JP7389293B1 - 改ざん検知システム及び改ざん検知方法 - Google Patents

Abstract

【課題】電子ファイルの完全性を証明するため負担を軽減する。
【解決手段】本発明の改ざん検知システム１は、元電子ファイルに対して元完全性情報を計算する計算部１１と、前記計算した元完全性情報を電子透かし情報として前記元電子ファイルに格納する格納部１２と、前記元電子ファイルと同一対象である対象電子ファイルから前記元完全性情報を読み出す読出し部１３と、前記対象電子ファイルから読み出した前記元完全性情報と、前記計算部が前記対象電子ファイルに対して計算した対象完全性情報とを比較する比較部１４と、を備える。完全性情報は、メタデータ、地紋データ、又は透かしＩＤに関連付けられた処理ログ、の少なくとも何れかとして格納してもよい。
【選択図】図１

Description

本発明は、改ざん検知システム、記録材及び改ざん検知方法に関する。

近年、文書の改ざん対策に関する技術開発が進められており、関連する発明も公開されている。例えば、特許文献1には、遺言人本人による遺言関連文書を安全かつ確実に保存管理することができる文書保存管理システム等について開示されている。特許文献１の発明では、公開鍵暗号方式に基づいて、立会人に対して公開鍵及び秘密鍵からなる鍵ペアを作成するとともに、公開鍵が立会人に発行されたことを証明する電子証明書を発行し、公開鍵を、立会人に関する立会人情報に関連付けて保存し、遺言関連文書の文書画像データを、遺言人に関する遺言人情報に関連付けて一時文書保存手段に一時的に保存し、秘密鍵による立会人の電子署名である立会人署名を付した遺言関連文書の保存要求を受けたとき、立会人署名を確認した後に一時文書保存手段の保存対象の文書画像データを改ざん防止手段とともに文書管理保存手段に保存し、所定の共通鍵を公開鍵により暗号化した暗号化共通鍵と、保存対象の文書画像データを所定の共通鍵により暗号化した暗号化文書画像データとを生成し、暗号化共通鍵及び暗号化文書画像データを外部記録媒体に格納し、外部記録手段に格納された暗号化共通鍵を秘密鍵により復号化して所定の共通鍵を抽出する、ことを特徴とする。

特開２０１５－６４７６７号公報

従来では、電子ファイルの完全性を証明するためには、特許文献１のように電子証明書を必要としていた。しかし、電子証明書を用いる場合、秘密鍵及び公開鍵を使用して認証局（第３者）とのやり取りが必要であり、認証局による証明が必要となる。このため、電子証明書の購入費用がかかる、ネットワークを介した（認証局が用いる）証明書サーバと通信するためのインフラを用意しなければならない、電子証明書そのものに期限を設定しなければならない、等の各種負担が生じるという問題点があった。
本発明は、このような事情に鑑みて、電子ファイルの完全性を証明するため負担を軽減することを課題とする。

前記課題を解決する本発明は、電子ファイルに完全性情報を格納する格納部、を備える、改ざん検知システムである。

また、本発明は、元電子ファイルに対して元完全性情報を計算する計算部と、
前記計算した元完全性情報を電子透かし情報として前記元電子ファイルに格納する格納部と、を備える、改ざん検知システムである。
また、本発明は、前記元電子ファイルと同一対象である対象電子ファイルから前記元完全性情報を読み出す読出し部と、
前記対象電子ファイルから読み出した前記元完全性情報と、前記計算部が前記対象電子ファイルに対して計算した対象完全性情報とを比較する比較部と、をさらに備える、ことが好ましい。

また、本発明は、完全性情報が格納された電子ファイルを印刷出力した記録材である。

また、本発明は、改ざん検知システムが、
元電子ファイルに対して元完全性情報を計算する計算ステップと、
前記計算した元完全性情報を電子透かし情報として前記元電子ファイルに格納する格納ステップと、を実行する、改ざん検知方法である。
また、本発明は、前記改ざん検知システムが、
前記元電子ファイルと同一対象である対象電子ファイルから前記元完全性情報を読み出す読出しステップと、
前記対象電子ファイルから読み出した前記元完全性情報と、前記計算ステップで前記対象電子ファイルに対して計算した対象完全性情報とを比較する比較ステップと、をさらに実行する、ことが好ましい。

本発明によれば、電子ファイルの完全性を証明するため負担を軽減することができる。

第１実施形態における改ざん検知システムの機能構成図である。 電子ファイルの具体例である。 電子透かし情報のフォーマット例である。 メタデータのフォーマット例である。 処理ログのフォーマット例である。 改ざん検証のケース１，２の説明図である。 第１実施形態における完全性情報の格納に関するフローチャートである。 第１実施形態における改ざん有無検証に関するフローチャートである。 第２実施形態における完全性情報の格納に関するフローチャートである。 第２実施形態における改ざん有無検証に関するフローチャートである。

≪第１実施形態≫
［構成］
図１は、第１実施形態における改ざん検知システムの機能構成図である。改ざん検知システム１は、電子ファイルに対して行われた改ざんを検知する計算機である。改ざん検知システム１は、入力部、出力部、制御部、および、記憶部といったハードウェアを備える。例えば、制御部がＣＰＵ（Central Processing Unit）から構成される場合、その制御部を含むコンピュータによる情報処理は、ＣＰＵによるプログラム実行処理で実現される。また、そのコンピュータに含まれる記憶部は、ＣＰＵの指令により、そのコンピュータの機能を実現するためのさまざまなプログラムを記憶する。これによりソフトウェアとハードウェアの協働が実現される。前記プログラムは、記録媒体に記録したり、ネットワークを経由したりすることで提供可能となる。

改ざん検知システム１は、計算部１１と、格納部１２と、読出し部１３と、比較部１４とを備えている。また、改ざん検知システム１は、処理ログＤＢ１５を記憶している。「ＤＢ」はデータベース（DataBase）の略である。計算部１１は、電子ファイルに対して完全性情報を計算する。電子ファイルは、例えば、ＰＤＦ（Portable Document File）であるが、これに限定されない。完全性情報は、データがすべて揃っていて欠損や不整合がないことを保証すること（完全性：Integrity）を示す情報である。例えば、計算部１１は、電子ファイル内のすべてのオブジェクトをバイト配列として取得し、チェックサムを算出することで完全性情報を計算できる。

格納部１２は、電子ファイルに完全性情報を格納する。例えば、格納部１２は、完全性情報を電子透かし情報として格納できる。また、格納部１２は、電子ファイルのメタデータ、地紋データ、又は透かしＩＤに関連付けられた処理ログ、の少なくとも何れかとして完全性情報を格納できる。また、格納部１２は、電子ファイルの作成日時情報及び作成者情報を格納できる。作成日時情報は、電子ファイルが作成されたタイミングを示す情報（例：タイムスタンプ）である。作成者情報は、電子ファイルを作成したユーザを示す情報である。例えば、格納部１２は、作成日時情報及び作成者情報を電子透かし情報として格納できる。

読出し部１３は、電子ファイルに格納されている完全性情報を読み出す。
比較部１４は、読出し部１３が電子ファイルから読み出した完全性情報と、計算部１１が当該電子ファイルに対して計算した完全性情報とを比較する。比較部１４は、双方の完全性情報が一致した場合、電子ファイルに改ざん無しと判定し、一致しなかった場合、電子ファイルに改ざん有りと判定する。
処理ログＤＢ１５は、電子ファイルに対する処理内容履歴を処理ログとして記憶する。処理ログは、電子ファイルとは別の場所（つまり、処理ログＤＢ１５）に記憶できる。しかし、処理ログを電子ファイルに記憶してもよい。

改ざん検知システム１は、オフラインであっても、計算部１１、格納部１２、読出し部１３、比較部１４、処理ログＤＢ１５を動作させることができる。しかし、改ざん検知システム１は、オンラインであっても、計算部１１、格納部１２、読出し部１３、比較部１４、処理ログＤＢ１５を動作させることができる。処理ログＤＢ１５は、改ざん検知システム１に内蔵されたストレージ、又は外付けのストレージで実装できる。

（完全性情報の格納例）
図２は、電子ファイルの具体例である。電子ファイル２は、２ページのＰＤＦ（１ページ目２１、２ページ目２２）と１枚の地紋画像２３からなるＰＤＦファイルである。電子ファイル２において、テキストデータや画像データがページ単位で書き込まれており、適宜リンクが張られている。具体的には、１ページ目２１にはテキストデータＴ及び画像データＩ１～Ｉ３が書き込まれており、リンク（図示せず）が張られている。１ページ目２１の右下には、メタデータ領域Ｍが設けられている。メタデータ領域Ｍにメタデータを格納できる。電子ファイル２を開いて１ページ目２１を閲覧しても、メタデータ領域Ｍ及びメタデータは閲覧不可とすることができる。地紋画像２３は、地紋データを背景に格納できる。電子ファイル２において、地紋画像２３を表示したり、非表示にしたりすることができる。

格納部１２は、電子ファイル２において、メタデータ領域Ｍ内のメタデータとして完全性情報を格納できる。特に、メタデータとしての完全性情報を電子透かし情報とすることができる。なお、メタデータは、書き換え可能である。
また、格納部１２は、電子ファイル２において、地紋画像２３に格納された地紋データとして完全性情報を格納できる。特に、地紋データとしての完全性情報を電子透かし情報とすることができる。なお、地紋データは、書き換え不可能である。
また、格納部１２は、電子ファイル２の処理ログに完全性情報を格納できる。具体的には、処理ログＤＢ１５に記憶された、電子ファイル２の処理ログに格納された完全性情報にポイントされた（関連付けられた）透かしＩＤ（Identifier）を電子ファイル２に格納できる。透かしＩＤは、電子ファイル２に書き込まれた透かし画像（図示せず）の識別子である。格納部１２は、透かしＩＤを電子ファイル２の任意の位置（透かし画像内でもよい）に格納でき、特に、電子透かし情報として格納できる。

（各種データのフォーマット）
図３は、電子透かし情報のフォーマット例である。図３に示す例は、改ざん検知に用いることに好適な例である。例えば、電子透かし情報のフォーマット３１を「透かしＩＤ」（格納部１２が格納する透かしＩＤ）のみとすることができる。フォーマット３１によれば、電子透かし情報の情報量を最小限にできる。また、電子透かし情報のフォーマット３１ａを「ヘッダ」及び「透かしＩＤ」の組とすることができる。「ヘッダ」を用いることであとにつづくデータのパターンを指定できる。また、「透かしＩＤ」を用いることで完全性情報を処理ログに含めることができ、完全性情報を遠隔管理できる。

また、例えば、電子透かし情報のフォーマット３２を「ヘッダ」、「完全性情報」（格納部１２が格納する完全性情報）、「作成日時」（格納部１２が格納する作成日時情報）、「作成者」（格納部１２が格納する作成者情報）の組とすることができる。フォーマット３２の各要素を電子ファイルのページ単位で対応付けることができる。例えば、「完全性情報」、「作成日時」、「作成者」の各々を電子ファイル２（図２）の１ページ目２１、２ページ目２２、地紋画像２３の各々に対応付けることができる。「完全性情報」に「作成日時」及び「作成者」を追加することで、改ざんが有ったときの原因追跡性能を高めることができるため、結果的に改ざんの検知精度を向上させることができる。

また、例えば、電子透かし情報のフォーマット３３を「ヘッダ」、「完全性情報」、「完全性情報」、「完全性情報」の組とすることができる。つまり、電子透かし情報に複数種類の完全性情報を持たせることができる。例えば、３種類の「完全性情報」をそれぞれ、計算部１１が計算した完全性情報、メタデータとして格納された完全背情報、処理ログとして格納された完全性情報とすることができる。このとき、地紋データとして格納された完全性情報は、改ざん検知用とは別の用途に用いるように設計でき、例えば、透かし情報の検証用に用いることができる。また、フォーマット３３の各要素を電子ファイルのページ単位で対応付けることができる。例えば、３種類の「完全性情報」の各々を電子ファイル２（図２）の１ページ目２１、２ページ目２２、地紋画像２３に対応付けることができる。

また、例えば、電子透かし情報のフォーマット３４を「ヘッダ」、「完全性情報」、「作成日時」、「作成者」、「ファイル内位置情報」（例：電子ファイルの２次元座標）の組とすることができる。フォーマット３４の各要素を電子ファイルのページ単位で対応付けることができる。例えば、「完全性情報」、「作成日時」、「作成者」の各々を電子ファイル２（図２）の１ページ目２１、２ページ目２２、地紋画像２３の各々に対応付けることができ、「ファイル内位置情報」を電子ファイル２（図２）の１ページ目２１に対応付けることができる。１つのページに２以上のフォーマットの要素を対応付けてもよい。

電子ファイルの内容に応じて、フォーマット３１～３４の電子透かし情報を適宜選択できる。
読出し部１３は、フォーマット３１の電子透かし情報については、「透かしＩＤ」の一意性によって、透かしＩＤの値そのものを解析することで透かしＩＤを認識できる。また、フォーマット３１ａ，３２～３４の電子透かし情報については、「ヘッダ」値そのものを解析することであとにつづくデータのパターンを電子透かし情報として認識できる。

図４は、メタデータのフォーマット例である。図４に示す例は、改ざん検知に用いることに好適な例である。例えば、メタデータのフォーマット４０を「作成日時」、「作成者」、「完全性情報」の組とすることができる。「完全性情報」に「作成日時」及び「作成者」を追加することで、改ざんが有ったときの原因追跡性能を高めることができるため、結果的に改ざんの検知精度を向上させることができる。
読出し部１３は、メタデータのデータ構造を把握しているため、メタデータに格納されている作成日時情報、作成者情報、及び完全性情報を認識できる。

図５は、処理ログのフォーマット例である。図５に示す例は、改ざん検知に用いることに好適な例である。例えば、処理ログのフォーマット５０を「透かしＩＤ」、「作成日時」、「作成者」、「完全性情報」の組とすることができる。この場合、「透かしＩＤ」を「完全性情報」を抽出するための処理ログの検索キーとすることができる。「完全性情報」に「透かしＩＤ」、「作成日時」及び「作成者」を追加することで、完全性情報を遠隔管理できるとともに、改ざんが有ったときの原因追跡性能を高めることができるため、結果的に改ざんの検知精度を向上させることができる。また、処理ログのフォーマット５０ａを「作成日時」、「作成者」、「完全性情報」の組とすることができる。この場合、「作成日時」及び「作成者」の少なくとも何れかを「完全性情報」を抽出するための処理ログの検索キーとすることができる。
読出し部１３は、処理ログのデータ構造を把握しているため、処理ログに格納されている透かしＩＤ、作成日時情報、作成者情報、及び完全性情報を認識できる。

（改ざん検証例）
＜ケース１＞
図６は、改ざん検証のケース１，２の説明図である。ケース１は、ＰＤＦファイルの回覧先で改ざん検証する場合を示す。ユーザＡが使用する改ざん検知システム１Ａ（１）は、元ＰＤＦ６１（回覧元のＰＤＦファイル）を作成する際、電子透かし情報としての完全性情報を例えばメタデータとして書き込み（格納）できる。また、改ざん検知システム１Ａは、電子透かし情報としての完全性情報を処理ログ６２に書き込み（格納）できる。改ざん検知システム１Ａ（１）は、ユーザＢが使用する改ざん検知システム１Ｂ（１）に対し、元ＰＤＦ６１を添付したメール等を送信できる。

改ざん検知システム１Ｂは、改ざん検知システム１Ａから受信したメールに添付の元ＰＤＦ６１を改ざん検証対象のＰＤＦ６３とし、ＰＤＦ６３に対して改ざん有無を検証する。改ざん検知システム１Ｂは、ＰＤＦ６３に対して計算した完全性情報と、ＰＤＦ６３のメタデータに書き込まれた完全性情報（元ＰＤＦ６１のメタデータに書き込まれた完全性情報と同じ）とが一致するか否かを判断することで、改ざん有無を判定できる。例えば、改ざん検知システム１Ｂ（１）に送信されたメールを盗み見た第３者がメールに添付の元ＰＤＦ６１の内容を書き換えた、等の改ざんを検知できる。

＜ケース２＞
ケース２は、ＰＤＦファイルの回覧元で改ざん検証する場合を示す。ユーザＡが使用する改ざん検知システム１Ａ（１）は、元ＰＤＦ６１（回覧元のＰＤＦファイル）を作成する際、電子透かし情報としての完全性情報を例えばメタデータとして書き込み（格納）できる。また、改ざん検知システム１Ａは、電子透かし情報としての完全性情報を処理ログ６２に書き込み（格納）できる。改ざん検知システム１Ａは、ユーザＢが使用する改ざん検知システム１Ｂ（１）に対し、元ＰＤＦ６１を添付したメール等を送信できる。

改ざん検知システム１Ｂは、改ざん検知システム１Ａから受信したメールに添付の元ＰＤＦ６１をＰＤＦ６４として取得する。ユーザＢがＰＤＦ６４を参照すると、改ざん検知システム１Ｂは、改ざん検知システム１Ａに対し、ＰＤＦ６４を添付したメール等を送信できる。

改ざん検知システム１Ａは、改ざん検知システム１Ｂから受信したメールに添付のＰＤＦ６４を改ざん検証対象の戻ＰＤＦ６５とし、戻ＰＤＦ６５に対して改ざん有無を検証する。改ざん検知システム１Ａは、戻ＰＤＦ６５に対して計算した完全性情報と、戻ＰＤＦ６５のメタデータに書き込まれた完全性情報（元ＰＤＦ６１のメタデータに書き込まれた完全性情報と同じ）とが一致するか否かを判断することで、改ざん有無を判定できる。例えば、改ざん検知システム１Ｂ（１）のユーザＢがＰＤＦ６４の内容を書き換えた、等の改ざんを検知できる。

［処理］
次に、改ざん検知方法の処理について説明する。図７は、第１実施形態における完全性情報の格納に関するフローチャートである。第１実施形態では、フォーマット３１の電子透かし情報（図３）を利用した場合の処理が実行される。作成された電子ファイル（以下、「元電子ファイル」と呼ぶ場合がある。）に対して、以下の処理が実行される。まず、改ざん検知システム１の計算部１１は、元電子ファイルの完全性情報を計算する（ステップＡ１）。次に、改ざん検知システム１は、透かしＩＤを生成する（ステップＡ２）。なお、透かしＩＤの生成方法は周知であり、詳細は省略する。次に、改ざん検知システム１の格納部１２は、生成された透かしＩＤを元電子ファイルに格納する（ステップＡ３）。例えば、格納部１２は、元電子ファイルに記載されている、地紋画像に透かしＩＤを格納できる。次に、改ざん検知システム１の格納部１２は、元電子ファイルの作成日時情報、作成者情報、及び完全性情報をメタデータとして格納する（ステップＡ４）。よって、作成日時情報、作成者情報、及び完全性情報は元電子ファイルのメタデータ領域に格納される。次に、改ざん検知システム１の格納部１２は、元電子ファイルの透かしＩＤ、作成日時情報、作成者情報、及び完全性情報を処理ログとして格納する（ステップＡ５）。処理ログは、処理ログＤＢ１５に記憶される。以上で、図７の処理が終了する。なお、格納部１２は、元電子ファイルの透かしＩＤ、作成日時情報、作成者情報、及び完全性情報を地紋データとして格納してもよい。

図８は、第１実施形態における改ざん有無検証に関するフローチャートである。回覧された元電子ファイル（以下、「対象電子ファイル」と呼ぶ場合がある。）について改ざんの有無を検証する場合、以下の処理が実行される。まず、改ざん検知システム１は、ユーザからの入力に従い、対象電子ファイルを指定する（ステップＢ１）。次に、改ざん検知システム１の計算部１１は、対象電子ファイルの完全性情報を計算する（ステップＢ２）。次に、改ざん検知システム１の読出し部１３は、対象電子ファイルのメタデータから完全性情報を読み出す（ステップＢ３）。次に、改ざん検知システム１の読出し部１３は、対象電子ファイルから透かしＩＤを読み出す（ステップＢ４）。読み出される透かしＩＤは、元電子ファイルに格納された透かしＩＤである。次に、改ざん検知システム１の読出し部１３は、読み出した透かしＩＤに関連付けられた処理ログを検索する（ステップＢ５）。具体的には、透かしＩＤを検索キーにして処理ログＤＢ１５に対する検索が実行される。

検索が成功した場合（ステップＢ６でＹｅｓ）、改ざん検知システム１の読出し部１３は、抽出された処理ログから完全性情報を読み出す（ステップＢ７）。次に、改ざん検知システム１の比較部１４は、３種の完全性情報を比較する（ステップＢ８）。具体的には、比較部１４は、ステップＢ２で計算された完全性情報と、ステップＢ３でメタデータから読み出された完全性情報と、ステップＢ７で処理ログから読みだされた完全性情報とを比較する。３種の完全性情報が一致した場合（ステップＢ９でＹｅｓ）、比較部１４は対象電子ファイルに改ざん無しと判定し（ステップＢ１０）、処理を終了する。一方、３種の完全性情報が一致しなかった場合（ステップＢ９でＮｏ）、比較部１４は対象電子ファイルに改ざん有りと判定し（ステップＢ１２）、処理を終了する。なお、「対象電子ファイルに改ざん有り」とは、基本的には、対象電子ファイルに対して計算した完全性情報を示すチェックサムが、元電子ファイルに対して計算した完全性情報を示すチェックサムと異なることを意味する。

一方、検索が成功しなかった場合（ステップＢ６でＮｏ）、改ざん検知システム１の比較部１４は、２種の完全性情報を比較する（ステップＢ１１）。具体的には、比較部１４は、ステップＢ２で計算された完全性情報と、ステップＢ３でメタデータから読み出された完全性情報とを比較する。２種の完全性情報が一致した場合（ステップＢ９でＹｅｓ）、比較部１４は対象電子ファイルに改ざん無しと判定し（ステップＢ１０）、処理を終了する。このとき、改ざん検知システム１は、検索が成功せず、処理ログの完全性情報を読み出すことができなかった旨の警告表示をすることが好ましい。一方、２種の完全性情報が一致しなかった場合（ステップＢ９でＮｏ）、比較部１４は対象電子ファイルに改ざん有りと判定し（ステップＢ１２）、処理を終了する。このとき、改ざん検知システム１は、検索が成功せず、処理ログの完全性情報を読み出すことができなかった旨の警告表示をしてもよい。

（記録材）
改ざん検知システム１の出力部が印刷機能を備えている場合、出力部は、電子透かし情報としての完全性情報を格納した電子ファイルを印刷出力することができる。印刷出力された紙媒体（記録材）の文書は、透かし印刷された完全性情報を含む。改ざん検知システム１の入力部がスキャン機能を備えている場合、文書が回覧されたときに、入力部は、回覧された文書をスキャンして改ざん有無の検証をすることができる。改ざん有無の検証の処理手順はすでに述べたものと同等とすることができる。なお、回覧された文書が汚れていたり、破れていたりした場合は、改ざん検知システム１は、文書から地紋データを読み出すことで完全性情報を取得し改ざん有無の検証に役立てることができる。

第１実施形態によれば、電子ファイルに完全性情報を格納させるため、電子ファイルとは別媒体である電子証明書を作成することなく、電子ファイルの完全性を証明できる。よって、認証局に電子証明書を作成してもらう必要もなく、つまり、認証局による証明が必要がなくなる。また、電子証明書を購入する必要もなくなり、電子証明書の購入費用を負担する必要がなくなる。また、ネットワークを介した（認証局が用いる）証明書サーバと通信するためのインフラを用意する必要もなくなり、インフラ導入コストを負担する必要がなくなる。また、電子証明書に期限を設定しなければならなかった従来と比較して、完全性情報を可能した本発明の電子ファイルに期限を設定する必要はない。そのため、電子証明書の再発行等といった追加分の費用、手間を負担する必要がなくなる。したがって、電子ファイルの完全性を証明するため負担を軽減することができる。
また、従来では、電子証明書の入手が基本的に会社単位であったため、社外との電子文書のやりとりには適していたが、社内での電子文書のやりとりには不適であった。また、従来では、電子証明書を運用するためのシステム構築工数が膨大であった。これに対し、本発明の改ざん検知システムの機能は、社員の各々が使用するコンピュータに導入できるものであり、個人単位で利用できるため、社内での電子文書のやりとりに適している。また、システム構築工数を低減できる。
また、本発明の改ざん検知システムは、１台のコンピュータ内で電子ファイルの改ざん有無の検証に関する処理を実行できるものであり、オフラインで動作可能である。

また、完全性情報を電子透かし情報とすることで、完全性情報に対する改ざんの可能性を低減でき、その結果、完全性情報を格納する電子ファイルの改ざん検知の精度を向上させることができる。
また、電子ファイルの作成日時情報及び作成者情報を格納することで、改ざんが有ったときの原因追跡性能を高めることができるため、結果的に改ざんの検知精度を向上させることができる。
また、完全性情報を、メタデータ、地紋データ、又は透かしＩＤに関連付けられた処理ログ、に格納できるため、電子ファイルの完全性を証明する選択肢を多数提供できる。特に、完全性情報を処理ログに格納する場合、完全性情報を遠隔監視でき、完全性情報に対する改ざんの可能性を極めて低減できる。
また、計算部１１と、格納部１２とを備えることで、元電子ファイルの完全性を容易に証明できる。
また、読出し部１３と、比較部１４とを備えることで、元電子ファイルと同一対象である対象電子ファイルに対する改ざん有無の検証を容易にできる。
また、対象電子ファイルに対して計算した第１完全性情報と、対象電子ファイルのメタデータとして格納される第２完全性情報と、対象電子ファイルの透かしＩＤに関連付けられた処理ログとして格納される第３完全性情報とを比較することで、対象電子ファイルに対する改ざん検知の精度を極めて向上させることができる。
また、完全性情報が格納された電子ファイルを印刷出力した記録材は、完全性情報が格納された電子ファイルと同様、極めて高い完全性を証明できる。

≪第２実施形態≫
第２実施形態の説明の際、第１実施形態との相違点について説明し、重複する点については基本的には説明を省略する。第２実施形態では、フォーマット３２の電子透かし情報（図３）を利用した場合の処理が実行される。図９は、第２実施形態における完全性情報の格納に関するフローチャートである。作成された元電子ファイルに対して、以下の処理が実行される。まず、改ざん検知システム１の計算部１１は、元電子ファイルの完全性情報を計算する（ステップＣ１）。次に、改ざん検知システム１は、電子透かし情報を生成する（ステップＣ２）。電子透かし情報は、ヘッダ、作成日時情報、作成者情報、及び完全性情報を含む。なお、電子透かし情報の生成方法は周知であり、詳細は省略する。次に、改ざん検知システム１の格納部１２は、生成された電子透かし情報を元電子ファイルに格納する（ステップＣ３）。例えば、格納部１２は、元電子ファイルに記載されている地紋画像に電子透かし情報を格納できる。次に、改ざん検知システム１の格納部１２は、元電子ファイルの作成日時情報、作成者情報、及び完全性情報をメタデータとして格納する（ステップＣ４）。よって、作成日時情報、作成者情報、及び完全性情報は元電子ファイルのメタデータ領域に格納される。次に、改ざん検知システム１の格納部１２は、元電子ファイルの作成日時情報、作成者情報、及び完全性情報を処理ログとして格納する（ステップＣ５）。処理ログは、処理ログＤＢ１５に記憶される。以上で、図９の処理が終了する。なお、格納部１２は、元電子ファイルの作成日時情報、作成者情報、及び完全性情報を地紋データとして格納してもよい。

図１０は、第２実施形態における改ざん有無検証に関するフローチャートである。対象電子ファイルについて改ざんの有無を検証する場合、以下の処理が実行される。まず、改ざん検知システム１は、ユーザからの入力に従い、対象電子ファイルを指定する（ステップＤ１）。次に、改ざん検知システム１の計算部１１は、対象電子ファイルの完全性情報を計算する（ステップＤ２）。次に、改ざん検知システム１の読出し部１３は、対象電子ファイルのメタデータから完全性情報を読み出す（ステップＤ３）。次に、改ざん検知システム１の読出し部１３は、対象電子ファイルから作成日時情報、作成者情報を読み出す（ステップＤ４）。読み出される作成日時情報、作成者情報は、元電子ファイルに格納された作成日時情報、作成者情報である。次に、改ざん検知システム１の読出し部１３は、読み出した作成日時情報、作成者情報に関連付けられた処理ログを検索する（ステップＤ５）。具体的には、作成日時情報、作成者情報を検索キーにして処理ログＤＢ１５に対する検索が実行される。

検索が成功した場合（ステップＤ６でＹｅｓ）、改ざん検知システム１の読出し部１３は、抽出された処理ログから完全性情報を読み出す（ステップＤ７）。次に、改ざん検知システム１の比較部１４は、３種の完全性情報を比較する（ステップＤ８）。具体的には、比較部１４は、ステップＤ２で計算された完全性情報と、ステップＤ３でメタデータから読み出された完全性情報と、ステップＤ７で処理ログから読みだされた完全性情報とを比較する。３種の完全性情報が一致した場合（ステップＤ９でＹｅｓ）、比較部１４は対象電子ファイルに改ざん無しと判定し（ステップＤ１０）、処理を終了する。一方、３種の完全性情報が一致しなかった場合（ステップＤ９でＮｏ）、比較部１４は対象電子ファイルに改ざん有りと判定し（ステップＤ１１）、処理を終了する。

一方、検索が成功しなかった場合（ステップＤ６でＮｏ）、比較部１４は対象電子ファイルに改ざん有りと判定し（ステップＤ１１）、処理を終了する。このとき、改ざん検知システム１は、検索が成功せず、処理ログの完全性情報を読み出すことができなかった旨の警告表示をしてもよい。
第２実施形態によれば、第１実施形態と同様の効果を奏する。

［変形例］
（ａ）：電子ファイルに格納する完全性情報は、電子透かし情報でなくてもよい。
（ｂ）：記録材は、紙に限らず、布、ラミネート、樹脂等、さまざまな材質のものであっても本発明を適用できる。
（ｃ）：第１実施形態において、検索が成功しなかった場合（ステップＢ６でＮｏ）、２種の完全性情報を比較する（ステップＢ１１）のではなく、改ざん有りと判定してもよい（ステップＢ１２）。
（ｄ）：第２実施形態において、検索が成功しなかった場合（ステップＤ６でＮｏ）、２種の完全性情報（ステップＤ２で計算された完全性情報と、ステップＤ３でメタデータから読み出された完全性情報）を比較してもよい。２種の完全性情報が一致した場合、比較部１４は対象電子ファイルに改ざん無しと判定してもよい。このとき、改ざん検知システム１は、検索が成功せず、処理ログの完全性情報を読み出すことができなかった旨の警告表示をすることが好ましい。一方、２種の完全性情報が一致しなかった場合、比較部１４は対象電子ファイルに改ざん有りと判定してもよい。
（ｅ）：第１、第２実施形態において、改ざん検知システム１は、計算部１１と、格納部１２と、読出し部１３と、比較部１４とを備えており、処理ログＤＢ１５を記憶しているように構成した。しかし、例えば、計算部１１及び格納部１２を実現する第１ソフトウェアと、計算部１１、読出し部１３、及び比較部１４を実現する第２ソフトウェアとを用意し、改ざん検知システム１にそれぞれ導入してもよい。改ざん検知システム１を第１、第２システムに分け、第１改ざん検知システムに第１ソフトウェアを導入し、第２改ざん検知システムに第２ソフトウェアを導入した構成でもよい。処理ログＤＢ１５は、改ざん検知システム１とは別体のストレージに格納してもよい。ストレージに格納された処理ログＤＢ１５は、改ざん検知システム１と同等の機能を有する複数の計算機が共有可能となるように実装してもよい。改ざん検知システム１が記憶する処理ログＤＢ１５も、改ざん検知システム１とは別体の複数の計算機が改ざん検知システム１とともに共有可能となるように実装してもよい。

（ｆ）：本実施形態で説明した種々の技術を適宜組み合わせた技術を実現することもできる。
（ｇ）：本実施形態で説明したソフトウェアをハードウェアとして実現することもでき、ハードウェアをソフトウェアとして実現することもできる。
（ｈ）：その他、ハードウェア、ソフトウェア、フローチャートなどについて、本発明の趣旨を逸脱しない範囲で適宜変更が可能である。

１ 改ざん検知システム
１１ 計算部
１２ 格納部
１３ 読出し部
１４ 比較部
１５ 処理ログＤＢ

Claims (4)

1. 元電子ファイルに対して元完全性情報を計算する計算部と、
   前記計算した元完全性情報を電子透かし情報として前記元電子ファイルに格納する格納部と、を備え、
   前記元電子ファイルと同一対象である対象電子ファイルから前記元完全性情報を読み出す読出し部と、
   前記対象電子ファイルから読み出した前記元完全性情報と、前記計算部が前記対象電子ファイルに対して計算した対象完全性情報とを比較する比較部と、をさらに備え、
   前記対象完全性情報が、前記計算部が前記対象電子ファイルに対して計算した第１完全性情報であり、
   前記対象電子ファイルから読み出した前記元完全性情報が、前記対象電子ファイルのメタデータとして格納される第２完全性情報、及び前記対象電子ファイルの透かしＩＤに関連付けられた処理ログとして格納される第３完全性情報であり、
   前記比較部は、前記第１完全性情報と、前記第２完全性情報と、前記第３完全性情報とを比較する、改ざん検知システム。
2. 前記格納部は、前記元電子ファイルの作成日時情報及び作成者情報をさらに格納する、請求項１に記載の改ざん検知システム。
3. 前記元完全性情報がメタデータ、地紋データ、又は透かしＩＤに関連付けられた処理ログ、の少なくとも何れかとして格納される、請求項１又は請求項２に記載の改ざん検知システム。
4. 改ざん検知システムが、
   元電子ファイルに対して元完全性情報を計算する計算ステップと、
   前記計算した元完全性情報を電子透かし情報として前記元電子ファイルに格納する格納ステップと、を実行し、
   前記改ざん検知システムが、
   前記元電子ファイルと同一対象である対象電子ファイルから前記元完全性情報を読み出す読出しステップと、
   前記対象電子ファイルから読み出した前記元完全性情報と、前記計算ステップで前記対象電子ファイルに対して計算した対象完全性情報とを比較する比較ステップと、をさらに実行し、
   前記対象完全性情報が、前記計算ステップにて前記対象電子ファイルに対して計算した第１完全性情報であり、
   前記対象電子ファイルから読み出した前記元完全性情報が、前記対象電子ファイルのメタデータとして格納される第２完全性情報、及び前記対象電子ファイルの透かしＩＤに関連付けられた処理ログとして格納される第３完全性情報であり、
   前記比較ステップにて、前記第１完全性情報と、前記第２完全性情報と、前記第３完全性情報とを比較する、改ざん検知方法。

Images