JP4456137B2 - 電子文書管理プログラム、該プログラムを記録した記録媒体、電子文書管理装置、および電子文書管理方法 - Google Patents

Description

この発明は、真正を検証可能な電子文書を管理する電子文書管理プログラム、該プログラムを記録した記録媒体、電子文書管理装置、および電子文書管理方法に関する。

従来、電子文書の真正を検証する技術として、電子署名を用いた技術が提供されている。この電子署名技術は、電子文書ごとに電子署名を付与することによって、電子文書の作成者を認証するとともに、電子文書の正当性を判断することができ、電子文書の真正性を保証する技術である。

このため、電子署名技術を利用した場合、不正なユーザによる改ざんを防ぐという点においては非常に有用である。しかし一方で、電子文書の有効活用という点においては問題があった。なぜなら、電子文書に対して何らかの改訂をおこなった場合、改訂後の電子文書の正当性が保証されないからである。

このため、電子文書に公開することができない情報や不要な情報が含まれている場合であっても、電子文書の中から削除するなどの改訂をおこなうことができず、ユーザの利便性を著しく低下させる要因となっていた。これにともなって、電子文書に対する改訂が可能でかつ、電子文書の真正が検証可能な技術が望まれている。

たとえば、電子文書を部分文書に分割し、部分文書ごとに公開・非公開を指定することにより、非公開の部分文書に対して墨塗りを施す技術が提供されている（たとえば、下記非特許文献１参照。）。この墨塗り署名技術によれば、電子文書における公開部分に対する完全性と、非公開部分（墨塗り部分）に対する秘匿性を保証することができる。

また、電子文書を部分文書に分割し、部分文書ごとに電子署名を付与し、部分文書ごとに公開・非公開を指定することにより、非公開の部分文書を削除可能にするとともに、電子文書の正当性を保証する技術が提供されている（たとえば、下記特許文献１および非特許文献２参照。）。この削除署名技術によれば、電子文書における公開部分に対する完全性と、非公開部分（削除部分）に対する秘匿性を保証することができる。

また、電子文書を部分文書に分割し、部分文書ごとに公開・非公開を指定することにより、非公開の部分文書に対して墨塗りまたは削除を施す技術が提供されている（たとえば、下記非特許文献３参照。）。この墨塗り・削除署名技術によれば、同一の電子文書において墨塗りおよび削除を併用するができ、電子文書における公開部分に対する完全性と、非公開部分（墨塗り部分および削除部分）に対する秘匿性を保証することができる。

また、上述した墨塗り署名技術、削除署名技術、墨塗り・削除署名技術において、各部分文書に対して、墨塗りおよび削除に関する各種の状態を設定することができる。ここで、非特許文献３に記載された墨塗り・削除署名技術を例に挙げて、各部分文書に対して設定される各種の状態について説明する。

図３４は、従来技術における部分文書状態および状態遷移を示す図表である。図３４において、図表３４００には、各部分文書に設定可能な各種の状態が表現されている。具体的には、墨塗り（Ｓａｎｉｔｉｚａｔｉｏｎ）および削除（Ｄｅｌｅｔｉｏｎ）に関する、禁止（Ｐｒｏｈｉｂｉｔｅｄ）、可能（Ａｌｌｏｗｅｄ）、済み（Ｓａｎｉｔｉｚｅｄ ｏｒ Ｄｅｌｅｔｅｄ）の属性の組み合わせによって６個の状態が表現されている。

ここでは、これら６個の状態をそれぞれ、ＳＡＤＡ（墨塗り可能、削除可能）、ＳＰＤＰ（墨塗り禁止、削除禁止）、ＳＡＤＰ（墨塗り可能、削除禁止）、ＳＤＡ（墨塗り済み、削除可能）、ＳＤＰ（墨塗り済み、削除禁止）およびＤ（削除済み）と表記する。

また、これらの状態間の遷移をあらわす状態遷移として、９個の状態遷移Ｔａ〜Ｔｉが表現されている。たとえば、状態遷移Ｔａは、墨塗り可能でかつ削除可能な状態であるＳＡＤＡから墨塗り禁止でかつ削除禁止な状態であるＳＰＤＰへの遷移をあらわしている。

これら６個の状態および９個の状態遷移は、単に部分文書に対するプロパティとして設定されているのではなく、データの保持手法によって物理的に設定されている。これにより、部分文書を、公開、非公開および改訂の可否に応じて各種の状態に設定することができ、プロパティの誤設定などによる電子文書の情報漏洩を防ぐことができる。

特開２００６−６０７２２号公報 宮崎邦彦、岩村充、松本勉、佐々木良一、吉浦裕、手塚悟、今井秀樹著「開示条件を制御可能な電子文書墨塗り技術」２００４年暗号と情報セキュリティシンポジウム予稿集 宮崎邦彦、花岡悟一郎、今井秀樹著「双線形写像を用いた電子文書墨塗り技術」２００５年暗号と情報セキュリティシンポジウム予稿集 佐野誠、伊豆哲也、國廣昇、太田和夫、武仲正彦著「部分情報の墨塗りと削除が可能な電子署名方式について」２００７年暗号と情報セキュリティシンポジウム予稿集

しかしながら、上述した従来技術によれば、部分文書を、墨塗り禁止でかつ削除可能な状態（ＳＰＤＡ）に設定する改訂をおこなうことができなかった。このため、何らかの理由により削除は許可するが墨塗りは禁止する部分文書が存在する場合に、当該部分文書を墨塗り禁止でかつ削除可能な状態に設定することができず、ユーザの利便性を低下させているという問題があった。

ここで、上述した従来技術の問題点を具体的に説明する。図３５は、従来技術の問題点の一例を示す説明図である。図３５において、オリジナル文書３５１０は、ある市（○×市）が実施した公共工事の入札結果をあらわす電子文書である。具体的には、１ページ目には、最終的な落札者の名称（○○建設）および落札額（五拾万円）を含む情報が記載されている。

２ページ目には、他の入札者の名称（△△建設）および入札額（四拾万円）を含む情報が記載されている。３ページ目には、他の入札者の名称（××建設）および入札額（三拾万円）を含む情報が記載されている。また、このオリジナル文書３５１０には、○×市の公印を示す電子署名Ｘが付与されている。ここでは、各ページ１〜３を部分文書Ｐ１〜Ｐ３とする。

入札結果の公開請求があった場合、オリジナル文書３５１０をそのまま公開すると、部分文書Ｐ２および部分文書Ｐ３に記載されている入札者の名称や入札額などの個人情報が公開されてしまう。このような場合、個人情報の保護を考慮して、オリジナル文書３５１０の部分的な秘匿が必要となる。

そこで、墨塗り・削除署名技術を利用してオリジナル文書３５１０を改訂し、部分的な情報秘匿を実現する。改訂文書３５２０は、オリジナル文書３５１０から秘匿性を有する個人情報が削除された電子文書である。この改訂文書３５２０が公開された場合、秘匿性を有する個人情報が削除されているため、閲覧者は、部分文書Ｐ２，Ｐ３の具体的な内容を特定することができない。つまり、個人情報は適切に保護されており、この改訂文書３５２０は望ましいものとなっている。

また、改訂文書３５３０は、オリジナル文書３５１０における秘匿性を有する個人情報が墨塗りされた電子文書である。この改訂文書３５３０が公開された場合、秘匿性を有する個人情報は墨塗りされているため、閲覧者は、部分文書Ｐ２，Ｐ３の具体的な内容を特定することができない。しかし、墨塗りされている部分文書Ｐ２，Ｐ３をもとに入札者数を推定することができるなど、完全に秘匿性を保証することができず、この改訂文書３５３０は必ずしも望ましいものとなっていない場合があった。

このような状況を回避するために、オリジナル文書３５１０の作成時に、部分文書Ｐ２，Ｐ３を墨塗り禁止でかつ削除可能な状態（ＳＰＤＡ）に設定することで、部分文書Ｐ２，Ｐ３を隠蔽する手段として、墨塗りを選択することを防ぐ技術が求められていた。

この発明は、上述した従来技術による問題点を解消するため、部分文書を墨塗り禁止でかつ削除可能な状態に設定可能とすることにより、より柔軟な電子文書の改訂を実現し、ユーザの利便性の向上を図ることができる電子文書管理プログラム、該プログラムを記録した記録媒体、電子文書管理装置、および電子文書管理方法を提供することを目的とする。

上述した課題を解決し、目的を達成するため、この発明にかかる電子文書管理プログラム、該プログラムを記録した記録媒体、電子文書管理装置、および電子文書管理方法は、複数の構成要素からなり、前記構成要素ごとに、当該構成要素固有の第１の電子署名および第２の電子署名が規定され、かつ前記各第１の電子署名を集約した集約電子署名が関連付けられている電子文書を取得し、その電子文書のうち隠蔽禁止対象となる構成要素の指定を受け付け、隠蔽禁止対象に指定された構成要素と当該構成要素に規定されている前記第１の電子署名および第２の電子署名の双方とが存在する場合、当該構成要素が隠蔽可能でかつ削除可能な状態であると判断し、隠蔽可能でかつ削除可能な状態であると判断された場合、前記隠蔽禁止対象となる構成要素に規定されている第２の電子署名を削除することを特徴とする。

また、上記発明において、前記電子文書のうち削除禁止対象となる構成要素の指定を受け付け、削除禁止対象に指定された構成要素と当該構成要素に規定されている前記第１の電子署名とが存在する場合、当該構成要素が削除可能な状態であると判断し、削除可能な状態であると判断された場合、前記削除禁止対象となる構成要素に規定されている第１の電子署名を削除することとしてもよい。

また、上記発明において、前記電子文書のうち削除対象となる構成要素の指定を受け付け、削除対象に指定された構成要素と当該構成要素に規定されている前記第１の電子署名とが存在する場合、当該構成要素が削除可能な状態であると判断し、削除可能な状態であると判断された場合、前記削除対象となる構成要素に規定されている前記第１の電子署名を前記集約電子署名の中から削除するとともに、前記構成要素および当該構成要素に規定されている第１の電子署名を削除することとしてもよい。

これらの発明によれば、電子文書を構成する構成要素を、隠蔽可能でかつ削除可能な状態から隠蔽禁止でかつ削除可能な状態に設定することができる。さらに、隠蔽禁止でかつ削除可能な状態に設定されたその構成要素を、隠蔽禁止でかつ削除可能な状態または削除済みの状態に設定することができる。

また、上記発明において、改定対象となる構成要素が、隠蔽禁止、削除禁止および削除済みのいずれかに改訂された改訂文書を取得し、前記第１の電子署名、前記第２の電子署名および前記集約電子署名に基づいて、前記改訂文書の真正を検証し、その検証結果を出力することとしてもよい。

この発明によれば、改定対象に指定された構成要素の状態が隠蔽禁止、削除禁止および削除済みのいずれかの状態に設定された場合であっても、当該改定対象を含む改訂文書の真正性を検証することができる。

また、上記発明において、複数の構成要素からなり、前記構成要素ごとに、当該構成要素固有の第１の電子署名および第２の電子署名が規定され、かつ前記各第１の電子署名を集約した第１の集約電子署名および前記各第２の電子署名を集約した第２の集約電子署名が関連付けられている電子文書を取得し、その電子文書のうち隠蔽禁止対象となる構成要素の指定を受け付け、隠蔽禁止対象に指定された構成要素と当該構成要素に規定されている前記第１の電子署名および第２の電子署名の双方とが存在する場合、当該構成要素が隠蔽可能でかつ削除可能な状態であると判断し、隠蔽可能でかつ削除可能な状態であると判断された場合、前記隠蔽禁止対象となる構成要素に規定されている前記第２の電子署名を前記第２の集約電子署名の中から削除するとともに、前記構成要素に規定されている第２の電子署名を削除することとしてもよい。

また、上記発明において、前記電子文書のうち前記削除禁止対象となる構成要素の指定を受け付け、削除禁止対象に指定された構成要素と当該構成要素に規定されている前記第１の電子署名とが存在する場合、当該構成要素が削除可能な状態であると判断し、削除可能な状態であると判断された場合、前記削除禁止対象となる構成要素に規定されている前記第１の電子署名を削除することとしてもよい。

また、上記発明において、前記電子文書のうち前記削除対象となる構成要素の指定を受け付け、削除対象に指定された構成要素と当該構成要素に規定されている前記第１の電子署名とが存在する場合、当該構成要素が削除可能な状態であると判断し、削除可能な状態であると判断された場合、前記削除対象となる構成要素に規定されている前記第１の電子署名を前記第１の集約電子署名の中から削除するとともに、前記構成要素および当該構成要素に規定されている第１の電子署名を削除することとしてもよい。

これらの発明によれば、電子文書を構成する構成要素を、隠蔽可能でかつ削除可能な状態から隠蔽禁止でかつ削除可能な状態に設定することができる。さらに、隠蔽禁止でかつ削除可能な状態に設定されたその構成要素を、隠蔽禁止でかつ削除可能な状態または削除済みの状態に設定することができる。

また、上記発明において、改定対象となる構成要素が、隠蔽禁止、削除禁止および削除済みのいずれかに改訂された改訂文書を取得し、前記第１の電子署名、前記第２の電子署名、前記第１の集約電子署名および前記第２の集約電子署名に基づいて、前記改訂文書の真正を検証することとしてもよい。

この発明によれば、改定対象に指定された構成要素の状態が隠蔽禁止、削除禁止および削除済みのいずれかの状態に設定された場合であっても、当該改定対象を含む改訂文書の真正性を検証することができる。

本発明にかかる電子文書管理プログラム、該プログラムを記録した記録媒体、電子文書管理装置、および電子文書管理方法によれば、部分文書を墨塗り禁止でかつ削除可能な状態に設定可能とすることにより、より柔軟な電子文書の改訂を実現し、ユーザの利便性の向上を図ることができるという効果を奏する。

以下に添付図面を参照して、この発明にかかる電子文書管理プログラム、該プログラムを記録した記録媒体、電子文書管理装置、および電子文書管理方法の好適な実施の形態を詳細に説明する。

（実施の形態）
（電子文書管理システム１００のシステム構成）
まず、この発明の実施の形態にかかる電子文書管理システムのシステム構成について説明する。図１は、この発明の実施の形態にかかる電子文書管理システムのシステム構成図である。

図１において、電子文書管理システム１００は、複数の電子文書管理装置１０１，１０２，１０３（図１では３台）が、インターネット、ＬＡＮ、ＷＡＮなどのネットワーク１１０を介して相互に通信可能に接続されている。

電子文書管理装置１０１は、電子文書Ｍに電子署名を施す署名者が使用するコンピュータ装置である。署名者は、この電子文書管理装置１０１を使用して、真正性を保証するための電子署名を電子文書Ｍに施すことができる。具体的には、署名者の秘密鍵を用いて生成された電子署名を電子文書Ｍに付与する。

この電子文書Ｍは、行政機関から発行される電子戸籍台帳、医療機関から発行される電子カルテおよび教育機関から発行される電子成績表などの秘匿性を有する情報である。また、各市町村の行政機関に対して公開請求することができる公文書などであってもよい。

電子文書管理装置１０２は、電子署名が施された電子文書Ｍを改訂する改訂者が使用するコンピュータ装置である。改訂者は、この電子文書管理装置１０２を使用して、電子文書Ｍを構成する部分文書の状態を変更（設定）することにより、改訂文書Ｒを作成することができる。

電子文書管理装置１０３は、改訂文書Ｒの真正性を検証する検証者が使用するコンピュータ装置である。検証者は、この電子文書管理装置１０３を利用して、改訂文書Ｒの真正性を検証することができる。このとき、第三者機関から発行される公開鍵を用いて、改訂文書Ｒの真正性を検証する。

なお、署名者、改訂者および検証者が使用するコンピュータ装置を、それぞれ電子文書管理装置１０１，１０２，１０３としたが、これに限らない。たとえば、１台のコンピュータ装置（たとえば、電子文書管理装置１０１）を使用して、署名、改訂および検証をおこなうこととしてもよい。また、電子文書Ｍの改訂は、複数の改訂者によって追加的におこなわれることとしてもよい。

ここで、電子文書Ｍの署名、改訂および検証の一連の流れを説明する。まず、電子文書管理装置１０１において、電子文書Ｍに対して、署名者による電子署名が施される。このあと、電子文書管理装置１０２において、電子署名が施された電子文書Ｍに対して、何らかの改訂がおこなわれる。そして、検証者による公開請求などに応じて、改訂文書Ｒが電子文書管理装置１０２から電子文書管理装置１０３に送信され、電子文書管理装置１０３において、改訂文書Ｒの真正性が検証される。

（電子文書管理装置のハードウェア構成）
まず、この発明の実施の形態にかかる電子文書管理装置１０１，１０２，１０３（以下、単に「電子文書管理装置１０１」とする）のハードウェア構成について説明する。図２は、この発明の実施の形態にかかる電子文書管理装置のハードウェア構成を示す説明図である。

図２において、電子文書管理装置１０１は、コンピュータ本体２１０と、入力装置２２０と、出力装置２３０と、から構成されており、不図示のルータやモデムを介してＬＡＮ，ＷＡＮやインターネットなどのネットワーク１１０に接続可能である。

コンピュータ本体２１０は、ＣＰＵ，メモリ，インターフェースを有する。ＣＰＵは、電子文書管理装置１０１の全体の制御を司る。メモリは、ＲＯＭ，ＲＡＭ，ＨＤ，光ディスク２１１，フラッシュメモリから構成される。メモリはＣＰＵのワークエリアとして使用される。

また、メモリには各種プログラムが格納されており、ＣＰＵからの命令に応じてロードされる。ＨＤおよび光ディスク２１１はディスクドライブによりデータのリード／ライトが制御される。また、光ディスク２１１およびフラッシュメモリはコンピュータ本体２１０に対し着脱自在である。インターフェースは、入力装置２２０からの入力、出力装置２３０への出力、ネットワーク１１０に対する送受信の制御をおこなう。

また、入力装置２２０としては、キーボード２２１、マウス２２２、スキャナ２２３などがある。キーボード２２１は、文字、数字、各種指示などの入力のためのキーを備え、データの入力をおこなう。また、タッチパネル式であってもよい。マウス２２２は、カーソルの移動や範囲選択、あるいはウィンドウの移動やサイズの変更などをおこなう。スキャナ２２３は、画像を光学的に読み取る。読み取られた画像は画像データとして取り込まれ、コンピュータ本体２１０内のメモリに格納される。なお、スキャナ２２３にＯＣＲ機能を持たせてもよい。

また、出力装置２３０としては、ディスプレイ２３１、スピーカ２３２、プリンタ２３３などがある。ディスプレイ２３１は、カーソル、アイコンあるいはツールボックスをはじめ、文書、画像、機能情報などのデータを表示する。また、スピーカ２３２は、効果音や読み上げ音などの音声を出力する。また、プリンタ２３３は、画像データや文書データを印刷する。

（電子文書管理装置の機能的構成）
つぎに、この発明の実施の形態にかかる電子文書管理装置１０１の機能的構成について説明する。図３は、この発明の実施の形態にかかる電子文書管理装置の機能的構成を示すブロック図である。図３において、電子文書管理装置１０１は、取得部３０１と、指定部３０２と、判断部３０３と、削除部３０４と、設定部３０５と、出力部３０６と、検証部３０７と、から構成されている。

これら各機能３０１〜３０７は、記憶領域に格納された当該機能に関するプログラムをＣＰＵに実行させることにより、当該機能を実現することができる。また、各機能３０１〜３０７からの出力データは記憶領域に保持される。また、図３中矢印で示した接続先の機能的構成は、接続元の機能からの出力データを記憶領域から読み込んで、当該機能に関するプログラムをＣＰＵに実行させる。

まず、取得部３０１は、複数の構成要素からなり、構成要素ごとに、当該構成要素固有の第１の電子署名および第２の電子署名が規定され、かつ各第１の電子署名を集約した集約電子署名が関連付けられている電子文書Ｍを取得する機能を有する。電子文書Ｍは、コンピュータ上で扱われる文書の総称であり、文書作成アプリケーションなどを用いて作成された電子データである。

この電子文書Ｍを構成する各構成要素は、当該構成要素と当該構成要素に規定されている第１の電子署名と第２の電子署名との組み合わせによって特定される各種の状態を有している。具体的には、隠蔽可能でかつ削除可能な状態、隠蔽禁止でかつ削除可能な状態、隠蔽禁止でかつ削除禁止な状態、隠蔽可能でかつ削除禁止な状態、隠蔽済みでかつ削除禁止な状態、隠蔽済みでかつ削除可能な状態および削除済みの状態のいずれかの状態を有している。

たとえば、ある構成要素が隠蔽可能でかつ削除可能な状態であった場合、改訂者は、この構成要素を任意に隠蔽または削除することができる。ここで、隠蔽とは、たとえば、墨塗り処理などを施すことにより、閲覧者によって認識することができない状態にすることである。削除とは、閲覧者によってその存在を把握することができない状態にすることである。

なお、この電子文書Ｍは、電子文書管理装置１０１において作成されてもよく、また、他のコンピュータ装置において作成されてもよい。他のコンピュータ装置において電子文書Ｍが作成された場合、取得部３０１は、インターネットなどのネットワーク１１０を介して他のコンピュータ装置から電子文書Ｍを取得することとなる。

指定部３０２は、取得部３０１によって取得された電子文書Ｍのうち隠蔽禁止対象となる構成要素の指定を受け付ける機能を有する。具体的には、たとえば、図２に示したキーボード２２１やマウス２２２などの入力装置２２０を改訂者が操作することによって、隠蔽禁止対象となる構成要素の指定を受け付ける。

判断部３０３は、指定部３０２によって隠蔽禁止対象に指定された構成要素と当該構成要素に規定されている第１の電子署名および第２の電子署名の双方とが存在する場合、当該構成要素が隠蔽可能でかつ削除可能な状態であると判断する機能を有する。すなわち、隠蔽禁止対象に指定された構成要素と当該構成要素に規定されている第１の電子署名および第２の電子署名との組み合わせによって当該構成要素の状態を特定し、その状態が隠蔽可能でかつ削除可能な状態であるか否かを判断する。

削除部３０４は、判断部３０３によって隠蔽可能でかつ削除可能な状態であると判断された場合、隠蔽禁止対象となる構成要素に規定されている第２の電子署名を削除する機能を有する。具体的には、隠蔽禁止対象に指定された構成要素と関連付けてＲＯＭやＲＡＭなどの記録領域に保持されている第２の電子署名を削除する。

設定部３０５は、削除部３０４によって削除された結果、隠蔽禁止対象となる構成要素を、隠蔽可能でかつ削除可能な状態から隠蔽禁止でかつ削除可能な状態に設定する機能を有する。すなわち、隠蔽禁止対象となる隠蔽可能でかつ削除可能な状態の構成要素に規定されている第２の電子署名が削除された場合、当該構成要素を隠蔽禁止でかつ削除可能な状態に設定する。この結果、隠蔽禁止対象に指定された隠蔽可能でかつ削除可能な状態の構成要素は、削除することはできるが隠蔽することができない隠蔽禁止でかつ削除可能な状態となる。

また、指定部３０２は、電子文書Ｍのうち削除禁止対象となる構成要素の指定を受け付けることとしてもよい。この場合、判断部３０３は、指定部３０２によって削除禁止対象に指定された構成要素と当該構成要素に規定されている第１の電子署名とが存在する場合、当該構成要素が削除可能な状態であると判断することとしてもよい。

また、削除部３０４は、判断部３０３によって削除可能な状態であると判断された場合、削除禁止対象となる構成要素に規定されている第１の電子署名を集約電子署名の中から削除するとともに、当該構成要素に規定されている第１の電子署名を削除する。具体的には、電子文書Ｍと関連付けて記憶領域に保持されている集約電子署名の中から削除禁止対象に指定された構成要素に規定されている第１の電子署名を削除し、さらに、当該構成要素と関連付けて記録領域に保持されている第１の電子署名を削除する。

また、設定部３０５は、削除部３０４によって削除された結果、削除禁止対象となる構成要素を、削除可能な状態から削除禁止な状態に設定することとしてもよい。この結果、削除禁止対象に指定された削除可能な状態の構成要素は、削除することができない削除禁止の状態となる。

また、指定部３０２は、電子文書Ｍのうち削除対象となる構成要素の指定を受け付けることとしてもよい。この場合、判断部３０３は、指定部３０２によって削除対象に指定された構成要素と当該構成要素に規定されている第１の電子署名とが存在する場合、当該構成要素が削除可能な状態であると判断する。

また、削除部３０４は、判断部３０３によって削除可能な状態であると判断された場合、削除対象となる構成要素に規定されている第１の電子署名を集約電子署名の中から削除するとともに、構成要素および当該構成要素に規定されている第１の電子署名を削除する。具体的には、電子文書Ｍと関連付けて記憶領域に保持されている集約電子署名の中から削除対象に指定された構成要素に規定されている第１の電子署名を削除し、さらに、当該構成要素と関連付けて記録領域に保持されている第１の電子署名を削除する。

また、設定部３０５は、削除部３０４によって削除された結果、削除対象となる構成要素を、削除可能な状態から削除済みの状態に設定する。この結果、削除対象に指定された削除可能な状態の構成要素は、電子文書Ｍの中から削除された削除済みの状態となる。

なお、上述した隠蔽禁止対象となる構成要素の指定と、削除禁止対象および削除対象となる構成要素の指定とは、それぞれ異なる電子文書管理装置１０１においておこなわれてもよい。すなわち、一方の電子文書管理装置１０１において、隠蔽可能でかつ削除可能な状態の構成要素を隠蔽禁止対象として指定し、他方の電子文書管理装置１０１において、隠蔽禁止でかつ削除可能な状態に設定された構成要素を削除禁止対象または削除対象として指定する。

出力部３０６は、設定部３０５によって設定された電子文書Ｍを出力する機能を有する。出力部３０６による出力形式は、外部のコンピュータ装置（たとえば、電子文書管理装置１０２，１０３）、プリンタ２３３での印刷出力、メモリへのデータ出力（保存）のいずれであってもよい。

また、取得部３０１は、改定対象となる構成要素が、隠蔽禁止、削除禁止および削除済みのいずれかに改訂された改訂文書Ｒを取得する機能を有する。具体的には、設定部３０５によって構成要素の状態が設定された改訂文書Ｒを取得する機能を有する。改訂文書Ｒは、電子文書Ｍを構成する構成要素に対して改訂がおこなわれた電子データである。たとえば、隠蔽禁止対象に指定された構成要素の状態が、隠蔽可能でかつ削除可能な状態から隠蔽禁止でかつ削除可能な状態に設定された改訂文書Ｒである。

この改訂文書Ｒは、検証者から改訂者に対して改訂文書Ｒの公開請求があった場合に、改訂者の電子文書管理装置１０１から検証者の電子文書管理装置１０１に送信（出力）されることとなる。そして、検証者の電子文書管理１０１の取得部３０１により、改訂者の電子文書管理装置１０１から送信された改訂文書Ｒを取得する。

検証部３０７は、第１の電子署名、第２の電子署名および集約電子署名に基づいて、取得部３０１によって取得された改訂文書Ｒの真正を検証する機能を有する。具体的には、署名者の公開鍵を用いて、第１の電子署名、第２の電子署名および集約電子署名を復号し、改訂文書Ｒの真正を検証する。

出力部３０６は、検証部３０７によって検証された検証結果を出力する機能を有する。具体的には、第１の電子署名、第２の電子署名および集約電子署名すべての検証に合格した場合に、検証合格を示す検証結果を出力する。一方、第１の電子署名、第２の電子署名および集約電子署名のいずれか一つの検証に不合格となった場合、検証不合格を示す検証結果を出力する。

なお、指定部３０２による隠蔽禁止対象、削除禁止対象および削除対象の指定は、取得部３０１によって取得された改訂文書Ｒを構成する構成要素に対して可能としてもよい。これにより、電子文書Ｍ（改訂文書Ｒ）に対する追加的な改訂を実現する。

また、上述した隠蔽禁止対象、削除禁止対象および削除対象の他に各種の改訂対象の指定をおこなうことができる。たとえば、指定部３０２は、電子文書Ｍのうち隠蔽対象となる構成要素の指定を受け付けることができる。この場合、判断部３０３により、隠蔽対象に指定された構成要素と当該構成要素に規定されている第１の電子署名および第２の電子署名の双方とが存在する場合、当該構成要素が隠蔽可能でかつ削除可能な状態であると判断する。

その結果、隠蔽可能でかつ削除可能な状態であると判断された場合、不図示の置換部により、隠蔽対象に指定された構成要素を当該構成要素のハッシュ値に置き換えて、設定部３０５により、隠蔽禁止対象となる構成要素を、隠蔽可能でかつ削除可能な状態から隠蔽済みでかつ削除可能な状態に設定することとなる。なお、各種の改訂対象を指定した場合の具体的な処理内容は後述する実施例１において説明する。

また、取得部３０１は、複数の構成要素からなり、構成要素ごとに、当該構成要素固有の第１の電子署名および第２の電子署名が規定され、かつ各第１の電子署名を集約した第１の集約電子署名および各第２の電子署名を集約した第２の集約電子署名が関連付けられている電子文書Ｍを取得することとしてもよい。

ここでは、上述した電子文書Ｍとは異なる表現方式（第２の集約電子署名が追加されている）によって、隠蔽可能でかつ削除可能な状態、隠蔽禁止でかつ削除可能な状態、隠蔽禁止でかつ削除禁止な状態、隠蔽可能でかつ削除禁止な状態、隠蔽済みでかつ削除禁止な状態、隠蔽済みでかつ削除可能な状態および削除済みの状態を表現する電子文書Ｍを取得する。

指定部３０２は、上記電子文書Ｍのうち隠蔽禁止対象となる構成要素の指定を受け付ける。判断部３０３は、隠蔽禁止対象に指定された構成要素と当該構成要素に規定されている第１の電子署名および第２の電子署名の双方とが存在する場合、当該構成要素が隠蔽可能でかつ削除可能な状態であると判断する。

削除部３０４は、判断部３０３によって隠蔽可能でかつ削除可能な状態であると判断された場合、隠蔽禁止対象となる構成要素に規定されている第２の電子署名を第２の集約電子署名の中から削除するとともに、構成要素に規定されている第２の電子署名を削除する。設定部３０５は、削除部３０４によって削除された結果、隠蔽禁止対象となる構成要素を、隠蔽可能でかつ削除可能な状態から隠蔽禁止でかつ削除可能な状態に設定する。

また、指定部３０２は、削除禁止対象の指定を受け付ける。判断部３０３は、削除禁止対象に指定された構成要素と当該構成要素に規定されている第１の電子署名とが存在する場合、当該構成要素が削除可能な状態であると判断する。削除部３０４は、判断部３０３によって削除可能な状態であると判断された場合、削除禁止対象となる構成要素に規定されている第１の電子署名を削除する。設定部３０５は、削除部３０４によって削除された結果、削除禁止対象となる構成要素を、削除可能な状態から削除禁止の状態に設定する。

また、指定部３０２は、削除対象の指定を受け付ける。判断部３０３は、削除対象に指定された構成要素と当該構成要素に規定されている第１の電子署名とが存在する場合、当該構成要素が削除可能な状態であると判断する。削除部３０４は、判断部３０３によって削除可能な状態であると判断された場合、削除対象となる構成要素に規定されている第１の電子署名を第１の集約電子署名の中から削除するとともに、削除対象となる構成要素および当該構成要素に規定されている第１の電子署名を削除する。設定部３０５は、削除部３０４によって削除された結果、削除対象となる構成要素を、削除可能な状態から削除済みの状態に設定する。

また、取得部３０１は、改定対象となる構成要素が、隠蔽禁止、削除禁止および削除済みのいずれかに改訂された改訂文書を取得する。具体的には、設定部３０５によって構成要素の状態が設定された改訂文書Ｒを取得する。そして、検証部３０７は、第１の電子署名、第２の電子署名、第１の集約電子署名および第２の集約電子署名に基づいて、取得部３０１によって取得された改訂文書Ｒの真正を検証することとしてもよい。なお、各種の改訂対象を指定した場合の具体的な処理内容は後述する実施例２および３において説明する。

（電子文書管理装置の改訂処理手順）
つぎに、この発明の実施の形態にかかる電子文書管理装置１０１の改訂処理手順について説明する。図４は、この発明の実施の形態にかかる電子文書管理装置の改訂処理手順を示すフローチャートである。

図４のフローチャートにおいて、まず、取得部３０１により、複数の構成要素からなり、構成要素ごとに、当該構成要素固有の第１の電子署名および第２の電子署名が規定され、かつ各第１の電子署名を集約した集約電子署名が関連付けられている電子文書Ｍを取得したか否かを判断する（ステップＳ４０１）。

ここで、電子文書Ｍを取得するのを待って（ステップＳ４０１：Ｎｏ）、取得した場合（ステップＳ４０１：Ｙｅｓ）、指定部３０２により、改訂対象となる構成要素の指定を受け付けたか否かを判断する（ステップＳ４０２）。このあと、指定を受け付けるのを待って（ステップＳ４０２：Ｎｏ）、受け付けた場合（ステップＳ４０２：Ｙｅｓ）、隠蔽禁止対象となる構成要素の指定を受け付けたか否かを判断する（ステップＳ４０３）。

ここで、隠蔽禁止対象となる構成要素の指定を受け付けた場合（ステップＳ４０３：Ｙｅｓ）、判断部３０３により、隠蔽禁止対象に指定された構成要素と当該構成要素に規定されている第１の電子署名および第２の電子署名との存否に基づいて、当該構成要素が隠蔽可能でかつ削除可能な状態であるか否かを判断する（ステップＳ４０４）。

ここで、隠蔽可能でかつ削除可能な状態であると判断された場合（ステップＳ４０４：Ｙｅｓ）、削除部３０４により、隠蔽禁止対象となる構成要素に規定されている第２の電子署名を削除する（ステップＳ４０５）。そして、設定部３０５により、隠蔽禁止対象となる構成要素を、隠蔽可能でかつ削除可能な状態から隠蔽禁止でかつ削除可能な状態に設定して（ステップＳ４０６）、本フローチャートによる一連の処理を終了する。

一方、ステップＳ４０４において、隠蔽可能でかつ削除可能な状態であると判断されなかった場合（ステップＳ４０４：Ｎｏ）、本フローチャートによる一連の処理を終了する。また、ステップＳ４０３において、隠蔽禁止対象となる構成要素の指定を受け付けていない場合（ステップＳ４０３：Ｎｏ）、削除禁止対象となる構成要素の指定を受け付けたか否かを判断する（ステップＳ４０７）。

ここで、削除禁止対象となる構成要素の指定を受け付けた場合（ステップＳ４０７：Ｙｅｓ）、判断部３０３により、削除禁止対象に指定された構成要素と当該構成要素に規定されている第１の電子署名との存否に基づいて、当該構成要素が削除可能な状態であるか否かを判断する（ステップＳ４０８）。

ここで、削除可能な状態であると判断された場合（ステップＳ４０８：Ｙｅｓ）、削除部３０４により、削除禁止対象となる構成要素に規定されている第１の電子署名を削除する（ステップＳ４０９）。そして、設定部３０５により、削除禁止対象となる構成要素を、削除可能な状態から削除禁止な状態に設定して（ステップＳ４１０）、本フローチャートによる一連の処理を終了する。

一方、ステップＳ４０８において、削除可能な状態であると判断されなかった場合（ステップＳ４０８：Ｎｏ）、本フローチャートによる一連の処理を終了する。また、ステップＳ４０７において、削除禁止対象となる構成要素の指定を受け付けていない場合（ステップＳ４０７：Ｎｏ）、削除対象となる構成要素の指定を受け付けたか否かを判断する（ステップＳ４１１）。

ここで、削除対象となる構成要素の指定を受け付けた場合（ステップＳ４１１：Ｙｅｓ）、判断部３０３により、削除対象に指定された構成要素と当該構成要素に規定されている第１の電子署名の存否に基づいて、当該構成要素が削除可能な状態であるか否かを判断する（ステップＳ４１２）。

ここで、削除可能な状態であると判断された場合（ステップＳ４１２：Ｙｅｓ）、削除部３０４により、削除対象となる構成要素に規定されている第１の電子署名を集約電子署名の中から削除するとともに、構成要素および当該構成要素に規定されている第１の電子署名を削除する（ステップＳ４１３）。

そして、設定部３０５により、削除対象となる構成要素を、削除可能な状態から削除済みの状態に設定して（ステップＳ４１４）、本フローチャートによる一連の処理を終了する。また、ステップＳ４１１において削除対象となる構成要素の指定を受け付けていない場合（ステップＳ４１１：Ｎｏ）、または、ステップＳ４１２において削除可能な状態であると判断されなかった場合（ステップＳ４１２：Ｎｏ）、本フローチャートによる一連の処理を終了する。

これにより、電子文書Ｍを構成する構成要素に対して、隠蔽禁止でかつ削除可能な状態に設定することができる。さらに、隠蔽禁止でかつ削除可能な状態に設定された構成要素を、隠蔽禁止でかつ削除禁止な状態、または、削除済みの状態に設定することができる。

（電子文書管理装置の検証処理手順）
つぎに、この発明の実施の形態にかかる電子文書管理装置１０１の検証処理手順について説明する。図５は、この発明の実施の形態にかかる電子文書管理装置の検証処理手順を示すフローチャートである。図５のフローチャートにおいて、まず、取得部３０１により、改定対象となる構成要素が、隠蔽禁止、削除禁止および削除済みのいずれかに改訂された改訂文書を取得したか否かを判断する（ステップＳ５０１）。

ここで、改訂文書Ｒを取得するのを待って（ステップＳ５０１：Ｎｏ）、取得した場合（ステップＳ５０１：Ｙｅｓ）、検証部３０７により、第１の電子署名、第２の電子署名および集約電子署名に基づいて、取得部３０１によって取得された改訂文書Ｒの真正を検証する（ステップＳ５０２）。最後に、出力部３０６により、検証部３０７によって検証された検証結果を出力して（ステップＳ５０３）、本フローチャートによる一連の処理を終了する。

この発明の実施の形態にかかる電子文書管理装置１０１によれば、電子文書Ｍを、該電子文書Ｍの真正を検証可能に保持しつつ、該電子文書Ｍを構成する構成要素に対して、隠蔽禁止でかつ削除可能な状態に設定する改訂をおこなうことができる。さらに、隠蔽禁止でかつ削除可能な状態に設定された構成要素を、隠蔽禁止でかつ削除禁止な状態、または、削除済みの状態に設定することができる。

（部分文書の状態および状態遷移）
つぎに、上述した実施の形態の実施例１について説明する。まず、電子文書Ｍを構成する各部分文書の状態および状態遷移について説明する。図６は、部分文書状態および状態遷移を示す図表である。なお、部分文書とは、上述した電子文書を構成する構成要素に相当する。

図６において、図表６００には、電子文書Ｍを構成する各部分文書に設定可能な部分文書の状態が表現されている。具体的には、墨塗り（Ｓａｎｉｔｉｚａｔｉｏｎ）および削除（Ｄｅｌｅｔｉｏｎ）に関する、禁止（Ｐｒｏｈｉｂｉｔｅｄ）、可能（Ａｌｌｏｗｅｄ）および済み（Ｓａｎｉｔｉｚｅｄ ｏｒ Ｄｅｌｅｔｅｄ）を示す属性の組み合わせによって各状態が表現されている。

ここでは、墨塗り可能でかつ削除可能な状態を『ＳＡＤＡ』、墨塗り禁止でかつ削除可能な状態を『ＳＰＤＡ』、墨塗り禁止でかつ削除禁止な状態を『ＳＰＤＰ』、墨塗り可能でかつ削除禁止な状態を『ＳＡＤＰ』、墨塗り済みでかつ削除可能な状態を『ＳＤＡ』、墨塗り済みでかつ削除禁止な状態を『ＳＤＰ』、削除済みの状態を『Ｄ』と表記する。

また、図表６００には、状態間の遷移をあらわす状態遷移として、１２個の状態遷移Ｔ１〜Ｔ１２が表現されている。これら状態遷移Ｔ１〜Ｔ１２は、改訂者によって各部分文書に対する改訂をおこなう際に、当該各部分文書の状態を他の状態に設定することができる状態遷移をあらわしている。

ここで、状態遷移Ｔ１を例に挙げると、墨塗り可能でかつ削除可能な状態である『ＳＡＤＡ』から、墨塗り禁止でかつ削除可能な状態である『ＳＰＤＡ』への遷移をあらわしている。また、状態遷移Ｔ７を例に挙げると、墨塗り禁止でかつ削除可能な状態である『ＳＰＤＡ』から、墨塗り禁止でかつ削除禁止な状態である『ＳＰＤＰ』への遷移をあらわしている。

（電子署名生成の概要）
つぎに、電子文書Ｍに施される電子署名生成の概要について説明する。図７は、電子署名生成の概要を示す説明図である。図７において、まず、電子文書Ｍをｎ個の部分文書『ｍ₁，ｍ₂，…，ｍ_n』に分割する。具体的には、電子文書Ｍの先頭（たとえば、読み込み開始箇所）からバイト単位で分割してもよく、また、文字、単語、文、ページごとに分割してもよい。

このあと、乱数を利用して、予測不可能な文書ＩＤおよび部分文書ＩＤを各部分文書ｍ₁〜ｍ_nに割り当てる。文書ＩＤは、電子文書Ｍを構成するすべての部分文書『ｍ₁，ｍ₂，…，ｍ_n』に共通する値である。以下、文書ＩＤを「Ｄ」と表記する。

部分文書ＩＤは、部分文書ｍ₁〜ｍ_nごとに異なる値である。この部分文書ＩＤは、電子文書Ｍにおける各部分文書ｍ₁〜ｍ_nの出現位置に従って、昇順（または降順）となるようにｍ₁〜ｍ_nに割り当てられている。以下、各部分文書ｍ₁〜ｍ_nに割り当てられている部分文書ＩＤをそれぞれ「ＳＤ₁，ＳＤ₂，…，ＳＤ_n」と表記する。また、文書ＩＤおよび部分文書ＩＤが追加された部分文書ｍ_iを「Ｄ‖ＳＤ_i‖ｍ_i」（ｉ＝１，２，…，ｎ）と表記する。

このあと、各ｉに対して、部分文書「Ｄ‖ＳＤ_i‖ｍ_i」のハッシュ値を算出する。具体的には、ハッシュ関数を利用して、各部分文書「Ｄ‖ＳＤ_i‖ｍ_i」から固定長の擬似乱数を算出する。以下、各部分文書「Ｄ‖ＳＤ_i‖ｍ_i」のハッシュ値をそれぞれ「ｈ₁，ｈ₂，…，ｈ_n」と表記する。

このあと、各ハッシュ値ｈ₁〜ｈ_nに当該各ハッシュ値ｈ₁〜ｈ_nの部分文書ｍ₁〜ｍ_nに割り当てられている文書ＩＤおよび部分文書ＩＤを割り当てる。以下、文書ＩＤおよび部分文書ＩＤが追加されたハッシュ値ｈ₁〜ｈ_nを「Ｄ‖ＳＤ_i‖ｈ_i」（ｉ＝１，２，…，ｎ）と表記する。

このあと、各ｉに対して、署名者の秘密鍵を用いて、「Ｄ‖ＳＤ_i‖ｈ_i」（ｉ＝１，２，…，ｎ）に対する第１の電子署名を生成する。以下、各ハッシュ値「Ｄ‖ＳＤ_i‖ｈ_i」に対する第１の電子署名を「σ₁，σ₂，…，σ_n」と表記する。

ここで、署名者の秘密鍵および公開鍵の鍵生成について説明する。秘密鍵および公開鍵を生成する場合、まず、適切な大きさの素数ｐと、要素数がｐの群Ｇおよびその生成元ｇと、要素数がｐの群Ｇとは異なる群Ｇ’と、Ｇ×Ｇと、から群Ｇ’への双線形写像ｅを生成する。

このあと、「１」以上「ｐ−１」以下の整数から、予測不可能な整数ｓｋを決定する。さらに、ｇ^skを算出し、ｐｋとして設定する。この結果、署名者の秘密鍵をｓｋ、公開鍵をｐｋとする。以下、署名者の秘密鍵を「秘密鍵ｓｋ」、公開鍵を「公開鍵ｐｋ」と表記する。

第１の電子署名σ₁〜σ_nを生成する場合、各ｉに対して、第１の電子署名σ_i＝Ｈ（Ｄ｜｜ＳＤ_i｜｜ｈ_i）^skを算出する。関数Ｈは、任意の値を群Ｇの値に変換する関数であり、出力値から入力値を求めることが困難な関数である。

なお、上述した秘密鍵および公開鍵の鍵生成の詳細は、たとえば、『Ｂｏｎｅｈ，Ｇｅｎｔｒｙ，Ｌｙｎｎ，Ｓｈａｃｈａｍ，“Ａｇｇｒｅｇａｔｅ ａｎｄ Ｖｅｒｉｆｉａｂｌｙ Ｅｎｃｒｙｐｔｅｄ Ｓｉｇｎａｔｕｒｅｓ ｆｒｏｍ Ｂｉｌｉｎｅａｒ Ｍａｐｓ”，Ｅｕｒｏｃｒｙｐｔ ２００３， Ｌｅｃｔｕｒｅ Ｎｏｔｅｓ ｉｎ Ｃｏｍｐｕｔｅｒ Ｓｃｉｅｎｃｅ（ＬＮＣＳ） Ｖｏｌ．２６５６，ｐｐ．４１６−４３２，２００３』を参照。

図７の説明に戻り、第１の電子署名σ₁〜σ_nを生成後、該第１の電子署名σ₁〜σ_nを集約した集約電子署名σを算出する。具体的には、各第１の電子署名σ₁〜σ_nを乗算することにより、集約電子署名σを算出することとしてもよい。以下、第１の電子署名σ₁〜σ_nを集約した集約電子署名を「σ」と表記する。

また、各ｉに対して、署名者の秘密鍵ｓｋを用いて、部分文書「Ｄ‖ＳＤ_i‖ｍ_i」に対する第２の電子署名を生成する。以下、各部分文書「Ｄ‖ＳＤ_i‖ｍ_i」に対する第２の電子署名を「τ₁，τ₂，…，τ_n」と表記する。

なお、第１および第２の電子署名の生成方式としては、たとえば、素因数分解に基づくＲＳＡ署名方式やＥＳＩＧＮ署名、離散対数に基づくエルガマル署名やＤＳＡ署名、楕円離散対数に基づく楕円エルガマル署名や楕円ＤＳＡ署名などを用いることができる。

上述した第１の電子署名σ₁〜σ_nおよび第２の電子署名τ₁〜τ_nは、それぞれ対応する各部分文書「Ｄ‖ＳＤ_i‖ｍ_i」に規定される。また、第１の電子署名σ₁〜σ_nを集約した集約電子署名σは、電子文書Ｍに関連付けられる。

このように、各部分文書「Ｄ‖ＳＤ_i‖ｍ_i」に第１の電子署名σ₁〜σ_nおよび第２の電子署名τ₁〜τ_nを規定し、さらに、集約電子署名σを電子文書Ｍに関連付けることにより、各部分文書「Ｄ‖ＳＤ_i‖ｍ_i」に対する改訂がおこなわれた場合に、改訂後の電子文書Ｍ（改訂文書Ｒ）の真正性を検証することができる。

（電子文書Ｍの初期状態）
つぎに、電子文書Ｍの初期状態について説明する。図８は、実施例１における電子文書Ｍの初期状態の一例を示す説明図である。以下、文書ＩＤおよび部分文書ＩＤが追加された部分文書「Ｄ‖ＳＤ_i‖ｍ_i」を「ｍ_i’」と表記する。

図８において、電子文書Ｍは、複数の部分文書ｍ₁’〜ｍ₇’に分割されている。各部分文書ｍ₁’〜ｍ₇’には、それぞれ対応する第１の電子署名σ₁〜σ₇および第２の電子署名τ₁〜τ₇が規定されている。また、電子文書Ｍには、第１の電子署名σ₁〜σ₇を集約した集約電子署名σが関連付けられている。電子文書Ｍの初期状態において、これら部分文書ｍ₁’〜ｍ₇’の状態は、墨塗り可能でかつ削除可能な状態の『ＳＡＤＡ』である。

（部分文書状態の表現方式）
つぎに、各部分文書ｍ_i’の状態の表現方式について説明する。図９は、実施例１における部分文書状態の表現方式を示す説明図である。以下、文書ＩＤおよび部分文書ＩＤが追加されたハッシュ値「Ｄ‖ＳＤ_i‖ｈ_i」を「ｈ_i’」と表記する。図９において、各部分文書ｍ_i’の状態が、部分文書ｍ_i’、ハッシュ値ｈ_i’、第１の電子署名σ_iおよび第２の電子署名τ_iの組み合わせによって表現されている。

まず、部分文書ｍ_i’、第１の電子署名σ_iおよび第２の電子署名τ_iの組み合わせによって、墨塗り可能でかつ削除可能な状態（初期状態）をあらわす『ＳＡＤＡ』が表現されている。この場合、集約電子署名σには第１の電子署名σ_iが含まれている。

また、部分文書ｍ_i’および第２の電子署名τ_iの組み合わせによって、墨塗り可能でかつ削除禁止な状態をあらわす『ＳＡＤＰ』が表現されている。この場合、集約電子署名σの中から第１の電子署名σ_iが削除されている。

また、ハッシュ値ｈ_i’、第１の電子署名σ_iおよび第２の電子署名τ_iの組み合わせによって、墨塗り済みでかつ削除可能な状態をあらわす『ＳＤＡ』が表現されている。この場合、集約電子署名σには第１の電子署名σ_iが含まれている。

また、ハッシュ値ｈ_i’および第２の電子署名τ_iによって、墨塗り済みでかつ削除禁止な状態をあらわす『ＳＤＰ』が表現されている。この場合、集約電子署名σの中から第１の電子署名σ_iが削除されている。

また、部分文書ｍ_i’および第１の電子署名σ_iの組み合わせによって、墨塗り禁止でかつ削除可能な状態をあらわす『ＳＰＤＡ』が表現されている。また、部分文書ｍ_i’によって、墨塗り禁止でかつ削除禁止な状態をあらわす『ＳＰＤＰ』が表現されている。この場合、集約電子署名σの中から第１の電子署名σ_iが削除されている。

また、部分文書ｍ_i’、ハッシュ値ｈ_i’、第１の電子署名σ_iおよび第２の電子署名τ_iのいずれも存在していない組み合わせによって、削除済みの状態をあらわす『Ｄ』が表現されている。この場合、集約電子署名σの中から第１の電子署名σ_iが削除されている。

（状態間の状態遷移）
つぎに、図６に示した状態遷移Ｔ１〜Ｔ１２について説明する。まず、状態遷移Ｔ１は、『ＳＡＤＡ』から『ＳＰＤＡ』への遷移をあらわしている。『ＳＡＤＡ』から『ＳＰＤＡ』へ遷移させるためには、部分文書ｍ_i’に規定されている第２の電子署名τ_iを削除する。なお、『ＳＰＤＡ』から『ＳＡＤＡ』へ遷移させることはできない。なぜなら、『ＳＰＤＡ』は第２の電子署名τ_iを有していないため、『ＳＰＤＡ』から『ＳＡＤＡ』への遷移は不能となる。

状態遷移Ｔ２は、『ＳＡＤＡ』から『ＳＰＤＰ』への遷移をあらわしている。『ＳＡＤＡ』から『ＳＰＤＰ』へ遷移させるためには、部分文書ｍ_i’に規定されている第１の電子署名σ_iおよび第２の電子署名τ_iを削除する。なお、『ＳＰＤＰ』から『ＳＡＤＡ』へ遷移させることはできない。なぜなら、『ＳＰＤＰ』は第１の電子署名σ_iおよび第２の電子署名τ_iを有していないため、『ＳＰＤＰ』から『ＳＡＤＡ』への遷移は不能となる。

状態遷移Ｔ３は、『ＳＡＤＡ』から『ＳＡＤＰ』への遷移をあらわしている。『ＳＡＤＡ』から『ＳＡＤＰ』へ遷移させるためには、部分文書ｍ_i’に規定されている第１の電子署名σ_iを削除する。なお、『ＳＡＤＰ』から『ＳＡＤＡ』へ遷移させることはできない。なぜなら、『ＳＡＤＰ』は第１の電子署名σ_iを有していないため、『ＳＡＤＰ』から『ＳＡＤＡ』への遷移は不能となる。

状態遷移Ｔ４は、『ＳＡＤＡ』から『ＳＤＰ』への遷移をあらわしている。『ＳＡＤＡ』から『ＳＤＰ』へ遷移させるためには、部分文書ｍ_i’をハッシュ値ｈ_i’に置き換えるとともに、部分文書ｍ_i’に規定されている第１の電子署名σ_iを削除する。なお、『ＳＤＰ』から『ＳＡＤＡ』へ遷移させることはできない。なぜなら、『ＳＤＰ』は部分文書ｍ_i’がハッシュ値ｈ_i’に置き換えられており、ハッシュ値ｈ_i’から部分文書ｍ_i’を求めることができないため、『ＳＤＰ』から『ＳＡＤＡ』への遷移は不能となる。

状態遷移Ｔ５は、『ＳＡＤＡ』から『ＳＤＡ』への遷移をあらわしている。『ＳＡＤＡ』から『ＳＤＡ』へ遷移させるためには、部分文書ｍ_i’をハッシュ値ｈ_i’に置き換える。なお、『ＳＤＡ』から『ＳＡＤＡ』へ遷移させることはできない。なぜなら、『ＳＤＡ』は部分文書ｍ_i’がハッシュ値ｈ_i’に置き換えられており、ハッシュ値ｈ_i’から部分文書ｍ_i’を求めることができないため、『ＳＤＡ』から『ＳＡＤＡ』への遷移は不能となる。

状態遷移Ｔ６は、『ＳＡＤＡ』から『Ｄ』への遷移をあらわしている。『ＳＡＤＡ』から『Ｄ』へ遷移させるためには、集約電子署名σの中から部分文書ｍ_i’に規定されている第１の電子署名σ_iを削除するとともに、部分文書ｍ_i’と部分文書ｍ_i’に規定されている第１の電子署名σ_iおよび第２の電子署名τ_iとを削除する。なお、『Ｄ』から『ＳＡＤＡ』へ遷移させることはできない。なぜなら、『Ｄ』は部分文書ｍ_i’と部分文書ｍ_i’に規定されている第１の電子署名σ_iおよび第２の電子署名τ_iとを有していないため、『Ｄ』から『ＳＡＤＡ』への遷移は不能となる。

状態遷移Ｔ７は、『ＳＰＤＡ』から『ＳＰＤＰ』への遷移をあらわしている。『ＳＰＤＡ』から『ＳＰＤＰ』へ遷移させるためには、部分文書ｍ_i’に規定されている第１の電子署名σ_iを削除する。なお、『ＳＰＤＰ』から『ＳＰＤＡ』へ遷移させることはできない。なぜなら、『ＳＰＤＰ』は第１の電子署名σ_iを有していないため、『ＳＰＤＰ』から『ＳＰＤＡ』への遷移は不能となる。

また、『ＳＰＤＰ』から『ＳＤＰ』へ遷移させることはできない。なぜなら、『ＳＰＤＰ』は第２の電子署名τ_iを有していないため、『ＳＰＤＰ』から『ＳＤＰ』への遷移は不能となる。また、『ＳＰＤＰ』から『Ｄ』へ遷移させることはできない。なぜなら、『ＳＰＤＰ』は第１の電子署名σ_iを有しておらず、集約電子署名σの中から部分文書ｍ_i’に規定されている第１の電子署名σ_iを削除することができないため、『ＳＰＤＰ』から『Ｄ』への遷移は不能となる。

状態遷移Ｔ８は、『ＳＰＤＡ』から『Ｄ』への遷移をあらわしている。『ＳＰＤＡ』から『Ｄ』へ遷移させるためには、集約電子署名σの中から部分文書ｍ_i’に規定されている第１の電子署名σ_iを削除するとともに、部分文書ｍ_i’と部分文書ｍ_i’に規定されている第１の電子署名σ_iとを削除する。

なお、『Ｄ』から『ＳＰＤＡ』へ遷移させることはできない。なぜなら、『Ｄ』は部分文書ｍ_i’と部分文書ｍ_i’に規定されている第１の電子署名σ_iとを有していないため、『Ｄ』から『ＳＰＤＡ』への遷移は不能となる。また、『ＳＰＤＡ』から『ＳＤＡ』へ遷移させることはできない。なぜなら、『ＳＰＤＡ』は第２の電子署名τ_iを有していないため、『ＳＰＤＡ』から『ＳＤＡ』への遷移は不能となる。

状態遷移Ｔ９は、『ＳＡＤＰ』から『ＳＰＤＰ』への遷移をあらわしている。『ＳＡＤＰ』から『ＳＰＤＰ』へ遷移させるためには、部分文書ｍ_i’に規定されている第２の電子署名τ_iを削除する。なお、『ＳＰＤＰ』から『ＳＡＤＰ』へ遷移させることはできない。なぜなら、『ＳＰＤＰ』は第２の電子署名τ_iを有していないため、『ＳＰＤＰ』から『ＳＡＤＰ』への遷移は不能となる。

状態遷移Ｔ１０は、『ＳＡＤＰ』から『ＳＤＰ』への遷移をあらわしている。『ＳＡＤＰ』から『ＳＤＰ』へ遷移させるためには、部分文書ｍ_i’をハッシュ値ｈ_i’に置き換える。なお、『ＳＤＰ』から『ＳＡＤＰ』へ遷移させることはできない。なぜなら、『ＳＤＰ』は部分文書ｍ_i’がハッシュ値ｈ_i’に置き換えられており、ハッシュ値ｈ_i’から部分文書ｍ_i’を求めることができないため、『ＳＤＰ』から『ＳＡＤＰ』への遷移は不能となる。

また、『ＳＤＰ』から『Ｄ』へ遷移させることはできない。なぜなら、『ＳＤＰ』は第１の電子署名σ_iを有しておらず、集約電子署名σの中から部分文書ｍ_i’に規定されている第１の電子署名σ_iを削除することができないため、『ＳＤＰ』から『Ｄ』への遷移は不能となる。

状態遷移Ｔ１１は、『ＳＤＡ』から『ＳＤＰ』への遷移をあらわしている。『ＳＤＡ』から『ＳＤＰ』へ遷移させるためには、部分文書ｍ_i’に規定されている第１の電子署名σ_iを削除する。なお、『ＳＤＰ』から『ＳＤＡ』へ遷移させることはできない。なぜなら、『ＳＤＰ』は第１の電子署名σ_iを有していないため、『ＳＤＰ』から『ＳＤＡ』への遷移は不能となる。

状態遷移Ｔ１２は、『ＳＤＡ』から『Ｄ』への遷移をあらわしている。『ＳＤＡ』から『Ｄ』へ遷移させるためには、集約電子署名σの中から部分文書ｍ_i’に規定されている第１の電子署名σ_iを削除するとともに、ハッシュ値ｈ_i’と部分文書ｍ_i’に規定されている第１の電子署名σ_iおよび第２の電子署名τ_iとを削除する。なお、『Ｄ』から『ＳＤＡ』へ遷移させることはできない。なぜなら、『Ｄ』はハッシュ値ｈ_i’と部分文書ｍ_i’に規定されている第１の電子署名σ_iおよび第２の電子署名τ_iとを有していないため、『Ｄ』から『ＳＤＡ』への遷移は不能となる。

ここで、図８に示した電子文書Ｍを例に挙げて、状態遷移Ｔ１〜Ｔ１２の具体例について説明する。たとえば、部分文書ｍ₁’〜ｍ₇’のうち部分文書ｍ₃’を『ＳＡＤＡ』から『ＳＰＤＡ』へ遷移させるためには（状態遷移Ｔ１）、部分文書ｍ₃’に規定されている第２の電子署名τ₃を削除する。

このあと、部分文書ｍ₃’を『ＳＰＤＡ』から『ＳＰＤＰ』へ遷移させるためには（状態遷移Ｔ７）、部分文書ｍ₃’に規定されている第１の電子署名σ₃を削除する。また、部分文書ｍ₃’を『ＳＡＤＡ』から『ＳＤＡ』へ遷移させるためには（状態遷移Ｔ５）、部分文書ｍ₃’をハッシュ値ｈ₃’に置き換える。

なお、状態遷移Ｔ４，Ｔ５およびＴ１０において、部分文書ｍ_i’がハッシュ値ｈ_i’に置き換えられた場合、この部分文書ｍ_i’に割り振られている添字を添字集合Ｓに追加する。これにより、添字集合Ｓを参照することによって、どの部分文書ｍ_i’が墨塗りされているのかを判断することができる。

上記添字は、各部分文書ｍ_i’、当該各部分文書ｍ_i’に規定されている第１の電子署名σ_iおよび第２の電子署名τ_iに予め割り振られており、各部分文書ｍ_i’と関連付けて記憶領域に保持されている。また、添字は、電子文書Ｍの改訂が終了すると、新たに割り振られることとなり、それにともなって添字集合Ｓに保持されている添字を更新する。

たとえば、電子文書Ｍが部分文書ｍ₁’〜ｍ₇’からなり、各部分文書ｍ₁’〜ｍ₇’にそれぞれ「１」〜「７」の添字が割り振られているとする。このとき、部分文書ｍ₇’が墨塗りされた場合には、添字集合Ｓに添字「７」を追加することとなる。また、部分文書ｍ₆’が削除された場合、改訂終了時に、添字を振り直し、部分文書ｍ₇’の添字が「６」となる。この場合、添字集合Ｓに保持されている添字を「７」から「６」に更新する。

（改訂処理手順）
つぎに、実施例１における改訂処理手順について説明する。図１０〜図１６は、実施例１における改訂処理手順を示すフローチャートである。図１０のフローチャートにおいて、まず、取得部３０１により、複数の部分文書ｍ₁’〜ｍ_n’からなる電子文書Ｍを取得したか否かを判断する（ステップＳ１００１）。具体的には、たとえば、図８に示したような電子文書Ｍを取得する。

ここで、電子文書Ｍを取得するのを待って（ステップＳ１００１：Ｎｏ）、取得した場合（ステップＳ１００１：Ｙｅｓ）、指定部３０２により、改訂者の指定入力を受け付けたか否かを判断する（ステップＳ１００２）。ここで、指定を受け付けるのを待って（ステップＳ１００２：Ｎｏ）、受け付けた場合（ステップＳ１００２：Ｙｅｓ）、墨塗り禁止対象の指定を受け付けたか否かを判断する（ステップＳ１００３）。

ここで、墨塗り禁止対象の指定を受け付けた場合（ステップＳ１００３：Ｙｅｓ）、図１１に示すステップＳ１１０１に移行する。一方で、墨塗り禁止対象の指定を受け付けていない場合（ステップＳ１００３：Ｎｏ）、削除禁止対象の指定を受け付けたか否かを判断する（ステップＳ１００４）。

ここで、削除禁止対象の指定を受け付けた場合（ステップＳ１００４：Ｙｅｓ）、図１２に示すステップＳ１２０１に移行する。一方で、削除禁止対象の指定を受け付けていない場合（ステップＳ１００４：Ｎｏ）、削除対象の指定を受け付けたか否かを判断する（ステップＳ１００５）。

ここで、削除対象の指定を受け付けた場合（ステップＳ１００５：Ｙｅｓ）、図１３に示すステップＳ１３０１に移行する。一方で、削除対象の指定を受け付けていない場合（ステップＳ１００５：Ｎｏ）、墨塗り禁止対象でかつ削除禁止対象の指定を受け付けたか否かを判断する（ステップＳ１００６）。

ここで、墨塗り禁止対象でかつ削除禁止対象の指定を受け付けた場合（ステップＳ１００６：Ｙｅｓ）、図１４に示すステップＳ１４０１に移行する。一方で、墨塗り禁止対象でかつ削除禁止対象の指定を受け付けていない場合（ステップＳ１００６：Ｎｏ）、墨塗り対象の指定を受け付けたか否かを判断する（ステップＳ１００７）。

ここで、墨塗り対象の指定を受け付けた場合（ステップＳ１００７：Ｙｅｓ）、図１５に示すステップＳ１５０１に移行する。一方で、墨塗り対象の指定を受け付けていない場合（ステップＳ１００７：Ｎｏ）、墨塗り対象でかつ削除禁止対象の指定を受け付けたか否かを判断する（ステップＳ１００８）。

ここで、墨塗り対象でかつ削除禁止対象の指定を受け付けた場合（ステップＳ１００８：Ｙｅｓ）、図１６に示すステップＳ１６０１に移行する。一方で、墨塗り対象でかつ削除禁止対象の指定を受け付けていない場合（ステップＳ１００８：Ｎｏ）、改訂終了を示す指定を受け付けたと判断し、出力部３０６により、改訂文書Ｒを出力して（ステップＳ１００９）、本フローチャートによる一連の処理を終了する。

なお、改訂終了を示す指定は、改定対象を指定する場合と同様に、たとえば、図２に示したキーボード２２１やマウス２２２などの入力装置２２０を改訂者が操作することによって受け付ける。また、ステップＳ１００１において取得される電子文書Ｍは、既に改訂処理が実行された改訂文書Ｒであってもよい。

つぎに、図１１に示すフローチャートにおいて、まず、判断部３０３により、墨塗り禁止対象に指定された部分文書ｍ_i’の状態が『ＳＡＤＡ』であるか否かを判断する（ステップＳ１１０１）。ここで、『ＳＡＤＡ』であった場合（ステップＳ１１０１：Ｙｅｓ）、削除部３０４により、墨塗り禁止対象に指定された部分文書ｍ_i’に規定されている第２の電子署名τ_iを削除する（ステップＳ１１０２）。

このあと、設定部３０５により、墨塗り禁止対象に指定された部分文書ｍ_i’の状態を『ＳＡＤＡ』から『ＳＰＤＡ』に設定し（ステップＳ１１０３）、図１０に示したステップＳ１００２に戻る。また、ステップＳ１１０１において、『ＳＡＤＡ』でなかった場合（ステップＳ１１０１：Ｎｏ）、判断部３０３により、墨塗り禁止対象に指定された部分文書ｍ_i’の状態が『ＳＡＤＰ』であるか否かを判断する（ステップＳ１１０４）。

ここで、『ＳＡＤＰ』であった場合（ステップＳ１１０４：Ｙｅｓ）、削除部３０４により、墨塗り禁止対象に指定された部分文書ｍ_i’に規定されている第２の電子署名τ_iを削除する（ステップＳ１１０５）。このあと、設定部３０５により、墨塗り禁止対象に指定された部分文書ｍ_i’の状態を『ＳＡＤＰ』から『ＳＰＤＰ』に設定し（ステップＳ１１０６）、図１０に示したステップＳ１００２に戻る。

また、ステップＳ１１０４において、『ＳＡＤＰ』でなかった場合（ステップＳ１１０４：Ｎｏ）、出力部３０６により、墨塗り禁止対象として指定することができない部分文書ｍ_i’が指定されている旨を報知するエラーを出力して（ステップＳ１１０７）、図１０に示したステップＳ１００２に戻る。

つぎに、図１２に示すフローチャートにおいて、まず、判断部３０３により、削除禁止対象に指定された部分文書ｍ_i’の状態が『ＳＡＤＡ』であるか否かを判断する（ステップＳ１２０１）。ここで、『ＳＡＤＡ』であった場合（ステップＳ１２０１：Ｙｅｓ）、削除部３０４により、削除禁止対象に指定された部分文書ｍ_i’に規定されている第１の電子署名σ_iを削除する（ステップＳ１２０２）。

このあと、設定部３０５により、削除禁止対象に指定された部分文書ｍ_i’の状態を『ＳＡＤＡ』から『ＳＡＤＰ』に設定し（ステップＳ１２０３）、図１０に示したステップＳ１００２に戻る。また、ステップＳ１２０１において、『ＳＡＤＡ』でなかった場合（ステップＳ１２０１：Ｎｏ）、判断部３０３により、削除禁止対象に指定された部分文書ｍ_i’の状態が『ＳＰＤＡ』であるか否かを判断する（ステップＳ１２０４）。

ここで、『ＳＰＤＡ』であった場合（ステップＳ１２０４：Ｙｅｓ）、削除部３０４により、削除禁止対象に指定された部分文書ｍ_i’に規定されている第１の電子署名σ_iを削除する（ステップＳ１２０５）。このあと、設定部３０５により、削除禁止対象に指定された部分文書ｍ_i’の状態を『ＳＰＤＡ』から『ＳＰＤＰ』に設定し（ステップＳ１２０６）、図１０に示したステップＳ１００２に戻る。

また、ステップＳ１２０４において、『ＳＰＤＡ』でなかった場合（ステップＳ１２０４：Ｎｏ）、判断部３０３により、削除禁止対象に指定された部分文書ｍ_i’の状態が『ＳＤＡ』であるか否かを判断する（ステップＳ１２０７）。ここで、『ＳＤＡ』であった場合（ステップＳ１２０７：Ｙｅｓ）、削除部３０４により、削除禁止対象に指定された部分文書ｍ_i’に規定されている第１の電子署名σ_iを削除する（ステップＳ１２０８）。

このあと、設定部３０５により、削除禁止対象に指定された部分文書ｍ_i’の状態を『ＳＤＡ』から『ＳＤＰ』に設定し（ステップＳ１２０９）、図１０に示したステップＳ１００２に戻る。また、ステップＳ１２０７において、『ＳＤＡ』でなかった場合（ステップＳ１２０８：Ｎｏ）、出力部３０６により、削除禁止対象として指定することができない部分文書ｍ_i’が指定されている旨を報知するエラーを出力して（ステップＳ１２１０）、図１０に示したステップＳ１００２に戻る。

つぎに、図１３に示すフローチャートにおいて、まず、判断部３０３により、削除対象に指定された部分文書ｍ_i’の状態が『ＳＡＤＡ』であるか否かを判断する（ステップＳ１３０１）。ここで、『ＳＡＤＡ』であった場合（ステップＳ１３０１：Ｙｅｓ）、削除部３０４により、集約電子署名σの中から削除対象に指定された部分文書ｍ_i’に規定されている第１の電子署名σ_iを削除する（ステップＳ１３０２）。

このあと、削除部３０４により、削除対象に指定された部分文書ｍ_i’と当該部分文書ｍ_i’に規定されている第１の電子署名σ_iおよび第２の電子署名τ_iとを削除する（ステップＳ１３０３）。そして、設定部３０５により、削除対象に指定された部分文書ｍ_i’の状態を『ＳＡＤＡ』から『Ｄ』に設定し（ステップＳ１３０４）、図１０に示したステップＳ１００２に戻る。

また、ステップＳ１３０１において、『ＳＡＤＡ』でなかった場合（ステップＳ１３０１：Ｎｏ）、判断部３０３により、削除対象に指定された部分文書ｍ_i’の状態が『ＳＰＤＡ』であるか否かを判断する（ステップＳ１３０５）。ここで、『ＳＰＤＡ』であった場合（ステップＳ１３０５：Ｙｅｓ）、削除部３０４により、集約電子署名σの中から部分文書ｍ_i’に規定されている第１の電子署名σ_iを削除する（ステップＳ１３０６）。

このあと、削除部３０４により、削除対象に指定された部分文書ｍ_i’と当該部分文書ｍ_i’に規定されている第１の電子署名σ_iおよび第２の電子署名τ_iとを削除する（ステップＳ１３０７）。そして、設定部３０５により、削除対象に指定された部分文書ｍ_i’の状態を『ＳＰＤＡ』から『Ｄ』に設定し（ステップＳ１３０８）、図１０に示したステップＳ１００２に戻る。

また、ステップＳ１３０５において、『ＳＰＤＡ』でなかった場合（ステップＳ１３０５：Ｎｏ）、判断部３０３により、削除対象に指定された部分文書ｍ_i’の状態が『ＳＤＡ』であるか否かを判断する（ステップＳ１３０９）。ここで、『ＳＤＡ』であった場合（ステップＳ１３０９：Ｙｅｓ）、削除部３０４により、集約電子署名σの中から削除対象に指定された部分文書ｍ_i’に規定されている第１の電子署名σ_iを削除する（ステップＳ１３１０）。

このあと、削除部３０４により、削除対象に指定された部分文書ｍ_i’のハッシュ値ｈ_i’と当該部分文書ｍ_i’に規定されている第１の電子署名σ_iおよび第２の電子署名τ_iとを削除する（ステップＳ１３１１）。そして、設定部３０５により、削除対象に指定された部分文書ｍ_i’の状態を『ＳＤＡ』から『Ｄ』に設定し（ステップＳ１３１２）、図１０に示したステップＳ１００２に戻る。

また、ステップＳ１３０９において、『ＳＤＡ』でなかった場合（ステップＳ１３０９：Ｎｏ）、出力部３０６により、削除対象として指定することができない部分文書ｍ_i’が指定されている旨を報知するエラーを出力して（ステップＳ１３１３）、図１０に示したステップＳ１００２に戻る。

つぎに、図１４に示すフローチャートにおいて、まず、判断部３０３により、墨塗り禁止対象でかつ削除禁止対象に指定された部分文書ｍ_i’の状態が『ＳＡＤＡ』であるか否かを判断する（ステップＳ１４０１）。ここで、『ＳＡＤＡ』であった場合（ステップＳ１４０１：Ｙｅｓ）、削除部３０４により、墨塗り禁止対象でかつ削除禁止対象に指定された部分文書ｍ_i’に規定されている第１の電子署名σ_iおよび第２の電子署名τ_iを削除する（ステップＳ１４０２）。

このあと、設定部３０５により、墨塗り禁止対象でかつ削除禁止対象に指定された部分文書ｍ_i’の状態を『ＳＡＤＡ』から『ＳＰＤＰ』に設定し（ステップＳ１４０３）、図１０に示したステップＳ１００２に戻る。また、ステップＳ１４０１において、『ＳＡＤＡ』でなかった場合（ステップＳ１４０１：Ｎｏ）、出力部３０６により、墨塗り禁止対象でかつ削除禁止対象として指定することができない部分文書ｍ_i’が指定されている旨を報知するエラーを出力して（ステップＳ１４０４）、図１０に示したステップＳ１００２に戻る。

つぎに、図１５に示すフローチャートにおいて、まず、判断部３０３により、墨塗り対象に指定された部分文書ｍ_i’の状態が『ＳＡＤＡ』であるか否かを判断する（ステップＳ１５０１）。ここで、『ＳＡＤＡ』であった場合（ステップＳ１５０１：Ｙｅｓ）、墨塗り対象に指定された部分文書ｍ_i’をハッシュ値ｈ_i’に置き換える（ステップＳ１５０２）。

このあと、設定部３０５により、墨塗り対象に指定された部分文書ｍ_i’の状態を『ＳＡＤＡ』から『ＳＤＡ』に設定し（ステップＳ１５０３）、図１０に示したステップＳ１００２に戻る。また、ステップＳ１５０１において、『ＳＡＤＡ』でなかった場合（ステップＳ１５０１：Ｎｏ）、判断部３０３により、墨塗り対象に指定された部分文書ｍ_i’の状態が『ＳＡＤＰ』であるか否かを判断する（ステップＳ１５０４）。

ここで、『ＳＡＤＰ』であった場合（ステップＳ１５０４：Ｙｅｓ）、墨塗り対象に指定された部分文書ｍ_i’をハッシュ値ｈ_i’に置き換える（ステップＳ１５０５）。このあと、設定部３０５により、墨塗り対象に指定された部分文書ｍ_i’の状態を『ＳＡＤＰ』から『ＳＤＰ』に設定し（ステップＳ１５０６）、図１０に示したステップＳ１００２に戻る。

また、ステップＳ１５０４において、『ＳＡＤＰ』でなかった場合（ステップＳ１５０４：Ｎｏ）、出力部３０６により、墨塗り対象として指定することができない部分文書ｍ_i’が指定されている旨を報知するエラーを出力して（ステップＳ１５０７）、図１０に示したステップＳ１００２に戻る。

つぎに、図１６に示すフローチャートにおいて、まず、判断部３０３により、墨塗り対象でかつ削除禁止対象に指定された部分文書ｍ_i’の状態が『ＳＡＤＡ』であるか否かを判断する（ステップＳ１６０１）。ここで、『ＳＡＤＡ』であった場合（ステップＳ１６０１：Ｙｅｓ）、墨塗り対象でかつ削除禁止対象に指定された部分文書ｍ_i’をハッシュ値ｈ_i’に置き換える（ステップＳ１６０２）。

このあと、削除部３０４により、墨塗り対象でかつ削除禁止対象に指定された部分文書ｍ_i’に規定されている第１の電子署名σ_iを削除する（ステップＳ１６０３）。そして、設定部３０５により、墨塗り対象でかつ削除禁止対象に指定された部分文書ｍ_i’の状態を『ＳＡＤＡ』から『ＳＤＰ』に設定し（ステップＳ１６０４）、図１０に示したステップＳ１００２に戻る。

また、ステップＳ１６０１において、『ＳＡＤＡ』でなかった場合（ステップＳ１６０１：Ｎｏ）、出力部３０６により、墨塗り対象でかつ削除禁止対象として指定することができない部分文書ｍ_i’が指定されている旨を報知するエラーを出力して（ステップＳ１６０５）、図１０に示したステップＳ１００２に戻る。

（検証処理の概要）
つぎに、実施例１における改訂文書Ｒの真正性を検証する検証処理の概要について説明する。通常、上述した改訂処理を実行することにより、各部分文書ｍ₁’〜ｍ_n’に対して正当な改訂がおこなわれる。一方で、不正な改訂者による不当な改訂がおこなわれる場合がある。

たとえば、墨塗り禁止となっている部分文書ｍ_i’を強制的に墨塗りする、あるいは、削除禁止となっている部分文書ｍ_i’を強制的に削除するなどの改ざんがおこなわれてしまう場合がある。そこで、改訂文書Ｒに対して検証処理を実行することにより、該改訂文書Ｒの真正性を検証する。以下、改訂文書Ｒを構成する各部分文書を「Ｘ₁〜Ｘ_n」と表記する。

ここでは、電子文書Ｍの署名者の公開鍵ｐｋを用いて、各部分文書Ｘ₁〜Ｘ_nに規定されている第１の電子署名σ₁〜σ_n、第２の電子署名τ₁〜τ_n、および改訂文書Ｒに関連付けられている集約電子署名σを検証することにより、改訂文書Ｒの真正性を検証する。

具体的には、まず、添字集合Ｓを参照することにより、関数Ｈを用いて各部分文書Ｘ₁〜Ｘ_nに対するハッシュ値Ｈ_iを求める。ここで、添字ｉが添字集合Ｓに含まれている場合には『Ｈ_i＝ｍ_i’』とし、含まれていない場合には、『Ｈ_i＝Ｈ（Ｄ｜｜ＳＤ_i｜｜ｈ_i）』とする。すなわち、墨塗りされていない部分文書ｍ_i’について、関数Ｈを用いてハッシュ値を求める。

つぎに、第１の電子署名σ_iを検証する。具体的には、第１の電子署名σ_iに対して、下記式（１）が成立するか否かを判定し、その結果、成立する場合にのみ検証に合格したと判断する。

ｅ（σ_i，ｇ）＝ｅ（Ｈ_i，ｐｋ） …（１）

つぎに、集約電子署名σを検証する。具体的には、集約電子署名σに対して、下記式（２）が成立するか否かを判定し、その結果、成立する場合にのみ検証に合格したと判断する。ただし、下記式（２）の右辺には、集約電子署名σに含まれる第１の電子署名σ_iに対応するすべてのＨ_iを用いる。

ｅ（σ，ｇ）＝｛ｅ（Ｈ_i，ｐｋ）×…｝ …（２）

たとえば、集約電子署名σに含まれる第１の電子署名σ_iが「σ₁，σ₂，σ₃」であった場合、上記式（２）の右辺には、各第１の電子署名σ₁〜σ₃に対応するＨ₁，Ｈ₂，Ｈ₃を用いる。すなわち、『ｅ（σ，ｇ）＝｛ｅ（Ｈ₁，ｐｋ）×ｅ（Ｈ₂，ｐｋ）×ｅ（Ｈ₃，ｐｋ）｝』となる。

つぎに、第２の電子署名τ_iを検証する。具体的には、第２の電子署名τ_iを生成する際に使用した電子署名アルゴリズムの検証式を利用する。すなわち、第２の電子署名τ_iに対して、第２の電子署名τ_iの生成に使用した検証式が成立するか否かを判定し、その結果、成立する場合にのみ検証に合格したと判断する。

以上のように、第１の電子署名σ_i、第２の電子署名τ_iおよび集約電子署名σを検証し、すべての検証に合格した場合に、改訂文書Ｒが真正であると判断する。一方で、第１の電子署名σ_i、第２の電子署名τ_iおよび集約電子署名σのうち一つでも検証に失敗した場合は、改訂文書Ｒが不当であると判断する。

（検証処理手順）
つぎに、実施例１にかかる電子文書管理装置１０１の検証処理手順について説明する。図１７は、実施例１にかかる電子文書管理装置の検証処理手順を示すフローチャートである。図１７のフローチャートにおいて、まず、取得部３０１により、改訂文書Ｒを取得したか否かを判断する（ステップＳ１７０１）。具体的には、たとえば、上述した部分文書Ｘ₁〜Ｘ_nからなる改訂文書Ｒを取得する。

ここで、改訂文書Ｒを取得するのを待って（ステップＳ１７０１：Ｎｏ）、取得した場合（ステップＳ１７０１：Ｙｅｓ）、添字集合Ｓを参照して各部分文書Ｘ₁〜Ｘ_nに対するハッシュ値Ｈ_iを算出することにより、部分文書Ｘ₁〜Ｘ_nをハッシュ値Ｈ₁〜Ｈ_nに置き換える（ステップＳ１７０２）。

このあと、検証部３０７により、各ｉに対して、第１の電子署名σ_iを検証する（ステップＳ１７０３）。つぎに、第１の電子署名σ_iの検証結果を判断して（ステップＳ１７０４）、検証に合格した場合（ステップＳ１７０４：Ｙｅｓ）、検証部３０７により、集約電子署名σを検証する（ステップＳ１７０５）。

このあと、集約電子署名σの検証結果を判断して（ステップＳ１７０６）、検証に合格した場合（ステップＳ１７０６：Ｙｅｓ）、検証部３０７により、各ｉに対して、第２の電子署名τ_iを検証する（ステップＳ１７０７）。

このあと、第２の電子署名τ_iの検証結果を判断して（ステップＳ１７０８）、検証に合格した場合（ステップＳ１７０８：Ｙｅｓ）、出力部３０６により、改訂文書Ｒの検証合格を示す検証結果を出力して（ステップＳ１７０９）、本フローチャートによる一連の処理を終了する。

また、ステップＳ１７０４、ステップＳ１７０６およびステップＳ１７０８のいずれかにおいて検証に不合格となった場合（ステップＳ１７０４，１７０６，１７０８：Ｎｏ）、出力部３０６により、改訂文書Ｒの不合格を示す検証結果を出力して（ステップＳ１７１０）、本フローチャートによる一連の処理を終了する。

以上説明した実施例１によれば、電子文書Ｍを構成する部分文書ｍ_i’に対して、『ＳＡＤＡ』、『ＳＡＤＰ』、『ＳＤＡ』、『ＳＤＰ』、『ＳＰＤＡ』、『ＳＰＤＰ』および『Ｄ』のいずれかの状態を設定することができる。また、これら状態間の遷移として、状態遷移Ｔ１〜Ｔ１２を実現することができる。

このように、墨塗り禁止でかつ削除可能な状態である『ＳＰＤＡ』を含む７個の状態の設定を実現することにより、より柔軟な電子文書Ｍの改訂を実現し、改訂者の利便性の向上を図ることができる。さらに、電子文書Ｍに対して改訂がおこなわれた場合であっても、真正を検証可能な状態に保持することにより、電子文書Ｍの真正性を保証することができる。

また、各部分文書ｍ_i’に規定する第２の電子署名τ_iの生成・検証に、集約機能を持たない通常の電子署名方式を利用するため、署名生成のアルゴリズムを選択する際の自由度を向上させることができる。

つぎに、上述した実施の形態の実施例２について説明する。実施例２では、実施例１とは異なる表現方式によって各部分文書ｍ_i’の状態を表現する。なお、実施例１において説明した箇所と同様の箇所については、図示および説明を省略する。

（電子文書Ｍの初期状態）
まず、電子文書Ｍの初期状態について説明する。図１８は、実施例２における電子文書Ｍの初期状態の一例を示す説明図である。図１８において、電子文書Ｍは、複数の部分文書ｍ₁’〜ｍ₇’に分割されている。各部分文書ｍ₁’〜ｍ₇’には、それぞれ対応する第１の電子署名σ₁〜σ₇および第２の電子署名τ₁〜τ₇が規定されている。

また、電子文書Ｍには、第１の電子署名σ₁〜σ₇を集約した集約電子署名σおよび第２の電子署名τ₁〜τ₇を集約した集約電子署名τが関連付けられている。電子文書Ｍの初期状態において、これら部分文書ｍ₁’〜ｍ₇’の状態は、墨塗り可能でかつ削除可能な状態の『ＳＡＤＡ』である。

（部分文書状態の表現方式）
つぎに、各部分文書ｍ_i’の状態の表現方式について説明する。図１９は、実施例２における部分文書状態の表現方式を示す説明図である。図１９において、各部分文書ｍ_i’の状態が、部分文書ｍ_i’、ハッシュ値ｈ_i’、第１の電子署名σ_iおよび第２の電子署名τ_iの組み合わせによって表現されている。

まず、部分文書ｍ_i’、第１の電子署名σ_iおよび第２の電子署名τ_iの組み合わせによって、墨塗り可能でかつ削除可能な状態（初期状態）をあらわす『ＳＡＤＡ』が表現されている。この場合、集約電子署名σおよびτには、第１の電子署名σ_iおよび第２の電子署名τ_iがそれぞれ含まれている。

また、部分文書ｍ_i’および第２の電子署名τ_iの組み合わせによって、墨塗り可能でかつ削除禁止な状態をあらわす『ＳＡＤＰ』が表現されている。この場合、集約電子署名σの中から第１の電子署名σ_iが削除されている。

また、ハッシュ値ｈ_i’、第１の電子署名σ_iおよび第２の電子署名τ_iの組み合わせによって、墨塗り済みでかつ削除可能な状態をあらわす『ＳＤＡ』が表現されている。この場合、集約電子署名σおよびτには、第１の電子署名σ_iおよび第２の電子署名τ_iがそれぞれ含まれている。また、ハッシュ値ｈ_i’および第２の電子署名τ_iによって、墨塗り済みでかつ削除禁止な状態をあらわす『ＳＤＰ』が表現されている。

また、部分文書ｍ_i’および第１の電子署名σ_iの組み合わせによって、墨塗り禁止でかつ削除可能な状態をあらわす『ＳＰＤＡ』が表現されている。この場合、集約電子署名τの中から第２の電子署名τ_iが削除されている。

また、部分文書ｍ_i’によって、墨塗り禁止でかつ削除禁止な状態をあらわす『ＳＰＤＰ』が表現されている。この場合、集約電子署名σおよびτの中から第１の電子署名σ_iおよび第２の電子署名τ_iがそれぞれ削除されている。

また、部分文書ｍ_i’、ハッシュ値ｈ_i’、第１の電子署名σ_iおよび第２の電子署名τ_iのいずれも存在しない組み合わせによって、削除済みの状態をあらわす『Ｄ』が表現されている。この場合、集約電子署名σおよびτの中から第１の電子署名σ_iおよび第２の電子署名τ_iがそれぞれ削除されている。

（改訂処理手順）
つぎに、実施例２における改訂処理手順について説明する。図２０〜図２２は、実施例２における改訂処理手順を示すフローチャートである。なお、実施例２における改訂処理手順のうち実施例１で説明した処理（図１０、図１２、図１５および図１６に示した各工程）と同一処理については、ここでは図示および説明を省略する。ただし、図１０に示したステップＳ１００１において取得される電子文書Ｍは、たとえば、図１８に示した電子文書Ｍである。

図２０に示すフローチャートにおいて、まず、判断部３０３により、墨塗り禁止対象に指定された部分文書ｍ_i’の状態が『ＳＡＤＡ』であるか否かを判断する（ステップＳ２００１）。ここで、『ＳＡＤＡ』であった場合（ステップＳ２００１：Ｙｅｓ）、削除部３０４により、第２の集約電子署名τの中から墨塗り禁止対象に指定された部分文書ｍ_i’に規定されている第２の電子署名τ_iを削除する（ステップＳ２００２）。

このあと、削除部３０４により、墨塗り禁止対象に指定された部分文書ｍ_i’に規定されている第２の電子署名τ_iを削除する（ステップＳ２００３）。そして、設定部３０５により、墨塗り禁止対象に指定された部分文書ｍ_i’の状態を『ＳＡＤＡ』から『ＳＰＤＡ』に設定し（ステップＳ２００４）、図１０に示したステップＳ１００２に戻る。

また、ステップＳ２００１において、『ＳＡＤＡ』でなかった場合（ステップＳ２００１：Ｎｏ）、判断部３０３により、墨塗り禁止対象に指定された部分文書ｍ_i’の状態が『ＳＡＤＰ』であるか否かを判断する（ステップＳ２００５）。ここで、『ＳＡＤＰ』であった場合（ステップＳ２００５：Ｙｅｓ）、削除部３０４により、第２の集約電子署名τの中から墨塗り禁止対象に指定された部分文書ｍ_i’に規定されている第２の電子署名τ_iを削除する（ステップＳ２００６）。

このあと、削除部３０４により、墨塗り禁止対象に指定された部分文書ｍ_i’に規定されている第２の電子署名τ_iを削除する（ステップＳ２００７）。そして、設定部３０５により、墨塗り禁止対象に指定された部分文書ｍ_i’の状態を『ＳＡＤＰ』から『ＳＰＤＰ』に設定し（ステップＳ２００８）、図１０に示したステップＳ１００２に戻る。

また、ステップＳ２００５において、『ＳＡＤＰ』でなかった場合（ステップＳ２００５：Ｎｏ）、出力部３０６により、墨塗り禁止対象として指定することができない部分文書ｍ_i’が指定されている旨を報知するエラーを出力して（ステップＳ２００９）、図１０に示したステップＳ１００２に戻る。

つぎに、図２１に示すフローチャートにおいて、まず、判断部３０３により、削除対象に指定された部分文書ｍ_i’の状態が『ＳＡＤＡ』であるか否かを判断する（ステップＳ２１０１）。ここで、『ＳＡＤＡ』であった場合（ステップＳ２１０１：Ｙｅｓ）、削除部３０４により、集約電子署名σ，τの中から削除対象に指定された部分文書ｍ_i’に規定されている第１の電子署名σ_iおよび第２の電子署名τ_iをそれぞれ削除する（ステップＳ２１０２）。

このあと、削除部３０４により、削除対象に指定された部分文書ｍ_i’と当該部分文書ｍ_i’に規定されている第１の電子署名σ_iおよび第２の電子署名τ_iとを削除する（ステップＳ２１０３）。そして、設定部３０５により、削除対象に指定された部分文書ｍ_i’の状態を『ＳＡＤＡ』から『Ｄ』に設定し（ステップＳ２１０４）、図１０に示したステップＳ１００２に戻る。

また、ステップＳ２１０１において、『ＳＡＤＡ』でなかった場合（ステップＳ２１０１：Ｎｏ）、判断部３０３により、削除対象に指定された部分文書ｍ_i’の状態が『ＳＰＤＡ』であるか否かを判断する（ステップＳ２１０５）。ここで、『ＳＰＤＡ』であった場合（ステップＳ２１０５：Ｙｅｓ）、削除部３０４により、集約電子署名σの中から部分文書ｍ_i’に規定されている第１の電子署名σ_iを削除する（ステップＳ２１０６）。

このあと、削除部３０４により、削除対象に指定された部分文書ｍ_i’と当該部分文書ｍ_i’に規定されている第１の電子署名σ_iおよび第２の電子署名τ_iとを削除する（ステップＳ２１０７）。そして、設定部３０５により、削除対象に指定された部分文書ｍ_i’の状態を『ＳＰＤＡ』から『Ｄ』に設定し（ステップＳ２１０８）、図１０に示したステップＳ１００２に戻る。

また、ステップＳ２１０５において、『ＳＰＤＡ』でなかった場合（ステップＳ２１０５：Ｎｏ）、判断部３０３により、削除対象に指定された部分文書ｍ_i’の状態が『ＳＤＡ』であるか否かを判断する（ステップＳ２１０９）。ここで、『ＳＤＡ』であった場合（ステップＳ２１０９：Ｙｅｓ）、削除部３０４により、第１および第２の集約電子署名σ，τの中から削除対象に指定された部分文書ｍ_i’に規定されている第１の電子署名σ_iおよび第２の電子署名τ_iをそれぞれ削除する（ステップＳ２１１０）。

このあと、削除部３０４により、削除対象に指定された部分文書ｍ_i’のハッシュ値ｈ_i’と当該部分文書ｍ_i’に規定されている第１の電子署名σ_iおよび第２の電子署名τ_iとを削除する（ステップＳ２１１１）。そして、設定部３０５により、削除対象に指定された部分文書ｍ_i’の状態を『ＳＤＡ』から『Ｄ』に設定し（ステップＳ２１１２）、図１０に示したステップＳ１００２に戻る。

また、ステップＳ２１０９において、『ＳＤＡ』でなかった場合（ステップＳ２１０９：Ｎｏ）、出力部３０６により、削除対象として指定することができない部分文書ｍ_i’が指定されている旨を報知するエラーを出力して（ステップＳ２１２１）、図１０に示したステップＳ１００２に戻る。

つぎに、図２２に示すフローチャートにおいて、まず、判断部３０３により、墨塗り禁止対象でかつ削除禁止対象に指定された部分文書ｍ_i’の状態が『ＳＡＤＡ』であるか否かを判断する（ステップＳ２２０１）。ここで、『ＳＡＤＡ』であった場合（ステップＳ２２０１：Ｙｅｓ）、削除部３０４により、集約電子署名τの中から削除対象に指定された部分文書ｍ_i’に規定されている第２の電子署名τ_iをそれぞれ削除する（ステップＳ２２０２）。

このあと、削除部３０４により、墨塗り禁止対象でかつ削除禁止対象に指定された部分文書ｍ_i’に規定されている第１の電子署名σ_iおよび第２の電子署名τ_iを削除する（ステップＳ２２０３）。そして、設定部３０５により、墨塗り禁止対象でかつ削除禁止対象に指定された部分文書ｍ_i’の状態を『ＳＡＤＡ』から『ＳＰＤＰ』に設定し（ステップＳ２２０４）、図１０に示したステップＳ１００２に戻る。

また、ステップＳ２２０１において、『ＳＡＤＡ』でなかった場合（ステップＳ２２０１：Ｎｏ）、出力部３０６により、墨塗り禁止対象でかつ削除禁止対象として指定することができない部分文書ｍ_i’が指定されている旨を報知するエラーを出力して（ステップＳ２２０５）、図１０に示したステップＳ１００２に戻る。

なお、実施例２における検証処理は、図１７に示した検証処理手順に第２の電子署名τ₁〜τ_nを集約した集約電子署名τを検証する工程を追加したものとなる。そして、第１の電子署名σ_i、第２の電子署名τ_i、第１の集約電子署名σおよび第２の集約電子署名τのすべての検証に合格した場合に、改訂文書Ｒの検証合格を示す検証結果を出力する。

以上説明した実施例２によれば、電子文書Ｍを構成する部分文書ｍ_i’に対して、『ＳＡＤＡ』、『ＳＡＤＰ』、『ＳＤＡ』、『ＳＤＰ』、『ＳＰＤＡ』、『ＳＰＤＰ』および『Ｄ』のいずれかの状態を設定することができる。また、これら状態間の遷移として、状態遷移Ｔ１〜Ｔ１２を実現することができる。

また、部分文書ｍ_i’の各状態を表現するデータ保持（部分文書ｍ_i’、ハッシュ値ｈ_i’、第１の電子署名σ_i、第２の電子署名τ_i、第１の集約電子署名σおよび第２の集約電子署名τの組み合わせ）の方式が規則的となる。これにより、改訂処理の内容が規則的となり、実施例２を実現するプログラムを単純な記述で実現することができる。

つぎに、上述した実施の形態の実施例３について説明する。実施例３では、実施例１および２とは異なる表現方式によって各部分文書ｍ_i’の状態を表現する。なお、実施例１および２において説明した箇所と同様の箇所については、図示および説明を省略する。

（部分文書状態の表現方式）
図２３は、実施例３における部分文書状態の表現方式を示す説明図である。図２３において、各部分文書ｍ_i’の状態が、部分文書ｍ_i’、ハッシュ値ｈ_i’、第１の電子署名σ_iおよび第２の電子署名τ_iの組み合わせによって表現されている。

図２３に示す実施例３における部分文書状態の表現方式うち、実施例２における部分文書状態とは異なる表現方式は『ＳＤＰ』だけである。具体的には、ハッシュ値ｈ_i’によって、墨塗り済みでかつ削除禁止な状態をあらわす『ＳＤＰ』が表現されている。

（改訂処理手順）
つぎに、実施例３における改訂処理手順について説明する。図２４〜図２６は、実施例３における改訂処理手順を示すフローチャートである。なお、実施例３における改訂処理手順のうち実施例１および２で説明した処理（図１０、図２０〜図２２に示した各工程）と同一処理については、ここでは図示および説明を省略する。ただし、図１０に示したステップＳ１００１において取得される電子文書Ｍは、たとえば、図１８に示す電子文書Ｍである。

図２４に示すフローチャートにおいて、まず、判断部３０３により、削除禁止対象に指定された部分文書ｍ_i’の状態が『ＳＡＤＡ』であるか否かを判断する（ステップＳ２４０１）。ここで、『ＳＡＤＡ』であった場合（ステップＳ２４０１：Ｙｅｓ）、削除部３０４により、削除禁止対象に指定された部分文書ｍ_i’に規定されている第１の電子署名σ_iを削除する（ステップＳ２４０２）。

このあと、設定部３０５により、削除禁止対象に指定された部分文書ｍ_i’の状態を『ＳＡＤＡ』から『ＳＡＤＰ』に設定し（ステップＳ２４０３）、図１０に示したステップＳ１００２に戻る。また、ステップＳ２４０１において、『ＳＡＤＡ』でなかった場合（ステップＳ２４０１：Ｎｏ）、判断部３０３により、削除禁止対象に指定された部分文書ｍ_i’の状態が『ＳＰＤＡ』であるか否かを判断する（ステップＳ２４０４）。

ここで、『ＳＰＤＡ』であった場合（ステップＳ２４０４：Ｙｅｓ）、削除部３０４により、削除禁止対象に指定された部分文書ｍ_i’に規定されている第１の電子署名σ_iを削除する（ステップＳ２４０５）。このあと、設定部３０５により、削除禁止対象に指定された部分文書ｍ_i’の状態を『ＳＰＤＡ』から『ＳＰＤＰ』に設定し（ステップＳ２４０６）、図１０に示したステップＳ１００２に戻る。

また、ステップＳ２４０４において、『ＳＰＤＡ』でなかった場合（ステップＳ２４０４：Ｎｏ）、判断部３０３により、削除禁止対象に指定された部分文書ｍ_i’の状態が『ＳＤＡ』であるか否かを判断する（ステップＳ２４０７）。ここで、『ＳＤＡ』であった場合（ステップＳ２４０７：Ｙｅｓ）、削除部３０４により、削除禁止対象に指定された部分文書ｍ_i’に規定されている第１の電子署名σ_iおよび第２の電子署名τ_iを削除する（ステップＳ２４０８）。

このあと、設定部３０５により、削除禁止対象に指定された部分文書ｍ_i’の状態を『ＳＤＡ』から『ＳＤＰ』に設定し（ステップＳ２４０９）、図１０に示したステップＳ１００２に戻る。また、ステップＳ２４０７において、『ＳＤＡ』でなかった場合（ステップＳ２４０７：Ｎｏ）、出力部３０６により、削除禁止対象として指定することができない部分文書ｍ_i’が指定されている旨を報知するエラーを出力して（ステップＳ２４１０）、図１０に示したステップＳ１００２に戻る。

つぎに、図２５に示すフローチャートにおいて、まず、判断部３０３により、墨塗り対象に指定された部分文書ｍ_i’の状態が『ＳＡＤＡ』であるか否かを判断する（ステップＳ２５０１）。ここで、『ＳＡＤＡ』であった場合（ステップＳ２５０１：Ｙｅｓ）、墨塗り対象に指定された部分文書ｍ_i’をハッシュ値ｈ_i’に置き換える（ステップＳ２５０２）。

このあと、設定部３０５により、墨塗り対象に指定された部分文書ｍ_i’の状態を『ＳＡＤＡ』から『ＳＤＡ』に設定し（ステップＳ２５０３）、図１０に示したステップＳ１００２に戻る。また、ステップＳ２５０１において、『ＳＡＤＡ』でなかった場合（ステップＳ２５０１：Ｎｏ）、判断部３０３により、墨塗り対象に指定された部分文書ｍ_i’の状態が『ＳＡＤＰ』であるか否かを判断する（ステップＳ２５０４）。

ここで、『ＳＡＤＰ』であった場合（ステップＳ２５０４：Ｙｅｓ）、墨塗り対象に指定された部分文書ｍ_i’をハッシュ値ｈ_i’に置き換える（ステップＳ２５０５）。このあと、削除部３０４により、墨塗り対象に指定された部分文書ｍ_i’に規定されている第２の電子署名τ_iを削除する（ステップＳ２５０６）。そして、設定部３０５により、墨塗り対象に指定された部分文書ｍ_i’の状態を『ＳＡＤＰ』から『ＳＤＰ』に設定し（ステップＳ２５０７）、図１０に示したステップＳ１００２に戻る。

また、ステップＳ２５０４において、『ＳＡＤＰ』でなかった場合（ステップＳ２５０４：Ｎｏ）、出力部３０６により、墨塗り対象として指定することができない部分文書ｍ_i’が指定されている旨を報知するエラーを出力して（ステップＳ２５０８）、図１０に示したステップＳ１００２に戻る。

つぎに、図２６に示すフローチャートにおいて、まず、判断部３０３により、墨塗り対象でかつ削除禁止対象に指定された部分文書ｍ_i’の状態が『ＳＡＤＡ』であるか否かを判断する（ステップＳ２６０１）。ここで、『ＳＡＤＡ』であった場合（ステップＳ２６０１：Ｙｅｓ）、墨塗り対象でかつ削除禁止対象に指定された部分文書ｍ_i’をハッシュ値ｈ_i’に置き換える（ステップＳ２６０２）。

このあと、削除部３０４により、墨塗り対象でかつ削除禁止対象に指定された部分文書ｍ_i’に規定されている第１の電子署名σ_iおよび第２の電子署名τ_iを削除する（ステップＳ２６０３）。そして、設定部３０５により、墨塗り対象でかつ削除禁止対象に指定された部分文書ｍ_i’の状態を『ＳＡＤＡ』から『ＳＤＰ』に設定し（ステップＳ２６０４）、図１０に示したステップＳ１００２に戻る。

また、ステップＳ２６０１において、『ＳＡＤＡ』でなかった場合（ステップＳ２６０１：Ｎｏ）、出力部３０６により、墨塗り対象でかつ削除禁止対象として指定することができない部分文書ｍ_i’が指定されている旨を報知するエラーを出力して（ステップＳ２６０５）、図１０に示したステップＳ１００２に戻る。

以上説明した実施例３によれば、電子文書Ｍを構成する部分文書ｍ_i’に対して、『ＳＡＤＡ』、『ＳＡＤＰ』、『ＳＤＡ』、『ＳＤＰ』、『ＳＰＤＡ』、『ＳＰＤＰ』および『Ｄ』のいずれかの状態を設定することができる。また、これら状態間の遷移として、状態遷移Ｔ１〜Ｔ１２を実現することができる。

また、実施例２に比べて、『ＳＤＰ』を表現する場合に第２の電子署名τ_iを必要としないため、各状態を表現するために必要となるデータ量を削減することができる。

つぎに、上述した実施の形態の実施例４について説明する。墨塗り・削除署名を適用する場合に、墨塗り禁止という部分文書の状態を必要としない状況が想定される。そこで、実施例４では、墨塗り禁止の状態をあらわす『ＳＰＤＡ』および『ＳＰＤＰ』を無効にする。

なお、実施例１〜３において、墨塗り禁止の状態をあらわす『ＳＰＤＡ』および『ＳＰＤＰ』を使用しないという運用も可能である。しかし、何らかの理由によって部分文書状態が墨塗り禁止の状態となった場合に問題が生じてしまう。さらに、不要なデータを保持することになり、ユーザの利便性を低下させる要因となってしまう。

ここで、上述した問題点を具体的に説明する。図２７は、墨塗り禁止の状態を使用しない場合の問題点の一例を示す説明図である。図２７において、オリジナル文書２７１０は、ある市（○×市）が保管している領収書の電子文書である。具体的には、各ページ（Ｐ１〜Ｐ３）には、宛先人を含む領収書の情報が記載されている。また、オリジナル文書２７１０には、市の公印を示す電子署名Ｘが付与されている。以下、オリジナル文書２７１０の文字列を部分文書として扱う。

あるユーザ（検証者）から領収書に関する情報公開請求があった場合、オリジナル文書２７１０には個人情報が記載されているため、そのまま公開されてしまうと、検証者に対してこれら個人情報が公開されてしまう。このため、部分的な情報秘匿が必要となる。ただし、この情報秘匿の手段は条例などによって墨塗りに限定されているとする。またオリジナル文書２７１０は、○×市が保管する全ての領収書が含まれているため、必要な領収書のみを抽出する必要もある。

そこで、情報秘匿の手段として墨塗り・削除署名を利用し、オリジナル文書２７１０から改訂文書を作成する場合を考える。墨塗り・削除署名では、部分的な情報の削除が可能となっているため、オリジナル文書２７１０から不要なページを削除することで、必要な領収書のみを抽出することが可能となる。

また墨塗り・削除署名では部分的な情報の墨塗りも可能であるから、オリジナル文書２７１０のうち不要な情報を墨塗りすることで、必要な情報のみを公開することが可能となる。このように墨塗り・削除署名を用いることで、改訂文書２７２０を作成することができる。

この改訂文書２７２０が公開された場合、検証者は２ページ目の具体的内容や、１ページ目と３ページ目に含まれる個人情報を特定することはできないため、情報の秘匿を実現できている。よって改訂文書２７２０は望ましい改訂文書となっている。

他方で、オリジナル文書２７１０において、何らかの理由によって領収書の宛先人を記載した全ての部分文書に対して墨塗り禁止という部分文書状態が設定されてしまった場合、宛先人の情報を墨塗りによって秘匿することはできないため、適切な改訂文書の作成が不可能となってしまう。そこで、実施例４では、予め墨塗り禁止の状態をあらわす『ＳＰＤＡ』および『ＳＰＤＰ』を無効にすることによって、上記のような問題を回避する。

（部分文書の状態および状態遷移）
まず、電子文書Ｍを構成する各部分文書の状態および状態遷移について説明する。図２８は、部分文書状態および状態遷移を示す図表である。図２８において、図表２８００には、電子文書Ｍを構成する各部分文書に設定可能な部分文書の状態が表現されている。ここでは、墨塗り禁止でかつ削除可能な状態を『ＳＰＤＡ』および墨塗り禁止でかつ削除禁止な状態を『ＳＰＤＰ』を除く状態『ＳＡＤＡ、ＳＡＤＰ、ＳＤＡ、ＳＤＰ、Ｄ』が設定可能となっている。

また、図表２８００には、状態間の遷移をあらわす状態遷移として、７個の状態遷移Ｔ３〜Ｔ６，Ｔ１０〜Ｔ１２が表現されている。これら状態遷移Ｔ３〜Ｔ６，Ｔ１０〜Ｔ１２は、改訂者によって各部分文書に対する改訂をおこなう際に、当該各部分文書の状態を他の状態に設定することができる状態遷移をあらわしている。

つぎに、電子文書Ｍの初期状態について説明する。図２９は、実施例４における電子文書Ｍの初期状態の一例を示す説明図である。図２９において、電子文書Ｍは、複数の部分文書ｍ₁’〜ｍ₄’に分割されている。各部分文書ｍ₁’〜ｍ₄’には、それぞれ対応する第１の電子署名σ₁〜σ₄が規定されている。また、電子文書Ｍには、第１の電子署名σ₁〜σ₄を集約した集約電子署名σが関連付けられている。電子文書Ｍの初期状態において、これら部分文書ｍ₁’〜ｍ₄’の状態は、墨塗り可能でかつ削除可能な状態の『ＳＡＤＡ』である。

（部分文書状態の表現方式）
つぎに、各部分文書ｍ_i’の状態の表現方式について説明する。図３０は、実施例４における部分文書状態の表現方式を示す説明図である。図３０において、各部分文書ｍ_i’の状態が、部分文書ｍ_i’、ハッシュ値ｈ_i’および第１の電子署名σ_iの組み合わせによって表現されている。

まず、部分文書ｍ_i’および第１の電子署名σ_iの組み合わせによって、墨塗り可能でかつ削除可能な状態（初期状態）をあらわす『ＳＡＤＡ』が表現されている。また、部分文書ｍ_i’によって、墨塗り可能でかつ削除禁止な状態をあらわす『ＳＡＤＰ』が表現されている。この場合、集約電子署名σには第１の電子署名σ_iが含まれている。

また、ハッシュ値ｈ_i’および第１の電子署名σ_iの組み合わせによって、墨塗り済みでかつ削除可能な状態をあらわす『ＳＤＡ』が表現されている。また、ハッシュ値ｈ_i’によって、墨塗り済みでかつ削除禁止な状態をあらわす『ＳＤＰ』が表現されている。なお、上記『ＳＡＤＡ』、『ＳＡＤＰ』、『ＳＤＡ』および『ＳＤＰ』の状態において、集約電子署名σには第１の電子署名σ_iが含まれている。

また、部分文書ｍ_i’、ハッシュ値ｈ_i’および第１の電子署名σ_iのいずれも存在していない組み合わせによって、削除済みの状態をあらわす『Ｄ』が表現されている。この場合、集約電子署名σの中から第１の電子署名σ_iが削除されている。

（状態間の状態遷移）
つぎに、図２８に示した状態遷移Ｔ３〜Ｔ６，Ｔ１０〜Ｔ１２について説明する。まず、状態遷移Ｔ３は、『ＳＡＤＡ』から『ＳＡＤＰ』への遷移をあらわしている。『ＳＡＤＡ』から『ＳＡＤＰ』へ遷移させるためには、部分文書ｍ_i’に規定されている第１の電子署名σ_iを削除する。

状態遷移Ｔ４は、『ＳＡＤＡ』から『ＳＤＰ』への遷移をあらわしている。『ＳＡＤＡ』から『ＳＤＰ』へ遷移させるためには、部分文書ｍ_i’をハッシュ値ｈ_i’に置き換えるとともに、部分文書ｍ_i’に規定されている第１の電子署名σ_iを削除する。

状態遷移Ｔ５は、『ＳＡＤＡ』から『ＳＤＡ』への遷移をあらわしている。『ＳＡＤＡ』から『ＳＤＡ』へ遷移させるためには、部分文書ｍ_i’をハッシュ値ｈ_i’に置き換える。なお、『ＳＤＡ』から『ＳＡＤＡ』へ遷移させることはできない。

状態遷移Ｔ６は、『ＳＡＤＡ』から『Ｄ』への遷移をあらわしている。『ＳＡＤＡ』から『Ｄ』へ遷移させるためには、集約電子署名σの中から部分文書ｍ_i’に規定されている第１の電子署名σ_iを削除するとともに、部分文書ｍ_i’および部分文書ｍ_i’に規定されている第１の電子署名σ_iとを削除する。

状態遷移Ｔ１０は、『ＳＡＤＰ』から『ＳＤＰ』への遷移をあらわしている。『ＳＡＤＰ』から『ＳＤＰ』へ遷移させるためには、部分文書ｍ_i’をハッシュ値ｈ_i’に置き換える。状態遷移Ｔ１１は、『ＳＤＡ』から『ＳＤＰ』への遷移をあらわしている。『ＳＤＡ』から『ＳＤＰ』へ遷移させるためには、部分文書ｍ_i’に規定されている第１の電子署名σ_iを削除する。

状態遷移Ｔ１２は、『ＳＤＡ』から『Ｄ』への遷移をあらわしている。『ＳＤＡ』から『Ｄ』へ遷移させるためには、集約電子署名σの中から部分文書ｍ_i’に規定されている第１の電子署名σ_iを削除するとともに、ハッシュ値ｈ_i’および部分文書ｍ_i’に規定されている第１の電子署名σ_iを削除する。

（改訂処理手順）
つぎに、実施例４における改訂処理手順について説明する。図３１〜図３３は、実施例４における改訂処理手順を示すフローチャートである。なお、実施例４における改訂処理手順のうち実施例１で説明した処理（図１５および図１６に示した各工程）と同一処理については、ここでは図示および説明を省略する

図３１のフローチャートにおいて、まず、取得部３０１により、複数の部分文書ｍ₁’〜ｍ_n’からなる電子文書Ｍを取得したか否かを判断する（ステップＳ３１０１）。具体的には、たとえば、図２９に示したような電子文書Ｍを取得する。

ここで、電子文書Ｍを取得するのを待って（ステップＳ３１０１：Ｎｏ）、取得した場合（ステップＳ３１０１：Ｙｅｓ）、指定部３０２により、改訂者の指定入力を受け付けたか否かを判断する（ステップＳ３１０２）。ここで、指定を受け付けるのを待って（ステップＳ３１０２：Ｎｏ）、受け付けた場合（ステップＳ３１０２：Ｙｅｓ）、削除禁止対象の指定を受け付けたか否かを判断する（ステップＳ３１０３）。

ここで、削除禁止対象の指定を受け付けた場合（ステップＳ３１０３：Ｙｅｓ）、図３２に示すステップＳ３２０１に移行する。一方で、削除禁止対象の指定を受け付けていない場合（ステップＳ３１０３：Ｎｏ）、削除対象の指定を受け付けたか否かを判断する（ステップＳ３１０４）。

ここで、削除対象の指定を受け付けた場合（ステップＳ３１０４：Ｙｅｓ）、図３３に示すステップＳ３３０１に移行する。一方で、削除対象の指定を受け付けていない場合（ステップＳ３１０４：Ｎｏ）、墨塗り対象の指定を受け付けたか否かを判断する（ステップＳ３１０５）。

ここで、墨塗り対象の指定を受け付けた場合（ステップＳ３１０５：Ｙｅｓ）、図１５に示したステップＳ１５０１に移行する。一方で、墨塗り対象の指定を受け付けていない場合（ステップＳ３１０５：Ｎｏ）、墨塗り対象でかつ削除禁止対象の指定を受け付けたか否かを判断する（ステップＳ３１０６）。

ここで、墨塗り対象でかつ削除禁止対象の指定を受け付けた場合（ステップＳ３１０６：Ｙｅｓ）、図１６に示したステップＳ１６０１に移行する。一方で、墨塗り対象でかつ削除禁止対象の指定を受け付けていない場合（ステップＳ３１０６：Ｎｏ）、改訂終了を示す指定を受け付けたと判断し、出力部３０６により、改訂文書Ｒを出力して（ステップＳ３１０７）、本フローチャートによる一連の処理を終了する。

つぎに、図３２に示すフローチャートにおいて、まず、判断部３０３により、削除禁止対象に指定された部分文書ｍ_i’の状態が『ＳＡＤＡ』であるか否かを判断する（ステップＳ３２０１）。ここで、『ＳＡＤＡ』であった場合（ステップＳ３２０１：Ｙｅｓ）、削除部３０４により、削除禁止対象に指定された部分文書ｍ_i’に規定されている第１の電子署名σ_iを削除する（ステップＳ３２０２）。

このあと、設定部３０５により、削除禁止対象に指定された部分文書ｍ_i’の状態を『ＳＡＤＡ』から『ＳＡＤＰ』に設定し（ステップＳ３２０３）、図３１に示したステップＳ３１０２に戻る。また、ステップＳ３２０１において、『ＳＡＤＡ』でなかった場合（ステップＳ３２０１：Ｎｏ）、判断部３０３により、削除禁止対象に指定された部分文書ｍ_i’の状態が『ＳＤＡ』であるか否かを判断する（ステップＳ３２０４）。ここで、『ＳＤＡ』であった場合（ステップＳ３２０４：Ｙｅｓ）、削除部３０４により、削除禁止対象に指定された部分文書ｍ_i’に規定されている第１の電子署名σ_iを削除する（ステップＳ３２０５）。

このあと、設定部３０５により、削除禁止対象に指定された部分文書ｍ_i’の状態を『ＳＤＡ』から『ＳＤＰ』に設定し（ステップＳ３２０６）、図３１に示したステップＳ３１０２に戻る。また、ステップＳ３２０４において、『ＳＤＡ』でなかった場合（ステップＳ３２０４：Ｎｏ）、出力部３０６により、削除禁止対象として指定することができない部分文書ｍ_i’が指定されている旨を報知するエラーを出力して（ステップＳ３２０７）、図３１に示したステップＳ３１０２に戻る。

つぎに、図３３に示すフローチャートにおいて、まず、判断部３０３により、削除対象に指定された部分文書ｍ_i’の状態が『ＳＡＤＡ』であるか否かを判断する（ステップＳ３３０１）。ここで、『ＳＡＤＡ』であった場合（ステップＳ３３０１：Ｙｅｓ）、削除部３０４により、集約電子署名σの中から削除対象に指定された部分文書ｍ_i’に規定されている第１の電子署名σ_iを削除する（ステップＳ３３０２）。

このあと、削除部３０４により、削除対象に指定された部分文書ｍ_i’および当該部分文書ｍ_i’に規定されている第１の電子署名σ_iを削除する（ステップＳ３３０３）。そして、設定部３０５により、削除対象に指定された部分文書ｍ_i’の状態を『ＳＡＤＡ』から『Ｄ』に設定し（ステップＳ３３０４）、図３１に示したステップＳ３１０２に戻る。

また、ステップＳ３３０１において、『ＳＡＤＡ』でなかった場合（ステップＳ３３０１：Ｎｏ）、判断部３０３により、削除対象に指定された部分文書ｍ_i’の状態が『ＳＤＡ』であるか否かを判断する（ステップＳ３３０５）。ここで、『ＳＤＡ』であった場合（ステップＳ３３０５：Ｙｅｓ）、削除部３０４により、集約電子署名σの中から削除対象に指定された部分文書ｍ_i’に規定されている第１の電子署名σ_iを削除する（ステップＳ３３０６）。

このあと、削除部３０４により、削除対象に指定された部分文書ｍ_i’のハッシュ値ｈ_i’および当該部分文書ｍ_i’に規定されている第１の電子署名σ_iを削除する（ステップＳ３３０７）。そして、設定部３０５により、削除対象に指定された部分文書ｍ_i’の状態を『ＳＤＡ』から『Ｄ』に設定し（ステップＳ３３０８）、図３１に示したステップＳ３１０２に戻る。

また、ステップＳ３３０５において、『ＳＤＡ』でなかった場合（ステップＳ３３０５：Ｎｏ）、出力部３０６により、削除対象として指定することができない部分文書ｍ_i’が指定されている旨を報知するエラーを出力して（ステップＳ３３０９）、図３１に示したステップＳ３１０２に戻る。

以上説明した実施例４によれば、『ＳＰＤＰ』および『ＳＰＤＡ』への遷移を無効にすることにより、『ＳＡＤＡ』、『ＳＡＤＰ』、『ＳＤＡ』、『ＳＤＰ』および『Ｄ』のいずれかの状態を表現する際の方式を簡素化することができる。これにより、実施例１〜３に比べて、上記５個の状態を表現するために必要となるデータ量を大幅に削減することができる。

以上説明したように、電子文書管理プログラム、該プログラムを記録した記録媒体、電子文書管理装置、および電子文書管理方法によれば、部分文書を墨塗り禁止でかつ削除可能な状態に設定可能とすることにより、より柔軟な電子文書の改訂を実現し、ユーザの利便性の向上を図ることができる。

なお、本実施の形態で説明した電子文書管理方法は、予め用意されたプログラムをパーソナル・コンピュータやワークステーションなどのコンピュータで実行することにより実現することができる。このプログラムは、ハードディスク、フレキシブルディスク、ＣＤ−ＲＯＭ、ＭＯ、ＤＶＤなどのコンピュータで読み取り可能な記録媒体に記録され、コンピュータによって記録媒体から読み出されることによって実行される。またこのプログラムは、インターネットなどのネットワークを介して配布することが可能な伝送媒体であってもよい。

（付記１）コンピュータを、
複数の構成要素からなり、前記構成要素ごとに、当該構成要素固有の第１の電子署名および第２の電子署名が規定され、かつ前記各第１の電子署名を集約した集約電子署名が関連付けられている電子文書を取得する取得手段、
前記取得手段によって取得された電子文書のうち隠蔽禁止対象となる構成要素の指定を受け付ける指定手段、
前記指定手段によって隠蔽禁止対象に指定された構成要素と当該構成要素に規定されている前記第１の電子署名および第２の電子署名の双方とが存在する場合、当該構成要素が隠蔽可能でかつ削除可能な状態であると判断する判断手段、
前記判断手段によって隠蔽可能でかつ削除可能な状態であると判断された場合、前記隠蔽禁止対象となる構成要素に規定されている第２の電子署名を削除する削除手段、
として機能させることを特徴とする電子文書管理プログラム。

（付記２）前記指定手段は、
前記電子文書のうち削除禁止対象となる構成要素の指定を受け付け、
前記判断手段は、
前記指定手段によって削除禁止対象に指定された構成要素と当該構成要素に規定されている前記第１の電子署名とが存在する場合、当該構成要素が削除可能な状態であると判断し、
前記削除手段は、
前記判断手段によって削除可能な状態であると判断された場合、前記削除禁止対象となる構成要素に規定されている第１の電子署名を削除することを特徴とする付記１に記載の電子文書管理プログラム。

（付記３）前記指定手段は、
前記電子文書のうち削除対象となる構成要素の指定を受け付け、
前記判断手段は、
前記指定手段によって削除対象に指定された構成要素と当該構成要素に規定されている前記第１の電子署名とが存在する場合、当該構成要素が削除可能な状態であるか否かを判断し、
前記削除手段は、
前記判断手段によって削除可能な状態であると判断された場合、前記削除対象となる構成要素に規定されている前記第１の電子署名を前記集約電子署名の中から削除するとともに、前記構成要素および当該構成要素に規定されている第１の電子署名を削除する付記１または２に記載の電子文書管理プログラム。

（付記４）前記取得手段は、
前記削除手段によって削除された結果、前記指定手段によって指定された改定対象となる構成要素が、隠蔽禁止、削除禁止および削除済みのいずれかに改訂された改訂文書を取得し、
前記コンピュータを、
前記第１の電子署名、前記第２の電子署名および前記集約電子署名に基づいて、前記取得手段によって取得された改訂文書の真正を検証する検証手段、
前記検証手段によって検証された検証結果を出力する出力手段として機能させることを特徴とする付記１〜３のいずれか一つに記載の電子文書管理プログラム。

（付記５）前記取得手段は、
複数の構成要素からなり、前記構成要素ごとに、当該構成要素固有の第１の電子署名および第２の電子署名が規定され、かつ前記各第１の電子署名を集約した第１の集約電子署名および前記各第２の電子署名を集約した第２の集約電子署名が関連付けられている電子文書を取得し、
前記削除手段は、
前記判断手段によって前記電子文書のうち隠蔽禁止対象に指定された構成要素が削除可能な状態であると判断された場合、前記隠蔽禁止対象となる構成要素に規定されている前記第２の電子署名を前記第２の集約電子署名の中から削除するとともに、前記構成要素に規定されている第２の電子署名を削除することを特徴とする付記１に記載の電子文書管理プログラム。

（付記６）前記削除手段は、
前記判断手段によって前記電子文書のうち削除禁止対象に指定された構成要素が削除可能な状態であると判断された場合、前記削除禁止対象となる構成要素に規定されている前記第１の電子署名を削除することを特徴とする付記５に記載の電子文書管理プログラム。

（付記７）前記削除手段は、
前記判断手段によって前記電子文書のうち削除対象に指定された構成要素が削除可能な状態であると判断された場合、前記削除対象となる構成要素に規定されている前記第１の電子署名を前記第１の集約電子署名の中から削除するとともに、前記構成要素および当該構成要素に規定されている第１の電子署名を削除することを特徴とする付記５または６に記載の電子文書管理プログラム。

（付記８）前記取得手段は、
前記削除手段によって削除された結果、前記指定手段によって指定された改定対象となる構成要素が、隠蔽禁止、削除禁止および削除済みのいずれかに改訂された改訂文書を取得し、
前記検証手段は、
前記第１の電子署名、前記第２の電子署名、前記第１の集約電子署名および前記第２の集約電子署名に基づいて、前記取得手段によって取得された改訂文書の真正を検証することを特徴とする付記５〜７のいずれか一つに記載の電子文書管理プログラム。

（付記９）コンピュータを、
複数の構成要素からなり、前記構成要素ごとに、当該構成要素固有の電子署名が規定され、かつ前記各電子署名を集約した集約電子署名が関連付けられている電子文書を取得する取得手段、
前記取得手段によって取得された電子文書のうち削除禁止対象となる構成要素の指定を受け付ける指定手段、
前記指定手段によって削除禁止対象に指定された構成要素と当該構成要素に規定されている前記電子署名とが存在する場合、当該構成要素が隠蔽可能でかつ削除可能な状態であると判断する判断手段、
前記判断手段によって隠蔽可能でかつ削除可能な状態であると判断された場合、前記削除禁止対象となる構成要素に規定されている電子署名を削除する削除手段、
として機能させることを特徴とする電子文書管理プログラム。

（付記１０）前記指定手段は、
前記電子文書のうち削除対象となる構成要素の指定を受け付け、
前記判断手段は、
前記指定手段によって削除対象に指定された構成要素と当該構成要素に規定されている前記電子署名とが存在する場合、当該構成要素が削除可能な状態であると判断し、
前記削除手段は、
前記判断手段によって削除可能な状態であると判断された場合、前記削除対象となる構成要素に規定されている前記電子署名を前記集約電子署名の中から削除するとともに、前記構成要素および当該構成要素に規定されている電子署名を削除することを特徴とする付記９に記載の電子文書管理プログラム。

（付記１１）前記コンピュータを、
隠蔽対象に指定された構成要素を当該構成要素のハッシュ値に置き換える置換手段として機能させ、
前記指定手段は、
前記電子文書のうち前記隠蔽対象となる構成要素の指定を受け付け、
前記判断手段は、
前記指定手段によって隠蔽対象に指定された構成要素と当該構成要素に規定されている前記電子署名とが存在する場合、当該構成要素が隠蔽可能な状態であると判断し、
前記置換手段は、
前記判断手段によって隠蔽可能な状態であると判断された場合、前記隠蔽対象に指定された構成要素を当該構成要素のハッシュ値に置き換えることを特徴とする付記９または１０に記載の電子文書管理プログラム。

（付記１２）前記取得手段は、
前記削除手段によって削除された結果、前記指定手段によって指定された改定対象となる構成要素が、削除禁止、削除済みおよび隠蔽済みのいずれかに改訂された改訂文書を取得し、
前記コンピュータを、
前記電子署名および前記集約電子署名に基づいて、前記取得手段によって取得された改訂文書の真正を検証する検証手段、
前記検証手段によって検証された検証結果を出力する出力手段として機能させることを特徴とする付記９〜１１のいずれか一つに記載の電子文書管理プログラム。

（付記１３）付記１〜１２のいずれか一つに記載の電子文書管理プログラムを記録したコンピュータに読み取り可能な記録媒体。

（付記１４）複数の構成要素からなり、前記構成要素ごとに、当該構成要素固有の第１の電子署名および第２の電子署名が規定され、かつ前記各第１の電子署名を集約した集約電子署名が関連付けられている電子文書を取得する取得手段と、
前記取得手段によって取得された電子文書のうち隠蔽禁止対象となる構成要素の指定を受け付ける指定手段と、
前記指定手段によって隠蔽禁止対象に指定された構成要素と当該構成要素に規定されている前記第１の電子署名および第２の電子署名の双方とが存在する場合、当該構成要素が隠蔽可能でかつ削除可能な状態であると判断する判断手段と、
前記判断手段によって隠蔽可能でかつ削除可能な状態であると判断された場合、前記隠蔽禁止対象となる構成要素に規定されている第２の電子署名を削除する削除手段と、
を備えることを特徴とする電子文書管理装置。

（付記１５）複数の構成要素からなり、前記構成要素ごとに、当該構成要素固有の第１の電子署名および第２の電子署名が規定され、かつ前記各第１の電子署名を集約した集約電子署名が関連付けられている電子文書を取得する取得工程と、
前記取得工程によって取得された電子文書のうち隠蔽禁止対象となる構成要素の指定を受け付ける指定工程と、
前記指定工程によって隠蔽禁止対象に指定された構成要素と当該構成要素に規定されている前記第１の電子署名および第２の電子署名の双方とが存在する場合、当該構成要素が隠蔽可能でかつ削除可能な状態であると判断する判断工程と、
前記判断工程によって隠蔽可能でかつ削除可能な状態であると判断された場合、前記隠蔽禁止対象となる構成要素に規定されている第２の電子署名を削除する削除工程と、
を含むことを特徴とする電子文書管理方法。

以上のように、本発明にかかる電子文書管理プログラム、該プログラムを記録した記録媒体、電子文書管理装置、および電子文書管理方法は、改訂可能な電子文書の真正を検証する技術に有用である。

この発明の実施の形態にかかる電子文書管理システムのシステム構成図である。 この発明の実施の形態にかかる電子文書管理装置のハードウェア構成を示す説明図である。 この発明の実施の形態にかかる電子文書管理装置の機能的構成を示すブロック図である。 この発明の実施の形態にかかる電子文書管理装置の改訂処理手順を示すフローチャートである。 この発明の実施の形態にかかる電子文書管理装置の検証処理手順を示すフローチャートである。 部分文書状態および状態遷移を示す図表（その１）である。 電子署名生成の概要を示す説明図である。 実施例１における電子文書Ｍの初期状態の一例を示す説明図である。 実施例１における部分文書状態の表現方式を示す説明図である。 実施例１における改訂処理手順を示すフローチャート（その１）である。 実施例１における改訂処理手順を示すフローチャート（その２）である。 実施例１における改訂処理手順を示すフローチャート（その３）である。 実施例１における改訂処理手順を示すフローチャート（その４）である。 実施例１における改訂処理手順を示すフローチャート（その５）である。 実施例１における改訂処理手順を示すフローチャート（その６）である。 実施例１における改訂処理手順を示すフローチャート（その７）である。 実施例１にかかる電子文書管理装置の検証処理手順を示すフローチャートである。 実施例２における電子文書Ｍの初期状態の一例を示す説明図である。 実施例２における部分文書状態の表現方式を示す説明図である。 実施例２における改訂処理手順を示すフローチャート（その１）である。 実施例２における改訂処理手順を示すフローチャート（その２）である。 実施例２における改訂処理手順を示すフローチャート（その３）である。 実施例３における部分文書状態の表現方式を示す説明図である。 実施例３における改訂処理手順を示すフローチャート（その１）である。 実施例３における改訂処理手順を示すフローチャート（その２）である。 実施例３における改訂処理手順を示すフローチャート（その３）である。 墨塗り禁止の状態を使用しない場合の問題点の一例を示す説明図である。 部分文書状態および状態遷移を示す図表（その２）である。 実施例４における電子文書Ｍの初期状態の一例を示す説明図である。 実施例４における部分文書状態の表現方式を示す説明図である。 実施例４における改訂処理手順を示すフローチャート（その１）である。 実施例４における改訂処理手順を示すフローチャート（その２）である。 実施例４における改訂処理手順を示すフローチャート（その３）である。 従来技術における部分文書状態および状態遷移を示す図表である。 従来技術の問題点の一例を示す説明図である。

符号の説明

１００ 電子文書管理システム
１０１，１０２，１０３ 電子文書管理装置
３０１ 取得部
３０２ 指定部
３０３ 判断部
３０４ 削除部
３０５ 設定部
３０６ 出力部
３０７ 検証部
６００，２８００，３４００ 図表
２７１０，３５１０ オリジナル文書
２７２０，３５２０，３５３０，Ｒ 改訂文書
Ｍ 電子文書

Claims (10)

1. コンピュータを、
   複数の構成要素からなり、前記構成要素ごとに、当該構成要素固有の第１の電子署名および第２の電子署名が規定され、かつ前記各第１の電子署名を集約した集約電子署名が関連付けられている電子文書を取得する取得手段、
   前記取得手段によって取得された電子文書のうち隠蔽禁止対象となる構成要素の指定を受け付ける指定手段、
   前記指定手段によって隠蔽禁止対象に指定された構成要素と当該構成要素に規定されている前記第１の電子署名および第２の電子署名の双方とが存在する場合、当該構成要素が隠蔽可能でかつ削除可能な状態であると判断する判断手段、
   前記判断手段によって隠蔽可能でかつ削除可能な状態であると判断された場合、前記隠蔽禁止対象となる構成要素に規定されている第２の電子署名を削除する削除手段、
   として機能させることを特徴とする電子文書管理プログラム。
2. 前記指定手段は、
   前記電子文書のうち削除禁止対象となる構成要素の指定を受け付け、
   前記判断手段は、
   前記指定手段によって削除禁止対象に指定された構成要素と当該構成要素に規定されている前記第１の電子署名とが存在する場合、当該構成要素が削除可能な状態であると判断し、
   前記削除手段は、
   前記判断手段によって削除可能な状態であると判断された場合、前記削除禁止対象となる構成要素に規定されている第１の電子署名を削除することを特徴とする請求項１に記載の電子文書管理プログラム。
3. 前記指定手段は、
   前記電子文書のうち削除対象となる構成要素の指定を受け付け、
   前記判断手段は、
   前記指定手段によって削除対象に指定された構成要素と当該構成要素に規定されている前記第１の電子署名とが存在する場合、当該構成要素が削除可能な状態であると判断し、
   前記削除手段は、
   前記判断手段によって削除可能な状態であると判断された場合、前記削除対象となる構成要素に規定されている前記第１の電子署名を前記集約電子署名の中から削除するとともに、前記構成要素および当該構成要素に規定されている第１の電子署名を削除する請求項１または２に記載の電子文書管理プログラム。
4. 前記取得手段は、
   前記削除手段によって削除された結果、前記指定手段によって指定された改定対象となる構成要素が、隠蔽禁止、削除禁止および削除済みのいずれかに改訂された改訂文書を取得し、
   前記コンピュータを、
   前記第１の電子署名、前記第２の電子署名および前記集約電子署名に基づいて、前記取得手段によって取得された改訂文書の真正を検証する検証手段、
   前記検証手段によって検証された検証結果を出力する出力手段として機能させることを特徴とする請求項１〜３のいずれか一つに記載の電子文書管理プログラム。
5. 前記取得手段は、
   複数の構成要素からなり、前記構成要素ごとに、当該構成要素固有の第１の電子署名および第２の電子署名が規定され、かつ前記各第１の電子署名を集約した第１の集約電子署名および前記各第２の電子署名を集約した第２の集約電子署名が関連付けられている電子文書を取得し、
   前記削除手段は、
   前記判断手段によって前記電子文書のうち隠蔽禁止対象に指定された構成要素が削除可能な状態であると判断された場合、前記隠蔽禁止対象となる構成要素に規定されている前記第２の電子署名を前記第２の集約電子署名の中から削除するとともに、前記構成要素に規定されている第２の電子署名を削除することを特徴とする請求項１に記載の電子文書管理プログラム。
6. 前記削除手段は、
   前記判断手段によって前記電子文書のうち削除禁止対象に指定された構成要素が削除可能な状態であると判断された場合、前記削除禁止対象となる構成要素に規定されている前記第１の電子署名を削除することを特徴とする請求項５に記載の電子文書管理プログラム。
7. 前記削除手段は、
   前記判断手段によって前記電子文書のうち削除対象に指定された構成要素が削除可能な状態であると判断された場合、前記削除対象となる構成要素に規定されている前記第１の電子署名を前記第１の集約電子署名の中から削除するとともに、前記構成要素および当該構成要素に規定されている第１の電子署名を削除することを特徴とする請求項５または６に記載の電子文書管理プログラム。
8. 請求項１〜７のいずれか一つに記載の電子文書管理プログラムを記録したコンピュータに読み取り可能な記録媒体。
9. 複数の構成要素からなり、前記構成要素ごとに、当該構成要素固有の第１の電子署名および第２の電子署名が規定され、かつ前記各第１の電子署名を集約した集約電子署名が関連付けられている電子文書を取得する取得手段と、
   前記取得手段によって取得された電子文書のうち隠蔽禁止対象となる構成要素の指定を受け付ける指定手段と、
   前記指定手段によって隠蔽禁止対象に指定された構成要素と当該構成要素に規定されている前記第１の電子署名および第２の電子署名の双方とが存在する場合、当該構成要素が隠蔽可能でかつ削除可能な状態であると判断する判断手段と、
   前記判断手段によって隠蔽可能でかつ削除可能な状態であると判断された場合、前記隠蔽禁止対象となる構成要素に規定されている第２の電子署名を削除する削除手段と、
   を備えることを特徴とする電子文書管理装置。
10. 複数の構成要素からなり、前記構成要素ごとに、当該構成要素固有の第１の電子署名および第２の電子署名が規定され、かつ前記各第１の電子署名を集約した集約電子署名が関連付けられている電子文書を取得する取得工程と、
    前記取得工程によって取得された電子文書のうち隠蔽禁止対象となる構成要素の指定を受け付ける指定工程と、
    前記指定工程によって隠蔽禁止対象に指定された構成要素と当該構成要素に規定されている前記第１の電子署名および第２の電子署名の双方とが存在する場合、当該構成要素が隠蔽可能でかつ削除可能な状態であると判断する判断工程と、
    前記判断工程によって隠蔽可能でかつ削除可能な状態であると判断された場合、前記隠蔽禁止対象となる構成要素に規定されている第２の電子署名を削除する削除工程と、
    をコンピュータが実行することを特徴とする電子文書管理方法。

Images