JP2009282756A - 電子文書管理プログラム、該プログラムを記録した記録媒体、電子文書管理装置、および電子文書管理方法 - Google Patents

Abstract

【課題】改訂者の権限を逸脱した改訂を排除するとともに、それぞれ異なる改訂者により並列的に改訂処理が施された複数の改訂文書を適切に統合すること。
【解決手段】統合者は、電子文書１０１と、それぞれ異なる改訂者（総務部、経理部）により並列的に改訂された改訂文書３０１，３０２を取得し、電子文書１０１を参照して、電子文書１０１内の部分文書ごとに、各改訂文書３０１，３０２において部分文書が非開示となっているか否かを判断する。そして、少なくともいずれかの改訂文書３０１，３０２において部分文書が非開示の場合、電子文書１０１から分割された部分文書の開示・非開示を規定するポリシーＰに基づいて、部分文書を開示するか否かを部分文書ごとに決定し、その決定結果に基づいて、改訂文書３０１，３０２を統合した改訂文書４０１を作成する。
【選択図】図４

Description

この発明は、真正性を検証可能な電子文書を管理する電子文書管理プログラム、該プログラムを記録した記録媒体、電子文書管理装置、および電子文書管理方法に関する。

従来、電子文書の真正を保証する技術として、電子署名を用いた技術が提供されている。この電子署名技術は、電子文書ごとに電子署名を付与することによって、電子文書の作成者を認証するとともに電子文書の正当性を判断し、電子文書の真正性を保証する技術である。この電子署名技術によれば、不正なユーザによる改ざんを防ぐことができる。

また、電子文書を構成する部分文書全体からなる集合の任意の部分文書に対し、または、各部分文書と該各部分文書および該電子文書の構造の関係を規定する情報とを結合したデータに対し、または、各部分文書に対しハッシュ値を計算し、計算されたハッシュ値を結合したデータに対し署名を付与することにより、電子文書の真正を保証する技術が知られている（例えば、下記特許文献１参照。）。

また、ネットワークを介して接続されたサーバーおよびクライアント端末を使用して、電子文書の審議、承認などの処理を依頼する電子メールを業務の流れに沿って後工程の処理者が順次受信し、電子メールを受信した処理者がネットワークを介して電子文書のファイルに順次アクセスし、与えられた所定の処理を進めることにより、当該業務処理を遂行させるようにしたシステムが知られている（例えば、下記特許文献２参照。）。

特開２００５−０５１７３４号公報 特開２００３−１４１３１５号公報

しかしながら、上述した従来技術によれば、改訂後の電子文書の完全性を保証するという観点から、削除や墨塗りなどの改訂が施された部分文書を元に戻すことはできない。このため、法律などの理由から開示すべき部分文書があったとしても、既に削除や墨塗りなどの改訂が施されていると、それを覆すことができないという問題があった。

これを考慮して、予め部分文書に墨塗り禁止、削除禁止の属性を持たせることも考えられる。ところが、ある改訂者による墨塗りは許可し、その他の改訂者による墨塗りは禁止するなど、改訂者ごとに異なる権限を付与したい場合がある。このような場合、完全に墨塗りを禁止してしまうと、墨塗りが許可されるべき改訂者の権限をも奪うことになり、ユーザの利便性を損なうという問題があった。

さらに、複数の改訂者による電子文書の改訂作業が直列におこなわれる場合、改訂順序が前の改訂者ほど権限が強くなる。このため、改訂者が自らの権限を逸脱した改訂をおこなった場合には、それ以降において、他の改訂者はそれを覆すことができないという問題があった。

一方で、改訂作業を並列におこなうことで権限の逸脱の問題を排除することができるが、最終的に複数の改訂者によって改訂された電子文書を統合する必要がある。しかし、同じ部分文書に対して異なる改訂（あるいは、改訂されていない）がおこなわれている場合には、どの改訂を優先すべきか判断することが難しいという問題があった。

この発明は、上述した従来技術による問題点を解消するため、改訂者の権限を逸脱した改訂を排除するとともに、それぞれ異なる改訂者により並列的に改訂処理が施された複数の改訂文書を適切に統合した統合文書を自動作成することができる電子文書管理プログラム、該プログラムを記録した記録媒体、電子文書管理装置、および電子文書管理方法を提供することを目的とする。

上述した課題を解決し、目的を達成するため、この電子文書管理プログラム、該プログラムを記録した記録媒体、電子文書管理装置、および電子文書管理方法は、電子文書と、それぞれ異なる改訂者に関する前記電子文書内の任意の構成要素を非開示とする改訂処理が施された複数の改訂文書と、を取得し、取得された電子文書を参照して、当該電子文書内の構成要素ごとに、取得された各改訂文書において前記構成要素が非開示となっているか否かを判断し、少なくともいずれかの改訂文書において前記構成要素が非開示と判断された場合、前記電子文書から分割された構成要素ごとに、当該構成要素の開示・非開示を規定するポリシーに基づいて、前記構成要素を開示するか否かを前記構成要素ごとに決定し、決定された決定結果に基づいて、前記電子文書内の前記構成要素を改訂し、改訂された改訂後の前記電子文書を出力することを要件とする。

この電子文書管理プログラム、該プログラムを記録した記録媒体、電子文書管理装置、および電子文書管理方法によれば、複数の改訂文書を統合して一つの統合文書を作成する際に、電子文書から分割された部分文書ごとに予め規定されたポリシーに従って、各部分文書の開示・非開示を決定することができる。

この電子文書管理プログラム、該プログラムを記録した記録媒体、電子文書管理装置、および電子文書管理方法によれば、改訂者の権限を逸脱した改訂を排除するとともに、それぞれ異なる改訂者により並列的に改訂処理が施された複数の改訂文書を適切に統合した統合文書を自動作成することができるという効果を奏する。

以下に添付図面を参照して、この電子文書管理プログラム、該プログラムを記録した記録媒体、電子文書管理装置、および電子文書管理方法の好適な実施の形態を詳細に説明する。この電子文書管理プログラム、該プログラムを記録した記録媒体、電子文書管理装置、および電子文書管理方法では、予め規定されたポリシーに従って、電子文書内の各構成要素の開示・非開示を決定することで、それぞれ異なる改訂者により並列的に電子文書の改訂処理が施された複数の改訂文書を統合した統合文書を自動作成する。

（従来技術の問題点）
まず、従来技術の問題点について説明する。図１〜図３は、従来技術の問題点を示す説明図である。図１〜図３には、改訂後の電子文書の真正性を検証するまでの一連の流れが示されている。図１において、まず、署名者により、電子文書１０１に電子署名１１０が設定されている。署名者は、たとえば、電子文書１０１の作成者である。

このあと、改訂者により、電子署名１１０が設定された電子文書１０１内の部分文書（ここでは、「領収書」）が墨塗りされて改訂文書１０２が作成されている。この場合、検証者により、改訂文書１０２の開示部分の内容が改ざんされていないことを確認することができる。

ところが、改訂後の改訂文書１０２の完全性を保証するという観点から、墨塗りされた部分文書（「領収書」）を元の状態に戻すことはできない。このため、墨塗りされた部分文書が法律などの理由から開示すべき内容であっても、その墨塗りを覆すことができないという問題がある。

図２において、第１の改訂者（総務部）により、電子署名１１０が設定された電子文書１０１内の部分文書（ここでは、「富士太郎様」と「１０，０００円」）が墨塗りされて改訂文書２０１が作成されている。この場合、第２の改訂者（経理部）は、金額への墨塗り権限を持っていたとしても、第１の改訂者（総務部）による墨塗りを覆すことができないという問題がある。つまり、改訂順序が先の改訂者ほど権限が強いため、ある改訂者が権限を逸脱して部分文書を墨塗りしてしまうと、それ以降、その墨塗りを覆すことができない。

図３において、複数の改訂者（総務部、経理部）により、電子署名１１０が設定された電子文書１０１が並列的に改訂されている。具体的には、総務部により、電子文書１０１内の「富士太郎様」が墨塗りされて改訂文書３０１が作成されている。また、経理部により、電子文書１０１内の「食事代」および「１０，０００円」が墨塗りされて改訂文書３０２が作成されている。

この場合、図２に示した権限の逸脱による問題は排除することができるが、最終的に複数の改訂者によって並列的に改訂された改訂文書３０１，３０２を統合する必要がある。ところが、改訂箇所や改訂内容が共通していない場合には、どの改訂を優先すべきかを判断することが難しいという問題がある。

たとえば、電子文書１０１内の「富士太郎様」は、改訂文書３０１においては墨塗りされているが、改訂文書３０２においては開示されている。このような場合、検証者は、各改訂者の権限を照らし合わせて「富士太郎様」を墨塗りするか否かを判断するなどの煩雑な作業が必要となる。

そこで、本実施の形態では、予め規定されたポリシーに従って、電子文書１０１内の部分文書の開示・非開示を決定することで、上述したような煩雑な作業を必要とすることなく、改訂文書３０１，３０２を適切に統合する手法を提案する。以下、本実施の形態の概要について説明する。

（本実施の形態の概要）
図４は、本実施の形態の概要を示す説明図である。図４において、まず、署名者により、電子文書１０１に電子署名１１０が設定されている。また、電子文書１０１内の部分文書ごとに、当該部分文書の開示・非開示を規定するポリシーＰが作成されている。このあと、それぞれ異なる改訂者（総務部、経理部）により、電子署名１１０が設定された電子文書１０１が並列的に改訂されている。

そして、統合者により、改訂文書３０１，３０２の開示部分の内容が改ざんされていないか判断される。ここで、改ざんされていないと、ポリシーＰに従って、電子文書１０１内の各部分文書の開示・非開示が決定され、その決定結果に基づいて改訂文書３０１，３０２を統合した改訂文書４０１が作成される。

このように、本実施の形態では、予め規定されたポリシーＰに従って、電子文書１０１内の各部分文書の開示・非開示を決定することにより、それぞれ異なる改訂者（総務部、経理部）により並列的に改訂処理が施された複数の改訂文書３０１，３０２を適切に統合した改訂文書４０１を自動作成する。

（電子文書管理装置のハードウェア構成）
つぎに、本実施の形態にかかる電子文書管理装置のハードウェア構成について説明する。図５は、電子文書管理装置のハードウェア構成を示すブロック図である。図５において、電子文書管理装置５００は、ＣＰＵ（Ｃｅｎｔｒａｌ Ｐｒｏｃｅｓｓｉｎｇ Ｕｎｉｔ）５０１と、ＲＯＭ（Ｒｅａｄ‐Ｏｎｌｙ Ｍｅｍｏｒｙ）５０２と、ＲＡＭ（Ｒａｎｄｏｍ Ａｃｃｅｓｓ Ｍｅｍｏｒｙ）５０３と、磁気ディスクドライブ５０４と、磁気ディスク５０５と、光ディスクドライブ５０６と、光ディスク５０７と、ディスプレイ５０８と、Ｉ／Ｆ（Ｉｎｔｅｒｆａｃｅ）５０９と、キーボード５１０と、マウス５１１と、スキャナ５１２と、プリンタ５１３と、を備えている。また、各構成部はバス５２０によってそれぞれ接続されている。

ここで、ＣＰＵ５０１は、電子文書管理装置５００の全体の制御を司る。ＲＯＭ５０２は、ブートプログラムなどのプログラムを記憶している。ＲＡＭ５０３は、ＣＰＵ５０１のワークエリアとして使用される。磁気ディスクドライブ５０４は、ＣＰＵ５０１の制御にしたがって磁気ディスク５０５に対するデータのリード／ライトを制御する。磁気ディスク５０５は、磁気ディスクドライブ５０４の制御で書き込まれたデータを記憶する。

光ディスクドライブ５０６は、ＣＰＵ５０１の制御にしたがって光ディスク５０７に対するデータのリード／ライトを制御する。光ディスク５０７は、光ディスクドライブ５０６の制御で書き込まれたデータを記憶したり、光ディスク５０７に記憶されたデータをコンピュータに読み取らせたりする。

ディスプレイ５０８は、カーソル、アイコンあるいはツールボックスをはじめ、文書、画像、機能情報などのデータを表示する。このディスプレイ５０８は、たとえば、ＣＲＴ、ＴＦＴ液晶ディスプレイ、プラズマディスプレイなどを採用することができる。

インターフェース（以下、「Ｉ／Ｆ」と略する。）５０９は、通信回線を通じてＬＡＮ（Ｌｏｃａｌ Ａｒｅａ Ｎｅｔｗｏｒｋ）、ＷＡＮ（Ｗｉｄｅ Ａｒｅａ Ｎｅｔｗｏｒｋ）、インターネットなどのネットワーク５１４に接続され、このネットワーク５１４を介して他の装置に接続される。そして、Ｉ／Ｆ５０９は、ネットワーク５１４と内部のインターフェースを司り、外部装置からのデータの入出力を制御する。Ｉ／Ｆ５０９には、たとえばモデムやＬＡＮアダプタなどを採用することができる。

キーボード５１０は、文字、数字、各種指示などの入力のためのキーを備え、データの入力をおこなう。また、タッチパネル式の入力パッドやテンキーなどであってもよい。マウス５１１は、カーソルの移動や範囲選択、あるいはウィンドウの移動やサイズの変更などをおこなう。ポインティングデバイスとして同様に機能を備えるものであれば、トラックボールやジョイスティックなどであってもよい。

スキャナ５１２は、画像を光学的に読み取り、電子文書管理装置５００内に画像データを取り込む。なお、スキャナ５１２は、ＯＣＲ（Ｏｐｔｉｃａｌ Ｃｈａｒａｃｔｅｒ Ｒｅａｄｅｒ）機能を持たせてもよい。また、プリンタ５１３は、画像データや文書データを印刷する。プリンタ５１３には、たとえば、レーザプリンタやインクジェットプリンタを採用することができる。

（電子文書管理装置の機能的構成）
つぎに、本実施の形態にかかる電子文書管理装置５００の機能的構成について説明する。図６は、電子文書管理装置の機能的構成を示すブロック図である。図６において、電子文書管理装置５００は、取得部６０１と、判断部６０２と、決定部６０３と、特定部６０４と、検出部６０５と、改訂部６０６と、出力部６０７と、を含む構成である。

この制御部となる機能（取得部６０１〜出力部６０７）は、具体的には、たとえば、図５に示したＲＯＭ５０２、ＲＡＭ５０３、磁気ディスク５０５、光ディスク５０７などの記憶領域に記憶されたプログラムをＣＰＵ５０１に実行させることにより、または、Ｉ／Ｆ５０９により、その機能を実現する。また、図６中矢印で示した接続先の機能は、接続元の機能からの出力データを記憶領域から読み込んで、当該機能に関するプログラムをＣＰＵ５０１に実行させるものとする。

まず、取得部６０１は、電子文書Ｍと、それぞれ異なる改訂者に関する電子文書Ｍ内の任意の部分文書を非開示とする改訂処理が施された複数の改訂文書Ｒを取得する機能を有する。ここで、電子文書Ｍは、コンピュータ上で扱われる文書の総称であり、文書作成アプリケーションなどを用いて作成された電子データである。

電子文書Ｍとしては、たとえば、帳簿や伝票類などの帳票、電子成績表や電子戸籍台帳などの個人情報などが挙げられる。この電子文書Ｍは、任意の構成要素（たとえば、文、単語など）に分割されている。以下において、構成要素を、少なくとも一つ以上の単語からなる「部分文書」とする。

また、電子文書Ｍには、電子文書Ｍを識別するための識別子（たとえば、後述する「文書ＩＤ」）が付与されている。さらに、電子文書Ｍ内の各部分文書には、該部分文書を識別する識別子（たとえば、後述する「部分文書ＩＤ」）が付与されている。このように文書ＩＤおよび部分文書ＩＤを付与することにより、電子文書Ｍおよび各部分文書を認識することができる。

また、電子文書Ｍには、電子署名が設定されている。ここで、電子署名とは、電子文書Ｍの正当性を認証するために当該電子文書に付与される署名情報である。すなわち、電子署名は、物理的な署名（印鑑など）と同様に、電子文書Ｍの正しい作成者と当該電子文書Ｍの正当性（改ざんがおこなわれていないこと）を証明するためのものである。なお、電子文書Ｍに施される電子署名技術については、後述の実施例において説明する。

改訂文書Ｒは、各改訂者により、電子文書Ｍ内の任意の部分文書の秘匿を目的とする削除処理や墨塗り処理などが施された改訂後の電子文書である。また、改訂文書Ｒには、改訂者固有の電子署名が設定されていてもよい。このように改訂者固有の電子署名を設定することにより、各改訂文書Ｒの改訂者を認識することができる。

また、取得部６０１は、電子文書Ｍから分割された部分文書ごとに、当該部分文書の開示・非開示を規定するポリシーを取得する機能を有する。ポリシーは、たとえば、電子文書Ｍの作成者や電子文書Ｍに設定される電子署名の署名者により作成される。具体的には、各部分文書の開示・非開示を一意に決定可能なポリシーが規定されている。さらに、部分文書の改訂内容（たとえば、墨塗り、削除、墨塗り禁止、削除禁止など）が規定されていてもよい。

ポリシーに規定されている規定内容としては、たとえば、強制開示、強制非開示、特定の改訂者にのみ改訂の権限を与えるもの、特定の改訂者による改訂を優先するもの、複数の改訂者のうち部分文書を非開示とする改訂処理を施した改訂者の割合が特定の割合以上となったときに部分文書を非開示とするものなどがある。

ポリシーは、コンピュータが認識可能な言語を用いて記述されており、その作成者以外が編集不能な状態となっている。なお、電子文書Ｍ、改訂文書Ｒおよびポリシーは、電子文書管理装置５００に直接入力することとしてもよく、また、外部のコンピュータ装置から取得することとしてもよい。

判断部６０２は、取得部６０１によって取得された電子文書Ｍを参照して、電子文書Ｍ内の部分文書ごとに、取得部６０１によって取得された各改訂文書Ｒにおいて部分文書が非開示となっているか否かを判断する機能を有する。具体的には、たとえば、電子文書Ｍ内の部分文書ごとに、その部分文書に該当する改訂文書Ｒ内の部分文書の属性（削除、墨塗り）を特定することで、非開示となっているか否かを判断する。

決定部６０３は、取得部６０１によって取得されたポリシーに基づいて、電子文書Ｍ内の部分文書を開示するか否かを部分文書ごとに決定する機能を有する。具体的には、決定部６０３は、後述する特定部６０４による特定結果および判断部６０２による判断結果に応じて、部分文書を開示するか否かを決定する。

ここで、決定部６０３による決定処理の具体的な処理内容について説明する。まず、特定部６０４は、ポリシーに規定されている部分文書の規定内容を特定する。そして、決定部６０３は、特定部６０４によって部分文書を強制開示する規定内容が特定された場合、その部分文書を開示すると決定する。また、特定部６０４によって部分文書を強制非開示する規定内容が特定された場合、その部分文書を非開示すると決定する。

また、検出部６０５は、判断部６０２によって非開示と判断され、かつ、特定部６０４によって特定の改訂者による改訂を優先する規定内容が特定された場合、複数の改訂文書Ｒの中から特定の改訂者の改訂文書Ｒにおける部分文書の開示・非開示を検出する。具体的には、たとえば、各改訂文書Ｒに設定されている電子署名から特定の改訂者を認識し、特定の改訂者の改訂文書Ｒにおける部分文書の開示・非開示を検出することができる。

そして、決定部６０３は、検出部６０５によって検出された特定の改訂者の改訂文書Ｒにおける部分文書の開示・非開示に基づいて、その部分文書を開示するか否かを決定する。具体的には、特定の改訂者の改訂文書Ｒにおいて部分文書が開示されている場合は、その部分文書を開示すると決定する。一方、部分文書が開示されていない場合には、その部分文書を非開示すると決定する。

また、検出部６０５は、判断部６０２によって非開示と判断され、かつ、特定部６０４によって複数の改訂者のうち部分文書を非開示とする改訂処理を施した改訂者の割合が特定の割合以上のときに部分文書を非開示とする規定内容が特定された場合、複数の改訂文書Ｒのうち部分文書が非開示となっている改訂文書Ｒの割合を検出する。

具体的には、たとえば、部分文書が非開示となっている改訂文書Ｒの数を、取得部６０１によって取得された改訂文書Ｒの総数で除算することで上記割合を検出することができる。そして、決定部６０３は、検出部６０５によって検出された割合が特定の割合以上となった場合、部分文書を非開示すると決定する。特定の割合としては、１００［％］、５０［％］、３０［％］など様々な割合が規定される。

改訂部６０６は、決定部６０３によって決定された決定結果に基づいて、電子文書Ｍ内の部分文書を改訂する機能を有する。具体的には、部分文書を非開示すると決定された場合、電子文書Ｍ内の部分文書を非開示とする改訂（たとえば、墨塗り、削除など）をおこなう。一方、部分文書を開示すると決定された場合、電子文書Ｍ内の部分文書に対する改訂はおこなわない。

出力部６０７は、改訂部６０６によって改訂された改訂後の電子文書Ｍを出力する機能を有する。出力形式としては、たとえば、ディスプレイ５０８への表示、プリンタ５１３への印刷出力、Ｉ／Ｆ５０９による外部のコンピュータ装置への送信がある。また、ＲＡＭ５０３、磁気ディスク５０５、光ディスク５０７などの記憶領域に記憶することとしてもよい。

なお、上記取得部６０１は、複数の改訂者により並列的に電子文書Ｍの改訂がおこなわれた複数の改訂文書Ｒを取得することとしたが、これに限らない。たとえば、複数の改訂者により直列的に電子文書Ｍの改訂がおこなわれた改訂文書Ｒを取得することとしてもよい。

この場合、判断部６０２は、電子文書Ｍを参照して、電子文書Ｍ内の部分文書ごとに、改訂文書Ｒにおいて部分文書が非開示となっているか否かを判断する。そして、決定部６０３は、判断部６０２によって非開示と判断された場合、部分文書を非開示とする改訂処理を施した改訂者と、ポリシーとに基づいて、その部分文書を開示するか否かを決定する。

たとえば、特定部６０４によって特定の改訂者にのみ改訂の権限が与えられる規定内容が特定されたとする。このとき、特定の改訂者とは異なる他の改訂者の改訂により部分文書が非開示となっている場合には、その部分文書を開示すると決定する。これにより、改訂者の権限を逸脱した改訂を排除することができる。

（電子文書管理装置の電子文書管理処理手順）
つぎに、本実施の形態にかかる電子文書管理装置５００の電子文書管理処理手順について説明する。図７は、電子文書管理装置の電子文書管理処理手順の一例を示すフローチャートである。図７のフローチャートにおいて、まず、取得部６０１により、電子文書Ｍと、電子文書Ｍ内の任意の部分文書を非開示とする改訂処理が施された複数の改訂文書Ｒと、電子文書Ｍから分割された部分文書ごとに、当該部分文書の開示・非開示を規定するポリシーと、を取得したか否かを判断する（ステップＳ７０１）。

ここで、電子文書Ｍと複数の改訂文書Ｒとポリシーとを取得するのを待って（ステップＳ７０１：Ｎｏ）、取得した場合（ステップＳ７０１：Ｙｅｓ）、電子文書Ｍの中から任意の部分文書を選択し（ステップＳ７０２）、判断部６０２により、電子文書Ｍを参照して、各改訂文書Ｒにおいて選択された部分文書（以下、「選択部分文書」という）が非開示となっているか否かを判断する（ステップＳ７０３）。

ここで、少なくともいずれかの改訂文書Ｒにおいて選択部分文書が非開示と判断された場合（ステップＳ７０３：Ｙｅｓ）、決定部６０３により、ポリシーに基づいて、選択部分文書を開示するか否かを決定する（ステップＳ７０４）。そして、改訂部６０６により、決定部６０３によって決定された決定結果に基づいて、電子文書Ｍ内の選択部分文書を改訂する（ステップＳ７０５）。

このあと、電子文書Ｍの中から選択されていない未選択の部分文書があるか否かを判断し（ステップＳ７０６）、未選択の部分文書がある場合には（ステップＳ７０６：Ｙｅｓ）、ステップＳ７０２に戻って、電子文書Ｍの中から未選択の部分文書を選択する。

一方、未選択の部分文書がない場合には（ステップＳ７０６：Ｎｏ）、出力部６０７により、改訂部６０６によって改訂された改訂後の電子文書Ｍを出力して（ステップＳ７０７）、本フローチャートによる一連の処理を終了する。また、ステップＳ７０３において、すべての改訂文書Ｒにおいて選択部分文書が開示されていると判断された場合には（ステップＳ７０３：Ｎｏ）、ステップＳ７０６に移行する。

以上説明した本実施の形態によれば、電子文書Ｍから分割された部分文書ごとに予め規定されているポリシーに従って、各部分文書の開示・非開示を決定することができる。これにより、改訂者の権限を逸脱した改訂を排除するとともに、それぞれ異なる改訂者により並列的に改訂処理が施された複数の改訂文書Ｒを統合した統合文書を自動作成することができる。

つぎに、上述した実施の形態の実施例について説明する。実施例において、電子文書管理装置５００とは、電子文書管理システムを構成するコンピュータ装置（たとえば、電子文書作成装置８０１、電子文書検証装置８０４、クライアント装置８０３−１〜８０３−ｋ）であり、電子文書管理プログラムとは、電子文書管理装置５００にインストールされたプログラムである。なお、実施の形態で示した構成と同一構成については同一符号を付し、その説明を省略する。

（電子文書管理システムのシステム構成）
まず、電子文書管理システムのシステム構成について説明する。図８は、電子文書管理システムのシステム構成を示す構成図である。図８において、電子文書管理システム８００は、電子文書作成装置８０１と、システムサーバ８０２と、クライアント装置８０３−１〜８０３−ｋと、電子文書検証装置８０４と、がインターネット、ＷＡＮなどのネットワーク５１４を介して相互に通信可能に接続されている。

電子文書作成装置８０１は、電子文書Ｍを作成する機能を有するコンピュータ装置である。また、電子文書作成装置８０１は、電子文書Ｍの電子署名を生成して電子文書Ｍに設定する機能を有する。電子文書作成装置８０１において作成された電子文書Ｍは、システムサーバ８０２の電子文書管理ＤＢ（データベース）８１０に記憶される。

さらに、電子文書作成装置８０１は、電子文書Ｍから分割された部分文書ごとに、その部分文書の開示・非開示を規定するポリシーを作成する機能を有する。部分文書ごとのポリシーはリスト化され、電子文書Ｍと関連付けてシステムサーバ８０２の電子文書管理ＤＢ８１０（後述の図１１参照）に記憶される。

システムサーバ８０２は、電子文書管理ＤＢ８１０を備え、電子文書管理システム８００において公開される電子文書Ｍを管理する機能を有するコンピュータ装置である。また、システムサーバ８０２は、電子文書検証装置８０４およびクライアント装置８０３−１〜８０３−ｋからの送信要求に応じて、電子文書Ｍを送信する。このとき、電子文書Ｍとクライアント装置８０３−１〜８０３−ｋとを関連付けて管理することで、電子文書Ｍの送信先のクライアント装置８０３−１〜８０３−ｋを認識することができる。

クライアント装置８０３−１〜８０３−ｋは、電子文書Ｍ内の任意の部分文書を改訂する機能を有するコンピュータ装置である。電子文書Ｍは、システムサーバ８０２に対して送信要求することで取得することができる。また、電子文書Ｍの改訂が終了すると、改訂後の電子文書Ｍ（改訂文書Ｒ）をシステムサーバ８０２に送信する。

この結果、システムサーバ８０２において、電子文書Ｍとクライアント装置８０３−１〜８０３−ｋと改訂文書Ｒとが関連付けて管理される。具体的には、たとえば、電子文書Ｍ、改訂文書Ｒの文書ＩＤと、クライアント装置８０３−１〜８０３−ｋのＩＰアドレスとを関連付けて管理することとしてもよい。これにより、電子文書Ｍの送信先のクライアント装置８０３−１〜８０３−ｋのうち、電子文書Ｍの改訂が終了した、あるいは、終了していないクライアント装置８０３−１〜８０３−ｋを認識することができる。

電子文書検証装置８０４は、クライアント装置８０３−１〜８０３−ｋにおいて作成された改訂文書Ｒの真正性を検証する機能を有するコンピュータ装置である。改訂文書Ｒは、システムサーバ８０２に対して送信要求することで取得することができる。また、電子文書検証装置８０４は、電子文書Ｍのポリシーに従って、クライアント装置８０３−１〜８０３−ｋにおいて作成された複数の改訂文書Ｒを統合する機能を有する。

電子文書検証装置８０４における複数の改訂文書Ｒを統合する電子文書管理処理の実行タイミングは任意である。本実施例では、電子文書Ｍの送信先のクライアント装置８０３−１〜８０３−ｋにおいて作成されたすべての改訂文書Ｒを取得したあとに、電子文書管理処理を実行する。なお、改訂文書Ｒの取得状況は、システムサーバ８０２から得られる後述する送信先リストを参照することで判断することができる。

ここで、具体的な事例を挙げて、電子文書管理システム８００における電子文書管理処理の流れを説明する。まず、電子文書作成装置８０１を使用するユーザ（署名者）は、電子文書Ｍの内容を確認して欲しいユーザ（改訂者）を決定し、そのユーザが使用するクライアント装置８０３−１〜８０３−ｋに電子文書Ｍの登録を報知する。

さらに、署名者は、電子文書Ｍの確認を要求した改訂者が誰なのかを、電子文書検証装置８０４を使用するユーザ（統合者）に報知する。このあと、改訂者は、電子文書Ｍの内容を確認し、必要に応じて任意の部分文書を改訂する。また、統合者は、すべての改訂者による改訂が終了するのを待って、最終的に、すべての改訂者の改訂文書Ｒを統合して統合文書を作成する。

（電子署名技術の概要）
ここで、電子文書Ｍの真正性を保証するための電子署名技術の概要について説明する。電子文書管理システム８００において公開される電子文書Ｍには、以下に説明する電子署名技術が施されている。図９は、電子署名技術の概要を示す説明図である。図９において、まず、電子文書Ｍをｐ個の部分文書ｍ₁〜ｍ_pに分割する。このあと、乱数を利用して、予測不能な文書ＩＤおよび部分文書ＩＤを各部分文書ｍ₁〜ｍ_pに付加する。

文書ＩＤは、電子文書Ｍから分割されたすべての部分文書ｍ₁〜ｍ_pにおいて共通する値である。以下、各部分文書ｍ₁〜ｍ_pに共通して付加される文書ＩＤを「Ｄ」と表記する。部分文書ＩＤは、部分文書ｍ₁〜ｍ_pごとに異なる値である。この部分文書ＩＤは、電子文書Ｍにおける各部分文書ｍ₁〜ｍ_pの出現位置に従って、昇順（または降順）となるように各部分文書ｍ₁〜ｍ_pに付加される。以下、各部分文書ｍ₁〜ｍ_pに付加された部分文書ＩＤをそれぞれ「ＳＤ₁，ＳＤ₂，…，ＳＤ_p」と表記する。

また、文書ＩＤおよび部分文書ＩＤが付加された部分文書ｍ_jを「Ｄ‖ＳＤ_j‖ｍ_j」（ｊ＝１，２，…，ｐ）と表記する。このあと、各ｊに対して、部分文書「Ｄ‖ＳＤ_j‖ｍ_j」のハッシュ値を算出する。以下、各部分文書「Ｄ‖ＳＤ_j‖ｍ_j」のハッシュ値をそれぞれ「ｈ₁，ｈ₂，…，ｈ_p」と表記する。

このあと、各ハッシュ値ｈ₁〜ｈ_pに対応する文書ＩＤおよび部分文書ＩＤを付加する。以下、文書ＩＤおよび部分文書ＩＤが付加されたハッシュ値ｈ₁〜ｈ_pを「Ｄ‖ＳＤ_j‖ｈ_j」（ｊ＝１，２，…，ｐ）と表記する。

つぎに、各ｊに対して、署名者の秘密鍵を用いて、各ハッシュ値「Ｄ‖ＳＤ_j‖ｈ_j」に対する第１の電子署名を生成する。以下、各ハッシュ値「Ｄ‖ＳＤ_j‖ｈ_j」に対する第１の電子署名を「σ₁，σ₂，…，σ_p」と表記する。第１の電子署名σ₁〜σ_pを生成後、これら第１の電子署名σ₁〜σ_pを集約した第１の集約電子署名σを算出する。具体的には、各第１の電子署名σ₁〜σ_pを乗算することにより、集約電子署名σを算出することとしてもよい。

また、各ｊに対して、署名者の秘密鍵を用いて、部分文書「Ｄ‖ＳＤ_j‖ｍ_j」に対する第２の電子署名を生成する。以下、各部分文書「Ｄ‖ＳＤ_j‖ｍ_j」に対する第２の電子署名を「τ₁，τ₂，…，τ_p」と表記する。第２の電子署名τ₁〜τ_pを生成後、これら第２の電子署名τ₁〜τ_pを集約した第２の集約電子署名τを算出する。具体的には、各第２の電子署名τ₁〜τ_pを乗算することにより、第２の集約電子署名τを算出することとしてもよい。

なお、第１および第２の電子署名の生成方式としては、たとえば、素因数分解に基づくＲＳＡ署名方式やＥＳＩＧＮ署名、離散対数に基づくエルガマル署名やＤＳＡ署名、楕円離散対数に基づく楕円エルガマル署名や楕円ＤＳＡ署名などを用いることができる。第１および第２の電子署名は、異なるアルゴリズムを用いて生成されたそれぞれ異なる電子署名である。

上述した第１の電子署名σ₁〜σ_pおよび第２の電子署名τ₁〜τ_pは、それぞれ対応する各部分文書「Ｄ‖ＳＤ_j‖ｍ_j」に設定される。また、第１の電子署名σ₁〜σ_pを集約した第１の集約電子署名σおよび第２の電子署名τ₁〜τ_pを集約した第２の集約電子署名τは、電子文書Ｍに設定される。

このように、各部分文書「Ｄ‖ＳＤ_j‖ｍ_j」に第１の電子署名σ₁〜σ_pおよび第２の電子署名τ₁〜τ_pを設定し、さらに、集約電子署名σ，τを電子文書Ｍに設定することにより、各部分文書「Ｄ‖ＳＤ_j‖ｍ_j」に対する改訂がおこなわれたとしても、改訂後の電子文書Ｍ（改訂文書Ｒ）の真正性を検証することができる。

具体的には、電子文書Ｍ内の部分文書ｍ₁〜ｍ_pの順序交換や転写などの改訂がおこなわれても、各部分文書ｍ₁〜ｍ_pに付与されている文書ＩＤや部分文書ＩＤから、改訂後における電子文書Ｍの真正性を検証することができる。

（電子文書の改訂処理の概要）
つぎに、上述した電子署名技術が施された電子文書Ｍを改訂する改訂処理の具体例について説明する。図１０は、改訂処理の概要を示す説明図である。ここでは、「墨塗り」、「削除」、「強制開示」の順に、部分文書を改訂する改訂処理について説明する。

まず、電子文書Ｍから分割された部分文書ｍ₁〜ｍ_pの中から墨塗り対象となる部分文書を指定する。ここでは、墨塗り対象として部分文書ｍ₂が指定されている。このあと、墨塗り対象として指定された部分文書ｍ₂に設定されている第１の電子署名σ₂および第２の電子署名τ₂のうちいずれか一方（ここでは、第２の電子署名τ₂）を削除する。

さらに、部分文書ｍ₂に設定されている第２の電子署名τ₂が削除された場合、部分文書ｍ₂を部分文書ｍ₂のハッシュ値ｈ₂に置き換える。そして、部分文書ｍ₂からハッシュ値ｈ₂への置き換えまで完了した時点で、「Ｄ‖ＳＤ₂‖ｈ₂」に墨塗り処理を施すことにより、最終的に部分文書ｍ₂が隠蔽される。

つぎに、電子文書Ｍから分割された部分文書ｍ₁〜ｍ_pの中から削除対象となる部分文書を指定する。ここでは、削除対象として部分文書ｍ₃が指定されている。このあと、削除対象として指定された部分文書ｍ₃に設定されている第１の電子署名σ₃および第２の電子署名τ₃を削除する。

さらに、電子文書Ｍに設定されている第１の集約電子署名σおよび第２の集約電子署名τの中から削除対象として指定された部分文書ｍ₃に設定されている第１の電子署名σ₃および第２の電子署名τ₃をそれぞれ削除する。そして、削除対象に指定された部分文書ｍ₃を削除する。

つぎに、電子文書Ｍから分割された部分文書ｍ₁〜ｍ_pの中から強制開示対象となる部分文書を指定する。ここでは、強制開示対象として部分文書ｍ₄が指定されている。このあと、強制開示対象として指定された部分文書ｍ₄に設定されている第１の電子署名σ₄および第２の電子署名τ₄を削除する。

このような仕組みで各部分文書ｍ₁〜ｍ_pに対する改訂処理を施すことで、以降において変更不能に部分文書ｍ₁〜ｍ_pの属性（墨塗り、削除、強制開示）を設定することができるとともに、改訂後の部分文書ｍ₁〜ｍ_pの属性を一意に特定することができる。

また、各部分文書ｍ₁〜ｍ_pに付与されている部分文書ＩＤに基づいて、第１の電子署名σ₁〜σ_pおよび第２の電子署名τ₁〜τ_pが算出されるため、「墨塗り」、「削除」、「強制開示」などの属性が設定された部分文書ｍ₁〜ｍ_pの順序情報を改訂後においても保持することができる。このため、「墨塗り」、「削除」、「強制開示」の改訂がおこなわれても改訂文書Ｒの真正性を検証することができる。

（電子文書管理ＤＢの記憶内容）
つぎに、電子文書管理ＤＢの記憶内容について説明する。図１１は、電子文書管理ＤＢの記憶内容を示す説明図である。図１１において、電子文書管理ＤＢ８１０には、電子文書Ｍ１〜Ｍｎごとに、電子文書Ｍ１〜Ｍｎから分割された部分文書の開示・非開示を規定するポリシーテーブルＰ１〜Ｐｎと、送信先のクライアント装置８０３−１〜８０３−ｋの改訂状況を管理する送信先リストＬ１〜Ｌｎと、が記憶されている。

ここで、電子文書Ｍｉを例に挙げて、ポリシーテーブルＰｉおよび送信先リストＬｉについて説明する。まず、電子文書Ｍｉについて説明する。図１２は、電子文書の具体例を示す説明図である。図１２において、電子文書Ｍｉは、複数の部分文書ｍ₁〜ｍ₆に分割されている。

つぎに、電子文書ＭｉのポリシーＰｉについて説明する。図１３は、ポリシーテーブルの具体例を示す説明図である。図１３において、ポリシーテーブルＰｉには、電子文書Ｍｉから分割された部分文書ｍ₁，ｍ₂，ｍ₃，ｍ₅の開示・非開示を規定するポリシーが規定されている。

具体的には、部分文書ＩＤ「ＳＤ１」の部分文書ｍ₁「領収書」のポリシーとして『強制開示』が規定されている。また、部分文書ＩＤ「ＳＤ２」の部分文書ｍ₂「富士太郎様」のポリシーとして『総務部の指示に従う』が規定されている。また、部分文書ＩＤ「ＳＤ３」の部分文書ｍ₃「食事代」のポリシーとして『全員が墨塗りを指示した場合のみ墨塗り』が規定されている。また、部分文書ＩＤ「ＳＤ５」の部分文書ｍ₅「１０，０００円」のポリシーとして『経理部の指示に従う』が規定されている。

なお、部分文書ｍ₄，ｍ₆についてはポリシーが規定されていない。このような場合、できる限り部分文書ｍ₄，ｍ₆を残すように開示・非開示を決定する。たとえば、部分文書ｍ₄「として」について、ある改訂者は『削除』、他の改訂者は『墨塗り』している場合、部分文書ｍ₄の痕跡をできる限り残す『墨塗り』に決定する。

つぎに、電子文書Ｍｉの送信先リストＬｉについて説明する。図１４は、送信先リストの具体例を示す説明図である。図１４において、送信先リストＬｉは、電子文書Ｍｉの送信先のクライアント装置８０３−１〜８０３−ｋごとに、ＩＰアドレス、改訂状況および改訂文書を有している。

改訂状況は、送信先のクライアント装置８０３−１〜８０３−ｋにおける電子文書Ｍｉの改訂が終了したか否かを特定する情報である。ここでは、送信先のクライアント装置８０３−１〜８０３−ｋに電子文書Ｍｉを送信すると「未」となり、送信先のクライアント装置８０３−１〜８０３−ｋから改訂後の電子文書Ｍｉを受信すると「済」となる。

改訂文書は、送信先のクライアント装置８０３−１〜８０３−ｋにおいて改訂された改訂後の電子文書Ｍｉ（改訂文書Ｒｉ−１，Ｒｉ−２）である。この送信先リストＬｉは、電子文書検証装置８０４からの送信要求に応じて、システムサーバ８０２から電子文書検証装置８０４に送信される。これにより、電子文書検証装置８０４において、改訂文書Ｒｉ−１，Ｒｉ−２の取得状況を認識することができる。

（実施例における電子文書管理処理の概要）
ここで、図４に示した総務部と経理部が電子文書１０１の改訂を並列的におこなった場合を例に挙げて、実施例における電子文書管理処理の概要について説明する。ここでは、電子文書検証装置８０４において電子文書管理処理を実行する。以下において、図４に示した電子文書１０１を「電子文書Ｍｉ」、改訂文書３０１を「改訂文書Ｒｉ−１」、改訂文書３０２を「改訂文書Ｒｉ−２」、改訂文書４０１を「統合文書Ｕ」と表記する。

図１５は、電子文書検証装置８０４における電子文書管理処理の概要を示す説明図である。図１５において、まず、（１）特定部６０４により、ポリシーテーブルＰｉを参照して、部分文書ＩＤ「ＳＤ１」の部分文書「領収書」の規定内容「強制開示」を特定し、決定部６０３により、部分文書「領収書」を開示すると決定する。

つぎに、（２）特定部６０４により、部分文書ＩＤ「ＳＤ２」の部分文書「富士太郎様」の規定内容「総務部の指示に従う」を特定する。このあと、判断部６０２により、電子文書Ｍｉを参照して、部分文書ＩＤ「ＳＤ２」の部分文書「富士太郎様」が改訂文書Ｒｉ−１，Ｒｉ−２において非開示となっているか否かを判断する。

ここでは、改訂文書Ｒｉ−１において非開示となっている。そして、検出部６０５により、「総務部」の改訂文書Ｒｉ−１における部分文書「富士太郎様」の非開示を検出し、決定部６０３により、部分文書「富士太郎様」を非開示すると決定する。

つぎに、（３）特定部６０４により、部分文書ＩＤ「ＳＤ３」の部分文書「食事代」の規定内容「全員が墨塗りを指示した場合のみ墨塗り」を特定する。これは、複数の改訂文書のうち部分文書が非開示となっている改訂文書の割合が１００［％］の場合に墨塗りすることを意味している。

このあと、判断部６０２により、電子文書Ｍｉを参照して、部分文書ＩＤ「ＳＤ３」の部分文書「食事代」が改訂文書Ｒｉ−１，Ｒｉ−２において非開示となっているか否かを判断する。ここでは、改訂文書Ｒｉ−２において非開示となっている。

そして、検出部６０５により、改訂文書Ｒｉ−１，Ｒｉ−２のうち部分文書「食事代」が非開示となっている改訂文書Ｒｉ−２の割合「１／２＝５０［％］」を検出し、決定部６０３により、非開示となっている割合が「１００［％］」に到達していないため、部分文書「食事代」を開示すると決定する。

つぎに、（４）特定部６０４により、部分文書ＩＤ「ＳＤ４」の部分文書「として」の規定内容を特定する。ここでは、部分文書「として」のポリシーは規定されていない。このため、決定部６０３により、部分文書「として」を開示すると決定する。

つぎに、（５）特定部６０４により、部分文書ＩＤ「ＳＤ５」の部分文書「１０，０００円」の規定内容「経理部の指示に従う」を特定する。このあと、判断部６０２により、部分文書ＩＤ「ＳＤ５」の部分文書「１０，０００円」が改訂文書Ｒｉ−１，Ｒｉ−２において非開示となっているか否かを判断する。

ここでは、改訂文書Ｒｉ−２において非開示となっている。そして、検出部６０５により、「経理部」の改訂文書Ｒｉ−２における部分文書「１０，０００円」の非開示を検出し、決定部６０３により、部分文書「１０，０００円」を非開示すると決定する。

最後に、（６）特定部６０４により、部分文書ＩＤ「ＳＤ６」の部分文書「を頂戴しました。」の規定内容を特定する。ここでは、部分文書「を頂戴しました。」のポリシーは規定されていない。このため、決定部６０３により、部分文書「を頂戴しました。」を開示すると決定する。

そして、改訂部６０６により、以上のように決定された各部分文書の開示・非開示に従って、電子文書Ｍｉ内の部分文書を改訂することで統合文書Ｕを作成する。ここでは、電子文書Ｍｉ内の部分文書「富士太郎様」および「１０，０００円」が墨塗りされて非開示となる統合文書Ｕが作成される。

（電子文書検証装置８０４の電子文書管理処理手順）
つぎに、実施例にかかる電子文書検証装置８０４の電子文書管理処理手順について説明する。図１６は、電子文書検証装置８０４の電子文書管理処理手順を示すフローチャートである。図１６のフローチャートにおいて、まず、取得部６０１により、複数の改訂者により改訂された電子文書Ｍのすべての改訂文書Ｒを取得したか否かを判断する（ステップＳ１６０１）。

ここで、すべての改訂文書Ｒを取得するのを待って（ステップＳ１６０１：Ｎｏ）、取得した場合（ステップＳ１６０１：Ｙｅｓ）、改訂文書Ｒの真正性を検証する検証処理を実行する（ステップＳ１６０２）。そして、すべての改訂文書Ｒの真正性が検証された結果、取得部６０１により、電子文書ＭとポリシーテーブルＰとを取得し（ステップＳ１６０３）、電子文書Ｍ内の部分文書の部分文書ＩＤをあらわす「ｊ」を「ｊ＝０」で初期化する（ステップＳ１６０４）。

このあと、「ｊ」に「１」をインクリメントし（ステップＳ１６０５）、特定部６０４により、ポリシーテーブルＰを参照して、部分文書ＩＤ「ＳＤｊ」の部分文書の規定内容を特定し（ステップＳ１６０６）、部分文書ＩＤ「ＳＤｊ」の部分文書を開示するか否かを決定する決定処理を実行する（ステップＳ１６０７）。

つぎに、改訂部６０６により、決定部６０３によって決定された決定結果に基づいて、部分文書ＩＤ「ＳＤｊ」の部分文書を改訂し（ステップＳ１６０８）、「ｊ＝ｐ」となったか否かを判断する（ステップＳ１６０９）。ただし、「ｐ」は電子文書Ｍから分割された部分文書の個数をあらわしている。

ここで、「ｊ＜ｐ」の場合（ステップＳ１６０９：Ｎｏ）、ステップＳ１６０５に戻り「ｊ」に「１」をインクリメントする。一方、「ｊ＝ｐ」となった場合（ステップＳ１６０９：Ｙｅｓ）、出力部６０７により、改訂後の電子文書Ｍを出力して（ステップＳ１６１０）、本フローチャートによる一連の処理を終了する。

つぎに、図１６に示したステップＳ１６０２における検証処理の具体的な処理手順について説明する。なお、電子文書検証装置８０４は、記憶領域に記憶された検証プログラムをＣＰＵ５０１に実行させることにより、改訂文書Ｒの真正性を検証する検証処理を実現する。図１７は、検証処理の具体的な処理手順を示すフローチャートである。

図１７に示すフローチャートにおいて、まず、図１６に示したステップＳ１６０１において取得された複数の改訂文書Ｒの中から任意の改訂文書Ｒを抽出する（ステップＳ１７０１）。このあと、抽出された改訂文書内の各部分文書に付与されている文書ＩＤがすべて同じであるか否かを判断する（ステップＳ１７０２）。

ここで、文書ＩＤがすべて同じであった場合（ステップＳ１７０２：Ｙｅｓ）、さらに、改訂文書Ｒ内の各部分文書に付与されている部分文書ＩＤが昇順となっているか否かを判断する（ステップＳ１７０３）。

ここで、部分文書ＩＤが昇順となっている場合（ステップＳ１７０３：Ｙｅｓ）、改訂文書Ｒ内の各部分文書のハッシュ値を算出することにより署名対象文書を復元する（ステップＳ１７０４）。このとき、墨塗りされた部分文書は当該部分文書のハッシュ値に置き換えられているため、ハッシュ値を算出する必要はない。

つぎに、改訂文書Ｒに設定されている集約電子署名σを復号することで、集約電子署名σの復号結果と署名対象文書とが一致するか否かを判断する（ステップＳ１７０５）。ここで、一致する場合（ステップＳ１７０５：Ｙｅｓ）、未抽出の改訂文書Ｒがあるか否かを判断する（ステップＳ１７０６）。

そして、未抽出の改訂文書Ｒがある場合には（ステップＳ１７０６：Ｙｅｓ）、ステップＳ１７０１に戻り、複数の改訂文書Ｒの中から未抽出の改訂文書Ｒを抽出する。一方、未抽出の改訂文書Ｒがない場合には（ステップＳ１７０６：Ｎｏ）、図１６に示したステップＳ１６０３に移行する。

また、ステップＳ１７０２において、文書ＩＤがすべて同じ値ではなかった場合（ステップＳ１７０２：Ｎｏ）、不正な改変がおこなわれている旨のエラーメッセージを出力して（ステップＳ１７０７）、一連の処理を終了する。

同様に、ステップＳ１７０３において、部分文書ＩＤが昇順となっていない場合（ステップＳ１７０３：Ｎｏ）、エラーメッセージを出力して（ステップＳ１７０７）、一連の処理を終了する。さらに、ステップＳ１７０５において、一致しない場合（ステップＳ１７０５：Ｎｏ）、エラーメッセージを出力して（ステップＳ１７０７）、一連の処理を終了する。

つぎに、図１６に示したステップＳ１６０７における決定処理の具体的な処理手順について説明する。図１８は、決定処理の具体的な処理手順を示すフローチャートである。図１８に示すフローチャートにおいて、まず、決定部６０３により、図１６のステップＳ１６０６において特定された規定内容が「強制開示」か否かを判断する（ステップＳ１８０１）。

ここで、「強制開示」と判断された場合（ステップＳ１８０１：Ｙｅｓ）、部分文書ＩＤ「ＳＤｊ」の部分文書を開示すると決定して（ステップＳ１８０２）、図１６に示したステップＳ１６０８に移行する。一方、「強制開示」ではないと判断された場合（ステップＳ１８０１：Ｎｏ）、規定内容が「強制非開示」か否かを判断する（ステップＳ１８０３）。

ここで、「強制非開示」と判断された場合（ステップＳ１８０３：Ｙｅｓ）、部分文書ＩＤ「ＳＤｊ」の部分文書を非開示すると決定して（ステップＳ１８０４）、図１６に示したステップＳ１６０８に移行する。一方、「強制非開示」ではないと判断された場合（ステップＳ１８０３：Ｎｏ）、判断部６０２により、各改訂文書Ｒにおいて部分文書ＩＤ「ＳＤｊ」の部分文書が非開示となっているか否かを判断する（ステップＳ１８０５）。

ここで、各改訂文書Ｒにおいて部分文書ＩＤ「ＳＤｊ」の部分文書が開示されている場合（ステップＳ１８０５：Ｎｏ）、決定部６０３により、部分文書ＩＤ「ＳＤｊ」の部分文書を開示すると決定する（ステップＳ１８０２）。一方、少なくともいずれかの改訂文書Ｒにおいて部分文書ＩＤ「ＳＤｊ」の部分文書が非開示となっている場合（ステップＳ１８０５：Ｙｅｓ）、規定内容が「特定の改訂者による改訂を優先」か否かを判断する（ステップＳ１８０６）。

ここで、「特定の改訂者による改訂を優先」と判断された場合（ステップＳ１８０６：Ｙｅｓ）、検出部６０５により、特定の改訂者の改訂文書Ｒにおける部分文書ＩＤ「ＳＤｊ」の部分文書の開示・非開示を検出し（ステップＳ１８０７）、部分文書ＩＤ「ＳＤｊ」の部分文書が開示されているか否かを判断する（ステップＳ１８０８）。

ここで、部分文書ＩＤ「ＳＤｊ」の部分文書が開示されている場合（ステップＳ１８０８：Ｙｅｓ）、決定部６０３により、部分文書ＩＤ「ＳＤｊ」の部分文書を開示すると決定する（ステップＳ１８０２）。一方、非開示となっている場合（ステップＳ１８０８：Ｎｏ）、決定部６０３により、部分文書ＩＤ「ＳＤｊ」の部分文書を非開示すると決定する（ステップＳ１８０４）。

また、ステップＳ１８０６において、「特定の改訂者による改訂を優先」ではないと判断された場合（ステップＳ１８０６：Ｎｏ）、規定内容が「特定の割合以上のときに非開示」か否かを判断する（ステップＳ１８０９）。

ここで、「特定の割合以上のときに非開示」と判断された場合（ステップＳ１８０９：Ｙｅｓ）、検出部６０５により、複数の改訂文書Ｒのうち部分文書ＩＤ「ＳＤｊ」の部分文書が非開示となっている改訂文書Ｒの割合を検出し（ステップＳ１８１０）、特定の割合以上か否かを判断する（ステップＳ１８１１）。

ここで、特定の割合以上の場合（ステップＳ１８１１：Ｙｅｓ）、決定部６０３により、部分文書ＩＤ「ＳＤｊ」の部分文書を非開示すると決定する（ステップＳ１８０４）。一方、特定の割合未満の場合（ステップＳ１８１１：Ｎｏ）、決定部６０３により、部分文書ＩＤ「ＳＤｊ」の部分文書を開示すると決定する（ステップＳ１８０２）。また、ステップＳ１８０９において、「特定の割合以上のときに非開示」ではないと判断された場合（ステップＳ１８０９：Ｎｏ）、決定部６０３により、部分文書ＩＤ「ＳＤｊ」の部分文書を開示すると決定する（ステップＳ１８０２）。

実施例によれば、電子文書Ｍｉに電子署名技術を施すことにより、改訂文書Ｒｉ−１，Ｒｉ−２のうち開示されている部分文書の完全性を保証することができる。さらに、ポリシーテーブルＰｉに従って、それぞれ異なる改訂者（総務部、経理部）により並列的に改訂処理が施された改訂文書Ｒｉ−１，Ｒｉ−２を統合した統合文書Ｕを自動作成することができる。

これにより、統合者が、各改訂文書Ｒｉ−１，Ｒｉ−２と各改訂者の権限とを照らし合わせて、権限を逸脱した改訂がおこなわれていないか、さらには、どの改訂者による改訂を優先すべきかを判断する煩雑な作業が不要となり、改訂文書Ｒｉ−１，Ｒｉ−２の統合作業にかかる作業負担を軽減させることができる。

なお、本実施の形態で説明した電子文書管理方法は、予め用意されたプログラムをパーソナル・コンピュータやワークステーションなどのコンピュータで実行することにより実現することができる。このプログラムは、ハードディスク、フレキシブルディスク、ＣＤ−ＲＯＭ、ＭＯ、ＤＶＤなどのコンピュータで読み取り可能な記録媒体に記録され、コンピュータによって記録媒体から読み出されることによって実行される。またこのプログラムは、インターネットなどのネットワークを介して配布することが可能な伝送媒体であってもよい。

上述した実施の形態に関し、さらに以下の付記を開示する。

（付記１）電子文書から分割された構成要素ごとに、当該構成要素の開示・非開示を規定するポリシーを記憶する記憶手段とアクセス可能なコンピュータを、
前記電子文書と、それぞれ異なる改訂者に関する前記電子文書内の任意の構成要素を非開示とする改訂処理が施された複数の改訂文書と、を取得する取得手段、
前記取得手段によって取得された電子文書を参照して、当該電子文書内の構成要素ごとに、前記取得手段によって取得された各改訂文書において前記構成要素が非開示となっているか否かを判断する判断手段、
前記判断手段によって少なくともいずれかの改訂文書において前記構成要素が非開示と判断された場合、前記記憶手段によって記憶されたポリシーに基づいて、前記構成要素を開示するか否かを前記構成要素ごとに決定する決定手段、
前記決定手段によって決定された決定結果に基づいて、前記電子文書内の前記構成要素を改訂する改訂手段、
前記改訂手段によって改訂された改訂後の前記電子文書を出力する出力手段、
として機能させることを特徴とする電子文書管理プログラム。

（付記２）前記コンピュータを、
前記ポリシーに規定されている前記構成要素の規定内容を特定する特定手段として機能させ、
前記決定手段は、
前記特定手段によって前記構成要素を強制開示する規定内容が特定された場合、前記構成要素を開示すると決定することを特徴とする付記１に記載の電子文書管理プログラム。

（付記３）前記決定手段は、
前記特定手段によって前記構成要素を強制非開示する規定内容が特定された場合、前記構成要素を非開示すると決定することを特徴とする付記２に記載の電子文書管理プログラム。

（付記４）前記コンピュータを、
前記判断手段によって非開示と判断され、かつ、前記特定手段によって特定の改訂者による改訂を優先する規定内容が特定された場合、前記複数の改訂文書の中から前記特定の改訂者の改訂文書における前記構成要素の開示・非開示を検出する検出手段として機能させ、
前記決定手段は、
前記検出手段によって検出された特定の改訂者の改訂文書における前記構成要素の開示・非開示に基づいて、前記構成要素を開示するか否かを決定することを特徴とする付記２または３に記載の電子文書管理プログラム。

（付記５）前記検出手段は、
前記判断手段によって非開示と判断され、かつ、前記特定手段によって前記複数の改訂者のうち前記構成要素を非開示とする改訂処理を施した改訂者の割合が特定の割合以上のときに前記構成要素を非開示とする規定内容が特定された場合、前記複数の改訂文書のうち前記構成要素が非開示となっている改訂文書の割合を検出し、
前記決定手段は、
前記検出手段によって検出された割合が前記特定の割合以上となった場合、前記構成要素を非開示すると決定することを特徴とする付記２〜４のいずれか一つに記載の電子文書管理プログラム。

（付記６）前記取得手段は、
前記電子文書と、前記電子文書内の任意の構成要素を非開示とする第１の改訂者に関する改訂処理が施され、当該第１の改訂者に関する改訂処理が施されたあとに、前記電子文書内の任意の構成要素を非開示とする第２の改訂者に関する改訂処理が施された改訂文書と、を取得し、
前記判断手段は、
前記取得手段によって取得された電子文書を参照して、当該電子文書内の構成要素ごとに、前記取得手段によって取得された改訂文書において前記構成要素が非開示となっているか否かを判断し、
前記決定手段は、
前記判断手段によって非開示と判断された場合、前記構成要素を非開示とする改訂処理を施した前記第１または第２の改訂者と、前記記憶手段によって記憶されたポリシーとに基づいて、前記構成要素を開示するか否かを前記構成要素ごとに決定することを特徴とする付記１〜５のいずれか一つに記載の電子文書管理プログラム。

（付記７）前記電子文書から分割された構成要素には、前記電子文書における出現位置に関する順序に従って真正乱数または擬似乱数（以下、「乱数」という）が割り当てられており、
前記コンピュータを、
前記改訂文書内の各構成要素に割り当てられた乱数が、前記電子文書における前記各構成要素の出現位置に関する順序に従っているか否かを判定する判定手段として機能させ、
前記判断手段は、
前記判定手段によって前記各構成要素の出現位置に関する順序に従っていると判定された場合、前記電子文書内の構成要素ごとに、前記改訂文書において前記構成要素が非開示となっているか否かを判断することを特徴とする付記１〜６のいずれか一つに記載の電子文書管理プログラム。

（付記８）前記電子文書から分割された構成要素には、当該複数の構成要素において共通する真正乱数または擬似乱数（以下、「共通乱数」という）が割り当てられており、
前記判定手段は、
前記改訂文書内の各構成要素に割り当てられた共通乱数が共通であるか否かを判定し、
前記判断手段は、
前記判定手段によって前記各構成要素に割り当てられた共通乱数が共通であると判定された場合、前記電子文書内の構成要素ごとに、前記改訂文書において前記構成要素が非開示となっているか否かを判断することを特徴とする付記７に記載の電子文書管理プログラム。

（付記９）前記電子文書から分割された構成要素には、当該構成要素ごとに生成された電子署名が設定されており、
前記判定手段は、
前記改訂文書内の各構成要素に設定された電子署名に基づいて、前記各構成要素の正当性を判定し、
前記判断手段は、
前記判定手段によって前記各構成要素が正当であると判定された場合、前記電子文書内の構成要素ごとに、前記改訂文書において前記構成要素が非開示となっているか否かを判断することを特徴とする付記７または８に記載の電子文書管理プログラム。

（付記１０）前記電子文書には、当該電子文書から分割された構成要素ごとに生成された電子署名が集約された集約電子署名が設定されており、
前記判定手段は、
前記電子文書に設定された集約電子署名に基づいて、前記改訂文書の正当性を判定し、
前記判定手段によって前記改訂文書が正当であると判定された場合、前記電子文書内の構成要素ごとに、前記改訂文書において前記構成要素が非開示となっているか否かを判断することを特徴とする付記７〜９のいずれか一つに記載の電子文書管理プログラム。

（付記１１）付記１〜１０のいずれか一つに記載の電子文書管理プログラムを記録したコンピュータに読み取り可能な記録媒体。

（付記１２）電子文書から分割された構成要素ごとに、当該構成要素の開示・非開示を規定するポリシーを記憶する記憶手段とアクセス可能な電子文書管理装置であって、
前記電子文書と、それぞれ異なる改訂者に関する前記電子文書内の任意の構成要素を非開示とする改訂処理が施された複数の改訂文書と、を取得する取得手段と、
前記取得手段によって取得された電子文書を参照して、当該電子文書内の構成要素ごとに、前記取得手段によって取得された各改訂文書において前記構成要素が非開示となっているか否かを判断する判断手段と、
前記判断手段によって少なくともいずれかの改訂文書において前記構成要素が非開示と判断された場合、前記記憶手段によって記憶されたポリシーに基づいて、前記構成要素を開示するか否かを前記構成要素ごとに決定する決定手段と、
前記決定手段によって決定された決定結果に基づいて、前記電子文書内の前記構成要素を改訂する改訂手段と、
前記改訂手段によって改訂された改訂後の前記電子文書を出力する出力手段と、
を備えることを特徴とする電子文書管理装置。

（付記１３）制御手段および記憶手段を備え、電子文書から分割された構成要素ごとに、当該構成要素の開示・非開示を規定するポリシーを記憶するテーブルにアクセス可能なコンピュータが、
前記制御手段により、前記電子文書と、それぞれ異なる改訂者に関する前記電子文書内の任意の構成要素を非開示とする改訂処理が施された複数の改訂文書と、を取得する取得工程と、
前記制御手段により、前記取得工程によって取得された電子文書を参照して、当該電子文書内の構成要素ごとに、前記取得工程によって取得された各改訂文書において前記構成要素が非開示となっているか否かを判断する判断工程と、
前記制御手段により、前記判断工程によって少なくともいずれかの改訂文書において前記構成要素が非開示と判断された場合、前記テーブルによって記憶されたポリシーに基づいて、前記構成要素を開示するか否かを前記構成要素ごとに決定する決定工程と、
前記制御手段により、前記決定工程によって決定された決定結果に基づいて、前記電子文書内の前記構成要素を改訂する改訂工程と、
前記制御手段により、前記改訂工程によって改訂された改訂後の前記電子文書を出力する出力工程と、
を実行することを特徴とする電子文書管理方法。

以上のように、電子文書管理プログラム、該プログラムを記録した記録媒体、電子文書管理装置、および電子文書管理方法は、電子文書の真正性を検証する技術に有用であり、特に、複数の改訂者により並列的に改訂された改訂文書を統合する技術に適している。

従来技術の問題点を示す説明図（その１）である。 従来技術の問題点を示す説明図（その２）である。 従来技術の問題点を示す説明図（その３）である。 本実施の形態の概要を示す説明図である。 電子文書管理装置のハードウェア構成を示すブロック図である。 電子文書管理装置の機能的構成を示すブロック図である。 電子文書管理装置の電子文書管理処理手順の一例を示すフローチャートである。 電子文書管理システムのシステム構成を示す構成図である。 電子署名技術の概要を示す説明図である。 改訂処理の概要を示す説明図である。 電子文書管理ＤＢの記憶内容を示す説明図である。 電子文書の具体例を示す説明図である。 ポリシーテーブルの具体例を示す説明図である。 送信先リストの具体例を示す説明図である。 電子文書検証装置における電子文書管理処理の概要を示す説明図である。 電子文書検証装置の電子文書管理処理手順を示すフローチャートである。 検証処理の具体的な処理手順を示すフローチャートである。 決定処理の具体的な処理手順を示すフローチャートである。

符号の説明

５００ 電子文書管理装置
６０１ 取得部
６０２ 判断部
６０３ 決定部
６０４ 特定部
６０５ 検出部
６０６ 改訂部
６０７ 出力部
８００ 電子文書管理システム
８０１ 電子文書作成装置
８０２ システムサーバ
８０３−１〜８０３−ｋ クライアント装置
８０４ 電子文書検証装置

Claims (8)

1. 電子文書から分割された構成要素ごとに、当該構成要素の開示・非開示を規定するポリシーを記憶する記憶手段とアクセス可能なコンピュータを、
   前記電子文書と、それぞれ異なる改訂者に関する前記電子文書内の任意の構成要素を非開示とする改訂処理が施された複数の改訂文書と、を取得する取得手段、
   前記取得手段によって取得された電子文書を参照して、当該電子文書内の構成要素ごとに、前記取得手段によって取得された各改訂文書において前記構成要素が非開示となっているか否かを判断する判断手段、
   前記判断手段によって少なくともいずれかの改訂文書において前記構成要素が非開示と判断された場合、前記記憶手段によって記憶されたポリシーに基づいて、前記構成要素を開示するか否かを前記構成要素ごとに決定する決定手段、
   前記決定手段によって決定された決定結果に基づいて、前記電子文書内の前記構成要素を改訂する改訂手段、
   前記改訂手段によって改訂された改訂後の前記電子文書を出力する出力手段、
   として機能させることを特徴とする電子文書管理プログラム。
2. 前記コンピュータを、
   前記ポリシーに規定されている前記構成要素の規定内容を特定する特定手段として機能させ、
   前記決定手段は、
   前記特定手段によって前記構成要素を強制開示する規定内容が特定された場合、前記構成要素を開示すると決定することを特徴とする請求項１に記載の電子文書管理プログラム。
3. 前記決定手段は、
   前記特定手段によって前記構成要素を強制非開示する規定内容が特定された場合、前記構成要素を非開示すると決定することを特徴とする請求項２に記載の電子文書管理プログラム。
4. 前記コンピュータを、
   前記判断手段によって非開示と判断され、かつ、前記特定手段によって特定の改訂者による改訂を優先する規定内容が特定された場合、前記複数の改訂文書の中から前記特定の改訂者の改訂文書における前記構成要素の開示・非開示を検出する検出手段として機能させ、
   前記決定手段は、
   前記検出手段によって検出された特定の改訂者の改訂文書における前記構成要素の開示・非開示に基づいて、前記構成要素を開示するか否かを決定することを特徴とする請求項２または３に記載の電子文書管理プログラム。
5. 前記検出手段は、
   前記判断手段によって非開示と判断され、かつ、前記特定手段によって前記複数の改訂者のうち前記構成要素を非開示とする改訂処理を施した改訂者の割合が特定の割合以上のときに前記構成要素を非開示とする規定内容が特定された場合、前記複数の改訂文書のうち前記構成要素が非開示となっている改訂文書の割合を検出し、
   前記決定手段は、
   前記検出手段によって検出された割合が前記特定の割合以上となった場合、前記構成要素を非開示すると決定することを特徴とする請求項２〜４のいずれか一つに記載の電子文書管理プログラム。
6. 請求項１〜５のいずれか一つに記載の電子文書管理プログラムを記録したコンピュータに読み取り可能な記録媒体。
7. 電子文書から分割された構成要素ごとに、当該構成要素の開示・非開示を規定するポリシーを記憶する記憶手段とアクセス可能な電子文書管理装置であって、
   前記電子文書と、それぞれ異なる改訂者に関する前記電子文書内の任意の構成要素を非開示とする改訂処理が施された複数の改訂文書と、を取得する取得手段と、
   前記取得手段によって取得された電子文書を参照して、当該電子文書内の構成要素ごとに、前記取得手段によって取得された各改訂文書において前記構成要素が非開示となっているか否かを判断する判断手段と、
   前記判断手段によって少なくともいずれかの改訂文書において前記構成要素が非開示と判断された場合、前記記憶手段によって記憶されたポリシーに基づいて、前記構成要素を開示するか否かを前記構成要素ごとに決定する決定手段と、
   前記決定手段によって決定された決定結果に基づいて、前記電子文書内の前記構成要素を改訂する改訂手段と、
   前記改訂手段によって改訂された改訂後の前記電子文書を出力する出力手段と、
   を備えることを特徴とする電子文書管理装置。
8. 制御手段および記憶手段を備え、電子文書から分割された構成要素ごとに、当該構成要素の開示・非開示を規定するポリシーを記憶するテーブルにアクセス可能なコンピュータが、
   前記制御手段により、前記電子文書と、それぞれ異なる改訂者に関する前記電子文書内の任意の構成要素を非開示とする改訂処理が施された複数の改訂文書と、を取得する取得工程と、
   前記制御手段により、前記取得工程によって取得された電子文書を参照して、当該電子文書内の構成要素ごとに、前記取得工程によって取得された各改訂文書において前記構成要素が非開示となっているか否かを判断する判断工程と、
   前記制御手段により、前記判断工程によって少なくともいずれかの改訂文書において前記構成要素が非開示と判断された場合、前記テーブルによって記憶されたポリシーに基づいて、前記構成要素を開示するか否かを前記構成要素ごとに決定する決定工程と、
   前記制御手段により、前記決定工程によって決定された決定結果に基づいて、前記電子文書内の前記構成要素を改訂する改訂工程と、
   前記制御手段により、前記改訂工程によって改訂された改訂後の前記電子文書を出力する出力工程と、
   を実行することを特徴とする電子文書管理方法。

Images