(57)【特許請求の範囲】
【請求項１】
コンピュータを、
複数の構成要素からなり、前記構成要素ごとに、当該構成要素固有の第１の電子署名および第２の電子署名が規定され、かつ前記各第１の電子署名を集約した集約電子署名が関連付けられている電子文書を取得する取得手段、
前記取得手段によって取得された電子文書のうち隠蔽禁止対象となる構成要素の指定を受け付ける指定手段、
前記指定手段によって隠蔽禁止対象に指定された構成要素と当該構成要素に規定されている前記第１の電子署名および第２の電子署名の双方とが存在する場合、当該構成要素が隠蔽可能でかつ削除可能な状態であると判断する判断手段、
前記判断手段によって隠蔽可能でかつ削除可能な状態であると判断された場合、前記隠蔽禁止対象となる構成要素に規定されている第２の電子署名を削除する削除手段、
として機能させることを特徴とする電子文書管理プログラム。
【請求項２】
前記指定手段は、
前記電子文書のうち削除禁止対象となる構成要素の指定を受け付け、
前記判断手段は、
前記指定手段によって削除禁止対象に指定された構成要素と当該構成要素に規定されている前記第１の電子署名とが存在する場合、当該構成要素が削除可能な状態であると判断し、
前記削除手段は、
前記判断手段によって削除可能な状態であると判断された場合、前記削除禁止対象となる構成要素に規定されている第１の電子署名を削除することを特徴とする請求項１に記載の電子文書管理プログラム。
【請求項３】
前記指定手段は、
前記電子文書のうち削除対象となる構成要素の指定を受け付け、
前記判断手段は、
前記指定手段によって削除対象に指定された構成要素と当該構成要素に規定されている前記第１の電子署名とが存在する場合、当該構成要素が削除可能な状態であると判断し、
前記削除手段は、
前記判断手段によって削除可能な状態であると判断された場合、前記削除対象となる構成要素に規定されている前記第１の電子署名を前記集約電子署名の中から削除するとともに、前記構成要素および当該構成要素に規定されている第１の電子署名を削除する請求項１または２に記載の電子文書管理プログラム。
【請求項４】
前記取得手段は、
前記削除手段によって削除された結果、前記指定手段によって指定された改定対象となる構成要素が、隠蔽禁止、削除禁止および削除済みのいずれかに改訂された改訂文書を取得し、
前記コンピュータを、
前記第１の電子署名、前記第２の電子署名および前記集約電子署名に基づいて、前記取得手段によって取得された改訂文書の真正を検証する検証手段、
前記検証手段によって検証された検証結果を出力する出力手段として機能させることを特徴とする請求項１〜３のいずれか一つに記載の電子文書管理プログラム。
【請求項５】
前記取得手段は、
複数の構成要素からなり、前記構成要素ごとに、当該構成要素固有の第１の電子署名および第２の電子署名が規定され、かつ前記各第１の電子署名を集約した第１の集約電子署名および前記各第２の電子署名を集約した第２の集約電子署名が関連付けられている電子文書を取得し、
前記削除手段は、
前記判断手段によって前記電子文書のうち隠蔽禁止対象に指定された構成要素が削除可能な状態であると判断された場合、前記隠蔽禁止対象となる構成要素に規定されている前記第２の電子署名を前記第２の集約電子署名の中から削除するとともに、前記構成要素に規定されている第２の電子署名を削除することを特徴とする請求項１に記載の電子文書管理プログラム。
【請求項６】
前記削除手段は、
前記判断手段によって前記電子文書のうち削除禁止対象に指定された構成要素が削除可能な状態であると判断された場合、前記削除禁止対象となる構成要素に規定されている前記第１の電子署名を削除することを特徴とする請求項５に記載の電子文書管理プログラム。
【請求項７】
前記削除手段は、
前記判断手段によって前記電子文書のうち削除対象に指定された構成要素が削除可能な状態であると判断された場合、前記削除対象となる構成要素に規定されている前記第１の電子署名を前記第１の集約電子署名の中から削除するとともに、前記構成要素および当該構成要素に規定されている第１の電子署名を削除することを特徴とする請求項５または６に記載の電子文書管理プログラム。
【請求項８】
請求項１〜７のいずれか一つに記載の電子文書管理プログラムを記録したコンピュータに読み取り可能な記録媒体。
【請求項９】
複数の構成要素からなり、前記構成要素ごとに、当該構成要素固有の第１の電子署名および第２の電子署名が規定され、かつ前記各第１の電子署名を集約した集約電子署名が関連付けられている電子文書を取得する取得手段と、
前記取得手段によって取得された電子文書のうち隠蔽禁止対象となる構成要素の指定を受け付ける指定手段と、
前記指定手段によって隠蔽禁止対象に指定された構成要素と当該構成要素に規定されている前記第１の電子署名および第２の電子署名の双方とが存在する場合、当該構成要素が隠蔽可能でかつ削除可能な状態であると判断する判断手段と、
前記判断手段によって隠蔽可能でかつ削除可能な状態であると判断された場合、前記隠蔽禁止対象となる構成要素に規定されている第２の電子署名を削除する削除手段と、
を備えることを特徴とする電子文書管理装置。
【請求項１０】
複数の構成要素からなり、前記構成要素ごとに、当該構成要素固有の第１の電子署名および第２の電子署名が規定され、かつ前記各第１の電子署名を集約した集約電子署名が関連付けられている電子文書を取得する取得工程と、
前記取得工程によって取得された電子文書のうち隠蔽禁止対象となる構成要素の指定を受け付ける指定工程と、
前記指定工程によって隠蔽禁止対象に指定された構成要素と当該構成要素に規定されている前記第１の電子署名および第２の電子署名の双方とが存在する場合、当該構成要素が隠蔽可能でかつ削除可能な状態であると判断する判断工程と、
前記判断工程によって隠蔽可能でかつ削除可能な状態であると判断された場合、前記隠蔽禁止対象となる構成要素に規定されている第２の電子署名を削除する削除工程と、
をコンピュータが実行することを特徴とする電子文書管理方法。
【発明の詳細な説明】
【技術分野】
【０００１】
この発明は、真正を検証可能な電子文書を管理する電子文書管理プログラム、該プログラムを記録した記録媒体、電子文書管理装置、および電子文書管理方法に関する。
【背景技術】
【０００２】
従来、電子文書の真正を検証する技術として、電子署名を用いた技術が提供されている。この電子署名技術は、電子文書ごとに電子署名を付与することによって、電子文書の作成者を認証するとともに、電子文書の正当性を判断することができ、電子文書の真正性を保証する技術である。
【０００３】
このため、電子署名技術を利用した場合、不正なユーザによる改ざんを防ぐという点においては非常に有用である。しかし一方で、電子文書の有効活用という点においては問題があった。なぜなら、電子文書に対して何らかの改訂をおこなった場合、改訂後の電子文書の正当性が保証されないからである。
【０００４】
このため、電子文書に公開することができない情報や不要な情報が含まれている場合であっても、電子文書の中から削除するなどの改訂をおこなうことができず、ユーザの利便性を著しく低下させる要因となっていた。これにともなって、電子文書に対する改訂が可能でかつ、電子文書の真正が検証可能な技術が望まれている。
【０００５】
たとえば、電子文書を部分文書に分割し、部分文書ごとに公開・非公開を指定することにより、非公開の部分文書に対して墨塗りを施す技術が提供されている（たとえば、下記非特許文献１参照。）。この墨塗り署名技術によれば、電子文書における公開部分に対する完全性と、非公開部分（墨塗り部分）に対する秘匿性を保証することができる。
【０００６】
また、電子文書を部分文書に分割し、部分文書ごとに電子署名を付与し、部分文書ごとに公開・非公開を指定することにより、非公開の部分文書を削除可能にするとともに、電子文書の正当性を保証する技術が提供されている（たとえば、下記特許文献１および非特許文献２参照。）。この削除署名技術によれば、電子文書における公開部分に対する完全性と、非公開部分（削除部分）に対する秘匿性を保証することができる。
【０００７】
また、電子文書を部分文書に分割し、部分文書ごとに公開・非公開を指定することにより、非公開の部分文書に対して墨塗りまたは削除を施す技術が提供されている（たとえば、下記非特許文献３参照。）。この墨塗り・削除署名技術によれば、同一の電子文書において墨塗りおよび削除を併用するができ、電子文書における公開部分に対する完全性と、非公開部分（墨塗り部分および削除部分）に対する秘匿性を保証することができる。
【０００８】
また、上述した墨塗り署名技術、削除署名技術、墨塗り・削除署名技術において、各部分文書に対して、墨塗りおよび削除に関する各種の状態を設定することができる。ここで、非特許文献３に記載された墨塗り・削除署名技術を例に挙げて、各部分文書に対して設定される各種の状態について説明する。
【０００９】
図３４は、従来技術における部分文書状態および状態遷移を示す図表である。図３４において、図表３４００には、各部分文書に設定可能な各種の状態が表現されている。具体的には、墨塗り（Ｓａｎｉｔｉｚａｔｉｏｎ）および削除（Ｄｅｌｅｔｉｏｎ）に関する、禁止（Ｐｒｏｈｉｂｉｔｅｄ）、可能（Ａｌｌｏｗｅｄ）、済み（Ｓａｎｉｔｉｚｅｄ  ｏｒ  Ｄｅｌｅｔｅｄ）の属性の組み合わせによって６個の状態が表現されている。
【００１０】
ここでは、これら６個の状態をそれぞれ、ＳＡＤＡ（墨塗り可能、削除可能）、ＳＰＤＰ（墨塗り禁止、削除禁止）、ＳＡＤＰ（墨塗り可能、削除禁止）、ＳＤＡ（墨塗り済み、削除可能）、ＳＤＰ（墨塗り済み、削除禁止）およびＤ（削除済み）と表記する。
【００１１】
また、これらの状態間の遷移をあらわす状態遷移として、９個の状態遷移Ｔａ〜Ｔｉが表現されている。たとえば、状態遷移Ｔａは、墨塗り可能でかつ削除可能な状態であるＳＡＤＡから墨塗り禁止でかつ削除禁止な状態であるＳＰＤＰへの遷移をあらわしている。
【００１２】
これら６個の状態および９個の状態遷移は、単に部分文書に対するプロパティとして設定されているのではなく、データの保持手法によって物理的に設定されている。これにより、部分文書を、公開、非公開および改訂の可否に応じて各種の状態に設定することができ、プロパティの誤設定などによる電子文書の情報漏洩を防ぐことができる。
【００１３】
【特許文献１】特開２００６−６０７２２号公報
【非特許文献１】宮崎邦彦、岩村充、松本勉、佐々木良一、吉浦裕、手塚悟、今井秀樹著「開示条件を制御可能な電子文書墨塗り技術」２００４年暗号と情報セキュリティシンポジウム予稿集
【非特許文献２】宮崎邦彦、花岡悟一郎、今井秀樹著「双線形写像を用いた電子文書墨塗り技術」２００５年暗号と情報セキュリティシンポジウム予稿集
【非特許文献３】佐野誠、伊豆哲也、國廣昇、太田和夫、武仲正彦著「部分情報の墨塗りと削除が可能な電子署名方式について」２００７年暗号と情報セキュリティシンポジウム予稿集
【発明の開示】
【発明が解決しようとする課題】
【００１４】
しかしながら、上述した従来技術によれば、部分文書を、墨塗り禁止でかつ削除可能な状態（ＳＰＤＡ）に設定する改訂をおこなうことができなかった。このため、何らかの理由により削除は許可するが墨塗りは禁止する部分文書が存在する場合に、当該部分文書を墨塗り禁止でかつ削除可能な状態に設定することができず、ユーザの利便性を低下させているという問題があった。
【００１５】
ここで、上述した従来技術の問題点を具体的に説明する。図３５は、従来技術の問題点の一例を示す説明図である。図３５において、オリジナル文書３５１０は、ある市（○×市）が実施した公共工事の入札結果をあらわす電子文書である。具体的には、１ページ目には、最終的な落札者の名称（○○建設）および落札額（五拾万円）を含む情報が記載されている。
【００１６】
２ページ目には、他の入札者の名称（△△建設）および入札額（四拾万円）を含む情報が記載されている。３ページ目には、他の入札者の名称（××建設）および入札額（三拾万円）を含む情報が記載されている。また、このオリジナル文書３５１０には、○×市の公印を示す電子署名Ｘが付与されている。ここでは、各ページ１〜３を部分文書Ｐ１〜Ｐ３とする。
【００１７】
入札結果の公開請求があった場合、オリジナル文書３５１０をそのまま公開すると、部分文書Ｐ２および部分文書Ｐ３に記載されている入札者の名称や入札額などの個人情報が公開されてしまう。このような場合、個人情報の保護を考慮して、オリジナル文書３５１０の部分的な秘匿が必要となる。
【００１８】
そこで、墨塗り・削除署名技術を利用してオリジナル文書３５１０を改訂し、部分的な情報秘匿を実現する。改訂文書３５２０は、オリジナル文書３５１０から秘匿性を有する個人情報が削除された電子文書である。この改訂文書３５２０が公開された場合、秘匿性を有する個人情報が削除されているため、閲覧者は、部分文書Ｐ２，Ｐ３の具体的な内容を特定することができない。つまり、個人情報は適切に保護されており、この改訂文書３５２０は望ましいものとなっている。
【００１９】
また、改訂文書３５３０は、オリジナル文書３５１０における秘匿性を有する個人情報が墨塗りされた電子文書である。この改訂文書３５３０が公開された場合、秘匿性を有する個人情報は墨塗りされているため、閲覧者は、部分文書Ｐ２，Ｐ３の具体的な内容を特定することができない。しかし、墨塗りされている部分文書Ｐ２，Ｐ３をもとに入札者数を推定することができるなど、完全に秘匿性を保証することができず、この改訂文書３５３０は必ずしも望ましいものとなっていない場合があった。
【００２０】
このような状況を回避するために、オリジナル文書３５１０の作成時に、部分文書Ｐ２，Ｐ３を墨塗り禁止でかつ削除可能な状態（ＳＰＤＡ）に設定することで、部分文書Ｐ２，Ｐ３を隠蔽する手段として、墨塗りを選択することを防ぐ技術が求められていた。
【００２１】
この発明は、上述した従来技術による問題点を解消するため、部分文書を墨塗り禁止でかつ削除可能な状態に設定可能とすることにより、より柔軟な電子文書の改訂を実現し、ユーザの利便性の向上を図ることができる電子文書管理プログラム、該プログラムを記録した記録媒体、電子文書管理装置、および電子文書管理方法を提供することを目的とする。
【課題を解決するための手段】
【００２２】
上述した課題を解決し、目的を達成するため、この発明にかかる電子文書管理プログラム、該プログラムを記録した記録媒体、電子文書管理装置、および電子文書管理方法は、複数の構成要素からなり、前記構成要素ごとに、当該構成要素固有の第１の電子署名および第２の電子署名が規定され、かつ前記各第１の電子署名を集約した集約電子署名が関連付けられている電子文書を取得し、その電子文書のうち隠蔽禁止対象となる構成要素の指定を受け付け、隠蔽禁止対象に指定された構成要素と当該構成要素に規定されている前記第１の電子署名および第２の電子署名の双方とが存在する場合、当該構成要素が隠蔽可能でかつ削除可能な状態であると判断し、隠蔽可能でかつ削除可能な状態であると判断された場合、前記隠蔽禁止対象となる構成要素に規定されている第２の電子署名を削除することを特徴とする。
【００２３】
また、上記発明において、前記電子文書のうち削除禁止対象となる構成要素の指定を受け付け、削除禁止対象に指定された構成要素と当該構成要素に規定されている前記第１の電子署名とが存在する場合、当該構成要素が削除可能な状態であると判断し、削除可能な状態であると判断された場合、前記削除禁止対象となる構成要素に規定されている第１の電子署名を削除することとしてもよい。
【００２４】
また、上記発明において、前記電子文書のうち削除対象となる構成要素の指定を受け付け、削除対象に指定された構成要素と当該構成要素に規定されている前記第１の電子署名とが存在する場合、当該構成要素が削除可能な状態であると判断し、削除可能な状態であると判断された場合、前記削除対象となる構成要素に規定されている前記第１の電子署名を前記集約電子署名の中から削除するとともに、前記構成要素および当該構成要素に規定されている第１の電子署名を削除することとしてもよい。
【００２５】
これらの発明によれば、電子文書を構成する構成要素を、隠蔽可能でかつ削除可能な状態から隠蔽禁止でかつ削除可能な状態に設定することができる。さらに、隠蔽禁止でかつ削除可能な状態に設定されたその構成要素を、隠蔽禁止でかつ削除可能な状態または削除済みの状態に設定することができる。
【００２６】
また、上記発明において、改定対象となる構成要素が、隠蔽禁止、削除禁止および削除済みのいずれかに改訂された改訂文書を取得し、前記第１の電子署名、前記第２の電子署名および前記集約電子署名に基づいて、前記改訂文書の真正を検証し、その検証結果を出力することとしてもよい。
【００２７】
この発明によれば、改定対象に指定された構成要素の状態が隠蔽禁止、削除禁止および削除済みのいずれかの状態に設定された場合であっても、当該改定対象を含む改訂文書の真正性を検証することができる。
【００２８】
また、上記発明において、複数の構成要素からなり、前記構成要素ごとに、当該構成要素固有の第１の電子署名および第２の電子署名が規定され、かつ前記各第１の電子署名を集約した第１の集約電子署名および前記各第２の電子署名を集約した第２の集約電子署名が関連付けられている電子文書を取得し、その電子文書のうち隠蔽禁止対象となる構成要素の指定を受け付け、隠蔽禁止対象に指定された構成要素と当該構成要素に規定されている前記第１の電子署名および第２の電子署名の双方とが存在する場合、当該構成要素が隠蔽可能でかつ削除可能な状態であると判断し、隠蔽可能でかつ削除可能な状態であると判断された場合、前記隠蔽禁止対象となる構成要素に規定されている前記第２の電子署名を前記第２の集約電子署名の中から削除するとともに、前記構成要素に規定されている第２の電子署名を削除することとしてもよい。
【００２９】
また、上記発明において、前記電子文書のうち前記削除禁止対象となる構成要素の指定を受け付け、削除禁止対象に指定された構成要素と当該構成要素に規定されている前記第１の電子署名とが存在する場合、当該構成要素が削除可能な状態であると判断し、削除可能な状態であると判断された場合、前記削除禁止対象となる構成要素に規定されている前記第１の電子署名を削除することとしてもよい。
【００３０】
また、上記発明において、前記電子文書のうち前記削除対象となる構成要素の指定を受け付け、削除対象に指定された構成要素と当該構成要素に規定されている前記第１の電子署名とが存在する場合、当該構成要素が削除可能な状態であると判断し、削除可能な状態であると判断された場合、前記削除対象となる構成要素に規定されている前記第１の電子署名を前記第１の集約電子署名の中から削除するとともに、前記構成要素および当該構成要素に規定されている第１の電子署名を削除することとしてもよい。
【００３１】
これらの発明によれば、電子文書を構成する構成要素を、隠蔽可能でかつ削除可能な状態から隠蔽禁止でかつ削除可能な状態に設定することができる。さらに、隠蔽禁止でかつ削除可能な状態に設定されたその構成要素を、隠蔽禁止でかつ削除可能な状態または削除済みの状態に設定することができる。
【００３２】
また、上記発明において、改定対象となる構成要素が、隠蔽禁止、削除禁止および削除済みのいずれかに改訂された改訂文書を取得し、前記第１の電子署名、前記第２の電子署名、前記第１の集約電子署名および前記第２の集約電子署名に基づいて、前記改訂文書の真正を検証することとしてもよい。
【００３３】
この発明によれば、改定対象に指定された構成要素の状態が隠蔽禁止、削除禁止および削除済みのいずれかの状態に設定された場合であっても、当該改定対象を含む改訂文書の真正性を検証することができる。
【発明の効果】
【００３４】
本発明にかかる電子文書管理プログラム、該プログラムを記録した記録媒体、電子文書管理装置、および電子文書管理方法によれば、部分文書を墨塗り禁止でかつ削除可能な状態に設定可能とすることにより、より柔軟な電子文書の改訂を実現し、ユーザの利便性の向上を図ることができるという効果を奏する。
【発明を実施するための最良の形態】
【００３５】
以下に添付図面を参照して、この発明にかかる電子文書管理プログラム、該プログラムを記録した記録媒体、電子文書管理装置、および電子文書管理方法の好適な実施の形態を詳細に説明する。
【００３６】
（実施の形態）
（電子文書管理システム１００のシステム構成）
まず、この発明の実施の形態にかかる電子文書管理システムのシステム構成について説明する。図１は、この発明の実施の形態にかかる電子文書管理システムのシステム構成図である。
【００３７】
図１において、電子文書管理システム１００は、複数の電子文書管理装置１０１，１０２，１０３（図１では３台）が、インターネット、ＬＡＮ、ＷＡＮなどのネットワーク１１０を介して相互に通信可能に接続されている。
【００３８】
電子文書管理装置１０１は、電子文書Ｍに電子署名を施す署名者が使用するコンピュータ装置である。署名者は、この電子文書管理装置１０１を使用して、真正性を保証するための電子署名を電子文書Ｍに施すことができる。具体的には、署名者の秘密鍵を用いて生成された電子署名を電子文書Ｍに付与する。
【００３９】
この電子文書Ｍは、行政機関から発行される電子戸籍台帳、医療機関から発行される電子カルテおよび教育機関から発行される電子成績表などの秘匿性を有する情報である。また、各市町村の行政機関に対して公開請求することができる公文書などであってもよい。
【００４０】
電子文書管理装置１０２は、電子署名が施された電子文書Ｍを改訂する改訂者が使用するコンピュータ装置である。改訂者は、この電子文書管理装置１０２を使用して、電子文書Ｍを構成する部分文書の状態を変更（設定）することにより、改訂文書Ｒを作成することができる。
【００４１】
電子文書管理装置１０３は、改訂文書Ｒの真正性を検証する検証者が使用するコンピュータ装置である。検証者は、この電子文書管理装置１０３を利用して、改訂文書Ｒの真正性を検証することができる。このとき、第三者機関から発行される公開鍵を用いて、改訂文書Ｒの真正性を検証する。
【００４２】
なお、署名者、改訂者および検証者が使用するコンピュータ装置を、それぞれ電子文書管理装置１０１，１０２，１０３としたが、これに限らない。たとえば、１台のコンピュータ装置（たとえば、電子文書管理装置１０１）を使用して、署名、改訂および検証をおこなうこととしてもよい。また、電子文書Ｍの改訂は、複数の改訂者によって追加的におこなわれることとしてもよい。
【００４３】
ここで、電子文書Ｍの署名、改訂および検証の一連の流れを説明する。まず、電子文書管理装置１０１において、電子文書Ｍに対して、署名者による電子署名が施される。このあと、電子文書管理装置１０２において、電子署名が施された電子文書Ｍに対して、何らかの改訂がおこなわれる。そして、検証者による公開請求などに応じて、改訂文書Ｒが電子文書管理装置１０２から電子文書管理装置１０３に送信され、電子文書管理装置１０３において、改訂文書Ｒの真正性が検証される。
【００４４】
（電子文書管理装置のハードウェア構成）
まず、この発明の実施の形態にかかる電子文書管理装置１０１，１０２，１０３（以下、単に「電子文書管理装置１０１」とする）のハードウェア構成について説明する。図２は、この発明の実施の形態にかかる電子文書管理装置のハードウェア構成を示す説明図である。
【００４５】
図２において、電子文書管理装置１０１は、コンピュータ本体２１０と、入力装置２２０と、出力装置２３０と、から構成されており、不図示のルータやモデムを介してＬＡＮ，ＷＡＮやインターネットなどのネットワーク１１０に接続可能である。
【００４６】
コンピュータ本体２１０は、ＣＰＵ，メモリ，インターフェースを有する。ＣＰＵは、電子文書管理装置１０１の全体の制御を司る。メモリは、ＲＯＭ，ＲＡＭ，ＨＤ，光ディスク２１１，フラッシュメモリから構成される。メモリはＣＰＵのワークエリアとして使用される。
【００４７】
また、メモリには各種プログラムが格納されており、ＣＰＵからの命令に応じてロードされる。ＨＤおよび光ディスク２１１はディスクドライブによりデータのリード／ライトが制御される。また、光ディスク２１１およびフラッシュメモリはコンピュータ本体２１０に対し着脱自在である。インターフェースは、入力装置２２０からの入力、出力装置２３０への出力、ネットワーク１１０に対する送受信の制御をおこなう。
【００４８】
また、入力装置２２０としては、キーボード２２１、マウス２２２、スキャナ２２３などがある。キーボード２２１は、文字、数字、各種指示などの入力のためのキーを備え、データの入力をおこなう。また、タッチパネル式であってもよい。マウス２２２は、カーソルの移動や範囲選択、あるいはウィンドウの移動やサイズの変更などをおこなう。スキャナ２２３は、画像を光学的に読み取る。読み取られた画像は画像データとして取り込まれ、コンピュータ本体２１０内のメモリに格納される。なお、スキャナ２２３にＯＣＲ機能を持たせてもよい。
【００４９】
また、出力装置２３０としては、ディスプレイ２３１、スピーカ２３２、プリンタ２３３などがある。ディスプレイ２３１は、カーソル、アイコンあるいはツールボックスをはじめ、文書、画像、機能情報などのデータを表示する。また、スピーカ２３２は、効果音や読み上げ音などの音声を出力する。また、プリンタ２３３は、画像データや文書データを印刷する。
【００５０】
（電子文書管理装置の機能的構成）
つぎに、この発明の実施の形態にかかる電子文書管理装置１０１の機能的構成について説明する。図３は、この発明の実施の形態にかかる電子文書管理装置の機能的構成を示すブロック図である。図３において、電子文書管理装置１０１は、取得部３０１と、指定部３０２と、判断部３０３と、削除部３０４と、設定部３０５と、出力部３０６と、検証部３０７と、から構成されている。
【００５１】
これら各機能３０１〜３０７は、記憶領域に格納された当該機能に関するプログラムをＣＰＵに実行させることにより、当該機能を実現することができる。また、各機能３０１〜３０７からの出力データは記憶領域に保持される。また、図３中矢印で示した接続先の機能的構成は、接続元の機能からの出力データを記憶領域から読み込んで、当該機能に関するプログラムをＣＰＵに実行させる。
【００５２】
まず、取得部３０１は、複数の構成要素からなり、構成要素ごとに、当該構成要素固有の第１の電子署名および第２の電子署名が規定され、かつ各第１の電子署名を集約した集約電子署名が関連付けられている電子文書Ｍを取得する機能を有する。電子文書Ｍは、コンピュータ上で扱われる文書の総称であり、文書作成アプリケーションなどを用いて作成された電子データである。
【００５３】
この電子文書Ｍを構成する各構成要素は、当該構成要素と当該構成要素に規定されている第１の電子署名と第２の電子署名との組み合わせによって特定される各種の状態を有している。具体的には、隠蔽可能でかつ削除可能な状態、隠蔽禁止でかつ削除可能な状態、隠蔽禁止でかつ削除禁止な状態、隠蔽可能でかつ削除禁止な状態、隠蔽済みでかつ削除禁止な状態、隠蔽済みでかつ削除可能な状態および削除済みの状態のいずれかの状態を有している。
【００５４】
たとえば、ある構成要素が隠蔽可能でかつ削除可能な状態であった場合、改訂者は、この構成要素を任意に隠蔽または削除することができる。ここで、隠蔽とは、たとえば、墨塗り処理などを施すことにより、閲覧者によって認識することができない状態にすることである。削除とは、閲覧者によってその存在を把握することができない状態にすることである。
【００５５】
なお、この電子文書Ｍは、電子文書管理装置１０１において作成されてもよく、また、他のコンピュータ装置において作成されてもよい。他のコンピュータ装置において電子文書Ｍが作成された場合、取得部３０１は、インターネットなどのネットワーク１１０を介して他のコンピュータ装置から電子文書Ｍを取得することとなる。
【００５６】
指定部３０２は、取得部３０１によって取得された電子文書Ｍのうち隠蔽禁止対象となる構成要素の指定を受け付ける機能を有する。具体的には、たとえば、図２に示したキーボード２２１やマウス２２２などの入力装置２２０を改訂者が操作することによって、隠蔽禁止対象となる構成要素の指定を受け付ける。
【００５７】
判断部３０３は、指定部３０２によって隠蔽禁止対象に指定された構成要素と当該構成要素に規定されている第１の電子署名および第２の電子署名の双方とが存在する場合、当該構成要素が隠蔽可能でかつ削除可能な状態であると判断する機能を有する。すなわち、隠蔽禁止対象に指定された構成要素と当該構成要素に規定されている第１の電子署名および第２の電子署名との組み合わせによって当該構成要素の状態を特定し、その状態が隠蔽可能でかつ削除可能な状態であるか否かを判断する。
【００５８】
削除部３０４は、判断部３０３によって隠蔽可能でかつ削除可能な状態であると判断された場合、隠蔽禁止対象となる構成要素に規定されている第２の電子署名を削除する機能を有する。具体的には、隠蔽禁止対象に指定された構成要素と関連付けてＲＯＭやＲＡＭなどの記録領域に保持されている第２の電子署名を削除する。
【００５９】
設定部３０５は、削除部３０４によって削除された結果、隠蔽禁止対象となる構成要素を、隠蔽可能でかつ削除可能な状態から隠蔽禁止でかつ削除可能な状態に設定する機能を有する。すなわち、隠蔽禁止対象となる隠蔽可能でかつ削除可能な状態の構成要素に規定されている第２の電子署名が削除された場合、当該構成要素を隠蔽禁止でかつ削除可能な状態に設定する。この結果、隠蔽禁止対象に指定された隠蔽可能でかつ削除可能な状態の構成要素は、削除することはできるが隠蔽することができない隠蔽禁止でかつ削除可能な状態となる。
【００６０】
また、指定部３０２は、電子文書Ｍのうち削除禁止対象となる構成要素の指定を受け付けることとしてもよい。この場合、判断部３０３は、指定部３０２によって削除禁止対象に指定された構成要素と当該構成要素に規定されている第１の電子署名とが存在する場合、当該構成要素が削除可能な状態であると判断することとしてもよい。
【００６１】
また、削除部３０４は、判断部３０３によって削除可能な状態であると判断された場合、削除禁止対象となる構成要素に規定されている第１の電子署名を集約電子署名の中から削除するとともに、当該構成要素に規定されている第１の電子署名を削除する。具体的には、電子文書Ｍと関連付けて記憶領域に保持されている集約電子署名の中から削除禁止対象に指定された構成要素に規定されている第１の電子署名を削除し、さらに、当該構成要素と関連付けて記録領域に保持されている第１の電子署名を削除する。
【００６２】
また、設定部３０５は、削除部３０４によって削除された結果、削除禁止対象となる構成要素を、削除可能な状態から削除禁止な状態に設定することとしてもよい。この結果、削除禁止対象に指定された削除可能な状態の構成要素は、削除することができない削除禁止の状態となる。
【００６３】
また、指定部３０２は、電子文書Ｍのうち削除対象となる構成要素の指定を受け付けることとしてもよい。この場合、判断部３０３は、指定部３０２によって削除対象に指定された構成要素と当該構成要素に規定されている第１の電子署名とが存在する場合、当該構成要素が削除可能な状態であると判断する。
【００６４】
また、削除部３０４は、判断部３０３によって削除可能な状態であると判断された場合、削除対象となる構成要素に規定されている第１の電子署名を集約電子署名の中から削除するとともに、構成要素および当該構成要素に規定されている第１の電子署名を削除する。具体的には、電子文書Ｍと関連付けて記憶領域に保持されている集約電子署名の中から削除対象に指定された構成要素に規定されている第１の電子署名を削除し、さらに、当該構成要素と関連付けて記録領域に保持されている第１の電子署名を削除する。
【００６５】
また、設定部３０５は、削除部３０４によって削除された結果、削除対象となる構成要素を、削除可能な状態から削除済みの状態に設定する。この結果、削除対象に指定された削除可能な状態の構成要素は、電子文書Ｍの中から削除された削除済みの状態となる。
【００６６】
なお、上述した隠蔽禁止対象となる構成要素の指定と、削除禁止対象および削除対象となる構成要素の指定とは、それぞれ異なる電子文書管理装置１０１においておこなわれてもよい。すなわち、一方の電子文書管理装置１０１において、隠蔽可能でかつ削除可能な状態の構成要素を隠蔽禁止対象として指定し、他方の電子文書管理装置１０１において、隠蔽禁止でかつ削除可能な状態に設定された構成要素を削除禁止対象または削除対象として指定する。
【００６７】
出力部３０６は、設定部３０５によって設定された電子文書Ｍを出力する機能を有する。出力部３０６による出力形式は、外部のコンピュータ装置（たとえば、電子文書管理装置１０２，１０３）、プリンタ２３３での印刷出力、メモリへのデータ出力（保存）のいずれであってもよい。
【００６８】
また、取得部３０１は、改定対象となる構成要素が、隠蔽禁止、削除禁止および削除済みのいずれかに改訂された改訂文書Ｒを取得する機能を有する。具体的には、設定部３０５によって構成要素の状態が設定された改訂文書Ｒを取得する機能を有する。改訂文書Ｒは、電子文書Ｍを構成する構成要素に対して改訂がおこなわれた電子データである。たとえば、隠蔽禁止対象に指定された構成要素の状態が、隠蔽可能でかつ削除可能な状態から隠蔽禁止でかつ削除可能な状態に設定された改訂文書Ｒである。
【００６９】
この改訂文書Ｒは、検証者から改訂者に対して改訂文書Ｒの公開請求があった場合に、改訂者の電子文書管理装置１０１から検証者の電子文書管理装置１０１に送信（出力）されることとなる。そして、検証者の電子文書管理１０１の取得部３０１により、改訂者の電子文書管理装置１０１から送信された改訂文書Ｒを取得する。
【００７０】
検証部３０７は、第１の電子署名、第２の電子署名および集約電子署名に基づいて、取得部３０１によって取得された改訂文書Ｒの真正を検証する機能を有する。具体的には、署名者の公開鍵を用いて、第１の電子署名、第２の電子署名および集約電子署名を復号し、改訂文書Ｒの真正を検証する。
【００７１】
出力部３０６は、検証部３０７によって検証された検証結果を出力する機能を有する。具体的には、第１の電子署名、第２の電子署名および集約電子署名すべての検証に合格した場合に、検証合格を示す検証結果を出力する。一方、第１の電子署名、第２の電子署名および集約電子署名のいずれか一つの検証に不合格となった場合、検証不合格を示す検証結果を出力する。
【００７２】
なお、指定部３０２による隠蔽禁止対象、削除禁止対象および削除対象の指定は、取得部３０１によって取得された改訂文書Ｒを構成する構成要素に対して可能としてもよい。これにより、電子文書Ｍ（改訂文書Ｒ）に対する追加的な改訂を実現する。
【００７３】
また、上述した隠蔽禁止対象、削除禁止対象および削除対象の他に各種の改訂対象の指定をおこなうことができる。たとえば、指定部３０２は、電子文書Ｍのうち隠蔽対象となる構成要素の指定を受け付けることができる。この場合、判断部３０３により、隠蔽対象に指定された構成要素と当該構成要素に規定されている第１の電子署名および第２の電子署名の双方とが存在する場合、当該構成要素が隠蔽可能でかつ削除可能な状態であると判断する。
【００７４】
その結果、隠蔽可能でかつ削除可能な状態であると判断された場合、不図示の置換部により、隠蔽対象に指定された構成要素を当該構成要素のハッシュ値に置き換えて、設定部３０５により、隠蔽禁止対象となる構成要素を、隠蔽可能でかつ削除可能な状態から隠蔽済みでかつ削除可能な状態に設定することとなる。なお、各種の改訂対象を指定した場合の具体的な処理内容は後述する実施例１において説明する。
【００７５】
また、取得部３０１は、複数の構成要素からなり、構成要素ごとに、当該構成要素固有の第１の電子署名および第２の電子署名が規定され、かつ各第１の電子署名を集約した第１の集約電子署名および各第２の電子署名を集約した第２の集約電子署名が関連付けられている電子文書Ｍを取得することとしてもよい。
【００７６】
ここでは、上述した電子文書Ｍとは異なる表現方式（第２の集約電子署名が追加されている）によって、隠蔽可能でかつ削除可能な状態、隠蔽禁止でかつ削除可能な状態、隠蔽禁止でかつ削除禁止な状態、隠蔽可能でかつ削除禁止な状態、隠蔽済みでかつ削除禁止な状態、隠蔽済みでかつ削除可能な状態および削除済みの状態を表現する電子文書Ｍを取得する。
【００７７】
指定部３０２は、上記電子文書Ｍのうち隠蔽禁止対象となる構成要素の指定を受け付ける。判断部３０３は、隠蔽禁止対象に指定された構成要素と当該構成要素に規定されている第１の電子署名および第２の電子署名の双方とが存在する場合、当該構成要素が隠蔽可能でかつ削除可能な状態であると判断する。
【００７８】
削除部３０４は、判断部３０３によって隠蔽可能でかつ削除可能な状態であると判断された場合、隠蔽禁止対象となる構成要素に規定されている第２の電子署名を第２の集約電子署名の中から削除するとともに、構成要素に規定されている第２の電子署名を削除する。設定部３０５は、削除部３０４によって削除された結果、隠蔽禁止対象となる構成要素を、隠蔽可能でかつ削除可能な状態から隠蔽禁止でかつ削除可能な状態に設定する。
【００７９】
また、指定部３０２は、削除禁止対象の指定を受け付ける。判断部３０３は、削除禁止対象に指定された構成要素と当該構成要素に規定されている第１の電子署名とが存在する場合、当該構成要素が削除可能な状態であると判断する。削除部３０４は、判断部３０３によって削除可能な状態であると判断された場合、削除禁止対象となる構成要素に規定されている第１の電子署名を削除する。設定部３０５は、削除部３０４によって削除された結果、削除禁止対象となる構成要素を、削除可能な状態から削除禁止の状態に設定する。
【００８０】
また、指定部３０２は、削除対象の指定を受け付ける。判断部３０３は、削除対象に指定された構成要素と当該構成要素に規定されている第１の電子署名とが存在する場合、当該構成要素が削除可能な状態であると判断する。削除部３０４は、判断部３０３によって削除可能な状態であると判断された場合、削除対象となる構成要素に規定されている第１の電子署名を第１の集約電子署名の中から削除するとともに、削除対象となる構成要素および当該構成要素に規定されている第１の電子署名を削除する。設定部３０５は、削除部３０４によって削除された結果、削除対象となる構成要素を、削除可能な状態から削除済みの状態に設定する。
【００８１】
また、取得部３０１は、改定対象となる構成要素が、隠蔽禁止、削除禁止および削除済みのいずれかに改訂された改訂文書を取得する。具体的には、設定部３０５によって構成要素の状態が設定された改訂文書Ｒを取得する。そして、検証部３０７は、第１の電子署名、第２の電子署名、第１の集約電子署名および第２の集約電子署名に基づいて、取得部３０１によって取得された改訂文書Ｒの真正を検証することとしてもよい。なお、各種の改訂対象を指定した場合の具体的な処理内容は後述する実施例２および３において説明する。
【００８２】
（電子文書管理装置の改訂処理手順）
つぎに、この発明の実施の形態にかかる電子文書管理装置１０１の改訂処理手順について説明する。図４は、この発明の実施の形態にかかる電子文書管理装置の改訂処理手順を示すフローチャートである。
【００８３】
図４のフローチャートにおいて、まず、取得部３０１により、複数の構成要素からなり、構成要素ごとに、当該構成要素固有の第１の電子署名および第２の電子署名が規定され、かつ各第１の電子署名を集約した集約電子署名が関連付けられている電子文書Ｍを取得したか否かを判断する（ステップＳ４０１）。
【００８４】
ここで、電子文書Ｍを取得するのを待って（ステップＳ４０１：Ｎｏ）、取得した場合（ステップＳ４０１：Ｙｅｓ）、指定部３０２により、改訂対象となる構成要素の指定を受け付けたか否かを判断する（ステップＳ４０２）。このあと、指定を受け付けるのを待って（ステップＳ４０２：Ｎｏ）、受け付けた場合（ステップＳ４０２：Ｙｅｓ）、隠蔽禁止対象となる構成要素の指定を受け付けたか否かを判断する（ステップＳ４０３）。
【００８５】
ここで、隠蔽禁止対象となる構成要素の指定を受け付けた場合（ステップＳ４０３：Ｙｅｓ）、判断部３０３により、隠蔽禁止対象に指定された構成要素と当該構成要素に規定されている第１の電子署名および第２の電子署名との存否に基づいて、当該構成要素が隠蔽可能でかつ削除可能な状態であるか否かを判断する（ステップＳ４０４）。
【００８６】
ここで、隠蔽可能でかつ削除可能な状態であると判断された場合（ステップＳ４０４：Ｙｅｓ）、削除部３０４により、隠蔽禁止対象となる構成要素に規定されている第２の電子署名を削除する（ステップＳ４０５）。そして、設定部３０５により、隠蔽禁止対象となる構成要素を、隠蔽可能でかつ削除可能な状態から隠蔽禁止でかつ削除可能な状態に設定して（ステップＳ４０６）、本フローチャートによる一連の処理を終了する。
【００８７】
一方、ステップＳ４０４において、隠蔽可能でかつ削除可能な状態であると判断されなかった場合（ステップＳ４０４：Ｎｏ）、本フローチャートによる一連の処理を終了する。また、ステップＳ４０３において、隠蔽禁止対象となる構成要素の指定を受け付けていない場合（ステップＳ４０３：Ｎｏ）、削除禁止対象となる構成要素の指定を受け付けたか否かを判断する（ステップＳ４０７）。
【００８８】
ここで、削除禁止対象となる構成要素の指定を受け付けた場合（ステップＳ４０７：Ｙｅｓ）、判断部３０３により、削除禁止対象に指定された構成要素と当該構成要素に規定されている第１の電子署名との存否に基づいて、当該構成要素が削除可能な状態であるか否かを判断する（ステップＳ４０８）。
【００８９】
ここで、削除可能な状態であると判断された場合（ステップＳ４０８：Ｙｅｓ）、削除部３０４により、削除禁止対象となる構成要素に規定されている第１の電子署名を削除する（ステップＳ４０９）。そして、設定部３０５により、削除禁止対象となる構成要素を、削除可能な状態から削除禁止な状態に設定して（ステップＳ４１０）、本フローチャートによる一連の処理を終了する。
【００９０】
一方、ステップＳ４０８において、削除可能な状態であると判断されなかった場合（ステップＳ４０８：Ｎｏ）、本フローチャートによる一連の処理を終了する。また、ステップＳ４０７において、削除禁止対象となる構成要素の指定を受け付けていない場合（ステップＳ４０７：Ｎｏ）、削除対象となる構成要素の指定を受け付けたか否かを判断する（ステップＳ４１１）。
【００９１】
ここで、削除対象となる構成要素の指定を受け付けた場合（ステップＳ４１１：Ｙｅｓ）、判断部３０３により、削除対象に指定された構成要素と当該構成要素に規定されている第１の電子署名の存否に基づいて、当該構成要素が削除可能な状態であるか否かを判断する（ステップＳ４１２）。
【００９２】
ここで、削除可能な状態であると判断された場合（ステップＳ４１２：Ｙｅｓ）、削除部３０４により、削除対象となる構成要素に規定されている第１の電子署名を集約電子署名の中から削除するとともに、構成要素および当該構成要素に規定されている第１の電子署名を削除する（ステップＳ４１３）。
【００９３】
そして、設定部３０５により、削除対象となる構成要素を、削除可能な状態から削除済みの状態に設定して（ステップＳ４１４）、本フローチャートによる一連の処理を終了する。また、ステップＳ４１１において削除対象となる構成要素の指定を受け付けていない場合（ステップＳ４１１：Ｎｏ）、または、ステップＳ４１２において削除可能な状態であると判断されなかった場合（ステップＳ４１２：Ｎｏ）、本フローチャートによる一連の処理を終了する。
【００９４】
これにより、電子文書Ｍを構成する構成要素に対して、隠蔽禁止でかつ削除可能な状態に設定することができる。さらに、隠蔽禁止でかつ削除可能な状態に設定された構成要素を、隠蔽禁止でかつ削除禁止な状態、または、削除済みの状態に設定することができる。
【００９５】
（電子文書管理装置の検証処理手順）
つぎに、この発明の実施の形態にかかる電子文書管理装置１０１の検証処理手順について説明する。図５は、この発明の実施の形態にかかる電子文書管理装置の検証処理手順を示すフローチャートである。図５のフローチャートにおいて、まず、取得部３０１により、改定対象となる構成要素が、隠蔽禁止、削除禁止および削除済みのいずれかに改訂された改訂文書を取得したか否かを判断する（ステップＳ５０１）。
【００９６】
ここで、改訂文書Ｒを取得するのを待って（ステップＳ５０１：Ｎｏ）、取得した場合（ステップＳ５０１：Ｙｅｓ）、検証部３０７により、第１の電子署名、第２の電子署名および集約電子署名に基づいて、取得部３０１によって取得された改訂文書Ｒの真正を検証する（ステップＳ５０２）。最後に、出力部３０６により、検証部３０７によって検証された検証結果を出力して（ステップＳ５０３）、本フローチャートによる一連の処理を終了する。
【００９７】
この発明の実施の形態にかかる電子文書管理装置１０１によれば、電子文書Ｍを、該電子文書Ｍの真正を検証可能に保持しつつ、該電子文書Ｍを構成する構成要素に対して、隠蔽禁止でかつ削除可能な状態に設定する改訂をおこなうことができる。さらに、隠蔽禁止でかつ削除可能な状態に設定された構成要素を、隠蔽禁止でかつ削除禁止な状態、または、削除済みの状態に設定することができる。
【実施例１】
【００９８】
（部分文書の状態および状態遷移）
つぎに、上述した実施の形態の実施例１について説明する。まず、電子文書Ｍを構成する各部分文書の状態および状態遷移について説明する。図６は、部分文書状態および状態遷移を示す図表である。なお、部分文書とは、上述した電子文書を構成する構成要素に相当する。
【００９９】
図６において、図表６００には、電子文書Ｍを構成する各部分文書に設定可能な部分文書の状態が表現されている。具体的には、墨塗り（Ｓａｎｉｔｉｚａｔｉｏｎ）および削除（Ｄｅｌｅｔｉｏｎ）に関する、禁止（Ｐｒｏｈｉｂｉｔｅｄ）、可能（Ａｌｌｏｗｅｄ）および済み（Ｓａｎｉｔｉｚｅｄ  ｏｒ  Ｄｅｌｅｔｅｄ）を示す属性の組み合わせによって各状態が表現されている。
【０１００】
ここでは、墨塗り可能でかつ削除可能な状態を『ＳＡＤＡ』、墨塗り禁止でかつ削除可能な状態を『ＳＰＤＡ』、墨塗り禁止でかつ削除禁止な状態を『ＳＰＤＰ』、墨塗り可能でかつ削除禁止な状態を『ＳＡＤＰ』、墨塗り済みでかつ削除可能な状態を『ＳＤＡ』、墨塗り済みでかつ削除禁止な状態を『ＳＤＰ』、削除済みの状態を『Ｄ』と表記する。
【０１０１】
また、図表６００には、状態間の遷移をあらわす状態遷移として、１２個の状態遷移Ｔ１〜Ｔ１２が表現されている。これら状態遷移Ｔ１〜Ｔ１２は、改訂者によって各部分文書に対する改訂をおこなう際に、当該各部分文書の状態を他の状態に設定することができる状態遷移をあらわしている。
【０１０２】
ここで、状態遷移Ｔ１を例に挙げると、墨塗り可能でかつ削除可能な状態である『ＳＡＤＡ』から、墨塗り禁止でかつ削除可能な状態である『ＳＰＤＡ』への遷移をあらわしている。また、状態遷移Ｔ７を例に挙げると、墨塗り禁止でかつ削除可能な状態である『ＳＰＤＡ』から、墨塗り禁止でかつ削除禁止な状態である『ＳＰＤＰ』への遷移をあらわしている。
【０１０３】
（電子署名生成の概要）
つぎに、電子文書Ｍに施される電子署名生成の概要について説明する。図７は、電子署名生成の概要を示す説明図である。図７において、まず、電子文書Ｍをｎ個の部分文書『ｍ1，ｍ2，…，ｍn』に分割する。具体的には、電子文書Ｍの先頭（たとえば、読み込み開始箇所）からバイト単位で分割してもよく、また、文字、単語、文、ページごとに分割してもよい。
【０１０４】
このあと、乱数を利用して、予測不可能な文書ＩＤおよび部分文書ＩＤを各部分文書ｍ1〜ｍnに割り当てる。文書ＩＤは、電子文書Ｍを構成するすべての部分文書『ｍ1，ｍ2，…，ｍn』に共通する値である。以下、文書ＩＤを「Ｄ」と表記する。
【０１０５】
部分文書ＩＤは、部分文書ｍ1〜ｍnごとに異なる値である。この部分文書ＩＤは、電子文書Ｍにおける各部分文書ｍ1〜ｍnの出現位置に従って、昇順（または降順）となるようにｍ1〜ｍnに割り当てられている。以下、各部分文書ｍ1〜ｍnに割り当てられている部分文書ＩＤをそれぞれ「ＳＤ1，ＳＤ2，…，ＳＤn」と表記する。また、文書ＩＤおよび部分文書ＩＤが追加された部分文書ｍiを「Ｄ‖ＳＤi‖ｍi」（ｉ＝１，２，…，ｎ）と表記する。
【０１０６】
このあと、各ｉに対して、部分文書「Ｄ‖ＳＤi‖ｍi」のハッシュ値を算出する。具体的には、ハッシュ関数を利用して、各部分文書「Ｄ‖ＳＤi‖ｍi」から固定長の擬似乱数を算出する。以下、各部分文書「Ｄ‖ＳＤi‖ｍi」のハッシュ値をそれぞれ「ｈ1，ｈ2，…，ｈn」と表記する。
【０１０７】
このあと、各ハッシュ値ｈ1〜ｈnに当該各ハッシュ値ｈ1〜ｈnの部分文書ｍ1〜ｍnに割り当てられている文書ＩＤおよび部分文書ＩＤを割り当てる。以下、文書ＩＤおよび部分文書ＩＤが追加されたハッシュ値ｈ1〜ｈnを「Ｄ‖ＳＤi‖ｈi」（ｉ＝１，２，…，ｎ）と表記する。
【０１０８】
このあと、各ｉに対して、署名者の秘密鍵を用いて、「Ｄ‖ＳＤi‖ｈi」（ｉ＝１，２，…，ｎ）に対する第１の電子署名を生成する。以下、各ハッシュ値「Ｄ‖ＳＤi‖ｈi」に対する第１の電子署名を「σ1，σ2，…，σn」と表記する。
【０１０９】
ここで、署名者の秘密鍵および公開鍵の鍵生成について説明する。秘密鍵および公開鍵を生成する場合、まず、適切な大きさの素数ｐと、要素数がｐの群Ｇおよびその生成元ｇと、要素数がｐの群Ｇとは異なる群Ｇ’と、Ｇ×Ｇと、から群Ｇ’への双線形写像ｅを生成する。
【０１１０】
このあと、「１」以上「ｐ−１」以下の整数から、予測不可能な整数ｓｋを決定する。さらに、ｇskを算出し、ｐｋとして設定する。この結果、署名者の秘密鍵をｓｋ、公開鍵をｐｋとする。以下、署名者の秘密鍵を「秘密鍵ｓｋ」、公開鍵を「公開鍵ｐｋ」と表記する。
【０１１１】
第１の電子署名σ1〜σnを生成する場合、各ｉに対して、第１の電子署名σi＝Ｈ（Ｄ｜｜ＳＤi｜｜ｈi）skを算出する。関数Ｈは、任意の値を群Ｇの値に変換する関数であり、出力値から入力値を求めることが困難な関数である。
【０１１２】
なお、上述した秘密鍵および公開鍵の鍵生成の詳細は、たとえば、『Ｂｏｎｅｈ，Ｇｅｎｔｒｙ，Ｌｙｎｎ，Ｓｈａｃｈａｍ，“Ａｇｇｒｅｇａｔｅ  ａｎｄ  Ｖｅｒｉｆｉａｂｌｙ  Ｅｎｃｒｙｐｔｅｄ  Ｓｉｇｎａｔｕｒｅｓ  ｆｒｏｍ  Ｂｉｌｉｎｅａｒ  Ｍａｐｓ”，Ｅｕｒｏｃｒｙｐｔ  ２００３，  Ｌｅｃｔｕｒｅ  Ｎｏｔｅｓ  ｉｎ  Ｃｏｍｐｕｔｅｒ  Ｓｃｉｅｎｃｅ（ＬＮＣＳ）  Ｖｏｌ．２６５６，ｐｐ．４１６−４３２，２００３』を参照。
【０１１３】
図７の説明に戻り、第１の電子署名σ1〜σnを生成後、該第１の電子署名σ1〜σnを集約した集約電子署名σを算出する。具体的には、各第１の電子署名σ1〜σnを乗算することにより、集約電子署名σを算出することとしてもよい。以下、第１の電子署名σ1〜σnを集約した集約電子署名を「σ」と表記する。
【０１１４】
また、各ｉに対して、署名者の秘密鍵ｓｋを用いて、部分文書「Ｄ‖ＳＤi‖ｍi」に対する第２の電子署名を生成する。以下、各部分文書「Ｄ‖ＳＤi‖ｍi」に対する第２の電子署名を「τ1，τ2，…，τn」と表記する。
【０１１５】
なお、第１および第２の電子署名の生成方式としては、たとえば、素因数分解に基づくＲＳＡ署名方式やＥＳＩＧＮ署名、離散対数に基づくエルガマル署名やＤＳＡ署名、楕円離散対数に基づく楕円エルガマル署名や楕円ＤＳＡ署名などを用いることができる。
【０１１６】
上述した第１の電子署名σ1〜σnおよび第２の電子署名τ1〜τnは、それぞれ対応する各部分文書「Ｄ‖ＳＤi‖ｍi」に規定される。また、第１の電子署名σ1〜σnを集約した集約電子署名σは、電子文書Ｍに関連付けられる。
【０１１７】
このように、各部分文書「Ｄ‖ＳＤi‖ｍi」に第１の電子署名σ1〜σnおよび第２の電子署名τ1〜τnを規定し、さらに、集約電子署名σを電子文書Ｍに関連付けることにより、各部分文書「Ｄ‖ＳＤi‖ｍi」に対する改訂がおこなわれた場合に、改訂後の電子文書Ｍ（改訂文書Ｒ）の真正性を検証することができる。
【０１１８】
（電子文書Ｍの初期状態）
つぎに、電子文書Ｍの初期状態について説明する。図８は、実施例１における電子文書Ｍの初期状態の一例を示す説明図である。以下、文書ＩＤおよび部分文書ＩＤが追加された部分文書「Ｄ‖ＳＤi‖ｍi」を「ｍi’」と表記する。
【０１１９】
図８において、電子文書Ｍは、複数の部分文書ｍ1’〜ｍ7’に分割されている。各部分文書ｍ1’〜ｍ7’には、それぞれ対応する第１の電子署名σ1〜σ7および第２の電子署名τ1〜τ7が規定されている。また、電子文書Ｍには、第１の電子署名σ1〜σ7を集約した集約電子署名σが関連付けられている。電子文書Ｍの初期状態において、これら部分文書ｍ1’〜ｍ7’の状態は、墨塗り可能でかつ削除可能な状態の『ＳＡＤＡ』である。
【０１２０】
（部分文書状態の表現方式）
つぎに、各部分文書ｍi’の状態の表現方式について説明する。図９は、実施例１における部分文書状態の表現方式を示す説明図である。以下、文書ＩＤおよび部分文書ＩＤが追加されたハッシュ値「Ｄ‖ＳＤi‖ｈi」を「ｈi’」と表記する。図９において、各部分文書ｍi’の状態が、部分文書ｍi’、ハッシュ値ｈi’、第１の電子署名σiおよび第２の電子署名τiの組み合わせによって表現されている。
【０１２１】
まず、部分文書ｍi’、第１の電子署名σiおよび第２の電子署名τiの組み合わせによって、墨塗り可能でかつ削除可能な状態（初期状態）をあらわす『ＳＡＤＡ』が表現されている。この場合、集約電子署名σには第１の電子署名σiが含まれている。
【０１２２】
また、部分文書ｍi’および第２の電子署名τiの組み合わせによって、墨塗り可能でかつ削除禁止な状態をあらわす『ＳＡＤＰ』が表現されている。この場合、集約電子署名σの中から第１の電子署名σiが削除されている。
【０１２３】
また、ハッシュ値ｈi’、第１の電子署名σiおよび第２の電子署名τiの組み合わせによって、墨塗り済みでかつ削除可能な状態をあらわす『ＳＤＡ』が表現されている。この場合、集約電子署名σには第１の電子署名σiが含まれている。
【０１２４】
また、ハッシュ値ｈi’および第２の電子署名τiによって、墨塗り済みでかつ削除禁止な状態をあらわす『ＳＤＰ』が表現されている。この場合、集約電子署名σの中から第１の電子署名σiが削除されている。
【０１２５】
また、部分文書ｍi’および第１の電子署名σiの組み合わせによって、墨塗り禁止でかつ削除可能な状態をあらわす『ＳＰＤＡ』が表現されている。また、部分文書ｍi’によって、墨塗り禁止でかつ削除禁止な状態をあらわす『ＳＰＤＰ』が表現されている。この場合、集約電子署名σの中から第１の電子署名σiが削除されている。
【０１２６】
また、部分文書ｍi’、ハッシュ値ｈi’、第１の電子署名σiおよび第２の電子署名τiのいずれも存在していない組み合わせによって、削除済みの状態をあらわす『Ｄ』が表現されている。この場合、集約電子署名σの中から第１の電子署名σiが削除されている。
【０１２７】
（状態間の状態遷移）
つぎに、図６に示した状態遷移Ｔ１〜Ｔ１２について説明する。まず、状態遷移Ｔ１は、『ＳＡＤＡ』から『ＳＰＤＡ』への遷移をあらわしている。『ＳＡＤＡ』から『ＳＰＤＡ』へ遷移させるためには、部分文書ｍi’に規定されている第２の電子署名τiを削除する。なお、『ＳＰＤＡ』から『ＳＡＤＡ』へ遷移させることはできない。なぜなら、『ＳＰＤＡ』は第２の電子署名τiを有していないため、『ＳＰＤＡ』から『ＳＡＤＡ』への遷移は不能となる。
【０１２８】
状態遷移Ｔ２は、『ＳＡＤＡ』から『ＳＰＤＰ』への遷移をあらわしている。『ＳＡＤＡ』から『ＳＰＤＰ』へ遷移させるためには、部分文書ｍi’に規定されている第１の電子署名σiおよび第２の電子署名τiを削除する。なお、『ＳＰＤＰ』から『ＳＡＤＡ』へ遷移させることはできない。なぜなら、『ＳＰＤＰ』は第１の電子署名σiおよび第２の電子署名τiを有していないため、『ＳＰＤＰ』から『ＳＡＤＡ』への遷移は不能となる。
【０１２９】
状態遷移Ｔ３は、『ＳＡＤＡ』から『ＳＡＤＰ』への遷移をあらわしている。『ＳＡＤＡ』から『ＳＡＤＰ』へ遷移させるためには、部分文書ｍi’に規定されている第１の電子署名σiを削除する。なお、『ＳＡＤＰ』から『ＳＡＤＡ』へ遷移させることはできない。なぜなら、『ＳＡＤＰ』は第１の電子署名σiを有していないため、『ＳＡＤＰ』から『ＳＡＤＡ』への遷移は不能となる。
【０１３０】
状態遷移Ｔ４は、『ＳＡＤＡ』から『ＳＤＰ』への遷移をあらわしている。『ＳＡＤＡ』から『ＳＤＰ』へ遷移させるためには、部分文書ｍi’をハッシュ値ｈi’に置き換えるとともに、部分文書ｍi’に規定されている第１の電子署名σiを削除する。なお、『ＳＤＰ』から『ＳＡＤＡ』へ遷移させることはできない。なぜなら、『ＳＤＰ』は部分文書ｍi’がハッシュ値ｈi’に置き換えられており、ハッシュ値ｈi’から部分文書ｍi’を求めることができないため、『ＳＤＰ』から『ＳＡＤＡ』への遷移は不能となる。
【０１３１】
状態遷移Ｔ５は、『ＳＡＤＡ』から『ＳＤＡ』への遷移をあらわしている。『ＳＡＤＡ』から『ＳＤＡ』へ遷移させるためには、部分文書ｍi’をハッシュ値ｈi’に置き換える。なお、『ＳＤＡ』から『ＳＡＤＡ』へ遷移させることはできない。なぜなら、『ＳＤＡ』は部分文書ｍi’がハッシュ値ｈi’に置き換えられており、ハッシュ値ｈi’から部分文書ｍi’を求めることができないため、『ＳＤＡ』から『ＳＡＤＡ』への遷移は不能となる。
【０１３２】
状態遷移Ｔ６は、『ＳＡＤＡ』から『Ｄ』への遷移をあらわしている。『ＳＡＤＡ』から『Ｄ』へ遷移させるためには、集約電子署名σの中から部分文書ｍi’に規定されている第１の電子署名σiを削除するとともに、部分文書ｍi’と部分文書ｍi’に規定されている第１の電子署名σiおよび第２の電子署名τiとを削除する。なお、『Ｄ』から『ＳＡＤＡ』へ遷移させることはできない。なぜなら、『Ｄ』は部分文書ｍi’と部分文書ｍi’に規定されている第１の電子署名σiおよび第２の電子署名τiとを有していないため、『Ｄ』から『ＳＡＤＡ』への遷移は不能となる。
【０１３３】
状態遷移Ｔ７は、『ＳＰＤＡ』から『ＳＰＤＰ』への遷移をあらわしている。『ＳＰＤＡ』から『ＳＰＤＰ』へ遷移させるためには、部分文書ｍi’に規定されている第１の電子署名σiを削除する。なお、『ＳＰＤＰ』から『ＳＰＤＡ』へ遷移させることはできない。なぜなら、『ＳＰＤＰ』は第１の電子署名σiを有していないため、『ＳＰＤＰ』から『ＳＰＤＡ』への遷移は不能となる。
【０１３４】
また、『ＳＰＤＰ』から『ＳＤＰ』へ遷移させることはできない。なぜなら、『ＳＰＤＰ』は第２の電子署名τiを有していないため、『ＳＰＤＰ』から『ＳＤＰ』への遷移は不能となる。また、『ＳＰＤＰ』から『Ｄ』へ遷移させることはできない。なぜなら、『ＳＰＤＰ』は第１の電子署名σiを有しておらず、集約電子署名σの中から部分文書ｍi’に規定されている第１の電子署名σiを削除することができないため、『ＳＰＤＰ』から『Ｄ』への遷移は不能となる。
【０１３５】
状態遷移Ｔ８は、『ＳＰＤＡ』から『Ｄ』への遷移をあらわしている。『ＳＰＤＡ』から『Ｄ』へ遷移させるためには、集約電子署名σの中から部分文書ｍi’に規定されている第１の電子署名σiを削除するとともに、部分文書ｍi’と部分文書ｍi’に規定されている第１の電子署名σiとを削除する。
【０１３６】
なお、『Ｄ』から『ＳＰＤＡ』へ遷移させることはできない。なぜなら、『Ｄ』は部分文書ｍi’と部分文書ｍi’に規定されている第１の電子署名σiとを有していないため、『Ｄ』から『ＳＰＤＡ』への遷移は不能となる。また、『ＳＰＤＡ』から『ＳＤＡ』へ遷移させることはできない。なぜなら、『ＳＰＤＡ』は第２の電子署名τiを有していないため、『ＳＰＤＡ』から『ＳＤＡ』への遷移は不能となる。
【０１３７】
状態遷移Ｔ９は、『ＳＡＤＰ』から『ＳＰＤＰ』への遷移をあらわしている。『ＳＡＤＰ』から『ＳＰＤＰ』へ遷移させるためには、部分文書ｍi’に規定されている第２の電子署名τiを削除する。なお、『ＳＰＤＰ』から『ＳＡＤＰ』へ遷移させることはできない。なぜなら、『ＳＰＤＰ』は第２の電子署名τiを有していないため、『ＳＰＤＰ』から『ＳＡＤＰ』への遷移は不能となる。
【０１３８】
状態遷移Ｔ１０は、『ＳＡＤＰ』から『ＳＤＰ』への遷移をあらわしている。『ＳＡＤＰ』から『ＳＤＰ』へ遷移させるためには、部分文書ｍi’をハッシュ値ｈi’に置き換える。なお、『ＳＤＰ』から『ＳＡＤＰ』へ遷移させることはできない。なぜなら、『ＳＤＰ』は部分文書ｍi’がハッシュ値ｈi’に置き換えられており、ハッシュ値ｈi’から部分文書ｍi’を求めることができないため、『ＳＤＰ』から『ＳＡＤＰ』への遷移は不能となる。
【０１３９】
また、『ＳＤＰ』から『Ｄ』へ遷移させることはできない。なぜなら、『ＳＤＰ』は第１の電子署名σiを有しておらず、集約電子署名σの中から部分文書ｍi’に規定されている第１の電子署名σiを削除することができないため、『ＳＤＰ』から『Ｄ』への遷移は不能となる。
【０１４０】
状態遷移Ｔ１１は、『ＳＤＡ』から『ＳＤＰ』への遷移をあらわしている。『ＳＤＡ』から『ＳＤＰ』へ遷移させるためには、部分文書ｍi’に規定されている第１の電子署名σiを削除する。なお、『ＳＤＰ』から『ＳＤＡ』へ遷移させることはできない。なぜなら、『ＳＤＰ』は第１の電子署名σiを有していないため、『ＳＤＰ』から『ＳＤＡ』への遷移は不能となる。
【０１４１】
状態遷移Ｔ１２は、『ＳＤＡ』から『Ｄ』への遷移をあらわしている。『ＳＤＡ』から『Ｄ』へ遷移させるためには、集約電子署名σの中から部分文書ｍi’に規定されている第１の電子署名σiを削除するとともに、ハッシュ値ｈi’と部分文書ｍi’に規定されている第１の電子署名σiおよび第２の電子署名τiとを削除する。なお、『Ｄ』から『ＳＤＡ』へ遷移させることはできない。なぜなら、『Ｄ』はハッシュ値ｈi’と部分文書ｍi’に規定されている第１の電子署名σiおよび第２の電子署名τiとを有していないため、『Ｄ』から『ＳＤＡ』への遷移は不能となる。
【０１４２】
ここで、図８に示した電子文書Ｍを例に挙げて、状態遷移Ｔ１〜Ｔ１２の具体例について説明する。たとえば、部分文書ｍ1’〜ｍ7’のうち部分文書ｍ3’を『ＳＡＤＡ』から『ＳＰＤＡ』へ遷移させるためには（状態遷移Ｔ１）、部分文書ｍ3’に規定されている第２の電子署名τ3を削除する。
【０１４３】
このあと、部分文書ｍ3’を『ＳＰＤＡ』から『ＳＰＤＰ』へ遷移させるためには（状態遷移Ｔ７）、部分文書ｍ3’に規定されている第１の電子署名σ3を削除する。また、部分文書ｍ3’を『ＳＡＤＡ』から『ＳＤＡ』へ遷移させるためには（状態遷移Ｔ５）、部分文書ｍ3’をハッシュ値ｈ3’に置き換える。
【０１４４】
なお、状態遷移Ｔ４，Ｔ５およびＴ１０において、部分文書ｍi’がハッシュ値ｈi’に置き換えられた場合、この部分文書ｍi’に割り振られている添字を添字集合Ｓに追加する。これにより、添字集合Ｓを参照することによって、どの部分文書ｍi’が墨塗りされているのかを判断することができる。
【０１４５】
上記添字は、各部分文書ｍi’、当該各部分文書ｍi’に規定されている第１の電子署名σiおよび第２の電子署名τiに予め割り振られており、各部分文書ｍi’と関連付けて記憶領域に保持されている。また、添字は、電子文書Ｍの改訂が終了すると、新たに割り振られることとなり、それにともなって添字集合Ｓに保持されている添字を更新する。
【０１４６】
たとえば、電子文書Ｍが部分文書ｍ1’〜ｍ7’からなり、各部分文書ｍ1’〜ｍ7’にそれぞれ「１」〜「７」の添字が割り振られているとする。このとき、部分文書ｍ7’が墨塗りされた場合には、添字集合Ｓに添字「７」を追加することとなる。また、部分文書ｍ6’が削除された場合、改訂終了時に、添字を振り直し、部分文書ｍ7’の添字が「６」となる。この場合、添字集合Ｓに保持されている添字を「７」から「６」に更新する。
【０１４７】
（改訂処理手順）
つぎに、実施例１における改訂処理手順について説明する。図１０〜図１６は、実施例１における改訂処理手順を示すフローチャートである。図１０のフローチャートにおいて、まず、取得部３０１により、複数の部分文書ｍ1’〜ｍn’からなる電子文書Ｍを取得したか否かを判断する（ステップＳ１００１）。具体的には、たとえば、図８に示したような電子文書Ｍを取得する。
【０１４８】
ここで、電子文書Ｍを取得するのを待って（ステップＳ１００１：Ｎｏ）、取得した場合（ステップＳ１００１：Ｙｅｓ）、指定部３０２により、改訂者の指定入力を受け付けたか否かを判断する（ステップＳ１００２）。ここで、指定を受け付けるのを待って（ステップＳ１００２：Ｎｏ）、受け付けた場合（ステップＳ１００２：Ｙｅｓ）、墨塗り禁止対象の指定を受け付けたか否かを判断する（ステップＳ１００３）。
【０１４９】
ここで、墨塗り禁止対象の指定を受け付けた場合（ステップＳ１００３：Ｙｅｓ）、図１１に示すステップＳ１１０１に移行する。一方で、墨塗り禁止対象の指定を受け付けていない場合（ステップＳ１００３：Ｎｏ）、削除禁止対象の指定を受け付けたか否かを判断する（ステップＳ１００４）。
【０１５０】
ここで、削除禁止対象の指定を受け付けた場合（ステップＳ１００４：Ｙｅｓ）、図１２に示すステップＳ１２０１に移行する。一方で、削除禁止対象の指定を受け付けていない場合（ステップＳ１００４：Ｎｏ）、削除対象の指定を受け付けたか否かを判断する（ステップＳ１００５）。
【０１５１】
ここで、削除対象の指定を受け付けた場合（ステップＳ１００５：Ｙｅｓ）、図１３に示すステップＳ１３０１に移行する。一方で、削除対象の指定を受け付けていない場合（ステップＳ１００５：Ｎｏ）、墨塗り禁止対象でかつ削除禁止対象の指定を受け付けたか否かを判断する（ステップＳ１００６）。
【０１５２】
ここで、墨塗り禁止対象でかつ削除禁止対象の指定を受け付けた場合（ステップＳ１００６：Ｙｅｓ）、図１４に示すステップＳ１４０１に移行する。一方で、墨塗り禁止対象でかつ削除禁止対象の指定を受け付けていない場合（ステップＳ１００６：Ｎｏ）、墨塗り対象の指定を受け付けたか否かを判断する（ステップＳ１００７）。
【０１５３】
ここで、墨塗り対象の指定を受け付けた場合（ステップＳ１００７：Ｙｅｓ）、図１５に示すステップＳ１５０１に移行する。一方で、墨塗り対象の指定を受け付けていない場合（ステップＳ１００７：Ｎｏ）、墨塗り対象でかつ削除禁止対象の指定を受け付けたか否かを判断する（ステップＳ１００８）。
【０１５４】
ここで、墨塗り対象でかつ削除禁止対象の指定を受け付けた場合（ステップＳ１００８：Ｙｅｓ）、図１６に示すステップＳ１６０１に移行する。一方で、墨塗り対象でかつ削除禁止対象の指定を受け付けていない場合（ステップＳ１００８：Ｎｏ）、改訂終了を示す指定を受け付けたと判断し、出力部３０６により、改訂文書Ｒを出力して（ステップＳ１００９）、本フローチャートによる一連の処理を終了する。
【０１５５】
なお、改訂終了を示す指定は、改定対象を指定する場合と同様に、たとえば、図２に示したキーボード２２１やマウス２２２などの入力装置２２０を改訂者が操作することによって受け付ける。また、ステップＳ１００１において取得される電子文書Ｍは、既に改訂処理が実行された改訂文書Ｒであってもよい。
【０１５６】
つぎに、図１１に示すフローチャートにおいて、まず、判断部３０３により、墨塗り禁止対象に指定された部分文書ｍi’の状態が『ＳＡＤＡ』であるか否かを判断する（ステップＳ１１０１）。ここで、『ＳＡＤＡ』であった場合（ステップＳ１１０１：Ｙｅｓ）、削除部３０４により、墨塗り禁止対象に指定された部分文書ｍi’に規定されている第２の電子署名τiを削除する（ステップＳ１１０２）。
【０１５７】
このあと、設定部３０５により、墨塗り禁止対象に指定された部分文書ｍi’の状態を『ＳＡＤＡ』から『ＳＰＤＡ』に設定し（ステップＳ１１０３）、図１０に示したステップＳ１００２に戻る。また、ステップＳ１１０１において、『ＳＡＤＡ』でなかった場合（ステップＳ１１０１：Ｎｏ）、判断部３０３により、墨塗り禁止対象に指定された部分文書ｍi’の状態が『ＳＡＤＰ』であるか否かを判断する（ステップＳ１１０４）。
【０１５８】
ここで、『ＳＡＤＰ』であった場合（ステップＳ１１０４：Ｙｅｓ）、削除部３０４により、墨塗り禁止対象に指定された部分文書ｍi’に規定されている第２の電子署名τiを削除する（ステップＳ１１０５）。このあと、設定部３０５により、墨塗り禁止対象に指定された部分文書ｍi’の状態を『ＳＡＤＰ』から『ＳＰＤＰ』に設定し（ステップＳ１１０６）、図１０に示したステップＳ１００２に戻る。
【０１５９】
また、ステップＳ１１０４において、『ＳＡＤＰ』でなかった場合（ステップＳ１１０４：Ｎｏ）、出力部３０６により、墨塗り禁止対象として指定することができない部分文書ｍi’が指定されている旨を報知するエラーを出力して（ステップＳ１１０７）、図１０に示したステップＳ１００２に戻る。
【０１６０】
つぎに、図１２に示すフローチャートにおいて、まず、判断部３０３により、削除禁止対象に指定された部分文書ｍi’の状態が『ＳＡＤＡ』であるか否かを判断する（ステップＳ１２０１）。ここで、『ＳＡＤＡ』であった場合（ステップＳ１２０１：Ｙｅｓ）、削除部３０４により、削除禁止対象に指定された部分文書ｍi’に規定されている第１の電子署名σiを削除する（ステップＳ１２０２）。
【０１６１】
このあと、設定部３０５により、削除禁止対象に指定された部分文書ｍi’の状態を『ＳＡＤＡ』から『ＳＡＤＰ』に設定し（ステップＳ１２０３）、図１０に示したステップＳ１００２に戻る。また、ステップＳ１２０１において、『ＳＡＤＡ』でなかった場合（ステップＳ１２０１：Ｎｏ）、判断部３０３により、削除禁止対象に指定された部分文書ｍi’の状態が『ＳＰＤＡ』であるか否かを判断する（ステップＳ１２０４）。
【０１６２】
ここで、『ＳＰＤＡ』であった場合（ステップＳ１２０４：Ｙｅｓ）、削除部３０４により、削除禁止対象に指定された部分文書ｍi’に規定されている第１の電子署名σiを削除する（ステップＳ１２０５）。このあと、設定部３０５により、削除禁止対象に指定された部分文書ｍi’の状態を『ＳＰＤＡ』から『ＳＰＤＰ』に設定し（ステップＳ１２０６）、図１０に示したステップＳ１００２に戻る。
【０１６３】
また、ステップＳ１２０４において、『ＳＰＤＡ』でなかった場合（ステップＳ１２０４：Ｎｏ）、判断部３０３により、削除禁止対象に指定された部分文書ｍi’の状態が『ＳＤＡ』であるか否かを判断する（ステップＳ１２０７）。ここで、『ＳＤＡ』であった場合（ステップＳ１２０７：Ｙｅｓ）、削除部３０４により、削除禁止対象に指定された部分文書ｍi’に規定されている第１の電子署名σiを削除する（ステップＳ１２０８）。
【０１６４】
このあと、設定部３０５により、削除禁止対象に指定された部分文書ｍi’の状態を『ＳＤＡ』から『ＳＤＰ』に設定し（ステップＳ１２０９）、図１０に示したステップＳ１００２に戻る。また、ステップＳ１２０７において、『ＳＤＡ』でなかった場合（ステップＳ１２０８：Ｎｏ）、出力部３０６により、削除禁止対象として指定することができない部分文書ｍi’が指定されている旨を報知するエラーを出力して（ステップＳ１２１０）、図１０に示したステップＳ１００２に戻る。
【０１６５】
つぎに、図１３に示すフローチャートにおいて、まず、判断部３０３により、削除対象に指定された部分文書ｍi’の状態が『ＳＡＤＡ』であるか否かを判断する（ステップＳ１３０１）。ここで、『ＳＡＤＡ』であった場合（ステップＳ１３０１：Ｙｅｓ）、削除部３０４により、集約電子署名σの中から削除対象に指定された部分文書ｍi’に規定されている第１の電子署名σiを削除する（ステップＳ１３０２）。
【０１６６】
このあと、削除部３０４により、削除対象に指定された部分文書ｍi’と当該部分文書ｍi’に規定されている第１の電子署名σiおよび第２の電子署名τiとを削除する（ステップＳ１３０３）。そして、設定部３０５により、削除対象に指定された部分文書ｍi’の状態を『ＳＡＤＡ』から『Ｄ』に設定し（ステップＳ１３０４）、図１０に示したステップＳ１００２に戻る。
【０１６７】
また、ステップＳ１３０１において、『ＳＡＤＡ』でなかった場合（ステップＳ１３０１：Ｎｏ）、判断部３０３により、削除対象に指定された部分文書ｍi’の状態が『ＳＰＤＡ』であるか否かを判断する（ステップＳ１３０５）。ここで、『ＳＰＤＡ』であった場合（ステップＳ１３０５：Ｙｅｓ）、削除部３０４により、集約電子署名σの中から部分文書ｍi’に規定されている第１の電子署名σiを削除する（ステップＳ１３０６）。
【０１６８】
このあと、削除部３０４により、削除対象に指定された部分文書ｍi’と当該部分文書ｍi’に規定されている第１の電子署名σiおよび第２の電子署名τiとを削除する（ステップＳ１３０７）。そして、設定部３０５により、削除対象に指定された部分文書ｍi’の状態を『ＳＰＤＡ』から『Ｄ』に設定し（ステップＳ１３０８）、図１０に示したステップＳ１００２に戻る。
【０１６９】
また、ステップＳ１３０５において、『ＳＰＤＡ』でなかった場合（ステップＳ１３０５：Ｎｏ）、判断部３０３により、削除対象に指定された部分文書ｍi’の状態が『ＳＤＡ』であるか否かを判断する（ステップＳ１３０９）。ここで、『ＳＤＡ』であった場合（ステップＳ１３０９：Ｙｅｓ）、削除部３０４により、集約電子署名σの中から削除対象に指定された部分文書ｍi’に規定されている第１の電子署名σiを削除する（ステップＳ１３１０）。
【０１７０】
このあと、削除部３０４により、削除対象に指定された部分文書ｍi’のハッシュ値ｈi’と当該部分文書ｍi’に規定されている第１の電子署名σiおよび第２の電子署名τiとを削除する（ステップＳ１３１１）。そして、設定部３０５により、削除対象に指定された部分文書ｍi’の状態を『ＳＤＡ』から『Ｄ』に設定し（ステップＳ１３１２）、図１０に示したステップＳ１００２に戻る。
【０１７１】
また、ステップＳ１３０９において、『ＳＤＡ』でなかった場合（ステップＳ１３０９：Ｎｏ）、出力部３０６により、削除対象として指定することができない部分文書ｍi’が指定されている旨を報知するエラーを出力して（ステップＳ１３１３）、図１０に示したステップＳ１００２に戻る。
【０１７２】
つぎに、図１４に示すフローチャートにおいて、まず、判断部３０３により、墨塗り禁止対象でかつ削除禁止対象に指定された部分文書ｍi’の状態が『ＳＡＤＡ』であるか否かを判断する（ステップＳ１４０１）。ここで、『ＳＡＤＡ』であった場合（ステップＳ１４０１：Ｙｅｓ）、削除部３０４により、墨塗り禁止対象でかつ削除禁止対象に指定された部分文書ｍi’に規定されている第１の電子署名σiおよび第２の電子署名τiを削除する（ステップＳ１４０２）。
【０１７３】
このあと、設定部３０５により、墨塗り禁止対象でかつ削除禁止対象に指定された部分文書ｍi’の状態を『ＳＡＤＡ』から『ＳＰＤＰ』に設定し（ステップＳ１４０３）、図１０に示したステップＳ１００２に戻る。また、ステップＳ１４０１において、『ＳＡＤＡ』でなかった場合（ステップＳ１４０１：Ｎｏ）、出力部３０６により、墨塗り禁止対象でかつ削除禁止対象として指定することができない部分文書ｍi’が指定されている旨を報知するエラーを出力して（ステップＳ１４０４）、図１０に示したステップＳ１００２に戻る。
【０１７４】
つぎに、図１５に示すフローチャートにおいて、まず、判断部３０３により、墨塗り対象に指定された部分文書ｍi’の状態が『ＳＡＤＡ』であるか否かを判断する（ステップＳ１５０１）。ここで、『ＳＡＤＡ』であった場合（ステップＳ１５０１：Ｙｅｓ）、墨塗り対象に指定された部分文書ｍi’をハッシュ値ｈi’に置き換える（ステップＳ１５０２）。
【０１７５】
このあと、設定部３０５により、墨塗り対象に指定された部分文書ｍi’の状態を『ＳＡＤＡ』から『ＳＤＡ』に設定し（ステップＳ１５０３）、図１０に示したステップＳ１００２に戻る。また、ステップＳ１５０１において、『ＳＡＤＡ』でなかった場合（ステップＳ１５０１：Ｎｏ）、判断部３０３により、墨塗り対象に指定された部分文書ｍi’の状態が『ＳＡＤＰ』であるか否かを判断する（ステップＳ１５０４）。
【０１７６】
ここで、『ＳＡＤＰ』であった場合（ステップＳ１５０４：Ｙｅｓ）、墨塗り対象に指定された部分文書ｍi’をハッシュ値ｈi’に置き換える（ステップＳ１５０５）。このあと、設定部３０５により、墨塗り対象に指定された部分文書ｍi’の状態を『ＳＡＤＰ』から『ＳＤＰ』に設定し（ステップＳ１５０６）、図１０に示したステップＳ１００２に戻る。
【０１７７】
また、ステップＳ１５０４において、『ＳＡＤＰ』でなかった場合（ステップＳ１５０４：Ｎｏ）、出力部３０６により、墨塗り対象として指定することができない部分文書ｍi’が指定されている旨を報知するエラーを出力して（ステップＳ１５０７）、図１０に示したステップＳ１００２に戻る。
【０１７８】
つぎに、図１６に示すフローチャートにおいて、まず、判断部３０３により、墨塗り対象でかつ削除禁止対象に指定された部分文書ｍi’の状態が『ＳＡＤＡ』であるか否かを判断する（ステップＳ１６０１）。ここで、『ＳＡＤＡ』であった場合（ステップＳ１６０１：Ｙｅｓ）、墨塗り対象でかつ削除禁止対象に指定された部分文書ｍi’をハッシュ値ｈi’に置き換える（ステップＳ１６０２）。
【０１７９】
このあと、削除部３０４により、墨塗り対象でかつ削除禁止対象に指定された部分文書ｍi’に規定されている第１の電子署名σiを削除する（ステップＳ１６０３）。そして、設定部３０５により、墨塗り対象でかつ削除禁止対象に指定された部分文書ｍi’の状態を『ＳＡＤＡ』から『ＳＤＰ』に設定し（ステップＳ１６０４）、図１０に示したステップＳ１００２に戻る。
【０１８０】
また、ステップＳ１６０１において、『ＳＡＤＡ』でなかった場合（ステップＳ１６０１：Ｎｏ）、出力部３０６により、墨塗り対象でかつ削除禁止対象として指定することができない部分文書ｍi’が指定されている旨を報知するエラーを出力して（ステップＳ１６０５）、図１０に示したステップＳ１００２に戻る。
【０１８１】
（検証処理の概要）
つぎに、実施例１における改訂文書Ｒの真正性を検証する検証処理の概要について説明する。通常、上述した改訂処理を実行することにより、各部分文書ｍ1’〜ｍn’に対して正当な改訂がおこなわれる。一方で、不正な改訂者による不当な改訂がおこなわれる場合がある。
【０１８２】
たとえば、墨塗り禁止となっている部分文書ｍi’を強制的に墨塗りする、あるいは、削除禁止となっている部分文書ｍi’を強制的に削除するなどの改ざんがおこなわれてしまう場合がある。そこで、改訂文書Ｒに対して検証処理を実行することにより、該改訂文書Ｒの真正性を検証する。以下、改訂文書Ｒを構成する各部分文書を「Ｘ1〜Ｘn」と表記する。
【０１８３】
ここでは、電子文書Ｍの署名者の公開鍵ｐｋを用いて、各部分文書Ｘ1〜Ｘnに規定されている第１の電子署名σ1〜σn、第２の電子署名τ1〜τn、および改訂文書Ｒに関連付けられている集約電子署名σを検証することにより、改訂文書Ｒの真正性を検証する。
【０１８４】
具体的には、まず、添字集合Ｓを参照することにより、関数Ｈを用いて各部分文書Ｘ1〜Ｘnに対するハッシュ値Ｈiを求める。ここで、添字ｉが添字集合Ｓに含まれている場合には『Ｈi＝ｍi’』とし、含まれていない場合には、『Ｈi＝Ｈ（Ｄ｜｜ＳＤi｜｜ｈi）』とする。すなわち、墨塗りされていない部分文書ｍi’について、関数Ｈを用いてハッシュ値を求める。
【０１８５】
つぎに、第１の電子署名σiを検証する。具体的には、第１の電子署名σiに対して、下記式（１）が成立するか否かを判定し、その結果、成立する場合にのみ検証に合格したと判断する。
【０１８６】
ｅ（σi，ｇ）＝ｅ（Ｈi，ｐｋ）              …（１）
【０１８７】
つぎに、集約電子署名σを検証する。具体的には、集約電子署名σに対して、下記式（２）が成立するか否かを判定し、その結果、成立する場合にのみ検証に合格したと判断する。ただし、下記式（２）の右辺には、集約電子署名σに含まれる第１の電子署名σiに対応するすべてのＨiを用いる。
【０１８８】
ｅ（σ，ｇ）＝｛ｅ（Ｈi，ｐｋ）×…｝        …（２）
【０１８９】
たとえば、集約電子署名σに含まれる第１の電子署名σiが「σ1，σ2，σ3」であった場合、上記式（２）の右辺には、各第１の電子署名σ1〜σ3に対応するＨ1，Ｈ2，Ｈ3を用いる。すなわち、『ｅ（σ，ｇ）＝｛ｅ（Ｈ1，ｐｋ）×ｅ（Ｈ2，ｐｋ）×ｅ（Ｈ3，ｐｋ）｝』となる。
【０１９０】
つぎに、第２の電子署名τiを検証する。具体的には、第２の電子署名τiを生成する際に使用した電子署名アルゴリズムの検証式を利用する。すなわち、第２の電子署名τiに対して、第２の電子署名τiの生成に使用した検証式が成立するか否かを判定し、その結果、成立する場合にのみ検証に合格したと判断する。
【０１９１】
以上のように、第１の電子署名σi、第２の電子署名τiおよび集約電子署名σを検証し、すべての検証に合格した場合に、改訂文書Ｒが真正であると判断する。一方で、第１の電子署名σi、第２の電子署名τiおよび集約電子署名σのうち一つでも検証に失敗した場合は、改訂文書Ｒが不当であると判断する。
【０１９２】
（検証処理手順）
つぎに、実施例１にかかる電子文書管理装置１０１の検証処理手順について説明する。図１７は、実施例１にかかる電子文書管理装置の検証処理手順を示すフローチャートである。図１７のフローチャートにおいて、まず、取得部３０１により、改訂文書Ｒを取得したか否かを判断する（ステップＳ１７０１）。具体的には、たとえば、上述した部分文書Ｘ1〜Ｘnからなる改訂文書Ｒを取得する。
【０１９３】
ここで、改訂文書Ｒを取得するのを待って（ステップＳ１７０１：Ｎｏ）、取得した場合（ステップＳ１７０１：Ｙｅｓ）、添字集合Ｓを参照して各部分文書Ｘ1〜Ｘnに対するハッシュ値Ｈiを算出することにより、部分文書Ｘ1〜Ｘnをハッシュ値Ｈ1〜Ｈnに置き換える（ステップＳ１７０２）。
【０１９４】
このあと、検証部３０７により、各ｉに対して、第１の電子署名σiを検証する（ステップＳ１７０３）。つぎに、第１の電子署名σiの検証結果を判断して（ステップＳ１７０４）、検証に合格した場合（ステップＳ１７０４：Ｙｅｓ）、検証部３０７により、集約電子署名σを検証する（ステップＳ１７０５）。
【０１９５】
このあと、集約電子署名σの検証結果を判断して（ステップＳ１７０６）、検証に合格した場合（ステップＳ１７０６：Ｙｅｓ）、検証部３０７により、各ｉに対して、第２の電子署名τiを検証する（ステップＳ１７０７）。
【０１９６】
このあと、第２の電子署名τiの検証結果を判断して（ステップＳ１７０８）、検証に合格した場合（ステップＳ１７０８：Ｙｅｓ）、出力部３０６により、改訂文書Ｒの検証合格を示す検証結果を出力して（ステップＳ１７０９）、本フローチャートによる一連の処理を終了する。
【０１９７】
また、ステップＳ１７０４、ステップＳ１７０６およびステップＳ１７０８のいずれかにおいて検証に不合格となった場合（ステップＳ１７０４，１７０６，１７０８：Ｎｏ）、出力部３０６により、改訂文書Ｒの不合格を示す検証結果を出力して（ステップＳ１７１０）、本フローチャートによる一連の処理を終了する。
【０１９８】
以上説明した実施例１によれば、電子文書Ｍを構成する部分文書ｍi’に対して、『ＳＡＤＡ』、『ＳＡＤＰ』、『ＳＤＡ』、『ＳＤＰ』、『ＳＰＤＡ』、『ＳＰＤＰ』および『Ｄ』のいずれかの状態を設定することができる。また、これら状態間の遷移として、状態遷移Ｔ１〜Ｔ１２を実現することができる。
【０１９９】
このように、墨塗り禁止でかつ削除可能な状態である『ＳＰＤＡ』を含む７個の状態の設定を実現することにより、より柔軟な電子文書Ｍの改訂を実現し、改訂者の利便性の向上を図ることができる。さらに、電子文書Ｍに対して改訂がおこなわれた場合であっても、真正を検証可能な状態に保持することにより、電子文書Ｍの真正性を保証することができる。
【０２００】
また、各部分文書ｍi’に規定する第２の電子署名τiの生成・検証に、集約機能を持たない通常の電子署名方式を利用するため、署名生成のアルゴリズムを選択する際の自由度を向上させることができる。
【実施例２】
【０２０１】
つぎに、上述した実施の形態の実施例２について説明する。実施例２では、実施例１とは異なる表現方式によって各部分文書ｍi’の状態を表現する。なお、実施例１において説明した箇所と同様の箇所については、図示および説明を省略する。
【０２０２】
（電子文書Ｍの初期状態）
まず、電子文書Ｍの初期状態について説明する。図１８は、実施例２における電子文書Ｍの初期状態の一例を示す説明図である。図１８において、電子文書Ｍは、複数の部分文書ｍ1’〜ｍ7’に分割されている。各部分文書ｍ1’〜ｍ7’には、それぞれ対応する第１の電子署名σ1〜σ7および第２の電子署名τ1〜τ7が規定されている。
【０２０３】
また、電子文書Ｍには、第１の電子署名σ1〜σ7を集約した集約電子署名σおよび第２の電子署名τ1〜τ7を集約した集約電子署名τが関連付けられている。電子文書Ｍの初期状態において、これら部分文書ｍ1’〜ｍ7’の状態は、墨塗り可能でかつ削除可能な状態の『ＳＡＤＡ』である。
【０２０４】
（部分文書状態の表現方式）
つぎに、各部分文書ｍi’の状態の表現方式について説明する。図１９は、実施例２における部分文書状態の表現方式を示す説明図である。図１９において、各部分文書ｍi’の状態が、部分文書ｍi’、ハッシュ値ｈi’、第１の電子署名σiおよび第２の電子署名τiの組み合わせによって表現されている。
【０２０５】
まず、部分文書ｍi’、第１の電子署名σiおよび第２の電子署名τiの組み合わせによって、墨塗り可能でかつ削除可能な状態（初期状態）をあらわす『ＳＡＤＡ』が表現されている。この場合、集約電子署名σおよびτには、第１の電子署名σiおよび第２の電子署名τiがそれぞれ含まれている。
【０２０６】
また、部分文書ｍi’および第２の電子署名τiの組み合わせによって、墨塗り可能でかつ削除禁止な状態をあらわす『ＳＡＤＰ』が表現されている。この場合、集約電子署名σの中から第１の電子署名σiが削除されている。
【０２０７】
また、ハッシュ値ｈi’、第１の電子署名σiおよび第２の電子署名τiの組み合わせによって、墨塗り済みでかつ削除可能な状態をあらわす『ＳＤＡ』が表現されている。この場合、集約電子署名σおよびτには、第１の電子署名σiおよび第２の電子署名τiがそれぞれ含まれている。また、ハッシュ値ｈi’および第２の電子署名τiによって、墨塗り済みでかつ削除禁止な状態をあらわす『ＳＤＰ』が表現されている。
【０２０８】
また、部分文書ｍi’および第１の電子署名σiの組み合わせによって、墨塗り禁止でかつ削除可能な状態をあらわす『ＳＰＤＡ』が表現されている。この場合、集約電子署名τの中から第２の電子署名τiが削除されている。
【０２０９】
また、部分文書ｍi’によって、墨塗り禁止でかつ削除禁止な状態をあらわす『ＳＰＤＰ』が表現されている。この場合、集約電子署名σおよびτの中から第１の電子署名σiおよび第２の電子署名τiがそれぞれ削除されている。
【０２１０】
また、部分文書ｍi’、ハッシュ値ｈi’、第１の電子署名σiおよび第２の電子署名τiのいずれも存在しない組み合わせによって、削除済みの状態をあらわす『Ｄ』が表現されている。この場合、集約電子署名σおよびτの中から第１の電子署名σiおよび第２の電子署名τiがそれぞれ削除されている。
【０２１１】
（改訂処理手順）
つぎに、実施例２における改訂処理手順について説明する。図２０〜図２２は、実施例２における改訂処理手順を示すフローチャートである。なお、実施例２における改訂処理手順のうち実施例１で説明した処理（図１０、図１２、図１５および図１６に示した各工程）と同一処理については、ここでは図示および説明を省略する。ただし、図１０に示したステップＳ１００１において取得される電子文書Ｍは、たとえば、図１８に示した電子文書Ｍである。
【０２１２】
図２０に示すフローチャートにおいて、まず、判断部３０３により、墨塗り禁止対象に指定された部分文書ｍi’の状態が『ＳＡＤＡ』であるか否かを判断する（ステップＳ２００１）。ここで、『ＳＡＤＡ』であった場合（ステップＳ２００１：Ｙｅｓ）、削除部３０４により、第２の集約電子署名τの中から墨塗り禁止対象に指定された部分文書ｍi’に規定されている第２の電子署名τiを削除する（ステップＳ２００２）。
【０２１３】
このあと、削除部３０４により、墨塗り禁止対象に指定された部分文書ｍi’に規定されている第２の電子署名τiを削除する（ステップＳ２００３）。そして、設定部３０５により、墨塗り禁止対象に指定された部分文書ｍi’の状態を『ＳＡＤＡ』から『ＳＰＤＡ』に設定し（ステップＳ２００４）、図１０に示したステップＳ１００２に戻る。
【０２１４】
また、ステップＳ２００１において、『ＳＡＤＡ』でなかった場合（ステップＳ２００１：Ｎｏ）、判断部３０３により、墨塗り禁止対象に指定された部分文書ｍi’の状態が『ＳＡＤＰ』であるか否かを判断する（ステップＳ２００５）。ここで、『ＳＡＤＰ』であった場合（ステップＳ２００５：Ｙｅｓ）、削除部３０４により、第２の集約電子署名τの中から墨塗り禁止対象に指定された部分文書ｍi’に規定されている第２の電子署名τiを削除する（ステップＳ２００６）。
【０２１５】
このあと、削除部３０４により、墨塗り禁止対象に指定された部分文書ｍi’に規定されている第２の電子署名τiを削除する（ステップＳ２００７）。そして、設定部３０５により、墨塗り禁止対象に指定された部分文書ｍi’の状態を『ＳＡＤＰ』から『ＳＰＤＰ』に設定し（ステップＳ２００８）、図１０に示したステップＳ１００２に戻る。
【０２１６】
また、ステップＳ２００５において、『ＳＡＤＰ』でなかった場合（ステップＳ２００５：Ｎｏ）、出力部３０６により、墨塗り禁止対象として指定することができない部分文書ｍi’が指定されている旨を報知するエラーを出力して（ステップＳ２００９）、図１０に示したステップＳ１００２に戻る。
【０２１７】
つぎに、図２１に示すフローチャートにおいて、まず、判断部３０３により、削除対象に指定された部分文書ｍi’の状態が『ＳＡＤＡ』であるか否かを判断する（ステップＳ２１０１）。ここで、『ＳＡＤＡ』であった場合（ステップＳ２１０１：Ｙｅｓ）、削除部３０４により、集約電子署名σ，τの中から削除対象に指定された部分文書ｍi’に規定されている第１の電子署名σiおよび第２の電子署名τiをそれぞれ削除する（ステップＳ２１０２）。
【０２１８】
このあと、削除部３０４により、削除対象に指定された部分文書ｍi’と当該部分文書ｍi’に規定されている第１の電子署名σiおよび第２の電子署名τiとを削除する（ステップＳ２１０３）。そして、設定部３０５により、削除対象に指定された部分文書ｍi’の状態を『ＳＡＤＡ』から『Ｄ』に設定し（ステップＳ２１０４）、図１０に示したステップＳ１００２に戻る。
【０２１９】
また、ステップＳ２１０１において、『ＳＡＤＡ』でなかった場合（ステップＳ２１０１：Ｎｏ）、判断部３０３により、削除対象に指定された部分文書ｍi’の状態が『ＳＰＤＡ』であるか否かを判断する（ステップＳ２１０５）。ここで、『ＳＰＤＡ』であった場合（ステップＳ２１０５：Ｙｅｓ）、削除部３０４により、集約電子署名σの中から部分文書ｍi’に規定されている第１の電子署名σiを削除する（ステップＳ２１０６）。
【０２２０】
このあと、削除部３０４により、削除対象に指定された部分文書ｍi’と当該部分文書ｍi’に規定されている第１の電子署名σiおよび第２の電子署名τiとを削除する（ステップＳ２１０７）。そして、設定部３０５により、削除対象に指定された部分文書ｍi’の状態を『ＳＰＤＡ』から『Ｄ』に設定し（ステップＳ２１０８）、図１０に示したステップＳ１００２に戻る。
【０２２１】
また、ステップＳ２１０５において、『ＳＰＤＡ』でなかった場合（ステップＳ２１０５：Ｎｏ）、判断部３０３により、削除対象に指定された部分文書ｍi’の状態が『ＳＤＡ』であるか否かを判断する（ステップＳ２１０９）。ここで、『ＳＤＡ』であった場合（ステップＳ２１０９：Ｙｅｓ）、削除部３０４により、第１および第２の集約電子署名σ，τの中から削除対象に指定された部分文書ｍi’に規定されている第１の電子署名σiおよび第２の電子署名τiをそれぞれ削除する（ステップＳ２１１０）。
【０２２２】
このあと、削除部３０４により、削除対象に指定された部分文書ｍi’のハッシュ値ｈi’と当該部分文書ｍi’に規定されている第１の電子署名σiおよび第２の電子署名τiとを削除する（ステップＳ２１１１）。そして、設定部３０５により、削除対象に指定された部分文書ｍi’の状態を『ＳＤＡ』から『Ｄ』に設定し（ステップＳ２１１２）、図１０に示したステップＳ１００２に戻る。
【０２２３】
また、ステップＳ２１０９において、『ＳＤＡ』でなかった場合（ステップＳ２１０９：Ｎｏ）、出力部３０６により、削除対象として指定することができない部分文書ｍi’が指定されている旨を報知するエラーを出力して（ステップＳ２１２１）、図１０に示したステップＳ１００２に戻る。
【０２２４】
つぎに、図２２に示すフローチャートにおいて、まず、判断部３０３により、墨塗り禁止対象でかつ削除禁止対象に指定された部分文書ｍi’の状態が『ＳＡＤＡ』であるか否かを判断する（ステップＳ２２０１）。ここで、『ＳＡＤＡ』であった場合（ステップＳ２２０１：Ｙｅｓ）、削除部３０４により、集約電子署名τの中から削除対象に指定された部分文書ｍi’に規定されている第２の電子署名τiをそれぞれ削除する（ステップＳ２２０２）。
【０２２５】
このあと、削除部３０４により、墨塗り禁止対象でかつ削除禁止対象に指定された部分文書ｍi’に規定されている第１の電子署名σiおよび第２の電子署名τiを削除する（ステップＳ２２０３）。そして、設定部３０５により、墨塗り禁止対象でかつ削除禁止対象に指定された部分文書ｍi’の状態を『ＳＡＤＡ』から『ＳＰＤＰ』に設定し（ステップＳ２２０４）、図１０に示したステップＳ１００２に戻る。
【０２２６】
また、ステップＳ２２０１において、『ＳＡＤＡ』でなかった場合（ステップＳ２２０１：Ｎｏ）、出力部３０６により、墨塗り禁止対象でかつ削除禁止対象として指定することができない部分文書ｍi’が指定されている旨を報知するエラーを出力して（ステップＳ２２０５）、図１０に示したステップＳ１００２に戻る。
【０２２７】
なお、実施例２における検証処理は、図１７に示した検証処理手順に第２の電子署名τ1〜τnを集約した集約電子署名τを検証する工程を追加したものとなる。そして、第１の電子署名σi、第２の電子署名τi、第１の集約電子署名σおよび第２の集約電子署名τのすべての検証に合格した場合に、改訂文書Ｒの検証合格を示す検証結果を出力する。
【０２２８】
以上説明した実施例２によれば、電子文書Ｍを構成する部分文書ｍi’に対して、『ＳＡＤＡ』、『ＳＡＤＰ』、『ＳＤＡ』、『ＳＤＰ』、『ＳＰＤＡ』、『ＳＰＤＰ』および『Ｄ』のいずれかの状態を設定することができる。また、これら状態間の遷移として、状態遷移Ｔ１〜Ｔ１２を実現することができる。
【０２２９】
また、部分文書ｍi’の各状態を表現するデータ保持（部分文書ｍi’、ハッシュ値ｈi’、第１の電子署名σi、第２の電子署名τi、第１の集約電子署名σおよび第２の集約電子署名τの組み合わせ）の方式が規則的となる。これにより、改訂処理の内容が規則的となり、実施例２を実現するプログラムを単純な記述で実現することができる。
【実施例３】
【０２３０】
つぎに、上述した実施の形態の実施例３について説明する。実施例３では、実施例１および２とは異なる表現方式によって各部分文書ｍi’の状態を表現する。なお、実施例１および２において説明した箇所と同様の箇所については、図示および説明を省略する。
【０２３１】
（部分文書状態の表現方式）
図２３は、実施例３における部分文書状態の表現方式を示す説明図である。図２３において、各部分文書ｍi’の状態が、部分文書ｍi’、ハッシュ値ｈi’、第１の電子署名σiおよび第２の電子署名τiの組み合わせによって表現されている。
【０２３２】
図２３に示す実施例３における部分文書状態の表現方式うち、実施例２における部分文書状態とは異なる表現方式は『ＳＤＰ』だけである。具体的には、ハッシュ値ｈi’によって、墨塗り済みでかつ削除禁止な状態をあらわす『ＳＤＰ』が表現されている。
【０２３３】
（改訂処理手順）
つぎに、実施例３における改訂処理手順について説明する。図２４〜図２６は、実施例３における改訂処理手順を示すフローチャートである。なお、実施例３における改訂処理手順のうち実施例１および２で説明した処理（図１０、図２０〜図２２に示した各工程）と同一処理については、ここでは図示および説明を省略する。ただし、図１０に示したステップＳ１００１において取得される電子文書Ｍは、たとえば、図１８に示す電子文書Ｍである。
【０２３４】
図２４に示すフローチャートにおいて、まず、判断部３０３により、削除禁止対象に指定された部分文書ｍi’の状態が『ＳＡＤＡ』であるか否かを判断する（ステップＳ２４０１）。ここで、『ＳＡＤＡ』であった場合（ステップＳ２４０１：Ｙｅｓ）、削除部３０４により、削除禁止対象に指定された部分文書ｍi’に規定されている第１の電子署名σiを削除する（ステップＳ２４０２）。
【０２３５】
このあと、設定部３０５により、削除禁止対象に指定された部分文書ｍi’の状態を『ＳＡＤＡ』から『ＳＡＤＰ』に設定し（ステップＳ２４０３）、図１０に示したステップＳ１００２に戻る。また、ステップＳ２４０１において、『ＳＡＤＡ』でなかった場合（ステップＳ２４０１：Ｎｏ）、判断部３０３により、削除禁止対象に指定された部分文書ｍi’の状態が『ＳＰＤＡ』であるか否かを判断する（ステップＳ２４０４）。
【０２３６】
ここで、『ＳＰＤＡ』であった場合（ステップＳ２４０４：Ｙｅｓ）、削除部３０４により、削除禁止対象に指定された部分文書ｍi’に規定されている第１の電子署名σiを削除する（ステップＳ２４０５）。このあと、設定部３０５により、削除禁止対象に指定された部分文書ｍi’の状態を『ＳＰＤＡ』から『ＳＰＤＰ』に設定し（ステップＳ２４０６）、図１０に示したステップＳ１００２に戻る。
【０２３７】
また、ステップＳ２４０４において、『ＳＰＤＡ』でなかった場合（ステップＳ２４０４：Ｎｏ）、判断部３０３により、削除禁止対象に指定された部分文書ｍi’の状態が『ＳＤＡ』であるか否かを判断する（ステップＳ２４０７）。ここで、『ＳＤＡ』であった場合（ステップＳ２４０７：Ｙｅｓ）、削除部３０４により、削除禁止対象に指定された部分文書ｍi’に規定されている第１の電子署名σiおよび第２の電子署名τiを削除する（ステップＳ２４０８）。
【０２３８】
このあと、設定部３０５により、削除禁止対象に指定された部分文書ｍi’の状態を『ＳＤＡ』から『ＳＤＰ』に設定し（ステップＳ２４０９）、図１０に示したステップＳ１００２に戻る。また、ステップＳ２４０７において、『ＳＤＡ』でなかった場合（ステップＳ２４０７：Ｎｏ）、出力部３０６により、削除禁止対象として指定することができない部分文書ｍi’が指定されている旨を報知するエラーを出力して（ステップＳ２４１０）、図１０に示したステップＳ１００２に戻る。
【０２３９】
つぎに、図２５に示すフローチャートにおいて、まず、判断部３０３により、墨塗り対象に指定された部分文書ｍi’の状態が『ＳＡＤＡ』であるか否かを判断する（ステップＳ２５０１）。ここで、『ＳＡＤＡ』であった場合（ステップＳ２５０１：Ｙｅｓ）、墨塗り対象に指定された部分文書ｍi’をハッシュ値ｈi’に置き換える（ステップＳ２５０２）。
【０２４０】
このあと、設定部３０５により、墨塗り対象に指定された部分文書ｍi’の状態を『ＳＡＤＡ』から『ＳＤＡ』に設定し（ステップＳ２５０３）、図１０に示したステップＳ１００２に戻る。また、ステップＳ２５０１において、『ＳＡＤＡ』でなかった場合（ステップＳ２５０１：Ｎｏ）、判断部３０３により、墨塗り対象に指定された部分文書ｍi’の状態が『ＳＡＤＰ』であるか否かを判断する（ステップＳ２５０４）。
【０２４１】
ここで、『ＳＡＤＰ』であった場合（ステップＳ２５０４：Ｙｅｓ）、墨塗り対象に指定された部分文書ｍi’をハッシュ値ｈi’に置き換える（ステップＳ２５０５）。このあと、削除部３０４により、墨塗り対象に指定された部分文書ｍi’に規定されている第２の電子署名τiを削除する（ステップＳ２５０６）。そして、設定部３０５により、墨塗り対象に指定された部分文書ｍi’の状態を『ＳＡＤＰ』から『ＳＤＰ』に設定し（ステップＳ２５０７）、図１０に示したステップＳ１００２に戻る。
【０２４２】
また、ステップＳ２５０４において、『ＳＡＤＰ』でなかった場合（ステップＳ２５０４：Ｎｏ）、出力部３０６により、墨塗り対象として指定することができない部分文書ｍi’が指定されている旨を報知するエラーを出力して（ステップＳ２５０８）、図１０に示したステップＳ１００２に戻る。
【０２４３】
つぎに、図２６に示すフローチャートにおいて、まず、判断部３０３により、墨塗り対象でかつ削除禁止対象に指定された部分文書ｍi’の状態が『ＳＡＤＡ』であるか否かを判断する（ステップＳ２６０１）。ここで、『ＳＡＤＡ』であった場合（ステップＳ２６０１：Ｙｅｓ）、墨塗り対象でかつ削除禁止対象に指定された部分文書ｍi’をハッシュ値ｈi’に置き換える（ステップＳ２６０２）。
【０２４４】
このあと、削除部３０４により、墨塗り対象でかつ削除禁止対象に指定された部分文書ｍi’に規定されている第１の電子署名σiおよび第２の電子署名τiを削除する（ステップＳ２６０３）。そして、設定部３０５により、墨塗り対象でかつ削除禁止対象に指定された部分文書ｍi’の状態を『ＳＡＤＡ』から『ＳＤＰ』に設定し（ステップＳ２６０４）、図１０に示したステップＳ１００２に戻る。
【０２４５】
また、ステップＳ２６０１において、『ＳＡＤＡ』でなかった場合（ステップＳ２６０１：Ｎｏ）、出力部３０６により、墨塗り対象でかつ削除禁止対象として指定することができない部分文書ｍi’が指定されている旨を報知するエラーを出力して（ステップＳ２６０５）、図１０に示したステップＳ１００２に戻る。
【０２４６】
以上説明した実施例３によれば、電子文書Ｍを構成する部分文書ｍi’に対して、『ＳＡＤＡ』、『ＳＡＤＰ』、『ＳＤＡ』、『ＳＤＰ』、『ＳＰＤＡ』、『ＳＰＤＰ』および『Ｄ』のいずれかの状態を設定することができる。また、これら状態間の遷移として、状態遷移Ｔ１〜Ｔ１２を実現することができる。
【０２４７】
また、実施例２に比べて、『ＳＤＰ』を表現する場合に第２の電子署名τiを必要としないため、各状態を表現するために必要となるデータ量を削減することができる。
【実施例４】
【０２４８】
つぎに、上述した実施の形態の実施例４について説明する。墨塗り・削除署名を適用する場合に、墨塗り禁止という部分文書の状態を必要としない状況が想定される。そこで、実施例４では、墨塗り禁止の状態をあらわす『ＳＰＤＡ』および『ＳＰＤＰ』を無効にする。
【０２４９】
なお、実施例１〜３において、墨塗り禁止の状態をあらわす『ＳＰＤＡ』および『ＳＰＤＰ』を使用しないという運用も可能である。しかし、何らかの理由によって部分文書状態が墨塗り禁止の状態となった場合に問題が生じてしまう。さらに、不要なデータを保持することになり、ユーザの利便性を低下させる要因となってしまう。
【０２５０】
ここで、上述した問題点を具体的に説明する。図２７は、墨塗り禁止の状態を使用しない場合の問題点の一例を示す説明図である。図２７において、オリジナル文書２７１０は、ある市（○×市）が保管している領収書の電子文書である。具体的には、各ページ（Ｐ１〜Ｐ３）には、宛先人を含む領収書の情報が記載されている。また、オリジナル文書２７１０には、市の公印を示す電子署名Ｘが付与されている。以下、オリジナル文書２７１０の文字列を部分文書として扱う。
【０２５１】
あるユーザ（検証者）から領収書に関する情報公開請求があった場合、オリジナル文書２７１０には個人情報が記載されているため、そのまま公開されてしまうと、検証者に対してこれら個人情報が公開されてしまう。このため、部分的な情報秘匿が必要となる。ただし、この情報秘匿の手段は条例などによって墨塗りに限定されているとする。またオリジナル文書２７１０は、○×市が保管する全ての領収書が含まれているため、必要な領収書のみを抽出する必要もある。
【０２５２】
そこで、情報秘匿の手段として墨塗り・削除署名を利用し、オリジナル文書２７１０から改訂文書を作成する場合を考える。墨塗り・削除署名では、部分的な情報の削除が可能となっているため、オリジナル文書２７１０から不要なページを削除することで、必要な領収書のみを抽出することが可能となる。
【０２５３】
また墨塗り・削除署名では部分的な情報の墨塗りも可能であるから、オリジナル文書２７１０のうち不要な情報を墨塗りすることで、必要な情報のみを公開することが可能となる。このように墨塗り・削除署名を用いることで、改訂文書２７２０を作成することができる。
【０２５４】
この改訂文書２７２０が公開された場合、検証者は２ページ目の具体的内容や、１ページ目と３ページ目に含まれる個人情報を特定することはできないため、情報の秘匿を実現できている。よって改訂文書２７２０は望ましい改訂文書となっている。
【０２５５】
他方で、オリジナル文書２７１０において、何らかの理由によって領収書の宛先人を記載した全ての部分文書に対して墨塗り禁止という部分文書状態が設定されてしまった場合、宛先人の情報を墨塗りによって秘匿することはできないため、適切な改訂文書の作成が不可能となってしまう。そこで、実施例４では、予め墨塗り禁止の状態をあらわす『ＳＰＤＡ』および『ＳＰＤＰ』を無効にすることによって、上記のような問題を回避する。
【０２５６】
（部分文書の状態および状態遷移）
まず、電子文書Ｍを構成する各部分文書の状態および状態遷移について説明する。図２８は、部分文書状態および状態遷移を示す図表である。図２８において、図表２８００には、電子文書Ｍを構成する各部分文書に設定可能な部分文書の状態が表現されている。ここでは、墨塗り禁止でかつ削除可能な状態を『ＳＰＤＡ』および墨塗り禁止でかつ削除禁止な状態を『ＳＰＤＰ』を除く状態『ＳＡＤＡ、ＳＡＤＰ、ＳＤＡ、ＳＤＰ、Ｄ』が設定可能となっている。
【０２５７】
また、図表２８００には、状態間の遷移をあらわす状態遷移として、７個の状態遷移Ｔ３〜Ｔ６，Ｔ１０〜Ｔ１２が表現されている。これら状態遷移Ｔ３〜Ｔ６，Ｔ１０〜Ｔ１２は、改訂者によって各部分文書に対する改訂をおこなう際に、当該各部分文書の状態を他の状態に設定することができる状態遷移をあらわしている。
【０２５８】
つぎに、電子文書Ｍの初期状態について説明する。図２９は、実施例４における電子文書Ｍの初期状態の一例を示す説明図である。図２９において、電子文書Ｍは、複数の部分文書ｍ1’〜ｍ4’に分割されている。各部分文書ｍ1’〜ｍ4’には、それぞれ対応する第１の電子署名σ1〜σ4が規定されている。また、電子文書Ｍには、第１の電子署名σ1〜σ4を集約した集約電子署名σが関連付けられている。電子文書Ｍの初期状態において、これら部分文書ｍ1’〜ｍ4’の状態は、墨塗り可能でかつ削除可能な状態の『ＳＡＤＡ』である。
【０２５９】
（部分文書状態の表現方式）
つぎに、各部分文書ｍi’の状態の表現方式について説明する。図３０は、実施例４における部分文書状態の表現方式を示す説明図である。図３０において、各部分文書ｍi’の状態が、部分文書ｍi’、ハッシュ値ｈi’および第１の電子署名σiの組み合わせによって表現されている。
【０２６０】
まず、部分文書ｍi’および第１の電子署名σiの組み合わせによって、墨塗り可能でかつ削除可能な状態（初期状態）をあらわす『ＳＡＤＡ』が表現されている。また、部分文書ｍi’によって、墨塗り可能でかつ削除禁止な状態をあらわす『ＳＡＤＰ』が表現されている。この場合、集約電子署名σには第１の電子署名σiが含まれている。
【０２６１】
また、ハッシュ値ｈi’および第１の電子署名σiの組み合わせによって、墨塗り済みでかつ削除可能な状態をあらわす『ＳＤＡ』が表現されている。また、ハッシュ値ｈi’によって、墨塗り済みでかつ削除禁止な状態をあらわす『ＳＤＰ』が表現されている。なお、上記『ＳＡＤＡ』、『ＳＡＤＰ』、『ＳＤＡ』および『ＳＤＰ』の状態において、集約電子署名σには第１の電子署名σiが含まれている。
【０２６２】
また、部分文書ｍi’、ハッシュ値ｈi’および第１の電子署名σiのいずれも存在していない組み合わせによって、削除済みの状態をあらわす『Ｄ』が表現されている。この場合、集約電子署名σの中から第１の電子署名σiが削除されている。
【０２６３】
（状態間の状態遷移）
つぎに、図２８に示した状態遷移Ｔ３〜Ｔ６，Ｔ１０〜Ｔ１２について説明する。まず、状態遷移Ｔ３は、『ＳＡＤＡ』から『ＳＡＤＰ』への遷移をあらわしている。『ＳＡＤＡ』から『ＳＡＤＰ』へ遷移させるためには、部分文書ｍi’に規定されている第１の電子署名σiを削除する。
【０２６４】
状態遷移Ｔ４は、『ＳＡＤＡ』から『ＳＤＰ』への遷移をあらわしている。『ＳＡＤＡ』から『ＳＤＰ』へ遷移させるためには、部分文書ｍi’をハッシュ値ｈi’に置き換えるとともに、部分文書ｍi’に規定されている第１の電子署名σiを削除する。
【０２６５】
状態遷移Ｔ５は、『ＳＡＤＡ』から『ＳＤＡ』への遷移をあらわしている。『ＳＡＤＡ』から『ＳＤＡ』へ遷移させるためには、部分文書ｍi’をハッシュ値ｈi’に置き換える。なお、『ＳＤＡ』から『ＳＡＤＡ』へ遷移させることはできない。
【０２６６】
状態遷移Ｔ６は、『ＳＡＤＡ』から『Ｄ』への遷移をあらわしている。『ＳＡＤＡ』から『Ｄ』へ遷移させるためには、集約電子署名σの中から部分文書ｍi’に規定されている第１の電子署名σiを削除するとともに、部分文書ｍi’および部分文書ｍi’に規定されている第１の電子署名σiとを削除する。
【０２６７】
状態遷移Ｔ１０は、『ＳＡＤＰ』から『ＳＤＰ』への遷移をあらわしている。『ＳＡＤＰ』から『ＳＤＰ』へ遷移させるためには、部分文書ｍi’をハッシュ値ｈi’に置き換える。状態遷移Ｔ１１は、『ＳＤＡ』から『ＳＤＰ』への遷移をあらわしている。『ＳＤＡ』から『ＳＤＰ』へ遷移させるためには、部分文書ｍi’に規定されている第１の電子署名σiを削除する。
【０２６８】
状態遷移Ｔ１２は、『ＳＤＡ』から『Ｄ』への遷移をあらわしている。『ＳＤＡ』から『Ｄ』へ遷移させるためには、集約電子署名σの中から部分文書ｍi’に規定されている第１の電子署名σiを削除するとともに、ハッシュ値ｈi’および部分文書ｍi’に規定されている第１の電子署名σiを削除する。
【０２６９】
（改訂処理手順）
つぎに、実施例４における改訂処理手順について説明する。図３１〜図３３は、実施例４における改訂処理手順を示すフローチャートである。なお、実施例４における改訂処理手順のうち実施例１で説明した処理（図１５および図１６に示した各工程）と同一処理については、ここでは図示および説明を省略する
【０２７０】
図３１のフローチャートにおいて、まず、取得部３０１により、複数の部分文書ｍ1’〜ｍn’からなる電子文書Ｍを取得したか否かを判断する（ステップＳ３１０１）。具体的には、たとえば、図２９に示したような電子文書Ｍを取得する。
【０２７１】
ここで、電子文書Ｍを取得するのを待って（ステップＳ３１０１：Ｎｏ）、取得した場合（ステップＳ３１０１：Ｙｅｓ）、指定部３０２により、改訂者の指定入力を受け付けたか否かを判断する（ステップＳ３１０２）。ここで、指定を受け付けるのを待って（ステップＳ３１０２：Ｎｏ）、受け付けた場合（ステップＳ３１０２：Ｙｅｓ）、削除禁止対象の指定を受け付けたか否かを判断する（ステップＳ３１０３）。
【０２７２】
ここで、削除禁止対象の指定を受け付けた場合（ステップＳ３１０３：Ｙｅｓ）、図３２に示すステップＳ３２０１に移行する。一方で、削除禁止対象の指定を受け付けていない場合（ステップＳ３１０３：Ｎｏ）、削除対象の指定を受け付けたか否かを判断する（ステップＳ３１０４）。
【０２７３】
ここで、削除対象の指定を受け付けた場合（ステップＳ３１０４：Ｙｅｓ）、図３３に示すステップＳ３３０１に移行する。一方で、削除対象の指定を受け付けていない場合（ステップＳ３１０４：Ｎｏ）、墨塗り対象の指定を受け付けたか否かを判断する（ステップＳ３１０５）。
【０２７４】
ここで、墨塗り対象の指定を受け付けた場合（ステップＳ３１０５：Ｙｅｓ）、図１５に示したステップＳ１５０１に移行する。一方で、墨塗り対象の指定を受け付けていない場合（ステップＳ３１０５：Ｎｏ）、墨塗り対象でかつ削除禁止対象の指定を受け付けたか否かを判断する（ステップＳ３１０６）。
【０２７５】
ここで、墨塗り対象でかつ削除禁止対象の指定を受け付けた場合（ステップＳ３１０６：Ｙｅｓ）、図１６に示したステップＳ１６０１に移行する。一方で、墨塗り対象でかつ削除禁止対象の指定を受け付けていない場合（ステップＳ３１０６：Ｎｏ）、改訂終了を示す指定を受け付けたと判断し、出力部３０６により、改訂文書Ｒを出力して（ステップＳ３１０７）、本フローチャートによる一連の処理を終了する。
【０２７６】
つぎに、図３２に示すフローチャートにおいて、まず、判断部３０３により、削除禁止対象に指定された部分文書ｍi’の状態が『ＳＡＤＡ』であるか否かを判断する（ステップＳ３２０１）。ここで、『ＳＡＤＡ』であった場合（ステップＳ３２０１：Ｙｅｓ）、削除部３０４により、削除禁止対象に指定された部分文書ｍi’に規定されている第１の電子署名σiを削除する（ステップＳ３２０２）。
【０２７７】
このあと、設定部３０５により、削除禁止対象に指定された部分文書ｍi’の状態を『ＳＡＤＡ』から『ＳＡＤＰ』に設定し（ステップＳ３２０３）、図３１に示したステップＳ３１０２に戻る。また、ステップＳ３２０１において、『ＳＡＤＡ』でなかった場合（ステップＳ３２０１：Ｎｏ）、判断部３０３により、削除禁止対象に指定された部分文書ｍi’の状態が『ＳＤＡ』であるか否かを判断する（ステップＳ３２０４）。ここで、『ＳＤＡ』であった場合（ステップＳ３２０４：Ｙｅｓ）、削除部３０４により、削除禁止対象に指定された部分文書ｍi’に規定されている第１の電子署名σiを削除する（ステップＳ３２０５）。
【０２７８】
このあと、設定部３０５により、削除禁止対象に指定された部分文書ｍi’の状態を『ＳＤＡ』から『ＳＤＰ』に設定し（ステップＳ３２０６）、図３１に示したステップＳ３１０２に戻る。また、ステップＳ３２０４において、『ＳＤＡ』でなかった場合（ステップＳ３２０４：Ｎｏ）、出力部３０６により、削除禁止対象として指定することができない部分文書ｍi’が指定されている旨を報知するエラーを出力して（ステップＳ３２０７）、図３１に示したステップＳ３１０２に戻る。
【０２７９】
つぎに、図３３に示すフローチャートにおいて、まず、判断部３０３により、削除対象に指定された部分文書ｍi’の状態が『ＳＡＤＡ』であるか否かを判断する（ステップＳ３３０１）。ここで、『ＳＡＤＡ』であった場合（ステップＳ３３０１：Ｙｅｓ）、削除部３０４により、集約電子署名σの中から削除対象に指定された部分文書ｍi’に規定されている第１の電子署名σiを削除する（ステップＳ３３０２）。
【０２８０】
このあと、削除部３０４により、削除対象に指定された部分文書ｍi’および当該部分文書ｍi’に規定されている第１の電子署名σiを削除する（ステップＳ３３０３）。そして、設定部３０５により、削除対象に指定された部分文書ｍi’の状態を『ＳＡＤＡ』から『Ｄ』に設定し（ステップＳ３３０４）、図３１に示したステップＳ３１０２に戻る。
【０２８１】
また、ステップＳ３３０１において、『ＳＡＤＡ』でなかった場合（ステップＳ３３０１：Ｎｏ）、判断部３０３により、削除対象に指定された部分文書ｍi’の状態が『ＳＤＡ』であるか否かを判断する（ステップＳ３３０５）。ここで、『ＳＤＡ』であった場合（ステップＳ３３０５：Ｙｅｓ）、削除部３０４により、集約電子署名σの中から削除対象に指定された部分文書ｍi’に規定されている第１の電子署名σiを削除する（ステップＳ３３０６）。
【０２８２】
このあと、削除部３０４により、削除対象に指定された部分文書ｍi’のハッシュ値ｈi’および当該部分文書ｍi’に規定されている第１の電子署名σiを削除する（ステップＳ３３０７）。そして、設定部３０５により、削除対象に指定された部分文書ｍi’の状態を『ＳＤＡ』から『Ｄ』に設定し（ステップＳ３３０８）、図３１に示したステップＳ３１０２に戻る。
【０２８３】
また、ステップＳ３３０５において、『ＳＤＡ』でなかった場合（ステップＳ３３０５：Ｎｏ）、出力部３０６により、削除対象として指定することができない部分文書ｍi’が指定されている旨を報知するエラーを出力して（ステップＳ３３０９）、図３１に示したステップＳ３１０２に戻る。
【０２８４】
以上説明した実施例４によれば、『ＳＰＤＰ』および『ＳＰＤＡ』への遷移を無効にすることにより、『ＳＡＤＡ』、『ＳＡＤＰ』、『ＳＤＡ』、『ＳＤＰ』および『Ｄ』のいずれかの状態を表現する際の方式を簡素化することができる。これにより、実施例１〜３に比べて、上記５個の状態を表現するために必要となるデータ量を大幅に削減することができる。
【０２８５】
以上説明したように、電子文書管理プログラム、該プログラムを記録した記録媒体、電子文書管理装置、および電子文書管理方法によれば、部分文書を墨塗り禁止でかつ削除可能な状態に設定可能とすることにより、より柔軟な電子文書の改訂を実現し、ユーザの利便性の向上を図ることができる。
【０２８６】
なお、本実施の形態で説明した電子文書管理方法は、予め用意されたプログラムをパーソナル・コンピュータやワークステーションなどのコンピュータで実行することにより実現することができる。このプログラムは、ハードディスク、フレキシブルディスク、ＣＤ−ＲＯＭ、ＭＯ、ＤＶＤなどのコンピュータで読み取り可能な記録媒体に記録され、コンピュータによって記録媒体から読み出されることによって実行される。またこのプログラムは、インターネットなどのネットワークを介して配布することが可能な伝送媒体であってもよい。
【０２８７】
（付記１）コンピュータを、
複数の構成要素からなり、前記構成要素ごとに、当該構成要素固有の第１の電子署名および第２の電子署名が規定され、かつ前記各第１の電子署名を集約した集約電子署名が関連付けられている電子文書を取得する取得手段、
前記取得手段によって取得された電子文書のうち隠蔽禁止対象となる構成要素の指定を受け付ける指定手段、
前記指定手段によって隠蔽禁止対象に指定された構成要素と当該構成要素に規定されている前記第１の電子署名および第２の電子署名の双方とが存在する場合、当該構成要素が隠蔽可能でかつ削除可能な状態であると判断する判断手段、
前記判断手段によって隠蔽可能でかつ削除可能な状態であると判断された場合、前記隠蔽禁止対象となる構成要素に規定されている第２の電子署名を削除する削除手段、
として機能させることを特徴とする電子文書管理プログラム。
【０２８８】
（付記２）前記指定手段は、
前記電子文書のうち削除禁止対象となる構成要素の指定を受け付け、
前記判断手段は、
前記指定手段によって削除禁止対象に指定された構成要素と当該構成要素に規定されている前記第１の電子署名とが存在する場合、当該構成要素が削除可能な状態であると判断し、
前記削除手段は、
前記判断手段によって削除可能な状態であると判断された場合、前記削除禁止対象となる構成要素に規定されている第１の電子署名を削除することを特徴とする付記１に記載の電子文書管理プログラム。
【０２８９】
（付記３）前記指定手段は、
前記電子文書のうち削除対象となる構成要素の指定を受け付け、
前記判断手段は、
前記指定手段によって削除対象に指定された構成要素と当該構成要素に規定されている前記第１の電子署名とが存在する場合、当該構成要素が削除可能な状態であるか否かを判断し、
前記削除手段は、
前記判断手段によって削除可能な状態であると判断された場合、前記削除対象となる構成要素に規定されている前記第１の電子署名を前記集約電子署名の中から削除するとともに、前記構成要素および当該構成要素に規定されている第１の電子署名を削除する付記１または２に記載の電子文書管理プログラム。
【０２９０】
（付記４）前記取得手段は、
前記削除手段によって削除された結果、前記指定手段によって指定された改定対象となる構成要素が、隠蔽禁止、削除禁止および削除済みのいずれかに改訂された改訂文書を取得し、
前記コンピュータを、
前記第１の電子署名、前記第２の電子署名および前記集約電子署名に基づいて、前記取得手段によって取得された改訂文書の真正を検証する検証手段、
前記検証手段によって検証された検証結果を出力する出力手段として機能させることを特徴とする付記１〜３のいずれか一つに記載の電子文書管理プログラム。
【０２９１】
（付記５）前記取得手段は、
複数の構成要素からなり、前記構成要素ごとに、当該構成要素固有の第１の電子署名および第２の電子署名が規定され、かつ前記各第１の電子署名を集約した第１の集約電子署名および前記各第２の電子署名を集約した第２の集約電子署名が関連付けられている電子文書を取得し、
前記削除手段は、
前記判断手段によって前記電子文書のうち隠蔽禁止対象に指定された構成要素が削除可能な状態であると判断された場合、前記隠蔽禁止対象となる構成要素に規定されている前記第２の電子署名を前記第２の集約電子署名の中から削除するとともに、前記構成要素に規定されている第２の電子署名を削除することを特徴とする付記１に記載の電子文書管理プログラム。
【０２９２】
（付記６）前記削除手段は、
前記判断手段によって前記電子文書のうち削除禁止対象に指定された構成要素が削除可能な状態であると判断された場合、前記削除禁止対象となる構成要素に規定されている前記第１の電子署名を削除することを特徴とする付記５に記載の電子文書管理プログラム。
【０２９３】
（付記７）前記削除手段は、
前記判断手段によって前記電子文書のうち削除対象に指定された構成要素が削除可能な状態であると判断された場合、前記削除対象となる構成要素に規定されている前記第１の電子署名を前記第１の集約電子署名の中から削除するとともに、前記構成要素および当該構成要素に規定されている第１の電子署名を削除することを特徴とする付記５または６に記載の電子文書管理プログラム。
【０２９４】
（付記８）前記取得手段は、
前記削除手段によって削除された結果、前記指定手段によって指定された改定対象となる構成要素が、隠蔽禁止、削除禁止および削除済みのいずれかに改訂された改訂文書を取得し、
前記検証手段は、
前記第１の電子署名、前記第２の電子署名、前記第１の集約電子署名および前記第２の集約電子署名に基づいて、前記取得手段によって取得された改訂文書の真正を検証することを特徴とする付記５〜７のいずれか一つに記載の電子文書管理プログラム。
【０２９５】
（付記９）コンピュータを、
複数の構成要素からなり、前記構成要素ごとに、当該構成要素固有の電子署名が規定され、かつ前記各電子署名を集約した集約電子署名が関連付けられている電子文書を取得する取得手段、
前記取得手段によって取得された電子文書のうち削除禁止対象となる構成要素の指定を受け付ける指定手段、
前記指定手段によって削除禁止対象に指定された構成要素と当該構成要素に規定されている前記電子署名とが存在する場合、当該構成要素が隠蔽可能でかつ削除可能な状態であると判断する判断手段、
前記判断手段によって隠蔽可能でかつ削除可能な状態であると判断された場合、前記削除禁止対象となる構成要素に規定されている電子署名を削除する削除手段、
として機能させることを特徴とする電子文書管理プログラム。
【０２９６】
（付記１０）前記指定手段は、
前記電子文書のうち削除対象となる構成要素の指定を受け付け、
前記判断手段は、
前記指定手段によって削除対象に指定された構成要素と当該構成要素に規定されている前記電子署名とが存在する場合、当該構成要素が削除可能な状態であると判断し、
前記削除手段は、
前記判断手段によって削除可能な状態であると判断された場合、前記削除対象となる構成要素に規定されている前記電子署名を前記集約電子署名の中から削除するとともに、前記構成要素および当該構成要素に規定されている電子署名を削除することを特徴とする付記９に記載の電子文書管理プログラム。
【０２９７】
（付記１１）前記コンピュータを、
隠蔽対象に指定された構成要素を当該構成要素のハッシュ値に置き換える置換手段として機能させ、
前記指定手段は、
前記電子文書のうち前記隠蔽対象となる構成要素の指定を受け付け、
前記判断手段は、
前記指定手段によって隠蔽対象に指定された構成要素と当該構成要素に規定されている前記電子署名とが存在する場合、当該構成要素が隠蔽可能な状態であると判断し、
前記置換手段は、
前記判断手段によって隠蔽可能な状態であると判断された場合、前記隠蔽対象に指定された構成要素を当該構成要素のハッシュ値に置き換えることを特徴とする付記９または１０に記載の電子文書管理プログラム。
【０２９８】
（付記１２）前記取得手段は、
前記削除手段によって削除された結果、前記指定手段によって指定された改定対象となる構成要素が、削除禁止、削除済みおよび隠蔽済みのいずれかに改訂された改訂文書を取得し、
前記コンピュータを、
前記電子署名および前記集約電子署名に基づいて、前記取得手段によって取得された改訂文書の真正を検証する検証手段、
前記検証手段によって検証された検証結果を出力する出力手段として機能させることを特徴とする付記９〜１１のいずれか一つに記載の電子文書管理プログラム。
【０２９９】
（付記１３）付記１〜１２のいずれか一つに記載の電子文書管理プログラムを記録したコンピュータに読み取り可能な記録媒体。
【０３００】
（付記１４）複数の構成要素からなり、前記構成要素ごとに、当該構成要素固有の第１の電子署名および第２の電子署名が規定され、かつ前記各第１の電子署名を集約した集約電子署名が関連付けられている電子文書を取得する取得手段と、
前記取得手段によって取得された電子文書のうち隠蔽禁止対象となる構成要素の指定を受け付ける指定手段と、
前記指定手段によって隠蔽禁止対象に指定された構成要素と当該構成要素に規定されている前記第１の電子署名および第２の電子署名の双方とが存在する場合、当該構成要素が隠蔽可能でかつ削除可能な状態であると判断する判断手段と、
前記判断手段によって隠蔽可能でかつ削除可能な状態であると判断された場合、前記隠蔽禁止対象となる構成要素に規定されている第２の電子署名を削除する削除手段と、
を備えることを特徴とする電子文書管理装置。
【０３０１】
（付記１５）複数の構成要素からなり、前記構成要素ごとに、当該構成要素固有の第１の電子署名および第２の電子署名が規定され、かつ前記各第１の電子署名を集約した集約電子署名が関連付けられている電子文書を取得する取得工程と、
前記取得工程によって取得された電子文書のうち隠蔽禁止対象となる構成要素の指定を受け付ける指定工程と、
前記指定工程によって隠蔽禁止対象に指定された構成要素と当該構成要素に規定されている前記第１の電子署名および第２の電子署名の双方とが存在する場合、当該構成要素が隠蔽可能でかつ削除可能な状態であると判断する判断工程と、
前記判断工程によって隠蔽可能でかつ削除可能な状態であると判断された場合、前記隠蔽禁止対象となる構成要素に規定されている第２の電子署名を削除する削除工程と、
を含むことを特徴とする電子文書管理方法。
【産業上の利用可能性】
【０３０２】
以上のように、本発明にかかる電子文書管理プログラム、該プログラムを記録した記録媒体、電子文書管理装置、および電子文書管理方法は、改訂可能な電子文書の真正を検証する技術に有用である。
【図面の簡単な説明】
【０３０３】
【図１】この発明の実施の形態にかかる電子文書管理システムのシステム構成図である。
【図２】この発明の実施の形態にかかる電子文書管理装置のハードウェア構成を示す説明図である。
【図３】この発明の実施の形態にかかる電子文書管理装置の機能的構成を示すブロック図である。
【図４】この発明の実施の形態にかかる電子文書管理装置の改訂処理手順を示すフローチャートである。
【図５】この発明の実施の形態にかかる電子文書管理装置の検証処理手順を示すフローチャートである。
【図６】部分文書状態および状態遷移を示す図表（その１）である。
【図７】電子署名生成の概要を示す説明図である。
【図８】実施例１における電子文書Ｍの初期状態の一例を示す説明図である。
【図９】実施例１における部分文書状態の表現方式を示す説明図である。
【図１０】実施例１における改訂処理手順を示すフローチャート（その１）である。
【図１１】実施例１における改訂処理手順を示すフローチャート（その２）である。
【図１２】実施例１における改訂処理手順を示すフローチャート（その３）である。
【図１３】実施例１における改訂処理手順を示すフローチャート（その４）である。
【図１４】実施例１における改訂処理手順を示すフローチャート（その５）である。
【図１５】実施例１における改訂処理手順を示すフローチャート（その６）である。
【図１６】実施例１における改訂処理手順を示すフローチャート（その７）である。
【図１７】実施例１にかかる電子文書管理装置の検証処理手順を示すフローチャートである。
【図１８】実施例２における電子文書Ｍの初期状態の一例を示す説明図である。
【図１９】実施例２における部分文書状態の表現方式を示す説明図である。
【図２０】実施例２における改訂処理手順を示すフローチャート（その１）である。
【図２１】実施例２における改訂処理手順を示すフローチャート（その２）である。
【図２２】実施例２における改訂処理手順を示すフローチャート（その３）である。
【図２３】実施例３における部分文書状態の表現方式を示す説明図である。
【図２４】実施例３における改訂処理手順を示すフローチャート（その１）である。
【図２５】実施例３における改訂処理手順を示すフローチャート（その２）である。
【図２６】実施例３における改訂処理手順を示すフローチャート（その３）である。
【図２７】墨塗り禁止の状態を使用しない場合の問題点の一例を示す説明図である。
【図２８】部分文書状態および状態遷移を示す図表（その２）である。
【図２９】実施例４における電子文書Ｍの初期状態の一例を示す説明図である。
【図３０】実施例４における部分文書状態の表現方式を示す説明図である。
【図３１】実施例４における改訂処理手順を示すフローチャート（その１）である。
【図３２】実施例４における改訂処理手順を示すフローチャート（その２）である。
【図３３】実施例４における改訂処理手順を示すフローチャート（その３）である。
【図３４】従来技術における部分文書状態および状態遷移を示す図表である。
【図３５】従来技術の問題点の一例を示す説明図である。
【符号の説明】
【０３０４】
１００  電子文書管理システム
１０１，１０２，１０３  電子文書管理装置
３０１  取得部
３０２  指定部
３０３  判断部
３０４  削除部
３０５  設定部
３０６  出力部
３０７  検証部
６００，２８００，３４００  図表
２７１０，３５１０  オリジナル文書
２７２０，３５２０，３５３０，Ｒ  改訂文書
Ｍ  電子文書
【図１】
0004456137.tif 000002
【図２】
0004456137.tif 000003
【図３】
0004456137.tif 000004
【図４】
0004456137.tif 000005
【図５】
0004456137.tif 000006
【図６】
0004456137.tif 000007
【図７】
0004456137.tif 000008
【図８】
0004456137.tif 000009
【図９】
0004456137.tif 000010
【図１０】
0004456137.tif 000011
【図１１】
0004456137.tif 000012
【図１２】
0004456137.tif 000013
【図１３】
0004456137.tif 000014
【図１４】
0004456137.tif 000015
【図１５】
0004456137.tif 000016
【図１６】
0004456137.tif 000017
【図１７】
0004456137.tif 000018
【図１８】
0004456137.tif 000019
【図１９】
0004456137.tif 000020
【図２０】
0004456137.tif 000021
【図２１】
0004456137.tif 000022
【図２２】
0004456137.tif 000023
【図２３】
0004456137.tif 000024
【図２４】
0004456137.tif 000025
【図２５】
0004456137.tif 000026
【図２６】
0004456137.tif 000027
【図２７】
0004456137.tif 000028
【図２８】
0004456137.tif 000029
【図２９】
0004456137.tif 000030
【図３０】
0004456137.tif 000031
【図３１】
0004456137.tif 000032
【図３２】
0004456137.tif 000033
【図３３】
0004456137.tif 000034
【図３４】
0004456137.tif 000035
【図３５】
0004456137.tif 000036