CN1532746A - 用于安全实现协同处理的信息处理装置及方法 - Google Patents

Abstract

本发明提供一种信息处理装置，在将指示书在服务器间进行交接，各服务器执行指示书内各自的指示，提供协同服务的系统中，各服务器可以验证服务指示者的署名。指示输入装置，对表示各服务器处理内容的指示书，附加指示书或该装置的电子署名(起始方署名(74))，制作已署名的个别指示书(72)，将在服务中利用的所有服务器已署名的个别指示书(72)合并，附加起始方署名(76)，制作总指示书(70)。总指示书(70)发送给控制这些服务的流程控制装置。流程控制装置通过起始方署名(76)验证该总指示书(70)的真实性等。当验证成功时，流程控制装置发送对应于各服务器的已署名的个别指示书(72)。

Description

用于安全实现协同处理的信息处理装置及方法

技术领域

本发明涉及使网络上存在的各种处理装置联合，实现多种协同处理的技术，特别是涉及协同处理中的安全性技术。

背景技术

已提出的工作流系统，将扫描仪、传真机、打印机、复印机、及其功能进行汇总的复合机，连接在LAN(局域网)上，与个人计算机及邮件服务器等信息处理装置协同，提供办公作业用的各种服务。

另外，近些年来，还提出了使分散在因特网上的各种网应用软件进行协调的技术。当对因特网上的多种提供者提供的应用软件服务进行连结，可构成一个系统时，由于可以利用各种现有的服务，所以可以大幅度降低系统开发成本。另外，为实现这种协同服务的共同基础的XML(eXtensilbe Markup Language)等语言正在受到关注。

另外，现有的工作流系统如特许文献1.特许文献2.及特许文献3中所示。另外，与工作流无关系的关于电子署名的现有技术如特许文献4中所示。在该文献中，表示了在安全执行程序代码的计算机系统中，通过按每个内存分配的最小单位对加密的程序代码附加电子署名，可使署名验证及解码处理作为多任务执行。

(特许文献1)特开平08-123744号公报

(特许文献2)特开2002-099686号公报

(特许文献3)特开2001-282970号公报

(特许文献4)特开2002-353960号公报

对构成流程的各处理装置的服务请求，是通过将某些指示数据发送给该处理装置进行的。这里，有时会产生当存在指示数据的篡改、伪造等危险性时，将不能满足处理装置方面要求的安全级别的情况。

在现在的因特网技术中，减少数据篡改等危险性的方法是采用PKI(公开钥基盘)上的电子署名。然而从下面的原因可知，在工作流等协同服务中只用电子署名技术有时是不够的。

即，对处理装置来说，一个重要的问题是所接受的指示数据是否与协同服务请求者的指示内容相同。为此，也可采用某个处理装置对自己接受的指示数据进行加工，传递给下一个处理装置的流程结构，但是这一结构，存在服务请求者最初附加在指示数据中的电子署名会在流程途中的处理装置上丢失的问题。

发明内容

本发明提供一种信息处理装置，通过使按指示数据所记述的处理记述执行处理的多个作业处理装置进行协同操作，来实现服务，其特征在于，包括：署名部，对上述指示数据所记述的处理记述中成为作业处理装置的执行对象部分，进行电子署名；及

发送部，将通过上述署名部进行电子署名的指示数据，发送给执行上述处理记述所表示的处理的作业处理装置。

另外，本发明的最佳形式是上述署名部对委托服务的委托者进行电子署名。

另外的最佳形式是上述署名部对自身装置进行电子署名。

另外，本发明的一种形式，自身装置是提供服务的提供源装置。例如发明的实施例的指示输入装置是该提供源装置的一例。

另一形式是，自身装置是以一个作业处理装置和另一个作业处理装置之间为中继，传输作业处理结果的中继装置。例如发明实施例中的流程控制装置是该中继装置的一例。

另外，本发明的最佳形式是，上述署名部，包含对在附加电子署名对象的处理记述之后应执行处理的处理记述，进行署名。

附图说明

图1是表示提供协同服务的系统构成一例的图。

图2是表示提供协同服务的系统构成另一例的图。

图3是说明向协同服务的各服务器发出指示书的第1发送形式的图。

图4是说明向协同服务的各服务器发出指示书的第2发送形式的图。

图5是模式化表示本实施例进行起始方署名的总指示书的数据结构一例的图。

图6是表示明文的总指示书例的图。

图7是表示本实施例进行起始方署名的总指示书例的图。

图8是模式化表示指示输入装置制作的总指示书的数据结构另一例的图。

图9是表示本实施进行起始方署名的总指示书的另一例的图。

图10是表示构成提供协同服务系统的各装置内部结构例的图。

(实施例)

下面参照附图对本发明的实施例进行说明。

图1是表示本发明所涉及的服务提供系统的系统构成图形一例的图。该系统包括指示输入装置10、流程控制装置20、及多个应用服务器25。

应用服务器25是根据其他装置发出的请求，提供规定处理服务的服务器。例如服务器25的例子可以是文本数据库服务器、邮件服务器、对图像数据进行彩色变换及旋转等操作的图像处理服务器等。服务器25例如以网络应用服务等形式提供这样的处理服务。

该系统当由某个服务器25检索文件，通过另外的服务器将该结果检索的文件的电子邮件进行发送时，可以提供协同多个服务器25处理的协同服务。

指示输入装置10是对该系统输入用户处理指示的装置。用户对指示输入装置10可以输入上述协同服务的执行指示。指示输入装置10例如可以在个人计算机中，装入为接受从用户发给系统的指示输入的用户界面程序。但是如果是办公的文件处理服务，则指示输入装置10最好采用在信息处理功能及通信功能之外，还具备读取纸面文件进行电子数据化功能的数字复合机。数字复合机兼备扫描仪、打印机、复印机、传真机、网络通信等功能。

流程控制装置20通过对各服务器25委托处理，实现对这些服务器25提供的服务进行协同的协同处理。

指示输入装置10、流程控制装置20及各服务器25，最好对应于公开钥加密方式，具有各自的加密钥、公开钥。另外，指示输入装置10、流程控制装置20及各服务器25可以保持、或者根据需要从网络上的认证机构取得其他装置10、20及服务器25的公开钥。

在图1的系统中，当用户对指示输入装置10输入协同服务的指示时，指示输入装置10发送表示该指示内容的数据。以下将该数据称为流程指示书50。在该流程指示书50中，包括关于协同服务的所有服务器处理内容的记述、及这些处理的执行顺序的信息。接收流程指示书50的流程控制装置20，根据该指示书50控制各服务器25，实现该指示书50所表示的协同服务。

这时，流程控制装置20根据接收的流程指示书50，制作对各服务器25的指示书(表示指示内容的数据)52，通过将这些指示书52发送给各服务器25，实现这些服务器25的协同操作。即流程控制装置20根据流程指示书50的记述，对下个应操作的服务器25发送指示书52，并且当从该服务器25对此返回处理结束的通知(以及有时是处理结果数据)时，对下个服务器25发送指示书52。

这样，图1的系统采用的是服务器52群在流程控制装置20的控制之下进行协同处理的所谓星型系统的构成。

下面参照图2说明本发明所涉及的服务提供系统的系统构成图形的另一例子。在图2中，对与图1中所示的系统构成要素相同的构成要素，加有相同标号，其说明予以省略。

该系统由指示输入装置10和多个应用服务器25构成。

与图1的系统具有进行协同控制的流程控制装置20相比，图2的系统不具有这样的中央控制装置，而是各应用服务器25本身执行协同操作的控制操作。因此指示输入装置10制作为进行用户指示的协同服务而表示服务器25应执行的处理的流程指示书50，将其发送给各服务器25执行。

图2的构成是将完成构成协同服务各处理的各服务器25按照各处理的顺序排列，所谓连锁型的构成。在该构成中，当指示输入装置10对服务器连锁中的最初服务器25-1发送指示书50时，以此为契机开始服务处理。而且当服务器25-1的处理结束时，下个服务器25-2开始处理；该服务器25-2的处理结束时，再下一个服务器25-3开始处理，在各级的服务器25之间进行协同处理下去。这时在各服务器25上，从指示输入装置10直接发送、或从上级的服务器25发送指示书54。而且各服务器25在根据该指示书执行处理的同时，对该指示书所指示的下个服务器25发送处理开始的指示或指示书54。用这样的构成实现联合(详细内容将在后面叙述)。

以上，对各服务器25的协同构成，说明了通过流程控制装置20进行集中控制的流程控制装置中介型、及各服务器25依次向下个服务器25进行处理交接的连锁型两种构成。

下面，说明为进行协同服务对各服务器25发送的有关指示书52、54的两种形式。

第1，对有关协同服务的各服务器25，不仅向该服务器25发送指示(该服务器25处理内容的记述)，而且也发送包括向其他服务器25指示的指示书52或54的方式。该方式的一个例子是将包括向有关协同服务的所有服务器25发出指示的指示书，发送给各服务器25的方式。这样，将还包括向其他服务器25发出指示的形式的指示书称为“总指示书”。

第2，对有关协同服务的各服务器25，发送只包括向该服务器25发出的指示，而不包括向其他服务器25发出指示的指示书52或54的方式。这样，将只由向该服务器25发出指示构成的指示书称为“个别指示书”。

指示书52或54的两种类型与上述系统构成的两种类型进行组合，就可得到多种向各服务器25发出指示书的发送形式。其中具有代表性的可以举出下面两种指示发送形式。

第1是如图3中所示的流程控制装置中介型系统中的指示发送形式。

在该指示发送形式中，首先从指示输入装置10对流程控制装置20，发送包括对服务中利用的所有服务器25-1、25-2、25-3的个别指示书62-1、62-2、62-3的总指示书60。例如在总指示书60中，这些个别指示书62-1、62-2、62-3按执行的顺序排列。流程控制装置20从接收的总指示书60中取出各个别指示书62-1、62-2、62-3，按需要的时间将这些分别发送给对应的服务器25-1、25-2、25-3。

第2种指示发送形式是在流程控制装置非中介型系统中使用总指示书。该形式的例子如图4中所示。

在图4的形式中，首先从指示输入装置10对流程中的最初服务器25-1，发送包括对为服务中利用的所有服务器25-1、25-2、25-3的个别指示书62-1、62-2、62-3的总指示书60。对其接收的服务器25-1从总指示书60中识别发给自己的个别指示书62-1，并依此执行处理。然后服务器25-1从该总指示书60中删除发给自己的个别指示书62-1，制作新的总指示书60a，并将其发送给流中的下个服务器25-2。下个服务器是哪一个，在总指示书60内进行记述。接收总指示书60a的服务器25-2也进行同样操作，并从该总指示书60a中删除发给自己的个别指示书62-2，制作总指示书60b，并发送给下个服务器25-3。这样在第2种指示发送形式中，各服务器25从总指示书60中依次删除发给自己的个别指示书62，交接给下个服务器25。

上述第1及第2指示发送形式都可以在用户对指示输入装置10指示协同服务的执行时，对制作的总指示书60的数据采用该用户及该指示输入装置10的加密钥进行电子署名。因此，如果是直接接收该总指示书60的流程控制装置20及服务器25-1，则可以通过署名验证，确认该指示书60是否有篡改等。这样采用请求服务的用户本身的加密钥制作的电子署、及采用在请求的输入中所用的指示输入装置10的加密钥制作的电子署名称为起始方(initiator)，并将该用户及指示输入装置10总称为起始方。起始方署名究竟是否请求用户的电子署名和指示输入装置10的电子署名中的一个，将依据协同服务的系统、及参加该系统中的各服务器25的安全性方针决定。根据安全性方针不同，起始方署名也可考虑进行这两个电子署名。

对此，当从总指示书60的数据制作发给各服务器25的个别指示书62及总指示书60a、60b时，对这些新制作的指示书来说，加在原指示书60中的起始方署名就变为无效了。因此通过流程控制装置20及其他服务器25接受指示书的服务器25，就不能验证该指示书是否是从起始方发出的正确指示书。

下面说明为解决上述起始方署名的问题的本实施例结构。

该结构的基本想法是在指示输入装置10制作总指示书60时，对装入该总指示书60中的发给各服务器25中的个别指示书62，分别进行单独起始方署名。

根据这一想法，参照图5说明适合于图3的指示发送形式的总指示书构成。

图5中所示的总指示书70，对应于图3、4中所示的总指示书60，包括对3个服务器25-1、25-2、25-3的各已署名的个别指示书72-1、72-2、72-3。各已署名的个别指示书72-1、72-2、72-3是对明文的个别指示书62-1、62-2、62-3，分别加了起始方署名74-1、74-2、74-3。

采用这样的总指示书60时，流程控制装置20从总指示书70中取出各已署名的个别指示书72-1、72-2、72-3，发送给对应的服务器25-1、25-2、25-3。各服务器25可以通过对接收的已署名的个别指示书72中所包含的起始方署名74进行验证，检查该个别指示书72的真实性等。

另外，在图5的总指示书70中，包括对这些已署名的个别指示书72-1、72-2、72-3全体的起始方署名76。对该全体的起始方署名76，用于从指示输入装置10接收该总指示书70的流程控制装置20，验证该指示书70的真实性等方面。另外，对该全体的起始方署名76，在防止各已署名的个别指示书72-1、72-2、72-3被挪用方面也很有效。

即，在本实施例的方式中，由于在总指示书70中所包含的个别指示书72中加了起始方署名74，所以有可能例如因特网上的第3者收集各种总指示书70，从中取出已署名的个别指示书72，再进行组装，制作其他的总指示书进行非法使用。对此，如图5的例中所示，如果对总指示书70中所包含的所有已署名的个别指示书72，同时加起始方署名76，则通过非法再组装制作的总指示书，就可以由流程控制装置20上的署名验证检查出来，所以可以防止非法使用。

还有将从总指示书10中取出的已署名的个别指示书72直接发送给服务器25的方法的非法使用。但是对此可以通过流程控制装置20对已署名的个别指示书72，用该装置20本身的加密钥附加电子署名，并在服务器25一侧验证该装置20的电子署名，就可检查出这种非法使用。

下面，对该总指示书70的具体例子进行说明。

为此，为了说明方便，总指示书从具有由指示输入装置10读出的多页文件中取出第1页数据，并向规定的地址用电子邮件进行发送，表示协同服务。总指示书所使用的系统是图3中所示的流程控制装置中介型的系统。在该系统中，服务器25-1提供散页(将文本文件分割成以页为单位的文件，返回所要求页的文件的进行处理)的服务，服务器25-2提供电子邮件发送服务。另外，服务器25-1有“pagedivider.foo.jp”主(host)名，而服务器25-2有“mailsender.foo.jp”的主名。在该指示书70中所示的协同服务中，由指示输入装置10进行纸面原稿的读取，由服务器25-1从读取结果的文本文件中抽出第1页，由服务器25-2制作包含该第1页文件的电子邮件，发送给规定的地址。

这种记述协同服务的明文的总指示书60，按图6所示进行记述。

图6的总指示书60由XML(eXtended Markup Laguage)记述。该总指示书60包括在该指示书60中使用的XML的版本及表示字符代码的文本要素605、及表示该指示书60表明的协同服务的文本要素610。在表示协同服务的要素610的标志中，表示了该协同服务的名称(name＝“report delivery”)。而且在该要素610中记述了对担当这些协同服务的各服务器25-1、25-2的个别指示书620a、620b。

在个别指示书620a的记述622a中，表示了在协同服务中的该处理序号(order＝“1”)、及执行该处理的服务器25-1的主名(url＝“page divider.foo.jp”)。另外，在记述624a的第1行中，表示该服务器25-1提供的各种处理中，本次利用的处理名称“jobname＝Extract Front Page”。例如，服务器25-1除了进行从文本文件取出第1页，制作该第1页的文件的处理之外，还可进行将文本文件按页为单位进行分页，制作各页的文件的处理等各种处理。记述624a的第1行，表示在这些各种处理中，制作文本文件的第1页文件的处理。在记述624a的第2行及第3行中表示该处理参数。第2行的参数表示对该处理的输入文件的文件名(“Extract FrcntPage”)，而第3行的参数是该处理的输出文件的文件名(“ExtracteolPage”)。指示输入装置10，对表示读取的原搞的文本文件附加“Extract Frcnt Page”文件名，如果加到该指示书60中进行发送时，则在服务器25-1上可以识别该文件是处理对象。

另外，个别指示书620a包含表示该指示书指示的处理之后进行处理的服务器25-2的记述626a。在该记述626a中记述了下个服务器25-2的主名(url＝“pagedivider.foo.jp”)。

对服务器25-2的个别指示书620b，与上述个别指示书620a同样，包括表示处理顺序及服务器25-2主名的记述622b、及表示该服务器25-2应进行处理的名称和该处理参数的记述624b。由于服务器25-2进行的处理是电子邮件的发送处理，所以参数包括电子邮件的收信地址(记述624b的第2行)、及附加在电子邮件中的文件名称(记述624b的第3行)。所附加的文件名称与服务器25-1处理的输出文件名相同。

服务器25-2由于是该总指示书60所示的协同服务中的最后处理，所以不包含表示下个服务器的记述。

对于这样的明文的总指示书60，根据图5中所示的想法，进行起始方署名的总指示书70的记述如图7中所示。图7的例子为了说明方便而进行了简化。

在图7的记述例中，总指示书70包括对服务器25-1的已署名的个别指示书720、及对服务器25-2的已署名的个别指示书730。

发给服务器25-1的已署名的个别指示书720，以(Signature)标志722表示的包封署名形式的署名要素进行记述。在该署名要素中，首先记述表示电子署名中使用的算法等信息的署名信息要素726。在该例中署名算法采用SHA-1(FRC3174)。然后记述由(object)、(/object)标志所夹着的署名对象要素S。该署名对象要素S是与明文总指示书60的个别指示书620a(参照图6)相同的记述内容。另外，要素724与署名对象要素S不同，是从指定为起始方加密钥的署名算法中求得的表示署名值的署名值要素。在已署名的个别指示书720内包括表示对应于计算署名值要素724中使用的加密钥的公开钥的钥信息要素(由<KeyInfo>标志表示)，在图7予以了省略。当后级的服务器验证该署名时，根据该钥信息要素的信息，取得对应于署名钥的公开钥，使用该公开钥进行署名验证。

同样，发给服务器25-2的已署名的个别指示书730，在由标志732表示的署名要素内，包括署名信息要素736、署名对象要素T(个别指示书620b)、表示对该要素T的起始方署名值的署名值要素734及钥信息要素。

而且，总指示书70全体，对这两个已署名的个别指示书720及730进行合并的署名对象要素U，进行起始方署名。既总指示书70在由(Signature)标志712所示的署名要素中，包含署名信息要素716、署名对象要素U，及表示对该要素U起始方署名值的署名值要素714和钥信息要素。

下面参照图8说明适合于图4中所示的第2指示发送形式的总指示书构成。

在图8的总指示书80中，首先各个别指示书62-1、62-2、62-3分别附加起始方署名84-1、84-2、84-1，形成带署名的个别指示书82-1、82-2、82-3。然后，对协同服务中的处理顺序号为最后的带署名的个别指示书82-3与前一个带署名的个别指示书82-2进行合并的记述，附加起始方署名87，形成块85。而且对在该块85中再前一个(在该例中为指示书中的前头)带署名的个别指示书82-1进行合并的记述，附加起始方署名88。该最外侧的起始方署名88对应于图5的构成中对总指示书全体的起始方署名76。

这样，进行嵌套起始方署名的总指示书80的构成，可以按与各带署名的个别指示书82-1、82-2、82-3处理顺序相反顺序逆归使用“对署名结果前一个带署名的指示书合并，进行起始方署名”的处理。即在该署名处理中，包括附加电子署名对象的处理记述(即个别指示书)后之应执行处理的处理记述，进行署名。

当在指示输入装置10制作总指示书80，并发送给第1个服务器25-1时，该服务器25-1首先对总指示书80全体验证的起始方署名88。在该验证成功时，服务器25-1找出发给自己的带署名的个别指示书82-1，对该指示书82-1的起始方署名84-1进行验证。当该验证成功时，服务器25-1根据该指示书82-1的记述，执行处理，并且制作发给下个服务器25-2的总指示书80a。该总指示书80a从基础的总指示书80中，删除发给服务器25-1的带署名的个别指示书82-1和最外侧的起始方署名88，对剩余的块85，通过附加XML格式的总指示书所需的标志等来进行制作。即，在总指示书80a中，块85的起始方署名87是对包括指示80a全体的起始方署名。

然后，接受总指示书80a的服务器25-2同样也验证指示书80a全体的起始方署名、及发给自己的带署名的个别指示书82-2的起始方署名，如果这些验证都成功，则执行该指示书82-2的处理，并制作发给下一个服务器25-3的总指示书80b。该总指示书80b也与上述一样，从基础的总指示书80a中删除带署名的个别指示书82-2和最外侧的起始方署名87，对该结果剩余的带署名的个别指示书82-3，通过附加总指示书所需的标志来进行制作。

当服务器25-3接受该总指示书80b时，对其中包含的发给自己的带署名的个别指示书82-3的起始方署名进行验证，如果验证成功，则执行该指示书中所示的处理。这样，对应于总指示书80的协同服务结束。

这样，在图8中所示的嵌套结构的总指示书80中，无论在协同服务的流中的哪个服务器之间，对从上个服务器25向下个服务器25交接的指示书的基础数据块(即向该下个服务器以后的各服务器的指示书群)全体，都必须附加起始方署名。从而，各服务器25通过从上个服务器25接受的总指示书中，去除发给自己的个别指示书，对下个服务器25可以制作附加对全体的起始方署名的总指示书。

从而，即使图8的总指示书80的结构，由于从服务器25向下个服务器25发送的总指示书，总是对该总指示书全体附加起始方署名，所以可以防止第3者再组合各带署名的个别指示书82，制作总指示书的非法行为。

下面，参照图9中说明图8的总指示书80的具体例子。

图9的具体例中，表示了从具有由指示输入装置10读取的多枚页的文本文件中，取出第1页数据(服务器A)，将其变换成规定的文件格式(服务器B)后；用电子邮件发送给规定的地址(服务器C)等3个服务构成的协同服务。在这3个服务中，服务器A及C由于与图6所涉及的例中的分页及电子邮件发送的处理内容相同，所以对一部分记述予以了省略。

在图9的记述例中，对各带署名的个别指示书820、830、及840，分别附加了对署名对象要素V、W、X的起始方署名824、834、及844。而且，对带署名的个别指示书830和840合并的署名对象要素Y，附加起始方署名854。而且在由署名对象要素Y和起始方署名854构成的署名要素850上，对此前合并带署名的个别指示书820的署名对象要素Z，附加起始方署名814，构成全体的总指示书80。

以上说明了对应于图3及图4的各指示发送形式的总指示书70及80的数据结构。图7及图9中所示的总指示书70及80的记述，是采用XML-signature(RFC3275)的包封(enveloping)署名形成时的例子。但是，如果是业内人员就会明白，本实施例的方式并不依赖于署名形式。另外，本实施例的方式也不依赖于XML等指示书的数据格式。

以上对本实施例的署名处理进行了说明。由于本实施例是关于对指示书的电子署名，所以说明并未涉及加密等方面。但是，如果是业内人员就会明白，可以将上述本实施例的署名处理根据需要与加密处理进行组合。例如对各个别指示书620a及620b处理内容的记述624a及624b(参照图6)，也可以分别用该个别指示书地址的服务器公开钥进行加密处理，并对该加密结果进行起始方署名，制作带署名的个别指示书。另外，反之也可以对带署名的个别指示书，用接收端服务器的公开钥进行加密。

以上对本实施例的系统构成及操作进行了说明。在以上的实施例中，第1阶段，对为进行协同服务而向协同操作的各服务器发出的个别指示书，分别单独进行了起始方署名。这时作为署名处理单位的“服务器”，也可以是通过由计算机实行记述某服务处理的应用程序实现的虚拟机器，并且可以是具有一个至多个这种应用程序的硬件装置。当是前者时，对每个应用程序处理的记述是一个个别指示书，而当后者时是将一个硬件装置中所包含的多个应用程序处理的记述，按顺序排列形成一个个别指示书。

下面参照图10，说明构成该系统的指示输入装置10、流程控制装置20及各服务器25的内部构成一例。

首先，对指示输入装置10进行说明。指示输入装置10的UI(用户界面)102显示指示输入装置10的状态及操作菜单，并且是对其进行用户选择及接受参数输入的用户界面机构，例如具有液晶触摸屏、数字键、及各种指示按钮。处理模块104是该指示输入装置10本身执行对用户提供服务处理的处理模块。当指示输入装置10是复合机时，在处理模块104中包括实现扫描功能、打印功能、拷贝功能、传真收发信功能等的功能模块。这时，这些处理模块104由扫描引擎、打印引擎、及传真装置等硬件、及控制这些硬件的软件组合构成。通信控制部106是为进行该指示输入装置10和LAN等网络35上的其他装置间的通信而进行各种控制处理的功能模块。

加密、解密处理部108是对从指示输入装置10向网络35发送的数据进行加密，及对发送来的加密数据进行解密的功能模块。此处加密、解密处理部108其加密方式，支持公开钥加密方式。不过这只是一个例子，加密、解密处理部108也可以以共同钥方式等其他加密方式为基础。

在加密、解密处理部108中所用的加密处理一例，可以进行用由随机数产生的会话钥(共同钥)，对对象文本数据进行加密，并用接收端的公开钥对该会话钥进行加密，将这两个加密的数据发送给接收端的处理。在接收端，通过用自己的加密钥对接收的数据进行解码，得到会话钥，并通过该会话钥对所加密的文本数据进行解码。在本说明书中，“用公开钥加密”时，不只是照字面用公开钥对对象数据进行加密的情况，有时也利用这样的会话钥进行加密处理。

另外，加密、解密处理部108具有对发送的数据进行电子署名，及对接收的数据所附加的电子署名进行验证的功能。电子署名例如可对从署名对象的文本数据按SHA-1及MD5(RFC1321)等规定的摘要方式求得的信息摘要，用署名的加密钥进行加密获得。该电子署名的验证可以通过对署名数据用署名者的公开钥进行解码，判断该解码结果是否与从署名对象的文本数据按规定摘要方式求得的信息摘要一致来进行。如果一致，则证明该文本数据是从署名者发出的真正数据，并且证明对该文本数据未加篡改。

上述的本实施例的电子署名处理由该加密、解密处理部108执行。

这里，加密、解密处理部108至少保管着流程控制装置20的公开钥。另外在加密、解密处理部108中最好设置根据需要从网络上的规定认证机构等取得各用户及用户公开钥的功能。另外，加密、解密处理108可以具备该指示输入装置10本身的加密钥，进行该指示输入装置10的电子署名。

令牌I/F(接口)110是接收用户保持的硬件令牌，通过与该令牌进行通信，取得该用户加密钥进行的电子署名的机构。这里，硬件令牌是用户携带的小型认证器件。当利用公开钥加密方式时，硬件令牌例如具有：存储用户加密钥数据的存储芯片；通过用户加密钥对署名对象数据用进行加密，生成署名数据的运算电路；及为进行署名对象数据输入及署名数据输出的界面机构。硬件令牌的构成例如是对应于接触读取方式或非接触读取方式的IC卡、USB(UniversalSerial Bus)等各种有线接口规格的器件、或者对应于Bluetooth等各种无线接口规格的器件。

对总指示书的起始方署名，在委托服务的用户要求电子署名时，通过该令牌I/F110，从用户的硬件令牌接受附加起始方署名。

在该构成中，当需要对应发送的数据进行用户的电子署名时，通信控制部106例如根据MD5等方式作成该数据的信息摘要，将其输入到令牌I/F110上安装的硬件令牌中，硬件令牌(token)用所保持的用户加密钥对所输入的信息摘要进行加密，将该加密处理结果(即用户署名)返回通信控制部106。通过通信控制部106将该用户署名附加在文本数据中，进行对文本数据的用户电子署名。

以上对利用用户的硬件令牌进行用户电子署名的方式进行了说明，另外作为其他方式也可以在指示输入装置10内预先保管用户加密钥，利用该加密钥，通过与上述同样的处理，进行该用户的电子署名。在该方式中，为了对用户的加密钥进行保护，只要是对用户请求输入密码及寿命预测等认证信息，这样只要用户认证成功，就必须进行认证该用户电子署名的控制。利用硬件令牌的构成时，当用户署名进行必要的协同服务时，最坏的情况是在该协同服务结束之前，需要在指示输入装置上设置令牌的情况下等待，但是如果是在指示输入装置10中保管加密钥的构成，就不需要待机了。反之，利用硬件令牌的构成的优点是，用户无论来自哪个复合机及其他装置，都可以执行需要用户署名的协同服务。

以上对指示输入装置10构成的一例进行了说明。这样的指示输入装置10可以通过在计算机及上述复合机等可以执行程序，执行信息处理的装置上，执行记述上述各种功能的程序来实现。

下面对流程控制装置20的构成进行说明。该构成对应于上述第1指示发送形式(图3)，而当是第2指示发送形式(图4)时，不需要该流程控制装置20。

在流程控制装置20中，用户管理部202对该服务器20有关服务对象的用户的各种信息进行管理。用户管理部202管理的信息，例如有用于用户认证的认证信息(密码及寿命预测信息等)、及用户登录的UI画面信息等。即，在本实施例的系统中，通过用户对网络35上的各种服务器装置提供的服务进行组合，可以定义用户固有的协同服务，从流程控制装置20提供能指示这些用户固有协同服务的该用户固有的UI画面。

这时，当用户(既有个人的情况，也有多人组成组的情况)对指示输入装置10输入认证信息，当认证成功时，指示输入装置10对流程控制装置20请求该用户的UI画面。根据该请求，流程控制装置20将包含该用户登录的协同服务菜单等的UI画面，在用该用户的公开钥加密之后，发送给指示输入装置10。当用户在指示输入装置10的显示器所显示的该UI画面上，选择想要使用的协同服务时，该选择内容用流程控制装置20的公开钥进行加密，然后从指示输入装置10发送给流程控制装置20。接受该选择结果的流程控制装置20，对表示用户选择的协同服务的总指示书的雏型数据，用用户的公开钥进行加密，然后发送给指示输入装置10。指示输入装置10，在该总指示书的雏型中包含用户必须输入的参数时，则在UI102上显示该参数的输入画面，并请求用户的输入。这样，当输入参数群时，则总指示书完成。它对应于上述的流程指示书50。指示输入装置10在用流程控制装置20的公开钥对完成的流程指示书加密后，发送给流程控制装置20。

关于用户向流程控制装置20的协同服务登录处理、及从流程控制装置20提供给指示输入装置10的各用户固有的UI画面信息，由于与本实施例的要旨没有直接关系，故其说明予以省略，但是有关这些内容在本申请人的特愿2002-275229号、特愿2002-275230号、及特愿2002-275231号中已公开，如有必要请参考。

该例的构成中，UI画面的信息及协同服务的总指示书雏型，由流程控制装置20保管，并提供给指示输入装置10，但是也可以将这些UI画面及总指示书的雏型保管在指示输入装置10中。

流控制部204是为了实现用户要求的协同服务，根据协同服务中规定的流，对各服务器25及指示输入装置10进行必要处理的执行委托的功能模块。即，协同服务定义为各服务器25提供的1个以上处理(以下也称单位作业)构成的流程，流程控制装置20将该流程定义所示的单位作业依次委托给对应的服务器。为此，各服务器的处理结果，根据需要返回流程控制装置20，作为下一单位作业的处理对象数据，从流程控制装置20发送给对应的服务器。流控制部204执行对各服务器、复合机的处理委托、及取得对此处理结果等处理。

指示输入装置10除协同服务的接收指示功能之外，还具有处理功能，有时为了协同服务也可提供该处理功能。这时，指示输入装置10对该处理功能可以采用一个应用服务器25。

加密、解密处理部206是对从流程控制装置20发送给网络35的数据进行加密、及对发送来的加密数据进行解密的功能模块，具有与加密、解密处理部108相同的加密、解密、电子署名及其验证功能。

为此，加密、解密处理部206具有对指示输入装置10及各服务器25等装置、及各用户的公开钥进行保管、或者从网络上的认证机构等取得的功能。而且当需要发送数据时，利用该接收端的装置及用户的公开钥进行加密。

另外，加密、解密处理部206还具有作为电子署名相关功能之一的对从指示输入装置10发送来的总指示书70全体，进行起始方署名76验证的功能。加密、解密处理部206具有流程控制装置20的加密钥，可以对发送的数据附加流程控制装置20的电子署名。

通信控制部212是为了对流程控制装置20和网络35上的其他装置间的通信而进行各种控制处理的功能模块。

以上说明了流程控制装置构成的一例。这样的流程控制装置20可以通过在计算机上执行记述上述各种功能的程序来实现。

下面，对应用服务器25进行说明。应用服务器25包括该服务器提供服务的应用服务器252、执行与网络35上的其他装置间通信的控制处理的通信控制部254、及执行该通信时加密和解密处理的加密、解密处理部256。

服务器25的加密、解密处理部256，具有对从流程控制装置20或其他服务器25发送来的总指示书进行上述起始方署名验证的功能。当该署名验证成功时，执行应用程序252的处理。

另外，加密、解密处理部256具有对通过该服务器25处理所得到的数据进行加密的功能。在将这样处理结果的数据发送给流程控制装置20或其他服务器25时，利用其接收端的公开钥对该数据进行加密。

另外，通信控制部254在上述第1指示发送形式(图3)时，进行将应用程序252的处理结果发送给流程控制装置20的处理。另外，通信控制部254在第2指示发送形式(图3)时，执行对下个服务器25发送总指示书60(以及必要时是处理结束数据)的上述处理。

在以上说明的指示输入装置10及服务器25、以及流程控制装置中介型的系统构成时，通过流程控制装置20，在实现上述协同服务的流的同时，还可进行保守在该流程中发向各服务器25的指示书的秘密的处理。

Claims (16)

1.一种信息处理装置，通过使按指示数据所记述的处理记述执行处理的多个作业处理装置进行协同操作，来实现服务，其特征在于，包括：

署名部，对上述指示数据所记述的处理记述中成为作业处理装置的执行对象部分，进行电子署名；及

发送部，将通过上述署名部进行电子署名的指示数据，发送给执行上述处理记述所表示的处理的作业处理装置。

2.根据权利要求1所述的信息处理装置，其特征在于：

上述署名部对委托服务的委托者进行电子署名。

3.根据权利要求1所述的信息处理装置，其特征在于：

上述署名部进行自身装置的电子署名。

4.根据权利要求3所述的信息处理装置，其特征在于：

自身装置是产生服务的产生源装置。

5.根据权利要求3所述的信息处理装置，其特征在于：

自身装置是在一个作业处理装置和另一个作业处理装置之间进行中继，传输作业处理结果的中继装置。

6.根据权利要求1所述的信息处理装置，其特征在于：

上述署名部进行的署名包含对在作为附加电子署名对象的处理记述之后应执行处理的处理记述。

7.根据权利要求1所述的信息处理装置，其特征在于：

上述署名部，对成为各作业处理装置执行对象的多个部分，分别进行电子署名。

8.根据权利要求1所述的信息处理装置，其特征在于：

上述署名部，以处理记述的处理单位进行电子署名。

9.一种信息处理方法，通过计算机执行，以通过使按指示数据所记述的处理记述执行处理的多个作业处理装置进行协同操作来实现服务，其特征在于：包括：

对上述指示数据所记述的处理记述，对成为各作业处理装置的执行对象部分进行电子署名；及

将进行电子署名的指示数据发送给执行上述处理记述所表示的处理的作业处理装置。

10.如权利要求9所述的方法，其特征在于：

进行上述电子署名的步骤包括对委托服务的委托者进行电子署名的步骤。

11.如权利要求9所述的方法，其特征在于：

进行上述电子署名的步骤包括进行计算机电子署名的步骤。

12.如权利要11所述的方法，其特征在于：

上述计算机是产生服务的产生源装置。

13.如权利要求11所述的方法，其特征在于：

上述计算机是在一个作业处理装置和另一个作业处理装置之间进行中继，传输作业处理结果的中继装置。

14.如权利要求9所述的方法，其特征在于：

进行上述电子署名的步骤，包括对含有作为附加电子署名对象的处理记述之后应执行处理的处理记述进行署名的步骤。

15.如权利要求9所述的方法，其特征在于：

进行上述电子署名的步骤，包括对各作业处理装置执行对象的多个部分分别进行电子署名的步骤。

16.如权利要求9所述的方法，其特征在于：

进行上述电子署名的步骤，以处理记述的处理单位进行电子署名。

Images