(57)【特許請求の範囲】
【請求項１】
複数の閲覧者装置及び分散データ格納装置と通信可能であり、所定のしきい値及び分散数に基づいて、しきい値型秘密分散方式を実行可能な秘密分散装置であって、
前記各分散データ格納装置を個別に示すホスト名を格納したホスト名格納手段と、
前記閲覧者装置毎に、当該閲覧者装置のアドレス情報を含む閲覧者情報を格納した閲覧者情報格納手段と、
特定文書の文書ＩＤ及び当該文書内の平文データからなる文書データと、前記平文データから秘密分散する箇所として選択された平文選択部分データを示す分散箇所情報と、当該分散箇所情報に関連付けられたしきい値及び分散数とを少なくとも含む分散指示情報を用い、当該しきい値及び分散数に基づくしきい値型秘密分散方式を実行して複数の秘密分散データを作成する秘密分散データ作成手段と、
前記作成された秘密分散データ毎に、前記秘密分散の順番を示す順番情報及び前記分散箇所情報からなる秘密分散ＩＤを作成する秘密分散ＩＤ作成手段と、
前記秘密分散ＩＤ毎に、前記文書ＩＤ及び前記秘密分散データを含む分散情報を作成する分散情報作成手段と、
前記各分散情報内の文書ＩＤ及び秘密分散ＩＤを含むファイル名と前記ホスト名格納手段内のホスト名とに基づいて、当該各分散情報を参照するための参照情報を作成する参照情報作成手段と、
前記秘密分散ＩＤの順番情報毎に、前記文書ＩＤ、当該秘密分散ＩＤ、前記しきい値、前記分散数、前記参照情報、前記秘密分散データ、及び前記平文データから前記平文選択部分データを除いた残りの平文非選択部分データ、を含む秘密分散文書データを作成する秘密分散文書作成手段と、
前記各分散情報を、前記ホスト名格納装置内のホスト名に基づいて各分散データ格納装置に送信する分散情報送信手段と、
前記各秘密分散文書データを、前記閲覧者情報格納手段内の閲覧者情報に基づいて、前記各閲覧者装置に配信する秘密分散文書配信手段と、
を備えたことを特徴とする秘密分散装置。
【請求項２】
請求項１に記載の秘密分散装置において、
前記閲覧者情報格納手段は、前記閲覧者装置毎に、当該閲覧者装置を操作する閲覧者の機密レベル及び組織名を更に格納しており、
前記分散指示情報は、前記分散箇所情報に関連付けられた機密レベル及び組織名を更に含んでおり、
前記秘密分散文書データは、前記分散指示情報内の機密レベルと、この分散指示情報内の機密レベルが前記閲覧者の機密レベルよりも高い場合に前記秘密分散データに代えて前記秘密分散文書作成手段により挿入されたＮＵＬＬデータとを更に含んでおり、
前記秘密分散文書配信手段は、前記分散指示情報内の組織名と、前記各秘密分散文書データ内の機密レベルと秘密分散データ又はＮＵＬＬデータとに基づいて、当該組織名及び機密レベルに該当する閲覧者情報内のアドレス情報に基づいて、前記配信を実行する手段を備えたことを特徴とする秘密分散装置。
【請求項３】
請求項１又は請求項２に記載の秘密分散装置において、
いずれかの閲覧者装置から秘密分散ＩＤ、秘密分散データ及び参照情報を含む復元要求を受けると、この秘密分散データのハッシュ値を算出し、このハッシュ値及び当該秘密分散ＩＤを前記参照情報に基づいて、前記分散データ格納装置に送信する手段と、
この送信先の分散データ格納装置に格納された秘密分散データから得られるハッシュ値と、前記送信したハッシュ値との照合結果を前記送信先の分散データ格納装置から受けると、前記照合結果が一致を示すとき、前記ホスト名格納手段を参照して他の分散データ格納装置から分散情報を取得する手段と、
前記取得した分散情報内の秘密分散データ及び前記復元要求内の秘密分散データに基づいて、前記しきい値型秘密分散方式を実行し、元の平文選択部分データを復元する復元手段と、
前記復元した平文選択部分データを前記復元要求の送信元に返信する手段と、
を備えたことを特徴とする秘密分散装置。
【請求項４】
請求項１又は請求項２に記載の秘密分散装置において、
前記分散情報毎に、当該分散情報の文書ＩＤ及び秘密分散ＩＤと、当該分散情報の送信先の分散データ格納装置のホスト名とを格納する分散情報送信先格納手段と、
前記分散情報送信手段により送信された分散情報毎に、前記文書ＩＤ、前記秘密分散ＩＤ及び前記ホスト名を前記分散情報送信先格納手段に書き込む手段と、
いずれかの閲覧者装置から秘密分散ＩＤ及び秘密分散データを含み且つ前記参照情報を含まない復元要求を受けると、この秘密分散データのハッシュ値を算出し、このハッシュ値及び当該秘密分散ＩＤを、前記分散情報送信先格納手段内の当該秘密分散ＩＤに対応するホスト名に基づいて、分散データ格納装置に送信する手段と、
この送信先の分散データ格納装置に格納された秘密分散データから得られるハッシュ値と、前記送信したハッシュ値との照合結果を前記送信先の分散データ格納装置から受けると、前記照合結果が一致を示すとき、前記分散情報送信先格納手段を参照して他の分散データ格納装置から分散情報を取得する手段と、
前記取得した分散情報内の秘密分散データ及び前記復元要求内の秘密分散データに基づいて、前記しきい値型秘密分散方式を実行し、元の平文選択部分データを復元する復元手段と、
前記復元した平文選択部分データを前記復元要求の送信元に返信する手段と、
を備えたことを特徴とする秘密分散装置。
【請求項５】
請求項１乃至請求項４のいずれか１項に記載の秘密分散装置において、
前記秘密分散文書作成手段は、前記秘密分散文書データをＸＭＬ構造化文書として作成する構造化文書作成手段を備えたことを特徴とする秘密分散装置。
【請求項６】
複数の閲覧者装置及び分散データ格納装置と通信可能であり、ホスト名格納手段及び閲覧者情報格納手段を有し且つ所定のしきい値及び分散数に基づいて、しきい値型秘密分散方式を実行可能な秘密分散装置に用いられるプログラムであって、
前記秘密分散装置を、
前記各分散データ格納装置を個別に示すホスト名を前記ホスト名格納手段に書き込む手段、
前記閲覧者装置毎に、当該閲覧者装置のアドレス情報を含む閲覧者情報を前記閲覧者情報格納手段に書き込む手段、
特定文書の文書ＩＤ及び当該文書内の平文データからなる文書データと、前記平文データから秘密分散する箇所として選択された平文選択部分データを示す分散箇所情報と、前記分散箇所情報に関連付けられたしきい値及び分散数とを少なくとも含む分散指示情報を用い、当該しきい値及び分散数に基づくしきい値型秘密分散方式を実行して複数の秘密分散データを作成する秘密分散データ作成手段、
前記作成された秘密分散データ毎に、前記秘密分散の順番を示す順番情報及び前記分散箇所情報からなる秘密分散ＩＤを作成する秘密分散ＩＤ作成手段、
前記秘密分散ＩＤ毎に、前記文書ＩＤ及び前記秘密分散データを含む分散情報を作成する分散情報作成手段、
前記各分散情報内の文書ＩＤ及び秘密分散ＩＤを含むファイル名と前記ホスト名格納手段内のホスト名とに基づいて、当該各分散情報を参照するための参照情報を作成する参照情報作成手段、
前記秘密分散ＩＤの順番情報毎に、前記文書ＩＤ、当該秘密分散ＩＤ、前記しきい値、前記分散数、前記参照情報、前記秘密分散データ、及び前記平文データから前記平文選択部分データを除いた残りの平文非選択部分データ、を含む秘密分散文書データを作成する秘密分散文書作成手段、
前記各分散情報を、前記ホスト名格納装置内のホスト名に基づいて各分散データ格納装置に送信する分散情報送信手段、
前記各秘密分散文書データを、前記閲覧者情報格納手段内の閲覧者情報に基づいて、前記各閲覧者装置に配信する秘密分散文書配信手段、
として機能させるためのプログラム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、文書データの全部又は一部の秘密分散装置及びプログラムに係り、例えば文書データの秘匿部分が複数になる場合や、互いに異なる権限をもつ各閲覧者が閲覧する場合でも、鍵の管理の煩雑化を阻止し、簡単に運用し得る秘密分散装置及びプログラムに関する。
【背景技術】
【０００２】
従来、ある文書データの一部分を秘匿したい場合、秘匿したい部分を暗号鍵により暗号化し、暗号鍵へのアクセス制御を行う方式が用いられている。この種の方式としては、例えばＸＭＬエレメント暗号が知られている（例えば、非特許文献１参照。）。
【非特許文献１】米持幸寿、外１名、“ＸＭＬ暗号化の基礎と実践〜前編  ＸＭＬ暗号化と正規化と電子署名、１．ＳＳＬの利用とＸＭＬ暗号化の違い、…、□ ＸＭＬエレメント暗号”、［online］、２００２年４月２日、アットマークイット(atmarkit: @it)、［平成１９年１１月９日検索］、インターネット＜URL：http://atmarkit.co.jp/fxml/tanpatsu/16xmlsecurity/xmlsecurity01.html＞
【発明の開示】
【発明が解決しようとする課題】
【０００３】
しかしながら以上のような方式は、本発明者の検討によれば、秘匿部分が複数になる場合や、互いに異なる権限をもつ複数の閲覧者が閲覧する場合などに、鍵の管理が煩雑になり、効率的な運用を図ることができない虞があるという不都合がある。
【０００４】
本発明は上記実情を考慮してなされたもので、文書データの秘匿部分が複数になる場合や、互いに異なる権限をもつ各閲覧者が閲覧する場合でも、鍵の管理の煩雑化を阻止し、簡単に運用し得る秘密分散装置及びプログラムを提供することを目的とする。
【課題を解決するための手段】
【０００５】
本発明の第１の局面は、複数の閲覧者装置及び分散データ格納装置と通信可能であり、所定のしきい値及び分散数に基づいて、しきい値型秘密分散方式を実行可能な秘密分散装置であって、前記各分散データ格納装置を個別に示すホスト名を格納したホスト名格納手段と、前記閲覧者装置毎に、当該閲覧者装置のアドレス情報を含む閲覧者情報を格納した閲覧者情報格納手段と、特定文書の文書ＩＤ及び当該文書内の平文データからなる文書データと、前記平文データから秘密分散する箇所として選択された平文選択部分データを示す分散箇所情報と、当該前記分散箇所情報に関連付けられたしきい値及び分散数とを少なくとも含む分散指示情報を用い、当該しきい値及び分散数に基づくしきい値型秘密分散方式を実行して複数の秘密分散データを作成する秘密分散データ作成手段と、前記作成された秘密分散データ毎に、前記秘密分散の順番を示す順番情報及び前記分散箇所情報からなる秘密分散ＩＤを作成する秘密分散ＩＤ作成手段と、前記秘密分散ＩＤ毎に、前記文書ＩＤ及び前記秘密分散データを含む分散情報を作成する分散情報作成手段と、前記各分散情報内の文書ＩＤ及び秘密分散ＩＤを含むファイル名と前記ホスト名格納手段内のホスト名とに基づいて、当該各分散情報を参照するための参照情報を作成する参照情報作成手段と、前記秘密分散ＩＤの順番情報毎に、前記文書ＩＤ、当該秘密分散ＩＤ、前記しきい値、前記分散数、前記参照情報、前記秘密分散データ、及び前記平文データから前記平文選択部分データを除いた残りの平文非選択部分データ、を含む秘密分散文書データを作成する秘密分散文書作成手段と、前記各分散情報を、前記ホスト名格納装置内のホスト名に基づいて各分散データ格納装置に送信する分散情報送信手段と、前記各秘密分散文書データを、前記閲覧者情報格納手段内の閲覧者情報に基づいて、前記各閲覧者装置に配信する秘密分散文書配信手段と、を備えた秘密分散装置である。
【０００６】
なお、本発明の第１の局面は、１つの装置を「装置」として表現したが、これに限らず、各装置の集合体をシステムとして表現してもよく、あるいは、各装置の集合体又は装置毎に、方法、プログラム、プログラムを記憶したコンピュータ読み取り可能な記憶媒体、等として表現してもよい。
【０００７】
（作用）
本発明の第１の局面によれば、分散データ管理装置が、文書データ及び分散指示情報に基づいて、当該文書データ内の平文データから秘密分散する箇所として選択された平文選択部分データを秘密分散する。このように、秘匿したい部分を暗号化せず、秘密分散により秘匿するので、従来とは異なり、暗号化鍵を用いない。
【０００８】
従って、文書データの秘匿部分が複数になる場合や、互いに異なる権限をもつ各閲覧者が閲覧する場合でも、鍵の管理の煩雑化を阻止して、簡単に運用することができる。
【発明の効果】
【０００９】
以上説明したように本発明によれば、文書データの秘匿部分が複数になる場合や、互いに異なる権限をもつ各閲覧者が閲覧する場合でも、鍵の管理の煩雑化を阻止し、簡単に運用できる。
【発明を実施するための最良の形態】
【００１０】
以下、本発明の各実施形態について図面を用いて説明する。
【００１１】
（第１の実施形態）
図１は本発明の第１の実施形態に係る秘密分散システムの構成を示す模式図である。この秘密分散システムは、文書作成者装置１００、分散データ管理装置２００、ｎ台の分散データ格納装置（＃１〜＃ｎ）３００−１〜３００−ｎ、４台の閲覧者装置４００ａ〜４００ｄが互いにインターネット５００を介して通信可能となっている。
【００１２】
ここで、文書作成者装置１００は、図２に示すように、文書格納部１０１、入力部１０２、文書作成部１０３、分散指示部１０４、表示部１０５及び通信部１０６を備えた構成となっている。
【００１３】
分散データ管理装置（秘密分散装置）２００は、所定のしきい値及び分散数に基づいて、しきい値型秘密分散方式を実行可能な装置であり、格納装置情報格納部２０１、閲覧者情報格納部２０２、分散情報送信先格納部２０３、秘密分散文書作成部２０４、分散情報送信部２０５、秘密分散文書配信部２０６、復元要求受付部２０７、分散情報所有者確認部２０８、復元部２０９及び通信部２１０を備えた構成となっている。
【００１４】
各分散データ格納装置（＃１〜＃ｎ）３００−１〜３００−ｎは、互いに同一のハードウェア構成であるので、ここでは、分散データ格納装置（＃１）３００−１を代表例に挙げて説明する。
【００１５】
分散データ格納装置（＃１）３００−１は、分散情報格納部３０１−１、分散情報管理部３０２−１及び通信部３０３−１を備えた構成となっている。
【００１６】
各閲覧者装置４００ａ〜４００ｄは、互いに同一のハードウェア構成であるので、ここでは、閲覧者装置４００ａを代表例に挙げて説明する。
【００１７】
閲覧者装置４００ａは、秘密分散構造化文書格納部４０１、入力部４０２、文書管理部４０３、復元要求部４０４、表示部４０５及び通信部４０６を備えた構成となっている。
【００１８】
なお、以上の各装置は、装置毎に、ハードウェア構成、又はハードウェア資源とソフトウェアとの組合せ構成のいずれでも実施可能となっている。これは以下の各実施形態でも同様である。組合せ構成のソフトウェアとしては、予めネットワーク又は記憶媒体から対応する装置のコンピュータにインストールされ、対応する装置内の各部の機能を実現させるためのプログラムを各装置のＣＰＵ（図示せず）が実行することにより実現される。
【００１９】
例えば、文書作成者装置１００の場合、文書作成部１０３及び分散指示部１０４は、当該各部１０３，１０４の機能を実現させるためのプログラムが文書作成者装置１００のＣＰＵ（図示せず）により実行されて実現される。文書格納部１０１、入力部１０２、表示部１０５及び通信部１０６は、記憶装置、入力装置、表示装置及び通信インタフェース機器といったハードウェア資源により実現される。
【００２０】
分散データ管理装置２００の場合、秘密分散文書作成部２０４、分散情報送信部２０５、秘密分散文書配信部２０６、復元要求受付部２０７、分散情報所有者確認部２０８及び復元部２０９は、当該各部２０４〜２０９の機能を実現させるためのプログラムが分散データ管理装置２００のＣＰＵ（図示せず）により実行されて実現される。各格納部２０１〜２０３及び通信部２１０は、記憶装置及び通信インタフェース機器といったハードウェア資源により実現される。
【００２１】
同様に、分散データ格納装置３００−１の場合、分散情報管理部３０２−１は、当該管理部３０２−１の機能を実現させるためのプログラムが分散データ格納装置３００−１のＣＰＵ（図示せず）により実行されて実現される。分散情報格納部３０１−１及び通信部３０３−１は、記憶装置及び通信インタフェース機器といったハードウェア資源により実現される。
【００２２】
同様に、閲覧者装置４００ａの場合、文書管理部４０３及び復元要求部４０４は、当該各部４０３，４０４の機能を実現させるためのプログラムが閲覧者装置４００ａのＣＰＵ（図示せず）により実行されて実現される。秘密分散構造化文書格納部４０１、入力部４０２、表示部４０５及び通信部４０６は、記憶装置、入力装置、表示装置及び通信インタフェース機器といったハードウェア資源により実現される。
【００２３】
次に、以上のように構成された秘密分散システムの動作を図３乃至図１１を参照しながら説明する。
【００２４】
（準備）
分散データ管理装置２００においては、文書作成者装置１００から予め各分散データ格納装置３００−１〜３００ｎを個別に示すホスト名が格納装置情報格納部２０１に書き込まれている。
【００２５】
同様に、分散データ管理装置２００においては、図５に示すように、文書作成者装置１００から予め閲覧者装置４００ａ，４００ｂ，４００ｃ，４００ｄ毎に、当該閲覧者装置のメールアドレス、当該閲覧者装置を操作する閲覧者の機密レベル、組織名及び役職を含む閲覧者情報が閲覧者情報格納部２０２に書き込まれている。なお、ここでは、閲覧者の役職として、部長、課長、係長、担当の４種類を用いるが、これに限らず、任意の役職を使用できる。また、役職の情報は必須ではなく、省略してもよい。
【００２６】
（秘密分散処理：図３〜図９）
文書作成者装置１００においては、文書作成者による入力部１０２の操作により、文書作成部１０３が、特定文書の文書ＩＤ、文書作成者名及び当該文書内の平文データからなる文書データを作成する（ＳＴ１）。なお、作成中の文書データは、文書作成部１０３から送出されて表示部１０５により表示される。また、文書作成者名は、後述する図６では用いるが、必須ではなく、省略してもよい。
【００２７】
文書データの作成完了後、文書作成者装置１００においては、文書作成者による入力部１０２の操作により、平文データから秘密分散する箇所として選択された平文選択部分データを示す分散箇所情報が分散指示部１０４に入力される（ＳＴ２）。例えば、コンピュータのワードプロセッサアプリケーションなどで作成した文書データに対し、秘密分散したい箇所をマウスやタッチパネルなど（入力部１０２）で選択すると、選択した範囲を示す情報が入力される。例えばｘ１頁ｙ１行目ｚ１桁目〜ｘ２頁ｙ２行目ｚ２桁目を選択した場合、選択開始位置ｘ１ｙ１ｚ１及び選択終了位置ｘ２ｙ２ｚ２を含む情報が分散箇所情報として使用可能である。
【００２８】
また、文書作成者装置１００においては、文書作成者の入力部１０２の操作により、この分散箇所情報に関連付けられたしきい値、分散数及び機密レベルが分散指示部１０４に入力される（ＳＴ３〜ＳＴ４）。例えば、秘密分散したい箇所をマウスやタッチパネルなど（入力部１０２）で選択中に、右クリックするとメニューが開き、どの機密レベルの閲覧者が閲覧できるか、を選択し、しきい値及び分散数を入力することが可能である。但し、機密レベルは必須ではなく、省略してもよい。
【００２９】
しかる後、文書作成者装置１００においては、分散指示部１０４が通信部１０６により、文書データ及び分散指示情報を分散データ管理部２００に送信する（ＳＴ５）。なお、分散指示情報は、分散箇所情報と、この分散箇所情報に関連付けられたしきい値及び分散数とを少なくとも含む情報であり、この例では機密レベルを更に含んでいる。
【００３０】
分散データ管理装置２００においては、秘密分散文書作成部２０４が、文書データ及び分散指示情報を通信部２１０により受信する。
【００３１】
秘密分散文書作成部２０４は、受信した文書データ及び分散指示情報を用い、当該分散指示情報内のしきい値及び分散数に基づく しきい値型秘密分散方式を実行して文書データ内の平文選択部分データから、分散数と同数である複数の秘密分散データを作成する（ＳＴ６）。
【００３２】
秘密分散文書作成部２０４は、作成された秘密分散データ毎に、秘密分散の順番を示す順番情報及び分散箇所情報からなる秘密分散ＩＤを作成する。
【００３３】
また、秘密分散文書作成部２０４は、秘密分散ＩＤ毎に、文書ＩＤ及び秘密分散データを含む分散情報を作成する。
【００３４】
秘密分散文書作成部２０４は、各分散情報内の文書ＩＤ及び秘密分散ＩＤを含むファイル名と、格納装置情報格納部２０１内のホスト名とに基づいて、当該各分散情報を参照するための参照情報として、例えばＵＲＬ(Uniform Resource Locator)情報を作成する。ここで、ＵＲＬ情報としては、「プロトコル名：//ホスト名/ファイル名」の構成を用いている。但し、ＵＲＬ情報の構成としては、これに限らず、ホスト名とファイル名との間に/ディレクトリ名/を記述してもよい。この場合、文書作成者装置１００が予めディレクトリ名をホスト名に関連付けて格納装置情報格納部２０１に書き込んでおけばよい。また、参照情報としては、ＵＲＬ情報に限らず、各分散情報を参照可能であれば任意の情報を使用できる。
【００３５】
また、秘密分散文書作成部２０４は、秘密分散ＩＤの順番情報毎に、図６〜図８に示すように、文書ＩＤ、文書作成者名、当該秘密分散ＩＤ、しきい値、分散数、ＵＲＬ情報、秘密分散データ、及び平文データから平文選択部分データを除いた残りの平文非選択部分データ、を含む秘密分散構造化文書データを作成する（ＳＴ７）。但し、文書作成者名は、誰もが参照可能な本文（平文非選択部分データ）中に記載してもよいので、省略してもよい。なお、秘密分散構造化文書データは、秘密分散文書データと呼んでもよい。
【００３６】
ここで、図６は秘密分散構造化文書の構成例を示しており、図７は秘密分散構造化文書をＸＭＬ(Extensible Markup Language)形式で構造化文書とした場合の構成例を示している。図８は秘密分散構造化文書における秘密分散ＩＤ、機密レベル、秘密分散データ及びＮＵＬＬデータの関係を示している。なお、図８中、秘密分散構造化文書は、分散指示情報内の機密レベルと、この分散指示情報内の機密レベルが閲覧者の機密レベルよりも高い場合に秘密分散データに代えて秘密分散文書作成部２０４により挿入されたＮＵＬＬデータを含んでいる。例えば、分散指示情報内の機密レベルが“３”の場合、閲覧者である課長、係長及び担当の機密レベル２，１及び０よりも高いので、課長用、係長用及び担当用の秘密構造化文書データは、機密レベル３の秘密分散データに代えてＮＵＬＬデータが挿入されている。これにより、課長、係長及び担当が互いに結託しても、機密レベル３の秘密分散データ領域から元のデータを復元できないようにしている。
【００３７】
しかる後、秘密分散文書作成部２０４は、各分散情報を分散情報送信部２０５に送出すると共に、各秘密分散構造化文書データを秘密分散文書配信部２０６に送出する。
【００３８】
分散情報送信部２０５は、通信部２１０により、各分散情報を、格納装置情報格納装置２０１内のホスト名に基づいて各分散データ格納装置３００−１〜３００−ｎに送信する（ＳＴ８）。また、分散情報送信部２０５は、送信した分散情報毎に、文書ＩＤ、秘密分散ＩＤ及びホスト名を分散情報送信先格納部２０３に書き込む。
【００３９】
各分散データ格納装置３００−１〜３００−ｎにおいては、分散情報管理部３０２−１〜３０２−ｎが、図９に示すように、通信部３０３−１〜３０３−ｎにより受信した分散情報を分散情報格納部３０１−１〜３０１−ｎに格納する（ＳＴ９）。
【００４０】
秘密分散文書配信部２０６は、通信部２０１により、各秘密分散構造化文書データを、閲覧者情報格納部２０２内の閲覧者情報に基づいて、各閲覧者装置４００ａ〜４００ｄに配信する（ＳＴ１０）。補足すると、秘密分散文書配信部２０６は、分散指示情報内の組織名と、各秘密分散構造化文書データ内の機密レベルと秘密分散データ又はＮＵＬＬデータとに基づいて、当該組織名及び機密レベルに該当する閲覧者情報内のアドレス情報に基づいて、ステップＳＴ１０の配信を実行する。
【００４１】
各閲覧者装置４００ａ〜４００ｄにおいては、文書管理部４０３が、通信部４０６により受信した秘密分散構造化文書データを秘密分散構造化文書格納部４０１に格納する（ＳＴ１１）。
【００４２】
（復元処理：図３，図１０〜図１１）
始めに、各閲覧者装置４００ａ〜４００ｄのうちのいずれかの閲覧者装置として、例えば閲覧者装置４００ａを一例に挙げて説明する。
【００４３】
閲覧者装置４００ａにおいては、閲覧者による入力部４０２の操作により、文書管理部４０３が秘密分散構造化文書格納部４０１内の秘密分散構造化文書データ４０１を読み出して表示部４０５に送出する。表示部４０５は、この秘密分散構造化文書データ４０１を表示する（ＳＴ２１）。
【００４４】
続いて、閲覧者装置４００ａにおいては、閲覧者による入力部４０２の操作により、秘密分散箇所が選択されると（ＳＴ２２）、復元要求部４０４がこの選択結果に基づき、秘密分散構造化文書データから秘密分散ＩＤ、秘密分散データ及びＵＲＬ情報を含む復元要求を作成する。しかる後、復元要求部４０４は、この復元要求を通信部４０６から分散データ管理装置２００に送信する（ＳＴ２３）。なお、復元要求は、ＵＲＬ情報を含まなくてもよい。
【００４５】
分散データ管理装置２００においては、復元要求受付部２０７が、この復元要求を通信部２１０から受けると、この秘密分散データのハッシュ値を算出し（ＳＴ２４）、このハッシュ値及び当該秘密分散ＩＤをＵＲＬ情報に基づいて、通信部２１０から分散データ格納装置３００−１に送信する（ＳＴ２５）。なお、復元要求がＵＲＬ情報を含まない場合、復元要求受付部２０７は、このハッシュ値及び当該秘密分散ＩＤを、分散情報送信先格納部２０３内の当該秘密分散ＩＤに対応するホスト名に基づいて、通信部２１０から分散データ格納装置３００−１に送信すればよい。
【００４６】
分散データ格納装置３００−１においては、分散情報管理部３０２−１が、このハッシュ値及び秘密分散ＩＤを通信部３０３−１から受けると、この秘密分散ＩＤに基づいて分散情報格納部３０１−１から秘密分散データを読み出す。
【００４７】
続いて、分散情報管理部３０２−１は、読み出した秘密分散データのハッシュ値を算出し（ＳＴ２６）、この算出したハッシュ値と、分散データ管理装置２００から受けたハッシュ値とを照合し（ＳＴ２７）、照合結果を通信部３０３−１から分散データ管理装置２００に返信する（ＳＴ２８）。
【００４８】
分散データ管理装置２００においては、分散情報所有者確認部２０８が、この照合結果を分散データ格納装置３００−１から通信部２１０により受けると、照合結果が一致を示すとき、格納装置情報格納部２０１を参照して他の分散データ格納装置３００−２，…に分散情報送信要求を送信し（ＳＴ３０）、折り返し、他の分散データ格納装置３００−２，…から分散情報を取得する（ＳＴ３１）。なお、分散情報所有者確認部２０８は、分散情報送信先格納部２０３を参照して分散情報送信要求を送信してもよい。また、しきい値個の分散情報の取得に際しては、任意の分散データ格納装置３００−ｉ，…（ｉは、照合結果の送信元の分散データ格納装置３００ｊ（ＳＴ２８の例ではｊ＝１）を除く任意の値）に分散情報送信要求を送信できる。すなわち、必ずしも順番通りの分散データ格納装置３００−２，…に分散情報送信要求を送信する必要はない。いずれにしても分散情報所有者確認部２０８は、取得した分散情報内の秘密分散データ及び復元要求内の秘密分散データを復元部２０９に送出する。
【００４９】
復元部２０９は、これらの秘密分散データに基づいて、しきい値型秘密分散方式を実行し、元の平文選択部分データを復元し（ＳＴ３２）、復元した平文選択部分データを復元要求の送信元の閲覧装置４００ａに通信部２１０から返信する（ＳＴ３３）。
【００５０】
閲覧装置４００ａにおいては、復元された平文選択部分データを通信部４０６により受けると、この平文選択部分データを表示部４０５により表示する（ＳＴ３４）。
【００５１】
なお、閲覧装置４００ａは、ステップＳＴ２１〜ＳＴ３４のように分散データ管理装置２００を介した復元に限らず、図１１に示すように、他の閲覧装置（課長用）４００ｂが持っている秘密分散構造化文書を用いて、課長以下が閲覧可能な箇所（Ｂ１〜Ｂ２，Ｃ１〜Ｃ２）について復元し閲覧することが可能となる。即ち、役職が異なれば下位の機密レベルに応じた復元を行い、同じ役職で秘密分散構造化文書を所有していれば、役職までの秘密分散箇所を復元できる。
【００５２】
また、他の閲覧装置４００ｂ，…から取得した秘密分散構造化文書により秘密分散箇所を復元する場合、各秘密分散構造化文書データが更新又は改ざん等されていないことを確認する観点から、復元の前に、秘密分散構造化文書データ内の本文データの一致を確認することが好ましい。この確認は、例えば２つの本文データの排他的論理和を算出した結果が０になることにより、容易に実行可能である。この場合、閲覧装置４００ａは、（１）他の閲覧装置（課長用）４００ｂ，…秘密分散構造化文書データを取得するステップと、（２）秘密分散構造化文書格納部４０１内の秘密分散構造化文書データの本文データと上記（１）で取得した秘密分散構造化文書データ内の本文データとの一致を確認するステップと、（３）一致の確認後、各秘密分散構造化文書データ内の秘密分散データＢ１〜Ｂ２，Ｃ１〜Ｃ２を用いてそれぞれ元のデータを復元するステップと、（４）復元結果に基づいて再構築した秘密分散構造化文書データを表示するステップと、を実行すればよい。また、他の閲覧装置４００ｂ，…が秘密分散構造化文書を所有していなければ、前述したステップＳＴ２１〜ＳＴ３４を行う。
【００５３】
上述したように本実施形態によれば、文書作成者装置１００が文書データ及び分散指示情報を分散データ管理装置２００に送信し、分散データ管理装置２００が、文書データ及び分散指示情報に基づいて、当該文書データ内の平文データから秘密分散する箇所として選択された平文選択部分データを秘密分散する。このように、秘匿したい部分を暗号化せず、秘密分散により秘匿するので、従来とは異なり、暗号化鍵を用いない。
【００５４】
従って、文書データの秘匿部分が複数になる場合や、互いに異なる権限をもつ各閲覧者が閲覧する場合でも、鍵の管理の煩雑化を阻止して、簡単に運用することができる。
【００５５】
また、保管されている分散情報や秘密分散構造化文書データが攻撃などの不正により漏えいしたとしても、個々の秘密分散データが漏えいするだけで、秘匿部分の情報全体が漏えいすることがない。このため、漏えいした事実が分かれば、再度、秘密分散することにより漏えいした情報を無効化することができる。
【００５６】
（第２の実施形態）
図１２は本発明の第２の実施形態に係る秘密分散システムの構成を示す模式図であり、前述した図面と同種の機能部には同一符号を付し、大きく異なる機能部には異なる符号を付して説明する。
【００５７】
すなわち、本実施形態は、第１の実施形態の変形例であり、予め秘密分散箇所（秘密分散ＩＤ）、分散数及びしきい値を定めた構造化文書テンプレートを用いた形態である。定型文書データとして、具体的には、電子カルテを例に挙げて説明する。なお、電子カルテの構造化文書には、ＭＭＬ（Medical Markup Language）があり、前述したＸＭＬ形式と同様に適用可能となっている。
【００５８】
この秘密分散システムは、図１２に示すように、図１に示した４台の閲覧者装置４００ａ〜４００ｄが省略されている。
【００５９】
ここで、文書作成者装置１００は、図２に示した文書作成部１０３及び分散指示部１０４に代えて、文書作成部１０７及び復元要求部１０８を備えた構成となっている。
【００６０】
分散データ管理装置（秘密分散装置）２００は、図２に示した閲覧者情報格納部２０２に代えて、テンプレート格納部２１１及びテンプレート管理部２１２を備えた構成となっている。但し、秘密分散文書作成部２０４’は若干機能が変更されている。
【００６１】
各分散データ格納装置（＃１〜＃ｎ）３００−１〜３００−ｎは、前述同様の機能をもっている。
【００６２】
次に、以上のように構成された秘密分散システムの動作を図１３乃至図１５を参照しながら説明する。
【００６３】
（秘密分散処理：図１３，図１４）
文書作成者装置１００においては、文書作成者による入力部１０２の操作により、文書作成部１０７が、病院管理情報、患者個人情報、診察日、診察内容、処方箋及び会計情報を含む電子カルテテンプレートを作成する（ＳＴ４１）。具体的には、病院管理情報は、文書ＩＤ及び担当医（文書作成者）名から構成される。患者個人情報及び診察内容は、秘密分散ＩＤ、しきい値、分散数、ＵＲＬ情報及び秘密分散データから構成される。診察日、処方箋及び会計情報は、平文データから構成される。「電子カルテ」は「構造化文書」ともいう。
【００６４】
構造化文書テンプレートの作成完了後、文書作成者装置１００においては、文書作成者による入力部１０２の操作により、文書作成部１０７が通信部１０６により、構造化文書テンプレートを分散データ管理部２００に送信する（ＳＴ４２）。
【００６５】
分散データ管理装置２００においては、テンプレート管理部２１２が、構造化文書テンプレートを通信部２１０により受信してテンプレート格納部２１１に格納する（ＳＴ４３）。これにより、構造化文書テンプレートの登録が完了する。
【００６６】
続いて、文書作成者装置１００は、文書作成者による入力部１０２の操作により、文書作成部１０７が、構造化文書テンプレート要求を分散データ管理装置２００に送信する（ＳＴ４４）。
【００６７】
分散データ管理装置２００においては、テンプレート管理部２１２が、通信部２１０により受信した構造化文書テンプレート要求に基づいて、テンプレート格納部２１１内の該当する構造化文書テンプレートを返信する（ＳＴ４５）。
【００６８】
文書作成者装置１００においては、文書作成部１０７が、構造化文書テンプレートを通信部２１０により受信して表示部１０５に表示する。
【００６９】
しかる後、文書作成部１０７は、文書作成者による入力部１０２の操作により、構造化文書テンプレートに病院管理情報、患者個人情報、診察日、診察内容及び処方箋といった情報を書き込むことにより、構造化文書データを作成する（ＳＴ４６）。
【００７０】
構造化文書データの作成完了後、文書作成部１０７は、文書作成者による入力部１０２の操作により、構造化文書テンプレートを通信部１０６から分散データ管理装置２００に送信する（ＳＴ４７）。
【００７１】
分散データ管理装置２００においては、秘密分散文書作成部２０４’が、構造化文書データを通信部２１０により受信する。
【００７２】
秘密分散文書作成部２０４’は、受信した構造化文書データ内のしきい値及び分散数に基づく しきい値型秘密分散方式を実行して秘密分散対象の平文データ（例、患者個人情報及び診察内容）から、分散数と同数である複数の秘密分散データを作成する（ＳＴ４８）。
【００７３】
秘密分散文書作成部２０４’は、秘密分散ＩＤ毎に、対応する各秘密分散データのいずれか１つを選択し、この秘密分散データを秘密分散対象の平文データに置き換えることにより、文書ＩＤ、担当医名、秘密分散ＩＤ、しきい値、分散数、ＵＲＬ情報、秘密分散データ及び平文データ、を含む構造化文書データを再構成する（ＳＴ４９）。
【００７４】
また、秘密分散文書作成部２０４’は、秘密分散ＩＤ毎に、文書ＩＤ、当該秘密分散ＩＤ及び秘密分散データを含む分散情報を作成する。
【００７５】
しかる後、秘密分散文書作成部２０４’は、各分散情報を分散情報送信部２０５に送出すると共に、再構成した構造化文書データを秘密分散文書配信部２０６に送出する。
【００７６】
分散情報送信部２０５は、通信部２１０により、各分散情報を、格納装置情報格納装置２０１内のホスト名に基づいて各分散データ格納装置３００−１〜３００−ｎに送信する（ＳＴ５０）。また、分散情報送信部２０５は、送信した分散情報毎に、文書ＩＤ、秘密分散ＩＤ及びホスト名を分散情報送信先格納部２０３に書き込む。
【００７７】
各分散データ格納装置３００−１〜３００−ｎにおいては、分散情報管理部３０２−１〜３０２−ｎが、前述同様に、通信部３０３−１〜３０３−ｎにより受信した分散情報を分散情報格納部３０１−１〜３０１−ｎに格納する（ＳＴ５１）。
【００７８】
秘密分散文書配信部２０６は、通信部２０１により、再構成した構造化文書データを文書作成者装置１００に配信する（ＳＴ５３）。
【００７９】
文書作成者装置１００においては、文書作成部１０７が、通信部１０６により受信した構造化文書データを文書格納部１０１に格納する（ＳＴ５４）。
【００８０】
（復元処理：図１５）
復元処理については、前述した閲覧者装置４００ａの復元要求部４０４の動作を文書作成部１００の復元要求部４０４が実行する点が異なるが、他の動作は前述同様に実行される。
【００８１】
上述したように本実施形態によれば、予め秘密分散箇所（秘密分散ＩＤ）、分散数及びしきい値を定めた構造化文書テンプレートを用いた構成としても、第１の実施形態と同様の効果を得ることができ、さらに、秘密分散箇所（秘密分散ＩＤ）、分散数及びしきい値を入力する手間を省くことができる。なお、機密レベルについては、閲覧装置４００ａ〜４００ｄを省略したことから用いなかったが、機密レベルも同様に予め定めてもよい。この場合、分散データ管理装置２００は、予め文書作成者情報と機密レベルとを予め関連付けて記憶装置に保管しておき、文書作成者装置１００’から復元要求を受けたときに、復元要求の送信元の文書作成者装置１００’を操作する文書作成者の機密レベルが、復元要求に含まれる秘密分散箇所の機密レベル以上の場合に復元を許可すればよい。
【００８２】
なお、上記実施形態に記載した手法は、コンピュータに実行させることのできるプログラムとして、磁気ディスク（フロッピー（登録商標）ディスク、ハードディスクなど）、光ディスク（ＣＤ−ＲＯＭ、ＤＶＤなど）、光磁気ディスク（ＭＯ）、半導体メモリなどの記憶媒体に格納して頒布することもできる。
【００８３】
また、この記憶媒体としては、プログラムを記憶でき、かつコンピュータが読み取り可能な記憶媒体であれば、その記憶形式は何れの形態であっても良い。
【００８４】
また、記憶媒体からコンピュータにインストールされたプログラムの指示に基づきコンピュータ上で稼働しているＯＳ（オペレーティングシステム）や、データベース管理ソフト、ネットワークソフト等のＭＷ（ミドルウェア）等が上記実施形態を実現するための各処理の一部を実行しても良い。
【００８５】
さらに、本発明における記憶媒体は、コンピュータと独立した媒体に限らず、ＬＡＮやインターネット等により伝送されたプログラムをダウンロードして記憶又は一時記憶した記憶媒体も含まれる。
【００８６】
また、記憶媒体は１つに限らず、複数の媒体から上記実施形態における処理が実行される場合も本発明における記憶媒体に含まれ、媒体構成は何れの構成であっても良い。
【００８７】
尚、本発明におけるコンピュータは、記憶媒体に記憶されたプログラムに基づき、上記実施形態における各処理を実行するものであって、パソコン等の１つからなる装置、複数の装置がネットワーク接続されたシステム等の何れの構成であっても良い。
【００８８】
また、本発明におけるコンピュータとは、パソコンに限らず、情報処理機器に含まれる演算処理装置、マイコン等も含み、プログラムによって本発明の機能を実現することが可能な機器、装置を総称している。
【００８９】
なお、本願発明は、上記実施形態そのままに限定されるものではなく、実施段階ではその要旨を逸脱しない範囲で構成要素を変形して具体化できる。また、上記実施形態に開示されている複数の構成要素の適宜な組合せにより種々の発明を形成できる。例えば、実施形態に示される全構成要素から幾つかの構成要素を削除してもよい。更に、異なる実施形態に亘る構成要素を適宜組合せてもよい。
【図面の簡単な説明】
【００９０】
【図１】本発明の第１の実施形態に係る秘密分散システムの構成を示す模式図である。
【図２】同実施形態における各装置の構成を示す模式図である。
【図３】同実施形態における秘密分散処理の動作を説明するためのシーケンス図である。
【図４】同実施形態における動作を説明するための模式図である。
【図５】同実施形態における閲覧者情報格納部を説明するための模式図である。
【図６】同実施形態における秘密分散構造化文書の構成例を示す模式図である。
【図７】同実施形態における秘密分散構造化文書をＸＭＬ形式で構造化文書とした場合の構成例を示す模式図である。
【図８】同実施形態における秘密分散構造化文書内の各データの関係を示す模式図である。
【図９】同実施形態における分散情報格納部を説明するための模式図である。
【図１０】同実施形態における復元処理の動作を説明するためのシーケンス図である。
【図１１】同実施形態における復元処理の別の方法を説明するためのシーケンス図である。
【図１２】本発明の第２の実施形態に係る秘密分散システムの構成を示す模式図である。
【図１３】同実施形態における秘密分散処理の動作を説明するためのシーケンス図である。
【図１４】同実施形態における電子カルテの構成例を示す模式図である。
【図１５】同実施形態における復元処理の動作を説明するためのシーケンス図である。
【符号の説明】
【００９１】
１００…文書作成者装置、１０１…文書格納部、１０２，４０２…入力部、１０３，１０７…文書作成部、１０４…分散指示部、１０５，４０５…表示部、１０６，２１０，３０３−１〜ｎ，４０６…通信部、１０８…復元要求部、２００…分散データ管理装置、２０１…格納装置情報格納部、２０２…閲覧者情報格納部、２０３…分散情報送信先格納部、２０４，２０４’…秘密分散文書作成部、２０５…分散情報送信部、２０６…秘密分散文書配信部、２０７…復元要求受付部、２０８…分散情報所有者確認部、２０９…復元部、３００−１〜３００−ｎ…分散データ格納装置、３０１−１〜ｎ…分散情報格納部、３０２−１〜ｎ…分散情報管理部、４００ａ〜４００ｄ…閲覧者装置、４０１…秘密分散構造化文書格納部、４０３…文書管理部、４０４…復元要求部、５００…インターネット。
【図１】
0004925345.tif 000002
【図２】
0004925345.tif 000003
【図３】
0004925345.tif 000004
【図４】
0004925345.tif 000005
【図５】
0004925345.tif 000006
【図６】
0004925345.tif 000007
【図７】
0004925345.tif 000008
【図８】
0004925345.tif 000009
【図９】
0004925345.tif 000010
【図１０】
0004925345.tif 000011
【図１１】
0004925345.tif 000012
【図１２】
0004925345.tif 000013
【図１３】
0004925345.tif 000014
【図１４】
0004925345.tif 000015
【図１５】
0004925345.tif 000016