(57)【要約】【課題】配信先に応じたデータファイルの配信と、データファイルに対するアクセス管理とを容易にするデータファイル配信装置、アクセス管理装置、データファイル配信方法、およびそのプログラムを提供する。【解決手段】データファイル配信システム１は、アクセス権のレベル毎に異なる文書ファイルの機密部分について、これらの機密部分に相当する機密ファイルを秘密分散法により部分ファイルおよび補完ファイルに分割する。データファイル配信システム１は、アクセス権の各レベルに対応する複数の部分ファイルを予め配信先に配信し、配信先からの要求に応じて配信先のレベルに応じた補完ファイルを送信することにより、アクセス権に応じた機密ファイルの復元を可能にする。【選択図】          図２
2005025553.tif 000002
【特許請求の範囲】
【請求項１】
送信すべき送信ファイルの機密部分に対して、この機密部分の一部を含む第１の部分ファイルを生成する第１部分ファイル生成手段と、
この機密部分の他部を含む第２の部分ファイルを生成する第２部分ファイル生成手段と、
前記第１の部分ファイルおよび前記第２の部分ファイルの一方を含む送信ファイルを配信する配信手段と
を有するデータファイル配信装置。
【請求項２】
複数の機密部分について、機密部分の一部が含まれる第１の部分ファイルを複数生成する第１部分ファイル生成手段と、
前記機密部分の他部が含まれる第２の部分ファイルを複数生成する第２部分ファイル生成手段と、
複数の前記第１の部分ファイルを互いに関連付け、または、複数の前記第２の部分ファイルを互いに関連付けて配信する配信手段と
を有するデータファイル配信装置。
【請求項３】
機密部分を複数のデータ要素に分割する分割手段
をさらに有し、
前記第１部分ファイル生成手段は、前記分割手段により分割されたデータ要素の一部を選択し、選択されたデータ要素の配列を変換することにより、前記第１の部分ファイルを生成し、
前記第２部分ファイル生成手段は、前記第１の部分ファイルの生成に用いられたデータ要素とは異なるデータ要素を含む第２の部分ファイルを生成する
請求項１または２に記載のデータファイル配信装置。
【請求項４】
前記機密部分は、文書ファイルにおいてアクセス権が設定された部分であり、
前記配信手段は、複数の第１の部分ファイルと、機密部分が秘匿化された文書ファイルとを互いに対応付けて配信する
請求項２に記載のデータファイル配信装置。
【請求項５】
前記第１部分ファイル生成手段は、文書ファイルにおける範囲が互いに異なる複数の機密部分それぞれについて、前記第１の部分ファイルを生成し、
前記第２部分ファイル生成手段は、これらの機密部分それぞれを復元するための複数の前記第２の部分ファイルを生成し、
前記配信手段は、これらの機密ファイルについて生成された複数の第１の部分ファイルを、この文書ファイルに対応付けて配信する
請求項１〜３のいずれかに記載のデータファイル配信装置。
【請求項６】
前記第１部分ファイル生成手段は、アクセス権に応じて範囲が異なる複数の機密部分それぞれについて、前記第１の部分ファイルを生成し、
前記第２部分ファイル生成手段は、これらの機密部分を復元するための前記第２の部分ファイルを生成し、
前記配信手段は、前記第１の部分ファイルおよび前記第２の部分ファイルの一方を配信し、
前記第１の部分ファイルおよび前記第２の部分ファイルの他方を、前記アクセス権に関連付けて、これらの機密部分に対するアクセスを管理するアクセス管理装置に登録する登録手段
をさらに有する請求項５に記載のデータファイル配信装置。
【請求項７】
前記配信手段は、前記第１の部分ファイルおよび前記第２の部分ファイルの一方を配信し、
前記第１の部分ファイルおよび前記第２の部分ファイルの他方を記憶する記憶手段と、
送信ファイルの利用者から、前記第１の部分ファイルおよび前記第２の部分ファイルの他方を要求する要求情報を取得する取得手段と、
前記取得手段により取得された要求情報に対応する部分ファイルを、前記記憶手段により記憶されている部分ファイルの中から選択する選択手段と、
前記選択手段により選択された部分ファイルをこの利用者に提供する提供手段と
をさらに有する請求項１〜５のいずれかに記載のデータファイル配信装置。
【請求項８】
文書ファイルに含まれる機密部分の一部を含む部分ファイルを、この文書ファイルに対するアクセス権に対応付けて記憶する記憶手段と、
文書ファイルの利用者に付与されたアクセス権を識別するためのアクセス権識別情報を取得する取得手段と、
前記取得手段により取得されたアクセス権識別情報に対応する部分ファイルを、前記記憶手段により記憶されている部分ファイルの中から選択する選択手段と、
前記選択手段により選択された部分ファイルをこの利用者に提供する提供手段と
を有するアクセス管理装置。
【請求項９】
前記記憶手段は、文書ファイルにおける範囲が互いに異なる機密部分の部分ファイルを、この文書ファイルに対するアクセス権に対応付けて記憶し、
前記選択手段は、これら複数の機密部分に対応する複数の部分ファイルの中から、利用者のアクセス権識別情報に対応する部分ファイルを選択する
請求項８に記載のアクセス管理装置。
【請求項１０】
前記部分ファイルを取得するための利用者によるアクセスの履歴を記録するログ記録手段
をさらに有する請求項８または９に記載のアクセス管理装置。
【請求項１１】
送信すべき送信ファイルの機密部分に対して、この機密部分の一部を含む第１の部分ファイルを生成し、
この機密部分の他部を含む第２の部分ファイルを生成し、
前記第１の部分ファイルまたは前記第２の部分ファイルの一方を含む送信ファイルを配信する
データファイル配信方法。
【請求項１２】
コンピュータを含むデータファイル配信装置において、
送信すべき送信ファイルの機密部分に対して、この機密部分の一部を含む第１の部分ファイルを生成するステップと、
この機密部分の他部を含む第２の部分ファイルを生成するステップと、
前記第１の部分ファイルまたは前記第２の部分ファイルの一方を含む送信ファイルを配信するステップと
を前記データファイル配信装置のコンピュータに実行させるプログラム。
【発明の詳細な説明】
【０００１】
【発明の属する技術分野】
本発明は、データファイルを配信するデータファイル配信装置、このデータファイルに対するアクセスを管理するアクセス管理装置、データファイル配信方法、およびそのプログラムに関する。
【０００２】
【従来の技術】
データファイルを複数の配信先に配信する場合に、データファイルの配信者は、配信先に応じてデータファイルを複数作成し、作成されたデータファイルをそれぞれ配信先に送信する必要がある。このように、配信先毎にデータファイルを作成し送信することは、多大な作業負荷となり、配信先を間違えるなどの配信者による人為的なミスの原因となる。
また、配信先の利用者がデータファイルをさらに他の利用者に転送することにより、このデータファイルを広く配布したい場合もあるが、この場合には配信者の意思により転送先に応じたデータファイルを配信することができなくなる。
なお、データファイルを相互補完的な複数の部分ファイルに分割することにより、データファイルを復元可能に秘匿化する秘密分散法が知られている。
【０００３】
＊＊＊連絡事項＊＊＊
発明者の須賀さまから頂いた公開公報を、先行技術文献名として記載した方がよろしいでしょうか？ご指示頂ければと思います。
＊＊＊＊＊＊＊＊＊＊
【０００４】
【発明が解決しようとする課題】
本発明は、上述した背景からなされたものであり、配信先に応じたデータファイルの配信と、データファイルに対するアクセス管理とを容易にするデータファイル配信装置、アクセス管理装置、データファイル配信方法、およびそのプログラムを提供することを目的とする。
【０００５】
【課題を解決するための手段】
［データファイル配信装置］
上記目的を達成するために、本発明にかかるデータファイル配信装置は、送信すべき送信ファイルの機密部分に対して、この機密部分の一部を含む第１の部分ファイルを生成する第１部分ファイル生成手段と、この機密部分の他部を含む第２の部分ファイルを生成する第２部分ファイル生成手段と、前記第１の部分ファイルおよび前記第２の部分ファイルの一方を含む送信ファイルを配信する配信手段とを有する。
【０００６】
また、本発明にかかるデータファイル配信装置は、複数の機密部分について、機密部分の一部が含まれる第１の部分ファイルを複数生成する第１部分ファイル生成手段と、前記機密部分の他部が含まれる第２の部分ファイルを複数生成する第２部分ファイル生成手段と、複数の前記第１の部分ファイルを互いに関連付け、または、複数の前記第２の部分ファイルを互いに関連付けて配信する配信手段とを有する。
【０００７】
好適には、機密部分を複数のデータ要素に分割する分割手段をさらに有し、前記第１部分ファイル生成手段は、前記分割手段により分割されたデータ要素の一部を選択し、選択されたデータ要素の配列を変換することにより、前記第１の部分ファイルを生成し、前記第２部分ファイル生成手段は、前記第１の部分ファイルの生成に用いられたデータ要素とは異なるデータ要素を含む第２の部分ファイルを生成する。
【０００８】
好適には、前記機密部分は、文書ファイルにおいてアクセス権が設定された部分であり、前記配信手段は、複数の第１の部分ファイルと、機密部分が秘匿化された文書ファイルとを互いに対応付けて配信する。
【０００９】
好適には、前記第１部分ファイル生成手段は、文書ファイルにおける範囲が互いに異なる複数の機密部分それぞれについて、前記第１の部分ファイルを生成し、前記第２部分ファイル生成手段は、これらの機密部分それぞれを復元するための複数の前記第２の部分ファイルを生成し、前記配信手段は、これらの機密ファイルについて生成された複数の第１の部分ファイルを、この文書ファイルに対応付けて配信する。
【００１０】
好適には、前記第１部分ファイル生成手段は、アクセス権に応じて範囲が異なる複数の機密部分それぞれについて、前記第１の部分ファイルを生成し、前記第２部分ファイル生成手段は、これらの機密部分を復元するための前記第２の部分ファイルを生成し、前記配信手段は、前記第１の部分ファイルおよび前記第２の部分ファイルの一方を配信し、前記第１の部分ファイルおよび前記第２の部分ファイルの他方を、前記アクセス権に関連付けて、これらの機密部分に対するアクセスを管理するアクセス管理装置に登録する登録手段をさらに有する。
【００１１】
好適には、前記配信手段は、前記第１の部分ファイルおよび前記第２の部分ファイルの一方を配信し、前記第１の部分ファイルおよび前記第２の部分ファイルの他方を記憶する記憶手段と、送信ファイルの利用者から、前記第１の部分ファイルおよび前記第２の部分ファイルの他方を要求する要求情報を取得する取得手段と、前記取得手段により取得された要求情報に対応する部分ファイルを、前記記憶手段により記憶されている部分ファイルの中から選択する選択手段と、前記選択手段により選択された部分ファイルをこの利用者に提供する提供手段とをさらに有する。
【００１２】
［アクセス管理装置］
また、本発明にかかるアクセス管理装置は、文書ファイルに含まれる機密部分の一部を含む部分ファイルを、この文書ファイルに対するアクセス権に対応付けて記憶する記憶手段と、文書ファイルの利用者に付与されたアクセス権を識別するためのアクセス権識別情報を取得する取得手段と、前記取得手段により取得されたアクセス権識別情報に対応する部分ファイルを、前記記憶手段により記憶されている部分ファイルの中から選択する選択手段と、前記選択手段により選択された部分ファイルをこの利用者に提供する提供手段とを有する。
【００１３】
好適には、前記記憶手段は、文書ファイルにおける範囲が互いに異なる機密部分の部分ファイルを、この文書ファイルに対するアクセス権に対応付けて記憶し、前記選択手段は、これら複数の機密部分に対応する複数の部分ファイルの中から、利用者のアクセス権識別情報に対応する部分ファイルを選択する。
【００１４】
好適には、前記部分ファイルを取得するための利用者によるアクセスの履歴を記録するログ記録手段をさらに有する。
【００１５】
［データファイル配信方法］
また、本発明にかかるデータファイル配信方法は、送信すべき送信ファイルの機密部分に対して、この機密部分の一部を含む第１の部分ファイルを生成し、この機密部分の他部を含む第２の部分ファイルを生成し、前記第１の部分ファイルまたは前記第２の部分ファイルの一方を含む送信ファイルを配信する。
【００１６】
［プログラム］
また、本発明にかかるプログラムは、コンピュータを含むデータファイル配信装置において、送信すべき送信ファイルの機密部分に対して、この機密部分の一部を含む第１の部分ファイルを生成するステップと、この機密部分の他部を含む第２の部分ファイルを生成するステップと、前記第１の部分ファイルまたは前記第２の部分ファイルの一方を含む送信ファイルを配信するステップとを前記データファイル配信装置のコンピュータに実行させる。
【００１７】
【発明の実施の形態】
まず、本発明の概要を具体例を用いて説明する。
図１は、本発明にかかるデータファイル配信方法が適応される配信システム１の概要を例示する図である。
図１に例示するように、配信システム１は、配信装置２（データファイル配信装置）、アクセス管理装置４、および受信装置６を有する。配信装置２（データファイル配信装置）、アクセス管理装置４、および受信装置６は、ネットワーク８により互いに接続されている。
配信装置２は、文書ファイルのアクセス権が設定された機密部分を秘匿化し、この機密部分に対応する機密ファイルに基づいて部分ファイル（第１の部分ファイル）および補完ファイル（第２の部分ファイル）を生成し、機密部分が秘匿化された文書ファイルに部分ファイルを埋め込んで、受信装置６ａおよび６ｂに配信する。また、配信装置２は、分離された補完ファイルをアクセス管理装置４に登録する。
【００１８】
図２は、部分ファイル８１０および補完ファイル８２０を説明する図であり、（Ａ）は、オリジナルの文書ファイル７００を例示し、（Ｂ）は、レベル「２」に対応する部分ファイル８１０ａおよび補完ファイル８２０ａを例示し、（Ｃ）は、レベル「１」に対応する部分ファイル８１０ｂおよび補完ファイル８２０ｂを例示する。
図２（Ａ）に例示するように、オリジナルの文書ファイル７００は、アクセス権が設定された第１の機密部分７１０ａおよび第２の機密部分７１０ｂと、アクセス権が設定されていない非機密部分７３０とを含む。本例におけるアクセス権は、１〜５までの５段階のレベルで示されており、レベルが高いほど機密性が高い。即ち、第１の機密部分７１０（レベル２）は、第２の機密部分７２０（レベル１）よりも機密性が高い。また、データファイルの利用者に付与されたレベルが、機密部分７１０に設定されたレベル以上である場合に、この機密部分７１０に対するアクセス（閲覧、編集、複製および印刷など）がこの利用者に許可される。本例の場合、レベル２が付与された利用者は、第１の機密部分７１０ａおよび第２の機密部分７１０ｂの閲覧を許可され、レベル１が付与された利用者は、第２の機密部分７１０ｂの閲覧を許可されるが、第１の機密部分７１０ａの閲覧を禁止される。
【００１９】
機密部分７１０に対するアクセスを制御（許可／禁止）するために、図２（Ｂ）および図２（Ｃ）に例示するように、部分ファイル８１０および補完ファイル８２０が生成される。部分ファイル８１０は、機密部分７１０に相当する機密ファイルのディジタルデータの一部（データ要素）を含むデータファイルである。また、補完ファイル８２０は、この部分ファイル８１０を用いて機密ファイルを復元する場合に、この部分ファイル８１０の不足分を補完するデータファイルである。従って、機密部分に相当する機密ファイルは、部分ファイル８１０と、これに対応する補完ファイル８２０とを組み合わせた場合にのみ復元され、機密部分の閲覧等が可能になる。
【００２０】
本例の場合に、アクセス権のレベル毎に、部分ファイル８１０および補完ファイル８２０が生成される。具体的には、アクセス権のレベル２に対しては、図２（Ｂ）に例示するように、レベル２の閲覧許可範囲である第１の機密部分７１０ａおよび第２の機密部分７１０ｂの機密ファイルと、オリジナルファイル７００におけるこれら機密部分７１０の配置を示すレイアウト情報とに基づいて、部分ファイル８１０ａおよび補完ファイル８２０ａが生成される。また、アクセス権のレベル１に対しては、図２（Ｃ）に例示するように、レベル１の閲覧許可範囲である第２の機密部分７１０ｂの機密ファイルと、この機密部分７１０ｂのレイアウト情報とに基づいて、部分ファイル８１０ｂおよび補完ファイル８２０ｂが生成される。
【００２１】
図３は、配信用の文書ファイル７００を例示する図である。受信装置６（図１）に配信される配信用の文書ファイル７００は、全ての機密部分７１０がマスク画像等により秘匿化された文書ファイルであり、上記のように生成された部分ファイル８１０が埋め込まれている。したがって、配信ファイル７００は、そのままでは非機密部分７３０のみが閲覧可能な状態にある。
また、アクセス権のレベル毎に生成された補完ファイル８２０は、アクセス権管理装置４（図１）に登録され、受信装置６からの要求に応じて配信される。その際に、アクセス権管理装置４は、受信装置６の利用者を認証しアクセス権のレベルに応じた補完ファイルを選択して配信する。
【００２２】
このように、配信装置２が、アクセス権に応じて閲覧許可範囲が異なる複数の部分ファイル８１０を生成し、機密部分が秘匿化された文書ファイル７００と共に利用者に配信し、アクセス管理装置４が、利用者のアクセス権に応じた補完ファイル８２０を配信することにより、利用者の文書ファイル７００に対するアクセスを制御することができる。特に、複数の部分ファイル８１０が予め利用者に配信されているので、アクセス管理装置４が配信する補完ファイル８２０を変更するだけで、文書ファイルの閲覧可能範囲を変更することができる。
【００２３】
［実施形態］
以下、本発明に係る実施形態をより具体的に説明する。
図４は、本発明にかかるデータファイル配信方法が適応される配信装置２（アクセス管理装置４）のハードウェア構成を例示する図である。
図４に示すように、配信装置２は、ＣＰＵ２０２およびメモリ２０４などを含む制御装置２０、通信装置２２、ＨＤＤ・ＣＤ装置などの記録装置２４、および、ＬＣＤ表示装置あるいはＣＲＴ表示装置およびマウス・キーボード・タッチパネルなどを含むユーザインターフェース装置（ＵＩ装置）２６から構成される。
配信装置２は、上記構成により、配信用の文書ファイル７００（図３）の作成および配信を行い、補完ファイル８２０（図２）をアクセス管理装置４に登録する。
また、アクセス管理装置４は、配信装置２と実質的に同一な構成をとり、受信装置６（図１）からの要求に応じて補完ファイル８２０（図２）を提供する。
【００２４】
［配信プログラム３］
図５は、配信装置２の制御装置２０（図４）により実行され、本発明にかかるデータファイル配信方法を実現する配信プログラム３の構成を示す図である。
図５に示すように、配信プログラム３は、ファイル取得部３００、ユーザ・インタフェース部（以下、ＵＩ部）３１０、機密部分分離部３２０、分割部３３０、補完ファイル生成部３４０（第２部分ファイル生成手段）、登録部３５０、第１の通信部３６０、部分ファイル生成部３７０（第１部分ファイル生成手段）、配信部３８０、および第２の通信部３９０を有する。
配信プログラム３は、例えば記録媒体２４０（図４）またはネットワークを介して制御装置２０に供給され、メモリ２０４にロードされて実行される。
【００２５】
配信プログラム３において、ファイル取得部３００は、文書編集プログラム（不図示）からオリジナルの文書ファイル７００（図２）を取得し、機密部分分離部３２０に対して出力する。
ＵＩ部５１０は、ＵＩ装置２６（図４）を制御して、アクセス権の設定を受け付け、アクセス権が設定された範囲およびレベルを機密部分分離部３２０に対して出力し、アクセス権のレベルを登録部３５０に対して出力する。すなわち、アクセス権の設定者は、ＵＩ装置２６を用いて、文書ファイル７００の機密部分にアクセス権を設定する。なお、ファイル取得部３００により取得される文書ファイル７００は、予めアクセス権が設定されていてもよい。
【００２６】
機密部分分離部３２０は、ファイル取得部３００から入力されたオリジナルの文書ファイル７００に基づいて、アクセス権のレベルに応じて閲覧可能範囲が制限された機密ファイルを生成し、生成された各機密ファイルをレベルに対応付けて分割部３３０に出力する。例えば、機密部分分離部３２０は、オリジナルの文書ファイル７００から機密部分に相当する機密ファイルを抽出し、抽出された機密ファイルについて、所定のレベルで閲覧が許可される範囲をそのまま閲覧可能にし、このレベルで閲覧が禁止される範囲を秘匿化する。機密部分分離部３２０は、この処理をアクセス権の各レベルについて実行して、複数の機密ファイルを生成し、それぞれアクセス権のレベルに対応付けて分割部３３０に出力する。
また、機密部分分離部３２０は、文書ファイル７００の機密部分を秘匿化（黒塗りマスクによる置換など）して配信部３８０に対して出力する。
【００２７】
分割部３３０は、機密部分分離部３２０から入力されたレベル毎の機密ファイルを、それぞれ複数のデータ要素に分割し、分割されたデータ要素の一部を選択して登録部３５０に対して出力し、他のデータ要素を配信部３８０に対して出力する。分割部３３０により登録部３５０に対して出力されるデータ要素は、配信部３８０に対して出力されるデータ要素と一部重複してもよい。また、登録部３５０に出力されるデータ要素と、配信部３８０に出力されるデータ要素とを併せたデータは、機密ファイルが分割された全データ要素と一致する必要はなく、分割部３３０は、機密ファイルを復元できるようにデータ要素を選択して登録部３５０および配信部３８０に出力する。例えば、分割部３３０は、（ｋ，ｎ）しきい値法に従って、機密ファイルをｎ個のデータ要素に分割し、分割されたデータ要素の中から少なくともｋ個のデータ要素を部分ファイル８１０および補完ファイル８２０に振り分ける。
【００２８】
補完ファイル生成部３４０は、分割部３３０から入力されたデータ要素の配置を変更し、データ要素の配置データを添付して補完ファイル８２０（図２）を生成する。補完ファイル生成部３４０は、アクセス権のレベル毎に生成された機密ファイルについて、上記補完ファイル８２０を複数生成し、生成された複数の補完ファイル８２０をアクセス権のレベルに対応付けて登録部３５０に対して出力する。
【００２９】
登録部３５０は、補完ファイル生成部３４０から入力されたレベル毎の補完ファイル８２０（図２）を、文書ファイル７００に対応付けて登録する。本例の場合、登録部３５０は、レベル毎に生成された複数の補完ファイル８２０と、それぞれの補完ファイル８２０に対応するアクセス権のレベルと、文書ファイルを識別する文書ファイルＩＤとを、第１の通信部３６０に対して出力する。
第１の通信部３６０は、通信装置２２（図４）を制御して、補完ファイル８２０、レベル、および文書ファイルＩＤを暗号化してアクセス管理装置４（図１）に送信する。
【００３０】
部分ファイル生成部３７０は、分割部３３０から入力されたデータ要素の配置を変更し、データ要素の配置データを添付して部分ファイル８１０（図２）を生成する。部分ファイル生成部３７０は、アクセス権のレベル毎に生成された機密ファイルについて、上記部分ファイル８１０を生成し、生成された複数の部分ファイル８１０をまとめて配信部３８０に対して出力する。
【００３１】
配信部３８０は、部分ファイル生成部３７０から入力された部分ファイル８１０（図２）を、機密部分分離部３２０から入力された文書ファイル７００（秘匿化済）に埋め込んで、第２の通信部３９０に対して出力する。
第２の通信部３９０は、通信装置２２（図４）を制御して、配信部３８０から入力された配信用の文書ファイル７００を受信装置６（図１）に送信する。なお、第２の通信部３９０は、第１の通信部３６０と物理的または論理的に異なる回線を用いて、データファイルを送信する。また、第１の通信部３６０は、第２の通信部３９０よりもセキュリティレベルの高いデータ通信を実現する。
【００３２】
図６は、部分ファイル８１０および補完ファイルの生成方法を例示する図である。図６に例示するように、分割部３３０は、図２に例示した第１の機密部分７１０ａおよび第２の機密部分７１０ｂに対応する機密ファイル７１０を、この機密ファイルを構成するデータ要素に分割する。分割部３３０は、各データ要素だけでは機密部分の内容を知ることができない程度に機密ファイルのデータを分割し、補完ファイル生成部３４０および部分ファイル生成部３７０に振り分ける。その際、分割部３３０は、一部のデータ要素（本例では「データ要素３」）を重複させて補完ファイル生成部３４０および部分ファイル生成部３７０に振り分けてもよい。
補完ファイル生成部３４０および部分ファイル生成部３７０は、それぞれ振り分けれたデータ要素の配置を交換し、各データ要素の配置を示す配置データを添付することにより、それぞれ補完ファイル８２０または部分ファイル８１０を生成する。
このように生成された部分ファイル８１０および補完ファイル８２０は、それぞれに含まれるデータ要素を配置データに基づいて再統合されることにより、機密ファイルに復元される。
【００３３】
［配信装置の動作］
次に、配信装置２の動作を説明する。
図７は、配信装置２（配信プログラム３）の配信処理（Ｓ１０）を示すフローチャートである。
図７に示すように、ステップ１１０（Ｓ１１０）において、文書ファイルの配信者が、ＵＩ装置２６（図４）を用いて、配信する文書ファイルを指定すると、ファイル取得部３００（図５）は、指定された文書ファイルを取得し、機密部分分離部３２０に対して出力する。
【００３４】
ステップ１２０（Ｓ１２０）において、ＵＩ部３１０は、ＵＩ装置２６（図４）を制御して、機密部分分離部３２０に入力された文書ファイルを表示して、アクセス権が設定される範囲（機密部分）の指定を受け付ける。さらに、ＵＩ部３１０は、指定された機密部分に対して設定するアクセス権のレベルの入力を受け付ける。ＵＩ部３１０は、アクセス権の範囲およびこの範囲に設定されたレベルをアクセス権情報とし、文書ファイルに対応付けて機密部分分離部３２０に対して出力する。また、ＵＩ部３１０は、アクセス権のレベルを登録部３５０に対して出力する。
【００３５】
ステップ１３０（Ｓ１３０）において、機密部分分離部３２０は、ファイル取得部３００から入力された文書ファイルに基づいて、アクセス権の各レベルに応じた機密ファイルを生成し、各レベルに対応付けて分割部３３０に対して出力する。
【００３６】
ステップ１４０（Ｓ１４０）において、分割部３３０は、機密部分分離部３２０から入力された複数の機密ファイルをそれぞれ複数のデータ要素に分割し、補完ファイル生成部３４０および部分ファイル生成部３７０に振り分けて出力する。
【００３７】
ステップ１５０（Ｓ１５０）において、補完ファイル生成部３４０は、分割部３３０から入力されたデータ要素に基づいて、アクセス権のレベル毎に補完ファイル８２０を生成し、登録部３４０に対して出力する。
また、部分ファイル生成部３７０は、分割部３３０から入力されたデータ要素に基づいて、アクセス権のレベル毎に部分ファイル８１０を生成し、配信部３８０に対して出力する。
【００３８】
ステップ１６０（Ｓ１６０）において、登録部３４０は、補完ファイル生成部３４０から入力された複数の補完ファイル８２０を、アクセス権のレベルに対応付けて第１の通信部３６０に対して出力する。第１の通信部３６０は、登録部３４０から入力された補完ファイルをアクセス管理装置４に送信し、補完ファイルをアクセス権のレベルに対応付けて記録させる。
【００３９】
ステップ１７０（Ｓ１７０）において、機密部分分離部３２０は、文書ファイルの機密部分をマスク画像などに置換して、全てのアクセス権設定部分を秘匿化し、配信部３８０に対して出力する。
ステップ１８０（Ｓ１８０）において、配信部３８０は、機密部分分離部３２０から入力された文書ファイル（秘匿化済）に、部分ファイル生成部３７０から入力された複数の部分ファイルを埋め込み、配信用の文書ファイルとして第２の通信部３９０に対して出力する。
【００４０】
ステップ１９０（Ｓ１９０）において、第２の通信部３９０は、配信部３８０から入力された配信用の文書ファイルを、受信装置６（図１）に送信する。配信用の文書ファイルは、第２の通信部３９０により受信装置６ａおよび受信装置６ｂに直接送信させてもよいし、第２の送信部３９０により受信装置６ａに送信された後、受信装置６ａから受信装置６ｂに転送されてもよい。
【００４１】
このように、配信装置２（図１）は、秘匿化された文書ファイルと、秘匿化された部分を復元するための複数の部分ファイルとを受信装置６に配信し、これらの部分ファイルに対応する補完ファイルをアクセス管理装置４に登録する。
【００４２】
［アクセス管理プログラム５］
次に、アクセス管理装置４にインストールされるアクセス管理プログラム５について説明する。
図８は、アクセス管理装置４の制御装置２０（図４）により実行されるアクセス管理プログラム３の構成を示す図である。
図８に示すように、アクセス管理プログラム５は、第１の通信部５１０、補完ファイルデータベース（以下、補完ファイルＤＢ）５２０、第２の通信部５３０（取得手段）、アクセスログデータベース（以下、アクセスログＤＢ）５４０、および選択部５５０を有する。
アクセス管理プログラム５は、例えば記録媒体２４０（図４）またはネットワークを介して制御装置２０に供給され、メモリ２０４にロードされて実行される。
【００４３】
アクセス管理プログラム５において、第１の通信部５１０は、通信装置２２（図４）を制御して、配信装置２（図１）から補完ファイル（暗号データ）を受信し、受信した補完ファイル（暗号データ）を復号化して、文書ファイルＩＤおよびアクセス権のレベルに対応付けて補完ファイルＤＢ５２０に記録する。
第２の通信部５３０は、通信装置２２（図４）を制御して、受信装置６（図１）から補完ファイルの送信要求を受信すると、送信要求の受信日時など共に選択部５５０に対して出力する。なお、送信要求には、受信装置６の利用者を識別するユーザＩＤ、パスワード、文書ファイルのＩＤ、および、この受信装置６の識別情報（ＩＰアドレス、ＭＡＣアドレス、またはメールアドレスなど）などが含まれている。
【００４４】
選択部５５０は、認証部５５２を有する。認証部５５２は、後述する補完ファイルＤＢ５２０のアクセス権テーブル５２２を参照して利用者を認証し、認証結果を選択部５５０に対して出力する。
選択部５５０は、認証部５５２による認証が成功した場合に、利用者のアクセス権に対応したアクセス権情報（利用者が保有するアクセス権のレベル）を認証部５５２から取得し、補完ファイルＤＢ５２０の補完ファイルテーブル５２４を参照して、利用者のアクセス権情報に対応する補完ファイルを取得し、第２の通信部５３０を介して受信装置６に補完ファイルを送信する。
また、選択部５５０は、認証結果、送信要求および受信日時を文書ファイルのアクセスログとしてアクセスログＤＢ５４０に対して出力する。
【００４５】
図９（Ａ）は、補完ファイルＤＢ５２０に記録されているアクセス権テーブル５２２を例示し、（Ｂ）は、補完ファイルＤＢ５２０に記録されている補完ファイルテーブル５２４を例示する図である。
図９（Ａ）に例示するように、アクセス権テーブル５２２は、利用者に付与されたアクセス権のレベルを、利用者のユーザＩＤおよびパスワードに対応付ける。認証部５５２は、利用者から受信したユーザＩＤおよびパスワードがアクセス権テーブル５２２に記録されているものと一致するか否かを判断し、一致する場合に、認証結果として対応するアクセス権のレベルを選択部５５０に対して出力し、これ以外の場合に、認証に失敗した旨を選択部５５０に対して出力する。
また、図９（Ｂ）に例示するように、補完ファイルテーブル５２４は、文書ファイルを識別する文書ＩＤおよびアクセス権のレベルの組合せと、補完ファイルとを対応付ける。選択部５５０は、この補完ファイルテーブル５２４を参照して、要求されている文書ファイルの文書ＩＤ、および、認証部５５２から入力されたアクセス権のレベルに対応する補完ファイルを選択し、第２の通信部５３０を介して受信装置６に送信する。
【００４６】
図１０は、アクセスログＤＢ５４０に記録されているアクセスログテーブル５４２を例示する図である。
図１０に例示するように、アクセスログＤＢ５４０は、補完ファイルを要求している利用者のユーザＩＤ、利用者の受信装置６を識別する端末情報（ＩＰアドレス）、補完ファイルに対応する文書ファイルの文書ＩＤ（すなわち、アクセスしようとしている文書ファイルのＩＤ）、認証結果、および、要求を受信した受信日時を互いに対応付けるアクセスログテーブル５４２を記録する。
本例のアクセスログＤＢ５４０は、認証結果として、認証に成功した場合の利用者のアクセス権のレベル、または、認証に失敗した旨の記号「×」を記録する。
【００４７】
［アクセス管理装置４の動作］
次に、アクセス管理装置４の動作を説明する。
図１１は、アクセス管理装置４（アクセス管理プログラム５）のアクセス管理処理（Ｓ２０）を示すフローチャートである。
図１１に示すように、ステップ２１０（Ｓ２１０）において、文書ファイルの利用者が、受信装置６（図１）を用いて、配信装置２から受信した文書ファイルのアクセス（閲覧など）を要求する。
受信装置６は、アクセスが要求された文書ファイルに、部分ファイルが含まれていることを検知すると、対応する補完ファイルの送信要求を、アクセス管理装置６に送信する。
第２の通信部５３０は、通信装置２２（図４）を制御して、受信装置６から送信要求（文書ＩＤ、ユーザＩＤ、パスワードなど）を受信し、選択部５５０に対して出力する。
【００４８】
ステップ２２０（Ｓ２２０）において、認証部５５２は、補完ファイルＤＢ５２０のアクセス権テーブル５２２を参照し、第２の通信部５３０から入力されたユーザＩＤおよびパスワードを用いて利用者の認証を行う。
アクセス管理プログラム５は、認証に成功した場合に、認証部５５２がユーザＩＤおよびパスワードに対応するアクセス権のレベルを選択部５５０に出力し、Ｓ２３０の処理に移行し、これ以外の場合に、認証部５２２が認証失敗した旨を認証部５５２に出力し、Ｓ２５０の処理に移行する。
【００４９】
ステップ２３０（Ｓ２３０）において、選択部５５０は、認証部５５２から入力されたアクセス権のレベルに対応する補完ファイルを、補完ファイルＤＢ５２０の補完ファイルテーブル５２４を参照して抽出し、第２の通信部５３０に対して出力する。
ステップ２４０（Ｓ２４０）において、第２の通信部５３０は、通信装置２２（図４）を制御して、選択部５５０から入力された補完ファイルを受信装置６に送信する。
【００５０】
ステップ２５０（Ｓ２５０）において、選択部５５０は、送信要求に含まれていたユーザＩＤ、端末情報および文書ＩＤと、認証部５５２から入力された認証結果（レベル、または、認証失敗）と、送信要求を受信した日時とを、アクセスログＤＢ５４０に書き込む。
【００５１】
このように、受信装置６（図１）が機密部分を表示するために補完ファイルを要求した場合に、アクセス管理装置４（図１）は、利用者の認証を行い、利用者のアクセス権のレベルに応じた補完ファイルを受信装置６に送信し、アクセス権に応じた文書ファイルの閲覧を可能にする。また、アクセス管理装置４は、補完ファイルを要求するための受信装置６によるアクセスログを記録することにより、文書ファイルへのアクセス状況の把握を可能にする。
【００５２】
［全体動作］
図１２は、図１に示した配信装置２、アクセス管理装置４および受信装置６の全体動作（Ｓ３０）を示すシーケンス図である。なお、図１２に示したステップのうち、図７または図１１に示したステップと実質的に同一のものには同一の符号が付されている。
図１２に示すように、ステップ１５０（Ｓ１５０）において、配信装置２（図１）は、文書ファイルの機密部分に相当する機密ファイルに基づいて、アクセス権のレベル毎に部分ファイルおよび補完ファイルを生成する。
【００５３】
ステップ１６０（Ｓ１６０）において、配信装置２は、生成された補完ファイルをアクセス管理装置４に対して送信する。
ステップ２０５（Ｓ２０５）において、アクセス管理装置４は、配信装置２から受信した補完ファイルを文書ＩＤおよびアクセス権のレベルに対応付けて記録する。
【００５４】
ステップ１９０（Ｓ１９０）において、配信装置２は、生成された配信ファイルを、機密部分が秘匿化された文書ファイルに埋め込んで受信装置６に送信する。
ステップ３１０（Ｓ３１０）において、受信装置６は、配信装置２から受信した文書ファイル（部分ファイルが含まれている）を表示する場合に、文書ＩＤおよび認証情報（ユーザＩＤおよびパスワード）をアクセス管理装置４に送信して、部分ファイルに対応する補完ファイルの送信を要求する。
【００５５】
ステップ２１０（Ｓ２１０）において、アクセス管理装置４は、配信装置２から受信した認証情報に基づいて、受信装置６の利用者を認証し、認証結果およびアクセス日時などを文書ファイルに対するアクセスログとして記録する。
ステップ２４０（Ｓ２４０）において、アクセス管理装置４は、利用者のユーザＩＤおよびパスワードに対応する補完ファイル（すなわち、利用者のアクセス権のレベルに対応）を選択する。
ステップ２５０（Ｓ２５０）において、アクセス管理装置４は、レベルに応じて選択した補完ファイルを、受信装置６に対して送信する。
【００５６】
ステップ３２０（Ｓ３２０）において、受信装置６は、アクセス管理装置４から補完ファイルを受信する。
ステップ３３０（Ｓ３３０）において、受信装置６は、受信した補完ファイルと、文書ファイルに埋め込まれている部分ファイルとを用いて、機密ファイルおよびレイアウト情報を復元する。
ステップ３４０（Ｓ３４０）において、受信装置６は、受信した文書ファイル（機密部分が秘匿化されたもの）に、レイアウト情報に指定される位置に機密ファイルを合成して文書ファイルを表示する。
【００５７】
以上説明したように、本実施形態に係る配信システム１によれば、配信先のアクセス権に応じたデータファイルのアクセス制御が可能になる。
また、配信システム１は、閲覧可能範囲が異なる複数の部分ファイルを文書ファイルと共に受信装置６に配信するため、文書ファイルを配信した後でも、送信する補完ファイルを変更することにより文書ファイルの閲覧可能範囲を変更することができる。この場合に、複数のデータファイルをまとめて配信することになるので、そのデータサイズが問題となるが、本実施形態では、機密ファイルの一部である部分ファイルを配信するので、データサイズを抑えることができる。
また、アクセス管理装置４が不正にアクセスされ、補完ファイルが盗まれたとしても、部分ファイルと組み合わせない限りは直ちに機密部分の情報漏洩につながるわけではないので好適である。
さらに、アクセス管理装置４に対するアクセスログを管理することで、実質的に文書ファイルの機密部分に対するアクセスログを管理することになり好適である。
【００５８】
［変形例］
なお、上記実施形態では、部分ファイルおよび補完ファイルを生成する配信装置２と、補完ファイルを管理し配信するアクセス管理装置４とが別個に設けられた配信システム１を例示したが、配信装置２およびアクセス管理装置４の機能が同一の装置上で実現されてもよい。
【００５９】
【発明の効果】
以上説明したように、本発明にかかるデータファイル配信装置によれば、配信先に応じたデータファイルの配信と、データファイルに対するアクセス管理とを容易になる。
【図面の簡単な説明】
【図１】本発明にかかるデータファイル配信方法が適応される配信システム１の概要を例示する図である。
【図２】部分ファイル８１０および補完ファイル８２０を説明する図であり、（Ａ）は、オリジナルの文書ファイル７００を例示し、（Ｂ）は、レベル「２」に対応する部分ファイル８１０ａおよび補完ファイル８２０ａを例示し、（Ｃ）は、レベル「１」に対応する部分ファイル８１０ｂおよび補完ファイル８２０ｂを例示する。
【図３】図２に例示したオリジナルの文書ファイルに基づいて生成された配信用の文書ファイル７００を例示する図である。
【図４】本発明にかかるデータファイル配信方法が適応される配信装置２（アクセス管理装置４）のハードウェア構成を例示する図である。
【図５】配信装置２の制御装置２０（図４）により実行され、本発明にかかるデータファイル配信方法を実現する配信プログラム３の構成を示す図である。
【図６】部分ファイル８１０および補完ファイルの生成方法を例示する図である。
【図７】配信装置２（配信プログラム３）の配信処理（Ｓ１０）を示すフローチャートである。
【図８】アクセス管理装置４の制御装置２０（図４）により実行されるアクセス管理プログラム３の構成を示す図である。
【図９】（Ａ）は、補完ファイルＤＢ５２０に記録されているアクセス権テーブル５２２を例示し、（Ｂ）は、補完ファイルＤＢ５２０に記録されている補完ファイルテーブル５２４を例示する図である。
【図１０】アクセスログＤＢ５４０に記録されているアクセスログテーブル５４２を例示する図である。
【図１１】アクセス管理装置４（アクセス管理プログラム５）のアクセス管理処理（Ｓ２０）を示すフローチャートである。
【図１２】図１に示した配信装置２、アクセス管理装置４および受信装置６の全体動作（Ｓ３０）を示すシーケンス図である。
【符号の説明】
１・・・配信システム
２・・・配信装置
３・・・配信プログラム
３００・・・ファイル取得部
３１０・・・ユーザ・インタフェース部
３２０・・・機密部分分離部
３３０・・・分割部
３４０・・・補完ファイル生成部
３５０・・・登録部
３６０・・・第１の通信部
３７０・・・部分ファイル生成部
３８０・・・配信部
３９０・・・第２の通信部
４・・・アクセス管理装置
５・・・配信プログラム
５１０・・・第１の通信部
５２０・・・補完ファイルデータベース
５３０・・・第２の通信部
５４０・・・アクセスログデータベース
５５０・・・選択部
５５２・・・認証部
６・・・受信装置
７００・・・文書ファイル
８１０・・・部分ファイル
８２０・・・補完ファイル
【図１】
2005025553.tif 000003
【図２】
2005025553.tif 000004
【図３】
2005025553.tif 000005
【図４】
2005025553.tif 000006
【図５】
2005025553.tif 000007
【図６】
2005025553.tif 000008
【図７】
2005025553.tif 000009
【図８】
2005025553.tif 000010
【図９】
2005025553.tif 000011
【図１０】
2005025553.tif 000012
【図１１】
2005025553.tif 000013
【図１２】
2005025553.tif 000014