(57)【特許請求の範囲】
【請求項１】
マスタファイルを記憶してあるサーバと、
該サーバとデータ通信することが可能に接続してあるクライアントと、
前記サーバ及び前記クライアントとデータ通信することが可能に接続してある仲介サーバと
を備え、前記マスタファイルを複写したコピーファイルを用いてファイル更新するシステムで実行することが可能な方法であって、
前記仲介サーバは、
前記サーバに記憶してあるマスタファイルを複写したコピーファイルを受信して記憶し、
秘密鍵情報及び該秘密鍵情報と対応する公開鍵情報を生成し、生成した公開鍵情報及び前記コピーファイルを前記クライアントへ送信し、
前記クライアントは、
前記コピーファイル及び前記公開鍵情報を受信して記憶し、
前記コピーファイルを更新した場合、更新に伴う差分に関する差分情報を前記公開鍵情報で暗号化して前記仲介サーバへ送信し、
前記コピーファイルの更新処理が可能となった時点でセキュリティ上安全であるための条件を具備するか否かを判断し、
前記条件を具備しないと判断した場合、前記コピーファイルを削除する方法。
【請求項２】
前記条件は、前記クライアントを使用している物理的な位置に関する情報である請求項１に記載の方法。
【請求項３】
前記クライアントは、前記仲介サーバから、前記公開鍵情報及び前記コピーファイルを受信した時点から計時を開始し、
前記条件を具備しているか否かを、所定の時点からの経過時間で判断する請求項１に記載の方法。
【請求項４】
前記コピーファイルのチェックイン要求を受け付けた場合、前記クライアントは、前記公開鍵情報及び前記コピーファイルを削除し、
前記仲介サーバは、前記クライアントから前記コピーファイルのチェックイン要求を受け付けた場合、記憶してあるコピーファイルを前記マスタファイルへ複写し、前記公開鍵情報、該公開鍵情報に対応する秘密鍵情報、及び前記コピーファイルを削除する請求項１乃至３のいずれか一項に記載の方法。
【請求項５】
マスタファイルを記憶してあるサーバと、
該サーバとデータ通信することが可能に接続してあるクライアントと、
前記サーバ及び前記クライアントとデータ通信することが可能に接続してある仲介サーバと
を備え、前記マスタファイルを複写したコピーファイルを用いてファイル更新するシステムであって、
前記仲介サーバは、
前記サーバに記憶してあるマスタファイルを複写したコピーファイルを取得して記憶するコピーファイル取得手段と、
秘密鍵情報及び該秘密鍵情報と対応する公開鍵情報を生成し、生成した公開鍵情報及び前記コピーファイルを前記クライアントへ送信する送信手段と
を備え、
前記クライアントは、
前記コピーファイル及び前記公開鍵情報を受信して記憶する受信手段と、
前記コピーファイルを更新した場合、更新に伴う差分に関する差分情報を前記公開鍵情報で暗号化して前記仲介サーバへ送信する差分情報送信手段と、
前記コピーファイルの更新処理が可能となった時点でセキュリティ上安全であるための条件を具備するか否かを判断する条件判断手段と、
前記条件を具備しないと判断した場合、前記コピーファイルを削除するコピーファイル削除手段と
を備えるシステム。
【請求項６】
前記条件は、前記クライアントを使用している物理的な位置に関する情報である請求項５に記載のシステム。
【請求項７】
前記クライアントは、前記仲介サーバから、前記公開鍵情報及び前記コピーファイルを受信した時点から計時を開始する計時手段を備え、
前記条件判断手段は、前記条件を具備しているか否かを、所定の時点からの経過時間で判断する請求項５に記載のシステム。
【請求項８】
前記コピーファイルのチェックイン要求を受け付けた場合、前記クライアントは、前記公開鍵情報及び前記コピーファイルを削除する削除手段を備え、
前記仲介サーバは、前記クライアントから前記コピーファイルのチェックイン要求を受け付けた場合、記憶してあるコピーファイルを前記マスタファイルへ複写し、前記公開鍵情報、該公開鍵情報に対応する秘密鍵情報、及び前記コピーファイルを削除する鍵情報／コピーファイル削除手段を備える請求項５乃至７のいずれか一項に記載のシステム。
【請求項９】
マスタファイルを記憶してあるサーバと、
該サーバとデータ通信することが可能に接続してあるクライアントと、
それぞれデータ通信することが可能に接続してある仲介サーバであって、
前記サーバに記憶してあるマスタファイルを複写したコピーファイルを受信して記憶するコピーファイル取得手段と、
秘密鍵情報及び該秘密鍵情報と対応する公開鍵情報を生成し、生成した公開鍵情報及び前記コピーファイルを前記クライアントへ送信する送信手段と、
前記クライアントから、前記コピーファイルのチェックイン要求を受け付けた場合、記憶してあるコピーファイルを前記マスタファイルへ複写し、前記公開鍵情報、該公開鍵情報に対応する秘密鍵情報、及び前記コピーファイルを削除する鍵情報／コピーファイル削除手段と
を備える仲介サーバ。
【請求項１０】
マスタファイルを記憶してあるサーバと、
該サーバとデータ通信することが可能に接続してあるクライアントと、
それぞれデータ通信することが可能に接続してある仲介サーバで実行することが可能なコンピュータプログラムあって、
前記仲介サーバを、
前記サーバに記憶してあるマスタファイルを複写したコピーファイルを受信して記憶するコピーファイル取得手段、
秘密鍵情報及び該秘密鍵情報と対応する公開鍵情報を生成し、生成した公開鍵情報と前記コピーファイルとを前記クライアントへ送信する送信手段、及び
前記クライアントから、前記コピーファイルのチェックイン要求を受け付けた場合、記憶してあるコピーファイルを前記マスタファイルへ複写し、前記公開鍵情報、該公開鍵情報に対応する秘密鍵情報、及び記憶してあるコピーファイルを削除する鍵情報／コピーファイル削除手段
として機能させるコンピュータプログラム。
【請求項１１】
マスタファイルを記憶してあるサーバと、
該サーバに記憶してあるマスタファイルを複写したコピーファイルを記憶してある仲介サーバと、
前記サーバ及び仲介サーバとデータ通信することが可能に接続してあるクライアントであって、
前記コピーファイル及び公開鍵情報を受信して記憶する受信手段と、
前記コピーファイルを更新した場合、更新に伴う差分に関する差分情報を前記公開鍵情報で暗号化して前記仲介サーバへ送信する差分情報送信手段と、
前記コピーファイルの更新処理が可能となった時点でセキュリティ上安全であるための条件を具備するか否かを判断する条件判断手段と、
前記条件を具備しないと判断した場合、前記コピーファイルを削除するコピーファイル削除手段と
を備えるクライアント。
【請求項１２】
前記条件は、前記クライアントを使用している物理的な位置に関する情報である請求項１１に記載のクライアント。
【請求項１３】
前記仲介サーバから、前記公開鍵情報及び前記コピーファイルを受信した時点から計時を開始する計時手段を備え、
前記条件判断手段は、前記条件を具備しているか否かを、所定の時点からの経過時間で判断する請求項１１に記載のクライアント。
【請求項１４】
前記コピーファイルのチェックイン要求を受け付けた場合、前記公開鍵情報及び前記コピーファイルを削除する削除手段を備える請求項１１乃至１３のいずれか一項に記載のクライアント。
【請求項１５】
マスタファイルを記憶してあるサーバと、
該サーバに記憶してあるマスタファイルを複写したコピーファイルを記憶してある仲介サーバと、
前記サーバ及び前記仲介サーバとデータ通信することが可能に接続してあるクライアントで実行することが可能なコンピュータプログラムあって、
前記クライアントを、
前記コピーファイル及び公開鍵情報を受信して記憶する受信手段、
前記コピーファイルを更新した場合、更新に伴う差分に関する差分情報を前記公開鍵情報で暗号化して前記仲介サーバへ送信する差分情報送信手段、
前記コピーファイルの更新処理が可能となった時点でセキュリティ上安全であるための条件を具備するか否かを判断する条件判断手段、及び
前記条件を具備しないと判断した場合、前記コピーファイルを削除するコピーファイル削除手段
として機能させるコンピュータプログラム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、ユーザの利便性を損なうことなく、一定のセキュリティレベルを維持しつつ情報を削除する方法、システム、仲介サーバ、クライアント及びコンピュータプログラムに関する。
【背景技術】
【０００２】
機密情報を保護するため、情報を暗号化して用いる方法が普及している。通常は、暗号化キーを使用して情報を暗号化し、あるいは復号する。例えば特許文献１では、文書管理サーバに記憶されている電子文書をクライアント端末にて編集した場合、差分データのみを文書管理サーバへ送信して更新する文書利用管理システムが開示されている。特許文献２では、差分ファイルを暗号化してアクセスサーバへ送信する協働的ファイル更新システムが開示されている。【０００３】
特許文献２では、暗号化キーにより差分ファイルを暗号化することでセキュリティを確保している。一般に、暗号化キーは、ログインパスワードにより保護されることが多い。この場合、パスワードが漏えい、看過等された場合には、いかに強力な暗号化処理を実行した場合であっても暗号化キーを取得することができる。そこで、機密情報をダウンロードする場合、期限又は一定時間ごとのサーバとのデータ通信を条件とし、条件に反した場合には自動的に機密情報を削除する。【０００４】
例えば特許文献３では、クライアント側から削除要求が合った場合、複写したコンテンツのコピーファイルの利用可能期間が終了している場合には、複写したコピーファイルを削除するコンテンツ管理システムが開示されている。
【先行技術文献】
【特許文献】
【０００５】
【特許文献１】特開２００８−００３８４７号公報
【特許文献２】特表２００７−５３１０７１号公報
【特許文献３】特開２００６−２５２３１２号公報
【発明の概要】
【発明が解決しようとする課題】
【０００６】
複写したコピーファイルを削除することで、暗号化キーが読み出された場合であっても機密情報が漏えいするおそれはない。しかし、複写したコピーファイルを削除する条件が緩い場合には、機密情報の紛失、盗難等を検出することができないおそれがあり、条件が厳しい場合には、使用権限を有するユーザであっても、電波の状況、バッテリーの残量等の周囲環境によっては条件を満たすことができず、機密情報が削除されるおそれがあるという問題点もあった。【０００７】
本発明は斯かる事情に鑑みてなされたものであり、一定のセキュリティレベルを維持しつつマスタファイルを複写したコピーファイルを削除する方法、システム、仲介サーバ、クライアント及びコンピュータプログラムを提供することを目的とする。
【課題を解決するための手段】
【０００８】
上記目的を達成するために第１発明に係る方法は、マスタファイルを記憶してあるサーバと、該サーバとデータ通信することが可能に接続してあるクライアントと、前記サーバ及び前記クライアントとデータ通信することが可能に接続してある仲介サーバとを備え、前記マスタファイルを複写したコピーファイルを用いてファイル更新するシステムで実行することが可能な方法であって、前記仲介サーバは、前記サーバに記憶してあるマスタファイルを複写したコピーファイルを受信して記憶し、秘密鍵情報及び該秘密鍵情報と対応する公開鍵情報を生成し、生成した公開鍵情報及び前記コピーファイルを前記クライアントへ送信し、前記クライアントは、前記コピーファイル及び前記公開鍵情報を受信して記憶し、前記コピーファイルを更新した場合、更新に伴う差分に関する差分情報を前記公開鍵情報で暗号化して前記仲介サーバへ送信し、前記コピーファイルの更新処理が可能となった時点でセキュリティ上安全であるための条件を具備するか否かを判断し、前記条件を具備しないと判断した場合、前記コピーファイルを削除する。【０００９】
また、第２発明に係る方法は、第１発明において、前記条件は、前記クライアントを使用している物理的な位置に関する情報である。【００１０】
また、第３発明に係る方法は、第１発明において、前記クライアントは、前記仲介サーバから、前記公開鍵情報及び前記コピーファイルを受信した時点から計時を開始し、前記条件を具備しているか否かを、所定の時点からの経過時間で判断する。【００１１】
また、第４発明に係る方法は、第１乃至第３発明のいずれか１つにおいて、前記コピーファイルのチェックイン要求を受け付けた場合、前記クライアントは、前記公開鍵情報及び前記コピーファイルを削除し、前記仲介サーバは、前記クライアントから前記コピーファイルのチェックイン要求を受け付けた場合、記憶してあるコピーファイルを前記マスタファイルへ複写し、前記公開鍵情報、該公開鍵情報に対応する秘密鍵情報、及び前記コピーファイルを削除する。【００１２】
次に、上記目的を達成するために第５発明に係るシステムは、マスタファイルを記憶してあるサーバと、該サーバとデータ通信することが可能に接続してあるクライアントと、前記サーバ及び前記クライアントとデータ通信することが可能に接続してある仲介サーバとを備え、前記マスタファイルを複写したコピーファイルを用いてファイル更新するシステムであって、前記仲介サーバは、前記サーバに記憶してあるマスタファイルを複写したコピーファイルを取得して記憶するコピーファイル取得手段と、秘密鍵情報及び該秘密鍵情報と対応する公開鍵情報を生成し、生成した公開鍵情報及び前記コピーファイルを前記クライアントへ送信する送信手段とを備え、前記クライアントは、前記コピーファイル及び前記公開鍵情報を受信して記憶する受信手段と、前記コピーファイルを更新した場合、更新に伴う差分に関する差分情報を前記公開鍵情報で暗号化して前記仲介サーバへ送信する差分情報送信手段と、前記コピーファイルの更新処理が可能となった時点でセキュリティ上安全であるための条件を具備するか否かを判断する条件判断手段と、前記条件を具備しないと判断した場合、前記コピーファイルを削除するコピーファイル削除手段とを備える。【００１３】
また、第６発明に係るシステムは、第５発明において、前記条件は、前記クライアントを使用している物理的な位置に関する情報である。【００１４】
また、第７発明に係るシステムは、第５発明において、前記クライアントは、前記仲介サーバから、前記公開鍵情報及び前記コピーファイルを受信した時点から計時を開始する計時手段を備え、前記条件判断手段は、前記条件を具備しているか否かを、所定の時点からの経過時間で判断する。【００１５】
また、第８発明に係るシステムは、第５乃至第７発明のいずれか１つにおいて、前記コピーファイルのチェックイン要求を受け付けた場合、前記クライアントは、前記公開鍵情報及び前記コピーファイルを削除する削除手段を備え、前記仲介サーバは、前記クライアントから前記コピーファイルのチェックイン要求を受け付けた場合、記憶してあるコピーファイルを前記マスタファイルへ複写し、前記公開鍵情報、該公開鍵情報に対応する秘密鍵情報、及び前記コピーファイルを削除する鍵情報／コピーファイル削除手段を備える。【００１６】
次に、上記目的を達成するために第９発明に係る仲介サーバは、マスタファイルを記憶してあるサーバと、該サーバとデータ通信することが可能に接続してあるクライアントと、それぞれデータ通信することが可能に接続してある仲介サーバであって、前記サーバに記憶してあるマスタファイルを複写したコピーファイルを受信して記憶するコピーファイル取得手段と、秘密鍵情報及び該秘密鍵情報と対応する公開鍵情報を生成し、生成した公開鍵情報及び前記コピーファイルを前記クライアントへ送信する送信手段と、前記クライアントから、前記コピーファイルのチェックイン要求を受け付けた場合、記憶してあるコピーファイルを前記マスタファイルへ複写し、前記公開鍵情報、該公開鍵情報に対応する秘密鍵情報、及び前記コピーファイルを削除する鍵情報／コピーファイル削除手段とを備える。【００１７】
次に、上記目的を達成するために第１０発明に係るコンピュータプログラムは、マスタファイルを記憶してあるサーバと、該サーバとデータ通信することが可能に接続してあるクライアントと、それぞれデータ通信することが可能に接続してある仲介サーバで実行することが可能なコンピュータプログラムあって、前記仲介サーバを、前記サーバに記憶してあるマスタファイルを複写したコピーファイルを受信して記憶するコピーファイル取得手段、秘密鍵情報及び該秘密鍵情報と対応する公開鍵情報を生成し、生成した公開鍵情報と前記コピーファイルとを前記クライアントへ送信する送信手段、及び前記クライアントから、前記コピーファイルのチェックイン要求を受け付けた場合、記憶してあるコピーファイルを前記マスタファイルへ複写し、前記公開鍵情報、該公開鍵情報に対応する秘密鍵情報、及び記憶してあるコピーファイルを削除する鍵情報／コピーファイル削除手段として機能させる。【００１８】
次に、上記目的を達成するために第１１発明に係るクライアントは、マスタファイルを記憶してあるサーバと、該サーバに記憶してあるマスタファイルを複写したコピーファイルを記憶してある仲介サーバと、前記サーバ及び仲介サーバとデータ通信することが可能に接続してあるクライアントであって、前記コピーファイル及び公開鍵情報を受信して記憶する受信手段と、前記コピーファイルを更新した場合、更新に伴う差分に関する差分情報を前記公開鍵情報で暗号化して前記仲介サーバへ送信する差分情報送信手段と、前記コピーファイルの更新処理が可能となった時点でセキュリティ上安全であるための条件を具備するか否かを判断する条件判断手段と、前記条件を具備しないと判断した場合、前記コピーファイルを削除するコピーファイル削除手段とを備える。【００１９】
また、第１２発明に係るクライアントは、第１１発明において、前記条件は、前記クライアントを使用している物理的な位置に関する情報である。【００２０】
また、第１３発明に係るクライアントは、第１１発明において、前記仲介サーバから、前記公開鍵情報及び前記コピーファイルを受信した時点から計時を開始する計時手段を備え、前記条件判断手段は、前記条件を具備しているか否かを、所定の時点からの経過時間で判断する。【００２１】
また、第１４発明に係るクライアントは、第１１乃至第１３発明のいずれか１つにおいて、前記コピーファイルのチェックイン要求を受け付けた場合、前記公開鍵情報及び前記コピーファイルを削除する削除手段を備える。【００２２】
次に、上記目的を達成するために第１５発明に係るコンピュータプログラムは、マスタファイルを記憶してあるサーバと、該サーバに記憶してあるマスタファイルを複写したコピーファイルを記憶してある仲介サーバと、前記サーバ及び前記仲介サーバとデータ通信することが可能に接続してあるクライアントで実行することが可能なコンピュータプログラムあって、前記クライアントを、前記コピーファイル及び公開鍵情報を受信して記憶する受信手段、前記コピーファイルを更新した場合、更新に伴う差分に関する差分情報を前記公開鍵情報で暗号化して前記仲介サーバへ送信する差分情報送信手段、前記コピーファイルの更新処理が可能となった時点でセキュリティ上安全であるための条件を具備するか否かを判断する条件判断手段、及び前記条件を具備しないと判断した場合、前記コピーファイルを削除するコピーファイル削除手段として機能させる。
【発明の効果】
【００２３】
本発明によれば、仲介サーバに記憶されているコピーファイルに対して更新処理を実行し、差分情報の暗号化・復号処理を実行する暗号鍵情報も仲介サーバで生成しているので、更新処理を実行するクライアントを紛失した場合、盗難された場合等であっても、サーバのマスタファイルが直接改ざん等されることを防止することができる。また、一定時間コピーファイルに対するアクセスがない場合、ネットワーク接続が切断されて一定時間経過した場合等、セキュリティ上安全であるための条件を具備しないと判断した場合には、コピーファイルを確実に削除することができ、機密情報が含まれているマスタファイルのセキュリティレベルを高く維持することが可能となる。
【図面の簡単な説明】
【００２４】
【図１】本発明の実施の形態に係るファイル更新システムの構成を模式的に示すブロック図である。
【図２】本発明の実施の形態に係るクライアントの構成を示すブロック図である。
【図３】本発明の実施の形態に係るファイル更新システムの機能ブロック図である。
【図４】本発明の実施の形態に係るファイル更新システムのクライアントのＣＰＵの処理手順を示すフローチャートである。
【図５】本発明の実施の形態に係るファイル更新システムの更新処理を示す模式図である。
【図６】本発明の実施の形態に係るファイル更新システムのクライアント盗難時の処理を示す模式図である。
【図７】本発明の実施の形態に係るファイル更新システムの仲介サーバのＣＰＵの処理手順を示すフローチャートである。
【図８】本発明の実施の形態に係るファイル更新システムのチェックアウト要求時の処理を示す模式図である。
【図９】本発明の実施の形態に係るファイル更新システムのチェックイン要求時の処理を示す模式図である。
【図１０】本発明の実施の形態に係るファイル更新システムのファイル回復時の処理を示す模式図である。
【発明を実施するための形態】
【００２５】
以下、本発明の実施の形態に係る、ユーザの利便性を損なうことなく、一定のセキュリティレベルを維持しつつ情報を削除するシステムについて、図面に基づいて具体的に説明する。以下の実施の形態は、特許請求の範囲に記載された発明を限定するものではなく、実施の形態の中で説明されている特徴的事項の組み合わせの全てが解決手段の必須事項であるとは限らないことは言うまでもない。なお、本明細書で「チェックアウト」とは、マスターDBから更新対象となるファイルを取り出すことを、「チェックイン」とは、更新した内容でマスターDB内のマスタファイルを更新することを、それぞれ意味する。
【００２６】
また、本発明は多くの異なる態様にて実施することが可能であり、実施の形態の記載内容に限定して解釈されるべきものではない。実施の形態を通じて同じ要素には同一の符号を付している。
【００２７】
以下の実施の形態では、コンピュータシステムにコンピュータプログラムを導入した装置について説明するが、当業者であれば明らかな通り、本発明はその一部をコンピュータで実行することが可能なコンピュータプログラムとして実施することができる。したがって、本発明は、ユーザの利便性を損なうことなく、一定のセキュリティレベルを維持しつつ情報を削除するシステムというハードウェアとしての実施の形態、ソフトウェアとしての実施の形態、又はソフトウェアとハードウェアとの組み合わせの実施の形態をとることができる。コンピュータプログラムは、ハードディスク、ＤＶＤ、ＣＤ、光記憶装置、磁気記憶装置等の任意のコンピュータで読み取ることが可能な記録媒体に記録することができる。
【００２８】
本発明の実施の形態によれば、仲介サーバに記憶されているコピーファイルに対して更新処理を実行し、差分情報の暗号化・復号処理を実行する暗号鍵情報も仲介サーバで生成しているので、更新処理を実行するクライアントを紛失した場合、盗難された場合等であっても、サーバのマスタファイルが直接改ざん等されることを防止することができる。また、一定時間コピーファイルに対するアクセスがない場合、ネットワーク接続が切断されて一定時間経過した場合等、セキュリティ上安全であるための条件を具備しないと判断した場合には、コピーファイルを確実に削除することができ、機密情報が含まれているマスタファイルのセキュリティレベルを高く維持することが可能となる。
【００２９】
図１は、本発明の実施の形態に係るファイル更新システムの構成を模式的に示すブロック図である。本実施の形態に係るファイル更新システムは、更新対象となるマスタファイルを記憶してあるサーバ１と、ファイルを更新するクライアント２とが、ネットワーク網３を介してデータ通信することが可能に接続されている。それに加えて、仲介サーバ４が、サーバ１及びクライアント２とデータ通信することが可能にネットワーク網３を介して接続されている。
【００３０】
仲介サーバ４は、少なくともＣＰＵ（中央演算装置）４１、メモリ４２、記憶装置４３、Ｉ／Ｏインタフェース４４、ビデオインタフェース４５、可搬型ディスクドライブ４６、通信インタフェース４７及び上述したハードウェアを接続する内部バス４８で構成されている。
【００３１】
ＣＰＵ４１は、内部バス４８を介して仲介サーバ４の上述したようなハードウェア各部と接続されており、上述したハードウェア各部の動作を制御するとともに、記憶装置４３に記憶されたコンピュータプログラム１００に従って、種々のソフトウェア的機能を実行する。メモリ４２は、ＳＲＡＭ、ＳＤＲＡＭ等の揮発性メモリで構成され、コンピュータプログラム１００の実行時にロードモジュールが展開され、コンピュータプログラム１００の実行時に発生する一時的なデータ等を記憶する。
【００３２】
記憶装置４３は、内蔵される固定型記憶装置（ハードディスク）、ＲＯＭ等で構成されている。記憶装置４３に記憶されたコンピュータプログラム１００は、プログラム及びデータ等の情報を記録したＤＶＤ、ＣＤ−ＲＯＭ等の可搬型記録媒体９０から、可搬型ディスクドライブ４６によりダウンロードされ、実行時には記憶装置４３からメモリ４２へ展開して実行される。もちろん、通信インタフェース４７を介して接続されている外部コンピュータからダウンロードされたコンピュータプログラムであっても良い。
【００３３】
記憶装置４３は、サーバ１のマスタファイルを複写したコピーファイルを記憶するコピーファイル記憶部４３１、及び更新処理が可能となった時点でセキュリティ上安全であるための条件に関する条件情報を記憶する条件情報記憶部４３２を備えている。コピーファイルは、マスタファイルに対するチェックアウト要求時にコピーファイル記憶部４３１に記憶され、チェックイン要求時にコピーファイル記憶部４３１から削除される。また、コピーファイルごとに生成した秘密鍵情報及び公開鍵情報も記憶する。
【００３４】
条件情報記憶部４３２は、セキュリティ上安全であるための条件に関する条件情報として、例えば最後にクライアント２との通信が切断された時点からの経過時間、チェックアウト要求を受信した時点からの経過時間、ＧＰＳ信号等によるクライアント２の物理的位置の範囲（位置に関する情報）等を記憶してある。条件情報は、コピーファイル送信時にクライアント２へ送信される。
【００３５】
通信インタフェース４７は内部バス４８に接続されており、インターネット、ＬＡＮ、ＷＡＮ等の外部のネットワークに接続されることにより、外部コンピュータ等とデータ送受信を行うことが可能となっている。
【００３６】
Ｉ／Ｏインタフェース４４は、キーボード６１、マウス６２等の入力装置と接続され、データの入力を受け付ける。ビデオインタフェース４５は、ＣＲＴディスプレイ、液晶ディスプレイ等の表示装置６３と接続され、所定の画像を表示する。
【００３７】
図２は、本発明の実施の形態に係るクライアント２の構成を示すブロック図である。本実施の形態に係るクライアント２は、例えばＣＰＵ（中央演算装置）２１、メモリ２２、記憶装置２３、Ｉ／Ｏインタフェース２４、ビデオインタフェース２５、可搬型ディスクドライブ２６、通信インタフェース２７及び上述したハードウェアを接続する内部バス２８で構成されている。なお、可搬型ディスクドライブ２６は必ずしも必須ではない。
【００３８】
ＣＰＵ２１は、内部バス２８を介してクライアント２の上述したようなハードウェア各部と接続されており、上述したハードウェア各部の動作を制御するとともに、記憶装置２３に記憶されたコンピュータプログラム１０１に従って、種々のソフトウェア的機能を実行する。メモリ２２は、ＳＲＡＭ、ＳＤＲＡＭ等の揮発性メモリで構成され、コンピュータプログラム１０１の実行時にロードモジュールが展開され、コンピュータプログラム１０１の実行時に発生する一時的なデータ等を記憶する。
【００３９】
記憶装置２３は、内蔵される固定型記憶装置（ハードディスク）、ＲＯＭ等で構成されている。記憶装置２３に記憶されたコンピュータプログラム１０１は、プログラム及びデータ等の情報を記録したＤＶＤ、ＣＤ−ＲＯＭ等の可搬型記録媒体９１から、可搬型ディスクドライブ２６によりダウンロードされ、実行時には記憶装置２３からメモリ２２へ展開して実行される。もちろん、通信インタフェース２７を介して接続されている外部コンピュータからダウンロードされたコンピュータプログラムであっても良い。
【００４０】
記憶装置２３は、更新対象となるコピーファイルを記憶する更新対象ファイル記憶部２３１、及び更新した場合の差分情報を記憶する差分情報記憶部２３２を備えている。コピーファイルは、仲介サーバ４から受信して更新対象ファイル記憶部２３１に記憶する。差分情報は、前回の更新処理完了後に生じた更新による差分に関する情報として差分情報記憶部２３２に記憶する。なお、更新対象ファイル記憶部２３１には、暗号化された状態でコピーファイルを記憶することが好ましい。
【００４１】
通信インタフェース２７は内部バス２８に接続されており、インターネット、ＬＡＮ、ＷＡＮ等の外部のネットワークに接続されることにより、外部コンピュータ等とデータ送受信を行うことが可能となっている。
【００４２】
Ｉ／Ｏインタフェース２４は、キーボード６１、マウス６２等の入力装置と接続され、データの入力を受け付ける。ビデオインタフェース２５は、ＣＲＴディスプレイ、液晶ディスプレイ等の表示装置６３と接続され、所定の画像を表示する。もちろん、タッチディスプレイで入力装置と表示装置とを一体化しても良い。
【００４３】
図３は、本発明の実施の形態に係るファイル更新システムの機能ブロック図である。クライアント２のチェックアウト要求送信部２０１は、クライアント２がユーザからキーボード６１、マウス６２等を介して受け付けたチェックアウト要求を仲介サーバ４へ送信する。チェックアウト要求には、サーバ１がチェックアウトするユーザを認証するための情報、例えばユーザＩＤとパスワードとの組み合わせ、及び更新対象となるファイルを特定する情報、例えばファイル名等が含まれる。
【００４４】
クライアント２と仲介サーバ４との間におけるデータ通信はすべて暗号化された状態で行われる。クライアント２と仲介サーバ４とは、相互に認証を行い、データ通信を実行する前に通信相手が正しい相手であることを検証する。認証方法としては証明書の使用が望ましい。これにより、クライアント２が仲介サーバ４とデータ通信を開始する場合、クライアント２のユーザはユーザＩＤの入力等の操作が不要となり、クライアント２はユーザが関与することなく自動的にデータ通信を開始することが可能となる。
【００４５】
仲介サーバ４のコピーファイル取得部４０１は、クライアント２からチェックアウト要求を受信した場合、サーバ１に対して特定されたマスタファイル１１１のチェックアウト要求を送信し、特定されたファイルであるマスタＤＢ１１のマスタファイル１１１を複写したコピーファイルを、サーバ１から受信して取得し、記憶装置４３のコピーファイル記憶部４３１に記憶する。鍵情報生成部４０２は、取得したコピーファイルに対応付けて、秘密鍵情報及び公開鍵情報を生成し、コピーファイルを識別する情報、例えばファイル名と対応付けて記憶装置４３に記憶する。コピーファイル／公開鍵情報送信部４０３は、生成した公開鍵情報及びコピーファイルを、チェックアウト要求の送信元であるクライアント２へ送信する。
【００４６】
クライアント２のコピーファイル／公開鍵情報受信部２０２は、コピーファイル及び公開鍵情報を仲介サーバ４から受信し、記憶装置２３の更新対象ファイル記憶部２３１に記憶する。
【００４７】
クライアント２の更新検出部２０３は、更新対象ファイル記憶部２３１に記憶されているコピーファイルが更新された旨を検出する。更新検出部２０３が、記憶してあるコピーファイルが更新された旨を検出した場合、差分情報暗号化部２０４は、更新に伴う差分情報を抽出し、公開鍵情報で暗号化する。差分情報送信部２０５は、差分情報が暗号化された時点で直ちに自動的に仲介サーバ４と通信を試み、データ通信することが可能となり次第、暗号化した差分情報を仲介サーバ４へ送信する。差分情報が暗号化されているので、悪意ある第三者が差分情報を不正に取得した場合であっても、更新内容は第三者には判読することはできない。なお、更新検出部２０３は、オペレーティング・システムのファイル操作を監視し、クライアント２上のコピーファイルが更新対象ファイル記憶部２３１以外の場所へ移動、複写、別名保管されることを禁止する機能を持つことが望ましい。
【００４８】
仲介サーバ４の差分情報受信部４０４は、暗号化された差分情報を受信し、差分情報復号部４０５は、記憶してある秘密鍵情報を用いて差分情報を復号する。そして、差分情報適用部４０６は、復号された差分情報を、仲介サーバ４に記憶してあるコピーファイル５４に適用して、コピーファイル５４を最新の更新状態へ更新し、サーバ１のマスタＤＢ１１のマスタファイル１１１を更新する。なお、仲介サーバ４に記憶してある最新のコピーファイル５４は、クライアント２からチェックイン要求を受信するまでは、サーバ１のマスタファイル１１１に適用しない。
【００４９】
クライアント２の条件判断部２０６は、コピーファイルの更新処理が可能となった時点でセキュリティ上安全であるための条件を具備するか否かを判断する。コピーファイルの更新処理が可能となった時点とは、クライアント２の起動時（休止状態からの復帰時を含む）、画面ロックの解除時等を含む、更新対象となるコピーファイルに対して何らかの操作を行うことができる時点を示す広い概念である。
【００５０】
セキュリティ上安全であるための条件とは、例えば最後に仲介サーバ４とデータ通信を行ってからの経過時間、チェックアウト要求を送信してからの経過時間等の時間により定まる条件に限定されるものではなく、クライアント２に内蔵されている時計の時刻が、最後に仲介サーバ４とデータ通信を行った時刻より前になっている、誤ったパスワードを入力した回数が予め定められた回数を超えている等の不正なアクセスが試みられていると推定するに十分な情報、ＧＰＳ信号等で検出したクライアント２の物理的位置の範囲、無線ＬＡＮの最寄りの基地局情報に基づき推定されるクライアント２の物理的位置の範囲等の位置に関する情報等であっても良い。
【００５１】
クライアント２のコピーファイル削除部２０７は、条件判断部２０６が、コピーファイルの更新処理が可能となった時点でセキュリティ上安全であるための条件を具備しないと判断した場合、クライアント２の更新対象ファイル記憶部２３１に記憶してあるコピーファイルを復元不可能な方法で削除する。復元不可能な方法で削除する方法としては、例えばコピーファイルを共通鍵方式で暗号化した状態で記憶しておき、暗号化した鍵情報を消去する方法がある。コピーファイルが削除されているので、仲介サーバ４へ未送信である差分情報が残っている場合であっても、コピーファイルを復元することはできない。
【００５２】
クライアント２のチェックイン要求送信部２０８は、サーバ１のマスタファイル１１１を、更新された最新のコピーファイルで更新するチェックイン要求を受け付ける。チェックイン要求には、通常、サーバ１がチェックインするユーザを認証するための情報、例えばユーザＩＤとパスワードとの組み合わせ、あるいはユーザが複数のファイルをチェックアウトしている場合には、チェックインするファイルを特定する情報、例えばファイル名等を含む。鍵情報／コピーファイル削除部２０９は、公開鍵情報及び記憶してあるコピーファイルを削除する。
【００５３】
仲介サーバ４のコピーファイル送信部４０７は、クライアント２からのチェックイン要求を受信した場合、その時点で記憶されているコピーファイル５４を複写し、更新ファイルとしてサーバ１へ送信し、マスタファイル１１１を更新する。また、鍵情報／コピーファイル削除部４０８は、公開鍵情報、該公開鍵情報に対応する秘密鍵情報、及びコピーファイル５４を削除する。
【００５４】
図４は、本発明の実施の形態に係るファイル更新システムのクライアント２のＣＰＵ２１の処理手順を示すフローチャートである。クライアント２のＣＰＵ２１は、チェックアウト要求を受け付け（ステップＳ４０１）、受け付けたチェックアウト要求を仲介サーバ４へ送信する（ステップＳ４０２）。チェックアウト要求には、更新対象となるファイルを特定する情報、例えばファイル名等が含まれる。
【００５５】
ＣＰＵ２１は、送信したチェックアウト要求に対応するコピーファイル及び差分情報を暗号化するための公開鍵情報を仲介サーバ４から受信し（ステップＳ４０３）、記憶装置２３の更新対象ファイル記憶部２３１に記憶する（ステップＳ４０４）。
【００５６】
ＣＰＵ２１は、コピーファイルの更新処理が可能となった時点でセキュリティ上安全であるための条件を具備するか否かを判断する（ステップＳ４０５）。ＣＰＵ２１が、セキュリティ上安全であるための条件を具備すると判断した場合（ステップＳ４０５：ＹＥＳ）、ＣＰＵ２１は、記憶してあるコピーファイルの更新を検出し（ステップＳ４０６）、更新に伴う差分に関する差分情報を抽出する（ステップＳ４０７）。なお、記憶してあるコピーファイルと更新処理完了後のコピーファイルとの更新による差分を差分情報として抽出するため、更新前のコピーファイルの写しを記憶しておき、更新後のコピーファイルと比較することになる。ＣＰＵ２１は、抽出した差分情報を公開鍵情報で暗号化し（ステップＳ４０８）、暗号化した差分情報を仲介サーバ４へ送信する（ステップＳ４０９）。
【００５７】
図５は、本発明の実施の形態に係るファイル更新システムの更新処理を示す模式図である。図５に示すように、クライアント２で起動されているコンピュータプログラム１０１により、ＣＰＵ２１がコピーファイル５２の更新を検知した場合、ＣＰＵ２１は、更新前のコピーファイルとの間の差分として差分情報５１を抽出し、公開鍵情報３０を用いて暗号化する。
【００５８】
ＣＰＵ２１は、暗号化された差分情報を仲介サーバ４へ送信し、仲介サーバ４で起動されているコンピュータプログラム１００により、ＣＰＵ４１が差分情報を受信した場合、ＣＰＵ４１は、秘密鍵情報３１を用いて差分情報５１を復号し、復号した差分情報５１を適用することで、記憶してあるコピーファイル５４を更新する。この時点では、マスタファイル１１１には何ら差分情報は適用されていない。
【００５９】
図４に戻って、クライアント２のＣＰＵ２１が、セキュリティ上安全であるための条件を具備しないと判断した場合（ステップＳ４０５：ＮＯ）、ＣＰＵ２１は、記憶してあるコピーファイルを削除する（ステップＳ４１０）。なお、記憶してある更新前のコピーファイルの写しも、上述した復元不可能な方法で削除する。コピーファイルが削除されているので、例えばクライアント２が盗まれ、悪意ある第三者がクライアント２内の情報の悪用等を企図したとしても、仲介サーバ４へ未送信である暗号化された差分情報が残っているだけであり、コピーファイルを復元することはできず、秘密鍵情報もクライアント２には存在しないので差分情報の復号もできない。
【００６０】
図６は、本発明の実施の形態に係るファイル更新システムのクライアント盗難時の処理を示す模式図である。図６に示すように、クライアント２で起動されているコンピュータプログラム１０１により、ＣＰＵ２１は、セキュリティ上安全であるための条件を具備するか否かを判断する。具体的には、例えば最後にコピーファイルにアクセスされてから一定時間が経過した場合、更新処理の実行中の中座としては長すぎると判断され、盗難のおそれがあると判断する。
【００６１】
ＣＰＵ２１が、セキュリティ上安全であるための条件を具備しないと判断した場合、クライアント２には、ｎ回目の差分情報５１と、既にｎ回更新されたコピーファイル５２とが記憶されているので、ＣＰＵ２１は、ｎ回更新されたコピーファイル５２を削除する。これにより、クライアント２を盗難した第三者は、暗号化された差分情報５１だけしか読みだすことができない。クライアント２には、差分情報を復号するための秘密鍵情報も存在しないので、第三者は差分情報を復元する手段を得ることができない。
【００６２】
なお、この場合、仲介サーバ４にはｎ回目の差分情報５１はコピーファイルに適用されておらず、1回目から（ｎ−１）回目までの差分情報５１が適用されたコピーファイル５４が記憶されている。
【００６３】
図４に戻って、クライアント２のＣＰＵ２１は、更新したコピーファイルをマスタファイルとして更新するチェックイン要求を受け付けたか否かを判断する（ステップＳ４１１）。ＣＰＵ２１が、チェックイン要求を受け付けたと判断した場合（ステップＳ４１１：ＹＥＳ）、ＣＰＵ２１は、チェックイン要求を仲介サーバ４へ送信し（ステップＳ４１２）、チェックイン処理が完了した旨を示す完了通知を受信したか否かを判断する（ステップＳ４１３）。
【００６４】
ＣＰＵ２１が、完了通知を受信していないと判断した場合（ステップＳ４１３：ＮＯ）、ＣＰＵ２１は、完了通知の受信待ち状態となる。ＣＰＵ２１が、完了通知を受信したと判断した場合（ステップＳ４１３：ＹＥＳ）、ＣＰＵ２１は、公開鍵情報及び記憶してあるコピーファイルを削除する（ステップＳ４１４）。ＣＰＵ２１が、チェックイン要求を受け付けていないと判断した場合（ステップＳ４１１：ＮＯ）、ＣＰＵ２１は、処理をステップＳ４０５へ戻して上述した処理を繰り返す。
【００６５】
図７は、本発明の実施の形態に係るファイル更新システムの仲介サーバ４のＣＰＵ４１の処理手順を示すフローチャートである。仲介サーバ４のＣＰＵ４１は、クライアント２からのチェックアウト要求を受信し（ステップＳ７０１）、チェックアウト要求で特定されたファイルであるマスタファイル１１１を複写したコピーファイルを、サーバ１から受信して、記憶装置４３のコピーファイル記憶部４３１に記憶する（ステップＳ７０２）。
【００６６】
図８は、本発明の実施の形態に係るファイル更新システムのチェックアウト要求時の処理を示す模式図である。図８に示すように、チェックアウト要求をクライアント２から受信した場合、仲介サーバ４のＣＰＵ４１は、起動されているコンピュータプログラム１００により、サーバ１からマスタファイル１１１のコピーファイル５４を取得して記憶する。
【００６７】
そして、ＣＰＵ４１は、公開鍵情報３０と秘密鍵情報３１とを生成して、公開鍵情報３０とコピーファイルをクライアント２へ送信し、クライアント２は公開鍵情報３０と更新対象となるコピーファイル５２とを記憶する。クライアント２は、記憶してあるコピーファイルに対して更新処理を実行する。
【００６８】
図７に戻って、仲介サーバ４のＣＰＵ４１は、記憶したコピーファイルに対応付けて、秘密鍵情報及び公開鍵情報を生成し（ステップＳ７０３）、コピーファイルを識別する情報、例えばファイル名と対応付けて記憶装置４３に記憶する（ステップＳ７０４）。ＣＰＵ４１は、生成した公開鍵情報及びコピーファイルを、チェックアウト要求の送信元であるクライアント２へ送信する（ステップＳ７０５）。
【００６９】
ＣＰＵ４１は、暗号化された差分情報を受信し（ステップＳ７０６）、記憶してある秘密鍵情報を用いて差分情報を復号する（ステップＳ７０７）。ＣＰＵ４１は、復号された差分情報を記憶してあるコピーファイル５４に適用して、コピーファイル５４を最新の更新状態へ更新する（ステップＳ７０８）。
【００７０】
ＣＰＵ４１は、クライアント２からチェックイン要求を受信したか否かを判断し（ステップＳ７０９）、ＣＰＵ４１が、チェックイン要求を受信していないと判断した場合（ステップＳ７０９：ＮＯ）、ＣＰＵ４１は、処理をステップＳ７０６へ戻し、上述した処理を繰り返す。ＣＰＵ４１が、チェックイン要求を受信したと判断した場合（ステップＳ７０９：ＹＥＳ）、ＣＰＵ４１は、記憶してあるコピーファイルを複写し、更新ファイルとしてサーバ１へ送信し（ステップＳ７１０）、サーバ１からマスタファイル１１１の更新が完了した旨を示す完了通知を受信したか否かを判断する（ステップＳ７１１）。
【００７１】
ＣＰＵ４１が、完了通知を受信していないと判断した場合（ステップＳ７１１：ＮＯ）、ＣＰＵ４１は、完了通知の受信待ち状態となる。ＣＰＵ４１が、完了通知を受信したと判断した場合（ステップＳ７１１：ＹＥＳ）、ＣＰＵ４１は、完了通知をクライアント２へ送信し（ステップＳ７１２）、公開鍵情報、該公開鍵情報に対応する秘密鍵情報、及びコピーファイル５４を削除する（ステップＳ７１３）。
【００７２】
図９は、本発明の実施の形態に係るファイル更新システムのチェックイン要求時の処理を示す模式図である。図９に示すように、チェックイン要求をクライアント２から受信した場合、仲介サーバ４のＣＰＵ４１は、起動されているコンピュータプログラム１００により、記憶してあるコピーファイルを複写し、更新ファイルとしてサーバ１へ送信する。これにより、マスタファイル１１１が最新の状態に更新される。
【００７３】
そして、ＣＰＵ４１は、公開鍵情報３０、秘密鍵情報３１及びコピーファイル５４を削除する。これにより、マスタファイル１１１以外に最新の状態に更新されたファイルが存在せず、ファイルのセキュリティレベルを高く維持することができる。もちろん、チェックイン要求時には、クライアント２に記憶されている公開鍵情報３０及びコピーファイル５２も削除される。
【００７４】
なお、盗難されたクライアント２が発見された場合等には、コピーファイルを回復することもできる。図１０は、本発明の実施の形態に係るファイル更新システムのファイル回復時の処理を示す模式図である。
【００７５】
図１０に示すように、盗難後に発見されたクライアント２を再度接続した場合、ｎ回目の差分を暗号化した差分情報５１のみが記憶されている。なぜなら、コピーファイルは既に削除されているからである。そこでクライアント２のＣＰＵ２１は、正規のユーザであることを認証できたことを条件として、ｎ回目の差分情報５１を仲介サーバ４へ送信する。
【００７６】
ｎ回目の差分情報５１を受信した仲介サーバ４のＣＰＵ４１は、秘密鍵情報３１を用いて差分情報５１を復号し、コピーファイルに適用することでｎ回目まで更新した状態のコピーファイル５４に回復することができる。
【００７７】
以上のように本実施の形態によれば、仲介サーバ４に記憶されているコピーファイルに対して更新処理を実行し、差分情報の暗号化・復号処理を実行する暗号鍵情報も仲介サーバ４で生成しているので、更新処理を実行するクライアント２を紛失した場合、盗難された場合等であっても、サーバ１のマスタファイル１１１が直接改ざん等されることを防止することができる。また、一定時間コピーファイルに対するアクセスがない場合、ネットワーク接続が切断されて一定時間経過した場合等、セキュリティ上安全であるための条件を具備しないと判断した場合には、コピーファイルを削除することができ、機密情報が含まれているマスタファイルのセキュリティレベルを高く維持することが可能となる。
【００７８】
また、差分情報を公開鍵情報を用いて暗号化し、仲介サーバ４へ送信するので、万一、クライアント２を紛失、あるいはクライアント２が盗難された場合であっても、盗難されるまでに仲介サーバ４が受信していた差分情報を適用したコピーファイルを回復することができる。また、クライアント２が発見された場合、クライアント２に残存している差分情報を適用することで、最新の更新状態までコピーファイルを回復することができる。
【００７９】
なお、本発明は上記実施例に限定されるものではなく、本発明の趣旨の範囲内であれば多種の変更、改良等が可能である。例えば、仲介サーバ４は、サーバ１から論理的に独立していれば、物理的に１つのコンピュータ上で稼働しても良い。また、セキュリティ上安全であるための条件を具備しないと判断した場合、ｎ回更新されたコピーファイル５２を削除しているが、同時に公開鍵情報３０も削除しても良い。
【符号の説明】
【００８０】
１  サーバ
２  クライアント
３  ネットワーク網
４  仲介サーバ
２１、４１  ＣＰＵ
２２、４２  メモリ
２３、４３  記憶装置
２４、４４  Ｉ／Ｏインタフェース
２５、４５  ビデオインタフェース
２６、４６  可搬型ディスクドライブ
２７、４７  通信インタフェース
２８、４８  内部バス
９０、９１  可搬型記録媒体
１００、１０１  コンピュータプログラム
【図１】
0005593452.tif 000002
【図２】
0005593452.tif 000003
【図３】
0005593452.tif 000004
【図４】
0005593452.tif 000005
【図５】
0005593452.tif 000006
【図６】
0005593452.tif 000007
【図７】
0005593452.tif 000008
【図８】
0005593452.tif 000009
【図９】
0005593452.tif 000010
【図１０】
0005593452.tif 000011