JP4705805B2 - 文書管理方法 - Google Patents

Description

本発明は、文書管理方法及び文書管理システムに係り、特に、登録される文書の電子化された時刻と内容とを証明可能とする文書管理方法及び文書管理システムに関する。

我国では、従来紙保存が義務付けられていた財務関係書類、税務関係書類等の文書についても原則的に電子的な保存が認められる方向で法制度が整備されつつあり、これに合わせて、紙文書を電子化保存する際の電子データへの信頼される第三者機関によるタイムスタンプ証明や電子署名の付与と、それらの証明と文書の電子データとを合わせて一元管理する方法が必要となってきている。

電子文書に対して逐一タイムスタンプ証明を与える方法に関する従来技術として、例えば、特許文献１等に記載された技術が知られており、また、タイムスタンプ証明と電子署名とを同時に与える方法に関する従来技術として、例えば、特許文献２等に記載された技術が知られている。
特開２００３−２４４１３９号公報 特開平７−２５４８９７号公報

前述した従来技術は、いずれのものも、紙文書を電子化する際に１件ずつタイムスタンプ証明と電子署名とを取得しなければならないものであり、このため、複数の文書に対してタイムスタンプ証明と電子署名とを取得しようとすると、通信コストが膨大になり、また、取得のための時間が多大となり、電子化処理が遅くなるという問題点を有している。

本発明の目的は、前述した従来技術の問題点を解決し、複数の入力文書がある場合に、タイムスタンプ証明や電子署名の登録のための通信コストや、処理時間の低減を図ることができる文書管理方法及び文書管理システムを提供することにある。

本発明によれば、前記目的は文書管理装置と証明付与装置と時刻配信局と電子署名認証局とがネットワークで接続された文書管理システムにおける文書管理方法において、前記証明付与装置は、前記文書管理装置より受領した複数の文書を、前記証明付与装置に接続された記憶装置に記憶し、前記文書管理装置より受領した前記複数の文書の文書数を特定し、前記文書数を前記時刻配信局と前記電子署名認証局とへ送付し、前記時刻配信局から前記文書数分の予約タイムスタンプ証明を受領し、前記電子署名認証局から前記文書数分の予約電子署名を受領し、前記記憶装置に記憶された複数の文書のうちの１つの文書と前記受領した１つの予約タイムスタンプ証明と前記受領した１つの予約電子署名とを対応付けて、前記１つの文書に対するタイムスタンプ証明と電子署名を生成することにより達成される。

本発明によれば、複数の入力文書がある場合に、１度の通信を行うだけで複数文書分のタイムスタンプ証明と電子署名とを予約して取得し、電子化文書に付与して管理することができるので、通信コストや処理時間の低減を図ることができる。

以下、本発明による文書管理方法及び文書管理システムの実施形態を図面により詳細に説明する。

図１は本発明の第１の実施形態による文書管理システムの構成を示すブロック図である。図１において、１０１は時刻配信局、１０２は電子署名認証局、１０３はタイムスタンプ証明・署名付与装置、１０４は紙文書読み取り装置、１０５は文書管理装置、１０６は入力受付部、１０７は予約処理部、１０８は逐次処理部、１０９は通信部、１１０は時刻同期部、１１１は証明管理部、１１２は管理テーブル、１１３は文書データ属性付与部、１１４は出力処理部、１１５は付番・版管理部、１１６は検証部である。

本発明の実施形態による文書管理システムは、図１に示すように、時刻配信局１０１と、電子署名認証局１０２と、紙文書読み取り装置１０４と、文書管理装置１０５と、タイムスタンプ証明・署名付与装置１０３とが通信ネットワークに接続されて構成されている。このように構成されている文書管理システムにおいて、時刻配信局１０１は、システム外部の第三者機関により管理されており、ある時刻におけるタイムスタンプ証明を発行し、また、電子署名認証局１０２は、システム外部の第三者機関により管理されており、ある時点における文書の内容を証明するための電子署名を発行する。時刻配信局１０１と電子署名認証局１０２とは、実際には同一の１つの機関で管理されて、タイムスタンプ証明と電子署名とを同時に交付するものであってもよい。その場合、以下に説明する本発明の実施形態において、タイムスタンプ証明と電子署名との交付等に関わる通信は、同時に処理されることになる。

本発明の実施形態による文書管理システムにおいて、文書は、ある時点での存在をタイムスタンプ証明によって立証され、また、内容が改竄されていない（登録内容と現行内容との一致）ことの証明を電子署名によって得ることができる。従って、タイムスタンプ証明と電子署名とを同時に組み合わせて文書に付与しておけば、ある時点における文書の内容が、その後改竄されていないことを両証明によって立証することができることになる。

時刻配信局１０１と電子署名認証局１０２とは、タイムスタンプ証明・電子署名付与装置１０３と通信ネットワークにより接続されており、互いに通信をすることができ、また、文書データの入力装置である複合機、スキャナ等による紙文書読み取り装置１０４と、文書データの入力装置である文書管理装置１０５とも通信ネットワークにより接続されており、互いに通信をすることができる。

紙文書読み取り装置１０４は、ＣＰＵ等を有する情報処理機能を備えるものであり、スキャナ等により読み取った文書そのものを保持する記憶手段を有する。文書管理装置１０５も、ＣＰＵ等を有する情報処理機能を備えるものである。そして、文書管理装置１５は、自装置で作成した文書を保持することができ、また、本発明の実施形態によりタイムスタンプ証明及び電子署名が付与された自装置で作成した文書及び紙文書読み取り装置１０４で読み込まれた文書を保持する記憶手段を有している。さらに、紙文書読み取り装置１０４と文書管理装置１０５とは、どちらもタイマーを内蔵しており、それぞれが独自に内部データの時刻管理を行っている。紙文書読取装置１０４は、通常の複合機、スキャナ等であり、紙文書をイメージデータに変換することのできる装置であり、タイムスタンプ証明・署名付与装置１０３への入出力を可能にする機能を加えたものである。文書管理装置１０５は、通常の文書管理装置に、タイムスタンプ証明・署名付与装置１０３への入出力を可能とする機能を加えたものであり、後日文書の登録時刻と内容とを検証するための処理を行う検証部１１６を備えている。

タイムスタンプ証明・署名付与装置１０３は、ＣＰＵ等を有する情報処理機能を備えるものであり、入力受付部１０６、予約処理部１０７、逐次処理部１０８、通信部１０９、時刻同期部１１０、証明管理部１１１、管理テーブル１１２、文書データ属性付与部１１３、付番・版管理部１１５を有する出力処理部１１４を備えて構成される。入力受付部１０６は、入力手段である紙文書読み取り装置１０４または文書管理装置１０５からの入力を受け付ける処理を行い、予約処理部１０７は、複数の入力文書があった場合に、１度に複数文書分のタイムスタンプ証明または電子署名を取得する処理を行う。また、逐次処理部１０８は、１つの入力文書に対してタイムスタンプ証明及び電子署名を付与するために逐次処理を行う。通信部１０９は、タイムスタンプ証明・署名付与装置１０３が、時刻配信局１０１、電子署名認証局１０２、入力装置１０４及び文書管理装置１０５と間での通信を行う場合に使用される。時刻同期部１１０は、タイムスタンプ証明・署名付与装置１０３において、入力装置としての紙文書読み取り装置１０４及び文書管理装置１０５のタイマーと時刻配信局１０１との時刻の同期をとる処理を行う。証明管理部１１１は、予約処理部１０７によって取得した複数文書分のタイムスタンプ証明と電子署名とを管理し、文書データ属性付与部１１３は、取得したタイムスタンプ証明と電子署名とを入力文書データに属性として付与する。出力処理部１１４は、属性が付与された文書データを文書管理装置へ出力し登録するための処理を行うものであり、予め定められた番号を付与するための付番処理を行い、また、版管理を行うための付番・版管理部１１５を有している。

図２、図３は入力受付部１０６での処理動作を説明するフローチャートであり、次に、これらについて説明する。

（１）入力受付部１０６の処理が開始される前に、紙文書読み取り装置１０４のスタートボタンが押され、読み取り装置で予め設定された文書数が入力受付部１０６への入力値として与えられ、あるいは、文書管理装置１０５で処理を行うため入力対象文書が指定されるか、複数文書の場合、対象となる文書群が格納されている作業用フォルダが指定され、フォルダに含まれる文書数が入力受付部１０６への入力値として与えられる。

（２）入力受付部１０６は、紙文書読み取り装置１０４または文書管理装置１０５からの入力値を受け取ると、まず、文書数の判定を行い、文書数が１より小さいか否かを判定する。この判定で文書数が１より小さかった場合、すなわち、文書数＜１であった場合、エラー処理を実行する（ステップ２０１、２０２）。

（３）エラー処理が開始されると、入力装置が紙文書読み取り装置１０４か文書管理装置１０５かの判定を行い、入力があった入力装置１０４または文書管理装置１０５に対してエラーメッセージを出力して処理を終了する。エラーメッセージは、「対象となる文書が指定されていません」等でよいが、他の文章でもよい（ステップ３０１、３０２）。

（４）ステップ２０１の判定で、文書数＜１でなかった場合、文書数が１であるか否か、すなわち、文書数＝１か否かを判定し、文書数＝１であった場合、逐次処理部１０８での処理に進み、文書数＝１でなかった場合、文書数＞１、すなわち、文書数が複数あることになるので、予約処理部１０７での処理に進む（ステップ２０３）。

図４は予約処理部１０７での処理動作を説明するフローチャートであり、次に、これについて説明する。

（１）まず、予約処理部１０７は、入力を行った入力装置が紙文書読み取り装置１０４か文書管理装置１０５かの判定を行い、判定の結果、入力を受け付けた入力装置と通信を行ってその入力装置が内蔵するタイマーの確認を行う（ステップ４０１、４０２）。

（２）次に、予約処理部１０７は、通信部１０９を通じて時刻配信局１０１から基準時刻となる時刻を入手し、時刻同期部１１０で入力装置の内蔵タイマーとの同期をとる。同期の取り方は、始めに１度時刻合わせを行ったのち、あとは処理が終了するまで定められた時刻毎（例えば、１０秒毎、１分毎等）に時刻合わせをバックグラウンドで行い、常に、入力装置の内蔵タイマーが時刻配信局１０１の基準時刻に同期が取られているようにする。なお、この時刻の同期の合わせ方については、他に公知技術があるのでここでは説明しない（ステップ４０３）。

（３）次に、時刻配信局１０１から予約タイムスタンプ証明ＲＴｌ〜ＲＴｎ、電子署名認証局１０２から予約電子署名ＲＳｌ〜ＲＳｎを文書数ｎ個分ずつ予約取得して、これらを証明管理部１１１へ引き継ぐ予約証明取得処理を実行する。なお、この予約証明取得処理は、文書管理装置１０５、時刻配信局１０１、電子署名認証局１０２により行われるもので、その詳細については、図５に示すフローにより後述する（ステップ４０４）。

（４）その後、証明管理部１１１、文書データ属性付与部１１３、出力処理部１１４のそれぞれでの処理が順次行われる。これらの処理についての詳細は後述する（ステップ４０５〜４０７）。

（５）出力処理部１１４での処理の終了後、予約処理部１０７は、管理テーブル１１２の電子署名の項目を更新する電子署名登録処理を実行する。この電子署名登録処理の詳細及び管理テーブルの１１２の構成については、図６に示すフロー及び図１４により後述する（ステップ４０８）。

（６）予約処理部１０７は、通信部１０９を通じて時刻配信局１０１との間で通信を行い、タイムスタンプの登録を行うタイムスタンプ登録処理を実行して、ここでの処理を終了する。このタイムスタンプ登録処理の詳細については、図７に示すフローにより後述する（ステップ４０９）。

図５は図４に示すフローにおけるステップ４０４での予約証明取得処理の動作を説明するフローチャートであり、次に、これについて説明する。

（１）まず、予約処理部１０７は、入力された文書数ｎ個分のタイムスタンプ証明と電子署名との予約申請を時刻配信局１０１と電子認証局１０２とに対して送信する（ステップ５０１）。

（２）時刻配信局１０１は、ステップ５０１での予約申請を受け付けると、申請を行った紙文書読み取り装置１０４または文書管理装置１０５を、予め登録してある利用者リスト等から特定して、ｎ個分の申請を受け付け、予約された数の予約タイムスタンプ証明ＲＴｌ〜ＲＴｎ用のＩＤを発行し、これらに必要なメモリ等の資源の確保を行って、予約された数の予約タイムスタンプ証明の割り当てを行い、割り当てた予約タイムスタンプ証明ＲＴｌ〜ＲＴｎを予約処理部１０７に交付する。なお、タイムスタンプ証明のデータ形式については後述する（ステップ５０２、５０３）。

（３）また、電子認証局１０２は、時刻配信局１０１での場合と同様に、ステップ５０１での予約申請を受け付けると、申請を行った紙文書読み取り装置１０４または文書管理装置１０５を、予め登録してある利用者リスト等から特定して、ｎ個分の申請を受け付け、予約された数の予約電子署名ＲＳｌ〜ＲＳｎ用のＩＤを発行し、メモリ等必要な資源の確保を行って、予約された数の予約電子署名の割り当てを行い、割り当てた予約電子署名ＲＳｌ〜ＲＳｎ用のＩＤを予約処理部１０７に交付する。なお、電子署名のデータ例については後述する（ステップ５０４、５０５）。

（４）予約処理部１０７は、ステップ５０３、５０５の処理で交付された予約タイムスタンプ証明と予約電子署名とを受け取ると、それらをタイムスタンプ証明・電子署名付与装置１０３内の証明管理部１１１に入力値として引き渡す（ステップ５０６）。

図１５はタイムスタンプ証明のデータ形式及び電子署名のデータの例を説明する図であり、ここで、タイムスタンプ証明のデータ形式及び電子署名のデータ形式の例を説明する。

時刻認証局１０１からのタイムスタンプ単独の場合のタイムスタンプ証明ＲＴｉのデータ例を図１５（ａ）に示しており、このタイムスタンプ単独の証明データは、それを認識するためのＩＤ１５０１、発行元時刻配信局の識別子１５０２、発行先文書管理装置識別子１５０３、発行時刻１５０４、文書ＩＤ１５０５、これらを後で検証するための公開鍵１５０６、タイムスタンプ証明データの終了を示す終了コード１５０７により構成されている。終了コード１５０７は、単純なＥＯＦでもよいが、望ましくは、発行元時刻配信局固有のコードがよく、さらには、毎回発行される暗号化されたコードの方が望ましい。ここで、予約タイムスタンプ証明ＲＴｉは、予約された時間を発行時刻とし、検証のための公開鍵と独自の終了コード部分とが未定義のままの未完状態のデータである。予約に際しての発行時刻の取り方は、例えば、入力装置、ここでは紙文書読み取り装置１０４または文書管理装置１０５の処理性能が１０秒間に１文書の読み取りが可能であるとすると、１０秒毎に発行時刻をとって予約タイムスタンプ証明をｎ個（ＲＴｌ〜ＲＴｎ）作成するという取り方であってよい。あるいは、単純に、同一時刻での同じ予約タイムスタンプ証明をｎ個（ＲＴｌをｎ個）作成してもよい。

また、電子署名認証局１０２からの電子署名単独の場合の電子署名ＲＳｉのデータ例を図１５（ｂ）に示しており、この電子署名単独の場合の電子署名データは、それを認識するためのＩＤ１５０８、発行元電子認証局の識別子１５０９、発行先文書管理装置の識別子１５１０、文書ＩＤ１５１１、文書の内容を示す例えば、ハッシュ値等によるダイジェスト値１５１２、これらを後で検証するための公開鍵１５１３、終了コード１５１４から構成される。

さらに、時刻配信局１０１と電子署名認証局１０２とが同一の信頼できる第三者により運用される機関である場合、タイムスタンプ証明と電子署名とが同時に交付されることになり、この場合のタイムスタンプ証明と電子署名とが複合されたデータ例を図１５（ｃ）に示している。このデータは、それを認識するためのＩＤ１５１５、発行元の識別子１５１７、発光時刻１５１８、文書ＩＤ１５１９、文書の内容を示すダイジェスト値１５２０、これらを後で検証するための公開鍵１５２１、終了コード１５２２から構成される。

なお、図１５（ｂ）、図１５（ｃ）に示すデータ例の場合にも、終了コード１５１４、１５２２は、図１５（ａ）で説明したような構成とすることができる。ここで、予約電子署名Ｒｓｉは、文書内容のダイジェスト値と検証のための公開鍵と独自の終了コード部分とが未定義のままの未完状態のデータである。

図６は図４に示して説明したフローにおけるステップ４０８の電子署名登録処理の動作を説明するフローチャートであり、次に、これについて説明する。

（１）電子署名登録処理が開始されると、予約処理部１０７は、紙文書読み取り装置１０４または文書管理装置１０５から受け取っている仮電子署名ＲＳｉ（ｉ＝１、２、……、ｎ）と対象文書Ｉｉ（ｉ＝１、２、……、ｎ）とそのダイジェスト値（例えば、代表値としてここではハッシュ値を用いる）ＤＩｉ（ｉ＝１、２、……、ｎ）との組み合わせ（ＲＳｉ，Ｉｉ，ＤＩｉ）のを全てを電子署名認証局１０２へ送信する。予約処理部１０７は、同時に、使用しなかった仮電子署名ＲＳｘ（ｘ＝１、２、……、ｎ）があればこれも電子署名認証局１０２へ送信する（ステップ６０１）。

（２）電子署名認証局１０２は、ステップ６０１で送信されてきた前述の組み合わせの情報を受信し、受け取った仮電子署名ＲＳｉの識別ＩＤを取得し、対応する識別ＩＤの予約電子署名の記憶領域に（ＲＳｉ，Ｉｉ，ＤＩｉ）を格納する（ステップ６０２、６０３）。

（３）次に、電子署名認証局１０２は、前述の記憶領域を参照するため検証用の公開鍵を作成し、終了コードと共に記憶領域に追加して電子署名Ｓｉを完成させ、識別ＩＤと公開鍵と終了コードとを予約処理部１０７に送信する。そして、電子署名認証局１０２は、使用されなかった不使用の仮電子署名ＲＳｘの格納領域に不使用フラグを立てる（ステップ６０４〜６０６）。

（４）予約処理部１０７は、ステップ６０５の処理で送信されてきた識別ＩＤを受信すると、受け取った識別ＩＤに対応する仮電子署名ＲＳｉに公開鍵と終了コードとを追加して電子署名Ｓｉの完成版とし、管理テーブル１１２の電子署名の項目を更新する（ステップ６０７）。

図７は図４に示して説明したフローにおけるステップ４０９のタイムスタンプ登録処理の動作を説明するフローチャートであり、次に、これについて説明する。

（１）タイムスタンプ登録処理が開始されると、予約処理部１０７は、通信部１０９を通じて時刻配信局１０１との通信を行い、実際に入力データに付与されて使用された予約タイムスタンプ証明ＲＴｉとその時刻修正された仮タイムスタンプ証明ＰＴｉとの組み合わせと、使用した対象文書の文書データＩｉとの対応（例えば、代表値としてここでは文書データが文書管理装置に登録されたときに割り当てられる文書システムユニークＩＤ＝Ｉｉを用いる）と、この文書に与えられた電子署名Ｓｉとの組み合わせ（ＲＴｉ，ＰＴｉ，Ｉｉ，Ｓｉ）の全てを時刻配信局１０１に送信する。また、予約処理部１０７は、文書登録エラー等の理由で実際には使用されなかった予約タイムスタンプ証明ＲＴｘがある場合には、同時にこれも送信する（ステップ７０１）。

（２）時刻配信局１０１は、受け取った文書に対する電子署名Ｓｉの存在を確認し、これがある場合に、受け取った予約タイムスタンプ証明ＲＴｉの識別ＩＤと予約時刻とを取得すると共に、受け取った仮タイムスタンプ証明ＰＴｉの識別ＩＤと仮時刻とを取得する（ステップ７０２〜７０４）。

（３）次に、予約タイムスタンプ証明と仮タイムスタンプ証明との識別ＩＤが互いに対応するものか否かを確認し、仮タイムスタンプ証明ＰＴｉの時刻が予約タイムスタンプ証明ＲＴｉの発行時刻と現在時刻との間に収まっているか否かを判定する。もし、収まっていななった場合、仮タイムスタンプ証明の時刻が正しい時刻とはいえないので、予約処理部１０７に「織別ＩＤ＝ｘｘｘｘは不正時刻のため承認できませんでした」等のエラーを送信し、この仮タイムスタンプ証明に関しては登録を行わず、該当する識別ＩＤの予約タイムスタンプ証明の記憶領域にはエラーフラグを立てておく（ステップ７０５、７０６）。

（４）ステップ７０６の判定で、時刻が不正でなかった場合、時刻配信局１０１は、送信されてきた（ＲＴｉ，ＰＴｉ，Ｉｉ）を該当する識別ＩＤの予約タイムスタンプ証明用記憶領域に格納し、後日この領域を参照してデータの検証を行うため、検証用の公開鍵を作成して格納し、予約タイムスタンプ証明用の記憶領域に終了コードを挿入して予約タイムスタンプ証明領域を完成させ、これをもってタイムスタンプ証明Ｔｉとする（ステップ７０７、７０８）。

（５）次に、時刻配信局１０１は、該当する識別ＩＤのタイムスタンプ証明Ｔｉに格納された公開鍵と終了コードとを予約処理部１０７に送信する。なお、前述したステップ７０２〜７０８の処理中にエラーが出るか、条件を満たさない場合、何の送信も行わない。そして、実際には使用されず対応する仮タイムスタンプ証明がなかった予約タイムスタンプ証明ＲＴｘについて、その格納領域には不使用フラグを立てて、利用されていなかったことを明確にしておく。また、ステップ７０２の処理でＳｉが存在しない場合もＲＴｘの格納領域に不使用フラグを立てておく（ステップ７０９、７１０）。

（６）予約処理部１０７は、ステップ７０９の処理で時刻配信局１０１から送信されてきた識別ＩＤを受け取ると、取った識別ＩＤの仮タイムスタンプ証明のデータに公開鍵と終了コードとを追加して完成版タイムスタンプ証明Ｔｉを作成し、管理テーブル１１２内に管理されているタイムスタンプ証明を更新する（ステップ７１１）。

図１４は管理テーブル１１２の構成例を説明する図であり、ここで、管理テーブル１１２の構成例について説明する。この管理テーブル１１２は、文書毎のタイムスタンプ証明、電子署名等を管理しているテーブルであり、文書毎の、項番１４０１、入力データ識別子１４０２、文書システムユニークＩＤ１４０３、データ格納場所１４０４、文書ダイジェスト値１４０５、タイムスタンプ証明１４０６、電子署名１４０７の各項目を格納している。前述したステップ７１１の処理では、タイムスタンプ証明１４０６の項目が更新される。

前述で説明した例では、文書１件ずつに順にタイムスタンプ証明を与えるものとしているが、複数の文書をまとめて一緒にタイムスタンプ証明（同時刻のタイムスタンプ証明）を与えるように、図７に示すフローのステップ７０２〜７１０の処理を文書全体でまとめて行っても良い。また、図４に示したフローの処理において、ステップ４０８の電子署名登録処理とステップ４０９のタイムスタンプ登録処理とは、その順序が逆になってもかまわない。

以上で、予約処理部１０７での予約処理を終了する。

図８は証明管理部１１１での処理動作を説明するフローチャートであり、次に、これについて説明する。

（１）まず、証明管理部１１１は、予約処理部１０７からｎ個の予約タイムスタンプ証明ＲＴｌ〜ＲＴｎと予約電子署名ＲＳｌ〜ＲＳｎとを入力値として引き継ぎ、管理テーブル１１２から入力データを順に１つずつ取り出す処理を行って、入力データが取り出せたか否かを判定する（ステップ８０１、８０２）。

（２）ステップ８０２の処理で、入力データが取り出せた場合、予約タイムスタンプ証明と予約電子署名との未使用のものが両方とも残っているか否かを確認し、両方とも残っていれば、管理テーブル１０２からの入力文書データを１つ受付け、これに予約タイムスタンプ証明ＲＴｉ（ｉ＝１〜ｎ）を時刻順に１つ割り当て、また、予約電子署名ＲＳｉ（ｉ＝１〜ｎ）も順に１つ割り当てる（ステップ８０３、８０４）。

（３）次に、証明管理部１１１は、入力文書データのダイジェスト値（ハッシュ値等）ＤＩｉを取得し、入力データとダイジェスト値ＤＩｉと予約電子署名Ｒｓｉの組み合わせを管理テーブル１１２に出力する（ステップ８０５、８０６）。

（４）その後、証明管理部１１１は、予約タイムスタンプ証明ＲＴｉと入力装置のタイマーの現在時刻を比較して、入力装置のタイマー時刻の方が後であればタイマー時刻をＲＴｉの実際の時刻として置き換え、置き換えたことを記録しておく。例えば、予約タイムスタンプ証明ＲＴｉの予約時刻がｘｘ：ｘｘ：ｘｘであったとき、実際に処理された時点での内蔵タイマー時刻（このタイマー時刻は、時刻同期部１１０で第三者機関である時刻配信局１０１と同期をとっている最中のものである）がｘｘ：ｘｘ：ｘｘ＋ｙであれば、ＲＴｉのデータの時刻欄をｘｘ：ｘｘ：ｘｘ＋ｙとして置き換えて仮タイムスタンプ証明ＰＴｉを作成し、置き換えたことを記録しておく。そして、管理テーブル１１２の該当する入力データの項目に作成した仮タイムスタンプ証明ＰＴｉを出力する（ステップ８０７）。

（５）再び、ステップ８０２からの処理に戻り、次のデータの処理に移る。そして、ステップ８０２の判定で未処理の入力文書データがなくなっていれば、使わなかった予約タイムスタンプ証明ＲＴｘと予約電子署名ＲＳｘとを出力して証明管理部の処理を終了する（ステップ８０８）。

（６）また、ステップ８０２の判定で、未処理の入力文書データが残っていて、ステップ８０３で未処理の残りの予約タイムスタンプ証明か予約電子署名のいずれかがなくなっていた場合、「データの入力を受け付けられません」等のメッセージを入力装置に出力した後、ステップ８０８の処理を行って、証明管理部１１１での処理を終了する（ステップ８０９）。

図９は文書データ属性付与部１１３での処理動作を説明するフローチャートであり、次に、これについて説明する。

（１）文書データ属性付与部１１３は、まず、入力データに電子署名属性を付加し、管理テーブル１１２に記録されている電子署名Ｓｉ（Ｉ＝１〜ｎ）を属性値として文書データに付与する（ステップ９０１）。

（２）次に、入力文書データにタイムスタンプ証明属性を付加し、管理テーブル１１２に記録されているタイムスタンプ証明Ｔｉ（Ｉ＝１〜ｎ）を属性値として付与し、属性を付与した文書データを出力データとして出力して、ここでの処理終了する（ステップ９０２、９０３）。

図１０は出力処理部１１４での処理動作を説明するフローチャートであり、次に、これについて説明する。

ここでの処理は、ステップ１００１として示すように、文書データ属性付与部１１３から出力された文書データを文書管理装置１０５に送信してデータの登録を行う処理であり、この処理には、後述する付番・版管理部１１５での処理が含まれている。

前述までの本発明の実施形態の説明は、入力される文書が複数あるものとして説明したが、入力される文書が１つしかなかった場合には、図２に示すフローのステップ２０３の後に、逐次処理１０８による処理動作が行われる。

図１１は逐次処理部１０８での処理動作を説明するフローチャートであり、次に、これについて説明する。

（１）逐次処理部１０８は、まず、入力文書のダイジェスト値（ハッシュ値等）を取得し、通信部１０９を通じて電子署名認証局１０２から電子署名Ｓｉを取得する（ステップ１１０１）。

（２）次に、逐次処理部１０８は、通信部１０９を通じて第三者機関に管理されている時刻配信局１０１から入力データに割り当てるためのタイムスタンプ証明Ｔｉを１つ取得する（ステップ１１０２）。

（３）その後、図９により説明した文書データ属性付与部１１３での処理、及び、図１０により説明した出力処理部１１４での処理を行って、処理を終了する（ステップ１１０３、１１０４）。

図１２、図１３は出力処理部１１４に含まれる付番・版管理部１１５での処理動作を説明するフローチャートであり、次に、これについて説明する。

（１）入力文書の文書データを１つ受付け、例えば、ファイル名等の入力データ識別子１４０２を取得し、受け付けた入力データに付番属性が付与されているか否かを管理テーブル１１２により判定し、付与されていれば、図１３のステップ１３０１の処理に進む（ステップ１２０１、１２０２）。

（２）ステップ１２０２の判定で、付番属性が付与されていなかった場合、同一の入力データ識別子１４０２を持つ文書データが文書管理装置１０５に既に登録されているか否かを管理テーブル１１２により判定し、登録されていなかった場合、その文書を新規文書として文書管理装置１０５に登録する（ステップ１２０３、１２０４）。

（３）ステップ１２０３の判定で、同一の入力データ識別子を持つ文書が既に文書管理１０５に登録されていた場合、両文書のタイムスタンプ証明属性を比較して、時刻の新しい方を新しいバージョンとして文書管理装置１０５に版管理して登録する。すなわち、文書管理装置１０５にデータ織別子がデータ１の文書が登録されていて、新たに入力される文書の入力データ識別子がデータ１だった場合、それぞれのタイムスタンプＴｘとＴｘ’とを比較し、入力される文書のＴｘ’の方が新しかった場合、入力データを文書データ１の新規バージョンとして登録を行う（ステップ１２０５）。

（４）ステップ１２０４またはステップ１２０５の処理の後、管理テーブル１１２に登録された文書システムユニークＩＤ（文書管理装置１０５内で一意に管理される識別子）を得て、管理テーブル１１２に記録する。しかし、このとき何らかの理由で文書Ｘの登録が失敗した場合には、エラーが帰ってきて文書システムユニークＩＤは得られないので、管理テーブル１１２の文書システムユニークＩＤ１４０３にはエラーフラグを立てて区別しておくと共に、この入力データに付与されていた仮タイムスタンプ証明ＰＴｘに対応する予約タイムスタンプ証明ＲＴｘ、予約電子署名ＲＳｘは使用されないので不使用に変更して記録しておく（ステップ１２０６）。

（５）ステップ１２０２の判定で、受け付けた入力文書データに付番属性があった場合、文書管理装置に同一の番号を持つ文書が存在するか否かを判定する。ここでいう番号とは、例えば、帳簿があってその帳簿のある記録に対する書類の参照番号として、領収書番号等が定められていたとき、文書に領収書番号が振られている場合、この番号を付番属性の属性値としておく。新しく文書を読み取ってイメージ化する際に、「付番属性あり」として領収書番号を入力して読み取らせれば、その文書のイメージデータに帳簿に対応する番号がつくことになる。なお、帳簿以外にも、番号で管理するものに対応させることができる（ステップ１３０１）。

（６）ステップ１３０１の判定で、文書管理装置に既に同一の番号を持つ文書が登録されていた場合、入力データのタイムスタンプ証明属性の時刻を比較して、新しい方を同一文書の新しいバージョンとして文書管理装置１０５に登録する。例えば、文書管理装置１０５に番号Ｙを持つ文書Ｚが登録されていたとき、新たに入力されたデータの持つ属性番号がＹであれば、その入力データは文書Ｚの新規バージョンであるとして文書管理装置１０５に登録する（ステップ１３０２）。

（７）ステップ１３０１の判定で、同一の番号がなかった場合、入力文書データを新規文書として文書管理システムに登録する（ステップ１３０３）。

（８）ステップ１３０２またはステップ１３０３の処理の後、文書登録した際の文書システムユニークＩＤを得て、管理テーブル１１２に記録する。登録の際、何らかの理由で失敗して登録ができなかった文書の場合、文書システムユニークＩＤ１４０３にエラーフラグを立て、登録できなかった入力データに付与されていた仮タイムスタンプ証明ＰＴｘに対応する予約タイムスタンプ証明ＲＴｘ、予約電子署名ＲＳｘを不使用に変更して記録しておく（ステップ１３０４）。

図１６は本発明の実施形態の文書管理システムでの文書データ検証方法の処理動作を説明するフローチャートであり、次に、これについて説明する。この処理は、文書管理装置１０５の検証部１１６と時刻配信局１０１及び電子署名認証局１０２とにより行われるものであるが、ここに示す例では、時刻配信局１０１及び電子署名認証局１０２とが、１つの信頼される第三者信頼機関により構成されているものとしている。従って、タイムスタンプ証明のデータ形式及び電子署名のデータは、図１５（ｃ）に示すものであるが、時刻配信局１０１及び電子署名認証局１０２とが独立して運用されている場合についても同様である。

（１）文書管理装置１０５において、後日、検証部１１６で検証したい文書が指定されたとき、検証部は、まず、検証したい文書のダイジェスト値を取得し、次に、検証コマンドによってこのダイジェスト値を含む検証要求と、文書属性として記録されているタイムスタンプ証明Ｔ、電子署名Ｓのそれぞれのデータに含まれる公開鍵を、タイムスタンプ証明Ｔ、電子署名Ｓの発行元である第三者信頼機関に送信する。このとき、終了コードが記録されていない証明については未完成であるので「検証できません」等のエラー出力を出して終了する（ステップ１６０１、１６０２）。

（２）証明発行元である第三者信頼機関は、文書ダイジェスト値を含む検証要求と、タイムスタンプ証明、電子署名の公開鍵を受信し、それを受け付けると、公開鍵の暗号を解読して、既に登録され格納されている文書データのダイジェスト値、タイムスタンプ証明時刻、電子署名を参照する（ステップ１６０３、１６０４）。

（３）証明発行元である第三者信頼機関は、検証要求のあった文書ダイジェスト値が格納されていた文書ダイジェスト値と同一のものであるか否かを文書ダイジェスト値を比較することにより調べ、またタイムスタンプ時刻、電子署名についても同一のものか否かを調べる。そして、検証結果を予め定められたフォーマット（例えば、メール配信、Ｗｅｂによる表示等）により文書管理装置１０５に送信する（ステップ１６０５、１６０６）。

（４）検証結果を受け取った文書管理装置の検証部１１６は、例えば「この文書は確かに○月×日、時刻ｘｘ：ｘｘに△発行元に登録されたものと同じ内容で改竄されていません。発行元の登録Ｎｏはｘｘｘです。」等のメッセージを出力する（ステップ１６０７）。

前述した本発明の第１の実施形態は、入力装置のタイマーと第三者である時刻配信局の基準時刻との同期をとりながら、複数の文書のタイムスタンプと電子署名とを一括して予約取得してから入力された文書にそれらを付与して文書管理装置に登録するようにしているので、タイムスタンプと電子署名との取得時の通信コストを少なくすることができ、かつ、付与のための処理を迅速に行うことが可能になる。

図１７は本発明の第２の実施形態による文書管理システムの構成を示すブロック図である。図１７において、１７０１は同時刻登録文書検索処理部、１７０２は一括削除処理部、１７０３は一括ストレージ移動処理部、１７０４はストレージ装置であり、他の符号は図１の場合と同一である。

本発明の第２の実施の形態による文書管理システムは、図１に示す本発明の第１の実施形態の文書管理システムに対して、タイムスタンプ証明・署名付与装置１０３内に同時刻登録文書検索処理部１７０１、一括削除処理部１７０２、一括ストレージ移動処理部１７０３をさらに設けると共に、通信ネットワーク上にストレージ装置を設けて構成したものであり、その他の構成は、第１の実施形態の場合と同一である。

本発明の第２の実施の形態は、図５により説明した本発明の第１の実施形態での予約証明取得処理におけるステップ５０２の処理において、予約タイムスタンプＲＴｉを割り当てる際に、文書管理装置から申請要求のあった時刻のタイムスタンプをｎ個の文書の全てに割り当てるようにしたものである。すなわち、ｎ個の文書が全て同じ時刻のタイムスタンプを持つようにしたものである。

図１８は本発明の第２の実施形態での管理テーブル１１２の構成例を説明する図である。このテーブルは、図１４に示して説明したものと基本的に同一であるが、本発明の第２の実施形態では、第１の実施形態と違って図１８に示すように、図８により説明した証明管理部１１１でのフローにおけるステップ８０７の処理で管理テーブル１１２の予約タイムスタンプ１８０６を仮タイムスタンプ１８０７で上書きせず、それぞれ別の項目として記録しておく。

本発明の第２の実施形態は、前述のように準備しておいた上で、同時刻登録文書検索処理部１７０１、一括削除処理部１７０２、一括ストレージ移動処理部１７０３での処理を実施形態１での処理に追加して行うが、これらの処理部１７０１〜１７０３での処理は、本発明の第１の実施形態において、同時に、予約処理部１０７で登録され、所定の間隔、例えば、１０秒毎タイムスタンプが付与されている複数の文書を同時国登録文書として扱って処理を実行することも可能である。

図１９は同時刻登録文書検索処理部１７０１での処理動作を説明するフローチャートであり、次に、これについて説明する。同時刻登録文書検索処理は、同じ時刻に予約証明取得申請を行ったｎ個の文書を検索したいときに行われる処理である。例えば、ある日時のある時刻に纏めて登録した文書を全てリストアップしたい、といった場合に用いられる。

（１）まず、同時刻登録文書検索処理部１７０１、検索する時刻の範囲指定を受け付けるか、または、同じ登録時刻で検索したい文書の指定を受け付け、文書が指定されたか否かを判定する（ステップ１９０１、１９０２）。

（２）ステップ１９０２の判定で、文書が指定されていなかった場合、時刻指定であるので、指定された時刻の範囲内に含まれる予約タイムスタンプＲＴを持つ文書の全てを管理テーブル１１２から検索する（ステップ１９０３）。

（３）ステップ１９０２の判定で、文書が指定されていた場合、管理テーブル１１２から指定された文書の予約タイムスタンプ時刻ＲＴを取得し、取得したＲＴと同一時刻のＲＴを持つ文書の全てを検索する（ステップ１９０５、１９０６）。

（４）ステップ１９０３またはステップ１９０６の処理の後、その処理で検索された検索結果の文書一覧を出力してここでの処理を終了する（ステップ１９０４）。

図２０は一括削除処理部１７０２での処理動作を説明するフローチャートであり、次に、これについて説明する。この一括削除処理は、同時に登録したｎ個の文書を全てを一括して削除したいときに用いられる処理である。

（１）一括削除処理が開始されると、一括削除する文書が登録された時刻の範囲指定を受け付け、受け付けた時刻指定を同時刻登録文書検索処理部１７０１に入力値として渡して同時刻登録文書検索処理を実行させる（ステップ２００１、２００２）。

（２）同時刻登録文書検索処理部１７０１での処理の結果得られる検索結果を、一括削除対象文書リストとして出力し、リストの中で削除対象から除外する文書の指定を受け付ける（ステップ２００３、２００４）。

（３）その後、削除確認ボタンが押下されたか否かを判定し、削除確認ボタンが押下されたことが確認できれば、指定された一括削除対象文書を削除してここでの処理を終了し、一定時間待っても削除確認ボタンの押下が確認できなかった場合、処理を中断してここでの処理を終了する（ステップ２００５、２００６）。

図２１は一括ストレージ移動処理部１７０３での処理動作を説明するフローチャートであり、次に、これについて説明する。この一括ストレージ移動処理は、同時に登録したｎ個の文書を全て一括してストレージ装置に移動したいときに用いられる処理である。例えば、古くなってあまりアクセスしない文書群をまとめて高速ストレージから低速ストレージに移動したり、バックアップを取ったりするときに用いられる。

（１）一括ストレージ移動処理が開始されると、一括してストレージに移動させたい文書群が登録された時刻の範囲指定を受け付け、受け付けた時刻指定を同時刻登録文書検索処理部１７０１に入力値として渡して同時刻登録文書検索処理を実行させる（１２０１、２１０２）。

（２）同時刻登録文書検索処理部１７０１での処理の結果得られる検索結果を、一括ストレージ移動対象文書リストとして出力し、リストの中でストレージ移動対象から移動を行わない文書の指定を受け付ける（ステップ２１０３、２１０４）。

（３）その後、移動させる先のストレージ装置の指定を受け付ける。例えば、図１７のストレージ装置１７０４へ移動させる等の指定を受け付ける。そして、開始ボタンが押下されたか否かを判定し、開始ボタンが押下されたことが確認できれば、指定された一括ストレージ移動対象文書を指定されたストレージに移動してここでの処理を終了し、一定時間待った後にも、開始ボタンが押下が確認できなかった場合、処理を中断してここでの処理を終了する（ステップ２１０５〜２１０７）。

前述した本発明の第２の実施形態は、第１の実施形態に加えて、予約タイムスタンプと仮タイムスタンプとを別々に文書の属性として記録しておくので、ある時刻に同時に登録された複数の文書を一括して検索、削除、ストレージ移動等を行うことができる。

前述で説明した本発明の各実施形態におけるフローでの処理は、処理プログラムとして構成し、タイムスタンプ証明・署名付与装置が備えるＣＰＵに実行させることができ、また、それらのプログラムは、ＦＤ、ＣＤＲＯＭ、ＤＶＤ等の記録媒体に格納して提供することができる。

なお、本発明の目的を達成するための解決手段をより具体的にいえば、次のとおりである。

入力装置である紙文書の画像読み取りを行うスキャナなどの読み取り装置から入力されるイメージデータを受け付けるか、あるいは、別の入力装置である文書管理装置から指定されて入力されるイメージなどの文書データを受け付けることのできる入力受付手段と、第三者の時刻配信局からのタイムスタンプ証明と電子署名認証局からの電子署名をそれぞれ複数文書分予約して取得する予約処理手段と、第三者の時刻配信局からのタイムスタンプ証明と電子署名認証局からの電子署名を文書毎に取得する逐次処理手段と、第三者の時刻配信局または電子署名認証局と通信を行うための通信手段と、第三者の時刻配信局と入力装置のタイマー時刻との同期をとるための時刻同期手段と、予約して取得したタイムスタンプ証明と電子署名とを管理する証明管理手段と、取得したタイムスタンプ証明と電子署名とを入力データに付与するデータ属性付与手段と、入力データの版管理手段と、入力データに対する付番処理手段とを備えた出力処理手段と、文書管理装置に登録された文書の登録時刻と内容とを検証するための検証手段とを備える。

本発明の第１の実施形態による文書管理システムの構成を示すブロック図である。 入力受付部での処理動作を説明するフローチャート（その１）である。 入力受付部での処理動作を説明するフローチャート（その２）である。 予約処理部での処理動作を説明するフローチャートである。 図４に示すフローにおけるステップ４０４での予約証明取得処理の動作を説明するフローチャートである。 図４に示して説明したフローにおけるステップ４０８の電子署名登録処理の動作を説明するフローチャートである。 図４に示して説明したフローにおけるステップ４０９のタイムスタンプ登録処理の動作を説明するフローチャートである。 証明管理部での処理動作を説明するフローチャートである。 文書データ属性付与部での処理動作を説明するフローチャートである。 出力処理部での処理動作を説明するフローチャートである。 逐次処理部での処理動作を説明するフローチャートである。 出力処理部に含まれる付番・版管理部での処理動作を説明するフローチャート（その１）である。 出力処理部に含まれる付番・版管理部での処理動作を説明するフローチャート（その２）である。 管理テーブルの構成例を説明する図である。 タイムスタンプ証明のデータ形式及び電子署名のデータの例を説明する図である。 本発明の実施形態の文書管理システムでの文書データ検証方法の処理動作を説明するフローチャートである。 本発明の第２の実施形態による文書管理システムの構成を示すブロック図である。 本発明の第２の実施形態での管理テーブルの構成例を説明する図である。 同時刻登録文書検索処理部での処理動作を説明するフローチャートである。 一括削除処理部での処理動作を説明するフローチャートである。 一括ストレージ移動処理部での処理動作を説明するフローチャートである。

符号の説明

１０１ 時刻配信局
１０２ 電子署名認証局
１０３ タイムスタンプ証明・署名付与装置
１０４ 紙文書読み取り装置
１０５ 文書管理装置
１０６ 入力受付部
１０７ 予約処理部
１０８ 逐次処理部
１０９ 通信部
１１０ 時刻同期部
１１１ 証明管理部
１１２ 管理テーブル
１１３ 文書データ属性付与部
１１４ 出力処理部
１１５ 付番・版管理部
１１６ 検証部
１７０１ 同時刻登録文書検索処理部
１７０２ 一括削除処理部
１７０３ 一括ストレージ移動処理部
１７０４ ストレージ装置

Claims (2)

1. 文書管理装置と証明付与装置と時刻配信局と電子署名認証局とがネットワークで接続された文書管理システムにおける文書管理方法において、
   前記証明付与装置は、
   前記文書管理装置より受領した複数の文書を、前記証明付与装置に接続された記憶装置に記憶し、
   前記文書管理装置より受領した前記複数の文書の文書数を特定し、前記文書数を前記時刻配信局と前記電子署名認証局とへ送付し、
   前記時刻配信局から前記文書数分の予約タイムスタンプ証明を受領し、
   前記電子署名認証局から前記文書数分の予約電子署名を受領し、
   前記記憶装置に記憶された複数の文書のうちの１つの文書と前記受領した１つの予約タイムスタンプ証明と前記受領した１つの予約電子署名とを対応付けて、前記１つの文書に対するタイムスタンプ証明と電子署名を生成する、
   ことを特徴とする文書管理方法。
2. 前記証明付与装置は、更に、
   前記１つの文書と、前記１つの文書と対応づけた前記１つの予約タイムスタンプ証明とを、前記時刻配信局へ送付して、対応する公開鍵を時刻配信局から受信し、前記１つの文書と対応づけることで、前記タイムスタンプ証明を生成し、
   前記１つの文書と、前記１つの文書と対応付けた前記１つの予約電子署名とを、前記電子署名認証局へ送付して、対応する公開鍵を前記電子署名認証局から受信し、前記１つの文書と対応付けることで、前記電子署名を生成する、
   ことを特徴とする請求項１に記載の文書管理方法。

Images