JP2023066063A - タイムスタンプ発行システム、タイムスタンプ発行方法およびタイムスタンプ発行プログラム - Google Patents

Abstract

【課題】より安価な利用費用で、持続性の高いタイムスタンプサービスを提供可能にする。
【解決手段】
タイムスタンプ発行システム１において、タイムスタンプ局１０は、局内タイムサーバ１２と、タイムスタンプサーバ１３と、タイムスタンプ時計１４とを備える。局内タイムサーバ１２は、国家時刻標準機関３から標準時刻情報を取得し、自身の第１時計１２ｆの第１時刻情報を標準時刻情報に同期させる。タイムスタンプ時計１４は、タイムスタンプトークン６０の生成に用いるタイムスタンプ時刻情報を示す。タイムスタンプサーバ１３は、自身の第２時計１３ｆの第２時刻情報を第１時刻情報に同期させ、タイムスタンプ時計１４のタイムスタンプ時刻情報を第２時刻情報に同期させ、電子ファイル５０のハッシュ値６１とタイムスタンプ時刻情報とに基づいてタイムスタンプトークン６０を生成する。
【選択図】図４

Description

特許法第３０条第２項適用申請有り 令和３年３月１０日付にてアマノセキュアジャパン株式会社がトラストサービス・ワークショップ２０２１というオンライン講演会で公開

本発明は、電子ファイルを証明するためのタイムスタンプトークンを発行するタイムスタンプ発行システム、タイムスタンプ発行方法およびタイムスタンプ発行プログラムに関する。

従来、文書、画像、動画、音声などの電子データの原本ファイル（電子ファイル）に対してタイムスタンプを押印（付与）することで、この原本ファイルを証明する技術が知られている。例えば、原本ファイルの証明を所望する利用者は、自身の保有するコンピュータなどによってハッシュアルゴリズムを用いて原本ファイルのハッシュ値を算出してタイムスタンプ局へ送信する。タイムスタンプ局は、ハッシュ値および現在時刻などの情報を結合したデータを生成し、このデータに対して秘密鍵を使用してデジタル署名を施してタイムスタンプトークンを生成して利用者に返信する。利用者は、タイムスタンプトークンを原本ファイルに付加することでタイムスタンプを押印し、これにより、この原本ファイルは、タイムスタンプトークンに付加された時刻に存在したことなどが証明される。

例えば、下記の特許文献１に開示されるタイムスタンプシステムは、複数のクライアント端末と、これらクライアント端末にタイムスタンプを発行するタイムスタンプ局と、タイムスタンプ局の時刻監査を行う時刻監査局と、時刻監査局の時刻監査を行う国家時刻配信局がネットワークにより接続可能に配設されている。

特開２００７－０７２５８５号公報

タイムスタンプ局（ＴＳＡ）は、ＴＳＡ時計を有していて、ＴＳＡ時計の示す現在時刻に基づいてタイムスタンプを発行するところ、ＴＳＡ時計の時刻は、時刻監査局などの時刻配信局（ＴＡＡ）から配信されている時刻情報に基づいて設定されている。タイムスタンプ局は、時刻配信局が配信する時刻情報を受信し、また、時刻配信局によってＴＳＡ時計の監査を受ける。なお、時刻配信局は、ＴＡＡ時計を有していて、ＴＡＡ時計の示す現在時刻に基づいて時刻情報を配信するところ、ＴＡＡ時計の時刻は、ＮＩＣＴ（国立研究開発法人 情報通信研究機構）などの国家時刻標準機関（ＮＴＡ）が管理する協定世界時（ＵＴＣ）と時刻比較・同期を図ることで設定されている。時刻配信局は、換言すれば、協定世界時に同期したＴＡＡ時計に基づいてタイムスタンプ局に時刻情報を配信し、かつＴＳＡ時計とＴＡＡ時計との時刻差を測定することによりＴＳＡ時計を監査し、ＴＳＡ時計の協定世界時に対する時刻トレーサビリティを保証する。

ところが、時刻配信局では、特定のメーカーに依存した特殊な機器・ソフトウェアを使用しているため、運用維持費用のコストが高く、そのコストは、利用者に対して、時刻配信局の利用費用に上乗せされてしまう。また、メーカーに依存した特殊な機器・ソフトウェアに障害・故障などのトラブルが発生した場合、事業者の復旧対応に時間が掛かり、トラブルが解消されるまでの間はタイムスタンプ局に時刻情報を配信できないので、利用者は、タイムスタンプ局によるタイムスタンプサービスを利用できないという問題がある。

そこで、タイムスタンプ発行システムでは、タイムスタンプに付加されるタイムスタンプ局のＴＳＡ時計の時刻情報について、協定世界時に対する時刻トレーサビリティを保証しつつ、タイムスタンプサービスを、中断させることなく、より安価な利用費用で提供できる技術が望まれている。

また、特許文献１に開示される技術では、ＴＳＡは、ＴＡＡから配信された時刻の精度を評価し、また、ＴＡＡから配信される時刻の精度は、ＮＴＡ→ＴＡＡ→ＴＳＡの伝達経路に依存するため、ＴＳＡは、ＮＴＡ、ＴＡＡに精度を問い合わせるなどして、ＴＡＡから配信された時刻の精度を評価する。ＴＳＡは、この評価結果に応じた動作を行い、例えば、タイムスタンプトークンの発行の可否を判断することとなる。

しかしながら、特許文献１に開示される技術によれば、ＴＡＡから配信された時刻を用いてタイムスタンプトークンを発行するので、ＴＡＡの運用維持費用は、利用者のタイムスタンプサービスの利用費用として上乗せされてしまう。更に、ＴＡＡは、特殊な機器を使用しているので、トラブルなどで停止した場合、復旧に時間を要することになり、復旧までの間、利用者はタイムスタンプサービスを利用することができなくなってしまう。

本発明は例えば上述したような問題に鑑みなされたものであり、本発明の課題は、より安価な利用費用で、持続性の高いタイムスタンプサービスを提供可能なタイムスタンプ発行システム、タイムスタンプ発行方法およびタイムスタンプ発行プログラムを提供することにある。

上記課題を解決するために、本発明の第１のタイムスタンプ発行システムは、電子ファイルを証明するためのタイムスタンプトークンを発行するタイムスタンプ局を有するタイムスタンプ発行システムであって、前記タイムスタンプ局は、標準時の標準時刻情報を配信する配信機関から前記標準時刻情報を取得し、第１時計を有していて、前記第１時計の示す第１時刻情報を前記標準時刻情報に同期させる局内タイムサーバと、前記タイムスタンプトークンの生成に用いるタイムスタンプ時刻情報を示すタイムスタンプ時計と、第２時計を有していて、前記第２時計の示す第２時刻情報を前記第１時刻情報に同期させ、前記電子ファイルのハッシュ値に基づいて前記タイムスタンプトークンを生成するタイムスタンプサーバと、を備え、前記タイムスタンプサーバは、前記タイムスタンプ時計の示す前記タイムスタンプ時刻情報を前記第２時刻情報に同期させ、前記ハッシュ値と前記タイムスタンプ時刻情報とに基づいて前記タイムスタンプトークンを生成することを特徴とする。

また、上記課題を解決するために、本発明の第１のタイムスタンプ発行方法は、電子ファイルを証明するためのタイムスタンプトークンをタイムスタンプ局から発行するタイムスタンプ発行方法であって、前記タイムスタンプ局に備わる局内タイムサーバによって、標準時の標準時刻情報を配信する配信機関から前記標準時刻情報を取得し、前記局内タイムサーバの有する第１時計の示す第１時刻情報を前記標準時刻情報に同期させる工程と、前記タイムスタンプ局に備わるタイムスタンプ時計によって、前記タイムスタンプトークンの生成に用いるタイムスタンプ時刻情報を示す工程と、前記タイムスタンプ局に備わるタイムスタンプサーバによって、前記タイムスタンプサーバの有する第２時計の示す第２時刻情報を前記第１時刻情報に同期させ、前記電子ファイルのハッシュ値に基づいて前記タイムスタンプトークンを生成する工程と、を有し、更に、前記タイムスタンプサーバにおいて、前記タイムスタンプ時計の示す前記タイムスタンプ時刻情報を前記第２時刻情報に同期させ、前記ハッシュ値と前記タイムスタンプ時刻情報とに基づいて前記タイムスタンプトークンを生成することを特徴とする。

また、上記課題を解決するために、本発明の第１のタイムスタンプ発行プログラムは、電子ファイルを証明するためのタイムスタンプトークンを発行するタイムスタンプ局に備わるタイムスタンプサーバとしてコンピュータを機能させるためのプログラムであって、前記タイムスタンプ局に備わる局内タイムサーバによって、標準時の標準時刻情報を配信する配信機関から前記標準時刻情報を取得し、前記局内タイムサーバの有する第１時計の示す第１時刻情報を前記標準時刻情報に同期させていて、前記タイムスタンプサーバの有する第２時計の示す第２時刻情報を前記第１時刻情報に同期させ、前記タイムスタンプ局に備わるタイムスタンプ時計の示すタイムスタンプ時刻情報を前記第２時刻情報に同期させ、前記電子ファイルのハッシュ値と前記タイムスタンプ時刻情報とに基づいて前記タイムスタンプトークンを生成することを特徴とする。

本発明の第１のタイムスタンプ発行システム、第１のタイムスタンプ発行方法および第１の第１のタイムスタンプ発行プログラムによれば、タイムスタンプサーバは、時刻監査局などの時刻配信局（ＴＡＡ）を経由することなく、タイムスタンプトークンに付加されるタイムスタンプ時刻情報を、安価で正確に確保することができる。そのため、より安価な利用費用で、持続性の高いタイムスタンプサービスを提供することができ、タイムスタンプの利用者の利便性を向上することができる。

本発明の第２のタイムスタンプ発行システムでは、前記タイムスタンプ局は、前記配信機関と前記局内タイムサーバとの間の時刻差情報、前記局内タイムサーバと前記タイムスタンプサーバとの間の時刻差情報、および前記タイムスタンプサーバと前記タイムスタンプ時計との間の時刻差情報を保管するログサーバを更に備えるとよい。

本発明の第２のタイムスタンプ発行システムによれば、タイムスタンプトークンに付加されるタイムスタンプ時刻情報について、トレーサビリティを確保および証明することができ、タイムスタンプの信頼性を向上することができる。

本発明の第３のタイムスタンプ発行システムは、測位衛星から衛星時刻情報を取得し、第３時計を有していて、前記第３時計の示す第３時刻情報を前記衛星時刻情報に同期させる局外タイムサーバを更に有し、前記タイムスタンプ局は、前記タイムスタンプサーバによって生成された前記タイムスタンプトークンの前記タイムスタンプ時刻情報を検証するフロントサーバを更に備え、前記フロントサーバは、前記局外タイムサーバから前記第３時刻情報を受信し、第４時計を有していて、前記第４時計の示す第４時刻情報を前記第３時刻情報に同期させ、前記タイムスタンプトークンの前記タイムスタンプ時刻情報が正当か否かを、前記第４時刻情報を用いて判定し、前記タイムスタンプ局は、前記局外タイムサーバと前記フロントサーバとの間の時刻差情報を保管するとよい。

本発明の第３のタイムスタンプ発行システムによれば、タイムスタンプサーバがタイムスタンプ時計から取得するタイムスタンプ時刻情報が、タイムスタンプトークンに不正な時刻（即ち、国家時刻標準機関が配信する協定世界時（ＵＴＣ）などの標準時刻情報と既定の精度で同期されていない時刻）であるか否かを、測位衛星の衛星時刻情報に基づいて確認することができ、国家時刻標準機関からタイムスタンプサーバへ至る範囲において、異常が発生するリスクを対策することができるので、タイムスタンプの信頼性を向上することができる。

本発明の第４のタイムスタンプ発行システムでは、前記フロントサーバは、前記タイムスタンプトークンの前記タイムスタンプ時刻情報と前記第４時計の前記第４時刻情報との時刻差が、所定の時刻差範囲外である場合、前記タイムスタンプトークンを不当と判定して発行しないとよい。

本発明の第４のタイムスタンプ発行システムによれば、不正な時刻（即ち、国家時刻標準機関が配信する協定世界時（ＵＴＣ）などの標準時刻情報と既定の精度で同期されていない時刻）が設定されたタイムスタンプトークンが利用者に対して発行されることを防止することができ、タイムスタンプの信頼性を向上することができる。

本発明の第５のタイムスタンプ発行システムでは、前記配信機関は、複数の機関タイムサーバを備え、前記局内タイムサーバは、前記各機関タイムサーバと所定の光電話回線または所定の専用線または所定のインターネット回線を介して通信可能に接続され、前記複数の機関タイムサーバの何れかから前記標準時刻情報を取得するとよい。

本発明の第５のタイムスタンプ発行システムによれば、国家時刻標準機関と局内タイムサーバとの間の通信のなりすましを抑制することができ、更に、回線コストを、電気通信事業者を介する通信より安価にすることができ、また、通信セキュリティを向上することができるので、タイムスタンプサーバの信頼性を向上することができる。

本発明の第６のタイムスタンプ発行システムでは、前記タイムスタンプ局は、前記配信機関と前記局内タイムサーバとの間の時刻差情報、前記局内タイムサーバと前記タイムスタンプサーバとの間の時刻差情報、および前記タイムスタンプサーバと前記タイムスタンプ時計との間の時刻差情報にタイムスタンプを付与し、前記局内タイムサーバおよび前記タイムスタンプサーバの操作ログおよびイベントログにタイムスタンプを付与するとよい。

本発明の第６のタイムスタンプ発行システムによれば、ログサーバに保管される各時刻差情報や、各サーバの操作ログおよびイベントログの信頼性（非改ざん性）を向上することができるので、タイムスタンプサーバやタイムスタンプの信頼性を向上することができる。

本発明の第７のタイムスタンプ発行システムでは、前記フロントサーバは、前記タイムスタンプトークンの前記タイムスタンプ時刻情報と前記第４時計の前記第４時刻情報との時刻差が、所定の時刻差範囲外である場合、前記タイムスタンプトークンを不当と判定し、前記タイムスタンプトークンを発行する一方、当該タイムスタンプトークンをタイムスタンプサービスの課金対象から除外するとよい。

本発明の第７のタイムスタンプ発行システムによれば、利用者は、課金されないタイムスタンプトークンを用いて電子ファイルにタイムスタンプを押印することができるので、タイムスタンプの利用者の利便性を向上することができる。

本発明の第８のタイムスタンプ発行システムでは、前記フロントサーバは、前記タイムスタンプトークンの前記タイムスタンプ時刻情報と前記第４時計の前記第４時刻情報との時刻差が、所定の時刻差範囲外である場合、前記タイムスタンプトークンを不当と判定し、前記タイムスタンプトークンの検証結果を示す付加情報を前記タイムスタンプトークンに付加して発行するとよい。

本発明の第８のタイムスタンプ発行システムによれば、タイムスタンプトークンに付加されたタイムスタンプ時刻情報が国家時刻標準機関の標準時刻情報に対する既定の精度に沿っていなくても、タイムスタンプ時刻情報とフロントサーバの第４時刻情報と時刻差に基づいて、電子ファイルが改ざんされていないことを証明することができるので、タイムスタンプの利用者の利便性を向上することができる。

本発明の第９のタイムスタンプ発行システムでは、前記フロントサーバは、前記タイムスタンプトークンの前記タイムスタンプ時刻情報と前記第４時計の前記第４時刻情報との時刻差に応じて、前記タイムスタンプトークンのタイムスタンプサービスの課金レベルおよび前記タイムスタンプトークンに対応するスタンプマークの少なくとも一方を変更するとよい。

本発明の第９のタイムスタンプ発行システムによれば、タイムスタンプトークンに付加されたタイムスタンプ時刻情報が国家時刻標準機関の標準時刻情報に対する既定の精度に沿っていなくても、タイムスタンプ時刻情報の精度のレベルを可視化することができるので、タイムスタンプの利用者の利便性を向上することができる。

本発明によれば、タイムスタンプ発行システム、タイムスタンプ発行方法およびタイムスタンプ発行プログラムは、より安価な利用費用で、持続性の高いタイムスタンプサービスを提供可能とする。

本発明の実施形態に係るタイムスタンプ発行システムの構成を示すブロック図である。 本発明の実施形態に係るタイムスタンプ発行システムにおいて、電子ファイルの例を概要的に示す説明図である。 本発明の実施形態に係るタイムスタンプ発行システムにおいて、データセンターの構成を示すブロック図である。 本発明の実施形態に係るタイムスタンプ発行システムにおいて、タイムスタンプ局の構成を示すブロック図である。 本発明の実施形態に係るタイムスタンプ発行システムの局内タイムサーバの時刻同期動作を示すフローチャートである。 本発明の実施形態に係るタイムスタンプ発行システムのタイムスタンプサーバの時刻同期動作を示すフローチャートである。 本発明の実施形態に係るタイムスタンプ発行システムのフロントサーバの時刻同期動作を示すフローチャートである。 本発明の実施形態に係るタイムスタンプ発行システムのタイムスタンプ発行動作を示すフローチャートである。 本発明の実施形態に係るタイムスタンプ発行システムのフロントサーバのタイムスタンプトークン検証動作を示すフローチャートである。 本発明の実施形態に係るタイムスタンプ発行システムにおいて、国家時刻標準機関および局内タイムサーバの間の第１時刻差情報の例を示す表である。 本発明の実施形態に係るタイムスタンプ発行システムにおいて、局内タイムサーバおよびタイムスタンプサーバの間の第２時刻差情報の例を示す表である。 本発明の実施形態に係るタイムスタンプ発行システムにおいて、タイムスタンプサーバおよびタイムスタンプ時計の間の第３時刻差情報の例を示す表である。 本発明の実施形態に係るタイムスタンプ発行システムにおいて、局外タイムサーバおよびフロントサーバの間の第４時刻差情報の例を示す表である。 本発明の実施形態に係るタイムスタンプ発行システムにおいて、生成されたタイムスタンプトークンのタイムスタンプ発行情報の例を示す表である。 本発明の実施形態に係るタイムスタンプ発行システムにおいて、タイムスタンプトークンの検証結果画面の例を示す平面図である。 本発明の実施形態に係るタイムスタンプ発行システムにおいて、タイムスタンプトークンとフロントサーバとの時刻差に応じたタイムスタンプサービスの課金レベルおよびスタンプマークの例を示す表である。

以下、本発明の実施の形態について図面を参照しながら説明する。以下の実施形態は、本発明の好適な具体例であって、種々の好ましい技術を開示しているが、本発明の技術範囲はこれらの態様に限定されるものではない。

本発明の実施形態によるタイムスタンプ発行システム１について説明する。図１に示すように、タイムスタンプ発行システム１は、データセンター２を有し、データセンター２は、国家時刻標準機関（ＮＴＡ）３（配信機関）および利用者端末４と所定のネットワーク６を介して通信可能に接続され、また、測位衛星５から測位信号を受信可能に構成されている。

タイムスタンプ発行システム１は、図２に示すように、電子ファイル５０に対してタイムスタンプトークン６０を発行することで、タイムスタンプトークン６０の発行日時に電子ファイル５０の電子データ５１が存在していたことを証明（存在証明）し、タイムスタンプトークン６０の発行日時以後に電子データ５１が改ざんされていないことを証明（完全性証明）する。電子ファイル５０にタイムスタンプトークン６０が付加されると、例えば、電子ファイル５０のヘッダーなどに、タイムスタンプトークン６０の付加を示すスタンプマークが表記される。

本実施形態において、電子ファイル５０は、文書、画像、動画、音声などの電子データ５１を含み、例えば、ＰＤＦファイルなどで構成される。電子ファイル５０には、その電子データ５１について存在証明や完全性証明をするために、図２に示すように、電子データ５１のハッシュ値６１に基づくタイムスタンプトークン６０を付加することができ、即ち、電子ファイル５０にタイムスタンプトークン６０を埋め込んで一のファイルとすることができる。タイムスタンプトークン６０には、例えば、ハッシュ値６１と、タイムスタンプトークン６０の発行時刻を示す時刻情報６２と、ハッシュ値６１および時刻情報６２などに対する電子署名６３と、電子署名６３を検証するための電子証明書６４とが含まれる。電子証明書６４には、公開鍵６５、有効期限情報６６および署名６７などが含まれる。

データセンター２は、図１および図３に示すように、タイムスタンプ局（ＴＳＡ）１０と、局外タイムサーバ１１とを有し、タイムスタンプ局１０は、局内タイムサーバ１２と、タイムスタンプサーバ１３と、タイムスタンプ時計１４と、フロントサーバ１５と、ログサーバ１６と、監視サーバ１７とを備えている。

本実施形態では、局内タイムサーバ１２は、図４に示すように、第１時刻情報を示す第１時計１２ｆを有し、タイムスタンプサーバ１３は、第２時刻情報を示す第２時計１３ｆを有する。また、局外タイムサーバ１１は、第３時刻情報を示す第３時計１１ｆを有し、フロントサーバ１５は、第４時刻情報を示す第４時計１５ｆを有する。特に、タイムスタンプ時計１４は、タイムスタンプトークン６０に付加されるタイムスタンプ時刻情報を示す時計である。
［国家時刻標準機関］

国家時刻標準機関３は、標準時の時刻情報（標準時刻情報）を供給するＮＩＣＴ（国立研究開発法人 情報通信研究機構）などの機関であり、協定世界時（ＵＴＣ）を時刻情報として有する複数の機関タイムサーバ１８を備えている。図１では、３つの機関タイムサーバ１８が図示されるが、タイムスタンプ発行システム１は、１つの国家時刻標準機関３に対して１つまたは２つの機関タイムサーバ１８を備えてもよく、あるいは、４つ以上の機関タイムサーバ１８を備えてもよい。複数の機関タイムサーバ１８は、標準時刻情報を保有するサーバであって、それぞれ異なる通信手段で外部機器（例えば、局内タイムサーバ１２）と通信可能に接続されて、外部機器からの要求に応じて標準時刻情報を当該外部機器へ供給する。
［利用者端末］

利用者端末４は、電子ファイル５０の証明のためにタイムスタンプサービス（ＴＳＴの発行）を利用する利用者に使用されるパーソナルコンピュータなどの機器である。図１では、１つの利用者端末４が図示されるが、タイムスタンプ発行システム１は、１つのデータセンター２に対して複数の利用者端末４が接続されてよい。利用者端末４は、利用者の操作に応じてデータセンター２と通信を行って、電子ファイル５０に付加されるタイムスタンプトークン６０をデータセンター２に発行させる。

利用者端末４は、例えば、制御部４ａ、記憶部４ｂ、通信部４ｃ、表示装置４ｄおよび入力装置４ｅを備える。制御部４ａは、ＣＰＵなどのコンピュータで構成され、記憶部４ｂは、ＲＯＭ、ＲＡＭ、ハードディスクなどの記憶媒体で構成される。制御部４ａは、記憶部４ｂに記憶されたプログラムやデータに基づいて演算処理を実行することにより、利用者端末４の各部および各種機能を統括制御する。利用者端末４は、通信部４ｃおよびネットワーク６を介してデータセンター２のタイムスタンプサーバ１３と通信可能に接続される。

例えば、制御部４ａは、記憶部４ｂに記憶されたタイムスタンプ付与プログラムを実行することにより、タイムスタンプ要求部２０、ハッシュ値算出部２１およびタイムスタンプ付加部２２として動作する。換言すれば、記憶部４ｂには、タイムスタンプ要求部２０、ハッシュ値算出部２１およびタイムスタンプ付加部２２を備えた利用者端末４としてコンピュータを機能させるためのタイムスタンプ付与プログラムが記憶されている。なお、タイムスタンプ要求部２０、ハッシュ値算出部２１、タイムスタンプ付加部２２は、本発明に係るタイムスタンプ発行方法のタイムスタンプ要求工程、ハッシュ値算出工程、タイムスタンプ付加工程を実現する。

タイムスタンプ付与プログラムは、利用者端末４の起動に伴って起動してもよく、あるいは、利用者端末４の操作に応じて起動してもよい。タイムスタンプ付与プログラムは、利用者の操作に応じて、タイムスタンプ要求、ハッシュ値算出、タイムスタンプ付加などの各種処理を実行する。

タイムスタンプ要求部２０は、利用者に指定された電子ファイル５０を証明するためのタイムスタンプトークン６０の発行を、データセンター２のタイムスタンプサーバ１３に対して要求する。例えば、タイムスタンプ要求部２０は、電子ファイル５０について、タイムスタンプトークン６０の発行要求だけでなく、電子ファイル５０のハッシュ値６１をタイムスタンプサーバ１３へ送信する。なお、タイムスタンプ要求部２０は、タイムスタンプの付与対象として、単一の電子ファイル５０だけでなく、複数の電子ファイル５０を指定させてもよく、また、複数の電子ファイル５０を含むフォルダを指定させてもよい。

ハッシュ値算出部２１は、タイムスタンプ要求部２０がタイムスタンプトークン６０の発行を要求する電子ファイル５０の電子データ５１について、所定のハッシュアルゴリズムを用いてハッシュ値６１を算出する。

タイムスタンプ付加部２２は、タイムスタンプ要求部２０の発行要求に応じてフロントサーバ１５から送信されたタイムスタンプトークン６０を受信し、対応する電子ファイル５０に付加することで、電子ファイル５０にタイムスタンプを押印（付与）する。
［測位衛星］

次に、測位衛星５について説明する。測位衛星５は、位置情報の計測に必要な測位信号を送信する人工衛星である。図１では、１つの測位衛星５が図示されるが、タイムスタンプ発行システム１は、複数の測位衛星５を有してよい。測位衛星５は、例えば、準天頂衛星「みちびき」であり、「みちびき」には、ルビジウム原子時計が搭載されていて、３０万年に１秒以下の誤差と言われている正確な時刻情報を持っている。また、測位衛星５は、ＧPＳ衛星などの他のＧＮＳＳ衛星でもよい。

測位衛星５を用いた衛星測位システムでは、測位衛星５は、送信時の時刻情報を含む測位信号を送信し、地上の受信機が複数の測位衛星５から同時に測位信号を受信する。受信機は、各測位衛星５の測位信号に基づいて、当該受信機の位置情報を算出すると共に、当該受信機の位置における時刻情報を算出することで、測位衛星５の時刻情報（衛星時刻情報）を取得する。
［局外タイムサーバ］

次に、データセンター２の各部について図３および図４を参照して説明する。局外タイムサーバ１１は、測位衛星５から時刻情報（衛星時刻情報）を取得して、衛星時刻情報に同期した第３時刻情報を保有するサーバであって、外部機器（例えば、フロントサーバ１５）と通信可能に接続されて、外部機器からの要求に応じて第３時刻情報を当該外部機器へ配信する。

例えば、局外タイムサーバ１１は、図３に示すように、制御部１１ａ、記憶部１１ｂ、通信部１１ｃ、表示装置１１ｄおよび入力装置１１ｅ、並びに第３時計１１ｆを備える。制御部１１ａは、ＣＰＵなどのコンピュータで構成され、記憶部１１ｂは、ＲＯＭ、ＲＡＭ、ハードディスクなどの記憶媒体で構成される。制御部１１ａは、記憶部１１ｂに記憶されたプログラムやデータに基づいて演算処理を実行することにより、局外タイムサーバ１１の各部および各種機能を統括制御する。局外タイムサーバ１１は、通信部１１ｃを介してフロントサーバ１５と通信可能に接続される。

例えば、制御部１１ａは、記憶部１１ｂに記憶された時刻管理プログラムを実行することにより、時刻同期部２５および時刻配信部２６として動作する。換言すれば、記憶部１１ｂには、時刻同期部２５および時刻配信部２６を備えた局外タイムサーバ１１としてコンピュータを機能させるための時刻管理プログラムが記憶されている。なお、時刻同期部２５および時刻配信部２６は、本発明に係るタイムスタンプ発行方法の時刻同期工程および時刻配信工程を実現する。

時刻同期部２５は、複数の測位衛星５から同時に測位信号を受信し、各測位衛星５の測位信号に基づいて、局外タイムサーバ１１の位置情報を算出すると共に、局外タイムサーバ１１の位置における時刻情報を算出することで、測位衛星５の時刻情報（衛星時刻情報）を取得する。そして、時刻同期部２５は、定期的に、即ち、所定の時間間隔（例えば、１０分）毎に、測位衛星５から衛星時刻情報を取得し、取得した衛星時刻情報によって、第３時計１１ｆの示す第３時刻情報を同期させる。

時刻配信部２６は、フロントサーバ１５から時刻配信要求を受信し、時刻配信要求に応じて第３時計１１ｆの示す第３時刻情報をフロントサーバ１５へと配信する。
［局内タイムサーバ］

局内タイムサーバ１２は、国家時刻標準機関３から時刻情報（標準時刻情報）を取得して、標準時刻情報に同期した第１時刻情報を保有するサーバであって、外部機器（例えば、タイムスタンプサーバ１３）と通信可能に接続されて、外部機器からの要求に応じて第１時刻情報を当該外部機器へ配信する。

例えば、局内タイムサーバ１２は、図４に示すように、制御部１２ａ、記憶部１２ｂ、通信部１２ｃ、表示装置１２ｄおよび入力装置１２ｅ、並びに第１時計１２ｆを備える。制御部１２ａは、ＣＰＵなどのコンピュータで構成され、記憶部１２ｂは、ＲＯＭ、ＲＡＭ、ハードディスクなどの記憶媒体で構成される。制御部１２ａは、記憶部１２ｂに記憶されたプログラムやデータに基づいて演算処理を実行することにより、局内タイムサーバ１２の各部および各種機能を統括制御する。局内タイムサーバ１２は、通信部１２ｃを介して国家時刻標準機関３やタイムスタンプサーバ１３と通信可能に接続される。局内タイムサーバ１２は、国家時刻標準機関３の複数の機関タイムサーバ１８と、それぞれ異なる通信手段を介して、例えば、光電話回線、およびＶＰＮやインターネットＶＰＮなどの専用線などの通信手段の何れかを介して接続される。局内タイムサーバ１２は、機関タイムサーバ１８との通信におけるなりすましのリスクが低いと判断される場合は、インターネット回線を介して機関タイムサーバ１８と接続してもよい。

例えば、制御部１２ａは、記憶部１２ｂに記憶された時刻管理プログラムを実行することにより、時刻同期部３０および時刻配信部３１として動作する。換言すれば、記憶部１２ｂには、時刻同期部３０および時刻配信部３１を備えた局内タイムサーバ１２としてコンピュータを機能させるための時刻管理プログラムが記憶されている。なお、時刻同期部３０および時刻配信部３１は、本発明に係るタイムスタンプ発行方法の時刻同期工程および時刻配信工程を実現する。

時刻同期部３０は、国家時刻標準機関３の複数の機関タイムサーバ１８のうち、少なくとも１つの機関タイムサーバ１８と通信部１２ｃを介して通信可能に接続され、機関タイムサーバ１８から標準時刻情報を取得する。なお、時刻同期部３０は、一の機関タイムサーバ１８との通信の信頼性が確保できない場合には、他の機関タイムサーバ１８との通信により標準時刻情報を取得する。そして、時刻同期部３０は、定期的に、即ち、所定の時間間隔（例えば、１０分）毎に、機関タイムサーバ１８から標準時刻情報を取得し、取得した標準時刻情報によって、第１時計１２ｆの示す第１時刻情報を同期させる。

また、時刻同期部３０は、所定の時間間隔（例えば、１０秒）毎に、標準時刻情報と第１時計１２ｆの示す第１時刻情報との第１時刻差情報（図１０参照）を算出し、記憶部１２ｂに記憶（保存）すると共に、ログサーバ１６へと送信する。なお、時刻同期部３０は、複数の機関タイムサーバ１８のそれぞれについて第１時刻差情報を算出してログサーバ１６へと送信してもよい。

時刻配信部３１は、タイムスタンプサーバ１３から時刻配信要求を受信し、受信した時刻配信要求に応じて第１時計１２ｆの示す第１時刻情報をタイムスタンプサーバ１３へと配信する。
［タイムスタンプサーバ］

タイムスタンプサーバ１３は、電子ファイル５０のタイムスタンプトークン６０をタイムスタンプ時計１４のタイムスタンプ時刻情報に基づいて生成するサーバであって、外部機器（例えば、利用者端末４）と通信可能に接続されて、外部機器からの発行要求に応じてタイムスタンプトークン６０を生成する。

タイムスタンプサーバ１３は、タイムスタンプ時計１４に接続されていて、タイムスタンプ時計１４からタイムスタンプ時刻情報を取得するように構成される。タイムスタンプ時計１４は、タイムスタンプサーバ１３から独立した装置に設けられていてもよく、あるいは、タイムスタンプサーバ１３に搭載されるハードウェアセキュリティモジュールなどのハードウェアデバイスに設けられていてもよい。

例えば、タイムスタンプサーバ１３は、図４に示すように、制御部１３ａ、記憶部１３ｂ、通信部１３ｃ、表示装置１３ｄおよび入力装置１３ｅ、並びに第２時計１３ｆを備える。制御部１３ａは、ＣＰＵなどのコンピュータで構成され、記憶部１３ｂは、ＲＯＭ、ＲＡＭ、ハードディスクなどの記憶媒体で構成される。制御部１３ａは、記憶部１３ｂに記憶されたプログラムやデータに基づいて演算処理を実行することにより、タイムスタンプサーバ１３の各部および各種機能を統括制御する。タイムスタンプサーバ１３は、通信部１３ｃを介して利用者端末４、局内タイムサーバ１２およびフロントサーバ１５と通信可能に接続される。

第２時計１３ｆは、タイムスタンプサーバ１３のシステムクロックに基づく第２時刻情報を示す。一方、タイムスタンプ時計１４は、タイムスタンプサーバ１３のシステムクロックに依存しないハードウェアセキュリティモジュールなどのハードウェアデバイスのハードウェアクロックに基づくタイムスタンプ時刻情報を示す。

例えば、制御部１３ａは、記憶部１３ｂに記憶された時刻管理プログラムを実行することにより、時刻同期部３５として動作し、また、記憶部１３ｂに記憶されたトークン生成プログラムを実行することにより、トークン生成部３６として動作する。換言すれば、記憶部１３ｂには、時刻同期部３５を備えたタイムスタンプサーバ１３としてコンピュータを機能させるための時刻管理プログラムが記憶され、また、トークン生成部３６を備えたタイムスタンプサーバ１３としてコンピュータを機能させるためのトークン生成プログラムが記憶されている。なお、時刻同期部３５およびトークン生成部３６は、本発明に係るタイムスタンプ発行方法の時刻同期工程およびトークン生成工程を実現する。

時刻同期部３５は、定期的に、即ち、所定の時間間隔（例えば、１０分）毎に、局内タイムサーバ１２から第１時計１２ｆの示す第１時刻情報を受信し、受信した第１時刻情報によって、第２時計１３ｆの示す第２時刻情報を同期させる。換言すれば、第２時計１３ｆの示す第２時刻情報は、国家時刻標準機関３の標準時刻情報と同期した局内タイムサーバ１２の第１時刻情報と同期する。また、時刻同期部３５は、定期的に、即ち、所定の時間間隔（例えば、１０分）毎に、第２時計１３ｆの示す第２時刻情報によってタイムスタンプ時計１４の示すタイムスタンプ時刻情報を同期させる。換言すれば、タイムスタンプ時計１４の示すタイムスタンプ時刻情報は、（国家時刻標準機関３の標準時刻情報と同期した）局内タイムサーバ１２の第１時刻情報と同期した第２時計１３ｆの第２時刻情報と同期する。

また、時刻同期部３５は、所定の時間間隔（例えば、１０秒）毎に、第１時刻情報と第２時計１３ｆの示す第２時刻情報との第２時刻差情報（図１１参照）を算出し、記憶部１３ｂに記憶（保存）すると共に、ログサーバ１６へと送信する。時刻同期部３５は、所定の時間間隔（例えば、１０秒）毎に、第２時刻情報とタイムスタンプ時刻情報との第３時刻差情報（図１２参照）を算出し、記憶部１３ｂに記憶（保存）すると共に、ログサーバ１６へと送信する。

トークン生成部３６は、利用者端末４から電子ファイル５０に対するタイムスタンプトークン６０の発行要求と当該電子ファイル５０のハッシュ値６１とを受信する。トークン生成部３６は、受信した発行要求に応じて、タイムスタンプ時計１４の示すタイムスタンプ時刻情報に基づいてタイムスタンプを生成し、生成したタイムスタンプと電子ファイル５０のハッシュ値６１とを結合してタイムスタンプトークン６０を生成する。トークン生成部３６は、生成したタイムスタンプトークン６０をフロントサーバ１５へと送信する。

なお、トークン生成部３６は、ハッシュ値６１やタイムスタンプ時刻情報などの結合データを、所定の秘密鍵で暗号化して電子署名を生成し、タイムスタンプトークン６０に電子署名を付加してもよい。また、タイムスタンプトークン６０には、秘密鍵と対になる公開鍵について発行された電子証明書も含まれてよい。
［フロントサーバ］

フロントサーバ１５は、タイムスタンプサーバ１３で生成されたタイムスタンプトークン６０を検証して発行するサーバであって、外部機器（例えば、利用者端末４）と通信可能に接続されて、タイムスタンプトークン６０を当該外部機器へと発行する。また、フロントサーバ１５は、測位衛星５の衛星時刻情報に同期した局外タイムサーバ１１の第３時刻情報を取得して、第３時刻情報に同期した第４時刻情報を保有し、第４時刻情報に基づいてタイムスタンプトークン６０を検証する。

例えば、フロントサーバ１５は、図４に示すように、制御部１５ａ、記憶部１５ｂ、通信部１５ｃ、表示装置１５ｄおよび入力装置１５ｅ、並びに第４時計１５ｆを備える。制御部１５ａは、ＣＰＵなどのコンピュータで構成され、記憶部１５ｂは、ＲＯＭ、ＲＡＭ、ハードディスクなどの記憶媒体で構成される。制御部１５ａは、記憶部１５ｂに記憶されたプログラムやデータに基づいて演算処理を実行することにより、フロントサーバ１５の各部および各種機能を統括制御する。フロントサーバ１５は、通信部１５ｃを介して利用者端末４、局外タイムサーバ１１およびタイムスタンプサーバ１３と通信可能に接続される。

例えば、制御部１５ａは、記憶部１５ｂに記憶された時刻管理プログラムを実行することにより、時刻同期部４０として動作し、また、記憶部１５ｂに記憶されたトークン発行プログラムを実行することにより、トークン発行部４１として動作する。換言すれば、記憶部１５ｂには、時刻同期部４０を備えたフロントサーバ１５としてコンピュータを機能させるための時刻管理プログラムが記憶され、また、トークン発行部４１を備えたフロントサーバ１５としてコンピュータを機能させるためのトークン発行プログラムが記憶されている。なお、時刻同期部４０およびトークン発行部４１は、本発明に係るタイムスタンプ発行方法の時刻同期工程およびトークン発行工程を実現する。

時刻同期部４０は、定期的に、即ち、所定の時間間隔（例えば、１０分）毎に、局外タイムサーバ１１から第３時計１１ｆの示す第３時刻情報を受信し、受信した第３時刻情報によって、第４時計１５ｆの示す第４時刻情報を同期させる。換言すれば、第４時計１５ｆの示す第４時刻情報は、測位衛星５の衛星時刻情報と同期した局外タイムサーバ１１の第３時刻情報と同期する。また、時刻同期部４０は、所定の時間間隔（例えば、１０秒）毎に、第３時刻情報と第４時計１５ｆの示す第４時刻情報との第４時刻差情報（図１３参照）を算出し、記憶部１５ｂに記憶（保存）すると共に、ログサーバ１６へと送信する。

トークン発行部４１は、タイムスタンプサーバ１３からタイムスタンプトークン６０を受信して検証し、検証したタイムスタンプトークン６０を利用者端末４へと発行する。トークン発行部４１は、タイムスタンプトークン６０の検証として、第４時計１５ｆの第４時刻情報に基づいて、タイムスタンプトークン６０に付加されたタイムスタンプ時刻情報が正当か否かを判定する。

トークン発行部４１は、例えば、タイムスタンプトークン６０に付加されたタイムスタンプ時刻情報と第４時計１５ｆの第４時刻情報とを比較して、タイムスタンプ時刻情報と第４時刻情報との時刻差が、所定の時刻差範囲内である場合、例えば、時刻差の絶対値が所定の時刻閾値（例えば、１秒）以下である場合、タイムスタンプトークン６０を正当と判定して利用者端末４へと送信（発行）する。一方、トークン発行部４１は、タイムスタンプ時刻情報と第４時刻情報との時刻差が、所定の時刻差範囲外である場合、例えば、時刻差の絶対値が所定の時刻閾値を超える場合、タイムスタンプトークン６０を不当と判定して発行しない。

なお、時刻閾値は、タイムスタンプサーバ１３やフロントサーバ１５の処理スペックやリソース状況、ネットワーク機器や回線の処理スペックや混雑状況などを考慮して設定される。時刻閾値は、予め設定された初期値が用いられてもよく、あるいは、タイムスタンプ発行システム１の運用者などにより任意に手動設定された値が用いられてもよい。

また、トークン発行部４１は、タイムスタンプトークン６０を正当と判定して発行する場合、タイムスタンプトークン６０の送信対象の利用者端末４（例えば、利用者端末４の端末ＩＤ）または利用者端末４の利用者（例えば、利用者の利用者ＩＤ）を、タイムスタンプサービスの課金対象としてカウントし、課金情報を含むタイムスタンプ発行情報（図１４参照）をログサーバ１６へと送信する。なお、図１４において、課金ありを１で示し、課金なしを０で示す。
［ログサーバ］

ログサーバ１６は、タイムスタンプ発行システム１の各部に備わる時計間の各時刻差情報や、各部で行われた操作ログやイベントログを保管する。

例えば、ログサーバ１６は、図４に示すように、制御部１６ａ、記憶部１６ｂおよび通信部１６ｃを備える。制御部１６ａは、ＣＰＵなどのコンピュータで構成され、記憶部１６ｂは、ＲＯＭ、ＲＡＭ、ハードディスクなどの記憶媒体で構成される。制御部１６ａは、記憶部１６ｂに記憶されたプログラムやデータに基づいて演算処理を実行することにより、ログサーバ１６の各部および各種機能を統括制御する。ログサーバ１６は、通信部１６ｃを介して局内タイムサーバ１２、タイムスタンプサーバ１３およびフロントサーバ１５と通信可能に接続される。

例えば、制御部１６ａは、記憶部１６ｂに記憶されたログ管理プログラムを実行することにより、ログ管理部４５として動作する。換言すれば、記憶部１６ｂには、ログ管理部４５を備えたログサーバ１６としてコンピュータを機能させるためのログ管理プログラムが記憶されている。なお、ログ管理部４５は、本発明に係るタイムスタンプ発行方法のログ管理工程を実現する。

ログ管理部４５は、国家時刻標準機関３の標準時刻情報と局内タイムサーバ１２の第１時計１２ｆの第１時刻情報との第１時刻差情報を局内タイムサーバ１２から受信して記憶部１６ｂに記憶して保管する。ログ管理部４５は、局内タイムサーバ１２の第１時計１２ｆの第１時刻情報とタイムスタンプサーバ１３の第２時計１３ｆの第２時刻情報との第２時刻差情報、および第２時刻情報とタイムスタンプ時計１４のタイムスタンプ時刻情報との第３時刻差情報をタイムスタンプサーバ１３から受信して記憶部１６ｂに記憶して保管する。これにより、ログサーバ１６は、第１時刻情報、第２時刻情報および第３時刻情報を、国家時刻標準機関３との時刻同期のトレーサビリティの証跡として保管する。

また、ログ管理部４５は、局外タイムサーバ１１の第３時計１１ｆの第３時刻情報とフロントサーバ１５の第４時計１５ｆの第４時刻情報との第４時刻差情報をフロントサーバ１５から受信して記憶部１６ｂに記憶して保管する。これにより、ログサーバ１６は、第４時刻差情報を保管することで、フロントサーバ１５において不正な時刻操作などが行われず、正確な時刻で運用していることを第三者的に証明可能としている。

ログ管理部４５は、記憶部１６ｂに記憶した第１時刻差情報、第２時刻差情報、第３時刻差情報、第４時刻差情報などの各時刻差情報に対してタイムスタンプを付与してもよい。このとき、ログ管理部４５は、利用者端末４のハッシュ値算出部２１と同様にして、タイムスタンプの付与対象の時刻差情報のハッシュ値６１を算出し、タイムスタンプトークン６０の発行要求と共に、算出したハッシュ値６１をタイムスタンプサーバ１３へと送信する。そして、ログ管理部４５は、利用者端末４のタイムスタンプ付加部２２と同様にして、発行要求に応じてフロントサーバ１５から送信されたタイムスタンプトークン６０を受信し、対応する時刻差情報に付加することで、時刻差情報にタイムスタンプを押印（付与）する。

ログ管理部４５は、局外タイムサーバ１１、局内タイムサーバ１２、タイムスタンプサーバ１３、フロントサーバ１５および監視サーバ１７から、各サーバで行われた操作ログやイベントログを受信して記憶部１６ｂに記憶して保管する。例えば、ログ管理部４５は、タイムスタンプサーバ１３およびフロントサーバ１５によって発行されたタイムスタンプトークン６０のタイムスタンプ発行情報をフロントサーバ１５から受信して記憶部１６ｂに記憶して保管する。

ログ管理部４５は、記憶部１６ｂに記憶した操作ログやイベントログに対してタイムスタンプを付与してもよい。このとき、ログ管理部４５は、利用者端末４のハッシュ値算出部２１と同様にして、タイムスタンプの付与対象の操作ログやイベントログのハッシュ値６１を算出し、タイムスタンプトークン６０の発行要求と共に、算出したハッシュ値６１をタイムスタンプサーバ１３へと送信する。そして、ログ管理部４５は、利用者端末４のタイムスタンプ付加部２２と同様にして、発行要求に応じてフロントサーバ１５から送信されたタイムスタンプトークン６０を受信し、対応する操作ログやイベントログに付加することで、操作ログやイベントログにタイムスタンプを押印（付与）する。

監視サーバ１７は、ログサーバ１６に保存される各時刻差情報を監視する。具体的には、監視サーバ１７は、各時刻差情報および各時刻差情報の合計値が既定値内であるか否かを監視し、既定値外である場合に、各時刻差情報の異常をタイムスタンプ発行システム１の運用者へ通知する。

例えば、監視サーバ１７は、国家時刻標準機関３および局内タイムサーバ１２の間の第１時刻差情報と、局内タイムサーバ１２およびタイムスタンプサーバ１３の間の第２時刻差情報と、タイムスタンプサーバ１３およびタイムスタンプ時計１４の間の第３時刻差情報との合計値が、既定値（例えば、１秒）以内である場合に、各時刻差情報を正常と判定し、既定値を超える場合に、各時刻差情報を異常と判定する。また、監視サーバ１７は、各時刻差情報、操作ログやイベントログがエラーログなどの異常な状態を示すか否かを監視し、異常な状態を検知した場合に、異常な状態のログをタイムスタンプ発行システム１の運用者へ通知する。

次に、本実施形態のタイムスタンプ発行システム１に係る動作を図５～図９のフローチャートを参照しながら説明する。

先ず、前提として、タイムスタンプ発行システム１では、局外タイムサーバ１１、局内タイムサーバ１２、タイムスタンプサーバ１３およびフロントサーバ１５において、各時計の同期を行っている。

図５に示すように、局内タイムサーバ１２では、時刻同期部３０が、定期的に機関タイムサーバ１８から標準時刻情報を取得し（ステップＳ１）、標準時刻情報によって第１時計１２ｆの第１時刻情報を同期させている（ステップＳ２）。更に、時刻同期部３０は、標準時刻情報と第１時刻情報との第１時刻差情報を算出して記憶部１２ｂに保存している（ステップＳ３）。

図６に示すように、タイムスタンプサーバ１３では、時刻同期部３５が、定期的に局内タイムサーバ１２から第１時刻情報を取得し（ステップＳ１１）、第１時刻情報によって第２時計１３ｆの第２時刻情報を同期させている（ステップＳ１２）。更に、時刻同期部３５は、第１時刻情報と第２時刻情報との第２時刻差情報を算出して記憶部１３ｂに保存している（ステップＳ１３）。また、時刻同期部３５は、第２時刻情報によってタイムスタンプ時計１４のタイムスタンプ時刻情報を同期させている（ステップＳ１４）。更に、時刻同期部３５は、第２時刻情報とタイムスタンプ時刻情報との第３時刻差情報を算出して記憶部１３ｂに保存している（ステップＳ１５）。

図７に示すように、局外タイムサーバ１１では、時刻同期部２５が、定期的に測位衛星５から衛星時刻情報を取得し（ステップＳ２１）、衛星時刻情報によって第３時計１１ｆの第３時刻情報を同期させている（ステップＳ２２）。フロントサーバ１５では、時刻同期部４０が、定期的に局外タイムサーバ１１から第３時刻情報を取得し（ステップＳ２３）、第３時刻情報によって第４時計１５ｆの第４時刻情報を同期させている（ステップＳ２４）。更に、時刻同期部４０は、第３時刻情報と第４時刻情報との第４時刻差情報を算出して記憶部１５ｂに保存している（ステップＳ２５）。

また、図８に示すように、タイムスタンプ発行システム１において電子ファイル５０にタイムスタンプを押印する場合、先ず、利用者が利用者端末４を操作してタイムスタンプの付与対象の電子ファイル５０を指定する。利用者端末４は、当該電子ファイル５０を読み込み、当該電子ファイル５０に対するタイムスタンプの付与処理を開始する（ステップＳ３１）。このとき、利用者端末４では、ハッシュ値算出部２１が、当該電子ファイル５０のハッシュ値６１を算出する（ステップＳ３２）。次に、タイムスタンプ要求部２０が、当該電子ファイル５０のタイムスタンプトークン６０の発行要求と共に、算出したハッシュ値６１をタイムスタンプサーバ１３へと送信する（ステップＳ３３）。

タイムスタンプサーバ１３では、タイムスタンプトークン６０の発行要求と電子ファイル５０のハッシュ値６１とを受信すると（ステップＳ４１）、トークン生成部３６が、発行要求に応じて、タイムスタンプ時計１４のタイムスタンプ時刻情報に基づいてタイムスタンプを生成し、当該タイムスタンプと電子ファイル５０のハッシュ値６１とを結合してタイムスタンプトークン６０を生成する（ステップＳ４２）。トークン生成部３６は、生成したタイムスタンプトークン６０をフロントサーバ１５へと送信して（ステップＳ４３）、タイムスタンプトークン６０の検証に移行する（ステップＳ５０）。

フロントサーバ１５では、図９に示すように、トークン発行部４１が、タイムスタンプトークン６０のタイムスタンプ時刻情報と第４時計１５ｆの第４時刻情報とを比較して、タイムスタンプ時刻情報と第４時刻情報との時刻差が、所定の時刻差範囲内である場合（ステップＳ５１：ＹＥＳ）、タイムスタンプトークン６０を正当と判定し、タイムスタンプサービスの課金対象にカウントしてタイムスタンプ発行情報を生成し（ステップＳ５２）、利用者端末４へと送信する（ステップＳ５３）。

一方、トークン発行部４１は、タイムスタンプ時刻情報と第４時刻情報との時刻差が、所定の時刻差範囲外である場合（ステップＳ５１：ＮＯ）、タイムスタンプトークン６０を不当と判定し、タイムスタンプサービスの課金対象から除外して課金対象にカウントせずにタイムスタンプ発行情報を生成し（ステップＳ５４）、利用者端末４へと送信しない（ステップＳ５５）。

タイムスタンプトークン６０が発行されると、利用者端末４では、タイムスタンプトークン６０を受信して（ステップＳ３４）、タイムスタンプ付加部２２は、対応する電子ファイル５０にタイムスタンプトークン６０を付加することで、電子ファイル５０にタイムスタンプを押印（付与）する（ステップＳ３５）。

なお、上記の実施形態では、タイムスタンプ発行システム１において、タイムスタンプ局１０の局内タイムサーバ１２とタイムスタンプサーバ１３とを別体で備える構成の例を説明したが、本発明はこの例に限定されない。他の例では、タイムスタンプサーバ１３が局内タイムサーバ１２の機能を有して構成されてもよい。

また、上記の実施形態では、タイムスタンプ発行システム１において、タイムスタンプ局１０のタイムスタンプサーバ１３とフロントサーバ１５を別体で備える構成の例を説明したが、本発明はこの例に限定されない。他の例では、タイムスタンプサーバ１３がフロントサーバ１５の機能を有して構成されてもよい。

上述のように、本実施形態によれば、タイムスタンプ発行システム１は、電子ファイル５０を証明するためのタイムスタンプトークン６０を発行するタイムスタンプ局１０を有するシステムであって、タイムスタンプ局１０は、局内タイムサーバ１２と、タイムスタンプサーバ１３と、タイムスタンプ時計１４とを備える。局内タイムサーバ１２は、標準時の標準時刻情報を配信する国家時刻標準機関３（配信機関）から標準時刻情報を取得し、第１時計１２ｆを有していて、第１時計１２ｆの示す第１時刻情報を標準時刻情報に同期させる。タイムスタンプ時計１４は、タイムスタンプトークン６０の生成に用いるタイムスタンプ時刻情報を示す。タイムスタンプサーバ１３は、第２時計１３ｆを有していて、第２時計１３ｆの示す第２時刻情報を第１時刻情報に同期させ、電子ファイル５０のハッシュ値６１に基づいてタイムスタンプトークン６０を生成する。また、タイムスタンプサーバ１３は、タイムスタンプ時計１４の示すタイムスタンプ時刻情報を第２時刻情報に同期させ、ハッシュ値６１とタイムスタンプ時刻情報とに基づいてタイムスタンプトークン６０を生成する。

このような構成により、本実施形態に係るタイムスタンプ発行システム１では、タイムスタンプサーバ１３は、時刻監査局などの時刻配信局（ＴＡＡ）を経由することなく、タイムスタンプトークン６０に付加されるタイムスタンプ時刻情報を、安価で正確に確保することができる。そのため、より安価な利用費用で、持続性の高いタイムスタンプサービスを提供することができ、タイムスタンプの利用者の利便性を向上することができる。

また、本実施形態では、タイムスタンプ発行システム１において、タイムスタンプ局１０は、国家時刻標準機関３と局内タイムサーバ１２との間の第１時刻差情報、局内タイムサーバ１２とタイムスタンプサーバ１３との間の第２時刻差情報、およびタイムスタンプサーバ１３とタイムスタンプ時計１４との間の第３時刻差情報を保管するログサーバ１６を更に備える。

このような構成により、タイムスタンプトークン６０に付加されるタイムスタンプ時刻情報について、トレーサビリティを確保および証明することができ、タイムスタンプの信頼性を向上することができる。

また、本実施形態では、タイムスタンプ発行システム１は、測位衛星５から衛星時刻情報を取得し、第３時計１１ｆを有していて、第３時計１１ｆの示す第３時刻情報を衛星時刻情報に同期させる局外タイムサーバ１１を更に有する。タイムスタンプ局１０は、タイムスタンプサーバ１３によって生成されたタイムスタンプトークン６０のタイムスタンプ時刻情報を検証するフロントサーバ１５を更に備える。フロントサーバ１５は、局外タイムサーバ１１から第３時刻情報を受信し、第４時計１５ｆを有していて、第４時計１５ｆの示す第４時刻情報を第３時刻情報に同期させ、タイムスタンプトークン６０のタイムスタンプ時刻情報が正当か否かを、第４時刻情報を用いて判定する。タイムスタンプ局１０は、局外タイムサーバ１１とフロントサーバ１５との間の第４時刻差情報を保管する。

このような構成により、タイムスタンプサーバ１３がタイムスタンプ時計１４から取得するタイムスタンプ時刻情報が、タイムスタンプトークン６０に不正な時刻（即ち、国家時刻標準機関３が配信する協定世界時（ＵＴＣ）などの標準時刻情報と既定の精度で同期されていない時刻）であるか否かを、測位衛星５の衛星時刻情報に基づいて確認することができ、国家時刻標準機関３からタイムスタンプサーバ１３へ至る範囲において、異常が発生するリスクを対策することができるので、タイムスタンプの信頼性を向上することができる。

また、本実施形態では、タイムスタンプ発行システム１において、フロントサーバ１５は、タイムスタンプトークン６０のタイムスタンプ時刻情報と第４時計１５ｆの第４時刻情報との時刻差が、所定の時刻差範囲外である場合、タイムスタンプトークン６０を不当と判定して発行しない。

このような構成により、不正な時刻（即ち、国家時刻標準機関３が配信する協定世界時（ＵＴＣ）などの標準時刻情報と既定の精度で同期されていない時刻）が設定されたタイムスタンプトークン６０が利用者に対して発行されることを防止することができ、タイムスタンプの信頼性を向上することができる。

また、本実施形態では、タイムスタンプ発行システム１において、国家時刻標準機関３は、複数の機関タイムサーバ１８を備え、局内タイムサーバ１２は、各機関タイムサーバ１８と所定の光電話回線または所定の専用線またはインターネット回線を介して通信可能に接続され、複数の機関タイムサーバ１８の何れかから標準時刻情報を取得する。

このような構成により、国家時刻標準機関３と局内タイムサーバ１２との間の通信のなりすましを抑制することができ、更に、回線コストを、電気通信事業者を介する通信より安価にすることができ、また、通信セキュリティを向上することができるので、タイムスタンプサーバ１３の信頼性を向上することができる。

また、本実施形態では、タイムスタンプ発行システム１において、タイムスタンプ局１０は、国家時刻標準機関３と局内タイムサーバ１２との間の第１時刻差情報、局内タイムサーバ１２とタイムスタンプサーバ１３との間の第２時刻差情報、およびタイムスタンプサーバ１３とタイムスタンプ時計１４との間の第３時刻差情報にタイムスタンプを付与し、局内タイムサーバ１２およびタイムスタンプサーバ１３の操作ログおよびイベントログにタイムスタンプを付与する。

このような構成により、ログサーバ１６に保管される各時刻差情報や、各サーバの操作ログおよびイベントログの信頼性（非改ざん性）を向上することができるので、タイムスタンプサーバ１３やタイムスタンプの信頼性を向上することができる。

なお、上記の実施形態では、タイムスタンプ発行システム１において、フロントサーバ１５が、タイムスタンプトークン６０のタイムスタンプ時刻情報と第４時計１５ｆの第４時刻情報との時刻差が、所定の時刻差範囲外である場合、タイムスタンプトークン６０を不当と判定して発行しない例を説明したが、本発明はこの例に限定されない。

例えば、他の実施形態では、フロントサーバ１５は、タイムスタンプ時刻情報と第４時刻情報との時刻差が、所定の時刻差範囲外である場合、タイムスタンプトークン６０を不当と判定し、タイムスタンプトークン６０の検証結果を示す付加情報をタイムスタンプトークン６０に付加してタイムスタンプトークン６０を発行してもよい。フロントサーバ１５は、例えば、付加情報としてタイムスタンプ時刻情報と第４時刻情報との時刻差を付加する。これにより、タイムスタンプトークン６０に付加されたタイムスタンプ時刻情報が国家時刻標準機関３の標準時刻情報に対する既定の精度に沿っていなくても、タイムスタンプ時刻情報とフロントサーバ１５の第４時刻情報と時刻差に基づいて、電子ファイル５０が改ざんされていないことを証明することができるので、タイムスタンプの利用者の利便性を向上することができる。

また、他の実施形態では、フロントサーバ１５は、タイムスタンプ時刻情報と第４時刻情報との時刻差が、所定の時刻差範囲外である場合、タイムスタンプトークン６０を不当と判定し、タイムスタンプトークン６０を発行する一方、当該タイムスタンプトークン６０をタイムスタンプサービスの課金対象から除外してもよく、課金対象としてカウントしないでタイムスタンプ発行情報を生成してもよい。これにより、利用者は、課金されないタイムスタンプトークン６０を用いて電子ファイル５０にタイムスタンプを押印することができるので、タイムスタンプの利用者の利便性を向上することができる。

また、他の実施形態では、フロントサーバ１５は、タイムスタンプ時刻情報と第４時刻情報との時刻差が、所定の時刻差範囲外である場合、タイムスタンプトークン６０を不当と判定し、タイムスタンプトークン６０の検証結果を示す付加情報をタイムスタンプトークン６０に付加して発行する際に、タイムスタンプトークン６０の検証結果を示す検証結果画面（図１５参照）を利用者端末４に表示させてもよい。

また、他の実施形態では、フロントサーバ１５は、タイムスタンプ時刻情報と第４時刻情報との時刻差に応じて、タイムスタンプトークン６０のタイムスタンプサービスの課金レベルおよびタイムスタンプトークン６０に対応するスタンプマークの少なくとも一方を変更してもよい。これにより、タイムスタンプトークン６０に付加されたタイムスタンプ時刻情報が国家時刻標準機関３の標準時刻情報に対する既定の精度に沿っていなくても、タイムスタンプ時刻情報の精度のレベルを可視化することができるので、タイムスタンプの利用者の利便性を向上することができる。

例えば、フロントサーバ１５は、タイムスタンプ時刻情報と第４時刻情報との時刻差が所定の時刻差範囲内である場合（例えば、時刻差が±１．０秒以内である場合）、課金レベルを標準レベルにしてタイムスタンプサービスの課金額を通常料金に設定する。また、フロントサーバ１５は、タイムスタンプ時刻情報と第４時刻情報との時刻差が所定の時刻差範囲外である場合、時刻差が時刻差範囲から離れるほど、課金レベルを標準レベルから下げて、タイムスタンプサービスの課金額を通常料金から減額する。例えば、フロントサーバ１５は、図１６に示すように、時刻差が±１．０秒超かつ±１．２秒以内である場合、課金額を２０％減額し、時刻差が±１．２秒超かつ±１．４秒以内である場合、課金額を４０％減額し、時刻差が±１．４秒超かつ±１．６秒以内である場合、課金額を６０％減額し、時刻差が±１．６秒超かつ±１．８秒以内である場合、課金額を８０％減額し、時刻差が±１．８秒超である場合、課金額を１００％減額する。

また、フロントサーバ１５は、タイムスタンプ時刻情報と第４時刻情報との時刻差に応じて、電子ファイル５０に表示されるスタンプマークの種類を設定し、タイムスタンプトークン６０の付加情報に加えて利用者端末４へと送信する。利用者端末４において、タイムスタンプ付加部２２は、電子ファイル５０にタイムスタンプトークン６０を付加するとき、タイムスタンプトークン６０の付加情報に示される種類のスタンプマークを電子ファイル５０のヘッダーなどに表記する。

例えば、フロントサーバ１５は、タイムスタンプ時刻情報と第４時刻情報との時刻差が所定の時刻差範囲内である場合、タイムスタンプトークン６０の正当を示す種類のスタンプマーク（例えば、チェックマーク）を設定する。また、フロントサーバ１５は、タイムスタンプ時刻情報と第４時刻情報との時刻差が所定の時刻差範囲外である場合、タイムスタンプトークン６０の不当を示す種類のスタンプマーク（例えば、エクスクラメーションマーク）を設定する。例えば、フロントサーバ１５は、図１６に示すように、時間差が少ない程、タイムスタンプトークン６０の不当を示すエクスクラメーションマークの濃度を高くし、時間差が多い程、タイムスタンプトークン６０の不当を示すエクスクラメーションマークの濃度を低くする。

また、本発明は、請求の範囲および明細書全体から読み取ることのできる発明の要旨または思想に反しない範囲で適宜変更可能であり、そのような変更を伴うタイムスタンプ発行システム、タイムスタンプ発行方法およびタイムスタンプ発行プログラムもまた本発明の技術思想に含まれる。

本発明は、電子化された知的財産関係書類、税務関係書類、医療関係書類などの管理や運用に利用することができる。

１ タイムスタンプ発行システム
２ データセンター
３ 国家時刻標準機関（配信機関）
４ 利用者端末
５ 測位衛星
６ ネットワーク
１０ タイムスタンプ局
１１ 局外タイムサーバ
１１ｆ 第３時計
１２ 局内タイムサーバ
１２ｆ 第１時計
１３ タイムスタンプサーバ
１３ｆ 第２時計
１４ タイムスタンプ時計
１５ フロントサーバ
１５ｆ 第４時計
１６ ログサーバ
１８ 機関タイムサーバ
２０ タイムスタンプ要求部
２１ ハッシュ値算出部
２２ タイムスタンプ付加部
２５ 時刻同期部
２６ 時刻配信部
３０ 時刻同期部
３１ 時刻配信部
３５ 時刻同期部
３６ トークン生成部
４０ 時刻同期部
４１ トークン発行部
４５ ログ管理部

Claims (11)

1. 電子ファイルを証明するためのタイムスタンプトークンを発行するタイムスタンプ局を有するタイムスタンプ発行システムであって、
   前記タイムスタンプ局は、標準時の標準時刻情報を配信する配信機関から前記標準時刻情報を取得し、第１時計を有していて、前記第１時計の示す第１時刻情報を前記標準時刻情報に同期させる局内タイムサーバと、
   前記タイムスタンプトークンの生成に用いるタイムスタンプ時刻情報を示すタイムスタンプ時計と、
   第２時計を有していて、前記第２時計の示す第２時刻情報を前記第１時刻情報に同期させ、前記電子ファイルのハッシュ値に基づいて前記タイムスタンプトークンを生成するタイムスタンプサーバと、
   を備え、
   前記タイムスタンプサーバは、前記タイムスタンプ時計の示す前記タイムスタンプ時刻情報を前記第２時刻情報に同期させ、前記ハッシュ値と前記タイムスタンプ時刻情報とに基づいて前記タイムスタンプトークンを生成することを特徴とするタイムスタンプ発行システム。
2. 前記タイムスタンプ局は、前記配信機関と前記局内タイムサーバとの間の時刻差情報、前記局内タイムサーバと前記タイムスタンプサーバとの間の時刻差情報、および前記タイムスタンプサーバと前記タイムスタンプ時計との間の時刻差情報を保管するログサーバを更に備えることを特徴とする請求項１に記載のタイムスタンプ発行システム。
3. 測位衛星から衛星時刻情報を取得し、第３時計を有していて、前記第３時計の示す第３時刻情報を前記衛星時刻情報に同期させる局外タイムサーバを更に有し、
   前記タイムスタンプ局は、前記タイムスタンプサーバによって生成された前記タイムスタンプトークンの前記タイムスタンプ時刻情報を検証するフロントサーバを更に備え、
   前記フロントサーバは、前記局外タイムサーバから前記第３時刻情報を受信し、第４時計を有していて、前記第４時計の示す第４時刻情報を前記第３時刻情報に同期させ、前記タイムスタンプトークンの前記タイムスタンプ時刻情報が正当か否かを、前記第４時刻情報を用いて判定し、
   前記タイムスタンプ局は、前記局外タイムサーバと前記フロントサーバとの間の時刻差情報を保管することを特徴とする請求項１または２に記載のタイムスタンプ発行システム。
4. 前記フロントサーバは、前記タイムスタンプトークンの前記タイムスタンプ時刻情報と前記第４時計の前記第４時刻情報との時刻差が、所定の時刻差範囲外である場合、前記タイムスタンプトークンを不当と判定して発行しないことを特徴とする請求項３に記載のタイムスタンプ発行システム。
5. 前記配信機関は、複数の機関タイムサーバを備え、
   前記局内タイムサーバは、前記各機関タイムサーバと所定の光電話回線または所定の専用線またはインターネット回線を介して通信可能に接続され、前記複数の機関タイムサーバの何れかから前記標準時刻情報を取得することを特徴とする請求項１～請求項４の何れか１項に記載のタイムスタンプ発行システム。
6. 前記タイムスタンプ局は、前記配信機関と前記局内タイムサーバとの間の時刻差情報、前記局内タイムサーバと前記タイムスタンプサーバとの間の時刻差情報、および前記タイムスタンプサーバと前記タイムスタンプ時計との間の時刻差情報にタイムスタンプを付与し、前記局内タイムサーバおよび前記タイムスタンプサーバの操作ログおよびイベントログにタイムスタンプを付与することを特徴とする請求項１～請求項５の何れか１項に記載のタイムスタンプ発行システム。
7. 前記フロントサーバは、前記タイムスタンプトークンの前記タイムスタンプ時刻情報と前記第４時計の前記第４時刻情報との時刻差が、所定の時刻差範囲外である場合、前記タイムスタンプトークンを不当と判定し、前記タイムスタンプトークンを発行する一方、当該タイムスタンプトークンをタイムスタンプサービスの課金対象から除外することを特徴とする請求項３に記載のタイムスタンプ発行システム。
8. 前記フロントサーバは、前記タイムスタンプトークンの前記タイムスタンプ時刻情報と前記第４時計の前記第４時刻情報との時刻差が、所定の時刻差範囲外である場合、前記タイムスタンプトークンを不当と判定し、前記タイムスタンプトークンの検証結果を示す付加情報を前記タイムスタンプトークンに付加して発行することを特徴とする請求項３に記載のタイムスタンプ発行システム。
9. 前記フロントサーバは、前記タイムスタンプトークンの前記タイムスタンプ時刻情報と前記第４時計の前記第４時刻情報との時刻差に応じて、前記タイムスタンプトークンのタイムスタンプサービスの課金レベルおよび前記タイムスタンプトークンに対応するスタンプマークの少なくとも一方を変更することを特徴とする請求項３に記載のタイムスタンプ発行システム。
10. 電子ファイルを証明するためのタイムスタンプトークンをタイムスタンプ局から発行するタイムスタンプ発行方法であって、
    前記タイムスタンプ局に備わる局内タイムサーバによって、標準時の標準時刻情報を配信する配信機関から前記標準時刻情報を取得し、前記局内タイムサーバの有する第１時計の示す第１時刻情報を前記標準時刻情報に同期させる工程と、
    前記タイムスタンプ局に備わるタイムスタンプ時計によって、前記タイムスタンプトークンの生成に用いるタイムスタンプ時刻情報を示す工程と、
    前記タイムスタンプ局に備わるタイムスタンプサーバによって、前記タイムスタンプサーバの有する第２時計の示す第２時刻情報を前記第１時刻情報に同期させ、前記電子ファイルのハッシュ値に基づいて前記タイムスタンプトークンを生成する工程と、を有し、
    更に、前記タイムスタンプサーバにおいて、前記タイムスタンプ時計の示す前記タイムスタンプ時刻情報を前記第２時刻情報に同期させ、前記ハッシュ値と前記タイムスタンプ時刻情報とに基づいて前記タイムスタンプトークンを生成することを特徴とするタイムスタンプ発行方法。
11. 電子ファイルを証明するためのタイムスタンプトークンを発行するタイムスタンプ局に備わるタイムスタンプサーバとしてコンピュータを機能させるためのプログラムであって、
    前記タイムスタンプ局に備わる局内タイムサーバによって、標準時の標準時刻情報を配信する配信機関から前記標準時刻情報を取得し、前記局内タイムサーバの有する第１時計の示す第１時刻情報を前記標準時刻情報に同期させていて、
    前記タイムスタンプサーバの有する第２時計の示す第２時刻情報を前記第１時刻情報に同期させ、前記タイムスタンプ局に備わるタイムスタンプ時計の示すタイムスタンプ時刻情報を前記第２時刻情報に同期させ、前記電子ファイルのハッシュ値と前記タイムスタンプ時刻情報とに基づいて前記タイムスタンプトークンを生成することを特徴とするタイムスタンプ発行プログラム。

Images