JP2000132459A - データ保存システム - Google Patents

Abstract

(57)【要約】 【課題】汎用の保存媒体上に格納されたデータファイル
に対して消去や差し替えを含む改竄がなされたことを検
知できるデータ保存システムを提供する。 【解決手段】データ保存装置３０に固有の秘密情報と保
存すべきデータとを用いて所定の処理を行なって保存す
べきデータの電子署名１０２を生成し、保存すべきデー
タと電子署名１０２とを対応させて可搬型保存媒体２に
記録し、可搬型保存媒体２に予め記録された媒体管理用
データファイル１０３に、電子署名１０２を、保存すべ
きデータのファイルを識別する情報と対応させてレコー
ド１０５として記録し、格納されている秘密情報と媒体
管理用データファイル１０３を用いて所定の処理を行う
ことにより、媒体管理用データファイル１０３の電子署
名１０４を生成し、この電子署名１０４と媒体管理用デ
ータファイル１０３とを対応させて、可搬型保存媒体２
上に記録する。

Description

【発明の詳細な説明】

【０００１】

【発明の属する技術分野】本発明はデータ保存システム
に関するものである。

【０００２】

【従来の技術】例えば光磁気ディスクやＣＤ−Ｒ，ＤＶ
Ｄ，ＤＡＴ等の可搬型保存媒体に、テキストファイルや
画像ファイル等のデジタルデータを保存した場合には、
悪意あるユーザが、当該デジタルデータを全く形跡を残
すことなく改竄したり、不正に他のファイルと差し替え
たり、不正に消去することが可能である。

【０００３】データの改竄検知に関しては、保存するデ
ータファイルに電子署名を付ける方法が一般的である
（例えば、特開平７−２２１７５１号公報や特開平７−
１３１４４９号公報等）。電子署名法は暗号技術を用い
た方法であり、基本的にはデータに公知の処理を施して
あるコードを抽出し、そのコードを本人しか知らない暗
号鍵を用いて暗号化したものを改竄防止用のコード（電
子署名）として、オリジナルのデータファイルに対応さ
せて保存することからなる。改竄の有無を検知するに
は、まず、検知するデータに上記の公知の処理を施して
コード１を抽出する。また、電子署名データを復号用の
鍵を用いて復号してコード２を取り出す。その後、コー
ド１とコード２を比較することで、両者が一致した場合
には改竄がなかった、一致しない場合は改竄があったこ
とがわかる。

【０００４】電子署名を用いる通常の方法では、データ
ファイル作成者以外の第３者がデータ内容を改竄すると
それを検知することができる。しかし、この方法では、
データファイル作成者はいつでもデータから電子署名を
作成できるため、本物の書類作成後、何時でもデータフ
ァイルを作成しなおし、自分しか知らない暗号鍵を用い
て、そのデータファイルがあたかも本物であるかのよう
に、電子署名を付与することが可能である。例えば、３
年前に作成した公文書（デジタルデータ）の内容を、時
間を３年遅らせたＰＣを用いて改竄し、自分しか知らな
い暗号鍵を用いて電子署名を付与することで、あたかも
３年前に作成した公文書で内容は３年前から改竄されて
いないように見せかけることができてしまう。問題とな
るのは、改竄防止用のコードである電子署名を作成する
手段（暗号鍵）を、ユーザが自由に使用できるという点
である。

【０００５】上記のような問題を克服するためには、デ
ータファイルの改竄防止用コード作成のための暗号鍵
を、ユーザではなく、ハードウェア及びソフトウェア的
に安全性が確保されたデータ保存装置が管理し、改竄防
止コードはユーザが自由に作成できないようにすること
で実現できる。

【０００６】

【発明が解決しようとする課題】しかし、上記の方法を
用いた場合でも、可搬型保存媒体からデータファイルを
消去するという改竄は検知することができない。また、
ユーザが上記のデータ保存装置を用いて不正に作成した
データファイルと本物のデータファイルを差し替えると
いう改竄も検知することができない。つまり、データ作
成時に予め本物のデータファイルと偽りの内容を記録し
ている偽物のデータファイルとを上記データ保存装置で
作成し、それぞれ別の可搬型保存媒体１，２上に同名の
ファイルで格納する（この場合、第３者は、偽物を格納
した可搬型保存媒体の存在を知らない）。どちらも、デ
ータ保存装置の電子署名を持っており、データファイル
としては改竄されていないことが示される。その後、汎
用のＰＣなどを用いて、可搬型保存媒体２上の偽物のデ
ータファイルを、可搬型保存媒体１上の本物のデータフ
ァイルに上書きすることで、データファイルを不正の痕
跡を残さずに差し替えることができてしまう。

【０００７】本発明は、このような課題に着目してなさ
れたものであり、その目的とするところは、汎用の保存
媒体上に格納するデータファイルに対して、上述したよ
うな消去や差し替えを含む改竄がなされたことを検知で
きるデータ保存システムを提供することを目的とする。

【０００８】

【課題を解決するための手段】上記の目的を達成するた
めに、第１の発明は、ファイル管理機能を用いて保存媒
体に対してデータの保存、削除等を行なうデータ保存装
置を備えたデータ保存システムであって、前記データ保
存装置に固有の秘密情報を格納する格納手段と、この格
納手段に格納された秘密情報と、保存すべきデータとを
用いて所定の処理を行うことにより前記保存すべきデー
タの改竄防止用データを生成する生成手段と、前記保存
すべきデータと前記改竄防止用データとを対応させて前
記保存媒体に記録する第１の記録手段と、前記保存媒体
に予め記録されている媒体管理用データファイルに、前
記改竄防止用データを、前記保存すべきデータのファイ
ルを識別する情報と対応させて記録する第２の記録手段
と、前記格納手段に格納されている秘密情報と、前記媒
体管理用データファイルを用いて所定の処理を行うこと
により、前記媒体管理用データファイルの改竄防止用デ
ータを生成し、この改竄防止用データと前記媒体管理用
データファイルとを対応させて、前記保存媒体に記録す
る第３の記録手段とを具備する。

【０００９】また、第２の発明は、第１の発明におい
て、前記媒体管理用データファイルには、前記保存媒体
上に記録されている複数のデータファイルの改竄防止用
データを、各々ファイルを識別する情報と対応させて記
録する。

【００１０】また、第３の発明は、第２の発明におい
て、前記格納手段は改竄検知用情報を格納しており、こ
の改竄検知用情報と、前記保存媒体に記録されている媒
体管理用データファイルと、前記媒体管理用データファ
イルの改竄防止用データと用いて所定の処理を行うこと
によって、前記媒体管理用データファイルが改竄されて
いるか否かを検知する第１の検知手段と、前記媒体管理
用データファイルに登録されているファイルが全て、前
記保存媒体上に存在しているか否かを確認する確認手段
と、前記媒体管理用データファイルのレコードに登録さ
れているデータファイルの改竄防止用データと、保存媒
体上に前記データファイルと対応させて記録されている
前記データファイルの改竄防止用データとが一致するか
どうかを検知する第２の検知手段と、前記格納手段に格
納されている改竄検知用情報と、前記保存媒体に保存さ
れた前記保存すべきデータと、対応する前記改竄防止用
データとを用いて所定の処理を行うことによって、前記
保存すべきデータが改竄されているか否かを検知する第
３の検知手段とを具備する。

【００１１】また、第４の発明は、第１〜第３のいずれ
か１つの発明において、前記保存すべきデータは、通信
回線を介して外部装置から送られてきたデータか、ある
いは、前記データ保存装置のデータ入力機能を用いて入
力されたデータである。

【００１２】また、第５の発明は、第３または第４の発
明において、前記保存媒体を初期化する時、あるいは初
めてファイルを記録するときに、前記媒体管理用データ
ファイルを前記保存媒体に記録する手段を有する。

【００１３】また、第６の発明は、第３または第４の発
明において、前記ファイル管理機能は、前記保存媒体上
のデータファイルを削除する時に、前記媒体管理用デー
タファイルから消去するデータファイルのレコードも削
除する機能を持つ。

【００１４】また、第７の発明は、第１〜第６のいずれ
か１つの発明において、前記保存媒体は、前記データ保
存装置に着脱自在な可搬型保存媒体か、あるいは、前記
データ保存装置内に配置された固定型保存媒体である。

【００１５】

【発明の実施の形態】まず、図１及び図２を参照して本
発明の実施形態の概略を説明する。本実施形態のデータ
保存システムを用いて保存媒体にデータを記録するとき
には、まず、図１に示すように、データ保存装置内の秘
密情報を用いてデータファイルから改竄防止用データ
（ここでは電子署名）を作成し（ステップＳ１）、この
作成した電子署名を当該データファイルと対応付けて可
搬型保存媒体に記録する（ステップＳ２）。

【００１６】次に、記録したデータファイルの改竄防止
用データ（電子署名）をデータファイルの識別情報と共
にレコードとして、可搬型保存媒体上の保存媒体管理用
の管理ファイル（以下、媒体管理用データファイルと呼
ぶ）に記録する（ステップＳ３）。

【００１７】次に、上記媒体管理用データファイルに対
しても改竄防止用データ（電子署名）を作成して（ステ
ップＳ４）、可搬型保存媒体上に記録する（ステップＳ
５）。

【００１８】次に上記のようにして記録されたデータが
不正な第３者によって改竄されたかどうかを検証する方
法を図２を参照して説明する。改竄検証の要求があった
ときには、まず媒体管理用データファイルの改竄を検証
する（ステップＳ１０）。次に登録されている全てのデ
ータファイルの存在を確認し（ステップＳ１１）、媒体
管理用データファイルのレコード中の改竄防止用データ
と、対応するデータファイルの改竄防止用データ（電子
署名）とを比較する（ステップＳ１２）。このようにし
て全てのデータファイルに対して改竄を検証する（ステ
ップＳ１３）。

【００１９】すなわち、媒体管理用データファイルは、
可搬型保存媒体に必ず１つずつ存在するはずなので、当
該ファイルが存在しない場合には、可搬型保存媒体に対
して不正な処理がなされたことを検知できる。また、媒
体管理用データファイルの改竄防止用データ（電子署
名）から、媒体管理用データが改竄されたことが検知さ
れた場合にも、可搬型保存媒体に何らかの不正な処理が
なされたことを検知することができる。

【００２０】また、媒体管理用データファイル中のレコ
ードに記録されている改竄防止用データと対応するデー
タファイルの改竄防止用データが異なる場合には、不正
な差し替えが行われたことが検知できる。

【００２１】また、媒体管理用データファイル中のレコ
ードに存在するファイルが、可搬型保存媒体上に存在し
ない場合には、不正な消去が行われたことが検知でき
る。また、データファイルと、このデータファイルの改
竄防止用データを用いることで、通常の電子署名と同様
の方法で、データファイルが改竄されているかどうかを
調べることができる。この処理は、保存媒体上のすべて
のデータファイルに対して行なう。

【００２２】以下に、上記した概略を後述する第１〜第
３実施形態によりさらに詳細に説明する。ここでは改竄
防止用データとして電子署名を用いた場合について説明
するが、データの改竄を検知できるコードであるならば
電子署名以外のコードであってもよいことは勿論であ
る。

【００２３】図３は本発明の第１実施形態に係るデータ
保存システムの構成を示す図であり、データ保存装置３
０と、このデータ保存装置３０に着脱自在な可搬型保存
媒体２とからなり、保存すべきデータは通信回線３を介
してホストコンピュータ１から供給される。データ保存
装置３０としては、ハードウェア的にはコンピュータの
本体部分だけを使い、本体外壁を強固にパッケージ化し
たような構成を用いる。また、可搬型保存媒体２として
は、光ディスクや可搬型ハードディスク、ＤＡＴ，ＰＣ
ＭＣＩＡカード型メモリ、コンパクトフラッシュメモリ
などの汎用の記録媒体を用いる。同様に、記録媒体を駆
動する装置としても汎用の媒体駆動装置が用いられる。

【００２４】図３に示すように、データ保存装置３０
は、通信回線３に接続可能な通信ポート１１と、コマン
ド処理部１２と、ＣＰＵ２１と、ＣＰＵ作業用メモリ２
２と、プログラム格納用ＲＯＭ２３と、暗号鍵格納用メ
モリ２４と、ファイル管理部２５と、暗号・復号処理部
２６と、可搬型保存媒体２を駆動可能な可搬型保存媒体
駆動装置２７とを備えている。

【００２５】また、本実施形態では、ユーザは他のパソ
コン等の情報機器（図１ではホストコンピュータ１）か
ら通信回路３を通してしか、データ保存装置３０及び可
搬型保存媒体２内のデータにアクセスできないようにな
っている。つまり、ユーザがデータ保存装置３０にデー
タを保存するためには、ホストコンピュータ１から、コ
マンド、データ及び必要な各種属性値を通信回線３を通
してデータ保存装置３０へ送る。データ保存装置３０側
では、受け取ったコマンドが正当な処理要求である場合
にのみ保存の処理を行う。このような、従来のデータ保
存システムとしては、原本性保証電子保存システム
（“原本性保証電子保存システムの開発−システムの構
築”、ＭＥＤＩＣＡＬ ＩＭＡＧＩＮＧ ＴＥＣＨＮＯ
ＬＯＧＹ，Ｖｏｌ．１６ ＮＯ．４，ｐ４０１−４０
２，Ｊｕｌｙ １９９８）がある。

【００２６】まず、可搬型保存媒体２を初期化する方法
を説明する。ここで説明する初期化の方法は後述する第
２、第３実施形態に対しても同様に適用することができ
る。まず、ファイル管理部２５の機能を用いて、可搬型
保存媒体２にファイルが含まれているかどうかを調べ
る。ファイルが可搬型保存媒体２中に存在する場合に
は、初期化の処理は行わない。可搬型保存媒体２上にフ
ァイルが存在しない場合には、以下の手順で可搬型保存
媒体２を初期化する。

【００２７】可搬型保存媒体２に対して必要に応じて論
理フォーマットを施す。その後、可搬型保存媒体２上に
媒体管理用データファイルを生成する。初期化時には媒
体管理用データファイルに、データを初期化した時間や
初期化したユーザに関する情報などを書き込む。次に、
暗号鍵格納用メモリ２４から電子署名作成用の暗号鍵デ
ータを読み出し、媒体管理用データファイルのデータと
読み出した暗号鍵データから暗号・復号処理部２６の機
能を用いて改竄防止用データとしてデータ保存装置３０
の電子署名のデータを求めて、媒体管理用データファイ
ルと対応づけて可搬型保存媒体２上に保存する。

【００２８】次に、第１実施形態におけるデータ保存方
法を説明する。データを保存するときには、ホストコン
ピュータ１から通信回線３を通してデータを保存するた
めのコマンド、データ及び必要な各種属性値を受け取
る。ここで、各種属性とは、ファイル名、ユーザのアカ
ウント名、ファイルサイズ、ファイル生成時刻等のファ
イル属性値などがある。次に、暗号鍵格納用メモリ２４
から電子署名作成用の暗号鍵データを読み出し、前記暗
号鍵データと上記データから暗号・復号処理部２６の機
能を用いて改竄防止用データとしてデータ保存装置３０
の電子署名を求めて、データファイルと対応付けて保存
する。

【００２９】図４は可搬型保存媒体２に、保存するデー
タ１のファイル１０１と、データ１の電子署名１０２を
対応付けて記録した状態を示している。その他のデータ
がある場合にはデータ２、データ３、…が電子署名２、
３、…とそれぞれ対応付けて記録される。

【００３０】次に、データ保存装置３０の電子署名のデ
ータを、保存すべきデータファイルのファイル名などの
ファイル識別子とともに、媒体管理用データファイル１
０３中にレコードとして保存する。

【００３１】図４は可搬型保存媒体２の媒体管理用デー
タファイル１０３に、識別子１と電子署名１とを対応付
けてデータファイル１のレコード１０５として記録した
状態を示している。データ２、３、…がある場合には識
別子２、３、…と電子署名２、３、…とが対応付けて記
録される。

【００３２】その後、この媒体管理用データファイル１
０３が改竄されないように、前記暗号鍵データを用いて
媒体管理用データファイル１０３から、暗号・復号処理
部２６の機能を用いて媒体管理用データファイル１０３
に対する改竄防止用コードであるデータ保存装置３０の
電子署名１０４を求め、媒体管理用データファイル１０
３と対応させて可搬型保存媒体２上に保存する。なお、
図中には示していないが媒体管理用データファイル１０
３内には、前述した保存媒体初期化時の初期化データも
記録されている。図４は可搬型保存媒体２上に媒体管理
用データファイル１０３の電子署名１０４を記録した状
態を示している。

【００３３】図５は本発明の第２実施形態に係るデータ
保存システムの構成を示す図であり、データ保存装置と
して、デジタルカメラのような画像入力装置を用いた場
合の例である。図中、図３と同じ番号のモジュールは図
３と同じ機能を果たすことを意味する。

【００３４】データは、画像撮像部３０にて図示してい
ないレンズ系、ＣＣＤ素子、Ａ／Ｄ変換器、ファイルフ
ォーマット作成部等を経て、画像データとしてＣＰＵ作
業用メモリ２２に蓄積される。その後、ユーザがデジタ
ルカメラ４０のユーザインタフェース２９を通して、上
記画像データを保存するという指示をデジタルカメラ４
０に送ると、暗号鍵格納用メモリ２４から電子著名作成
用の暗号鍵データを読み出し、暗号鍵と上記データから
暗号・復号処理部２６の機能を用いて改竄防止用データ
として電子署名を求めて、図４に示すようにデータファ
イル１０１と対応付けて保存する。

【００３５】さらに、この時に電子署名のデータを、保
存するデータファイルのファイル名などのファイル識別
子とともに媒体管理用データファイル１０３中にレコー
ド１０５として保存する。その後、この媒体管理用デー
タファイル１０３が改竄されないように、前記暗号鍵デ
ータと媒体管理用データファイル１０３から、暗号・復
号処理部２６の機能を用いて媒体管理用データファイル
１０３の電子署名を求め、媒体管理用データファイル１
０３と対応させて可搬型保存媒体２上に保存する。

【００３６】図６は本発明の第３実施形態に係るデータ
保存システムの構成を示す図であり、データ保存装置と
してデジタル録音機のような音声入力装置を用いた場合
の例である。図中、図３と同じ番号のモジュールは図３
と同じ機能を果たすことを意味する。

【００３７】データは、音声入力部５０にて図示してい
ないマイク、Ａ／Ｄ変換器、ファイルフォーマット作成
部等を経て、音声データとしてＣＰＵ作業用メモリ２２
に蓄積される。その後、ユーザがデジタル録音機６０の
ユーザインタフェース２９を通して、上記音声データを
保存するというコマンドを入力すると、暗号鍵格納用メ
モリ２４から電子署名作成用の暗号鍵データを読み出
し、暗号鍵と上記データから暗号・復号処理部２６の機
能を用いて改竄防止用データとして電子署名を求めて、
図４に示すようにデータファイル１０１と対応付けて保
存する。

【００３８】さらに、この時に電子署名のデータを媒体
管理用データファイル１０３中に、保存するデータファ
イルのファイル名などのファイル識別子とともにレコー
ド１０５として保存する。その後、この媒体管理用デー
タファイル１０３自体が改竄されないように、前記暗号
鍵データと媒体管理用データファイル１０３のデータか
ら、暗号・復号処理部２６の機能を用いて媒体管理用デ
ータファイル１０３の電子署名１０４を求め、媒体管理
用データファイル１０３と対応させて可搬型保存媒体２
上に保存する。

【００３９】次に、本実施形態のデータ保存システムを
用いて可搬型保存媒体２からデータファイルを正規の手
続きで消去する方法について説明する。第１実施形態の
場合は、ホストコンピュータ１から送られてきたデータ
ファイルを消去するコマンドに応じて、可搬型保存媒体
２上の指定されたファイルを消去する。第２、第３実施
形態の場合には、ユーザインタフェース２９を用いてユ
ーザが入力したデータファイル消去要求に応じて、可搬
型保存媒体２上の指定されたファイルを消去する。

【００４０】データファイルを可搬型保存媒体２から消
去する場合には、同時に媒体管理用データファイル１０
３上の消去するデータファイルのレコードも削除する。
その後、暗号鍵格納用メモリ２４から電子署名作成用の
暗号鍵データを読み出し、媒体管理用データファイル１
０３と暗号鍵データから暗号・復号処理部２６の機能を
用いて改竄防止用データとしてデータ保存装置の電子署
名１０４のデータを作成しなおし、媒体管理用データフ
ァイル１０３と対応づけて可搬型保存媒体２上に上書き
により保存する。

【００４１】なお、レコードの削除は、媒体管理用デー
タファイル１０３から実際に削除しても良いし、また、
各レコードの先頭などに削除されたかどうかを示すフラ
グを設け、例えばそのレコードが存在するなら対応する
フラグを１に、削除されたなら０にすることで、媒体管
理用データファイル１０３からレコードを削除したこと
にしてもよい（後者を仮削除と呼ぶ）。なお、仮削除を
する場合には、媒体管理用データファイル１０３に対応
する電子署名１０４を作成する際にフラグの情報も含め
る。

【００４２】次に、本実施形態のデータ保存システムを
用いて可搬型保存媒体２からデータファイルの識別子を
正規の手続きで変更する手法について説明する。ファイ
ル名の変更、ディレクトリの変更等、ファイル識別子を
変更する場合には、同時に媒体管理用データファイル１
０３上の対応するレコードのファイル識別子をも変更す
る。その後、暗号鍵格納用メモリ２４から電子署名作成
用の暗号鍵データを読み出し、媒体管理用データファイ
ル１０３と暗号鍵データから暗号・復号処理部２６の機
能を用いて改竄防止用データとしてデータ保存装置３０
の電子署名のデータを作成しなおし、媒体管理用データ
ファイル１０３と対応づけて可搬型保存媒体２上に上書
きにより保存する。

【００４３】次に、第１実施形態の方法を用いて本実施
形態のデータ保存システムの不正な消去を含むデータの
改竄検知の方法を説明する。改竄検知の方法は、基本的
に第２、第３実施形態においても同様である。第１実施
形態の場合と異なる処理を行う必要のある部分について
は個々に説明する。

【００４４】まず、可搬型保存媒体２上のデータファイ
ルの改竄を検知するために、各々のデータファイル（媒
体管理用データファイルを含む）のデータ及び、対応す
る電子署名と暗号鍵格納用メモリ２４から読み出した改
竄検知用データとしての復号用の鍵から、暗号・復号処
理部２６の機能を用いて個々のファイルの改竄検知を行
う。改竄の有無を検知するには、まず、検知するデータ
に所定の処理を施してメッセージ・ダイジェストと呼ば
れるコード（コード１と呼ぶ）を抽出する。また、デー
タファイルの電子署名データを、暗号鍵格納用メモリ２
４から読み出した復号用の鍵を用いて復号してコード
（コード２と呼ぶ）を取り出す。

【００４５】その後、前記所定の処理を施して得られた
コード１と前記電子署名を復号化して得たコード２とを
比較し、両者が一致している場合には改竄されていな
い、一致していない場合にはデータファイルが改竄され
ていると判断することで改竄検知の処理を行う。改竄さ
れている場合には、第１実施形態の場合には通信回路３
を介してホストコンピュータ１側に、第２、第３実施形
態の場合にはユーザインタフェース２９を介してユーザ
に改竄があったことを通知する。

【００４６】また、可搬型保存媒体２上のデータファイ
ルの不正な消去を検知するには、ファイル管理部２５の
機能を用いて媒体管理用データファイル１０３にレコー
ドとして登録されているファイルが、すべて可搬型保存
媒体２上に存在するかどうかを調べる。もし、ファイル
が一つでも存在しない場合には、データファイルが不正
に消去させていることになる。不正な消去があった場合
には、第１実施形態の場合には通信回路３を介してホス
トコンピュータ１側に、第２、第３実施形態の場合には
ユーザインタフェース２９を介してユーザに不正にデー
タが消去されたことを通知する。

【００４７】また、可搬型保存媒体２上のデータファイ
ルの不正な差し替えを検知するには、ファイル管理部２
５の機能を用いて、保存されている全てのデータファイ
ルの電子署名と媒体管理用データファイル１０３の対応
するレコードに記録されている電子署名とを照合する。
一致しないデータファイルがある場合には、そのファイ
ルは不正に差し替えられたことになる。不正な差し替え
があった場合には、第１実施形態の場合には通信回線３
を介してホストコンピュータ１側に、第２、第３実施形
態の場合にはユーザインタフェース２９を介してユーザ
に不正にデータが消去されたことを通知する。

【００４８】また、上記の処理を行っているときに、媒
体管理用データファイル１０３にレコードが登録されて
いないファイルが可搬型保存媒体２上に存在した場合に
は、本実施形態のデータ保存システム以外のシステムを
用いてデータファイルが保存されたことになり、この場
合にも不正があったとして、第１実施形態の場合には通
信回線３を介してホストコンピュータ１側に、第２、第
３実施形態の場合にはユーザインタフェース２９を介し
てユーザに不正にデータが保存されていることを通知す
る。

【００４９】さらに、改竄防止用データ作成及び改竄検
知の手段として、公開鍵暗号方式のように、改竄防止用
データ作成時と改竄検知時で用いる情報（鍵）が異なる
ものを用いた場合、改竄防止用データ作成のための情報
だけをデータ保存装置内に安全に格納すればよいので、
改竄検知用の情報を公開することでデータ保存装置以外
の汎用の装置でも改竄検知の処理を行うことができる。

【００５０】なお、上記実施形態中では媒体管理データ
のレコード中には、データファイルの識別子とデータフ
ァイルの電子署名を記録するとしか記述しなかったが、
ファイルに関する他の情報等をレコードの属性中に定義
しても構わない。例えば、媒体管理データ中のレコード
を検索で使えるようにするためにレコード中に、キーワ
ードを含めるといった構成も考えられる。

【００５１】また、媒体管理用データファイルとして、
可搬型保存媒体２上の全てのファイルをまとめて１つの
ファイルとしたものを用いても、（このファイルを媒体
管理用データファイル′と呼ぶ）、改竄検知に関しては
同様の効果は得られる。しかし、この場合には媒体管理
用データファイル′のサイズが非常に大きくなり、電子
署名１０４を作成するために処理時間が非常に長くかか
ってしまう。しかも、電子署名１０４は可搬型保存媒体
上のどのファイルを更新しても、必ず更新される必要が
あるため非常に効率の悪いデータ保存システムになって
しまう。

【００５２】一方、本実施形態で提案した手法では媒体
管理用データファイルに記録されるデータは、前記媒体
管理用データファイル′に比べ非常に小さくなる。媒体
管理用データファイルのレコードのサイズは、ファイル
の識別子とファイルに対応した電子署名のサイズの合計
なのでせいぜい数百バイトであり、一方、通常のファイ
ルのサイズは、数十キロ〜数メガバイトである。したが
って、媒体管理用データファイルは媒体管理用データフ
ァイル′に比べて１／１００〜１／１００００程度小さ
くなる。そのため、提案した手法を用いることで電子署
名１０４を更新するための処理時間は短くなる。

【００５３】以上、上記した実施形態を要約すると以下
のようになる。すなわち、データ保存システムを用いて
データファイルを保存するときには、データファイルの
改竄防止用データ（電子署名）を作成して、データファ
イルと対応付けて可搬型保存媒体２上に保存するととも
に、媒体管理用データファイル１０３にデータファイル
の識別子と前記改竄防止用データをレコードとして記録
し、さらに、媒体管理用データファイル１０３の改竄防
止用データを作成して、可搬型保存媒体２上に保存す
る。

【００５４】また、データ保存システムを用いて改竄を
検知するときには、前記媒体管理用データファイル１０
３と媒体管理用データファイル１０３の改竄防止用デー
タ１０４を用いて改竄の有無を検証する。さらに、媒体
管理用データファイル１０３のレコードに登録されてい
るデータファイルが全て可搬型保存媒体２上に存在する
かどうかを確認し、不正な消去が行われなかったか確認
する。また、データファイルの改竄防止用データと、媒
体管理用データファイル１０３のレコードに記録されて
いるデータファイルの改竄防止用データを照合し、一致
しているかどうかを調べることで、データファイルの不
正な差し替えがなかったか否かを確認する。その後、可
搬型保存媒体２上の各データファイルと対応する改竄防
止用データを用いてデータファイルの改竄の有無を検証
する。

【００５５】以上の処理において、不正を検知した場合
には通信回線３、もしくはインタフェース２９を用いて
ユーザに不正があったことを通知する。上記した実施形
態によれば、データ保存装置以外には、可搬型保存媒体
２にデータを保存するときに作成する改竄防止用データ
を作成できないようにすることが可能となる。また、可
搬型保存媒体２に保存される全てのファイルの改竄防止
用データは、可搬型保存媒体２上の媒体管理用データフ
ァイル１０３に登録され、媒体管理用データファイル１
０３自体にも改竄防止用データが付けられる。以上の処
理を行うことで、データファイルの不正消去、不正コピ
ーを含む可搬型保存媒体２上のファイルの改竄を防止す
ることが可能となる。

【００５６】つまり、データファイルの改竄防止用デー
タを調べることで、データファイルが本実施形態の保存
システム以外のシステムを用いて不正に改竄されたかど
うかを検知できる。また、媒体管理用データファイル１
０３に登録されている改竄防止用データと、対応するデ
ータファイルの改竄防止用データを比較することで、本
実施形態の保存システム以外のシステムを用いて不正に
データファイルが消去、あるいはコピーされたかどうか
を検知できる。このようにして、汎用の可搬型保存媒体
を用いても、データファイルの不正な消去、コピーを含
む改竄を防止できる。

【００５７】なお、上記した実施形態ではデータ保存装
置に着脱自在な可搬型保存媒体を用いたが、データ保存
装置内に配置された固定型保存媒体を用いるようにして
もよい。

【図面の簡単な説明】

【図１】本発明の実施形態に係るデータ保存方法を説明
するためのフローチャートである。

【図２】記録されたデータが不正な第３者によって改竄
されたかどうかを検証する方法を説明するためのフロー
チャートである。

【図３】本発明の第１実施形態に係るデータ保存システ
ムの構成を示す図である。

【図４】可搬型保存媒体に本実施形態の方法によりデー
タファイルを保存した状態を示す図である。

【図５】本発明の第２実施形態に係るデータ保存システ
ムの構成を示す図である。

【図６】本発明の第３実施形態に係るデータ保存システ
ムの構成を示す図である。

【符号の説明】

１…ホストコンピュータ、 ２…可搬型保存媒体、 ３…通信回線、 １１…通信ポート、 １２…コマンド処理部、 ２１…ＣＰＵ、 ２２…ＣＰＵ作業用メモリ、 ２３…プログラム格納用ＲＯＭ、 ２４…暗号鍵格納用メモリ、 ２５…ファイル管理部、 ２６…暗号・復号処理部、 ２７…可搬型保存媒体駆動装置、 ２８…ハードディスク、 １０１…保存するデータ１のファイル、 １０２…データ１の電子署名、 １０３…媒体管理用データファイル、 １０４…媒体管理用データファイルの電子署名、 １０５…データファイル１のレコード。

Claims (7)

【特許請求の範囲】
1. 【請求項１】 ファイル管理機能を用いて保存媒体に対
   してデータの保存、削除等を行なうデータ保存装置を備
   えたデータ保存システムであって、 前記データ保存装置に固有の秘密情報を格納する格納手
   段と、 この格納手段に格納された秘密情報と、保存すべきデー
   タとを用いて所定の処理を行うことにより前記保存すべ
   きデータの改竄防止用データを生成する生成手段と、 前記保存すべきデータと前記改竄防止用データとを対応
   させて前記保存媒体に記録する第１の記録手段と、 前記保存媒体に予め記録されている媒体管理用データフ
   ァイルに、前記改竄防止用データを、前記保存すべきデ
   ータのファイルを識別する情報と対応させて記録する第
   ２の記録手段と、 前記格納手段に格納されている秘密情報と、前記媒体管
   理用データファイルを用いて所定の処理を行うことによ
   り、前記媒体管理用データファイルの改竄防止用データ
   を生成し、この改竄防止用データと前記媒体管理用デー
   タファイルとを対応させて、前記保存媒体に記録する第
   ３の記録手段と、 を具備することを特徴とするデータ保存システム。
2. 【請求項２】 前記媒体管理用データファイルには、前
   記保存媒体上に記録されている複数のデータファイルの
   改竄防止用データを、各々ファイルを識別する情報と対
   応させて記録することを特徴とする請求項１記載のデー
   タ保存システム。
3. 【請求項３】 前記格納手段は改竄検知用情報を格納し
   ており、この改竄検知用情報と、前記保存媒体に記録さ
   れている媒体管理用データファイルと、前記媒体管理用
   データファイルの改竄防止用データと用いて所定の処理
   を行うことによって、前記媒体管理用データファイルが
   改竄されているか否かを検知する第１の検知手段と、 前記媒体管理用データファイルに登録されているファイ
   ルが全て、前記保存媒体上に存在しているか否かを確認
   する確認手段と、 前記媒体管理用データファイルのレコードに登録されて
   いるデータファイルの改竄防止用データと、保存媒体上
   に前記データファイルと対応させて記録されている前記
   データファイルの改竄防止用データとが一致するかどう
   かを検知する第２の検知手段と、 前記格納手段に格納されている改竄検知用情報と、前記
   保存媒体に保存された前記保存すべきデータと、対応す
   る前記改竄防止用データとを用いて所定の処理を行うこ
   とによって、前記保存すべきデータが改竄されているか
   否かを検知する第３の検知手段と、を具備することを特
   徴とする請求項２記載のデータ保存システム。
4. 【請求項４】 前記保存すべきデータは、通信回線を介
   して外部装置から送られてきたデータか、あるいは、前
   記データ保存装置のデータ入力機能を用いて入力された
   データであることを特徴とする請求項１〜３のいずれか
   １つに記載のデータ保存システム。
5. 【請求項５】 前記保存媒体を初期化する時、あるいは
   初めてファイルを記録するときに、前記媒体管理用デー
   タファイルを前記保存媒体に記録する手段を有すること
   を特徴とする請求項３または４記載のデータ保存システ
   ム。
6. 【請求項６】 前記ファイル管理機能は、前記保存媒体
   上のデータファイルを削除する時に、前記媒体管理用デ
   ータファイルから消去するデータファイルのレコードも
   削除する機能を持つことを特徴とする請求項３または４
   記載のデータ保存システム。
7. 【請求項７】 前記保存媒体は、前記データ保存装置に
   着脱自在な可搬型保存媒体か、あるいは、前記データ保
   存装置内に配置された固定型保存媒体であることを特徴
   とする請求項１〜６のいずれか１つに記載のデータ保存
   システム。