(57)【要約】【課題】情報処理装置にプログラムを実行させた場合に、その情報処理装置で処理対象となったデータが残存していないことを保障する情報処理装置を提供する。【解決手段】情報処理装置の第１の算出手段は、利用者からのプログラム実行の指示を受け取り、そのプログラム実行で利用する記憶装置における第１の証明用情報を算出し、第１の証明用情報送信手段は、前記第１の算出手段によって算出された第１の証明用情報を他の情報処理装置に送信し、プログラム実行手段は、プログラムの実行に必要なデータを外部から受け取ってプログラムを実行し、実行が終了した後に、前記記憶装置からデータを消去し、第２の算出手段は、前記プログラム実行手段によるプログラムの実行が終了した後に、前記記憶装置における第２の証明用情報を算出し、第２の証明用情報送信手段は、前記第２の算出手段によって算出された第２の証明用情報を前記他の情報処理装置に送信する。【選択図】図１
2010186359.tif 000002
【特許請求の範囲】
【請求項１】
利用者からのプログラム実行の指示を受け取り、そのプログラム実行で利用する記憶装置における第１の証明用情報を算出する第１の算出手段と、
前記第１の算出手段によって算出された第１の証明用情報を保障装置に送信する第１の証明用情報送信手段と、
前記プログラムの実行に必要な電子情報を外部から受け取って前記プログラムを実行し、該プログラムの実行が終了した後に、前記記憶装置から電子情報を消去するプログラム実行手段と、
前記プログラム実行手段によるプログラムの実行が終了した後に、前記記憶装置における第２の証明用情報を算出する第２の算出手段と、
前記第２の算出手段によって算出された第２の証明用情報を前記保障装置に送信する第２の証明用情報送信手段
を有している情報処理装置と、
前記情報処理装置と通信回線を介して接続されており、
前記情報処理装置から送信されてきた第１の証明用情報を記憶する記憶手段と、
前記情報処理装置から送信されてきた第２の証明用情報と前記記憶手段に記憶されている第１の証明用情報を比較する比較手段と、
前記比較手段による比較結果を前記利用者に送信する送信手段
を有している前記保障装置
を具備することを特徴とする情報処理システム。
【請求項２】
利用者からのプログラム実行の指示を受け取り、そのプログラム実行で利用する記憶装置における第１の証明用情報を算出する第１の算出手段と、
前記第１の算出手段によって算出された第１の証明用情報を他の情報処理装置に送信する第１の証明用情報送信手段と、
前記プログラムの実行に必要な電子情報を外部から受け取って前記プログラムを実行し、該プログラムの実行が終了した後に、前記記憶装置から電子情報を消去するプログラム実行手段と、
前記プログラム実行手段によるプログラムの実行が終了した後に、前記記憶装置における第２の証明用情報を算出する第２の算出手段と、
前記第２の算出手段によって算出された第２の証明用情報を前記他の情報処理装置に送信する第２の証明用情報送信手段
を具備することを特徴とする情報処理装置。
【請求項３】
前記記憶装置は、仮想的な記憶装置であり、前記利用者からのプログラム実行の指示を受け取ったときに生成する
ことを特徴とする請求項２に記載の情報処理装置。
【請求項４】
前記プログラム実行手段は複数あり、前記プログラムは、該複数のプログラム実行手段によって実行され、
前記記憶装置は、次の実行を行うプログラム実行手段に引き渡す、又は前記複数のプログラム実行手段から共有して利用される
ことを特徴とする請求項２又は３に記載の情報処理装置。
【請求項５】
前記電子情報には、前記プログラム実行手段毎に操作を行うことができる権利が付与されており、該権利があるプログラム実行手段のみが前記電子情報を操作できるようにする
ことを特徴とする請求項２から４のいずれか１項に記載の情報処理装置。
【請求項６】
コンピュータを、
利用者からのプログラム実行の指示を受け取り、そのプログラム実行で利用する記憶装置における第１の証明用情報を算出する第１の算出手段と、
前記第１の算出手段によって算出された第１の証明用情報を他の情報処理装置に送信する第１の証明用情報送信手段と、
前記プログラムの実行に必要な電子情報を外部から受け取って前記プログラムを実行し、該プログラムの実行が終了した後に、前記記憶装置から電子情報を消去するプログラム実行手段と、
前記プログラム実行手段によるプログラムの実行が終了した後に、前記記憶装置における第２の証明用情報を算出する第２の算出手段と、
前記第２の算出手段によって算出された第２の証明用情報を前記他の情報処理装置に送信する第２の証明用情報送信手段
として機能させることを特徴とする情報処理プログラム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、情報処理システム、情報処理装置及び情報処理プログラムに関する。
【背景技術】
【０００２】
計算機を用いた処理を行う場合に、その処理対象となる電子情報等に対するセキュリティ上の安全性が求められている。
これに関連する技術として、例えば、特許文献１には、潜在的な顧客が、ｅコマースに関連するプライバシー及びセキュリティが増大したことを知覚する方法及びストラクチャを提供することを課題とし、第１の当事者と第２の当事者との間でビジネスを電子的に遂行する方法（及びシステム）は、第１の当事者の識別データを知っているが第１の当事者と第２の当事者との間の提案された電子ビジネス・トランザクションに関するプライバシー関連情報を知らない第３の当事者（システム）を提供すること、及び第１の当事者の識別データが第２の当事者から隠されるように、第３の当事者を介して第１及び第２の当事者の間で電子ビジネス・トランザクションを遂行することにより実現されることが開示されている。
【０００３】
また、例えば、特許文献２には、ＡＳＰ（アプリケーション・サービス・プロバイダ）サイトを効率よく使いながら、かつ、信頼性のあるセキュリティを確保することができるコンテンツセキュリティ方式を提供することを課題とし、単一データを分割することにより生成される複数のファイルデータの各々は複数のＡＳＰサイトの少なくとも２つに格納され、データベースは、複数のファイルデータの各々が格納されている複数の格納ＡＳＰサイトを示す格納情報を有しており、コンテンツ提供サーバは、顧客端末からの要求情報に従って情報データベースをアクセスして格納情報を検索し、検索された格納情報に基づいて複数の格納ＡＳＰサイトの各々から複数のファイルデータを読み出して単一データを復元し、復元された単一データを予め指定された出力用端末に送信することが開示されている。
【０００４】
また、例えば、特許文献３には、ユーザのコンピュータの設定、環境、ソフトウェアを１つのファイルにパックしたものに対するセキュリティ上の安全性を高めることが開示されている。
【０００５】
また、例えば、特許文献４には、不正アクセスによってＷｅｂサーバ内のＷｅｂページデータが改竄されたことを煩雑な処理なく迅速に検知し、改竄されたＷｅｂページの復元も可能としたＷｅｂページ改竄検知システムと同システムを構成するＷｅｂサーバを提供することを課題とし、公開用ディレクトリに格納されているＷｅｂページデータのハッシュ値を定期的に生成するとともに、その生成したハッシュ値と、オリジナル保存用ディレクトリに保存されているタイムスタンプトークン中のハッシュ値との比較検証が定期的に行われ、比較検証の結果、前記両ハッシュ値に相違があった場合はＷｅｂページデータに改竄があったものとみなして、公開用ディレクトリに格納されているＷｅｂページデータが、オリジナル保存用ディレクトリに保存されているＷｅｂページデータで上書きし復元することが開示されている。
【０００６】
また、例えば、特許文献５には、ボリュームの改竄を確実に検出することができるファイル管理装置、ファイル管理方法、ファイル管理プログラム及びファイル管理プログラムを記録したコンピュータ読み取り可能な記録媒体を提供することを課題とし、ＨＤＤは、ファイルを記憶すると共に、そのファイルを含むボリュームを管理するためのボリューム管理データを記憶し、著作権データ作成部は、ファイルの書き込み時に、ボリューム管理データの改竄を検出するためのボリューム著作権データを作成し、ＨＤＤとは物理的に異なる位置に配置されたフラッシュＲＡＭは、ボリューム著作権データを記憶し、著作権データ比較部は、ボリュームのマウント時に、ボリューム管理データとボリューム著作権データとを比較し、改竄がないと判断された場合、制御部はボリュームをマウントすることが開示されている。
【先行技術文献】
【特許文献】
【０００７】
【特許文献１】特開２００２−０４９８７６号公報
【特許文献２】特開２００２−２９７４４７号公報
【特許文献３】米国特許第７１６２６２８号明細書
【特許文献４】特開２００７−２５７３４８号公報
【特許文献５】特表２００５−１１１８０９号公報
【発明の開示】
【発明が解決しようとする課題】
【０００８】
ところで、前述の背景技術では、情報処理装置にプログラムを実行させた場合に、その情報処理装置で処理対象となった電子情報が残存していないことを保障することができなかった。
本発明は、かかる課題を解決するようにした情報処理システム、情報処理装置及び情報処理プログラムを提供することを目的としている。
【課題を解決するための手段】
【０００９】
かかる目的を達成するための本発明の要旨とするところは、次の各項の発明に存する。
請求項１の発明は、利用者からのプログラム実行の指示を受け取り、そのプログラム実行で利用する記憶装置における第１の証明用情報を算出する第１の算出手段と、前記第１の算出手段によって算出された第１の証明用情報を保障装置に送信する第１の証明用情報送信手段と、前記プログラムの実行に必要な電子情報を外部から受け取って前記プログラムを実行し、該プログラムの実行が終了した後に、前記記憶装置から電子情報を消去するプログラム実行手段と、前記プログラム実行手段によるプログラムの実行が終了した後に、前記記憶装置における第２の証明用情報を算出する第２の算出手段と、前記第２の算出手段によって算出された第２の証明用情報を前記保障装置に送信する第２の証明用情報送信手段を有している情報処理装置と、前記情報処理装置と通信回線を介して接続されており、前記情報処理装置から送信されてきた第１の証明用情報を記憶する記憶手段と、前記情報処理装置から送信されてきた第２の証明用情報と前記記憶手段に記憶されている第１の証明用情報を比較する比較手段と、前記比較手段による比較結果を前記利用者に送信する送信手段を有している前記保障装置を具備することを特徴とする情報処理システムである。
【００１０】
請求項２の発明は、利用者からのプログラム実行の指示を受け取り、そのプログラム実行で利用する記憶装置における第１の証明用情報を算出する第１の算出手段と、前記第１の算出手段によって算出された第１の証明用情報を他の情報処理装置に送信する第１の証明用情報送信手段と、前記プログラムの実行に必要な電子情報を外部から受け取って前記プログラムを実行し、該プログラムの実行が終了した後に、前記記憶装置から電子情報を消去するプログラム実行手段と、前記プログラム実行手段によるプログラムの実行が終了した後に、前記記憶装置における第２の証明用情報を算出する第２の算出手段と、前記第２の算出手段によって算出された第２の証明用情報を前記他の情報処理装置に送信する第２の証明用情報送信手段を具備することを特徴とする情報処理装置である。
【００１１】
請求項３の発明は、前記記憶装置は、仮想的な記憶装置であり、前記利用者からのプログラム実行の指示を受け取ったときに生成することを特徴とする請求項２に記載の情報処理装置である。
【００１２】
請求項４の発明は、前記プログラム実行手段は複数あり、前記プログラムは、該複数のプログラム実行手段によって実行され、前記記憶装置は、次の実行を行うプログラム実行手段に引き渡す、又は前記複数のプログラム実行手段から共有して利用されることを特徴とする請求項２又は３に記載の情報処理装置である。
【００１３】
請求項５の発明は、前記電子情報には、前記プログラム実行手段毎に操作を行うことができる権利が付与されており、該権利があるプログラム実行手段のみが前記電子情報を操作できるようにすることを特徴とする請求項２から４のいずれか１項に記載の情報処理装置である。
【００１４】
請求項６の発明は、コンピュータを、利用者からのプログラム実行の指示を受け取り、そのプログラム実行で利用する記憶装置における第１の証明用情報を算出する第１の算出手段と、前記第１の算出手段によって算出された第１の証明用情報を他の情報処理装置に送信する第１の証明用情報送信手段と、前記プログラムの実行に必要な電子情報を外部から受け取って前記プログラムを実行し、該プログラムの実行が終了した後に、前記記憶装置から電子情報を消去するプログラム実行手段と、前記プログラム実行手段によるプログラムの実行が終了した後に、前記記憶装置における第２の証明用情報を算出する第２の算出手段と、前記第２の算出手段によって算出された第２の証明用情報を前記他の情報処理装置に送信する第２の証明用情報送信手段として機能させることを特徴とする情報処理プログラムである。
【発明の効果】
【００１５】
請求項１の情報処理システムによれば、情報処理装置にプログラムを実行させた場合に、その情報処理装置で処理対象となった電子情報が残存していないことを保障することができる。
【００１６】
請求項２の情報処理装置によれば、情報処理装置にプログラムを実行させた場合に、その情報処理装置で処理対象となった電子情報を残存させないようにすることができる。
【００１７】
請求項３の情報処理装置によれば、仮想的な記憶装置であっても、情報処理装置で処理対象となった電子情報を残存させないようにすることができる。
【００１８】
請求項４の情報処理装置によれば、複数のプログラム実行手段によってプログラムを実行させた場合でも、その情報処理装置で処理対象となった電子情報が残存していないことを保障することができる。
【００１９】
請求項５の情報処理装置によれば、対象外のプログラム実行手段は電子情報の操作ができないようにすることができる。
【００２０】
請求項６の情報処理プログラムによれば、情報処理装置にプログラムを実行させた場合に、その情報処理装置で処理対象となった電子情報を残存させないようにすることができる。
【図面の簡単な説明】
【００２１】
【図１】本実施の形態の構成例についての概念的なモジュール構成図である。
【図２】本実施の形態を実現するための具体的なシステム構成例を示す説明図である。
【図３】本実施の形態によるサービス処理例を示す説明図である。
【図４】本実施の形態による保障処理例を示す説明図である。
【図５】本実施の形態における仮想ディスクの構成例を示す説明図である。
【図６】本実施の形態による処理例を示す説明図である。
【図７】本実施の形態を実現するコンピュータのハードウェア構成例を示すブロック図である。
【発明を実施するための形態】
【００２２】
以下、図面に基づき本発明を実現するにあたっての好適な一実施の形態の例を説明する。
図１は、本実施の形態の構成例についての概念的なモジュール構成図を示している。
なお、モジュールとは、一般的に論理的に分離可能なソフトウェア（コンピュータ・プログラム）、ハードウェア等の部品を指す。したがって、本実施の形態におけるモジュールはコンピュータ・プログラムにおけるモジュールのことだけでなく、ハードウェア構成におけるモジュールも指す。それゆえ、本実施の形態は、コンピュータ・プログラム、システム及び方法の説明をも兼ねている。ただし、説明の都合上、「記憶する」、「記憶させる」、これらと同等の文言を用いるが、これらの文言は、実施の形態がコンピュータ・プログラムの場合は、記憶装置に記憶させる、又は記憶装置に記憶させるように制御するの意である。また、モジュールは機能にほぼ一対一に対応しているが、実装においては、１モジュールを１プログラムで構成してもよいし、複数モジュールを１プログラムで構成してもよく、逆に１モジュールを複数プログラムで構成してもよい。また、複数モジュールは１コンピュータによって実行されてもよいし、分散又は並列環境におけるコンピュータによって１モジュールが複数コンピュータで実行されてもよい。なお、１つのモジュールに他のモジュールが含まれていてもよい。また、以下、「接続」とは物理的な接続の他、論理的な接続（データの授受、指示、データ間の参照関係等）の場合にも用いる。
また、システム又は装置とは、複数のコンピュータ、ハードウェア、装置等がネットワーク（一対一対応の通信接続を含む）等の通信手段で接続されて構成されるほか、１つのコンピュータ、ハードウェア、装置等によって実現される場合も含まれる。例えば、その形態として、１つ又は複数のハードウェアリソースによって構成された仮想的なサーバ等がある。なお、仮想的なとは、必ずしもハードウェアリソース自体と提供する機能が一対一に対応しない場合もあることをいい、利用者側からはあたかも実在しているハードウェアリソースのようにみえる。「装置」と「システム」とは、互いに同義の用語として用いる。
【００２３】
以下、処理対象となる電子情報（データ）として、文書を主に例示して説明する。なお、文書とは、テキストデータ、場合によっては画像、動画、音声等の電子データ、又はこれらの組み合わせであり、記憶、編集及び検索等の処理対象となり、システム又は利用者間で個別の単位として交換できるものをいい、これらに類似するものを含む。
また、証明用情報（フィンガープリント）として、ハッシュ値を主に例示して説明する。ハッシュ値は、ハッシュ関数によって算出される。ハッシュ関数は、一方向関数の１つで、元のデータから固有の一定の範囲の値を生成する関数、又はそのアルゴリズムであり、ＭＤ５、ＳＨＡ１等がある。
【００２４】
本実施の形態である情報処理システムは、図１に示すように、クライアント装置１１０、サービスサーバ１３０、保障サーバ１５０を有しており、通信回線１９９を介してそれぞれ接続されている。通信回線１９９は有線であってもよいし、無線であってもよい。
クライアント装置１１０は、文書に対するプログラム実行をサービスサーバ１３０に依頼する。プログラム（コンピュータ・プログラム）の処理内容としては、例えば、日本語のテキストデータである文書を翻訳すること、画像である文書から文字認識処理すること等がある。サービスサーバ１３０は、その依頼に従って、処理対象となる文書をサービスサーバ１３０以外の外部（例えば、クライアント装置１１０）から受け取って、その文書に対してプログラムを実行する。プログラムを実行する前（記憶装置には何も記憶されていない状態）に、そのプログラム処理で利用する記憶装置におけるハッシュ値を算出して、そのハッシュ値を保障サーバ１５０に送信する。また、プログラム処理が終了した後に、その記憶装置内の文書等を消去して、そのときの記憶装置におけるハッシュ値を算出して、そのハッシュ値を保障サーバ１５０に送信する。保障サーバ１５０は、２つのハッシュ値を受け取って、そのハッシュ値を比較して同じであれば、処理対象の文書等が消去されていることを保障する証明書を作成して利用者へ送信する。
【００２５】
クライアント装置１１０は、制御モジュール１１１、操作モジュール１１２、通信モジュール１１３を有している。
制御モジュール１１１は、操作モジュール１１２、通信モジュール１１３を制御して、文書に対するプログラム実行の指示、そのプログラム実行の対象となる文書の指示等をサービスサーバ１３０に対して送信し、その実行結果を受け取り、さらに、サービスサーバ１３０内には処理対象の文書、実行結果、その処理の中間結果等が残っていないことを保障する証明書を受け取って提示する。
【００２６】
操作モジュール１１２は、クライアント装置１１０のユーザインタフェースを制御して、利用者の操作に応じて、プログラム実行の指示、そのプログラム実行の対象となる文書の指示等を受け取り、出力装置にプログラム実行結果、保障サーバ１５０から受け取った証明書の提示等を行う。例えば、クライアント装置１１０がＰＣである場合はキーボード、マウスに対する操作を受け取り、ディスプレイに表示させ、クライアント装置１１０が携帯電話である場合はキーに対する操作を受け取り、ディスプレイに表示させ、クライアント装置１１０が複合機（スキャナ、プリンタ、複写機、ファックス等のいずれか２つ以上の機能を有している画像処理装置）である場合はキーに対する操作、スキャナによる画像の読み取り結果等を受け取り、パネルへの表示、プリンタによる印刷等を行う。
【００２７】
通信モジュール１１３は、通信回線１９９を介してサービスサーバ１３０、保障サーバ１５０と通信を行い、主に、サービスサーバ１３０に対してプログラム実行の指示、そのプログラム実行の対象となる文書の指示等を送信し、サービスサーバ１３０からプログラム実行結果等を受信し、保障サーバ１５０から証明書等を受信する。
【００２８】
サービスサーバ１３０は、制御モジュール１３１、仮想ディスク１３２、開始時ハッシュ値算出モジュール１３３、サービスプログラム実行モジュール１３４、終了時ハッシュ値算出モジュール１３５、通信モジュール１３６を有している。
制御モジュール１３１は、仮想ディスク１３２、開始時ハッシュ値算出モジュール１３３、サービスプログラム実行モジュール１３４、終了時ハッシュ値算出モジュール１３５、通信モジュール１３６を制御して、クライアント装置１１０からプログラムの実行指示、そのプログラム実行に必要な文書を受け取って、その文書に対してプログラムを実行する。また、仮想ディスク１３２を、利用者からのプログラム実行の指示を受け取ったときに生成する。そして、プログラム実行の前後における仮想ディスク１３２のハッシュ値を算出して保障サーバ１５０に渡す。
【００２９】
仮想ディスク１３２は、サービスプログラム実行モジュール１３４がプログラムを実行するにあたって利用する記憶装置であり、実体としては、ハードディスク、半導体メモリ等であってもよい。これは、開始時ハッシュ値算出モジュール１３３がプログラムを実行する前に、制御モジュール１３１によって生成される。より具体的な例として、Ｊａｖａ（登録商標）仮想マシン（ｖｉｒｔｕａｌ  ｍａｃｈｉｎｅ）におけるサンドボックス（ｓａｎｄｂｏｘ）が該当する。
【００３０】
開始時ハッシュ値算出モジュール１３３は、利用者からのプログラム実行の指示を受け取り、そのプログラム実行で利用する仮想ディスク１３２における第１のハッシュ値を算出する。そして、通信モジュール１３６によって、その算出された第１のハッシュ値を保障サーバ１５０に送信する。
ここで、仮想ディスク１３２におけるハッシュ値とは、サービスプログラム実行モジュール１３４がプログラムの実行にあたって利用する仮想ディスク１３２の領域内の内容をキーとしてハッシュ関数によって算出される情報であり、その仮想ディスク１３２にサービスプログラム実行モジュール１３４が処理対象とした文書等（処理結果のデータ、処理途中で発生するデータ等を含む）が処理後は記憶されていないこと、つまり処理後に消去されていることを証明するための情報であり、プログラムの実行前と実行後に算出し、その両者の値を比較して同じであれば、処理対象の文書等が消去されたことを証明するものである。この２つのハッシュ値が同じであるならば、仮想ディスク１３２の実行前の状態と実行後の状態は同じであることを証明していることになる。
【００３１】
サービスプログラム実行モジュール１３４は、プログラムの実行に必要な文書を外部から受け取って仮想ディスク１３２に記憶させ、その文書に対してプログラムを実行する。また、サービスプログラム実行モジュール１３４は、仮想ディスク１３２以外の記憶装置を利用できない。したがって、処理途中で発生するデータ、処理結果のデータ等も仮想ディスク１３２に記憶させる。そして、プログラム実行が終了した後に、仮想ディスク１３２から文書等を消去する。
【００３２】
また、サービスプログラム実行モジュール１３４は複数あってもよい。そして、プログラムは、その複数のサービスプログラム実行モジュール１３４によって実行される。
複数のプログラムを複数のサービスプログラム実行モジュール１３４がそれぞれ実行するようにしてもよいし、１つのプログラムを複数のサービスプログラム実行モジュール１３４が実行するようにしてもよい。なお、プログラムは、１つのプログラムから構成されていてもよいし、複数のプログラムによって構成されていてもよい。
この場合、仮想ディスク１３２は、次の実行を行うサービスプログラム実行モジュール１３４に引き渡す、又は複数のサービスプログラム実行モジュール１３４から共有して利用される。ここで、次の実行を行うサービスプログラム実行モジュール１３４とは、例えば、サービスプログラム実行モジュール１３４Ａとサービスプログラム実行モジュール１３４Ｂがあり、この順序で実行される場合に、サービスプログラム実行モジュール１３４Ａが仮想ディスク１３２を利用して実行し、その実行が終了したときに、サービスプログラム実行モジュール１３４Ｂがその仮想ディスク１３２を利用できるようにすることである。また、共有して利用されるとは、複数のサービスプログラム実行モジュール１３４から同時的に利用されることを含む。
【００３３】
終了時ハッシュ値算出モジュール１３５は、サービスプログラム実行モジュール１３４によるプログラムの実行が終了した後に、仮想ディスク１３２における第２のハッシュ値を算出する。そして、通信モジュール１３６によって、その算出された第２のハッシュ値を保障サーバ１５０に送信する。
【００３４】
通信モジュール１３６は、通信回線１９９を介してクライアント装置１１０、保障サーバ１５０と通信を行い、主に、クライアント装置１１０からプログラム実行の指示、そのプログラム実行の対象となる文書の指示等を受信し、実行結果をクライアント装置１１０に送信し、プログラム実行前後の記憶装置におけるハッシュ値を保障サーバ１５０に送信する。
【００３５】
保障サーバ１５０は、制御モジュール１５１、ハッシュ値保存モジュール１５２、ハッシュ値比較モジュール１５３、証明書作成モジュール１５４、通信モジュール１５５を有している。
制御モジュール１５１は、ハッシュ値保存モジュール１５２、ハッシュ値比較モジュール１５３、証明書作成モジュール１５４、通信モジュール１５５を制御して、サービスサーバ１３０から２つのハッシュ値を受け取って、そのハッシュ値を比較し、同じであればサービスサーバ１３０から文書等が消去されていることを示す証明書を作成して、利用者に送信する。ここで、利用者に送信するとは、利用者が利用しているクライアント装置１１０に送信すること、利用者のメールアドレスに送信すること等が含まれる。
【００３６】
ハッシュ値保存モジュール１５２は、通信モジュール１５５が受信した第１のハッシュ値を保存する。
ハッシュ値比較モジュール１５３は、通信モジュール１５５が受信した第２のハッシュ値とハッシュ値保存モジュール１５２に保存されている第１のハッシュ値を比較する。
証明書作成モジュール１５４は、ハッシュ値比較モジュール１５３による比較結果に基づいて証明書を作成する。そして、通信モジュール１５５によって、その作成した証明者を利用者に送信する。第１のハッシュ値と第２のハッシュ値が同じであるならば、サービスサーバ１３０には文書等が記憶されていないことを保障する証明書を作成する。また、同じでないならば、サービスサーバ１３０には文書等が消去されていない可能性があることを示す証明書を作成してもよい。
【００３７】
通信モジュール１５５は、通信回線１９９を介してクライアント装置１１０、サービスサーバ１３０と通信を行い、主に、サービスサーバ１３０からプログラム実行前後の仮想ディスク１３２におけるハッシュ値を受信し、証明書をクライアント装置１１０に送信する。
【００３８】
近年、ＳａａＳ（Ｓｏｆｔｗａｒｅ  ａｓ  ａ  Ｓｅｒｖｉｃｅ）等に代表されるように、インターネットを経由して各種サービスを利用者に提供するクラウドコンピューティング（ｃｌｏｕｄ  ｃｏｍｐｕｔｉｎｇ）が普及しつつある。
これらインターネット上に提供されるサービスの多くは、サービス側で利用者のデータ（文書ファイル、データベース等）を対象にした計算処理を行うため、サービスの利用に際して、処理対象とするコンテンツをサービス側に送信して処理しなければならない。
本実施の形態は、このような形態での利用に好適である。つまり、セキュリティ保護の観点から、サービス終了後には、サービス提供側に利用者の文書のコピーを残さないようにし、これを証明書にて保障するものである。
【００３９】
図２は、本実施の形態を実現するための具体的なシステム構成例を示す説明図である。
サービス提供側は、クラウド環境（複数のコンピュータ（図２ではコンピュータ２４５Ａ、２４５Ｂ、２４５Ｃ）で、これらのハードウェアリソースを提供するための仮想化プラットフォーム２４０によって実現されている）において、マスターサーバ２２０がサービス提供（プログラム実行）のために、サービスサーバ２３０Ａ、２３０Ｂ、２３０Ｃ等を立ち上げる。このサービスサーバ２３０が、図１の例に示したサービスサーバ１３０の一例に該当する。また、図２の例に示したクライアント装置２１０、保障サーバ２５０は、それぞれ図１の例に示したクライアント装置１１０、保障サーバ１５０の一例に該当する。
【００４０】
図２に示したシステム構成例を用いて、処理例を示す。
ステップＳ２６１では、クライアント装置２１０が、利用者の操作に応じて、Ｗｅｂブラウザ２１１を通じて、マスターサーバ２２０に対してサービスを呼び出す（プログラム実行の指示）。
ステップＳ２６２では、マスターサーバ２２０が、そのサービスを提供するためのサービスサーバ２３０Ａを新たに立ち上げる。
ステップＳ２６３では、サービスサーバ２３０Ａが、仮想ディスク領域２３２を形成して、クライアント装置２１０との間で通信ができるように接続する。
【００４１】
ステップＳ２６４では、サービスサーバ２３０Ａが、サービスプログラム２３１の実行前に、そのサービスプログラム２３１が利用する仮想ディスク領域２３２のフィンガープリント、具体例としてハッシュ値（ｈａｓｈ（Ｄ）、Ｄは仮想ディスク領域２３２内のデータの値）を算出して、保障サーバ２５０へ送信する。そして、保障サーバ２５０は、そのフィンガープリントを登録する。
ステップＳ２６５では、サービスサーバ２３０Ａが、クライアント装置２１０から処理対象の文書２１２を受け取り、仮想ディスク領域２３２に記憶して、サービスプログラム２３１を実行する。その処理が終了したら、仮想ディスク領域２３２から文書２１２等を消去する。
【００４２】
ステップＳ２６６では、サービスサーバ２３０Ａが、ステップＳ２６５の終了時の仮想ディスク領域２３２のフィンガープリント、具体例としてハッシュ値（ｈａｓｈ（Ｄ）、Ｄはそのときの仮想ディスク領域２３２内のデータの値）を算出して、保障サーバ２５０へ送信する。そして、保障サーバ２５０は、そのフィンガープリントを登録する。
ステップＳ２６７では、ステップＳ２６４で送信されてきたフィンガープリントとステップＳ２６６で送信されてきたフィンガープリントを比較し、変化していないか（相違していないか）を確認し、仮想ディスク領域２３２（実際には仮想ディスク領域２３２を構成しているコンピュータ２４５Ａ等が有しているローカルＨＤＤ（Ｈａｒｄ  Ｄｉｓｃ  Ｄｒｉｖｅ））への記録が無いことを保障する証明書を作成し、クライアント装置２１０へ送信する。
【００４３】
図３は、本実施の形態によるサービス処理例を示す説明図である。種々のクライアント装置１１０からサービスサーバ１３０を利用する場合の処理例を示すものである。ここでは、図１の例に示したクライアント装置１１０として、携帯電話３１１Ａ、３１１Ｂ、ＰＣ３１２、複合機３１３Ａ、３１３Ｂを例示している。また、ここでは、図１の例に示したサービスサーバ１３０の一例として、クラウド環境３２０、ＳａａＳ３３０を用いて説明する。なお、図３は、サービス処理例を中心にした説明図であり、保障サーバ１５０の処理については後述するので省略する。
ここでは、あらゆるクライアント装置で作成等された文書をクラウド環境３２０に登録し、その登録された文書を、携帯電話３１１Ａが読み出す処理例、携帯電話３１１Ｂが印刷する処理例を説明する。
【００４４】
ステップＳ３６１では、ＰＣ３１２が、ＰＣ３１２で作成された、又はＰＣ３１２が送受信した文書３４１Ａを検出して、クラウド環境３２０に登録する。
ステップＳ３６２では、複合機３１３Ａが、スキャナで読み込んだ文書３４１Ｂをクラウド環境３２０に登録する。
【００４５】
ステップＳ３６３では、携帯電話３１１Ａが、利用者の操作に応じて、クラウド環境３２０を介してＳａａＳ３３０を呼び出す。つまり、サービス処理の依頼をする。
ステップＳ３６４では、クラウド環境３２０が、ＳａａＳ３３０を呼び出す。
【００４６】
ステップＳ３６５では、携帯電話３１１Ａが、利用者の操作に応じて、クラウド環境３２０に登録されている文書３４１（ステップＳ３６１での文書３４１Ａ、ステップＳ３６２での文書３４１Ｂであってもよい）をサービス処理の対象として指定する。つまり、その文書３４１を一意に識別する文書ＩＤ３４２を指定する。
ステップＳ３６６では、ＳａａＳ３３０が、文書ＩＤ３４２で指定された文書３４１を仮想ディスク３３２内に取り込み、サービスプログラム３３１による処理を行い、結果文書３４３を生成し、仮想ディスク３３２内に記憶させる。
【００４７】
ステップＳ３６７では、クラウド環境３２０が、ＳａａＳ３３０による処理結果である結果文書３４３を保存する。
ステップＳ３６８では、クラウド環境３２０が、その処理結果である結果文書３４３を一意に識別する結果文書ＩＤ３４４を携帯電話３１１Ｂに通知する。
【００４８】
ステップＳ３６９では、携帯電話３１１Ｂが、利用者の操作に応じて、結果文書ＩＤ３４４を受け取って、結果文書３４３の印刷指示を複合機３１３Ｂに対して行う。
ステップＳ３７０では、複合機３１３Ｂが、結果文書ＩＤ３４４をクラウド環境３２０へ送信して、結果文書３４３の取得を依頼する。
ステップＳ３７１では、複合機３１３Ｂが、クラウド環境３２０から結果文書３４３を取得する。
ステップＳ３７２では、複合機３１３Ｂが、結果文書３４３を印刷する。
【００４９】
図４は、本実施の形態による保障処理例を示す説明図である。ここでは、図１の例に示したクライアント装置１１０としてクライアント装置４１０を、サービスサーバ１３０としてサービスサーバ４３０を、保障サーバ１５０として保障サーバ４５０をそれぞれ例示している。
【００５０】
ステップＳ４６１では、クライアント装置４１０とサービスサーバ４３０が、互いに秘密通信ができるようにＳＳＬ／ＶＰＮ（Ｓｅｃｕｒｅ  Ｓｏｃｋｅｔ  Ｌａｙｅｒ／Ｖｉｒｔｕａｌ  Ｐｒｉｖａｔｅ  Ｎｅｔｗｏｒｋ）での通信を確立する。また、クライアント装置４１０が、セッション鍵４２３を生成して、サービスサーバ４３０に送信してもよい。セッション鍵４２３は、仮想ディスクが確かに、そのサービスの実行のために利用されたディスク領域であることを保障するためのものであり、サービスサーバ４３０がクライアント装置４１０から受け取って仮想ディスク４３２に書き込む。
ステップＳ４６２では、サービスサーバ４３０が、サービスプログラム４３１の実行に先立って仮想ディスク４３２のフィンガープリント（ハッシュ値  Ｈｓ＝ｈａｓｈ（Ｄ））を生成する。そして、そのハッシュ値（Ｈｓ）を保障サーバ４５０に送信し、保障サーバ４５０は、記憶装置４５１にハッシュ値を記憶する。
【００５１】
ステップＳ４６３では、クライアント装置４１０が、利用者の操作に応じて、記憶装置４１２に記憶されている文書４２１を対象としたサービスの依頼をＷｅｂブラウザ４１１を通じてサービスサーバ４３０に対して行う。サービスサーバ４３０は、文書４２１を仮想ディスク４３２に記憶する。
ステップＳ４６４では、サービスプログラム４３１が、仮想ディスク４３２内の文書４２１を対象としてサービス処理を行う。終了後は、仮想ディスク４３２から文書４２１等を消去する。
【００５２】
ステップＳ４６５では、サービスサーバ４３０が、終了時の仮想ディスク４３２のフィンガープリント（ハッシュ値  Ｈｅ＝ｈａｓｈ（Ｄ））を生成する。そして、そのハッシュ値（Ｈｅ）を保障サーバ４５０に送信する。
ステップＳ４６６では、保障サーバ４５０が、記憶装置４５１に記憶されているハッシュ値（Ｈｓ）とステップＳ４６５で送信されてきたハッシュ値（Ｈｅ）とを比較する。
ステップＳ４６７では、保障サーバ４５０が、ステップＳ４６６での比較結果が同じであれば、サービスサーバ４３０には文書４２１等が保存されていないことを保障する証明書を作成し、クライアント装置４１０に送信する。
【００５３】
図５は、本実施の形態における仮想ディスクの構成例を示す説明図である。図１の例に示したサービスサーバ１３０のメモリ領域５１０を示す。そして、図１の例に示した仮想ディスク１３２として仮想ディスク５１２を、サービスプログラム実行モジュール１３４としてサービスプログラム５１３をそれぞれ例示している。つまり、サービスサーバ１３０のメモリ領域５１０内には、Ｊａｖａ  ＶＭ５１１、サービスプログラム５１３が記憶されている。Ｊａｖａ  ＶＭ５１１は、Ｊａｖａプログラムの実行に必要な仮想マシンであり、その中に仮想ディスク５１２（サンドボックス）がある。
【００５４】
そして、仮想ディスク５１２は、実体として存在する記憶装置５２０に対応付けられて機能している。
記憶装置５２０内にあるサービスプログラム５２１をメモリ領域５１０にダウンロードし、サービスプログラム５１３を実行させ、記憶装置５２０内にある文書５２２、外部にある文書５２３を仮想ディスク５１２に取り込み、実行しているときは、仮想ディスク５１２内の文書５２２、文書５２３に対して読み書き（ｒｅａｄ、ｗｒｉｔｅ）を行う。そして、実行終了したら、メモリ領域５１０内から仮想ディスク５１２を削除（解放）する。
【００５５】
図６は、本実施の形態による処理例を示す説明図である。これは、図２の例に示したクライアント装置２１０、マスターサーバ２２０、サービスサーバ２３０、保障サーバ２５０間での処理例を示すものである。主に、サービスの呼び出し（ステップＳ６０１からステップＳ６１１）、サービスの実行（ステップＳ６１２からステップＳ６１３）、サービスの終了の処理（ステップＳ６１４からステップＳ６２０）に分かれる。
【００５６】
ステップＳ６０１では、クライアント装置２１０がマスターサーバ２２０を介して、Ｗｅｂブラウザ等への利用者の操作に応じて、サービスにログインする。
ステップＳ６０２では、マスターサーバ２２０が、クライアント装置２１０の利用者（ログインユーザ）を認証する。例えば、ユーザＩＤとパスワードの組み合わせを受け付けて、サービスを提供できるユーザとして登録されているか否かを判断する。なお、認証として生体認証等を行ってもよい。
【００５７】
ステップＳ６０３では、クライアント装置２１０が、ログイン後、セッション鍵を生成してマスターサーバ２２０に送付する。
ステップＳ６０４では、マスターサーバ２２０が、サービスサーバ２３０のインスタンスのブート（サービスサーバ２３０の立ち上げ）を指示する。
【００５８】
ステップＳ６０５では、サービスサーバ２３０のインスタンスがブートされる（立ち上がる）。
ステップＳ６０６では、サービスサーバ２３０がマスターサーバ２２０に対して、ブートが完了したことを通知する。
ステップＳ６０７では、マスターサーバ２２０が、ステップＳ６０３で受信したセッション鍵をサービスサーバ２３０に送付する。
【００５９】
ステップＳ６０８では、サービスサーバ２３０が、仮想ディスクを生成して、セッション鍵を書き込む。
ステップＳ６０９では、サービスサーバ２３０とクライアント装置２１０の間で、ＳＳＬ／ＶＰＮ接続する。仮想ディスクの生成にともなって他のポートを塞ぐ。
【００６０】
ステップＳ６１０では、サービスサーバ２３０のインスタンスのディスク全体のイメージ（仮想ディスク内のデータであり、実体としてのＨＤＤに確保されている領域に記憶されているデータ）をキーとするフィンガープリント（ハッシュ値）を生成して、そのフィンガープリントをセッション鍵と対応させて保障サーバ２５０に送信する。
ステップＳ６１１では、保障サーバ２５０が、セッション鍵に対応付けてフィンガープリントを保存する。
【００６１】
ステップＳ６１２では、クライアント装置２１０が、利用者の操作に応じて、文書をサービスサーバ２３０にアップロードしてサービスを実行させる。文書は、サービスサーバ２３０内の仮想ディスクに記憶される。
ステップＳ６１３では、サービスサーバ２３０が、サービスプログラムを実行する。なお、サービスプログラムの実行にともなって発生するディスクへの書き込みは仮想ディスク内に対してのみ行われ、サービスサーバ２３０のローカルＨＤＤへの書き込みは行われない。例えば、ローカルＨＤＤへの書き込みをトラップして、ローカルＨＤＤへの書き込みは行わせずに、仮想ディスクへの書き込みを行うようにしてもよい。
なお、サービスサーバ２３０とクライアント装置２１０との間はＳＳＬ／ＶＰＮで接続されているので、仮想ディスク上で実行されるサービスプログラムによる通信は、クライアント装置２１０との間での通信に限定される。
【００６２】
ステップＳ６１４では、サービスプログラムの実行終了後、クライアント装置２１０が、利用者の操作に応じて、ログアウトの指示を行う。
ステップＳ６１５では、サービスサーバ２３０が、ログアウト処理するときに、仮想ディスク領域に含まれている文書等が利用者側のクライアント装置２１０（例えば、Ｗｅｂでの親展ボックス領域）上に全て書き戻される（クライアント装置２１０へ複写して、仮想ディスクから消去する）。
【００６３】
ステップＳ６１６では、サービスサーバ２３０が、サービスサーバ２３０のインスタンスのディスク全体のイメージをキーとするフィンガープリント（ハッシュ値）を生成して、そのフィンガープリントをセッション鍵と対応させて保障サーバ２５０に送信する。
ステップＳ６１７では、保障サーバ２５０が、セッション鍵に対応付けてフィンガープリントを保存する。
【００６４】
ステップＳ６１８では、サービスサーバ２３０が、計算機資源を解放する。具体的な例として、仮想ディスク領域をメモリから消去する。
ステップＳ６１９では、保障サーバ２５０が、サービスサーバ２３０から計算機資源の解放の通知を受け、ステップＳ６１１で受信したフィンガープリントとステップＳ６１７で受信したフィンガープリントとを比較して、両者の値が同じであるならば、ローカルＨＤＤに保存されている文書等はないことを保障する証明書を作成して、クライアント装置２１０へ送付する。
ステップＳ６２０では、クライアント装置２１０が、証明書を受信して、そのサービスプログラムの実行が問題なく終了したこと（サービス処理側のローカルＨＤＤには文書等は残されていないこと）を表示する。
【００６５】
なお、本実施の形態としてのプログラムが実行されるコンピュータのハードウェア構成は、図７に例示するように、一般的なコンピュータであり、具体的には、クライアント装置１１０としてパーソナルコンピュータ、携帯電話、複合機等のコンピュータ組み込み装置、サービスサーバ１３０、保障サーバ１５０としてサーバとなり得るコンピュータ等である。つまり、具体例として、処理部（演算部）としてＣＰＵ７０１を用い、記憶装置としてＲＡＭ７０２、ＲＯＭ７０３、ＨＤ７０４を用いている。ＨＤ７０４として、例えばハードディスクを用いてもよい。制御モジュール１１１、制御モジュール１３１、開始時ハッシュ値算出モジュール１３３、サービスプログラム実行モジュール１３４、終了時ハッシュ値算出モジュール１３５、制御モジュール１５１、ハッシュ値比較モジュール１５３、証明書作成モジュール１５４等のプログラムを実行するＣＰＵ７０１と、そのプログラムやデータを記憶するＲＡＭ７０２と、本コンピュータを起動するためのプログラム等が格納されているＲＯＭ７０３と、補助記憶装置であるＨＤ７０４と、キーボード、マウス等のデータを入力する入力装置７０６と、ＣＲＴや液晶ディスプレイ等の出力装置７０５と、ネットワークインタフェースカード等の通信ネットワークと接続するための通信回線インタフェース７０７、そして、それらをつないでデータのやりとりをするためのバス７０８により構成されている。これらのコンピュータが複数台互いにネットワークによって接続されていてもよい。
【００６６】
前述の実施の形態のうち、コンピュータ・プログラムによるものについては、本ハードウェア構成のシステムにソフトウェアであるコンピュータ・プログラムを読み込ませ、ソフトウェアとハードウェア資源とが協働して、前述の実施の形態が実現される。
なお、図７に示すハードウェア構成は、１つの構成例を示すものであり、本実施の形態は、図７に示す構成に限らず、本実施の形態において説明したモジュールを実行可能な構成であればよい。例えば、一部のモジュールを専用のハードウェア（例えばＡＳＩＣ等）で構成してもよく、一部のモジュールは外部のシステム内にあり通信回線で接続しているような形態でもよく、さらに図７に示すシステムが複数互いに通信回線によって接続されていて互いに協調動作するようにしてもよい。また、特に、パーソナルコンピュータの他、情報家電、複写機、ファックス、スキャナ、プリンタ、複合機などに組み込まれていてもよい。
【００６７】
なお、前述の実施の形態の具体的な例では、１つのサービスサーバ１３０（サービスプログラム実行モジュール１３４）でプログラムの実行を行う場合を示したが、複数のサービスサーバ１３０（サービスプログラム実行モジュール１３４）によってプログラムの実行を行ってもよい。その場合、複数のサービスサーバ１３０（サービスプログラム実行モジュール１３４）をまたがって実行されるジョブにおいて、当該ジョブに対応付けられた仮想ディスク領域が形成され、各サービスサーバ１３０（サービスプログラム実行モジュール１３４）での処理結果が格納された仮想ディスク領域が、サービスサーバ１３０（サービスプログラム実行モジュール１３４）間で引き渡されるようにする。又は、複数のサービスサーバ１３０（サービスプログラム実行モジュール１３４）間で仮想ディスク領域を共有するようにする。
【００６８】
また、文書等には、サービスサーバ１３０（サービスプログラム実行モジュール１３４）毎にアクセス権が付与されており、そのアクセス権があるサービスサーバ１３０（サービスプログラム実行モジュール１３４）のみがその文書等にアクセスできるようにするようにしてもよい。つまり、仮想ディスク領域に格納された文書等へのアクセス権を、クライアント装置１１０によって呼び出される各サービスサーバ１３０（サービスプログラム実行モジュール１３４）に対して都度与えるようにしてもよい。対象外のサービスサーバ１３０（サービスプログラム実行モジュール１３４）によって仮想ディスク領域がアクセスされたとしても、その文書等にアクセスすることができないようにするためである。特に、複数のサービスサーバ１３０（サービスプログラム実行モジュール１３４）によってプログラムの実行を行う場合に好適である。
【００６９】
なお、説明したプログラムについては、記録媒体に格納して提供してもよく、また、そのプログラムを通信手段によって提供してもよい。その場合、例えば、前記説明したプログラムについて、「プログラムを記録したコンピュータ読み取り可能な記録媒体」の発明として捉えてもよい。
「プログラムを記録したコンピュータ読み取り可能な記録媒体」とは、プログラムのインストール、実行、プログラムの流通などのために用いられる、プログラムが記録されたコンピュータで読み取り可能な記録媒体をいう。
なお、記録媒体としては、例えば、デジタル・バーサタイル・ディスク（ＤＶＤ）であって、ＤＶＤフォーラムで策定された規格である「ＤＶＤ−Ｒ、ＤＶＤ−ＲＷ、ＤＶＤ−ＲＡＭ等」、ＤＶＤ＋ＲＷで策定された規格である「ＤＶＤ＋Ｒ、ＤＶＤ＋ＲＷ等」、コンパクトディスク（ＣＤ）であって、読出し専用メモリ（ＣＤ−ＲＯＭ）、ＣＤレコーダブル（ＣＤ−Ｒ）、ＣＤリライタブル（ＣＤ−ＲＷ）等、ブルーレイ・ディスク（Ｂｌｕ−ｒａｙ  Ｄｉｓｃ（登録商標））、光磁気ディスク（ＭＯ）、フレキシブルディスク（ＦＤ）、磁気テープ、ハードディスク、読出し専用メモリ（ＲＯＭ）、電気的消去及び書換可能な読出し専用メモリ（ＥＥＰＲＯＭ）、フラッシュ・メモリ、ランダム・アクセス・メモリ（ＲＡＭ）等が含まれる。
そして、前記のプログラム又はその一部は、前記記録媒体に記録して保存や流通等させてもよい。また、通信によって、例えば、ローカル・エリア・ネットワーク（ＬＡＮ）、メトロポリタン・エリア・ネットワーク（ＭＡＮ）、ワイド・エリア・ネットワーク（ＷＡＮ）、インターネット、イントラネット、エクストラネット等に用いられる有線ネットワーク、あるいは無線通信ネットワーク、さらにこれらの組み合わせ等の伝送媒体を用いて伝送させてもよく、また、搬送波に乗せて搬送させてもよい。
さらに、前記のプログラムは、他のプログラムの一部分であってもよく、あるいは別個のプログラムと共に記録媒体に記録されていてもよい。また、複数の記録媒体に分割して
記録されていてもよい。また、圧縮や暗号化など、復元可能であればどのような態様で記録されていてもよい。
【符号の説明】
【００７０】
１１０…クライアント装置
１１１…制御モジュール
１１２…操作モジュール
１１３…通信モジュール
１３０…サービスサーバ
１３１…制御モジュール
１３２…仮想ディスク
１３３…開始時ハッシュ値算出モジュール
１３４…サービスプログラム実行モジュール
１３５…終了時ハッシュ値算出モジュール
１３６…通信モジュール
１５０…保障サーバ
１５１…制御モジュール
１５２…ハッシュ値保存モジュール
１５３…ハッシュ値比較モジュール
１５４…証明書作成モジュール
１５５…通信モジュール
１９９…通信回線
２１０…クライアント装置
２１１…Ｗｅｂブラウザ
２１２…文書
２２０…マスターサーバ
２３０…サービスサーバ
２３１…サービスプログラム
２３２…仮想ディスク領域
２４０…仮想化プラットフォーム
２４５…コンピュータ
２５０…保障サーバ
【図１】
2010186359.tif 000003
【図２】
2010186359.tif 000004
【図３】
2010186359.tif 000005
【図４】
2010186359.tif 000006
【図５】
2010186359.tif 000007
【図６】
2010186359.tif 000008
【図７】
2010186359.tif 000009