JP2009284061A - 信号処理装置、検証システム、信号処理プログラム、検証プログラム、および、信号処理方法 - Google Patents

Abstract

【課題】入力信号から処理結果を生成するシステムに於いて、処理結果の情報量が少ない場合にこの真正性の検証可能性を増大する。
【解決手段】信号処理装置は、入力信号から処理結果を生成し、処理結果と乱数を含む第１の複合データから第１の複合データの真正性検証データ（第１の署名）を生成し、第１の複合データと第１の署名を出力する。
【選択図】図１

Description

本発明は、信号処理装置、検証システム、信号処理プログラム、検証プログラム、および、信号処理方法に関する。

特許文献１は、時刻を暗号化して表示する装置を含めて画像を撮影し、画像受信時刻と当該時刻との差分に基づいて、受信画像の真正性を検証する監視システムを開示する。

特許文献２は、撮影範囲内に点滅装置を配置し、カメラに撮影要求を出力すると共に、点滅装置にも点滅要求を出力することで、カメラ画像の偽装を検出するシステムを開示する。

特許文献３は、時刻を映像用信号の垂直帰線消去期間に重畳しておくことで、カメラから監視端末への信号偽装を検証する監視システムを開示する。

特許文献４は、ＴＣサーバから書類データと企業の電子署名を受信したＲＳＰサーバが、フォーマット変換プログラムおよび自身の電子署名を付して、他のＴＣサーバに転送することで書類データの改竄を検証するシステムを開示する。

特許文献５は、ランダム数と国際携帯電話端末識別情報を暗号化してパソコンに送信し、返信されてきたメッセージに含まれるランダム数と国際携帯電話端末識別情報に基づいて、パソコンが通信相手として適切であるか否かを認証するシステムを開示する。

特開２００６−１０９２３０号公報 特許第００３８５８６７６号公報 特開２００５−０９４４２０号公報 ＷＯ２００３／００３３２９号公報 特開２００７−２７４１０１号公報

上記の特許文献の技術は、いずれも、入力信号から処理結果を生成するシステムに於いて、処理結果の真正性を検証する技術ではない。したがって、上述の技術は、いずれも処理結果の情報量が少ない場合にこの真正性の検証が適切に出来ない可能性が大きかった。

本発明の目的は、この課題を解決する、信号処理装置、検証システム、信号処理プログラム、検証プログラム、および、信号処理方法を提供することにある。

本発明の一実施形態の信号処理装置は、入力信号から処理結果を生成し、前記処理結果と乱数を含む第１の複合データから前記第１の複合データの真正性検証データ（第１の署名）を生成し、前記第１の複合データと前記第１の署名を出力する。

本発明の一実施形態の信号処理プログラムは、第１のコンピュータに、入力信号から処理結果を生成し、前記処理結果と乱数を含む第１の複合データから前記第１の複合データの真正性検証データ（第１の署名）を生成し、前記第１の複合データと前記第１の署名を出力する処理を実行させる。

本発明の一実施形態の信号処理方法は、第１のコンピュータが、入力信号から処理結果を生成し、前記処理結果と乱数を含む第１の複合データから前記第１の複合データの真正性検証データ（第１の署名）を生成し、前記第１の複合データと前記第１の署名を出力する行程を有する。

本発明の技術は、入力信号から処理結果を生成するシステムに於いて、処理結果の真正性を検証する。本発明の技術は、特に、処理結果の情報量が少ない場合にこの真正性の検証可能性を増大させる。

図１は、本発明の第１の実施形態にかかる検証システム１０を示す。検証システム１０は、データ生成装置３０、信号処理装置４０、検証端末５０を包含する。

検証システム１０は、例えば、画像監視システム９０である。画像監視システム９０は、あるエリアを撮影して画像を生成する画像取得装置９１、当該画像から侵入禁止エリアに人物がいるかいなか、その人数などを認識する画像認識装置９２、当該認識結果に基づいて監視報告、警告を行う監視端末９３を包含する。監視対象は画像に限定されない。検証システム１０は、音声による監視、体温などの発熱による監視を行うものでもよい。

図１１は、上述の画像監視システム９０にかかるリスクを例示している。リスクには、例えば、画像取得装置９１や画像認識装置９２の入替（攻撃１、３）、各装置・端末間の信号入替・改竄（攻撃２、４）が含まれる。本発明は、これらのリスクを回避するために、監視端末９３が受け取った認識結果の真正性を検証する。

即ち、本発明にかかる画像監視システム９０は、認識結果が正当な画像情報に基づいて、正当な画像認識装置９２により生成され、入替、改竄されずに正当に監視端末９３に届いたことを検証する。

図２は、データ生成装置３０の構成を示す。データ生成装置３０は、生成制御部３１、第２の秘密情報ＤＢ３２（Data Base）、第１の時計３５、センサ３７を包含する。

生成制御部３１は、センサ３７から入力信号６１を入力して信号データ７３を信号処理装置４０に出力する。センサ３７は、例えばカメラ３８である。センサ３７は、マイクや熱センサでもよい。

生成制御部３１は、コンピュータであるデータ生成装置３０のプロセッサーが図示しない主記憶装置に格納されているデータ生成プログラム３９を読み込んで、実行することで機能する。ハードウェアが、同等な機能を実現していてもよい。

第２の秘密情報ＤＢ３２は、図示しないディスク、メモリなどの記憶装置に設けられ、第２の秘密鍵３３を格納している。

第１の時計３５は通常の時計でも良いが正確な電波時計などが好ましい。第１の時計３５は、ＧＰＳ（Global Positioning System）を利用した時刻取得器、またその他の精度の高い時刻生成器であってもよい。

図３は、信号処理装置４０の構成を示す。信号処理装置４０は、処理制御部４１、第１の秘密情報ＤＢ４２を包含する。

処理制御部４１は、データ生成装置３０から信号データ７３を入力して結果データ７４を検証端末５０に出力する。

処理制御部４１は、コンピュータである信号処理装置４０のプロセッサーが図示しない主記憶装置に格納されている信号処理プログラム４９を読み込んで、実行することで機能する。ハードウェアが、同等な機能を実現していてもよい。

第１の秘密情報ＤＢ４２は、図示しないディスク、メモリなどの記憶装置に設けられ、第１の秘密鍵４３を格納している。

図４は、検証端末５０の構成を示す。検証端末５０は、検証制御部５１、公開情報ＤＢ５２、第２の時計５５、表示部５７を包含する。

検証制御部５１は、信号処理装置４０から結果データ７４を入力してその少なくとも一部を表示部５７に表示する。検証制御部５１は、結果データ７４の一部を図示せぬアプリケーションプログラムに出力しても良い。

検証制御部５１は、コンピュータである検証端末５０のプロセッサーが図示しない主記憶装置に格納されているデータ端末プログラム５９を読み込んで、実行することで機能する。ハードウェアが、同等な機能を実現していてもよい。

公開情報ＤＢ５２は、図示しないディスク、メモリなどの記憶装置に設けられ、第１の公開鍵５３、第２の公開鍵５４、時刻差閾値５６を格納している。

なお、第１の秘密鍵４３と第１の公開鍵５３は、公開鍵暗号方式で使用される、秘密に保持された鍵と公開された鍵の対を構成する。第２の秘密鍵３３と第２の公開鍵５４は、公開鍵暗号方式で使用される、秘密に保持された鍵と公開された鍵の対を構成する。

第２の時計５５は通常の時計でも良いが正確な電波時計などが好ましい。第２の時計５５は、ＧＰＳを利用した時刻取得器、またその他の精度の高い時刻生成器であってもよい。

図５は、信号データ７３と結果データ７４の構成を示す。結果データ７４は、入力信号６１、認証コード６２、第２の署名６３、乱数６４、処理結果６５、第１の署名６６を包含する。これらは、図５の様に隣接して結合されていても良いし、個別データとして存在・通信されても良い。

入力信号６１は、センサ３７で取得された情報であり、センサ３７がカメラ３８である場合は映像信号６７である。

第２の複合データ７２は、入力信号６１と認証コード６２を包含する。信号データ７３は、第２の複合データ７２と第２の署名６３を包含する。第１の複合データ７１は、乱数６４と処理結果６５を包含する。

図６は、生成制御部３１の動作フローチャートである。生成制御部３１は、センサ３７から入力信号６１を入力する（Ｓ１１）とともに、現時刻（第１の時刻）を第１の時計３５から入力する（Ｓ１２）。同部は、第２の秘密鍵３３を読み込んで、第１の時刻を当該第２の秘密鍵３３で暗号化して認証コード６２を生成する（Ｓ１３）。

同部は、入力信号６１と認証コード６２を含む第２の複合データ７２からメッセージダイジェストを生成する（Ｓ１４）。同部は、第２の複合データ７２に検証システム１０内で定められた第１のハッシュ関数を適用して当該メッセージダイジェストを作成する。その後、同部は、当該メッセージダイジェストを、第２の秘密鍵３３で暗号化してデジタル署名（第２の署名６３）を作成する（Ｓ１５）。

同部は、第２の複合データ７２と第２の署名６３を含む信号データ７３を信号処理装置４０に出力して（Ｓ１６）処理を終了する。

図７は、処理制御部４１の動作フローチャートである。処理制御部４１は、データ生成装置３０から信号データ７３を受信して入力信号６１を取り出す（Ｓ２１）。信号処理装置４０が画像認識装置９２である場合、この入力信号６１は映像信号６７である。

同部は、入力信号６１を処理して処理結果６５を生成する（Ｓ２２）。信号処理装置４０が画像認識装置９２（センサ３７がカメラ３８）である場合、当該処理は映像信号６７に対する認識処理である。例えば、同部は、映像信号６７から、画像内の侵入禁止エリアを特定し、当該侵入禁止エリア内に侵入した人物がいるかいなか、その人数などを認識する。この場合、処理結果６５は、侵入した人物の有無、人数である。上述の認識処理は、例えば、特開２００１−２４５２７８号公報に記載された技術を利用して実現しても良い。

認識処理はこれに限られない。認識処理は、車などの物について実施されても良い。この場合、処理結果６５は、画像に写っている車の有無、台数である。さらに認識処理は、画像に写っている人物の顔の特徴量を抽出して、図示しない人物データベースに登録されている人物との一致判定処理でも良い。この場合、処理結果６５は一致の有無である。

さらに、入力信号６１は映像信号６７に限られない。入力信号６１が音声信号（センサ３７がマイク）であって、当該処理は、規定音量以上の音声継続時間計測処理であってもよい。この場合、処理結果６５は継続時間となる。さらに、入力信号６１が流量信号（センサ３７が流量計）であって、当該処理は、規定流量以上の水流判定処理であってもよい。この場合、処理結果６５は規定流量以上の水流の有無である。

次に、処理制御部４１は乱数６４を発生する（Ｓ２３）。同部は、当該乱数６４と処理結果６５を含む第１の複合データ７１からメッセージダイジェストを生成する（Ｓ２４）。同部は、第１の複合データ７１に検証システム１０内で定められた第２のハッシュ関数を適用して当該メッセージダイジェストを作成する。その後、同部は、当該メッセージダイジェストを、第１の秘密鍵４３で暗号化してデジタル署名（第１の署名６６）を作成する（Ｓ２５）。

同部は、データ生成装置３０から入力した信号データ７３、第１の複合データ７１、第１の署名６６を含む結果データ７４を、検証端末５０に出力して（Ｓ２６）処理を終了する。

図８は、検証制御部５１の動作フローチャートである。検証制御部５１は、信号処理装置４０から結果データ７４を受信する（Ｓ３１）。

同部は、結果データ７４から第１の署名６６を取り出して、第１の公開鍵５３で復号化してメッセージダイジェストを作成する（Ｓ３２）。また、同部は、第１の複合データ７１に第２のハッシュ関数を適用してメッセージダイジェストを作成する（Ｓ３３）。同部は、両メッセージダイジェストを比較し（Ｓ３４）、等しければ（Ｓ３４でＹ）、処理結果６５の真正性が検証されたと判断する。即ち、処理結果６５は、信号処理装置４０で作成され、入替、改竄されずに検証端末５０に入力されたものと判定する（第１の検証）。

次に同部は、結果データ７４から第２の署名６３を取り出して、第２の公開鍵５４で復号化してメッセージダイジェストを作成する（Ｓ３５）。また、同部は、第２の複合データ７２に第１のハッシュ関数を適用してメッセージダイジェストを作成する（Ｓ３６）。同部は、両メッセージダイジェストを比較し（Ｓ３７）、等しければ（Ｓ３７でＹ）第２の複合データ７２の真正性が検証されたと判断する。即ち、第２の複合データ７２は、データ生成装置３０で作成され、入替、改竄されずに検証端末５０に入力されたものと判定する（第２の検証）。

次に同部は、結果データ７４から認証コード６２を取り出して、第２の公開鍵５４で復号化して第１の時刻を復元する（Ｓ３８）。また、同部は、第２の時計５５から現時刻（第２の時刻）を読み込む（Ｓ３９）。同部は、第１の時刻から第２の時刻までの経過時間と時刻差閾値５６を比較し（Ｓ３Ａ）、経過時間が時刻差閾値５６以内であれば（Ｓ３ＡでＹ）入力信号６１の真正性が検証されたと判断する。即ち、入力信号６１は、データ生成装置３０で作成され、遅滞なく、かつ、過去のものと入れ替えられることなく検証端末５０に入力されたものと判定する（第３の検証）。

なお、第２、第３の検証は、間接的に、処理結果６５が正当な入力信号６１に基づいた結果であることも検証している。

同部は、上述の検証が正常に完了すれば、入力信号６１および処理結果６５を表示部５７に表示する（Ｓ３Ｂ）。検証端末５０が監視端末９３である場合は、同部は、カメラ３８で取得した映像と、侵入禁止エリア内に人物がいるかいなか、その人数などを表示する。侵入禁止エリア内に人物がいる場合、同部は図示しないブザーなどを鳴動させても良い。

同部は、入力信号６１および処理結果６５を図示しないアプリケーションプログラムに出力し、当該アプリケーションプログラムが適切な対応処理を行うようにしても良い。例えば、入力信号６１が流量信号で、処理結果６５が規定流量以上の水流の有無である場合は、当該アプリケーションプログラムが流量を制御するためのバルブ制御を行うように構成しても良い。

同部は、上述の検証で異常が検出された場合（Ｓ３４、Ｓ３７、または、Ｓ３ＡでＮ）、結果データ７４の真正性に問題がある旨の警告を表示部５７に表示する（Ｓ３Ｃ）。

なお、検証端末５０は、上述した第１から第３の検証の全てを実施する必要はない。検証端末５０は、入力信号６１や処理結果６５の重要性、図１１のリスクの大きさなどを考慮して、適宜選択して検証しても良い。選択して検証することにより、検証端末５０は負荷を下げることが出来る。

検証端末５０で、第２、第３の検証を行わないとき、データ生成装置３０は第２の署名６３や認証コード６２の生成をやめても良い。

また、生成制御部３１は、認証コード６２として第１の時刻を暗号化しないで、そのままを使用しても良い。この場合、検証制御部５１は、認証コード６２の復号化は行わない。

データ生成装置３０がセンサ３７を包含せず、入力信号６１を図示せぬ外部の装置などから入力しても良い。

本発明の第１の効果は、検証端末５０が、信号処理装置４０から入力する処理結果６５の真正性を検証できることである。特に、処理結果６５が人物の有無など情報量が少ない場合にも検証が出来ることである。その理由は、処理結果６５と乱数６４を含む第１の複合データ７１に、第１の署名６６を付して真正性の検証を行うからである。

処理結果６５の情報量が少ない場合、処理結果６５だけにデジタル署名を付しても、デジタル署名の変化が乏しいことから、改竄を検出できないおそれがある。例えば、処理結果６５が有無だけの２値情報である場合、生成の為の鍵を如何に長くしても、デジタル署名は２種類しか生成されない。本発明は、この検出できない改竄のおそれを、乱数６４の付加により排除する。

本発明の第２の効果は、検証端末５０が、データ生成装置３０から入力する入力信号６１の真正性の検証もできることである。これにより、検証端末５０は、入力信号６１と処理結果６５の両者を検証でき、検証の制度を高められる。

その理由は、データ生成装置３０が、入力信号６１に認証コード６２を付して、第２の署名６３を付加し、これらが検証端末５０に入力されるからである。

本発明の第３の効果は、検証端末５０が、入力信号６１や処理結果６５の重要性、改竄などのリスクの大きさ、処理負荷を考慮して、最適な検証を行うことが出来ることである。その理由は、第１、第２、および第３の検証のいずれも検証端末５０で実施するように構成したからである。

図９は、検証プログラム１９の構成を示す。検証プログラム１９は、データ生成プログラム３９、信号処理プログラム４９、端末プログラム５９を包含する。

本発明の第２の実施形態では、検証システム１０は暗号化、復号化のすべてを公開鍵方式ではなく、共通鍵方式で行う。

本実施形態において、データ生成装置３０の第２の秘密情報ＤＢ３２は、第２の秘密鍵３３の代わりに第２の共通鍵を格納する。生成制御部３１は、当該第２の共通鍵を用いて認証コード６２、第２の署名６３を生成するための暗号化を行う。

信号処理装置４０の第１の秘密情報ＤＢ４２は、第１の秘密鍵４３の代わりに第１の共通鍵を格納する。処理制御部４１は、当該第１の共通鍵を用いて第１の署名６６を生成するための暗号化を行う。

検証端末５０の公開情報ＤＢ５２は、第１の公開鍵５３、第２の公開鍵５４の代わりに各々、第１の共通鍵、第２の共通鍵を格納する。検証制御部５１は、第１の共通鍵、第２の共通鍵を用いて、各々、認証コード６２、第２の署名６３、第１の署名６６の復号化を行う。

本実施形態の検証システム１０では、暗号化／復号化の処理負荷が軽減できる。その理由は、共通鍵方式を用いているからである。

図１０は、本発明の基本的な構成を示す。本発明の、信号処理装置４０は、入力信号６１から処理結果６５を生成し、処理結果６５と乱数６４を含む第１の複合データ７１から第１の複合データ７１の真正性検証データ（第１の署名６６）を生成し、第１の複合データ７１と第１の署名６６を出力する。

図１は、検証システム１０を示す。 図２は、データ生成装置３０の構成を示す。 図３は、信号処理装置４０の構成を示す。 図４は、検証端末５０の構成を示す。 図５は、信号データ７３と結果データ７４の構成を示す。 図６は、生成制御部３１の動作フローチャートである。 図７は、処理制御部４１の動作フローチャートである。 図８は、検証制御部５１の動作フローチャートである。 図９は、検証プログラム１９の構成を示す。 図１０は、本発明の基本的な構成を示す。 図１１は、画像監視システム９０にかかるリスクを例示する。

符号の説明

１０ 検証システム
１９ 検証プログラム
３０ データ生成装置
３１ 生成制御部
３２ 第２の秘密情報ＤＢ
３３ 第２の秘密鍵
３５ 第１の時計
３７ センサ
３８ カメラ
３９ データ生成プログラム
４０ 信号処理装置
４１ 処理制御部
４２ 第１の秘密情報ＤＢ
４３ 第１の秘密鍵
４９ 信号処理プログラム
５０ 検証端末
５１ 検証制御部
５２ 公開情報ＤＢ
５３ 第１の公開鍵
５４ 第２の公開鍵
５５ 第２の時計
５６ 時刻差閾値
５７ 表示部
５９ 端末プログラム
６１ 入力信号
６２ 認証コード
６３ 第２の署名
６４ 乱数
６５ 処理結果
６６ 第１の署名
６７ 映像信号
７１ 第１の複合データ
７２ 第２の複合データ
７３ 信号データ
７４ 結果データ
９０ 画像監視システム
９１ 画像取得装置
９２ 画像認識装置
９３ 監視端末

Claims (10)

1. 入力信号から処理結果を生成し、前記処理結果と乱数を含む第１の複合データから前記第１の複合データの真正性検証データ（第１の署名）を生成し、前記第１の複合データと前記第１の署名を出力する信号処理装置。
2. 前記入力信号として映像信号を入力し、前記映像信号から映像に含まれている人または物の、有無または数を抽出して前記処理結果として出力する、請求項１の信号処理装置。
3. センサから入力した前記入力信号と自装置の時計（第１の時計）から得た第１の時刻を含む第２の複合データを生成し、前記第２の複合データから前記第２の複合データの真正性検証データ（第２の署名）を生成し、前記第２の複合データと前記第２の署名を出力するデータ生成装置と、
   前記第２の複合データと前記第２の署名を前記データ生成装置から入力して、前記第２の複合データから前記入力信号を取得する、請求項１または２の信号処理装置と、
   前記第１の複合データと前記第１の署名、及び、前記第２の複合データと前記第２の署名を前記信号処理装置から入力して、
   前記第１の複合データと前記第１の署名を用いて前記処理結果の検証（第１の検証）を行い、前記第２の複合データと前記第２の署名を用いて前記第１の時刻と前記入力信号の検証（第２の検証）を行い、前記第１の時刻と自装置の時計（第２の時計）から得た第２の時刻との差分から前記入力信号の検証（第３の検証）を行う検証端末とを備える、検証システム。
4. 第２の秘密鍵を格納する第２の秘密鍵ＤＢを備え、前記第１の時刻を前記第２の秘密鍵で暗号化して認証コードを生成し、前記入力信号と前記認証コードを結合して前記第２の複合データを生成し、前記第２の複合データから前記第２の秘密鍵を用いて、前記第２の署名を生成する前記データ生成装置と、
   第１の秘密鍵を格納する第１の秘密鍵ＤＢを備え、前記第１の複合データから前記第１の秘密鍵を用いて、前記第１の署名を生成する前記信号処理装置と、
   前記第２の秘密鍵に対応する第２の公開鍵と、前記第１の秘密鍵に対応する第１の公開鍵を記憶する公開鍵記憶域を備え、前記第１の公開鍵を用いて前記第１の検証を、前記第２の公開鍵を用いて前記第２の検証を行う前記検証端末を備える、請求項３に記載の検証システム。
5. 共通鍵を格納する第２の鍵ＤＢを備え、前記第１の時刻を前記共通鍵で暗号化して認証コードを生成し、前記入力信号と前記認証コードを結合して前記第２の複合データを生成し、前記第２の複合データから前記共通鍵を用いて、前記第２の署名を生成する前記データ生成装置と、
   前記共通鍵を格納する第１の格納域を備え、前記第１の複合データから前記共通鍵を用いて、前記第１の署名を生成する前記信号処理装置と、
   前記共通鍵を記憶する第３の鍵記憶域を備え、前記共通鍵を用いて前記第１の検証、前記第２の検証を行う前記検証端末を備える、請求項３に記載の検証システム。
6. 第１のコンピュータに、
   入力信号から処理結果を生成し、前記処理結果と乱数を含む第１の複合データから前記第１の複合データの真正性検証データ（第１の署名）を生成し、前記第１の複合データと前記第１の署名を出力する処理を実行させる信号処理プログラム。
7. 前記第１のコンピュータに、前記入力信号として映像信号を入力し、前記映像信号から映像に含まれている人または物の、有無または数を抽出して前記処理結果として出力する前記処理を実行させる、請求項６の信号処理プログラム。
8. 第２のコンピュータに、センサから入力した前記入力信号と自装置の時計（第１の時計）から得た第１の時刻を含む第２の複合データを生成し、前記第２の複合データから前記第２の複合データの真正性検証データ（第２の署名）を生成し、前記第２の複合データと前記第２の署名を出力する処理を実行させるデータ生成プログラムと、
   前記第１のコンピュータに、前記第２の複合データと前記第２の署名を前記データ生成装置から入力して、前記第２の複合データから前記入力信号を取得する処理をさせる、請求項６または７の信号処理プログラムと、
   第３のコンピュータに、前記第１の複合データと前記第１の署名、及び、前記第２の複合データと前記第２の署名を前記信号処理装置から入力して、
   前記第１の複合データと前記第１の署名を用いて前記処理結果の検証（第１の検証）を行い、前記第２の複合データと前記第２の署名を用いて前記第１の時刻と前記入力信号の検証（第２の検証）を行い、前記第１の時刻と自装置の時計（第２の時計）から得た第２の時刻との差分から前記入力信号の検証（第３の検証）を行う処理を実行させる端末プログラムとからなる検証プログラム。
9. 第１のコンピュータが、
   入力信号から処理結果を生成し、前記処理結果と乱数を含む第１の複合データから前記第１の複合データの真正性検証データ（第１の署名）を生成し、前記第１の複合データと前記第１の署名を出力する行程を有する、信号処理方法。
10. 前記第１のコンピュータが、前記入力信号として映像信号を入力し、前記映像信号から映像に含まれている人または物の、有無または数を抽出して前記処理結果として出力する前記行程を有する、請求項９の信号処理方法。

Images