JPH10289523A - データ保存装置及びデータ保存方法 - Google Patents

Abstract

(57)【要約】 【課題】 書換可能であり、かつ、交換可能な記録媒体
へ、データをその作成日時が証明できる形態で保存する
ことが出来るデータ保存装置を提供する。 【解決手段】 データ保存装置を、ＭＯドライブ１１を
備えるコンピュータ１２に、タンパーフリー時計２１
と、認証子生成機構２２を有する書類管理ＰＣカード１
３を接続した構成とし、データの保存が指示された際、
そのデータとタンパーフリー時計２１の出力する時間情
報とから認証子生成機構２２によって認証子が生成さ
れ、生成された認証子が、認証子の生成に用いられたデ
ータ、時間情報と共にＭＯドライブ１１内のＭＯに書き
込まれるように各部を形成する。また、データ、時間情
報、認証子からなる複数のデータに対して、さらに、認
証子を付加できるようにも、データ保存装置を構成して
おく。

Description

【発明の詳細な説明】

【０００１】

【発明の属する技術分野】本発明は、データ保存装置お
よびデータ保存方法に関し、例えば、光磁気ディスクな
どの、書換可能であり、かつ、交換可能な記録媒体へデ
ータを保存するデータ保存装置およびデータ保存方法に
関する。

【０００２】

【従来の技術】近年、各種の情報が、電子化されて記録
媒体内に保存され、再利用されるようになってきてい
る。情報の格納に使用されている記録媒体としては、さ
まざまなものがあるが、大容量の記憶が可能であり、か
つ、書換可能な記録媒体である光磁気ディスク（ＭＯ）
が、最近、盛んに使用されるようになってきている。

【０００３】

【発明が解決しようとする課題】光磁気ディスクは、書
換可能な記録媒体であるため用途が広いという利点を有
するが、書換可能であるが故に、データの改竄や、日付
データの改竄が容易であるという欠点も有していた。ま
た、交換可能な記録媒体であるために、不都合なデータ
が記憶された媒体を廃棄してしまい、その代わりに、改
竄データを記録した別媒体を用意するといったことも可
能となっていた。その結果として、光磁気ディスクなど
の書換可能であり、かつ、交換可能な記録媒体へ記録さ
れたデータは、書類に印刷されたデータ等に比して、デ
ータの作成日付や内容が改竄されていないものであるこ
とを証明することが難しいものとなっていた。

【０００４】そこで、本発明の第１の課題は、書換可能
であり、かつ、交換可能な記録媒体へ、データをその作
成日時が証明できる形態で保存することが出来るデータ
保存装置、データ保存方法を提供することにある。

【０００５】また、本発明の第２の課題は、記録媒体が
不正廃棄された場合、そのことを検出できるデータ保存
装置、データ保存方法を提供することにある。

【０００６】

【課題を解決するための手段】本発明は、上記第１の課
題を解決するために、着脱可能であり、かつ、書換可能
な記録媒体にデータを保存するためのデータ保存装置
を、時間情報を出力する手段であって、出力する時間情
報の調整が行えない時間情報出力手段と、データの書込
要求を受けたときに、そのデータと時間情報出力手段が
出力する時間情報を含む情報を入力としたハッシュ関数
処理値を求めることによって、データの認証子を作成す
る認証子作成手段と、この認証子作成手段によって作成
された認証子と、その認証子の作成に用いられたデータ
と時間情報とを、記録媒体に書き込む書込手段とを用い
て構成する。

【０００７】このデータ保存装置によれば、記録媒体へ
のデータの書込時には、出力する時間情報の調整が行え
ない時間情報出力手段からの時間情報と、その時間情報
とデータとを用いて作成された認証子もが記録媒体に書
き込まれるので、データをその作成日時が証明できる形
態で（データ改竄等が行われた場合には、そのことが検
出できる形態で）保存することが出来ることになる。

【０００８】なお、本発明によるデータ保存装置を実現
する際には、認証子作成手段として、記録媒体に記憶さ
れている媒体識別情報と、データと時間情報を含む情報
を入力としたハッシュ関数処理値を求めることによっ
て、データの認証子を作成する手段を用いることが出来
る。

【０００９】そのような認証子作成手段を採用する場合
には、さらに、記記録媒体に記憶された複数のデータに
関する認証子からなる情報を入力としたハッシュ関数処
理値を求めることによって、それら複数のデータからな
るデータグループに関する認証子である累積認証子を作
成する累積認証子作成手段と、この累積認証子作成手段
によって作成された累積認証子を、データグループとの
対応関係がわかる形態で記録媒体に書き込む累積認証子
書込手段とを付加しても良い。

【００１０】また、書込手段を、記録媒体のデータの記
憶に用いられていない領域のみにデータの書き込みを行
う手段としておくと共に、記録媒体に書き込むべきデー
タの作成者情報を取得する作成者情報取得手段と、この
作成者情報取得手段によって取得された作成者取得情報
を、書込手段によって記録媒体に記憶された認証子及び
時間情報と共に記憶する記憶手段と、記録媒体が初版媒
体であった場合において所定の条件が満たされたとき
に、記録媒体に記憶された全てのデータに関する認証子
を含む情報を入力としたハッシュ関数処理値である累積
認証子と、記憶手段に記憶された情報と、記録媒体の媒
体識別情報とを含む履歴情報を、記録媒体に書き込む第
１履歴情報・累積認証子書込手段と、記録媒体が初版媒
体でなかった場合において所定の条件が満たされたとき
に、その記録媒体の一世代前の記録媒体である前世代記
録媒体に記憶された履歴情報と累積認証子を取得し、記
録媒体に記憶された全てのデータに関する認証子と全世
代記録媒体に記憶されていた累積認証子を含む情報を入
力としたハッシュ関数処理値である累積認証子を求め、
求めた累積認証子と、記憶手段に記憶された情報と、記
録媒体の媒体識別情報とを含む履歴情報を、記録媒体に
書き込む第２履歴情報・累積認証子書込手段とを付加し
て、データ保存装置を構成することも出来る。

【００１１】このように本発明のデータ保存装置を構成
した場合には、上記第２の課題をも解決できることにな
る。

【００１２】

【発明の実施の形態】以下、本発明の一実施形態を、図
面を参照して具体的に説明する。実施形態のデータ保存
装置は、光磁気ディスク（以下、ＭＯと表記する）にデ
ータを保存する装置であり、一般媒体処理機能と保存目
的媒体処理機能（追記録機能）と名付けた機能を有して
いる。ここでは、まず、一般媒体処理時における実施形
態のデータ保存装置によるデータ保存方法の概要を説明
する。

【００１３】図１に模式的に示したように、一般媒体処
理時、本データ保存装置は、データ“ＤＡＴＡ”をＭＯ
内に保存する際、データ保存装置内部に備えられたタン
パーフリー時計の出力である日付データ“ＤＡＴＥ”
と、履歴情報“ＬＯＧ”をも、その“ＤＡＴＡ”と対応
づけてＭＯ内に保存する。さらに、データ保存装置は、
ＭＯに予め与えられている媒体ＩＤ“ＭＩＤ”とデータ
“ＤＡＴＡ”と日付データ“ＤＡＴＥ”と履歴情報“Ｌ
ＯＧ”とを入力としたときのハッシュ関数出力を得て、
そのハッシュ関数出力を、データ“ＤＡＴＡ”に関する
デジタル署名“ＣＳ”として、ＭＯ内に保存する。な
お、あるデータの伝送やコピーは、媒体ＩＤ、データ、
日付、履歴情報、デジタル署名からなる情報単位で行
う。

【００１４】また、履歴情報“ＬＯＧ”としては、図２
に模式的に示したような、データの作成履歴、コピー履
歴を表す情報が記憶される。また、デジタル署名“Ｃ
Ｓ”は、図３（ａ）に示したＩＳＯ８７３１−１に基づ
く構成を有する機構を用いて得られている。すなわち、
デジタル署名を取得すべきデータが、ｎブロック分のデ
ータ（Ｄ1〜Ｄn）であった場合、図３（ｂ）に示したよ
うに、まず、最初のブロックデータＤ1が、ＤＥＳによ
り暗号化され、データＣ1が得られる。次いで、そのデ
ータＣ1と、次のブロックデータＤ2のＥＯＲが、再度、
ＤＥＳにより暗号化され、データＣ2が得られる。その
後、同様の処理が、データＣi-1とブロックデータＣi
（ｉ＝３〜ｎ）に対して繰り返され、データＣn-1とブ
ロックデータＣnとが関係する暗号化結果（６４ビッ
ト）の上位３２ビットが、トランケートにより取り出さ
れ、デジタル署名“ＣＳ”とされている。

【００１５】そして、データ検証時には、図４に模式的
に示したように、ＭＯ内に保存されている“ＭＩＤ”
と、“ＤＡＴＡ”と、その“ＤＡＴＡ”に関する“ＤＡ
ＴＥ”及び“ＬＯＧ”を入力としたときのハッシュ関数
出力を得る。そして、そのハッシュ関数出力を、ＭＯ内
のその“ＤＡＴＡ”に関する“ＣＳ”と比較することに
よって、“ＤＡＴＡ”に対する改竄の有無を判定する。
すなわち、ハッシュ関数出力と“ＣＳ”とが一致してい
る場合には、“ＤＡＴＡ”に対する改竄がなされていな
いと判定し、両者が一致していない場合には、改竄がな
されていると判定する。

【００１６】実施形態のデータ保存装置は、上述したよ
うなデータの保存、検証機能に加えて、累積認証子生成
機能を有する。以下、機能ブロック図等を用いて、実施
形態のデータ保存装置の累積認証子生成機能を説明する
とともに、データ保存機能、データ検証機能を、さらに
具体的に説明する。

【００１７】図５に、実施形態のデータ保存装置の機能
ブロック図を示す。なお、この機能ブロック図は、ＭＯ
へのデータ保存時（署名時）の機能のみを示した機能ブ
ロックとなっている。ただし、図では、履歴情報に関す
る表記を省略してある。

【００１８】図示したように、実施形態のデータ保存装
置は、ＭＯドライブ１１を備えたパーソナルコンピュー
タ（パソコン）１２に、認証子の生成を担当する書類管
理ＰＣカード１３を接続することによって実現されてい
る。

【００１９】ＭＯへのデータ保存時、キーボード１４を
利用して作成されたＤＡＴＡは、ＰＣ１２によって、Ｍ
Ｏドライブ１１内のＭＯに書き込まれる。ＰＣ１２は、
ＤＡＴＡのＭＯへの書込と共に、ＭＯ内に記憶されてい
る媒体ＩＤとそのＤＡＴＡとを、書類管理ＰＣカード１
３に供給する。媒体ＩＤ、ＤＡＴＡは、書類管理ＰＣカ
ード１３内の認証子生成機構２２に供給され、認証子生
成機構２２は、供給されたデータを用いて、認証子ＭＡ
Ｃを生成するための処理を開始する。書類管理ＰＣカー
ド１３は、ＤＡＴＡの受信完了後、タンパーフリー時計
２１の出力（ＴＩＭＥ）を、ＰＣ１２並びに認証子生成
機構２２に供給する。そして、媒体ＩＤ、ＤＡＴＡ、Ｔ
ＩＭＥの入力の結果として認証子生成機構２２が出力す
る認証子ＭＡＣを、ＰＣ１２に供給するとともに、認証
子格納メモリ２３に格納する。ＴＩＭＥ、ＭＡＣの供給
を受けたＰＣ１２は、それらのＭＯへの書き込みを行
い、ＭＯ内に、ＤＡＴＡとＴＩＭＥとＭＡＣからなる情
報が保存される。

【００２０】また、ＤＡＴＡの書込によりＭＯ内にデー
タの記憶余地がなくなった場合、書類管理ＰＣカード１
３によって、認証子格納メモリ２３内に記憶されている
認証子を用いた累積認証子（累積ＭＡＣ、ＭＡＣ ｔｏ
ｔ）２４の生成処理が行われ、ＭＡＣ ｔｏｔが、ＰＣ
１２を介して、ＭＯに書き込まれる。この累積認証子の
生成処理は、認証子生成機構２２を利用して行われる。

【００２１】以下、図６を用いて、書類管理ＰＣカード
１３による認証子生成動作および累積認証子生成動作を
詳細に説明する。なお、図６は、書類管理ＰＣカード１
３の構成をより具体的に示した機能ブロック図であり、
図中、鍵付きハッシング関数処理部と表記してあるブロ
ックが、図５における認証子生成機構２２に相当してい
る。

【００２２】認証子の生成を行う際、セレクタ２は、入
力切替制御信号によって、外部からのデータ入力を鍵付
きハッシング処理部に供給するように制御される。ま
た、セレクタ１は、出力切替制御信号によって、鍵付き
ハッシング処理部からのデータを、認証子メモリに供給
するように制御され、その結果として、上述したような
認証子生成並びに生成された認証子の認証子メモリへの
格納が行われる。

【００２３】一方、累積認証子の生成を行う際には、セ
レクタ２は、入力切替制御信号によって、ゲート回路か
らのデータを鍵付きハッシング処理部に供給するように
制御される。また、セレクタ１は、出力切替制御信号に
よって、鍵付きハッシング処理部からの出力される所定
数のデータを認証子メモリに供給した後、鍵付きハッシ
ング処理部から出力されるデータをＭＡＣ ｔｏｔとし
て出力するように制御される。そして、累積認証子生成
処理の開始時、アドレスカウンタとゲート回路には、ス
タートパルスが与えられる。

【００２４】スタートパルスが与えられたアドレスカウ
ンタは、認証子メモリに対して、内部に記憶されたＭＡ
Ｃを順次出力させるための制御を開始する。スタートパ
ルスが与えられたゲート回路は、ＯＮ状態となり、認証
子メモリからのＭＡＣをセレクタ２に供給する。その結
果として鍵付きハッシング関数処理部が出力するデータ
は、セレクタ１を介してデータストローブ回路に入力さ
れる。ＭＡＣカウンタは、データストローブ回路のスト
ローブ信号出力をカウントし、そのカウント結果を比較
器に出力する。比較器は、ＭＡＣカウンタからのデータ
と、設定値とを比較し、両者が一致したときに、ストッ
プパルスをアドレスカウンタとゲート回路に供給する。

【００２５】すなわち、累積認証子生成処理時、書類管
理ＰＣカード１３内では、図７に示したようなタイミン
グで、累積認証子（ＭＡＣ ｔｏｔ）が生成される。そ
して、生成されたＭＡＣ ｔｏｔがＰＣ１２によってＭ
Ｏ内に保存されるので、ＭＯ内には、結局、図８に模式
的に示したように、ＭＯ内に記憶されている全てのＤＡ
ＴＡに関するＭＡＣを用いて作成されたデジタル署名
が、ＭＡＣ ｔｏｔとして保存される。

【００２６】なお、実施形態のデータ保存装置は、この
ような、ＭＯ内の全てのデータに関係する累積認証子を
付ける機能の他に、ＭＯ内のデータに対してグループ毎
に累積認証子を付ける機能も有している。詳細について
は後述するが、この機能は、ほぼ、上述した累積認証子
付与機能に、累積認証子を作成するデータを指定する機
能を付加したものになっている。

【００２７】次に、図９に示した機能ブロック図を用い
て、実施形態のデータ保存装置のデータ検証時の動作を
説明する。データ検証時、ＰＣ１２は、検証を行うこと
を指示されたＤＡＴＡと、そのＤＡＴＡに関するＴＩＭ
ＥとＭＡＣをＭＯから読み出して、書類管理ＰＣカード
１３に供給する。書類管理ＰＣカード１３は、供給され
たＤＡＴＡとＴＩＭＥからＭＡＣを作成し、作成したＭ
ＡＣを、供給されたＭＡＣと比較する。そして、両ＭＡ
Ｃが一致していた場合には、当該ＤＡＴＡが改竄されて
いないデータであることを表示器に表示し、一致してい
なかった場合には、当該ＤＡＴＡが改竄されたデータで
あることを表示器に表示する。また、書類管理ＰＣカー
ド１３は、同様の通知をＰＣ１２に対しても行う。

【００２８】また、累積認証子を用いた検証を行うこと
を指示された際、ＰＣ１２は、ＭＯ内の全てのＤＡＴＡ
とＴＩＭＥを読み出して、書類管理ＰＣカード１３に供
給するとともに、ＭＯ内のＭＡＣ ｔｏｔを書類管理Ｐ
Ｃカード１３に供給する。書類管理ＰＣカード１３は、
供給された全てのＤＡＴＡとＴＩＭＥとからＭＡＣを作
成し、作成したＭＡＣを、供給されたＭＡＣ ｔｏｔと
比較する。そして、両データが一致していた場合には、
ＭＯ内の各ＤＡＴＡが改竄されていないデータであるこ
とを表示器に表示するとともに、その旨をＰＣ１２に通
知する。一方、一致していなかった場合には、何らかの
改竄がＭＯに対して行われていることを表示器に表示す
るとともに、その旨をＰＣ１２に通知する。

【００２９】実施形態のデータ保存装置は、以上説明し
たような機能に加え、保存目的媒体処理機能（追記録機
能）を有している。この追記録機能を使用した際、デー
タが保存されるＭＯには、そのＭＯの一世代前のＭＯに
関する情報が保存される。

【００３０】以下、実施形態のデータ保存装置の追記録
機能を具体的に説明する。追記録時、前述した書類管理
ＰＣカードは、追記録・署名・検証モジュールとして機
能する。追記録・署名・検証モジュールが、１個のデー
タを保存する際の基本的な動作は、既に説明したものと
同様のものである。ただし、追記録時には、版数も保存
されるため、追記録・署名・検証モジュールは、以下の
ように動作する。

【００３１】最初のデータの記録時、追記録・署名・検
証モジュールは、図１０（ａ）に示したように、追記録
・署名・検証モジュールは、媒体格納残量判定装置（Ｐ
Ｃ１２）から、データを格納できる容量が残っているか
否かの通知を受ける（）。残っていること（ＯＮ）を
通知された追記録・署名・検証モジュールは、媒体ＩＤ
と版数とデータを取得する（〜）。そして、媒体Ｉ
Ｄと版数とデータを取得した追記録・署名・検証モジュ
ールは、日付と認証子を生成（、）する。すなわ
ち、追記録・署名・検証モジュールは、図１０（ｂ）に
模式的に示してあるように、タンパーフリー時計が出力
する日付と、媒体ＩＤ、版数、データのハッシュ関数処
理値（認証子）を出力する。そして、それらが、ＰＣに
よってＭＯに書き込まれる。また、ＰＣは、ＭＯに書き
込んだ版数、日付、認証子と、ＭＯの媒体ＩＤ、ＭＯに
書き込んだデータの作成者情報（ＰＣの使用者情報）か
らなる情報を、累積履歴情報の一要素として、ワーク媒
体（実施形態のデータ保存装置ではハードディスク）に
記憶する処理も行う。なお、累積履歴情報の詳細につい
ては後述する。

【００３２】次にデータの書込が行われる場合、図１１
（ａ）に示したように、追記録・署名・検証モジュール
は、まず、媒体ＩＤと版数とデータと日付と認証子を取
得する（〜）。そして、認証子が他の情報に対応す
るものであることを確認した上で、版数の発行を行う
（）。すなわち、追記録・署名・検証モジュールは、
図１１（ｂ）に模式的に示してあるように、ＰＣから与
えられた媒体ＩＤ、版数、データのハッシュ関数処理値
（認証子）と、ＰＣから与えられた認証子とが一致して
いるか否かを判定し、両者が一致していた場合には、版
数に“１”を加えた値を、今回書き込むデータの版数と
して出力する。この後、追記録・署名・検証モジュール
並びにＰＣは、図１０を用いて説明したのと同じ処理を
行うことによって、版数、データ、日付、認証子からな
る情報を、ＭＯ内に記憶する。また、ＰＣは、この場合
も、ＭＯに書き込んだ版数、日付、認証子と、ＭＯの媒
体ＩＤ、ＭＯに書き込んだデータの作成者情報からなる
情報を、累積履歴情報の一要素として、ワーク媒体に記
憶する処理を行う。

【００３３】このような処理を繰り返した結果、ＭＯ内
にデータの記憶余地がなくなると、図１２（ａ）に示し
たように、媒体格納残量判定装置（ＰＣ）から追記録・
署名・検証モジュールにその旨が通知される（：ＯＦ
Ｆ）。当該通知を受けた追記録・署名・検証モジュール
は、最後の認証子の内容を取得する（）。また、ＰＣ
は、ワーク媒体に記憶されている累積履歴情報をＭＯに
保存する（）とともに、累積履歴情報を追記録・署名
・検証モジュールに供給する（）。追記録・署名・検
証モジュールは、図１２（ｂ）に模式的に示したよう
に、取得した累積認証子と累積履歴情報から累積認証子
を生成する。そして、ＰＣは、追記録・署名・検証モジ
ュールが生成した累積認証子と終了コードをＭＯに書き
込む（、）。

【００３４】以下、ＭＯに保存される累積履歴情報、累
積認証子を、さらに、具体的に説明する。なお、初版媒
体と第二版以降の媒体では、累積履歴情報の内容が異な
っているため、ここでは、３枚の媒体にわたって追記録
が行われた場合を例に、ＭＯに保存される累積履歴情
報、累積認証子に関する説明を行うことにする。

【００３５】図１３（ａ）に示してあるように、媒体Ｉ
Ｄが２１２５である初版媒体に、２個のデータが保存さ
れた場合、その媒体が初版媒体であることを示す通版０
０１と、その媒体の媒体ＩＤ２１２５と、データ保存時
に収集された２組の情報からなる累積履歴情報が記憶さ
れる。また、その累積履歴情報を用いて作成された認証
子が累積認証子として記憶される。

【００３６】第二版媒体１００３には、図１３（ｂ）に
示したように、初版媒体ＩＤ２１２５の履歴情報と、媒
体１００３の履歴情報とからなる履歴情報が記憶され
る。そして、第二版媒体２１０８には、図１３（ｃ）に
示したように、第二版媒体１００３の履歴情報と、媒体
２１０８の履歴情報とからなる履歴情報が記憶される。

【００３７】すなわち、図１４に模式的に示したよう
に、初版媒体には、自媒体の関する履歴情報が記憶さ
れ、初版媒体を除く各媒体には、一世代前の媒体の履歴
情報と自媒体に関する履歴情報が記憶される。

【００３８】データ検証時のデータ読み出し処理は、図
９等を用いて説明した手順と同様の手順で行われる。す
なわち、図１５（ａ）、（ｂ）に示したように、追記録
・署名・検証モジュールは、媒体ＩＤ、版数、データ、
日付、認証子を取得し、媒体ＩＤ、版数、データ、日付
のハッシュ関数処理値と認証子の値を比較する。そし
て、両者が一致していた場合には、改竄がなされていな
い旨を表示器に表示するとともに、ＰＣに通知する。

【００３９】ここで、流れ図を用いて、上述した実施形
態のデータ保存装置の動作の補足説明を行っておく。図
１６に、ＭＯへのデータ書込要求がなされた際のデータ
保存装置の動作の流れを示す。既に説明したように、一
般媒体処理と保存目的媒体処理とに大別されており、デ
ータ書込要求がなされたとき、ＰＣは、セットされてい
る媒体が保存目的媒体でない場合（ステップＳ１０１；
Ｎ）には、一般媒体処理を実行する（ステップＳ１０
２）。

【００４０】一方、セットされている媒体が保存目的媒
体である場合（ステップＳ１０１；Ｙ）において、その
媒体が新規な媒体である場合（ステップＳ１０３；
Ｙ）、ＰＣは、ワーク媒体に一世代前の保存媒体の累積
履歴情報を格納する（ステップＳ１０４）。ワーク媒体
の累積履歴情報から、一世代前の保存媒体の累積認証子
が得られることを確認（ステップＳ１０５；Ｙ）した上
で、ステップＳ１０９に進む。当該累積認証子が得られ
なかった場合（ステップＳ１０５；Ｎ）には、ワーク媒
体に一世代前の保存媒体の累積履歴情報を再格納（ステ
ップＳ１０６）し、ステップＳ１０５に戻る。なお、セ
ットされた媒体が初版媒体である場合、ＰＣは、これら
の処理を行わない。

【００４１】セットされている媒体が新規な媒体でなか
った場合（ステップＳ１０３；Ｎ）、ＰＣは、保存領域
が確保されているか否かを判断する（ステップＳ１０
７）。そして、保存領域が確保されていなかった場合
（ステップＳ１０７；Ｎ）、ＰＣは、容量不足通知を書
類管理ＰＣカード（追記録・署名・検証モジュール）に
通知するとともに、表示し（ステップＳ１０８）、上述
した累積履歴情報の保存処理を実行（ステップＳ１０
９）、処理を終了する。なお、容量不足通知が表示され
た場合、ユーザによって、新たな媒体がＭＯドライブ１
１にセットされることになる。

【００４２】保存領域が確保されていた場合（ステップ
Ｓ１０７；Ｙ）、ＰＣは、ステップＳ１１０に進み、既
に説明した手順によるデータ保存処理を実行（ステップ
Ｓ１１１）し、処理を終了する。なお、このステップで
行われるデータ保存は、追記録であるので、当然のこと
ではあるが、図１７に示したように、ＭＯに媒体ＩＤが
記憶されており、かつ、データを保存しようとしている
ブロックにユーザデータが存在していないことを確認で
きたときのみに行われる。

【００４３】最後に、一般媒体処理の一機能として用意
されている、ＭＯ内のデータに対してグループ毎に累積
認証子を付ける機能（以下、立体認証機能と表記する）
の用途説明を行う。

【００４４】近年、盛んに使用されるようになってきた
ＣＡＬＳなどでは、ある１データが、構造化データと、
その管理情報とで表されている。構造化データが単純な
ものであった場合には、管理情報と構造化データとを組
み合わせたものをデータとし、実施形態のデータ保存装
置を用いて、そのデータに、日付、認証子等を付加し、
それらを伝送すれば良いのであるが、一般に、構造化デ
ータは、構造的、あるいは、セキュリティレベル的に階
層化された多数のオブジェクト情報を含む。また、各オ
ブジェクト情報は、異なる者によって異なるコンピュー
タ上で内容更新が行われることが多い。このため、セキ
ュリティレベルなどに応じた管理が各オブジェクト情報
に対して行えることが望ましい。

【００４５】立体認証機能は、このような管理を可能と
するために用意したものである。ここでは、データ送信
時を例に、立体認証機能を説明することにする。ユーザ
は、立体認証機能を用いたデータ送信を行う際、送信先
を特定する情報、送信先に送信すべき幾つかのデータの
識別情報等を、本装置に入力する。このような情報の入
力を受けたデータ管理装置（パソコン１２）は、図１８
に示したように、まず、送信が指示された１個以上の保
存データ（データから認証子までのデータ）をＭＯから
読み出す（ステップＳ２０１）。次いで、パソコン１２
は、送信を指示した者のユーザＩＤ等を認識し、そのユ
ーザＩＤと、送信が指示された保存データの識別情報、
送信元識別情報、送信先識別情報等を組み合わせて送信
履歴情報用情報を作成する（ステップＳ２０２）。次い
で、読み出した各保存データの認証子、作成した送信情
報用情報を、書類管理ＰＣカード１３に供給する（ステ
ップＳ２０３）。

【００４６】書類管理ＰＣカード１３は、パソコン１２
から供給された認証子、送信履歴情報用情報、タンパー
フリー時計２１のその時点における出力（時間情報）
を、認証子生成部２２に供給する（ステップＳ２０
４）。そして、認証子生成部２２にそれらの入力情報に
基づき認証子を生成させ、認証子生成部２２に供給した
時間情報と、認証子生成部２２が生成した認証子とをパ
ソコン１２に供給する（ステップＳ２０５）。

【００４７】時間情報と認証子の供給を受けたパソコン
１２は、送信が指示されている保存データが、送信履歴
情報用情報に時間情報を付加した送信履歴情報並びに認
証子と共に送信先に送信する（ステップＳ２０６）。そ
して、送信が正常に完了したことを確認した後に、送信
履歴情報と認証子とをＭＯドライブ１１に保存し（ステ
ップＳ２０７）、処理を終了する。

【００４８】一方、ステップＳ２０６で送信されたデー
タを受信する、送信先に存在するデータ保存装置では、
図１９に示した手順で当該データが処理される。まず、
受信側データ保存装置を構成するパソコン１２は、受信
したデータに含まれる、末尾の認証子を除く認証子と送
信履歴情報を、書類管理ＰＣカード１３に供給する（ス
テップＳ３０１）。書類管理ＰＣカード１３は、供給さ
れた情報のハッシュ値を求める（ステップＳ３０２）。
その後、パソコン１２は、受信したデータの末尾に含ま
れる認証子を書類管理ＰＣカード１３に供給する（ステ
ップＳ３０３）。書類管理ＰＣカード１３は、その認証
子とハッシュ値を比較し、両者が一致しているか否かを
示す情報をパソコン１２に対して出力する（ステップＳ
３０４）。

【００４９】パソコン１２は、両者が一致していないこ
とを示す情報が入力された際（ステップＳ３０６；Ｎ）
には、受信したデータを、改竄されたデータとして処理
する（ステップＳ３０７）。具体的には、改竄データが
受信されたことをユーザに通知し、その後、ユーザの指
示内容に従って動作する。一方、両者が一致していない
ことを示す情報が入力された際（ステップＳ３０６；
Ｎ）、パソコン１２は、受信したデータを、ＭＯドライ
ブ１１に保存し（ステップＳ３０８）、処理を終了す
る。

【００５０】なお、データの送信を伴わない立体認証機
能が起動された場合、パソコン１２は、ステップＳ２０
２相当のステップにおいて、ユーザによって入力された
複数の保存データの識別情報に基づき、送信元、送信先
識別情報を含まない送信履歴情報用情報相当の情報（以
下、グループ化履歴情報用情報と表記する）を作成す
る。そして、ステップＳ２０３〜Ｓ２０５相当のステッ
プにおいて、パソコン１２あるいは書類管理ＰＣカード
１３は、送信履歴情報用情報の代わりにそのグループ化
履歴情報用情報を用いた処理を行う。その後、パソコン
１２は、ステップＳ２０６相当のステップにおいて、グ
ループ化履歴情報用情報に時間情報（タンパーフリー時
計２１の出力）を付加した情報であるグループ化履歴情
報と、書類管理ＰＣカード１３が生成した認証子とをＭ
Ｏ内に記憶する。

【００５１】すなわち、この立体認証機能を用いれば、
図２０に模式的に示したように、各オブジェクト情報と
その管理情報に個別に認証子を付けた上で、それら全体
に認証子（累積認証子）を付けることができる。このた
め、それらの情報に対する改竄操作あるいはウィルス混
入を簡単に検出できることになる。なお、立体認証機能
による認証子の付加対象は、どのようなものであっても
良いが、例えば、図２１に模式的に示したように、改版
されていく情報の、変更要素（変更された構成要素の差
分情報）と変更履歴管理情報にこの立体認証機能を用い
て認証子を付加しておけば、従来に比して、情報の真性
性を容易に保証できることになる。

【００５２】なお、実施形態のデータ保存装置は、全て
のデータに認証子を付与する装置であったが、ユーザか
ら指定されたデータだけに対して認証子を付与するよう
装置を構成しても良いことは当然である。さらに、書類
管理ＰＣカード１３にデータを暗号化する機能を持たせ
たセキュアＰＣカードを用い、図２２に模式的に示した
ように、内容を読み取られたくない本文に関しては暗号
文に変換後、ネットワークに転送され、内容を読み取ら
れてもかまわない要約、料金に関しては平文のまま、た
だし、改竄の有無を検証できることが望ましい領域に関
しては認証子を付与した形で、ネットワークに転送され
るようにしても良いことは当然である。

【００５３】

【発明の効果】本発明によるデータ保存装置、データ保
存方法を用いれば、データをその作成日時が証明できる
形態で、書換可能であり、かつ、交換可能な記録媒体に
保存することが出来る。

【図面の簡単な説明】

【図１】実施形態のデータ保存装置によるデータ保存手
順の概要を示した説明図である。

【図２】実施形態のデータ保存装置によってＭＯに保存
される履歴情報の説明図である。

【図３】実施形態のデータ保存装置で用いられているデ
ジタル署名作成手順の説明図である。

【図４】実施形態のデータ保存装置によって保存された
データの検証手順の概要を示した説明図である。

【図５】実施形態のデータ保存装置のデータ保存機能を
説明するための機能ブロック図である。

【図６】実施形態のデータ保存装置の構成要素である書
類管理ＰＣカードが有する累積認証子生成機能を説明す
るための機能ブロック図である。

【図７】書類管理ＰＣカードの累積認証子生成機能を説
明するためのタイミング図である。

【図８】累積認証子と認証子の関係を示した模式図であ
る。

【図９】実施形態のデータ保存装置のデータ検証機能を
説明するための機能ブロック図である。

【図１０】実施形態のデータ保存装置の追記録動作の説
明図である。

【図１１】実施形態のデータ保存装置の追記録動作の説
明図である。

【図１２】実施形態のデータ保存装置の追記録動作の説
明図である。

【図１３】実施形態のデータ保存装置による累積認証子
格納動作の説明図である。

【図１４】実施形態のデータ保存装置によって追記録が
行われた複数の保存媒体に格納される累積認証子の相互
関係を説明するための図である。

【図１５】実施形態のデータ保存装置による、追記録さ
れたデータの検証手順の説明図である。

【図１６】ＭＯへのデータ書込要求がなされた際におけ
る、実施形態のデータ保存装置の動作手順を示した流れ
図である。

【図１７】実施形態のデータ保存装置における、追記録
動作の補足的な流れ図である。

【図１８】実施形態のデータ保存装置が有する立体認証
機能を説明するための流れ図である。

【図１９】実施形態のデータ保存装置が有する立体認証
機能を説明するための流れ図である。

【図２０】実施形態のデータ保存装置が有する立体認証
機能の一適用例を示した図である。

【図２１】実施形態のデータ保存装置が有する立体認証
機能の一適用例を示した図である。

【図２２】上位層における書類秘匿・署名処理概念の説
明図である。

【符号の説明】

１１ ＭＯドライブ １２ パーソナルコンピュータ １３ 書類管理ＰＣカード １４ キーボード ２１ タンパーフリー時計 ２２ 認証子生成機構 ２３ 認証子メモリ

─────────────────────────────────────────────────────

【手続補正書】

【提出日】平成１０年１月６日

【手続補正１】

【補正対象書類名】明細書

【補正対象項目名】請求項８

【補正方法】変更

【補正内容】

Claims (8)

【特許請求の範囲】
1. 【請求項１】 着脱可能であり、かつ、書換可能な記録
   媒体にデータを保存するためのデータ保存装置であっ
   て、 時間情報を出力する手段であって、出力する時間情報の
   調整が行えない時間情報出力手段と、 データの書込要求を受けたときに、そのデータと前記時
   間情報出力手段が出力する時間情報を含む情報を入力と
   したハッシュ関数処理値を求めることによって、前記デ
   ータの認証子を作成する認証子作成手段と、 この認証子作成手段によって作成された認証子と、その
   認証子の作成に用いられたデータと時間情報とを、前記
   記録媒体に書き込む書込手段とを備えることを特徴とす
   るデータ保存装置。
2. 【請求項２】 前記記録媒体には、固有の媒体識別情報
   が記憶されており、 前記認証子作成手段は、前記記録媒体に記憶されている
   前記媒体識別情報と、前記データと前記時間情報を含む
   情報を入力としたハッシュ関数処理値を求めることによ
   って、前記データの認証子を作成することを特徴とする
   請求項１記載のデータ保存装置。
3. 【請求項３】 前記記録媒体に記憶された複数のデータ
   に関する認証子からなる情報を入力としたハッシュ関数
   処理値を求めることによって、それら複数のデータから
   なるデータグループに関する認証子である累積認証子を
   作成する累積認証子作成手段と、 この累積認証子作成手段によって作成された累積認証子
   を、前記データグループとの対応関係がわかる形態で前
   記記録媒体に書き込む累積認証子書込手段とを、さら
   に、備えることを特徴とする請求項１または請求項２記
   載のデータ保存装置。
4. 【請求項４】 前記書込手段は、前記記録媒体のデータ
   の記憶に用いられていない領域のみにデータの書き込み
   を行う手段であり、 前記記録媒体に書き込むべきデータの作成者情報を取得
   する作成者情報取得手段と、 この作成者情報取得手段によって取得された作成者取得
   情報を、前記書込手段によって前記記録媒体に記憶され
   た認証子及び時間情報と共に記憶する記憶手段と、 前記記録媒体が初版媒体であった場合において所定の条
   件が満たされたときに、前記記録媒体に記憶された全て
   のデータに関する認証子を含む情報を入力としたハッシ
   ュ関数処理値である累積認証子と、前記記憶手段に記憶
   された情報と、前記記録媒体の媒体識別情報とを含む履
   歴情報を、前記記録媒体に書き込む第１履歴情報・累積
   認証子書込手段と、 前記記録媒体が初版媒体でなかった場合において前記所
   定の条件が満たされたときに、その記録媒体の一世代前
   の記録媒体である前世代記録媒体に記憶された履歴情報
   と累積認証子を取得し、前記記録媒体に記憶された全て
   のデータに関する認証子と前記全世代記録媒体に記憶さ
   れていた累積認証子を含む情報を入力としたハッシュ関
   数処理値である累積認証子を求め、求めた累積認証子
   と、前記記憶手段に記憶された情報と、前記記録媒体の
   媒体識別情報とを含む履歴情報を、前記記録媒体に書き
   込む第２履歴情報・累積認証子書込手段とを、さらに、
   備えることを特徴とする請求項２記載のデータ保存装
   置。
5. 【請求項５】 着脱可能であり、かつ、書換可能な記録
   媒体にデータを保存するためのデータ保存方法であっ
   て、 データの書込要求を受けたときに、そのデータと、タン
   パーフリー時計が出力する時間情報を含む情報を入力と
   したハッシュ関数処理値を求めることによって、前記デ
   ータの認証子を作成する認証子作成ステップと、 この認証子作成ステップにおいて作成された認証子と、
   その認証子の作成に用いられたデータと時間情報とを、
   前記記録媒体に書き込む書込ステップとを備えることを
   特徴とするデータ保存方法。
6. 【請求項６】 前記記録媒体には、固有の媒体識別情報
   が記憶されており、 前記認証子作成ステップは、前記記録媒体に記憶されて
   いる前記媒体識別情報と、前記データと前記時間情報を
   含む情報を入力としたハッシュ関数処理値を求めること
   によって、前記データの認証子を作成するステップであ
   ることを特徴とする請求項１記載のデータ保存方法。
7. 【請求項７】 前記記録媒体に記憶された複数のデータ
   に関する認証子からなる情報を入力としたハッシュ関数
   処理値を求めることによって、それら複数のデータから
   なるデータグループに関する認証子である累積認証子を
   作成する累積認証子作成ステップと、 この累積認証子作成ステップにおいて作成された累積認
   証子を、前記データグループとの対応関係がわかる形態
   で前記記録媒体に書き込む累積認証子書込ステップと
   を、さらに、備えることを特徴とする請求項５または請
   求項６記載のデータ保存方法。
8. 【請求項８】 前記書込ステップは、前記記録媒体のデ
   ータの記憶に用いられていない領域のみにデータの書き
   込みを行うステップであり、 前記記録媒体に書き込むべきデータの作成者情報を取得
   する作成者情報取得ステップと、 この作成者情報取得ステップにおいて取得された作成者
   情報を、前記書込ステップにおいて前記記録媒体に記憶
   された認証子及び時間情報と共に記憶手段に記憶する記
   憶ステップと、 前記記録媒体が初版媒体であった場合において所定の条
   件が満たされたときに、前記記録媒体に記憶された全て
   のデータに関する認証子を含む情報を入力としたハッシ
   ュ関数処理値である累積認証子と、前記記憶手段に記憶
   された情報と、前記記録媒体の媒体識別情報とを含む履
   歴情報を、前記記録媒体に書き込む第１履歴情報・累積
   認証子書込ステップと、 前記記録媒体が初版媒体でなかった場合において前記所
   定の条件が満たされたときに、その記録媒体の一世代前
   の記録媒体である前世代記録媒体に記憶された履歴情報
   と累積認証子を取得し、前記記録媒体に記憶された全て
   のデータに関する認証子と前記全世代記録媒体に記憶さ
   れていた累積認証子を含む情報を入力としたハッシュ関
   数処理値である累積認証子を求め、求めた累積認証子
   と、前記記憶手段に記憶された情報と、前記記録媒体の
   媒体識別情報とを含む履歴情報を、前記記録媒体に書き
   込む第２履歴情報・累積認証子書込ステップとを、さら
   に、備えることを特徴とする請求項６記載のデータ保存
   方法。