JP4303733B2 - Recording apparatus and recording method - Google Patents

Description

本発明は、記録装置、及び記録方法に関し、例えば、記録の記録時刻と記録位置を証明するものに関する。   The present invention relates to a recording apparatus and a recording method, and for example, relates to an apparatus that proves a recording time and a recording position of recording.

保険査定用の事故車両の画像データ、火山ガス濃度の測定、騒音測定、大気汚染物質の測定、水質検査、地震測定、土木建築工事記録画像データなど、記録装置で記録対象のデータを記録する場合、記録を行った時刻や場所などの特定が重要となる場合がある。
このようなデータでは、記録した時刻や場所などの特定がなされていなかったり、不正確であったり、あるいは改竄された場合、これらのデータを用いて行う処理に大きな影響が及ぶ。 When recording data to be recorded with a recording device, such as image data of accident vehicles for insurance assessment, volcano gas concentration measurement, noise measurement, air pollutant measurement, water quality inspection, earthquake measurement, civil engineering construction record image data, etc. In some cases, it is important to specify the time and place of recording.
In such data, when the recorded time and place are not specified, inaccurate, or falsified, processing using these data is greatly affected.

そのため、データ記録時の時刻や場所を証明する技術が要望されていた。このような要望のうち、時刻証明を行う技術として次の文献で開示されているものがある。
特開２００１−２９７０６２公報 Therefore, a technique for proving the time and place at the time of data recording has been demanded. Among such requests, there is a technique disclosed in the following document as a technique for performing time certification.
JP 2001-297062 A

この技術は、時刻情報を経時変化情報（気象情報など）と対応づけて合成情報とすることにより、時刻情報の非改竄性を証明しようとするものである。合成情報は、商品に付与され、商品の時刻情報の証明に用いられる。
この技術を用いたサービスとして、画像データを認証センタに送信し、認証センタで画像データに合成情報を付与することにより、画像データの時刻証明を行うものも提案されている。 This technique attempts to prove the non-falsification of time information by associating time information with time-varying information (such as weather information) and combining it. The composite information is given to the product and used to prove the time information of the product.
As a service using this technology, there has been proposed a method for certifying time of image data by transmitting the image data to an authentication center and adding composite information to the image data at the authentication center.

しかし、この技術では、画像データを認証センタに送信するまでにデータ改竄の可能性があった。   However, with this technology, there is a possibility of data falsification before the image data is transmitted to the authentication center.

そこで、本発明の目的は、データの取得時刻などを証明できるようにすることである。   Accordingly, an object of the present invention is to be able to prove data acquisition time and the like.

本発明は、前記目的を達成するために、情報を記録する記録装置と、前記記録装置から記録データを収集する記録収集サーバを用いて構成された記録収集システムで使用される記録装置であって、一定時間間隔ごとに数値を所定量だけ増加させるカウンタ装置と、現在位置情報を取得する現在位置情報取得手段と、所定のタイミングごとに、前記カウンタ装置のカウンタ値と、前記取得した現在位置情報と、の対からなるカウンタ値位置セットを記憶するカウンタ値位置セット記憶手段と、秘密鍵を記憶した秘密鍵記憶手段と、前記カウンタ装置のカウンタ値を前記記録収集サーバに送信するカウンタ値送信手段と、記録対象の情報をデジタルデータとして取得するデジタルデータ取得手段と、前記デジタルデータを取得した際に、前記現在位置情報取得手段が現在位置情報を取得できた場合は、前記取得したデジタルデータと、当該デジタルデータを取得した際のカウンタ値と、前記取得した現在位置情報と、を含む記録データを生成し、前記デジタルデータを取得した際に、前記現在位置情報取得手段が現在位置情報を取得できなかった場合は、前記取得したデジタルデータと、当該デジタルデータを取得した際のカウンタ値と、前記カウンタ値現在値記憶手段で記憶したカウンタ値位置セットと、を含む記録データを生成する記録データ生成手段と、前記生成した記録データを前記記憶した秘密鍵でデジタル署名する署名手段と、前記デジタル署名した記録データを前記記録収集サーバに送信する記録データ送信手段と、を具備したことを特徴とする記録装置を提供する（第１の構成）。
第１の構成において、前記所定のタイミングは、一定時間間隔で周期的に発生するように構成することもできる（第２の構成）。
また、本発明は、情報を記録する記録装置と、前記記録装置から記録データを収集する記録収集サーバを用いて構成された記録収集システムで使用される記録装置が行う記録方法であって、前記記録装置は、一定時間間隔ごとに数値を所定量だけ増加させるカウンタ装置と、秘密鍵を記憶した秘密鍵記憶手段と、現在位置情報取得手段と、カウンタ値位置セット記憶手段と、カウンタ値送信手段と、デジタルデータ取得手段と、記録データ生成手段と、署名手段と、記録データ送信手段と、を備え、前記現在位置情報取得手段で、現在位置情報を取得する現在位置情報取得ステップと、前記カウンタ値位置セット記憶手段で、所定のタイミングごとに、前記カウンタ装置のカウンタ値と、前記取得した現在位置情報と、の対からなるカウンタ値位置セットを記憶するカウンタ値位置セット記憶ステップと、前記カウンタ値送信手段で、前記カウンタ装置のカウンタ値を前記記録収集サーバに送信するカウンタ値送信ステップと、前記デジタルデータ取得手段で、記録対象の情報をデジタルデータとして取得するデジタルデータ取得ステップと、前記記録データ生成手段で、前記デジタルデータを取得した際に、前記現在位置情報取得手段が現在位置情報を取得できた場合は、前記取得したデジタルデータと、当該デジタルデータを取得した際のカウンタ値と、前記取得した現在位置情報と、を含む記録データを生成し、前記デジタルデータを取得した際に、前記現在位置情報取得手段が現在位置情報を取得できなかった場合は、前記取得したデジタルデータと、当該デジタルデータを取得した際のカウンタ値と、前記カウンタ値現在値記憶手段で記憶したカウンタ値位置セットと、を含む記録データを生成する記録データ生成ステップと、前記署名手段で、前記生成した記録データを前記記憶した秘密鍵でデジタル署名する署名ステップと、前記記録データ送信手段で、前記デジタル署名した記録データを前記記録収集サーバに送信する記録データ送信ステップと、から構成されたことを特徴とする記録方法を提供する（第３の構成）。 In order to achieve the above object, the present invention is a recording apparatus used in a recording / collecting system configured using a recording apparatus that records information and a recording / collection server that collects recording data from the recording apparatus. A counter device that increases a numerical value by a predetermined amount at regular time intervals; a current position information acquisition unit that acquires current position information; a counter value of the counter device at each predetermined timing; and the acquired current position information Counter value position set storage means for storing a counter value position set consisting of a pair, secret key storage means for storing a secret key, and counter value transmission means for transmitting the counter value of the counter device to the record collection server Digital data acquisition means for acquiring information to be recorded as digital data, and when the digital data is acquired, If the position information acquisition means can acquire the current position information, generate the recording data including the acquired digital data, the counter value when the digital data is acquired, and the acquired current position information, When the current position information acquisition unit cannot acquire current position information when acquiring the digital data, the acquired digital data, a counter value when the digital data is acquired, and the counter value current A recording data generating means for generating recording data including a counter value position set stored in the value storing means; a signature means for digitally signing the generated recording data with the stored secret key; and the digitally signed recording data And a recording data transmitting means for transmitting the recording data to the recording / collecting server. Configuration).
In the first configuration, the predetermined timing may be generated periodically at a constant time interval (second configuration).
Further, the present invention is a recording method performed by a recording apparatus used in a recording apparatus configured using a recording apparatus that records information and a recording collection server that collects recording data from the recording apparatus, A recording apparatus includes a counter device that increases a numerical value by a predetermined amount at regular time intervals, a secret key storage unit that stores a secret key, a current position information acquisition unit, a counter value position set storage unit, and a counter value transmission unit A digital data acquisition unit, a recording data generation unit, a signature unit, and a recording data transmission unit, wherein the current position information acquisition unit acquires the current position information, and the counter A value position set storage means, a counter comprising a pair of a counter value of the counter device and the acquired current position information for each predetermined timing A counter value position set storing step for storing a position set; a counter value transmitting step for transmitting the counter value of the counter device to the recording / collecting server; and a digital data acquiring unit for storing a counter value. A digital data acquisition step of acquiring information as digital data; and when the digital data is acquired by the recording data generation means, if the current position information acquisition means can acquire current position information, the acquired digital Data, a counter value at the time of acquiring the digital data, and recording data including the acquired current position information is generated, and when the digital data is acquired, the current position information acquisition means If the digital data cannot be acquired, the acquired digital data and the digital data A recording data generation step for generating recording data including a counter value at the time of acquisition and a counter value position set stored in the counter value current value storage unit; and the recording unit generates the recording data generated in the signature unit A recording method comprising: a signature step of digitally signing with a secret key, and a recording data transmission step of transmitting the digitally signed recording data to the recording collection server by the recording data transmitting means. Provided (third configuration).

本発明によれば、記録装置が時刻を特定する情報などをデータに付与してデジタル署名することにより、データの取得時刻などを証明することができる。   According to the present invention, the data acquisition time and the like can be proved by the recording device giving the information specifying the time to the data and digitally signing it.

（１）実施の形態の概要
図１を用いて本実施の形態の概要について説明する。センタサーバ２は、保険会社の本社に設置されたサーバ装置である。
カメラ５は、本社より支社や代理店などに配布されたデジタル式カメラであり、以下の手順で保険査定に必要な写真の撮影を行う。 (1) Outline of Embodiment An outline of this embodiment will be described with reference to FIG. The center server 2 is a server device installed at the head office of an insurance company.
The camera 5 is a digital camera distributed from the headquarters to a branch office or an agency, and takes a picture necessary for insurance assessment according to the following procedure.

（１．開始カウンタ値の登録）
カメラ５は、一定時間間隔で数をカウントするカウンタを、外部からの不正な操作が著しく困難な耐タンパチップ内に備えている。
担当者が撮影現場にカメラ５を持ち出す場合には、図１（ａ）に示したように、カメラ５をセンタサーバ２に接続し、現在のカウンタ値（開始カウンタ値）をセンタサーバ２に送信する。センタサーバ２は、カメラ５の開始カウンタ値を現在時刻（開始時刻）と対応づけて記憶する。 (1. Registration of start counter value)
The camera 5 includes a counter that counts the number at regular time intervals in a tamper-resistant chip that is extremely difficult to perform illegal operations from the outside.
When the person in charge takes the camera 5 to the shooting site, the camera 5 is connected to the center server 2 and the current counter value (start counter value) is transmitted to the center server 2 as shown in FIG. To do. The center server 2 stores the start counter value of the camera 5 in association with the current time (start time).

（２．写真の撮影）
開始カウンタ値をセンタサーバ２に通知した後、カメラ５は、ネットワークから切り離され、オフライン状態となる。担当者は、この状態でカメラ５を撮影現場に持ち出し、被写体を撮影する。
カメラ５は、被写体を画像データとして記録すると、これに現在のカウンタ値、現在位置を特定する位置情報（カメラ５はＧＰＳを内蔵している）、被写体までの距離や絞りなどの撮影情報を付与し、これを予め記憶した機器秘密鍵でデジタル署名して撮影データを生成する。この署名処理は、耐タンパチップの内部で行われる。このようにして、撮影データ１〜ｎがカメラ５内に記憶される。 (2. Photographing)
After notifying the center server 2 of the start counter value, the camera 5 is disconnected from the network and goes offline. In this state, the person in charge takes the camera 5 to the shooting site and shoots the subject.
When the camera 5 records the subject as image data, it gives a current counter value, position information for specifying the current position (the camera 5 has a built-in GPS), and shooting information such as a distance to the subject and an aperture. Then, this is digitally signed with a device secret key stored in advance to generate shooting data. This signature processing is performed inside the tamper resistant chip. In this way, the shooting data 1 to n are stored in the camera 5.

（３．撮影データの送信）
担当者は、撮影を終えるとカメラ５を持ち帰り、センタサーバ２に接続する。すると、カメラ５は、センタサーバ２に現在のカウンタ値（終了カウンタ値）を送信する。センタサーバ２は、この終了カウンタ値を現在時刻（終了時刻）と対応づけて記憶する。
更に、カメラ５は、撮影データ１〜ｎを１つのデータにまとめて送信用撮影データ４０（図４）を生成し、これをセンタサーバ２に送信する。
センタサーバ２は、送信用撮影データ４０を受信すると、予め記憶した機器公開鍵を用いて撮影データ１〜ｎのデジタル署名を検証し、各撮影データが改竄されていないことを確認する。 (3. Transmission of shooting data)
When the person in charge finishes photographing, he takes the camera 5 home and connects to the center server 2. Then, the camera 5 transmits the current counter value (end counter value) to the center server 2. The center server 2 stores the end counter value in association with the current time (end time).
Further, the camera 5 combines the shooting data 1 to n into one data to generate transmission shooting data 40 (FIG. 4), and transmits this to the center server 2.
When the center server 2 receives the transmission shooting data 40, the center server 2 verifies the digital signatures of the shooting data 1 to n using the device public key stored in advance, and confirms that each shooting data has not been falsified.

そして、センタサーバ２は、送信用撮影データ４０に、開始カウンタ、開始時刻、終了カウンタ、及び終了時刻などを付加して保存用撮影データ５０（図７（ａ））を生成し、これにタイムスタンプサーバによってタイムスタンプを発行してもらいタイムスタンプ付き保存用撮影データ５１（図７（ｂ））を生成する。
タイムスタンプ付き保存用撮影データ５１はセンタサーバ２で記憶され、必要がある場合にユーザ端末にダウンロードされて使用される。 Then, the center server 2 adds the start counter, the start time, the end counter, the end time, and the like to the transmission shooting data 40 to generate the storage shooting data 50 (FIG. 7A). The time stamp is issued by the stamp server, and the time-stamped shooting photographing data 51 (FIG. 7B) is generated.
The time-stamped shooting data 51 is stored in the center server 2 and downloaded to the user terminal for use when necessary.

（４．画像データの時刻証明）
タイムスタンプ付き保存用撮影データ５１の正統性は、タイムスタンプにより確認することができる。また、タイムスタンプ付き保存用撮影データ５１に含まれる各撮影データの正統性は、センタサーバ２により保証されている。
そのため、撮影データに含まれる画像データ、カウンタ値、位置情報、撮影情報は信頼できるものである。
撮影時刻は、カウンタ値を用いて特定することができる。即ち、カウンタ値は、一定時間間隔で所定量だけインクリメントされるため、開始カウンタ値と開始時刻、及び終了カウンタ値と終了時刻の対応関係から、このカウンタ値が得られた時刻を計算により特定することができる。
以上のように、本実施の形態では、カメラ５が画像データを撮影した際の時刻、撮影位置、及び撮影情報をデジタル署名やタイムスタンプなどにより証明することができる。 (4. Time certification of image data)
The legitimacy of the time-stamped saved shooting data 51 can be confirmed by the time stamp. Further, the authenticity of each piece of shooting data included in the saved shooting data 51 with a time stamp is guaranteed by the center server 2.
Therefore, the image data, counter value, position information, and shooting information included in the shooting data are reliable.
The photographing time can be specified using a counter value. That is, since the counter value is incremented by a predetermined amount at fixed time intervals, the time at which the counter value is obtained is specified by calculation from the correspondence between the start counter value and the start time, and the end counter value and the end time. be able to.
As described above, in this embodiment, the time when the camera 5 captures image data, the capturing position, and the capturing information can be proved by a digital signature, a time stamp, or the like.

（２）実施の形態の詳細
図２は、本実施の形態の一例に係る画像データ収集システムのネットワーク構成を示した図である。
画像データ収集システム１は、例えば、保険会社が保険査定用の画像データを収集するシステムである。保険金の査定に用いる画像データは、撮影時刻と撮影位置が証明できること、及び、データの非改竄を確認できることが重要である。画像データ収集システム１は、このような要望に応えるものである。 (2) Details of Embodiment FIG. 2 is a diagram illustrating a network configuration of an image data collection system according to an example of the present embodiment.
The image data collection system 1 is a system in which, for example, an insurance company collects image data for insurance assessment. It is important that the image data used for the insurance money assessment can prove the shooting time and shooting position and can confirm that the data has not been tampered with. The image data collection system 1 meets such a demand.

画像データ収集システム１は、保険会社の本社などに設置され、カメラ５から画像データを収集するセンタサーバ２、保険会社の支店や代理店などに設置され、ネットワーク４を介してセンタサーバ２と通信する端末３、画像データを撮影するカメラ５などから構成されている。
なお、以下では、被写体を電子データ化したデータを画像データと呼び、画像データにカウンタ値、位置情報などの各種の付加的な情報を付与したものを撮影データと呼ぶことにする。 The image data collection system 1 is installed at the head office of an insurance company, and is installed at a center server 2 that collects image data from the camera 5, a branch office or an agency of the insurance company, and communicates with the center server 2 via the network 4. The terminal 3 is a camera 5 and the camera 5 is a camera that captures image data.
In the following, data obtained by converting a subject into electronic data is referred to as image data, and image data provided with various additional information such as a counter value and position information is referred to as imaging data.

センタサーバ２は、カメラ５から送信されてくる撮影データのカウンタ値の管理と撮影データの非改竄性の確認を行うと共に、図示しないタイムスタンプサーバに対して撮影データにタイムスタンプの発行を要求する。
端末３は、本社などから写真撮影を依頼される支店などに設置された端末装置であって、ネットワーク４を介してセンタサーバ２と通信することができる。端末３は、カメラ５をセンタサーバ２に接続する際の仲介として用いられる。センタサーバ２は、記録収集サーバとして機能している。 The center server 2 manages the counter value of the photographing data transmitted from the camera 5 and checks the non-falsification of the photographing data, and requests the time stamp server (not shown) to issue a time stamp to the photographing data. .
The terminal 3 is a terminal device installed at a branch office where photography is requested from the head office or the like, and can communicate with the center server 2 via the network 4. The terminal 3 is used as an intermediary when connecting the camera 5 to the center server 2. The center server 2 functions as a record collection server.

カメラ５は、保険査定用の画像データ（事故車両や事故現場など）を撮影するためのデジタル式画像撮影装置であり、予め本社でセンタサーバ２で機器登録した後、各支店等に配布さる。
カメラ５は、端末３を介してセンタサーバ２と通信することができる。この際の通信は、例えば、ＳＳＬ（Ｓｅｃｕｒｅ Ｓｏｃｋｅｔｓ Ｌａｙｅｒ）などの技術を用いて暗号化され、セキュリティを確保している。 The camera 5 is a digital image photographing device for photographing image data for insurance assessment (accident vehicle, accident scene, etc.), and is registered in advance with the center server 2 at the head office and distributed to each branch.
The camera 5 can communicate with the center server 2 via the terminal 3. The communication at this time is encrypted using a technology such as SSL (Secure Sockets Layer), for example, to ensure security.

なお、カメラ５が直接ネットワークに接続する機能を有している場合は、端末３を用いずに、カメラ５を直接ネットワーク４に接続することができる。
また、カメラ５が無線通信機能を備える場合は、端末３を使用せず、基地局８経由でセンタサーバ２に直接接続することもできる。
カメラ５は、撮影現場に持ち出す際、及び持ち帰った際は、センタサーバ２に接続して所定の手続きを経るが、撮影の際は、オフラインで自由に使用することができる。カメラ５は、記録装置として機能している。 When the camera 5 has a function of directly connecting to the network, the camera 5 can be directly connected to the network 4 without using the terminal 3.
Further, when the camera 5 has a wireless communication function, it is possible to directly connect to the center server 2 via the base station 8 without using the terminal 3.
The camera 5 is connected to the center server 2 through a predetermined procedure when it is taken out to the shooting site and when it is taken home, but can be freely used offline when shooting. The camera 5 functions as a recording device.

図３は、カメラ５のハードウェア的な構成の一例を説明するためのブロック図である。
カメラ５は、耐タンパ部２０、ＣＰＵ（Ｃｅｎｔｒａｌ Ｐｒｏｃｅｓｓｉｎｇ Ｕｎｉｔ）３０、ＲＯＭ（Ｒｅａｄ Ｏｎｌｙ Ｍｅｍｏｒｙ）３１、ＲＡＭ（Ｒａｎｄｏｍ Ａｃｃｅｓｓ Ｍｅｍｏｒｙ）３２、カメラ部３３、ＧＰＳ（Ｇｌｏｂａｌ Ｐｏｓｉｔｉｏｎｉｎｇ Ｓｙｓｔｅｍｓ）部３４、操作部３５、記憶部３６、通信部３７などがバスラインで接続されて構成されている。 FIG. 3 is a block diagram for explaining an example of the hardware configuration of the camera 5.
The camera 5 includes a tamper resistant unit 20, a CPU (Central Processing Unit) 30, a ROM (Read Only Memory) 31, a RAM (Random Access Memory) 32, a camera unit 33, a GPS (Global Positioning Systems) unit 34, an operation unit 35, A storage unit 36, a communication unit 37, and the like are connected by a bus line.

耐タンパ部２０は、機器認証やデジタル署名の発行などセキュリティに関わる情報処理を行う機能部であり、例えば、耐タンパ仕様の集積回路を収納したＩＣチップによって構成された耐タンパモジュールである。   The tamper resistant unit 20 is a functional unit that performs information processing related to security such as device authentication and digital signature issuance. For example, the tamper resistant unit 20 is a tamper resistant module configured by an IC chip containing a tamper resistant integrated circuit.

耐タンパ仕様とは、例えば、内部構造を解析しようとすると自動的に内部構造を破壊するなど、改竄や複製、内部の論理構造の解読などの不正行為に対して十分な防御手段を講じるための仕様である。
そのため、耐タンパ部２０は、外部からの解析が著しく困難で一種のブラックボックスとなっており、例えば、機器秘密鍵などの秘密情報を安全に保持することができる。
なお、タンパ（ｔａｍｐｅｒ）とは、装置に手を加えるという意味や、情報などを不正に変更するという意味があり、耐タンパとは、これらの操作に対して耐性を保持していることを意味する。 The tamper-resistant specification means that the internal structure is automatically destroyed when trying to analyze the internal structure, such as falsification, duplication, and deciphering of the internal logical structure, etc. It is a specification.
Therefore, the tamper resistant unit 20 is a kind of black box that is extremely difficult to analyze from the outside, and can securely hold secret information such as a device secret key.
Note that tamper means that the device is tampered with, or that information is illegally changed, and tamper resistance means that resistance to these operations is maintained. To do.

耐タンパ部２０は、ＣＰＵ２１、カウンタ２２、ＲＯＭ２３、ＲＡＭ２４、ＥＥＰＲＯＭ（Ｅｌｅｃｔｒｉｃａｌｌｙ Ｅｒａｓａｂｌｅ ａｎｄ Ｐｒｏｇｒａｍｍａｂｌｅ ＲＯＭ）２５、図示しない内部クロックなどがバスラインによって接続されて構成されている。   The tamper resistant unit 20 includes a CPU 21, a counter 22, a ROM 23, a RAM 24, an EEPROM (Electrically Erasable and Programmable ROM) 25, an internal clock (not shown), and the like connected by a bus line.

ＣＰＵ２１は、ＥＥＰＲＯＭ２５、ＲＯＭ２３、ＲＡＭ２４などに記憶されているプログラムに従って各種の情報処理を行う中央処理装置である。
本実施の形態では、機器公開鍵と機器秘密鍵のペアを生成したり、撮影した撮影データに対してデジタル署名を行ったり、カウンタ値の出力を行ったりする。 The CPU 21 is a central processing unit that performs various types of information processing according to programs stored in the EEPROM 25, the ROM 23, the RAM 24, and the like.
In the present embodiment, a pair of a device public key and a device private key is generated, a digital signature is performed on the captured image data, and a counter value is output.

カウンタ２２は、一定時間間隔でカウンタ値（数値）を所定量だけインクリメントして計数するカウンタ装置である。一定時間間隔は、内部クロックにより計測される。
ここで、インクリメントとは、数値を指定した大きさで一定に増加させることであり、本実施の形態では、例えば、所定時間間隔ごとに１つずつカウンタ値を増大させていく。
なお、カウンタ値は、撮影時刻を特定するのが目的であるため（即ち、カウンタ値と時刻が一意に対応すればよいため）、数値を所定の時間間隔でデクリメントするように構成することもできる。 The counter 22 is a counter device that increments a counter value (numerical value) by a predetermined amount and counts it at regular time intervals. The fixed time interval is measured by an internal clock.
Here, “increment” means to increase the numerical value by a specified size, and in the present embodiment, for example, the counter value is increased by one every predetermined time interval.
Note that the counter value is intended to specify the shooting time (that is, the counter value and the time only need to be uniquely associated), so the numerical value can be decremented at a predetermined time interval. .

また、カウンタ値２２は、正負の何れか一方向にのみ数値が変化するようになっている。
即ち、カウンタ２２がインクリメントするものである場合は、カウンタ値が減少できないようになっており、デクリメントするものである場合は、カウンタ値が増加できないようになっている。
カウンタ値は、写真の撮影時刻に相当する値であるため、カウンタ２２が何れか一方に進むように構成することにより、撮影時刻のバックデイトを防止することができる。 Further, the counter value 22 changes its value only in one of positive and negative directions.
That is, when the counter 22 is incremented, the counter value cannot be decreased. When the counter 22 is decremented, the counter value cannot be increased.
Since the counter value is a value corresponding to the photographing time of the photograph, it is possible to prevent a back date of the photographing time by configuring the counter 22 to proceed to either one.

ＲＯＭ２３は、読み出し専用の記憶装置（メモリ）であって、耐タンパ部２０を駆動するための基本的なプログラムやパラメータなどを格納している。
ＲＡＭ２４は、読み書き可能な記憶装置であって、ＣＰＵ２１が各種の情報処理を行う際のワーキングエリアを提供する。
図示しない内部クロックは、耐タンパ部２０を駆動したり、カウンタ２２が所定時間間隔を計測するためのクロックを発生させる。内部クロック２２は、ＣＰＵ３０を駆動する図示しない外部クロックと同期しており、ＣＰＵ２１とＣＰＵ３０はタイミングを同期させて協働して動作することができる。
なお、本実施の形態では、カウンタ２２を内部クロックとは別物として構成したが、内部クロックそのものをカウンタ２２として使用することもできる。この場合は、内部クロックが出力した時刻がカウンタ値として利用される。 The ROM 23 is a read-only storage device (memory), and stores basic programs and parameters for driving the tamper resistant unit 20.
The RAM 24 is a readable / writable storage device and provides a working area when the CPU 21 performs various types of information processing.
An internal clock (not shown) drives the tamper resistant unit 20 and generates a clock for the counter 22 to measure a predetermined time interval. The internal clock 22 is synchronized with an external clock (not shown) that drives the CPU 30, and the CPU 21 and the CPU 30 can operate in synchronism with each other.
In this embodiment, the counter 22 is configured separately from the internal clock. However, the internal clock itself can be used as the counter 22. In this case, the time when the internal clock is output is used as the counter value.

ＥＥＰＲＯＭ２５は、読み書きが可能な不揮発性の記憶装置であり、プログラムやデータなどが記憶されている。
本実施の形態では、一例として、機器ＩＤ、非対称暗号鍵生成プログラム、機器秘密鍵、機器証明書、センタサーバ公開鍵証明書、撮影データ処理プログラム、ＣＰＵ２１を駆動するための基本的なプログラムであるＯＳ（Ｏｐｅｒａｔｉｎｇ Ｓｙｓｔｅｍ）などが記憶されている。 The EEPROM 25 is a readable / writable nonvolatile storage device, and stores programs, data, and the like.
In this embodiment, as an example, a device ID, an asymmetric encryption key generation program, a device secret key, a device certificate, a center server public key certificate, a photographing data processing program, and a basic program for driving the CPU 21 are used. An OS (Operating System) and the like are stored.

機器ＩＤは、カメラ５に一意に付与された識別情報であり、個々のカメラ５は、機器ＩＤにより識別される。機器ＩＤは、カメラ５の製造時に製造者によって記憶させられる。
非対称暗号鍵生成プログラムは、耐タンパ部２０の内部で機器秘密鍵と機器公開鍵の非対称暗号鍵ペア（対）を生成するための機能をＣＰＵ２１に発揮させるためのプログラムである。このプログラムは、機器登録前に実行させられる。望ましくは、カメラ５の製造者が出荷前に実行する。
生成された機器秘密鍵はＥＥＰＲＯＭ２５に記憶され、外部からこの機器秘密鍵を知ることはできないようになっている。ＥＥＰＲＯＭ２５は、秘密鍵記憶手段として機能している。
機器秘密鍵は、例えば、撮影データをデジタル署名するのに用いられる。デジタル署名の正統性は、機器公開鍵で検証することができる。 The device ID is identification information uniquely assigned to the camera 5, and each camera 5 is identified by the device ID. The device ID is stored by the manufacturer when the camera 5 is manufactured.
The asymmetric encryption key generation program is a program for causing the CPU 21 to exhibit a function for generating an asymmetric encryption key pair (pair) of the device secret key and the device public key inside the tamper resistant unit 20. This program is executed before device registration. Preferably, the manufacturer of the camera 5 executes it before shipping.
The generated device secret key is stored in the EEPROM 25 so that the device secret key cannot be known from the outside. The EEPROM 25 functions as a secret key storage unit.
The device secret key is used, for example, for digitally signing shooting data. The authenticity of the digital signature can be verified with the device public key.

機器証明書は、例えば、機器公開鍵、機器ＩＤ、その他の情報をセンタサーバ２が証明書用秘密鍵などでデジタル署名した証明書である。機器証明書は、センタサーバ２がカメラ５を機器認証する際に用いられる。
機器証明書は、例えば、「機器ＩＤは○○○です。この機器の機器公開鍵は○○○です。証明者はセンタサーバ２です。」といった、機器ＩＤ、機器公開鍵、証明者、及びその他の例えば証明日時からなるメッセージと、このメッセージのダイジェスト（例えば、ハッシュ値）を証明書用秘密鍵で暗号化したデジタル署名などから構成されている。 The device certificate is, for example, a certificate in which the center server 2 digitally signs a device public key, device ID, and other information with a certificate private key. The device certificate is used when the center server 2 performs device authentication of the camera 5.
The device certificate is, for example, “device ID is XXX. The device public key of this device is XXX. The prover is the center server 2.” For example, it is composed of a message composed of other date and time of certification and a digital signature obtained by encrypting a digest (for example, hash value) of the message with a certificate private key.

機器証明書の正当性の確認は、次のようにして行われる。まず、証明書用秘密鍵に対応する証明書用公開鍵によってデジタル証明からダイジェストを復元する。そして、メッセージからダイジェストを生成する。
両者が一致する場合、この機器証明書は確かにセンタサーバ２によって作成されたものであることを確認することができる。 The validity of the device certificate is confirmed as follows. First, the digest is restored from the digital certificate using the certificate public key corresponding to the certificate private key. Then, a digest is generated from the message.
If the two match, it can be confirmed that the device certificate is certainly created by the center server 2.

なお、本実施の形態では、センタサーバ２が機器証明書を作成するように構成したが、これに限定せず、例えば、適当なＣＡ（認証局）が作成するように構成することもできる。この場合、ＣＡは、ＣＡ秘密鍵でデジタル署名することにより機器証明書を作成する。
そして、この場合、センタサーバ２は、ＣＡ公開鍵を記憶しておき、これを用いて機器証明書の正当性を確認する。 In the present embodiment, the center server 2 is configured to create a device certificate. However, the present invention is not limited to this. For example, an appropriate CA (certificate authority) can be configured. In this case, the CA creates a device certificate by digitally signing with the CA private key.
In this case, the center server 2 stores the CA public key and confirms the validity of the device certificate using the CA public key.

次に、センタサーバ公開鍵証明書は、センタサーバ秘密鍵に対応するセンタサーバ公開鍵の公開鍵証明書であり、機器登録の際に、センタサーバ２からダウンロードしたものである。
センタサーバ公開鍵証明書は、例えば、センタサーバ公開鍵をＣＡがＣＡ秘密鍵でデジタル署名して作成されている。
この場合、予めカメラ５にＣＡ公開鍵を記憶させておけば、カメラ５は、センタサーバ公開鍵証明書をダウンロードした際に正統性を確認することができる。 Next, the center server public key certificate is a public key certificate of the center server public key corresponding to the center server private key, and is downloaded from the center server 2 at the time of device registration.
The center server public key certificate is created, for example, by digitally signing the center server public key with the CA private key.
In this case, if the CA public key is stored in the camera 5 in advance, the camera 5 can confirm the legitimacy when the center server public key certificate is downloaded.

センタサーバ公開鍵は、例えば、撮影データなど、何らかのデータをセンタサーバ２に送信する際に、これを暗号化するのに用いる。センタサーバ公開鍵で暗号化されたデータは、センタサーバ秘密鍵を有するセンタサーバ２だけが復号化できるため、セキュリティを高めることができる。   The center server public key is used, for example, when encrypting some data such as photographing data to the center server 2. Since the data encrypted with the center server public key can be decrypted only by the center server 2 having the center server private key, security can be improved.

撮影データ処理プログラムは、センタサーバ２にカウンタ値を通知したり、撮影データにデジタル署名を行ったり、撮影データを暗号化する機能などをＣＰＵ２１に発揮させるためのプログラムである。   The shooting data processing program is a program for notifying the center server 2 of the counter value, performing a digital signature on the shooting data, and causing the CPU 21 to perform functions such as encrypting shooting data.

ＣＰＵ３０は、記憶部３６、ＲＯＭ３１、ＲＡＭ３２などに記憶されているプログラムに従って各種の情報処理を行う中央処理装置である。
ＣＰＵ３０は、ＣＰＵ２１と協働して動作し、例えば、カメラ部３３で撮影された画像データやＧＰＳ部３４で検出された位置情報などを耐タンパ部２０に送出したり、耐タンパ部２０から出力されたカウンタ値や撮影データなどをセンタサーバ２に送信したりなどする。 The CPU 30 is a central processing unit that performs various types of information processing according to programs stored in the storage unit 36, the ROM 31, the RAM 32, and the like.
The CPU 30 operates in cooperation with the CPU 21. For example, the CPU 30 sends image data captured by the camera unit 33, position information detected by the GPS unit 34, and the like to the tamper resistant unit 20 and outputs from the tamper resistant unit 20. For example, the counter value and photographing data that have been sent are transmitted to the center server 2.

ＲＯＭ３１は、読み出し専用の記憶装置であって、ＣＰＵ３０を駆動するための基本的なプログラムやパラメータなどを格納している。
ＲＡＭ３２は、読み書き可能な記憶装置であって、ＣＰＵ３０が各種の情報処理を行う際のワーキングエリアを提供する。 The ROM 31 is a read-only storage device, and stores basic programs and parameters for driving the CPU 30.
The RAM 32 is a readable / writable storage device, and provides a working area when the CPU 30 performs various types of information processing.

カメラ部３３は、レンズや絞りなどの光学系や、これらを自動調節する調節機構、レンズによって投影された投影像を電気信号に変換するＣＣＤ（Ｃｈａｒｇｅ Ｃｏｕｐｌｅｄ Ｄｅｖｉｃｅ：電荷結合素子）などから構成されている。カメラ部３３によって、撮影対象の画像データが生成される。
カメラ部３３は、記録対象（被写体）の情報（画像）をデジタルデータ（画像データ）として取得するデジタルデータ取得手段として機能している。 The camera unit 33 includes an optical system such as a lens and a diaphragm, an adjustment mechanism that automatically adjusts the lens, a CCD (Charge Coupled Device) that converts a projection image projected by the lens into an electric signal, and the like. Yes. The camera unit 33 generates image data to be imaged.
The camera unit 33 functions as digital data acquisition means for acquiring information (image) of a recording target (subject) as digital data (image data).

ＧＰＳ部３４は、地球上空を周回する複数のＧＰＳ衛生が送信するＧＰＳ信号を受信し、カメラ５の現在位置を解析して電気信号として出力するモジュールである。ＧＰＳ部３４は、現在位置情報取得手段として機能している。
操作部３５は、担当者がカメラ５を操作するための操作ボタンやシャッターボタンなどから構成されている。また、図示しないが、ＣＰＵ３０には、各種情報を担当者に提示するための液晶表示装置やブザー音などを発生する音声発生装置なども接続されている。 The GPS unit 34 is a module that receives GPS signals transmitted by a plurality of GPS sanitations circulating around the earth, analyzes the current position of the camera 5 and outputs the signal as an electrical signal. The GPS unit 34 functions as current position information acquisition means.
The operation unit 35 includes operation buttons, shutter buttons, and the like for the person in charge to operate the camera 5. Although not shown, the CPU 30 is also connected to a liquid crystal display device for presenting various kinds of information to a person in charge, a sound generating device for generating a buzzer sound, and the like.

記憶部３６は、例えば、ＥＥＰＲＯＭによって構成されており、各種プログラムやデータなどが記憶されている。
記憶部３６に記憶しているプログラムをＣＰＵ３０で実行することにより、センタサーバ２と通信したり、カメラ５にカメラとしての機能を発揮させたりすることができる。
また、耐タンパ部２０でデジタル署名された撮影データは、記憶部３６に記憶され、センタサーバ２とオンラインとなった際に、センタサーバ２に送信される。
通信部３７は、カメラ５をセンタサーバ２に接続するためのインターフェースを構成している。
なお、基地局８（図２）と無線通信する機能を有するカメラ５の場合、通信部３７は、ＲＦ回路やアンテナなどから構成された無線通信部を備える。 The storage unit 36 is configured by, for example, an EEPROM, and stores various programs and data.
By executing the program stored in the storage unit 36 with the CPU 30, it is possible to communicate with the center server 2 and to cause the camera 5 to function as a camera.
The image data digitally signed by the tamper resistant unit 20 is stored in the storage unit 36 and transmitted to the center server 2 when online with the center server 2.
The communication unit 37 constitutes an interface for connecting the camera 5 to the center server 2.
In the case of the camera 5 having a function of performing wireless communication with the base station 8 (FIG. 2), the communication unit 37 includes a wireless communication unit configured with an RF circuit, an antenna, and the like.

図４は、送信用撮影データ４０の論理的な構成を模式的に表した図である。送信用撮影データ４０は、カメラ５が撮影データ１〜ｎ（ｎは正の整数）を送信する際に、これらを１つのデータにまとめたものである。なお、撮影データ１〜ｎを個別に連続して送信するように構成することもできる。
撮影データ１〜ｎは、カメラ５が撮影した画像データから作成されたものであり、担当者が被写体を撮影するごとに作成されて記憶部３６に記憶されたものである。 FIG. 4 is a diagram schematically showing a logical configuration of the transmission shooting data 40. The transmission photographic data 40 is obtained by collecting the photographic data 1 to n (n is a positive integer) into one data when the camera 5 transmits the photographic data 1 to n (n is a positive integer). In addition, it can also comprise so that imaging | photography data 1-n may be transmitted separately continuously.
The photographing data 1 to n are created from image data photographed by the camera 5 and are created and stored in the storage unit 36 every time the person in charge photographs a subject.

撮影データ１〜ｎは、被写体の投影像をＣＣＤによって電子データ化した画像データや、撮影時のカウンタ値、ＧＰＳ部３４によって検出された撮影時の現在位置情報（緯度経度が特定できる）、撮影時の焦点距離や絞りなど、カメラ部３３の光学系に関するパラメータからなる撮影情報、及びこれらのデータの正統性を証明するためのデジタル署名などが含まれている。
撮影データは、画像データとカウンタ値を含む記録データに相当する。このように、カメラ５は、記録データ生成手段と、これにデジタル署名する署名手段を備えている。 The shooting data 1 to n are image data obtained by converting a projection image of a subject into electronic data by a CCD, a counter value at the time of shooting, current position information at the time of shooting detected by the GPS unit 34 (latitude and longitude can be specified), shooting It includes shooting information made up of parameters related to the optical system of the camera unit 33, such as the focal length and aperture at the time, and a digital signature for proving the legitimacy of these data.
The shooting data corresponds to recording data including image data and a counter value. As described above, the camera 5 includes recording data generation means and signature means for digitally signing the recording data generation means.

撮影情報は、画像データが撮影された際の状況を検証するのに用いることができる。
例えば、事故車両の偽造写真を被写体として撮影した画像データの場合、焦点距離が本来の値より短くなることが考えられ、焦点距離の検証により、このような偽造を発見することができる。 The shooting information can be used to verify the situation when the image data is shot.
For example, in the case of image data obtained by taking a counterfeit photograph of an accident vehicle as a subject, the focal length may be shorter than the original value, and such counterfeit can be found by verifying the focal length.

デジタル署名は、画像データ、カウンタ値、位置情報、撮影情報などのダイジェスト（例えば、ハッシュ値）をカメラ５が機器秘密鍵で暗号化したものである。
撮影データの正統性（即ち、改竄されていないか、また、カメラ５によって作成されたものであるかなど）を検証する者（センタサーバ２など）は、機器公開鍵でダイジェストを復元し、更に、画像データ、カウンタ値、位置情報、撮影情報などからダイジェストを生成し、両者の一致を確認すればよい。 The digital signature is obtained by encrypting a digest (for example, a hash value) of image data, counter value, position information, shooting information, and the like with the device secret key.
A person (such as the center server 2) who verifies the legitimacy of the photographing data (that is, whether it is not falsified or created by the camera 5) restores the digest with the device public key, and further The digest may be generated from the image data, the counter value, the position information, the shooting information, and the like to confirm the coincidence.

送信用撮影データ４０は、センタサーバ２に送信され、センタサーバ２によってタイムスタンプの発行が要求される。
このように、撮影データをまとめて送信用撮影データ４０とすることにより、１つのタイムスタンプによって、個々の撮影データにタイムスタンプが発行されたのと同じ効果を得ることができる。
なお、カメラ５は、撮影データ１〜ｎを個別にセンタサーバ２に送信し、センタサーバ２がこれらを１つのデータにまとめてタイムスタンプを発行するように構成してもよい。
あるいは、タイムスタンプの発行回数は増えるが、カメラ５は撮影データ１〜ｎを個別にセンタサーバ２に送信し、センタサーバ２は、個々の撮影データにタイムスタンプを発行するように構成してもよい。 The transmission photographing data 40 is transmitted to the center server 2, and the center server 2 requests the time stamp to be issued.
In this way, by combining the shooting data into the shooting shooting data 40, the same effect as when the time stamp is issued to each shooting data can be obtained by one time stamp.
Note that the camera 5 may be configured such that the photographing data 1 to n are individually transmitted to the center server 2, and the center server 2 collects them into one data and issues a time stamp.
Alternatively, although the number of times of issuing the time stamp increases, the camera 5 may individually transmit the shooting data 1 to n to the center server 2 and the center server 2 may be configured to issue the time stamp to each shooting data. Good.

図５は、センタサーバ２のハードウェア的な構成の一例を説明するためのブロック図である。
センタサーバ２は、ＣＰＵ４１、ＲＯＭ４２、ＲＡＭ４３、クロック４４、通信部４５、及び記憶部４６などがバスラインで接続されて構成されている。
ＣＰＵ４１は、ＲＯＭ４２、ＲＡＭ４３、記憶部４６などに記憶されているプログラムに従って動作し、カメラ５の機器登録、カウンタ値と時刻との対応の管理、撮影データ（後述の保存用撮影データ５０）へのタイムスタンプの発行などの各種処理を行う。 FIG. 5 is a block diagram for explaining an example of the hardware configuration of the center server 2.
The center server 2 includes a CPU 41, a ROM 42, a RAM 43, a clock 44, a communication unit 45, a storage unit 46, and the like connected by a bus line.
The CPU 41 operates in accordance with programs stored in the ROM 42, the RAM 43, the storage unit 46, and the like, and registers the device of the camera 5, manages the correspondence between the counter value and the time, and captures shooting data (stored shooting data 50 described later). Performs various processes such as issuing time stamps.

ＲＯＭ４２は、読み出し専用の記憶装置であって、ＣＰＵ４１を駆動するための基本的なプログラムやパラメータなどを格納している。
ＲＡＭ４３は、読み書き可能な記憶装置であって、ＣＰＵ４１が各種の情報処理を行う際のワーキングエリアを提供する。
通信部４５は、センタサーバ２をネットワーク４に接続するインターフェースである。
クロック４４は、時刻計測手段として機能する時計装置であり、開始カウンタ値や終了カウンタ値と対応する時刻を計測したり、送信用撮影データ４０にタイムスタンプを発行する際の証明時刻を提供する。 The ROM 42 is a read-only storage device, and stores basic programs and parameters for driving the CPU 41.
The RAM 43 is a readable / writable storage device and provides a working area when the CPU 41 performs various types of information processing.
The communication unit 45 is an interface that connects the center server 2 to the network 4.
The clock 44 is a clock device that functions as a time measuring unit, and measures the time corresponding to the start counter value and the end counter value, and provides a certification time when issuing a time stamp to the transmission photographing data 40.

記憶部４６は、例えば、ハードディスクなどの大容量の記憶媒体を用いて構成されており、図示したような各種プログラムやデータが格納されている。
機器登録プログラムは、カメラ５に機器証明書を発行し、カメラ５を機器登録データベースに登録するためのプログラムである。
タイムスタンプ発行要求プログラムは、カメラ５から受信した送信用撮影データ４０にタイムスタンプを発行するためのプログラムであり、タイムスタンプを発行・取得するほか、カメラ５のカウンタ値とこのカウンタ値を受信した際の時刻との対応関係の取得や、撮影データのデジタル署名の確認など、各種の情報処理を行う。 The storage unit 46 is configured using, for example, a large-capacity storage medium such as a hard disk, and stores various programs and data as illustrated.
The device registration program is a program for issuing a device certificate to the camera 5 and registering the camera 5 in the device registration database.
The time stamp issuance request program is a program for issuing a time stamp to the transmission shooting data 40 received from the camera 5. In addition to issuing and acquiring a time stamp, the counter value of the camera 5 and the counter value are received. Various kinds of information processing such as acquisition of correspondence with the time of the day and confirmation of the digital signature of the shooting data are performed.

機器登録データベースは、カメラ５の機器ＩＤと機器公開鍵などを登録したデータベースであり、カメラ５は、機器登録データベースで登録された後、各支店や代理店などに配布される。
撮影データデータベースは、タイムスタンプを発行した送信用撮影データ４０を蓄積したデータベースである。ここに蓄積された送信用撮影データ４０は、保険の査定などに使用される。
カウンタ値記憶領域は、カメラ５から送信されてきた開始カウンタ値や終了カウンタ値を、それぞれ開始時刻、終了時刻に対応づけて一時記憶する領域である。ここに記憶された対応関係は、後述の保存用撮影データを作成するのに用いられる。 The device registration database is a database in which the device ID and device public key of the camera 5 are registered. The camera 5 is distributed to each branch or agency after being registered in the device registration database.
The imaging data database is a database in which the transmission imaging data 40 that has issued time stamps is accumulated. The transmission photographing data 40 stored here is used for insurance assessment and the like.
The counter value storage area is an area for temporarily storing the start counter value and the end counter value transmitted from the camera 5 in association with the start time and the end time, respectively. The correspondence relationship stored here is used to create storage image data to be described later.

証明書用秘密鍵は、機器証明書にデジタル署名するための秘密鍵である。なお、図示しないが、記憶部４６には、証明書用秘密鍵に対応する証明書用公開鍵も記憶されており、センタサーバ２は、証明書用公開鍵により機器証明書を検証することができる。
センタサーバ秘密鍵は、センタサーバ公開鍵に対応する秘密鍵であり、カメラ５から送信されてきた送信用撮影データ４０（センタサーバ公開鍵で暗号化されている）を復号化するのに用いる。 The certificate private key is a private key for digitally signing the device certificate. Although not shown, the storage unit 46 also stores a certificate public key corresponding to the certificate private key, and the center server 2 can verify the device certificate using the certificate public key. it can.
The center server secret key is a secret key corresponding to the center server public key, and is used for decrypting the transmission shooting data 40 (encrypted with the center server public key) transmitted from the camera 5.

次に、図６を用いてカウンタ値と時刻の対応を説明する。
カメラ５がセンタサーバ２に送信した開始カウンタ値が１０００であり、センタサーバ２がカメラ５から開始カウンタ値を受信した際の時刻が１３時であったとする。
また、カメラ５がセンタサーバ２に送信した終了カウンタ値が６０００であり、センタサーバ２がカメラ５から終了カウンタ値を受信した際の時刻が１８時であったとする。
撮影データに記録されているカウンタ値が３５００であった場合、この撮影データに記録されている画像データの撮影時刻は次のように計算して１５時３０分となる。 Next, the correspondence between the counter value and the time will be described with reference to FIG.
Assume that the start counter value transmitted from the camera 5 to the center server 2 is 1000, and the time when the center server 2 receives the start counter value from the camera 5 is 13:00.
Further, it is assumed that the end counter value transmitted from the camera 5 to the center server 2 is 6000, and the time when the center server 2 receives the end counter value from the camera 5 is 18:00.
When the counter value recorded in the photographing data is 3500, the photographing time of the image data recorded in the photographing data is calculated as follows and becomes 15:30.

カウンタ値が６０００−１０００＝５０００増加するのに、１８時−１３時＝５時間を要している。即ち、１時間あたりカウンタ値は、５０００÷５＝１０００だけ増加する。
撮影時刻では、カウンタ値が３５００−１０００＝２５００だけ増加しているので、撮影時刻は、開始時刻から２５００÷１０００＝２．５時間経過した時刻である。即ち、撮影時刻は、１５時３０分となる。
このようにして、撮影データのユーザは、撮影データに記録されているカウンタ値、及び開始カウンタ値と開始時刻、終了カウンタ値と終了時刻から、画像データが撮影された時刻を算出することができる。
このように、カウンタ値は時刻と対応づけられるため、カウンタ２２は、カメラ５がオフラインの間、時刻を計測する時計装置として機能している。 It takes 18 hours to 13: 00 = 5 hours for the counter value to increase by 6000−1000 = 5000. That is, the counter value per hour increases by 5000 ÷ 5 = 1000.
Since the counter value is increased by 3500−1000 = 2500 at the photographing time, the photographing time is a time when 2500 ÷ 1000 = 2.5 hours have elapsed from the start time. That is, the photographing time is 15:30.
In this way, the user of the shooting data can calculate the time when the image data was shot from the counter value recorded in the shooting data, the start counter value and the start time, and the end counter value and the end time. .
Thus, since the counter value is associated with the time, the counter 22 functions as a clock device that measures the time while the camera 5 is offline.

また、単位時間当たりのカウンタ値が大きいほど、より細かく撮影時刻を特定することができる。そして、カウンタ２２の単位時間当たりのカウンタ値は、画像データの使用目的（ここでは、保険の査定）に十分な値が確保されている。
例えば、カウンタ２２が単位時間当たり（１秒当たり）１０００カウントする場合、１カウントは１ミリ秒に該当し、１００カウントする場合は、１０ミリ秒に該当する。
また、１分程度の精度で十分な場合は、例えば、１０秒当たりに１カウント程度で十分である。
このように、カウンタ２２の単位時間当たりのカウント値は、必要とされる精度を満たしていればよい。
なお、センタサーバ２は、カメラ５の単位時間当たりのカウント数を知っており（例えば、機器登録の際にカメラ５からセンタサーバ２に通知される）、開始時刻とカウント数を用いて撮影時刻を計算することもできる。 In addition, as the counter value per unit time is larger, the photographing time can be specified more finely. The counter value per unit time of the counter 22 is secured to a value sufficient for the purpose of use of the image data (in this case, insurance assessment).
For example, if the counter 22 counts 1000 per unit time (per second), 1 count corresponds to 1 millisecond, and 100 counts corresponds to 10 millisecond.
If an accuracy of about 1 minute is sufficient, for example, about 1 count per 10 seconds is sufficient.
Thus, the count value per unit time of the counter 22 only needs to satisfy the required accuracy.
The center server 2 knows the count number per unit time of the camera 5 (for example, notified to the center server 2 from the camera 5 at the time of device registration), and the shooting time using the start time and the count number. Can also be calculated.

次に、図７の各図を用いてセンタサーバ２が送信用撮影データ４０に対して行う情報処理について説明する。
図７（ａ）は、保存用撮影データの論理的な構成を示した模式図である。
保存用撮影データ５０は、センタサーバ２が送信用撮影データ４０（撮影データ１〜ｎ）に開始カウンタ値、終了カウンタ値、開始時刻、終了時刻、機器ＩＤ、その他の情報を付加したものである。
保存用撮影データ５０は、センタサーバ２が撮影データにタイムスタンプを発行するための中間データである。 Next, information processing performed by the center server 2 on the transmission shooting data 40 will be described with reference to FIGS.
FIG. 7A is a schematic diagram illustrating a logical configuration of storage image data.
The storage image data 50 is obtained by adding the start counter value, the end counter value, the start time, the end time, the device ID, and other information to the transmission image data 40 (image data 1 to n) by the center server 2. .
The storage photographing data 50 is intermediate data for the center server 2 to issue a time stamp to the photographing data.

図７（ｂ）は、タイムスタンプ付き保存用撮影データの論理的な構成を示した模式図である。
タイムスタンプ付き保存用撮影データ５１は、センタサーバ２が保存用撮影データ５０にタイムスタンプを発行したものである。
即ち、センタサーバ２が、タイムスタンプが証明する証明時刻やタイムスタンプの発行者などの情報を保存用撮影データ５０に付加したものである。
タイムスタンプ付き保存用撮影データ５１の正統性は、タイムスタンプ公開鍵証明書を用いて検証することができる。
このように、センタサーバ２は、撮影データ１〜ｎに一括してタイムスタンプを発行することができる。 FIG. 7B is a schematic diagram showing a logical configuration of the time-stamped image data for storage.
The time-stamped saved shooting data 51 is obtained by issuing a time stamp to the saving shot data 50 by the center server 2.
That is, the center server 2 adds information such as a certification time and a time stamp issuer certified by the time stamp to the storage photographing data 50.
The legitimacy of the time-stamped shooting data 51 can be verified using a time stamp public key certificate.
In this way, the center server 2 can issue time stamps to the photographing data 1 to n at a time.

次に、図８の各図を用いてセンタサーバ２の記憶部４６で記憶されているデータベースなどについて説明する。
図８（ａ）は、機器登録データベースの論理的な構成の一例を示した図である。
機器登録データベースは、「機器ＩＤ」、「機器公開鍵」、その他の項目から構成されている。
「機器ＩＤ」は、カメラ５の機器ＩＤであり、これによって、カメラ５を識別することができる。
「機器公開鍵」は、カメラ５から取得した機器公開鍵であり、機器ＩＤと対応づけて記憶されている。このように機器登録データベースは、公開鍵記憶手段として機能している。
この他に、例えば、カウンタ２２の単位時間当たりのカウント数、カメラ５の配布先、配布日時、型番、その他の情報を機器ＩＤと対応づけて記憶し、カメラ５の管理に利用することができる。 Next, the database etc. memorize | stored in the memory | storage part 46 of the center server 2 are demonstrated using each figure of FIG.
FIG. 8A is a diagram illustrating an example of a logical configuration of the device registration database.
The device registration database includes “device ID”, “device public key”, and other items.
“Device ID” is the device ID of the camera 5, and the camera 5 can be identified by this.
The “device public key” is a device public key acquired from the camera 5 and is stored in association with the device ID. Thus, the device registration database functions as public key storage means.
In addition to this, for example, the count number per unit time of the counter 22, the distribution destination of the camera 5, the distribution date and time, the model number, and other information can be stored in association with the device ID and used for management of the camera 5. .

図８（ｂ）は、撮影データデータベースの論理的な構成の一例を示した図である。
撮影データデータベースでは、タイムスタンプ付き保存用撮影データ５１が機器ＩＤと対応づけて記憶されている。
ここに記憶されたタイムスタンプ付き保存用撮影データ５１は、適当な端末にダウンロードされて保険査定に使用される。 FIG. 8B is a diagram illustrating an example of a logical configuration of the shooting data database.
In the photographic data database, time-stamped photographic data 51 for storage is stored in association with the device ID.
The stored photographing data 51 with a time stamp stored here is downloaded to an appropriate terminal and used for insurance assessment.

図８（ｃ）は、カウンタ値記憶領域の論理的な一例を示した図である。
この領域は、「機器ＩＤ」、「開始カウント値」、「開始時刻」、「終了カウント値」、「終了時刻」などの項目が確保可能となっている。
「機器ＩＤ」には、カメラ５から開始カウンタ値を受信した際に当該カメラ５の機器ＩＤが登録され、「開始カウンタ値」には、当該開始カウンタ値が登録される。そして、「開始時刻」には、開始カウンタ値を受信した際の時刻が登録される。
一方、「終了カウンタ値」には、カメラ５から受信した終了カウンタ値が登録され、「終了時刻」には、その際の時刻が登録される。
これらの情報は、送信用撮影データ４０から保存用撮影データ５０を生成するのに用いられる。これらの値は、使用後に消去してもよい。 FIG. 8C is a diagram showing a logical example of the counter value storage area.
In this area, items such as “device ID”, “start count value”, “start time”, “end count value”, and “end time” can be secured.
When the start counter value is received from the camera 5, the device ID of the camera 5 is registered in the “device ID”, and the start counter value is registered in the “start counter value”. In the “start time”, the time when the start counter value is received is registered.
On the other hand, the end counter value received from the camera 5 is registered in the “end counter value”, and the time at that time is registered in the “end time”.
These pieces of information are used to generate the saved shooting data 50 from the transmission shooting data 40. These values may be deleted after use.

次に、図９のフローチャートを用いて、センタサーバ２がカメラ５を機器登録する手順について説明する。
まず、カメラ５に非対称暗号鍵生成プログラム（図３）を実行させ、耐タンパ部２０内で機器秘密鍵と機器公開鍵のペアを生成させる（ステップ１０）。この作業は、例えば、カメラ５の製造者が行い、その後、カメラ５は保険会社に出荷される。 Next, a procedure in which the center server 2 registers the camera 5 as a device will be described using the flowchart of FIG.
First, the camera 5 is caused to execute an asymmetric encryption key generation program (FIG. 3) to generate a device private key / device public key pair in the tamper resistant unit 20 (step 10). This work is performed, for example, by the manufacturer of the camera 5, and then the camera 5 is shipped to an insurance company.

保険会社の担当者は、カメラ５を受け取ると、カメラ５をセンタサーバ２に接続し、カメラ５の機器ＩＤや機器公開鍵などをセンタサーバ２に送信する（ステップ１５）。
センタサーバ２は、これらの情報をカメラ５から受信し、機器登録データベースに記憶して機器登録する（ステップ２０）。
次に、センタサーバ２は、機器公開鍵、機器ＩＤなどを証明書用秘密鍵でデジタル署名して機器証明書を作成し（ステップ２５）、センタサーバ公開鍵証明書と共にカメラ５に送信する（ステップ３０）。
カメラ５は、機器証明書やセンタサーバ公開鍵証明書をセンタサーバ２から受信して耐タンパ部２０に記憶する（ステップ３５）。
以上の処理により、カメラ５は、センタサーバ２に機器登録され、支店等に配送される。 Upon receipt of the camera 5, the person in charge of the insurance company connects the camera 5 to the center server 2 and transmits the device ID, device public key, etc. of the camera 5 to the center server 2 (step 15).
The center server 2 receives the information from the camera 5, stores it in the device registration database, and registers the device (step 20).
Next, the center server 2 creates a device certificate by digitally signing the device public key, device ID, etc. with the certificate private key (step 25), and transmits it to the camera 5 together with the center server public key certificate (step 25). Step 30).
The camera 5 receives the device certificate and the center server public key certificate from the center server 2 and stores them in the tamper resistant unit 20 (step 35).
Through the above processing, the camera 5 is registered in the center server 2 and delivered to a branch office or the like.

次に、図１０のフローチャートを用いて、カメラ５を撮影に持ち出す前に行う処理について説明する。なお、以下でカメラ５が行う処理は、耐タンパ部２０が行う。
まず、カメラ５は、端末３を介してセンタサーバ２に接続される。センタサーバ２に接続された後、カメラ５は、機器証明書をセンタサーバ公開鍵で暗号化してセンタサーバ２に送信する（ステップ５０）。
本実施の形態では、機器証明書によりカメラ５を機器認証するが、カメラ５が機器認証できれば他の情報を用いてもよい。 Next, processing that is performed before the camera 5 is taken out will be described with reference to the flowchart of FIG. In addition, the process which the camera 5 performs below is performed by the tamper resistant unit 20.
First, the camera 5 is connected to the center server 2 via the terminal 3. After being connected to the center server 2, the camera 5 encrypts the device certificate with the center server public key and transmits it to the center server 2 (step 50).
In this embodiment, the camera 5 is device-authenticated by the device certificate, but other information may be used as long as the camera 5 can perform device authentication.

センタサーバ２は、カメラ５から機器証明書を受信し、これを用いて機器認証する（ステップ５５）。
この機器認証は、機器証明書をセンタサーバ秘密鍵で復号化し、証明書用公開鍵で機器証明書の正当性を確認することにより行われる。
このように、センタサーバ２は、自己が発行した機器証明書をカメラ５が有していることを確認することにより、カメラ５を機器認証する。 The center server 2 receives the device certificate from the camera 5 and performs device authentication using the device certificate (step 55).
This device authentication is performed by decrypting the device certificate with the center server private key and confirming the validity of the device certificate with the certificate public key.
In this way, the center server 2 authenticates the camera 5 by confirming that the camera 5 has the device certificate issued by itself.

また、変形例として、機器ＩＤや機器証明書を機器秘密鍵でデジタル署名し、これをセンタサーバ公開鍵で暗号化したものを機器認証情報とすることもできる。
この場合、センタサーバ２は、これをセンタサーバ秘密鍵で復号化した後、機器ＩＤを用いて機器登録データベースから機器公開鍵を検索する。そして、機器公開鍵でデジタル署名を検証した後、証明書公開鍵を用いて機器証明書を検証する。
この例では、センタサーバ２は、カメラ５が機器証明書を有していることに加え、機器秘密鍵を有していることを確認することができる。 As a modified example, a device ID or device certificate digitally signed with a device private key and encrypted with a center server public key can be used as device authentication information.
In this case, the center server 2 retrieves the device public key from the device registration database using the device ID after decrypting it with the center server private key. Then, after verifying the digital signature with the device public key, the device certificate is verified using the certificate public key.
In this example, the center server 2 can confirm that the camera 5 has a device secret key in addition to having a device certificate.

以上のようにして機器認証が成功すると、センタサーバ２は、カメラ５に機器認証が成功したことを通知する。
カメラ５は、機器認証が成功すると、現在のカウンタ値を初期カウンタ値としてセンタサーバ２に送信する（ステップ５７）。このように、カメラ５は、カウンタ値送信手段（第１のカウンタ値送信手段）を備えている。
センタサーバ２は、カメラ５から初期カウンタ値を受信し、その際の現在時刻を開始時刻としてクロック４４（図３）から取得する。
そして、センタサーバ２は、機器ＩＤと対応づけて、初期カウンタ値と開始時刻をカウンタ値記憶領域に記憶する（ステップ６０）。このように、センタサーバ２は、カウンタ値と時刻の対応を取得する対応関係取得手段を備えている。
なお、開始時刻の決定は、ネットワークの遅延を考慮するなど、適当な補正を行ってもよい。 When the device authentication is successful as described above, the center server 2 notifies the camera 5 that the device authentication is successful.
When the device authentication is successful, the camera 5 transmits the current counter value as an initial counter value to the center server 2 (step 57). As described above, the camera 5 includes counter value transmission means (first counter value transmission means).
The center server 2 receives the initial counter value from the camera 5, and acquires it from the clock 44 (FIG. 3) with the current time at that time as the start time.
Then, the center server 2 stores the initial counter value and the start time in the counter value storage area in association with the device ID (step 60). As described above, the center server 2 includes correspondence relationship acquisition means for acquiring the correspondence between the counter value and the time.
Note that the start time may be determined by appropriate correction such as taking into account the delay of the network.

次に、センタサーバ２は、有効期限情報を生成してカメラ５に送信する（ステップ６５）。
有効期限情報は、カメラ５が、撮影データをセンタサーバ２に送信することができる期限を規定する情報であり、例えば、期限に該当する日時及び時刻などから構成されている。
カメラ５は、センタサーバ２から有効期限情報を受信し、ＥＥＰＲＯＭ２５に記憶する（ステップ７０）。
以上の処理を経た後、カメラ５は、センタサーバ２との接続を終了してオフラインとなり、有効期限内において自由に使用することができる。 Next, the center server 2 generates expiration date information and transmits it to the camera 5 (step 65).
The expiration date information is information that defines a time limit during which the camera 5 can transmit the photographed data to the center server 2 and includes, for example, a date and time corresponding to the time limit.
The camera 5 receives the expiration date information from the center server 2 and stores it in the EEPROM 25 (step 70).
After passing through the above processing, the camera 5 ends connection with the center server 2 and goes offline, and can be used freely within the expiration date.

次に、図１１のフローチャートを用いてカメラ５で被写体を撮影する場合の処理について説明する。
撮影担当者は、カメラ５を端末３から取り外してオフランとし、撮影現場に携行する。そして、カメラ５を起動し、カメラ５を撮影可能な状態にする。
カメラ５は、起動すると、耐タンパ部２０に記憶されている有効期限情報を参照し、表示部に有効期限を表示する（ステップ１０５）。これによって、撮影担当者は、有効期限内であること認識することができる。
なお、有効期限は、カメラ５が起動していない間も常時表示されるように構成したり、あるいは有効期限に近づくとアラームを発するように構成したりすることもできる。 Next, processing when the subject is photographed by the camera 5 will be described using the flowchart of FIG.
The person in charge of photographing removes the camera 5 from the terminal 3 to go off-run and carries it to the photographing site. Then, the camera 5 is activated to make the camera 5 ready for photographing.
When the camera 5 is activated, the camera 5 refers to the expiration date information stored in the tamper resistant unit 20 and displays the expiration date on the display unit (step 105). Thereby, the person in charge of photographing can recognize that it is within the expiration date.
Note that the expiration date can be configured to be always displayed even when the camera 5 is not activated, or can be configured to issue an alarm when the expiration date approaches.

撮影担当者は、有効期限内であることを確認した後、被写体の撮影を実行する（ステップ１１０）。
撮影の実行は、カメラ部３３が、焦点距離や絞りなどを調節して被写体の投影像をＣＣＤに結像し、カメラ部３３がこれを画像データに変換することにより行われる。
カメラ５は、このようにして画像データを取得し（ステップ１１５）、これを耐タンパ部２０に入力する。 After confirming that the person in charge of shooting is within the expiration date, the person in charge of photographing performs photographing of the subject (step 110).
The shooting is performed by the camera unit 33 adjusting the focal length, the aperture, and the like to form a projected image of the subject on the CCD, and the camera unit 33 converting the image into image data.
The camera 5 acquires the image data in this way (step 115) and inputs it to the tamper resistant unit 20.

耐タンパ部２０は、画像データを取得すると、その際のカウンタ値をカウンタ２２から取得する（ステップ１２０）。
次に、耐タンパ部２０は、ＧＰＳ部３４から現在位置を特定する位置情報を取得する（ステップ１２５）。
更に、耐タンパ部２０は、カメラ部３３から画像データを撮影した際の撮影情報を取得する（ステップ１３０）。 When acquiring the image data, the tamper resistant unit 20 acquires the counter value at that time from the counter 22 (step 120).
Next, the tamper resistant part 20 acquires position information specifying the current position from the GPS part 34 (step 125).
Further, the tamper resistant part 20 acquires shooting information when the image data is shot from the camera part 33 (step 130).

次に、耐タンパ部２０は、画像データにカウンタ値、位置情報、及び撮影情報などを付加して撮影データを生成する。
次に、耐タンパ部２０は、例えば、ハッシュ値を計算するなどして、撮影データのダイジェストを生成し（ステップ１３５）、これを機器秘密鍵で暗号化することによりデジタル署名を作成する（ステップ１４０）。
次に、耐タンパ部２０は、撮影データにデジタル署名を付加して記憶部３６に出力する（ステップ１４５）。
撮影担当者が更に撮影を続行する場合、カメラ５は、ステップ１１０に戻り、撮影を終了する場合は、撮影処理を終了する。
以上のようにして、記憶部３６に、撮影データが蓄積されていく。 Next, the tamper resistant unit 20 adds the counter value, position information, shooting information, and the like to the image data to generate shooting data.
Next, the tamper resistant unit 20 generates a digest of the photographic data, for example, by calculating a hash value (step 135), and creates a digital signature by encrypting it with the device private key (step 135). 140).
Next, the tamper resistant unit 20 adds a digital signature to the photographed data and outputs it to the storage unit 36 (step 145).
When the person in charge of photographing continues to photograph, the camera 5 returns to step 110, and when the photographing ends, the photographing process is terminated.
As described above, the photographing data is accumulated in the storage unit 36.

次に、図１２のフローチャートを用いて、撮影データをセンタサーバ２に送信する手順について説明する。
撮影担当者は、撮影を終えて支店等に戻ると、端末３を介してカメラ５をセンタサーバ２に接続する。
カメラ５は、現在が有効期限内であることを確認する（ステップ２０５）。有効期限を経過している場合、カメラ５は、撮影データの送信処理を中断し、例えば、アラームを発して担当者に有効期限切れを知らせる。 Next, a procedure for transmitting photographing data to the center server 2 will be described using the flowchart of FIG.
When the person in charge of photographing finishes photographing and returns to the branch or the like, the camera 5 connects the camera 5 to the center server 2 via the terminal 3.
The camera 5 confirms that the current time is within the expiration date (step 205). If the expiration date has passed, the camera 5 interrupts the photographing data transmission process and, for example, issues an alarm to notify the person in charge of the expiration date.

有効期限内である場合、カメラ５は、機器証明書をセンタサーバ２に送信する（ステップ２１０）。
このように、カメラ５が有する記録データ送信手段は、有効期間内において記録データ（送信用撮影データ４０）を送信する。
センタサーバ２は、カメラ５から機器証明書を受信して機器認証を行う（ステップ２１５）。この際にセンタサーバ２においても有効期限の確認を行うように構成することもできる。
機器認証が成功すると、センタサーバ２は、カメラ５に機器認証が成功したことを通知する。 If it is within the expiration date, the camera 5 transmits a device certificate to the center server 2 (step 210).
As described above, the recording data transmission means of the camera 5 transmits the recording data (transmission shooting data 40) within the effective period.
The center server 2 receives the device certificate from the camera 5 and performs device authentication (step 215). At this time, the center server 2 can also be configured to check the expiration date.
When the device authentication is successful, the center server 2 notifies the camera 5 that the device authentication is successful.

カメラ５は、機器認証が成功すると、現在のカウンタ値を終了カウンタ値としてセンタサーバ２に送信する（ステップ２１７）。このように、カメラ５は、カウンタ値送信手段（第２のカウンタ値送信手段）を備えている。
センタサーバ２は、カメラ５から終了カウンタ値を受信すると共に、その際の現在時刻を終了時刻としてクロック４４から取得する。そして、センタサーバ２は、機器ＩＤに対応づけて、終了カウンタ値と終了時刻をカウンタ値記憶領域に記憶する（ステップ２２０）。このように、センタサーバ２は、カメラ５が画像データを生成する前と生成した後のカウンタ値を受信し、これらカウンタ値と時刻の対応を取得する対応関係取得手段を備えている。
これによって、カウンタ値記憶領域には、機器ＩＤに対応づけられて、開始カウンタ値、開始時刻、終了カウンタ値、及び終了時刻が記憶される。 When the device authentication is successful, the camera 5 transmits the current counter value as the end counter value to the center server 2 (step 217). As described above, the camera 5 includes counter value transmission means (second counter value transmission means).
The center server 2 receives the end counter value from the camera 5 and acquires the current time at that time from the clock 44 as the end time. Then, the center server 2 stores the end counter value and the end time in the counter value storage area in association with the device ID (step 220). As described above, the center server 2 includes correspondence relationship acquisition means for receiving counter values before and after the camera 5 generates image data and acquiring the correspondence between these counter values and time.
Thus, the counter value storage area stores the start counter value, the start time, the end counter value, and the end time in association with the device ID.

センタサーバ２は、カウンタ値記憶領域にこれらのデータを記憶すると、次のようにして終了カウンタ値が適切か否かを確認する（ステップ２２３）。
センタサーバ２は、カウンタ２２の単位時間当たりのカウント数を記憶している。
そのため、初期カウンタ値に、終了時刻と開始時刻の時間差に単位時間当たりのカウント数を乗じたものを加えたもの［初期カウンタ値＋（終了時刻−開始時刻）×単位時間当たりのカウント数］が終了カウンタ値に（カウンタ２２の精度内で）等しくなる筈である。
センタサーバ２は、カウンタ２２の精度を考慮したしきい値を記憶しており、終了カウンタ値と計算値の差がしきい値以内である場合、終了カウンタ値は適切であると判断する。 After storing these data in the counter value storage area, the center server 2 checks whether or not the end counter value is appropriate as follows (step 223).
The center server 2 stores a count number per unit time of the counter 22.
Therefore, the value obtained by adding the initial counter value to the time difference between the end time and the start time multiplied by the count number per unit time [initial counter value + (end time−start time) × count number per unit time] is It should be equal to the end counter value (within the accuracy of counter 22).
The center server 2 stores a threshold value in consideration of the accuracy of the counter 22, and determines that the end counter value is appropriate when the difference between the end counter value and the calculated value is within the threshold value.

センタサーバ２は、予め設定された値をしきい値として記憶しておいてもよいし、あるいは、開始時刻と終了時刻の時間差からしきい値を計算するようにしてもよい。後者の場合は、時間差が小さいほどしきい値が小さくなるように計算され、より厳密に終了カウンタ値の確認を行うことができる。
このように終了カウンタ値の確認を行うことにより、例えば、カウンタ２２が故障している場合など、カメラ５に何らかのトラブルが発生している場合、これを検知できる可能性が高まる。 The center server 2 may store a preset value as a threshold value, or may calculate the threshold value from the time difference between the start time and the end time. In the latter case, the smaller the time difference is, the smaller the threshold value is calculated, and the end counter value can be checked more strictly.
By confirming the end counter value in this way, for example, when there is some trouble in the camera 5, such as when the counter 22 is out of order, the possibility that this can be detected increases.

終了カウンタ値が適切であると認められた場合、センタサーバ２は、カメラ５に撮影データの送信を要求する（ステップ２２５）。終了カウンタ値が適切でなかった場合、センタサーバ２は、カメラ５にアラームを送信し、以降の処理を中断する。
カメラ５は、センタサーバ２から撮影データの送信を要求されると、撮影データ１〜ｎを用いて送信用撮影データ４０（図４）を生成し、センタサーバ公開鍵で暗号化してセンタサーバ２に送信する（ステップ２３０）。このようにカメラ５は、記録データ送信手段を備えている。 When it is determined that the end counter value is appropriate, the center server 2 requests the camera 5 to transmit photographing data (step 225). If the end counter value is not appropriate, the center server 2 transmits an alarm to the camera 5 and interrupts the subsequent processing.
When the camera 5 is requested to transmit the shooting data from the center server 2, the camera 5 generates the shooting data 40 for transmission (FIG. 4) using the shooting data 1 to n, encrypts it with the center server public key, and the center server 2. (Step 230). As described above, the camera 5 includes recording data transmission means.

センタサーバ２は、カメラ５から送信用撮影データ４０を受信し、これをサンタサーバ秘密鍵で復号化してＲＡＭ４３などに一時記憶する。このように、センタサーバ２は、記録データ受信手段を備えている。
次に、センタサーバ２は、カメラ５の機器ＩＤを用いて当該カメラ５の機器公開鍵を機器登録データベースから取得し、これを用いて送信用撮影データ４０に含まれる撮影データ１〜ｎの各々についてデジタル署名を確認する（ステップ２３５）。このように、センタサーバ２は、署名確認手段を備えている。
デジタル署名により、正統性が証明できなかった撮影データが存在した場合、センタサーバ２は、例えば、その撮影データを無効にしたり、あるいは、全ての撮影データを無効にするなど、所定の処理を行う。 The center server 2 receives the transmission shooting data 40 from the camera 5, decrypts it with the Santa server private key, and temporarily stores it in the RAM 43 or the like. As described above, the center server 2 includes recording data receiving means.
Next, the center server 2 acquires the device public key of the camera 5 from the device registration database using the device ID of the camera 5, and uses each of the shooting data 1 to n included in the transmission shooting data 40 using the device public key. The digital signature is confirmed for (step 235). As described above, the center server 2 includes signature confirmation means.
When there is shooting data whose legitimacy cannot be proved by the digital signature, the center server 2 performs predetermined processing such as invalidating the shooting data or invalidating all the shooting data, for example. .

撮影データ１〜ｎのデジタル署名が確認できた場合、センタサーバ２は、カメラ５の機器ＩＤを用いて、カウンタ値記憶領域（図８（ｃ））から、初期カウンタ値、開始時刻、終了カウンタ値、及び終了時刻を取得する。
そして、センタサーバ２は、検索したこれらのデータなどを送信用撮影データ４０に付加して保存用撮影データ５０（図７（ａ））を生成する（ステップ２４０）。 When the digital signatures of the photographing data 1 to n can be confirmed, the center server 2 uses the device ID of the camera 5 to read the initial counter value, start time, and end counter from the counter value storage area (FIG. 8C). Get value and end time.
Then, the center server 2 adds the searched data and the like to the transmission shooting data 40 to generate the storage shooting data 50 (FIG. 7A) (step 240).

次に、センタサーバ２は、保存用撮影データ５０に現在時刻を証明時刻として付与してダイジェストを生成し、これをタイムスタンプ発行局あるいはタイムスタンプサーバに対してタイムスタンプの発行要求をする（ステップ２５０）。
このように、センタサーバ２は、タイムスタンプ発行手段を備えており、このタイムスタンプ発行手段にタイムスタンプの発行を要求して（タイムスタンプ要求手段）タイムスタンプを発行させる。
そして、センタサーバ２は、タイムスタンプ付き保存用撮影データ５１（図７（ｂ））を撮影データデータベースに記憶する（ステップ２５５）。
このように、センタサーバ２は、タイムスタンプが発行された保存用記録データ（保存用撮影データ５０）を取得する保存用記録データ取得手段を備えている。 Next, the center server 2 generates a digest by giving the current time to the archival data 50 as a certification time, and issues a time stamp issuance request to the time stamp issuing station or the time stamp server (step). 250).
As described above, the center server 2 includes a time stamp issuing unit, and requests the time stamp issuing unit to issue a time stamp (time stamp requesting unit) to cause the time stamp to be issued.
Then, the center server 2 stores the time-stamped saved shooting data 51 (FIG. 7B) in the shooting data database (step 255).
As described above, the center server 2 includes storage record data acquisition means for acquiring storage record data (storage image data 50) issued with a time stamp.

次に、センタサーバ２に記憶されたタイムスタンプ付き保存用撮影データ５１の利用方法について説明する。
ユーザ（例えば、保険査定の担当者）は、社内のユーザ端末などからセンタサーバ２にアクセスし、所望のタイムスタンプ付き保存用撮影データ５１をダウンロードする。
ユーザ端末にタイムスタンプ公開鍵を記憶しておくことにより、利用者は、タイムスタンプ付き保存用撮影データ５１のタイムスタンプの正統性を確認することができる。 Next, a method of using the time-stamped shooting data 51 stored in the center server 2 will be described.
A user (for example, a person in charge of insurance assessment) accesses the center server 2 from an in-house user terminal or the like, and downloads desired shooting data 51 with a time stamp.
By storing the time stamp public key in the user terminal, the user can confirm the legitimacy of the time stamp of the time-stamped saved shooting data 51.

タイムスタンプ付き保存用撮影データ５１に含まれている撮影データ１〜ｎの正統性は、既にセンタサーバ２によって保証されているので、ユーザは、所望の撮影データをタイムスタンプ付き保存用撮影データ５１から取得して利用する。
ユーザ端末は、画像データ、撮影場所の位置情報、撮影情報を、撮影データから取得することができる。
撮影時刻に関しては、ユーザ端末は、図６に示したように、撮影データに記されている開始カウンタ値、開始時刻、終了カウンタ値、及び終了時刻から計算する。
以上のようにして、ユーザは、所望の画像データ、画像データの撮影時刻、撮影位置、及び撮影情報を得ることができる。 Since the authenticity of the shooting data 1 to n included in the storage data 51 with time stamp is already guaranteed by the center server 2, the user can set the desired shooting data with the storage data 51 with time stamp. Obtain from and use.
The user terminal can acquire image data, shooting location information, and shooting information from the shooting data.
As shown in FIG. 6, the user terminal calculates the shooting time from the start counter value, start time, end counter value, and end time described in the shooting data.
As described above, the user can obtain desired image data, a shooting time, a shooting position, and shooting information of the image data.

以上に説明した本実施の形態により、次のような効果を得ることができる。
（１）カメラ５で撮影した画像データに撮影時刻、撮影位置、撮影情報等を加えてデジタル署名を行うことができる。これによって、画像データの撮影時刻や撮影位置を証明することができる。また、デジタル署名を行うモジュールは耐タンパ部２０内に収納されているため、これらの情報が改竄されていないことを保証することができる。
（２）カウンタ２２を耐タンパ部２０内に設けるため、カウンタ２２の不正操作を防ぐことができる。
（３）撮影時刻はカウンタ値によって与えられるため、カメラ５が計測している時刻を時刻補正することなく、画像データに時刻情報を付与することができる。
（４）オフラインで画像データの撮影ができるため、カメラ５をネットワークに接続できない環境下でも撮影を行うことができる。保険査定用の写真撮影の場合、例えば、山中、離島、海上など、ネットワーク環境が劣悪な現場での撮影機会も多いので、オフラインで使用できることは非常に有効である。 According to the embodiment described above, the following effects can be obtained.
(1) A digital signature can be performed by adding a shooting time, a shooting position, shooting information, and the like to image data shot by the camera 5. Thereby, the photographing time and photographing position of the image data can be proved. In addition, since the module for performing the digital signature is stored in the tamper-proof portion 20, it can be assured that these pieces of information have not been tampered with.
(2) Since the counter 22 is provided in the tamper-resistant portion 20, unauthorized operation of the counter 22 can be prevented.
(3) Since the photographing time is given by a counter value, time information can be given to the image data without correcting the time measured by the camera 5.
(4) Since the image data can be taken offline, the image can be taken even in an environment where the camera 5 cannot be connected to the network. In the case of taking pictures for insurance assessment, for example, there are many opportunities for taking pictures at sites where the network environment is inferior, such as in the mountains, remote islands, or at sea, so it is very effective to be able to use it offline.

なお、本実施の形態では、保存用撮影データ５０に、開始カウンタ値と開始時刻の組と、終了カウンタ値と終了時刻の組を記録したが、カウンタの単位時間当たりのカウント数が分かっている場合は、何れか一方を記録するように構成することもできる。
この場合、両方の組を記録した場合に比べて信頼度は低下するが、撮影時刻を特定することはできる。
例えば、開始カウンタ値と開始時刻が記録されている場合、撮影時刻は、［開始時刻＋（開始カウンタ値−撮影時のカウンタ値）÷単位時間当たりのカウント数］により求めることができる。 In the present embodiment, the set of the start counter value and the start time and the set of the end counter value and the end time are recorded in the storage photographing data 50, but the count number per unit time of the counter is known. In some cases, either one of them may be recorded.
In this case, the reliability is lower than when both sets are recorded, but the shooting time can be specified.
For example, when the start counter value and the start time are recorded, the shooting time can be obtained by [start time + (start counter value−counter value at the time of shooting) ÷ count number per unit time].

また、本実施の形態では、記録装置としてカメラ５を用い、画像データを記録対象の情報のデジタルデータとしたが、本実施の形態は、これに限定せず、火山ガス濃度の測定、騒音測定、大気汚染物質の測定、水質検査、地震測定、土木建築工事記録画像データなど、各種のものを対象とすることができる。
例えば、湖の水質検査を行う場合、検査装置に、本実施の形態の耐タンパ部２０を備え、水質の検査データに、検査時刻（カウンタ値）及び検査位置などを付加してデジタル署名するように構成することができる。 In the present embodiment, the camera 5 is used as the recording device, and the image data is digital data of information to be recorded. However, the present embodiment is not limited to this, and the measurement of volcanic gas concentration and noise measurement are performed. Various items such as air pollutant measurement, water quality inspection, earthquake measurement, and civil engineering construction record image data can be targeted.
For example, when performing a water quality inspection of a lake, the inspection apparatus is provided with the tamper resistant unit 20 of the present embodiment, and a digital signature is made by adding an inspection time (counter value), an inspection position, etc. to the water quality inspection data. Can be configured.

次に、本実施の形態の変形例について説明する。
先に説明した実施の形態では、画像データ撮影の際に、ＧＰＳ部３４で位置情報を取得したが、例えば、トンネル内、地下室、高層ビル街、渓谷部、水面下など、ＧＰＳ信号が受信できない場所で画像データの撮影を行う場合がある。
このようなＧＰＳ信号が届かない地域でＧＰＳ信号を受信する技術が、特開２００２−３６５３５６公報で提案されている。
この技術は、ＧＰＳ信号が届かない場所で、ＧＰＳ信号の再放射を行うものである。
しかし、全ての施設等に再放射用の設備を導入することは現実的ではない。更に、カメラ５の場合、撮影現場は任意に発生する。
そこで、本変形例では、ＧＰＳ信号が受信困難な場所でも位置情報が記録できるようにする。 Next, a modification of the present embodiment will be described.
In the above-described embodiment, the position information is acquired by the GPS unit 34 at the time of image data shooting. However, GPS signals cannot be received in, for example, tunnels, basements, high-rise buildings, valleys, and under water. Image data may be taken at a place.
Japanese Patent Application Laid-Open No. 2002-365356 proposes a technique for receiving a GPS signal in an area where the GPS signal does not reach.
This technique re-radiates a GPS signal in a place where the GPS signal does not reach.
However, it is not realistic to introduce re-radiation equipment to all facilities. Further, in the case of the camera 5, the shooting site is arbitrarily generated.
Therefore, in this modification, position information can be recorded even in places where GPS signals are difficult to receive.

図１３は、本変形例に係るカメラ５のハードウェア的な構成の一例を説明するためのブロック図である。
本実施の形態で説明した図３と同じ構成要素には同じ符号を付して説明を簡略化し、重複する説明は省略することにする。
本変形例に係るカメラ５の耐タンパ部２０は、所定のタイミングごとにＧＰＳ部３４から位置情報を取得し、更にカウンタ２２からその際のカウンタ値を取得する。そして、耐タンパ部２０は、これらの対であるカウンタ値位置セットをＲＡＭ２４設けられたカウンタ値位置セット記憶領域（カウンタ値位置セット記憶手段）に記憶する。 FIG. 13 is a block diagram for explaining an example of the hardware configuration of the camera 5 according to the present modification.
The same components as those in FIG. 3 described in this embodiment are denoted by the same reference numerals, and the description will be simplified, and redundant description will be omitted.
The tamper resistant unit 20 of the camera 5 according to the present modification acquires position information from the GPS unit 34 at every predetermined timing, and further acquires a counter value at that time from the counter 22. Then, the tamper resistant unit 20 stores the counter value position set as a pair in a counter value position set storage area (counter value position set storage means) provided in the RAM 24.

所定のタイミングは、例えば、１秒につき１回など、一定時間間隔で周期的に発生するようになっている。
そして、耐タンパ部２０は、次のタイミングでカウンタ値位置セットを新たに取得すると、これによってカウンタ値位置セット記憶領域を上書きする。
即ち、ＧＰＳ部３４で位置情報が検出できる間、カウンタ値位置セット記憶領域には、常に最新のカウンタ値位置セットが記憶される。 The predetermined timing is generated periodically at regular time intervals, for example, once per second.
When the counter value position set is newly acquired at the next timing, the tamper resistant part 20 overwrites the counter value position set storage area.
That is, while the position information can be detected by the GPS unit 34, the latest counter value position set is always stored in the counter value position set storage area.

図１４は、本変形例に係る送信用撮影データ４０の論理的な構成を模式的に表した図である。
耐タンパ部２０は、画像データの撮影の際に、ＧＰＳ部３４で現在位置の位置情報が取得できた場合（即ち、ＧＰＳ信号が届く場所で撮影した場合）、先に本実施の形態で説明した場合と同様にして撮影データを生成する。
一方、画像データの撮影の際に、ＧＰＳ部３４で現在位置の位置情報が取得できなかった場合（即ち、ＧＰＳ信号が届かない場所で撮影した場合）、耐タンパ部２０は、位置情報の代わりに、ＲＡＭ２４のカウンタ値位置セットを撮影データに記録する。図１４では、カウンタ値位置セットを「位置情報（カウンタ値）」と記してある。このように、耐タンパ部２０は、記録データ生成手段を備えている。 FIG. 14 is a diagram schematically illustrating a logical configuration of transmission image data 40 according to the present modification.
The tamper resistant unit 20 will be described in the present embodiment first when the GPS unit 34 can acquire the position information of the current position when shooting image data (that is, when shooting is performed at a location where GPS signals reach). Shooting data is generated in the same manner as described above.
On the other hand, when the position information of the current position cannot be acquired by the GPS unit 34 when the image data is captured (that is, when the image is captured in a place where the GPS signal does not reach), the tamper resistant unit 20 replaces the position information. In addition, the counter value position set of the RAM 24 is recorded in the photographing data. In FIG. 14, the counter value position set is described as “position information (counter value)”. As described above, the tamper resistant unit 20 includes a recording data generating unit.

このように、本変形例のカメラ５は、画像データを撮影した際に位置情報が得られなかった場合、当該画像データを撮影した際のカウンタ値と、最後に得られたカウンタ値位置セットを撮影データに記録する。
撮影した際のカウンタ値と、カウンタ値位置セットに含まれるカウンタ値の差からは、最後に位置情報が得られてから画像データが撮影されたまでの時間差を計算することができる。
そのため、この画像データは、カウンタ値位置セットで特定される地点から、当該時間差内に移動できる範囲で撮影されたことが分かる。これによって、撮影データのユーザは、撮影場所を絞ることができる。
即ち、画像データのユーザは、画像データを撮影した時の最も最近の位置情報とカウンタ値を知ることにより、おおよその撮影位置を推測することができる。 As described above, when the position information is not obtained when the image data is captured, the camera 5 of the present modification example uses the counter value obtained when the image data is captured and the counter value position set obtained last. Record in shooting data.
From the difference between the counter value at the time of shooting and the counter value included in the counter value position set, the time difference from when the position information was last obtained until the image data was shot can be calculated.
Therefore, it can be seen that the image data was captured within a range that can move within the time difference from the point specified by the counter value position set. As a result, the user of the shooting data can narrow down the shooting location.
That is, the user of the image data can estimate the approximate shooting position by knowing the latest position information and counter value when the image data was shot.

次に、図１５のフローチャートを用いて、本変形例のカメラ５で被写体を撮影する場合の処理について説明する。先に説明した図１１と同じ処理には同じステップ番号を付し、説明を簡略化、あるいは省略することにする。
なお、フローチャートには示さないが、カメラ５は、カウンタ値位置セットを取得してＲＡＭ２４のカウンタ値位置セット記憶領域に上書きする処理を所定タイミングごとに繰り返している。 Next, processing in the case of photographing a subject with the camera 5 of the present modification will be described using the flowchart of FIG. The same processes as those in FIG. 11 described above are denoted by the same step numbers, and the description will be simplified or omitted.
Although not shown in the flowchart, the camera 5 repeats the process of acquiring the counter value position set and overwriting the counter value position set storage area of the RAM 24 at predetermined timings.

ステップ１０５〜ステップ１２０の処理は、図１１と同じである。
ステップ１２０で、カウンタ値を取得した後、耐タンパ部２０は、ＧＰＳ部３４から位置情報が取得できるか否か確認する。
ＧＰＳ部３４から位置情報が取得できない場合（ステップ１２３；Ｎ）、耐タンパ部２０は、ＲＡＭ２４のカウンタ値位置セット記憶領域から、カウンタ値位置セットを読み出す（ステップ１２７）。 The processing from step 105 to step 120 is the same as that in FIG.
In step 120, after obtaining the counter value, the tamper resistant part 20 checks whether or not position information can be obtained from the GPS part 34.
When position information cannot be acquired from the GPS unit 34 (step 123; N), the tamper resistant unit 20 reads the counter value position set from the counter value position set storage area of the RAM 24 (step 127).

一方、ＧＰＳ部３４から位置情報が取得できる場合（ステップ１２３；Ｙ）、耐タンパ部２０は、ＧＰＳ部３４から位置情報を取得する（ステップ１２５）。
以降の、ステップ１３０〜ステップ１５０の処理は図１１と同じである。また、生成された撮影データは、実施の形態と同様にセンタサーバ２に送信され、タイムスタンプ付き保存用撮影データ５１に加工されて保存される。
撮影データの利用者は、撮影データの位置情報が、カウンタ値位置セットとなっていることにより、ＧＰＳ信号が届かない場所で撮影されたものであることを認識することができる。 On the other hand, when position information can be acquired from the GPS unit 34 (step 123; Y), the tamper resistant unit 20 acquires position information from the GPS unit 34 (step 125).
The subsequent processing from step 130 to step 150 is the same as that in FIG. Further, the generated shooting data is transmitted to the center server 2 as in the embodiment, and is processed and stored into the saving shooting data 51 with a time stamp.
The user of the shooting data can recognize that the shooting data was shot in a place where the GPS signal does not reach because the position information of the shooting data is the counter value position set.

以上のようにして、本変形例のカメラ５は、撮影の際にＧＰＳ信号を受信できる場合は、先に説明した本実施の形態と同じ撮影データを生成し、ＧＰＳ信号を受信できない場合は、最も最近の位置情報と当該位置情報を取得したカウンタ値を含む撮影データを生成すことができる。
これによって、ＧＰＳ信号が届かない場所で撮影された画像データであっても、ユーザは、おおよその撮影場所が推測できる。 As described above, when the camera 5 of the present modification can receive a GPS signal at the time of shooting, the camera 5 generates the same shooting data as in the above-described embodiment, and when the GPS signal cannot be received, Shooting data including the latest position information and a counter value from which the position information is acquired can be generated.
As a result, even if the image data is taken at a place where the GPS signal does not reach, the user can estimate the approximate place of photography.

本実施の形態の概要を説明するための図である。It is a figure for demonstrating the outline | summary of this Embodiment. 画像データ収集システムのネットワーク構成を示した図である。It is the figure which showed the network structure of the image data collection system. カメラのハードウェア的な構成を説明するための図である。It is a figure for demonstrating the hardware-like structure of a camera. 送信用撮影データの論理的な構成を模式的に表した図である。It is the figure which represented typically the logical structure of the imaging | photography data for transmission. センタサーバのハードウェア的な構成を説明するためのブロック図である。It is a block diagram for demonstrating the hardware-like structure of a center server. カウンタ値と時刻の対応を説明するための図である。It is a figure for demonstrating a response | compatibility with a counter value and time. センタサーバが送信用撮影データに対して行う情報処理について説明するための図である。It is a figure for demonstrating the information processing which a center server performs with respect to the imaging | photography data for transmission. センタサーバが記憶しているデータベースなどについて説明するための図である。It is a figure for demonstrating the database etc. which the center server memorize | stored. センタサーバがカメラを機器登録する手順を説明するためのフローチャートである。It is a flowchart for demonstrating the procedure in which a center server registers a camera as an apparatus. カメラがセンタサーバに開始カウンタ値を送信する手順を説明するためのフローチャートである。It is a flowchart for demonstrating the procedure in which a camera transmits a start counter value to a center server. カメラで被写体を撮影する場合の処理を説明するためのフローチャートである。It is a flowchart for demonstrating the process in the case of image | photographing a to-be-photographed object with a camera. カメラが撮影データをセンタサーバに送信する処理を説明するためのフローチャートである。It is a flowchart for demonstrating the process which a camera transmits imaging | photography data to a center server. 変形例に係るカメラのハードウェア的な構成の一例を説明するためのブロック図である。It is a block diagram for demonstrating an example of the hardware structure of the camera which concerns on a modification. 変形例に係る送信用撮影データの論理的な構成を模式的に表した図である。It is the figure which represented typically the logical structure of the imaging | photography data for transmission which concerns on a modification. 変形例のカメラで被写体を撮影する場合の処理について説明するためのフローチャートである。It is a flowchart for demonstrating the process in the case of image | photographing a to-be-photographed object with the camera of a modification.

符号の説明Explanation of symbols

１ 画像データ収集システム
２ センタサーバ
３ 端末
４ ネットワーク
５ カメラ
６ 基地局 1 image data collection system 2 center server 3 terminal 4 network 5 camera 6 base station

Claims (3)

情報を記録する記録装置と、前記記録装置から記録データを収集する記録収集サーバを用いて構成された記録収集システムで使用される記録装置であって、
一定時間間隔ごとに数値を所定量だけ増加させるカウンタ装置と、
現在位置情報を取得する現在位置情報取得手段と、
所定のタイミングごとに、前記カウンタ装置のカウンタ値と、前記取得した現在位置情報と、の対からなるカウンタ値位置セットを記憶するカウンタ値位置セット記憶手段と、
秘密鍵を記憶した秘密鍵記憶手段と、
前記カウンタ装置のカウンタ値を前記記録収集サーバに送信するカウンタ値送信手段と、
記録対象の情報をデジタルデータとして取得するデジタルデータ取得手段と、
前記デジタルデータを取得した際に、前記現在位置情報取得手段が現在位置情報を取得できた場合は、前記取得したデジタルデータと、当該デジタルデータを取得した際のカウンタ値と、前記取得した現在位置情報と、を含む記録データを生成し、前記デジタルデータを取得した際に、前記現在位置情報取得手段が現在位置情報を取得できなかった場合は、前記取得したデジタルデータと、当該デジタルデータを取得した際のカウンタ値と、前記カウンタ値現在値記憶手段で記憶したカウンタ値位置セットと、を含む記録データを生成する記録データ生成手段と、
前記生成した記録データを前記記憶した秘密鍵でデジタル署名する署名手段と、
前記デジタル署名した記録データを前記記録収集サーバに送信する記録データ送信手段と、
を具備したことを特徴とする記録装置。 A recording apparatus for recording information, and a recording apparatus for use in a recording and collecting system configured using a recording and collecting server that collects recording data from the recording apparatus,
A counter device for increasing a numerical value by a predetermined amount at regular time intervals;
Current position information acquisition means for acquiring current position information;
Counter value position set storage means for storing a counter value position set consisting of a pair of the counter value of the counter device and the acquired current position information for each predetermined timing;
A secret key storage means for storing the secret key;
Counter value transmission means for transmitting the counter value of the counter device to the record collection server;
Digital data acquisition means for acquiring information to be recorded as digital data;
When the current position information acquisition unit can acquire current position information when the digital data is acquired, the acquired digital data, a counter value when the digital data is acquired, and the acquired current position When the current position information acquisition unit cannot acquire the current position information when the recording data including the information is generated and the digital data is acquired, the acquired digital data and the digital data are acquired. Recording data generating means for generating recording data including the counter value at the time of the counter value and the counter value position set stored in the counter value current value storage means;
A signature means for digitally signing the generated recorded data with the stored secret key;
Recording data transmission means for transmitting the digitally signed recording data to the recording collection server;
A recording apparatus comprising: 前記所定のタイミングは、一定時間間隔で周期的に発生することを特徴とする請求項１に記載の記録装置。   The recording apparatus according to claim 1, wherein the predetermined timing is periodically generated at regular time intervals. 情報を記録する記録装置と、前記記録装置から記録データを収集する記録収集サーバを用いて構成された記録収集システムで使用される記録装置が行う記録方法であって、
前記記録装置は、一定時間間隔ごとに数値を所定量だけ増加させるカウンタ装置と、秘密鍵を記憶した秘密鍵記憶手段と、現在位置情報取得手段と、カウンタ値位置セット記憶手段と、カウンタ値送信手段と、デジタルデータ取得手段と、記録データ生成手段と、署名手段と、記録データ送信手段と、を備え、
前記現在位置情報取得手段で、現在位置情報を取得する現在位置情報取得ステップと、
前記カウンタ値位置セット記憶手段で、所定のタイミングごとに、前記カウンタ装置のカウンタ値と、前記取得した現在位置情報と、の対からなるカウンタ値位置セットを記憶するカウンタ値位置セット記憶ステップと、
前記カウンタ値送信手段で、前記カウンタ装置のカウンタ値を前記記録収集サーバに送信するカウンタ値送信ステップと、
前記デジタルデータ取得手段で、記録対象の情報をデジタルデータとして取得するデジタルデータ取得ステップと、
前記記録データ生成手段で、前記デジタルデータを取得した際に、前記現在位置情報取得手段が現在位置情報を取得できた場合は、前記取得したデジタルデータと、当該デジタルデータを取得した際のカウンタ値と、前記取得した現在位置情報と、を含む記録データを生成し、前記デジタルデータを取得した際に、前記現在位置情報取得手段が現在位置情報を取得できなかった場合は、前記取得したデジタルデータと、当該デジタルデータを取得した際のカウンタ値と、前記カウンタ値現在値記憶手段で記憶したカウンタ値位置セットと、を含む記録データを生成する記録データ生成ステップと、
前記署名手段で、前記生成した記録データを前記記憶した秘密鍵でデジタル署名する署名ステップと、
前記記録データ送信手段で、前記デジタル署名した記録データを前記記録収集サーバに送信する記録データ送信ステップと、
から構成されたことを特徴とする記録方法。 A recording method performed by a recording apparatus for recording information and a recording apparatus used in a recording collection system configured using a recording collection server that collects recording data from the recording apparatus,
The recording apparatus includes a counter device that increments a numerical value by a predetermined amount at regular time intervals, a secret key storage unit that stores a secret key, a current position information acquisition unit, a counter value position set storage unit, and a counter value transmission Means, digital data acquisition means, recording data generation means, signature means, and recording data transmission means,
A current position information acquisition step of acquiring current position information by the current position information acquisition means;
In the counter value position set storage means, a counter value position set storage step for storing a counter value position set consisting of a pair of the counter value of the counter device and the acquired current position information for each predetermined timing;
A counter value transmitting step of transmitting the counter value of the counter device to the record collection server by the counter value transmitting means;
A digital data acquisition step of acquiring information to be recorded as digital data by the digital data acquisition means;
When the digital data is acquired by the recording data generation unit, if the current position information acquisition unit can acquire the current position information, the acquired digital data and a counter value when the digital data is acquired If the current position information acquisition unit cannot acquire the current position information when the recording data including the acquired current position information is generated and the digital data is acquired, the acquired digital data is acquired. A recording data generation step for generating recording data including the counter value at the time of acquiring the digital data and the counter value position set stored in the counter value current value storage unit;
A signature step of digitally signing the generated recording data with the stored secret key by the signing means;
A recording data transmitting step of transmitting the digitally signed recording data to the recording collection server by the recording data transmitting means;
A recording method comprising:

Images