JP3980785B2 - 原本性保証電子保存装置、原本性保証電子保存方法およびその方法をコンピュータに実行させるためのプログラムを記録したコンピュータ読み取り可能な記録媒体 - Google Patents
原本性保証電子保存装置、原本性保証電子保存方法およびその方法をコンピュータに実行させるためのプログラムを記録したコンピュータ読み取り可能な記録媒体 Download PDFInfo
- Publication number
- JP3980785B2 JP3980785B2 JP09021299A JP9021299A JP3980785B2 JP 3980785 B2 JP3980785 B2 JP 3980785B2 JP 09021299 A JP09021299 A JP 09021299A JP 9021299 A JP9021299 A JP 9021299A JP 3980785 B2 JP3980785 B2 JP 3980785B2
- Authority
- JP
- Japan
- Prior art keywords
- file
- information
- falsification
- list
- file attribute
- Prior art date
- Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
- Expired - Fee Related
Links
Images
Description
【０００１】
【発明の属する技術分野】
本発明は、原本性保証電子保存方法に関し、より詳細には、紙の原本が有する性質を電子情報に持たせ、電子情報の証明力を高めることが可能な原本性保証電子保存装置、原本性保証電子保存方法およびその方法をコンピュータに実行させるためのプログラムを記録したコンピュータ読み取り可能な記録媒体に関する。
【０００２】
【従来の技術】
情報の電子化の時代における情報管理の考え方として、セキュリティ（Security）とトラスティ（Trusty）というものがある。セキュリティとは、外部からのアタックにより電子情報が破壊されたり、盗まれてしまうことから防衛することである。一方、トラスティとは、電子情報が紙情報に比べて簡単に改ざんすることが可能である点に鑑み、電子情報の改ざんを防止することによって電子情報の証拠能力を確保することである。
【０００３】
上記トラスティには、第１の目的として、企業等の組織活動または個人活動が他より早く行われていたことを証明するという目的がある（優先権の主張）。ここで、第１の目的を達成するには、電子情報とその付随情報（作成時期等）が改ざん不可能となっているか、または改ざんされても改ざんの事実を確実に検知できるようになっていることが必要である。現在、この目的に対する実用的な解としては、ＴＴＰ（Trusted Third Party；第三者認証機関）があり、その代表的なものとしては、米国のＳｕｒｅｔｙ者が提供している認証サービスがある。
【０００４】
また、トラスティには、第２の目的として、企業等の組織活動または個人活動として不正が行われていないことを証明するという目的がある。ここで、第２の目的を達成するには、電子情報とその付随情報（作成時期等）が改ざん不可能となっているか、または改ざんされても改ざんの事実を確実に検知できるようになっていることに加えて、電子情報ファイルが削除不可能または削除されたことが検知可能であることが必要である。この第２の目的は、環境や製造物責任等に対する企業の経営情報管理，官公庁等の情報公開等により今後ますます高くなってくると考えられている。この第２の目的を実現するためには、追記，修正等のバージョンアップや不正なファイル削除を防止するための機能が必要で、例えばローカルネットワークにおいて、ファイル管理システムと一体化または連携した認証機能を有するシステムを用意することが好ましい。
【０００５】
【発明が解決しようとする課題】
ところで、現在は紙文書として保存することが法律で義務付けられている情報が多々存在しており、これが情報の電子化を阻害する要因となっているが、情報に原本性保証機能（真性性，保存性，見読性，原本の唯一性）を付与することにより、電子化が認められることになった（参照：総務庁通達等）。したがって、電子情報においても、紙ベースで構築されてきた法律体系に応じて原本と謄本とを区別できるようにすると共に、改ざんを容易に行えないようにし、電子情報の証明力を高めることが可能な技術の開発が望まれている。
【０００６】
また、原本性保証の対象となる情報は、前述した第２の目的に属する情報が大半であることから、ファイル管理システムと同じローカルエリアネットワーク上に存在する原本性保証サーバ、即ち、ユーザサイトに設置することが可能な原本性保証機能を有する認証サーバの実現が望まれている。これにより、例えば諸官庁の情報を扱うのに十分なトラスティとセキュリティを有した原本性保証サーバの実現が可能となる。
【０００７】
本発明は上記に鑑みてなされたものであって、紙の原本が有する性質を電子情報に持たせ、電子情報の証明力を高めることを可能にすることを目的とする。
【０００８】
また、本発明は上記に鑑みてなされたものであって、ユーザサイトに設置可能な原本性保証機能を有する認証サーバを実現可能にすることを目的とする。
【０００９】
【課題を解決するための手段】
上記目的を達成するため、請求項１の原本性保証電子保存装置は、記憶媒体に対するデータ保存機能を有する原本性保証電子保存装置であって、暗号鍵を記憶する内部記憶部と、前記記憶媒体の保存対象となる電子データと、当該電子データが原本であるか否かを示すファイル属性コードと、を受け取る受取手段と、前記受取手段により受け取られた電子データから、当該電子データの改竄の検出を可能とする改竄検知情報を生成する検知情報生成手段と、前記検知情報生成手段により生成された前記改竄検知情報を、前記内部記憶部に記憶される前記暗号鍵で暗号化処理を施す暗号化手段と、前記暗号化手段により暗号化処理が施された前記改竄検知情報を、前記電子データと共に前記記憶媒体に保存する保存手段と、前記記憶媒体に保存される電子データの識別情報と前記ファイル属性コードとを対応付け且つ前記記憶媒体に格納された保存リストに対して、前記受取手段により受け取られた前記電子データを識別する識別情報と前記受取手段により受け取られた前記ファイル属性コードと対応付けて追加する追加手段と、前記追加手段により前記識別情報が追加された前記保存リストから、当該保存リストの改竄の検出を可能とするリスト改竄検知情報を生成するリスト検知情報生成手段と、前記リスト改竄検知情報を、前記内部記憶部に記憶される前記暗号鍵で暗号化処理を施すリスト情報暗号化手段と、前記リスト情報暗号化手段により暗号化処理を施された前記リスト改竄検知情報を、前記記憶媒体に保存するリスト保存手段と、を備えることを特徴とする。
【００１０】
また、請求項２の原本性保証電子保存装置は、請求項１に記載の原本性保証電子保存装置において、前記ファイル属性コードを含むファイル属性情報を生成する属性情報生成手段と、前記属性情報生成手段で生成されたファイル属性情報の改竄の検出を可能とする属 性改竄検知情報を生成する第２の属性情報生成手段と、前記第２の属性情報生成手段により生成された前記属性改竄検知情報を、前記内部記憶部に記憶される前記暗号鍵で暗号化処理を施す属性情報暗号化手段と、前記暗号化処理を施された前記属性改竄検知情報と、前記ファイル属性情報とを前記記憶媒体に保存する属性保存手段と、を備えることを特徴とする。
【００１１】
また、請求項３の原本性保証電子保存装置は、請求項２に記載の原本性保証電子保存装置において、前記内部記憶部は、さらに前記暗号鍵で暗号化処理を施された情報に対して復号化処理を施す復号鍵を記憶すること、を特徴とする。
【００１２】
また、請求項４の原本性保証電子保存装置は、請求項３に記載の原本性保証電子保存装置において、前記記憶媒体がマウントされる時に、前記復号鍵を用いて前記リスト改竄検知情報の復号処理を施す復号化手段と、前記復号処理が施された前記リスト改竄検知情報に基づいて、前記保存リストの改竄の検知を行う改竄検知手段と、前記改竄検知手段により前記保存リストの改竄が検出されなかった場合に、前記記憶媒体に対してマウント処理を行うマウント処理手段と、をさらに備えることを特徴とする。
【００１３】
また、請求項５の原本性保証電子保存装置は、請求項３に記載の原本性保証電子保存装置において、前記記憶媒体に記憶された電子データへのアクセスを受け付けた際、当該電子データに対応するファイル属性情報が、前記記憶媒体に記憶されているか否か判断する判断手段と、前記ファイル属性情報が記憶されていると判断した場合、前記ファイル属性情報に対応する前記属性改竄検知情報に対して復号化処理を施す復号化手段と、前記復号処理が施された前記属性改竄検知情報に基づいて、前記ファイル属性情報の改竄の検知を行う改竄検知手段と、前記改竄検知手段により前記ファイル属性情報の改竄が検出されなかった場合に、前記ファイル属性情報と、前記ファイル属性情報を示す前記電子データとを他の装置に出力する出力手段と、をさらに備えることを特徴とする。
【００１４】
また、請求項６の原本性保証電子保存装置は、請求項３に記載の原本性保証電子保存装置において、前記記憶媒体に記憶された前記電子データの前記改竄検知情報に対して復号化処理を施す復号化手段と、前記復号化処理が施された前記改竄検知情報に基づいて、前記電子データの改竄の検知を行う改竄検知手段と、前記改竄検知手段により前記電子データの改竄が検出されなかった場合に、前記電子データを用いた処理を行うデータ処理手段と、をさらに備えることを特徴とする。
【００１５】
また、請求項７の原本性保証電子保存方法は、 原本性保証電子保存装置が電子データのアクセス制御のレベルを制御する原本性保証電子保存方法であって、前記装置の受取手段が、電子データと、当該電子データが原本であるか否かを示すファイル属性コードと、を取得する取得ステップと、前記装置の検知情報生成手段が、前記取得ステップにより取得した電子データから、当該電子データの改竄の検出を可能とする改竄検知情報を生成する検知情報生成ステップと、前記装置の暗号化手段が、前記検知情報生成ステップにより生成された前記改竄検知情報を、内部記憶部に記憶される前記暗号鍵で暗号化処理を施す暗号化ステップと、前記装置の保存手段が、前記暗号化ステップにより暗号化処理が施された前記改竄検知情報を、前記電子データと共に記憶媒体に保存する保存ステップと、前記装置の追加手段が、前記記憶媒体に保存される電子データの識別情報と前記ファイル属性コードとを対応付け且つ前記記憶媒体に格納された保存リストに対して、前記受取手段により受け取られた前記電子データを識別する識別情報と前記受取手段により受け取られた前記ファイル属性コードと対応付けて追加する追加ステップと、前記装置のリスト検知情報生成手段が、前記追加ステップにより前記識別情報が追加された前記保存リストから、当該保存リストの改竄の検出を可能とするリスト改竄検知情報を生成するリスト検知情報生成ステップと、前記装置のリスト情報暗号化手段が、前記リスト改竄検知情報を、前記内部記憶部に記憶される前記暗号鍵で暗号化処理を施すリスト情報暗号化ステップと、前記装置のリスト保存手段が、前記リスト情報暗号化ステップにより暗号化処理を施された前記リスト改竄検知情報を、前記記憶媒体に保存するリスト保存ステップと、を有することを特徴とする。
【００１６】
また、請求項８の原本性保証電子保存方法は、請求項７に記載の前記受取ステップは、当該電子データがオリジナルであるか否かを示すファイル属性コードを、前記電子データと共に受け取り、前記装置の属性情報生成手段が、前記ファイル属性コードを含むファイル属性情報を生成する属性情報生成ステップと、前記装置の第２の属性情報生成手段が、前記属性情報生成ステップで生成されたファイル属性情報の改竄の検出を可能とする属性改竄検知情報を生成する第２の属性情報生成ステップと、前記装置の属性情報暗号化手段が、前記第２の属性情報生成ステップにより生成された前記属性改竄検知情報を、前記内部記憶部に記憶される前記暗号鍵で暗号化処理を施す属性情報暗号化ステップと、前記装置の属性保存手段が、前記暗号化処理を施された前記属性改竄検知情報と、前記ファイル属性情報とを前記記憶媒体に保存する属性保存ステップと、を有することを特徴とする。
【００１７】
また、請求項９の原本性保証電子保存方法は、請求項８に記載の前記装置の復号化手段が、前記記憶媒体がマウントされる時に、前記内部記憶部が記憶する復号鍵を用いて前記リスト改竄検知情報の復号処理を施す復号化ステップと、前記装置の改竄検知手段が、前記復号処理が施された前記リスト改竄検知情報に基づいて、前記保存リストの改竄の検知を行う改竄検知ステップと、前記装置のマウント処理手段が、前記改竄検知ステップにより前記保存リストの改竄が検出されなかった場合に、前記記憶媒体に対してマウント処理を行うマウント処理手段と、をさらに有することを特徴とする。
【００１８】
また、請求項１０の原本性保証電子保存方法は、請求項８に記載の前記装置の判断手段が、前記記憶媒体に記憶された電子データへのアクセスを受け付けた際、当該電子データに対応するファイル属性情報が、前記記憶媒体に記憶されているか否か判断する判断ステップと、前記装置の復号化手段が、前記ファイル属性情報が記憶されていると判断した場合、前記ファイル属性情報に対応する前記属性改竄検知情報に対して復号化処理を施す復号化ステップと、前記装置の改竄検知手段が、前記復号処理が施された前記属性改竄検知情報に基づいて、前記ファイル属性情報の改竄の検知を行う改竄検知ステップと、前記装置の出力手段が、前記改竄検知ステップにより前記ファイル属性情報の改竄が検出されなかった場合に、前記ファイル属性情報と、前記ファイル属性情報を示す前記電子データとを他の装置に出力する出力ステップと、をさらに有することを特徴とする。
【００１９】
また、請求項１１の原本性保証電子保存方法は、請求項８に記載の前記装置の復号化手段が、前記記憶媒体に記憶された前記電子データの前記改竄検知情報に対して復号化処理を施す復号化ステップと、前記装置の改竄検知手段が、前記復号化処理が施された前記改竄検知情報に基づいて、前記電子データの改竄の検知を行う改竄検知ステップと、前記装置のデータ処理手段が、前記改竄検知ステップにより前記電子データの改竄が検出されなかった場合に、前記電子データを用いた処理を行うデータ処理ステップと、をさらに備えることを特徴とする。
【００２０】
また、請求項１２のコンピュータ読み取り可能な記録媒体は、請求項７乃至１１のいずれか一つに記載された原本性保証電子保存方法をコンピュータに実行させるプログラムを記録したことを特徴とする。
【００２１】
【発明の実施の形態】
以下、本発明に係る原本性保証電子保存装置、原本性保証電子保存方法およびその方法をコンピュータに実行させるためのプログラムを記録したコンピュータ読み取り可能な記録媒体の一実施の形態について、添付の図面を参照しつつ詳細に説明する。
【００２２】
図１は、本実施の形態に係る原本性保証電子保存装置を備える電子保存装置のブロック構成図である。ユーザは、ホスト計算機２側からネットワーク（単なる通信路で良い）を介して電子保存装置１に対して電子データの保存処理や読み出し処理を実行することができる。
【００２３】
図１に示す電子保存装置１において、１１はプロセッサを、１２はネットワークを介して計算機２と通信を行うための通信ポートを、１３は電子データを保存するハードディスクやＣＤ−Ｒ等の大容量記憶媒体を、１４は主制御プログラム，ハッシュプログラム，鍵生成プログラム，暗号化プログラム，復号プログラム等の原本性保証電子保存方法を実現するためのプログラムが格納されたＥＥＰＲＯＭ，ＲＯＭ等で構成されたプログラム格納媒体を、１５は装置暗号鍵，装置復号鍵，タイマ設定履歴ファイル，アカウント管理ファイル等が記憶されるＥＥＰＲＯＭ等で構成された内部記憶媒体を、１６はアカウント名，ユーザ側内部認証鍵，ユーザ側外部認証鍵等が記憶されたＩＣカード３が挿入されるＩＣカードリーダ／ライタを、１７はタイマをそれぞれ示している。
【００２４】
図１に示す大容量記憶媒体１３としては、光磁気ディスクやＣＤ−Ｒのように電子保存装置１から取り外し可能なものであっても良いが、その他のブロックは電子保存装置１として物理的に一体化されており、通信ポート１２を介する以外に外部からアクセスできないように構成されている。すなわち、図１に示す電子保存装置１は、各ブロックに対して直接アクセスする方法のない耐タンパー性を持った装置である。
【００２５】
耐タンパー性を確保するレベルとしては、電子保存装置１の筐体を開けることができないようにシールを貼る程度のものから、筐体を開けられてしまった場合には装置が動作しなくなるようなものまで考えられるが、耐タンパー性を持たせることが可能であればどのようなものであっても良い。
【００２６】
図１に示す電子保存装置１は、ユーザから保存要求のあったデータを大容量記憶媒体１３に記録するものである。その際、後にデータの改ざんを検出できるようにするため、保存するデータに対して電子保存装置１自身の暗号鍵によりメッセージ認証子を付加する。また、電子保存装置１は、大容量記憶媒体１３に記録されているファイルのリストを作成し、それを大容量記憶媒体１３に記録する処理を行う。このリストに対しても、同様にメッセージ認証子を付加する。
【００２７】
また、大容量記録媒体１３の不正なすり替えを検出するために、大容量記憶媒体１３に記録されている保存ファイルリストと、それに付加されたメッセージ認証子を検出することで媒体の認証を行う。また、ファイルの作成日などに不正ができないよう、電子保存装置１に内蔵されているタイマ１７から現在時刻を取得し、ファイルの属性情報として管理する。
【００２８】
さらに、電子保存装置１内部で、オリジナルとコピーとを区別することができるように、各ファイルには「仮原本」，「原本」，「謄本」といった属性を付与して管理する。属性の付与されていないファイルは「一般」ファイルと呼ぶことにする。「原本」の属性が付与されて管理されているファイルに対し、外部から複製の作成を要求すると、複製されたファイルには「謄本」という属性が付与される。この属性コードは、他のファイル属性情報と共に、データファイルと関連付けられたファイル属性情報ファイルとして大容量記憶媒体１３に記録され、データファイルと同様、メッセージ認証子を付加して外部から変更することができないように管理される。大容量記憶媒体１３を取り外して外部でその属性が改ざんされたような場合には、そのファイル属性情報ファイルに付与したメッセージ認証子を検証した際にその改ざんを検出することができる。
【００２９】
つぎに、前述した構成を有する電子保存装置１を用いて実行される原本性保証電子保存方法について、
（１）ユーザ登録処理
（２）保存装置へのログイン処理
（３）電子データ保存処理
（４）大容量記憶媒体マウント処理
（５）ファイル読み出し処理
（６）謄本作成処理
（７）バックアップ作成処理
（８）ファイル移動処理
（９）ファイル削除処理
（１０）ファイル属性コード変更処理
（１１）ファイル追記処理
（１２）ファイル編集処理
の順で具体的に説明する。
【００３０】
（１）ユーザ登録処理
ここでは、ユーザが電子保存装置１を利用する際に、電子保存装置１とユーザとの間で相互認証を行う必要があるものとする。そのため、電子保存装置１に対して予めユーザ登録を行っておく必要がある。ここで、電子保存装置１には、予めシステム管理者用のＩＣカードが付属しているものとする。クライアント（計算機２）に接続されたＩＣカードリーダにシステム管理者用のＩＣカードを挿入してアカウント登録用のプログラムを起動し、ユーザ登録を行う。
【００３１】
図２は、ユーザ登録処理を示すフローチャートであり、図２（ａ）はクライアント側で実行されるユーザ登録処理を、図２（ｂ）は電子保存装置１側で実行されるユーザ登録処理をそれぞれ示している。以下では、図２（ａ）および図２（ｂ）の両方を用いてユーザ登録処理を説明する。
【００３２】
まず、図２（ａ）に示すように、システム管理者用ＩＣカードをクライアントのカードリーダに挿入し（Ｓ１１）、パスワードを入力する（Ｓ１２）。そして、ＩＣカードでパスワード照合が行われ（Ｓ１３）、正しいパスワードでない、即ち不正なパスワードの場合（Ｓ１４；Ｎｏ）、エラーとしてユーザ登録処理が終了となる。
【００３３】
一方、正しいパスワードの場合（Ｓ１４；Ｙｅｓ）、図２（ａ）および図２（ｂ）に示すように、電子保存装置１およびＩＣカードとの間で相互認証処理が実行される（Ｓ１５，Ｓ２１）。そして、電子保存装置１およびＩＣカードとの間で実行された相互認証処理が成功しなかった場合（Ｓ１６，Ｓ２２；Ｎｏ）、エラーとしてユーザ登録処理が終了となる。
【００３４】
また、電子保存装置１およびＩＣカードとの間で実行された相互認証処理が成功した場合（Ｓ１６，Ｓ２２；Ｙｅｓ）、クライアントから電子保存装置１に対してユーザ登録が要求される（Ｓ１７）。電子保存装置１は、クライアントからのユーザ登録の要求がシステム管理者からの要求か否かを判定し（Ｓ２３）、システム管理者からの要求ではないと判定した場合（Ｓ２３；Ｎｏ）、エラーとしてユーザ登録処理が終了となる。一方、システム管理者からの要求であると判定した場合（Ｓ２３；Ｙｅｓ）、電子保存装置１は、ユーザ登録要求からアカウント名を取得する（Ｓ２４）。ここで、新しいＩＣカードを電子保存装置１のＩＣカードリーダ／ライタ１６に挿入する（Ｓ２５）。
【００３５】
電子保存装置１は、続いて、保存装置側外部認証鍵，ユーザ側内部認証鍵を生成すると共に（Ｓ２６）、ユーザ側外部認証鍵，保存装置側内部認証鍵を生成する（Ｓ２７）。つぎに、電子保存装置１は、四つの認証鍵，アカウント名等をまとめてユーザ情報とし、ユーザ情報をアカウント管理ファイルに登録する（Ｓ２８）。なお、アカウント管理ファイルは、図１に示した内部記憶媒体１５に記録されるものであって、例えば図３に示すような内容のものである。また、図３中に示す認証鍵情報および日時情報の内容がそれぞれ図４および図５に示されている。なお、図５に示す日時情報は、アカウント管理ファイルだけでなく、後述する各種ファイルにも含まれるものである。
【００３６】
ここで、認証に使用される暗号アルゴリズムが秘密鍵暗号方式の場合には、保存装置側外部認証鍵とユーザ側内部認証鍵が同じ鍵となり、ユーザ側外部認証鍵と保存装置側内部認証鍵が同じ鍵となる。その一方、暗号アルゴリズムに公開鍵暗号方式を利用する場合には、保存装置側外部認証鍵とユーザ側内部認証鍵が対応するパブリックキーとプライベートキーとになり、ユーザ側外部認証鍵と保存装置側内部認証鍵が対応するパブリックキーとプライベートキーとになる。すなわち、外部認証鍵はパブリックキーに、内部認証鍵はプライベートキーになる。
【００３７】
図２のフローチャートの説明に戻り、電子保存装置１は、ユーザ側内部認証鍵，ユーザ側外部認証鍵およびアカウント名をＩＣカードに設定し（Ｓ２９）、その後、ＩＣカードをＩＣカードリーダ／ライタ１６から排出し（Ｓ３０）、ユーザ登録処理を終了する。一方、図２（ａ）に示すように、クライアント側においては、ステップＳ１７で要求したユーザ登録要求が成功したか否かを判定し（Ｓ１８）、要求が成功しなかった場合（Ｓ１８；Ｎｏ）にはエラーとしてユーザ登録処理を終了し、要求が成功した場合（Ｓ１８；Ｙｅｓ）には正常にユーザ登録処理を終了する。
【００３８】
なお、新しいＩＣカードには予めユーザパスワードが初期値として設定されている。初期値のパスワードを照合すると任意のパスワードに変更することが可能である。パスワード変更は、電子保存装置１とは関係なく、クライアント側で行うことができる。
【００３９】
（２）電子保存装置へのログイン処理
電子保存装置１にファイルを保存したり、電子保存装置１からファイルを読み出す前に、ユーザは電子保存装置１にログインしなければならない。ログイン処理においては、ユーザ登録の際に発行されたＩＣカードを利用し、電子保存装置１との間で相互認証が行われる。ここでは、相互認証の方法として、公知の技術を採用することにする。
【００４０】
図６は、電子保存装置１へのログイン処理を示すフローチャートであり、図６（ａ）はクライアント側で実行されるログイン処理であり、図６（ｂ）は電子保存装置１側で実行されるログイン処理である。図６（ａ）において、ログインユーザ用ＩＣカードをクライアントのカードリーダに挿入し（Ｓ３１）、パスワードを入力する（Ｓ３２）。
【００４１】
ＩＣカードでパスワード照合が行われ（Ｓ３３）、正しいパスワードであるか否か、換言すれば、パスワードが不正でないか否かが判定される（Ｓ３４）。パスワードが不正であると判定された場合（Ｓ３４；Ｎｏ）、ログイン処理がエラーにより終了する。一方、パスワードは不正ではないと判定された場合（Ｓ３４；Ｙｅｓ）、図６（ａ）および図６（ｂ）にそれぞれ示すように、電子保存装置１およびＩＣカードとの間で相互認証処理が実行される（Ｓ３５，Ｓ４１）。なお、相互認証処理については後にフローチャートを用いて説明する。
【００４２】
そして、相互認証処理に失敗した場合（Ｓ３６，Ｓ４２；Ｎｏ）、ログイン処理がエラーにより終了する。一方、相互認証処理に成功した場合（Ｓ３６，Ｓ４２；Ｙｅｓ）、電子保存装置１は乱数を生成し、生成した乱数をクライアントに送信し（Ｓ４３）、クライアントは電子保存装置１から送信された乱数を受信する（Ｓ３７）。
【００４３】
クライアントは、受信した乱数をＩＣカードに渡し、ユーザ側内部認証鍵で暗号化し（Ｓ３８）、暗号化乱数を電子保存装置１とのセッション鍵とする（Ｓ３９）。一方、電子保存装置１は、乱数をユーザ側内部認証鍵で暗号化し（Ｓ４４）、暗号化乱数をクライアントとのセッション鍵とする（Ｓ４５）。
【００４４】
その後、クライアントは、暗号処理、メッセージ認証処理モードを送信し（Ｓ４０）、電子保存装置１は、暗号処理、メッセージ認証処理モードを受信し（Ｓ４６）、ログイン処理を正常に終了する。
【００４５】
なお、クライアント側および電子保存装置１側のいずれとも、送信するデータにはセッション鍵を用いて生成したメッセージ認証子を付加し、また、受信したデータは同じくセッション鍵を用いてメッセージ認証子の検証処理を行う。また、クライアントから暗号処理モードを設定することが可能であり、暗号処理を行うように指定した場合には、クライアント側，電子保存装置１側とも、送信するデータをセッション鍵で暗号化し、また、受信したデータは同じくセッション鍵で復号する。
【００４６】
図７は、図６（ａ）のステップＳ３５および図６（ｂ）のステップＳ４１において実行される相互認証処理のフローチャートであり、図７（ａ）はクライアント側で実行される相互認証処理を、図７（ｂ）は電子保存装置１側で実行される相互認証処理をそれぞれ示している。
【００４７】
クライアントは、ＩＣカードからアカウント名を読み出し（Ｓ５１）、読み出したアカウント名を電子保存装置１に送信する（Ｓ５２）。電子保存装置１は、アカウント名を受信し（Ｓ６１）、アカウント管理ファイルを読み出す（Ｓ６２）。そして、電子保存装置１は、読み出したアカウント管理ファイルのアカウント管理データから該当するアカウント情報を取得する処理を行う（Ｓ６３）。ここで、該当するアカウント情報がアカウント管理データ中に存在しない場合（Ｓ６４；Ｎｏ）、相互認証処理はエラーにより終了する。
【００４８】
一方、該当するアカウント情報がアカウント管理データ中に存在する場合（Ｓ６４；Ｙｅｓ）、電子保存装置１は乱数１を生成し（Ｓ６５）、生成した乱数１をクライアントに送信する（Ｓ６６）。
【００４９】
クライアントは、乱数１を受信し（Ｓ５３）、受信した乱数１をＩＣカードに渡し、ユーザ側内部認証鍵で暗号化した認証コード１を取得する（Ｓ５４）。続いて、クライアントは、ＩＣカードで乱数２を生成し（Ｓ５５）、認証コード１と乱数２とを電子保存装置１に送信する（Ｓ５６）。
【００５０】
電子保存装置１は、認証コード１と乱数２とを受信し（Ｓ６７）、保存装置側外部認証鍵で認証コード１を復号する（Ｓ６８）。そして、電子保存装置１は、復号した認証コードと乱数１とが一致するか否かを判定する（Ｓ６９）、ステップＳ６９において、一致しないと判定された場合（Ｓ６９；Ｎｏ）、相互認証処理がエラーにより終了する。一方、一致すると判定された場合（Ｓ６９；Ｙｅｓ）、ステップＳ７０において、電子保存装置１が乱数２を保存装置側内部認証鍵で暗号化して認証コード２を生成し（Ｓ７０）、認証コード２をクライアントに送信する（Ｓ７１）。
【００５１】
クライアントは、認証コード２を受信し（Ｓ５７）、認証コード２をＩＣカードに渡し、ユーザ側外部認証鍵により外部認証を行う（Ｓ５８）。そして、外部認証が成功しなかった場合（Ｓ５９；Ｎｏ）、相互認証処理がエラーで終了し、外部認証が成功した場合（Ｓ５９；Ｙｅｓ）、相互認証処理が正常に終了し、図６のフローチャートの処理に戻ることになる。
【００５２】
（３）電子データ保存処理
つぎに、電子データを電子保存装置１に保存する際の処理手順について説明する。図８は、電子データを電子保存装置１に保存する処理を示すフローチャートであり、図９は、原本データの保存処理の説明図である。以下では、図８のフローチャートに示す電子データ保存処理について、図９を参照しつつ具体的に説明する。
【００５３】
電子保存装置１のプロセッサ１１は、通信ポート１２を介して計算機２から電子データの保存要求を受けた場合、大容量記憶媒体１３がマウントされているか否かを判定する（Ｓ８１）。ここで、大容量記憶媒体１３がマウントされていないと判定した場合（Ｓ８１；Ｎｏ）、プロセッサ１１は、エラーにより電子データ保存処理を終了する。
【００５４】
一方、大容量記憶媒体１３がマウントされていると判定した場合（Ｓ８１；Ｙｅｓ）、通信ポート１２を介してユーザ側（計算機２）から、図９に示すデータ２１およびファイル属性コード２２を受け取る（Ｓ８２）。
【００５５】
そして、プロセッサ１１は、受け取ったファイル属性コード２２が「原本」，「仮原本」または「一般」であるか否かを判定する（Ｓ８３）。ここで、ファイル属性コード２２が「原本」，「仮原本」または「一般」でないと判定した場合（Ｓ８３；Ｎｏ）、プロセッサ１１は、エラーにより電子データ保存処理を終了する。
【００５６】
一方、ファイル属性コード２２が「原本」，「仮原本」または「一般」であると判定した場合（Ｓ８３；Ｙｅｓ）、プロセッサ１１は、ファイル属性コードが「一般」か否かを判定する（Ｓ８４）。ファイル属性コードが「一般」であると判定した場合（Ｓ８４；Ｙｅｓ）、プロセッサ１１は、受け取ったデータ２１を大容量記憶媒体１３にファイルとして保存し（Ｓ９２）、電子データ保存処理を正常に終了する。
【００５７】
また、ファイル属性コードが「一般」ではないと判定した場合（Ｓ８４；Ｎｏ）、プロセッサ１１は、タイマ１７から現在時刻を取得すると共に、内部記憶媒体１５から装置暗号鍵４１，装置復号鍵４２，最新タイマＩＤを取得し（Ｓ８５）、改ざん検知保存処理を実行してデータを大容量記憶媒体１３に保存する（Ｓ８６）。
【００５８】
図１０は、ステップＳ８６の改ざん検知保存処理を示すフローチャートである。プロセッサ１１は、保存するデータ２１に対してハッシュ値を計算してハッシュ値２３を求め（Ｓ１０１）、ハッシュ値２３を装置暗号鍵４１で暗号化してメッセージ認証子（ＭＡＣ）２４を生成する（Ｓ１０２）。その後、メッセージ認証子２４と共にデータ２１を保存ファイル２５として大容量記憶媒体１３に保存する（Ｓ１０３）。
【００５９】
図８のフローチャートに戻り、プロセッサ１１は、ファイル属性コード２２に対して現在時刻，ユーザアカウント名，ファイルアクセス履歴等を加えたファイル属性情報２６を生成し（Ｓ８７）、図１０に示したような改ざん検知保存処理を実行して、ファイル属性情報２６を大容量記憶媒体１３に保存する（Ｓ８８）。
【００６０】
このステップＳ８８において実行される改ざん検知保存処理を図９および図１０を参照して説明する。プロセッサ１１は、図８のステップＳ８７で生成したファイル属性情報２６に対してハッシュ値を計算してハッシュ値２７を求め（Ｓ１０１）、ハッシュ値２７を装置暗号鍵４１で暗号化してメッセージ認証子（ＭＡＣ）２８を生成する（Ｓ１０２）。その後、メッセージ認証子２８と共にファイル属性情報２６をファイル属性情報ファイル２９として大容量記憶媒体１３に保存する（Ｓ１０３）。
【００６１】
再び図８のフローチャートの説明に戻り、プロセッサ１１は、改ざん検知読み出し処理を実行して、大容量記憶媒体１３から保存ファイルリストファイル３１を読み出す（Ｓ８９）。
【００６２】
図１１は、図８のステップＳ８９において実行される改ざん検知読み出し処理を示すフローチャートである。プロセッサ１１は、大容量記憶媒体１３に記録されている保存ファイルリストファイル３１（対象ファイル）を読み出し（Ｓ１１１）、保存ファイルリストファイル３１に記録されている保存ファイルリスト３２（データ）とメッセージ認証子（リストＭＡＣ）３１とを分離する（Ｓ１１２）。プロセッサ１１は、ステップＳ１１２で分離した保存ファイルリスト３２に対してハッシュ値を計算する（Ｓ１１３）。
【００６３】
続いて、プロセッサ１１は、内部記憶媒体１５から装置復号鍵４２を取得し（Ｓ１１４）、取得した装置復号鍵４２でメッセージ認証子３３を復号して検証用ハッシュ値を求める（Ｓ１１５）。プロセッサ１１は、その後、ステップＳ１１３で求めたハッシュ値とステップＳ１１５で求めた検証用ハッシュ値とが一致するか否かを判定する（Ｓ１１６）。
【００６４】
ステップＳ１１６において、二つのハッシュ値が一致しないと判定した場合（Ｓ１１６；Ｎｏ）、図８には詳細に示されていないが、プロセッサ１１はエラーとして改ざん検知読み出し処理および電子データ保存処理を終了する。一方、二つのハッシュ値が一致すると判定した場合（Ｓ１１６；Ｙｅｓ）、プロセッサ１１は、保存ファイルリスト３２を読み出しデータとし（Ｓ１１７）、図８のステップＳ９０に進む。
【００６５】
再び図８のフローチャートの説明に戻り、プロセッサ１１は、読み出した保存ファイルリスト３２に保存ファイル２５のエントリを追加する（Ｓ９０）。そして、プロセッサ１１は、改ざん検知保存処理を実行して、保存ファイルリスト３２を大容量記憶媒体１３に記録し（Ｓ９１）、電子データ保存処理を終了する。
【００６６】
なお、ステップＳ９１において実行される改ざん検知保存処理を図９および図１０を参照して説明する。プロセッサ１１は、Ｓ９０で保存ファイル２５のエントリが追加された保存ファイルリスト３２に対してハッシュ値を計算してリストハッシュ値３４を求め（Ｓ１０１）、リストハッシュ値３４を装置暗号鍵４１で暗号化してメッセージ認証子（リストＭＡＣ）３３を生成する（Ｓ１０２）。その後、メッセージ認証子３３と共に保存ファイルリスト３２を保存ファイルリストファイル３１として大容量記憶媒体１３に保存する（Ｓ１０３）。
【００６７】
なお、図９に示した各種情報の内容について簡単に示すことにする。図１２は保存ファイル２５の内容を示す説明図であり、図１３はファイル属性情報ファイル２９の内容を示す説明図であり、図１４は保存ファイルリストファイル３１の内容を示す説明図であり、図１５はタイマ設定履歴ファイル４３の内容を示す説明図である。また、図９の内部記憶媒体１５に示すアカウント管理ファイル４４は図３に示したものに該当する。
【００６８】
また、ここで、電子保存装置１における日時の管理について説明する。図１３に示したファイル属性情報ファイル２９中のファイルアクセス履歴等に記録する日時は、電子保存装置１内部のタイマ１７から取得するものであるが、ここではタイマ１７の設定を変更することができるようになっているものとする。そのため、タイマ１７を不正に変更することによりファイルアクセス日時を偽ることを防止するため、タイマ１７の設定を変更した履歴を記録するようにしている。タイマ１７の設定を変更すると、概念的には図１６に示すような履歴が内部記憶媒体１５のタイマ設定履歴ファイル４３に記録される。
【００６９】
タイマＩＤは、電子保存装置１内部で自動的に振られるシーケンシャルな番号であり、タイマ１７の設定を変更するたびに番号が増えていく。なお、ファイルアクセス履歴に含まれる日時情報には図５に示したようにタイマＩＤが含まれている。
【００７０】
図１６に示すようなタイマ設定履歴により、タイマＩＤ＝３において不正に１ヶ月日付をずらし、その後タイマＩＤ＝４で日付を戻していることがわかるため、ファイルアクセス履歴の日時にタイマＩＤ＝３の履歴がついているファイルは不正に日時を偽ろうとした可能性があることがわかる。タイマ設定履歴は内部記憶媒体１５（タイマ設定履歴ファイル４３）に記録されるが、ファイルアクセス履歴は各ファイルと共に大容量記憶媒体１３に記録される。
【００７１】
後述するように、ある電子保存装置から他の電子保存装置に対してファイルを移動したり、コピーしたりすることが可能であるが、このような場合にもファイルアクセス履歴の日時に不整合が生じないよう、概念的には図１７に示すようなファイルアクセス履歴を各ファイルに対して記録する。すなわち、図１３に示したように、ファイルアクセス履歴はファイル属性情報ファイル２９に記録される。例えば、図１７において、移動先となる電子保存装置Ｒ０１０−０００１０５５の日時１９９９０２１７ １０：１３：４３ ＩＤ＝２が移動元の電子保存装置 Ｒ０１０−０００１０３２の日時１９９９０２１７ １０：１０：２１ ＩＤ＝３に相当することがわかるため、移動したファイルに不正が見つかった場合には、電子保存装置をまたいで履歴を辿ることができる。
【００７２】
（４）大容量記憶媒体マウント処理
大容量記憶媒体１３が電子保存装置１から取り外し可能な場合には、大容量記憶媒体１３を電子保存装置１に装着した際に、以下に説明する大容量記憶装置マウント処理を実行することにする。その際、媒体の正当性が検証される。
【００７３】
図１８は、大容量記憶媒体マウント処理のフローチャートである。電子保存装置１のプロセッサ１１は、大容量記憶媒体１３が電子保存装置１に装着されると、装着された大容量記憶媒体１３がフォーマット済みであるか否かを判定する（Ｓ１２１）。ステップＳ１２１においてフォーマット済みである場合（Ｓ１２１；Ｙｅｓ）はステップＳ１２３に進み、フォーマット済みでない場合（Ｓ１２１；Ｎｏ）は図１９に示す大容量記憶媒体のフォーマット処理が実行される（Ｓ１２２）。
【００７４】
すなわち、ステップＳ１２２においては、図１９に示すように、プロセッサ１１が大容量記憶媒体１３の初期化処理を実行し（Ｓ１３１）、乱数を生成する（Ｓ１３２）。プロセッサ１１は、生成した乱数を保存ファイルリスト３２の最初のエントリとして格納する（Ｓ１３３）。その後、プロセッサ１１は、図１０に示したように、保存ファイルリスト３２の改ざん検知保存処理を実行し（Ｓ１３４）、図１８のステップＳ１２３に進む。
【００７５】
プロセッサ１１は、図１１に示した処理に従って、保存ファイルリストファイル３１の改ざん検知読み出し処理を実行し（Ｓ１２３）、正常に読み出し処理を実行できた場合（Ｓ１２４；Ｙｅｓ）には大容量記憶媒体マウント処理を正常終了し、読み出し処理に失敗した場合（Ｓ１２４；Ｎｏ）には大容量記憶媒体マウント処理をエラーにより終了する。
【００７６】
（５）ファイル読み出し処理
ユーザ側からファイル読み出し要求を受けると、対象ファイルの正当性を検証し、データをユーザに対して送出する。
【００７７】
図２０は、ファイル読み出し処理のフローチャートである。電子保存装置１のプロセッサ１１は、ユーザ側からファイル読み出し要求を受けると、大容量記憶媒体１３がマウントされているか否かを判定する（Ｓ１４１）。ここで、大容量記憶媒体１３がマウントされていない場合（Ｓ１４１；Ｎｏ）、ファイル読み出し処理はエラーにより終了する。
【００７８】
一方、大容量記憶媒体１３がマウントされている場合（Ｓ１４１；Ｙｅｓ）、プロセッサ１１は、対象ファイル（保存ファイル２５）に関連付けられたファイル属性情報ファイル２９が存在するか否かを判定する（Ｓ１４２）。ファイル属性情報ファイル２９が存在しないと判定した場合（Ｓ１４２；Ｎｏ）、プロセッサ１１は、対象ファイルを読み出してユーザ側に送出する処理を実行し（Ｓ１４６）、ファイル読み出し処理を終了する。これに対し、ファイル属性情報ファイル２９が存在すると判定した場合（Ｓ１４２；Ｙｅｓ）、プロセッサ１１は、図１１に示した処理に従い、対象ファイルの改ざん検知読み出し処理を実行する（Ｓ１４３）。
【００７９】
続いて、プロセッサ１１は、改ざん検知読み出し処理で対象ファイルの読み出しに成功したか否かを判定する（Ｓ１４４）。ここで、読み出しに失敗した場合（Ｓ１４４；Ｎｏ）、プロセッサ１１は、ファイル読み出し処理をエラーにより終了する。一方、読み出しに成功した場合（Ｓ１４４；Ｙｅｓ）、プロセッサ１１は、読み出したデータをユーザ側に送出し（Ｓ１４５）、ファイル読み出し処理を正常に終了する。
【００８０】
（６）謄本作成処理
「原本」の属性を持つ保存ファイル２５に対し、外部から複製要求を受け取ると、対象ファイルとそれに関連付けられたファイル属性情報ファイル２９をコピーすると共に、新しいファイル属性情報には「謄本」のファイル属性コード２２を付与する。謄本ファイルの作成先が別の電子保存装置の場合には、別の電子保存装置にログインしてファイルを転送する。ログインの方法は、図６を用いて説明したような、ユーザが電子保存装置１にログインする方法と同様である。電子保存装置間でやり取りされるデータの保護についても、ユーザと電子保存装置１との間でやり取りするデータの保護の方法と同様である。データ保存処理と同様に、保存ファイルリスト３２の更新も行われる。なお、ファイル転送先の電子保存装置においては、転送受け入れ処理が行われることになる。
【００８１】
図２１は、謄本作成処理を示すフローチャートである。電子保存装置１のプロセッサ１１は、図１１に示した処理に従い、謄本を作成する対象となる対象ファイルのファイル属性情報ファイル２９の改ざん検知読み出し処理を実行する（Ｓ１５１）。ここで、改ざん検知読み出し処理に失敗した場合（Ｓ１５２；Ｎｏ）、謄本作成処理をエラーによって終了する。
【００８２】
一方、改ざん検知読み出し処理に成功した場合（Ｓ１５２；Ｙｅｓ）、プロセッサ１１は、読み出したファイル属性情報ファイル２９からファイル属性コード２２を取得する（Ｓ１５３）。プロセッサ１１は、取得したファイル属性コード２２が「原本」であるか否かを判定し（Ｓ１５４）、ファイル属性コードが「原本」でない場合（Ｓ１５４；Ｎｏ）、謄本作成処理をエラーによって終了する。
【００８３】
ファイル属性コードが「原本」である場合（Ｓ１５４；Ｙｅｓ）、プロセッサ１１は、謄本の作成先が同一装置か否かを判定し（Ｓ１５５）、同一装置であると判定した場合（Ｓ１５５；Ｙｅｓ）には同一装置内での謄本作成処理を実行し（Ｓ１５６）、同一装置ではないと判定した場合（Ｓ１５５；Ｎｏ）には他の装置での謄本作成処理を実行し（Ｓ１５７）、謄本作成処理を終了する。
【００８４】
図２２は、図２１のステップＳ１５６において実行される同一装置内での謄本作成処理のフローチャートである。まず、プロセッサ１１は、作成先のファイルが既に存在しているか否かを判定し（Ｓ１６１）、存在している場合（Ｓ１６１；Ｙｅｓ）にはエラーにより同一装置内での謄本作成処理を終了する。換言すれば、図２１に示した謄本作成処理をエラーで終了することになる。
【００８５】
一方、作成先のファイルが存在していない場合（Ｓ１６１；Ｎｏ）、プロセッサ１１は、対象ファイルを作成先ファイルにコピーする（Ｓ１６３）。そして、プロセッサ１１は、対象ファイルのファイル属性情報ファイル２９を作成先のファイル属性情報ファイルとしてコピーする（Ｓ１６３）。
【００８６】
続いて、プロセッサ１１は、図１１に示した処理に従い、作成先のファイル属性情報ファイル２９の改ざん検知読み出し処理を実行し（Ｓ１６４）、読み出したファイル属性情報２６のファイル属性コード２２を「謄本」に変更する（Ｓ１６５）。
【００８７】
プロセッサ１１は、タイマ１７から現在時刻を取得し（Ｓ１６６）、ファイル属性情報２６に謄本作成履歴（アカウント名，現在時刻，タイマＩＤ等）を追加し（Ｓ１６７）、図１０に示した処理に従い、ファイル属性情報２６の改ざん検知保存処理を実行する（Ｓ１６８）。
【００８８】
さらに、プロセッサ１１は、保存ファイルリストファイル３１の改ざん検知読み出し処理を実行し（Ｓ１６９）、読み出し処理に失敗した場合（Ｓ１７０；Ｎｏ）、作成先ファイルおよび作成先ファイル属性情報ファイルを削除し（Ｓ１７３）、エラーにより図２２の処理を終了する。すなわち、図２１の謄本作成処理をエラーで終了することになる。
【００８９】
一方、読み出し処理に成功した場合（Ｓ１７０；Ｙｅｓ）、プロセッサ１１は、保存ファイルリスト３２に作成先ファイルのエントリを追加し（Ｓ１７１）、図１０に示した処理に従って保存ファイルリスト３２の改ざん検知保存処理を実行して（Ｓ１７２）、図２１の謄本作成処理を正常に終了する。
【００９０】
図２３は、図２１のステップＳ１５７において実行される他の装置での謄本作成処理のフローチャートである。プロセッサ１１は、図６に示したような処理に従い、作成先保存装置へのログイン処理を実行する（Ｓ１８１）。ここで、ログイン処理に失敗した場合（Ｓ１８２；Ｎｏ）、プロセッサ１１は図２３の処理をエラーで終了する。すなわち、図２１の処理がエラーで終了することになる。
【００９１】
一方、ログイン処理に成功した場合（Ｓ１８２；Ｙｅｓ）、プロセッサ１１は、図１１に示した処理に従い、対象ファイルの改ざん検知読み出し処理を実行し（Ｓ１８３）、読み出しデータを作成先保存装置に謄本作成モードで転送する（Ｓ１８４）。
【００９２】
続いて、プロセッサ１１は、図１１に示した処理に従い、対象ファイルのファイル属性情報ファイル２９の改ざん検知読み出し処理を実行する（Ｓ１８５）。そして、プロセッサ１１は、タイマ１７から現在時刻を取得し（Ｓ１８６）、ファイル属性情報２６に謄本作成履歴を追加する（Ｓ１８７）。
【００９３】
そして、プロセッサ１１は、ファイル属性情報２６を作成先保存装置に謄本作成モードで転送し（Ｓ１８８）、転送が成功した場合には（Ｓ１８９；Ｙｅｓ）、作成先保存装置からログアウトし（Ｓ１９０）、図２１に示す謄本作成処理を終了する。一方、転送に失敗した場合（Ｓ１８９；Ｎｏ）、図２３の処理をエラーで終了する。すなわち、図２１の謄本作成処理もエラーで終了ということになる。
【００９４】
図２４は、図２３に示す他の装置での謄本作成処理が実行された場合に、他の装置、即ち図２３に示した作成先保存装置で行われる転送受け入れ処理（謄本作成モード）を示すフローチャートである。作成先保存装置は、転送先ファイルが既に存在しているか否かを判定し（Ｓ１９１）、転送先ファイルが既に存在している場合（Ｓ１９１；Ｙｅｓ）にはエラーで図２４の処理を終了する。この場合、図２１の謄本作成処理もエラーで終了ということになる。
【００９５】
また、作成先保存装置は、転送先ファイルが存在しないと判定した場合（Ｓ１９１；Ｎｏ），図１１に示した処理に従い、保存ファイルリストファイル３１の改ざん検知読み出し処理を実行する（Ｓ１９２）。ここで、改ざん検知読み出し処理に失敗した場合（Ｓ１９３；Ｎｏ）、エラーにより図２４の処理を終了する。一方、読み出しに成功した場合（Ｓ１９３；Ｙｅｓ）、作成先保存装置は、図１０に示した処理に従い、受け取ったデータの改ざん検知保存処理を実行する（Ｓ１９４）。
【００９６】
続いて、作成先保存装置は、受け取ったファイル属性情報２６のファイル属性コード２２を「謄本」に変更し（Ｓ１９５）、ファイル属性情報２６に謄本作成履歴を追加して（Ｓ１９６）、図１０に示した処理に従ってファイル属性情報２６の改ざん検知保存処理を実行する（Ｓ１９７）。
【００９７】
その後、作成先保存装置は、保存ファイルリスト３２に作成した謄本ファイルのエントリを追加し（Ｓ１９８）、図１０に示した処理に従い、保存ファイルリスト３２の改ざん検知保存処理を実行し（Ｓ１９９）、図２４の処理を終了する。
【００９８】
（７）バックアップ作成処理
「仮原本」，「原本」，「謄本」の属性を持つファイルに対して外部からバックアップ作成要求を受け取ると、対象ファイルと、それに関連付けられたファイル属性情報ファイルをコピーし、新しいファイル属性ファイルには元のファイル属性コードに対応する「バックアップ仮原本」，「バックアップ原本」，「バックアップ謄本」というファイル属性コードをつけることにする。バックアップファイルの作成先が別の電子保存装置の場合には、その別の電子保存装置にログインしてファイルを転送する。データ保存処理と同様に、保存ファイルリストの更新も行う。なお、ファイル転送先の電子保存装置では、転送受け入れ処理が行われることになる。
【００９９】
図２５は、バックアップ作成処理のフローチャートである。電子保存装置１のプロセッサ１１は、バックアップの作成対象となる対象ファイルのファイル属性情報ファイル２９の改ざん検知読み出し処理を実行する（Ｓ２０１）。ここで、改ざん検知読み出し処理による読み出しに失敗した場合（Ｓ２０２；Ｎｏ）、エラーによりバックアップ作成処理を終了する。
【０１００】
一方、読み出しに成功した場合（Ｓ２０２；Ｙｅｓ）、読み出したファイル属性情報ファイル２９からファイル属性コード２２を取得する（Ｓ２０３）。そして、プロセッサ１１は、バックアップ作成先が同一装置か否かを判定し（Ｓ２０４）、同一装置と判定した場合（Ｓ２０４；Ｙｅｓ）には同一装置内でのバックアップ作成処理を実行し（Ｓ２０５）、同一装置ではないと判定した場合（Ｓ２０４；Ｎｏ）には他の装置でのバックアップ作成処理を実行し（Ｓ２０６）、バックアップ作成処理を終了する。
【０１０１】
図２６は、図２５のステップＳ２０５において実行される同一装置内でのバックアップ作成処理のフローチャートである。プロセッサ１１は、作成先のファイルが既に存在するか否かを判定し（Ｓ２１０）、存在する場合（Ｓ２１０；Ｙｅｓ）にはエラーとして図２５および図２６に示すバックアップ作成処理を終了する。一方、作成先のファイルが存在しない場合（Ｓ２１０；Ｎｏ）には対象ファイルを作成先ファイルにコピーする（Ｓ２１１）。
【０１０２】
続いて、プロセッサ１１は、対象ファイルのファイル属性情報ファイル２９を作成先のファイル属性情報ファイルとしてコピーする（Ｓ２１２）。プロセッサ１１は、さらに、図１１に示した処理に従い、作成先のファイル属性情報ファイル２９の改ざん検知読み出し処理を実行し（Ｓ２１３）、ファイル属性コード２２を変更する処理を実行する（Ｓ２１４）。
【０１０３】
具体的には、ファイル属性コードが「仮原本」の場合は「バックアップ仮原本」に変更し、「原本」の場合は「バックアップ原本」に変更し、「謄本」の場合は「バックアップ謄本」に変更する。
【０１０４】
そして、プロセッサ１１は、タイマ１７から現在時刻を取得し（Ｓ２１５）、ファイル属性情報２６にバックアップ作成履歴（アカウント名，現在時刻，タイマＩＤ等）を追加した後（Ｓ２１６）、図１０に示した処理に従い、ファイル属性情報２６の改ざん検知保存処理を実行する（Ｓ２１７）。
【０１０５】
続いて、プロセッサ１１は、図１１に示した処理に従い、保存ファイルリストファイル３１の改ざん検知読み出し処理を実行し（Ｓ２１８）、読み出しに成功した場合（Ｓ２１９；Ｙｅｓ）、保存ファイルリスト３２に作成先ファイルのエントリを追加し（Ｓ２２０）、図１０に示した処理に従って保存ファイルリスト３２の改ざん検知保存処理を実行して（Ｓ２２１）、図２６の処理を終了する。
【０１０６】
一方、保存ファイルリストファイル３１の改ざん検知読み出し処理に失敗した場合（Ｓ２１９；Ｎｏ）、作成先ファイルおよび作成先ファイル属性情報ファイルを削除する処理を実行し（Ｓ２２２）、エラーとして図２５および図２６の処理を終了する。
【０１０７】
図２７は、図２５のステップＳ２０６において実行される他の装置でのバックアップ作成処理のフローチャートである。電子保存装置１のプロセッサ１１は、図６に示したようにして、作成先保存装置へのログイン処理を実行する（Ｓ２３１）。ここで、ログイン処理に成功しなかった場合（Ｓ２３２；Ｎｏ）は、エラーにより図２５および図２７の処理を終了し、ログイン処理に成功した場合（Ｓ２３２；Ｙｅｓ）は、図１１に示した処理に従って対象ファイルの改ざん検知読み出し処理を実行する（Ｓ２３３）。
【０１０８】
続いて、プロセッサ１１は、読み出しデータを作成先保存装置にバックアップ作成モードで転送し（Ｓ２３４）、図１１に示した処理に従い、対象ファイルのファイル属性情報ファイル２９の改ざん検知読み出し処理を実行する（Ｓ２３５）。
【０１０９】
そして、プロセッサ１１は、タイマ１７から現在時刻を取得し（Ｓ２３６）、ファイル属性情報２６に謄本作成履歴を追加する（Ｓ２３７）。そして、プロセッサ１１は、ファイル属性情報２６を作成先保存装置にバックアップ作成モードで転送し（Ｓ２３８）、転送が成功した場合（Ｓ２３９；Ｙｅｓ）には作成先保存装置からのログアウト処理を実行して（Ｓ２４０）、図２７に示す処理を正常に終了する。一方、転送に失敗した場合（Ｓ２３９）、エラーにより図２５および図２７に示す処理が終了する。
【０１１０】
図２８は、図２７に示す他の装置でのバックアップ作成処理が実行された場合に、他の装置、即ち図２７に示した作成先保存装置で行われる転送受け入れ処理（バックアップ作成モード）を示すフローチャートである。作成先保存装置は、転送先ファイルが既に存在しているか否かを判定し（Ｓ２４１）、転送先ファイルが既に存在している場合（Ｓ２４１；Ｙｅｓ）にはエラーで図２８の処理を終了する。この場合、図２５のバックアップ作成処理もエラーで終了ということになる。
【０１１１】
また、作成先保存装置は、転送先ファイルが存在しないと判定した場合（Ｓ２４１；Ｎｏ），図１１に示した処理に従って、保存ファイルリストファイル３１の改ざん検知読み出し処理を実行する（Ｓ２４２）。ここで、改ざん検知読み出し処理に失敗した場合（Ｓ２４３；Ｎｏ）、エラーにより図２８の処理を終了する。一方、読み出しに成功した場合（Ｓ２４３；Ｙｅｓ）、作成先保存装置は、図１０に示した処理に従って、受け取ったデータの改ざん検知保存処理を実行する（Ｓ２４４）。
【０１１２】
続いて、作成先保存装置は、受け取ったファイル属性情報２６のファイル属性コード２２を値に応じて「バックアップ」に変更し（Ｓ２４５）、ファイル属性情報２６にバックアップ作成履歴を追加して（Ｓ２４６）、図１０に示した処理に従ってファイル属性情報２６の改ざん検知保存処理を実行する（Ｓ２４７）。
【０１１３】
その後、作成先保存装置は、保存ファイルリスト３２に作成したバックアップファイルのエントリを追加し（Ｓ２４８）、図１０に示した処理に従って、保存ファイルリスト３２の改ざん検知保存処理を実行し（Ｓ２４９）、図２８の処理を終了する。
【０１１４】
（８）ファイル移動処理
同一の電子保存装置１内または別の電子保存装置１へファイルを移動する際には、このファイル移動処理が実行される。ファイルの移動先が別の電子保存装置１の場合、移動先の電子保存装置１においては、転送受け入れ処理が実行される。
【０１１５】
図２９は、ファイル移動処理を示すフローチャートである。電子保存装置１のプロセッサ１１は、ファイルの移動処理の実行が指定されると、移動先が同一装置内であるか否かを判定し（Ｓ２５１）、移動先が同一装置内であると判定した場合（Ｓ２５１；Ｙｅｓ）、作成先のファイルが既に存在しているか否かを判定する（Ｓ２５２）。
【０１１６】
ステップＳ２５２において、作成先のファイルが既に存在していると判定した場合（Ｓ２５２；Ｙｅｓ）、プロセッサ１１は、エラーとしてファイル移動処理を終了する。一方、作成先のファイルが存在していないと判定した場合（Ｓ２５２；Ｎｏ）、プロセッサ１１は、図１１に示した処理に基づいて、保存ファイルリストファイル３１の改ざん検知読み出し処理を実行する（Ｓ２５３）。そして、プロセッサ１１は、改ざん検知読み出し処理に失敗した場合（Ｓ２５４；Ｎｏ）、エラーとしてファイル移動処理を終了する。一方、改ざん検知読み出し処理が成功した場合（Ｓ２５４；Ｙｅｓ）、対象ファイル（保存ファイル２５）を移動先ファイルに移動する（Ｓ２５５）。
【０１１７】
また、プロセッサ１１は、対象ファイルにファイル属性情報ファイル２９が存在しているか否かを判定し（Ｓ２５６）、存在していないと判定した場合（Ｓ２５６；Ｎｏ）にはステップＳ２５８に進み、存在していると判定した場合（Ｓ２５６；Ｙｅｓ）には、ファイル属性情報ファイル２９を移動先のファイル属性情報ファイルとして移動する（Ｓ２５７）。
【０１１８】
そして、プロセッサ１１は、保存ファイルリスト３２内の移動したファイルのエントリを更新し（Ｓ２５８）、図１０に示した処理に従って保存ファイルリスト３２の改ざん検知保存処理を実行し（Ｓ２５９）、ファイル移動処理を終了する。
【０１１９】
さらに、プロセッサ１１は、ステップＳ２５１において移動先が同一装置内ではないと判定した場合（Ｓ２５１；Ｎｏ）、他の装置へのファイル移動処理を実行する（Ｓ２６０）。
【０１２０】
図３０は、図２９のステップＳ２６０において実行される他の装置へのファイル移動処理を示すフローチャートである。電子保存装置１のプロセッサ１１は、図１１に示した処理に従い、保存ファイルリストファイル３１の改ざん検知読み出し処理を実行する（Ｓ２６１）。プロセッサ１１は、改ざん検知読み出し処理に失敗した場合に（Ｓ２６２；Ｎｏ）、エラーとして図３０および図２９のファイル移動処理を終了し、改ざん検知読み出し処理に成功した場合（Ｓ２６２；Ｙｅｓ）、移動先保存装置へのログイン処理を実行する（Ｓ２６３）。
【０１２１】
プロセッサ１１は、ログイン処理に失敗した場合（Ｓ２６４；Ｎｏ）、エラーとして図３０および図２９のファイル移動処理を終了し、ログイン処理に成功した場合（Ｓ２６４；Ｙｅｓ）、図１１に示した処理に従って、移動するファイルとして指定された保存ファイル２５、即ち対象ファイルの改ざん検知読み出し処理を実行し（Ｓ２６５）、読み出しデータを移動先保存装置に移動モードで転送する（Ｓ２６６）。プロセッサ１１は、転送に失敗した場合（Ｓ２６７；Ｎｏ）、エラーとして図３０および図２９のファイル移動処理を終了し、転送に成功した場合（Ｓ２６７；Ｙｅｓ）、対象ファイルにファイル属性情報ファイル２９が存在しているか否かを判定する（Ｓ２６８）。ファイル属性情報ファイル２９が存在していないと判定した場合は（Ｓ２６８；Ｎｏ）、ステップＳ２７４に進む。
【０１２２】
一方、ファイル属性情報ファイル２９が存在していると判定した場合（Ｓ２６８；Ｙｅｓ）、プロセッサ１１は、図１１に示した処理に従って、ファイル属性情報ファイル２９の改ざん検知読み出し処理を実行する（Ｓ２６９）。そして、プロセッサ１１は、タイマ１７から現在時刻を取得し（Ｓ２７０）、ファイル属性情報２６にファイル移動履歴を追加する（Ｓ２７１）。その後、プロセッサ１１は、ファイル属性情報２６を移動先保存装置に移動モードで転送する（Ｓ２７２）。
【０１２３】
続いて、プロセッサ１１は、転送に失敗した場合（Ｓ２７３；Ｎｏ）、エラーとして図３０および図２９のファイル移動処理を終了し、転送に成功した場合（Ｓ２７３；Ｙｅｓ）、対象ファイルの削除（Ｓ２７４），対象ファイルのファイル属性情報ファイル２９の削除（Ｓ２７５），保存ファイルリスト３２内に存在する移動したファイルのエントリの削除（Ｓ２７６），図１０に示した処理に基づく保存ファイルリスト３２の改ざん検知保存処理（Ｓ２７７）および作成先保存装置からのログアウト処理（Ｓ２７８）を順次実行して図３０および図２９のファイル移動処理を終了する。
【０１２４】
図３１は、図３０に示す他の装置へのファイル移動処理が実行された場合に、他の装置、即ち図３０に示した移動先保存装置で行われる転送受け入れ処理（移動モード）を示すフローチャートである。移動先保存装置は、転送先ファイルが既に存在しているか否かを判定し（Ｓ２８１）、転送先ファイルが存在していると判定した場合（Ｓ２８１；Ｙｅｓ）、エラーとして転送受け入れ処理を終了する。
【０１２５】
一方、転送先ファイルが存在していないと判定した場合（Ｓ２８１；Ｎｏ）、移動先保存装置は、図１１に示した処理に従い、保存ファイルリストファイル３１の改ざん検知読み出し処理を実行する（Ｓ２８２）。移動先保存装置は、改ざん検知読み出し処理に失敗した場合（Ｓ２８３；Ｎｏ）、エラーとして転送受け入れ処理を終了し、改ざん検知読み出し処理に成功した場合（Ｓ２８３；Ｙｅｓ）、図１０に示した処理に従って、受け取ったデータの改ざん検知保存処理を実行する（Ｓ２８４）。
【０１２６】
さらに、移動先保存装置は、ファイル属性情報２６を受け取ったか否かを判定し（Ｓ２８５）、受け取っていない場合には（Ｓ２８５；Ｎｏ）そのまま処理を終了し、受け取った場合には（Ｓ２８５；Ｙｅｓ）ファイル属性情報２６にファイル移動履歴を追加する（Ｓ２８６）。
【０１２７】
そして、移動先保存装置は、図１０に示した処理に従ってファイル属性情報２６の改ざん検知保存処理を実行し（Ｓ２８７）、保存ファイルリスト３２に受け取ったファイルのエントリを追加し（Ｓ２８８）、図１０に示した処理に従って保存ファイルリスト３２の改ざん検知保存処理を実行して（Ｓ２８９）、転送受け入れ処理を終了する。
【０１２８】
（９）ファイル削除処理
保存ファイル２５を削除するための処理である。しかし、「原本」のファイル属性コード２２を有する保存ファイル２５については証拠隠滅を防ぐために削除は禁止される。
【０１２９】
図３２は、ファイル削除処理を示すフローチャートである。電子保存装置１のプロセッサ１１は、ファイルの削除が指定されると、大容量記憶媒体１３がマウントされているか否かを判定し（Ｓ２９１）、マウントされていないと判定した場合（Ｓ２９１；Ｎｏ）、エラーとしてファイル削除処理を終了する。一方、マウントされていると判定した場合（Ｓ２９１；Ｙｅｓ）、削除が指定された保存ファイル２５、即ち対象ファイルに対応するファイル属性情報ファイル２９が存在するか否かを判定する（Ｓ２９２）。
【０１３０】
プロセッサ１１は、ファイル属性情報ファイル２９が存在しないと判定した場合（Ｓ２９２；Ｎｏ）、対象ファイルを削除し（Ｓ３０２）、ファイル削除処理を終了する。一方、ファイル属性情報ファイル２９が存在すると判定した場合（Ｓ２９２；Ｙｅｓ）、図１１に示した処理に従って、対象ファイルに対応するファイル属性情報ファイル２９の改ざん検知読み出し処理を実行する（Ｓ２９３）。
【０１３１】
そして、プロセッサ１１は、改ざん検知読み出し処理に失敗した場合（Ｓ２９４；Ｎｏ）、エラーとしてファイル削除処理を終了し、改ざん検知読み出し処理に成功した場合（Ｓ２９４；Ｙｅｓ）、ファイル属性情報２６に含まれるファイル属性コード２２が「原本」であるか否かを判定する（Ｓ２９５）。
【０１３２】
ファイル属性コード２２が「原本」であると判定した場合（Ｓ２９５；Ｙｅｓ）、原本の削除は禁止されているため、プロセッサ１１はエラーとしてファイル削除処理を終了する。一方、「原本」ではないと判定した場合（Ｓ２９５；Ｎｏ）、プロセッサ１１は、対象ファイルを削除し（Ｓ２９６）、さらに、ファイル属性情報ファイル２９を削除する（Ｓ２９７）。
【０１３３】
続いて、プロセッサ１１は、図１１に示した処理に従って、保存ファイルリストファイル３１の改ざん検知読み出し処理を実行する（Ｓ２９８）。プロセッサ１１は、改ざん検知読み出し処理に失敗した場合（Ｓ２９９；Ｎｏ）、エラーとしてファイル削除処理を終了し、改ざん検知読み出し処理に成功した場合（Ｓ２９９；Ｙｅｓ）、保存ファイルリスト３２から対象ファイルのエントリを削除し（Ｓ３００）、図１０に示した処理に従って保存ファイルリスト３２の改ざん検知保存処理を実行して（Ｓ３０１）、ファイル削除処理を終了する。
【０１３４】
（１０）ファイル属性コード変更処理
データ保存処理において、「仮原本」の属性を持つファイルを保存することが可能であるが、この「仮原本」ファイルは単純にファイル属性コード２２を「原本」に変更することが可能なものである。また、「謄本」，「バックアップ仮原本」，「バックアップ原本」および「バックアップ謄本」の属性を持つファイルは、それぞれファイル属性コード２２を変更することで元のファイルを復旧するために利用することができる。復旧すると、ファイル属性コードは図３３に示すようになる。
【０１３５】
ファイル属性コード２２の変更は、ファイルアクセス履歴として記録される。このファイル属性コード変更処理は、外部からのファイル属性コード２２の変更要求と共に、新しいファイル属性コード２２を受け取ることによって実行される。
【０１３６】
図３４は、ファイル属性コード変更処理を示すフローチャートである。電子保存装置１のプロセッサ１１は、ファイル属性コード変更処理の指示があると、大容量記憶媒体１３がマウントされているか否かを判定する（Ｓ３１０）。プロセッサ１１は、大容量記憶媒体１３がマウントされていないと判定した場合（Ｓ３１０；Ｎｏ）、エラーとしてファイル属性コード変更処理を終了し、大容量記憶媒体１３がマウントされていると判定した場合（Ｓ３１０；Ｙｅｓ）、変更対象の保存ファイル２５、即ち対象ファイルに対応するファイル属性情報ファイル２９が存在しているか否かを判定する（Ｓ３１１）。
【０１３７】
プロセッサ１１は、ファイル属性情報ファイル２９が存在しないと判定した場合（Ｓ３１１；Ｎｏ）、エラーとしてファイル属性コード変更処理を終了し、存在すると判定した場合（Ｓ３１１；Ｙｅｓ）、図１１に示す処理に従ってファイル属性情報ファイル２９の改ざん検知読み出し処理を実行する（Ｓ３１２）。プロセッサ１１は、改ざん検知読み出し処理に失敗した場合（Ｓ３１３；Ｎｏ）、エラーとしてファイル属性コード変更処理を終了し、改ざん検知読み出し処理に成功した場合（Ｓ３１３；Ｙｅｓ）、指定された新ファイル属性コードに応じたコード変更処理を実行する（Ｓ３１４）。
【０１３８】
図３５（ａ）〜図３５（ｃ）は、図３４のステップＳ３１４において実行されるコード変更処理のフローチャートである。図３５（ａ）は新ファイル属性コードとして「仮原本」が指定された場合であり、プロセッサ１１は、現在のファイル属性コード２２が「バックアップ仮原本」であるか否かを判定する（Ｓ３３１）。現在のファイル属性コード２２が「バックアップ仮原本」ではない場合（Ｓ３３１；Ｎｏ）、エラーとして図３５および図３４のファイル属性コード変更処理を終了する。一方、現在のファイル属性コード２２が「バックアップ仮原本」である場合（Ｓ３３１；Ｙｅｓ）、ファイル属性情報２６のファイル属性コード２２を「仮原本」に変更する処理を実行する（Ｓ３３２）。
【０１３９】
また、図３５（ｂ）は新ファイル属性コードとして「原本」が指定された場合であり、プロセッサ１１は、現在のファイル属性コード２２が「バックアップ原本」または「仮原本」であるか否かを判定する（Ｓ３４１）。現在のファイル属性コード２２が「バックアップ原本」または「仮原本」ではない場合（Ｓ３４１；Ｎｏ）、エラーとして図３５および図３４のファイル属性コード変更処理を終了する。一方、現在のファイル属性コード２２が「バックアップ原本」または「仮原本」である場合（Ｓ３４１；Ｙｅｓ）、ファイル属性情報２６のファイル属性コード２２を「原本」に変更する処理を実行する（Ｓ３４２）。
【０１４０】
さらに、図３５（ｃ）は新ファイル属性コードとして「謄本」が指定された場合であり、プロセッサ１１は、現在のファイル属性コード２２が「バックアップ謄本」であるか否かを判定する（Ｓ３５１）。現在のファイル属性コード２２が「バックアップ謄本」ではない場合（Ｓ３５１；Ｎｏ）、エラーとして図３５および図３４のファイル属性コード変更処理を終了する。一方、現在のファイル属性コード２２が「バックアップ謄本」である場合（Ｓ３５１；Ｙｅｓ）、ファイル属性情報２６のファイル属性コード２２を「謄本」に変更する処理を実行する（Ｓ３５２）。
【０１４１】
図３４のフローチャートの説明に戻り、プロセッサ１１は、図３５を用いて説明したステップＳ３１４においてコード変更処理を行った後、タイマ１７から現在時刻を取得し（Ｓ３１５）、ファイル属性情報２６にファイル属性コード変更履歴を追加する（Ｓ３１６）。
【０１４２】
続いて、プロセッサ１１は、図１０に示した処理に従ってファイル属性情報２６の改ざん検知保存処理を行い（Ｓ３１７）、図１１に示した処理に従って保存ファイルリストファイル３１の改ざん検知読み出し処理を実行する（Ｓ３１８）。そして、プロセッサ１１は、改ざん検知読み出し処理に失敗した場合（Ｓ３１９；Ｎｏ）、エラーとしてファイル属性コード変更処理を終了する。一方、改ざん検知読み出し処理に成功した場合（Ｓ３１９；Ｙｅｓ）、プロセッサ１１は、保存ファイルリスト３２の対象ファイルのエントリについて内容を更新し（Ｓ３２０）、図１０に示した処理に従って保存ファイルリスト３２の改ざん検知保存処理を実行して（Ｓ３２１）、ファイル属性コード変更処理を終了する。
【０１４３】
（１１）ファイル追記処理
「原本」や「仮原本」のファイル属性コード２２を持つファイルに対しては、編集は許可しないが追記は可能とする。追記のみを許可することにより、以前のデータが失われず、電子データの編集履歴がわかるため、その証明力も高まることになる。また、「謄本」およびバックアップのファイルについては追記も編集も許可しない。これは、データの訂正や修正は原本に対して施すべきものであって、コピーである謄本に施すべきものではないという考えに基づくものである。なお、ファイルの最終更新日時が変更されるため、データ保存処理と同様に保存ファイルリスト３２についても更新されることになる。
【０１４４】
図３６は、ファイル追記処理を示すフローチャートである。電子保存装置１のプロセッサ１１は、大容量記憶媒体１３がマウントされているか否かを判定し（Ｓ３６１）、マウントされていない場合（Ｓ３６１；Ｎｏ）、エラーとしてファイル追記処理を終了する。
【０１４５】
一方、大容量記憶媒体１３がマウントされていると判定した場合（Ｓ３６１；Ｙｅｓ）、プロセッサ１１は、追記処理の対象となる保存ファイル２５、即ち対象ファイルに対応するファイル属性情報ファイル２９が存在するか否かを判定する（Ｓ３６２）。プロセッサ１１は、ファイル属性情報ファイル２９が存在しないと判定した場合（Ｓ３６２；Ｎｏ）、対象ファイルにデータを追記する処理を実行し（Ｓ３７４）、ファイル追記処理を終了する。一方、ファイル属性情報ファイル２９が存在すると判定した場合（Ｓ３６２；Ｙｅｓ）、プロセッサ１１は、図１１に示した処理に従い、ファイル属性情報ファイル２９の改ざん検知読み出し処理を実行する（Ｓ３６３）。
【０１４６】
そして、プロセッサ１１は、改ざん検知読み出し処理に失敗した場合（Ｓ３６４；Ｎｏ）、エラーとしてファイル追記処理を終了し、改ざん検知読み出し処理に成功した場合（Ｓ３６４；Ｙｅｓ）、ファイル属性コード２２が「原本」または「仮原本」であるか否かを判定する（Ｓ３６５）。「原本」または「仮原本」でない場合（Ｓ３６５；Ｎｏ）、エラーとしてファイル追記処理を終了し、「原本」または「仮原本」である場合（Ｓ３６５；Ｙｅｓ）、図１１に示した処理に従って、対象ファイルの改ざん検知読み出し処理を実行する（Ｓ３６６）。
【０１４７】
プロセッサ１１は、改ざん検知読み出し処理に失敗した場合（Ｓ３６７；Ｎｏ）、エラーとしてファイル追記処理を終了し、改ざん検知読み出し処理に成功した場合（Ｓ３６７；Ｙｅｓ）、図１１に示した処理に従い、保存ファイルリストファイル３１の改ざん検知読み出し処理を実行する（Ｓ３６８）。
【０１４８】
プロセッサ１１は、改ざん検知読み出し処理に失敗した場合（Ｓ３６９；Ｎｏ）、エラーとしてファイル追記処理を終了し、改ざん検知読み出し処理に成功した場合（Ｓ３６９；Ｙｅｓ）、読み出しデータに追記データを追加する処理を実行する（Ｓ３７０）。
【０１４９】
そして、プロセッサ１１は、図１０に示した処理に従って追記済みデータの改ざん検知保存処理を実行し（Ｓ３７１）、保存ファイルリスト３２中の対象ファイルのエントリを更新し（Ｓ３７２）、さらに、図１０に示した処理に従って保存ファイルリスト３２の改ざん検知保存処理を実行して（Ｓ３７３）、ファイル追記処理を終了する。
【０１５０】
（１２）ファイル編集処理
「仮原本」や「原本」ファイルについては修正履歴を残すことで証明力を高めるため、これらのファイルに対する編集要求については拒否するものとする。また、「謄本」ファイルやバックアップファイルは、本来編集すべき対象ではないため、これらのファイルに対する編集要求についても拒否することにする。したがって、ここでは「一般」ファイルのみ編集可能とする。
【０１５１】
図３７は、ファイル編集処理を示すフローチャートである。電子保存装置１のプロセッサ１１は、大容量記憶媒体１３がマウントされているか否かを判定し（Ｓ３８１）、マウントされていない場合（Ｓ３８１；Ｎｏ）、エラーとしてファイル編集処理を終了する。
【０１５２】
一方、大容量記憶媒体１３がマウントされていると判定した場合（Ｓ３８１；Ｙｅｓ）、プロセッサ１１は、編集対象として指定された保存ファイル２５、即ち対象ファイルにファイル属性情報ファイル２９が存在しているか否かを判定する（Ｓ３８２）。ファイル属性情報ファイル２９が存在している場合（Ｓ３８２；Ｙｅｓ）、そのファイルは「一般」ファイルではないため、エラーとしてファイル編集処理を終了する。一方、ファイル属性情報ファイル２９が存在していない場合（Ｓ３８２；Ｎｏ）、プロセッサ１１は、対象ファイルの編集処理を実行し（Ｓ３８３）、ファイル編集処理を終了する。
【０１５３】
このように、本実施の形態に係る原本性保証電子保存装置、原本性保証電子保存方法およびその方法をコンピュータに実行させるためのプログラムを記録したコンピュータ読み取り可能な記録媒体によれば、電子データの改ざんを防止することに加えて、紙の原本が有する性質を電子情報に持たせることを可能とすることにより、電子情報の証明力を高めることができる。
【０１５４】
以上説明した本実施の形態に係る原本性保証電子保存装置、原本性保証電子保存方法およびその方法をコンピュータに実行させるためのプログラムを記録したコンピュータ読み取り可能な記録媒体は、予め用意されたプログラムを図１に示したような電子保存装置１（コンピュータ）で実行することによって実現することが可能である。換言すれば、このようなプログラムを電子保存装置１（コンピュータ）で実行することにより、例えばファイル管理システムと同じローカルネットワーク上に存在する原本性保証サーバを実現することが可能となる。
【０１５５】
【発明の効果】
以上説明したように、本発明の原本性保証電子保存装置（請求項１）によれば、電子データと、暗号化処理が施された改竄検知情報と、保存リストと、暗号化処理が施されたリスト改竄検知情報とを記憶媒体に保存するので、電子データとファイル属性コードの改竄と、記憶媒体から電子データの削除等を検出できるので、電子情報の証明力を高めることが可能となる。
【０１５６】
また、本発明の原本性保証電子保存装置（請求項２）によれば、ファイル属性コードを含むファイル属性情報に対して暗号化処理を施した後、記憶媒体に記憶することで、原本の電子データに対し、属性情報として原本であることを示す属性コードを付与するため、紙の原本が有する性質を電子情報に持たせることが可能となる。
【０１５７】
また、本発明の原本性保証電子保存装置（請求項３）によれば、復号化鍵を記録することで、暗号化処理が施されている情報に対して復号化処理を施し、当該情報を用いて電子データが改竄されているか否かを検出できるので、電子情報の証明力を高めることが可能となる。
【０１５８】
また、本発明の原本性保証電子保存装置（請求項４）によれば、保存リストの改竄が検出されなかった場合に、記憶媒体に対してマウント処理を行うので、電子情報の証明力を高めることが可能となる。
【０１５９】
また、本発明の原本性保証電子保存装置（請求項５）によれば、ファイル属性情報の改竄が検出されなかった場合に、ファイル属性情報と、ファイル電子データとを他の装置に出力するので、当該他の装置においても移動元と同様に、電子データに対するアクセス制御のレベルを制御することが可能となる。これにより、紙が有する性質を電子情報に持たせることができる。
【０１６０】
また、本発明の原本性保証電子保存装置（請求項６）によれば、電子データの改竄が検出されなかった場合に、電子データを用いた処理を行うので、電子情報の証明力を高めることが可能となる。
【０１６１】
また、本発明の原本性保証電子保存方法（請求項７）によれば、電子データと、暗号化処理が施された改竄検知情報と、保存リストと、暗号化処理が施されたリスト改竄検知情報とを記憶媒体に保存するので、電子データとファイル属性コードの改竄と、記憶媒体から電子データの削除等を検出できるので、電子情報の証明力を高めることが可能となる。
【０１６２】
また、本発明の原本性保証電子保存方法（請求項８）によれば、ファイル属性コードを含むファイル属性情報に対して暗号化処理を施した後、記憶媒体に記憶することで、原本の電子データに対し、属性情報として原本であることを示す属性コードを付与するため、紙の原本が有する性質を電子情報に持たせることが可能となる。
【０１６３】
また、本発明の原本性保証電子保存方法（請求項９）によれば、保存リストの改竄が検出されなかった場合に、記憶媒体に対してマウント処理を行うので、電子情報の証明力を高めることが可能となる。
【０１６４】
また、本発明の原本性保証電子保存方法（請求項１０）によれば、ファイル属性情報の改竄が検出されなかった場合に、ファイル属性情報と、ファイル電子データとを他の装置に出力するので、当該他の装置においても移動元と同様に、電子データに対するアクセス制御のレベルを制御することが可能となる。これにより、紙が有する性質を電子情報に持たせることができる。
【０１６５】
また、本発明の原本性保証電子保存方法（請求項１１）によれば、電子データの改竄が検出されなかった場合に、電子データを用いた処理を行うので、電子情報の証明力を高めることが可能となる。
【０１６６】
さらに、本発明のコンピュータ読み取り可能な記録媒体（請求項１２）によれば、請求項７〜１１のいずれか一つに記載の原本性保証電子保存方法をコンピュータに実行させるためのプログラムを記録したことにより、このプログラムをコンピュータに実行させることにより、例えばユーザサイトに設置可能な原本性保証機能を有する認証サーバを実現することが可能となる。
【図面の簡単な説明】
【図１】 本発明の実施の形態に係る電子保存装置のブロック構成図である。
【図２】 本発明の実施の形態に係るユーザ登録処理を示すフローチャートであり、（ａ）はクライアント側で実行されるユーザ登録処理を、（ｂ）は電子保存装置側で実行されるユーザ登録処理をそれぞれ示している。
【図３】 図２（ｂ）のステップＳ２８で用いられるアカウント管理ファイルの内容を示す説明図である。
【図４】 図３に示す認証鍵情報の内容を示す説明図である。
【図５】 図３中に示す日時情報の内容を示す説明図である。
【図６】 本発明の実施の形態に係る電子保存装置へのログイン処理を示すフローチャートであり、（ａ）はクライアント側で実行されるログイン処理を、（ｂ）は電子保存装置側で実行されるログイン処理をそれぞれ示している。
【図７】 図６（ａ）のステップＳ３５および図６（ｂ）のステップＳ４１において実行される相互認証処理のフローチャートであり、（ａ）はクライアント側で実行される相互認証処理を、（ｂ）は電子保存装置側で実行される相互認証処理をそれぞれ示している。
【図８】 本発明の実施の形態に係る電子データ保存処理を示すフローチャートである。
【図９】 図８に示す電子データ保存処理において、原本データを保存する際の処理の説明図である。
【図１０】 本発明の実施の形態に係る改ざん検知保存処理を示すフローチャートである。
【図１１】 本発明の実施の形態に係る改ざん検知読み出し処理を示すフローチャートである。
【図１２】 図９に示す保存ファイルの説明図である。
【図１３】 図９に示すファイル属性情報ファイルの説明図である。
【図１４】 図９に示す保存ファイルリストファイルの説明図である。
【図１５】 図９に示すタイマ設定履歴ファイルの説明図である。
【図１６】 図１５に示すタイマ設定履歴ファイル中のタイマ設定履歴の説明図である。
【図１７】 図１３に示すファイル属性情報ファイル中のアクセス履歴の説明図である。
【図１８】 本発明の実施の形態に係る大容量記憶媒体マウント処理のフローチャートである。
【図１９】 図１９のステップＳ１２２で実行される大容量記憶媒体のフォーマット処理を示すフローチャートである。
【図２０】 本発明の実施の形態に係るファイル読み出し処理のフローチャートである。
【図２１】 本発明の実施の形態に係る謄本作成処理を示すフローチャートである。
【図２２】 図２１のステップＳ１５６において実行される同一装置内での謄本作成処理のフローチャートである。
【図２３】 図２１のステップＳ１５７において実行される他の装置での謄本作成処理のフローチャートである。
【図２４】 図２３に示す他の装置での謄本作成処理が実行された場合に、他の装置で行われる転送受け入れ処理（謄本作成モード）を示すフローチャートである。
【図２５】 本発明の実施の形態に係るバックアップ作成処理のフローチャートである。
【図２６】 図２５のステップＳ２０５において実行される同一装置内でのバックアップ作成処理のフローチャートである。
【図２７】 図２５のステップＳ２０６において実行される他の装置でのバックアップ作成処理のフローチャートである。
【図２８】 図２７に示す他の装置でのバックアップ作成処理が実行された場合に、他の装置で行われる転送受け入れ処理（バックアップ作成モード）を示すフローチャートである。
【図２９】 本発明の実施の形態に係るファイル移動処理を示すフローチャートである。
【図３０】 図２９のステップＳ２６０において実行される他の装置へのファイル移動処理を示すフローチャートである。
【図３１】 図３０に示す他の装置へのファイル移動処理が実行された場合に、他の装置で行われる転送受け入れ処理（移動モード）を示すフローチャートである。
【図３２】 本発明の実施の形態に係るファイル削除処理を示すフローチャートである。
【図３３】 本発明の実施の形態に係るファイル属性コード変更処理の説明図である。
【図３４】 本発明の実施の形態に係るファイル属性コード変更処理を示すフローチャートである。
【図３５】 図３４のステップＳ３１４において実行されるコード変更処理のフローチャートである。
【図３６】 本発明の実施の形態に係るファイル追記処理を示すフローチャートである。
【図３７】 本発明の実施の形態に係るファイル編集処理を示すフローチャートである。
【符号の説明】
１ 電子保存装置
２ 計算機（クライアント）
３ ＩＣカード
１１ プロセッサ
１２ 通信ポート
１３ 大容量記憶媒体
１４ プログラム格納媒体
１５ 内部記憶媒体
１６ ＩＣカードリーダ／ライタ
１７ タイマ
２１ データ
２２ ファイル属性コード
２３，２７ ハッシュ値
２４，２８，３３ メッセージ認証子
２５ 保存ファイル
２６ ファイル属性情報
２９ ファイル属性情報ファイル
３１ 保存ファイルリストファイル
３２ 保存ファイルリスト
３４ リストハッシュ値
４１ 装置暗号鍵
４２ 装置復号鍵
４３ タイマ設定履歴ファイル
４４ アカウント管理ファイル
【発明の属する技術分野】
本発明は、原本性保証電子保存方法に関し、より詳細には、紙の原本が有する性質を電子情報に持たせ、電子情報の証明力を高めることが可能な原本性保証電子保存装置、原本性保証電子保存方法およびその方法をコンピュータに実行させるためのプログラムを記録したコンピュータ読み取り可能な記録媒体に関する。
【０００２】
【従来の技術】
情報の電子化の時代における情報管理の考え方として、セキュリティ（Security）とトラスティ（Trusty）というものがある。セキュリティとは、外部からのアタックにより電子情報が破壊されたり、盗まれてしまうことから防衛することである。一方、トラスティとは、電子情報が紙情報に比べて簡単に改ざんすることが可能である点に鑑み、電子情報の改ざんを防止することによって電子情報の証拠能力を確保することである。
【０００３】
上記トラスティには、第１の目的として、企業等の組織活動または個人活動が他より早く行われていたことを証明するという目的がある（優先権の主張）。ここで、第１の目的を達成するには、電子情報とその付随情報（作成時期等）が改ざん不可能となっているか、または改ざんされても改ざんの事実を確実に検知できるようになっていることが必要である。現在、この目的に対する実用的な解としては、ＴＴＰ（Trusted Third Party；第三者認証機関）があり、その代表的なものとしては、米国のＳｕｒｅｔｙ者が提供している認証サービスがある。
【０００４】
また、トラスティには、第２の目的として、企業等の組織活動または個人活動として不正が行われていないことを証明するという目的がある。ここで、第２の目的を達成するには、電子情報とその付随情報（作成時期等）が改ざん不可能となっているか、または改ざんされても改ざんの事実を確実に検知できるようになっていることに加えて、電子情報ファイルが削除不可能または削除されたことが検知可能であることが必要である。この第２の目的は、環境や製造物責任等に対する企業の経営情報管理，官公庁等の情報公開等により今後ますます高くなってくると考えられている。この第２の目的を実現するためには、追記，修正等のバージョンアップや不正なファイル削除を防止するための機能が必要で、例えばローカルネットワークにおいて、ファイル管理システムと一体化または連携した認証機能を有するシステムを用意することが好ましい。
【０００５】
【発明が解決しようとする課題】
ところで、現在は紙文書として保存することが法律で義務付けられている情報が多々存在しており、これが情報の電子化を阻害する要因となっているが、情報に原本性保証機能（真性性，保存性，見読性，原本の唯一性）を付与することにより、電子化が認められることになった（参照：総務庁通達等）。したがって、電子情報においても、紙ベースで構築されてきた法律体系に応じて原本と謄本とを区別できるようにすると共に、改ざんを容易に行えないようにし、電子情報の証明力を高めることが可能な技術の開発が望まれている。
【０００６】
また、原本性保証の対象となる情報は、前述した第２の目的に属する情報が大半であることから、ファイル管理システムと同じローカルエリアネットワーク上に存在する原本性保証サーバ、即ち、ユーザサイトに設置することが可能な原本性保証機能を有する認証サーバの実現が望まれている。これにより、例えば諸官庁の情報を扱うのに十分なトラスティとセキュリティを有した原本性保証サーバの実現が可能となる。
【０００７】
本発明は上記に鑑みてなされたものであって、紙の原本が有する性質を電子情報に持たせ、電子情報の証明力を高めることを可能にすることを目的とする。
【０００８】
また、本発明は上記に鑑みてなされたものであって、ユーザサイトに設置可能な原本性保証機能を有する認証サーバを実現可能にすることを目的とする。
【０００９】
【課題を解決するための手段】
上記目的を達成するため、請求項１の原本性保証電子保存装置は、記憶媒体に対するデータ保存機能を有する原本性保証電子保存装置であって、暗号鍵を記憶する内部記憶部と、前記記憶媒体の保存対象となる電子データと、当該電子データが原本であるか否かを示すファイル属性コードと、を受け取る受取手段と、前記受取手段により受け取られた電子データから、当該電子データの改竄の検出を可能とする改竄検知情報を生成する検知情報生成手段と、前記検知情報生成手段により生成された前記改竄検知情報を、前記内部記憶部に記憶される前記暗号鍵で暗号化処理を施す暗号化手段と、前記暗号化手段により暗号化処理が施された前記改竄検知情報を、前記電子データと共に前記記憶媒体に保存する保存手段と、前記記憶媒体に保存される電子データの識別情報と前記ファイル属性コードとを対応付け且つ前記記憶媒体に格納された保存リストに対して、前記受取手段により受け取られた前記電子データを識別する識別情報と前記受取手段により受け取られた前記ファイル属性コードと対応付けて追加する追加手段と、前記追加手段により前記識別情報が追加された前記保存リストから、当該保存リストの改竄の検出を可能とするリスト改竄検知情報を生成するリスト検知情報生成手段と、前記リスト改竄検知情報を、前記内部記憶部に記憶される前記暗号鍵で暗号化処理を施すリスト情報暗号化手段と、前記リスト情報暗号化手段により暗号化処理を施された前記リスト改竄検知情報を、前記記憶媒体に保存するリスト保存手段と、を備えることを特徴とする。
【００１０】
また、請求項２の原本性保証電子保存装置は、請求項１に記載の原本性保証電子保存装置において、前記ファイル属性コードを含むファイル属性情報を生成する属性情報生成手段と、前記属性情報生成手段で生成されたファイル属性情報の改竄の検出を可能とする属 性改竄検知情報を生成する第２の属性情報生成手段と、前記第２の属性情報生成手段により生成された前記属性改竄検知情報を、前記内部記憶部に記憶される前記暗号鍵で暗号化処理を施す属性情報暗号化手段と、前記暗号化処理を施された前記属性改竄検知情報と、前記ファイル属性情報とを前記記憶媒体に保存する属性保存手段と、を備えることを特徴とする。
【００１１】
また、請求項３の原本性保証電子保存装置は、請求項２に記載の原本性保証電子保存装置において、前記内部記憶部は、さらに前記暗号鍵で暗号化処理を施された情報に対して復号化処理を施す復号鍵を記憶すること、を特徴とする。
【００１２】
また、請求項４の原本性保証電子保存装置は、請求項３に記載の原本性保証電子保存装置において、前記記憶媒体がマウントされる時に、前記復号鍵を用いて前記リスト改竄検知情報の復号処理を施す復号化手段と、前記復号処理が施された前記リスト改竄検知情報に基づいて、前記保存リストの改竄の検知を行う改竄検知手段と、前記改竄検知手段により前記保存リストの改竄が検出されなかった場合に、前記記憶媒体に対してマウント処理を行うマウント処理手段と、をさらに備えることを特徴とする。
【００１３】
また、請求項５の原本性保証電子保存装置は、請求項３に記載の原本性保証電子保存装置において、前記記憶媒体に記憶された電子データへのアクセスを受け付けた際、当該電子データに対応するファイル属性情報が、前記記憶媒体に記憶されているか否か判断する判断手段と、前記ファイル属性情報が記憶されていると判断した場合、前記ファイル属性情報に対応する前記属性改竄検知情報に対して復号化処理を施す復号化手段と、前記復号処理が施された前記属性改竄検知情報に基づいて、前記ファイル属性情報の改竄の検知を行う改竄検知手段と、前記改竄検知手段により前記ファイル属性情報の改竄が検出されなかった場合に、前記ファイル属性情報と、前記ファイル属性情報を示す前記電子データとを他の装置に出力する出力手段と、をさらに備えることを特徴とする。
【００１４】
また、請求項６の原本性保証電子保存装置は、請求項３に記載の原本性保証電子保存装置において、前記記憶媒体に記憶された前記電子データの前記改竄検知情報に対して復号化処理を施す復号化手段と、前記復号化処理が施された前記改竄検知情報に基づいて、前記電子データの改竄の検知を行う改竄検知手段と、前記改竄検知手段により前記電子データの改竄が検出されなかった場合に、前記電子データを用いた処理を行うデータ処理手段と、をさらに備えることを特徴とする。
【００１５】
また、請求項７の原本性保証電子保存方法は、 原本性保証電子保存装置が電子データのアクセス制御のレベルを制御する原本性保証電子保存方法であって、前記装置の受取手段が、電子データと、当該電子データが原本であるか否かを示すファイル属性コードと、を取得する取得ステップと、前記装置の検知情報生成手段が、前記取得ステップにより取得した電子データから、当該電子データの改竄の検出を可能とする改竄検知情報を生成する検知情報生成ステップと、前記装置の暗号化手段が、前記検知情報生成ステップにより生成された前記改竄検知情報を、内部記憶部に記憶される前記暗号鍵で暗号化処理を施す暗号化ステップと、前記装置の保存手段が、前記暗号化ステップにより暗号化処理が施された前記改竄検知情報を、前記電子データと共に記憶媒体に保存する保存ステップと、前記装置の追加手段が、前記記憶媒体に保存される電子データの識別情報と前記ファイル属性コードとを対応付け且つ前記記憶媒体に格納された保存リストに対して、前記受取手段により受け取られた前記電子データを識別する識別情報と前記受取手段により受け取られた前記ファイル属性コードと対応付けて追加する追加ステップと、前記装置のリスト検知情報生成手段が、前記追加ステップにより前記識別情報が追加された前記保存リストから、当該保存リストの改竄の検出を可能とするリスト改竄検知情報を生成するリスト検知情報生成ステップと、前記装置のリスト情報暗号化手段が、前記リスト改竄検知情報を、前記内部記憶部に記憶される前記暗号鍵で暗号化処理を施すリスト情報暗号化ステップと、前記装置のリスト保存手段が、前記リスト情報暗号化ステップにより暗号化処理を施された前記リスト改竄検知情報を、前記記憶媒体に保存するリスト保存ステップと、を有することを特徴とする。
【００１６】
また、請求項８の原本性保証電子保存方法は、請求項７に記載の前記受取ステップは、当該電子データがオリジナルであるか否かを示すファイル属性コードを、前記電子データと共に受け取り、前記装置の属性情報生成手段が、前記ファイル属性コードを含むファイル属性情報を生成する属性情報生成ステップと、前記装置の第２の属性情報生成手段が、前記属性情報生成ステップで生成されたファイル属性情報の改竄の検出を可能とする属性改竄検知情報を生成する第２の属性情報生成ステップと、前記装置の属性情報暗号化手段が、前記第２の属性情報生成ステップにより生成された前記属性改竄検知情報を、前記内部記憶部に記憶される前記暗号鍵で暗号化処理を施す属性情報暗号化ステップと、前記装置の属性保存手段が、前記暗号化処理を施された前記属性改竄検知情報と、前記ファイル属性情報とを前記記憶媒体に保存する属性保存ステップと、を有することを特徴とする。
【００１７】
また、請求項９の原本性保証電子保存方法は、請求項８に記載の前記装置の復号化手段が、前記記憶媒体がマウントされる時に、前記内部記憶部が記憶する復号鍵を用いて前記リスト改竄検知情報の復号処理を施す復号化ステップと、前記装置の改竄検知手段が、前記復号処理が施された前記リスト改竄検知情報に基づいて、前記保存リストの改竄の検知を行う改竄検知ステップと、前記装置のマウント処理手段が、前記改竄検知ステップにより前記保存リストの改竄が検出されなかった場合に、前記記憶媒体に対してマウント処理を行うマウント処理手段と、をさらに有することを特徴とする。
【００１８】
また、請求項１０の原本性保証電子保存方法は、請求項８に記載の前記装置の判断手段が、前記記憶媒体に記憶された電子データへのアクセスを受け付けた際、当該電子データに対応するファイル属性情報が、前記記憶媒体に記憶されているか否か判断する判断ステップと、前記装置の復号化手段が、前記ファイル属性情報が記憶されていると判断した場合、前記ファイル属性情報に対応する前記属性改竄検知情報に対して復号化処理を施す復号化ステップと、前記装置の改竄検知手段が、前記復号処理が施された前記属性改竄検知情報に基づいて、前記ファイル属性情報の改竄の検知を行う改竄検知ステップと、前記装置の出力手段が、前記改竄検知ステップにより前記ファイル属性情報の改竄が検出されなかった場合に、前記ファイル属性情報と、前記ファイル属性情報を示す前記電子データとを他の装置に出力する出力ステップと、をさらに有することを特徴とする。
【００１９】
また、請求項１１の原本性保証電子保存方法は、請求項８に記載の前記装置の復号化手段が、前記記憶媒体に記憶された前記電子データの前記改竄検知情報に対して復号化処理を施す復号化ステップと、前記装置の改竄検知手段が、前記復号化処理が施された前記改竄検知情報に基づいて、前記電子データの改竄の検知を行う改竄検知ステップと、前記装置のデータ処理手段が、前記改竄検知ステップにより前記電子データの改竄が検出されなかった場合に、前記電子データを用いた処理を行うデータ処理ステップと、をさらに備えることを特徴とする。
【００２０】
また、請求項１２のコンピュータ読み取り可能な記録媒体は、請求項７乃至１１のいずれか一つに記載された原本性保証電子保存方法をコンピュータに実行させるプログラムを記録したことを特徴とする。
【００２１】
【発明の実施の形態】
以下、本発明に係る原本性保証電子保存装置、原本性保証電子保存方法およびその方法をコンピュータに実行させるためのプログラムを記録したコンピュータ読み取り可能な記録媒体の一実施の形態について、添付の図面を参照しつつ詳細に説明する。
【００２２】
図１は、本実施の形態に係る原本性保証電子保存装置を備える電子保存装置のブロック構成図である。ユーザは、ホスト計算機２側からネットワーク（単なる通信路で良い）を介して電子保存装置１に対して電子データの保存処理や読み出し処理を実行することができる。
【００２３】
図１に示す電子保存装置１において、１１はプロセッサを、１２はネットワークを介して計算機２と通信を行うための通信ポートを、１３は電子データを保存するハードディスクやＣＤ−Ｒ等の大容量記憶媒体を、１４は主制御プログラム，ハッシュプログラム，鍵生成プログラム，暗号化プログラム，復号プログラム等の原本性保証電子保存方法を実現するためのプログラムが格納されたＥＥＰＲＯＭ，ＲＯＭ等で構成されたプログラム格納媒体を、１５は装置暗号鍵，装置復号鍵，タイマ設定履歴ファイル，アカウント管理ファイル等が記憶されるＥＥＰＲＯＭ等で構成された内部記憶媒体を、１６はアカウント名，ユーザ側内部認証鍵，ユーザ側外部認証鍵等が記憶されたＩＣカード３が挿入されるＩＣカードリーダ／ライタを、１７はタイマをそれぞれ示している。
【００２４】
図１に示す大容量記憶媒体１３としては、光磁気ディスクやＣＤ−Ｒのように電子保存装置１から取り外し可能なものであっても良いが、その他のブロックは電子保存装置１として物理的に一体化されており、通信ポート１２を介する以外に外部からアクセスできないように構成されている。すなわち、図１に示す電子保存装置１は、各ブロックに対して直接アクセスする方法のない耐タンパー性を持った装置である。
【００２５】
耐タンパー性を確保するレベルとしては、電子保存装置１の筐体を開けることができないようにシールを貼る程度のものから、筐体を開けられてしまった場合には装置が動作しなくなるようなものまで考えられるが、耐タンパー性を持たせることが可能であればどのようなものであっても良い。
【００２６】
図１に示す電子保存装置１は、ユーザから保存要求のあったデータを大容量記憶媒体１３に記録するものである。その際、後にデータの改ざんを検出できるようにするため、保存するデータに対して電子保存装置１自身の暗号鍵によりメッセージ認証子を付加する。また、電子保存装置１は、大容量記憶媒体１３に記録されているファイルのリストを作成し、それを大容量記憶媒体１３に記録する処理を行う。このリストに対しても、同様にメッセージ認証子を付加する。
【００２７】
また、大容量記録媒体１３の不正なすり替えを検出するために、大容量記憶媒体１３に記録されている保存ファイルリストと、それに付加されたメッセージ認証子を検出することで媒体の認証を行う。また、ファイルの作成日などに不正ができないよう、電子保存装置１に内蔵されているタイマ１７から現在時刻を取得し、ファイルの属性情報として管理する。
【００２８】
さらに、電子保存装置１内部で、オリジナルとコピーとを区別することができるように、各ファイルには「仮原本」，「原本」，「謄本」といった属性を付与して管理する。属性の付与されていないファイルは「一般」ファイルと呼ぶことにする。「原本」の属性が付与されて管理されているファイルに対し、外部から複製の作成を要求すると、複製されたファイルには「謄本」という属性が付与される。この属性コードは、他のファイル属性情報と共に、データファイルと関連付けられたファイル属性情報ファイルとして大容量記憶媒体１３に記録され、データファイルと同様、メッセージ認証子を付加して外部から変更することができないように管理される。大容量記憶媒体１３を取り外して外部でその属性が改ざんされたような場合には、そのファイル属性情報ファイルに付与したメッセージ認証子を検証した際にその改ざんを検出することができる。
【００２９】
つぎに、前述した構成を有する電子保存装置１を用いて実行される原本性保証電子保存方法について、
（１）ユーザ登録処理
（２）保存装置へのログイン処理
（３）電子データ保存処理
（４）大容量記憶媒体マウント処理
（５）ファイル読み出し処理
（６）謄本作成処理
（７）バックアップ作成処理
（８）ファイル移動処理
（９）ファイル削除処理
（１０）ファイル属性コード変更処理
（１１）ファイル追記処理
（１２）ファイル編集処理
の順で具体的に説明する。
【００３０】
（１）ユーザ登録処理
ここでは、ユーザが電子保存装置１を利用する際に、電子保存装置１とユーザとの間で相互認証を行う必要があるものとする。そのため、電子保存装置１に対して予めユーザ登録を行っておく必要がある。ここで、電子保存装置１には、予めシステム管理者用のＩＣカードが付属しているものとする。クライアント（計算機２）に接続されたＩＣカードリーダにシステム管理者用のＩＣカードを挿入してアカウント登録用のプログラムを起動し、ユーザ登録を行う。
【００３１】
図２は、ユーザ登録処理を示すフローチャートであり、図２（ａ）はクライアント側で実行されるユーザ登録処理を、図２（ｂ）は電子保存装置１側で実行されるユーザ登録処理をそれぞれ示している。以下では、図２（ａ）および図２（ｂ）の両方を用いてユーザ登録処理を説明する。
【００３２】
まず、図２（ａ）に示すように、システム管理者用ＩＣカードをクライアントのカードリーダに挿入し（Ｓ１１）、パスワードを入力する（Ｓ１２）。そして、ＩＣカードでパスワード照合が行われ（Ｓ１３）、正しいパスワードでない、即ち不正なパスワードの場合（Ｓ１４；Ｎｏ）、エラーとしてユーザ登録処理が終了となる。
【００３３】
一方、正しいパスワードの場合（Ｓ１４；Ｙｅｓ）、図２（ａ）および図２（ｂ）に示すように、電子保存装置１およびＩＣカードとの間で相互認証処理が実行される（Ｓ１５，Ｓ２１）。そして、電子保存装置１およびＩＣカードとの間で実行された相互認証処理が成功しなかった場合（Ｓ１６，Ｓ２２；Ｎｏ）、エラーとしてユーザ登録処理が終了となる。
【００３４】
また、電子保存装置１およびＩＣカードとの間で実行された相互認証処理が成功した場合（Ｓ１６，Ｓ２２；Ｙｅｓ）、クライアントから電子保存装置１に対してユーザ登録が要求される（Ｓ１７）。電子保存装置１は、クライアントからのユーザ登録の要求がシステム管理者からの要求か否かを判定し（Ｓ２３）、システム管理者からの要求ではないと判定した場合（Ｓ２３；Ｎｏ）、エラーとしてユーザ登録処理が終了となる。一方、システム管理者からの要求であると判定した場合（Ｓ２３；Ｙｅｓ）、電子保存装置１は、ユーザ登録要求からアカウント名を取得する（Ｓ２４）。ここで、新しいＩＣカードを電子保存装置１のＩＣカードリーダ／ライタ１６に挿入する（Ｓ２５）。
【００３５】
電子保存装置１は、続いて、保存装置側外部認証鍵，ユーザ側内部認証鍵を生成すると共に（Ｓ２６）、ユーザ側外部認証鍵，保存装置側内部認証鍵を生成する（Ｓ２７）。つぎに、電子保存装置１は、四つの認証鍵，アカウント名等をまとめてユーザ情報とし、ユーザ情報をアカウント管理ファイルに登録する（Ｓ２８）。なお、アカウント管理ファイルは、図１に示した内部記憶媒体１５に記録されるものであって、例えば図３に示すような内容のものである。また、図３中に示す認証鍵情報および日時情報の内容がそれぞれ図４および図５に示されている。なお、図５に示す日時情報は、アカウント管理ファイルだけでなく、後述する各種ファイルにも含まれるものである。
【００３６】
ここで、認証に使用される暗号アルゴリズムが秘密鍵暗号方式の場合には、保存装置側外部認証鍵とユーザ側内部認証鍵が同じ鍵となり、ユーザ側外部認証鍵と保存装置側内部認証鍵が同じ鍵となる。その一方、暗号アルゴリズムに公開鍵暗号方式を利用する場合には、保存装置側外部認証鍵とユーザ側内部認証鍵が対応するパブリックキーとプライベートキーとになり、ユーザ側外部認証鍵と保存装置側内部認証鍵が対応するパブリックキーとプライベートキーとになる。すなわち、外部認証鍵はパブリックキーに、内部認証鍵はプライベートキーになる。
【００３７】
図２のフローチャートの説明に戻り、電子保存装置１は、ユーザ側内部認証鍵，ユーザ側外部認証鍵およびアカウント名をＩＣカードに設定し（Ｓ２９）、その後、ＩＣカードをＩＣカードリーダ／ライタ１６から排出し（Ｓ３０）、ユーザ登録処理を終了する。一方、図２（ａ）に示すように、クライアント側においては、ステップＳ１７で要求したユーザ登録要求が成功したか否かを判定し（Ｓ１８）、要求が成功しなかった場合（Ｓ１８；Ｎｏ）にはエラーとしてユーザ登録処理を終了し、要求が成功した場合（Ｓ１８；Ｙｅｓ）には正常にユーザ登録処理を終了する。
【００３８】
なお、新しいＩＣカードには予めユーザパスワードが初期値として設定されている。初期値のパスワードを照合すると任意のパスワードに変更することが可能である。パスワード変更は、電子保存装置１とは関係なく、クライアント側で行うことができる。
【００３９】
（２）電子保存装置へのログイン処理
電子保存装置１にファイルを保存したり、電子保存装置１からファイルを読み出す前に、ユーザは電子保存装置１にログインしなければならない。ログイン処理においては、ユーザ登録の際に発行されたＩＣカードを利用し、電子保存装置１との間で相互認証が行われる。ここでは、相互認証の方法として、公知の技術を採用することにする。
【００４０】
図６は、電子保存装置１へのログイン処理を示すフローチャートであり、図６（ａ）はクライアント側で実行されるログイン処理であり、図６（ｂ）は電子保存装置１側で実行されるログイン処理である。図６（ａ）において、ログインユーザ用ＩＣカードをクライアントのカードリーダに挿入し（Ｓ３１）、パスワードを入力する（Ｓ３２）。
【００４１】
ＩＣカードでパスワード照合が行われ（Ｓ３３）、正しいパスワードであるか否か、換言すれば、パスワードが不正でないか否かが判定される（Ｓ３４）。パスワードが不正であると判定された場合（Ｓ３４；Ｎｏ）、ログイン処理がエラーにより終了する。一方、パスワードは不正ではないと判定された場合（Ｓ３４；Ｙｅｓ）、図６（ａ）および図６（ｂ）にそれぞれ示すように、電子保存装置１およびＩＣカードとの間で相互認証処理が実行される（Ｓ３５，Ｓ４１）。なお、相互認証処理については後にフローチャートを用いて説明する。
【００４２】
そして、相互認証処理に失敗した場合（Ｓ３６，Ｓ４２；Ｎｏ）、ログイン処理がエラーにより終了する。一方、相互認証処理に成功した場合（Ｓ３６，Ｓ４２；Ｙｅｓ）、電子保存装置１は乱数を生成し、生成した乱数をクライアントに送信し（Ｓ４３）、クライアントは電子保存装置１から送信された乱数を受信する（Ｓ３７）。
【００４３】
クライアントは、受信した乱数をＩＣカードに渡し、ユーザ側内部認証鍵で暗号化し（Ｓ３８）、暗号化乱数を電子保存装置１とのセッション鍵とする（Ｓ３９）。一方、電子保存装置１は、乱数をユーザ側内部認証鍵で暗号化し（Ｓ４４）、暗号化乱数をクライアントとのセッション鍵とする（Ｓ４５）。
【００４４】
その後、クライアントは、暗号処理、メッセージ認証処理モードを送信し（Ｓ４０）、電子保存装置１は、暗号処理、メッセージ認証処理モードを受信し（Ｓ４６）、ログイン処理を正常に終了する。
【００４５】
なお、クライアント側および電子保存装置１側のいずれとも、送信するデータにはセッション鍵を用いて生成したメッセージ認証子を付加し、また、受信したデータは同じくセッション鍵を用いてメッセージ認証子の検証処理を行う。また、クライアントから暗号処理モードを設定することが可能であり、暗号処理を行うように指定した場合には、クライアント側，電子保存装置１側とも、送信するデータをセッション鍵で暗号化し、また、受信したデータは同じくセッション鍵で復号する。
【００４６】
図７は、図６（ａ）のステップＳ３５および図６（ｂ）のステップＳ４１において実行される相互認証処理のフローチャートであり、図７（ａ）はクライアント側で実行される相互認証処理を、図７（ｂ）は電子保存装置１側で実行される相互認証処理をそれぞれ示している。
【００４７】
クライアントは、ＩＣカードからアカウント名を読み出し（Ｓ５１）、読み出したアカウント名を電子保存装置１に送信する（Ｓ５２）。電子保存装置１は、アカウント名を受信し（Ｓ６１）、アカウント管理ファイルを読み出す（Ｓ６２）。そして、電子保存装置１は、読み出したアカウント管理ファイルのアカウント管理データから該当するアカウント情報を取得する処理を行う（Ｓ６３）。ここで、該当するアカウント情報がアカウント管理データ中に存在しない場合（Ｓ６４；Ｎｏ）、相互認証処理はエラーにより終了する。
【００４８】
一方、該当するアカウント情報がアカウント管理データ中に存在する場合（Ｓ６４；Ｙｅｓ）、電子保存装置１は乱数１を生成し（Ｓ６５）、生成した乱数１をクライアントに送信する（Ｓ６６）。
【００４９】
クライアントは、乱数１を受信し（Ｓ５３）、受信した乱数１をＩＣカードに渡し、ユーザ側内部認証鍵で暗号化した認証コード１を取得する（Ｓ５４）。続いて、クライアントは、ＩＣカードで乱数２を生成し（Ｓ５５）、認証コード１と乱数２とを電子保存装置１に送信する（Ｓ５６）。
【００５０】
電子保存装置１は、認証コード１と乱数２とを受信し（Ｓ６７）、保存装置側外部認証鍵で認証コード１を復号する（Ｓ６８）。そして、電子保存装置１は、復号した認証コードと乱数１とが一致するか否かを判定する（Ｓ６９）、ステップＳ６９において、一致しないと判定された場合（Ｓ６９；Ｎｏ）、相互認証処理がエラーにより終了する。一方、一致すると判定された場合（Ｓ６９；Ｙｅｓ）、ステップＳ７０において、電子保存装置１が乱数２を保存装置側内部認証鍵で暗号化して認証コード２を生成し（Ｓ７０）、認証コード２をクライアントに送信する（Ｓ７１）。
【００５１】
クライアントは、認証コード２を受信し（Ｓ５７）、認証コード２をＩＣカードに渡し、ユーザ側外部認証鍵により外部認証を行う（Ｓ５８）。そして、外部認証が成功しなかった場合（Ｓ５９；Ｎｏ）、相互認証処理がエラーで終了し、外部認証が成功した場合（Ｓ５９；Ｙｅｓ）、相互認証処理が正常に終了し、図６のフローチャートの処理に戻ることになる。
【００５２】
（３）電子データ保存処理
つぎに、電子データを電子保存装置１に保存する際の処理手順について説明する。図８は、電子データを電子保存装置１に保存する処理を示すフローチャートであり、図９は、原本データの保存処理の説明図である。以下では、図８のフローチャートに示す電子データ保存処理について、図９を参照しつつ具体的に説明する。
【００５３】
電子保存装置１のプロセッサ１１は、通信ポート１２を介して計算機２から電子データの保存要求を受けた場合、大容量記憶媒体１３がマウントされているか否かを判定する（Ｓ８１）。ここで、大容量記憶媒体１３がマウントされていないと判定した場合（Ｓ８１；Ｎｏ）、プロセッサ１１は、エラーにより電子データ保存処理を終了する。
【００５４】
一方、大容量記憶媒体１３がマウントされていると判定した場合（Ｓ８１；Ｙｅｓ）、通信ポート１２を介してユーザ側（計算機２）から、図９に示すデータ２１およびファイル属性コード２２を受け取る（Ｓ８２）。
【００５５】
そして、プロセッサ１１は、受け取ったファイル属性コード２２が「原本」，「仮原本」または「一般」であるか否かを判定する（Ｓ８３）。ここで、ファイル属性コード２２が「原本」，「仮原本」または「一般」でないと判定した場合（Ｓ８３；Ｎｏ）、プロセッサ１１は、エラーにより電子データ保存処理を終了する。
【００５６】
一方、ファイル属性コード２２が「原本」，「仮原本」または「一般」であると判定した場合（Ｓ８３；Ｙｅｓ）、プロセッサ１１は、ファイル属性コードが「一般」か否かを判定する（Ｓ８４）。ファイル属性コードが「一般」であると判定した場合（Ｓ８４；Ｙｅｓ）、プロセッサ１１は、受け取ったデータ２１を大容量記憶媒体１３にファイルとして保存し（Ｓ９２）、電子データ保存処理を正常に終了する。
【００５７】
また、ファイル属性コードが「一般」ではないと判定した場合（Ｓ８４；Ｎｏ）、プロセッサ１１は、タイマ１７から現在時刻を取得すると共に、内部記憶媒体１５から装置暗号鍵４１，装置復号鍵４２，最新タイマＩＤを取得し（Ｓ８５）、改ざん検知保存処理を実行してデータを大容量記憶媒体１３に保存する（Ｓ８６）。
【００５８】
図１０は、ステップＳ８６の改ざん検知保存処理を示すフローチャートである。プロセッサ１１は、保存するデータ２１に対してハッシュ値を計算してハッシュ値２３を求め（Ｓ１０１）、ハッシュ値２３を装置暗号鍵４１で暗号化してメッセージ認証子（ＭＡＣ）２４を生成する（Ｓ１０２）。その後、メッセージ認証子２４と共にデータ２１を保存ファイル２５として大容量記憶媒体１３に保存する（Ｓ１０３）。
【００５９】
図８のフローチャートに戻り、プロセッサ１１は、ファイル属性コード２２に対して現在時刻，ユーザアカウント名，ファイルアクセス履歴等を加えたファイル属性情報２６を生成し（Ｓ８７）、図１０に示したような改ざん検知保存処理を実行して、ファイル属性情報２６を大容量記憶媒体１３に保存する（Ｓ８８）。
【００６０】
このステップＳ８８において実行される改ざん検知保存処理を図９および図１０を参照して説明する。プロセッサ１１は、図８のステップＳ８７で生成したファイル属性情報２６に対してハッシュ値を計算してハッシュ値２７を求め（Ｓ１０１）、ハッシュ値２７を装置暗号鍵４１で暗号化してメッセージ認証子（ＭＡＣ）２８を生成する（Ｓ１０２）。その後、メッセージ認証子２８と共にファイル属性情報２６をファイル属性情報ファイル２９として大容量記憶媒体１３に保存する（Ｓ１０３）。
【００６１】
再び図８のフローチャートの説明に戻り、プロセッサ１１は、改ざん検知読み出し処理を実行して、大容量記憶媒体１３から保存ファイルリストファイル３１を読み出す（Ｓ８９）。
【００６２】
図１１は、図８のステップＳ８９において実行される改ざん検知読み出し処理を示すフローチャートである。プロセッサ１１は、大容量記憶媒体１３に記録されている保存ファイルリストファイル３１（対象ファイル）を読み出し（Ｓ１１１）、保存ファイルリストファイル３１に記録されている保存ファイルリスト３２（データ）とメッセージ認証子（リストＭＡＣ）３１とを分離する（Ｓ１１２）。プロセッサ１１は、ステップＳ１１２で分離した保存ファイルリスト３２に対してハッシュ値を計算する（Ｓ１１３）。
【００６３】
続いて、プロセッサ１１は、内部記憶媒体１５から装置復号鍵４２を取得し（Ｓ１１４）、取得した装置復号鍵４２でメッセージ認証子３３を復号して検証用ハッシュ値を求める（Ｓ１１５）。プロセッサ１１は、その後、ステップＳ１１３で求めたハッシュ値とステップＳ１１５で求めた検証用ハッシュ値とが一致するか否かを判定する（Ｓ１１６）。
【００６４】
ステップＳ１１６において、二つのハッシュ値が一致しないと判定した場合（Ｓ１１６；Ｎｏ）、図８には詳細に示されていないが、プロセッサ１１はエラーとして改ざん検知読み出し処理および電子データ保存処理を終了する。一方、二つのハッシュ値が一致すると判定した場合（Ｓ１１６；Ｙｅｓ）、プロセッサ１１は、保存ファイルリスト３２を読み出しデータとし（Ｓ１１７）、図８のステップＳ９０に進む。
【００６５】
再び図８のフローチャートの説明に戻り、プロセッサ１１は、読み出した保存ファイルリスト３２に保存ファイル２５のエントリを追加する（Ｓ９０）。そして、プロセッサ１１は、改ざん検知保存処理を実行して、保存ファイルリスト３２を大容量記憶媒体１３に記録し（Ｓ９１）、電子データ保存処理を終了する。
【００６６】
なお、ステップＳ９１において実行される改ざん検知保存処理を図９および図１０を参照して説明する。プロセッサ１１は、Ｓ９０で保存ファイル２５のエントリが追加された保存ファイルリスト３２に対してハッシュ値を計算してリストハッシュ値３４を求め（Ｓ１０１）、リストハッシュ値３４を装置暗号鍵４１で暗号化してメッセージ認証子（リストＭＡＣ）３３を生成する（Ｓ１０２）。その後、メッセージ認証子３３と共に保存ファイルリスト３２を保存ファイルリストファイル３１として大容量記憶媒体１３に保存する（Ｓ１０３）。
【００６７】
なお、図９に示した各種情報の内容について簡単に示すことにする。図１２は保存ファイル２５の内容を示す説明図であり、図１３はファイル属性情報ファイル２９の内容を示す説明図であり、図１４は保存ファイルリストファイル３１の内容を示す説明図であり、図１５はタイマ設定履歴ファイル４３の内容を示す説明図である。また、図９の内部記憶媒体１５に示すアカウント管理ファイル４４は図３に示したものに該当する。
【００６８】
また、ここで、電子保存装置１における日時の管理について説明する。図１３に示したファイル属性情報ファイル２９中のファイルアクセス履歴等に記録する日時は、電子保存装置１内部のタイマ１７から取得するものであるが、ここではタイマ１７の設定を変更することができるようになっているものとする。そのため、タイマ１７を不正に変更することによりファイルアクセス日時を偽ることを防止するため、タイマ１７の設定を変更した履歴を記録するようにしている。タイマ１７の設定を変更すると、概念的には図１６に示すような履歴が内部記憶媒体１５のタイマ設定履歴ファイル４３に記録される。
【００６９】
タイマＩＤは、電子保存装置１内部で自動的に振られるシーケンシャルな番号であり、タイマ１７の設定を変更するたびに番号が増えていく。なお、ファイルアクセス履歴に含まれる日時情報には図５に示したようにタイマＩＤが含まれている。
【００７０】
図１６に示すようなタイマ設定履歴により、タイマＩＤ＝３において不正に１ヶ月日付をずらし、その後タイマＩＤ＝４で日付を戻していることがわかるため、ファイルアクセス履歴の日時にタイマＩＤ＝３の履歴がついているファイルは不正に日時を偽ろうとした可能性があることがわかる。タイマ設定履歴は内部記憶媒体１５（タイマ設定履歴ファイル４３）に記録されるが、ファイルアクセス履歴は各ファイルと共に大容量記憶媒体１３に記録される。
【００７１】
後述するように、ある電子保存装置から他の電子保存装置に対してファイルを移動したり、コピーしたりすることが可能であるが、このような場合にもファイルアクセス履歴の日時に不整合が生じないよう、概念的には図１７に示すようなファイルアクセス履歴を各ファイルに対して記録する。すなわち、図１３に示したように、ファイルアクセス履歴はファイル属性情報ファイル２９に記録される。例えば、図１７において、移動先となる電子保存装置Ｒ０１０−０００１０５５の日時１９９９０２１７ １０：１３：４３ ＩＤ＝２が移動元の電子保存装置 Ｒ０１０−０００１０３２の日時１９９９０２１７ １０：１０：２１ ＩＤ＝３に相当することがわかるため、移動したファイルに不正が見つかった場合には、電子保存装置をまたいで履歴を辿ることができる。
【００７２】
（４）大容量記憶媒体マウント処理
大容量記憶媒体１３が電子保存装置１から取り外し可能な場合には、大容量記憶媒体１３を電子保存装置１に装着した際に、以下に説明する大容量記憶装置マウント処理を実行することにする。その際、媒体の正当性が検証される。
【００７３】
図１８は、大容量記憶媒体マウント処理のフローチャートである。電子保存装置１のプロセッサ１１は、大容量記憶媒体１３が電子保存装置１に装着されると、装着された大容量記憶媒体１３がフォーマット済みであるか否かを判定する（Ｓ１２１）。ステップＳ１２１においてフォーマット済みである場合（Ｓ１２１；Ｙｅｓ）はステップＳ１２３に進み、フォーマット済みでない場合（Ｓ１２１；Ｎｏ）は図１９に示す大容量記憶媒体のフォーマット処理が実行される（Ｓ１２２）。
【００７４】
すなわち、ステップＳ１２２においては、図１９に示すように、プロセッサ１１が大容量記憶媒体１３の初期化処理を実行し（Ｓ１３１）、乱数を生成する（Ｓ１３２）。プロセッサ１１は、生成した乱数を保存ファイルリスト３２の最初のエントリとして格納する（Ｓ１３３）。その後、プロセッサ１１は、図１０に示したように、保存ファイルリスト３２の改ざん検知保存処理を実行し（Ｓ１３４）、図１８のステップＳ１２３に進む。
【００７５】
プロセッサ１１は、図１１に示した処理に従って、保存ファイルリストファイル３１の改ざん検知読み出し処理を実行し（Ｓ１２３）、正常に読み出し処理を実行できた場合（Ｓ１２４；Ｙｅｓ）には大容量記憶媒体マウント処理を正常終了し、読み出し処理に失敗した場合（Ｓ１２４；Ｎｏ）には大容量記憶媒体マウント処理をエラーにより終了する。
【００７６】
（５）ファイル読み出し処理
ユーザ側からファイル読み出し要求を受けると、対象ファイルの正当性を検証し、データをユーザに対して送出する。
【００７７】
図２０は、ファイル読み出し処理のフローチャートである。電子保存装置１のプロセッサ１１は、ユーザ側からファイル読み出し要求を受けると、大容量記憶媒体１３がマウントされているか否かを判定する（Ｓ１４１）。ここで、大容量記憶媒体１３がマウントされていない場合（Ｓ１４１；Ｎｏ）、ファイル読み出し処理はエラーにより終了する。
【００７８】
一方、大容量記憶媒体１３がマウントされている場合（Ｓ１４１；Ｙｅｓ）、プロセッサ１１は、対象ファイル（保存ファイル２５）に関連付けられたファイル属性情報ファイル２９が存在するか否かを判定する（Ｓ１４２）。ファイル属性情報ファイル２９が存在しないと判定した場合（Ｓ１４２；Ｎｏ）、プロセッサ１１は、対象ファイルを読み出してユーザ側に送出する処理を実行し（Ｓ１４６）、ファイル読み出し処理を終了する。これに対し、ファイル属性情報ファイル２９が存在すると判定した場合（Ｓ１４２；Ｙｅｓ）、プロセッサ１１は、図１１に示した処理に従い、対象ファイルの改ざん検知読み出し処理を実行する（Ｓ１４３）。
【００７９】
続いて、プロセッサ１１は、改ざん検知読み出し処理で対象ファイルの読み出しに成功したか否かを判定する（Ｓ１４４）。ここで、読み出しに失敗した場合（Ｓ１４４；Ｎｏ）、プロセッサ１１は、ファイル読み出し処理をエラーにより終了する。一方、読み出しに成功した場合（Ｓ１４４；Ｙｅｓ）、プロセッサ１１は、読み出したデータをユーザ側に送出し（Ｓ１４５）、ファイル読み出し処理を正常に終了する。
【００８０】
（６）謄本作成処理
「原本」の属性を持つ保存ファイル２５に対し、外部から複製要求を受け取ると、対象ファイルとそれに関連付けられたファイル属性情報ファイル２９をコピーすると共に、新しいファイル属性情報には「謄本」のファイル属性コード２２を付与する。謄本ファイルの作成先が別の電子保存装置の場合には、別の電子保存装置にログインしてファイルを転送する。ログインの方法は、図６を用いて説明したような、ユーザが電子保存装置１にログインする方法と同様である。電子保存装置間でやり取りされるデータの保護についても、ユーザと電子保存装置１との間でやり取りするデータの保護の方法と同様である。データ保存処理と同様に、保存ファイルリスト３２の更新も行われる。なお、ファイル転送先の電子保存装置においては、転送受け入れ処理が行われることになる。
【００８１】
図２１は、謄本作成処理を示すフローチャートである。電子保存装置１のプロセッサ１１は、図１１に示した処理に従い、謄本を作成する対象となる対象ファイルのファイル属性情報ファイル２９の改ざん検知読み出し処理を実行する（Ｓ１５１）。ここで、改ざん検知読み出し処理に失敗した場合（Ｓ１５２；Ｎｏ）、謄本作成処理をエラーによって終了する。
【００８２】
一方、改ざん検知読み出し処理に成功した場合（Ｓ１５２；Ｙｅｓ）、プロセッサ１１は、読み出したファイル属性情報ファイル２９からファイル属性コード２２を取得する（Ｓ１５３）。プロセッサ１１は、取得したファイル属性コード２２が「原本」であるか否かを判定し（Ｓ１５４）、ファイル属性コードが「原本」でない場合（Ｓ１５４；Ｎｏ）、謄本作成処理をエラーによって終了する。
【００８３】
ファイル属性コードが「原本」である場合（Ｓ１５４；Ｙｅｓ）、プロセッサ１１は、謄本の作成先が同一装置か否かを判定し（Ｓ１５５）、同一装置であると判定した場合（Ｓ１５５；Ｙｅｓ）には同一装置内での謄本作成処理を実行し（Ｓ１５６）、同一装置ではないと判定した場合（Ｓ１５５；Ｎｏ）には他の装置での謄本作成処理を実行し（Ｓ１５７）、謄本作成処理を終了する。
【００８４】
図２２は、図２１のステップＳ１５６において実行される同一装置内での謄本作成処理のフローチャートである。まず、プロセッサ１１は、作成先のファイルが既に存在しているか否かを判定し（Ｓ１６１）、存在している場合（Ｓ１６１；Ｙｅｓ）にはエラーにより同一装置内での謄本作成処理を終了する。換言すれば、図２１に示した謄本作成処理をエラーで終了することになる。
【００８５】
一方、作成先のファイルが存在していない場合（Ｓ１６１；Ｎｏ）、プロセッサ１１は、対象ファイルを作成先ファイルにコピーする（Ｓ１６３）。そして、プロセッサ１１は、対象ファイルのファイル属性情報ファイル２９を作成先のファイル属性情報ファイルとしてコピーする（Ｓ１６３）。
【００８６】
続いて、プロセッサ１１は、図１１に示した処理に従い、作成先のファイル属性情報ファイル２９の改ざん検知読み出し処理を実行し（Ｓ１６４）、読み出したファイル属性情報２６のファイル属性コード２２を「謄本」に変更する（Ｓ１６５）。
【００８７】
プロセッサ１１は、タイマ１７から現在時刻を取得し（Ｓ１６６）、ファイル属性情報２６に謄本作成履歴（アカウント名，現在時刻，タイマＩＤ等）を追加し（Ｓ１６７）、図１０に示した処理に従い、ファイル属性情報２６の改ざん検知保存処理を実行する（Ｓ１６８）。
【００８８】
さらに、プロセッサ１１は、保存ファイルリストファイル３１の改ざん検知読み出し処理を実行し（Ｓ１６９）、読み出し処理に失敗した場合（Ｓ１７０；Ｎｏ）、作成先ファイルおよび作成先ファイル属性情報ファイルを削除し（Ｓ１７３）、エラーにより図２２の処理を終了する。すなわち、図２１の謄本作成処理をエラーで終了することになる。
【００８９】
一方、読み出し処理に成功した場合（Ｓ１７０；Ｙｅｓ）、プロセッサ１１は、保存ファイルリスト３２に作成先ファイルのエントリを追加し（Ｓ１７１）、図１０に示した処理に従って保存ファイルリスト３２の改ざん検知保存処理を実行して（Ｓ１７２）、図２１の謄本作成処理を正常に終了する。
【００９０】
図２３は、図２１のステップＳ１５７において実行される他の装置での謄本作成処理のフローチャートである。プロセッサ１１は、図６に示したような処理に従い、作成先保存装置へのログイン処理を実行する（Ｓ１８１）。ここで、ログイン処理に失敗した場合（Ｓ１８２；Ｎｏ）、プロセッサ１１は図２３の処理をエラーで終了する。すなわち、図２１の処理がエラーで終了することになる。
【００９１】
一方、ログイン処理に成功した場合（Ｓ１８２；Ｙｅｓ）、プロセッサ１１は、図１１に示した処理に従い、対象ファイルの改ざん検知読み出し処理を実行し（Ｓ１８３）、読み出しデータを作成先保存装置に謄本作成モードで転送する（Ｓ１８４）。
【００９２】
続いて、プロセッサ１１は、図１１に示した処理に従い、対象ファイルのファイル属性情報ファイル２９の改ざん検知読み出し処理を実行する（Ｓ１８５）。そして、プロセッサ１１は、タイマ１７から現在時刻を取得し（Ｓ１８６）、ファイル属性情報２６に謄本作成履歴を追加する（Ｓ１８７）。
【００９３】
そして、プロセッサ１１は、ファイル属性情報２６を作成先保存装置に謄本作成モードで転送し（Ｓ１８８）、転送が成功した場合には（Ｓ１８９；Ｙｅｓ）、作成先保存装置からログアウトし（Ｓ１９０）、図２１に示す謄本作成処理を終了する。一方、転送に失敗した場合（Ｓ１８９；Ｎｏ）、図２３の処理をエラーで終了する。すなわち、図２１の謄本作成処理もエラーで終了ということになる。
【００９４】
図２４は、図２３に示す他の装置での謄本作成処理が実行された場合に、他の装置、即ち図２３に示した作成先保存装置で行われる転送受け入れ処理（謄本作成モード）を示すフローチャートである。作成先保存装置は、転送先ファイルが既に存在しているか否かを判定し（Ｓ１９１）、転送先ファイルが既に存在している場合（Ｓ１９１；Ｙｅｓ）にはエラーで図２４の処理を終了する。この場合、図２１の謄本作成処理もエラーで終了ということになる。
【００９５】
また、作成先保存装置は、転送先ファイルが存在しないと判定した場合（Ｓ１９１；Ｎｏ），図１１に示した処理に従い、保存ファイルリストファイル３１の改ざん検知読み出し処理を実行する（Ｓ１９２）。ここで、改ざん検知読み出し処理に失敗した場合（Ｓ１９３；Ｎｏ）、エラーにより図２４の処理を終了する。一方、読み出しに成功した場合（Ｓ１９３；Ｙｅｓ）、作成先保存装置は、図１０に示した処理に従い、受け取ったデータの改ざん検知保存処理を実行する（Ｓ１９４）。
【００９６】
続いて、作成先保存装置は、受け取ったファイル属性情報２６のファイル属性コード２２を「謄本」に変更し（Ｓ１９５）、ファイル属性情報２６に謄本作成履歴を追加して（Ｓ１９６）、図１０に示した処理に従ってファイル属性情報２６の改ざん検知保存処理を実行する（Ｓ１９７）。
【００９７】
その後、作成先保存装置は、保存ファイルリスト３２に作成した謄本ファイルのエントリを追加し（Ｓ１９８）、図１０に示した処理に従い、保存ファイルリスト３２の改ざん検知保存処理を実行し（Ｓ１９９）、図２４の処理を終了する。
【００９８】
（７）バックアップ作成処理
「仮原本」，「原本」，「謄本」の属性を持つファイルに対して外部からバックアップ作成要求を受け取ると、対象ファイルと、それに関連付けられたファイル属性情報ファイルをコピーし、新しいファイル属性ファイルには元のファイル属性コードに対応する「バックアップ仮原本」，「バックアップ原本」，「バックアップ謄本」というファイル属性コードをつけることにする。バックアップファイルの作成先が別の電子保存装置の場合には、その別の電子保存装置にログインしてファイルを転送する。データ保存処理と同様に、保存ファイルリストの更新も行う。なお、ファイル転送先の電子保存装置では、転送受け入れ処理が行われることになる。
【００９９】
図２５は、バックアップ作成処理のフローチャートである。電子保存装置１のプロセッサ１１は、バックアップの作成対象となる対象ファイルのファイル属性情報ファイル２９の改ざん検知読み出し処理を実行する（Ｓ２０１）。ここで、改ざん検知読み出し処理による読み出しに失敗した場合（Ｓ２０２；Ｎｏ）、エラーによりバックアップ作成処理を終了する。
【０１００】
一方、読み出しに成功した場合（Ｓ２０２；Ｙｅｓ）、読み出したファイル属性情報ファイル２９からファイル属性コード２２を取得する（Ｓ２０３）。そして、プロセッサ１１は、バックアップ作成先が同一装置か否かを判定し（Ｓ２０４）、同一装置と判定した場合（Ｓ２０４；Ｙｅｓ）には同一装置内でのバックアップ作成処理を実行し（Ｓ２０５）、同一装置ではないと判定した場合（Ｓ２０４；Ｎｏ）には他の装置でのバックアップ作成処理を実行し（Ｓ２０６）、バックアップ作成処理を終了する。
【０１０１】
図２６は、図２５のステップＳ２０５において実行される同一装置内でのバックアップ作成処理のフローチャートである。プロセッサ１１は、作成先のファイルが既に存在するか否かを判定し（Ｓ２１０）、存在する場合（Ｓ２１０；Ｙｅｓ）にはエラーとして図２５および図２６に示すバックアップ作成処理を終了する。一方、作成先のファイルが存在しない場合（Ｓ２１０；Ｎｏ）には対象ファイルを作成先ファイルにコピーする（Ｓ２１１）。
【０１０２】
続いて、プロセッサ１１は、対象ファイルのファイル属性情報ファイル２９を作成先のファイル属性情報ファイルとしてコピーする（Ｓ２１２）。プロセッサ１１は、さらに、図１１に示した処理に従い、作成先のファイル属性情報ファイル２９の改ざん検知読み出し処理を実行し（Ｓ２１３）、ファイル属性コード２２を変更する処理を実行する（Ｓ２１４）。
【０１０３】
具体的には、ファイル属性コードが「仮原本」の場合は「バックアップ仮原本」に変更し、「原本」の場合は「バックアップ原本」に変更し、「謄本」の場合は「バックアップ謄本」に変更する。
【０１０４】
そして、プロセッサ１１は、タイマ１７から現在時刻を取得し（Ｓ２１５）、ファイル属性情報２６にバックアップ作成履歴（アカウント名，現在時刻，タイマＩＤ等）を追加した後（Ｓ２１６）、図１０に示した処理に従い、ファイル属性情報２６の改ざん検知保存処理を実行する（Ｓ２１７）。
【０１０５】
続いて、プロセッサ１１は、図１１に示した処理に従い、保存ファイルリストファイル３１の改ざん検知読み出し処理を実行し（Ｓ２１８）、読み出しに成功した場合（Ｓ２１９；Ｙｅｓ）、保存ファイルリスト３２に作成先ファイルのエントリを追加し（Ｓ２２０）、図１０に示した処理に従って保存ファイルリスト３２の改ざん検知保存処理を実行して（Ｓ２２１）、図２６の処理を終了する。
【０１０６】
一方、保存ファイルリストファイル３１の改ざん検知読み出し処理に失敗した場合（Ｓ２１９；Ｎｏ）、作成先ファイルおよび作成先ファイル属性情報ファイルを削除する処理を実行し（Ｓ２２２）、エラーとして図２５および図２６の処理を終了する。
【０１０７】
図２７は、図２５のステップＳ２０６において実行される他の装置でのバックアップ作成処理のフローチャートである。電子保存装置１のプロセッサ１１は、図６に示したようにして、作成先保存装置へのログイン処理を実行する（Ｓ２３１）。ここで、ログイン処理に成功しなかった場合（Ｓ２３２；Ｎｏ）は、エラーにより図２５および図２７の処理を終了し、ログイン処理に成功した場合（Ｓ２３２；Ｙｅｓ）は、図１１に示した処理に従って対象ファイルの改ざん検知読み出し処理を実行する（Ｓ２３３）。
【０１０８】
続いて、プロセッサ１１は、読み出しデータを作成先保存装置にバックアップ作成モードで転送し（Ｓ２３４）、図１１に示した処理に従い、対象ファイルのファイル属性情報ファイル２９の改ざん検知読み出し処理を実行する（Ｓ２３５）。
【０１０９】
そして、プロセッサ１１は、タイマ１７から現在時刻を取得し（Ｓ２３６）、ファイル属性情報２６に謄本作成履歴を追加する（Ｓ２３７）。そして、プロセッサ１１は、ファイル属性情報２６を作成先保存装置にバックアップ作成モードで転送し（Ｓ２３８）、転送が成功した場合（Ｓ２３９；Ｙｅｓ）には作成先保存装置からのログアウト処理を実行して（Ｓ２４０）、図２７に示す処理を正常に終了する。一方、転送に失敗した場合（Ｓ２３９）、エラーにより図２５および図２７に示す処理が終了する。
【０１１０】
図２８は、図２７に示す他の装置でのバックアップ作成処理が実行された場合に、他の装置、即ち図２７に示した作成先保存装置で行われる転送受け入れ処理（バックアップ作成モード）を示すフローチャートである。作成先保存装置は、転送先ファイルが既に存在しているか否かを判定し（Ｓ２４１）、転送先ファイルが既に存在している場合（Ｓ２４１；Ｙｅｓ）にはエラーで図２８の処理を終了する。この場合、図２５のバックアップ作成処理もエラーで終了ということになる。
【０１１１】
また、作成先保存装置は、転送先ファイルが存在しないと判定した場合（Ｓ２４１；Ｎｏ），図１１に示した処理に従って、保存ファイルリストファイル３１の改ざん検知読み出し処理を実行する（Ｓ２４２）。ここで、改ざん検知読み出し処理に失敗した場合（Ｓ２４３；Ｎｏ）、エラーにより図２８の処理を終了する。一方、読み出しに成功した場合（Ｓ２４３；Ｙｅｓ）、作成先保存装置は、図１０に示した処理に従って、受け取ったデータの改ざん検知保存処理を実行する（Ｓ２４４）。
【０１１２】
続いて、作成先保存装置は、受け取ったファイル属性情報２６のファイル属性コード２２を値に応じて「バックアップ」に変更し（Ｓ２４５）、ファイル属性情報２６にバックアップ作成履歴を追加して（Ｓ２４６）、図１０に示した処理に従ってファイル属性情報２６の改ざん検知保存処理を実行する（Ｓ２４７）。
【０１１３】
その後、作成先保存装置は、保存ファイルリスト３２に作成したバックアップファイルのエントリを追加し（Ｓ２４８）、図１０に示した処理に従って、保存ファイルリスト３２の改ざん検知保存処理を実行し（Ｓ２４９）、図２８の処理を終了する。
【０１１４】
（８）ファイル移動処理
同一の電子保存装置１内または別の電子保存装置１へファイルを移動する際には、このファイル移動処理が実行される。ファイルの移動先が別の電子保存装置１の場合、移動先の電子保存装置１においては、転送受け入れ処理が実行される。
【０１１５】
図２９は、ファイル移動処理を示すフローチャートである。電子保存装置１のプロセッサ１１は、ファイルの移動処理の実行が指定されると、移動先が同一装置内であるか否かを判定し（Ｓ２５１）、移動先が同一装置内であると判定した場合（Ｓ２５１；Ｙｅｓ）、作成先のファイルが既に存在しているか否かを判定する（Ｓ２５２）。
【０１１６】
ステップＳ２５２において、作成先のファイルが既に存在していると判定した場合（Ｓ２５２；Ｙｅｓ）、プロセッサ１１は、エラーとしてファイル移動処理を終了する。一方、作成先のファイルが存在していないと判定した場合（Ｓ２５２；Ｎｏ）、プロセッサ１１は、図１１に示した処理に基づいて、保存ファイルリストファイル３１の改ざん検知読み出し処理を実行する（Ｓ２５３）。そして、プロセッサ１１は、改ざん検知読み出し処理に失敗した場合（Ｓ２５４；Ｎｏ）、エラーとしてファイル移動処理を終了する。一方、改ざん検知読み出し処理が成功した場合（Ｓ２５４；Ｙｅｓ）、対象ファイル（保存ファイル２５）を移動先ファイルに移動する（Ｓ２５５）。
【０１１７】
また、プロセッサ１１は、対象ファイルにファイル属性情報ファイル２９が存在しているか否かを判定し（Ｓ２５６）、存在していないと判定した場合（Ｓ２５６；Ｎｏ）にはステップＳ２５８に進み、存在していると判定した場合（Ｓ２５６；Ｙｅｓ）には、ファイル属性情報ファイル２９を移動先のファイル属性情報ファイルとして移動する（Ｓ２５７）。
【０１１８】
そして、プロセッサ１１は、保存ファイルリスト３２内の移動したファイルのエントリを更新し（Ｓ２５８）、図１０に示した処理に従って保存ファイルリスト３２の改ざん検知保存処理を実行し（Ｓ２５９）、ファイル移動処理を終了する。
【０１１９】
さらに、プロセッサ１１は、ステップＳ２５１において移動先が同一装置内ではないと判定した場合（Ｓ２５１；Ｎｏ）、他の装置へのファイル移動処理を実行する（Ｓ２６０）。
【０１２０】
図３０は、図２９のステップＳ２６０において実行される他の装置へのファイル移動処理を示すフローチャートである。電子保存装置１のプロセッサ１１は、図１１に示した処理に従い、保存ファイルリストファイル３１の改ざん検知読み出し処理を実行する（Ｓ２６１）。プロセッサ１１は、改ざん検知読み出し処理に失敗した場合に（Ｓ２６２；Ｎｏ）、エラーとして図３０および図２９のファイル移動処理を終了し、改ざん検知読み出し処理に成功した場合（Ｓ２６２；Ｙｅｓ）、移動先保存装置へのログイン処理を実行する（Ｓ２６３）。
【０１２１】
プロセッサ１１は、ログイン処理に失敗した場合（Ｓ２６４；Ｎｏ）、エラーとして図３０および図２９のファイル移動処理を終了し、ログイン処理に成功した場合（Ｓ２６４；Ｙｅｓ）、図１１に示した処理に従って、移動するファイルとして指定された保存ファイル２５、即ち対象ファイルの改ざん検知読み出し処理を実行し（Ｓ２６５）、読み出しデータを移動先保存装置に移動モードで転送する（Ｓ２６６）。プロセッサ１１は、転送に失敗した場合（Ｓ２６７；Ｎｏ）、エラーとして図３０および図２９のファイル移動処理を終了し、転送に成功した場合（Ｓ２６７；Ｙｅｓ）、対象ファイルにファイル属性情報ファイル２９が存在しているか否かを判定する（Ｓ２６８）。ファイル属性情報ファイル２９が存在していないと判定した場合は（Ｓ２６８；Ｎｏ）、ステップＳ２７４に進む。
【０１２２】
一方、ファイル属性情報ファイル２９が存在していると判定した場合（Ｓ２６８；Ｙｅｓ）、プロセッサ１１は、図１１に示した処理に従って、ファイル属性情報ファイル２９の改ざん検知読み出し処理を実行する（Ｓ２６９）。そして、プロセッサ１１は、タイマ１７から現在時刻を取得し（Ｓ２７０）、ファイル属性情報２６にファイル移動履歴を追加する（Ｓ２７１）。その後、プロセッサ１１は、ファイル属性情報２６を移動先保存装置に移動モードで転送する（Ｓ２７２）。
【０１２３】
続いて、プロセッサ１１は、転送に失敗した場合（Ｓ２７３；Ｎｏ）、エラーとして図３０および図２９のファイル移動処理を終了し、転送に成功した場合（Ｓ２７３；Ｙｅｓ）、対象ファイルの削除（Ｓ２７４），対象ファイルのファイル属性情報ファイル２９の削除（Ｓ２７５），保存ファイルリスト３２内に存在する移動したファイルのエントリの削除（Ｓ２７６），図１０に示した処理に基づく保存ファイルリスト３２の改ざん検知保存処理（Ｓ２７７）および作成先保存装置からのログアウト処理（Ｓ２７８）を順次実行して図３０および図２９のファイル移動処理を終了する。
【０１２４】
図３１は、図３０に示す他の装置へのファイル移動処理が実行された場合に、他の装置、即ち図３０に示した移動先保存装置で行われる転送受け入れ処理（移動モード）を示すフローチャートである。移動先保存装置は、転送先ファイルが既に存在しているか否かを判定し（Ｓ２８１）、転送先ファイルが存在していると判定した場合（Ｓ２８１；Ｙｅｓ）、エラーとして転送受け入れ処理を終了する。
【０１２５】
一方、転送先ファイルが存在していないと判定した場合（Ｓ２８１；Ｎｏ）、移動先保存装置は、図１１に示した処理に従い、保存ファイルリストファイル３１の改ざん検知読み出し処理を実行する（Ｓ２８２）。移動先保存装置は、改ざん検知読み出し処理に失敗した場合（Ｓ２８３；Ｎｏ）、エラーとして転送受け入れ処理を終了し、改ざん検知読み出し処理に成功した場合（Ｓ２８３；Ｙｅｓ）、図１０に示した処理に従って、受け取ったデータの改ざん検知保存処理を実行する（Ｓ２８４）。
【０１２６】
さらに、移動先保存装置は、ファイル属性情報２６を受け取ったか否かを判定し（Ｓ２８５）、受け取っていない場合には（Ｓ２８５；Ｎｏ）そのまま処理を終了し、受け取った場合には（Ｓ２８５；Ｙｅｓ）ファイル属性情報２６にファイル移動履歴を追加する（Ｓ２８６）。
【０１２７】
そして、移動先保存装置は、図１０に示した処理に従ってファイル属性情報２６の改ざん検知保存処理を実行し（Ｓ２８７）、保存ファイルリスト３２に受け取ったファイルのエントリを追加し（Ｓ２８８）、図１０に示した処理に従って保存ファイルリスト３２の改ざん検知保存処理を実行して（Ｓ２８９）、転送受け入れ処理を終了する。
【０１２８】
（９）ファイル削除処理
保存ファイル２５を削除するための処理である。しかし、「原本」のファイル属性コード２２を有する保存ファイル２５については証拠隠滅を防ぐために削除は禁止される。
【０１２９】
図３２は、ファイル削除処理を示すフローチャートである。電子保存装置１のプロセッサ１１は、ファイルの削除が指定されると、大容量記憶媒体１３がマウントされているか否かを判定し（Ｓ２９１）、マウントされていないと判定した場合（Ｓ２９１；Ｎｏ）、エラーとしてファイル削除処理を終了する。一方、マウントされていると判定した場合（Ｓ２９１；Ｙｅｓ）、削除が指定された保存ファイル２５、即ち対象ファイルに対応するファイル属性情報ファイル２９が存在するか否かを判定する（Ｓ２９２）。
【０１３０】
プロセッサ１１は、ファイル属性情報ファイル２９が存在しないと判定した場合（Ｓ２９２；Ｎｏ）、対象ファイルを削除し（Ｓ３０２）、ファイル削除処理を終了する。一方、ファイル属性情報ファイル２９が存在すると判定した場合（Ｓ２９２；Ｙｅｓ）、図１１に示した処理に従って、対象ファイルに対応するファイル属性情報ファイル２９の改ざん検知読み出し処理を実行する（Ｓ２９３）。
【０１３１】
そして、プロセッサ１１は、改ざん検知読み出し処理に失敗した場合（Ｓ２９４；Ｎｏ）、エラーとしてファイル削除処理を終了し、改ざん検知読み出し処理に成功した場合（Ｓ２９４；Ｙｅｓ）、ファイル属性情報２６に含まれるファイル属性コード２２が「原本」であるか否かを判定する（Ｓ２９５）。
【０１３２】
ファイル属性コード２２が「原本」であると判定した場合（Ｓ２９５；Ｙｅｓ）、原本の削除は禁止されているため、プロセッサ１１はエラーとしてファイル削除処理を終了する。一方、「原本」ではないと判定した場合（Ｓ２９５；Ｎｏ）、プロセッサ１１は、対象ファイルを削除し（Ｓ２９６）、さらに、ファイル属性情報ファイル２９を削除する（Ｓ２９７）。
【０１３３】
続いて、プロセッサ１１は、図１１に示した処理に従って、保存ファイルリストファイル３１の改ざん検知読み出し処理を実行する（Ｓ２９８）。プロセッサ１１は、改ざん検知読み出し処理に失敗した場合（Ｓ２９９；Ｎｏ）、エラーとしてファイル削除処理を終了し、改ざん検知読み出し処理に成功した場合（Ｓ２９９；Ｙｅｓ）、保存ファイルリスト３２から対象ファイルのエントリを削除し（Ｓ３００）、図１０に示した処理に従って保存ファイルリスト３２の改ざん検知保存処理を実行して（Ｓ３０１）、ファイル削除処理を終了する。
【０１３４】
（１０）ファイル属性コード変更処理
データ保存処理において、「仮原本」の属性を持つファイルを保存することが可能であるが、この「仮原本」ファイルは単純にファイル属性コード２２を「原本」に変更することが可能なものである。また、「謄本」，「バックアップ仮原本」，「バックアップ原本」および「バックアップ謄本」の属性を持つファイルは、それぞれファイル属性コード２２を変更することで元のファイルを復旧するために利用することができる。復旧すると、ファイル属性コードは図３３に示すようになる。
【０１３５】
ファイル属性コード２２の変更は、ファイルアクセス履歴として記録される。このファイル属性コード変更処理は、外部からのファイル属性コード２２の変更要求と共に、新しいファイル属性コード２２を受け取ることによって実行される。
【０１３６】
図３４は、ファイル属性コード変更処理を示すフローチャートである。電子保存装置１のプロセッサ１１は、ファイル属性コード変更処理の指示があると、大容量記憶媒体１３がマウントされているか否かを判定する（Ｓ３１０）。プロセッサ１１は、大容量記憶媒体１３がマウントされていないと判定した場合（Ｓ３１０；Ｎｏ）、エラーとしてファイル属性コード変更処理を終了し、大容量記憶媒体１３がマウントされていると判定した場合（Ｓ３１０；Ｙｅｓ）、変更対象の保存ファイル２５、即ち対象ファイルに対応するファイル属性情報ファイル２９が存在しているか否かを判定する（Ｓ３１１）。
【０１３７】
プロセッサ１１は、ファイル属性情報ファイル２９が存在しないと判定した場合（Ｓ３１１；Ｎｏ）、エラーとしてファイル属性コード変更処理を終了し、存在すると判定した場合（Ｓ３１１；Ｙｅｓ）、図１１に示す処理に従ってファイル属性情報ファイル２９の改ざん検知読み出し処理を実行する（Ｓ３１２）。プロセッサ１１は、改ざん検知読み出し処理に失敗した場合（Ｓ３１３；Ｎｏ）、エラーとしてファイル属性コード変更処理を終了し、改ざん検知読み出し処理に成功した場合（Ｓ３１３；Ｙｅｓ）、指定された新ファイル属性コードに応じたコード変更処理を実行する（Ｓ３１４）。
【０１３８】
図３５（ａ）〜図３５（ｃ）は、図３４のステップＳ３１４において実行されるコード変更処理のフローチャートである。図３５（ａ）は新ファイル属性コードとして「仮原本」が指定された場合であり、プロセッサ１１は、現在のファイル属性コード２２が「バックアップ仮原本」であるか否かを判定する（Ｓ３３１）。現在のファイル属性コード２２が「バックアップ仮原本」ではない場合（Ｓ３３１；Ｎｏ）、エラーとして図３５および図３４のファイル属性コード変更処理を終了する。一方、現在のファイル属性コード２２が「バックアップ仮原本」である場合（Ｓ３３１；Ｙｅｓ）、ファイル属性情報２６のファイル属性コード２２を「仮原本」に変更する処理を実行する（Ｓ３３２）。
【０１３９】
また、図３５（ｂ）は新ファイル属性コードとして「原本」が指定された場合であり、プロセッサ１１は、現在のファイル属性コード２２が「バックアップ原本」または「仮原本」であるか否かを判定する（Ｓ３４１）。現在のファイル属性コード２２が「バックアップ原本」または「仮原本」ではない場合（Ｓ３４１；Ｎｏ）、エラーとして図３５および図３４のファイル属性コード変更処理を終了する。一方、現在のファイル属性コード２２が「バックアップ原本」または「仮原本」である場合（Ｓ３４１；Ｙｅｓ）、ファイル属性情報２６のファイル属性コード２２を「原本」に変更する処理を実行する（Ｓ３４２）。
【０１４０】
さらに、図３５（ｃ）は新ファイル属性コードとして「謄本」が指定された場合であり、プロセッサ１１は、現在のファイル属性コード２２が「バックアップ謄本」であるか否かを判定する（Ｓ３５１）。現在のファイル属性コード２２が「バックアップ謄本」ではない場合（Ｓ３５１；Ｎｏ）、エラーとして図３５および図３４のファイル属性コード変更処理を終了する。一方、現在のファイル属性コード２２が「バックアップ謄本」である場合（Ｓ３５１；Ｙｅｓ）、ファイル属性情報２６のファイル属性コード２２を「謄本」に変更する処理を実行する（Ｓ３５２）。
【０１４１】
図３４のフローチャートの説明に戻り、プロセッサ１１は、図３５を用いて説明したステップＳ３１４においてコード変更処理を行った後、タイマ１７から現在時刻を取得し（Ｓ３１５）、ファイル属性情報２６にファイル属性コード変更履歴を追加する（Ｓ３１６）。
【０１４２】
続いて、プロセッサ１１は、図１０に示した処理に従ってファイル属性情報２６の改ざん検知保存処理を行い（Ｓ３１７）、図１１に示した処理に従って保存ファイルリストファイル３１の改ざん検知読み出し処理を実行する（Ｓ３１８）。そして、プロセッサ１１は、改ざん検知読み出し処理に失敗した場合（Ｓ３１９；Ｎｏ）、エラーとしてファイル属性コード変更処理を終了する。一方、改ざん検知読み出し処理に成功した場合（Ｓ３１９；Ｙｅｓ）、プロセッサ１１は、保存ファイルリスト３２の対象ファイルのエントリについて内容を更新し（Ｓ３２０）、図１０に示した処理に従って保存ファイルリスト３２の改ざん検知保存処理を実行して（Ｓ３２１）、ファイル属性コード変更処理を終了する。
【０１４３】
（１１）ファイル追記処理
「原本」や「仮原本」のファイル属性コード２２を持つファイルに対しては、編集は許可しないが追記は可能とする。追記のみを許可することにより、以前のデータが失われず、電子データの編集履歴がわかるため、その証明力も高まることになる。また、「謄本」およびバックアップのファイルについては追記も編集も許可しない。これは、データの訂正や修正は原本に対して施すべきものであって、コピーである謄本に施すべきものではないという考えに基づくものである。なお、ファイルの最終更新日時が変更されるため、データ保存処理と同様に保存ファイルリスト３２についても更新されることになる。
【０１４４】
図３６は、ファイル追記処理を示すフローチャートである。電子保存装置１のプロセッサ１１は、大容量記憶媒体１３がマウントされているか否かを判定し（Ｓ３６１）、マウントされていない場合（Ｓ３６１；Ｎｏ）、エラーとしてファイル追記処理を終了する。
【０１４５】
一方、大容量記憶媒体１３がマウントされていると判定した場合（Ｓ３６１；Ｙｅｓ）、プロセッサ１１は、追記処理の対象となる保存ファイル２５、即ち対象ファイルに対応するファイル属性情報ファイル２９が存在するか否かを判定する（Ｓ３６２）。プロセッサ１１は、ファイル属性情報ファイル２９が存在しないと判定した場合（Ｓ３６２；Ｎｏ）、対象ファイルにデータを追記する処理を実行し（Ｓ３７４）、ファイル追記処理を終了する。一方、ファイル属性情報ファイル２９が存在すると判定した場合（Ｓ３６２；Ｙｅｓ）、プロセッサ１１は、図１１に示した処理に従い、ファイル属性情報ファイル２９の改ざん検知読み出し処理を実行する（Ｓ３６３）。
【０１４６】
そして、プロセッサ１１は、改ざん検知読み出し処理に失敗した場合（Ｓ３６４；Ｎｏ）、エラーとしてファイル追記処理を終了し、改ざん検知読み出し処理に成功した場合（Ｓ３６４；Ｙｅｓ）、ファイル属性コード２２が「原本」または「仮原本」であるか否かを判定する（Ｓ３６５）。「原本」または「仮原本」でない場合（Ｓ３６５；Ｎｏ）、エラーとしてファイル追記処理を終了し、「原本」または「仮原本」である場合（Ｓ３６５；Ｙｅｓ）、図１１に示した処理に従って、対象ファイルの改ざん検知読み出し処理を実行する（Ｓ３６６）。
【０１４７】
プロセッサ１１は、改ざん検知読み出し処理に失敗した場合（Ｓ３６７；Ｎｏ）、エラーとしてファイル追記処理を終了し、改ざん検知読み出し処理に成功した場合（Ｓ３６７；Ｙｅｓ）、図１１に示した処理に従い、保存ファイルリストファイル３１の改ざん検知読み出し処理を実行する（Ｓ３６８）。
【０１４８】
プロセッサ１１は、改ざん検知読み出し処理に失敗した場合（Ｓ３６９；Ｎｏ）、エラーとしてファイル追記処理を終了し、改ざん検知読み出し処理に成功した場合（Ｓ３６９；Ｙｅｓ）、読み出しデータに追記データを追加する処理を実行する（Ｓ３７０）。
【０１４９】
そして、プロセッサ１１は、図１０に示した処理に従って追記済みデータの改ざん検知保存処理を実行し（Ｓ３７１）、保存ファイルリスト３２中の対象ファイルのエントリを更新し（Ｓ３７２）、さらに、図１０に示した処理に従って保存ファイルリスト３２の改ざん検知保存処理を実行して（Ｓ３７３）、ファイル追記処理を終了する。
【０１５０】
（１２）ファイル編集処理
「仮原本」や「原本」ファイルについては修正履歴を残すことで証明力を高めるため、これらのファイルに対する編集要求については拒否するものとする。また、「謄本」ファイルやバックアップファイルは、本来編集すべき対象ではないため、これらのファイルに対する編集要求についても拒否することにする。したがって、ここでは「一般」ファイルのみ編集可能とする。
【０１５１】
図３７は、ファイル編集処理を示すフローチャートである。電子保存装置１のプロセッサ１１は、大容量記憶媒体１３がマウントされているか否かを判定し（Ｓ３８１）、マウントされていない場合（Ｓ３８１；Ｎｏ）、エラーとしてファイル編集処理を終了する。
【０１５２】
一方、大容量記憶媒体１３がマウントされていると判定した場合（Ｓ３８１；Ｙｅｓ）、プロセッサ１１は、編集対象として指定された保存ファイル２５、即ち対象ファイルにファイル属性情報ファイル２９が存在しているか否かを判定する（Ｓ３８２）。ファイル属性情報ファイル２９が存在している場合（Ｓ３８２；Ｙｅｓ）、そのファイルは「一般」ファイルではないため、エラーとしてファイル編集処理を終了する。一方、ファイル属性情報ファイル２９が存在していない場合（Ｓ３８２；Ｎｏ）、プロセッサ１１は、対象ファイルの編集処理を実行し（Ｓ３８３）、ファイル編集処理を終了する。
【０１５３】
このように、本実施の形態に係る原本性保証電子保存装置、原本性保証電子保存方法およびその方法をコンピュータに実行させるためのプログラムを記録したコンピュータ読み取り可能な記録媒体によれば、電子データの改ざんを防止することに加えて、紙の原本が有する性質を電子情報に持たせることを可能とすることにより、電子情報の証明力を高めることができる。
【０１５４】
以上説明した本実施の形態に係る原本性保証電子保存装置、原本性保証電子保存方法およびその方法をコンピュータに実行させるためのプログラムを記録したコンピュータ読み取り可能な記録媒体は、予め用意されたプログラムを図１に示したような電子保存装置１（コンピュータ）で実行することによって実現することが可能である。換言すれば、このようなプログラムを電子保存装置１（コンピュータ）で実行することにより、例えばファイル管理システムと同じローカルネットワーク上に存在する原本性保証サーバを実現することが可能となる。
【０１５５】
【発明の効果】
以上説明したように、本発明の原本性保証電子保存装置（請求項１）によれば、電子データと、暗号化処理が施された改竄検知情報と、保存リストと、暗号化処理が施されたリスト改竄検知情報とを記憶媒体に保存するので、電子データとファイル属性コードの改竄と、記憶媒体から電子データの削除等を検出できるので、電子情報の証明力を高めることが可能となる。
【０１５６】
また、本発明の原本性保証電子保存装置（請求項２）によれば、ファイル属性コードを含むファイル属性情報に対して暗号化処理を施した後、記憶媒体に記憶することで、原本の電子データに対し、属性情報として原本であることを示す属性コードを付与するため、紙の原本が有する性質を電子情報に持たせることが可能となる。
【０１５７】
また、本発明の原本性保証電子保存装置（請求項３）によれば、復号化鍵を記録することで、暗号化処理が施されている情報に対して復号化処理を施し、当該情報を用いて電子データが改竄されているか否かを検出できるので、電子情報の証明力を高めることが可能となる。
【０１５８】
また、本発明の原本性保証電子保存装置（請求項４）によれば、保存リストの改竄が検出されなかった場合に、記憶媒体に対してマウント処理を行うので、電子情報の証明力を高めることが可能となる。
【０１５９】
また、本発明の原本性保証電子保存装置（請求項５）によれば、ファイル属性情報の改竄が検出されなかった場合に、ファイル属性情報と、ファイル電子データとを他の装置に出力するので、当該他の装置においても移動元と同様に、電子データに対するアクセス制御のレベルを制御することが可能となる。これにより、紙が有する性質を電子情報に持たせることができる。
【０１６０】
また、本発明の原本性保証電子保存装置（請求項６）によれば、電子データの改竄が検出されなかった場合に、電子データを用いた処理を行うので、電子情報の証明力を高めることが可能となる。
【０１６１】
また、本発明の原本性保証電子保存方法（請求項７）によれば、電子データと、暗号化処理が施された改竄検知情報と、保存リストと、暗号化処理が施されたリスト改竄検知情報とを記憶媒体に保存するので、電子データとファイル属性コードの改竄と、記憶媒体から電子データの削除等を検出できるので、電子情報の証明力を高めることが可能となる。
【０１６２】
また、本発明の原本性保証電子保存方法（請求項８）によれば、ファイル属性コードを含むファイル属性情報に対して暗号化処理を施した後、記憶媒体に記憶することで、原本の電子データに対し、属性情報として原本であることを示す属性コードを付与するため、紙の原本が有する性質を電子情報に持たせることが可能となる。
【０１６３】
また、本発明の原本性保証電子保存方法（請求項９）によれば、保存リストの改竄が検出されなかった場合に、記憶媒体に対してマウント処理を行うので、電子情報の証明力を高めることが可能となる。
【０１６４】
また、本発明の原本性保証電子保存方法（請求項１０）によれば、ファイル属性情報の改竄が検出されなかった場合に、ファイル属性情報と、ファイル電子データとを他の装置に出力するので、当該他の装置においても移動元と同様に、電子データに対するアクセス制御のレベルを制御することが可能となる。これにより、紙が有する性質を電子情報に持たせることができる。
【０１６５】
また、本発明の原本性保証電子保存方法（請求項１１）によれば、電子データの改竄が検出されなかった場合に、電子データを用いた処理を行うので、電子情報の証明力を高めることが可能となる。
【０１６６】
さらに、本発明のコンピュータ読み取り可能な記録媒体（請求項１２）によれば、請求項７〜１１のいずれか一つに記載の原本性保証電子保存方法をコンピュータに実行させるためのプログラムを記録したことにより、このプログラムをコンピュータに実行させることにより、例えばユーザサイトに設置可能な原本性保証機能を有する認証サーバを実現することが可能となる。
【図面の簡単な説明】
【図１】 本発明の実施の形態に係る電子保存装置のブロック構成図である。
【図２】 本発明の実施の形態に係るユーザ登録処理を示すフローチャートであり、（ａ）はクライアント側で実行されるユーザ登録処理を、（ｂ）は電子保存装置側で実行されるユーザ登録処理をそれぞれ示している。
【図３】 図２（ｂ）のステップＳ２８で用いられるアカウント管理ファイルの内容を示す説明図である。
【図４】 図３に示す認証鍵情報の内容を示す説明図である。
【図５】 図３中に示す日時情報の内容を示す説明図である。
【図６】 本発明の実施の形態に係る電子保存装置へのログイン処理を示すフローチャートであり、（ａ）はクライアント側で実行されるログイン処理を、（ｂ）は電子保存装置側で実行されるログイン処理をそれぞれ示している。
【図７】 図６（ａ）のステップＳ３５および図６（ｂ）のステップＳ４１において実行される相互認証処理のフローチャートであり、（ａ）はクライアント側で実行される相互認証処理を、（ｂ）は電子保存装置側で実行される相互認証処理をそれぞれ示している。
【図８】 本発明の実施の形態に係る電子データ保存処理を示すフローチャートである。
【図９】 図８に示す電子データ保存処理において、原本データを保存する際の処理の説明図である。
【図１０】 本発明の実施の形態に係る改ざん検知保存処理を示すフローチャートである。
【図１１】 本発明の実施の形態に係る改ざん検知読み出し処理を示すフローチャートである。
【図１２】 図９に示す保存ファイルの説明図である。
【図１３】 図９に示すファイル属性情報ファイルの説明図である。
【図１４】 図９に示す保存ファイルリストファイルの説明図である。
【図１５】 図９に示すタイマ設定履歴ファイルの説明図である。
【図１６】 図１５に示すタイマ設定履歴ファイル中のタイマ設定履歴の説明図である。
【図１７】 図１３に示すファイル属性情報ファイル中のアクセス履歴の説明図である。
【図１８】 本発明の実施の形態に係る大容量記憶媒体マウント処理のフローチャートである。
【図１９】 図１９のステップＳ１２２で実行される大容量記憶媒体のフォーマット処理を示すフローチャートである。
【図２０】 本発明の実施の形態に係るファイル読み出し処理のフローチャートである。
【図２１】 本発明の実施の形態に係る謄本作成処理を示すフローチャートである。
【図２２】 図２１のステップＳ１５６において実行される同一装置内での謄本作成処理のフローチャートである。
【図２３】 図２１のステップＳ１５７において実行される他の装置での謄本作成処理のフローチャートである。
【図２４】 図２３に示す他の装置での謄本作成処理が実行された場合に、他の装置で行われる転送受け入れ処理（謄本作成モード）を示すフローチャートである。
【図２５】 本発明の実施の形態に係るバックアップ作成処理のフローチャートである。
【図２６】 図２５のステップＳ２０５において実行される同一装置内でのバックアップ作成処理のフローチャートである。
【図２７】 図２５のステップＳ２０６において実行される他の装置でのバックアップ作成処理のフローチャートである。
【図２８】 図２７に示す他の装置でのバックアップ作成処理が実行された場合に、他の装置で行われる転送受け入れ処理（バックアップ作成モード）を示すフローチャートである。
【図２９】 本発明の実施の形態に係るファイル移動処理を示すフローチャートである。
【図３０】 図２９のステップＳ２６０において実行される他の装置へのファイル移動処理を示すフローチャートである。
【図３１】 図３０に示す他の装置へのファイル移動処理が実行された場合に、他の装置で行われる転送受け入れ処理（移動モード）を示すフローチャートである。
【図３２】 本発明の実施の形態に係るファイル削除処理を示すフローチャートである。
【図３３】 本発明の実施の形態に係るファイル属性コード変更処理の説明図である。
【図３４】 本発明の実施の形態に係るファイル属性コード変更処理を示すフローチャートである。
【図３５】 図３４のステップＳ３１４において実行されるコード変更処理のフローチャートである。
【図３６】 本発明の実施の形態に係るファイル追記処理を示すフローチャートである。
【図３７】 本発明の実施の形態に係るファイル編集処理を示すフローチャートである。
【符号の説明】
１ 電子保存装置
２ 計算機（クライアント）
３ ＩＣカード
１１ プロセッサ
１２ 通信ポート
１３ 大容量記憶媒体
１４ プログラム格納媒体
１５ 内部記憶媒体
１６ ＩＣカードリーダ／ライタ
１７ タイマ
２１ データ
２２ ファイル属性コード
２３，２７ ハッシュ値
２４，２８，３３ メッセージ認証子
２５ 保存ファイル
２６ ファイル属性情報
２９ ファイル属性情報ファイル
３１ 保存ファイルリストファイル
３２ 保存ファイルリスト
３４ リストハッシュ値
４１ 装置暗号鍵
４２ 装置復号鍵
４３ タイマ設定履歴ファイル
４４ アカウント管理ファイル
Claims (12)
- 記憶媒体に対するデータ保存機能を有する原本性保証電子保存装置であって、
暗号鍵を記憶する内部記憶部と、
前記記憶媒体の保存対象となる電子データと、当該電子データが原本であるか否かを示すファイル属性コードと、を受け取る受取手段と、
前記受取手段により受け取られた電子データから、当該電子データの改竄の検出を可能とする改竄検知情報を生成する検知情報生成手段と、
前記検知情報生成手段により生成された前記改竄検知情報を、前記内部記憶部に記憶される前記暗号鍵で暗号化処理を施す暗号化手段と、
前記暗号化手段により暗号化処理が施された前記改竄検知情報を、前記電子データと共に前記記憶媒体に保存する保存手段と、
前記記憶媒体に保存される電子データの識別情報と前記ファイル属性コードとを対応付け且つ前記記憶媒体に格納された保存リストに対して、前記受取手段により受け取られた前記電子データを識別する識別情報と前記受取手段により受け取られた前記ファイル属性コードと対応付けて追加する追加手段と、
前記追加手段により前記識別情報が追加された前記保存リストから、当該保存リストの改竄の検出を可能とするリスト改竄検知情報を生成するリスト検知情報生成手段と、
前記リスト改竄検知情報を、前記内部記憶部に記憶される前記暗号鍵で暗号化処理を施すリスト情報暗号化手段と、
前記リスト情報暗号化手段により暗号化処理を施された前記リスト改竄検知情報を、前記記憶媒体に保存するリスト保存手段と、
を備えることを特徴とする原本性保証電子保存装置。 - 前記ファイル属性コードを含むファイル属性情報を生成する属性情報生成手段と、
前記属性情報生成手段で生成されたファイル属性情報の改竄の検出を可能とする属性改竄検知情報を生成する第２の属性情報生成手段と、
前記第２の属性情報生成手段により生成された前記属性改竄検知情報を、前記内部記憶部に記憶される前記暗号鍵で暗号化処理を施す属性情報暗号化手段と、
前記暗号化処理を施された前記属性改竄検知情報と、前記ファイル属性情報とを前記記憶媒体に保存する属性保存手段と、
を備えることを特徴とする請求項１に記載の原本性電子保存装置。 - 前記内部記憶部は、さらに前記暗号鍵で暗号化処理を施された情報に対して復号化処理を施す復号鍵を記憶すること、
を特徴とする請求項２に記載の原本性保証電子保存装置。 - 前記記憶媒体がマウントされる時に、前記復号鍵を用いて前記リスト改竄検知情報の復号処理を施す復号化手段と、
前記復号処理が施された前記リスト改竄検知情報に基づいて、前記保存リストの改竄の検知を行う改竄検知手段と、
前記改竄検知手段により前記保存リストの改竄が検出されなかった場合に、前記記憶媒体に対してマウント処理を行うマウント処理手段と、
をさらに備えることを特徴とする請求項３に記載の原本性保証電子保存装置。 - 前記記憶媒体に記憶された電子データへのアクセスを受け付けた際、当該電子データに対応するファイル属性情報が、前記記憶媒体に記憶されているか否か判断する判断手段と、
前記ファイル属性情報が記憶されていると判断した場合、前記ファイル属性情報に対応する前記属性改竄検知情報に対して復号化処理を施す復号化手段と、
前記復号処理が施された前記属性改竄検知情報に基づいて、前記ファイル属性情報の改竄の検知を行う改竄検知手段と、
前記改竄検知手段により前記ファイル属性情報の改竄が検出されなかった場合に、前記ファイル属性情報と、前記ファイル属性情報を示す前記電子データとを他の装置に出力する出力手段と、
をさらに備えることを特徴とする請求項３に記載の原本性保証電子保存装置。 - 前記記憶媒体に記憶された前記電子データの前記改竄検知情報に対して復号化処理を施す復号化手段と、
前記復号化処理が施された前記改竄検知情報に基づいて、前記電子データの改竄の検知を行う改竄検知手段と、
前記改竄検知手段により前記電子データの改竄が検出されなかった場合に、前記電子データを用いた処理を行うデータ処理手段と、
をさらに備えることを特徴とする請求項３に記載の原本性保証電子保存装置。 - 原本性保証電子保存装置が電子データのアクセス制御のレベルを制御する原本性保証電子保存方法であって、
前記装置の受取手段が、電子データと、当該電子データが原本であるか否かを示すファイル属性コードと、を取得する取得ステップと、
前記装置の検知情報生成手段が、前記取得ステップにより取得した電子データから、当該電子データの改竄の検出を可能とする改竄検知情報を生成する検知情報生成ステップと、
前記装置の暗号化手段が、前記検知情報生成ステップにより生成された前記改竄検知情報を、内部記憶部に記憶される前記暗号鍵で暗号化処理を施す暗号化ステップと、
前記装置の保存手段が、前記暗号化ステップにより暗号化処理が施された前記改竄検知情報を、前記電子データと共に記憶媒体に保存する保存ステップと、
前記装置の追加手段が、前記記憶媒体に保存される電子データの識別情報と前記ファイル属性コードとを対応付け且つ前記記憶媒体に格納された保存リストに対して、前記受取手段により受け取られた前記電子データを識別する識別情報と前記受取手段により受け取られた前記ファイル属性コードと対応付けて追加する追加ステップと、
前記装置のリスト検知情報生成手段が、前記追加ステップにより前記識別情報が追加された前記保存リストから、当該保存リストの改竄の検出を可能とするリスト改竄検知情報を生成するリスト検知情報生成ステップと、
前記装置のリスト情報暗号化手段が、前記リスト改竄検知情報を、前記内部記憶部に記憶される前記暗号鍵で暗号化処理を施すリスト情報暗号化ステップと、
前記装置のリスト保存手段が、前記リスト情報暗号化ステップにより暗号化処理を施された前記リスト改竄検知情報を、前記記憶媒体に保存するリスト保存ステップと、
を有することを特徴とする原本性保証電子保存方法。 - 前記受取ステップは、当該電子データがオリジナルであるか否かを示すファイル属性コードを、前記電子データと共に受け取り、
前記装置の属性情報生成手段が、前記ファイル属性コードを含むファイル属性情報を生成する属性情報生成ステップと、
前記装置の第２の属性情報生成手段が、前記属性情報生成ステップで生成されたファイル属性情報の改竄の検出を可能とする属性改竄検知情報を生成する第２の属性情報生成ステップと、
前記装置の属性情報暗号化手段が、前記第２の属性情報生成ステップにより生成された前記属性改竄検知情報を、前記内部記憶部に記憶される前記暗号鍵で暗号化処理を施す属性情報暗号化ステップと、
前記装置の属性保存手段が、前記暗号化処理を施された前記属性改竄検知情報と、前記ファイル属性情報とを前記記憶媒体に保存する属性保存ステップと、
を有することを特徴とする請求項７に記載の原本性電子保存方法。 - 前記装置の復号化手段が、前記記憶媒体がマウントされる時に、前記内部記憶部が記憶する復号鍵を用いて前記リスト改竄検知情報の復号処理を施す復号化ステップと、
前記装置の改竄検知手段が、前記復号処理が施された前記リスト改竄検知情報に基づいて、前記保存リストの改竄の検知を行う改竄検知ステップと、
前記装置のマウント処理手段が、前記改竄検知ステップにより前記保存リストの改竄が検出されなかった場合に、前記記憶媒体に対してマウント処理を行うマウント処理ステップと、
をさらに有することを特徴とする請求項８に記載の原本性保証電子保存方法。 - 前記装置の判断手段が、前記記憶媒体に記憶された電子データへのアクセスを受け付けた際、当該電子データに対応するファイル属性情報が、前記記憶媒体に記憶されているか否か判断する判断ステップと、
前記装置の復号化手段が、前記ファイル属性情報が記憶されていると判断した場合、前記ファイル属性情報に対応する前記属性改竄検知情報に対して復号化処理を施す復号化ステップと、
前記装置の改竄検知手段が、前記復号処理が施された前記属性改竄検知情報に基づいて、前記ファイル属性情報の改竄の検知を行う改竄検知ステップと、
前記装置の出力手段が、前記改竄検知ステップにより前記ファイル属性情報の改竄が検出されなかった場合に、前記ファイル属性情報と、前記ファイル属性情報を示す前記電子データとを他の装置に出力する出力ステップと、
をさらに有することを特徴とする請求項８に記載の原本性保証電子保存方法。 - 前記装置の復号化手段が、前記記憶媒体に記憶された前記電子データの前記改竄検知情報に対して復号化処理を施す復号化ステップと、
前記装置の改竄検知手段が、前記復号化処理が施された前記改竄検知情報に基づいて、前記電子データの改竄の検知を行う改竄検知ステップと、
前記装置のデータ処理手段が、前記改竄検知ステップにより前記電子データの改竄が検出されなかった場合に、前記電子データを用いた処理を行うデータ処理ステップと、
をさらに備えることを特徴とする請求項８に記載の原本性保証電子保存方法。 - 請求項７乃至１１のいずれか一つに記載された原本性保証電子保存方法をコンピュータに実行させるプログラムを記録したことを特徴とするコンピュータ読み取り可能な記録媒体。
Priority Applications (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| JP09021299A JP3980785B2 (ja) | 1999-03-30 | 1999-03-30 | 原本性保証電子保存装置、原本性保証電子保存方法およびその方法をコンピュータに実行させるためのプログラムを記録したコンピュータ読み取り可能な記録媒体 |
Applications Claiming Priority (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| JP09021299A JP3980785B2 (ja) | 1999-03-30 | 1999-03-30 | 原本性保証電子保存装置、原本性保証電子保存方法およびその方法をコンピュータに実行させるためのプログラムを記録したコンピュータ読み取り可能な記録媒体 |
Publications (2)
| Publication Number | Publication Date |
|---|---|
| JP2000285024A JP2000285024A (ja) | 2000-10-13 |
| JP3980785B2 true JP3980785B2 (ja) | 2007-09-26 |
Family
ID=13992189
Family Applications (1)
| Application Number | Title | Priority Date | Filing Date |
|---|---|---|---|
| JP09021299A Expired - Fee Related JP3980785B2 (ja) | 1999-03-30 | 1999-03-30 | 原本性保証電子保存装置、原本性保証電子保存方法およびその方法をコンピュータに実行させるためのプログラムを記録したコンピュータ読み取り可能な記録媒体 |
Country Status (1)
| Country | Link |
|---|---|
| JP (1) | JP3980785B2 (ja) |
Families Citing this family (16)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| JP2002229835A (ja) * | 2001-01-31 | 2002-08-16 | Olympus Optical Co Ltd | コンピュータによるファイル管理システムおよびそのプログラムとプログラム記録媒体 |
| JP2003022350A (ja) * | 2001-07-09 | 2003-01-24 | Dainippon Printing Co Ltd | 電子経歴書システム、サーバ、端末装置及び記憶媒体 |
| JP4168626B2 (ja) | 2001-12-06 | 2008-10-22 | 株式会社日立製作所 | 記憶装置間のファイル移行方法 |
| WO2004068350A1 (ja) | 2003-01-30 | 2004-08-12 | Fujitsu Limited | データ改ざん検出方法、データ改ざん検出装置及びデータ改ざん検出プログラム |
| WO2004072845A1 (en) | 2003-02-14 | 2004-08-26 | Canon Kabushiki Kaisha | System for certifying whether printed material corresponds to original |
| JP3997197B2 (ja) | 2003-12-02 | 2007-10-24 | キヤノン株式会社 | 画像処理システム |
| JP4339891B2 (ja) | 2004-07-20 | 2009-10-07 | 富士通株式会社 | 電子文書管理システム |
| JP4706234B2 (ja) * | 2004-11-10 | 2011-06-22 | コニカミノルタビジネステクノロジーズ株式会社 | 情報処理装置及びファイル管理プログラム |
| JP4739000B2 (ja) | 2005-12-07 | 2011-08-03 | 富士通株式会社 | 電子文書管理プログラム、電子文書管理システム及び電子文書管理方法 |
| JP4715509B2 (ja) | 2005-12-28 | 2011-07-06 | 富士通株式会社 | 個人情報証明方法及び個人情報証明システム |
| US9317987B2 (en) | 2006-01-25 | 2016-04-19 | John D. Brush & Co., Inc. | Safe with controllable data transfer capability |
| WO2008015755A1 (en) | 2006-08-04 | 2008-02-07 | Fujitsu Limited | Electronic document management program, method, and device |
| KR100816184B1 (ko) * | 2006-08-10 | 2008-03-21 | 한국전자거래진흥원 | 전자문서의 불변경성과 사실증명을 수행하는전자문서보관소 시스템 및 그 시스템에서 수행되는전자문서 등록방법, 열람방법, 발급방법, 이관방법, 증명서발급방법 |
| JP2008077206A (ja) * | 2006-09-19 | 2008-04-03 | Canon Inc | 電子データ管理システム、電子データ管理装置及び方法、並びにプログラム及び記憶媒体 |
| JP4836735B2 (ja) | 2006-09-29 | 2011-12-14 | 富士通株式会社 | 電子情報検証プログラム、電子情報検証装置および電子情報検証方法 |
| US8612399B2 (en) * | 2010-06-01 | 2013-12-17 | Kabushiki Kaisha Toshiba | Alteration detecting apparatus and alteration detecting method |
-
1999
- 1999-03-30 JP JP09021299A patent/JP3980785B2/ja not_active Expired - Fee Related
Also Published As
| Publication number | Publication date |
|---|---|
| JP2000285024A (ja) | 2000-10-13 |
Similar Documents
| Publication | Publication Date | Title |
|---|---|---|
| JP3980785B2 (ja) | 原本性保証電子保存装置、原本性保証電子保存方法およびその方法をコンピュータに実行させるためのプログラムを記録したコンピュータ読み取り可能な記録媒体 | |
| JP4664572B2 (ja) | 文書配布方法および文書管理方法 | |
| KR100904572B1 (ko) | 정보 처리 장치 | |
| JP3748155B2 (ja) | 改ざん防止／検出機能を有するファイル管理システム | |
| KR100911282B1 (ko) | 정보 처리 장치 | |
| JP3272283B2 (ja) | 電子データ保管装置 | |
| JP6810334B2 (ja) | プロファイルデータ配信制御装置、プロファイルデータ配信制御方法およびプロファイルデータ配信制御プログラム | |
| JP4072761B2 (ja) | 情報処理装置および方法、記録媒体、並びに、プログラム | |
| CN102483792B (zh) | 用于共享文档的方法和装置 | |
| KR20030007771A (ko) | 정보 처리 장치 | |
| JP2002175279A (ja) | 個人認証システム、個人認証方法、および情報処理装置、並びにプログラム提供媒体 | |
| KR20020066233A (ko) | 정보 처리 방법/장치 및 프로그램 | |
| JP2001027964A (ja) | データの保存方法およびシステム並びにデータ保存処理用記録媒体 | |
| KR20030071824A (ko) | 기록 매체, 정보 처리 장치, 컨텐츠 배포 서버, 방법,프로그램, 및 그것의 기록 매체 | |
| JP4436490B2 (ja) | デジタルデータ記録再生システム | |
| JP7074371B2 (ja) | 情報管理端末装置 | |
| CN112291375B (zh) | 物联网设备安全访问控制方法、物联网设备及物联网系统 | |
| US20010054143A1 (en) | Security assurance method for computer and medium recording program thereof | |
| JP2004110197A (ja) | センタ・システムにおける情報処理方法及びアクセス権限管理方法 | |
| CN110213232A (zh) | 一种指纹特征和密钥双重验证方法和装置 | |
| KR100717980B1 (ko) | 정보 제공 시스템 | |
| JP4124936B2 (ja) | 電子申請システム及び書類保存装置並びにコンピュータ読み取り可能な記録媒体 | |
| JP4152099B2 (ja) | アクセス制御履歴保証方法 | |
| JP2008009483A (ja) | 情報処理システム、情報処理方法、およびプログラム | |
| CN115622792A (zh) | 一种基于零信任的数据安全综合防护系统及方法 |
Legal Events
| Date | Code | Title | Description |
|---|---|---|---|
| A977 | Report on retrieval |
Free format text: JAPANESE INTERMEDIATE CODE: A971007 Effective date: 20060412 |
|
| A131 | Notification of reasons for refusal |
Free format text: JAPANESE INTERMEDIATE CODE: A131 Effective date: 20060516 |
|
| A521 | Request for written amendment filed |
Free format text: JAPANESE INTERMEDIATE CODE: A523 Effective date: 20060718 |
|
| A131 | Notification of reasons for refusal |
Free format text: JAPANESE INTERMEDIATE CODE: A131 Effective date: 20070403 |
|
| A521 | Request for written amendment filed |
Free format text: JAPANESE INTERMEDIATE CODE: A523 Effective date: 20070604 |
|
| TRDD | Decision of grant or rejection written | ||
| A01 | Written decision to grant a patent or to grant a registration (utility model) |
Free format text: JAPANESE INTERMEDIATE CODE: A01 Effective date: 20070626 |
|
| A61 | First payment of annual fees (during grant procedure) |
Free format text: JAPANESE INTERMEDIATE CODE: A61 Effective date: 20070628 |
|
| R150 | Certificate of patent or registration of utility model |
Free format text: JAPANESE INTERMEDIATE CODE: R150 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20100706 Year of fee payment: 3 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20110706 Year of fee payment: 4 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20120706 Year of fee payment: 5 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20120706 Year of fee payment: 5 |
|
| S533 | Written request for registration of change of name |
Free format text: JAPANESE INTERMEDIATE CODE: R313533 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20120706 Year of fee payment: 5 |
|
| R360 | Written notification for declining of transfer of rights |
Free format text: JAPANESE INTERMEDIATE CODE: R360 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20120706 Year of fee payment: 5 |
|
| R370 | Written measure of declining of transfer procedure |
Free format text: JAPANESE INTERMEDIATE CODE: R370 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20120706 Year of fee payment: 5 |
|
| S531 | Written request for registration of change of domicile |
Free format text: JAPANESE INTERMEDIATE CODE: R313531 |
|
| S533 | Written request for registration of change of name |
Free format text: JAPANESE INTERMEDIATE CODE: R313533 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20120706 Year of fee payment: 5 |
|
| R360 | Written notification for declining of transfer of rights |
Free format text: JAPANESE INTERMEDIATE CODE: R360 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20120706 Year of fee payment: 5 |
|
| R370 | Written measure of declining of transfer procedure |
Free format text: JAPANESE INTERMEDIATE CODE: R370 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20120706 Year of fee payment: 5 |
|
| S531 | Written request for registration of change of domicile |
Free format text: JAPANESE INTERMEDIATE CODE: R313531 |
|
| S533 | Written request for registration of change of name |
Free format text: JAPANESE INTERMEDIATE CODE: R313533 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20120706 Year of fee payment: 5 |
|
| R350 | Written notification of registration of transfer |
Free format text: JAPANESE INTERMEDIATE CODE: R350 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20120706 Year of fee payment: 5 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20130706 Year of fee payment: 6 |
|
| LAPS | Cancellation because of no payment of annual fees |