JP2002278970A - 文書管理システム - Google Patents

Abstract

(57)【要約】 【課題】 外部サーバー利用する文書管理システムの機
密性の向上。サーバーからのファイルやバックアップの
流出によっても、文書の機密性は保存する。全文索引情
報も保護する。 【解決手段】 電子文書の保管、書誌検索、全文検索、
閲覧機能を提供する文書管理サーバー５０とクライアン
ト３０から成る文書管理システムであって、クライアン
トで文書とそれに対応する書誌および全文索引情報を同
一または別の方法で暗号化しサーバーに送信し、サーバ
ーでは暗号化された文書と索引情報を登録し、検索時
は、クライアントで検索条件を対応する索引情報と同一
の方法で暗号化してサーバーに送信し、サーバーでは暗
号化された検索条件で暗号化された索引情報を検索し、
閲覧においては暗号化された文書をサーバーからクライ
アントに送信する。全文索引情報をサーバー上に転置索
引方式を用いて保存する。クライアントで索引情報をシ
ーザー暗号化する。

Description

【発明の詳細な説明】

【０００１】

【発明の属する技術分野】本発明は、電子文書管理シス
テム、特に文書の登録および検索に関する。

【０００２】

【従来技術】インターネットを通じてサーバーを提供
し、顧客の文書管理を代行する事業(アプリケーション
・サービス・プロバイダ：ＡＳＰ)においては、顧客の
文書の機密保持が重要である。特に、データベースを構
成する文書記録ファイルや全文索引ファイル、またはそ
れらのバックアップテープ等が何らかの事故で第三者に
流出または漏洩した場合、それらの中に含まれる文書フ
ァイルが不当に開示される可能性がある。これを防ぐた
め、データベース内には文書を暗号化して保存し、デー
タベースファイルやバックアップ流出によっても文書を
読むことができないようにし、機密性を実現する方法が
よく用いられている。

【０００３】特開2000-11001号公報に開示の「検索装置
及びその制御プログラムを記憶した媒体」は、登録され
ている暗号化文書を、あらかじめ用意された暗号化キー
で復号し、平文文書を得る。この平文文書から複数のキ
ーワードを抽出し、これらキーワードを暗号化したもの
をアクセス鍵として、暗号化文書に対して索引を作成す
る。検索時、検索条件を暗号化し、これと一致するアク
セス鍵に対応づけられた文書を検索する。以上により、
検索時、平文文書を参照せずに検索が行える。また、平
文のまま登録される文書との混在も許し、平文文書に対
しては平文の検索条件を使用する。

【０００４】特開平11-282880号公報には、転置索引に
よる全文検索方法が開示されている。

【０００５】特開平10-91641号公報の「コンテンツ検索
方法」は、 オンライン情報配信のように、コンテンツ
を見るために復号キーを購入するシステムにおいて、購
入したいコンテンツを全文検索する方法を提供する。平
文コンテンツ検索用データベースと、暗号コンテンツ配
信用データベースとを分離し、平文の検索条件を平文コ
ンテンツ検索用データベースで検索し、得られた文書番
号によって暗号コンテンツを配信し、必要な復号キーを
発行する。

【０００６】特開平8-314900号公報の「情報処理装置」
は、データベース上の複数の文書に対して、検索条件に
一致する文書のプロテクト設定を一括して行う。

【０００７】国際公開W098/027494号の「電子文書管理
方法」は、著作権で保護された電子文書を送信する際
に、所定の条件を満たすとき表示または複製を許可す
る。

【０００８】

【発明が解決しようとする課題】従来の方法では、文書
を検索するための索引生成やキーワード抽出のため、サ
ーバー内で文書を一度平文に戻す必要があった(たとえ
ば前記特開2000-11001号公報)。また、閲覧時に受信者
を特定して開示するために、一度平文に戻し、受信者の
公開鍵で暗号化し直す方法もとられている(例えば前記
特開平10-91641号公報および特開平08-314900号公報)。
これらの方法では、さらに文書の暗号化キーをデータベ
ースで管理するための機構も必要になる。

【０００９】これら従来の方法では、サーバー内で文書
を平文に戻す仕組になっており、サーバー管理業者の目
から文書を隠すには不十分であった。ＡＳＰ事業者また
はサーバーの信頼性が十分でない場合、サーバー内に平
文文書や暗号化キーが存在することはすなわち、情報漏
洩のリスクを意味する。

【００１０】本発明は、より機密性の高い文書管理機能
を提供することを目的とする。具体的には本発明は、事
故または故意によるサーバーからのファイルやバックア
ップの流出によっても、文書の機密性が保持されること
を可能にする。あわせて、暗号化したままの文書を検索
可能にする。特に全文索引の元となる情報は、文書から
ページレイアウトや書式などの情報を取り除いたもので
あるため、文書の本質的部分を抽出した結果であるとも
言え、情報の機密性は文書本体と同じ重要性を持つ。本
発明は、全文索引情報を保護する方法も提供する。

【００１１】

【課題を解決するための手段】（１）電子文書の登録，
検索および閲覧機能を提供する文書管理サーバー(50)と
クライアント(30)から成る文書管理システムであって、
クライアント(30)で文書とそれに対応する索引情報を同
一または別の方法で暗号化しサーバー(50)に送信し、サ
ーバー(50)では暗号化された文書と索引情報を登録し、
検索においてはクライアント(30)で検索条件を対応する
索引情報と同一の方法で暗号化してサーバー(50)に送信
し、サーバー(50)では暗号化された検索条件で暗号化さ
れた索引情報を検索し、閲覧においては暗号化された文
書をサーバー(50)からクライアント(30)に送信する、文
書管理システム。

【００１２】なお、理解を容易にするためにカッコ内に
は、図面に示し後述する実施例の対応要素または対応事
項の記号を、参考までに付記した。

【００１３】この文書管理システムによれば、文書管理
において文書および索引情報の暗号化および復号はすべ
てクライアント(30)上で行い、平文情報はサーバー(50)
上に一切持たれない。したがって、文書管理サービス業
者に依託して文書管理を行う場合など、サーバー(50)自
体の機密性が信頼できない場合でも、文書の機密性を保
つことができる。また、暗号化キーを管理するための機
構をサーバー(50)に持つ必要がなく、サーバーシステム
が単純になり、クライアント(30)はサーバー(50)に対し
て暗号化手法や暗号化キーを秘匿できる。

【００１４】

【発明の実施の形態】（２）索引情報の暗号化方法とし
て、原索引情報をシーザー暗号化する上記（１）の文書
管理システム。

【００１５】索引情報の暗号化方式としてシーザー暗号
を採用すると、部分文字列を検出するタイプの既存の検
索手法により、暗号化しなかった場合と同一の検索結果
を得ることができる。

【００１６】（３）クライアント(30)から受信した索引
情報を、サーバー(50)上に転置索引方式を用いて保存す
る、上記（１）の文書管理システム。

【００１７】転置索引により、サーバー(50)内には原索
引情報に含まれるnグラム(連続したn文字の部分文字列)
およびその出現位置を組にして記録する。このとき、原
索引情報自体が元の連続した文字列の状態で保持される
ことはない。記録されているnグラムの情報を解析し、
原索引情報を再構成することは技術的には可能である
が、それにはサーバー(50)に記録されたデータ構造の知
識が必要であり、サーバー(50)上のファイルを不正に入
手した第三者による解析は困難である。

【００１８】（４）文書の区分によって、索引情報の暗
号化方式を変化させ、検索時には検索対象となる区分ご
とにそれぞれ検索条件を暗号化する、上記（１）の文書
管理システム。

【００１９】これによれば、数区分の文書が不法に解読
されても、他の区分は解読できないという可能性が高
く、より高い機密性を期待できる。

【００２０】（５）登録においてクライアント(30)は、
文書とそれに対応する書誌および全文索引情報を同一ま
たは別の方法で暗号化し、この暗号化において書誌事項
の種別または全文索引情報であるかに基づいて、索引情
報および検索条件の暗号化方式を変化させ、検索におい
てはクライアント(30)は、検索時には対応する書誌また
は全文索引ごとにそれぞれ検索条件を暗号化する、上記
（１）の文書管理システム。

【００２１】これによれば、すべての情報は解読できな
いという可能性が高く、より高い機密性を期待できる。

【００２２】（６）書誌または全文索引情報のうち、機
密性の低いいくつかまたは全部について暗号化を行わな
い、上記（５）の文書管理システム。

【００２３】これによれば、機密性の低い情報の処理速
度が高く登録データ量が少なく、文書管理が効率的にな
る。

【００２４】（７）電子文書の登録，検索および閲覧機
能を提供する文書管理サーバー(50)とクライアント(30)
から成る文書管理システムであって、クライアント(30)
で文書を暗号化し索引情報とともにサーバー(50)に送信
し、サーバー(50)では暗号化された文書を登録し索引情
報は転置索引方式を用いて保存し、検索においてはクラ
イアント(30)が索引情報をサーバー(50)に送信し、サー
バー(50)では索引情報に基づいて暗号化された文書を検
索し、閲覧においては暗号化された文書をサーバー(50)
からクライアント(30)に送信する、文書管理システム。

【００２５】索引情報を暗号化しないことにより、クラ
イアント(30)での検索条件の暗号化・暗号キー管理を省
くことができ、システムを単純化させることができる。
サーバー(50)上で転置索引によって索引管理する。例え
ばサーバー(50)内には原索引情報に含まれるnグラム(連
続したn文字の部分文字列)およびその出現位置を組にし
て記録する。このとき、原索引情報自体が元の連続した
文字列の状態で保持されることはない。記録されている
nグラムの情報を解析し、原索引情報を再構成すること
は技術的には可能であるが、それにはサーバー(50)に記
録されたデータ構造の知識が必要であり、サーバー(50)
上のファイルを不正に入手した第三者による解析は困難
である。

【００２６】（８） 電子文書の保管、書誌検索、全文
検索、閲覧機能を提供する文書管理サーバー(50)とクラ
イアント(30)から成る文書管理システムであって、クラ
イアント(30)で文書とそれに対応する書誌および全文索
引情報を同一または別の方法で暗号化しサーバー(50)に
送信し、サーバー(50)では暗号化された文書と索引情報
を登録し、検索リクエストにおいてはクライアント(30)
で検索条件を対応する索引情報と同一の方法で暗号化し
てサーバー(50)に送信し、サーバー(50)では暗号化され
た検索条件で暗号化された索引情報を検索し、文書の閲
覧においては暗号化された文書をサーバー(50)からクラ
イアント(30)に送信する、文書管理システム。

【００２７】これによれば、文書および索引情報の暗号
化および復号はすべてクライアント(30)上で行われ、平
文情報はサーバー(50)上に一切持たれない。したがっ
て、文書管理サービス業者に依託して文書管理を行う場
合など、サーバー(50)自体の機密性が信頼できない場合
でも、文書の機密性を保つことができる。また、暗号化
キーを管理するための機構をサーバー(50)に持つ必要が
なく、サーバーシステムが単純になり、クライアント(3
0)はサーバー(50)に対して暗号化手法や暗号化キーを秘
匿できる。

【００２８】（９）クライアント(30)から受信した書誌
または全文索引情報をサーバー(50)上に転置索引方式を
用いて保存する、上記（８）の文書管理システム。

【００２９】すなわち、サーバー(50)上で転置索引によ
って索引管理し、サーバー(50)内には原索引情報に含ま
れるnグラム(連続したn文字の部分文字列)およびその出
現位置を組にして記録する。このとき、原索引情報自体
が元の連続した文字列の状態で保持されることはない。
記録されているnグラムの情報を解析し、原索引情報を
再構成することは技術的には可能であるが、それにはサ
ーバー(50)に記録されたデータ構造の知識が必要であ
り、サーバー(50)上のファイルを不正に入手した第三者
による解析は困難である。

【００３０】（１０）索引情報および検索条件を暗号化
しない、上記（９）の文書管理システム。

【００３１】機密性保持のニーズによっては、この困難
さで十分であると判断される場合もあり、その場合は索
引情報を暗号化しないことにより、クライアント(30)で
の検索条件の暗号化・暗号キー管理を省き、システムを
単純化させることができる。

【００３２】（１１）索引情報および検索条件の暗号化
方法として、原索引情報をシーザー暗号化する上記
（８）の文書管理システム。

【００３３】クライアント(30)での索引情報の暗号化に
際し、シーザー暗号を採用すると、部分文字列を検出す
るタイプの既存の検索手法により、暗号化しなかった場
合と同一の検索結果を得ることができる。

【００３４】（１２）書誌事項の種別または全文索引情
報であるかに基づいて、索引情報および検索条件の暗号
化方式を変化させ、検索時には条件に対応する書誌また
は全文索引ごとにそれぞれ検索条件を暗号化する、上記
（８）の文書管理システム。

【００３５】これによれば、すべての情報は解読できな
いという可能性が高く、より高い機密性を期待できる。

【００３６】（１３）文書の区分によって、索引情報お
よび検索条件の暗号化方式を変化させ、検索時には検索
対象となる区分ごとにそれぞれ検索条件を暗号化する、
上記（８）の文書管理システム。

【００３７】これによれば、数区分の文書が不法に解読
されても、他の区分は解読できないという可能性が高
く、より高い機密性を期待できる。

【００３８】（１４）書誌または全文索引情報のうち、
機密性の低いいくつかまたは全部について暗号化を行わ
ない、上記（８）乃至（１３）のいずれかの文書管理シ
ステム。

【００３９】これによれば、機密性の低い情報の処理速
度が高く登録データ量が少なく、文書管理が効率的にな
る。

【００４０】本発明の他の目的および特徴は図面を参照
した以下の実施例の説明により明らかになろう。

【００４１】

【実施例】図１に、本発明の第１実施例のシステム構成
を示し、図１にシステム要素の機能構成を示す。図１を
参照すると、端末１０の端末用計算機１は、システムの
利用者が文書を作成したり、登録する文書や検索条件を
入力したり、文書検索結果および閲覧結果を出力したり
するために利用する計算機である。一般的には、端末１
０には、要求を入力するためのキーボード５及びポイン
ティングデバイス６（例えばマウス）が装備される。ま
た、端末１０には、結果を表示するためのディスプレイ
７が装備される。これらの入出力装置５−７が端末用計
算機１に接続される。端末用計算機１は、ＣＰＵ２、メ
モリ３およびハードディスク４を備え、文書作成，編集
機能、登録，検索および閲覧にかかわるコマンドおよび
条件の入出力機能、ならびにクライアント３０との通信
機能を実現する各種プログラムがメモリ３またはハード
ディスク４にロードされており、キーボード５及びポイ
ンティングデバイス６からの入力に応じてＣＰＵ２がプ
ログラムに基づいて上記機能を実現する。

【００４２】図２に示すように、端末１０（端末用計算
機１）には、文書入力手段５ｂ，６ａ、書誌情報入力手
段５ａ、文書表示手段７ｂ、検索条件入力手段５ｃ，６
ｂ、および、検索結果表示手段７ｂがある。これらはメ
モリ３またはハードデイスク４のプログラムの、計算機
１のハードウエアを使用する機能である。

【００４３】再度図１を参照すると、文書管理クライア
ント３０は、クライアント用計算機で構成されている。
この文書管理クライアント３０は、端末１０から送信さ
れた要求を受け取り、暗号化および又は復号を行い、文
書管理サーバー５０と通信する。文書管理クライアント
３０（クライアント用計算機）は、ＣＰＵ１２、メモリ
１１およびハードディスク１３を備え、メモリ１１また
はハードディスク１３に格納したプログラムをＣＰＵ１
２が実行する。

【００４４】図２に示すように、文書管理クライアント
（クライアント用計算機）３０には、文書暗号化手段１
９、文書復号手段２２、暗号化キー管理手段１６、全文
索引情報生成手段１７、全文索引情報暗号化手段２０、
書誌索引情報暗号化手段２０および検索条件暗号化手段
２１がある。これらはメモリ１１またはハードデイスク
１３のプログラムの、計算機ハードウエアを使用する機
能である。なお、文書管理クライアント（クライアント
用計算機）３０は、端末（端末用計算機）１０を兼ねる
場合もある。

【００４５】再度図１を参照する。文書管理サーバー５
０（文書管理サーバー用計算機）は、文書管理クライア
ント３０から入力された要求を受け取り、それに応じた
処理を行うための計算機である。クライアント３０とサ
ーバー５０は、通信ネットワーク７０で接続される。サ
ーバー５０（サーバー用計算機）は、ＣＰＵ３１、メモ
リ３２およびハードディスク３３を備え、メモリ３２ま
たはハードディスク３３に格納されたプログラムにした
がって動作する。

【００４６】図２に示すように、文書管理サーバー（サ
ーバー用計算機）５０には、文書登録手段３７、文書閲
覧手段３９、全文検索手段３８および文書データベース
４０がある。これらはメモリ３２またはハードデイスク
３３のプログラムの、計算機ハードウエアを使用する機
能である。また、文書記録ファイル４１、書誌索引ファ
イル４２および全文索引ファイル４３はハードディスク
４０に記録される。ただし、メモリ３２に余裕がある場
合には、これらのファイルの内容の一部または全部がメ
モリ３２に保持される。

【００４７】再度図１を参照する。通信ネットワーク６
０は端末１０及びサーバー５０をつなぐための伝送路で
ある。端末１０とクライアント３０の間では、一般的に
は、ケーブルまたは無線信号で実現され、通信プロトコ
ルには、ＴＣＰ／ＩＰが使われる。クライアント３０と
サーバー５０の間の通信ネットワーク７０はＷＷＷ(Wor
ld Wide Web)であり、インターネットを介した安全な通
信プロトコル（例えばSecure Socket Layer：ＳＳＬに
よる通信）が使われる。

【００４８】次に、図２に示す機能手段，ファイルおよ
びデータ（情報）を説明する。 ・書誌情報入力手段５ａ： 平文文書の検索キーとなる
平文書誌情報をユーザーから受けつける； ・文書入力手段５ｂ，６ａ： 登録すべき平文文書をユ
ーザーから受けつける； ・検索条件入力手段５ｃ，６ｂ： 平文検索条件をユー
ザーから受けつける； ・検索結果表示手段７ａ： 検索結果である文書ｉｄを
ユーザーに表示する； ・文書表示手段７ｂ： 平文文書および平文書誌事項を
ユーザーに表示する。 ・平文書誌情報１１：文書の検索キーとなる書誌情報； ・平文文書１２，１５：ユーザーから入力あるいはユー
ザーに表示すべき文書； ・平文全文索引情報１３： 文書の全文検索の対象とな
る全文情報； ・平文検索条件１４： 文書を検索するために入力され
た条件； ・暗号化キー管理手段１６：平文書誌事項と関連づけ
て、文書暗号化手段１９、索引情報暗号化手段２０、検
索条件暗号化手段２１で使う暗号化キーを管理する； 全文索引情報生成手段１７： 平文文書から、書内の内
容を表現する平文全文索引情報を得る； 書誌情報暗号化手段１８： 平文書誌情報を暗号化し暗
号化書誌情報を得る； ・文書暗号化手段１９： 平文文書を暗号化し、暗号化
文書を得る； 全文索引情報暗号化手段２０： 平文全文索引情報を暗
号化し暗号化全文索引情報を生成する； 検索条件暗号化手段２１： 平文検索条件を、対象とな
る書誌または全文索引と同一の暗号化方式により暗号化
する； ・文書復号手段２２： 暗号化文書を復号し、平文文書
を得る。 ・暗号化書誌情報３１： 平文書誌情報を暗号化したも
の； ・暗号化文書３２，３６： 平文文書を暗号化したも
の； ・暗号化全文索引情報３３： 平文全文索引情報を暗号
化したもの； ・暗号化検索条件３４： 平文検索条件を暗号化したも
の； ・文書ｉｄ ３５： 暗号化文書をデータベース上で一
意に識別する番号； ・文書登録手段３７： 暗号化文書にｉｄを付与し、暗
号化全文索引情報、暗号化書誌情報を関連づけて文書デ
ータベース４０に記録する； ・検索手段３８： 全文索引ファイル４３および書誌索
引ファイル４２を用いて、暗号化検索条件に合致する文
書を検索する； ・文書閲覧手段３９： 文書ｉｄから暗号化文書を得
る； ・文書記録ファイル４１： 暗号化文書を記録する； ・書誌索引ファイル４２： 暗号化書誌索引情報を、検
索に適した形式で保持する； ・全文索引ファイル４３： 暗号化全文索引情報を、検
索に適した形式で保持する。

【００４９】次に、上記文書管理システムでの文書管理
を説明する。簡単のため書誌事項に関する処理の説明は
省いているが、生成されるのではなく入力される他は、
下記の、全文索引情報の処理と同様となる。

【００５０】１．文書の登録 １−１ 端末１０は、文書入力手段５ｂ，６ａにより、
登録すべき平文文書を得る； １−２ クライアント３０は、全文索引情報生成手段１
７により、平文文書から平文全文検索用文字列を得る。
例えばレイアウト情報を含んだワープロ文書から、文書
の内容であるテキスト文字列を取り出す； １−３ クライアント３０は暗号化キー管理手段１６に
より、暗号化キーを得る； １−４ クライアント３０は、平文文書を文書暗号化手
段１９と１−３の暗号化キーを用いて暗号化する； １−５ クライアント３０は、全文索引情報暗号化手段
２０により、全文検索用文字列に、シーザー暗号化を施
す。

【００５１】ここではシーザー暗号化のバリエーション
であるrot１３／４７方式を採用した例を示す。rot１３
／４７方式では、英文字に１３をキーとしたシーザー暗
号化、日本語文字はＪＩＳコード２バイトで表現した上
位、下位バイトにそれぞれ４７をキーとしたシーザー暗
号化を施す。rot１３／４７はネットニューズなどで、
文字列を簡便に暗号化するために用いられる。rot１３
／４７による文字置換は、ＵＮＩＸ（登録商標）上で広
く使われている漢字コード変換ツールｎｋｆで実装され
ている： ・平文全文検索文字列：「置換による暗号化はCaesarが
考えたと言われている」 ・rot13/47暗号化結果：「鬣竏囹唸喙熹莊瘡圉Pnrfne營
蕣嘛嚴囓苡喟喀囎嗷喙侑」。 rot13(13をキーとしたシーザー暗号）： ・平文：「ａｂｃｄｅｆｇｈｉｊｋｌｍｎｏｐｑｒｓｔ
ｕｖｗｘｙｚＡＢＣＤＥＦＧＨＩＪＫＬＭＮＯＰＱＲＳ
ＴＵＶＷＸＹＺ」 ・暗号文：「ｏｐｑｒｓｔｕｖｗｘｙｚａｂｃｄｅｆｇ
ｈｉｊｋｌｍｎＯＰＱＲＳＴＵＶＷＸＹＺＡＢＣＤＥＦ
ＧＨＩＪＫＬＭＮ」。 １−６ クライアント３０は１−４の結果である暗号化
文書と、１−５の結果である暗号化全文索引情報を通信
ネットワークを介してサーバー５０に送信し、文書登録
を依頼する； １−７ サーバー５０は暗号化文書にユニークなｉｄを
付して文書記録ファイル４１に保管し、暗号化全文検索
用文字列によって索引づける。索引は全文索引ファイル
４３に記録され、それらの関係は文書データベース４０
で管理される。

【００５２】２．文書の検索 上記文書を検索条件「暗号化」で検索する例を示す： ２−１ 端末１０は検索条件入力手段５ｃ，６ｂによ
り、検索条件となる文字列を得る。以降これを平文検索
条件と呼ぶ； ２−２ クライアント３０は、検索条件暗号化手段２１
により、１−５と同じ方法で検索条件にrot13/47文字置
換を施し、暗号化検索条件「熹莊瘡」を得る； ２−３ クライアント３０は通信ネットワーク７０を介
して、サーバー５０に暗号化検索条件「熹莊瘡」を送信
し、検索を依頼する； ２−４ サーバー５０は、検索手段３８を用いて文書デ
ータベース４０を参照し、「熹莊瘡」を部分文字列とし
て含む文書を検索する。上記文書の例では、被検索文字
列「鬣竏囹唸喙熹莊瘡圉Ｐｎｒｆｎｅ營蕣嘛嚴囓苡喟喀
囎嗷喙侑」内に含まれる「熹莊瘡」が検出され、この文
書の文書ｉｄが得られる。 ２−５ サーバー５０は、得られた文書ｉｄを、通信ネ
ットワーク７０，６０を介してクライアント３０、さら
に端末１０に返す； ２−６ 端末１０は検索結果表示手段７ｂを用いて検索
結果を表示する。

【００５３】３．文書の閲覧 ３−１ クライアント３０は、閲覧したい文書のｉｄを
通信ネットワーク７０を介してサーバー５０に送信し、
文書閲覧を依頼する； ３−２ サーバー５０は、文書データベース４０から、
文書ｉｄに対応する暗号化文書を得る； ３−３ サーバー５０は、３−２で得られた暗号化文書
を通信ネットワーク７０を介してクライアント３０に返
す； ３−４ クライアント３０は、１−３と同様に暗号化キ
ーを得る； ３−５ クライアント３０は、文書復号手段２２によっ
て３−４の暗号化キーを用いて３−３の暗号文書を復号
し、平文文書を得る； ３−６ クライアント３０は文書表示手段７ｂを用いて
平文文書を表示する。

【００５４】−第１変形例− 第１変形例では、前記実施例の前記１−７において既知
技術、転置索引（例えば特開平１１−２８２８８０号公
報に開示）を用いて、全文検索文字列中の連接２文字
（例：「鬣竏」，「竏囹」，・・・）をその出現位置と
ともに記録する（記録したものを転置索引と呼ぶ）。転
置索引を用いた検索では、検索文字列に含まれる連接２
文字が被検索文字列のどの位置に出現するかを転置索引
によって調べ、その組合せによって文書の合致を判定す
る。

【００５５】−第２変形例− 転置索引を用いる第１変形例においては、元となる被検
索文字列は必要ない。よって第２変形例では、これを記
録しないシステムとした。即ち、上述のように転置索引
を用いる場合は、１−５の全文索引情報の暗号化を割愛
しても、原全文検索文字列はサーバー５０上に存在しな
い。このとき２−２における置換処理を行わないことに
より、２−４は転置索引を用いた既知の検索に帰着す
る。第２変形例はこれを行うシステムである。この第２
変形例の場合、全文索引情報および検索条件は平文であ
るため、サーバー５０／クライアント３０間の通信ネッ
トワークが暗号通信機能を提供していることが望まし
い。

【００５６】なお、サーバー５０上の全文索引ファイル
４３が流出した場合、転置索引にはすべての部分文字列
がその出現位置とともに記録されているため、転置索引
の情報を解析して原全文索引情報を再構成することは理
論的には可能である。このような解析に対しても機密性
を保証する必要がある場合には、第２変形例の処理は適
さないと考えられる。同様に、サーバー５０で索引作成
を処理している間は、サーバー５０のメモリ内に原全文
索引情報が平文で存在することも注意する必要がある。
そこで前記実施例では、１−５で、原索引情報をシーザ
ー暗号化している。

【００５７】−第３変形例− １−４で用いる暗号化方法は、検索対象となる文書の集
合に対し共通でなければならない。これは検索条件の暗
号化方法が一通りであることに由来する。第３変形例で
は、文書の区分（例えば文書を階層化フォルダに分類し
て保管する場合のフォルダ）に対応して暗号化の方法
（例えばシーザー暗号のキー）を変化させる。例えばフ
ォルダＡ以下の文書に対しては暗号化方式ａ、フォルダ
Ｂ以下の文書に対して暗号化方式ｂを施す。このとき、
両フォルダに渡って検索するために、原検索文字列ｋを
方式ａ， ｂでそれぞれ暗号化したｋ＿ａ， ｋ＿ｂを
用いて、以下の検索式で表わされる検索条件を生成す
る： 「フォルダＡ以下にある ａｎｄ ｋ＿ａを含む」 ｏ
ｒ 「フォルダＢ以下にある ａｎｄ ｋ＿ｂを含む」 そして、暗号化キー管理手段１６によってフォルダと暗
号化キーの対応を管理する。

【００５８】

【発明の効果】本発明の文書管理システムによれば、文
書管理において文書および索引情報の暗号化および復号
はすべてクライアント上で行い、平文情報はサーバー上
に一切持たれない。したがって、文書管理サービス業者
に依託して文書管理を行う場合など、サーバー自体の機
密性が信頼できない場合でも、文書の機密性を保つこと
ができる。また、暗号化キーを管理するための機構をサ
ーバーに持つ必要がなく、サーバーシステムが単純にな
り、クライアントはサーバーに対して暗号化手法や暗号
化キーを秘匿できる。

【図面の簡単な説明】

【図１】 本発明の一実施例のシステム構成を示すブロ
ック図である。

【図２】 図１に示す端末１０，クライアント３０およ
びサーバー５０の機能構成を示すブロック図である。

───────────────────────────────────────────────────── フロントページの続き (51)Int.Cl.⁷ 識別記号 ＦＩ テーマコート゛(参考） Ｇ０９Ｃ 1/00 ６６０ Ｇ０９Ｃ 1/00 ６６０Ｄ Ｆターム(参考） 5B017 AA03 BA07 CA15 CA16 5B075 PP23 PQ05 QS20 UU06 5B082 GA11 5J104 AA01 JA03 NA09 PA07

Claims (7)

【特許請求の範囲】
1. 【請求項１】 電子文書の登録，検索および閲覧機能を
   提供する文書管理サーバーとクライアントから成る文書
   管理システムであって、 クライアントで文書とそれに対応する索引情報を同一ま
   たは別の方法で暗号化しサーバーに送信し、サーバーで
   は暗号化された文書と索引情報を登録し、 検索においてはクライアントで検索条件を対応する索引
   情報と同一の方法で暗号化してサーバーに送信し、サー
   バーでは暗号化された検索条件で暗号化された索引情報
   を検索し、 閲覧においては暗号化された文書をサーバーからクライ
   アントに送信する、文書管理システム。
2. 【請求項２】 索引情報の暗号化方法として、原索引情
   報をシーザー暗号化する請求項1の文書管理システム。
3. 【請求項３】 クライアントから受信した索引情報を、
   サーバー上に転置索引方式を用いて保存する、請求項1
   記載の文書管理システム。
4. 【請求項４】 文書の区分によって、索引情報の暗号化
   方式を変化させ、検索時には検索対象となる区分ごとに
   それぞれ検索条件を暗号化する請求項1記載の文書管理
   システム。
5. 【請求項５】登録においてクライアントは、文書とそれ
   に対応する書誌および全文索引情報を同一または別の方
   法で暗号化し、この暗号化において書誌事項の種別また
   は全文索引情報であるかに基づいて、索引情報および検
   索条件の暗号化方式を変化させ；検索においてはクライ
   アントは、検索時には条件に対応する書誌または全文索
   引ごとにそれぞれ検索条件を暗号化する；請求項1記載
   の文書管理システム。
6. 【請求項６】 書誌または全文索引情報のうち、機密性
   の低いいくつかまたは全部について暗号化を行わない請
   求項５に記載の文書管理システム。
7. 【請求項７】 電子文書の登録，検索および閲覧機能を
   提供する文書管理サーバーとクライアントから成る文書
   管理システムであって、 クライアントで文書を暗号化し索引情報とともにサーバ
   ーに送信し、サーバーでは暗号化された文書を登録し索
   引情報は転置索引方式を用いて保存し、 検索においてはクライアントが索引情報をサーバーに送
   信し、サーバーでは索引情報に基づいて暗号化された文
   書を検索し、 閲覧においては暗号化された文書をサーバーからクライ
   アントに送信する、文書管理システム。