JP2017167833A - 情報処理装置、文書管理システム、プログラムおよび文書管理方法 - Google Patents

Abstract

【課題】本人認証後に電子化された書類の改ざんを防止可能な情報処理装置を提供すること。【解決手段】ユーザを識別する識別情報を取得する識別情報取得手段と、ユーザの指示に基づく文書データを取得する文書データ取得手段と、識別情報に基づき認証されたユーザ本人であることを確認する本人確認情報を取得する本人確認情報取得手段と、取得された本人確認情報と、識別情報に対応づけて予め記憶された本人確認情報とを照合することによりユーザの本人性を認証する認証手段と、ユーザの本人性が認証されると、文書データと本人確認情報とに基づいて一意な情報を生成する一意情報生成手段と、文書データと本人確認情報と一意な情報とを記憶手段に格納する格納手段と、を有するよう、情報処理装置を構成する。【選択図】図２

Description

本発明は、情報処理装置、文書管理システム、プログラムおよび文書管理方法に関する。

近年、文書の電子化への要求が高まっている。電子化された文書は利便性が増すが、個人情報など機密性の高い文書データが改ざんされたり流出したりすると関係者に不利益が生ずるため、適切な取り扱いが求められている。

例えば、病院内で使用されるカルテなどの書類を電子化する場合には、病院職員がスキャナ機能を有する装置（例えばＭＦＰ：Multifunction Printer）にログインしてスキャン操作を行い、取得したデータを保管する。

ログインの管理は、社員証などのＩＣカードでユーザコードを入力することにより可能であるが、他者がＩＣカードを用いてログインすると成りすましが行われ、本来のＩＣカード所有者の名義で不正な書類が保管されることになる。

特許文献１に、情報授受の段階での本人認証により情報流通段階での情報へのセキュリティを高める手書き認証通信システムが記載されている。特許文献２に、ペン型電子機器を用いて記入される筆跡情報の正当性を判定する署名認証システムが記載されている。特許文献３に、任意に変更される文字の手書き文字データによりネットワークにログインする手書き認証システムが記載されている。

手書き文字入力などによってログイン管理を厳密に行うことにより、成りすましをある程度排除することができる。しかし、電子化された書類を後で差し替えられるという改ざんが行われるという問題は解消できない。

本発明は、上記のような課題を解決するためになされたものであり、本人認証後に電子化された書類の改ざんを防止可能な情報処理装置を提供することを目的とする。

上述した課題を解決するために、本発明にかかる情報処理装置は、
ユーザを識別する識別情報を取得する識別情報取得手段と、
前記ユーザの指示に基づく文書データを取得する文書データ取得手段と、
前記識別情報に基づき認証されたユーザ本人であることを確認する本人確認情報を取得する本人確認情報取得手段と、
取得された前記本人確認情報と、前記識別情報に対応づけて予め記憶された本人確認情報とを照合することにより前記ユーザの本人性を認証する認証手段と、
前記ユーザの本人性が認証されると、前記文書データと前記本人確認情報とに基づいて一意な情報を生成する一意情報生成手段と、
前記文書データと前記本人確認情報と前記一意な情報とを記憶手段に格納する格納手段と、
を有する。

本発明にかかる情報処理装置は、本人認証後に電子化された書類の改ざんを防止することができる。

本発明の実施形態にかかる文書管理システム１００の構成図である。 本発明の実施形態にかかる文書管理システム１００の機能ブロック図である。 情報記憶部２１が保持する文書情報の例を示す図である。 情報記憶部３１が保持する認証用データの例を示す図である。 画像形成装置１、文書保管装置２、認証装置３のハードウェア構成の一例を説明する図である。 本発明の実施形態にかかる文書管理システム１００の処理フローである。 文書取得方法の指定を促す画像を表示したＵＩ部１１を示す図である。 修正対象となる文書の選択を促す画面を表示したＵＩ部１１を示す図である。 文書取得操作および署名入力時の画面表示例である。 関係者の署名入力時の画面表示例である。 一意な情報としてデジタル署名を作成する処理フローである。 文書管理システム１００において書類を新規登録するときの基本動作を示す処理シーケンス図である。 文書管理システム１００において書類を修正登録するときの基本動作を示す処理シーケンス図である。

図１は、本発明の実施形態にかかる文書管理システム１００の構成図である。図１を参照すると、文書管理システム１００は、画像形成装置１ａ〜１ｃと、文書保管装置２と、認証装置３と、を通信可能に接続することにより構成される。

画像形成装置１ａ〜１ｃは、書類を光学的に読み取って電子データ化するスキャンなどの画像形成機能を提供する。文書保管装置２は、画像形成装置１ａ〜１ｃがスキャンした電子データおよび関連情報を保管する。認証装置３は、画像形成装置１ａ〜１ｃを使用するユーザの正当性を確認する認証機能を提供する。

各装置の台数はこの構成に限られず、例えば画像形成装置は、１ａ〜１ｃの３台ではなく１台であってもよいし、４台以上であってもよい。よって本明細書においては、特段区別する必要がない限り、以下「画像形成装置１ａ〜１ｃ」をまとめて「画像形成装置１」として説明する。

図２は、本発明の実施形態にかかる文書管理システム１００の機能ブロック図である。図２に示すように、本発明の実施形態にかかる画像形成装置１は、通信部１０と、ＵＩ部１１と、スキャン部１２と、ＩＣカード読取部１３とを有する。本発明の実施形態にかかる文書保管装置２は、通信部２０と、情報記憶部２１とを有する。本発明にかかる認証装置３は、通信部３０と、情報記憶部３１と、署名情報判定部３２と、デジタル署名生成部３３と、ＩＣカード情報認証部３４とを有する。

まず、画像形成装置１の各機能ブロックについて説明する。通信部１０は、文書保管装置２や認証装置３とネットワークを介してデータを送受信する。ＵＩ部１１は、画像形成装置１の操作のために必要な情報をユーザに視認可能に表示し、ユーザの入力を受け付ける。ＵＩ部１１は、さらに、ペンや指を用いて入力された筆跡情報を取得することができる。特に、筆跡情報としてユーザに署名を要求することで、ＵＩ部１１は、画像形成装置１を操作するユーザの正当性（認証されたユーザ本人であることを示す本人性）を判定するための本人確認情報を取得することができる。署名の画像（筆跡情報）は本人確認情報の一例であり、ＵＩ部１１は、本人確認情報を取得する本人確認情報取得手段の一例として構成することができる。スキャン部１２は、書類に基づき電子データを出力する。書類に基づく電子データの出力は、例えばスキャナによる紙文書のスキャンにより行うことができるがこれに限らず、カメラによる被写体の撮影やキー操作による電子ファイルの作成によって行ってもよい。スキャン部１２は、ユーザの指示に基づいて文書データを取得する文書データ取得手段の一例として構成することができる。ＩＣカード読取部１３は、画像形成装置１を使用するユーザの提示するＩＣカードからＩＣカード情報を読み取る。このＩＣカード情報は、ユーザ認証に利用されるユーザＩＤ（ユーザを識別する識別情報）を含む。ＩＣカード読取部１３は、ユーザの操作に基づいてユーザの認証情報を取得する認証情報取得手段の一例として構成することができる。

次に、文書保管装置２の各機能ブロックについて説明する。通信部２０は、画像形成装置１や認証装置３とネットワークを介してデータを送受信する。情報記憶部２１は、画像形成装置１のスキャン部１２がスキャンして出力した電子データやＵＩ部１１に入力された筆跡情報などを文書情報として保管する。情報記憶部２１は、ユーザにより指定された文書の電子データや文書に関与したユーザのユーザ情報を格納する格納手段の一例として構成することができる。

図３は、情報記憶部２１が保持する文書情報の例を示す図である。図３に示すように、情報記憶部２１には、文書が登録された日時、登録者のユーザＩＤ、登録時に入力した筆跡画像データ、電子化した書類ファイル（電子データ）、デジタル署名データ等が格納される。また、修正文書登録時には、文書修正登録時に入力した文書の関係者である患者の筆跡画像データ、修正の対象となったオリジナルの文書ＩＤ、修正文書かどうか（修正文書であれば「Ｙｅｓ」）があわせて格納される。

図２に戻り、認証装置３の各機能ブロックについて説明する。通信部３０は、画像形成装置１や文書保管装置２とネットワークを介してデータを送受信する。情報記憶部３１は、画像形成装置１のＩＣカード読取部１３が読み取ったＩＣカード情報に基づくユーザ認証やＵＩ部１１に入力された筆跡情報に対する正当性判定を実施するために、予めユーザを識別するユーザＩＤやユーザの筆跡画像データなどの認証用データを保持する。署名情報判定部３２は、筆跡情報の本人判定を行う。デジタル署名生成部３３は、書類をスキャンした電子データや筆跡情報に対するデジタル署名を生成する。デジタル署名生成部３３は、書類をスキャンした電子データである文書データと、筆跡情報である本人確認情報とに基づいて一意な情報を生成する一意情報生成手段として構成することができる。ＩＣカード情報認証部３４は、画像形成装置１のＩＣカード読取部１３が読み取ったＩＣカード情報に基づいて、情報記憶部３１に保持されたユーザが特定できるか否かで、ユーザ認証の成否を判定する。

図４は情報記憶部３１が保持する認証用データの例を示す図である。図４に示すように、情報記憶部３１には、ユーザごとに、ユーザＩＤと利用者名と筆跡画像データとが対応づけられて記憶されている。すなわち、ＩＤ：１を例にとると、ユーザＩＤ「０００１」と利用者名「山田太郎」とその筆跡画像とが対応づけられている。

ＩＣカード情報認証部３４は、取得したＩＣカード情報に基づいてユーザを特定する。署名情報判定部３２は、取得した筆跡画像と、取得したＩＣカード情報に基づいて特定されるユーザと対応づけて情報記憶部３１に記憶された筆跡画像とを照合した照合結果に基づき、取得した筆跡画像の正当性を判定する正当性判定手段の一例として構成することができる。

デジタル署名生成部３３は、ユーザの正当性が認められると、文書データと取得した筆跡画像とに基づいて、一意な情報を生成する。ここで一意とは、文書データまたは筆跡画像の少なくとも一方が異なっていれば、異なる情報が生成されることをいう。一意な情報は、例えば文書データと認証情報とを連結したファイルをハッシュ関数の変数として入力することにより得ることができる。ハッシュ関数の演算は、メモリに読み込まれた所定のプログラムをＣＰＵが実行することにより可能である。

本人確認情報とは、ユーザが本人であることを確認可能な情報であり、例えばタブレットなどの座標入力装置により入力される手書き文字の筆跡であり、氏名を表示する署名であるがこれに限らない。例えば、指紋センサにより入力される指紋画像やカメラにより入力される虹彩画像であってよい。また、キー操作により入力される所定の文字列（いわゆるパスワード）であってもよい。また、およそ本人しか答えを知らないであろう質問に対する回答であってもよい。

なお、上記説明は各機能ブロックと装置との関係を限定するものではない。具体的には、認証装置３が有するとして説明した機能を画像形成装置１や文書保管装置２が有してもよいし、文書保管装置２および認証装置３が有するとして説明したすべての機能を画像形成装置１が有するようにし、文書管理装置として構成してもよい。

次に、文書管理システム１００の画像形成装置１、文書保管装置２、認証装置３のハードウェア構成の一例を説明する。図５は、画像形成装置１、文書保管装置２、認証装置３のハードウェア構成の一例を説明する図である。画像形成装置１、文書保管装置２、認証装置３は、いずれも一般的なパーソナルコンピュータと同様のハードウェアに、各装置が有する機能の実現に必要な周辺機器を追加することで構成可能であるので、基本的なハードウェア構成を中心に説明する。

図５に示すように、画像形成装置１、文書保管装置２、認証装置３は、ＣＰＵ、ＲＡＭ、ＲＯＭ、ＨＤＤ、Ｉ／Ｆを有して構成され、Ｉ／ＦにＬＣＤや操作部、スキャナ、ＬＡＮインタフェースなどの各種周辺機器が接続される。

通信部１０、２０、３０は、ＲＡＭに展開されたプログラムを実行するＣＰＵによりＬＡＮインタフェースが制御されることで構成可能である。ＵＩ部１１は、ＲＡＭに展開されたプログラムを実行するＣＰＵにより、ＬＣＤと重畳された操作部としてのタッチパネルとが制御されることで構成可能である。タッチパネルにより、ＵＩ部１１は座標入力を受け付けることが可能となる。スキャン部１２は、ＲＡＭに展開されたプログラムを実行するＣＰＵによりスキャナが制御されることで構成可能である。ＩＣカード読取部１３は、ＲＡＭに展開されたプログラムを実行するＣＰＵによりＩＣカードリーダが制御されることで構成可能である。情報記憶部２１、３１は、ＨＤＤにより構成可能である。署名情報判定部３２、デジタル署名生成部３３、ＩＣカード情報認証部３４は、ＲＡＭに展開されたプログラムを実行するＣＰＵにより構成可能である。

続いて図６を参照して、本発明の実施形態にかかる文書管理システム１００の処理フローを説明する。本発明の実施形態にかかる画像形成装置１は、まず、ユーザ情報の入力を受ける（ステップＳ１）。ユーザ情報とは、画像形成装置１を操作するユーザの識別情報（ユーザＩＤ）であり、ユーザ情報を記憶させたＩＣカードを図示しないＩＣカードリーダに読み取らせることにより画像形成装置１に入力される。ユーザ情報の入力はこれに限らず、磁気カードに記録された磁気ストライプの読み取り、印刷されたＱＲコード（登録商標）の読み取りや文字入力インタフェースへのユーザ自身によるコード入力等であってもよい。

画像形成装置１は、入力されたユーザ情報が登録されているものであるか否かを確認する（ステップＳ２）。確認は、入力されたユーザ情報を認証装置３に送信し、認証装置３のＩＣカード情報認証部３４の認証結果を受信することで行うことができる。入力されたユーザ情報が情報記憶部３１に登録されたものでなければ（ステップＳ２：Ｎ）、その先の処理に進むことができず、ユーザ情報の再入力が求められる。このように入力されたユーザ情報を確認することで、画像形成装置１を利用した以降の操作が許可される。

画像形成装置１は、入力されたユーザ情報が登録されたものであればログインを許可し（ステップＳ２：Ｙ）、文書取得方法の指定の入力を受ける（ステップＳ３）。文書取得方法の指定とは、具体的には文書の新規登録を行うか既存文書の修正を行うかの選択である。この選択入力は、例えば画像形成装置１のＵＩ部１１へのユーザの入力を受け付けることによって行う。図７は、文書取得方法の指定を促す画面を表示したＵＩ部１１を示す図である。図７に示した画面において、「登録の方法を選択してください」との記載でユーザの入力を促すとともに、「新規書類の登録」「修正書類の登録」と記載されたボタンが表示され、これ4らのボタンへのタッチを検出することで選択入力を行うことができる。

画像形成装置１は、「修正書類の登録」ボタンへのタッチ検出などにより文書取得方法として既存文書に対する修正文書の登録が選択されると（ステップＳ４：修正）、修正対象となる文書の選択を受け付ける（ステップＳ５）。修正対象となる文書の選択は、例えば図８に示すようにＵＩ部１１に修正対象となる文書の選択を促す画面を表示し、対象とする文書に対応する領域へのタッチを検出することで行うことができる。選択対象となる文書として、画像形成装置１にＩＣカードを読み取らせることでログインが許可されたユーザが過去に登録した書類の一覧が表示される。一覧にタッチして文書を選択すると、選択された文書の領域の表示が変更され、選択されていることが視認可能になる。図８は、２０１５年２月１日 １５：３０に登録されたファイル「20150215_tanaka」が選択された状態を示している。この状態で「実行」ボタンにタッチすると選択が確定する。

「新規書類の登録」ボタンへのタッチ検出などにより文書取得方法として新規文書の登録が選択されると（ステップＳ４：新規）、または、ステップＳ５で修正対象となる文書が選択されると、画像形成装置１のＵＩ部１１は、文書取得のための操作を受け付ける（ステップＳ６）。文書取得のための操作は、文書取得が紙文書のスキャンであれば、スキャン開始の指示である。図９は、文書取得のための操作を促す画面を表示するＵＩ部１１を示す図である。ＵＩ部１１は、まず図９（ａ）に示す画面を表示し、「スキャン」ボタンへのタッチを促す。ここで、登録する書類の名称は、自動で生成するようにしてもよいし、ユーザが入力するようにしてもよい。図９（ａ）では、現在日付およびユーザ名に基づいて「20150615_tanaka」との名称が生成され、表示されている。なお、本実施形態においてはスキャン実行前に署名を要求しないようにすることもできる。この場合、文書取得のための操作を促す図９（ａ）の画面においては「署名」欄の操作を行わせない。したがって、非表示にしたり、グレー表示するとともに操作不可の状態にするようにＵＩ部１１は表示を制御する。

「スキャン」ボタンへのタッチが検出されるとＵＩ部１１に表示される画面がスキャン実行を促す画面に遷移し、図９（ｂ）に示す状態となる。ここでユーザは書類をシートフィーダ等にセットし、準備が完了した後に「実行」ボタンにタッチする。この一連の操作によって、文書データが取得される。

文書取得操作が行われると、画像形成装置１は、本人確認情報の入力を受け付ける（ステップＳ７）。ＵＩ部１１に本人確認情報として署名の入力を促す画面が表示され、図９（ａ）に示す状態となる。ユーザは、ＵＩ部１１に表示された「署名」欄に手書き文字の入力を行うことができる。「登録」ボタンへのタッチが検出されると、文書データと認証情報との文書保管装置２への送信が許可される。ここで、署名欄への入力があるまでは「登録」ボタンを有効にしないようにすることで、文書データと認証情報とをセットにした確実な文書管理が可能となる。認証情報として署名が入力された状態におけるＵＩ部１１の表示例を図９（ｃ）に示す。

本実施形態においては文書取得操作を行った後に本人確認情報を入力するようにしているが、本人確認情報を入力してから文書取得操作を行うようにすることも可能である。

文書取得方法が「修正文書の登録」である場合（ステップＳ８：修正）、本人確認情報が入力されると、画像形成装置１は、文書の関係者の署名の入力を受け付ける（ステップＳ９）。文書の関係者とは、例えば、文書がカルテであればそのカルテの患者や家族が考えられる。例えば、カルテの修正登録にあたり病院職員だけではなく患者本人の署名の入力も要求することで、患者の署名の有無に基づき病院側が勝手に修正したか否かがわかるようになるため、より確実な文書管理が可能となる。したがって、この署名は、特定のユーザにより入力される本人確認情報であり、不正な文書改竄を判別するための情報である。修正文書の登録が選ばれている場合、図９（ｃ）の画面で「登録」ボタンへのタッチが検出されると、ＵＩ部１１には図１０（ａ）のように画面が表示され、文書関係者の認証情報として「患者の署名」の入力を促す。患者が署名入力を行った後の画面を表示するＵＩ部１１を図１０（ｂ）に示す。この後「登録」ボタンへのタッチが検出されると、文書データと認証情報との文書保管装置２への送信が許可される。修正文書の登録において、図１０を介した関係者の署名は、図９を介したログインユーザによる署名の後に行うことが望まれる。関係者が署名をした後に文書の登録やログインユーザの署名が行われると、本当に関係者が認識した文書が登録されたかどうか、ログインユーザとは異なる人の署名が行われていないかどうかがわからなくなるためである。その意味では、図１０（ａ）の画面には、スキャンした文書のプレビュー画像を表示するようにしてもよい。

文書取得方法が「新規文書の登録」である場合（ステップＳ８：新規）、またはステップＳ９で関係者の本人確認情報の入力を受け付けると、画像形成装置１は、本人確認情報の認証を行う（ステップＳ１０）。ここで認証されるのは、ステップＳ７で入力された操作者の本人確認情報である。ステップＳ９で入力された関係者の本人確認情報の認証は基本的に不要であるが、するようにしてもよい。不要とする理由は、関係者の署名が予め情報記憶部３１に保持してある保証がないためである。患者の署名であれば、例えば入院時に署名してもらい登録することも不自然ではないが、関係者になる得るすべての人の署名を予め登録しておくことは難しいためである。ただし、手間暇を掛ければできないことではないため、することは可能である。本人確認情報の認証は、認証装置３に本人確認情報を送信し、署名情報判定部３２の判定結果を受信することで行うことができる。また、本人確認情報の認証は、情報記憶部３１に操作者ごとに記憶された署名画像と照合し、一致度が閾値を超えるか否かで判定することができる。

本人確認情報が認証されないと（ステップＳ１０：Ｎ）、画像形成装置１はエラー表示を行い（ステップＳ１１）、ステップＳ７に戻って再び認証情報の入力を受け付ける。認証の失敗が所定回数発生すると処理を終了するようにしてもよい。

本人確認情報が認証されると（ステップＳ１０：Ｙ）、画像形成装置１は、ログインユーザの識別情報（ユーザＩＤ）、文書データ、文書データの属性情報（ファイル名等）、および本人確認情報を認証装置３に送信し、文書保管装置２への文書の登録を要求する。なお、文書取得方法が「修正文書の登録」である場合は、文書データの属性情報には、ファイル名の他に修正対象として選択された文書データを識別する文書ＩＤが含まれる。文書ＩＤは修正対象を選択するときに取得される。また、文書取得方法が「修正文書の登録」である場合は、本人確認情報には、ログインユーザに対して要求したものと、文書関係者に対して要求したものの両方が含まれる。認証装置３のデジタル署名生成部３３は、ステップＳ６で取得した文書データとステップＳ１０で認証された本人確認情報とに基づいてデジタル署名を作成する（ステップＳ１２）。

デジタル署名は、例えば文書データと認証情報とを連結したファイルをハッシュ関数の変数として入力することにより得ることができる一意な情報をRSAやDSAなどのアルゴリズムにより暗号鍵を用いて暗号化することにより作成される。デジタル署名を作成することにより、より確実に改ざんを防止することができる。

図１１は、デジタル署名生成部３３がデジタル署名を作成する処理フローを示す図である。図１１を参照すると、デジタル署名生成部３３は、まず文書データと認証情報とを結合したファイルを生成する（ステップＳ８１）。

続いてデジタル署名生成部３３は、結合したファイルに対して一方向ハッシュ関数を用いてハッシュ値を算出する（ステップＳ８２）。一方向ハッシュ関数は、任意の長さの入力から固定長の出力を返す関数であり、その出力は一方向性と衝突困難性を有するため、ハッシュ値は結合したファイルに対して一意となる。

次にデジタル署名生成部３３は、別途取得する秘密鍵を用いてハッシュ値を暗号化し、デジタル署名を作成する（ステップＳ８３）。秘密鍵は、例えばネットワークで接続された認証装置３が保持するようにすればよい。これにより、デジタル署名が正規に作成したものであるか否かを容易に判断することができる。

デジタル署名が生成されると、認証装置３は、生成したデジタル署名を含め、画像形成装置１から要求された文書データ等のデータを文書保管装置２に送信し、登録を要求する。文書保管装置２は、受信したユーザＩＤ、文書データ、デジタル署名、文書データの属性情報、および本人確認情報を情報記憶部２１に格納する。このようにすると、格納された文書データと認証情報とからデジタル署名を生成し、格納されたデジタル署名と比較することができる。これにより、文書データが改ざんされたか否かを容易に判定することが可能となる。

以上、本発明の実施形態として文書管理システム１００の構成と処理を説明したが、本発明の実施形態はこれに限られない。上述のとおり、認証装置３が有するとして説明した機能を画像形成装置１や文書保管装置２が有してもよいし、文書保管装置２および認証装置３が有するとして説明したすべての機能を画像形成装置１が有するようにし、文書管理装置として構成してもよい。また、コンピュータを文書管理装置としての各機能を実行させるプログラムとして本発明を実施することもできる。

図１２は、文書管理システム１００において書類を新規登録するときの基本動作を示す処理シーケンス図である。図１２を参照すると、ユーザは、画像形成装置１にＩＣカードをかざす（１）。画像形成装置はＩＣカードを読み取り、ＩＣカード内のユーザＩＤを認証装置３に送信する（１．１）。認証装置３は、受信したユーザＩＤに対応するユーザの情報を探し、該当するユーザが見つかった場合は、認証ＯＫである旨を画像形成装置１に返し、画像形成装置１は認証に成功したことをユーザに表示する（１．１．１）。

ユーザの画像形成装置１への操作により書類の登録方法のうち「新規書類の登録」が選択され（２）、画像形成装置１により書類がスキャンされる（３）。画像形成装置１は、書類のスキャンによって文書データを取得し、格納する（３．１）。

ユーザは、画像形成装置１に対して署名を行う（４）。署名は、画像形成装置１の有するタッチパネルへの手書き文字入力によって行うことができる。ユーザは、画像形成装置１に対して書類登録操作を行う（５）。画像形成装置１は、認証装置３にユーザＩＤ、文書データおよび署名画像を送信する（５．１）。

認証装置３は、ユーザＩＤに対応する認証データと署名画像との正当性判定を行う（５．１．１）。不一致の場合は、画像形成装置１に不一致である旨を通知し、画像形成装置１はエラーである旨をユーザに通知する。認証装置３は、文書データと署名画像とに対してデジタル署名を作成し（５．１．２）、画像形成装置１に送信する。

画像形成装置１は、文書保管装置２に、ユーザＩＤ、文書データ、署名画像およびデジタル署名を送信する（５．２）。文書保管装置２は、文書データ、署名画像およびデジタル署名を関連づけて格納し（５．２．１）、完了すると画像形成装置１に通知する。画像形成装置１は、文書保管装置２から格納完了通知を受領すると、文書の登録に成功したことを表示する。

図１３は、文書管理システム１００において書類を修正登録するときの基本動作を示す処理シーケンス図である。基本的な動作は書類を新規登録するときの動作と共通するため、相違する処理（枠で囲まれた部分）を中心に説明する。

認証に成功したユーザの画像形成装置１への操作により書類の登録方法のうち「修正書類の登録」が選択されると（２）、画像形成装置１は文書保管装置２からログインユーザが登録した文書の一覧を取得する（２．１）。ユーザは、画像形成装置１に表示された文書一覧から修正の対象となる文書を選択する（３）。

修正対象となる書類のスキャンにあたり、スキャン操作を行うユーザとともに、異なるユーザも画像形成装置１に対して署名入力を行う（６）。ここで異なるユーザとは、例えばカルテを病院職員がスキャンする場合におけるカルテの対象患者である。このようにすると、カルテの管理がより確実なものとなる。

文書保管装置２から格納完了通知を受領すると、画像形成装置１は、書類の登録者の署名と患者の署名記録とを印刷する（７．３）。このようにすると、カルテを病院職員と患者との署名に基づいて修正する場合において、両者の確認のもとで修正が行われたことを記録として残すことが容易となる。

このように文書管理システムを構成することで、１以上の画像形成装置で取得した文書データとこれに基づいて生成されたデシタル署名とを文書保管装置で集中管理することができる。

１ 画像形成装置
１０ 通信部
１１ ＵＩ部
１２ スキャン部
１３ ＩＣカード読取部
２ 文書保管装置
２０ 通信部
２１ 情報記憶部
３ 認証装置
３０ 通信部
３１ 情報記憶部
３２ 署名情報判定部
３３ デジタル署名生成部
３４ ＩＣカード情報認証部
１００ 文書管理システム

特開２０００−１９４６１８号公報 特開２００５−０３１７３９号公報 特開２００４−１１８３０２号公報

Claims (8)

1. ユーザを識別する識別情報を取得する識別情報取得手段と、
   前記ユーザの指示に基づく文書データを取得する文書データ取得手段と、
   前記識別情報に基づき認証されたユーザ本人であることを確認する本人確認情報を取得する本人確認情報取得手段と、
   取得された前記本人確認情報と、前記識別情報に対応づけて予め記憶された本人確認情報とを照合することにより前記ユーザの本人性を認証する認証手段と、
   前記ユーザの本人性が認証されると、前記文書データと前記本人確認情報とに基づいて一意な情報を生成する一意情報生成手段と、
   前記文書データと前記本人確認情報と前記一意な情報とを記憶手段に格納する格納手段と、
   を有することを特徴とする情報処理装置。
2. １以上の情報処理装置で構成される文書管理システムであって、
   ユーザを識別する識別情報を取得する識別情報取得手段と、
   前記ユーザの指示に基づいて文書データを取得する文書データ取得手段と、
   前記識別情報に基づき認証されたユーザ本人であることを確認する本人確認情報を取得する本人確認情報取得手段と、
   取得された前記本人確認情報と、前記識別情報に対応づけて予め記憶された本人確認情報とを照合することにより前記ユーザの本人性を認証する認証手段と、
   前記ユーザの本人性が認証されると、前記文書データと前記本人確認情報とに基づいて一意な情報を生成する一意情報生成手段と、
   前記文書データと前記本人確認情報と前記一意な情報とを記憶手段に格納する格納手段を
   を有することを特徴とする文書管理システム。
3. 前記本人確認情報が手書き入力された筆跡であることを特徴とする、請求項２に記載の文書管理システム。
4. 前記筆跡を入力する座標入力手段を有することを特徴とする、請求項３に記載の文書管理システム。
5. 前記一意な情報が所定の暗号鍵により暗号化されることを特徴とする、請求項２ないし４のいずれか一項に記載の文書管理システム。
6. 前記一意情報生成手段は、前記文書データと、前記本人確認情報と、前記本人確認情報を入力するユーザとは異なるユーザが入力する第２の認証情報とに基づいて前記一意な情報を生成することを特徴とする、請求項２ないし５のいずれか一項に記載の文書管理システム。
7. ユーザを識別する識別情報を取得する識別情報取得ステップと、
   前記ユーザの指示に基づく文書データを取得する文書データ取得ステップと、
   前記識別情報に基づき認証されたユーザ本人であることを確認する本人確認情報を取得する本人確認情報取得ステップと、
   取得された前記本人確認情報と、前記識別情報に対応づけて予め記憶された本人確認情報とを照合することにより前記ユーザの本人性を認証する認証ステップと、
   前記ユーザの本人性が認証されると、前記文書データと前記本人確認情報とに基づいて一意な情報を生成する一意情報生成ステップと、
   前記文書データと前記本人確認情報と前記一意な情報とを記憶手段に格納する格納ステップと、
   をコンピュータに実行させる、プログラム。
8. ユーザを識別する識別情報を取得する識別情報取得ステップと、
   前記ユーザの指示に基づいて文書データを取得する文書データ取得ステップと、
   前記識別情報に基づき認証されたユーザ本人であることを確認する本人確認情報を取得する本人確認情報取得ステップと、
   取得された前記本人確認情報と、前記識別情報に対応づけて予め記憶された本人確認情報とを照合することにより前記ユーザの本人性を認証する認証ステップと、
   前記ユーザの本人性が認証されると、前記文書データと前記本人確認情報とに基づいて一意な情報を生成する一意情報生成ステップと、
   前記文書データと前記本人確認情報と前記一意な情報とを記憶手段に格納する格納ステップと、
   からなる情報処理方法。

Images