CN100517356C - 图像读取设备和计算机程序产品 - Google Patents

Abstract

记录单元记录操作日志。抗窜改芯片中包括的存储单元存储了图像读取设备所特有的机密密钥。抗窜改芯片中包括的加密单元利用存储的机密密钥对记录的操作日志进行加密。传输单元将包括加密的操作日志的信息传输到服务器。

Description

图像读取设备和计算机程序产品

技术领域

本发明涉及用于保证图像读取设备的操作日志的可靠性和真实性的技术。

背景技术

已经有人提出了在网络系统中使用的用于记录图像读取设备中的日志信息的技术。例如，日本专利申请公开出版物No.H11-331469说明了一种技术：存储日志信息，如读取文档的参数，传输参数，以及传输的目标，并根据需要使用日志信息，以便重复使用同一个系统、检查使用状态，以及为防止故障而进行维护的操作效率，在网络系统中的图像读取设备中得到改善。日本专利申请公开出版物No.2003-189054说明了一种管理网络扫描仪的方法的技术，该技术可以记录日志信息，并可以将由用户频繁地使用的读取模式作为默认模式反映到扫描仪。

对于由每一个企业独立发起的安全性增强功能，作为为个人计算机(PC)平台提供技术的企业的行业组织，受信任的计算组(TCG)致力于开发和促进具有更高的可靠性和安全性的新型硬件/软件。日本专利申请公开出版物No.2005-317026说明了TCG用来判断涉及计算平台的安全性芯片的受信任的平台模块(TPM)的规范的技术。

然而，利用上述文件中所说明的常规技术，使用状况信息和日志信息可以被欺骗性地改变。因此，仍有一个问题：不能保证使用状况信息和日志信息的可靠性和可信性。

发明内容

本发明的目的是至少部分地解决常规技术中所存在的问题，

根据本发明的一个方面的图像读取设备通过网络连接到服务器。图像读取设备包括记录操作日志的记录单元；抗窜改芯片，包括：其中存储了图像读取设备所特有的机密密钥的存储单元，以及利用存储的机密密钥对记录的操作日志进行加密的加密单元；以及将包括加密的操作日志的信息传输到服务器的传输单元。

根据本发明的另一个方面的图像读取设备通过网络连接到服务器。图像读取设备包括记录操作日志的记录单元；对应于记录的操作日志生成散列值的生成单元；抗窜改芯片，包括：存储了图像读取设备所特有的机密密钥的存储单元，以及利用存储的机密密钥对生成的散列值进行加密的加密单元；以及将包括加密的散列值和记录的操作日志的信息传输到服务器的传输单元。

根据本发明的再一个方面的计算机程序产品包括计算机可使用的介质，具有在介质中实现的计算机可读取的程序代码，当执行这些程序代码时，使计算机执行：记录操作日志；利用图像读取设备所特有的存储在安装在图像读取设备中的抗窜改芯片中的机密密钥，对记录的操作日志进行加密；以及将加密的操作日志传输到通过网络连接到图像读取设备的服务器。

根据本发明的再一个方面的计算机程序产品包括计算机可使用的介质，具有在介质中实现的计算机可读取的程序代码，当执行这些程序代码时，使计算机执行：记录操作日志；对应于记录的操作日志生成散列值；利用图像读取设备所特有的存储在安装在图像读取设备中的抗窜改芯片中的机密密钥对生成的散列值进行加密；以及将加密的散列值和记录的操作日志传输到通过网络连接到图像读取设备的服务器。

通过阅读下面对本发明的目前优选的实施例的详细描述，并参考附图，将更好地理解本发明的上述及其他目的、特征、优点和技术和工业的意义。

附图说明

图1是用于说明根据本发明的第一个实施例的一般概念的示意图；

图2是用于说明第一个实施例的一般概念的示意图；

图3是用于说明根据本发明的第二个实施例的一般概念的示意图；

图4是用于说明第二个实施例的一般概念的示意图；

图5是根据本发明的图像读取设备的方框图；

图6是根据本发明的TPM芯片的方框图；

图7是根据本发明的服务器和时间服务器的方框图；

图8是根据第一个实施例的操作的处理过程的流程图；

图9是根据第一个实施例的操作的处理过程的流程图；

图10是图5所示的图像读取设备执行的操作的处理过程的流程图；

图11是根据第二个实施例的操作的处理过程的流程图；以及

图12是根据第二个实施例的操作的处理过程的流程图。

具体实施方式

下面将参考附图详细说明本发明的示范性实施例。本发明不仅限于下面所说明的实施例。例如，说明了TPM芯片作为根据本发明的抗窜改芯片的示例。然而，本发明不仅限于此。

图1是说明根据本发明的第一个实施例的系统的一般概念的示意图。根据第一个实施例的系统包括诸如扫描仪、打印机多功能产品/或传真机之类的图像读取设备100，以及通过网络300连接到图像读取设备100的服务器200。图像读取设备100包括TPM芯片10，该芯片10具有抗窜改性能，并存储了图像读取设备100所特有的机密密钥。如图1所示，对时间进行管理的时间服务器400可以通过网络300连接到图像读取设备100和服务器200。

图像读取设备100记录图像读取设备100的操作的操作日志(步骤S-1)。图像读取设备100每隔一定的时间间隔，或当图像读取设备100接收到来自外部的请求时，通过TPM芯片10，使用图像读取设备100所特有的机密密钥，对记录的操作日志进行加密(步骤S-2)。图像读取设备100通过网络300将加密的操作日志传输到服务器200(步骤S-3)。服务器200接收从图像读取设备100传输的加密的操作日志(步骤S-4)并累积加密的操作日志(步骤S-5)。

如果时间服务器400通过网络300连接到图像读取设备100和服务器200，如图1所示，则图像读取设备100从时间服务器400获取时间信息，将获取的时间信息附加到在步骤S-1中记录的操作日志，通过TPM芯片10对带有时间戳的操作日志(这是附加了时间信息的操作日志)进行加密，并将加密的带有时间戳的操作日志传输到服务器200。

图像读取设备100进一步包括温度传感器、湿度传感器以及海拔高度传感器中的至少一个。

操作日志包括读取文档的读取参数(即，文档大小、供纸状态(自动文档馈送器(ADF)、平板(FB)、单面、双面)、分辨率或彩色/单色)、读取的文档的数量、读取文档的时间、错误代码、错误发生时间、标识用户的用户标识信息、室内温度、图像读取设备的温度、湿度或海拔高度。

图2是说明根据第一个实施例的图像读取设备100的操作的一般概念的示意图。图像读取设备100通过图像读取设备100中包括的图像处理单元来检索图像数据(步骤T-1)。图像读取设备100通过TPM芯片10，生成诸如用于标识在步骤T-1中检索到的图像数据的图像标识(ID)之类的图像标识信息，将生成的图像标识信息附加到在步骤T-1中检索到的图像数据，并生成包括图像数据和图像标识信息的图像文件。如果图像标识信息包括图像读取设备100所特有的设备特定信息和序列号，则图像读取设备100从安装在图像读取设备100中的设备信息文件中获取设备特定信息(步骤T-2)，同时，获取当在步骤S-1中检索图像数据时在计数器中生成的(更新的)序列号(步骤T-3)。图像读取设备100通过组合获取的设备特定信息和序列号来生成图像标识信息，并作为操作日志的一部分，将生成的图像标识信息存储(记录)到图像读取设备100中的预先确定的存储区(日志存储区域)中。由TPM芯片10收集的操作日志累积在图像读取设备100中装备的诸如硬盘驱动器之类的存储设备中。TPM芯片10存储了对应于操作日志的散列值和/或与操作日志的存储区关联的地址。或者，如果使用TPM芯片10所特有的机密密钥对散列值和地址进行加密，操作日志的散列值和/或与操作日志关联的存储区的地址可以存储在诸如硬盘驱动器之类的存储设备中。

图像标识信息可以包括设备特定信息和由图像读取设备100从时间服务器400获取的时间信息，时间服务器400通过网络300连接到图像读取设备100，并对时间进行管理。计数器是更新单元，每次图像读取设备100检索图像数据时，该单元都更新预先存储在图像读取设备100中的序列号。计数器可以是通过TPM芯片10配备的单调计数器。

除了图像标识信息之外，操作日志还可以包括其他日志项目。其他日志项目可以是，例如，读取图像数据的读取参数，读取的图像数据的数量，读取图像数据的时间，关于在图像读取设备100中发生的错误的错误代码、错误发生时间，标识对图像读取设备100进行操作的用户的用户标识信息，由图像读取设备100配备的温度传感器检测到的室内温度和图像读取设备100的温度，由图像读取设备100配备的湿度传感器检测到的湿度，以及由图像读取设备100配备的海拔高度传感器检测到的海拔高度。

请回头参看图2，图像读取设备100通过TPM芯片10，使用存储在TPM芯片10中的机密密钥，对图像文件进行加密(步骤T-4)。图像读取设备100将在步骤T-4中加密的图像文件传输到例如，连接到图像读取设备100的个人计算机或服务器200(步骤T-5)。相应地，个人计算机和服务器200除了图像数据之外还可以累积操作日志。

如上文所描述的，利用根据本发明的图像读取设备100，通过参考累积的操作日志，可以指定从哪一个图像读取设备输出具有图像ID的图像数据。因此，可以确保图像数据的可溯性。此外，当传输到其他设备时，附加了图像ID的图像数据是加密的。从而，可以检测到传输路径上的图像ID的欺骗性的更改，导致改善图像数据的可靠性。

图3是用于说明根据本发明的第二个实施例的一般概念的示意图。图像读取设备100记录图像读取设备100的操作的操作日志(步骤U-1)。图像读取设备100对应于在步骤U-1记录的操作日志生成散列值。图像读取设备100每隔一定的时间间隔，或当图像读取设备100接收到来自外部的请求时，通过TPM芯片10，使用图像读取设备100所特有的机密密钥对生成的散列值进行加密(步骤U-3)。图像读取设备100通过网络400将加密的散列值和操作日志传输到服务器200(步骤U-4)。服务器200接收从图像读取设备100传输的加密的散列值和操作日志(步骤U-5)并累积接收到的散列值和操作日志(步骤U-6)。

如果时间服务器400通过网络300连接到图像读取设备100和服务器200，如图3所示，则图像读取设备300从时间服务器400获取时间信息，将获取的时间信息附加到在步骤U-1中记录的操作日志，通过TPM芯片10对带有时间戳的操作日志(这是附加了时间信息的操作日志)进行加密，并将加密的散列值和带有时间戳的操作日志传输到服务器200。

图4是说明根据第二个实施例的图像读取设备100的操作的一般概念的示意图。图像读取设备100通过安装在图像读取设备100中的图像处理单元来检索图像数据(步骤V-1)。图像读取设备100通过TPM芯片10，生成诸如用于标识在步骤V-1中检索到的图像数据的图像ID之类的图像标识信息，将生成的图像标识信息附加到在步骤V-1中检索到的图像数据，并生成包括图像数据和图像标识信息的图像文件。如果图像标识信息包括图像读取设备100所特有的设备特定信息和序列号，则图像读取设备100从安装在图像读取设备100中的设备信息文件中获取设备特定信息(步骤V-2)，同时，获取每次在步骤V-1中检索图像数据时在计数器中生成的(更新的)序列号(步骤V-3)。图像读取设备100通过组合获取的设备特定信息和序列号来生成图像标识信息，并作为操作日志的一部分，将生成的图像标识信息存储(记录)到图像读取设备100中的预先确定的存储区(日志存储区域)中。

图像读取设备100对应于图像文件生成散列值(步骤V-4)，并通过TPM芯片10，使用存储在TPM芯片10中的机密密钥，对散列值进行加密(步骤V-5)。图像读取设备100将在步骤V-5中加密的散列值传输到例如，连接到图像读取设备100的个人计算机或服务器200(步骤V-6)。

利用根据本发明的图像读取设备100，通过参考累积的操作日志，可以指定从哪一个图像读取设备输出具有图像ID的图像数据。因此，可以确保图像数据的可溯性。此外，当传输到其他设备时，具有图像ID的图像数据被附加了电子签名。从而，可以检测到传输路径上的图像ID的欺骗性的更改，导致改善图像数据的可靠性。

图5是图像读取设备100的方框图。图像读取设备100一般包括，作为最小配置，机械单元110、控制单元120，以及光学单元130。图像读取设备100相对于每一个单元都包括具有抗窜改性能的TPM芯片10，用于收集关于每一个单元的信息，并将收集到的信息记录在TPM芯片10中。TPM芯片10存储了创建电子签名以及进行加密所需的机密密钥。此外，TPM芯片10还可以包括用于利用例如，指纹执行身份验证的用户身份验证功能。在每一个单元的主体中提供了TPM芯片10，以便不能轻松地从外部取出TPM芯片10，还采用这样的配置，如果TPM芯片10被拆卸，则单元就无法工作。

机械单元110包括ADF单元/平板单元(包括电机和传感器)，以及通过单元间的接口(I/F)单元122a互连到ADF单元/平板单元的TPM芯片10。控制单元120包括微处理单元(MPU)，存储了控制程序的存储器单元、图像处理单元、指纹获取单元、网络接口、随机存取存储器(RAM)。TPM芯片10，它们都通过单元间的接口单元122b互连在一起。光学单元130包括光学系统单元，其中包括电荷耦合器件(CCD)和光源，TPM芯片10，它们通过单元间的接口单元122c互连在一起。

每一个单元(机械单元110、控制单元120，以及光学单元130)都可以包括各种传感器(温度传感器、湿度传感器以及海拔高度传感器)，以测量每一个单元的环境(温度、湿度、海拔高度)。

图6是TPM芯片10的方框图。作为最小配置，TPM芯片10包括，MPU 11、用于控制每一个单元的控制程序12、用于对操作日志和带有时间戳的操作日志进行加密的机密密钥文件13，至少存储了每一个单元的设备标识号码的单元信息文件14，存储了用于对用户进行身份验证的指纹信息的用户身份验证信息文件15，存储了关于每一个单元的环境(即，温度、湿度、海拔高度)的测量值和包括用于操作每一个单元的设置参数的日志信息以及操作的结果的随机存取存储器(RAM)16。

图7是服务器200和时间服务器400的方框图。服务器200和时间服务器400的硬件结构可以配置有通常可以在市场上获得的诸如工作站或PC之类的信息处理设备，或配置有信息处理设备的附属设备。服务器200和时间服务器400的每一个功能都可以利用控制单元(其中包括由硬件构成的中央处理单元(CPU))，硬盘驱动器，存储单元，其中包括诸如RAM和只读存储器(ROM)之类的存储器单元，输入单元，输出单元，输入/输出(I/O)控制接口，通信控制接口，以及对上述单元进行控制的计算机程序。

图8是根据第一个实施例的操作的处理过程的流程图。假设图像读取设备100包括温度传感器、湿度传感器，以及海拔高度传感器。

图像读取设备100记录对图像读取设备进行操作的操作日志(记录：步骤SA-1)。操作日志包括读取文档的读取参数(即，文档大小、供纸状态(自动文档馈送器(ADF)、FB、单面、双面)、分辨率或彩色/单色)、读取的文档的数量、读取文档的时间、错误代码、错误发生时间、标识用户的用户标识信息、室内温度、图像读取设备的温度、湿度以及海拔高度中的至少一个。

图像读取设备100通过网络300从时间服务器400获取时间信息(获取：步骤SA-2)。具体来说，图像读取设备100在获取单元中通过网络300向时间服务器400发送获取时间信息的请求(步骤SA-2-1)。时间服务器400接收从图像读取设备100发送的获取时间信息的请求(步骤SA-2-2)。时间服务器400通过网络300向图像读取设备100发送在时间服务器400中管理的时间信息(步骤SA-2-3)。图像读取设备100在获取单元中接收从时间服务器400发送的时间信息(步骤SA-2-4)。如果在图像读取设备100中进一步安装了实时时钟，则图像读取设备100可以基于实时时钟以预先确定的获取时间信息的时间间隔获取时间信息。

图像读取设备100将在步骤SA-2中获取的时间信息附加到在步骤SA-1中记录的操作日志(附加：步骤SA-3)。图像读取设备100使用图像读取设备100所特有的机密密钥，对通过在步骤SA-3中将时间信息附加到操作日志而生成的带有时间戳的操作日志进行加密(加密：步骤SA-4)。图像读取设备100通过网络300将在步骤SA-4中加密的带有时间戳的操作日志传输到服务器200(传输：步骤SA-5)。服务器200接收从图像读取设备100传输的带有时间戳的操作日志(步骤SA-6)。服务器200累积在步骤SA-6中接收到的带有时间戳的操作日志(步骤SA-7)。

图9是图像读取设备100执行的操作的处理过程的流程图。假设图像读取设备100包括更新序列号的计数器，从时间服务器400获取时间信息的时间获取单元，温度传感器湿度传感器以及海拔高度传感器。

图像读取设备100检索图像数据(步骤SB-1)。图像读取设备100对应于在步骤SB-1中检索到的图像数据生成图像标识信息(生成：步骤SB-2(生成图像标识信息))。

图10是图9所示的图像读取设备100在步骤SB-2中执行的操作的处理过程的流程图。

图像读取设备100通过TPM芯片10收集(获取)设备特定信息(步骤SC-1)。图像读取设备100通过TPM芯片10获取在计数器中已更新的序列号(步骤SC-2)。图像读取设备100可以从时间服务器400获取时间信息而不是获取序列号。可以利用与图8所示的步骤SA-2相同的操作规程获取时间信息。图像读取设备100通过组合在步骤SC-1中获取的设备特定信息和在步骤SC-2中获取的序列号(或时间信息)来生成图像标识信息(步骤SC-3)。

请回头参看图9，图像读取设备100通过TPM芯片10，将在步骤SB-2中生成的图像标识信息附加到在步骤SB-1中检索到的图像数据中(附加标识信息：步骤SB-3)。图像读取设备100通过TPM芯片10，使用存储在TPM芯片10中的机密密钥，对在步骤SB-3中向其中附加了图像标识信息的图像文件进行加密(加密：步骤SB-4)。图像读取设备100将在步骤SB-4中加密的图像文件传输到服务器200(传输：步骤SB-5)。

通过执行图9所示的操作规程，图像读取设备100通过TPM芯片10收集操作日志，通过TPM芯片10，使用机密密钥，对收集的操作日志进行加密，并将加密的操作日志传输到服务器200。当收集操作日志时，图像读取设备100还可以获取其他日志项目，如读取参数、读取的文档的数量、读取文档的时间、错误代码、错误发生时间、用户标识信息、室内温度、设备温度、湿度，以及海拔高度。此外，图像读取设备100还通过TPM芯片10，通过组合在步骤Sb-1中生成的图像标识信息和获取的其他日志项目来生成操作日志。

图11是根据第二个实施例的操作的处理过程的流程图，假设图像读取设备100包括温度传感器、湿度传感器，以及海拔高度传感器。图像读取设备100记录图像读取设备100的操作的操作日志(步骤SD-1)。图像读取设备100通过网络300从时间服务器400获取时间信息(获取：步骤SD-2)。图像读取设备100将在步骤SD-2中获取的时间信息附加到在步骤SD-1中记录的操作日志(附加：步骤SD-3)。图像读取设备100对应于通过在步骤SD-3中将时间信息附加到操作日志中而生成的带有时间戳的操作日志，生成散列值(生成散列值：步骤SD-4)。图像读取设备100通过TPM芯片10，使用图像读取设备100所特有的机密密钥，对在步骤SD-4中生成的散列值进行加密(加密：步骤SD-5)。图像读取设备100通过网络300将在步骤SD-4中加密的散列值和带有时间戳的操作日志传输到服务器200(传输：步骤SD-6)。

服务器200接收从图像读取设备100传输的加密的散列值和带有时间戳的操作日志(步骤SD-7)。服务器200累积在步骤SD-7中接收到的加密的散列值和带有时间戳的操作日志(步骤SD-8)。在累积接收到的带有时间戳的操作日志之前或之后，图像读取设备100可以验证附加在操作日志中的电子签名(散列值)的可信性。即，在累积接收到的操作日志之前或之后，图像读取设备100可以验证操作日志。

图12是根据第二个实施例的操作的处理过程的流程图。假设图像读取设备100包括更新序列号的计数器，从时间服务器400获取时间信息的时间获取单元，温度传感器、湿度传感器以及海拔高度传感器。

图像读取设备100检索图像数据(步骤SE-1)。图像读取设备100对应于在步骤SE-1中检索到的图像数据，生成图像标识信息(生成：步骤SE-2(生成图像标识信息))。图像读取设备100通过TPM芯片10，将在步骤SE-2中生成的图像标识信息附加到在步骤SE-1中检索到的图像数据中(附加标识信息：步骤SE-3)。图像读取设备100对应于在步骤SE-3中向其中附加了图像标识信息的图像文件，生成散列值(散列值生成：步骤SE-4)。图像读取设备100通过TPM芯片10，使用存储在TPM芯片10中的机密密钥，对在步骤SE-4中生成的散列值进行加密(加密：步骤SE-5)。图像读取设备100将在步骤SE-5中加密的散列值和在步骤SE-3中向其中附加了图像标识信息的图像文件传输到服务器200(传输：步骤SE-6)。

通过执行图12所示的操作规程，图像读取设备100通过TPM芯片10收集操作日志，对应于收集的操作日志生成散列值，通过TPM芯片10，使用机密密钥对生成的散列值进行加密，并将加密的散列值和操作日志传输到服务器200。

如上所述，根据本发明，图像读取设备100记录图像读取设备100的操作的操作日志，通过TPM芯片10，对记录的操作日志进行加密，并通过网络300将加密的操作日志传输到服务器200。此外，图像读取设备100记录图像读取设备100的操作的操作日志，对应于记录的操作日志生成散列值，通过TPM芯片10对生成的散列值进行加密，并通过网络300将加密的散列值和操作日志传输到服务器200。换句话说，数据是带有电子签名地进行传输的。另一方面，服务器200接收从图像读取设备100传输的操作日志和散列值，并累积操作日志和散列值。结果，当出于安全或维护目的而对操作日志进行分析时，可以确保操作日志的可靠性和可信性。

传统上，如果一个欺骗性的用户利用图像读取设备100读取文档，以生成文档的数据，如果欺骗性的用户只窃取数据，因为文档本身没有被盗窃，则可以检查图像读取设备100中记录的日志，以判断图像读取设备100是否被欺骗性地使用。然而，利用常规技术，由于可以轻松地改变日志，日志的可靠性较低，从而降低了检查欺诈的结果的可靠性。另一方面，如果使用了图像读取设备100，则通过具有抗窜改性能的TPM芯片将电子签名附加到日志中。因此，可以执行验证，以便由图像读取设备100准确地生成日志。

此外，还可以防止由操作不当或恶意操作所引起的对日志的欺骗性的更改，从而改善了维护的效率。如果服务器200安装在维护服务中心，则可以通过分析维护服务中心的大量日志。研究在特定设备中频繁地发生错误的趋势。

图像读取设备100包括温度传感器、湿度传感器以及海拔高度传感器，这会使得图像读取设备100能准确地获取关于图像读取设备100所处的环境(气候或地区)的信息。

图像读取设备100通过TPM芯片10检索图像数据，生成图像标识信息，通过TPM芯片10将生成的图像标识信息附加到图像数据中，使用机密密钥，对向其中附加了图像标识信息的图像数据进行加密，并将加密的图像数据传输到服务器200。图像读取设备100通过TPM芯片10检索图像数据，生成图像标识信息，通过TPM芯片10将生成的图像标识信息附加到图像数据中，对应于向其中附加了图像标识信息的图像数据生成散列值，使用机密密钥对生成的散列值进行加密，并通过网络300将加密的散列值和图像数据传输到服务器200。即，图像数据是带有电子签名地进行传输的。结果，可以指定从哪一个图像读取设备100输出具有图像ID的图像数据，从而确保了图像数据的可溯性。此外，还因为图像读取设备将带有图像ID的图像数据传输到其他设备，因此，可以检测到传输路径上的图像ID的欺骗性的更改，从而改善了图像数据的可靠性。

本发明在更广的方面不仅局限于这里显示和描述的具体细节和代表性的实施例。相应地，在不偏离所附权利要求和它们的等效物所定义的一般发明概念的精神或范围的情况下，可以进行各种修改。例如，在对示范性实施例的描述中说明的各种处理中，手动执行在说明中为自动地执行的部分或所有处理也是可以接受的。相反，使用已知技术自动地执行在说明中为手动执行的部分或所有处理也是可以接受的。

此外，除非特别说明，可以以任何形式修改文本和附图中存在的处理过程、控制过程、特定名称、包括各种数据和参数的信息、图像，以及数据库结构。

附图中所设备的组件是基于功能概念的。组件不一定必须在物理上按照附图中所显示的方式排列。例如由设备提供的部分或所有处理功能可以通过CPU和由CPU分析和执行的程序来实现，也可以作为具有布线逻辑的硬件来实现。程序记录在记录介质中，如稍后所说明的，并由控制单元根据需要用机械方法获取。

向CPU发出的与操作系统(OS)相关联的用于执行各种处理的指令的计算机程序存储在诸如ROM或硬盘(HD)之类的存储单元中。计算机程序被加载到RAM中供执行，并协同CPU实现了控制单元。计算机程序可以存储在通过网络连接的应用程序服务器中，可以根据需要下载一部分或整个计算机程序。

根据本发明的计算机程序可以存储到计算机可读的记录介质中，包括可移动物理介质、内置物理介质，以及临时保留了程序的通信介质。可移动物理介质包括软盘(FD)，以及磁光(MO)盘、ROM、可擦可编程只读存储器(EPROM)、电可擦可编程只读存储器(EEPROM)、光盘只读存储器(CD-ROM)或数字通用光盘(DVD)。内置物理介质包括安装在计算机系统中的ROM、RAM或HD。通信介质包括用于通过诸如局域网(LAN)、广域网(WAN)或因特网之类的网络传输程序的通信线路或载体。程序是以任意编写格式以任意语言编写的数据处理方法，导致源代码和二进制代码两者都可以接受。不一定以单一的结构准备程序，也可以作为多个模块或库来分开准备。此外，也可以包括实现了与诸如OS之类的其他程序相关联的功能的程序。用于读取根据实施例的每一个单元中的记录介质的特定配置，读取过程，以及读取之后的安装过程可以是已知配置和过程。

分布和集成设备的特定模式不仅限于附图中所显示的那些。可以根据各种负载和使用状态，在任何任意单元上在功能上或物理上分布或集成部分或所有设备。例如，每一个数据库都可以作为独立的数据库设备独立地构建，一部分处理可以通过公共网关接口(CGI)来实现。

根据本发明的实施例，当出于安全或维护目的而对操作日志进行分析时，可以确保操作日志的可靠性和可信性。此外，还可以实现图像数据的传输路径的映射，从而可获得图像数据的可溯性。

虽然是参考特定实施例描述本发明的，以保证提供完整而清晰的说明，但是，不对所附的权利要求作如此的限制，而应理解为实现了所有修改和备选的结构，如那些本领域技术人员所知道的，也在这里所阐述的基本原理的范围内。

Claims (20)

1.一种通过网络连接到服务器的图像读取设备，该图像读取设备包括：

记录操作日志的记录单元；

抗窜改芯片，包括：

其中存储了图像读取设备所特有的机密密钥的存储单元；以及

利用存储的机密密钥对记录的操作日志进行加密的加密单元；以及

将包括加密的操作日志的信息传输到服务器的传输单元。

2.根据权利要求1所述的图像读取设备，进一步包括：

从时间服务器获取时间信息的获取单元，所述时间服务器通过网络连接到图像读取设备，其中

所述抗窜改芯片进一步包括将获取的时间信息附加到记录的操作日志中的附加单元，以及

所述加密单元利用存储的机密密钥对附加了时间信息的操作日志进行加密。

3.根据权利要求1所述的图像读取设备，进一步包括：

温度传感器、湿度传感器以及海拔高度传感器中的至少一个。

4.根据权利要求1所述的图像读取设备，其中

操作日志包括文档读取参数、读取的文档的数量、文档读取时间、错误代码、错误发生时间、用户标识信息、室内温度、设备温度、湿度以及海拔高度中的至少一个。

5.根据权利要求1所述的图像读取设备，进一步包括：

生成用于标识由图像读取设备读取的图像数据的图像标识信息的生成单元，其中

所述抗窜改芯片进一步包括标识信息附加单元，用于将生成的图像标识信息附加到读取的图像数据中，以及

所述加密单元进一步利用存储的机密密钥对附加了图像标识信息的图像数据进行加密。

6.根据权利要求5所述的图像读取设备，其中

操作日志包括文档读取参数、读取的文档的数量、文档读取时间、错误代码、错误发生时间、用户标识信息中的至少一个。

7.根据权利要求5所述的图像读取设备，进一步包括：

温度传感器、湿度传感器以及海拔高度传感器中的至少一个，其中

操作日志包括由温度传感器检测到的室内温度、由温度传感器检测到的设备温度、由湿度传感器检测到的湿度，以及由海拔高度传感器检测到的海拔高度中的至少一个。

8.根据权利要求5所述的图像读取设备，进一步包括：

获取单元和更新单元中的一个，

所述获取单元从时间服务器获取时间信息，所述时间服务器通过网络连接到图像读取设备；以及

每次图像读取设备读取图像数据时，所述更新单元都更新图像读取设备的存储的序列号，其中

所述图像标识信息包括图像读取设备所特有的设备特定信息和获取的时间信息和已更新的序列号二者中的一个。

9.一种通过网络连接到服务器的图像读取设备，该图像读取设备包括：

记录操作日志的记录单元；

对应于记录的操作日志生成散列值的生成单元；

抗窜改芯片，包括：

存储了图像读取设备所特有的机密密钥的存储单元；以及

利用存储的机密密钥对生成的散列值进行加密的加密单元；以及

将包括加密的散列值和记录的操作日志的信息传输到服务器的传输单元。

10.根据权利要求9所述的图像读取设备，进一步包括：

从时间服务器获取时间信息的获取单元，所述时间服务器通过网络连接到图像读取设备，其中

所述抗窜改芯片进一步包括将获取的时间信息附加到记录的操作日志中的附加单元，以及

所述生成单元对应于附加了时间信息的操作日志生成散列值。

11.根据权利要求9所述的图像读取设备，进一步包括：

温度传感器、湿度传感器以及海拔高度传感器中的至少一个。

12.根据权利要求9所述的图像读取设备，其中

操作日志包括文档读取参数、读取的文档的数量、文档读取时间、错误代码、错误发生时间、用户标识信息、室内温度、设备温度、湿度以及海拔高度中的至少一个。

13.根据权利要求9所述的图像读取设备，进一步包括：

生成用于标识由图像读取设备读取的图像数据的图像标识信息的生成单元，其中

所述抗窜改芯片进一步包括标识信息附加单元，该单元将生成的图像标识信息附加到读取的图像数据中，以及

所述生成单元对应于附加了图像标识信息的图像数据生成散列值。

14.根据权利要求13所述的图像读取设备，其中

操作日志包括文档读取参数、读取的文档的数量、文档读取时间、错误代码、错误发生时间、用户标识信息中的至少一个。

15.根据权利要求13所述的图像读取设备，进一步包括：

温度传感器、湿度传感器以及海拔高度传感器中的至少一个，其中

操作日志包括由温度传感器检测到的室内温度、由温度传感器检测到的设备温度、由湿度传感器检测到的湿度，以及由海拔高度传感器检测到的海拔高度中的至少一个。

16.根据权利要求13所述的图像读取设备，进一步包括：

获取单元和更新单元中的一个：

所述获取单元从时间服务器获取时间信息，所述时间服务器通过网络连接到图像读取设备；以及

每次图像读取设备读取图像数据时，所述更新单元都更新图像读取设备的存储的序列号，其中

所述图像标识信息包括图像读取设备所特有的设备特定信息以及获取的时间信息和已更新的序列号二者中的一个。

17.一种通过网络读取图像的方法，该方法包括：

记录操作日志；

利用图像读取设备所特有的机密密钥，对记录的操作日志进行加密，所述机密密钥存储在安装在图像读取设备中的抗窜改芯片中；以及

将加密的操作日志传输到通过网络连接到图像读取设备的服务器。

18.根据权利要求17所述的方法，进一步包括：

读取图像数据；

生成用于标识读取的图像数据的图像标识信息；以及

将生成的图像标识信息附加到读取的图像数据，

所述加密过程包括利用存储的机密密钥对附加了图像标识信息的图像数据进行加密，以及

所述传输过程包括将加密的图像数据传输到服务器。

19.一种通过网络读取图像的方法，该方法包括：

记录操作日志；

对应于记录的操作日志生成散列值；

利用图像读取设备所特有的机密密钥对生成的散列值进行加密，所述机密密钥存储在安装在图像读取设备中的抗窜改芯片中；以及

将加密的散列值和记录的操作日志传输到通过网络连接到图像读取设备的服务器。

20.根据权利要求19所述的方法，进一步包括：

读取图像数据；

生成用于标识读取的图像数据的图像标识信息；以及

将生成的图像标识信息附加到读取的图像数据，

所述生成过程包括对应于附加了图像标识信息的图像数据生成散列值，以及

所述传输过程包括将加密的散列值和附加了图像标识信息的图像数据传输到服务器。

Images