JP5179319B2 - 電子文書管理装置および電子文書管理方法 - Google Patents

Description

本発明は、電子文書の真正性の保証をおこなう電子文書管理装置および電子文書管理方法に関し、特に電子署名の効率的付与が可能な電子文書管理装置および電子文書管理方法に関する。

電子文書は内容の変更が容易であることから、電子文書が正規の作成者によるものか、正規の作成者以外の者による改変がないかを確かめることが容易でない。
そこで、従来から、電子文書の作成者の保証と、作成された電子文書の改ざん防止を目的とした技術として電子署名が知られている。電子署名をおこなうことで、作成者を含めて電子文書の改ざんがされていないことを証明可能にする。

しかし、電子文書は、変更が容易であり、また大量のデータを容易に扱うことができるという性質から、データの更新があるのが普通である。
そこで、電子署名の対象となる文書を構成要素に分割し、構成要素ごとに電子署名を付与することがおこなわれている。

しかし、電子文書のデータ量が増大し構成要素が多くなると電子署名を付与するときの処理量が増大する。また、電子署名を検証する作業量も増大する。
そこで、分割した構成要素についてハッシュ値を計算し、計算したハッシュ値を結合したデータに対し電子署名を付与する技術がある（たとえば、特許文献１参照）。
特開２００５−５１７３４号公報

電子文書を扱う範囲は今後ますます増加するとともに、電子文書を修正、訂正、追加または削除などの改版をする要求も増していく。改版があっても、電子文書に対して十分な真正性の保証の確保をはかると同時に、保証をするための処理量の軽減が求められる。

しかし、従来の技術では分割した構成要素が改版により変化する場合には、ハッシュ値は再計算され、再計算したハッシュ値を結合したデータに対して新たに電子署名が付与されることとなる。このような処理をする際には、改版後の構成要素を揃えて電子署名を付与することとなり、ハッシュ値の生成、電子署名の付与の処理時間は軽減されない。

本発明はこのような点に鑑みてなされたものであり、電子文書の改版時の処理負担軽減ができる電子文書管理装置および電子文書管理方法を提供することを目的とする。

本発明では上記課題を解決するために、複数の構成要素からなる電子文書を真正性保証可能に管理する電子文書管理装置であって、２以上の電子文書の構成要素を一群にして取得する構成要素取得手段と、取得した一群の構成要素を記録可能な電子文書記録手段と、前記構成要素にユニークな識別情報を付与する識別情報付与手段と、前記構成要素の各々についてハッシュ値を生成するハッシュ値生成手段と、生成した前記各ハッシュ値を結合したデータに対して電子署名を付与する電子署名付与手段と、一群の前記構成要素に含まれる一以上の前記構成要素により構成される一の電子文書ごとの構成を表す構成情報を受け付ける構成情報受付手段と、前記構成情報に基づいて前記一の電子文書ごとに、前記識別情報と前記ハッシュ値と前記電子署名との対応を関係付けた管理情報を生成する管理情報生成手段と、前記一の電子文書を構成する構成要素ごとの改版を指示する改版情報を受け付ける改版情報受付手段と、前記一の電子文書の構成要素に改版があった場合に、改版となる構成要素の識別情報と、前記改版となる構成要素の各々についてのハッシュ値と、生成した前記各ハッシュ値を結合したデータに対しての前記電子署名との対応を関係付けた更新管理情報で、前記管理情報を更新する管理情報更新手段と、を備えたことを特徴とする電子文書管理装置が提供される。

このような電子文書管理装置によれば、構成要素取得手段により２以上の電子文書の構成要素が一群にして取得される。電子文書記録手段により、取得された一群の構成要素が記録される。識別情報付与手段により、構成要素にユニークな識別情報が付与される。ハッシュ値生成手段により、構成要素の各々についてハッシュ値が生成される。電子署名付与手段により、生成した各ハッシュ値を結合したデータに対して電子署名が付与される。構成情報受付手段により、一以上の構成要素により構成される一の電子文書の構成を表す構成情報が受け付けられる。管理情報生成手段により、構成情報に基づいて一の電子文書ごとに、識別情報とハッシュ値と電子署名との対応を関係付けた管理情報が生成される。改版情報受付手段により、一の電子文書を構成する構成要素ごとの改版を指示する改版情報が受け付けられる。管理情報更新手段により、一の電子文書の構成要素に改版があった場合に、改版となる構成要素の識別情報と、改版となる構成要素の各々についてのハッシュ値と、生成した前記各ハッシュ値を結合したデータに対しての電子署名との対応を関係付けた更新管理情報で、管理情報が更新される。

また、本発明では上記課題を解決するために、複数の構成要素からなる電子文書を真正性保証可能に管理する電子文書管理装置であって、２以上の電子文書の構成要素を一群にして取得する構成要素取得手段と、取得した一群の構成要素を記録可能な電子文書記録手段と、前記構成要素にユニークな識別情報を付与する識別情報付与手段と、前記構成要素の各々についてハッシュ値を生成するハッシュ値生成手段と、生成した前記各ハッシュ値を結合したデータに対して外部認証機関にタイムスタンプの発行を依頼し、前記外部認証機関から前記タイムスタンプの発行を受けるタイムスタンプ発行依頼手段と、一群の前記構成要素に含まれる一以上の前記構成要素により構成される一の電子文書ごとの構成を表す構成情報を受け付ける構成情報受付手段と、前記構成情報に基づいて前記一の電子文書ごとに、前記識別情報と前記ハッシュ値と前記外部認証機関から発行を受けた前記タイムスタンプとの対応を関係付けた管理情報を生成する管理情報生成手段と、前記一の電子文書を構成する構成要素ごとの改版を指示する改版情報を受け付ける改版情報受付手段と、前記一の電子文書の構成要素に改版があった場合に、改版となる構成要素の識別情報と、前記改版となる構成要素の各々についてのハッシュ値と、生成した前記各ハッシュ値を結合したデータに対しての前記タイムスタンプとの対応を関係付けた更新管理情報で、前記管理情報を更新する管理情報更新手段と、を備えたことを特徴とする電子文書管理装置が提供される。

このような電子文書管理装置によれば、構成要素取得手段により２以上の電子文書の構成要素が一群にして取得される。電子文書記録手段により、取得された一群の構成要素が記録される。識別情報付与手段により、構成要素にユニークな識別情報が付与される。ハッシュ値生成手段により、構成要素の各々についてハッシュ値が生成される。タイムスタンプ発行依頼手段により、生成した各ハッシュ値を結合したデータに対して外部認証機関にタイムスタンプの発行を依頼し、外部認証機関からタイムスタンプの発行を受ける。構成情報受付手段により、一以上の構成要素により構成される一の電子文書の構成を表す構成情報が受け付けられる。管理情報生成手段により、構成情報に基づいて一の電子文書ごとに、識別情報とハッシュ値と外部認証機関から発行を受けたタイムスタンプとの対応を関係付けた管理情報が生成される。改版情報受付手段により、一の電子文書を構成する構成要素ごとの改版を指示する改版情報が受け付けられる。管理情報更新手段により、一の電子文書の構成要素に改版があった場合に、改版となる構成要素の識別情報と、改版となる構成要素の各々についてのハッシュ値と、生成したハッシュ値を結合したデータに対してのタイムスタンプとの対応を関係付けた更新管理情報で、管理情報が更新される。

開示の電子文書管理装置によれば、電子文書の改版時の処理負担軽減ができる。

以下、本発明の実施の形態を図面を参照して詳細に説明する。まず、本実施の形態の概要について説明し、その後、本実施の形態の具体的な内容を説明する。
図１は、実施の形態の電子文書管理装置の概要を示す図である。図１に示す電子文書管理装置１００は、電子文書に対して電子署名を付与し、電子文書と電子文書に対する電子署名との対応関係を管理情報として生成する。電子文書に改版があった場合は、改版部分の電子文書に対して電子署名を付与し、改版部分の電子文書と改版部分の電子文書に対する電子署名との対応関係を生成する。改版前の管理情報に、改版部分の対応関係を反映させて管理情報を更新する。電子文書管理装置１００は、電子文書記録手段１、識別情報付与手段２、ハッシュ値生成手段３、電子署名付与手段４、構成情報受付手段５、管理情報生成手段６、改版情報受付手段７および管理情報更新手段８を有する。

電子文書記録手段１は、管理対象となる電子文書を所定の構成要素に分割して記録する。あるいは、予め複数の構成要素からなる電子文書を一群の電子文書として記録する。
識別情報付与手段２は、電子文書の各構成要素に対してシステム内で一意に定まるユニークな識別情報を付与する。ハッシュ値生成手段３は、電子文書の各構成要素に対して所定のハッシュ関数を用いてハッシュ値を生成する。電子署名付与手段４は、電子文書の各構成要素のハッシュ値を結合したデータに対して電子署名を付与する。

構成情報受付手段５は、一以上の構成要素からなる一つの電子文書の構成を表す構成情報を受け付ける。管理情報生成手段６は、一つの電子文書ごとに管理情報を生成する。管理情報は、構成情報により特定した構成要素の識別情報と、その構成要素に対応するハッシュ値およびそのハッシュ値を含む結合データに対する電子署名との対応関係を示す。

改版情報受付手段７は、改版対象となった構成要素からなる一つの電子文書の改版構成を表す改版情報を受け付ける。管理情報更新手段８は、改版対象部分の改版管理情報を生成する。生成した改版管理情報で、改版前の電子文書の管理情報について改版部分を更新する。改版管理情報も管理情報と同様に、構成情報により特定した構成要素の識別情報と、その構成要素に対応するハッシュ値およびそのハッシュ値を含む結合データに対する電子署名との対応関係を示す。

これにより、改版時には改版対象部分についてハッシュ値を生成して電子署名を付与すればよく、改版時に改版となった電子文書のすべてについて改めてハッシュ値を生成して電子署名を付与する必要がないので、電子文書の改版時の処理負担軽減ができる。

以下、実施の形態をより具体的に説明する。
［第１の実施形態］
最初に、第１の実施形態を図面を参照して詳細に説明する。

図２は、第１の実施形態の電子文書管理装置のハードウェア構成を示す図である。電子文書管理装置１００は、ＣＰＵ（Central Processing Unit）１０１によって装置全体が制御されている。ＣＰＵ１０１には、バス１０７を介してＲＡＭ（Random Access Memory）１０２、ハードディスクドライブ（ＨＤＤ：Hard Disk Drive）１０３、通信インタフェース１０４、グラフィック処理装置１０５および入出力インタフェース１０６が接続されている。

ＲＡＭ１０２には、ＣＰＵ１０１に実行させるＯＳ（Operating System）プログラムやアプリケーションプログラムの少なくとも一部が一時的に格納される。また、ＲＡＭ１０２には、ＣＰＵ１０１による処理に必要な各種データが格納される。ＨＤＤ１０３には、ＯＳプログラムやアプリケーションプログラムが格納される。通信インタフェース１０４は、ネットワーク７０に接続されている。

グラフィック処理装置１０５には、モニタ７１が接続されている。グラフィック処理装置１０５は、ＣＰＵ１０１からの命令に従って、画像をモニタ７１の画面に表示させる。入出力インタフェース１０６は、スキャナ７２、キーボード７３、マウス７４やＩＣカードリーダ７５に挿入されたＩＣカード７６から送られてくる信号を、バス１０７を介してＣＰＵ１０１に送信する。また、図示しないＤＭＡＣ（Direct Memory Access Controller）は、スキャナ７２から送られてくる信号を、ＣＰＵ１０１を介さずＲＡＭ１０２やＨＤＤ１０３に送信する。以上のようなハードウェア構成によって、本実施の形態の処理機能を実現することができる。

図３は、第１の実施形態の電子文書管理装置の機能を示すブロック図である。図３に示す文書保管部１７とデータ登録部１０とデータ検証部２０は、電子文書管理装置１００に備えられる。電子文書管理装置１００は、ネットワーク７０を介してＴＳＡ（Time Stamping Authority）認証局１１２と接続する。

文書保管部１７は、データ登録部１０とデータ検証部２０とからアクセスされる。文書保管部１７は、入力データ記憶部１７Ａ、署名データ記憶部１７Ｂ、構成管理情報記憶部１７Ｃ、更新履歴情報記憶部１７Ｄを有する。

データ登録部１０は、電子文書の登録、電子文書の真正性保証のための管理および電子文書の版管理をおこなう。ここで電子文書の真正性保証には、電子文書の署名者および内容を電子署名を用いてする保証と、電子文書の作成日時をタイムスタンプを用いてする保証とがある。データ登録部１０は、データ入力部１１、ハッシュ生成部１２、署名発行部１３、構成管理設定部１４、更新履歴設定部１５およびタイムスタンプ発行依頼部１６を有する。

データ入力部１１は、保管対象となる電子文書、電子文書の構成を表す構成情報、電子文書の改版構成を表す改版情報を入力をする。ここで、電子文書は、必ずしも文字から構成されたテキストデータに限らず、スキャナ７２などの光学読取手段から取り込んだイメージデータ、マイクや音楽再生装置から取り込んだ音声データなどであってもよく、真正性保証のために管理される対象であればデータ形式は問わない。データ入力は、スキャナ７２やマイクなどのデータ変換装置、フラッシュメモリやＣＤ（Compact Disc）、ＤＶＤ（Digital Versatile Disk）などの記憶媒体からデータを読み出すデータ読出装置を入出力インタフェース１０６に接続しておこなう。また、通信インタフェース１０４の接続するネットワークを介してデータ入力をする。入力した電子文書は、所定の構成要素に分割されて入力データ記憶部１７Ａに記憶される。このとき、電子文書の各構成要素に対してシステム内で一意に定まるユニークな識別情報が付与され、各構成要素と併せて各構成要素の対応する識別情報が入力データ記憶部１７Ａに記憶される。

所定の構成要素とは、予め決めたデータ単位である。たとえば、イメージデータであれば、一ページを一つのデータ単位として複数ページで一つの電子文書を構成する。また、帳票などのイメージデータであれば項目ごとのイメージデータを一つのデータ単位として帳票を構成する複数の項目で一つの電子文書を構成する。同様にして、ページデータであれば、データ単位としてページ、文、段落、章などを構成要素とすることができる。また、データベースであれば１レコードを構成要素とすることができる。このように、電子文書の構成要素は、任意のデータ単位とすることができる。一般に構成要素の大きさは、改版の際の追加、削除、変更の対象となるデータ単位とする。

本実施例では、一ページのイメージデータをデータ単位（構成要素）として複数ページからなるイメージデータを電子文書として説明する。
ハッシュ生成部１２は、入力データ記憶部１７Ａに記憶された電子文書について、その構成要素ごとにハッシュ値を生成する。ハッシュ値は、たとえば、既知のハッシュ関数ＭＤ５（Message Digest algorithm ５）などを用いて生成することができる。ハッシュ値は、電子文書を構成する構成要素の数だけ生成される。生成された一群のハッシュ値は、署名データ記憶部１７Ｂに記憶される。

署名発行部１３は、署名データ記憶部１７Ｂからハッシュ生成部１２が生成した一群のハッシュ値を読み出して一つのデータに結合する。そして、結合したデータ（以下、結合データ）について電子署名を発行する。電子署名の発行は、署名者の秘密鍵により結合データを暗号化した署名データと、秘密鍵に対応する復号用の公開鍵が署名者本人のものであることを証明する証明書データとを対にしてなされる。署名データと証明書データは、電子文書を構成する構成要素の一群のハッシュ値とともに署名ファイルとして署名データ記憶部１７Ｂに記憶される。暗号化に用いる秘密鍵は、電子文書管理装置１００内の入出力インタフェース１０６を介して接続するＩＣカードリーダ７５に挿入されたＩＣカード７６に記憶される。ＩＣカード７６に結合データを送信すると、ＩＣカード７６は、内部に記憶されている秘密鍵により結合データを暗号化して署名データを出力する。なお、電子文書管理装置１００のセキュリティ次第では、電子文書管理装置１００内に秘密鍵を記憶して電子文書管理装置１００が結合データを暗号化して署名データを生成するようにしてもよい。この場合、ＩＣカードリーダ７５に挿入されたＩＣカード７６には、認証機関の発行した署名データが格納されており、ＩＣカードへの取得依頼により署名データを取得する。

構成管理設定部１４は、一以上の構成要素からなる電子文書を構成する構成要素の識別情報、構成要素のハッシュ値、構成要素を含む結合データに対する電子署名との対応関係を構成管理情報として設定し、構成管理情報記憶部１７Ｃに記憶する。

更新履歴設定部１５は、電子文書の更新があった場合に更新履歴を設定し、更新履歴情報記憶部１７Ｄに更新履歴を記憶する。
タイムスタンプ発行依頼部１６は、結合データを対象としてタイムスタンプの発行をＴＳＡ認証局１１２に依頼する。ＴＳＡ認証局１１２は、結合データに対するタイムスタンプを発行する。タイムスタンプ発行依頼部１６は、発行されたタイムスタンプをタイムスタンプファイルとして署名データ記憶部１７Ｂに記憶する。なお、ＴＳＡ認証局１１２は、電子文書管理装置１００と通信インタフェース１０４を介してネットワーク接続された一般的な外部認証機関である。ネットワーク接続は、ＳＳＬ（Secure Socket Layer）通信などのセキュリティがある通信プロトコルを用いておこなう。

データ検証部２０は、登録、版管理された電子文書の真正性を検証する。ここで電子文書の真正性の検証には、電子文書の署名者および内容の検証と、電子文書の作成日時の検証とがある。データ検証部２０は、文書取得部２１、データ取得部２２、ハッシュ検証部２３、署名取得部２４、署名検証部２５、構成管理取得部２６、タイムスタンプ取得部２７およびタイムスタンプ検証部２８を有する。

文書取得部２１は、データ検証部２０を代表して文書保管部１７にアクセスする。文書保管部１７にアクセスして検証対象の電子文書の構成要素および検証のための署名データ、構成管理情報を取得する。構成管理情報記憶部１７Ｃより検証対象となる電子文書の最新版の構成管理情報を読み出す。構成管理情報には、検証対象の電子文書を構成する構成要素の識別情報が含まれているので、識別情報をキーとして入力データ記憶部１７Ａに記憶されている構成要素を特定して取得する。また、構成管理情報には電子文書の電子署名が含まれるので、署名データ記憶部１７Ｂに記憶されている署名ファイルを電子署名により特定して取得する。

データ取得部２２は、構成管理情報を参照して、検証対象となる構成要素、検証用データを取得する。
ハッシュ検証部２３は、構成管理情報を参照して構成要素に対応したハッシュ値を署名ファイルから抽出する。また、構成要素から新たにハッシュ値を生成し、署名ファイルから抽出したハッシュ値と比較することでハッシュ値の検証をおこなう。検証の結果、両者が一致すれば改ざんが認められない（真正性あり）こととなり、両者が不一致であれば改ざんが認められた（真正性なし）こととなる。

署名取得部２４は、構成管理情報を参照して構成要素に対応した署名ファイルを取得する。
署名検証部２５は、署名取得部２４が取得した署名ファイルにより署名検証をする。

構成管理取得部２６は、文書取得部２１を介して構成管理情報を取得する。
タイムスタンプ取得部２７は、構成管理情報を参照して構成要素に対応したタイムスタンプファイルを取得する。

タイムスタンプ検証部２８は、構成管理情報を参照して構成要素に対応したタイムスタンプをタイムスタンプファイルから抽出してタイムスタンプの検証をおこなう。
これにより、改版時には改版対象部分についてハッシュ値を生成して電子署名を付与すればよく、改版時に改版となった電子文書のすべてについて改めてハッシュ値を生成して電子署名を付与する必要がないので、電子文書の改版時の処理負担軽減ができる。

また、改版時には改版対象部分についてタイムスタンプを付与すればよく、改版時に改版となった電子文書のすべてについて改めてタイムスタンプを付与する必要がないので、電子文書の改版時の処理負担軽減ができる。

次に、電子文書の初期登録時の様子を図４、図５を用いて説明する。電子文書は、初期登録時に第１版とされる。そして、版毎に管理情報ファイル（構成管理情報）が生成される。図４は、第１の実施形態の電子文書初期登録の概要を示す図である。

文書Ａ（第１版）４１と文書Ｂ（第１版）４２は、初期登録される電子文書である。文書Ａ（第１版）４１、文書Ｂ（第１版）４２毎に署名を付与するよりも、あるまとまった単位（電子文書登録単位）で署名を付与する方が効率がよいので、複数の文書をまとめてから署名を付与する。あるまとまった単位とは、たとえば、スキャナのシートフィーダにセットされた書類単位である。このようにしてまとめて電子文書管理装置１００に取り込まれた電子文書は、各ページ（構成要素）ごとにユニークな識別情報が付与される。また、キーボード７３やマウス７４からの操作入力、あるいは構成定義ファイルなどのファイル入力から文書構成（構成情報）を受け付けて、文書Ａ（第１版）４１は、データＡ−１、データＡ−２、データＡ−３、データＡ−４からなることが登録される。また、同様にして文書Ｂ（第１版）４２は、データＢ−１、データＢ−２、データＢ−３、データＢ−４からなることが登録される。

そして、各構成要素（データＡ−１、データＡ−２、データＡ−３、データＡ−４、データＢ−１、データＢ−２、データＢ−３、データＢ−４）から各々についてハッシュ値（ハッシュＡ−１、ハッシュＡ−２、ハッシュＡ−３、ハッシュＡ−４、ハッシュＢ−１、ハッシュＢ−２、ハッシュＢ−３、ハッシュＢ−４）を生成する。これら一群のハッシュ値４４について署名α（Ｓ１）が付与される。一群のハッシュ値４４と署名α（Ｓ１）とを含んで署名αファイル４３が生成される。署名αファイル４３は、文書Ａ（第１版）４１および文書Ｂ（第１版）４２の付帯構成ファイル、あるいは独立した署名α文書として署名データ記憶部１７Ｂに格納される。

これにより、初期登録した電子文書が大きくても署名付与の対象データを小さくすることができる。また、複数の文書または複数の構成要素に対する署名付与が一回で済むため署名付与のレスポンスが向上する。

図５は、第１の実施形態の電子文書初期登録時の構成管理情報を示す図である。文書Ａ（第１版）構成管理情報ファイル４５は、文書Ａ（第１版）４１の管理情報ファイルを示す。構成要素の識別情報と署名ファイル、ハッシュ値との対応関係が各構成要素ごとに管理される。また、文書Ａ（第１版）４１は初期登録であるので、文書Ａ（第１版）構成管理情報ファイル４５は、第１版として登録される。また、各構成要素が同時に署名を付与されたので、各構成要素は同一の署名ファイルと対応付けされている。文書Ｂ（第１版）構成管理情報ファイル４６は、文書Ｂ（第１版）４２の管理情報ファイルを示す。構成要素の識別情報と署名ファイル、ハッシュ値との対応関係が各構成要素ごとに管理される。また、文書Ｂ（第１版）４２は初期登録であるので、文書Ｂ（第１版）構成管理情報ファイル４６は、第１版として登録される。また、各構成要素が同時に署名を付与されたので、各構成要素は同一の署名ファイルと対応付けされている。また、文書Ａ（第１版）４１と文書Ｂ（第１版）４２の各構成要素は同時に署名を付与されたので、各構成要素は文書が異なっていても同一の署名ファイルと対応付けされている。

次に、電子文書の更新登録時の様子を図６、図７を用いて説明する。電子文書は、更新登録時に前の版の管理情報ファイルが更新され版数アップされる。なお、管理情報ファイル（構成管理情報）は、版毎に生成され、旧版についても記憶保持される。

図６は、第１の実施形態の電子文書更新登録の概要を示す図である。
文書Ａ（第２版）４７は、更新登録される電子文書である。更新登録は更新対象となるページであるデータＡ−２ａ、データＡ−５についてのみにする。データＡ−２ａは、データＡ−２からの差替ページであり、データＡ−５は新規に追加となるページである。この更新対象となるページも複数ページでまとめた電子文書として電子文書管理装置１００に取り込まれる。このようにしてまとめて取り込まれた電子文書は、各ページ（構成要素）ごとにユニークな識別情報が付与される。

そして、各構成要素（データＡ−２ａ、データＡ−５）から各々についてハッシュ値（ハッシュＡ−２ａ、ハッシュＡ−５）を生成する。これら一群のハッシュ値４９について署名β（Ｓ２）が付与される。一群のハッシュ値４９と署名β（Ｓ２）とを含んで署名βファイル４８が生成される。署名βファイル４８は、文書Ａ（第２版）４７の付帯構成ファイル、あるいは独立した署名β文書として署名データ記憶部１７Ｂに格納される。

これにより、更新登録した電子文書の真正性の保証のために、更新のない電子文書を含めた電子文書を署名対象とする必要がない。電子文書の更新時の署名付与の対象データを小さくすることができることから、更新時の署名付与のレスポンスが向上する。

図７は、第１の実施形態の電子文書更新登録時の構成管理情報を示す図である。文書Ａ（第２版）構成管理情報ファイル５０は、文書Ａ（第２版）４７の管理情報ファイルを示す。

キーボード７３やマウス７４からの操作入力、あるいは構成定義ファイルなどのファイル入力から文書構成（改版情報）を受け付けて、文書Ａ（第２版）４７は、データＡ−１、データＡ−２ａ、データＡ−３、データＡ−４、データＡ−５からなることが登録される。文書Ａ（第２版）４７は文書Ａ（第１版）４１を改版する更新登録であるので、文書Ａ（第２版）構成管理情報ファイル５０は、第２版として登録される。また、構成要素により付与された署名が異なるので、各構成要素は構成要素によって異なる署名ファイルが対応付けされる。

なお、文書Ａ（第２版）構成管理情報ファイル５０は、最新版として構成管理情報記憶部１７Ｃに記憶され、文書Ａ（第１版）構成管理情報ファイル４５は、旧版として構成管理情報記憶部１７Ｃに記憶される。

次に、電子文書の署名検証方式を図８を用いて説明する。図８は、第１の実施形態の電子文書の署名検証の概要を示す図である。
文書Ａ（第２版）４７について電子署名の検証をする場合、文書Ａ（第２版）構成管理情報ファイル５０を参照する。文書Ａ（第２版）構成管理情報ファイル５０によれば、文書Ａ（第２版）４７は、データＡ−１、データＡ−２ａ、データＡ−３、データＡ−４、データＡ−５の５つのページから構成されていることがわかる。そのうち、データＡ−１、データＡ−３、データＡ−４については、署名α（Ｓ１）の電子署名が付されていることが、データＡ−２ａ、データＡ−５については署名β（Ｓ２）の電子署名が付されていることがわかる。ここで、文書保管部１７に記憶（管理）されている各ページデータの真正性を検証するため、まず、署名α（Ｓ１）と署名β（Ｓ２）の検証をする。ここで、すべての電子署名が保証されれば、電子署名が保証されていることを前提として各ページデータの検証をする。各ページデータの検証は、文書Ａ（第２版）構成管理情報ファイル５０の対応により各署名ファイルに含まれるハッシュ値と、各ページデータから生成したハッシュ値との比較によりする。ハッシュ値が一致することで各ページデータの真正性が保証される。

次に、スキャナ７２から複数ページの紙媒体からなる文書Ａを取り込み、電子文書Ａとして登録する場合について、電子文書の初期登録時の各機能ブロックの処理をシーケンス図を用いて具体的に説明する。図９は、第１の実施形態の電子文書初期登録のシーケンス図である。

データ入力部１１は、スキャナ７２から文書を読み取り、データＤ１を入力する。また、キーボード７３やマウス７４からの操作入力、あるいは構成定義ファイルなどのファイル入力から文書構成（構成情報）Ｒ１を受け付ける。データＤ１は、ページ単位のイメージデータ（構成要素）に分割（単位分割１１Ａ）される。たとえば、データＤ１が４ページのイメージデータからなる場合には、ページデータＤ１Ａ、ページデータＤ１Ｂ、ページデータＤ１Ｃ、ページデータＤ１Ｄに分割される。

そして、ページ単位のイメージデータ（構成要素）にシステム内でユニークな識別情報を付与（識別情報付与１１Ｂ）する。たとえば、ページデータＤ１Ａには識別情報として通番１２３４５６（Ｎ１Ａ）、ページデータＤ１Ｂには識別情報として通番１２３４５７（Ｎ１Ｂ）、ページデータＤ１Ｃには識別情報として通番１２３４５８（Ｎ１Ｃ）、ページデータＤ１Ｄには識別情報として通番１２３４５９（Ｎ１Ｄ）が付与される。識別情報が付与されたページデータは、文書データベース１８に格納される。

なお、識別情報は、単位分割時に予め予約された識別情報を付与するようにしてもよいし、オペレータが指定するようにしてもよい。また、識別情報の管理を容易にするため通番等の識別番号を自動的に付与するようにしてもよい。また、識別情報は識別番号に限らず、オペレータが文書の特定を容易におこなえるように識別記号などであってもよい。文書構成Ｒ１は、文書Ａを構成するページデータを特定する。これにより、ページデータＤ１Ａ、ページデータＤ１Ｂ、ページデータＤ１Ｃ、ページデータＤ１Ｄは、文書Ａであると判断することができる。

ハッシュ生成部１２は、データ入力部１１が単位分割したページデータ（構成要素）の各々について所定のハッシュ関数（たとえば、ＭＤ５）を用いてハッシュ値を生成（ハッシュ生成１２Ａ）する。たとえば、ページデータＤ１Ａからハッシュａ（Ｈ１Ａ）、ページデータＤ１Ｂからハッシュｂ（Ｈ１Ｂ）、ページデータＤ１Ｃからハッシュｃ（Ｈ１Ｃ）、ページデータＤ１Ｄからハッシュｄ（Ｈ１Ｄ）が生成される。生成されたハッシュ値は、構成管理設定部１４に送信される。

署名発行部１３は、ハッシュ生成部１２が生成した各構成要素に対応する一群のハッシュ値を結合したデータ（結合データ）について電子署名を発行する。電子文書管理装置１００に接続したＩＣカード７６に結合データを送信することで、ＩＣカード７６は内部に記憶した秘密鍵で結合データを暗号化した署名α（Ｓ１）を生成し、証明書２９（証明書データ）を付して電子署名を発行（署名発行１３Ａ）する。たとえば、ハッシュａ（Ｈ１Ａ）、ハッシュｂ（Ｈ１Ｂ）、ハッシュｃ（Ｈ１Ｃ）、ハッシュｄ（Ｈ１Ｄ）の結合データを秘密鍵により暗号化した署名α（Ｓ１）を生成し、証明書２９を付して電子署名を発行する。発行された電子署名の署名データと証明書データは署名ファイルとして、構成管理設定部１４に送信される。あるいは、接続したＩＣカード７６には、認証機関より発行された署名データを保持しており、ＩＣカード７６への取得依頼により署名データＳ１を取得し、証明書２９（証明書データ）を付して電子署名（署名発行１３Ａ）を発行する。

構成管理設定部１４は、データ入力部１１の付与した識別情報と、ハッシュ生成部１２の生成したハッシュ値と、署名発行部１３の発行した署名ファイルとを対応付けて構成管理情報３０を設定（構成管理情報設定１４Ａ）する。設定された構成管理情報３０は、文書データベース１８に格納される。

更新履歴設定部１５は、データ入力部１１が受け付けた文書構成（構成情報）Ｒ１に基づいて更新履歴情報３１を設定（更新履歴情報設定１５Ａ）する。更新履歴情報３１には、改版日時、改版者、改版内容などを含む。設定された更新履歴情報３１は、文書データベース１８に格納される。

文書保管部１７は、文書データベース１８を備え、各種データを格納し保管する。
次に、スキャナ７２から複数ページの紙媒体からなる改版文書を取り込み、電子文書Ａを改版して更新する場合について、電子文書の更新登録時の各機能ブロックの処理をシーケンス図を用いて具体的に説明する。図１０は、第１の実施形態の電子文書更新登録のシーケンス図である。

データ入力部１１は、スキャナ７２から文書を読み取り、データＤ２を入力する。また、キーボード７３やマウス７４からの操作入力、あるいは構成定義ファイルなどのファイル入力から文書構成（改版情報）Ｒ２を受け付ける。データＤ２は、ページ単位のイメージデータ（構成要素）に分割（単位分割１１Ａ）される。たとえば、データＤ２が２ページのイメージデータからなる場合には、ページデータＤ２Ａ、ページデータＤ２Ｂに分割される。

そして、ページ単位のイメージデータ（構成要素）にシステム内でユニークな識別情報を付与（識別情報付与１１Ｂ）する。たとえば、ページデータＤ２Ａには識別情報として通番４５６４５６（Ｎ２Ａ）、ページデータＤ２Ｂには識別情報として通番４５６４５７（Ｎ２Ｂ）が付与される。識別情報が付与されたページデータは、文書データベース１８に格納される。

文書構成（改版情報）Ｒ２は、文書Ａの更新対象となる識別情報と更新内容を特定する。これにより、たとえば、ページデータＤ１ＢをページデータＤ２Ａで差替え、ページデータＤ１Ｄの後にページデータＤ２Ｂを追加する改版であると判断することができる。

ハッシュ生成部１２は、データ入力部１１が単位分割したページデータ（構成要素）の各々について所定のハッシュ関数（たとえば、ＭＤ５）を用いてハッシュ値を生成（ハッシュ生成１２Ａ）する。たとえば、ページデータＤ２Ａからハッシュｅ（Ｈ２Ａ）、ページデータＤ２Ｂからハッシュｆ（Ｈ２Ｂ）が生成される。生成されたハッシュ値は、構成管理設定部１４に送信される。

署名発行部１３は、ハッシュ生成部１２が生成した各構成要素に対応する一群のハッシュ値を結合したデータ（結合データ）について電子署名を発行する。電子文書管理装置１００に接続したＩＣカード７６に結合データを送信することで、ＩＣカード７６は内部に記憶した秘密鍵で結合データを暗号化した署名β（Ｓ２）を生成し、証明書２９（証明書データ）を付して電子署名を発行（署名発行１３Ａ）する。たとえば、ハッシュｅ（Ｈ２Ａ）、ハッシュｆ（Ｈ２Ｂ）の結合データを秘密鍵により暗号化した署名β（Ｓ２）を生成し、証明書２９を付して電子署名を発行する。発行された電子署名の署名データと証明書データは署名ファイルとして、構成管理設定部１４に送信される。

構成管理設定部１４は、データ入力部１１の付与した識別情報と、ハッシュ生成部１２の生成したハッシュ値と、署名発行部１３の発行した署名ファイルとを対応付けて、文書データベース１８から読み出した最新の構成管理情報３０Ａを更新して、改版した構成管理情報３０Ｂを設定（構成管理情報設定１４Ａ）する。設定された構成管理情報３０Ｂは、文書データベース１８に格納される。

更新履歴設定部１５は、データ入力部１１が受け付けた文書構成（改版情報）Ｒ２に基づいて更新履歴情報３１を設定（更新履歴情報設定１５Ａ）する。更新履歴情報３１には、改版日時、改版者、改版内容などを含む。設定された更新履歴情報３１は、文書データベース１８に格納される。

文書保管部１７は、文書データベース１８を備え、各種データを格納し保管する。
次に、電子文書の真正性を検証する場合について、電子文書の検証時の各機能ブロックの処理を図１１から図１３のシーケンスを用いて具体的に説明する。まずは、検証に必要なデータの取得までを説明する。図１１は、第１の実施形態の電子文書検証（データ取得）のシーケンス図である。

文書取得部２１は、文書データベース１８から文書Ａの最新の構成管理情報３０Ａを取得する。最新の構成管理情報３０Ａを参照することで、最新版で更新されたページデータＤ２Ａ、Ｄ２ＢとページデータＤ２Ａ、Ｄ２Ｂに対応する署名ファイルとを取得（最新版文書取得２１Ａ）する。また、改版があった場合には旧版のページデータＤ１ＡからＤ１ＤとページデータＤ１ＡからＤ１Ｄに対応する署名ファイルとを取得（旧版文書取得２１Ｂ）する。さらなる旧版がある場合には、同様にしてすべてのページデータと対応する署名ファイルとを取得する。取得した最新の構成管理情報３０Ａは、構成管理取得部２６に通知される。

構成管理取得部２６は、文書取得部２１を介して最新の構成管理情報３０Ａを取得（構成管理情報取得２６Ａ）する。構成管理取得部２６は、構成管理情報３０Ａの最新版（たとえば、第２版）に関する管理情報からデータ取得部２２に最新版のデータ取得を指示する。データ取得部２２は、構成管理取得部２６の指示に基づいて文書取得部２１から最新版で更新されたページデータＤ２Ａ、Ｄ２Ｂを取得（データ取得２２Ａ）する。

また、構成管理取得部２６は、構成管理情報３０Ａの最新版（たとえば、第２版）に関する管理情報から署名取得部２４に最新版の署名ファイルの取得を指示する。署名取得部２４は、構成管理取得部２６の指示に基づいて文書取得部２１から最新版で更新されたページデータＤ２Ａ、Ｄ２Ｂに対応する署名ファイルを取得（署名取得２４Ａ）する。ここで、取得した署名ファイルには、証明書２９、署名β（Ｓ２）、署名の対象となった一群のハッシュＨ２とが含まれる。一群のハッシュＨ２には、ハッシュｅ（Ｈ２Ａ）、ハッシュｆ（Ｈ２Ｂ）が含まれる。

次に、旧版がある場合には、構成管理取得部２６は、構成管理情報３０Ａの最新版（たとえば、第２版）に関する管理情報から旧版（最新版の一つ改版前）の情報があると判断した場合に、データ取得部２２に旧版（たとえば、第１版）のデータ取得を指示する。データ取得部２２は、構成管理取得部２６の指示に基づいて文書取得部２１から旧版で更新または新規登録されたページデータＤ１ＡからＤ１Ｄを取得（データ取得２２Ｂ）する。

また、構成管理取得部２６は、構成管理情報３０Ａの旧版に関する管理情報から署名取得部２４に旧版の署名ファイルの取得を指示する。署名取得部２４は、構成管理取得部２６の指示に基づいて文書取得部２１から旧版で更新または新規登録されたページデータＤ１ＡからＤ１Ｄに対応する署名ファイルを取得（署名取得２４Ｂ）する。ここで、取得した署名ファイルには、証明書２９、署名α（Ｓ１）、署名の対象となった一群のハッシュＨ１とが含まれる。一群のハッシュＨ１には、ハッシュａ（Ｈ１Ａ）、ハッシュｂ（Ｈ１Ｂ）、ハッシュｃ（Ｈ１Ｃ）、ハッシュｄ（Ｈ１Ｄ）が含まれる。

次に、電子署名の検証を説明する。図１２は、第１の実施形態の電子文書検証（電子署名検証）のシーケンス図である。
署名検証部２５は、最新版で更新されたページデータＤ２Ａ、Ｄ２Ｂに対応する署名ファイルを署名取得部２４から読み出して検証（最新版署名検証２５Ａ）する。具体的には、証明書２９により証明される公開鍵を用いて、署名β（Ｓ２）（署名データ）を復号する。復号により得られたデータと、ハッシュｅ（Ｈ２Ａ）、ハッシュｆ（Ｈ２Ｂ）の結合データとを比較する（最新版署名検証２５Ａ）。比較結果を判定（２５Ｂ）して不一致であれば、署名β（Ｓ２）の検証は棄却（２５Ｆ）となり、電子文書の真正性は保証されない。比較結果を判定（２５Ｂ）して一致であれば、旧版についても同様の署名検証をおこなうため旧版の有無を判定（２５Ｃ）する。ここで、これ以上の旧版が存在しなければ署名β（Ｓ２）の検証は受理（２５Ｇ）となり、まず電子署名の真正性が保証される。

次に、署名検証部２５は、旧版のページデータＤ１ＡからＤ１Ｄに対応する署名ファイルを署名取得部２４から読み出して検証（署名検証２５Ｄ）する。具体的には、証明書２９により証明される公開鍵を用いて、署名α（Ｓ１）（署名データ）を復号する。復号により得られたデータと、ハッシュａ（Ｈ１Ａ）からハッシュｄ（Ｈ１Ｄ）の結合データとを比較する（旧版署名検証２５Ｄ）。比較結果を判定（２５Ｅ）して不一致であれば、署名α（Ｓ１）の検証は棄却（２５Ｆ）となり、電子文書の真正性は保証されない。比較結果を判定（２５Ｅ）して一致であれば、さらなる旧版についても同様の署名検証をおこなうためさらなる旧版の有無を判定（２５Ｃ）する。ここで、これ以上の旧版が存在しなければ署名α（Ｓ１）の検証は受理（２５Ｇ）となり、まず電子署名の真正性が保証される。

このようにして、構成管理情報にあるすべての電子署名について真正性が保証されればハッシュ検証をする。一つでも、電子署名について真正性が保証されなければ電子文書の真正性が否定された結果を導出して検証処理を終了する。

次に、ハッシュ値の検証を説明する。図１３は、第１の実施形態の電子文書検証（ハッシュ値検証）のシーケンス図である。
ハッシュ検証部２３は、署名検証部２５で署名検証が受理された場合にハッシュ値の検証をする。まず、データ取得部２２からページデータＤ２Ａ、Ｄ２Ｂを取得してハッシュ値を生成（ハッシュ生成２３Ａ）する。次に、最新版で更新されたページデータＤ２Ａ、Ｄ２Ｂに対応する署名検証が受理された署名ファイルから、ハッシュｅ（Ｈ２Ａ）、ハッシュｆ（Ｈ２Ｂ）を取得して比較する（ハッシュ比較検証２３Ｂ）。比較結果を判定（２３Ｃ）して不一致であれば、ハッシュ検証は棄却（２３Ｈ）となり、電子文書の真正性は保証されない。比較結果を判定（２３Ｃ）して一致であれば、旧版についても同様のハッシュ検証をおこなうため旧版の有無を判定（２３Ｄ）する。ここで、これ以上の旧版が存在しなければハッシュ検証は受理（２３Ｉ）となり、電子文書の真正性が保証される。

次に、ハッシュ検証部２３は、データ取得部２２から旧版のページデータＤ１ＡからＤ１Ｄを取得してハッシュ値を生成（ハッシュ生成２３Ｅ）する。次に、旧版のページデータＤ１ＡからＤ１Ｄに対応する署名検証が受理された署名ファイルから、ハッシュａ（Ｈ１Ａ）からハッシュｄ（Ｈ１Ｄ）を取得して比較する（ハッシュ比較検証２３Ｆ）。比較結果を判定（２３Ｇ）して不一致であれば、ハッシュ検証は棄却（２３Ｈ）となり、電子文書の真正性は保証されない。比較結果を判定（２３Ｇ）して一致であれば、さらなる旧版についても同様のハッシュ検証をおこなうためさらなる旧版の有無を判定（２３Ｄ）する。ここで、これ以上の旧版が存在しなければハッシュ検証は受理（２３Ｉ）となり、電子文書の真正性が保証される。

このようにして、構成管理情報にあるすべての電子署名に対応する電子文書について真正性が保証されれば電子文書の真正性の検証を終了する。一つでも、電子文書について真正性が保証されなければ電子文書の真正性が否定された結果を導出して検証処理を終了する。

［第２の実施形態］
第１の実施形態では、電子文書の署名者および内容を電子署名を用いて電子文書の真正性保証をする実施例を説明してきた。次に、第２の実施形態では、タイムスタンプを用いて電子文書の作成日時について電子文書の真正性保証をする実施例を説明する。

なお、本実施形態におけるタイムスタンプは、タイムスタンプ発行依頼部１６が結合データを対象としてタイムスタンプの発行をＴＳＡ認証局１１２に依頼し、ＴＳＡ認証局１１２が結合データに対して発行したものである。発行されたタイムスタンプは、タイムスタンプファイルとして署名データ記憶部１７Ｂが記憶している。

まず、電子文書のタイムスタンプ検証方式を図１４を用いて説明する。図１４は、第２の実施形態の電子文書のタイムスタンプ検証の概要を示す図である。
改版されて第２版のある文書Ａについてタイムスタンプの検証をする場合、文書Ａ（第２版）構成管理情報ファイル５３を参照する。文書Ａ（第２版）構成管理情報ファイル５３によれば、文書Ａ（第２版）４７は、データＡ−１、データＡ−２ａ、データＡ−３、データＡ−４、データＡ−５の５つのページから構成されていることがわかる。そのうち、データＡ−１、データＡ−３については、タイムスタンプｔ１（ＴＳ１）が付されていることが、データＡ−２ａ、データＡ−４、データＡ−５についてはタイムスタンプｔ２（ＴＳ２）が付されていることがわかる。ここで、文書保管部１７に記憶（管理）されている各ページデータのタイムスタンプを検証するため、まず、タイムスタンプｔ１（ＴＳ１）とタイムスタンプｔ２（ＴＳ２）の検証をする。ここで、すべてのタイムスタンプが保証されれば、タイムスタンプが保証されていることを前提として各ページデータの検証をする。各ページデータの検証は、文書Ａ（第２版）構成管理情報ファイル５３の対応により各タイムスタンプファイルに含まれるハッシュ値と、各ページデータから生成したハッシュ値との比較によりする。ハッシュ値が一致することで各ページデータの真正性が保証される。ここで、タイムスタンプファイルには、タイムスタンプ、タイムスタンプの対象となった一群のハッシュとが含まれる。一群のハッシュには、各ページデータのハッシュ値が含まれる。

次に、スキャナ７２から複数ページの紙媒体からなる文書Ａを取り込み、電子文書Ａとして登録する場合について、電子文書の初期登録時の各機能ブロックの処理をシーケンス図を用いて具体的に説明する。図１５は、第２の実施形態の電子文書初期登録のシーケンス図である。

データ入力部１１は、スキャナ７２から文書を読み取り、データＤ１を入力する。また、キーボード７３やマウス７４からの操作入力、あるいは構成定義ファイルなどのファイル入力から文書構成（構成情報）Ｒ１を受け付ける。データＤ１は、ページ単位のイメージデータ（構成要素）に分割（単位分割１１Ａ）される。たとえば、データＤ１が３ページのイメージデータからなる場合には、ページデータＤ１Ａ、ページデータＤ１Ｂ、ページデータＤ１Ｃに分割される。

そして、ページ単位のイメージデータ（構成要素）にシステム内でユニークな識別情報を付与（識別情報付与１１Ｂ）する。たとえば、ページデータＤ１Ａには識別情報として通番１２３４５６（Ｎ１Ａ）、ページデータＤ１Ｂには識別情報として通番１２３４５７（Ｎ１Ｂ）、ページデータＤ１Ｃには識別情報として通番１２３４５８（Ｎ１Ｃ）が付与される。識別情報が付与されたページデータは、文書データベース１８に格納される。文書構成Ｒ１は、文書Ａを構成するページデータを特定する。これにより、ページデータＤ１Ａ、ページデータＤ１Ｂ、ページデータＤ１Ｃは、文書Ａであると判断することができる。

ハッシュ生成部１２は、データ入力部１１が単位分割したページデータ（構成要素）の各々について所定のハッシュ関数（たとえば、ＭＤ５）を用いてハッシュ値を生成（ハッシュ生成１２Ａ）する。たとえば、ページデータＤ１Ａからハッシュａ（Ｈ１Ａ）、ページデータＤ１Ｂからハッシュｂ（Ｈ１Ｂ）、ページデータＤ１Ｃからハッシュｃ（Ｈ１Ｃ）が生成される。生成されたハッシュ値は、構成管理設定部１４に送信される。

タイムスタンプ発行依頼部１６は、ハッシュ生成部１２が生成した各構成要素に対応する一群のハッシュ値を結合したデータ（結合データ）としてハッシュｔ１（Ｈｔ１）を生成する。そして、ハッシュｔ１（Ｈｔ１）についてタイムスタンプの発行をＴＳＡ認証局１１２に依頼する。ＴＳＡ認証局１１２は、タイムスタンプｔ１（ＴＳ１）を発行（ＴＳ発行１１２Ａ）する。タイムスタンプ発行依頼部１６は、タイムスタンプｔ１（ＴＳ１）を取得すると構成管理設定部１４に送信する。

構成管理設定部１４は、データ入力部１１の付与した識別情報と、ハッシュ生成部１２の生成したハッシュ値と、タイムスタンプ発行依頼部１６から取得したタイムスタンプファイルとを対応付けて構成管理情報３０を設定（構成管理情報設定１４Ａ）する。設定された構成管理情報３０は、文書データベース１８に格納される。

更新履歴設定部１５は、データ入力部１１が受け付けた文書構成（構成情報）Ｒ１に基づいて更新履歴情報３１を設定（更新履歴情報設定１５Ａ）する。更新履歴情報３１には、改版日時、改版者、改版内容などを含む。設定された更新履歴情報３１は、文書データベース１８に格納される。

文書保管部１７は、文書データベース１８を備え、各種データを格納し保管する。
次に、スキャナ７２から複数ページの紙媒体からなる改版文書を取り込み、電子文書Ａを改版して更新する場合について、電子文書の更新登録時の各機能ブロックの処理をシーケンス図を用いて具体的に説明する。図１６は、第２の実施形態の電子文書更新登録のシーケンス図である。

データ入力部１１は、スキャナ７２から文書を読み取り、データＤ２を入力する。また、キーボード７３やマウス７４からの操作入力、あるいは構成定義ファイルなどのファイル入力から文書構成（改版情報）Ｒ２を受け付ける。データＤ２は、ページ単位のイメージデータ（構成要素）に分割（単位分割１１Ａ）される。たとえば、データＤ２が３ページのイメージデータからなる場合には、ページデータＤ２Ａ、ページデータＤ２Ｂ、ページデータＤ２Ｃに分割される。

そして、ページ単位のイメージデータ（構成要素）にシステム内でユニークな識別情報を付与（識別情報付与１１Ｂ）する。たとえば、ページデータＤ２Ａには識別情報として通番４５６４５６（Ｎ２Ａ）、ページデータＤ２Ｂには識別情報として通番４５６４５７（Ｎ２Ｂ）、ページデータＤ２Ｃには識別情報として通番４５６４５８（Ｎ２Ｃ）が付与される。識別情報が付与されたページデータは、文書データベース１８に格納される。

文書構成（改版情報）Ｒ２は、文書Ａの更新対象となる識別情報と更新内容を特定する。これにより、たとえば、ページデータＤ１ＢをページデータＤ２Ａで差替え、ページデータＤ１Ｃの後にページデータＤ２Ｂ、ページデータＤ２Ｃを追加する改版であると判断することができる。

ハッシュ生成部１２は、データ入力部１１が単位分割したページデータ（構成要素）の各々について所定のハッシュ関数（たとえば、ＭＤ５）を用いてハッシュ値を生成（ハッシュ生成１２Ａ）する。たとえば、ページデータＤ２Ａからハッシュｅ（Ｈ２Ａ）、ページデータＤ２Ｂからハッシュｆ（Ｈ２Ｂ）、ページデータＤ２Ｃからハッシュｇ（Ｈ２Ｃ）が生成される。生成されたハッシュ値は、構成管理設定部１４に送信される。

タイムスタンプ発行依頼部１６は、ハッシュ生成部１２が生成した各構成要素に対応する一群のハッシュ値を結合したデータ（結合データ）としてハッシュｔ２（Ｈｔ２）を生成する。そして、ハッシュｔ２（Ｈｔ２）についてタイムスタンプの発行をＴＳＡ認証局１１２に依頼する。ＴＳＡ認証局１１２は、タイムスタンプｔ２（ＴＳ２）を発行（ＴＳ発行１１２Ａ）する。タイムスタンプ発行依頼部１６は、タイムスタンプｔ２（ＴＳ２）を取得すると構成管理設定部１４に送信する。

構成管理設定部１４は、データ入力部１１の付与した識別情報と、ハッシュ生成部１２の生成したハッシュ値と、タイムスタンプ発行依頼部１６から取得したタイムスタンプファイルとを対応付けて、文書データベース１８から読み出した最新の構成管理情報３０Ａを更新して、改版した構成管理情報３０Ｂを設定（構成管理情報設定１４Ａ）する。設定された構成管理情報３０は、文書データベース１８に格納される。

更新履歴設定部１５は、データ入力部１１が受け付けた文書構成（改版情報）Ｒ２に基づいて更新履歴情報３１を設定（更新履歴情報設定１５Ａ）する。更新履歴情報３１には、改版日時、改版者、改版内容などを含む。設定された更新履歴情報３１は、文書データベース１８に格納される。

文書保管部１７は、文書データベース１８を備え、各種データを格納し保管する。
次に、タイムスタンプを用いて電子文書の作成日時について電子文書の真正性を保証する場合について、電子文書の検証時の各機能ブロックの処理を図１７から図１９のシーケンスを用いて具体的に説明する。まずは、検証に必要なデータの取得までを説明する。図１７は、第２の実施形態の電子文書検証（データ取得）のシーケンス図である。

文書取得部２１は、文書データベース１８から文書Ａの最新の構成管理情報３０Ａを取得する。最新の構成管理情報３０Ａを参照することで、最新版で更新されたページデータＤ２ＡからＤ２ＣとページデータＤ２ＡからＤ２Ｃに対応するタイムスタンプファイルとを取得（最新版文書取得２１Ａ）する。また、改版があった場合には旧版のページデータＤ１ＡからＤ１ＣとページデータＤ１ＡからＤ１Ｃに対応するタイムスタンプファイルとを取得（旧版文書取得２１Ｂ）する。さらなる旧版がある場合には、同様にしてすべてのページデータと対応するタイムスタンプファイルとを取得する。取得した最新の構成管理情報３０Ａは、構成管理取得部２６に通知される。

構成管理取得部２６は、文書取得部２１を介して最新の構成管理情報３０Ａを取得（構成管理情報取得２６Ａ）する。構成管理取得部２６は、構成管理情報３０Ａの最新版（たとえば、第２版）に関する管理情報からデータ取得部２２に最新版のデータ取得を指示する。データ取得部２２は、構成管理取得部２６の指示に基づいて文書取得部２１から最新版で更新されたページデータＤ２ＡからＤ２Ｃを取得（データ取得２２Ａ）する。

また、構成管理取得部２６は、構成管理情報３０Ａの最新版（たとえば、第２版）に関する管理情報からタイムスタンプ取得部２７に最新版のタイムスタンプファイルの取得を指示する。タイムスタンプ取得部２７は、構成管理取得部２６の指示に基づいて文書取得部２１から最新版で更新されたページデータＤ２ＡからＤ２Ｃに対応するタイムスタンプファイルを取得（タイムスタンプ取得２７Ａ）する。ここで、取得したタイムスタンプファイルには、タイムスタンプｔ２（ＴＳ２）、タイムスタンプの対象となった一群のハッシュＨ２とが含まれる。一群のハッシュＨ２には、ハッシュｅ（Ｈ２Ａ）、ハッシュｆ（Ｈ２Ｂ）、ハッシュｇ（Ｈ２Ｃ）が含まれる。

次に、旧版がある場合には、構成管理取得部２６は、構成管理情報３０Ａの最新版（たとえば、第２版）に関する管理情報から旧版（最新版の一つ改版前）の情報があると判断した場合に、データ取得部２２に旧版（たとえば、第１版）のデータ取得を指示する。データ取得部２２は、構成管理取得部２６の指示に基づいて文書取得部２１から旧版で更新または新規登録されたページデータＤ１ＡからＤ１Ｃを取得（データ取得２２Ｂ）する。

また、構成管理取得部２６は、構成管理情報３０Ａの旧版に関する管理情報からタイムスタンプ取得部２７に旧版のタイムスタンプファイルの取得を指示する。タイムスタンプ取得部２７は、構成管理取得部２６の指示に基づいて文書取得部２１から旧版で更新または新規登録されたページデータＤ１ＡからＤ１Ｃに対応するタイムスタンプファイルを取得（タイムスタンプ取得２７Ｂ）する。ここで、取得したタイムスタンプファイルには、タイムスタンプｔ１（ＴＳ１）、タイムスタンプの対象となった一群のハッシュＨ１とが含まれる。一群のハッシュＨ１には、ハッシュａ（Ｈ１Ａ）、ハッシュｂ（Ｈ１Ｂ）、ハッシュｃ（Ｈ１Ｃ）が含まれる。

次に、タイムスタンプの検証を説明する。図１８は、第２の実施形態の電子文書検証（タイムスタンプ検証）のシーケンス図である。
タイムスタンプ検証部２８は、最新版で更新されたページデータＤ２ＡからＤ２Ｃに対応するタイムスタンプファイルをタイムスタンプ取得部２７から読み出して検証（最新版タイムスタンプ検証２８Ａ）する。具体的には、ＴＳＡ認証局１１２の証明書を取得し、証明書により証明される公開鍵を用いて、タイムスタンプｔ２（ＴＳ２）を復号する。復号により得られたデータと、ハッシュｅ（Ｈ２Ａ）、ハッシュｆ（Ｈ２Ｂ）、ハッシュｇ（Ｈ２Ｃ）の結合データとして生成するハッシュｔ２（Ｈｔ２）とを比較する（最新版タイムスタンプ検証２８Ａ）。比較結果を判定（２８Ｂ）して不一致であれば、タイムスタンプｔ２（ＴＳ２）の検証は棄却（２８Ｆ）となり、電子文書の真正性は保証されない。比較結果を判定（２８Ｂ）して一致であれば、旧版についても同様のタイムスタンプ検証をおこなうため旧版の有無を判定（２８Ｃ）する。ここで、これ以上の旧版が存在しなければタイムスタンプｔ２（ＴＳ２）の検証は受理（２８Ｇ）となり、まずタイムスタンプの真正性が保証される。

次に、タイムスタンプ検証部２８は、旧版のページデータＤ１ＡからＤ１Ｃに対応するタイムスタンプファイルをタイムスタンプ取得部２７から読み出して検証（旧版タイムスタンプ検証２８Ｄ）する。ＴＳＡ認証局１１２の証明書を取得し、証明書により証明される公開鍵を用いて、タイムスタンプｔ１（ＴＳ１）を復号する。復号により得られたデータと、ハッシュａ（Ｈ１Ａ）、ハッシュｂ（Ｈ１Ｂ）、ハッシュｃ（Ｈ１Ｃ）の結合データとして生成するハッシュｔ１（Ｈｔ１）とを比較する（旧版タイムスタンプ検証２８Ｄ）。比較結果を判定（２８Ｅ）して不一致であれば、タイムスタンプｔ１（ＴＳ１）の検証は棄却（２８Ｆ）となり、電子文書の真正性は保証されない。比較結果を判定（２８Ｅ）して一致であれば、さらなる旧版についても同様のタイムスタンプ検証をおこなうためさらなる旧版の有無を判定（２８Ｃ）する。ここで、これ以上の旧版が存在しなければタイムスタンプｔ１（ＴＳ１）の検証は受理（２８Ｇ）となり、まずタイムスタンプの真正性が保証される。

このようにして、構成管理情報にあるすべてのタイムスタンプについて真正性が保証されればハッシュ検証をする。一つでも、タイムスタンプについて真正性が保証されなければ電子文書の真正性が否定された結果を導出して検証処理を終了する。

次に、ハッシュ値の検証を説明する。図１９は、第２の実施形態の電子文書検証（ハッシュ値検証）のシーケンス図である。
ハッシュ検証部２３は、タイムスタンプ検証部２８でタイムスタンプ検証が受理された場合にハッシュ値の検証をする。まず、データ取得部２２からページデータＤ２ＡからＤ２Ｃを取得してハッシュ値を生成（ハッシュ生成２３Ａ）する。次に、最新版で更新されたページデータＤ２ＡからＤ２Ｃに対応するタイムスタンプ検証が受理されたタイムスタンプファイルからハッシュｅ（Ｈ２Ａ）、ハッシュｆ（Ｈ２Ｂ）、ハッシュｇ（Ｈ２Ｃ）を取得して比較する（ハッシュ比較検証２３Ｂ）。比較結果を判定（２３Ｃ）して不一致であれば、ハッシュ検証は棄却（２３Ｈ）となり、電子文書の真正性は保証されない。比較結果を判定（２３Ｃ）して一致であれば、旧版についても同様のハッシュ検証をおこなうため旧版の有無を判定（２３Ｄ）する。ここで、これ以上の旧版が存在しなければハッシュ検証は受理（２３Ｉ）となり、電子文書の真正性が保証される。

次に、ハッシュ検証部２３は、データ取得部から旧版のページデータＤ１ＡからＤ１Ｃを取得してハッシュ値を生成（ハッシュ生成２３Ｅ）する。次に、旧版のページデータＤ１ＡからＤ１Ｃに対応するタイムスタンプ検証が受理されたタイムスタンプファイルからハッシュａ（Ｈ１Ａ）、ハッシュｂ（Ｈ１Ｂ）、ハッシュｃ（Ｈ１Ｃ）を取得して比較する（ハッシュ比較検証２３Ｆ）。比較結果を判定（２３Ｇ）して不一致であれば、ハッシュ検証は棄却（２３Ｈ）となり、電子文書の真正性は保証されない。比較結果を判定（２３Ｇ）して一致であれば、さらなる旧版についても同様のハッシュ検証をおこなうためさらなる旧版の有無を判定（２３Ｄ）する。ここで、これ以上の旧版が存在しなければハッシュ検証は受理（２３Ｉ）となり、電子文書の真正性が保証される。

このようにして、構成管理情報にあるすべてのタイムスタンプに対応する電子文書について真正性が保証されれば電子文書の真正性の検証を終了する。一つでも、電子文書について真正性が保証されなければ電子文書の真正性が否定された結果を導出して検証処理を終了する。

なお、第１の実施形態では、電子文書の署名者および内容を電子署名を用いて電子文書の真正性保証をする実施例を、第２の実施形態では、タイムスタンプを用いて電子文書の作成日時について電子文書の真正性保証をする実施例を説明してきたが、両者を併用することも可能である。

［第３の実施形態］
図２０は、第３の実施形態の電子文書管理システムのシステム構成を示す図である。第１の実施形態とは、電子文書管理装置１００の備える機能をネットワーク上に分散配置して電子文書管理システム１２０を構成している点で異なる。

電子文書管理システム１２０はネットワーク７０と、ネットワーク７０に接続するデータ登録端末１１０、データ検証端末１１１、文書保管サーバ１１３とから構成される。データ登録端末１１０、データ検証端末１１１、文書保管サーバ１１３は、図２の電子文書管理装置１００と同様のハードウェア構成であり、通信インタフェースを介してネットワーク７０に接続し、相互に情報を送受信する。また、電子文書管理システム１２０は、ＳＳＬ通信などのセキュリティがある通信プロトコルを用いてＴＳＡ認証局１１２とタイムスタンプ発行のための通信をおこなう。

データ登録端末１１０は、データ登録部１０を備える。データ検証端末１１１は、データ検証部２０を備える。文書保管サーバ１１３は、文書保管部１７を備える。また、データ登録端末１１０、データ検証端末１１１は、複数台を備えるようにしてもよい。

以上、本発明の電子文書管理装置を図示の実施の形態に基づいて説明したが、本発明はこれに限定されるものではなく、電子文書管理装置１００の各部の構成は、同様の機能を有する任意の構成のものに置換することができる。また、本発明に他の任意の構成物や工程が付加されていてもよい。また、本発明は、前述した実施の形態のうちの任意の２以上の構成（特徴）を組み合わせたものであってもよい。

なお、電子文書管理装置１００が備える処理機能の一部をソフトウェアで実現する場合、その機能の処理内容を記述したプログラムが提供される。そのプログラムをコンピュータで実行することにより、上記処理機能がコンピュータで実現される。

処理内容を記述したプログラムは、コンピュータで読み取り可能な媒体に記録しておくことができる。コンピュータで読み取り可能な記録媒体としては、たとえば、磁気記録装置、光ディスク、光磁気記録媒体、半導体メモリなどが挙げられる。磁気記録装置としては、たとえば、ハードディスク装置（ＨＤＤ）、フレキシブルディスク（ＦＤ）、磁気テープなどが挙げられる。光ディスクとしては、たとえば、ＤＶＤ、ＤＶＤ−ＲＡＭ、ＣＤ−ＲＯＭ（Read Only Memory）、ＣＤ−Ｒ（Recordable）／ＲＷ（ReWritable）などが挙げられる。光磁気記録媒体としては、たとえば、ＭＯ（Magnet-Optical disk）などが挙げられる。

プログラムを流通させる場合には、たとえば、そのプログラムが記録されたＤＶＤ、ＣＤ−ＲＯＭなどの可搬型記録媒体が販売される。また、プログラムをサーバコンピュータの記憶装置に格納しておき、ネットワークを介して、サーバコンピュータから他のコンピュータにそのプログラムを転送することもできる。

上記プログラムを実行するコンピュータは、たとえば、可搬型記録媒体に記録されたプログラムもしくはサーバコンピュータから転送されたプログラムを、自己の記憶装置に格納する。そして、コンピュータは自己の記憶装置からプログラムを読み取り、プログラムに従った処理を実行する。なお、コンピュータは、可搬型記録媒体から直接プログラムを読み取り、そのプログラムに従った処理を実行することもできる。また、コンピュータは、サーバコンピュータからプログラムが転送される毎に、逐次、受け取ったプログラムに従った処理を実行することもできる。

実施の形態の電子文書管理装置の概要を示す図である。 第１の実施形態の電子文書管理装置のハードウェア構成を示す図である。 第１の実施形態の電子文書管理装置の機能を示すブロック図である。 第１の実施形態の電子文書初期登録の概要を示す図である。 第１の実施形態の電子文書初期登録時の構成管理情報を示す図である。 第１の実施形態の電子文書更新登録の概要を示す図である。 第１の実施形態の電子文書更新登録時の構成管理情報を示す図である。 第１の実施形態の電子文書の署名検証の概要を示す図である。 第１の実施形態の電子文書初期登録のシーケンス図である。 第１の実施形態の電子文書更新登録のシーケンス図である。 第１の実施形態の電子文書検証（データ取得）のシーケンス図である。 第１の実施形態の電子文書検証（電子署名検証）のシーケンス図である。 第１の実施形態の電子文書検証（ハッシュ値検証）のシーケンス図である。 第２の実施形態の電子文書のタイムスタンプ検証の概要を示す図である。 第２の実施形態の電子文書初期登録のシーケンス図である。 第２の実施形態の電子文書更新登録のシーケンス図である。 第２の実施形態の電子文書検証（データ取得）のシーケンス図である。 第２の実施形態の電子文書検証（タイムスタンプ検証）のシーケンス図である。 第２の実施形態の電子文書検証（ハッシュ値検証）のシーケンス図である。 第３の実施形態の電子文書管理システムのシステム構成を示す図である。

符号の説明

１ 電子文書記録手段
２ 識別情報付与手段
３ ハッシュ値生成手段
４ 電子署名付与手段
５ 構成情報受付手段
６ 管理情報生成手段
７ 改版情報受付手段
８ 管理情報更新手段
１００ 電子文書管理装置

Claims (8)

1. 複数の構成要素からなる電子文書を真正性保証可能に管理する電子文書管理装置であって、
   ２以上の電子文書の構成要素を一群にして取得する構成要素取得手段と、
   取得した一群の構成要素を記録可能な電子文書記録手段と、
   前記構成要素にユニークな識別情報を付与する識別情報付与手段と、
   前記構成要素の各々についてハッシュ値を生成するハッシュ値生成手段と、
   生成した前記各ハッシュ値を結合したデータに対して電子署名を付与する電子署名付与手段と、
   一群の前記構成要素に含まれる一以上の前記構成要素により構成される一の電子文書ごとの構成を表す構成情報を受け付ける構成情報受付手段と、
   前記構成情報に基づいて前記一の電子文書ごとに、前記識別情報と前記ハッシュ値と前記電子署名との対応を関係付けた管理情報を生成する管理情報生成手段と、
   前記一の電子文書を構成する構成要素ごとの改版を指示する改版情報を受け付ける改版情報受付手段と、
   前記一の電子文書の構成要素に改版があった場合に、改版となる構成要素の識別情報と、前記改版となる構成要素の各々についてのハッシュ値と、生成した前記各ハッシュ値を結合したデータに対しての前記電子署名との対応を関係付けた更新管理情報で、前記管理情報を更新する管理情報更新手段と、
   を備えたことを特徴とする電子文書管理装置。
2. 前記管理情報更新手段は、前記管理情報を記憶する管理情報記憶手段を備え、
   前記管理情報を前記更新管理情報で更新するときに、更新前の管理情報と、更新後の管理情報とを版管理して前記管理情報記憶手段に記憶することを特徴とする請求項１記載の電子文書管理装置。
3. 前記電子文書管理装置は、
   前記管理情報から前記一の電子文書を構成する構成要素と対応関係のあるすべての前記電子署名の真正性を検証する電子署名検証手段と、
   前記電子署名検証手段による前記電子署名が真正なものとして検証された場合に、前記電子署名が署名対象とした前記データの真正性を検証するデータ検証手段と、
   を備えることを特徴とする請求項２記載の電子文書管理装置。
4. 複数の構成要素からなる電子文書を真正性保証可能に管理する電子文書管理装置であって、
   ２以上の電子文書の構成要素を一群にして取得する構成要素取得手段と、
   取得した一群の構成要素を記録可能な電子文書記録手段と、
   前記構成要素にユニークな識別情報を付与する識別情報付与手段と、
   前記構成要素の各々についてハッシュ値を生成するハッシュ値生成手段と、
   生成した前記各ハッシュ値を結合したデータに対して外部認証機関にタイムスタンプの発行を依頼し、前記外部認証機関から前記タイムスタンプの発行を受けるタイムスタンプ発行依頼手段と、
   一群の前記構成要素に含まれる一以上の前記構成要素により構成される一の電子文書ごとの構成を表す構成情報を受け付ける構成情報受付手段と、
   前記構成情報に基づいて前記一の電子文書ごとに、前記識別情報と前記ハッシュ値と前記外部認証機関から発行を受けた前記タイムスタンプとの対応を関係付けた管理情報を生成する管理情報生成手段と、
   前記一の電子文書を構成する構成要素ごとの改版を指示する改版情報を受け付ける改版情報受付手段と、
   前記一の電子文書の構成要素に改版があった場合に、改版となる構成要素の識別情報と、前記改版となる構成要素の各々についてのハッシュ値と、生成した前記各ハッシュ値を結合したデータに対しての前記タイムスタンプとの対応を関係付けた更新管理情報で、前記管理情報を更新する管理情報更新手段と、
   を備えたことを特徴とする電子文書管理装置。
5. 前記管理情報更新手段は、前記管理情報を記憶する管理情報記憶手段を備え、
   前記管理情報を前記更新管理情報で更新するときに、更新前の管理情報と、更新後の管理情報とを版管理して前記管理情報記憶手段に記憶することを特徴とする請求項４記載の電子文書管理装置。
6. 前記電子文書管理装置は、
   前記管理情報から前記一の電子文書を構成する構成要素と対応関係のあるすべての前記タイムスタンプの真正性を検証するタイムスタンプ検証手段と、
   前記タイムスタンプ検証手段による前記タイムスタンプが真正なものとして検証された場合に、前記タイムスタンプが対象とした前記データの真正性を検証するデータ検証手段と、
   を備えることを特徴とする請求項５記載の電子文書管理装置。
7. 複数の構成要素からなる電子文書を真正性保証可能に管理する電子文書管理装置の電子文書管理方法であって、
   ２以上の電子文書の構成要素を一群にして取得するステップと、
   取得した一群の構成要素を記録するステップと、
   前記構成要素にユニークな識別情報を付与するステップと、
   前記構成要素の各々についてハッシュ値を生成するステップと、
   生成した前記各ハッシュ値を結合したデータに対して電子署名を付与するステップと、
   一群の前記構成要素に含まれる一以上の前記構成要素により構成される一の電子文書ごとの構成を表す構成情報を受け付けるステップと、
   前記構成情報に基づいて前記一の電子文書ごとに、前記識別情報と前記ハッシュ値と前記電子署名との対応を関係付けた管理情報を生成するステップと、
   前記一の電子文書を構成する構成要素ごとの改版を指示する改版情報を受け付けるステップと、
   前記一の電子文書の構成要素に改版があった場合に、改版となる構成要素の識別情報と、前記改版となる構成要素の各々についてのハッシュ値と、生成した前記各ハッシュ値を結合したデータに対しての前記電子署名との対応を関係付けた更新管理情報で、前記管理情報を更新するステップと、
   を備えたことを特徴とする電子文書管理装置の電子文書管理方法。
8. 複数の構成要素からなる電子文書を真正性保証可能に管理する電子文書管理装置の電子文書管理方法であって、
   ２以上の電子文書の構成要素を一群にして取得するステップと、
   取得した一群の構成要素を記録するステップと、
   前記構成要素にユニークな識別情報を付与するステップと、
   前記構成要素の各々についてハッシュ値を生成するステップと、
   生成した前記各ハッシュ値を結合したデータに対して外部認証機関にタイムスタンプの発行を依頼し、前記外部認証機関から前記タイムスタンプの発行を受けるステップと、
   一群の前記構成要素に含まれる一以上の前記構成要素により構成される一の電子文書ごとの構成を表す構成情報を受け付けるステップと、
   前記構成情報に基づいて前記一の電子文書ごとに、前記識別情報と前記ハッシュ値と前記外部認証機関から発行を受けた前記タイムスタンプとの対応を関係付けた管理情報を生成するステップと、
   前記一の電子文書を構成する構成要素ごとの改版を指示する改版情報を受け付けるステップと、
   前記一の電子文書の構成要素に改版があった場合に、改版となる構成要素の識別情報と、前記改版となる構成要素の各々についてのハッシュ値と、生成した前記各ハッシュ値を結合したデータに対しての前記タイムスタンプとの対応を関係付けた更新管理情報で、前記管理情報を更新するステップと、
   を備えたことを特徴とする電子文書管理装置の電子文書管理方法。

Images