JP2021038965A - タイムスタンプ装置、タイムスタンプシステム、タイムスタンプ方法及びプログラム - Google Patents

Abstract

【課題】タイムスタンプトークンの発行を高精度で実行可能なタイムスタンプシステムを実現する。【解決手段】ＧＰＳ情報及び原子発振器からのクロック信号を用いて生成した時刻情報を基準時刻情報としてＮＴＰによって配信するタイムサーバ１０と、クライアント装置４０からの求めに応じてタイムスタンプトークンを発行するタイムスタンプサーバ２０を備え、タイムスタンプサーバ２０は、タイムサーバ１０から基準時刻情報の配信を受けるとともにタイムサーバ１０から所定のタイミング信号（ＰＰＳ信号）を入力され、タイムスタンプサーバ２０が備える発振器が発生するクロック信号に基づいて生成したローカル時刻情報を、上記基準時刻情報と上記タイミング信号に基づいて校正し、校正したローカル時刻情報に基づいてタイムスタンプトークンを発行する。【選択図】図９

Description

本発明は、電子文書の存在証明、非改ざん証明を行うためのタイムスタンプトークンを発行するタイムスタンプ装置、タイムスタンプシステム、タイムスタンプ方法及びプログラムに関する。

電子文書が特定時刻以前に存在していたことを証明する存在証明の仕組みとしてタイムスタンプが知られている。タイムスタンプを電子文書に付与することによって、そこに刻印されている時刻に当該の電子文書が存在していたことを証明でき、また、当該の電子文書がその時刻以降に改ざんされていないことを証明することができる。
タイムスタンプを実現する方法は幾つか存在するが、ＰＫＩ（後述する）の仕組みにおいては、タイムスタンプは、時刻認証局（ＴＳＡ:Time Stamping Authority）と呼ばれる信頼される第三者によって付与される。そして、タイムスタンプの時刻は協定世界時と同期するよう規定される。ＰＫＩを利用したタイムスタンプは、ＲＦＣ３１６１（Ｘ．５０９ インターネットＰＫＩタイムスタンププロトコル）で標準化されている。

ＴＳＡは、時刻を認証する機関であるから、その時刻を信頼される時刻源より取得しなければならない。時刻を配信する機関を、時刻配信局（ＴＡＡ：Time Assessment Authority）と呼び、特に日本国では、認定を受けたＴＡＡから基準時刻の配信を受け、その基準時刻に同期したローカル時計の時刻（ローカル時刻）を用いて、タイムスタンプを付与することが求められる。
ＴＡＡの時刻の同期元は協定世界時である必要があるが、一般的には、協定世界時に時刻を提供しているローカル標準時（日本国の場合は国立研究開発法人情報通信研究機構が提供している）にする。協定世界時を管理する機関は国際度量均衡局（ＢＩＰＭ）であるが、ＢＩＰＭは協定世界時に時刻を提供している機関と、協定世界時とのずれを常に管理・公開している。このため、ローカル標準時に時刻を同期しているＴＡＡは協定世界時とある一定の精度で時刻を同期している、と言える。
基準時計に対して一定の精度で時刻を同期することを時刻のトレーサビリティーと呼ぶ。すなわち、時刻のトレーサビリティーとは、時刻の同期元を辿っていくと最終的に基準時計に辿りつき、それぞれの同期は一定の精度で保たれていることを言う。
基準時計とのトレーサビリティーを確保したＴＡＡは、基準時刻をＴＳＡに配信する。

基準時刻の配信を受けてローカル時刻を補正することで正確なタイムスタンプの付与を行うタイムスタンプ装置が、例えば特許文献１乃至２に記載されている。
特許文献１のタイムスタンプ装置は、タイムスタンプトークンを発行するための時計部を備えており、クライアント端末からの要求に応じてタイムスタンプトークンを発行する。タイムスタンプ装置は、一定時間毎に管理サーバに接続して認証を受けるとともに、管理サーバから基準時刻の配信を受けて時計部を補正する。管理サーバは、タイムスタンプ装置の認証、基準時刻の配信などを行う。

また特許文献２には、装置内部に内部時計を有し、この内部時計が刻むローカル時刻を、標準電波送信所から送信される標準電波に含まれた電波時刻により補正するタイムスタンプ装置が開示されている。
このタイムスタンプ装置は、電波時刻の取得に加えて、時刻発行サーバからネットワークを介して認証時刻を取得し、この認証時刻を用いて内部時計が刻むローカル時刻の補正を行う。

特開２０１１−０８２７２７公報 特開２００６−２３６２５１公報

ＲＦＣ３１６１で規定されるプロトコルに基づいた従来のタイムスタンプサービスの時刻精度は、一般的なサービスでは「１秒」程度に設定されることが多いが、コンピュータを用いた高頻度な証券取引などでは、１秒間に千件単位の時刻証明を行う需要が存在する。
例えば、欧州の第２次金融商品市場指令（ＭｉＦＩＤ２：Markets in Financial Instruments Directive 2）では、非常に高い精度のタイムスタンプが求められている。また、株式等の証券取引においては、コンピュータを用いた高頻度取引（ＨＦＴ：High-Frequency Trading）が一般化しており、時間当たりの取引数は莫大な数に上り１秒間に数千件〜数万件にものぼる注文が行われる。
電子的な証券取引においては、売り注文、買い注文のデータにタイムスタンプを適用し、取引時刻を証明する必要がある。取引時刻の前後は、明確に特定される必要があるからである。
ＭＩＦＩＤ２では、すべてのＨＦＴ（高頻度取引）の注文におけるタイムスタンプは、マイクロ秒レベルの精度を有し、ＨＦＴ以外の注文でも、タイムスタンプはミリ秒レベルの精度を有している必要がある。
しかしながら、現行のタイムスタンプの仕組みにおいては、タイムスタンプ装置のローカル時刻を基準時刻に高い精度で同期させ、且つ高粒度で常にタイミングスタンプを発行することは難しい。
コンピュータを用いた高頻度な証券取引など１秒間に千件単位の時刻証明を行うには、ローカル時刻が誤差マイクロ秒単位の極めて高い精度で基準時刻に同期している必要があるが、上記の引用文献１、２に記載の技術では、そのような高精度で内部時計と基準時刻との同期を行いタイムスタンプの発行を行うことは出来ない。
さらに、数年間に１回の頻度で行われる「閏秒」の挿入・削除は秒単位で行われるため、閏秒の挿入タイミング前後では基準時刻に対して１秒程度の時刻ずれが発生することになるため、配信される基準時刻とローカル時刻との正確な同期を行なって高精度でタイムスタンプトークンを発行することは難しい。
本発明は、上記のような問題点に鑑みてなされたものであり、常に高精度なタイムスタンプを発行可能なタイムスタンプ装置、タイムスタンプシステムを実現することを目的とする。

上記の課題を解決するために、第１の形態に係る本発明は、タイムサーバ装置と通信するタイムスタンプ装置であって、クロック信号を発生するクロック発生手段と、前記タイムサーバ装置から所定のタイミング信号を入力する信号入力手段と、前記クロック信号に基づいてローカル時刻を生成する時刻生成手段と、前記タイムサーバ装置から基準時刻を取得する時刻取得手段と、前記時刻取得手段が取得した前記基準時刻と、前記信号入力手段から入力された前記所定のタイミング信号と、に基づいて、前記ローカル時刻の校正を行う時刻校正手段と、外部装置からの要求に応じて、前記時刻校正手段によって校正された前記ローカル時刻を含むタイムスタンプトークンを発行するタイムスタンプ発行手段と、を備えた、タイムスタンプ装置を特徴とする。
また、第２の形態に係る本発明は、クロック信号を発生するクロック発生手段と、前記クロック信号に基づいてローカル時刻を生成する時刻生成手段と、タイムサーバ装置から基準時刻を取得する時刻取得手段と、前記時刻取得手段が取得した前記基準時刻に基づいて、前記ローカル時刻の校正を行う時刻校正手段と、外部装置からの要求に応じて、前記時刻校正手段によって校正された前記ローカル時刻を含むタイムスタンプトークンを発行するタイムスタンプ発行手段と、を備え、前記タイムサーバ装置は、所定タイミングにおいて前記基準時刻の調整を行い、前記タイムスタンプ発行手段は、前記所定タイミングの前後において、前記タイムスタンプの発行を制限されるタイムスタンプ装置を特徴とする。

上記のように構成することにより、常に高精度なタイムスタンプを発行可能なタイムスタンプ装置、タイムスタンプシステムを実現することが出来る。

本実施形態に係るタイムスタンプシステムの構成を説明する図である。 ＮＴＰにおけるアジャストモードを説明する図である。 本実施形態に係るタイムサーバの構成を示す図である。 ＧＰＳ衛星が出射し、ＧＰＳ受信機が出力するＰＰＳ信号を説明する図である。 本実施形態に係るタイムスタンプサーバの構成を示す図である。 本実施形態のタイムスタンプシステムにおけるタイムスタンプ発行の流れを説明するシーケンス図である。 本実施形態に係るタイムスタンプサーバが実行するタイムスタンプ発行処理を示すフローチャートである。 本実施形態に係るタイムスタンプシステムにおいて、タイムサーバ及びタイムスタンプサーバが実行する時刻同期処理を説明するフローチャートである。 本実施形態に係るタイムスタンプシステムの別の構成を説明する図である。 図９のタイムスタンプシステムにおけるタイムスタンプサーバのハードウェア構成を説明する図である。

以下に、図面を参照して本発明の実施の形態を詳細に説明する。
本実施形態のシステムは、主に公開鍵基盤において電子文書の日付を証明するために用いられるタイムスタンプトークンを発行するタイムスタンプシステムである。
まず、本実施形態の説明に先立って前提となる技術を説明する。

［公開鍵基盤］
公開鍵基盤（ＰＫＩ：Public Key Infrastructure）は、公開鍵暗号方式と呼ばれる暗号方式を用い、暗号化、デジタル署名（電子署名）、認証といったセキュリティ機能を提供する情報セキュリティ基盤である。
公開鍵基盤では、公開鍵暗号方式の特徴を利用し、上述の暗号化、デジタル署名、認証といった機能を提供する。公開鍵暗号方式では、私有鍵と公開鍵の一方向性（私有鍵から公開鍵を計算できるが、公開鍵から私有鍵を計算するのは計算量的に困難であるという特徴）を利用して様々な機能を提供する。利用者は自らの私有鍵を秘密裏に保持し、公開鍵を他者に公開しておく。私有鍵は、秘密に保持するという意味を持たせて秘密鍵とも呼ぶ。
例えば利用者Ｂは、利用者Ａに文書を送信するとき、利用者Ａが公開している公開鍵を入手し、その公開鍵を使って暗号化した文書を利用者Ａに送信する。利用者Ａは受信した暗号化文書を、自身の私有鍵（秘密鍵）を用いて復号化する。
利用者Ａの公開鍵を持っていれば誰もが利用者Ａに対して暗号化文書を送信することが出来る一方で、利用者Ａの公開鍵で暗号化したものは、利用者Ａの私有鍵（秘密鍵）でしか復号できないため、仮に悪意の第三者が利用者Ａの公開鍵を入手したとしても、暗号化文書の内容が漏えいすることはない。

[電子証明書]
公開鍵暗号方式で通信を行うには、通信相手に公開鍵を送信することになるが、ネットワーク経由での通信では通信相手が見えないため、第三者が通信相手に成りすまして公開鍵を送信する可能性がある。従って、公開鍵が本当に正しい相手から送られてきたものであるかを確認する必要がある。
ＰＫＩでは、例えば、信頼できる第三者機関（ＴＴＰ： Trusted Third Party）が、私有鍵の所有者を保証する。すなわち、ＴＴＰは私有鍵（秘密鍵）の所有者の本人性を確認し、私有鍵（秘密鍵）と対になる公開鍵とその私有鍵（秘密鍵）の所有者とを紐づける電子証明書（公開鍵証明書）を発行する。電子証明書は持ち主の情報を正しく保障する「身分証明書」である。
電子証明書を発行するＴＴＰは、特に認証局あるいは認証機関（ＣＡ：Certification Authority）と呼ばれる。
電子証明書には、公開鍵と、その公開鍵に対応する私有鍵（秘密鍵）の所有者を証明する所有者の名前、所属組織名、メールアドレス等の情報が記載されており、さらに電子証明書自体の改ざんを防ぐためにＴＴＰの電子署名が付与されている。電子署名及び電子証明書を文書に付すことで、なりすましや、改ざんなどのリスクを未然に防ぐことが出来る。また、ＴＴＰに信頼される私有鍵（秘密鍵）の所有者を加入者（Subscriber、サブスクライバー）という。

[電子署名]
電子証明書はさらに、電子署名を検証する用途に用いられる。通常、電子署名には、電子証明書を添付する。電子署名を受け取った利用者は、電子証明書に記載された公開鍵を使って署名を検証し、データの改ざん検知を行い、電子証明書に記載された内容を使って署名者の特定を行うことが出来る。
電子署名には、文書のハッシュ値を私有鍵（秘密鍵）で暗号化した値が含まれる（実際には、暗号処理と署名処理は異なるが、署名処理のことを広義の暗号化と呼ぶことが多い）。利用者Ａが利用者Ｂに対して電子署名を付した文書ファイルを送る場合、利用者Ａは、送信する文書ファイルをハッシュ関数にかけることによって得たハッシュ値を利用者Ａの私有鍵（秘密鍵）を用いて暗号化し、電子署名を作成して、文書ファイルに添付する。
電子署名付きの文書ファイルを受け取った利用者Ｂは、電子署名に含まれる暗号化された値を利用者Ａの公開鍵を使って復号化することによって得たハッシュ値と、文書ファイルをハッシュ関数にかけることによって得たハッシュ値と、を比較する。比較の結果、双方のハッシュ値が同一であれば、文書が改ざんされていないことが証明される。

［タイムスタンプ］
タイムスタンプは、上記したＰＫＩの仕組みにおいて、ＴＴＰとしての時刻認証局が、電子署名に時刻情報を付加したものである。
電子署名における署名時刻は、端末の設定などで捏造が可能である。従って、電子署名だけでは、時刻に対する証明はできない。
一方、時刻認証局は、時刻や私有鍵を厳格に管理し運用しているため、提供される時刻はＴＴＰとして信頼されるものである。このため、時刻認証局によって付与された時刻情報と電子署名は、時刻に紐づけて電子データの存在と非改ざん性を証明することが出来るのである。
タイムスタンプは、知的財産保護や、電子商取引、電子申請、電子カルテなど様々な用途に用いることが出来る。
特に電子商取引に関しては、タイムスタンプを受発注データに適用することにより取引時刻を証明することが出来る。
タイムスタンプは、電子文書（コンテンツ）のハッシュ値に対して時刻情報を付し、時刻認証局が電子署名を施すことで生成される。正式には、「タイムスタンプトークン」と呼ばれるが、本明細書では単に「タイムスタンプ」と略してもよいものとする。

図１は本実施形態に係るタイムスタンプシステムの構成を説明する図である。
図１のタイムスタンプシステム１は、タイムサーバ１０と、タイムスタンプサーバ２０と、フロントエンドサーバ３０と、クライアント装置４０と、を備える。
タイムサーバ１０は、時刻配信局（ＴＡＡ：Time Assessment Authority、以下単にＴＡＡと記載する）に属し、タイムスタンプサーバ２０、フロントエンドサーバ３０は、時刻認証局（ＴＳＡ：Time Stamping Authority、以下単にＴＳＡと記載する）に属する。

ＴＡＡとしてのタイムサーバ１０は、高精度且つ高信頼の時刻を必要とする組織等に、ＧＰＳ（Global Positioning System、以下単にＧＰＳと記載する）及び原子発振器に基づく正確な基準時刻情報を生成して配信する時刻配信サービスを提供する。
ＴＳＡとしてのタイムスタンプサーバ２０は、インターネット上の取引や手続き等が行われた時刻や電子文書の存在した日時を証明する時刻認証サービスを提供する。
タイムスタンプサーバ２０は、タイムサーバ１０が配信する基準時刻と同期したローカル時刻に基づいて、クライアント装置４０からの求めに応じてタイムスタンプトークンを発行する。

フロントエンドサーバ３０は、クライアント装置４０がタイムスタンプを要求する際に接続するインターフェイスとなる装置であり、例えばＷＥＢサーバである。
フロントエンドサーバ３０は、クライアント装置４０が行ったタイムスタンプ要求を受け付け、タイムスタンプサーバ２０に転送する。
また、フロントエンドサーバ３０は、タイムスタンプサーバ２０で発行されたタイムスタンプを、クライアント装置４０に転送する。

本実施形態のタイムスタンプシステム１において、ＴＳＡを構成する機器のうちインターネットに公開されているのはフロントエンドサーバ３０のみであり、タイムサーバ１０、タイムスタンプサーバ２０はインターネットには公開されていない。
そして、フロントエンドサーバ３０とクライアント装置４０はインターネットを介して互いに通信可能に構成されている。
タイムスタンプサーバ２０は、クライアント装置４０と直接に通信することなく、フロントエンドサーバ３０を介してタイムスタンプサービスを提供する。
クライアント装置４０は、ウェブブラウザ等を実行可能な一般的なＰＣやスマートフォンである。
クライアント装置４０のＣＰＵによって実行されるウェブブラウザやその他のアプリケーションソフトは、文書データや画像データに対するタイムスタンプ要求をフロントエンドサーバ３０に送信する。

タイムサーバ１０、タイムスタンプサーバ２０、フロントエンドサーバ３０、クライアント装置４０の間でやり取りされるデータの類は、おもにＨＴＴＰリクエストやＨＴＴＰレスポンスのパラメータとして（ＨＴＴＰプロトコルを利用して）送受信される。ただし、セキュリティ確保が必要な部分においては、通信自体を、ＨＴＴＰＳやＶＰＮを利用するなどして保護する。
タイムサーバ１０は、ＧＰＳ情報及び原子発振器（原子時計）からのクロック信号を用いて時刻情報を生成し、生成した時刻情報を基準時刻情報として、ＮＴＰ（Network Time Protocol、以下単にＮＴＰと記載する）等のプロトコルを用いて外部装置に配信する。
タイムサーバ１０は、協定世界時（ＵＴＣ：Coordinated Universal Time、以下単にＵＴＣと表記する）と精確に同期した基準時刻情報を生成する仕組みを有している。

タイムスタンプサーバ２０は、発振器を備え、この発振器が発生するクロック信号に基づいて、タイムスタンプに付与するためのローカル時刻情報を生成する。
そして、タイムスタンプサーバ２０は、クライアント装置４０からの要求に応じて、対象となる電子文書のハッシュ値にローカル時刻情報を付与したうえ、秘密鍵で暗号化することによりタイムスタンプトークンを発行する。
タイムスタンプサーバ２０は、ローカル時刻情報を、タイムサーバ１０から取得した基準時刻情報との同期によって校正しながらタイムスタンプの付与を行う。

このようなタイムスタンプシステムにおいては、「閏秒」の問題が知られている。
「閏秒」は、地球の自転周期（実際の１日）と原子発振器の周期のズレを補正するために、数年に一度挿入、あるいは削除される「１秒」である。
タイムサーバ１０は、数年に一度の所定日時に、例えば以下に示すように、閏秒として「６０秒目」の１秒を挿入した基準時刻を配信する。
２０１６ Ｄｅｃｅｍｂｅｒ ３１ ２３ｈ ５９ｍ ５９ｓ
２０１６ Ｄｅｃｅｍｂｅｒ ３１ ２３ｈ ５９ｍ 「６０ｓ」
２０１７ Ｊａｎｕａｒｙ ０１ ０ｈ ０ｍ ０ｓ
この場合、タイムサーバ１０は、基準時刻情報を配信するＮＴＰメッセージに含まれる「閏秒指示子」（Leap Indicator）に「０１」を設定することで「６０秒目」の挿入を前もって対応機器に通知する。
ただし、タイムサーバ１０の管理者が「閏秒指示子」の設定を適切に行わない場合には対応機器は適切にローカル時刻の校正を行うことが出来ない。
さらに、レガシーシステムのクライアント装置など、閏秒「６０秒目」を認識できない環境も存在する。
タイムスタンプサーバ２０に関しては正確なタイムスタンプの付与が行えないのみならず、最悪の場合システム障害の発生にもつながる。
そのような問題に対する解決策として、「アジャストモード」と呼ばれる方式も知られている。

図２は、ＮＴＰにおけるアジャストモードを説明する図である。
「アジャストモード」では、「閏秒」が発生する所定時間前より一定の割合で徐々に基準時刻を遅らせていくことで、「閏秒」に対応するための調整が行われる。
「アジャストモード」では、「閏秒指示子」が常に「００」に設定されるため、対応機器は通常どおりタイムサーバ１０から基準時刻情報の配信を受けてローカル時刻を同期させるだけで「閏秒」に対応することが出来る。

例えば、図２に示すように「閏秒」が発生するのが「２０１２年７月１日９：００」であれば、タイムサーバ１０は、その２時間前（７２００秒」）前の「２０１２年７月１日７：００」から、一定の割合（１／７２００秒ずつ）で配信する基準時刻を遅らせていき、７２００秒をかけて「２０１２年７月１日９：００」に調整（挿入）を完了する。
基準時刻情報はＮＴＰメッセージのパケットに記載されており、ＮＴＰサーバとしてのタイムサーバ１０は、パケット内時刻を１／７２００秒ずつ遅らせる。

しかしながら「アジャストモード」によって生成される基準時刻と同期したとき、タイムスタンプサーバ２０などの対応機器のローカル時刻には、全体として、基準時刻に対して１秒程度（１時間前に基準時刻を遅らせたとしても０．５秒程度）の誤差が生じる、という問題がある。
また、「アジャストモード」中に配信される（１／７２００秒異なっている）基準時刻情報の精度も、極めて高精度であるとは言いがたい。
このため、アジャストモードによって、閏秒「６０秒目」を認識できないレガシーなクライアント装置に精度の高い時刻を配信することはできない。
タイムスタンプサーバ２０は、上記レガシーシステムにも対応可能とするとともに、タイムサーバ１０による「閏秒」挿入時、削除時においてもタイムスタンプの信頼性を確保するために、「閏秒」の挿入タイミング及びその前後の所定時間に亘ってタイムスタンプの受付を停止する。
「閏秒」の挿入タイミング及びその前後の所定時間に亘ってタイムスタンプの受付を停止することで、「６０秒目」を認識できないレガシーシステムが「閏秒」の挿入による影響をうけることがないからである。

サービス利用者からのタイムスタンプのリクエストを受けたフロントエンドサーバ３０がサービスを遮断する（すなわち、タイムスタンプのリクエストを受け付けない）ようにしてもよい。また、フロントエンドサーバ３０からタイムスタンプのリクエストを転送されたタイムスタンプサーバ２０が、タイムスタンプの発行を行わないようにしてもよい。
いずれの場合も、フロントエンドサーバ３０は、クライアント装置４０からのタイムスタンプのリクエストに対し、タイムスタンプの発行を行えない旨を示す応答を行う。

本実施形態において、「閏秒」の挿入に伴うタイムスタンプサーバ２０のサービス遮断は、タイムサーバ１０による「アジャストモード」実行有無に係わらず、「閏秒」の挿入タイミングを含む「閏秒」の挿入前後の期間に行われるものである。
タイムスタンプサーバ２０は、タイムサーバ１０によって「アジャストモード」が実行される場合、されない場合も含めて、タイムサーバ１０が基準時刻の調整（閏秒の挿入）を行うタイミングの前後においてタイムスタンプの発行を制限される。
タイムスタンプサーバ２０によるタイムスタンプの発行を制限する期間は、例えば、タイムサーバ１０によって「アジャストモード」が実行される場合を考慮して「アジャストモード」の実行中（上記の例では７２００秒）及び実行後すぐの期間とすることが出来る。これはあくまで一例であり、タイムスタンプの発行を制限する期間は、「閏秒」の挿入タイミング前後のより長い任意の期間であってもよいし、より短い任意の期間であってもよい。

以下、本実施形態のタイムスタンプシステム１を構成する装置について詳述する。
図３は、本実施形態に係るタイムサーバの構成を示す図であり、（ａ）はハードウェアによる機能構成を示す図、（ｂ）はソフトウェアによる機能構成を示す図である。
図３（ａ）に示すように、タイムサーバ１０は、ＣＰＵ（Central Processing Unit）１１と、ＲＡＭ（Random Access Memory）１２と、ＲＯＭ（Read Only Memory）１３と、ネットワークＩ／Ｆ１４と、ＧＰＳ受信機１５と、位相同期部１６と、信号出力Ｉ／Ｆ１７と、を備える。
ＣＰＵ１１は、タイムサーバ１０が備えて制御部を実現する制御回路の一例であり、制御回路としては、その他にマルチコアＣＰＵ、ＦＰＧＡ（Field Programmable Gate Array）、ＰＬＤ（Programmable Logic Device）などのプロセッサを適用することが出来る。

ＣＰＵ１１は、装置全体の制御を行う汎用のオペレーティングシステムを実行するとともに、タイムスタンプサーバ２０としての機能を実現するプログラムを実行する。
ＲＡＭ１２は、ＣＰＵ１１による処理のために各種のプログラムや一時データ、変数が展開される。
ＲＯＭ１３には、ＣＰＵ１１が実行するプログラムが格納される。タイムサーバ１０は、ＲＯＭ１３に換えてあるいは加えてハードディスクドライブなどの大容量の記憶装置を備えてもよい。
ハードディスクドライブは、内蔵するハードディスク（Hard Disk）を駆動するドライブ装置であり、記憶媒体としてのハードディスクに格納されたプログラムやデータを読み出し、またハードディスクにデータを書き込む。
また、タイムサーバ１０は、ＦＤ（Floppy Disk Drive）、ＣＤ（Compact Disc）やＤＶＤ（Digital Versatile Disc）、ＢＤ（Blu-ray（登録商標） Disk）などの光学ディスク、フラッシュメモリなどの着脱可能な記憶媒体に対してプログラムやデータを読み書きする読書装置を備えてもよい。
読書装置は、ＦＤＤ（Floppy Disk Drive）、ＣＤＤ（Compact Disc Drive）、ＤＶＤＤ（Digital Versatile Disc Drive）、ＢＤＤ（Blu-ray（登録商標） Disk Drive）、ＵＳＢ（Universal Serial Bus）などである。
ネットワークＩ／Ｆ１４は、タイムサーバ１０をネットワークに接続するためのインターフェイスであり、例えばＥｔｈｅｒｎｅｔアダプタである。

まず、ＧＰＳ受信機１５について説明する。
ＧＰＳ受信機１５は、ＧＰＳ衛星Ｓから送信された、基準信号としてのＰＰＳ（Pulse Per Second）信号や、ＮＭＥＡ（National Marine Electronics Association）データの元となる衛星信号を、ＧＰＳアンテナ１５ａを介して受信する。
そして、ＧＰＳ受信機１５は、衛星信号に含まれるＰＰＳ信号や、ＮＭＥＡデータを出力する。ＰＰＳ信号は、ＵＴＣと同期した１秒毎に１パルスを含むパルス信号である。
図４はＧＰＳ衛星が出射し、ＧＰＳ受信機が出力するＰＰＳ信号を説明する図である。
ＧＰＳ受信機が備えるチップでは、高精度（例えば３０ナノ秒程度）の精度でＰＰＳ信号を出力することが出来る。ＰＰＳ信号は、パルス波の立ち上がりが、正確な１秒（２０１８／６／１−２１：５４：２１．００００００００ｘｘ、ＵＴＣ＝２０１８／６／１−２１：５４：２２．００００００００ｘｘ・・・）の開始に非常に高い精度で一致している。

ＮＭＥＡパケットはＰＰＳ信号のパルス波と共に出力され、位置情報に関連した時刻情報などを含む。
ＮＭＥＡデータに含まれる時刻情報はＵＴＣに同期してはいるが、時刻データのフォーマットは、ＨＨＭＭＳＳ．ＺＺ（ＸＸ時ＭＭ分ＳＳ．ＺＺ秒）である。すなわち、ＮＭＥＡデータの時刻情報は、１秒の１００分の１秒の程度の精度である。
タイムスタンプサーバ２０に対して高精度の基準時刻を配信するためには、ＮＭＥＡデータに含まれる時刻データをそのまま基準時刻として用いることは出来ない。
タイムサーバ１０は、高精度の基準時刻を生成するために原子発振器を有する。

位相同期部１６は、位相比較器１６ａ、ループフィルター１６ｂ、原子発振器１６ｃ、分周器１６ｄと、から構成され、ＧＰＳ受信機１５が出力したＰＰＳ信号と同期した時刻情報、ＰＰＳ信号を出力する。
原子発振器１６ｃは、例えばルビジウム原子やセシウム原子等の原子のエネルギー遷移を利用して、周波数精度の高いクロック信号を出力可能である。
なお、原子発振器１６ｃに代えて、恒温槽付水晶発振器（ＯＣＸＯ：Oven Controlled Crystal Oscillator）、電圧制御水晶発振器（ＶＣＸＯ：Voltage Controlled Crystal Oscillator）、温度補償型水晶発振器（ＴＣＸＯ：Temperature Compensated Crystal Oscillator）等の水晶発振器を用いることが出来る。

分周器１６ｄは、原子発振器１６ｃが出力するクロック信号（周波数：ｆ）を１／ｆの分周比で分周し、１Ｈｚの分周クロック信号を出力する。
位相比較器１６ａは、ＧＰＳ受信機１５が出力するＰＰＳ信号と分周器１６ｄが出力する１Ｈｚの分周クロック信号とを位相比較し、その結果として位相差に応じた電圧値の位相差信号を出力する。この位相差信号は、ループフィルター１６ｂを介して原子発振器１６ｃに入力される。
原子発振器１６ｃは、ループフィルター１６ｂの出力電圧に応じて周波数を微調整可能であり、原子発振器１６ｃが出力するクロック信号は、ＧＰＳ受信機１５が出力するＰＰＳ信号と完全に同期する。クロック信号は基準時刻情報の生成に用いられる。
また、分周器１６ｄが出力する１Ｈｚの分周クロック信号は、ＧＰＳ受信機１５が出力するＰＰＳ信号と同期している。タイムサーバ１０は、この分周クロック信号を、ＵＴＣと同期した極めて周波数精度の高いＰＰＳ信号として信号出力Ｉ／Ｆ１７から外部に出力することが出来る。信号出力Ｉ／Ｆ１７から外部に出力されるＰＰＳ信号については後に説明する。

なお、タイムサーバ１０は、原子発振器１６ｃが出力するクロック信号を、ＧＰＳ受信機１５が出力するＰＰＳ信号に同期させるのではなく、原子発振器１６ｃ等を自走発振させ、それによって得られるクロック信号を後述する基準時刻情報の生成に用いてもよい。タイムサーバ１０は、ＧＰＳ受信機１５から受信したＰＰＳ信号をそのまま信号出力Ｉ／Ｆ１７から出力してもよい。
また、信号出力Ｉ／Ｆ１７から出力されるパルスは１秒に１回のＰＰＳ信号ではなく、１０ＫＨｚなどの周波数の高いパルス信号であってもよい。

図３（ｂ）に示すように、ＣＰＵ１１は、時刻情報要求受付処理部５１と、時刻情報送信処理部５２と、基準時刻生成処理部５３と、を実行する。
これらの処理部は、タイムサーバ１０の制御部の機能を実現するプログラムであり、当該プログラムは、ＲＯＭ１３やハードディスクあるいは上記の着脱可能な記憶媒体に格納され得る。プログラムは、ＲＯＭ１３やハードディスク、上記の着脱可能な記憶媒体からＲＡＭ１２に読み出されてＣＰＵ１１によって実行される。
時刻情報要求受付処理部５１は、タイムスタンプサーバ２０からの時刻情報要求を受け付ける処理部である。
時刻情報送信処理部５２は、タイムスタンプサーバ２０に対して、下記の基準時刻生成処理部５３が生成した時刻情報を送信する処理部である。
時刻情報要求受付処理部５１と、時刻情報送信処理部５２は、所謂ＮＴＰサーバを構成している。
基準時刻生成処理部５３は、位相同期部１６から出力されるクロック信号に基づいて、実時間の時刻情報を生成する処理部である。
基準時刻生成処理部５３が生成する時刻情報は、ＮＴＰによってタイムスタンプサーバ２０に供給され、タイムスタンプサーバ２０のローカル時刻を校正するために用いられる基準時刻情報である。

なお、図３に示す構成はあくまで一例である。タイムサーバ１０は、図３（ａ）に示すＣＰＵ１１に替えてＡＳＩＣ（Application Specific Integrated Circuit）などのデバイスを備え、図３（ｂ）に示す各処理部をハードウェアによるロジック回路によって実行してもよい。
特に、タイムサーバ１０は、ＣＰＵ１１が実行する基準時刻生成処理部５３に替えて、位相同期部１６からのクロック信号に基づくカウントアップを行うことにより時刻情報を生成するリアルタイムクロック（タイマカウンタ）を備えることが出来る。

図５は、本実施形態に係るタイムスタンプサーバの構成を示す図であり、（ａ）は、ハードウェアによる機能構成を示す図、（ｂ）は、ソフトウェアによる機能構成を示す図である。
図５（ａ）に示すように、タイムスタンプサーバ２０は、ＣＰＵ（Central Processing Unit）２１と、ＲＡＭ（Random Access Memory）２２と、記憶装置２３と、ネットワークＩ／Ｆ２４と、ハードウェアセキュリティモジュール（ＨＳＭ：Hardware Security Module）１００と、を備える。

ＣＰＵ２１は、タイムスタンプサーバ２０が備えて制御部を実現する制御回路の一例であり、制御回路としては、その他にマルチコアＣＰＵ、ＦＰＧＡ（Field Programmable Gate Array）、ＰＬＤ（Programmable Logic Device）などのプロセッサを適用することが出来る。

ＣＰＵ２１は、装置全体の制御を行う汎用のオペレーティングシステムを実行するとともに、タイムスタンプサーバ２０の機能を実現するプログラムを実行する。
ＲＡＭ２２は、ＣＰＵ２１による処理のために各種のプログラムや一時データ、変数が展開される。
記憶装置２３は、ＲＯＭ（Read Only Memory）やハードディスクドライブ（Hard Disk Drive）などであり、ＣＰＵ１１が実行するプログラムが格納される。
ハードディスクドライブは、内蔵するハードディスク（Hard Disk）を駆動するドライブ装置であり、記憶媒体としてのハードディスクに格納されたプログラムやデータを読み出し、またハードディスクにデータを書き込む。
ネットワークＩ／Ｆ２４は、タイムスタンプサーバ２０をネットワークに接続するためのインターフェイスであり、例えばＥｔｈｅｒｎｅｔアダプタである。

また、タイムスタンプサーバ２０は、ＦＤ（Floppy Disk Drive）、ＣＤ（Compact Disc）やＤＶＤ（Digital Versatile Disc）、ＢＤ（Blu-ray（登録商標） Disk）などの光学ディスク、フラッシュメモリなどの着脱可能な記憶媒体２００に対してプログラムやデータを読み書きする読書装置２５を備えてもよい。
読書装置２５は、ＦＤＤ（Floppy Disk Drive）、ＣＤＤ（Compact Disc Drive）、ＤＶＤＤ（Digital Versatile Disc Drive）、ＢＤＤ（Blu-ray（登録商標） Disk Drive）、ＵＳＢ（Universal Serial Bus）などである。
ＨＳＭ１００は、暗号鍵（秘密鍵）を生成・格納し、この暗号鍵を用いて電子署名を生成する装置である。
ＲＡＭ２２と記憶装置２３は、タイムスタンプサーバ２０の記憶部２０Ｂを構成する。記憶部２０Ｂには鍵記憶部６９が備えられ、鍵記憶部６９に暗号鍵が格納される。
ＣＰＵ２１、ＲＡＭ２２、記憶装置２３、ネットワークＩ／Ｆ２４、読書装置２５、ＨＳＭ１００は、例えば内部バスを介して接続されている。

図５（ｂ）に示すように、ＣＰＵ２１は、制御部２０Ａとして、時刻情報要求処理部６１と、時刻情報取得処理部６２と、ローカル時刻生成処理部６３と、ローカル時刻校正処理部６４と、タイムスタンプ要求受付処理部６５と、タイムスタンプ発行処理部６６と、タイムスタンプ送信処理部６７と、を実行する。
これらの処理部は、タイムスタンプサーバ２０の制御部２０Ａの機能を実現するプログラムであり、当該プログラムは、記憶装置２３に含まれるハードディスク等や記憶媒体２００に格納され得る。プログラムは、記憶装置２３や読書装置２５によってハードディスク等や記憶媒体２００からＲＡＭ２２に読み出されてＣＰＵ２１によって実行される。

時刻情報要求処理部６１は、ネットワークＩ／Ｆ２４を制御し、タイムサーバ１０に対してＮＴＰを用いた基準時刻情報の要求を行う処理を行う。
時刻情報取得処理部６２は、タイムサーバ１０から送信された基準時刻情報を取得する処理を行う。
上記時刻情報要求処理部６１と時刻情報取得処理部６２は、所謂ＮＴＰクライアントを構成する。
ローカル時刻生成処理部６３は、発振器２６から入力されたクロック信号に基づいて、実時間のローカル時刻情報を生成する処理を行う。
ローカル時刻校正処理部６４は、ローカル時刻生成処理部６３が生成したローカル時刻情報を、時刻情報取得処理部６２が取得した基準時刻情報に基づいて補正する処理を行う。

タイムスタンプ要求受付処理部６５は、フロントエンドサーバ３０を介した、クライアント装置からのタイムスタンプ要求を受け付ける処理を行う。
タイムスタンプ要求とは、タイムスタンプの対象となる文書データや画像データなど原データ（コンテンツデータ）のハッシュ値（メッセージダイジェスト）を含むデータである。

タイムスタンプ発行処理部６６は、タイムスタンプ要求に含まれるメッセージダイジェストと、ローカル時刻生成処理部６３が生成してローカル時刻校正処理部６４が校正したローカル時刻情報と、を含むデータ（署名対象値）のハッシュ値を、ＨＳＭ１００に入力する。
ＨＳＭ１００は、入力されたハッシュ値に対する電子署名（電子署名値）を、ＨＳＭ１００が記憶する暗号鍵（秘密鍵）を用いて生成する。
タイムスタンプ発行処理部６６は、上記署名対象値と、ＨＳＭ１００が生成した電子署名値と、ＴＳＡの電子証明書と、を組み合わせてタイムスタンプトークンを発行する。
タイムスタンプ送信処理部６７は、発行されたタイムスタンプを、フロントエンドサーバ３０を介してタイムスタンプを要求したクライアント装置４０に送信する処理を行う。

なお、図５に示す構成も一例である。タイムスタンプサーバ２０は、図５（ａ）に示すＣＰＵ２１に替えてＡＳＩＣ（Application Specific Integrated Circuit）などのデバイスを備え、図５（ｂ）に示す各処理部をハードウェアによるロジック回路によって実行してもよい。
特にタイムスタンプサーバ２０は、ＣＰＵ２１が実行するローカル時刻生成処理部６３に替えて、発振器２６からのクロック信号に基づくカウントアップを行うことにより時刻情報を生成するリアルタイムクロック（タイマカウンタ）を備えることが出来る。

ＨＳＭ１００は、例えば、タイムスタンプサーバ２０の内部バスに接続されるかたちでタイムスタンプサーバ２０に内蔵される。また、ＨＳＭ１００は、タイムスタンプサーバ２０の外部バス（ＵＳＢバスなど）に接続されてもよい。
ＨＳＭ１００はネットワークインターフェイスを備え、ＨＳＭ１００単独でネットワークに接続可能とされてもよい。ＨＳＭ１００は、タイムスタンプサーバ２０と同一のローカルネットワーク、遠隔のネットワークにおいて、タイムスタンプサーバ２０と通信可能に接続される。
その場合、タイムスタンプサーバ２０は、タイムスタンプ要求に含まれるメッセージダイジェストと、ローカル時刻生成処理部６３が生成してローカル時刻校正処理部６４が校正したローカル時刻情報と、を含むデータ（署名対象値）のハッシュ値をＨＳＭ１００に入力して、当該ハッシュ値に対する電子署名値の生成をＨＳＭ１００に命令する。
ＨＳＭ１００は、入力されたハッシュ値に対する電子署名（電子署名値）を、ＨＳＭ１００が記憶する暗号鍵（秘密鍵）を用いて生成する。
タイムスタンプサーバ２０は、上記署名対象値と、ＨＳＭ１００が生成した電子署名値と、ＴＳＡの電子証明書と、を組み合わせてタイムスタンプトークンを発行する。

なお、タイムスタンプサーバ２０は、ＨＳＭ１００を備えずに暗号鍵を記憶装置２３等の記憶部２０Ｂに格納し、ＣＰＵ２１による処理によってタイムスタンプトークンを発行してもよい。
その場合、タイムスタンプ発行処理部６６は、タイムスタンプ要求に含まれるメッセージダイジェストと、ローカル時刻生成処理部６３が生成してローカル時刻校正処理部６４が校正したローカル時刻情報と、を含むデータ（署名対象値）のハッシュ値に対して、記憶部２０Ｂの鍵記憶部に記憶される暗号鍵（秘密鍵）を用いて電子署名値を生成する。そして、タイムスタンプ発行処理部６６は、上記署名対象値と、生成した電子署名値と、ＴＳＡの電子証明書と、を組み合わせてタイムスタンプトークンを発行する。

図６は、本実施形態のタイムスタンプシステムにおけるタイムスタンプ発行の流れを説明するシーケンス図である。
ステップＳ１において、クライアント装置４０は、フロントエンドサーバ３０に対してタイムスタンプ要求を行う。
ステップＳ２において、フロントエンドサーバ３０は、タイムスタンプ要求の受付処理を行う。
この受付処理は、今回行われたタイムスタンプ要求を受理し、タイムスタンプサーバ２０にタイムスタンプ要求を転送するかどうかを決定する処理を含む。

ステップＳ３において、フロントエンドサーバ３０は、タイムスタンプ要求をタイムスタンプサーバ２０に転送する。
ステップＳ４において、タイムスタンプサーバ２０はタイムスタンプ発行処理を行う。
ステップＳ５において、タイムスタンプサーバ２０は、ステップＳ４で発行したタイムスタンプを、フロントエンドサーバ３０に送信する。
ステップＳ６において、フロントエンドサーバ３０は、ステップＳ６において、タイムスタンプを、クライアント装置４０に転送する。

図７は、本実施形態に係るタイムスタンプサーバが実行するタイムスタンプ発行処理を示すフローチャートである。
ＣＰＵ２１（タイムスタンプ要求受付処理部６５）は、ステップ５１において、フロントエンドサーバ３０から転送されたタイムスタンプ発行要求があるか否かを判定する。
タイムスタンプ発行要求があると判定した場合（ステップ５１でＹｅｓ）、ＣＰＵ２１（タイムスタンプ要求受付処理部６５）は、ステップ５２において、現在、タイムサーバ１０が上記した「閏秒」を挿入するタイミング又はその前後の所定期間内であるか否かを判定する。
現在、タイムサーバ１０が「閏秒」を挿入するタイミング又はその前後の所定期間内であると判定した場合（ステップ５２でＹｅｓ）、ＣＰＵ２１（タイムスタンプ要求受付処理部６５）は、ステップ５３において、タイムスタンプ要求を破棄し、エラー終了する。エラーコードはＨＴＴＰレベルで返却してもよいし、ＲＦＣ３１６１に規定されているタイムスタンプレスポンスにて返却してもよい。この場合タイムスタンプは発行されない。

現在、タイムサーバ１０が「閏秒」を挿入するタイミング又はその前後の所定期間内ではないと判定した場合（ステップ５２でＮｏ）、ＣＰＵ２１（タイムスタンプ要求受付処理部６５）は、ステップ５４において、タイムスタンプ要求（対象文書のメッセージダイジェストを含む）を受け付け、ＲＡＭ２２に格納する。
ＣＰＵ２１（タイムスタンプ発行処理部６６）は、ＲＡＭ２２に格納されているタイムスタンプ要求に含まれるメッセージダイジェストと、ローカル時刻生成処理部６３が生成してローカル時刻校正処理部６４が校正したローカル時刻情報と、を含むデータ（署名対象値）に対してハッシュ値を算出し、このハッシュ値に対してＨＳＭ１００に生成させた電子署名値、上記署名対象値、及びＴＳＡの電子証明書を組み合わせてタイムスタンプトークンを発行する。ここで、ＨＳＭ１００は、ＨＳＭ１００に格納されている暗号鍵（秘密鍵）を用いて電子署名値を生成する。
または、ＣＰＵ２１（タイムスタンプ発行処理部６６）は、ＨＳＭ１００に署名対象コンテンツデータに対する電子署名を生成させるのではなく、タイムスタンプサーバ２０が備える記憶部２０Ｂの鍵記憶部に格納した暗号鍵を用いてハッシュ値に対する電子署名を生成し、署名対象値、電子署名、ＴＳＡの電子証明書を組み合わせてタイムスタンプトークンを発行する。

なおタイムサーバ１０が「閏秒」を挿入するタイミング又はその前後の所定期間内であるか否かを判断し、そうである場合にタイムスタンプ要求を破棄する処理は、図６のステップＳ２（タイムスタンプ要求受付処理）において、フロントエンドサーバ３０で行ってもよい。
その場合、フロントエンドサーバ３０は、タイムスタンプ要求をタイムスタンプサーバ２０に転送しないため、タイムスタンプサーバ２０は、タイムスタンプトークンを発行しない。

図８は、本実施形態に係るタイムスタンプシステムにおいて、タイムサーバ及びタイムスタンプサーバが実行する時刻同期処理を説明するフローチャートである。
図８（ａ）は、タイムスタンプサーバ側の処理を示し、図８（ｂ）は、タイムサーバ側の処理を示している。
図８（ａ）を用いてタイムスタンプサーバ側の処理を説明する。
ＣＰＵ２１（時刻情報要求処理部６１）は、ステップＳ１０１において、時刻同期タイミングとなったか否かを判定する。タイムスタンプサーバ２０は所定周期毎にタイムサーバ１０に基準時刻を問い合わせて時刻同期を行う。
時刻同期タイミングとなったと判定した場合（ステップＳ１０１でＹｅｓ）、ＣＰＵ２１（時刻情報要求処理部６１）は、ステップＳ１０３において、タイムサーバ１０から送信された時刻情報があるか否かを判定する。
タイムサーバ１０から送信された時刻情報があると判定された場合（ステップＳ１０３でＹｅｓ）、ＣＰＵ２１（時刻情報取得処理部６２）は、ステップＳ１０４において、時刻情報を取得する。
そして、ＣＰＵ１１（ローカル時刻校正処理部６４）は、ステップＳ１０５において、ローカル時刻を基準時刻によって校正して処理を終了する。

図８（ｂ）のタイムサーバ側の処理を説明する。
ＣＰＵ１１（時刻情報要求受付処理部５１）は、ステップＳ２０１において、タイムスタンプサーバ２０から送信された時刻情報要求があるか否かを判定する。
タイムスタンプサーバ２０から送信された時刻情報要求があると判定した場合（ステップＳ２０１でＹｅｓ）、ＣＰＵ１１（時刻情報要求受付処理部５１）は、ステップＳ２０２において、時刻情報要求を受け付ける。
そして、ＣＰＵ１１（時刻情報送信処理部５２）は、ステップＳ２０３において、時刻情報を、タイムスタンプサーバ２０に対して送信する。
上記に説明したように、タイムスタンプシステムでは、ＮＴＰのみを用いてタイムサーバと時刻同期を行うタイムスタンプサーバが、閏秒の挿入期間にタイムスタンプ発行を行わないことで、タイムスタンプの正確性を担保することが出来る。

ＲＦＣ３１６１で規定されるタイムスタンププロトコルに基づくタイムスタンプサービスの時刻精度は「１秒」以内であることが多い。
このため、タイムスタンプサーバ２０で付与されるタイムスタンプの時刻は、ＵＴＣとの誤差が「１秒」以内であることが求められている。

ただし、コンピュータを用いた高頻度な証券取引など１秒間に千件単位の時刻証明を行う需要があり、欧州の第２次金融商品市場指令（ＭｉＦＩＤ２：Markets in Financial Instruments Directive 2）では、「１秒」以内を超えたより高い精度のタイムスタンプが求められている。
株式等の証券取引においてコンピュータを用いた高頻度取引（ＨＦＴ：High-Frequency Trading）が一般化しており、時間当たりの取引数は莫大な数に上り１秒間に数千件〜数万件にものぼる注文が行われる。
電子的な証券取引においては、売り注文、買い注文のデータにタイムスタンプを適用し、取引時刻を証明する必要がある。取引時刻の前後は、明確に特定される必要があるからである。
ＭＩＦＩＤ２では、すべてのＨＦＴ（高頻度取引）の注文におけるタイムスタンプは、マイクロ秒レベルの精度を有し、ＨＦＴ以外の注文でも、タイムスタンプはミリ秒レベルの精度を有している必要がある。

タイムスタンプの誤差（時刻精度）が１秒あると、１秒単位のタイムスタンプしか付与できない。１秒単位のタイムスタンプの時刻表示は、「２０１９０２０４２３５９５９（２０１９年２月４日２３時５９分５９秒）」などとなり、１秒（５９秒目）の間に行われる数千件の取引の時刻を個々に特定することが出来ない。
それに対し、１マイクロ秒（１００万分の１秒）単位のタイムスタンプの時刻表示は、「２０１９０２０４２３５９５９．１２３４５６Ｚ（２０１９年２月４日２３時５９分５９秒１２３４５６Ｚ）」などであり、１秒以下の値を極めて細かい粒度で表示し、１秒（５９秒目）の間に行われる数千件以上の取引の時刻を個々に特定して証明をすることが出来る。

図３について説明したように、タイムサーバ１０自体は、ＵＴＣと正確に同期した基準時刻情報を生成可能であるが、タイムサーバ１０から基準時刻情報をＩＰネットワーク上でＮＴＰを介して取得する限りは、タイムスタンプサーバ２０のローカル時刻情報を、基準時刻情報に応じた精度でＵＴＣに同期させることは難しい。
それに対して、本実施形態のタイムスタンプサーバ２０では、タイムサーバ１０からＵＴＣと同期したＰＰＳ信号や高周波パルス信号などのタイミング信号の供給を受けることにより、タイムスタンプサーバ２０のローカル時刻及びタイムスタンプそのもの精度を高めることが出来る。
本実施形態のタイムスタンプサーバ２０は、ＮＴＰによって所定周期でタイムサーバ１０から基準時刻を取得することによってローカル時刻を校正するが、それとともに、タイムサーバ１０が出力するタイミング信号を入力し、それに基づいてローカル時刻のクロック精度をマイクロ秒単位で向上させることで、ＭＩＦＩＤ２にも対応可能な高精度の高いタイムスタンプの付与が可能である。

タイムスタンプサーバ２０が、タイムサーバ１０が出力するタイミング信号を用いてローカル時刻を校正する構成を説明する。
一例として、タイムスタンプサーバ２０が備える発振器のクロックを、タイムサーバ１０から入力されるタイミング信号に同期させることでローカル時刻の精密な調整を行う方法がある。以下に詳しく説明する。

図９は、本実施形態に係るタイムスタンプシステムの別の構成を示す図である。
図１０は、図９のタイムスタンプシステムにおけるタイムスタンプサーバのハードウェア構成を説明する図である。
図９に示すタイムスタンプシステムの構成、図１０に示すタイムスタンプサーバのハードウェア構成は、図１及び図５（ａ）に示した構成と一部を除いて夫々同じである。
共通する構成には、図１、図５（ａ）と同じ符号を付して説明を省略する。
また、タイムサーバの構成、タイムスタンプシステムにおけるタイムスタンプ発行のシーケンス、タイムスタンプサーバのタイムスタンプ処理、ＮＴＰを用いた時刻同期処理も、図３、図６乃至図８に示したものと共通している。
図９に示すように、タイムサーバ１０は、ＰＰＳ信号などのタイミング信号を例えば同軸ケーブルを用いてタイムスタンプサーバ２０に供給する。
図３について説明したように、タイムサーバ１０は、タイミング信号としてのＰＰＳ信号を外部出力する可能な出力Ｉ／Ｆ１７を備えている。タイムサーバ１０の信号出力Ｉ／Ｆ１７から出力されるタイミング信号は、１秒に１回のＰＰＳ信号ではなく、１０ＫＨｚなどの周波数の高いパルス（以下、「高周波パルス信号」と記載する）であってもよい。タイムスタンプサーバ２０は、タイムサーバ１０から、タイミング信号としてのＰＰＳ信号又は上記高周波パルス信号を入力され得る。

図９（ａ）に示すタイムスタンプサーバ２０は、タイムサーバ１０からタイミング信号を入力するための外部入力インターフェイス２５をさらに備える。図１０では、代表的にタイミング信号としてＰＰＳ信号のみを示している。
タイムスタンプサーバ２０は、ネットワーク経由でタイムサーバ１０と接続可能であるとともに、同軸ケーブルなどの手段で直接的に接続して、タイムサーバ１０からの信号を得ることが出来る。
図９（ａ）に示すタイムスタンプサーバ２０は、発振器２６を含む位相同期部をさらに備える。
位相同期部２７は、発振器２６に加えて、位相比較器２７ａ、ループフィルター２７ｂ、分周器２７ｃを備える。

分周器２７ｃは、発振器２６が出力するクロック信号（周波数：ｆ）を１／ｆの分周比で分周し、１Ｈｚの分周クロック信号を出力する。
外部入力Ｉ／Ｆ２５から入力されたＰＰＳ信号又は上記高周波パルス信号は、位相比較器２７ａに入力される。
位相比較器１６ａは、外部入力Ｉ／Ｆ２５を介してタイムサーバ１０から入力されたＰＰＳ信号又は上記高周波パルス信号と、分周器２７ｃが出力する１Ｈｚの分周クロック信号と、を位相比較し、その結果として位相差に応じた電圧値の位相差信号を出力する。この位相差信号は、ループフィルター２７ｂを介して発振器２６に入力される。
発振器２６は、ループフィルター２７ｂの出力電圧に応じて周波数を微調整可能であり、発振器２６が出力するクロック信号は、外部入力Ｉ／Ｆ２５から入力されたＰＰＳ信号又は上記高周波パルス信号と完全に同期する。

図５（ｂ）に示したローカル時刻生成処理部６３は、発振器２６から出力されたクロックを取得し、このクロックに基づいて、ローカル時刻情報を生成する処理を行う。
発振器２６から出力されたクロックは上記のようにＰＰＳ信号又は上記高周波パルス信号に完全に同期し、極めて高精度である。従って、そのクロックから生成されたローカル時刻も極めて高精度である。
この例のタイムスタンプサーバ２０は、ＮＴＰを用いてタイムサーバ１０から基準時刻情報を取得して所定期間周期で時刻の校正（秒単位）を行うことはもちろんであるが、ＰＰＳ信号又は上記高周波パルス信号によってローカル時刻を生成するためのクロックを調整することで、マイクロ秒単位のローカル時刻の校正を継続的に行うことが出来る。ＰＰＳ信号や記高周波パルス信号などのタイミング信号による発振器２６クロックの調整は、ローカル時刻自体を校正することと同義である。
これによって、タイムスタンプサーバ２０は、ローカル時刻を極めて高精度に保つことができ、マイクロ秒単位の粒度を有するタイムスタンプトークンを発行することが出来る。

別の例として、ＣＰＵ２１にタイミング信号としてのＰＰＳ信号又は上記高周波パルス信号を入力し、ローカル時刻生成処理部６４が、ＰＰＳ信号のパルスに基づいてローカル時刻を校正することが出来る。
タイムスタンプシステムの構成は、図９に示す通りであり、タイムスタンプサーバ２０は、同軸ケーブルなどによってタイムサーバ１０からＰＰＳ信号又は上記高周波パルス信号を入力される。
ＣＰＵ２１は、図５の構成に加えて図示しない信号取得処理部を実行し、ＰＰＳ信号又は上記高周波パルス信号はＣＰＵ２１に入力される。
ローカル時刻校正処理部６３は、時刻情報取得処理部６２が取得した基準時刻情報によってローカル時刻を秒単位で校正するとともに、校正後のローカル時刻に対して信号取得処理部が取得したＰＰＳ信号又は上記高周波パルス信号のパルスに基づいてマイクロ秒単位の校正を行う。
ＰＰＳ信号又は上記高周波パルス信号はＵＴＣと精密に同期しており、タイムスタンプサーバ２０は、ローカル時刻を基準時刻と同期させて正確なタイムスタンプを行うことが出来る。

また、以上の構成によれば、タイムサーバ１０が供給する基準時刻情報と、ＰＰＳ信号又は上記高周波パルス信号と、によって、タイムサーバ１０で行われる「アジャスモード」にも高精度で追随することが出来るため、アジャストモードによって閏秒に対応する場合であっても、高精度にタイムスタンプの発行を行うことが出来る。
もちろんＰＰＳ信号又は上記高周波パルス信号と、基準時刻情報と、を用いてローカル時刻の校正を行う場合であっても、タイムスタンプサーバ２０は、閏秒を挿入するタイミングの前後のタイミングではタイムスタンプ要求を破棄してもよい。

なお、上記では、複数のクライアント装置４０に対して、タイムサーバ１０、タイムスタンプサーバ２０、フロントエンドサーバ３０が、それぞれ一つずつ含まれるシステムを説明した。
それに限らず、本実施形態のタイムスタンプシステム１は、複数のタイムサーバ１０（ＴＡＡ）と、タイムスタンプサーバ２０、フロントエンドサーバ３０による複数のＴＳＡと、よって構成されることが出来る。
１または複数のクライアント装置４０の利用者は、上記に説明した機能を有する複数のＴＳＡの中から、任意のＴＳＡを選択し、そのフロントエンドサーバ３０にアクセスすることが出来る。

特開２０１１−０８２７２７号公報のタイムスタンプ装置は、タイムスタンプトークンを発行するための時計部を備えており、クライアント端末からの要求に応じてタイムスタンプトークンを発行する。
タイムスタンプ装置は、一定時間毎に管理サーバに接続して認証を受けるとともに、管理サーバから基準時刻の配信を受けて時計部を補正する。
管理サーバは、タイムスタンプ装置の認証、基準時刻の配信などを行い、基準時刻の配信はＮＴＰを用いて行うことができる。しかし、タイムスタンプ装置がＰＰＳ信号の入力を受けて時刻同期を行うことは記載されていない。
特開２００６−２３６２５１号公報には、装置内部に水晶発振器やＴＣＸＯを用いた内部時計を有し、この内部時計が刻むローカル時刻を、標準電波送信所から送信される標準電波に含まれた電波時刻により補正するタイムスタンプ装置が開示されている。
このタイムスタンプ装置は、電波時刻の取得に加えて、時刻発行サーバからネットワークを介して認証時刻を取得し、この認証時刻を用いて内部時計が刻むローカル時刻の補正を行う。しかし、タイムスタンプ装置がＰＰＳ信号の入力を受けて時刻同期を行うことは記載されていない。
特開２００６−１１５１５３には、ネットワークを通過する所定のデータパケットに、高精度のタイムスタンプ情報を挿入するためのタイムスタンプ装置が開示されている。
タイムスタンプ装置が備える時間同期情報生成部は、外部信号入力部と位相同期部を備えている。
外部信号入力部は基準クロック信号としてＰＰＳ信号を入力することができ、位相同期部は入力された基準クロック信号を増幅して、パケット処理部に同期信号を送出し、タイムカウンタ部には同期信号又はＰＰＳ信号としての時間信号を送出する。
タイムスタンプ付与部は、通過する特定のパケットの所定位置に、所定のタイムスタンプ情報を格納する。
タイムスタンプ用のクロック生成にあたってＰＰＳ信号が用いられるが、ＰＫＩでの利用を前提に電子文書に対するタイムスタンプの生成を行う本実施形態とは異なり、データパケットに対してタイムスタンプを付与する。ＰＰＳ信号は、ＮＴＰなどによる時刻情報とともに用いられるものではない。基準クロック信号としてのＰＰＳ信号のみにて時間信号が生成され、タイムカウンタ部によるカウントアップが行われる。
特開２０１８−１４１６８８には、ＧＰＳ衛星から送信された衛星信号を受信し、高精度の１ＰＰＳをタイミング信号として生成する機能を有するタイミング信号出力装置が開示されている。タイミング信号出力装置は、ＧＰＳ受信機、処理部、原子発振器、ＧＰＳアンテナ、タイマーを含む。
原子発振器は、ルビジウム原子やセシウム原子等の原子のエネルギー遷移を利用してクロック信号を出力する。
タイマーは、時刻情報を生成する機能を有するリアルタイムクロックで、ＴＣＸＯからのクロック信号によりカウントアップされる。
ＧＰＳ受信機は、少なくとも１つのＧＰＳ衛星から送信された衛星信号を受信し、受信した衛星信号に含まれる軌道情報および時刻情報と処理部によって設定された受信点の位置情報とに基づいて、基準信号として、ＵＴＣと同期したＰＰＳ信号を生成する。
原子発振器が出力するクロック信号はＧＰＳ受信機が出力するＰＰＳ信号に完全に同期しており、原子発振器かクロック信号をＧＰＳ受信機からの１ＰＰＳに同期した高精度なＰＰＳ信号として出力することができる。
しかし、タイムスタンプサーバにおいて、ＰＰＳ信号はＮＴＰなどによる時刻情報とともに用いられるものではない。ＰＰＳ信号のみにて時間信号が生成され、タイムカウンタ部によるカウントアップが行われる。
なお、上記のすべての文献には、タイムサーバ１０が基準時刻を調整するタイミングの前後でタイムスタンプの発行を制限することは記載されていない。

［第１の態様］
第１の態様のタイムスタンプ装置２０は、タイムサーバ装置１０と通信するタイムスタンプ装置であって、クロック信号を発生するクロック発生手段２６と、タイムサーバ装置１０から所定のタイミング信号を入力する信号入力手段と、クロック信号に基づいてローカル時刻を生成する時刻生成手段６４と、タイムサーバ装置１０から基準時刻を取得する時刻取得手段６２と、時刻取得手段６２が取得した基準時刻と、信号入力手段から入力された所定のタイミング信号と、に基づいて、ローカル時刻の校正を行う時刻校正手段６５と、外部装置４０からの要求に応じて、時刻校正手段６５によって校正されたローカル時刻を含むタイムスタンプトークンを発行するタイムスタンプ発行手段６７と、を備えた。
タイムサーバ装置１０が配信する基準時刻のみによって、クロック信号に基づくローカル時刻を校正するのではなく、タイムサーバ装置が供給するタイミング信号を用いてローカル時刻を校正することで、タイムスタンプサーバ２０は、高精度のタイムスタンプトークンを発行することが出来る。

［第２の態様］
第２の態様のタイムスタンプ装置２０は、第１の態様において、クロック信号をタイミング信号と同期させる同期手段２７を備え、時刻校正手段６５は、タイミング信号と同期されたクロック信号に基づくローカル時刻に対して、基準時刻に基づく校正を行う。
タイムサーバ装置１０が配信する基準時刻によってローカル時刻を大まかに補正し、タイムサーバ装置１０から供給されるタイミング信号とクロック信号を同期させることで、ローカル時刻を細かく補正することにより、タイムスタンプサーバ２０は、高精度のタイムスタンプトークンを発行することが出来る。

［第３の態様］
第３の態様のタイムスタンプ装置２０は、第２の態様において、タイミング信号は、タイムサーバ装置１０が備える原子発振器のクロック信号に基づいて生成された信号である。
タイムサーバ装置１０が配信する基準時刻によってローカル時刻を大まかに補正し、タイムサーバ装置１０から供給される原子発振器による高精度のタイミング信号とクロック信号を同期させることでローカル時刻を細かく補正することにより、タイムスタンプサーバ２０は、高精度のタイムスタンプトークンを発行することが出来る。

［第４の態様］
第４の態様のタイムスタンプ装置２０は、クロック信号を発生するクロック発生手段２６と、クロック信号に基づいてローカル時刻を生成する時刻生成手段６４と、タイムサーバ装置１０から基準時刻を取得する時刻取得手段６２と、時刻取得手段６２が取得した基準時刻に基づいて、ローカル時刻の校正を行う時刻校正手段６５と、外部装置４０からの要求に応じて、時刻校正手段６５によって校正されたローカル時刻を含むタイムスタンプトークンを発行するタイムスタンプ発行手段６７と、を備え、タイムサーバ装置１０は、所定タイミングにおいて基準時刻の調整を行い、タイムスタンプ発行手段６７は、所定タイミングの前後において、タイムスタンプの発行を制限される。
このように、基準時刻を配信するタイムサーバ１０が基準時刻の調整を実施することでローカル時刻の正確な校正が難しいタイミングでは、タイムスタンプ発行を制限することで、タイムスタンプサーバ２０で発行されるタイムスタンプ自体の精度（信頼度）を高めることが出来る。

１ タイムスタンプシステム、１０ タイムサーバ、１１ ＣＰＵ、１２ ＲＡＭ、１３ 記憶装置、１４ ネットワークＩ／Ｆ、１５ ＧＰＳ受信機、１５ａ ＧＰＳアンテナ、１６ 位相同期部、１６ａ 位相比較器、１６ｂ ループフィルター、１６ｃ 原子発振器、１６ｄ 分周器、１７ 信号出力Ｉ／Ｆ、２０ タイムスタンプサーバ、２１ ＣＰＵ、２２ ＲＡＭ、２３ 記憶装置、２４ ネットワークＩ／Ｆ
２５ 外部入力Ｉ／Ｆ、２６ 発振器、３０ フロントエンドサーバ、４０ クライアント装置、５１ 時刻情報要求受付処理部、５２ 時刻情報送信処理部、５３ ローカル時刻生成処理部、６１ 時刻情報要求処理部、６２ 時刻情報取得処理部、６３ ローカル時刻生成処理部、６４ ローカル時刻校正処理部、６５ タイムスタンプ要求受付処理部、６６ タイムスタンプ発行処理部、６７ タイムスタンプ送信処理部

Claims (10)

1. タイムサーバ装置と通信するタイムスタンプ装置であって、
   クロック信号を発生するクロック発生手段と、
   前記タイムサーバ装置から所定のタイミング信号を入力する信号入力手段と、
   前記クロック信号に基づいてローカル時刻を生成する時刻生成手段と、
   前記タイムサーバ装置から基準時刻を取得する時刻取得手段と、
   前記時刻取得手段が取得した前記基準時刻と、前記信号入力手段から入力された前記所定のタイミング信号と、に基づいて、前記ローカル時刻の校正を行う時刻校正手段と、
   外部装置からの要求に応じて、前記時刻校正手段によって校正された前記ローカル時刻を含むタイムスタンプトークンを発行するタイムスタンプ発行手段と、
   を備えたことを特徴とするタイムスタンプ装置。
2. 請求項１に記載のタイムスタンプ装置において、
   前記クロック信号を前記タイミング信号と同期させる同期手段を備え、
   前記時刻校正手段は、前記タイミング信号と同期された前記クロック信号に基づく前記ローカル時刻に対して、前記基準時刻に基づく校正を行う、
   ことを特徴とするタイムスタンプ装置。
3. 請求項２に記載のタイムスタンプ装置において、
   前記タイミング信号は、前記タイムサーバ装置が備える原子発振器のクロック信号に基づいて生成された信号であることを特徴とするタイムスタンプ装置。
4. 請求項１乃至３の何れか一項に記載のタイムスタンプ装置において、
   前記タイムサーバ装置は、所定タイミングにおいて前記基準時刻の調整を行い、
   前記タイムスタンプ発行手段は、前記所定タイミングの前後において、前記タイムスタンプの発行を制限されることを特徴とするタイムスタンプ装置。
5. クロック信号を発生するクロック発生手段と、
   前記クロック信号に基づいてローカル時刻を生成する時刻生成手段と、
   タイムサーバ装置から基準時刻を取得する時刻取得手段と、
   前記時刻取得手段が取得した前記基準時刻に基づいて、前記ローカル時刻の校正を行う時刻校正手段と、
   外部装置からの要求に応じて、前記時刻校正手段によって校正された前記ローカル時刻を含むタイムスタンプトークンを発行するタイムスタンプ発行手段と、
   を備え、
   前記タイムサーバ装置は、所定タイミングにおいて前記基準時刻の調整を行い、
   前記タイムスタンプ発行手段は、前記所定タイミングの前後において、前記タイムスタンプの発行を制限されることを特徴とするタイムスタンプ装置。
6. タイムサーバ装置と、タイムスタンプ装置と、を備えるタイムスタンプシステムにおいて、
   前記タイムサーバ装置は、
   基準時刻を生成する時刻生成手段と、
   前記タイムスタンプ装置からの要求に応じて前記基準時刻を送信する時刻送信手段と、
   タイミング信号を生成する信号生成手段と、
   前記タイミング信号を出力する信号出力手段と、を備え、
   タイムサーバ装置と通信するタイムスタンプ装置であって、
   クロック信号を発生するクロック発生手段と、
   前記タイムサーバ装置から所定のタイミング信号を入力する信号入力手段と、
   前記クロック信号に基づいてローカル時刻を生成する時刻生成手段と、
   前記タイムサーバ装置から基準時刻を取得する時刻取得手段と、
   前記時刻取得手段が取得した前記基準時刻と、前記信号入力手段から入力された前記所定のタイミング信号と、に基づいて、前記ローカル時刻の校正を行う時刻校正手段と、
   外部装置からの要求に応じて、前記時刻校正手段によって校正された前記ローカル時刻を含むタイムスタンプトークンを発行するタイムスタンプ発行手段と、
   を備えたことを特徴とするタイムスタンプシステム。
7. タイムサーバ装置と、タイムスタンプ装置と、を備えるタイムスタンプシステムにおいて、
   前記タイムサーバ装置は、
   基準時刻を生成する時刻生成手段と、
   前記タイムスタンプ装置からの要求に応じて前記基準時刻を送信する時刻送信手段と、を備え、
   前記タイムスタンプ装置は、
   クロック信号を発生するクロック発生手段と、
   前記クロック信号に基づいてローカル時刻を生成する時刻生成手段と、
   タイムサーバ装置から基準時刻を取得する時刻取得手段と、
   前記時刻取得手段が取得した前記基準時刻に基づいて、前記ローカル時刻の校正を行う時刻校正手段と、
   外部装置からの要求に応じて、前記時刻校正手段によって校正された前記ローカル時刻を含むタイムスタンプトークンを発行するタイムスタンプ発行手段と、
   を備え、
   前記タイムサーバ装置は、所定タイミングにおいて前記基準時刻の調整を行い、
   前記タイムスタンプ発行手段は、前記所定タイミングの前後において、前記タイムスタンプの発行を制限される、
   ことを特徴とするタイムスタンプシステム。
8. クロック信号を発生するクロック発生手段と、信号入力手段と、時刻生成手段と、時刻取得手段、時刻校正手段と、タイムスタンプ発行手段と、を備え、タイムサーバ装置と通信可能なタイムスタンプ装置のタイムスタンプ方法であって、
   前記時刻生成手段が、前記クロック信号に基づいてローカル時刻を生成するステップと、
   前記時刻取得手段が、前記タイムサーバ装置から基準時刻を取得する時刻取得手段と、
   前記時刻校正手段が、前記時刻取得手段が取得した前記基準時刻と、前記信号入力手段から入力された前記所定のタイミング信号と、に基づいて、前記ローカル時刻の校正を行うステップと、
   前記タイムスタンプ発行手段が、外部装置からの要求に応じて、前記時刻校正手段によって校正された前記ローカル時刻を含むタイムスタンプトークンを発行するステップと、
   を含むことを特徴とするタイムスタンプ方法。
9. クロック信号を発生するクロック発生手段と、時刻生成手段と、時刻取得手段、時刻校正手段と、タイムスタンプ発行手段と、を備えるタイムスタンプ装置のタイムスタンプ発行方法であって、
   前記時刻生成手段が、前記クロック信号に基づいてローカル時刻を生成するステップと、
   前記時刻取得手段が、タイムサーバ装置から基準時刻を取得するステップと、
   前記時刻取得手段が取得した前記基準時刻に基づいて、前記ローカル時刻の校正を行うステップと、
   前記タイムスタンプ発行手段が、外部装置からの要求に応じて、前記時刻校正手段によって校正された前記ローカル時刻を含むタイムスタンプトークンを発行するステップと、
   を、を含み、
   前記タイムサーバ装置は、所定タイミングにおいて前記基準時刻の調整を行い、
   前記タイムスタンプ発行手段は、前記所定タイミングの前後において、前記タイムスタンプの発行を制限されることを特徴とするタイムスタンプ方法。
10. 請求項８又は９に記載のタイムスタンプ方法をコンピュータに実行させるプログラム。

Images