JP2018120366A - タイムスタンプ管理システム、タイムスタンプ管理方法、およびタイムスタンプ管理プログラム - Google Patents

Abstract

【課題】公的機関によるタイムスタンプ保管サービスをさらに拡充した上で、タイムスタンプの発行サービスと連携させてワンストップでのタイムスタンプ管理サービスを実現する。
【解決手段】ユーザの電子文書５が存在していた時刻を証明し、かつ電子文書５の改竄を検知するための、タイムスタンプ局２によって認証された時刻情報を含むＴＳＴ２１を管理するタイムスタンプ管理システム１であって、タイムスタンプ局２から受信したＴＳＴ２１に係る情報を管理するタイムスタンプ管理部１３と、タイムスタンプ管理部１３からの指示に基づいて、ＴＳＴ２１をタイムスタンプ保管サービス３に送信して保管を要求し、タイムスタンプ保管サービス３からＴＳＴ２１の保管に応じて応答された預入情報を受信する保管サービス連携部１４とを有する。
【選択図】図１

Description

本発明は、電子文書を取り扱う技術に関し、特に、電子文書に対して発行されたタイムスタンプトークンを管理するタイムスタンプ管理システム、タイムスタンプ管理方法、およびタイムスタンプ管理プログラムに適用して有効な技術に関するものである。

特定の電子文書（電子化された書類や資料等）が、その作成日時とされる時点で存在しており、かつその後改竄されていないことを立証したい場合がある。これに対して、タイムスタンプと呼ばれる時刻認証情報を電子文書のファイルに付与することが行われている。

また、タイムスタンプが付与された電子文書に係るデータのハッシュ値とタイムスタンプ局の時刻認証情報とを合わせてタイムスタンプ局の秘密鍵で署名したタイムスタンプトークン（以下では「ＴＳＴ」と記載する場合がある）をバックアップとして保管するサービスが検討されている。例えば、独立行政法人工業所有権情報・研修館（以下では「ＩＮＰＩＴ」（登録商標）と記載する場合がある）では、時刻認証業務認定事業者が発行したＴＳＴをユーザから預かって公的機関として長期間安全に保管するタイムスタンプ保管サービスを開始する予定である（非特許文献１）。

また、これに関連する技術として、例えば、特開２０１６−１７０６４３号公報（特許文献１）には、タイムスタンプ装置により発行されたタイムスタンプデータの基となる対象データと、当該タイムスタンプデータに係るハッシュ値を保管する保管装置により発行された当該ハッシュ値に対して一意となる保管ＩＤとを関連付けて記憶する旨の技術が記載されている。

特開２０１６−１７０６４３号公報

"タイムスタンプ保管サービスについて"、［online］、ＩＮＰＩＴ、［平成２９年１月１２日検索］、インターネット＜URL：http://www.inpit.go.jp/katsuyo/tradesecret/ts.html＞

特許文献１に記載された技術によれば、タイムスタンプ装置によるタイムスタンプデータの発行と、保管装置によるハッシュ値の保管とを連携させることが可能である。しかしながら、例えば、保管装置としてＩＮＰＩＴのタイムスタンプ保管サービスを考えた場合、タイムスタンプ保管サービスでの事前のアカウント登録や、タイムスタンプ保管サービスへのログイン、保管期間の更新等の他のサービスメニューの実行等については、ユーザが意識して独自に行う必要がある。すなわち、ＴＳＴの保管サービスをユーザに可能な限り見せることなく、タイムスタンプの発行サービスと合わせて全体をワンストップで一元的にユーザに提供することはできない。また、ＩＮＰＩＴのタイムスタンプ保管サービスをさらに拡充する形でタイムスタンプの発行サービスと連携させたいというニーズもある。

そこで本発明の目的は、ＩＮＰＩＴ等の公的機関によるタイムスタンプ保管サービスをさらに拡充した上で、タイムスタンプの発行サービスと連携させてワンストップでのタイムスタンプ管理サービスを実現するタイムスタンプ管理システム、タイムスタンプ管理方法、およびタイムスタンプ管理プログラムを提供することにある。

本発明の前記ならびにその他の目的と新規な特徴は、本明細書の記述および添付図面から明らかになるであろう。

本願において開示される発明のうち、代表的なものの概要を簡単に説明すれば、以下のとおりである。

本発明の代表的な実施の形態によるタイムスタンプ管理システムは、ユーザの電子ファイルが存在していた時刻を証明し、かつ前記電子ファイルの改竄を検知するための、タイムスタンプ局によって認証された時刻情報を含むタイムスタンプトークンを管理するタイムスタンプ管理システムであって、前記タイムスタンプ局から受信した前記タイムスタンプトークンに係る情報を管理するタイムスタンプ管理部と、前記タイムスタンプ管理部からの指示に基づいて、前記タイムスタンプトークンをタイムスタンプ保管サービスに送信して保管を要求し、前記タイムスタンプ保管サービスから前記タイムスタンプトークンの保管に応じて応答された預入情報を受信する保管サービス連携部と、を有する。

また、本発明は、コンピュータを上記のタイムスタンプ管理システムとして動作させるプログラムにも適用することができる。

本願において開示される発明のうち、代表的なものによって得られる効果を簡単に説明すれば以下のとおりである。

すなわち、本発明の代表的な実施の形態によれば、ＩＮＰＩＴ等の公的機関によるタイムスタンプ保管サービスをさらに拡充した上で、タイムスタンプの発行サービスと連携させてワンストップでのタイムスタンプ管理サービスを実現することが可能となる。

本発明の一実施の形態であるタイムスタンプ管理システムの構成例について概要を示した図である。 本発明の一実施の形態におけるタイムスタンプ発行に係る全体的な処理の流れの例について概要を示した図である。 本発明の一実施の形態における電子文書の遷移状況を模式的に示した図である。 本発明の一実施の形態におけるタイムスタンプ管理サーバでのタイムスタンプ発行に係る処理の流れの例について概要を示したフローチャートである。 本発明の一実施の形態におけるタイムスタンプ管理サーバでのＴＳＴ保管処理の流れの例について概要を示したフローチャートである。 本発明の一実施の形態におけるＴＳＴの保管期間管理に係る処理の流れの例について概要を示したフローチャートである。 本発明の一実施の形態におけるタイムスタンプ保管サービスのアカウントの管理の例について概要を示した図である。

以下、本発明の実施の形態を図面に基づいて詳細に説明する。なお、実施の形態を説明するための全図において、同一部には原則として同一の符号を付し、その繰り返しの説明は省略する。一方で、ある図において符号を付して説明した部位について、他の図の説明の際に再度の図示はしないが同一の符号を付して言及する場合がある。

＜システム構成＞
図１は、本発明の一実施の形態であるタイムスタンプ管理システムの構成例について概要を示した図である。タイムスタンプ管理システム１は、ユーザの電子文書（原本）に対してタイムスタンプを発行するタイムスタンプ発行サービスを有する、もしくは外部のタイムスタンプ発行サービスと連携することで当該電子文書に係るＴＳＴを取得する機能を有する情報処理システムである。そして、取得したＴＳＴを公的機関によるタイムスタンプ保管サービス３と連携して保管する機能を有する。本実施の形態では、外部のタイムスタンプ局２と連携してタイムスタンプの発行（ＴＳＴの発行）を行い、発行されたＴＳＴを主にＩＮＰＩＴのタイムスタンプ保管サービスによって保管するものとして説明する。

タイムスタンプ管理システム１は、例えば、サーバ機器やクラウドコンピューティングサービス上に構築された仮想サーバ等により構成されたサーバシステムであるタイムスタンプ管理サーバ１０からなる。タイムスタンプ管理サーバ１０は、図示しないインターネット等のネットワークを介してタイムスタンプ局２やタイムスタンプ保管サービス３に接続し、これらと処理を連携することができる。また、ユーザ（複数であってもよい）は、自身が使用する情報処理端末であるユーザ端末４によって図示しないネットワークを介して接続し、タイムスタンプ管理システム１が提供する各種機能やサービスを利用することができる。

タイムスタンプ管理サーバ１０は、例えば、図示しないＣＰＵ（Central Processing Unit）により、ＨＤＤ（Hard Disk Drive）等の記録装置からメモリ上に展開したＯＳ（Operating System）やＤＢＭＳ（DataBase Management System）、Ｗｅｂサーバプログラム等のミドルウェアや、その上で稼働するソフトウェアを実行することで、タイムスタンプの管理サービスに係る後述する各種機能を実現する。

タイムスタンプ管理サーバ１０は、例えば、ソフトウェアとして実装された電子文書処理部１１、タイムスタンプ発行部１２、タイムスタンプ管理部１３、保管サービス連携部１４、ユーザ管理部１５等の各部を有する。また、データベースやファイルテーブル等により実装された保管状況管理データベース（ＤＢ）、ユーザＤＢ１７、設定ＤＢ１８等の各データストア（記録部）を有する。

電子文書処理部１１は、ユーザ端末４から送信された原本の電子文書５を取得するとともに、取得した電子文書５に対する各種処理を行う機能を有する。電子文書５の形式やフォーマット等は特に限定されず、テキストデータや音声データ、映像データ、所定のアプリケーション専用のデータフォーマット等、任意の種類・形式のファイルとすることができる。

電子文書５に対する処理として、具体的には例えば、後述するように、１つもしくは複数の電子文書５を添付した別の電子ファイルを作成する。この電子ファイルは、例えば、電子文書５を添付したＰＤＦ（Portable Document Format）ファイル１１１として作成する。この電子ファイルが原本保証の直接の対象となる。このように、原本の電子文書５を添付したＰＤＦファイル１１１を作成することで、多様な種類の電子文書５に対する原本保証を一括して行うことができる。

なお、原本の電子文書５が単一のＰＤＦファイルであるような場合は、これを添付したＰＤＦファイル１１１の作成に代えて、電子文書５のＰＤＦファイル自体を直接原本保証の対象となるＰＤＦファイル１１１としてもよい。すなわち、本実施の形態では、「原本の電子文書５が添付されたＰＤＦファイル」という概念には、「原本の電子文書５である単一のＰＤＦファイル」も含むものとする。

電子文書処理部１１では、電子文書５に対する処理として、さらに、原本保証の対象となる電子ファイル（すなわち、電子文書５が添付されたＰＤＦファイル１１１）に対して、所定のハッシュアルゴリズムによりハッシュ値１１３を算出して、後述するタイムスタンプ発行部１２に出力する。そして、タイムスタンプ発行部１２から出力されたＴＳＴ２１をＰＤＦファイル１１１の所定の領域（例えば署名欄）に格納する。また、ＴＳＴ２１を後述するタイムスタンプ管理部１３等によりタイムスタンプ保管サービス３に保管した際に取得する預入情報についても、ＰＤＦファイル１１１の所定の領域（例えばファイル名）に格納する。なお、署名欄にＴＳＴ２１を格納したり、ファイル名を変更したりしても、ＰＤＦファイル１１１（電子ファイル）のハッシュ値１１３は変わらない。

ＴＳＴ２１が格納されたＰＤＦファイル１１１については、タイムスタンプが付与されて原本保証がされた電子ファイルとしてこれをユーザ端末４に送信する。このとき、電子文書処理部１１が最初にユーザ端末４から取得した原本の電子文書５や、送信済みのＰＤＦファイル１１１については、例えば、ユーザの設定等に基づいて、削除して残さないようにしてもよいし、ＴＳＴ２１に係る情報と関連付けて保管するようにしてもよい。

電子文書処理部１１では、電子文書５に対する処理として、さらに、後述するように、タイムスタンプ局２においてＴＳＴ２１の発行の際に付与される時刻情報を事前に予測し、予測した時刻情報（予測時刻情報）をＰＤＦファイル１１１内に記載しておくようにしてもよい。例えば、作成したＰＤＦファイル１１１を開いた場合に表示される最初のページ内の所定の位置等のように、ユーザによって視認され易い位置に予測時刻情報を記載する。

このように、予測時刻情報をＰＤＦファイル１１１内に記載しておき、この予測時刻情報と、タイムスタンプ局２においてＴＳＴ２１の発行の際に付与された時刻情報とが一致する場合に、当該ＰＤＦファイル１１１には真正な時刻情報が記載されていると判断することができる。そして、この場合にのみ、当該ＴＳＴ２１をＰＤＦファイル１１１の所定の領域へ格納するようにしてもよい。このように、ＰＤＦファイル１１１に真正な時刻情報が記載されるようにすることで、ユーザは、タイムスタンプ局２で認証が行われたときの時刻情報を容易に確認することができる。

ＰＤＦファイル１１１に記載した予測時刻情報とＴＳＴ２１の時刻情報とが一致しない場合、すなわち、ＰＤＦファイル１１１に記載した予測時刻情報が真正ではない場合に、ＰＤＦファイル１１１を再作成してタイムスタンプの付与を再実行するようにしてもよい。例えば、取得したＴＳＴ２１の時刻情報を参照して、これと近くなるように予測時刻情報を変更し、これを記載した新たなＰＤＦファイル１１１を作成する。そして、作成されたＰＤＦファイル１１１のハッシュ値１１３を計算してタイムスタンプ発行部１２に受け渡す。これにより、新たなハッシュ値１１３に対応するＴＳＴ２１がタイムスタンプ局２により生成され、これをタイムスタンプ発行部１２を介して取得することになる。

なお、電子文書処理部１１においてＰＤＦファイル１１１に記載した予測時刻情報とＴＳＴ２１の時刻情報とが一致するか否かを判定する際、厳密な一致ではなく所定の単位で一致するか否かを判定してもよい。例えば、日付（day）や時間（hour）等の単位で一致するか否かを判定してもよい。

タイムスタンプ発行部１２は、電子文書処理部１１により算出されたハッシュ値１１３を取得してこれをタイムスタンプ局２に送信し、タイムスタンプ局２で生成されたＴＳＴ２１を受信する機能を有する。なお、タイムスタンプ局２では、受信したハッシュ値１１３と認証時刻情報とを合わせて秘密鍵で署名することでＴＳＴ２１を生成する。また、タイムスタンプ発行部１２は、タイムスタンプ局２から受信したＴＳＴ２１を、ＰＤＦファイル１１１に格納するために電子文書処理部１１に受け渡すとともに、タイムスタンプ保管サービス３で保管するために後述するタイムスタンプ管理部１３にも受け渡す。

タイムスタンプ管理部１３は、タイムスタンプ発行部１２から取得したＴＳＴ２１を、後述する保管サービス連携部１４を介してタイムスタンプ保管サービス３で保管する機能を有する。ユーザが既に取得して保有しているＴＳＴ２１がある場合に、これをユーザ端末４から受信して同様にタイムスタンプ保管サービス３で保管するようにしてもよい。

また、タイムスタンプ保管サービス３によるＴＳＴ２１の保管状況や、ＴＳＴ２１についての預入情報等を、原本である電子文書５の書誌情報等と関連付けて保管状況管理ＤＢ１６等によって管理する機能を有する。このように管理することで、ユーザは、タイムスタンプ管理システム１を用いて、例えば、原本である電子文書５やＰＤＦファイル１１１のファイル名、ＴＳＴ２１の保管日（保管期間）、担当者名等をキーとして検索し、抽出されたレコードに係るＰＤＦファイル１１１等を参照したり、ＴＳＴ２１の保管状況を確認したりすることができる。

また、タイムスタンプ管理部１３は、ユーザ端末４を介したユーザからの要求に応じてタイムスタンプ保管サービス３に保管されているＴＳＴ２１を保管サービス連携部１４を介して取得（払出）して、ユーザ端末４に送信する機能も有する。

タイムスタンプ保管サービス３によって保管されたＴＳＴ２１は、タイムスタンプ保管サービス３から送信される預入情報によって特定される。タイムスタンプ保管サービス３が預入情報を送信するタイミングは、任意のタイミングでよい。例えば、保管対象のＴＳＴ２１を受信した直後に都度送信してもよいし、送信対象の預入情報を所定期間溜めておいて、まとめて送信してもよい。もしくはユーザからの要求に応じて都度送信してもよい。

預入情報は、例えば、タイムスタンプ保管サービス３がユーザに対して保管（預入）が行われた旨の情報を提供するためのファイルやデータ、画面等の各種の媒体から取得することができる。各種媒体には、例えば、預入証明書や、保管されているＴＳＴ２１のリスト情報が含まれたＣＳＶ（Comma-Separated Values）ファイル、タイムスタンプ保管サービス３が出力した預入完了画面、後述する所定のメールアドレス宛に送信される預入完了通知メール等が含まれる。

例えば、預入証明書（例えば、ＰＤＦファイルとして構成される）については、含まれるテキスト情報からデータを取得することができる。また、ＴＳＴ２１のリスト情報については、タイムスタンプ保管サービス３からダウンロードしたＣＳＶファイルからデータを取得することができる。また、預入完了画面については、タイムスタンプ保管サービス３において預入証明書を出力したときの画面のＨＴＭＬ（HyperText Markup Language）ファイルからデータを取得することができる。また、預入通知メールについては、メールの件名および／または本文からデータを取得することができる。

預入情報には、例えば、タイムスタンプトークン管理番号、預入日時等の項目が含まれる。タイムスタンプトークン管理番号は、タイムスタンプ保管サービス３で保管されているＴＳＴ２１を一意に識別可能とする情報であり、各ＴＳＴ２１に対して割り振られた管理番号であってもよいし、預入毎に割り振られたシーケンス番号であってもよい。ユーザを識別するＩＤ等に関連付けられた番号であってもよい。預入日時は、タイムスタンプ保管サービス３でＴＳＴ２１を保管した日時であってもよいし、後述する保管サービス連携部１４から送信されたＴＳＴ２１に含まれる時刻情報（タイムスタンプ時刻情報）と関連付けられた時刻や情報であってもよい。また、これらの番号や時刻、情報等に所定の演算（乱数演算を含む）を行うことで得られた数値でもよい。また、数字に限らず、任意の文字を組み合わせた番号であってもよい。

預入情報は、将来、ユーザが、タイムスタンプ保管サービス３にバックアップとして保管されているＴＳＴ２１を活用しようとする場合に、保管されている多数のＴＳＴ２１の中から対象のＴＳＴ２１を特定することが可能な情報であればいずれの形態の情報であってもよい。また、関連する他の項目の情報が付加されていてもよい。預入情報に含まれる全ての項目の情報を特定の媒体のみから取得できるとは限らない（例えば、預入証明書には預入日付等の証明対象事項の情報は含まれるが、管理番号やシーケンス番号等の内部の管理情報は含まれない場合がある）。したがって、預入情報に含まれる各種の情報は、上述したような複数の媒体の中の１つから全て取得する場合に限られず、複数の媒体からそれぞれ部分的に取得したデータを統合して、全体として充足させるようにしてもよい。

なお、預入情報が時刻情報であった場合には、同じ時刻に複数のＴＳＴ２１が保管される場合も想定され、同じ預入情報が複数のＴＳＴ２１に付与される場合も起こり得る。このような場合であっても、預入情報を用いることで、保管されている多数のＴＳＴ２１の中から少なくともその同じ時刻情報の複数のＴＳＴ２１を特定する（対象を絞り込む）ことは可能である。その後、保管されているＴＳＴ２１を確認したいユーザは、例えば、それらのＴＳＴ２１に関連してタイムスタンプ保管サービス３に格納されているユーザ情報等を参照することで、所望のＴＳＴ２１を確認することができる。

なお、上述したように、ＴＳＴ２１をタイムスタンプ保管サービス３に保管した際に得られる預入情報は、電子文書処理部１１によってＰＤＦファイル１１１の所定の領域に格納される。当該所定の領域は、預入情報を格納してもＰＤＦファイル１１１のハッシュ値が変わらない領域（例えばファイル名）であるのが望ましい。ファイル名は、ＯＳが管理する領域に格納されており、ファイル名を変更しても当該ファイルのハッシュ値は不変である。したがって、本実施の形態では、預入情報をＰＤＦファイル１１１のファイル名に含める（例えば、追加または置換する）ものとする。

ファイル名は、ユーザにとって視認性が高い領域である。このため、電子ファイルが転々したとしても、将来その時刻情報の原本保証が必要になった場合に、ファイル名を確認するだけでタイムスタンプ保管サービス３にＴＳＴ２１が保管されているか否かをユーザが容易に判断することができる。なお、電子文書処理部１１では、預入情報をファイル名の冒頭もしくは末尾に追加してもよいし、ファイル名の途中に追加してもよい。既存のファイル名を預入情報に置換してもよい。すなわち、ＰＤＦファイル１１１のファイル名の一部または全部を変更・修正してよい。ファイル名は拡張子を含んでいてもよく、預入情報を含める際に拡張子を所定の拡張子に変更してもよい。

預入情報を格納する領域として、ファイル名に代えて、もしくはこれに加えて、ＰＤＦにおける「透かし」（署名）を表示するための画像・文字等を格納する署名外観の領域を用いてもよい。この領域に預入情報が含まれても、ファイル名と同様にＰＤＦファイル１１１のハッシュ値は変わらない。

保管サービス連携部１４は、タイムスタンプ保管サービス３と連携するためのインタフェースを提供する機能を有する。例えば、タイムスタンプ保管サービス３にアクセスするために、タイムスタンプ保管サービス３が提供するＡＰＩ（Application Programming Interface）を呼び出したり、ＨＴＴＰ（HyperText Transfer Protocol）でのＷｅｂサイトへのアクセス（Ｗｅｂスクレイピング）を利用したりする。

タイムスタンプ保管サービス３がこれらの外部インタフェースを提供もしくは利用許可しない場合には、ＴＳＴ２１の保管要求等のサービスの利用を自動的に行うことはできない。この場合は、例えば、ユーザが、独自にタイムスタンプ保管サービス３に直接アクセスしてＴＳＴ２１を手動で保管し、保管後にタイムスタンプ保管サービス３からダウンロード等により取得した、保管ＴＳＴ２１のリスト情報のＣＳＶファイルをタイムスタンプ管理サーバ１０にアップロードする。タイムスタンプ管理サーバ１０では、タムスタンプ管理部１３等により、アップロードされたＣＳＶファイルのデータをインポートし、保管状況管理ＤＢ１６に記録することで、対象のＴＳＴ２１の保管状況を管理対象に含めることができる。ＴＳＴ２１のリスト情報を含むＣＳＶファイルに代えて、ＴＳＴ２１の保管（預入）がされた旨をユーザに通知する預入完了通知メールを用いてもよい。

タイムスタンプ保管サービス３と連携する際、対象のユーザについてのタイムスタンプ保管サービス３におけるアカウント情報や、当該アカウントにおける各種の設定情報を、設定ＤＢ１８から取得して利用することができる。設定ＤＢ１８には、これらの情報が、後述するユーザ管理部１５およびユーザＤＢ１７によって管理されているタイムスタンプ管理システム１のユーザ情報と関連付けて登録されている。

保管サービス連携部１４は、自動的にタイムスタンプ保管サービス３にアクセスして、タイムスタンプ保管サービス３が提供するサービスを利用することができる。すなわち、タイムスタンプ保管サービス３にログインし、例えば、タイムスタンプ管理部１３から受け渡されたＴＳＴ２１をバックアップとして保管（預入）したり、取得（払出）してタイムスタンプ管理部１３に応答したりする機能を、ユーザに対してタイムスタンプ保管サービス３の存在を意識させることなく提供することができる。これにより、ユーザに対して、電子文書５に対するタイムスタンプの発行と、ＴＳＴ２１の保管というサービスをシームレスかつワンストップで提供することが可能となる。

このような、タイムスタンプ保管サービス３に対する連携機能において、例えば、タイムスタンプ保管サービス３が、保管（預入）等の処理の要求に対してユーザにワンタイムパスワードを入力させるような二段階認証を行う場合がある。その際、ワンタイムパスワードは、例えば、対象のアカウント情報において登録されているメールアドレス宛に送付される。

このような場合は、例えば、ユーザ端末４を介してユーザがタイムスタンプ保管サービス３に直接アクセスし、ワンタイムパスワードの入力を行うことができる。もしくは、タイムスタンプ管理サーバ１０が図示しないＷｅｂサーバプログラム等によりユーザ端末４に対して提供する画面に対してユーザがワンタイムパスワードを入力し、入力されたワンタイムパスワードを保管サービス連携部１４がタイムスタンプ保管サービス３に対して代理入力するようにしてもよい。これらにより、タイムスタンプ管理サービス３が提供するサービスを半自動的に利用することができる。

さらに、ワンタイムパスワードの入力に係る処理を自動的に行うことも可能である。具体的には、例えば、タイムスタンプ管理システム１において、法人や部署、グループ等の複数のユーザに対する管理ユーザや代表ユーザの設定を可能とし、これら管理ユーザ等に関連付けられたメールアドレス宛に送信された電子メールについては、タイムスタンプ管理システム１が受信して内容を参照することができるようにしておく。そして、当該管理ユーザ等に関連付けて、タイムスタンプ保管サービス３のアカウントを取得し、対応するメールアドレスを登録しておく。そして、当該管理ユーザ等によって代表される通常の各ユーザが、タイムスタンプ保管サービス３が提供するサービスを利用する際に、当該管理ユーザ等が各ユーザに代わって代理実行する。すなわち、タイムスタンプ保管サービス３に対するアクセスは、当該管理ユーザ等が代表して一元的に行う。これにより、いずれのユーザがタイムスタンプ保管サービス３が提供するサービスを利用しようとしても、ワンタイムパスワードは当該管理ユーザ等に関連付けられたメールアドレス宛に送信され、タイムスタンプ管理システム１がこれを参照して、保管サービス連携部１４によって自動的に入力することができる。なお、この場合、後続のユーザの処理のために、該当の処理が完了した時点で都度ログアウトするようにしてもよい。

加えて、タイムスタンプ保管サービス３のアカウントをまだ取得していない場合で、タイムスタンプ保管サービス３の仕様上可能な場合には自動的もしくは半自動的にアカウントを代理取得した上でログインする機能を有していてもよい。

例えば、タイムスタンプ管理サーバ１０が図示しないＷｅｂサーバプログラム等によりユーザ端末４に対して提供する、電子文書５に対するタイムスタンプの発行やＴＳＴ２１の保管の要求を受け付けるための画面において、タイムスタンプ保管サービス３のアカウント作成に必要な項目を入力する欄を設け、ユーザにより入力された値を用いて自動的にアカウントを代理取得するようにしてもよい。入力欄は、新たに設けてもよいし、既存の入力画面におけるメモ欄等、汎用的な情報を入力できる欄を適宜代用するようにしてもよい。例えば、電子メールアドレスを２回入力する必要がある場合は、メモ欄に２回入力させるようにすることができる。アカウント取得に必要な項目の入力がされていない場合には、ユーザ端末４に対してエラーを応答するようにしてもよい。

タイムスタンプ保管サービス３におけるアカウントの取得時のプロセスが、例えば、利用規約の表示と同意の入力や、仮登録・本登録の二段階での処理等、ユーザによる操作を要求するものとなっている場合は、必要に応じて、ユーザ端末４を介してユーザがタイムスタンプ保管サービス３に直接アクセスしてこれらの操作を行えるようにしてもよい。

取得したアカウント情報（ＩＤやパスワード等）は、上述したように、例えば、ユーザＤＢ１７や設定ＤＢ１８に、対象のユーザのタイムスタンプ管理システム１におけるユーザＩＤ等の識別情報、および氏名や電子メールアドレス等の属性情報と関連付けて記録しておく。アカウントの取得日や用途・取得目的等の参照情報を関連付けて記録しておいてもよい。

本実施の形態では、保管サービス連携部１４は、さらに、タイムスタンプ保管サービス３が有する機能を補完・拡充する各種機能を有する。このとき、例えば、電子文書処理部１１やタイムスタンプ発行部１２、タイムスタンプ管理部１３（およびユーザ端末４）等の他の各部と連携してもよい。

具体的には例えば、上述したように、タイムスタンプ保管サービス３でのＴＳＴ２１の保管状況や、タイムスタンプ保管サービス３から取得した預入情報等を、電子文書５の書誌情報やユーザ情報と関連付けて保管状況管理ＤＢ１６によって管理する。これにより、例えば、原本の電子文書５が転々して所有者の来歴が分からなくなったような場合であっても、タイムスタンプ保管サービス３にアクセスして検索等を行うことなく、対象の電子文書５に係るＴＳＴ２１がタイムスタンプ保管サービス３にバックアップとして保管されているか否かを確認することができる。

また、例えば、ＩＮＰＩＴのタイムスタンプ保管サービス３のように、アカウントの階層構造として主・副の２階層とすることができるような場合に、後述するように、タイムスタンプ管理システム１のユーザ管理体系と関連付けて、仮想的に３階層以上の階層構造とすることも可能である。

また、アカウント作成に限らず、ＴＳＴ２１の保管等も含む、タイムスタンプ保管サービス３が提供する各種メニューや機能・サービスへのアクセスに際して、タイムスタンプ保管サービス３におけるサービス提供が２４時間３６５日ではない場合に、サービスの利用可能時間の管理を行うようにしてもよい。すなわち、タイムスタンプ保管サービス３の利用可能時間が日付や曜日、時間帯等で限定されている場合に、タイムスタンプ保管サービス３が開示しているカレンダーやスケジュール、タイムテーブル等の情報を保持しておくことで、各サービスの利用可否を事前に判断する。

例えば、タイムスタンプ保管サービス３に対してアカウント作成やＴＳＴ２１の保管等のサービスを利用するためにアクセスしようとする場合、カレンダーやタイムテーブル等を参照して事前にサービスが利用可能であるか否かを確認し、サービスが停止中の場合は、サービスが再開するまで利用要求を保留する（サービス再開時の利用を内部的に予約する）。そして、サービス再開と同時に利用要求を行う。これにより、無用なアクセスを排除するとともに、ＴＳＴ２１の保管等、可能な限り早い実行が望ましい処理については、迅速に実行することが可能となる。

タイムスタンプ保管サービス３においてメニューや機能・サービス毎に利用可能時間が異なる場合は、メニュー等の単位で利用可否を管理する。例えば、現時点でＴＳＴ２１の保管メニューは利用不可だがアカウント作成については利用可能である、というような場合に、アカウントの代理作成だけは行っておくことで、ＴＳＴ２１の保管メニューの再開時により迅速に実行することが可能となる。

また、タイムスタンプ保管サービス３において、保管されているＴＳＴ２１をアカウント間で移管した場合（移管元のアカウントから削除し、移管先のアカウントにおいて新規に保管した場合も含む）に、アカウント間での移管の履歴を保管状況管理ＤＢ１６において、タイムスタンプ管理システム１のユーザ情報と関連付けて管理することも可能である。これにより、ＴＳＴ２１の保管者が次々に交代したような場合であっても容易にトラッキングすることが可能である。例えば、少なくとも、アカウントを特定できる識別情報（アカウントＩＤ等）と、保管を特定できる識別情報（保管ＩＤまたはハッシュ値等）と、移管を識別する識別情報（通番等）をトラッキング用に保存する。そして、保管を特定できる識別情報をキーとしてレコードを抽出することで、過去のアカウントを特定できる識別情報を履歴順に表示することが可能である。

また、電子文書５に対してタイムスタンプ局２によりＴＳＴ２１が発行された都度、タイムスタンプ保管サービス３にＴＳＴ２１を保管するのに代えて、ユーザからの指示に基づいて複数の電子文書５に対して発行された複数のＴＳＴ２１について一括してタイムスタンプ保管サービス３に保管できるようにしてもよい。

このとき、保管しようとするＴＳＴ２１の数が、タイムスタンプ保管サービス３において一括して保管できるＴＳＴ２１の数の上限を超えている場合は、自動的に複数回に分割して一括保管してもよいし、保管を行う前にユーザ端末４に対して警告を出力するようにしてもよい。複数回に分割して一括保管する場合には、各保管依頼について同期的に順次実行（タイムスタンプ保管サービス３からの正常処理の応答を待って次の依頼を行う）してもよいし、非同期的に実行（タイムスタンプ保管サービス３からの応答を待たずに複数の処理依頼を同時もしくは略同時に並行して行う）してもよい。

また、タイムスタンプ保管サービス３では、通常、ＴＳＴ２１を保管する際に、ＴＳＴ２１の識別を容易にするためのメモ等の自由入力情報を付加することができるが、このメモ情報の入力を、タイムスタンプ管理システム１におけるメモ情報の入力として間接的に受け付けるようにしてもよい。例えば、タイムスタンプ管理システム１において、ユーザから電子文書５に対するタイムスタンプの発行の要求を受け付ける際や、タイムスタンプ保管サービス３へのＴＳＴ２１の保管の要求を受け付ける際にユーザ端末４に表示される入力画面のメモ欄において、タイムスタンプ保管サービス３に対して入力されるメモ情報についても入力させることができる。

また、タイムスタンプ保管サービス３が有するＴＳＴ２１の保管期間の更新の機能を拡張して、より長い保管期間をより容易かつ柔軟に実現することが可能である。例えば、タイムスタンプ保管サービス３が、ＴＳＴ２１の保管期間に制限を有し、保管期間の満了前の所定の更新期間内に限りこれを更新できるものとしている場合、後述するように、ユーザが所望する保管期間がこれよりも長い場合に、更新期間中に、保管期間を自動的に代理更新するようにしてもよい。一方、ＴＳＴ２１自体の有効期限がユーザが所望する保管期間より短い場合には、ＴＳＴ２１の有効期限を更新して（もしくは再度タイムスタンプを発行して）、これをタイムスタンプ保管サービス３に保管するようにしてもよい。

ユーザ管理部１５は、タイムスタンプ管理システム１を利用するユーザの情報をユーザＤＢ１７に保持し、ユーザ認証やアクセス制御等を行う機能を有する。ユーザＤＢ１７の情報を、外部の人事データベース等と連携させる機能を有していてもよい。また、ユーザ毎の個人設定の入力を受け付けてユーザＤＢ１７や設定ＤＢ１８に記録するようにしてもよい。また、上述したように、タイムスタンプ保管サービス３のアカウントの階層構造を拡張して仮想的に３階層以上の階層構造とするため、タイムスタンプ管理システム１におけるユーザ情報と、タイムスタンプ保管サービス３におけるアカウント情報との関連付けに係る情報をユーザＤＢ１７や設定ＤＢ１８に記録する機能を有していてもよい。

＜処理シーケンス（全体）＞
図２は、本実施の形態におけるタイムスタンプ発行に係る全体的な処理の流れの例について概要を示した図である。また、図３は、本実施の形態における電子文書５の遷移状況を模式的に示した図である。以下では、図２、図３を用いて全体的な処理のシーケンスを説明する。

まず、ユーザがユーザ端末４により原本である電子文書５をタイムスタンプ管理サーバ１０に送信（アップロード）する（Ｓ０１）。電子文書５のファイル名やフォーマット等は特に限定されないが、図３の例では、電子文書５のファイル名を「ＡＢＣ．ｔｘｔ」としている。上述したように、本実施の形態では、複数の電子文書５を一括して１つのセットとして取り扱うこともできる。

タイムスタンプ管理サーバ１０では、電子文書処理部１１により、受信した電子文書５を添付したＰＤＦファイル１１１を作成する（Ｓ０２）。図３の例では、ＰＤＦファイル１１１のファイル名を「ＡＢＣ．ｐｄｆ」としている。このとき、上述したように、後にタイムスタンプ局２においてＴＳＴ２１の発行の際に付与される時刻情報を予測し、得られた予測時刻情報１１２についてもＰＤＦファイル１１１内に記載しておく。その後、ＰＤＦファイル１１１のハッシュ値１１３を計算し、これをタイムスタンプ発行部１２によりタイムスタンプ局２に送信する（Ｓ０３）。

タイムスタンプ局２では、受信したハッシュ値１１３と、時刻認証を行って得られる時刻情報２２とを含むＴＳＴ２１を生成して、これをタイムスタンプ管理サーバ１０に送信する（Ｓ０４）。タイムスタンプ管理サーバ１０では、電子文書処理部１１（もしくはタイムスタンプ発行部１２）により、ＰＤＦファイル１１１に記載されている予測時刻情報１１２と、ＴＳＴ２１に含まれる時刻情報２２とが一致しているか否かを確認する（Ｓ０５）。一致している場合は、ＰＤＦファイル１１１に記載されている予測時刻情報１１２が真正な認証時刻となる。

ＰＤＦファイル１１１に記載されている予測時刻情報１１２とＴＳＴ２１に含まれる時刻情報２２とが一致している場合は、電子文書処理部１１により、取得したＴＳＴ２１をＰＤＦファイル１１１の所定の領域（例えば署名欄）に格納する（Ｓ０６）。この時点では、図３の例に示すように、ＰＤＦファイル１１１のファイル名は「ＡＢＣ．ｐｄｆ」のままである。また、ＰＤＦファイル１１１の表面上は変化がないため、ハッシュ値１１３も変わらない。

その後、タイムスタンプ管理部１３により、保管サービス連携部１４を介して、ＴＳＴ２１をタイムスタンプ保管サービス３に送信する（Ｓ０７）。タイムスタンプ保管サービス３では、受信したＴＳＴ２１を保管する（Ｓ０８）とともに、当該ＴＳＴ２１に係る預入情報３１を作成し、これをタイムスタンプ管理サーバ１０に送信する（Ｓ０９）。タイムスタンプ管理サーバ１０では、タイムスタンプ管理部１３（もしくは保管サービス連携部１４）により、受信した預入情報３１と電子文書５に係る書誌情報とを関連付けて、ＴＳＴ２１の保管状況として保管状況管理ＤＢ１６に記録する（Ｓ１０）。

そして、電子文書処理部１１により、ＰＤＦファイル１１１のファイル名に預入情報３１を挿入する（Ｓ１１）。図３の例では、例えば、預入情報３１が“ＸＸＸＸＸ”という文字列であった場合に、これをＰＤＦファイル１１１のファイル名に挿入して「ＡＢＣ＿ＸＸＸＸＸ．ｐｄｆ」としている。この場合、上述したように、ＰＤＦファイル１１１のファイル名以外は変化がないため、ＰＤＦファイル１１１のハッシュ値は変わらない。なお、実際の預入情報３１には、例えば、タイムスタンプトークン管理番号等、タイムスタンプ保管サービス３において保管したＴＳＴ２１を特定することができる識別情報が設定される。

その後、電子文書処理部１１により、ＰＤＦファイル１１１をユーザ端末４に送信する（Ｓ１２）。これにより、ユーザ端末４では、原本の電子文書５が添付され、真正な認証時刻（予測時刻情報１１２）が記載され、ＴＳＴ２１が格納され、預入情報３１がファイル名に追加された状態のＰＤＦファイル１１１を取得することができる（Ｓ１３）。

なお、図３の例では、預入情報３１をＰＤＦファイル１１１のファイル名に挿入するものとして説明したが、上述したように、預入情報３１を署名外観の領域に格納するようにしてもよい。また、上述したように、ＰＤＦファイル１１１には認証時刻（予測時刻情報１１２）が記載されていなくてもよい。

＜処理の流れ（タイムスタンプ発行＞
図４は、本実施の形態におけるタイムスタンプ管理サーバ１０でのタイムスタンプ発行に係る処理の流れの例について概要を示したフローチャートである。まず、電子文書処理部１１が、ユーザ端末４から原本の電子文書５を受信する（Ｓ２１）。そして、受信した電子文書５を添付し、予測時刻情報１１２を記載したＰＤＦファイル１１１（電子ファイル）を作成する（Ｓ２２）。そして、作成したＰＤＦファイル１１１のハッシュ値１１３を計算して、タイムスタンプ発行部１２に受け渡す（Ｓ２３）。タイムスタンプ発行部１２では、取得したハッシュ値１１３をタイムスタンプ局２に送信し（Ｓ２４）、タイムスタンプ局２から応答されたＴＳＴ２１を受信する（Ｓ２５）。なお、ＴＳＴ２１の受信は、ステップＳ２４でのハッシュ値１１３の送信と同期／非同期いずれであってもよい。

その後、電子文書処理部１１（もしくはタイムスタンプ発行部１２）により、ＰＤＦファイル１１１に記載されている予測時刻情報１１２と、ＴＳＴ２１に含まれる時刻情報２２とが一致しているか否かを判定する（Ｓ２６）。上述したように、この判定に際しては、厳密な一致ではなく所定の単位で一致するか否かを判定するようにしてもよい。予測時刻情報１１２と時刻情報２２とが一致していない場合（Ｓ２６：Ｎｏ）は、電子文書処理部１１によって予測時刻情報１１２を変更し（Ｓ２７）、ステップＳ２２に戻って処理を再度繰り返す。なお、この繰り返し処理に対する制限回数を設定しておき、制限回数を超えて繰り返し処理が行われる場合には、例えば、処理を一旦停止させ、ユーザ端末４に対してエラーを通知するようにしてもよい。

ステップＳ２６で予測時刻情報１１２と時刻情報２２とが一致する場合（Ｓ２６：Ｙｅｓ）は、電子文書処理部１１により、取得したＴＳＴ２１をＰＤＦファイル１１１の所定の領域（例えば署名欄）に格納する（Ｓ２８）。また、タイムスタンプ管理部１３により、取得したＴＳＴ２１を、保管サービス連携部１４を介してタイムスタンプ保管サービス３に送信するＴＳＴ保管処理を行う（Ｓ２９）。ＴＳＴ保管処理における固有の処理の内容については後述する。

その後、電子文書処理部１１は、タイムスタンプ保管サービス３から送信された対象のＴＳＴ２１に係る預入情報３１を、ＰＤＦファイル１１１の所定の領域（例えば、ファイル名等、ハッシュ値１１３が変わらない領域）に格納する（Ｓ３０）。そして、当該ＰＤＦファイル１１１をユーザ端末４に送信し（Ｓ３１）、処理を終了する。

＜処理の流れ（ＴＳＴ保管）＞
図５は、本実施の形態におけるタイムスタンプ管理サーバ１０でのＴＳＴ保管処理の流れの例について概要を示したフローチャートである。ここでの一連の処理は、図４の例におけるステップＳ２９での処理に該当する。

タイムスタンプ管理部１３が、保管対象のＴＳＴ２１を保管サービス連携部１４に渡して、タイムスタンプ保管サービス３へのＴＳＴ２１の保管を指示すると、保管サービス連携部１４では、まず、タイムスタンプ保管サービス３のサービス時間を確認する（Ｓ４１）。例えば、予め保持しているスケジュールやカレンダー、タイムテーブル等の情報を参照してもよいし、タイムスタンプ保管サービス３に実際にアクセスして確認してもよい。上述したように、タイムスタンプ保管サービス３のサービス提供状況によっては、当該サービスを利用する処理の全部もしくは一部の実行をサービス再開まで保留するようにしてもよい。

サービスが利用可能な場合は、ユーザＤＢ１７および設定ＤＢ１８を参照して、対象のユーザに係るタイムスタンプ保管サービス３のアカウントがあるか否かを判定する（Ｓ４２）。アカウントが既にある場合（Ｓ４２：Ｙｅｓ）は、対象のアカウント情報をユーザＤＢ１７もしくは設定ＤＢ１８から取得してステップＳ４７へ進む。

一方、アカウントがまだない場合（Ｓ４２：Ｎｏ）は、アカウントを取得するために必要となる入力事項を取得する（Ｓ４３）。例えば、上述したように、タイムスタンプ管理サーバ１０が図示しないＷｅｂサーバプログラム等によりユーザ端末４に対して提供する、電子文書５に対するタイムスタンプの発行やＴＳＴ２１の保管の要求を受け付けるための画面において、タイムスタンプ保管サービス３のアカウント取得に必要な項目を入力する欄を設け、ここに入力された値を取得する。入力欄は、新たに設けてもよいし、既存の入力画面におけるメモ欄等、汎用的な情報を入力できる欄を適宜代用するようにしてもよい。タイムスタンプ管理システム１におけるユーザ情報から転用可能な情報については、ユーザＤＢ１７等から取得するようにしてもよい（Ｓ４４）。

アカウントを取得するために必要な情報が取得できた場合は、保管サービス連携部１４は、タイムスタンプ保管サービス３にアクセスして、取得した情報に基づいてアカウントを代理で取得する（Ｓ４５）。そして、取得したアカウント情報を、タイムスタンプ管理システム１のユーザ情報と関連付けて、ユーザＤＢ１７もしくは設定ＤＢ１８に記録する（Ｓ４６）。なお、図５の例では、タイムスタンプ保管サービス３に対して自動的にアカウント取得要求を行ってアカウントを取得するものとして説明したが、上述したように、タイムスタンプ保管サービス３において、アカウントの取得時にユーザによる操作を要求するプロセスとなっている場合は、必要に応じて、ユーザ端末４を介してユーザにタイムスタンプ保管サービス３に対する操作を行わせるようにしてもよい。

その後、対象のユーザに関連付けられた、既存の、もしくは新規に取得したアカウント情報を用いてタイムスタンプ保管サービス３に自動的にもしくは半自動的に代理でログインする（Ｓ４７）。そして、保管対象のＴＳＴ２１をタイムスタンプ保管サービス３へ送信して、保管を要求する（Ｓ４８）。そして、タイムスタンプ保管サービス３から送信された、対象のＴＳＴ２１の保管に係る預入情報３１を受信し（Ｓ４９）、タイムスタンプ管理部１３（もしくは保管サービス連携部１４）により、受信した預入情報３１と電子文書５に係る書誌情報とを関連付けて、ＴＳＴ２１の保管状況として保管状況管理ＤＢ１６に記録する（Ｓ５０）。

なお、ステップＳ４８におけるＴＳＴ２１の保管の要求に対して、タイムスタンプ保管サービス３においてエラーとなった場合、タイムスタンプ保管サービス３がその旨を通知する電子メールを対象のアカウントについて登録されたメールアドレス宛に送信する仕様である場合には、ユーザは、エラーとなったことを認識することができる。一方、タイムスタンプ保管サービス３において電子メールは送信せず、エラーとなった旨を画面表示するのみの仕様である場合には、例えば、保管サービス連携部１４が当該画面内容を把握し、タイムスタンプ管理システム１において対象のユーザについて登録されたメールアドレス宛に、エラーとなった旨を通知する電子メールを送信するようにしてもよい。

＜処理の流れ（保管期間管理）＞
図６は、本実施の形態におけるＴＳＴ２１の保管期間管理に係る処理の流れの例について概要を示したフローチャートである。上述したように、例えば、タイムスタンプ保管サービス３が、ＴＳＴ２１の保管期間に制限（例えば預入から１０年間）を有し、保管期間の満了前の所定の更新期間内（例えば保管期間満了前６ヶ月）に限りこれを更新できるものとしている場合がある。一方で、ユーザが、タイムスタンプ保管サービス３での保管期間（更新された保管期間も含む）よりも更に長期間の保管を所望する場合も想定される。また、タイムスタンプ局２により発行されたＴＳＴ２１自体に有効期限が設定されている場合もある。そこで、本実施の形態では、ユーザが所望する保管期間を実現するよう、タイムスタンプ保管サービス３に対する保管期間の延長の処理を自動的に行う等の管理を行うものとする。

まず、タイムスタンプ管理サーバ１０が、タイムスタンプ保管サービス３から、保管されているＴＳＴ２１について保管期間満了前の更新期間内に入った旨を案内する通知を受領する（Ｓ５１）。通知は、例えば、対象のＴＳＴ２１を所有するアカウント（ユーザ）に対する電子メール等により行われる。タイムスタンプ保管サービス３からの通知に代えて、もしくはこれに加えて、タイムスタンプ管理システム１が独自に管理している保管期間の情報に基づいて行う通知を用いるようにしてもよい。

その後、タイムスタンプ管理部１３では、保管状況管理ＤＢ１６もしくは設定ＤＢ１８を参照し、対象のＴＳＴ２１についてユーザが設定した（ユーザが所望する）保管期間、およびＴＳＴ２１に設定された有効期限の情報を取得する（Ｓ５２）。そして、ユーザが設定した保管期間を実現するために、ＴＳＴ２１の有効期限の更新が必要か否かを判定する（Ｓ５３）。すなわち、ユーザが設定した保管期間に対して、ＴＳＴ２１に設定されている有効期限が不足しているか否かを判定する。

ＴＳＴ２１の有効期限の更新が必要である場合（Ｓ５３：Ｙｅｓ）は、タイムスタンプ発行部１２を介してタイムスタンプ局２によりＴＳＴ２１の有効期限の更新（延長）を行う（Ｓ５４）。有効期限の更新ができないような場合には、当該ＴＳＴ２１に係る電子文書５に対して、再度タイムスタンプの発行を行い、新たな有効期限を有するＴＳＴ２１を取得してもよい。そして、新たな有効期限を有するＴＳＴ２１を、図５の例に示した処理と同様の処理によってタイムスタンプ保管サービス３に新たに保管し（Ｓ５５）、ステップＳ６２に進む。

一方、ＴＳＴ２１の有効期限の更新が不要である場合（Ｓ５３：Ｎｏ）は、次に、タイムスタンプ保管サービス３における保管期間の更新（延長）が必要か否かを判定する（Ｓ５６）。すなわち、ユーザが設定した保管期間に対して、タイムスタンプ保管サービス３における現状の保管期間が不足しているか否かを判定する。保管期間の更新が不要である場合（Ｓ５６：Ｎｏ）は、そのまま処理を終了する。すなわち、タイムスタンプ保管サービス３における現状の保管期間をそのまま満了させてＴＳＴ２１の保管を終了する。

一方、保管期間の更新が必要である場合（Ｓ５６：Ｙｅｓ）は、タイムスタンプ保管サービス３において保管期間の更新が可能か否かを判定する（Ｓ５７）。すなわち、タイムスタンプ保管サービス３における保管期間の更新回数の上限等の制約条件を満たしているか否かを判定する。保管期間の更新ができない場合（Ｓ５７：Ｎｏ）は、例えば、対象のＴＳＴ２１をタイムスタンプ保管サービス３から払出を受ける等により取得して、これを図５の例に示した処理と同様の処理によってタイムスタンプ保管サービス３に新たに保管する（Ｓ５５）。

一方、保管期間の更新が可能である場合（Ｓ５７：Ｙｅｓ）は、タイムスタンプ保管サービス３のサービス時間を確認した上で（Ｓ５８）、対象のユーザに関連付けられたアカウント情報を用いてタイムスタンプ保管サービス３に自動的にもしくは半自動的に代理でログインする（Ｓ５９）。そして、対象のＴＳＴ２１についての保管期間の更新を要求し（Ｓ６０）、タイムスタンプ保管サービス３から送信された、対象のＴＳＴ２１に係る保管期間更新後の新たな預入情報３１を受信する（Ｓ６１）。そして、タイムスタンプ管理部１３（もしくは保管サービス連携部１４）により、保管状況管理ＤＢ１６に記録されている電子文書５に係る書誌情報を、受信した預入情報３１によって更新する（Ｓ６２）。

その後、ステップＳ５５で新たにＴＳＴ２１を保管した場合も併せて、タイムスタンプ保管サービス３から取得した新たな預入情報３１を、ＰＤＦファイル１１１の所定の領域に格納もしくは更新し（Ｓ６３）、処理を終了する。なお、タイムスタンプ保管サービス３において保管期間を更新した場合でも預入情報３１に変更がない、すなわち同一の預入情報３１で管理が継続される場合は、その後の預入情報３１に係る処理は不要である。

以上の一連の処理により、タイムスタンプ保管サービス３が有するＴＳＴ２１の保管期間の更新の機能を拡張して、より長い保管期間をより容易かつ柔軟に実現することが可能である。

＜アカウント管理＞
本実施の形態では、上述したように、タイムスタンプ管理システム１におけるユーザＩＤ等のユーザ情報と、タイムスタンプ保管サービス３におけるアカウント情報とを関連付けて管理する。これにより、タイムスタンプ保管サービス３に対して、対象のユーザに対応するアカウント情報を用いて、当該ユーザに代理して自動的にアクセスすることを可能としている。

ここで、例えば、タイムスタンプ管理システム１におけるユーザ情報が、人事データベース等と連携して部署等の階層構造に応じて３階層以上の多階層の構造となっている場合に、ＩＮＰＩＴのタイムスタンプ保管サービス３のようにアカウントの階層構造が２階層までしか対応できない場合、そのままでは階層構造を適切にマッピングすることができない。なお、ユーザやアカウントの階層構造とは、下位のユーザ（一般利用者）は自身に関連する情報のみ操作・閲覧することが可能である一方、その上位のユーザ（マスタ利用者）は、自身に関連するものに加えて、配下の全てのユーザに関連する情報についても操作・閲覧することができることを指す。また、配下のユーザに係るユーザ情報やアカウント情報の登録・更新等の操作も可能である。

本実施の形態では、タイムスタンプ保管サービス３がアカウントの階層構造として主（上位）・副（下位）の２階層までしか対応していない場合に、各アカウントを識別する固有情報（例えば、「氏名」および「メールアドレス」）を適切に設定して、タイムスタンプ管理システム１におけるユーザ情報と関連付けて管理することで、仮想的に３階層以上の階層構造を実現する。なお、本実施の形態では、タイムスタンプ保管サービス３は、同一の「氏名」であっても「メールアドレス」を変えることで複数のアカウントを作成することができるものとする。

図７は、本実施の形態におけるタイムスタンプ保管サービス３のアカウントの管理の例について概要を示した図である。図中では、タイムスタンプ管理システム１におけるユーザの階層構造（３階層）を模式的に示し、それぞれのユーザに対して割り当てられたタイムスタンプ保管サービス３でのアカウント情報（「氏名」、「メールアドレス」）についても示している。

図７の例では、タイムスタンプ保管サービス３において、同一の「氏名」に対して異なる「メールアドレス」をそれぞれ設定したアカウントを複数作成し、これらのアカウントを主として、それぞれに副のアカウントを設定することで、仮想的に３階層化する例を示している。ここでは、最上位の第１階層と第２階層の各ユーザに割り当てられたアカウントは、「氏名」がいずれも“ＡＡＡＡ”で同じであるが、「メールアドレス」がそれぞれ異なっているため、異なるアカウントとなっている。

ここで、第２階層の各ユーザに割り当てられたアカウントを主のアカウントとして、タイムスタンプ保管サービス３において作成された副のアカウントを、第３階層の各ユーザにそれぞれ割り当てる。これにより、第２階層と第３階層の間で階層構造を形成することができる。

一方、第１階層と第２階層については、異なるアカウントではあるが、タイムスタンプ保管サービス３において階層構造は形成されていない。これに対して、例えば、第１階層のユーザについてのみ、同一「氏名」の全てのアカウントに係るアカウントＩＤやパスワード等の認証情報を関連付けてユーザＤＢ１７や設定ＤＢ１８に記録しておくことで、内部的に第２階層の各ユーザに割り当てられたアカウントについても利用可能とする。これにより、仮想的に、第１階層のユーザに割り当てられたアカウントを第２階層のユーザに割り当てられたアカウントの管理者のように取り扱うことができる。なお、この場合の「氏名」の内容（例えば“ＡＡＡＡ”）は、ユーザ個人の識別情報ではなく部署や組織等のユーザの集合を識別する情報として取り扱うのが適切である。

以上に説明したように、本発明の一実施の形態であるタイムスタンプ管理システム１によれば、ユーザの電子文書５に対してタイムスタンプ局２により発行されたＴＳＴ２１を取得して、これをＩＮＰＩＴ等の公的機関によるタイムスタンプ保管サービス３と連携して保管することができる。そして、タイムスタンプ保管サービス３の機能をさらに拡充した上で、タイムスタンプ局２によるタイムスタンプの発行サービスと連携させて、ワンストップでのタイムスタンプ管理サービスを実現することができる。

以上、本発明者によってなされた発明を実施の形態に基づき具体的に説明したが、本発明は上記の実施の形態に限定されるものではなく、その要旨を逸脱しない範囲で種々変更可能であることはいうまでもない。例えば、上記の実施の形態は本発明を分かりやすく説明するために詳細に説明したものであり、必ずしも説明した全ての構成を備えるものに限定されるものではない。また、上記の実施の形態の構成の一部について、他の構成の追加・削除・置換をすることが可能である。

また、上記の各構成、機能、処理部、処理手段等は、それらの一部または全部を、例えば、集積回路で設計する等によりハードウェアで実現してもよい。また、上記の各構成、機能等は、プロセッサがそれぞれの機能を実現するプログラムを解釈し、実行することによりソフトウェアで実現してもよい。各機能を実現するプログラム、テーブル、ファイル等の情報は、メモリやハードディスク、ＳＳＤ（Solid State Drive）等の記録装置、またはＩＣカード、ＳＤカード、ＤＶＤ等の記録媒体に置くことができる。

また、上記の各図において、制御線や情報線は説明上必要と考えられるものを示しており、必ずしも実装上の全ての制御線や情報線を示しているとは限らない。実際にはほとんど全ての構成が相互に接続されていると考えてもよい。

なお、上記の実施の形態では、タイムスタンプ保管サービス３が、タイムスタンプ管理サーバ１０からＴＳＴ２１を受信してこれを保管し、預入情報３１を作成してこれをタイムスタンプ管理サーバ１０に送信する構成として説明したが、このような構成に限られない。例えば、タイムスタンプ保管サービス３がＴＳＴ２１を保管した後、ユーザが独自にタイムスタンプ保管サービス３にアクセスして所望のＴＳＴ２１を取得（払出）することができる。そして、タイムスタンプ保管サービス３から取得したＴＳＴ２１と、自身が保有するＴＳＴとを比較して同一性を確認し、同一性が確認された場合に、タイムスタンプ局２での認証時刻において対象の電子文書５が存在していたことをより確実に証明することができる。

この同一性の確認は、ユーザが手動で行ってもよいが、タイムスタンプ管理システム１上で行うことも可能である。例えば、タイムスタンプ管理サーバ１０に対してユーザが電子文書５の同一性の確認を要求すると、タイムスタンプ保管サービス３から対応するＴＳＴ２１を取得し、取得したＴＳＴ２１と、タイムスタンプ管理サーバ１０が保有するＴＳＴ２１とを比較して同一性を確認する。そして、タイムスタンプ局２での認証時刻と併せて確認結果をユーザに提示する構成としてもよい。

本発明は、電子文書に対して発行されたタイムスタンプトークンを管理するタイムスタンプ管理システム、タイムスタンプ管理方法、およびタイムスタンプ管理プログラムに利用可能である。

１…タイムスタンプ管理システム、２…タイムスタンプ局、３…タイムスタンプ保管サービス、４…ユーザ端末、５…電子文書、
１０…タイムスタンプ管理サーバ、１１…電子文書処理部、１２…タイムスタンプ発行部、１３…タイムスタンプ管理部、１４…保管サービス連携部、１５…ユーザ管理部、１６…保管状況管理ＤＢ、１７…ユーザＤＢ、１８…設定ＤＢ、２１…ＴＳＴ、２２…時刻情報、３１…預入情報、
１１１…ＰＤＦファイル、１１２…予測時刻情報、１１３…ハッシュ値

Claims (11)

1. ユーザの電子ファイルが存在していた時刻を証明し、かつ前記電子ファイルの改竄を検知するための、タイムスタンプ局によって認証された時刻情報を含むタイムスタンプトークンを管理するタイムスタンプ管理システムであって、
   前記タイムスタンプ局から受信した前記タイムスタンプトークンに係る情報を管理するタイムスタンプ管理部と、
   前記タイムスタンプ管理部からの指示に基づいて、前記タイムスタンプトークンをタイムスタンプ保管サービスに送信して保管を要求し、前記タイムスタンプ保管サービスから前記タイムスタンプトークンの保管に応じて応答された預入情報を受信する保管サービス連携部と、を有する、タイムスタンプ管理システム。
2. 請求項１に記載のタイムスタンプ管理システムにおいて、
   前記保管サービス連携部は、予め保持している、各ユーザのユーザ情報と、対応する前記タイムスタンプ保管サービスのアカウント情報との関連付けの情報から、前記タイムスタンプトークンに係るユーザに対応するアカウント情報を取得し、取得したアカウント情報を用いて前記タイムスタンプ保管サービスに自動的にログインして前記タイムスタンプトークンの保管を要求する、タイムスタンプ管理システム。
3. 請求項１に記載のタイムスタンプ管理システムにおいて、
   前記保管サービス連携部は、前記関連付けの情報に、前記タイムスタンプトークンに係るユーザに対応するアカウント情報がない場合、自動的に前記タイムスタンプ保管サービスに対してアカウントの取得を要求する、タイムスタンプ管理システム。
4. 請求項１に記載のタイムスタンプ管理システムにおいて、
   前記タイムスタンプ保管サービスにおける２つのアカウント間での第１の階層構造が、アカウントを特定する情報のいずれか１つの値が同一である複数のアカウントをそれぞれ所定の階層のアカウントとすることで複数構成され、前記第１の階層構造における各アカウント情報が、前記タイムスタンプ管理システムにおいて複数のユーザ間で構成された３階層以上の第２の階層構造に係る各ユーザと関連付けられて、前記関連付けの情報として記録されている、タイムスタンプ管理システム。
5. 請求項１に記載のタイムスタンプ管理システムにおいて、
   前記保管サービス連携部は、前記タイムスタンプ保管サービスから、前記タイムスタンプトークンの第１の保管期間の満了が到来する旨の通知を受領した場合、前記タイムスタンプトークンに係るユーザが所望する第２の保管期間が、前記第１の保管期間より長い場合は、前記タイムスタンプ保管サービスに対して自動的に前記第１の保管期間の更新を要求する、タイムスタンプ管理システム。
6. 請求項５に記載のタイムスタンプ管理システムにおいて、
   前記保管サービス連携部は、前記前記第２の保管期間が、前記タイムスタンプトークンの有効期限より長い場合は、前記タイムスタンプ管理部が取得した有効期限が更新された前記タイムスタンプトークンについての保管を新たに要求する、タイムスタンプ管理システム。
7. 請求項１に記載のタイムスタンプ管理システムにおいて、
   前記保管サービス連携部が受信した前記預入情報を、前記電子ファイルにおいて改竄の検知に用いられない領域に格納する、タイムスタンプ管理システム。
8. 請求項７に記載のタイムスタンプ管理システムにおいて、
   前記タイムスタンプトークンは、前記電子ファイルをハッシュ化して得られるハッシュ値を含み、
   前記領域は、前記ハッシュ値の計算に用いられない領域である、タイムスタンプ管理システム。
9. 請求項１に記載のタイムスタンプ管理システムにおいて、
   前記保管サービス連携部は、前記タイムスタンプ保管サービスのサービス提供時間に係る情報を取得して、前記サービス提供時間に係る情報に基づいて前記タイムスタンプ保管サービスの所定のサービスの利用可否を判定し、前記所定のサービスが利用不可である場合は、前記サービス提供時間に係る情報に基づいて前記所定のサービスが次に利用可能となる時点に係る情報を取得し、前記時点が到来したときに利用要求を行う、タイムスタンプ管理システム。
10. ユーザの電子ファイルが存在していた時刻を証明し、かつ前記電子ファイルの改竄を検知するための、タイムスタンプ局によって認証された時刻情報を含むタイムスタンプトークンを管理するタイムスタンプ管理システムにおけるタイムスタンプ管理方法であって、
    前記タイムスタンプ管理システムが、
    前記タイムスタンプ局から受信した前記タイムスタンプトークンをタイムスタンプ保管サービスに送信して保管を要求する工程と、
    前記タイムスタンプ保管サービスから前記タイムスタンプトークンの保管に応じて応答された預入情報を受信する工程と、を実行する、タイムスタンプ管理方法。
11. ユーザの電子ファイルが存在していた時刻を証明し、かつ前記電子ファイルの改竄を検知するための、タイムスタンプ局によって認証された時刻情報を含むタイムスタンプトークンを管理するタイムスタンプ管理システムとして機能するよう、コンピュータに処理を実行させるタイムスタンプ管理プログラムであって、
    前記タイムスタンプ局から受信した前記タイムスタンプトークンをタイムスタンプ保管サービスに送信して保管を要求する処理と、
    前記タイムスタンプ保管サービスから前記タイムスタンプトークンの保管に応じて応答された預入情報を受信する処理と、を前記コンピュータに実行させる、タイムスタンプ管理プログラム。

Images