JP2008124668A - コンテンツ編集装置及びコンテンツ検証装置 - Google Patents

Abstract

【課題】 原画像ンテンツが改竄されているか否かを検証すること、且つ、源コンテンツに施された全ての編集処理を特定し、尚且つ、編集されたコンテンツを保持することが可能になる。
【解決手段】 編集対象の電子コンテンツファイルを入力すると（８１）、そのファイルに含まれる第１の検証データを検証する（８２）。そして、コンテンツの編集（８３）が行われると、そのコンテンツに対する編集履歴情報を発生する。そして、編集が終了し、出力する際、第１の検証手段による検証結果、前記編集履歴、及び、編集後のコンテンツに基づいて第２の検証データを生成する（８４）。そして、編集後のコンテンツ、前記第１の検証手段の検証結果、及び、前記第２の検証データを結合して、編集後の電子コンテンツファイルとして出力する（８５、８６）。
【選択図】 図８

Description

本発明は画像データ等のコンテンツの改竄の検証技術に関するものである。

近年、従来の銀塩写真や８ｍｍフィルムに変わって、撮影した情報をデジタル化し、デジタルデータとして記録媒体等に記録するデジタルカメラといった映像入力装置が普及している。これにより、撮影した情報そのものをパーソナルコンピュータを始めとする情報処理装置に移し、表示させることが可能になった。このような画像データを通信回線を用いて通信することで世界中どこでも瞬時に送信することも可能になった。この情報の利便性や転送の容易性に着目し、事故処理で証拠写真を扱う保険会社、建築現場の進捗状況の記録を扱う建設会社では、デジタル画像データの利用が考えられている。

こうしたデジタル画像データには、以下に述べる３つの要求がある。

第１の要求は、デジタル画像データのオリジナル性の確認に関する要求である。デジタル画像データは、市販のフォトレタッチツール等のアプリケーションプログラムを用いて容易に改竄することができてしまうため、デジタルデータの信頼性は従来の銀円写真と比較して低く、証拠としての能力に乏しいという課題があるためである。よって、撮影されたデジタル画像データが改竄されたか否かを検証したいという要求が挙げられる。

第２の要求は、デジタル画像データに対する編集履歴の確認に関する要求である。デジタル画像に対しては、前述したような改竄はさせたくないが、ある程度の編集は許可したいという第１の要求とは相反する要求も持ち合わせている。この場合、デジタル画像データに対する編集処理自体は許可するが、どのような編集処理がなされているかを後で確認することが必要になる。

第３の要求は、編集したデジタル画像データの保持に関する要求である。画像データを保持する方法として、編集した画像データそのものではなく、原画像データを保持するようにする方式も提案されている。この方式では、原画像データに加え、施した編集に関する情報（画像処理パラメータ等）を付与して保持するようにしている。しかしながら、原画像データを保持する方法の場合、例えば編集として画像データの縮小処理を実行したとしても、データサイズそのものを小さくすることはできず、結果として画像データのハンドリングを損ないかねない。また、編集された画像データを閲覧する場合には、表示前に（付与されている）編集に関する情報に基づいて画像処理を実行する必要があり、必ずしも効率的ではない。よって、原画像データではなく、編集後の画像データそのものを保持したいという要求が挙げられる。

上記第１及び第２の要求を満たす方法として、特許文献１に開示されているような方法が提案されている。この文献によれば、原画像データに加え編集履歴情報を付加し、付加した編集履歴情報に電子署名を付与することにより、前記第１の要求及び第２の要求を満たすことが可能である。
特開２００４−１８０２７８号公報

しかしながら、特許文献１に記載の方式では、先に示した第３の要求を満たすことはできない。仮に第３の要求を満たすため、原画像データではなく編集画像データを保持するように変形したとしても、原画像データのオリジナル性を検証することができなくなってしまう。すなわち、今度は第１の要求を満たすことができなくなってしまう。

本発明は、かかる問題点に鑑みなされたものである。また、本発明は、オリジナルのコンテンツが改竄されているか否かを検証可能とし、且つ、コンテンツに施された全ての編集処理を特定可能とし、更には、編集後のコンテンツを保持可能とする技術を提供しようとするものである。

かかる課題を解決するため、本発明のコンテンツ編集装置は以下の構成を備える。すなわち、
検証対象のコンテンツを格納した電子コンテンツファイルを編集するコンテンツ編集装置であって、
前記電子コンテンツファイルに付随する第１の検証データを検証する第１の検証手段と、
前記電子コンテンツファイル中のコンテンツを編集する編集手段と、
前記編集手段による前記コンテンツに対する編集履歴情報を発生する編集履歴発生手段と、
前記第１の検証手段による検証結果情報、前記編集履歴情報、及び、編集後のコンテンツに基づいて第２の検証データを生成する第２の検証データ生成手段と、
前記編集手段による編集後のコンテンツ、前記第１の検証手段の検証結果情報、及び、前記第２の検証データを結合して、編集後の電子コンテンツファイルとして出力する出力手段とを備える。

また、上記コンテンツ編集装置より出力された電子コンテンツファイルを検証するコンテンツ検証装置は以下の構成を備える。すなわち、
検証対象の電子コンテンツファイルに含まれる第２の検証データを検証する第２の検証手段と、
前記コンテンツに付与されている前記第１の検証手段の検証結果情報が成功を示すか否かを判定する判定手段とを有する。

本発明によれば、オリジナルのコンテンツが改竄されているか否かを検証すること、且つ、オリジナルのコンテンツに施された全ての編集処理を特定し、尚且つ、編集されたコンテンツを保持することが可能になる。

以下、添付図面に従って本発明に係る実施形態を詳細に説明する。

［第１の実施形態］
＜システム全体構成の説明＞
まずはじめに、本実施形態におけるシステムの全体構成例を図１に示す。本実施形態におけるシステムは、画像入力装置１１、画像編集装置１２、及び画像検証装置１３から構成される。

図中、画像入力装置１１は、撮像部を備え、撮像することで画像データを生成し、出力する。また、画像入力装置１１は、生成された画像データに加え、当該画像データが改竄されているか否かを検証可能な第１の検証データを生成する。画像入力装置１１は、生成した画像データ及び第１の検証データを後段の画像編集装置１２に出力する。

画像編集装置１２は、前段の画像入力装置１１から出力された画像データに対し、種々の画像編集処理を実行し、編集された画像データを出力する。また、本実施形態における画像編集装置１２は、画像データの編集の前に、第１の検証データを用いて、入力された画像データが改竄されているか否かの検証処理も行なう。更に、画像編集装置１２は、画像データの編集後に、編集後の画像データ、検証結果、及び前記編集履歴が改竄されているか否かを検証可能な第２の検証データを生成し、編集画像データと共に画像検証装置１３へ出力する。

画像検証装置１３は、前段の画像編集装置１２から入力された画像データが改竄されているか否かを検証する。また、本実施形態においては、入力された画像データに加え、画像データの編集履歴に対する改竄の有無の検証も実行することにより、入力された画像データにどのような編集が施されたかを特定する。

上記の画像入力装置１１、画像編集装置１２、及び、画像検証装置１３はインターネットなどのネットワークによって接続することで実現する。ただし、各種データをリムーバブルメディアなどのコンピュータ読取り可能な記憶媒体に記録し、その記録媒体を介して各種データを交換するようにしても構わない。また、画像編集装置１２は、画像検証装置１３により、編集することを予め許容された装置であるものとする。

以上が、本実施形態におけるシステムの全体構成例である。以上の装置を用いたシステム全体の処理の流れの概略を図１６を用いて説明する。

図１６（Ａ）は本実施形態におけるシステム全体の処理とデータの流れを示す概略図である。図１６（Ｂ）は画像入力装置１１から画像編集装置１２へ流れる画像データの構造を示す図である。図１６（Ｃ）は画像編集装置１２から画像検証装置１３へ流れる画像データの構造を示す図である。

まず、撮影者はデジタルカメラ等の画像入力装置１１で画像データを撮影する。すると、画像入力装置１１内部のプロセッサは、撮影された画像データに対して第１の検証データを自動的に生成する。第１の検証データ生成は撮像した画像データを引数とするものであれば良い。画像入力装置１１は、生成した第１の検証データを、図１６（Ｂ）に示すように、撮影された画像データに付加し、１つのファイルとして出力する。出力先がメモリカード等の記憶媒体の場合には、その記憶媒体を画像編集装置１２が備えるカードリーダで読込ませれば良い。また、画像入力装置１１が、インターネットや公衆回線網と通信する通信部を備える場合には、その通信部を介して画像編集装置１２に送信しても構わない。

続いて、編集者は画像編集装置１２を利用して、画像入力装置１１より出力された画像データファイルに対し、所望の編集処理を実行することになる。

画像編集装置１２は、先ず、画像データが入力された際、自動的に（画像データに付与されている）第１の検証データを検証し、第１の検証結果を得る。

次いで、編集者の指示に基づき、所望の編集処理を画像データに対して実行する。その際、編集者が実行した編集処理に対応する編集履歴情報が画像編集装置内部で自動的に発生される。編集処理が完了し、画像編集装置１２から画像データを出力する際、画像編集装置１２は編集後の画像データ、第１の検証結果、及び、編集履歴情報を用いて第２の検証データを生成する。生成された第２の検証データは図１６（Ｃ）に示すように編集画像データに付加され、１つのファイルとして出力される。出力先がメモリカードやディスク等の記憶媒体の場合、この記憶媒体を画像検証装置１３が備える読取りドライブで読込ませれば良い。また、画像編集装置１２が、インターネットや公衆回線網と通信する通信部を備える場合には、その通信部を介して画像検証装置１３に送信しても構わない。

検証者は画像検証装置１３を利用して、画像編集装置１２から出力されたファイル中の編集画像データが改竄されているか否かを検証する。画像検証装置１３は検証結果が正しければ、編集画像データと共に当該編集画像データに付与されている編集履歴情報を画面に表示する。検証者は画面に表示された編集画像データ及び編集履歴情報を閲覧することにより、画像データに施された編集履歴を知ることができる。

さて、画像入力装置１１、画像編集装置１２、及び画像検証装置１３の内部構成及び処理を説明する前に、実施形態における画像編集装置１２、画像検証装置１３における画像編集処理の操作画面例（ウィンドウ）について図１７を用いて説明する。

図１７は、画像編集装置１２、画像検証装置１３上で動作する画像編集アプリケーションプログラムが実行された際のウインドウを示している。このアプリケーションプログラムは、ハードディスク装置等の外部記憶装置に記憶されており、実行時にＣＰＵがＲＡＭ上にロードし、実行することになる。画像編集装置１２は、通常のパーソナルコンピュータ等の汎用情報処理装置とするが、ＰＤＡ等でも構わない。

図１７のウィンドウ１７１は、その上部に、画像編集装置１２（又は画像検証装置１３）に対して種々のコマンドを指定するメニュー１７２を有する。メニュー１７２中の「ファイル」或いは「編集」メニューをマウス等のポインティングデバイスでクリックすることにより、夫々１７５、１７６に示すようなサブメニューが表示される。サブメニュー中の各コマンドをマウス等でクリックすることで、該当するコマンドが画像編集装置１２（或いは、画像検証装置１３）へ発行される。また、１７３は画像編集装置１２へ入力された画像データ、或いは編集中の画像データを閲覧するための画像ビューアである。更に、１７４は画像データに対して施された種々の編集処理の履歴を閲覧するための編集履歴ビューアである。編集履歴ビューアは、画像編集装置１２内部で画像編集処理を実行する度に編集履歴が時系列に追加される。或いは、画像検証装置１３内部で特定された編集履歴を表示するために利用される。

「ファイル」メニュー中の「開く」コマンドをクリックすることにより、画像データが入力される。画像編集装置１２の場合には、入力された画像データに第１の検証データが付与されている場合は、自動的に第１の検証データが検証され、検証結果が画像編集装置内部に保持される。第１の検証処理後、画像ビューア１７３に画像データが表示される。

続いて、「編集」メニュー中の種々のコマンドをクリックすることにより、利用者は所望の画像編集処理を実行する。実行した画像編集は、逐次編集履歴ビューア１７４に表示され、利用者は実行した画像編集履歴を確認することができる。

最終的に所望の画像編集が完了した後、「ファイル」メニュー中の「保存」コマンドをクリックすることにより、画像データが出力される。この際、編集後の画像データ、編集履歴、及び第１の検証結果を用いて第２の検証データが生成される。最終的に、これらのデータが一体化された画像データが記録される。

或いは、不図示の「検証」メニューや「検証データ生成」メニューを有するようにする。そして、操作者が、マウス等で「検証」メニュー、或いは「検証データ生成」メニューをクリックした際に、夫々第１の検証データの検証処理、或いは第２の検証データの生成処理を実行するようにしても良い。

尚、図１７に示したウィンドウは本発明に適応可能な一例を示すものであり、本発明はこれに限定されるものでないことは明らかである。

＜画像入力装置の基本構成＞
次に、図２を用いて、本実施形態に適応可能な画像入力装置１１について説明する。図２は実施形態における画像入力装置１１の基本構成を示す図である。図２に示すように本実施形態における画像入力装置２１は、ＲＯＭ２２、保管用メモリ２３、作業用メモリ２４、ＣＰＵ２５、操作部２６、光学系２７、駆動部２８、及びＩ／Ｆ２９から構成され、夫々はバス２１０で接続されている。

画像入力装置１１は、例えば一般に普及しているデジタルカメラであり、操作部２６を用いて撮影指示がなされた際、光学系２７により生成されたデジタル画像データを保管用メモリ２３（一般的には着脱自在なメモリカード）などへ蓄積することが可能である。

図中、ＲＯＭ２２は読み出し専用メモリであり、あらかじめ動作プログラムや検証データ生成に必要な共有情報が格納される。保管用メモリ２３は処理済の画像データを格納する。作業用メモリ２４では画像データが一時的に保管され、ここで該画像データの圧縮及び各種演算処理が行われる。

ＣＰＵ２５は操作部２６から撮影指示の入力を検出すると、ＲＯＭ２２にあらかじめ格納されているプログラムに従い、撮像処理、画像データの圧縮処理、第１の検証データ生成等の各種演算処理を行う。そして、ＣＰＵ２５は、圧縮画像データと第１の検証データを有するファイルを保管用メモリ２３に格納する。また、インタフェース２９が通信インタフェースを含むのであれば、ＣＰＵ２５は操作部２６からの指示に従い、保管用メモリ２３に格納された画像ファイルを、画像編集装置１２に転送する。転送するプロトコルの種類は問わない（電子メールとして送信しても良いし、ＦＴＰを用いても構わない）。

操作部２６は撮影者の撮影指示、及び種々のパラメータの設定をはじめとする各種の指示を受け付けるためのユーザインターフェイスである。

光学系２７は電荷結合素子ＣＣＤまたは光学センサーを含み、撮影指示がなされると被写体の撮影、電気信号処理、デジタル信号処理等を行う。

駆動部２８は撮影に必要な機械的な動作をＣＰＵ２５の制御のもとで行う。

Ｉ／Ｆ２９はメモリカード、携帯端末、通信装置といった外部装置とのインタフェースであり、画像データや検証データをこれらの機器へ送信する時に使用される。

＜ホストコンピュータの基本構成＞
次に、図３を用いて、本実施の形態に適応可能なホストコンピュータについて説明する。図３は本実施形態に係る画像編集装置１２、又は、画像検証装置１３の構成とその周辺機器との関係を示す図である。

図示の如く、画像編集装置１２、画像検証装置１３は共に、パーソナルコンピュータに代表されるホストコンピュータの基本構成を有するものとなっている。説明を簡単なものとするため、図３は画像編集装置１２のブロック図であるものとして説明する。ハードウェア構成は、画像検証装置１２、１３の違いはなく、画像編集に係るアプリケーションがインストールされているか、画像検証に係るアプリケーションがインストールされているかの違いである。

画像編集装置１２は、上記の通り、一般に普及しているパーソナルコンピュータであり、ＨＤ３６、ＣＤ３９、ＦＤ３１０、及びＤＶＤ３１１などに蓄積したり、或いは蓄積されている画像データ等をモニタ３２に表示したりすることが可能である。更に、ＮＩＣ３１２などを用いて、これらの画像データをインターネットなどを介して配布させることが可能である。また、ユーザからの各種指示等は、マウス３１４、及びキーボード３１５からの入力により行われる。画像編集装置１２の内部では、バス３１８により後述する各ブロックが接続され、種々のデータの受け渡しが可能である。

図中、３２は画像編集装置１２からの種々の情報を表示することの出来るモニタである。３３は画像編集装置１２内の各部の動作を制御、或いはＲＡＭ３５にロードされたプログラムを実行することのできるＣＰＵである。３４はＢＩＯＳやブートプログラムを記憶しているＲＯＭである。３５はＣＰＵ３３にて処理を行うために一時的にプログラムや処理対象の画像データを格納しておくＲＡＭであり、ここにＯＳやＣＰＵ２３が後述の各種処理を行うためのプログラムがロードされることになる。
３６はＲＡＭ等に転送されるＯＳや画像編集アプリケーションプログラム（画像検証装置の場合には画像検証アプリケーションプログラム）を格納したり、装置が動作中に画像データを格納したり、読出すために使用されるハードディスク(ＨＤ)である。

３７は原稿等を光学的に読み取り、デジタルデータに変換可能なスキャナであり、Ｉ／Ｆ３８を介して接続される。３９は、外部記憶媒体の一つであるＣＤ−ＲＯＭ(ＣＤ−Ｒ、ＣＤ−Ｒ／Ｗなど)に記憶されたデータを読み込み或いは書き出すことのできるＣＤ−ＲＯＭドライブである。３１０は、ＣＤ−ＲＯＭドライブ３９と同様にＦＤ（フロッピー（登録商標）ディスク）からの読み込み、ＦＤへの書き出しができるＦＤドライブである。３１１も、ＣＤ−ＲＯＭドライブ３９と同様にＤＶＤ−ＲＯＭからの読み込み、ＤＶＤ−ＲＡＭへの書き出しができるＤＶＤ−ＲＯＭ（ＤＶＤ−ＲＡＭ）ドライブである。

尚、ＣＤ−ＲＯＭ、ＦＤ、ＤＶＤ−ＲＯＭ等に画像処理用のプログラムが記憶されている場合には、これらプログラムをＨＤ３６にインストールし、必要に応じてＲＡＭ３５に転送されるようになっている。

３１３は、ＲＡＭ３５、ＨＤ３６、ＣＤ−ＲＯＭ３９、ＦＤ３１０、ＤＶＤ３１１などに記憶されている画像データを、インターネットなどのネットワークに接続するＮＩＣ３１２に画像編集装置１２を接続するためのＩ／Ｆである。画像編集装置１２は、Ｉ／Ｆ３１３を介してインターネットへデータを送信したり、インターネットからデータを受信したりする。

３１７は、画像編集装置１２にマウス３１４やキーボード３１５を接続するためのＩ／Ｆで、Ｉ／Ｆ３１７を介してマウス３１４やキーボード３１５から入力された各種の指示がＣＰＵ３３に入力される。

＜画像入力装置の構成＞
以下、図４を用いて本実施の形態に適用される画像入力装置１１を説明する。尚、以下の説明では、前述した画像入力装置１１に電源が投入され、ＯＳが作業用メモリ２４にロードされ、しかる後に、本実施形態で説明する処理を行うアプリケーションがＲＡＭ３０５にロードされている場合である。また、各処理部は、ＣＰＵ、及び、ＣＰＵが実行するプログラムによって実現するものである。

尚、本実施形態はこれに限定されることなく、前述したパーソナルコンピュータによって実行するようにしても良い。この場合、各処理部は、該当するプログラム及びそれを実行するＣＰＵ３３、場合によっては周辺のハードウェアでもって実現することになる。

図４に示すように、本実施形態における画像入力装置１１は、画像発生部４１、第１の検証データ生成部４２、結合部４３、及び画像出力部４４から構成される。

尚、ここで説明する画像入力処理はソフトウェア処理により実現されても良い。その場合には、上記各部は上記処理に必要な機能を概念的なものとして捉えたものと考慮されるべきものである。

図中、画像発生部４１は、光学系２７により、ＣＣＤ（電荷結合素子）などの光学センサー、及び光学系を制御するマイクロプロセッサなどを有し、光学系、及び光学センサーによって生成されたビデオ信号をイメージ情報として取得し、画像データを形成する。形成された画像データは、電気信号処理、デジタル信号処理等が施される。また、操作部２６の指示によりＪＰＥＧなどの画像圧縮処理を施すようにしても良い。発生した画像データは後段の第１の検証データ生成部４２、及び結合部４３へ出力する。

第１の検証データ生成部４２は、画像発生部４１から出力された画像データに基づき第１の検証データを生成し、その生成された第１の検証データが後段の結合部４３へ出力する。なお、この第１の検証データを生成する際に利用する画像データは、画像データファイルに格納される画像データと同じである。すなわち、画像入力装置がデジタルカメラとするなら、ＪＰＥＧ符号化処理後の画像データに基づき、第１の検証データを生成する。或いは、操作部２６でＪＰＥＧ符号化処理が指示されていない場合には、ＪＰＥＧ符号化処理を施していない画像データに基づき、第１の検証データを生成する。

本実施形態における第１の検証データとしては、ＭＡＣ（Ｍｅｓｓａｇｅ Ａｕｔｈｅｎｔｉｃａｔｉｏｎ Ｃｏｄｅ）や電子署名などが適用可能である。

ＭＡＣを採用する場合には、画像データと秘密情報を引数にしてＭＡＣ値を算出する。検証する場合には、検証する側で秘密情報と画像データからＭＡＣ値を求め、画像データに添付されたＭＡＣと比較するこことで行なう。

また、電子署名を採用する場合には、画像データをハッシュ関数等の一方向関数を用いてハッシュ値を求め、秘密鍵を使って署名データを生成する。検証する場合には、画像データから再びハッシュ値を算出する。そして、画像データに添付された署名データを公開鍵を用いてハッシュ値を生成し、両者を比較することで行なうことになる。なお、ＭＡＣ及び電子署名の生成方法については当業者にとって公知の技術であるので、これ以上の詳述については省略する。

さて、第１の検証データとしてＭＡＣを適用する場合には、ＭＡＣを生成するための秘密情報を、画像入力装置１１と後述する画像編集装置１２とで共有しておく必要がある。このため、予め画像入力装置１１内部のＲＯＭ２２、及び画像編集装置内部のＲＯＭ３４に共通の秘密情報を保持しておき、第１の検証データ生成部４２が必要に応じて当該秘密情報を利用するようにする。

或いは、ＩＣカード等の耐タンパーな装置内部に秘密情報を保持しておき、当該ＩＣカードを画像入力装置１１及び画像編集装置１２に、夫々Ｉ／Ｆ２９及びＩ／Ｆ３８等を介して接続するようにする。そして、第１の検証データ生成部４２がＩＣカード内部から秘密情報を取得して利用するようにしても良い。

或いは、画像入力装置１１の内部で新たに秘密情報を発生させ、発生した秘密情報を利用するようにしても良い。この場合、発生した秘密情報はＩＣカード等の耐タンパーな装置内部に保持したり、或いは暗号化を施した後、画像編集装置１２へ送信するようにすれば良い。

一方、第１の検証データとして電子署名を適用する場合には、電子署名を生成するための秘密鍵が画像入力装置１１の内部で必要となる。このため、予め画像入力装置１１内部のＲＯＭ２２に秘密鍵を保持しておき、第１の検証データ生成部４２が必要に応じて当該秘密鍵を利用するようにする。或いは、ＩＣカード等の耐タンパーな装置内部に秘密鍵を保持しておき、当該ＩＣカードを画像入力装置１１にＩ／Ｆ２９を介して接続するようにし、第１の検証データ生成部４２がＩＣカード内部から秘密鍵を取得して利用するようにしても良い。或いは、画像入力装置１１の内部で新たに秘密鍵を発生させ、発生した秘密鍵を利用するようにしても良い。また、何れの場合においても、第１の検証データ生成部４２が利用した秘密鍵に対応する公開鍵が、後述する画像編集装置１２の内部で必要となる。このため、後段の結合部４３において対応する公開鍵を画像データに付加して、画像編集装置１２へ送信するようにする。或いは、不図示のサーバ上に公開鍵を保持しておき、当該サーバ上の公開鍵の保持位置を示す情報（ＵＲＬなど）を画像データに記録するようにし、画像編集装置は当該情報を用いて公開鍵を必要に応じてサーバから取得するようにしても良い。

結合部４３は、前段の画像発生部４１から出力された画像データ、及び第１の検証データ生成部４２から出力された第１の検証データを入力し、これらのデータを結合させて１つのファイルとして出力する。

本実施形態では結合の方法として、図６に示すように画像データ６１の後ろに第１の検証データ６２を連結することを例として説明する。しかしながら本発明はこれに限定されることなく、Ｅｘｉｆなどでフォーマット化されている原画像データのヘッダ中に第１の検証データを記録するようにしても良い。

画像出力部４４は、前段の結合部４３から出力された画像データをリムーバブルメディア等の記憶媒体に記録したり、或いは、有線／無線のネットワークを介して所定のホストへ送信したりする。

本実施形態における画像入力装置１１の動作は上記の通りである。ここで、より明瞭なものとすため、図５に示すフローチャートに従って画像入力装置１１の撮像処理について説明する。同図はＣＰＵ２５が実行する処理手順をしめしている。

まず、画像発生部４１を用いて画像データを撮影する（ステップ５１）。次に、画像データと秘密情報（ＲＯＭ２２に格納されているものとする）に基づき、第１の検証データ生成部４２が第１の検証データを生成する（ステップ５２）。そして、結合部４３にて、画像発生部４１で撮影した画像データに第１の検証データ生成部４２で生成した第１の検証データを挿入する（ステップ５３）。最終的に、結合部４３で生成された画像データを、画像出力部４４から１つのファイルとして出力する（ステップ５４）。

以上、本実施形態における画像入力装置１１の撮影処理のフローについて説明した。

＜画像編集装置の構成＞
次に、図７を用いて本実施形態に適用される画像編集装置１２を説明する。尚、以下の説明では、画像編集装置１２に電源が投入され、ＯＳがＲＡＭ３５にロードされ、しかる後に、本実施形態で説明する処理を行う画像編集アプリケーションがＨＤ３６からＲＡＭ３５にロードされている場合である。従って、各処理部は、該当するプログラム及びそれを実行するＣＰＵ３３、場合によっては周辺のハードウェアでもって実現することになる。

図７に示すように、本実施形態における画像編集装置１２は、画像入力部７１、検証部７２、画像編集部７３、第２の検証データ生成部７４、結合部７５、及び画像出力部７６から構成される。

尚、ここで説明する画像編集装置１２の各処理部の機能はソフトウェア処理により実現するものとして説明するが、そのうちの幾つか、又は全部をハードウェアでもって実現しても構わない。

図中、画像入力部７１は、前述した画像入力装置１１で入力された画像データファイルを入力する。画像入力部７１は、図４における画像出力部４４から出力された画像データファイルを、リムーバブルメディア、及び／或いはネットワーク等を介して入力すると考えると理解し易い。

検証部７２は、入力された画像データファイル中の画像データと、それに付加されている第１の検証データを用いて、画像データが改竄されているか否かを検証する。すなわち、検証部７２は、本画像編集装置１２と画像入力装置１１の間で改竄があったか否かを検証する。検証部７２は、第１の検証結果を後段の検証データ生成部７４、及び結合部７５に出力する。

検証部７２で実行される第１の検証処理は、前述した第１の検証データ生成部４２に対応するものでなければならない。即ち、第１の検証データ生成部４２においてＭＡＣが生成された場合、検証部７２ではＭＡＣを用いて検証処理が実行される。一方、第１の検証データ生成部４３において電子署名が生成された場合、検証部７２では電子署名を用いて検証処理が実行される。尚、ＭＡＣ及び電子署名を用いた検証方法については当業者にとって公知の技術であるので説明は省略する。

ここで、本実施形態における第１の検証結果とは、「画像が改竄されていない」或いは「画像は改竄されている」ことを示す情報である。従って、第１の検証結果は、１ビットあれば十分である。検証部７２における検証結果は、ＲＡＭ３５或いはＨＤ３６等に一旦記録され、後段の第２の検証データ生成部７４、及び結合部７５が必要に応じて読み出すようにする。

画像編集部７３では、入力された画像データに対して、利用者がマウス３１４及びキーボード３１５などを用いることにより所望の画像編集を実行する。そして、１つの編集処理が実行される度に、その編集の種類を示す情報を編集履歴としてＲＡＭ３５等の記憶装置に蓄積していく。そして、操作者がマウス等を操作して、保存指示の入力を行なったことを検出したとき、蓄積された編集履歴情報と、編集後の画像データを後段の第２の検証データ生成部７４及び結合部７５へ出力する。

ここで本実施形態における画像編集とは、「輝度補正」、「色変換」、「切り取り」、「貼り付け」など種々の画像処理、或いはこれらの組み合わせである。また、画像編集を実行するたびに、実行した画像編集の履歴情報をＲＡＭ３５或いはＨＤ３６等に記録するようにする。

履歴情報として出力する情報の「精度」としては、実行された各画像処理を後で完全に再現可能な程度の詳細な画像処理パラメータを含むような「精度」であっても良い。また、単に実行された画像処理を特定するだけの簡単な情報を含むような「精度」であっても構わない。また、出力する履歴情報に関し、利用者が所望の「精度」を選択するようにし、選択された「精度」の履歴情報を出力するようにしても良い。

第２の検証データ生成部７４では、検証部７２から出力された第１の検証結果、画像編集部７３から出力された編集画像、及び編集履歴に対して第２の検証データを生成し、生成した第２の検証データを後段の結合部７５へ出力する。

ここで本実施の形態では、説明のため、前述した画像入力装置１１の内部で生成された検証データ（即ち、原画像データに対して付与された検証データ）を第１の検証データと呼び、画像編集装置１２の内部で生成された検証データ（即ち、編集画像データに対して付与された検証データ）を第２の検証データと呼ぶものとする。

第２の検証データ生成部７４にいて生成される第２の検証データは、ＭＡＣや電子署名などが適用可能である。

尚、第２の検証データ生成部７４において生成する検証データの種類と、前述した第１の検証データ生成部４２において生成する検証データの種類は必ずしも一致させる必要はない。即ち、第１の検証データとしてＭＡＣを生成し、第２の検証データとして電子署名を生成するようにしても良い。或いは、第１の検証データとして電子署名を生成し、第２の検証データとしてＭＡＣを生成するようにしても良い。

また、第１の検証データと第２の検証データとで同じ種類の検証データを生成する場合であっても、第１の検証データと第２の検証データの生成に用いる秘密情報（ＭＡＣの場合）や秘密鍵（電子署名の場合）は異なるデータを用いるようにしても良い。

また、第２の検証データ生成部７４においては、入力された「第１の検証結果」、「編集画像」、及び「編集履歴」をまとめて検証データの生成対象とすることが望ましい。このように処理することにより、「第１の検証結果」、「編集画像」、及び「編集履歴」の関連付けの完全性も保証することが可能となる。即ち、夫々の情報を互いに入れ替えるような改竄を防止することが可能となる。

或いは、「第１の検証結果」、「編集画像」、「編集履歴」の夫々に対して検証データを生成するようにしても良い。この場合は夫々「第１の検証結果」、「編集画像」、「編集履歴」の中に、互いのデータを識別する情報を付与した後、夫々の検証データを生成するようにすれば、関連付けの完全性も保証することが可能となる。

結合部７５では、検証部７２から出力された第１の検証結果、第２の検証データ生成部７４から出力された第２の検証データ、及び画像編集部７４から出力された編集画像、及び編集履歴情報が入力され、これらのデータを結合させて出力する。

本実施形態では結合の方法として、図９に示すように編集画像データ９１の後ろに第１の検証データ９２、第１の検証結果９３、編集履歴９４、第２の検証データ９５を連結することを例として説明する。しかしながら本発明はこれに限定されることなく、Ｅｘｉｆなどでフォーマット化されている編集画像データのヘッダ中に夫々のデータを記録するようにしても良い。

ここで、前述したように複数の画像編集処理を実行した場合、編集履歴９４としては、図示の符号９６に示すように、実行した夫々の編集履歴を特定可能なように夫々の編集履歴が連結されて記録される。尚、本発明はこれに限定されることなく、編集履歴情報をＸＭＬなどの言語を用いて記述するようにしても良い。

画像出力部７６は、前段の結合部７５から出力された画像データをリムーバブルメディア等の記憶媒体に記録したり、或いは、有線／無線のネットワークを介して所定のホストへ送信したりする。

以上、本実施形態における画像編集装置１２について説明した。ここで、より明瞭なものとすため、図８に示すフローチャートに従って画像編集装置１２の画像編集処理について説明する。同図はＣＰＵ３３が実行する画像編集アプリケーションプログラムの処理手順を示している。

まず、画像入力部７１を用いて画像データを入力する（ステップ８１）。次に、検証部７２を用いて、入力された画像データに付加されている第１の検証データを検証する（ステップ８２）。その後、画像編集部７３を用いて、入力された画像データに対して所望の画像編集処理を実行する（ステップ８３）。全ての編集が終了した場合（操作者による保存指示入力を検出した場合）、画像編集部７３で編集された画像データ、編集履歴、及び検証部７２における第１の検証結果に基づき、第２の検証データ生成部７４が第２の検証データを生成する（ステップ８４）。そして、結合部７５にて画像編集部７３で編集した画像データに、第１の検証結果、編集履歴、及び第２の検証データをを挿入する（ステップ８５）。そして、最終的に、結合部７５は、生成された画像データを、画像出力部７６から１つのファイルとして出力する（ステップ８６）。

尚、以上説明した編集処理を画像処理アプリケーション等で実行する場合、画像処理アプリケーションは、画像データをロードした際にステップ８１及び８２の処理を自動的に実行するようにする。且つ、もしくは、編集後の画像データをセーブする際にステップ８４、８５、及び８６の処理を自動的に実行するようにしても良い。このようにした場合、画像処理アプリケーションの利用者は特に第１の検証処理や第２の検証データ生成処理を意識することなく画像データの編集処理を実行することが可能となる。

以上、本実施形態における画像編集装置１２の画像編集処理のフローについて説明した。

＜画像検証処理部の構成＞
次に、本実施形態の画像検証装置１３の検証処理を説明する。装置構成は画像編集装置１２の構成（図３）と同様であるので、図３の参照番号を用いて説明する。

以下の説明は、画像検証装置１３に電源が投入され、ＯＳがＲＡＭ３５にロードされ、しかる後に、本実施形態で説明する処理を行うアプリケーションがＲＡＭ３５にロードされている場合の説明である。従って、各処理部は、該当するプログラム及びそれを実行するＣＰＵ３３、場合によっては周辺のハードウェアでもって実現することになる。

図１０に示すように、本実施形態における画像検証装置１３は、画像入力部１０１、検証部１０２、及び検証結果表示部１０３から構成される。

尚、ここで説明する画像検証装置１３の各処理部の機能はソフトウェア処理により実現するものとして説明するが、そのうちの幾つか、又は全部をハードウェアでもって実現しても構わない。

図中、画像入力部１０１は、前述した画像編集装置１２から出力された画像データを入力する。この画像入力部１０１は、図７における画像出力部７６から出力された画像データがリムーバブルメディア、及び／或いはネットワーク等を介して入力されると考えると理解し易い。

第２の検証部１０２は、入力された画像データを解析し、入力された画像データに含まれている編集画像データ、第１の検証結果、編集履歴、及び第２の検証データを用いて、第２の検証処理を実行する。すなわち、この第２の検証部１０２は、画像入力装置１１、画像編集装置１２、画像検証装置１３の過程で、画像データの改竄があったか否かを検証することになる。この第２の検証部１０２は、第２の検証結果、及び、検証対象となった第１の検証結果、及び編集履歴を後段の検証結果表示部１０３へ出力する。

ここで本実施の形態では、説明のため、前述した第１の検証データを用いた検証結果を第１の検証結果と呼び、第２の検証データを用いた検証結果を第２の検証結果と呼ぶものとする。

第２の検証部１０２で実行される第２の検証処理は、前述した第２の検証データ生成部７４に対応するものでなければならない。即ち、第２の検証データ生成部７４においてＭＡＣが生成された場合、第２の検証部１０２ではＭＡＣを用いて検証処理が実行される。一方、第２の検証データ生成部７４において電子署名が生成された場合、第２の検証部１０２では電子署名を用いて検証処理が実行される。

ここで、本実施形態における第２の検証結果とは、「編集履歴＆第１の検証結果が改竄されていない」或いは「少なくとも編集履歴と第１の検証結果のうちいずれか一方が改竄されている」ことを示す情報である。また、第２の検証データが付与されていない場合には「検証が不能」であることを示す情報を出力するようにしてもよい。

検証結果表示部１０３は、前段の第２の検証部１０２から出力された第１の検証結果、編集履歴、及び第２の検証結果が入力され、夫々の情報を用いて検証結果をモニタ３２などに表示する。

ここで第２の検証結果が「少なくとも編集履歴と第１の検証結果のうちいずれか一方が改竄されている」ことを示す情報である場合には、それを示すメッセージを表示して処理を終了する。一方、第２の検証結果が「編集履歴＆第１の検証結果が改竄されていない」ことを示す情報である場合には、図１４に示すように入力された第１の検証結果、及び編集履歴をモニタ３２に表示するようにする。

以上、本実施形態における画像検証処理部の構成について説明した。ここで、より明瞭なものとすため、図１１に示すフローチャートに従って画像検証装置１３の画像検証処理について説明する。同図はＣＰＵ３３が実行する画像検証アプリケーションプログラムの処理手順を示している。

まず、画像入力部１０１は、検証対象の画像データファイルを入力する（ステップ１１１）。次に、第２の検証部１０２は、入力された画像データに含まれている編集画像データ、第１の検証結果、編集履歴、及び第２の検証データに基づき、第２の検証処理を実行する（ステップ１１２）。そして、検証処理が成功したか否かを判定し（ステップ１１３）、成功した場合には処理をステップ１１４へ進め、失敗した場合には処理をステップ１１５へ進める。最終的に検証結果表示部１０３において、検証処理が成功した場合には図１４に示したような第１の検証結果及び編集履歴を表示する。一方、検証処理が失敗した場合には「検証処理が失敗した」メッセージを表示する。

以上、本実施形態における検証処理のフローについて説明した。

以上説明した画像検証処理によると、検証者は画面に表示されたメッセージが、検証失敗であった場合には、画像入力装置１１から画像検証装置１３までの間で、第３者による画像の改竄があったことを知ることができる。また、図１４に示したような第１の検証結果及び編集履歴が表示され、且つ、第１の検証結果が「改竄無し」を示す場合、少なくとも、画像入力装置１１から画像検証装置１３までの間で、画像データに対する編集処理は、画像編集装置１２のみであることがわかる。しかも、画像編集装置１２での編集履歴も表示されるので、画像データのオリジナリティに関して変更するような画像編集を行なったのか否かも容易に把握可能になる。例えば、新聞に掲載するための事件現場の画像を画像入力装置１１で入力したとする。新聞にモノクロ画像として載せる場合、画像編集装置１２ではカラー画像をモノクロ化を行なう編集が必要となる。本実施形態によると、検証装置１３の操作者は、図１４の表示結果を見て、画像編集装置１２の編集内容は許容できる編集か否かを判定することが可能になる。

＜検証処理のフローの変形例＞
前述した画像検証装置１３における検証処理では、第２の検証処理部１０２での検証処理が成功した場合、すなわち、画像編集装置１２以外での画像の改竄がない場合、最終的に図１４に示すような第１の検証結果、及び編集履歴を表示するようにしていた。しかしながら本発明はこれに限定されることなく、第２の検証処理部１０２の内部で第１の検証結果の内容を踏まえ、検証結果表示部１０３での表示結果を制御するようにしても良い。以降では、この場合の検証処理のフローの変形例を説明する。

以下、図１２を用いて本実施形態における画像検証装置１３で実行される他の検証処理のフローを説明する。

まず、画像入力部１０１は、検証対象の画像データファイルを入力する（ステップ１２１）。次に、第２の検証部１０２は、入力された画像データファイルに含まれている編集画像データ、第１の検証結果、編集履歴、及び第２の検証データを用いて、第２の検証処理を実行（ステップ１２２）し、検証処理が成功したか否かを判定する（ステップＳ１２３）。すなわち、ステップ１２２、１２３では、本画像検証装置１３と画像編集装置１２の間で画像データの改竄があったか否かを判断すると言えば分かりやすい。

ステップ１２３にて、検証が成功した場合には、処理はステップ１２４に進み、検証が失敗した場合にはステップ１２７に進む。

ステップ１２４では、入力された画像データファイルに含まれている第１の検証結果情報を抽出する。そして、ステップ１２５にて、第１の検証結果が成功していたか否かを、抽出した第１の検証結果情報に基づいて判定する。第１の検証結果が成功であったことを示している場合には、処理はステップ１２６に進む。また、第１の検証結果が失敗していたことを示している場合、すなわち、画像入力装置１１と画像編集装置１２の間で画像データの改竄があった場合には、ステップ１２７に処理を進める。

ステップ１２６に進んだ場合、すなわち、２つの検証処理のいずれも成功した場合には、図１５に示すような編集履歴を表示する。

一方、検証処理が失敗した場合（ステップ１２３、１２５の何れか一方がＮｏの場合）には「検証処理が失敗した」メッセージを表示する。

なお、ステップ１２５でＮｏと判断された場合、画像データの改竄があったのは、画像入力装置１１と画像編集装置１２の間であり、画像編集装置１２と画像検証装置１３の間ではない。従って、ステップ１２５がＮｏと判断された場合、ステップ１２７では、画像入力装置１１と画像編集装置１２間で改竄があった旨のメッセージを報知するようにしても良い。例えば、図１４に示すように、第１の検証結果が「不成功」、又は、「画像編集以前に改竄あり」と表示しであり、編集履歴を表示するようにしても構わない。

以上、本実施形態における検証処理のフローの変形例について説明した。以上説明したように画像入力処理、画像編集処理、及び画像検証処理を実行することによって、原画像データ、編集画像データ、及び編集履歴が改竄されているか否かを検証することが可能となる。

［第２の実施形態］
上記実施形態（第１の実施形態）では、画像入力装置１１で撮影された画像データが画像編集装置１２へ供給され、画像編集装置１２で画像データに編集処理が施され、編集処理が施された画像データが画像検証装置１３へ供給されるものとした。

しかしながら、本発明はこれに限定されることなく、画像編集装置１２から出力された画像データを再び画像編集装置１２へ入力するようにし、繰り返し画像編集処理を実行することも可能である。そこで第２の実施形態では、画像編集装置１２において繰り返し画像編集処理を実行する方式について説明する。

尚、本実施形態において画像入力装置１１の構成及び処理の流れは第１の実施形態と同様であるので説明を省略する。また、画像編集装置１２及び画像検証装置１３の構成も第１の実施形態と同様であるので説明を省略する。以降では、第１の実施形態とは異なる画像編集装置１２における画像編集処理、及び画像検証装置１３における画像検証処理について説明する。

＜編集処理のフロー＞
以下、図１８を用いて本実施形態における画像編集処理部で実行される編集処理のフローを説明する。図１８は本実施形態に適用可能な編集処理を示すフローチャートである。

まず、画像入力部７１はユーザがマウスを操作して選択した画像データファイルを入力する（ステップ１８１）。次に、検証部７２は、入力された画像データファイルの最後に第１の検証データが付加されているか、或いは第２の検証データが付加されているかを判定する（ステップ１８２）。画像データファイルの最後に第１の検証データが付加されている場合には処理をステップ１８３へ進め、第２の検証データが付加されている場合には処理をステップ１８４へ進める。

ステップ１８３では第１の検証データに対する第１の検証処理を実行する。また、ステップ１８４では、第２の検証データに対する第２の検証処理を実行する。即ち、本実施形態では、検証部７２は、入力された画像データに応じて、第１の検証データを検証する第１の検証処理部としても、第２の検証データを検証する第２の検証処理部としても機能することになる。

その後、画像編集部７３を用いて、操作者の指示に従って、入力された画像データに対して所望の画像編集処理を実行する（ステップ１８５）。全ての編集が終了した場合、すなわち、編集画像の保存指示入力を検出した場合、画像編集部７３で編集された画像データ、編集履歴、及び検証部７２における第１或いは第２の検証結果に対して、検証データ生成部７４を用いて第２の検証データを生成する（ステップ１８６）。そして、結合部７５は、画像編集部７３で編集した画像データに、第１或いは第２の検証結果、編集履歴、及び第２の検証データを挿入する（ステップ１８７）。最終的に、結合部７５は、生成された画像データを、画像出力部７６から１つのファイルとして出力する（ステップ１８８）。

ここで、本第２の実施形態において画像出力部７６から出力される画像データの構造について説明する。図１３は本実施形態における画像編集装置１２を用いて、２回の画像編集処理を実行した後の画像データの例を示している。図１３に示すように、１回目の画像編集処理において編集画像データ１３１、第１の検証データ１３２、第１の検証結果１３３、編集履歴１３４、及び第２の検証データ１３５を含む画像データが出力される。その後、２回目の画像編集処理において、前段の１３１から１３５のデータに加え、第２の検証結果１３６、編集履歴１３７、及び第２の検証データ１３８を含む画像データが出力されることになる。付加される検証結果、編集履歴、検証データを１セットとし、図示の順番に追加されていく。

尚、ステップ１８４における第２の検証処理は、入力された画像データ中の最後に付加されている第２の検証データ（図中、１３８）を用いて実行するようにすべきことに注意されたい。これは、最終的な編集結果である編集画像データ１３１を用いて生成されたのは、画像データ中の最後に付加されている第２の検証データであるからである。それ以外の第１及び第２の検証データ（図中、１３２や１３５）を検証するために必要な原画像データ（第１の検証データの場合）、及び編集途中の編集画像データ（第２の検証データの場合）は入力された画像データ中には含まれていないため、これらの検証データを用いた検証処理を実行することはできない。このことから、図１３に示す画像データにおいて第１の検証データ１３２及び第２の検証データ１３５は後段の画像検証処理では必要とされないデータであると言えるので、必ずしも画像データに含める必要はない。

以上、本第２の実施形態における編集処理のフローについて説明した。

＜検証処理のフロー＞
次に、本第２の実施形態における画像検証装置１３における検証処理を、図１９のフローチャートに従って説明する。

まず、画像入力部１０１は、操作者の指示に従い、検証対象の画像データフィルを入力する（ステップ１９１）。次に、第２の検証部１０２は、入力された画像データに含まれている編集画像データ、第１の検証結果、編集履歴、及び第２の検証データを用いて、第２の検証処理を実行（ステップ１９２）し、検証処理が成功したか否かを判定する（ステップ１９３）。検証が成功した場合にはステップ１９４、失敗した場合には処理をステップ１９５に進める。尚、前述したように、ステップ１９２で利用する第２の検証データは、画像データ中の最後に付加されている第２の検証データであることに注意されたい。

ステップ１９４では、入力された画像データに含まれている第１の検証結果、或いは第２の検証結果を抽出し、第１或いは第２の検証結果が成功していたか否かを判定する（ステップ１９６）。第１或いは第２の検証結果が成功であった場合には処理をステップ１９７へ進め、失敗していた場合には処理をステップ１９５へ進める。そして、全ての検証結果を確認したか確認する（ステップ１９７）。全ての検証結果を確認した場合には処理をステップ１９８へ進め、未確認の検証結果があればステップ１９９へ処理を進める。

ステップ１９９では、次の第２の検証結果を特定し、処理をステップ１９４に進める。

上記のようにして、全ての検証処理が成功した場合（ステップ１９７がＹの場合）には編集履歴を表示する（ステップ１９８）。一方、検証処理が失敗した場合（ステップ１９３かステップ１９６のうちひとつでもがＮの場合）には「検証処理が失敗した」メッセージを表示（報知）する（ステップ１９５）。なお、どの段階で検証失敗したか、すなわち、どの段階で改竄があったかについても表示しても構わない。

以上、本第２の実施形態における検証処理のフローについて説明した。即ち、第２の実施形態においては、画像データに複数の第２の検証データが付加されている場合、最後に付加されている第２の検証データを用いて第２の検証処理を実行する。そして、第２の検証処理が成功した場合には、付加されている第１或いは第２の検証結果の内容を、検証した逆の順序（即ち、画像データの後ろから順に）確認するようにし、最終的な検証結果を得るようにする。

以上説明したように本第２の実施形態によると、画像編集処理及び画像検証処理を行うことによって、画像編集処理を繰り返し実行した場合でも、画像入力装置１２で実行した全ての編集履歴を画像検証装置１３で確認することが可能となる。

［第３の実施形態］
上記第１の実施形態及び第２の実施形態では、画像検証装置１３で検証が成功した際、最終的にモニタ３２に表示されるのは図１４或いは図１５に示すような編集履歴情報であった。つまり、画像検証装置１３は、少なくとも、画像入力装置１１、画像編集装置１２以外での画像データに対する改竄があったか否かを検査することができる。しかしその反面、画像検証装置１３は、予め容認された画像編集装置１２での編集結果の画像データが、オリジナル画像データに対して許容できる編集範囲にあるか否かを判断するための情報を検証者に提示すると言える。

そこで、本第３の実施形態では、画像検証装置１３は検証対象の画像データに対して所定の画像編集が施されているか否かを判定し、モニタ３２にはその判定結果を表示するようにする。

尚、本第３の実施形態において画像入力装置１１及び画像編集装置１２の構成及び処理内容は第１、第２の実施形態と同様であるので説明を省略する。また、画像検証装置１３の構成も第１の実施形態と同様であるので説明を省略する。従って、以降では、第１の実施形態及び第２の実施形態とは異なる画像検証装置１３における画像検証処理について説明する。

＜検証処理のフロー＞
以下、図２０を用いて本実施形態における画像検証処理部で実行される検証処理のフローを説明する。

まず、画像入力部１０１は、ユーザがマウス操作で指定した、検証対象の画像データファイルを入力する（ステップ２０１）。次に、第２の検証部１０２は、入力された画像データに含まれている編集画像データ、第１の検証結果、編集履歴、及び第２の検証データを用いて、第２の検証処理を実行（ステップ２０２）し、検証処理が成功したか否かを判定する（ステップ２０３）。検証成功した場合には処理をステップ２０４に、失敗した場合にはステップ２０５に処理を進める。

ステップ２０４では、入力された画像データに含まれている第１の検証結果、或いは第２の検証結果を抽出する。そして、ステップ２０６にて、第１或いは第２の検証結果が成功していたか否かを判定する。第１或いは第２の検証結果が成功であった場合には処理をステップ２０７に進め、失敗していた場合には処理をステップ２０５へ進める。そして、全ての検証結果を確認したか否かを確認する（ステップ２０７）。全ての検証結果を確認した場合には処理をステップ２０８へ進む。また、未確認の検証結果があると判断した場合にはステップ２０９へ進める。ステップ２０９では、次の第２の検証結果を特定し、処理をステップ２０４に戻す。

最終的に検証結果表示部１０３において、全ての検証処理が成功した場合（ステップ２０７がＹ）には画像データに付与されていた編集履歴の中に所定の編集履歴が含まれているか否かを確認する（ステップ２０８）。そして、確認した結果をモニタ３２などに表示する。一方、検証処理が失敗した場合（ステップ１９３か１９４のうちひとつでもがＮの場合）には「検証処理が失敗した」メッセージを表示する。

ここで、所定の編集履歴は、予め利用者が確認したい編集履歴を入力することにより画像検証装置１３の内部に保持しておき、ステップＳ２０８が必要に応じて利用するようにすればよい。例えば、検証者は、「張り付け」を禁止編集項目として設定したとする（禁止編集項目はＨＤに予め設定されたファイル名で格納していくものとする）。そして、注目画像の編集履歴を表示する際、画像の編集履歴中に「張り付け」があった場合、「張り付け」を他の編集項目とは異なる形態（例えば他の編集項目の色とは異なる色）で表示することで、検証者に報知する。

以上、本第３の実施形態における検証処理のフローについて説明した。

以上説明したように画像検証処理を行うことによって、画像検証装置１３に入力された画像データに所定の画像編集が施されているか否かを確認することが可能となる。例えば、所定の画像編集処理を画像編集者に許可していない状況において、前記許可していない画像編集処理を禁止編集項目として入力しておくことにより、当該画像編集処理が画像データに施されていないかどうかを確認することが可能である。

なお、上記例では、不許可の編集項目を設定するとしてが、許可する編集項目を設定しても構わない。要するに、許可、不許可の編集項目が判別可能になっていれば良いからである。

［第４の実施形態］
上記第１の実施形態では、画像編集装置１２での第１の検証処理の結果に関係なく、第２の検証データを生成するようにしていた。

しかしながら、本発明はこれに限定されることなく、第１の検証処理が成功した場合だけ、第２の検証データを生成するようにすることも可能である。そこで第４の実施形態では、画像編集装置内での第１の検証処理が成功した場合にだけ第２の検証データを生成する例を説明する。

尚、本実施形態において画像入力装置１１及び画像検証装置１３の構成及び処理の流れは第１の実施形態と同様であるので説明を省略する。また、画像編集装置１２の構成も第１の実施形態と同様であるので説明を省略する。従って以降では、第１の実施形態とは異なる画像編集装置１２における画像編集処理について説明する。

＜編集処理のフロー＞
以下、本第４の実施形態における画像編集装置１２で実行される編集処理を図２１のフローチャートに従って説明する。

まず、画像入力部７１は、編集者がマウス等で選択した画像データファイルを入力する（ステップ２１１）。次に、検証部７２は、入力された画像データに付加されている第１の検証データを検証する（ステップ２１２）。その後、画像編集部７３を用いて、入力された画像データに対して、編集者の指示に応じた所望の画像編集処理を実行する（ステップ２１３）。編集者より保存指示が入力されたことを検出すると、処理はステップ２１４にて、先のステップ２１２での第１の検証処理が成功していたか否かを判断する。第１の検証処理が成功している場合には処理をステップ２１５に進め、失敗している場合には処理をステップ２１７に進める。

ステップ２１５に処理が進んだ場合、第２の検証データ生成部７４は、編集された画像データ、編集履歴、及び検証部７２における第１の検証結果に基づき第２の検証データを生成する。そして、結合部７５は、画像編集部７３で編集された画像データに、第１の検証結果、編集履歴、及び第２の検証データを挿入する（ステップ２１６）。最終的に、結合部７５で生成された画像データを、画像出力部７６から１つのファイルとして出力する（ステップ２１７）。

尚、以上説明した編集処理を画像処理アプリケーション等で実行する場合、画像処理アプリケーションで（編集後の）画像データをセーブする際にステップ２１４の判定処理を実行するものとした。ただし、画像処理アプリケーションに「検証データ生成」メニューを有するようにしている場合、通常は「検証データ生成」メニューを選択不可能な状態にしておき、ステップＳ２１４によって第１の検証処理が成功したと判断した場合だけ、前記「検証データ生成」メニューを選択可能とするようにしても良い。

以上、本第４の実施形態における編集処理のフローについて説明した。

以上説明したように本第４の実施形態に従えば、画像編集装置が第１の検証処理が成功した場合にだけ第２の検証データを生成することが可能となる。この場合、第１の検証処理が失敗した場合（例えば、画像入力装置１１と画像編集装置１２の間で改竄が行われた場合）、画像編集装置１２から出力される画像データに第２の検証データは付加されないことになる。

本発明に係る実施形態は上記の通りである。実施形態では、検証対象のコンテンツが画像入力装置１１による画像データとした。しかしながら、検証対象は、画像データに限らず、デジタル情報であればその種類は問わない。例えば、文書編集装置で作成した文書データを検証対象のコンテンツとしても構わない。

以上本発明に係る各実施形態を説明した。また、検証対象情報であるコンテンツを生成する装置（画像入力装置に対応する）、コンテンツを編集する装置（画像編集装置に対応する）、及び、コンテンツの検証を行なう装置（画像検証装置に対応する）は、それぞれコンピュータプログラムを実行することで、その機能を実現できることは明らかである。従って、本発明がコンピュータプログラムをその範疇することは明らかである。通常、コンピュータプログラムは、ＣＤ−ＲＯＭ等のコンピュータ可読記憶媒体に格納されていて、その媒体をコンピュータが備える媒体アクセス装置（ＣＤ−ＲＯＭドライブ等）にセットし、システムにコピーもしくはインストールすることで実行可能になる。従って、かかるコンピュータプログラムも本発明の範疇に入ることも明らかである。

実施形態におけるシステムの全体構成を説明する図である。 実施形態における画像入力装置の構成を示す図である。 実施形態におけるホストコンピュータの構成を示す図である。 実施形態における画像入力装置の構成を示すブロック図である。 実施形態における撮影処理の流れを示すフローチャートである。 実施形態における原画像データの構成を示す図である。 実施形態における画像編集装置の構成を示すブロック図である。 実施形態における編集処理の流れを示すフローチャートである。 実施形態における編集画像データの構成を示す図である。 実施形態における画像検証装置の構成を示すブロック図である。 第１の実施形態における検証処理の流れを示すフローチャートである。 第１の実施形態の検証処理の他の例を示すフローチャートである。 実施形態における編集画像データの構成を示す図である。 実施形態における検証結果の表示例を示す図である。 実施形態における検証結果の表示例を示す図である。 実施形態におけるシステム全体の処理の流れを説明する図である。 実施形態におけるウィンドウの構成例を示す図である。 第２の実施形態における編集処理の流れを示すフローチャートである。 第２の実施形態における検証処理の流れを示すフローチャートである。 第３の実施形態における検証処理の流れを示すフローチャートである。 第４の実施形態における編集処理の流れを示すフローチャートである。

Claims (15)

1. 検証対象のコンテンツを格納した電子コンテンツファイルを編集するコンテンツ編集装置であって、
   前記電子コンテンツファイルに付随する第１の検証データを検証する第１の検証手段と、
   前記電子コンテンツファイル中のコンテンツを編集する編集手段と、
   前記編集手段による前記コンテンツに対する編集履歴情報を発生する編集履歴発生手段と、
   前記第１の検証手段による検証結果情報、前記編集履歴情報、及び、編集後のコンテンツに基づいて第２の検証データを生成する第２の検証データ生成手段と、
   前記編集手段による編集後のコンテンツ、前記第１の検証手段の検証結果情報、及び、前記第２の検証データを結合して、編集後の電子コンテンツファイルとして出力する出力手段と
   を備えることを特徴とするコンテンツ編集装置。
2. 前記コンテンツは、画像入力装置で生成された画像データであることを特徴とする請求項１に記載のコンテンツ編集装置。
3. 前記第１の検証データは、他の情報処理装置が付加した第２の検証データであることを特徴とする請求項１に記載のコンテンツ編集装置。
4. 前記第１の検証データ及び／或いは第２の検証データは電子署名であることを特徴とする請求項１に記載のコンテンツ編集装置。
5. 前記第２の検証データ及び／或いは第２の検証データはＭＡＣ（Ｍｅｓｓａｇｅ Ａｕｔｈｅｎｔｉｃａｔｉｏｎ Ｃｏｄｅ）であることを特徴とする請求項１に記載のコンテンツ編集装置。
6. 前記第１の検証手段は、編集対象となった電子コンテンツファイル内に既編集経歴の第２の検証データが含まれる場合、当該第２の検証データを前記第１の検証データとして検証し、
   前記出力手段は、編集後の電子コンテンツファイルを出力する際に、編集前の電子コンテンツファイルに含まれていた第２の検証データに、前記第２の検証データ手段で生成した第２の検証データを付加して出力することを特徴とする請求項１乃至５のいずれか１項に記載のコンテンツ編集装置。
7. 検証対象のコンテンツを格納した電子コンテンツファイルを編集するコンテンツ編集装置の制御方法であって、
   第１の検証手段が、前記電子コンテンツファイルに付随する第１の検証データを検証する第１の検証工程と、
   編集手段が、前記電子コンテンツファイル中のコンテンツを編集する編集工程と、
   編集履歴発生手段が、前記編集工程による前記コンテンツに対する編集履歴情報を発生する編集履歴発生工程と、
   第２の検証データ生成手段が、前記第１の検証工程による検証結果情報、前記編集履歴情報、及び、編集後のコンテンツに基づいて第２の検証データを生成する第２の検証データ生成工程と、
   出力手段が、前記編集工程による編集後のコンテンツ、前記第１の検証工程の検証結果情報、及び、前記第２の検証データを結合して、編集後の電子コンテンツファイルとして出力する出力工程と
   を備えることを特徴とするコンテンツ編集装置の制御方法。
8. コンピュータが読込み実行することで、請求項１乃至６のいずれか１項に記載の各手段として機能させるコンピュータプログラム。
9. 請求項８に記載のコンピュータプログラムを格納したことを特徴とするコンピュータ可読記憶媒体。
10. 請求項１乃至６のいずれか１項に記載のコンテンツ編集装置で編集された電子コンテンツファイルを検証するコンテンツ検証装置であって、
    検証対象の電子コンテンツファイルに含まれる第２の検証データを検証する第２の検証手段と、
    前記コンテンツに付与されている前記第１の検証手段の検証結果情報が成功を示すか否かを判定する判定手段と
    を有することを特徴とするコンテンツ検証装置。
11. 前記第２の検証手段による検証結果、及び、前記判定手段による判定結果に応じて、前記コンテンツに付与されている編集履歴の表示を制御する制御手段を更に備えることを特徴とする請求項１０に記載のコンテンツ検証装置。
12. 前記制御手段は、第２の検証データの全ての検証が成功し、前記第１の検証結果が成功を示す場合に、編集履歴を表示することを特徴とする請求項１０又は１１に記載のコンテンツ検証装置。
13. 請求項１乃至６のいずれか１項に記載のコンテンツ編集装置で編集された電子コンテンツファイルを検証するコンテンツ検証装置の制御方法であって、
    第２の検証手段が、検証対象の電子コンテンツファイルに含まれる第２の検証データを検証する第２の検証工程と、
    判定手段が、前記コンテンツに付与されている第１の検証手段による検証結果情報が成功を示すか否かを判定する判定工程と
    とを有することを特徴とするコンテンツ検証装置の制御方法。
14. コンピュータが読込み実行することで、請求項１乃至６のいずれか１項に記載のコンテンツ編集装置で編集された電子コンテンツファイルを検証するコンテンツ検証装置として、コンピュータに機能させるコンピュータプログラムであって、
    検証対象の電子コンテンツファイルに含まれる第２の検証データを検証する第２の検証手段と、
    前記コンテンツに付与されている第１の検証手段による検証結果情報が成功を示すか否かを判定する判定手段
    として機能することを特徴とするコンピュータプログラム。
15. 請求項１４に記載のコンピュータプログラムを格納したことを特徴とするコンピュータ可読記憶媒体。

Images