JP2000339223A - 原本性保証電子保存方法およびその方法をコンピュータに実行させるプログラムを記録したコンピュータ読み取り可能な記録媒体 - Google Patents

Abstract

(57)【要約】 【課題】 複数のバージョンからなる原本データを管理
する場合に、複数のバージョンにまたがる原本性の保証
を含む原本データの版管理を効率良く行えること。 【解決手段】 複数の版で形成される電子データを一つ
の原本として識別可能な状態で大容量記憶媒体１０１に
保存しておき、プロセッサ１０６がこの大容量記憶媒体
１０１の電子データをアクセスするに際しては、原本と
そうでないものとでアクセス制御のレベルを変える。

Description

【発明の詳細な説明】

【０００１】

【発明の属する技術分野】この発明は、所定の記憶部に
記憶した電子データの原本性を保証する原本性保証電子
保存方法および記録媒体に関し、特に、複数のバージョ
ンからなる原本データを管理する場合に、複数のバージ
ョンにまたがる原本性の保証を含む原本データの版管理
を効率良くおこなうことができる原本性保証電子保存方
法および記録媒体に関する。

【０００２】

【従来の技術】近年のコンピュータ技術の進展に伴うペ
ーパーレス化の進展に伴って、紙によって原本書類とし
て保存されていた情報が電子データの形式で保存される
場合が増えてきたため、かかる電子データの原本性を保
証する従来技術が知られている。

【０００３】たとえば、「金井他：原本性保証電子保存
システムの開発−システムの構築−，Medical Imaging
Tecnology ，Vol.16，No.4，Proceedings of JAMIT Ann
ualMeeting'98(1998)」や、「国分他：原本性保証電子
保存システムの開発，（特）情報処理振興事業協会発行
創造的ソフトウエア育成事業およびエレクトロニック
・コマース推進事業 最終成果発表会論文集 創造的ソ
フトウエア育成事業編(1998)」には、電子データの原本
性を保証するシステムの一例が開示されている。

【０００４】かかる従来技術を用いると、電子データの
原本性を保証することが可能となり、これにより原本書
類を電子データの形式で保存し、もって高度情報化社会
の推進並びに社会全体の生産性向上に寄与することがで
きる。

【０００５】

【発明が解決しようとする課題】しかしながら、これら
の従来技術のものは、原本に対する修正または訂正を原
本データの追記（差分データ）として取り扱うものであ
るので、差分が反映された最新または任意の時点の状態
の原本データを取得したいとする外部アプリケーション
プログラムの要請に応えることができないという問題が
ある。

【０００６】すなわち、これらの従来技術は、どこから
どこまでが最初に記載された原本データで、どこからが
後から追記された原本データであるかを示す情報を原本
性保証電子保存装置の外部に提供しないため、かかる外
部アプリケーションプログラムの要請に応えるために
は、原本データのバージョン管理を外部アプリケーショ
ンプログラム側でおこなわなければならなくなる。

【０００７】また、原本性保証電子保存装置によってＣ
Ｄ−Ｒなどのリムーバブルメディアに原本データを記録
した場合には、このリムーバブルメディアを他のドライ
ブ装置を用いて読み出せることが見読性の観点から見て
望ましいが、かかる原本性保証電子保存装置によって記
録された原本データは、原本性保証電子保存装置に固有
なフォーマットで記録されるため、原本データを作成し
た外部アプリケーションプログラムがデータを直接解読
できないという問題もある。

【０００８】さらに、これらの従来技術では、原本デー
タと該原本データを複製した謄本データとを区別して管
理する場合に、原本データの内容全体を謄本データとし
ていたため、かりに最新の原本データのみが必要であっ
ても、この最新の原本データだけではなく過去の原本デ
ータが不要をも含めた内容を全て謄本データに保持せね
ばならず、記録容量の観点から見て効率的ではないとい
う問題もある。なお、原本データから最新の原本データ
のみを複製した場合には、この複製データはもはや謄本
データではなく、その複製データと原本データの関連は
保証されない。

【０００９】これらのことから、複数のバージョンから
なる原本データを管理する場合に、複数のバージョンに
またがる原本性の保証を含む原本データの版管理をいか
に効率良くおこなうかが極めて重要な課題となってい
る。

【００１０】この発明は、上記問題（課題）に鑑みてな
されたものであり、複数のバージョンからなる原本デー
タを管理する場合に、複数のバージョンにまたがる原本
性の保証を含む原本データの版管理を効率良くおこなう
ことができる原本性保証電子保存方法および記録媒体を
提供することを目的とする。

【００１１】

【課題を解決するための手段】上記目的を達成するため
に、請求項１の発明に係る原本性保証電子保存方法は、
所定の記憶部に記憶した電子データの原本性を保証する
原本性保証電子保存方法において、複数の版によって形
成される電子データの内容を一つの原本として識別可能
な状態で保存する保存工程と、前記保存工程によって保
存した原本の電子データと該原本の電子データ以外の電
子データとで異なるレベルのアクセス制御をおこなうア
クセス制御工程と、を含んだことを特徴とする。

【００１２】この請求項１の発明によれば、複数の版に
よって形成される電子データの内容を一つの原本として
識別可能な状態で保存し、保存した原本の電子データと
該原本の電子データ以外の電子データとで異なるレベル
のアクセス制御をおこなうこととしたので、複数のバー
ジョンにまたがる原本性の保証を含む原本データの版管
理を効率良くおこなうことができる。

【００１３】また、請求項２の発明に係る原本性保証電
子保存方法は、前記保存工程は、外部から電子データを
原本として新規に保存する保存要求を受け付けた際に、
所定の暗号鍵を用いて該電子データの改ざん検知情報を
算定する第１の改ざん検知情報算定工程と、前記第１の
改ざん検知情報算定工程によって算定された改ざん検知
情報を含む版管理情報を作成する版管理情報作成工程
と、前記版管理情報作成工程によって作成された版管理
情報および所定のデータ識別情報を含むデータ属性情報
を作成するデータ属性情報作成工程と、前記データ属性
情報作成工程によって作成されたデータ属性情報に前記
暗号鍵を適用して、該データ属性情報の改ざん検知情報
を算定する第２の改ざん検知情報算定工程と、前記第２
の改ざん検知情報算定工程によって算定した改ざん検知
情報を前記データ属性情報に付与したデータと、保存対
象となる電子データとを前記記憶部に記憶する記憶工程
と、を含んだことを特徴とする。

【００１４】この請求項２の発明によれば、外部から電
子データを原本として新規に保存する保存要求を受け付
けた際に、所定の暗号鍵を用いて該電子データの改ざん
検知情報を算定し、算定された改ざん検知情報を含む版
管理情報を作成し、作成された版管理情報および所定の
データ識別情報を含むデータ属性情報を作成し、作成さ
れたデータ属性情報に前記暗号鍵を適用して、該データ
属性情報の改ざん検知情報を算定し、算定した改ざん検
知情報をデータ属性情報に付与したデータと保存対象と
なる電子データとを記憶部に記憶することとしたので、
改ざん検知情報を含むデータ属性情報を電子データとと
もに記憶することができる。

【００１５】また、請求項３の発明に係る原本性保証電
子保存方法は、前記アクセス制御工程は、外部から原本
の電子データの読み出し要求を受け付けた際に、読み出
し対象となる電子データのデータ属性情報を前記記憶部
から読み出すデータ属性情報読出工程と、前記データ属
性情報読出工程によって読み出されたデータ属性情報に
付与された改ざん検知情報と前記暗号鍵に応答する復号
鍵とに基づいて、改ざんの有無を検証する第１の改ざん
検証工程と、前記データ属性情報読出工程によって読み
出されたデータ属性情報から読み出し対象となる版の版
管理情報を前記記憶部から読み出す版管理情報読出工程
と、前記版管理情報読出工程によって読み出された版管
理情報と前記復号鍵とに基づいて、改ざんの有無を検証
する第２の改ざん検証工程と、前記読み出し対象となる
電子データが改ざんされていないことが検証された場合
に、該電子データを外部に提供する提供工程と、を含ん
だことを特徴とする。

【００１６】この請求項３の発明によれば、外部から原
本の電子データの読み出し要求を受け付けた際に、読み
出し対象となる電子データのデータ属性情報を記憶部か
ら読み出し、読み出されたデータ属性情報に付与された
改ざん検知情報と暗号鍵に応答する復号鍵とに基づいて
改ざんの有無を検証し、読み出されたデータ属性情報か
ら読み出し対象となる版の版管理情報を記憶部から読み
出し、読み出された版管理情報と復号鍵とに基づいて改
ざんの有無を検証し、読み出し対象となる電子データが
改ざんされていないことが検証された場合に、該電子デ
ータを外部に提供することとしたので、改ざんを防止し
つつ外部に電子データを提供することができる。

【００１７】また、請求項４の発明に係る原本性保証電
子保存方法は、外部から原本である電子データの版をバ
ージョンアップする旨の要求を受け付けた際に、該バー
ジョンアップの対象となる電子データのデータ属性情報
を前記記憶部から読み出すデータ属性情報読み出し工程
と、前記データ属性情報読み出し工程によって読み出さ
れたデータ属性情報と前記復号鍵とに基づいて、改ざん
の有無を検証する改ざん検証工程と、新たな版の電子デ
ータに前記暗号鍵を適用して該新たな版の電子データの
改ざん検知情報を作成する第１の改ざん検知情報算定工
程と、前記第３の改ざん検知情報算定工程によって算定
された改ざん検知情報を含む版管理情報を作成する版管
理情報作成工程と、前記版管理情報作成工程によって作
成された版管理情報を前記データ属性情報に追加する追
加工程と、前記追加工程によって版管理情報が追加され
たデータ属性情報に前記暗号鍵を適用して、該データ属
性情報の改ざん検知情報を算定する第２の改ざん検知情
報算定工程と、前記第２の改ざん検知情報算定工程によ
って算定された改ざん検知情報を前記データ属性情報に
付与したデータと新しい版の電子データとを前記記憶部
に記憶する記憶工程と、からなるバージョンアップ工程
をさらに含んだことを特徴とする。

【００１８】この請求項４の発明によれば、外部から原
本である電子データの版をバージョンアップする旨の要
求を受け付けた際に、該バージョンアップの対象となる
電子データのデータ属性情報を前記記憶部から読み出
し、読み出されたデータ属性情報と復号鍵とに基づいて
改ざんの有無を検証し、新たな版の電子データに暗号鍵
を適用して該新たな版の電子データの改ざん検知情報を
算定し、算定された改ざん検知情報を含む版管理情報を
作成し、作成された版管理情報を前記データ属性情報に
追加する追加し、追加されたデータ属性情報に暗号鍵を
適用して該データ属性情報の改ざん検知情報を算定し、
算定された改ざん検知情報をデータ属性情報に付与した
データと新しい版の電子データとを記憶部に記憶するこ
ととしたので、改ざんを防止しつつ効率良くバージョン
アップをおこなうことができる。

【００１９】また、請求項５の発明に係る原本性保証電
子保存方法は、外部から原本となる電子データの版を指
定した複製要求を受け付けた際に、該複製要求の対象と
なる電子データのデータ属性情報を前記記憶部から読み
出すデータ属性情報読出工程と、前記データ属性情報読
出工程によって読み出されたデータ属性情報に前記復号
鍵を適用して、該データ属性情報の改ざんの有無を検証
する第１の改ざん検証工程と、前記複製要求で指定され
た版の電子データを前記記憶部から読み出す電子データ
読出工程と、前記データ属性情報から指定された版の版
管理情報を取り出す版管理情報取出工程と、前記版管理
情報取出工程によって取り出された版管理情報に前記復
号鍵を適用して、改ざんの有無を検証する第２の改ざん
検証工程と、前記電子データ読出工程によって読み出さ
れた指定された版の電子データを指定された複製先に複
製する第１の複製工程と、前記データ属性情報に含まれ
る属性情報を複写を示す情報に変更する属性情報変更工
程と、前記属性変更工程によって属性情報が変更された
データ属性情報を指定された複製先に複製する第２の複
製工程と、からなるデータ複製工程をさらに含んだこと
を特徴とする。

【００２０】この請求項５の発明によれば、外部から原
本となる電子データの版を指定した複製要求を受け付け
た際に、該複製要求の対象となる電子データのデータ属
性情報を記憶部から読み出し、読み出されたデータ属性
情報に復号鍵を適用して、該データ属性情報の改ざんの
有無を検証し、複製要求で指定された版の電子データを
記憶部から読み出し、データ属性情報から指定された版
の版管理情報を取り出し、取り出された版管理情報に復
号鍵を適用して改ざんの有無を検証し、指定された版の
電子データを指定された複製先に複製し、データ属性情
報に含まれる属性情報を複写を示す情報に変更し、変更
されたデータ属性情報を指定された複製先に複製するこ
ととしたので、改ざんを防止しつつ効率良く電子データ
を複製することができる。

【００２１】また、請求項６の発明に係る原本性保証電
子保存方法は、外部から保存される電子データが差分デ
ータである場合には、その版が差分データであることを
示す版管理情報を前記データ属性情報に含めて管理する
ことを特徴とする。

【００２２】この請求項６の発明によれば、外部から保
存される電子データが差分データである場合には、その
版が差分データであることを示す版管理情報をデータ属
性情報に含めて管理することとしたので、差分データと
して電子データを管理する場合であっても効率良く版管
理することができる。

【００２３】また、請求項７の発明に係る原本性保証電
子保存方法は、外部から原本となる電子データに対して
版を指定した複製要求を受け付けた際に、複製対象とな
る版が差分データである場合には、該複製対象となる版
よりも前の版で完全データを保持する版以上の電子デー
タを複製することを特徴とする。

【００２４】この請求項７の発明によれば、外部から原
本となる電子データに対して版を指定した複製要求を受
け付けた際に、複製対象となる版が差分データである場
合には、該複製対象となる版よりも前の版で完全データ
を保持する版以上の電子データを複製することとしたの
で、差分データで電子データを管理する場合であって
も、さらに効率良く版管理をおこなうことができる。

【００２５】また、請求項８の発明に係る記録媒体は、
前記請求項１〜７のいずれか一つに記載された方法をコ
ンピュータに実行させるプログラムを記録したことで、
そのプログラムが機械読み取り可能となり、これによっ
て、請求項１〜７の動作をコンピュータによって実現す
ることができる。

【００２６】

【発明の実施の形態】以下に添付図面を参照して、この
発明に係る原本性保証電子保存方法およびその方法をコ
ンピュータに実行させるプログラムを記録したコンピュ
ータ読み取り可能な記録媒体の好適な実施の形態を詳細
に説明する。

【００２７】図１は、本実施の形態で用いる原本性保証
電子保存装置の構成を示すブロック図である。同図に示
すように、この原本性保証電子保存装置１００は、原本
となる電子データを記憶し、ネットワークを介してホス
ト計算機１１０からアクセスされる装置であり、大容量
記憶媒体１０１と、通信ポート１０２と、プログラム格
納媒体１０３と、内部記憶媒体１０４と、タイマ１０５
と、プロセッサ１０６とからなる。

【００２８】大容量記憶媒体１０１は、原本となる電子
データなどを記憶する大容量の二次記憶装置であり、た
とえば光磁気ディスクやＣＤ−Ｒなどからなる。通信ポ
ート１０２は、ネットワークを介したホスト計算機との
通信をおこなうためのインターフェース部であり、たと
えばＬＡＮカードなどの通信モデムなどからなる。

【００２９】プログラム格納媒体１０３は、主制御プロ
グラム、ハッシュプログラム、鍵生成プログラム、暗号
化プログラムおよび復号化プログラムなどの各種プログ
ラムを格納したメモリであり、たとえば書換可能なＥＥ
ＰＲＯＭや読み出し専用のＲＯＭなどからなる。

【００３０】内部記憶媒体１０４は、各種プログラムの
実行に必要となるパラメータを記憶するＥＥＰＲＯＭな
どからなるメモリであり、具体的には、装置暗号鍵、装
置復号鍵、媒体認証コードリスト、タイマ設定履歴ファ
イルおよびアカウント管理リストなどを記憶する。タイ
マ１０５は、プロセッサ１０６がプログラムの実行時に
所得する時刻を計時するタイマである。

【００３１】なお、大容量記憶媒体１０１については、
図中に破線で示したように原本性保証電子保存装置１０
０から取り外し可能としても良いが、その他の構成部位
については原本性保証電子保存装置１００と物理的に一
体化し、通信ポート１０２以外からのアクセスを受け付
けない耐タンパー性を有する構成にする。ただし、この
耐タンパー性には、筐体を開けられないようにシールを
貼る程度のレベルから、筐体を開けた場合に装置が動作
しなくなるレベルまで様々なものがあるが、本発明はこ
の耐タンパー性のレベルには特段の制限を受けない。

【００３２】プロセッサ１０６は、プログラム格納媒体
１０３に格納された主制御プログラム、ハッシュプログ
ラム、鍵生成プログラム、暗号化プログラムおよび復号
化プログラムなどの各種プログラムを読み出して実行す
る制御装置である。

【００３３】具体的には、このプロセッサ１０６は、ユ
ーザから保存要求のあったデータを大容量記憶媒体１０
１に保存する際に、あとでデータの改ざんを検出できる
ようにするために、内部記憶媒体１０４に記憶したプラ
イベートキーを用いて保存するデータにメッセージ認証
子を付加する。なお、このメッセージ認証子は、たとえ
ば公開鍵暗号方式を採用した場合には、ディジタル署名
として付加するデータに該当する。

【００３４】また、データそのものの不正な抹消を検出
するために、大容量記憶媒体１０１に記憶されているデ
ータのリストに対してもメッセージ認証子を付加し、さ
らにたとえば大容量記憶媒体１０１の状態を過去の状態
に戻すような不正なすり替えを検出するために、大容量
記憶媒体１０１の媒体識別番号と、その媒体のデータリ
ストに対するメッセージ認証子の対を内部記憶媒体１０
４に記憶して管理する。

【００３５】また、データ作成日などを不正に変更する
ことができないように、タイマ１０５から現在時刻を取
得し、この時刻をデータの属性として付与するととも
に、原本性保証電子保存装置１００内部でオリジナルな
電子データである原本データとそのコピーとを区別する
ことができるように、「仮原本」、「原本」および「謄
本」といった属性をデータに付与して管理する。たとえ
ば、「原本」という属性が付与されたデータコピーした
場合には、このコピーしたデータに「謄本」という属性
が付与される。

【００３６】なお、この属性は外部から変更することは
できず、また大容量記憶媒体１０１を取り外して外部に
てその属性を改ざんしたとしても、この大容量記憶媒体
１０１を装置に装着した際に改ざんの有無を検出する。

【００３７】次に、図１に示した原本性保証電子保存装
置１００による新規データの保存処理について図２およ
び図３を用いて説明する。図２は、図１に示した原本性
保証電子保存装置１００による新規データの保存処理手
順を示すフローチャートであり、図３は、この原本性保
証電子保存装置１００による新規データの保存処理の概
念を説明するための説明図である。

【００３８】図２および図３に示すように、大容量記憶
媒体１０１がマウントされている場合には、通信ポート
１０２を介してユーザからデータ、データ属性コードお
よびデータ名を受け取る（ステップＳ２０１）。具体的
には、図３に示す「原本」などがデータ属性コードに該
当し、「FileA.doc」などがデータ名に該当する。そし
て、受け取ったデータ属性コードが「原本」、「仮原
本」または「一般」のいずれでもなければ、エラー処理
をおこなう。

【００３９】これに対して、このデータ属性コードが
「原本」、「仮原本」または「一般」のいずれかであれ
ば、データ属性コードが「一般」であるか否かを判断し
（ステップＳ２０２）、「一般」である場合には（ステ
ップＳ２０２肯定）、受け取ったデータを受け取ったデ
ータ名で保存して処理を終了する（ステップＳ２０
３）。

【００４０】一方、このデータ属性コードが「一般」で
ない場合には（ステップＳ２０２否定）、初版としてバ
ージョン属性情報の作成処理をおこなう（ステップＳ２
０４）。具体的には、受け取ったデータに対してハッシ
ュ値を計算し、ハッシュ値を装置暗号鍵で暗号化してメ
ッセージ認証子（バージョンＭＡＣ）とし、内部記憶媒
体１０４より最新のタイマＩＤを取得し、初版でない場
合には、受け取ったバージョンアップモードをデータフ
ァイルタイプとし、対象データのバージョン番号、現在
時刻、タイマＩＤ、対象データを保存する際のファイル
名、データファイルタイプ、対象データのサイズおよび
バージョンＭＡＣなどを含むバージョン属性情報を作成
するという手順でバージョン属性情報を作成する。な
お、図３に示す例では、「Ver.1 1993.3.27 FileA#1.do
c 56KB，MAC」からなるバージョン属性情報を作成した
場合を示している。

【００４１】その後、この原本性保証電子保存装置１０
０は、データ属性情報を作成処理する（ステップＳ２０
５）。具体的には、内部記憶媒体１０４から最新データ
識別番号を取得し、最新データ識別番号を１増加させて
内部記憶媒体１０４に記録し、対象データのバージョン
属性情報から初版の作成日時情報を取得して作成日時情
報を取得して作成日時情報、最終更新日時情報とし、デ
ータ属性コード、最新データ識別番号、作成日時情報、
最終更新日時情報およびバージョン属性情報などを合わ
せてデータ属性情報とするという手順でデータ属性情報
を作成する。図３に示す例では、「R00012321 原本 199
9.3.27 1999.3.27，MAC」というデータ属性情報を作成
した場合を示している。

【００４２】その後、大容量記憶媒体１０１から保存デ
ータリストファイルを改ざん検知読み出し処理し（ステ
ップＳ２０６）、保存データリストに新たなデータのエ
ントリを追加した後に（ステップＳ２０７）、受け取っ
たデータ名にバージョン番号を組み込んだファイル名で
データを大容量記憶媒体１０１にファイルとして保存し
（ステップＳ２０８）、データ属性情報を改ざん検知保
存処理し（ステップＳ２０９）、新しい保存データリス
トファイルを改ざん検知保存処理した後に（ステップＳ
２１０）、保存データリストファイルのメッセージ認証
子（リストＭＡＣ）で内部記憶媒体１０４の媒体認証コ
ードリストを更新する（ステップＳ２１１）。

【００４３】具体的には、このデータ属性情報の改ざん
検知保存処理では、保存するデータに対してハッシュ値
を計算し、ハッシュ値を装置暗号鍵で暗号化し、メッセ
ージ認証子とし、メッセージ認証子とともにデータをフ
ァイルとして大容量記憶媒体に保存するという手順の処
理をおこなう。

【００４４】次に、大容量記憶媒体１０１のマウント処
理について説明する。図４は、図１に示した大容量記憶
媒体１０１のマウント処理手順を示すフローチャートで
ある。同図に示すように、まず最初に装着された大容量
記憶媒体１０１がフォーマットされているか否かを調べ
（ステップＳ４０１）、フォーマットされていない場合
には（ステップＳ４０１肯定）、大容量記憶媒体１０１
をフォーマットする（ステップＳ４０２）。

【００４５】具体的には、媒体を初期化し、内部記憶媒
体１０４から媒体認証コードリストを取得し、媒体認証
コードリストから最新の媒体識別番号を取得し、媒体識
別番号を１増加させた新しい媒体識別番号を大容量記憶
媒体１０１に記録し、内部記憶媒体１０４の媒体認証コ
ードリストに新しい媒体識別番号のエントリを追加する
（リストＭＡＣなし）という手順で大容量媒体１０１を
フォーマットする。

【００４６】そして、装着された大容量記憶媒体がフォ
ーマット済みの場合（ステップＳ４０１否定）またはス
テップＳ４０２によるフォーマット処理を終了した場合
には、保存データリストファイルを改ざん検知読み出し
処理する（ステップＳ４０３）。

【００４７】具体的には、対象ファイルを読み出し、対
象ファイルに記録されたメッセージ認証子とデータを分
離し、データに対してハッシュ値を計算し、内部記憶媒
体１０４から装置暗号鍵を取得し、装置復号鍵でメッセ
ージ認証子を復号して検証用ハッシュ値とし、先のハッ
シュ値が検証用ハッシュ値と一致しない場合には改ざん
されたものと判断する処理をおこなう。

【００４８】そして、改ざんがなされていると判断され
た場合には（ステップＳ４０４肯定）、エラー処理をお
こない（ステップＳ４１０）、改ざんがなされていない
と判断された場合には（ステップＳ４０４否定）、大容
量記憶媒体１０１から媒体識別番号を取得し（ステップ
Ｓ４０５）、この媒体識別番号に該当するメッセージ認
証子（リストＭＡＣ）を内部記憶媒体１０４から取得す
るとともに（ステップＳ４０６）、保存データリストフ
ァイルに付与されたメッセージ認証子を取得する（ステ
ップＳ４０７）。

【００４９】そして、両メッセージ認証子が同じである
ならば（ステップＳ４０８否定）、認証に成功したもの
として正常終了し、両メッセージ認証子が異なる場合に
は（ステップＳ４０８肯定）、エラー処理する（ステッ
プＳ４１０）。

【００５０】上記一連の処理をおこなうことにより、大
容量記憶媒体１０１が取り外し可能な場合に、この大容
量記憶媒体１０１のマウント時にその正当性を検証する
ことができる。

【００５１】次に、図１に示した原本性保証電子保存装
置１００によるデータ読み出し処理について説明する。
図５は、図１に示した原本性保証電子保存装置１００に
よるデータ読み出し処理手順を示すフローチャートであ
る。

【００５２】同図に示すように、大容量記憶媒体１０１
がマウントされた後に、対象データに関連づけられたデ
ータ属性ファイルが存在しない場合には（ステップＳ５
０１否定）、対象データファイルを読み出し（ステップ
Ｓ５０２）、読み出したデータをユーザに送信して（ス
テップＳ５１４）、処理を終了する。

【００５３】これに対して、対象データに関連づけられ
たデータ属性ファイルが存在する場合には（ステップＳ
５０１肯定）、大容量記憶媒体１０１の保存データリス
トファイルから対象データのエントリを取得する（ステ
ップＳ５０３）。なお、対象データのエントリが存在し
ない場合にはエラー処理をおこなう。

【００５４】そして、このエントリからデータ属性ＭＡ
Ｃを取得し（ステップＳ５０４）、大容量記憶媒体１０
１から対象データのデータ属性情報ファイルを改ざん検
知読み出し処理し（ステップＳ５０５）、改ざんされて
いる場合にはエラー処理をおこなう（ステップＳ５０
６）。

【００５５】一方、改ざんされていない場合には、取得
したデータ属性情報からデータ属性ＭＡＣを取得し（ス
テップＳ５０７）、取得したデータ属性ＭＡＣと前のデ
ータ属性ＭＡＣとが一致しない場合には（ステップＳ５
０８否定）、エラー処理をおこない（ステップＳ５１
５）、両者が一致する場合には（ステップＳ５０８肯
定）、大容量記憶媒体１０１から対象データの対象バー
ジョンのデータファイルを読み出す（ステップＳ５０
９）。なお、データファイルが存在しない場合には、エ
ラー処理をおこなう。

【００５６】その後、読み出したデータのハッシュ値を
計算し（ステップＳ５１０）、データ属性情報から対象
バージョンのバージョンＭＡＣを取得するとともに（ス
テップＳ５１１）、バージョンＭＡＣを装置復号鍵で復
号してハッシュ値を取得し（ステップＳ５１２）、両ハ
ッシュ値が異なる場合には（ステップＳ５１３肯定）エ
ラー処理をおこない（ステップＳ５１５）、両ハッシュ
値が一致する場合には（ステップＳ５１３否定）、読み
出したデータをユーザに送出して（ステップＳ５１４）
処理を終了する。

【００５７】上記一連の処理をおこなうことにより、ユ
ーザからデータを受け取ると、対象データの正当性を検
証した後に、該当するデータをユーザに送出することが
できる。

【００５８】次に、図１に示した原本性保証電子保存装
置１００による謄本作成処理について説明する。図６
は、図１に示した原本性保証電子保存装置１００による
謄本作成処理手順を示すフローチャートである。この原
本性保証電子保存装置１００では、「原本」の属性を持
つデータに対する複製要求を受け取ると、対象データフ
ァイルと、それに関連づけられたデータ属性ファイルと
を複写し、新たなデータ属性ファイルには「謄本」のデ
ータ属性コードを付加する。

【００５９】具体的には、まず最初に対象データのデー
タ属性ファイルを改ざん検知読み出し処理をし、読み出
したデータ属性情報ファイルからデータ属性コードを取
得し、データ属性コードが「原本」であることを確認す
る。なお、バージョン番号が指定されていない場合には
対象バージョンを全バージョンとし、対象バージョン番
号が−１である場合には、対象バージョンを最新版と
し、対象バージョンが全バージョンでない場合には、完
全バージョンから指定されたバージョンまでを対象バー
ジョンとする。

【００６０】そして、図６に示すように、対象データの
対象バージョンに対応するバージョンＭＡＣをデータ属
性情報から取得し（ステップＳ６０１）、このバージョ
ンＭＡＣを装置復号鍵で復号してバージョンハッシュ値
とし（ステップＳ６０２）、対象データの対象バージョ
ンのデータファイルからハッシュ値を計算して（ステッ
プＳ６０３）、ハッシュ値が一致するか否かを確認する
（ステップＳ６０４）。

【００６１】その結果、両ハッシュ値が一致しない場合
には（ステップＳ６０４否定）、エラー処理をおこなっ
て（ステップＳ６０５）処理を終了し、両ハッシュ値が
一致する場合には（ステップＳ６０４肯定）、保存デー
タリストファイルを改ざん検知読み出し処理し（ステッ
プＳ６０６）、保存データリストから対象データのデー
タ属性ＭＡＣを取得する（ステップＳ６０７）。

【００６２】そして、このデータ属性ＭＡＣが一致しな
い場合には（ステップＳ６０８否定）エラー処理をおこ
ない（ステップＳ６０５）、データ属性ＭＡＣが一致す
る場合には（ステップＳ６０８肯定）、作成先が同じ原
本性保証電子保存装置であるか否かを調べる（ステップ
Ｓ６０９）。

【００６３】そして、同じ装置内である場合には（ステ
ップＳ６０９肯定）、対象データの対象バージョンのデ
ータファイルを作成先にコピーし（ステップＳ６１
０）、対象データのデータ属性情報ファイルを作成先の
データ属性情報ファイルとしてコピーし（ステップＳ６
１１）、作成先のデータ属性情報ファイルを改ざん検知
読み出し処理する（ステップＳ６１２）。

【００６４】そして、読み出したデータ属性情報のデー
タ属性コードを「謄本」に変更し（ステップＳ６１
３）、読み出したデータ属性情報から対象バージョンの
バージョン属性情報を取得して（ステップＳ６１４）、
バージョン属性情報に含まれるファイル名を新しいファ
イル名に更新する（ステップＳ６１５）。

【００６５】そして、タイマ１０５から現在時刻を取得
し（ステップＳ６１６）、データ属性情報に謄本作成履
歴（アカウント名、現在時刻およびタイマＩＤ等）を追
加して（ステップＳ６１７）、データ属性情報を改ざん
検知保存処理する（ステップＳ６１８）。

【００６６】そして、保存データリストファイルを改ざ
ん検知読み出し処理して（ステップＳ６１９）、保存デ
ータリストに作成先データのエントリを追加し（ステッ
プＳ６２０）、新しい保存データリストを改ざん検知保
存処理し（ステップＳ６２１）、新しい保存データリス
トファイルのリストＭＡＣを内部記憶媒体１０４の媒体
認証コードリストに記録する（ステップＳ６２２）。

【００６７】これに対して、作成先が同じ装置内でない
場合には（ステップＳ６０９否定）、ログイン処理をお
こなった後に（ステップＳ６２３）、対象データの対象
バージョンのデータファイルを読み出し（ステップＳ６
２４）、読み出しデータを作成先装置に謄本作成モード
で転送し（ステップＳ６２５）、対象データのデータ属
性情報ファイルを改ざん検知読み出し処理する（ステッ
プＳ６２６）。

【００６８】そして、タイマ１０５から現在時刻を取得
し（ステップＳ６２７）、データ属性情報に謄本作成履
歴を追加し（ステップＳ６２８）、新しいデータ属性情
報を作成先の装置に謄本作成モードで転送する（ステッ
プＳ６２９）。

【００６９】次に、図１に示した原本性保証電子保存装
置１００のデータ移動処理について説明する。図７およ
び図８は、図１に示した原本性保証電子保存装置１００
のデータ移動処理手順を示すフローチャートである。な
お、図７は、移動先が同じ装置内である場合を示し、図
８は移動先が異なる装置である場合を示している。

【００７０】まず移動先が同じ装置である場合には、ま
ず最初に作成先のデータがすでに存在する場合にはエラ
ー処理をおこない、また対象データにデータ属性情報フ
ァイルが存在しない場合には、対象データのデータファ
イルを移動先に移動する。

【００７１】そして、図７に示すように、保存データリ
ストファイルを改ざん検知読み出し処理し（ステップＳ
７０１）、読み出した保存データリストから対象データ
に対応するデータ属性ＭＡＣを取得し（ステップＳ７０
２）、対象データのデータ属性情報ファイルからデータ
属性ＭＡＣを読み出す（ステップＳ７０３）。

【００７２】そして、対象データの全データファイルを
移動先に移動し（ステップＳ７０４）、対象データのデ
ータ属性情報ファイルを移動先に移動した後（ステップ
Ｓ７０５）、保存データリスト内の移動したファイルの
エントリを更新する（ステップＳ７０６）。

【００７３】そして、新しい保存データリストを改ざん
検知保存処理した後に（ステップＳ７０７）、新しい保
存データリストファイルのリストＭＡＣで内部記憶媒体
１０４の媒体認証コードリストを更新する（ステップＳ
７０８）。

【００７４】また、移動先が他の装置である場合には、
保存データリストファイルを改ざん検知読み出し処理し
（ステップＳ８０１）、移動先の装置にログイン処理す
る（ステップＳ８０２）。そして、対象データにデータ
属性情報ファイルが存在しない場合には（ステップＳ８
０３肯定）、対象データのデータファイルを大容量記憶
媒体１０１から読み出し（ステップＳ８０４）、読み出
したデータを移動モードで転送し（ステップＳ８０
５）、対象データのデータファイルを大容量記憶媒体１
０１から削除して処理を終了する。

【００７５】これに対して、データ属性ファイルが存在
する場合には（ステップＳ８０３否定）、保存データリ
ストファイルを改ざん検知読み出し処理し（ステップＳ
８０７）、読み出した保存データリストから対象データ
に対応するデータ属性ＭＡＣを取得し（ステップＳ８０
８）、対象データのデータ属性情報ファイルからデータ
属性ＭＡＣを読み出す（ステップＳ８０９）。

【００７６】そして、データ属性ＭＡＣが一致しない場
合には（ステップＳ８１０肯定）、対象データのデータ
属性情報ファイルを改ざん検知読み出し処理し（ステッ
プＳ８１２）、改ざんされていると判断した場合には
（ステップＳ８１３肯定）、エラー処理をおこなって
（ステップＳ８１１）処理を終了する。

【００７７】これに対して、改ざんされていない場合に
は（ステップＳ８１３否定）、対象データの全バージョ
ンについてデータファイルを大容量記憶媒体１０１から
読み出し（ステップＳ８１４）、読み出したそれぞれの
バージョンについてデータのハッシュ値を計算し（ステ
ップＳ８１５）、データ属性情報から全バージョンにつ
いてバージョンＭＡＣを取得し（ステップＳ８１６）、
取得したそれぞれのバージョンＭＡＣを装置復号鍵で復
号して検証ハッシュ値を取得する（ステップＳ８１
７）。

【００７８】そして、対応する検証ハッシュ値と先のハ
ッシュ値のうち、異なるものが存在する場合には（ステ
ップＳ８１８肯定）、エラー処理をおこなって処理を終
了し（ステップＳ８１１）、異なるものが存在しない場
合には（ステップＳ８１８否定）、タイマ１０５から現
在時刻を取得し（ステップＳ８１９）、データ属性情報
にデータ移動履歴を追加して（ステップＳ８２０）、新
しいデータ属性情報を移動先の装置に移動モードで転送
する（ステップＳ８２１）。

【００７９】その後、対象データのデータファイルを全
て削除し（ステップＳ８２２）、対象データのデータ属
性情報ファイルを削除し（ステップＳ８２３）、保存デ
ータリスト内の移動したデータのエントリを削除し（ス
テップＳ８２４）、新しい保存データリストを改ざん検
知保存処理する（ステップＳ８２５）。

【００８０】そして、新しい保存データリストのリスト
ＭＡＣで内部記憶媒体１０４の媒体認証コードリストを
更新し（ステップＳ８２６）、作成先装置からログアウ
ト処理をおこなって処理を終了する（ステップＳ８２
７）。

【００８１】次に、異なる原本性保証電子保存装置に上
記データ移動処理をおこなう場合の移動先の転送受け入
れ処理について説明する。図９は、異なる原本性保証電
子保存装置にデータ移動処理をおこなう場合の移動先の
転送受け入れ処理手順を示すフローチャートである。

【００８２】図９に示すように、転送先の原本性保証電
子保存装置は、まず最初に転送先データがすでに存在す
るか否かを確認し（ステップＳ９０１）、すでに存在す
る場合には（ステップＳ９０１肯定）、エラー処理をお
こなって処理を終了する（ステップＳ９０２）。

【００８３】これに対して、転送先データが存在しない
場合には（ステップＳ９０１否定）、謄本作成モードで
あるか否かを確認し（ステップＳ９０３）、謄本作成モ
ードである場合には（ステップＳ９０３肯定）、保存デ
ータリストファイルを改ざん検知読み出し処理し（ステ
ップＳ９０４）、受け取ったデータに対してハッシュ値
を計算し（ステップＳ９０５）、ハッシュ値を装置暗号
鍵で暗号化してバージョンＭＡＣとする（ステップＳ９
０６）。

【００８４】そして、受け取ったデータ属性情報の中の
バージョンＭＡＣを更新し（ステップＳ９０７）、デー
タ属性情報のデータ属性コードを「謄本」に変更し（ス
テップＳ９０８）、データ属性情報に謄本作成履歴を追
加し（ステップＳ９０９）、新しいデータ属性情報を改
ざん検知保存処理する（ステップＳ９１０）。

【００８５】そして、受け取ったデータをデータファイ
ルとして大容量記憶媒体１０１に保存し（ステップＳ９
１１）、保存データリストに作成した謄本データのエン
トリを追加して（ステップＳ９１２）、新しい保存デー
タリストを改ざん検知保存処理し（ステップＳ９１
３）、保存データリストファイルのリストＭＡＣで内部
記憶媒体１０４の媒体認証コードリストを更新して（ス
テップＳ９１４）、処理を終了する。

【００８６】一方、ステップＳ９０３において謄本作成
モードではなく移動モードであると判断された場合には
（ステップＳ９０３否定）、保存データリストファイル
を改ざん検知読み出し処理し（ステップＳ２０３）、受
け取ったデータに対してハッシュ値を計算し（ステップ
Ｓ９１６）、データ属性情報を受け取ったか否かを確認
する（ステップＳ９１７）。

【００８７】そして、データ属性情報を受け取った場合
には（ステップＳ９１７肯定）、ハッシュ値を装置暗号
鍵で暗号化してバージョンＭＡＣとし（ステップＳ９１
８）、データ属性情報の中のバージョンＭＡＣを更新し
て（ステップＳ９１９）、データ属性情報にファイル移
動履歴を追加する（ステップＳ９２０）。

【００８８】そして、新しいデータ属性情報を改ざん検
知保存処理し（ステップＳ９２１）、受け取ったデータ
をデータファイルとして大容量記憶媒体１０１に保存し
て（ステップＳ９２２）、保存データリストに受け取っ
たデータのエントリを追加する（ステップＳ９２３）。

【００８９】そして、新しい保存データリストを改ざん
検知保存処理し（ステップＳ９２４）、保存データリス
トファイルのリストＭＡＣで内部記憶媒体の媒体認証コ
ードリストを更新して（ステップＳ９２５）、処理を終
了する。なお、上記ステップＳ９１７でデータ属性情報
を受け取らない場合には（ステップＳ９１７否定）、そ
のまま処理を終了する。

【００９０】次に、図１に示した原本性保証電子保存装
置１００によるデータの削除処理について説明する。図
１０は、図１に示した原本性保証電子保存装置１００に
よるデータの削除処理手順を示すフローチャートであ
る。同図に示すように、まず保存データリストファイル
を改ざん検知読み出し処理し（ステップＳ１００１）、
対象データに該当するエントリを取得する（ステップＳ
１００２）。

【００９１】そして、このエントリが存在しない場合に
は（ステップＳ１００３否定）、対象データを削除して
（ステップＳ１００４）処理を終了し、エントリが存在
する場合には（ステップＳ１００３肯定）、データ属性
コードが「原本」であるか否かを確認する（ステップＳ
１００５）。

【００９２】そして、データ属性コードが「原本」であ
る場合には（ステップＳ１００５肯定）、エラー処理を
おこなって処理を終了し（ステップＳ１００６）、「原
本」でない場合には（ステップＳ１００５否定）、保存
データリストから対象データに該当するエントリを削除
し（ステップＳ１００７）、新しい保存データリストを
改ざん検知保存処理する（ステップＳ１００８）。

【００９３】そして、保存データリストファイルのリス
トＭＡＣで内部記憶媒体１０４の媒体認証コードリスト
を更新した後（ステップＳ１００９）、対象データのデ
ータファイルを削除し（ステップＳ１０１０）、対象デ
ータのデータ属性ファイルをも削除して（ステップＳ１
０１１）処理を終了する。

【００９４】次に、図１に示した原本性保証電子保存装
置１００によるデータ属性コードの変更処理について説
明する。データ保存処理において、「仮原本」の属性を
持つデータを保存することはできるが、この「仮原本」
データは単純にデータ属性コードを「原本」に変更する
ことが可能である。また、「謄本」、「バックアップ仮
原本」、「バックアップ原本」および「バックアップ謄
本」の属性を持つデータはそれぞれ属性コードを変更す
ることで元のデータを復旧することができる。かかる復
旧をおこなうと、図１１に示すように、「謄本」が「原
本」に復旧され、「バックアップ仮原本」が「仮原本」
に復旧され、「バックアップ原本」が「原本」に復旧さ
れ、「バックアップ謄本」が「謄本」に復旧される。な
お、かかるデータ属性コードを変更するとこれをデータ
アクセス履歴として記録することとなる。

【００９５】また、図１２は、図１に示した原本性保証
電子保存装置１００によるデータ属性コードの変更処理
手順を示すフローチャートである。同図に示すように、
まず最初に保存データリストを改ざん検知読み出し処理
し（ステップＳ１２０１）、保存データリストから対象
データに該当するエントリを取得したならば（ステップ
Ｓ１２０２）、エントリから現属性コードを取得する
（ステップＳ１２０３）。

【００９６】そして、新データ属性コードが「仮原本」
であり（ステップＳ１２０４肯定）、現データ属性コー
ドが「バックアップ仮原本」である場合には（ステップ
Ｓ１２０５肯定）、データ属性情報のデータ属性コード
を「仮原本」に変更する（ステップＳ１２０６）。な
お、ステップＳ１２０５で現データ属性コードが「バッ
クアップ仮原本」でない場合には（ステップＳ１２０
５）、エラー処理をおこなって処理を終了する（ステッ
プＳ１２１９）。

【００９７】また、新データ属性コードが「仮原本」で
ない場合には（ステップＳ１２０４否定）、この新デー
タ属性コードが「原本」であるか否かを調べ（ステップ
Ｓ１２０７）、この新データ属性コードが「原本」であ
る場合には（ステップＳ１２０７肯定）、現データ属性
コードが「バックアップ仮原本」または「仮原本」であ
か否かを調べ（ステップＳ１２０８）、「バックアップ
仮原本」または「仮原本」である場合には（ステップＳ
１２０８肯定）、データ属性情報のデータ属性コードを
「原本」に変更する（ステップＳ１２０９）。なお、ス
テップＳ１２０８で現データ属性コードが「バックアッ
プ原本」または「仮原本」でない場合には（ステップＳ
１２０８否定）、エラー処理をおこなって処理を終了す
る（ステップＳ１２１９）。

【００９８】また、新データ属性コードが「原本」でな
い場合には（ステップＳ１２０７否定）、この新データ
属性コードが「謄本」であるか否かを調べ（ステップＳ
１２１０）、この新データ属性コードが「謄本」である
場合には（ステップＳ１２１０肯定）、現データ属性コ
ードが「バックアップ謄本」であか否かを調べ（ステッ
プＳ１２１１）、「バックアップ謄本」である場合には
（ステップＳ１２１１肯定）、データ属性情報のデータ
属性コードを「謄本」に変更する（ステップＳ１２１
２）。なお、ステップＳ１２１１で現データ属性コード
が「バックアップ謄本」でない場合には（ステップＳ１
２１１否定）、エラー処理をおこなって処理を終了する
（ステップＳ１２１９）。

【００９９】そして、これらの変更を終えたならば、タ
イマ１０５から現在時刻を取得し（ステップＳ１２１
３）、データ属性情報にデータ属性コード変更履歴を追
加して（ステップＳ１２１４）、新しいデータ属性情報
を改ざん検知保存処理する（ステップＳ１２１５）。

【０１００】その後、保存データリストの対象データに
該当するエントリについて内容を更新し（ステップＳ１
２１６）、新しい保存データリストを改ざん検知保存処
理して（ステップＳ１２１７）、保存データリストファ
イルのリストＭＡＣで内部記憶媒体１０４の媒体認証コ
ードリストを更新して（ステップＳ１２１８）、処理を
終了する。

【０１０１】次に、図１に示した原本性保証電子保存装
置１００によるデータのバージョンアップ処理について
説明する。このデータバージョンアップ処理では、「原
本」および「仮原本」のデータ属性コードを持つデータ
に対しては編集を許可しないが、バージョンアップにつ
いては許可することとしている。このように、バージョ
ンアップのみを許可することにより、以前のデータが失
われず、電子データの編集履歴が分かるため、その証明
力が高まることになる。

【０１０２】また、この原本性保証電子保存装置１００
では、「謄本」およびバックアップのデータについて
は、追記や編集を許可しない。その理由は、データの訂
正や修正は、原本に対して施すべきものであり、コピー
やバックアップに対して施すべきものではないからであ
る。

【０１０３】また、新しいバージョンのデータ管理の仕
方としては、新しいバージョンの内容を完全に記録する
方式と、前バージョンとの差分のみを記録する方式とを
選択できることとしている。なお、この差分のみを記録
する差分モードでは、差分データを外部から渡すことと
する。

【０１０４】図１３は、図１に示した原本性保証電子保
存装置１００によるデータのバージョンアップ処理手順
を示すフローチャートであり、図１４は、この原本性保
証電子保存装置１００によるデータのバージョンアップ
処理の概念を説明するための説明図である。

【０１０５】図１３および図１４に示すように、大容量
記憶媒体１０１がマウントされている場合には、保存デ
ータリストファイルを改ざん検知読み出し処理し（ステ
ップＳ１３０１）、読み出した保存データリストから対
象データのエントリを取得する（ステップＳ１３０
２）。

【０１０６】そして、エントリの中からデータ属性ＭＡ
Ｃを取得するとともに（ステップＳ１３０３）、対象デ
ータに対応したデータ属性情報ファイルからデータ属性
ＭＡＣを取得し（ステップＳ１３０４）、両属性ＭＡＣ
が一致するか否かを確認する（ステップＳ１３０５）。

【０１０７】そして、両属性ＭＡＣが一致しない場合に
は（ステップＳ１３０５否定）、エラー処理をおこなっ
て（ステップＳ１３１７）処理を終了し、両属性ＭＡＣ
が一致する場合には（ステップＳ１３０５肯定）、対象
データに対応したデータ属性情報ファイルを改ざん検知
読み出し処理する（ステップＳ１３０６）。

【０１０８】そして、読み出したデータ属性情報から最
新バージョン番号を取得し（ステップＳ１３０７）、最
新バージョン番号に１を加えて現バージョン番号とし
（ステップＳ１３０８）、外部から受け取ったデータを
もとに現バージョンのバージョン属性情報作成処理をお
こなう（ステップＳ１３０９）。たとえば、図１４に示
す例では、「Ver.2 1999.3.29 File#2.doc 102KB MAC」
というバージョン２（Ver.2）のバージョン属性情報が
作成される。

【０１０９】そして、現バージョンのバージョン属性情
報をもとにデータ属性情報更新処理をおこなう（ステッ
プＳ１３１０）。具体的には、新しいバージョン属性情
報から作成日時情報を取得して最終更新日時情報とし、
データ属性情報の最終更新日時情報を新しい最終更新日
時情報に更新し、データ属性情報に新しいバージョン属
性情報を追加して新しいデータ属性情報とする。たとえ
ば、図１４に示す例では、「R00012321 原本 1999.3.27
1999.3.29 Ver.1 Ver.2 MAC」というデータ属性情報を
作成する場合を示している。

【０１１０】そして、大容量記憶媒体１０１から保存デ
ータリストファイルを改ざん検知読み出し処理し（ステ
ップＳ１３１１）、保存データリストから対象データに
該当するエントリの内容を新しいデータ属性情報をもと
に更新する（ステップＳ１３１２）。

【０１１１】そして、対象データのデータ名にバージョ
ン番号を組み込んだファイル名でデータを大容量記憶媒
体１０１にファイルとして保存し（ステップＳ１３１
３）、新しいデータ属性情報を改ざん検知保存処理する
とともに（ステップＳ１３１４）、新しい保存データリ
ストを改ざん検知保存処理して（ステップＳ１３１
５）、保存データリストファイルのメッセージ認証子
（リストＭＡＣ）で内部記憶媒体１０４の媒体認証コー
ドリストを更新して（ステップＳ１３１６）処理を終了
する。

【０１１２】次に、図１に示した原本性保証電子保存装
置１００によるデータの編集処理について説明する。こ
の原本性保証電子保存装置１００では、「仮原本」およ
び「原本」のデータについては修正履歴を残すことで証
明力を高めるために、データに対する編集要求を拒否
し、また「謄本」やバックアップは、本来編集すべき対
象ではないので、同様に編集要求を拒否する。このた
め、結果的に「一般」のデータのみが編集可能となる。

【０１１３】図１５は、図１に示した原本性保証電子保
存装置１００によるデータの編集処理手順を示すフロー
チャートである。同図に示すように、大容量記憶媒体１
０１がマウントされている場合には、保存データリスト
ファイルを改ざん検知読み出し処理し（ステップＳ１５
０１）、保存データリストから対象データに該当するエ
ントリを取得する（ステップＳ１５０２）。

【０１１４】ここで、このエントリを取得できた場合に
は（ステップＳ１５０３肯定）、エラー処理をおこなっ
て処理を終了し（ステップＳ１５０５）、エントリを取
得できない場合には（ステップＳ１５０３否定）、対象
データのデータファイルの編集を許容する（ステップＳ
１５０４）。

【０１１５】次に、図１に示した原本性保証電子保存装
置１００へのクライアント（ホスト計算機１１０）から
のログイン処理について説明する。この原本性保証電子
保存装置１００にデータを保存したりデータを読み出す
前に、クライアントは原本性保証電子保存装置１００に
ログインしなければならない。

【０１１６】このログイン処理としては、従来から知ら
れているＩＣカードを用いる技術を採用することもでき
るが、本実施の形態では、パスワードによる一般的なチ
ャレンジ レスポンス認証処理をおこなっている。な
お、この原本性保証電子保存装置１００は、内部記録媒
体１０４のアカウント管理テーブルにあらかじめアカウ
ント名とパスワードを記憶しており、外部システムがア
クセスする場合には、外部システム用のアカウント名を
使用し、原本の移動やコピーをするために他の原本性保
証電子保存装置にログインする際には、原本性保証電子
保存装置用のアカウントを使用することとする。

【０１１７】図１６は、図１に示した原本性保証電子保
存装置１００へのクライアントからのログイン処理手順
を示すフローチャートである。同図に示すように、クラ
イアントがアカウント名とログイン要求を送信し（ステ
ップＳ１６０１）、原本性保証電子保存装置１００が、
このアカウント名とログイン要求を受信したならば（ス
テップＳ１６０２）、内部記録媒体１０４からアカウン
ト管理テーブルを取得する（ステップＳ１６０３）。

【０１１８】そして、クライアントがアカウント名とパ
スワードを送信すると（ステップＳ１６０４）、原本性
保証電子保存装置１００では、アカウント管理テーブル
から該当するパスワードを取得し（ステップＳ１６０
５）、該当するパスワードが存在しない場合には（ステ
ップＳ１６０６肯定）、エラー処理をおこなって処理を
終了する（ステップＳ１６０７）。

【０１１９】これに対して該当するパスワードが存在す
る場合には（ステップＳ１６０６否定）、乱数を生成し
てクライアントに送信する（ステップＳ１６０８〜Ｓ１
６０９）とともに、乱数とパスワードを合わせたものに
対してハッシュ値を計算する（ステップＳ１６１０）。

【０１２０】一方、クライアントがこの乱数を受信した
ならば（ステップＳ１６１１）、乱数とパスワードを合
わせたものに対してハッシュ値を計算し（ステップＳ１
６１２）、計算したハッシュ値を送信する（ステップＳ
１６１３）。

【０１２１】そして、原本性保証電子保存装置１００
が、このハッシュ値を受信したならば（ステップＳ１６
１４）、両ハッシュ値を比較して両者が一致する場合に
は（ステップＳ１６１５肯定）、成功した終了コードを
送信し（ステップＳ１６１６）、両者が一致しない場合
には（ステップＳ１６１５否定）、エラー処理をおこな
う（ステップＳ１６１８）。そして、クライアントがこ
の終了コードを受信（ステップＳ１６１７）した時点で
ログイン処理を終了する。なお、ステップＳ１６０７お
よびＳ１６１８のエラー処理時には、エラーを示す旨の
終了コードをクライアントに送信する。

【０１２２】次に、図１に示した原本性保証電子保存装
置１００による日時の管理について説明する。この原本
性保証電子保存装置１００では、データアクセス履歴な
どに記録する日時は装置内部のタイマ１０５から取得す
るが、このタイマ１０５は設定変更が可能であるため、
タイマ１０５を不正に変更することによりデータアクセ
ス日時を偽ることが可能となる。

【０１２３】このため、本実施の形態では、タイマ１０
５の設定をおこなうと図１７（ａ）に示すように、タイ
マ設定履歴を自動的に内部記憶媒体１０４に記憶するよ
う構成している。

【０１２４】ここで、タイマＩＤは、装置内部で自動的
に付与されるシーケンシャルな番号であり、タイマの設
定を変更する都度番号が増える。また、データアクセス
履歴に含まれる日時情報にはタイマＩＤも含まれる。

【０１２５】同図に示す場合に、タイマＩＤ＝３におい
て不正に日付を１月ずらし、その後タイマＩＤ＝４で日
付を戻していることが分かるため、データアクセス履歴
の日時にタイマＩＤ＝３の履歴が付されているデータ
は、不正に日時を偽ろうとした可能性があることが判明
する。

【０１２６】また、原本性保証電子保存装置１００から
他の原本性保証電子保存装置へデータを移動したりコピ
ーする場合にも、データアクセス履歴の日時に不都合が
生じないようにするために、図１７（ｂ）に示すデータ
アクセス履歴をデータ属性情報に取り込む。なお、この
データアクセス履歴は、データ情報ファイルに記憶す
る。具体的には、同図に示す例では、移動先の原本性保
証電子保存装置R010-0001055の日時19990217 10:13:43
ＩＤ＝２が、移動元の原本性保証電子保存装置R010-000
1032の日時19990217 10:10:21 ＩＤ＝３に相当すること
が分かるため、移動したデータに不正が見つかった場合
には、原本性保証電子保存装置をまたいで履歴を辿るこ
とができる。

【０１２７】次に、図１に示した原本性保証電子保存装
置１００が用いる保存データリストファイル、データ属
性情報ファイル、バージョン属性情報、媒体認証コード
リスト、アカウント管リスト、日時情報およびタイマ設
定履歴ファイルの一例について図１８および図１９を用
いて説明する。

【０１２８】図１８（ａ）は、原本性保証電子保存装置
１００が用いる保存データリストファイルの一例を示す
図であり、同図に示すように、この保存データリストフ
ァイルは、メッセージ認証子（リストＭＡＣ）と各リス
トエントリからなる。なお、ここで言う原本化とは、属
性コードを「仮原本」から「原本」に変更することを意
味する。そして、最初のリストＭＡＣを除いた部分が改
ざん検知読み出し処理した際の保存データリストとな
る。

【０１２９】図１８（ｂ）は、原本性保証電子保存装置
１００が用いるデータ属性情報ファイルの一例を示す図
であり、同図に示すように、このデータ属性情報ファイ
ルは、メッセージ認証子（リストＭＡＣ）と属性管理デ
ータとからなる。そして、最初のデータ属性ＭＡＣを除
いた部分が改ざん検知読み出し処理した際のデータ属性
情報となる。また、データ識別番号は、原本性保証電子
保存装置識別番号（たとえば、R0010123）と、最新デー
タ識別番号（たとえば、00000021）とをつなげたもの
（R0010123-00000021）となる。

【０１３０】図１８（ｃ）は、原本性保証電子保存装置
１００が用いるバージョン属性情報の一例を示す図であ
り、同図に示すように、このバージョン属性情報は、メ
ッセージ認証子（リストＭＡＣ）と、バージョン管理デ
ータと、各アクセス履歴とからなる。

【０１３１】図１９（ａ）は、原本性保証電子保存装置
１００が用いる媒体認証リストコードの一例を示す図で
あり、同図に示すように、この媒体認証リストコード
は、媒体識別番号およびメッセージ認証子（リストＭＡ
Ｃ）からなる複数の認証コードエントリにより形成され
る。

【０１３２】図１９（ｂ）は、原本性保証電子保存装置
１００が用いるアカウント管理リストの一例を示す図で
あり、同図に示すように、このアカウント管理リスト
は、アカウント名およびパスワードからなる各アカウン
トエントリからなる。なお、このアカウント管理リスト
は、任意の数のアカウントが登録できるような構造とし
ているが、最初から存在するクライアント用のアカウン
トや、原本性保証電子保存装置用のアカウントについて
は図示省略している。

【０１３３】図１９（ｃ）は、原本性保証電子保存装置
１００が用いる日時情報の内容を示す図であり、同図に
示すように、この日時情報は、「年」、「月」、
「日」、「時」、「分」、「秒」および「タイマＩＤ」
からなる。

【０１３４】図１９（ｄ）は、原本性保証電子保存装置
１００が用いるタイマ設定履歴ファイルの内容を示す図
であり、同図に示すように、このタイマ設定履歴ファイ
ルは、設定前の日時情報、設定後の日時情報およびアカ
ウント名からなる各タイマ設定履歴からなる。

【０１３５】

【発明の効果】以上説明したように、請求項１の発明に
よれば、複数の版によって形成される電子データの内容
を一つの原本として識別可能な状態で保存し、保存した
原本の電子データと該原本の電子データ以外の電子デー
タとで異なるレベルのアクセス制御をおこなうこととし
たので、複数のバージョンにまたがる原本性の保証を含
む原本データの版管理を効率良くおこなうことができ
る。

【０１３６】また、請求項２の発明によれば、外部から
電子データを原本として新規に保存する保存要求を受け
付けた際に、所定の暗号鍵を用いて該電子データの改ざ
ん検知情報を算定し、算定された改ざん検知情報を含む
版管理情報を作成し、作成された版管理情報および所定
のデータ識別情報を含むデータ属性情報を作成し、作成
されたデータ属性情報に前記暗号鍵を適用して、該デー
タ属性情報の改ざん検知情報を算定し、算定した改ざん
検知情報をデータ属性情報に付与したデータと保存対象
となる電子データとを記憶部に記憶することとしたの
で、改ざん検知情報を含むデータ属性情報を電子データ
とともに記憶することができる。

【０１３７】また、請求項３の発明によれば、外部から
原本の電子データの読み出し要求を受け付けた際に、読
み出し対象となる電子データのデータ属性情報を記憶部
から読み出し、読み出されたデータ属性情報に付与され
た改ざん検知情報と暗号鍵に応答する復号鍵とに基づい
て改ざんの有無を検証し、読み出されたデータ属性情報
から読み出し対象となる版の版管理情報を記憶部から読
み出し、読み出された版管理情報と復号鍵とに基づいて
改ざんの有無を検証し、読み出し対象となる電子データ
が改ざんされていないことが検証された場合に、該電子
データを外部に提供することとしたので、改ざんを防止
しつつ外部に電子データを提供することができる。

【０１３８】また、請求項４の発明によれば、外部から
原本である電子データの版をバージョンアップする旨の
要求を受け付けた際に、該バージョンアップの対象とな
る電子データのデータ属性情報を前記記憶部から読み出
し、読み出されたデータ属性情報と復号鍵とに基づいて
改ざんの有無を検証し、新たな版の電子データに暗号鍵
を適用して該新たな版の電子データの改ざん検知情報を
算定し、算定された改ざん検知情報を含む版管理情報を
作成し、作成された版管理情報を前記データ属性情報に
追加する追加し、追加されたデータ属性情報に暗号鍵を
適用して該データ属性情報の改ざん検知情報を算定し、
算定された改ざん検知情報をデータ属性情報に付与した
データと新しい版の電子データとを記憶部に記憶するこ
ととしたので、改ざんを防止しつつ効率良くバージョン
アップをおこなうことができる。

【０１３９】また、請求項５の発明によれば、外部から
原本となる電子データの版を指定した複製要求を受け付
けた際に、該複製要求の対象となる電子データのデータ
属性情報を記憶部から読み出し、読み出されたデータ属
性情報に復号鍵を適用して、該データ属性情報の改ざん
の有無を検証し、複製要求で指定された版の電子データ
を記憶部から読み出し、データ属性情報から指定された
版の版管理情報を取り出し、取り出された版管理情報に
復号鍵を適用して改ざんの有無を検証し、指定された版
の電子データを指定された複製先に複製し、データ属性
情報に含まれる属性情報を複写を示す情報に変更し、変
更されたデータ属性情報を指定された複製先に複製する
こととしたので、改ざんを防止しつつ効率良く電子デー
タを複製することができる。

【０１４０】また、請求項６の発明によれば、外部から
保存される電子データが差分データである場合には、そ
の版が差分データであることを示す版管理情報をデータ
属性情報に含めて管理することとしたので、差分データ
として電子データを管理する場合であっても効率良く版
管理することができる。

【０１４１】また、請求項７の発明によれば、外部から
原本となる電子データに対して版を指定した複製要求を
受け付けた際に、複製対象となる版が差分データである
場合には、該複製対象となる版よりも前の版で完全デー
タを保持する版以上の電子データを複製することとした
ので、差分データで電子データを管理する場合であって
も、さらに効率良く版管理をおこなうことができる。

【０１４２】また、請求項８の発明に係る記録媒体は、
前記請求項１〜７のいずれか一つに記載された方法をコ
ンピュータに実行させるプログラムを記録したことで、
そのプログラムが機械読み取り可能となり、これによっ
て、請求項１〜７の動作をコンピュータによって実現す
ることができる。

【図面の簡単な説明】

【図１】この実施の形態で用いる原本性保証電子保存装
置の構成を示すブロック図である。

【図２】図１に示した原本性保証電子保存装置による新
規データの保存処理手順を示すフローチャートである。

【図３】図１に示した原本性保証電子保存装置による新
規データの保存処理の概念を説明するための説明図であ
る。

【図４】図１に示した大容量記憶媒体のマウント処理手
順を示すフローチャートである。

【図５】図１に示した原本性保証電子保存装置によるデ
ータ読み出し処理手順を示すフローチャートである。

【図６】図１に示した原本性保証電子保存装置による謄
本作成処理手順を示すフローチャートである。

【図７】図１に示した原本性保証電子保存装置のデータ
移動処理手順（移動先が同じ装置内である場合）を示す
フローチャートである。

【図８】図１に示した原本性保証電子保存装置のデータ
移動処理手順（移動先が他の装置内である場合）を示す
フローチャートである。

【図９】異なる原本性保証電子保存装置にデータ移動処
理をおこなう場合の移動先の転送受け入れ処理手順を示
すフローチャートである。

【図１０】図１に示した原本性保証電子保存装置による
データの削除処理手順を示すフローチャートである。

【図１１】図１に示した原本性保証電子保存装置による
データ属性コードの変更態様を示す説明図である。

【図１２】図１に示した原本性保証電子保存装置による
データ属性コードの変更処理手順を示すフローチャート
である。

【図１３】図１に示した原本性保証電子保存装置による
データのバージョンアップ処理手順を示すフローチャー
トである。

【図１４】図１に示す原本性保証電子保存装置によるデ
ータのバージョンアップ処理の概念を説明するための説
明図である。

【図１５】図１に示した原本性保証電子保存装置による
データの編集処理手順を示すフローチャートである。

【図１６】図１に示した原本性保証電子保存装置へのク
ライアントからのログイン処理手順を示すフローチャー
トである。

【図１７】図１に示した原本性保証電子保存装置が用い
るタイマ設定履歴およびアクセス履歴の一例を示す図で
ある。

【図１８】図１に示した原本性保証電子保存装置が用い
る保存データリストファイル、データ属性情報ファイル
およびバージョン属性情報の一例を示す説明図である。

【図１９】図１に示した原本性保証電子保存装置が用い
る媒体認証コードリスト、アカウント管リスト、日時情
報およびタイマ設定履歴ファイルの一例を示す説明図で
ある。

【符号の説明】

１００ 原本性保証電子保存装置 １０１ 大容量記憶媒体 １０２ 通信ポート １０３ プログラム格納媒体 １０４ 内部記録媒体 １０５ タイマ １０６ プロセッサ １１０ ホスト計算機

フロントページの続き Ｆターム(参考） 5B017 AA01 AA06 BA05 BA06 BA07 BB02 BB10 CA09 CA16 5J104 AA08 NA02 NA06 NA27 PA14 9A001 BB01 BB03 BB04 CC08 EE03 GG22 LL02 LL03

Claims (8)

【特許請求の範囲】
1. 【請求項１】 所定の記憶部に記憶した電子データの原
   本性を保証する原本性保証電子保存方法において、 複数の版によって形成される電子データの内容を一つの
   原本として識別可能な状態で保存する保存工程と、 前記保存工程によって保存した原本の電子データと該原
   本の電子データ以外の電子データとで異なるレベルのア
   クセス制御をおこなうアクセス制御工程と、 を含んだことを特徴とする原本性保証電子保存方法。
2. 【請求項２】 前記保存工程は、 外部から電子データを原本として新規に保存する保存要
   求を受け付けた際に、所定の暗号鍵を用いて該電子デー
   タの改ざん検知情報を算定する第１の改ざん検知情報算
   定工程と、 前記第１の改ざん検知情報算定工程によって算定された
   改ざん検知情報を含む版管理情報を作成する版管理情報
   作成工程と、 前記版管理情報作成工程によって作成された版管理情報
   および所定のデータ識別情報を含むデータ属性情報を作
   成するデータ属性情報作成工程と、 前記データ属性情報作成工程によって作成されたデータ
   属性情報に前記暗号鍵を適用して、該データ属性情報の
   改ざん検知情報を算定する第２の改ざん検知情報算定工
   程と、 前記第２の改ざん検知情報算定工程によって算定した改
   ざん検知情報を前記データ属性情報に付与したデータ
   と、保存対象となる電子データとを前記記憶部に記憶す
   る記憶工程と、 を含んだことを特徴とする請求項１に記載の原本性保証
   電子保存方法。
3. 【請求項３】 前記アクセス制御工程は、 外部から原本の電子データの読み出し要求を受け付けた
   際に、読み出し対象となる電子データのデータ属性情報
   を前記記憶部から読み出すデータ属性情報読出工程と、 前記データ属性情報読出工程によって読み出されたデー
   タ属性情報に付与された改ざん検知情報と前記暗号鍵に
   応答する復号鍵とに基づいて、改ざんの有無を検証する
   第１の改ざん検証工程と、 前記データ属性情報読出工程によって読み出されたデー
   タ属性情報から読み出し対象となる版の版管理情報を前
   記記憶部から読み出す版管理情報読出工程と、 前記版管理情報読出工程によって読み出された版管理情
   報と前記復号鍵とに基づいて、改ざんの有無を検証する
   第２の改ざん検証工程と、 前記読み出し対象となる電子データが改ざんされていな
   いことが検証された場合に、該電子データを外部に提供
   する提供工程と、 を含んだことを特徴とする請求項２に記載の原本性保証
   電子保存方法。
4. 【請求項４】 外部から原本である電子データの版をバ
   ージョンアップする旨の要求を受け付けた際に、該バー
   ジョンアップの対象となる電子データのデータ属性情報
   を前記記憶部から読み出すデータ属性情報読み出し工程
   と、 前記データ属性情報読み出し工程によって読み出された
   データ属性情報と前記復号鍵とに基づいて、改ざんの有
   無を検証する改ざん検証工程と、 新たな版の電子データに前記暗号鍵を適用して該新たな
   版の電子データの改ざん検知情報を作成する第１の改ざ
   ん検知情報算定工程と、 前記第３の改ざん検知情報算定工程によって算定された
   改ざん検知情報を含む版管理情報を作成する版管理情報
   作成工程と、 前記版管理情報作成工程によって作成された版管理情報
   を前記データ属性情報に追加する追加工程と、 前記追加工程によって版管理情報が追加されたデータ属
   性情報に前記暗号鍵を適用して、該データ属性情報の改
   ざん検知情報を算定する第２の改ざん検知情報算定工程
   と、 前記第２の改ざん検知情報算定工程によって算定された
   改ざん検知情報を前記データ属性情報に付与したデータ
   と新しい版の電子データとを前記記憶部に記憶する記憶
   工程と、 からなるバージョンアップ工程をさらに含んだことを特
   徴とする請求項２または３に記載の原本性保証電子保存
   方法。
5. 【請求項５】 外部から原本となる電子データの版を指
   定した複製要求を受け付けた際に、該複製要求の対象と
   なる電子データのデータ属性情報を前記記憶部から読み
   出すデータ属性情報読出工程と、 前記データ属性情報読出工程によって読み出されたデー
   タ属性情報に前記復号鍵を適用して、該データ属性情報
   の改ざんの有無を検証する第１の改ざん検証工程と、 前記複製要求で指定された版の電子データを前記記憶部
   から読み出す電子データ読出工程と、 前記データ属性情報から指定された版の版管理情報を取
   り出す版管理情報取出工程と、 前記版管理情報取出工程によって取り出された版管理情
   報に前記復号鍵を適用して、改ざんの有無を検証する第
   ２の改ざん検証工程と、 前記電子データ読出工程によって読み出された指定され
   た版の電子データを指定された複製先に複製する第１の
   複製工程と、 前記データ属性情報に含まれる属性情報を複写を示す情
   報に変更する属性情報変更工程と、 前記属性変更工程によって属性情報が変更されたデータ
   属性情報を指定された複製先に複製する第２の複製工程
   と、 からなるデータ複製工程をさらに含んだことを特徴とす
   る請求項２、３または４に記載の原本性保証電子保存方
   法。
6. 【請求項６】 外部から保存される電子データが差分デ
   ータである場合には、その版が差分データであることを
   示す版管理情報を前記データ属性情報に含めて管理する
   ことを特徴とする請求項１〜５のいずれか一つに記載の
   原本性保証電子保存方法。
7. 【請求項７】 外部から原本となる電子データに対して
   版を指定した複製要求を受け付けた際に、複製対象とな
   る版が差分データである場合には、該複製対象となる版
   よりも前の版で完全データを保持する版以上の電子デー
   タを複製することを特徴とする請求項６に記載の原本性
   保証電子保存方法。
8. 【請求項８】 前記請求項１〜７のいずれか一つに記載
   された方法をコンピュータに実行させるプログラムを記
   録したことを特徴とするコンピュータ読み取り可能な記
   録媒体。