(57)【特許請求の範囲】
【請求項１】
接続された端末装置から入力された文字列に基づいて、複数の登録データの中から前記入力された文字列を含む登録データの検索を行う情報処理装置であって、
アクセス制限文字列及びこれに対応するパスワードを管理する管理手段と、
前記入力された文字列が検索文字列とパスワードで構成されているか否かを判断する判断手段と、
前記判断手段によって前記入力された文字列が検索文字列とパスワードで構成されていないと判断された場合に複数の登録データの中から前記入力された文字列を含む登録データを検索する第１検索手段と、
前記判断手段によって前記入力された文字列が検索文字列とパスワードで構成されていると判断された場合であって、前記検索文字列とパスワードが前記管理手段で管理されているアクセス制限文字列とパスワードに対応する場合には該アクセス制限文字列に基づいて前記複数の登録データの中から該アクセス制限文字列を含む登録データを検索する第２検索手段と、
前記第１及び第２検索手段による検索結果から得られる登録データのうち、未指定のアクセス制限文字列もしくはパスワードが対応しなかったアクセス制限文字列を含む登録データは、前記端末装置に検索結果として出力することを制限する制限手段とを備えることを特徴とする情報処理装置。
【請求項２】
前記登録データがイメージデータである場合、該イメージデータをＯＣＲ処理によってテキストデータに変換し、該変換したテキストデータを当該イメージデータと対応付けて登録することを特徴とする請求項１に記載の情報処理装置。
【請求項３】
前記登録データが音声データである場合、該音声データについて音声認識を行ってテキストデータを取得し、該取得したテキストデータを当該音声データと対応付けて登録することを特徴とする請求項１に記載の情報処理装置。
【請求項４】
前記管理手段で管理されているアクセス制限文字列を削除する削除手段をさらに有し、該削除手段は、前記アクセス制御文字列の削除の要求を行った端末が、当該アクセス制御文字列の登録の要求を行った端末である場合に削除を行うことを特徴とする請求項１に記載の情報処理装置。
【請求項５】
前記管理手段で管理されているアクセス制限文字列を削除する削除手段をさらに有し、該削除手段は、前記アクセス制御文字列の削除の要求を行った端末が、当該アクセス制御文字列の登録要求を行った端末でない場合、削除の要求数が所定値を超えた場合に削除を行うことを特徴とする請求項１に記載の情報処理装置。
【請求項６】
端末装置と、登録データの検索を行うサーバシステムとが通信可能に接続された情報処理システムの制御方法であって、
前記サーバシステムにおいてアクセス制限文字列及びこれに対応するパスワードを管理する管理工程と、
前記サーバシステムにおいて、前記端末装置から入力された文字列が検索文字列とパスワードで構成されているかか否かを判断する判断工程と、
前記サーバシステムにおいて、前記判断工程において前記入力された文字列が検索文字列とパスワードで構成されていないと判断された場合に複数の登録データの中から前記入力された文字列を含む登録データを検索する第１検索工程と、
前記判断工程で前記入力された文字列が検索文字列とパスワードで構成されていると判断された場合であって、前記検索文字列とパスワードが前記管理工程で管理されているアクセス制限文字列とパスワードに対応する場合には該アクセス制限文字列に基づいて前記複数の登録データの中から該アクセス制限文字列を含む登録データを検索する第２検索工程と、
前記第１及び第２検索工程における検索結果から得られる登録データのうち、未指定のアクセス制限文字列もしくはパスワードが対応しなかったアクセス制限文字列を含む登録データは、前記端末装置に検索結果として出力することを制限する制限工程とを備えることを特徴とする情報処理システムの制御方法。
【請求項７】
保有するデータの検索処理のための制御プログラムを格納するコンピュータ可読メモリであって、コンピュータに、
アクセス制限文字列及びこれに対応するパスワードを管理する管理工程と、
外部装置から入力された文字列が検索文字列とパスワードで構成されているか否かを判断する判断工程と、
前記判断工程において前記入力された文字列が検索文字列とパスワードで構成されていないと判断された場合に複数の登録データの中から前記入力された文字列を含む登録データを検索する第１検索工程と、
前記判断工程で前記入力された文字列が検索文字列とパスワードで構成されていると判断された場合であって、前記検索文字列とパスワードが前記管理工程で管理されているアクセス制限文字列とパスワードに対応する場合には該アクセス制限文字列に基づいて前記複数の登録データの中から該アクセス制限文字列を含む登録データを検索する第２検索工程と、
前記第１及び第２検索工程における検索結果から得られる登録データのうち、未指定のアクセス制限文字列もしくはパスワードが対応しなかったアクセス制限文字列を含む登録データは、前記外部装置に検索結果として出力することを制限する制限工程とを実行させるための制御プログラムを格納したことを特徴とするコンピュータ可読メモリ。
【発明の詳細な説明】
【０００１】
【発明の属する技術分野】
本発明は、データセキュリティ管理を行う情報処理システム及び装置及びそれらの方法に関する。
【０００２】
【従来の技術】
一般に、インターネットの様なオープンなシステムにおけるデータセキュリティ管理システムでは、ユーザ登録とパスワードによるユーザー管理によってデータセキュリティが実現されてきた。また、そのようなシステムの内部におけるセキュリティには、データの暗号化という手段を用いて対応していた。
【０００３】
また、機密度の高いデータをインターネットの様なオープンなシステムで管理する場合、予めアクセス権を制限したグループ単位でデータ管理を行ったり、データ個々にアクセス権やキーワードを付与することが行われていた。
【０００４】
【発明が解決しようとする課題】
しかしながら、前者の場合、データの効率的な共有が阻害されてしまう。また、後者の場合、機密データのアクセス権範囲の柔軟性を欠いたり、また、データに機密性が無くなり、これを公に開示する際の運用に対して柔軟に対応することができなかった。
【０００５】
本発明は上記の問題に鑑みてなされたものであり、データを効率よく共有しつつ、機密データのアクセス権範囲を柔軟に設定することができる情報処理システム及び装置及びそれらの方法を提供することを目的とする。
【０００６】
また、本発明の他の目的は、機密性が無くなったデータを公に開示する際の運用を柔軟に行える情報処理システム及び装置及びそれらの方法を提供することにある。
【０００７】
【課題を解決するための手段】
上記の目的を達成するための本発明の一態様による情報処理装置は、例えば以下のような構成を備える。すなわち、
接続された端末装置から入力された文字列に基づいて、複数の登録データの中から前記入力された文字列を含む登録データの検索を行う情報処理装置であって、
アクセス制限文字列及びこれに対応するパスワードを管理する管理手段と、
前記入力された文字列が検索文字列とパスワードで構成されているか否かを判断する判断手段と、
前記判断手段によって前記入力された文字列が検索文字列とパスワードで構成されていないと判断された場合に複数の登録データの中から前記入力された文字列を含む登録データを検索する第１検索手段と、
前記判断手段によって前記入力された文字列が検索文字列とパスワードで構成されていると判断された場合であって、前記検索文字列とパスワードが前記管理手段で管理されているアクセス制限文字列とパスワードに対応する場合には該アクセス制限文字列に基づいて前記複数の登録データの中から該アクセス制限文字列を含む登録データを検索する第２検索手段と、
前記第１及び第２検索手段による検索結果から得られる登録データのうち、未指定のアクセス制限文字列もしくはパスワードが対応しなかったアクセス制限文字列を含む登録データは、前記端末装置に検索結果として出力することを制限する制限手段とを備える。
【０００８】
【発明の実施の形態】
以下、添付の図面を参照して、本発明の好適な一実施形態を説明する。
【０００９】
図１は本実施形態におけるデータセキュリティ管理システムの構成を示すブロック図である。図１において、データセキュリティ管理システム１は、データを蓄積するデータサーバ５、公衆回線３に接続された全文検索サービス（ＦＴＳ：Full Text Search）サーバ７、および全文検索サービスサーバ７とデータサーバ５の間に配置されたファイアウォール９を有する。
【００１０】
このようなデータセキュリティ管理システム１では、ファイアウォール９の外側に全文検索サービスサーバ７が設けられているので、公衆回線３に接続されたどのクライアント端末１２からも全文検索サービスサーバ７にアクセス可能である。なお、クライアント端末１２は、検索語等を入力するための入力装置１２ａ、検索結果を表示するための表示装置１２ｂを備える。また、データセキュリティ管理システム１では、セキュリティ管理上、検索用ファイル（例えば、全文検索インデックス）や後述するアクセス制限文字列及びパスワードの情報は、ファイアウォール９の内側にあるデータサーバ５に設けられている。
【００１１】
全文検索サービスサーバ７では全文検索サービスソフトウェアが動作しており、ファイアウォール９を越えて行われるデータサーバ５とのデータのやり取りは、全て全文検索サービスソフトウェアを経由する。従って、データサーバ５に蓄積されたデータ（テキストデータ、イメージデータ、音声データ）に対してのアクセスは全文検索サービスソフトウェアが実行することとなる。
【００１２】
なお、全文検索方式としては、特開平８−７０３３号公報に開示されているような文字インデックス方式、単語インデックス方式等の全文検索インデックスを用いた検索方式を採用することができる。ただし、アクセス制限文字列（後述）が特殊な言葉になる可能性があるので、検索漏れのおそれのない文字インデックス方式の方が好ましい。
【００１３】
図１３は、全文検索サービスサーバ７の装置構成を説明するブロック図である。７１はＣＰＵでありサービスサーバ７における各種制御を実現する。７２はＲＯＭであり、ＣＰＵ７１で実行される各種制御プログラムを格納する。７３はＲＡＭであり、ＣＰＵ７１が各種制御を実行する際の作業領域を提供する。７４はモデムであり、公衆回線３とサービスサーバとを通信可能に接続する。７５はファイアウォール９との接続のためのインターフェースである。７６は外部記憶装置であり、各種データ、制御プログラムを格納する。なお、外部記憶装置７６に格納された制御プログラムは、ＲＡＭ７３にロードされ、ＣＰＵ７１によって実行される。７７はバスであり、上記各構成を接続する。フローチャートを用いて後述される各種制御手順を実現する制御プログラムはＲＯＭ７２に格納されてＣＰＵ７１によって実行される。或いは、これらの制御プログラムは、データ外部記憶装置７６に保持されて、必要に応じてＲＡＭ７３にロードされ、ＣＰＵ７１によって実行されるようにしてもよい。
【００１４】
図２はデータサーバ５に管理されているデータの構成を示す図である。データサーバ５は検索用ファイル（全文検索インデックス）、ＯＣＲテキスト情報、音声認識によってえられたテキスト情報及び音素ラティス情報、文書データ・文書イメージデータ・音声データの本体、アクセス制限文字列管理情報などのデータを格納している。ここで、音素ラティス情報とは、音声認識処理における中間処理データであり、音素（発音記号）の遷移を表すものである。この場合、検索のためのデータは、例えば発音記号列を入力したり、音声信号を入力したりすることになる。音声信号を入力する場合は、入力された音声信号から音素ラティス情報を得て、これを検索情報とする。
【００１５】
使用者はデータサーバ５に蓄積されている文書データやイメージデータや音声データを参照したい場合、文書データに含まれる文字列、あるいは文書イメージデータと対応付けられている文書データ中の文字列、或いは音声データと対応付けられているテキストデータ（音声認識結果）中の文字列を指定することによりデータを参照することができる。ここで、本実施形態では、機密データへのアクセスを防ぐために、文書データそのものに含まれる文字列、或いは文書イメージや音声データに対応付けられたテキストデータに含まれる文字列の指定が制限されるが、この制限された文字列をアクセス制限文字列という。
【００１６】
つぎに、データセキュリティ管理システム１における、（Ａ）アクセス制限文字列登録処理、（Ｂ）アクセス制限文字列削除処理、（Ｃ）データ・データ登録処理、（Ｄ）データ・データ検索処理について説明する。
【００１７】
（Ａ）アクセス制限文字列登録処理
図３は本実施形態のデータセキュリティ管理システムにおけるアクセス制限文字列の登録処理手順を示すフローチャートである。機密データに関わるアクセス制限文字列を指定したい場合、まず、クライアント端末１２からアクセス制限文字列設定の要求が開始されると（ステップＳ１）、全文検索サービスサーバ７の全文検索サービスソフトウェアに対して、登録すべきアクセス制限文字列とアクセス制限文字列へのパスワードを設定するコマンドがクライアント端末１２より送信される（ステップＳ２）。全文検索サービスサーバ７は、送信されたアクセス制限文字列、パスワード、及び当該登録要求者のＩＰアドレスをデータサーバ５に格納されたアクセス制限文字列管理情報テーブルに記憶する（ステップＳ３）。
【００１８】
図４はアクセス制限文字列管理情報テーブルを示す図である。図３において上述したように、全文検索サービスソフトウェアにより、アクセス制限文字列管理情報テーブルにアクセス制限文字列、パスワード、登録要求者のＩＰアドレスが書き込まれる。アクセス制限文字列管理情報テーブルはファイアウォール９より後方のデータサーバ５に格納されているので、セキュリティが確保される。
【００１９】
このアクセス制限文字列の登録要求は普通、機密事項を含むデータを登録する前に行われるべきであり、システム管理者との相談で行われるべきものである。また、アクセス制限文字列は日常使用する語は適当でなく、新語や造語に類する語であることが望ましい。したがって、日常用語を登録した辞書（日常用語辞書）と比較して存在しないものを選ぶことが考えられる。また、全文検索サービスソフトウエアによって、登録要求のあった文字列が日常用語辞書に存在するかどうかを判断するようにしてもよい。
【００２０】
図５は本実施形態の全文検索サービスサーバ７によるアクセス制限文字列の登録処理を説明するフローチャートである。まず、ステップＳ１０１において、公衆回線上のクライアント端末からアクセス制限文字列設定リクエストを受信したかどうか判断する。アクセス制限文字列設定リクエストを受信した場合、ステップＳ１０２へ進み、当該リクエストに続くアクセス制限文字列、パスワード、及び当該クライアント端末のＩＰアドレスを受信する。
【００２１】
そして、ステップＳ１０３において、受信したアクセス制限文字列が、データサーバ５に格納されているアクセス制限文字列管理情報テーブルに既に登録されている文字列と重複するかどうかを判定する。登録要求されたアクセス制限文字列が既にアクセス制限文字列管理情報テーブルに登録されている場合は、ステップＳ１０６でその旨を当該クライアント端末（要求元のクライアント）に通知する。
【００２２】
ステップＳ１０３において、受信したアクセス制限文字列が未登録であると判定された場合は、ステップＳ１０４へ進み、受信したアクセス制限文字列が日常用語辞書に存在するかどうかを判定する。アクセス制限文字列が日常用語辞書に存在する場合は、ステップＳ１０６へ進み、その旨を通知する。受信したアクセス制限文字列が、アクセス制限文字列管理情報テーブルに存在せず、かつ日常用語辞書にも存在しない場合、処理はステップＳ１０５へ進み、当該アクセス制限文字列を新たなアクセス制限文字列としてアクセス制限文字列管理情報テーブルに図４に示すごとく登録する。
【００２３】
（Ｂ）アクセス制限文字列削除処理
機密性が無くなりその言葉を含む文書データ、文書イメージデータ或いは音声データを公開したい場合、クライアント端末１２はアクセス制限文字列のアクセス制限解除依頼を全文検索サービスサーバ７に送信し、全文検索サービスソフトウェアに対して削除すべきアクセス制限文字列とパスワードを渡す。
【００２４】
図６はアクセス制限文字列の解除処理手順を示すフローチャートである。登録要求を行ったＩＰアドレスを持つ者が原則としてそのアクセス制限文字列に対する情報を削除することができる。まず、削除要求された文字列がアクセス制限文字列のリストにあるか否かを判別する（ステップＳ１１）。アクセス制限文字列のリストにある場合、送られてきたパスワードが一致しているか否かを判別する（ステップＳ１２）。パスワードが一致している場合、当該リクエストを発行したクライアントのＩＰアドレスが、当該制限文字列の登録要求者のＩＰアドレスと一致するか否かを判別する（ステップＳ１３）。登録要求者のＩＰアドレスと一致する場合、そのアクセス制限文字列をアクセス制限文字列管理情報テーブルから削除する（ステップＳ１４）。
【００２５】
一方、ステップＳ１３において、削除要求者のＩＰアドレスが登録要求者のＩＰアドレスと一致しない場合、アクセス制限文字列管理情報テーブルの削除要求者ＩＰアドレスリスト（図４参照）にあるか否かを判別する（ステップＳ１５）。当該削除要求者のＩＰアドレスが削除要求者ＩＰアドレスリストにない場合、削除要求数を１つ増加し（ステップＳ１６）、削除要求数が削除開始しきい値（本実施形態では「３」、図４参照）を越えたか否かを判別する（ステップＳ１７）。削除開始しきい値を越えた場合は、ステップＳ１４に移行し、当該アクセス制限文字列をアクセス制限文字列管理情報テーブルから削除する。
【００２６】
一方、ステップＳ１１でアクセス制限文字列のリストにない場合、ステップＳ１２でパスワードが一致しない場合、ステップＳ１５で当該削除要求者のＩＰアドレスが削除要求者ＩＰアドレスリストに既にある場合はそのまま処理を終了する。また、ステップＳ１７で削除開始しきい値を越えていない場合もそのまま処理を終了するが、この時点で、アクセス制限文字列管理情報テーブルにおける当該アクセス制限文字列の削除要求数（図４参照）は、１つインクリメントされていることになる。
【００２７】
このように、登録者以外の者がアクセス制限文字列を削除する場合に、安全のために異なる複数の者（ＩＰアドレス）から削除要求があった場合にのみ、当該アクセス制限文字列を削除することができるようにしている。図４に示されるように、データサーバ５のアクセス制限文字列管理情報テーブルにアクセス制限文字列削除要求を行った削除要求者のＩＰアドレスを記憶するための場所（削除要求者ＩＰアドレスリスト）が設けられる。また、異なるＩＰアドレスから同一のアクセス制限文字列に対して正しいパスワードで削除開始しきい値以上の削除要求があった場合、テーブル中の順次削除要求数が加算され、その値が削除開始しきい値を越えた場合に、当該アクセス制限文字列の削除が許可される。なお、アクセス制限文字列情報自体はデータサーバ上にあり、削除等の許可はサービスサーバが行う。
【００２８】
（Ｃ）文書データ・文書イメージデータ・音声データの登録処理
公衆回線３に接続されたクライアント端末１２からデータの登録が指示された場合、全文検索サービスサーバ７上で動作している全文検索サービスソフトウェアにより、公衆回線３を通じて送信されたデータがデータサーバ５に格納されると共にデータアドレスが決定される。
【００２９】
全文検索サービスソフトウェアは登録指示された文書データ自身（テキストデータ）或いはイメージデータや音声データに付加された、或いはそれらのデータの認識処理によって得た文書データを文字キーに分解し、分解された文字キーをデータアドレスが記述された検索用ファイル（全文検索インデックス）に追加記録する。なお、全文検索インデックスについては、上述したように特開平８−７０３３号公報に記載されたようなものを用いることができる。ただし、全文検索処理については本件の主題ではないので、その詳細な説明は省略する。
【００３０】
受信したデータが文書イメージデータの場合には、ＯＣＲ処理を行いその認識処理で得たテキストデータを文書（テキスト）データの登録と同様に、文字キーに分解し、分解された文字キーを文書イメージアドレスが記述された検索用ファイル（全文検索インデックス）に追加記録する。このとき、ＯＣＲ処理から得られるテキストデータは元の文書イメージデータと対応付けてデータサーバ５に記憶される。
【００３１】
同様に、受信したデータが音声データの場合には、音声認識処理を行い、その認識処理で得たテキストデータを文書（テキスト）データの登録と同様に、文字キーに分解し、分解された文字キーを文書イメージアドレスが記述された検索用ファイル（全文検索インデックス）に追加記録する。このとき、音声認識処理から得られるテキストデータは元の音声データと対応付けてデータサーバ５に記憶される。
【００３２】
図７は文書・文書イメージデータの登録処理手順を示すフローチャートである。まず、クライアント端末１２から文書データ、文書イメージデータあるい音声データを受信してデータサーバ５に格納する（ステップＳ２１）。続いて、受信したデータが文書イメージデータであるか否か、音声データであるか否かを判別する（ステップＳ２２、Ｓ２３）。受信したデータが文書イメージデータでも音声データでもない場合、すなわち文書データ（テキストデータ）である場合は、当該文書データに基づいて検索用ファイル（全文検索インデックス）を作成する（ステップＳ２４）。
【００３３】
一方、ステップＳ２２で、受信したデータが文書イメージデータであると判定された場合は、ＯＣＲ処理を行ってテキストデータを抽出し（ステップＳ２５）、ＯＣＲの誤認識を考慮して検索用ファイルを更新する（ステップＳ２６）。そして、ステップＳ２５で抽出されたテキストデータを受信した元の文書イメージデータと対応付けてデータサーバ５に格納する（ステップＳ２７）。
【００３４】
また、ステップＳ２３において、受信したデータが音声データであると判定された場合は、音声認識処理を行ってテキストデータを獲得し（ステップＳ２８）、音声内容のテキスト或いは音素ラティスの複数の候補を考慮して検索用ファイルを更新する（ステップＳ２９）。そして、ステップＳ２５で抽出されたテキストデータを受信した元の音声データと対応付けてデータサーバ５に格納する（ステップＳ３０）。なお、上述のＯＣＲの誤認識を考慮した検索用ファイルの更新、音声内容のテキスト或いは音素ラティスの複数の候補を考慮した検索用ファイルの更新とは、認識結果のみを用いず、認識の中間処理データ（例えば複数の文字認識候補や音声認識候補、或いは複数の音素ラティス候補）を用いて更新を行うということである。これは、誤認識による検索漏れや誤検索を極力抑えることが狙いである。
【００３５】
なお、文書イメージデータや音声データに説明文やキーワード等のテキストデータが付与されている場合は、これらテキストデータも、当該文書イメージデータや音声データに対応付けて蓄積されることになる。
【００３６】
（Ｄ）データ・文書イメージデータの検索処理
データサーバ５が蓄積している文書データ、文書イメージデータ、音声データを参照したい場合、クライアント端末１２は参照したい文書データに含まれる文字列、参照したい文書イメージデータや音声データに対応付けられたテキストデータに含まれる文字列を指定することにより検索処理を行う。全文検索ソフトウェアは、検索するべく指定された文字列（検索語）を文字キーに分解し、それらの文字キーの全てを含む文書の文書アドレスを得た後、それらの分解キーが連続しているデータを調べて確定する。このような処理により高速に検索処理が行える。
【００３７】
また、アクセス制限文字列を検索語に指定したい場合、同時にそれへのパスワードを指定することとなる。図８は検索時の検索条件入力画面を示す図である。必要があれば検索語にパスワードを指定できるような形となっている。
【００３８】
アクセス制限文字列とそのパスワードの指定が無い場合、そのアクセス制限文字列を含む文書は検索結果として表示されず、あたかもそのアクセス制限文字列を含む文書は存在しないようにみえる。
【００３９】
図９および図１０は文書・文書イメージデータの検索処理手順を示すフローチャートである。アクセス制限文字列へのパスワードが正しくない場合、指定する検索条件の中からそのアクセス制限文字列に該当する部分の演算を行わないことによりアクセス制限文字列およびパスワードを解析するための情報を使用者に与えないようにする。
【００４０】
まず、クライアント端末より検索条件が入力されると（ステップＳ３１）、入力された検索語（パスワード）を１つ読み出す（ステップＳ３２）。読み出された検索語は「アクセス制限文字列＋パスワード指定」による検索語であるか否かを判別する（ステップＳ３３）。「アクセス制限文字列＋パスワード指定」による検索語でない場合、検索語を全文検索し、その結果を記憶する（ステップＳ３４）。
【００４１】
一方、「アクセス制限文字列＋パスワード指定」による検索語である場合、アクセス制限文字列管理情報テーブルからアクセス制限文字列であるか否かを判別する（ステップＳ３５）。アクセス制限文字列である場合はそのアクセス制限文字列を指定リストへ登録し（ステップＳ３５ａ）、パスワードが合っているか否かを判別する（ステップＳ３６）。パスワードが合っている場合、当該検索語によって全文検索し、その結果を記憶する（ステップＳ３７）。一方、パスワードがアクセス制限文字列管理テーブルに登録された内容と合っていない場合、そのアクセス制限文字列を無効リストに登録し（ステップＳ３６）、後述する論理演算時に考慮しないように設定する（ステップＳ３８）。また、アクセス制限文字列がアクセス制限文字列管理テーブルに登録された内容と合っていない場合は、ステップＳ３５から直接ステップＳ３８へ進み、後述する論理演算時に考慮しないように設定する。
【００４２】
未処理の検索語があるか否かを判定し（ステップＳ３９）、未処理の検索語がある場合、ステップＳ３２の処理に戻る。一方、未処理の検索語がない場合、指定された論理演算で個々の検索語に対する全文検索結果を演算する（ステップＳ４０）。但し、アクセス制限文字列に対するパスワード指定ミスの部分の演算は無効として処理される。
【００４３】
該当する文書が存在するか否かを判別し（ステップＳ４１）、該当する文書が存在しない場合、ヒットしなかった旨を返す（ステップＳ４２）。一方、該当する文書が存在する場合は、検索された文書を、すぐに見せてもよい文書と、そうでない文書に分けるために、ステップＳ４３以降の処理を実行する。まず、無効リストに登録されたアクセス制限文字列を用いて全文検索を行い、今回の検索語に出てきたが、パスワードの合っていないアクセス制限文字列の検索結果を得る（ステップＳ４３）。また、アクセス制限文字列管理情報に登録されているアクセス制限文字列から指定リスト（ステップＳ３５ａ）に登録されたアクセス制限文字列を除くアクセス制限文字列で全文検索を行い、今回検索語に出てこなかったアクセス制限文字列による検索結果を得る。更に、今回検索語に出てきたアクセス制限文字列でパスワードが合っているものの検索結果同士の論理和をとる（ステップＳ４５）。
【００４４】
次に、今回検索語に出てこなかったアクセス制限文字列および今回検索語に出てきたがパスワードがあっていなかったアクセス制限文字列の検索結果同士の論理和をとる（ステップＳ４６）。すなわち、ステップＳ４６では、ステップＳ４３の検索結果と、ステップＳ４４の検索結果の論理和が取られることになる。そして、ステップＳ４０とステップＳ４６の処理結果に基づいて、すぐにユーザに見せてもよい文書を得る（ステップＳ４７）。ここでは、
（Ｓ４０の処理結果）−（Ｓ４０の処理結果）＆（Ｓ４６の処理結果）
によってすぐにユーザに見せてもよい文書を得る。すなわち、ステップＳ４０で得られた検索結果から、未指定のアクセス制限文字列もしくはパスワードの指定が間違っているアクセス制限文字列の少なくともいずれかを含む文書を除いた結果を、すぐに見せてもよい文書とする。次に、ステップＳ４０、Ｓ４５、Ｓ４６の処理結果に基づき、ステップＳ４０で得られた文書のうち、他にアクセス制限文字列を含んでいるものを抽出する。ここでは、
（Ｓ４０の処理結果）＆（Ｓ４５の処理結果）＆（Ｓ４６の処理結果）
によって該当する文書を抽出する。すなわち、ステップＳ４８では、ステップＳ４０で得られた検索結果から、正しく指定されたアクセス制限文字列を含むものの、他にも指定すべきアクセス制限文字列を含む文書が得られる。
【００４５】
ステップＳ４７の処理結果にステップＳ４８の処理結果を加えたヒット件数を返すが、ステップＳ４８の処理結果についてはそのヒット件数に「アクセス制限文書」という文言を付加して返し、ステップＳ４７の処理結果についてはそのヒット件数にタイトル等の属性を付加して返す（ステップＳ４９）。
【００４６】
図１１は検索結果からクライアントが文書データ、文書イメージデータあるいは音声データを参照する場合の処理手順を示すフローチャートである。まず、クライアント端末１２から、検索された文書データ・文書イメージデータ・音声データのうちの参照したいデータが指示入力される（ステップＳ５１）。すると、全文検索サービスサーバ７は、指示されたデータが他にアクセス制限文字列を含んでいるか否かを判別する（ステップＳ５２）。他にアクセス制限文字列を含んでいない場合は、指示されたデータ（文書データ、文書イメージデータ或いは音声データ）が当該クライアント端末１２に送信される（ステップＳ５３）。
【００４７】
一方、ステップＳ５２で、指示されたデータが、検索語として指定された文字列以外のアクセス制限文字列を含んでいる場合、その含まれているアクセス制限文字列をクライアント端末１２に提示させ、そのパスワードを入力させる（ステップＳ５４）図１２は本実施形態における、パスワード入力を促すための画面表示例を示す図である。この入力画面に応答して入力されたパスワードが、当該アクセス制限文字列のパスワードと一致するか否かを判定する（ステップＳ５５）。両者が一致する場合は、更に他にアクセス制限文字列があるか否かを判定する（ステップＳ５６）。他にアクセス制限文字列がある場合は、ステップＳ５４に戻り上記の処理を繰り返す。一方、他にアクセス制限文字列がない場合は、ステップＳ５３に移行し、要求されたデータ（文書データ、文書イメージデータ、音声データ）を要求元のクライアント端末に送信する。クライアント端末では、文書データ、文書イメージデータの表示、音声データの音声再生が行われる。
【００４８】
なお、ステップＳ５５で入力されたパスワードが一致しないと判定された場合は、ステップＳ５７へ進み、データ開示を拒否する旨をクライアント端末１２に通知する。
【００４９】
検索処理結果は大きく分けて２通りある。その１つはアクセス制限文字列でない検索語でヒットしたもの、およびアクセス制限文字列を検索語に選んで正しいパスワードを与えてヒットしたもので、そのデータ内に他のアクセス制限文字列を含んでいない場合である。もう１つは、アクセス制限文字列でない検索語でヒットしたもの、およびアクセス制限文字列を検索語に選んで正しいパスワードを与えてヒットしたもので、その文書内に他のアクセス制限文字列を含んでいる場合である。
【００５０】
文書・文書イメージデータを参照する際、前者の場合にはヒットした文書データを一括で送信してもよいが、後者の場合には、図１１のフローチャートで説明したように、個別にアクセス制限文字列とパスワードを聞いて条件を満たしてから参照させることとなる（ステップＳ５２、Ｓ５４〜Ｓ５６）。前者の場合はヒット数や文書タイトルなどの属性情報を、後者の場合は提示しても差し支えない属性情報だけを通知する。また、クライアント端末１２のアプリケーションの要求に応じて必要なデータだけを送信するようにしてもよい。
【００５１】
また、後者の場合（検索語文字列以外のアクセス制限文字列を含むデータの場合）、他のアクセス制限文字列について図１２に示すような質問ダイアログが提示される。図１２はアクセス制限文字列を複数含むヒット文書に対しパスワードを入力する画面の一例を示している。ステップＳ５４〜Ｓ５６の処理によれば、このような入力画面により、順次アクセス制限文字列を提示し、全ての正しいパスワードが入力された場合に参照可能とするが、途中でパスワードの指定を誤った場合、その時点で参照不可能となる。
【００５２】
尚、全文検索サービスサーバ７がクライアント端末１２から指定された検索語をシソーラス（同義語・類義語）に展開する機能を有する場合は、アクセス制限文字列がシソーラス展開結果に含まれていないかをチェックし、存在した場合、このアクセス制限文字列と一致したシソーラスを無効にする処理を行うことが望ましい。
【００５３】
また、本実施の形態では文書イメージデータに含まれる文字列イメージに対してアクセス制限を加えるものであるが、文字列イメージでなく、その内容・機密度を表すキーワード・記号列・暗号に対して文字列によりアクセス制限を加えるようにしてもよい。また、使用者がインターネットブラウザを使用し、ホームページ上で処理を行う形での運用も可能である。
【００５４】
さらに、上記実施の形態では、公衆回線３から各種データへの直接アクセスを防ぐためにファイアウォール９を全文検索サービスサーバ７およびデータサーバ５間に設けているが、データサーバ５が全文検索サービスサーバ７からのパケットであるか否かを同定し、全文検索サービスサーバからのパケットでない場合には内部ファイルを参照できなくする機能を有しているときには、必ずしもファイアウォール９を設ける必要はない。
【００５５】
以上説明したように、上記実施形態によれば、クライアント端末から指定された文字列にしたがってデータサーバに蓄積されているデータを検索する際に、アクセス制限文字列として登録された文字列が検索文字列に含まれている場合、当該クライアント端末から対応するパスワードの指定がない限り、該アクセス制限文字列を含むデータへのアクセスが禁止される。このため、データを効率よく共有しつつ、機密データのアクセス権範囲の変化に柔軟に対応することができる。また、機密性が無くなったデータを公に開示する際にも、柔軟に対応することができる。
【００５６】
また、全文検索サービスサーバとデータサーバとの間にファイアウォールを設けたので、データサーバ自身がが全文検索サービスサーバからのパケットであるか否かを同定し、全文検索サービスサーバからのパケットでない場合には、内部ファイルを参照できなくする機能を有していなくとも、クライアント端末からデータサーバに直接アクセスすることを防ぐことができる。この結果、データセキュリティを向上できる。
【００５７】
また、ファイアウォール等によって機密性が保たれているデータサーバに、アクセス制限文字列およびそのパスワードを登録したアクセス制限文字列管理テーブルが格納されているので、機密性を高めることができる。
【００５８】
また、アクセス制限文字列およびそのパスワードの登録を要求した者のＩＰアドレスがアクセス制限文字列管理テーブルに格納されているので、登録要求者のＩＰアドレスの管理を容易に行うことができ、アクセス制限文字列およびそのパスワードを削除する際の確認を簡単に行うことができる。
【００５９】
また、アクセス制限文字列は、登録要求者から削除要求が合った場合、あるいは異なるＩＰアドレスを有する所定数以上の者から削除要求があった場合に、アクセス制限文字列管理テーブルから削除される。このため、誤って機密データが公に開示されてしまう危険性が低減される。
【００６０】
また、検索されたデータにアクセス制限文字列が含まれている場合、該アクセス制限文字列に対するパスワードの入力を要求する画面をクライアント端末の表示画面に表示させるので、操作性を向上することができる。
【００６１】
また、データサーバ５は、登録するデータがイメージデータである場合、当該イメージデータをＯＣＲ処理によってテキストデータに変換し、変換されたテキストデータをそのイメージデータと対応付けて蓄積するので、テキストデータと同様の処理をイメージデータに対して行うことができる。
【００６２】
また、データサーバ５は、登録するデータが音声データの場合、当該音声データを音声認識処理を施すことにより音声内容のテキストデータあるいは音素ラティスデータ（音素の複数候補を考慮した形の認識結果）を得て、該変換されたテキストデータあるいは音素ラティスデータをその音声データと対応付けて蓄積するので、テキストデータと同様の処理を音声データに対して行うことができる。
【００６３】
また、全文検索サービスサーバ７は、検索されたデータがアクセス制限文字列を含まない場合、該検索されたデータに属性を付加してクライアント端末７に検索結果を通知するので、機密データでない場合、検索結果に対する多くの情報を使用者に通知することができる。
【００６４】
なお、本発明は、複数の機器（例えばホストコンピュータ，インタフェイス機器，リーダ，プリンタなど）から構成されるシステムに適用しても、一つの機器からなる装置（例えば、複写機，ファクシミリ装置など）に適用してもよい。
【００６５】
また、本発明の目的は、前述した実施形態の機能を実現するソフトウェアのプログラムコードを記録した記憶媒体を、システムあるいは装置に供給し、そのシステムあるいは装置のコンピュータ（またはＣＰＵやＭＰＵ）が記憶媒体に格納されたプログラムコードを読出し実行することによっても、達成されることは言うまでもない。
【００６６】
この場合、記憶媒体から読出されたプログラムコード自体が前述した実施形態の機能を実現することになり、そのプログラムコードを記憶した記憶媒体は本発明を構成することになる。
【００６７】
プログラムコードを供給するための記憶媒体としては、例えば、フロッピディスク，ハードディスク，光ディスク，光磁気ディスク，ＣＤ−ＲＯＭ，ＣＤ−Ｒ，磁気テープ，不揮発性のメモリカード，ＲＯＭなどを用いることができる。
【００６８】
また、コンピュータが読出したプログラムコードを実行することにより、前述した実施形態の機能が実現されるだけでなく、そのプログラムコードの指示に基づき、コンピュータ上で稼働しているＯＳ（オペレーティングシステム）などが実際の処理の一部または全部を行い、その処理によって前述した実施形態の機能が実現される場合も含まれることは言うまでもない。
【００６９】
さらに、記憶媒体から読出されたプログラムコードが、コンピュータに挿入された機能拡張ボードやコンピュータに接続された機能拡張ユニットに備わるメモリに書込まれた後、そのプログラムコードの指示に基づき、その機能拡張ボードや機能拡張ユニットに備わるＣＰＵなどが実際の処理の一部または全部を行い、その処理によって前述した実施形態の機能が実現される場合も含まれることは言うまでもない。
【００７０】
【発明の効果】
以上説明したように本発明によれば、データを効率よく共有しつつ、機密データのアクセス権範囲を柔軟に設定することができる。
また、本発明によれば、機密性が無くなったデータを公に開示する際の運用が柔軟に行える。
【００７１】
【図面の簡単な説明】
【図１】本実施形態におけるデータセキュリティ管理システムの構成を示すブロック図である。
【図２】データサーバ５に管理されているデータの構成を示す図である。
【図３】本実施形態のデータセキュリティ管理システムにおけるアクセス制限文字列の登録処理手順を示すフローチャートである。
【図４】アクセス制限文字列管理情報テーブルを示す図である。
【図５】本実施形態の全文検索サービスサーバ７によるアクセス制限文字列の登録処理を説明するフローチャートである。
【図６】アクセス制限文字列の解除処理手順を示すフローチャートである。
【図７】文書・文書イメージデータの登録処理手順を示すフローチャートである。
【図８】検索時の検索条件入力画面を示す図である。
【図９】文書・文書イメージデータの検索処理手順を示すフローチャートである。
【図１０】文書・文書イメージデータの検索処理手順を示すフローチャートである。
【図１１】検索結果からクライアントが文書データ、文書イメージデータあるいは音声データを参照する場合の処理手順を示すフローチャートである。
【図１２】本実施形態における、パスワード入力を促すための画面表示例を示す図である。
【図１３】全文検索サービスサーバの装置構成を説明するブロック図である。
【符号の説明】
１  文書セキュリティ管理システム
５  データサーバ
７  全文検索サービスサーバ
９  ファイアウォール
１２  クライアント端末
【図１】
0004236218.tif 000002
【図２】
0004236218.tif 000003
【図３】
0004236218.tif 000004
【図４】
0004236218.tif 000005
【図５】
0004236218.tif 000006
【図６】
0004236218.tif 000007
【図７】
0004236218.tif 000008
【図８】
0004236218.tif 000009
【図９】
0004236218.tif 000010
【図１０】
0004236218.tif 000011
【図１１】
0004236218.tif 000012
【図１２】
0004236218.tif 000013
【図１３】
0004236218.tif 000014