JP6677887B2 - メール配信プログラム、メールサーバ及びメール配信方法 - Google Patents

Description

本発明は、メール配信プログラム、メールサーバ及びメール配信方法に関する。

従来から、電子メール（以下、メールとも称す）の送受信機能を有する情報処理端末が知られている。情報処理端末として、例えば、携帯電話機、スマートフォン、デスクトップ型やラップトップ型或いはタブレット型のPersonal Computer（ＰＣ）、Personal Data
Assistance（ＰＤＡ）といった電子機器が例示できる。

上記の情報処理端末は、有線、無線のネットワークに接続する。ネットワークには、例えば、インターネットといった公衆ネットワーク、Local Area Network（ＬＡＮ）等の有線ネットワーク、携帯電話網、無線ＬＡＮ等の無線ネットワークが含まれる。情報処理端末では、例えば、メールのアプリケーションプログラム（以下、アプリとも称す）やブラウザアプリ（Ｗｅｂブラウザ、モバイルブラウザとも呼ばれる）等の実行により、情報処理端末に接続するネットワークを介したメールの送受信機能が提供される。以下、情報処理端末において、電子メールの送受信機能を提供するメールのアプリやブラウザアプリをメーラとも称す。

情報処理端末の利用者（以下、ユーザとも称す）は、例えば、メーラを介して作成された送信メールをネットワークに発信する。送信メールには、送信メールの送信先を指定するメールアドレスが含まれる。

情報処理端末から発信された送信メールは、例えば、ネットワークに接続する単一、或いは、複数のメールサーバを介して、メールアドレスで指定された送信先の情報処理端末に配信される。メールサーバは、例えば、デスクトップ型のＰＣ、サーバといった情報処理装置である。

メールアドレスで指定された情報処理端末では、例えば、メーラに対するユーザ操作を受け付け、メールサーバを介して配信された送信メールを受信する。メールアドレスで指定された情報処理端末では、受信された送信メールは、メーラを介してLiquid Crystal Display（ＬＣＤ）等の表示デバイスに表示される。

送信メールを受信した受信ユーザは、例えば、表示デバイスに表示された送信メールを閲覧し、該送信メールのメール本文に記述された文字メッセージ等の内容を通知情報として取得する。受信ユーザは、例えば、メーラを介して、表示デバイスに表示された送信メールを引用・編集し、メッセージ等を追加して送信メールの発信者に対する応答メールを返信する。受信ユーザから返信された応答メールは、例えば、ネットワークに接続する単一、或いは、複数のメールサーバを介して、メールアドレスで指定された返信先の情報処理端末に配信される。また、受信ユーザは、メーラを介して、表示デバイスに表示された送信メールを引用・編集し、第三者に転送する。

メールの送受信機能を有する情報処理端末間では、ネットワークに接続する単一、或いは、複数のメールサーバを介して配信されたメールに基づいて各種情報のやり取りが行われる。なお、本明細書で説明する技術に関連する技術が記載されている先行技術文献としては、以下の特許文献が存在している。

特開２００４−２８９４９１号公報 国際公開第２００７／１２２９１４号

ところで、ユーザから発信されたメールの内容には、関係者以外の第三者に対して秘匿したい情報が含まれる場合がある。このような情報として、例えば、住所、電話番号、生年月日、通院歴といったユーザの個人情報やプライバシーに関る情報を例示できる。また、関係者以外の第三者に対して秘匿したい情報として、例えば、ウェブサイトやファイルサーバ等へのアクセスのための、使用メンバーが特定されているＩＤやパスワードといった情報を例示できる。

上記の秘匿したい情報が含まれるメールを送信する場合、ユーザは、例えば、メーラの誤送信防止機能やメールチェッカー等を用いて送信宛先の指定ミスを防止することが可能である。また、ユーザは、例えば、当メールは秘匿情報を含む旨を追記することで、メールの受信ユーザに対し、関係者以外への情報開示について注意を促すことが可能である。

しかしながら、送信メールを受信した受信ユーザの返信・転送操作に、メール送信者であるユーザが直接的に関与することは困難である。このため、受信ユーザが、送信メール内容を引用・編集して利用することがある。受信ユーザは、メール送信者の意図しない他者の宛先が追加された応答メールを返信する場合があった。また、例えば、受信ユーザが、メール送信者の発信した送信メールをメール送信者にとって未知の第三者に対して転送する場合があった。メールを発信したメール送信者は、受信先でのメールの返信・転送による、秘匿したい情報についての情報漏えいの被害を受ける虞があった。受信先のメールの返信・転送による、秘匿したい情報についての情報漏えいの被害を受ける虞があった。

1つの側面では、本発明は、メールが送信先から別途の宛先に転送されるときには、メ
ールの内容を秘匿することを目的とする。

上記技術は、次のメール配信プログラムの構成によって例示できる。すなわち、メール配信プログラムは、メールサーバに、送信の依頼を受け付けた第１のメールに、メールサーバが受け取ったメールを、送信先のユーザに対応する領域に格納する際に記録される、送信済みであることを示す情報が含まれている場合、又は当該第１のメールのヘッダに返信や転送であることを示す所定の文字列が含まれている場合に、当該第１のメールに含まれている、転送時に秘匿対象として定められた第１の文字列を、秘匿化する処理を行ってから送信する、ことを実行させる。

上記のメール配信プログラムを実行するコンピュータによれば、メールが送信先から別途の宛先に転送されるときには、メールの内容が秘匿できる。

メール配信システムを説明する図である。 本実施形態のメールサーバのハードウェア構成例を示す図である。 本実施形態のメールサーバのメール送信に係る処理を説明する図である。 秘匿対象の箇所がマーカーを用いて指定されたメールの文面例を示す図である。 伏せ字処理後の文面例を示す図である。 秘匿化機能を有するメールサーバにメールを送信する場合の説明図である。 秘匿化機能がないメールサーバにメールを送信する場合の説明図である。 伏せ字管理ＤＢの一例を示す図である。 図４の文面例についての伏せ字管理ＤＢの格納例を示す図である。 参照情報が追加された伏せ字処理後の文面例を示す図である。 情報処理端末に表示される照会画面例を示す図である。 送信先アドレスのドメイン名が自装置を指す場合の処理を例示するフローチャートである。 送信先アドレスのドメイン名が他のメールサーバを指す場合の処理を例示するフローチャートである。 送信先アドレスのドメイン名が他のメールサーバを指す場合に、秘匿対象の記載を伏せ字管理ＤＢに格納する処理を例示するフローチャートである。 伏せ字内容の照会処理を例示するフローチャートである。

以下、図面を参照して、一実施形態に係るメール配信プログラムが実行されるメールサーバについて説明する。以下の実施形態の構成は例示であり、本メール配信プログラムを実行するメールサーバは、以下の実施形態の構成には限定されない。以下、図１から図１５の図面に基づいて、メール配信プログラムが実行されるメールサーバを説明する。なお、本実施形態のメール配信プログラムを実行するメールサーバを、本実施形態のメールサーバとも称する。

＜実施形態＞
〔システム構成〕
図１に、メール配信システムの説明図を例示する。図１に例示のメール配信システム１は、企業Ａに設けられたメールサーバ１０ａ、企業Ｂに設けられたメールサーバ１０ｂ、企業Ｃに設けられたメールサーバ１０ｃのそれぞれが、ネットワークＮを介して相互に接続する形態の一例である。メール配信システム１では、各メールサーバを介して、それぞれのメールサーバに接続するコンピュータ間で、電子情報である電子メール（以下、メールとも称す）が送受信される。

ネットワークＮは、有線、無線の通信ネットワークである。ネットワークＮには、例えば、インターネット等の公衆ネットワーク、ＬＡＮ等の有線ネットワーク、携帯電話網、無線ＬＡＮ等の無線ネットワークが含まれる。ネットワークＮには、ＰＣ、サーバ等の情報処理装置が複数に接続され得る。

メールサーバ１０ａ、１０ｂ、１０ｃは、例えば、ＰＣ、サーバといった情報処理装置である。メールサーバ１０ａには、例えば、企業Ａ内の社内ネットワークＮａが接続する。同様にして、メールサーバ１０ｂには、例えば、企業Ｂ内の社内ネットワークＮｂが接続し、メールサーバ１０ｃには企業Ｃ内の社内ネットワークＮｃが接続する。社内ネットワークＮａ、Ｎｂ、Ｎｃは、有線、無線の通信ネットワークである。社内ネットワークＮａ、Ｎｂ、Ｎｃは、例えば、有線ＬＡＮ、無線ＬＡＮ等である。但し、社内ネットワークＮａ，Ｎｂ，Ｎｃは、Virtual Private Network（ＶＰＮ）等のように、遠隔地を接続す
るものであってもよい。

図１において、社内ネットワークＮａには、情報処理端末３０−１、３０−２が接続する。同様にして、社内ネットワークＮｂには情報処理端末３０−３が接続し、社内ネットワークＮｃには情報処理端末３０−４が接続する。なお、情報処理端末３０−１等を総称して情報処理端末３０とも称する。各社内ネットワークには、複数の情報処理端末３０が接続され得る。

情報処理端末３０は、メールの送受信機能を有するコンピュータである。情報処理端末
３０として、例えば、携帯電話機、スマートフォン、デスクトップ型やラップトップ型或いはタブレット型のＰＣ、ＰＤＡ等の電子機器が例示できる。

情報処理端末３０のメールの送受信機能は、例えば、メーラ（メールアプリ、ブラウザアプリ等）により提供される。以下では、メールの送受信機能を提供するアプリを総称してメーラとも称する。情報処理端末３０では、搭載されたメーラの実行により、メールの作成や送受信、受信されたメールの保存・管理が行われる。

なお、情報処理端末３０は、メーラを搭載し、各社内ネットワークに接続可能であれば、例えば、複写機としての機能を有する複合機や、ゲーム機、デジタルカメラ等であってもよい。また、情報処理端末３０は、例えば、利用者（以下、ユーザとも称す）の身体に装着可能なウェアラブル式の電子機器であってもよい。

情報処理端末３０のユーザには、固有のメールアドレスが付与される。情報処理端末３０のユーザに割り当てられた固有のメールアドレスは、例えば、情報処理端末３０が接続する社内ネットワークシステムのメールサーバで管理される。図１の例では、例えば、情報処理端末３０−１、３０−２を利用するユーザのそれぞれのメールアドレスは、社内ネットワークＮａに接続するメールサーバ１０ａで管理される。同様にして、情報処理端末３０−３を利用するユーザのメールアドレスは、社内ネットワークＮｂに接続するメールサーバ１０ｂで管理される。また、情報処理端末３０−４を利用するユーザのメールアドレスは、社内ネットワークＮｃに接続するメールサーバ１０ｃで管理される。なお、以下では、各ユーザの利用する情報処理端末３０に対して固有のメールアドレスが割り当てられているものとして説明する。

情報処理端末３０において、メーラを介して作成されたメールには、ヘッダとボディが含まれる。メールのヘッダには、例えば、送信先のメールアドレス、送信元のメールアドレス、件名、送信日時、メールのメッセージＩＤ等の情報が含まれる。メールのボディには、例えば、文字メッセージ等の本文が含まれる。メールのボディには、例えば、画像、音声、プログラム等の添付情報が含まれ得る。なお、以下の説明では、送信先のメールアドレスを「送信先アドレス」、送信元のメールアドレスを「送信元アドレス」とも称する。

情報処理端末３０で作成された送信メールは、情報処理端末３０が接続する社内ネットワークを介してメールサーバに発信される。例えば、情報処理端末３０−１で作成された送信メールは、社内ネットワークＮａを介してメールサーバ１０ａに発信される。情報処理端末３０−２、３０−３、３０−４に接続するそれぞれの社内ネットワークおよびメールサーバについても同様の送信動作が行われる。

情報処理端末３０と各社内ネットワークで接続するそれぞれのメールサーバとは、所定の通信プロトコルに基づいてメールの送受信が行われる。メーラを実行する情報処理端末３０は、例えば、Simple Mail Transfer Protocol（ＳＭＴＰ）といった通信プロトコル
を用いて作成された送信メールをメールサーバに送信する。また、メーラを実行する情報処理端末３０は、例えば、Post Office Protocol version 3（ＰＯＰ３）、Internet Message Access Protocol version 4（ＩＭＡＰ４）といった通信プロトコルを用いてメールサーバに配信されたメールを受信する。

各メールサーバは、それぞれに接続する社内ネットワークを介して情報処理端末３０から発信された送信メールの送信依頼を受け付ける。送信メールのヘッダには、送信先アドレスが含まれる。各メールサーバは、送信メールのヘッダに含まれる送信先アドレスに基づいて、上記送信依頼を受け付けた送信メールの配信を行う。

送信メールに含まれるメールアドレスは、例えば、“ローカルパート”と“ドメイン名”を含む。以下の説明では、“ローカルパート”を“ユーザ名”とも称する。“ユーザ名”は、各社内ネットワークに接続する情報処理端末３０を利用するユーザを識別する名称であり、“ドメイン名”は、上記ユーザが所属する組織を表す情報である。一例として、ドメイン名は、ユーザのメールアドレスを管理するメールサーバの識別名称であってもよい。“ユーザ名”と“ドメイン名”は、例えば、“＠”といった記号により連結されて使用される。“＠”記号で連結された“ユーザ名”と“ドメイン名”を含むメールアドレスにより、ネットワーク上の情報処理端末３０の接続位置が一意に特定される。

各メールサーバは、例えば、送信先アドレスのドメイン名から、送信メールを配信するための宛先となるメールサーバのＩＰアドレスを特定する。Internet Protocol（ＩＰ）
アドレスの特定は、例えば、ネットワーク上のDomain Name Sever（ＤＮＳ）への、ドメ
イン名の問合せにより行われる。各メールサーバは、ＩＰアドレスで特定されるメールサーバを宛先として、受け付けた送信メールを配信する。メールサーバ間の送信メールの転送は、例えば、ＳＭＴＰといった通信プロトコルに沿って実行される。

ＩＰアドレスで特定されたメールサーバは、例えば、転送された送信メールをメールアドレスのユーザ名に対応付けられたメールボックス等に格納する。メールボックスは、メールサーバに設けられた記憶領域である。メールボックスには、例えば、メールアドレスのユーザ名を宛先とした受信メールが格納される。メールボックスは、メールサーバが管理するメールアドレス毎に設けられる。なお、送信メールアドレスで指定されるドメイン名が、自装置を指し示す場合には、各メールサーバは、ユーザ名に対応付けられたメールボックス等に受け付けた送信メールを格納する。

図１において、例えば、社内ネットワークＮａに接続する情報処理端末３０−１から、情報処理端末３０−２、情報処理端末３０−３を宛先として送信メールが発信されたと想定する。社内ネットワークＮａに接続するメールサーバ１０ａは、例えば、情報処理端末３０−１から発信された送信メールの送信依頼を受け付ける。そして、メールサーバ１０ａは、送信メールのヘッダに含まれる送信先アドレスに基づいて、情報処理端末３０−１から発信された送信メールの配信処理を行う。送信メールの配信処理は、例えば、メールアドレス毎に行われる。

メールサーバ１０ａは、送信先アドレスのドメイン名、例えば、情報処理端末３０−３のメールアドレスのドメイン名からメールサーバ１０ｂのＩＰアドレスを特定する。メールサーバ１０ｂには、社内ネットワークＮｂを介して情報処理端末３０−３が接続する。

メールサーバ１０ａは、情報処理端末３０−１から発信された送信メールをネットワークＮを介し、ＩＰアドレスで特定されるメールサーバ１０ｂに転送する。メールサーバ１０ｂは、メールサーバ１０ａから転送された送信メールを、送信先アドレスのユーザ名に対応付けられたメールボックス等に格納する。メールボックス等に格納された送信メールは、例えば、メーラを実行する情報処理端末３０−３に受信される。

同様にして、メールサーバ１０ａは、送信先アドレスのドメイン名、例えば、情報処理端末３０−２のメールアドレスのドメイン名が自装置を指し示すことを特定する。メールサーバ１０ａは、情報処理端末３０−１から発信された送信メールを、送信先アドレスのユーザ名に対応付けられたメールボックス等に格納する。メールボックス等に格納された送信メールは、例えば、社内ネットワークＮａを介し、メーラを実行する情報処理端末３０−１に受信される。

情報処理端末３０−２、３０−３のユーザは、例えば、メールサーバ１０ａ、１０ｂを介して受信された送信メールをメーラ上で引用・編集し、応答メールを作成する。応答メールは、受信された送信メールの発信元である情報処理端末３０−１を宛先として返信される。情報処理端末３０−２から発信された応答メールは、メールサーバ１０ａを介して情報処理端末３０−１に返信される。同様にして、情報処理端末３０−３から発信された応答メールは、メールサーバ１０ｂ、１０ａを介して情報処理端末３０−１に返信される。

ここで、情報処理端末３０−２、３０−３から発信された応答メールには、情報処理端末３０−１のユーザが意図しない第三者のメールアドレスが宛先として含まれ得る。また、情報処理端末３０−１から発信された送信メールは、情報処理端末３０−２、３０−３のユーザを介し、情報処理端末３０−１のユーザが意図しない第三者に転送され得る。情報処理端末３０−１のユーザが意図しない第三者に転送された場合には、情報処理端末３０−２、３０−３のユーザを介して、秘匿したい情報についての情報漏えいの被害を受ける虞があった。

〔実施形態の処理の例示〕
図１で説明したように、情報処理端末３０−１から発信されたメールは、以下の手順で送信先アドレスが割り当てられた他の情報処理端末３０に届けられる。例えば、メールサーバ１０ａでは、情報処理端末３０−１から発信されたメールの送信依頼を受け付けると、メールのヘッダに含まれる送信先アドレスに基づいて配信処理が行われる。配信処理は、送信先アドレス毎に行われる。配信処理により、メールサーバ１０ａが受け付けたメールは、送信先アドレスのドメイン名（ＩＰアドレス）で指定されるメールサーバ１０ａ、１０ｂ、１０ｃに受信される。各メールサーバで受信されたメールは、例えば、送信先アドレスのユーザ名に対応付けられたメールボックス等に格納される。メールボックス等に格納されたメールは、例えば、メーラを実行する送信先アドレスが割り当てられた情報処理端末３０に受信される。

本実施形態のメールサーバは、自装置宛に配信されたメールが送信元のユーザから初回に発信されたメールか、或いは、送信元のユーザに届けられたメールの返信・転送であるかを判定する。上記判定は、例えば、メールに、受け取り手に届けたことを示す情報が含まれているか否かで判別できる。

メールサーバは、例えば、自装置宛に配信されたメールを送信先アドレスのユーザ名に対応付けられたメールボックス等に格納する際に、受け取り手に届けたことを示す情報をメールに記録する。受け取り手に届けたことを示す情報の記録箇所はメールのヘッダであってもボディであってもよい。但し、自装置宛に配信されたメールが既に上記情報を含む場合には、メールサーバは、メールに対する上記情報の記録は行わない。

ここで、受け取り手に届けたことを示す情報として、例えば、予め定められた所定の文字列が例示できる。例えば、“Ｘ０Ｘ０Ｘ０Ｘ０”といった文字と数字を組合せた文字列や、自装置のＩＰアドレス：ＺＺＺＺＺＺＺを記号と組合せた“＃＃＃ＺＺＺＺＺＺＺ＃＃＃”といった文字列が例示できる。

メールサーバは、メールを解析し、上記情報が含まれるか否かを判別する。メールサーバは、自装置宛に配信されたメールが上記情報を含む場合には、送信元のユーザに届けられたメールの返信・転送であると特定できる。また、メールサーバは、自装置宛に配信されたメールに上記情報が含まれない場合には、送信元のユーザから初回に発信されたメールであると特定できる。なお、メールサーバは、自装置宛に配信されたメールに上記情報が含まれない場合には、受け取り手に届けたことを示す情報をメールに記録する。受け取
り手に届けたことを示す情報が記録されたメールは、例えば、送信先アドレスのユーザ名に対応付けられたメールボックス等に格納される。

また、例えば、メールサーバは、メールを解析し、ヘッダに含まれる件名の先頭位置にメールの返信や転送を示す「ＲＥ：」といった文字列が含まれていることを特定するとしてもよい。メールサーバは、自装置宛に配信されたメールの件名に上記文字列が存在する場合には、ユーザに届けられたメールの返信・転送であると判別できる。

本実施形態のメールサーバは、自装置宛に配信されたメールが送信元のユーザに届けられたメールの返信・転送である場合には、メールに記載された秘匿対象（秘匿情報）を秘匿化する。秘匿対象は、秘匿したい情報をメールに記載して発信したユーザによって指定される。メールサーバは、メールに記載された秘匿対象の箇所を指定に従って特定し、特定した秘匿対象を秘匿化する。

秘匿対象の秘匿化は、例えば、メールに記載された秘匿対象の文字・文字列を黒丸や黒四角といった記号、絵文字等に置き換えることが例示できる。秘匿化により、秘匿化前の秘匿対象の文字・文字列が判別不能の状態に変換できればよい。

メールサーバは、メールの秘匿対象が秘匿化されたメールを送信先アドレスのユーザ名に対応付けられたメールボックス等に格納する。送信先アドレスが割り当てられた情報処理端末３０では、メーラの実行により、メールボックス等に格納されたメールが受信される。送信先アドレスが割り当てられた情報処理端末３０のユーザには、メール内の秘匿対象が秘匿化されたメールが届けられる。この結果、本実施形態のメールサーバでは、メールが受信先から別途の宛先に返信・転送されるときには、メールの内容を秘匿することが可能になる。

（配信先のメールサーバには秘匿化機能がない場合）
情報処理端末３０から発信されたメールが他のメールサーバに配信される場合、配信先のメールサーバが本実施形態のメールサーバであれば、メールに記載された秘匿対象を秘匿化することが可能である。しかし、配信先のメールサーバが、本実施形態のメールサーバでない場合には、メールに記載された秘匿対象を秘匿化することは困難である。このため、配信先のメールサーバからメールが届けられた情報処理端末３０の返信・転送メールによって、届けられたメールに記載の秘匿内容が漏えいする虞がある。

本実施形態のメールサーバは、送信依頼を受け付けたメールの配信の際に、送信先アドレスのドメイン名で指定されるメールサーバに対して、秘匿化機能を有するかの問合せを行う。送信先アドレスのドメイン名で指定されるメールサーバに対する問合せは、例えば、Transmission Control Protocol/Internet Protocol（ＴＣＰ／ＩＰ）といった通信プ
ロトコルを用いて行われる。

本実施形態のメールサーバは、秘匿化機能を有するかの問合せを受けると問合せ元のメールサーバに対して、秘匿化機能を有することを示す予め定められた応答を行う。本実施形態のメール配信プログラムの実行による処理を提供しないメールサーバでは、予め定められた応答が存在しないため、上記問合せに対する応答が返答されることはない。本実施形態のメールサーバは、例えば、上記問合せに対するタイムアウト等を検出することで、配信先のメールサーバには秘匿化機能がないことを判別できる。

本実施形態のメールサーバは、配信先のメールサーバが秘匿化機能を有する場合には、送信依頼を受け付けたメールを配信する。配信先のメールサーバでは、例えば、メールに記録された受け取り手に届けたことを示す情報の有無を判定し、メールに記載の秘匿対象
が秘匿化される。

一方、配信先のメールサーバには秘匿化機能が無い場合には、本実施形態のメールサーバは、送信依頼を受け付けたメールに対して秘匿化処理を行う。そして、本実施形態のメールサーバは、配信先のメールサーバに秘匿化処理が施されたメールを配信する。送信先アドレスの情報処理端末３０には、秘匿対象が秘匿化されたメールが届けられる。本実施形態のメールサーバでは、配信先のメールサーバには秘匿化機能が無い場合であっても、メールが届けられた宛先のユーザの返信・転送メールによる秘匿内容の情報漏えいが防止できる。

なお、本実施形態のメールサーバは、配信先のメールサーバには秘匿化機能が無い場合には、送信元アドレスの情報処理端末３０にアラート（警告）を通知した上で送信依頼を受け付けたメールの配信処理を中止するとしてもよい。本実施形態のメールサーバは、メールに記載の秘匿内容の情報漏えいを未然に防ぐことができる。

ところで、配信先のメールサーバには秘匿化機能が無い場合では、秘匿対象を秘匿化したメールが届けられた受け取り手のユーザは、本来知り得る秘匿対象の内容を知ることができない状態になる。

本実施形態のメールサーバは、例えば、メールに記載された秘匿対象の内容を参照するための参照情報を秘匿化処理が施されたメールに追加する。そして、本実施形態のメールサーバは、メールに記載された秘匿対象の内容が格納されたデータベース（以下、ＤＢとも称す）を備える。メールに記載された秘匿対象の内容は、例えば、該内容を一意に識別する番号と関連付けられてデータベースに格納される。

ここで、秘匿化処理が施されたメールに追加される参照情報は、メールに記載された秘匿対象の内容を一意に識別する番号が含まれる情報である。例えば、参照情報としてデータベースを備えるメールサーバのＩＰアドレスと上記番号とを組合せた情報が例示できる。参照情報に、データベースを備えるメールサーバのＩＰアドレスを含めることで、メールが届けられた受け取り手のユーザは、該ＩＰアドレスで指定されるメールサーバへのアクセスが可能となる。

参照情報が追加されたメールの受け取り手のユーザは、例えば、ブラウザアプリを介してＩＰアドレスで指定されるメールサーバにアクセスし、ＩＰアドレスと組合せられた番号に基づいて、メールに記載された秘匿対象の内容を照会することが可能となる。本実施形態のメールサーバは、メールの受け取り手のユーザからの照会に応じて、データベースに格納された秘匿対象の内容を開示することができる。

なお、本実施形態のメールサーバは、秘匿対象の内容の開示について、例えば、該内容を参照する回数を制限するとしてもよい。例えば、参照する回数を１回に限定することができる。メールサーバは、秘匿対象の内容を参照する回数を制限することで、不要な情報の開示を抑制できる。

〔装置構成〕
図２に、本実施形態のメール配信プログラムが実行されるメールサーバのハードウェア構成の一例を例示する。図２に例示のメールサーバ１０は、接続バスＢ１によって相互に接続されたCentral Processing Unit（ＣＰＵ）１１、主記憶部１２、補助記憶部１３、
入力部１４、出力部１５、通信部１６を有する。主記憶部１２および補助記憶部１３は、メールサーバ１０が読み取り可能な記録媒体である。

メールサーバ１０は、ＣＰＵ１１が補助記憶部１３に記憶されたプログラムを主記憶部１２の作業領域に実行可能に展開し、プログラムの実行を通じて周辺機器の制御を行う。これにより、メールサーバ１０は、所定の目的に合致した処理を実行することができる。

ＣＰＵ１１は、メールサーバ１０全体の制御を行う中央処理演算装置である。ＣＰＵ１１は、補助記憶部１３に格納されたプログラムに従って処理を行う。主記憶部１２は、ＣＰＵ１１がプログラムやデータをキャッシュしたり、作業領域を展開したりする記憶媒体である。主記憶部１２は、例えば、フラッシュメモリ、Random Access Memory（ＲＡＭ）やRead Only Memory（ＲＯＭ）を含む。

補助記憶部１３は、各種のプログラムおよび各種のデータを読み書き自在に記録媒体に格納する。補助記憶部１３は、外部記憶装置とも呼ばれる。補助記憶部１３には、例えば、Operating System（ＯＳ）、各種プログラム、各種テーブル等が格納される。ＯＳは、例えば、通信部１６を介して接続される外部装置等とのデータの受け渡しを行う通信インターフェースプログラムを含む。外部装置等には、例えば、ネットワークＮ、各社内ネットワーク上のＰＣやサーバ等の情報処理装置、情報処理端末３０、外部記憶装置等が含まれる。

補助記憶部１３は、例えば、Erasable Programmable ROM（ＥＰＲＯＭ）、ソリッドス
テートドライブ装置、ハードディスクドライブ（ＨＤＤ、Hard Disk Drive）装置等であ
る。また、補助記憶部１３としては、例えば、Compact Disc（ＣＤ）ドライブ装置、Digital Versatile Disc（ＤＶＤ）ドライブ装置、Blu-ray（登録商標） Disc（ＢＤ）ドライブ装置等が提示できる。記録媒体としては、例えば、不揮発性半導体メモリ（フラッシュメモリ）を含むシリコンディスク、ハードディスク、ＣＤ、ＤＶＤ、ＢＤ、Universal Serial Bus（ＵＳＢ）メモリ、Secure Digital（ＳＤ）メモリカード等がある。

入力部１４は、メールサーバ１０の管理者等からの操作指示等を受け付ける。入力部１４は、例えば、電源ボタン、操作用ボタン等の入力ボタン、ポインティングデバイス、マイクロフォン等の入力デバイスである。入力部１４には、キーボード、ワイヤレスリモコンといった入力デバイスが含まれるとしてもよい。ポインティングデバイスには、例えば、タッチセンサと出力部１５のＬＣＤ等の表示デバイスとを組合せたタッチパネル、マウス、トラックボール、ジョイスティックが含まれる。

出力部１５は、ＣＰＵ１１で処理されるデータや情報、主記憶部１２、補助記憶部１３に記憶されるデータや情報を出力する。出力部１５には、例えば、ＬＣＤ、Plasma Display Panel（ＰＤＰ）、Electroluminescence（ＥＬ）パネル、有機ＥＬパネル等の表示デ
バイスが含まれる。また、出力部１５は、プリンタ、スピーカ等の出力デバイスであってもよい。通信部１６は、例えば、メールサーバ１０に接続するネットワークＮ、各社内ネットワーク等とのインターフェースである。

メールサーバ１０は、ＣＰＵ１１が補助記憶部１３に記憶されているＯＳ、各種プログラムや各種データを主記憶部１２に読み出して実行することで、対象プログラムの実行と共に図２に例示の各処理部を提供する。各種プログラムには、本実施形態のメール配信プログラムが含まれる。

メールサーバ１０では、対象プログラムの実行により、メール受信部１０１、伏せ字処理部１０２、伏せ字管理部１０３の各処理部が提供される。なお、メールサーバ１０は、以上の各処理部が参照し、或いは、管理するデータの格納先として、例えば、伏せ字管理ＤＢ２０１を補助記憶部１３に備える。ここで、ＣＰＵ１１の対象プログラムの実行により提供される各処理部が「受付部」、「処理部」の一例である。また、補助記憶部１３、
或いは、補助記憶部１３に備える伏せ字管理ＤＢ２０１が「記憶部」の一例である。

ここで、本実施形態のメールサーバ１０は、例えば、複数の情報処理装置によって構成されるとしてもよい。例えば、伏せ字管理ＤＢ２０１を有する外部記憶装置が、ネットワークＮ、各社内ネットワークに接続する。各社内ネットワークには、情報処理端末３０のメールアドレスを管理する情報処理装置が接続し、メール受信部１０１の処理を提供する。そして、各社内ネットワークには、伏せ字処理部１０２、伏せ字管理部１０３の処理を提供する情報処理装置が接続する。ネットワーク上の各情報処理装置および外部記憶装置が共同して本実施形態のメール配信プログラムを実行することで、本実施形態のメール配信プログラムの実行に係る処理負荷が分散できる。

〔各処理部の構成〕
図３−図１１の図面を参照し、本実施形態のメールサーバ１０の各処理部の動作を説明する。図３は、図１に例示のメールサーバ１０ａ、１０ｂが、本実施形態のメール配信プログラムを実行する形態のメール配信システム１の一例である。図３に例示の、メールサーバ１０ａ、１０ｂ、１０ｃ、各社内ネットワーク、情報処理端末３０、ネットワークＮは、図１と同様である。但し、メールサーバ１０ａ、１０ｂでは、本実施形態のメール配信プログラムにより、メール受信部１０１、伏せ字処理部１０２、伏せ字管理部１０３が実行される。メールサーバ１０ａ、１０ｂは、それぞれの補助記憶部１３に伏せ字管理ＤＢ２０１を備える。

図３において、社内ネットワークＮａに接続する情報処理端末３０−１から、同ネットワークＮａに接続する情報処理端末３０−２を宛先としたメールが発信された場合を想定する。図３の経路Ｒ１に示すように、情報処理端末３０−１から発信されたメールは、社内ネットワークＮａに接続するメールサーバ１０ａに通信部１６を介して受信される。メールサーバ１０ａのメール受信部１０１は、通信部１６を介して受信された、情報処理端末３０−１が発信するメールの送信依頼を受け付ける。

メール受信部１０１は、送信依頼を受け付けたメールのヘッダから、宛先の情報処理端末３０−２のドメイン名が自装置のＩＰアドレスを指し示すことを特定し、受け付けたメールを自装置に配信する。配信されたメールは、例えば、メールサーバ１０ａの主記憶部１２の所定の領域に一時的に記憶される。

メール受信部１０１は、受け付けたメールを対象として、送信元のユーザから初回に発信されたメールか、或いは、送信元のユーザに届けられたメールの返信・転送であるかを判定する。ここで、送信元のユーザは、送信依頼を受け付けたメールを発信した情報処理端末３０−１のユーザである。

なお、上記判定は、例えば、受け付けたメールに、受け取り手（送信元のユーザ）に届けたことを示す情報が含まれているか否かで行われる。受け取り手に届けたことを示す情報は、既に説明したように、例えば、予め定められた所定の文字列である。メール受信部１０１は、例えば、メールを解析し、メールのヘッダあるいはボディに上記情報が含まれているかを判別する。

メール受信部１０１は、受け付けたメールに上記情報が含まれている場合には、受け付けたメールを伏せ字処理部１０２に引き渡す。一方、メール受信部１０１は、受け付けたメールに上記情報が含まれていない場合には、受け付けたメールに対して上記情報を記録し、記録したメールを送信先アドレスのユーザ名に対応付けられたメールボックス等に格納する。

図３の経路Ｒ２に示すように、メールボックス等に格納されたメールは、例えば、送信先アドレスが割り当てられた情報処理端末３０−２に送信される。情報処理端末３０−２のユーザには、受け取り手に届けたことを示す情報が記録されたメールが届けられる。

情報処理端末３０−２が、情報処理端末３０−１から届けられたメールを返信・転送する場合には、メールサーバ１０ａは、上記情報に基づいて、情報処理端末３０−２へ届けられたメールの返信・転送であることを判別できる。

伏せ字処理部１０２は、メール受信部１０１から引き渡されたメール内の秘匿対象の記載を秘匿化する。秘匿対象は、秘匿したい情報をメールに記載して発信したユーザによって指定される。伏せ字処理部１０２は、メールに記載された秘匿対象の箇所を指定に従って特定し、特定した秘匿対象を秘匿化する。

図４に、秘匿対象の箇所がマーカーを用いて指定されたメールの文面例を例示する。マーカーとは、メール内の秘匿対象の記載を指定する指標を指す。秘匿したい情報をメールに記載して発信するユーザは、マーカーを用いて秘匿したい情報の記載箇所を指定する。図４は、秘匿対象の記載の開始位置を示すマーカー、および終了位置を示すマーカーが用いられた例である。開始位置を示すマーカーと終了位置を示すマーカーにより、メールを発信するユーザは、秘匿したい情報の記載範囲を指定する。なお、以下においては、秘匿対象の記載の開始位置を示すマーカーを「開始マーカー」、秘匿対象の記載の終了位置を示すマーカーを「終了マーカー」とも称する。

図４の文面例では、開始マーカーとして文字列“＠＠ｓｔ＠＠”が使用され、終了マーカーとして文字列“＠＠ｅｄ＠＠”が使用されている。開始マーカーは記号“＠＠”内の文字列“ｓｔ”で記載開始であることを示し、終了マーカーは“ｅｄ”で記載終了であることを示している。

破線で囲まれた矩形領域Ｚ１において、開始マーカーと終了マーカーとの間がメール内の秘匿対象の記載範囲である。矩形領域Ｚ１において、“＠＠ｓｔ＠＠”と“＠＠ｅｄ＠＠”との間には、文字列“ｍｙｉｄ”、“ｘｙｚａｂｃ”が記載されている。図４の文面例では、アカウントを示す文字列“ｍｙｉｄ”、パスワードを示す文字列“ｘｙｚａｂｃ”が秘匿対象の情報であることがわかる。

伏せ字処理部１０２は、メール受信部１０１から引き渡されたメールのボディを対象として、開始マーカー、終了マーカーの検索を実行する。上記メールに、開始マーカーおよび終了マーカーで指定する秘匿したい情報が存在する場合には、伏せ字処理部１０２は、開始マーカー、終了マーカーを検出する。伏せ字処理部１０２は、検出した開始マーカー、終了マーカーに基づいて、記載範囲が指定された文字列“ｍｙｉｄ”、“ｘｙｚａｂｃ”を特定する。

なお、伏せ字処理部１０２は、開始マーカー、終了マーカーの検索を実行し、上記各マーカーを検出しなかった場合には、メール受信部１０１から引き渡されたメールを送信先アドレスのユーザ名に対応付けられたメールボックス等に格納する。伏せ字処理部１０２は、開始マーカー、終了マーカーが検出できなかった場合には、引き渡されたメールには、ユーザの意図する秘匿したい情報は存在しないと判断できるからである。メールボックス等に格納されたメールは、送信先アドレスが割り当てられた情報処理端末３０−２に送信される（経路Ｒ２）。

伏せ字処理部１０２は、メールから特定された文字列“ｍｙｉｄ”、“ｘｙｚａｂｃ”を対象として秘匿化処理を行う。秘匿化処理は、秘匿化前の秘匿対象の文字・文字列が判
別不能の状態に変換するものであればよい。秘匿化処理の一例として、秘匿対象の文字・文字列を黒丸や黒四角といった記号、絵文字等に置き換えることが例示できる。以下の説明では、秘匿対象の文字・文字列を黒丸や黒四角といった判別不能の記号、絵文字等に置き換えることを、「伏せ字にする」とも称する。また、秘匿対象の文字・文字列を黒丸や黒四角といった判別不能の記号、絵文字等に置き換える処理を「伏せ字処理」とも称する。

伏せ字処理では、伏せ字処理部１０２は、例えば、特定された文字列“ｍｙｉｄ”に含まれる文字の各文字コードを、それぞれ、黒丸に対応する文字コードに変換する。同様にして、伏せ字処理部１０２は、特定された文字列“ｘｙｚａｂｃ”に含まれる文字の各文字コードを、それぞれ、黒丸に対応する文字コードに変換する。伏せ字処理部１０２は、文字コードの変換のための、予め置き換えられる記号（例えば黒丸）等の文字コードを予め保持する。

図５に、伏せ字処理後の文面例を例示する。図５の文面例は、図４の秘匿対象について、上記の黒丸による文字コード変換を施した場合の一例である。開始マーカー、終了マーカーで記載範囲が指定された文字列“ｍｙｉｄ”は、図５の領域Ｚ２に示すように、４個の黒丸記号が連続した“●●●●”に置き換えられている。また、図５の領域Ｚ３に示すように、文字列“ｘｙｚａｂｃ”に対応する記載箇所は、６個の黒丸記号が連続した“●●●●●●”に置き換えられている。

開始マーカー、終了マーカーを用いて秘匿対象の記載範囲が指定された各文字列は、変換された黒丸記号によって塗り潰されているため、秘匿化前の秘匿対象の記載内容が判別不能の状態に変換されていることがわかる。また、秘匿対象を指定する開始マーカー、終了マーカーが秘匿前の文面例から削除されていることがわかる。

伏せ字処理部１０２は、伏せ字処理が施され、開始マーカー、終了マーカーが削除された処理後のメールを送信先アドレスのユーザ名に対応付けられたメールボックス等に格納する。メールボックス等に格納されたメールは、送信先アドレスが割り当てられた情報処理端末３０−２に送信される（経路Ｒ２）。情報処理端末３０−２のユーザには、図５の文面例の、文伏せ字処理が施され、開始マーカー、終了マーカーが削除されたメールが届けられる（経路Ｒ２）。

なお、秘匿対象の記載を指定するマーカーは、例えば、文字の色付け、文字列への彩色、フォントサイズの変更、下線やハッチング等の修飾処理であってもよい。メールサーバ１０は、情報処理端末３０との間で秘匿対象の記載を指定するマーカーの使用形態を予め定めておけばよい。予め定められたマーカーの使用形態は、メールサーバ１０で実行されるコンピュータプログラムに記述しておけばよい。

また、メールサーバ１０は、例えば、“ＮＧワード”といった形態で秘匿対象となる記載（文字・文字列）を予め登録したＤＢを備え、該ＤＢに登録された秘匿対象の記載とメールとを照合することで秘匿対象の記載を特定するとしてもよい。秘匿対象となる記載（文字・文字列）は、送信先アドレス毎に登録されるとしてもよく、社内ネットワーク毎に共通して登録されるとしてもよい。

（他のメールサーバに配信する場合）
図６に、秘匿化機能を有するメールサーバにメールを送信する場合の説明図を例示する。なお、図６のメール配信システム１は、図３と同様である。メールサーバ１０ａ、１０ｂは、本実施形態のメール配信プログラムを実行する。

図６において、社内ネットワークＮａに接続する情報処理端末３０−１から、情報処理端末３０−３を宛先としたメールが発信された場合を想定する。図６の経路Ｒ１に示すように、情報処理端末３０−１から発信されたメールは、社内ネットワークＮａに接続するメールサーバ１０ａに通信部１６を介して受信される。メールサーバ１０ａのメール受信部１０１は、通信部１６を介して受信された、情報処理端末３０−１が発信するメールの送信依頼を受け付ける。

（配信先のメールサーバが秘匿化機能を有する場合）
メール受信部１０１は、送信依頼を受け付けたメールのヘッダから、宛先の情報処理端末３０−３のドメイン名を特定する。メール受信部１０１は、特定したドメイン名から、送信依頼を受け付けたメールの中継先であるメールサーバ１０ｂを特定する。メール受信部１０１は、特定したメールサーバ１０ｂに対し、秘匿化機能を有するかの問合せを行う（経路Ｒ３）。メールサーバ１０ｂへの問合わせは、例えば、ＴＣＰ／ＩＰといった通信プロトコルを用いて行われる。

メール受信部１０１は、秘匿化機能を有するかの問合せに対する応答から、メールサーバ１０ｂが、秘匿化機能を有することを特定する（経路Ｒ４）。メール受信部１０１は、送信依頼を受け付けたメールをメールサーバ１０ｂに送信する。情報処理端末３０−１から発信されたメールは、情報処理端末３０−３のメールアドレスのドメイン名から特定されたメールサーバ１０ｂに送信される（経路Ｒ５）。

メールサーバ１０ｂでは、メールサーバ１０ａから送信されたメールが受信される。メールサーバ１０ｂは、情報処理端末３０−３を宛先とするメールを対象として、図３−図５を用いて説明したメール受信部１０１、伏せ字処理部１０２の処理を実行する。メールサーバ１０ｂでは、情報処理端末３０−３を宛先とするメールを対象として、受け取り手（情報処理端末３０−３）に届けたことを示す情報が記録される。また、受信したメールが上記情報を含む場合には、メールに記載された秘匿対象の文字列が秘匿化される。メール受信部１０１、伏せ字処理部１０２の処理により、上記の処理が施されたメールは、情報処理端末３０−３に届けられる（経路Ｒ６）。

（配信先のメールサーバには秘匿化機能がない場合）
図７に、秘匿化機能がないメールサーバにメールを送信する場合の説明図を例示する。なお、図７のメール配信システム１は、図６と同様である。図７では、社内ネットワークＮａに接続する情報処理端末３０−１から、情報処理端末３０−４を宛先としたメールが発信された場合を想定する。図７の経路Ｒ１に示すように、情報処理端末３０−１から発信されたメールは、社内ネットワークＮａに接続するメールサーバ１０ａに通信部１６を介して受信される。メールサーバ１０ａのメール受信部１０１は、通信部１６を介して受信された、情報処理端末３０−１が発信するメールの送信依頼を受け付ける。

メール受信部１０１は、送信依頼を受け付けたメールのヘッダから、宛先の情報処理端末３０−４のドメイン名を特定する。メール受信部１０１は、特定したドメイン名から、送信依頼を受け付けたメールの中継先であるメールサーバ１０ｃを特定する。メール受信部１０１は、特定したメールサーバ１０ｃに対し、秘匿化機能を有するかの問合せを行う（経路Ｒ７）。メールサーバ１０ｃへの問合わせは、例えば、ＴＣＰ／ＩＰといった通信プロトコルを用いて行われる。

秘匿化機能がないメールサーバ１０ｃ、すなわち、本実施形態のメール配信プログラムが実行されないメールサーバ１０ｃでは、上記問合せに対して応答が返答されることはない。メール受信部１０１は、上記問合せに対する応答が一定期間内に返答されないことをタイムアウト等により検出し、メールサーバ１０ｃには秘匿化機能がないことを特定する
（経路Ｒ８）。

メール受信部１０１は、送信依頼を受け付けたメールの中継先であるメールサーバ１０ｃには秘匿化機能がない場合には、受け付けたメールを伏せ字処理部１０２に引き渡す。伏せ字処理部１０２では、図４、５を用いて説明したように、メール受信部１０１から引き渡されたメールに対する秘匿化処理が行われる。但し、引き渡されたメール内に秘匿したい情報を指定するマーカーが無い場合には、秘匿化処理は行われない。

伏せ字処理部１０２は、秘匿化処理が施されたメールをメールサーバ１０ｃに送信する（経路Ｒ９）。情報処理端末３０−１から発信された、秘匿したい情報が記載されたメールは、該秘匿したい情報の文字列が黒丸等の文字コードに変換された伏せ字状態で、メールサーバ１０ｃを経由して情報処理端末３０−４に届けられる（経路Ｒ１０）。

（伏せ字情報のデータベースへの登録）
ところで、秘匿化処理が施されたメールにおいては、秘匿したい情報は伏せ字状態になる。このため、伏せ字状態でメールが届けられた情報処理端末３０−４のユーザは、本来知り得る内容（秘匿対象の記載内容）を知ることができない。

秘匿対象の記載内容を本来知り得るユーザに開示するため、伏せ字処理部１０２は、秘匿化処理の際に、秘匿対象の文字列を抽出し、抽出した文字列を伏せ字管理ＤＢ２０１に格納する処理を行う。抽出された秘匿対象の文字列は、例えば、メールに記載された秘匿にしたい情報を一意に識別するメール毎の番号と関連付けられて伏せ字管理ＤＢ２０１に格納される（経路Ｒ１２）。

そして、伏せ字処理部１０２は、秘匿対象の文字列に関連付けられる上記番号を含む参照情報を秘匿化処理が施されたメールに追加する。ここで、参照情報は、例えば、伏せ字状態となった情報内容をブラウザアプリを介して照会させるための情報である。参照情報として、例えば、伏せ字管理ＤＢ２０１を備えるメールサーバのＩＰアドレスと上記番号とを組合せた情報が例示できる。伏せ字状態となったメールが届けられたユーザは、例えば、ブラウザアプリを介して参照情報に含まれるＩＰアドレスにアクセスし、上記番号を用いた伏せ字内容の照会を行うことが可能となる（経路Ｒ１３）。

図８に、伏せ字管理ＤＢ２０１の一例を例示する。図８に例示の伏せ字管理ＤＢ２０１は、複数のテーブルを使用する形態例である。図８のテーブルＴｂ１は、秘匿化処理が施されたメール毎に複数のレコードを有する。テーブルＴｂ１では、メール毎に、参照情報として用いられた上記番号、テーブルＴｂ２の格納位置を示すアドレス値（ポインタ）、伏せ字内容の照会が行われた回数が格納された複数のレコードを有する。テーブルＴｂ２では、テーブルＴｂ２の複数のレコードが組になってメール内の秘匿対象の記載に関する情報が格納される。

図８のテーブルＴｂ１の、「伏せ字参照番号ｋ（ｋ＝１−Ｋの整数）」レコードには、参照情報として用いられた、メールに記載された秘匿にしたい情報を一意に識別するメール毎の番号が格納される。「伏せ字参照回数」レコードには、伏せ字内容の照会が行われた回数が格納される。「伏せ字参照テーブルへのリンク」レコードには、テーブルＴｂ２のレコードの組が格納された先頭位置、すなわち、秘匿対象の記載に関する情報の先頭の格納位置を指し示すアドレス値が格納される。

テーブルＴｂ２は、秘匿化処理が行われたメール毎に、該メールの秘匿対象の記載に関する情報が格納された格納領域Ｚ１３を有する。格納領域Ｚ１３の先頭位置を示すアドレス値が、テーブルＴｂ１の「伏せ字参照テーブルへのリンク」レコードに格納される。

図８において、テーブルＴｂ２の格納領域Ｚ１３は、「伏せ字項目数」、「伏せ字項目ｍ（ｍ＝１−Ｍの整数）の文字数」、「次の伏せ字の格納位置」、「伏せ字項目ｍ（ｍ＝１−Ｍの整数）の文字データ」の各フィールドを有する。「伏せ字項目数」フィールドには、秘匿対象の記載箇所数が格納される。なお、「伏せ字項目」のサフィックス“ｍ”は、ボディへの記載順に割り当てられる。例えば、メール内の秘匿対象の記載箇所数が２箇所の場合には、「伏せ字項目数」フィールドには「２」が格納されることになり、それぞれの記載箇所に対してボディへの記載順にサフィックスｍ（Ｍ＝１、２）が割り当てられる。

「伏せ字項目ｍ（ｍ＝１−Ｍの整数）の文字数」フィールドには、伏せ字処理前の秘匿対象の文字数が格納される。「次の伏せ字の格納位置」フィールドには、次の秘匿対象に関する情報の格納位置を示すアドレス値が格納される。なお、次の記載箇所が存在しない場合には、例えば、“ｎｕｌｌ”や空欄状態といった、次の記載箇所が存在しないことを示す情報が格納される。「処理伏せ字ｍ（ｍ＝１−Ｍの整数）の文字データ」フィールドには、伏せ字処理前の秘匿対象の文字列が文字データとして格納される。

図９に、図４の文面例に対する伏せ字管理ＤＢ２０１を例示する。図９において、テーブルＴｂ１の領域Ｚ４は「伏せ字参照番号」レコードを示し、メールに記載された秘匿にしたい情報を一意に識別するメール毎の番号“20150227151515”が格納されている。領域Ｚ４の番号“20150227151515”は、図４の文面例に対して割り当てられたメール毎の番号である。テーブルＴｂ１の領域Ｚ５には、秘匿対象の記載に関する情報が格納されたテーブルＴｂ２の、先頭の格納位置を指し示すアドレス値が格納される。

図４の文面例では、開始マーカー、終了マーカーで指定された秘匿対象の記載箇所数は２箇所のため、領域Ｚ６で示すように、テーブルＴｂ２の「伏せ字項目数」フィールドには、“２”が格納される。テーブルＴｂ２には、秘匿対象の記載箇所順に、それぞれの文字数、文字データが格納される。図４の文面例では、文字列“ｍｙｉｄ”、文字列“ｘｙｚａｂｃ”の順にそれぞれの文字数、文字データが格納される。

テーブルＴｂ２の領域Ｚ７に示すように、「伏せ字項目１の文字数」フィールドには、文字列“ｍｙｉｄ”に対する文字数“４”が格納される。また、領域Ｚ８に示すように、「次の伏せ字の格納位置」フィールドには、文字列“ｘｙｚａｂｃ”に関する情報の格納位置を示すアドレス値が格納される。そして、領域Ｚ９に示すように、「伏せ字項目１の文字データ」には、開始マーカー、終了マーカーで指定された秘匿対象の記載である文字列“ｍｙｉｄ”が格納される。

テーブルＴｂ２の領域Ｚ１０に示すように、「伏せ字項目２の文字数」フィールドには、文字列“ｘｙｚａｂｃ”に対する文字数“６”が格納される。図４の文面例では、文字列“ｘｙｚａｂｃ”の次の記載箇所は存在しない。このため、領域Ｚ１１に示すように、次の記載箇所が存在しないことを示す情報として“ｎｕｌｌ”が格納される。そして、領域Ｚ９に示すように、「伏せ字項目２の文字データ」には、開始マーカー、終了マーカーで指定された秘匿対象の記載である文字列“ｘｙｚａｂｃ”が格納される。

伏せ字処理部１０２は、メールから抽出した文字列を伏せ字管理ＤＢ２０１に格納後、秘匿対象の文字列を伏せ字状態に変換する。そして、伏せ字処理部１０２は、伏せ字変換前の秘匿にしたい情報を一意に識別するメール毎の番号“20150227151515”を含む参照情報を伏せ字処理が施されたメールに追加する。そして、伏せ字処理部１０２は、参照情報が追加され、伏せ字処理が施されたメールをメールサーバ１０ｃに送信する。情報処理端末３０−４のユーザには、参照情報と共に伏せ字処理が施されたメールが届けられる。

図１０に、参照情報が追加された伏せ字処理後の文面例を例示する。図１０は、メールの本文末に参照情報を追加した場合の例である。図１０において、破線枠で囲まれた領域Ｚ１４の、“［HuseID：010221018011-20150227151515］”が参照情報を表す。

図１０の例では、“［HuseID：］”が、参照情報であることを示す指標であり、領域Ｚ１５に示す“010221018011”が伏せ字管理ＤＢ２０１を備えるメールサーバ１０ａのＩＰアドレスである。また、領域Ｚ１６に示す“20150227151515”が、伏せ字変換前の秘匿にしたい情報を一意に識別するメール毎の番号である。領域Ｚ１４に示す参照情報では、記号“-”を用いて、ＩＰアドレスと伏せ字変換前の秘匿にしたい情報を一意に識別するメ
ール毎の番号とが組合せられていることがわかる。

図１０に例示の文面例が含まれたメールを受信した情報処理端末３０−４のユーザは、例えば、本文末に追加された参照情報から、伏せ字管理ＤＢ２０１を備えるメールサーバ１０ａのＩＰアドレス“010221018011”を特定する。また、参照情報において、ＩＰアドレスと“-”の記号で連結された番号“20150227151515”が、伏せ字変換前の秘匿にした
い情報を一意に識別する番号であることを特定する。情報処理端末３０−４のユーザは、例えば、ブラウザアプリを介してＩＰアドレス“010221018011”で指定されるメールサーバ１０ａにアクセスし、上記番号を用いた伏せ字内容の照会を行う。

（伏せ字内容の参照処理）
メールサーバ１０ａの伏せ字管理部１０３は、情報処理端末３０−４からのブラウザアプリを介したアクセスに応じて、情報処理端末３０−４の表示デバイス上に伏せ字処理された情報を照会するための照会画面を表示する。図１１に、照会画面の一例を例示する。図１１に例示の照会画面例において、領域Ｚ１７は、伏せ字変換前の秘匿にしたい情報を一意に識別する番号（以下、伏せ字参照番号とも称する）の入力領域である。また、照会画面例において、領域Ｚ１８は、領域Ｚ１７に入力された伏せ字参照番号の照会を実行するための操作部品である。領域Ｚ１９は、入力された伏せ字参照番号の照会の結果が表示される領域である。

情報処理端末３０−４は、例えば、図１１に例示する照会画面の領域Ｚ１７に対する伏せ字参照番号“20150227151515”の操作入力を受け付けると共に、領域Ｚ１８の操作部品に対するクリック等の操作入力を受け付ける。照会画面の領域Ｚ１７に入力された伏せ字参照番号“20150227151515”は、ネットワークＮを介しメールサーバ１０ａに通知される。

伏せ字管理部１０３は、照会画面を介して入力された伏せ字参照番号“20150227151515”を受け付ける。伏せ字管理部１０３は、受け付けた伏せ字参照番号“20150227151515”を検索キーとして、伏せ字管理ＤＢ２０１の検索を実行する。伏せ字管理部１０３は、伏せ字管理ＤＢ２０１のテーブルＴｂ１において、伏せ字参照番号“20150227151515”に関連付けられたレコードを特定する。そして、伏せ字管理部１０３は、例えば、図９の領域Ｚ５に格納されたテーブルＴｂ２の、先頭の格納位置を指し示すアドレス値を取得する。

伏せ字管理部１０３は、取得したアドレス値からテーブルＴｂ２内に格納された格納領域Ｚ１３を特定する。そして、伏せ字処理前の文字列“ｍｙｉｄ”、“ｘｙｚａｂｃ”を取得する。伏せ字管理部１０３は、取得した伏せ字処理前の文字列“ｍｙｉｄ”、“ｘｙｚａｂｃ”を照会画面の領域Ｚ１９に表示する。情報処理端末３０−４のユーザは、例えば、照会画面の領域Ｚ１９に表示された伏せ字処理前の文字列“ｍｙｉｄ”、“ｘｙｚａｂｃ”を閲覧することで、黒丸等の記号を用いて変換された伏せ字の内容を知ることができる。

なお、伏せ字管理ＤＢ２０１に格納された伏せ字内容の開示について、参照回数が制限されている場合には、伏せ字管理部１０３は、テーブルＴｂ１の「伏せ字参照回数」レコードに格納された参照回数に基づいて伏せ字内容の開示を制限する。伏せ字管理部１０３は、例えば、参照回数が所定の制限回数を超えている場合には、照会画面の領域Ｚ１９に「伏せ字内容は閲覧できません」といった予め定められたメッセージを表示する。

〔処理フロー〕
以下、図１２−図１５に例示のフローチャートを参照し、本実施形態のメール配信プログラムを実行するメールサーバ１０の処理を説明する。図１２は、送信依頼を受け付けたメールの送信先アドレスのドメイン名が自装置を指す場合の処理の一例を示すフローチャートである。図１３は、送信依頼を受け付けたメールの送信先アドレスのドメイン名が他のメールサーバを指す場合の処理の一例を示すフローチャートである。図１４は、送信依頼を受け付けたメールの送信先アドレスのドメイン名が他のメールサーバを指す場合に、秘匿対象の記載を伏せ字管理ＤＢ２０１に登録する処理の一例を示すフローチャートである。図１５は、伏せ字内容の照会処理の一例を示すフローチャートである。

メールサーバ１０では、ＣＰＵ１１が補助記憶部１３に記憶されているＯＳ、本実施形態のメール配信プログラムを含む各種プログラムや各種データを主記憶部１２に読み出して実行することにより、図１２−図１５に例示の処理を行う。また、メールサーバ１０は、伏せ字管理ＤＢ２０１を参照し、或いは、管理するデータの格納先として、図１２−図１５に例示の処理を行う。

なお、以下の説明では、本実施形態のメールサーバ１０で記録される、メールを受け取り手に届けたことを示す情報（例えば、所定の文字列）を“送信済みフラグ”とも称する。また、伏せ字処理の対象となる文字列を“伏せ字対象文字列”とも称する。メール内の伏せ字対象文字列は、図３を用いて説明したように、メールを発信したユーザによって、マーカー等で指定される。伏せ字対象文字列は、メールに記載された秘匿にしたい情報である。また、伏せ字対象文字列を伏せ字に変換し、秘匿化する機能を“伏せ字機能”とも称する。

図１２に例示のフローチャートにおいて、メールサーバ１０の処理の開始は、例えば、メールの送信依頼の受け付けのときが例示できる。メールサーバ１０は、送信先アドレスのドメイン名が自装置を指すメールの送信依頼を受け付ける（Ｓ１）。メールサーバ１０は、受け付けたメールを取得し、取得したメールを主記憶部１２の所定の領域に一時的に記憶する。メールの送信依頼の受け付けは、図１、図３等を用いて説明した。

メールサーバ１０は、Ｓ１の処理で取得したメールを対象として、送信済みフラグが含まれているか否かを確認する（Ｓ２）。送信済みフラグ、すなわち、受け取り手に届けたことを示す情報がメールに含まれていることで、該メールが送信元アドレスのユーザに、一旦、届けられたメールの返信・転送であるかが特定できる。メールサーバ１０は、取得したメールを解析し、ヘッダあるいはボディに送信済みフラグが含まれているか否かを判定する。

メールサーバ１０は、送信済みフラグが含まれている場合には（Ｓ３，Ｙｅｓ）、Ｓ５の処理に移行する。一方、メールサーバ１０は、送信済みフラグが含まれていない場合には（Ｓ３，Ｎｏ）、Ｓ４の処理に移行する。

Ｓ４の処理では、メールサーバ１０は、Ｓ１の処理で取得したメールに対して、送信済みフラグを付与する。メールサーバ１０は、メールのヘッダあるいはボディに送信済みフ
ラグを記録する。但し、Ｓ４の処理においては、メールサーバ１０は、メール内に秘匿したい情報である伏せ字対象文字列が含まれていても伏せ字処理は行わない。メールサーバ１０は、送信済みフラグが付与されたメールをＳ６の処理に引き渡す。

Ｓ５の処理では、メールサーバ１０は、メール内の伏せ字対象文字列を伏せ字にする。メール内の秘匿対象である伏せ字対象文字列は、例えば、開始マーカー、終了マーカーにより、メール内の記載箇所、記載範囲が指定される。開始マーカー、終了マーカーについては、図４を用いて説明した。

メールサーバ１０は、例えば、メールのボディを対象として、開始マーカー、終了マーカーの検索を実行する。そして、メールサーバ１０は、開始マーカー、終了マーカーを検出し、伏せ字対象文字列を特定する。メールサーバ１０は、特定した伏せ字対象文字列の各文字コードを、それぞれ、黒丸や黒四角といった判別不能の記号や絵文字等の文字コードに変換する。伏せ字対象文字列の各文字コードの判別不能の記号への変換である伏せ字処理については、図５を用いて説明した。Ｓ５の処理により、メール内の伏せ字対象文字列は全て伏せ字にされる。

メールサーバ１０は、メール内の伏せ字対象文字列が全て伏せ字に変換されたメールをＳ６の処理に引き渡す。なお、Ｓ５の処理において、メールサーバ１０は、開始マーカー、終了マーカーが検出されない場合には、処理対象のメールには秘匿したい情報は含まれていないと判断できる。この場合には、メールサーバ１０は、秘匿したい情報が含まれていないメールをＳ６の処理に引き渡す。

Ｓ６の処理では、メールサーバ１０は、Ｓ４，Ｓ５の処理から引き渡されたメールをメール送信先に送信する。メールサーバ１０は、例えば、Ｓ４，Ｓ５の処理から引き渡されたメールを送信先アドレスのユーザ名に対応付けられたメールボックス等に格納する。メールボックス等に格納されたメールは、送信先アドレスが割り当てられた情報処理端末３０に届けられる。

以上の処理により、メールサーバ１０は、送信依頼を受け付けたメールが、送信元アドレスのユーザに届けられたメールの返信・転送である場合には、メールに記載された秘匿対象（秘匿情報）を秘匿化することができる。本実施形態のメールサーバによれば、メールが受信先から別途の宛先に返信・転送されるときには、メールの内容を秘匿することができる。

（他のメールサーバに配信する場合）
図１３に例示のフローチャートにおいて、メールサーバ１０の処理の開始は、図１２と同様に、メールの送信依頼の受け付けのときが例示できる。メールサーバ１０は、送信依頼を受け付けたメールを受信する（Ｓ１１）。メールサーバ１０は、受信したメールのヘッダから、宛先の情報処理端末３０のドメイン名を特定する。メールサーバ１０は、ドメイン名から、ドメイン名に対応するＩＰアドレスで指定されるメールサーバ（以下、送信先メールサーバとも称す）を特定する。

メールサーバ１０は、送信先メールサーバに伏せ字機能があるかを確認する（Ｓ１２）。送信先メールサーバに伏せ字機能があるかは、例えば、送信先メールサーバへの伏せ字機能を有するかの問合せに対する応答から判別できる。

送信先メールサーバが伏せ字機能を有する場合には、上記問合せに対し、予め定められた所定の応答が一定期間内に返答される。一方、送信先メールサーバには伏せ字機能がない場合には、上記問合せに対して応答が返答されることはない。メールサーバ１０は、上
記問合せに対する応答が一定期間内に返答されないことをタイムアウト等により検出し、送信先メールサーバには秘匿化機能がないことを特定する。なお、送信先メールサーバへの問合わせは、例えば、ＴＣＰ／ＩＰといった通信プロトコルを用いて行われる。

メールサーバ１０は、送信先メールサーバに伏せ字機能がある場合には（Ｓ１３，Ｙｅｓ）、Ｓ１８の処理に移行する。Ｓ１８の処理では、メールサーバ１０は、送信先アドレスのドメイン名から特定されたＩＰアドレスのメールサーバに対し、Ｓ１１の処理で受信されたメールを送信する。伏せ字機能を有する送信先メールサーバでは、Ｓ１８の処理で送信されたメールを受信し、該メールを対象として図１２を用いて説明した処理が実行される。

一方、メールサーバ１０は、送信先メールサーバに伏せ字機能がない場合には（Ｓ１３，Ｎｏ）、Ｓ１４の処理に移行する。Ｓ１４の処理では、メールサーバ１０は、Ｓ１１の処理で受信したメールを対象として、送信済みフラグが含まれているか否かを確認する。伏せ字機能がない送信先メールサーバは、送信済みフラグを含むメールの伏せ字対象文字列が伏せ字に変換できない。このため、本実施形態のメールサーバ１０は、Ｓ１１の処理で受信したメールに送信済みフラグが含まれている場合には、伏せ字対象文字列を伏せ字に変換した上で送信先メールサーバにメールを送信する。

なお、メールサーバ１０は、送信先メールサーバに伏せ字機能がない場合には、メールの送信依頼を発信した送信元アドレスの情報処理端末３０にアラート（警告）を通知した上で図１３の処理を終了するとしてもよい。送信先メールサーバに伏せ字機能がない場合には、メールが送信されないため、送信先アドレスの情報処理端末３０に秘匿したい情報が記載されたメールが届けられることはない。メールが届けられたユーザからの返信・転送メールによる秘匿内容の漏えいを未然に防ぐことができる。

メールサーバ１０は、受信したメールを解析し、ヘッダあるいはボディに送信済みフラグが含まれているか否かを判定する。メールサーバ１０は、送信済みフラグが含まれている場合には（Ｓ１５，Ｙｅｓ）、Ｓ１７の処理に移行する。一方、メールサーバ１０は、送信済みフラグが含まれていない場合には（Ｓ１５，Ｎｏ）、Ｓ１６の処理に移行する。

Ｓ１６の処理では、メールサーバ１０は、メールに対して、送信済みフラグを付与する。メールサーバ１０は、メールのヘッダあるいはボディに送信済みフラグを記録する。但し、Ｓ１６の処理では、メールサーバ１０は、メール内に秘匿したい情報である伏せ字対象文字列が含まれていても伏せ字処理は行わない。メールサーバ１０は、送信済みフラグが付与されたメールをＳ１７の処理に引き渡す。

Ｓ１７の処理では、メールサーバ１０は、メール内の伏せ字対象文字列を伏せ字にする。Ｓ１７の処理では、図１２に示すＳ５の処理と同様の処理が行われる。メールサーバ１０は、メール内の伏せ字対象文字列が全て伏せ字に変換されたメールをＳ１８の処理に引き渡す。なお、Ｓ１７の処理において、メール内に伏せ字対象文字列が含まれていない場合には、送信済みフラグを含むメールがＳ１８の処理に引き渡される。

Ｓ１８の処理では、メールサーバ１０は、送信先アドレスのドメイン名から特定されたＩＰアドレスの送信先メールサーバに対し、Ｓ１７の処理から引き渡されたメールを送信する。伏せ字機能がない送信先メールサーバでは、Ｓ１８の処理で送信されたメールを受信し、送信先アドレスのユーザ名に対応付けられたメールボックス等に格納する。送信先アドレスが割り当てられた情報処理端末３０には、メール内の伏せ字対象文字列が全て伏せ字に変換されたメールが届けられる。

以上の処理により、メールサーバ１０は、送信先メールサーバの秘匿化機能の有無に対応して送信依頼を受け付けたメールを送信することができる。メールサーバ１０は、秘匿化機能が無い送信先メールサーバには、メール内の秘匿対象の記載を秘匿化した上でメールを送信することができる。本実施形態のメールサーバによれば、送信先メールサーバには秘匿化機能が無い場合であっても、メールが届けられた宛先のユーザの返信・転送メールによる秘匿内容の情報漏えいが防止できる。

（伏せ字情報のデータベースへの格納）
送信先メールサーバに伏せ字機能がない場合には、メールサーバ１０は、伏せ字対象文字列を伏せ字管理ＤＢ２０１に格納し、該文字列を参照するための参照情報をメールに追加し、送信することができる。メールサーバ１０は、参照情報が追加されたメールの受け取り手からの参照情報に基づく照会に対応し、伏せ字管理ＤＢ２０１に登録された伏せ字対象文字列を開示することができる。参照情報が追加されたメールの受け取り手は、届けられたメールの、伏せ字にされた本来知り得る秘匿対象の記載内容を知ることができる。

図１４に例示のフローチャートにおいて、Ｓ１１−Ｓ１８の処理は、図１３に例示の処理と同様の処理である。メールサーバ１０は、伏せ字対象文字列を伏せ字管理ＤＢ２０１に登録し、該文字列を参照するための参照情報をメールに追加する処理として、さらに、Ｓ２１，Ｓ２２の処理を行う。以下、Ｓ２１，Ｓ２２の処理について説明する。

図１４に例示の、Ｓ２１の処理では、メールサーバ１０は、Ｓ１５，Ｓ１６から引き渡されたメールに記載の、伏せ字対象文字列を伏せ字管理ＤＢに格納する。メールサーバ１０は、例えば、Ｓ１５，Ｓ１６から引き渡されたメールを対象として、開始マーカー、終了マーカーの検索を実行する。メールサーバ１０は、開始マーカー、終了マーカーを検出し、伏せ字対象文字列を特定する。そして、メールサーバ１０は、特定した伏せ字対象文字列を抽出し、抽出した伏せ字対象文字列を伏せ字管理ＤＢ２０１に格納する。伏せ字管理ＤＢ２０１については、図８等を用いて説明した。

メールサーバ１０は、開始マーカー、終了マーカーで指定された伏せ字対象文字列を記載箇所順に抽出する。抽出された伏せ字対象文字列は、記載箇所順に主記憶部１２の所定の領域に一時的に格納される。メールサーバ１０は、抽出された伏せ字対象文字列に基づいて伏せ字管理ＤＢ２０１のテーブルＴｂ２の格納領域Ｚ１３に登録されるデータを作成する。

メールサーバ１０は、例えば、抽出された伏せ字対象文字列の記載箇所数をテーブルＴｂ２の格納領域Ｚ１３の「伏せ字項目数」フィールドに格納する。次に、メールサーバ１０は、記載箇所順が最も早い伏せ字対象文字列を「伏せ字項目１」として、該文字列の文字数を「伏せ字項目１の文字数」フィールドに格納する。また、メールサーバ１０は、記載箇所順が最も早い伏せ字対象文字列を「伏せ字項目１の文字データ」フィールドに格納する。

メールサーバ１０は、伏せ字対象文字列が複数に存在する場合には、記載箇所順の２番目の伏せ字対象文字列を「伏せ字項目２」とする。そして、メールサーバ１０は、「伏せ字項目２」とした伏せ字対象文字列の文字数が格納される格納位置を「次の伏せ字の格納位置」フィールドに格納する。メールサーバ１０は、「伏せ字項目１の文字データ」フィールドに連続する格納位置に「伏せ字項目２」とした伏せ字対象文字列の文字数を格納する。なお、伏せ字対象文字列が単一である場合には、例えば、「次の伏せ字の格納位置」フィールドには“ｎｕｌｌ”が格納される。メールサーバ１０は、抽出された伏せ字対象文字列について、以上の処理を繰り返し、伏せ字管理ＤＢ２０１のテーブルＴｂ２の格納領域Ｚ１３に登録されるデータを作成する。

メールサーバ１０は、例えば、作成した格納領域Ｚ１３の内容、すなわち、メール内の秘匿にしたい情報に対し、一意に識別する番号を付与する。上記番号は、メール毎に付与される。メールサーバ１０は、上記番号に、テーブルＴｂ２に作成した格納領域Ｚ１３の内容を参照した回数、作成した格納領域Ｚ１３の先頭位置を関連付けてテーブルＴｂ１を作成する。

メールサーバ１０は、例えば、メール内の秘匿にしたい情報を一意に識別する番号を「伏せ字参照番号ｋ（ｋ＝１−Ｋの整数）」レコードに格納する。また、メールサーバ１０は、「伏せ字参照回数」レコードに初期値（例えば、“０”）を格納する。同様にして、メールサーバ１０は、「伏せ字参照テーブルへのリンク」レコードに、格納領域Ｚ１３の先頭の格納位置を指し示すアドレス値を格納する。

上記テーブルＴｂ１、Ｔｂ２の作成により、対象のメールに対する伏せ字対象文字列の伏せ字管理ＤＢ２０１への格納が完了する。メールサーバ１０は、伏せ字対象文字列の伏せ字管理ＤＢ２０１への格納完了後、テーブルＴｂ１の「伏せ字参照番号ｋ（ｋ＝１−Ｋの整数）」レコードに格納された番号（伏せ字参照番号）をＳ２２の処理に引き渡す。

Ｓ２２の処理では、メールサーバ１０は、伏せ字管理ＤＢ２０１に格納された伏せ字対象文字列を参照するための参照情報をメールに付与する。メールサーバ１０は、例えば、Ｓ２１の処理引き渡された伏せ字参照番号と自装置のＩＰアドレスとを組合せて参照情報を生成する。メールサーバ１０は、例えば、自装置のＩＰアドレスと伏せ字参照番号とを連結して参照情報を生成する。そして、メールサーバ１０は、生成した参照情報を、例えば、メールの本文末に追加する。

なお、メールサーバ１０は、図１０に示すように、ＩＰアドレスと伏せ字参照番号とを連結した記載が、伏せ字変換前の伏せ字対象文字列を参照するための参照情報であることを示す指標を用いるとしてもよい。指標を用いることで、メールに追加されたＩＰアドレスと伏せ字参照番号とを連結した記載が、参照情報であることを明示できる。メールサーバ１０は、参照情報が追加されたメールをＳ１７の処理に引き渡す。

（伏せ字内容の照会処理）
次に、図１５に例示のフローチャートを参照し、伏せ字内容の照会処理について説明する。図１５は、図１１に例示の照会画面を介して入力された伏せ字参照番号に基づいて、伏せ字管理ＤＢ２０１に格納された伏せ字内容を開示する場合のフローチャート例である。

図１５のフローチャートにおいて、メールサーバ１０の処理の開始は、ブラウザアプリを介した情報処理端末３０からの、アクセスの受け付けのときが例示できる。メールサーバ１０は、情報処理端末３０からのアクセスが、伏せ字管理ＤＢ２０１に格納された伏せ字対象文字列への問合せかを確認する（Ｓ３１）。

メールサーバ１０は、例えば、情報処理端末３０からのアクセスに応じて、情報処理端末３０の表示デバイス上に伏せ字処理された情報内容を紹介するための照会画面を表示する。情報処理端末３０の表示デバイス上には、図１１に例示する照会画面が表示される。メールサーバ１０は、例えば、照会画面を介して入力された伏せ字参照番号の通知から、伏せ字管理ＤＢ２０１に格納された伏せ字対象文字列への問合せであることを判別する。

メールサーバ１０は、伏せ字管理ＤＢ２０１に格納された伏せ字対象文字列への問合せである場合には（Ｓ３２，Ｙｅｓ）、Ｓ３３の処理に移行する。一方、メールサーバ１０
は、伏せ字管理ＤＢ２０１に格納された伏せ字対象文字列への問合せでない場合には（Ｓ３２，Ｎｏ）、図１５の処理を終了する。

Ｓ３３の処理では、メールサーバ１０は、問合せに含まれる伏せ字参照番号を取得する。そして、メールサーバ１０は、取得した伏せ字参照番号を用いて伏せ字管理ＤＢ２０１を検索する（Ｓ３４）。メールサーバ１０は、例えば、照会画面を介して入力された伏せ字参照番号を検索キーとして、伏せ字管理ＤＢ２０１のテーブルＴｂ１のレコードを検索する。

メールサーバ１０は、伏せ字管理ＤＢ２０１のテーブルＴｂ１に該当する伏せ字参照番号が有る場合には（Ｓ３５、“有”）、Ｓ３７の処理に移行する。一方、メールサーバ１０は、伏せ字管理ＤＢ２０１のテーブルＴｂ１に該当する伏せ字参照番号が有る場合には（Ｓ３５、“無”）、Ｓ３６の処理に移行する。

Ｓ３６の処理では、メールサーバ１０は、照会画面の領域Ｚ１９に、該当する伏せ字参照番号は存在しないことを表示する。メールサーバ１０は、例えば、照会画面の領域Ｚ１９に、「照会された伏せ字参照番号は存在しません」といった予め定められたメッセージを表示する。メールサーバ１０は、Ｓ３６の処理後、図１５の処理を終了する。

Ｓ３７の処理では、メールサーバ１０は、伏せ字参照番号の伏せ字参照回数を取得する。メールサーバ１０は、例えば、伏せ字参照番号に関連付けられた「伏せ字参照回数」レコードの格納値を伏せ字参照回数として取得する。そして、メールサーバ１０は、取得した伏せ字参照回数について参照可能回数未満であるかを判定する。ここで、参照可能回数は、伏せ字管理ＤＢ２０１に格納された伏せ字内容の開示を制限するための閾値である。参照可能回数は、例えば、伏せ字管理ＤＢ２０１を備えるメールサーバ毎に予め設定される。例えば、伏せ字参照回数の初期値が“０”であり、参照可能回数として閾値“１”が設定される場合には、伏せ字内容の開示回数は１回に制限される。

メールサーバ１０は、伏せ字参照回数が参照可能回数未満でない場合には（Ｓ３８，Ｎｏ）、Ｓ３９の処理に移行する。一方、メールサーバ１０は、伏せ字参照回数が参照可能回数未満である場合には（Ｓ３８，Ｙｅｓ）、Ｓ４０の処理に移行する。

Ｓ３９の処理では、メールサーバ１０は、照会画面の領域Ｚ１９に、該当する伏せ字参照番号の伏せ字対象文字列は参照不可であることを表示する。メールサーバ１０は、例えば、照会画面の領域Ｚ１９に、「照会された伏せ字参照番号の伏せ字内容は閲覧できません」といった予め定められたメッセージを表示する。メールサーバ１０は、Ｓ３９の処理後、図１５の処理を終了する。

Ｓ４０の処理では、メールサーバ１０は、伏せ字参照番号に対応する伏せ字対象文字列を取得し、照会画面の領域Ｚ１９に取得した伏せ字対象文字列を表示する。メールサーバ１０は、例えば、伏せ字参照番号に関連付けられた「伏せ字参照テーブルへのリンク」レコードの格納値（アドレス値）を取得する。そして、メールサーバ１０は、取得した格納値から、テーブルＴｂ２の伏せ字参照番号に関連する格納領域Ｚ１３の先頭の格納位置を特定し、格納領域Ｚ１３に格納された伏せ字対象文字列を記載箇所順（伏せ字項目順）に取得する。メールサーバ１０は、例えば、取得した伏せ字対象文字列を記載箇所順に照会画面の領域Ｚ１９に表示する。

Ｓ４１の処理では、メールサーバ１０は、Ｓ３７の処理で取得した伏せ字参照回数に“１”を加え、伏せ字管理ＤＢ２０１に格納する。例えば、Ｓ３７の処理で取得した伏せ字参照回数が“０”の場合には、Ｓ４１の処理後には伏せ字参照回数は“１”となる。メー
ルサーバ１０は、伏せ字管理ＤＢ２０１のテーブルＴｂ１の「伏せ字参照回数」レコードに“１”を格納する。メールサーバ１０は、Ｓ４１の処理後、図１５の処理を終了する。

以上の処理により、メールサーバ１０は、メールの受け取り手のユーザからの参照情報に基づく照会に応じて、伏せ字管理ＤＢ２０１に格納された秘匿対象の内容を開示することができる。また、メールサーバ１０は、秘匿対象の内容を参照する回数を制限することで、不要な情報の開示を抑制できる。

《コンピュータが読み取り可能な記録媒体》
コンピュータその他の機械、装置（以下、コンピュータ等）に上記何れかの機能を実現させるプログラムをコンピュータ等が読み取り可能な記録媒体に記録することができる。そして、コンピュータ等に、この記録媒体のプログラムを読み込ませて実行させることにより、その機能を提供させることができる。

ここで、コンピュータ等が読み取り可能な記録媒体とは、データやプログラム等の情報を電気的、磁気的、光学的、機械的、または化学的作用によって蓄積し、コンピュータ等から読み取ることができる記録媒体をいう。このような記録媒体のうちコンピュータ等から取り外し可能なものとしては、例えばフレキシブルディスク、光磁気ディスク、Compact Disc Read Only Memeory（ＣＤ−ＲＯＭ）、Compact Disc - Recordable（ＣＤ−Ｒ）
、Compact Disc - ReWriterable（ＣＤ−ＲＷ）、ＤＶＤ、ＢＤ、Digital Audio Tape（
ＤＡＴ）、８ｍｍテープ、フラッシュメモリなどのメモリカード等がある。また、コンピュータ等に固定された記録媒体としてハードディスクやＲＯＭ等がある。

《その他》
以上の実施形態は、さらに以下の付記と呼ぶ態様を含む。以下の各付記に含まれる構成要素は、他の付記に含まれる構成と組み合わせることができる。
（付記１）
メールサーバに、
送信の依頼を受け付けたメールに、送信済みであることを示す情報および転送時には記載の内容を秘匿することを示す情報が含まれているときに、前記秘匿することを示す情報で指定された記載の内容について秘匿化する処理を行ってから送信する、
ことを実行させるメール配信プログラム。
（付記２）
前記メールサーバに、
送信の依頼を受け付けたメールに、送信済みであることを示す情報が含まれていないときに、前記メールに送信済みであることを示す情報を記録すると共に送信する、
ことを実行させる付記１に記載のメール配信プログラム。

（付記３）
メールの送信の依頼を受け付ける受付部と、
送信の依頼を受け付けたメールに、送信済みであることを示す情報および転送時には記載の内容を秘匿することを示す情報が含まれているときに、前記秘匿することを示す情報で指定された記載の内容について秘匿化する処理を行ってから送信する処理部と、
を備えるメールサーバ。
（付記４）
前記処理部は、送信の依頼を受け付けたメールに、送信済みであることを示す情報が含まれていないときに、前記メールに送信済みであることを示す情報を記録すると共に送信する、付記３に記載のメールサーバ。

（付記５）
メールサーバが、
送信の依頼を受け付けたメールに、送信済みであることを示す情報および転送時には記載の内容を秘匿することを示す情報が含まれているときに、前記秘匿することを示す情報で指定された記載の内容について秘匿化する処理を行ってから送信する、
ことを実行するメール配信方法。
（付記６）
前記メールサーバが、
送信の依頼を受け付けたメールに、送信済みであることを示す情報が含まれていないときに、前記メールに送信済みであることを示す情報を記録すると共に送信する、
ことを実行する付記５に記載のメール配信方法。

（付記７）
メールサーバに、
受け付けたメールを中継する中継サーバが、メールに送信済みであることを示す情報および転送時には記載の内容を秘匿することを示す情報が含まれているときに、前記秘匿することを示す情報で指定された記載の内容について秘匿化する処理を行ってから送信する機能を有するかを判断し、
前記中継サーバが前記機能を有すると判断すると、前記受け付けたメールを前記中継サーバに送信する、
ことを実行させるメール配信プログラム。
（付記８）
前記メールサーバに、
前記中継サーバが前記機能を有さないと判断すると、前記受け付けたメールの秘匿することを示す情報で指定された記載の内容について秘匿化する処理を行ってから、秘匿化されたメールを前記中継サーバに送信する、
ことを実行させる付記７に記載のメール配信プログラム。
（付記９）
前記メールサーバに、
前記中継サーバに、メールに送信済みであることを示す情報および転送時には記載の内容を秘匿することを示す情報が含まれているときに、前記秘匿することを示す情報で指定された記載の内容について秘匿化する処理を行ってから送信する機能を有するかの問合せを行い、
前記問合せに対する応答の結果から、前記中継サーバが前記機能を有するかを判断する、
ことを実行させる付記７または８に記載のメール配信プログラム。
（付記１０）
前記メールサーバに、
前記秘匿化したメールに、秘匿する情報の記載の内容を一意に指定する管理番号を追加して前記中継サーバに送信する共に、前記管理番号と前記内容とを関連付けて記憶部に記憶し、
前記中継サーバを経由してメールを受信した受信者からの管理番号を指定した問合せに応じて前記記憶部の前記管理番号に関連付けて記憶された前記内容を開示することで、秘匿化された情報を復元可能にする、
ことを実行させる付記８に記載のメール配信プログラム。
（付記１１）
前記メールサーバに、
前記中継サーバが前記機能を有さないと判断すると、前記受け付けたメールの送信依頼元に警告を通知し、前記受け付けたメールの送信に係る処理を中止する、
ことを実行させる付記７に記載のメール配信プログラム。

（付記１２）
メールの送信の依頼を受け付ける受付部と、
受け付けたメールを中継する中継サーバが、メールに送信済みであることを示す情報および転送時には記載の内容を秘匿することを示す情報が含まれているときに、前記秘匿することを示す情報で指定された記載の内容について秘匿化する処理を行ってから送信する機能を有するかを判断し、
前記中継サーバが前記機能を有すると判断すると、前記受け付けたメールを前記中継サーバに送信する処理部と、
を備えるメールサーバ。
（付記１３）
前記処理部は、前記中継サーバが前記機能を有さないと判断すると、前記受け付けたメールの秘匿することを示す情報で指定された記載の内容について秘匿化する処理を行ってから、秘匿化されたメールを前記中継サーバに送信する、付記１２に記載のメールサーバ。
（付記１４）
前記処理部は、前記中継サーバに、メールに送信済みであることを示す情報および転送時には記載の内容を秘匿することを示す情報が含まれているときに、前記秘匿することを示す情報で指定された記載の内容について秘匿化する処理を行ってから送信する機能を有するかの問合せを行い、
前記問合せに対する応答の結果から、前記中継サーバが前記機能を有するかを判断する、付記１２または１３に記載のメールサーバ。
（付記１５）
前記処理部は、前記秘匿化したメールに、秘匿する情報の記載の内容を一意に指定する管理番号を追加して前記中継サーバに送信する共に、前記管理番号と前記内容とを関連付けて記憶部に記憶し、
前記中継サーバを経由してメールを受信した受信者からの管理番号を指定した問合せに応じて前記記憶部の前記管理番号に関連付けて記憶された前記内容を開示することで、秘匿化された情報を復元可能にする、付記１３に記載のメールサーバ。
（付記１６）
前記処理部は、前記中継サーバが前記機能を有さないと判断すると、前記受け付けたメールの送信依頼元に警告を通知し、前記受け付けたメールの送信に係る処理を中止する、付記１２に記載のメールサーバ。

（付記１７）
メールサーバが、
受け付けたメールを中継する中継サーバが、メールに送信済みであることを示す情報および転送時には記載の内容を秘匿することを示す情報が含まれているときに、前記秘匿することを示す情報で指定された記載の内容について秘匿化する処理を行ってから送信する機能を有するかを判断し、
前記中継サーバが前記機能を有すると判断すると、前記受け付けたメールを前記中継サーバに送信する、
ことを実行するメール配信方法。
（付記１８）
前記メールサーバが、
前記中継サーバが前記機能を有さないと判断すると、前記受け付けたメールの秘匿することを示す情報で指定された記載の内容について秘匿化する処理を行ってから、秘匿化されたメールを前記中継サーバに送信する、
ことを実行する付記１７に記載のメール配信方法。
（付記１９）
前記メールサーバが、
前記中継サーバに、メールに送信済みであることを示す情報および転送時には記載の内容を秘匿することを示す情報が含まれているときに、前記秘匿することを示す情報で指定された記載の内容について秘匿化する処理を行ってから送信する機能を有するかの問合せを行い、
前記問合せに対する応答の結果から、前記中継サーバが前記機能を有するかを判断する、
ことを実行する付記１７または１８に記載のメール配信方法。
（付記２０）
前記メールサーバが、
前記秘匿化したメールに、秘匿する情報の記載の内容を一意に指定する管理番号を追加して前記中継サーバに送信する共に、前記管理番号と前記内容とを関連付けて記憶部に記憶し、
前記中継サーバを経由してメールを受信した受信者からの管理番号を指定した問合せに応じて前記記憶部の前記管理番号に関連付けて記憶された前記内容を開示することで、秘匿化された情報を復元可能にする、
ことを実行する付記１８に記載のメール配信方法。
（付記２１）
前記メールサーバが、
前記中継サーバが前記機能を有さないと判断すると、前記受け付けたメールの送信依頼元に警告を通知し、前記受け付けたメールの送信に係る処理を中止する、
ことを実行する付記１７に記載のメール配信プログラム。

１ メール配信システム
１０、１０ａ、１０ｂ、１０ｃ メールサーバ
１１ ＣＰＵ
１２ 主記憶部
１３ 補助記憶部
１４ 入力部
１５ 出力部
１６ 通信部
３０、３０−１、３０−２、３０−３、３０−４ 情報処理端末
１０１ メール受信部
１０２ 伏せ字処理部
１０３ 伏せ字管理部
２０１ 伏せ字管理ＤＢ
Ｂ１ 接続バス

Claims (10)

1. メールサーバに、
   送信の依頼を受け付けた第１のメールに、メールサーバが受け取ったメールを、送信先のユーザに対応する領域に格納する際に記録される、送信済みであることを示す情報が含まれている場合、又は当該第１のメールのヘッダに返信や転送であることを示す所定の文字列が含まれている場合に、当該第１のメールに含まれている、転送時に秘匿対象として定められた第１の文字列を、秘匿化する処理を行ってから送信する、
   ことを実行させるメール配信プログラム。
2. 前記メールサーバに、
   送信の依頼を受け付けたメールに、メールサーバが受け取ったメールを、送信先のユーザに対応する領域に格納する際に記録される、送信済みであることを示す情報が含まれていない場合に、前記メールに送信済みであることを示す情報を記録する、
   ことを実行させる請求項１に記載のメール配信プログラム。
3. 第１のメールの送信の依頼を受け付ける受付部と、
   送信の依頼を受け付けた第１のメールに、メールサーバが受け取ったメールを、送信先のユーザに対応する領域に格納する際に記録される、送信済みであることを示す情報が含まれている場合、又は当該第１のメールのヘッダに返信や転送であることを示す所定の文字列が含まれている場合に、当該第１のメールに含まれている、転送時に秘匿対象として定められた第１の文字列を、秘匿化する処理を行ってから送信する処理部と、
   を備えるメールサーバ。
4. メールサーバが、
   送信の依頼を受け付けた第１のメールに、前記メールサーバが受け取ったメールを、送信先のユーザに対応する領域に格納する際に記録される、送信済みであることを示す情報が含まれている場合、又は当該第１のメールのヘッダに返信や転送であることを示す所定の文字列が含まれている場合に、当該第１のメールに含まれている、転送時に秘匿対象として定められた第１の文字列を、秘匿化する処理を行ってから送信する、
   ことを実行するメール配信方法。
5. メールサーバに、
   送信の依頼を受け付けたメールを中継する中継サーバが、中継する第１のメールに、送信先のユーザに対応する領域に格納する際に記録される、メールに送信済みであることを示す情報が含まれている場合、又は当該第１のメールのヘッダに返信や転送であることを示す所定の文字列が含まれている場合に、当該第１のメールに含まれている、転送時に秘匿対象として定められた第１の文字列を、秘匿化する処理を行ってから送信する機能を有するかを、前記中継サーバへの問い合わせに基づいて判断し、
   前記中継サーバが前記機能を有すると判断すると、前記送信の依頼を受け付けたメールを前記中継サーバに送信する、
   ことを実行させるメール配信プログラム。
6. 前記メールサーバに、
   前記中継サーバが前記機能を有さないと判断すると、前記送信の依頼を受け付けた第１のメールに含まれている、転送時に秘匿対象として定められた第１の文字列を、秘匿化する処理を行ってから、秘匿化された当該第１のメールを前記中継サーバに送信する、
   ことを実行させる請求項５に記載のメール配信プログラム。
7. 前記メールサーバに、
   前記秘匿化したメールに、前記第１の文字列を一意に指定する管理番号を追加して前記中継サーバに送信する共に、前記管理番号と前記第１の文字列とを関連付けて記憶部に記憶し、
   前記中継サーバを経由して前記第１のメールを受信した受信者からの管理番号を指定した問合せに応じて前記記憶部の前記管理番号に関連付けて記憶された前記第１の文字列を開示することで、秘匿化された情報を復元可能にする、
   ことを実行させる請求項６に記載のメール配信プログラム。
8. 前記メールサーバに、
   前記中継サーバが前記機能を有さないと判断すると、前記送信の依頼を受け付けたメールの送信依頼元に警告を通知し、前記送信の依頼を受け付けたメールの送信処理を中止する、
   ことを実行させる請求項５に記載のメール配信プログラム。
9. メールの送信の依頼を受け付ける受付部と、
   送信の依頼を受け付けたメールを中継する中継サーバが、中継する第１のメールに、送信先のユーザに対応する領域に格納する際に記録される、メールに送信済みであることを示す情報が含まれている場合、又は当該第１のメールのヘッダに返信や転送であることを示す所定の文字列が含まれている場合に、当該第１のメールに含まれている、転送時に秘匿対象として定められた第１の文字列を、秘匿化する処理を行ってから送信する機能を有するかを、前記中継サーバへの問い合わせに基づいて判断し、
   前記中継サーバが前記機能を有すると判断すると、前記送信の依頼を受け付けたメールを前記中継サーバに送信する処理部と、
   を備えるメールサーバ。
10. メールサーバが、
    送信の依頼を受け付けたメールを中継する中継サーバが、中継する第１のメールに、送信先のユーザに対応する領域に格納する際に記録される、メールに送信済みであることを示す情報が含まれている場合、又は当該第１のメールのヘッダに返信や転送であることを示す所定の文字列が含まれている場合に、当該第１のメールに含まれている、転送時に秘匿対象として定められた第１の文字列を、秘匿化する処理を行ってから送信する機能を有するかを、前記中継サーバへの問い合わせに基づいて判断し、
    前記中継サーバが前記機能を有すると判断すると、前記送信の依頼を受け付けたメールを前記中継サーバに送信する、
    ことを実行するメール配信方法。

Images