JP2008193612A - 文書処理装置およびプログラム - Google Patents

Abstract

【課題】電子文書の所望の部分に対して、機密の程度を設定して内容を秘匿できるシステムを実現する。
【解決手段】領域設定部１１１が処理対象の電子文書内に暗号化対象領域を設定し、開示レベル設定部１１２が暗号化対象領域の開示レベルを設定する。そして、暗号処理部１１３が、開示レベルごとに生成された文書用暗号鍵を用いて、暗号化対象領域を暗号化する。また、暗号処理部１１３は、開示レベルごとに生成された鍵用暗号鍵を用いて、同じ開示レベルの文書用復号鍵を暗号化する。さらに暗号処理部１１３は、鍵用暗号鍵自身よりも下位の開示レベルの文書用復号鍵または鍵用復号鍵を暗号化する。文書合成部１１４は、鍵用暗号鍵で暗号化されたこれらの復号用暗号情報を電子文書に付加する。
【選択図】図２

Description

本発明は、電子文書の暗号化または復号を行う文書処理装置およびこれをコンピュータで実現するプログラムに関する。

文書を他者に提供する場合、文書中の特定の部分に関して、所定の人物には開示しても良いが、他の所定の人物には開示したくないという場合がある。このような場合、一般には、該当する部分を消したり隠したりした文書と残した文書とを作成して配布することが行われる。この種の従来技術として、紙原稿の複写要求時に、原稿に埋め込まれた機密の程度を示す付加情報を抽出し、抽出された機密の程度に応じ暗証番号を入力させ、暗証番号が不正であった場合に複写を禁止する装置が、特許文献１に記載されている。

ところで、今日では、コンピュータを用いて電子文書を作成することが広く行われている。電子文書は、磁気ディスク等の記録媒体に保管されるために紙文書のようにかさばらず、ネットワークを利用して容易に伝達できるため、紙に印刷することなく電子文書のまま他者に提供されることも多い。

特許第３６０７９１５号公報

電子文書を配布する場合にも、文書中に、相手によっては開示したくない部分が存在する場合がある。そこで、電子文書の所望の部分に対して、機密の程度を設定して内容を秘匿できるようにすることが望まれる。

本発明は上記の課題に鑑みてなされ、電子文書の所望の部分に対して、機密の程度を設定して内容を秘匿できるシステムを実現することを目的とする。

上記の目的を達成するため、本発明は次のような文書処理装置として実現される。この装置は、電子文書の複数の部分を、この部分に対して設定された開示基準に応じて、この開示基準ごとに作成された文書用暗号鍵を用いて暗号化する第１の暗号化手段と、文書用暗号鍵で暗号化されたデータを復号するための文書用復号鍵を、開示基準ごとに作成された鍵用暗号鍵のうちの文書用暗号鍵に対応する開示基準の鍵用暗号鍵を用いて暗号化する第２の暗号化手段と、第１の暗号化手段により所定の部分を暗号化された電子文書に、第２の暗号化手段により暗号化された文書用復号鍵を付加して新たな電子文書を生成する文書生成手段とを備える。

より詳細には、開示基準は階層的に設定されており、第２の暗号化手段は、各鍵用暗号鍵を用いて、この鍵用暗号鍵が対応する開示基準およびそれよりも下位の開示基準の各文書用復号鍵を暗号化する。あるいは、第２の暗号化手段は、各鍵用暗号鍵を用いて、この鍵用暗号鍵が対応する開示基準の文書用復号鍵およびそれよりも下位の開示基準の鍵用暗号鍵で暗号化された文書用復号鍵を復号するための鍵用復号鍵を暗号化する。

また、上記の文書処理装置は、電子文書に基づく画像を記録媒体上に形成する画像形成手段をさらに備える構成としても良い。この場合、画像形成手段は、電子文書における暗号化されていない部分の画像と共に、第１の暗号化手段により暗号化されたデータの保存場所を表すコード画像および第２の暗号化手段により暗号化されたデータを表すコード画像を記録媒体上に形成する。

また上記の目的を達成する、他の文書処理装置は、相異なる暗号鍵を用いて暗号化された複数の部分とこの暗号鍵で暗号化されたデータを復号するための鍵であって鍵用暗号鍵を用いて暗号化された復号鍵とを含む電子文書を取得する文書取得手段と、暗号鍵を用いて暗号化されたデータの保存場所を表すコード画像および鍵用暗号鍵を用いて暗号化されたデータを表すコード画像を生成するコード画像生成手段と、電子文書における暗号化されていない部分の画像と共に、コード画像生成手段により生成されたコード画像を記録媒体上に形成する出力手段とを備える。

この文書処理装置は、鍵用暗号鍵を用いて暗号化されたデータを復号するための鍵用復号鍵を取得する鍵取得手段と、この鍵取得手段により取得された鍵用復号鍵を用いて復号鍵を復号する第１の復号手段と、この第１の復号手段により復号された復号鍵を用いてこの復号鍵に対応する暗号鍵で暗号化された電子文書の部分を復号する第２の復号手段とをさらに備える構成としても良い。この場合、出力手段は、第２の復号手段により復号された電子文書の部分に関して、暗号鍵を用いて暗号化されたデータの保存場所を表すコード画像に代えて、復号された部分の画像を記録媒体上に形成する。

さらに本発明は、コンピュータを制御して上記のような文書処理装置として機能させるためのプログラムとしても実現される。このプログラムは、電子文書の複数の部分を、この部分に対して設定された開示基準に応じてこの開示基準ごとに作成された文書用暗号鍵を用いて暗号化する第１の暗号化手段と、文書用暗号鍵で暗号化されたデータを復号するための文書用復号鍵を、開示基準ごとに作成された鍵用暗号鍵のうちの文書用暗号鍵に対応する開示基準の鍵用暗号鍵を用いて暗号化する第２の暗号化手段と、第１の暗号化手段により所定の部分を暗号化された電子文書に、第２の暗号化手段により暗号化された文書用復号鍵を付加して新たな電子文書を生成する文書生成手段として、コンピュータを機能させる。

ここで、開示基準は階層的に設定されているものとする。この場合、このプログラムは、第２の暗号化手段の機能として、各鍵用暗号鍵を用いて、この鍵用暗号鍵が対応する開示基準およびそれよりも下位の開示基準の各文書用復号鍵を暗号化する処理をコンピュータに実行させる。あるいは、このプログラムは、第２の暗号化手段の機能として、各鍵用暗号鍵を用いて、この鍵用暗号鍵が対応する開示基準の文書用復号鍵およびそれよりも下位の開示基準の鍵用暗号鍵で暗号化された文書用復号鍵を復号するための鍵用復号鍵を暗号化する処理をコンピュータに実行させる。

請求項１に係る発明によれば、電子文書の所望の部分に対して設定された開示基準ごとに異なる暗号鍵を用いて暗号化することにより、個々の部分に対して機密の程度を設定して内容を秘匿することができる。
請求項２に係る発明によれば、階層的に設定された開示基準に対応して各文書用復号鍵の暗号化を行うことができる。
請求項３に係る発明によれば、階層的に設定された開示基準に対応して各文書用復号鍵の暗号化を行うことができる。
請求項４に係る発明によれば、暗号処理済みの文書が印刷された場合でも、印刷された文書から暗号化された内容を復元することができる。
請求項５に係る発明によれば、電子文書の所望の部分に対して機密の程度を設定して内容を秘匿することができ、かつ印刷された暗号処理済みの文書からも暗号化された内容を復元することができる。
請求項６に係る発明によれば、印刷された暗号処理済みの文書から得られる情報に基づいて暗号化された情報を取得し、暗号化された内容を復元することができる。
請求項７に係る発明によれば、電子文書の所望の部分に対して機密の程度を設定して内容を秘匿可能とするシステムをコンピュータにより実現できる。
請求項８に係る発明によれば、階層的に設定された開示基準に対応して各文書用復号鍵の暗号化を行うことができる。
請求項９に係る発明によれば、階層的に設定された開示基準に対応して各文書用復号鍵の暗号化を行うことができる。

以下、添付図面を参照して、本発明を実施するための最良の形態（以下、実施形態）について詳細に説明する。
本発明は種々のシステム構成を取り得るが、本実施形態では電子文書を暗号化して出力する文書処理装置と、暗号化された電子文書を復号して出力する文書処理装置とに分けて説明する。以下の説明において、両者を特に区別する必要がないときは単に文書処理装置と呼ぶが、両者を区別する必要がある時は前者を暗号化装置、後者を復号装置と呼ぶ。

図１は、本実施形態の文書処理装置のハードウェア構成例を示す図である。
図１に示すように、本実施形態の文書処理装置１０は、演算処理を行うＣＰＵ（Ｃｅｎｔｒａｌ Ｐｒｏｃｅｓｓｉｎｇ Ｕｎｉｔ）１１と、記憶手段であるメモリ１２および磁気ディスク装置１３と、出力手段であるディスプレイ装置１４および印刷機構１５とを備える。また、外部装置とデータ交換を行うためのネットワークインターフェイス１６を備える。さらに入力手段として、キーボードやマウス、タッチパネル等の入力デバイス１７および紙文書を読み取るためのスキャナ１８を備える。

ＣＰＵ１１は、プログラム制御により各種の演算処理を実行する。本実施形態では、後述する電子文書の加工や暗号鍵および復号鍵の生成等の処理を実行する。ＣＰＵ１１を制御するためのプログラムは、例えばメモリ１２に保持されており、ＣＰＵ１１はメモリ１２からプログラムを読み出して実行する。

メモリ１２としては、ＲＡＭ（Ｒａｎｄｏｍ Ａｃｃｅｓｓ Ｍｅｍｏｒｙ）等の揮発性メモリとＲＯＭ（Ｒｅａｄ Ｏｎｌｙ Ｍｅｍｏｒｙ）等の不揮発性メモリとが用意される。上述のプログラムは不揮発性メモリに保持される。揮発性メモリは、ＣＰＵ１１が処理の実行に際して演算結果を一時的に保存するために用いられる。

磁気ディスク装置１３は、各種の設定情報やＣＰＵ１１による処理結果、処理対象である電子文書等を保持する。また、メモリ１２の記憶内容を退避するためにも用いられる。上述のプログラムを磁気ディスク装置１３に保持しておき、装置の起動時に磁気ディスク装置１３からメモリ１２へ読み込んで、ＣＰＵ１１がメモリ１２から読み出すようにしても良い。

ディスプレイ装置１４は、液晶ディスプレイ（ＬＣＤ）等で実現され、各種の処理命令や設定情報等の入力操作画面を表示したり、電子文書の画像を表示出力したりする。
印刷機構１５は、印刷対象である画像等を用紙上に形成して出力するための構成であり、印刷対象の画像等をトナー等の画像形成材によって用紙上に形成する画像形成手段と、用紙を搬送して画像形成後に排出する搬送手段とを備える。画像形成手段による画像形成の方式は、電子写真方式やインクジェット方式、静電誘導方式等、どのような方式であっても良い。

ネットワークインターフェイス１６は、ＬＡＮ（Ｌｏｃａｌ Ａｒｅａ Ｎｅｔｗｏｒｋ）やインターネット等のネットワークに接続し、外部装置から処理対象の電子文書や処理要求、処理に必要な情報等を取得したり、処理済みの電子文書を送信したりする。
入力デバイス１７は、各種の処理命令や設定情報等の入力のためにユーザにより操作される。
スキャナ１８は、用紙等の記録媒体に形成された文書（紙原稿）を光学的に読み取る。

なお、図１に示す構成は、本実施形態の文書処理装置を実現するのに好適なハードウェア構成の例を示すに過ぎず、本実施形態を図１に示す構成に限定するものではない。例えば、印刷機構１５を内蔵せず、外部のプリンタ装置に電子文書の画像を送信して印刷出力する構成としても良いし、処理対象として電子文書の取得のみを行い紙原稿の読み込みを行わない場合は、スキャナ１８を設けない構成としても良い。

図２は、本実施形態の文書処理装置１０のうち、電子文書を暗号化して出力する暗号化装置の機能構成を示す図である。
図２に示すように、本実施形態の暗号化装置１００は、文書生成部１１０と、暗号鍵生成部１２０と、表示制御部１３０と、印刷制御部１４０とを備える。これらの機能は、例えば暗号化装置１００が図１に示したハードウェア構成を有する場合、プログラム制御されたＣＰＵ１１およびメモリ１２により実現される。

文書生成部１１０は、領域設定部１１１と、開示レベル設定部１１２と、暗号処理部１１３と、文書合成部１１４とを備える。
領域設定部１１１は、処理対象の電子文書を取得し、暗号化する領域（以下、暗号化対象領域）を設定する。電子文書は、例えば図１の磁気ディスク装置１３に保持しておき、文書生成部１１０が処理を行う際に読み出すようにしても良いし、外部の文書サーバに保持しておき、ネットワークインターフェイス１６を介して取得するようにしても良い。本実施形態では、電子文書の形式をＸＭＬ文書とする。ＸＭＬ文書に対しては、Ｗ３Ｃ（Ｗｏｒｌｄ Ｗｉｄｅ Ｗｅｂ Ｃｏｎｓｏｒｔｉｕｍ）により勧告されているＸＭＬ暗号を用いることにより文書内の部分（要素やコンテンツ）を特定し、その部分のみを暗号化することができる。なお、ＸＭＬ文書以外の文書であっても、文書内の特定部分を指定して暗号化できる文書であれば、本実施形態の処理対象として良い。領域設定部１１１による暗号化対象領域の設定方法の詳細については後述する。

開示レベル設定部１１２は、領域設定部１１１により設定された暗号化対象領域に対して開示レベルを設定する。開示レベルは、その暗号化対象領域内の情報をいずれの閲覧者に対して開示するかを指定する基準であり、機密の程度を表す。この開示レベルごとに相異なる暗号鍵が用意される。

暗号処理部１１３は、領域設定部１１１により設定された暗号化対象領域の内容（要素やコンテンツ）に対して、開示レベル設定部１１２により設定された開示レベルに応じて用意された暗号鍵（文書用暗号鍵）を用いて暗号化処理を行う。また、暗号化された暗号化対象領域の内容を復号するための復号鍵（文書用復号鍵）を、同じく開示レベルごとに用意された暗号鍵（鍵用暗号鍵）を用いて暗号化処理を行う。詳しくは後述するが、本実施形態では開示レベルが階層的に設定される。そして、暗号処理部１１３は、開示レベルに応じて文書用復号鍵と共に、その開示レベルよりも下位の開示レベルの情報を復号するための情報も暗号化する。以下、この文書用復号鍵および下位の開示レベルの情報を復号するための情報を合わせて復号用暗号情報と呼ぶ。

文書合成部１１４は、暗号処理部１１３により暗号化された復号用暗号情報を電子文書に付加する。この暗号化された復号用暗号情報のデータ構成の詳細については後述する。文書合成部１１４により生成された電子文書（暗号化データを含む電子文書）は、磁気ディスク装置１３や外部の文書サーバ等の記憶手段に保存される。

暗号鍵生成部１２０は、暗号処理部１１３による暗号化処理に用いられる暗号鍵およびこれに対応する復号鍵を生成する。具体的には、暗号化対象領域のデータの暗号化に用いられる文書用暗号鍵およびこの文書用暗号鍵で暗号化されたデータの復号に用いられる文書用復号鍵と、この文書用復号鍵の暗号化に用いられる鍵用暗号鍵および鍵用暗号鍵で暗号化されたデータの復号に用いられる鍵用復号鍵とを生成する。上述したように本実施形態では、個々の暗号化対象領域に対して個別に設定された開示レベルに応じて、相異なる暗号鍵を用いた暗号化が行われる。したがって、文書用暗号鍵、文書用復号鍵、鍵用暗号鍵および鍵用復号鍵の各々が、開示レベルに応じて用意される。以下、同じ開示レベルに対して生成された文書用暗号鍵、文書用復号鍵、鍵用暗号鍵および鍵用復号鍵を鍵セットと呼ぶ。

表示制御部１３０は、文書生成部１１０による暗号処理済みの電子文書をその保存場所から読み出し、例えば図１のディスプレイ装置１４に表示する。電子文書の暗号化対象領域は、暗号処理部１１３により暗号化されているため、ディスプレイ表示された画像には意味のある情報は表示されない。

印刷制御部１４０は、鍵コード生成部１４１と、データ場所コード生成部１４２と、コード配置決定部１４３と、文書画像生成部１４４とを備える。
鍵コード生成部１４１は、文書合成部１１４により処理対象の電子文書に付加された復号用暗号情報（暗号化対象領域の暗号化に使用されている文書用暗号鍵に対応する文書用復号鍵および下位の開示レベルの情報を復号するための情報）を表すコード画像を生成する。また、鍵コード生成部１４１は、暗号化された復号用暗号情報そのものと共に、これが鍵用復号鍵であることを示す情報のコード画像も生成する。コード画像としては、デンソーウェーブ社のＱＲコード（Ｑｕｉｃｋ Ｒｅｓｐｏｎｓｅ ｃｏｄｅ）等の既存のコード画像を用いて良い。

データ場所コード生成部１４２は、電子文書における各暗号化対象領域の暗号化されたデータの保存場所を表すコード画像を生成する。データの保存場所は、データが磁気ディスク装置１３に保存されているならば、そのアドレスで表され、データが外部の文書サーバに保存されているならば、ＵＲＬ等で表され、データが文書内に包含して保存されているならば、データそのものの内容で表される。コード画像としては、鍵コード生成部１４１により生成されるコード画像と同様に、既存のコード画像を用いて良い。

コード配置決定部１４３は、鍵コード生成部１４１およびデータ場所コード生成部１４２により生成されたコード画像の配置位置を決定する。鍵コード生成部１４１により生成されたコード画像（暗号化された復号用暗号情報および鍵用復号鍵であることを表す情報）は、電子文書の余白等、電子文書本来の内容と重ならない部分に配置される。データ場所コード生成部１４２により生成されたコード画像（暗号化対象領域の暗号化されたデータの保存場所を表す情報）は、鍵コード生成部１４１により生成されたコード画像と共に電子文書の余白等に配置しても良いし、対応する暗号化対象領域に配置しても良い。

文書画像生成部１４４は、文書生成部１１０による暗号処理済みの電子文書をその保存場所から読み出し、読み出した電子文書に、コード配置決定部１４３により配置位置が決定されたコード画像を配置して、この電子文書の画像を生成する。生成された画像は、例えば図１の印刷機構１５に送られ、用紙等の記録媒体に印刷出力される。

次に、本実施形態の暗号化装置１００による電子文書の暗号化処理の流れを説明する。
図３は、暗号化装置１００が電子文書を暗号化する手順を示すフローチャートである。
図３を参照すると、まず文書生成部１１０の領域設定部１１１が、処理対象の電子文書を取得して例えば図１のディスプレイ装置１４に表示する（ステップ３０１）。そして、ユーザによる操作にしたがって、暗号化対象領域を設定する（ステップ３０２）。暗号化対象領域の設定手順の詳細は後述する。

次に、開示レベル設定部１１２が、ユーザによる入力を受け付けて、ステップ３０２で設定された暗号化対象領域に順次着目して開示レベルを設定する（ステップ３０３）。そして、開示レベル設定部１１２は、着目して開示レベルが設定された暗号化対象領域に関して、設定された開示レベルの鍵セットが生成されているか否かを判断する（ステップ３０４）。鍵セットが生成されていなければ、開示レベル設定部１１２は、暗号鍵生成部１２０に対してその開示レベルの鍵セットの生成を依頼する（ステップ３０５）。ステップ３０４で鍵セットが生成されていた場合、または暗号鍵生成部１２０により鍵セットが生成された後、開示レベル設定部１１２は、未処理の暗号化対象領域が存在するか否かを調べる（ステップ３０６）。そして、未処理の暗号化対象領域が存在するならばステップ３０３に戻って処理を繰り返し、未処理の暗号化対象領域がなくなれば、次のステップへ移行する。

次に、暗号処理部１１３が、電子文書に設定された各暗号化対象領域を、各領域に対して設定された開示レベルに応じて、文書用暗号鍵を用いて暗号化する（ステップ３０７）。また、ステップ３０７の暗号化に用いられた文書用暗号鍵に対応する文書用復号鍵を、対応する鍵用暗号鍵を用いて暗号化する（ステップ３０８）。このとき、その開示レベルよりも下位の情報を復号するための情報も共に暗号化される。文書用復号鍵の暗号化手順の詳細は後述する。

この後、文書合成部１１４が、暗号化対象領域に対して暗号化がなされた電子文書に、暗号処理部１１３により生成された、暗号化された復号用暗号情報を付加する（ステップ３０９）。そして、文書合成部１１４は、生成された暗号処理済みの電子文書を、例えば図１の磁気ディスク装置１３や外部の文書サーバ等の記憶手段に保存する（ステップ３１０）。
以上の暗号化処理の流れとは別に、暗号鍵生成部１２０により生成された鍵セットのうちの鍵用復号鍵が、電子文書の閲覧者に対して配布される。閲覧者には暗号化された情報の開示レベルに対応するアクセスレベルが指定され、各閲覧者のアクセスレベルに応じて対応する開示レベルの鍵用復号鍵が配布される。これにより、各閲覧者は、自身のアクセスレベルに対応する開示レベルの暗号化された情報を復号して閲覧できることとなる。暗号化された情報を復号するための構成および復号方法については後述する。

ここで、ステップ３０２で説明した、領域設定部１１１による暗号化対象領域の設定方法について詳細に説明する。
図４は、処理対象である電子文書の例を示す図、図５は、図４の電子文書に暗号化対象領域および開示レベルを設定し、暗号化した様子を示す図である。
図４に示す電子文書には、仕入れ商品の一覧表が記載され、個々の商品について、商品名、仕入れ先、仕入れ価格、販売価格の４項目の情報が記載されている。図５を参照すると、この一覧表のうち、仕入れ先を開示レベル１、仕入れ価格を開示レベル２として暗号化を行っている。

図６は、領域設定部１１１による暗号化対象領域の設定手順を説明するフローチャートである。
図６のフローチャートに示すように、領域設定部１１１は、ユーザによりなされた領域選択する操作を受け付けると（ステップ６０１）、選択された領域の電子文書における座標を計算する（ステップ６０２）。領域選択は、例えば、図１に示したディスプレイ装置１４に表示された電子文書の画像に対して、マウス等の入力デバイス１７を用いて所望の領域を囲むことによって行われる。電子文書における座標は、ディスプレイ装置１４に電子文書の画像が表示される際に設定される座標である。

次に領域設定部１１１は、選択された領域内にオブジェクトが存在しているか否かを判断する（ステップ６０３）。オブジェクトが存在していない場合は、暗号化の対象が存在しないため、処理を終了する。一方、オブジェクトが存在している場合、次に領域設定部１１１は、そのオブジェクトが選択された領域内に完全に含まれているか否かを判断する（ステップ６０４）。オブジェクトが選択された領域内に完全に含まれている場合は、そのオブジェクト全体が選択されたとして暗号化対象領域を設定する（ステップ６０５）。

オブジェクトが選択された領域内に完全に含まれていない場合、次に領域設定部１１１は、オブジェクトの種類を判別する（ステップ６０６）。ここでは、例えばテキストオブジェクト、イメージオブジェクト、ベクターオブジェクト等に分類される。

次に領域設定部１１１は、選択された領域内と領域外の部分でオブジェクトが分割可能か否かを判断する（ステップ６０７）。そして、分割不可能なオブジェクトであれば、そのオブジェクト全体が選択されたとして暗号化対象領域を設定する（ステップ６０５）。一方、分割可能なオブジェクトである場合、オブジェクトを分割し、選択された領域内の部分（オブジェクト）のみが選択されたとして暗号化対象領域を設定する（ステップ６０８）。

図７は、本実施形態におけるオブジェクトの分割方法を説明する図である。図７（Ａ）は分割前の状態、図７（Ｂ）は分割後の状態が示されている。
図７（Ａ）には、テキストオブジェクト、イメージオブジェクト（ラスタ画像）およびベクターオブジェクトが記載されており、各々のオブジェクトに対して、その一部を含むように領域選択がなされている（図中、破線の矩形で囲まれた部分が選択された領域である）。テキストオブジェクトは、文字単位で分割可能なので図６のステップ６０８の処理が行われ、図７（Ｂ）に示されるように、選択領域に含まれる文字と選択領域に含まれない文字とが分割されて、前者が暗号化対象領域として設定される。ラスタ画像のイメージオブジェクトは、任意の箇所で分割可能なので図６のステップ６０８の処理が行われ、図７（Ｂ）に示されるように、選択領域に含まれる部分と選択領域に含まれない部分とが分割されて、前者が暗号化対象領域として設定される。ベクターオブジェクトは、分割不可能なので図６のステップ６０５の処理が行われ、図７（Ｂ）に示されるように、分割されることなくオブジェクト全体が暗号化対象領域として設定される。

このようにして暗号化対象領域が設定され、図３のステップ３０３以降で暗号化される。なお、図６および図７を参照して説明したオブジェクトの分割手法は、暗号化対象領域を設定する手法の例示に過ぎない。上記の手法の他、例えば、オブジェクトの種類に関わらず選択領域にかかるオブジェクトは全体を暗号化対象領域として設定する方法、選択領域がオブジェクト全体の５０％以上を含んでいればそのオブジェクトを暗号化対象領域として設定する方法等、任意の手法を選択して良い。

次に、ステップ３０８で説明した、復号用暗号情報の暗号化方法について詳細に説明する。
図８は、本実施形態による復号用暗号情報の暗号化方法の概念を説明する図である。図８（Ａ）は生成された鍵セット、図８（Ｂ）、（Ｃ）は暗号化された復号用暗号情報のデータ構成例を示す図である。
図８（Ａ）に示すように、開示レベル設定部１１２により２つの開示レベルが設定され、それぞれ対応する鍵セットが生成されたものとする。

本実施形態では、開示レベルを階層的に設定する。すなわち、相異なる２つの開示レベルには上位と下位の関係があり、上位の開示レベルの情報を閲覧できる閲覧者は下位の開示レベルの情報も閲覧できるものとする。言い換えれば、閲覧者は自身のアクセスレベルに対応する開示レベルおよびそれよりも下位の開示レベルの全ての情報を閲覧可能とする。図８（Ａ）において、開示レベル２は開示レベル１よりも上位であるものとする。

図８（Ｂ）に示す例では、復号用暗号情報は、設定された開示レベル以下の全ての開示レベルにおける文書用復号鍵を含む。したがって図８（Ｂ）において、開示レベル１の鍵用復号鍵で復号できる復号用暗号情報は、開示レベル１の文書用復号鍵のみとなっている。また、開示レベル２の鍵用復号鍵で復号できる復号用暗号情報は、開示レベル２の文書用復号鍵およびそれよりも下位の開示レベル１の文書用復号鍵となっている。この場合、開示レベル１に対応するアクセスレベルの閲覧者は、配布された開示レベル１の鍵用復号鍵を用いて開示レベル１の文書用復号鍵を復号し、この文書用復号鍵を用いて開示レベル１の暗号化対象領域の内容を復号して閲覧する。また、開示レベル２に対応するアクセスレベルの閲覧者は、配布された開示レベル２の鍵用復号鍵を用いて開示レベル２と開示レベル１の文書用復号鍵を復号し、この文書用復号鍵を用いて開示レベル２と開示レベル１の暗号化対象領域の内容を復号して閲覧する。

図９は、図８（Ｂ）に示すような復号用暗号情報を生成する手順を説明するフローチャートである。
この場合、暗号処理部１１３は、まず処理対象の電子文書の暗号化対象領域に対して設定された開示レベルのうち、最も上位の開示レベルに着目する（ステップ９０１）。そして、その開示レベルの鍵用暗号鍵を用いて、その開示レベル以下の全ての文書用復号鍵を暗号化する（ステップ９０２）。次に暗号処理部１１３は、電子文書に設定されている全ての開示レベルに対してステップ９０１、９０２の処理を行ったか否かを調べる（ステップ９０３）。そして、未処理の開示レベルがあれば、ステップ９０１に戻り、未処理の開示レベルのうちで最も上位の開示レベルに着目し、処理を繰り返す。全ての開示レベルに関して処理が行われたならば、最後に暗号処理部１１３は、生成した各開示レベルの復号用暗号情報を合成し、文書合成部１１４に渡す（ステップ９０４）。

図８（Ｃ）に示す例では、復号用暗号情報は、設定された開示レベルの文書用復号鍵とその開示レベルよりも下位の全ての開示レベルにおける鍵用復号鍵を含む。したがって図８（Ｃ）において、開示レベル１の鍵用復号鍵で復号できる復号用暗号情報は、図８（Ｂ）の場合と同様に開示レベル１の文書用復号鍵のみとなっている。また、開示レベル２の鍵用復号鍵で復号できる復号用暗号情報は、開示レベル２の文書用復号鍵およびそれよりも下位の開示レベル１の鍵用復号鍵となっている。この場合、開示レベル１に対応するアクセスレベルの閲覧者が開示レベル１の暗号化対象領域の内容を復号して閲覧するのは図８（Ｂ）の場合と同様である。

開示レベル２に対応するアクセスレベルの閲覧者は、配布された開示レベル２の鍵用復号鍵を用いて開示レベル２の文書用復号鍵と開示レベル１の鍵用復号鍵を復号し、この開示レベル１の鍵用復号鍵を用いて開示レベル１の復号用暗号情報を復号して開示レベル１の文書用復号鍵を得る。そして、これらの文書用復号鍵を用いて開示レベル２と開示レベル１の暗号化対象領域の内容を復号して閲覧する。

図１０は、図８（Ｃ）に示すような復号用暗号情報を生成する手順を説明するフローチャートである。
この場合、暗号処理部１１３は、まず処理対象の電子文書の暗号化対象領域に対して設定された開示レベルのうち、最も上位の開示レベルに着目し（ステップ１００１）、その開示レベルよりも１階層下位の開示レベルを特定する（ステップ１００２）。次に暗号処理部１１３は、ステップ１００１で着目した開示レベルの鍵用暗号鍵を用いて、その開示レベルの文書用復号鍵と、ステップ１００２で特定した１階層下位の開示レベルの鍵用復号鍵を暗号化する（ステップ１００３）。次に暗号処理部１１３は、電子文書に設定されている全ての開示レベルに対してステップ１００１〜１００３の処理を行ったか否かを調べる（ステップ１００４）。そして、未処理の開示レベルがあれば、ステップ１００１に戻り、未処理の開示レベルのうちで最も上位の開示レベルに着目し、処理を繰り返す。全ての開示レベルに関して処理が行われたならば、最後に暗号処理部１１３は、生成した各開示レベルの復号用暗号情報を合成し、文書合成部１１４に渡す（ステップ１００５）。

図１１は、本実施形態の文書処理装置１０のうち、暗号化された電子文書を復号して出力する復号装置の機能構成を示す図である。
図１１に示すように、本実施形態の復号装置２００は、暗号化された電子文書を取得して復号するための文書処理部２１０と、電子文書をディスプレイ表示するための表示制御部２２０と、電子文書を印刷出力するための印刷制御部２３０とを備える。これらの機能は、例えば復号装置２００が図１に示したハードウェア構成を有する場合、プログラム制御されたＣＰＵ１１およびメモリ１２により実現される。

文書処理部２１０は、鍵用復号鍵取得部２１１と、文書用復号鍵抽出部２１２と、復号処理部２１３と、コード解読部２１４と、データ取得部２１５とを備える。
鍵用復号鍵取得部２１１は、鍵用復号鍵の入力を受け付ける。鍵用復号鍵は、閲覧者に対してそのアクセスレベルに応じて配布されている。この鍵用復号鍵は、閲覧者のパスワードのような形態で提供されていても良い。閲覧者は、例えば図１の入力デバイス１７を操作して鍵用復号鍵を入力する。

文書用復号鍵抽出部２１２は、鍵用復号鍵取得部２１１により取得された鍵用復号鍵を用いて、対応する開示レベル以下の文書用復号鍵を電子文書から抽出する。文書用復号鍵の抽出方法の詳細については後述する。

復号処理部２１３は、文書用復号鍵抽出部２１２により取得された各開示レベルの文書用復号鍵を用いて、電子文書中の対応する開示レベルの暗号化対象領域に記載されている内容を復号する。復号処理部２１３により復号された電子文書は、磁気ディスク装置１３や外部の文書サーバ等の記憶手段に保存される。

コード解読部２１４は、印刷された電子文書に記載されたコード画像の内容を読み取る。コード画像は、例えば図１のスキャナ１８により光学的に得られた電子文書の画像から取得される。暗号化装置１００の印刷制御部１４０に関して上述したように、コード画像には、復号用暗号情報を表すコード画像と暗号化されたデータ（暗号化対象領域の内容）の保存場所を表すコード画像とがある。

データ取得部２１５は、コード解読部２１４により取得された暗号化されたデータの保存場所にアクセスし、該当する暗号化されたデータを取得する。印刷された電子文書が光学的に得られた画像では、暗号化されている暗号化対象領域からは意味のある情報を全く得られない。そこで、データ取得部２１５により、この暗号化対象領域に対応する暗号化データが取得される。この場合、復号処理部２１３は、暗号化対象領域の内容については、データ取得部２１５により取得された暗号化されたデータを復号することとなる。

表示制御部２２０は、図２を参照して説明した暗号化装置１００の表示制御部１３０と同様であり、文書生成部１１０による暗号処理済みの電子文書をその保存場所から読み出し、例えば図１のディスプレイ装置１４に表示する。電子文書の暗号化対象領域のうち、復号処理部２１３により復号された部分については、該当する領域の本来の内容が表示されることとなる。

印刷制御部２３０は、鍵コード生成部１４１と、データ場所コード生成部１４２と、コード配置決定部１４３と、文書画像生成部１４４とを備える。これらの構成要素は、図２を参照して説明した暗号化装置１００の印刷制御部１４０における各構成要素と同様である。そのため、同一の符号を付して説明を省略する。なお、復号装置２００では、暗号化された電子文書が復号されるが、閲覧者のアクセスレベルにより（すなわち入力される鍵用復号鍵の開示レベルにより）復号される暗号化対象領域が制限され、暗号化されたまま印刷される領域もある。したがって、鍵コード生成部１４１、データ場所コード生成部１４２、コード配置決定部１４３も必要となる。

次に、本実施形態の復号装置２００による電子文書の復号処理の流れを説明する。
図１２は、復号装置２００が電子文書を復号する手順を示すフローチャートである。
初期状態として、復号装置２００は既に、処理対象の電子文書（暗号処理済みの電子文書）を取得しているものとする。この電子文書は、例えば図１に示すネットワークインターフェイス１６を介して外部サーバから受信したり、磁気ディスク装置１３から読み出したりすることにより取得される。

図１２を参照すると、まず文書処理部２１０の鍵用復号鍵取得部２１１が、閲覧者による鍵用復号鍵の入力を受け付ける（ステップ１２０１）。また、文書用復号鍵抽出部２１２が処理対象の電子文書を取り込み（ステップ１２０２）、この電子文書から復号用暗号情報を抽出する（ステップ１２０３）。処理対象の電子文書に復号用暗号情報が付加されていなければ（ステップ１２０４でＮｏ）、電子文書は暗号化されていないので、表示制御部２２０や印刷制御部２３０により電子文書の画像がそのまま出力（ディスプレイ表示または印刷）される（ステップ１２１１）。

一方、処理対象の電子文書に復号用暗号情報が付加されているならば（ステップ１２０４でＹｅｓ）、次に文書用復号鍵抽出部２１２が、ステップ１２０１で取得した鍵用復号鍵を用いて復号用暗号情報を復号し、文書用復号鍵を抽出する（ステップ１２０５）。文書用復号鍵の抽出手順の詳細は後述する。

次に、復号処理部２１３が、電子文書中の暗号化対象領域を検出する（ステップ１２０６）。そして、抽出された暗号化対象領域に設定されている開示レベルを調べ（ステップ１２０７、１２０８）、ステップ１２０５で抽出されたこの開示レベルに対応する文書用復号鍵を用いて暗号化対象領域の内容を復元する（ステップ１２０９）。なお、暗号化対象領域の開示レベルを示す情報は、暗号化対象領域の内容が暗号化された際に、暗号化された領域に対応づけて電子文書に付加しておけば良い。この場合は、開示レベルを示す情報を電子文書から読み取って、対応する暗号化対象領域の開示レベルを知ることができる。また、開示レベルを示す情報を電子文書に付加せず、ステップ１２０５で得られた文書用復号鍵を全て試して暗号化対象領域の内容を復号しても良い。

ステップ１２０６〜１２０９を繰り返し、ステップ１２０５で抽出した文書用復号鍵で復号可能な暗号化対象領域が存在しなくなったならば（ステップ１２０７でＮｏ）、表示制御部２２０や印刷制御部２３０により電子文書の画像が生成され（ステップ１２１０）、出力される（ステップ１２１１）。

次に、ステップ１２０５で説明した、文書用復号鍵抽出部２１２による文書用復号鍵の抽出方法について詳細に説明する。
図１３は、図８（Ｂ）に示した形式で復号用暗号情報が付加されている場合の文書用復号鍵の抽出手順を説明するフローチャートである。
この場合、文書用復号鍵抽出部２１２は、まず処理対象の電子文書に付加されている復号用暗号情報の１つに着目し（ステップ１３０１）、図１２のステップ１２０１で取得した鍵用復号鍵を用いて復号する（ステップ１３０２）。復号に成功し文書用復号鍵が得られれば（ステップ１３０３でＹｅｓ）、得られた全ての文書用復号鍵と各々の開示レベルとを対応付けて、例えば図１のメモリ１２に保持する（ステップ１３０４）。

一方、復号に失敗し文書用復号鍵が得られなかった場合は（ステップ１３０３でＮｏ）、順次他の復号用暗号情報に着目し、ステップ１３０１以降の動作を繰り返す。そして、全ての復号用暗号情報に対して図１２のステップ１２０１で取得した鍵用復号鍵による復号に失敗した場合は、その鍵用復号鍵の開示レベル以下の情報は存在しないので、処理を終了する（ステップ１３０５）。

図１４は、図８（Ｃ）に示した形式で復号用暗号情報が付加されている場合の文書用復号鍵の抽出手順を説明するフローチャートである。
この場合、文書用復号鍵抽出部２１２は、まず処理対象の電子文書に付加されている復号用暗号情報の１つに着目し（ステップ１４０１）、図１２のステップ１２０１で取得した鍵用復号鍵を用いて復号する（ステップ１４０２）。復号に成功し文書用復号鍵が得られた場合（ステップ１４０３でＹｅｓ）、その文書用復号鍵と開示レベルとを対応付けて、例えば図１のメモリ１２に保持する（ステップ１４０４）。ここで、ステップ１４０２で文書用復号鍵のみが復号されたならば（ステップ１４０５でＮｏ）、他に復号可能な開示レベル（すなわち復号に用いた鍵用復号鍵よりも下位の開示レベル）の情報は存在しないので、処理を終了する。

ステップ１４０２で文書用復号鍵と共に下位の開示レベルの復号用暗号情報を復号するための鍵用復号鍵が復号された場合（ステップ１４０５でＹｅｓ）、次に文書用復号鍵抽出部２１２は、ステップ１４０２で復号された復号用暗号情報の１つ下位の復号用暗号情報に着目し（ステップ１４０６）、ステップ１４０２で復号された鍵用復号鍵を用いて復号する（ステップ１４０７）。そして、復号に成功し文書用復号鍵が得られたならば（ステップ１４０８でＹｅｓ）、ステップ１４０４に戻って、その文書用復号鍵と開示レベルとを対応付けて、例えば図１のメモリ１２に保持する。一方、復号に失敗し文書用復号鍵が得られなかった場合は（ステップ１４０８でＮｏ）、その鍵用復号鍵の開示レベル以下の情報は存在しないので、処理を終了する。

ステップ１４０３において、復号に失敗し文書用復号鍵が得られなかった場合は、順次他の復号用暗号情報に着目し、ステップ１４０１以降の動作を繰り返す。そして、全ての復号用暗号情報に対して図１２のステップ１２０１で取得した鍵用復号鍵による復号に失敗した場合は、その鍵用復号鍵の開示レベル以下の情報は存在しないので、処理を終了する（ステップ１４０９）。

以上、本実施形態の文書処理装置１０を暗号化装置１００と復号装置２００に分けて説明したが、本実施形態は上記の構成に限るものではない。例えば、暗号化装置１００と復号装置２００の両方の機能を備えた装置としても良いし、印刷出力のための手段（暗号化装置１００の印刷制御部１４０および復号装置２００の印刷制御部２３０、図１の印刷機構１５）を設けず、ディスプレイ表示のみを行う装置構成としても良い。あるいは、反対にディスプレイ表示のための手段（暗号化装置１００の表示制御部１３０および復号装置２００の表示制御部２２０、図１のディスプレイ装置１４）を設けず、印刷出力のみを行う装置構成としても良い。

本実施形態の文書処理装置のハードウェア構成例を示す図である。 本実施形態の暗号化装置の機能構成を示す図である。 本実施形態の暗号化装置が電子文書を暗号化する手順を示すフローチャートである。 本実施形態の処理対象である電子文書の例を示す図である。 図４の電子文書に暗号化対象領域および開示レベルを設定し、暗号化した様子を示す図である。 本実施形態の領域設定部による暗号化対象領域の設定手順を説明するフローチャートである。 本実施形態におけるオブジェクトの分割方法を説明する図である。 本実施形態における復号用暗号情報の暗号化方法の概念を説明する図である。 図８（Ｂ）に示すような復号用暗号情報を生成する手順を説明するフローチャートである。 図８（Ｃ）に示すような復号用暗号情報を生成する手順を説明するフローチャートである。 本実施形態の復号装置の機能構成を示す図である。 本実施形態の復号装置が電子文書を復号する手順を示すフローチャートである。 図８（Ｂ）に示した形式で復号用暗号情報が付加されている場合の文書用復号鍵の抽出手順を説明するフローチャートである。 図８（Ｃ）に示した形式で復号用暗号情報が付加されている場合の文書用復号鍵の抽出手順を説明するフローチャートである。

符号の説明

１０…文書処理装置、１１…ＣＰＵ、１２…メモリ、１３…磁気ディスク装置、１４…ディスプレイ装置、１５…印刷機構、１６…ネットワークインターフェイス、１７…入力デバイス、１８…スキャナ、１００…暗号化装置、１１０…文書生成部、１１１…領域設定部、１１２…開示レベル設定部、１１３…暗号処理部、１１４…文書合成部、１２０…暗号鍵生成部、１３０、２２０…表示制御部、１４０、２３０…印刷制御部、１４１…鍵コード生成部、１４２…データ場所コード生成部、１４３…コード配置決定部、１４４…文書画像生成部、２００…復号装置、２１０…文書処理部、２１１…鍵用復号鍵取得部、２１２…文書用復号鍵抽出部、２１３…復号処理部、２１４…コード解読部、２１５…データ取得部

Claims (9)

1. 電子文書の複数の部分を、当該部分に対して設定された開示基準に応じて当該開示基準ごとに作成された文書用暗号鍵を用いて暗号化する第１の暗号化手段と、
   前記文書用暗号鍵で暗号化されたデータを復号するための文書用復号鍵を、前記開示基準ごとに作成された鍵用暗号鍵のうちの当該文書用暗号鍵に対応する開示基準の鍵用暗号鍵を用いて暗号化する第２の暗号化手段と、
   前記第１の暗号化手段により所定の部分を暗号化された電子文書に、前記第２の暗号化手段により暗号化された前記文書用復号鍵を付加して新たな電子文書を生成する文書生成手段と
   を備えることを特徴とする文書処理装置。
2. 前記開示基準は階層的に設定されており、前記第２の暗号化手段は、各鍵用暗号鍵を用いて、当該鍵用暗号鍵が対応する開示基準およびそれよりも下位の開示基準の各文書用復号鍵を暗号化することを特徴とする請求項１に記載の文書処理装置。
3. 前記開示基準は階層的に設定されており、前記第２の暗号化手段は、各鍵用暗号鍵を用いて、当該鍵用暗号鍵が対応する開示基準の文書用復号鍵およびそれよりも下位の開示基準の鍵用暗号鍵で暗号化された文書用復号鍵を復号するための鍵用復号鍵を暗号化することを特徴とする請求項１に記載の文書処理装置。
4. 電子文書に基づく画像を記録媒体上に形成する画像形成手段をさらに備え、
   前記画像形成手段は、前記電子文書における暗号化されていない部分の画像と共に、前記第１の暗号化手段により暗号化されたデータの保存場所を表すコード画像および前記第２の暗号化手段により暗号化されたデータを表すコード画像を前記記録媒体上に形成することを特徴とする請求項１に記載の文書処理装置。
5. 相異なる暗号鍵を用いて暗号化された複数の部分と当該暗号鍵で暗号化されたデータを復号するための鍵であって鍵用暗号鍵を用いて暗号化された復号鍵とを含む電子文書を取得する文書取得手段と、
   前記暗号鍵を用いて暗号化されたデータの保存場所を表すコード画像および前記鍵用暗号鍵を用いて暗号化されたデータを表すコード画像を生成するコード画像生成手段と、
   前記電子文書における暗号化されていない部分の画像と共に、前記コード画像生成手段により生成されたコード画像を記録媒体上に形成する出力手段と
   を備えることを特徴とする文書処理装置。
6. 前記鍵用暗号鍵を用いて暗号化されたデータを復号するための鍵用復号鍵を取得する鍵取得手段と、
   前記鍵取得手段により取得された前記鍵用復号鍵を用いて前記復号鍵を復号する第１の復号手段と、
   前記第１の復号手段により復号された前記復号鍵を用いて当該復号鍵に対応する前記暗号鍵で暗号化された前記電子文書の部分を復号する第２の復号手段とをさらに備え、
   前記出力手段は、前記第２の復号手段により復号された前記電子文書の部分に関して、前記暗号鍵を用いて暗号化されたデータの保存場所を表すコード画像に代えて、復号された当該部分の画像を前記記録媒体上に形成することを特徴とする請求項５に記載の文書処理装置。
7. コンピュータを、
   電子文書の複数の部分を、当該部分に対して設定された開示基準に応じて当該開示基準ごとに作成された文書用暗号鍵を用いて暗号化する第１の暗号化手段と、
   前記文書用暗号鍵で暗号化されたデータを復号するための文書用復号鍵を、前記開示基準ごとに作成された鍵用暗号鍵のうちの当該文書用暗号鍵に対応する開示基準の鍵用暗号鍵を用いて暗号化する第２の暗号化手段と、
   前記第１の暗号化手段により所定の部分を暗号化された電子文書に、前記第２の暗号化手段により暗号化された前記文書用復号鍵を付加して新たな電子文書を生成する文書生成手段として機能させることを特徴とするプログラム。
8. 前記開示基準は階層的に設定されており、前記第２の暗号化手段の機能として、各鍵用暗号鍵を用いて、当該鍵用暗号鍵が対応する開示基準およびそれよりも下位の開示基準の各文書用復号鍵を暗号化する処理を前記コンピュータに実行させることを特徴とする請求項７に記載のプログラム。
9. 前記開示基準は階層的に設定されており、前記第２の暗号化手段の機能として、各鍵用暗号鍵を用いて、当該鍵用暗号鍵が対応する開示基準の文書用復号鍵およびそれよりも下位の開示基準の鍵用暗号鍵で暗号化された文書用復号鍵を復号するための鍵用復号鍵を暗号化する処理を前記コンピュータに実行させることを特徴とする請求項７に記載のプログラム。

Images