実行するサーバである。セキュリティサーバ１５０は、セキュア文書管理サーバ１１０からの依頼を受けて、依頼されたオリジナルファイルを変換し、処理結果として生成したセキュアファイルを返す。セキュリティサーバ１５０からセキュアファイルを受信すると、セキュア文書管理サーバ１１０は、利用者端末１４０ａ，１４０ｂなどからのアクセスが可能となるように内部のデータベースに保存する。
【００２１】
セキュリティサーバ１５０は、さらに、セキュアファイルの利用を管理するために、セキュアファイルに施された暗号化を解除して利用可能な状態とするための鍵や、識別される利用者端末や利用ユーザの権限を判定するためのセキュリティ管理データを、セキュアファイルに対応付けて保持する。セキュアファイルを利用する際には、利用者端末１４０は、まずセキュア文書管理サーバ１１０から所望のセキュアファイルを取得し、その利用要求をセキュリティサーバ１５０に問い合わせる。問い合わせを受けたセキュリティサーバ１５０は、該利用者端末または利用ユーザ等の利用要求元を認証し、利用要求のあったセキュアファイルに対応するセキュリティポリシを読み出し、当該利用要求元の当該セキュアファイルに対する閲覧権限、印刷権限、他の付加条件等を判断する。閲覧権限があるとされている利用要求元からの要求に対しては、セキュリティサーバ１５０は、利用者端末１４０に対し、セキュアファイルを利用するために必要な鍵などの情報を送信する。これにより、利用者端末１４０側では、閲覧権限がある場合には、セキュアファイルの閲覧が可能とされる。
【００２２】
文書リポジトリ１６０ａ，１６０ｂ，１６０ｃは、セキュアファイル変換サービスによってセキュアファイルに変換されるオリジナルの電子文書のソースとなり、文書リポジトリ１６０上の電子文書は、例えばＵＲＬ（Uniform Resource Locator）やＵＲＮ（Uniform Resource Name）などのＵＲＩ（Uniform Resource Identifier）によって識別される。セキュアファイル変換可能な電子文書としては、オフィス環境ソフトウェアで作成されるドキュメント、プレゼンテーションスライドやスプレッドシート、その他ＰＤＦ（Portable Document Format）などの種々の形式の電子文書を用いることができる。第１実施形態で利用可能な電子文書は、類似性を判断するためにテキストが抽出可能である限り、如何なるデータ形式とすることができ、電子文書自体にテキストデータが含まれていてもよく、文字認識処理等によってテキストが抽出可能であれば、ＴＩＦＦ、ビットマップ、ＰＮＧ、ＧＩＦ、ＪＰＥＧ、ＪＰＥＧ２０００などのピクセルイメージの形で文字情報を含んでいてもよい。セキュアファイルとしては、暗号化等のセキュリティ保護が設定可能であれば、これまで知られた如何なるフォーマットを採用することができるが、好適には、セキュリティ保護されたＰＤＦファイル（セキュアＰＤＦ）を採用することができる。
【００２３】
上記セキュア文書管理サーバ１１０は、パーソナルコンピュータ、ワークステーション、エンタープライズサーバなどの各種コンピュータ装置によって実装される。より具体的には、セキュア文書管理サーバ１１０は、中央演算ユニット（ＣＰＵ）と、ＢＩＯＳ（Basic Input Output System）を格納するＲＯＭ（Read Only Memory）と、ＣＰＵによるプログラム処理を可能とする実行記憶空間を提供するＲＡＭ（Random Access Memory）と、その他、セキュアファイル等をアクセス可能に保持するデータベース（以下、ＤＢと参照することがある。）を格納するハードディスク・ドライブ（ＨＤＤ）と、ネットワーク１０２などに接続するためのネットワーク・インタフェース・カード（ＮＩＣ）とを含むハードウェア要素で構成される。そして、これらハードウェア要素が内部バスで接続されて本実施形態のセキュア文書管理サーバ１１０が動作する。
【００２４】
セキュア文書管理サーバ１１０は、ＲＯＭ、ＨＤＤ、その他ＮＶ−ＲＡＭやＳＤカードなどの記憶装置に格納されたプログラムを読み出し、ＲＡＭのメモリ領域に展開することにより、適切なオペレーティング・システム（ＯＳ）のもとで、後述する各機能手段および各処理を実現している。なお、セキュリティサーバ１５０についても同様の構成とすることができる。また管理端末１３０および利用者端末１４０についても、同様のハードウェア構成とすることができ、その他、マウスやキーボードなどの入力装置およびディスプレイなどの表示装置を含むユーザインタフェースを備える。
【００２５】
以下、本実施形態の文書セキュリティ管理システム１００における、セキュアファイル変換サービスの動作について詳細に説明する。図２は、第１実施形態の文書セキュリティ管理システムにおける、セキュアファイル変換サービスの動作に関連する機能ブロック図を示す。図２に示すセキュア文書管理サーバ１１０、管理端末１３０、利用者端末１４０、セキュリティサーバ１５０および文書リポジトリ１６０における各機能部は、それぞれＣＰＵが、内部バスで接続される各ハードウェア要素を制御することにより、それぞれの装置上で実現される。
【００２６】
管理端末１３０は、ポリシ設定開始指令部２３０を含み、ポリシ設定開始指令部２３０は、本実施形態のセキュア文書変換サービスの開始画面をディスプレイなどの表示装置上に表示し、管理端末１３０を操作する管理者からのセキュリティポリシ設定処理の開始の指示を待ち受ける。図８は、本実施形態の管理端末１３０の表示装置の画面上に表示されるグラフィカル・ユーザ・インタフェース（以下、ＧＵＩという。）を例示する。図８（Ａ）は、セキュア文書変換サービス開始画面を示す。図８（Ａ）に示す開始画面４００は、設定処理開始の指示を待ち受けるポリシ設定開始ボタン４０２と、変換済み文書一覧ボタン４０４と、マニュアルボタン４０６と、キャンセルボタン４０８とを含む。変換済み文書一覧ボタン４０４は、既にセキュアファイルに変換済みの電子文書を一覧表示する画面を呼び出すボタンであり、マニュアルボタン４０６は、セキュアファイル変換サービスに関する操作マニュアルを表示するためのボタンである。キャンセルボタン４０８は、本セキュリティポリシ設定処理を中止するためのボタンである。
【００２７】
ポリシ設定開始指令部２３０は、本サービスが起動されると、図８（Ａ）に示すようなサービス開始画面４００を表示させ、続いて、この画面においてポリシ設定開始ボタン４０２に対するクリックを検出するなどにより管理者からの処理開始指示を受領すると、セキュリティポリシの設定処理を開始し、図８（Ｂ）に示すような保管場所指定画面を表示させる。図８（Ｂ）は、ポリシ設定の対象とすべき電子文書が保管されている保管場所を指定するための保管場所指定画面４１０を例示する。図８（Ｂ）に示す保管場所指定画面４１０は、現在指定済みの保管場所を表示するリストボックス４１２と、新たな保管場所を追加指定するための追加ボタン４１４とを含む。リストボックス４１２には、選択中の保管場所のＵＲＬが反転表示４１８され、この状態で保管場所の削除を行うための削除ボタン４１６がクリックされると、選択中の保管場所が指定から削除される。なお、保管場所は、例えばＵＲＬなどによるパスにより指定され、この指定により、指定フォルダ内の電子文書または指定フォルダ以下の階層の電子文書がポリシ設定の対象として指定される。
【００２８】
保管場所指定画面４１０において、１以上の保管場所が指定され、「次へ」ボタン４２０がクリックされると、ポリシ設定開始指令部２３０は、さらに図９に示すような分類パラメータ設定画面を表示させる。図９は、第１実施形態の管理端末の表示装置の画面上に表示される分類パラメータ設定画面を示す。図９に示す分類パラメータ設定画面４３０は、ポリシ設定対象の電子文書を分類する際に各文書分類を特徴付ける各種パラメータを設定するために用いられる。図９に示す分類パラメータ設定画面４３０は、各種パラメータを示すテーブル４３２と、文書分類の追加を行うための追加ボタン４３４と、各文書分類の右側に配置される編集ボタン４３６および削除ボタン４３８とを含む。テーブル４３２は、指定済みの文書分類名４３２ａと各文書分類に指定されるキーワード４３２ｂとを対応付けて表示している。各文書分類の右側に配置された編集ボタン４３６がクリックされると、対応する文書分類のキーワードを編集するためのＧＵＩが呼び出される。各文書分類の右側に配置された削除ボタン４３８は、対応する文書分類を除外する指示を待ち受ける。なお、説明する実施形態では、キーワードは、任意の文字列が入力されるものとして説明するが、他の実施形態では、例えば過去の解析結果で抽出されたキーワード候補群や、予め設定してあるキーワード候補群から選択するようにしてもよい。
【００２９】
分類パラメータ設定画面４３０は、さらに、文書分類間の関係を「共存」または「排他」から選択するためのラジオボタン４４２をさらに含む。ここで、「共存」の文書分類間の関係とは、電子文書が同時に複数の文書分類に属することが可能なソフトな文書分類間の関係をいう。一方、上記「排他」の文書分類間の関係とは、電子文書が唯一の文書分類にしか属せないハードな文書分類間の関係をいう。分類パラメータ設定画面４３０には、さらに、「共存」が選択された場合にポリシの結合方法を指定するためのラジオボタン４４４がさらに示されている。ラジオボタン４４２において「共存」が選択されると、ラジオボタン４４４が操作可能な状態となる。ラジオボタン４４４は、ひとつの電子文書に複数の文書分類が付された場合に、各文書分類に対応するポリシを結合する方法を指定するためのものであり、図９に示す例では、「拒否優先」、「許可優先」、「分類優先」の３つの項目が示されている。
【００３０】
「拒否優先」とは、ポリシ中で明示的に許可されない事項を優先させて結合する方式であり、結合するすべてのポリシにおいて許可されている事項のみが、結合後のポリシにおいて許可されるように結合するものである。「許可優先」とは、上記「拒否優先」とは逆に、ポリシ中で明示的に許可されている事項を優先させて結合する方式であり、少なくとも結合するいずれかのポリシにおいて許可されている事項は、結合後のポリシにおいて許可されるように結合するものである。「分類優先」とは、ひとつの電子文書に対し複数の文書分類が付された場合に、優先順位が高い文書分類のポリシに従うよう結合するものである。
【００３１】
分類パラメータ設定画面４３０には、さらに、「分類優先」が選択された場合に文書分類の優先順位を設定するためのリストボックス４４６およびボタン４４８がさらに示されている。リストボックス４４６において文書分類が選択され、ボタン４４８がクリックされると、選択中（例えば反転表示４４６ａにより強調表示されている。）の文書分類の優先順位が引き上げられる。
【００３２】
分類パラメータ設定画面４３０において、１以上の文書分類が指定され、その文書分類に対し１以上のキーワードが指定され、文書分類間の関係が選択され、適宜ポリシの結合方法および文書分類の優先順位が決定された後、「次へ」ボタン４４０がクリックされると、ポリシ設定開始指令部２３０は、上述した文書分類、そのキーワード、文書分類間の関係、ポリシ結合方法、文書分類の優先順位などを含む分類パラメータと、指定された保管場所のリストとをセキュア文書管理サーバ１１０に渡すとともに、指定された分類パラメータに従った分類処理の実行を指令する。
【００３３】
セキュア文書管理サーバ１１０は、その機能部として、ファイル取得部２１０とファイルＤＢ２１２とを含む。ファイル取得部２１０は、管理端末１３０のポリシ設定開始指令部２３０からの指令に応答して、上記保管場所のリストに指定された保管場所から電子文書のファイルを取得し、それぞれファイルＤＢ２１２に一時的に保管する。なお、電子文書の取得方法は、特に限定されるものではなく、ファイル共有プロトコル、ファイル転送プロトコル（ＦＴＰ：File Transfer Protocol）、ハイパーテキスト転送プロトコル（ＨＴＴＰ：HyperText Transfer Protocol）などのこれまで知られた如何なるデータ転送プロトコルに従った取得方法とすることができる。また、説明する実施形態では、上記保管場所の指定は、セキュアファイル変換サービスを開始する際に行われるものとして説明したが、定期的または不定期に同一保管場所に対して設定処理を行う場合などには、事前に保管場所を登録していてもよい。なお、ファイル取得部２１０は、本実施形態において、文書分類を特徴付けるパラメータを受け取る手段、および電子文書を取得する取得手段を構成する。
【００３４】
セキュア文書管理サーバ１１０は、その機能部としてさらに、ファイル解析部２１４と解析結果表示部２１６とを含む。ファイル取得部２１０は、指定の保管場所から対象となるすべての電子文書のファイルを取得すると、ファイル解析部２１４にファイルＤＢ２１２内の一群のファイルの解析処理を開始させる。ファイル解析部２１４は、指定された分類パラメータに従って、ファイルＤＢ２１２に保管された電子文書のそれぞれに対し、適切な文書フィルタを適用しながらテキストを抽出し、自然言語解析を施し、内容の類似性による電子文書の分類処理を実行する。ファイル解析部２１４は、本実施形態において、解析手段を構成する。
【００３５】
ここで、図３（Ａ）および図７を参照して、本実施形態の文書セキュリティ管理システム１００における、ファイル解析処理の詳細について説明する。図３は、第１実施形態の文書セキュリティ管理システムにおけるセキュアファイル変換サービスの動作に関連する詳細機能ブロック図を示す。図３（Ａ）は、ファイル解析部２１４周辺の詳細機能ブロック図を示す。図７は、本実施形態のファイル解析部が生成するデータのデータ構造を例示する。
【００３６】
ファイル解析部２１４は、詳細には図３（Ａ）に示すように、テキスト抽出部２６０と、構文解析部２６２と、文書分類部２６４とを含む。テキスト抽出部２６０は、ファイルＤＢ２１２から電子文書のファイルを読み出し、電子文書のファイルのフォーマットに対応する文書フィルタを呼び出して、電子文書からテキストを抽出し、構文解析部２６２に渡す。構文解析部２６２は、例えば電子文書の書誌情報等から使用言語を特定し、適切な自然言語処理エンジンを呼び出して、抽出されたテキストに対して構文解析を施す。自然言語処理エンジンとしては、より簡便には、所定の言語で記述されたテキストを形態素に分割し、品詞情報をタグ付けする形態素解析エンジンを用いることができる。説明する実施形態では、形態素解析エンジンを用いるが、適用可能な自然言語解析は、特に限定されるものではなく、これまで知られた如何なる自然言語解析処理を適用することができ、例えば係受け解析や、適切なパターン辞書を用いることで、より高次の意味のまとまりを抽出することもできる。
【００３７】
例えば図７（Ａ）に示すテキスト３００に対し形態素解析が施されると、図７（Ｂ）に示すような形態素３１０ａおよび品詞情報３１０ｂを含む形態素解析結果データ３１０が生成される。また構文解析部２６２は、適切なフィルタリング処理を施して、助詞、日付、「する」「なる」「ある」「いる」などの用語や、副詞、語気助詞、接続詞、助動詞、方向詞などの不要な語を除去することができる。図７（Ｂ）に示した例では、アスタリスクを付した形態素を除去することができる。そして、電子文書中に含まれる形態素が集計され、形態素と当該形態素の出現回数との集合となり、文書ベクトルが生成される。また他の実施形態では、すべての電子文書のファイルに対する解析処理が完了した後に、すべての電子文書に対する解析結果をさらにｔｆ−ｉｄｆなどの解析を施すことにより、有効な形態素と、形態素に対する重み付けとの集合として文書ベクトルを生成することもできる。
【００３８】
図７（Ｃ）は、各電子文書について算出される文書ベクトルを含む文書ベクトルデータのデータ構造を例示する。図７（Ｃ）に示す文書ベクトルデータ３２０は、形態素３２０ａと、各電子文書における形態素の出現回数３２０ｂ〜ｄとを含んで構成される。文書分類部２６４は、生成された文書ベクトルデータ３２０を読み出して、例えばＫ平均（K-means）法やＥＭ（Expectation Maximization）法等の分類およびクラスタリング・アルゴリズムを用いて、上記分類パラメータに従って各電子文書をいずれかの文書分類にラベルして分類する。文書クラスタリングの方法としては、すでに文書分類がラベルされている電子文書が多数存在する場合には、このラベル済みの一群の電子文書から学習して文書分類のルールを得ることができる。一方、初期の導入時など文書分類がラベルされている電子文書が少数である場合に対応し、本実施形態では、文書分類がラベルされていない電子文書を利用して分類精度を向上させる手法を利用する。このような手法としては、制約付きのクラスタリング・アルゴリズムを用いることができ、制約付きＫ平均（Constrained K-means）法を好適に用いることができる。なお、本実施形態では、初期のクラスタ中心をランダムに選ぶのではなく、キーワードから求めることを制約として用いる。
【００３９】
より具体的には、「排他」の文書分類間の関係が選択された場合には、まず各文書分類Ｃｉ（ｉ＝１，…Ｎ｜Ｎは文書分類の数である。）指定されたキーワードを用いて初期の中心文書ベクトルＷ（Ｃｉ）のセットを生成し、中心文書ベクトルＷ（Ｃｉ）との距離に従った（再）分類と、各中心文書ベクトルＷ（Ｃｉ）の再計算（つまり、各文書分類に（再）分類された電子文書にわたり文書ベクトルにおける出現回数の平均を算出する。）とを、定常解に収束するまで繰り返すことにより、各文書分類に指定されたキーワードに応じた分類を行うことができる。この場合、各電子文書には、いずれかひとつの文書分類がラベルされることとなる。図７（Ｄ）は、収束した中心文書ベクトルのデータ構造を例示する。図７（Ｄ）に示す中心文書ベクトルデータ３３０は、形態素３３０ａと、各文書分類における形態素の出現回数の平均値３３０ｂ〜ｄとの集合として構成される。
【００４０】
一方、「共存」の文書分類間の関係が選択された場合には、ひとつの文書分類Ｃｉに対し、その文書分類Ｃｉとそれ以外Ｎｏｔ＿Ｃｉとに分けて、各文書分類Ｃｉに対してＫ平均アルゴリズムを適用することにより、各文書分類に指定されたキーワードに応じた分類を行うことができる。この場合において、ひとつの文書分類Ｃｉについてまず、その文書分類Ｃｉに指定されたキーワードを用いて初期の中心文書ベクトルＷ（Ｃｉ）を生成し、それ以外の文書分類に指定されたキーワードから、それ以外を表すＮｏｔ＿Ｃｉの初期の中心文書ベクトルＷ（Ｎｏｔ＿Ｃｉ）を生成する。そして、中心文書ベクトルＷ（Ｃｉ）またはＷ（Ｎｏｔ＿Ｃｉ）との距離に従った文書分類Ｃｉそれ以外の文書分類Ｎｏｔ＿Ｃｉへの（再）分類と、各中心文書ベクトルの再計算とを、定常解に収束するまで繰り返すことにより、文書分類Ｃｉとそれ以外とへの分類を行う。そして、上述した操作をすべての文書分類Ｃｉ（１，…，Ｎ）について行う。この場合、ひとつの電子文書に対し複数の文書分類をラベルすることが可能となる。
【００４１】
再び図２を参照して説明する。ファイル解析部２１４は、対象となるすべての電子文書に対する解析処理が完了すると、その解析結果を解析結果表示部２１６に渡す。解析結果表示部２１６は、渡された解析結果をユーザが理解しやすい形式のデータに処理し、管理端末１３０へ送信する。解析結果のデータを受信すると、管理端末１３０では、その解析結果閲覧部２３２が、解析処理により分類された結果を示す分類結果閲覧画面を管理端末１３０の表示画面上に表示させる。図１０は、第１実施形態の管理端末の表示画面上に表示される他のＧＵＩを例示する。図１０（Ａ）は、分類結果閲覧画面を示す。図１０（Ａ）に示す分類結果閲覧画面４５０は、いずれかの文書分類に属する電子文書を一覧表示するためのタブ４５２ａ，４５２ｂ，４５２ｃを含んでいる。図１０（Ａ）に示す例では、「経営」のタブ４５２ａが選択され、「経営」の文書分類に属する電子文書の一覧リスト４５４が表示されている。一覧リスト４５４には、電子文書のファイル名と、保管場所を示すＵＲＬパスとが、スクロールバー４５４ｂによりスクロール可能に表示されている。
【００４２】
タブ４５２ａは、さらに、分類処理の結果生成された分類情報のユーザによる編集指示を待ち受ける分類情報編集ボタン４５６を含んでいる。分類情報編集ボタン４５６がクリックされると、解析結果閲覧部２３２は、一覧リスト４５４において現在選択中（例えば反転表示４５４ａにより強調表示されている。）の電子文書に対する分類情報を編集するための分類情報編集ダイアログを呼び出す。図１０（Ｂ）および（Ｃ）は、分類情報編集ダイアログを示す。図１０（Ｂ）は、「共存」が選択された場合の分類情報編集ダイアログ４６０Ａを示し、電子文書の表示４６２Ａと、当該文書が分類される文書分類を指定するチェックボックス４６４Ａと、文書分類情報の内容を確定する決定ボタン４６６Ａとを含む。一方、図１０（Ｃ）は、「排他」が選択された場合の分類情報編集ダイアログ４６０Ｂを示し、チェックボックスに代えて、文書分類を排他的に選択するためのラジオボタン４６４Ｂが示されている。このようなダイアログによる編集により、管理者は、分類の判定が気になる電子文書に対して、望ましい文書分類に分類されるように修正を施すことが可能となる。
【００４３】
再び図１０（Ａ）を参照すると、分類結果閲覧画面４５０において、「次へ」ボタン４５８がクリックされると、解析結果閲覧部２３２は、ポリシ設定入力部２３４に処理を渡す。管理端末１３０のポリシ設定入力部２３４は、各文書分類毎にセキュリティポリシを設定入力するためのポリシ設定入力画面を表示させる。図１１は、第１実施形態の管理端末１３０の表示画面上に表示されるポリシ設定入力画面を示す。本実施形態において電子文書に適用されるセキュリティポリシは、ポリシ番号と、ポリシ発効日と、閲覧権限者と、閲覧付加条件と、印刷権限者と、印刷権限付加条件とを含んで構成される。そして、図１１に示すポリシ設定入力画面４７０は、これらセキュリティポリシを構成する情報を入力するためのＧＵＩ部品を含んでいる。
【００４４】
ポリシ設定入力画面４７０は、ポリシ番号を表示するボックス４７２と、ポリシ発効日を入力するためのテキストボックス群４７４とを含む。ポリシ設定入力部２３４は、複数のポリシを識別するための識別値であるポリシ番号を採番し、ボックス４７２に表示させる。「ポリシ発効日」とは、ここで作成されるセキュリティポリシが実際にセキュアファイルに適用されて有効となる日である。本実施形態においては、セキュアファイルに対して複数のセキュリティポリシが設定可能に構成され、複数作成されるそれぞれのセキュリティポリシに対し異なる発効日を設定しておくことにより、ポリシ発効日を境に異なるポリシをセキュアファイルに適用させることが可能とされる。
【００４５】
ポリシ設定入力画面４７０は、さらに、閲覧権限者を登録するためのリストボックス４７６と、閲覧付加条件を登録するためのボックス４７８とを含む。「閲覧権限者」とは、セキュアファイルの閲覧が許可される利用者である。管理者は、所定の文書分類に属する電子文書のセキュアファイルに対し、閲覧許可を付与したい利用者の氏名やユーザＩＤ、端末名などの利用要求元を識別する利用要求元識別情報をこのリストに入力する。「閲覧付加条件」とは、閲覧権限者によるセキュアファイルの閲覧に際して、付加的に適用する条件をいう。すなわち、「閲覧付加条件」は、閲覧権限者に対し、閲覧に付随してセキュアファイルの取り扱いの範囲を設定する条件をいい、後述するように取り扱いの注意を喚起する条件や、取り扱いの制限を示す条件などを挙げることができる。図１１に示すセキュリティポリシ設定入力画面においては、管理者は、予め用意された条件の中からポリシとして設定したい条件を指定する。例えば、閲覧オプションの「警告メッセージ表示」が有効に設定されると、利用者がセキュアファイルを閲覧する際に、利用者が利用する利用者端末１４０の表示画面上に「取り扱いに注意してください。」などの警告メッセージが表示されるようになる。
【００４６】
ポリシ設定入力画面４７０は、さらに、印刷権限者を登録するためのリストボックス４８０と、印刷付加条件を登録するためのボックス４８２とを含む。「印刷権限者」とは、セキュアファイルの閲覧が許可される利用者のうち、さらに印刷が許可される利用者である。印刷権限者として登録されると、利用者端末１４０においてセキュアファイルを印刷することが可能となる。管理者は、所定の文書分類に属する電子文書のセキュアファイルに対し、印刷許可を付与したい利用者の利用要求元識別情報をこのリストに入力する。「印刷付加条件」とは、印刷権限者によるセキュアファイルの印刷に際して付加的に適用する条件をいう。
【００４７】
例えば印刷オプションの「警告メッセージ表示」が有効とされると、利用者端末１４０においてセキュアファイルが印刷される際に、「取り扱いに注意してください。」などの警告メッセージが表示画面上に表示されるようになる。印刷オプションの「機密印刷」が有効にされると、プリントアウトに際し、利用者に対しプリンタへの秘密のＰＩＮ（Personal Identification Number）の入力が要求されるようになる。さらに、「地紋印刷」が有効とされると、複写機で複写された場合に例えば利用者名及び印刷日時が浮き上がる地紋画像が、セキュアファイルの画像に重ね合わせて印刷されるようになる。「スタンプ印刷」が有効とされると、例えば「極秘」のマークがスタンプとしてセキュアファイルの画像に重ねて印刷されるようになる。「警告印字」が有効とされると、セキュアファイルが印刷される際に、例えば利用者名及び印刷日時が印字されるようになる。
【００４８】
なお、上述した閲覧オプションおよび印刷オプションは、例示であって、「閲覧付加条件」は、上述した条件以外の付加条件をセキュリティポリシとして設定するようにすることもできる。例えば、「地紋印刷」や「スタンプ印刷」や「警告印字」などに対し、さらに印刷する地紋パターン、スタンプ、警告の内容などを個別に指定するようなことも可能である。
【００４９】
ここで再び図２を参照して説明する。管理者により、すべての文書分類に対しセキュリティポリシ設定入力画面４７０を介してセキュリティポリシの設定が行われ、最後の文書分類に対するセキュリティポリシ設定入力画面４７０の「次へ」ボタン４８４がクリックされると、ポリシ設定入力部２３４は、ポリシ設定処理の開始をセキュア文書管理サーバ１１０に指令する。なお、各文書分類毎のセキュリティポリシを記述するデータは、上記セキュリティポリシ設定入力画面４７０の切り替わりの際に、または最後のポリシ設定処理の開始の指令とともにセキュア文書管理サーバ１１０に送信される。また、文書分類の修正内容も、セキュア文書管理サーバ１１０に送信され、確定された文書分類の結果が、ファイルＤＢ２１２に保存される。
【００５０】
セキュア文書管理サーバ１１０は、その機能部として、ポリシ設定部２１８と、ファイル送信部２２０とをさらに含む。ポリシ設定部２１８は、各文書分類毎のセキュリティポリシを記述するデータを受け取り、ファイルＤＢ２１２から文書分類情報を読み出し、各文書分類に属する電子文書それぞれに対するセキュリティポリシの設定データに変換する。
【００５１】
より具体的には、文書分類間の関係に「排他」が選択された場合には、ひとつの電子文書にはひとつの文書分類しかラベルされていないため、ラベルされた文書分類に対応するセキュリティポリシがその電子文書に設定すべきポリシとなる。一方、文書分類間の関係に「共存」が選択された場合には、ひとつの電子文書に複数の文書分類がラベルされている可能性があるため、選択された結合方法に従ってラベルされた文書分類のセキュリティポリシを結合する。ひとつの文書分類のみがラベルされている電子文書については、ラベルされた文書分類に対応するセキュリティポリシに従う。複数の文書分類がラベルされた電子文書については、（ｉ）「拒否優先」の結合方法が選択された場合には、閲覧権限者および印刷権限者の共通集合を求め、付加条件については、一旦設定されたことを検知したものをそのまま流用する。またこの場合、「拒否優先」は、最も制約が厳しくなるように運用するものであるから、付加条件の和集合を設定するよう構成してもよい。（ｉｉ）「許可優先」の結合方法が選択された場合には、閲覧権限者および印刷権限者の和集合を求め、付加条件については、一旦設定されたことを検知すると、そのまま流用する。またこの場合、「許可優先」は、制約が緩和されるように運用するものであるから、付加条件の共通集合を設定するよう構成してもよい。（ｉｉｉ）「分類優先」の結合方法が選択された場合には、閲覧権限者、印刷権限者および各付加条件について、優先順位の高い方の文書分類のものに従う。
【００５２】
例えば、「経営」の文書分類に対し、「山田太郎」および「田中花子」が閲覧権限者として登録され、「生産管理」の文書分類に対し、「山田太郎」、「田中花子」および「鈴木良子」が閲覧権限者として登録されている場合の「経営」および「生産管理」の文書分類がラベルされている電子文書について考える。上記（ｉ）「拒否優先」の結合方法では、両分類で閲覧権限を有する「山田太郎」および「田中花子」のみが閲覧権限者となり、上記（ｉｉ）「許可優先」の結合方法では、少なくともいずれかの分類の閲覧権限を有する「山田太郎」、「田中花子」および「鈴木良子」が閲覧権限者となる。（ｉｉｉ）「分類優先」の結合方法が選択された場合には、優先順位が高い文書分類のポリシに従う。
【００５３】
図１２は、第１実施形態の文書セキュリティ管理システム１００において使用されるデータ構造を示す。図１２（Ａ）は、各電子文書に対応して生成されるセキュリティポリシの設定データのデータ構造を示す。図１２（Ａ）に示すように、設定データには、電子文書の保管場所を示すＵＲＬと、文書のファイル名と、設定されたセキュリティポリシの内容とが記述されている。電子文書に対する設定データが変換されると、ポリシ設定部２１８は、各文書分類に属する電子文書それぞれのオリジナルファイルと、対応する設定データとをセットにして、ファイル送信部２２０介してセキュリティサーバ１５０へ送信する。ポリシ設定部２１８は、本実施形態において、設定手段および文書分類毎のセキュリティポリシを受け取る手段を構成する。
【００５４】
セキュリティサーバ１５０では、ファイル受信部２５０は、電子文書のオリジナルファイルと、対応する設定データとをセキュア文書管理サーバ１１０のファイル送信部２２０から受け取り、セキュアファイル変換部２５２に渡す。セキュアファイル変換部２５２は、ファイル受信部２５０から渡された電子文書のオリジナルファイルを、対応する設定データに従ってセキュリティ保護されたセキュアファイルに変換し、かつセキュアファイルを利用するための管理データであるセキュリティ管理データを生成する。なお、セキュアファイル変換部２５２は、本実施形態の変換手段を構成する。
【００５５】
以下、本実施形態の文書セキュリティ管理システム１００における、セキュアファイル変換処理の詳細について説明する。図３（Ｂ）は、セキュアファイル変換部２５２周辺の詳細ブロック図を示す。セキュアファイル変換部２５２は、図３（Ｂ）に示すように、より詳細には、ファイル暗号化部２７０と、鍵生成部２７２と、セキュリティ管理データ作成部２７４と、セキュアファイル作成部２７６と、ファイルＩＤ生成部２７８とを含む。
【００５６】
鍵生成部２７２は、暗号化アルゴリズムを用いて電子文書のオリジナルファイルを暗号化し、また復号するための鍵をランダムに生成する。ファイル暗号化部２７０は、ファイル受信部２５０が受信した電子文書のオリジナルファイルを、鍵生成部２７２が生成した暗号化鍵を用いて暗号化し、暗号化ファイルを作成する。ファイルＩＤ生成部２７８は、ファイル暗号化部２７０が暗号化したファイルを識別するための固有のファイルＩＤを採番する。なお、本実施形態で利用することができる暗号化アルゴリズムとしては、ＤＥＳ（Data Encryption Standard）トリプルＤＥＳ、ＡＥＳ（Advanced Encryption Standard）などの共通鍵暗号化方式のアルゴリズムを挙げることができる。また、他の実施形態では、ＲＳＡやＥＬＧａｍａｌなどの公開鍵暗号方式のアルゴリズムを用いることもできる。
【００５７】
セキュアファイル作成部２７６は、ファイル暗号化部２７０が作成した暗号化ファイルに、ファイルＩＤ生成部２７８が生成したファイルＩＤを付加して、セキュアファイルを作成し、セキュアファイル送信部２５４に渡す。そして、セキュアファイル送信部２５４は、セキュアファイル変換部２５２が生成したセキュアファイルをセキュア文書管理サーバ１１０へ送信する。一方、セキュリティ管理データ作成部２７４は、上記暗号化ファイルを復号するための鍵と、ファイル受信部２５０が受信した設定データとに従って、利用を管理するためのセキュリティ管理データを作成し、セキュリティ管理データ保管部２５６に渡す。セキュリティ管理データ保管部２５６は、セキュアファイルに対応付けてセキュリティ管理データをセキュリティ管理ＤＢ２５８に格納する。
【００５８】
図１２（Ｂ）は、セキュリティ管理ＤＢ２５８に保管されるセキュリティ管理データのデータ構造を例示する。図１２（Ｂ）に示すように、セキュリティ管理データには、電子文書に固有に割り当てられるファイルＩＤと、セキュアファイルの暗号化データを復号するための鍵と、設定されたセキュリティポリシの内容とが記述される。
【００５９】
ここで再び図２を参照して説明すると、セキュア文書管理サーバ１１０は、さらにその機能部として、セキュアファイル受信部２２２と、セキュアファイルＤＢ２２４とを含む。セキュアファイル受信部２２２は、セキュリティサーバ１５０で変換された各電子文書に対応するセキュアファイルを受信し、利用者端末１４０などから外部利用できるようにセキュアファイルＤＢ２２４に保管する。これにより、利用者端末１４０のセキュアファイル取得部２４０は、セキュア文書管理サーバ１１０のセキュアファイルＤＢ２２４にアクセスし、所望の電子文書のセキュアファイルを利用することが可能となる。
【００６０】
なお、セキュア文書管理サーバ１１０がウェブサーバとして構成され、管理端末１３０においてウェブブラウザを利用してウェブベースの管理インタフェースにアクセスする実施形態では、セキュア文書管理サーバ１１０における上記ファイル取得部２１０、解析結果表示部２１６およびポリシ設定部２１８は、ＨＴＭＬ（HyperText Markup Language）や、ＪａｖａＳｃｒｉｐｔ（登録商標）などのスクリプト言語によって、各画面のユーザインタフェースを記述するウェブページを生成する手段として構成される。この場合、生成されたウェブページは、ＨＴＴＰプロトコルに従って管理端末１３０に送信され、管理端末１３０上のウェブブラウザにおいて、ウェブページの記述に従って、ポリシ設定開始指令部２３０、解析結果閲覧部２３２およびポリシ設定入力部２３４とが実現されることとなる。
【００６１】
以下、本実施形態のセキュアファイル変換サービスの動作について、シーケンス図およびフローチャートを参照しながら説明する。図４は、第１実施形態の文書セキュリティ管理システムにおける、セキュアファイル変換サービスの動作を示すシーケンス図である。図４には、管理端末１３０、セキュア文書管理サーバ１１０およびセキュリティサーバ１５０の動作が示されている。
【００６２】
管理端末１３０において、例えば図８（Ａ）に示す開始画面４００を介して、セキュアファイルへの一括変換を要求する旨の指示が入力装置に入力されると、このセキュアファイルの一括変換処理が開始され、ステップＳ１００で管理端末１３０は、例えば図８（Ｂ）および図９に示したポリシ設定のための画面を表示装置に表示させる。ポリシ設定のための画面を介して、対象の保管場所および分類パラメータの入力を受け付け決定されると、ステップＳ１０１で管理端末１３０は、指定された保管場所のリストと、分類パラメータとをセキュア文書管理サーバ１１０に渡して、分類パラメータを初期化するとともに、指定された条件に従った分類処理の実行を指令する。
【００６３】
指令を受けてセキュア文書管理サーバ１１０は、ステップＳ１０２で、上記保管場所のリストに指定された保管場所から電子文書のファイルを取得し、電子文書を分類するための解析処理を呼び出す。図５は、第１実施形態のセキュア文書管理サーバ１１０が実行する、「排他」が選択された場合の解析処理を示すフローチャートである。なお、図５に示す解析方法は、制約付きＫ平均法に基づくものを例示し、分類パラメータの文書分類間の関係が「排他」であった場合に呼び出される。
【００６４】
図５に示す処理は、図４に示したステップＳ１０２の処理で呼び出されて、ステップＳ２００から開始する。ステップＳ２０１では、セキュア文書管理サーバ１１０は、ファイルＤＢ２１２に格納された電子文書のファイルを読み出し、適切な文書フィルタを呼び出して、この電子文書からテキストを抽出し、抽出したテキストをメモリまたはＨＤＤなどの記憶領域に格納する。
【００６５】
ステップＳ２０２でセキュア文書管理サーバ１１０は、電子文書から抽出されて格納されたテキストを読み出し、適切な形態素解析エンジンを呼び出して、テキストを形態素に分割し、各形態素に品詞情報をタグ付けし、フィルタリングにより不要語を除去し、その構文解析結果データを記憶領域に格納する。ステップＳ２０３では、セキュア文書管理サーバ１１０は、記憶領域から構文解析結果データを読み出して、各形態素毎に出現回数を計数し、文書ベクトルを作成し、電子文書に対応付けて文書ベクトルを記憶領域に格納する。
【００６６】
ステップＳ２０４でセキュア文書管理サーバ１１０は、ファイルＤＢ２１２に未処理の電子文書のファイルが残されているか否か、すなわち全ての対象の電子文書に対する文書ベクトルの作成が完了したか否かを判定する。ステップＳ２０４で、完了していないと判定された場合（ＮＯ）には、ステップＳ２０５へ処理が進められ、次の電子文書を対象とし、ステップＳ２０１へループさせる。一方、ステップＳ２０４で、完了していると判定された場合（ＹＥＳ）には、ステップＳ２０６へ処理が進められる。
【００６７】
ステップＳ２０６でセキュア文書管理サーバ１１０は、管理端末１３０から渡された分類パラメータの各文書分類のキーワードに従って、初期値としての各文書分類Ｃｉの中心文書ベクトルＷ（Ｃｉ）を生成し、適宜、文書ベクトルについても修正を加える。例えば、分類パラメータに含まれるキーワードが文書ベクトルを構成していない場合などには、対応するキーワードの値を０として文書ベクトルの要素に追加する。ステップＳ２０７では、セキュア文書管理サーバ１１０は、各文書分類Ｃｉの中心文書ベクトルＷ（Ｃｉ）と、各文書ベクトルとのユークリッド距離を算出し、各文書ベクトルが最短距離にある中心文書ベクトルの文書分類に属するものとして電子文書を分類する。ステップＳ２０８では、セキュア文書管理サーバ１１０は、新たに分類された各文書分類について、属する文書ベクトルの平均を算出し、新たな中心文書ベクトルを算出し、更新する。
【００６８】
ステップＳ２０９では、セキュア文書管理サーバ１１０は、従前の各中心文書ベクトルと、新しく算出された各中心文書ベクトルとを比較して、収束したか否かを判定する。例えば、ひとつ前の各中心文書ベクトルと新しい各中心文書ベクトルの差の自乗和を指標値として算出し、一定基準値以下に収まった場合に収束したものと判定することができる。この場合に、イタレーション回数の上限値を設定してもよい。ステップＳ２０９で、収束していないと判定された場合（ＮＯ）には、ステップＳ２０７へ処理をループさせ、収束判定条件が満たされるまで、中心文書ベクトルの再計算と再分類処理を繰り返させる。一方、ステップＳ２０９で、収束したと判定された場合（ＹＥＳ）には、ステップＳ２１０へ処理を進める。ステップＳ２１０では、セキュア文書管理サーバ１１０は、文書集合への分類を確定し、分類結果を示すデータを生成し、記憶領域に格納し、ステップＳ２１１で当該解析処理を終了させる。
【００６９】
一方、図６は、第１実施形態のセキュア文書管理サーバが実行する、「共存」が選択された場合の解析処理を示すフローチャートである。図６に示す解析方法は、制約付きＫ平均法に基づくものを例示し、分類パラメータの文書分類間の関係が「共存」であった場合に呼び出される。なお、ステップＳ３００〜Ｓ３０５までの処理は、図５に示したものと同一であるため説明を割愛する。
【００７０】
ステップＳ３０４で処理が完了していると判定されて、ステップＳ３０６およびステップＳ３１２のループにより、各文書分類ＣｉについてステップＳ３０７〜Ｓ３１１の処理が繰り返される。ステップＳ３０７では、セキュア文書管理サーバ１１０は、管理端末１３０から渡された処理対象の文書分類Ｃｉのキーワードに従って、初期値としての文書分類Ｃｉの中心文書ベクトルＷ（Ｃｉ）を生成する。ステップＳ３０８では、セキュア文書管理サーバ１１０は、対象の文書分類Ｃｉ以外の文書分類のキーワードを用いて、初期値としての中心文書ベクトルＷ（ＮＯＴ＿Ｃｉ）を生成する。例えば、ループにおいて処理の対象である文書分類Ｃｉではない文書分類のキーワードから各キーワードの出現回数の平均を求める。ステップＳ３０９では、中心文書ベクトルＷ（Ｃｉ）およびＷ（ＮＯＴ＿Ｃｉ）と、各文書ベクトルとのユークリッド距離を算出し、各文書ベクトルが最短距離にある中心文書ベクトルの文書分類に属するものとして電子文書を分類する。ステップＳ３１０では、セキュア文書管理サーバ１１０は、新たに分類された結果に従って、文書ベクトルの平均を算出し、新たな中心文書ベクトルＷ（Ｃｉ）およびＷ（ＮＯＴ＿Ｃｉ）を算出し、更新する。
【００７１】
ステップＳ３１１では、セキュア文書管理サーバ１１０は、従前の各中心文書ベクトルと、新しく算出された各中心文書ベクトルとを比較して、収束したか否かを判定する。ステップＳ３１１で、収束していないと判定された場合（ＮＯ）には、ステップＳ３０９へ処理をループさせ、収束判定条件が満たされるまで、中心文書ベクトルの再計算と再分類処理とを繰り返させる。一方、ステップＳ３１１で、収束したと判定された場合（ＹＥＳ）には、ステップＳ３１２へ処理を進め、処理すべき文書分類があれば、次の文書分類Ｃｉ＋１に処理を進める。設定された全ての文書分類に対する処理が完了すると、ステップＳ３１３では、セキュア文書管理サーバ１１０は、文書集合への分類を確定し、分類結果を示すデータを生成し、記憶領域に格納し、ステップＳ３１４で当該解析処理を終了させる。
【００７２】
再び図４を参照すると、ステップＳ１０２の解析処理の後、ステップＳ１０３でセキュア文書管理サーバ１１０は、分類結果をユーザが見やすい形式に変換し、管理端末１３０へ送信する。ステップＳ１０４で管理端末１３０は、図１０（Ａ）に示した分類結果閲覧画面４５０をディスプレイなどに表示させる。ステップＳ１０５では、管理端末１３０は、分類結果閲覧画面４５０を介した分類結果の修正および確認を受付する。管理端末１３０において、例えば図１０（Ａ）に示す分類結果閲覧画面４５０を介して、セキュリティポリシの設定に進める旨の指示が入力装置に入力されると、ステップＳ１０６で管理端末１３０は、例えば図１１に示したポリシ設定入力画面４７０を表示させる。管理者により、すべての文書分類に対しセキュリティポリシの設定が行われて、設定が完了すると、管理端末１３０は、ポリシ設定処理の開始の指示をセキュア文書管理サーバ１１０に送信する。ステップＳ１０７でセキュア文書管理サーバ１１０は、各文書分類の要素として含まれる各電子文書に対して、電子文書それぞれに対するセキュリティポリシの設定データを展開し、電子文書それぞれのオリジナルファイルと、対応する設定データとをセットにして、セキュリティサーバ１５０へ送信し、セキュアファイル変換処理を依頼する。
【００７３】
セキュリティサーバ１５０は、セキュア文書管理サーバ１１０から各電子文書の設定データおよびオリジナルファイルを受信すると、ステップＳ１０８で、オリジナルファイルを暗号化および復号するための鍵をランダムに生成し、ステップＳ１０９で、生成した鍵を用いて受信した電子文書のオリジナルファイルを暗号化し、暗号化ファイルを作成する。さらにセキュリティサーバ１５０は、ステップＳ１１０で、暗号化ファイルを識別するためのファイルＩＤを生成し、ステップＳ１１１で、暗号化ファイルに対応するファイルＩＤを付加して各電子文書のセキュアファイルを作成し、作成した各電子文書のセキュアファイルをセキュア文書管理サーバ１１０に送信する。
【００７４】
またセキュリティサーバ１５０は、ステップＳ１１２で、生成したファイルＩＤと、暗号化ファイルの復号に用いる鍵と、受信した設定データ内のセキュリティポリシとを含むセキュリティ管理データを作成し、ステップＳ１１３で、作成したセキュリティ管理データをセキュリティ管理ＤＢ２５８に格納する。ステップＳ１１４では、セキュリティサーバ１５０は、すべての電子文書に対する処理が完了するまで（ＮＯの間）、ステップＳ１０８へ処理をループさせ、すべての電子文書に対する処理が完了すると（ＹＥＳ）処理を終了させる。このようにして、各電子文書について、ファイルＩＤにより識別されるセキュリティ管理ファイルがセキュリティ管理ＤＢ２５８に格納され、また各電子文書について、セキュアファイルがセキュア文書管理サーバ１１０に送信される。
【００７５】
一方、セキュア文書管理サーバ１１０では、セキュリティサーバ１５０からセキュアファイルを受信すると、ステップＳ１１５で、受信したセキュアファイルをセキュアファイルＤＢ２２４に格納し、利用者がアクセス可能な状態とする。ステップＳ１１６では、セキュア文書管理サーバ１１０は、すべての電子文書に対するセキュアファイルの受信が完了するまで（ＮＯの間）、ステップＳ１１５へ処理をループさせ、すべての電子文書のセキュアファイルの格納が完了すると（ＹＥＳ）、ステップＳ１１７で管理端末１３０に処理終了を通知し、処理を終了させる。このようにして、各電子文書について、セキュアファイルＤＢ２２４内にセキュアファイルが格納され、ユーザから利用可能な状態となる。
【００７６】
以下、第１実施形態の文書セキュリティ管理システム１００における、セキュアファイル利用時の動作について説明する。図１３および図１４は、第１実施形態の文書セキュリティ管理システムにおける、セキュアファイル利用時のシーケンス図である。なお、図１３および図１４は、ポイントＡおよびポイントＢで連結されていることに留意されたい。図１３および図１４には、利用者端末１４０およびセキュリティサーバ１５０の動作が示されている。なおここでは、上述したセキュアファイル変換処理により、利用者端末１４０においてセキュアファイルが既に取得されており、利用者端末１４０のハードディスクなどの記憶領域にセキュアファイルが記憶されているものとして説明する。
【００７７】
利用者端末１４０において、例えば利用者端末１４０のディスプレイに予め表示されている複数のセキュアファイルのアイコンのうちの１つのアイコンが、利用者の操作によりクリックがされるなど入力装置にセキュアファイルを指定する情報が入力されると、セキュアファイルの利用処理が開始され、ステップＳ４０１で利用者端末１４０は、入力装置からの入力に従って、セキュアファイルの指定情報を取得する。この指定情報は、パス名やファイル名、ＵＲＬなどが挙げられる。
【００７８】
続いて利用者端末１４０は、ステップＳ４０２で、取得した指定情報から特定されるセキュアファイルを記憶領域から読み出し、ステップＳ４０３で、読み出したセキュアファイルからファイルＩＤを取り出す。ステップＳ４０４では、利用者端末１４０は、セキュアファイルの利用者の利用者ＩＤを取得する。例えばディスプレイに利用者ＩＤ入力画面を表示し、この入力画面を介して利用者により入力装置に入力された利用者ＩＤを取得する。なお、利用者端末１４０が特定の利用者の専用端末であって、利用者ＩＤが利用者端末１４０内に予め記憶されているような場合には、記憶されている利用者ＩＤを読み出して取得してもよい。そして、ステップＳ４０５で利用者端末１４０は、ファイルＩＤと利用者ＩＤとをセキュリティサーバ１５０に送信する。
【００７９】
セキュリティサーバ１５０は、ステップＳ４０６で、利用者端末１４０から受信したファイルＩＤを有するセキュリティ管理データを、セキュリティ管理ＤＢ２５８から読み出し、ステップＳ４０７で、読み出したセキュリティ管理データからポリシを取り出す。さらに、セキュリティサーバ１５０は、ステップＳ４０８で、取り出したポリシから閲覧権限者情報を取り出し、ステップＳ４０９で、取り出した閲覧権限者情報を利用権限者ＩＤテーブルを参照して、ＩＤ情報である閲覧権限者ＩＤに変換する。利用権限者ＩＤテーブルは、セキュアファイルに対して利用権限が与えられる可能性のある者の氏名等とその者の識別情報である利用権限者ＩＤとを関連付けて記憶するものである。より具体的には、例えば所定の会社内で利用する場合には、本システムを利用する可能性がある全社員の氏名とＩＤとが関連付けて記憶されるものである。なお、セキュリティポリシ自体にＩＤ情報で閲覧権限者が登録されている場合には、上記のような変換は行わなくともよい。
【００８０】
続いてセキュリティサーバ１５０は、ステップＳ４１０で、変換して得た閲覧権限者ＩＤに、利用者端末１４０から受信した利用者ＩＤが含まれているか否かを判別することにより、利用者に閲覧権限があるか否かを判別する。ここで、利用者に閲覧権限がない場合（ステップＳ４１０；ＮＯ）には、セキュリティサーバ１５０は、ステップＳ４１１で、利用者端末１４０に閲覧不許可情報を送信する。この場合、利用者端末１４０は、ステップＳ４１２で、セキュリティサーバ１５０から受信した閲覧不許可情報に従って、閲覧が許可されていない旨の情報をディスプレイに表示し、このセキュアファイル利用処理を終了する。このように、ポリシに閲覧権限者として設定されていない利用者は、セキュアファイルを閲覧することができない。
【００８１】
一方、利用者に閲覧権限が有る場合（ステップＳ４１０；ＹＥＳ）には、セキュリティサーバ１５０は、図１４に示すステップＳ４１３で、読み出したセキュリティ管理データから復号のための鍵を取り出し、さらにステップＳ４１４で、取り出したポリシから閲覧付加条件を取り出す。そして、ステップＳ４１５でセキュリティサーバ１５０は、取り出した鍵と、閲覧付加条件とを利用者端末１４０に送信する。また、利用者に印刷権限がある場合には、印刷が許可されている旨の情報を閲覧付加条件に含め、さらに印刷付加情報を利用者端末１４０に送信する。
【００８２】
利用者端末１４０は、セキュリティサーバ１５０から鍵および閲覧付加条件を受信すると、ステップＳ４１６で、読み出したセキュアファイルから暗号化ファイルを取り出し、ステップＳ４１７で、セキュリティサーバ１５０から受信した鍵を用いて暗号化ファイルを復号し、閲覧可能なファイルに戻す。
【００８３】
続いてステップＳ４１８では、利用者端末１４０は、復号した電子文書ファイルの内容を、受信した閲覧付加条件に従ってディスプレイに表示する。具体的には、閲覧付加条件として、閲覧オプションの「警告メッセージ表示」が設定されている場合には、利用者端末１４０は、ドキュメント内容の表示に伴ってディスプレイに警告メッセージを表示する。
【００８４】
また、利用者により入力装置を介して印刷要求が指示された場合には、利用者端末１４０は、受信した閲覧付加条件の印刷設定に従い、文書内容の印刷を制御する。具体的には、閲覧付加条件において印刷許可が設定されている場合には、印刷は許可され、印刷不許可が設定されている場合には、印刷は禁止される。さらに、閲覧付加条件において印刷オプションが設定されている場合には、利用者端末１４０は、入出力インタフェースに接続されるプリンタのプリンタドライバ等を制御することにより、印刷に際して、印刷オプションに沿った印刷を行う。このようにして、ポリシに閲覧権限者として設定されている利用者のみが、セキュアファイルの閲覧および印刷の利用をすることができる。
【００８５】
続いてステップＳ４１９では、利用者端末１４０は、例えば内容表示ウィンドウが閉じられたことを検出することなどにより、利用者によるセキュアファイルの閲覧が終了したか否かを判別し、セキュアファイルの閲覧終了を待つ（ステップＳ４１９でＮＯの間）。一方、閲覧が終了したと判別された場合には（ステップＳ４１９；ＹＥＳ）、利用者端末１４０は、ステップＳ４２０で、セキュリティサーバ１５０から受信した鍵と、ステップＳ４１７において復号して作成したファイルとを利用者端末１４０内の記憶領域から削除し、このセキュアファイル利用処理を終了する。
【００８６】
上述した実施形態によれば、文書リポジトリ１６０などに保管されている既存の電子文書に対して、その電子文書の内容に従って文書分類し、電子文書の内容の類似性によって文書分類をラベルして、まとまった電子文書の集合に対し一括にセキュリティポリシを設定することが可能となる。これにより、システムの導入時などにおける管理者の作業負担が軽減され、ひいてはセキュリティ管理システムの導入に対する敷居を低くすることが可能となる。また管理者は、電子文書の保管場所に応じて文書分類や文書分類に対応するセキュリティポリシをカスタマイズすることができるため、その文書管理システムにおける文書リポジトリの管理者の視点から電子文書に対してセキュリティポリシを設定したいとの要望に応えることもできる。
【００８７】
なお、上述した実施形態では、文書分類に用いるクラスタリング・アルゴリズムとして、制約付きＫ平均法を用いるものについて詳細に説明してきた。しかしながら、本発明の実施形態で採用することができるクラスタリング・アルゴリズムは、上述したものに限定されるものではない。以下、他のクラスタリング・アルゴリズムを用いる他の実施形態にいて説明する。
【００８８】
［第２実施形態］
なお、以下説明する第２実施形態の文書セキュリティ管理システムは、第１実施形態の文書セキュリティ管理システム１００と概ね同一の構成を備えているため、以下、相違点である解析処理について説明する。第１実施形態の解析処理では、制約付きＫ平均法をクラスタリング・アルゴリズムとして用いたが、本第２実施形態の解析処理では、確率モデルであるナイーブ・ベイズ（Naive Bayes）法と、ＥＭ法とを組み合わせた手法を採用する。図１５は、第２実施形態のセキュア文書管理サーバ１１０が実行する、「排他」が選択された場合の解析処理を示すフローチャートである。
【００８９】
図１５に示す解析処理は、分類パラメータの文書分類間の関係が「排他」であった場合に、図４に示したステップＳ１０２の処理で呼び出され、ステップＳ５００から開始する。ステップＳ５０１では、セキュア文書管理サーバ１１０は、ファイルＤＢ２１２に格納された各電子文書のファイルを読み出し、各電子文書を解析し、単語ｗｔ（ｔ＝１，…｜Ｖ｜：｜Ｖ｜は、すべての文書集合における単語数である。）が特定の電子文書Ｄｉ（ｉ＝１，…｜Ｄ｜：｜Ｄ｜は、文書数である。）に出現した回数Ｎ（ｗｔ，Ｄｉ）を求める。ステップＳ５０１では、より具体的には、第１実施形態で説明したように、読み出した各電子文書のファイルに対し、適切な文書フィルタを使用して各電子文書からテキストを抽出し、形態素解析により形態素に分解して、不要語のフィルタリングを行う。そして、各電子文書Ｄｉについて各単語ｗｔの数を計数し、計数したＮ（ｗｔ，Ｄｉ）をメモリまたはＨＤＤなどの記憶領域に格納する。
【００９０】
ステップＳ５０２では、セキュア文書管理サーバ１１０は、各文書分類のキーワードのリストを文書と見なして、各文書分類Ｃｊについて、下記式（１）に従って単語ｗｔが文書分類Ｃｊに１回現れる確率を表すＰ（ｗｔ｜Ｃｊ）を計算し、下記式（２）に従って文書分類Ｃｊの出現確率を表すＰ（Ｃｊ）を計算する。
【００９１】
【数１】
2011018267.tif 000003
【００９２】
上記式中、Ｐ（Ｃｊ｜Ｄｉ）は、文書Ｄｉが文書分類Ｃｊに属する確率を表す。また、｜Ｃ｜は、文書分類の数を表す。文書分類のキーワードのリストを文書と見なして処理しているステップＳ５０２の計算では、｜Ｄ｜＝１であり、Ｐ（Ｃｊ｜Ｄｉ）については、キーワードのリストが表す文書Ｄｉが文書分類Ｃｊに対応している場合は、文書分類Ｃｊのキーワードリストを表している文書Ｄｉが文書分類Ｃｊに属する確率であるためＰ（Ｃｊ｜Ｄｉ）＝１とし、それ以外の場合はＰ（Ｃｊ｜Ｄｉ）＝０とする。続いてステップＳ５０３では、セキュア文書管理サーバ１１０は、すべての電子文書Ｄｉに対して、下記式（３）に従って、上記ステップＳ５０２で算出したＰ（ｗｔ｜Ｃｊ）およびＰ（Ｃｊ）を用い、各文書Ｄｉが文書分類Ｃｊに属する確率Ｐ（Ｃｊ｜Ｄｉ）を計算する。なお、本実施形態では、キーワードから確率Ｐ（Ｃｊ｜Ｄｉ）の初期値を求めている。
【００９３】
【数２】
2011018267.tif 000004
【００９４】
続いてステップＳ５０４では、各電子文書Ｄｉ（キーワードリストのものを除く。）対して新たに求められた確率Ｐ（Ｃｊ｜Ｄｉ）の値を使用して、各文書分類Ｃｊについて、上記式（１）に従いＰ（ｗｔ｜Ｃｊ）を計算し、上記式（２）に従いＰ（Ｃｊ）を計算する。ここで計算されるＰ（ｗｔ｜Ｃｊ）は、０以上１未満の値となる。ステップＳ５０５では、すべての電子文書Ｄｉに対して、上記ステップＳ５０４で算出したＰ（ｗｔ｜Ｃｊ）およびＰ（Ｃｊ）を用い、上記式（３）に従って確率Ｐ（Ｃｊ｜Ｄｉ）を再計算する。ステップＳ５０６では、セキュア文書管理サーバ１１０は、収束したか否かを判定する。例えば、前後における確率Ｐ（Ｃｊ｜Ｄｉ）の差の自乗和を指標値として算出し、一定基準値以下に収まった場合に収束したものと判定することができる。その他、確率Ｐ（Ｃｊ｜Ｄｉ）の平均変化率がある閾値以下に収まった場合に収束したものと判定することができる。
【００９５】
ステップＳ５０６で、収束していないと判定された場合（ＮＯ）には、ステップＳ５０４へ処理をループさせ、収束判定の条件が満たされるまで再計算を繰り返させる。一方、ステップＳ５０６で、収束したと判定された場合（ＹＥＳ）には、ステップＳ５０７へ処理を進める。ステップＳ５０７では、セキュア文書管理サーバ１１０は、各電子文書に対して、最も大きな確率Ｐ（Ｃｊ｜Ｄｉ）に対応する文書分類をラベルし、文書集合への分類を確定し、分類結果を示すデータを生成し、ステップＳ５０８で当該解析処理を終了させる。
【００９６】
図１６は、第２実施形態のセキュア文書管理サーバ１１０が実行する、「共存」が選択された場合の解析処理を示すフローチャートである。図１６に示す解析処理は、分類パラメータの文書分類間の関係が「排他」であった場合に、図４に示したステップＳ１０２の処理で呼び出され、ステップＳ６００から開始する。ステップＳ６０１では、セキュア文書管理サーバ１１０は、ファイルＤＢ２１２に格納された各電子文書を解析し、Ｎ（ｗｔ，Ｄｉ）を集計する。
【００９７】
続いてステップＳ６０２〜Ｓ６１０のループ処理が行われ、文書分類Ｃｊと、それ以外の文書分類ＮＯＴ＿Ｃｊとに分けて行う処理を各文書分類Ｃｊについて繰り返す。ステップＳ６０３では、セキュア文書管理サーバ１１０は、処理対象以外の文書分類のキーワードを用いて、文書分類ＮＯＴ＿Ｃｊのキーワードリストを作成する。ステップＳ６０４では、セキュア文書管理サーバ１１０は、対象の文書分類Ｃｊおよびそれ以外の文書分類ＮＯＴ＿Ｃｊのキーワードリストを文書と見なして、文書分類ＣｊおよびＮＯＴ＿Ｃｊ（以下、これらを区別しないでＣと参照することがある。）ついて、上記式（１）に従って単語ｗｔが文書分類Ｃに１回現れる確率を表すＰ（ｗｔ｜Ｃ）をそれぞれ計算し、上記式（２）に従って文書分類Ｃの出現確率を表すＰ（Ｃ）をそれぞれ計算する。続いてステップＳ６０５では、セキュア文書管理サーバ１１０は、すべての電子文書Ｄｉに対して、上記式（３）に従って、上記ステップＳ６０４で算出したＰ（ｗｔ｜Ｃ）およびＰ（Ｃ）を用いて、文書Ｄｉが文書分類ＣｊおよびＮＯＴ＿Ｃｊに属する確率Ｐ（Ｃｊ｜Ｄｉ）および確率Ｐ（ＮＯＴ＿Ｃｊ｜Ｄｉ）を計算する。
【００９８】
続いてステップＳ６０６では、新たに各電子文書Ｄｉ（キーワードリストのものを除く。）対して求めた確率Ｐ（Ｃ｜Ｄｉ）の値を使用して、文書分類ＣｊおよびＮＯＴ＿Ｃｊについて、上記式（１）に従ってＰ（ｗｔ｜Ｃ）を計算し、上記式（２）に従ってＰ（Ｃ）を計算する。ステップＳ６０７では、すべての電子文書Ｄｉに対して、上記ステップＳ６０６で算出したＰ（ｗｔ｜Ｃ）およびＰ（Ｃ）を用いて、上記式（３）に従い確率Ｐ（Ｃ｜Ｄｉ）を再計算する。ステップＳ６０８では、セキュア文書管理サーバ１１０は、従前の各確率Ｐ（Ｃ｜Ｄｉ）と、新しく算出されたの各確率Ｐ（Ｃ｜Ｄｉ）とを比較して、収束したか否かを判定する。ステップＳ６０８で、収束していないと判定された場合（ＮＯ）には、ステップＳ６０６へ処理をループさせ、収束判定の条件が満たされるまで再計算を繰り返させる。一方、ステップＳ６０８で、収束したと判定された場合（ＹＥＳ）には、ステップＳ６０９へ処理を進める。
【００９９】
ステップＳ６０９では、セキュア文書管理サーバ１１０は、各電子文書Ｄｉに対して、確率Ｐ（Ｃｊ｜Ｄｉ）および確率Ｐ（ＮＯＴ＿Ｃｊ｜Ｄｉ）の値の大きさに応じて、文書分類をラベルするか否かを決定する。例えば、確率Ｐ（Ｃｊ｜Ｄｉ）が確率Ｐ（ＮＯＴ＿Ｃｊ｜Ｄｉ）より大きい場合に、その文書分類Ｃｊに属するものと判定しラベルする。すべての文書分類Ｃｊに対するステップＳ６０２〜ステップＳ６１０の処理が完了すると、ステップＳ６１１でセキュア文書管理サーバ１１０は、文書集合への分類を確定し、分類結果を示すデータを格納し、ステップＳ６１２で当該解析処理を終了させる。
【０１００】
［第３実施形態］
以下、さらに他のクラスタリング・アルゴリズムを用いる実施形態について説明する。なお、以下説明する第３実施形態の文書セキュリティ管理システムは、第１実施形態の文書セキュリティ管理システム１００と概ね同様の構成を備えているため、以下、相違点である解析処理について説明する。上述した第２実施形態の解析処理では、ナイーブ・ベイズ（Naive Bayes）法とＥＭ法とを組み合わせた手法を用いたが、本第３実施形態では、グラフカット法を採用する。図１７は、第３実施形態のセキュア文書管理サーバ１１０が実行する解析処理を示すフローチャートである。
【０１０１】
図１７に示す解析処理は、図４に示したステップＳ１０２の処理で呼び出され、ステップＳ７００から開始される。ステップＳ７０１では、セキュア文書管理サーバ１１０は、各電子文書を解析し、含有する単語から構成される各電子文書Ｄｉの文書ベクトルを作成する。なおここでは、各文書分類ＣｊのキーワードリストＬｊからも文書ベクトルを作成し、以下の処理では、文書ＤおよびキーワードリストＬの和集合を用いてｋ近傍グラフを作成する。ステップＳ７０２では、セキュア文書管理サーバ１１０は、文書ベクトル間のユークリッド距離Ｅを計算する。ステップＳ７０３では、セキュア文書管理サーバ１１０は、各電子文書Ｄｉに対しユークリッド距離が近い方から上位ｋ個の文書ベクトルへの重み付き辺を張る。なお、辺の重みは、下記式（４）から決定することができる。下記式（４）中、Ｅ（Ｄｉ，Ｄｊ）は、文書Ｄｉと文書Ｄｊとの間のユークリッド距離を表し、ｎは一定値の任意の正数である。
【０１０２】
【数３】
2011018267.tif 000005
【０１０３】
続いてステップＳ７０４〜Ｓ７０８で示すループ処理によって、各文書分類Ｃｊについて、生成されたｋ近傍グラフに対する処理が行われる。ステップＳ７０５では、セキュア文書管理サーバ１１０は、現在の処理対象である文書分類Ｃｊに対して、キーワードリストＬのなかから、文書分類Ｃｊに属するものと属しないものとを検索する。ステップＳ７０６では、セキュア文書管理サーバ１１０は、正の節点および負の節点をグラフに付加し、現在の処理対象である文書分類Ｃｊに属するキーワードリストと正の節点とを大きな重みを有する辺で接続し、Ｃｊに属さないキーワードリストと負の節点とを大きな重みを有する辺で接続する。この大きな重みの値は、例えば計算機上で表現できる最も正の浮動小数点を用いればよい。続いてステップＳ７０７では、セキュア文書管理サーバ１１０は、Ｆｏｒｄ−Ｆｕｌｋｅｒｓｏｎアルゴリズムなどを利用してグラフをカットし、各電子文書Ｄｉを文書分類Ｃｊに属するものと属しないものとに分類する。なお、このグラフカットとは、近傍のすべての要素との重みの和が最小となる辺の集合を取り除くことにより、グラフを接続されない部分に分離するものである。
【０１０４】
図１８は、第３実施形態におけるクラスタリングの概念図を示す図である。図１８（Ａ）は、ひとつの文書分類Ｃｊについて、ステップＳ７０５からステップＳ７０７までの処理を実行した後のグラフの状態を示している。図１８（Ａ）には、３つの文書分類のキーワードリストＬｊ（ｊ＝１，２，３）が、それぞれ●、▲、■で表されており、キーワードリスト以外の文書Ｄが○で表されている。また、文書（キーワードリストを含む）間には、近傍のもの同士が実線で示す辺で結ばれている。さらに図１８（Ａ）には、「＋」で示す正の節点が示され、文書分類Ｃｊに対応する■のキーワードリストと大きな重みで接続されている。また図１８（Ａ）には、「−」で示す負の節点が示され、文書分類Ｃｊに対応しない●および▲のキーワードリストと大きな重みを持って接続されている。そして、一点鎖太線で、文書分類Ｃｊに属する文書の要素と、Ｃｊに属さない文書の要素とを分離するグラフカットの境界が模式的に示されている。
【０１０５】
図１８（Ｂ）は、すべての文書分類ＣｊについてステップＳ７０５からステップＳ７０７までの処理を施したあとのグラフの状態を示している。図１８（Ｂ）に示すように、グラフは、各文書分類Ｃｊのキーワードリストを含みその文書分類Ｃｊに属する文書と、属さない文書とを分離する分類数ｍ個（図１８（Ｂ）では３個である。）のグラフカットが作成される。
【０１０６】
各文書分類ＣｊについてステップＳ７０４〜Ｓ７０８で示す処理が完了すると、ステップＳ７０９へ処理が進められる。ステップＳ７０９では、選択された文書分類間の関係に応じて処理が分岐される。文書分類間として「排他」が選択されている場合には、ステップＳ７１０へ処理が進められる。ステップＳ７１０では、セキュア文書管理サーバ１１０は、求めたｍ個のグラフカットのうち、辺の重みの和が最も大きいものを除外し、残りｍ−１個のグラフカットによりグラフをｍ個の領域に分割して、各領域に含まれる電子文書Ｄを、対応する文書分類のラベルを付す。図１８（Ｃ−１）は、文書分類間として「排他」が選択されている場合に、ｍ−１個のグラフカットによりグラフを分割し、それぞれのクラスタが形成された状態を示している。図１８（Ｄ−１）は、ｍ−１個のグラフカットによりグラフを分割して、各領域に含まれる電子文書が対応する文書分類にラベルされた後の状態を示している。
【０１０７】
一方、ステップＳ７０９で、文書分類間として「共存」が選択されている場合には、ステップＳ７１１へ処理を進める。ステップＳ７１１では、セキュア文書管理サーバ１１０は、求めたｍ個のグラフカットを境界として、各文書分類Ｃｊに属するか属さないかを決定しラベルを付す。また、どの文書分類にも属さない文書に対しては、ユークリッド距離が最も近接している他の電子文書が分類されている文書分類のラベルを付す。図１８（Ｃ−２）は、文書分類間として「共存」が選択されている場合に、ｍ個のグラフカットの境界によりグラフを分割し、それぞれのクラスタが形成された状態を示している。図１８（Ｄ−２）は、ｍ個のグラフカットの境界によりグラフを分割して、各領域に含まれる電子文書が対応する文書分類にラベルされた後の状態を示している。図１８（Ｄ−２）に示すように、いずれのクラスタにも属さない文書が、最もユークリッド距離が近接する文書が分類された▲の文書分類にラベルされている様子が分かる。ステップＳ７１０またはステップＳ７１１で、各電子文書に対し文書分類のラベルが付された後、ステップＳ７１２では、文書集合への分類を確定し、分類結果を示すデータを格納し、ステップＳ７１３で当該解析処理を終了させる。
【０１０８】
以上説明したように、上述までの実施形態によれば、内容的に類似する電子文書には同一のセキュリティポリシを適用すればよいとの考えに基づき、所与の電子文書群において、内容の類似性によって分類される電子文書に対し、一括にセキュリティポリシを設定可能とし、ひいては電子文書に適用するセキュリティポリシを効率的に設定することができ、作業者の作業負担を軽減することができる、セキュリティ管理システム、サーバ装置、セキュリティ管理方法、プログラムおよび記録媒体を提供することができる。
【０１０９】
また上記機能は、アセンブラ、Ｃ、Ｃ＋＋、Ｃ＃、Ｊａｖａ（登録商標）、などのレガシープログラミング言語やオブジェクト指向プログラミング言語などで記述されたコンピュータ実行可能なプログラムにより実現でき、ＲＯＭ、ＥＥＰＲＯＭ、ＥＰＲＯＭ、フラッシュメモリ、フレキシブルディスク、ＣＤ−ＲＯＭ、ＣＤ−ＲＷ、ＤＶＤ、ＳＤカード、ＭＯなど装置可読な記録媒体に格納して頒布することができる。
【０１１０】
これまで本発明の実施形態について説明してきたが、本発明の実施形態は上述した実施形態に限定されるものではなく、他の実施形態、追加、変更、削除など、当業者が想到することができる範囲内で変更することができ、いずれの態様においても本発明の作用・効果を奏する限り、本発明の範囲に含まれるものである。
【符号の説明】
【０１１１】
１００…文書セキュリティ管理システム、１０２…ネットワーク、１１０…セキュア文書管理サーバ、１２０…ファイアウォール、１３０…管理端末、１４０…利用者端末、１５０…セキュリティサーバ、１６０…文書リポジトリ、２１０…ファイル取得部、２１２…ファイルＤＢ、２１４…ファイル解析部、２１６…解析結果表示部、２１８…ポリシ設定部、２２０…ファイル送信部、２２２…セキュアファイル受信部、２２４…セキュアファイルＤＢ、２３０…ポリシ設定開始指令部、２３２…解析結果閲覧部、２３４…ポリシ設定入力部、２４０…セキュアファイル取得部、２５０…ファイル受信部、２５２…セキュアファイル変換部、２５４…セキュアファイル送信部、２５６…セキュリティ管理データ保管部、２５８…セキュリティ管理ＤＢ、２６０…テキスト抽出部、２６２…構文解析部、２６４…文書分類部、２７０…ファイル暗号化部、２７２…鍵生成部、２７４…セキュリティ管理データ作成部、２７６…セキュアファイル作成部、２７８…ファイルＩＤ生成部、３００…テキスト、３１０…形態素解析結果データ、３１０ａ…形態素、３１０ｂ…品詞情報、３２０…文書ベクトルデータ、３２０ａ…形態素、３２０ｂ〜ｄ…出現回数、３３０…中心文書ベクトルデータ、３３０ａ…形態素、３３０ｂ〜ｄ…平均値、４００…開始画面、４０２…ポリシ設定開始ボタン、４０４…変換済み文書一覧ボタン、４０６…マニュアルボタン、４０８…キャンセルボタン、４１０…保管場所指定画面、４１２…リストボックス、４１４…追加ボタン、４１６…削除ボタン、４１８…反転表示、４２０…「次へ」ボタン、４３０…分類パラメータ設定画面、４３２…テーブル、４３２ａ…文書分類名、４３２ｂ…キーワード、４３４…追加ボタン、４３６…編集ボタン、４３８…削除ボタン、４４０…「次へ」ボタン、４４２，４４４…ラジオボタン、４４６…リストボックス、４４８…ボタン、４５０…分類結果閲覧画面、４５２…タブ、４５４…一覧リスト、４５６…編集ボタン、４５８…「次へ」ボタン、４６０…分類情報編集画面、４６２…表示、４６４Ａ…チェックボックス、４６４Ｂ…ラジオボックス、４７０…ポリシ設定入力画面、４７２…ボックス、４７４…テキストボックス群、４７６…リストボックス、４７８…ボックス、４８０…リストボックス、４８２…ボックス、４８４…次へボタン、４８６…キャンセル・ボタン
【先行技術文献】
【特許文献】
【０１１２】
【特許文献１】特開２００４−１５２２６１号公報
【特許文献２】特開２００７−    ４６１６号公報
【特許文献３】特開２００８−  ４０６５９号公報
【図１】
2011018267.tif 000006
【図２】
2011018267.tif 000007
【図３】
2011018267.tif 000008
【図４】
2011018267.tif 000009
【図５】
2011018267.tif 000010
【図６】
2011018267.tif 000011
【図７】
2011018267.tif 000012
【図８】
2011018267.tif 000013
【図９】
2011018267.tif 000014
【図１０】
2011018267.tif 000015
【図１１】
2011018267.tif 000016
【図１２】
2011018267.tif 000017
【図１３】
2011018267.tif 000018
【図１４】
2011018267.tif 000019
【図１５】
2011018267.tif 000020
【図１６】
2011018267.tif 000021
【図１７】
2011018267.tif 000022
【図１８】
2011018267.tif 000023