JP2005347867A - 電子文書改ざん検出方法及び電子文書改ざん検出装置並びにコンピュータプログラム - Google Patents

Abstract

【課題】 文書と図形を含む電子文書ファイルをセキュアに管理する。
【解決手段】 文書データからハッシュデータを生成して電子透かしで図面データに埋め込み、電子文書ファイルとして電子文書、図面データベース１２に登録する。閲覧者により指定された電子文書ファイルを電子文書、図面データベースから読み出してファイル内の文書データから第１のハッシュデータを生成するとともに、電子文書ファイル内の図面データに埋め込まれた前記ハッシュデータを第２のハッシュデータとして検出し、第１及び第２のハッシュデータを比較して、一致しない場合に電子文書ファイル内の文書データ及び／又は図面データが改ざんされたと判断して電子文書ファイルの閲覧を禁止する。
【選択図】 図１

Description

本発明は、文書データと図面データを含む電子文書を管理するための電子文書改ざん検出方法及び電子文書改ざん検出装置並びにコンピュータプログラムに関する。

従来例として下記の特許文献１には、会員利用者が会員利用者端末にて公証対象となる電子ファイルの固有情報を生成し、公証サーバがサイン入力により上記会員利用者を識別すると、上記固有情報と会員利用者の識別情報を対応づけて登録鍵ＩＤと共にデータベースに保存するとともに、登録鍵ＩＤを会員利用者に送信し、一般利用者が上記電子ファイルの公証確認を行う場合には、一般利用者端末を用いて上記電子ファイルより固有情報を生成し、上記電子ファイルと共に入手した登録鍵ＩＤと共に公証サーバに送信し、公証サーバが受信した固有情報とデータベースの固有情報が一致する場合に、公証情報を一般利用者に送信するようにする方式が開示されている。

また、電子透かし信号は、画像や音声のマルチメディアデータに何らかの情報を埋め込み、隠し持たせる技術である。埋め込む方式は様々なものがある。下記の非特許文献１では情報をＭＰＥＧ符号、特にＤＣＴ係数や、動きベクトル、量子化特性の変更に基づく情報埋め込み手法を提案している。また下記の非特許文献２では直接拡散方式に従い、ＰＮ系列で画像信号を拡散し、画像に署名情報を合成する方法を提案している。
特開２００２−２４１７７号公報（要約書） "ＤＣＴを用いたディジタル動画像における著作権情報埋め込み方法"、ＳＣＩＳ’９７−３１Ｇ ＮＴＴ "ＰＮ系列による画像への透かし署名法"、ＳＣＩＳ’９７−２６Ｂ、防衛大学

しかしながら、特許文献１に開示された技術では、セキュアな認証を用いて公証サーバヘのデータアクセスができるが、電子文書データや画像に対してのセキュアな管理をすることまでは開示されていない。特に特許などの文書特有の管理に関することは、通常の文書管理より厳密に行わなければならず、特別な仕組みの開発が望まれていた。

本発明は上記従来例の問題点に鑑み、文書と図形を含む電子文書ファイルをセキュアに管理することができる電子文書改ざん検出方法及び電子文書改ざん検出装置並びにコンピュータプログラムを提供することを目的とする。

本発明は上記目的を達成するために、電子文書作成に際し記入者が作成した文書データからハッシュデータを生成して、これを電子透かしで前記記入者が作成した図面データに埋め込み、前記文書データと、前記ハッシュデータが埋め込まれた図面データと文書管理データを結合した電子文書ファイルの改ざんを検出するために、
閲覧者により指定された電子文書ファイル内の文書データから第１のハッシュデータを生成し、
前記電子文書ファイル内の図面データに埋め込まれた前記ハッシュデータを第２のハッシュデータとして検出し、
前記第１及び第２のハッシュデータを比較して、一致しない場合に前記電子文書ファイル内の文書データ及び／又は図面データが改ざんされたと判断するようにしたものである。

また、本発明は上記目的を達成するために、所定のユニークコードを電子透かしで記入者が作成した図面データに埋め込み、前記記入者が作成した文書データと、前記ユニークコードが埋め込まれた図面データと文書管理データを結合した電子文書ファイルの改ざんを検出するために、
前記所定のユニークコードを第１のユニークコードとして読み出し、
閲覧者により指定された電子文書ファイル内の図面データに埋め込まれた前記ユニークコードを第２のユニークコードとして検出し、
前記第１及び第２のユニークコードを比較して、一致しない場合に前記電子文書ファイル内の文書データ及び／又は図面データが改ざんされたと判断するようにしたものである。

本発明によれば、電子文書、特にラボノートの電子文書に関する記録において、文書データはテキスト形式などで記録でき、図面データ画像と、記入者、証人者のサイン画像、署名データ、記入日付、閲覧日付情報を記録することができ、すべての情報を結合することで管理データベースが簡単になり、その管理データに生成記録日時や閲覧日時のリストが記録できるので、管理データが生成しやすくなる。また、テキストデータなどの一部又は全部の情報から生成したハッシュデータや所定のユニークコードをビットマップなどの図形画像に画像電子透かしで記録することができるので、図面や文書の改ざんがあっても確実に検出することができる。また、結合されたデータは暗号を施すことができるので、電子文書の漏洩防止などのセキュリティが向上し、さらに記入や閲覧が許可された人のリストデータを持っているので、不正なエントリを防ぐこともできる。

以下、図面を参照して本発明の実施の形態について説明する。ここで、本発明は、とりわけラボノートの電子文書をセキュアに記録再生（閲覧）できることを目的として、ハッシュデータ、電子透かし、データベース技術を効果的に組み合わせて管理することができるシステムを実現した。ラボノートの記録には「権利保護」と「研究活動における記録」という２つの側面があり、通常の電子データの管理技術だけでなく、セキュリティと、記入及び閲覧の記録を残すことが重要になってくる。権利保護的な側面から見た場合、ラボノートは証拠物としての役割を持っている。米国では、研究開発者にラボノートを記入する義務を持たせてはいないが、適切な管理に基づいて使用すると、多くの場合は法律的にも証拠物としての効力を発揮することが、過去の判例にも存在している。これは連邦証拠規則第８０３条（ｅ）にある伝聞証拠（hearsay evidence）の例外がその根拠となっている。

ラボノートに電子文書を記入して記録（登録）し、閲覧する仕組みとして必要な条件は、
（１）内容、日時、記入者が、管理情報若しくは文書内にセキュアな形式で記録されること。
（２）記入者の署名、日付に証人によるサインなどが入っていること。
（３）ラボノートは３０年間保存すること。
（４）個人の特定は個人のＩＤ、若しくはエントリするＰＣの固有情報、ネットワークＩＤを用いること。
（５）本人や閲覧者だけが行うことができるセキュリティを持っていること。
（６）ラボノートの内容、あるいは管理情報が改ざんされていないことを示す技術が入っていること。
（７）閲覧者記入テーブルを設けるようにすること。
（８）許可ある者が閲覧する、許可のない者が閲覧する、それを識別すること。
と考えられる。

＜第１の実施の形態＞
そこで本発明では、セキュリティと記入及び閲覧の記録表示という機能に焦点をあててシステムを構成している。図１は本発明の第１の実施の形態に係る記録装置のブロック図である。まず、記入者が作成した電子文書データと図面データをユーザインターフェース３を経由してそれぞれ電子文書データ入力器４と図面データ入力器７へ入力する。電子文書データは、テキストデータを扱うワープロソフトの電子データなどである。バイナリでもテキスト形式でも何でもよい。図面データは研究における文書と共に説明に用いる図面である。これはデジタルカメラの写真画像データであってもよい。形式はビットマップ形式、これを圧縮したＪＰＥＧなど、どのような形式でもよい。ユーザインターフェース３はこれらのデータをＰＣ１００のファイルシステムを用いてファイルをコピーするなどの方法で入力する。

また、ユーザインターフェース３には、ペン入力などのセンサを用いて記入者あるいはデータの閲覧者の手書きサインを入力できる仕組みとして、手書きサイン図入力器６を設ける。手書きサイン図入力器６にて入力されたデータは、ビットマップの画像データとして入力される。サインは記入者のサインと証人者のサインの両方を記録できる。また、記入者あるいはデータの閲覧者は、キーボード入力などのインターフェースにて、文字コードとしても名前（署名）と日付を、署名、日付データ入力器５で入力する。日付はＰＣなどのインターフエースの場合、そのＯＳが持つ日付情報を自動で入力するようにしてもよい。

次にハッシュデータ生成器８にて、電子文書データ入力器４と署名、日付データ入力器５にそれぞれ入力された電子文書データと署名、日付データの全部、若しくは一部を用いてハッシュデータを生成する。ハッシュデータはメッセージ認証子などを計算する手段で生成すればよい。認証子計算は、一般的にはまずディジタルデータのハッシュ値を計算して、その計算結果を別データとして保持しておく。「ハッシュ値」とは「ハッシュ関数」と呼ばれるものによって計算された結果である。「ハッシュ関数」とは、関数値ｙが与えられたときにｈ＿Ｋ（ｘ）＝ｙとなるようなｘを求めることが困難な関数ｈ＿Ｋのことである。改ざん検出に「ハッシュ関数」を利用する場合は、ｘは任意の長さでｙは固定長である。この際、ｈ＿Ｋは送信者と受信者のみが知っている秘密鍵Ｋによって変化するものであり、Ｋ及びがｘ与えられたとき、ｈ＿Ｋ（ｘ）は容易に計算できるように設定しておく。すなわち、このハッシュデータ生成器８ではこのハッシュ値を生成することに相当する動作を行う。

そのハッシュデータは電子透かし埋め込み記録器９に伝送される。一方、手書きサイン図入力器６と図面データ入力器７に入力された画像データも電子透かし埋め込み器９に伝送されて、ハッシュデータ生成器８で生成されたハッシュデータを電子透かしデータとして、画像データである手書きサイン図と図面データへ埋め込む。電子透かし方法は、非特許文献２に記載されている“ＰＮ系列による画像への透かし署名法”などを用いてもよいし、ＤＣＴなどのＡＣやＤＣ成分に埋め込む方式などを用いればよい。

こうして電子透かし情報を埋め込まれた画像データと電子文書データは、文書と画像データ結合器１０において、後述する図２のような構成にて、幾つかの付加情報と共にデータ結合され、暗号化器１１ヘ伝送される。一方、記録日時データ発生器１４から日時情報も暗号化器１１に伝送され、図２の日時情報構造で暗号化される。暗号方式は何であってもよいが、鍵情報はＰＣ固有の情報、例えばチップのシリアルナンバや、ネットワークＩＤなどを基にしたデータをハッシュ関数を用いて作成したものが望ましい。若しくは特定の管理者がパスワードを入力してそのデータをハッシュ関数を用いて作成したものでもよい。

暗号化されたデータは電子文書、図面データベース１２に伝送され、電子文書ファイルとして保存される。ファイルはいわゆるファイルシステムとして管理され、ファイルネームを記入者の名前などにし、データ作成日時も通常のファイルシステムに備わっている仕組みで記録しておく。また、ユーザインターフェース３には表示器１がつながっており、ＧＵＩなどで入力状態などがモニタリングできる。また、エントリ認証器２は、この記録装置にエントリするにあたって、記入者、あるいはデータの閲覧者のユーザネームとパスワードが入力され、記入者、閲覧者データベース１３に登録されている場合にのみ、記入や閲覧が可能となる。記入者、閲覧者データベース１３の構造は後述する図４や図５のような構成をとる。また、記録日時データ発生器１４、暗号化器１１、電子文書、図面データベース１２、記入者、閲覧者データベース１３はＰＣ１００とその周辺機器（ハードディスク）の中に設けられているのが通常の形態であるが、特別なハードウェアで実現してもよい。

次に図２を用いて、電子文書、図面データベース１２の中のデータ構造を説明する。データベースはハードディスク若しくは、光ディスクなどのメディア上に構成される。１ファイルは１人のラボノートの文書の１日単位で構成される。このデータベースは、始めに文書データ領域Ｄ１があり、次に図面データ領域Ｄ２、サインデータ領域Ｄ３、記録日時データ領域Ｄ４、閲覧リスト領域Ｄ５がこの順番で続く構成となっている。文書データ領域Ｄ１は文書データ領域Ｄ１２のサイズ情報Ｄ１１（８バイト）がへッダとして存在し、サイズ情報Ｄ１１はそのすぐ後にある文書データ領域Ｄ１２の最後までのデータサイズを示す。図面データ領域Ｄ２も同様に図面データ領域Ｄ２２の最後までの図面データ領域サイズＤ２１を示すヘッダが８バイトあり、その後にその示されたサイズの図面データ領域Ｄ２２が続く。

サインデータ領域Ｄ３も同様に、記入者サインデータ領域Ｄ３２、証人者サインデータ領域Ｄ３４の各サイズＤ３１、Ｄ３３を示すヘッダがそれぞれ８バイトあり、その後にその示されたサイズの記入者サインデータ領域Ｄ３２、証人者サインデータ領域Ｄ３４が続く。文書データ領域Ｄ１も、図面データ領域Ｄ２もサインデータ領域Ｄ３もサイズ情報を変更することでデータを追加することが可能な構成となっている。記録日時データ領域Ｄ４には「２００４年２月４日」などのような３２バイトの漢字コードなどをそのまま記録する。

閲覧リスト領域Ｄ５は、この文書データ若しくは図面データが閲覧されたエントリ数を示す領域Ｄ５１（８バイト）とエントリデータ領域Ｄ５２から構成されている。エントリデータ領域Ｄ５２は各々３２バイトの閲覧者氏名を記録する領域Ｄ５２１と閲覧日時を記録する領域Ｄ５２２を有し、各データが記録される仕組みとなっている。閲覧日時データ領域Ｄ５２２も記録日時データ領域Ｄ４と同様のフォーマットとする。

次に図３、図４、図５を用いて、記入者、閲覧者データベース１３のデータ構造を説明する。図４は記入者、すなわちラボノートを記入する人のエントリ許可を示すデータ構造を示す図である。データベースの管理者が始めにこのデータ構造を作成する。あるいはユーザインターフェース３にて初期登録プログラムを実行することで、この構造を生成するようにしてもよい。図４中のエントリ数は、このシステムを使用しているラボノート記入者の人数である。１エントリにつき１人の登録で、記入者氏名とエントリ時に使用するパスワードと登録日時を各々３２バイトで記入できるようになっている。

図５は閲覧者のデータベースの構造を示す図である。閲覧者も記入者と同様に、データベースの管理者が始めにこのデータ構造を作成する。あるいはユーザインターフエース３にて初期登録プログラムを実行することでこの構造を生成するようにしてもよい。図５中のエントリ数は、このシステムを使用する閲覧権限のある者の人数である。１エントリにつき１人の登録で、閲覧者氏名と閲覧エントリ時に使用するパスワードと登録日時を各々３２バイトで記入できるようになっている。図３はシステムを利用した閲覧のログを残す様子を示すもので、記録される閲覧者データの中には閲覧回数、閲覧者氏名、閲覧日時が含まれる。この閲覧日時は、システムを閲覧した日時であり、図２中の領域Ｄ５に記録される閲覧リストは、その文書や図面を閲覧したときの日時を含んでいる。

次に図６を用いて本発明の第１の実施の形態に係る記録アルゴリズムのフローを説明する。詳細なステップの処理内容は、図１のブロック図における説明で記したものと同じなので、ここではステップの順番についてのみ簡単に説明する。始めにステップＳ１においてエントリする記入者のユーザネーム、パスワードを入力する。次にステップＳ２でそのユーザネームが記入者、閲覧者データベース１３に登録されているか、及びパスワードが一致しているかを判定する。判定の結果がＮＯであればステップＳ１に戻る。ＹＥＳならステップＳ３ヘ進む。ステップＳ３では電子文書、図面データ、手書きサイン、日付を入力する。次のステップＳ４では電子文書部分のデータを基にハッシュ関数を用いてハッシュデータを生成する。

次にステップＳ５では、生成したハッシュデータを画像データ（図面データ及び／又は手書きサインの画像データ）に電子透かしデータとして埋め込む。次にステップＳ６で文書データと画像データを図２のようなフォーマットに結合する。次にステップＳ７で結合データを暗号化する。次にステップＳ８で暗号化データを電子文書、図面データベース１２ヘ記録する。次にステップＳ９で暗号化データを電子文書、図面データベース１２ヘ記録した日時を電子文書、図面データベース１２へ記録する。これはファイルシステムなどの日付情報を用いることなどで実行する。次にステップＳ１０で文書データや図面データがまだあるかどうかを判定し、ＹＥＳならステップＳ３へ戻る。ＮＯなら入力動作を終了する。

次に図７を用いて本発明の第１の実施の形態に係る電子文書改ざん検出装置である再生装置を説明する。閲覧者がユーザインターフェース２４を用いて閲覧エントリをすると、エントリ認証器２３において、ユーザネームとパスワードを閲覧者に問い合わせる。ユーザネームとパスワードが入力されると、記入者、閲覧者データベース１３の図５に示した構成データを参照して、氏名とパスワードが一致しているかどうかを比較し、一致している場合に閲覧要請が不図示のコントロール信号でＰＣ１００に伝送される。一致していない場合は再度入力画面に戻る。そして、始めに電子文書、図面データベース１２にて閲覧するラボノートの日時から、記録された日時のファイルを検索し、そのファイルを暗号復号器３３ヘ伝送する。暗号復号器３３はデータを復号し、図２に示した構成データを得る。

次に保存期間管理器３４において、現在の日時と、暗号を復号して得た図２に示した記録日時を比較して、保存期間が３０年を過ぎている場合には、閲覧後、ユーザインターフェース２４にて、このデータを破棄するかどうかの確認メッセージを出し、破棄を許可する場合には、閲覧後、このファイルを消去する。なおメッセージを出さずに閲覧後に消去してもよい。

暗号復号したデータは、文書と画像データ分離器３２に伝送される。文書と画像データ分離器３２は文書データと画像データを分離し、文書データ部分をハッシュデータ生成器２９に伝送する。また画像データは電子透かし検出器３１に伝送される。ハッシュデータ生成器２９で生成したハッシュ値と、電子透かし検出器３１で検出された電子透かしデータとして記録されていたハッシュデータは、ハッシュデータ比較器３０に伝送され、比較される。比較結果は表示制御器２２に伝送され、表示制御器２２は比較結果が一致している場合には表示をし、比較結果が一致していない場合には表示を停止する。そのとき停止と同時に、「データが改ざんされている可能性があります」との警告音声、警告表示を行ってもよい。

ハッシュデータ生成器２９を経由して電子文書データと、署名及び日付データがそれぞれ、電子文書データ出力器２５、署名、日付データ出力器２６に伝送され、ユーザインターフェース２４を経由して表示制御器２２で、前述の比較結果による制御をして表示器２１で表示される。一方、画像データは、電子透かし検出器３１を経由して手書きサイン図出力器２７と図面データ出力器２８に伝送され、手書きサイン図出力器２７と図面データ出力器２８は手書きサイン図と図面データを必要に応じて出力する。この出力もユーザインターフェース２４を経由して表示制御器２２で、前述の比較結果による制御をして、表示器２１で表示される。

次に図８を用いて本発明の第１の実施の形態に係る再生アルゴリズムのフローを説明する。詳細なステップの処理内容は、図７のブロック図における説明で記したものと同じなので、ここではステップの順番についてのみ簡単に説明する。始めに、ステップＳ１１においてエントリする閲覧者のユーザネーム、パスワードを入力する。次にステップＳ１２でそのユーザネームが記入者、閲覧者データベース１３に登録されているか、及びパスワードが一致しているかを判定する。判定の結果がＮＯであればステップＳ１１に戻り、ＹＥＳならステップＳ１３ヘ進む。

ステップＳ１３では電子文書、図面データベース１２から暗号化された電子文書データと図面データの結合データを読み出す。次にステップＳ１４では読み出したデータの暗号を復号する。次にステップＳ１５では文書データと画像データを分離する。次にステップＳ１６では電子文書部分のデータを基にハッシュ関数を用いてハッシュデータを生成する。次にステップＳ１７では、画像データ（図面データ及び／又は手書きサインの画像データ）に埋め込まれている電子透かしデータ（ハッシュデータ）を検出する。次にステップＳ１８では、ステップＳ１６で生成したハッシュデータとステップＳ１７で検出したハッシュデータを比較する。次にステップＳ１９でその比較結果が一致しているかどうかを判定する。ＮＯであればステップＳ２０で表示を停止する。停止と共に、「データが改ざんされている可能性があります」との警告音声、警告表示を行うステップを追加してもよい。その後終了する。

ＹＥＳであればステップＳ２１にて電子文書や図面データなどを表示する。必要に応じて日時情報を表示したり、サイン画像データを表示したりするステップを設けてもよい。その場合には不図示の他のユーザインターフェースにて表示要求を出すことにより、表示を行うことが可能である。次にステップＳ２２で文書データや図面データがまだあるかどうかを判定し、ＹＥＳならステップＳ１３へ戻る。ＮＯならステップＳ２３にて、保存期間が３０年を過ぎているかどうかを判定する。過ぎている（ＹＥＳ）場合にはステップＳ２４でデータベースからこの文書図面データのファイルを消去する。そして処理を終了する。過ぎていない（ＮＯ）の場合には、例えば３０年の保存期間に対して現在何年過ぎているか、若しくはあと残り何年保存されるかをステップＳ２５で表示し、その後、処理を終了する。

＜第２の実施の形態＞
次に図９を用いて、本発明の第２の実施の形態に係る記録装置を説明する。まず電子文書データ及び図面データをユーザインターフェース３を経由してそれぞれ電子文書データ入力器４、図面データ入力器７ヘ入力する。ユーザインターフェース３には、ペン入力用のセンサを用いて、記入者あるいはデータの閲覧者の手書きサインを入力できる仕組みとしての手書きサイン図入力器６が接続されている。手書きサイン図入力器６にて、入力されたデータをビットマップの画像データとして入力する。また、記入者あるいはデータの閲覧者は、キーボード入力などのインターフェースにて、文字コードとしても名前（署名）と日付を署名、日付データ入力器５で入力する。

次にＲＯＭ８ａから読み出されたユニークコードデータと、署名、日付データ入力器５に入力された署名、日付データが電子透かし埋め込み記録器９に伝送される。ユニークコードデータとしては３２バイト程度のシステム固有のシリアルナンバなどを用いればよい。また署名データ、日付データも図２に示すデータ構造のように、それぞれ３２バイトのデータでもよく、合計９６バイトのデータを図面データに電子透かしで埋め込む。電子透かし方式ではそれだけの情報量が埋め込めない場合には、不図示のハッシュ値計算器にて９６バイトの情報量を１６バイト程度まで削減しても構わない。

一方、手書きサイン図入力器６と図面データ入力器７に入力された画像データも電子透かし埋め込み記録器９に伝送されて、上記の９６バイトのユニークコードデータ、署名、日付データを電子透かしデータとして画像データヘ埋め込む。電子透かし情報を埋め込まれた画像データと、電子文書データは、文書と画像データ結合器１０において、図２のような構成で幾つかの付加情報と共にデータ結合され、暗号化器１１ヘ伝送される。

一方、記録日時データ発生器１４からの日時情報も暗号化器１１へ伝送され、図２の日時情報構造のデータに入力され、暗号化が施される。暗号化はこのデータ構造全体に施される。暗号方式は何であってもよいが、鍵情報はＰＣ固有の情報、例えばチップのシリアルナンバや、ネットワークＩＤなどを基にしたデータを、ハッシュ関数を用いて作成したものが望ましい。若しくは特定の管理者がパスワードを入力してそのデータを、ハッシュ関数を用いて作成したものでもよい。またＲＯＭデータに特殊なユニークコードを記録しておいて、そのデータを基に鍵を生成してもよい。暗号化されたデータは電子文書、図面データベース１２に伝送され、ファイルとして保存される。ファイルはいわゆるファイルシステムとして管理され、ファイルネームを記入者の名前などにし、データ作成日時も通常のファイルシステムに備わっている仕組みで記録しておく。

また、ユーザインターフェース３には表示器１がつながっており、ＧＵＩなどで入力状態などがモニタリングできる。また、エントリ認証器２は、この記録装置にエントリするにあたって、記入者、あるいはデータの閲覧者のユーザネームとパスワードを入力し、記入者、閲覧者データベース１３に登録されている場合にのみ入力や閲覧が可能となる。記入者、閲覧者データベース１３の構造は図４や図５に示すような構成をとる。また、記録日時データ発生器１４、暗号化器１１、電子文書、図面データベース１２、記入者、閲覧者データベース１３は、それぞれＰＣ１００とその周辺機器（ハードディスク）の中に設けられているのが通常の形態であるが、特別なハードウェアで実現してもよい。

次に図１０を用いて本発明の第２の実施の形態に係る記録アルゴリズムのフローを説明する。詳細なステップの処理内容は、図９のブロック図における説明で記したものと同じなので、ここではステップの順番についてのみ簡単に説明する。始めにステップＳ１においてエントリする記入者のユーザネーム、パスワードを入力する。次にステップＳ２でそのユーザネームが記入者、閲覧者データベース１３に登録されているか、及びパスワードが一致しているかを判定する。判定の結果がＮＯであればステップＳ１に戻り、ＹＥＳならステップＳ３へ進む。

ステップＳ３では電子文書、図面データ、手書きサイン、日付を入力する。次のステップＳ４ａでは、ＲＯＭ８ａからユニークコードデータを読み込む。次にステップＳ５でユニークコードデータ、署名、日付データを電子透かしデータとして、画像データ（図面データ及び／又は手書きサインの画像データ）に埋め込む。次にステップＳ６で文書データと画像データを図２に示すようなフォーマットに結合する。次にステップＳ７で結合データを暗号化する。次にステップＳ８で暗号化データを電子文書、図面データベース１２ヘ記録する。次にステップＳ９で暗号化データを電子文書、図面データベース１２ヘ記録した日時を電子文書、図面データベース１２へ記録する。これはファイルシステムなどの日付情報を用いることなどで実行する。次にステップＳ１０で文書データや図面データがまだあるかどうかを判定し、ＹＥＳならステップＳ３ヘ戻る。ＮＯなら入力動作を終了する。

次に図１１を用いて本発明の第２の実施の形態の電子文書改ざん検出装置である再生装置のブロック図を説明する。閲覧者がユーザインターフェース２４を用いて閲覧エントリをすると、エントリ認証器２３においてユーザネームとパスワードを問い合わせる。ユーザネームとパスワードが入力されると、記入者、閲覧者データベース１３の図５で示す構成データを参照して、氏名とパスワードが一致しているかどうかを比較し、一致している場合に閲覧要請が、不図示のコントロール信号でＰＣ１００に伝送される。一致していない場合は再度入力画面に戻る。そして、まず始めに電子文書、図面データベース１２にて、閲覧するラボノートの日時から、記録された日時のファイルを検索し、そのファイルを暗号復号器３３ヘ伝送する。暗号復号器３３はデータを復号し、図２に示す構成データを得る。

次に保存期間管理器３４において、現在の日時と暗号を復号して得た図２に示す記録日時（Ｄ４）を比較して、保存期間が３０年を過ぎている場合には、閲覧後、ユーザインターフェース２４にてこのデータを破棄するかどうかの確認メッセージを出し、破棄を許可する場合には、閲覧後、このファイルを消去する。なおメッセージを出さずに閲覧後に消去してもよい。

暗号復号したデータは、文書と画像データ分離器３２に伝送される。文書と画像データ分離器３２は文書データと画像データを分離し、サインデータと記録日付データをＲＯＭデータ比較器３０ａヘ伝送する。またＲＯＭ２９ａからユニークコードデータを読み出し、ユニークコードデータは署名、日付データと共にＲＯＭデータ比較器３０ａヘ伝送される。また画像データは電子透かし検出器３１に伝送される。電子透かし検出器３１で検出された電子透かしデータとして記録されていたユニークコードデータ、署名、日付データと、ＲＯＭ２９ａ並びに文書と画像データ分離器３２で分離されたユニークコードデータ、署名、日付データをＲＯＭデータ比較器３０ａで比較する。

比較結果は表示制御器２２に伝送され、表示制御器２２は比較結果が一致している場合には表示をし、比較結果が一致していない場合には表示を停止する。そのとき、停止と同時に「データが改ざんされている可能性があります」との警告音声、警告表示を行ってもよい。電子文書データ、署名、日付データはそれぞれ電子文書データ出力器２５、署名、日付データ出力器２６に伝送され、ユーザインターフェース２４を経由して表示制御器２２で、前述の比較結果による制御をして表示器２１で表示される。一方、画像データは、電子透かし検出器３１を経由して手書きサイン図出力器２７と図面データ出力器２８に伝送され、手書きサイン図出力器２７と図面データ出力器２８はそれぞれ手書きサイン図と図面データを必要に応じて出力する。この出力もユーザインターフェース２４を経由して表示制御器２２で、前述の比較結果による制御をし、表示器２１で表示される。

次に図１２を用いて本発明の第２の実施の形態の再生アルゴリズムのフローチャートを説明する。詳細なステップの処理内容は図１１のブロック図における説明で記したものと同じなので、ここではステップの順番についてのみ簡単に説明する。始めにステップＳ１１においてエントリする閲覧者のユーザネーム、パスワードを入力する。次にステップＳ１２でそのユーザネームが記入者、閲覧者データベース１３に登録されているか、及びパスワードが一致しているかを判定する。判定の結果がＮＯであればステップＳ１１に戻る。ＹＥＳならステップＳ１３へ進む。

ステップＳ１３では電子文書、図面データベース１２から、暗号化された電子文書データと図面データの結合データを読み出す。次にステップＳ１４では読み出したデータの暗号を復号する。次にステップＳ１５で文書データと画像データを分離する。次にステップＳ１６ａではＲＯＭ２９ａからユニークコードデータを読み出す。次にステップＳ１７で、画像データ（図面データ及び／又は手書きサインの画像データ）に埋め込まれている電子透かしデータを検出する。次にステップＳ１８ａで、ＲＯＭ２９ａから読み出したユニークコードデータ、及び署名、日付データと、電子透かしから検出したユニークコードデータ及び署名、日付データを比較する。

次にステップＳ１９ａでその比較結果が一致しているかどうかを判定する。ＮＯであればステップＳ２０にて表示を停止する。停止と共に、「データが改ざんされている可能性があります」との警告音声、警告表示を行うステップを追加してもよい。その後終了する。ＹＥＳであればステップＳ２１にて電子文書や図面データなどを表示する。必要に応じて日時情報を表示したり、サイン画像データを表示したりするステップを設けてもよい。その場合には不図示の他のユーザインターフェースにて表示要求を出すことにより、表示を行うことが可能である。次にステップＳ２２で文書データや図面データがまだあるかどうかを判定し、ＹＥＳならステップＳ１３ヘ戻る。ＮＯならステップＳ２３にて、保存期間が３０年を過ぎているかどうかを判定する。過ぎている（ＹＥＳ）場合にはステップＳ２４で電子文書、図面データベース１２からこの文書図面データのファイルを消去する。そして処理を終了する。過ぎていない（ＮＯ）場合には、例えば３０年の保存期間に対して、現在何年過ぎているか、若しくは、あと残り何年保存されるかをステップＳ２５で表示し、その後、処理を終了する。

以上のようなブロック図、並びにフローチャートを基にして装置やプログラムを作成することで、ラボノートに情報を記録し閲覧する仕組みとして必要な前述の条件を満たすことができる。すなわち、
（１）内容、日時、記入者が、管理情報若しくは文書内にセキュアな形式で記録されること、に関しては、本発明では図２の構造データを暗号化して記録する。その鍵情報はＰＣ固有の情報、例えばチップのシリアルナンバや、ネットワークＩＤなどを基にしたデータをハッシュ関数を用いて作成したもの、あるいは特定の管理者がパスワードを入力してそのデータをハッシュ関数を用いて作成したもの、あるいはＲＯＭデータに特殊なユニークコードを記録しておいて、そのデータを基に鍵を生成したものを用いることができる。

（２）記入者の署名、日付、証人によるサインなどが入っていること、に関しては、本発明では、図２に示す構造の中に記載することができる。
（３）ラボノートを３０年間保存すること、に関しては、本発明では第１、第２の実施の形態のように保存期間管理器３４において管理を行うことができるようになっている。
（４）個人の特定は個人のＩＤ、若しくはエントリするＰＣの固有情報、ネットワークＩＤを用いること、に関しては、前記ＰＣ固有の情報も、例えばチップのシリアルナンバや、ネットワークＩＤなどを基にしたデータをハッシュ関数を用いて作成したもの、あるいは特定の管理者がパスワードを入力して、そのデータをハッシュ関数を用いて作成したもの、あるいはＲＯＭデータに特殊なユニークコードを記録しておいて、そのデータを基に鍵を生成したものを鍵情報にして暗号を施すことができるので、個人やシステムを特定できる。

（５）本人や閲覧者だけが行うことができるセキュリティを持っていること、に関しては、上記の暗号と共にエントリ認証器２、２３によって実現できる。
（６）ラボノートの内容、あるいは管理情報は改ざんされていないかを示す技術が入っていること、に関しては、本発明では、文書データのハッシュデータやユニークコードを図面データやサインデータの画像に電子透かしで埋め込んでいるので、文書データと画像データの、どちらかが改ざんされると各々のデータ同士が一致しなくなるという性質を利用して改ざん検出をすることで実現している。

（７）閲覧者記入テーブルを設けるようにすること、に関しては、本発明では図２に示すエントリリストによって、文書や図面を見るたびに、閲覧者と閲覧日時が記録されログを残すことが実現できる。
（８）許可ある者が閲覧する、許可のない者が閲覧する、それを識別すること、に関しては、エントリ認証器２３にて、図４や図５に示す構造のデータベースを用いることで認証が実現できる。

ところで、本発明においては、データベースはＰＣ１００内に設けられているように説明したが、データベースは、ネットワークを用いた通信によって実現するシステムにしてもよい。また、記録媒体にデータを記録しなくても、通信、放送などあらゆる伝送媒体を経由してデータを送信することが可能なので、その場合には、記録装置は伝送装置として使用することもできる。また再生装置は受信装置として使用することも可能である。

また、本発明の信号データを記録した記録媒体は、図２、図３、図４、図５に示す構造で、効率良く、文書データ、図面データ、サインデータ、閲覧者や記入者の登録、閲覧回数や日時のログなどが記録できるデータベース構造を持っているという点において媒体特有の効果があり、電子文書を管理するシステムを好適に実現することができる。また、「記録媒体」は、データを記録できる狭義な媒体のみならず、信号データを伝送するための電磁波、光などを含むものとする。また、記録媒体に記録されている情報は、記録されていない状態での、電子ファイルなどのデータ自身を含むものとする。

本発明の第１の実施の形態に係る記録装置を示すブロック図である。 本発明の電子文書ファイルのデータ構造例のフォーマットを示す説明図である。 本発明の閲覧ログのデータ構造のフォーマットを示す説明図である。 本発明の記入者データベースのデータ構造のフォーマットを示す説明図である。 本発明の閲覧者データベースのデータ構造のフォーマットを示す説明図である。 本発明の第１の実施の形態に係る記録アルゴリリズムを示すフローチャートである。 本発明の第１の実施の形態に係る電子文書改ざん検出装置である再生装置を示すブロック図である。 本発明の第１の実施の形態に係る再生アルゴリズムを示すフローチャートである。 本発明の第２の実施の形態に係る記録装置を示すブロック図である。 本発明の第２の実施の形態に係る記録アルゴリリズムを示すフローチャートである。 本発明の第２の実施の形態に係る電子文書改ざん検出装置である再生装置を示すブロック図である。 本発明の第２の実施の形態に係る再生アルゴリズムを示すフローチャートである。

符号の説明

１、２１ 表示器
２、２３ エントリ認証器
３、２４ ユーザインターフェース
４ 電子文書データ入力器
５ 署名、日付データ入力器
６ 手書きサイン図入力器
７ 図面データ入力器
８、２９ ハッシュデータ生成器
８ａ、２９ａ ＲＯＭ
９ 電子透かし埋め込み記録器
１０ 文書と画像データ結合器
１１ 暗号化器
１２ 電子文書、図面データベース
１３ 記入者、閲覧者データベース
１４ 記録日時データ発生器
２２ 表示制御器
２５ 電子文書データ出力器
２６ 署名、日付データ出力器
２７ 手書きサイン図出力器
２８ 図面データ出力器
３０ ハッシュデータ比較器
３０ａ ＲＯＭデータ比較器
３１ 電子透かし検出器
３２ 文書と画像データ分離器
３３ 暗号復号器
３４ 保存期間管理器
１００ ＰＣ

Claims (6)

1. 記入者が作成した文書データからハッシュデータを生成して、これを電子透かしで前記記入者が作成した図面データに埋め込み、前記文書データと、前記ハッシュデータが埋め込まれた図面データと文書管理データを結合した電子文書ファイルの改ざんを検出する方法であって、
   閲覧者により指定された電子文書ファイル内の文書データから第１のハッシュデータを生成するステップと、
   前記電子文書ファイル内の図面データに埋め込まれた前記ハッシュデータを第２のハッシュデータとして検出するステップと、
   前記第１及び第２のハッシュデータを比較して、一致しない場合に前記電子文書ファイル内の文書データ及び／又は図面データが改ざんされたと判断するステップとを、
   有する電子文書改ざん検出方法。
2. 所定のユニークコードを電子透かしで記入者が作成した図面データに埋め込み、前記記入者が作成した文書データと、前記ユニークコードが埋め込まれた図面データと文書管理データを結合した電子文書ファイルの改ざんを検出する方法であって、
   前記所定のユニークコードを第１のユニークコードとして読み出すステップと、
   閲覧者により指定された電子文書ファイル内の図面データに埋め込まれた前記ユニークコードを第２のユニークコードとして検出するステップと、
   前記第１及び第２のユニークコードを比較して、一致しない場合に前記電子文書ファイル内の文書データ及び／又は図面データが改ざんされたと判断するステップとを、
   有する電子文書改ざん検出方法。
3. 記入者が作成した文書データからハッシュデータを生成して、これを電子透かしで前記記入者が作成した図面データに埋め込み、前記文書データと、前記ハッシュデータが埋め込まれた図面データと文書管理データを結合した電子文書ファイルの改ざんを検出する装置であって、
   閲覧者により指定された電子文書ファイル内の文書データから第１のハッシュデータを生成する手段と、
   前記電子文書ファイル内の図面データに埋め込まれた前記ハッシュデータを第２のハッシュデータとして検出する手段と、
   前記第１及び第２のハッシュデータを比較して、一致しない場合に前記電子文書ファイル内の文書データ及び／又は図面データが改ざんされたと判断する手段とを、
   有する電子文書改ざん検出装置。
4. 所定のユニークコードを電子透かしで記入者が作成した図面データに埋め込み、前記記入者が作成した文書データと、前記ユニークコードが埋め込まれた図面データと文書管理データを結合した電子文書ファイルの改ざんを検出する装置であって、
   前記所定のユニークコードを第１のユニークコードとして読み出す手段と、
   閲覧者により指定された電子文書ファイル内の図面データに埋め込まれた前記ユニークコードを第２のユニークコードとして検出する手段と、
   前記第１及び第２のユニークコードを比較して、一致しない場合に前記電子文書ファイル内の文書データ及び／又は図面データが改ざんされたと判断する手段とを、
   有する電子文書改ざん検出装置。
5. 記入者が作成した文書データからハッシュデータを生成して、これを電子透かしで前記記入者が作成した図面データに埋め込み、前記文書データと、前記ハッシュデータが埋め込まれた図面データと文書管理データを結合した電子文書ファイルの改ざんを検出する方法であって、
   閲覧者により指定された電子文書ファイル内の文書データから第１のハッシュデータを生成するステップと、
   前記電子文書ファイル内の図面データに埋め込まれた前記ハッシュデータを第２のハッシュデータとして検出するステップと、
   前記第１及び第２のハッシュデータを比較して、一致しない場合に前記電子文書ファイル内の文書データ及び／又は図面データが改ざんされたと判断するステップとを、
   有する処理をコンピュータに動作させるコンピュータプログラム。
6. 所定のユニークコードを電子透かしで記入者が作成した図面データに埋め込み、前記記入者が作成した文書データと、前記ユニークコードが埋め込まれた図面データと文書管理データを結合した電子文書ファイルの改ざんを検出する方法であって、
   前記所定のユニークコードを第１のユニークコードとして読み出すステップと、
   閲覧者により指定された電子文書ファイル内の図面データに埋め込まれた前記ユニークコードを第２のユニークコードとして検出するステップと、
   前記第１及び第２のユニークコードを比較して、一致しない場合に前記電子文書ファイル内の文書データ及び／又は図面データが改ざんされたと判断するステップとを、
   有する処理をコンピュータに動作させるコンピュータプログラム。
   

Images