JP2006236252A - セキュリティ装置、時刻校正装置、タイムスタンプ装置、電源供給制御方法および電源供給制御プログラム - Google Patents

Abstract

【課題】悪意の利用者による時刻改ざんを防止するとともに、在庫期間および運用期間における電力消費を抑制すること。
【解決手段】時刻補正処理部が電波時刻によるローカル時刻の補正をおこなうとともに、所定の条件を満たした場合に時刻校正処理部が時刻発行装置から認証時刻を取得してローカル時刻の校正をおこない、電源供給制御部が認証鍵記憶部以外の構成要素への電源供給を制御し、休止モードから運用モードに遷移した場合には、時刻校正処理部が時刻発行装置から認証時刻を取得してローカル時刻の校正をおこない、さらに、電源供給制御部が無使用期間に応じた電源供給をおこなう。
【選択図】 図４

Description

この発明は、内部時計が出力するローカル時刻に基づいてこのローカル時刻を含んだ電子署名をおこなうタイムスタンプ装置、認証鍵を用いてデータの送受信をおこなうセキュリティ装置、認証鍵を用いて時刻発行サーバから認証時刻を取得することによりローカル時刻を校正する時刻校正装置、電源制御方法および電源供給プログラムに関し、特に、悪意の利用者による時刻改ざんを防止するとともに、在庫期間および運用期間における電力消費を抑制することができるタイムスタンプ装置、セキュリティ装置、時刻校正装置、電源供給制御方法および電源供給制御プログラムに関するものである。

近年、電子認証技術の進展にともない、電子文書の作成者や発行者を証明する電子署名が用いられるようになってきている。この電子署名には暗号鍵などの技術が用いられており電子署名の信頼性を担保している。また、かかる電子署名に国家標準時刻（以下、「標準時刻」と呼ぶ。）を含めることにより、電子文書の作成時刻や送信時刻を証明しようという試みもおこなわれている。

時刻を含んだ電子署名をおこなう装置は、一般的にタイムスタンプ装置と呼ばれる。このタイムスタンプ装置は内部時計を有しており、内部時計によりローカル時刻を計時するとともに、標準時刻を含んだ電波を受信するなどしてローカル時刻を補正することで電子署名に用いる時刻の精度を向上させている。

このように、時刻を含んだ電子署名をおこなう場合には、タイムスタンプ装置のローカル時刻と標準時刻とのずれを所定値以下に抑える必要がある。すなわち、電子署名に含まれる時刻と標準時刻とのずれが所定値以下であることを保証できれば、ローカル時刻を含んだ電子署名により、署名対象となる電子文書に関する時刻を証明できることになる。

なお、かかるローカル時刻と標準時刻とのずれを所定値以下に抑える方法としては、上記した、いわゆる電波時計と同様の方法の他に、ネットワーク接続された標準時刻管理サーバに接続してこのサーバから標準時刻を得る方法もある。たとえば、特許文献１には、標準時刻を管理するサーバが、常時このサーバと通信できるクライアント装置に対して標準時刻を送信するとともに、送信した標準時刻に保証期間を設けることで、クライアント装置の内部時計の狂いや改ざんを検出する方法が開示されている。

特開２００２−２２９８６９号公報

しかしながら、上記した従来のタイムスタンプ装置では、悪意の利用者によるローカル時刻の改ざんを防止することができない。たとえば、真の標準時刻を含んだ電波のかわりに偽の標準時刻を含んだ電波を用いることで、タイムスタンプ装置のローカル時刻を真の標準時刻から大きくずらすことが可能となる。このようなローカル時刻の改ざんがおこなわれると、電子文書に関する時刻を証明できないことになってしまう。

したがって、従来のタイムスタンプ装置では、タイムスタンプ装置を製造し、利用者が購入するまでの期間（以下、「在庫期間」と呼ぶ。）であっても、タイムスタンプ装置内部の電波受信部や内部時計に電力を供給し、上記した改ざんを防止する必要があった。特に、在庫期間が長くなることも予測される場合には、予測される最長の在庫期間にあわせた十分な容量のバッテリを搭載しておく必要があった。

また、各種デバイスの小型化によりタイムスタンプ装置も小型化することが可能となってきており、ＬＡＮ（Local Area Network）などのネットワークに常時接続しておくのではなく、腕時計や携帯電話のように利用者が手軽に持ち運んで必要なときに使用される形態が想定され、このような使用形態を望むユーザニーズが予想される。この場合、バッテリの小型化は大変重要な課題となる。

なお、特許文献１に開示されている技術は、標準時刻管理サーバと常に通信できるように、ＬＡＮなどのネットワークに常時接続されているクライアント装置に関するものであり、運用開始後の期間については考慮されているが、上記した在庫期間については考慮されていない。

これらのことから、悪意の利用者による時刻改ざんを防止するとともに、在庫期間および運用期間における電力消費を抑制することができるタイムスタンプ装置をいかにして実現するかが大きな課題となっている。

この発明は、上述した従来技術による問題点を解消するためになされたものであり、悪意の利用者による時刻改ざんを防止するとともに、在庫期間および運用期間における電力消費を抑制することができるタイムスタンプ装置、時刻校正方法および時刻校正プログラムを提供することを目的とする。

上述した課題を解決し、目的を達成するため本発明は、内部時計が出力するローカル時刻に基づいて該ローカル時刻を含んだ電子署名をおこなうタイムスタンプ装置であって、認証鍵を記憶する認証鍵記憶手段と、前記認証鍵を提示された場合に標準時刻と同期した認証時刻を発行する時刻発行装置から該認証時刻を取得する認証時刻取得手段と、前記認証時刻取得手段により取得された前記認証時刻に基づいて前記ローカル時刻の校正をおこなう時刻校正手段と、前記認証鍵記憶部への電源供給を継続しておこなうとともに該認証鍵記憶部以外への電源供給の有無を制御する電源供給制御手段とを備えたことを特徴とする。

また、本発明は、標準時刻を含んだ電波を受信することにより該標準時刻を電波時刻として取得する電波時刻取得手段と、前記電波時刻取得手段により取得された前記電波時刻と前記ローカル時刻との差分の絶対値を算出し、該差分の絶対値が第一の閾値よりも小さい場合に該電波時刻を該ローカル時刻として設定する補正をおこない、該差分の絶対値が該第一の閾値以上である場合に該ローカル時刻の補正をおこなわない時刻補正手段とをさらに備えたことを特徴とする。

また、本発明は、前記電源供給制御手段は、前記内部時計に対し電源供給を開始したならば前記認証時刻取得手段に前記認証時刻の取得を指示し、前記時刻校正手段は、該認証時刻取得手段が取得した該認証時刻を前記ローカル時刻として設定することを特徴とする。

また、本発明は、前記電源供給制御手段は、運用開始指示を受け取ったならばすべての電源供給単位に電源供給を開始することを特徴とする。

また、本発明は、前記電源供給制御手段は、前記ローカル時刻を含んだ電子署名がおこなわれていない期間を計測し、計測した該期間が第二の閾値を超えたならば前記電源供給単位のうち所定の電源供給単位に対する電源供給を停止することを特徴とする。

また、本発明は、前記電源供給制御手段は、前記ローカル時刻を含んだ電子署名がおこなわれていない期間を計測し、計測した該期間が第三の閾値を超えたならば前記電源供給単位のうち認証鍵記憶手段以外の電源供給単位に対する電源供給を停止することを特徴とする。

また、本発明は、内部時計が出力するローカル時刻に基づいて該ローカル時刻を含んだ電子署名をおこなうタイムスタンプ装置に適用される電源制御方法であって、認証鍵を記憶する認証鍵記憶工程と、前記認証鍵を提示された場合に標準時刻と同期した認証時刻を発行する時刻発行装置から該認証時刻を取得する認証時刻取得工程と、前記認証時刻取得工程により取得された前記認証時刻に基づいて前記ローカル時刻の校正をおこなう時刻校正工程と、前記認証鍵記憶部への電源供給を継続しておこなうとともに該認証鍵記憶部以外への電源供給の有無を制御する電源供給制御工程とを含んだことを特徴とする。

また、本発明は、内部時計が出力するローカル時刻に基づいて該ローカル時刻を含んだ電子署名をおこなうタイムスタンプ装置に搭載される電源制御プログラムであって、認証鍵を記憶部に記憶させる認証鍵記憶手順と、前記認証鍵を提示された場合に標準時刻と同期した認証時刻を発行する時刻発行装置から該認証時刻を取得する認証時刻取得手順と、前記認証時刻取得手順により取得された前記認証時刻に基づいて前記ローカル時刻の校正をおこなう時刻校正手順と、前記認証鍵記憶部への電源供給を継続しておこなうとともに該認証鍵記憶部以外への電源供給の有無を制御する電源供給制御手順とをコンピュータに実行させることを特徴とする。

また、本発明は、認証鍵を用いてデータの送受信をおこなうセキュリティ装置であって、認証鍵を記憶する認証鍵記憶手段と、前記認証鍵記憶部への電源供給を継続しておこなうとともに該認証鍵記憶部以外への電源供給の有無を制御する電源供給制御手段とを備えたことを特徴とする。

また、本発明は、認証鍵を用いて時刻発行装置から認証時刻を取得することによりローカル時刻を校正する時刻校正装置であって、認証鍵を記憶する認証鍵記憶手段と、前記認証鍵記憶部への電源供給を継続しておこなうとともに該認証鍵記憶部以外への電源供給の有無を制御する電源供給制御手段とを備えたことを特徴とする。

本発明によれば、認証鍵を記憶する認証鍵記憶手段と、認証鍵を提示された場合に標準時刻と同期した認証時刻を発行する時刻発行装置から認証時刻を取得する認証時刻取得手段と、認証時刻取得手段により取得された認証時刻に基づいてローカル時刻の校正をおこなう時刻校正手段と、認証鍵記憶部への電源供給を継続しておこなうとともに該認証鍵記憶部以外への電源供給の有無を制御する電源供給制御手段とを備えるよう構成したので、悪意の利用者による時刻改ざんを防止するとともに、在庫期間および運用期間における電力消費を抑制することができるという効果を奏する。

また、本発明によれば、標準時刻を含んだ電波を受信することにより標準時刻を電波時刻として取得する電波時刻取得手段と、電波時刻取得手段により取得された電波時刻とローカル時刻との差分の絶対値を算出し、差分の絶対値が第一の閾値よりも小さい場合に電波時刻をローカル時刻として設定する補正をおこない、差分の絶対値が第一の閾値以上である場合にローカル時刻の補正をおこなわない時刻補正手段とを備えるよう構成したので、善意の利用者に提供するローカル時刻の精度を高めることができるという効果を奏する。

また、本発明によれば、電源供給制御手段は、内部時計に対し電源供給を開始したならば認証時刻取得手段に認証時刻の取得を指示し、時刻校正手段は、認証時刻取得手段が取得した認証時刻をローカル時刻として設定するよう構成したので、運用を開始する際に信頼のおける時刻を取得することができるという効果を奏する。

また、本発明によれば、電源供給制御手段は、運用開始指示を受け取ったならばすべての電源供給単位に電源供給を開始するよう構成したので、在庫期間中の電力消費を抑制することにより、搭載するバッテリを小型化することができるという効果を奏する。

また、本発明によれば、電源供給制御手段は、ローカル時刻を含んだ電子署名がおこなわれていない期間を計測し、計測した該期間が第二の閾値を超えたならば電源供給単位のうち所定の電源供給単位に対する電源供給を停止するよう構成したので、利用者の利用状況に応じて電力消費を抑制することができるという効果を奏する。

また、本発明によれば、電源供給制御手段は、ローカル時刻を含んだ電子署名がおこなわれていない期間を計測し、計測した期間が第三の閾値を超えたならば電源供給単位のうち認証鍵記憶手段以外の電源供給単位に対する電源供給を停止するよう構成したので、長期の在庫期間および無使用期間における電力消費を抑制することができるという効果を奏する。

また、本発明によれば、認証鍵を記憶する認証鍵記憶工程と、認証鍵を提示された場合に標準時刻と同期した認証時刻を発行する時刻発行装置から認証時刻を取得する認証時刻取得工程と、認証時刻取得工程により取得された認証時刻に基づいてローカル時刻の校正をおこなう時刻校正工程と、認証鍵記憶部への電源供給を継続しておこなうとともに認証鍵記憶部以外への電源供給の有無を制御する電源供給制御工程とを含むよう構成したので、悪意の利用者による時刻改ざんを防止するとともに、在庫期間および運用期間における電力消費を抑制することができるという効果を奏する。

また、本発明によれば、認証鍵を記憶部に記憶させる認証鍵記憶手順と、認証鍵を提示された場合に標準時刻と同期した認証時刻を発行する時刻発行装置から認証時刻を取得する認証時刻取得手順と、認証時刻取得手順により取得された認証時刻に基づいてローカル時刻の校正をおこなう時刻校正手順と、認証鍵記憶部への電源供給を継続しておこなうとともに認証鍵記憶部以外への電源供給の有無を制御する電源供給制御手順とをコンピュータに実行させるよう構成したので、悪意の利用者による時刻改ざんを防止するとともに、在庫期間および運用期間における電力消費を抑制することができるという効果を奏する。

また、本発明によれば、認証鍵を記憶する認証鍵記憶手段と、認証鍵記憶部への電源供給を継続しておこなうとともに認証鍵記憶部以外への電源供給の有無を制御する電源供給制御手段とを備えるよう構成したので、在庫期間および運用期間における電力消費を抑制することができるという効果を奏する。

以下に添付図面を参照して、この発明に係るセキュリティ装置、時刻校正装置、タイムスタンプ装置、電源制御方法および電源制御プログラムの好適な実施例を詳細に説明する。なお、以下の実施例においては、本発明に係る電源供給制御処理をタイムスタンプ装置に適用した場合について説明する。また、本実施例によりこの発明が限定されるものではない。

まず、本実施例の特徴部分である電源供給制御処理を適用するタイムスタンプ装置について図１〜図２−３および図１０〜図１１を用いて説明する。なお、図１〜図２−３が本実施例に係るタイムスタンプ装置に関する図であり、図１０〜図１１が従来のタイムスタンプ装置に関する図である。

最初に、従来のタイムスタンプ装置の概要について図１０を用いて説明する。図１０は、従来のタイムスタンプ装置の概要を示す図である。ここで、タイムスタンプ装置とは、電子文書などの電子データに対して時刻を含んだ電子署名をおこなう装置のことである。近年、ネットワークを介して電子データをやりとりすることは一般的におこなわれており、かかる電子データの作成時刻や送信時刻などを証明するビジネス（いわゆる「タイムビジネス」）も本格化しつつある。

たとえば、カルテや死亡診断書などの医療関係の電子書類、売上伝票や領収書などの経理・税金関係の電子書類、さらには特許の発明日を立証するための電子書類といった文書データのほか、画像データや映像データなどにタイムスタンプ装置を用いた電子署名が付加されていれば、これらの電子データが作成された日時や送信された日時を証明することが可能となる。また、デジタルカメラやデジタルビデオカメラなどの装置にタイムスタンプ装置を内蔵させることにより、日付や時刻の記録が必要な分野にもタイムビジネスの適用範囲を広げることができる。

このようなタイムビジネスを構築するにあたっては、電子署名に含まれる時刻の管理が非常に重要である。すなわち、単に時刻の正確性のみを追求するのではなく、悪意をもった利用者などによる時刻の改変を許さない仕組みづくりが必要となる。たとえば、医療事故を隠蔽するためにカルテに付加された時刻を改変したり、特許の発明日を改変したりする悪意の利用者が想定されるので、これらの利用者による時刻の改変を防止する必要がある。

ところで、かかるタイムビジネスの一形態として、信頼のおける時刻を発行する施設や装置と、これらの施設や装置が発行する時刻を受信する多数のタイムスタンプ装置との間で時刻を同期させることがおこなわれる。なお、信頼のおける時刻を発行する施設や装置としては、標準時刻を含んだ電波を発信する標準電波送信所や衛星、インタネットなどに接続され認証鍵の提示により標準時刻を提供する時刻発行サーバなどがある。

タイムビジネスを展開するためにタイムスタンプ装置を製造・販売する企業は、販売したタイムスタンプ装置がおこなう時刻付き電子署名の「時刻」と、標準時刻とのずれが所定値以下であることを保証しなければならない。このような時刻保証をおこなうことで、タイムビジネスが成立することになる。

しかし、タイムスタンプ装置の流通過程に介在する人や購入する人のなかには、タイムスタンプ装置の時刻を改変し、偽の時刻を含んだ電子署名をおこなう悪意の利用者が存在することが予想される。このような時刻の改変を許してしまうと、時刻保証をおこなうことができないので、タイムビジネスそのものが成立しなくなってしまう。

図１０に示した従来のタイムスタンプ装置は、装置内部に内部時計を有しており、この内部時計が刻む時刻を、標準電波送信所から送信される標準電波に含まれた電波時刻（Ｔ_W）により補正するものである。そして、補正した内部時計を用いて時刻を含んだ署名処理をおこなう。このタイムスタンプ装置は、いわゆる「電波時計」の機能をタイムスタンプ装置にもたせたものである。

そして、かかるタイムスタンプ装置では、内部時計と電波時刻（Ｔ_W）とのずれが所定の閾値を超えた場合に署名処理を禁止するなどして、悪意の利用者による時刻改変を防止することとしている。しかし、この防止策を機能させるためには、内部時計および電波受信の動作を継続しておこなう必要がある。しかも、これらの動作はタイムスタンプ装置の製造時から継続しておこなわなければならない。

なぜならば、いったん内部時計または電波受信の動作を休止してしまうと、内部時計と電波時刻（Ｔ_W）とのずれが所定の閾値を越えてしまい、上記の防止策が機能して署名処理が禁止されてしまうからである。

ここで、従来のタイムスタンプ装置の電源供給に関する問題点について図１１を用いて説明する。図１１は、従来のタイムスタンプ装置の電源供給に関する問題点を示す図である。なお、同図は従来のタイムスタンプ装置の流通過程について示している。

同図に示したように、タイムスタンプ装置が製造されて利用者により購入されるまでの期間を、「在庫期間」と呼ぶこととする。上述したように、従来のタイムスタンプ装置では時刻改変などの不正行為を防止するために、在庫期間であっても内部時計および電波受信の動作を継続する必要がある。したがって、製造後は内部時計および電波受信機能に電源供給を継続しておこなわなければならない。

特に、在庫期間が長くなることも予測される場合には、予測される最長の在庫期間にあわせた十分な容量のバッテリを搭載する必要があるため、タイムスタンプ装置の小型化を阻害する要因となっていた。さらに、腕時計や携帯電話のように利用者が手軽に持ち運んで必要なときに使用される形態に対応する場合には、搭載されるバッテリを小型化する必要があるため、在庫期間の電力消費を抑えることは大変重要な課題となる。

そこで、本実施例に係るタイムスタンプ装置では、在庫期間の電力消費を抑えるとともに、運用開始後の不使用期間（以下、「放置期間」と呼ぶ。）の電力消費をも抑制する電源供給の仕組みを提供することとした。

次に、本実施例に係るタイムスタンプ装置の概要について図１を用いて説明する。図１は、本実施例に係るタイムスタンプ装置の概要を示す図である。同図に示すように、本実施例に係るタイムスタンプ装置では、上記した電波時刻の取得に加え、時刻発行サーバからネットワークを介して認証時刻（Ｔ_N）を取得することとし、この認証時刻を用いて内部時計が刻むローカル時刻の校正をおこなうこととした。

ここで、時刻発行サーバとは、認証鍵が提示された場合にかかるサーバが管理している標準時刻を提供する装置であり、インタネットなどのネットワークに接続されネットワークを介して信頼性の高い標準時刻を提供するものである。なお、本実施例では、タイムスタンプ装置がかかる時刻発行サーバから標準時刻（Ｔ_N）を取得する場合について説明するが、標準時刻発行機能を備えないサーバに、標準時刻を発行する時刻発行装置を接続することとし、かかるサーバを介して標準時刻（Ｔ_N）を取得することとしてもよく、ネットワークに直接接続された時刻発行装置から標準時刻（Ｔ_N）を取得することとしてもよい。

本実施例に係るタイムスタンプ装置は、時刻発行サーバに標準時刻の提供を要求する際に認証鍵を提示する。このため、タイムスタンプ装置がこの認証鍵を保持していれば、時刻発行サーバから信頼性の高い標準時刻を取得することが可能となる。上述したように、従来のタイムスタンプ装置では悪意の利用者による時刻改変を防止するために、内部時計および電波受信の動作を継続しておこなう必要があった。

しかしながら、本実施例に係るタイムスタンプ装置によれば、このような動作を継続させる必要はない。その理由は、認証鍵を提示することにより所定のタイミングで時刻発行サーバから標準時刻を取得することができるからである。さらに、このタイムスタンプ装置では、認証鍵が悪意の利用者に取り出されることを防止するために、認証鍵を記憶する記憶部には揮発性ＲＡＭ（Random Access Memory）を用いることとし、少なくともこの揮発性ＲＡＭには電源供給をおこなうよう制御することとした。

次に、本実施例に係るタイムスタンプ装置の構成例について図２−１〜図２−３を用いて説明する。なお、これらの構成例においては、タイムスタンプ装置は携帯可能なものを想定しているが据え置き型とすることもできる。

図２−１は、タイムスタンプ装置の構成例１を示す図である。図２−１に示す構成では、タイムスタンプ装置は、インタネットに接続されたパーソナルコンピュータのＵＳＢ（Universal Serial Bus）ポートなどに接続して用いられる。そして、署名対象となる電子文書をパーソナルコンピュータから受け取り、タイムスタンプ装置のローカル時刻（Ｔ_N´）および認証鍵を用いて時刻を含んだ電子署名を付加したうえで、署名済の電子文書をパーソナルコンピュータに渡す。

また、このタイムスタンプ装置が時刻校正をおこなう際には、パーソナルコンピュータおよびインタネットを介して時刻発行サーバに接続し、認証時刻（Ｔ_N）を取得する。なお、かかるタイムスタンプ装置については、腕時計や携帯電話のように利用者が手軽に持ち運んで必要なときに用いられる利用形態を想定している。

図２−２は、タイムスタンプ装置の構成例２を示す図である。図２−２に示す構成例では、図２−１と同様にインタネットに接続されたパーソナルコンピュータのＵＳＢポートなどに接続して用いられる。図２−１の場合と異なるのは、電子署名の機能はパーソナルコンピュータに搭載されるプログラムが有している点にある。

この構成例においては、電子署名が必要な場合には、パーソナルコンピュータはＵＳＢポートなどを介してタイムスタンプ装置に認証要求メッセージを送信する。このメッセージを受け取ったタイムスタンプ装置は、ローカル時刻と認証鍵とをパーソナルコンピュータに返信する。そして、パーソナルコンピュータは自身が有する署名機能により認証対象文書に電子署名を付加する。

なお、このタイムスタンプ装置が時刻校正をおこなう際には、パーソナルコンピュータおよびインタネットを介して時刻発行サーバに接続し、認証時刻（Ｔ_N）を取得する点、および、腕時計や携帯電話のように利用者が手軽に持ち運んで必要なときに用いられる利用形態を想定している点については図２−１の場合と同様である。

図２−３は、タイムスタンプ装置の構成例３を示す図である。図２−３に示す構成例では、タイムスタンプ装置は直接インタネットなどのネットワークに接続される。そして、署名対象となる電子文書を受け取ると、ローカル時刻（Ｔ_N´）および認証鍵を用いて電子署名を付加したうえで署名済の電子文書を出力する。なお、同図においては、タイムスタンプ装置が外部から署名対象文書を受け取る場合について図示しているが、タイムスタンプ装置が署名対象文書を内部のメモリなどに保持しておく構成としてもよい。

また、このタイムスタンプ装置が時刻校正をおこなう際には、パーソナルコンピュータおよびインタネットを介して時刻発行サーバに接続し、認証時刻（Ｔ_N）を取得する。なお、かかるタイムスタンプ装置については、腕時計や携帯電話のように利用者が手軽に持ち運んで必要なときに用いられる利用形態を想定している点は、図２−１や図２−２と同様である。

なお、図２−１〜図２−３に示したタイムスタンプ装置の構成例では、電子署名の対象データを文書データとした場合について示したが、文書データに限らず、画像データや映像データといった電子データを、署名対象データとすることができる。また、デジタルカメラなどの装置にタイムスタンプ装置を内蔵させ、撮像するたびに時刻を含んだ電子署名をおこなうこととしてもよい。

次に、本実施例に係るタイムスタンプ装置の動作モードについて図３を用いて説明する。図３は、タイムスタンプ装置の動作モードを示す図である。同図に示すように、本実施例においては、動作モードとして「休止モード」、「運用モード」および「スリープモード」の３つのモードを設けることとしている。なお、これらの動作モードを３つにする必要はなく、「休止モード」および「運用モード」の２つにしたり、「休止モード」から「動作モード」までの間に複数の動作モードを設けたりすることとしてもよい。

ここで、「休止モード」とは認証鍵を記憶する揮発性ＲＡＭのみに電源供給をおこなっている状態を指す。また、「運用モード」とはタイムスタンプ装置を構成するすべての機能部に電源供給をおこなっている状態を指し、「スリープモード」とはタイムスタンプ装置を構成する機能部のうち、特定の機能部への電源供給を停止している状態を指す。

同図に示したように、タイムスタンプ装置が製造されると「休止モード」の状態で出荷される。そして、利用者に購入され運用を開始する際には時刻発行サーバに接続し、「運用モード」に遷移する。この後、この「運用モード」のまま利用者に用いられることとなるが、利用されない期間が経過すると「スリープモード」へと遷移し、さらに、所定期間が経過すると「休止モード」へ遷移する。

このように、本実施例に係るタイムスタンプ装置では、時刻発行サーバから標準時刻を取得することとしたうえで、電源供給を制御して在庫期間および放置期間における電力消費を抑えることとしている。したがって、悪意の利用者による時刻改ざんを防止するとともに、在庫期間および運用期間における電力消費を抑制することができる。

次に、本実施例の特徴部分である電源供給制御処理を含んだタイムスタンプ装置１の構成について図４を用いて説明する。図４は、タイムスタンプ装置１の構成を示す機能ブロック図である。なお、図４に示した構成は、タイムスタンプ装置１が図２−１の構成をとった場合について示している。

同図に示すように、タイムスタンプ装置１は、各種デバイスとして標準電波受信部２と、発振器３と、通信インタフェイス部４と、表示部５と、入力部６とを備えており、さらに、制御部１０と、記憶部２０と、バッテリ７とを備えている。

また、制御部１０は、電波時刻取得部１１と、時刻補正処理部１２と、ローカル時刻生成部１３と、認証時刻要求部１４と、認証時刻取得部１５と、時刻校正処理部１６と、タイムスタンプ処理部１７と、電源供給制御部１８とをさらに備えており、記憶部２０は、認証鍵記憶部２１をさらに備えている。

標準電波受信部２は、標準電波送信所や衛星から標準電波を受信し、国家標準時刻と同期した電波時刻（Ｔ_W）を制御部１０に渡す処理をおこなうデバイスである。たとえば、標準電波送信所から送信される標準電波には、時、分、秒、年初からの通算日、年（西暦下２桁）、曜日などの時刻情報が含まれている。なお、この標準電波受信部２が標準電波を受信するタイミングは任意に指定することが可能であり、７：００と１９：００に受信するなどの指定をおこなうことができるほか、利用者の操作により強制的に受信処理をおこなうこともできる。

発振器３は、水晶発振器などのローカル時刻を計時するためのデバイスであり、発振したパルスを制御部１０に提供する処理をおこなう。タイムスタンプ装置１は、さまざまな温度環境で用いられるうえ、さらに温度攻撃も予想されることから、この発振器３にはＴＣＸＯ（温度補償水晶発振器）のように広い温度範囲で計時精度が安定している発振器を用いることが望ましい。

なお、ＴＣＸＯは、温度補償回路を備えており、この回路を用いて温度変化に起因する発振誤差を補正するため、通常の水晶発振器と比べると数倍程度の電力を消費する。したがって、運用状況に応じてこのＴＣＸＯを停止させることとすれば効率よくタイムスタンプ装置１の電力消費量を抑制することが可能となる。

通信インタフェイス部４は、ＵＳＢポートやＬＡＮボードといった双方向の通信が可能なデバイスであり、タイムスタンプ装置１とパーソナルコンピュータ間でデータの送受信をおこない、これらのデータを制御部１０との間で受け渡しする処理をおこなう。また、時刻発行サーバとのデータ送受信も、この通信インタフェイス部４を介しておこなわれる。

表示部５は、液晶ディスプレイなどの表示用デバイスであり、制御部１０や各デバイスからの警告情報やエラー情報を表示したり、ローカル時刻を表示したりするために用いられる。また、入力部６は、電源ボタンなどのデバイスであり、タイムスタンプ装置１の電源ＯＮ／ＯＦＦなどの各種操作に用いられ、操作結果は制御部１０に通知される。たとえば、この操作結果は、上記した「スリープモード」から「運用モード」に遷移するトリガーとして使用される。

制御部１０は、ローカル時刻を生成するとともに、標準電波を用いた時刻補正および認証時刻を用いた時刻校正を適宜おこなうことにより、ローカル時刻と真の時刻とのずれを所定値以下に抑え、このローカル時刻を用いて電子署名処理をおこなう処理部である。また、この制御部１０は各デバイスなどへの電源供給制御をおこなう処理部でもある。

電波時刻取得部１１は、標準電波受信部２から電波時刻（Ｔ_W）を受け取り、時刻補正処理部１２に渡す処理をおこなう処理部である。また、時刻補正処理部１２は、電波時刻取得部１１から受け取った電波時刻（Ｔ_W）を用いてローカル時刻生成部１３が生成するローカル時刻（Ｔ_N´）を補正する処理をおこなう処理部である。

具体的には、この時刻補正処理部１２は、電波時刻（Ｔ_W）とローカル時刻（Ｔ_N´）との差分の絶対値（｜Ｔ_W−Ｔ_N´｜）を算出し、この絶対値と所定の閾値（ε）とを対比する。そして、絶対値が閾値（ε）よりも小さい場合には（｜Ｔ_W−Ｔ_N´｜＜ε）、ローカル時刻（Ｔ_N´）を電波時刻（Ｔ_W）に置き換える補正をおこなう。なお、かかる状態（｜Ｔ_W−Ｔ_N´｜＜ε）が連続した回数は、認証時刻要求部１４が時刻発行サーバに対して認証時刻の要求をおこなう際のトリガーとして用いられる。

また、時刻補正処理部１２は、かかる絶対値（｜Ｔ_W−Ｔ_N´｜）が閾値（ε）以上である場合には（｜Ｔ_W−Ｔ_N´｜≧ε）、ローカル時刻（Ｔ_N´）の補正をおこなわない。なお、かかる状態（｜Ｔ_W−Ｔ_N´｜≧ε）が連続した回数は、認証時刻要求部１４が時刻発行サーバに対して認証時刻の要求をおこなう際のトリガーとして用いられる。

ローカル時刻生成部１３は、発振器３から出力されたパルスを受け取り、このパルスに基づいてローカル時刻（Ｔ_N´）を生成する処理部である。このローカル時刻（Ｔ_N´）は、時刻補正処理部１２により電波時刻（Ｔ_W）を用いた時刻補正処理の対象となるとともに、時刻校正処理部１３により認証時刻（Ｔ_N）を用いた時刻校正処理の対象となる。なお、このローカル時刻生成部１３は、生成したローカル時刻（Ｔ_N´）を認証時刻要求部１４およびタイムスタンプ処理部１５に通知する処理をおこなう。

認証時刻要求部１４は、所定のタイミングで、ローカル時刻生成部１３が生成したローカル時刻（Ｔ_N´）および認証鍵記憶部２１に記憶された認証鍵を用い、ネットワーク上の時刻発行サーバに認証時刻の発行要求をおこなう処理部である。また、認証時刻の発行要求をおこなう際には、ローカル時刻（Ｔ_N´）を含んだ要求メッセージを認証鍵により暗号化したうえで通信インタフェイス部４に渡す。

この認証時刻要求部１４は、利用者の操作により強制的に認証時刻の発行要求をおこなうほか、時刻補正処理部１２が計数した「｜Ｔ_W−Ｔ_N´｜＜εが連続した回数」および「｜Ｔ_W−Ｔ_N´｜≧εが連続した回数」をトリガーとして認証時刻の発行要求をおこなう。

たとえば、「｜Ｔ_W−Ｔ_N´｜＜εが連続した回数」が９０日に相当する場合に、時刻発行サーバに対して認証時刻の発行要求をおこなう。εを０．５秒とし、電波時刻（Ｔ_W）による時刻補正を一日一回おこなったと仮定すると、ローカル時刻（Ｔ_N´）は、真の時刻から最大４５秒（９０×０．５）の誤差範囲で認証時刻（Ｔ_N）による校正処理を受けることが可能となる。このようにすることで、偽電波と温度操作による連携攻撃がおこなわれた場合であってもローカル時刻（Ｔ_N´）の誤差を所定値内に抑えることができる。

また、強制的な認証時刻発行要求の例としては以下のものがある。たとえば、「強制的な認証時刻取得」をあらわす操作（該当するボタンを押下など）を、利用者が任意のタイミングで入力部６を介しておこなった場合に、認証時刻要求部１４はネットワーク上の時刻発行サーバに認証時刻の発行要求をおこなう。この場合、時刻補正処理部１２が計数した「｜Ｔ_W−Ｔ_N´｜＜εが連続した回数または期間」あるいは「｜Ｔ_W−Ｔ_N´｜≧εが連続した回数または期間」などの情報を表示部５に表示して利用者の操作を促すこととしてもよい。

なお、かかる認証時刻要求部１４は、利用者の操作をトリガーとすることなく、ローカル時刻生成部１３が生成したローカル時刻（Ｔ_N´）に基づき定期的に時刻発行サーバに認証時刻の発行要求をおこなうこととしてもよい。たとえば、標準時刻とローカル時刻とのずれを４５秒以内に抑えたい場合、１日あたりの時刻のずれが最大０．５秒であるとすれば、９０日に１回の間隔で時刻発行サーバに認証時刻の発行要求をおこなうこととすればよい。

認証時刻取得部１５は、認証時刻要求部１４からの要求に応えて時刻発行サーバから送信された認証時刻（Ｔ_N）を、通信インタフェイス部４を介して受け取り、受け取った認証時刻（Ｔ_N）を時刻校正処理部１６に渡す処理をおこなう処理部である。なお、この認証時刻取得部１５は、暗号化された状態の認証時刻（Ｔ_N）を、認証鍵記憶部２１に記憶された認証鍵を用いて復号する処理をおこなう。

時刻校正処理部１６は、認証時刻取得部１５から受け取った認証時刻（Ｔ_N）を用いてローカル時刻生成部１３が生成するローカル時刻（Ｔ_N´）を校正する処理をおこなう処理部である。なお、電波時刻に基づいた時刻調整を「補正」と呼び、認証時刻に基づいた時刻調整を「校正」と呼ぶ理由は以下のとおりである。

すなわち、電波時刻は、本来、標準時刻を指しており電波による遅延もほとんどないため、ローカル時刻の基準とする時刻としては適したものである。しかし、図２などを用いて説明したように、偽電波による不正行為を受ける可能性もあるため、電波時刻に絶対的な信頼をおくことは適当ではない。

一方、認証時刻を取得するには、認証鍵が必要であることから認証時刻には電波時刻よりも高い信頼性がある。そこで、これらの時刻調整を区別するために、電波時刻に基づいた時刻調整を「補正」と呼び、より信頼性の高い認証時刻に基づいた時刻調整を「校正」と呼ぶこととした。

かかる時刻校正処理部１６は、認証時刻（Ｔ_N）とローカル時刻（Ｔ_N´）との差分の絶対値（｜Ｔ_N−Ｔ_N´｜）を算出し、この絶対値と所定の閾値（σ）とを対比する。そして、絶対値が閾値(σ)よりも小さい場合には（｜Ｔ_N−Ｔ_N´｜＜σ）、ローカル時刻（Ｔ_N´）を認証時刻（Ｔ_N）に置き換える校正をおこなう。

また、時刻校正処理部１６は、かかる絶対値が閾値（σ）以上である場合には（｜Ｔ_N−Ｔ_N´｜≧σ）、ローカル時刻（Ｔ_N´）の校正をおこなわず、認証時刻要求部１４に認証時刻の取得をおこなうよう指示する。

タイムスタンプ処理部１７は、ローカル時刻生成部１３が生成して時刻補正処理部１２および時刻校正処理部１６による時刻補正および時刻校正を受けたローカル時刻と、認証鍵記憶部２１に記憶されている認証鍵とを用いて電子文書に時刻を含んだ電子署名をおこなう処理部である。具体的には、このタイムスタンプ処理部１７は、通信インタフェイス部４を介して認証対象となる電子文書を受け取り、受け取った電子文書に電子署名をおこなったうえで、署名済の電子文書を、通信インタフェイス部４を介して出力する。

電源供給制御部１８は、上記した「休止モード」、「スリープモード」および「運用モード」における電源供給先の制御をおこなう処理部である。ここで、この電源供給制御部１８の処理内容について、図５および図６を用いて説明しておく。図５は、動作モードと電源供給単位との関係の一例を示す図であり、図６は、動作モードごとの消費電流の一例を示す図である。

図５に示すように、「運用モード」においては、タイムスタンプ装置１を構成するすべての単位に電源が供給される。また、「スリープモード」においては、標準電波受信部２および表示部５を除く各単位への電源供給をおこなう。さらに、「休止モード」においては認証鍵記憶部２１のみに電源供給をおこなう。なお、図５は各動作モードと電源供給単位との関係の一例を示したものであり、上述したように、動作モードを「休止モード」および「運用モード」の２つにしたり、「休止モード」から「動作モード」までの間に複数の動作モードを設けたりすることとしてもよい。

このような電源制御をおこなうことで、タイムスタンプ装置１の電力消費を抑え、搭載するバッテリ７の容量を小さくすることができる。また、図６に示したように各動作モードにおける必要電流を、「休止モード」において「運用モード」の１／１０程度に削減することが可能となる。

したがって、従来のタイムスタンプ装置と比べて在庫期間を長く設定したり、搭載するバッテリ７を小型化したりすることが可能となる。また、放置期間に応じてこれらの動作モードを切り替えることにより、タイムスタンプ装置１の動作寿命を長く保つことができる。

図４に戻り、記憶部２０について説明する。記憶部２０は、揮発性のＲＡＭで構成された記憶デバイスであり、製造時などにあらかじめ割り当てられた認証鍵を記憶する認証鍵記憶部２１をさらに備えている。認証鍵が記憶された後は、記憶部２０には常に通電がおこなわれている。このような構成とするのは、悪意の利用者により認証鍵が取り出されることを防止するためである。すなわち、悪意の利用者が認証鍵を取り出そうとしてタイムスタンプ装置を分解しようとすると、この記憶部２０への通電が停止され、記憶されていた認証鍵も失われる。

次に、本実施例の特徴部分である電源供給制御処理の処理手順について図７を用いて説明する。図７は、電源供給制御処理の処理手順を示すフローチャートである。タイムスタンプ装置１を購入した利用者が入力部６を介して電源スイッチをＯＮにすると（ステップＳ１０１）、タイムスタンプ装置１の各電源供給単位に電源が供給される。そして、認証時刻要求部１４は、通信真インタフェイス部４を介して時刻発行サーバへの接続処理をおこなって（ステップＳ１０２）認証時刻（Ｔ_N）を取得し、取得した認証時刻（Ｔ_N）をローカル時刻（Ｔ_N´）に設定する。

つづいて、電源供給制御部１８の指示により、タイムスタンプ装置１は「休止モード」から「運用モード」へ状態遷移する（ステップＳ１０３）。そして、通常の使用状態が継続した場合には、動作モードは「運用モード」のままとなる。また、無使用の期間はカウントアップタイマなどを用いて測定されており、無使用期間が所定期間を超えたか否かが判定される（ステップＳ１０４）。なお、ステップＳ１０４における所定期間としては、たとえば、１ヶ月をあらわす値が用いられる。

そして、無使用期間が所定期間を超えた場合には（ステップＳ１０４，Ｙｅｓ）、電源供給制御部１８は一部の電源供給を停止する制御をおこない（ステップＳ１０５）、タイムスタンプ装置１は、「運用モード」から「スリープモード」へ状態遷移する（ステップＳ１０６）。なお、「スリープモード」において電源供給を停止される電源供給単位は図５に示したように、たとえば、標準電波受信部２および表示部５となる。

一方、無使用期間が所定期間に満たない場合には(ステップＳ１０４，Ｎｏ)、タイムスタンプ装置１の動作モードは「運用モード」のまま推移するので、ステップＳ１０３以降の処理を繰り返すこととなる。そして、利用者が入力部６を介した操作をおこなったり、通信インタフェイス部４をパーソナルコンピュータに接続したりといった運用モード割り込み操作がおこなわれた場合には（ステップＳ１０７，Ｙｅｓ）、ステップＳ１０３以降の処理を繰り返すことになる。

また、このような運用モード割り込み操作がおこなわれず（ステップＳ１０７，Ｎｏ）、無使用期間がさらに所定期間を超えた場合には（ステップＳ１０８，Ｙｅｓ）、電源供給制御部１８は認証鍵記憶部２１以外への電源供給を停止し（ステップＳ１０９）、タイムスタンプ装置１は「スリープモード」から「休止モード」へ状態遷移する（ステップＳ１１０）。なお、ステップＳ１０８における所定期間としては、たとえば、６ヶ月をあらわす値が用いられる。また、無使用期間が「休止モード」への移行に足りない期間である場合には（ステップＳ１０８，Ｎｏ）、ステップＳ１０７以降の処理を繰り返すことになる。

そして、利用者が入力部６を介した操作をおこなったり、通信インタフェイス部４をパーソナルコンピュータに接続したりといった運用モード割り込み操作がおこなわれた場合には（ステップＳ１１１，Ｙｅｓ）、時刻発行サーバへの接続処理がおこなわれ（ステップＳ１０２）、ステップＳ１０３以降の処理を繰り返すことになる。一方、無使用期間が「休止モード」への移行に足りない期間である場合には（ステップＳ１１１，Ｎｏ）、引き続き無使用期間の計測がおこなわれる。

次に、タイムスタンプ装置１が「運用モード」である場合における、時刻補正処理および時刻校正処理の処理手順について図８を用いて説明する。図８は、時刻補正処理および時刻校正処理の処理手順を示すフローチャートである。同図に示すように、タイムスタンプ装置１が運用を開始すると、まず、後の処理において用いられる連続回数を計数するためのカウンタを初期化する（ステップＳ２０１）。そして、電波時刻取得部１１は、標準電波受信部２を介して電波時刻（Ｔ_W）を取得する（ステップＳ２０２）。

つづいて、時刻補正処理部１２は、電波時刻（Ｔ_W）とローカル時刻（Ｔ_N´）との差分を算出し、誤差｜Ｔ_W−Ｔ_N´｜が補正閾値（ε）よりも小さいか否かを判定する(ステップＳ２０３)。そして、誤差｜Ｔ_W−Ｔ_N´｜が補正閾値（ε）よりも小さい場合には（ステップＳ２０３，Ｙｅｓ）、かかる電波時刻（Ｔ_W）をローカル時刻（Ｔ_N´）として採用する補正をおこなう（ステップＳ２０４）。

つづいて、誤差｜Ｔ_W−Ｔ_N´｜が補正閾値（ε）よりも小さい回数が所定値（α回）以上となったか否かを判定し（ステップＳ２０５）、α回以上である場合には（ステップＳ２０５，Ｙｅｓ）ステップＳ２０８以降の処理をおこなう。一方、α回よりも小さい場合には（ステップＳ２０５，Ｎｏ）、ステップＳ２０２以降の処理を繰り返す。

また、誤差｜Ｔ_W−Ｔ_N´｜が補正閾値（ε）以上である場合には（ステップＳ２０３，Ｎｏ）、ローカル時刻（Ｔ_N´）をそのまま採用する（ステップＳ２０６）。つづいて、誤差｜Ｔ_W−Ｔ_N´｜が補正閾値（ε）以上である回数が所定値（β回）以上となったか否かを判定し（ステップＳ２０７）、β回以上である場合には（ステップＳ２０７，Ｙｅｓ）ステップＳ２０８以降の処理をおこなう。一方、β回よりも小さい場合には（ステップＳ２０７，Ｎｏ）、ステップＳ２０２以降の処理を繰り返す。

つづいて、ステップＳ２０５またはステップＳ２０７が「Ｙｅｓ」である場合には、認証時刻要求部１４は、認証時刻（Ｔ_N）の取得要求をおこなうため、時刻発行サーバに接続する（ステップＳ２０８）。そして、校正処理部１６は、認証時刻取得部１５を介して認証時刻（Ｔ_N）を受け取ると、受け取った認証時刻（Ｔ_N）とローカル時刻（Ｔ_N´）との差分を算出し、誤差（｜Ｔ_N−Ｔ_N´｜）が校正閾値（σ）より小さいか否かを判定する（ステップＳ２０９）。

そして、誤差（｜Ｔ_N−Ｔ_N´｜）が校正閾値（σ）より小さい場合には（ステップＳ２０９，Ｙｅｓ）、認証時刻（Ｔ_N）をローカル時刻（Ｔ_N´）として採用し（ステップＳ２１０）、ステップＳ２０１以降の処理を繰り返す。一方、誤差（｜Ｔ_N−Ｔ_N´｜）が校正閾値（σ）以上である場合には（ステップＳ２０９，Ｎｏ）、誤差（｜Ｔ_N−Ｔ_N´｜）が校正閾値（σ）以上である回数が所定値（γ回）以上となったか否かを判定し（ステップＳ２１１）、γ回以上である場合には（ステップＳ２１１，Ｙｅｓ）運用を停止する。一方、γ回よりも小さい場合には（ステップＳ２１１，Ｎｏ）、ステップＳ２０８以降の処理を繰り返す。

上述してきたように、本実施例では、時刻補正処理部が電波時刻によるローカル時刻の補正をおこなうとともに、所定の条件を満たした場合に時刻校正処理部が時刻発行サーバから認証時刻を取得してローカル時刻の校正をおこない、電源供給制御部が認証鍵記憶部以外の構成要素への電源供給を制御し、休止モードから運用モードに遷移した場合には、時刻校正処理部が時刻発行サーバから認証時刻を取得してローカル時刻の校正をおこない、さらに、電源供給制御部が無使用期間に応じた電源供給をおこなうよう構成したので、悪意の利用者による時刻改ざんを防止するとともに、在庫期間および運用期間における電力消費を抑制することができる。

なお、上述した実施例においては、電源供給制御処理をタイムスタンプ装置に適用した場合について説明したが、本発明はこれに限らず、認証鍵を用いてデータの送受信をおこなうセキュリティ装置、認証鍵を用いて時刻発行サーバから認証時刻を取得することによりローカル時刻を校正する時刻校正装置などにも適用することができる。

また、上述した実施例においては、認証鍵の漏洩を防止するために、認証鍵を記憶する記憶部を揮発性ＲＡＭで構成し、在庫期間以降は、少なくともこの記憶部への電源供給を継続することとしたが、認証鍵の漏洩防止策を講じたうえでかかる記憶部を不揮発性ＲＡＭで構成することとし、在庫期間や放置期間における電源消費を０とする構成とすることもできる。たとえば、タイムスタンプ装置の記憶部などを覆うケースを設け、このケースが開けられた場合に記憶部内の認証鍵を消去することで認証鍵の漏洩を防止することができる。

ところで、上記の実施例で説明した各種の処理は、あらかじめ用意されたプログラムをコンピュータで実行することによって実現することができる。そこで、以下では、図９を用いて、上記の実施例と同様の機能を有する時刻校正プログラムを実行するコンピュータの一例を説明する。図９は、時刻校正プログラムおよび電源供給プログラムを実行するコンピュータを示す図である。

ここで、この「コンピュータ」には、パーソナルコンピュータのみならず、デジタルカメラやデジタルビデオカメラといった装置に内蔵されるいわゆる「組み込みコンピュータ」が含まれるものとする。かかる時刻校正プログラムをこれらのコンピュータ上で動作させることにより、文書データ、画像データ、映像データといった電子データの日付や時間を保証することが可能となる。

同図に示すようにタイムスタンプ装置としてのコンピュータ３０は、標準電波受信部３１、発振器３２、通信インタフェイス部３３、表示部３４、入力部３５、揮発性ＲＡＭ３６、ＲＯＭ（Read Only Memory）３７およびＣＰＵ（Central Processing Unit）３８をバス３９で接続して構成される。ここで、標準電波受信部３１、発振器３２、通信インタフェイス部３３、表示部３４および入力部３５は、図４に示した、標準電波受信部２、発振器３、通信インタフェイス部４、表示部５および入力部６にそれぞれ対応する。そして、通信インタフェイス部３３を介して、このコンピュータ３０は他のコンピュータやネットワークに接続される。

ＲＯＭ３７には、時刻校正プログラム３７ａおよび電源供給制御プログラム３７ｂがあらかじめ記憶されており、ＣＰＵ３８が、これらのプログラムを読み出して実行することで、図９に示すように、時刻校正プログラム３７ａは時刻校正プロセス３８ａとして機能、電源供給制御プログラム３７ｂは電源供給制御プロセス３８ｂとして機能するようになる。また、揮発性ＲＡＭ３６には認証鍵３６ａが記憶されており、この認証鍵３６ａは時刻校正プログラム３７ａが時刻校正処理をおこなう際に使用される。

ところで、上記した時刻校正プログラム３７ａおよび電源供給制御プログラム３７ｂについては、必ずしもあらかじめＲＯＭ３７に記憶させておく必要はなく、たとえば、コンピュータ３０が読み出し可能なフレキシブルディスク（ＦＤ）、ＣＤ−ＲＯＭ、光磁気ディスクなどの「可搬用の物理媒体」、または、公衆回線、インタネット、ＬＡＮ、ＷＡＮなどを介してコンピュータ３０に接続される「他のコンピュータ（またはサーバ）」などにプログラムを記憶させておき、コンピュータ３０がこれらからプログラムを読み出して実行するようにしてもよい。

（付記１）内部時計が出力するローカル時刻に基づいて該ローカル時刻を含んだ電子署名をおこなうタイムスタンプ装置であって、
認証鍵を記憶する認証鍵記憶手段と、
前記認証鍵を提示された場合に標準時刻と同期した認証時刻を発行する時刻発行装置から該認証時刻を取得する認証時刻取得手段と、
前記認証時刻取得手段により取得された前記認証時刻に基づいて前記ローカル時刻の校正をおこなう時刻校正手段と、
前記認証鍵記憶部への電源供給を継続しておこなうとともに該認証鍵記憶部以外への電源供給の有無を制御する電源供給制御手段と
を備えたことを特徴とするタイムスタンプ装置。

（付記２）標準時刻を含んだ電波を受信することにより該標準時刻を電波時刻として取得する電波時刻取得手段と、
前記電波時刻取得手段により取得された前記電波時刻と前記ローカル時刻との差分の絶対値を算出し、該差分の絶対値が第一の閾値よりも小さい場合に該電波時刻を該ローカル時刻として設定する補正をおこない、該差分の絶対値が該第一の閾値以上である場合に該ローカル時刻の補正をおこなわない時刻補正手段と
をさらに備えたことを特徴とする付記１に記載のタイムスタンプ装置。

（付記３）前記電源供給制御手段は、
前記内部時計に対し電源供給を開始したならば前記認証時刻取得手段に前記認証時刻の取得を指示し、
前記時刻校正手段は、
該認証時刻取得手段が取得した該認証時刻を前記ローカル時刻として設定することを特徴とする付記１または２に記載のタイムスタンプ装置。

（付記４）前記電源供給制御手段は、
運用開始指示を受け取ったならばすべての電源供給単位に電源供給を開始することを特徴とする付記１、２または３に記載のタイムスタンプ装置。

（付記５）前記電源供給制御手段は、前記ローカル時刻を含んだ電子署名がおこなわれていない期間を計測し、計測した該期間が第二の閾値を超えたならば前記電源供給単位のうち所定の電源供給単位に対する電源供給を停止することを特徴とする付記１〜４のいずれか一つに記載のタイムスタンプ装置。

（付記６）前記電源供給制御手段は、前記ローカル時刻を含んだ電子署名がおこなわれていない期間を計測し、計測した該期間が第三の閾値を超えたならば前記電源供給単位のうち認証鍵記憶手段以外の電源供給単位に対する電源供給を停止することを特徴とする付記１〜５のいずれか一つに記載のタイムスタンプ装置。

（付記７）内部時計が出力するローカル時刻に基づいて該ローカル時刻を含んだ電子署名をおこなうタイムスタンプ装置に適用される電源制御方法であって、
認証鍵を記憶する認証鍵記憶工程と、
前記認証鍵を提示された場合に標準時刻と同期した認証時刻を発行する時刻発行装置から該認証時刻を取得する認証時刻取得工程と、
前記認証時刻取得工程により取得された前記認証時刻に基づいて前記ローカル時刻の校正をおこなう時刻校正工程と、
前記認証鍵記憶部への電源供給を継続しておこなうとともに該認証鍵記憶部以外への電源供給の有無を制御する電源供給制御工程と
を含んだことを特徴とする電源供給制御方法。

（付記８）標準時刻を含んだ電波を受信することにより該標準時刻を電波時刻として取得する電波時刻取得工程と、
前記電波時刻取得工程により取得された前記電波時刻と前記ローカル時刻との差分の絶対値を算出し、該差分の絶対値が第一の閾値よりも小さい場合に該電波時刻を該ローカル時刻として設定する補正をおこない、該差分の絶対値が該第一の閾値以上である場合に該ローカル時刻の補正をおこなわない時刻補正工程と
をさらに含んだことを特徴とする付記７に記載の電源供給制御方法。

（付記９）前記電源供給制御工程は、
前記内部時計に対し電源供給を開始したならば前記認証時刻取得工程に前記認証時刻の取得を指示し、
前記時刻校正工程は、
該認証時刻取得工程が取得した該認証時刻を前記ローカル時刻として設定することを特徴とする付記７または８に記載の電源供給制御方法。

（付記１０）前記電源供給制御工程は、
運用開始指示を受け取ったならばすべての電源供給単位に電源供給を開始することを特徴とする付記７、８または９に記載の電源供給制御方法。

（付記１１）前記電源供給制御工程は、前記ローカル時刻を含んだ電子署名がおこなわれていない期間を計測し、計測した該期間が第二の閾値を超えたならば前記電源供給単位のうち所定の電源供給単位に対する電源供給を停止することを特徴とする付記７〜１０のいずれか一つに記載の電源供給制御方法。

（付記１２）前記電源供給制御工程は、前記ローカル時刻を含んだ電子署名がおこなわれていない期間を計測し、計測した該期間が第三の閾値を超えたならば前記電源供給単位のうち認証鍵記憶工程以外の電源供給単位に対する電源供給を停止することを特徴とする付記７〜１１のいずれか一つに記載の電源供給制御方法。

（付記１３）内部時計が出力するローカル時刻に基づいて該ローカル時刻を含んだ電子署名をおこなうタイムスタンプ装置に搭載される電源制御プログラムであって、
認証鍵を記憶部に記憶させる認証鍵記憶手順と、
前記認証鍵を提示された場合に標準時刻と同期した認証時刻を発行する時刻発行装置から該認証時刻を取得する認証時刻取得手順と、
前記認証時刻取得手順により取得された前記認証時刻に基づいて前記ローカル時刻の校正をおこなう時刻校正手順と、
前記認証鍵記憶部への電源供給を継続しておこなうとともに該認証鍵記憶部以外への電源供給の有無を制御する電源供給制御手順と
をコンピュータに実行させることを特徴とする電源供給制御プログラム。

（付記１４）標準時刻を含んだ電波を受信することにより該標準時刻を電波時刻として取得する電波時刻取得手順と、
前記電波時刻取得手順により取得された前記電波時刻と前記ローカル時刻との差分の絶対値を算出し、該差分の絶対値が第一の閾値よりも小さい場合に該電波時刻を該ローカル時刻として設定する補正をおこない、該差分の絶対値が該第一の閾値以上である場合に該ローカル時刻の補正をおこなわない時刻補正手順と
をさらにコンピュータに実行させることを特徴とする付記１３に記載の電源供給制御プログラム。

（付記１５）前記電源供給制御手順は、
前記内部時計に対し電源供給を開始したならば前記認証時刻取得手順に前記認証時刻の取得を指示し、
前記時刻校正手順は、
該認証時刻取得手順が取得した該認証時刻を前記ローカル時刻として設定することを特徴とする付記１３または１４に記載の電源供給制御プログラム。

（付記１６）前記電源供給制御手順は、
運用開始指示を受け取ったならばすべての電源供給単位に電源供給を開始することを特徴とする付記１３、１４または１５に記載の電源供給制御プログラム。

（付記１７）前記電源供給制御手順は、前記ローカル時刻を含んだ電子署名がおこなわれていない期間を計測し、計測した該期間が第二の閾値を超えたならば前記電源供給単位のうち所定の電源供給単位に対する電源供給を停止することを特徴とする付記１３〜１６のいずれか一つに記載の電源供給制御プログラム。

（付記１８）前記電源供給制御手順は、前記ローカル時刻を含んだ電子署名がおこなわれていない期間を計測し、計測した該期間が第三の閾値を超えたならば前記電源供給単位のうち認証鍵記憶手順以外の電源供給単位に対する電源供給を停止することを特徴とする付記１３〜１７のいずれか一つに記載の電源供給制御プログラム。

（付記１９）認証鍵を用いてデータの送受信をおこなうセキュリティ装置であって、
認証鍵を記憶する認証鍵記憶手段と、
前記認証鍵記憶部への電源供給を継続しておこなうとともに該認証鍵記憶部以外への電源供給の有無を制御する電源供給制御手段と
を備えたことを特徴とするセキュリティ装置。

（付記２０）認証鍵を用いて時刻発行装置から認証時刻を取得することによりローカル時刻を校正する時刻校正装置であって、
認証鍵を記憶する認証鍵記憶手段と、
前記認証鍵記憶部への電源供給を継続しておこなうとともに該認証鍵記憶部以外への電源供給の有無を制御する電源供給制御手段と
を備えたことを特徴とする時刻校正装置。

以上のように、本発明に係るセキュリティ装置、時刻校正装置、タイムスタンプ装置、電源供給制御方法および電源供給制御プログラムは、バッテリ容量の制約により電力消費を抑制する必要がある場合に有用であり、特に、タイムビジネスを構成するタイムスタンプ装置に適している。

本実施例に係るタイムスタンプ装置の概要を示す図である。 タイムスタンプ装置の構成例１を示す図である。 タイムスタンプ装置の構成例２を示す図である。 タイムスタンプ装置の構成例３を示す図である。 タイムスタンプ装置の動作モードを示す図である。 タイムスタンプ装置の構成を示す機能ブロック図である。 動作モードと電源供給単位との関係の一例を示す図である。 動作モードごとの消費電流の一例を示す図である。 電源供給制御処理の処理手順を示すフローチャートである。 時刻補正処理および時刻校正処理の処理手順を示すフローチャートである。 時刻校正プログラムおよび電源供給プログラムを実行するコンピュータを示す図である。 従来のタイムスタンプ装置の概要を示す図である。 従来のタイムスタンプ装置の電源供給に関する問題点を示す図である。

１ タイムスタンプ装置
２ 標準電波受信部
３ 発振器
４ 通信インタフェイス部
５ 表示部
６ 入力部
７ バッテリ
１０ 制御部
１１ 電波時刻取得部
１２ 時刻補正処理部
１３ ローカル時刻生成部
１４ 認証時刻要求部
１５ 認証時刻取得部
１６ 時刻校正処理部
１７ タイムスタンプ処理部
１８ 電源供給制御部
２０ 記憶部
２１ 認証鍵記憶部
３０ タイムスタンプ装置（コンピュータ）
３１ 標準電波受信部
３２ 発振器
３３ 通信インタフェイス部
３４ 表示部
３５ 入力部
３６ 揮発性ＲＡＭ
３６ａ 認証鍵
３７ ＲＯＭ
３７ａ 時刻校正プログラム
３７ｂ 電源供給制御プログラム
３８ ＣＰＵ
３８ａ 時刻校正プロセス
３８ｂ 電源供給制御プロセス
３９ バス

Claims (10)

1. 内部時計が出力するローカル時刻に基づいて該ローカル時刻を含んだ電子署名をおこなうタイムスタンプ装置であって、
   認証鍵を記憶する認証鍵記憶手段と、
   前記認証鍵を提示された場合に標準時刻と同期した認証時刻を発行する時刻発行装置から該認証時刻を取得する認証時刻取得手段と、
   前記認証時刻取得手段により取得された前記認証時刻に基づいて前記ローカル時刻の校正をおこなう時刻校正手段と、
   前記認証鍵記憶部への電源供給を継続しておこなうとともに該認証鍵記憶部以外への電源供給の有無を制御する電源供給制御手段と
   を備えたことを特徴とするタイムスタンプ装置。
2. 標準時刻を含んだ電波を受信することにより該標準時刻を電波時刻として取得する電波時刻取得手段と、
   前記電波時刻取得手段により取得された前記電波時刻と前記ローカル時刻との差分の絶対値を算出し、該差分の絶対値が第一の閾値よりも小さい場合に該電波時刻を該ローカル時刻として設定する補正をおこない、該差分の絶対値が該第一の閾値以上である場合に該ローカル時刻の補正をおこなわない時刻補正手段と
   をさらに備えたことを特徴とする請求項１に記載のタイムスタンプ装置。
3. 前記電源供給制御手段は、
   前記内部時計に対し電源供給を開始したならば前記認証時刻取得手段に前記認証時刻の取得を指示し、
   前記時刻校正手段は、
   該認証時刻取得手段が取得した該認証時刻を前記ローカル時刻として設定することを特徴とする請求項１または２に記載のタイムスタンプ装置。
4. 前記電源供給制御手段は、
   運用開始指示を受け取ったならばすべての電源供給単位に電源供給を開始することを特徴とする請求項１、２または３に記載のタイムスタンプ装置。
5. 前記電源供給制御手段は、前記ローカル時刻を含んだ電子署名がおこなわれていない期間を計測し、計測した該期間が第二の閾値を超えたならば前記電源供給単位のうち所定の電源供給単位に対する電源供給を停止することを特徴とする請求項１〜４のいずれか一つに記載のタイムスタンプ装置。
6. 前記電源供給制御手段は、前記ローカル時刻を含んだ電子署名がおこなわれていない期間を計測し、計測した該期間が第三の閾値を超えたならば前記電源供給単位のうち認証鍵記憶手段以外の電源供給単位に対する電源供給を停止することを特徴とする請求項１〜５のいずれか一つに記載のタイムスタンプ装置。
7. 内部時計が出力するローカル時刻に基づいて該ローカル時刻を含んだ電子署名をおこなうタイムスタンプ装置に適用される電源制御方法であって、
   認証鍵を記憶する認証鍵記憶工程と、
   前記認証鍵を提示された場合に標準時刻と同期した認証時刻を発行する時刻発行装置から該認証時刻を取得する認証時刻取得工程と、
   前記認証時刻取得工程により取得された前記認証時刻に基づいて前記ローカル時刻の校正をおこなう時刻校正工程と、
   前記認証鍵記憶部への電源供給を継続しておこなうとともに該認証鍵記憶部以外への電源供給の有無を制御する電源供給制御工程と
   を含んだことを特徴とする電源供給制御方法。
8. 内部時計が出力するローカル時刻に基づいて該ローカル時刻を含んだ電子署名をおこなうタイムスタンプ装置に搭載される電源制御プログラムであって、
   認証鍵を記憶部に記憶させる認証鍵記憶手順と、
   前記認証鍵を提示された場合に標準時刻と同期した認証時刻を発行する時刻発行装置から該認証時刻を取得する認証時刻取得手順と、
   前記認証時刻取得手順により取得された前記認証時刻に基づいて前記ローカル時刻の校正をおこなう時刻校正手順と、
   前記認証鍵記憶部への電源供給を継続しておこなうとともに該認証鍵記憶部以外への電源供給の有無を制御する電源供給制御手順と
   をコンピュータに実行させることを特徴とする電源供給制御プログラム。
9. 認証鍵を用いてデータの送受信をおこなうセキュリティ装置であって、
   認証鍵を記憶する認証鍵記憶手段と、
   前記認証鍵記憶部への電源供給を継続しておこなうとともに該認証鍵記憶部以外への電源供給の有無を制御する電源供給制御手段と
   を備えたことを特徴とするセキュリティ装置。
10. 認証鍵を用いて時刻発行装置から認証時刻を取得することによりローカル時刻を校正する時刻校正装置であって、
    認証鍵を記憶する認証鍵記憶手段と、
    前記認証鍵記憶部への電源供給を継続しておこなうとともに該認証鍵記憶部以外への電源供給の有無を制御する電源供給制御手段と
    を備えたことを特徴とする時刻校正装置。

Images