JP2004240969A - デジタル的に生成されおよび署名された文書のための保存システム - Google Patents

Abstract

【課題】 デジタルデータ保存システム（１０）におけるデジタル的に署名された文書（１６０）を保存する方法。
【解決方法】 セキュア保存リクエスト（１７６）は、文書（１６０）を識別記号（１７２）と文書の関連デジタル署名とを用いて生成される保存署名（１７４）と結合させる。一旦、文書（１６０）がデジタル保存システムベンダにより認証されると、文書（１６０）と識別記号（１７２）の両方が人間読み取り可能フォームで保存媒体に記録される。
【選択図】 図３

Description

本発明は、一般に、デジタル文書データの保存に関し、特に、デジタル証明文書の長期間保存のための装置および方法に関する。

本発明の意図を明確にするために、先ず、本発明において、用語“データアーカイビング”と“データ保存”とがどのように用いられるかについて述べる必要がある。デジタルデータ記憶とも呼ばれるデジタルデータアーカイビングに対する従来の取り組みにおいては、磁気テープまたはディスク、及び光学テープまたはディスク媒体のような種々の記憶媒体が用いられ、定期的なテープによるバックアップ、二重化ディスク記憶等のような技術が採用されている。これらの記憶媒体及び技術を使用することにより、デジタルデータファイルは、最初に作成され且つ記憶された後、少なくとも数年間は確実に検索することができるという、ある程度の保証が与えられる。デジタルデータアーカイビングとは対照的に、デジタルデータ保存は、データ記憶に対しての比較的新しいコンセプトである。ごく最近、従来のデータアーカイビング方法により提供される解決法を上回る期間におけるデジタルデータの長期間保存を可能にする有効な解決法に対して、非常に高い要望があることが明らかになってきた。従来のデータ記憶及びアーカイビングシステムは、約５〜１０年の期間、バックアップされたデジタルデータの信頼できる検索を可能とする、限定された期間の解決法を提供する。他方、データ保存システムは、非常に長い期間を経ても、デジタルデータの検索を可能にするばかりでなく、数十年或いは数百年先の将来に亘るって期間におけるデータの利用を可能にする解決法を提供する必要がある。この寿命は、保存媒体の見込み寿命により大部分は条件付けられ、適切な条件下で記憶される場合、数百年間の長きに亘って続くと予測される。

従来のデジタルデータアーカイビングとは対照的に、デジタルデータ保存は多くの付加的利便性を提供する。例えば、長い年数に亘り、読み出し及び使用を可能にするために、アーカイブされたデジタルデータは、１種類の媒体から他種類の媒体へ、または、過去のデータフォーマットから後年のデータフォーマットへというように、何から様式の移行を必要とする。何らかの様式の移行が無いまま時間が経過すると、アーカイブされたデジタルデータの読み出しは次第にできなくなり、それ故、その価値が損なわれてしまう。データフォーマット、アプリケーションソフトウェアおよびオペレーティングシステムが改定されまたは置き換えられるとき、段階的であって、先ず、アーカイブされたデータは使用できなくなる。次いで、ハードウェアおよびアーカイバル媒体を読み出し且つ処理することが時代遅れになるに連れ、アーカイブされたデータは簡単に回復不能になってしまう。移行により利用可能な様式においてアーカイブされたデータを維持するタスクは、長い年数に亘って、アーカイブされたデータが、１つのデータフォーマットから他のデータフォーマットに変換され、１つの記憶媒体から他の記憶媒体に変換され、または古いアプリケーションから新しいアプリケーションに変換されることは困難なこととなっているが、必要である。何回も移行操作を繰り返すことにより、変換可能データの誤りと消失は増大する可能性がある。ある業界予測によると、５％に及ぶ記憶データが通常の移行操作中に失われてしまうことがあるという。それ故、長期間に亘ってアーカイブされたデジタルデータを維持することはコストが掛かり、大きな労力を要し、且つデータの損失およびデータ変更の可能性のリスクを伴う。

そのような周知のデジタルデータアーカイビングに伴う困難性とは対照的に、デジタルデータ保存は、長年に渡り、デジタルデータを読み出し可能な状態にして検索可能にする。理想的には、デジタルデータ保存は、データ移行のあらゆる必要性及びそれに付随するコストとリスクを排除する、場合によっては少なくともそれらを軽減する。したがって、デジタルデータ保存システムのユーザは、厳しいインフラストラクチャの混沌とする状況下にあっても、データ変更、消失または時代遅れに対するリスクを最小限にする恩恵を享受することができるであろう。

デジタル的に作成された文書であって、ある種のロジックプロセッサを用いて作成され且つファイルフォームで維持された文書は、デジタル方式で複数のユーザ間でしばしば共有され、紙に印刷される部分は滅多にない。通常は、デジタル的に作成された文書は、ＴＩＦＥ、ＨＴＭＬ、ＪＰＥＧ、ＸＭＬ、ＰＤＦまたは.ｔｘｔ等のオープンデータフォーマットの状態のファイルとして記憶され且つ転送される。これらのオープンデータフォーマットの一部は、多くの異なるコンピュータプラットフォームにおいて実行されるソフトウェアによりごく普通に解釈されるように意図されている。或いは、他の共通データフォーマットは独占的であるように設計され、特定なアプリケーションソフトウェアを用いる場合にのみに解釈可能となっている。デジタル保存の目的は、例えば、データフォアーマットまたはデータ記憶機構について必要とされる移行を伴わずに、データの使い勝手及びオリジナルの意図を維持することであり、これにより、ファイルがその解釈形式を変更できないことが保証され、法律上の証拠等のような目的のために使用されることが可能になる。

“変更できないことが保証されている”と認識される保存レコードをもつために、それ故、例えば、そのようなレコードは法律上の証拠とすることさえできるように、保存システムは“ライトワンス／リードメニタイムズ／イレースワンス（Ｗｒｉｔｅ−Ｏｎｃｅ／Ｒｅａｄ−Ｍａｎｙ Ｔｉｍｅｓ／Ｅｒａｓｅ−Ｏｎｃｅ）”機能を提供する必要がある。ライトワンス機能により、保存データの変更は許可されず、保存媒体へのレコードの追加も認められない。リードメニタイムズ機能は、一貫した正確さにより、媒体から保存データの検索を可能にする。イレースワンス機能は、必要に応じて、特定データの完全消去を確実にする。

デジタルデータのための現在のアーカイビング方法は、デジタルフォーマットのみにおいてデータにアクセスすることが可能であり、数多くの欠点がある。データアーカイビング技術分野における当業者に周知である問題の中には、装置の老朽化、磁気及び光記憶媒体の耐用年数の限界、及び、特に、データフォーマットが特定のハードウェア、或いはオペレーティングシステムまたはプログラム言語の特定バージョンと密接に関わる場合における、データフォーマットがある。

デジタルデータの長期間保存は、オリジナルのデータが忠実に保存されることと、将来どのようなときでも何らかのフォームでこの保存されたデータを解釈することとの両方が可能であることが要求される。この要求は、デジタルデータを記憶する構成が、将来のあるときに、スクリーン表示装置、プリンタ、及び他のシステム出力へのアクセスばかりでなく、そのような出力を生成するために用いられるオリジナルデータへのアクセスを提供することができることを意味する。この目的を達成するために、保存デジタルデータを検索するための方法は、可能であれば、特定装置に依存しないようにする必要がある。異なる種類のファイルに対して広く許容されるデータフォーマットを開発するために種々の試みがなされてきたが、標準として開発されたものまたは適合される可能性のあるものは殆どない。

人間が読み取り可能であることは、データ保存システムのためには有用な特性である。人間読み取り可能フォームにおけるデータの符号化は、データの符号化及びアーカイバルのためのあらゆるスキームにおいて見落とされてきた利益をまさに提供する。例えば、人間読み取り可能フォームに符号化された文書の信頼性を確認すること、それ故、そのオリジナルソースに対する文書の忠実さを反論の余地なく確認することには、基本的な優位性がある。また、保存されたバージョンが確かにオリジナル文書の本物のコピーであることを、将来の文書の利用者に保証する必要がある。

図１は、デジタルデータアーカイビングへの従来の取り組みについて示している。デジタルデータは、ある種類のオペレーティングシステム２０４を実行する中央演算処理装置（ＣＰＵ）２００により処理される。アプリケーション２０２は、オペレーティングシステム２０４からの利用可能なユーティリティを用いて、バイナリ且つ機械読み取り可能フォームでデジタルデータ出力を提供する。このデジタルデータ出力は、親アプリケーション２０２のみに、または、アプリケーション２０２と互換性がある他のソフトウェアのアップリケーションに対して使用可能である。デジタルデータ出力は、例えば、テキストまたは画像の静止表示、対話式計算、動的リンクを伴うウェブページ、あるいはマルチメディアを使ったプレゼンテーションのようなあるフォームにおいて、アプリケーション２０２により解釈され且つ提供されるときにのみ有用である。従来の図１のモデルにおいては、バイナリ記憶ハードウェア装置２０６は、磁気テープ、磁気ディスクまたは光ディスクのようなバイナリ記憶媒体２０８にアプリケーション２０２からのデジタルデータ出力を記憶する。図１の配置を用いると、アーカーブされたデータはアプリケーション依存型であり、親アプリケーション２０２またはオペレーティングシステム２０４が時代遅れになった場合、使用不可能となる。アーカイブされたデータはまた、年月が経過してバイナリ記憶媒体２０８が劣化するにつれ、利用不可能となる。

初期のシステム及びソフトウェアが時代遅れとなり、著しく能力を高めたツールと置き換えられる開発技術はまた、デジタルデータ保存に関して重要な事項である。データネットワーク技術、データインタフェース方法、並びに記憶および検索のための画像化技術における予測される開発は、時の経過と共に時代遅れになるシステムの種々の構成要素に伴って、対応する変化をシステムハードウェアにもたらす傾向にある。保存されたデジタルデータの完全性および利用可能性を危険にさらすことなく、部品毎の継続的なアップグレードを可能にするための明確な戦略は、デジタルデータ保存システムの解決方法の設計に本来備わっている必要がある。

マイクロフィルムのようなアナログ保存媒体は、データが白黒画像として視覚的に符号化される文書、画像及びフラットなＡＳＣＩＩファイルを長期間保存するために広く用いられてきている。そのような媒体の確実な利点の中には、長寿命、非常に高い解像度のための能力及び内在的な人間読み取り可能であることがある。これらアナログ保存媒体は、アナログデータであって、文書の画像を代表的に記録および記憶するために、光学カメラに用いるシステムにおいて従来使用されてきた。コンピュータデータを保存するための必要性が高まるにつれ、これらのアナログ媒体はまた、Ｄｏｃｕｍｅｎｔ Ａｒｃｈｉｖｅ Ｗｒｉｔｅｒ、Ｍｏｄｅｌ ４８００（Ｅａｓｔｍａｎ Ｋｏｄａｋ（米国、ニューヨーク州、ロチェスター市）社製）等のデジタル文書アーカイビングシステムにおいて用いられている。他のコンピュータ出力マイクロフィルム（Ｃｏｍｐｕｔｅｒ−ＯＵＴＰＵＴ−Ｍｉｃｒｏｆｉｌｍ： ＣＯＭ）記録システムは、プリントアウトフォームの状態で、処理され且つ表示されるデータの長期間保存のために、同様のアナログ媒体を用いてきた。既存のシステムにおいて、代表的なアプリケーション２０２（図１）により出力されることが可能である文書の白黒画像を記憶するのみのために、これらの種類のアナログ保存媒体を用いることは留意することは重要なことである。アプリケーション２０２からのデジタルデータの記憶は、従来の磁気または光バイナリ記憶媒体２０８を用いて実行される。

デジタル保存システムによる保存のためのデジタルデータファイルは、多数のソースの何れかからもたらされることができ、多種類のデータの何れかから構成されることが可能である。ほんの少しの例として、走査された文書または走査された画像からデジタルデータファイルを生成することが可能であり、このとき、データのためのオリジナルソースは手動で準備または処理される。デジタルデータファイルは、カラー印刷において用いられるハーフトーン分離のような、符号化された複調性画像、グレースケール画像、またはカラー画像から構成されることが可能である。デジタルデータファイルは、スプレッドシート、ＣＡＤ図面、ネットワーク上で生成された書式、Ｗｅｂページ、またはコンピュータにより生成されたアートワークのようなコンピュータにより生成されたファイルである。音声やアニメーションのような双方向性および感覚的刺激はまた、デジタルデータファイルとして記憶されることができる。デジタルデータファイルは、ソースコードまたはバイナリコードフォーマットにおいてコンピュータソフトウェアを含むことさえ可能である。要約すれば、実際のファイルの内容が、ファイルがある種類の文書を含むときのようにオブザーバに対して意味があるものであろうと、ファイルが符号化されたコンピュータプログラム命令のみから成るときのようにコンピュータに対して意味があるものであろうと、何れかの種類のデジタルデータファイルの長期間保存についての必要性がある。

デジタルデータファイルの保存は、データファイルがある標準フォーマットの状態でパッケージ化されることを一般に必要とし、それ故、少なくとも若干量のメタデータ、即ちファイルそのものについてのデータがそのデータと共に記憶されることができる。例えば、ＣＡＤファイルに関連するメタデータは、始まりのソフトウェアと改定、データの作成日及び改定日、設計者の名前、部門またはプロジェクト関連の識別名、納期または完成日、ワークフローリスト、アクセス許可レベル等を特定することが可能である。メタデータの内容は、ファイルＩＤやルックアップテーブルの基本情報ばかりでなく、画像品質の測定基準のような順次データの検索及び解釈、及び媒体／ライタ特性を最適化する情報もまた含むことができる。

年月の経過に伴って特定のデータフォーマットが時代遅れになる傾向は、データ保存の問題を混乱させる。データソースの種類とデータファイルの特定な性質のような因子に依存して、多くのデータフォーマットが使用される状況から時代遅れになるまでを、それ故、ある将来においてデータ内容を呼び戻す可能性が脅かされることを、予測することが可能である。多くの組織がこの問題に直面し、かなり多くの記憶されたデータが非常にコスト高になり、または信頼性をもって検索することが不可能にさえなることが認められている。

一方、将来において継続的に読み出し可能であるフォームの状態でデータを提供するために提案された幾つかの有望な解決方法が提案されてきた。この目的を達成することを意図された１つの方法はＸＭＬ（ｅＸｔｅｎｓｉｖｅ Ｍａｋｅｕｐ Ｌａｎｇｕａｇｅ）主導とする方法である。ＸＭＬ、ＤＴＤ（Ｄｏｃｕｍｅｎｔ Ｔｙｐｅ Ｄｅｓｃｒｉｐｔｉｏｎ）及びＸＭＬスキーマ構成は、ある程度の自己認識、特有の開放型構造及びコンピュータプラットフォームの携帯性を提供し、データ成分の定義そのものをデータファイルに関連するメタデータとして記憶することが可能であるデータフォーマット化を行うためのツールを提供する。しかしながら、このようにして、ＸＭＬとデータの長期間保存及び検索を支援する技術とを用いる解決方法を提供するための試みは今までのところ存在しない。

人間であるオブザーバにとって理解可能である機械読み取り可能フォーマットで文書を記憶するための幾つかの方法が開示されている。ＰＣＴ出願第００／２８７２６号明細書（Ｓｍｉｔｈ，ＬｅｏｎｈａｒｄｔおよびＦｒａｒｙによる）（特許文献１）は、レーザ書き込み可能光記憶媒体における二次元文書の記憶について開示しており、その文書の画像はデジタル記録を表すバイナリデータにより媒体に書き込まれる。しかしながら、ＰＣＴ出願第００／２８７２６号明細書に開示されている解決方法は、保存されることが必要であるデータの種類全部のセットにおけるサブセットに過ぎない文書データの記憶に限定されている。ＰＣＴ出願第００／２８７２６号明細書に開示されているシステムの重大な欠点は、従来の光記憶媒体、光学ディスクまたはレーザを用いて書き込まれるテープを用いているため、記憶されるデータの寿命を制限することである。更に、ＰＣＴ出願第００／２８７２６号明細書に開示されているシステムのライトメニタイムズ特性は、このシステムを、年月が経過しても確実に変化することのなくデータ記録を保存するためには適切ではないものとする。ＰＣＴ出願第００／２８７２６号明細書に開示されているシステムを用いて書き込まれたデータは、レーザ強度を変化させて光媒体をマーキングする眼に見える効果が、２値１及び０として結果的に得られるマーキングを解釈するためにトレーニングされたオブザーバにより認識され、解釈されることが可能であるという意味で、辛うじて“人間認識可能”であるとすることが可能である。しかしながら、この符号化方法は、スキャナを用いて直接読み取り可能であるか、オブザーバにより媒体から読み取ることさえ可能である、真に“人間読み取り可能”データを提供するには不十分である。介在するハードウェアを用いることなく、現在のシステムを頼りとして、ＰＣＴ出願第００／２８７２６号明細書に開示されている光媒体において記憶されたバイナリデータは得ることはきわめて困難である。

同一出願人による同時係属の日本における特開平２００１−３２３９１３号公報（特許文献２）は、フィルムのようなアナログ媒体を利用して、仮想フォルダに記憶される文書データの長期間保存方法について開示している。他の解決方法と同様に、このシステムは、デジタルファイルのための可能な保存機能の全部を提供するものではない。注目すべきことには、特開平２００１−３２３９１３号公報に記載されたその方法は、文書の画像のみを保存することに限定され、デジタル的に作成された文書データそのものを保存する試みもなければ、人間読み取り可能フォームの状態でその文書に関連したメタデータを保存する試みもない。

ある時間の間、文書と画像とを保存する非常に狭いところに重点を置いく上記の解決方法は、大きいデータ保存の問題に対応するには適切ではない “１つのポイント”のみの解決方法を提供した。文書そのものは、保存されるべきデジタルデータのうちのほんの小さいサブセットからなる。保存を必要とする文書以外のデジタルデータの典型的なフォームには：グレースケール及びカラーの画像と診断用画像；スプレッドシートデータ；衛星データと他の計測の読み込み；オーディオ、ビデオ及びマルチメディアの保存データ；ソフトウェア；ＨＴＭＬの内容；及びデータベースレコード、等がある。このようなデジタルデータのフォームにおける広い基本要素の保存及び検索が、文書の保存に対して必要とされるものを超越して代替可能な方法を必要とすることは、評価されるものである。例えば、この広いカテゴリのデジタルデータにより、画像または文書の任意の部分に関連し、且つその作成のために用いられるソースデータ等の、他の基礎的な、関連データの保存及び検索に対してきわめて高い要求がある。

従来のアーカイビング解決方法の多くは漸進的なやり方で実行されてきた。例えば、特定の文書または画像をアーカイブする必要性を認識して、組織は、一般に、ライタおよびあるフォームの互換性のある記憶媒体を購入する。アーカイブされた一連の文書および画像が増加するにつれ、アーカイブされた画像または文書を再プリントするためのプリンタと共に、どうにかして、あるフォームのリーダがシステムに統合される。あるフォームの記録管理は、記憶された文書をトラッキングし、リビジョンおよびディスポーザルサイクルを管理するために、維持される。年月の経過において、異なる装置が時代遅れになり、またはより新しい装置が利用可能になるにつれ、付加的構成要素の置き換えまたは導入は、従来のシステムの高度化およびアップグレードを可能にする。一般に、新しいアーカイバル文書および画像のエントリのため並びにアーカイバルシステムのユーザからの検索リクエストを満たすための従来のシステムの構成要素と共に機能するために、かなりの量の労力の配分が必要とされる。

要するに、従来のアーカイビングシステムは、そのユーザによりデザインされ、異なる複数のメーカからの構成要素を用いて統合される必要がある。装置の置き換え、ネットワークの相互接続、およびアーカイブされた情報のフォーマットの最終的時代遅れの対応のための戦略の大部分は特別である結果、そのようなシステムが有用なアーカイブされたデータへの将来に亘るアクセスをユーザに提供することへの著しい関連をもたらす。

本物であるとして文書データを認証するための必要性は、法曹界および技術業界において益々認識されてきている。デジタル署名は、文書データがネットワークにおいて転送されまたはデータ媒体に記録されるために必要とされるところで、種々の電子文書を認証するために広く認められた方法として開発されてきた。デジタル署名は、電子文書そのもののデータ特性および署名者に特異な秘密キーを用いて演算されるバイナリデータ要素である。ＮＩＳＴ（Ｎａｔｉｏｎａｌ Ｉｎｓｔｉｔｕｔｅ ｏｆ Ｓｔａｎｄａｒｄｓ ａｎｄ Ｔｅｃｈｎｏｌｏｇｙ：米国国立標準技術研究所）の刊行物、“Ｓｐｅｃｉｆｉｃａｔｉｏｎ ｆｏｒ Ｄｉｇｉｔａｌ Ｓｉｇｎａｔｕｒｅ Ｓｔａｎｄａｒｄ（ＤＳＳ）”と題されたＦｅｄｅｒａｌ Ｉｎｆｏｒｍａｔｉｏｎ Ｐｒｏｃｅｓｓｉｎｇ Ｓｔａｎｄａｒｄ（連邦情報処理規格）Ｐｕｂｌｉｃａｔｉｏｎ１８６（ＦＩＰＳ １８６、１９９４年５月）は、デジタル署名を“ｅｌｅｃｔｒｉｃ ａｎａｌｏｇｕｅ ｏｆ ａ ｗｒｉｔｔｅｎ ｓｉｇｎａｔｕｒｅ（手書き署名の電子アナログ）”と称している。デジタル署名は、送信、変更またはその他のエラーを伴わずに、そのオリジネータのより署名されたことおよび文書のバージョンがオリジナルのものと同一であることを確認するために役に立つ。

デジタル的に署名された文書が送信されまたは記憶されるとき、そのデジタル署名は後の認証のための文書と結合される。多数の特許明細書は、記憶または転送される文書が法的に有効であるためのデジタル署名、符号化タイムスタンプを用いるシステムまたは類似した検証装置を方向付けており、それらの特許明細書には次のような特許明細書を含む。
− 米国特許第６，２８９，４６０号明細書（Ｈａｊｍｉｒａｇｈａによる）（特許文献３）は、記憶された文書のセキュリティを提供するためのデジタル認証スキームを含む文書管理システムについて開示している。
− 米国特許第６，２６３，４３８号明細書（Ｗａｌｋｅｒ等による）（特許文献４）は、安全な文書データをタイムスタンピングするための方法および装置について開示している。
− 米国特許第６，１８５，６８３号明細書（Ｇｉｎｔｅｒ等による）（特許文献５）は、エンハンスされたセキュリティおよび電子署名を提供する文書配送環境について開示している。
− 米国特許第５，７９０，６７７号明細書（Ｆｏｘ等による）（特許文献６）は、安全な文書配送のための暗号化を用いる電子商取引のためのシステムおよび方法について開示している。
− 米国特許第５，７６５，１５２号明細書（Ｅｒｉｃｋｓｏｎによる）（特許文献７）は、データ認証のためにデジタル署名を用いる安全なオンライン電子メディア配送システムについて開示している。

上記特許明細書の各々に対しては、デジタルワークフローは、プロセスを通して、バイナリデータ要素として扱われるデジタル的に署名されたデータを単に含むだけである。デジタル的に署名されたデータが、人間読み取り可能フォームの状態でデータを扱い且つ保存するシステムにおいてどのように適用され且つ用いられることができるかについて、何ら示唆されていない。

デジタル署名を用いる記憶、検索および転送操作における文書データの有効性を保証するための試みが従来行われてきたが、人間読み取り可能フォームの状態でデジタル的に署名された文書を保存するための方法として知られているものはない。近い将来または遠い将来における利用可能性のために、人間読み取り可能フォームの状態で文書データを保持するデジタル保存システムを用いて、そのような添付の認証情報を保存するための信頼できる方法が実質的な有用性を有することは、高く評価されることができる。

それ故、特に、文書データそのものが人間読み取り可能フォームの状態である場合に、認証を伴ってデジタル的に署名された文書データを保存する方法を提供するデジタルデータ保存システムに対する要求が存在することが理解できる。
ＰＣＴ出願第００／２８７２６号明細書 特開平２００１−３２３９１３号公報 米国特許第６，２８９，４６０号明細書 米国特許第６，２６３，４３８号明細書 米国特許第６，１８５，６８３号明細書 米国特許第５，７９０，６７７号明細書 米国特許第５，７６５，１５２号明細書

本発明の目的は、デジタル的に署名された文書のためのデジタル文書保存システムを提供することである。この目的を念頭に置いて、本発明は、保存サービスのベンダにカスタマにより提供される文書データファイルを保存するための方法であって、デジタル署名が前記文書データファイルと結合される、方法であり：
（ａ）前記文書のための第１固有データベリファイアを得るためにデジタル署名を復号化する段階；
（ｂ）前記文書のための第２固有データベリファイアを生成するために記文書データファイルを処理する段階；
（ｃ）第１固有データベリファイアを第２固有データベリファイアと比較する段階；
（ｄ）保存記録を形成するために文書データファイルに識別記号を結合させる段階；並びに
（ｅ）保存媒体において保存記録を記録する段階；
から構成される方法を提供する。

他の側面から、本発明は、データ保存サービスのベンダにカスタマにより提供される文書データファイルをほぞんするための方法であって、デジタル署名は文書データファイルに結合される、文書データファイルを保存するための方法であり、
（ａ）（ａ１）保存署名を生成するために、ベンダの公開キーを用いて、カスタマからの識別記号と共にデジタル署名を符号化する手順と、（ａ２）セキュア保存リクエストを生成するために文書データファイルを保存署名と結合させる手順と、によりセキュア保存リクエストを生成する段階；
（ｂ）ベンダにセキュア保存リクエストを転送する段階；
（ｃ）デジタル署名と識別記号とを得るためにベンダの公開キーを用いて保存署名を復号化する段階；
（ｄ）第１固有データベリファイアを得るためにカスタマの公開キーを用いて、デジタル署名を復号化する段階；
（ｅ）第２固有データベリファイアを得るために文書データを処理する段階；
（ｆ）第１固有データベリファイアおよび第２固有データベリファイアを比較する段階；並びに
（ｇ）人間読み取り可能フォームで保存媒体に文書データファイルと識別記号とを記録する段階；
から構成される方法を提供する。

本発明の方法は、サイト間で送信される文書データを認証するために好適に用いられ且つデジタル的に記憶されるときにみることができないデジタル署名と、人間読み取り可能フォームで保存されるデジタル的に書名された文書データの保存のためのデジタル署名を用いて文書データの認証を検証するために現在用いられている既存の支援基盤と、を使用することに適合している。

本発明の特徴は、デジタル文書データを保存するためにセキュアリクエストを送信するための方法であって、そのリクエストの構成要素はデジタル文書データを認証するために用いられることができる、方法を提供することである。

本発明の優位性は、保存された文書データの完全性とオリジンとを認証することを可能にすることである。本発明は、保存のための文書データのセキュア伝送、認証された文書データの保存および認証された文書データの検索のための方法を提供する。

本発明の優位性は、人間読み取り可能フォームで長期間保存媒体において文書データおよび関連する認証データを保存するための方法を提供することである。このことは、文書データおよびその関連する認証データが特定のコンピュータプラットフォームハードウェアまたはソフトウェアに依存しないようにし、それ故、将来の演算装置は保存された文書データを検証し且つ用いることができる。

本発明を例示する実施形態を示す図を参照して、以下に詳述する本発明の内容を読むことにより、本発明における上記及びその他の目的、特徴そして優位性が明白であることを、当業者は理解できるであろう。

特に、本発明の実施形態に従った装置の一部を形成する要素、または前記装置により直接的に共働する要素を対象として、以下に詳述する。本発明は、以下で特に示さないか、述べない要素であっても、当業者に周知の種々の形態をとることが可能であることを理解されたい。

本発明の方法の好適な実施形態は、図２に示すようなデジタルデータ保存システム１０のために適用される一方、本発明は、一般に、文書出た記憶システムにより広く適用されることが可能である。本発明は、文書データが人間読み取り可能フォームの状態で保存される特別な優位性を提供する一方、人間読み取り可能および機械読み取り可能データ表示のある組み合わせまたは標準的データアーカイバル方法を用いるシステムと共にこれらの方法を用いる優位性を有することができる。

符号化された人間読み取り可能データ記録
本明細書において用いる表現“人間読み取り可能データ記録”を定義する必要がある。人間読み取り可能データ記録は、保存媒体において視認的に記録される符号化デジタルデータのための装置である。人間読み取り可能データ記録は複数の部分を有し、各々の部分は異なる方式で符号化される。例えば、ＪＰＥＧ画像のための人間読み取り可能データ記録は次に記す構成要素を含む。
● 人間読み取り可能文字において符号化されるＪＰＥＧデータ、例えば、ＡＳＣＩＩ文
字。
● 保存媒体に再生された画像であって、ラスタライズされた画像。
● バイナリ（１／０）データとしての基本的なフォームで表わされ、可視的なバイナリ
文字の視認性集合として保存媒体に符号化されるビットマップデータファイル。そのようなバイナリ文字表示は１と０、ドットとスペース、またはバイナリデータを符号化する他の可視マーキングとすることが可能である。しかしながら、好適な実施形態は、インターネットのデータファイル転送のために広く用いられ、情報技術分野に携わる人に周知であるＢａｓｅ−６４による符号化を採用しており、それ故、符号化されたデータはＡＳＣＩＩ文字の集合として表される。
● 例えば、ＡＳＣＩＩ文字として人間読み取り可能文字で符号化され、メタデータと称
される、ＪＰＥＧファイルに関する情報。
複数のフォーマットにおけるＪＰＥＧ画像の保存は画像を保存し、それ故、その画像データおよび関連するメタデータを即座に検索することが可能である。

人間読み取り可能データ記録は従来の“可視画像”という意味において画像データを含む必要はない。類似した方法で、任意のタイプのデジタル画像を記憶し、保存媒体に可視的に形成することが可能である。したがって、例えば、スプレッドシート、オーディオファイル、マルチメディアプレゼンテーション、またはコンパイルされたオペレーティングシステムでさえも、本発明のシステム及び方法を用いる人間読み取り可能データ記録として、符号化し、保存することが可能である。

図１及び２を参照するに、デジタルデータ保存システム１０の従来のデジタルアーカイバルシステムとの比較を示している。図１は、上記のように、従来のアーカイバルシステムの機能を示している。それとは対照的に、図２は、デジタルデータ保存システム１０と従来のアーカイバルシステムの両者を示している。デジタルデータ保存システム１０を用いて、ライタ４０は人間読み取り可能保存媒体２１０に画像形成する。デジタルデータ保存システム１０は、オペレーティングシステム２０４、ＣＰＵ２００及びアプリケーション２０２属性に独立して、人間読み取り可能表示を記憶する。アプリケーション２０２からのデータ出力の実験表示と、その表示を支援するために必要なデータ及びメタデータの両者を保存することに重点が置かれる。保存されるデータは、視覚、聴覚、触覚或いは他の感覚データとすることができ、または人間が理解するための出力データの任意の他のタイプとすることが可能である。

人間読み取り可能保存媒体２１０と従来のアーカイブシステムで用いられるようなバイナリ記憶媒体２０８との間の差異を強調することは有益である。機械読み取り可能のみであるデータ記録と異なり、人間読み取り可能データ記録は最終的には人間であるオブザーバにより解釈されることが可能である。人間読み取り可能保存媒体２１０は、典型的には拡大されて、可視的に区別可能であるマーキングにより符号化される。即ち、標準的なアルファベットと数字の集合を読む能力は、人間または装置による人間読み取り可能データ記録の検索のために要求される基礎と考えられる。この“スタンドアロン”特性により、人間読み取り可能データ記録は、データ記録を読み出すための如何なる特定のハードウェアにも依存しない。人間読み取り可能データ記録は、通常、特定のデータフォーマットで符号化される。しかしながら、人間である読み手は、拡大のための可能な支援を得て、符号化されたデータを読むことが可能である。

適切な人間読み取り可能保存媒体２１０の例は、マイクロフィルム及び関連するフィルム製品と、類似する長寿命が見込まれ且つ優れた画像安定性を有する他のタイプの媒体を含む。フィルムベースの媒体に加えて、人間読み取り可能保存媒体として、任意の形態で、任意の他の媒体の形態を使用することが可能であり、それらについて次に示す。
（ａ）適切に処理及び終了がなされるときの電子写真媒体
（ｂ）熱消化型染料媒体等の熱媒体
（ｃ）特にプラスチックフィルムまたは反射型材料を用いるインクジェット媒体
及び
（ｄ）エッチング及びレーザアブレーション等の方法を用いて書かれる金属プレート材料
人間読み取り可能保存媒体２１０のために用いられる材料は特に長い耐用寿命の特性に重点を置いている。他方、バイナリ記憶媒体２０８は、磁気テープまたはディスク、及び光学記憶媒体を含む。バイナリ記憶媒体２０８へのマーキングは、一般に、拡大するための支援があるなしに拘らず人間の肉眼では判読できない、そして、その媒体の比較的短い寿命、及びその媒体からデータアクセスするためにハードウェア及びソフトウェア依存性があることにより、信頼性高い長期間のデータ保存に対しては適切ではない。ＣＰＵ２００、オペレーティングシステム２０４、またはアプリケーション２０２に対して何らかの変更をすると、バイナリ記憶媒体２０８に記憶されたデータは使用不可能になる。それとは対照的に、人間読み取り可能保存媒体２１０に記録されたデータは、ＣＰＵ２００、オペレーティングシステム２０４、またはアプリケーション２０２に関係なく、依然として解釈可能である。

好適な実施形態としては、本発明のプレビュー機能が、上記のように、保存されたデータ記録に関連する人間読み取り可能データを有することにより、デジタル保存システム１０に最も適している。しかしながら、本発明の開示の目的のためには、用語としての“保存”は幾らか広く捉えることができ、上記定義の長期間保存と共に、デジタル画像装置を採用する従来型システムを用いる、文書画像の比較的短い期間のアーカイバルを含むことが可能である。
システム１０の概観
図３を参照するに、符号化されたデータ記録を保存するための保存要求を受け入れ、符号化され、保存されたデータ記録のコピーを提供するための検索リクエストを受け入れるために構成されるデジタル保存システム１０を示している。モジュラー方式になっているデジタル保存システム１０は多くの構成要素から成り立ち、それらの各々は好適な実施形態を有するが、多くの任意の実施形態を持つことも可能である。構成要素の組み込みに採用されるモジュラー設計は、デジタルデータ保存システム１０がボリュームに対する要求を扱うために適切に拡大縮小することを可能にし、１つのシステム１０において複数のデータ保存オプションを提供することを可能にし、そして、成長のための高度の自由度と構成要素単位のアップグレードを提供する。

図３を参照するに、コンピュータワークステーションターミナルを用いることにより一般に実現するフロントエンド１２は、オペレータに、保存装置１８により管理される符号化されたデータの保存及び検索リクエストを受け入れるためのインタフェースを提供する。要求処理／データルーティングプロセッサ２４は入力ハンドラとしての機能を有し、オペレータの要求を処理し、そして、データ保存要求のために、入力データ及びフロントエンド１２により受け取られた入力データに関する情報を受け入れる。データ保存要求について、要求処理／データルーティングプロセッサ２４は入力データのために前処理を行う。この前処理機能は、保存装置１８による適切な再生のための画像の最適化を含むことが可能である。要求処理／データルーティングプロセッサ２４の主要な機能は、入力データを、保存装置１８に受け入れられる標準化されたフォーマットに変換することである。付加的機能としては、一部の画像の種類に必要とされる前処理がある。例えば、前処理は、保存装置１８がオリジナルの線幅を再生することができないような画像の中の細い線幅を調整することが可能である。他の特有な画像処理機能は、明るさ、鮮明さ、またはコントラストの強調し、画像の縮小拡大し、カラー情報の保存し、画像ノイズの減衰し、または保存装置１８の要求に適合するようにグレースケール値を適切に調整することである。要求処理／データルーティングプロセッサ２４はまた、出力操作を書き込むための調整における特別な画像レイアウトを実行することが可能である。

要求処理／データルーティングプロセッサ２４により提供される前処理機能は、データ記録の内容に関して“親切”であることが意図されている。即ち、処理操作は、データ記録に含まれるデータを変えない。それどころか、前操作は、このデータのフォーマットをライタ４０とそれに関連する保存装置１８の保存媒体との特性に適するように、適合させる。

初期の前処理機能が完了した後、要求処理／データルーティングプロセッサ２４は続いて、情報保存装置１８への入力データ及び入力データに関する情報のルートを決める。情報保存装置１８は、フロントエンド１２と相互作用するデータの保存のためのモジュラー構成要素を提供するが、許容されたインタフェースの集合を除いて命令及び応答を行い、フロントエンド１２に関して“ブラックボックス”として動作する。保存装置１８は、フロントエンド１２において要求処理／データルーティングプロセッサ２４により前処理を受けた保存のためのレコードを受け入れるデータプロセッシング要素２６を含む。データプロセッシング要素２６は保存のためのデータ記録を受け取るとき、データプロセッシング要素２６は索引データベース３０内に項目を作る。データプロセッシング要素２６は、次いで、保存のために符号化されたデータ記録を作成するために、入力データとそれに関連するメタデータを処理し、符号化する。メタデータは、例えば、入力データに関する情報、索引項目、符号化フォーマットの仕様、ライタ及び媒体の特性、及びデータ検索の最適化のために有用な他の画像品質に関する情報である。データプロセッシング要素２６は、次に、ライタ４０にこの符号化されたデータ記録を送る。ライタ４０において、画像化装置４２はメディアソース７０から未処理媒体（図示せず）のセグメントに人間読み取り可能データ記録を記録する。未処理媒体のタイプに応じて、媒体プロセッサ４４は、保存媒体に符号化された最終データ記録の画像を作成する必要がある。物理保管装置５０は、最終的符号化データ記録を保存する媒体を保存する安全なハウジングを提供する。物理保管装置５０は、長期間保管するタスクのために用いられる、環境制御型保存装置、ボールトまたはその他の構造物とすることができる。

データプロセッシング要素２６の他の機能は、要求処理／データルーティングプロセッサ２４と連動して、画像と文書の特別な価値を与えるプレビュー機能を提供することである。下記で概観する一連の段階を用いて、データプロセッシング要素２６は、フロントエンド１２または他の送信位置でオブザーバに対して表示することが可能である少なくとも１つ以上の画像を作成する。プレビュー機能は、要求処理／データルーティングプロセッサ２４により実行される如何なる画像強調操作の評価もオペレータに可能とする、ファイルの転送及び変換操作に関するビジュアルチェックを提供する。さらに重要なことに、プレビュー機能は、デジタル保存システム１０のオプションのユーザが、保存装置１８によるデータ記憶または検索のための品質レベルを選択することを可能にする。プレビュー機能を利用することにより、ユーザは、少なくとも１つ以上のデータ記録表示を、デジタルデータ保存システム１０により回復されたものとして、見ることができる。

オペレータからの検索についての要求は、フロントエンド１２の一部である検索処理プロセッサ６０により受け取られる。検索処理プロセッサ６０は、物理保存装置５０の保存レコードデータにアクセスし、保存装置１８内のデータ回復プロセッサ６２に検索データを提供するために、制御ロジックプロセッサ２０及び物理保存装置５０と共に処理する。次いで、検索された符号化済みの人間読み取り可能データ記録は、任意のフォームで、要求しているオペレータに利用し易くされる。例えば、検索されたデータ記録は、プリンタでプリントされ、またはフロントエンド１２のターミナルに表示されることが可能である。または、回復された人間読み取り可能データ記録を、更に処理するためにネットワークコンピュータに転送することができる、デジタルデータファイルとして提供することが可能である。後処理操作は、必要に応じて、回復処理プロセッサ６０により行うことが可能である。例えば、回復された人間読み取り可能データ記録の表示または印刷に適切となるように画像強調を実行することが可能である。

フロントエンド１２は、デジタルデータ保存システム１０の各々のユーザの保存についての必要性及び仕事の流れにおける要求に適合するカスタマイゼーションが可能である。インターフェースユーティリティの標準ツールキットはフロントエンド１２のカスタマイゼーションを容易にし、それ故、デジタルデータ保存システム１０をユーザの環境に適合することが可能である。このようにして、ユーザは保存装置１８に記憶された保存データの内容にアクセスすることができるが、保存装置１８の動作の詳細に対処することはない。その内部動作において、一方では、保存装置１８は構成要素、データ転送フォーマット、及びワークフローを組織化する。したがって、顧客のインタフェースの差異及び特別の入力データフォーマットに依存しない一貫した結果を保証するために、保存装置１８の動作は標準化される。この構成により、例えば、１つの保存装置１８を備える１つのデジタルデータ保存システム１０を複数の顧客のために役立てることができ、各々の顧客は例えば各顧客にカスタマイズされた特殊なインタフェースツールの集合を所有することができる。

データプロセッシング構成要素
再び図３を参照するに、保存装置１８の中の制御ロジックプロセッサ２０の中心的役割を即座に高く評価することができる。データの符号化、記録、保存及び回復における種々の段階を制御するために、保存装置１８とフロントエンド１２の両者において、制御ロジックプロセッサ２０は多くの他のプロセッサと相互作用する。デジタルデータ保存システム１０のスケール及びデジタルデータ保存システム１０の種々の構成要素の配置は、どのように制御ロジックプロセッサ２０を動作させるか、同様に、関連するデータプロセッシング要素２６、フロントエンド１２内の要求処理／データルーティングプロセッサ２４をどの様に動作させるか、及び回復処理プロセッサ６０をどの様に実施するかを決定する。

好適な実施形態において、制御ロジックプロセッサ２０は、ハイエンドのＷｉｎｄｏｗｓ（登録商標） ＮＴ ＰＣまたはそれに代えてＵｎｉｘ（登録商標）ベースのワークステーション等のコンピュータワークステーションである。フロントエンド１２は、個別のネットワーク化されたコンピュータワークステーションである。単独の保存装置１８は、例えば、ローカルエリアネットワーク（ＬＡＮ）またはインターネット等により、少なくとも１つのフロントエンド１２と対話することができる。これは、複数のフロントエンド１２ワークステーションとのジ自由度のある構成を可能にし、各々のワークステーションは保存要求を処理すること、及び保存装置１８から保存されたデータを得ることが可能である。

より小さいデジタル保存システム１０に対して、単独のコンピュータワークステーションをフロントエンド１２として機能させることが可能であり、制御ロジックプロセッサ２０を要求処理／データルーティングプロセッサ２４と同様に機能させることが可能である。しかしながら、ネットワーク化されたフロントエンド１２の機能を保存装置１８における制御ロジックプロセッサ２０の機能から分離することの明確な優位性がある。対話の要求及び所定の顧客の環境下での仕事の流れに適合するように、フロントエンド１２をカスタマイズすることが可能であり、それ故、複数のフロントエンド１２を単独の保存装置１８に対してネットワーク化することが可能である。そのような構成は、サービスビューロが、例えば、複数の顧客をサービスするために保存装置１８を操作することを可能にし、このとき、各顧客は個別のカスタマイズされたフロントエンド１２を備えている。例えば、顧客のフロントエンド１２のネットワークにアクセス可能なサーバに保存装置１８を置くことができる。

比較的小さいコマンド機能の集合により、フロントエンド１２は、保存するデータ記録を提供するため、及び保存装置１８により保持される保存データ記録を得るために、保存装置１８と通信することができる。フロントエンド１２を保存装置１８から分離することにより、顧客は、ハードウェア、記憶装置、走査装置、及び保存装置１８の特性に関連して、抽出を介入させるレベルの恩恵を享受する。フロントエンド１２で顧客に影響を何ら及ぼすことなく、保存装置１８の中で、老朽化または時代遅れになった構成要素を交換することが可能であり、重複する装置を配置可能であり、または内在的なワークフローの順序を改めることが可能である。

要求処理／データルーティングプロセッサ２４は、フロントエンド１２により大きいファイルの効率的転送を容易にするために、少なくとも１つ以上のハードディスク等の実質的な記憶空間にアクセスすることができる。記憶容量はまた、保存されるデータのバッファリングを含む、保存要求のバッファリングを可能にする。

データプロセッシング要素２６は、初めに受け取られ、要求処理／データルーティングプロセッサ２４で処理される入力データを受け取り、処理する。データプロセッシング要素２６の一次データは、符号化された人間読み取り可能データ記録として画像処理の準備ができている、処理済みデータであり、ライタ４０に供給される。好適な実施形態において、データプロセッシング要素２６の出力は、ライタ４０を駆動するためのラスタライズされたデータである。

好適な実施形態において、データプロセッシング要素２６は、入力データのための適切な処理プログラムを実行するために構成された分離型ワークステーションコンピュータである。或いは、小規模の保存装置１８のような場合には、制御ロジックプロセッサ２０のハードウェアによりデータプロセッシング要素２６の機能をまた実行することが可能である。或いは、フロントエンド１２における要求処理／データルーティングプロセッサ２４の機能、及び保存装置１８におけるデータプロセッシング要素２６の両者は、制御ロジックプロセッサ２０として用いるコンピュータワークステーションにより実行されることが可能である。

検索処理プロセッサ６０は、検索リクエストを処理するために構成される分離型コンピュータワークステーションより構成される。或いは、小規模の保存装置１８のような場合には、検索処理プロセッシング６０の機能を制御ロジックプロセッサ２０ハードウェアにより実行することが可能である。

ネットワーキング配置
図３を再び参照するに、デジタルデータ保存システム１０の種々の構成要素の相互接続のための構成は数多く可能であり、高く評価することができる。好適な実施形態において、例えば、高速イーサネット（登録商標）ネットワークは、デジタルデータ保存システム１０のための相互接続インフラストラクチャとしての機能を果たす。最高条件の性能を実現するためには、フロントエンド１２は、この高速接続を用いて保存装置１８に接続する。

また、ネットワーキングはフロントエンド１２の中と保存装置１８の中で個々のプロセッサを接続するために用いられる。この配置により、デジタル保存装置１８の大きさと目的に適合する方式で、制御ロジックプロセッサ２０、データプロセシング要素２６、及び検索処理プロセッサ６０等で構成される保存装置１８の中の個々のコンピュータワークステーションを、異なる位置に配置することが可能である。例えば、データプロセシング要素２６をライタ４０の近くに配置することは一般に好ましいが、異なる位置に他のロジック制御構成要素を配置することも可能である。

しかしながら、ネットワークトポロジは、イーサネット（登録商標）またはローカルエリアネットワーク（ＬＡＮ）スキームに限定されたものではない。例えば、ライタ４０を他の位置の保護された環境下に置くことは都合がよい。そのような場合、構成要素の相互接続は、例えば、インターネット接続へのハイエンド且つ高速専用通信リンクから ダイヤルアップモデム接続に至るまでの、ネットワーキングのタイプのあらゆる範囲を網羅することが可能である。

ネットワーキングはまた、システムの能力とオプションの成長のための柔軟性を持つことが可能である。１つの例として、システム１０は、画像化装置４２のための数ある異なる技術のうち任意の１つの技術を用いる画像化のオプションをその顧客に提供する利点がある。本発明の拡大化され且つネットワーク化された実施形態においては、画像化装置４２について複数のサイトを提供する。１つのサイトでは、ハロゲン化銀ベースのマイクロフィルムを１つのサイズで画像化し、もう１つのサイトでは、乾式プロセスを用いて、感光性媒体上に人間読み取り可能データ記録を印刷する。両サイトに接続することにより、単独のデータプロセッシング要素２６は、意図されたデータ保存媒体フォーマットについて適切な様式で所望のレコードを調整することが可能である。或いは、各々のサイトはそれぞれ独自のデータプロセッシング要素２６を用いることが可能である。

更に、ネットワーキングはまた、システムの大きさの成長に対して柔軟性を持って対応可能である。本発明の実施形態に従ったネットワーク化されたシステム配置を使用することにより、システムは、複数のライタ４０、物理保管装置５０を提供する複数のサイト、及び多くの異なるデータ回復プロセッサ６２より構成され、拡大することが可能である。

デジタル署名の生成
“デジタル的に署名された文書”は、特に文書伝送に関連して、文書の認証を確認するために復号化されることができる関連するデジタル署名ファイルを有する電子文書である。図８を参照するに、デジタル署名１６８を生成するためのプロセスを示している。電子的フォームの状態にある文書１６０は、セキュアハッシュ関数１６２を用いて処理される。セキュアハッシュ関数１６２は、文書１６０のデジタル“親指指紋”としての役割を果たすハッシュファイル１６４を生成する。データ符号化および検証技術においてよく知られているセキュアハッシュ関数１６２は、ハッシュファイル１６４のような特異なデータベリファイアを、入力ファイルを処理する結果として、提供する一種のデータ整合性検証トランスフォームである。入力ファイルのほんの少しの変化は結果的に得られたハッシュファイル１６４における著しい変化の原因をなる。それ故、セキュアハッシュ関数１６２は、文書が受信されたとき、文書が送信されたときの文書に一致する検証を可能にする。

背景となる上記の情報において述べたように、ＦＩＰＳ ＰＵＢ １８０はデジタル署名のために用いられる標準的なセキュアハッシュアルゴリズム（ＳＨＡ）を定義する。ＦＩＰＳ ＰＵＢ １８０において用いられる用語において、ハッシュ関数は“メッセージダイジェスト”として機能する。このメッセージダイジェストは、図８に示すように、本発明のハッシュファイル１６４に対応する。

文書１６０のデータの後の検証を可能にするためであって、文書１６０の伝送に添付されるデジタル書名１６８を提供するために、ハッシュファイル１６４はカスタマの秘密キー１６６を用いて符号化される。ハッシュファイル１６４を提供するハッシュ関数１６２は標準タイプのデータ整合性検証トランスフォームである一方、得意なデータベリファイアの一部のフォームを提供する、他のタイプのよく知られていないデータ整合性検証トランスフォームを用いることが可能である。しかしながら、文書データ保存システムに対しては特に、十分に確立されたデータ整合性検証トランスフォームを使用することが推奨され、それ故、同じデータ整合性検証トランスフォームを用いて検索された文書データを認証するために、どのような将来のデータ検索リクエストも適切に処理されることが可能である。適当なデータ整合性検証トランスフォームの使用は、例えば、大きいコストを掛けることなく、将来のシステムが専有のアルゴリズムを適用するために使用可能であるリスクが存在する。

セキュア保存リクエストの生成
図４を参照するに、好適な実施形態において、デジタルデータ保存システム１０を操作するベンダに対してカスタマにより提出されるセキュア保存リクエスト１７６を生成するためのプロセスを示している。デジタル署名１６８は、人間読み取り可能であり且つデジタルデータ保存システム１０への文書１６９の送信器を一意的に識別する識別記号１７２と結合される。必要とされるセキュリティおよび認証性のレベルに依存して、識別記号１７２は、例えば、次のようなものから構成されることが可能である。
● 電子メール通信におけるような、プレーンテキスト型の名前
● 手書き署名のデジタル化画像
● 電子レターヘッド
● 指紋等の肉体の特徴から由来する独自のインジケータのようなバイオメトリック記号
● 印鑑またはシールのデジタル化画像
好適な実施形態においては、識別記号１７２は手書き署名のデジタル化された画像から構成される。そのデジタル化画像は、例えば、ラスタＴＩＦＦファイルのようなラスタライズされた画像から構成される。それに代えて、識別記号１７２は、カスタマが本人であることを認証する、上記の何れかのような、他のタイプのデジタル化画像から構成されることが可能である。図４のプロセス図に示すように、カスタマは、信頼できるパプリックドメインの公開キーサーバから得られたベンダの公開キー１７０を用いて、結合されたデジタル署名および識別記号１７２を符号化する。符号化の後のデジタル署名１６８と識別記号１７２の結合は保存書名１７４を提供する。ここで、受信するベンダによってのみ復号化されることができるこのような符号化された保存書名１７４は、識別記号１７２のセキュアおよびそれに添付されるデジタル書名１６８の転送を保証するために役立つ。それ故、保存書名１７４と文書１６０の結合は、デジタルデータ保存システム１０に送信されるセキュア保存リクエスト１７６を生成する。さらなる選択肢として、例えば、カスタマの秘密キー１６６または他の適切な符号化機構を用いて、文書１６０そのものを符号化することが可能である。

図４に示すデータ処理段階は、示された符号化タスクおよびデータ操作タスクのための十分な計算資源およびメモリ資源を有するパーソナルコンピュータまたはワークステーションのようなカスタマワークステーションにおいて一般に実行される。公開キー／秘密キー符号化は、データ符号化技術において周知の技術を用いて実行される。公開キーは、従来のセキュアデータ転送において現在実行されているように、パブリックドメインサーバにより提供される。図４に示す処理段階の結果として、保存書名７４は、カスタマによりオリジナルに提供されるような識別記号１７２と共にデジタル署名１６８の送信をさらに認証するために役立つ。

図４に示した処理段階が完結した後、カスタマサイトからデジタルデータ保存システム１０に、セキュア保存リクエスト１７６はネットワークにおいて送信されことができ、または、一部の記憶媒体におけるように、転送されることができる。好適な実施形態においては、セキュア保存リクエスト１７６は、同じファイル転送操作で、単一ユニットとして送信される。しかしながら、改善されたセキュリティに対しては、例えば、分離したセキュアネットワークまたは記憶媒体におけるように、分離したファイル転送操作を用いて、保存書名１７４は分離されて提供されることが可能である。

文書１６０の認証
図５を参照するに、セキュア保存リクエスト１７６が一旦受信されたデジタルデータ保存システム１０において実行される処理を示している。一般に、フロントエンド１２により実行される、図５における処理は、本物の文書１６０が提供されたことを確認する。図５の複数の認証段階に従って、文書１６０とそれに添付される識別記号１７２はデジタルデータ保存システム１０により書き込まれ且つ保存されることができる。

図５に示すように、デジタルデータ保存システム１０のサービスを提供するベンダは、文書１６０と保存署名７４の両方を含むセキュア保存リクエスト１７６を受信する。保存署名１７４は、デジタル署名１６８と識別記号１７２を提供するために、ベンダの公開キー１８０を用いて、受信サイトにおいて復号化される。文書１６０の認証は、復号化されたハッシュファイル１６４´を提供するために、公開キーサーバから得られるカスタマの公開キー１７８を用いて、デジタル署名１６８を先ず復号化することにより提供される。並行的に、文書１６０は、ハッシュファイル１６４を生成するために、図８を参照するに、符号化においてカスタマにより用いられたような同じセキュアハッシュ関数１６２を用いて処理される。次いで、ハッシュファイル１６４は、検証段階の一部として、復号化されたハッシュファイル１６４´と比較される。ハッシュファイル１６４と復号化されたハッシュファイル１６４´の両方が同じとき、文書１６０は認証されることができる。この時点で、受信され且つ復号化された文書１６０が本物であることが、全て適正な確率をもって保証されることができる。

図５に示すプロセスを用いて利用可能であることに加えて、付加的な妥当性およびセキュリティのレベルが提供されることができる。他の実施形態においては、例えば、セキュア保存リクエスト１７６の一部として受信された文書１６０は、カスタマの秘密キーを用いて、カスタマにより符号化されることができる。そのような場合、符号化された文書１６０は、ここで、セキュアハッシュ関数１６２を用いて処理される前に、カスタマの公開キー１７８を用いて、デジタルデータ保存システム１０において復号化される必要がある。この付加的な処理は、文書１６９が特定のカスタマサイトのみから受信されたことを確認する。

再び図２を参照するに、一旦、文書１６０が認証されると、それは即座に人間読み取り可能媒体２１０に書き込まれることとなる。好適な実施形態においては、識別記号１７２は、図５に示すように、人間読み取り可能媒体２１０の同じ部分に記録されることによりその関連する文書に物理的に結合される。例えば、文書６０とその関連の識別記号１７２はフィルムの同じ部分に書き込まれることができる。記録されたとき、その関連する電子文書１６０についてのデジタル署名１６８の関数と非常に同じように、識別記号１７２は、その関連する文書１６０の眼に見えて且つ検証可能な認証を提供するが、このとき、識別記号１７２が人間読み取り可能保存媒体２３１０に記録される優位性を伴っている。この優位性は、測定のオペレーティングシステムまたはハードウェアコンポーネントに依存することのないフォームで文書１６０のデータを保存するために役立つ。

好適な実施形態において、識別記号１７２とその関連文書１６０の両方は、画像として、人間読み取り可能フォーマットの状態で符号化される。しかしながら、本発明の範囲内で、例えば、ＸＭＬ表示の使用または他の広く受け入れられている標準的フォームにおける符号化のような、文書１６０に関連する識別記号１７２についての他の方法が用いられることが可能であり、または、他の符号化方法が、デジタルデータ保存システム１０により提供されることが可能である。

他の実施形態
ある場合には、文書１６０の肯定的な認証は、セキュア保存リクエストとして、１つより多い識別記号１７２が提供されることを必要とすることが可能である。図６を参照するに、第１識別記号１７２ａと第２識別記号１７２ｂとがセキュア保存リクエスト１７６において結合される代わりのプロセスを示している。図６に示すように、図４のプロセスと同様の方法で、第１識別記号１７２ａおよび第２識別記号１７２ｂは、デジタル署名１６８とベンダの公開キー１７０を用いて符号化される。第１保存署名１７４ａおよび第２保存署名１７４ｂが結果的に得られ、次いで、セキュア保存リクエスト１７６において結合される。
図７を参照するに、複数の識別記号１７２が、同じ保存署名１７４において組み合わされることができる他の代わりとなる実施形態が示されている。この実施形態において、第１識別記号１７２ａおよび第２識別記号１７２ｂは、保存署名１７４を生成するために、デジタル署名１６８を用いて符号化される。図６において示した方法を用いた図７の方法は、任意の数の識別記号１７２が保存署名に組み合わされることを可能にするために拡張されることが可能である。複数の識別記号１７２が提供される復号化操作は、各々の識別記号１７２を処理するために重複された適切な段階を用いて、図５に示した同じ全体的なシーケンスに従って、提供される。一旦、文書１６０が認証されると、提供された全ての識別記号１７２は、ここで、人間読み取り可能保存媒体２１０に、文書１６０と共に記録される。

受信サイトにおける検証
他の代わりとなる実施形態においては、図９に示すように、印鑑または他の種類の記号のような検証記号１８４を、デジタルデータ保存システム１０のベンダにより保証される妥当性のインジケータとして、受信文書１６０に対する記録データに追加することが可能である。図９の例は、図５を参照して示されたような、セキュア保存リクエスト１７６から得られた、文書１６９とデジタル署名１６８の両方の処理を示している。ここで、復号化されたハッシュファイル１６４´およびハッシュファイル１６４が同一であると検証されるとき、検証記号１８４は受信サイトの、即ちデジタルデータ保存システム１０のベンダにより付け加えられる。次いで、文書１６０、識別記号１７２および検証記号１８４全てが、図２を参照して説明されたような保存媒体２１０に人間読み取り可能フォームで記録される。検証記号１８４は、文書１６０が認証されたことを検証する認証局からの認可のタイムスタンプを含むことが可能であり、時間、日付、許可当局の住所および他の重要な情報を含むことができる。検証記号１８４は、代替として、ベンダサイト固有の押印または他の印することが可能であり、または、各々の事例毎に固有なものを電子的に生成することが可能である。

タイムスタンプのような検証記号化スキームは、特定のデジタル署名１６８またはセキュア保存リクエスト１７６の生成等のために、多数の異なる処理段階の一部として用いられることができる。例えば、タイムスタンプは、識別記号１７２に分離ファイルとして添えられることができ、または、セキュア保存リクエスト１７６の一部として組み込まれることができる。許可のタイムスタンプはまた、特定の時間に、セキュア保存リクエスト１７６の認証レシートに対してベンダにより得られることが可能である。

カスタマが識別記号１７２を提供しない、他の代わりとなる実施形態においては、文書１６０とデジタル署名１６８のみがベンダに提供される。この場合については図１０に示している。ベンダは、好適な実施形態において説明した同じ方法を用いて、デジタル署名１６８を復号化する。文書１６０の認証の後、デジタルデータ保存システム１０のベンダは、デジタルロックボックスのようなセキュアソースからカスタマの識別記号１７２のコピーを得る。識別記号１７２は、ここで、人間読み取り可能保存媒体２１０に記録するために、文書１６０に添付される。任意に、検証記号１８４はまた、人間読み取り可能保存媒体２１０において文書１６０の側面に沿って付加的に記録されることができる。

エンハンスされたセキュア保存リクエスト
ある場合には、文書１６０に対して変造されたデジタル署名の使用を防止するために、特別な予防策を講じることに対して優位性を有することが可能である。図１１を参照するに、この付加的な保護対策を提供するためにエンハンスされるセキュア保存リクエスト１７６´を生成するために用いられる一連の段階を示している。デジタル署名１６８および識別記号１７２は、カスタマ保存ベリファイア１９０を形成するために、カスタマの秘密キー１６６を用いて、共に符号化される。カスタマ保存ベリファイア１９０はここで、検証可能な保存署名１９２を生成するために、ベンダの公開キーを用いて復号化される。それ自身任意に符号化されることが可能である検証可能な保存署名１９２の文書１６０との組み合わせは、次いで、エンハンスされたセキュア保存リクエスト１７６´を生成する。このような処理を用いて、意図されたベンダのみが検証可能な保存署名１９２を復号化することができる。次いで、特定のカスタマの公開キーのみが貸す玉保存ベリファイア１９０の復号化を行うことができる。

図１２を参照するに、図１１のプロセスを用いて得られたエンハンスされたセキュア保存リクエスト１７６´を検証するためのデジタルデータ保存システム１０においてベンダにより実行される逆プロセスを示している。検証可能な保存署名１９２は、カスタマ保存ベリファイア１９０を得るために、ベンダの秘密キー１８０を用いて復号化される。次いで、かすたまの公開キー１７８を用いて、カスタマ保存ベリファイア１９０が、デジタル署名１６８を得るために、また、提供される場合、識別記号１７２を得るために、復号化される。図９に示したように、次いで、文書１６０から生成されたハッシュファイル１６４と比較されることができる、復号化されたハッシュファイル１６４´を得るために、カスタマの公開キー１７８を用いて、デジタル署名１６８は復号化される。復号化されたハッシュファイル１６４´およびハッシュファイル１６４が同じとき、文書１６０は、識別記号１７２と共に記録されることができる。

本発明の方法は、デジタルデータ保存システム１０においてデジタル的に署名された文書１６０を保存するための数多くの方法を提供する。特に、本発明の方法は、デジタルデータ保存システム１０により提供されるような長期間保存の要求に最も優位性をもって適するものである一方、これらの方法はまた、従来の光媒体または磁気媒体を用いて文書または画像にアーカイバルを提供するシステムを用いて実行されることができる。本発明の方法は、文書データが人間読み取り可能フォームで表されるとき、著しい優位性を提供する一方、これらの方法はまた、従来のデータ表示方法を用いてまたは人間読み取り可能データフォーマットと機械読み取り可能データフォーマットとのある組み合わせを用いて文書が記憶されることが可能である、システムを用いて実行されることが可能である。データ符号化技術における当業者に周知である多くの異なる符号化および復号化スキームは、上記のような、従来の秘密キー／公開キーのために置き換えられることが可能である。

このようにして、本発明が提供することは、人間読み通り可能媒体においてデジタル的に署名された文書データの保存のためのデジタル保存システムである。

従来のデジタルアーカイビングシステムの機能を示すブロック図である。 デジタルデータ保存システムの機能を従来のデジタルアーカイビングシステムの機能と対照させたブロック図である。 本発明の装置における構成要素及びそれらの相互関係を示すブロック図である。 文書データのためのセキュア保存リクエストを提供するためのデータの流れを示すブロック図である。 受信されたセキュア保存リクエストを検証し且つ文書データ保存サービスのベンダにより保存媒体に認証文書を記録するためのデータの流れを示すブロック図である。 文書の複数の署名が存在するとき、文書データのためのセキュア保存リクエストを提供するためのデータの流れを示すブロック図である。 文書の複数の署名が存在するとき、文書データのためのセキュア保存リクエストを提供するための他の代わりのデータの流れを示すブロック図である。 文書のためのデジタル署名を生成するプロセスを示すブロック図である。 ベンダ検証記号が適用される他のプロセスを示すブロック図である。 識別記号がセキュアソースからベンダにより得られ且つ保存のための記録に添えられる他のプロセスを示すブロック図である。 保存された文書のための検証可能な保存署名を提供するための他のプロセスを示すブロック図である。 図１１のプロセスを用いて生成された検証可能な保存署名を復号化するためのプロセスを示すブロック図である。

符号の説明

１０ デジタルデータ保存システム
１２ フロントエンド
１８ 保存装置
２０ 制御ロジックプロセッサ
２４ 要求処理／データルーティングプロセッサ
２６ データプロセッシング要素
３０ 索引データベース
４０ ライタ
４２ 画像化装置
４４ 媒体処理装置
５０ 物理保管装置
６０ 検索処理プロセッサ
６２ 回復処理プロセッサ
７０ メディアソース
１６０ 文書
１６２ セキュアハッシュ関数
１６４ ハッシュファイル
１６４´ ハッシュファイル
１６６ カスタマ秘密キー
１６８ デジタル署名
１７０ ベンダの公開キー
１７２ 識別記号
１７２ａ 識別記号＃１
１７２ｂ 識別記号＃２
１７４ 保存署名
１７４ａ 保存署名＃１
１７４ｂ 保存署名＃２
１７６ セキュア保存リクエスト
１７６´ セキュア保存リクエスト
１７８ カスタマの公開キー
１８０ ベンダの秘密キー
１８４ 検証記号
１９０ カスタマ保存ベリファイア
１９２ 検証可能な保存署名
２００ 中央演算処理装置（ＣＰＵ）
２０２ アプリケーション
２０４ オペレーティングシステム
２０６ 記憶ハードウェア装置
２０８ 磁気または光記憶媒体
２１０ 人間読み取り可能保存媒体

Claims (10)

1. 保存サービスのベンダにカスタマにより提供される文書データファイルを保存するための方法であって、デジタル署名が前記文書データファイルと結合される、方法であり：
   （ａ）前記文書のための第１固有データベリファイアを得るために前記デジタル署名を復号化する段階；
   （ｂ）前記文書のための第２固有データベリファイアを生成するために前記文書データファイルを処理する段階；
   （ｃ）前記第１固有データベリファイアを前記第２固有データベリファイアと比較する段階；
   （ｄ）保存記録を形成するために前記文書データファイルに識別記号を結合させる段階；並びに
   （ｅ）保存媒体において前記保存記録を記録する段階；
   から構成されることを特徴とする文書データファイルを保存するための方法。
2. 請求項１に記載の文書データファイルを保存するための方法であって、前記第１固有データベリファイアはハッシュファイルである、ことを特徴とする文書データファイルを保存するための方法。
3. 請求項１に記載の文書データファイルを保存するための方法であって、前記保存媒体に検証記号を記録する段階からさらに構成される、ことを特徴とする文書データファイルを保存するための方法。
4. 請求項１に記載の文書データファイルを保存するための方法であって、前記識別記号はカスタマにより提供される、ことを特徴とする文書データファイルを保存するための方法。
5. 請求項１に記載の文書データファイルを保存するための方法であって、前記識別記号は、入力テキスト、デジタル化画像、バイオメトリックマークおよび走査データから成る群から取る、ことを特徴とする文書データファイルを保存するための方法。
6. 請求項１に記載の文書データファイルを保存するための方法であって、前記保存記録を記録する段階は、人間読み取り可能フォームで前記記録を書き込む手順から構成される、ことを特徴とする文書データファイルを保存するための方法。
7. 請求項１に記載の文書データファイルを保存するための方法であって、前記識別記号は電気的に生成される、ことを特徴とする文書データファイルを保存するための方法。
8. 請求項１に記載の文書データファイルを保存するための方法であって、文書データファイルを処理する段階は前記文書データファイルを復号化する手順からさらに構成される、ことを特徴とする文書データファイルを保存するための方法。
9. 請求項１に記載の文書データファイルを保存するための方法であって、文書データファイルに識別記号を結合する段階は前記文書データファイルに前記識別記号を結合させる手順から構成される、ことを特徴とする文書データファイルを保存するための方法。
10. 請求項１に記載の文書データファイルを保存するための方法であって、前記識別記号は安全なデジタルロックボックスから前記ベンダにより得られる、ことを特徴とする文書データファイルを保存するための方法。

Images