JP2012165293A - 電子署名装置及び署名検証装置 - Google Patents

Abstract

【課題】ワークフロー中に発生したデータを文書ファイル自体で管理する。
【解決手段】所定の文書データに対するワークフローにおける各ワークの処理結果を受けて、文書ファイル管理手段１２２は、当該ワークのワークデータをワークフローデータ生成手段１２６に生成させ、生成したワークデータをメタデータとして当該ワークを開始した時点の所定文書データを含む文書ファイルに挿入した文書ファイルを生成し、所定の文書データとワークデータを含んだ文書ファイルを署名対象として電子署名手段１２３に電子署名要求を行い、その結果得られる電子署名データもメタデータとして挿入して文書ファイルを生成する。
【選択図】 図１

Description

本発明は、電子文書に対する起案・承認などのワークフローの管理に関するもので、特に、対象とする電子文書ファイルのみでワークフローを管理する電子署名検証装置に関する。

従来、文書データに対するワークフローを管理したい場合は、文書データを管理するデータベースとこの文書データに対するワークフローを管理するデータベースとから構成された文書管理システムを用意し、文書データと共にワークフローで発生するデータを管理している。このようなシステムは、大規模な組織では普通に導入されて用いられているが、小規模な組織にとっては過剰なシステムとなりやすい。そこで、大掛かりなデータベースを用いることなく各種形態の電子文書の承認が行なえるワークフローシステムが提案されている（特許文献１、特許文献２）。

特開２００５−１４８９１７号公報 特開２００８−１１７２５８号公報

しかしながら、これらの従来技術ではワークフローを成立させる仕組みを提供するもので、承認コメントや差戻しされた元文書の添付など、ワークフロー中に発生する各種経過関連データの付加、真正性の担保する仕組みが考慮されていない、という問題があった。

本発明の目的は、ワークフロー中に発生するデータを文書ファイル自体に埋め込んでから電子署名を施すことにより、文書ファイルのみでワークフロー中に発生するデータの真正性を担保しつつ管理する電子署名装置及び署名検証装置を提供することである。

かかる課題を解決するために、本発明は、１以上のユーザーによる所定の文書データに対するワークフローにおける各ワークの処理結果を含めて文書ファイルに電子署名を施す電子署名装置であって、署名対象の電子署名データを生成する電子署名手段と、前記文書ファイルを記憶する記憶手段と、前記ワークの処理結果を受け付ける入力手段と、前記ワークの処理結果を受け付けると、前記ワークのワークデータを生成するワークフローデータ生成手段と、前記記憶手段から前記文書ファイルを取得し、生成された前記ワークデータをメタデータとして当該文書ファイルに挿入更新し、更新した前記文書ファイルを署名対象として前記電子署名手段に電子署名要求を行い、当該電子署名要求に対する電子署名データをメタデータとして当該文書ファイルに挿入更新して、更新した前記文書ファイルを前記記憶手段に記憶する処理手段と、を有することを特徴とする電子署名装置を提供する。これにより、ワークフロー中に発生したデータを文書ファイル自体で管理した文書ファイルを生成することができる。

かかる電子署名検証装置において、前記ワークフローデータ生成手段は、前記ワークの処理結果が再起案の場合、再起案した文書ファイルのワークデータに、差戻しを受けた文書ファイルを含めて生成することが好ましい。これにより、差戻しされた起案文書を、再起案文書のワークフロー中に発生したデータの中に含めることができる。

また、１以上のユーザーによる所定の文書データに対するワークフローにおける各ワークの処理結果を受けて生成されるワークデータのうち、あるワークで生成されたワークデータをメタデータとして当該文書ファイルに挿入更新され、更に、当該文書ファイルを署名対象として電子署名が施され、当該電子署名に対する電子署名データもメタデータとして当該文書ファイルに挿入更新された文書ファイルを記憶する記憶手段と、文書ファイル内部の電子署名データを検証して、当該文書ファイルが改竄されていないかを検証する検証手段と、前記記憶手段から前記文書ファイルを取得し、当該文書ファイルの電子署名データを前記検証手段で検証して検証に成功すると、当該電子署名データに対応するワークデータの中に差戻しを受けた文書ファイルを含むか否か判定し、前記差戻しを受けた文書ファイルを含む場合に、当該差戻しを受けた文書ファイルに対しても再帰的に内部の電子署名データの検証を行う処理手段と、全ての電子署名データの検証に成功すると、前記ワークフローの処理対象の文書ファイルと前記差戻しされた前記文書ファイルとを対比可能にする表示手段と、を有することを特徴とする署名検証装置を提供する。これにより、ワークフロー中に発生したデータを文書ファイル自体で管理した文書ファイルを参照することができ、差戻しされた起案文書と再起案文書を対比して参照することができる。

本発明によれば、ワークフロー中に発生したデータを文書ファイル自体で管理することができ、文書ファイルを参照閲覧すればワークフロー中に発生したデータを確認可能となる。

本発明によるユーザー端末装置１の構成図である。 複数のユーザー端末装置１が接続された環境を説明する図である。 文書ファイルのデータ構造を説明する図である。 ユーザー端末装置１の画面表示を説明する図である。 ユーザー端末装置１の処理のフローチャートである。 文書ファイル検証処理のフローチャートである。 文書ファイル署名処理のフローチャートである。

以下、本発明に係る電子署名装置及び署名検証装置の実施の形態を、図を参照しつつ説明する。図１は、本発明の電子署名装置及び署名検証装置を含んでなるユーザー端末装置１の構成図である。本発明による電子署名装置及び署名検証装置は、必要な機能が格納されたプログラムをＣＤ−ＲＯＭあるいはネットワーク上から各ユーザーのユーザー端末装置にインストールして実現できる。ユーザー端末装置としては、ネットワーク接続可能なパソコン、スマートフォン等が採用できる。図２は、図１に示すユーザー端末装置１がネットワーク２を介して複数接続された環境を示す図である。ユーザー端末装置１は、起案者及び承認者及び参照者であるユーザーによって用いられる。例えば、ワークフロー中の役割から、ユーザーを、起案者としてＡ担当、承認者として直属上司のＢ課長、最終承認者のＣ部長、と区別した場合、図２のユーザー端末装置１−ａ、１−ｂ、１−ｃは、Ａ担当がユーザー端末装置１−ａを、Ｂ課長がユーザー端末装置１−ｂを、Ｃ部長がユーザー端末装置１−ｃをそれぞれ利用して、文書ファイルの参照、起案・承認・差戻し・再起案の各ワークを実行する。ワーク対象の文書ファイルは、ユーザー端末装置１−ａ、１−ｂ、１−ｃが接続するネットワーク２を介して、メール添付送信やファイル共有によりやり取りされる。

ユーザー端末装置１は、起案者であるユーザーにより使用されるとき、ワークフロー中の起案というワークに従って起案される文書ファイル（起案文書）に対して起案者の起案コメントを付加した上で電子署名を施す。この電子署名が施された署名済み文書ファイルは、メールに添付するなどして上席の承認者が使用するユーザー端末装置１へ提供される。また、ユーザー端末装置１は、承認者であるユーザーにより使用されるとき、受け取った起案文書の文書ファイルに対し承認者が内容を確認して承認や差戻しというワークを行う場合には承認者のコメントを付加した上で電子署名を施す。そして、この署名済み文書ファイルは、メールに添付送信するなどして次の承認者や起案者及び参照者が使用するユーザー端末装置１へ提供される。承認者や参照者などが内容を確認するために署名済み文書ファイルを見る場合には、署名検証が行われると共に付加された各種コメントが参照可能にユーザー端末装置１に表示される。また、承認者によって差戻しのワークが行われた署名済み文書ファイルが起案者のユーザー端末装置１に提供された場合には、起案者は再起案のワークを行うことができ、起案者によって再起案される新たな文書ファイル（再起案文書）に対して、差し戻された文書ファイル（元の起案文書）と再起案コメントを付加した上で電子署名を施せる。このため、ユーザー端末装置１は、各種制御を行なう制御部１２と、記憶部１１と、撮像部１３と、入力部１４と、表示部１５と、通信インタフェース（Ｉ／Ｆ）部１６と、を有する。なお、以降の説明において、文書ファイルとは、署名済み文書ファイル及び署名なし文書ファイルの両方を示す総称で用いる。

記憶部１１は、ＲＯＭ、ＲＡＭ、磁気ハードディスク等の記憶装置であり、各種プログラムや各種データを記憶し、文書ファイルやユーザー情報を記憶する。

文書ファイル記憶部１１１は、ユーザー端末装置１で扱う文書ファイルが記憶され、後述の新規登録操作で文書ファイルは登録される。

文書ファイルには、外部アプリケーションで作成された後にまだ電子署名が施されていない状態の文書ファイルと、ワークデータが挿入された上で電子署名が施されて署名データが付加された状態の文書ファイル（署名済み文書ファイル）とがある。

ワークデータは、各ワークにおけるユーザーの処理結果を示すデータであって、後述のワークフローデータ生成手段１２６によって生成される。例えば、コメント、宛先、緊急性、署名者顔画像（電子署名時取得）、差戻しフラグ、差戻し文書、などから構成される。なお、各ワークで生成された個々のワークデータを複数まとめ、ワークフロー全体のユーザーの処理結果を示すときには、ワークフローデータと呼ぶ。

コメントは、例えば、起案コメントや承認コメント、差戻しコメント、再起案コメントなどである。

宛先は、例えば、ワークフローでの次の承認者を示し、最終承認者で次に承認の署名すべき者がいない場合は不要である。

緊急性は、例えば、緊急性の有無や優先順位を示し、ワークフローで通常処理、優先処理を区別するなど、承認者に優先的に承認（署名）のワークであることを明示する場合に設定する。

署名者顔画像は、電子署名時に撮像した署名者の顔画像であって、参照者が署名者を視覚的に確認する場合に用いる。

差戻しフラグは、例えば、承認者によって承認されずに起案者等に差し戻しされたことを示すデータであって、差戻しフラグが設定された文書ファイルに対しては、再起案のワークを行うことが可能である。

差戻し文書は、例えば、差戻しフラグが設定された文書ファイルに対して、新たな文書ファイルで再起案のワークをした場合に付加されるデータであって、元の起案文書データの文書ファイル、すなわち、差し戻された文書ファイルである。

ここで、図３を参照し、ワークデータのデータ構造を説明する。ワークデータは、例えば、コメント、宛先、緊急性、署名者顔画像、差戻しフラグ、差戻し文書のデータ領域を持っている。例えば、図３は、新規起案文書として内容が文書データ１００である文書ファイルが作成され、Ａ担当が起案〜Ｂ課長が承認〜Ｃ部長が最終承認というワークフローにおいて、Ａ担当による起案・Ｂ課長による差戻し・Ａ担当による再起案・Ｂ課長による承認というワークが行われた文書ファイルの例である。
図３（ａ）のワークデータ１１１は、Ａ担当による起案のワークで生成されたワークデータで、コメントには「○○の件を起案します。」が、緊急性には「１」で緊急性があることが設定され、宛先は「Ｂ課長」で次の承認者としてＢ課長を指定し、署名者顔画像にはＡ担当の署名時顔画像が格納されている。起案のワークのワークデータ１１１には、差し戻しフラグや差戻し文書は設定されていない。
図３（ｂ）のワークデータ１２１は、Ｂ課長による差戻しのワークで生成されたワークデータで、コメントには「差戻します。」が、緊急性には「１」で緊急性があることが設定され、宛先は「Ａ担当」、署名者顔画像にはＢ課長の署名時顔画像が格納される。差戻しのワークのワークデータ１２１では、差戻しフラグが「１」に設定される。
図３（ｃ）のワークデータ２１１は、Ａ担当による再起案のワークで生成されたワークデータで、コメントには「○○の件を再起案します。」が、緊急性には「１」で緊急性があることが設定され、宛先は「Ｂ課長」、署名者顔画像にはＡ担当の署名時顔画像が格納されている。文書データ１００に対して新たな文書データ２００の文書ファイルが作成され、再起案されるため、差し戻しフラグは設定されていない。しかし、差戻し文書には差し戻された文書データ１００の文書ファイル（図３（ｂ）の文書ファイル）が設定される。
図３（ｄ）のワークデータ２２１は、Ｂ課長による承認のワークで生成されたワークデータで、コメントには「承認します。」が、緊急性には「１」で緊急性があることが設定され、宛先は「Ｃ部長」、署名者顔画像にはＢ課長の署名時顔画像が格納される。承認のワークのワークデータ２２１には、差し戻しフラグや差戻し文書は設定されていない。

次に、同じく図３を参照し、ワークフローに従った文書データ、ワークデータ、電子署名データの変遷を説明する。図３（ａ）は、Ａ担当が文書データ１００からなる文書ファイルを起案し、一人目のワークデータが追加された状態で、一人目の電子署名が施された場合の文書ファイルのデータ構造である。起案に先立ち、ワーク対象の文書ファイルとして、文書データ１００からなる文書ファイルが作成される。そして、Ａ担当の起案のワークでは、まず、ワークデータ１１１が生成されて文書データ１００に付加され、次に、文書データ１００とワークデータ１１１を署名対象にして、Ａ担当の電子証明書で電子署名が施され、生成された電子署名データ１１２が付加される。従って、起案のワークの後、ワーク対象の文書ファイルは、図３（ａ）に示すように、文書データ１００とワークデータ１１１と電子署名データ１１２とからなる文書ファイルになる。そして、文書データ１００に対して、ワークデータ１１１と電子署名データ１１２はメタデータである。

図３（ｂ）は、図３（ａ）の文書ファイルを受け取ったＢ課長が内容を確認して差戻し、二人目のワークデータが追加された状態で、二人目の電子署名が施された場合の文書ファイルのデータ構造である。Ｂ課長は、図３（ａ）の電子署名データ１１２で保護された文書データ１００とワークデータ１１１を確認する。Ｂ課長の差戻しのワークでは、まず、ワークデータ１２１が生成されて図３（ａ）の文書データ１００とワークデータ１１１と電子署名データ１１２に付加され、次に、文書データ１００とワークデータ１１１と電子署名データ１１２とワークデータ１２１を署名対象にして、Ｂ課長の電子証明書で電子署名が施され、生成された電子署名データ１２２が付加される。従って、再起案のワークの後、ワーク対象の文書ファイルは、図３（ｂ）に示すように、文書データ１００とワークデータ１１１と電子署名データ１１２とワークデータ１２１と電子署名データ１２２とからなる文書ファイルになる。そして、文書データ１００に対して、ワークデータ１１１と電子署名データ１１２とワークデータ１２１と電子署名データ１２２がメタデータであり、ワークデータ１１１とワークデータ１２１がワークフローデータである。

図３（ｃ）は、Ｂ課長によって差し戻された図３（ｂ）の文書ファイルに対してＡ担当が文書データ２００からなる文書ファイルで再起案を行い、再起案された文書ファイルに一人目のワークデータが追加された状態で、一人目の電子署名が施された場合のデータ構造である。再起案に先立ち、ワーク対象の文書ファイルとして、文書データ２００からなる文書ファイルが作成される。そして、Ａ担当の再起案のワークでは、まず、ワークデータ２１１が生成されて文書データ２００に付加される。ワークデータ２１１の差戻し文書には、Ｂ課長によって差し戻された文書ファイル、すなわち、図３（ｂ）の文書ファイルが入っている。次に、文書データ２００とワークデータ２１１を署名対象にして、Ａ担当の電子証明書で電子署名が施され、生成された電子署名データ２１２が付加される。従って、再起案のワークの後、ワーク対象の文書ファイルは、図３（ｃ）に示すように、文書データ２００とワークデータ２１１と電子署名データ２１２とからなる文書ファイルになる。そして、文書データ２００に対して、ワークデータ２１１と電子署名データ２１２はメタデータである。

図３（ｄ）は、図３（ｃ）の文書ファイルを受け取ったＢ課長が内容を確認して承認し、再起案された文書ファイルに二人目のワークデータが追加された状態で、二人目の電子署名が施された場合のデータ構造である。Ｂ課長は、図３（ｃ）の電子署名データ２１２で保護された文書データ２００とワークデータ２１１を確認する。Ｂ課長の承認のワークでは、まず、ワークデータ２２１が生成されて図３（ｃ）の文書データ２００とワークデータ２１１と電子署名データ２１２に付加され、次に、文書データ２００とワークデータ２１１と電子署名データ２１２とワークデータ２２１を署名対象にして、Ｂ課長の電子証明書で電子署名が施され、生成された電子署名データ２２２が付加される。従って、承認のワークの後、ワーク対象の文書ファイルは、図３（ｄ）に示すように、文書データ２００とワークデータ２１１と電子署名データ２１２とワークデータ２２１と電子署名データ２２２とからなる文書ファイルになる。そして、文書データ２００に対して、ワークデータ２１１と電子署名データ２１２とワークデータ２２１と電子署名データ２２２がメタデータであり、ワークデータ２１１とワークデータ２２１がワークフローデータである。

ユーザー情報記憶部１１２は、ユーザーの情報として、ユーザーＩＤとパスワード、電子署名に用いる電子証明書などが記憶されている。電子証明書は、例えば、P12（PKCS（Public Key Cryptography Standards）#12）ファイルであり、公開鍵及びユーザー情報を含む電子証明書、秘密鍵及び署名パスワード（ＰＩＮ）によって構成されたパスワード付き電子証明書である。

制御部１２は、ＣＰＵやＭＰＵ等から構成され、ユーザー端末装置１の制御全般についてプログラムに従って処理を行い、ユーザー認証手段１２１、文書ファイル管理手段１２２、電子署名手段１２３、署名検証手段１２４、画像取得手段１２５、ワークフローデータ生成手段１２６を有する。

ユーザー認証手段１２１は、ユーザー情報記憶部１１２のユーザーＩＤとパスワードに基づいて、ユーザー端末装置１を使用するユーザーを認証する。この処理を行うにあたって、後述する表示部１５にユーザー認証画面を表示し、ユーザーＩＤとパスワードを取得し、ユーザー認証の可否を出力する。

文書ファイル管理手段１２２は、文書ファイル記憶部１１１から文書ファイルの一覧を取得して後述する表示部１５に文書ファイル一覧選択画面を表示させる。また、ユーザーの新規登録の操作を受け付けて、新規に文書ファイルを文書ファイル記憶部１１１に保存する。また、文書ファイルの一覧から選択された文書ファイルの文書ファイル検証処理を行い、文書ファイル検証処理の中から署名検証要求をして署名検証手段１２４の結果を得て文書ファイルの真正性が確認できると文書ファイル閲覧画面に文書ファイルの内容を表示する。また、文書ファイルが表示された文書ファイル閲覧画面から署名・差戻しのボタン操作にてユーザーの指示を受け付けて文書ファイル署名の処理を開始し、ワークフローデータ生成手段１２６で生成したワークデータを文書ファイルへ挿入した上で電子署名手段１２３に電子署名要求をしてその結果を得て文書ファイルに電子署名データを付加し、文書ファイル記憶部１１１への保存を行う。また、差戻しされた文書ファイルが表示された文書ファイル閲覧画面から再起案などのボタン操作にてユーザーの指示を受け付けて、再起案する新しい文書ファイルを文書ファイル記憶部１１１に保存してから文書ファイル署名の処理を開始し、ワークフローデータ生成手段１２６で生成したワークデータを再起案する文書ファイルへ挿入した上で電子署名手段１２３に電子署名要求をしてその結果を得て文書ファイルに電子署名データを付加し、文書ファイル記憶部１１１への保存を行う。

電子署名手段１２３は、文書ファイルを入力とし、ユーザーの電子証明書を用いて文書ファイルへ電子署名を施し、署名結果を出力する。

署名検証手段１２４は、署名済み文書ファイルを入力とし、署名検証を行なって、署名検証結果を出力する。署名検証は、署名済み文書ファイルの改竄の有無を判定するとともに、電子署名に用いられた電子証明書の有効性を、当該電子証明書を発行した認証局（不図示）から取得する電子証明書失効リスト（ＣＲＬ：Certificate Revocation List）を用いて確認する処理である。なお、ＣＲＬは通信Ｉ／Ｆ部１６を介して定期的に取得する。改竄を検知すると、検証ＮＧを出力する。改竄を検知しなければ、電子証明書に用いられた電子証明書がＣＲＬに記載されて「有効性に問題あり」と判定されても、検証ＯＫを出力してもよい。

画像取得手段１２５は、撮像部１３から、署名者顔画像を取得する。

ワークフローデータ生成手段１２６は、図３で説明した各ワークの処理結果を入力部１４から受け付けると当該ワークのワークデータを生成する。
コメント、宛先、緊急性は、後述する文書ファイル閲覧画面のワークデータ入力欄の入力から取得する。署名者顔画像は、画像取得手段１２５から取得する。また、差戻しフラグは、差戻しボタン押下の場合にセットされる。また、差戻し文書は、再起案ボタン押下の場合に文書ファイル閲覧画面に表示されている文書から取得する。

撮像部１３は、ＣＣＤ素子又はＣ−ＭＯＳ素子等の撮像素子、光学系部品、Ａ／Ｄ変換器等を含んで構成されるカメラであり、画像取得手段１２５に撮像した画像を送信する。画像を送信するタイミングは、後述する表示部１５に表示された署名パスワード入力画面でＰＩＮ入力が確定されたときである。カメラで取得される画像は、例えば、幅320ピクセル、高さ240ピクセル、各ピクセルはＲ、Ｇ、Ｂ３つの値からなり、それぞれが２５６階調の濃淡で表現されるカラー画像である。

入力部１４は、キーボードやテンキー、マウス、外部入力端子等によって構成される。ユーザー認証の認証情報（ユーザーＩＤとパスワード）の入力や文書ファイルの指定、署名時のＰＩＮ入力などに用いられる。

表示部１５は、液晶ディスプレイ（ＬＣＤ）などによって構成される。ユーザーに対し、ユーザー認証画面、文書ファイル一覧選択画面、文書ファイル閲覧画面、新規文書ファイル選択画面、再起案文書ファイル選択画面、署名パスワード入力画面などの各種画面を表示する。

ユーザー認証画面では、ユーザーは、ユーザーＩＤとパスワードを入力し、ユーザー認証手段１２１によりユーザー認証を受ける。

文書ファイル一覧選択画面では、ユーザー認証を受けて使用中のユーザー宛に宛先が設定されている文書ファイルが一覧表示される。また、ユーザーが起案・承認等のワークを行うために新規登録した文書ファイルが一覧表示される。ユーザーは、文書ファイルの内容を確認、処理する場合、文書ファイル閲覧画面で表示したい文書を文書ファイル一覧選択画面から選択する。

文書ファイル閲覧画面では、文書ファイルの内容及びワークフローデータ、ワークデータ入力欄及び操作ボタンを表示する。ユーザーは文書内容を確認し、コメント・緊急性・宛先などのワークデータをワークデータ入力欄へ入力し、起案や承認のために電子署名の操作ボタンを押下する。また、差戻しや再起案の操作ボタンを押下する。また、文書ファイル一覧選択画面へ戻る場合は、戻るボタンを押下する。

新規文書ファイル選択画面では、ユーザーが、起案に先立って外部アプリケーションであらかじめ作成・保存した文書ファイルを選択する。ここで選択された文書ファイルは、文書ファイル記憶部１１１へ保管される。

再起案文書ファイル選択画面では、ユーザーが、再起案に先立って外部アプリケーションであらかじめ作成・保存した文書ファイルを選択する。ここで選択された文書ファイルは文書ファイル記憶部１１１へ保管される。

署名パスワード入力画面では、ユーザーは電子署名に必要なＰＩＮを入力する。ここで正しいＰＩＮが入力されると、電子署名手段１２３は電子署名処理を行う。

ここで、図３と図４を参照し、表示部１５に表示される画面の例を説明する。
図４（ａ）は、図３（ａ）の文書ファイルを表示した文書ファイル閲覧画面において、Ｂ課長が差戻しを行うために、コメント・緊急性・宛先を入力して「差戻し」ボタンを押下、署名パスワード入力画面が重なって表示された画面の例である。ここで「ＯＫ」を押下すると、図３（ｂ）の文書ファイルが生成される。なお、文書ファイル閲覧画面の左側には、ワークフローデータを参照するため、図３（ａ）のワークデータ１１１の内容が反映された、Ａ担当の署名者顔画像と起案コメントと表示したメニュー１１１が用意されており、差戻しを行う前にこれまでのワークフローデータを確認することができる。
図４（ｂ）は、図３（ｃ）の文書ファイルを表示した文書ファイル閲覧画面において、Ｂ課長が承認を行うために、コメント・緊急性・宛先を入力して「承認」ボタンを押下、署名パスワード入力画面が重なって表示された画面の例である。文書ファイル閲覧画面では、差し戻された文書ファイル、すなわち、図３（ｂ）の文書ファイルの文書データ１００が前回文書としてワークデータ２１１の差戻し文書から読み出され、再起案された文書ファイル、すなわち図３（ｃ）の文書ファイルの文書データ２００が最新文書として読み出され、対比可能に表示されている。また、文書ファイル閲覧画面の左側には、同様に、図３（ｃ）のワークデータ２１１の内容が反映された、前回文書のワークフローデータ参照用にワークデータ２１１の差戻し文書内のワークデータ１１１、１２１の内容が反映された、Ａ担当の署名者顔画像と起案コメントと表示したメニュー１１１とＢ課長の署名者顔画像と差戻しコメントと表示したメニュー１２１が、最新文書のワークフローデータ参照用にＡ担当の署名者顔画像と起案コメントと表示したメニュー２１１が用意されており、承認を行う前にこれまでのワークフローデータを確認することができる。ここで「ＯＫ」を押下すると、図３（ｄ）の文書ファイルが生成される。

通信Ｉ／Ｆ部１６は、図２のネットワーク２との通信を行うインタフェースである。ネットワーク２は、インターネット等の広域通信網あるいは閉域通信網などであり、複数のユーザー端末装置１が接続され、また、不図示の認証局やタイムスタンプ局が接続されている。

図５を参照し、ユーザー端末装置１の処理フローを説明する。なお、以下に説明する処理フローは、制御部１２で実行されるプログラムによって制御される。

ユーザーがユーザー端末装置１を用いて、起動・ログインするところから処理が開始し、ユーザー認証画面を表示し、ユーザー認証を行う（ステップＳ１）。ユーザー認証手段１２１は、ユーザーによってユーザー認証画面で入力されたユーザーＩＤとパスワードとユーザー情報記憶部１１２のユーザーＩＤとパスワードに基づいてユーザー認証を行い、認証ＯＫであれば（ステップＳ２−Ｙｅｓ）、ステップＳ３へ進む。ユーザー認証の結果、認証ＮＧであれば（ステップＳ２−Ｎｏ）、ユーザー認証画面にエラー表示を表示すると共に、再度、ユーザー認証を受け付ける（ステップＳ１）。

ステップＳ３では、文書ファイル一覧選択画面を表示する。文書ファイル一覧選択画面では、文書ファイルの選択（文書選択）及び文書ファイルの新規登録、そして、終了の操作を受け付ける。ボタン操作を判定し（ステップＳ４）、ボタン操作が文書選択の場合、選択された文書ファイルに対し、文書ファイル検証処理を行う（ステップＳ５）。この文書ファイル検証処理については後で詳しく説明する。文書ファイル検証処理の結果を判定し（ステップＳ６）、検証結果が検証ＯＫの場合、もしくは、新規登録された文書ファイルで検証結果が署名なしの場合は、文書ファイル閲覧画面にて文書ファイルの内容を表示する（ステップＳ７）。

ステップＳ７の文書ファイル閲覧画面では、表示している文書ファイルに対し、署名、差戻し、再起案の操作を受け付ける。ボタン操作を判定し（ステップＳ８）、ボタン操作が署名及び差戻しの場合、文書ファイル署名処理を行う（ステップＳ９）。この文書ファイル署名処理については後で詳しく説明する。また、ボタン操作が再起案の場合は、再起案文書ファイル選択画面を表示、再起案する文書ファイルを取得して文書ファイル記憶部１１１に保存し（ステップＳ１３）、引き続き、文書ファイル署名処理を行う（ステップＳ９）。文書ファイル署名処理の結果を判定し（ステップＳ１０）、署名ＯＫの場合、ステップＳ３の文書ファイル一覧選択画面の表示へ戻る。署名ＮＧの場合、エラー内容とともに文書ファイルへの署名が失敗した旨の警告を表示し（ステップＳ１４）、操作を再度受け付けるため、ステップＳ７の文書ファイル閲覧画面の表示へ戻る。

ステップＳ４において、ボタン操作が新規登録の場合、Ｓ１１へ進み、新規文書ファイル選択画面を表示、新たな文書ファイルを取得して文書ファイル記憶部１１１に保存し、ステップＳ３の文書ファイル一覧選択画面の表示へ戻る。また、ボタン操作が終了であれば、処理を終了する。

ステップＳ６において、文書ファイル検証処理の検証結果が検証ＮＧの場合、文書ファイルが改竄されたか電子署名に問題がある旨の警告を表示し（ステップＳ１２）、ステップＳ３の文書ファイル一覧選択画面の表示へ戻る。

次に、図６と図７を参照し、ステップＳ５の文書ファイル検証処理及びステップＳ９の文書ファイル署名処理の詳細な処理フローを説明する。

図６は、文書ファイル検証処理を説明するフローチャートである。文書ファイル一覧が表示されたファイル選択画面で文書ファイルが選択されると、選択された文書ファイルの内容を表示するに先立ち、文書ファイル検証処理を開始する。

まず、選択された文書ファイルを記憶部１１の文書ファイル記憶部１１１から読み出し、署名が施されているか否かを判定する（ステップＳ５０１）。文書ファイルに署名が施されている場合（ステップＳ５０１−Ｙｅｓ）、文書ファイルに施された電子署名を全て抽出する（ステップＳ５０２）。最新の署名データを検証対象の署名データとして設定する（ステップＳ５０３）。署名検証手段１２４は、設定した署名データに対して、署名検証を行う（ステップＳ５０４）。署名検証の結果、署名検証ＯＫか否かを判定し（ステップＳ５０５）、署名検証ＯＫであれば（ステップＳ５０５−Ｙｅｓ）、検証した署名データと対のワークデータに差戻し文書が含まれるか否かを判定する（ステップＳ５０６）。差戻し文書が含まれない場合（Ｓ５０６−Ｎｏ）、ステップＳ５０９へ進む。

ステップＳ５０６において、差戻し文書が含まれる場合（Ｓ５０６−Ｙｅｓ）、差戻し文書の文書ファイルを対象にして、再帰的に、文書ファイル検証処理を呼び出し（ステップＳ５０７）、差戻し文書の文書ファイル検証処理の結果を判定する（ステップＳ５０８）。差戻し文書の文書ファイル検証処理の検証結果が検証ＯＫの場合（ステップＳ５０８−Ｙｅｓ）、文書ファイルの全署名データの検証処理が終わったか否かを判定し（ステップＳ５０９）、全署名データの処理が終了している場合（ステップＳ５０９−Ｙｅｓ）、検証ＯＫを出力し（ステップＳ５１０）、文書ファイル検証処理を終了する。全署名データの処理が終了していない場合（ステップＳ５０９−Ｎｏ）、ステップＳ５０３へ戻り、処理が終了していない未検証の署名データの中から最新のものを選択して次の検証対象の署名データを設定し、処理を続ける。

一方、ステップＳ５０１において、文書ファイルに署名が施されていない場合（ステップＳ５０１−Ｎｏ）、署名なしを出力し（ステップＳ５１１）、文書ファイル検証処理を終了する。また、ステップＳ５０５において文書ファイルの署名検証の結果が署名検証ＮＧの場合（ステップＳ５０５−Ｎｏ）、ステップＳ５０８において差戻し文書の文書ファイル検証処理の結果が検証ＮＧの場合（ステップＳ５０８−Ｎｏ）、検証ＮＧを出力し（ステップＳ５１２）、文書ファイル検証処理を終了する。

図７は、文書ファイル署名処理を説明するフローチャートである。文書ファイルの内容が表示された文書ファイル閲覧画面で、ワークデータがワークデータ入力欄へ入力され、起案や承認のための署名、差戻し、再起案の処理が選択されると、文書ファイル署名処理を開始する。

まず、ワークデータ入力欄の宛先の入力の有無が確認される（ステップＳ９０１）。宛先入力がある場合（ステップＳ９０１−Ｙｅｓ）、署名パスワード入力画面を表示し、ユーザーからＰＩＮ入力を受け付ける（ステップＳ９０２）。ＰＩＮ入力が確定されたタイミングで、画像取得手段１２５は、署名者顔画像を取得する（ステップＳ９０３）。ユーザーから入力されたＰＩＮを用いて、ユーザー情報記憶部１１２から読み出したＰ１２ファイルを復号できるか否か、すなわち、正しいＰＩＮが入力されたか否か判断する（ステップＳ９０４）。正しいＰＩＮが入力された場合は（ステップＳ９０４−Ｙｅｓ）、文書ファイル閲覧画面でどのボタンが押下されたかにより操作種別を判定する（ステップＳ９０５）。操作種別が署名の場合は、文書ファイル閲覧画面で表示した署名対象の文書ファイルを文書ファイル記憶部１１１から読み出し（ステップＳ９０６）、ワークフローデータ生成手段１２６は、ワークデータ入力欄で入力されたコメント・宛先・緊急性のデータ及び画像取得手段１２５から取得した署名者顔画像からワークデータを生成、文書ファイル管理手段１２２は、ステップＳ９０６で読み出した文書ファイルにワークデータを挿入し（ステップＳ９０７）、電子署名手段１２３により電子署名を施す（ステップＳ９０８）。電子署名の結果が、署名ＯＫであれば（ステップＳ９０９−Ｙｅｓ）、ワークデータを挿入した文書ファイルに署名データを挿入し、文書ファイル記憶部１１１へ書き戻し保存する（ステップＳ９１０）。そして、署名ＯＫを出力し（ステップＳ９１１）、文書ファイル署名処理を終了する。電子署名の結果が、署名ＮＧであれば（ステップＳ９０９−Ｎｏ）、署名ＮＧの内容に署名エラーをセットして（ステップＳ９１９）、署名ＮＧを出力し（ステップＳ９１４）、文書ファイル署名処理を終了する。

一方、ステップＳ９０５において、操作種別が差戻しの場合は、差戻しフラグをセットし（ステップＳ９１５）、ステップ９０６へ進む。この場合、Ｓ９０７のワークフローデータ生成では、ワークデータ入力欄で入力されたコメント・宛先・緊急性のデータ及び画像取得手段１２５から取得した署名者顔画像に加え、セットされた差戻しフラグを含めて、ワークデータが生成される。

また、ステップＳ９０５において、操作種別が再起案の場合は、文書ファイル閲覧画面で表示していた文書ファイルを文書ファイル記憶部１１１から差戻し文書ファイルとして読み出し（ステップＳ９１６）、再起案文書ファイル選択画面で指定された文書ファイルを署名対象の文書ファイルの再起案文書ファイルとして文書ファイル記憶部１１１から読み出し（ステップＳ９１７）、ステップ９０７へ進む。この場合、Ｓ９０７のワークデータ生成では、ワークデータ入力欄で入力されたコメント・宛先・緊急性のデータ及び画像取得手段１２５から取得した署名者顔画像に加え、文書ファイル記憶部１１１から読み出した差戻し文書ファイルを含めて、ワークデータが生成される。

ところで、ステップＳ９０１で宛先が未入力である場合、ユーザーが文書ファイルに対して最終署名者か否かを確認し（ステップＳ９１２）、最終署名者であれば（ステップＳ９１２−Ｙｅｓ）、ステップＳ９０２へ進む。しかし、最終署名者でなければ（ステップＳ９１２−Ｎｏ）、署名ＮＧの内容に宛先未指定エラーをセットして（ステップＳ９１３）、署名ＮＧを出力し（ステップＳ９１４）、文書ファイル署名処理を終了する。なお、署名ＮＧの内容に宛先未指定エラーがセットされ、図５のステップＳ１４の警告表示の後でステップＳ７の文書ファイル閲覧画面の表示に戻ることになるが、再度の操作できちんと宛先をユーザーが入力すれば、再度の操作における文書ファイル署名処理では宛先未指定エラーになることなく処理が続けられる。

また、ステップＳ９０４で、正しいＰＩＮが入力されなかった場合は（ステップＳ９０４−Ｎｏ）、署名ＮＧの内容にＰＩＮ入力エラーをセットして（ステップＳ９１８）、署名ＮＧを出力し（ステップＳ９１４）、文書ファイル署名処理を終了する。なお、署名ＮＧの内容にＰＩＮ入力エラーがセットされ、図５のステップＳ１４の警告表示の後でステップＳ７の文書ファイル閲覧画面の表示に戻ることになるが、ユーザーがＰＩＮを確認し、再度の操作のＰＩＮ入力画面でユーザーが正しいＰＩＮを入力すれば、再度の操作における文書ファイル署名処理ではＰＩＮ入力エラーになることなく処理が続けられる。

本発明は、上記実施の形態に限定されるものではなく、幾多の変更及び変形が可能である。たとえば、署名済み文書ファイルは、電子署名が施されている場合について説明したが、電子署名を施すとともに、ネットワークに接続されたタイムスタンプ局（図示せず）によるタイムスタンプが施されていてもよい。

また、ステップＳ９０５で操作種別が再起案の場合の後の処理での差戻し文書と再起案文書の読み出しの順序を、差戻し文書を読み出してから再起案文書を読み出すと説明したが、ワークデータ生成の処理が行われる前に差戻し文書が読み出しされれば、どちらが先でもかまわない。また、ワークデータ生成の前に文書ファイル取得及び再起案文書ファイル取得を行うと説明したが、ワークデータ生成を終えてから署名要求をする前にこれらの文書ファイルを取得してもよい。

また、文書ファイルは、記憶部１１の文書ファイル記憶部１１１に保管されているとしたが、文書ファイルを保存している場所を文書ファイル記憶部１１１に記憶させ、文書ファイルの実体は、それ以外の場所に記憶させるとしてもよい。また、ユーザーがそれぞれ異なるユーザー端末装置１を使用するような場合、記憶部１１の文書ファイル記憶部１１１及びユーザー情報記憶部１１２を、ネットワーク上に置かれたユーザー同士で共有する外部記憶装置に記憶させるようにしてもよい。

また、ワークフローを経て、文書ファイルには次々にワークデータと電子署名データのペアが付加されていくが、ワークデータと電子署名データのペアが付加された処理後の文書ファイルを保存する際に上書き保存により処理前の文書ファイルを削除するようにしてもよいし、処理前の文書ファイルの削除の要否をユーザーにより選択可能にしてもかまわない。

また、文書ファイル検証処理のステップＳ５０５で署名検証ＮＧだった場合、および、ステップＳ５０８で検証ＮＧだった場合に、すぐに検証ＮＧを出力して文書ファイル検証処理を終了する場合を説明したが、署名検証ＮＧになった署名データ及び検証ＮＧになった差戻し文書の情報を一次的に記憶して処理を続け、残りの署名データや差戻し文書の検証を全て行った上で、署名検証ＮＧになった署名データ及び検証ＮＧになった差戻し文書の情報を含めて検証ＮＧを出力してもよい。その場合、検証ＮＧの詳細な理由を警告表示することできる。また、警告表示後に、文書ファイル一覧選択画面の表示へ戻らず、警告とともに文書ファイルの内容を文書ファイル閲覧画面に表示してもよい。

また、文書ファイル署名処理で署名ＮＧだった場合に、ステップＳ７の文書ファイル閲覧画面の表示に戻り、操作を再度受け付ける場合を説明したが、署名ＯＫの場合と同様、文書ファイル一覧選択画面を表示するようにしてもよい。この場合、再度操作を行うには、文書ファイル一覧選択画面から文書ファイルを再度選択すればよい。また、署名ＯＫだった場合に、文書ファイル一覧選択画面の表示に戻る場合を説明したが、文書ファイル閲覧画面に操作を行った結果の文書ファイルを表示させるようにしてもよい。このとき、操作直後、すなわち、署名直後であっても、ステップＳ５の文書ファイル検証処理を行ってから表示してもよい。

１・・・ユーザー端末装置
１１・・・記憶部
１１１・・・文書ファイル記憶部
１１２・・・ユーザー情報記憶部
１２・・・制御部
１２１・・・ユーザー認証手段
１２２・・・文書ファイル管理手段
１２３・・・電子署名手段
１２４・・・署名検証手段
１２５・・・画像取得手段
１２６・・・ワークフローデータ生成手段
１３・・・撮像部
１４・・・入力部
１５・・・表示部
１６・・・通信インタフェース（Ｉ／Ｆ）部
２・・・ネットワーク

Claims (3)

1. １以上のユーザーによる所定の文書データに対するワークフローにおける各ワークの処理結果を含めて文書ファイルに電子署名を施す電子署名装置であって、
   署名対象の電子署名データを生成する電子署名手段と、
   前記文書ファイルを記憶する記憶手段と、
   前記ワークの処理結果を受け付ける入力手段と、
   前記ワークの処理結果を受け付けると、前記ワークのワークデータを生成するワークフローデータ生成手段と、
   前記記憶手段から前記文書ファイルを取得し、生成された前記ワークデータをメタデータとして当該文書ファイルに挿入更新し、更新した前記文書ファイルを署名対象として前記電子署名手段に電子署名要求を行い、当該電子署名要求に対する電子署名データをメタデータとして当該文書ファイルに挿入更新して、更新した前記文書ファイルを前記記憶手段に記憶する処理手段と、
   を有することを特徴とする電子署名装置。
   
2. 前記ワークフローデータ生成手段は、前記ワークの処理結果が再起案の場合、再起案した文書ファイルのワークデータに、差戻しを受けた文書ファイルを含めて生成することを特徴とする請求項１に記載の電子署名装置。
   
3. １以上のユーザーによる所定の文書データに対するワークフローにおける各ワークの処理結果を受けて生成されるワークデータのうち、あるワークで生成されたワークデータをメタデータとして当該文書ファイルに挿入更新され、更に、当該文書ファイルを署名対象として電子署名が施され、当該電子署名に対する電子署名データもメタデータとして当該文書ファイルに挿入更新された文書ファイルを記憶する記憶手段と、
   文書ファイル内部の電子署名データを検証して、当該文書ファイルが改竄されていないかを検証する検証手段と、
   前記記憶手段から前記文書ファイルを取得し、当該文書ファイルの電子署名データを前記検証手段で検証して検証に成功すると、当該電子署名データに対応するワークデータの中に差戻しを受けた文書ファイルを含むか否か判定し、前記差戻しを受けた文書ファイルを含む場合に、当該差戻しを受けた文書ファイルに対しても再帰的に内部の電子署名データの検証を行う処理手段と、
   全ての電子署名データの検証に成功すると、前記ワークフローの処理対象の文書ファイルと前記差戻しされた前記文書ファイルとを対比可能にする表示手段と、
   を有することを特徴とする署名検証装置。