JP5501232B2 - 電子文書を確認するためのシステム及び方法 - Google Patents

Description

本発明は、電子文書を確認するためのシステムに関する。本発明は、さらに、対応する方法及び対応するコンピュータ・プログラムに関する。

電子商取引において、一般に用いられている事例の１つは、ユーザが電子署名により秘密鍵を用いて電子文書に署名することである。例えば、ユーザは、サービス・プロバイダとの契約書又は銀行の取引注文に署名することがある。安全性を保つために、このような用途では、ユーザが、自分が署名した取引明細書を信頼できる装置を介して確認できることが求められる。

信頼できる装置を用いずにこのような取引が行われる場合には、ウイルスやトロイの木馬などの悪意あるソフトウェアによって、ユーザの目にする情報又は実際に署名された情報が操作される場合がある。このように、悪意あるソフトウェア又は結局は悪意ある者が、ユーザに対して不正を行うことがある。

実用性という理由から、このような信頼できる装置は、例えば、ＵＳＢキー、スマート・カード、又は小型の改ざん防止カード・リーダのように、非常に小型である場合が多い。こうした装置には、せいぜい小型ユーザ・インターフェースと小型スクリーンが備わっている程度である。

このような小型の信頼できるユーザ装置は、ユーザが実際に署名する内容全体を示すには小さすぎる場合が多い。例を挙げると、ユーザが署名しなければならない完全な契約書は、数平方センチメートルのディスプレイしか持たない信頼できる装置には表示することができない。このような小型の信頼できる装置の例は、ＥＣカード・リーダのディスプレイである。

本発明の目的は、電子文書を確認するための他の解決策を提供することである。
本発明の更なる目的は、電子文書を確認するための解決策を具体化する、改善されたシステム、改善された方法、及び改善されたコンピュータ・プログラムを提供することである。

本発明は、独立請求項において請求されるシステム、方法、及びコンピュータ・プログラムを対象とする。
本発明の更なる実施形態は、従属請求項において提供される。

本発明の第１の態様によれば、電子文書を確認するためのシステムであって、
第１のディスプレイと、第１のインターフェースと、電子文書を第１のディスプレイに表示するための第１の表示プログラムとを含む、第１の装置と、
第２のディスプレイと、第２のインターフェースと、第２の表示プログラムとを含む、第２の装置と、
第１のインターフェースと第２のインターフェースとの間における通信チャネルと、
を備え、
第１の装置及び第２の装置は電子文書を交換するように動作可能であり、システムは選択機能を含み、前記選択機能は、
電子文書の一部を選択し、
電子文書の選択部分の位置情報を生成する、
ように動作可能であり、
第２の表示プログラムは、
第１の装置との交換の後に電子文書をロックし、
位置情報とロックされた電子文書とに基づいて、電子文書の選択部分を第２のディスプレイに表示する、
ように動作可能である、システムが提示される。

本発明のこの態様によるシステムは、２つのディスプレイを備える。第１のディスプレイは、電子文書を通常の方法で表示するのに用いることができる。これは、電子文書をページごとに表示することと、電子文書のページを異なるサイズ及び増加量で表示することとを含むことができる。電子文書の選択部分を第２のディスプレイに表示するために、電子文書の一部を選択する選択機能が設けられる。電子文書の選択部分を第２のディスプレイに表示することを容易にするために、選択機能は、電子文書の選択部分の位置情報を生成する。位置情報は、電子文書の選択部分の位置に関する情報を含む。言い換えると、位置情報は、第２のディスプレイに表示するために電子文書のどの部分が選択されたかを示す。

電子文書は、通信チャネルを介して、第１の装置と第２の装置との間で交換される。これは、電子文書のデータ・ファイルを交換することによって行うことができる。交換後、第２の装置は電子文書をロックする。これは、第２の装置のメモリ、具体的には安全なメモリに電子文書を格納することによって行うことができる。言い換えると、ロック後は、第１の装置は、第２の装置に格納された電子文書にそれ以上アクセスすることができない。このことが、第１の装置で実行されることがあるウイルス、ワーム、又は他のツールが、第２の装置に格納された電子文書をそれ以上変更できないようにする。

電子文書の選択部分を第２のディスプレイに表示するために、第２の装置は、第２の装置内にロックされた電子文書及び位置情報のみを用い、第１の装置に格納された電子文書を用いない。これは、第１の装置のウイルス、ワーム、又は他の悪意ある活動が第２の装置に表示されるものに影響を与えることができないという利点を有する。このことによって、電子文書の確認が可能になる。システムのユーザが、第２のディスプレイ上の選択部分と第１のディスプレイに表示される対応する部分との間に差があることを見つけた場合には、ユーザは、第１の装置が適切に動作しておらず、電子文書の確認を拒否すべきであるという指示を得る。システムのユーザが、第２のディスプレイ上の選択部分と、第１のディスプレイに表示される対応する部分とが同一であることを認めた場合には、電子文書の別の部分を確認のために選ぶことができる。ユーザは、電子文書の中の関心のあるあらゆる部分について、この手順を繰り返すことができる。このことによって、電子文書の全体を確認することが可能になる。

本発明のこの態様の一実施形態によれば、第１の表示プログラムは選択機能を含み、選択機能は、位置情報を第２の装置に送信するように動作可能である。

本発明のこの実施形態によれば、選択機能は、選択のための移動可能ウィンドウ、拡大鏡、又は他のグラフィック要素を用いることができる。システムのユーザは、選択機能を用いて、確認するために電子文書の１つ又は複数の部分を選択することができる。電子文書をロックした後は、位置情報のみを第１の装置から第２の装置に送信することができる。位置情報は、電子文書の選択部分を第２のディスプレイに表示するために、第２の表示プログラムによって用いられる。電子文書の選択部分を第２のディスプレイに表示するために、第２の装置は、第２の装置にロックされている電子文書及び受信した位置情報のみを用い、第１の装置に格納された電子文書を用いない。システムのユーザが第１のディスプレイ上の選択部分と第２のディスプレイ上の選択部分との間に差があることを見つけた場合には、ユーザは、第１の装置が適切に動作しておらず、電子文書の確認を拒否すべきであるという指示を得る。システムのユーザが、第１のディスプレイ上の選択部分と第２のディスプレイ上の選択部分とが同一であることを認めた場合には、電子文書の別の部分を確認のために選ぶことができる。

本発明のこの態様の別の実施形態によれば、第２の表示プログラムは選択機能を含み、選択機能は、選択部分の位置をユーザ・インターフェースによってユーザに示すように動作可能である。

本発明のこの実施形態は、第１の装置と第２の装置との間で位置情報が交換されないという利点を有する。電子文書の選択部分の位置が、ユーザ・インターフェースによってユーザに示される。一例として、第２の装置の第２のディスプレイを視覚的インターフェースとして用いることができる。さらに、スピーカーを音響的ユーザ・インターフェースとして用いることができる。ユーザは、例えば、第２のディスプレイを見ることにより、又は、第２の装置のスピーカーからの音を聞くことにより、ユーザ・インターフェースから位置情報を受け取ることができる。次いで、ユーザは、第１のディスプレイに表示される対応する位置情報によって、第１のディスプレイ上の対応する選択部分を確認することができる。一例として、選択機能は、位置情報として行番号及び／又はページ番号を生成し、選択部分の行番号及び／又はページ番号を第２のディスプレイに表示することができる。第１のディスプレイに表示された電子文書もまた、ページ番号及び／又は行番号を含む。このことにより、ユーザが、第１のディスプレイに表示された行番号及び／又はページ番号によって、選択部分に対応する第１のディスプレイ上の部分を特定することが可能になる。

本発明の更なる実施形態によれば、選択機能は、電子文書の１つ又は複数の部分を自動的に選択するように動作可能である。

自動選択は、選択機能によって選択されるべき部分を予め定めることにより、実施することができる。一例として、契約書の特定の条項が選択機能によって選択されるべきであることを予め定めることができる。更なる一例として、電子文書の特定のフィールドが選択機能によって選択されるべきであることを予め定めることができる。これは、構文解析器によって実施することができる。選択機能は、予め定められた部分を順番に自動的に選択してもよい。連続的な選択ステップの間に、ユーザに続行の確認を求めてもよい。

本発明のこの態様の一実施形態によれば、第２の装置は、電子文書に電子署名を実行するための署名機能を含む。これにより、電子署名を行うための改善された装置が提供される。ユーザは、署名する前に、電子文書、具体的には特定の重要性を有する部分を確認できるようになる。

本発明のこの態様の更なる実施形態によれば、署名機能は、
ユーザが電子文書の確認を示した場合には、電子文書に電子署名を実行し、
ユーザが電子文書の確認を拒絶した場合には、電子署名の実行を拒否する、
ように動作可能である。

これにより、電子署名を行うための改善された装置が提供される。ユーザは、第１の装置に表示された選択部分と第２の装置に表示された選択部分との間に相違を見つけた場合には、電子文書を確認して署名するか、又は、署名を取りやめるかのどちらかを行うことができる。

本発明のこの態様の更なる実施形態によれば、第２のディスプレイのサイズは、第１のディスプレイのサイズより小さい。

これは、コスト効率の高い解決策である。これにより、ユーザが、例えば完全な契約書のような比較的大きな文書を、比較的小さなディスプレイを用いて確認できるようになるという利点を有する。より大きな第１のディスプレイを有する第１の装置は、電子文書の全体又は電子文書のページを表示することができる。より小さな第２のディスプレイを有する第２の装置は、電子文書の選択部分を表示することができる。

本発明のこの態様の更なる実施形態によれば、第２の装置は、第１の装置と比べてより改ざん防止されている。

このことは、敵対者は第１の装置を操作することより第２の装置を操作することの方が難しいことを意味する。具体的には、敵対者がウイルス若しくはワーム又は他のツールを設置することは、第１の装置より第２の装置の方が難しい。これは、第２の装置にアプリケーションをロードする可能性を制限することによって、達成することができる。

改ざん防止装置は、限られた表示設備のみを有する場合が多く、小型ディスプレイである場合が多いので、本発明のこの態様によるシステムは、例えば契約書のような大きな文書を第１の装置の大きなディスプレイに表示し、一方で、第２の装置のディスプレイを用いて、電子文書の選択部分を確認できる可能性を提供する。

本発明のこの態様の更なる実施形態によれば、第２の装置は信頼できる装置である。

信頼できる装置は、ユーザが信頼することを選択した装置であると理解される。信頼できる装置は、比較的小型のディスプレイを有する場合が多い。本発明のこの態様によるシステムは、例えば契約書のような大きな文書を第１の装置の大きなディスプレイに表示し、一方で、信頼できる装置のディスプレイを用いて、電子文書の選択部分を確認できる可能性を提供する。

本発明のこの態様の更なる実施形態によれば、第１の装置及び第２の装置は、位置参照情報を交換するように動作可能である。

このような位置参照情報は、第２の表示プログラムが電子文書の選択部分を正確に表示することを容易にする。位置参照情報を用いて、第１の表示プログラム及び第２の表示プログラムは、電子文書の選択部分の位置について共通の位置参照系に合意する。一例として、位置参照情報は、第１の表示プログラムと第２の表示プログラムとの間で電子文書の一部の位置の共通認識を可能にする、２次元若しくは３次元の座標系又は他のいずれかの参照系とすることができる。

本発明のこの態様の更なる実施形態によれば、通信チャネルは安全なチャネルである。

これによって、システムのセキュリティが強化される。安全なチャネルは、傍受及び／又は改ざんに対して所定の程度まで耐性のあるチャネルである。安全なチャネルは、例えば、セキュア・ソケット・レイヤ（ＳＳＬ）・プロトコル又はトランスポート・レイヤ・セキュリティ（ＴＬＳ）・プロトコルなどを用いて、確立することができる。他の非対称又は対称暗号プロトコルを用いることもできる。

本発明のこの態様の更なる実施形態によれば、通信チャネルは無線チャネルである。

これにより、自由度の高いシステムが提供される。無線チャネルは、例えば、Ｂｌｕｅｔｏｏｔｈ又は近距離無線通信（ＮＦＣ）規格による無線チャネルとすることができる。

本発明のこの態様の更なる実施形態によれば、第２の装置はスマート・カード・リーダである。

スマート・カード・リーダは、チップ・カード・リーダ又は集積回路カード・リーダとも呼ばれ、スマート・カードから情報を読み出すことが可能なリーダとして定義することができる。スマート・カードは、チップ・カード又は集積回路カードとも呼ばれ、情報を処理するための１つ又は複数の集積回路を備えるいずれかのポケット・サイズのカードとして定義することができる。このようなスマート・カード・リーダは広く用いられており、例えば、ＥＣカード・リーダのような電子決済、電子署名、又は他の様々な目的に用いることができる。これにより、効率的で自由度の高いシステムが提供される。

本発明のこの態様の更なる実施形態によれば、第２の装置は携帯電話である。
これによって、効率的で自由度の高いシステムが提供される。

本発明のこの態様の更なる実施形態によれば、第２の装置は、信頼できるプラットフォーム・モジュール（ＴＰＭ）又はハードウェア・トークンを含む。
信頼できるプラットフォーム・モジュールは、Ｔｒｕｓｔｅｄ Ｃｏｍｐｕｔｉｎｇ Ｇｒｏｕｐ（ＴＣＧ）の信頼できるプラットフォーム・モジュール仕様に適合する集積回路又は電子チップである。仕様の詳細は、ｈｔｔｐ：／／ｗｗｗ．ｔｒｕｓｔｅｄｃｏｍｐｕｔｉｎｇｇｒｏｕｐ．ｏｒｇ／ｇｒｏｕｐｓ．ｔｐｍ／で見ることができる。

ハードウェア・トークンは、セキュリティ・トークン又は暗号トークンとも呼ばれ、コンピュータ・システムのユーザが認証目的で用いることができる電子デバイスである。ハードウェア・トークンは、通常、ユーザのポケットに入れて運ぶことができるように比較的小型である。ハードウェア・トークンは、電子署名を行うことを可能にするユーザの署名キーを格納することができる。

本発明の第２の態様によれば、電子文書を確認するための方法であって、
第１の装置と第２の装置との間で電子文書を交換するための交換ステップと、
交換ステップ後に、第２の装置において電子文書をロックするためのロック・ステップと、
電子文書の一部を選択するための選択ステップと、
電子文書の選択部分の位置情報を生成するための位置情報生成ステップと、
第１の表示プログラムによって第１の装置の第１のディスプレイに電子文書を表示するための表示ステップと、
第２の表示プログラムによって、位置情報とロックされた電子文書とに基づいて、電子文書の選択部分を第２の装置の第２のディスプレイに表示するための表示ステップと、
を含む方法が提示される。

本発明のこの態様の一実施形態によれば、選択ステップ及び位置情報生成ステップは、第１の表示プログラムによって行われ、方法は、位置情報を第１の装置から第２の装置に送信するための位置情報送信ステップをさらに含む。

本発明のこの実施形態による選択ステップは、幾つかのユーザ対話を含むことができる。一例として、ユーザは、第１の表示プログラムの選択機能を用いて、自分にとって特に関心のある電子文書の部分を選択することができる。

本発明のこの態様の一実施形態によれば、選択ステップ及び位置情報生成ステップは、第２の表示プログラムによって行われ、方法は、選択部分の位置をユーザ・インターフェースによってユーザに示すための位置指示ステップをさらに含む。

このことは、ユーザ対話なしに自動的に選択ステップを行うことができるという利点を有する。

本発明のこの態様の更なる実施形態によれば、方法は、ユーザが電子文書を確認した場合に電子文書に署名するための署名ステップをさらに含む。

本発明の第３の態様によれば、本発明の第２の態様による方法のステップを実施するための命令を含むコンピュータ・プログラムが提示される。

開示されるいかなる実施形態も、示される及び／又は説明される他の実施形態の１つ又は複数と組み合わせることができる。このことは、実施形態の１つ又は複数の特徴についても可能である。
本発明の１つの態様のいかなる特徴も、本発明の別の態様に適用することができ、逆のもまた同様である。

本発明の好ましい実施形態は、単なる例として以下の概略的な図面を参照して以下で詳細に説明される。

本発明の一実施形態による、電子文書を確認するためのシステムの概略的なブロック図を示す。 第１のディスプレイにおけるビューの例と、より小型の第２のディスプレイにおける対応するビューとの概略的な図を示す。 電子文書を確認するための方法のフロー・チャートを示す。 本発明の別の実施形態による、電子文書を確認するためのシステムの概略的なブロック図を示す。 第１のディスプレイにおけるビューの別の例と、より小型の第２のディスプレイにおける対応するビューとの概略的な図を示す。 本発明の別の実施形態による、電子文書を確認するための方法のフロー・チャートを示す。

図面は、説明のみを目的として与えられ、本発明の実際の例を必ずしも縮尺通りに表すものではない。図面において、同一の参照記号は、同一又は類似の部分を示すのに用いられる。

図１は、電子文書１１０を確認するためのシステム１００の概略的な図を示す。システム１００は、第１の装置１２０を含む。第１の装置１２０は、第１のディスプレイ１２１と、第１のインターフェース１２２と、第１の表示プログラム１２３とを含む。第１の表示プログラム１２３は、メモリ・ユニット１２４に格納される。さらに、第１の装置１２０は、処理ユニット１２５を含む。第１の装置１２０は、第１の装置１２０にユーザ入力を与えるキーボード１２６及びマウス１２７を含む。処理ユニット１２５、メモリ・ユニット１２４、及び第１のインターフェース１２２は、例えば、デスクトップ型パーソナル・コンピュータ（ＰＣ）１２８に配置することができる。別の例として、第１の装置１２０は、ラップトップ・コンピュータとすることができる。

システム１００は、第２のディスプレイ１３１と、第２のインターフェース１３２と、第２の表示プログラム１３３とを含む第２の装置１３０を備える。第２の表示プログラム１３３は、メモリ・ユニット１３４に格納される。さらに、第２の装置１３０は、処理ユニット１３５を含む。

第１のインターフェース１２２と第２のインターフェース１３２とは、通信チャネル１４０によって接続された通信インターフェースである。通信チャネル１４０は、有線又は無線チャネルとすることができる。無線チャネルは、例えばＢｌｕｅｔｏｏｔｈ又は近距離無線通信（ＮＦＣ）規格による無線チャネルとすることができる。有線チャネルは、ネットワーク・ケーブルによって実施することができる。通信チャネル１４０は、安全なチャネル、即ち、傍受及び／又は改ざんに対して所定の程度まで耐性のあるチャネルとすることができる。通信チャネル１４０のセキュリティは、例えば、セキュア・ソケット・レイヤ（ＳＳＬ）・プロトコル、トランスポート・レイヤ・セキュリティ（ＴＬＳ）・プロトコル、又は、他の非対称若しくは対称暗号プロトコルによって実現することができる。

第２の装置１３０は、第３のインターフェース１３６及び第４のインターフェース１３７を含む。第３のインターフェース１３６は、スマート・カード１６０を受け入れるように動作可能である。スマート・カード１６０は、電子文書１１０などの電子文書に署名するための署名キーＫを含むことができる。システム１００は、署名受信エンティティ１５０をさらに含む。署名受信エンティティ１５０は、例えば、銀行、保険会社、インターネット店舗、又は、電子署名を利用することがある他のいずれかのエンティティとすることができる。署名受信エンティティ１５０は、通信チャネル１７０によって、第４のインターフェース１３７に結合される。通信チャネル１７０は、無線又は有線チャネルとすることができる。さらに、第２の装置１３０は、第２の装置１３０にユーザ入力情報を与えるための入力パッド１３８を備える。

第２の装置１３０は、例えば、スマート・カード・リーダ、携帯電話、ハードウェア・トークン、又はディスプレイ付きスマート・カードとすることができる。

署名受信エンティティ１５０は、電子文書１１０のデータ・ファイル１１１を第２の装置１３０に送信するように動作可能である。電子文書１１０のデータ・ファイル１１１は、メモリ・ユニット１３４に格納される。

第１の装置１２０及び第２の装置１３０は、電子文書１１０を確認することを容易にするように動作可能である。電子文書１１０を確認するために、第１の装置１２０及び第２の装置１３０は、通信チャネル１４０を介して、それぞれ電子文書１１０又は電子文書１１０のコピーを交換する。図１に関連して示される本発明の実施形態によれば、第２の装置１３０は、電子文書１１０のデータ・ファイル１１２を第１の装置１２０に送信する。データ・ファイル１１２は、電子文書１１０のデータ・ファイル１１１のコピーとして生成することができる。第１の装置１２０は、電子文書１１０のデータ・ファイル１１２を受信すると、これをメモリ・ユニット１２４に格納する。電子文書１１０を交換した後、メモリ・ユニット１３４に格納された電子文書１１０のデータ・ファイル１１１はロックされる。言い換えると、電子文書のデータ・ファイル１１１は、ロック解除されるまでそれ以上変更することができない。

動作中には、メモリ・ユニット１２４に格納されたデータ・ファイル１１２に基づいて、電子文書１１０を第１のディスプレイ１２１に表示するために、第１の表示プログラム１２３を用いることができる。第１の表示プログラム１２３は、ユーザが確認目的で電子文書１１０の一部１１５を選択できるようにする選択機能を含む。ユーザは、キーボード１２６及び／又はマウス１２７を用いて選択を行うことができる。

第１のディスプレイ１２１に表示された電子文書１１０の一部１１５が選択されると、第１の表示プログラム１２３は、電子文書１１０の選択部分１１５の位置情報Ｐを生成する。位置情報Ｐは、電子文書１１０の選択部分１１５の位置についての情報を含む。第１の装置１２０及び第１の表示プログラム１２３は、それぞれ第１のインターフェース１２２及び通信チャネル１４０を介して、この位置情報Ｐを第２の装置１３０に送信する。位置情報Ｐは、第２の装置１３０に、電子文書１１０の選択部分１１５がユーザによって選択され、第２の装置１３０の第２のディスプレイ１３１に表示されるべきであることを示す。第２の装置１３０の第２の表示プログラム１３３は、位置情報Ｐを受信すると、電子文書１１０の選択部分１１５を第２のディスプレイ１３１に表示するように動作することができる。第２の表示プログラム１３３は、ロックされた電子文書１１０とも呼ばれる、メモリ・ユニット１３４に格納された電子文書１１０のデータ・ファイル１１１と、第１の装置１２０から受信した位置情報Ｐとのみを使用して処理する。具体的には、第１の装置１２０は、電子文書１１０のデータ・ファイル１１１に影響を与えることができない。第１の装置１２０と第２の装置１３０との間で電子文書１１０が交換された後、即ち、電子文書１１０のデータ・ファイル１１２が送信された後は、確認が完了するまで、第１の装置１２０及び第２の装置１３０では位置情報Ｐの交換のみが行われる。したがって、電子文書１１０、即ちこの例では電子文書１１０のデータ・ファイル１１１が、第２の装置１３０によってロックされると、第１の装置１２０上の悪意のある可能性があるアプリケーション、例えば第１の装置１２０上のウイルス又はワームは、第２のディスプレイ１３１に表示されるものに影響を及ぼすことができない。表示プログラム１２３の選択機能によって、ユーザは、電子文書１１０の任意の部分１１５を選択して、第２のディスプレイ１３１が同じ選択部分１１５を示していることを確認することができる。ユーザが選択し、それにより確認のために選んだ電子文書１１０の部分１１５は、第１の装置１２０から独立しているので、ユーザは、電子文書１１０の重要な部分１１５を選択し、それが正確であることを確認することができる。悪意あるソフトウェアが、第１の装置１２０上で実行中であり、第１のディスプレイ１２１上の電子文書１１０のビューを操作した場合には、ユーザは、第１のディスプレイ１２１に表示された選択部分１１５と、第２のディスプレイ１３１に表示された選択部分１１５との間に、矛盾又は差を見つけることができる。

ユーザは、電子文書１１０を確認した場合には、電子文書１１０のデータ・ファイル１１１に署名することができる。データ・ファイル１１１の署名を実行するために、ユーザは、スマート・カード１６０を第３のインターフェース１３６に与える。第２の装置１３０は、スマート・カード１６０から電子文書１１０に署名するための署名キーＫを読み取り、署名キーＫによって電子文書１１０のデータ・ファイル１１１に署名する。これによって、電子署名１１４を含む電子文書１１０のデータ・ファイル１１３が得られる。データ・ファイル１１３は、電子文書１１０の署名済みバージョンを表す。次いで、データ・ファイル１１３は、第４のインターフェース１３７及び通信チャネル１７０を介して、署名受信エンティティ１５０に送信される。署名受信エンティティ１５０は、署名済み電子文書１１３とも呼ばれるデータ・ファイル１１３を格納及び／又はさらに処理することができる。

本発明のこの例示的な実施形態においては、第２のディスプレイ１３１のサイズは、第１のディスプレイ１２１のサイズより小さい。ユーザは、第１のディスプレイ１２１を用いて電子文書１１０の全体又は電子文書１１０のページを表示させる一方で、第２のディスプレイ１３１上で電子文書１１０の選択部分を確認することができる。第２の装置１３０は、信頼できる装置であり、第１の装置１２０と比べて、より改ざん防止されている。

図２は、第１のディスプレイ１２１上のビューの例と、第２のディスプレイ１３１上の対応するビューとを示す。第１のディスプレイ１２１には、条項１、条項２、条項３、条項４、及び条項５の５つの条項を含む契約書のページ２００がそれぞれ示され、表示されている。第１のディスプレイ１２１上のビューは、第１の表示プログラム１２３によって、メモリ・ユニット１２４に格納された電子文書１１０のデータ・ファイル１１２に基づいて、生成される。

言い換えると、この例においては、電子文書１１０は契約書である。影付きのボックスによって示されるように、ユーザは、第１の表示プログラム１２３を用いて、確認のために電子文書１１０の一部２０１を選択した。選択部分２０１は、ユーザにとって特に重要な可能性がある条項３のみから成る。これに応じて、第１の表示プログラム１２３は、選択部分２０１の位置を示す位置情報Ｐを生成する。位置情報Ｐは、位置参照情報ＰＲを参照する。位置参照情報ＰＲは、電子文書１１０の選択部分２０１を第２のディスプレイ１３１に表示するために、第１の表示プログラム１２３及び第２の表示プログラム１３３について共通の位置参照系を定める。この例においては、位置参照情報ＰＲは、Ｘ軸及びＹ軸を含む２次元座標系である。位置情報Ｐは、選択部分２０１のＹ軸上の下側位置及び上側位置を指定する位置ポイントＰ１及びＰ２と、選択部分２０１のＸ軸上の左側位置及び右側位置を指定する位置ポイントＰ３及びＰ４とを含む。

位置ポイントＰ１、Ｐ２、Ｐ３、Ｐ４と位置参照情報ＰＲとを含む位置情報Ｐは、第１の装置１２０から第２の装置１３０に送信される。第２の表示プログラム１３３は、第２の装置１３０のメモリ・ユニット１３４に格納された電子文書１１０のデータ・ファイル１１１に基づいて、選択部分２０１のビューを第２のディスプレイ１３１上に生成する。したがって、第２のディスプレイ１３１には、電子文書１１０におけるページ２００の選択部分２０１（条項３）のみがそれぞれ示され、表示される。２つのビューを比較して同一であるかどうかをチェックすることにより、ユーザは、電子文書１１０を確認し、悪意あるソフトウェアが第１のディスプレイ１２１のビューを変更していないことを確かめることができる。

本発明の別の例示的な実施形態によれば、第２の表示プログラム１３３は選択機能を含み、選択機能は、第２のディスプレイ１３１上の選択部分１１５の位置をユーザに示すように動作可能である。選択機能は、電子文書１１０の１つ又は複数の選択部分１１５を自動的に選択するように動作可能である。選択部分１１５は、所定のスキームに従って予め選択されていてもよい。

このことは、電子文書を確認するための別のシステム５００を示す図５において、より詳細に示される。図５は、システム５００の第１のディスプレイ１２１上のビューの例と、第２のディスプレイ１３１上の対応するビューとを示す。図５においては、図１と同一の参照記号は、同一又は類似の部分を示すのに用いられる。

本発明のこの例示的な実施形態によれば、位置情報Ｐ′は、第２の表示プログラム１３３によって生成され、第２のディスプレイ１３１に表示される。

第２のディスプレイ１３１には、電子文書１１０の条項３を選択部分５０１として含む電子文書１１０の選択部分５０１が、それぞれ示され、表示される。この例における電子文書１１０は契約書である。選択部分５０１（条項３）は、第２の表示プログラム１３３の選択機能によって自動的に選択された。選択部分５０１に加えて、第２の表示プログラム１３３は、選択部分５０１の位置をユーザに示すために、位置情報Ｐ′として行番号５０２を表示する。位置情報Ｐ′は、さらにページ番号５０３を含む。

より大きな第１のディスプレイ１２１上のビューは、条項１、条項２、条項３、条項４、及び条項５の５つの条項を含む、電子文書１１０のページ全体を示す。第１のディスプレイ１２１上のビューは、メモリ・ユニット１２４に格納された電子文書１１０のデータ・ファイル１１２に基づいて、第１の表示プログラム１２３によって生成される。第１の表示プログラム１２３は、位置情報Ｐ″を第１のディスプレイ１２１に表示するように動作可能である。この例においては、ユーザが選択部分５０１に対応する対応部分５１０を特定できるように、位置情報Ｐ″として行番号５１２（行１から２０）とページ番号５１３とが表示される。

システム５００のユーザは、第２のディスプレイ１３１に表示された選択部分５０１と第１のディスプレイ１２１に表示された対応部分５１０とが同一であるかどうかをチェックすることによって、選択部分５０１を確認することができる。このチェックは、キーボード１２６及び／又はマウス１２７による幾つかのユーザ対話を含むものとすることができる。ユーザは、キーボード１２６及び／又はマウス１２７を用いて対応部分５１０までスクロールし、それを第２のディスプレイ１３１の選択部分５０１と比較することができる。さらに、ユーザは、第１のディスプレイ１２１上の対応部分５１０を拡大することができる。ユーザは、第２のディスプレイ１３１に表示された位置情報５０２（行番号）及び位置情報５０３（ページ番号）から、選択部分５０１の位置を得る。次いで、ユーザは、第１のディスプレイ１２１に表示された対応する位置情報５１２（行番号）及び５１３（ページ番号）によって、即ち、この例においては、第１のディスプレイ１２１に表示された電子文書１１０の対応する行１１−１３を見ることによって、選択部分５０１に対応する対応部分５１０を特定する。選択部分５０１と対応部分５１０とが同一の場合には、ユーザは、例えば入力パッド１３８を用いて、それぞれの指示（確認）を第２の表示プログラム１３３に与えることができる。次いで、第２の表示プログラム１３３は、確認のために別の部分５０１を自動的に選択することができ、ユーザは、それを第１のディスプレイ１２１に表示された対応部分５１０と比較することによって、確認することができる。これは、何度か繰り返すことができる。第２の表示プログラム１３３によって自動的に選択される選択部分５０１の数は、予め定めることができる。

図５を参照して示される本発明の実施形態によれば、位置情報Ｐ′と位置情報Ｐ″とは、通信チャネル１４０を介して交換されることはない。位置情報Ｐ′は、第２の表示プログラム１３３によって生成され、第２のディスプレイ１３１に位置情報Ｐ′を示すことによってユーザに提供される。さらに、対応する位置情報Ｐ″は、第１の表示プログラム１２３によって表示される。本発明のこの例示的な実施形態によれば、電子文書１１０のデータ・ファイル１１２のみが、通信チャネル１４０を介して交換される。

図３は、図１を参照して説明されるシステムにより電子文書１１０を確認するための方法のフロー・チャートを示す。本方法は、第１の装置１２０と第２の装置１３０との間で電子文書１１０を交換するための交換ステップ３０５で開始する。次のロック・ステップ３１０において、電子文書１１０は、第２の装置１３０内でロックされる。これは、交換ステップ３０５の後では、第２の装置１３０に格納された電子文書１１０のバージョン又はデータ・ファイルが第１の装置１２０によってそれ以上変更されたり影響を受けたりする可能性がなくなるようにすることによって、実施することができる。

表示ステップ３１５において、電子文書１１０は、第１の装置１２０の第１のディスプレイ１２１に表示される。選択ステップ３２０において、電子文書の一部がユーザによって選択される。位置情報生成ステップ３２５において、電子文書１１０の選択部分１１５の位置情報Ｐが生成される。位置情報送信ステップ３３０において、位置情報Ｐは、第１の装置１２０から第２の装置１３０に送信される。さらに表示ステップ３３５において、電子文書１１０の選択部分１１５は、第１の装置１２０から受信された位置情報Ｐとロックされた電子文書１１０とに基づいて、第２の装置１３０の第２のディスプレイ１３１に表示される。

判断ステップ３４０において、ユーザは、電子文書１１０の別の部分を選択したいかどうかを訊ねられる。肯定の場合には、本方法は選択ステップ３２０で続行する。選択ステップ３２０、位置情報生成ステップ３２５、位置情報送信ステップ３３０、及び表示ステップ３３５は、反復するように何度か繰り返してもよい。ユーザが、電子文書１１０の別の部分を選択することを望まないことを示した場合には、ユーザは、判断ステップ３５０において、電子文書１１０を確認して電子文書１１０に署名することを望むかどうかを訊ねられる。肯定の場合には、署名ステップ２６０において、第２の装置１３０は電子文書１１０のデータ・ファイル１１１に署名し、データ・ファイル１１３が得られる。署名送信ステップ３７０において、電子署名１１４を含む電子文書１１０のデータ・ファイル１１３は、署名受信エンティティ１５０に送信される。ユーザが、例えば第１のディスプレイ１２１上のビューと第２のディスプレイ１３１上のビューとの間の矛盾を特定したことによって、データ・ファイル１１１の確認及び署名を望まない場合には、確認及び署名プロセスは、取り消しステップ３８０において取り消される。取り消しステップ３８０又は署名送信ステップ３７０の後で、ステップ３８５において電子文書１１０のデータ・ファイル１１１はロック解除され、ステップ３９０においてメモリ・ユニット１３４から削除される。

図４は、電子文書４１０を確認するためのシステム４００の概略的な図を示す。システム４００は、第１の装置４２０を含む。第１の装置４２０は、第１のディスプレイ４２１と、第１のインターフェース４２２と、第１の表示プログラム４２３とを含む。第１の表示プログラム４２３は、メモリ・ユニット４２４に格納される。さらに、第１の装置４２０は、処理ユニット４２５を含む。第１の装置４２０は、例えばキーボード及び／又はマウスといった、第１の装置４２０にユーザ入力を与えるためのユーザ入力手段４２６を含む。第１のディスプレイ４２１、第１のインターフェース４２２、メモリ・ユニット４２４、処理ユニット４２５、及びユーザ入力手段４２６は、バス・システム４２７によって結合される。

システム４００は、第２のディスプレイ４３１と、第２のインターフェース４３２と、第２の表示プログラム４３３とを含む第２の装置４３０を備える。第２の表示プログラム４３３は、メモリ・ユニット４３４に格納される。メモリ・ユニット４３４は、さらに署名キーＫを格納するために設けられる。さらに、第２の装置４３０は、処理ユニット４３５と、キーボード或いは１つ又は複数のボタンといった入力手段４３６とを含む。第２のディスプレイ４３１、第２のインターフェース４３２、メモリ・ユニット４３４、処理ユニット４３５、及び入力手段４３６は、バス・システム４３７によって結合される。

第１の装置４２０及び第２の装置４３０によって、コンピュータ・システム４９０が構築される。コンピュータ・システム４９０は、例えば、ラップトップ・コンピュータ、ノートブック・コンピュータ、又はポータブル・コンピュータとして実施することができる。コンピュータ・システム４９０は、共通の筐体の中に配置することができるし、例えばデスクトップ・コンピュータ・システムの独立した部品として配置することもできる。第２の装置４３０は、例えば、スマート・カード・リーダ、携帯電話、ハードウェア・トークン、又はディスプレイ付きスマート・カードとすることができる。

第１のインターフェース４２２と第２のインターフェース４３２とは、通信チャネル４４０によって接続される。通信チャネル４４０は、有線又は無線チャネルとすることができる。無線チャネルは、例えばＢｌｕｅｔｏｏｔｈ又は近距離無線通信（ＮＦＬ）規格による無線チャネルとすることができる。有線チャネルは、例えばネットワーク・ケーブル又はプリント回路基板のプリント配線によって実施することができる。

第１の装置４２０は、バス・システム４２７と結合され、通信チャネル４６０を介して署名受信エンティティ４５０と結合される、第３のインターフェース４２８を含む。通信チャネル４６０は、無線又は有線チャネルとすることができる。通信チャネル４６０は、例えばインターネット接続とすることができる。署名受信エンティティ４５０は、例えば、銀行、保険会社、インターネット店舗、又は、電子署名を利用することがある他のいずれかのエンティティとすることができる。署名受信エンティティ４５０は、電子文書４１０のデータ・ファイル４１１を第１の装置４２０に送信するように動作可能である。これは、コンピュータ・システム４９０のユーザによるインターネット・セッション中に起こることがある。ユーザは、署名受信エンティティ４５０のインターネット・ページをブラウズすることができ、署名受信エンティティ４５０とトランザクションを行うことを望む場合がある。これに応答して、署名受信エンティティ４５０は、データ・ファイル４１１を第１の装置４２０に送信する。第１の装置４２０は、データ・ファイル４１１をメモリ・ユニット４２４に格納する。後の確認セッションにおいて、第１の装置４２０及び第２の装置４３０は、ユーザが電子文書４１０を確認するのを補助することができる。電子文書４１０を確認するために、第１の装置４２０は、例えばデータ・ファイル４１１のコピーを生成し、バス・システム４２７を介してそれを第２の装置４３０に送信することによって、電子文書４１０のデータ・ファイル４１２を第２の装置４３０に送信する。第２の装置４３０は、電子文書４１０のデータ・ファイル４１２を受信すると、これをメモリ・ユニット４３４に格納する。電子文書４１０を交換した後、メモリ・ユニット４３４に格納された電子文書４１０のデータ・ファイル４１２はロックされる。言い換えると、電子文書のデータ・ファイル４１２は、ロック解除されるまでそれ以上変更することができない。

動作中には、メモリ・ユニット４２４に格納されたデータ・ファイル４１１に基づいて、電子文書４１０を第１のディスプレイ４２１に表示するために、第１の表示プログラム４２３を用いることができる。第１の表示プログラム４２３は、ユーザが確認目的で電子文書４１０の一部４１５を選択できるようにする選択機能を含む。ユーザは、入力手段４２６を用いて選択を行うことができる。第１のディスプレイ４２１に表示された電子文書４１０の一部４１５が選択されると、第１の表示プログラム４２３は、電子文書４１０の選択部分４１５の位置情報Ｐを生成する。位置情報Ｐは、電子文書４１０の選択部分４１５の位置の情報を含む。第１の装置４２０及び第１の表示プログラム４２３は、それぞれ、バス・システム４２７、第１のインターフェース４２２、及び通信チャネル４４０を介して、この位置情報Ｐを第２の装置４３０に送信する。位置情報Ｐは、第２の装置４３０に、電子文書４１０の選択部分４１５がユーザによって選択され、第２の装置４３０の第２のディスプレイ４３１に表示されるべきであることを示す。第２の装置４３０の第２の表示プログラム４３３は、位置情報Ｐを受信すると、電子文書４１０の選択部分４１５を第２のディスプレイ４３１に表示するように動作することができる。第２の表示プログラム４３３は、ロックされた電子文書４１０とも呼ばれる、メモリ・ユニット４３４に格納された電子文書４１０のデータ・ファイル４１２と、第１の装置４２０から受信した位置情報Ｐとのみを使用して処理する。具体的には、第１の装置４２０は、電子文書４１０のデータ・ファイル４１２に影響を与えることができない。電子文書４１０が交換された後、即ち、この例においてはデータ・ファイル４１２が第２の装置４３０によって受信された後では、確認が完了するまで、第１の装置４２０及び第２の装置４３０では位置情報Ｐの交換のみが行われる。したがって、電子文書４１０、即ちこの例では電子文書４１０のデータ・ファイル４１２が、第２の装置４３０によってロックされると、第１の装置４２０上の悪意のある可能性があるアプリケーション、例えば第１の装置４２０上のウイルス又はワームは、第２のディスプレイ４３１に表示されるものに影響を及ぼすことができない。表示プログラム４２３の選択機能によって、ユーザは、電子文書４１０の任意の部分４１５を選択して、第２のディスプレイ４３１が同じ選択部分４１５を示していることを確認することができる。ユーザが選択し、それにより確認のために選んだ電子文書４１０の部分４１５は、第１の装置４２０から独立しているので、ユーザは、電子文書４１０の重要な部分４１５を選択し、それが正確であることを確認することができる。悪意あるソフトウェアが、第１の装置４２０上で実行中であり、第１のディスプレイ４２１上の電子文書４１０のビューを操作した場合には、ユーザは、第１のディスプレイ４２１に表示された選択部分４１５と、第２のディスプレイ４３１に表示された選択部分４１５との間に、矛盾又は差を見つけることができる。

ユーザは、電子文書４１０を確認した場合には、電子文書４１０のデータ・ファイル４１２に署名することができる。データ・ファイル４１２の署名を実行するために、ユーザは、入力手段４３６の署名ボタンを押すことができる。第２の装置４３０は、メモリ・ユニット４３４から署名キーＫを読み取り、署名キーＫによって電子文書４１０のデータ・ファイル４１２に署名する。これによって、電子署名４１４を含む電子文書４１０のデータ・ファイル４１３が得られる。データ・ファイル４１３は、電子文書４１０の署名済みバージョンを表す。次いで、データ・ファイル４１３は、第２のインターフェース４３２、通信チャネル４４０、第１のインターフェース４２２、バス・システム４２７、第３のインターフェース４２８、及び通信チャネル４６０を介して、署名受信エンティティ４５０に送信される。署名受信エンティティ４５０は、署名済み電子文書４１３とも呼ばれるデータ・ファイル４１３を格納及び／又はさらに処理することができる。

第２の装置４３０は、より高いセキュリティ・レベルを備え、第１の装置４２０と比べてより改ざん防止されている。さらに、第２のディスプレイ４３１のサイズは、第１のディスプレイ４２１のサイズより小さい。ユーザは、第１のディスプレイ４２１を用いて電子文書４１０の全体又は電子文書４１０のページを表示させる一方で、第２のディスプレイ４３１上で電子文書４１０の選択部分を確認することができる。

図６は、図５及び図１を参照して説明されるシステムにより電子文書１１０を確認するための方法のフロー・チャートを示す。本方法は、第１の装置１２０と第２の装置１３０との間で電子文書１１０を交換するための交換ステップ６０５で開始する。次のロック・ステップ６１０において、電子文書１１０は第２の装置１３０内でロックされる。これは、交換ステップ６０５の後では、第２の装置１３０に格納された電子文書１１０のバージョン又はデータ・ファイルが第１の装置１２０によってそれ以上変更されたり影響を受けたりする可能性がなくなるようにすることによって、実施することができる。選択ステップ６２０において、電子文書１１０の一部が、第２の表示プログラム１３３によって自動的に選択される。位置情報生成ステップ６２５において、電子文書１１０の選択部分５０１の位置情報Ｐ′が、第２の表示プログラム１３３によって生成される。表示及び位置指示ステップ６３０において、選択部分５０１及び位置情報Ｐ′は、第２のディスプレイ１３１に表示される。表示ステップ６３５において、電子文書１１０は、メモリ・ユニット１２４に格納されたデータ・ファイル１１２に基づいて第１のディスプレイ１２１に表示される。さらに、表示ステップ６３５において、位置情報Ｐ″が第１のディスプレイ１２１に表示される。第２のディスプレイ１３１に表示された位置情報Ｐ′と、第１のディスプレイ１２１に表示された位置情報Ｐ″とを用いて、ユーザは、選択部分５０１と対応部分５１０とを比較し、それらが同一であることを確認することができる。判断ステップ６４０において、ユーザは、電子文書１１０の別の部分を選択したいかどうかを訊ねられる。肯定の場合には、本方法は選択ステップ６２０で続行する、即ち、第２の表示プログラム１３３が、別の選択部分５０１、例えば条項５を自動的に選択する。選択ステップ６２０、位置情報生成ステップ６２５、表示及び位置指示ステップ６３０、及び表示ステップ６３５は、反復するように何度か繰り返してもよい。

ユーザが、電子文書１１０の別の部分を選択することを望まないことを示した場合には、ユーザは、判断ステップ６５０において、電子文書１１０を確認して電子文書１１０に署名することを望むかどうかを訊ねられる。肯定の場合には、署名ステップ６６０において、第２の装置１３０は電子文書１１０のデータ・ファイル１１１に署名し、データ・ファイル１１３が得られる。署名送信ステップ６７０において、電子署名１１４を含む電子文書１１０のデータ・ファイル１１３は、署名受信エンティティ１５０に送信される。ユーザが、例えば第１のディスプレイ１２１上のビューと第２のディスプレイ１３１上のビューとの間の矛盾を特定したことによって、データ・ファイル１１１の確認及び署名を望まない場合には、確認及び署名プロセスは、取り消しステップ６８０において取り消される。取り消しステップ６８０又は署名送信ステップ６７０の後で、ステップ６８５において電子文書１１０のデータ・ファイル１１１はロック解除され、ステップ６９０においてメモリ・ユニット１３４から削除される。

本発明の例示的な実施形態は、単に例として上述され、本発明の範囲内で細部の修正を行うことができる。

開示されるいかなる実施形態も、示される及び／又は説明される他の実施形態の１つ又は幾つかと組み合わせることができる。このことは、実施形態の１つ又は複数の特徴についても可能である。

付加的な実施形態の詳細
「特定の実施形態」、「一実施形態」、「実施形態」、「複数の実施形態」、「当該の実施形態」、「当該の複数の実施形態」、「１つ又は複数の実施形態」、「幾つかの実施形態」、及び「１つの実施形態」は、特に明示されない限り、１つ又は複数の（但し全てではない）実施形態を意味する。「含む」、「備える」、「有する」、及びそのバリエーションは、特に明示されない限り、「含むが、これらに限定されるものではない」ことを意味する。列挙された項目は、特に明示されない限り、項目のいずれか又は全てが相互に排他的であることを意味するものではない。「１つの（ａ）」、「１つの（ａｎ）」及び「その（ｔｈｅ）」という用語は、特に明示されない限り、「１つ又は複数の」という意味である。

互いに通信を行う装置は、特に明示されない限り、互いに連続的に通信を行うものである必要はない。さらに、互いに通信を行う装置は、直接的に通信を行うことも、１つ又は複数の中間物を通して間接的に通信を行うこともできる。さらに、互いに通信を行う幾つかの要素を伴う実施形態についての記述は、そのような全ての要素が必要であることを意味するものではない。対照的に、広範にわたる可能な実施形態を例示するために、様々な任意の要素が説明される。

さらに、プロセス・ステップ、方法ステップ、アルゴリズムなどは、逐次的な順序で説明されることがあるが、そうしたプロセス、方法、及びアルゴリズムは、別の順序で機能ように構成することができる。言い換えると、説明される場合があるステップのあらゆる配列又は順序は、必ずしもステップがその順序で行われなければならないという要件を示しているとは限らない。本明細書において説明されるプロセスのステップは、実際のいずれかの順序で行うことができる。さらに、幾つかのステップは、同時に、並行して、又は一斉に行ってもよい。

本明細書において単一の装置又は物が説明されるときは、２つ以上の装置／物を（それらが協働しているかどうかに関わりなく）、単一の装置／物の代わりに用いることができることが明らかであろう。同様に、本明細書において２つ以上の装置／物が（それらが協働しているかどうかに関わりなく）説明される場合は、２つ以上の装置又は物の代わりに単一の装置／物を用いることができることが明らかであろう。装置の機能及び／又は特徴は、代替的に、そのような機能／特徴を有することが明示的に説明されない１つ又は複数の他の装置によって具体化することができる。したがって、他の実施形態が装置自体を含む必要はない。

本明細書の文脈におけるコンピュータ・プログラム手段又はコンピュータ・プログラムは、直接的に、又は、ａ）別の言語、コード、若しくは表記への変換、及び、ｂ）異なる形態での再生成のいずれか一方又はその両方の後で、情報処理能力を有するシステムに特定の機能を行わせることを意図した命令の組を、いずれかの言語、コード、又は表記で表したいずれかの表現を意味する。

１００、４００、５００：システム
１１０、４１０：電子文書
１１１、１１２、１１３、４１１、４１２、４１３：データ・ファイル
１１４、４１４：電子署名
１１５、４１５：電子文書の一部
１２０、４２０：第１の装置
１２１、４２１：第１のディスプレイ
１２２、４２２：第１のインターフェース
１２３、４２３：第１の表示プログラム
１２４、１３４、４２４、４３４：メモリ・ユニット
１２５、１３５、４２５、４３５：処理ユニット
１２６：キーボード
１２７：マウス
１２８：デスクトップ型パーソナル・コンピュータ
１３０、４３０：第２の装置
１３１、４３１：第２のディスプレイ
１３２、４３２：第２のインターフェース
１３３、４３３：第２の表示プログラム
１３６、４２８：第３のインターフェース
１３７：第４のインターフェース
１３８：入力パッド
１４０、１７０、４４０、４６０：通信チャネル
１５０、４５０：署名受信エンティティ
１６０：スマート・カード
２００：ページ
２０１、５０１：電子文書の選択部分
４２６：ユーザ入力手段
４２７、４３７：バス・システム
４３６：入力手段
４９０：コンピュータ・システム
５０２、５１２：行番号
５０３、５１３：ページ番号
５１０：対応部分
Ｋ：署名キー
Ｐ、Ｐ′、Ｐ″：位置情報
ＰＲ：位置参照情報

Claims (12)

1. 電子文書（１１０、４１０）を確認するためのシステムであって、
   第１のディスプレイ（１２１、４２１）と、第１のインターフェース（１２２、４２２）と、前記電子文書（１１０、４１０）を前記第１のディスプレイ（１２１、４２１）に表示するための第１の表示プログラム（１２３、４２３）と、前記電子文書（１１０、４１０）を格納するための第１のメモリ・ユニット（１２４、４２４）とを含む、第１の装置（１２０、４２０）と、
   第２のディスプレイ（１３１、４３１）と、第２のインターフェース（１３２、４３２）と、第２の表示プログラム（１３３、４３３）と、前記電子文書（１１０、４１０）を格納するための第２のメモリ・ユニット（１３４、４３４）とを含む、第２の装置（１３０、４３０）と、
   前記第１のインターフェース（１２２、４２２）と前記第２のインターフェース（１３２、４３２）との間における通信チャネル（１４０、４４０）と、
   を備え、
   前記第１の装置（１２０、４２０）及び第２の装置（１３０、４３０）は前記電子文書（１１０、４１０）を交換するように動作可能であり、
   前記第２の装置（１３０、４３０）は、前記電子文書（１１０、４１０）に電子署名を実行するための署名機能を含み、
   前記第２のディスプレイ（１３１、４３１）のサイズは、前記第１のディスプレイ（１２１、４２１）のサイズより小さく、
   前記第１の表示プログラム（１２３、４２３）は選択機能を含み、前記選択機能は、
   前記電子文書（１１０、４１０）の一部（１１５、４１５、２０１、５０１）を選択し、
   前記電子文書（１１０、４１０）の前記選択部分（１１５、４１５、２０１、５０１）の位置情報を生成し、
   前記位置情報を前記第２の装置（１３０、４３０）に送信する、
   ように動作可能であり、
   前記第２の表示プログラム（１３３、４３３）は、
   前記第１の装置（１２０、４２０）との前記交換の後に前記第２のメモリ・ユニット（１３４、４３４）に格納されている前記電子文書（１１０、４１０）をロックし、
   前記位置情報と前記第２のメモリ・ユニット（１３４、４３４）に格納されているロックされた文書（１１１、４１２）とに基づいて、前記電子文書（１１０、４１０）の前記選択部分（１１５、４１５、２０１、５０１）を前記第２のディスプレイ（１３１、４３１）に表示する、
   ように動作可能である、システム。
2. 前記署名機能は、
   前記ユーザが前記電子文書（１１０、４１０）の確認を示した場合には、前記電子文書（１１０、４１０）に電子署名を実行し、
   前記ユーザが前記電子文書（１１０、４１０）の確認を拒絶した場合には、電子署名の実行を拒否する、
   ように動作可能である、請求項１に記載のシステム。
3. 前記第２の装置（１３０、４３０）は、前記第１の装置（１２０、４２０）と比べてより改ざん防止されている、請求項１または２に記載のシステム。
4. 前記第２の装置（１３０、４３０）は信頼できる装置である、請求項１乃至３のいずれか１項に記載のシステム。
5. 前記第１の装置（１２０、４２０）及び前記第２の装置（１３０、４３０）は、位置参照情報を交換するように動作可能である、請求項１乃至４のいずれか１項に記載のシステム。
6. 前記通信チャネル（１４０、４４０）は安全なチャネルである、請求項１乃至５のいずれか１項の記載のシステム。
7. 前記通信チャネル（１４０、４４０）は無線チャネルである、請求項１乃至６のいずれか１項に記載のシステム。
8. 前記第２の装置（１３０、４３０）はスマート・カード・リーダである、請求項１乃至７のいずれか１項に記載のシステム。
9. 前記第２の装置（１３０、４３０）は携帯電話である、請求項１乃至８のいずれか１項に記載のシステム。
10. 前記第２の装置（１３０、４３０）は信頼できるプラットフォーム・モジュール（ＴＰＭ）又はハードウェア・トークンを含む、請求項１乃至９のいずれか１項に記載のシステム。
11. 電子文書（１１０、４１０）を確認するための方法であって、
    前記電子文書（１１０、４１０）を格納するための第１のメモリ・ユニット（１２４、４２４）を含む第１の装置（１２０、４２０）と前記電子文書（１１０、４１０）を格納するための第２のメモリ・ユニット（１３４、４３４）を含む第２の装置（１３０、４３０）との間で前記電子文書（１１０、４１０）を交換するための交換ステップ（３０５、６０５）と、
    前記交換ステップ（３０５、６０５）後に、前記第２の装置（１３０、４３０）の前記第２のメモリ・ユニット（１３４、４３４）に格納されている前記電子文書（１１０、４１０）をロックするためのロック・ステップ（３１０、６１０）と、
    前記電子文書（１１０、４１０）の一部（１１５、４１５、２０１、５０１）を選択するための選択ステップ（３２０、６２０）と、
    前記電子文書（１１０、４１０）の前記選択部分（１１５、４１５、２０１、５０１）の位置情報を生成するための位置情報生成ステップ（３２５、６２５）と、
    第１の表示プログラム（１２３、４２３）によって前記第１の装置（１２０、４２０）の第１のディスプレイ（１２１、４２１）に前記電子文書（１１０、４１０）を表示するための表示ステップ（３１５、６３５）と、
    第２の表示プログラム（１３３、４３３）によって、前記位置情報と前記第２のメモリ・ユニット（１３４、４３４）に格納されているロックされた電子文書（１１１、４１２）とに基づいて、前記電子文書（１１０、４１０）の前記選択部分（１１５、４１５、２０１、５０１）を、前記第１のディスプレイよりもサイズが小さい、前記第２の装置（１３０、４３０）の第２のディスプレイ（１３１、４３１）に表示するための表示ステップ（３３５、６３０）と、
    ユーザが前記電子文書（１１０、４１０）を確認した場合に前記電子文書（１１０、４１０）に署名するための署名ステップ（３６０、６６０）と、
    を含み、
    前記選択ステップ（３２０）及び前記位置情報生成ステップ（３２５）は、前記第１の表示プログラム（１２３）によって行われ、前記方法は、前記位置情報を前記第１の装置（１２０、４２０）から前記第２の装置（１３０、４３０）に送信するための位置情報送信ステップ（３３０）をさらに含む、方法。
12. 請求項１１に記載の方法のステップをコンピュータに実行させるコンピュータ・プログラム。

Images