JP7355247B2 - 署名制御方法、署名制御プログラム、および情報処理装置 - Google Patents

Description

本発明は、署名制御方法、署名制御プログラム、および情報処理装置に関する。

従来、文書情報の改ざん防止のため、文書情報に対して、電子的な署名情報が付与されることがある。また、複数の秘密鍵を利用して、それぞれ異なる複数の文書情報に対して付与された複数の署名情報を、単一の署名情報に集約するアグリゲートシグネチャと呼ばれる技術がある。

先行技術としては、例えば、第１のデータ部分から第１の署名要素を生成し、生成した第１の署名要素と第２のデータ部分とから第１の中間署名要素を生成し、生成した第１の中間署名要素と第１の秘密鍵とから第２の署名要素を生成するものがある。

特開２０１３－１１８７０６号公報 特開２０１９－２１２２４１号公報

しかしながら、従来技術では、署名情報の正当性を検証する際にかかるコストの増大化を招くという問題がある。例えば、アグリゲートシグネチャの技術では、生成された単一の署名情報の正当性を検証するため、複数の秘密鍵に対応する複数の公開鍵を管理しておくことになる。このため、公開鍵の数が増加するほど、署名情報の正当性を検証する際の処理コスト、および、公開鍵を管理する際の管理コストの増大化を招くことになる。

１つの側面では、本発明は、署名情報の正当性を検証する際にかかるコストの低減化を図ることを目的とする。

１つの実施態様によれば、複数の文書情報と、前記複数の文書情報のそれぞれの文書情報に対応する署名情報とを取得し、取得した前記複数の文書情報に基づいて、取得した前記複数の文書情報のそれぞれの文書情報に対応する署名情報を集約した集約署名情報を生成し、生成した前記集約署名情報を、前記複数の文書情報のそれぞれの文書情報に対応する公開鍵情報を集約した集約公開鍵情報と、前記複数の文書情報とに対応付けて出力する署名制御方法、署名制御プログラム、および情報処理装置が提案される。

一態様によれば、署名情報の正当性を検証する際にかかるコストの低減化を図ることが可能になる。

図１は、実施の形態にかかる署名制御方法の一実施例を示す説明図である。 図２は、署名制御システム２００の一例を示す説明図である。 図３は、情報処理装置１００のハードウェア構成例を示すブロック図である。 図４は、制御情報管理テーブル４００の記憶内容の一例を示す説明図である。 図５は、検証側端末２０７のハードウェア構成例を示すブロック図である。 図６は、署名制御システム２００の機能的構成例を示すブロック図である。 図７は、作成者に対応する署名側端末２０１の具体的な機能的構成例を示すブロック図である。 図８は、承認者に対応する署名側端末２０２の具体的な機能的構成例を示すブロック図である。 図９は、検証側端末２０７の具体的な機能的構成例を示すブロック図である。 図１０は、プライベートＣＡサーバ２０４の具体的な機能的構成例を示すブロック図である。 図１１は、文書管理サーバ２０５の具体的な機能的構成例を示す説明図である。 図１２は、署名制御システム２００の動作の一例を示す説明図である。 図１３は、署名制御システム２００の動作の具体例を示す説明図（その１）である。 図１４は、署名制御システム２００の動作の具体例を示す説明図（その２）である。 図１５は、署名制御システム２００の動作の具体例を示す説明図（その３）である。 図１６は、署名を検証する一例を示す説明図である。 図１７は、補助パラメータｄを設定する一例を示す説明図（その１）である。 図１８は、補助パラメータｄを設定する一例を示す説明図（その２）である。 図１９は、集約署名を修正する一例を示す説明図（その１）である。 図２０は、集約署名を修正する一例を示す説明図（その２）である。 図２１は、署名制御システム２００による効果を示す説明図である。 図２２は、鍵生成処理手順の一例を示すフローチャートである。 図２３は、文書作成処理手順の一例を示すフローチャートである。 図２４は、文書承認処理手順の一例を示すフローチャートである。 図２５は、文書決裁処理手順の一例を示すフローチャートである。 図２６は、署名集約処理手順の一例を示すフローチャートである。 図２７は、再検証処理手順の一例を示すフローチャートである。 図２８は、別の署名集約処理手順の一例を示すフローチャートである。 図２９は、無効化処理手順の一例を示すフローチャートである。

以下に、図面を参照して、本発明にかかる署名制御方法、署名制御プログラム、および情報処理装置の実施の形態を詳細に説明する。

（実施の形態にかかる署名制御方法の一実施例）
図１は、実施の形態にかかる署名制御方法の一実施例を示す説明図である。情報処理装置１００は、文書情報に付与する署名情報を生成するためのコンピュータである。情報処理装置１００は、サーバ、または、ＰＣ（Ｐｅｒｓｏｎａｌ Ｃｏｍｐｕｔｅｒ）などである。

署名情報は、文書情報の改ざん防止のため、または、文書情報の内容の証明、確認、承認、あるいは、同意などの意思を表明するために利用されている。例えば、ビジネス上、法人が作成し、法人外に出される最終版の文書情報に、法人を代表する署名情報を付与し、法人外に出すことが考えられる。法人外の検証者は、最終版の文書情報に付与された、法人を代表する署名情報を検証し、最終版の文書情報が改ざんされておらず、正当であるのかを確認しようとする。ＥＵ圏では、法人を代表する署名情報として、ｅ－Ｓｅａｌと呼ばれる署名情報が利用される傾向がある。

具体的には、法人内で、承認フローに従い、複数の承認者が、文書情報を改版しつつ、文書情報に個人の署名情報を付与していき、文書情報が最終版になった後、サーバが、最終版の文書情報に、法人を代表する署名情報を付与するユースケースが考えられる。かかるユースケースにおいて、サーバは、文書情報が最終版になるまでに、それぞれの承認者によって文書情報に付与されてきた署名情報がすべて正当であることが確認された場合にのみ、文書情報に法人を代表する署名情報を付与するようにする。

しかしながら、かかるユースケースにおいて、不正な文書情報に対して、誤って法人を代表する署名情報が付与されてしまうことがある。不正な文書情報は、例えば、法人に対する攻撃者が作成した文書情報、改ざんされた文書情報、または、承認フローに反し、少なくともいずれかの承認者によって承認されていない文書情報などである。

例えば、かかるユースケースにおいて、最終版の文書情報に、法人を代表する署名情報を付与するサーバがクラッキングされた結果、不正な文書情報に対して、法人を代表する署名情報が付与されてしまう場合がある。この場合、法人外の検証者は、法人を代表する署名情報に基づいて、不正な文書情報を、誤って正当な文書情報であると判断してしまうことになる。また、この場合、法人外の検証者は、承認フローに従い、複数の承認者が、文書情報を承認し、文書情報に個人の署名情報を付与してきた過程を検証することができず、文書情報が正当であるか否かを検証することが困難である。

ここで、不正な文書情報に対して、誤って法人を代表する署名情報が付与されてしまうようなリスクについては、具体的には、総務省が開示する下記非特許文献１に記載された内容を参考にすることができる。

非特許文献１ ： 西山 晃、 “日本におけるｅシールのユースケースと課題”、 ［ｏｎｌｉｎｅ］、 ２０１９年３月１９日、 Ｊａｐａｎ Ｔｒｕｓｔ Ｓｅｒｖｉｃｅ Ｆｏｒｕｍ、 ［２０２０年６月２６日検索］、 インターネット＜ ＵＲＬ ：ｈｔｔｐｓ：／／ｗｗｗ．ｓｏｕｍｕ．ｇｏ．ｊｐ／ｍａｉｎ＿ｃｏｎｔｅｎｔ／０００６０７６５９．ｐｄｆ＞

このため、承認フローに従い、複数の承認者が、文書情報に個人の署名情報を付与してきた過程を検証可能にし、かつ、正当な文書情報に対してのみ、正しく法人を代表する署名情報を付与可能にすることが望まれる。換言すれば、不正な文書情報に対して、誤って法人を代表する署名情報が付与されてしまうリスクを回避することが望まれる。

これに対し、アグリゲートシグネチャと呼ばれる技術が存在する。アグリゲートシグネチャは、例えば、複数の秘密鍵情報を利用して、それぞれ異なる複数の文書情報に対して付与された複数の署名情報を、単一の署名情報に集約する技術である。ここで、アグリゲートシグネチャの実装方式は、例えば、ＢＬＳ署名ベースの実装方式、または、格子暗号ベースの実装方式などがある。

このアグリゲートシグネチャを、上述したユースケースに適用し、複数の承認者が、それぞれ異なる版の文書情報に対して付与してきた署名情報を、単一の署名情報に集約しておき、最終版の文書情報に付与するという手法が考えられる。この手法によれば、法人外の検証者は、複数の秘密鍵情報に対応する複数の公開鍵情報に基づいて、単一の署名情報を検証することにより、承認フローに従い、複数の承認者が、文書情報に個人の署名情報を付与してきた過程を検証可能であると考えられる。数学的には、単一の署名情報を検証することが、集約元となる複数の署名情報を検証することに相当する。

一方で、この手法では、複数の秘密鍵情報に対応する複数の公開鍵情報を、法人外の検証者が参照可能に、公開用のストレージ装置に登録しておくことになる。ここで、承認者の数が増加すれば、ストレージ装置に登録しておく公開鍵情報の数も増加することになる。このため、公開鍵情報を管理する際にかかる管理コストの増大化を招くことになる。また、単一の署名情報を検証する際にかかる処理コストの増大化を招くことになる。

そこで、本実施の形態では、署名情報の正当性を検証する際に用いられる公開鍵情報の数の低減化を図ることにより、署名情報の正当性を検証する際にかかる管理コスト、および、処理コストの低減化を図ることができる署名制御方法について説明する。

図１において、情報処理装置１００は、署名集約アルゴリズムを有する。署名集約アルゴリズムは、複数の署名情報を集約した１つの集約署名情報を生成する方法を規定する。情報処理装置１００は、鍵集約アルゴリズムを有する。鍵集約アルゴリズムは、複数の公開鍵情報を集約した１つの集約公開鍵情報を生成する方法を規定する。

（１－１）情報処理装置１００は、複数の文書情報と、複数の文書情報のそれぞれの文書情報に対応する署名情報とを取得する。文書情報は、例えば、契約書、または、ソースコードなどといった、複数人によって改版される文書情報である。図１の例では、情報処理装置１００は、文書１～３と、文書１～３に対応する署名１～３とを取得する。

（１－２）情報処理装置１００は、取得した複数の文書情報に基づいて、取得した複数の文書情報のそれぞれの文書情報に対応する署名情報を集約した集約署名情報を生成する。図１の例では、情報処理装置１００は、署名集約アルゴリズムに従って、文書１～３に基づいて、文書１～３に対応する署名１～３を集約した集約署名情報１１０を生成する。

（１－３）情報処理装置１００は、取得した複数の文書情報のそれぞれの文書情報に対応する公開鍵情報に基づいて、それぞれの文書情報に対応する公開鍵情報を集約した集約公開鍵情報を生成する。図１の例では、情報処理装置１００は、鍵集約アルゴリズムに従って、公開鍵束１２０に基づいて、公開鍵束１２０を集約した集約公開鍵情報１２１を生成する。

（１－４）情報処理装置１００は、生成した集約署名情報を、生成した集約公開鍵情報と、複数の文書情報とに対応付けて出力する。情報処理装置１００は、集約署名情報を、集約公開鍵情報と、複数の文書情報との対応関係が特定可能に出力する。集約署名情報を、複数の文書情報に対応付けるとは、例えば、集約署名情報を、最終版の文書情報と、最終版以外の文書情報のハッシュ値とに対応付けることである。

図１の例では、情報処理装置１００は、文書１～３と対応付けて、生成した集約署名情報１１０と、生成した集約公開鍵情報１２１とを出力する。情報処理装置１００は、具体的には、文書１～３と対応付けて、生成した集約署名情報１１０と、生成した集約公開鍵情報１２１とを、他のコンピュータで参照可能に出力する。他のコンピュータは、例えば、検証者に対応するコンピュータである。

これにより、情報処理装置１００は、検証者に対応するコンピュータで参照する公開鍵情報の数の低減化を図ることができ、公開鍵情報を管理する際にかかる管理コスト、および、公開鍵情報を利用する際にかかる処理コストの低減化を図ることができる。また、情報処理装置１００は、検証者側で、集約署名情報に基づいて、集約署名情報の集約元となる複数の署名情報が生成された経過を検証可能にすることができる。このため、情報処理装置１００は、検証者側で、不正な文書情報を、誤って正当な文書情報であると判断してしまう事態を防止することができる。

（１－５）他のコンピュータは、１鍵検証アルゴリズムを有する。他のコンピュータは、複数の文書情報に対応付けられた、集約署名情報と、集約公開鍵情報とを受け付ける。他のコンピュータは、例えば、複数の文書情報に対応付けられた、集約署名情報と、集約公開鍵情報とを、情報処理装置１００から受信する。

（１－６）他のコンピュータは、複数の文書情報と、受け付けた集約署名情報と、受け付けた集約公開鍵情報とに基づいて、受け付けた集約署名情報の正当性を検証する。他のコンピュータは、例えば、複数の文書情報のそれぞれの文書情報に対応するハッシュ値を取得する。そして、他のコンピュータは、例えば、１鍵検証アルゴリズムに従って、取得したハッシュ値と、受け付けた集約署名情報と、受け付けた集約公開鍵情報とに基づいて、受け付けた集約署名情報の正当性を検証する。

これにより、他のコンピュータは、集約署名情報に基づいて、集約署名情報の集約元となる複数の署名情報が生成された経過を検証することができる。このため、他のコンピュータは、不正な文書情報を、誤って正当な文書情報であると判断してしまう事態を回避することができる。

ここでは、情報処理装置１００が、それぞれの文書情報に対応する公開鍵情報を集約した集約公開鍵情報を生成する場合について説明したが、これに限らない。例えば、情報処理装置１００とは別に、それぞれの文書情報に対応する公開鍵情報を集約した集約公開鍵情報を生成する生成装置が存在する場合があってもよい。この場合、生成装置が、検証者側に、集約公開鍵情報を提供する。情報処理装置１００は、生成した集約署名情報を、集約公開鍵情報と対応することを特定可能に、検証者側に提供する。

（署名制御システム２００の一例）
次に、図２を用いて、図１に示した情報処理装置１００を適用した、署名制御システム２００の一例について説明する。

図２は、署名制御システム２００の一例を示す説明図である。図２において、署名制御システム２００は、作成者に対応する署名側端末２０１と、承認者に対応する署名側端末２０２と、決裁者に対応する署名側端末２０３と、プライベートＣＡサーバ２０４と、文書管理サーバ２０５とを含む。さらに、署名制御システム２００は、パブリックＣＡサーバ２０６と、検証者に対応する検証側端末２０７とを含む。

署名制御システム２００において、それぞれの署名側端末２０１～２０３と、プライベートＣＡサーバ２０４とは、有線または無線のネットワーク２１０を介して接続される。ネットワーク２１０は、例えば、ＬＡＮ（Ｌｏｃａｌ Ａｒｅａ Ｎｅｔｗｏｒｋ）、ＷＡＮ（Ｗｉｄｅ Ａｒｅａ Ｎｅｔｗｏｒｋ）、インターネットなどである。

また、署名制御システム２００において、それぞれの署名側端末２０１～２０３と、文書管理サーバ２０５とは、有線または無線のネットワーク２１０を介して接続される。また、署名制御システム２００において、プライベートＣＡサーバ２０４と、パブリックＣＡサーバ２０６とは、有線または無線のネットワーク２１０を介して接続される。

また、署名制御システム２００において、文書管理サーバ２０５と、検証側端末２０７とは、有線または無線のネットワーク２１０を介して接続される。また、署名制御システム２００において、パブリックＣＡサーバ２０６と、検証側端末２０７とは、有線または無線のネットワーク２１０を介して接続される。

署名側端末２０１は、文書情報を作成する作成者によって用いられるコンピュータである。署名側端末２０１は、作成者の操作入力に基づき、新たな文書情報を生成する。署名側端末２０１は、秘密鍵情報と公開鍵情報との鍵情報ペアを生成する。署名側端末２０１は、生成した鍵情報ペアの秘密鍵情報に基づいて、生成した新たな文書情報に付与する署名情報を生成する。署名側端末２０１は、生成した新たな文書情報と、生成した署名情報とを対応付けて、文書管理サーバ２０５に送信する。署名側端末２０１は、生成した鍵情報ペアの公開鍵情報を、プライベートＣＡサーバ２０４に送信する。署名側端末２０１は、例えば、サーバ、ＰＣ、タブレット端末、または、スマートフォンなどである。

署名側端末２０２は、文書情報を承認する承認者によって用いられるコンピュータである。署名側端末２０２は、承認者の操作入力に基づき、署名情報が付与された文書情報を、文書管理サーバ２０５から取得する。署名側端末２０２は、承認者の操作入力に基づき、取得した文書情報を改版し、新たな文書情報を生成する。署名側端末２０２は、秘密鍵情報と公開鍵情報との鍵情報ペアを生成する。署名側端末２０２は、生成した鍵情報ペアの秘密鍵情報に基づいて、生成した新たな文書情報に付与する署名情報を生成する。署名側端末２０２は、生成した新たな文書情報と、生成した署名情報とを対応付けて、文書管理サーバ２０５に送信する。署名側端末２０２は、生成した鍵情報ペアの公開鍵情報を、プライベートＣＡサーバ２０４に送信する。署名側端末２０２は、例えば、サーバ、ＰＣ、タブレット端末、または、スマートフォンなどである。

署名側端末２０３は、文書情報を決裁する決裁者によって用いられるコンピュータである。署名側端末２０３は、決裁者の操作入力に基づき、署名情報が付与された文書情報を、文書管理サーバ２０５から取得する。署名側端末２０３は、決裁者の操作入力に基づき、取得した文書情報を改版し、新たな文書情報を生成する。署名側端末２０３は、秘密鍵情報と公開鍵情報との鍵情報ペアを生成する。署名側端末２０３は、生成した鍵情報ペアの秘密鍵情報に基づいて、生成した新たな文書情報に付与する署名情報を生成する。署名側端末２０３は、生成した新たな文書情報と、生成した署名情報とを対応付けて、文書管理サーバ２０５に送信する。署名側端末２０３は、生成した鍵情報ペアの公開鍵情報を、プライベートＣＡサーバ２０４に送信する。署名側端末２０３は、例えば、サーバ、ＰＣ、タブレット端末、または、スマートフォンなどである。

プライベートＣＡサーバ２０４は、公開鍵情報を管理するコンピュータである。プライベートＣＡサーバ２０４は、図１に示した情報処理装置１００としての機能を有する。プライベートＣＡサーバ２０４は、複数の公開鍵情報を集約した集約公開鍵情報を生成する。プライベートＣＡサーバ２０４は、生成した集約公開鍵情報を、パブリックＣＡサーバ２０６に送信する。プライベートＣＡサーバ２０４は、例えば、サーバ、または、ＰＣなどである。

文書管理サーバ２０５は、文書情報と対応付けられた署名情報を管理するコンピュータである。文書管理サーバ２０５は、図１に示した情報処理装置１００としての機能を有する。文書管理サーバ２０５は、複数の署名情報を集約した集約署名情報を生成する。文書管理サーバ２０５は、生成した集約署名情報を、図４に後述する制御情報管理テーブル４００に記憶する。文書管理サーバ２０５は、生成した集約署名情報を、検証側端末２０７に送信する。文書管理サーバ２０５は、例えば、サーバ、または、ＰＣなどである。

パブリックＣＡサーバ２０６は、集約公開鍵情報を管理するコンピュータである。パブリックＣＡサーバ２０６は、集約公開鍵情報を、プライベートＣＡサーバ２０４から受信する。パブリックＣＡサーバ２０６は、受信した集約公開鍵情報を、検証側端末２０７に送信する。パブリックＣＡサーバ２０６は、例えば、サーバ、または、ＰＣなどである。

検証側端末２０７は、検証者によって用いられるコンピュータである。検証側端末２０７は、集約署名情報を、文書管理サーバ２０５から受信する。検証側端末２０７は、集約公開鍵情報を、パブリックＣＡサーバ２０６から受信する。検証側端末２０７は、受信した集約公開鍵情報に基づいて、受信した集約署名情報が正当であるか否かを検証する。検証側端末２０７は、例えば、サーバ、または、ＰＣなどである。

ここでは、署名制御システム２００が、承認者に対応する署名側端末２０２を１つ含む場合について説明したが、これに限らない。例えば、署名制御システム２００が、承認者に対応する署名側端末２０２を複数含む場合があってもよい。ここでは、プライベートＣＡサーバ２０４と、文書管理サーバ２０５とが異なる装置である場合について説明したが、これに限らない。例えば、プライベートＣＡサーバ２０４と、文書管理サーバ２０５とが一体である場合があってもよい。

（情報処理装置１００のハードウェア構成例）
次に、図３を用いて、プライベートＣＡサーバ２０４、および、文書管理サーバ２０５に適用される情報処理装置１００のハードウェア構成例について説明する。

図３は、情報処理装置１００のハードウェア構成例を示すブロック図である。図３において、情報処理装置１００は、ＣＰＵ（Ｃｅｎｔｒａｌ Ｐｒｏｃｅｓｓｉｎｇ Ｕｎｉｔ）３０１と、メモリ３０２と、ネットワークＩ／Ｆ（Ｉｎｔｅｒｆａｃｅ）３０３と、記録媒体Ｉ／Ｆ３０４と、記録媒体３０５とを有する。また、各構成部は、バス３００によってそれぞれ接続される。

ここで、ＣＰＵ３０１は、情報処理装置１００の全体の制御を司る。メモリ３０２は、例えば、ＲＯＭ（Ｒｅａｄ Ｏｎｌｙ Ｍｅｍｏｒｙ）、ＲＡＭ（Ｒａｎｄｏｍ Ａｃｃｅｓｓ Ｍｅｍｏｒｙ）およびフラッシュＲＯＭなどを有する。具体的には、例えば、フラッシュＲＯＭやＲＯＭが各種プログラムを記憶し、ＲＡＭがＣＰＵ３０１のワークエリアとして使用される。メモリ３０２に記憶されるプログラムは、ＣＰＵ３０１にロードされることにより、コーディングされている処理をＣＰＵ３０１に実行させる。

ネットワークＩ／Ｆ３０３は、通信回線を通じてネットワーク２１０に接続され、ネットワーク２１０を介して他のコンピュータに接続される。そして、ネットワークＩ／Ｆ３０３は、ネットワーク２１０と内部のインターフェースを司り、他のコンピュータからのデータの入出力を制御する。ネットワークＩ／Ｆ３０３は、例えば、モデムやＬＡＮアダプタなどである。

記録媒体Ｉ／Ｆ３０４は、ＣＰＵ３０１の制御に従って記録媒体３０５に対するデータのリード／ライトを制御する。記録媒体Ｉ／Ｆ３０４は、例えば、ディスクドライブ、ＳＳＤ（Ｓｏｌｉｄ Ｓｔａｔｅ Ｄｒｉｖｅ）、ＵＳＢ（Ｕｎｉｖｅｒｓａｌ Ｓｅｒｉａｌ Ｂｕｓ）ポートなどである。記録媒体３０５は、記録媒体Ｉ／Ｆ３０４の制御で書き込まれたデータを記憶する不揮発メモリである。記録媒体３０５は、例えば、ディスク、半導体メモリ、ＵＳＢメモリなどである。記録媒体３０５は、情報処理装置１００から着脱可能であってもよい。

情報処理装置１００は、上述した構成部の他、例えば、キーボード、マウス、ディスプレイ、プリンタ、スキャナ、マイク、スピーカーなどを有してもよい。また、情報処理装置１００は、記録媒体Ｉ／Ｆ３０４や記録媒体３０５を複数有していてもよい。また、情報処理装置１００は、記録媒体Ｉ／Ｆ３０４や記録媒体３０５を有していなくてもよい。

（制御情報管理テーブル４００の記憶内容）
次に、図４を用いて、制御情報管理テーブル４００の記憶内容の一例について説明する。制御情報管理テーブル４００は、例えば、図３に示した情報処理装置１００のメモリ３０２や記録媒体３０５などの記憶領域により実現される。

図４は、制御情報管理テーブル４００の記憶内容の一例を示す説明図である。図４に示すように、制御情報管理テーブル４００は、署名者と、文書情報と、署名対象と、秘密鍵と、公開鍵と、署名情報とのフィールドを有する。制御情報管理テーブル４００は、署名者ごとに各フィールドに情報を設定することにより、制御情報がレコード４００－ａとして記憶される。ａは、任意の整数である。

署名者のフィールドには、文書情報に署名情報を付与する署名者を識別する識別情報が設定される。署名者は、例えば、法人を含む。文書情報のフィールドには、署名情報が付与される文書情報が設定される。文書情報は、文責者、または、決裁者を示す承認フロー情報を含んでもよい。文責者は、例えば、作成者、または、承認者である。承認フロー情報は、文書情報に付与された集約署名情報の正当性が、いずれの公開鍵情報を集約した集約公開鍵情報に基づき検証可能であるのかを特定可能にする。署名対象のフィールドには、文書情報に対応するハッシュ値が設定される。秘密鍵のフィールドには、署名情報を生成する際に用いる秘密鍵情報が設定される。公開鍵のフィールドには、秘密鍵情報に対応する公開鍵情報が設定される。署名情報のフィールドには、文書情報に付与された署名情報が設定される。

（検証側端末２０７のハードウェア構成例）
次に、図５を用いて、検証側端末２０７のハードウェア構成例について説明する。

図５は、検証側端末２０７のハードウェア構成例を示すブロック図である。図５において、検証側端末２０７は、ＣＰＵ５０１と、メモリ５０２と、ネットワークＩ／Ｆ５０３と、記録媒体Ｉ／Ｆ５０４と、記録媒体５０５とを有する。また、各構成部は、バス５００によってそれぞれ接続される。

ここで、ＣＰＵ５０１は、検証側端末２０７の全体の制御を司る。メモリ５０２は、例えば、ＲＯＭ、ＲＡＭおよびフラッシュＲＯＭなどを有する。具体的には、例えば、フラッシュＲＯＭやＲＯＭが各種プログラムを記憶し、ＲＡＭがＣＰＵ５０１のワークエリアとして使用される。メモリ５０２に記憶されるプログラムは、ＣＰＵ５０１にロードされることにより、コーディングされている処理をＣＰＵ５０１に実行させる。

ネットワークＩ／Ｆ５０３は、通信回線を通じてネットワーク２１０に接続され、ネットワーク２１０を介して他のコンピュータに接続される。そして、ネットワークＩ／Ｆ５０３は、ネットワーク２１０と内部のインターフェースを司り、他のコンピュータからのデータの入出力を制御する。ネットワークＩ／Ｆ５０３は、例えば、モデムやＬＡＮアダプタなどである。

記録媒体Ｉ／Ｆ５０４は、ＣＰＵ５０１の制御に従って記録媒体５０５に対するデータのリード／ライトを制御する。記録媒体Ｉ／Ｆ５０４は、例えば、ディスクドライブ、ＳＳＤ、ＵＳＢポートなどである。記録媒体５０５は、記録媒体Ｉ／Ｆ５０４の制御で書き込まれたデータを記憶する不揮発メモリである。記録媒体５０５は、例えば、ディスク、半導体メモリ、ＵＳＢメモリなどである。記録媒体５０５は、検証側端末２０７から着脱可能であってもよい。

検証側端末２０７は、上述した構成部の他、例えば、キーボード、マウス、ディスプレイ、プリンタ、スキャナ、マイク、スピーカーなどを有してもよい。また、検証側端末２０７は、記録媒体Ｉ／Ｆ５０４や記録媒体５０５を複数有していてもよい。また、検証側端末２０７は、記録媒体Ｉ／Ｆ５０４や記録媒体５０５を有していなくてもよい。

（署名制御システム２００の機能的構成例）
次に、図６を用いて、署名制御システム２００の機能的構成例について説明する。

図６は、署名制御システム２００の機能的構成例を示すブロック図である。署名制御システム２００において、情報処理装置１００は、第１記憶部６００と、第１取得部６０１と、第１生成部６０２と、修正部６０３と、解析部６０４と、第２生成部６０５と、第１出力部６０６とを含む。

第１記憶部６００は、例えば、図３に示したメモリ３０２や記録媒体３０５などの記憶領域によって実現される。以下では、第１記憶部６００が、情報処理装置１００に含まれる場合について説明するが、これに限らない。例えば、第１記憶部６００が、情報処理装置１００とは異なる装置に含まれ、第１記憶部６００の記憶内容が情報処理装置１００から参照可能である場合があってもよい。

第１取得部６０１～第１出力部６０６は、情報処理装置１００の制御部の一例として機能する。第１取得部６０１～第１出力部６０６は、具体的には、例えば、図３に示したメモリ３０２や記録媒体３０５などの記憶領域に記憶されたプログラムをＣＰＵ３０１に実行させることにより、または、ネットワークＩ／Ｆ３０３により、その機能を実現する。各機能部の処理結果は、例えば、図３に示したメモリ３０２や記録媒体３０５などの記憶領域に記憶される。

第１記憶部６００は、各機能部の処理において参照され、または更新される各種情報を記憶する。第１記憶部６００は、複数の文書情報を記憶する。文書情報は、例えば、契約書、または、ソースコードなどといった、複数人によって改版される文書情報である。複数の文書情報は、例えば、第１の文書の複数の版のそれぞれの版を示す文書情報を含む。

第１記憶部６００は、署名者ごとに鍵ペアを記憶する。鍵ペアは、秘密鍵情報と公開鍵情報とを含む。署名者は、例えば、法人を含む。第１記憶部６００は、所定の承認フローに従って、所定の署名者ごとに鍵ペアを記憶する。第１記憶部６００が記憶する鍵ペアの公開鍵情報は、第１記憶部６００が記憶するいずれの文書情報にも対応しない公開鍵情報を含んでもよい。

第１記憶部６００は、文書情報に対応付けて、文書情報に付与された署名情報を記憶する。第１記憶部６００は、例えば、予め定められた署名者ごとに、文書情報と、公開鍵情報と、署名情報とを対応付けて記憶する。第１記憶部６００は、具体的には、図４に示した制御情報管理テーブル４００を記憶する。

第１取得部６０１は、各機能部の処理に用いられる各種情報を取得する。第１取得部６０１は、取得した各種情報を、第１記憶部６００に記憶し、または、各機能部に出力する。また、第１取得部６０１は、第１記憶部６００に記憶しておいた各種情報を、各機能部に出力してもよい。第１取得部６０１は、例えば、利用者の操作入力に基づき、各種情報を取得する。第１取得部６０１は、例えば、情報処理装置１００とは異なる装置から、各種情報を受信してもよい。

第１取得部６０１は、複数の文書情報と、複数の文書情報のそれぞれの文書情報に対応する署名情報とを取得する。第１取得部６０１は、例えば、文書情報と、文書情報に対応する署名情報とを、それぞれの署名側端末２０１～２０３から収集することにより、複数の文書情報と、複数の文書情報のそれぞれの文書情報に対応する署名情報とを取得する。第１取得部６０１は、例えば、利用者の操作入力に基づき、複数の文書情報と、複数の文書情報のそれぞれの文書情報に対応する署名情報とを取得してもよい。

第１取得部６０１は、いずれかの機能部の処理を開始する開始トリガーを受け付けてもよい。開始トリガーは、例えば、利用者による所定の操作入力があったことである。開始トリガーは、例えば、他のコンピュータから、所定の情報を受信したことであってもよい。開始トリガーは、例えば、いずれかの機能部が所定の情報を出力したことであってもよい。第１取得部６０１は、例えば、複数の文書情報と、複数の文書情報のそれぞれの文書情報に対応する署名情報とを取得したことを、第１生成部６０２～第２生成部６０５の処理を開始する開始トリガーとして受け付けてもよい。

第１生成部６０２は、取得した複数の文書情報に基づいて、取得した複数の文書情報のそれぞれの文書情報に対応する署名情報を集約した集約署名情報を生成する。

第１生成部６０２は、取得した複数の文書情報のそれぞれの文書情報に対応するハッシュ値に基づいて、集約署名情報を生成する。第１生成部６０２は、例えば、シェノア署名アルゴリズムを利用する。第１生成部６０２が生成した集約署名情報の正当性は、取得した複数の文書情報と、第１生成部６０２が生成した集約署名情報と、第２生成部６０５が生成した集約公開鍵情報とに基づいて検証可能になる。これにより、第１生成部６０２は、検証者側で、文書情報の正当性を検証可能にする集約署名情報を得ることができる。

第１生成部６０２は、安全素数と、取得した複数の文書情報のそれぞれの文書情報に対応するハッシュ値とに基づいて、集約署名情報を生成する。第１生成部６０２は、例えば、安全素数と、取得した複数の文書情報のそれぞれの文書情報に対応するハッシュ値とに基づいて、パラメータを設定する。そして、第１生成部６０２は、設定したパラメータに基づいて、集約署名情報を生成する。これにより、第１生成部６０２は、集約署名情報を生成する際にかかる処理量の低減化を図ることができる。

第１生成部６０２は、シードと、前記第１の文書のそれぞれの版に対応するハッシュ値とから形成されるハッシュチェーンに基づいて、チェックハッシュ値を生成する。これにより、第１生成部６０２は、検証者側で、文書情報の正当性をより精度よく検証可能にするチェックハッシュ値を得ることができる。

第２生成部６０５は、取得した複数の文書情報のそれぞれの文書情報に対応する公開鍵情報に基づいて、それぞれの文書情報に対応する公開鍵情報を集約した集約公開鍵情報を生成する。文書情報に対応する公開鍵情報は、文書情報に対応する署名情報を生成する際に用いられた秘密鍵情報に対応する公開鍵情報である。これにより、第２生成部６０５は、検証者側で、集約署名情報の正当性を検証する際に用いられる公開鍵情報の数の低減化を図ることができ、集約署名情報の正当性を検証する際にかかるコストの低減化を図ることができる。

第２生成部６０５は、取得した複数の文書情報のそれぞれの文書情報に対応する公開鍵情報と、取得した複数の文書情報のいずれの文書情報にも対応しない公開鍵情報とを集約した集約公開鍵情報を生成する。第２生成部６０５は、例えば、第１記憶部６００が、いずれの文書情報にも対応しない公開鍵情報を記憶していても、第１記憶部６００が記憶する公開鍵情報を集約した集約公開鍵情報を生成する。これにより、第２生成部６０５は、所定の承認フローに従って、集約公開鍵情報を得ることができる。

修正部６０３は、いずれの文書情報にも対応しない公開鍵情報に基づいて、生成した集約署名情報を修正した修正署名情報を生成する。これにより、修正部６０３は、所定の承認フローに反して、いずれかの秘密鍵情報に基づく署名情報が生成されていなくても、集約公開鍵情報に基づいて検証可能な修正署名情報を得ることができる。

解析部６０４は、複数の文書情報と対応付けて出力した集約署名情報が正当ではないと判定された場合、集約元となる複数の署名情報のいずれの署名情報が正当ではないのかを特定する。解析部６０４は、例えば、集約元となる複数の署名情報のそれぞれの署名情報が正当であるか否かを検証する。

解析部６０４は、例えば、集約署名情報が正当ではないと判定された場合、集約署名情報の集約元となる署名情報のうち、一部の署名情報を集約した集約署名情報と、一部の署名情報以外の署名情報を集約した集約署名情報との２つの集約署名情報を取得する。そして、解析部６０４は、取得した２つの集約署名情報のそれぞれの集約署名情報の正当性を検証する。これにより、解析部６０４は、集約元となる複数の署名情報のいずれの署名情報が正当ではないのかを特定することができ、検証者側で把握可能にすることができる。

さらに、例えば、取得した２つの集約署名情報の少なくともいずれかの集約署名情報が正当ではないと判定された場合が考えられる。この場合、解析部６０４は、例えば、正当ではないと判定されたいずれかの集約署名情報の集約元となる署名情報のうち、一部の署名情報を集約した集約署名情報と、一部の署名情報以外の署名情報を集約した集約署名情報との２つの集約署名情報を新たに取得する。そして、解析部６０４は、新たに取得した２つの集約署名情報のそれぞれの集約署名情報の正当性を検証する。これにより、解析部６０４は、集約元となる複数の署名情報のいずれの署名情報が正当ではないのかを特定することができ、検証者側で把握可能にすることができる。

第１出力部６０６は、少なくともいずれかの機能部の処理結果を出力する。出力形式は、例えば、ディスプレイへの表示、プリンタへの印刷出力、ネットワークＩ／Ｆ３０３による外部装置への送信、または、メモリ３０２や記録媒体３０５などの記憶領域への記憶である。これにより、第１出力部６０６は、少なくともいずれかの機能部の処理結果を利用者に通知可能にすることができる。

第１出力部６０６は、生成した集約署名情報を出力する。第１出力部６０６は、例えば、承認フローを示し、集約公開鍵情報を特定可能にする情報と共に、生成した集約署名情報を、複数の文書情報に対応付けて、検証者宛てに出力する。これにより、第１出力部６０６は、検証者側で、文書情報の正当性を検証可能にすることができる。

第１出力部６０６は、生成した集約公開鍵情報を出力する。第１出力部６０６は、例えば、生成した集約公開鍵情報を、検証者宛てに出力する。第１出力部６０６は、具体的には、生成した集約公開鍵情報を、検証者が参照可能にパブリックＣＡサーバ２０６に登録する。これにより、第１出力部６０６は、検証者側で、文書情報の正当性を検証可能にすることができる。

第１出力部６０６は、生成した集約署名情報を、生成した集約公開鍵情報と、複数の文書情報とに対応付けて出力する。第１出力部６０６は、例えば、生成した集約署名情報を、生成した集約公開鍵情報と、取得した複数の文書情報とに対応付けて、取得した複数の文書情報についての検証者宛てに出力する。集約署名情報は、例えば、複数の文書情報の最終版の文書情報と、最終版以外の文書情報に対応するハッシュ値と対応付けられることにより、複数の文書情報に対応付けられる。集約署名情報は、例えば、集約署名情報と対応付けられた最終版の文書情報に含まれる文責者および決裁者を識別する情報により、集約公開鍵情報と対応付けられる。これにより、第１出力部６０６は、検証者側で、文書情報の正当性を検証可能にすることができる。

第１出力部６０６は、取得した２つの集約署名情報のそれぞれの集約署名情報の正当性を検証した結果を出力する。第１出力部６０６は、例えば、取得した２つの集約署名情報のそれぞれの集約署名情報の正当性を検証した結果を、利用者が参照可能に出力する。これにより、第１出力部６０６は、利用者が、いずれの署名情報が正当ではなく、いずれの承認者による承認行為に問題があるのかを把握可能にすることができる。

第１出力部６０６は、生成した修正署名情報を出力する。第１出力部６０６は、例えば、承認フローを示し、集約公開鍵情報を特定可能にする情報と共に、生成した修正署名情報を、複数の文書情報に対応付けて、検証者宛てに出力する。これにより、第１出力部６０６は、検証者側で、文書情報の正当性を検証可能にすることができる。

第１出力部６０６は、生成した修正署名情報を、生成した集約公開鍵情報と、複数の文書情報とに対応付けて出力する。第１出力部６０６は、例えば、生成した修正署名情報を、生成した集約公開鍵情報と、複数の文書情報とに対応付けて、検証者宛てに出力する。これにより、修正部６０３は、所定の承認フローに反して、いずれかの秘密鍵情報に基づく署名情報が生成されていなくても、検証者側で、文書情報の正当性を検証可能にすることができる。

第１出力部６０６は、例えば、チェックハッシュ値を、集約署名情報に対応付けて出力する。これにより、第１出力部６０６は、検証者側で、文書情報の正当性をより精度よく検証可能にすることができる。

署名制御システム２００において、検証側端末２０７は、第２記憶部６１０と、第２取得部６１１と、検証部６１２と、第２出力部６１３とを含む。

第２記憶部６１０は、例えば、図５に示したメモリ５０２や記録媒体５０５などの記憶領域によって実現される。以下では、第２記憶部６１０が、検証側端末２０７に含まれる場合について説明するが、これに限らない。例えば、第２記憶部６１０が、検証側端末２０７とは異なる装置に含まれ、第２記憶部６１０の記憶内容が検証側端末２０７から参照可能である場合があってもよい。

第２取得部６１１～第２出力部６１３は、検証側端末２０７の制御部の一例として機能する。第２取得部６１１～第２出力部６１３は、具体的には、例えば、図５に示したメモリ５０２や記録媒体５０５などの記憶領域に記憶されたプログラムをＣＰＵ５０１に実行させることにより、または、ネットワークＩ／Ｆ５０３により、その機能を実現する。各機能部の処理結果は、例えば、図５に示したメモリ５０２や記録媒体５０５などの記憶領域に記憶される。

第２記憶部６１０は、各機能部の処理において参照され、または更新される各種情報を記憶する。第２記憶部６１０は、複数の文書情報に対応付けられた、複数の文書情報のそれぞれの文書情報に対応する署名情報を集約した集約署名情報と、複数の文書情報のそれぞれの文書情報に対応する公開鍵情報を集約した集約公開鍵情報とを記憶する。第２記憶部６１０は、例えば、複数の文書情報のうちの最終版の文書情報と、複数の文書情報のうちの最終版以外の文書情報に対応するハッシュ値との組み合わせに対応付けられた、集約署名情報と、集約公開鍵情報とを記憶する。

第２取得部６１１は、各機能部の処理に用いられる各種情報を取得する。第２取得部６１１は、取得した各種情報を、記憶部に記憶し、または、各機能部に出力する。また、第２取得部６１１は、記憶部に記憶しておいた各種情報を、各機能部に出力してもよい。第２取得部６１１は、例えば、利用者の操作入力に基づき、各種情報を取得する。第２取得部６１１は、例えば、検証側端末２０７とは異なる装置から、各種情報を受信してもよい。

第２取得部６１１は、複数の文書情報に対応付けられた、集約署名情報と、集約公開鍵情報とを取得する。第２取得部６１１は、例えば、集約署名情報を生成する装置から、複数の文書情報に対応付けられた集約署名情報を取得する。第２取得部６１１は、例えば、集約公開鍵情報を生成する装置から、複数の文書情報に対応付けられた集約公開鍵情報を取得する。

第２記憶部６１０は、例えば、最終版の文書情報と、最終版以外の文書情報に対応するハッシュ値との組み合わせに対応付けられた、集約署名情報と、集約公開鍵情報とを、情報処理装置１００から受信することにより取得する。第２記憶部６１０は、例えば、検証者の操作入力に基づき、複数の文書情報に対応付けられた、集約署名情報と、集約公開鍵情報とを受け付けてもよい。

第２取得部６１１は、いずれかの機能部の処理を開始する開始トリガーを受け付けてもよい。開始トリガーは、例えば、利用者による所定の操作入力があったことである。開始トリガーは、例えば、他のコンピュータから、所定の情報を受信したことであってもよい。開始トリガーは、例えば、いずれかの機能部が所定の情報を出力したことであってもよい。第２取得部６１１は、例えば、複数の文書情報に対応付けられた、集約署名情報と、集約公開鍵情報とを取得したことを、検証部６１２の処理を開始する開始トリガーとして受け付ける。

検証部６１２は、複数の文書情報と、受け付けた集約署名情報と、受け付けた集約公開鍵情報とに基づいて、受け付けた集約署名情報の正当性を検証する。検証部６１２は、例えば、複数の文書情報のそれぞれの文書情報に対応するハッシュ値と、受け付けた集約署名情報と、受け付けた集約公開鍵情報とに基づいて、受け付けた集約署名情報の正当性を検証する。これにより、検証部６１２は、集約署名情報の正当性を検証することができ、文書情報の正当性を検証することができる。

第２出力部６１３は、少なくともいずれかの機能部の処理結果を出力する。出力形式は、例えば、ディスプレイへの表示、プリンタへの印刷出力、ネットワークＩ／Ｆ５０３による外部装置への送信、または、メモリ５０２や記録媒体５０５などの記憶領域への記憶である。これにより、第２出力部６１３は、少なくともいずれかの機能部の処理結果を利用者に通知可能にすることができる。第２出力部６１３は、例えば、検証部６１２が検証した結果を出力する。

ここでは、情報処理装置１００が、検証部６１２を有さない場合について説明したが、これに限らない。例えば、情報処理装置１００が、検証部６１２を有する場合があってもよい。また、ここでは、情報処理装置１００が、第２生成部６０５を有する場合について説明したが、これに限らない。例えば、情報処理装置１００が、第２生成部６０５を有さず、第２生成部６０５を有する他のコンピュータが存在する場合があってもよい。

（署名制御システム２００の具体的な機能的構成例）
次に、図７～図１１を用いて、署名制御システム２００の具体的な機能的構成例について説明する。例えば、図７～図１１を用いて、署名制御システム２００に含まれる各種装置の具体的な機能的構成例について説明する。

まず、図７を用いて、作成者に対応する署名側端末２０１の具体的な機能的構成例について説明する。

図７は、作成者に対応する署名側端末２０１の具体的な機能的構成例を示すブロック図である。署名制御システム２００において、作成者に対応する署名側端末２０１は、鍵ペア生成部７００と、データ受信部７０１と、シード値生成部７０２と、文書作成部７０３と、ハッシュ値計算部７０４と、署名生成部７０５と、データ送信部７０６とを含む。

また、作成者に対応する署名側端末２０１は、秘密鍵記憶部７１０と、公開鍵記憶部７２０とを含む。秘密鍵記憶部７１０は、署名側端末２０１で生成された秘密鍵を記憶する。公開鍵記憶部７２０は、署名側端末２０１で生成された公開鍵を記憶する。

鍵ペア生成部７００は、秘密鍵と公開鍵との鍵ペアを生成し、秘密鍵を秘密鍵記憶部７１０に記憶し、公開鍵を公開鍵記憶部７２０に記憶する。データ受信部７０１は、メッセージを生成するためのデータを受信する。シード値生成部７０２は、シードを生成する。文書作成部７０３は、受信したデータに基づいて、メッセージを生成する。ハッシュ値計算部７０４は、生成したメッセージに対応するハッシュ値を計算する。署名生成部７０５は、計算したハッシュ値に基づいて、メッセージに付与する署名を生成する。

データ送信部７０６は、生成した署名を付与した署名付きメッセージを、文書管理サーバ２０５に送信する。文書管理サーバ２０５では、図１１に後述する署名付き文書記憶部１１１０に、生成した署名を付与した署名付きメッセージが記憶される。データ送信部７０６は、公開鍵を、プライベートＣＡサーバ２０４に送信する。プライベートＣＡサーバ２０４では、図１０に後述する個人公開鍵記憶部１０１０に、公開鍵が記憶される。

次に、図８を用いて、承認者に対応する署名側端末２０２の具体的な機能的構成例について説明する。

図８は、承認者に対応する署名側端末２０２の具体的な機能的構成例を示すブロック図である。署名制御システム２００において、承認者に対応する署名側端末２０２は、鍵ペア生成部８００と、データ受信部８０１と、文書作成部８０２と、ハッシュ値計算部８０３と、署名生成部８０４と、データ送信部８０５とを含む。

また、承認者に対応する署名側端末２０２は、秘密鍵記憶部８１０と、公開鍵記憶部８２０とを含む。秘密鍵記憶部８１０は、署名側端末２０２で生成された秘密鍵を記憶する。公開鍵記憶部８２０は、署名側端末２０２で生成された公開鍵を記憶する。

鍵ペア生成部８００は、秘密鍵と公開鍵との鍵ペアを生成し、秘密鍵を秘密鍵記憶部８１０に記憶し、公開鍵を公開鍵記憶部８２０に記憶する。データ受信部８０１は、署名付きメッセージを文書管理サーバ２０５から受信する。データ受信部８０１は、受信した署名付きメッセージを改版し、新たなメッセージを生成するためのデータを受信する。文書作成部８０２は、受信した署名付きメッセージと、受信したデータとに基づいて、新たなメッセージを生成する。ハッシュ値計算部８０３は、生成したメッセージに対応するハッシュ値を計算する。署名生成部８０４は、計算したハッシュ値に基づいて、メッセージに付与する署名を生成する。

データ送信部８０５は、生成した署名を付与した署名付きメッセージを、文書管理サーバ２０５に送信する。文書管理サーバ２０５では、図１１に後述する署名付き文書記憶部１１１０に、生成した署名を付与した署名付きメッセージが記憶される。データ送信部８０５は、公開鍵を、プライベートＣＡサーバ２０４に送信する。プライベートＣＡサーバ２０４では、図１０に後述する個人公開鍵記憶部１０１０に、公開鍵が記憶される。

また、決裁者に対応する署名側端末２０３の具体的な機能的構成例は、例えば、承認者に対応する署名側端末２０２の具体的な機能的構成例と同様である。

次に、図９を用いて、検証側端末２０７の具体的な機能的構成例について説明する。

図９は、検証側端末２０７の具体的な機能的構成例を示すブロック図である。署名制御システム２００において、検証側端末２０７は、データ受信部９０１と、ハッシュチェーン検証部９０２と、集約署名検証部９０３とを含む。また、検証側端末２０７は、集約署名付き文書記憶部９１０を含む。一方で、パブリックＣＡサーバ２０６は、組織公開鍵記憶部９００を含む。組織公開鍵記憶部９００は、集約公開鍵を記憶する。

集約署名付き文書記憶部９１０は、集約署名付きメッセージを記憶する。集約署名付きメッセージは、例えば、文書管理サーバ２０５から送信される。データ受信部９０１は、集約署名の正当性を検証する際に用いられる集約公開鍵を、パブリックＣＡサーバ２０６から受信する。ハッシュチェーン検証部９０２は、集約署名付きメッセージに付与されたチェックハッシュ値に基づいて、集約署名付きメッセージに対応するハッシュチェーンの正当性を検証する。ハッシュチェーン検証部９０２は、集約署名付きメッセージに対応するハッシュチェーンが正当であれば、集約署名付きメッセージを集約署名検証部９０３に渡す。集約署名検証部９０３は、集約公開鍵に基づいて、集約署名付きメッセージに付与された集約署名の正当性を検証する。

次に、図１０を用いて、プライベートＣＡサーバ２０４の具体的な機能的構成例について説明する。

図１０は、プライベートＣＡサーバ２０４の具体的な機能的構成例を示すブロック図である。署名制御システム２００において、プライベートＣＡサーバ２０４は、集約公開鍵生成部１００１と、公開鍵登録申請部１００２とを含む。また、プライベートＣＡサーバ２０４は、個人公開鍵記憶部１０１０を含む。個人公開鍵記憶部１０１０は、それぞれの署名側端末２０１～２０３で生成された公開鍵を記憶する。

集約公開鍵生成部１００１は、個人公開鍵記憶部１０１０に記憶された、それぞれの署名側端末２０１～２０３で生成された公開鍵を集約し、集約公開鍵を生成する。公開鍵登録申請部１００２は、生成した集約公開鍵を、パブリックＣＡサーバ２０６に送信する。パブリックＣＡサーバ２０６では、図９に示した組織公開鍵記憶部９００に、生成した集約公開鍵が記憶される。

次に、図１１を用いて、文書管理サーバ２０５の具体的な機能的構成例について説明する。

図１１は、文書管理サーバ２０５の具体的な機能的構成例を示す説明図である。署名制御システム２００において、文書管理サーバ２０５は、集約署名生成部１１０１と、データ送信部１１０２とを含む。また、文書管理サーバ２０５は、署名付き文書記憶部１１１０を含む。署名付き文書記憶部１１１０は、それぞれの署名側端末２０１～２０３で生成された署名付きメッセージを記憶する。

集約署名生成部１１０１は、署名付き文書記憶部１１１０に記憶された、署名付きメッセージに付与された署名を集約し、集約署名を生成する。集約署名生成部１１０１は、生成した集約署名を、最終版のメッセージに付与し、集約署名付きメッセージを生成する。データ送信部１１０２は、生成した集約署名付きメッセージを、検証側端末２０７に送信する。検証側端末２０７では、図９に示した集約署名付き文書記憶部９１０に、生成した集約署名付きメッセージが記憶される。

（署名制御システム２００の動作の一例）
次に、図１２を用いて、署名制御システム２００の動作の一例について説明する。

図１２は、署名制御システム２００の動作の一例を示す説明図である。図１２において、位数は、ｐとする。秘密鍵を生成する際、または、署名を生成する際などに用いられる剰余群は、Ｚ_p＝Ｚ／Ｚ_pとする。公開鍵を生成する際、または、署名を生成する際などに用いられる値は、ｇとする。暗号学的ハッシュ関数は、Ｈ（ｘ）とする。Ｈ（ｘ）は、例えば、ＳＨＡ２５６、または、ＳＨＡ－３などのＳｅｃｕｒｅ Ｈａｓｈ Ａｌｇｏｒｉｔｈｍを利用する。

署名側端末２０１～２０３は、剰余群Ｚ_pから一様ランダムにｘを選択し、秘密鍵に設定する。署名側端末２０１～２０３は、Ｘ：＝ｇ^xを、秘密鍵ｘに対応する公開鍵に設定する。署名側端末２０１～２０３は、メッセージｍに対して、秘密鍵ｘに基づいて署名を生成する。署名側端末２０１～２０３は、例えば、剰余群Ｚ_pから一様ランダムにｒを選択し、署名要素Ｒ：＝ｇ^rを設定する。

署名側端末２０１～２０３は、例えば、メッセージハッシュｃ：＝Ｈ（Ｒ｜｜ｍ）を設定する。署名側端末２０１～２０３は、署名要素ｓ：＝ｒ＋ｘｃ（ｍｏｄ（ｐ－１））を設定する。署名側端末２０１～２０３は、署名要素ｓ，Ｒを、メッセージｍに対する署名（ｓ，Ｒ）に設定し、文書管理サーバ２０５に送信する。

図１２の例では、メッセージｍ₁，ｍ₂，ｍ₃が存在するとする。文書管理サーバ２０５は、メッセージｍ₁，ｍ₂，ｍ₃と、それぞれメッセージｍ₁，ｍ₂，ｍ₃に対応する３つの署名（ｓ₁，Ｒ₁），（ｓ₂，Ｒ₂），（ｓ₃，Ｒ₃）を有する。

文書管理サーバ２０５は、３つの署名（ｓ₁，Ｒ₁），（ｓ₂，Ｒ₂），（ｓ₃，Ｒ₃）を単一の集約署名（ｓ’，Ｒ’）に集約する。文書管理サーバ２０５は、例えば、補助パラメータｄ＝｛ｄ_i＝（Π_[j∈_[1,2,3]-[i]]ｃ_j）｝＝｛ｄ₁＝ｃ₂×ｃ₃，ｄ₂＝ｃ₃×ｃ₁，ｄ₃＝ｃ₁×ｃ₂｝（ｍｏｄ（ｐ－１））を設定する。文書管理サーバ２０５は、例えば、署名要素ｓ’：＝ｓ₁×ｄ₁＋ｓ₂×ｄ₂＋ｓ₃×ｄ₃（ｍｏｄ（ｐ－１））を設定する。文書管理サーバ２０５は、例えば、署名要素Ｒ’：＝Ｒ₁ ^(d1)×Ｒ₂ ^(d2)×Ｒ₃ ^(d3)を設定する。文書管理サーバ２０５は、単一の集約署名（ｓ’，Ｒ’）を設定する。

文書管理サーバ２０５は、３つの公開鍵Ｘ₁，Ｘ₂，Ｘ₃を単一の集約公開鍵Ｘ’に集約する。文書管理サーバ２０５は、例えば、単一の集約公開鍵Ｘ’＝Ｘ₁×Ｘ₂×Ｘ₃を設定する。これにより、文書管理サーバ２０５は、単一の集約署名（ｓ’，Ｒ’）の正当性を検証する際に、３つの公開鍵Ｘ₁，Ｘ₂，Ｘ₃を用いずに済ませることができ、単一の集約公開鍵Ｘ’を用いればよくすることができる。このため、文書管理サーバ２０５は、単一の集約署名（ｓ’，Ｒ’）の正当性を検証する際に用いられる公開鍵の数の低減化を図り、単一の集約署名（ｓ’，Ｒ’）の正当性を検証する際にかかるコストの低減化を図ることができる。

検証側端末２０７は、集約公開鍵Ｘ’に基づいて、集約署名（ｓ’，Ｒ’）の正当性を検証する。検証側端末２０７は、メッセージハッシュｃ₁：＝Ｈ（Ｒ₁｜｜ｍ₁），ｃ₂：＝Ｈ（Ｒ₂｜｜ｍ₂），ｃ₃：＝Ｈ（Ｒ₃｜｜ｍ₃）を設定する。検証側端末２０７は、ｃ’：＝ｃ₁×ｃ₂×ｃ₃を算出し、ｇ^(s’⁾とＲ’×（Ｘ’）^(c’⁾が一致するか否
かを判定する。検証側端末２０７は、一致すると判定した場合、単一の集約署名（ｓ’，Ｒ’）が正当であると判定する。一方で、検証側端末２０７は、一致しないと判定した場合、単一の集約署名（ｓ’，Ｒ’）が正当ではないと判定する。

これにより、検証側端末２０７は、単一の集約署名（ｓ’，Ｒ’）の正当性を検証し、メッセージｍ₁，ｍ₂，ｍ₃が正当であるか否かを判断することができる。また、検証側端末２０７は、単一の集約署名（ｓ’，Ｒ’）の正当性を検証し、３つの署名（ｓ₁，Ｒ₁），（ｓ₂，Ｒ₂），（ｓ₃，Ｒ₃）が正当であるか否かを判断することができる。このため、検証側端末２０７は、セキュリティの向上を図ることができる。検証側端末２０７は、署名の数に依らず、単一の集約公開鍵Ｘ’に基づいて、単一の集約署名（ｓ’，Ｒ’）の正当性を検証することができ、検証にかかる処理量の低減化を図ることができる。

（署名制御システム２００の動作の具体例）
次に、図１３～図１５を用いて、署名制御システム２００の動作の具体例について説明する。

図１３～図１５は、署名制御システム２００の動作の具体例を示す説明図である。具体例では、署名制御システム２００は、複数版の文書のうち、最終版以外の文書を検証者から秘匿しつつ、最終版の文書の内容に基づいて、複数版の文書が生成された過程を検証可能とする。

図１３において、作成者が、文書第１版を作成する。承認者が、文書第１版に基づく文書第２版を作成する。決裁者が、文書第２版に基づく文書第３版を作成する。文書第３版が、文書最終版として確定される。このように、文書が段階的に修正される状況である。

文書管理サーバ２０５は、作成者により署名側端末２０１で生成された、文書第１版と、文書第１版に対応する署名１：＝（ｓ₁，Ｒ₁）とを取得する。文書管理サーバ２０５は、承認者により署名側端末２０２で生成された、文書第１版に基づく文書第２版と、文書第２版に対応する署名２：＝（ｓ₂，Ｒ₂）とを取得する。文書管理サーバ２０５は、決裁者により署名側端末２０３で生成された、文書第２版に基づく文書第３版と、文書第３版に対応する署名３：＝（ｓ₃，Ｒ₃）とを取得する。文書管理サーバ２０５は、文書第３版に基づく文書最終版を取得する。

文書管理サーバ２０５は、署名１：＝（ｓ₁，Ｒ₁）と、署名２：＝（ｓ₂，Ｒ₂）と、署名３：＝（ｓ₃，Ｒ₃）とを、単一の集約署名（ｓ’，Ｒ’）に集約する。単一の集約署名（ｓ’，Ｒ’）は、法人を代表するｅ－Ｓｅａｌとなる。

文書管理サーバ２０５は、例えば、補助パラメータｄ＝｛ｄ_i＝（Π_[j∈_[1,2,3]-[i]]ｃ_j）｝＝｛ｄ₁＝ｃ₂×ｃ₃，ｄ₂＝ｃ₃×ｃ₁，ｄ₃＝ｃ₁×ｃ₂｝（ｍｏｄ（ｐ－１））を設定する。補助パラメータｄを設定する一例については、具体的には、図１７および図１８を用いて後述する。

文書管理サーバ２０５は、例えば、署名要素ｓ’：＝ｓ₁×ｄ₁＋ｓ₂×ｄ₂＋ｓ₃×ｄ₃（ｍｏｄ（ｐ－１））を設定する。文書管理サーバ２０５は、例えば、署名要素Ｒ’：＝Ｒ₁ ^(d1)×Ｒ₂ ^(d2)×Ｒ₃ ^(d3)を設定する。文書管理サーバ２０５は、単一の集約署名（ｓ’，Ｒ’）を生成する。

プライベートＣＡサーバ２０４は、公開鍵Ｘ₁，Ｘ₂，Ｘ₃を集約し、集約公開鍵Ｘ’＝Ｘ₁・Ｘ₂・Ｘ₃を生成する。プライベートＣＡサーバ２０４は、集約公開鍵Ｘ’を、社外に存在するパブリックＣＡサーバ２０６に送信する。ここで、一旦、図１４の説明に移行する。

図１４において、文書管理サーバ２０５は、ハッシュチェーン１４００を生成し、チェックハッシュ値ｃｈｋ_hashを生成する。文書管理サーバ２０５は、例えば、シード値と、文書各版のメッセージハッシュｈｓ_iとから形成されるハッシュチェーン１４００に基づいて、チェックハッシュ値ｃｈｋ_hashを生成する。

文書管理サーバ２０５は、具体的には、ハッシュ関数を利用して、シード値と、文書第１版のメッセージハッシュｈｓ₁とに基づいて、第１ハッシュ値を算出する。文書管理サーバ２０５は、具体的には、ハッシュ関数を利用して、算出した第１ハッシュ値と、文書第２版のメッセージハッシュｈｓ₂とに基づいて、第２ハッシュ値を算出する。文書管理サーバ２０５は、具体的には、ハッシュ関数を利用して、算出した第２ハッシュ値と、文書第３版のメッセージハッシュｈｓ₃とに基づいて、第３ハッシュ値を算出する。

文書管理サーバ２０５は、第３ハッシュ値を、チェックハッシュ値ｃｈｋ_hashに設定する。文書管理サーバ２０５は、シード値と、文書第１版のメッセージハッシュｈｓ₁と、文書第２版のメッセージハッシュｈｓ₂と、文書最終版＝文書第３版と、チェックハッシュ値ｃｈｋ_hashとの組み合わせを、検証用情報として纏めておく。

図１３の説明に戻り、文書管理サーバ２０５は、纏められた検証用情報と、生成された単一の集約署名（ｓ’，Ｒ’）とを対応付けて、検証側端末２０７に送信する。検証側端末２０７は、纏められた検証用情報と、生成された単一の集約署名（ｓ’，Ｒ’）とを受信する。検証側端末２０７は、生成された集約公開鍵Ｘ’を、パブリックＣＡサーバ２０６から取得する。ここで、一旦、図１５の説明に移行する。

図１５において、検証側端末２０７は、ハッシュチェーン１５００を生成し、チェックハッシュ値ｃｈｋ_hashを生成する。検証側端末２０７は、例えば、シード値と、文書第１版のメッセージハッシュｈｓ₁と、文書第２版のメッセージハッシュｈｓ₂と、文書最終版とから形成されるハッシュチェーン１５００に基づいて、チェックハッシュ値ｃｈｋ_hashを生成する。

検証側端末２０７は、具体的には、ハッシュ関数を利用して、シード値と、文書第１版のメッセージハッシュｈｓ₁とに基づいて、第１ハッシュ値を算出する。検証側端末２０７は、具体的には、ハッシュ関数を利用して、算出した第１ハッシュ値と、文書第２版のメッセージハッシュｈｓ₂とに基づいて、第２ハッシュ値を算出する。検証側端末２０７は、具体的には、ハッシュ関数を利用して、文書最終版＝文書第３版のメッセージハッシュｈｓ₃を算出する。検証側端末２０７は、具体的には、ハッシュ関数を利用して、算出した第２ハッシュ値と、文書第３版のメッセージハッシュｈｓ₃とに基づいて、第３ハッシュ値を算出する。

検証側端末２０７は、第３ハッシュ値を、チェックハッシュ値ｃｈｋ_hashに設定する。検証側端末２０７は、設定したチェックハッシュ値ｃｈｋ_hashが、受信した検証用情報に含まれるチェックハッシュ値ｃｈｋ_hashと一致するか否かを判定する。ここで、検証側端末２０７は、一致すると判定した場合、ハッシュチェーン１５００が正当であると判定する。一方で、検証側端末２０７は、一致しないと判定した場合、ハッシュチェーン１５００が正当ではなく、文書最終版が正当ではないと判定する。

図１３の説明に戻り、検証側端末２０７は、ハッシュチェーン１５００が正当であると判定した場合、受信した集約公開鍵Ｘ’に基づいて、受信した単一の集約署名（ｓ’，Ｒ’）の正当性を検証する。検証側端末２０７は、例えば、メッセージハッシュｃ₁＝Ｈ（Ｒ₁｜｜ｍ₁），ｃ₂＝Ｈ（Ｒ₂｜｜ｍ₂），ｃ₃＝Ｈ（Ｒ₃｜｜ｍ₃）を取得し、ｃ’＝ｃ₁ｃ₂ｃ₃を算出する。ここで、検証側端末２０７は、ｇ^(s’⁾≡Ｒ’（Ｘ’）^c′
であれば、単一の集約署名（ｓ’，Ｒ’）が正当であると判定する。一方で、検証側端末２０７は、ｇ^(s’⁾≡Ｒ’（Ｘ’）^c′でなければ、単一の集約署名（ｓ’，Ｒ’）が正
当ではなく、文書最終版が正当ではないと判定する。

検証側端末２０７は、ハッシュチェーン１５００が正当、かつ、単一の集約署名（ｓ’，Ｒ’）が正当であれば、文書最終版が正当であると判定する。これにより、検証側端末２０７は、検証者が、不正な文書を、誤って正当な文書と認識してしまうことを防止することができる。検証側端末２０７は、複数の公開鍵を取得せずとも、単一の集約公開鍵Ｘ’を取得すれば、単一の集約署名（ｓ’，Ｒ’）の正当性を検証することができる。このため、検証側端末２０７は、単一の集約署名（ｓ’，Ｒ’）の正当性を検証する際にかかるコストの低減化を図ることができる。検証側端末２０７は、ハッシュチェーン１５００の正当性を検証するため、文書第１版、および、文書第２版が、改ざん、または、置き換えされていないことを確認することができる。このため、検証側端末２０７は、セキュリティの向上を図ることができる。

（署名を検証する一例）
次に、図１６を用いて、単一の集約署名（ｓ’，Ｒ’）が正当ではないと判定された場合に、文書管理サーバ２０５が、署名を検証する一例について説明する。

図１６は、署名を検証する一例を示す説明図である。図１６において、文書管理サーバ２０５は、単一の集約署名（ｓ’，Ｒ’）が正当ではないと判定され、検証失敗したことを検出する。文書管理サーバ２０５は、例えば、単一の集約署名（ｓ’，Ｒ’）が検証失敗したことの通知を、検証側端末２０７から受信する。この場合、単一の集約署名（ｓ’，Ｒ’）の集約元となる少なくともいずれかの署名に、検証失敗した原因が存在すると考えられる。

このため、文書管理サーバ２０５が、検証失敗した原因となる署名を発見し、署名側端末２０１～２０３に、検証失敗した原因となる署名を生成し直させるようにすることが望まれる。文書管理サーバ２０５は、例えば、集約元となるＮ個の署名のそれぞれの署名ｊ（ｊ＝１～Ｎ）の正当性を検証することにより、検証失敗した原因となる署名を発見する。これにより、文書管理サーバ２０５は、署名側端末２０１～２０３に、検証失敗した原因となる署名を生成し直させることができる。

ここでは、文書管理サーバ２０５が、集約元となるＮ個の署名のそれぞれの署名ｊ（ｊ＝１～Ｎ）の正当性を検証し、検証失敗した原因となる署名を発見する場合について説明したが、これに限らない。例えば、文書管理サーバ２０５が、さらに、検証失敗した原因となる署名を発見する際にかかる処理量の低減化を図る場合があってもよい。

この場合、文書管理サーバ２０５は、予め、単一の集約署名ｓ_1,1＝（ｓ’，Ｒ’）を生成するにあたり、集約元となるｊ＋１個の署名のうち、一部の署名を集約した集約署名ｓ_x,yを生成し、リストに登録しておく。文書管理サーバ２０５は、例えば、番号順に並べたｊ＋１個の署名のうち、隣り合う署名同士を集約し、段ｘ＝ｋに属する集約署名ｓ_x=k,yを生成し、リストに登録しておく。例えば、ｙ＝１，２，３，・・・である。

文書管理サーバ２０５は、下段ｘ＝ｉ＋１に属する集約署名ｓ_x=i+1,yのうち、隣り合う署名同士を集約し、上段ｘ＝ｉに属する集約署名ｓ_x=i,yを生成し、集約元と集約先との関係を特定可能に、リストに登録しておくことを、再帰的に繰り返す。最終的に、文書管理サーバ２０５は、単一の集約署名ｓ_1,1＝（ｓ’，Ｒ’）を生成する。

文書管理サーバ２０５は、単一の集約署名（ｓ’，Ｒ’）が検証失敗したことを検出すると、リストを読み出す。文書管理サーバ２０５は、リストのうち、段ｘ＝２に属する集約署名ｓ_x=2,yの正当性を検証する。文書管理サーバ２０５は、上段ｘ＝ｉに属する集約署名ｓ_x=i,yのうち、正当ではないと判定された集約署名ｓ_x=i,yの集約元となった、下段ｘ＝ｉ＋１に属する集約署名ｓ_x=i+1,yの正当性を検証することを繰り返す。これにより、文書管理サーバ２０５は、正当ではない署名ｊを発見することができる。また、文書管理サーバ２０５は、検証失敗した原因となる署名を発見する際にかかる処理量を、Ｏ（ｌｏｇ（Ｎ））に抑制することができる。

（補助パラメータｄを設定する一例）
次に、図１７および図１８を用いて、文書管理サーバ２０５が、補助パラメータｄを設定する一例について説明する。

図１７および図１８は、補助パラメータｄを設定する一例を示す説明図である。文書管理サーバ２０５は、剰余の性質を利用して、補助パラメータｄを効率的に算出する。文書管理サーバ２０５は、例えば、位数ｐを安全素数に設定する。安全素数は、ｐ＝２ｑ＋１のｑを素数にするｐである。

（１７－１）文書管理サーバ２０５は、２^k除算アルゴリズムにより、それぞれのメッセージハッシュｃ_iを２進数展開し、数式１７１１～１７１ｎに示す「ｃ_i’←２＾（－ｔ_i）・ｃ_i」の形式に変形する。

（１７－２）文書管理サーバ２０５は、ｔ_iソートアルゴリズムにより、数式１７１１～１７１ｎに示す「ｃ_i’←２＾（－ｔ_i）・ｃ_i」の形式を、ｔ₁≦ｔ₂≦・・・≦ｔ_Nの順にソートする。

（１７－３）文書管理サーバ２０５は、Ｃ計算アルゴリズムにより、数式１７２０に示すＣを算出する。

（１７－４）文書管理サーバ２０５は、逆数計算アルゴリズムにより、それぞれのｃ_i’について、数式１７３１～１７３ｎに示す逆数ｙ_iを算出する。

（１７－５）文書管理サーバ２０５は、ｄ計算アルゴリズムにより、算出したＣに基づいて、それぞれの逆数ｙ_iに基づいて、数式１７４１～１７４ｎに示すｄ_iを算出する。

（１７－６）文書管理サーバ２０５は、算出したｄ_iを纏め、数式１７５０に示す補助パラメータｄを設定する。次に、図１８の説明に移行する。

図１８の表１８００は、補助パラメータｄを設定する際にかかる処理時間を示す。表１８００は、例えば、図１７に示した手法で、補助パラメータｄを設定する際にかかる処理時間を示す。また、表１８００は、例えば、比較例として、ｄ＝｛ｄ_i＝П_j∈_[N]-[i]ｃ_j｝（ｍｏｄ（ｐ－１））を算出する手法で、補助パラメータｄを設定する際にかかる処理時間を示す。

表１８００に示すように、文書管理サーバ２０５は、図１７に示した手法によれば、比較例とする手法よりも、補助パラメータｄを設定する際にかかる処理時間を低減することができる。文書管理サーバ２０５は、例えば、処理時間を、Ｏ（Ｎ²）ではなくＯ（Ｎ）にすることができる。文書管理サーバ２０５は、図１７に示した手法によれば、署名の数が増加しても、比較的短い処理時間で、補助パラメータｄを設定することができる。

（集約署名を修正する一例）
次に、図１９および図２０を用いて、集約署名を修正する一例について説明する。

図１９および図２０は、集約署名を修正する一例を示す説明図である。例えば、承認フローに定められた、いずれかの承認者が、文書を承認することができず、署名側端末２０１～２０３を操作することができず、文書に署名を付与することができない場合がある。具体的には、いずれかの承認者が、休暇中、または、出張中などの状態で、不在であり、署名側端末２０１～２０３を操作することができず、文書に署名を付与することができない場合がある。

しかしながら、いずれかの承認者が、休暇中、または、出張中などの状態にある場合、署名制御システム２００において、集約公開鍵により検証可能な集約署名を生成することができないとすれば、署名制御システム２００の利便性の低下を招くことになる。従って、署名制御システム２００において、一時的に公開鍵を無効化し、いずれかの承認者により、文書に署名が付与されていなくても、集約公開鍵により検証可能な集約署名を生成可能にすることが望まれる。また、承認者が、休暇中、または、出張中などの状態にある場合、承認フローを変更し、集約公開鍵を配布し直すことは、作業コストの観点などから好ましくない。

図１９において、文書管理サーバ２０５は、メッセージｍ_iと、いずれかの承認者に対応する無効化する公開鍵ｐｋ_revとに基づいて、いずれかの承認者に対応する署名が集約されなかった集約署名を修正し、修正署名を生成する。修正署名は、いずれかの承認者に対応する公開鍵ｐｋ_revが集約された集約公開鍵Ｘ’により検証可能な署名である。例えば、ｉ＝１，２，３である。ここで、図２０の説明に移行し、文書管理サーバ２０５が、集約署名を修正する具体例について説明する。

図２０において、文書管理サーバ２０５は、無効化する公開鍵Ｘ₂の指定を受け付ける。ここで、生成済みの集約署名（Ｓ”＝ｓ₁ｃ₃＋ｓ₃ｃ₁，Ｒ”＝Ｒ₁ ^(c3)Ｒ₃ ^(c2)）であり、公開鍵Ｘ₂によって検証可能な署名（ｓ₂，Ｒ₂）が集約されていない情報である。文書管理サーバ２０５は、集約署名（Ｓ”，Ｒ”）を修正し、集約公開鍵Ｘ’＝Ｘ₁Ｘ₂Ｘ₃により検証可能な修正署名を生成する。修正署名は、集約公開鍵Ｘ’＝Ｘ₁Ｘ₂Ｘ₃により検証可能にするため、下記式（１）が成立するように生成されればよい。

ｇ^(s’⁾≡Ｒ’（Ｘ’）^(c’⁾（ｍｏｄ（ｐ））
∵ｇ^(s’⁾≡Ｒ”（Ｘ₁Ｘ₃）^(c1c3)
≡Ｘ₂ ^(-c1c3)Ｒ”（Ｘ₁Ｘ₂Ｘ₃）^(c1c3)
≡Ｒ’（Ｘ’）^(c’⁾ ・・・（１）

文書管理サーバ２０５は、具体的には、上記式（１）が成立するよう、集約署名（Ｓ”，Ｒ”）を修正する。文書管理サーバ２０５は、より具体的には、集約署名（Ｓ”，Ｒ”）と、メッセージｍ₁，ｍ₃と、無効化する公開鍵ｐｋ₂＝Ｘ₂とに基づいて、集約公開鍵Ｘ’＝Ｘ₁Ｘ₂Ｘ₃により検証可能な修正署名ｓ’＝（ｓ”，Ｒ’＝Ｘ₂ ^(-c1c3)Ｒ”）を生成する。これにより、文書管理サーバ２０５は、承認者が不在であっても、集約公開鍵Ｘにより検証可能な修正署名ｓ’を生成することができる。このため、文書管理サーバ２０５は、一時的に公開鍵を無効化することができ、署名制御システム２００の利便性の向上を図ることができる。

（署名制御システム２００による効果）
次に、図２１を用いて、署名制御システム２００による効果について説明する。

図２１は、署名制御システム２００による効果を示す説明図である。図２１の表２１００は、プライベートＣＡサーバ２０４で管理する公開鍵の数、および、パブリックＣＡサーバ２０６で管理する公開鍵の数を示す。表２１００は、例えば、署名制御システム２００において、プライベートＣＡサーバ２０４で管理する公開鍵の数、および、パブリックＣＡサーバ２０６で管理する公開鍵の数を示す。また、表２１００は、例えば、従来のプライベートＣＡサーバ２０４で管理する公開鍵の数、および、従来のパブリックＣＡサーバ２０６で管理する公開鍵の数を示す。

表２１００に示すように、署名制御システム２００は、パブリックＣＡサーバ２０６で管理する公開鍵の数を、従来に比べて、Ｎ個から１個に低減することができる。このため、署名制御システム２００は、公開鍵を管理する際にかかるコスト、および、公開鍵を利用する際にかかるコストの低減化を図ることができる。

具体的には、公開鍵のデータ長が、２０４８［ｂｉｔ］であれば、従来のパブリックＣＡサーバ２０６には、承認者が１００人存在する場合、２０４８×１００［ｂｉｔ］の情報が記憶されることになる。このため、従来では、集約署名の正当性を検証する際にかかる処理コストは、Ｏ（Ｎ）となる。

一方で、署名制御システム２００は、集約署名の正当性を検証する際、単一の集約公開鍵を利用すればよいため、集約署名の正当性を検証する際にかかる処理コストを、Ｏ（１）に低減することができる。署名制御システム２００は、承認者の数によらず、パブリックＣＡサーバ２０６で管理する情報を、２０４８［ｂｉｔ］に固定することができる。

（鍵生成処理手順）
次に、図２２を用いて、署名制御システム２００が実行する、鍵生成処理手順の一例について説明する。鍵生成処理は、例えば、図３に示したＣＰＵ３０１と、メモリ３０２や記録媒体３０５などの記憶領域と、ネットワークＩ／Ｆ３０３となどによって実現される。

図２２は、鍵生成処理手順の一例を示すフローチャートである。図２２において、プライベートＣＡサーバ２０４は、鍵生成要求を、作成者、承認者、および、決裁者に対応する署名側端末２０１～２０３に送信する（ステップＳ２２０１）。

一方で、署名側端末２０１～２０３は、鍵生成要求を受信すると、秘密鍵ｘ_iと、公開鍵Ｘ_iとの鍵ペアを生成する（ステップＳ２２０２）。次に、署名側端末２０１～２０３は、生成した秘密鍵ｘ_iを記憶する（ステップＳ２２０３）。そして、署名側端末２０１～２０３は、生成した公開鍵Ｘ_iを記憶する（ステップＳ２２０４）。そして、署名側端末２０１～２０３は、生成した公開鍵Ｘ_iを、プライベートＣＡサーバ２０４に送信する（ステップＳ２２０５）。

一方で、プライベートＣＡサーバ２０４は、公開鍵Ｘ_iを、それぞれの署名側端末２０１～２０３から受信する（ステップＳ２２０６）。ｉ＝１，２，３である。次に、プライベートＣＡサーバ２０４は、公開鍵Ｘ_iを集約した集約公開鍵Ｘ’を生成して記憶する（ステップＳ２２０７）。そして、プライベートＣＡサーバ２０４は、集約公開鍵Ｘ’を含めた、集約公開鍵Ｘ’のデジタル証明書の作成依頼を、パブリックＣＡサーバ２０６に送信する（ステップＳ２２０８）。

一方で、パブリックＣＡサーバ２０６は、集約公開鍵Ｘ’のデジタル証明書の作成依頼を受け付けると、集約公開鍵Ｘ’のデジタル証明書を作成し、プライベートＣＡサーバ２０４に送信する（ステップＳ２２０９）。

一方で、プライベートＣＡサーバ２０４は、受信した集約公開鍵Ｘ’のデジタル証明書を記憶する（ステップＳ２２１０）。次に、プライベートＣＡサーバ２０４は、公開鍵Ｘ_iのデジタル証明書を作成して記憶する（ステップＳ２２１１）。その後、署名制御システム２００は、鍵生成処理を終了する。

（文書作成処理手順）
次に、図２３を用いて、署名制御システム２００が実行する、文書作成処理手順の一例について説明する。文書作成処理は、例えば、図３に示したＣＰＵ３０１と、メモリ３０２や記録媒体３０５などの記憶領域と、ネットワークＩ／Ｆ３０３となどによって実現される。

図２３は、文書作成処理手順の一例を示すフローチャートである。図２３において、署名側端末２０１は、シードを生成し、文書管理サーバ２０５に送信する（ステップＳ２３０１）。

一方で、文書管理サーバ２０５は、シードを受信する（ステップＳ２３０２）。

一方で、署名側端末２０１は、文書ｍ₁を生成する（ステップＳ２３０３）。次に、署名側端末２０１は、シードと文書ｍ₁とに基づいて、ハッシュ値ｈｓ₁を生成する（ステップＳ２３０４）。そして、署名側端末２０１は、秘密鍵ｘ₁を取得する（ステップＳ２３０５）。

次に、署名側端末２０１は、秘密鍵ｘ₁に基づいて、文書ｍ₁に対する署名σ₁を生成する（ステップＳ２３０６）。そして、署名側端末２０１は、文書ｍ₁と、ハッシュ値ｈｓ₁と、署名σ₁とを、文書管理サーバ２０５に送信する（ステップＳ２３０７）。

一方で、文書管理サーバ２０５は、文書ｍ₁と、ハッシュ値ｈｓ₁と、署名σ₁とを、署名側端末２０１から受信する（ステップＳ２３０８）。次に、文書管理サーバ２０５は、受信したハッシュ値ｈｓ₁が、受信したシードと、受信した文書ｍ₁とに対応するか否かを判定する（ステップＳ２３０９）。

ここで、受信したハッシュ値ｈｓ₁が、受信したシードと、受信した文書ｍ₁とに対応しない場合（ステップＳ２３０９：検証失敗）、文書管理サーバ２０５は、検証失敗の通知を、署名側端末２０１に送信する。そして、署名側端末２０１は、ステップＳ２３１２の処理に移行する。一方で、受信したハッシュ値ｈｓ₁が、受信したシードと、受信した文書ｍ₁とに対応する場合（ステップＳ２３０９：検証成功）、文書管理サーバ２０５は、検証成功と判断し、ステップＳ２３１０，Ｓ２３１１の処理に移行する。

文書管理サーバ２０５は、公開鍵Ｘ₁を取得する（ステップＳ２３１０）。そして、文書管理サーバ２０５は、公開鍵Ｘ₁に基づいて、受信した署名σ₁が正当であるか否かを判定する（ステップＳ２３１１）。

ここで、受信した署名σ₁が正当ではない場合（ステップＳ２３１１：検証失敗）、文書管理サーバ２０５は、検証失敗の通知を、署名側端末２０１に送信する。そして、署名側端末２０１は、ステップＳ２３１２の処理に移行する。一方で、受信した署名σ₁が正当である場合（ステップＳ２３１１：検証成功）、文書管理サーバ２０５は、検証成功と判断し、ステップＳ２３１３の処理に移行する。

ステップＳ２３１２では、署名側端末２０１は、検証失敗の通知を受け付けると、署名σ₁を生成し直す（ステップＳ２３１２）。そして、署名側端末２０１は、ステップＳ２３０１の処理に戻る。

ステップＳ２３１３では、文書管理サーバ２０５は、受信した文書ｍ₁と、受信したハッシュ値ｈｓ₁と、受信した署名σ₁とを、自装置が有する制御情報管理テーブル４００に記憶する（ステップＳ２３１３）。次に、文書管理サーバ２０５は、文書ｍ₁を登録したことの通知を、署名側端末２０１に送信する（ステップＳ２３１４）。

一方で、署名側端末２０１は、文書ｍ₁を登録したことの通知を受信する（ステップＳ２３１５）。その後、署名制御システム２００は、文書作成処理を終了する。

（文書承認処理手順）
次に、図２４を用いて、署名制御システム２００が実行する、文書承認処理手順の一例について説明する。文書承認処理は、例えば、図３に示したＣＰＵ３０１と、メモリ３０２や記録媒体３０５などの記憶領域と、ネットワークＩ／Ｆ３０３となどによって実現される。

図２４は、文書承認処理手順の一例を示すフローチャートである。図２４において、文書管理サーバ２０５は、記憶した文書ｍ₁と、ハッシュ値ｈｓ₁と、署名σ₁とを、承認者に対応する署名側端末２０２に送信する（ステップＳ２４０１）。

一方で、署名側端末２０１は、文書ｍ₁と、ハッシュ値ｈｓ₁と、署名σ₁とを受信する（ステップＳ２４０２）。次に、署名側端末２０２は、文書ｍ₂を生成する（ステップＳ２４０３）。そして、署名側端末２０２は、ハッシュ値ｈｓ₁と文書ｍ₂とに基づいて、ハッシュ値ｈｓ₂を生成する（ステップＳ２４０４）。

次に、署名側端末２０２は、秘密鍵ｘ₂を取得する（ステップＳ２４０５）。そして、署名側端末２０２は、秘密鍵ｘ₂に基づいて、文書ｍ₂に対する署名σ₂を生成する（ステップＳ２４０６）。そして、署名側端末２０２は、文書ｍ₂と、ハッシュ値ｈｓ₂と、署名σ₂とを、文書管理サーバ２０５に送信する（ステップＳ２４０７）。

一方で、文書管理サーバ２０５は、文書ｍ₂と、ハッシュ値ｈｓ₂と、署名σ₂とを、署名側端末２０２から受信する（ステップＳ２４０８）。そして、文書管理サーバ２０５は、受信したハッシュ値ｈｓ₂が、ハッシュ値ｈｓ₁と、受信した文書ｍ₂とに対応するか否かを判定する（ステップＳ２４０９）。

ここで、受信したハッシュ値ｈｓ₂が、ハッシュ値ｈｓ₁と、受信した文書ｍ₂とに対応しない場合（ステップＳ２４０９：検証失敗）、文書管理サーバ２０５は、検証失敗の通知を、署名側端末２０２に送信する。そして、署名側端末２０２は、ステップＳ２４１２の処理に移行する。一方で、受信したハッシュ値ｈｓ₂が、ハッシュ値ｈｓ₁と、受信した文書ｍ₂とに対応する場合（ステップＳ２４０９：検証成功）、文書管理サーバ２０５は、検証成功と判断し、ステップＳ２４１０，Ｓ２４１１の処理に移行する。

文書管理サーバ２０５は、公開鍵Ｘ₂を取得する（ステップＳ２４１０）。そして、文書管理サーバ２０５は、公開鍵Ｘ₂に基づいて、受信した署名σ₂が正当であるか否かを判定する（ステップＳ２４１１）。

ここで、受信した署名σ₂が正当ではない場合（ステップＳ２４１１：検証失敗）、文書管理サーバ２０５は、検証失敗の通知を、署名側端末２０２に送信する。そして、署名側端末２０２は、ステップＳ２４１２の処理に移行する。一方で、受信した署名σ₂が正当である場合（ステップＳ２４１１：検証成功）、文書管理サーバ２０５は、検証成功と判断し、ステップＳ２４１３の処理に移行する。

ステップＳ２４１２では、署名側端末２０２は、検証失敗の通知を受け付けると、署名σ₂を生成し直す（ステップＳ２４１２）。そして、署名側端末２０２は、ステップＳ２４０２の処理に戻る。

ステップＳ２４１３では、文書管理サーバ２０５は、受信した文書ｍ₂と、受信したハッシュ値ｈｓ₂と、受信した署名σ₂とを、自装置が有する制御情報管理テーブル４００に記憶する（ステップＳ２４１３）。次に、文書管理サーバ２０５は、文書ｍ₂を登録したことの通知を、署名側端末２０２に送信する（ステップＳ２４１４）。

一方で、署名側端末２０２は、文書ｍ₂を登録したことの通知を受信する（ステップＳ２４１５）。その後、署名制御システム２００は、文書承認処理を終了する。

（文書決裁処理手順）
次に、図２５を用いて、署名制御システム２００が実行する、文書決裁処理手順の一例について説明する。文書決裁処理は、例えば、図３に示したＣＰＵ３０１と、メモリ３０２や記録媒体３０５などの記憶領域と、ネットワークＩ／Ｆ３０３となどによって実現される。

図２５は、文書決裁処理手順の一例を示すフローチャートである。図２５において、文書管理サーバ２０５は、記憶した文書ｍ₂と、ハッシュ値ｈｓ₂と、署名σ₂とを、決裁者に対応する署名側端末２０３に送信する（ステップＳ２５０１）。

次に、署名側端末２０３は、文書ｍ₂と、ハッシュ値ｈｓ₂と、署名σ₂とを受信する（ステップＳ２５０２）。そして、署名側端末２０３は、文書ｍ₃を生成する（ステップＳ２５０３）。そして、署名側端末２０３は、ハッシュ値ｈｓ₂と文書ｍ₃とに基づいて、ハッシュ値ｈｓ₃を生成する（ステップＳ２５０４）。

次に、署名側端末２０３は、秘密鍵ｘ₃を取得する（ステップＳ２５０５）。そして、署名側端末２０３は、秘密鍵ｘ₃に基づいて、文書ｍ₃に対する署名σ₃を生成する（ステップＳ２５０６）。そして、署名側端末２０３は、文書ｍ₃と、ハッシュ値ｈｓ₃と、署名σ₃とを、文書管理サーバ２０５に送信する（ステップＳ２５０７）。

一方で、文書管理サーバ２０５は、文書ｍ₃と、ハッシュ値ｈｓ₃と、署名σ₃とを、署名側端末２０３から受信する（ステップＳ２５０８）。そして、文書管理サーバ２０５は、受信したハッシュ値ｈｓ₃が、ハッシュ値ｈｓ₂と、受信した文書ｍ₃とに対応するか否かを判定する（ステップＳ２５０９）。

ここで、受信したハッシュ値ｈｓ₃が、ハッシュ値ｈｓ₂と、受信した文書ｍ₃とに対応しない場合（ステップＳ２５０９：検証失敗）、文書管理サーバ２０５は、検証失敗の通知を、署名側端末２０３に送信する。そして、署名側端末２０３は、ステップＳ２５１２の処理に移行する。一方で、受信したハッシュ値ｈｓ₃が、ハッシュ値ｈｓ₂と、受信した文書ｍ₃とに対応する場合（ステップＳ２５０９：検証成功）、文書管理サーバ２０５は、検証成功と判断し、ステップＳ２５１０，Ｓ２５１１の処理に移行する。

文書管理サーバ２０５は、公開鍵Ｘ₃を取得する（ステップＳ２５１０）。そして、文書管理サーバ２０５は、公開鍵Ｘ₃に基づいて、受信した署名σ₃が正当であるか否かを判定する（ステップＳ２５１１）。

ここで、受信した署名σ₃が正当ではない場合（ステップＳ２５１１：検証失敗）、文書管理サーバ２０５は、検証失敗の通知を、署名側端末２０３に送信する。そして、署名側端末２０３は、ステップＳ２５１２の処理に移行する。一方で、受信した署名σ₃が正当である場合（ステップＳ２５１１：検証成功）、文書管理サーバ２０５は、検証成功と判断し、ステップＳ２５１３の処理に移行する。

ステップＳ２５１２では、署名側端末２０３は、検証失敗の通知を受け付けると、署名σ₃を生成し直す（ステップＳ２５１２）。そして、署名側端末２０３は、ステップＳ２５０２の処理に戻る。

ステップＳ２５１３では、文書管理サーバ２０５は、受信した文書ｍ₃と、受信したハッシュ値ｈｓ₃と、受信した署名σ₃とを、自装置が有する制御情報管理テーブル４００に記憶する（ステップＳ２５１３）。次に、文書管理サーバ２０５は、受信した文書ｍ₃に基づいて、最終版の文書ｍ_fを生成し、自装置が有する制御情報管理テーブル４００に記憶する（ステップＳ２５１４）。そして、文書管理サーバ２０５は、文書ｍ₃を登録したことの通知を、署名側端末２０３に送信する（ステップＳ２５１５）。

一方で、署名側端末２０３は、文書ｍ₃を登録したことの通知を受信する（ステップＳ２５１６）。そして、署名制御システム２００は、文書決裁処理を終了する。

（署名集約処理手順）
次に、図２６を用いて、署名制御システム２００が実行する、署名集約処理手順の一例について説明する。署名集約処理は、例えば、図３に示したＣＰＵ３０１と、メモリ３０２や記録媒体３０５などの記憶領域と、ネットワークＩ／Ｆ３０３となどによって実現される。

図２６は、署名集約処理手順の一例を示すフローチャートである。図２６において、文書管理サーバ２０５は、文書を送信することの通知を、検証側端末２０７に送信する（ステップＳ２６０１）。一方で、検証側端末２０７は、通知を受け付けると、組織の公開鍵証明書の要求を、文書管理サーバ２０５に送信する（ステップＳ２６０２）。

次に、文書管理サーバ２０５は、登録済みの公開鍵Ｘ’のデジタル証明書を、検証側端末２０７に送信する（ステップＳ２６０３）。一方で、検証側端末２０７は、受信した公開鍵Ｘ’のデジタル証明書を検証する（ステップＳ２６０４）。検証側端末２０７は、検証失敗の場合、検証失敗の通知を、文書管理サーバ２０５に送信する。そして、検証側端末２０７は、ステップＳ２６０９の処理に移行する。

一方で、文書管理サーバ２０５は、検証失敗の通知を受け付けた場合には、公開鍵Ｘ’が有効であるか否かを確認する（ステップＳ２６０５）。文書管理サーバ２０５は、公開鍵Ｘ’が有効でなければ、公開鍵Ｘ’を生成し直してもよい。

次に、文書管理サーバ２０５は、ハッシュ値ｈｓ_iと、署名情報σ_iとを取得する（ステップＳ２６０６）。そして、文書管理サーバ２０５は、ハッシュ値ｈｓ_iと、署名情報σ_iとに基づいて、集約署名情報σ’を生成する（ステップＳ２６０７）。そして、文書管理サーバ２０５は、最終版の文書ｍ_fと、生成した集約署名情報σ’とを対応付けて、検証側端末２０７に送信する（ステップＳ２６０８）。

一方で、検証側端末２０７は、ハッシュチェーンを検証する（ステップＳ２６０９）。検証側端末２０７は、検証成功であれば、ステップＳ２６１０の処理に移行する。検証側端末２０７は、検証失敗であれば、検証失敗の通知を、文書管理サーバ２０５に送信する。

ステップＳ２６１０では、検証側端末２０７は、集約署名情報σ’を検証する（ステップＳ２６１０）。検証側端末２０７は、検証成功であれば、ステップＳ２６１１の処理に移行する。検証側端末２０７は、検証失敗であれば、検証失敗の通知を、文書管理サーバ２０５に送信する。

ステップＳ２６１１では、検証側端末２０７は、文書ｍ_nについて検証成功したと認識する（ステップＳ２６１１）。

一方で、文書管理サーバ２０５は、検証失敗の通知を受け付けると、Ｒｅ－Ｖｅｒｉｆｙを利用して、図２７に後述する再検証処理を実行することにより、原因調査を実施する（ステップＳ２６１２）。そして、署名制御システム２００は、署名集約処理を終了する。

（再検証処理手順）
次に、図２７を用いて、文書管理サーバ２０５が実行する、再検証処理手順の一例について説明する。再検証処理は、例えば、図３に示したＣＰＵ３０１と、メモリ３０２や記録媒体３０５などの記憶領域と、ネットワークＩ／Ｆ３０３とによって実現される。

図２７は、再検証処理手順の一例を示すフローチャートである。図２７において、文書管理サーバ２０５は、集約署名情報ｓ_1,1を検証し、検証失敗したことを確認する（ステップＳ２７０１）。

次に、文書管理サーバ２０５は、集約署名情報ｓ_2,1を検証する（ステップＳ２７０２）。文書管理サーバ２０５は、検証成功であれば、ステップＳ２７０３の処理に移行する。一方で、文書管理サーバ２０５は、検証失敗であれば、ステップＳ２７０４の処理に移行する。

ステップＳ２７０３では、文書管理サーバ２０５は、集約署名情報ｓ_2,2を検証する（ステップＳ２７０３）。文書管理サーバ２０５は、検証成功であれば、不正な署名が存在しないと判断し、再検証処理を終了する。一方で、文書管理サーバ２０５は、検証失敗であれば、ステップＳ２７０４以降の処理と同様の処理を実行する。

ステップＳ２７０４では、文書管理サーバ２０５は、集約署名情報ｓ_3,1を検証する（ステップＳ２７０４）。文書管理サーバ２０５は、検証成功であれば、ステップＳ２７０５の処理に移行する。一方で、文書管理サーバ２０５は、検証失敗であれば、ステップＳ２７０６の処理に移行する。

ステップＳ２７０５では、文書管理サーバ２０５は、集約署名情報ｓ_3,2を検証する（ステップＳ２７０５）。文書管理サーバ２０５は、検証成功であれば、不正な署名が存在しないと判断し、再検証処理を終了する。一方で、文書管理サーバ２０５は、検証失敗であれば、ステップＳ２７０６以降の処理と同様の処理を実行する。

ステップＳ２７０６では、文書管理サーバ２０５は、集約署名情報ｓ_4,1を検証する（ステップＳ２７０６）。文書管理サーバ２０５は、検証成功、および、検証失敗に応じて、集約署名情報ｓ_x>4,yを検証する処理を、再帰的に実行することになる。その後、文書管理サーバ２０５は、ステップＳ２７０７の処理に移行する。

ステップＳ２７０７では、文書管理サーバ２０５は、検証失敗した署名σ_iを特定し、検証失敗した署名σ_iを再生成し、集約署名情報σ’を再生成する（ステップＳ２７０７）。次に、文書管理サーバ２０５は、再生成した集約署名情報σ’を出力する（ステップＳ２７０８）。そして、文書管理サーバ２０５は、再検証処理を終了する。

（別の署名集約処理手順）
次に、図２８を用いて、署名制御システム２００が実行する、別の署名集約処理手順の一例について説明する。別の署名集約処理は、例えば、図３に示したＣＰＵ３０１と、メモリ３０２や記録媒体３０５などの記憶領域と、ネットワークＩ／Ｆ３０３となどによって実現される。

図２８は、別の署名集約処理手順の一例を示すフローチャートである。図２８において、文書管理サーバ２０５は、文書を送信することの通知を、検証側端末２０７に送信する（ステップＳ２８０１）。一方で、検証側端末２０７は、通知を受け付けると、組織の公開鍵証明書の要求を、文書管理サーバ２０５に送信する（ステップＳ２８０２）。

次に、文書管理サーバ２０５は、登録済みの公開鍵Ｘ’のデジタル証明書を、検証側端末２０７に送信する（ステップＳ２８０３）。一方で、検証側端末２０７は、受信した公開鍵Ｘ’のデジタル証明書を検証する（ステップＳ２８０４）。検証側端末２０７は、検証失敗の場合、検証失敗の通知を、文書管理サーバ２０５に送信する。そして、検証側端末２０７は、ステップＳ２８１０の処理に移行する。

一方で、文書管理サーバ２０５は、検証失敗の通知を受け付けた場合には、公開鍵Ｘ’が有効であるか否かを確認する（ステップＳ２８０５）。文書管理サーバ２０５は、公開鍵Ｘ’が有効でなければ、公開鍵Ｘ’を生成し直してもよい。

次に、文書管理サーバ２０５は、ハッシュ値ｈｓ_iと、署名情報σ_iとを取得する（ステップＳ２８０６）。そして、文書管理サーバ２０５は、ハッシュ値ｈｓ_iと、署名情報σ_iとに基づいて、集約署名情報σ’を生成する（ステップＳ２８０７）。

次に、文書管理サーバ２０５は、図２９に後述する無効化処理を実行する（ステップＳ２８０８）。そして、文書管理サーバ２０５は、最終版の文書ｍ_nと、生成した集約署名情報σ’とを対応付けて、検証側端末２０７に送信する（ステップＳ２８０９）。

一方で、検証側端末２０７は、ハッシュチェーンを検証する（ステップＳ２８１０）。検証側端末２０７は、検証成功であれば、ステップＳ２８１１の処理に移行する。検証側端末２０７は、検証失敗であれば、検証失敗の通知を、文書管理サーバ２０５に送信する。

ステップＳ２８１１では、検証側端末２０７は、集約署名情報σ’を検証する（ステップＳ２８１１）。検証側端末２０７は、検証成功であれば、ステップＳ２８１２の処理に移行する。検証側端末２０７は、検証失敗であれば、検証失敗の通知を、文書管理サーバ２０５に送信する。

ステップＳ２８１２では、検証側端末２０７は、文書ｍ_nについて検証成功したと認識する（ステップＳ２８１２）。

一方で、文書管理サーバ２０５は、検証失敗の通知を受け付けると、Ｒｅ－Ｖｅｒｉｆｙを利用して、図２７に示した再検証処理を実行することにより、原因調査を実施する（ステップＳ２８１３）。そして、署名制御システム２００は、署名集約処理を終了する。

（無効化処理手順）
次に、図２９を用いて、文書管理サーバ２０５が実行する、無効化処理手順の一例について説明する。無効化処理は、例えば、図３に示したＣＰＵ３０１と、メモリ３０２や記録媒体３０５などの記憶領域と、ネットワークＩ／Ｆ３０３とによって実現される。

図２９は、無効化処理手順の一例を示すフローチャートである。図２９において、文書管理サーバ２０５は、一時的に無効化したい公開鍵が存在するか否かを判定する（ステップＳ２９０１）。ここで、一時的に無効化したい公開鍵が存在しない場合（ステップＳ２９０１：Ｎｏ）、文書管理サーバ２０５は、無効化処理を終了する。一時的に無効化したい公開鍵が存在する場合（ステップＳ２９０１：Ｙｅｓ）、文書管理サーバ２０５は、ステップＳ２９０２の処理に移行する。

ステップＳ２９０２では、文書管理サーバ２０５は、無効化する対象となる公開鍵を、プライベートＣＡサーバ２０４に問い合わせる（ステップＳ２９０２）。一方で、プライベートＣＡサーバ２０４は、問い合わせに応じて、無効化する対象となる公開鍵を、文書管理サーバ２０５に送信する（ステップＳ２９０３）。

文書管理サーバ２０５は、無効化する対象となる公開鍵に基づいて、集約署名情報σ’を修正した修正署名情報σ”を生成する（ステップＳ２９０４）。次に、文書管理サーバ２０５は、修正署名情報σ”を出力する（ステップＳ２９０５）。そして、文書管理サーバ２０５は、無効化処理を終了する。

以上説明したように、情報処理装置１００によれば、複数の文書情報と、複数の文書情報のそれぞれの文書情報に対応する署名情報とを取得することができる。情報処理装置１００によれば、取得した複数の文書情報に基づいて、取得した複数の文書情報のそれぞれの文書情報に対応する署名情報を集約した集約署名情報を生成することができる。情報処理装置１００によれば、生成した集約署名情報を、複数の文書情報のそれぞれの文書情報に対応する公開鍵情報を集約した集約公開鍵情報と、複数の文書情報とに対応付けて出力することができる。これにより、情報処理装置１００は、集約署名情報を検証する際に用いる鍵情報が１つであっても、集約署名情報を検証可能にすることができ、集約署名情報を検証する際にかかるコストの低減化を図ることができる。

情報処理装置１００によれば、取得した複数の文書情報のそれぞれの文書情報に対応する公開鍵情報に基づいて、集約公開鍵情報を生成することができる。これにより、情報処理装置１００は、集約署名情報を検証する際に用いる鍵情報の数の低減化を図ることができ、集約署名情報を検証する際にかかるコストの低減化を図ることができる。

情報処理装置１００によれば、取得した複数の文書情報のそれぞれの文書情報に対応するハッシュ値に基づいて、集約署名情報を生成することができる。これにより、情報処理装置１００は、ハッシュ値に基づく署名情報を集約した集約署名情報を生成することができる。

情報処理装置１００によれば、生成した集約署名情報の正当性を、取得した複数の文書情報と、生成した集約署名情報と、生成した集約公開鍵情報とに基づいて検証可能にすることができる。これにより、情報処理装置１００は、集約署名情報を検証する際に用いる鍵情報が１つであっても、集約署名情報を検証可能にすることができ、集約署名情報を検証する際にかかるコストの低減化を図ることができる。

情報処理装置１００によれば、複数の文書情報に対応付けられた、集約署名情報と、集約公開鍵情報とを受け付けることができる。情報処理装置１００によれば、複数の文書情報と、受け付けた集約署名情報と、受け付けた集約公開鍵情報とに基づいて、受け付けた集約署名情報の正当性を検証することができる。これにより、情報処理装置１００は、集約署名情報の正当性を検証し、複数の文書情報が改ざんされているか否かを確認することができ、セキュリティの向上を図ることができる。

情報処理装置１００によれば、集約署名情報が正当ではないことを検出することができる。情報処理装置１００によれば、集約署名情報の集約元となる署名情報のうち、一部の署名情報を集約した集約署名情報と、一部の署名情報以外の署名情報を集約した集約署名情報との２つの集約署名情報を取得することができる。情報処理装置１００によれば、取得した２つの集約署名情報のそれぞれの集約署名情報の正当性を検証した結果を出力することができる。これにより、情報処理装置１００は、集約署名情報が正当ではない原因となる、集約元となるいずれかの署名情報を特定することができる。

情報処理装置１００によれば、取得した２つの集約署名情報の少なくともいずれかの集約署名情報が正当ではないことを検出することができる。情報処理装置１００によれば、いずれかの集約署名情報の集約元となる署名情報のうち、一部の署名情報を集約した集約署名情報と、一部の署名情報以外の署名情報を集約した集約署名情報との２つの集約署名情報を新たに取得することができる。情報処理装置１００によれば、新たに取得した２つの集約署名情報のそれぞれの集約署名情報の正当性を検証した結果を出力することができる。これにより、情報処理装置１００は、集約署名情報が正当ではない原因となる、集約元となるいずれかの署名情報を特定することができる。

情報処理装置１００によれば、取得した複数の文書情報のそれぞれの文書情報に対応する公開鍵情報と、取得した複数の文書情報のいずれの文書情報にも対応しない公開鍵情報とを集約した集約公開鍵情報を生成することができる。情報処理装置１００によれば、いずれの文書情報にも対応しない公開鍵情報に基づいて、生成した集約署名情報を修正した修正署名情報を生成することができる。情報処理装置１００によれば、生成した修正署名情報を、集約公開鍵情報と、取得した複数の文書情報とに対応付けて出力することができる。これにより、情報処理装置１００は、いずれかの公開鍵情報に基づく署名情報が存在しなくても、集約公開鍵情報に基づき検証可能な修正署名情報を生成することができる。

情報処理装置１００によれば、取得した複数の文書情報のそれぞれの文書情報に対応する署名情報を生成する際に用いられた秘密鍵情報に対応する公開鍵情報に基づいて、集約公開鍵情報を生成することができる。これにより、情報処理装置１００は、署名情報を検証可能な公開鍵情報を集約し、集約公開鍵情報を生成することができる。

情報処理装置１００によれば、複数の文書情報として、第１の文書の複数の版のそれぞれの版を示す文書情報を採用することができる。これにより、情報処理装置１００は、文書が改版されていく状況に適用することができる。

情報処理装置１００によれば、シードと、第１の文書のそれぞれの版に対応するハッシュ値とから形成されるハッシュチェーンに基づいて生成されるハッシュ値を、集約署名情報に対応付けて出力することができる。これにより、情報処理装置１００は、複数の文書情報が改ざんされているか否かを確認可能にすることができ、セキュリティの向上を図ることができる。

情報処理装置１００によれば、安全素数と、取得した複数の文書情報のそれぞれの文書情報に対応するハッシュ値とに基づいて、集約署名情報を生成することができる。これにより、情報処理装置１００は、集約署名情報を生成する際にかかる処理時間の低減化を図ることができる。

情報処理装置１００によれば、シェノア署名アルゴリズムを利用して、集約署名情報を生成することができる。これにより、情報処理装置１００は、シェノア署名アルゴリズムに基づく署名情報を集約した集約署名情報を生成することができる。

情報処理装置１００によれば、生成した集約署名情報を、集約公開鍵情報と、取得した複数の文書情報とに対応付けて、取得した複数の文書情報についての検証者宛てに出力することができる。これにより、情報処理装置１００は、検証者が、集約署名情報の正当性を検証可能にし、複数の文書情報が改ざんされているか否かを確認可能にし、セキュリティを向上させることができる。

情報処理装置１００によれば、予め定められた署名者ごとに、文書情報と、公開鍵情報と、署名情報とを対応付けておくことができる。これにより、情報処理装置１００は、集約署名情報と、集約公開鍵情報とを生成し易くすることができる。

情報処理装置１００によれば、複数の文書情報のそれぞれの文書情報に対応する署名情報を集約した集約署名情報を生成する装置から、複数の文書情報に対応付けられた、集約署名情報を受け付けることができる。情報処理装置１００によれば、複数の文書情報のそれぞれの文書情報に対応する公開鍵情報を集約した集約公開鍵情報を生成する装置から、複数の文書情報に対応付けられた、集約公開鍵情報を受け付けることができる。情報処理装置１００によれば、複数の文書情報と、受け付けた集約署名情報と、受け付けた集約公開鍵情報とに基づいて、受け付けた集約署名情報の正当性を検証することができる。これにより、情報処理装置１００は、集約署名情報の正当性を検証し、複数の文書情報が改ざんされているか否かを確認することができ、セキュリティの向上を図ることができる。

なお、本実施の形態で説明した署名制御方法は、予め用意されたプログラムをＰＣやワークステーションなどのコンピュータで実行することにより実現することができる。本実施の形態で説明した署名制御プログラムは、コンピュータで読み取り可能な記録媒体に記録され、コンピュータによって記録媒体から読み出されることによって実行される。記録媒体は、ハードディスク、フレキシブルディスク、ＣＤ（Ｃｏｍｐａｃｔ Ｄｉｓｃ）－ＲＯＭ、ＭＯ（Ｍａｇｎｅｔｏ Ｏｐｔｉｃａｌ ｄｉｓｃ）、ＤＶＤ（Ｄｉｇｉｔａｌ Ｖｅｒｓａｔｉｌｅ Ｄｉｓｃ）などである。また、本実施の形態で説明した署名制御プログラムは、インターネットなどのネットワークを介して配布してもよい。

上述した実施の形態に関し、さらに以下の付記を開示する。

（付記１）複数の文書情報と、前記複数の文書情報のそれぞれの文書情報に対応する署名情報とを取得し、
取得した前記複数の文書情報に基づいて、取得した前記複数の文書情報のそれぞれの文書情報に対応する署名情報を集約した集約署名情報を生成し、
生成した前記集約署名情報を、前記複数の文書情報のそれぞれの文書情報に対応する公開鍵情報を集約した集約公開鍵情報と、前記複数の文書情報とに対応付けて出力する、
処理をコンピュータが実行することを特徴とする署名制御方法。

（付記２）取得した前記複数の文書情報のそれぞれの文書情報に対応する公開鍵情報に基づいて、前記集約公開鍵情報を生成する、
処理を前記コンピュータが実行することを特徴とする付記１に記載の署名制御方法。

（付記３）前記集約署名情報を生成する処理は、
取得した前記複数の文書情報のそれぞれの文書情報に対応するハッシュ値に基づいて、前記集約署名情報を生成する、ことを特徴とする付記１または２に記載の署名制御方法。

（付記４）生成した前記集約署名情報の正当性は、取得した前記複数の文書情報と、生成した前記集約署名情報と、生成した前記集約公開鍵情報とに基づいて検証可能である、ことを特徴とする付記１～３のいずれか一つに記載の署名制御方法。

（付記５）複数の文書情報に対応付けられた、前記複数の文書情報に対応する複数の署名情報を集約した集約署名情報と、前記複数の文書情報に対応する複数の公開鍵情報を集約した集約公開鍵情報とを受け付けた場合、前記複数の文書情報と、受け付けた前記集約署名情報と、受け付けた前記集約公開鍵情報とに基づいて、受け付けた前記集約署名情報の正当性を検証する、
処理を前記コンピュータが実行することを特徴とする付記１～４のいずれか一つに記載の署名制御方法。

（付記６）前記複数の文書情報と対応付けて出力した前記集約署名情報が正当ではないと判定された場合、前記集約署名情報の集約元となる署名情報のうち、一部の署名情報を集約した集約署名情報と、前記一部の署名情報以外の署名情報を集約した集約署名情報との２つの集約署名情報を取得し、
取得した前記２つの集約署名情報のそれぞれの集約署名情報の正当性を検証した結果を出力する、
処理を前記コンピュータが実行することを特徴とする付記１～５のいずれか一つに記載の署名制御方法。

（付記７）取得した前記２つの集約署名情報の少なくともいずれかの集約署名情報が正当ではないと判定された場合、前記いずれかの集約署名情報の集約元となる署名情報のうち、一部の署名情報を集約した集約署名情報と、前記一部の署名情報以外の署名情報を集約した集約署名情報との２つの集約署名情報を新たに取得し、
新たに取得した前記２つの集約署名情報のそれぞれの集約署名情報の正当性を検証した結果を出力する、
処理を前記コンピュータが実行することを特徴とする付記６に記載の署名制御方法。

（付記８）取得した前記複数の文書情報のそれぞれの文書情報に対応する公開鍵情報と、取得した前記複数の文書情報のいずれの文書情報にも対応しない公開鍵情報とを集約した集約公開鍵情報を生成し、
前記いずれの文書情報にも対応しない公開鍵情報に基づいて、生成した前記集約署名情報を修正した修正署名情報を生成し、
生成した前記修正署名情報を、前記集約公開鍵情報と、取得した前記複数の文書情報とに対応付けて出力する、
処理を前記コンピュータが実行することを特徴とする付記１～７のいずれか一つに記載の署名制御方法。

（付記９）前記集約公開鍵情報を生成する処理は、
取得した前記複数の文書情報のそれぞれの文書情報に対応する署名情報を生成する際に用いられた秘密鍵情報に対応する公開鍵情報に基づいて、前記集約公開鍵情報を生成する、ことを特徴とする付記２に記載の署名制御方法。

（付記１０）前記複数の文書情報は、第１の文書の複数の版のそれぞれの版を示す文書情報を含む、ことを特徴とする付記１～９のいずれか一つに記載の署名制御方法。

（付記１１）前記出力する処理は、
シードと、前記第１の文書のそれぞれの版に対応するハッシュ値とから形成されるハッシュチェーンに基づいて生成されるハッシュ値を、前記集約署名情報に対応付けて出力する、ことを特徴とする付記１０に記載の署名制御方法。

（付記１２）前記集約署名情報を生成する処理は、
安全素数と、取得した前記複数の文書情報のそれぞれの文書情報に対応するハッシュ値とに基づいて、前記集約署名情報を生成する、ことを特徴とする付記１～１１のいずれか一つに記載の署名制御方法。

（付記１３）前記集約署名情報を生成する処理は、
シェノア署名アルゴリズムを利用して、前記集約署名情報を生成する、ことを特徴とする付記１～１２のいずれか一つに記載の署名制御方法。

（付記１４）前記出力する処理は、
生成した前記集約署名情報を、前記集約公開鍵情報と、取得した前記複数の文書情報とに対応付けて、取得した前記複数の文書情報についての検証者宛てに出力する、ことを特徴とする付記１～１３のいずれか一つに記載の署名制御方法。

（付記１５）予め定められた署名者ごとに、文書情報と、公開鍵情報と、署名情報とが対応付けられる、ことを特徴とする付記１～１４のいずれか一つに記載の署名制御方法。

（付記１６）複数の文書情報と、前記複数の文書情報のそれぞれの文書情報に対応する署名情報とを取得し、
取得した前記複数の文書情報に基づいて、取得した前記複数の文書情報のそれぞれの文書情報に対応する署名情報を集約した集約署名情報を生成し、
生成した前記集約署名情報を、前記複数の文書情報のそれぞれの文書情報に対応する公開鍵情報を集約した集約公開鍵情報と、前記複数の文書情報とに対応付けて出力する、
処理をコンピュータに実行させることを特徴とする署名制御プログラム。

（付記１７）複数の文書情報と、前記複数の文書情報のそれぞれの文書情報に対応する署名情報とを取得し、
取得した前記複数の文書情報に基づいて、取得した前記複数の文書情報のそれぞれの文書情報に対応する署名情報を集約した集約署名情報を生成し、
生成した前記集約署名情報を、前記複数の文書情報のそれぞれの文書情報に対応する公開鍵情報を集約した集約公開鍵情報と、前記複数の文書情報とに対応付けて出力する、
制御部を有することを特徴とする情報処理装置。

（付記１８）複数の文書情報のそれぞれの文書情報に対応する署名情報を集約した集約署名情報を生成する装置から、前記複数の文書情報に対応付けられた、前記集約署名情報を受け付け、
前記複数の文書情報のそれぞれの文書情報に対応する公開鍵情報を集約した集約公開鍵情報を生成する装置から、前記複数の文書情報に対応付けられた、前記集約公開鍵情報を受け付け、
前記複数の文書情報と、受け付けた前記集約署名情報と、受け付けた前記集約公開鍵情報とに基づいて、受け付けた前記集約署名情報の正当性を検証する、
処理をコンピュータが実行することを特徴とする署名制御方法。

１００ 情報処理装置
１１０ 集約署名情報
１２０ 公開鍵束
１２１ 集約公開鍵情報
２００ 署名制御システム
２０１～２０３ 署名側端末
２０４ プライベートＣＡサーバ
２０５ 文書管理サーバ
２０６ パブリックＣＡサーバ
２０７ 検証側端末
２１０ ネットワーク
３００，５００ バス
３０１，５０１ ＣＰＵ
３０２，５０２ メモリ
３０３，５０３ ネットワークＩ／Ｆ
３０４，５０４ 記録媒体Ｉ／Ｆ
３０５，５０５ 記録媒体
４００ 制御情報管理テーブル
６００ 第１記憶部
６０１ 第１取得部
６０２ 第１生成部
６０３ 修正部
６０４ 解析部
６０５ 第２生成部
６０６ 第１出力部
６１０ 第２記憶部
６１１ 第２取得部
６１２ 検証部
６１３ 第２出力部
７００，８００ 鍵ペア生成部
７０１，８０１，９０１ データ受信部
７０２ シード値生成部
７０３，８０２ 文書作成部
７０４，８０３ ハッシュ値計算部
７０５，８０４ 署名生成部
７０６，８０５，１１０２ データ送信部
７１０，８１０ 秘密鍵記憶部
７２０，８２０ 公開鍵記憶部
９００ 組織公開鍵記憶部
９０２ ハッシュチェーン検証部
９０３ 集約署名検証部
９１０ 集約署名付き文書記憶部
１００１ 集約公開鍵生成部
１００２ 公開鍵登録申請部
１０１０ 個人公開鍵記憶部
１１０１ 集約署名生成部
１１１０ 署名付き文書記憶部
１４００，１５００ ハッシュチェーン
１７１１～１７１ｎ，１７２０，１７３１～１７３ｎ，１７４１～１７４ｎ，１７５０ 数式
１８００，２１００ 表

Claims (13)

1. 複数の文書情報と、前記複数の文書情報のそれぞれの文書情報に対応する署名情報とを取得し、
   取得した前記複数の文書情報に基づいて、取得した前記複数の文書情報のそれぞれの文書情報に対応する署名情報を集約した集約署名情報を生成し、
   生成した前記集約署名情報を、前記複数の文書情報のそれぞれの文書情報に対応する公開鍵情報を集約した集約公開鍵情報と、前記複数の文書情報とに対応付けて出力する、
   処理をコンピュータが実行することを特徴とする署名制御方法。
2. 取得した前記複数の文書情報のそれぞれの文書情報に対応する公開鍵情報に基づいて、前記集約公開鍵情報を生成する、
   処理を前記コンピュータが実行することを特徴とする請求項１に記載の署名制御方法。
3. 前記集約署名情報を生成する処理は、
   取得した前記複数の文書情報のそれぞれの文書情報に対応するハッシュ値に基づいて、前記集約署名情報を生成する、ことを特徴とする請求項１または２に記載の署名制御方法。
4. 生成した前記集約署名情報の正当性は、取得した前記複数の文書情報と、生成した前記集約署名情報と、生成した前記集約公開鍵情報とに基づいて検証可能である、ことを特徴とする請求項１～３のいずれか一つに記載の署名制御方法。
5. 複数の文書情報に対応付けられた、前記複数の文書情報に対応する複数の署名情報を集約した集約署名情報と、前記複数の文書情報に対応する複数の公開鍵情報を集約した集約公開鍵情報とを受け付けた場合、前記複数の文書情報と、受け付けた前記集約署名情報と、受け付けた前記集約公開鍵情報とに基づいて、受け付けた前記集約署名情報の正当性を検証する、
   処理を前記コンピュータが実行することを特徴とする請求項１～４のいずれか一つに記載の署名制御方法。
6. 前記複数の文書情報と対応付けて出力した前記集約署名情報が正当ではないと判定された場合、前記集約署名情報の集約元となる署名情報のうち、一部の署名情報を集約した集約署名情報と、前記一部の署名情報以外の署名情報を集約した集約署名情報との２つの集約署名情報を取得し、
   取得した前記２つの集約署名情報のそれぞれの集約署名情報の正当性を検証した結果を出力する、
   処理を前記コンピュータが実行することを特徴とする請求項１～５のいずれか一つに記載の署名制御方法。
7. 取得した前記２つの集約署名情報の少なくともいずれかの集約署名情報が正当ではないと判定された場合、前記いずれかの集約署名情報の集約元となる署名情報のうち、一部の署名情報を集約した集約署名情報と、前記一部の署名情報以外の署名情報を集約した集約署名情報との２つの集約署名情報を新たに取得し、
   新たに取得した前記２つの集約署名情報のそれぞれの集約署名情報の正当性を検証した結果を出力する、
   処理を前記コンピュータが実行することを特徴とする請求項６に記載の署名制御方法。
8. 取得した前記複数の文書情報のそれぞれの文書情報に対応する公開鍵情報と、取得した前記複数の文書情報のいずれの文書情報にも対応しない公開鍵情報とを集約した集約公開鍵情報を生成し、
   前記いずれの文書情報にも対応しない公開鍵情報に基づいて、生成した前記集約署名情報を修正した修正署名情報を生成し、
   生成した前記修正署名情報を、前記集約公開鍵情報と、取得した前記複数の文書情報とに対応付けて出力する、
   処理を前記コンピュータが実行することを特徴とする請求項１～７のいずれか一つに記載の署名制御方法。
9. 前記集約公開鍵情報を生成する処理は、
   取得した前記複数の文書情報のそれぞれの文書情報に対応する署名情報を生成する際に用いられた秘密鍵情報に対応する公開鍵情報に基づいて、前記集約公開鍵情報を生成する、ことを特徴とする請求項２に記載の署名制御方法。
10. 前記複数の文書情報は、第１の文書の複数の版のそれぞれの版を示す文書情報を含む、ことを特徴とする請求項１～９のいずれか一つに記載の署名制御方法。
11. 前記出力する処理は、
    シードと、前記第１の文書のそれぞれの版に対応するハッシュ値とから形成されるハッシュチェーンに基づいて生成されるハッシュ値を、前記集約署名情報に対応付けて出力する、ことを特徴とする請求項１０に記載の署名制御方法。
12. 複数の文書情報と、前記複数の文書情報のそれぞれの文書情報に対応する署名情報とを取得し、
    取得した前記複数の文書情報に基づいて、取得した前記複数の文書情報のそれぞれの文書情報に対応する署名情報を集約した集約署名情報を生成し、
    生成した前記集約署名情報を、前記複数の文書情報のそれぞれの文書情報に対応する公開鍵情報を集約した集約公開鍵情報と、前記複数の文書情報とに対応付けて出力する、
    処理をコンピュータに実行させることを特徴とする署名制御プログラム。
13. 複数の文書情報と、前記複数の文書情報のそれぞれの文書情報に対応する署名情報とを取得し、
    取得した前記複数の文書情報に基づいて、取得した前記複数の文書情報のそれぞれの文書情報に対応する署名情報を集約した集約署名情報を生成し、
    生成した前記集約署名情報を、前記複数の文書情報のそれぞれの文書情報に対応する公開鍵情報を集約した集約公開鍵情報と、前記複数の文書情報とに対応付けて出力する、
    制御部を有することを特徴とする情報処理装置。

Images