JP2001147898A - 原本性保証電子保存方法、装置及びコンピュータ読み取り可能な記録媒体 - Google Patents

Abstract

(57)【要約】 【課題】 複合文書を原本性を保証した形で保存する装
置において、文書の更新，参照の手続の煩雑さを解消す
る。 【解決手段】 外部より新規に作成する原本の複数のコ
ンテンツファイルを受け取ると、コンテンツファイルハ
ッシュ値を計算する（Ｓ５）。新しい原本識別番号，日
時情報，コンテンツファイル情報を元にしたデータ属性
情報のハッシュ値を計算し記録する（Ｓ８）。この原本
のアクセスログのハッシュ値を計算し記録する（Ｓ１
０）。コンテンツファイルハッシュ値，データ属性情報
ハッシュ値，アクセスログハッシュ値を合わせたハッシ
ュコレクションを元にハッシュ値を計算して暗号化して
ハッシュファイルＭＡＣとする（Ｓ１１）。ハッシュコ
レクションとハッシュファイルＭＡＣを合わせて大容量
記憶媒体に記録する（Ｓ１２）。原本識別番号，原本属
性，作成日時情報，ハッシュファイルＭＡＣを合わせた
保存データリストエントリを作成，追加して（Ｓ１３）
処理を終了する。

Description

【発明の詳細な説明】

【０００１】

【発明の属する技術分野】本発明は、所定の記憶部に記
憶した電子データの原本性を保証する原本性保証電子保
存方法、装置及び記録媒体に関し、より詳細には、複数
のファイルから形成される複合文書の原本性を効率よく
保証することができる原本性保証電子保存方法、装置及
び記録媒体に関する。

【０００２】

【従来の技術】社会の高度情報化が進展するにつれ、従
来は紙で保存が義務付けられていた書類も、電子的な保
存できるようにすることが求められている。しかし、電
子文書は紙文書に比較して、痕跡を残さない改ざんが可
能、不可視である、長期保存性が劣る、といった問題が
あるため、これらの問題が解決されなければ電子文書の
まま原本として保存することは法的に許可されないとい
う状況にある。

【０００３】この問題解決には３つのアプローチ、技術
的解決（情報システム技術を駆使した解決）、組織的解
決（運用規約を定め、組織的な運用による解決）、制度
的解決（不正行為を法律で禁止するなど、社会システム
による解決）、がある。これら３つのアプローチを組み
合わせることで問題を解決することになる。しかし、制
度的な解決がなされるには時間がかかる上に、情報シス
テムにおいては法律違反をしたことを突き止めるのが難
しいという問題がある。また、組織的な解決の場合、そ
の組織内での運用に不正がなかったことを証明すること
は難しいという問題がある。

【０００４】このような状況に対して、（特）情報処理
振興事業協会では、創造的ソフトウェア育成事業の一環
として平成９年度に「原本性保証電子保存システムの開
発」プロジェクトを実施し、電子文書を原本として保存
するための技術的解決手段を開発した。そのプロジェク
トで開発された保存システムでは、電子文書の真正性、
見読性、保存性を紙文書と同等のレベルで確保すること
を可能としている。

【０００５】真正性の確保としては、電子データが改ざ
んされた場合にはそれを検知することが可能にしてお
り、さらにアクセスした履歴が残るようにしている。ま
た、紙文書が原本とコピーを区別することができるよう
に、電子データに対しても原本とそのコピーを区別する
ことを可能にしている。そのことにより、どの電子デー
タを保存義務のあるものとして取り扱っているのか明確
にしている。注意しなければならないのはこの原本とコ
ピーを区別する技術はコピープロテクトの技術や、著作
権保護の技術とは異なるということである。原本である
電子データの内容をどれだけコピーしても問題はない
が、コピーはあくまでコピーとして扱われ、原本がどれ
であるか不明確になることを防いでいる技術である。

【０００６】見読性の確保については、保存装置と外部
とのプロトコルを標準化し、そのプロトコルを通して確
実に保存されている電子データが読み出せるようにして
いる。

【０００７】保存性の確保については、保存媒体にハー
ドディスク等に比べて長期保存が可能な光ディスクを採
用することを可能としており、その保存媒体が外部に取
り出された際に、その媒体に対して不正な処理を施した
場合にはそれを検知できるよう、処理している。

【０００８】この保存システムにより、電子データを原
本として保存することが可能となり、電子データの証拠
能力（証明力）を高めることが可能となっている。

【０００９】原本性保証電子保存方法及び装置の従来技
術としては、特願平１１-０９０２１２号「原本性保証
電子保存方法及び装置」、特願平１１-１４５３４０号
「原本性保証電子保存方法およびその方法をコンピュー
タに実行させるプログラムを記録したコンピュータ読み
取り可能な記録媒体」、特開平１０-２８３２６２号公
報「ファイルシステムおよびプログラム記憶媒体」、小
尾他：原本性保証電子保存システムの開発―基本機能の
実現―,Medical Imaging Technology, Vol.１６,No.４,
Proceedings of JAMIT Annual Meeting'９８(１９９
８)、金井他：原本性保証電子保存システムの開発―シ
ステムの構築―,Medical Imaging Technology, Vol.１
６, No.４, Proceedings of JAMIT Annual Meeting'９
８(１９９８)、国分他：原本性保証電子保存システムの
開発,（特）情報処理振興事業協会発行 創造的ソフト
ウェア育成事業及びエレクトロニック・コマース推進事
業 最終成果発表会論文集 創造的ソフトウェア育成事
業編(１９９８)、金井：原本性保証電子保存システムに
ついて, Vol.３４, No.８,行政＆ＡＤＰ(１９９８)、が
ある。

【００１０】これらの技術を利用することで、電子デー
タの原本性を保証することが可能となる。これにより、
従来は紙による保存が法律上義務付けられていた原本書
類が、電子データのまま原本として保存可能となり、高
度情報化社会の推進に寄与することで社会全体の生産性
が向上することが期待できる。

【００１１】

【発明が解決しようとする課題】これまでに開示されて
きたこれらの従来技術は、どれも原本となる電子文書が
一つのファイルであることを想定している。しかし、近
年のＷＷＷ技術の普及により、ＨＴＭＬ，ＸＭＬ，ＳＧ
ＭＬに見られるように電子文書は複数のファイルで構成
される（以下、そのように複数のファイルで構成される
電子文書を、「複合文書」と呼ぶ）ことが多くなってき
ている。そのような複合文書を、原本性を保証した形で
保存するためには、従来開示されている技術を利用する
場合には、それら複数のファイルを一つのファイルにま
とめてから原本性保証電子保存装置に保存するか、各フ
ァイルをそれぞれ別々の原本として原本性保証電子保存
装置に保存するという方法を採らざるを得なかった。

【００１２】しかし前者の場合、どこからどこまでが最
初のファイルとなるデータに相当し、どこからどこまで
が次のファイルとなるデータに相当する、といったこと
を、原本性保証電子保存装置を利用する外部アプリケー
ションプログラムが管理し、記録しなければならないと
いう面倒があった。さらに、原本性保証電子保存装置に
よってＣＤ−Ｒ等のリムーバブルメディアに原本データ
を記録した場合、そのリムーバブルメディアを他の一般
的なＣＤ−Ｒドライブ等のドライブ装置にマウントした
場合にも内容が読み出せた方が原本データの見読性を高
められることになる。しかし、一つの原本として扱うた
めに一つの塊にまとめられたデータは、特殊なフォーマ
ットとなってしまい、外部アプリケーションとして取り
扱いにくいという問題があった。

【００１３】また、後者の場合、保存された各原本はも
ともと一つの文書を構成していた要素であるにも関わら
ず、それら各原本の関係が不明確になってしまい、それ
ぞれ別々に管理され、編集されてしまうという問題があ
った。

【００１４】上記の問題を解決するために、特願平１１
-１７３３７１号「原本性保証電子保存装置、原本性保
証電子保存方法およびその方法をコンピュータに実行さ
せるプログラムを記録したコンピュータ読み取り可能な
記録媒体」では、複数のファイルで構成される複合文書
を一つの原本データとして管理する機能を持ち、その原
本データの原本性を保証することが可能な原本性保証電
子保存方法及び装置が提供されている。

【００１５】しかしながら、特願平１１-１７３３７１
号の発明においては、コンテンツごと、バージョンごと
のハッシュ値の管理が複雑であるため、文書の更新・参
照の手続きが煩雑になる傾向がある。

【００１６】本発明は、上述のごとき実情に鑑みてなさ
れたものであり、複数のファイルで構成される複合文書
を一つの原本データとして管理する機能を持ち、その原
本データの原本性を保証することが可能な原本性保証電
子保存方法、装置及び記録媒体において、文書のハッシ
ュ値の管理を簡潔にすることを目的としたものである。
また、本発明は、文書の更新，参照の手続きの煩雑さを
解消すること、保存装置のプログラム起動，終了の処理
についても安全性を高めるような処理方法、装置及び記
録媒体を提供することをその目的とする。

【００１７】

【課題を解決するための手段】請求項１の発明は、記憶
媒体に記憶した電子データの原本性を保証する原本性保
証電子保存方法において、外部から保存装置のプログラ
ム終了要求を受け取ると、該保存装置の内部記憶媒体に
記録されている内部管理情報をすべて読み出し、該読み
出した内部管理情報を、前記保存装置内のマスター暗号
鍵により暗号化し、該暗号化した前記内部管理情報を前
記内部記憶媒体に記録し、プログラムを終了する、プロ
グラム終了方法を含むことを特徴としたものである。

【００１８】請求項２の発明は、記憶媒体に記憶した電
子データの原本性を保証する原本性保証電子保存方法に
おいて、外部から保存装置のプログラム終了要求を受け
取ると、該保存装置の内部記憶媒体に記録されている、
電子データの改ざん検知情報を算定するための装置暗号
鍵及び該装置暗号鍵に対応する装置復号鍵を読み出し、
前記保存装置内のマスター暗号鍵により前記装置暗号鍵
及び装置復号鍵を暗号化し、該暗号化した装置暗号鍵及
び装置復号鍵を前記内部記憶媒体に記録し、プログラム
を終了する、プログラム終了方法を含むことを特徴とし
たものである。

【００１９】請求項３の発明は、請求項１又は２に記載
の原本性保証電子保存方法において、前記マスター暗号
鍵は、前記プログラム内に保持されていることを特徴と
したものである。

【００２０】請求項４の発明は、請求項１又は２に記載
の原本性保証電子保存方法において、前記マスター暗号
鍵は、前記保存装置にハードウェアで記憶されているこ
とを特徴としたものである。

【００２１】請求項５の発明は、記憶媒体に記憶した電
子データの原本性を保証する原本性保証電子保存方法に
おいて、保存装置のプログラムが起動されると、該保存
装置の内部記憶媒体に記録されている、マスター暗号鍵
により暗号化された内部管理情報を読み出し、該マスタ
ー暗号鍵に対応するマスター復号鍵により、該暗号化さ
れた内部管理情報を復号し、該復号された内部管理情報
を該内部記憶媒体に記録する、プログラム起動方法を含
むことを特徴としたものである。

【００２２】請求項６の発明は、記憶媒体に記憶した電
子データの原本性を保証する原本性保証電子保存方法に
おいて、保存装置のプログラムが起動されると、該保存
装置の内部記憶媒体に記録されている、マスター暗号鍵
により暗号化された、電子データの改ざん検知情報を算
定するための装置暗号鍵及び該装置暗号鍵に対応する装
置復号鍵を読み出し、前記マスター暗号鍵に対応するマ
スター復号鍵により該暗号化された装置暗号鍵を復号
し、装置暗号鍵とし、前記マスター復号鍵により該暗号
化された装置復号鍵を復号し、装置復号鍵とし、該復号
した装置暗号鍵及び装置復号鍵を前記内部記憶媒体に記
録し、該内部記憶媒体に記録されている、前記記憶媒体
を認証するための媒体認証コードリストを読み出し、該
媒体認証コードリストとともに記録されている改ざん検
知コードを読み出し、該改ざん検知コードと前記装置復
号鍵を用いて該媒体認証コードリストの改ざんを検出す
る、プログラム起動方法を含むことを特徴としたもので
ある。

【００２３】請求項７の発明は、請求項５又は６に記載
の原本性保証電子保存方法において、前記マスター暗号
鍵及びマスター復号鍵は、前記プログラム内に保持され
ていることを特徴としたものである。

【００２４】請求項８の発明は、請求項５又は６に記載
の原本性保証電子保存方法において、前記マスター暗号
鍵及びマスター復号鍵は、前記保存装置にハードウェア
で記憶されていることを特徴としたものである。

【００２５】請求項９の発明は、記憶媒体に記憶した電
子データの原本性を保証する原本性保証電子保存方法に
おいて、保存装置に前記記憶媒体がマウントされると、
該記憶媒体に記録されている、該記憶媒体を識別するた
めの媒体識別番号を読み出し、該記憶媒体の保存データ
リストファイルとともに記録されている改ざん検知コー
ド（１）を読み出し、前記保存装置の内部記憶媒体に記
録されている、前記記憶媒体を認証するための媒体認証
コードリストを読み出し、該媒体認証コードリストから
前記媒体識別番号に該当する媒体認証コードエントリを
取り出し、該媒体認証コードエントリにある改ざん検知
コードが前記改ざん検知コード（１）と一致するかどう
か検証し、一致しなかった場合には、マウントを解除
し、一致した場合には、前記記憶媒体から前記保存デー
タリストファイルを読み出し、前記改ざん検知コード
（１）と装置復号鍵を用いて該保存データリストファイ
ルの改ざんを検出し、改ざんが検出された場合にはマウ
ントを解除し、改ざんが検出されなかった場合にはマウ
ントする、記憶媒体マウント方法を含むことを特徴とし
たものである。

【００２６】請求項１０の発明は、記憶媒体に記憶した
電子データの原本性を保証する原本性保証電子保存方法
において、外部から複数のコンテンツファイルを一つの
原本として新規に保存する要求を受け取ると、すでに前
記記憶媒体がマウントされていない場合には、エラーを
返して終了し、前記記憶媒体がマウントされている場合
には、新しい原本に対応する属性情報を作成し、該属性
情報と受け取った複数のコンテンツファイルそれぞれに
ついてハッシュ値（圧縮コード）を計算し、該計算した
複数のハッシュ値をまとめたハッシュリストを作成し、
保存装置内部に記憶している装置暗号鍵を用いて該ハッ
シュリストに対して改ざん検知コード（１）を計算し、
前記属性情報と複数のコンテンツファイルと該ハッシュ
リストと改ざん検知コード（１）を前記保存装置の前記
記憶媒体に保存し、該改ざん検知コード（１）を含む保
存データエントリを作成し、前記記憶媒体の保存データ
リストに該保存データエントリを追加し、前記装置暗号
鍵を用いて該保存データリストに対して改ざん検知コー
ド（２）を計算し、該改ざん検知コード（２）を該保存
データリストとともに前記記憶媒体に記録し、該改ざん
検知コード（２）を含む媒体認証コードエントリを作成
し、前記保存装置の内部記憶媒体にある、前記記憶媒体
を認証するための媒体認証コードリストに該媒体認証コ
ードエントリを追加し、前記装置暗号鍵を用いて該媒体
認証コードリストに対して改ざん検知コード（３）を計
算し、該改ざん検知コード（３）を該媒体認証コードリ
ストともに前記内部記憶媒体に記録する、原本を新規に
保存するための方法を含むことを特徴としたものであ
る。

【００２７】請求項１１の発明は、記憶媒体に記憶した
電子データの原本性を保証する原本性保証電子保存方法
において、外部から保存装置に保存されている原本であ
る電子データのコンテンツ読み出し要求を受け取ると、
すでに前記記憶媒体がマウントされていない場合には、
エラーを返して終了し、前記記憶媒体がマウントされて
いる場合には、該記憶媒体から保存データリストファイ
ルを読み出し、該保存データリストファイルから、外部
から指定された原本に該当する保存データエントリを取
得し、該保存データエントリにある改ざん検知コード
（１）を取り出し、前記外部から指定された原本に該当
する電子データとともに前記記憶媒体に記録されている
ハッシュリストを読み出し、該ハッシュリストに付与さ
れている改ざん検知コード（２）を取り出し、該改ざん
検知コード（２）と前記改ざん検知コード（１）を比較
し、同じ値でなければ該コンテンツ読み出し要求に対し
てエラーを返して終了し、同じ値であれば、該改ざん検
知コード（２）と装置復号鍵を用いて該ハッシュリスト
の改ざんを検出し、改ざんが検出された場合には前記コ
ンテンツ読み出し要求に対してエラーを返して終了し、
改ざんが検出されない場合には前記外部から指定された
コンテンツデータを前記記憶媒体から読み出し、該読み
出した該コンテンツデータに該当するハッシュ値（１）
を前記ハッシュリストから取得し、該コンテンツデータ
に対してハッシュ値（２）を計算し、該ハッシュ値
（２）と前記ハッシュ値（１）を比較し、同じ値でなけ
れば前記コンテンツ読み出し要求に対してエラーを返し
て終了し、同じ値であれば、該コンテンツデータを該コ
ンテンツ読み出し要求に対して返して終了する、原本を
参照するための方法を含むことを特徴としたものであ
る。

【００２８】請求項１２の発明は、記憶媒体に記憶した
電子データの原本性を保証する原本性保証電子保存装置
において、電子データを保存する記憶媒体と、ネットワ
ークを介して外部との通信を行うためのインターフェー
スである通信ポートと、各種プログラムを実行するのに
必要となるパラメータを記憶する内部記憶媒体と、各種
プログラムを格納するプログラム格納媒体と、該プログ
ラム格納媒体に格納された各種プログラムを読み出して
実行するプロセッサとを有し、前記プログラム格納媒体
に請求項１乃至１１のいずれか１に記載の機能を有する
プログラムを格納していることを特徴としたものであ
る。

【００２９】請求項１３の発明は、請求項１乃至１１の
いずれか１に記載の原本性保証電子保存方法を実行させ
るための、或いは、請求項１２に記載の原本性保証電子
保存装置として機能させるためのプログラムを記録した
コンピュータ読み取り可能な記録媒体を特徴としたもの
である。

【００３０】

【発明の実施の形態】図１は、本発明における原本性保
証電子保存装置（以下、「原本保存装置」と略して記述
する）の構成を示す図で、この原本保存装置１００は、
原本となる電子データを記憶し、ネットワークを介して
ホスト計算機１１０からアクセスされる装置であり、大
容量記憶媒体１０１と、通信ポート１０２と、プログラ
ム格納媒体１０３と、内部記憶媒体１０４と、タイマ１
０５と、プロセッサ１０６とからなる。外部システムは
ホスト計算機１１０側からネットワーク（一般的な通信
路で構わない）を介して原本保存装置１００に対して電
子データの保存・読み出し等を行う。通信ポート１０２
は、ネットワークを介したホスト計算機１１０との通信
をおこなうためのインターフェース部であり、たとえば
ＬＡＮカードなどの通信モデムなどからなる。

【００３１】大容量記憶媒体１０１は例えば光磁気ディ
スクやＣＤ−Ｒのように媒体そのものが原本保存装置１
００から取り外し可能であっても構わないが、その他の
ブロックは原本保存装置１００として物理的に一体化さ
れており、外部からのアクセスは通信ポート１０２を介
する以外にない。各ブロックに対して直接アクセスする
方法のない耐タンパー性を持った装置である。耐タンパ
ー性を確保するレベルは筐体を開けられないようシール
を貼る程度のものから、より高度に筐体を空けられてし
まった場合には装置が動作しなくなるようなレベルまで
考えられるが、そういった既存技術を利用する。プロセ
ッサは規定のコマンドしか処理しないため、通信ポート
１０２を介して内部に不正なアクセスをすることは不可
能である。

【００３２】プログラム格納媒体１０３は、主制御プロ
グラム、ハッシュプログラム、鍵生成プログラム、暗号
化プログラムおよび復号化プログラムなどの各種プログ
ラムを格納したメモリであり、たとえば書換可能なＥＥ
ＰＲＯＭや読み出し専用のＲＯＭなどからなる。

【００３３】内部記憶媒体１０４は、各種プログラムの
実行に必要となるパラメータを記憶するＥＥＰＲＯＭな
どからなるメモリであり、具体的には、装置暗号鍵、装
置復号鍵、媒体認証コードリスト、最新データ識別番
号、タイマ設定履歴ファイルおよびアカウント管理リス
トなどを記憶する。タイマ１０５は、プロセッサ１０６
がプログラムの実行時に所得する時刻を計時するタイマ
である。

【００３４】プロセッサ１０６は、プログラム格納媒体
１０３に格納された主制御プログラム、ハッシュプログ
ラム、鍵生成プログラム、暗号化プログラムおよび復号
化プログラムなどの各種プログラムを読み出して実行す
る制御装置である。

【００３５】この原本保存装置１００の例では、プログ
ラム格納媒体に鍵生成プログラム、暗号化プログラム、
復号化プログラムなどを格納し、プロセッサによってそ
れらプログラムを実行する方式としているが、他にもそ
れら暗号処理を行うハードウェアモジュール、例えば暗
号ＬＳＩボードなど、を原本保存装置１００に組み込
み、そのハードウェアモジュールで鍵生成、暗号化、復
号化の処理を行うようにしても良い。そのようなハード
ウエアの例としては、例えばＥＲＡＣＯＭ社（オースト
ラリア）のＣＳＡ７０００などが知られている。ここに
例示したようなハードウェアを使用する場合には、ハー
ドウェア内部に安全に鍵を保管することができるため、
後の説明で使用するマスター暗号鍵およびマスター復号
鍵を、このハードウェア内部に記憶させておくようにし
ても良い。

【００３６】この原本保存装置１００は外部システムか
ら保存要求のあったデータを大容量記憶媒体１０１に記
録するが、その際、後でデータの改ざんを検出するため
に、保存するデータに対して原本保存装置１００自身の
秘密鍵によりメッセージ認証子（公開鍵暗号方式を採用
する際には電子署名）を付加する。また、データそのも
のの不正な抹消を検出するために大容量記憶媒体１０１
に記録されているデータのリストに対してもメッセージ
認証子（ＭＡＣ：Message Authentication Code）を付
加する。また、大容量記憶媒体１０１の不正なすり替え
（過去の状態に戻すなど）を検出するために、大容量記
憶媒体１０１の媒体識別番号と、その媒体のデータリス
トに対するメッセージ認証子のペアを原本保存装置１０
０内部に記録して管理する。また、データの作成日など
に不正ができないよう、原本保存装置１００に内蔵され
ているタイマ１０５から現在時刻を取得し、データの属
性として付与する。

【００３７】さらに、原本保存装置１００の内部で、オ
リジナルとコピーが区別できるよう、データに「仮原
本」「原本」「謄本」といった属性を付与して管理して
いる。「原本」の属性が付与されたデータに対して、外
部から複製を要求すると、複製されたデータには「謄
本」という属性が付与される。この属性は原本保存装置
１００自身によって管理されており、外部から変更する
ことはできない。大容量記憶媒体１０１を取り外して、
外部でその属性を改ざんしても、後で原本保存装置１０
０にその大容量記憶媒体１０１を装着した際には改ざん
が検出される。

【００３８】図２及び図３は、本発明による原本性保証
電子保存装置において、原本を保証して保存されるデー
タ例の概念を示す図である。複数のコンテンツファイル
で１つのバージョンを構成し、複数のバージョンと、文
書の属性情報を記録しているデータ属性情報ファイル、
アクセス履歴を記録しているアクセスログファイル、文
書を構成する各ファイルのハッシュ値を管理するハッシ
ュファイル、によって一つの保存データを構成し、管理
する。

【００３９】図２では、バージョン１の段階で２つのコ
ンテンツを持っており、バージョン２になる際に３つ
目，４つ目のコンテンツが増え、バージョン３において
は１番目のコンテンツ編集され、４番目のコンテンツが
削除された様子を概念的に表している。薄い色で示した
コンテンツは、コンテンツ属性情報のみが存在し、コン
テンツデータファイルそのものは前のバージョンのコン
テンツデータファイルを参照することを意味している。

【００４０】原本性を保証するための処理シーケンスに
ついて以下に説明する。 （処理の概要）原本保存装置１００の内部プログラム起
動時に内部管理情報の正当性の検証を行い、各大容量記
憶媒体１０１毎の認証コードが正しいことを確認する。
そして、大容量記憶媒体１０１をマウントする際に大容
量記憶媒体１０１に記録されている保存データリストの
正当性の検証を行い、各保存データ毎のハッシュファイ
ルＭＡＣが正しいことを確認する。そして、実際に大容
量記憶媒体１０１に記録されている原本にアクセスする
際には原本のコンテンツ、属性情報とともに管理されて
いるハッシュファイルを用いてコンテンツ，属性情報，
アクセスログの正当性の検証を行う。

【００４１】逆に、原本を作成したり更新したりした場
合には原本の正当性を検証するためのハッシュファイル
ＭＡＣを計算し、原本とともに記録するだけでなく、大
容量記憶媒体１０１の保存データリストにもそのハッシ
ュファイルＭＡＣを記録する。マウントを解除する際に
はその保存データリストを保護するために保存データリ
ストの正当性を検証するためのリストＭＡＣを計算し、
保存データリストとともに記録するだけでなく、原本保
存装置１００内部の媒体認証コードリストにもそのリス
トＭＡＣを記録する。そして、原本保存装置１００の内
部プログラムを終了する際には、媒体認証コードリスト
を保護するために、媒体認証コードリストを検証するた
めの媒体認証コードリストＭＡＣを計算し、媒体認証コ
ードリストとともに記録するとともに、その媒体認証コ
ードリストＭＡＣの計算に使用した装置暗号鍵はプログ
ラム内部に組み込まれているマスター暗号鍵によって暗
号化して内部記憶媒体１０４に記録する。

【００４２】（プログラム起動処理）保存装置の内部プ
ログラムが起動する際に、内部の管理情報の整合性を検
証する。保存装置のサービスマンはプログラムを停止し
て内部をメンテナンスする可能性があるが、プログラム
が停止していた間に内部に対して不正な改ざんが行われ
ていないことを確認するため、内部記憶媒体１０４から
媒体認証コードリストを読み出し、それに付与されてい
る媒体認証コードリストＭＡＣの検証を行う。検証を行
う前に、装置暗号鍵、装置復号鍵がマスター暗号鍵によ
って暗号化されているため、それを同じくプログラム内
部に埋め込まれているマスター復号鍵で復号する。検証
が失敗すれば、不正な改ざんが行われた可能性があるた
め、プログラムは起動せずに終了する。検証に成功すれ
ば、媒体認証コードリストは信頼できることになり、プ
ログラム起動が正常に行われる。

【００４３】（プログラム終了処理）プログラム終了時
にはマウントしてある大容量記憶媒体１０１についてマ
ウント解除処理を実行する。そして、内部記憶媒体１０
４の媒体認証コードリストを読み出し、そのハッシュ値
を計算して装置暗号鍵で暗号化し、媒体認証コードリス
トＭＡＣとする。媒体認証コードリストＭＡＣを媒体認
証コードリストに付与し、内部記憶媒体１０４に記録す
る。また、内部記憶媒体１０４に記録してある装置暗号
鍵や装置復号鍵は内部プログラムの中に埋め込まれてい
るマスター暗号鍵で暗号化してから終了する。

【００４４】（大容量記憶媒体フォーマット処理）大容
量記憶媒体１０１を利用可能にするためにはフォーマッ
ト処理が必要となる。新しい大容量記憶媒体１０１に媒
体識別番号を振り、その媒体識別番号を媒体識別番号フ
ァイルとして大容量記憶媒体１０１に記録する。空の保
存データリストを作成し、その保存データリストに対す
るリストＭＡＣを計算して保存データリストに付与し、
保存データリストファイルとして大容量記憶媒体１０１
に記録する。そして、そのリストＭＡＣと媒体識別番号
の組を媒体認証コードリストの新しいエントリとして内
部記憶媒体１０４の媒体認証コードリストに追加する。
媒体認証コードリストに対して媒体認証コードリストＭ
ＡＣを計算し、媒体認証コードリストに付与して内部記
憶媒体１０４に記録する。媒体認証コードリストに対し
てＭＡＣを付与する処理は、プログラム終了処理でのみ
実行しても良い。媒体認証コードリストの構成を下表に
示す。

【００４５】

【表１】

【００４６】（マウント処理）原本が保存された大容量
記憶媒体１０１が装着されると、大容量記憶媒体１０１
から媒体識別番号ファイルを読み出し、媒体識別番号を
取得する。保存装置１００の内部記憶媒体１０４に記録
されている媒体認証コードリストの中で、装着された大
容量記憶媒体１０１に該当するエントリを参照し、リス
トＭＡＣを取得する。そのリストＭＡＣと、大容量記憶
媒体１０１に記録されている保存データリストファイル
に付与されているリストＭＡＣとを比較し、同じ値であ
るかどうかを検証する。同じ値でなければ、保存データ
リストファイルが不正であるため、マウント処理は失敗
となる。同じ値であれば、大容量記憶媒体１０１から保
存データリストファイルを読み出し、保存データリスト
ファイルのリストＭＡＣが正しいかどうか検証する。正
しくない場合にはマウント処理は失敗となる。正しけれ
ば、保存データリストは信頼できることになり、マウン
ト処理が成功となる。

【００４７】（マウント解除処理）大容量記憶媒体１０
１のマウントを解除する際には、保存データリストファ
イルを元にハッシュ値を計算し、そのハッシュ値を装置
暗号鍵で暗号化してリストＭＡＣとする。リストＭＡＣ
を保存データリストファイルに付与して大容量記憶媒体
１０１に記録する。そして、内部記憶媒体１０４から媒
体認証コードリストを読み出し、その中の、マウントを
解除する大容量記憶媒体１０１の媒体識別番号に該当す
る媒体認証コードエントリについてリストＭＡＣを更新
し、内部記憶媒体１０４に記録する。

【００４８】（原本参照）マウント処理が成功した後、
大容量記憶媒体１０１に記録されている原本の参照が要
求されると（具体的には原本識別番号を指定した参照要
求を保存装置が受け取る）、保存データリストの中の該
当する原本のエントリを参照し、ハッシュファイルＭＡ
Ｃを取得する。そのハッシュファイルＭＡＣと、大容量
記憶媒体１０１に記録されている該当文書のハッシュフ
ァイルに付与されているハッシュファイルＭＡＣが同じ
値であるかどうかを検証する。マウント処理の際に保存
データリストの正当性は確認されているため、同じ値で
なければ、ハッシュファイルが不正であるということに
なり、原本の参照処理は失敗する。同じ値であれば大容
量記憶媒体１０１から該当文書のハッシュファイルを読
み出し、ハッシュファイルのハッシュファイルＭＡＣが
正しいかどうかを検証する。正しくない場合には原本参
照処理は失敗となる。正しければ、ハッシュファイルは
信頼できることになる。指定された原本のうち、例えば
１番目のコンテンツファイルの参照が要求されているの
であれば、１番目のコンテンツファイルに該当するハッ
シュ値をハッシュファイルから取り出し、そのハッシュ
値がコンテンツファイルから計算されるハッシュ値と一
致するかどうか検証する。すでにハッシュファイルの正
当性は検証されているため、一致しなければコンテンツ
ファイルが不正であることになり、原本参照処理は失敗
となる。一致すれば、読み出したコンテンツファイルを
要求元に渡し、原本参照処理が成功となる。

【００４９】（原本新規作成処理）図４は、本発明の実
施形態における原本の新規作成方法を説明するためのフ
ロー図である。原本保存装置１００の外部から新しい原
本を新規に作成（保存）しようとする場合には以下のよ
うな処理になる。

【００５０】まず、外部より新規に作成する原本の複数
のコンテンツファイルを受け取る（ステップＳ１）。大
容量記憶媒体１０１のマウント処理が完了しているかを
判断し（ステップＳ２）、未完了ならばエラー処理をし
て終了する。処理が完了しているならば、内部記憶媒体
１０４の最新原本識別番号を読み出す。読み出した番号
に１を加えて新しい最新原本識別番号とし、内部記憶媒
体１０４に記録する（ステップＳ３）。その後、新しい
最新原本識別番号を、この原本の原本識別番号とし、そ
の番号を元にしてディレクトリ名を決定し、大容量記憶
媒体１０１にディレクトリを作成する（ステップＳ
４）。受け取ったコンテンツファイル個々についてハッ
シュ値を計算し、コンテンツファイルハッシュ値とし、
作成したディレクトリの下に受け取ったコンテンツファ
イルを記録する（ステップＳ５）。

【００５１】次に、内部タイマ１０５より現在時刻を、
内部記憶媒体１０４より最新タイマＩＤを取得し、現在
時刻と最新タイマＩＤより日時情報を作成する（ステッ
プＳ６）。先の新しい原本識別番号，日時情報，コンテ
ンツファイル情報を元にデータ属性情報を作成する（ス
テップＳ７）。このデータ属性情報を元にハッシュ値を
計算し、データ属性情報ハッシュ値とする。データ属性
情報をデータ属性情報ファイルとして大容量記憶媒体１
０１に記録する（ステップＳ８）。

【００５２】原本の新規作成を要求したユーザ名を含
む、この原本のアクセスログを作成する（ステップＳ
９）。このアクセスログを元にハッシュ値を計算し、ア
クセスログハッシュ値とする。アクセスログをアクセス
ログファイルとして大容量記憶媒体１０１に記録する
（ステップＳ１０）。コンテンツファイルハッシュ値，
データ属性情報ハッシュ値，アクセスログハッシュ値を
合わせてハッシュコレクションとし、ハッシュコレクシ
ョンを元にハッシュ値を計算して、そのハッシュ値を装
置内部暗号鍵で暗号化し、ハッシュファイルＭＡＣとす
る（ステップＳ１１）。ここで、ハッシュコレクション
とハッシュファイルＭＡＣを合わせて大容量記憶媒体１
０１にハッシュファイルとして記録する（ステップＳ１
２）。ハッシュファイルの構成を下表に示す。

【００５３】

【表２】

【００５４】ここで、バージョン番号が０でコンテンツ
番号が１の場合にはデータ属性情報ファイルを意味す
る。バージョン番号が０でコンテンツ番号が２の場合に
はアクセスログファイルを意味する。

【００５５】最後に、原本識別番号，原本属性，作成日
時情報，ハッシュファイルＭＡＣを組み合わせて保存デ
ータリストエントリを作成し、大容量記憶媒体１０１の
保存データリストファイルに先の保存データリストエン
トリを追加して（ステップＳ１３）、処理を終了する。

【００５６】（原本コンテンツ更新処理）原本のコンテ
ンツを更新する場合には、基本的に原本参照処理に記述
されているような手順で保存されている原本の正当性を
検証し、その上で原本新規作成処理と同様の手順でコン
テンツの更新を行い、原本の正当性を検証するための改
ざん検知コード等を計算して記録・管理するようにす
る。

【００５７】

【発明の効果】本発明の原本性保証電子保存方法及び装
置によれば、文書のハッシュ値の管理を簡潔にでき、文
書の更新，参照の手続きの煩雑さを解消できる。また、
保存装置のプログラム起動，終了の処理についても安全
性を高めることが可能である。

【図面の簡単な説明】

【図１】 本発明における原本保存装置の構成を示す図
である。

【図２】 本発明による原本保存装置において、原本を
保証して保存されるデータ例の概念を示す図である。

【図３】 本発明による原本保存装置において、原本を
保証して保存されるデータ例の概念を示す図である。

【図４】 本発明の実施形態における原本の新規作成方
法を説明するためのフロー図である。

【符号の説明】

１００…原本保存装置、１０１…大容量記憶媒体、１０
２…通信ポート、１０３…プログラム格納媒体、１０４
…内部記憶媒体、１０５…タイマ、１０６…プロセッ
サ、１１０…ホスト計算機。

───────────────────────────────────────────────────── フロントページの続き Ｆターム(参考） 5B017 AA08 BA05 BA07 BB02 BB03 CA09 CA16 5B076 AB09 FA14 FA15 FA16 5B085 AE29

Claims (13)

【特許請求の範囲】
1. 【請求項１】 記憶媒体に記憶した電子データの原本性
   を保証する原本性保証電子保存方法において、 外部から保存装置のプログラム終了要求を受け取ると、 該保存装置の内部記憶媒体に記録されている内部管理情
   報をすべて読み出し、 該読み出した内部管理情報を、前記保存装置内のマスタ
   ー暗号鍵により暗号化し、 該暗号化した前記内部管理情報を前記内部記憶媒体に記
   録し、プログラムを終了する、 プログラム終了方法を含むことを特徴とする原本性保証
   電子保存方法。
2. 【請求項２】 記憶媒体に記憶した電子データの原本性
   を保証する原本性保証電子保存方法において、 外部から保存装置のプログラム終了要求を受け取ると、 該保存装置の内部記憶媒体に記録されている、電子デー
   タの改ざん検知情報を算定するための装置暗号鍵及び該
   装置暗号鍵に対応する装置復号鍵を読み出し、 前記保存装置内のマスター暗号鍵により前記装置暗号鍵
   及び装置復号鍵を暗号化し、 該暗号化した装置暗号鍵及び装置復号鍵を前記内部記憶
   媒体に記録し、プログラムを終了する、 プログラム終了方法を含むことを特徴とする原本性保証
   電子保存方法。
3. 【請求項３】 請求項１又は２に記載の原本性保証電子
   保存方法において、前記マスター暗号鍵は、前記プログ
   ラム内に保持されていることを特徴とする原本性保証電
   子保存方法。
4. 【請求項４】 請求項１又は２に記載の原本性保証電子
   保存方法において、前記マスター暗号鍵は、前記保存装
   置にハードウェアで記憶されていることを特徴とする原
   本性保証電子保存方法。
5. 【請求項５】 記憶媒体に記憶した電子データの原本性
   を保証する原本性保証電子保存方法において、 保存装置のプログラムが起動されると、 該保存装置の内部記憶媒体に記録されている、マスター
   暗号鍵により暗号化された内部管理情報を読み出し、 該マスター暗号鍵に対応するマスター復号鍵により、該
   暗号化された内部管理情報を復号し、 該復号された内部管理情報を該内部記憶媒体に記録す
   る、 プログラム起動方法を含むことを特徴とする原本性保証
   電子保存方法。
6. 【請求項６】 記憶媒体に記憶した電子データの原本性
   を保証する原本性保証電子保存方法において、 保存装置のプログラムが起動されると、 該保存装置の内部記憶媒体に記録されている、マスター
   暗号鍵により暗号化された、電子データの改ざん検知情
   報を算定するための装置暗号鍵及び該装置暗号鍵に対応
   する装置復号鍵を読み出し、 前記マスター暗号鍵に対応するマスター復号鍵により該
   暗号化された装置暗号鍵を復号し、装置暗号鍵とし、前
   記マスター復号鍵により該暗号化された装置復号鍵を復
   号し、装置復号鍵とし、 該復号した装置暗号鍵及び装置復号鍵を前記内部記憶媒
   体に記録し、 該内部記憶媒体に記録されている、前記記憶媒体を認証
   するための媒体認証コードリストを読み出し、 該媒体認証コードリストとともに記録されている改ざん
   検知コードを読み出し、 該改ざん検知コードと前記装置復号鍵を用いて該媒体認
   証コードリストの改ざんを検出する、 プログラム起動方法を含むことを特徴とする原本性保証
   電子保存方法。
7. 【請求項７】 請求項５又は６に記載の原本性保証電子
   保存方法において、前記マスター暗号鍵及びマスター復
   号鍵は、前記プログラム内に保持されていることを特徴
   とする原本性保証電子保存方法。
8. 【請求項８】 請求項５又は６に記載の原本性保証電子
   保存方法において、前記マスター暗号鍵及びマスター復
   号鍵は、前記保存装置にハードウェアで記憶されている
   ことを特徴とする原本性保証電子保存方法。
9. 【請求項９】 記憶媒体に記憶した電子データの原本性
   を保証する原本性保証電子保存方法において、 保存装置に前記記憶媒体がマウントされると、 該記憶媒体に記録されている、該記憶媒体を識別するた
   めの媒体識別番号を読み出し、 該記憶媒体の保存データリストファイルとともに記録さ
   れている改ざん検知コード（１）を読み出し、 前記保存装置の内部記憶媒体に記録されている、前記記
   憶媒体を認証するための媒体認証コードリストを読み出
   し、 該媒体認証コードリストから前記媒体識別番号に該当す
   る媒体認証コードエントリを取り出し、 該媒体認証コードエントリにある改ざん検知コードが前
   記改ざん検知コード（１）と一致するかどうか検証し、 一致しなかった場合には、 マウントを解除し、 一致した場合には、 前記記憶媒体から前記保存データリストファイルを読み
   出し、 前記改ざん検知コード（１）と装置復号鍵を用いて該保
   存データリストファイルの改ざんを検出し、 改ざんが検出された場合にはマウントを解除し、 改ざんが検出されなかった場合にはマウントする、 記憶媒体マウント方法を含むことを特徴とする原本性保
   証電子保存方法。
10. 【請求項１０】 記憶媒体に記憶した電子データの原本
    性を保証する原本性保証電子保存方法において、 外部から複数のコンテンツファイルを一つの原本として
    新規に保存する要求を受け取ると、 すでに前記記憶媒体がマウントされていない場合には、 エラーを返して終了し、 前記記憶媒体がマウントされている場合には、 新しい原本に対応する属性情報を作成し、 該属性情報と受け取った複数のコンテンツファイルそれ
    ぞれについてハッシュ値を計算し、 該計算した複数のハッシュ値をまとめたハッシュリスト
    を作成し、 保存装置内部に記憶している装置暗号鍵を用いて該ハッ
    シュリストに対して改ざん検知コード（１）を計算し、 前記属性情報と複数のコンテンツファイルと該ハッシュ
    リストと改ざん検知コード（１）を前記保存装置の前記
    記憶媒体に保存し、 該改ざん検知コード（１）を含む保存データエントリを
    作成し、 前記記憶媒体の保存データリストに該保存データエント
    リを追加し、 前記装置暗号鍵を用いて該保存データリストに対して改
    ざん検知コード（２）を計算し、 該改ざん検知コード（２）を該保存データリストととも
    に前記記憶媒体に記録し、 該改ざん検知コード（２）を含む媒体認証コードエント
    リを作成し、 前記保存装置の内部記憶媒体にある、前記記憶媒体を認
    証するための媒体認証コードリストに該媒体認証コード
    エントリを追加し、 前記装置暗号鍵を用いて該媒体認証コードリストに対し
    て改ざん検知コード（３）を計算し、 該改ざん検知コード（３）を該媒体認証コードリストと
    もに前記内部記憶媒体に記録する、 原本を新規に保存するための方法を含むことを特徴とす
    る原本性保証電子保存方法。
11. 【請求項１１】 記憶媒体に記憶した電子データの原本
    性を保証する原本性保証電子保存方法において、 外部から保存装置に保存されている原本である電子デー
    タのコンテンツ読み出し要求を受け取ると、 すでに前記記憶媒体がマウントされていない場合には、 エラーを返して終了し、 前記記憶媒体がマウントされている場合には、 該記憶媒体から保存データリストファイルを読み出し、 該保存データリストファイルから、外部から指定された
    原本に該当する保存データエントリを取得し、 該保存データエントリにある改ざん検知コード（１）を
    取り出し、 前記外部から指定された原本に該当する電子データとと
    もに前記記憶媒体に記録されているハッシュリストを読
    み出し、 該ハッシュリストに付与されている改ざん検知コード
    （２）を取り出し、 該改ざん検知コード（２）と前記改ざん検知コード
    （１）を比較し、同じ値でなければ該コンテンツ読み出
    し要求に対してエラーを返して終了し、同じ値であれ
    ば、該改ざん検知コード（２）と装置復号鍵を用いて該
    ハッシュリストの改ざんを検出し、 改ざんが検出された場合には前記コンテンツ読み出し要
    求に対してエラーを返して終了し、改ざんが検出されな
    い場合には前記外部から指定されたコンテンツデータを
    前記記憶媒体から読み出し、 該読み出した該コンテンツデータに該当するハッシュ値
    （１）を前記ハッシュリストから取得し、 該コンテンツデータに対してハッシュ値（２）を計算
    し、 該ハッシュ値（２）と前記ハッシュ値（１）を比較し、
    同じ値でなければ前記コンテンツ読み出し要求に対して
    エラーを返して終了し、同じ値であれば、該コンテンツ
    データを該コンテンツ読み出し要求に対して返して終了
    する、 原本を参照するための方法を含むことを特徴とする原本
    性保証電子保存方法。
12. 【請求項１２】 記憶媒体に記憶した電子データの原本
    性を保証する原本性保証電子保存装置において、 電子データを保存する記憶媒体と、 ネットワークを介して外部との通信を行うためのインタ
    ーフェースである通信ポートと、 各種プログラムを実行するのに必要となるパラメータを
    記憶する内部記憶媒体と、 各種プログラムを格納するプログラム格納媒体と、 該プログラム格納媒体に格納された各種プログラムを読
    み出して実行するプロセッサとを有し、 前記プログラム格納媒体に請求項１乃至１１のいずれか
    １に記載の機能を有するプログラムを格納していること
    を特徴とする原本性保証電子保存装置。
13. 【請求項１３】 請求項１乃至１１のいずれか１に記載
    の原本性保証電子保存方法を実行させるための、或い
    は、請求項１２に記載の原本性保証電子保存装置として
    機能させるためのプログラムを記録したコンピュータ読
    み取り可能な記録媒体。