JP2011188029A - 電子署名装置、電子署名方法及びコンピュータプログラム - Google Patents

Abstract

【課題】データベース上のレコード群に対して電子署名を行う電子署名装置、電子署名方法及びコンピュータプログラムの提供。
【解決手段】データベースに記憶されているレコードのうち、電子署名の対象とするレコード群の指定を受付け（Ｓ１１）、該当するレコード群をデータベースから検索し（Ｓ１２）、検索結果をダンプ形式で出力する（Ｓ１３）。出力したダンプ形式の検索結果からハッシュ値を算出し（Ｓ１４）、算出したハッシュ値を電子署名管理テーブルに記憶する（Ｓ１５）。
【選択図】図３

Description

本発明は、データベース上のレコード群に対して電子署名を行う電子署名装置、電子署名方法及びコンピュータプログラムに関する。

近年、治験業務などの各種業務において、電子ファイルシステムが採用されている。治験業務には、原資料である治験データを収集するプロセス、収集した治験データをクリーニングして分析資料を作成するプロセス、分析資料を基に公的機関に提出する最終資料を作成するプロセスが含まれる。
各プロセスで得られるデータはデータベースに登録され、随時更新される。そして、データベースに登録された内容が確定し、公的機関に電子ファイルを提出する必要がある場合、データベースから必要なデータが抽出され、抽出されたデータをファイルとして記録する作業が行われる。

電子ファイルに対して電子署名を行い、改竄やなりすましの防止を行う仕組みは広く普及しており、治験業務についても、公的機関に電子ファイルを提出する段階で電子署名が施され、改竄、なりすまし等を防止する措置がとられている（例えば、特許文献１及び２を参照）。

特開２００７−３４９３３号公報 特開２００６−１２７３６５号公報

しかしながら、データベースに記憶されているデータに対して直接的に電子署名を施すことは行われておらず、最終的なファイルにデータを記録するまでの間に改竄が行われたか否かを判定する手法は存在しない。
業務等で使用されるデータベースは、内容の更新頻度が高く、データベースに記憶されている内容を固定化することができないためである。また、業務等で使用されるシステムは一定の認証機能を有しており、なりすましを防止することが可能である。そのため、データベースそのものを持ち出すことは困難であり、外部の者による改竄のリスクが低い。

このように、従来では、認証機能により、なりすましを防止することによって、外部者による改竄を防止することが可能であったが、内部の者（業務担当者）自身が行う改竄については防止できていないという問題点を有していた。

本願は、上記の課題を解決するため、データベース上のデータに対して電子署名を施すことが可能な電子署名装置、電子署名方法及びコンピュータプログラムを提供することを目的とする。

本願に開示する電子署名装置は、複数の情報を関連付けて記憶するデータベースにアクセスするアクセス部と、該データベースに記憶されている情報のうち、電子署名の対象とすべき情報の選択を受付ける受付部と、該受付部にて選択を受付けた場合、前記データベースにアクセスして、選択された情報と関連付けて記憶されている１又は複数の情報を前記データベースから抽出する情報抽出部と、該情報抽出部が抽出した１又は複数の情報を基に、該情報から一意に定まる固有値を算出する算出部と、前記受付手段にて選択された情報と前記算出部にて算出した固有値とを関連付けた署名データを生成する署名データ生成部と、生成した署名データを記憶する記憶部とを備えることを特徴とする。

本願によれば、電子署名装置が生成する電子署名データには、ある時点でデータベースから抽出したレコード群（１又は複数の情報）を基に算出したハッシュ値が含まれる。そして、このハッシュ値を利用してデータベースの改竄判定を行うことが可能となる。したがって、本願の電子署名装置は、随時更新されるデータベースにおいて、特定の時点での内容の正当性（データの改竄が行われていないこと）を証明することが可能となる。

本実施の形態に係る電子署名装置の内部構成を示す模式図である。 各データベースの構成を示す模式図である。 電子署名の処理手順を示すフローチャートである。 電子署名の対象とすべきレコード群を指定する際に受付ける情報の一例を示す模式図である。 検索結果の一例を示す模式図である。 電子署名管理テーブルの一例を示す模式図である。 改竄判定の処理手順を示すフローチャートである。

以下、本願の適用例の１つとして、治験業務に用いられるデータベース上のデータに対し電子署名を施す形態について、図面を用いて具体的に説明する。
図１は本実施の形態に係る電子署名装置の内部構成を示す模式図である。本実施の形態に係る電子署名装置１０は、制御部１１、ＲＯＭ（Read Only Memory）１２、ＲＡＭ（Random Access Memory）１３、通信部１４、記憶部１５、表示部１６、操作部１７を備え、それらがバスを介して互いに接続されている。

制御部１１は、ＣＰＵ（Central Processing Unit）またはＭＰＵ（Micro Processing Unit）等を備える。ＭＰＵを備える場合には、ＲＯＭ１２及びＲＡＭ１３が制御部１１に組み込まれる場合もある。
制御部１１は、適宜のタイミングにて、ＲＯＭ１２又は記憶部１５に格納されているコンピュータプログラムやデータをＲＡＭ１３上に読み出して実行するとともに、上述したハードウェア各部の動作を制御する。

ＲＯＭ１２には、本願の電子署名方法を実現するために必要なコンピュータプログラム、上述したハードウェア各部を動作させるために必要なコンピュータプログラムが予め格納されている。

本実施の形態では、本願の電子署名方法を実現するために必要なコンピュータプログラム、ハードウェア各部を動作させるために必要なコンピュータプログラムをＲＯＭ１２に格納する構成としたが、これらのコンピュータプログラムを記憶部１５に格納する構成としてもよい。

ＲＡＭ１３は、例えば、ＤＲＡＭ（Dynamic RAM）、ＳＲＡＭ（Static RAM）、フラッシュメモリなどであり、制御部１１によるコンピュータプログラムの実行時に発生する、種々のデータ（例えば、演算結果、各種パラメータ、後述するダンプデータ）が一時的に記憶される。

通信部１４は、有線又は無線により外部の通信ネットワークと通信するための通信インタフェースを備える。

操作部１７は、例えばキーボードであり、情報の入力を受付けるための入力インタフェースを備えている。表示部１６は、例えば液晶ディスプレイであり、制御部１１からの指示に従って、操作部１７を介して入力された情報、ユーザに対して通知すべき情報などを表示する。

表示部１６及び操作部１７は、ユーザとのインタフェースを提供するものである。電子署名装置１０が、ネットワークを介して他の機器からの操作入力、他の機器への出力を行う構成としてもよく、必ずしも表示部１６及び操作部１７を備えている必要はない。

記憶部１５は、ハードディスク又はフラッシュメモリのような不揮発性の記憶装置である。記憶部１５の一部の記憶領域は、症例集計データベース１５１、症例基本データベース１５２、症例詳細データベース１５３、電子署名管理テーブル１５５として利用される。

図２は各データベースの構成を示す模式図である。図２（ａ）は、症例集計データベース１５１の一例であり、「キー１」及び「値ａ」が関連付けられて記憶されていることを示している。症例集計データベース１５１の「キー１」は、投薬回数、投薬した医薬品名などの情報を表し、「値ａ」は、投薬後の症状、投薬後の改善度などの情報を表す。これらの情報は、製薬会社、病院等で収集され、通信部１４又は操作部１７を通じて電子署名装置１０に適宜入力され、症例集計データベース１５１に記憶される情報である。すなわち、症例集計データベース１５１が記憶している情報は随時更新されるものである。
本実施の形態では、「キー１」及び「値ａ」の２つの情報を互いに関連付けて症例集計データベース１５１に記憶する構成としたが、３つ以上の情報を関連付けて記憶する構成としてもよい。

図２（ｂ）は、症例基本データベース１５２の一例であり、「キー１」、「キー２」及び「値ｂ」が関連付けられて記憶されている。「キー２」は、投薬患者名、投薬を行った会社名、投薬を行った病院名などの情報を表し、「値ｂ」は、投薬患者の身長、体重、性別などの情報を表す。これらの情報は、例えば、投薬開始時に基本情報として、通信部１４又は操作部１７を通じて電子署名装置１０に入力され、症例基本データベース１５２に記憶される情報である。すなわち、症例基本データベース１５２が記憶している情報は更新頻度は高くないものの、適宜更新されるものである。
症例基本データベース１５２に記憶されている情報と、症例集計データベース１５１に記憶されている情報とは、「キー１」を介して互いに関連付けられている。
本実施の形態では、「キー２」、「値ｂ」の２つの情報を「キー１」に関連付けて症例基本データベース１５２に記憶する構成としたが、３つ以上の情報を「キー１」に関連付けて記憶する構成としてもよい。

図２（ｃ）は、症例詳細データベース１５３の一例であり、「キー１」、「キー２」、「キー３」及び「値ｃ」が関連付けられて記憶されている。「キー３」は、投薬日時、投薬量などの情報を表し、「値ｃ」は投薬後の血圧、体温、血液組成などの情報を表す。これらの情報は、製薬会社、病院等で収集され、通信部１４又は操作部１７を通じて電子署名装置１０に適宜入力され、症例集計データベース１５１に記憶される情報である。すなわち、症例詳細データベース１５３が記憶している情報は随時更新されるものである。
症例詳細データベース１５３に記憶されている情報と、症例集計データベース１５１、症例基本データベース１５２に記憶されている情報とは、それぞれ「キー１」、「キー２」を介して互いに関連付けられている。
本実施の形態では、「キー３」、「値ｃ」の２つの情報を「キー１」及び「キー２」に関連付けて症例詳細データベース１５３に記憶する構成としたが、３つ以上の情報を「キー１」及び「キー２」に関連付けて記憶する構成としてもよい。

本実施の形態では、電子署名装置１０の記憶部１５内に３つのデータベースを備える構成としたが、データベースの構成は上記のものに限定されない。
また、本実施の形態では、３つのデータベースを互いに関連付けて使用する構成としたが、１つのデータベースを使用することとし、このデータベース内で複数の情報を関連付けて記憶する構成としてもよい。

また、データベースは必ずしも電子署名装置１０の内部にある必要はなく、ＬＡＮ（Local Area Network）、インターネットなどの通信ネットワークを介して接続されたものであってもよい。この場合、電子署名装置１０は、通信部１４を通じてデータベースにアクセスし、そのデータベース内で関連付けて記憶されている情報を取得する構成となる。

また、本実施の形態では、図２に示すように、リレーショナル・データモデルを採用したデータベースを用いることとしたが、どのようなデータモデルのデータベースを採用してもよい。例えば、階層型データモデル、ネットワーク型データモデル、カード型データモデルを採用することができる。

以下、本実施の形態に係る電子署名装置１０が実行する処理について説明する。図３は電子署名の処理手順を示すフローチャートである。電子署名装置１０は、電子署名の対象とすべきレコード群を指定するため情報を操作部１７において受付ける（ステップＳ１１）。ここで、電子署名の対象とすべきレコード群とは、その時点で各データベース１５１〜１５３に関連付けられて記憶されている情報のうち、改竄されていないことを証明する必要がある一連の情報をいう。本電子署名装置１０を治験業務に用いる場合、例えば、ビジット毎に治験データの正当性を確保するために、ステップＳ１１において、電子署名を施す情報の選択を受付ける。なお、署名者は正当な権限を有しており、なりすましはないものとする。

図４は電子署名の対象とすべきレコード群を指定する際に受付ける情報の一例を示す模式図である。本実施の形態では、対象のデータベースを指定する情報、及び対象の情報を指定するキーを受付けるようにしている。図４に示した例は、対象のデータベースとして、症例集計データベース１５１、症例基本データベース１５２、症例詳細データベース１５３が指定され、対象の検索キーとして、ＫｅｙＡ（＝キー１）が指定されたことを示している。

本実施の形態では、３つのデータベースを全て指定する構成としたが、例えば、「値ｂ」の情報の正当性を証明する必要がない場合には、症例基本データベース１５２を電子署名の対象から外してもよい。また、本実施の形態では、電子署名の対象とするデータベースも指定する構成としたが、検索キーのみの指定を受付け、その検索キーにより指定される情報を含むデータベースを自動的に指定する構成としてもよい。

電子署名装置１０は、電子署名の対象とすべきレコード群を指定するため情報を操作部１７において受付けた場合、各データベース１５１〜１５３から該当するレコードの検索を行い（ステップＳ１２）、検索結果をダンプ形式で出力する（ステップＳ１３）。電子署名装置１０は、ダンプ形式の検索結果をＲＡＭ１３に記憶させる。図５は検索結果の一例を示す模式図である。例えば、ステップＳ１１において、検索キーとして「ＫｅｙＡ」が指定された場合、症例集計データベース１５１からは「ＡＡＡＡＡ」という１件の情報が検索される。同様に、症例基本データベース１５２からは「ＫｅｙＡ１」に関連付けられた「ＡＡＡＡ１１」、「ＫｅｙＡ２」に関連付けられた「ＡＡＡＡ２２」という２件の情報が検索される。症例詳細データベース１５３についても同様であり、図５に示すように、４件の情報が検索される。

なお、図５では、理解しやすいように、検索結果をテーブル形式のデータとして表現したが、装置内部（ＲＡＭ１３上）では、バイナリダンプ形式の文字列により検索結果を表現するものであってもよい。

次いで、電子署名装置１０は、ダンプ形式の検索結果からハッシュ値を算出し（ステップＳ１４）、ダンプ形式の検索結果を削除する。ハッシュ値の算出手法としては、公知の手法を用いることができる。例えば、検索結果のバイナリ表現をキーとして、ＳＨＡ−１（Secure Hash Algorithm １），ＭＤ５（Message Digest Algorithm ５）などのハッシュ関数を用いることにより、ハッシュ値を算出することができる。

なお、本実施の形態では、ハッシュ値を算出する構成としたが、検索結果を入力データとして所定のアルゴリズムを用いて一意に算出することができ、かつ算出された数値からは元の入力データが算出困難な性質を有するものであれば、ハッシュ値に限定する必要はない。たとえば、ハッシュ値の代わりに疑似乱数を算出する構成としてもよい。

電子署名装置１０は、算出したハッシュ値を電子署名管理テーブル１５５に記憶させる（ステップＳ１５）。このとき、署名者に対して氏名の入力を促し、操作部１７を通じて入力された署名者情報、電子署名装置１０が付与する電子署名番号、署名対象情報（対象データベース、対象キー）、署名日時等を、算出したハッシュ値に関連付けて電子署名管理テーブル１５５に記憶させる。

図６は電子署名管理テーブル１５５の一例を示す模式図である。図６に示した電子署名管理テーブル１５５では、電子署名番号、対象データベース名、対象キー名、ハッシュ値、署名者名、署名日時を互いに関連付けて記憶している。この電子署名管理テーブル１５５からは、署名者、署名日時、署名対象のデータを識別することができるため、電子署名管理テーブル１５５から署名範囲、内容を確認することができる。

次に、各データベース１５１〜１５３に記憶されている情報の改竄判定手順について説明する。図７は改竄判定の処理手順を示すフローチャートである。電子署名装置１０は、まず、電子署名番号の入力を受付ける（ステップＳ２１）。電子署名装置１０の操作部１７を通じて電子署名番号が入力された場合、電子署名を施した際の手順と同様にして、ハッシュ値を算出する。具体的には、ステップＳ２１で入力された電子署名番号を検索キーとして電子署名管理テーブル１５５を検索し、その電子署名番号に関連付けて記憶されている対象データベース、対象キーの情報を取得する（ステップＳ２２）。

次いで、電子署名装置１０は、取得した対象データベース、対象キーの情報を基に対象のデータベースを検索し、検索結果を示すダンプ形式のデータを生成する（ステップＳ２３）。
そして、電子署名装置１０は、電子署名を施した際に用いたアルゴリズムを使用し、生成したデータからハッシュ値を算出する（ステップＳ２４）。

電子署名装置１０は、算出したハッシュ値と、入力された電子署名番号に対応付けられて電子署名管理テーブル１５５に記憶されているハッシュ値とを比較し（ステップＳ２５）、両者が一致するか否かを判断する（ステップＳ２６）。

両者が一致する場合には（Ｓ２６：ＹＥＳ）、各データベース１５１〜１５３上の情報に改竄がないと判定し（ステップＳ２７）、両者が一致しない場合には（Ｓ２６：ＮＯ）、各データベース１５１〜１５３に記憶されている情報の何れかに改竄があると判定する（ステップＳ２８）。電子署名装置１０は、ステップＳ２７又はステップＳ２８の判定結果を表示部１６に表示する（ステップＳ２９）。

本実施の形態の電子署名装置１０が生成する電子署名データには、ある時点でデータベースから抽出したレコード群（１又は複数の情報）を基に算出したハッシュ値が含まれる。そして、このハッシュ値を利用してデータベースの改竄判定を行うことが可能となる。したがって、本実施の形態の電子署名装置１０は、随時更新されるデータベースにおいて、特定の時点での内容の正当性（データの改竄が行われていないこと）を証明することが可能となる。

以上の実施の形態に関し、更に以下の付記を開示する。

（付記１）
複数の情報を関連付けて記憶するデータベースにアクセスするアクセス部と、
該データベースに記憶されている情報のうち、電子署名の対象とすべき情報の選択を受付ける受付部と、
該受付部にて選択を受付けた場合、前記データベースにアクセスして、選択された情報と関連付けて記憶されている１又は複数の情報を前記データベースから抽出する情報抽出部と、
該情報抽出部が抽出した１又は複数の情報を基に、該情報から一意に定まる固有値を算出する算出部と、
前記受付手段にて選択された情報と前記算出部にて算出した固有値とを関連付けた署名データを生成する署名データ生成部と、
生成した署名データを記憶する記憶部と
を備えることを特徴とする電子署名装置。

（付記２）
前記固有値は、ハッシュ値であることを特徴とする付記１に記載の電子署名装置。

（付記３）
前記データベースから抽出する情報をダンプ形式のデータとして記憶するようにしてあり、
前記算出部が固有値を算出した場合、前記ダンプ形式のデータを消去する消去部を備えることを特徴とする付記１又は付記２に記載の電子署名装置。

（付記４）
前記データベースに記憶されている情報のうち、改竄判定の対象とすべき情報の選択を前記受付部にて受付け、選択された情報と関連付けて記憶されている１又は複数の情報を前記データベースから抽出するようにしてあり、
抽出した情報から前記算出部が算出する固有値と前記情報が含まれる署名データに記憶されている固有値とを比較する比較部と、
該比較部による比較結果に基づいて改竄が行われているか否かを判定する判定部と
を備えることを特徴とする付記１から４の何れか１つに記載の電子署名装置。

（付記５）
データベースに関連付けられて記憶されている複数の情報のうち、電子署名の対象とすべき情報の選択を受付け、
選択された情報と関連付けて記憶されている１又は複数の情報を前記データベースから抽出し、
抽出した１又は複数の情報を基に、該情報から一意に定まる固有値を算出し、
前記選択された情報と算出した固有値とを関連付けた署名データを生成することを特徴とする電子署名方法。

（付記６）
コンピュータに、データベースに関連付けられて記憶されている複数の情報のうち、電子署名の対象とすべき情報の選択を受付けさせるステップと、
コンピュータに、選択された情報と関連付けて記憶されている１又は複数の情報を前記データベースから抽出させるステップと、
コンピュータに、抽出させた１又は複数の情報を基に、該情報から一意に定まる固有値を算出させるステップと、
コンピュータに、前記選択された情報と算出した固有値とを関連付けた署名データを生成させるステップと
を実行させることを特徴とするコンピュータプログラム。

１０ 電子署名装置
１１ 制御部（情報抽出部、算出部、署名データ生成部）
１２ ＲＯＭ
１３ ＲＡＭ
１４ 通信部
１５ 記憶部
１６ 表示部
１７ 操作部（受付部）
１５１ 症例集計データベース
１５２ 症例基本データベース
１５３ 症例詳細データベース
１５５ 電子署名管理テーブル

Claims (5)

1. 複数の情報を関連付けて記憶するデータベースにアクセスするアクセス部と、
   該データベースに記憶されている情報のうち、電子署名の対象とすべき情報の選択を受付ける受付部と、
   該受付部にて選択を受付けた場合、前記データベースにアクセスして、選択された情報と関連付けて記憶されている１又は複数の情報を前記データベースから抽出する情報抽出部と、
   該情報抽出部が抽出した１又は複数の情報を基に、該情報から一意に定まる固有値を算出する算出部と、
   前記受付手段にて選択された情報と前記算出部にて算出した固有値とを関連付けた署名データを生成する署名データ生成部と、
   生成した署名データを記憶する記憶部と
   を備えることを特徴とする電子署名装置。
2. 前記固有値は、ハッシュ値であることを特徴とする請求項１に記載の電子署名装置。
3. 前記データベースから抽出する情報をダンプ形式のデータとして記憶するようにしてあり、
   前記算出部が固有値を算出した場合、前記ダンプ形式のデータを消去する消去部を備えることを特徴とする請求項１又は請求項２に記載の電子署名装置。
4. データベースに関連付けられて記憶されている複数の情報のうち、電子署名の対象とすべき情報の選択を受付け、
   選択された情報と関連付けて記憶されている１又は複数の情報を前記データベースから抽出し、
   抽出した１又は複数の情報を基に、該情報から一意に定まる固有値を算出し、
   前記選択された情報と算出した固有値とを関連付けた署名データを生成することを特徴とする電子署名方法。
5. コンピュータに、データベースに関連付けられて記憶されている複数の情報のうち、電子署名の対象とすべき情報の選択を受付けさせるステップと、
   コンピュータに、選択された情報と関連付けて記憶されている１又は複数の情報を前記データベースから抽出させるステップと、
   コンピュータに、抽出させた１又は複数の情報を基に、該情報から一意に定まる固有値を算出させるステップと、
   コンピュータに、前記選択された情報と算出した固有値とを関連付けた署名データを生成させるステップと
   を実行させることを特徴とするコンピュータプログラム。

Images