JP2000285024A - 原本性保証電子保存方法およびその方法をコンピュータに実行させるためのプログラムを記録したコンピュータ読み取り可能な記録媒体 - Google Patents

Abstract

(57)【要約】 【課題】 紙の原本が有する性質を電子情報に持たせ、
電子情報の証明力を高めること。 【解決手段】 電子データ２１を保存する際に、原本で
あることを示すファイル属性コード２２を付加し、少な
くとも他の電子データとを識別可能な状態で保存するよ
うにする。そして、原本の電子データに対するアクセス
制御のレベルおよびその他の電子データに対するアクセ
ス制御のレベルを制御可能にする。

Description

【発明の詳細な説明】

【０００１】

【発明の属する技術分野】本発明は、原本性保証電子保
存方法に関し、より詳細には、紙の原本が有する性質を
電子情報に持たせ、電子情報の証明力を高めることが可
能な原本性保証電子保存方法およびその方法をコンピュ
ータに実行させるためのプログラムを記録したコンピュ
ータ読み取り可能な記録媒体に関する。

【０００２】

【従来の技術】情報の電子化の時代における情報管理の
考え方として、セキュリティ（Security）とトラスティ
（Trusty）というものがある。セキュリティとは、外部
からのアタックにより電子情報が破壊されたり、盗まれ
てしまうことから防衛することである。一方、トラステ
ィとは、電子情報が紙情報に比べて簡単に改ざんするこ
とが可能である点に鑑み、電子情報の改ざんを防止する
ことによって電子情報の証拠能力を確保することであ
る。

【０００３】上記トラスティには、第１の目的として、
企業等の組織活動または個人活動が他より早く行われて
いたことを証明するという目的がある（優先権の主
張）。ここで、第１の目的を達成するには、電子情報と
その付随情報（作成時期等）が改ざん不可能となってい
るか、または改ざんされても改ざんの事実を確実に検知
できるようになっていることが必要である。現在、この
目的に対する実用的な解としては、ＴＴＰ（Trusted Th
ird Party；第三者認証機関）があり、その代表的なも
のとしては、米国のＳｕｒｅｔｙ者が提供している認証
サービスがある。

【０００４】また、トラスティには、第２の目的とし
て、企業等の組織活動または個人活動として不正が行わ
れていないことを証明するという目的がある。ここで、
第２の目的を達成するには、電子情報とその付随情報
（作成時期等）が改ざん不可能となっているか、または
改ざんされても改ざんの事実を確実に検知できるように
なっていることに加えて、電子情報ファイルが削除不可
能または削除されたことが検知可能であることが必要で
ある。この第２の目的は、環境や製造物責任等に対する
企業の経営情報管理，官公庁等の情報公開等により今後
ますます高くなってくると考えられている。この第２の
目的を実現するためには、追記，修正等のバージョンア
ップや不正なファイル削除を防止するための機能が必要
で、例えばローカルネットワークにおいて、ファイル管
理システムと一体化または連携した認証機能を有するシ
ステムを用意することが好ましい。

【０００５】

【発明が解決しようとする課題】ところで、現在は紙文
書として保存することが法律で義務付けられている情報
が多々存在しており、これが情報の電子化を阻害する要
因となっているが、情報に原本性保証機能（真性性，保
存性，見読性，原本の唯一性）を付与することにより、
電子化が認められることになった（参照：総務庁通達
等）。したがって、電子情報においても、紙ベースで構
築されてきた法律体系に応じて原本と謄本とを区別でき
るようにすると共に、改ざんを容易に行えないように
し、電子情報の証明力を高めることが可能な技術の開発
が望まれている。

【０００６】また、原本性保証の対象となる情報は、前
述した第２の目的に属する情報が大半であることから、
ファイル管理システムと同じローカルエリアネットワー
ク上に存在する原本性保証サーバ、即ち、ユーザサイト
に設置することが可能な原本性保証機能を有する認証サ
ーバの実現が望まれている。これにより、例えば諸官庁
の情報を扱うのに十分なトラスティとセキュリティを有
した原本性保証サーバの実現が可能となる。

【０００７】本発明は上記に鑑みてなされたものであっ
て、紙の原本が有する性質を電子情報に持たせ、電子情
報の証明力を高めることを可能にすることを目的とす
る。

【０００８】また、本発明は上記に鑑みてなされたもの
であって、ユーザサイトに設置可能な原本性保証機能を
有する認証サーバを実現可能にすることを目的とする。

【０００９】

【課題を解決するための手段】上記目的を達成するた
め、請求項１の原本性保証電子保存方法は、電子データ
を保存する際に、少なくとも原本の電子データとその他
の電子データとを識別可能な状態で保存し、前記原本の
電子データに対するアクセス制御のレベルおよびその他
の電子データに対するアクセス制御のレベルを制御する
ものである。

【００１０】また、請求項２の原本性保証電子保存方法
は、請求項１に記載の原本性保証電子保存方法におい
て、前記電子データが、対応する属性情報と共に保存さ
れ、前記属性情報が、ユーザが編集入力を行えないよう
に管理されており、前記原本の電子データに対し、前記
属性情報として原本であることを示す属性コードを付与
するものである。

【００１１】また、請求項３の原本性保証電子保存方法
は、請求項１または２に記載の原本性保証電子保存方法
において、さらに、前記原本の電子データに対する修正
履歴を記録するものである。

【００１２】また、請求項４の原本性保証電子保存方法
は、請求項１または２に記載の原本性保証電子保存方法
において、さらに、前記原本の電子データに対する削除
処理の実行を禁止するものである。

【００１３】また、請求項５の原本性保証電子保存方法
は、請求項１または２に記載の原本性保証電子保存方法
において、さらに、前記原本の電子データの複製を生成
し、生成した複製を前記原本に対する謄本として管理す
るものである。

【００１４】また、請求項６の原本性保証電子保存方法
は、請求項１または２に記載の原本性保証電子保存方法
において、さらに、前記原本の電子データの作成もしく
は修正した順番または時刻に関する情報を、外部から変
更できないようにするか、または変更されても変更され
た事実を検出可能な状態で、前記原本の電子データと共
に保存するものである。

【００１５】また、請求項７の原本性保証電子保存方法
は、請求項２に記載の原本性保証電子保存方法におい
て、さらに、前記電子データの移動が要求された場合
に、前記電子データを対応する属性情報と共に移動させ
るものである。

【００１６】また、請求項８の原本性保証電子保存方法
は、請求項２に記載の原本性保証電子保存方法におい
て、さらに、前記原本または謄本の電子データおよび対
応する属性情報にメッセージ認証子を付与して保存し、
前記電子データがアクセスされた場合に、前記メッセー
ジ認証子を用いて前記電子データに対する改ざんを検出
するものである。

【００１７】また、請求項９の原本性保証電子保存方法
は、請求項２に記載の原本性保証電子保存方法におい
て、さらに、第１の保存装置に存在する前記電子データ
の複製を第２の保存装置に生成するための要求または前
記第１の保存装置に存在する前記電子データを前記第２
の保存装置に移動させるための要求があった場合に、第
１の保存装置が、前記電子データおよび対応する属性情
報のそれぞれに付与された前記メッセージ認証子を検証
した後、前記メッセージ認証子を除いた電子データおよ
び対応する属性情報を前記第２の保存装置に転送し、前
記第２の保存装置が、前記電子データおよび対応する属
性情報を受け取り、処理内容に応じて前記属性情報を変
更し、前記電子データおよび対応する属性情報に対して
メッセージ認証子を付与して保存するものである。

【００１８】さらに、請求項１０のコンピュータ読み取
り可能な記録媒体は、前記請求項１〜９のいずれか一つ
に記載の原本性保証電子保存方法をコンピュータに実行
させるためのプログラムを記録したものである。

【００１９】

【発明の実施の形態】以下、本発明に係る原本性保証電
子保存方法およびその方法をコンピュータに実行させる
ためのプログラムを記録したコンピュータ読み取り可能
な記録媒体の一実施の形態について、添付の図面を参照
しつつ詳細に説明する。

【００２０】図１は、本実施の形態に係る原本性保証電
子保存方法を実行する電子保存装置のブロック構成図で
ある。ユーザは、ホスト計算機２側からネットワーク
（単なる通信路で良い）を介して電子保存装置１に対し
て電子データの保存処理や読み出し処理を実行すること
ができる。

【００２１】図１に示す電子保存装置１において、１１
はプロセッサを、１２はネットワークを介して計算機２
と通信を行うための通信ポートを、１３は電子データを
保存するハードディスクやＣＤ−Ｒ等の大容量記憶媒体
を、１４は主制御プログラム，ハッシュプログラム，鍵
生成プログラム，暗号化プログラム，復号プログラム等
の原本性保証電子保存方法を実現するためのプログラム
が格納されたＥＥＰＲＯＭ，ＲＯＭ等で構成されたプロ
グラム格納媒体を、１５は装置暗号鍵，装置復号鍵，タ
イマ設定履歴ファイル，アカウント管理ファイル等が記
憶されるＥＥＰＲＯＭ等で構成された内部記憶媒体を、
１６はアカウント名，ユーザ側内部認証鍵，ユーザ側外
部認証鍵等が記憶されたＩＣカード３が挿入されるＩＣ
カードリーダ／ライタを、１７はタイマをそれぞれ示し
ている。

【００２２】図１に示す大容量記憶媒体１３としては、
光磁気ディスクやＣＤ−Ｒのように電子保存装置１から
取り外し可能なものであっても良いが、その他のブロッ
クは電子保存装置１として物理的に一体化されており、
通信ポート１２を介する以外に外部からアクセスできな
いように構成されている。すなわち、図１に示す電子保
存装置１は、各ブロックに対して直接アクセスする方法
のない耐タンパー性を持った装置である。

【００２３】耐タンパー性を確保するレベルとしては、
電子保存装置１の筐体を開けることができないようにシ
ールを貼る程度のものから、筐体を開けられてしまった
場合には装置が動作しなくなるようなものまで考えられ
るが、耐タンパー性を持たせることが可能であればどの
ようなものであっても良い。

【００２４】図１に示す電子保存装置１は、ユーザから
保存要求のあったデータを大容量記憶媒体１３に記録す
るものである。その際、後にデータの改ざんを検出でき
るようにするため、保存するデータに対して電子保存装
置１自身の暗号鍵によりメッセージ認証子を付加する。
また、電子保存装置１は、大容量記憶媒体１３に記録さ
れているファイルのリストを作成し、それを大容量記憶
媒体１３に記録する処理を行う。このリストに対して
も、同様にメッセージ認証子を付加する。

【００２５】また、大容量記録媒体１３の不正なすり替
えを検出するために、大容量記憶媒体１３に記録されて
いる保存ファイルリストと、それに付加されたメッセー
ジ認証子を検出することで媒体の認証を行う。また、フ
ァイルの作成日などに不正ができないよう、電子保存装
置１に内蔵されているタイマ１７から現在時刻を取得
し、ファイルの属性情報として管理する。

【００２６】さらに、電子保存装置１内部で、オリジナ
ルとコピーとを区別することができるように、各ファイ
ルには「仮原本」，「原本」，「謄本」といった属性を
付与して管理する。属性の付与されていないファイルは
「一般」ファイルと呼ぶことにする。「原本」の属性が
付与されて管理されているファイルに対し、外部から複
製の作成を要求すると、複製されたファイルには「謄
本」という属性が付与される。この属性コードは、他の
ファイル属性情報と共に、データファイルと関連付けら
れたファイル属性情報ファイルとして大容量記憶媒体１
３に記録され、データファイルと同様、メッセージ認証
子を付加して外部から変更することができないように管
理される。大容量記憶媒体１３を取り外して外部でその
属性が改ざんされたような場合には、そのファイル属性
情報ファイルに付与したメッセージ認証子を検証した際
にその改ざんを検出することができる。

【００２７】つぎに、前述した構成を有する電子保存装
置１を用いて実行される原本性保証電子保存方法につい
て、 （１）ユーザ登録処理 （２）保存装置へのログイン処理 （３）電子データ保存処理 （４）大容量記憶媒体マウント処理 （５）ファイル読み出し処理 （６）謄本作成処理 （７）バックアップ作成処理 （８）ファイル移動処理 （９）ファイル削除処理 （１０）ファイル属性コード変更処理 （１１）ファイル追記処理 （１２）ファイル編集処理 の順で具体的に説明する。

【００２８】（１）ユーザ登録処理 ここでは、ユーザが電子保存装置１を利用する際に、電
子保存装置１とユーザとの間で相互認証を行う必要があ
るものとする。そのため、電子保存装置１に対して予め
ユーザ登録を行っておく必要がある。ここで、電子保存
装置１には、予めシステム管理者用のＩＣカードが付属
しているものとする。クライアント（計算機２）に接続
されたＩＣカードリーダにシステム管理者用のＩＣカー
ドを挿入してアカウント登録用のプログラムを起動し、
ユーザ登録を行う。

【００２９】図２は、ユーザ登録処理を示すフローチャ
ートであり、図２（ａ）はクライアント側で実行される
ユーザ登録処理を、図２（ｂ）は電子保存装置１側で実
行されるユーザ登録処理をそれぞれ示している。以下で
は、図２（ａ）および図２（ｂ）の両方を用いてユーザ
登録処理を説明する。

【００３０】まず、図２（ａ）に示すように、システム
管理者用ＩＣカードをクライアントのカードリーダに挿
入し（Ｓ１１）、パスワードを入力する（Ｓ１２）。そ
して、ＩＣカードでパスワード照合が行われ（Ｓ１
３）、正しいパスワードでない、即ち不正なパスワード
の場合（Ｓ１４；Ｎｏ）、エラーとしてユーザ登録処理
が終了となる。

【００３１】一方、正しいパスワードの場合（Ｓ１４；
Ｙｅｓ）、図２（ａ）および図２（ｂ）に示すように、
電子保存装置１およびＩＣカードとの間で相互認証処理
が実行される（Ｓ１５，Ｓ２１）。そして、電子保存装
置１およびＩＣカードとの間で実行された相互認証処理
が成功しなかった場合（Ｓ１６，Ｓ２２；Ｎｏ）、エラ
ーとしてユーザ登録処理が終了となる。

【００３２】また、電子保存装置１およびＩＣカードと
の間で実行された相互認証処理が成功した場合（Ｓ１
６，Ｓ２２；Ｙｅｓ）、クライアントから電子保存装置
１に対してユーザ登録が要求される（Ｓ１７）。電子保
存装置１は、クライアントからのユーザ登録の要求がシ
ステム管理者からの要求か否かを判定し（Ｓ２３）、シ
ステム管理者からの要求ではないと判定した場合（Ｓ２
３；Ｎｏ）、エラーとしてユーザ登録処理が終了とな
る。一方、システム管理者からの要求であると判定した
場合（Ｓ２３；Ｙｅｓ）、電子保存装置１は、ユーザ登
録要求からアカウント名を取得する（Ｓ２４）。ここ
で、新しいＩＣカードを電子保存装置１のＩＣカードリ
ーダ／ライタ１６に挿入する（Ｓ２５）。

【００３３】電子保存装置１は、続いて、保存装置側外
部認証鍵，ユーザ側内部認証鍵を生成すると共に（Ｓ２
６）、ユーザ側外部認証鍵，保存装置側内部認証鍵を生
成する（Ｓ２７）。つぎに、電子保存装置１は、四つの
認証鍵，アカウント名等をまとめてユーザ情報とし、ユ
ーザ情報をアカウント管理ファイルに登録する（Ｓ２
８）。なお、アカウント管理ファイルは、図１に示した
内部記憶媒体１５に記録されるものであって、例えば図
３に示すような内容のものである。また、図３中に示す
認証鍵情報および日時情報の内容がそれぞれ図４および
図５に示されている。なお、図５に示す日時情報は、ア
カウント管理ファイルだけでなく、後述する各種ファイ
ルにも含まれるものである。

【００３４】ここで、認証に使用される暗号アルゴリズ
ムが秘密鍵暗号方式の場合には、保存装置側外部認証鍵
とユーザ側内部認証鍵が同じ鍵となり、ユーザ側外部認
証鍵と保存装置側内部認証鍵が同じ鍵となる。その一
方、暗号アルゴリズムに公開鍵暗号方式を利用する場合
には、保存装置側外部認証鍵とユーザ側内部認証鍵が対
応するパブリックキーとプライベートキーとになり、ユ
ーザ側外部認証鍵と保存装置側内部認証鍵が対応するパ
ブリックキーとプライベートキーとになる。すなわち、
外部認証鍵はパブリックキーに、内部認証鍵はプライベ
ートキーになる。

【００３５】図２のフローチャートの説明に戻り、電子
保存装置１は、ユーザ側内部認証鍵，ユーザ側外部認証
鍵およびアカウント名をＩＣカードに設定し（Ｓ２
９）、その後、ＩＣカードをＩＣカードリーダ／ライタ
１６から排出し（Ｓ３０）、ユーザ登録処理を終了す
る。一方、図２（ａ）に示すように、クライアント側に
おいては、ステップＳ１７で要求したユーザ登録要求が
成功したか否かを判定し（Ｓ１８）、要求が成功しなか
った場合（Ｓ１８；Ｎｏ）にはエラーとしてユーザ登録
処理を終了し、要求が成功した場合（Ｓ１８；Ｙｅｓ）
には正常にユーザ登録処理を終了する。

【００３６】なお、新しいＩＣカードには予めユーザパ
スワードが初期値として設定されている。初期値のパス
ワードを照合すると任意のパスワードに変更することが
可能である。パスワード変更は、電子保存装置１とは関
係なく、クライアント側で行うことができる。

【００３７】（２）電子保存装置へのログイン処理 電子保存装置１にファイルを保存したり、電子保存装置
１からファイルを読み出す前に、ユーザは電子保存装置
１にログインしなければならない。ログイン処理におい
ては、ユーザ登録の際に発行されたＩＣカードを利用
し、電子保存装置１との間で相互認証が行われる。ここ
では、相互認証の方法として、公知の技術を採用するこ
とにする。

【００３８】図６は、電子保存装置１へのログイン処理
を示すフローチャートであり、図６（ａ）はクライアン
ト側で実行されるログイン処理であり、図６（ｂ）は電
子保存装置１側で実行されるログイン処理である。図６
（ａ）において、ログインユーザ用ＩＣカードをクライ
アントのカードリーダに挿入し（Ｓ３１）、パスワード
を入力する（Ｓ３２）。

【００３９】ＩＣカードでパスワード照合が行われ（Ｓ
３３）、正しいパスワードであるか否か、換言すれば、
パスワードが不正でないか否かが判定される（Ｓ３
４）。パスワードが不正であると判定された場合（Ｓ３
４；Ｎｏ）、ログイン処理がエラーにより終了する。一
方、パスワードは不正ではないと判定された場合（Ｓ３
４；Ｙｅｓ）、図６（ａ）および図６（ｂ）にそれぞれ
示すように、電子保存装置１およびＩＣカードとの間で
相互認証処理が実行される（Ｓ３５，Ｓ４１）。なお、
相互認証処理については後にフローチャートを用いて説
明する。

【００４０】そして、相互認証処理に失敗した場合（Ｓ
３６，Ｓ４２；Ｎｏ）、ログイン処理がエラーにより終
了する。一方、相互認証処理に成功した場合（Ｓ３６，
Ｓ４２；Ｙｅｓ）、電子保存装置１は乱数を生成し、生
成した乱数をクライアントに送信し（Ｓ４３）、クライ
アントは電子保存装置１から送信された乱数を受信する
（Ｓ３７）。

【００４１】クライアントは、受信した乱数をＩＣカー
ドに渡し、ユーザ側内部認証鍵で暗号化し（Ｓ３８）、
暗号化乱数を電子保存装置１とのセッション鍵とする
（Ｓ３９）。一方、電子保存装置１は、乱数をユーザ側
内部認証鍵で暗号化し（Ｓ４４）、暗号化乱数をクライ
アントとのセッション鍵とする（Ｓ４５）。

【００４２】その後、クライアントは、暗号処理、メッ
セージ認証処理モードを送信し（Ｓ４０）、電子保存装
置１は、暗号処理、メッセージ認証処理モードを受信し
（Ｓ４６）、ログイン処理を正常に終了する。

【００４３】なお、クライアント側および電子保存装置
１側のいずれとも、送信するデータにはセッション鍵を
用いて生成したメッセージ認証子を付加し、また、受信
したデータは同じくセッション鍵を用いてメッセージ認
証子の検証処理を行う。また、クライアントから暗号処
理モードを設定することが可能であり、暗号処理を行う
ように指定した場合には、クライアント側，電子保存装
置１側とも、送信するデータをセッション鍵で暗号化
し、また、受信したデータは同じくセッション鍵で復号
する。

【００４４】図７は、図６（ａ）のステップＳ３５およ
び図６（ｂ）のステップＳ４１において実行される相互
認証処理のフローチャートであり、図７（ａ）はクライ
アント側で実行される相互認証処理を、図７（ｂ）は電
子保存装置１側で実行される相互認証処理をそれぞれ示
している。

【００４５】クライアントは、ＩＣカードからアカウン
ト名を読み出し（Ｓ５１）、読み出したアカウント名を
電子保存装置１に送信する（Ｓ５２）。電子保存装置１
は、アカウント名を受信し（Ｓ６１）、アカウント管理
ファイルを読み出す（Ｓ６２）。そして、電子保存装置
１は、読み出したアカウント管理ファイルのアカウント
管理データから該当するアカウント情報を取得する処理
を行う（Ｓ６３）。ここで、該当するアカウント情報が
アカウント管理データ中に存在しない場合（Ｓ６４；Ｎ
ｏ）、相互認証処理はエラーにより終了する。

【００４６】一方、該当するアカウント情報がアカウン
ト管理データ中に存在する場合（Ｓ６４；Ｙｅｓ）、電
子保存装置１は乱数１を生成し（Ｓ６５）、生成した乱
数１をクライアントに送信する（Ｓ６６）。

【００４７】クライアントは、乱数１を受信し（Ｓ５
３）、受信した乱数１をＩＣカードに渡し、ユーザ側内
部認証鍵で暗号化した認証コード１を取得する（Ｓ５
４）。続いて、クライアントは、ＩＣカードで乱数２を
生成し（Ｓ５５）、認証コード１と乱数２とを電子保存
装置１に送信する（Ｓ５６）。

【００４８】電子保存装置１は、認証コード１と乱数２
とを受信し（Ｓ６７）、保存装置側外部認証鍵で認証コ
ード１を復号する（Ｓ６８）。そして、電子保存装置１
は、復号した認証コードと乱数１とが一致するか否かを
判定する（Ｓ６９）、ステップＳ６９において、一致し
ないと判定された場合（Ｓ６９；Ｎｏ）、相互認証処理
がエラーにより終了する。一方、一致すると判定された
場合（Ｓ６９；Ｙｅｓ）、ステップＳ７０において、電
子保存装置１が乱数２を保存装置側内部認証鍵で暗号化
して認証コード２を生成し（Ｓ７０）、認証コード２を
クライアントに送信する（Ｓ７１）。

【００４９】クライアントは、認証コード２を受信し
（Ｓ５７）、認証コード２をＩＣカードに渡し、ユーザ
側外部認証鍵により外部認証を行う（Ｓ５８）。そし
て、外部認証が成功しなかった場合（Ｓ５９；Ｎｏ）、
相互認証処理がエラーで終了し、外部認証が成功した場
合（Ｓ５９；Ｙｅｓ）、相互認証処理が正常に終了し、
図６のフローチャートの処理に戻ることになる。

【００５０】（３）電子データ保存処理 つぎに、電子データを電子保存装置１に保存する際の処
理手順について説明する。図８は、電子データを電子保
存装置１に保存する処理を示すフローチャートであり、
図９は、原本データの保存処理の説明図である。以下で
は、図８のフローチャートに示す電子データ保存処理に
ついて、図９を参照しつつ具体的に説明する。

【００５１】電子保存装置１のプロセッサ１１は、通信
ポート１２を介して計算機２から電子データの保存要求
を受けた場合、大容量記憶媒体１３がマウントされてい
るか否かを判定する（Ｓ８１）。ここで、大容量記憶媒
体１３がマウントされていないと判定した場合（Ｓ８
１；Ｎｏ）、プロセッサ１１は、エラーにより電子デー
タ保存処理を終了する。

【００５２】一方、大容量記憶媒体１３がマウントされ
ていると判定した場合（Ｓ８１；Ｙｅｓ）、通信ポート
１２を介してユーザ側（計算機２）から、図９に示すデ
ータ２１およびファイル属性コード２２を受け取る（Ｓ
８２）。

【００５３】そして、プロセッサ１１は、受け取ったフ
ァイル属性コード２２が「原本」，「仮原本」または
「一般」であるか否かを判定する（Ｓ８３）。ここで、
ファイル属性コード２２が「原本」，「仮原本」または
「一般」でないと判定した場合（Ｓ８３；Ｎｏ）、プロ
セッサ１１は、エラーにより電子データ保存処理を終了
する。

【００５４】一方、ファイル属性コード２２が「原
本」，「仮原本」または「一般」であると判定した場合
（Ｓ８３；Ｙｅｓ）、プロセッサ１１は、ファイル属性
コードが「一般」か否かを判定する（Ｓ８４）。ファイ
ル属性コードが「一般」であると判定した場合（Ｓ８
４；Ｙｅｓ）、プロセッサ１１は、受け取ったデータ２
１を大容量記憶媒体１３にファイルとして保存し（Ｓ９
２）、電子データ保存処理を正常に終了する。

【００５５】また、ファイル属性コードが「一般」では
ないと判定した場合（Ｓ８４；Ｎｏ）、プロセッサ１１
は、タイマ１７から現在時刻を取得すると共に、内部記
憶媒体１５から装置暗号鍵４１，装置復号鍵４２，最新
タイマＩＤを取得し（Ｓ８５）、改ざん検知保存処理を
実行してデータを大容量記憶媒体１３に保存する（Ｓ８
６）。

【００５６】図１０は、ステップＳ８６の改ざん検知保
存処理を示すフローチャートである。プロセッサ１１
は、保存するデータ２１に対してハッシュ値を計算して
ハッシュ値２３を求め（Ｓ１０１）、ハッシュ値２３を
装置暗号鍵４１で暗号化してメッセージ認証子（ＭＡ
Ｃ）２４を生成する（Ｓ１０２）。その後、メッセージ
認証子２４と共にデータ２１を保存ファイル２５として
大容量記憶媒体１３に保存する（Ｓ１０３）。

【００５７】図８のフローチャートに戻り、プロセッサ
１１は、ファイル属性コード２２に対して現在時刻，ユ
ーザアカウント名，ファイルアクセス履歴等を加えたフ
ァイル属性情報２６を生成し（Ｓ８７）、図１０に示し
たような改ざん検知保存処理を実行して、ファイル属性
情報２６を大容量記憶媒体１３に保存する（Ｓ８８）。

【００５８】このステップＳ８８において実行される改
ざん検知保存処理を図９および図１０を参照して説明す
る。プロセッサ１１は、図８のステップＳ８７で生成し
たファイル属性情報２６に対してハッシュ値を計算して
ハッシュ値２７を求め（Ｓ１０１）、ハッシュ値２７を
装置暗号鍵４１で暗号化してメッセージ認証子（ＭＡ
Ｃ）２８を生成する（Ｓ１０２）。その後、メッセージ
認証子２８と共にファイル属性情報２６をファイル属性
情報ファイル２９として大容量記憶媒体１３に保存する
（Ｓ１０３）。

【００５９】再び図８のフローチャートの説明に戻り、
プロセッサ１１は、改ざん検知読み出し処理を実行し
て、大容量記憶媒体１３から保存ファイルリストファイ
ル３１を読み出す（Ｓ８９）。

【００６０】図１１は、図８のステップＳ８９において
実行される改ざん検知読み出し処理を示すフローチャー
トである。プロセッサ１１は、大容量記憶媒体１３に記
録されている保存ファイルリストファイル３１（対象フ
ァイル）を読み出し（Ｓ１１１）、保存ファイルリスト
ファイル３１に記録されている保存ファイルリスト３２
（データ）とメッセージ認証子（リストＭＡＣ）３１と
を分離する（Ｓ１１２）。プロセッサ１１は、ステップ
Ｓ１１２で分離した保存ファイルリスト３２に対してハ
ッシュ値を計算する（Ｓ１１３）。

【００６１】続いて、プロセッサ１１は、内部記憶媒体
１５から装置復号鍵４２を取得し（Ｓ１１４）、取得し
た装置復号鍵４２でメッセージ認証子３３を復号して検
証用ハッシュ値を求める（Ｓ１１５）。プロセッサ１１
は、その後、ステップＳ１１３で求めたハッシュ値とス
テップＳ１１５で求めた検証用ハッシュ値とが一致する
か否かを判定する（Ｓ１１６）。

【００６２】ステップＳ１１６において、二つのハッシ
ュ値が一致しないと判定した場合（Ｓ１１６；Ｎｏ）、
図８には詳細に示されていないが、プロセッサ１１はエ
ラーとして改ざん検知読み出し処理および電子データ保
存処理を終了する。一方、二つのハッシュ値が一致する
と判定した場合（Ｓ１１６；Ｙｅｓ）、プロセッサ１１
は、保存ファイルリスト３２を読み出しデータとし（Ｓ
１１７）、図８のステップＳ９０に進む。

【００６３】再び図８のフローチャートの説明に戻り、
プロセッサ１１は、読み出した保存ファイルリスト３２
に保存ファイル２５のエントリを追加する（Ｓ９０）。
そして、プロセッサ１１は、改ざん検知保存処理を実行
して、保存ファイルリスト３２を大容量記憶媒体１３に
記録し（Ｓ９１）、電子データ保存処理を終了する。

【００６４】なお、ステップＳ９１において実行される
改ざん検知保存処理を図９および図１０を参照して説明
する。プロセッサ１１は、Ｓ９０で保存ファイル２５の
エントリが追加された保存ファイルリスト３２に対して
ハッシュ値を計算してリストハッシュ値３４を求め（Ｓ
１０１）、リストハッシュ値３４を装置暗号鍵４１で暗
号化してメッセージ認証子（リストＭＡＣ）３３を生成
する（Ｓ１０２）。その後、メッセージ認証子３３と共
に保存ファイルリスト３２を保存ファイルリストファイ
ル３１として大容量記憶媒体１３に保存する（Ｓ１０
３）。

【００６５】なお、図９に示した各種情報の内容につい
て簡単に示すことにする。図１２は保存ファイル２５の
内容を示す説明図であり、図１３はファイル属性情報フ
ァイル２９の内容を示す説明図であり、図１４は保存フ
ァイルリストファイル３１の内容を示す説明図であり、
図１５はタイマ設定履歴ファイル４３の内容を示す説明
図である。また、図９の内部記憶媒体１５に示すアカウ
ント管理ファイル４４は図３に示したものに該当する。

【００６６】また、ここで、電子保存装置１における日
時の管理について説明する。図１３に示したファイル属
性情報ファイル２９中のファイルアクセス履歴等に記録
する日時は、電子保存装置１内部のタイマ１７から取得
するものであるが、ここではタイマ１７の設定を変更す
ることができるようになっているものとする。そのた
め、タイマ１７を不正に変更することによりファイルア
クセス日時を偽ることを防止するため、タイマ１７の設
定を変更した履歴を記録するようにしている。タイマ１
７の設定を変更すると、概念的には図１６に示すような
履歴が内部記憶媒体１５のタイマ設定履歴ファイル４３
に記録される。

【００６７】タイマＩＤは、電子保存装置１内部で自動
的に振られるシーケンシャルな番号であり、タイマ１７
の設定を変更するたびに番号が増えていく。なお、ファ
イルアクセス履歴に含まれる日時情報には図５に示した
ようにタイマＩＤが含まれている。

【００６８】図１６に示すようなタイマ設定履歴によ
り、タイマＩＤ＝３において不正に１ヶ月日付をずら
し、その後タイマＩＤ＝４で日付を戻していることがわ
かるため、ファイルアクセス履歴の日時にタイマＩＤ＝
３の履歴がついているファイルは不正に日時を偽ろうと
した可能性があることがわかる。タイマ設定履歴は内部
記憶媒体１５（タイマ設定履歴ファイル４３）に記録さ
れるが、ファイルアクセス履歴は各ファイルと共に大容
量記憶媒体１３に記録される。

【００６９】後述するように、ある電子保存装置から他
の電子保存装置に対してファイルを移動したり、コピー
したりすることが可能であるが、このような場合にもフ
ァイルアクセス履歴の日時に不整合が生じないよう、概
念的には図１７に示すようなファイルアクセス履歴を各
ファイルに対して記録する。すなわち、図１３に示した
ように、ファイルアクセス履歴はファイル属性情報ファ
イル２９に記録される。例えば、図１７において、移動
先となる電子保存装置Ｒ０１０−０００１０５５の日時
１９９９０２１７ １０：１３：４３ ＩＤ＝２が移動
元の電子保存装置 Ｒ０１０−０００１０３２の日時１
９９９０２１７ １０：１０：２１ ＩＤ＝３に相当す
ることがわかるため、移動したファイルに不正が見つか
った場合には、電子保存装置をまたいで履歴を辿ること
ができる。

【００７０】（４）大容量記憶媒体マウント処理 大容量記憶媒体１３が電子保存装置１から取り外し可能
な場合には、大容量記憶媒体１３を電子保存装置１に装
着した際に、以下に説明する大容量記憶装置マウント処
理を実行することにする。その際、媒体の正当性が検証
される。

【００７１】図１８は、大容量記憶媒体マウント処理の
フローチャートである。電子保存装置１のプロセッサ１
１は、大容量記憶媒体１３が電子保存装置１に装着され
ると、装着された大容量記憶媒体１３がフォーマット済
みであるか否かを判定する（Ｓ１２１）。ステップＳ１
２１においてフォーマット済みである場合（Ｓ１２１；
Ｙｅｓ）はステップＳ１２３に進み、フォーマット済み
でない場合（Ｓ１２１；Ｎｏ）は図１９に示す大容量記
憶媒体のフォーマット処理が実行される（Ｓ１２２）。

【００７２】すなわち、ステップＳ１２２においては、
図１９に示すように、プロセッサ１１が大容量記憶媒体
１３の初期化処理を実行し（Ｓ１３１）、乱数を生成す
る（Ｓ１３２）。プロセッサ１１は、生成した乱数を保
存ファイルリスト３２の最初のエントリとして格納する
（Ｓ１３３）。その後、プロセッサ１１は、図１０に示
したように、保存ファイルリスト３２の改ざん検知保存
処理を実行し（Ｓ１３４）、図１８のステップＳ１２３
に進む。

【００７３】プロセッサ１１は、図１１に示した処理に
従って、保存ファイルリストファイル３１の改ざん検知
読み出し処理を実行し（Ｓ１２３）、正常に読み出し処
理を実行できた場合（Ｓ１２４；Ｙｅｓ）には大容量記
憶媒体マウント処理を正常終了し、読み出し処理に失敗
した場合（Ｓ１２４；Ｎｏ）には大容量記憶媒体マウン
ト処理をエラーにより終了する。

【００７４】（５）ファイル読み出し処理 ユーザ側からファイル読み出し要求を受けると、対象フ
ァイルの正当性を検証し、データをユーザに対して送出
する。

【００７５】図２０は、ファイル読み出し処理のフロー
チャートである。電子保存装置１のプロセッサ１１は、
ユーザ側からファイル読み出し要求を受けると、大容量
記憶媒体１３がマウントされているか否かを判定する
（Ｓ１４１）。ここで、大容量記憶媒体１３がマウント
されていない場合（Ｓ１４１；Ｎｏ）、ファイル読み出
し処理はエラーにより終了する。

【００７６】一方、大容量記憶媒体１３がマウントされ
ている場合（Ｓ１４１；Ｙｅｓ）、プロセッサ１１は、
対象ファイル（保存ファイル２５）に関連付けられたフ
ァイル属性情報ファイル２９が存在するか否かを判定す
る（Ｓ１４２）。ファイル属性情報ファイル２９が存在
しないと判定した場合（Ｓ１４２；Ｎｏ）、プロセッサ
１１は、対象ファイルを読み出してユーザ側に送出する
処理を実行し（Ｓ１４６）、ファイル読み出し処理を終
了する。これに対し、ファイル属性情報ファイル２９が
存在すると判定した場合（Ｓ１４２；Ｙｅｓ）、プロセ
ッサ１１は、図１１に示した処理に従い、対象ファイル
の改ざん検知読み出し処理を実行する（Ｓ１４３）。

【００７７】続いて、プロセッサ１１は、改ざん検知読
み出し処理で対象ファイルの読み出しに成功したか否か
を判定する（Ｓ１４４）。ここで、読み出しに失敗した
場合（Ｓ１４４；Ｎｏ）、プロセッサ１１は、ファイル
読み出し処理をエラーにより終了する。一方、読み出し
に成功した場合（Ｓ１４４；Ｙｅｓ）、プロセッサ１１
は、読み出したデータをユーザ側に送出し（Ｓ１４
５）、ファイル読み出し処理を正常に終了する。

【００７８】（６）謄本作成処理 「原本」の属性を持つ保存ファイル２５に対し、外部か
ら複製要求を受け取ると、対象ファイルとそれに関連付
けられたファイル属性情報ファイル２９をコピーすると
共に、新しいファイル属性情報には「謄本」のファイル
属性コード２２を付与する。謄本ファイルの作成先が別
の電子保存装置の場合には、別の電子保存装置にログイ
ンしてファイルを転送する。ログインの方法は、図６を
用いて説明したような、ユーザが電子保存装置１にログ
インする方法と同様である。電子保存装置間でやり取り
されるデータの保護についても、ユーザと電子保存装置
１との間でやり取りするデータの保護の方法と同様であ
る。データ保存処理と同様に、保存ファイルリスト３２
の更新も行われる。なお、ファイル転送先の電子保存装
置においては、転送受け入れ処理が行われることにな
る。

【００７９】図２１は、謄本作成処理を示すフローチャ
ートである。電子保存装置１のプロセッサ１１は、図１
１に示した処理に従い、謄本を作成する対象となる対象
ファイルのファイル属性情報ファイル２９の改ざん検知
読み出し処理を実行する（Ｓ１５１）。ここで、改ざん
検知読み出し処理に失敗した場合（Ｓ１５２；Ｎｏ）、
謄本作成処理をエラーによって終了する。

【００８０】一方、改ざん検知読み出し処理に成功した
場合（Ｓ１５２；Ｙｅｓ）、プロセッサ１１は、読み出
したファイル属性情報ファイル２９からファイル属性コ
ード２２を取得する（Ｓ１５３）。プロセッサ１１は、
取得したファイル属性コード２２が「原本」であるか否
かを判定し（Ｓ１５４）、ファイル属性コードが「原
本」でない場合（Ｓ１５４；Ｎｏ）、謄本作成処理をエ
ラーによって終了する。

【００８１】ファイル属性コードが「原本」である場合
（Ｓ１５４；Ｙｅｓ）、プロセッサ１１は、謄本の作成
先が同一装置か否かを判定し（Ｓ１５５）、同一装置で
あると判定した場合（Ｓ１５５；Ｙｅｓ）には同一装置
内での謄本作成処理を実行し（Ｓ１５６）、同一装置で
はないと判定した場合（Ｓ１５５；Ｎｏ）には他の装置
での謄本作成処理を実行し（Ｓ１５７）、謄本作成処理
を終了する。

【００８２】図２２は、図２１のステップＳ１５６にお
いて実行される同一装置内での謄本作成処理のフローチ
ャートである。まず、プロセッサ１１は、作成先のファ
イルが既に存在しているか否かを判定し（Ｓ１６１）、
存在している場合（Ｓ１６１；Ｙｅｓ）にはエラーによ
り同一装置内での謄本作成処理を終了する。換言すれ
ば、図２１に示した謄本作成処理をエラーで終了するこ
とになる。

【００８３】一方、作成先のファイルが存在していない
場合（Ｓ１６１；Ｎｏ）、プロセッサ１１は、対象ファ
イルを作成先ファイルにコピーする（Ｓ１６３）。そし
て、プロセッサ１１は、対象ファイルのファイル属性情
報ファイル２９を作成先のファイル属性情報ファイルと
してコピーする（Ｓ１６３）。

【００８４】続いて、プロセッサ１１は、図１１に示し
た処理に従い、作成先のファイル属性情報ファイル２９
の改ざん検知読み出し処理を実行し（Ｓ１６４）、読み
出したファイル属性情報２６のファイル属性コード２２
を「謄本」に変更する（Ｓ１６５）。

【００８５】プロセッサ１１は、タイマ１７から現在時
刻を取得し（Ｓ１６６）、ファイル属性情報２６に謄本
作成履歴（アカウント名，現在時刻，タイマＩＤ等）を
追加し（Ｓ１６７）、図１０に示した処理に従い、ファ
イル属性情報２６の改ざん検知保存処理を実行する（Ｓ
１６８）。

【００８６】さらに、プロセッサ１１は、保存ファイル
リストファイル３１の改ざん検知読み出し処理を実行し
（Ｓ１６９）、読み出し処理に失敗した場合（Ｓ１７
０；Ｎｏ）、作成先ファイルおよび作成先ファイル属性
情報ファイルを削除し（Ｓ１７３）、エラーにより図２
２の処理を終了する。すなわち、図２１の謄本作成処理
をエラーで終了することになる。

【００８７】一方、読み出し処理に成功した場合（Ｓ１
７０；Ｙｅｓ）、プロセッサ１１は、保存ファイルリス
ト３２に作成先ファイルのエントリを追加し（Ｓ１７
１）、図１０に示した処理に従って保存ファイルリスト
３２の改ざん検知保存処理を実行して（Ｓ１７２）、図
２１の謄本作成処理を正常に終了する。

【００８８】図２３は、図２１のステップＳ１５７にお
いて実行される他の装置での謄本作成処理のフローチャ
ートである。プロセッサ１１は、図６に示したような処
理に従い、作成先保存装置へのログイン処理を実行する
（Ｓ１８１）。ここで、ログイン処理に失敗した場合
（Ｓ１８２；Ｎｏ）、プロセッサ１１は図２３の処理を
エラーで終了する。すなわち、図２１の処理がエラーで
終了することになる。

【００８９】一方、ログイン処理に成功した場合（Ｓ１
８２；Ｙｅｓ）、プロセッサ１１は、図１１に示した処
理に従い、対象ファイルの改ざん検知読み出し処理を実
行し（Ｓ１８３）、読み出しデータを作成先保存装置に
謄本作成モードで転送する（Ｓ１８４）。

【００９０】続いて、プロセッサ１１は、図１１に示し
た処理に従い、対象ファイルのファイル属性情報ファイ
ル２９の改ざん検知読み出し処理を実行する（Ｓ１８
５）。そして、プロセッサ１１は、タイマ１７から現在
時刻を取得し（Ｓ１８６）、ファイル属性情報２６に謄
本作成履歴を追加する（Ｓ１８７）。

【００９１】そして、プロセッサ１１は、ファイル属性
情報２６を作成先保存装置に謄本作成モードで転送し
（Ｓ１８８）、転送が成功した場合には（Ｓ１８９；Ｙ
ｅｓ）、作成先保存装置からログアウトし（Ｓ１９
０）、図２１に示す謄本作成処理を終了する。一方、転
送に失敗した場合（Ｓ１８９；Ｎｏ）、図２３の処理を
エラーで終了する。すなわち、図２１の謄本作成処理も
エラーで終了ということになる。

【００９２】図２４は、図２３に示す他の装置での謄本
作成処理が実行された場合に、他の装置、即ち図２３に
示した作成先保存装置で行われる転送受け入れ処理（謄
本作成モード）を示すフローチャートである。作成先保
存装置は、転送先ファイルが既に存在しているか否かを
判定し（Ｓ１９１）、転送先ファイルが既に存在してい
る場合（Ｓ１９１；Ｙｅｓ）にはエラーで図２４の処理
を終了する。この場合、図２１の謄本作成処理もエラー
で終了ということになる。

【００９３】また、作成先保存装置は、転送先ファイル
が存在しないと判定した場合（Ｓ１９１；Ｎｏ），図１
１に示した処理に従い、保存ファイルリストファイル３
１の改ざん検知読み出し処理を実行する（Ｓ１９２）。
ここで、改ざん検知読み出し処理に失敗した場合（Ｓ１
９３；Ｎｏ）、エラーにより図２４の処理を終了する。
一方、読み出しに成功した場合（Ｓ１９３；Ｙｅｓ）、
作成先保存装置は、図１０に示した処理に従い、受け取
ったデータの改ざん検知保存処理を実行する（Ｓ１９
４）。

【００９４】続いて、作成先保存装置は、受け取ったフ
ァイル属性情報２６のファイル属性コード２２を「謄
本」に変更し（Ｓ１９５）、ファイル属性情報２６に謄
本作成履歴を追加して（Ｓ１９６）、図１０に示した処
理に従ってファイル属性情報２６の改ざん検知保存処理
を実行する（Ｓ１９７）。

【００９５】その後、作成先保存装置は、保存ファイル
リスト３２に作成した謄本ファイルのエントリを追加し
（Ｓ１９８）、図１０に示した処理に従い、保存ファイ
ルリスト３２の改ざん検知保存処理を実行し（Ｓ１９
９）、図２４の処理を終了する。

【００９６】（７）バックアップ作成処理 「仮原本」，「原本」，「謄本」の属性を持つファイル
に対して外部からバックアップ作成要求を受け取ると、
対象ファイルと、それに関連付けられたファイル属性情
報ファイルをコピーし、新しいファイル属性ファイルに
は元のファイル属性コードに対応する「バックアップ仮
原本」，「バックアップ原本」，「バックアップ謄本」
というファイル属性コードをつけることにする。バック
アップファイルの作成先が別の電子保存装置の場合に
は、その別の電子保存装置にログインしてファイルを転
送する。データ保存処理と同様に、保存ファイルリスト
の更新も行う。なお、ファイル転送先の電子保存装置で
は、転送受け入れ処理が行われることになる。

【００９７】図２５は、バックアップ作成処理のフロー
チャートである。電子保存装置１のプロセッサ１１は、
バックアップの作成対象となる対象ファイルのファイル
属性情報ファイル２９の改ざん検知読み出し処理を実行
する（Ｓ２０１）。ここで、改ざん検知読み出し処理に
よる読み出しに失敗した場合（Ｓ２０２；Ｎｏ）、エラ
ーによりバックアップ作成処理を終了する。

【００９８】一方、読み出しに成功した場合（Ｓ２０
２；Ｙｅｓ）、読み出したファイル属性情報ファイル２
９からファイル属性コード２２を取得する（Ｓ２０
３）。そして、プロセッサ１１は、バックアップ作成先
が同一装置か否かを判定し（Ｓ２０４）、同一装置と判
定した場合（Ｓ２０４；Ｙｅｓ）には同一装置内でのバ
ックアップ作成処理を実行し（Ｓ２０５）、同一装置で
はないと判定した場合（Ｓ２０４；Ｎｏ）には他の装置
でのバックアップ作成処理を実行し（Ｓ２０６）、バッ
クアップ作成処理を終了する。

【００９９】図２６は、図２５のステップＳ２０５にお
いて実行される同一装置内でのバックアップ作成処理の
フローチャートである。プロセッサ１１は、作成先のフ
ァイルが既に存在するか否かを判定し（Ｓ２１０）、存
在する場合（Ｓ２１０；Ｙｅｓ）にはエラーとして図２
５および図２６に示すバックアップ作成処理を終了す
る。一方、作成先のファイルが存在しない場合（Ｓ２１
０；Ｎｏ）には対象ファイルを作成先ファイルにコピー
する（Ｓ２１１）。

【０１００】続いて、プロセッサ１１は、対象ファイル
のファイル属性情報ファイル２９を作成先のファイル属
性情報ファイルとしてコピーする（Ｓ２１２）。プロセ
ッサ１１は、さらに、図１１に示した処理に従い、作成
先のファイル属性情報ファイル２９の改ざん検知読み出
し処理を実行し（Ｓ２１３）、ファイル属性コード２２
を変更する処理を実行する（Ｓ２１４）。

【０１０１】具体的には、ファイル属性コードが「仮原
本」の場合は「バックアップ仮原本」に変更し、「原
本」の場合は「バックアップ原本」に変更し、「謄本」
の場合は「バックアップ謄本」に変更する。

【０１０２】そして、プロセッサ１１は、タイマ１７か
ら現在時刻を取得し（Ｓ２１５）、ファイル属性情報２
６にバックアップ作成履歴（アカウント名，現在時刻，
タイマＩＤ等）を追加した後（Ｓ２１６）、図１０に示
した処理に従い、ファイル属性情報２６の改ざん検知保
存処理を実行する（Ｓ２１７）。

【０１０３】続いて、プロセッサ１１は、図１１に示し
た処理に従い、保存ファイルリストファイル３１の改ざ
ん検知読み出し処理を実行し（Ｓ２１８）、読み出しに
成功した場合（Ｓ２１９；Ｙｅｓ）、保存ファイルリス
ト３２に作成先ファイルのエントリを追加し（Ｓ２２
０）、図１０に示した処理に従って保存ファイルリスト
３２の改ざん検知保存処理を実行して（Ｓ２２１）、図
２６の処理を終了する。

【０１０４】一方、保存ファイルリストファイル３１の
改ざん検知読み出し処理に失敗した場合（Ｓ２１９；Ｎ
ｏ）、作成先ファイルおよび作成先ファイル属性情報フ
ァイルを削除する処理を実行し（Ｓ２２２）、エラーと
して図２５および図２６の処理を終了する。

【０１０５】図２７は、図２５のステップＳ２０６にお
いて実行される他の装置でのバックアップ作成処理のフ
ローチャートである。電子保存装置１のプロセッサ１１
は、図６に示したようにして、作成先保存装置へのログ
イン処理を実行する（Ｓ２３１）。ここで、ログイン処
理に成功しなかった場合（Ｓ２３２；Ｎｏ）は、エラー
により図２５および図２７の処理を終了し、ログイン処
理に成功した場合（Ｓ２３２；Ｙｅｓ）は、図１１に示
した処理に従って対象ファイルの改ざん検知読み出し処
理を実行する（Ｓ２３３）。

【０１０６】続いて、プロセッサ１１は、読み出しデー
タを作成先保存装置にバックアップ作成モードで転送し
（Ｓ２３４）、図１１に示した処理に従い、対象ファイ
ルのファイル属性情報ファイル２９の改ざん検知読み出
し処理を実行する（Ｓ２３５）。

【０１０７】そして、プロセッサ１１は、タイマ１７か
ら現在時刻を取得し（Ｓ２３６）、ファイル属性情報２
６に謄本作成履歴を追加する（Ｓ２３７）。そして、プ
ロセッサ１１は、ファイル属性情報２６を作成先保存装
置にバックアップ作成モードで転送し（Ｓ２３８）、転
送が成功した場合（Ｓ２３９；Ｙｅｓ）には作成先保存
装置からのログアウト処理を実行して（Ｓ２４０）、図
２７に示す処理を正常に終了する。一方、転送に失敗し
た場合（Ｓ２３９）、エラーにより図２５および図２７
に示す処理が終了する。

【０１０８】図２８は、図２７に示す他の装置でのバッ
クアップ作成処理が実行された場合に、他の装置、即ち
図２７に示した作成先保存装置で行われる転送受け入れ
処理（バックアップ作成モード）を示すフローチャート
である。作成先保存装置は、転送先ファイルが既に存在
しているか否かを判定し（Ｓ２４１）、転送先ファイル
が既に存在している場合（Ｓ２４１；Ｙｅｓ）にはエラ
ーで図２８の処理を終了する。この場合、図２５のバッ
クアップ作成処理もエラーで終了ということになる。

【０１０９】また、作成先保存装置は、転送先ファイル
が存在しないと判定した場合（Ｓ２４１；Ｎｏ），図１
１に示した処理に従って、保存ファイルリストファイル
３１の改ざん検知読み出し処理を実行する（Ｓ２４
２）。ここで、改ざん検知読み出し処理に失敗した場合
（Ｓ２４３；Ｎｏ）、エラーにより図２８の処理を終了
する。一方、読み出しに成功した場合（Ｓ２４３；Ｙｅ
ｓ）、作成先保存装置は、図１０に示した処理に従っ
て、受け取ったデータの改ざん検知保存処理を実行する
（Ｓ２４４）。

【０１１０】続いて、作成先保存装置は、受け取ったフ
ァイル属性情報２６のファイル属性コード２２を値に応
じて「バックアップ」に変更し（Ｓ２４５）、ファイル
属性情報２６にバックアップ作成履歴を追加して（Ｓ２
４６）、図１０に示した処理に従ってファイル属性情報
２６の改ざん検知保存処理を実行する（Ｓ２４７）。

【０１１１】その後、作成先保存装置は、保存ファイル
リスト３２に作成したバックアップファイルのエントリ
を追加し（Ｓ２４８）、図１０に示した処理に従って、
保存ファイルリスト３２の改ざん検知保存処理を実行し
（Ｓ２４９）、図２８の処理を終了する。

【０１１２】（８）ファイル移動処理 同一の電子保存装置１内または別の電子保存装置１へフ
ァイルを移動する際には、このファイル移動処理が実行
される。ファイルの移動先が別の電子保存装置１の場
合、移動先の電子保存装置１においては、転送受け入れ
処理が実行される。

【０１１３】図２９は、ファイル移動処理を示すフロー
チャートである。電子保存装置１のプロセッサ１１は、
ファイルの移動処理の実行が指定されると、移動先が同
一装置内であるか否かを判定し（Ｓ２５１）、移動先が
同一装置内であると判定した場合（Ｓ２５１；Ｙｅ
ｓ）、作成先のファイルが既に存在しているか否かを判
定する（Ｓ２５２）。

【０１１４】ステップＳ２５２において、作成先のファ
イルが既に存在していると判定した場合（Ｓ２５２；Ｙ
ｅｓ）、プロセッサ１１は、エラーとしてファイル移動
処理を終了する。一方、作成先のファイルが存在してい
ないと判定した場合（Ｓ２５２；Ｎｏ）、プロセッサ１
１は、図１１に示した処理に基づいて、保存ファイルリ
ストファイル３１の改ざん検知読み出し処理を実行する
（Ｓ２５３）。そして、プロセッサ１１は、改ざん検知
読み出し処理に失敗した場合（Ｓ２５４；Ｎｏ）、エラ
ーとしてファイル移動処理を終了する。一方、改ざん検
知読み出し処理が成功した場合（Ｓ２５４；Ｙｅｓ）、
対象ファイル（保存ファイル２５）を移動先ファイルに
移動する（Ｓ２５５）。

【０１１５】また、プロセッサ１１は、対象ファイルに
ファイル属性情報ファイル２９が存在しているか否かを
判定し（Ｓ２５６）、存在していないと判定した場合
（Ｓ２５６；Ｎｏ）にはステップＳ２５８に進み、存在
していると判定した場合（Ｓ２５６；Ｙｅｓ）には、フ
ァイル属性情報ファイル２９を移動先のファイル属性情
報ファイルとして移動する（Ｓ２５７）。

【０１１６】そして、プロセッサ１１は、保存ファイル
リスト３２内の移動したファイルのエントリを更新し
（Ｓ２５８）、図１０に示した処理に従って保存ファイ
ルリスト３２の改ざん検知保存処理を実行し（Ｓ２５
９）、ファイル移動処理を終了する。

【０１１７】さらに、プロセッサ１１は、ステップＳ２
５１において移動先が同一装置内ではないと判定した場
合（Ｓ２５１；Ｎｏ）、他の装置へのファイル移動処理
を実行する（Ｓ２６０）。

【０１１８】図３０は、図２９のステップＳ２６０にお
いて実行される他の装置へのファイル移動処理を示すフ
ローチャートである。電子保存装置１のプロセッサ１１
は、図１１に示した処理に従い、保存ファイルリストフ
ァイル３１の改ざん検知読み出し処理を実行する（Ｓ２
６１）。プロセッサ１１は、改ざん検知読み出し処理に
失敗した場合に（Ｓ２６２；Ｎｏ）、エラーとして図３
０および図２９のファイル移動処理を終了し、改ざん検
知読み出し処理に成功した場合（Ｓ２６２；Ｙｅｓ）、
移動先保存装置へのログイン処理を実行する（Ｓ２６
３）。

【０１１９】プロセッサ１１は、ログイン処理に失敗し
た場合（Ｓ２６４；Ｎｏ）、エラーとして図３０および
図２９のファイル移動処理を終了し、ログイン処理に成
功した場合（Ｓ２６４；Ｙｅｓ）、図１１に示した処理
に従って、移動するファイルとして指定された保存ファ
イル２５、即ち対象ファイルの改ざん検知読み出し処理
を実行し（Ｓ２６５）、読み出しデータを移動先保存装
置に移動モードで転送する（Ｓ２６６）。プロセッサ１
１は、転送に失敗した場合（Ｓ２６７；Ｎｏ）、エラー
として図３０および図２９のファイル移動処理を終了
し、転送に成功した場合（Ｓ２６７；Ｙｅｓ）、対象フ
ァイルにファイル属性情報ファイル２９が存在している
か否かを判定する（Ｓ２６８）。ファイル属性情報ファ
イル２９が存在していないと判定した場合は（Ｓ２６
８；Ｎｏ）、ステップＳ２７４に進む。

【０１２０】一方、ファイル属性情報ファイル２９が存
在していると判定した場合（Ｓ２６８；Ｙｅｓ）、プロ
セッサ１１は、図１１に示した処理に従って、ファイル
属性情報ファイル２９の改ざん検知読み出し処理を実行
する（Ｓ２６９）。そして、プロセッサ１１は、タイマ
１７から現在時刻を取得し（Ｓ２７０）、ファイル属性
情報２６にファイル移動履歴を追加する（Ｓ２７１）。
その後、プロセッサ１１は、ファイル属性情報２６を移
動先保存装置に移動モードで転送する（Ｓ２７２）。

【０１２１】続いて、プロセッサ１１は、転送に失敗し
た場合（Ｓ２７３；Ｎｏ）、エラーとして図３０および
図２９のファイル移動処理を終了し、転送に成功した場
合（Ｓ２７３；Ｙｅｓ）、対象ファイルの削除（Ｓ２７
４），対象ファイルのファイル属性情報ファイル２９の
削除（Ｓ２７５），保存ファイルリスト３２内に存在す
る移動したファイルのエントリの削除（Ｓ２７６），図
１０に示した処理に基づく保存ファイルリスト３２の改
ざん検知保存処理（Ｓ２７７）および作成先保存装置か
らのログアウト処理（Ｓ２７８）を順次実行して図３０
および図２９のファイル移動処理を終了する。

【０１２２】図３１は、図３０に示す他の装置へのファ
イル移動処理が実行された場合に、他の装置、即ち図３
０に示した移動先保存装置で行われる転送受け入れ処理
（移動モード）を示すフローチャートである。移動先保
存装置は、転送先ファイルが既に存在しているか否かを
判定し（Ｓ２８１）、転送先ファイルが存在していると
判定した場合（Ｓ２８１；Ｙｅｓ）、エラーとして転送
受け入れ処理を終了する。

【０１２３】一方、転送先ファイルが存在していないと
判定した場合（Ｓ２８１；Ｎｏ）、移動先保存装置は、
図１１に示した処理に従い、保存ファイルリストファイ
ル３１の改ざん検知読み出し処理を実行する（Ｓ２８
２）。移動先保存装置は、改ざん検知読み出し処理に失
敗した場合（Ｓ２８３；Ｎｏ）、エラーとして転送受け
入れ処理を終了し、改ざん検知読み出し処理に成功した
場合（Ｓ２８３；Ｙｅｓ）、図１０に示した処理に従っ
て、受け取ったデータの改ざん検知保存処理を実行する
（Ｓ２８４）。

【０１２４】さらに、移動先保存装置は、ファイル属性
情報２６を受け取ったか否かを判定し（Ｓ２８５）、受
け取っていない場合には（Ｓ２８５；Ｎｏ）そのまま処
理を終了し、受け取った場合には（Ｓ２８５；Ｙｅｓ）
ファイル属性情報２６にファイル移動履歴を追加する
（Ｓ２８６）。

【０１２５】そして、移動先保存装置は、図１０に示し
た処理に従ってファイル属性情報２６の改ざん検知保存
処理を実行し（Ｓ２８７）、保存ファイルリスト３２に
受け取ったファイルのエントリを追加し（Ｓ２８８）、
図１０に示した処理に従って保存ファイルリスト３２の
改ざん検知保存処理を実行して（Ｓ２８９）、転送受け
入れ処理を終了する。

【０１２６】（９）ファイル削除処理 保存ファイル２５を削除するための処理である。しか
し、「原本」のファイル属性コード２２を有する保存フ
ァイル２５については証拠隠滅を防ぐために削除は禁止
される。

【０１２７】図３２は、ファイル削除処理を示すフロー
チャートである。電子保存装置１のプロセッサ１１は、
ファイルの削除が指定されると、大容量記憶媒体１３が
マウントされているか否かを判定し（Ｓ２９１）、マウ
ントされていないと判定した場合（Ｓ２９１；Ｎｏ）、
エラーとしてファイル削除処理を終了する。一方、マウ
ントされていると判定した場合（Ｓ２９１；Ｙｅｓ）、
削除が指定された保存ファイル２５、即ち対象ファイル
に対応するファイル属性情報ファイル２９が存在するか
否かを判定する（Ｓ２９２）。

【０１２８】プロセッサ１１は、ファイル属性情報ファ
イル２９が存在しないと判定した場合（Ｓ２９２；Ｎ
ｏ）、対象ファイルを削除し（Ｓ３０２）、ファイル削
除処理を終了する。一方、ファイル属性情報ファイル２
９が存在すると判定した場合（Ｓ２９２；Ｙｅｓ）、図
１１に示した処理に従って、対象ファイルに対応するフ
ァイル属性情報ファイル２９の改ざん検知読み出し処理
を実行する（Ｓ２９３）。

【０１２９】そして、プロセッサ１１は、改ざん検知読
み出し処理に失敗した場合（Ｓ２９４；Ｎｏ）、エラー
としてファイル削除処理を終了し、改ざん検知読み出し
処理に成功した場合（Ｓ２９４；Ｙｅｓ）、ファイル属
性情報２６に含まれるファイル属性コード２２が「原
本」であるか否かを判定する（Ｓ２９５）。

【０１３０】ファイル属性コード２２が「原本」である
と判定した場合（Ｓ２９５；Ｙｅｓ）、原本の削除は禁
止されているため、プロセッサ１１はエラーとしてファ
イル削除処理を終了する。一方、「原本」ではないと判
定した場合（Ｓ２９５；Ｎｏ）、プロセッサ１１は、対
象ファイルを削除し（Ｓ２９６）、さらに、ファイル属
性情報ファイル２９を削除する（Ｓ２９７）。

【０１３１】続いて、プロセッサ１１は、図１１に示し
た処理に従って、保存ファイルリストファイル３１の改
ざん検知読み出し処理を実行する（Ｓ２９８）。プロセ
ッサ１１は、改ざん検知読み出し処理に失敗した場合
（Ｓ２９９；Ｎｏ）、エラーとしてファイル削除処理を
終了し、改ざん検知読み出し処理に成功した場合（Ｓ２
９９；Ｙｅｓ）、保存ファイルリスト３２から対象ファ
イルのエントリを削除し（Ｓ３００）、図１０に示した
処理に従って保存ファイルリスト３２の改ざん検知保存
処理を実行して（Ｓ３０１）、ファイル削除処理を終了
する。

【０１３２】（１０）ファイル属性コード変更処理 データ保存処理において、「仮原本」の属性を持つファ
イルを保存することが可能であるが、この「仮原本」フ
ァイルは単純にファイル属性コード２２を「原本」に変
更することが可能なものである。また、「謄本」，「バ
ックアップ仮原本」，「バックアップ原本」および「バ
ックアップ謄本」の属性を持つファイルは、それぞれフ
ァイル属性コード２２を変更することで元のファイルを
復旧するために利用することができる。復旧すると、フ
ァイル属性コードは図３３に示すようになる。

【０１３３】ファイル属性コード２２の変更は、ファイ
ルアクセス履歴として記録される。このファイル属性コ
ード変更処理は、外部からのファイル属性コード２２の
変更要求と共に、新しいファイル属性コード２２を受け
取ることによって実行される。

【０１３４】図３４は、ファイル属性コード変更処理を
示すフローチャートである。電子保存装置１のプロセッ
サ１１は、ファイル属性コード変更処理の指示がある
と、大容量記憶媒体１３がマウントされているか否かを
判定する（Ｓ３１０）。プロセッサ１１は、大容量記憶
媒体１３がマウントされていないと判定した場合（Ｓ３
１０；Ｎｏ）、エラーとしてファイル属性コード変更処
理を終了し、大容量記憶媒体１３がマウントされている
と判定した場合（Ｓ３１０；Ｙｅｓ）、変更対象の保存
ファイル２５、即ち対象ファイルに対応するファイル属
性情報ファイル２９が存在しているか否かを判定する
（Ｓ３１１）。

【０１３５】プロセッサ１１は、ファイル属性情報ファ
イル２９が存在しないと判定した場合（Ｓ３１１；Ｎ
ｏ）、エラーとしてファイル属性コード変更処理を終了
し、存在すると判定した場合（Ｓ３１１；Ｙｅｓ）、図
１１に示す処理に従ってファイル属性情報ファイル２９
の改ざん検知読み出し処理を実行する（Ｓ３１２）。プ
ロセッサ１１は、改ざん検知読み出し処理に失敗した場
合（Ｓ３１３；Ｎｏ）、エラーとしてファイル属性コー
ド変更処理を終了し、改ざん検知読み出し処理に成功し
た場合（Ｓ３１３；Ｙｅｓ）、指定された新ファイル属
性コードに応じたコード変更処理を実行する（Ｓ３１
４）。

【０１３６】図３５（ａ）〜図３５（ｃ）は、図３４の
ステップＳ３１４において実行されるコード変更処理の
フローチャートである。図３５（ａ）は新ファイル属性
コードとして「仮原本」が指定された場合であり、プロ
セッサ１１は、現在のファイル属性コード２２が「バッ
クアップ仮原本」であるか否かを判定する（Ｓ３３
１）。現在のファイル属性コード２２が「バックアップ
仮原本」ではない場合（Ｓ３３１；Ｎｏ）、エラーとし
て図３５および図３４のファイル属性コード変更処理を
終了する。一方、現在のファイル属性コード２２が「バ
ックアップ仮原本」である場合（Ｓ３３１；Ｙｅｓ）、
ファイル属性情報２６のファイル属性コード２２を「仮
原本」に変更する処理を実行する（Ｓ３３２）。

【０１３７】また、図３５（ｂ）は新ファイル属性コー
ドとして「原本」が指定された場合であり、プロセッサ
１１は、現在のファイル属性コード２２が「バックアッ
プ原本」または「仮原本」であるか否かを判定する（Ｓ
３４１）。現在のファイル属性コード２２が「バックア
ップ原本」または「仮原本」ではない場合（Ｓ３４１；
Ｎｏ）、エラーとして図３５および図３４のファイル属
性コード変更処理を終了する。一方、現在のファイル属
性コード２２が「バックアップ原本」または「仮原本」
である場合（Ｓ３４１；Ｙｅｓ）、ファイル属性情報２
６のファイル属性コード２２を「原本」に変更する処理
を実行する（Ｓ３４２）。

【０１３８】さらに、図３５（ｃ）は新ファイル属性コ
ードとして「謄本」が指定された場合であり、プロセッ
サ１１は、現在のファイル属性コード２２が「バックア
ップ謄本」であるか否かを判定する（Ｓ３５１）。現在
のファイル属性コード２２が「バックアップ謄本」では
ない場合（Ｓ３５１；Ｎｏ）、エラーとして図３５およ
び図３４のファイル属性コード変更処理を終了する。一
方、現在のファイル属性コード２２が「バックアップ謄
本」である場合（Ｓ３５１；Ｙｅｓ）、ファイル属性情
報２６のファイル属性コード２２を「謄本」に変更する
処理を実行する（Ｓ３５２）。

【０１３９】図３４のフローチャートの説明に戻り、プ
ロセッサ１１は、図３５を用いて説明したステップＳ３
１４においてコード変更処理を行った後、タイマ１７か
ら現在時刻を取得し（Ｓ３１５）、ファイル属性情報２
６にファイル属性コード変更履歴を追加する（Ｓ３１
６）。

【０１４０】続いて、プロセッサ１１は、図１０に示し
た処理に従ってファイル属性情報２６の改ざん検知保存
処理を行い（Ｓ３１７）、図１１に示した処理に従って
保存ファイルリストファイル３１の改ざん検知読み出し
処理を実行する（Ｓ３１８）。そして、プロセッサ１１
は、改ざん検知読み出し処理に失敗した場合（Ｓ３１
９；Ｎｏ）、エラーとしてファイル属性コード変更処理
を終了する。一方、改ざん検知読み出し処理に成功した
場合（Ｓ３１９；Ｙｅｓ）、プロセッサ１１は、保存フ
ァイルリスト３２の対象ファイルのエントリについて内
容を更新し（Ｓ３２０）、図１０に示した処理に従って
保存ファイルリスト３２の改ざん検知保存処理を実行し
て（Ｓ３２１）、ファイル属性コード変更処理を終了す
る。

【０１４１】（１１）ファイル追記処理 「原本」や「仮原本」のファイル属性コード２２を持つ
ファイルに対しては、編集は許可しないが追記は可能と
する。追記のみを許可することにより、以前のデータが
失われず、電子データの編集履歴がわかるため、その証
明力も高まることになる。また、「謄本」およびバック
アップのファイルについては追記も編集も許可しない。
これは、データの訂正や修正は原本に対して施すべきも
のであって、コピーである謄本に施すべきものではない
という考えに基づくものである。なお、ファイルの最終
更新日時が変更されるため、データ保存処理と同様に保
存ファイルリスト３２についても更新されることにな
る。

【０１４２】図３６は、ファイル追記処理を示すフロー
チャートである。電子保存装置１のプロセッサ１１は、
大容量記憶媒体１３がマウントされているか否かを判定
し（Ｓ３６１）、マウントされていない場合（Ｓ３６
１；Ｎｏ）、エラーとしてファイル追記処理を終了す
る。

【０１４３】一方、大容量記憶媒体１３がマウントされ
ていると判定した場合（Ｓ３６１；Ｙｅｓ）、プロセッ
サ１１は、追記処理の対象となる保存ファイル２５、即
ち対象ファイルに対応するファイル属性情報ファイル２
９が存在するか否かを判定する（Ｓ３６２）。プロセッ
サ１１は、ファイル属性情報ファイル２９が存在しない
と判定した場合（Ｓ３６２；Ｎｏ）、対象ファイルにデ
ータを追記する処理を実行し（Ｓ３７４）、ファイル追
記処理を終了する。一方、ファイル属性情報ファイル２
９が存在すると判定した場合（Ｓ３６２；Ｙｅｓ）、プ
ロセッサ１１は、図１１に示した処理に従い、ファイル
属性情報ファイル２９の改ざん検知読み出し処理を実行
する（Ｓ３６３）。

【０１４４】そして、プロセッサ１１は、改ざん検知読
み出し処理に失敗した場合（Ｓ３６４；Ｎｏ）、エラー
としてファイル追記処理を終了し、改ざん検知読み出し
処理に成功した場合（Ｓ３６４；Ｙｅｓ）、ファイル属
性コード２２が「原本」または「仮原本」であるか否か
を判定する（Ｓ３６５）。「原本」または「仮原本」で
ない場合（Ｓ３６５；Ｎｏ）、エラーとしてファイル追
記処理を終了し、「原本」または「仮原本」である場合
（Ｓ３６５；Ｙｅｓ）、図１１に示した処理に従って、
対象ファイルの改ざん検知読み出し処理を実行する（Ｓ
３６６）。

【０１４５】プロセッサ１１は、改ざん検知読み出し処
理に失敗した場合（Ｓ３６７；Ｎｏ）、エラーとしてフ
ァイル追記処理を終了し、改ざん検知読み出し処理に成
功した場合（Ｓ３６７；Ｙｅｓ）、図１１に示した処理
に従い、保存ファイルリストファイル３１の改ざん検知
読み出し処理を実行する（Ｓ３６８）。

【０１４６】プロセッサ１１は、改ざん検知読み出し処
理に失敗した場合（Ｓ３６９；Ｎｏ）、エラーとしてフ
ァイル追記処理を終了し、改ざん検知読み出し処理に成
功した場合（Ｓ３６９；Ｙｅｓ）、読み出しデータに追
記データを追加する処理を実行する（Ｓ３７０）。

【０１４７】そして、プロセッサ１１は、図１０に示し
た処理に従って追記済みデータの改ざん検知保存処理を
実行し（Ｓ３７１）、保存ファイルリスト３２中の対象
ファイルのエントリを更新し（Ｓ３７２）、さらに、図
１０に示した処理に従って保存ファイルリスト３２の改
ざん検知保存処理を実行して（Ｓ３７３）、ファイル追
記処理を終了する。

【０１４８】（１２）ファイル編集処理 「仮原本」や「原本」ファイルについては修正履歴を残
すことで証明力を高めるため、これらのファイルに対す
る編集要求については拒否するものとする。また、「謄
本」ファイルやバックアップファイルは、本来編集すべ
き対象ではないため、これらのファイルに対する編集要
求についても拒否することにする。したがって、ここで
は「一般」ファイルのみ編集可能とする。

【０１４９】図３７は、ファイル編集処理を示すフロー
チャートである。電子保存装置１のプロセッサ１１は、
大容量記憶媒体１３がマウントされているか否かを判定
し（Ｓ３８１）、マウントされていない場合（Ｓ３８
１；Ｎｏ）、エラーとしてファイル編集処理を終了す
る。

【０１５０】一方、大容量記憶媒体１３がマウントされ
ていると判定した場合（Ｓ３８１；Ｙｅｓ）、プロセッ
サ１１は、編集対象として指定された保存ファイル２
５、即ち対象ファイルにファイル属性情報ファイル２９
が存在しているか否かを判定する（Ｓ３８２）。ファイ
ル属性情報ファイル２９が存在している場合（Ｓ３８
２；Ｙｅｓ）、そのファイルは「一般」ファイルではな
いため、エラーとしてファイル編集処理を終了する。一
方、ファイル属性情報ファイル２９が存在していない場
合（Ｓ３８２；Ｎｏ）、プロセッサ１１は、対象ファイ
ルの編集処理を実行し（Ｓ３８３）、ファイル編集処理
を終了する。

【０１５１】このように、本実施の形態に係る原本性保
証電子保存方法によれば、電子データの改ざんを防止す
ることに加えて、紙の原本が有する性質を電子情報に持
たせることを可能とすることにより、電子情報の証明力
を高めることができる。

【０１５２】以上説明した本実施の形態に係る原本性保
証電子保存方法は、予め用意されたプログラムを図１に
示したような電子保存装置１（コンピュータ）で実行す
ることによって実現することが可能である。換言すれ
ば、このようなプログラムを電子保存装置１（コンピュ
ータ）で実行することにより、例えばファイル管理シス
テムと同じローカルネットワーク上に存在する原本性保
証サーバを実現することが可能となる。

【０１５３】また、上記プログラムを、図１に示した電
子保存装置１に予めインストールして提供することにし
ても良いし、フロッピーディスク，ＣＤ−ＲＯＭ，Ｍ
Ｏ，ＤＶＤ等のコンピュータで読み取り可能な記録媒体
に記録して提供することにしても良い。加えて、上記プ
ログラムを、ネットワークや放送波等を介して提供する
こともできる。

【０１５４】

【発明の効果】以上説明したように、本発明の原本性保
証電子保存方法（請求項１）によれば、電子データを保
存する際に、少なくとも原本の電子データとその他の電
子データとを識別可能な状態で保存し、原本の電子デー
タに対するアクセス制御のレベルおよびその他の電子デ
ータに対するアクセス制御のレベルを制御するため、紙
の原本が有する性質を電子情報に持たせ、電子情報の証
明力を高めることが可能となる。

【０１５５】また、本発明の原本性保証電子保存方法
（請求項２）によれば、電子データが対応する属性情報
と共に保存され、属性情報がユーザによる編集入力を行
えないように管理されており、原本の電子データに対
し、属性情報として原本であることを示す属性コードを
付与するため、紙の原本が有する性質を電子情報に持た
せることが可能となる。

【０１５６】また、本発明の原本性保証電子保存方法
（請求項３）によれば、さらに、原本の電子データに対
する修正履歴を記録することにしたため、電子情報の証
明力を高めることが可能となる。

【０１５７】また、本発明の原本性保証電子保存方法
（請求項４）によれば、さらに、原本の電子データに対
する削除処理の実行を禁止することにしたため、電子情
報の証明力を高めることが可能となる。

【０１５８】また、本発明の原本性保証電子保存方法
（請求項５）によれば、さらに、原本の電子データの複
製を生成し、生成した複製を原本に対する謄本として管
理するようしたため、紙が有する性質を電子情報に持た
せることができる。

【０１５９】また、本発明の原本性保証電子保存方法
（請求項６）によれば、さらに、原本の電子データの作
成もしくは修正した順番または時刻に関する情報を、外
部から変更できないようにするか、または変更されても
変更された事実を検出可能な状態で、原本の電子データ
と共に保存するため、電子情報の証明力を高めることが
可能となる。

【０１６０】また、本発明の原本性保証電子保存方法
（請求項７）によれば、さらに、電子データの移動が要
求された場合に、電子データを対応する属性情報と共に
移動させることにしたため、移動先においても移動元と
同様に、電子データに対するアクセス制御のレベルを制
御することが可能となる。

【０１６１】また、本発明の原本性保証電子保存方法
（請求項８）によれば、さらに、原本または謄本の電子
データおよび対応する属性情報にメッセージ認証子を付
与して保存し、電子データがアクセスされた場合に、メ
ッセージ認証子を用いて電子データに対する改ざんを検
出するため、電子情報の証明力を高めることが可能とな
る。

【０１６２】また、本発明の原本性保証電子保存方法
（請求項９）によれば、さらに、第１の保存装置に存在
する電子データの複製を第２の保存装置に生成するため
の要求または第１の保存装置に存在する電子データを第
２の保存装置に移動させるための要求があった場合に、
第１の保存装置が、電子データおよび対応する属性情報
のそれぞれに付与されたメッセージ認証子を検証した
後、メッセージ認証子を除いた電子データおよび対応す
る属性情報を第２の保存装置に転送し、第２の保存装置
が、電子データおよび対応する属性情報を受け取り、処
理内容に応じて属性情報を変更し、電子データおよび対
応する属性情報に対してメッセージ認証子を付与して保
存するため、紙の原本が有する性質を電子情報に持た
せ、電子情報の証明力を高めることが可能となる。

【０１６３】さらに、本発明のコンピュータ読み取り可
能な記録媒体（請求項１０）によれば、請求項１〜９の
いずれか一つに記載の原本性保証電子保存方法をコンピ
ュータに実行させるためのプログラムを記録したことに
より、このプログラムをコンピュータに実行させること
により、例えばユーザサイトに設置可能な原本性保証機
能を有する認証サーバを実現することが可能となる。

【図面の簡単な説明】

【図１】本発明の実施の形態に係る原本性保証電子保存
方法を実行する電子保存装置のブロック構成図である。

【図２】本発明の実施の形態に係るユーザ登録処理を示
すフローチャートであり、（ａ）はクライアント側で実
行されるユーザ登録処理を、（ｂ）は電子保存装置側で
実行されるユーザ登録処理をそれぞれ示している。

【図３】図２（ｂ）のステップＳ２８で用いられるアカ
ウント管理ファイルの内容を示す説明図である。

【図４】図３に示す認証鍵情報の内容を示す説明図であ
る。

【図５】図３中に示す日時情報の内容を示す説明図であ
る。

【図６】本発明の実施の形態に係る電子保存装置へのロ
グイン処理を示すフローチャートであり、（ａ）はクラ
イアント側で実行されるログイン処理を、（ｂ）は電子
保存装置側で実行されるログイン処理をそれぞれ示して
いる。

【図７】図６（ａ）のステップＳ３５および図６（ｂ）
のステップＳ４１において実行される相互認証処理のフ
ローチャートであり、（ａ）はクライアント側で実行さ
れる相互認証処理を、（ｂ）は電子保存装置側で実行さ
れる相互認証処理をそれぞれ示している。

【図８】本発明の実施の形態に係る電子データ保存処理
を示すフローチャートである。

【図９】図８に示す電子データ保存処理において、原本
データを保存する際の処理の説明図である。

【図１０】本発明の実施の形態に係る改ざん検知保存処
理を示すフローチャートである。

【図１１】本発明の実施の形態に係る改ざん検知読み出
し処理を示すフローチャートである。

【図１２】図９に示す保存ファイルの説明図である。

【図１３】図９に示すファイル属性情報ファイルの説明
図である。

【図１４】図９に示す保存ファイルリストファイルの説
明図である。

【図１５】図９に示すタイマ設定履歴ファイルの説明図
である。

【図１６】図１５に示すタイマ設定履歴ファイル中のタ
イマ設定履歴の説明図である。

【図１７】図１３に示すファイル属性情報ファイル中の
アクセス履歴の説明図である。

【図１８】本発明の実施の形態に係る大容量記憶媒体マ
ウント処理のフローチャートである。

【図１９】図１９のステップＳ１２２で実行される大容
量記憶媒体のフォーマット処理を示すフローチャートで
ある。

【図２０】本発明の実施の形態に係るファイル読み出し
処理のフローチャートである。

【図２１】本発明の実施の形態に係る謄本作成処理を示
すフローチャートである。

【図２２】図２１のステップＳ１５６において実行され
る同一装置内での謄本作成処理のフローチャートであ
る。

【図２３】図２１のステップＳ１５７において実行され
る他の装置での謄本作成処理のフローチャートである。

【図２４】図２３に示す他の装置での謄本作成処理が実
行された場合に、他の装置で行われる転送受け入れ処理
（謄本作成モード）を示すフローチャートである。

【図２５】本発明の実施の形態に係るバックアップ作成
処理のフローチャートである。

【図２６】図２５のステップＳ２０５において実行され
る同一装置内でのバックアップ作成処理のフローチャー
トである。

【図２７】図２５のステップＳ２０６において実行され
る他の装置でのバックアップ作成処理のフローチャート
である。

【図２８】図２７に示す他の装置でのバックアップ作成
処理が実行された場合に、他の装置で行われる転送受け
入れ処理（バックアップ作成モード）を示すフローチャ
ートである。

【図２９】本発明の実施の形態に係るファイル移動処理
を示すフローチャートである。

【図３０】図２９のステップＳ２６０において実行され
る他の装置へのファイル移動処理を示すフローチャート
である。

【図３１】図３０に示す他の装置へのファイル移動処理
が実行された場合に、他の装置で行われる転送受け入れ
処理（移動モード）を示すフローチャートである。

【図３２】本発明の実施の形態に係るファイル削除処理
を示すフローチャートである。

【図３３】本発明の実施の形態に係るファイル属性コー
ド変更処理の説明図である。

【図３４】本発明の実施の形態に係るファイル属性コー
ド変更処理を示すフローチャートである。

【図３５】図３４のステップＳ３１４において実行され
るコード変更処理のフローチャートである。

【図３６】本発明の実施の形態に係るファイル追記処理
を示すフローチャートである。

【図３７】本発明の実施の形態に係るファイル編集処理
を示すフローチャートである。

【符号の説明】

１ 電子保存装置 ２ 計算機（クライアント） ３ ＩＣカード １１ プロセッサ １２ 通信ポート １３ 大容量記憶媒体 １４ プログラム格納媒体 １５ 内部記憶媒体 １６ ＩＣカードリーダ／ライタ １７ タイマ ２１ データ ２２ ファイル属性コード ２３，２７ ハッシュ値 ２４，２８，３３ メッセージ認証子 ２５ 保存ファイル ２６ ファイル属性情報 ２９ ファイル属性情報ファイル ３１ 保存ファイルリストファイル ３２ 保存ファイルリスト ３４ リストハッシュ値 ４１ 装置暗号鍵 ４２ 装置復号鍵 ４３ タイマ設定履歴ファイル ４４ アカウント管理ファイル

───────────────────────────────────────────────────── フロントページの続き (72)発明者 谷内田 益義 東京都大田区中馬込１丁目３番６号 株式 会社リコー内 (72)発明者 菅生 清 東京都中央区勝鬨３丁目12番１号 (72)発明者 戸崎 英一 東京都中央区勝鬨３丁目12番１号 Ｆターム(参考） 5B017 AA01 BA05 BA06 BA07 BB10 CA16 5B082 AA11 EA10 EA12 GA02 GA13 GC05 HA08 5J104 AA08 LA02 NA12 NA35 PA00 PA14 9A001 BB04 CZ08 EZ03 HH33 LL03

Claims (10)

【特許請求の範囲】
1. 【請求項１】 電子データを保存する際に、少なくとも
   原本の電子データとその他の電子データとを識別可能な
   状態で保存し、前記原本の電子データに対するアクセス
   制御のレベルおよびその他の電子データに対するアクセ
   ス制御のレベルを制御することを特徴とする原本性保証
   電子保存方法。
2. 【請求項２】 前記電子データは、対応する属性情報と
   共に保存され、 前記属性情報は、ユーザが編集入力を行えないように管
   理されており、 前記原本の電子データに対し、前記属性情報として原本
   であることを示す属性コードを付与することを特徴とす
   る請求項１に記載の原本性保証電子保存方法。
3. 【請求項３】 さらに、前記原本の電子データに対する
   修正履歴を記録することを特徴とする請求項１または２
   に記載の原本性保証電子保存方法。
4. 【請求項４】 さらに、前記原本の電子データに対する
   削除処理の実行を禁止することを特徴とする請求項１ま
   たは２に記載の原本性保証電子保存方法。
5. 【請求項５】 さらに、前記原本の電子データの複製を
   生成し、生成した複製を前記原本に対する謄本として管
   理することを特徴とする請求項１または２に記載の原本
   性保証電子保存方法。
6. 【請求項６】 さらに、前記原本の電子データの作成も
   しくは修正した順番または時刻に関する情報を、外部か
   ら変更できないようにするか、または変更されても変更
   された事実を検出可能な状態で、前記原本の電子データ
   と共に保存することを特徴とする請求項１または２に記
   載の原本性保証電子保存方法。
7. 【請求項７】 さらに、前記電子データの移動が要求さ
   れた場合に、前記電子データを対応する属性情報と共に
   移動させることを特徴とする請求項２に記載の原本性保
   証電子保存方法。
8. 【請求項８】 さらに、前記原本または謄本の電子デー
   タおよび対応する属性情報にメッセージ認証子を付与し
   て保存し、前記電子データがアクセスされた場合に、前
   記メッセージ認証子を用いて前記電子データに対する改
   ざんを検出することを特徴とする請求項２に記載の原本
   性保証電子保存方法。
9. 【請求項９】 さらに、第１の保存装置に存在する前記
   電子データの複製を第２の保存装置に生成するための要
   求または前記第１の保存装置に存在する前記電子データ
   を前記第２の保存装置に移動させるための要求があった
   場合に、第１の保存装置は、前記電子データおよび対応
   する属性情報のそれぞれに付与された前記メッセージ認
   証子を検証した後、前記メッセージ認証子を除いた電子
   データおよび対応する属性情報を前記第２の保存装置に
   転送し、前記第２の保存装置は、前記電子データおよび
   対応する属性情報を受け取り、処理内容に応じて前記属
   性情報を変更し、前記電子データおよび対応する属性情
   報に対してメッセージ認証子を付与して保存することを
   特徴とする請求項２に記載の原本性保証電子保存方法。
10. 【請求項１０】 前記請求項１〜９のいずれか一つに記
    載の原本性保証電子保存方法をコンピュータに実行させ
    るためのプログラムを記録したことを特徴とするコンピ
    ュータ読み取り可能な記録媒体。