知財求人 - 知財ポータルサイト「IP Force」
(19)【発行国】日本国特許庁(JP)
(12)【公報種別】特許公報(B2)
(11)【特許番号】6961927
(24)【登録日】2021年10月18日
(45)【発行日】2021年11月5日
(54)【発明の名称】システム、文書管理方法、中継装置、中継装置の制御プログラム
(51)【国際特許分類】
G06F 21/60 20130101AFI20211025BHJP
H04L 9/10 20060101ALI20211025BHJP
【ＦＩ】
G06F21/60 320
H04L9/00 621A
【請求項の数】10
【全頁数】28
(21)【出願番号】特願2016-222685(P2016-222685)
(22)【出願日】2016年11月15日
(65)【公開番号】特開2018-81456(P2018-81456A)
(43)【公開日】2018年5月24日
【審査請求日】2019年9月3日
(73)【特許権者】
【識別番号】000006747
【氏名又は名称】株式会社リコー
(74)【代理人】
【識別番号】100186853
【弁理士】
【氏名又は名称】宗像 孝志
(72)【発明者】
【氏名】佐藤 淳
【審査官】
青木 重徳
(56)【参考文献】
【文献】
特開２００４−１７１２２４（ＪＰ，Ａ）
【文献】
特開２０００−２３１５２３（ＪＰ，Ａ）
【文献】
特開２０１４−０７１５９０（ＪＰ，Ａ）
【文献】
特開２００５−２０９１８１（ＪＰ，Ａ）
【文献】
特開２００９−０９８８８９（ＪＰ，Ａ）
(58)【調査した分野】（Int.Cl.，ＤＢ名）
Ｇ０６Ｆ ２１／６０
Ｈ０４Ｌ ９／１０
(57)【特許請求の範囲】
【請求項1】
保管対象のデータである保管対象データを送受信する画像形成装置と、
前記画像形成装置から受信した前記保管対象データに基づいて生成されるデータをサービス提供装置に記憶させる中継装置と、
を含むシステムであって、
前記画像形成装置は、
読み取った画像に基づいて前記データを生成する画像処理部を含み、
当該画像形成装置に入力された情報であって、当該画像形成装置のユーザを識別するユーザ識別子と前記ユーザごとに固有の文字列の情報と生成された前記データと前記保管対象データを特定する特定情報とを前記中継装置に送信し、
前記サービス提供装置は、
前記中継装置ごとに前記保管対象データの暗号化データと前記ユーザ識別子とを関連づけて記憶し、
前記中継装置は、
前記画像形成装置から送信される前記ユーザごとに固有の文字列の情報及び当該前記ユーザを識別するユーザ識別子と、当該ユーザごとの固有の暗号鍵と、を関連づけて記憶するユーザ情報管理部と、
前記画像形成装置から送信される前記文字列の情報によって前記暗号鍵を復号し、複合された前記暗号鍵によって前記画像形成装置から受信した前記保管対象データから暗号化データを生成する暗号化データ生成部と、
前記暗号化データを識別する識別子を生成し、前記暗号化データの元データである前記特定情報と前記識別子とを関連づけて記憶する特定情報記憶部と、
前記特定情報に関連する識別子に基づいて前記暗号化データを特定し、当該暗号化データと当該暗号化データに基づいて生成された識別子とを関連づけてサービス提供装置に記憶させる暗号化データ記憶制御部と、
前記サービス提供装置に記憶され、特定された前記暗号化データを前記サービス提供装置から受信し、受信した前記暗号化データを前記ユーザごとの固有の暗号鍵によって復号する暗号化データ復号部と、
前記暗号化データから復号された前記元データである前記保管対象データを前記画像形成装置に送信する通信制御部と、を含むことを特徴とするシステム。
前記画像形成装置から受信した前記保管対象データに基づいて生成されるデータをサービス提供装置に記憶させる中継装置と、
を含むシステムであって、
前記画像形成装置は、
読み取った画像に基づいて前記データを生成する画像処理部を含み、
当該画像形成装置に入力された情報であって、当該画像形成装置のユーザを識別するユーザ識別子と前記ユーザごとに固有の文字列の情報と生成された前記データと前記保管対象データを特定する特定情報とを前記中継装置に送信し、
前記サービス提供装置は、
前記中継装置ごとに前記保管対象データの暗号化データと前記ユーザ識別子とを関連づけて記憶し、
前記中継装置は、
前記画像形成装置から送信される前記ユーザごとに固有の文字列の情報及び当該前記ユーザを識別するユーザ識別子と、当該ユーザごとの固有の暗号鍵と、を関連づけて記憶するユーザ情報管理部と、
前記画像形成装置から送信される前記文字列の情報によって前記暗号鍵を復号し、複合された前記暗号鍵によって前記画像形成装置から受信した前記保管対象データから暗号化データを生成する暗号化データ生成部と、
前記暗号化データを識別する識別子を生成し、前記暗号化データの元データである前記特定情報と前記識別子とを関連づけて記憶する特定情報記憶部と、
前記特定情報に関連する識別子に基づいて前記暗号化データを特定し、当該暗号化データと当該暗号化データに基づいて生成された識別子とを関連づけてサービス提供装置に記憶させる暗号化データ記憶制御部と、
前記サービス提供装置に記憶され、特定された前記暗号化データを前記サービス提供装置から受信し、受信した前記暗号化データを前記ユーザごとの固有の暗号鍵によって復号する暗号化データ復号部と、
前記暗号化データから復号された前記元データである前記保管対象データを前記画像形成装置に送信する通信制御部と、を含むことを特徴とするシステム。
【請求項2】
前記ユーザ情報管理部は、
前記文字列の情報と前記ユーザ識別子との組み合わせが新たに入力された場合に前記暗号鍵を生成し、当該暗号鍵と前記文字列の情報と前記ユーザ識別子とを関連つけて記憶し、記憶されている前記ユーザ識別子が削除された場合には、当該ユーザ識別子に関連つけられている前記暗号鍵を削除することを特徴とする請求項１に記載のシステム。
前記文字列の情報と前記ユーザ識別子との組み合わせが新たに入力された場合に前記暗号鍵を生成し、当該暗号鍵と前記文字列の情報と前記ユーザ識別子とを関連つけて記憶し、記憶されている前記ユーザ識別子が削除された場合には、当該ユーザ識別子に関連つけられている前記暗号鍵を削除することを特徴とする請求項１に記載のシステム。
【請求項3】
前記ユーザ情報管理部は、
前記文字列の情報をハッシュ値に変換して記憶することを特徴とする請求項２または請求項２に記載のシステム。
前記文字列の情報をハッシュ値に変換して記憶することを特徴とする請求項２または請求項２に記載のシステム。
【請求項4】
前記暗号化データ記憶制御部は、
前記画像形成装置から前記保管対象データを削除する削除要求を受信した場合に、当該保管対象データに基づく前記暗号化データに関連つけられている前記識別子を削除することを特徴とする請求項１乃至３のいずれか一項に記載のシステム。
前記画像形成装置から前記保管対象データを削除する削除要求を受信した場合に、当該保管対象データに基づく前記暗号化データに関連つけられている前記識別子を削除することを特徴とする請求項１乃至３のいずれか一項に記載のシステム。
【請求項5】
保管対象のデータである保管対象データを送受信する画像形成装置と、
前記画像形成装置から受信した前記保管対象データに基づいて生成されるデータをサービス提供装置に記憶させる中継装置と、
を含むシステムにおける文書管理方法であって、
読み取った画像に基づいて前記データを生成する画像処理部を含む前記画像形成装置が、当該画像形成装置に入力された情報であって、当該画像形成装置のユーザを識別するユーザ識別子と前記ユーザごとに固有の文字列の情報と生成された前記データと前記保管対象データを特定する特定情報とを前記中継装置に送信し、
前記中継装置が、
前記画像形成装置から送信される前記ユーザごとに固有の文字列の情報及び当該前記ユーザを識別するユーザ識別子と、当該ユーザごとの固有の暗号鍵と、を関連づけて記憶し、
前記画像形成装置から送信される前記文字列の情報によって前記暗号鍵を復号し、複合された前記暗号鍵によって前記画像形成装置から受信した前記保管対象データから暗号化データを生成し、
前記暗号化データを識別する識別子を生成し、前記暗号化データの元データである前記特定情報と前記識別子とを関連づけて記憶し、
前記特定情報に関連する識別子に基づいて前記暗号化データを特定し、当該暗号化データと当該暗号化データに基づいて生成された識別子とを関連づけてサービス提供装置に記憶させ、
前記サービス提供装置に記憶され、特定された前記暗号化データを前記サービス提供装置から受信し、受信した前記暗号化データを前記ユーザごとの固有の暗号鍵によって復号し、
前記暗号化データから復号された前記元データである前記保管対象データを前記画像形成装置に送信することを特徴とする文書管理方法。
前記画像形成装置から受信した前記保管対象データに基づいて生成されるデータをサービス提供装置に記憶させる中継装置と、
を含むシステムにおける文書管理方法であって、
読み取った画像に基づいて前記データを生成する画像処理部を含む前記画像形成装置が、当該画像形成装置に入力された情報であって、当該画像形成装置のユーザを識別するユーザ識別子と前記ユーザごとに固有の文字列の情報と生成された前記データと前記保管対象データを特定する特定情報とを前記中継装置に送信し、
前記中継装置が、
前記画像形成装置から送信される前記ユーザごとに固有の文字列の情報及び当該前記ユーザを識別するユーザ識別子と、当該ユーザごとの固有の暗号鍵と、を関連づけて記憶し、
前記画像形成装置から送信される前記文字列の情報によって前記暗号鍵を復号し、複合された前記暗号鍵によって前記画像形成装置から受信した前記保管対象データから暗号化データを生成し、
前記暗号化データを識別する識別子を生成し、前記暗号化データの元データである前記特定情報と前記識別子とを関連づけて記憶し、
前記特定情報に関連する識別子に基づいて前記暗号化データを特定し、当該暗号化データと当該暗号化データに基づいて生成された識別子とを関連づけてサービス提供装置に記憶させ、
前記サービス提供装置に記憶され、特定された前記暗号化データを前記サービス提供装置から受信し、受信した前記暗号化データを前記ユーザごとの固有の暗号鍵によって復号し、
前記暗号化データから復号された前記元データである前記保管対象データを前記画像形成装置に送信することを特徴とする文書管理方法。
【請求項6】
ネットワークを介して接続された画像形成装置から受信した保管対象のデータである保管対象データに基づいて生成されるデータをサービス提供装置に記憶させる中継装置であって、
前記画像形成装置から送信される、当該画像形成装置のユーザごとに固有の文字列の情報及び当該前記ユーザを識別するユーザ識別子と、当該ユーザごとの固有の暗号鍵と、を関連づけて記憶するユーザ情報管理部と、
前記画像形成装置から送信される前記文字列の情報によって前記暗号鍵を復号し、複合された前記暗号鍵によって前記画像形成装置から受信した前記保管対象データから暗号化データを生成する暗号化データ生成部と、
前記暗号化データを識別する識別子を生成し、前記暗号化データの元データである前記保管対象データを特定する特定情報と前記識別子とを関連づけて記憶する特定情報記憶部と、
前記特定情報に関連する識別子に基づいて前記暗号化データを特定し、当該暗号化データと当該暗号化データに基づいて生成された識別子とを関連づけてサービス提供装置に記憶させる暗号化データ記憶制御部と、
前記サービス提供装置に記憶され特定された前記暗号化データを前記サービス提供装置から受信し、受信した前記暗号化データを前記ユーザごとの固有の暗号鍵によって復号する暗号化データ復号部と、
前記暗号化データから復号された前記元データである前記保管対象データを前記画像形成装置に送信する通信制御部と 前記暗号化データから復号された前記元データである前記保管対象を前記画像形成装置に送信する通信制御部と、
を含むことを特徴とする中継装置。
前記画像形成装置から送信される、当該画像形成装置のユーザごとに固有の文字列の情報及び当該前記ユーザを識別するユーザ識別子と、当該ユーザごとの固有の暗号鍵と、を関連づけて記憶するユーザ情報管理部と、
前記画像形成装置から送信される前記文字列の情報によって前記暗号鍵を復号し、複合された前記暗号鍵によって前記画像形成装置から受信した前記保管対象データから暗号化データを生成する暗号化データ生成部と、
前記暗号化データを識別する識別子を生成し、前記暗号化データの元データである前記保管対象データを特定する特定情報と前記識別子とを関連づけて記憶する特定情報記憶部と、
前記特定情報に関連する識別子に基づいて前記暗号化データを特定し、当該暗号化データと当該暗号化データに基づいて生成された識別子とを関連づけてサービス提供装置に記憶させる暗号化データ記憶制御部と、
前記サービス提供装置に記憶され特定された前記暗号化データを前記サービス提供装置から受信し、受信した前記暗号化データを前記ユーザごとの固有の暗号鍵によって復号する暗号化データ復号部と、
前記暗号化データから復号された前記元データである前記保管対象データを前記画像形成装置に送信する通信制御部と 前記暗号化データから復号された前記元データである前記保管対象を前記画像形成装置に送信する通信制御部と、
を含むことを特徴とする中継装置。
【請求項7】
前記ユーザ情報管理部は、
前記文字列の情報と前記ユーザ識別子との組み合わせが新たに入力された場合に前記暗号鍵を生成し、当該暗号鍵と前記文字列の情報と前記ユーザ識別子とを関連つけて記憶し、記憶されている前記ユーザ識別子が削除された場合には、当該ユーザ識別子に関連つけられている前記暗号鍵を削除することを特徴とする請求項６に記載の中継装置。
前記文字列の情報と前記ユーザ識別子との組み合わせが新たに入力された場合に前記暗号鍵を生成し、当該暗号鍵と前記文字列の情報と前記ユーザ識別子とを関連つけて記憶し、記憶されている前記ユーザ識別子が削除された場合には、当該ユーザ識別子に関連つけられている前記暗号鍵を削除することを特徴とする請求項６に記載の中継装置。
【請求項8】
前記ユーザ情報管理部は、
前記文字列の情報をハッシュ値に変換して記憶することを特徴とする請求項６または７に記載の中継装置。
前記文字列の情報をハッシュ値に変換して記憶することを特徴とする請求項６または７に記載の中継装置。
【請求項9】
前記暗号化データ記憶制御部は、
前記画像形成装置から前記データを削除する削除要求を受信した場合に、当該データが暗号化されて生成した暗号化データに関連つけられている識別子を削除することを特徴とする請求項６乃至８のいずれか一項に記載の中継装置。
前記画像形成装置から前記データを削除する削除要求を受信した場合に、当該データが暗号化されて生成した暗号化データに関連つけられている識別子を削除することを特徴とする請求項６乃至８のいずれか一項に記載の中継装置。
【請求項10】
ネットワークを介して接続された画像形成装置から受信した保管対象のデータである保管対象データに基づいて生成されるデータをサービス提供装置に記憶させる中継装置の制御プログラムであって、
前記画像形成装置から送信される当該画像形成装置のユーザごとに固有の文字列の情報及び当該ユーザを識別するユーザ識別子と、当該ユーザごとの固有の暗号鍵と、を関連づけて記憶するステップと、
前記画像形成装置から送信される前記文字列の情報によって前記暗号鍵を復号し、複合された前記暗号鍵によって前記画像形成装置から受信した前記保管対象データから暗号化データを生成するステップと、
前記暗号化データを識別する識別子を生成し、前記暗号化データの元データである前記保管対象データを特定する特定情報と前記識別子とを関連づけて記憶するステップと、
前記特定情報に関連する識別子に基づいて前記暗号化データを特定し、当該暗号化データと当該暗号化データに基づいて生成された識別子とを関連づけてサービス提供装置に記憶させるステップと、
前記サービス提供装置に記憶され、特定された前記暗号化データを前記サービス提供装置から受信し、受信した前記暗号化データを前記ユーザごとの固有の暗号鍵によって復号する暗号化データ復号部と、
前記暗号化データから復号された前記元データである前記保管対象データを前記画像形成装置に送信するステップと、
を実行させることを特徴とする中継装置の制御プログラム。
前記画像形成装置から送信される当該画像形成装置のユーザごとに固有の文字列の情報及び当該ユーザを識別するユーザ識別子と、当該ユーザごとの固有の暗号鍵と、を関連づけて記憶するステップと、
前記画像形成装置から送信される前記文字列の情報によって前記暗号鍵を復号し、複合された前記暗号鍵によって前記画像形成装置から受信した前記保管対象データから暗号化データを生成するステップと、
前記暗号化データを識別する識別子を生成し、前記暗号化データの元データである前記保管対象データを特定する特定情報と前記識別子とを関連づけて記憶するステップと、
前記特定情報に関連する識別子に基づいて前記暗号化データを特定し、当該暗号化データと当該暗号化データに基づいて生成された識別子とを関連づけてサービス提供装置に記憶させるステップと、
前記サービス提供装置に記憶され、特定された前記暗号化データを前記サービス提供装置から受信し、受信した前記暗号化データを前記ユーザごとの固有の暗号鍵によって復号する暗号化データ復号部と、
前記暗号化データから復号された前記元データである前記保管対象データを前記画像形成装置に送信するステップと、
を実行させることを特徴とする中継装置の制御プログラム。
【発明の詳細な説明】
【技術分野】
【0001】
本発明は、システム、文書管理方法、中継装置、中継装置の制御プログラムに関する。
【背景技術】
【0002】
オフィス環境に設置されたＰＣ（Ｐｅｒｓｏｎａｌ Ｃｏｍｐｕｔｅｒ）等の情報処理装置やＭＦＰ（複合機）は、コンピュータの性能向上およびネットワーク技術の普及により、ネットワークを介してクラウドストレージサービスにアクセスし、文書を管理するなどの処理を行っている。このようなクラウドストレージサービスとして、ＰＣなどのユーザが操作するクライアント端末である情報処理端末と、クラウドストレージサービスを提供するサービス提供装置と、情報処理端末とサービス提供装置とを中継し接続する中継装置とによって構成されるものが知られている。
【0003】
このようなクラウドストレージサービスにおけるサーバなどのサービス提供装置に格納された文書データは、中継装置を介して情報処理端末に送信される。特許文献１には、サービス提供装置に格納された文書データについてユーザが目的とする文書データの検索を行う際に、検索結果をユーザが把握しやすくする構成が開示されている。
【0004】
特許文献１に開示された技術では、中継装置がサービス提供装置から受信した文書データの検索結果を示すファイル識別子を変換ルーチンに従って変換し、情報処理装置に送信する。このようにすると、複数のサービス提供装置のそれぞれに同一の文書ファイルが格納されている場合、ユーザに対して、同一のファイル識別子を持った文書ファイルを一つの文書ファイルとして提示することができる。
【0005】
ところで、このようなクラウドストレージサービスにおいては、文書データを暗号化したうえでクラウドサーバなどのサービス提供装置に格納することが一般的に行われている。文書データを暗号化して取り扱う技術として、中継装置において、ユーザ所有の暗号鍵によって文書データを暗号化し、サービス提供装置において、暗号化されたデータのみを使用してストレージサービスを提供する「ゼロナレッジ・テクノロジー」という技術が注目されている。
【0006】
「ゼロナレッジ・テクノロジー」によってストレージサービスを提供するプロバイダは、暗号化された文書データのみを取り扱うため、顧客であるユーザが提供した文書データの中身を見ていないということをアピールすることができる。さらに、プロバイダが公権力によって情報提供を求められた場合に提供される文書データは、暗号化された文書データである。
【0007】
したがって、ユーザにとっては、文書データの中身がストレージサービスを提供するプロバイダおよび情報提供先に閲覧される可能性がほぼなくなり、文書データの機密性を保った状態でストレージサービスを使用することができるという利点がある。
【発明の概要】
【発明が解決しようとする課題】
【0008】
しかし、特許文献１に開示された技術は、そもそも暗号化された文書データを想定したものではなく、サービス提供装置において、ファイル識別子によって暗号化された文書データのファイルを特定するためには、暗号化された文書データを復号しなければならない。そのため、ユーザが提供した文書データの機密性が損なわれてしまうおそれがある。
【0009】
上記課題を解決するために、本発明は、機密性を損なうことなく文書データを管理することを目的とする。
【課題を解決するための手段】
【0010】
上記課題を解決するために、本発明の一態様は、保管対象のデータである保管対象データを送受信する画像形成装置と、前記画像形成装置から受信した前記保管対象データに基づいて生成されるデータをサービス提供装置に記憶させる中継装置と、を含むシステムであって、前記画像形成装置は、読み取った画像に基づいて前記データを生成する画像処理部を含み、当該画像形成装置に入力された情報であって、当該画像形成装置のユーザを識別するユーザ識別子と前記ユーザごとに固有の文字列の情報と生成された前記データと前記保管対象データを特定する特定情報とを前記中継装置に送信し、前記サービス提供装置は、前記中継装置ごとに前記保管対象データの暗号化データと前記ユーザ識別子とを関連づけて記憶し、前記中継装置は、前記画像形成装置から送信される前記ユーザごとに固有の文字列の情報及び当該前記ユーザを識別するユーザ識別子と、当該ユーザごとの固有の暗号鍵と、を関連づけて記憶するユーザ情報管理部と、前記画像形成装置から送信される前記文字列の情報によって前記暗号鍵を復号し、複合された前記暗号鍵によって前記画像形成装置から受信した前記保管対象データから暗号化データを生成する暗号化データ生成部と、前記暗号化データを識別する識別子を生成し、前記暗号化データの元データである前記特定情報と前記識別子とを関連づけて記憶する特定情報記憶部と、前記特定情報に関連する識別子に基づいて前記暗号化データを特定し、当該暗号化データと当該暗号化データに基づいて生成された識別子とを関連づけてサービス提供装置に記憶させる暗号化データ記憶制御部と、前記サービス提供装置に記憶され、特定された前記暗号化データを前記サービス提供装置から受信し、受信した前記暗号化データを前記ユーザごとの固有の暗号鍵によって復号する暗号化データ復号部と、前記暗号化データから復号された前記元データである前記保管対象データを前記画像形成装置に送信する通信制御部と、を含むことを特徴とする。
【発明の効果】
【0011】
本発明によれば、機密性を損なうことなく文書データを管理することができる。
【図面の簡単な説明】
【0012】
【図1】本発明の実施形態に係る文書管理システムの運用形態を示す図。
【図2】本発明の実施形態に係る情報処理装置のハードウェア構成を示す図。
【図3】本発明の実施形態に係る画像形成装置のハードウェア構成を示す図。
【図4】本発明の実施形態に係る中継装置の機能構成を示す図。
【図5】本発明の実施形態に係るサービス提供装置の機能構成を示す図。
【図6】本発明の実施形態に係る画像形成装置の機能構成を示す図。
【図7】本発明の実施形態に係るＰＣの機能構成を示す図。
【図8】本発明の実施形態に係るユーザ情報管理テーブルの情報構成を示す図。
【図9】本発明の実施形態に係るユーザ情報を登録する処理の流れを示すシーケンス図。
【図10】本発明の実施形態に係るユーザ情報を登録する処理の流れを示すシーケンス図。
【図11】本発明の実施形態に係る文書管理テーブルの情報構成を示す図。
【図12】本発明の実施形態に係る文書管理テーブルの情報構成を示す図。
【図13】本発明の実施形態に係る暗号化された文書データを示す保管データ管理テーブルの情報構成を示す図。
【図14】本発明の実施形態に係る文書データを暗号化する処理の流れを示すシーケンス図。
【図15】本発明の実施形態に係る暗号化された文書データをサービス提供装置に保管する処理の流れを示すシーケンス図。
【図16】本発明の実施形態に係るサービス提供装置に保管された暗号化された文書データを読み出す処理の流れを示すシーケンス図。
【図17】本発明の実施形態に係る文書データ管理ＵＩの表示態様を示す図。
【図18】本発明の実施形態に係る暗号化された文書データをサービス提供装置から読み出す処理の流れを示すシーケンス図。
【図19】本発明の実施形態に係る文書データを暗号化する処理の流れを示すシーケンス図。
【図20】本発明の実施形態に係る文書データを暗号化する処理の流れを示すシーケンス図。
【図21】本発明の実施形態に係る文書データをサービス提供装置に保管する処理の流れを示すシーケンス図。
【図22】本発明の実施形態に係る保管している文書データへのアクセスを遮断する処理の流れを示すシーケンス図。
【図23】本発明の実施形態に係るサービス提供装置に保管されている暗号化された文書データを削除する処理の流れを示すシーケンス図。
【図24】本発明の実施形態に係る文書データ管理ＵＩの表示態様を示す図。
【図25】本発明の実施形態に係る文書データ管理ＵＩの表示態様を示す図。
【発明を実施するための形態】
【0013】
以下、図面を参照して、本発明の実施形態について説明する。本実施形態においては、ユーザが操作するクライアント端末であるＰＣなどの情報処理装置およびＭＦＰなどの画像形成装置、ストレージサービスを提供するサービス提供装置、上記のようなクライアント端末とサービス提供装置との間を仲介する中継装置によって構成される文書管理システムを例として説明する。なお、本実施形態における画像形成装置は、画像読取装置を含むＭＦＰ（Ｍｕｌｔｉ Ｆｕｎｃｔｉｏｎ Ｐｅｒｉｐｈｅｒａｌ：複合機）を例として説明する。
【0014】
図１は、本実施形態に係る文書管理システム６の運用形態を例示した図である。図１に示すように、本実施形態に係る文書管理システム６は、ＰＣ１、プリンタやスキャナなどの入出力機能を含む画像形成装置２、文書データの格納先となるサービス提供装置３、ＰＣ１および画像形成装置２とサービス提供装置３との間を、ネットワーク４を介して接続し、文書データのやり取りを仲介する中継装置５を含む。なお、図１に示す以上の数のＰＣ１もしくは画像形成装置２を含んで構成されていてもよい。
【0015】
ＰＣ１は、保管対象データである文書データをサービス提供装置３に送信するユーザが操作するクライアント端末である第一の情報処理装置として機能するものである。ＰＣの他、スマートフォンやタブレット端末等の情報端末によって実現されてもよい。ＰＣ１には、ユーザの操作により、文字情報や画像、図表を含んで構成される文書データを生成するためのアプリケーションがインストールされている。ＰＣ１は、保管対象の文書データを中継装置５に送信する。
【0016】
画像形成装置２は、撮像機能、画像形成機能および通信機能等を備えることにより、プリンタ、ファクシミリ、スキャナ、複写機として利用可能なクライアント端末であるＭＦＰなどの第一の情報処理装置として機能するものである。また、画像形成装置２は、ＰＣ１から送信されてきた描画指示に含まれる画像情報に基づいてＣＭＹＫもしくはモノクロの描画情報を生成し、生成された描画情報に基づいて画像形成出力を実行するカラープリンタやモノクロプリンタとしての機能を有する。さらに、画像形成装置２は、スキャナで読み取った画像に基づいて文書データを生成するためのソフトウェアが搭載されている。画像形成装置２は、保管対象の文書データを中継装置５に送信する。
【0017】
サービス提供装置３は、ネットワーク４を介して受信したデータを記憶する記憶装置を備え、第三の情報処理装置として機能する。中継装置５は、ＰＣ１および画像形成装置２など文書管理システム６のユーザが使用するクライアント装置とサービス提供装置３との間をネットワーク接続する機能を備える情報処理装置であり、クライアント装置とサービス提供装置３との間を送受信されるデータを暗号化し、または、復号し、データのやりとりを仲介する情報処理装置であり、第二の情報処理装置として機能するものである。
【0018】
中継装置５によって暗号化された文書データは、ネットワーク４を介してサービス提供装置３に送信され、記憶される。本実施形態においては、文書管理システム６のユーザがサービス提供装置３に記憶されたデータを利用する際に、サービス提供装置３で暗号化された文書データを復号せずに、中継装置５において暗号化された文書データを元データである文書データに復号する。このように、中継装置５において復号を行うことによって暗号化された文書データなどの暗号化データの機密性を損なうことなく、文書データを管理することが本発明の要旨である。
【0019】
次に、本実施形態に係るＰＣ１のハードウェア構成について説明する。図２は、本実施形態に係るＰＣ１のハードウェア構成を示すブロック図である。なお、本実施形態においては、サービス提供装置３および中継装置５もＰＣ１と同様のハードウェア構成である。図２に示すように、本実施形態に係るＰＣ１はＣＰＵ（Ｃｅｎｔｒａｌ Ｐｒｏｃｅｓｓｉｎｇ Ｕｎｉｔ）１０、ＲＡＭ（Ｒａｎｄｏｍ Ａｃｃｅｓｓ Ｍｅｍｏｒｙ）２０、ＲＯＭ（Ｒｅａｄ Ｏｎｌｙ Ｍｅｍｏｒｙ）３０、ＨＤＤ（Ｈａｒｄ Ｄｉｓｋ Ｄｒｉｖｅ）４０およびＩ／Ｆ５０がバス９０を介して接続されている。
【0020】
また、Ｉ／Ｆ５０にはＬＣＤ（Ｌｉｑｕｉｄ Ｃｒｙｓｔａｌ Ｄｉｓｐｌａｙ）６０、操作部７０が接続されている。なお、サービス提供装置３および中継装置５は、ＬＣＤ６０および操作部７０を含まない構成であってもよい。
【0021】
ＣＰＵ１０は演算手段であり、ＰＣ１全体の動作を制御する。ＲＡＭ２０は、情報の高速な読み書きが可能な揮発性の記憶媒体であり、ＣＰＵ１０が情報を処理する際の作業領域として用いられる。ＲＯＭ３０は、読み出し専用の不揮発性記憶媒体であり、ファームウェア等のプログラムが格納されている。ＨＤＤ４０は、情報の読み書きが可能な不揮発性の記憶媒体であり、ＯＳ（Ｏｐｅｒａｔｉｎｇ Ｓｙｓｔｅｍ）や各種の制御プログラム、アプリケーション・プログラム等が格納されている。
【0022】
Ｉ／Ｆ５０は、バス９０と各種のハードウェアやネットワーク等を接続し制御する。ＬＣＤ６０は、ユーザがＰＣ１の状態を確認するための表示部である。操作部７０は、ユーザがＰＣ１において、情報を入力するための入力部であり、本実施形態においては、タッチパネルやハードキー等によって構成される。
【0023】
このようなハードウェア構成において、ＲＯＭ３０やＨＤＤ４０もしくは光学ディスク等の記録媒体に格納されたプログラムがＲＡＭ２０に読み出され、ＣＰＵ１０がそれらのプログラムに従って演算を行うことにより、ＰＣ１、サービス提供装置３、中継装置５におけるソフトウェア制御部がそれぞれ構成される。このようにして構成されたソフトウェア制御部と、ハードウェアとの組み合わせによって、ＰＣ１、サービス提供装置３、中継装置５の機能を実現する機能ブロックがそれぞれ構成される。
【0024】
次に、本実施形態に係る画像形成装置２のハードウェア構成について説明する。図３は本実施形態に係る画像形成装置２のハードウェア構成を示すブロック図である。画像形成装置２は、コントローラ２００とエンジン部３３とをＰＣＩ（Ｐｅｒｉｐｈｅｒａｌ Ｃｏｍｐｏｎｅｎｔ Ｉｎｔｅｒｆａｃｅ）バスで接続した構成となる。
【0025】
コントローラ２００は、画像形成装置２全体の制御と描画、通信、操作部からの入力を制御するコントローラである。エンジン部３３は、ＰＣＩバスに接続可能なプリンタエンジンなどであり、たとえば白黒プロッタ、１ドラムカラープロッタ、４ドラムカラープロッタ、スキャナまたはファックスユニットなどである。なお、このエンジン部３３には、プロッタなどのいわゆるエンジン部分に加えて、誤差拡散やガンマ変換などの画像処理部分が含まれる。
【0026】
コントローラ２００は、ＣＰＵ２１、ノースブリッジ（ＮＢ）２３、システムメモリ（ＭＥＭ‐Ｐ）２２、サウスブリッジ（ＳＢ）２４、ローカルメモリ（ＭＥＭ‐Ｃ）２７、ＡＳＩＣ（Ａｐｐｌｉｃａｔｉｏｎ Ｓｐｅｃｉｆｉｃ Ｉｎｔｅｇｒａｔｅｄ Ｃｉｒｃｕｉｔ）２６、ハードディスクドライブ（ＨＤＤ）３５を含む。また、ノースブリッジ（ＮＢ）２３とＡＳＩＣ２６とが、ＡＧＰ（Ａｃｃｅｌｅｒａｔｅｄ Ｇｒａｐｈｉｃｓ Ｐｏｒｔ）バス２５によって接続される。さらに、ＭＥＭ‐Ｐ２２は、ＲＯＭ（Ｒｅａｄ Ｏｎｌｙ Ｍｅｍｏｒｙ）２２ａ、ＲＡＭ（Ｒａｎｄｏｍ Ａｃｃｅｓｓ Ｍｅｍｏｒｙ）２２ｂを含む。
【0027】
ＣＰＵ２１は、画像形成装置２を制御し、ＮＢ２３、ＭＥＭ‐Ｐ２２、ＳＢ２４を含むチップセットを含む構成であり、このチップセットを介して他の機器と接続される。ＮＢ２３は、ＣＰＵ２１とＭＥＭ‐Ｐ２２、ＳＢ２４、ＡＧＰバス２５とを接続するためのブリッジであり、ＭＥＭ‐Ｐ２２に対する読み書きなどを制御するメモリコントローラと、ＰＣＩマスタおよびＡＧＰターゲットとを含む構成である。ＭＥＭ‐Ｐ２２は、プログラムやデータの格納用メモリ、プログラムやデータの展開用メモリ、プリンタの描画用メモリなどとして用いるシステムメモリであり、ＲＯＭ２２ａとＲＡＭ２２ｂとを含む。
【0028】
ＲＯＭ２２ａは、プログラムやデータの格納用メモリとして用いる読み出し専用のメモリであり、ＲＡＭ２２ｂは、プログラムやデータの展開用メモリ、プリンタの描画用メモリなどとして用いる書き込みおよび読み出し可能なメモリである。ＳＢ２４は、ＮＢ２３とＰＣＩデバイス、周辺デバイスとを接続するためのブリッジである。このＳＢ２４は、ＰＣＩバスを介してＮＢ２３と接続されており、このＰＣＩバスには、ネットワークインタフェース（Ｉ／Ｆ）部が接続される構成であってもよい。
【0029】
ＡＳＩＣ２６は、画像処理用のハードウェア要素を有する画像処理用途向けのＩＣ（Ｉｎｔｅｇｒａｔｅｄ Ｃｉｒｃｕｉｔ）であり、ＡＧＰバス２５、ＰＣＩバス、ＨＤＤ３５およびＭＥＭ‐Ｃ２７をそれぞれ接続するブリッジの機能を実現する。ＡＳＩＣ２６は、ＰＣＩターゲットおよびＡＧＰマスタと、ＡＳＩＣ２６の中核をなすアービタ（ＡＲＢ）と、ＭＥＭ‐Ｃ２７を制御するメモリコントローラと、ハードウェアロジックなどにより画像データの回転などをおこなう複数のＤＭＡＣ（Ｄｉｒｅｃｔ Ｍｅｍｏｒｙ Ａｃｃｅｓｓ Ｃｏｎｔｒｏｌｌｅｒ）と、エンジン部３３との間でＰＣＩバスを介したデータ転送をおこなうＰＣＩユニットとを含む。
【0030】
ＡＳＩＣ２６には、ＰＣＩバスを介してＦＣＵ（Ｆａｃｓｉｍｉｌｅ Ｃｏｎｔｒｏｌ Ｕｎｉｔ）２８、ＵＳＢ（Ｕｎｉｖｅｒｓａｌ Ｓｅｒｉａｌ Ｂｕｓ）２９、ＩＥＥＥ１３９４（ｔｈｅ Ｉｎｓｔｉｔｕｔｅ ｏｆ Ｅｌｅｃｔｒｉｃａｌ ａｎｄ Ｅｌｅｃｔｒｏｎｉｃｓ Ｅｎｇｉｎｅｅｒｓ １３９４）インタフェース３１、ＮＦＣ（Ｎｅａｒ ｆｉｅｌｄ ｒａｄｉｏ ｃｏｍｍｕｎｉｃａｔｉｏｎ）インタフェース３２が接続される。操作表示部３４はＡＳＩＣ２６に直接接続されている。ＭＥＭ‐Ｃ２７は、コピー用画像バッファ、符号バッファとして用いるローカルメモリである。
【0031】
ＦＣＵ２８は、画像形成装置２におけるファクシミリの送受信を制御する。ＵＳＢ２９は、画像形成装置２と、画像形成装置２にＵＳＢ接続されている外部の端末との間でデータの送受信を行う。ＩＥＥＥ１３９４インタフェース３１は、画像形成装置２と、画像形成装置２にＩＥＥＥ１３９４端子を介して接続されている外部の端末との間でデータの送受信を行う。ＮＦＣインタフェース３２は、非接触型の近距離無線通信を行う。
【0032】
ＨＤＤ３５は、画像データの蓄積、プログラムの蓄積、フォントデータの蓄積、フォームの蓄積を行うためのストレージであり、画像形成装置２において実行されるアプリケーションソフトウェアのプログラムファイルが保存されている。ＡＧＰバス２５は、グラフィック処理を高速化するために提案されたグラフィックスアクセラレータカード用のバスインタフェースであり、ＭＥＭ‐Ｐ２２に高スループットで直接アクセスすることにより、グラフィックスアクセラレータカードを高速にするものである。
【0033】
次に、本実施形態に係る中継装置５の機能構成について、図４を参照して説明する。図４は、本実施形態に係る中継装置５の機能構成を示す機能ブロック図である。図４に示すように、本実施形態に係る中継装置５は、通信制御部５０１、暗号化／復号処理部５０２、文書情報管理部５０３、ユーザ情報管理部５０４、ウェブ操作制御部５０５を含む。
【0034】
通信制御部５０１は、中継装置５が所有する中継装置５固有の証明書に基づいて、認証処理要求をサービス提供装置３に行い、サービス提供装置３との間に、ＨＴＴＰＳなどの安全な通信チャネルを確立させ、暗号化された文書データや文書データ識別子などのデータの送受信を行う。また、ＰＣ１や画像形成装置２とデータの送受信を行う。
【0035】
暗号化／復号処理部５０２は、ＰＣ１や画像形成装置２から受信した文書データを、文書管理システム６のユーザそれぞれに固有の暗号鍵であるユーザ鍵に基づいて、中継装置５のＨＤＤ４０などの記憶部に記憶されている暗号アルゴリズムによって暗号化する暗号化データ生成部として機能する。
【0036】
また、暗号化／復号処理部５０２は、サービス提供装置３から読み出された暗号化された文書データをユーザ鍵に基づいて、中継装置５のＨＤＤ４０などの記憶部に記憶されている暗号アルゴリズムによって復号する暗号化データ復号部として機能する。
【0037】
文書情報管理部５０３は、文書データを識別する文書データ識別子を生成し、文書データ名と生成した文書データ識別子とが関連つけられた情報を、文書管理システム６のユーザごとに文書管理テーブルによって管理する特定情報記憶部として機能する。文書管理テーブルについては、後述する。
【0038】
ユーザ情報管理部５０４は、文書管理システム６のユーザごとに文書データを管理するための情報であるユーザ情報の生成を行う。具体的に、ユーザ情報管理部５０４は、新規の文書管理システム６のユーザが登録され、ユーザ情報を生成する際に、ユーザを識別するためのユーザ識別子、パスフレーズ、ユーザ固有の暗号鍵であるユーザ鍵をそれぞれ生成し、後述するユーザ情報管理テーブルに記憶する。なお、ユーザ情報管理部５０４は、ユーザ鍵を暗号化して記憶する。
【0039】
ユーザ情報管理部５０４は、対応するパスフレーズによってユーザ鍵を復号し、復号したユーザ鍵をＲＡＭ２２ｂに展開する。このように、ユーザ情報管理テーブルに記憶されたユーザ鍵は、対応するパスフレーズに基づいて復号される。
【0040】
また、ユーザ情報管理部５０４は、生成したユーザ識別子、パスフレーズ、ユーザ鍵に基づいて、文書管理システム６におけるユーザ認証処理を実行する。ユーザ識別子、パスフレーズ、ユーザ鍵を生成する処理およびユーザ認証処理については、後述する。
【0041】
ウェブ操作制御部５０５は、ＰＣ１に搭載されているウェブブラウザにおいて、文書管理システム６を利用して文書データの保管や読み出し、削除を行うためのＵＩ（Ｕｓｅｒ Ｉｎｔｅｒｆａｃｅ）を表示させる処理や、ユーザ登録やユーザ認証を行う認証ＵＩを表示させる処理を行う。また、画像形成装置２において文書管理システム６を利用して文書データを保管するための処理やユーザ認証、ユーザ登録を実行するためのＷｅｂ ＡＰＩ（Ａｐｐｌｉｃａｔｉｏｎ Ｐｒｏｇｒａｍｍｉｎｇ Ｉｎｔｅｒｆａｃｅ）を提供する。
【0042】
以上説明したように、中継装置５には、暗号アルゴリズムを実行するためのプログラムのみが記憶され、文書データの暗号化および暗号化された文書データの復号を行う際に使用されるユーザ鍵は、文書管理システム６のユーザがパスフレーズを入力することによって復号される。したがって、中継装置５において、暗号化／復号を行うために必要なユーザ鍵を使用可能な状態にするには、認証されたユーザによって入力されたパスフレーズが必要であるため、よりセキュリティが堅牢な文書管理システム６を提供することができる。
【0043】
次に、本実施形態に係るサービス提供装置３の機能構成について、図５を参照して説明する。図５は、本実施形態に係るサービス提供装置３の機能構成を示す機能ブロック図である。図５に示すように、本実施形態に係るサービス提供装置３は、通信制御部３０１、データ記憶部３０２を含む。
【0044】
通信制御部３０１は、中継装置５が保有する中継装置５固有の証明書に基づいて、認証処理を実行し、中継装置５との間に、ＨＴＴＰＳ（Ｈｙｐｅｒｔｅｘｔ Ｔｒａｎｓｆｅｒ Ｐｒｏｔｏｃｏｌ Ｓｅｃｕｒｅ）などの安全な通信チャネルを確立させ、データの送受信を行う。データ記憶部３０２は、文書データを識別する識別子と暗号化された文書データとを関連つけて記憶する。
【0045】
このように、本実施形態に係るサービス提供装置３は、記憶されている暗号化された文書データの復号を行うことができない。したがって、文書管理システム６において、サービス提供装置３を管理する管理者が暗号化された文書データの中身を知ることはない。
【0046】
次に、本実施形態に係る画像形成装置２の機能構成について、図６を参照して説明する。図６は、本実施形態に係る画像形成装置２の機能構成を示す機能ブロック図である。図６に示すように、本実施形態に係る画像形成装置２は、通信制御部２０１、画面表示制御部２０２、入出力制御部２０３、画像処理部２０４を含む。
【0047】
通信制御部２０１は、中継装置５とデータの送受信を行う。画面表示制御部２０２は、画像形成装置２の操作表示部３４において表示される画面やＵＩなどを制御する。入出力制御部２０３は、操作表示部３４に表示された画面やＵＩの操作信号に基づいて文書データの保管、読み出し、削除などを行うための指示情報を生成する。通信制御部２０１は、生成された指示情報を中継装置５に送信する。
【0048】
画像処理部２０４は、画像形成装置２のスキャナユニットによって読み取った原稿の画像に基づいて文書データを生成する。また、画像形成装置２に入力されるデータを印刷出力するための描画情報を生成する処理を実行する。
【0049】
次に、ＰＣ１の機能構成について、図７を参照して説明する。図７は、ＰＣ１の機能構成を示す機能ブロック図である。図７に示すように、ＰＣ１は、通信制御部１０１、画面表示制御部１０２、入出力制御部１０３を含む。
【0050】
通信制御部１０１は、中継装置５とデータの送受信を行う。画面表示制御部１０２は、ＬＣＤ６０などの表示部に表示される画面やＵＩなどを制御する。入出力制御部１０３は、ＬＣＤ６０などの表示部に表示された画面やＵＩの操作信号に基づいて文書データの保管、読み出し、削除などを行うための指示情報を生成する。通信制御部１０１は、生成された指示情報を中継装置５に送信する。
【0051】
このように構成される文書管理システム６において、ＰＣ１で作成した文書データや、画像形成装置２のスキャナ機能を利用して生成された文書データを、中継装置５およびネットワーク４を介してサービス提供装置３に記憶させる、いわゆるストレージサービスが一般的に行われている。本実施形態においては、サービス提供装置３に送信される文書データを中継装置５において暗号化する。
【0052】
そして、暗号化された文書データをサービス提供装置３において復号することなく、ＰＣ１からサービス提供装置３に記憶されている文書データを指定可能にする。したがって、ネットワーク４およびサービス提供装置３においては、暗号化された文書データを復号することなく管理できるため、暗号化された文書データの機密性が保持される。
【0053】
次に、図面を参照して、本実施形態に係る文書管理システム６における文書データを管理する処理の流れを説明する。まず、図８から図１０を参照して、文書管理システム６において新規にユーザ情報を登録する処理の流れについて説明する。
【0055】
ユーザ識別子は、ユーザを識別するための情報であり、ユーザが任意に設定可能な情報である。パスフレーズは、ユーザ識別子を認証するための情報であり、ユーザが任意に指定可能な文字列などの情報である。また、パスフレーズは、ユーザ情報管理部５０４において、ハッシュ値などの不可逆変換な形式で記憶される。
【0056】
ユーザ鍵は、文書データを暗号化および復号する際に必要となる情報であり、ユーザ情報管理部５０４において暗号化され、記憶される。また、ユーザ鍵は、文書管理システム６の新規ユーザが登録され、ユーザ情報が生成される際に、ユーザ情報管理部５０４が乱数生成などを行い、すでに生成されているユーザ鍵と重複しないように生成される。また、ユーザ情報管理部５０４は、暗号化されたユーザ鍵を復号するために、パスフレーズを用いて暗号アルゴリズムを実行する。
【0057】
図９は、本実施形態に係るユーザ情報を登録する処理の流れを示すシーケンス図である。図９では、ＰＣ１からユーザ情報を登録する処理の流れについて説明する。文書管理システム６において、ＰＣ１から新規に登録を行うユーザは、まず、ＰＣ１に表示されたＵＩを操作する。入出力制御部１０３は、ＰＣ１に表示されたＵＩにおいてユーザ登録を要求する操作が行われると、中継装置５に対して認証ＵＩの読み出しを要求する（Ｓ９０１）。
【0058】
ウェブ操作制御部５０５は、認証ＵＩをＰＣ１に表示させる指示情報をＰＣ１に送信する（Ｓ９０２）。画面表示制御部１０２は、中継装置５から受信した指示情報に基づいて、表示部に認証ＵＩを表示させる（Ｓ９０３）。
【0059】
文書管理システム６のユーザは、ＰＣ１の操作部７０を操作して、ユーザ識別子とパスフレーズとを入力する。入出力制御部１０３は、ユーザの操作に基づいて、ユーザ識別子とパスフレーズと特定する入力情報を生成し（Ｓ９０４）、通信制御部１０１は、生成された入力情報を中継装置５に送信する（Ｓ９０５）。
【0060】
ユーザ情報管理部５０４は、入力情報を受信すると、ユーザ識別子とパスフレーズとを生成し、さらに乱数を生成してユーザ鍵を生成する（Ｓ９０６）。ユーザ情報管理部５０４は、生成したユーザ鍵を暗号化し、生成したユーザ鍵に対応するユーザ識別子とパスフレーズとともに記憶し、ユーザ情報管理テーブルを更新する（Ｓ９０７）。
【0061】
ユーザ情報管理部５０４は、生成したユーザ鍵を対応するユーザ識別子とパスフレーズとともに記憶し、ユーザ情報管理テーブルを更新すると、ユーザ情報の登録が完了したことを示す通知情報をＰＣ１に送信する（Ｓ９０８）。画面表示制御部１０２は、通知情報を受信すると、ユーザ情報の登録が完了したことを通知するための画面を表示部に表示させ（Ｓ９０９）、本処理を終了させる。
【0062】
このように、ユーザ識別子およびパスフレーズはＰＣ１において生成されるものの、ユーザ鍵は、中継装置５において生成され、ユーザ情報管理部５０４においてユーザ情報として管理される。
【0063】
次に、図１０を参照して、画像形成装置２からユーザ情報を登録する処理の流れについて説明する。図１０は、本実施形態に係るユーザ情報を登録する処理の流れを示すシーケンス図である。文書管理システム６において、画像形成装置２から新規に登録を行うユーザは、まず、操作表示部３４に表示されたＵＩを操作する。入出力制御部２０３は、操作表示部３４に表示されたＵＩにおいてユーザ登録を要求する操作が行われると、中継装置５に対して認証ＵＩの読み出しを要求する（Ｓ１００１）。
【0064】
ウェブ操作制御部５０５は、認証ＵＩを操作表示部３４に表示させる指示情報を画像形成装置２に送信する（Ｓ１００２）。画面表示制御部２０２は、中継装置５から受信した指示情報に基づいて、操作表示部３４に認証ＵＩを表示させる（Ｓ１００３）。
【0065】
文書管理システム６のユーザは、操作表示部３４を操作して、ユーザ識別子とパスフレーズとを入力する。入出力制御部２０３は、ユーザの操作に基づいて、ユーザ識別子とパスフレーズとを特定する入力情報を生成し（Ｓ１００４）、通信制御部２０１は、生成された入力情報を中継装置５に送信する（Ｓ１００５）。
【0066】
なお、画像形成装置２には、ＮＦＣインタフェース３２が搭載されている。そのため、ユーザ識別子およびパスフレーズが記憶されているＩＣカードなどをユーザがＮＦＣインタフェース３２に近づけることによって、Ｓ１００４の処理を実行してもよい。
【0067】
ユーザ情報管理部５０４は、入力情報を受信するとユーザ識別子とパスフレーズを生成し、さらに乱数を生成してユーザ鍵を生成する（Ｓ１００６）。ユーザ情報管理部５０４は、生成したユーザ鍵を暗号化し、生成したユーザ鍵に対応するユーザ識別子とパスフレーズとともに記憶し、ユーザ情報管理テーブルを更新する（Ｓ１００７）。
【0068】
ユーザ情報管理部５０４は、生成したユーザ鍵を対応するユーザ識別子とパスフレーズとともに記憶し、ユーザ情報管理テーブルを更新すると、ユーザ情報の登録が完了したことを示す通知情報を画像形成装置２に送信する（Ｓ１００８）。画面表示制御部２０２は、通知情報を受信すると、ユーザ情報の登録が完了したことを通知するための画面を操作表示部３４に表示させ（Ｓ１００９）、本処理を終了させる。
【0069】
このように、ユーザ識別子およびパスフレーズは画像形成装置２において生成されるものの、ユーザ鍵は、中継装置５において生成され、ユーザ情報管理部５０４においてユーザ情報として管理される。
【0070】
ユーザ登録を行ったユーザは、ＰＣ１または画像形成装置２から中継装置５を介してサービス提供装置３に文書データを保存可能になる。次に、文書情報管理部５０３における文書データ識別子と文書データ名の管理の態様について図面を参照して説明する。図１１は、ユーザＡの文書管理テーブルの情報構成を示すデータテーブル、図１２は、ユーザＢの文書管理テーブルの情報構成を示すデータテーブルを示す図である。
【0071】
図１１および図１２に示すように、文書情報管理部５０３は、文書データに基づいて乱数を生成して文書データ識別子を生成し、文書データ名と文書データ識別子とを関連つけて文書管理テーブルに記憶する。また、文書情報管理部５０３は、ユーザごとに文書管理テーブルの管理を行う。このようにすることで、文書情報管理部５０３は、ユーザごとに文書データ識別子に基づいて文書データを特定することができる。
【0072】
図１１は、ユーザＡ、図１２はユーザＢの文書管理テーブルである。図１１および図１２に示すように、文書データ管理テーブルにおいては、ユニークな文書データ識別子が文書データ名に関連つけて記憶される。文書情報管理部５０３は、生成した文書データ識別子を記憶し、重複した文書データ識別子を生成しないようにして、文書データ名と文書データ識別子とを暗号化される前の文書データを特定するための特定情報として管理する。
【0073】
また、ユーザによって、サービス提供装置３に記憶されている暗号化された文書データにアクセスできないようにする操作がおこなわれた場合、もしくは、サービス提供装置３に記憶されている暗号化された文書データが削除された場合に、文書情報管理部５０３は、記憶されているその文書データに関連つけられた文書データ識別子を削除してもよい。
【0074】
次に、サービス提供装置３における文書データ識別子と暗号化された文書データの記憶態様について、図１３を参照して説明する。図１３は、データ記憶部３０２に保存されている暗号化された文書データを示すデータテーブルの情報構成を示す図である。
【0075】
図１３に示すように、データ記憶部３０２は、文書データ識別子と暗号化された文書データとが関連つけて記憶する。また、データ記憶部３０２は、中継装置５ごとにデータテーブルを作成し、文書データ識別子と暗号化された文書データとを記憶する。
【0076】
図１１から図１３において説明したように、本実施形態に係る文書管理システム６において、サービス提供装置３は、暗号化された文書データと文書データ識別子のみを記憶する。次に、本実施形態に係る文書管理システム６において、文書データをサービス提供装置３に記憶させる処理の流れについて、図面を参照して説明する。なお、以下において説明する処理の流れは、本発明に係る文書管理方法の実施形態の一部に相当する。
【0077】
図１４は、本実施形態に係る文書管理システム６において、文書データを暗号化する処理の流れを示すシーケンス図である。文書管理システム６のユーザは、ＰＣ１に表示されているＵＩを操作し、ユーザ認証を行う認証ＵＩを中継装置５から読み出すための操作を行う。ユーザによって行われる操作に基づいて、入出力制御部１０３は、認証ＵＩを読み出すための指示情報を生成し、通信制御部１０１を介して中継装置５に送信する（Ｓ１４０１）。
【0078】
ウェブ操作制御部５０５は、認証ＵＩを読み出すための指示情報を受信すると、認証ＵＩを表示するための指示情報をＰＣ１に送信する（Ｓ１４０２）。画面表示制御部１０２は、中継装置５から受信した指示情報に基づいて、表示部に認証ＵＩを表示させる（Ｓ１４０３）。
【0079】
文書管理システム６のユーザは、Ｓ１４０３の処理において表示された認証ＵＩを操作し、ユーザ識別子とパスフレーズとを入力する。入出力制御部１０３は、ユーザの操作に基づいて、ユーザ識別子とパスフレーズとを特定する入力情報を生成し（Ｓ１４０４）、通信制御部１０１は入力情報を中継装置５に送信し、ユーザ認証要求を行う（Ｓ１４０５）。
【0080】
ユーザ情報管理部５０４は、受信した入力情報とユーザ情報管理テーブルとを比較し、受信した入力情報によって特定されるユーザ識別子とパスフレーズとを示す情報がユーザ情報管理テーブルにある場合に、ユーザ認証を行う（Ｓ１４０６）。ユーザ認証が行われると、通信制御部５０１および通信制御部１０１の間で安全な通信チャネルが確立される。ユーザ情報管理部５０４は、ユーザ識別子に対応するユーザ鍵を、パスフレーズを使用して復号する（Ｓ１４０７）。
【0081】
ユーザ鍵が復号されると、ウェブ操作制御部５０５は、ＰＣ１に対して、文書データを管理するための文書データ管理ＵＩを表示させる指示情報を送信する（Ｓ１４０８）。画面表示制御部１０２は、文書データ管理ＵＩを表示させる指示情報を受信すると、文書データ管理ＵＩを表示部に表示させる（Ｓ１４０９）。
【0082】
文書管理システム６のユーザは、文書データ管理ＵＩを操作し、サービス提供装置３に保管させる文書データを決定する。ユーザの操作に基づいて入出力制御部１０３は、サービス提供装置３に保管する文書データを決定し、通信制御部１０１を介して決定された文書データと、その文書データの保管要求とを中継装置５に送信する（Ｓ１４１０）。
【0083】
暗号化／復号処理部５０２は、Ｓ１４１０においてＰＣ１から受信した文書データをＳ１４０７において復号されたユーザ鍵に基づいて暗号化し（Ｓ１４１１）、文書情報管理部５０３は、暗号化された文書データを識別する文書データ識別子を生成する（Ｓ１４１２）。このような処理のステップを経て、ＰＣ１から送信された文書データは、中継装置５において暗号化される。
【0084】
次に、暗号化された文書データをサービス提供装置３に保管する処理の流れについて、図１５を参照して説明する。図１５は、本実施形態に係る暗号化された文書データをサービス提供装置３に保管する処理の流れを示すシーケンス図である。
【0085】
中継装置５において、暗号化された文書データの文書データ識別子が生成されると（Ｓ１４１２）、通信制御部５０１は、中継装置５固有の証明書の情報をサービス提供装置３に送信し、機器認証要求を行う（Ｓ１５０１）。通信制御部３０１は、受信した証明書の情報に基づいて、認証処理を実行し、中継装置５との間に安全な通信チャネルを確立させる（Ｓ１５０２）。
【0086】
認証処理が完了すると、通信制御部３０１は、認証処理完了を中継装置５に通知する（Ｓ１５０３）。文書情報管理部５０３は、Ｓ１４１１で暗号化された文書データと、その文書データに対応し、Ｓ１４１２で生成された文書データ識別子をサービス提供装置３に送信し、文書データを記憶させる保管要求を行う（Ｓ１５０４）。したがって、文書情報管理部５０３は、暗号化データ記憶制御部として機能する。
【0087】
データ記憶部３０２は、暗号化された文書データとそれに対応する文書データ識別子とを保管し（Ｓ１５０５）、図１３に示すサービス提供装置３に保管されている暗号化された文書データを示すデータテーブルである、保管データ管理テーブルを更新すると、文書データを保管する処理が完了したことを中継装置５に通知する（Ｓ１５０６）。
【0088】
Ｓ１５０６の通知を受信すると、文書情報管理部５０３は、Ｓ１４０６で認証されたユーザの文書管理テーブルにＳ１５０４で送信した文書データとその文書データ識別子を新たに追加し、更新する（Ｓ１５０７）。文書管理テーブルが更新されると、文書情報管理部５０３は、文書データの保管が完了したことをＰＣ１に通知する（Ｓ１５０８）。
【0089】
画面表示制御部１０２は、文書データの保管が完了した通知を受信すると、文書データの保管が完了したことを表示部に表示させる（Ｓ１５０９）。そして、ユーザによって文書データ管理ＵＩからユーザ認証を解除する操作が行われると（Ｓ１５１０）、ユーザ情報管理部５０４は、Ｓ１４０７で復号されたユーザ鍵を削除してユーザ認証を解除する（Ｓ１５１１）。なお、ユーザ認証が解除された後のＰＣ１の表示部には、認証ＵＩが表示される。
【0090】
以上説明したように、本実施形態に係る文書管理システム６においては、クライアント端末であるＰＣ１からサービス提供装置３に保管される文書データを予め中継装置５において暗号化してからサービス提供装置３に送信する。次に、サービス提供装置３において暗号化された文書データを読み出す処理について、図面を参照して説明する。
【0091】
図１６は、本実施形態に係る文書管理システム６において、サービス提供装置３に保管された暗号化された文書データを読み出す処理の流れを示すシーケンス図である。文書管理システム６のユーザは、ＰＣ１に表示されているＵＩを操作し、ユーザ認証を行う認証ＵＩを中継装置５から読み出すための操作を行う。ユーザによって行われる操作に基づいて、入出力制御部１０３は、認証ＵＩを読み出すための指示情報を生成し、通信制御部１０１を介して中継装置５に送信する（Ｓ１６０１）。
【0092】
ウェブ操作制御部５０５は、認証ＵＩを読み出すための指示情報を受信すると、認証ＵＩを表示するための指示情報をＰＣ１に送信する（Ｓ１６０２）。画面表示制御部１０２は、中継装置５から受信した指示情報に基づいて、表示部に認証ＵＩを表示させる（Ｓ１６０３）。
【0093】
文書管理システム６のユーザは、Ｓ１６０３の処理において表示された認証ＵＩを操作し、ユーザ識別子とパスフレーズとを入力する。入出力制御部１０３は、ユーザの操作に基づいて、ユーザ識別子とパスフレーズとを特定する入力情報を生成し（Ｓ１６０４）、通信制御部１０１は入力情報を中継装置５に送信し、ユーザ認証要求を行う（Ｓ１６０５）。
【0094】
ユーザ情報管理部５０４は、受信した入力情報とユーザ情報管理テーブルとを比較し、受信した入力情報によって特定されるユーザ識別子とパスフレーズとを示す情報がユーザ情報管理テーブルにある場合に、ユーザ認証を行う（Ｓ１６０６）。ユーザ認証が行われると、通信制御部５０１および通信制御部１０１の間でセキュアな通信が確立される。ユーザ情報管理部５０４は、ユーザ識別子に対応するユーザ鍵を、パスフレーズを使用して復号する（Ｓ１６０７）。
【0095】
ユーザ鍵が復号されると、ウェブ操作制御部５０５は、ＰＣ１に対して、文書データを管理するための文書データ管理ＵＩを表示させる指示情報を送信する（Ｓ１６０８）。なお、Ｓ１６０８において、文書データ管理ＵＩを表示させる情報には、Ｓ１６０６で認証されたユーザに対応する文書管理テーブルの情報が含まれる。画面表示制御部１０２は、文書データ管理ＵＩを表示させる指示情報を受信すると、文書データ管理ＵＩを表示部に表示させる（Ｓ１６０９）。
【0096】
文書管理システム６のユーザは、文書データ管理ＵＩを操作し、サービス提供装置３から読み出す文書データを決定する。図１７は、Ｓ１６０９において表示部に表示される文書データ管理ＵＩを例示した図である。図１７に示すように、文書データ管理ＵＩにはＳ１６０６で認証されたユーザに対応する文書管理テーブルに含まれる文書データを特定する内容が表示される。
【0097】
ユーザは、図１７に示すような文書データ管理ＵＩにおいて、例えば、「Ａ部門報告資料．ｄｏｃ」を読み出すためのＵＩボタンを操作する。ユーザの操作に基づいて入出力制御部１０３は、サービス提供装置３から読み出す文書データを決定し、通信制御部１０１を介して、その文書データの読み出し要求を中継装置５に送信する（Ｓ１６１０）。このとき、文書データ：「Ａ部門報告資料．ｄｏｃ」を読み出すためのＵＩボタンが操作された場合、入出力制御部１０３は、文書データ：「Ａ部門報告資料．ｄｏｃ」の読み出し要求を中継装置５に送信する。
【0098】
文書情報管理部５０３は、Ｓ１６１０においてＰＣ１から受信した読み出し要求に基づいて、文書データ識別子を読み出す（Ｓ１６１１）。具体的に、文書情報管理部５０３は、Ｓ１６１０でＰＣ１から受信した文書データ名に基づいて文書データ識別子を読み出す。したがって、文書情報管理部５０３は、Ｓ１６１１の処理において、文書データ：「Ａ部門報告資料．ｄｏｃ」に対応する文書データ識別子である「８ａｂ９３ｋｄ８９３ｊｇｓｌｏｑ．．．」を読み出す。
【0099】
次に、暗号化された文書データをサービス提供装置３から読み出す処理の流れについて、図１８を参照して説明する。図１８は、本実施形態に係る暗号化された文書データをサービス提供装置３から読み出す処理の流れを示すシーケンス図である。
【0100】
中継装置５において、サービス提供装置３から読み出す文書データの文書データ識別子が読み出されると（Ｓ１６１１）、通信制御部５０１は、中継装置５固有の証明書の情報をサービス提供装置３に送信し、機器認証要求を行う（Ｓ１８０１）。通信制御部３０１は、受信した証明書の情報に基づいて、認証処理を実行し、通信制御部５０１との間に安全な通信チャネルを確立させる（Ｓ１８０２）。
【0101】
認証処理が完了すると、通信制御部３０１は、認証処理完了を中継装置５に通知する（Ｓ１８０３）。文書情報管理部５０３は、Ｓ１６１０で指定された文書データに対応し、Ｓ１６１１で読み出された文書データ識別子をサービス提供装置３に送信し、文書データの読み出し要求を行う（Ｓ１８０４）。すなわち、中継装置５からサービス提供装置３に送信されるのは、文書データ識別子：「８ａｂ９３ｋｄ８９３ｊｇｓｌｏｑ．．．」を示す情報である。
【0102】
データ記憶部３０２は、文書データ識別子とそれに対応する暗号化された文書データとから、Ｓ１８０４で中継装置５から受信した文書データ識別子によって識別される、暗号化された文書データを読み出す（Ｓ１８０５）。データ記憶部３０２は、通信制御部３０１を介して、読み出した暗号化された文書データを中継装置５に送信する（Ｓ１８０６）。
【0103】
暗号化／復号処理部５０２は、暗号化された文書データを受信すると（Ｓ１８０７）、Ｓ１６０７で復号されたユーザ鍵を利用し、受信した暗号化された文書データを復号する（Ｓ１８０８）。そして、通信制御部５０１は、復号された文書データ：「Ａ部門報告資料．ｄｏｃ」をＰＣ１に送信する（Ｓ１８０９）。
【0104】
通信制御部１０１が文書データ：「Ａ部門報告資料．ｄｏｃ」を受信し（Ｓ１８１０）、ユーザによって文書データ管理ＵＩからユーザ認証を解除する操作が行われると（Ｓ１８１１）、ユーザ情報管理部５０４は、Ｓ１６０７で復号されたユーザ鍵を削除してユーザ認証を解除する（Ｓ１８１２）。なお、ユーザ認証が解除された後のＰＣ１の表示部には、認証ＵＩが表示される。
【0105】
以上説明したように、本実施形態に係る文書管理システム６は、サービス提供装置３に暗号化された文書データを保管し、サービス提供装置３から文書データを読み出す際にも、文書データ識別子を利用する。そのため、文書データ名や復号された文書データなどの暗号化された文書データのコンテンツがサービス提供装置３に漏えいする可能性が低く、サービス提供装置３に保管される文書データの機密性を損なうことなく、文書データを管理することができる。
【0106】
本実施形態においては、ＰＣ１のほかに画像形成装置２を文書管理システム６のユーザが使用するクライアント端末として使用することができる。次に、図面を参照して、画像形成装置２から送信された文書データをサービス提供装置３に保管する処理の流れを説明する。図１９は、本実施形態に係る文書管理システム６において、文書データを暗号化する処理の流れを示すシーケンス図である。
【0107】
画像形成装置２の操作表示部３４において、スキャナアプリケーションを起動する操作が行われると（Ｓ１９０１）、画面表示制御部２０２は、操作表示部３４にユーザ認証を行うための認証ＵＩを表示させる（Ｓ１９０２）。
【0108】
文書管理システム６のユーザは、Ｓ１９０２の処理において表示された認証ＵＩを操作し、ユーザ識別子とパスフレーズとを入力する。入出力制御部２０３は、ユーザの操作に基づいて、ユーザ識別子とパスフレーズとを特定する入力情報を生成する（Ｓ１９０３）。
【0109】
なお、画像形成装置２には、ＮＦＣインタフェース３２が搭載されている。そのため、ユーザ識別子およびパスフレーズが記憶されているＩＣカードなどをユーザがＮＦＣインタフェース３２に近づけることによって、Ｓ１９０３の処理を実行してもよい。
【0110】
入力情報が生成されると、画面表示制御部２０２は、スキャナアプリケーションを実行するためのスキャンＵＩを操作表示部３４に表示させる（Ｓ１９０４）。文書管理システム６のユーザは、画像形成装置２に読み取り対象の原稿をスキャンさせ（Ｓ１９０５）、画像処理部２０４は読み取った画像に基づいて文書データを生成する（Ｓ１９０６）。
【0111】
そして、文書管理システム６のユーザは、操作表示部３４からＳ１９０６で生成された文書データに対して文書データ名を指定する操作を行う（Ｓ１９０７）。次に、通信制御部２０１は、Ｓ１０９３で生成されたユーザ識別子とパスフレーズとを含む入力情報、Ｓ１９０６で生成された文書データ、Ｓ１９０７で指定された文書データ名の情報を中継装置５に送信し、文書データの保管要求を行う（Ｓ１９０８）。
【0112】
ユーザ情報管理部５０４は、受信した入力情報とユーザ情報管理テーブルとを比較し、受信した入力情報によって特定されるユーザ識別子とパスフレーズとを示す情報がユーザ情報管理テーブルにある場合に、ユーザ認証を行う（Ｓ１９０９）。ユーザ認証が行われると、通信制御部５０１および通信制御部２０１の間でセキュアな通信が確立される。ユーザ情報管理部５０４は、ユーザ識別子に対応するユーザ鍵を、パスフレーズを使用して復号する（Ｓ１９１０）。
【0113】
暗号化／復号処理部５０２は、ユーザ鍵が復号されると、Ｓ１９０８で画像形成装置２から受信した文書データを暗号化する（Ｓ１９１１）。そして、文書情報管理部５０３は、暗号化された文書データを識別する文書データ識別子を生成する（Ｓ１９１２）。
【0114】
なお、本実施形態に係る画像形成装置２において、一度ユーザ認証要求を中継装置５に行った後に、読み取り対象の原稿をスキャンすることもできる。図２０は、本実施形態に係る文書データを暗号化する処理の流れを示すシーケンス図である。
【0115】
画像形成装置２の操作表示部３４において、スキャナアプリケーションを起動する操作が行われると（Ｓ２００１）、入出力制御部２０３は、認証ＵＩを読み出すための指示情報を生成し、通信制御部２０１を介して中継装置５に送信する（Ｓ２００２）。
【0116】
ウェブ操作制御部５０５は、認証ＵＩを読み出すための指示情報を受信すると、認証ＵＩを表示するための指示情報を画像形成装置２に送信する（Ｓ２００３）。画面表示制御部２０２は、中継装置５から受信した指示情報に基づいて、操作表示部３４に認証ＵＩを表示させる（Ｓ２００４）。
【0117】
文書管理システム６のユーザは、Ｓ２００４の処理において表示された認証ＵＩを操作し、ユーザ識別子とパスフレーズとを入力する。入出力制御部２０３は、ユーザの操作に基づいて、ユーザ識別子とパスフレーズとを特定する入力情報を生成し（Ｓ２００５）、通信制御部２０１は入力情報を中継装置５に送信し、ユーザ認証要求を行う（Ｓ２００６）。
【0118】
なお、画像形成装置２には、ＮＦＣインタフェース３２が搭載されている。そのため、ユーザ識別子およびパスフレーズが記憶されているＩＣカードなどをユーザがＮＦＣインタフェース３２に近づけることによって、Ｓ２００５の処理を実行してもよい。
【0119】
ユーザ情報管理部５０４は、受信した入力情報とユーザ情報管理テーブルとを比較し、受信した入力情報によって特定されるユーザ識別子とパスフレーズとを示す情報がユーザ情報管理テーブルにある場合に、ユーザ認証を行う（Ｓ２００７）。ユーザ認証が行われると、通信制御部５０１および通信制御部２０１の間でセキュアな通信が確立され、通信制御部５０１から画像形成装置２にユーザ認証の完了が通知される（Ｓ２００８）。ユーザ情報管理部５０４は、ユーザ識別子に対応するユーザ鍵を、パスフレーズを使用して復号する（Ｓ２０１０）。
【0120】
ユーザ認証の完了通知を受信すると（Ｓ２００９）、画面表示制御部２０２は、スキャナアプリケーションを実行するためのスキャンＵＩを操作表示部３４に表示させる（Ｓ２０１１）。文書管理システム６のユーザは、画像形成装置２に読み取り対象の原稿をスキャンさせ（Ｓ２０１２）、画像処理部２０４は読み取った画像に基づいて文書データを生成する（Ｓ２０１３）。
【0121】
そして、文書管理システム６のユーザは、操作表示部３４からＳ２０１３で生成された文書データに対して文書データ名を指定する操作を行う（Ｓ２０１４）。次に、通信制御部２０１は、Ｓ２０１３で生成された文書データ、Ｓ２０１４で指定された文書データ名の情報を中継装置５に送信し、文書データの保管要求を行う（Ｓ２０１５）。
【0122】
暗号化／復号処理部５０２は、文書データの保管要求を受信すると、Ｓ２０１０で復号したユーザ鍵を利用して、Ｓ２０１５で画像形成装置２から受信した文書データを暗号化する（Ｓ２０１６）。そして、文書情報管理部５０３は、暗号化された文書データを識別する文書データ識別子を生成する（Ｓ２０１７）。
【0123】
次に、中継装置５において、暗号化された文書データの文書データ識別子が生成された後の処理において、図２１を参照して説明する。図２１は、本実施形態に係る暗号化された文書データをサービス提供装置３に保管する処理の流れを示すシーケンス図である。
【0124】
中継装置５において、暗号化された文書データの文書データ識別子が生成されると（Ｓ１９１２またはＳ２０１７）、通信制御部５０１は、中継装置５固有の証明書の情報をサービス提供装置３に送信し、機器認証要求を行う（Ｓ２１０１）。通信制御部３０１は、受信した証明書の情報に基づいて、認証処理を実行し、中継装置５との間に安全な通信チャネルを確立させる（Ｓ２１０２）。
【0125】
認証処理が完了すると、通信制御部３０１は、認証処理完了を中継装置５に通知する（Ｓ２１０３）。文書情報管理部５０３は、Ｓ１９１１またはＳ２０１６で暗号化された文書データと、その文書データに対応し、Ｓ１９１２またはＳ２０１７で生成された文書データ識別子をサービス提供装置３に送信し、文書データの保管要求を行う（Ｓ２１０４）。
【0126】
データ記憶部３０２は、暗号化された文書データとそれに対応する文書データ識別子とを保管し（Ｓ２１０５）、保管データ管理テーブルを更新すると、文書データを保管する処理が完了したことを中継装置５に通知する（Ｓ２１０６）。
【0127】
Ｓ２１０６の通知を受信すると、文書情報管理部５０３は、Ｓ１９０７またはＳ２００７で認証されたユーザの文書管理テーブルにＳ２１０４で送信した文書データとその文書データ識別子を新たに追加し、更新する（Ｓ２１０７）。文書管理テーブルが更新されると、ユーザ情報管理部５０４は、ユーザ認証を解除する（Ｓ２１０８）。
【0128】
以上説明したように、本実施形態に係る文書管理システム６においては、クライアント端末である画像形成装置２からサービス提供装置３に保管される文書データを予め中継装置５において暗号化してからサービス提供装置３に送信する。また、サービス提供装置３においては暗号化された文書データのみが保管され、文書データ識別子によって暗号化された文書データを識別するため、暗号化された文書データを復号する必要がない。
【0129】
したがって、サービス提供装置３において、復号された文書データが扱われることがないため、暗号化された文書データの機密性を損なうことなく、文書管理システム６を運用することができる。
【0130】
さらに、本実施形態に係る文書管理システム６においては、保管している文書データにアクセスできないようにし、保管する必要のない文書データの漏えいを低減させることができる。以下、図面を参照して、本実施形態に係る文書管理システム６において、保管している文書データへのアクセスを遮断する処理の流れについて説明する。
【0131】
図２２は、本実施形態に係る文書管理システム６において、保管している文書データへのアクセスを遮断する処理の流れを示すシーケンス図である。文書管理システム６のユーザは、ＰＣ１に表示されているＵＩを操作し、ユーザ認証を行う認証ＵＩを中継装置５から読み出すための操作を行う。ユーザによって行われる操作に基づいて、入出力制御部１０３は、認証ＵＩを読み出すための指示情報を生成し、通信制御部１０１を介して中継装置５に送信する（Ｓ２２０１）。
【0132】
ウェブ操作制御部５０５は、認証ＵＩを読み出すための指示情報を受信すると、認証ＵＩを表示するための指示情報をＰＣ１に送信する（Ｓ２２０２）。画面表示制御部１０２は、中継装置５から受信した指示情報に基づいて、表示部に認証ＵＩを表示させる（Ｓ２２０３）。
【0133】
文書管理システム６のユーザは、Ｓ２２０３の処理において表示された認証ＵＩを操作し、ユーザ識別子とパスフレーズとを入力する。入出力制御部１０３は、ユーザの操作に基づいて、ユーザ識別子とパスフレーズとを特定する入力情報を生成し（Ｓ２２０４）、通信制御部１０１は入力情報を中継装置５に送信し、ユーザ認証要求を行う（Ｓ２２０５）。
【0134】
ユーザ情報管理部５０４は、受信した入力情報とユーザ情報管理テーブルとを比較し、受信した入力情報によって特定されるユーザ識別子とパスフレーズとを示す情報がユーザ情報管理テーブルにある場合に、ユーザ認証を行う（Ｓ２２０６）。ユーザ認証が行われると、通信制御部５０１および通信制御部１０１の間で安全な通信チャネルが確立される。ユーザ情報管理部５０４は、ユーザ識別子に対応するユーザ鍵を、パスフレーズを使用して復号する（Ｓ２２０７）。
【0135】
ユーザ鍵が復号されると、ウェブ操作制御部５０５は、ＰＣ１に対して、文書データを管理するための文書データ管理ＵＩを表示させる指示情報を送信する（Ｓ２２０８）。画面表示制御部１０２は、文書データ管理ＵＩを表示させる指示情報を受信すると、文書データ管理ＵＩを表示部に表示させる（Ｓ２２０９）。
【0136】
文書管理システム６のユーザは、文書データ管理ＵＩを操作し、サービス提供装置３に保管されている文書データの中から、削除する文書データを決定する。例えば、このとき、ユーザが、図２４に示すように文書データ：「Ａ部門報告資料．ｄｏｃ」を削除する文書データとして決定したと仮定する。ユーザの操作に基づいて入出力制御部１０３は、削除する文書データを決定し、通信制御部１０１を介してその文書データの削除要求を中継装置５に送信する（Ｓ２２１０）。すなわち、Ｓ２２１０の処理においては、文書データ：「Ａ部門報告資料．ｄｏｃ」の削除要求が中継装置５に送信される。
【0137】
文書情報管理部５０３は、Ｓ２２１０で受信した文書データの文書データ識別子を文書管理テーブルから読み出し（Ｓ２２１１）、読み出した文書データ識別子を文書管理テーブルから削除する（Ｓ２２１２）。このとき、文書情報管理部５０３は、Ｓ２２１１の処理において、文書データ：「Ａ部門報告資料．ｄｏｃ」に対応する文書データ識別子である「８ａｂ９３ｋｄ８９３ｊｇｓｌｏｑ．．．」を読み出す。さらに、文書情報管理部５０３は、Ｓ２２１２の処理において、文書データ識別子：「８ａｂ９３ｋｄ８９３ｊｇｓｌｏｑ．．．」を文書管理テーブルから削除する。
【0138】
文書情報管理部５０３によって文書管理テーブルが更新される（Ｓ２２１３）と、通信制御部５０１は、文書管理テーブルが更新されたことをＰＣ１に通知する（Ｓ２２１４）。画面表示制御部１０２は、図２５に示すように文書データの削除が完了したことを表示部に表示する（Ｓ２２１５）。そして、ユーザによって、ユーザ認証を解除する操作が行われると、通信制御部１０１は、ユーザ認証の解除要求を中継装置５に送信する（Ｓ２２１６）。
【0139】
ユーザ情報管理部５０４は、ユーザ認証の解除要求を受信すると、Ｓ２２０７で復号されたユーザ鍵を削除してユーザ認証を解除する（Ｓ２２１７）。なお、ユーザ認証が解除された後のＰＣ１の表示部には、認証ＵＩが表示される。
【0140】
以上説明したように、本実施形態に係る文書管理システム６は、保管されている文書データにアクセスできないようにするために、文書管理テーブルの文書データ識別子を削除する。このように、サービス提供装置３に保管されている暗号化された文書データを特定するための文書データ識別子を中継装置５から削除する処理によって、保管されている文書データへのアクセスができなくなるため、サービス提供装置３との通信を確立する必要がない。したがって、文書管理システム６における処理効率を高めることができる。
【0141】
また、サービス提供装置３に保管されている暗号化された文書データを削除することで、文書データの機密性をより高めることができる。以下、図面を参照して、サービス提供装置３に保管されている暗号化された文書データを削除する処理について説明する。
【0142】
図２３は、本実施形態に係る文書管理システム６において、サービス提供装置３に保管されている暗号化された文書データを削除する処理の流れを示すシーケンス図である。図２３に示す処理においては、図２２のＳ２２０１からＳ２２１１までと同様の処理を実行する。そのため、Ｓ２２０１からＳ２２１１の説明を省略し、Ｓ２３０１の処理から説明を行う。
【0143】
文書情報管理部５０３によって、文書管理テーブルから文書データ識別子が読み出されると（Ｓ２２１１）、通信制御部５０１は、中継装置５固有の証明書の情報をサービス提供装置３に送信し、機器認証要求を行う（Ｓ２３０１）。通信制御部３０１は、受信した証明書の情報に基づいて、認証処理を実行し、通信制御部５０１との間に安全な通信チャネルを確立させる（Ｓ２３０２）。
【0144】
認証処理が完了すると、通信制御部３０１は、認証処理完了を中継装置５に通知する（Ｓ２３０３）。文書情報管理部５０３は、Ｓ２２１１で読み出された文書データ識別子をサービス提供装置３に送信し、暗号化された文書データの削除要求を行う（Ｓ２３０４）。すなわち、中継装置５からサービス提供装置３に送信されるのは、文書データ識別子：「８ａｂ９３ｋｄ８９３ｊｇｓｌｏｑ．．．」を示す情報である。
【0145】
データ記憶部３０２は、受信した文書データ識別子に対応する暗号化された文書データを削除し（Ｓ２３０５）、暗号化された文書データの削除が完了したことを中継装置５に通知する（Ｓ２３０６）。Ｓ２３０６の通知を受信すると、文書情報管理部５０３は、Ｓ２３０４で送信した文書データ識別子とその文書データ識別子に対応する文書データ名を文書管理テーブルから削除し（Ｓ２３０７）、文書管理テーブルを更新する（Ｓ２２１３）。
【0146】
以後の処理は、図２２のＳ２２１３からＳ２２１７と同様の処理を行うため、説明を省略する。このように、本実施形態に係る文書管理システム６は、サービス提供装置３に保管されている暗号化された文書データを削除する際に文書データ識別子に基づいて削除対象の文書データを特定し、削除することができる。
【0147】
以上説明したように、本実施形態に係る文書管理システム６においては、暗号化された文書データをサービス提供装置３で、暗号化された文書データを特定するための文書管理情報と、暗号化／復号プログラムとを中継装置５で動作させる。また、中継装置５において、暗号化／復号を行うための暗号鍵であるユーザ鍵は、文書管理システム６のユーザによって管理されるためサービス提供装置３が認識することができない。
【0148】
したがって、サービス提供装置３において、文書データが復号されることがなく、文書データの機密性を損なうことがない。また、文書管理システム６のユーザは、暗号化された文書データのプライバシーが確保されることを確認でき、安心してクラウドストレージサービスを利用することができる。
【符号の説明】
【0149】
１ ＰＣ２ 画像形成装置
３ サービス提供装置
４ ネットワーク
５ 中継装置
６ 文書管理システム
１０ ＣＰＵ
２０ ＲＡＭ
２１ ＣＰＵ
２２ ＭＥＭ−Ｐ
２３ ＮＢ
２４ ＳＢ
２５ バス
２６ ＡＳＩＣ
２７ ＭＥＭ−Ｃ
２８ ＦＣＵ
２９ ＵＳＢ
３０ ＲＯＭ
３１ ＩＥＥＥ１３９４
３２ ＮＦＣ
３３ エンジン
３４ 操作表示部
３５ ＨＤＤ
４０ ＨＤＤ
５０ インタフェース
６０ ＬＣＤ
７０ 操作部
９０ バス
１０１ 通信制御部
１０２ 画面表示制御部
１０３ 入出力制御部
２０１ 通信制御部
２０２ 画面表示制御部
２０３ 入出力制御部
２０４ 画像処理部
３０１ 通信制御部
３０２ データ記憶部
５０１ 通信制御部
５０２ 暗号化／復号処理部
５０３ 文書情報管理部
５０４ ユーザ情報管理部
５０５ ウェブ操作制御部
【先行技術文献】
【特許文献】
【0150】
【特許文献1】特開２０１５−１０２９９５号公報