JP2001117804A - 電子倉庫システム及び電子倉庫システムの管理方法 - Google Patents

Abstract

(57)【要約】 【課題】 文書の暗号化に利用する鍵の管理を容易に
し、各文書に対してそれぞれ開示条件を設定することに
より、大量の文書管理をその主業務とするような第三者
に文書管理を依頼する場合にも、柔軟かつ使いやすい文
書管理を実現する。 【解決手段】各暗号化文書に開示条件を設けて管理を依
頼するユーザモジュール１と、暗号化文書をその開示条
件をもとに管理する倉庫サーバモジュール２と、暗号化
文書を復号するための復号鍵を抽出する鍵回復センタモ
ジュール３とによって構成され、大量の暗号化データを
各々の開示条件によって柔軟に管理する。

Description

【発明の詳細な説明】

【０００１】

【発明の属する技術分野】この発明は、例えば、暗号化
された大量文書の第三者による管理を実現する電子倉庫
システムに関するものである。ここで言う第三者とは、
例えば、企業において普段は活用されないが保管義務が
ある資料などを預かる第三者企業などである。現状で
は、倉庫業務を営む会社等が紙ベースでの保管サービス
（保管場所のみ）を提供しているが、これを電子的に実
現するイメージである。

【０００２】

【従来の技術】図４５は従来の電子倉庫システムの一例
を示す図である。図中、Ａは暗号化文書保管サービスを
利用するユーザが利用する文書処理モジュールであり、
Ｂは暗号化文書を保管する倉庫サーバモジュールであ
る。文書処理モジュールＡ中のＡ１は暗号化したい全文
書の入出力を行う文書入出力部、Ａ２は文書入出力部Ａ
１で入力された全文書の暗号化及び復号を行う暗号処理
部、Ａ３は暗号処理部Ａ２で暗号化／復号に使用する際
の鍵を管理する鍵管理部、Ａ４は暗号化文書を倉庫サー
バモジュールＢに送信、または暗号化文書を倉庫サーバ
モジュールＢから受信する暗号化文書通信部である。倉
庫サーバモジュールＢ中のＢ１は文書処理モジュールＡ
から送信された暗号化文書を保管及び管理する暗号化文
書管理部、Ｂ２は文書処理モジュールＡから送信された
暗号化文書の受信、または文書処理モジュールＡに対す
る暗号化文書の送信を行う暗号化文書通信部である。次
に、動作について説明する。

【０００３】まず、従来の暗号化文書の登録処理につい
て述べる。暗号化文書を登録する場合の処理フローを図
４６の（ａ）に示す。ユーザは、文書入出力部Ａ１によ
り、倉庫サーバモジュールＢに登録する全文書を文書処
理モジュールＡから指定あるいは入力する（Ｓｔｅｐ
１、図４６の（ａ）、以下同じ）。次に、暗号処理部Ａ
２により、暗号化に利用する鍵を任意に生成し、指定さ
れた全文書を一括で暗号化し（Ｓｔｅｐ２）、当該鍵を
鍵管理部Ａ３にて保管する（Ｓｔｅｐ３）。作成された
暗号化文書は、文書処理モジュールの暗号化文書通信部
Ａ４を通じて倉庫サーバモジュールＢに送信される（Ｓ
ｔｅｐ４）。倉庫サーバモジュールＢでは、暗号化文書
通信部Ｂ２を通じて文書処理モジュールＡから送られて
きた暗号化文書を受信し（Ｓｔｅｐ５）、受信した暗号
化文書を暗号化文書管理部Ｂ１に登録して管理する。

【０００４】次に、暗号化文書の取得処理について述べ
る。文書を取得する場合の処理フローを図４６の（ｂ）
に示す。ユーザは暗号化文書通信部Ａ４で「文書取得要
求」を作成し、倉庫サーバモジュールＢに対して送信す
る（Ｓｔｅｐ１、図４６の（ｂ）、以下同じ）。倉庫サ
ーバモジュールＢでは、暗号化文書通信部Ｂ２を通じて
文書処理モジュールＡから送られてきた「文書取得要
求」を受信し（Ｓｔｅｐ２）、該当する暗号化文書を暗
号化文書管理部Ｂ１にて検索／取得する（Ｓｔｅｐ
３）。暗号化文書通信部Ｂ２にて、取得した暗号化文書
と「文書取得要求」との対応を示すデータから「文書取
得結果」を作成し、文書処理モジュールに対して送信す
る（Ｓｔｅｐ４）。文書処理モジュールＡでは、暗号化
文書通信部Ａ４を通じて倉庫サーバモジュールＢから送
られてきた「文書取得結果」を受信し（Ｓｔｅｐ５）、
暗号処理部Ａ２で復号した後（Ｓｔｅｐ６）、文書入出
力部Ａ１で復号結果の文書を出力する（Ｓｔｅｐ７）。
このように、暗号化文書の取得処理が行なわれる。

【０００５】また、大量の情報をデジタル化して効率的
に保管する従来の技術として、特開平７−１８２３５５
号公報に開示された「情報保管・検索システム」があ
る。この「情報保管・検索システム」においては、物理
的な管理スペース（保管スペース）を電子的に提供する
点、及び、保管するデータを暗号化する処理について述
べられてはいるが、暗号化鍵をどのように管理するかは
記述されていない。

【０００６】

【発明が解決しようとする課題】前述した従来の例で
は、大量の暗号化文書を一括して暗号化しているため、
個々の文書の管理は結局ユーザ側（文書処理モジュール
側）で行わなければならず、また、暗号化に使用した鍵
をユーザ側（文書処理モジュール側）で管理しなければ
ならないため、物理的な管理スペースの問題は解消でき
るものの、結果的にユーザ側での管理負担が大きいとい
う問題があった。

【０００７】この発明は上記のような問題点を解決する
ためになされたもので、例えば、暗号化鍵の管理を倉庫
サーバ側で実現することにより鍵管理負担を軽減する電
子倉庫システムを実現することを目的とする。また、個
々の暗号化文書に対するユーザへのサービスの提供がで
きる電子倉庫システムを実現することを目的とする。ま
た、開示条件設定による柔軟な暗号化文書の復号を実現
する電子倉庫システムを得ることを目的とする。

【０００８】

【課題を解決するための手段】この発明の電子倉庫シス
テムは、所定の暗号鍵でそれぞれ暗号化された１つ以上
の暗号化文書と各暗号化文書に関する管理情報である暗
号化文書管理情報とをそれぞれ対応させて保持する倉庫
サーバモジュールと上記倉庫サーバモジュールが保持す
る上記暗号化文書を利用するサービスを上記倉庫サーバ
モジュールに要求するユーザモジュールとを有する電子
倉庫システムであって、上記倉庫サーバモジュールは、
上記暗号化文書を開示する開示条件を上記暗号化文書管
理情報として保持し、上記ユーザモジュールが要求する
上記暗号化文書を利用するサービスを上記開示条件に基
づいて提供する開示条件処理部を有することを特徴とす
る。

【０００９】上記ユーザモジュールは、文書を入力して
入力した文書を暗号化して暗号化文書を出力する暗号処
理部と上記暗号処理部が出力する暗号化文書を開示する
開示条件を入力して設定する条件入力部とを備え、上記
倉庫サーバモジュールは、上記条件処理部が設定する開
示条件を上記暗号処理部が出力する暗号化文書と対応さ
せて保持することを特徴とする。

【００１０】上記倉庫サーバモジュールは、上記暗号化
文書管理情報として上記暗号化文書を復号する復号鍵を
抽出するための復号鍵情報を保持し、上記電子倉庫シス
テムは、上記復号鍵情報を用いて上記復号鍵を抽出する
鍵抽出部を備えた鍵回復モジュールを有することを特徴
とする。

【００１１】上記開示条件は上記電子倉庫システムを利
用するユーザの情報であるユーザ情報を開示条件の要素
とすることを特徴とする。

【００１２】上記開示条件は上記電子倉庫システムを利
用するユーザが入力するパスワードであることを特徴と
する。

【００１３】上記開示条件は上記暗号化文書を開示する
開示期間であることを特徴とする。

【００１４】上記電子倉庫システムは、複数のユーザに
より１つの暗号化文書を共有可能であり、上記開示条件
処理部は、該暗号化文書の開示を許可する開示許可を上
記複数のユーザから取得していることを上記開示条件と
して開示の可否を判定することを特徴とする。

【００１５】上記電子倉庫システムは、さらに、暗号化
文書の開示を許可する開示許可証を発行する開示許可証
発行部を備えた開示許可モジュールを有し、上記開示条
件処理部は、上記開示許可証の提示を上記開示条件とし
て開示の可否を判定することを特徴とする。

【００１６】上記鍵回復モジュールは、さらに、上記復
号鍵の抽出の可否を判定する鍵抽出条件判定部を備えた
ことを特徴とする。

【００１７】上記鍵抽出条件判定部は、ユーザの属性の
照合を行うことにより鍵抽出可否の判定を行うことを特
徴とする。

【００１８】上記鍵抽出条件判定部は、パスワードの照
合を行うことにより鍵抽出可否の判定を行うことを特徴
とする。

【００１９】上記鍵抽出条件判定部は、開示期間の検証
を行うことにより鍵抽出可否の判定を行うことを特徴と
する。

【００２０】上記鍵抽出条件判定部は、倉庫サーバモジ
ュールが発行した鍵回復許可証を提示することにより鍵
抽出可否の判定を行うことを特徴とする。

【００２１】上記倉庫サーバモジュールは、上記開示条
件から鍵抽出情報を生成する鍵抽出情報作成部を備える
とともに、上記鍵抽出条件判定部は、上記鍵抽出情報作
成部により生成された鍵抽出情報を用いて鍵抽出可否の
判定を行うことを特徴とする。

【００２２】上記電子倉庫システムは、暗号化文書の登
録サービスと削除サービスと変更サービスと照会サービ
スと検索サービスと取得サービスとの少なくともいずれ
か１つのサービスをユーザに提供することを特徴とす
る。

【００２３】上記電子倉庫システムは、暗号化文書の開
示条件を変更する権限である開示条件変更権限をユーザ
に設定する開示条件変更権限設定部とユーザに上記開示
条件変更権限があるかどうかを検証する開示条件変更権
限検証部とを備え、上記開示条件変更権限検証部により
開示条件変更権限があることが検証されたユーザに開示
条件を変更させることを特徴とする。

【００２４】上記電子倉庫システムは、暗号化文書と復
号鍵情報の少なくともいずれかに対して変更及び削除の
いずれかを行なう権限をユーザに設定する機能を持つこ
とを特徴とする。

【００２５】上記電子倉庫システムは、上記復号鍵を複
数の断片に分割して分割されたそれぞれの復号鍵断片に
関する復号鍵情報により管理し、各復号鍵断片を回復す
る複数の鍵回復モジュールを備えることを特徴とする。

【００２６】この発明の電子倉庫システムの管理方法
は、暗号化された文書と該暗号化された文書を復号する
ための復号鍵に関する復号鍵情報とを保管用記憶部に保
管する倉庫サーバモジュールを備えた電子倉庫システム
の管理方法において、以下の工程を有することを特徴と
する。 （ａ）暗号化する文書を識別するための暗号化文書識別
情報を指定し、上記文書を開示するための開示条件と復
号鍵情報から復号鍵を抽出する際の鍵抽出条件との少な
くともいずれか１つの条件を条件記憶部に設定する文書
識別情報指定工程、（ｂ）上記文書識別情報指定工程で
指定された文書をユーザ情報記憶部から取得し暗号化し
て暗号化文書としユーザ情報記憶部に記憶する暗号化工
程、（ｃ）上記暗号化工程で暗号化されユーザ情報記憶
部に記憶される暗号化文書を復号するための復号鍵情報
を上記文書識別情報指定工程で条件記憶部に設定された
条件を用いて生成し復号鍵情報記憶部に記憶する復号鍵
情報生成工程、（ｄ）上記暗号化工程でユーザ情報記憶
部に記憶された暗号化文書と上記復号鍵情報生成工程で
復号鍵情報記憶部に記憶された復号鍵情報との登録を要
求する登録要求を作成して送信用登録要求記憶部に記憶
し、倉庫サーバモジュールに送信する登録要求送信工
程、（ｅ）上記送信用登録要求記憶部に記憶された登録
要求をもとに預り証検証情報を作成し預り証検証情報記
憶部に記憶する預り証検証情報作成工程、（ｆ）上記登
録要求送信工程で送信された上記登録要求を受信して受
信用登録要求記憶部に記憶し、記憶した登録要求から開
示条件と暗号化文書と復号鍵情報とを抽出し抽出済登録
要求記憶部に記憶する登録要求解析工程、（ｇ）上記登
録要求解析工程で抽出済登録要求記憶部に記憶した開示
条件と暗号化文書と復号鍵情報とを保存用記憶部に登録
する登録工程、（ｈ）上記登録工程による登録の完了
後、上記受信用登録要求記憶部に記憶した登録要求をも
とに預り証を作成して預り証記憶部に記憶し、記憶した
預り証を用いて登録結果を作成して返送用登録結果記憶
部に記憶し記憶した登録結果を返送する登録結果返送工
程、（ｉ）上記登録結果返送工程で返送された登録結果
を受信して受信用登録結果記憶部に記憶し記憶した登録
結果から預り証を抽出し抽出済預り証記憶部に記憶する
登録結果解析工程、（ｊ）上記抽出済預り証記憶部に記
憶された預り証と上記預り証検証情報記憶部に記憶され
た預り証検証情報との内容比較を行うことによって預り
証の検証を行い検証結果を検証結果記憶部に記憶する預
り証検証工程、（ｋ）上記検証結果記憶部に記憶された
検証結果を判定し検証結果が正当であった場合に、預り
証受領通知を作成し預り証受領通知記憶部に記憶し倉庫
サーバモジュールに送信する受領通知送信工程、（ｌ）
上記受領通知送信工程で送信された預り証受領通知を受
信する受領通知受信工程。

【００２７】また、この発明の電子倉庫システムの管理
方法は、暗号化された文書と該暗号化された文書を復号
するための復号鍵に関する復号鍵情報とを保管用記憶部
に保管する倉庫サーバモジュールと上記復号鍵情報を用
いて鍵回復を行なう鍵回復モジュールとを備えた電子倉
庫システムの管理方法において、以下の工程を有するこ
とを特徴とする。 （ａ）暗号化文書を取得するための取得要求から該取得
要求を発生させた取得要求者を識別するための取得要求
者識別情報と取得先の倉庫サーバを識別するための取得
先倉庫サーバ識別情報と暗号化文書を識別するための暗
号化文書識別情報と開示情報とを抽出し抽出済取得要求
記憶部に記憶する取得要求解析工程、（ｂ）上記抽出済
取得要求記憶部に記憶された暗号化文書識別情報を用い
て暗号化文書に対する開示条件を保管用記憶部から検索
して取得し、取得した開示条件と上記抽出済取得要求記
憶部に記憶された開示情報とが適合しているかを検証し
検証結果を開示条件検証結果記憶部に記憶する開示情報
検証工程、（ｃ）上記開示条件検証結果記憶部に記憶さ
れた検証結果が上記開示情報が上記開示条件に適合して
いることを示している場合に、上記暗号化文書識別情報
を用いて暗号化文書に対応する鍵抽出条件を暗号化して
含む復号鍵情報を保管用記憶部から取得し、上記抽出済
取得要求記憶部に記憶された取得要求者識別情報と取得
先倉庫サーバ識別情報と暗号化文書識別情報と開示情報
とからなる鍵抽出情報と上記取得した復号鍵情報とを用
いて復号鍵の回復を要求する鍵回復要求を作成して送信
用鍵回復要求記憶部に記憶して鍵回復モジュールへ送信
する鍵回復要求送信工程、（ｄ）上記鍵回復要求を受信
し受信用鍵回復要求記憶部に記憶し、記憶した鍵回復要
求から上記暗号化された鍵抽出条件を含む復号鍵情報と
上記鍵抽出情報とを抽出し抽出済鍵回復要求記憶部に記
憶する鍵回復要求解析工程、（ｅ）上記抽出済鍵回復要
求記憶部に記憶された復号鍵情報を復号して鍵抽出条件
を取得し、上記抽出済鍵回復要求記憶部に記憶された鍵
抽出情報との照合を行い鍵抽出情報検証結果を作成して
鍵抽出情報検証結果記憶部に記憶する鍵抽出条件検証工
程、（ｆ）上記鍵抽出情報検証結果記憶部に記憶された
鍵抽出情報検証結果が鍵抽出条件検証工程における照合
の成功を示している場合、上記抽出済鍵回復要求記憶部
に記憶された復号鍵情報をもとに返却鍵情報を作成し返
却鍵情報記憶部に記憶する返却鍵情報作成工程、（ｇ）
上記返却鍵情報記憶部に記憶された返却鍵情報をもと
に、鍵回復結果を作成して返送用鍵回復結果記憶部に記
憶して返送する鍵回復結果返送工程、（ｈ）上記鍵回復
結果返送工程により返送される上記鍵回復結果を受信し
て受信用鍵回復結果記憶部に記憶し、記憶した鍵回復結
果から返却鍵情報を抽出し、抽出した返却鍵情報を返却
鍵情報記憶部に記憶する鍵回復結果解析工程。

【００２８】また、この発明の電子倉庫システムは、所
定の暗号鍵でそれぞれ暗号化された１つ以上の暗号化文
書を各暗号化文書を開示する開示条件と各暗号化文書を
復号する復号鍵を抽出するための復号鍵情報とを含む暗
号化文書管理情報とそれぞれ対応させて保持する倉庫サ
ーバモジュールと上記倉庫サーバモジュールが保持する
上記暗号化文書を利用するサービスを上記倉庫サーバモ
ジュールに要求するユーザモジュールと上記復号鍵情報
を用いて上記復号鍵を抽出する鍵抽出部を備えた鍵回復
モジュールとを有する電子倉庫システムであって、上記
倉庫サーバモジュールは、上記ユーザモジュールが要求
する上記暗号化文書を利用するサービスを上記開示条件
に基づいて提供する開示条件処理部を有することを特徴
とする。

【００２９】

【発明の実施の形態】次に、図面に基づいて本発明の実
施の形態について説明する。

【００３０】実施の形態１．図１はこの発明の一実施の
形態のシステム構成図である。図において、１は暗号化
文書の登録／アクセスなどを要求するユーザモジュール
であり、後述するユーザ情報記憶部を備えている。２は
暗号化文書を管理する倉庫サーバモジュールであり、後
述するサーバ情報記憶部を備えている。３は暗号化文書
を復号するための復号鍵を抽出（鍵回復）する鍵回復モ
ジュールであり、センタ情報記憶部を備えている。鍵回
復とは、正当な復号鍵を持つユーザが鍵を紛失してしま
ったために暗号化データを復号できない状態や、不正な
情報のやり取りが行われていることを摘発する場合等
に、正当な復号鍵とは別に復号鍵を得られるような情報
（復号鍵情報，Ｋｅｙ Ｒｅｃｏｖｅｒｙ Ｂｌｏｃ
ｋ，Ｋｅｙ Ｒｅｃｏｖｅｒｙ Ｆｉｅｌｄ等と呼ぶ）
を作成しておくことにより、この復号鍵情報から復号鍵
を回復・取得して暗号化データを復号するという技術で
ある。

【００３１】ユーザモジュール１、倉庫サーバモジュー
ル２、鍵回復モジュール３は、コンピュータのハードウ
ェアを用いて、実現されている。ユーザ情報記憶部、サ
ーバ情報記憶部、センタ情報記憶部は、各モジュールに
それぞれ備えられた記憶部である。これらの記憶部は、
例えば、ディスク装置などの外部記憶装置により構成さ
れる。また、コンピュータに備えられたメモリ装置な
ど、内部記憶装置でも構わない。これらの各記憶部は、
各モジュールでの後述する各処理に伴い、入出力が発生
する。

【００３２】ユーザモジュール１中の、１１はユーザモ
ジュール１から倉庫サーバモジュール２に対して発行さ
れるアクセス要求を作成／発行するためのアクセス要求
部、１２は文書の暗号化による暗号化文書の作成や、暗
号化文書を復号するためのデータである復号鍵情報の作
成や、暗号化文書の復号を行う暗号処理部、１３は暗号
化文書にアクセスするための条件であるアクセス情報
（アクセス条件）を入力する条件入力部、１４はユーザ
情報を入力するユーザ情報入力部である。また、７０
は、ユーザモジュール１に備えられたユーザ情報記憶部
である。ユーザ情報記憶部７０には、例えば、作成され
たアクセス要求や暗号化文書や復号鍵情報、入力された
ユーザ情報、アクセス条件などがユーザモジュール内で
の処理に対応して保存のため、あるいは一時的に記憶さ
れる。復号鍵情報とは、暗号化された文書を復号する際
に必要な情報である。具体例については、後述する。暗
号処理部１２による復号鍵情報の作成は以下のように行
なわれる。まず、復号鍵から復号鍵回復情報を生成す
る。さらに、復号鍵回復情報から復号鍵情報を生成す
る。ここで生成される復号鍵情報中から復号鍵が抽出さ
れる。

【００３３】倉庫サーバモジュール２中の、２０は、倉
庫サーバモジュール２に備えられたサーバ情報記憶部で
ある。２１は倉庫サーバモジュール２内の管理情報であ
るサーバ管理情報や倉庫サーバモジュールが使用する情
報をサーバ情報記憶部２０に記憶して管理するサーバ情
報管理部、２２は暗号化文書の登録／変更などの処理を
行う暗号化文書処理部、２３は暗号化文書を開示する際
の開示条件の設定及び照合／判定を行う開示条件処理
部、２４はユーザモジュール１から倉庫サーバモジュー
ル２に対して発行されたアクセス要求を処理するための
アクセス要求処理部、２５は倉庫サーバモジュール２か
ら鍵回復モジュール３に対して発行される「鍵回復要
求」を作成／発行するための復号鍵要求部、２６はユー
ザ情報を登録するためのユーザ情報処理部、２７は鍵回
復モジュール３の情報を登録するための鍵回復モジュー
ル登録部である。復号鍵要求部２５が作成／発行する
「鍵回復要求」とは、復号鍵が必要な時に発行される要
求である。「鍵回復要求」は、「復号鍵回復要求」とも
言う。

【００３４】鍵回復モジュール３中の、３０は、鍵回復
モジュール３に備えられたセンタ情報記憶部である。３
１は倉庫サーバモジュール２から鍵回復モジュール３に
対して発行された「復号鍵回復要求」を処理するための
復号鍵要求処理部、３２は復号鍵情報の回復の可否を判
定する鍵抽出条件の照合／判定を行う鍵抽出条件判定
部、３３は復号鍵情報から復号鍵を抽出し、返却用復号
鍵を作成する鍵抽出部、３４は倉庫サーバモジュール２
の情報をセンタ管理情報としてセンタ情報記憶部３０に
登録するための倉庫サーバモジュール登録部、３５は鍵
回復モジュール３内の管理情報であるセンタ管理情報や
鍵回復モジュール３が使用する情報をセンタ情報記憶部
３０に記憶するセンタ情報管理部である。鍵抽出条件判
定部３２がその可否を判定する復号鍵情報の回復とは、
復号鍵情報の中に書いてある復号鍵の回復を指してい
る。返却用復号鍵とは、「鍵回復要求」を発行したユー
ザに対してその応答として正当な鍵を「返却」すること
を表している。具体的には、例えば、正当な復号鍵を前
記「鍵回復要求」を発行したユーザの公開鍵で暗号化し
て形式を変更したものを指している。

【００３５】前述したように、本発明の各実施の形態の
電子倉庫システムはコンピュータのハードウェアを用い
て実現されている。例えば、上述した図１に示されてい
るユーザモジュール１、倉庫サーバモジュール２及び鍵
回復モジュール３内にそれぞれ備えられ各モジュールを
構成している各部は、コンピュータのハードウェアを用
いて実現されている。各処理部の処理結果及び、中間結
果はモジュール毎に設けられている各記憶部にそれぞれ
記憶される。

【００３６】次に、動作について説明する。図１で示し
たこの発明の電子倉庫システムにおいては、例えば、シ
ステムの初期起動時に環境設定を行なう。環境設定する
ための処理フローを以下に示す。ここでは、環境設定す
るための処理として、倉庫サーバモジュール２と鍵回復
モジュール３との間で鍵回復を行うために必要な情報で
ある「鍵回復信頼関係情報」の交換処理と、倉庫サーバ
モジュール２に対するユーザ登録処理とを行う。

【００３７】まず、「鍵回復信頼関係情報」の交換処理
について述べる。「鍵回復信頼関係情報」とは、倉庫サ
ーバモジュールと鍵回復モジュールとの間で交換するデ
ータである。そのデータ内容は、少なくとも各モジュー
ルの使用する公開鍵証明証（例えば、倉庫サーバモジュ
ールでは、倉庫サーバの公開鍵証明証）が含まれる。そ
の他の情報としては、例えば、各モジュール固有の秘密
情報（オペレータが自由に設定するパスワードなど）
や、倉庫サーバを一意に識別するための情報、その属性
（例えば、会社名、サーバ名等）が含まれてもよい。倉
庫サーバモジュール２と鍵回復モジュール３は、鍵回復
を行なうために互いの情報を交換して保持する必要があ
る。倉庫サーバモジュール２は、自分の情報である倉庫
サーバ情報を鍵回復モジュール３に登録し、鍵回復モジ
ュール３は鍵回復センタ情報を倉庫サーバモジュール２
に登録する。

【００３８】「鍵回復信頼関係情報」の交換処理の処理
フローを図２に示す。倉庫サーバモジュール２のサーバ
情報管理部２１、鍵回復モジュール３のセンタ情報管理
部３５ではそれぞれ、ユーザインタフェースなどを介し
て、鍵回復信頼関係の基礎データとなる倉庫サーバ情報
または鍵回復センタ情報を設定しておく（図２、Ｓｔｅ
ｐ１，Ｓｔｅｐ１’）。この時の倉庫サーバ情報及び鍵
回復センタ情報には、前述したように公開鍵証明証が含
まれる。次に、倉庫サーバモジュール２の鍵回復モジュ
ール登録部２７では、Ｓｔｅｐ１で設定した倉庫サーバ
情報から「倉庫サーバ情報登録」を作成し、鍵回復モジ
ュール３に送信する（図２、Ｓｔｅｐ２）。この時の
「倉庫サーバ情報登録」のデータ構造を図５の（ａ）に
示す。図５の（ａ）に示すように、倉庫サーバ情報登録
５１は、メッセージタイプ５１ａ、メッセージＩＤ５１
ｂ、倉庫サーバ情報５１ｃからなる。

【００３９】鍵回復モジュール３では、倉庫サーバモジ
ュール登録部３４が受信した「倉庫サーバ情報登録」か
ら倉庫サーバ情報５１ｃを抽出し（図２、Ｓｔｅｐ
３）、センタ情報管理部３５で倉庫サーバ情報５１ｃを
登録する（図２、Ｓｔｅｐ４）。その後、Ｓｔｅｐ１’
で設定した鍵回復センタ情報から「鍵回復センタ情報登
録」を作成し、倉庫サーバモジュール２に送信する（図
２、Ｓｔｅｐ５）。「鍵回復センタ情報登録」のデータ
構造を図５の（ｂ）に示す。図５の（ｂ）に示すよう
に、鍵回復センタ情報登録５２は、メッセージタイプ５
２ａ、メッセージＩＤ５２ｂ、鍵回復センタ情報５２ｃ
からなる。

【００４０】倉庫サーバモジュール２では、受信した
「鍵回復センタ情報登録」から鍵回復センタ情報５２ｃ
を抽出し（図２、Ｓｔｅｐ６）、サーバ情報管理部２１
で鍵回復センタ情報５２ｃを登録する（図２、Ｓｔｅｐ
７）。以上で「鍵回復信頼関係情報」の交換処理は完了
する。

【００４１】次に、図１で示した電子倉庫システムにお
いて、倉庫サーバモジュール２にユーザを登録する処理
について述べる。倉庫サーバモジュール２にユーザを登
録する場合の処理フローを図３に示す。ユーザモジュー
ル１のユーザ情報入力部１４では、図示しないユーザイ
ンタフェースなどを介して、使用するユーザの属性情報
などを設定しておく（図３、Ｓｔｅｐ１）。この時のユ
ーザ情報には、図６で示す内容等が含まれる。例えば、
ユーザの所属６１ａ、プロジェクト名６１ｂ、資格６１
ｃなどである。

【００４２】ここで設定するユーザ情報は、暗号化文書
の開示条件及び鍵抽出条件で使用されるので、用途に適
したユーザ情報により上記条件を設定することが望まし
い。例えば、文書の開示対象がプロジェクト単位であれ
ば、ユーザ属性として「プロジェクト＝“二重丸印”」
という記述をし、開示対象が本人及び所属上長であれ
ば、「所属＝○○部△△課」や「資格＝○○部△△課
長」等の記述が必要ということになる。

【００４３】アクセス要求部１１は、Ｓｔｅｐ１で設定
したユーザ情報をもとに、電子倉庫システム設定ファイ
ルをユーザ情報記憶部７０上に作成する（図３、Ｓｔｅ
ｐ２）。電子倉庫システム設定ファイルのフォーマット
例を図７（ａ）、図７（ｂ）に示す。図７（ａ）に示す
ように、初期作成時の電子倉庫システム設定ファイル７
０ａには、ユーザ識別情報、所属、プロジェクト、資格
等がユーザ情報として設定される。二重丸や丸等は、任
意の文字列の一例である。

【００４４】図３のＳｔｅｐ１で設定したユーザ情報か
ら「ユーザ登録要求」を作成し、倉庫サーバモジュール
２に送信する（図３、Ｓｔｅｐ３）。この時の「ユーザ
登録要求」のデータ構造を図８の（ａ）に示す。図８
（ａ）に示すように、ユーザ登録要求８１は、メッセー
ジタイプ８１ａ、メッセージＩＤ８１ｂ、ユーザ識別情
報８１ｃ、ユーザ情報８１ｄ、ユーザ公開鍵証明証８１
ｅからなる。図８の（ａ）中で、メッセージタイプ８１
ａは「ユーザ登録要求」を示す情報を、メッセージＩＤ
８１ｂはメッセージを一意に識別できる情報をあらわ
す。

【００４５】倉庫サーバモジュール２では、アクセス要
求処理部２４が受信した「ユーザ登録要求」からユーザ
情報８１ｄを抽出し（図３、Ｓｔｅｐ４）、ユーザ情報
処理部２６、サーバ情報管理部２１を介して登録する
（図３、Ｓｔｅｐ５）。登録に成功したら、アクセス要
求処理部２４は、サーバ管理情報に保持されている倉庫
サーバ情報とユーザ情報をもとに「ユーザ登録結果」を
作成し、ユーザモジュール１に送信する（図３、Ｓｔｅ
ｐ６）。「ユーザ登録結果」のデータ構造を図８の
（ｂ）に示す。図８の（ｂ）に示すように、ユーザ登録
結果８２は、メッセージタイプ８２ａ、メッセージＩＤ
８２ｂ、倉庫サーバ識別情報８２ｃ、倉庫サーバ公開鍵
証明証８２ｄからなる。図８の（ｂ）中で、メッセージ
タイプ８２ａは「ユーザ登録結果」を示す情報を、メッ
セージＩＤ８２ｂは図８の（ａ）で指定されたメッセー
ジＩＤ８１ｂと同一の情報を持つことにより、「ユーザ
登録要求８１」と「ユーザ登録結果８２」の対応関係を
示すこととする。対応関係を示すとは、どの「ユーザ登
録要求８１」と「ユーザ登録結果８２」とが対応してい
るかを識別するために同一の識別子を持たせるというこ
とである。

【００４６】上で示した「ユーザ登録結果８２」を受信
したユーザモジュール１ではアクセス要求部１１が、
「ユーザ登録結果８２」から倉庫サーバに関する情報
（倉庫サーバ識別情報８２ｃ、倉庫サーバ公開鍵証明書
８２ｄ）を抽出し（図３、Ｓｔｅｐ７）、電子倉庫シス
テム設定ファイルを更新する（図３、Ｓｔｅｐ８）。更
新後の電子倉庫システム設定ファイルのフォーマット例
を図７（ｂ）に示す。図７の（ｂ）に示すように、ユー
ザ登録完了後の電子倉庫システム設定ファイル７０ｂ
は、前述した初期作成時の内容に加えて、ドメイン名が
登録されている。以上でユーザ登録処理は完了する。

【００４７】次に、図１で示した電子倉庫システムにお
いて、暗号化文書を登録する場合の処理について述べ
る。暗号化文書を登録する場合の処理フローを図４に示
す。ユーザモジュール１の条件入力部１３では、ユーザ
インタフェース等を介して登録する文書を指定し、文書
の開示条件、復号鍵情報から復号鍵を抽出する際の鍵抽
出条件及び暗号化文書の変更権限を持つユーザ情報の設
定を行う（図４、Ｓｔｅｐ１）。設定されたユーザ情報
は、ユーザ情報記憶部３０の中の文書の開示条件用エリ
ア、鍵抽出条件用のエリア、ユーザ情報用のエリアにそ
れぞれに記憶される。文書の開示条件とは、その条件を
満たせば、文書を開示してもよいという条件のことであ
る。また、暗号化文書の変更権限を持つユーザ情報と
は、暗号化文書の変更権限を持つユーザが個人であれ
ば、そのユーザのユーザ識別情報になる。また、ある属
性（例えば、特定のプロジェクトに所属している等）で
あれば、属性＝○○、という情報になる。

【００４８】この時の開示条件、鍵抽出条件の例を図９
に示す。図９では、（ａ）に示すような単独条件指定方
式、（ｂ）に示すような複数条件の和による指定方式、
（ｃ）〜（ｅ）に示すような複数条件の積による指定方
式等による条件指定の例と、（ａ）〜（ｄ）に示すよう
にユーザ情報を指定条件の要素に使う場合、（ｄ）・
（ｅ）に示すようにパスワード入力を促す場合、（ｅ）
に示すように開示期間を指定する場合などの例を示す。
このような設定に従い、入力させたパスワードの照合に
より、また、指定された開示期間の照合により開示条件
の検証を行なう。なお、この実施の形態では、暗号化文
書の開示条件、鍵抽出条件を同一の条件で設定するもの
とする。上記のように指定された暗号化対象の文書、開
示条件、鍵抽出条件に対して、文書の暗号化を行う（図
４、Ｓｔｅｐ２）。即ち、開示条件、鍵抽出条件を指定
した後で、文書の暗号化を行なう。暗号化される文書
は、予め、ユーザ情報記憶部に記憶され、取得可能にな
っているものとする。また、暗号化された文書（暗号化
文書）を復号するための情報として、復号鍵情報を同時
に生成する（図４、Ｓｔｅｐ３）。暗号化された暗号化
文書、生成された復号鍵情報もそれぞれ、ユーザ情報記
憶部に記憶される。

【００４９】復号鍵情報のデータ構造を図１０に示す。
図１０に示すように、復号鍵情報１００には、復号鍵回
復情報復号条件１００ａ、鍵回復センタ識別情報１００
ｂ、復号鍵回復情報１００ｃがある。復号鍵回復情報１
００ｃには、暗号化文書識別情報１０１、鍵抽出条件１
０２、復号時ファイル情報１０３、暗号化文書メッセー
ジ署名１０４、被暗号化文書メッセージ署名１０５、暗
号化文書復号条件１０６、復号鍵１０７が含まれる。図
１０中、復号鍵回復情報１００ｃは鍵回復センタ識別情
報１００ｂで指定された鍵回復センタの公開鍵証明書中
の公開鍵によって暗号化されるとし、この時の暗号化条
件と復号鍵回復情報１００ｃの復号条件とは同じであ
る。

【００５０】以上で示された復号鍵情報を作成した後、
ユーザモジュール１ではアクセス要求部１１が、当該復
号鍵情報をもとに「データ登録要求」を作成してユーザ
情報記憶部３０の「データ登録要求」用のエリアに記憶
し、記憶された「データ登録要求」を倉庫サーバモジュ
ール２に送信する（図４、Ｓｔｅｐ４）。「データ登録
要求」のデータ構造を図１１の（ａ）に示す。図１１の
（ａ）に示すように、データ登録要求１１１は、メッセ
ージタイプ１１１ａ、メッセージＩＤ１１１ｂ、データ
登録要求者識別情報１１１ｃ、登録先倉庫サーバ識別情
報１１１ｄ、暗号化文書識別情報１１１ｅ、開示条件１
１１ｆ、暗号化文書変更ユーザ情報１１１ｇ、暗号化文
書１１１ｈ、暗号化文書属性１１１ｉ、復号鍵情報１１
１ｊからなる。図１１（ａ）中で、メッセージタイプ１
１１ａは「データ登録要求」を示す情報を、メッセージ
ＩＤ１１１ｂはメッセージを一意に識別できる情報をあ
らわす。「データ登録要求」１１１を作成した後、ユー
ザモジュール１では、アクセス要求部１１が「データ登
録要求１１１」から預り証検証情報を作成し、ユーザ情
報記憶部に記憶する（図４、Ｓｔｅｐ５）。ここでは、
預り証検証情報は、「データ登録要求１１１」のハッシ
ュ情報とする。

【００５１】「データ登録要求」を受信した倉庫サーバ
モジュール２では、アクセス要求処理部２４が、受信し
た「データ登録要求」をサーバ情報記憶部２０内のデー
タ登録要求用のエリアに記憶し、記憶した「データ登録
要求」から開示条件１１１ｆ、暗号化文書１１１ｈ、復
号鍵情報１１１ｊなどを抽出し抽出結果を、サーバ情報
記憶部内の該当するエリアに記憶し、（図４、Ｓｔｅｐ
６）、暗号化文書処理部２２、サーバ情報管理部２１、
開示条件処理部２３を介してサーバ情報記憶部の該当す
るエリアにそれぞれ登録する（図４、Ｓｔｅｐ７）。登
録に成功したら、アクセス要求処理部２４は、「データ
登録要求１１１」をもとに「データ登録結果１１２」を
作成しサーバ情報記憶部２０の「データ登録結果１１
２」用のエリアに記憶し、ユーザモジュール１に送信す
る（図４、Ｓｔｅｐ８）。「データ登録結果」のデータ
構造を図１１の（ｂ）に示す。図１１の（ｂ）に示すよ
うに、データ登録結果１１２は、メッセージタイプ１１
２ａ、メッセージＩＤ１１２ｂ、登録先倉庫サーバ識別
情報１１２ｃ、データ登録要求者識別情報１１２ｄ、暗
号化文書識別情報１１２ｅ、登録結果１１２ｆ、預り証
１１２ｇからなる。図１１の（ｂ）中で、メッセージタ
イプ１１２ａは「データ登録結果」を示す情報を、メッ
セージＩＤ１１２ｂは図１１の（ａ）で指定されたメッ
セージＩＤ１１１ｂと同一の情報を持つことにより、
「データ登録要求１１１」と「データ登録結果１１２」
の対応関係を示すこととする。また、預り証１１２ｇ
は、「データ登録要求１１１」のハッシュ情報を計算
し、その結果を倉庫サーバモジュールの公開鍵証明書を
利用して署名したデータである。

【００５２】上記の「データ登録結果」を受信したユー
ザモジュール１では、アクセス要求部１１が「データ登
録結果」をユーザ情報記憶部の該当するエリアに記憶
し、当該結果から預り証１１２ｇを抽出し（図４、Ｓｔ
ｅｐ９）、Ｓｔｅｐ５で作成した預り証検証情報との内
容比較を行うことによって預り証１１２ｇの検証を行う
（図４、Ｓｔｅｐ１０）。この時、検証結果もユーザ情
報記憶部に記憶される。記憶した検証結果を判定し、預
り証１１２ｇが正当であった場合、ユーザモジュール１
ではアクセス要求部１１が、「預り証受領通知」を作成
しユーザ情報記憶部に記憶し、倉庫サーバモジュール２
に送信する（図４、Ｓｔｅｐ１１）。「預り証受領通
知」のデータ構造を図１１の（ｃ）に示す。図１１の
（ｃ）に示すように、預り証受領通知１１３は、メッセ
ージタイプ１１３ａ、メッセージＩＤ１１３ｂ、データ
登録要求者識別情報１１３ｃ、登録先倉庫サーバ識別情
報１１３ｄ、暗号化文書識別情報１１３ｅ、預り証検証
結果１１３ｆからなる。図１１（ｃ）中で、メッセージ
タイプ１１３ａは「預り証受領通知」を示す情報を、メ
ッセージＩＤ１１３ｂは図１１の（ａ）、（ｂ）で指定
されたメッセージＩＤ１１１ｂ，１１２ｂと同一の情報
を持つことにより、「データ登録要求１１１」と「デー
タ登録結果１１２」及び「預り証受領通知１１３」の対
応関係を示すこととする。

【００５３】倉庫サーバモジュール２では、アクセス要
求処理部２４が「預り証受領通知」を受信する（図４、
Ｓｔｅｐ１１）。以上でデータ登録処理は完了する。

【００５４】上述するように、ユーザ情報記憶部７０，
サーバ情報記憶部２０は、各モジュールの各処理部が処
理結果及び中間結果を記憶させる項目毎のエリアの総称
である。個々の項目に対応するエリア（記憶部）はそれ
ぞれ設けられているが、位置づけとしては、モジュール
毎に、１つの記憶部を図示しており、この１つの記憶部
の中に各項目用のエリアが設けられているものとする。
また、構成図上は、それぞれ１つの矩形で表している
が、実際には、例えば、ディスク装置とメモリ装置など
の様に、分散して配置されていても構わない。機能的
に、記憶部として図示したものである。以降の実施の形
態における説明では、各記憶部への書き込み及び各記憶
部からの読み出しについては、処理項目毎には述べない
が、上述した説明と同様に、実際の読み書き動作は行わ
れるものとする。

【００５５】次に、図１で示した電子倉庫システムにお
いて、暗号化文書を検索する場合の処理について述べ
る。暗号化文書を検索する場合の処理フローを図１２に
示す。ユーザモジュール１の条件入力部１３では、ユー
ザインタフェース等を介して検索条件を設定する（図１
２、Ｓｔｅｐ１）。検索条件のフォーマットの例を図１
３の（ａ）に示す。図１３の（ａ）には、検索条件１３
１の一例として、作成者所属１３１ａ、作成者名１３１
ｂ、作成者プロジェクト名１３１ｃ、作成者資格１３１
ｄ、暗号化文書タイトル１３１ｅ等が示されている。こ
のように、検索条件としては、作成者の所属、名前等の
作成者に属する情報や、暗号化文書のタイトルや要約な
ど、暗号化文書に属する情報などがある。

【００５６】アクセス要求部１１は、上記のように指定
された検索条件から、「データ検索要求」を作成し、倉
庫サーバモジュール２に送信する（図１２、Ｓｔｅｐ
２）。「データ検索要求」のデータ構造を図１４の
（ａ）に示す。図１４の（ａ）には、データ検索要求１
４１として、メッセージタイプ１４１ａ、メッセージＩ
Ｄ１４１ｂ、検索要求者識別情報１４１ｃ、検索先倉庫
サーバ識別情報１４１ｄ、検索条件１４１ｅ、転送要求
件数１４１ｆが示されている。図１４の（ａ）中で、メ
ッセージタイプ１４１ａは「データ検索要求」を示す情
報を、メッセージＩＤ１４１ｂはメッセージを一意に識
別できる情報をあらわす。転送要求件数１４１ｆは、検
索した結果の一覧から一度に返却される暗号化文書の情
報の件数を示す。

【００５７】倉庫サーバモジュール２では、アクセス要
求処理部２４が、受信した「データ検索要求」から検索
条件を抽出し（図１２、Ｓｔｅｐ３）、暗号化文書処理
部２２、サーバ情報管理部２１を介して該当するデータ
を検索して「検索結果一覧」を作成する（図１２、Ｓｔ
ｅｐ４）。「検索結果一覧」のデータ構造を図１３の
（ｂ）に示す。図１３の（ｂ）には、検索結果一覧１３
２として、メッセージＩＤ１３２ａ、検索結果総数１３
２ｂ、暗号化文書識別情報１３２ｏ、暗号化文書属性１
３２ｐ、暗号化文書開示条件構成要素１３２ｑが示され
ている。メッセージＩＤ１３２ａは、図１４の（ａ）で
示されたデータ検索要求１４１のメッセージタイプ１４
１ａと同じ情報であり、同要求１４１との関連性を示す
情報である。また、暗号化文書識別情報１３２ｏ、暗号
化文書属性１３２ｐ、暗号化文書開示条件構成要素１３
２ｑからなる１件分の暗号化文書に関する情報１３２ｚ
は、検索結果総数で示された回数分、即ち、件数分、繰
り返して記述される。

【００５８】アクセス要求処理部２４は、上で示した検
索結果一覧から「データ検索結果」を作成し、ユーザモ
ジュール１に送信する（図１２、Ｓｔｅｐ５）。「デー
タ検索結果」のデータ構造を図１４の（ｂ）に示す。図
１４の（ｂ）には、データ検索結果１４２として、メッ
セージタイプ１４２ａ、メッセージＩＤ１４２ｂ、検索
先倉庫サーバ識別情報１４２ｃ、検索要求者識別情報１
４２ｄ、検索結果総数１４２ｅ、転送件数１４２ｆ、暗
号化文書識別情報１４２ｏ、暗号化文書属性１４２ｐ、
暗号化文書開示条件構成要素１４２ｑが示されている。
図１４の（ｂ）中で、メッセージタイプ１４２ａは「デ
ータ検索結果」を示す情報を、メッセージＩＤ１４２ｂ
は図１４の（ａ）で指定されたメッセージＩＤ１４１ｂ
と同一の情報を持つことにより、「データ検索要求１４
１」と「データ検索結果１４２」の対応関係を示すこと
とする。検索結果総数１４２ｅは、検索結果一覧１３２
中に含まれる件数をあらわし、転送件数１４２ｆは、本
「データ検索結果１４２」中に含まれている暗号化文書
の情報の件数をあらわす。また、暗号化文書識別情報１
４２ｏ、暗号化文書属性１４２ｐ及び暗号化文書開示条
件構成要素１４２ｑからなる暗号化文書に関する情報１
４２ｚは、転送件数１４２ｆで示された回数分（件数
分）、繰り返される。

【００５９】上で示した「データ検索結果」を受信した
ユーザモジュール１では、アクセス要求部１１が「デー
タ検索結果」から暗号化文書に関する情報１４２ｚ（暗
号化文書識別情報１４２ｏ、暗号化文書属性ｐ、暗号化
文書開示条件構成要素ｑ）を抽出する（図１２、Ｓｔｅ
ｐ６）。また、「データ検索結果１４２」中の検索結果
総数１４２ｅと転送件数１４２ｆの大小関係を比較し、
検索結果総数１４２ｅより転送件数１４２ｆが少なけれ
ば、「データ転送要求」を作成して倉庫サーバモジュー
ル２に送信する（図１２、Ｓｔｅｐ７）。「データ転送
要求」のデータ構造を図１４の（ｃ）に示す。図１４の
（ｃ）には、データ転送要求１４３として、メッセージ
タイプ１４３ａ、メッセージＩＤ１４３ｂ、転送要求番
号１４３ｃ、転送要求者識別情報１４３ｄ、転送先倉庫
サーバ識別情報１４３ｅ、転送済件数１４３ｆ、転送要
求件数１４３ｇが示されている。図１４の（ｃ）中で、
メッセージタイプ１４３ａは「データ転送要求」を示す
情報を、メッセージＩＤ１４３ｂは図１４の（ａ）、
（ｂ）で指定されたメッセージＩＤ１４１ｂ，１４２ｂ
と同一の情報を持つことにより、「データ検索要求１４
１」、「データ検索結果１４２」と「データ転送要求１
４３」との対応関係を示すこととする。転送要求番号１
４３ｃとは、ユーザ（モジュール）が全データ検索結果
の転送を倉庫サーバモジュールに依頼する際に、１回の
転送で終了しない場合（全データ検索結果のデータサイ
ズが大きいため、一要求の転送が不適当と判断した場
合）、ユーザ側が同じデータ検索結果に対して発行する
複数の転送要求に対して一意にふる番号になる。例え
ば、全データ検索結果が２０件あり、一度の転送要求で
は１０件ずつデータ転送を指定している場合、ユーザ側
では２件の転送要求の発行が必要になるため、その２つ
の転送要求をユニークにするためにふる番号である。

【００６０】「データ転送要求１４３」を受け取った倉
庫サーバモジュール２では、アクセス要求処理部２４
が、同要求中から転送済件数１４３ｆ、転送要求件数１
４３ｇ、転送要求番号１４３ｃ等の情報を抽出し（図１
２、Ｓｔｅｐ８）、該当する検索結果一覧１３２から
「データ転送結果」を作成してユーザモジュール１に送
信する（図１２、Ｓｔｅｐ９）。「データ転送結果」の
データ構造を図１４の（ｄ）に示す。図１４の（ｄ）に
は、データ転送結果１４４として、メッセージタイプ１
４４ａ、メッセージＩＤ１４４ｂ、転送要求番号１４４
ｃ、転送先倉庫サーバ識別情報１４４ｄ、転送要求者識
別情報１４４ｅ、検索結果総数１４４ｆ、転送済件数１
４４ｇ、転送件数１４４ｈ、暗号化文書識別情報１４４
ｏ、暗号化文書属性１４４ｐ、暗号化文書開示条件構成
要素１４４ｑが示されている。図１４の（ｄ）中で、メ
ッセージタイプ１４４ａは「データ転送結果」を示す情
報を、メッセージＩＤ１４４ｂは図１４の（ａ）、
（ｂ）、（ｃ）で指定されたメッセージＩＤ１４１ｂ，
１４２ｂ，１４３ｂと同一の情報を持つことにより、
「データ検索要求１４１」、「データ検索結果１４
２」、「データ転送要求１４３」及び「データ転送結果
１４４」の対応関係を示すこととする。図１４の（ｄ）
中、暗号化文書に関する情報１４４ｚ（暗号化文書識別
情報１４４ｏ、暗号化文書属性１４４ｐ及び暗号化文書
開示条件構成要素１４４ｑ）は、転送件数１４４ｈで示
された回数分、繰り返される。

【００６１】上で示した「データ転送結果」を受信した
ユーザモジュール１では、アクセス要求部１１が、「デ
ータ転送結果１４４」から暗号化文書に関する情報１４
４ｚ（暗号化文書識別情報１４４ｏ、暗号化文書属性１
４４ｐ、暗号化文書開示条件構成要素１４４ｑ）を抽出
する（図１２、Ｓｔｅｐ１０）。また、「データ転送結
果１４４」中の検索結果総数１４４ｆと転送件数１４４
ｈ、転送済件数１４４ｇの大小関係を比較し、検索結果
総数１４４ｆより転送済件数１４４ｇが少なければ、Ｓ
ｔｅｐ７からＳｔｅｐ１０を繰り返す。検索結果総数１
４４ｆと転送済件数１４４ｇが等しければ、データ検索
処理は完了する。

【００６２】次に、図１で示した電子倉庫システムにお
いて、暗号化文書を削除する場合の処理について述べ
る。暗号化文書を削除する場合の処理フローを図１５に
示す。ユーザモジュール１の条件入力部１３では、ユー
ザインタフェース等を介して削除する文書を指定する
（図１５、Ｓｔｅｐ１）。なお、削除文書は暗号化文書
識別情報、もしくは暗号化文書属性によって指定するこ
ととし、当該情報は、本削除処理以前に暗号化文書の検
索処理により取得しておくこととする。Ｓｔｅｐ１で指
定された削除対象の暗号化文書の情報から、アクセス要
求部１１は、「データ削除要求」を作成し、倉庫サーバ
モジュール２に送信する（図１５、Ｓｔｅｐ２）。「デ
ータ削除要求」のデータ構造を図１６の（ａ）に示す。
図１６の（ａ）には、データ削除要求１６１として、メ
ッセージタイプ１６１ａ、メッセージＩＤ１６１ｂ、削
除要求者識別情報１６１ｃ、削除先倉庫サーバ識別情報
１６１ｄ、暗号化文書識別情報１６１ｅが示されてい
る。図１６の（ａ）中で、メッセージタイプ１６１ａは
「データ削除要求」を示す情報を、メッセージＩＤ１６
１ｂはメッセージを一意に識別できる情報をあらわす。

【００６３】倉庫サーバモジュール２では、アクセス要
求処理部２４が、受信した「データ削除要求」から暗号
化文書識別情報１６１ｅを抽出する（図１５、Ｓｔｅｐ
３）。アクセス要求処理部２４、サーバ情報管理部２
１、暗号化文書処理部２２を介して該当する暗号化文
書、暗号化文書属性及び暗号化文書の開示条件を検索
し、削除要求を発行したユーザに削除権限があるかどう
かを検証する。この実施の形態では、ユーザの文書の削
除権限に関しては変更権限と兼用するよう考えている
が、権限を分けて設定しても構わない。例えば、図１１
（ａ）に示した暗号化文書変更ユーザ情報１１１ｇによ
りユーザの権限を検証する。この暗号化文書変更ユーザ
情報１１１ｇは、暗号化文書識別情報や暗号化文書属
性、開示条件、復号鍵情報などとともに倉庫サーバモジ
ュール側で管理されている。この情報を参照することに
より削除権限の有無を確認できる。削除権限があった場
合は当該暗号化文書及び暗号化文書の開示条件を削除す
る。（図１５、Ｓｔｅｐ４）。

【００６４】この後、アクセス要求処理部２４は、「デ
ータ削除結果」を作成し、ユーザモジュール１に送信す
る（図１５、Ｓｔｅｐ５）。「データ削除結果」のデー
タ構造を図１６の（ｂ）に示す。図１６の（ｂ）には、
データ削除結果１６２として、メッセージタイプ１６２
ａ、メッセージＩＤ１６２ｂ、削除先倉庫サーバ識別情
報１６２ｃ、削除要求者識別情報１６２ｄ、暗号化文書
識別情報１６２ｅ、削除結果１６２ｆが示されている。
図１６の（ｂ）中で、メッセージタイプ１６２ａは「デ
ータ削除結果」を示す情報を、メッセージＩＤ１６２ｂ
は図１６の（ａ）で指定されたメッセージＩＤ１６１ｂ
と同一の情報を持つことにより、「データ削除要求１６
１」と「データ削除結果１６２」との対応関係を示すこ
ととする。上で示した「データ削除結果１６２」を受け
取ったユーザモジュール１では、当該結果中の削除結果
１６２ｆを取得する（図１５、Ｓｔｅｐ６）。以上でデ
ータ削除処理は完了する。

【００６５】次に、図１で示した電子倉庫システムにお
いて、暗号化文書を照会する場合の処理について述べ
る。暗号化文書を照会する場合の処理フローを図１７に
示す。ユーザモジュール１の条件入力部１３では、ユー
ザインタフェース等を介して照会する文書を入力する
（図１７、Ｓｔｅｐ１）。暗号処理部１２は、Ｓｔｅｐ
１で指定された照会対象の文書からメッセージ署名（こ
れを照会対象文書メッセージ署名と呼ぶ）を作成し（図
１７、Ｓｔｅｐ２）、当該情報から「データ照会要求」
を作成して、倉庫サーバモジュール２に送信する（図１
７、Ｓｔｅｐ３）。「データ照会要求」のデータ構造を
図１８の（ａ）に示す。図１８の（ａ）には、データ照
会要求１８１として、メッセージタイプ１８１ａ、メッ
セージＩＤ１８１ｂ、照会要求者識別情報１８１ｃ、照
会先倉庫サーバ識別情報１８１ｄ、暗号化文書識別情報
１８１ｅ、照会対象文書メッセージ署名１８１ｆが示さ
れている。図１８の（ａ）中で、メッセージタイプ１８
１ａは「データ照会要求」を示す情報を、メッセージＩ
Ｄ１８１ｂはメッセージを一意に識別できる情報をあら
わす。

【００６６】倉庫サーバモジュール２では、アクセス要
求処理部２４が受信した「データ照会要求１８１」から
暗号化文書識別情報１８１ｅを抽出して対応する復号鍵
情報を取得し（図１７、Ｓｔｅｐ４）、復号鍵要求部２
５が「照会情報要求」を作成して鍵回復モジュール３に
送信する（図１７、Ｓｔｅｐ５）。「照会情報要求」の
データ構造を図１８の（ｃ）に示す。図１８の（ｃ）に
は、照会情報要求１８３として、メッセージタイプ１８
３ａ、メッセージＩＤ１８３ｂ、倉庫サーバ識別情報１
８３ｃ、照会先鍵回復センタ識別情報１８３ｄ、復号鍵
情報１８３ｅが示されている。図１８の（ｃ）中で、メ
ッセージタイプ１８３ａは「照会情報要求」を示す情報
を、メッセージＩＤ１８３ｂは図１８の（ａ）で指定さ
れたメッセージＩＤ１８１ｂと同一の情報を持つことに
より、「データ照会要求１８１」と「照会情報要求１８
３」の対応関係を示すこととする。

【００６７】上で示した「照会情報要求１８３」を鍵回
復モジュール３の復号鍵要求処理部３１は受け取って解
析し（図１７、Ｓｔｅｐ６）、鍵抽出部３３が、復号鍵
情報１８３ｅ中から暗号化文書メッセージ署名及び被暗
号化文書メッセージ署名を抽出し（図１７、Ｓｔｅｐ
７）、復号鍵要求処理部３１が、「照会情報結果」を作
成して、倉庫サーバモジュール２に送信する（図１７、
Ｓｔｅｐ８）。「照会情報結果」のデータ構造を図１８
の（ｄ）に示す。図１８の（ｄ）には、照会情報結果１
８４として、メッセージタイプ１８４ａ、メッセージＩ
Ｄ１８４ｂ、照会先鍵回復センタ識別情報１８４ｃ、倉
庫サーバ識別情報１８４ｄ、暗号化文書メッセージ署名
１８４ｅ、被暗号化文書メッセージ署名１８４ｆが示さ
れている。図１８の（ｄ）中で、メッセージタイプ１８
４ａは「照会情報結果」を示す情報を、メッセージＩＤ
１８４ｂは図１８の（ａ）、（ｃ）で指定されたメッセ
ージＩＤ１８１ｂ，１８３ｂと同一の情報を持つことに
より、「データ照会要求１８１」、「照会情報要求１８
３」と「照会情報結果１８４」の対応関係を示すことと
する。

【００６８】上で示した「照会情報結果１８４」を受信
した倉庫サーバモジュール２の復号鍵要求部２５では、
同結果中から暗号化文書メッセージ署名１８４ｅ及び被
暗号化文書メッセージ署名１８４ｆを抽出する（図１
７、Ｓｔｅｐ９）。開示条件処理部２３は、Ｓｔｅｐ９
で抽出した被暗号化文書メッセージ署名１８４ｆと、図
１８の（ａ）中の照会対象文書メッセージ署名１８１ｆ
の照合を行い（図１７、Ｓｔｅｐ１０）、照合に成功し
たら、倉庫サーバモジュール２中から該当する暗号化文
書を検索／取得し、そのメッセージ署名（これを照会対
象暗号化文書メッセージ署名と呼ぶ）を作成する（図１
７、Ｓｔｅｐ１１）。次に、開示条件処理部２３はＳｔ
ｅｐ１１で作成した照会対象暗号化文書メッセージ署名
と、Ｓｔｅｐ９で抽出した暗号化文書メッセージ署名を
照合を行う（図１７、Ｓｔｅｐ１２）。Ｓｔｅｐ１０、
Ｓｔｅｐ１２の照合結果から、「データ照会結果」を作
成し、ユーザモジュール１に対して送信する（図１７、
Ｓｔｅｐ１３）。「データ照会結果」のデータ構造を図
１８の（ｂ）に示す。図１８の（ｂ）には、データ照会
結果１８２として、メッセージタイプ１８２ａ、メッセ
ージＩＤ１８２ｂ、照会先倉庫サーバ識別情報１８２
ｃ、照会要求者識別情報１８２ｄ、暗号化文書識別情報
１８２ｅ、照会結果１８２ｆが示されている。図１８の
（ｂ）中で、メッセージタイプ１８２ａは「データ照会
結果」を示す情報を、メッセージＩＤ１８２ｂは図１８
の（ａ）、（ｃ）、（ｄ）で指定されたメッセージＩＤ
１８１ｂ，１８３ｂ，１８４ｂと同一の情報を持つこと
により、「データ照会要求１８１」、「照会情報要求１
８３」、「照会情報結果１８４」と「データ照会結果１
８２」との対応関係を示すこととする。

【００６９】上で示した「データ照会要求」を受け取っ
たユーザモジュール１では、当該結果中の照会結果１８
２ｆを取得する（図１７、Ｓｔｅｐ１４）。以上でデー
タ照会処理は完了する。

【００７０】次に、図１で示した電子倉庫システムにお
いて、暗号化文書を変更する場合の処理について述べ
る。暗号化文書を変更する場合の処理フローを図１９に
示す。ユーザモジュール１の条件入力部１３では、ユー
ザインタフェース等を介して変更する文書を指定する
（図１９、Ｓｔｅｐ１）。なお、変更文書は暗号化文書
識別情報、もしくは暗号化文書属性によって指定するこ
ととし、当該情報は、本変更処理以前に暗号化文書の検
索処理により取得しておくこととする。Ｓｔｅｐ１で指
定された変更対象の暗号化文書の情報から、データの削
除（図１５、Ｓｔｅｐ２〜Ｓｔｅｐ６）及び変更後デー
タの登録（図３、Ｓｔｅｐ１〜Ｓｔｅｐ１２）を実施す
る。

【００７１】また、この時、暗号化文書変更ユーザ情報
によりユーザの権限が検証されることは言うまでもな
い。

【００７２】このように、変更する文書を指定して、ま
ず、変更前の文書のデータ削除処理を行ない、削除後に
変更後の文書の登録処理を行なう手順で暗号化文書を変
更する。以上でデータ変更処理は完了する。

【００７３】次に、図１で示した電子倉庫システムにお
いて、暗号化文書を取得する場合の処理について述べ
る。暗号化文書を取得する場合の処理フローを図２０に
示す。ユーザモジュール１の条件入力部１３では、ユー
ザインタフェース等を介して取得する文書を指定し、そ
の文書を取得する際の開示情報を設定する（図２０、Ｓ
ｔｅｐ１）。なお、取得文書は暗号化文書識別情報、も
しくは暗号化文書属性によって指定することとし、当該
情報（暗号化文書識別情報、もしくは暗号化文書属性）
は、本処理以前に暗号化文書の検索処理により取得して
おくこととする。また、開示情報は暗号化文書の検索処
理によって取得された開示条件構成要素に対して、適切
な情報を入力したものであるとする。アクセス要求部１
１は、Ｓｔｅｐ１で指定された取得対象の暗号化文書の
情報から、「データ取得要求」を作成し、倉庫サーバモ
ジュール２に送信する（図２０、Ｓｔｅｐ２）。「デー
タ取得要求」のデータ構造を図２１の（ａ）に示す。図
２１の（ａ）には、データ取得要求２１１として、メッ
セージタイプ２１１ａ、メッセージＩＤ２１１ｂ、取得
要求者識別情報２１１ｃ、取得先倉庫サーバ識別情報２
１１ｄ、暗号化文書識別情報２１１ｅ、開示情報２１１
ｆが示されている。図２１の（ａ）中で、メッセージタ
イプ２１１ａは「データ取得要求」を示す情報を、メッ
セージＩＤ２１１ｂはメッセージを一意に識別できる情
報をあらわす。なお、図２１の（ａ）中、二重線で囲ま
れた部分１２００は、「データ取得要求２１１」を作成
したユーザの公開鍵証明書によって署名されていること
とする。

【００７４】倉庫サーバモジュール２では、アクセス要
求処理部２４が、受信した「データ取得要求２１１」か
ら暗号化文書識別情報２１１ｅ及び開示情報２１１ｆを
抽出した後（図２０、Ｓｔｅｐ３）、開示条件処理部２
３が当該暗号化文書に対する開示条件を検索し、開示情
報２１１ｆとの照合を行う（図２０、Ｓｔｅｐ４）。開
示情報２１１ｆが開示条件に適合していれば、復号鍵要
求処理部２５により当該暗号化文書に対応する復号鍵情
報を取得し、「鍵回復要求」及び「鍵回復要求管理情
報」を作成し、「鍵回復要求」を鍵回復モジュール３に
送信する（図２０、Ｓｔｅｐ５）。「鍵回復要求管理情
報」とは、現在、ユーザからどのような鍵回復要求が発
行されている（もしくは、過去に発行されたか）を管理
する情報である。倉庫サーバモジュールでは、複数の鍵
回復情報を並列に処理する必要があるため、この「鍵回
復要求管理情報」により、複数の鍵回復情報を管理す
る。

【００７５】「鍵回復要求」のデータ構造を図２１の
（ｃ）に示す。図２１の（ｃ）には、鍵回復要求２１３
として、メッセージタイプ２１３ａ、メッセージＩＤ２
１３ｂ、鍵回復要求倉庫サーバ識別情報２１３ｃ、鍵回
復要求先鍵回復センタ２１３ｄ、復号鍵情報２１３ｅ、
鍵抽出情報２１３ｆが示されている。図２１の（ｃ）中
で、メッセージタイプ２１３ａは「鍵回復要求」を示す
情報を、メッセージＩＤ２１３ｂは図２１の（ａ）で指
定されたメッセージＩＤ２１１ａと同一の情報を持つこ
とにより、「データ取得要求２１１」との対応関係を示
すこととする。また、図２１の（ｃ）中の鍵抽出情報２
１３ｆは、図２１の（ａ）中の１２００で示す二重線で
囲まれた部分の情報をそのまま設定する。

【００７６】「鍵回復要求管理情報」のデータ構造を図
２２に示す。図２２には、鍵回復要求管理情報２２０と
して、全レコード数２２０ａ、鍵回復要求管理レコード
１，鍵回復要求管理レコード２等がある。鍵回復要求管
理レコード２２１には、メッセージＩＤ２２１ｂ、取得
要求者識別情報２２１ｃ、暗号化文書識別情報２２１
ｄ、返却鍵情報２２５ｅが示されている。この鍵回復要
求管理レコードは、全レコード数２２０ａに示されたレ
コード数分存在する。なお、現時点では図２２中の返却
鍵情報２２１ｅには値が設定されていないものとする。

【００７７】上で示された「鍵回復要求２１３」を受信
した鍵回復モジュール３では、復号鍵要求処理部３１が
同鍵回復要求２１３中から復号鍵情報２１３ｅ及び鍵抽
出情報２１３ｆを抽出する（図２０、Ｓｔｅｐ６）。鍵
抽出条件判定部３２は、抽出された復号鍵情報２１３ｅ
を鍵回復センタ識別情報２１３ｄによって指定された鍵
回復モジュール３の公開鍵証明書中の公開鍵を利用して
復号して鍵抽出条件を取得し、「鍵回復要求２１３」中
に同じく含まれている鍵抽出情報２１３ｆとの照合を行
う（図２０、Ｓｔｅｐ７）。鍵抽出部３３，センタ情報
管理部３５は、照合に成功したら、返却鍵情報を作成す
る（図２０、Ｓｔｅｐ８）。返却鍵情報のデータ構造を
図２３に示す。図２３には、返却鍵情報２３０として、
復号鍵回復情報復号条件２３０ａ、取得要求者識別情報
２３０ｂ、暗号化返却鍵情報２３１がある。暗号化返却
鍵情報２３１は、復号時ファイル情報２３１ａ、被暗号
化文書メッセージ署名２３１ｂ、暗号化文書復号条件２
３１ｃ、復号鍵２３１ｄが含まれる。

【００７８】図２３中、暗号化返却鍵情報２３１は「デ
ータ取得要求」を作成したユーザの公開鍵証明書中の公
開鍵によって暗号化されるとし、この時の復号条件は暗
号化文書復号条件２３１ｃと同じである。以上で示され
た暗号化返却鍵情報２３１を作成した後、Ｓｔｅｐ７で
検証に成功した場合は当該暗号化返却鍵情報２３１をも
とに、Ｓｔｅｐ７で検証に失敗した場合はその情報をも
とに、「鍵回復結果２１４」を作成し、倉庫サーバモジ
ュール２に送信する（図２０、Ｓｔｅｐ９）。「鍵回復
結果２１４」のデータ構造を図２１の（ｄ）に示す。図
２１（ｄ）には、鍵回復結果２１４として、メッセージ
タイプ２１４ａ、メッセージＩＤ２１４ｂ、鍵回復要求
倉庫サーバ識別情報２１４ｃ、鍵回復要求倉庫サーバ識
別情報２１４ｄ、鍵回復処理結果２１４ｅ、返却鍵情報
２１４ｆがある。図２１の（ｄ）中で、メッセージタイ
プ２１４ａは「鍵回復結果」を示す情報を、メッセージ
ＩＤ２１４ｂは図２１の（ａ）、（ｃ）で指定されたメ
ッセージＩＤ２１１ｂ，２１３ｂと同一の情報を持つこ
とにより、「データ取得要求２１１」、「鍵回復要求２
１３」と「鍵回復結果２１４」の対応関係を示すことと
する。

【００７９】以上で示した「鍵回復結果２１４」を受信
した倉庫サーバモジュール２では、「鍵回復結果２１
４」から鍵回復処理結果２１４ｅ、返却鍵情報２１４ｆ
を抽出し、「鍵回復要求管理情報」中の該当する鍵回復
要求管理レコードを検索して暗号化文書識別情報２２１
ｄを取得した後（図２０、Ｓｔｅｐ１０）、「データ取
得結果」を作成し、ユーザモジュール１に送信する（図
２０、Ｓｔｅｐ１１）。「データ取得結果」のデータ構
造を図２１の（ｂ）に示す。図２１（ｂ）には、データ
取得結果２１２として、メッセージタイプ２１２ａ、メ
ッセージＩＤ２１２ｂ、取得先倉庫サーバ識別情報２１
２ｃ、取得要求者識別情報２１２ｄ、暗号化文書識別情
報２１２ｅ、取得処理結果２１２ｆ、返却鍵情報２１２
ｇ、暗号化文書２１２ｈがある。図２１の（ｂ）中で、
メッセージタイプ２１２ａは「データ取得結果」を示す
情報を、メッセージＩＤ２１２ｂは図２１の（ａ）、
（ｃ）、（ｄ）で指定されたメッセージＩＤ２１１ｂ，
２１３ｂ，２１４ｂと同一の情報を持つことにより、
「データ取得要求２１１」、「鍵回復要求２１３」、
「鍵回復結果２１４」と「データ取得結果２１２」との
対応関係を示すこととする。

【００８０】上記の「データ取得結果２１２」を受信し
たユーザモジュール１では、当該結果から返却鍵情報２
１２ｇ及び暗号化文書２１２ｈを抽出し（図２０、Ｓｔ
ｅｐ１２）、暗号処理部１２が返却鍵情報２１２ｇを同
情報中で指定されたユーザの公開鍵証明書中の公開鍵で
復号し、復号鍵を取得した上で、暗号化文書２１２ｈの
復号を行う（図２０、Ｓｔｅｐ１３）。次に、暗号処理
部１２は、Ｓｔｅｐ１３にて復号された暗号化返却鍵情
報から、非暗号化文書メッセージ署名を抽出し、さらに
Ｓｔｅｐ１３で得られた暗号化文書の復号結果（復号文
書と呼ぶ）からメッセージ署名を作成して、両情報を比
較する（図２０、Ｓｔｅｐ１４）。両情報が一致すれ
ば、データ取得処理の成功であり、不一致であればデー
タ取得処理の失敗をあらわす。以上でデータ取得処理は
完了する。

【００８１】以上のように、この実施の形態では、入力
された文書を暗号化し、倉庫サーバモジュールに対して
文書の管理を依頼するユーザモジュールと、暗号化文書
をその開示条件をもとに管理する倉庫サーバモジュール
と、暗号化文書を復号するための復号鍵を抽出する鍵回
復センタモジュールによって構成され、暗号化文書と開
示条件を一体化して扱うことにより、文書を暗号化する
ユーザ側での暗号化鍵管理が不要になったことで鍵管理
の負荷軽減を実現し、また、大量の暗号化データを各々
の開示条件によって柔軟に管理することを可能にした電
子倉庫システムについて説明した。

【００８２】また、この実施の形態では前述した電子倉
庫システムにおいて、ユーザに暗号化データの登録サー
ビスを提供する電子倉庫システムについて説明した。ま
た、ユーザに暗号化データの削除サービス、変更サービ
ス、照会サービス、検索サービス、取得サービスのいず
れかを提供する電子倉庫システムについて説明した。

【００８３】また、この実施の形態では前述した電子倉
庫システムにおいて、倉庫サーバモジュールでユーザの
属性をもとに開示の判定を行う機能を持つシステムにつ
いて説明した。また、倉庫サーバモジュールでパスワー
ドの照合によって開示の判定を行う機能を持つシステム
について説明した。また、倉庫サーバモジュールで開示
期間を設定することにより、開示の判定を行う機能を持
つシステムについて説明した。

【００８４】また、この実施の形態では、鍵回復モジュ
ールでユーザの属性の照合を行うことにより鍵抽出可否
の判定を行う機能を持つシステムについて説明した。ま
た、鍵回復モジュールでパスワードの照合を行うことに
より鍵抽出可否の判定を行う機能を持つシステムについ
て説明した。また、鍵回復モジュールで開示期間の検証
を行うことにより鍵抽出可否の判定を行う機能を持つシ
ステムについて説明した。

【００８５】また、この実施の形態では、前述した電子
倉庫システムにおいて、倉庫サーバモジュールで開示判
定を行った後、倉庫サーバモジュールが鍵回復モジュー
ルに対して鍵回復要求を発行し、鍵回復モジュールで鍵
抽出を実施し、その結果を倉庫サーバモジュールに発行
するプロトコルを持つ電子倉庫システムについて説明し
た。

【００８６】また、この実施の形態では、電子倉庫シス
テムにおいて、倉庫サーバモジュールで開示判定を行っ
た後、倉庫サーバモジュールがユーザモジュールに対し
て開示判定結果を送付し、ユーザモジュールでその開示
判定結果から鍵回復モジュールに対して「鍵回復要求」
を作成／発行し、鍵回復モジュールで鍵抽出を実施し、
その結果をユーザモジュールに発行するプロトコルを持
つ電子倉庫システムについて説明した。

【００８７】また、この実施の形態では、電子倉庫シス
テムにおいて、倉庫サーバモジュールで管理する暗号化
文書及び復号鍵情報の変更または削除できるユーザを設
定できる機能を持つ電子倉庫システムについて説明し
た。

【００８８】この実施の形態によれば、大量の文書管理
をその主業務とするような第三者に文書管理を委託する
場合にも、暗号化文書の復号鍵を暗号化した復号鍵情報
を作成し、暗号化文書と共に第三者に登録することによ
り、鍵管理が容易になる。また、暗号化文書へのアクセ
ス及び復号鍵情報からの復号鍵抽出に対して、条件設定
できることにより、より柔軟で使いやすい文書管理が実
現できる。

【００８９】実施の形態２．以上の実施の形態１では、
登録した暗号化文書の開示条件を変更するには、暗号化
文書の変更が必要であり、暗号化文書自体に変更が不要
な場合、冗長な処理を行うことになる。実施の形態２で
は、暗号化文書の開示条件のみを変更する実施の形態を
示す。

【００９０】図２４は実施の形態２のユーザモジュール
１および倉庫サーバモジュール２の機能ブロック構成図
である。鍵回復モジュール３を構成する機能ブロック構
成と各機能ブロックの処理は実施の形態１と同様であ
る。また、図２４においては、記載を省略しているが、
前述した図１に示した構成図と同様に、ユーザ情報記憶
部、サーバ情報記憶部、センタ情報記憶部を備えている
ものとする。図において、ユーザモジュール１を構成す
る１１〜１３までの機能ブロック及び倉庫サーバモジュ
ール２を構成する２１〜２７までの機能ブロックは図１
と同様である。ユーザモジュール１において、１３ｂは
暗号化文書の開示に対する開示条件の入力／変更などを
行う開示条件変更権限設定部である。倉庫サーバモジュ
ール２において、２３ｂは、開示条件の変更を要求した
ユーザに適切な権限があるかどうかを検証する開示条件
変更権限検証部である。

【００９１】次に動作について説明する。環境設定、ユ
ーザ登録、暗号化文書の登録／検索／削除／照会／変更
／取得に関する処理フローはそれぞれ図２、図３、図
４、図１２、図１５、図１７、図１９、図２０を用いて
説明した実施の形態１の処理と同様である。

【００９２】暗号文書の開示条件を変更する際の処理フ
ローを図２５に示す。ユーザモジュール１の条件入力部
１３では、ユーザインタフェース等を介して開示条件を
変更する文書を指定する（図２５、Ｓｔｅｐ１）。な
お、開示条件変更文書は暗号化文書識別情報、もしくは
暗号化文書属性によって指定することとし、当該情報
は、本処理以前に暗号化文書の検索処理により取得して
おくこととする。アクセス要求部１１は、Ｓｔｅｐ１で
指定された開示条件変更対象の暗号化文書の情報から、
「開示条件取得要求」を作成し、倉庫サーバモジュール
２に送信する（図２５、Ｓｔｅｐ２）。「開示条件取得
要求」のデータ構造を図２６の（ａ）に示す。図２６
（ａ）には、開示条件取得２６１として、メッセージタ
イプ２６１ａ、メッセージＩＤ２６１ｂ、開示条件取得
要求者識別情報２６１ｃ、取得先倉庫サーバ識別情報２
６１ｄ、暗号化文書識別情報２６１ｅがある。図２６の
（ａ）中で、メッセージタイプ２６１ａは「開示条件取
得要求２６１」を示す情報を、メッセージＩＤ２６１ｂ
はメッセージを一意に識別できる情報をあらわす。

【００９３】倉庫サーバモジュール２では、アクセス要
求処理部２４が受信した「開示条件取得要求」から暗号
化文書識別情報２６１ｅを抽出する（図２５、Ｓｔｅｐ
３）。開示条件アクセス部２３ｂは、アクセス要求処理
部２４、暗号化文書処理部２２を介して該当する暗号化
文書の開示条件を検索し、「開示条件取得要求」を発行
したユーザに開示条件変更権限があるかどうかを検証す
る（図２５、Ｓｔｅｐ４）。アクセス要求処理部２４
は、開示条件変更権限があった場合は暗号化文書の開示
条件から「開示条件取得結果」を作成し、ユーザモジュ
ール１に送信する。（図２５、Ｓｔｅｐ５）。「開示条
件取得結果」のデータ構造を図２６の（ｂ）に示す。図
２６（ｂ）には、開示条件取得結果２６２として、メッ
セージタイプ２６２ａ、メッセージＩＤ２６２ｂ、取得
先倉庫サーバ識別情報２６２ｃ、開示条件取得要求者識
別情報２６２ｄ、暗号化文書識別情報２６２ｅ、開示条
件２６２ｆがある。図２６の（ｂ）中で、メッセージタ
イプ２６２ａは「開示条件取得結果２６２」を示す情報
を、メッセージＩＤ２６２ｂは図２６の（ａ）で指定さ
れたメッセージＩＤ２６１ｂと同一の情報を持つことに
より、「開示条件取得要求２６１」と「開示条件取得結
果２６２」との対応関係を示すこととする。

【００９４】ユーザモジュール１では、アクセス要求部
１１が受信した「開示条件取得結果２６２」から開示条
件２６２ｆを抽出し（図２５、Ｓｔｅｐ６）、条件入力
部１３が旧開示条件としてユーザインタフェース等でユ
ーザに示す。その後、同様に変更後の開示条件を新開示
条件として、条件入力部１３がユーザインタフェースな
どを介して設定する（図２５、Ｓｔｅｐ７）。アクセス
要求部１１は、上記で設定された新開示条件から「開示
条件変更要求」を作成し、倉庫サーバモジュール２に送
信する（図２５、Ｓｔｅｐ８）。「開示条件変更要求」
のデータ構造を図２６の（ｃ）に示す。図２６（ｃ）に
は、開示条件変更要求２６３として、メッセージタイプ
２６３ａ、メッセージＩＤ２６３ｂ、開示条件変更要求
者識別情報２６３ｃ、変更先倉庫サーバ識別情報２６３
ｄ、暗号化文書識別情報２６３ｅ，新開示条件２６３ｆ
がある。図２６の（ｃ）中で、メッセージタイプ２６３
ａは「開示条件変更要求２６３」を示す情報を、メッセ
ージＩＤ２６３ｂは図２６の（ａ）、（ｂ）で指定され
たメッセージＩＤ２６１ｂ，２６２ｂと同一の情報を持
つことにより、「開示条件取得要求２６１」、「開示条
件取得結果２６２」と「開示条件変更要求２６３」の対
応関係を示すこととする。

【００９５】倉庫サーバモジュール２では、アクセス要
求処理部２４が「開示条件変更要求」を受信して暗号化
文書識別情報２６３ｅと新開示条件２６３ｆを抽出する
（図２５、Ｓｔｅｐ９）。開示条件アクセス部２３ｂ
は、暗号化文書識別情報２６３ｅから、暗号化文書属性
及び開示条件と開示条件の変更権限を持つユーザに関す
る情報とを検索し、「開示条件変更要求」を発行したユ
ーザに開示条件変更権限が有るかどうかを検証する（図
２５、Ｓｔｅｐ１０）。開示条件変更権限があった場合
は暗号化文書の開示条件を新開示条件に置き換える。ア
クセス要求処理部２４は、前処理の結果を開示条件変更
処理結果として、「開示条件変更結果」を作成してユー
ザモジュール１に送信する（図２５、Ｓｔｅｐ１１）。
「開示条件変更結果」のデータ構造を図２６の（ｄ）に
示す。図２６（ｄ）には、開示条件変更結果２６４とし
て、メッセージタイプ２６４ａ、メッセージＩＤ２６４
ｂ、変更先倉庫サーバ識別情報２６４ｃ，開示条件変更
要求者識別情報２６４ｄ、開示条件変更処理結果２６４
ｅがある。図２６の（ｄ）中で、メッセージタイプ２６
４ａは「開示条件変更結果２６４」を示す情報を、メッ
セージＩＤ２６４ｂは図２６の（ａ）、（ｂ）、（ｃ）
で指定されたメッセージＩＤ２６１ｂ，２６２ｂ，２６
３ｂと同一の情報を持つことにより、「開示条件取得要
求２６１」、「開示条件取得結果２６２」、「開示条件
変更要求２６３」と「開示条件変更結果２６４」との対
応関係を示すこととする。

【００９６】上で示した「開示条件変更結果２６４」を
受け取ったユーザモジュール１では、アクセス要求部１
１が当該結果中の開示条件変更処理結果２６４ｅを取得
する（図２５、Ｓｔｅｐ１２）。以上で開示条件変更処
理は完了する。

【００９７】以上のように、この実施の形態では、前述
した実施の形態で示した電子倉庫システムにおいて、倉
庫サーバモジュールで管理する開示条件を変更できるユ
ーザを設定できる機能を持つ電子倉庫システムについて
説明した。

【００９８】この実施の形態によれば、暗号化文書登録
時に、開示条件の変更権限を持つユーザに関する情報を
追加することにより、暗号化文書の変更は不要だが開示
条件のみを変更したい場合、開示条件の変更のために、
変更が必要ない暗号化文書を変更するような冗長な処理
を省くことができ、効率よくシステム運用ができるとい
う効果が得られる。

【００９９】実施の形態３．以上の実施の形態１では、
倉庫サーバモジュール２で検証する開示条件と鍵回復モ
ジュール３で検証する鍵抽出条件が同一であるが、次に
鍵抽出条件として、開示条件のハッシュ情報を設定する
実施の形態を示す。図２７はこのような場合のシステム
構成図である。図において、鍵回復モジュール３を構成
する全機能ブロック及び倉庫サーバモジュール２を構成
する２１〜２７までの機能ブロックは図１と同様であ
る。ユーザモジュール１において、１２ａは開示条件か
ら鍵抽出条件を作成する鍵抽出条件作成部である。倉庫
サーバモジュール２において、２３ｃは開示条件から鍵
抽出情報を生成する鍵抽出情報作成部である。また、図
２７においては、記載を省略しているが、前述した図１
に示した構成図と同様に、ユーザ情報記憶部、サーバ情
報記憶部、センタ情報記憶部を備えているものとする。

【０１００】次に動作について説明する。環境設定、ユ
ーザ登録、暗号化文書の検索／削除／照会／変更に関す
る処理フローはそれぞれ図２、図３、図１２、図１５、
図１７、図１９を用いて説明した実施の形態１の処理と
同様である。

【０１０１】この実施の形態の暗号文書の登録を行うた
めの処理フローを図２８に示す。図４に示した処理フロ
ーと共通する部分に関しては説明を省略する。図４と違
うのはＳｔｅｐ１’の部分のみである。図４に示した処
理フローでは、鍵抽出条件をユーザインタフェース等を
介して登録文書指定時に設定していたが、本実施の形態
では、鍵抽出条件を開示条件と同一とはせず、開示条件
入力後、１２ａにて開示条件のハッシュを計算して鍵抽
出条件とし、当該鍵抽出条件から復号鍵情報を生成す
る。Ｓｔｅｐ１’以降の処理は、図４と同様である。こ
れにより、実施の形態３におけるデータ登録処理は完了
する。

【０１０２】次に、図２７で示したこの実施の形態の電
子倉庫システムにおいて、暗号化文書を取得する場合の
処理フローを図２９に示す。図２０に示した処理と違う
のは、Ｓｔｅｐ５−１の部分のみである。実施の形態１
および実施の形態２では暗号化文書登録時に鍵抽出条件
を開示条件から生成している。倉庫サーバモジュール２
でもそれに相当する鍵抽出条件を用意する処理、即ち、
開示情報のハッシュを計算して鍵抽出情報を生成する処
理（図２９、Ｓｔｅｐ５−１）が必要となる。ここで生
成した鍵抽出条件を用いて鍵回復要求を作成する。Ｓｔ
ｅｐ５−１以外の処理は図２０とに示した処理と同様で
ある。これにより、実施の形態３におけるデータ取得処
理は完了する。

【０１０３】以上のように、鍵抽出条件を開示情報のハ
ッシュ情報とすることにより、鍵抽出条件判定部ではユ
ーザモジュール１から入力される開示情報の意味、即
ち、鍵抽出条件の意味を認識しなくとも、鍵抽出の可否
が判断できるため、鍵抽出時の条件判断が容易になると
いう効果が得られる。

【０１０４】実施の形態４．以上の実施の形態１では、
倉庫サーバモジュール２で検証する開示条件と鍵回復モ
ジュール３で検証する鍵抽出条件が同一である場合を示
したが、次に鍵抽出条件として、倉庫サーバモジュール
２が開示条件の検証に成功したことを示す鍵抽出許可証
を動的に発行することによって、鍵回復モジュール３で
鍵抽出可否の判断を行う実施の形態を示す。

【０１０５】図３０はこのような場合のシステム構成図
である。図において、ユーザモジュール１を構成する全
機能ブロック、倉庫サーバモジュール２を構成する２１
〜２７までの機能ブロック、及び、鍵回復モジュール３
を構成する３１〜３５までの機能ブロックは図１と同様
である。倉庫サーバモジュール２において、２３ｄは開
示条件判定に成功した際、鍵回復モジュール３に対して
鍵抽出を促す鍵抽出許可証を作成する鍵抽出許可証発行
部である。鍵回復モジュール３において、３２ａは倉庫
サーバモジュール２によって発行された鍵抽出許可証の
正当性を検証する鍵抽出許可証検証部である。また、図
３０においては、記載を省略しているが、前述した図１
に示した構成図と同様に、ユーザ情報記憶部、サーバ情
報記憶部、センタ情報記憶部を備えているものとする。

【０１０６】次に動作について説明する。環境設定、ユ
ーザ登録、暗号化文書の登録／検索／削除／照会／変更
に関する処理フローはそれぞれ図２、図３、図４、図１
２、図１５、図１７、図１９に示した処理フローと同様
である。ただし、暗号化文書の登録処理において、図４
のＳｔｅｐ１で指定する鍵抽出条件には、「鍵抽出許可
証の発行」をあらわす情報が設定される点が異なる。

【０１０７】暗号化文書の取得を行うための処理フロー
を図３１に示す。実施の形態１での暗号化文書の取得処
理（図２０）と共通する部分の説明は省略する。実施の
形態１での暗号化文書の取得処理（図２０）と違うの
は、Ｓｔｅｐ５−１、Ｓｔｅｐ５’、Ｓｔｅｐ６’、Ｓ
ｔｅｐ７’、Ｓｔｅｐ９’、Ｓｔｅｐ１０’の部分であ
る。倉庫サーバモジュール２では、ユーザモジュール１
から「データ取得要求」を受信して開示情報の検証を行
った後、２３ｄが鍵回復モジュール３での鍵抽出処理を
促す情報である鍵抽出許可証を作成する（図３１、Ｓｔ
ｅｐ５−１）。鍵抽出許可証は、例えば復号鍵情報に対
して倉庫サーバの公開鍵証明書で署名したデータなどが
有効である。

【０１０８】以上で説明した鍵抽出許可証をもとに、倉
庫サーバモジュール２では復号鍵要求部２５により「認
可型鍵回復要求」を作成し、鍵回復モジュール３に対し
て送信する（図３１、Ｓｔｅｐ５’）。「認可型鍵回復
要求」のデータ構造を図３２の（ａ）に示す。図３２
（ａ）には、認可型鍵回復要求３２１として、メッセー
ジタイプ３２１ａ、メッセージＩＤ３２１ｂ、、鍵回復
要求倉庫サーバ識別情報３２１ｃ、鍵回復要求先鍵回復
センタ識別情報３２１ｄ、鍵抽出許可証３２１ｅがあ
る。図３２の（ａ）で、メッセージタイプ３２１ａは
「認可型鍵回復要求３２１」を示す情報を、メッセージ
ＩＤ３２１ｂは図２１の（ａ）で指定されたメッセージ
ＩＤ２１１ｂと同一の情報を持つことにより、「データ
取得要求２１１」と「認可型鍵回復要求３２１」との対
応関係を示すこととする。

【０１０９】鍵回復モジュール３では、復号鍵要求処理
部３１により上で示された「認可型鍵回復要求３２１」
を受信し、鍵抽出許可証３２１ｅを抽出する（図３１、
Ｓｔｅｐ６’）。次に抽出した鍵抽出許可証３２１ｅの
検証を行い、鍵抽出許可証３２１ｅ中から復号鍵情報を
さらに抽出する（図３１、Ｓｔｅｐ７’）。鍵抽出許可
証の検証ロジックは、鍵抽出許可証が復号鍵情報に対し
て倉庫サーバの公開鍵証明書で署名したデータである場
合は、署名データの検証と当該情報に署名したユーザが
倉庫サーバとして登録されているかどうかの検証などで
構成される。

【０１１０】Ｓｔｅｐ７’の処理に成功し、返却鍵情報
を作成した後（図３１、Ｓｔｅｐ８）、復号鍵要求処理
部３１が同情報をもとに「認可型鍵回復結果」を作成
し、倉庫サーバモジュール２に対して送信する（図３
１、Ｓｔｅｐ９’）。この時の「認可型鍵回復結果」の
データ構造を図３２の（ｂ）に示す。図３２（ｂ）に
は、「認可型鍵回復結果３２２」として、メッセージタ
イプ３２２ａ、メッセージＩＤ３２２ｂ、鍵回復要求先
鍵回復センタ識別情報３２２ｃ、鍵回復要求倉庫サーバ
識別情報３２２ｄ、鍵回復処理結果３２２ｅ、返却鍵情
報３２２ｆがある。図３２の（ｂ）で、メッセージタイ
プは「認可型鍵回復結果３２２」を示す情報を、メッセ
ージＩＤは図２１の（ａ）で指定されたメッセージＩＤ
２１１ｂと同一の情報を持つことにより、「データ取得
要求２１１」、「認可型鍵回復要求３２１」と「認可型
鍵回復結果３２２」の対応関係を示すこととする。

【０１１１】以上で示した「認可型鍵回復結果３２２」
を受信した倉庫サーバモジュール２の復号鍵要求部２５
では、「認可型鍵回復結果３２２」から鍵回復処理結果
３２２ｅ、返却鍵情報３２２ｆを抽出し、「鍵回復要求
管理情報」中の該当する鍵回復要求管理レコードを検索
して暗号化文書識別情報２２１ｄを取得する（図３０、
Ｓｔｅｐ１０’）。

【０１１２】Ｓｔｅｐ５−１、Ｓｔｅｐ５’、Ｓｔｅｐ
６’、Ｓｔｅｐ７’、Ｓｔｅｐ９’、Ｓｔｅｐ１０’以
外の処理は図２０と同様である。これにより、実施の形
態４におけるデータ取得処理は完了する。

【０１１３】以上のように、この実施の形態では、前述
した実施の形態で示した電子倉庫システムにおいて、倉
庫サーバモジュールが発行した鍵回復許可証を提示する
ことにより、鍵回復モジュールで鍵抽出可否の判定を行
う機能を持つシステムについて説明した。

【０１１４】この実施の形態によれば、鍵抽出条件を、
倉庫サーバモジュール２が動的に発行する鍵抽出許可証
とすることにより、データ取得可能なユーザを動的に変
更することができ、より柔軟なデータ取得を実現できる
という効果が得られる。

【０１１５】実施の形態５．以上の実施の形態１では、
倉庫サーバモジュール２で検証する開示条件はユーザの
属性情報など、事前に登録された条件であるが、次にア
クセス料金を支払ったユーザに対してデータを開示する
ような場合に、第三者によって開示許可証を動的に発行
することによって、倉庫サーバモジュール２で開示可否
の判断を行う実施の形態を示す。図３３はこのような場
合のシステム構成図である。

【０１１６】図において、鍵回復モジュール３を構成す
る全機能ブロック、倉庫サーバモジュール２を構成する
２１〜２７までの機能ブロック、及びユーザモジュール
１を構成する１１〜１４までの機能ブロックは図１と同
様であり、新規に開示許可証の発行を行う開示許可モジ
ュール４を導入する。また、図３３においては、記載を
省略しているが、前述した図１に示した構成図と同様
に、ユーザ情報記憶部、サーバ情報記憶部、センタ情報
記憶部を備えているものとする。

【０１１７】ユーザモジュール１において、１５は開示
許可モジュール４に対して開示許可証の発行を要求する
開示許可要求部である。開示許可モジュール４におい
て、４１はユーザモジュール１から送られた「開示許可
要求」の受信／解析処理を行う開示許可要求処理部、４
２は開示許可証を発行する開示許可証発行部である。倉
庫サーバモジュール２において、２３ｅは開示許可モジ
ュールが発行した開示許可証の正当性を検証する開示許
可証検証部、２３ｃは図２７で示したのと同様に開示条
件（本実施の形態の場合は開示許可証の取得）から鍵抽
出情報を生成する鍵抽出情報作成部である。

【０１１８】次に動作について説明する。環境設定、ユ
ーザ登録、暗号化文書の登録／検索／削除／照会／変更
に関する処理フローはそれぞれ図２、図３、図４、図１
２、図１５、図１７、図１９に示した処理フローと同様
である。ただし、暗号化文書の登録処理において、図４
のＳｔｅｐ１で指定する開示条件には、「開示許可証の
発行」をあらわす情報が設定される点が異なる。

【０１１９】本実施の形態において、暗号化文書の取得
を行う際の処理フローを図３４に示す。実施の形態１で
の暗号化文書の取得処理（図２０）と共通の部分は説明
を省略する。実施の形態１での暗号化文書の取得処理
（図２０）と違うのは、Ｓｔｅｐ２−１〜Ｓｔｅｐ２−
５、Ｓｔｅｐ２’、Ｓｔｅｐ３’、Ｓｔｅｐ４’、Ｓｔ
ｅｐ５−１、Ｓｔｅｐ１１’、Ｓｔｅｐ１２’の部分で
ある。

【０１２０】ユーザモジュール１では、取得文書を指定
した後、アクセス要求部１１が当該情報から「開示許可
要求」を作成し、開示許可モジュール４に対して送信す
る（図３４、Ｓｔｅｐ２−１）。「開示許可要求」のデ
ータ構造を図３５の（ａ）に示す。図３５（ａ）には、
開示許可要求３５１として、メッセージタイプ３５１
ａ、メッセージＩＤ３５１ｂ、開示許可要求者識別情報
３５１ｃ、許可要求先開示許可機関識別情報３５１ｄ、
暗号化文書識別情報３５１ｅがある。図３５の（ａ）
で、メッセージタイプ３５１ａは「開示許可要求３５
１」を示す情報を、メッセージＩＤ３５１ｂはメッセー
ジを一意に識別できる情報をあらわす。

【０１２１】上で示された「開示許可要求３５１」を受
け取った開示許可モジュール４では、開示許可要求処理
部４１が同要求の内容を検討し（図３４、Ｓｔｅｐ２−
２）、検討結果が開示許可ならば、開示許可証発行部４
２が開示許可証を発行する（図３４、Ｓｔｅｐ２−
３）。開示許可証は、「開示許可要求３５１」に対し
て、「開示許可要求」中で指定された開示許可モジュー
ルの公開鍵証明証を利用して署名された情報とする。開
示許可要求処理部４１は、発行された開示許可証をもと
に、「開示許可結果」を作成し、ユーザモジュール１に
対して送信する（図３４、Ｓｔｅｐ２−４）。「開示許
可結果」のデータ構造を図３５の（ｂ）に示す。図３５
（ｂ）には、開示許可結果３５２として、メッセージタ
イプ３５２ａ、メッセージＩＤ３５２ｂ、許可要求先開
示許可機関識別情報３５２ｃ、開示許可要求者識別情報
３５２ｄ、暗号化文書識別情報３５２ｅ、開示許可証３
５２ｆがある。図３５の（ｂ）で、メッセージタイプ３
５２ａは「開示許可結果３５２」を示す情報を、メッセ
ージＩＤ３５２ｂは図３５の（ａ）で指定されたメッセ
ージＩＤ３５１ｂと同一の情報を持つことにより、「開
示許可要求３５１」と「開示許可結果３５２」の対応関
係を示すこととする。

【０１２２】「開示許可結果３５２」を受信したユーザ
モジュール１では、アクセス要求部１１が同結果中から
開示許可証３５２ｆを抽出し（図３４、Ｓｔｅｐ２−
５）、「開示許可型データ取得要求」を作成して倉庫サ
ーバモジュール２に対して送信する（図３４、Ｓｔｅｐ
２’）。「開示許可型データ取得要求」のデータ構造を
図３５の（ｃ）に示す。図３５（ｃ）には、開示許可型
データ取得要求３５３として、メッセージタイプ３５３
ａ、メッセージＩＤ３５３ｂ、開示許可型取得要求者識
別情報３５３ｃ、取得先倉庫サーバ識別情報３５３ｄ、
暗号化文書識別情報３５３ｅ、開示許可証３５３ｆがあ
る。図３５の（ｃ）で、メッセージタイプ３５３ａは
「開示許可型データ取得要求３５３」を示す情報を、メ
ッセージＩＤ３５３ｂは図３５の（ａ）、（ｂ）で指定
されたメッセージＩＤ３５１ｂ、３５２ｂと同一の情報
を持つことにより、「開示許可要求３５１」、「開示許
可結果３５２」と「開示許可型データ取得要求３５３」
との対応関係を示すこととする。

【０１２３】上で示した「開示許可型データ取得要求３
５３」を受信した倉庫サーバモジュール２では、アクセ
ス要求処理部２４が同要求中から開示許可証３５３ｆを
抽出し（図３４、Ｓｔｅｐ３’）、開示条件処理部２３
がその検証を行う（図３４、Ｓｔｅｐ４’）。この時、
開示許可証が開示認可要求中で指定された開示許可モジ
ュールの公開鍵証明証を利用して署名された情報であれ
ば、その署名検証によって開示許可証検証を実施するこ
ととする。開示許可証の検証に成功した場合、鍵抽出情
報作成部２３ｃにより鍵抽出情報を設定する（図３４、
Ｓｔｅｐ５−１）。この後、Ｓｔｅｐ５〜Ｓｔｅｐ１０
までは図２０と同様の処理を行う。Ｓｔｅｐ１０にて暗
号化識別情報を取得した後、アクセス要求処理部２４は
当該情報より「開示許可型データ取得結果」を作成し、
ユーザモジュール１に対して送信する（図３４、Ｓｔｅ
ｐ１１’）。「開示許可型データ取得結果」のデータ構
造を図３５の（ｄ）に示す。図３５（ｄ）には、開示許
可型データ取得結果３５４として、メッセージタイプ３
５４ａ、メッセージＩＤ３５４ｂ、取得先倉庫サーバ識
別情報３５４ｃ、開示許可型取得要求者識別情報３５４
ｄ、暗号化文書識別情報３５４ｅ、取得処理結果３５４
ｆ、返却鍵情報３５４ｇ、暗号化文書３５４ｈがある。
図３５の（ｄ）で、メッセージタイプ３５４ａは「開示
許可型データ取得結果３５４」を示す情報を、メッセー
ジＩＤ３５４ｂは図３５の（ａ）、（ｂ）、（ｃ）で指
定されたメッセージＩＤ３５１ｂ、３５２ｂ、３５３ｂ
と同一の情報を持つことにより、「開示許可要求３５
１」、「開示許可結果３５２」、「開示許可型データ取
得要求３５３」と「開示許可型データ取得結果３５４」
との対応関係を示すこととする。

【０１２４】「開示許可型データ取得結果３５４」を受
信したユーザモジュール１では、アクセス要求部１１が
同結果中から取得処理結果３５４ｆを抽出して（図３
４、Ｓｔｅｐ１２’）暗号化文書の復号処理を行う。以
上で、実施の形態５におけるデータ取得処理は完了す
る。

【０１２５】以上のように、この実施の形態では、前述
した実施の形態で示した電子倉庫システムにおいて、ユ
ーザが開示許可証を倉庫サーバに提示することにより、
倉庫サーバモジュールで開示の判定を行う機能を持つシ
ステムについて説明した。

【０１２６】この実施の形態によれば、第三者が運営す
る開示認可モジュールにより開示許可証を動的に発行
し、倉庫サーバモジュール２では開示許可証の提示によ
って開示可を決定することにより、開示に必要な情報が
動的に変更するような場合でも、データ開示の設定がで
き、より柔軟なデータ開示の仕組みを提供できるという
効果が得られる。

【０１２７】実施の形態６．以上の実施の形態１では、
鍵回復を行う鍵回復モジュールは１つであったが、次に
複数の鍵回復モジュールによって鍵回復を行う場合の実
施の形態を示す。図３６はこのような場合のシステム構
成図である。図において、鍵回復モジュール３、ユーザ
モジュール１を構成する全機能ブロック、ユーザモジュ
ール１を構成する１１〜１４までの機能ブロック及び倉
庫サーバモジュール２を構成する２１〜２７までの機能
ブロックは図１と同様である。倉庫サーバモジュール２
において、２５ａは複数の鍵回復モジュール３から返さ
れる返却鍵断片を管理する返却鍵管理部である。ユーザ
モジュール１において、１８は暗号化鍵の分割や再構成
などを行う復号鍵構築処理部である。また、図３６にお
いては、記載を省略しているが、前述した図１に示した
構成図と同様に、ユーザ情報記憶部、サーバ情報記憶
部、センタ情報記憶部を備えているものとする。

【０１２８】次に動作について説明する。ユーザ登録、
暗号化文書の登録／検索／削除／照会／変更／取得に関
する処理フローはそれぞれ図２、図３、図４、図１２、
図１５、図１７、図１９、図２０に示した処理フローと
同様である。環境設定では、図２の処理を複数の鍵回復
モジュール３に対して実施する必要がある。暗号文書の
登録は図４の処理フローと同様であるが、Ｓｔｅｐ３に
て作成する復号鍵情報が異なる。

【０１２９】実施の形態６の時の復号鍵情報のデータ構
造を図３７に示す。図３７には、復号鍵情報３７０とし
て、復号鍵回復情報復号条件３７０ａ、復号鍵断片数３
７０ｂ、鍵回復センタ識別情報３７０ｃ、復号鍵断片回
復情報３７１が示されている。図３７中、復号鍵断片回
復情報３７１は、同じ復号鍵情報３７０中で指定されて
いる鍵回復センタ識別情報３７０ｃの公開鍵証明証に含
まれる公開鍵によって暗号化される。復号鍵断片回復情
報３７１には、暗号化文書識別情報３７１ａ、鍵抽出条
件３７１ｂ、復号時ファイル情報３７１ｃ、被暗号化文
書メッセージ署名３７１ｄ、暗号化文書復号条件３７１
ｅ、復号鍵断片３７１ｆの各情報が暗号化される。従っ
て、指定されている鍵回復センタ毎に復号鍵断片回復情
報３７１は異なる値となる。また、鍵回復センタ識別情
報３７０ｃ及び復号鍵断片回復情報３７１は復号鍵断片
数３７０ｂで指定された分だけ繰り返して記述される。

【０１３０】次に、図３６で示した電子倉庫システムに
おいて、暗号化文書を取得する場合の処理フローを図３
８に示す。図２０に示した処理と違うのは、Ｓｔｅｐ
５’、Ｓｔｅｐ１０’、Ｓｔｅｐ１１’の部分である。
実施の形態１では、Ｓｔｅｐ５で作成する「鍵回復要
求」は１つだったが、本実施の形態では、復号鍵要求部
２５がＳｔｅｐ５’にて復号鍵情報中に記述されてい
る、各復号鍵断片情報を復号できる全鍵回復センタ分生
成する。

【０１３１】同様にＳｔｅｐ１０’では、復号鍵要求部
２５によりＳｔｅｐ５’にて生成した鍵回復要求数に対
応した分の鍵回復応答が、各鍵回復センタ（鍵回復モジ
ュール３）より返信される点が図２０での処理フローと
異なる。また、鍵回復応答を受信するたびに復号鍵を再
構成するのに必要な数の返却鍵情報が集まったかどうか
を確かめ、集まっていなければ次の鍵回復応答の受信を
待ち、集まっていれば返却鍵情報を生成し、アクセス要
求処理部２４により「データ取得結果」を作成する（図
３８、Ｓｔｅｐ１１’）。この時の返却鍵情報のデータ
構造を図４４に示す。図４４には、返却鍵情報４４０と
して、復号鍵回復情報復号条件４４０ａ、取得要求者識
別情報４４０ｂ、暗号化返却鍵断片情報４４１が示され
ている。暗号化返却鍵断片情報４４１には、復号時ファ
イル情報４４１ａ、被暗号化文書メッセージ署名４４１
ｂ、暗号化文書復号条件４４１ｃ、復号鍵断片４４１ｄ
の各情報が暗号化される。この時、図４４中の暗号化返
却鍵断片情報４４１は、復号鍵を再構成するのに必要な
数分、繰り返し記述されている。

【０１３２】Ｓｔｅｐ５’、Ｓｔｅｐ１０’、Ｓｔｅｐ
１１’以外の処理は図２０と同様である。これにより、
実施の形態６におけるデータ取得処理は完了する。

【０１３３】以上のように、この実施の形態では前述し
た実施の形態で示した電子倉庫システムにおいて、倉庫
サーバモジュールで開示判定を行った後、倉庫サーバモ
ジュールから複数の鍵回復モジュールに対して「鍵回復
要求」を発行し、各鍵回復モジュールで鍵抽出を実施
し、その結果を「鍵回復結果」として倉庫サーバモジュ
ールに対して発行し、「鍵回復結果」を受け取った倉庫
サーバモジュールでは、複数の「鍵回復結果」からユー
ザモジュールに発行する結果を作成、発行する機能を備
える電子倉庫システムについて説明した。

【０１３４】この実施の形態によれば、復号鍵を複数の
鍵回復センタでの鍵回復処理によって取得できるような
仕組みを組み込むことにより、１つの鍵回復センタで鍵
回復処理を行なう場合と比較して、復号鍵の管理のセキ
ュリティを向上させる効果がある。

【０１３５】実施の形態７．以上の実施の形態１では、
登録文書はある特定のユーザが作成しており、適切な開
示情報を持つユーザであればそのユーザのみで単独でデ
ータ開示要求を発行し、データ開示を行うことが可能で
あった。次に、複数のユーザが暗号化文書を共有化する
場合、例えば、複数のユーザが共同で登録文書を作成し
た場合や、登録文書の機密度／性質等により、複数ユー
ザの合意がないと暗号化文書が開示できない場合、倉庫
サーバモジュール２で関連するユーザに対して開示認可
要求を発行し、当該要求を受信した各ユーザが開示認可
証を発行することによって、復号鍵の抽出を実現する実
施の形態を示す。

【０１３６】図３９はこのような場合のシステム構成図
である。図において、鍵回復モジュール３を構成する３
２〜３５までの機能ブロック、倉庫サーバモジュール２
を構成する２１〜２７までの機能ブロック、及びユーザ
モジュール１を構成する１１〜１４までの機能ブロック
は図１と同様である。ユーザモジュール１において、１
８は登録文書または暗号化文書を共有する各ユーザに開
示が許可される復号鍵断片情報の生成、及び鍵回復モジ
ュール３から倉庫サーバモジュール２経由で受け渡され
る返却鍵断片情報から復号鍵情報の再構成等の処理を行
う復号鍵構築処理部、１６は倉庫サーバモジュール２か
ら暗号化文書を共有する各ユーザに対して発行されたユ
ーザ開示認可要求を処理するための開示認可要求処理
部、１７は開示認可要求に対して開示を認可したことを
示すユーザ開示認可証を作成する開示認可証発行部であ
る。

【０１３７】倉庫サーバモジュール２において、２９は
暗号化文書が複数のユーザで共有されている場合、ユー
ザモジュール１に対して開示の認可を求める開示認可証
の発行を要求する開示認可要求部、２８は必要な開示認
可証がそろった際に、鍵回復モジュール３に対して鍵抽
出を要求する「共有型復号鍵要求」を作成／発行する共
有型復号鍵要求部である。

【０１３８】鍵回復モジュール３において、３６は倉庫
サーバモジュール２から発行された「共有型復号鍵要
求」を処理するための共有型復号鍵要求処理部である。
また、図３９においては、記載を省略しているが、前述
した図１に示した構成図と同様に、ユーザ情報記憶部、
サーバ情報記憶部、センタ情報記憶部を備えているもの
とする。

【０１３９】次に、動作について説明する。環境設定、
ユーザ登録、暗号化文書の検索／削除／照会／変更に関
する処理フローはそれぞれ図２、図３、図１２、図１
５、図１７、図１９に示した処理フローと同様である。
暗号文書の登録を行うための処理フローを図４０に示
す。実施の形態１での暗号化文書の登録処理（図４）と
違うのは、Ｓｔｅｐ２−１、Ｓｔｅｐ３’である。ユー
ザモジュール１では、復号鍵構築処理部１８が、登録文
書の指定及び開示条件・鍵抽出条件の設定の後、暗号化
鍵を生成する（図４０、Ｓｔｅｐ２−１）。この時、開
示条件として、複数の暗号化文書共有ユーザによるユー
ザ開示許可証が必要であることを明示する。また、暗号
化鍵生成時には、任意の暗号化鍵（復号鍵と同意味であ
る）を生成し、同鍵に対して、暗号化文書を共有する全
ユーザに対して、例えば、ＳｅｃｒｅｔＳｈａｒｉｎｇ
等の鍵分割方式を用いて鍵分割を行う。Ｓｔｅｐ２で
は、暗号処理部１２が、Ｓｔｅｐ２−１で生成した暗号
化鍵を用いて文書の暗号化を行う。

【０１４０】次に、暗号処理部１２は復号鍵情報を生成
する（図４０、Ｓｔｅｐ３’）。この時の復号鍵情報の
データ構造を図４１に示す。図４１には、復号鍵情報４
１０として、復号鍵回復情報復号条件４１０ａ、鍵回復
センタ識別情報４１０ｂ、復号鍵断片数４１０ｃ、復号
鍵断片所有者識別情報４１０ｄ、復号鍵断片回復情報４
１１が示されている。復号鍵断片回復情報４１１には、
暗号化文書識別情報４１１ａ、鍵抽出条件４１１ｂ、復
号時ファイル情報４１１ｃ、被暗号化文書メッセージ署
名４１１ｄ、暗号化文書復号条件４１１ｅ、復号鍵断片
４１１ｆの各情報が暗号化される。図４１中、各復号鍵
断片回復情報はその所有者情報として、暗号化文書を共
有しているユーザ識別するための情報を含む。これが復
号鍵断片所有者識別情報４１０ｄであり、復号鍵断片回
復情報４１１を復号する際の条件を復号鍵回復情報復号
条件４１０ａとする。上で示された復号鍵情報４１０を
生成した後の処理は図４と同様である。以上で本実施の
形態におけるデータ登録処理は完了する。

【０１４１】次に、図３９で示した電子倉庫システムに
おいて、暗号化文書を取得する場合の処理フローを図４
２に示す。実施の形態１での暗号化文書の取得処理（図
２０）と違うのは、Ｓｔｅｐ４−１〜Ｓｔｅｐ４−６、
Ｓｔｅｐ５’、Ｓｔｅｐ６’、Ｓｔｅｐ８’、Ｓｔｅｐ
９’、Ｓｔｅｐ１０’である。倉庫サーバモジュール２
では、アクセス要求処理部２４がユーザモジュール１か
ら送られてきた「データ取得要求」を受信した後、開示
条件処理部２３が暗号化文書の開示条件として、当該文
書を共有しているユーザの一覧を取得する（図４２、Ｓ
ｔｅｐ４−１）。この時、開示認可要求部２９は復号鍵
情報と前記のユーザ情報から、当該文書を共有している
全ユーザに対してユーザ開示認可要求の作成／送信を行
う（図４２、Ｓｔｅｐ４−２）。ユーザ開示認可要求の
データ構造を図４３の（ａ）に示す。図４３の（ａ）に
は、ユーザ開示認可要求４３１として、メッセージタイ
プ４３１ａ、メッセージＩＤ４３１ｂ、倉庫サーバ識別
情報４３１ｃ、認可要求先ユーザ識別情報４３１ｄ、暗
号化文書識別情報４３１ｅ、復号鍵情報４３１ｆがあ
る。図４３の（ａ）で、メッセージタイプ４３１ａは
「ユーザ開示認可要求４３１」を示す情報を、メッセー
ジＩＤ４３１ｂは図２１（ａ）で指定されたメッセージ
ＩＤ２１１ｂと同一の情報を持つことにより、「データ
取得要求」と「ユーザ開示認可要求」との対応関係を示
すこととする。

【０１４２】上で示した「ユーザ開示認可要求」を受信
したユーザモジュール１では、開示認可要求処理部１６
がその内容を検討し（図４２、Ｓｔｅｐ４−３）、内容
が適切であれば、開示認可証発行部１７がユーザ開示認
可証を発行する（図４２、Ｓｔｅｐ４−４）。その後、
開示認可要求処理部１６はユーザ開示認可証をもとにユ
ーザ開示認可結果を作成し、倉庫サーバモジュール２に
対して送信する（図４２、Ｓｔｅｐ４−５）。ユーザ開
示認可結果のデータ構造を図４３の（ｂ）に示す。図４
３の（ｂ）には、ユーザ開示認可結果４３２として、メ
ッセージタイプ４３２ａ、メッセージＩＤ４３２ｂ、認
可要求先ユーザ識別情報４３２ｃ、倉庫サーバ識別情報
４３２ｄ、暗号化文書識別情報４３２ｅ、ユーザ開示認
可証４３２ｆがある。図４３の（ｂ）で、メッセージタ
イプ４３２ｂは「ユーザ開示認可結果４３２」を示す情
報を、メッセージＩＤ４３２ｂは図４３（ａ）で指定さ
れたメッセージＩＤ４３１ｂと同一の情報を持つことに
より、「データ取得要求」、「ユーザ開示認可要求」と
「ユーザ開示認可結果」との対応関係を示すこととす
る。

【０１４３】上で示した「ユーザ開示認可結果４３２」
を開示認可要求部２９により受信した倉庫サーバモジュ
ール２では（図４２、Ｓｔｅｐ４−６）、鍵回復を行う
のに必要なユーザ開示認可結果が取得できたかどうかを
検証し、必要数取得できていれば共有型復号鍵要求部２
８により「共有型鍵回復要求」を作成して鍵回復モジュ
ール３に送信する（図４２、Ｓｔｅｐ５’）。「共有型
鍵回復要求」のデータ構造を図４３の（ｃ）に示す。図
４３の（ｃ）には、共有型鍵回復要求４３３として、メ
ッセージタイプ４３３ａ、メッセージＩＤ４３３ｂ、共
有型鍵回復要求倉庫サーバ識別情報４３３ｃ、共有型鍵
回復要求先鍵回復センタ識別情報４３３ｄ、復号鍵情報
４３３ｅ、ユーザ開示認可証４３３ｆがある。図４３の
（ｃ）で、メッセージタイプ４３３ａは「共有型鍵回復
要求４３３」を示す情報を、メッセージＩＤ４３３ｂは
図４３（ａ）、（ｂ）で指定されたメッセージＩＤ４３
１ｂ、４３２ｂと同一の情報を持つことにより、「デー
タ取得要求」、「ユーザ開示認可要求」、「ユーザ開示
認可結果」と「共有型鍵回復要求」の対応関係を示すこ
ととする。

【０１４４】上で示した「共有型鍵回復要求４３３」を
共有型復号鍵要求処理部３６により受信した鍵回復モジ
ュール３では、鍵抽出条件の検証後、鍵抽出部３３，セ
ンタ情報管理部３５により返却鍵情報を作成する（図４
２、Ｓｔｅｐ８’）。この時の返却鍵情報のデータ構造
を図４４に示す。この返却鍵情報から共有型復号鍵要求
処理部３６は「共有型鍵回復結果」を作成し、倉庫サー
バモジュール２に対して送信する（図４２、Ｓｔｅｐ
９’）。「共有型鍵回復結果」のデータ構造を図４３の
（ｄ）に示す。図４３の（ｄ）には、共有型鍵回復結果
４３４として、メッセージタイプ４３４ａ、メッセージ
ＩＤ４３４ｂ、共有型鍵回復要求先鍵回復センタ識別情
報４３４ｃ、共有型鍵回復要求倉庫サーバ識別情報４３
４ｄ、暗号化文書識別情報４３４ｅ、鍵回復処理結果４
３４ｆ、返却鍵情報４３４ｇがある。

【０１４５】「共有型鍵回復結果４３４」を受信した倉
庫サーバモジュール２では、同結果から鍵回復処理結果
４３４ｆ及び返却鍵情報４３４ｇを抽出し（図４２、Ｓ
ｔｅｐ１０’）、「データ取得結果」を作成してユーザ
モジュール１に対して送信する。以降の処理は図２０で
示された処理と同様である。以上で、実施の形態７にお
けるデータ取得処理を完了する。

【０１４６】以上のように、この実施の形態では、前述
した実施の形態で示した電子倉庫システムにおいて、複
数ユーザによる開示許可を取得することにより、倉庫サ
ーバモジュールで開示の判定を行う機能を持つシステム
について説明した。

【０１４７】この実施の形態によれば、倉庫サーバモジ
ュール２からユーザモジュール１に対して開示認可要求
を発行し、ユーザモジュール１の開示認可証を取得する
ことを開示条件とする仕組みを組み込むことによって、
複数のユーザによる文書の共有を実現でき、開示条件を
柔軟に設定できるという効果が得られる。

【０１４８】

【発明の効果】この発明によれば、電子倉庫システムを
暗号化文書の管理を依頼するユーザモジュールと、暗号
化文書をその開示条件をもとに管理する倉庫サーバモジ
ュールと、暗号化文書を復号するための復号鍵を抽出す
る鍵回復センタモジュールによって構成するので、大量
の暗号化データを各々の開示条件によって柔軟に管理す
ることが可能となる。また、このように、倉庫サーバモ
ジュールで暗号化文書と開示条件を一体化して扱うこと
により、文書を暗号化するユーザ側での暗号化鍵管理が
不要になったことで鍵管理の負荷軽減が実現される。ま
た、開示条件の変更権限を持つユーザに関する情報を追
加することにより、開示条件のみの変更が容易に行な
え、冗長な処理を行なう必要がなくなる。また、大量の
暗号化データを各々の開示条件によって柔軟に管理する
ことが可能となる。また、この発明によれば、鍵抽出時
の条件判断が容易になる。また、データ取得可能なユー
ザを動的に変更できる。また、データ開示に必要な情報
が動的に変更するような場合でも、データ開示の設定が
可能になる。また、複数の鍵回復モジュールで鍵回復を
行なうので、セキュリティが向上する。また、複数のユ
ーザによる文書の共有ができる。

【図面の簡単な説明】

【図１】 この発明の電子倉庫システムの基本構成図で
ある。

【図２】 この発明の電子倉庫システムの鍵回復信頼情
報交換処理フローを示す図である。

【図３】 この発明の電子倉庫システムのユーザ登録処
理フローを示す図である。

【図４】 この発明の電子倉庫システムのデータ登録処
理フローを示す図である。

【図５】 この発明の電子倉庫システムの「倉庫サーバ
情報登録」、「鍵回復センタ情報登録」のデータ構造を
示す図である。

【図６】 この発明の電子倉庫システムのユーザ情報の
例を示す図である。

【図７】 この発明の電子倉庫システムの電子倉庫シス
テム設定ファイルの例を示す図である。

【図８】 この発明の電子倉庫システムの「ユーザ登録
要求」／「ユーザ登録結果」のデータ構造を示す図であ
る。

【図９】 この発明の電子倉庫システムの開示条件、鍵
抽出条件のフォーマット例を示す図である。

【図１０】 この発明の電子倉庫システムの復号鍵情報
のデータ構造を示す図である。

【図１１】 この発明の電子倉庫システムの「データ登
録要求」／「データ登録結果」のデータ構造を示す図で
ある。

【図１２】 この発明の電子倉庫システムのデータ検索
処理フローを示す図である。

【図１３】 この発明の電子倉庫システムの検索条件、
検索結果一覧の記述例を示す図である。

【図１４】 この発明の電子倉庫システムの「データ検
索要求」／「データ検索結果」のデータ構造を示す図で
ある。

【図１５】 この発明の電子倉庫システムのデータ削除
処理フローを示す図である。

【図１６】 この発明の電子倉庫システムの「データ削
除要求」／「データ削除結果」のデータ構造を示す図で
ある。

【図１７】 この発明の電子倉庫システムのデータ照会
処理フローを示す図である。

【図１８】 この発明の電子倉庫システムの「データ照
会要求」／「データ照会結果」のデータ構造を示す図で
ある。

【図１９】 この発明の電子倉庫システムのデータ変更
処理フローを示す図である。

【図２０】 この発明の電子倉庫システムのデータ取得
処理フローを示す図である。

【図２１】 この発明の電子倉庫システムの「データ取
得要求」／「データ取得結果」のデータ構造を示す図で
ある。

【図２２】 この発明の電子倉庫システムの鍵回復要求
管理情報のデータ構造を示す図である。

【図２３】 この発明の電子倉庫システムの返却鍵情報
のデータ構造を示す図である。

【図２４】 この発明の電子倉庫システムの実施の形態
２における機能ブロック構成図である。

【図２５】 この発明の電子倉庫システムの開示条件の
変更処理フローを示す図である。

【図２６】 この発明の電子倉庫システムの「開示条件
取得要求」、「開示条件取得結果」のデータ構造を示す
図である。

【図２７】 この発明の電子倉庫システムの実施の形態
３におけるシステム構成図である。

【図２８】 この発明の電子倉庫システムのデータ登録
処理フローを示す図である。

【図２９】 この発明の電子倉庫システムのデータ取得
処理フローを示す図である。

【図３０】 この発明の電子倉庫システムの実施の形態
４におけるシステム構成図を示す図である。

【図３１】 この発明の電子倉庫システムの実施の形態
４におけるデータ取得処理フローを示す図である。

【図３２】 この発明の電子倉庫システムの認可型鍵回
復要求／認可型鍵回復結果のデータ構造を示す図であ
る。

【図３３】 この発明の電子倉庫システムの実施の形態
５におけるシステム構成図である。

【図３４】 この発明の電子倉庫システムの実施の形態
５におけるデータ取得処理フローを示す図である。

【図３５】 この発明の電子倉庫システムの「開示許可
要求」／「開示許可結果」のデータ構造を示す図であ
る。

【図３６】 この発明の電子倉庫システムの実施の形態
６におけるシステム構成図を示す図である。

【図３７】 この発明の電子倉庫システムの実施の形態
６で作成される復号鍵情報のデータ構造を示す図であ
る。

【図３８】 この発明の電子倉庫システムの実施の形態
６におけるデータ取得処理フローを示す図である。

【図３９】 この発明の電子倉庫システムの実施の形態
７におけるシステム構成図を示す図である。

【図４０】 この発明の電子倉庫システムの実施の形態
７におけるデータ登録処理フローを示す図である。

【図４１】 この発明の電子倉庫システムの実施の形態
７で作成される復号鍵情報のデータ構造を示す図であ
る。

【図４２】 この発明の電子倉庫システムの実施の形態
７におけるデータ取得処理フローを示す図である。

【図４３】 この発明の電子倉庫システムのユーザ開示
認可要求／ユーザ開示認可結果のデータ構造を示す図で
ある。

【図４４】 この発明の電子倉庫システムの実施の形態
６、７における返却鍵情報のデータ構造を示す図であ
る。

【図４５】 従来例を示す図である。

【図４６】 従来例の登録処理／文書取得処理の処理フ
ローを示す図である。

【符号の説明】

１ ユーザモジュール、２ 倉庫サーバモジュール、３
鍵回復モジュール、１１ アクセス要求部、１２ 暗
号処理部、１２ａ 鍵抽出条件作成部１３ 条件入力
部、１３ｂ 開示条件変更権限設定部、１４ ユーザ情
報入力部、１５開示許可要求部、１６ 開示認可要求処
理部、１７ 開示認可証発行部、１８復号鍵構築処理
部、２０ サーバ情報記憶部、２１ データ（倉庫管理
情報）管理部、２２ 暗号化文書処理部、２３ 開示条
件処理部、２３ｃ 鍵抽出情報作成部、２３ｄ 鍵抽出
許可証発行部、２３ｅ 開示許可証検証部、２４ アク
セス要求処理部、２５ 復号鍵要求部、２５ａ 返却鍵
管理部、２６ ユーザ情報処理部、２７ 鍵回復モジュ
ール登録部、２８ 共有型復号鍵要求部、２９ 開示認
可要求部、３０ センタ情報記憶部、３１ 復号鍵要求
処理部、３２ 鍵抽出条件判定部、３２ａ 鍵抽出許可
証検証部、３３ 鍵抽出部、３４ 倉庫サーバモジュー
ル登録部、３５ センタ情報管理部、３６ 、４１ 開
示許可要求処理部、４２ 開示許可証発行部、５１ 倉
庫サーバ情報登録、５２ 鍵回復センタ情報登録、６１
ユーザ情報、７０ ユーザ情報記憶部、８１ ユーザ
登録要求、８２ ユーザ登録結果、１００ 復号鍵情
報、１１１ データ登録要求、１１２ データ登録結
果、１１３ 預り証受領通知、１４１ データ検索要
求、１４２ データ検索結果、１４３ データ転送要
求、１４４ データ転送結果、１６１ データ削除要
求、１６２ データ削除結果、１８１ データ照会要
求、１８２ データ照会結果、１８３ 照会情報要求、
１８４ 照会情報結果、２１１データ取得要求、２１２
データ取得結果、２１３ 鍵回復要求、２１４ 鍵回
復結果、２２１ 鍵回復要求管理情報、２３１ 暗号化
返却鍵情報、２６１開示条件取得要求、２６２ 開示条
件取得結果、２６３ 開示条件変更要求、２６４ 開示
条件変更結果、３２１ 認可型鍵回復要求、３２２ 認
可型鍵回復結果、３５１ 開示許可要求、３５２ 開示
許可結果、３５３ 開示許可型データ取得要求、３５４
開示許可型データ取得結果、３７１，４１１ 復号鍵
断片回復情報、４３１ ユーザ開示認可要求、４３２
ユーザ開示認可結果、４３３共有型鍵回復要求、４３４
共有型鍵回復結果、４４１ 暗号化返却鍵断片情報。

フロントページの続き Ｆターム(参考） 5B017 AA01 BA07 CA16 5B049 AA05 BB26 CC27 DD05 EE03 EE05 FF09 GG04 GG07 GG10 5B082 EA11 GA11

Claims (21)

【特許請求の範囲】
1. 【請求項１】 所定の暗号鍵でそれぞれ暗号化された１
   つ以上の暗号化文書と各暗号化文書に関する管理情報で
   ある暗号化文書管理情報とをそれぞれ対応させて保持す
   る倉庫サーバモジュールと上記倉庫サーバモジュールが
   保持する上記暗号化文書を利用するサービスを上記倉庫
   サーバモジュールに要求するユーザモジュールとを有す
   る電子倉庫システムであって、 上記倉庫サーバモジュールは、上記暗号化文書を開示す
   る開示条件を上記暗号化文書管理情報として保持し、上
   記ユーザモジュールが要求する上記暗号化文書を利用す
   るサービスを上記開示条件に基づいて提供する開示条件
   処理部を有することを特徴とする電子倉庫システム。
2. 【請求項２】 上記ユーザモジュールは、文書を入力し
   て入力した文書を暗号化して暗号化文書を出力する暗号
   処理部と上記暗号処理部が出力する暗号化文書を開示す
   る開示条件を入力して設定する条件入力部とを備え、 上記倉庫サーバモジュールは、上記条件処理部が設定す
   る開示条件を上記暗号処理部が出力する暗号化文書と対
   応させて保持することを特徴とする請求項１記載の電子
   倉庫システム。
3. 【請求項３】 上記倉庫サーバモジュールは、上記暗号
   化文書管理情報として上記暗号化文書を復号する復号鍵
   を抽出するための復号鍵情報を保持し、 上記電子倉庫システムは、上記復号鍵情報を用いて上記
   復号鍵を抽出する鍵抽出部を備えた鍵回復モジュールを
   有することを特徴とする請求項１、２いずれかに記載の
   電子倉庫システム。
4. 【請求項４】 上記開示条件は上記電子倉庫システムを
   利用するユーザの情報であるユーザ情報を開示条件の要
   素とすることを特徴とする請求項１〜３いずれかに記載
   の電子倉庫システム。
5. 【請求項５】 上記開示条件は上記電子倉庫システムを
   利用するユーザが入力するパスワードであることを特徴
   とする請求項１〜３いずれかに記載の電子倉庫システ
   ム。
6. 【請求項６】 上記開示条件は上記暗号化文書を開示す
   る開示期間であることを特徴とする請求項１〜３いずれ
   かに記載の電子倉庫システム。
7. 【請求項７】 上記電子倉庫システムは、複数のユーザ
   により１つの暗号化文書を共有可能であり、 上記開示条件処理部は、該暗号化文書の開示を許可する
   開示許可を上記複数のユーザから取得していることを上
   記開示条件として開示の可否を判定することを特徴とす
   る請求項１〜３いずれかに記載の電子倉庫システム。
8. 【請求項８】 上記電子倉庫システムは、さらに、暗号
   化文書の開示を許可する開示許可証を発行する開示許可
   証発行部を備えた開示許可モジュールを有し、 上記開示条件処理部は、上記開示許可証の提示を上記開
   示条件として開示の可否を判定することを特徴とする請
   求項１〜３いずれかに記載の電子倉庫システム。
9. 【請求項９】 上記鍵回復モジュールは、さらに、上記
   復号鍵の抽出の可否を判定する鍵抽出条件判定部を備え
   たことを特徴とする請求項３に記載の電子倉庫システ
   ム。
10. 【請求項１０】 上記鍵抽出条件判定部は、ユーザの属
    性の照合を行うことにより鍵抽出可否の判定を行うこと
    を特徴とする請求項９に記載の電子倉庫システム。
11. 【請求項１１】 上記鍵抽出条件判定部は、パスワード
    の照合を行うことにより鍵抽出可否の判定を行うことを
    特徴とする請求項９に記載の電子倉庫システム。
12. 【請求項１２】 上記鍵抽出条件判定部は、開示期間の
    検証を行うことにより鍵抽出可否の判定を行うことを特
    徴とする請求項９に記載の電子倉庫システム。
13. 【請求項１３】 上記鍵抽出条件判定部は、倉庫サーバ
    モジュールが発行した鍵回復許可証を提示することによ
    り鍵抽出可否の判定を行うことを特徴とする請求項９に
    記載の電子倉庫システム。
14. 【請求項１４】 上記倉庫サーバモジュールは、上記開
    示条件から鍵抽出情報を生成する鍵抽出情報作成部を備
    えるとともに、上記鍵抽出条件判定部は、上記鍵抽出情
    報作成部により生成された鍵抽出情報を用いて鍵抽出可
    否の判定を行うことを特徴とする請求項９に記載の電子
    倉庫システム。
15. 【請求項１５】 上記電子倉庫システムは、暗号化文書
    の登録サービスと削除サービスと変更サービスと照会サ
    ービスと検索サービスと取得サービスとの少なくともい
    ずれか１つのサービスをユーザに提供することを特徴と
    する請求項１〜１４いずれかに記載の電子倉庫システ
    ム。
16. 【請求項１６】 上記電子倉庫システムは、暗号化文書
    の開示条件を変更する権限である開示条件変更権限をユ
    ーザに設定する開示条件変更権限設定部とユーザに上記
    開示条件変更権限があるかどうかを検証する開示条件変
    更権限検証部とを備え、上記開示条件変更権限検証部に
    より開示条件変更権限があることが検証されたユーザに
    開示条件を変更させることを特徴とする請求項１〜１５
    いずれかに記載の電子倉庫システム。
17. 【請求項１７】 上記電子倉庫システムは、暗号化文書
    と復号鍵情報の少なくともいずれかに対して変更及び削
    除のいずれかを行なう権限をユーザに設定する機能を持
    つことを特徴とする請求項１〜１６いずれかに記載の電
    子倉庫システム。
18. 【請求項１８】 上記電子倉庫システムは、上記復号鍵
    を複数の断片に分割して分割されたそれぞれの復号鍵断
    片に関する復号鍵情報により管理し、各復号鍵断片を回
    復する複数の鍵回復モジュールを備えることを特徴とす
    る請求項３に記載の電子倉庫システム。
19. 【請求項１９】 暗号化された文書と該暗号化された文
    書を復号するための復号鍵に関する復号鍵情報とを保管
    用記憶部に保管する倉庫サーバモジュールを備えた電子
    倉庫システムの管理方法において、以下の工程を有する
    ことを特徴とする電子倉庫システムの管理方法 （ａ）暗号化する文書を識別するための暗号化文書識別
    情報を指定し、上記文書を開示するための開示条件と復
    号鍵情報から復号鍵を抽出する際の鍵抽出条件との少な
    くともいずれか１つの条件を条件記憶部に設定する文書
    識別情報指定工程、（ｂ）上記文書識別情報指定工程で
    指定された文書をユーザ情報記憶部から取得し暗号化し
    て暗号化文書としユーザ情報記憶部に記憶する暗号化工
    程、（ｃ）上記暗号化工程で暗号化されユーザ情報記憶
    部に記憶される暗号化文書を復号するための復号鍵情報
    を上記文書識別情報指定工程で条件記憶部に設定された
    条件を用いて生成し復号鍵情報記憶部に記憶する復号鍵
    情報生成工程、（ｄ）上記暗号化工程でユーザ情報記憶
    部に記憶された暗号化文書と上記復号鍵情報生成工程で
    復号鍵情報記憶部に記憶された復号鍵情報との登録を要
    求する登録要求を作成して送信用登録要求記憶部に記憶
    し、倉庫サーバモジュールに送信する登録要求送信工
    程、（ｅ）上記送信用登録要求記憶部に記憶された登録
    要求をもとに預り証検証情報を作成し預り証検証情報記
    憶部に記憶する預り証検証情報作成工程、（ｆ）上記登
    録要求送信工程で送信された上記登録要求を受信して受
    信用登録要求記憶部に記憶し、記憶した登録要求から開
    示条件と暗号化文書と復号鍵情報とを抽出し抽出済登録
    要求記憶部に記憶する登録要求解析工程、（ｇ）上記登
    録要求解析工程で抽出済登録要求記憶部に記憶した開示
    条件と暗号化文書と復号鍵情報とを保存用記憶部に登録
    する登録工程、（ｈ）上記登録工程による登録の完了
    後、上記受信用登録要求記憶部に記憶した登録要求をも
    とに預り証を作成して預り証記憶部に記憶し、記憶した
    預り証を用いて登録結果を作成して返送用登録結果記憶
    部に記憶し記憶した登録結果を返送する登録結果返送工
    程、（ｉ）上記登録結果返送工程で返送された登録結果
    を受信して受信用登録結果記憶部に記憶し記憶した登録
    結果から預り証を抽出し抽出済預り証記憶部に記憶する
    登録結果解析工程、（ｊ）上記抽出済預り証記憶部に記
    憶された預り証と上記預り証検証情報記憶部に記憶され
    た預り証検証情報との内容比較を行うことによって預り
    証の検証を行い検証結果を検証結果記憶部に記憶する預
    り証検証工程、（ｋ）上記検証結果記憶部に記憶された
    検証結果を判定し検証結果が正当であった場合に、預り
    証受領通知を作成し預り証受領通知記憶部に記憶し倉庫
    サーバモジュールに送信する受領通知送信工程、（ｌ）
    上記受領通知送信工程で送信された預り証受領通知を受
    信する受領通知受信工程。
20. 【請求項２０】 暗号化された文書と該暗号化された文
    書を復号するための復号鍵に関する復号鍵情報とを保管
    用記憶部に保管する倉庫サーバモジュールと上記復号鍵
    情報を用いて鍵回復を行なう鍵回復モジュールとを備え
    た電子倉庫システムの管理方法において、以下の工程を
    有することを特徴とする電子倉庫システムの管理方法 （ａ）暗号化文書を取得するための取得要求から該取得
    要求を発生させた取得要求者を識別するための取得要求
    者識別情報と取得先の倉庫サーバを識別するための取得
    先倉庫サーバ識別情報と暗号化文書を識別するための暗
    号化文書識別情報と開示情報とを抽出し抽出済取得要求
    記憶部に記憶する取得要求解析工程、（ｂ）上記抽出済
    取得要求記憶部に記憶された暗号化文書識別情報を用い
    て暗号化文書に対する開示条件を保管用記憶部から検索
    して取得し、取得した開示条件と上記抽出済取得要求記
    憶部に記憶された開示情報とが適合しているかを検証し
    検証結果を開示条件検証結果記憶部に記憶する開示情報
    検証工程、（ｃ）上記開示条件検証結果記憶部に記憶さ
    れた検証結果が上記開示情報が上記開示条件に適合して
    いることを示している場合に、上記暗号化文書識別情報
    を用いて暗号化文書に対応する鍵抽出条件を暗号化して
    含む復号鍵情報を保管用記憶部から取得し、上記抽出済
    取得要求記憶部に記憶された取得要求者識別情報と取得
    先倉庫サーバ識別情報と暗号化文書識別情報と開示情報
    とからなる鍵抽出情報と上記取得した復号鍵情報とを用
    いて復号鍵の回復を要求する鍵回復要求を作成して送信
    用鍵回復要求記憶部に記憶して鍵回復モジュールへ送信
    する鍵回復要求送信工程、（ｄ）上記鍵回復要求を受信
    し受信用鍵回復要求記憶部に記憶し、記憶した鍵回復要
    求から上記暗号化された鍵抽出条件を含む復号鍵情報と
    上記鍵抽出情報とを抽出し抽出済鍵回復要求記憶部に記
    憶する鍵回復要求解析工程、（ｅ）上記抽出済鍵回復要
    求記憶部に記憶された復号鍵情報を復号して鍵抽出条件
    を取得し、上記抽出済鍵回復要求記憶部に記憶された鍵
    抽出情報との照合を行い鍵抽出情報検証結果を作成して
    鍵抽出情報検証結果記憶部に記憶する鍵抽出条件検証工
    程、（ｆ）上記鍵抽出情報検証結果記憶部に記憶された
    鍵抽出情報検証結果が鍵抽出条件検証工程における照合
    の成功を示している場合、上記抽出済鍵回復要求記憶部
    に記憶された復号鍵情報をもとに返却鍵情報を作成し返
    却鍵情報記憶部に記憶する返却鍵情報作成工程、（ｇ）
    上記返却鍵情報記憶部に記憶された返却鍵情報をもと
    に、鍵回復結果を作成して返送用鍵回復結果記憶部に記
    憶して返送する鍵回復結果返送工程、（ｈ）上記鍵回復
    結果返送工程により返送される上記鍵回復結果を受信し
    て受信用鍵回復結果記憶部に記憶し、記憶した鍵回復結
    果から返却鍵情報を抽出し、抽出した返却鍵情報を返却
    鍵情報記憶部に記憶する鍵回復結果解析工程。
21. 【請求項２１】 所定の暗号鍵でそれぞれ暗号化された
    １つ以上の暗号化文書を各暗号化文書を開示する開示条
    件と各暗号化文書を復号する復号鍵を抽出するための復
    号鍵情報とを含む暗号化文書管理情報とそれぞれ対応さ
    せて保持する倉庫サーバモジュールと上記倉庫サーバモ
    ジュールが保持する上記暗号化文書を利用するサービス
    を上記倉庫サーバモジュールに要求するユーザモジュー
    ルと上記復号鍵情報を用いて上記復号鍵を抽出する鍵抽
    出部を備えた鍵回復モジュールとを有する電子倉庫シス
    テムであって、上記倉庫サーバモジュールは、上記ユー
    ザモジュールが要求する上記暗号化文書を利用するサー
    ビスを上記開示条件に基づいて提供する開示条件処理部
    を有することを特徴とする電子倉庫システム。