電子データ閲覧システム、装置及びプログラム
【課題】暗号鍵により電子データが暗号化されてなる暗号化データを閲覧権限に応じて復号し、閲覧可能とする際に、電子データの安全性を向上させる。
【解決手段】閲覧権限に応じた暗号鍵を秘密分散方式に基づいて秘密分散する構成により、安全性を向上させる。具体的には、暗号鍵分散部１０９は、ｎ個の分散情報のうちのｋ個の分散情報から元の情報を復元可能な（ｋ，ｎ）型の秘密分散方式に基づいて、暗号鍵からｎ個の分散鍵を生成する。ｎ個の分散鍵はそれぞれ閲覧権限情報に関連付けて分散鍵記憶部１０３ａ，…に記憶される。閲覧時には、暗号鍵管理部１０７は、利用者装置３００から受けた１個の分散鍵及び分散鍵記憶部１０３ｂ，…から読み出されたｋ−１個の分散鍵から暗号鍵を復元する。データ復号部１１２は、復元された暗号鍵により、この暗号鍵の閲覧情報に応じた暗号化電子データを復号する。
【解決手段】閲覧権限に応じた暗号鍵を秘密分散方式に基づいて秘密分散する構成により、安全性を向上させる。具体的には、暗号鍵分散部１０９は、ｎ個の分散情報のうちのｋ個の分散情報から元の情報を復元可能な（ｋ，ｎ）型の秘密分散方式に基づいて、暗号鍵からｎ個の分散鍵を生成する。ｎ個の分散鍵はそれぞれ閲覧権限情報に関連付けて分散鍵記憶部１０３ａ，…に記憶される。閲覧時には、暗号鍵管理部１０７は、利用者装置３００から受けた１個の分散鍵及び分散鍵記憶部１０３ｂ，…から読み出されたｋ−１個の分散鍵から暗号鍵を復元する。データ復号部１１２は、復元された暗号鍵により、この暗号鍵の閲覧情報に応じた暗号化電子データを復号する。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、閲覧権限に応じて電子データを閲覧させる電子データ閲覧システム、装置及びプログラムに関する。
【背景技術】
【０００２】
従来から、閲覧権限に応じて電子データを閲覧する仕組みとして、予め閲覧権限に応じて暗号化した電子データをデータベースに格納しておく方法が知られている。この方法によれば、暗号化された電子データがデータベースから読み出され、閲覧権限に応じて復号される。
【０００３】
図３８は従来の電子データ閲覧システムの構成を示す模式図であり、図３９は暗号化データ部の構成を示す模式図であり、図４０は認証情報部の構成を示す模式図である。この電子データ閲覧システムは、データベース（以下、ＤＢという）装置１０、利用者装置２０及び管理者装置３０を備えている。
【０００４】
ＤＢ装置１０は、暗号鍵格納部１１、暗号化データ部１２、暗号鍵管理部１３及びデータ復号部１４を備えている。
【０００５】
暗号鍵格納部１１は、暗号鍵管理部１３から読出／書込可能な記憶装置であり、権限レベル及び暗号鍵が互いに関連付けて記憶されている。具体的には暗号鍵格納部１１は、権限レベル１に関連付けて暗号鍵ＳＫ１が記憶され、権限レベル２に関連付けて暗号鍵ＳＫ２が記憶され、権限レベル３に関連付けて暗号鍵ＳＫ３が記憶されている。
【０００６】
暗号化データ部１２は、管理者装置２０から書込可能であり、且つデータ復号部１４から読出可能な記憶装置であって、データＩＤ、権限レベル及び暗号化データが互いに関連付けて記憶されている。例えば図３９に示すように、データＩＤとしては顧客番号が記憶されている。データＩＤは、顧客からの問い合わせに対して暗号化データ部１２を検索するための検索キーとして機能するので、暗号化されない。暗号化データとしては、権限レベル１の暗号鍵ＳＫ１で暗号化された「姓、名」と、権限レベル２の暗号鍵ＳＫ２で暗号化された「住所」と、権限レベル３の暗号鍵ＳＫ３で暗号化された「年齢、…、メールアドレス、電話番号、携帯電話番号」とが記憶されている。なお、権限レベル１は、姓と名の情報を閲覧可能な権限である。権限レベル２は、権限レベル１で閲覧可能な情報（姓と名）に加え、住所の情報を閲覧可能な権限である。権限レベル３は、権限レベル１，２で閲覧可能な情報（姓、名、住所）に加え、年齢、…、メールアドレス、電話番号及び携帯電話番号の情報を閲覧可能な権限である。すなわち、権限レベルが小さいほど、閲覧可能な電子データの範囲が少ないものとなっている。
【０００７】
このような暗号化データ部１２は、例えば、対象となる電子データが顧客情報のような個人情報である場合に、権限に応じて閲覧できる範囲が限られた方がよいという観点から作成されている。情報を閲覧可能な者は、その情報を保護する観点から必要最小限にとどめる必要があるからである。
【０００８】
管理者装置２０は、認証情報部２１、アクセス設定部２２、暗号鍵管理部２３、暗号鍵生成部２４、データ暗号化部２５、認証要求部２６、認証検証部２７及びアクセス制御部２８を備えている。認証情報部２１は、管理者によるアクセス設定部２２の操作により設定され、図４０に示すように、利用者ＩＤ、パスワード及び権限レベルが互いに関連付けられた利用者認証テーブルが記憶された記憶装置であって、認証検証部２７から読出可能となっている。この利用者認証テーブルは、例えば利用者ＩＤが００１の利用者の場合、パスワードがgiaw439aseであり、権限レベルが１であることを示している。
【０００９】
利用者装置３０は、画面表示部３１、データ表示要求部３２、認証情報入力部３３を備えている。
【００１０】
このような従来の電子データ閲覧システムは、図４１に示すように動作する。
【００１１】
始めに、管理者装置２０においては、前述した通り、管理者の操作により、アクセス設定部２２が利用者認証テーブルを認証情報部２１に書き込み済みとする。また、暗号鍵管理部２３は、管理者の操作により、暗号鍵生成部２４が生成した暗号鍵をデータ暗号化部２５に送出し、データ暗号化部２５はこの暗号鍵により暗号化データを生成したとする。また、この暗号化データは、管理者の操作により、権限レベル及びデータＩＤに関連付けられてＤＢ装置１０の暗号化データ部１２に書き込まれたとする。同様に、暗号鍵は、管理者の操作により、権限レベルに関連付けてＤＢ装置１０の暗号鍵格納部１１に書き込まれたとする。
【００１２】
続いて、利用者装置３０においては、画面表示部３１による画面の表示中、利用者の操作により、データ表示要求部３２が、データ閲覧のアクセス要求を管理者装置２０に送信する（ＳＴ１）。管理者装置２０においては、アクセス要求を受けると、認証要求部２６が認証要求を利用者装置３０に送信する（ＳＴ２）。この認証要求は、データ閲覧可能な利用者であることと、権限レベルとを確認するためのものである。
【００１３】
利用者装置３０は、認証要求に基づいて画面表示部３１が認証画面を表示する（ＳＴ３）。画面表示部３１は、例えば利用者ＩＤとパスワードの入力画面を表示する。利用者装置３０においては、利用者による認証情報入力部３３の操作により、認証子である利用者ＩＤとパスワードが入力されると（ＳＴ４）、これら認証子を管理者装置２０に送信する（ＳＴ５）。
【００１４】
管理者装置２０においては、この認証子を認証検証部２７が認証情報部２１に基づいて検証することにより（ＳＴ６）、データ閲覧可能な利用者であるかを確認し、さらに権限レベルを確認する（ＳＴ７）。この確認結果は、アクセス制御部２８に通知される。
【００１５】
確認終了後、管理者装置２０においては、アクセス制御部２８が認証結果を利用者装置３０へ送信する（ＳＴ８）。利用者装置３０は、認証結果と共に、閲覧可能なデータをメニュー表示する。ここで、閲覧可能なデータの表示は、少なくとも権限レベルを含んでおり、さらにデータＩＤを含んでもよい。データＩＤを含む場合、例えば、予めステップＳＴ８において、アクセス制御部２８が閲覧可能なデータのデータＩＤを更に送信すればよい。
【００１６】
利用者装置３０は、利用者の操作により、閲覧要求を管理者装置に送信する（ＳＴ９）。管理者装置２０においては、アクセス制御部２８が、閲覧要求に該当するデータ要求をＤＢ装置１０に送信する（ＳＴ１０）。ここで、データ要求は、少なくとも権限レベルを含んでおり、さらにデータＩＤを含んでもよい。
【００１７】
ＤＢ装置１０においては、データ要求を受けると、データ復号部１４が、該当する暗号化データを検索し（ＳＴ１１）、暗号鍵管理部１３が、権限レベルに相当する暗号鍵を暗号鍵格納部１１から読み出して（ＳＴ１２）データ復号部１４に送出する。データ復号部１４は、この暗号鍵に基づいて、検索した暗号化データを復号する（ＳＴ１３）。しかる後、ＤＢ装置は、復号したデータを管理者装置２０に送信し（ＳＴ１４）、管理者装置は、このデータを利用者装置３０に送信する（ＳＴ１５）。利用者装置３０は、受信したデータを表示する（ＳＴ１６）。
【００１８】
以上のようなデータ閲覧システムは、図４２に示すように、管理者装置２０の暗号鍵管理部２３、暗号鍵生成部２４及びデータ暗号化部２５を省略し、この暗号鍵生成部２４に相当する暗号鍵生成部１５と、データ暗号化部２５に相当するデータ暗号化部１６とをＤＢ装置１０が備えた構成に変形してもよい。
【００１９】
なお、この出願に関係する先行技術文献情報は以下の通りである。
【非特許文献１】宮地充子，菊池浩明編著，「情報セキュリティ」，オーム社，ＩＳＢＮ４−２７４−１３２８４−６，ｐｐ．１０３−１０７
【非特許文献２】岡本龍明，山本博資 著，「現代暗号」，産業図書，ＩＳＢＮ４−７８２８−５３５３−Ｘ， ｐｐ．２０９−２１９
【非特許文献３】A. Shamir: “How to share a secret”, Communications of the ACM, vol.22, no.11, pp.612-613 (Nov. 1979)
【発明の開示】
【発明が解決しようとする課題】
【００２０】
しかしながら以上のようなデータ閲覧システムは、通常は何の問題も無いが、本発明者の検討によれば、暗号鍵又は暗号化データの安全性が不十分であると考えられる。例えばＤＢ装置１０が内部の管理者又は外部の攻撃者から不正アクセスを受けた場合、ＤＢ装置１０に格納された暗号鍵が外部に漏洩してしまう可能性がある。同様に、暗号鍵が漏洩した場合、ＤＢ装置１０に格納された暗号化データも漏洩する可能性が高いと考えられる。
【００２１】
本発明は上記実情を考慮してなされたもので、暗号鍵により電子データが暗号化されてなる暗号化データを閲覧権限に応じて復号し、閲覧可能とする際に、暗号鍵の安全性を向上し得るデータ閲覧システム、装置及びプログラムを提供することを目的とする。
【００２２】
本発明の他の目的は、閲覧権限に応じて電子データを閲覧可能とする際に、電子データの安全性を向上し得るデータ閲覧システム、装置及びプログラムを提供することを目的とする。
【課題を解決するための手段】
【００２３】
第１の発明は、閲覧権限に応じた電子データが閲覧権限に応じた暗号鍵により暗号化されてなる暗号化電子データを、閲覧権限に応じた暗号鍵により復号して出力可能な電子データ閲覧システムであって、秘密情報が分散されてなるｎ個の分散情報のうちのｋ個の分散情報から元の秘密情報を復元可能な（ｋ，ｎ）型の秘密分散方式に基づいて、前記暗号鍵からｎ個の分散鍵を生成する分散鍵生成手段と、前記ｎ個の分散鍵をそれぞれ閲覧権限情報に関連付けて記憶する複数の分散鍵記憶手段と、利用者認証情報及び閲覧権限情報を互いに関連付けて記憶する権限記憶手段と、利用者認証情報を受信すると、当該利用者認証情報を前記権限記憶手段を参照して認証する利用者認証手段と、この認証結果が正当の場合、前記利用者認証情報の送信元から１個の分散鍵を受けると、前記権限記憶手段内の当該利用者認証情報に関連する閲覧権限情報に基づいて、前記各分散鍵記憶手段からｋ−１個の分散鍵を読み出す分散鍵読出手段と、受けた１個の分散鍵及び読み出されたｋ−１個の分散鍵から（ｋ，ｎ）型の秘密分散方式に基づいて、前記暗号鍵を復元する暗号鍵復元手段と、復元された暗号鍵により、この暗号鍵の閲覧情報に応じた暗号化電子データを復号する電子データ復号手段と、復号された電子データを前記利用者認証情報の送信元に出力する電子データ出力手段とを備えた電子データ閲覧システムである。
【００２４】
第２の発明は、閲覧権限に応じた電子データを出力可能な電子データ閲覧システムであって、秘密情報が分散されてなるｎ個の分散情報のうちのｋ個の分散情報から元の秘密情報を復元可能な（ｋ，ｎ）型の秘密分散方式に基づいて、前記電子データからｎ個の分散データを生成する分散データ生成手段と、前記ｎ個の分散データをそれぞれ閲覧権限情報に関連付けて記憶する複数の分散データ記憶手段と、利用者認証情報及び閲覧権限情報を互いに関連付けて記憶する権限記憶手段と、利用者認証情報を受信すると、当該利用者認証情報を前記権限記憶手段を参照して認証し、得られた認証結果と前記権限記憶手段内の当該利用者認証情報に関連する閲覧権限情報とを送出する利用者認証手段と、前記利用者認証手段から認証結果及び閲覧権限情報を受けると、この認証結果が正当の場合、当該閲覧権限情報に基づいて、前記各分散データ記憶手段からｋ個の分散データを読み出す分散データ読出手段と、読み出されたｋ個の分散データから（ｋ，ｎ）型の秘密分散方式に基づいて、電子データを復元する電子データ復元手段と、復元された電子データを出力する電子データ出力手段とを備えた電子データ閲覧システムである。
【００２５】
なお、第１及び第２の発明は、各手段の集合体を「システム」として表現したが、これに限らず、各手段の集合体を「装置」、「方法」、「プログラム」又は「コンピュータ読み取り可能な記憶媒体」として表現してもよい。また、第１及び第２の発明は、各手段の集合体を「システム」として表現したが、これに限らず、各手段の任意の組合せを複数の装置に分散して配置した場合の装置毎に、「装置」、「方法」、「プログラム」又は「コンピュータ読み取り可能な記憶媒体」として表現してもよい。
【００２６】
（作用）
第１の発明においては、暗号鍵により電子データが暗号化されてなる暗号化データを閲覧権限に応じて復号し、閲覧可能とする際に、暗号鍵を秘密分散法により分散させた構成により、暗号鍵の安全性を向上させることができる。
【００２７】
第２の発明においては、閲覧権限に応じて電子データを閲覧可能とする際に、電子データを秘密分散法により分散させた構成により、電子データの安全性を向上させることができる。
【発明の効果】
【００２８】
以上説明したように本発明によれば、暗号鍵により電子データが暗号化されてなる暗号化データを閲覧権限に応じて復号し、閲覧可能とする際に、暗号鍵の安全性を向上できる。また、閲覧権限に応じて電子データを閲覧可能とする際に、電子データの安全性を向上できる。
【発明を実施するための最良の形態】
【００２９】
以下、本発明の各実施形態を図面を用いて説明する。なお、以下の各装置は、各装置毎に、ハードウェア構成、又はハードウェア資源とソフトウェアとの組合せ構成のいずれでも実施可能となっている。組合せ構成のソフトウェアとしては、予めネットワーク又は記憶媒体から対応する装置のコンピュータにインストールされ、対応する装置の機能を実現させるためのプログラムが用いられる。
【００３０】
（第１の実施形態）
次に、本発明の第１の実施形態について説明する。第１の実施形態は、閲覧権限に応じた電子データが閲覧権限に応じた暗号鍵により暗号化されてなる暗号化電子データを閲覧権限に応じた暗号鍵により復号して出力可能な電子データ閲覧システムにおいて、暗号鍵を秘密分散する構成により、暗号鍵の漏えいの防止と、閲覧権限によるデータの閲覧制御とを同時に行うものである。
【００３１】
図１は本発明の第１の実施形態に係る電子データ閲覧システムの構成を示す模式図である。この電子データ閲覧システムは、データベース（ＤＢ）装置１００、管理者装置２００及び利用者装置３００が互いにネットワークを介して接続されている。
【００３２】
ここで、ＤＢ装置１００は、認証情報部１０１、暗号化データ部１０２、分散鍵記憶部１０３ａ〜１０３ｉ、認証要求部１０４、認証検証部１０５、アクセス制御部１０６、暗号鍵管理部１０７、暗号鍵生成部１０８、暗号鍵分散部１０９、分散鍵管理部１１０、データ暗号化部１１１及びデータ復号部１１２を備えている。
【００３３】
認証情報部１０１は、管理者装置２００から書込可能で且つ認証検証部１０５から読出可能な記憶装置であり、利用者ＩＤ及びパスワード及び権限レベルを互いに関連付けて記憶する。なお、利用者ＩＤ及びパスワードは認証子（利用者認証情報）に対応し、権限レベルは閲覧権限情報に対応する。
【００３４】
暗号化データ部１０２は、データ暗号化部１１１から暗号化データが書込可能で且つデータ復号部１１２から読出可能な記憶装置であり、電子データが暗号鍵により暗号化されてなる暗号化データを記憶する。
【００３５】
分散鍵記憶部１０３ａ〜１０３ｉは、分散鍵管理部１１０から読出／書込可能な記憶装置であり、ｎ個の分散鍵をそれぞれ権限レベルに関連付けて記憶する。なお、分散鍵記憶部１０３ａ〜１０３ｉは、図２に示すように、ＤＢ装置１００とは別に設けた複数の分散鍵管理装置１２０ａ〜１２０ｃに分散して配置されてもよい。分散鍵記憶部１０３ａ〜１０３ｉが複数の分散鍵管理装置１２０ａ〜１２０ｃに分散配置されてもよいことは、後述する変形例（図５〜図１８）でも同様である。
【００３６】
認証要求部１０４は、利用者装置３００からアクセス要求を受けると、認証要求を利用者装置３００に送信する機能をもっている。
【００３７】
認証検証部１０５は、利用者装置３００から認証子（利用者ＩＤ及びパスワード）を受けると、当該認証子を認証情報部１０１を参照して認証する機能と、少なくとも認証結果をアクセス制御部１０６に送出する機能とをもっている。
【００３８】
アクセス制御部１０６は、認証検証部１０５から受けた認証結果が正当の場合、認証結果と、閲覧可能なデータＩＤのリストとを利用者装置３００に送信する機能とをもっている。ここで、閲覧可能なデータＩＤのリストは、認証結果と共に権限レベルを受けない場合、認証結果に含まれる利用者ＩＤに基づいて、「認証情報部１０１内の権限レベル」及び「暗号化データ部１０２内の権限レベルとデータＩＤ」を参照して作成すればよい。また、認証結果と共に権限レベルを受ける場合には、この権限レベルに基づいて暗号化データ部１０２を参照して作成すればよい。
【００３９】
暗号鍵管理部１０７は、図３に示すように、暗号鍵生成部１０８から受けた暗号鍵を示す暗号鍵ＩＤを権限レベルに関連付けて記憶する機能と、暗号鍵をデータ暗号化部１１１に送出する機能と、暗号鍵を暗号鍵分散部１０９に送出する機能と、認証子の認証結果が正当の場合、利用者装置３００から閲覧要求に含まれる１個の分散鍵を受けると、認証情報部１０１内の当該認証子に関連する権限レベルに基づいて、分散鍵記憶部１０３からｋ−１個の分散鍵を読み出す機能と、これらｋ個の分散鍵から（ｋ，ｎ）型の秘密分散方式に基づいて、暗号鍵を復元する機能をもっている。
【００４０】
暗号鍵生成部１０８は、権限レベルに応じた暗号鍵及び暗号鍵ＩＤを生成する機能と、これら権限レベル、暗号鍵及び暗号鍵ＩＤを暗号鍵管理部１０７に送出する機能とをもっている。
【００４１】
暗号鍵分散部１０９は、秘密情報が分散されてなるｎ個の分散情報のうちのｋ個の分散情報から元の秘密情報を復元可能な（ｋ，ｎ）型の秘密分散方式に基づいて、暗号鍵管理部１０７から受けた暗号鍵からｎ個の分散鍵を生成する機能と、生成した分散鍵を分散鍵管理部１１０を介して個別に分散鍵記憶部１０３ａ〜１０３ｉに書き込む機能とをもっている。
【００４２】
分散鍵管理部１１０は、暗号鍵分散部１０９から受けた分散鍵を、暗号鍵管理部１０７から受けた暗号鍵ＩＤ及び権限レベルに関連付けて分散鍵記憶部１０３ａ〜１０３ｉに書き込む機能と、指定された暗号鍵ＩＤ及び権限レベルに基づいて分散鍵記憶部１０３ａ〜１０３ｉから分散鍵を読み出す機能とをもっている。
【００４３】
データ暗号化部１１１は、暗号鍵管理部１０７から受けた暗号鍵に基づいて、電子データを暗号化する機能と、得られた暗号化データを暗号化データ部１０２に書き込む機能とをもっている。
【００４４】
データ復号部１１２は、復元された暗号鍵により、この暗号鍵の閲覧情報に応じた暗号化電子データを復号する機能と、復号した電子データを利用者装置２００に送信する機能とをもっている。
【００４５】
管理者装置２００は、アクセス設定部２０２を備えている。
【００４６】
アクセス設定部２０２は、管理者の操作により、利用者ＩＤ、パスワード及び権限レベルをＤＢ装置１００内の認証情報部１０１に設定する機能をもっている。
【００４７】
利用者装置３００は、分散鍵記憶部３０１、画面表示部３０２、データ表示要求部３０３、認証情報入力部３０４及び分散鍵管理部３０５を備えている。
【００４８】
分散鍵記憶部３０１は、分散鍵管理部３０５から読出／書込可能な記憶装置であり、分散鍵ＳＫ1,1、権限レベル及び暗号鍵ＩＤを互いに関連付けて記憶する。
【００４９】
画面表示部３０２は、ＤＢ装置１００から受けた認証要求を表示する機能と、ＤＢ装置１００から受信した電子データを表示する機能とをもっている。
【００５０】
データ表示要求部３０３は、利用者の操作により、ＤＢ装置１００を参照するためのアクセス要求をＤＢ装置１００へ送信する機能をもっている。
【００５１】
認証情報入力部３０４は、利用者の操作により、入力された利用者ＩＤ及びパスワードを認証子としてＤＢ装置１００に送信する機能をもっている。
【００５２】
分散鍵管理部３０５は、ＤＢ装置１００から受けた分散鍵ＳＫ1,1、権限レベル及び暗号鍵ＩＤを互いに関連付けて分散鍵記憶部３０１に書き込む機能と、利用者の操作により、リスト内のデータＩＤ及び分散鍵記憶部３０１内の分散鍵ＳＫ1,1を含む閲覧要求をＤＢ装置１００に送信する機能とをもっている。
【００５３】
次に、以上のように構成された電子データ閲覧システムの動作を図４のシーケンス図を用いて説明する。
【００５４】
始めに、管理者装置２００では、管理者によるアクセス設定部２０２の操作により、利用者ＩＤ、パスワード及び権限レベルをＤＢ装置１００内の認証情報部１０１に設定する（ＳＴ２１〜ＳＴ２２）。認証情報部１０１は、図４０に示したように、利用者ＩＤ、パスワード及び権限レベルを互いに関連付けて格納する（ＳＴ２３）。
【００５５】
次に、ＤＢ装置１００では、暗号鍵生成部１０８が暗号鍵を生成し（ＳＴ２４）、この暗号鍵を暗号鍵管理部１０７に送出する。暗号鍵管理部１０７は、この暗号鍵を示す暗号鍵ＩＤを権限レベルに関連付けて記憶する。なお、暗号鍵ではなく暗号鍵ＩＤを記憶する理由は、暗号鍵が秘密分散されるので、暗号鍵を記憶する必要が無いためである。また、暗号鍵管理部１０７は、暗号鍵をデータ暗号化部１１１に送出する。
【００５６】
次に、データ暗号化部１１１は、この暗号鍵に基づいて、電子データを暗号化する（ＳＴ２５）。例えば図３９に示したように、権限レベル１のデータは、暗号鍵ＩＤが００１の鍵で暗号化する。同様に、権限レベル２のデータは暗号鍵ＩＤが００２の鍵で、権限レベル３のデータは暗号鍵ＩＤが００３の鍵で暗号化する。データ暗号化部１１１は、得られた暗号化データを暗号化データ部１０２に格納し、格納完了を暗号鍵管理部１０７に通知する。暗号鍵管理部１０７は、この通知により、暗号鍵を暗号鍵分散部１０９に送出する一方、暗号鍵を示す暗号鍵ＩＤ及び権限レベルを分散鍵管理部１１０に送出する。
【００５７】
次に、暗号鍵分散部１０９は、暗号鍵管理部１０７から受けた暗号鍵を秘密分散する（ＳＴ２６）。本実施形態では、権限レベル１〜３に応じた３種類の暗号鍵ＳＫ１〜ＳＫ３をそれぞれ秘密分散する。
【００５８】
ここで、暗号鍵の秘密分散方法について、具体的な例を示す。なお、本実施形態で示す暗号鍵の秘密分散は一例であり、他の秘密分散法を用いても実現できる。秘密分散法についての詳しい説明は、非特許文献１〜３に記載されている。
【００５９】
（暗号鍵の秘密分散）
準備として、非特許文献３記載のシャミア（Shamir)の（ｋ，ｎ）型秘密分散法において、しきい値ｋを２、分散数ｎを３とする。
【００６０】
秘密となる元データを暗号鍵Ｓｋ1とする。暗号鍵分散部１０９は、（ｋ，ｎ）型秘密分散法に基づいて、１次多項式ｆ（ｘ）＝ａｘ＋Ｓｋ1（ｍｏｄ ｐ）を生成する。ここで、（ｍｏｄ ｐ）はｐで割った余りの数を表し、元データやａよりも大きな数とする。
【００６１】
具体的には、暗号鍵分散部１０９は、次の１次多項式ｆ（１）〜ｆ（３）を求める。
【００６２】
ｆ（１）＝ ａ＋Ｓｋ1（ｍｏｄ ｐ）
ｆ（２）＝２ａ＋Ｓｋ1（ｍｏｄ ｐ）
ｆ（３）＝３ａ＋Ｓｋ1（ｍｏｄ ｐ）
暗号鍵分散部１０９は、得られた１次多項式ｆ（１）、ｆ（２）、ｆ（３）を、それぞれ分散鍵Ｓｋ1,1（＝ｆ（１））、分散鍵Ｓｋ1,2（＝ｆ（２））、分散鍵Ｓｋ1,3（＝ｆ（３））とし、暗号鍵管理部１０７に送る。暗号鍵管理部１０７は、これら分散鍵Ｓｋ1,1，Ｓｋ1,2，Ｓｋ1,3を分散鍵管理部１１０を介して個別に分散鍵記憶部１０３ａ〜１０３ｃに格納する（ＳＴ２７）。このとき、分散鍵記憶部１０３ａ〜１０３ｃには、分散鍵、暗号鍵ＩＤ及び権限レベルが互いに関連付けられて分散管理部１１０から書き込まれる。
【００６３】
暗号鍵分散部１０９は、暗号鍵Ｓｋ２やＳｋ３についても同様に秘密分散を行い、分散鍵Ｓｋ2,1、Ｓｋ2,2、Ｓｋ2,3、Ｓｋ3,1、Ｓｋ3,2、Ｓｋ3,3を求め、暗号鍵管理部１０７に送る。暗号鍵管理部１０７は、同様に、これら分散鍵Ｓｋ2,1，…，Ｓｋ3,3を分散鍵管理部１１０を介して分散鍵記憶部１０３ｄ〜１０３ｉに格納する（ＳＴ２７）。
【００６４】
しかる後、暗号鍵管理部１０７は、利用者の権限レベルに応じた分散鍵の一つを権限レベル及び暗号鍵ＩＤと共に利用者装置３００に送信する（ＳＴ２８）。本実施形態では、権限レベル１の利用者の利用者装置３００に送信する分散鍵をＳｋ1,1とし、権限レベル２の利用者の利用者装置３００に送信する分散鍵をＳｋ2,1とし、権限レベル３の利用者の利用者装置３００に送信する分散鍵をＳｋ3,1とする。
【００６５】
なお、利用者装置３００に渡す分散鍵は、同じ権限レベルの利用者装置同士にはそれぞれ同じ分散鍵を渡す方がよい。理由は、異なる分散鍵を異なる利用者装置に渡した場合、利用者同士が結託して、元の暗号鍵を復元する恐れがあるからである。また、渡す分散鍵は、ＳＳＬ(Secure Socket Layer)などの秘匿通信を用いて利用者に送るなど、安全に渡すことが好ましい。なぜなら、本実施形態では利用者の認証はＩＤとパスワードで行い、秘密分散された暗号鍵を提示することで正しい利用者であることを識別することを想定している。このため、秘密分散された暗号鍵が誰もが入手可能であると、ＩＤとパスワードが漏えいした場合になりすましが容易になる。ＩＤやパスワードに代わる強固な利用者認証でなりすましが困難である方式を用いるならば、秘密分散された暗号鍵の管理を簡便にしてもよい。
【００６６】
利用者装置３００では、分散鍵管理部３０５により、受信した分散鍵ＳＫ1,1、権限レベル及び暗号鍵ＩＤを分散鍵記憶部３０１に格納する（ＳＴ２９）。
以上により、利用者登録が完了する。
【００６７】
次に、利用者装置３００は、利用者の操作により、ＤＢ装置１００を参照するためのアクセス要求をデータ表示要求部３０３からＤＢ装置１００へ送信する（ＳＴ３０）。
【００６８】
ＤＢ装置１００では、アクセス要求を認証要求部１０４で受けると、認証要求部１０４が認証要求を利用者装置３００に送信する（ＳＴ３１）。
【００６９】
利用者装置３００では、認証要求を受けると、画面表示部３０２にて認証要求を受けたことを表示する（ＳＴ３２）。利用者装置３００では、利用者による認証情報入力部３０４の操作により、利用者ＩＤ及びパスワードが入力されると（ＳＴ３３）、これら利用者ＩＤ及びパスワードを認証子としてＤＢ装置１００に送信する（ＳＴ３４）。例えば、図３９の権限レベル１の利用者の場合、利用者ＩＤ＊＊＊００１及びパスワードgiaw439aseが認証子としてＤＢ装置１００に送信される。
【００７０】
ＤＢ装置１００は、認証子を受けると、認証検証部１０５が、この認証子を認証情報部１０１内の利用者ＩＤ及びパスワードと照合して検証し（ＳＴ３５）、権限レベルを確認する（ＳＴ３６）。そして、アクセス制御部１０６は、認証結果と、閲覧可能なデータＩＤのリストとを利用者装置３００に送信する（ＳＴ３７）。
【００７１】
利用者装置３００は、利用者の操作により、リスト内のデータＩＤ及び分散鍵記憶部３０１内の分散鍵ＳＫ1,1を含む閲覧要求をＤＢ装置１００に送信する（ＳＴ３８）。
【００７２】
ＤＢ装置１００は、閲覧要求内のデータＩＤに基づいて暗号化データ部１０２から暗号化データを検索する（ＳＴ３９）。また、暗号鍵管理部１０７は、閲覧要求内の分散鍵ＳＫ1,1とは異なる分散鍵ＳＫ1,2を分散鍵記憶部１０３ｂから読出し、これらｋ個の分散鍵ＳＫ1,1，ＳＫ1,2に基づいて、暗号鍵ＳＫ１を復元する（ＳＴ４０）。
【００７３】
暗号鍵の復元は、以下の手順で行われる。
【００７４】
（暗号鍵の復元）
具体例として非特許文献３記載のシャミアらの（ｋ，ｎ）型の秘密分散方式と具体例を用いて詳細に示す。ここで示す具体例は、権限レベル１の利用者の暗号鍵を復元する場合である。
【００７５】
暗号鍵管理部１０７は、利用者装置３００から受けた分散鍵Ｓｋ1,1と、分散鍵記憶部１０３ｂから読み出した分散鍵Ｓｋ1,2を準備する。なお、分散鍵Ｓｋ1,1，Ｓｋ1,2は、次式のように表される。
【００７６】
Ｓｋ1,1＝ｆ（１）＝ ａ＋Ｓｋ1（ｍｏｄ ｐ）
Ｓｋ1,2＝ｆ（２）＝２ａ＋Ｓｋ1（ｍｏｄ ｐ）
暗号鍵管理部１０７は、（ｋ，ｎ）型の秘密分散法に基づいて、分散鍵Ｓｋ1,1，Ｓｋ1,2から暗号鍵ＳＫ1を復元する。上記の場合、二つの式の連立方程式を解けば暗号鍵ＳＫ1が復元される。
【００７７】
データ復号部１１２は、この暗号鍵Ｓｋ1に基づいて、暗号化データ部１０２内の暗号化データを復号し（ＳＴ４１）、得られた復号データ（電子データ）を利用者装置３００へ送信する（ＳＴ４２）。
【００７８】
利用者装置３００は、受信した電子データを画面表示部３０２にて表示する（ＳＴ４３）。
【００７９】
上述したように本実施形態によれば、暗号鍵により電子データが暗号化されてなる暗号化データを閲覧権限に応じて復号し、閲覧可能とする際に、暗号鍵を秘密分散法によりｎ個の分散鍵に分散した構成により、暗号鍵の安全性を向上させることができる。
【００８０】
また、利用者装置３００から受けた分散鍵を用いて暗号鍵を復元する構成により、内部の管理者等からの不正アクセスに対し、より一層、安全性を向上させることができる。
【００８１】
なお、以上のような第１の実施形態は、ＤＢ装置１００が、認証機能、データ暗号化機能及び鍵分散機能を全て備えていたが、これに限らず、認証機能、データ暗号化機能及び鍵分散機能を任意の組み合わせで管理者装置２００に備えた構成に変形してもよい。このような変形例について以下に説明する。
【００８２】
＜第１の変形例：認証機能を管理者装置２００に備える例＞
第１の実施形態における第１の変形例は、図５に示すように、認証情報部１０１、認証要求部１０４、認証検証部１０５及びアクセス制御部１０６をＤＢ装置１００から省略し、省略した各部１０１，１０４〜１０６に相当する認証情報部２０１、認証要求部２０４、認証検証部２０５及びアクセス制御部２０６を管理者装置２００に備えている。
【００８３】
このような構成によれば、第１の実施形態の効果に加え、図６に示すように、破線で囲まれた権限レベル設定（ＳＴ２１ｍａ）、格納（ＳＴ２３ｍａ）、アクセス要求受信（ＳＴ３０ｍａ）、認証要求送信（ＳＴ３１ｍａ）、認証子受信（ＳＴ３４ｍａ）、認証子検証（ＳＴ３５ｍａ）、権限レベル確認（ＳＴ３６ｍａ）、認証結果及び閲覧可能データリスト送信（ＳＴ３７ｍａ）を管理者装置２００が実行する変形例を実現することができる。
【００８４】
＜第２の変形例：データ暗号化機能を管理者装置２００に備える例＞
第１の実施形態における第２の変形例は、図７に示すように、暗号鍵生成部１０８及びデータ暗号化部１１１をＤＢ装置１００から省略し、暗号鍵管理部１０７に相当する暗号鍵管理部２０７と、省略した各部１０８，１１１に相当する暗号鍵生成部２０８及びデータ暗号化部２１１を管理者装置２００に備えている。
【００８５】
このような構成によれば、第１の実施形態の効果に加え、図８に示すように、破線で囲まれた暗号鍵生成（ＳＴ２４ｍａ）、データ暗号化（ＳＴ２５ｍａ−１）、暗号鍵及び暗号化データ送信（ＳＴ２５ｍａ−２）を管理者装置２００が実行する変形例を実現することができる。
【００８６】
＜第３の変形例：鍵分散機能を管理者装置２００に備える例＞
第１の実施形態における第３の変形例は、図９に示すように、暗号鍵生成部１０８及び暗号鍵分散部１０９をＤＢ装置１００から省略し、暗号鍵管理部１０７に相当する暗号鍵管理部２０７と、省略した各部１０８，１０９に相当する暗号鍵生成部２０８及び暗号鍵分散部１０９を管理者装置２００に備えている。
【００８７】
このような構成によれば、第１の実施形態の効果に加え、図１０に示すように、破線で囲まれた暗号鍵生成（ＳＴ２４ｍａ）、暗号鍵秘密分散（ＳＴ２６ｍａ−１）、分散鍵送信（ＳＴ２６ｍａ−２）を管理者装置２００が実行し、分散鍵から復号した暗号鍵によるデータ暗号化（ＳＴ２５ｄｂ）をＤＢ装置１００が実行する変形例を実現することができる。
【００８８】
＜第４の変形例：認証機能とデータ暗号化機能を管理者装置２００に備える例＞
第１の実施形態における第４の変形例は、図１１に示すように、第１及び第２の変形例を組み合わせたものであり、認証機能とデータ暗号化機能を管理者装置２００が備えている。このような構成によれば、第１の実施形態の効果に加え、図１２に示すように、破線で囲まれた認証機能とデータ暗号化機能を管理者装置２００が実行する変形例を実現することができる。
【００８９】
＜第５の変形例：認証機能と鍵分散機能を管理者装置２００に備える例＞
第１の実施形態における第５の変形例は、図１３に示すように、第１及び第３の変形例を組み合わせたものであり、認証機能と鍵分散機能を管理者装置２００が備えている。このような構成によれば、第１の実施形態の効果に加え、図１４に示すように、破線で囲まれた認証機能と鍵分散機能を管理者装置２００等が実行する変形例を実現することができる。
【００９０】
＜第６の変形例：データ暗号化機能と鍵分散機能を管理者装置２００に備える例＞
第１の実施形態における第６の変形例は、図１５に示すように、第２及び第３の変形例を組み合わせたものであり、データ暗号化機能と鍵分散機能を管理者装置２００が備えている。このような構成によれば、第１の実施形態の効果に加え、図１６に示すように、破線で囲まれたデータ暗号化機能と鍵分散機能を管理者装置２００が実行する変形例を実現することができる。
【００９１】
＜第７の変形例：認証機能、データ暗号化機能及び鍵分散機能を管理者装置２００に備える例＞
第１の実施形態における第７の変形例は、図１７に示すように、第１〜第３の変形例を組み合わせたものであり、認証機能、データ暗号化機能及び鍵分散機能を管理者装置２００が備えている。このような構成によれば、第１の実施形態の効果に加え、図１８に示すように、破線で囲まれた認証機能、データ暗号化機能及び鍵分散機能を管理者装置２００等が実行する変形例を実現することができる。
【００９２】
（第２の実施形態）
次に、本発明の第２の実施形態について説明する。第２の実施形態は、閲覧権限に応じた電子データを出力可能な電子データ閲覧システムにおいて、閲覧される電子データを閲覧権限に応じて秘密分散する構成により、電子データの安全性を向上させるものである。
【００９３】
図１９は本発明の第２の実施形態に係る電子データ閲覧システムの構成を示す模式図である。この電子データ閲覧システムにおいては、利用者装置３００、３台のＤＢ装置５００ａ〜５００ｃ及びデータベース（ＤＢ）管理装置６００が互いにネットワークを介して接続されている。
【００９４】
ここで、利用者装置３００は、画面表示部３０２、データ表示要求部３０３及び認証情報入力部３０４を備えている。
【００９５】
画面表示部３０２は、ＤＢ管理装置６００から受けた認証要求を表示する機能と、ＤＢ管理装置６００から受信した電子データを表示する機能とをもっている。
【００９６】
データ表示要求部３０３は、利用者の操作により、ＤＢ装置５００ａ〜５００ｃを参照するためのアクセス要求をＤＢ管理装置６００へ送信する機能をもっている。
【００９７】
認証情報入力部３０４は、利用者の操作により、パスワードをＤＢ公開鍵により暗号化し、得られた暗号化認証子をＤＢ管理装置６００に送信する機能をもっている。認証情報入力部３０４は、利用者の操作により、パスワードをＤＢ公開鍵により暗号化せずにそのままＤＢ管理装置６００に送信しても良い。
【００９８】
ＤＢ装置５００ａ〜５００ｃは、互いに同一構成のため、ここではＤＢ装置５００ａを代表例に挙げて説明する。ＤＢ装置５００ａは、認証情報部５０１ａ、秘密分散データ部５０３ａ、認証検証部５０５ａ及びアクセス制御部５０６ａを備えている。
【００９９】
認証情報部５０１ａは、ＤＢ管理装置６００から書込可能で且つ認証検証部５０５ａから読出可能な記憶装置であり、暗号化利用者ＩＤ及び暗号化パスワード及び権限レベルを互いに関連付けて記憶する。なお、暗号化パスワードは、パスワードがＤＢ公開鍵により暗号化されたものであり、ＤＢ装置５００ａ，…，毎のＤＢ秘密鍵により復号可能となっている。利用者ＩＤ及びパスワードは認証子（利用者認証情報）に対応し、権限レベルは閲覧権限情報に対応する。
【０１００】
秘密分散データ部５０３ａは、アクセス制御部５０６ａから読出／書込可能な記憶装置であり、データＩＤ、権限レベル及び分散データが互いに関連付けて記憶されている。例えば図２０に示すように、データＩＤとしては顧客番号が記憶されている。データＩＤは、顧客からの問い合わせに対して秘密分散データ部５０３ａを検索するための検索キーとして機能するので、暗号化されない。分散データとしては、権限レベル１に応じて秘密分散された「姓、名」と、権限レベル２に応じて秘密分散された「住所」と、権限レベル３に応じて秘密分散された「年齢、…、メールアドレス、電話番号、携帯電話番号」とが記憶されている。なお、権限レベル１は、姓と名の情報を閲覧可能な権限である。権限レベル２は、姓と名に加え、住所の情報を閲覧可能な権限である。権限レベル３の利用者は、姓、名、住所に加え、年齢、…、メールアドレス、電話番号及び携帯電話番号の情報を閲覧可能な権限である。すなわち、権限レベルが小さいほど、閲覧可能な電子データの範囲が少ないものとなっている。
【０１０１】
なお、他の秘密分散データ部５０３ｂ，５０３ｃは、図２１又は図２２に示すように、秘密分散データ部５０３ａと同様に、データＩＤ、権限レベル及び暗号化データが互いに関連付けて記憶されている。
【０１０２】
認証検証部５０５ａは、利用者装置３００から暗号化認証子（暗号化された「利用者ＩＤ及びパスワード」）を受けると、暗号化認証子を認証情報部５０１ａ内のＤＢ秘密鍵により復号して認証子（利用者ＩＤ及びパスワード）を得る機能と、この認証子を認証情報部５０１ａ内の利用者ＩＤ及びパスワードと照合して検証し、権限レベルを確認する機能と、認証結果（検証結果）及び権限レベルをアクセス制御部５０６ａに送出する機能とをもっている。
【０１０３】
アクセス制御部５０６ａは、ＤＢ管理装置６００から受けた分散データ、データＩＤ及び権限レベルを互いに関連付けて秘密分散データ部５０３ａに書き込む機能と、認証検証部５０５ａから認証結果及び権限レベルを受けると、当該認証結果が正当の場合、この認証結果と、権限レベルに基づく閲覧可能なデータＩＤのリストとをＤＢ管理装置６００を介して利用者装置３００に送信する機能と、ＤＢ管理装置６００から受けたデータＩＤを含むデータ要求に基づいて、秘密分散データ部５０３ａから読み出した分散データをＤＢ管理装置６００に送信する機能とをもっている。
【０１０４】
データベース（ＤＢ）管理装置６００は、アクセス設定部６０２、認証要求部６０４、秘密分散設定部６１０、秘密分散部６１１及び復元部６１２を備えている。
【０１０５】
アクセス設定部６０２は、管理者の操作により、利用者ＩＤ及び権限レベルを設定し、この利用者ＩＤ及び権限レベルと、予め保持するＤＢ公開鍵とを利用者装置３００に送信する機能をもっている。
【０１０６】
認証要求部６０４は、利用者装置３００からアクセス要求を受けると、認証要求を利用者装置３００に送信する機能と、利用者装置３００から受けたデータＩＤを含む閲覧要求に基づいて、当該データＩＤを含むデータ要求をＤＢ管理装置６００に送信する機能と、ＤＢ装置５００ａ〜５００ｃから読み出した分散データを復元部６１２に送出する機能とをもっている。
【０１０７】
秘密分散設定部６１０は、管理者の操作により、秘密分散対象の電子データとして、閲覧権限に応じて電子データを設定する機能とをもっている。
【０１０８】
秘密分散部６１１は、秘密情報が分散されてなるｎ個の分散情報のうちのｋ個の分散情報から元の秘密情報を復元可能な（ｋ，ｎ）型の秘密分散方式に基づいて、秘密分散設定部６１０に設定された電子データからｎ個の分散データを生成するものであり、得られた分散データをＤＢ装置５００ａ〜５００ｃに送信する機能をもっている。
【０１０９】
復元部６１２は、各ＤＢ装置５００ａ〜５００ｃから読み出されたｋ個の分散データから（ｋ，ｎ）型の秘密分散方式に基づいて、電子データを復元する機能と、復元された電子データを利用者装置３００に送信する機能とをもっている。
【０１１０】
次に、以上のように構成された電子データ閲覧システムの動作を図２３のシーケンス図を用いて説明する。
【０１１１】
始めに、ＤＢ管理装置６００では、管理者によるアクセス設定部６０２の操作により、利用者ＩＤ及び権限レベルを設定する（ＳＴ５１）。アクセス設定部６０２は、利用者ＩＤ及び権限レベルと、ＤＢ公開鍵とを利用者装置３００に送信する（ＳＴ５２）。
【０１１２】
利用者装置３００は、利用者の操作により、パスワードを入力する（ＳＴ５３）。また、利用者装置３００は、このパスワードをＤＢ公開鍵により暗号して暗号化パスワードを生成する（ＳＴ５４）。しかる後、利用者装置３００は、これら利用者ＩＤ、暗号化パスワード及び権限レベルをＤＢ管理装置６００を介してＤＢ装置５００ａ〜５００ｃに送信する（ＳＴ５５）。
【０１１３】
ＤＢ装置５００ａ〜５００ｃは、これら利用者ＩＤ、暗号化パスワード及び権限レベルを互いに関連付けて認証情報部５０１ａ〜５０１ｃに格納する（ＳＴ５６）。
【０１１４】
次に、ＤＢ管理装置６００は、管理者による秘密分散部６１１の操作により、秘密分散設定を行う（ＳＴ５７）。具体的には図２０乃至図２２に示したように、権限レベルに応じて参照できる電子データを括り、それらを一塊の電子データとして秘密分散部６１１にて秘密分散を実施する。例えば図示するように、権限レベル１の姓と名のデータを一塊としてＤ1とし、権限レベル２の住所のデータを一塊としてＤ2とし、権限レベル３の年齢やメールアドレス、電話番号、携帯電話番号などのデータを一塊としてＤ3とする。
【０１１５】
データの秘密分散は、例えば以下の手順で行われる。
【０１１６】
（暗号鍵の秘密分散）
準備として、非特許文献３記載のシャミア（Shamir)の（ｋ，ｎ）型秘密分散法において、しきい値ｋを２、分散数ｎを３とする。
【０１１７】
秘密となる元データをＤとする。秘密分散部６１１は、（ｋ，ｎ）型秘密分散法に基づいて、１次多項式ｆ（ｘ）＝ａｘ＋Ｄ（ｍｏｄ ｐ）を生成する。ここで、（ｍｏｄ ｐ）はｐで割った余りの数を表し、元データやａよりも大きな数とする。
【０１１８】
具体的には、秘密分散部６１１は、次の１次多項式ｆ（１）〜ｆ（３）を求める。
【０１１９】
ｆ（１）＝ ａ＋Ｄ1（ｍｏｄ ｐ）
ｆ（２）＝２ａ＋Ｄ1（ｍｏｄ ｐ）
ｆ（３）＝３ａ＋Ｄ1（ｍｏｄ ｐ）
秘密分散部６１１は、得られた１次多項式ｆ（１）、ｆ（２）、ｆ（３）を、それぞれ分散データＤ1,1（＝ｆ（１））、分散データＤ1,2（＝ｆ（２））、分散データＤ1,3（＝ｆ（３））とし（ＳＴ５８）、ＤＢ装置５００ａ〜５００ｃに送信する（ＳＴ５９）。秘密分散部６１１は、Ｄ2やＤ3も同様に秘密分散を行い、Ｄ2,1、Ｄ2,2、Ｄ2,3、Ｄ3,1、Ｄ3,2、Ｄ3,3を求め、ＤＢ装置５００ａ〜５００ｃに送信する。このとき、分散データは、データＩＤ及び権限レベルと共に送信される。
【０１２０】
ＤＢ装置５００ａ〜５００ｃでは、これら分散データ、データＩＤ及び権限レベルをアクセス制御部５０６を介して個別に秘密分散データ部５０１ａ〜５０１ｃに格納する（ＳＴ６０）。このとき、秘密分散データ部５０１ａ〜５０１ｃには、分散データ、データＩＤ及び権限レベルが互いに関連付けられてアクセス制御部５０６から書き込まれる。
【０１２１】
以上により、利用者登録が完了する。
【０１２２】
次に、利用者装置３００は、利用者の操作により、ＤＢ装置５００ａ〜５００ｃを参照するためのアクセス要求をデータ表示要求部３０３からＤＢ管理装置６００へ送信する（ＳＴ６１）。
【０１２３】
ＤＢ管理装置６００では、アクセス要求を認証要求部６０４で受けると、認証要求部６０４が認証要求を利用者装置３００に送信する（ＳＴ６２）。
【０１２４】
利用者装置３００では、認証要求を受け取ると、画面表示部３０２にて認証要求を受けたことを表示する（ＳＴ６３）。利用者装置３００では、利用者による認証情報入力部３０４の操作により、利用者ＩＤ及びパスワードが入力されると（ＳＴ６４）、これら利用者ＩＤ及びパスワードをＤＢ公開鍵により暗号化し（ＳＴ６５）、得られた暗号化認証子をＤＢ管理装置６００に送信する（ＳＴ６６）。
【０１２５】
ＤＢ管理装置６００は、暗号化認証子を受けると、この暗号化認証子をＤＢ装置５００ａ〜５００ｃのうち、少なくとも２つのＤＢ装置に送信する（ＳＴ６７）。
【０１２６】
以下、ＤＢ装置５００ａのみについて記述するが、他のＤＢ装置５００ｂまたは５００ｃについても同様の処理が行われる。本実施形態では、ＤＢ装置５００ａと５００ｂとを用いることとし、ＤＢ装置５００ｃは予備として用いることとする。
【０１２７】
ＤＢ装置５００ａでは、暗号化認証子を受けると、認証検証部５０５ａが、暗号化認証子を認証情報部５０１ａ内のＤＢ秘密鍵により復号して認証子を得る。次に、認証検証部５０５ａは、この認証子を認証情報部５０１ａ内の利用者ＩＤ及びパスワードと照合して検証し（ＳＴ６８）、権限レベルを確認する（ＳＴ６９）。そして、アクセス制御部５０６ａは、認証結果と、閲覧可能なデータＩＤのリストとを利用者装置３００に送信する（ＳＴ７０）。
【０１２８】
利用者装置３００は、利用者の操作により、リスト内のデータＩＤを含む閲覧要求をＤＢ管理装置６００に送信する（ＳＴ７１）。ＤＢ管理装置６００は、このデータＩＤを含むデータ要求をＤＢ装置５００ａ，５００ｂに送信する（ＳＴ７２）。
【０１２９】
ＤＢ装置５００ａ，５００ｂは、データ要求内のデータＩＤに基づいて秘密分散データ部５０１ａ，５０１ｂから分散データを検索し（ＳＴ７３）、得られた分散データＤ1,1、Ｄ1,2をＤＢ管理装置６００に送信する。
【０１３０】
ＤＢ管理装置６００は、分散データＤ1,1、Ｄ1,2を受信すると（ＳＴ７４）、復元部６１２にて秘密分散されたデータを復元する（ＳＴ７５）。
【０１３１】
秘密分散されたデータの復元は、以下の手順で行われる。
【０１３２】
（暗号鍵の復元）
具体例として非特許文献３記載のシャミアらの（ｋ，ｎ）秘密分散方式と具体例を用いて詳細に示す。ここで示す具体例は、権限レベル１の利用者の暗号鍵を復元する場合である。
【０１３３】
復元部６１２は、受けた分散データＤ1,2，Ｄ1,2を準備する。なお、分散データＤ1,1，Ｄ1,2は、次式のように表される。
【０１３４】
Ｄ1,1＝ｆ（１）＝ ａ＋Ｄ1（ｍｏｄ ｐ）
Ｄ1,2＝ｆ（２）＝２ａ＋Ｄ1（ｍｏｄ ｐ）
復元部６１２は、（ｋ，ｎ）型の秘密分散法に基づいて、分散データＤ1,1，Ｄ1,2から元データＤ1を復元する。上記の場合、二つの式の連立方程式を解けば元データＤ1が復元される。
【０１３５】
ＤＢ管理装置６００は、復元されたデータＤ1をネットワーク４００を通じて利用者装置３００へ送信する（ＳＴ７６）。
【０１３６】
利用者装置３００は、復元されたデータＤ１を受けると、このデータＤ１を画面表示部３０２にて表示する（ＳＴ７７）。
【０１３７】
なお、ＤＢ装置５００ａまたは５００ｂのどちらかが故障してデータが取り出せない、またはデータが事故などで消失した場合でも、ＤＢ装置５００ｃを用いてデータを復元することが可能である。
【０１３８】
上述したように本実施形態によれば、閲覧権限に応じて電子データを閲覧可能とする際に、電子データを秘密分散法により分散させた構成により、電子データの安全性を向上することができる。
【０１３９】
なお、以上のような第２の実施形態は、ＤＢ装置５００ａ〜５００ｃが認証機能を備え、ＤＢ管理装置６００がデータ分散機能を備えていたが、これに限らず、認証機能及びデータ分散機能を任意の組み合わせでＤＢ管理装置６００又はＤＢ装置５００ａ〜５００ｃに備えた構成に変形してもよい。また、第２の実施形態は、ＤＢ管理装置６００が復元機能を備えていたが、これに限らず、復元機能を利用者装置３００に備えた構成に変形してもよい。このような変形例について順次説明する。
【０１４０】
＜第１の変形例：認証機能及びデータ分散機能をＤＢ管理装置６００に備えた例＞
第２の実施形態における第１の変形例は、図２４に示すように、認証情報部５０１ａ〜５０１ｃ及び認証検証部５０５ａ〜５０５ｃをＤＢ装置５００ａ〜５００ｃから省略し、省略した各部５０１ａ〜５０１ｃ，５０５ａ〜５０５ｃに相当する認証情報部６０１及び認証検証部６０５をＤＢ管理装置６００に備えている。
【０１４１】
このような構成によれば、第２の実施形態の効果に加え、図２５に示すように、破線で囲まれた権限レベル設定（ＳＴ５１）、格納（ＳＴ５６）、暗号化認証子受信（ＳＴ６６）、認証子検証（ＳＴ６８）、権限レベル確認（ＳＴ６９）、認証結果及び閲覧可能データリスト送信（ＳＴ７０）をＤＢ管理装置６００が実行する変形例を実現することができる。
【０１４２】
＜第２の変形例：認証機能をＤＢ管理装置６００に備え、データ分散機能をＤＢ装置５００ａに備えた例＞
第２の実施形態における第２の変形例は、図２６に示すように、認証情報部５０１ａ〜５０１ｃ及び認証検証部５０５ａ〜５０５ａをＤＢ装置５００ａ〜５００ｃから省略し、省略した各部５０１ａ〜５０１ｃ，５０５ａ〜５０５ｃに相当する認証情報部６０１及び認証検証部６０５をＤＢ管理装置６００に備えている。
【０１４３】
一方、秘密分散設定部６１０及び秘密分散部６１１をＤＢ管理装置６００から省略し、省略した各部６１０，６１１に相当する秘密分散設定部５１０及び秘密分散部５１１をＤＢ装置５００ａに備えている。
【０１４４】
このような構成によれば、第２の実施形態の効果に加え、図２７に示すように、破線で囲まれた権限レベル設定（ＳＴ５１）、格納（ＳＴ５６）、暗号化認証子受信（ＳＴ６６）、認証子検証（ＳＴ６８）、権限レベル確認（ＳＴ６９）、認証結果及び閲覧可能データリスト送信（ＳＴ７０）をＤＢ管理装置６００が実行し、秘密分散設定（ＳＴ５７）、分散データ生成（ＳＴ５８）をＤＢ装置５００ａが実行し、分散データ格納（ＳＴ６０）をＤＢ装置５００ａ〜５００ｃが実行する変形例を実現することができる。
【０１４５】
＜第３の変形例：データ分散機能をＤＢ装置５００ａに備えた例＞
第２の実施形態における第３の変形例は、図２８に示すように、秘密分散設定部６１０及び秘密分散部６１１をＤＢ管理装置６００から省略し、省略した各部６１０，６１１に相当する秘密分散設定部５１０及び秘密分散部５１１をＤＢ装置５００ａに備えている。
【０１４６】
このような構成によれば、第２の実施形態の効果に加え、図２９に示すように、秘密分散設定（ＳＴ５７）、分散データ生成（ＳＴ５８）をＤＢ装置５００ａが実行し、分散データ格納（ＳＴ６０）をＤＢ装置５００ａ〜５００ｃが実行する変形例を実現することができる。
【０１４７】
＜第４の変形例：復元機能を利用者装置３００に備えた例＞
第２の実施形態における第４の変形例は、図３０に示すように、復元部６１２をＤＢ管理装置６００から省略し、省略した復元部６１２に相当する復元部３１２を利用者装置３００に備えている。
【０１４８】
このような構成によれば、第２の実施形態の効果に加え、図３１に示すように、破線で囲まれた分散データ受信（ＳＴ７４）及びデータ復元（ＳＴ７５）を利用者装置３００が実行する変形例を実現することができる。
【０１４９】
＜第５の変形例：認証機能及びデータ分散機能をＤＢ管理装置６００に備え、復元機能を利用者装置３００に備えた例＞
第２の実施形態における第５の変形例は、図３２に示すように、第１及び第４の変形例を組み合わせたものであり、認証機能及びデータ分散機能をＤＢ管理装置６００に備え、復元機能を利用者装置３００に備えている。
【０１５０】
具体的には、認証情報部５０１ａ〜５０１ｃ及び認証検証部５０５ａ〜５０５ｃをＤＢ装置５００ａ〜５００ｃから省略し、省略した各部５０１ａ〜５０１ｃ，５０５ａ〜５０５ｃに相当する認証情報部６０１及び認証検証部６０５をＤＢ管理装置６００に備えている。
【０１５１】
また、復元部６１２をＤＢ管理装置６００から省略し、省略した復元部６１２に相当する復元部３１２を利用者装置３００に備えている。
【０１５２】
このような構成によれば、第２の実施形態の効果に加え、図３３に示すように、破線で囲まれた権限レベル設定（ＳＴ５１）、格納（ＳＴ５６）、暗号化認証子受信（ＳＴ６６）、認証子検証（ＳＴ６８）、権限レベル確認（ＳＴ６９）、認証結果及び閲覧可能データリスト送信（ＳＴ７０）をＤＢ管理装置６００が実行し、分散データ受信（ＳＴ７４）、データ復元（ＳＴ７５）を利用者装置３００が実行する変形例を実現することができる。
【０１５３】
＜第６の変形例：認証機能をＤＢ管理装置６００に備え、データ分散機能をＤＢ装置５００ａに備え、復元機能を利用者装置３００に備えた例＞
第２の実施形態における第６の変形例は、図３４に示すように、第２及び第４の変形例を組み合わせたものであり、認証機能をＤＢ管理装置６００に備え、データ分散機能をＤＢ装置５００ａに備え、復元機能を利用者装置３００に備えている。
【０１５４】
具体的には、認証情報部５０１ａ〜５０１ｃ及び認証検証部５０５ａ〜５０５ａをＤＢ装置５００ａ〜５００ｃから省略し、省略した各部５０１ａ〜５０１ｃ，５０５ａ〜５０５ｃに相当する認証情報部６０１及び認証検証部６０５をＤＢ管理装置６００に備えている。
【０１５５】
一方、秘密分散設定部６１０及び秘密分散部６１１をＤＢ管理装置６００から省略し、省略した各部６１０，６１１に相当する秘密分散設定部５１０及び秘密分散部５１１をＤＢ装置５００ａに備えている。
【０１５６】
また、復元部６１２をＤＢ管理装置６００から省略し、省略した復元部６１２に相当する復元部３１２を利用者装置３００に備えている。
【０１５７】
このような構成によれば、第２の実施形態の効果に加え、図３５に示すように、破線で囲まれた権限レベル設定（ＳＴ５１）、格納（ＳＴ５６）、暗号化認証子受信（ＳＴ６６）、認証子検証（ＳＴ６８）、権限レベル確認（ＳＴ６９）、認証結果及び閲覧可能データリスト送信（ＳＴ７０）をＤＢ管理装置６００が実行し、秘密分散設定（ＳＴ５７）、分散データ生成（ＳＴ５８）をＤＢ装置５００ａが実行し、分散データ格納（ＳＴ６０）をＤＢ装置５００ａ〜５００ｃが実行し、分散データ受信（ＳＴ７４）、データ復元（ＳＴ７５）を利用者装置３００が実行する変形例を実現することができる。
【０１５８】
＜第７の変形例：データ分散機能をＤＢ装置５００ａに備え、復元機能を利用者装置３００に備えた例＞
第２の実施形態における第７の変形例は、図３６に示すように、第３及び第４の変形例を組み合わせたものであり、データ分散機能をＤＢ装置５００ａに備え、復元機能を利用者装置３００に備えている。
【０１５９】
具体的には、秘密分散設定部６１０及び秘密分散部６１１をＤＢ管理装置６００から省略し、省略した各部６１０，６１１に相当する秘密分散設定部５１０及び秘密分散部５１１をＤＢ装置５００ａに備えている。
【０１６０】
また、復元部６１２をＤＢ管理装置６００から省略し、省略した復元部６１２に相当する復元部３１２を利用者装置３００に備えている。
【０１６１】
このような構成によれば、第２の実施形態の効果に加え、図３７に示すように、破線で囲まれた秘密分散設定（ＳＴ５７）、分散データ生成（ＳＴ５８）をＤＢ装置５００ａが実行し、分散データ格納（ＳＴ６０）をＤＢ装置５００ａ〜５００ｃが実行し、分散データ受信（ＳＴ７４）及びデータ復元（ＳＴ７５）を利用者装置３００が実行する変形例を実現することができる。
【０１６２】
なお、上記実施形態に記載した手法は、コンピュータに実行させることのできるプログラムとして、磁気ディスク（フロッピー（登録商標）ディスク、ハードディスクなど）、光ディスク（ＣＤ−ＲＯＭ、ＤＶＤなど）、光磁気ディスク（ＭＯ）、半導体メモリなどの記憶媒体に格納して頒布することもできる。
【０１６３】
また、この記憶媒体としては、プログラムを記憶でき、かつコンピュータが読み取り可能な記憶媒体であれば、その記憶形式は何れの形態であっても良い。
【０１６４】
また、記憶媒体からコンピュータにインストールされたプログラムの指示に基づきコンピュータ上で稼働しているＯＳ（オペレーティングシステム）や、データベース管理ソフト、ネットワークソフト等のＭＷ（ミドルウェア）等が上記実施形態を実現するための各処理の一部を実行しても良い。
【０１６５】
さらに、本発明における記憶媒体は、コンピュータと独立した媒体に限らず、ＬＡＮやインターネット等により伝送されたプログラムをダウンロードして記憶または一時記憶した記憶媒体も含まれる。
【０１６６】
また、記憶媒体は１つに限らず、複数の媒体から上記実施形態における処理が実行される場合も本発明における記憶媒体に含まれ、媒体構成は何れの構成であっても良い。
【０１６７】
尚、本発明におけるコンピュータは、記憶媒体に記憶されたプログラムに基づき、上記実施形態における各処理を実行するものであって、パソコン等の１つからなる装置、複数の装置がネットワーク接続されたシステム等の何れの構成であっても良い。
【０１６８】
また、本発明におけるコンピュータとは、パソコンに限らず、情報処理機器に含まれる演算処理装置、マイコン等も含み、プログラムによって本発明の機能を実現することが可能な機器、装置を総称している。
【０１６９】
なお、本願発明は、上記実施形態そのままに限定されるものではなく、実施段階ではその要旨を逸脱しない範囲で構成要素を変形して具体化できる。また、上記実施形態に開示されている複数の構成要素の適宜な組合せにより種々の発明を形成できる。例えば、実施形態に示される全構成要素から幾つかの構成要素を削除してもよい。更に、異なる実施形態に亘る構成要素を適宜組合せてもよい。例えば、第２の実施形態のＳＴ５５では利用者装置３００からＤＢ装置５００ａに暗号化パスワードが送信されているが、暗号化の有無に関わらずパスワード自体が送信されなくても構わない。この場合、図２３において、ＳＴ５３では利用者ＩＤが入力され、ＳＴ５４では入力された利用者ＩＤが暗号化される。ＳＴ５５で送信される対象は利用者ＩＤ及び権限レベルになり、ＳＴ５６で格納されるものは利用者ＩＤ及び権限レベルであり、ＳＴ６４で入力される認証子は利用者ＩＤ、ＳＴ６５では利用者ＩＤがＤＢ公開鍵で暗号化され、ＳＴ６６で送信される対象はＳＴ６５で暗号化された暗号化利用者ＩＤになる。ＳＴ６７では暗号化利用者ＩＤが送信され、ＳＴ６８の認証子検証は暗号化利用者ＩＤになる。
【図面の簡単な説明】
【０１７０】
【図１】本発明の第１の実施形態に係る電子データ閲覧システムの構成を示す模式図。
【図２】同実施形態における分散鍵記憶部の変形例を示す模式図。
【図３】同実施形態における暗号鍵管理部の構成を示す模式図。
【図４】同実施形態における電子データ閲覧システムの動作を説明するためのシーケンス図。
【図５】同実施形態における第１の変形例の構成を示す模式図。
【図６】同変形例の動作を説明するためのシーケンス図。
【図７】同実施形態における第２の変形例の構成を示す模式図。
【図８】同変形例の動作を説明するためのシーケンス図。
【図９】同実施形態における第３の変形例の構成を示す模式図。
【図１０】同変形例の動作を説明するためのシーケンス図。
【図１１】同実施形態における第４の変形例の構成を示す模式図。
【図１２】同変形例の動作を説明するためのシーケンス図。
【図１３】同実施形態における第５の変形例の構成を示す模式図。
【図１４】同変形例の動作を説明するためのシーケンス図。
【図１５】同実施形態における第６の変形例の構成を示す模式図。
【図１６】同変形例の動作を説明するためのシーケンス図。
【図１７】同実施形態における第７の変形例の構成を示す模式図。
【図１８】同変形例の動作を説明するためのシーケンス図。
【図１９】本発明の第２の実施形態に係る電子データ閲覧システムの構成を示す模式図。
【図２０】同実施形態における秘密分散データ部の構成を示す模式図。
【図２１】同実施形態における秘密分散データ部の構成を示す模式図。
【図２２】同実施形態における秘密分散データ部の構成を示す模式図。
【図２３】同実施形態における電子データ閲覧システムの動作を説明するためのシーケンス図。
【図２４】同実施形態における第１の変形例の構成を示す模式図。
【図２５】同変形例の動作を説明するためのシーケンス図。
【図２６】同実施形態における第２の変形例の構成を示す模式図。
【図２７】同変形例の動作を説明するためのシーケンス図。
【図２８】同実施形態における第３の変形例の構成を示す模式図。
【図２９】同変形例の動作を説明するためのシーケンス図。
【図３０】同実施形態における第４の変形例の構成を示す模式図。
【図３１】同変形例の動作を説明するためのシーケンス図。
【図３２】同実施形態における第５の変形例の構成を示す模式図。
【図３３】同変形例の動作を説明するためのシーケンス図。
【図３４】同実施形態における第６の変形例の構成を示す模式図。
【図３５】同変形例の動作を説明するためのシーケンス図。
【図３６】同実施形態における第７の変形例の構成を示す模式図。
【図３７】同変形例の動作を説明するためのシーケンス図。
【図３８】従来の電子データ閲覧システムの構成を示す模式図。
【図３９】一般的な暗号化データ部の構成を示す模式図。
【図４０】一般的な認証情報部の構成を示す模式図。
【図４１】従来の電子データ閲覧システムの動作を説明するためのシーケンス図。
【図４２】従来の電子データ閲覧システムの変形例を示す模式図。
【符号の説明】
【０１７１】
１００，５００ａ〜５００ｃ…ＤＢ装置、１０１，５０１ａ〜５０１ｃ…認証情報部、１０２…暗号化データ部、１０３ａ〜１０３ｉ…分散鍵記憶部、１０４…認証要求部、１０５，５０５ａ〜５０５ｃ…認証検証部、１０６，５０６ａ〜５０６ｃ…アクセス制御部、１０７…暗号鍵管理部、１０８…暗号鍵生成部、１０９…暗号鍵分散部、１１０…分散鍵管理部、１１１…データ暗号化部、１１２…データ復号部、２００…管理者装置、２０２…アクセス設定部、３００…利用者装置、３０１…分散鍵記憶部、３０２…画面表示部、３０３…データ表示要求部、３０４…認証情報入力部、３０５…分散鍵管理部、５０３ａ〜５０３ｃ…秘密分散データ部。
【技術分野】
【０００１】
本発明は、閲覧権限に応じて電子データを閲覧させる電子データ閲覧システム、装置及びプログラムに関する。
【背景技術】
【０００２】
従来から、閲覧権限に応じて電子データを閲覧する仕組みとして、予め閲覧権限に応じて暗号化した電子データをデータベースに格納しておく方法が知られている。この方法によれば、暗号化された電子データがデータベースから読み出され、閲覧権限に応じて復号される。
【０００３】
図３８は従来の電子データ閲覧システムの構成を示す模式図であり、図３９は暗号化データ部の構成を示す模式図であり、図４０は認証情報部の構成を示す模式図である。この電子データ閲覧システムは、データベース（以下、ＤＢという）装置１０、利用者装置２０及び管理者装置３０を備えている。
【０００４】
ＤＢ装置１０は、暗号鍵格納部１１、暗号化データ部１２、暗号鍵管理部１３及びデータ復号部１４を備えている。
【０００５】
暗号鍵格納部１１は、暗号鍵管理部１３から読出／書込可能な記憶装置であり、権限レベル及び暗号鍵が互いに関連付けて記憶されている。具体的には暗号鍵格納部１１は、権限レベル１に関連付けて暗号鍵ＳＫ１が記憶され、権限レベル２に関連付けて暗号鍵ＳＫ２が記憶され、権限レベル３に関連付けて暗号鍵ＳＫ３が記憶されている。
【０００６】
暗号化データ部１２は、管理者装置２０から書込可能であり、且つデータ復号部１４から読出可能な記憶装置であって、データＩＤ、権限レベル及び暗号化データが互いに関連付けて記憶されている。例えば図３９に示すように、データＩＤとしては顧客番号が記憶されている。データＩＤは、顧客からの問い合わせに対して暗号化データ部１２を検索するための検索キーとして機能するので、暗号化されない。暗号化データとしては、権限レベル１の暗号鍵ＳＫ１で暗号化された「姓、名」と、権限レベル２の暗号鍵ＳＫ２で暗号化された「住所」と、権限レベル３の暗号鍵ＳＫ３で暗号化された「年齢、…、メールアドレス、電話番号、携帯電話番号」とが記憶されている。なお、権限レベル１は、姓と名の情報を閲覧可能な権限である。権限レベル２は、権限レベル１で閲覧可能な情報（姓と名）に加え、住所の情報を閲覧可能な権限である。権限レベル３は、権限レベル１，２で閲覧可能な情報（姓、名、住所）に加え、年齢、…、メールアドレス、電話番号及び携帯電話番号の情報を閲覧可能な権限である。すなわち、権限レベルが小さいほど、閲覧可能な電子データの範囲が少ないものとなっている。
【０００７】
このような暗号化データ部１２は、例えば、対象となる電子データが顧客情報のような個人情報である場合に、権限に応じて閲覧できる範囲が限られた方がよいという観点から作成されている。情報を閲覧可能な者は、その情報を保護する観点から必要最小限にとどめる必要があるからである。
【０００８】
管理者装置２０は、認証情報部２１、アクセス設定部２２、暗号鍵管理部２３、暗号鍵生成部２４、データ暗号化部２５、認証要求部２６、認証検証部２７及びアクセス制御部２８を備えている。認証情報部２１は、管理者によるアクセス設定部２２の操作により設定され、図４０に示すように、利用者ＩＤ、パスワード及び権限レベルが互いに関連付けられた利用者認証テーブルが記憶された記憶装置であって、認証検証部２７から読出可能となっている。この利用者認証テーブルは、例えば利用者ＩＤが００１の利用者の場合、パスワードがgiaw439aseであり、権限レベルが１であることを示している。
【０００９】
利用者装置３０は、画面表示部３１、データ表示要求部３２、認証情報入力部３３を備えている。
【００１０】
このような従来の電子データ閲覧システムは、図４１に示すように動作する。
【００１１】
始めに、管理者装置２０においては、前述した通り、管理者の操作により、アクセス設定部２２が利用者認証テーブルを認証情報部２１に書き込み済みとする。また、暗号鍵管理部２３は、管理者の操作により、暗号鍵生成部２４が生成した暗号鍵をデータ暗号化部２５に送出し、データ暗号化部２５はこの暗号鍵により暗号化データを生成したとする。また、この暗号化データは、管理者の操作により、権限レベル及びデータＩＤに関連付けられてＤＢ装置１０の暗号化データ部１２に書き込まれたとする。同様に、暗号鍵は、管理者の操作により、権限レベルに関連付けてＤＢ装置１０の暗号鍵格納部１１に書き込まれたとする。
【００１２】
続いて、利用者装置３０においては、画面表示部３１による画面の表示中、利用者の操作により、データ表示要求部３２が、データ閲覧のアクセス要求を管理者装置２０に送信する（ＳＴ１）。管理者装置２０においては、アクセス要求を受けると、認証要求部２６が認証要求を利用者装置３０に送信する（ＳＴ２）。この認証要求は、データ閲覧可能な利用者であることと、権限レベルとを確認するためのものである。
【００１３】
利用者装置３０は、認証要求に基づいて画面表示部３１が認証画面を表示する（ＳＴ３）。画面表示部３１は、例えば利用者ＩＤとパスワードの入力画面を表示する。利用者装置３０においては、利用者による認証情報入力部３３の操作により、認証子である利用者ＩＤとパスワードが入力されると（ＳＴ４）、これら認証子を管理者装置２０に送信する（ＳＴ５）。
【００１４】
管理者装置２０においては、この認証子を認証検証部２７が認証情報部２１に基づいて検証することにより（ＳＴ６）、データ閲覧可能な利用者であるかを確認し、さらに権限レベルを確認する（ＳＴ７）。この確認結果は、アクセス制御部２８に通知される。
【００１５】
確認終了後、管理者装置２０においては、アクセス制御部２８が認証結果を利用者装置３０へ送信する（ＳＴ８）。利用者装置３０は、認証結果と共に、閲覧可能なデータをメニュー表示する。ここで、閲覧可能なデータの表示は、少なくとも権限レベルを含んでおり、さらにデータＩＤを含んでもよい。データＩＤを含む場合、例えば、予めステップＳＴ８において、アクセス制御部２８が閲覧可能なデータのデータＩＤを更に送信すればよい。
【００１６】
利用者装置３０は、利用者の操作により、閲覧要求を管理者装置に送信する（ＳＴ９）。管理者装置２０においては、アクセス制御部２８が、閲覧要求に該当するデータ要求をＤＢ装置１０に送信する（ＳＴ１０）。ここで、データ要求は、少なくとも権限レベルを含んでおり、さらにデータＩＤを含んでもよい。
【００１７】
ＤＢ装置１０においては、データ要求を受けると、データ復号部１４が、該当する暗号化データを検索し（ＳＴ１１）、暗号鍵管理部１３が、権限レベルに相当する暗号鍵を暗号鍵格納部１１から読み出して（ＳＴ１２）データ復号部１４に送出する。データ復号部１４は、この暗号鍵に基づいて、検索した暗号化データを復号する（ＳＴ１３）。しかる後、ＤＢ装置は、復号したデータを管理者装置２０に送信し（ＳＴ１４）、管理者装置は、このデータを利用者装置３０に送信する（ＳＴ１５）。利用者装置３０は、受信したデータを表示する（ＳＴ１６）。
【００１８】
以上のようなデータ閲覧システムは、図４２に示すように、管理者装置２０の暗号鍵管理部２３、暗号鍵生成部２４及びデータ暗号化部２５を省略し、この暗号鍵生成部２４に相当する暗号鍵生成部１５と、データ暗号化部２５に相当するデータ暗号化部１６とをＤＢ装置１０が備えた構成に変形してもよい。
【００１９】
なお、この出願に関係する先行技術文献情報は以下の通りである。
【非特許文献１】宮地充子，菊池浩明編著，「情報セキュリティ」，オーム社，ＩＳＢＮ４−２７４−１３２８４−６，ｐｐ．１０３−１０７
【非特許文献２】岡本龍明，山本博資 著，「現代暗号」，産業図書，ＩＳＢＮ４−７８２８−５３５３−Ｘ， ｐｐ．２０９−２１９
【非特許文献３】A. Shamir: “How to share a secret”, Communications of the ACM, vol.22, no.11, pp.612-613 (Nov. 1979)
【発明の開示】
【発明が解決しようとする課題】
【００２０】
しかしながら以上のようなデータ閲覧システムは、通常は何の問題も無いが、本発明者の検討によれば、暗号鍵又は暗号化データの安全性が不十分であると考えられる。例えばＤＢ装置１０が内部の管理者又は外部の攻撃者から不正アクセスを受けた場合、ＤＢ装置１０に格納された暗号鍵が外部に漏洩してしまう可能性がある。同様に、暗号鍵が漏洩した場合、ＤＢ装置１０に格納された暗号化データも漏洩する可能性が高いと考えられる。
【００２１】
本発明は上記実情を考慮してなされたもので、暗号鍵により電子データが暗号化されてなる暗号化データを閲覧権限に応じて復号し、閲覧可能とする際に、暗号鍵の安全性を向上し得るデータ閲覧システム、装置及びプログラムを提供することを目的とする。
【００２２】
本発明の他の目的は、閲覧権限に応じて電子データを閲覧可能とする際に、電子データの安全性を向上し得るデータ閲覧システム、装置及びプログラムを提供することを目的とする。
【課題を解決するための手段】
【００２３】
第１の発明は、閲覧権限に応じた電子データが閲覧権限に応じた暗号鍵により暗号化されてなる暗号化電子データを、閲覧権限に応じた暗号鍵により復号して出力可能な電子データ閲覧システムであって、秘密情報が分散されてなるｎ個の分散情報のうちのｋ個の分散情報から元の秘密情報を復元可能な（ｋ，ｎ）型の秘密分散方式に基づいて、前記暗号鍵からｎ個の分散鍵を生成する分散鍵生成手段と、前記ｎ個の分散鍵をそれぞれ閲覧権限情報に関連付けて記憶する複数の分散鍵記憶手段と、利用者認証情報及び閲覧権限情報を互いに関連付けて記憶する権限記憶手段と、利用者認証情報を受信すると、当該利用者認証情報を前記権限記憶手段を参照して認証する利用者認証手段と、この認証結果が正当の場合、前記利用者認証情報の送信元から１個の分散鍵を受けると、前記権限記憶手段内の当該利用者認証情報に関連する閲覧権限情報に基づいて、前記各分散鍵記憶手段からｋ−１個の分散鍵を読み出す分散鍵読出手段と、受けた１個の分散鍵及び読み出されたｋ−１個の分散鍵から（ｋ，ｎ）型の秘密分散方式に基づいて、前記暗号鍵を復元する暗号鍵復元手段と、復元された暗号鍵により、この暗号鍵の閲覧情報に応じた暗号化電子データを復号する電子データ復号手段と、復号された電子データを前記利用者認証情報の送信元に出力する電子データ出力手段とを備えた電子データ閲覧システムである。
【００２４】
第２の発明は、閲覧権限に応じた電子データを出力可能な電子データ閲覧システムであって、秘密情報が分散されてなるｎ個の分散情報のうちのｋ個の分散情報から元の秘密情報を復元可能な（ｋ，ｎ）型の秘密分散方式に基づいて、前記電子データからｎ個の分散データを生成する分散データ生成手段と、前記ｎ個の分散データをそれぞれ閲覧権限情報に関連付けて記憶する複数の分散データ記憶手段と、利用者認証情報及び閲覧権限情報を互いに関連付けて記憶する権限記憶手段と、利用者認証情報を受信すると、当該利用者認証情報を前記権限記憶手段を参照して認証し、得られた認証結果と前記権限記憶手段内の当該利用者認証情報に関連する閲覧権限情報とを送出する利用者認証手段と、前記利用者認証手段から認証結果及び閲覧権限情報を受けると、この認証結果が正当の場合、当該閲覧権限情報に基づいて、前記各分散データ記憶手段からｋ個の分散データを読み出す分散データ読出手段と、読み出されたｋ個の分散データから（ｋ，ｎ）型の秘密分散方式に基づいて、電子データを復元する電子データ復元手段と、復元された電子データを出力する電子データ出力手段とを備えた電子データ閲覧システムである。
【００２５】
なお、第１及び第２の発明は、各手段の集合体を「システム」として表現したが、これに限らず、各手段の集合体を「装置」、「方法」、「プログラム」又は「コンピュータ読み取り可能な記憶媒体」として表現してもよい。また、第１及び第２の発明は、各手段の集合体を「システム」として表現したが、これに限らず、各手段の任意の組合せを複数の装置に分散して配置した場合の装置毎に、「装置」、「方法」、「プログラム」又は「コンピュータ読み取り可能な記憶媒体」として表現してもよい。
【００２６】
（作用）
第１の発明においては、暗号鍵により電子データが暗号化されてなる暗号化データを閲覧権限に応じて復号し、閲覧可能とする際に、暗号鍵を秘密分散法により分散させた構成により、暗号鍵の安全性を向上させることができる。
【００２７】
第２の発明においては、閲覧権限に応じて電子データを閲覧可能とする際に、電子データを秘密分散法により分散させた構成により、電子データの安全性を向上させることができる。
【発明の効果】
【００２８】
以上説明したように本発明によれば、暗号鍵により電子データが暗号化されてなる暗号化データを閲覧権限に応じて復号し、閲覧可能とする際に、暗号鍵の安全性を向上できる。また、閲覧権限に応じて電子データを閲覧可能とする際に、電子データの安全性を向上できる。
【発明を実施するための最良の形態】
【００２９】
以下、本発明の各実施形態を図面を用いて説明する。なお、以下の各装置は、各装置毎に、ハードウェア構成、又はハードウェア資源とソフトウェアとの組合せ構成のいずれでも実施可能となっている。組合せ構成のソフトウェアとしては、予めネットワーク又は記憶媒体から対応する装置のコンピュータにインストールされ、対応する装置の機能を実現させるためのプログラムが用いられる。
【００３０】
（第１の実施形態）
次に、本発明の第１の実施形態について説明する。第１の実施形態は、閲覧権限に応じた電子データが閲覧権限に応じた暗号鍵により暗号化されてなる暗号化電子データを閲覧権限に応じた暗号鍵により復号して出力可能な電子データ閲覧システムにおいて、暗号鍵を秘密分散する構成により、暗号鍵の漏えいの防止と、閲覧権限によるデータの閲覧制御とを同時に行うものである。
【００３１】
図１は本発明の第１の実施形態に係る電子データ閲覧システムの構成を示す模式図である。この電子データ閲覧システムは、データベース（ＤＢ）装置１００、管理者装置２００及び利用者装置３００が互いにネットワークを介して接続されている。
【００３２】
ここで、ＤＢ装置１００は、認証情報部１０１、暗号化データ部１０２、分散鍵記憶部１０３ａ〜１０３ｉ、認証要求部１０４、認証検証部１０５、アクセス制御部１０６、暗号鍵管理部１０７、暗号鍵生成部１０８、暗号鍵分散部１０９、分散鍵管理部１１０、データ暗号化部１１１及びデータ復号部１１２を備えている。
【００３３】
認証情報部１０１は、管理者装置２００から書込可能で且つ認証検証部１０５から読出可能な記憶装置であり、利用者ＩＤ及びパスワード及び権限レベルを互いに関連付けて記憶する。なお、利用者ＩＤ及びパスワードは認証子（利用者認証情報）に対応し、権限レベルは閲覧権限情報に対応する。
【００３４】
暗号化データ部１０２は、データ暗号化部１１１から暗号化データが書込可能で且つデータ復号部１１２から読出可能な記憶装置であり、電子データが暗号鍵により暗号化されてなる暗号化データを記憶する。
【００３５】
分散鍵記憶部１０３ａ〜１０３ｉは、分散鍵管理部１１０から読出／書込可能な記憶装置であり、ｎ個の分散鍵をそれぞれ権限レベルに関連付けて記憶する。なお、分散鍵記憶部１０３ａ〜１０３ｉは、図２に示すように、ＤＢ装置１００とは別に設けた複数の分散鍵管理装置１２０ａ〜１２０ｃに分散して配置されてもよい。分散鍵記憶部１０３ａ〜１０３ｉが複数の分散鍵管理装置１２０ａ〜１２０ｃに分散配置されてもよいことは、後述する変形例（図５〜図１８）でも同様である。
【００３６】
認証要求部１０４は、利用者装置３００からアクセス要求を受けると、認証要求を利用者装置３００に送信する機能をもっている。
【００３７】
認証検証部１０５は、利用者装置３００から認証子（利用者ＩＤ及びパスワード）を受けると、当該認証子を認証情報部１０１を参照して認証する機能と、少なくとも認証結果をアクセス制御部１０６に送出する機能とをもっている。
【００３８】
アクセス制御部１０６は、認証検証部１０５から受けた認証結果が正当の場合、認証結果と、閲覧可能なデータＩＤのリストとを利用者装置３００に送信する機能とをもっている。ここで、閲覧可能なデータＩＤのリストは、認証結果と共に権限レベルを受けない場合、認証結果に含まれる利用者ＩＤに基づいて、「認証情報部１０１内の権限レベル」及び「暗号化データ部１０２内の権限レベルとデータＩＤ」を参照して作成すればよい。また、認証結果と共に権限レベルを受ける場合には、この権限レベルに基づいて暗号化データ部１０２を参照して作成すればよい。
【００３９】
暗号鍵管理部１０７は、図３に示すように、暗号鍵生成部１０８から受けた暗号鍵を示す暗号鍵ＩＤを権限レベルに関連付けて記憶する機能と、暗号鍵をデータ暗号化部１１１に送出する機能と、暗号鍵を暗号鍵分散部１０９に送出する機能と、認証子の認証結果が正当の場合、利用者装置３００から閲覧要求に含まれる１個の分散鍵を受けると、認証情報部１０１内の当該認証子に関連する権限レベルに基づいて、分散鍵記憶部１０３からｋ−１個の分散鍵を読み出す機能と、これらｋ個の分散鍵から（ｋ，ｎ）型の秘密分散方式に基づいて、暗号鍵を復元する機能をもっている。
【００４０】
暗号鍵生成部１０８は、権限レベルに応じた暗号鍵及び暗号鍵ＩＤを生成する機能と、これら権限レベル、暗号鍵及び暗号鍵ＩＤを暗号鍵管理部１０７に送出する機能とをもっている。
【００４１】
暗号鍵分散部１０９は、秘密情報が分散されてなるｎ個の分散情報のうちのｋ個の分散情報から元の秘密情報を復元可能な（ｋ，ｎ）型の秘密分散方式に基づいて、暗号鍵管理部１０７から受けた暗号鍵からｎ個の分散鍵を生成する機能と、生成した分散鍵を分散鍵管理部１１０を介して個別に分散鍵記憶部１０３ａ〜１０３ｉに書き込む機能とをもっている。
【００４２】
分散鍵管理部１１０は、暗号鍵分散部１０９から受けた分散鍵を、暗号鍵管理部１０７から受けた暗号鍵ＩＤ及び権限レベルに関連付けて分散鍵記憶部１０３ａ〜１０３ｉに書き込む機能と、指定された暗号鍵ＩＤ及び権限レベルに基づいて分散鍵記憶部１０３ａ〜１０３ｉから分散鍵を読み出す機能とをもっている。
【００４３】
データ暗号化部１１１は、暗号鍵管理部１０７から受けた暗号鍵に基づいて、電子データを暗号化する機能と、得られた暗号化データを暗号化データ部１０２に書き込む機能とをもっている。
【００４４】
データ復号部１１２は、復元された暗号鍵により、この暗号鍵の閲覧情報に応じた暗号化電子データを復号する機能と、復号した電子データを利用者装置２００に送信する機能とをもっている。
【００４５】
管理者装置２００は、アクセス設定部２０２を備えている。
【００４６】
アクセス設定部２０２は、管理者の操作により、利用者ＩＤ、パスワード及び権限レベルをＤＢ装置１００内の認証情報部１０１に設定する機能をもっている。
【００４７】
利用者装置３００は、分散鍵記憶部３０１、画面表示部３０２、データ表示要求部３０３、認証情報入力部３０４及び分散鍵管理部３０５を備えている。
【００４８】
分散鍵記憶部３０１は、分散鍵管理部３０５から読出／書込可能な記憶装置であり、分散鍵ＳＫ1,1、権限レベル及び暗号鍵ＩＤを互いに関連付けて記憶する。
【００４９】
画面表示部３０２は、ＤＢ装置１００から受けた認証要求を表示する機能と、ＤＢ装置１００から受信した電子データを表示する機能とをもっている。
【００５０】
データ表示要求部３０３は、利用者の操作により、ＤＢ装置１００を参照するためのアクセス要求をＤＢ装置１００へ送信する機能をもっている。
【００５１】
認証情報入力部３０４は、利用者の操作により、入力された利用者ＩＤ及びパスワードを認証子としてＤＢ装置１００に送信する機能をもっている。
【００５２】
分散鍵管理部３０５は、ＤＢ装置１００から受けた分散鍵ＳＫ1,1、権限レベル及び暗号鍵ＩＤを互いに関連付けて分散鍵記憶部３０１に書き込む機能と、利用者の操作により、リスト内のデータＩＤ及び分散鍵記憶部３０１内の分散鍵ＳＫ1,1を含む閲覧要求をＤＢ装置１００に送信する機能とをもっている。
【００５３】
次に、以上のように構成された電子データ閲覧システムの動作を図４のシーケンス図を用いて説明する。
【００５４】
始めに、管理者装置２００では、管理者によるアクセス設定部２０２の操作により、利用者ＩＤ、パスワード及び権限レベルをＤＢ装置１００内の認証情報部１０１に設定する（ＳＴ２１〜ＳＴ２２）。認証情報部１０１は、図４０に示したように、利用者ＩＤ、パスワード及び権限レベルを互いに関連付けて格納する（ＳＴ２３）。
【００５５】
次に、ＤＢ装置１００では、暗号鍵生成部１０８が暗号鍵を生成し（ＳＴ２４）、この暗号鍵を暗号鍵管理部１０７に送出する。暗号鍵管理部１０７は、この暗号鍵を示す暗号鍵ＩＤを権限レベルに関連付けて記憶する。なお、暗号鍵ではなく暗号鍵ＩＤを記憶する理由は、暗号鍵が秘密分散されるので、暗号鍵を記憶する必要が無いためである。また、暗号鍵管理部１０７は、暗号鍵をデータ暗号化部１１１に送出する。
【００５６】
次に、データ暗号化部１１１は、この暗号鍵に基づいて、電子データを暗号化する（ＳＴ２５）。例えば図３９に示したように、権限レベル１のデータは、暗号鍵ＩＤが００１の鍵で暗号化する。同様に、権限レベル２のデータは暗号鍵ＩＤが００２の鍵で、権限レベル３のデータは暗号鍵ＩＤが００３の鍵で暗号化する。データ暗号化部１１１は、得られた暗号化データを暗号化データ部１０２に格納し、格納完了を暗号鍵管理部１０７に通知する。暗号鍵管理部１０７は、この通知により、暗号鍵を暗号鍵分散部１０９に送出する一方、暗号鍵を示す暗号鍵ＩＤ及び権限レベルを分散鍵管理部１１０に送出する。
【００５７】
次に、暗号鍵分散部１０９は、暗号鍵管理部１０７から受けた暗号鍵を秘密分散する（ＳＴ２６）。本実施形態では、権限レベル１〜３に応じた３種類の暗号鍵ＳＫ１〜ＳＫ３をそれぞれ秘密分散する。
【００５８】
ここで、暗号鍵の秘密分散方法について、具体的な例を示す。なお、本実施形態で示す暗号鍵の秘密分散は一例であり、他の秘密分散法を用いても実現できる。秘密分散法についての詳しい説明は、非特許文献１〜３に記載されている。
【００５９】
（暗号鍵の秘密分散）
準備として、非特許文献３記載のシャミア（Shamir)の（ｋ，ｎ）型秘密分散法において、しきい値ｋを２、分散数ｎを３とする。
【００６０】
秘密となる元データを暗号鍵Ｓｋ1とする。暗号鍵分散部１０９は、（ｋ，ｎ）型秘密分散法に基づいて、１次多項式ｆ（ｘ）＝ａｘ＋Ｓｋ1（ｍｏｄ ｐ）を生成する。ここで、（ｍｏｄ ｐ）はｐで割った余りの数を表し、元データやａよりも大きな数とする。
【００６１】
具体的には、暗号鍵分散部１０９は、次の１次多項式ｆ（１）〜ｆ（３）を求める。
【００６２】
ｆ（１）＝ ａ＋Ｓｋ1（ｍｏｄ ｐ）
ｆ（２）＝２ａ＋Ｓｋ1（ｍｏｄ ｐ）
ｆ（３）＝３ａ＋Ｓｋ1（ｍｏｄ ｐ）
暗号鍵分散部１０９は、得られた１次多項式ｆ（１）、ｆ（２）、ｆ（３）を、それぞれ分散鍵Ｓｋ1,1（＝ｆ（１））、分散鍵Ｓｋ1,2（＝ｆ（２））、分散鍵Ｓｋ1,3（＝ｆ（３））とし、暗号鍵管理部１０７に送る。暗号鍵管理部１０７は、これら分散鍵Ｓｋ1,1，Ｓｋ1,2，Ｓｋ1,3を分散鍵管理部１１０を介して個別に分散鍵記憶部１０３ａ〜１０３ｃに格納する（ＳＴ２７）。このとき、分散鍵記憶部１０３ａ〜１０３ｃには、分散鍵、暗号鍵ＩＤ及び権限レベルが互いに関連付けられて分散管理部１１０から書き込まれる。
【００６３】
暗号鍵分散部１０９は、暗号鍵Ｓｋ２やＳｋ３についても同様に秘密分散を行い、分散鍵Ｓｋ2,1、Ｓｋ2,2、Ｓｋ2,3、Ｓｋ3,1、Ｓｋ3,2、Ｓｋ3,3を求め、暗号鍵管理部１０７に送る。暗号鍵管理部１０７は、同様に、これら分散鍵Ｓｋ2,1，…，Ｓｋ3,3を分散鍵管理部１１０を介して分散鍵記憶部１０３ｄ〜１０３ｉに格納する（ＳＴ２７）。
【００６４】
しかる後、暗号鍵管理部１０７は、利用者の権限レベルに応じた分散鍵の一つを権限レベル及び暗号鍵ＩＤと共に利用者装置３００に送信する（ＳＴ２８）。本実施形態では、権限レベル１の利用者の利用者装置３００に送信する分散鍵をＳｋ1,1とし、権限レベル２の利用者の利用者装置３００に送信する分散鍵をＳｋ2,1とし、権限レベル３の利用者の利用者装置３００に送信する分散鍵をＳｋ3,1とする。
【００６５】
なお、利用者装置３００に渡す分散鍵は、同じ権限レベルの利用者装置同士にはそれぞれ同じ分散鍵を渡す方がよい。理由は、異なる分散鍵を異なる利用者装置に渡した場合、利用者同士が結託して、元の暗号鍵を復元する恐れがあるからである。また、渡す分散鍵は、ＳＳＬ(Secure Socket Layer)などの秘匿通信を用いて利用者に送るなど、安全に渡すことが好ましい。なぜなら、本実施形態では利用者の認証はＩＤとパスワードで行い、秘密分散された暗号鍵を提示することで正しい利用者であることを識別することを想定している。このため、秘密分散された暗号鍵が誰もが入手可能であると、ＩＤとパスワードが漏えいした場合になりすましが容易になる。ＩＤやパスワードに代わる強固な利用者認証でなりすましが困難である方式を用いるならば、秘密分散された暗号鍵の管理を簡便にしてもよい。
【００６６】
利用者装置３００では、分散鍵管理部３０５により、受信した分散鍵ＳＫ1,1、権限レベル及び暗号鍵ＩＤを分散鍵記憶部３０１に格納する（ＳＴ２９）。
以上により、利用者登録が完了する。
【００６７】
次に、利用者装置３００は、利用者の操作により、ＤＢ装置１００を参照するためのアクセス要求をデータ表示要求部３０３からＤＢ装置１００へ送信する（ＳＴ３０）。
【００６８】
ＤＢ装置１００では、アクセス要求を認証要求部１０４で受けると、認証要求部１０４が認証要求を利用者装置３００に送信する（ＳＴ３１）。
【００６９】
利用者装置３００では、認証要求を受けると、画面表示部３０２にて認証要求を受けたことを表示する（ＳＴ３２）。利用者装置３００では、利用者による認証情報入力部３０４の操作により、利用者ＩＤ及びパスワードが入力されると（ＳＴ３３）、これら利用者ＩＤ及びパスワードを認証子としてＤＢ装置１００に送信する（ＳＴ３４）。例えば、図３９の権限レベル１の利用者の場合、利用者ＩＤ＊＊＊００１及びパスワードgiaw439aseが認証子としてＤＢ装置１００に送信される。
【００７０】
ＤＢ装置１００は、認証子を受けると、認証検証部１０５が、この認証子を認証情報部１０１内の利用者ＩＤ及びパスワードと照合して検証し（ＳＴ３５）、権限レベルを確認する（ＳＴ３６）。そして、アクセス制御部１０６は、認証結果と、閲覧可能なデータＩＤのリストとを利用者装置３００に送信する（ＳＴ３７）。
【００７１】
利用者装置３００は、利用者の操作により、リスト内のデータＩＤ及び分散鍵記憶部３０１内の分散鍵ＳＫ1,1を含む閲覧要求をＤＢ装置１００に送信する（ＳＴ３８）。
【００７２】
ＤＢ装置１００は、閲覧要求内のデータＩＤに基づいて暗号化データ部１０２から暗号化データを検索する（ＳＴ３９）。また、暗号鍵管理部１０７は、閲覧要求内の分散鍵ＳＫ1,1とは異なる分散鍵ＳＫ1,2を分散鍵記憶部１０３ｂから読出し、これらｋ個の分散鍵ＳＫ1,1，ＳＫ1,2に基づいて、暗号鍵ＳＫ１を復元する（ＳＴ４０）。
【００７３】
暗号鍵の復元は、以下の手順で行われる。
【００７４】
（暗号鍵の復元）
具体例として非特許文献３記載のシャミアらの（ｋ，ｎ）型の秘密分散方式と具体例を用いて詳細に示す。ここで示す具体例は、権限レベル１の利用者の暗号鍵を復元する場合である。
【００７５】
暗号鍵管理部１０７は、利用者装置３００から受けた分散鍵Ｓｋ1,1と、分散鍵記憶部１０３ｂから読み出した分散鍵Ｓｋ1,2を準備する。なお、分散鍵Ｓｋ1,1，Ｓｋ1,2は、次式のように表される。
【００７６】
Ｓｋ1,1＝ｆ（１）＝ ａ＋Ｓｋ1（ｍｏｄ ｐ）
Ｓｋ1,2＝ｆ（２）＝２ａ＋Ｓｋ1（ｍｏｄ ｐ）
暗号鍵管理部１０７は、（ｋ，ｎ）型の秘密分散法に基づいて、分散鍵Ｓｋ1,1，Ｓｋ1,2から暗号鍵ＳＫ1を復元する。上記の場合、二つの式の連立方程式を解けば暗号鍵ＳＫ1が復元される。
【００７７】
データ復号部１１２は、この暗号鍵Ｓｋ1に基づいて、暗号化データ部１０２内の暗号化データを復号し（ＳＴ４１）、得られた復号データ（電子データ）を利用者装置３００へ送信する（ＳＴ４２）。
【００７８】
利用者装置３００は、受信した電子データを画面表示部３０２にて表示する（ＳＴ４３）。
【００７９】
上述したように本実施形態によれば、暗号鍵により電子データが暗号化されてなる暗号化データを閲覧権限に応じて復号し、閲覧可能とする際に、暗号鍵を秘密分散法によりｎ個の分散鍵に分散した構成により、暗号鍵の安全性を向上させることができる。
【００８０】
また、利用者装置３００から受けた分散鍵を用いて暗号鍵を復元する構成により、内部の管理者等からの不正アクセスに対し、より一層、安全性を向上させることができる。
【００８１】
なお、以上のような第１の実施形態は、ＤＢ装置１００が、認証機能、データ暗号化機能及び鍵分散機能を全て備えていたが、これに限らず、認証機能、データ暗号化機能及び鍵分散機能を任意の組み合わせで管理者装置２００に備えた構成に変形してもよい。このような変形例について以下に説明する。
【００８２】
＜第１の変形例：認証機能を管理者装置２００に備える例＞
第１の実施形態における第１の変形例は、図５に示すように、認証情報部１０１、認証要求部１０４、認証検証部１０５及びアクセス制御部１０６をＤＢ装置１００から省略し、省略した各部１０１，１０４〜１０６に相当する認証情報部２０１、認証要求部２０４、認証検証部２０５及びアクセス制御部２０６を管理者装置２００に備えている。
【００８３】
このような構成によれば、第１の実施形態の効果に加え、図６に示すように、破線で囲まれた権限レベル設定（ＳＴ２１ｍａ）、格納（ＳＴ２３ｍａ）、アクセス要求受信（ＳＴ３０ｍａ）、認証要求送信（ＳＴ３１ｍａ）、認証子受信（ＳＴ３４ｍａ）、認証子検証（ＳＴ３５ｍａ）、権限レベル確認（ＳＴ３６ｍａ）、認証結果及び閲覧可能データリスト送信（ＳＴ３７ｍａ）を管理者装置２００が実行する変形例を実現することができる。
【００８４】
＜第２の変形例：データ暗号化機能を管理者装置２００に備える例＞
第１の実施形態における第２の変形例は、図７に示すように、暗号鍵生成部１０８及びデータ暗号化部１１１をＤＢ装置１００から省略し、暗号鍵管理部１０７に相当する暗号鍵管理部２０７と、省略した各部１０８，１１１に相当する暗号鍵生成部２０８及びデータ暗号化部２１１を管理者装置２００に備えている。
【００８５】
このような構成によれば、第１の実施形態の効果に加え、図８に示すように、破線で囲まれた暗号鍵生成（ＳＴ２４ｍａ）、データ暗号化（ＳＴ２５ｍａ−１）、暗号鍵及び暗号化データ送信（ＳＴ２５ｍａ−２）を管理者装置２００が実行する変形例を実現することができる。
【００８６】
＜第３の変形例：鍵分散機能を管理者装置２００に備える例＞
第１の実施形態における第３の変形例は、図９に示すように、暗号鍵生成部１０８及び暗号鍵分散部１０９をＤＢ装置１００から省略し、暗号鍵管理部１０７に相当する暗号鍵管理部２０７と、省略した各部１０８，１０９に相当する暗号鍵生成部２０８及び暗号鍵分散部１０９を管理者装置２００に備えている。
【００８７】
このような構成によれば、第１の実施形態の効果に加え、図１０に示すように、破線で囲まれた暗号鍵生成（ＳＴ２４ｍａ）、暗号鍵秘密分散（ＳＴ２６ｍａ−１）、分散鍵送信（ＳＴ２６ｍａ−２）を管理者装置２００が実行し、分散鍵から復号した暗号鍵によるデータ暗号化（ＳＴ２５ｄｂ）をＤＢ装置１００が実行する変形例を実現することができる。
【００８８】
＜第４の変形例：認証機能とデータ暗号化機能を管理者装置２００に備える例＞
第１の実施形態における第４の変形例は、図１１に示すように、第１及び第２の変形例を組み合わせたものであり、認証機能とデータ暗号化機能を管理者装置２００が備えている。このような構成によれば、第１の実施形態の効果に加え、図１２に示すように、破線で囲まれた認証機能とデータ暗号化機能を管理者装置２００が実行する変形例を実現することができる。
【００８９】
＜第５の変形例：認証機能と鍵分散機能を管理者装置２００に備える例＞
第１の実施形態における第５の変形例は、図１３に示すように、第１及び第３の変形例を組み合わせたものであり、認証機能と鍵分散機能を管理者装置２００が備えている。このような構成によれば、第１の実施形態の効果に加え、図１４に示すように、破線で囲まれた認証機能と鍵分散機能を管理者装置２００等が実行する変形例を実現することができる。
【００９０】
＜第６の変形例：データ暗号化機能と鍵分散機能を管理者装置２００に備える例＞
第１の実施形態における第６の変形例は、図１５に示すように、第２及び第３の変形例を組み合わせたものであり、データ暗号化機能と鍵分散機能を管理者装置２００が備えている。このような構成によれば、第１の実施形態の効果に加え、図１６に示すように、破線で囲まれたデータ暗号化機能と鍵分散機能を管理者装置２００が実行する変形例を実現することができる。
【００９１】
＜第７の変形例：認証機能、データ暗号化機能及び鍵分散機能を管理者装置２００に備える例＞
第１の実施形態における第７の変形例は、図１７に示すように、第１〜第３の変形例を組み合わせたものであり、認証機能、データ暗号化機能及び鍵分散機能を管理者装置２００が備えている。このような構成によれば、第１の実施形態の効果に加え、図１８に示すように、破線で囲まれた認証機能、データ暗号化機能及び鍵分散機能を管理者装置２００等が実行する変形例を実現することができる。
【００９２】
（第２の実施形態）
次に、本発明の第２の実施形態について説明する。第２の実施形態は、閲覧権限に応じた電子データを出力可能な電子データ閲覧システムにおいて、閲覧される電子データを閲覧権限に応じて秘密分散する構成により、電子データの安全性を向上させるものである。
【００９３】
図１９は本発明の第２の実施形態に係る電子データ閲覧システムの構成を示す模式図である。この電子データ閲覧システムにおいては、利用者装置３００、３台のＤＢ装置５００ａ〜５００ｃ及びデータベース（ＤＢ）管理装置６００が互いにネットワークを介して接続されている。
【００９４】
ここで、利用者装置３００は、画面表示部３０２、データ表示要求部３０３及び認証情報入力部３０４を備えている。
【００９５】
画面表示部３０２は、ＤＢ管理装置６００から受けた認証要求を表示する機能と、ＤＢ管理装置６００から受信した電子データを表示する機能とをもっている。
【００９６】
データ表示要求部３０３は、利用者の操作により、ＤＢ装置５００ａ〜５００ｃを参照するためのアクセス要求をＤＢ管理装置６００へ送信する機能をもっている。
【００９７】
認証情報入力部３０４は、利用者の操作により、パスワードをＤＢ公開鍵により暗号化し、得られた暗号化認証子をＤＢ管理装置６００に送信する機能をもっている。認証情報入力部３０４は、利用者の操作により、パスワードをＤＢ公開鍵により暗号化せずにそのままＤＢ管理装置６００に送信しても良い。
【００９８】
ＤＢ装置５００ａ〜５００ｃは、互いに同一構成のため、ここではＤＢ装置５００ａを代表例に挙げて説明する。ＤＢ装置５００ａは、認証情報部５０１ａ、秘密分散データ部５０３ａ、認証検証部５０５ａ及びアクセス制御部５０６ａを備えている。
【００９９】
認証情報部５０１ａは、ＤＢ管理装置６００から書込可能で且つ認証検証部５０５ａから読出可能な記憶装置であり、暗号化利用者ＩＤ及び暗号化パスワード及び権限レベルを互いに関連付けて記憶する。なお、暗号化パスワードは、パスワードがＤＢ公開鍵により暗号化されたものであり、ＤＢ装置５００ａ，…，毎のＤＢ秘密鍵により復号可能となっている。利用者ＩＤ及びパスワードは認証子（利用者認証情報）に対応し、権限レベルは閲覧権限情報に対応する。
【０１００】
秘密分散データ部５０３ａは、アクセス制御部５０６ａから読出／書込可能な記憶装置であり、データＩＤ、権限レベル及び分散データが互いに関連付けて記憶されている。例えば図２０に示すように、データＩＤとしては顧客番号が記憶されている。データＩＤは、顧客からの問い合わせに対して秘密分散データ部５０３ａを検索するための検索キーとして機能するので、暗号化されない。分散データとしては、権限レベル１に応じて秘密分散された「姓、名」と、権限レベル２に応じて秘密分散された「住所」と、権限レベル３に応じて秘密分散された「年齢、…、メールアドレス、電話番号、携帯電話番号」とが記憶されている。なお、権限レベル１は、姓と名の情報を閲覧可能な権限である。権限レベル２は、姓と名に加え、住所の情報を閲覧可能な権限である。権限レベル３の利用者は、姓、名、住所に加え、年齢、…、メールアドレス、電話番号及び携帯電話番号の情報を閲覧可能な権限である。すなわち、権限レベルが小さいほど、閲覧可能な電子データの範囲が少ないものとなっている。
【０１０１】
なお、他の秘密分散データ部５０３ｂ，５０３ｃは、図２１又は図２２に示すように、秘密分散データ部５０３ａと同様に、データＩＤ、権限レベル及び暗号化データが互いに関連付けて記憶されている。
【０１０２】
認証検証部５０５ａは、利用者装置３００から暗号化認証子（暗号化された「利用者ＩＤ及びパスワード」）を受けると、暗号化認証子を認証情報部５０１ａ内のＤＢ秘密鍵により復号して認証子（利用者ＩＤ及びパスワード）を得る機能と、この認証子を認証情報部５０１ａ内の利用者ＩＤ及びパスワードと照合して検証し、権限レベルを確認する機能と、認証結果（検証結果）及び権限レベルをアクセス制御部５０６ａに送出する機能とをもっている。
【０１０３】
アクセス制御部５０６ａは、ＤＢ管理装置６００から受けた分散データ、データＩＤ及び権限レベルを互いに関連付けて秘密分散データ部５０３ａに書き込む機能と、認証検証部５０５ａから認証結果及び権限レベルを受けると、当該認証結果が正当の場合、この認証結果と、権限レベルに基づく閲覧可能なデータＩＤのリストとをＤＢ管理装置６００を介して利用者装置３００に送信する機能と、ＤＢ管理装置６００から受けたデータＩＤを含むデータ要求に基づいて、秘密分散データ部５０３ａから読み出した分散データをＤＢ管理装置６００に送信する機能とをもっている。
【０１０４】
データベース（ＤＢ）管理装置６００は、アクセス設定部６０２、認証要求部６０４、秘密分散設定部６１０、秘密分散部６１１及び復元部６１２を備えている。
【０１０５】
アクセス設定部６０２は、管理者の操作により、利用者ＩＤ及び権限レベルを設定し、この利用者ＩＤ及び権限レベルと、予め保持するＤＢ公開鍵とを利用者装置３００に送信する機能をもっている。
【０１０６】
認証要求部６０４は、利用者装置３００からアクセス要求を受けると、認証要求を利用者装置３００に送信する機能と、利用者装置３００から受けたデータＩＤを含む閲覧要求に基づいて、当該データＩＤを含むデータ要求をＤＢ管理装置６００に送信する機能と、ＤＢ装置５００ａ〜５００ｃから読み出した分散データを復元部６１２に送出する機能とをもっている。
【０１０７】
秘密分散設定部６１０は、管理者の操作により、秘密分散対象の電子データとして、閲覧権限に応じて電子データを設定する機能とをもっている。
【０１０８】
秘密分散部６１１は、秘密情報が分散されてなるｎ個の分散情報のうちのｋ個の分散情報から元の秘密情報を復元可能な（ｋ，ｎ）型の秘密分散方式に基づいて、秘密分散設定部６１０に設定された電子データからｎ個の分散データを生成するものであり、得られた分散データをＤＢ装置５００ａ〜５００ｃに送信する機能をもっている。
【０１０９】
復元部６１２は、各ＤＢ装置５００ａ〜５００ｃから読み出されたｋ個の分散データから（ｋ，ｎ）型の秘密分散方式に基づいて、電子データを復元する機能と、復元された電子データを利用者装置３００に送信する機能とをもっている。
【０１１０】
次に、以上のように構成された電子データ閲覧システムの動作を図２３のシーケンス図を用いて説明する。
【０１１１】
始めに、ＤＢ管理装置６００では、管理者によるアクセス設定部６０２の操作により、利用者ＩＤ及び権限レベルを設定する（ＳＴ５１）。アクセス設定部６０２は、利用者ＩＤ及び権限レベルと、ＤＢ公開鍵とを利用者装置３００に送信する（ＳＴ５２）。
【０１１２】
利用者装置３００は、利用者の操作により、パスワードを入力する（ＳＴ５３）。また、利用者装置３００は、このパスワードをＤＢ公開鍵により暗号して暗号化パスワードを生成する（ＳＴ５４）。しかる後、利用者装置３００は、これら利用者ＩＤ、暗号化パスワード及び権限レベルをＤＢ管理装置６００を介してＤＢ装置５００ａ〜５００ｃに送信する（ＳＴ５５）。
【０１１３】
ＤＢ装置５００ａ〜５００ｃは、これら利用者ＩＤ、暗号化パスワード及び権限レベルを互いに関連付けて認証情報部５０１ａ〜５０１ｃに格納する（ＳＴ５６）。
【０１１４】
次に、ＤＢ管理装置６００は、管理者による秘密分散部６１１の操作により、秘密分散設定を行う（ＳＴ５７）。具体的には図２０乃至図２２に示したように、権限レベルに応じて参照できる電子データを括り、それらを一塊の電子データとして秘密分散部６１１にて秘密分散を実施する。例えば図示するように、権限レベル１の姓と名のデータを一塊としてＤ1とし、権限レベル２の住所のデータを一塊としてＤ2とし、権限レベル３の年齢やメールアドレス、電話番号、携帯電話番号などのデータを一塊としてＤ3とする。
【０１１５】
データの秘密分散は、例えば以下の手順で行われる。
【０１１６】
（暗号鍵の秘密分散）
準備として、非特許文献３記載のシャミア（Shamir)の（ｋ，ｎ）型秘密分散法において、しきい値ｋを２、分散数ｎを３とする。
【０１１７】
秘密となる元データをＤとする。秘密分散部６１１は、（ｋ，ｎ）型秘密分散法に基づいて、１次多項式ｆ（ｘ）＝ａｘ＋Ｄ（ｍｏｄ ｐ）を生成する。ここで、（ｍｏｄ ｐ）はｐで割った余りの数を表し、元データやａよりも大きな数とする。
【０１１８】
具体的には、秘密分散部６１１は、次の１次多項式ｆ（１）〜ｆ（３）を求める。
【０１１９】
ｆ（１）＝ ａ＋Ｄ1（ｍｏｄ ｐ）
ｆ（２）＝２ａ＋Ｄ1（ｍｏｄ ｐ）
ｆ（３）＝３ａ＋Ｄ1（ｍｏｄ ｐ）
秘密分散部６１１は、得られた１次多項式ｆ（１）、ｆ（２）、ｆ（３）を、それぞれ分散データＤ1,1（＝ｆ（１））、分散データＤ1,2（＝ｆ（２））、分散データＤ1,3（＝ｆ（３））とし（ＳＴ５８）、ＤＢ装置５００ａ〜５００ｃに送信する（ＳＴ５９）。秘密分散部６１１は、Ｄ2やＤ3も同様に秘密分散を行い、Ｄ2,1、Ｄ2,2、Ｄ2,3、Ｄ3,1、Ｄ3,2、Ｄ3,3を求め、ＤＢ装置５００ａ〜５００ｃに送信する。このとき、分散データは、データＩＤ及び権限レベルと共に送信される。
【０１２０】
ＤＢ装置５００ａ〜５００ｃでは、これら分散データ、データＩＤ及び権限レベルをアクセス制御部５０６を介して個別に秘密分散データ部５０１ａ〜５０１ｃに格納する（ＳＴ６０）。このとき、秘密分散データ部５０１ａ〜５０１ｃには、分散データ、データＩＤ及び権限レベルが互いに関連付けられてアクセス制御部５０６から書き込まれる。
【０１２１】
以上により、利用者登録が完了する。
【０１２２】
次に、利用者装置３００は、利用者の操作により、ＤＢ装置５００ａ〜５００ｃを参照するためのアクセス要求をデータ表示要求部３０３からＤＢ管理装置６００へ送信する（ＳＴ６１）。
【０１２３】
ＤＢ管理装置６００では、アクセス要求を認証要求部６０４で受けると、認証要求部６０４が認証要求を利用者装置３００に送信する（ＳＴ６２）。
【０１２４】
利用者装置３００では、認証要求を受け取ると、画面表示部３０２にて認証要求を受けたことを表示する（ＳＴ６３）。利用者装置３００では、利用者による認証情報入力部３０４の操作により、利用者ＩＤ及びパスワードが入力されると（ＳＴ６４）、これら利用者ＩＤ及びパスワードをＤＢ公開鍵により暗号化し（ＳＴ６５）、得られた暗号化認証子をＤＢ管理装置６００に送信する（ＳＴ６６）。
【０１２５】
ＤＢ管理装置６００は、暗号化認証子を受けると、この暗号化認証子をＤＢ装置５００ａ〜５００ｃのうち、少なくとも２つのＤＢ装置に送信する（ＳＴ６７）。
【０１２６】
以下、ＤＢ装置５００ａのみについて記述するが、他のＤＢ装置５００ｂまたは５００ｃについても同様の処理が行われる。本実施形態では、ＤＢ装置５００ａと５００ｂとを用いることとし、ＤＢ装置５００ｃは予備として用いることとする。
【０１２７】
ＤＢ装置５００ａでは、暗号化認証子を受けると、認証検証部５０５ａが、暗号化認証子を認証情報部５０１ａ内のＤＢ秘密鍵により復号して認証子を得る。次に、認証検証部５０５ａは、この認証子を認証情報部５０１ａ内の利用者ＩＤ及びパスワードと照合して検証し（ＳＴ６８）、権限レベルを確認する（ＳＴ６９）。そして、アクセス制御部５０６ａは、認証結果と、閲覧可能なデータＩＤのリストとを利用者装置３００に送信する（ＳＴ７０）。
【０１２８】
利用者装置３００は、利用者の操作により、リスト内のデータＩＤを含む閲覧要求をＤＢ管理装置６００に送信する（ＳＴ７１）。ＤＢ管理装置６００は、このデータＩＤを含むデータ要求をＤＢ装置５００ａ，５００ｂに送信する（ＳＴ７２）。
【０１２９】
ＤＢ装置５００ａ，５００ｂは、データ要求内のデータＩＤに基づいて秘密分散データ部５０１ａ，５０１ｂから分散データを検索し（ＳＴ７３）、得られた分散データＤ1,1、Ｄ1,2をＤＢ管理装置６００に送信する。
【０１３０】
ＤＢ管理装置６００は、分散データＤ1,1、Ｄ1,2を受信すると（ＳＴ７４）、復元部６１２にて秘密分散されたデータを復元する（ＳＴ７５）。
【０１３１】
秘密分散されたデータの復元は、以下の手順で行われる。
【０１３２】
（暗号鍵の復元）
具体例として非特許文献３記載のシャミアらの（ｋ，ｎ）秘密分散方式と具体例を用いて詳細に示す。ここで示す具体例は、権限レベル１の利用者の暗号鍵を復元する場合である。
【０１３３】
復元部６１２は、受けた分散データＤ1,2，Ｄ1,2を準備する。なお、分散データＤ1,1，Ｄ1,2は、次式のように表される。
【０１３４】
Ｄ1,1＝ｆ（１）＝ ａ＋Ｄ1（ｍｏｄ ｐ）
Ｄ1,2＝ｆ（２）＝２ａ＋Ｄ1（ｍｏｄ ｐ）
復元部６１２は、（ｋ，ｎ）型の秘密分散法に基づいて、分散データＤ1,1，Ｄ1,2から元データＤ1を復元する。上記の場合、二つの式の連立方程式を解けば元データＤ1が復元される。
【０１３５】
ＤＢ管理装置６００は、復元されたデータＤ1をネットワーク４００を通じて利用者装置３００へ送信する（ＳＴ７６）。
【０１３６】
利用者装置３００は、復元されたデータＤ１を受けると、このデータＤ１を画面表示部３０２にて表示する（ＳＴ７７）。
【０１３７】
なお、ＤＢ装置５００ａまたは５００ｂのどちらかが故障してデータが取り出せない、またはデータが事故などで消失した場合でも、ＤＢ装置５００ｃを用いてデータを復元することが可能である。
【０１３８】
上述したように本実施形態によれば、閲覧権限に応じて電子データを閲覧可能とする際に、電子データを秘密分散法により分散させた構成により、電子データの安全性を向上することができる。
【０１３９】
なお、以上のような第２の実施形態は、ＤＢ装置５００ａ〜５００ｃが認証機能を備え、ＤＢ管理装置６００がデータ分散機能を備えていたが、これに限らず、認証機能及びデータ分散機能を任意の組み合わせでＤＢ管理装置６００又はＤＢ装置５００ａ〜５００ｃに備えた構成に変形してもよい。また、第２の実施形態は、ＤＢ管理装置６００が復元機能を備えていたが、これに限らず、復元機能を利用者装置３００に備えた構成に変形してもよい。このような変形例について順次説明する。
【０１４０】
＜第１の変形例：認証機能及びデータ分散機能をＤＢ管理装置６００に備えた例＞
第２の実施形態における第１の変形例は、図２４に示すように、認証情報部５０１ａ〜５０１ｃ及び認証検証部５０５ａ〜５０５ｃをＤＢ装置５００ａ〜５００ｃから省略し、省略した各部５０１ａ〜５０１ｃ，５０５ａ〜５０５ｃに相当する認証情報部６０１及び認証検証部６０５をＤＢ管理装置６００に備えている。
【０１４１】
このような構成によれば、第２の実施形態の効果に加え、図２５に示すように、破線で囲まれた権限レベル設定（ＳＴ５１）、格納（ＳＴ５６）、暗号化認証子受信（ＳＴ６６）、認証子検証（ＳＴ６８）、権限レベル確認（ＳＴ６９）、認証結果及び閲覧可能データリスト送信（ＳＴ７０）をＤＢ管理装置６００が実行する変形例を実現することができる。
【０１４２】
＜第２の変形例：認証機能をＤＢ管理装置６００に備え、データ分散機能をＤＢ装置５００ａに備えた例＞
第２の実施形態における第２の変形例は、図２６に示すように、認証情報部５０１ａ〜５０１ｃ及び認証検証部５０５ａ〜５０５ａをＤＢ装置５００ａ〜５００ｃから省略し、省略した各部５０１ａ〜５０１ｃ，５０５ａ〜５０５ｃに相当する認証情報部６０１及び認証検証部６０５をＤＢ管理装置６００に備えている。
【０１４３】
一方、秘密分散設定部６１０及び秘密分散部６１１をＤＢ管理装置６００から省略し、省略した各部６１０，６１１に相当する秘密分散設定部５１０及び秘密分散部５１１をＤＢ装置５００ａに備えている。
【０１４４】
このような構成によれば、第２の実施形態の効果に加え、図２７に示すように、破線で囲まれた権限レベル設定（ＳＴ５１）、格納（ＳＴ５６）、暗号化認証子受信（ＳＴ６６）、認証子検証（ＳＴ６８）、権限レベル確認（ＳＴ６９）、認証結果及び閲覧可能データリスト送信（ＳＴ７０）をＤＢ管理装置６００が実行し、秘密分散設定（ＳＴ５７）、分散データ生成（ＳＴ５８）をＤＢ装置５００ａが実行し、分散データ格納（ＳＴ６０）をＤＢ装置５００ａ〜５００ｃが実行する変形例を実現することができる。
【０１４５】
＜第３の変形例：データ分散機能をＤＢ装置５００ａに備えた例＞
第２の実施形態における第３の変形例は、図２８に示すように、秘密分散設定部６１０及び秘密分散部６１１をＤＢ管理装置６００から省略し、省略した各部６１０，６１１に相当する秘密分散設定部５１０及び秘密分散部５１１をＤＢ装置５００ａに備えている。
【０１４６】
このような構成によれば、第２の実施形態の効果に加え、図２９に示すように、秘密分散設定（ＳＴ５７）、分散データ生成（ＳＴ５８）をＤＢ装置５００ａが実行し、分散データ格納（ＳＴ６０）をＤＢ装置５００ａ〜５００ｃが実行する変形例を実現することができる。
【０１４７】
＜第４の変形例：復元機能を利用者装置３００に備えた例＞
第２の実施形態における第４の変形例は、図３０に示すように、復元部６１２をＤＢ管理装置６００から省略し、省略した復元部６１２に相当する復元部３１２を利用者装置３００に備えている。
【０１４８】
このような構成によれば、第２の実施形態の効果に加え、図３１に示すように、破線で囲まれた分散データ受信（ＳＴ７４）及びデータ復元（ＳＴ７５）を利用者装置３００が実行する変形例を実現することができる。
【０１４９】
＜第５の変形例：認証機能及びデータ分散機能をＤＢ管理装置６００に備え、復元機能を利用者装置３００に備えた例＞
第２の実施形態における第５の変形例は、図３２に示すように、第１及び第４の変形例を組み合わせたものであり、認証機能及びデータ分散機能をＤＢ管理装置６００に備え、復元機能を利用者装置３００に備えている。
【０１５０】
具体的には、認証情報部５０１ａ〜５０１ｃ及び認証検証部５０５ａ〜５０５ｃをＤＢ装置５００ａ〜５００ｃから省略し、省略した各部５０１ａ〜５０１ｃ，５０５ａ〜５０５ｃに相当する認証情報部６０１及び認証検証部６０５をＤＢ管理装置６００に備えている。
【０１５１】
また、復元部６１２をＤＢ管理装置６００から省略し、省略した復元部６１２に相当する復元部３１２を利用者装置３００に備えている。
【０１５２】
このような構成によれば、第２の実施形態の効果に加え、図３３に示すように、破線で囲まれた権限レベル設定（ＳＴ５１）、格納（ＳＴ５６）、暗号化認証子受信（ＳＴ６６）、認証子検証（ＳＴ６８）、権限レベル確認（ＳＴ６９）、認証結果及び閲覧可能データリスト送信（ＳＴ７０）をＤＢ管理装置６００が実行し、分散データ受信（ＳＴ７４）、データ復元（ＳＴ７５）を利用者装置３００が実行する変形例を実現することができる。
【０１５３】
＜第６の変形例：認証機能をＤＢ管理装置６００に備え、データ分散機能をＤＢ装置５００ａに備え、復元機能を利用者装置３００に備えた例＞
第２の実施形態における第６の変形例は、図３４に示すように、第２及び第４の変形例を組み合わせたものであり、認証機能をＤＢ管理装置６００に備え、データ分散機能をＤＢ装置５００ａに備え、復元機能を利用者装置３００に備えている。
【０１５４】
具体的には、認証情報部５０１ａ〜５０１ｃ及び認証検証部５０５ａ〜５０５ａをＤＢ装置５００ａ〜５００ｃから省略し、省略した各部５０１ａ〜５０１ｃ，５０５ａ〜５０５ｃに相当する認証情報部６０１及び認証検証部６０５をＤＢ管理装置６００に備えている。
【０１５５】
一方、秘密分散設定部６１０及び秘密分散部６１１をＤＢ管理装置６００から省略し、省略した各部６１０，６１１に相当する秘密分散設定部５１０及び秘密分散部５１１をＤＢ装置５００ａに備えている。
【０１５６】
また、復元部６１２をＤＢ管理装置６００から省略し、省略した復元部６１２に相当する復元部３１２を利用者装置３００に備えている。
【０１５７】
このような構成によれば、第２の実施形態の効果に加え、図３５に示すように、破線で囲まれた権限レベル設定（ＳＴ５１）、格納（ＳＴ５６）、暗号化認証子受信（ＳＴ６６）、認証子検証（ＳＴ６８）、権限レベル確認（ＳＴ６９）、認証結果及び閲覧可能データリスト送信（ＳＴ７０）をＤＢ管理装置６００が実行し、秘密分散設定（ＳＴ５７）、分散データ生成（ＳＴ５８）をＤＢ装置５００ａが実行し、分散データ格納（ＳＴ６０）をＤＢ装置５００ａ〜５００ｃが実行し、分散データ受信（ＳＴ７４）、データ復元（ＳＴ７５）を利用者装置３００が実行する変形例を実現することができる。
【０１５８】
＜第７の変形例：データ分散機能をＤＢ装置５００ａに備え、復元機能を利用者装置３００に備えた例＞
第２の実施形態における第７の変形例は、図３６に示すように、第３及び第４の変形例を組み合わせたものであり、データ分散機能をＤＢ装置５００ａに備え、復元機能を利用者装置３００に備えている。
【０１５９】
具体的には、秘密分散設定部６１０及び秘密分散部６１１をＤＢ管理装置６００から省略し、省略した各部６１０，６１１に相当する秘密分散設定部５１０及び秘密分散部５１１をＤＢ装置５００ａに備えている。
【０１６０】
また、復元部６１２をＤＢ管理装置６００から省略し、省略した復元部６１２に相当する復元部３１２を利用者装置３００に備えている。
【０１６１】
このような構成によれば、第２の実施形態の効果に加え、図３７に示すように、破線で囲まれた秘密分散設定（ＳＴ５７）、分散データ生成（ＳＴ５８）をＤＢ装置５００ａが実行し、分散データ格納（ＳＴ６０）をＤＢ装置５００ａ〜５００ｃが実行し、分散データ受信（ＳＴ７４）及びデータ復元（ＳＴ７５）を利用者装置３００が実行する変形例を実現することができる。
【０１６２】
なお、上記実施形態に記載した手法は、コンピュータに実行させることのできるプログラムとして、磁気ディスク（フロッピー（登録商標）ディスク、ハードディスクなど）、光ディスク（ＣＤ−ＲＯＭ、ＤＶＤなど）、光磁気ディスク（ＭＯ）、半導体メモリなどの記憶媒体に格納して頒布することもできる。
【０１６３】
また、この記憶媒体としては、プログラムを記憶でき、かつコンピュータが読み取り可能な記憶媒体であれば、その記憶形式は何れの形態であっても良い。
【０１６４】
また、記憶媒体からコンピュータにインストールされたプログラムの指示に基づきコンピュータ上で稼働しているＯＳ（オペレーティングシステム）や、データベース管理ソフト、ネットワークソフト等のＭＷ（ミドルウェア）等が上記実施形態を実現するための各処理の一部を実行しても良い。
【０１６５】
さらに、本発明における記憶媒体は、コンピュータと独立した媒体に限らず、ＬＡＮやインターネット等により伝送されたプログラムをダウンロードして記憶または一時記憶した記憶媒体も含まれる。
【０１６６】
また、記憶媒体は１つに限らず、複数の媒体から上記実施形態における処理が実行される場合も本発明における記憶媒体に含まれ、媒体構成は何れの構成であっても良い。
【０１６７】
尚、本発明におけるコンピュータは、記憶媒体に記憶されたプログラムに基づき、上記実施形態における各処理を実行するものであって、パソコン等の１つからなる装置、複数の装置がネットワーク接続されたシステム等の何れの構成であっても良い。
【０１６８】
また、本発明におけるコンピュータとは、パソコンに限らず、情報処理機器に含まれる演算処理装置、マイコン等も含み、プログラムによって本発明の機能を実現することが可能な機器、装置を総称している。
【０１６９】
なお、本願発明は、上記実施形態そのままに限定されるものではなく、実施段階ではその要旨を逸脱しない範囲で構成要素を変形して具体化できる。また、上記実施形態に開示されている複数の構成要素の適宜な組合せにより種々の発明を形成できる。例えば、実施形態に示される全構成要素から幾つかの構成要素を削除してもよい。更に、異なる実施形態に亘る構成要素を適宜組合せてもよい。例えば、第２の実施形態のＳＴ５５では利用者装置３００からＤＢ装置５００ａに暗号化パスワードが送信されているが、暗号化の有無に関わらずパスワード自体が送信されなくても構わない。この場合、図２３において、ＳＴ５３では利用者ＩＤが入力され、ＳＴ５４では入力された利用者ＩＤが暗号化される。ＳＴ５５で送信される対象は利用者ＩＤ及び権限レベルになり、ＳＴ５６で格納されるものは利用者ＩＤ及び権限レベルであり、ＳＴ６４で入力される認証子は利用者ＩＤ、ＳＴ６５では利用者ＩＤがＤＢ公開鍵で暗号化され、ＳＴ６６で送信される対象はＳＴ６５で暗号化された暗号化利用者ＩＤになる。ＳＴ６７では暗号化利用者ＩＤが送信され、ＳＴ６８の認証子検証は暗号化利用者ＩＤになる。
【図面の簡単な説明】
【０１７０】
【図１】本発明の第１の実施形態に係る電子データ閲覧システムの構成を示す模式図。
【図２】同実施形態における分散鍵記憶部の変形例を示す模式図。
【図３】同実施形態における暗号鍵管理部の構成を示す模式図。
【図４】同実施形態における電子データ閲覧システムの動作を説明するためのシーケンス図。
【図５】同実施形態における第１の変形例の構成を示す模式図。
【図６】同変形例の動作を説明するためのシーケンス図。
【図７】同実施形態における第２の変形例の構成を示す模式図。
【図８】同変形例の動作を説明するためのシーケンス図。
【図９】同実施形態における第３の変形例の構成を示す模式図。
【図１０】同変形例の動作を説明するためのシーケンス図。
【図１１】同実施形態における第４の変形例の構成を示す模式図。
【図１２】同変形例の動作を説明するためのシーケンス図。
【図１３】同実施形態における第５の変形例の構成を示す模式図。
【図１４】同変形例の動作を説明するためのシーケンス図。
【図１５】同実施形態における第６の変形例の構成を示す模式図。
【図１６】同変形例の動作を説明するためのシーケンス図。
【図１７】同実施形態における第７の変形例の構成を示す模式図。
【図１８】同変形例の動作を説明するためのシーケンス図。
【図１９】本発明の第２の実施形態に係る電子データ閲覧システムの構成を示す模式図。
【図２０】同実施形態における秘密分散データ部の構成を示す模式図。
【図２１】同実施形態における秘密分散データ部の構成を示す模式図。
【図２２】同実施形態における秘密分散データ部の構成を示す模式図。
【図２３】同実施形態における電子データ閲覧システムの動作を説明するためのシーケンス図。
【図２４】同実施形態における第１の変形例の構成を示す模式図。
【図２５】同変形例の動作を説明するためのシーケンス図。
【図２６】同実施形態における第２の変形例の構成を示す模式図。
【図２７】同変形例の動作を説明するためのシーケンス図。
【図２８】同実施形態における第３の変形例の構成を示す模式図。
【図２９】同変形例の動作を説明するためのシーケンス図。
【図３０】同実施形態における第４の変形例の構成を示す模式図。
【図３１】同変形例の動作を説明するためのシーケンス図。
【図３２】同実施形態における第５の変形例の構成を示す模式図。
【図３３】同変形例の動作を説明するためのシーケンス図。
【図３４】同実施形態における第６の変形例の構成を示す模式図。
【図３５】同変形例の動作を説明するためのシーケンス図。
【図３６】同実施形態における第７の変形例の構成を示す模式図。
【図３７】同変形例の動作を説明するためのシーケンス図。
【図３８】従来の電子データ閲覧システムの構成を示す模式図。
【図３９】一般的な暗号化データ部の構成を示す模式図。
【図４０】一般的な認証情報部の構成を示す模式図。
【図４１】従来の電子データ閲覧システムの動作を説明するためのシーケンス図。
【図４２】従来の電子データ閲覧システムの変形例を示す模式図。
【符号の説明】
【０１７１】
１００，５００ａ〜５００ｃ…ＤＢ装置、１０１，５０１ａ〜５０１ｃ…認証情報部、１０２…暗号化データ部、１０３ａ〜１０３ｉ…分散鍵記憶部、１０４…認証要求部、１０５，５０５ａ〜５０５ｃ…認証検証部、１０６，５０６ａ〜５０６ｃ…アクセス制御部、１０７…暗号鍵管理部、１０８…暗号鍵生成部、１０９…暗号鍵分散部、１１０…分散鍵管理部、１１１…データ暗号化部、１１２…データ復号部、２００…管理者装置、２０２…アクセス設定部、３００…利用者装置、３０１…分散鍵記憶部、３０２…画面表示部、３０３…データ表示要求部、３０４…認証情報入力部、３０５…分散鍵管理部、５０３ａ〜５０３ｃ…秘密分散データ部。
【特許請求の範囲】
【請求項１】
閲覧権限に応じた電子データが閲覧権限に応じた暗号鍵により暗号化されてなる暗号化電子データを、閲覧権限に応じた暗号鍵により復号して出力可能な電子データ閲覧システムであって、
秘密情報が分散されてなるｎ個の分散情報のうちのｋ個の分散情報から元の秘密情報を復元可能な（ｋ，ｎ）型の秘密分散方式に基づいて、前記暗号鍵からｎ個の分散鍵を生成する分散鍵生成手段と、
前記ｎ個の分散鍵をそれぞれ閲覧権限情報に関連付けて記憶する複数の分散鍵記憶手段と、
利用者認証情報及び閲覧権限情報を互いに関連付けて記憶する権限記憶手段と、
利用者認証情報を受信すると、当該利用者認証情報を前記権限記憶手段を参照して認証する利用者認証手段と、
この認証結果が正当の場合、前記利用者認証情報の送信元から１個の分散鍵を受けると、前記権限記憶手段内の当該利用者認証情報に関連する閲覧権限情報に基づいて、前記各分散鍵記憶手段からｋ−１個の分散鍵を読み出す分散鍵読出手段と、
受けた１個の分散鍵及び読み出されたｋ−１個の分散鍵から（ｋ，ｎ）型の秘密分散方式に基づいて、前記暗号鍵を復元する暗号鍵復元手段と、
復元された暗号鍵により、この暗号鍵の閲覧情報に応じた暗号化電子データを復号する電子データ復号手段と、
復号された電子データを前記利用者認証情報の送信元に出力する電子データ出力手段と
を備えたことを特徴とする電子データ閲覧システム。
【請求項２】
閲覧権限に応じた電子データを出力可能な電子データ閲覧システムであって、
秘密情報が分散されてなるｎ個の分散情報のうちのｋ個の分散情報から元の秘密情報を復元可能な（ｋ，ｎ）型の秘密分散方式に基づいて、前記電子データからｎ個の分散データを生成する分散データ生成手段と、
前記ｎ個の分散データをそれぞれ閲覧権限情報に関連付けて記憶する複数の分散データ記憶手段と、
利用者認証情報及び閲覧権限情報を互いに関連付けて記憶する権限記憶手段と、
利用者認証情報を受信すると、当該利用者認証情報を前記権限記憶手段を参照して認証し、得られた認証結果と前記権限記憶手段内の当該利用者認証情報に関連する閲覧権限情報とを送出する利用者認証手段と、
前記利用者認証手段から認証結果及び閲覧権限情報を受けると、この認証結果が正当の場合、当該閲覧権限情報に基づいて、前記各分散データ記憶手段からｋ個の分散データを読み出す分散データ読出手段と、
読み出されたｋ個の分散データから（ｋ，ｎ）型の秘密分散方式に基づいて、電子データを復元する電子データ復元手段と、
復元された電子データを前記利用者認証情報の送信元に出力する電子データ出力手段と
を備えたことを特徴とする電子データ閲覧システム。
【請求項３】
閲覧権限に応じた電子データが閲覧権限に応じた暗号鍵により暗号化されてなる暗号化電子データを、閲覧権限に応じた暗号鍵により復号して出力可能なデータベース装置であって、
秘密情報が分散されてなるｎ個の分散情報のうちのｋ個の分散情報から元の秘密情報を復元可能な（ｋ，ｎ）型の秘密分散方式に基づいて、前記暗号鍵からｎ個の分散鍵を生成する分散鍵生成手段と、
前記ｎ個の分散鍵をそれぞれ閲覧権限情報に関連付けて記憶する複数の分散鍵記憶手段と、
利用者認証情報及び閲覧権限情報を互いに関連付けて記憶する権限記憶手段と、
利用者認証情報を受信すると、当該利用者認証情報を前記権限記憶手段を参照して認証する利用者認証手段と、
この認証結果が正当の場合、前記利用者認証情報の送信元から１個の分散鍵を受けると、前記権限記憶手段内の当該利用者認証情報に関連する閲覧権限情報に基づいて、前記各分散鍵記憶手段からｋ−１個の分散鍵を読み出す分散鍵読出手段と、
受けた１個の分散鍵及び読み出されたｋ−１個の分散鍵から（ｋ，ｎ）型の秘密分散方式に基づいて、前記暗号鍵を復元する暗号鍵復元手段と、
復元された暗号鍵により、この暗号鍵の閲覧情報に応じた暗号化電子データを復号する電子データ復号手段と、
復号された電子データを前記利用者認証情報の送信元に出力する電子データ出力手段と
を備えたことを特徴とするデータベース装置。
【請求項４】
閲覧権限に応じた電子データを出力可能なデータベース管理装置に接続されたデータベース装置であって、
秘密情報が分散されてなるｎ個の分散情報のうちのｋ個の分散情報から元の秘密情報を復元可能な（ｋ，ｎ）型の秘密分散方式に基づいて、前記電子データからｎ個の分散データが前記データベース装置により生成されたとき、前記データベース管理装置から前記ｎ個の分散データのいずれかが閲覧権限情報に関連付けて書き込まれる分散データ記憶手段と、
利用者認証情報及び閲覧権限情報を互いに関連付けて記憶する権限記憶手段と、
利用者認証情報を受信すると、当該利用者認証情報を前記権限記憶手段を参照して認証し、得られた認証結果と前記権限記憶手段内の当該利用者認証情報に関連する閲覧権限情報とを送出する利用者認証手段と、
前記利用者認証手段から認証結果及び閲覧権限情報を受けると、この認証結果が正当の場合、当該閲覧権限情報に基づいて、前記分散データ記憶手段から分散データを読み出す分散データ読出手段と、
前記データベース管理装置が（ｋ，ｎ）型の秘密分散方式に基づいて電子データを復元可能とするように、前記分散データ読出手段により読み出された分散データを前記データベース管理装置に出力する分散データ出力手段と
を備えたことを特徴とするデータベース装置。
【請求項５】
閲覧権限に応じた電子データが閲覧権限に応じた暗号鍵により暗号化されてなる暗号化電子データを、閲覧権限に応じた暗号鍵により復号して出力可能なデータベース装置に用いられるプログラムであって、
前記データベース装置のコンピュータを、
秘密情報が分散されてなるｎ個の分散情報のうちのｋ個の分散情報から元の秘密情報を復元可能な（ｋ，ｎ）型の秘密分散方式に基づいて、前記暗号鍵からｎ個の分散鍵を生成する分散鍵生成手段、
前記ｎ個の分散鍵をそれぞれ閲覧権限情報に関連付けて記憶する複数の分散鍵記憶手段、
利用者認証情報及び閲覧権限情報を互いに関連付けて記憶する権限記憶手段、
利用者認証情報を受信すると、当該利用者認証情報を前記権限記憶手段を参照して認証する利用者認証手段、
この認証結果が正当の場合、前記利用者認証情報の送信元から１個の分散鍵を受けると、前記権限記憶手段内の当該利用者認証情報に関連する閲覧権限情報に基づいて、前記各分散鍵記憶手段からｋ−１個の分散鍵を読み出す分散鍵読出手段、
受けた１個の分散鍵及び読み出されたｋ−１個の分散鍵から（ｋ，ｎ）型の秘密分散方式に基づいて、前記暗号鍵を復元する暗号鍵復元手段、
復元された暗号鍵により、この暗号鍵の閲覧情報に応じた暗号化電子データを復号する電子データ復号手段、
復号された電子データを前記利用者認証情報の送信元に出力する電子データ出力手段、
として機能させるためのプログラム。
【請求項１】
閲覧権限に応じた電子データが閲覧権限に応じた暗号鍵により暗号化されてなる暗号化電子データを、閲覧権限に応じた暗号鍵により復号して出力可能な電子データ閲覧システムであって、
秘密情報が分散されてなるｎ個の分散情報のうちのｋ個の分散情報から元の秘密情報を復元可能な（ｋ，ｎ）型の秘密分散方式に基づいて、前記暗号鍵からｎ個の分散鍵を生成する分散鍵生成手段と、
前記ｎ個の分散鍵をそれぞれ閲覧権限情報に関連付けて記憶する複数の分散鍵記憶手段と、
利用者認証情報及び閲覧権限情報を互いに関連付けて記憶する権限記憶手段と、
利用者認証情報を受信すると、当該利用者認証情報を前記権限記憶手段を参照して認証する利用者認証手段と、
この認証結果が正当の場合、前記利用者認証情報の送信元から１個の分散鍵を受けると、前記権限記憶手段内の当該利用者認証情報に関連する閲覧権限情報に基づいて、前記各分散鍵記憶手段からｋ−１個の分散鍵を読み出す分散鍵読出手段と、
受けた１個の分散鍵及び読み出されたｋ−１個の分散鍵から（ｋ，ｎ）型の秘密分散方式に基づいて、前記暗号鍵を復元する暗号鍵復元手段と、
復元された暗号鍵により、この暗号鍵の閲覧情報に応じた暗号化電子データを復号する電子データ復号手段と、
復号された電子データを前記利用者認証情報の送信元に出力する電子データ出力手段と
を備えたことを特徴とする電子データ閲覧システム。
【請求項２】
閲覧権限に応じた電子データを出力可能な電子データ閲覧システムであって、
秘密情報が分散されてなるｎ個の分散情報のうちのｋ個の分散情報から元の秘密情報を復元可能な（ｋ，ｎ）型の秘密分散方式に基づいて、前記電子データからｎ個の分散データを生成する分散データ生成手段と、
前記ｎ個の分散データをそれぞれ閲覧権限情報に関連付けて記憶する複数の分散データ記憶手段と、
利用者認証情報及び閲覧権限情報を互いに関連付けて記憶する権限記憶手段と、
利用者認証情報を受信すると、当該利用者認証情報を前記権限記憶手段を参照して認証し、得られた認証結果と前記権限記憶手段内の当該利用者認証情報に関連する閲覧権限情報とを送出する利用者認証手段と、
前記利用者認証手段から認証結果及び閲覧権限情報を受けると、この認証結果が正当の場合、当該閲覧権限情報に基づいて、前記各分散データ記憶手段からｋ個の分散データを読み出す分散データ読出手段と、
読み出されたｋ個の分散データから（ｋ，ｎ）型の秘密分散方式に基づいて、電子データを復元する電子データ復元手段と、
復元された電子データを前記利用者認証情報の送信元に出力する電子データ出力手段と
を備えたことを特徴とする電子データ閲覧システム。
【請求項３】
閲覧権限に応じた電子データが閲覧権限に応じた暗号鍵により暗号化されてなる暗号化電子データを、閲覧権限に応じた暗号鍵により復号して出力可能なデータベース装置であって、
秘密情報が分散されてなるｎ個の分散情報のうちのｋ個の分散情報から元の秘密情報を復元可能な（ｋ，ｎ）型の秘密分散方式に基づいて、前記暗号鍵からｎ個の分散鍵を生成する分散鍵生成手段と、
前記ｎ個の分散鍵をそれぞれ閲覧権限情報に関連付けて記憶する複数の分散鍵記憶手段と、
利用者認証情報及び閲覧権限情報を互いに関連付けて記憶する権限記憶手段と、
利用者認証情報を受信すると、当該利用者認証情報を前記権限記憶手段を参照して認証する利用者認証手段と、
この認証結果が正当の場合、前記利用者認証情報の送信元から１個の分散鍵を受けると、前記権限記憶手段内の当該利用者認証情報に関連する閲覧権限情報に基づいて、前記各分散鍵記憶手段からｋ−１個の分散鍵を読み出す分散鍵読出手段と、
受けた１個の分散鍵及び読み出されたｋ−１個の分散鍵から（ｋ，ｎ）型の秘密分散方式に基づいて、前記暗号鍵を復元する暗号鍵復元手段と、
復元された暗号鍵により、この暗号鍵の閲覧情報に応じた暗号化電子データを復号する電子データ復号手段と、
復号された電子データを前記利用者認証情報の送信元に出力する電子データ出力手段と
を備えたことを特徴とするデータベース装置。
【請求項４】
閲覧権限に応じた電子データを出力可能なデータベース管理装置に接続されたデータベース装置であって、
秘密情報が分散されてなるｎ個の分散情報のうちのｋ個の分散情報から元の秘密情報を復元可能な（ｋ，ｎ）型の秘密分散方式に基づいて、前記電子データからｎ個の分散データが前記データベース装置により生成されたとき、前記データベース管理装置から前記ｎ個の分散データのいずれかが閲覧権限情報に関連付けて書き込まれる分散データ記憶手段と、
利用者認証情報及び閲覧権限情報を互いに関連付けて記憶する権限記憶手段と、
利用者認証情報を受信すると、当該利用者認証情報を前記権限記憶手段を参照して認証し、得られた認証結果と前記権限記憶手段内の当該利用者認証情報に関連する閲覧権限情報とを送出する利用者認証手段と、
前記利用者認証手段から認証結果及び閲覧権限情報を受けると、この認証結果が正当の場合、当該閲覧権限情報に基づいて、前記分散データ記憶手段から分散データを読み出す分散データ読出手段と、
前記データベース管理装置が（ｋ，ｎ）型の秘密分散方式に基づいて電子データを復元可能とするように、前記分散データ読出手段により読み出された分散データを前記データベース管理装置に出力する分散データ出力手段と
を備えたことを特徴とするデータベース装置。
【請求項５】
閲覧権限に応じた電子データが閲覧権限に応じた暗号鍵により暗号化されてなる暗号化電子データを、閲覧権限に応じた暗号鍵により復号して出力可能なデータベース装置に用いられるプログラムであって、
前記データベース装置のコンピュータを、
秘密情報が分散されてなるｎ個の分散情報のうちのｋ個の分散情報から元の秘密情報を復元可能な（ｋ，ｎ）型の秘密分散方式に基づいて、前記暗号鍵からｎ個の分散鍵を生成する分散鍵生成手段、
前記ｎ個の分散鍵をそれぞれ閲覧権限情報に関連付けて記憶する複数の分散鍵記憶手段、
利用者認証情報及び閲覧権限情報を互いに関連付けて記憶する権限記憶手段、
利用者認証情報を受信すると、当該利用者認証情報を前記権限記憶手段を参照して認証する利用者認証手段、
この認証結果が正当の場合、前記利用者認証情報の送信元から１個の分散鍵を受けると、前記権限記憶手段内の当該利用者認証情報に関連する閲覧権限情報に基づいて、前記各分散鍵記憶手段からｋ−１個の分散鍵を読み出す分散鍵読出手段、
受けた１個の分散鍵及び読み出されたｋ−１個の分散鍵から（ｋ，ｎ）型の秘密分散方式に基づいて、前記暗号鍵を復元する暗号鍵復元手段、
復元された暗号鍵により、この暗号鍵の閲覧情報に応じた暗号化電子データを復号する電子データ復号手段、
復号された電子データを前記利用者認証情報の送信元に出力する電子データ出力手段、
として機能させるためのプログラム。
【図１】
【図２】
【図３】
【図４】
【図５】
【図６】
【図７】
【図８】
【図９】
【図１０】
【図１１】
【図１２】
【図１３】
【図１４】
【図１５】
【図１６】
【図１７】
【図１８】
【図１９】
【図２０】
【図２１】
【図２２】
【図２３】
【図２４】
【図２５】
【図２６】
【図２７】
【図２８】
【図２９】
【図３０】
【図３１】
【図３２】
【図３３】
【図３４】
【図３５】
【図３６】
【図３７】
【図３８】
【図３９】
【図４０】
【図４１】
【図４２】
【図２】
【図３】
【図４】
【図５】
【図６】
【図７】
【図８】
【図９】
【図１０】
【図１１】
【図１２】
【図１３】
【図１４】
【図１５】
【図１６】
【図１７】
【図１８】
【図１９】
【図２０】
【図２１】
【図２２】
【図２３】
【図２４】
【図２５】
【図２６】
【図２７】
【図２８】
【図２９】
【図３０】
【図３１】
【図３２】
【図３３】
【図３４】
【図３５】
【図３６】
【図３７】
【図３８】
【図３９】
【図４０】
【図４１】
【図４２】
【公開番号】特開２００７−３１２１２８（Ｐ２００７−３１２１２８Ａ）
【公開日】平成１９年１１月２９日（２００７．１１．２９）
【国際特許分類】
【出願番号】特願２００６−１３９３２２（Ｐ２００６−１３９３２２）
【出願日】平成１８年５月１８日（２００６．５．１８）
【出願人】（０００００３０７８）株式会社東芝 (54,554)
【出願人】（３０１０６３４９６）東芝ソリューション株式会社 (1,478)
【Ｆターム（参考）】
【公開日】平成１９年１１月２９日（２００７．１１．２９）
【国際特許分類】
【出願日】平成１８年５月１８日（２００６．５．１８）
【出願人】（０００００３０７８）株式会社東芝 (54,554)
【出願人】（３０１０６３４９６）東芝ソリューション株式会社 (1,478)
【Ｆターム（参考）】
[ Back to top ]