JP2005310038A - 画像記録装置 - Google Patents

Abstract

【課題】蓄積されている画像データの改ざんの有無を高精度に判定でき、蓄積されている画像データの高い信頼性を確保することができる画像記録装置を提供する。
【解決手段】画像データの記録時には、画像データがＮフィールド取得される毎に秘密鍵メモリ８の複数の秘密鍵の中から秘密鍵を選択し、Ｎフィールドの画像データ５０と選択された秘密鍵とからハッシュ値５１ａ〜５１ｈを生成し、生成されたハッシュ値５１ａ〜５１ｈのそれぞれを、対応するフィールドの画像データ５０に付与して記録する。改ざんの有無判定時には、記録時と同じ秘密鍵を使用し、蓄積されているＮフィールドの画像データ５０と秘密鍵とからハッシュ値５４ａ〜５４ｈを生成し、蓄積されているハッシュ値５１ａ〜５１ｈと判定時に生成されたハッシュ値５４ａ〜５４ｈとを比較し、この比較結果に基づいて画像データの改ざんの有無を判定する。
【選択図】 図２

Description

本発明は、画像蓄積装置に画像データを記録する画像記録装置に関し、特に、画像蓄積装置に蓄積された画像データの改ざんの有無を判定することができる画像記録装置に関するものである。

近年、様々な分野で、例えば、ＪＰＥＧ（Ｊｏｉｎｔ Ｐｉｃｔｕｒｅ Ｅｘｐｅｒｔｓ Ｇｒｏｕｐ）、モーションＪＰＥＧ、及びＪＰＥＧ２０００等のデジタル画像圧縮技術が使用されるに至っている。例えば、監視システムの分野においては、撮像カメラで撮像された映像を圧縮後に、画像蓄積装置に蓄積保存する。蓄積された映像は、何らかの事件が発生したとき等に、証拠映像として提供されることがある。したがって、蓄積された映像の信頼性（真実性）の確保が必須であり、蓄積されたデジタル画像データが改ざんされていないことを検証・証明できることが極めて重要な意味を持つ。

しかし、近年の技術では、デジタル画像データの一部を、様々なアプリケーションソフトウェアにより、他のデジタル画像データと合成したり、或いはデジタル画像データ中の一部分を修正・削除することは容易である。すなわち、比較的簡単にデジタル画像データの改ざんを行うことが可能である。したがって、デジタル画像データの改ざんの有無を判定できる環境が必要である。

ところが、従来は、デジタル画像データが改ざんされた場合に、改ざんされた事実を知るための手段は多くなかった。したがって、例えば、監視システムで撮像されたデジタル画像データを画像蓄積装置に蓄積し、再生した時に、再生されたデジタル画像が改ざんされたものであるか否かを知ることは困難であった。このため、デジタル画像の信頼性の確保が望まれている。

従来のこの種の技術として、例えば、特許第３０２２４７２号公報（特許文献１）に開示された画像データの改ざん防止装置がある。この改ざん防止装置は、１フィールドの画像データを横（水平）方向にｎバイトにブロック化する手段と、このブロック化されたデータを縦（垂直）方向に演算する手段と、この演算結果のｎバイトのデータを第１の改ざん検出データとして保管、若しくは記録媒体に画像データと共に保管しておく手段と、記録媒体から画像データを読み出し再生時に、画像データに対して、上記した手段と同じ手段によって第２の検出データを得る手段と、これら第１の検出データと第２の検出データとを比較し、これにより、本画像データが改ざんされたかどうかを判定する手段を備えている。

特許第３０２２４７２号公報（段落０００５，０００６）

しかし、上記特許文献１の改ざん防止装置では、検出データを得るための手段が比較的簡単であり、かつ検出データを得るための処理動作が単調であるため、第三者に容易に類推されやすい。そのため、画像データに改ざんを加えた者は、画像データと共に保管される検出データ（第１の改ざん検出データ）を、改ざんが加えられた画像データに基づく内容のものに作成し直すことが比較的容易にできてしまい、このため、「なりすまし」を許してしまう可能性がある。したがって、従来の改ざん防止装置では、改ざん検出の精度が低く、蓄積されている画像データの信頼性（真実性）を十分に高くできないという問題があった。

そこで、本発明は、上記した従来技術の課題を解決するためになされたものであり、その目的は、蓄積された画像データの改ざんの有無を高精度に判定でき、蓄積されている画像データの高い信頼性を確保することができる画像記録装置を提供することにある。

本発明の画像記録装置は、複数の秘密鍵が保存される秘密鍵メモリと、前記複数の秘密鍵の中から秘密鍵を選択する処理、画像蓄積手段に画像データを記録する処理、及び前記画像蓄積手段に蓄積されている画像データの改ざんの有無を判定する処理を実行する制御手段とを有し、前記制御手段は、
前記画像データの記録時に、前記画像データがＮフィールド（Ｎは正の整数）取得される毎に、前記複数の秘密鍵の中から秘密鍵を選択し、前記画像データと前記選択された秘密鍵とから、前記画像データのフィールド毎にハッシュ値を生成し、前記画像データのフィールド毎に生成された前記ハッシュ値のそれぞれを、対応するフィールドの前記画像データに付与して、前記画像蓄積手段に記録し、
前記画像データの改ざんの有無判定時に、前記画像蓄積手段から前記画像データを読み出し、前記記録時と同じ処理手順により、前記画像蓄積手段から読み出された画像データと前記記録時に用いた秘密鍵と同じ秘密鍵とから、前記画像データのフィールド毎にハッシュ値を生成し、前記画像データの記録時に生成された前記ハッシュ値と改ざんの有無判定時に生成された前記ハッシュ値とを比較し、この比較結果に基づいて前記画像蓄積手段に蓄積されている画像データの改ざんの有無をフィールド毎に判定するものである。

本発明の他の画像記録装置は、複数の秘密鍵が保存される秘密鍵メモリと、前記複数の秘密鍵の中から秘密鍵を選択する処理、画像蓄積手段に画像データを記録する処理、及び前記画像蓄積手段に蓄積されている画像データの改ざんの有無を判定する処理を実行する制御手段とを有し、順に取得される（Ｎ＋１）フィールド（Ｎは正の整数）の画像データを１ブロックとしたときに、前記制御手段は、
前記画像データの記録時に、前記画像データが（Ｎ＋１）フィールド取得される毎に、前記複数の秘密鍵の中から秘密鍵を選択して第１の秘密鍵とし、前記画像データと前記第１の秘密鍵とから、前記画像データのフィールド毎に第１のハッシュ値を生成し、前記複数の秘密鍵の中から秘密鍵を選択して第２の秘密鍵とし、フィールド毎に生成された（Ｎ＋１）個の前記第１のハッシュ値と、前記第２の秘密鍵とから、第２のハッシュ値を生成し、１ブロック内の時間的に先のＮフィールドについて生成されたＮ個の前記第１のハッシュ値のそれぞれを、対応する１ブロック内の時間的に先のＮフィールドの前記画像データに付与し、前記第２のハッシュ値を、１ブロック内の時間的に最後のフィールドの前記画像データに付与し、前記第１のハッシュ値がそれぞれに付与された１ブロック内の時間的に先のＮフィールドの前記画像データと、前記第２のハッシュ値が付与された１ブロック内の時間的に最後のフィールドの前記画像データとを前記画像蓄積手段に記録し、
前記画像データの改ざんの有無判定時に、前記記録時と同じ処理手順により、前記画像蓄積手段から読み出された画像データの１ブロックから前記記録時に用いた第１の秘密鍵を用いてフィールド毎に第３のハッシュ値を生成し、前記記録時に用いた前記第２の秘密鍵とフィールド毎に生成された（Ｎ＋１）個の前記第３のハッシュ値から第４のハッシュ値を生成し、前記第１のハッシュ値と前記第３のハッシュ値、前記第２のハッシュ値と前記第４のハッシュ値をそれぞれ比較し、これらの比較結果に基づいて前記画像蓄積手段に蓄積されている画像データの改ざんの有無をブロック毎に判定するものである。

本発明に係る画像記録装置によれば、画像データの記録時にＮフィールド毎に選択された秘密鍵を用いてフィールド毎にハッシュ値を生成し、改ざんの有無判定時に記録時と同じ処理手順によりフィールド毎にハッシュ値を生成し、画像データの記録時に生成されたハッシュ値と改ざんの有無判定時に生成されたハッシュ値とを比較することによって改ざんの有無をフィールド毎に判定する。このようにＮフィールド毎に選択される秘密鍵を用いてハッシュ値を生成しているので、フィールド毎の改ざん検出精度を高くでき、改ざんによる「なりすまし」を防止でき、よって、蓄積されている画像データの高い信頼性を確保することができるという効果が得られる。

また、本発明に係る他の画像記録装置によれば、画像データの記録時に１ブロック毎に選択された第１の秘密鍵を用いてフィールド毎に第１のハッシュ値を生成し、第１のハッシュ値と第２の秘密鍵を用いて第２のハッシュ値を生成し、１ブロック内の時間的に最後のフィールドの画像データに第２のハッシュ値を付与して記録し、改ざんの有無判定時にも記録時と同じ処理手順により、フィールド毎に第３のハッシュ値を生成し、記録時に用いた第２の秘密鍵とフィールド毎に生成された（Ｎ＋１）個の第３のハッシュ値から第４のハッシュ値を生成し、第１のハッシュ値と第３のハッシュ値、第２のハッシュ値と第４のハッシュ値をそれぞれ比較し、これらの比較結果に基づいて前記画像蓄積手段に蓄積されている画像データの改ざんの有無をブロック毎に判定する。このように第１のハッシュ値と第３のハッシュ値のそれぞれの比較に加えて、１ブロック毎に第２のハッシュ値と第４のハッシュ値をそれぞれ比較し、これらの比較結果に基づいて改ざんの有無を判定しているので、ブロック毎の改ざん検出精度を高くでき、改ざんによる「なりすまし」を防止でき、よって、記録されている画像データの高い信頼性を確保することができるという効果が得られる。

実施の形態１．
図１は、本発明の実施の形態１に係る画像記録装置２０の構成を示すブロック図である。

先ず、実施の形態１に係る画像記録装置２０の概要を説明する。画像記録装置２０は、当該画像記録装置２０に固有の所定の複数の秘密鍵を内部に保有している。画像記録装置２０は、画像データの記録時に、保有している複数の秘密鍵の中からいずれかの秘密鍵を選択して使用し、所望のデジタル画像中の特徴を抽出する固定長のハッシュ値を生成し、このハッシュ値を１フィールド毎にデジタル画像データに付与して、画像蓄積装置１１に記録する。画像蓄積装置１１は、ハッシュ値が付与されたデジタル画像データを蓄積保存する。

また、画像記録装置２０は、画像蓄積装置１１に蓄積保存されたデジタル画像データの改ざんの有無を検出する際に、画像記録時に用いた秘密鍵と同じ秘密鍵を使用して、画像蓄積装置１１に蓄積されているデジタル画像データの特徴を抽出する固定長のハッシュ値を生成し、この生成したハッシュ値と画像記録時に当該デジタル画像データに付与されているハッシュ値とを比較し、この比較結果に基づいて画像蓄積装置１１に蓄積保存されている画像データの改ざんの有無を判定する。

次に、実施の形態１に係る画像記録装置２０の構成を詳細に説明する。図１に示されるように、画像記録装置２０は、例えば、撮像カメラ等からの映像信号が入力される映像入力端子１と、この映像入力端子１を通して入力される映像信号であるアナログ方式のＮＴＳＣ信号をデジタル画像信号に変換するＮＴＳＣデコーダ２と、このＮＴＳＣデコーダ２を通して得られるデジタル画像信号をＪＰＥＧ２０００等の所定の方式で圧縮されたデジタル画像データに変換する画像圧縮処理部３と、各種データの転送や信号の同期調整等の諸制御を司る制御処理部４とを有している。また、画像記録装置２０は、画像圧縮処理部３で圧縮されたデジタル画像データを制御処理部４を通して受け取り、一時的に格納する画像メモリ５と、画像圧縮処理部３で圧縮されたデジタル画像データのハッシュ値を生成するための秘密鍵が予め保存されている秘密鍵メモリ８とを有している。

画像データの記録時において、画像記録装置２０は、秘密鍵メモリ８に保存されている複数の秘密鍵の中から所定の処理手順により秘密鍵を選択し、選択された秘密鍵を使用して生成されたハッシュ値が付与された後のデジタル画像データを、画像入出力端子１４を通して画像蓄積装置１１に記録することによって、デジタル画像データを蓄積保存する。図１において、画像蓄積装置１１は、画像記録装置２０とデータ伝送可能に接続された外部装置として示されているが、画像蓄積装置１１を画像記録装置２０の一部である内蔵機器として構成してもよい。また、画像蓄積装置１１は、例えば、ハードディスク記録再生装置や光ディスク記録再生装置であるが、他の方式のデータ記録装置であってもよい。

また、画像記録装置２０は、映像入力端子１から入力され画像圧縮処理部３で圧縮されたデジタル画像データ、又は、指示入力部１３からの指示に基づいて画像入出力端子１４を通して画像蓄積装置１１から読み出された圧縮されているデジタル画像データを元に戻すための伸長処理を行う画像伸長処理部９と、画像伸長処理部９で伸長処理を施されたデジタル画像信号をアナログ映像信号に変換するＮＴＳＣエンコーダ１０と、アナログ映像を表示するモニタ装置１２にアナログ映像信号を出力するためのモニタ出力端子１５とを有している。また、画像記録装置２０は、当該画像記録装置２０における各種演算処理のすべてを司るＣＰＵ（中央演算装置）６と、このＣＰＵ６により実行されるプログラムが格納されているプログラムメモリ７とを有している。

ＣＰＵ６は、プログラムメモリ７に格納されたソフトウェアプログラムに従って動作する。ＣＰＵ６による制御には、秘密鍵を生成して秘密鍵メモリ８に保存する秘密鍵生成処理と、映像入力端子１から入力された映像信号を画像蓄積装置１１に記録する処理と、再生時に既に画像蓄積装置１１に蓄積されているデジタル画像データの改ざんの有無を判定する改ざんの有無判定処理（すなわち、改ざん検出処理）とが含まれる。

秘密鍵は、例えば、装置電源投入直後に画像記録装置２０が最初にプログラムメモリ７内のプログラムを起動させた時点において、自動的に生成され、秘密鍵メモリ８に保存される。秘密鍵は、例えば、画像記録装置２０に固有の鍵になっており、所定数の鍵が生成され、秘密鍵メモリ８に保存される。また、画像記録装置２０は、装置電源切断によって秘密鍵メモリ８に記憶されている秘密鍵は消失する。このように制御すれば、動的状態すなわち装置通電状態でしか秘密鍵メモリ８内に秘密鍵が存在しないことになる。このため、静的状態で起こり得るメモリ内容の読み取りによっては、秘密鍵を知り得ず、装置の信頼性が向上する。

画像データを画像蓄積装置１１に記録する処理は、例えば、ユーザによる指示入力部１３からの操作によって起動する。このときのＣＰＵ６の制御には、映像入力端子１に映像信号が与えられたときにＮＴＳＣデコーダ２により入力映像信号をデジタル画像信号に変換するよう指示する処理と、ＮＴＳＣデコーダ２により変換された後のデジタル画像信号を画像圧縮処理部３で圧縮処理するように指示する処理と、圧縮されたデジタル画像データを制御処理部４を通して画像メモリ５に一時的に格納するよう指示する処理と、画像圧縮処理部３で圧縮されたデジタル画像データをフィールド単位で取り出し、秘密鍵メモリ８に保存されている秘密鍵を使用して画像の特徴を抽出するハッシュ値を生成するように指示する処理と、この生成されたハッシュ値を画像メモリ５から呼び出したデジタル画像データの当該フィールドに付与するように指示する処理と、ハッシュ値が付与されたデジタル画像データを画像蓄積装置１１に記憶させるよう指示する処理とが含まれる。

画像データの改ざんの有無判定は、例えば、ユーザによる指示入力部１３からの再生開始操作により起動する。改ざんの有無判定時には、画像蓄積装置１１に蓄積保存されたデジタル画像データは、画像入出力端子１４、制御処理部４、画像伸長処理部９、ＮＴＳＣエンコーダ１０、及びモニタ出力端子１５を通してモニタ装置１２に送られ、モニタ装置１２で再生されると同時に、画像入出力端子１４及び制御処理部４を通して画像メモリ５にも呼び出される。画像記録装置２０は、画像メモリ５に呼び出したデジタル画像データと、記録時に用いた秘密鍵と同じ秘密鍵を使用して画像の特徴を抽出するハッシュ値を生成する機能と、この生成されたハッシュ値を該デジタル画像データの同フィールドに付与されているハッシュ値と比較する機能と、この比較結果に基づいて改ざんの有無を判定する機能とを備えている。なお、画像データの改ざんの有無判定時に使用する秘密鍵は、画像データの記録時に使用された秘密鍵であって、所定の記憶装置（例えば、不揮発性メモリ又はＨＤＤの所定の領域）（図示せず）に格納されている秘密鍵を使用する。改ざんの有無判定においては、デジタル画像データに付与されているハッシュ値と、生成されたハッシュ値とが一致していると判断した場合には蓄積されているデジタル画像データが改ざんされていないと判定し、一致していないと判断した場合には蓄積されているデジタル画像データが改ざんされていると判定する。

次に、実施の形態１に係る画像記録装置の動作を詳細に説明する。図２（ａ）及び（ｂ）は、本発明の実施の形態１に係る画像記録装置２０の動作を示す説明図であり、図２（ａ）は、画像データにハッシュ値を付与して記録するときの処理動作を示し、図２（ｂ）は、蓄積保存されている画像データの改ざんの有無を判定するときの処理動作を示す。

最初に、画像記録装置２０ではプログラムメモリ７に格納されているソフトウェアプログラムが起動された時点のイニシャライズモードで、ＣＰＵ６により秘密鍵が自動的に生成され、秘密鍵メモリ８に保存される。なお、この格納される秘密鍵は、画像記録装置２０によって固有のものであり、外部から参照及び操作できない。

次に、映像入力端子１に撮像カメラ（図示しない）等からの映像信号が入力された場合に、この映像信号をデジタル画像信号として画像蓄積装置１１に蓄積する場合を説明する。ここでは、指示入力部１３によってプログラムメモリ内７のソフトウェアは記録動作を実行する。

この記録動作において、映像入力端子１に撮像カメラ等で撮影された映像信号が入力されると、ＮＴＳＣデコーダ２は入力映像信号をデジタル画像信号に変換する。変換されたデジタル画像信号は、画像圧縮処理部３に送られ、例えば、ＪＰＥＧ２０００形式のデジタル画像データに画像圧縮される。

画像圧縮処理部３で圧縮されたデジタル画像データ５０は、制御処理部４を通してテンポラリの画像メモリ５に一時的に格納される。

次に、ＣＰＵ６は秘密鍵メモリ８に保存されている秘密鍵から所望の秘密鍵を選び、この秘密鍵を制御処理部４に送る。この制御処理部４では、画像メモリ５に格納されているデジタル画像データをフィールド単位で呼び出し、呼び出したデジタル画像データの１フィールドの全画素に対してこの秘密鍵を基に演算を行いハッシュ値を生成する。図２（ａ）においては、１番目のフィールドについて生成されたハッシュ値５１ａから、Ｎ番目（Ｎは正の整数）のフィールド５２について生成されたハッシュ値５１ｈまでが示されている。

一方、ハッシュ値生成のための秘密鍵は、その秘密鍵を使用するフィールド数（Ｎ）が指示入力部１３でプログラムメモリ７のワークエリアに予め設定されており、これがイニシャライズ時に制御処理部４に格納・保存してある。その保存されている設定値（Ｎ）に基づき、すなわち、ここではＮフィールド単位で秘密鍵メモリ８に保存されている複数の秘密鍵の中からいずれかの秘密鍵を選択して、選択された秘密鍵を用いてハッシュ値を生成する。

制御処理部４は、この生成されたハッシュ値５１ａ〜５１ｈを既に呼び出している当該フィールドのデジタル画像データ５０に付与し、連続したデジタル画像データ５３として画像入出力端子１４を通して画像蓄積装置１１に蓄積保存する。

次に、画像記録装置２０内で記録処理され、画像蓄積装置１１に蓄積保存されたデジタル画像５３の改ざんの有無を判定する方法を説明する。

指示入力部１３における操作により、ＣＰＵ６はプログラムメモリ７のソフトウェアを再生動作に切り替える。ＣＰＵ６は、画像蓄積装置１１内に蓄積保管された所望のデジタル画像データ５３を再生し、画像入出力端子１４から制御処理部４を通して画像伸長処理部９へ送り、ここで、圧縮処理されたデジタル画像データを元に戻し、ＮＴＳＣエンコーダ１０を通してアナログ映像信号に変換し、モニタ出力端子１５に再生映像を出力する。これにより、モニタ装置１２で再生映像を視聴できる。また、画像蓄積装置１１内に蓄積保存された所望のデジタル画像データ５３は画像入出力端子１４から制御処理部４を通して画像メモリ５にも送られる。

一方、制御処理部４では記録時の場合と同じ処理手順により、再生されたデジタル画像データ５３から１フィールド単位のハッシュ値５４ａ〜５４ｈを生成する。

このハッシュ値５４ａ〜５４ｈを生成するにあたり、ＣＰＵ６は、記録時に用いられた秘密鍵と同じ秘密鍵を使用し、この秘密鍵を制御処理部４に送る。制御処理部４では、この秘密鍵を基に再生デジタル画像データ５３の１フィールド単位での全画素に対してハッシュ値５４ａ〜５４ｈを生成する。

ここでは例として、再生されたデジタル画像データ５３の当該フィールド５２より生成されたハッシュ値５４ｈは、当該フィールド５２に付与されているハッシュ値５１ｈ、すなわち、記録時に生成されたハッシュ値５１ｈと比較する。この比較結果により、両者が一致していると判断した場合は、再生デジタル画像が改ざんされていないと判定する。一方、一致していないと判断した場合には、デジタル画像データ５３が改ざんされていると判定する。この結果、ＣＰＵ６は、画像データに改ざんが有ると判定した時、再生映像と共に、モニタ装置１２にその結果を表示する。なお、改ざん有りの結果を通知する方法は、モニタ表示以外の他の通知方法、例えば、警告音の発生や表示ランプの点灯等であってもよい。

なお、この改ざん検出は連続した映像（デジタル画像）に対してリアルタイムに、かつ１フィールド毎に行われる。

以上のように、実施の形態１では、連続した映像入力信号をデジタル画像データに変換し、１フィールド毎のデジタル画像データの特徴を、Ｎフィールド単位で交換される秘密鍵に基づいてハッシュ値を生成し、そのハッシュ値をフィールド単位で当該デジタル画像データに付与して画像蓄積装置に蓄積保存するようにしたものであり、また、蓄積保存されたデジタル画像データの改ざんを検出をする際には、蓄積保存されたデジタル画像データのハッシュ値を前記と同様に秘密鍵を使用して生成し、この生成されたハッシュ値とデジタル画像に付与されたハッシュ値を比較するようにしているので、原画像を一切加工することなく簡単な構成で、かつセキュリテイ性に優れた環境で画像の改ざんの事実を容易に検出できる。特に、フィールド内の改ざん判定のみならずフィールド単位での改ざん判定にも有効である。

実施の形態２．
本発明の実施の形態２に係る画像記録装置の構成は、プログラムメモリ７に格納されているプログラムに基づくＣＰＵ６による制御内容を除き、実施の形態１に係る画像記録装置と同じである。したがって、実施の形態２に係る画像記録装置の説明には、図１をも参照する。

先ず、実施の形態２に係る画像記録装置の動作の概要を説明する。実施の形態２に係る画像記録装置におけるデジタル画像データの画像蓄積装置への記録処理は、例えば、指示入力部１３からの指示によって起動する。記録処理では、ＣＰＵ６は、映像入力端子１に映像信号が与えられたときにＮＴＳＣデコーダ２で映像信号をデジタル画像信号に変換することを指示し、ＮＴＳＣデコーダ２で変換後のデジタル画像信号を画像圧縮処理部３で圧縮処理することを指示し、圧縮されたデジタル画像データを画像メモリ５に制御処理部４を通して一時的に格納するよう指示し、画像圧縮処理部３で圧縮されたデジタル画像データをフィールド単位で取り出し、秘密鍵メモリ８に保存されている秘密鍵（第１の秘密鍵）を使用して画像の特徴を抽出するハッシュ値を生成し、当該フィールドより以前のＮフィールド間で既に生成され、デジタル画像に付与されたＮ個のハッシュ値と、当該フィールドから生成されたハッシュ値から秘密鍵（第２の秘密鍵）を使用して新たなハッシュ値を生成し、この新たに生成したハッシュ値を当該フィールドのハッシュ値と置き換えデジタル画像データに付与し、この付与されたデジタル画像データを画像入出力端子１４を通して画像蓄積装置１１に蓄積させる。

デジタル画像データの改ざんの有無の判定処理は、指示入力部１３での再生操作により起動され、画像蓄積装置１１に蓄積保存されたデジタル画像データは、画像入出力端子１４、制御処理部４、及びモニタ出力端子１５を通してモニタ装置１２で再生すると同時に、画像メモリ５にも呼び出される。画像メモリ５に呼び出した再生デジタル画像データを記録時に用いた秘密鍵と同じ秘密鍵を使用してフィールド単位にハッシュ値を生成し、この生成されたハッシュ値を該デジタル画像の同フィールドに付与されているハッシュ値と比較し、この比較結果に基づいてデジタル画像データの改ざん有無を判定する。

次に、実施の形態２に係る画像記録装置の動作を詳細に説明する。図３（ａ）及び（ｂ）は、本発明の実施の形態２に係る画像記録装置の動作を示す説明図であり、図３（ａ）は、画像データにハッシュ値を付与して記録するときの処理動作を示し、図３（ｂ）は、蓄積保存されている画像データの改ざんの有無を判定するときの処理動作を示す。

記録動作において、映像入力端子１に撮像カメラ等で撮影された映像信号が入力される。入力された映像信号は、ＮＴＳＣデコーダ２によりデジタル画像信号に変換される。変換されたデジタル画像信号は、画像圧縮処理部３に送られ、ＪＰＥＧ２０００形式の圧縮処理が施され、圧縮されたデジタル画像データになる。

画像圧縮処理部３で圧縮されたデジタル画像データ５０は、制御処理部４を通してテンポラリの画像メモリ５に一時的に格納されると共に、制御処理部４において、そのデジタル画像データ５０は１フィールド単位で画像全画素のハッシュ値が生成され、同様に画像メモリ５に保存される。

このハッシュ値を生成するにあたり、ＣＰＵ６は、秘密鍵メモリ８に保存されている複数の秘密鍵の中から所望の第１の秘密鍵を選び、選択された第１の秘密鍵を制御処理部４に送る。また、制御処理部４では画像メモリ５に格納されているデジタル画像５０を呼び出し、１フィールド毎にデジタル画像の全画素に対してこの第１の秘密鍵を基にハッシュ値を生成する。ここでは、図３（ａ）に示されるように、（Ｎ＋１）番目のフィールドまでの画像データ６２の場合を例とし、ハッシュ値６１ａ〜６１ｈが生成される。

次に、制御処理部４は、指示入力部１３で予めプログラムメモリ７に設定され、イニシャライズ時にＣＰＵ６により制御処理部４に送られ格納・保管されているフィールド数（Ｎ）を確認する。

制御処理部４では、この設定されているフィールド数Ｎに基づき、当該フィールド６２より以前のＮフィールドに渡ってデジタル画像５０に付与されているハッシュ値６１ａ〜６１ｈを画像メモリ５から呼び出す。同時に、ＣＰＵ６は秘密鍵メモリ８に保存されている所望の第２の秘密鍵を選び、制御処理部４に送る。ここで、第２の秘密鍵は、第１の秘密鍵と異なる秘密鍵である。

ここで、制御処理部４はデジタル画像５０の当該フィールド６２で生成されたハッシュ値６１ｈと、当該フィールド直前のＮフィールド間で生成され各フィールドに付与されているハッシュ値６１ａ〜６１ｇと、秘密鍵メモリ８に保存されている第２の秘密鍵とを使用して、新たなハッシュ値６１ｉを生成する。

そして、制御処理部４はこの新たに生成されたハッシュ値６１ｉをデジタル画像５０の当該フィールド６２において先に生成されたハッシュ値６１ｈと置き換えて付与し、連続したデジタル画像６３として画像入出力端子１４から画像蓄積装置１１に蓄積保存する。

次に、図３（ｂ）を用いて、画像記録装置２０により画像蓄積装置１１に蓄積保存されたデジタル画像５０の改ざんの有無を判定する方法を説明する。

図１に示される指示入力部１３の操作により、ＣＰＵ６はプログラムメモリ７のソフトウェアを再生動作に切り替える。ＣＰＵ６は、画像蓄積装置１１に蓄積保存された所望のデジタル画像データを画像入出力端子１４から制御処理部４を通して圧縮伸長処理部９へ送り、ここで圧縮処理を元に戻し、ＮＴＳＣエンコーダ１０でデジタル画像信号をアナログ映像信号に変換してモニタ出力端子１５に再生映像を出力する。これによりモニタ装置１２で再生映像を視聴できる。

一方、制御処理部４では、記録時と同じ処理手順により、再生されたデジタル画像データ６３から１フィールド単位のハッシュ値を生成する。

このハッシュ値を生成するにあたり、ＣＰＵ６は、記録時に用いた秘密鍵と同じ第１の秘密鍵を使用し、この第１の秘密鍵を制御処理部４に送る。制御処理部４では再生デジタル画像データ６３のデジタル画像５０の全画素に対して、この第１の秘密鍵を基に１フィールド毎のハッシュ値７１ａ〜７１ｈを生成する。

次に、ＣＰＵ６は、予めプログラムメモリ７に指示入力部１３により設定され保存されているフィールド数（Ｎ）と、秘密鍵メモリ８に保存されている記録時に使用した第２の秘密鍵を選び出し制御処理部４に送る。

一方、制御処理部４では、再生デジタル画像６３の当該フィールド６２及びこのフィールドより以前のＮフィールドに渡ってのハッシュ値７１ａ〜７１ｈを画像メモリ５より呼び出す。ここで、この呼び出されたハッシュ値７１ａ〜７１ｈを、記録時に用いた秘密鍵と同じ第２の秘密鍵を使用して、更にハッシュ値６５を生成する。

次に、制御処理部４は、各々生成されたハッシュ値と再生デジタル画像６３に付与されているハッシュ値を比較する。つまり、第１の秘密鍵により生成されたハッシュ値７１ａ〜７１ｇと再生デジタル画像６３に付与されているハッシュ値６１ａ〜６１ｇ、並びに、第２の秘密鍵で生成されたハッシュ値６５と再生デジタル画像６３の当該フィールド６２に付与されているハッシュ値６１ｉをそれぞれ比較する。

この比較結果により、ハッシュ値７１ａ〜７１ｇとハッシュ値６１ａ〜６１ｇ、並びに、ハッシュ値６５とハッシュ値６１ｉのすべてが一致していると判断した場合、再生デジタル画像６３が改ざんされて無いと判断する。一方、１個のハッシュ値でも一致しないと判断した場合には、デジタル画像５０が改ざんされていると判定する。この結果、ＣＰＵ６は改ざんされていると判定した時、再生映像と共に改ざん有りをモニタ装置１２に表示する。

実施の形態２ではハッシュ値生成の際、第１の秘密鍵でフィールド単位でのハッシュ値を生成し、更に、当該フィールド並びに以前のＮフィールドに渡って生成された（Ｎ＋１）個のハッシュ値を第２の秘密鍵で再度ハッシュ値を生成し、Ｎフィールドに渡ってはフィールド単位でのハッシュ値を、当該フィールドには再度生成されたハッシュ値をデジタル画像にそれぞれ付与し、蓄積保存するようにしたため、セキュリティレベルをより高くすることができ、かつ、フィールド単位での改ざん検出、また、フィールドのブロック単位の改ざん検出に極めて有効な方法で、改ざん検証の精度の向上が図れる。

なお、実施の形態２の装置に実施の形態１の装置の機能をも持たせることにより、実施の形態２の動作と実施の形態１の動作を、切り替え可能に構成してもよい。

本発明の実施の形態１及び２に係る画像記録装置の構成を示すブロック図である。 本発明の実施の形態１に係る画像記録装置の動作を示す説明図であり、（ａ）は画像データにハッシュ値を付与して記録するときの処理動作を示し、（ｂ）は蓄積保存されている画像データの改ざんの有無を判定するときの処理動作を示す。 本発明の実施の形態２に係る画像記録装置の動作を示す説明図であり、（ａ）は画像データにハッシュ値を付与して記録するときの処理動作を示し、（ｂ）は蓄積保存されている画像データの改ざんの有無を判定するときの処理動作を示す。

符号の説明

１ 映像入力端子、 ２ ＮＴＳＣデコーダ、 ３ 画像圧縮処理部、 ４ 制御処理部、 ５ 画像メモリ、 ６ ＣＰＵ（中央演算処理装置）、 ７ プログラムメモリ、 ８ 秘密鍵メモリ、 ９ 画像伸長処理部、 １０ ＮＴＳＣエンコーダ、 １１ 画像蓄積装置、 １２ モニタ装置、 １３ 指示入力部、 １４ 画像入出力端子、 １５ モニタ出力端子、 ２０ 画像記録装置、 ５０ 複数フィールドの画像データからなるブロック、 ５１ａ〜５１ｈ 画像記録時にフィールド毎に画像データに付与されたハッシュ値、 ６１ｉ 画像記録時に生成されたハッシュ値（第１のハッシュ値）、 ５２ Ｎ番目のフィールドのデジタル画像データ、 ５４ａ〜５４ｈ 改ざんの有無判定時に生成されたハッシュ値、 ６１ａ〜６１ｈ 画像記録時にフィールド毎に画像データに付与されたハッシュ値（第１のハッシュ値）、 ６１ｉ 画像記録時に画像データに付与されたハッシュ値（第２のハッシュ値）、 ６２ （Ｎ＋１）番目のフィールドの画像データ、 ６５ 改ざんの有無判定時に生成されたハッシュ値（第４のハッシュ値）、 ７１ａ〜７１ｈ 改ざんの有無判定時に生成されたハッシュ値（第３のハッシュ値）。

Claims (7)

1. 複数の秘密鍵が保存される秘密鍵メモリと、
   前記複数の秘密鍵の中から秘密鍵を選択する処理、画像蓄積手段に画像データを記録する処理、及び前記画像蓄積手段に蓄積されている画像データの改ざんの有無を判定する処理を実行する制御手段とを有し、
   前記制御手段は、
   前記画像データの記録時に、
   前記画像データがＮフィールド（Ｎは正の整数）取得される毎に、前記複数の秘密鍵の中から秘密鍵を選択し、
   前記画像データと前記選択された秘密鍵とから、前記画像データのフィールド毎にハッシュ値を生成し、
   前記画像データのフィールド毎に生成された前記ハッシュ値のそれぞれを、対応するフィールドの前記画像データに付与して、前記画像蓄積手段に記録し、
   前記画像データの改ざんの有無判定時に、
   前記画像蓄積手段から前記画像データを読み出し、前記記録時と同じ処理手順により、前記画像蓄積手段から読み出された画像データと前記記録時に用いた秘密鍵と同じ秘密鍵とから、前記画像データのフィールド毎にハッシュ値を生成し、
   前記画像データの記録時に生成された前記ハッシュ値と改ざんの有無判定時に生成された前記ハッシュ値とを比較し、この比較結果に基づいて前記画像蓄積手段に蓄積されている画像データの改ざんの有無をフィールド毎に判定する
   ことを特徴とする画像記録装置。
2. 複数の秘密鍵が保存される秘密鍵メモリと、
   前記複数の秘密鍵の中から秘密鍵を選択する処理、画像蓄積手段に画像データを記録する処理、及び前記画像蓄積手段に記録されている画像データの改ざんの有無を判定する処理を実行する制御手段とを有し、
   順に取得される（Ｎ＋１）フィールド（Ｎは正の整数）の画像データを１ブロックとしたときに、
   前記制御手段は、
   前記画像データの記録時に、
   前記画像データが（Ｎ＋１）フィールド取得される毎に、前記複数の秘密鍵の中から秘密鍵を選択して第１の秘密鍵とし、
   前記画像データと前記第１の秘密鍵とから、前記画像データのフィールド毎に第１のハッシュ値を生成し、
   前記複数の秘密鍵の中から秘密鍵を選択して第２の秘密鍵とし、
   フィールド毎に生成された（Ｎ＋１）個の前記第１のハッシュ値と、前記第２の秘密鍵とから、第２のハッシュ値を生成し、
   １ブロック内の時間的に先のＮフィールドについて生成されたＮ個の前記第１のハッシュ値のそれぞれを、対応する１ブロック内の時間的に先のＮフィールドの前記画像データに付与し、
   前記第２のハッシュ値を、１ブロック内の時間的に最後のフィールドの前記画像データに付与し、
   前記第１のハッシュ値がそれぞれに付与された１ブロック内の時間的に先のＮフィールドの前記画像データと、前記第２のハッシュ値が付与された１ブロック内の時間的に最後のフィールドの前記画像データとを前記画像蓄積手段に記録し、
   前記画像データの改ざんの有無判定時に、
   前記記録時と同じ処理手順により、前記画像蓄積手段から読み出された画像データの１ブロックから前記記録時に用いた第１の秘密鍵を用いてフィールド毎に第３のハッシュ値を生成し、前記記録時に用いた前記第２の秘密鍵とフィールド毎に生成された（Ｎ＋１）個の前記第３のハッシュ値から第４のハッシュ値を生成し、前記第１のハッシュ値と前記第３のハッシュ値、前記第２のハッシュ値と前記第４のハッシュ値をそれぞれ比較し、これらの比較結果に基づいて前記画像蓄積手段に蓄積されている画像データの改ざんの有無をブロック毎に判定する
   ことを特徴とする画像記録装置。
3. 前記第１の秘密鍵と前記第２の秘密鍵とが異なることを特徴とする請求項２に記載の画像記録装置。
4. 前記Ｎの値を入力する指示入力手段をさらに有することを特徴とする請求項１から３までのいずれかに記載の画像記録装置。
5. 前記制御手段は、装置電源投入直後に所定のアルゴリズムに従った演算処理によって前記秘密鍵メモリに記憶される複数の秘密鍵を生成・保存し、装置電源切断によって前記秘密鍵メモリに記憶されている秘密鍵が消失することを特徴とする請求項１から４までのいずれかに記載の画像記録装置。
6. 前記画像蓄積手段が、当該画像記録装置の一部を構成する内蔵機器であることを特徴とする請求項１から５までのいずれかに記載の画像記録装置。
7. 前記画像蓄積手段が、当該画像記録装置とデータ伝送可能に接続された外部機器であることを特徴とする請求項１から５までのいずれかに記載の画像記録装置。

Images