JP4861704B2

JP4861704B2 - 電子証拠データ開示方法およびシステム

Info

Publication number: JP4861704B2
Application number: JP2006006907A
Authority: JP
Inventors: 邦彦宮崎; 康生秦野; 良一佐々木; 孝延増渕; 佑樹芦野
Original assignee: Hitachi Ltd; Tokyo Denki University
Current assignee: Hitachi Ltd; Tokyo Denki University
Priority date: 2006-01-16
Filing date: 2006-01-16
Publication date: 2012-01-25
Anticipated expiration: 2026-01-16
Also published as: JP2007188376A

Description

本発明は、電子的に作成・保管された証拠データの開示技術に関する。

従来、電子文書等の電子データの真正性保証を行う技術として、電子署名（ディジタル署名ともいう）技術がある。（例えば、非特許文献１参照）。

また、所有者とは異なる署名者によってあらかじめ署名が付与された所有者(owner)が所有する文書から、署名者が許可した部分については削除可能であり、また削除したあとの署名付き文書の有効性が確認可能な技術（例えば、非特許文献２参照）や、開示文書の真正性の保証と、開示不適当な情報の削除の両立可能な、電子文書の真正性保証技術（例えば、特許文献１参照）が知られている。

Bruce Schneier著「Applied Cryptography: Protocols, Algorithms, and Source Code in C, Second Edition」 John Wiley & Sons、(October 18, 1995), pp. 483-502 Ron Steinfeld, Laurence Bull, Yuliang Zheng著, "Content Extraction Signatures", In International Conference on Information Security and Cryptology ICISC 2001, volume 2288 of LNCS, pp. 285-304, Berlin, 2001. Springer-Verlag, (2001) 米国特許出願公開第2005/0015600号明細書

近年、電子商取引、電子交付、電子申請等に代表されるように、従来紙の書類を介して実現されていた社会活動が、電子データを中心として行われるようになってきている。これらの電子的な社会活動に伴う記録の多くは、電子的に保存される。したがって裁判等において、証拠データの開示(discovery)を求められたときには、電子的に保存されたデータの開示が求められることになる。

証拠データに対する重要な要件として、真正性が確認できることが挙げられる。一方で、活動記録である証拠データには、当該裁判とは直接関係のない、被告の重要な機密情報（例：企業の営業秘密、個人情報など）が含まれることもあるため、必要以上の開示は避けられることが望ましい。

電子データに対する真正性保証技術としては、非特許文献１に挙げたように、従来から電子署名技術が知られているが、しかし、電子署名技術では、署名付与対象となったデータをすべて開示しない限り、真正性を保証することが困難であり、上述のような（裁判と直接関係のない）機密情報の非開示は実現困難であった。

また、非特許文献２や特許文献１に挙げた技術によれば、電子データに含まれる一部の開示不適当な情報を不開示にしつつ、当該電子データを開示することができる。しかし、不開示部分に、当該裁判に関する情報が含まれていたか否かを知ることは困難である。

したがって、電子データの一部の情報を非開示にしたまま当該電子データの真正性が確認可能であり、非開示部分に開示すべき情報が含まれていないことを確認可能な、電子的に作成・保管された証拠データの開示技術が求められている。

本発明は、電子データの一部の情報を非開示にしたまま当該電子データの真正性が確認可能であり、非開示部分に開示すべき情報が含まれていないことを確認可能な、電子的に作成・保管された証拠データの開示技術と開示システムを提供する。

本発明は、その一態様において、証拠データの開示を行う被告が利用する被告装置において、社会活動の管理を電子的に行う際に利用する装置やシステムによって記録された情報であって、文書、動画、静止画、写真、音データ（音楽、音声）などあらゆるマルチメディアデータのいずれかひとつ、または、これらのうちの複数を組み合わせたものとして記録された情報を含む活動記録を作成するステップと、
前記活動記録を複数のブロックに分割し、前記複数のブロックの各々に対し、乱数を生成し、前記複数のブロックの各々と、それに対して前記生成された乱数とを、結合したデータのハッシュ値を算出し、前記算出されたハッシュ値に対し、電子署名を付与するステップと、
前記ブロック単位に分割された活動記録と、前記電子署名を保管するステップと、
指定されたキーワードを含む証拠データの開示要求を受け付け、前記保管された活動記録の中から、前記指定されたキーワードを含むデータを検索し、前記検索されたデータから、指定された不開示データのハッシュ値を算出するとともに、当該ハッシュ値の算出元のデータである前記ブロックおよび前記乱数を取り除く、不開示処理をし、前記電子署名とともに、前記証拠データとして出力するステップと、
前記証拠データに含まれる不開示部分に、前記指定されたキーワードが含まれているか否かを確認するためのデータであって、前記複数のブロックの各々と、前記算出されたハッシュ値との対応表であるキーワードチェック用データを生成するステップと、を有することを特徴とする、電子的に保管されたデータの開示方法を提供する。

さらに、キーワードチェック用データは、複数のブロックの各々と、生成された乱数とを、暗号化したデータであってもよい。

さらに、キーワードチェック用データは、複数のブロックの各々に対して生成された乱数であってもよい。

さらに、キーワードチェック用データを生成するステップは、さらに、生成された乱数に対する電子署名を付与するステップを含んでもよい。

また、他の一態様において、データを保管する被告装置において、活動記録を作成するステップと、活動記録に対し、電子署名を付与するステップと、活動記録と、電子署名を保管するステップと、を有し、証拠データを開示する被告弁護人装置において、原告弁護人装置から、証拠データの開示要求を受け付け、被告装置において保管された活動記録の中から、開示要求に該当するデータを選択し、選択されたデータの各部分に対し、開示すべきか、開示すべきでないかを特定するフラグ情報を作成し、原告弁護人装置に送信するステップと、原告弁護人装置から、原告弁護人装置の署名が付与されたフラグ情報またはフラグ情報を原告弁護人装置が変更したフラグ情報を受信するステップと、原告弁護人装置の署名付きフラグ情報にしたがって、不開示処理された前期選択されたデータと、被告装置において付与された電子署名とを、証拠データとして開示するステップと、を有し、証拠データの開示を要求する原告弁護人装置において、証拠データの開示要求を送信するステップと、被告弁護人装置からフラグ情報を受信するステップと、フラグ情報によって特定された開示または不開示の指定が妥当であるかを検証するステップと、検証結果が妥当でない場合に、フラグ情報を変更するステップと、フラグ情報に、署名を付与するステップと、署名付きフラグ情報を送信するステップと、を有することを特徴とする、電子的に保管されたデータの開示方法を提供する。

本発明によれば、電子データの一部の情報を非開示にしたまま当該電子データの真正性が確認可能であり、非開示部分に開示すべき情報が含まれていないことを確認可能な、電子的に作成・保管された証拠データの開示技術と開示システムが提供される。

（第１の実施形態）
図１は、本発明を、証拠データ開示システムに適用した複数の実施形態におけるシステムの概略構成図である。なお、以下では、民事裁判における証拠開示を例に挙げ説明するが、民事裁判と異なる場合における証拠データの開示においても同様に適用可能である。

図示するように、本システムは、ネットワーク１０１を介して、証拠開示を行う被告が利用する被告装置１０２と、被告の弁護人が利用する、被告弁護人装置１０３と、被告に対して証拠データの開示を要求する原告が利用する、原告装置１０４と、原告の弁護人が利用する原告弁護人装置１０５と、被告との間の係争を審理する裁判官が利用する、裁判官装置１０６の各装置が接続されている。ここで、被告や原告は、個人であってもよいし、法人、行政機関、各種団体等の組織であってもよい。また以下では、被告と被告弁護人のことを、被告側と総称し、原告と原告側弁護人のことを、原告側と総称する。

なお、本実施形態においては、被告装置１０２と被告弁護人装置１０３が別の装置であるものとして説明するが、これら二装置が同一の装置であってもよい。同様に、原告装置１０４と原告弁護人装置１０５が同一の装置であってもよい。また、本実施形態においては、各装置がネットワーク１０１を介してデータをやり取りする場合について説明するが、これと異なり、例えばＦＤ，ＣＤ−Ｒ，ＵＳＢメモリなどの可搬性のある記録媒体を用いて、データのやり取りを行ってもよい。あるいは、やり取りするデータサイズが小さい場合は、当該データが印刷された紙媒体を用いて、データのやり取りを行ってもよい。

被告装置１０２は、当該係争の被告が、電子的な社会活動を行う際に利用する装置である。被告装置１０２には、当該社会活動に伴う各種の記録が保管されている。これらの記録の中には、当該係争における証拠となるデータも含まれている。また、当該係争とは直接関係のないデータも含まれている。被告装置１０２は、保管された各種記録のうち、証拠となるデータを、原告側または裁判官に開示する。

ここで電子的な社会活動とは、例えば、電子メール、電子商取引、電子申請、電子交付、電子決済、オンラインバンキング、オンライントレードのうちのいずれかひとつ、または、これらのうちの複数を組み合わせたものなど、被告と、他の個人や組織等との間で、電子的にデータをやり取りする活動を含む。

また、他の個人や組織との間で電子的にデータをやり取りをするとは限らない活動であっても、当該活動の管理を電子的に行っているものは、電子的な社会活動に含まれる。例えば、経理システム、会計システム、物流システム、在庫管理システム、顧客情報管理システム、人事情報管理システム、文書管理システム、ＣＡＤシステム、マルチメディアデータ管理システムのうちのいずれかひとつ、または、これらのうちの複数を組み合わせたものなどのシステム、または、これらのシステムに対するログイン管理システムによって管理された社会活動は、電子的な社会活動に含まれる。

本実施形態の説明においては、電子的な社会活動として、電子メールシステムによる電子メールの送受信を具体的な例に挙げて説明するが、本発明の適用範囲はこれに限定されるものではない。

また、当該社会活動に伴う各種記録とは、電子的な社会活動を行う際に利用する各種装置、システムによって記録されるデータを含む。例えば、電子商取引等における送受信データ、それらのデータが生成された時刻を特定する時刻データ、操作者を特定するデータ（ログインIDなど）、処理を行った装置を特定するデータ（装置IDなど）のうちのいずれかひとつ、または、これらのうちの複数を組み合わせたものを含む。

また、経理システムや会計システムにおける、各種操作記録（誰が、いつ、どんな操作を、どの装置をつかって行ったかを特定する記録）、顧客情報管理システム等における、閲覧、変更記録（誰が、いつ、何を、どの装置をつかって閲覧、変更したかを特定する記録）などのログデータのうちのいずれかひとつ、または、これらのうちの複数を組み合わせたものを含む。

このほか、これらの各種装置、システムが動作したときの、装置やシステムの状態を表す情報も、当該社会活動に伴う各種記録に含まれる。例えば、キーストローク、マウスイベントに関するデータや、ファイルアクセス記録、システムアクセス記録、メモリダンプ、ディスプレイ表示のキャプチャデータ、OSの割り込みに関する記録、のうちのいずれかひとつ、または、これらのうちの複数を組み合わせたものなども当該社会活動に伴う各種記録に含まれる。

また、これらの各種記録は、文書として記録されたものであってもよいし、その他の構造化された文書、動画、静止画、写真、音データ(音楽、音声)などあらゆる電子化されたマルチメディアデータのいずれかひとつ、または、これらのうちの複数をくみあわせたものとして記録されたものであってもよい。

本実施形態の説明においては、当該社会活動に伴う各種記録として、電子メールシステムによって送受信される電子メールデータを具体的な例に挙げて説明するが、本発明の適用範囲はこれに限定されるものではない。

なお、本実施形態の説明では、被告装置１０２が、電子的な社会活動に関する機能（具体的な例としてはメールサーバ機能）、当該社会活動に伴う各種記録の保管機能（具体的な例としてはメールログ管理機能）、証拠データの開示機能（具体的な例としては、証拠メール開示機能）を、単一の装置で実現する場合について説明しているが、これと異なる構成をしていてもよい。例えば、電子的な各種社会活動を、それぞれの活動ごとに異なる装置で実現し、これらの装置とネットワークを介して接続された他の装置において、これらの社会活動に伴う各種記録の保管と、証拠データの開示の機能を実現してもよい。

このように各種社会活動を別装置で実現した場合、各装置の負荷が軽減されるというメリットがある。また、記録の保管と、証拠の開示を同一装置で実現した場合、管理すべきデータが一箇所に集約されるため、データのバックアップ等の作業が容易になるというメリットがある。

被告弁護人装置１０３は、被告の弁護人が、被告と協力し、被告が所有する各種記録のうち、当該係争において必要となる証拠データを選択し、裁判官や原告側に開示するときに利用する装置である。

原告装置１０４と原告弁護人装置１０５は、当該係争の原告側が、被告側に対し、証拠データの提出を要求するときに、それぞれ原告、原告の弁護人が利用する装置である。証拠データの提出要求は、原告と原告の弁護人が協力して行う。本実施形態の説明においては、原告は、原告装置１０４を利用して、原告の弁護人に、証拠データの提出要求を依頼し、原告弁護人装置１０５は、これに応じて、被告弁護人装置１０３に、証拠データの提出を要求する場合について説明する。以降では、原告装置１０４の処理については触れず、原告弁護人装置１０５の処理について説明する。

本実施形態の説明においては、証拠データの提出要求を、原告弁護人装置１０５が、被告弁護人装置１０３に対し、特定のキーワードを指定することで行う場合について説明するが、証拠データを、被告装置１０２が有する他の各種記録と識別可能な条件を示せれば、これと異なる方法によって証拠データの提出要求を行う場合であっても同様に適用可能である。識別可能な条件としては、例えば、特定の期間を指定してもよいし、特定の装置利用者を指定してもよいし、特定の装置やシステムを指定してもよい。あるいは、これらの組み合わせによって指定してもよい。

裁判官装置１０６は、裁判官が、原告側、被告側双方のやり取りを仲介したり、被告側から提出された証拠データに基づき、原告側、被告側双方の主張に対して、判決を出す際に利用する装置である。日本の民事訴訟制度では、通常、証拠の提出には裁判所の提出命令が要求される。このような場合には、裁判官装置１０６が、原告弁護人装置１０５からの証拠データの提出要求を受け付け、当該要求が妥当であれば、被告弁護人装置１０３に対して、証拠データの提出要求を送信する。

なお、アメリカにおける民事訴訟制度では、これとは異なり、原告弁護人が、被告弁護人に対し、直接証拠データの提出を要求できる。このような場合には、原告弁護人装置１０５が、被告弁護人装置１０３に、証拠データの提出要求を送信すればよい。このように、裁判官装置１０５の処理は、各種法律、制度、慣習等にあわせて適切に設定すればよい。以降では、特に断らない限り、裁判官装置１０５の処理については触れず、原告弁護人装置１０５が、被告弁護人装置１０３に対し、直接証拠データの開示を要求する場合について説明する。

図２は、本実施形態における被告装置１０２の概略構成を示した図である。

被告装置１０２は、CPU２０１と、CPU２０１のワークエリアとして機能するRAM２０２と、ハードディスク装置などの外部記憶装置２０３と、CD-ROMやFDなどの可搬性を有する記憶媒体２０５からデータを読取る読取り装置２０４と、キーボードやマウスなどの入力装置２０６と、ディスプレイなどの表示装置２０７と、ネットワークを介して他の装置と通信を行うための通信装置２０８と、上述した各構成要素間のデータ送受を司るインターフェイス２０９を備えた、一般的な構成を有する電子計算機２１０で構築することができる。

被告装置１０２の外部記憶装置２０３に格納されるのは、メール配信PG（プログラム）と２２１、メールログ管理PG（プログラム）２２２と、証拠メール出力PG（プログラム）２２３である。そのほか、これらの各処理部の入出力となるデータ（署名用秘密鍵２１１、ログ真正性保証データ２１２）などが格納される。なお、署名用秘密鍵２１１はセキュリティの観点から特に厳重な管理が求められる。そのため、他のデータが格納された外部記憶装置とは異なる耐タンパ性のある装置内に格納することが望ましい。

被告弁護人装置１０３、原告弁護人装置１０５も、被告装置１０２と同様の構成を備える。ただし、被告弁護人装置１０３の外部記憶装置には、証拠データ開示PG（プログラム）と、キーワードチェックPG（プログラム）が格納される。また、原告弁護人装置１０５には、証拠データ開示要求PG（プログラム）と、キーワードチェック要求PG（プログラム）が格納される。

上記各プログラムは、それぞれの装置において、RAM２０２上にロードされ、CPU２０１により実行され、プロセスとして具現化される。たとえば、被告装置１０２では、メール配信処理部２４１、メールログ管理処理部２４２、証拠メール開示処理部２４３というプロセスが具現化される。

また、本実施形態の説明では、各プログラムは、あらかじめ、外部記憶装置２０３に格納されているものとしたが、必要なときに、FD、CDROMなどの他の記憶媒体または通信媒体であるインターネットなどのネットワークまたはネットワークを伝搬する搬送波を介して、上記外部インターフェイスを介して外部記憶装置２０３またはRAM２０２に導入されてもよい。

図３は、本実施形態において、メールを配信し、その記録を被告装置１０２にメールログとして保管するときの概要を示したフロー図である。
（被告装置１０２での処理）
３０１：はじめ。
３０２：（メール配信PGによる処理）被告のメールクライアント装置（図示せず）から送信されたメールを、指定されたメールアドレスに配信する。
３０３：（メールログ管理PGによる処理）当該配信したメールに対し、真正性を確認可能とするために署名を付与し、ログ真正性保証データ２１２として外部記憶装置に保管する。
３０４：おわり。

なお、上記のステップ３０３で付与する署名は、本実施形態において説明する適切な証拠データの開示方法を実現可能な方法にしたがって付与される。具体的な署名付与方法については、後述するメールログ管理PGの詳細説明中に示す。

図４は、本実施形態において、原告弁護人装置１０５が、被告弁護人装置１０３に対し、キーワード（複数でもよい）を指定して証拠データの開示を要求し、被告弁護人装置１０３が、被告装置１０２が保管する証拠データを、原告弁護人装置１０５に開示するときの概要を示したフロー図である。本実施形態における証拠データとは、被告装置１０２が保管するメールログの中で、キーワードを含むメールであって、さらに当該メールの中に含まれている開示不適切な部分（すなわち、当該係争に関係ない情報であって、開示することが被告にとって不利益になる情報に相当する部分）を不開示にしたデータのことである。
（原告弁護人装置１０５での処理）
４０１：はじめ。
４０２：（証拠データ開示要求PGによる処理）被告弁護人装置１０３に対し、キーワード（複数でもよい）を指定して証拠データの開示を要求する。
（被告弁護人装置１０３での処理）
４０３：（証拠データ開示PGによる処理）被告装置１０２に対し、原告弁護人装置１０５から指定されたキーワードを送信する。
（被告装置１０２での処理）
４０４：（証拠データ出力PGによる処理）被告装置１０２が保管するメールログの中で、指定されたキーワードを含むメールであって、さらに当該メールの中に含まれている開示不適切な部分（すなわち、当該係争に関係ない情報であって、開示することが被告にとって不利益になる情報に相当する部分）を不開示にしたデータを証拠データとして被告弁護人装置１０３に送信する。また、キーワードチェック用データを被告弁護人装置１０３に送信する。
（被告弁護人装置１０３での処理）
４０５：被告装置１０２から送信された証拠データを、原告弁護人装置１０５に開示する。また、キーワードチェック用データを被告弁護人装置１０３の外部記憶装置に保管する。
（原告弁護人装置１０５での処理）
４０６：被告弁護人装置１０３から開示された証拠データを受け取る。
４０７：おわり。

なお、上記のステップ４０４で出力するキーワードチェック用データの具体的な内容については、後述する証拠データ出力PGの詳細説明中に示す。

図５は、本実施形態において、証拠データを受け取った原告弁護人装置１０５が、当該証拠データに含まれる不開示部分について疑義を持ったときに、被告弁護人装置１０３に対し確認するとき、すなわち不開示部分に指定キーワードが含まれているかいないかのチェックを求めるとき、の概要を示したフロー図である。
（原告弁護人装置１０５での処理）
５０１：はじめ。
５０２：（キーワードチェック要求PGによる処理）被告弁護人装置１０３に対し、証拠データとキーワードを指定し、当該証拠データの不開示部分に、指定キーワードが含まれているか否かの確認を要求する。
（被告弁護人装置１０３での処理）
５０３：（キーワードチェックPGによる処理）原告弁護人装置１０５から送られてきた、証拠データ、キーワードと、ステップ４０３で保管してあるキーワードチェック用データを用いて、当該証拠データの不開示部分に、指定キーワードが含まれているか否かをチェックし、結果を原告弁護人装置１０５に送信する。
（原告弁護人装置１０５での処理）
５０４：被告弁護人装置１０３から送信されたチェック結果を受信する。
５０５：おわり。

なお、上記のステップ５０３における指定キーワードが含まれているか否かのチェック方法の詳細については、後述するキーワードチェックPGの詳細説明中に示す。

上述に概要を示した一連の証拠データの開示方法は、適切な証拠開示ができる方法であることが望ましい。たとえば、もし開示した証拠データが不十分である（隠している、改ざんされているなど）とみなされれば、裁判で不利な状況になる可能性が高い。また、これを避けるために、求められる以上のデータを証拠データとして提出してしまうと、被告にとって重要な機密情報を原告にさらす結果となり、不利益をこうむる可能性がある。したがって、証拠データの開示システムは、以下の３つ要件を満たすことが望まれる。
（要件１）開示部分に改ざんがない。
（要件２）必要な情報が抜けなく入っている。
（要件３）不開示部分に原告が指定したキーワードが含まれない。

本実施形態においては、上記の各要件を満たす証拠データの開示方法として適用しうる方法を開示する。

どのように実現するかを説明するために、以下、被告装置１０２で動作するメールログ管理PGと、証拠データ出力PG、被告弁護人装置１０３で動作する、キーワードチェックPGの詳細について述べる。

図６は、被告装置１０２で動作するメールログ管理PGの処理フローの詳細を示している。
６０１：はじめ。
６０２：配信したメールを単語単位に分割する（以降、配信したメールを、n個の単語M_1,...,M_nから構成されるものとする）。
６０３：ステップ６０２で分割された単語をブロックとして特許文献１記載の署名方法にしたがって署名を付与する。すなわち、n個の乱数R_1,...,R_nを生成し、単語M_iと乱数R_iを結合したデータのハッシュ値H_i=h(M_i||R_i)を算出し、H_1,...,H_nを結合したデータに対して、署名値を生成する。
６０４：単語単位に分割されたメールと、ステップ６０３で付与された署名（署名値および乱数R_1,...,R_n）を、ログ真正性保証データ２１２として保管する。
６０５：ハッシュ値H_iと、単語M_iとの対応を示すテーブルデータを作成し、保管する。
６０６：おわり。

上記ステップ６０３で付与する署名は、例えばRSA署名、DSA署名、ECDSA署名など、公知の公開鍵暗号技術に基づいて構成された署名方法を用いて生成すればよい。また、ヒステリシス署名(hysteresis signature)と呼ばれる、過去の署名生成記録を反映させながら、署名を付与する方法を用いてもよい。ヒステリシス署名を用いると、被告装置１０２内に保管された署名つきのメールデータの間に連鎖関係が構築されるため、連続して送信された２つのメールの間に、あたかも別のメールが存在したかのような不正（ログの改ざん）を、あとから、行うことが著しく困難になるなどのセキュリティ上のメリットが得られる。ヒステリシス署名については、たとえば、http://www2.nict.go.jp/so/f486/shuppan/kihou-journal/journal-vol52no1.2/03-11.pdfに詳しい。

また、本実施形態の説明においては、上記ステップ６０２で、メールを単語単位に分割した例を示したが、これとは異なる単位に分割してもよい。具体的には、証拠データとして開示する際に不開示とする可能性がある部分を考慮して、適切に分割してもよい。たとえば、助詞が単独で不開示とされる可能性が少ないことを考慮すれば、文節単位に区切ってもよい。また、メールの内容が、自然言語ではなく、バイナリデータをテキスト表現したデータであったような場合には、一文字単位に区切ってもよい。あるいは、メールが、XMLなどのタグによって構造化されたデータ形式であれば、タグ単位に分割するようにしてもよい。

図７は、被告装置１０２で動作する証拠データ出力PGのキーワードが指定されたときの処理フローの詳細を示している。
７０１：はじめ。
７０２：被告装置１０２が保管するメールログの中で、指定されたキーワードを含むメールを検索する。
７０３：検索されたメール各々に対し、開示不適切な部分(単語ブロック)を特定する。
７０４：検索されたメール各々に対し、開示不適切な部分(単語ブロック)については、H_i=h(M_i||R_i)を算出しH_iを、当該部分に相当する証拠データとして被告弁護人装置１０３に送信し、その他の部分については、M_iとR_iを当該部分に相当する証拠データとして被告弁護人装置１０３に送信する。
７０５：検索されたメール各々に対し、ステップ６０５で作成されたテーブルデータを、キーワードチェック用データとして被告弁護人装置１０３に送信する。
７０６：おわり。

図８は、被告弁護人装置１０３で動作するキーワードチェックPGの処理フローの詳細を示している。
８０１：はじめ。
８０２：原告弁護人装置１０５から、キーワードチェック対象となる証拠データとキーワードを受信する。
８０３：ステップ７０５で当該証拠データに対するキーワードチェック用データとして被告装置１０２から送信されたテーブルデータを参照し、不開示部分に対する証拠データであるH_iに対応する単語M_iを検索する。
８０４：検索された単語M_iが、原告弁護人装置１０５から送られてきたキーワードと一致するか否かを調べ、結果を原告弁護人装置１０５に送信する。
８０５：おわり。

以上の手順にしたがって作成された証拠データは、前述のステップ４０５で、原告弁護人装置１０５に開示される。原告弁護人装置１０５は、特許文献１記載の方法に従い、一部が不開示であっても、開示部分の真正性を確認可能である。したがって要件１を満たす。また、ブロック分割がキーワードにヒットするような単位となっていること、テーブルデータが適切に作成されていること、被告弁護人が信頼できること、という前提条件の下では、原告側はキーワードチェックが可能であるので、要件２，３も満たす。
（第２の実施形態）
第１の実施形態においては、被告弁護人が信頼できるなどの前提条件の下で、電子データの真正性が確認可能であり、非開示部分に開示すべき情報が含まれていないことを確認可能な、電子的に作成・保管された証拠データの開示方法について述べた。

本実施形態の説明においては、第１の実施形態とは異なり、被告弁護人が信頼できるとは限らない状況においても証拠データに不適切な開示箇所が含まれないことを確認可能な方法について説明する。

本実施形態の説明に従った証拠データの開示方法においては、証拠データを開示する前に、原告の弁護人と、被告の弁護人が協力して、開示部分を決定した後に、その決定にしたがって証拠データを開示する。なお、本実施形態においては、原告の弁護人には、被告の保管する各種記録について守秘義務があるものとする。すなわち、原告の弁護人は、証拠データの開示箇所の決定の過程において知りえた情報のうち、最終的な証拠データに含まれない部分については、原告に対しても漏らさないものとする。

本実施形態の、システムの概略構成（図１）、各装置の概略構成（図２）、メール配信記録の保管（図３）については、第１実施形態と同様である。

原告弁護人装置１０５が、被告弁護人装置１０３に対し、キーワード（複数でもよい）を指定して証拠データの開示を要求するときの処理フローの概要は、図４と基本的に同様であるが、ステップ４０４以降のステップは以下のように変更される。
４０４’：（証拠データ出力PGによる処理）被告装置１０２が保管するメールログの中で、指定されたキーワードを含むメールを被告弁護人装置１０３に送信する。
（被告弁護人装置１０３での処理）
４０５’：被告装置１０２から送信されたメールの各部分に対し、開示、非開示の予定を示すフラグを設定し、メール（不開示予定部分を含む）とフラグ情報を、原告弁護人装置１０５に送信する。
（原告弁護人装置１０５での処理）
４０６’：被告弁護人装置１０３から送信されたメールとフラグ情報を確認し、フラグ情報に示された開示、非開示部分が妥当であるかどうかを判断する。もし妥当でなければ被告弁護人と再度交渉後、フラグ情報を更新する。
４０７’：フラグ情報のハッシュ値と、被告がメール保管時に署名対象としたデータ（第１実施形態におけるH_1,...H_nを結合したデータに相当）に対し、原告弁護人の署名を付与し、被告弁護人装置１０３に送信する。
（被告弁護人装置１０３での処理）
４０８’：原告弁護人の署名が付与されたフラグ情報で不開示が指定された箇所について、不開示とした（署名付き）メールを作成し、これと原告弁護人の署名付きフラグ情報を証拠データとして原告弁護人装置１０５に開示する。
４０９’：おわり。

本実施形態に従えば、証拠データを受け取った原告弁護人は、フラグ情報に付与された自らの署名の確認と、フラグ情報での指定と証拠データの開示・不開示箇所との対応の確認により、不開示箇所の妥当性をチェックできる。したがって、第１の実施形態の説明中の図５に示した、キーワードが含まれているかいないかのチェックは不要となる。また、不開示箇所の決定に、原告弁護人が関与しているため、被告弁護人が必ずしも信用できるとは限らない状況であっても、被告側が係争に関る情報を隠すなどの不正を行っていないことが原告側にとって確認できるため、好ましい。

なお、本実施形態においては、被告弁護人が、原告弁護人と協力して、非開示箇所を決定する場合について説明したが、これとは異なり、原告弁護人ではない信頼できる第三者（例：裁判官）が、被告弁護人に協力して非開示箇所を決定してもよい。この場合、被告側から見ると、被告装置１０２内の機密情報を、原告側（原告弁護人）に開示することなく適切な証拠データを開示できるため、好ましい。この場合、上記のステップ４０６’、４０７’の処理は、信頼できる第三者の装置（例：裁判官装置１０６）が行えばよい。
（第３の実施形態）
第２の実施形態においては、被告弁護人が、原告弁護人と協力して、非開示箇所を決定することで、被告弁護人が必ずしも信用できるとは限らない状況であっても、被告側が係争に関る情報を隠すなどの不正を行っていないことが原告側にとって確認できるようにしていた。

本実施形態では、原告側が、被告側から開示された証拠データに疑義があるとき（不開示箇所に指定キーワードが含まれている可能性があるとき）に、原告弁護人と被告弁護人が協力することによって、確認可能な方法を示す。

本実施形態に従えば、第２の実施形態とは異なり、原告弁護人に対して不開示部分を含むメール全体を見せることなく、不開示箇所に指定キーワードが含まれているか否かを確認できるため、被告側にとって好ましい。

原告弁護人装置１０５が、被告弁護人装置１０３に対し、キーワード（複数でもよい）を指定して証拠データの開示を要求するときの処理フローの概要は、図４と基本的に同様であるが、キーワードチェック用データの内容および扱いが異なる。キーワードチェック用データは、図７に示したものとは異なり、ステップ７０５を以下のように変更したものとする。
７０５’：検索されたメール各々に対し、開示不適切な部分と開示適切な部分の両方の、単語ブロック(M_i)と乱数(R_i)を暗号化したデータを計算し、この暗号化されたデータと、復号に必要なデータを、キーワードチェック用データとして被告弁護人装置１０３に送信する。

また、このキーワードチェック用データを受け取った被告弁護人装置１０３は、これを次のように処理する。具体的には、ステップ４０５を次のように変更する。
４０５’’：被告装置１０２から送信された証拠データを、原告弁護人装置１０５に開示する。また、キーワードチェック用データのうち、暗号化されたデータを、原告弁護人装置１０５に開示し、復号に必要なデータを被告弁護人装置１０３の外部記憶装置に保管する。

このキーワードチェック用データを使ったキーワードチェックフローの概要は、基本的に図５と同様であるが、ステップ５０３以降が下記のように変更される。
（被告弁護人装置１０３での処理）
５０３’：（キーワードチェックPGによる処理）ステップ４０３で保管してあるキーワードチェック用データのうち、原告弁護人装置１０５から送られてきた、証拠データの不開示箇所を復号するために必要なデータを原告弁護人装置１０５に送信する。
（原告弁護人装置１０５での処理）
５０４’：被告弁護人装置１０３から送信されたデータを用い不開示箇所を復号し、指定キーワードが含まれているか否かを確認する。
５０５’：おわり。

ここで、ステップ７０５’における暗号化方法は、たとえば、単語ブロック(M_i)と乱数(R_i)の排他的論理和を計算することによって行えばよい。この場合、復号に必要なデータは乱数(R_i)になる。

あるいは、単語ブロック(M_i)と乱数(R_i)を結合したデータを、秘密分散法を用いて、複数に分散してもよい。たとえば、2-out-of-3秘密分散法を用いて、データを３つのシェアに分散し、このうちのひとつを原告弁護人装置１０５に開示する暗号化されたデータとみなし、他の一つを被告弁護人装置１０３の外部記憶装置に保管される復号に必要なデータとみなせばよい。このようにしておくと、暗号化した場合と同様、原告弁護人装置１０５と被告弁護人装置１０３が協力すれば、もとの単語ブロックが復元されるため、不適切な不開示があったかどうかを確認できる。さらに残るもうひとつシェアを、裁判官装置１０６が保管するようにすれば、被告弁護人装置１０３なしでも、裁判官装置１０６と原告弁護人装置１０５が協力すれば、もとの単語ブロックが復元され、不適切な不開示があったかどうかを確認できるため、好ましい。

本実施形態の説明では、原告弁護人と被告弁護人が協力することによって、不開示箇所にキーワードが含まれているか否かを確認する方法を示したが、これとは異なり、信頼できる第三者（例：裁判官など）が確認するようにしてもよい。これを実現するためには、たとえば、ステップ７０５’における暗号化処理を、信頼できる第三者の公開鍵を使って、公開鍵暗号技術(例：RSA暗号など)に基づいて暗号化すればよい。この場合、キーワードチェック用データとして、被告弁護人装置１０３の外部記憶装置に保管される、復号に必要なデータは特にない（信頼できる第三者だけが保持する、信頼できる第三者の秘密鍵があれば、復号可能である）。
（第４の実施形態）
上記第１の実施形態は、被告弁護人が信頼できるなどの前提条件の下で、電子データの真正性が確認可能な方法であった。また、上記の第２，３の実施形態においては、少なくとも疑義の生じた不開示部分について、原告弁護人がその部分の情報を知りえた。

本実施形態においては、被告弁護人が原告側にとって必ずしも信頼できるとは限らない状況において、被告側は原告側（原告、原告弁護人）に不開示部分の情報を知らせることなく、原告側が当該不開示部分に指定キーワードが含まれていないことを確認可能な方法について説明する。

原告弁護人装置１０５が、被告弁護人装置１０３に対し、キーワード（複数でもよい）を指定して証拠データの開示を要求するときの処理フローの概要は、図４と基本的に同様であるが、ステップ４０４で被告弁護人装置１０３に送信されるキーワードチェック用データの内容が異なる。キーワードチェック用データは、図７に示したものとは異なり、ステップ７０５を以下のように変更したものとする。
７０５’’：検索されたメール各々に対し、開示不適切な部分の乱数(R_i)をキーワードチェック用データとして被告弁護人装置１０３に送信する。

このキーワードチェック用データを使ったキーワードチェックフローの概要は、基本的に図５と同様であるが、ステップ５０３以降が下記のように変更される。
（被告弁護人装置１０３での処理）
５０３’’：（キーワードチェックPGによる処理）ステップ４０３で保管してあるキーワードチェック用データである乱数(R_i)を、原告弁護人装置１０５に送信する。
（原告弁護人装置１０５での処理）
５０４’’：指定キーワードと、被告弁護人装置１０３から送信された乱数とを結合したデータのハッシュ値を計算し、これが、証拠メールの不開示部分に含まれるハッシュ値(H_i)と一致するか否かをチェックする。
５０５’’：おわり。

上記ステップ５０４’’で、ハッシュ値が一致すれば不開示部分に指定キーワードが含まれていたことを意味する。以上の一連のステップにおいて、不開示部分に関する情報で、被告側から、原告側に送信された情報は、ハッシュ値(H_i)と乱数(R_i)だけであり、単語(M_i)は送信されていないことに注意を要する。ハッシュ値を算出するときに用いたハッシュ関数の一方向性により、ハッシュ値(H_i)と乱数(R_i)から単語(M_i)を復元することは著しく困難であるから、本実施例に示した方法によれば、被告側は原告側（原告、原告弁護人）に不開示部分の情報を知らせることなく、原告側が当該不開示部分に指定キーワードが含まれていないことを確認可能である。

さらに、図３に示したメール配信記録の保管の際に、あらかじめ乱数に対しても署名やタイムスタンプを付与して保管しておき、ステップ７０５’’において、キーワードチェック用データとして乱数を、被告弁護人装置１０３に送信する際に、この乱数に対する署名やタイムスタンプもキーワードチェック用データに含めるようにしておくと、被告側による、乱数に関する不正行為（例：ステップ６０３で生成した乱数と、異なる乱数をステップ７０５’’で送信するなど）を防ぐことができ、好ましい。

なお、本実施形態の説明においては、原告弁護人装置１０５において、キーワードチェックを行う例を示したが（ステップ５０４’’）、これとは異なり、信頼できる第三者機関（例：裁判官など）がキーワードチェックを行うようにしてもよい。

以上に説明した、第１，３，４の実施形態においては、キーワードチェック用データを、原告弁護人装置１０５から、キーワードチェック要求があってから計算する例を示したが、これと異なっていてもよい。たとえば、被告装置１０２が、メールデータを保管するときに、キーワードチェック用データも生成するようにしてもよい。このように、キーワードチェック要求以前に、キーワードチェック用データを生成するようにすることで、被告側がチェック要求されたキーワードにあわせた不正を行うことが困難になるため、好ましい。さらには、生成されたキーワードチェック用データを保管する第三者機関を設けてもよい。このようにすると、原告側は、被告側に直接問い合わせることなく、不開示部分に指定キーワードが含まれているか否かを確認可能となり、効率がよい。また、第３，４の実施形態においては、キーワードチェック用データに単語(M_i)自体は含まれないため、第三者機関がキーワードチェック用データを保管する場合であっても、機密情報漏洩の危険性は非常に少ない。

また、上記各実施形態は、適宜組み合わせて、実施することも可能である。

第１実施形態を実現するネットワークシステムの概略構成図である。第１実施形態における被告装置１０２の概略構成を示した図である。第１実施形態において、配信したメールをメールログとして保管するときの概要を示したフロー図である。第１実施形態において、証拠データの開示の概要を示したフロー図である。第１実施形態において、キーワードチェックの概要を示したフロー図である。第１実施形態において、被告装置１０２で動作するメールログ管理PGの処理フローの詳細を示した図である。第１実施形態において、被告装置１０２で動作する証拠データ出力PGの処理フローの詳細を示した図である。第１実施形態において、被告弁護人装置１０３で動作するキーワードチェックPGの処理フローの詳細を示した図である。

符号の説明

１０１：ネットワーク、１０２：被告装置、１０３：被告弁護人装置、１０４：原告装置、１０５：原告弁護人装置、１０６：裁判官装置。

Claims

証拠データの開示を行う被告が利用する被告装置における、電子的に保管されたデータの開示方法であって、
社会活動の管理を電子的に行う際に利用する装置やシステムによって記録された情報であって、文書、動画、静止画、写真、音データ（音楽、音声）などあらゆるマルチメディアデータのいずれかひとつ、または、これらのうちの複数を組み合わせたものとして記録された情報を含む活動記録を作成するステップと、
前記活動記録を複数のブロックに分割し、前記複数のブロックの各々に対し、乱数を生成し、前記複数のブロックの各々と、それに対して前記生成された乱数とを、結合したデータのハッシュ値を算出し、前記算出されたハッシュ値に対し、電子署名を付与するステップと、
前記ブロック単位に分割された活動記録と、前記電子署名を保管するステップと、
指定されたキーワードを含む証拠データの開示要求を受け付け、前記保管された活動記録の中から、前記指定されたキーワードを含むデータを検索し、前記検索されたデータから、指定された不開示データの前記ハッシュ値を算出するとともに、当該ハッシュ値の算出元のデータである前記ブロックおよび前記乱数を取り除く、不開示処理をし、前記電子署名とともに、前記証拠データとして出力するステップと、
前記証拠データに含まれる不開示部分に、前記指定されたキーワードが含まれているか否かを確認するためのデータであって、前記複数のブロックの各々と、前記算出されたハッシュ値との対応表であるキーワードチェック用データを生成するステップと、
を有することを特徴とする、
電子的に保管されたデータの開示方法。
請求項１記載の電子的に保管されたデータの開示方法であって、
前記キーワードチェック用データは、前記証拠データに含まれる不開示部分に、前記指定されたキーワードが含まれているか否かを確認するためのデータであって、前記複数のブロックの各々と、前記生成された乱数とを、暗号化したデータである、
ことを特徴とする、
電子的に保管されたデータの開示方法。
請求項１記載の電子的に保管されたデータの開示方法であって、
前記キーワードチェック用データは、前記証拠データに含まれる不開示部分に、前記指定されたキーワードが含まれているか否かを確認するためのデータであって、前記複数のブロックの各々に対して前記生成された乱数である、
ことを特徴とする、
電子的に保管されたデータの開示方法。
請求項３記載の電子的に保管されたデータの開示方法であって、
前記キーワードチェック用データを生成するステップは、さらに、
前記生成された乱数に対する電子署名を付与するステップを含む、
ことを特徴とする、
電子的に保管されたデータの開示方法。
電子的に保管されたデータの開示方法であって、
データを保管する被告装置において、
社会活動の管理を電子的に行う際に利用する装置やシステムによって記録された情報であって、文書、動画、静止画、写真、音データ（音楽、音声）などあらゆるマルチメディアデータのいずれかひとつ、または、これらのうちの複数を組み合わせたものとして記録された情報を含む活動記録を作成するステップと、
前記活動記録を複数のブロックに分割し、前記複数のブロックの各々に対し、乱数を生成し、前記複数のブロックの各々と、それに対して前記生成された乱数とを、結合したデータのハッシュ値を算出し、前記算出されたハッシュ値に対し、電子署名を付与するステップと、
前記ブロック単位に分割された活動記録と、前記電子署名を保管するステップと、
を有し、
証拠データを開示する被告弁護人装置において、
原告弁護人装置から、証拠データの開示要求を受け付け、
前記被告装置において保管された活動記録の中から、前記開示要求に該当するデータを選択し、前記選択されたデータの各部分に対し、被告弁護人に指定された、開示すべきか、開示すべきでないかを特定するフラグ情報を、原告弁護人装置に送信するステップと、
原告弁護人装置から、原告弁護人装置の署名が付与された前記フラグ情報または前記フラグ情報を原告弁護人装置が変更したフラグ情報を受信するステップと、
前記原告弁護人装置の署名付きフラグ情報にしたがって、前記選択されたデータから、指定された不開示データの前記ハッシュ値を算出するとともに、当該ハッシュ値の算出元のデータである前記ブロックおよび前記乱数を取り除く、不開示処理された前記選択されたデータと、前記被告装置において付与された電子署名とを、証拠データとして開示するステップと、
を有し、
証拠データの開示を要求する原告弁護人装置において、
証拠データの開示要求を送信するステップと、
被告弁護人装置から前記フラグ情報を受信するステップと、
原告弁護人により、前記フラグ情報によって特定された開示または不開示の指定が妥当でないと指定された場合に、当該指定に基づき前記フラグ情報を変更するステップと、
前記フラグ情報に、署名を付与するステップと、
前記署名付きフラグ情報を送信するステップと、
を有することを特徴とする、
電子的に保管されたデータの開示方法。