JP6461837B2 - 情報処理装置、システム、プログラム及び方法 - Google Patents

Description

本発明の実施の形態は、データ管理に関する。

従来、複数のシステム間でデータ追跡を可能とするデータ管理装置が知られている。例えば、従来の第１のデータ管理装置の場合、ファイル配布元のサーバ装置からファイルのアクセスログを収集し、ファイル配布先のクライアント端末からファイルの操作ログを収集することで、ファイルの派生状況を効率的に把握とする。

しかし、従来の第１のデータ管理装置は、複数クライアント端末に配布したファイルと同じファイルが流出した場合、流出元の特定が困難となる問題がある。

また、従来の第２のデータ管理装置の場合、ファイルの操作ログを収集可能なプログラム（Viewer）及び同梱した専用の配信パッケージを用いて、データの追跡を実現する。しかし、従来の第２のデータ管理装置は、監視可能な対象は、元のファイルに限定されるため、加工後のファイル又は再配布後のファイルの追跡は、困難となる問題があった。

特開２０１４−１５３７４２号公報 Yu Shyang Tan著「Tracking of Data Leaving the Cloud」2012 IEEE 11th International Conference on Trust, Security and Privacy in Computing and Communications pp.137-144, 25-27 June 2012

本発明が解決しようとする課題は、データ追跡が可能な情報処理装置、システム、プログラム及び方法を提供することである。

実施の形態によれば、生成部が、端末においてデータのデータ操作毎に生成される生成情報を用いて、データ操作毎に暗号鍵を生成する。送信部は、暗号鍵を端末に送信する。記憶制御部は、端末において、暗号鍵を用いて暗号化されたデータに対応する固有情報を、生成情報に関連付けて記憶部に記憶する。検索部は、同じデータに対応する生成情報を、データの固有情報に基づいて記憶部から検索する。関連付け部は、検索された同じデータに対応する生成情報同士を関連付けする。追跡部は、関連付けされている生成情報を追跡して検出する。

データ管理システムのシステム構成図。 サーバ装置のハードウェア構成図。 サーバ装置の機能ブロック図。 来歴情報の一例を示す図。 端末のハードウェア構成図。 端末の機能ブロック図。 データ送信シーケンス図。 第１の処理のフローチャート。 第２の処理のフローチャート。 第３の処理のフローチャート。 データ表示シーケンス図。 第４の処理のフローチャート。 データ編集シーケンス図。 第５の処理のフローチャート。 第６の処理のフローチャート。 データ削除シーケンス図。 第７の処理のフローチャート。 データ追跡シーケンス図。 第８の処理のフローチャート。

以下、実施の形態のデータ管理システムを、図面を参照して詳細に説明する。

（システム構成）
図１に、実施の形態のデータ管理システムのシステム構成を示す。実施の形態のデータ管理システムは、図１に示すように、来歴（Provenance）管理を行う１つ又は複数のサーバ装置１（情報処理装置の一例）と、クライアント端末である一つ又は複数の端末２を有している。サーバ装置１及び端末２は、ネットワーク３を介して相互に接続されている。ネットワーク３としては、例えばＬＡＮ（Local Area Network）及びインターネット等のＷＡＮ（Wide Area Network）を用いることができる。サーバ装置１及び端末２は、同じネットワーク３に接続されていてもよいし、異なるネットワークに接続されていてもよい。

（サーバ装置の構成）
図２は、サーバ装置１のハードウェア構成図である。サーバ装置１は、この図２に示すようにＣＰＵ１１、ＲＯＭ１２、ＲＡＭ１３、ＨＤＤ１４、入出力インタフェース（入出力Ｉ／Ｆ）１５、通信部１６及び表示部１７を有している。

ＣＰＵは、「Central Processing Unit」の略記である。ＲＯＭは、「Read Only Memory」の略記である。ＲＡＭは、「Random Access Memory」の略記である。ＨＤＤは、「Hard Disc Drive」の略記である。ＣＰＵ１１〜表示部１７は、それぞれバスライン１８を介して相互に接続されている。また、入出力Ｉ／Ｆ１５には、キーボード装置及びマウス装置等の操作部１９が接続されている。

ＲＯＭ１２には、サーバ装置１用の来歴処理プログラムが記憶されている。なお、この例では、サーバ装置１用の来歴処理プログラムは、ＲＯＭ１２に記憶されていることとして説明を進める。しかし、サーバ装置１用の来歴処理プログラムは、例えばＨＤＤ１４又はＲＡＭ１３等の記憶部に記憶されていればよい。また、来歴処理プログラムの実行時等の所望のタイミングで、ネットワーク上の他のサーバ装置等からダウンロードして用いてもよい。または、ＳＤカード（登録商標）、ＵＳＢ（Universal Serial Bus）メモリ、ＤＶＤ（Digital Versatile Disc）又はブルーレイディスク（登録商標）等の外部メモリ又は記憶媒体等から読み出して用いてもよい。

図３は、ＣＰＵ１１が来歴処理プログラムを実行することで実現される各機能の機能ブロック図である。この図３に示すように、ＣＰＵ１１は、来歴処理プログラムを実行することで、来歴処理部２１、通信制御部２２、認証部２３及び表示制御部２４として機能する。また、ＣＰＵ１１は、来歴処理部２１として機能する場合、解析部２５、暗号鍵生成部２６、検索部２７、追跡部２８又は記憶制御部２９として機能する。通信制御部２２は送信部の一例である。また、解析部２５は、関連付け部の一例である。

なお、来歴処理部２１〜表示制御部２４は、一部又は全部をＩＣ（Integrated Circuit）等のハードウェアで実現してもよい。また、来歴処理プログラムは、インストール可能な形式又は実行可能な形式のファイルでＣＤ−ＲＯＭ、フレキシブルディスク（ＦＤ）等のコンピュータ装置で読み取り可能な記録媒体に記録して提供してもよい。また、ＣＤ−Ｒ、ＤＶＤ、ブルーレイディスク（登録商標）、半導体メモリ等のコンピュータ装置で読み取り可能な記録媒体に記録して提供してもよい。また、来歴処理プログラムは、インターネット等のネットワーク経由でインストールするように提供してもよい。また、来歴処理プログラムは、機器内のＲＯＭ等に予め組み込んで提供してもよい。

来歴処理部２１の解析部２５は、端末２から受信した来歴情報を解析する。記憶制御部２９は、解析結果に基づいて、関連元となる来歴情報（親）に、データ操作毎に生成される新たな来歴情報（子）を関連付ける。

図４に、来歴情報の一例を示す。来歴情報は、送信、編集、削除又は表示等のデータの操作毎に一義的となるように生成される生成情報の一例となる。この図４は、ＸＭＬ（Extensible Markup Language）を用いて来歴情報を記述した例である。この図４の来歴情報（Ｐｒｏｖｅｎａｎｃｅ）は、２０１５年１月１日の１２時００分（ｔｉｍｅｓｔａｍｐ）に、第１の端末（ＰＡ＿ＣＬＩＥＮＴ＿１）から第２の端末（ＰＡ＿ＣＬＩＥＮＴ＿２）に対して、送信（ｏｐｅｒａｔｉｏｎ）された情報であることを意味している。また、送信されたデータのハッシュ値（ｄａｔａ＿ｍｄ５：Message Digest Algorithm 5）は、「１０２４７４８Ａ３８Ａ３７１５３３Ｆ０Ｂ７０３５７８５３１ＦＦ８」であることを意味している。

すなわち、一例ではあるが、来歴情報は、送信元となる端末２を示す情報（ｆｒｏｍ＿ｐａ）、送信先となる端末２を示す情報（ｔｏ＿ｐａ）、送信，受信，編集等のデータ操作の種類を示す操作情報（ｏｐｅｒａｔｉｏｎ）、データ操作の時刻情報（ｔｉｍｅｓｔａｍｐ）、及び、ハッシュ値（ｄａｔａ＿ｍｄ５：Message Digest Algorithm 5）等を含む情報となっている。

ここで、来歴情報に含まれるハッシュ値について説明する。後述するが、実施の形態のデータ管理システムの場合、端末２は、データの送信又は編集等のデータ操作を行う毎に、新たな来歴情報を生成してサーバ装置１に送信する。この段階では、新たに生成された来歴情報に対しては、ハッシュ値は記録されていない。なお、ここで言う「データ操作」とは、データの送信（配布）、表示、編集、削除等の、データに対する加工行為及び移動行為等を全て含む概念である。

サーバ装置１は、端末２から受信した来歴情報を用いて暗号鍵を生成し、端末２に送信する。端末２は、暗号鍵を用いてデータを暗号化し、ハッシュ値を算出してサーバ装置１に送信する。なお、ハッシュ値以外であっても、データ操作毎に一義的となる固有情報（固有識別番号）を用いてもよい。サーバ装置１は、端末２から受信したハッシュ値を、新たに生成された上述の来歴情報に記録する。図４に示した来歴情報は、ハッシュ値が記録された状態の来歴情報を示している。新たに生成された状態の来歴情報には、ハッシュ値が記録されていない状態となっている。

次に、記憶制御部２９は、各来歴情報を一意に識別するための管理識別情報（管理ＩＤ）を発行し、以下に説明する各情報と共に各来歴情報に関連付けてＨＤＤ１４に記憶する。

・管理ＩＤ
・データ操作を行った端末２の操作前端末番号
・データ操作後のデータを所持する端末２の操作後端末番号
・送信、編集又は削除等のデータ操作の種類を示す操作種類情報
・データ操作時刻を示す操作時刻情報
・データ操作前のデータの固有識別番号（一例として、上述のハッシュ値）
・データ操作後のデータの固有識別番号（一例として、上述のハッシュ値）
・関連元となる来歴情報（親）の管理ＩＤ
・有効、無効、処理中等の、来歴情報の現在の状態（ステータス）を示す状態情報

生成部の一例である暗号鍵生成部２６は、端末２から受信した来歴情報の全部又は一部を用いて、暗号鍵を生成する。一例として、暗号鍵生成部２６は、ＣＭＡＣ（Cipher based Message Authentication Code）アルゴリズムを用いて、来歴情報を符号化して、固定長の暗号鍵を生成する。

検索部２７は、管理ＩＤ又はハッシュ値に対応する来歴情報を、ＨＤＤ１４から検索する。追跡部２８は、ＨＤＤ１４に記憶された来歴情報の関係性（親子関係）に基づいて、データの派生状況及び来歴状況を追跡する。

通信制御部２２は、ネットワーク３を介してクライアントの端末２との間で情報の送受信を行い、端末２から来歴情報及び暗号化されたデータのハッシュ値等を取得するように、通信部１６を制御する。また、通信制御部２２は、来歴情報に基づいて生成された暗号鍵及び管理ＩＤを端末２に送信するように通信部１６を制御する。なお、端末２との間の通信セキュリティは、例えばＴＬＳ（Transport Layer Security）等により担保される。

認証部２３は、例えば端末２から受信した端末ＩＤ及びパスワードで端末認証処理を行い、接続する端末２の合法性を確認する。表示制御部２４は、操作画面及び追跡部２８により追跡されるデータの派生状況及び来歴状況等を表示部１７に表示制御する。

（端末の構成）
図５は、端末２のハードウェア構成図である。端末２は、この図２に示すようにＣＰＵ３１、ＲＯＭ３２、ＲＡＭ３３、ＨＤＤ３４、入出力インタフェース（入出力Ｉ／Ｆ）３５、通信部３６及び表示部３７を有している。ＣＰＵ３１〜表示部３７は、それぞれバスライン３８を介して相互に接続されている。また、入出力Ｉ／Ｆ３５には、キーボード装置及びマウス装置等の操作部３９接続されている。

ＲＯＭ３２には、端末２用の来歴処理プログラムが記憶されている。なお、この例では、端末２用の来歴処理プログラムは、ＲＯＭ３２に記憶されていることとして説明を進める。しかし、端末２用の来歴処理プログラムは、例えばＨＤＤ３４又はＲＡＭ３３等の記憶部に記憶されていればよい。また、来歴処理プログラムの実行時等の所望のタイミングで、ネットワーク上の他のサーバ装置等からダウンロードして用いてもよい。または、ＳＤカード（登録商標）、ＵＳＢメモリ、ＤＶＤ又はブルーレイディスク（登録商標）等の外部メモリ又は記憶媒体等から読み出して用いてもよい。

端末２用の来歴処理プログラムは、例えばアプリケーションプログラム又はライブラリ等、各データ加工システムにインストールされる。図６は、ＣＰＵ３１が来歴処理プログラムを実行することで実現される各機能の機能ブロック図である。この図６に示すように、ＣＰＵ３１は、来歴処理プログラムを実行することで、第１の通信部４１（来歴管理用）、第２の通信部４２（データ交換用）、来歴生成部４３、表示制御部４４、提供部４５及び暗号処理部４６として機能する。また、ＣＰＵ３１は、暗号処理部４６として機能する場合、暗号化／複合化部４７、ＩＤ生成部４８及び削除部４９として機能する。

なお、第１の通信部４１〜削除部４９は、一部又は全部をＩＣ（Integrated Circuit）等のハードウェアで実現してもよい。また、端末２用の来歴処理プログラムは、インストール可能な形式又は実行可能な形式のファイルでＣＤ−ＲＯＭ、フレキシブルディスク（ＦＤ）等のコンピュータ装置で読み取り可能な記録媒体に記録して提供してもよい。また、ＣＤ−Ｒ、ＤＶＤ（Digital Versatile Disk）、ブルーレイディスク（登録商標）、半導体メモリ等のコンピュータ装置で読み取り可能な記録媒体に記録して提供してもよい。また、端末２用の来歴処理プログラムは、インターネット等のネットワーク経由でインストールするように提供してもよい。また、端末２用の来歴処理プログラムは、機器内のＲＯＭ等に予め組み込んで提供してもよい。

来歴管理用となる第１の通信部４１は、ネットワーク３を介してサーバ装置１との間で情報の送受信を行う。具体的には、第１の通信部４１は、来歴情報及びハッシュ値等をサーバ装置１との間で送受信するように、通信部３６を通信制御する。また、第１の通信部４１は、データを復号化するための暗号鍵等を、サーバ装置１から取得する。サーバ装置１との間の通信の安全性は、ＴＬＳ等により担保される。

データ交換用の第２の通信部４２は、他の端末２との間の通信制御を行う。第２の通信部４２は、データの配布に用いられる。

来歴生成部４３は、送信、編集及び削除等のデータ操作毎に新たな来歴情報を生成する。提供部４５は、端末認証用の端末ＩＤ及びパスワードをサーバ装置１に送信する。表示制御部４４は、データの送信、表示、編集及び削除等の操作画面、及び、サーバ装置１から送信される確認通知、完了通知等を表示部３７に表示制御する。

暗号処理部４６の暗号化／復号化部４７は、サーバ装置１から受信した暗号鍵を用いてデータを暗号化する。暗号化アルゴリズムとしては、一例としてＡＥＳ（Advanced Encryption Standard）を用いることができる。また、暗号化／復号化部４７は、サーバ装置１から受信した暗号鍵を用いてデータを復号化する。ＩＤ生成部４８は、暗号化されたデータに基づいて、ハッシュ値（ＭＤ５）を生成する。削除部４９は、ユーザから指定されたデータをＨＤＤ３４等の記憶部から削除処理する。

（データ管理システムの動作）
以下、データ操作別に、実施の形態のデータ管理システムの動作説明をする。

（データ送信動作）
まず、図７のシーケンス図に、実施の形態のデータ管理システムにおける、データ送信（配布）動作の流れを示す。この場合、まず、ステップＳ１において、データの送信側となる端末２ａ及びデータの受信側となる端末２ｂの第２の通信部４２が、サーバ装置１に対して端末ＩＤ及びパスワードを送信する。サーバ装置１の認証部２３は、各端末２ａ，２ｂから受信した端末ＩＤ及びパスワードに基づいて、端末認証処理を行う。

次に、ユーザが、送信側の端末２ａの表示制御部４４により表示部３７に表示される操作画面を介して、データの送信を指示する。表示制御部４４は、ステップＳ２において、ユーザからのデータ送信指示を取得する。データが暗号化された状態の場合、暗号処理部４６の暗号化／復号化部４７が、ステップＳ３において、図１１及び図１２を用いて後述するデータ表示動作に基づき、データを復号化する。

次に、送信側の端末２ａの来歴生成部４３は、ステップＳ４において、受信側の端末２ｂに送信する来歴情報（図４参照）を生成してＨＤＤ３４に記憶する。なお、この段階では、来歴情報にハッシュ値は記録されていない。第２の通信部４２は、生成された来歴情報をサーバ装置１に送信する。

サーバ装置１の来歴処理部２１は、ステップＳ５において、後述する「第１の処理」を行うことで、送信側の端末２ａから受信した来歴情報に、記憶制御部２９が生成した管理ＩＤを割り当ててＨＤＤ１４に記憶する。また、暗号鍵生成部２６は、受信した来歴情報から暗号鍵を生成する。サーバ装置１の通信制御部２２は、生成された管理ＩＤ及び暗号鍵を、ステップＳ６において、送信側の端末２ａに送信するように、通信部１６を通信制御する。

次に、送信側の端末２ａの暗号化／復号化部４７は、ステップＳ７において、サーバ装置１から受信した暗号鍵を用いてデータを暗号化する。また、ＩＤ生成部４８は、暗号化されたデータのハッシュ値（ＭＤ５値）を計算する。第２の通信部４２は、ステップＳ８において、サーバ装置１から受信した管理ＩＤ、及び、暗号化したデータのハッシュ値を、サーバ装置１に送信するように通信部３６を通信制御する。また、第２の通信部４２は、暗号化したデータを、ステップＳ９において、受信側の端末２ｂに送信するように通信部３６を通信制御する。

サーバ装置１は、ステップＳ１０で後述する第２の処理を行うことで、ハッシュ値が書き込まれていない状態の来歴情報に、送信側の端末２ａから送信されたハッシュ値を書き込み、来歴情報を完成させる。

次に、受信側の端末２ｂのＩＤ生成部４８は、送信側の端末２ａから受信した暗号化されたデータのハッシュ値（ＭＤ５値）を計算する。受信側の端末２ｂの第２の通信部４２は、ステップＳ１１において、計算されたハッシュ値をサーバ装置１に送信する。また、表示制御部４４は、受信側の端末２ｂの表示部３７を介して、データを受信した旨の通知を行う。

次に、サーバ装置１は、ステップＳ１３において後述する第３の処理を行うことで、送信側の端末２ａから送信されたデータと、受信側の端末２ｂで受信されたデータの同一性を検証する。送信側の端末２ａから送信されたデータと、受信側の端末２ｂで受信されたデータが同一のデータであることを示す検証結果が得られた場合、サーバ装置１の通信制御部２２（通知部の一例）は、ステップＳ１４において、受信側の端末２ｂで、正確にデータが受信されたことを示す受信確認通知を、送信側の端末２ａに送信するように、通信部１６を通信制御する。受信確認通知を受信した送信側の端末２ａは、ステップＳ１５において、表示制御部４４が、受信確認通知を表示部３７に表示制御する。これにより、端末２において、データが正確に受信されたことを、送信側のユーザに通知できる。

（第１の処理の詳細な動作）
図８のフローチャートに、図７のシーケンス図のステップＳ５の処理である、サーバ装置１の第１の処理の詳細な動作の流れを示す。サーバ装置１は、送信側の端末２ａから来歴情報を受信すると、ステップＳ２１において、解析部２５が、受信した来歴情報を解析する。また、記憶制御部２９は、ステップＳ２２において、解析した来歴情報に管理ＩＤを割り付け、ＨＤＤ１４に記憶する。

ステップＳ２３では、暗号鍵生成部２６が、ＣＭＡＣアルゴリズムを用いて、ＨＤＤ１４に記憶した来歴情報を符号化して、固定長の暗号鍵を生成する。このような第１の処理により生成された暗号鍵及び来歴情報の管理ＩＤは、前記のようにステップＳ６において、送信側の端末２ａに送信される。なお、上述のように、この段階の来歴情報には、ハッシュ値は記録されていない。

（第２の処理の詳細な動作）
図９のフローチャートに、図７のシーケンス図のステップＳ１０の処理である、サーバ装置１の第２の処理の詳細な動作の流れを示す。送信側の端末２ａから来歴情報の管理ＩＤ及びハッシュ値を受信すると、ステップＳ３１において、サーバ装置１の検索部２７が、受信した管理ＩＤに関連付けされている来歴情報をＨＤＤ１４から検索する。

次に、ステップＳ３２において、解析部２５が、検索した来歴情報の操作後データ番号項目（操作後ＭＤ５カラム）にハッシュ値が記録されているか否かを判別する。操作後データ番号項目にハッシュ値が記録されていない場合（操作後ＭＤ５カラムが空の場合：ステップＳ３２：Ｙｅｓ）、処理がステップＳ３３に進み、解析部２５が、上述の操作後データ番号項目にハッシュ値を書き込む。

また、送信側の端末２ａ及び受信側の端末２ｂの間で、正確にデータの送受信が行われたか否かは、後述する第３の処理で検証される。このため、第２の処理が終了した段階では、まだ、送信側の端末２ａ及び受信側の端末２ｂの間で、正確にデータの送受信が行われたか否かが不明であるため、解析部２５は、来歴情報の現在の状態（ステータス）として、「処理中」の状態情報を、来歴情報の状態項目に記録して、ステップＳ１３の第３の処理に移行する。

なお、新たに生成された来歴情報の操作後データ番号項目（操作後ＭＤ５カラム）に、既にハッシュ値が記録されているということは（ステップＳ３２：Ｎｏ）、「異常」である。このため、解析部２５は、ステップＳ３４において、来歴情報を無効にすべく、状態項目に「無効」の状態情報を記録し、図７のシーケンスを中止する。

（第３の処理の詳細な動作）
図１０のフローチャートに、図７のシーケンス図のステップＳ１３の処理である、サーバ装置１の第３の処理の詳細な動作の流れを示す。送信側の端末２ａから受信側の端末２ｂに送信された暗号化されたデータに基づいて、受信側の端末２ｂで生成されたハッシュ値を受信すると、サーバ装置１の検索部２７は、ステップＳ４１において、来歴情報状態項目が「処理中」となっている来歴情報をＨＤＤ１４から検索する。検索部２７は、ステップＳ４２において、検索した来歴情報の操作後データ番号項目（操作後ＭＤ５カラム）に記憶されているハッシュ値と、受信側の端末２ｂから受信したハッシュ値とが一致したか否かを判別する。

両者が一致する場合（ステップＳ４２：Ｙｅｓ）、現在、ＨＤＤ１４に記憶されている、「データ送信」の来歴情報を有効な来歴情報とすべく、解析部２５が、ステップＳ４３において、来歴情報の状態項目に「有効」の状態情報を書き込む。この場合、ステップＳ１４において、送信側の端末２ａに受信確認通知が送信され、表示部３７を介して送信側のユーザに表示される。

これに対して、両者が一致しないということは（ステップＳ４２：Ｎｏ）、データの送信に不具合が生じたことを意味する。このため、現在、ＨＤＤ１４に記憶されている、「データ送信」の来歴情報を無効な来歴情報とすべく、解析部２５が、ステップＳ４４において、来歴情報の状態項目に「無効」の状態情報を書き込む。なお、一定時間内に、受信側の端末２ｂからハッシュ値を受信できない場合、データの送信に不具合が生じたことを意味するため、解析部２５は、来歴情報の状態項目に「無効」の状態情報を記録する。

（データ表示動作）
次に、図１１のシーケンス図に、実施の形態のデータ管理システムにおける、データ表示動作の流れを示す。一例として、上述の受信側の端末２ｂが、送信側の端末２ａから受信したデータを表示部３７に表示する場合等が、以下に説明するデータ表示動作に相当する。

まず、ステップＳ５１において、データを表示する端末２が、サーバ装置１に対して端末ＩＤ及びパスワードを送信する。サーバ装置１の認証部２３は、端末２から受信した端末ＩＤ及びパスワードに基づいて、端末認証処理を行う。

次に、ユーザが、端末２の表示制御部４４により表示部３７に表示される操作画面を介して、データの表示を指示する。表示制御部４４は、ステップＳ５２において、ユーザからのデータ表示指示を取得する。暗号処理部４６の暗号化／復号化部４７は、表示が指示された暗号化されているデータのハッシュ値を計算する。第１の通信部４１は、計算されたハッシュ値を、ステップＳ５３においてサーバ装置１に送信するように通信部３６を通信制御する。

サーバ装置１の暗号鍵生成部２６は、後述する第４の処理を行うことで、端末２から受信したハッシュ値を用いて暗号鍵を生成する。サーバ装置１の通信制御部２２は、生成された暗号鍵を、ステップＳ５５において、端末２に送信するように通信部１６を通信制御する。

端末２の暗号化／復号化部４７は、ステップＳ５６において、サーバ装置１から受信した暗号鍵を用いて、ユーザから表示が指示されたデータを復号化する。表示制御部４４は、復号化されたデータを、ステップＳ５７において、表示部３７に表示する。これにより、ユーザにより表示が指示されたデータが復号化されて、表示部３７に表示される。

（第４の処理の詳細な動作）
図１２のフローチャートに、図１１のシーケンス図のステップＳ５４の処理である、サーバ装置１の第４の処理の詳細な動作の流れを示す。端末２からハッシュ値を受信すると、サーバ装置１の検索部２７は、ステップＳ６１において、操作後データ番号項目に、受信したハッシュ値と同じハッシュ値が記録されている来歴情報をＨＤＤ１４から検索する。

ステップＳ６２では、検索部２７が、受信したハッシュ値と同じハッシュ値が記録されている来歴情報が存在するか否か（記録の有無）を判別する。受信したハッシュ値と同じハッシュ値が記録されている来歴情報が存在する場合（ステップＳ６２：Ｙｅｓ）、ステップＳ６３において、検索部２７がＨＤＤ１４から、受信したハッシュ値と同じハッシュ値が記録されている来歴情報を取得する。これに対して、受信したハッシュ値と同じハッシュ値が記録されている来歴情報が存在しない場合（ステップＳ６２：Ｎｏ）、ステップＳ６６で「異常」と判別され、図１１のデータ表示動作が中止される。

次に、ステップＳ６４では、追跡部２８が、取得した来歴情報、取得した来歴情報に関連する第１の関連来歴情報、第１の関連来歴情報に関連する第２の関連来歴情報・・・等のように、取得した来歴情報に関連する履歴情報を追従して検索することで、ユーザから表示が指示されているデータの派生状況及び来歴状況を検出する。そして、このようなデータの派生状況及び来歴状況の検出結果に基づいて、ハッシュ値を送信した端末２は、現在、表示要求がされているデータに対する正当な表示権限を有する端末であるか否かを判別する。

正当な表示権限が無い端末であると判別した場合（ステップＳ６４：Ｎｏ）、ステップＳ６６で「異常」と判別され、図１１のデータ表示動作が中止される。これに対して、正当な表示権限があると判別した場合（ステップＳ６４：Ｙｅｓ）、ステップＳ６５において、暗号鍵生成部２６が、ＨＤＤ１４から検索した来歴情報を用いて暗号鍵を生成する。生成された暗号鍵は、図１１のシーケンス図のステップＳ５５において、通信制御部２２により、送信部１６を介して端末２に送信される。

（データ編集動作）
次に、図１３のシーケンス図に、実施の形態のデータ管理システムにおける、データ編集動作の流れを示す。この場合、まず、ステップＳ７１において、データを編集する端末２（編集側）が、サーバ装置１に対して端末ＩＤ及びパスワードを送信する。サーバ装置１の認証部２３は、端末２から受信した端末ＩＤ及びパスワードに基づいて、端末認証処理を行う。

次に、ユーザが、編集側の端末２の表示制御部４４により表示部３７に表示される操作画面を介して、データの編集を指示する。表示制御部４４は、ステップＳ７２において、ユーザからのデータ編集指示を取得する。なお、データが暗号化された状態の場合、ステップＳ７３において、図１１のシーケンス図を用いて説明したようにデータが復号化され、ステップＳ７４において、編集側の端末２の表示部３７に表示される。

次に、ユーザは、操作部３９を操作することで、表示部３７に表示されたデータを編集する。表示制御部４４は、ステップＳ７５において、ユーザの編集作業に対応した表示画面を、表示部３７に表示制御する。ユーザは、データの編集が完了すると、データの保存を指示する操作を行う。来歴生成部４３は、データの保存が指示されると、ステップＳ７６において、編集前（＝操作前）のデータの来歴情報の操作後データ番号項目に記録されているハッシュ値を、操作前データ番号項目に記録した来歴情報を新たに生成する。

すなわち、新たに生成される来歴情報の操作前データ番号項目には、編集前（＝操作前）のデータの来歴情報の操作後データ番号項目に記録されているハッシュ値が記録される。なお、この段階では、新たに生成された来歴情報の操作後データ番号項目には、ハッシュ値は記録されていない。第１の通信部４１は、新たに生成された来歴情報を、ステップＳ７７において、サーバ装置１に送信するように、通信部３６を通信制御する。

次に、ステップＳ７８では、サーバ装置１が、後述する第５の処理を行うことで、記憶制御部２９が、編集したデータに対応する新たな来歴情報の管理ＩＤを生成し、生成した管理ＩＤを新たな来歴情報に関連付けてＨＤＤ１４に記憶する。また、暗号鍵生成部２６が、新たな来歴情報に対応する暗号鍵を生成する。通信制御部２２は、ステップＳ７９において、新たな来歴情報に対応する管理ＩＤ及び暗号鍵を、通信部１６を介して編集側の端末２に送信する。

編集側の端末２の暗号化／復号化部４７は、ステップＳ８０において、サーバ装置１から受信した暗号鍵を用いて、編集後のデータを暗号化してＨＤＤ３４に保存すると共に、暗号化したデータのハッシュ値を計算する。第１の通信部４１は、計算されたハッシュ値を、サーバ装置１から受信した管理ＩＤと共に、サーバ装置１に送信制御する。

サーバ装置１は、ステップＳ８２において、後述する第６の処理を行うことで、編集されたデータに対応する来歴情報をＨＤＤ１４から検索し、暗号化されたデータのハッシュ値を記録する。通信制御部２２は、ステップＳ８３において、編集されたデータに対応する来歴情報の保存が完了したことを示す保存完了通知を端末２に送信する。端末２の表示制御部４４は、保存完了通知を表示部３７に表示制御することで、編集されたデータに対応する来歴情報の保存が完了したことを、ユーザに対して通知する。

（第５の処理の詳細な動作）
図１４は、図１３のシーケンス図のステップＳ７８の処理である、サーバ装置１の第５の処理の詳細な動作の流れを示すフローチャートである。編集されたデータに対応する新たな来歴情報を端末２から受信すると、サーバ装置１の検索部２７は、ステップＳ９１において、来歴情報の操作前データ番号項目に記録されているハッシュ値を用いてＨＤＤ１４を参照し、編集前のデータの来歴情報を検索する。ステップＳ９２では、解析部２１が、端末２から受信した、編集されたデータに対応する新たな来歴情報を解析する。

ステップＳ９３では、記憶制御部２９が、編集したデータの新たな来歴情報に対応する管理ＩＤを生成する。また、記憶制御部２９は、新たな来歴情報の親来歴項目に、編集前のデータの来歴情報の管理ＩＤを記録することで、編集前後の各データの親子関係（関係性）を構築する。記憶制御部２９は、このような新たな来歴情報に、上述の新たな管理ＩＤを付して、ＨＤＤ１４に保存する。

ステップＳ９４では、暗号鍵生成部２６が、新たな来歴情報に対応する暗号鍵を生成する。生成された暗号鍵は、ステップＳ７９において、通信制御部２２により、新たな来歴情報に対応する管理ＩＤと共に、編集側の端末２に送信される。

（第６の処理の詳細な動作）
図１５は、図１３のシーケンス図のステップＳ８２の処理である、サーバ装置１の第６の処理の詳細な動作の流れを示すフローチャートである。サーバ装置１が端末２に送信した管理ＩＤが付されたハッシュ値を、端末２から受信すると、サーバ装置１の検索部２７は、ステップＳ１０１において、ハッシュ値に付されている管理ＩＤを用いてＨＤＤ１４を参照し、管理ＩＤに関連付けられている来歴情報（＝編集後のデータの来歴情報＝上述の新たな来歴情報）を検索する。

ステップＳ１０２では、解析部２５が、検索された来歴情報の操作後データ番号項目にハッシュ値が記録されているか否か（空か否か）を判別する。データの編集に伴って新たに生成された来歴情報であるにも関わらず、既にハッシュ値が記録されている場合（ステップＳ１０２：Ｎｏ）、解析部２５は、ステップＳ１０４において、異常と判別し、検索した来歴情報の状態項目に、検索した来歴情報は無効であることを示す「無効」の状態情報を書き込み、来歴情報の処理を中止する。

これに対して、検索した来歴情報の操作後データ番号の項目にハッシュ値が記録されていない場合（ステップＳ１０２：Ｙｅｓ）、解析部２５は、ステップＳ１０３において、端末２から受信したハッシュ値を、検索した来歴情報の操作後データ番号項目に書き込む。また、解析部２５は、検索した来歴情報が有効であることを示す「有効」の状況情報を、来歴情報の状態項目に書き込む。このような第６の処理が完了すると、図１３のステップＳ８３において、サーバ装置１から端末２に対して、編集されたデータの来歴情報の保存が完了したことを示す保存完了通知が送信される。

（データ削除動作）
次に、図１６のシーケンス図に、実施の形態のデータ管理システムにおける、データ削除動作の流れを示す。この場合、まず、ステップＳ１１０において、データを削除する端末２が、サーバ装置１に対して端末ＩＤ及びパスワードを送信する。サーバ装置１の認証部２３は、端末２から受信した端末ＩＤ及びパスワードに基づいて、端末認証処理を行う。

次に、ユーザが、送信側の端末２の表示制御部４４により表示部３７に表示される操作画面を介して、削除するデータを指定操作する。削除部４９は、ステップＳ１１１において、ユーザから指定されたデータの削除を認識する。そして、削除部４９は、ステップＳ１１２において、ユーザから指定されたデータをＨＤＤ３４等の記憶媒体から削除する。

次に、来歴生成部４３は、削除されたデータに対応する新たな来歴情報を生成する。この場合、来歴生成部４３は、操作前データ番号項目に、削除されたデータのハッシュ値を記録した来歴情報を生成する。第１の通信部４１は、新たに生成された、削除されたデータの来歴情報を、ステップＳ１１３において、サーバ装置１送信する。

サーバ装置１は、後述する第７の処理を行うことで、削除前のデータの来歴情報及び削除後のデータの来歴情報を関連付け処理する。この関連付け処理が完了すると、サーバ装置１の通信制御部２２は、ステップＳ１１５において、端末２に対して削除完了通知を行う。端末２の表示制御部４４は、サーバ装置１から受信した削除完了通知を、ステップＳ１１６において表示部３７に表示する。

（第７の処理の詳細な動作）
次に、図１７のフローチャートに、図１６のシーケンス図のステップＳ１１４の処理である、サーバ装置１の第７の処理の詳細な動作の流れを示す。まず、ステップＳ１２１では、サーバ装置１の検索部２７が、端末２から受信した、削除されたデータに対応する、新たに生成された来歴情報の操作前データ番号項目に記録されているハッシュ値を用いてＨＤＤ１４を参照する。そして、検索部２７が、削除前のデータの来歴情報をＨＤＤ１４から検索する。

次に、ステップＳ１２２において、解析部２５が、端末２から受信した、削除されたデータに対応する、新たに生成された来歴情報を解析する。ステップＳ１２３では、記憶制御部２９が、新たに生成された来歴情報に、新たに発行した管理ＩＤを付してＨＤＤ１４に保存する。また、解析部２５は、新たに生成された来歴情報の親来歴項目に、削除したデータの来歴情報の管理ＩＤを記録することで、削除前後のデータを関連付け処理する。削除前後のデータの関連付け処理が完了すると、サーバ装置１から端末２に対して、上述の削除完了通知が送信される（ステップＳ１１５）。

（データ追跡動作）
このように、送信、表示、編集、削除等のデータ操作毎に、操作前後の来歴情報を関連付け処理することで、所望のデータの派生状況及び来歴状況の追跡が可能となる。図１８のシーケンス図に、実施の形態のデータ管理システムにおける、データ追跡動作の流れを示す。この場合、管理者が、サーバ装置１の表示部１７に表示される操作画面を介して、追跡を希望するデータのハッシュ値を入力し、追跡指示を行う。サーバ装置１の追跡部２８は、ステップＳ１３１において、入力されたハッシュ値を取得する。

ステップＳ１３２では、追跡部２８が、ハッシュ値を用いて、後述する第８の処理を行うことで、指定されたデータを追跡し、データの派生状況及び来歴状況である追跡結果を生成する。そしてステップＳ１３３において、生成された追跡結果を、表示制御部２４が表示部１７に表示する。

（第８の処理の詳細な動作）
図１９は、図１６のシーケンス図のステップＳ１３２の処理である、サーバ装置１の第８の処理の詳細な動作の流れを示すフローチャートである。まず、ステップＳ１４１では、サーバ装置１の検索部２７が、管理者から入力されたハッシュ値を用いてＨＤＤ１４を参照する。そして、検索部２７が、管理者から入力されたハッシュ値と同じハッシュ値が、操作後データ番号項目に記録されている来歴情報をＨＤＤ１４から検索する。

上述のように、来歴情報の操作前データ番号項目及び操作後データ番号項目には、データ操作前後のデータに対応するハッシュ値が記録される。このため、管理者から入力されたハッシュ値と同じハッシュ値が記録されている来歴情報を検索し、また、検索した来歴情報に記録されているハッシュ値と同じハッシュ値が記録されている来歴情報を検索することで、管理者から入力されたハッシュ値に対応するデータの派生状況及び履歴状況を検出することができる。

検索部２７は、ステップＳ１４２において、管理者から入力されたハッシュ値が記録されている来歴情報を、ＨＤＤ１４から検索できたか否かを判別する。管理者から入力されたハッシュ値が記録されている来歴情報を、ＨＤＤ１４から検索できない場合（ステップＳ１４２：Ｎｏ）、追跡部２８は、ステップＳ１４４において異常（追跡対象データ無し）として処理し、データの追跡動作を中止する。

これに対して、ステップＳ１４３（ステップＳ１４２：Ｙｅｓ）では、管理者から入力されたハッシュ値が記録された来歴情報をＨＤＤ１４から検索できた場合（ステップＳ１４２：Ｙｅｓ）、追跡部２８は、上述のように、検索した来歴情報に記録されているハッシュ値と同じハッシュ値が記録されている来歴情報をＨＤＤ１４からさらに検索し、管理者から入力されたハッシュ値に対応するデータの派生状況及び履歴状況を検出する。

すなわち、追跡部２８は、検索された来歴情報に記録されているハッシュ値を用いて、関連する来歴情報を検索し、関連する来歴情報に記録されているハッシュ値を用いて、関連する来歴情報に関連する来歴情報をさらに検索する。これにより、管理者から入力されたハッシュ値に関連する来歴情報を追跡するかたちで検出し、データの派生状況及び履歴状況を示す情報を形成することができる。データの派生状況及び履歴状況を示す情報は、表示制御部２４により表示部１７に表示される。

（実施の形態の効果）
以上の説明から明らかなように、実施の形態のデータ管理システムは、データの送信、編集等のデータ操作毎に端末２から送信される来歴情報をＨＤＤ１４等の記憶部に記憶する。来歴情報は、データ操作の種類及び生成時刻等に応じて、それぞれ異なる情報となる。また、サーバ装置１は、端末２から受信した来歴情報に基づいて暗号鍵を生成し、端末２に送信する。端末２は、サーバ装置１から受信した暗号鍵を用いてデータを暗号化すると共に、ハッシュ値を算出してサーバ装置１に送信する。サーバ装置１は、来歴情報にハッシュ値を記録してＨＤＤ１４に保存する。また、サーバ装置１は、新たな来歴情報を端末２から受信した場合、新たな来歴情報に関連する来歴情報をＨＤＤ１４から検索し、両者を関連付けてＨＤＤ１４に保存する。

これにより、データ操作毎の各データの関連性を、各データの来歴情報を介して記憶することができる。このため、所望のデータの来歴情報に関連する来歴情報、関連する来歴情報に関連する来歴情報・・・等のように順次検索することで、データの派生状況及び履歴状況を追跡して検出することができる。従って、同じデータを複数のシステムに配布した場合でも、データが流出した際に、データの流出元を簡単に特定可能とすることができ、また、データの加工及び再配布等のデータ操作後のデータに対する追跡も可能とすることができる。

本発明の実施の形態を説明したが、これらの実施の形態は、例として提示したものであり、発明の範囲を限定することは意図していない。これら実施の形態は、その他の様々な形態で実施されることが可能であり、発明の要旨を逸脱しない範囲で、種々の省略、置き換え、変更を行うことができる。これら実施の形態やその変形は、発明の範囲や要旨に含まれると同様に、特許請求の範囲に記載された発明とその均等の範囲に含まれるものである。

１ サーバ装置
２ 端末
３ ネットワーク
２１ 来歴処理部
２２ 通信制御部
２３ 認証部
２４ 表示制御部
２５ 解析部
２６ 暗号鍵生成部
２７ 検索部
２８ 追跡部
２９ 記憶制御部
４１ 第１の通信部
４２ 第２の通信部
４３ 来歴生成部
４４ 表示制御部
４５ 提供部
４６ 暗号処理部
４７ 暗号化／復号化部
４８ ＩＤ生成部
４９ 削除部

Claims (8)

1. 端末においてデータのデータ操作毎に生成される生成情報を用いて、前記データ操作毎に暗号鍵を生成する生成部と、
   前記暗号鍵を前記端末に送信する送信部と、
   前記端末において、前記暗号鍵を用いて暗号化された前記データに対応する固有情報を、前記生成情報に関連付けて記憶部に記憶制御する記憶制御部と、
   同じ前記データに対応する前記生成情報を、前記データの前記固有情報に基づいて前記記憶部から検索する検索部と、
   検索された同じ前記データに対応する前記生成情報同士を関連付けする関連付け部と、
   前記関連付けされている前記生成情報を追跡して検出する追跡部と
   を有する情報処理装置。
2. 前記生成部は、前記データ操作として、第１の端末から第２の端末に前記データを送信する際に、前記第１の端末から送信された前記生成情報を用いて前記暗号鍵を生成し、
   前記記憶制御部は、前記第１の端末において、前記暗号鍵を用いて暗号化された前記データに対応する第１の固有情報を、前記生成情報に関連付けて前記記憶部に記憶制御し、
   前記第２の端末により算出された、前記第１の端末から受信した前記暗号化された前記データの第２の固有情報と、前記第１の固有情報とを比較し、両者が一致した場合に、前記第１の端末に対して、前記第１の端末から送信した前記データが前記第２の端末で正常に受信された旨の通知を行う通知部を、さらに備えること
   を特徴とする請求項１に記載の情報処理装置。
3. 前記検索部は、前記端末における前記データ操作として、暗号化された前記データを表示するデータ操作が行われる場合に前記端末から送信される、表示する前記データの前記固有情報が関連付けられている前記生成情報を前記記憶部から検索し、
   前記生成部は、検索された前記生成情報を用いて前記暗号鍵を生成して前記端末に送信し、
   前記端末は、前記暗号化されている前記データを、前記暗号鍵を用いて復号化して表示部に表示すること
   を特徴とする請求項１に記載の情報処理装置。
4. 前記検索部は、前記端末における前記データ操作として、前記データを編集するデータ操作が行われる場合に前記端末から送信される、編集した前記データに対応する新たな生成情報に含まれる前記固有情報が記憶されている生成情報を前記記憶部から検索し、
   前記関連付け部は、検索された前記生成情報に、前記新たな生成情報を関連付けし、
   前記生成部は、前記新たな生成情報を用いて前記暗号鍵を生成して前記端末に送信し、
   前記関連付け部は、前記端末が前記新たな生成情報に基づいて生成された暗号鍵を用いて暗号化されたデータの固有情報を、前記新たな生成情報に関連付けること
   を特徴とする請求項１に記載の情報処理装置。
5. 前記検索部は、前記端末における前記データ操作として、前記データを削除するデータ操作が行われた場合に前記端末から送信される、削除された前記データに対応する新たな生成情報に含まれる、削除前の前記データの固有情報に基づいて、削除前の前記データの生成情報を前記記憶部から検索し、
   前記関連付け部は、検索された削除前の前記データの生成情報と、前記端末から受信した削除された前記データに対応する新たな生成情報とを関連付けること
   を特徴とする請求項１に記載の情報処理装置。
6. 端末と情報処理装置とを備えるシステムであって、
   前記端末は、
   データのデータ操作毎に生成情報を生成する情報生成部と、
   前記生成情報に基づいて、前記情報処理装置で生成された暗号鍵を用いて、前記データを暗号化する暗号処理部と、
   前記暗号化された前記データを用いて、前記データの固有情報を生成する固有情報生成部と
   を有し、
   前記情報処理装置は、
   前記端末からの前記生成情報を用いて、前記データ操作毎に暗号鍵を生成する生成部と、
   前記暗号鍵を前記端末に送信する送信部と、
   前記端末の前記固有情報生成部で生成された前記固有情報を、前記生成情報に関連付けて記憶部に記憶する記憶制御部と、
   同じ前記データに対応する前記生成情報を、前記データの前記固有情報に基づいて前記記憶部から検索する検索部と、
   検索された同じ前記データに対応する前記生成情報同士を関連付けする関連付け部と、
   前記関連付けされている前記生成情報を追跡して検出する追跡部と
   を有すること
   を特徴とするシステム。
7. コンピュータを、
   端末においてデータのデータ操作毎に生成される生成情報を用いて、前記データ操作毎に暗号鍵を生成する生成部と、
   前記暗号鍵を前記端末に送信する送信部と、
   前記端末において、前記暗号鍵を用いて暗号化された前記データに対応する固有情報を、前記生成情報に関連付けて記憶部に記憶する記憶制御部と、
   同じ前記データに対応する前記生成情報を、前記データの前記固有情報に基づいて前記記憶部から検索する検索部と、
   検索された同じ前記データに対応する前記生成情報同士を関連付けする関連付け部と、
   前記関連付けされている前記生成情報を追跡して検出する追跡部として機能させること
   を特徴とするプログラム。
8. 生成部が、端末においてデータのデータ操作毎に生成される生成情報を用いて、前記データ操作毎に暗号鍵を生成する生成ステップと、
   送信部が、前記暗号鍵を前記端末に送信する送信ステップと、
   記憶制御部が、前記端末において、前記暗号鍵を用いて暗号化された前記データに対応する固有情報を、前記生成情報に関連付けて記憶部に記憶する記憶制御ステップと、
   検索部が、同じ前記データに対応する前記生成情報を、前記データの前記固有情報に基づいて前記記憶部から検索する検索ステップと、
   関連付け部が、検索された同じ前記データに対応する前記生成情報同士を関連付けする関連付けステップと、
   追跡部が、前記関連付けされている前記生成情報を追跡して検出する追跡ステップと
   を有する方法。

Images