JP4835728B2 - 改竄可能性検出システム及びプログラム - Google Patents

Description

本発明は、電子ペンで記入した情報の中から特定の情報を抽出し、処理する技術に関する。

通常、官公庁、金融機関あるいは民間会社その他に提出する申請書などの各種書類には、利用者がボールペンなどを利用して必要事項を記入し、記入済みの書類を提出していた。一方、近年では、従来からの紙の代わりに、帳票を電子化した電子フォームが利用されてきている。電子フォームは、紙の帳票の記入項目などを複数のフィールドとして含む電子データである。帳票を作成する利用者は、パーソナルコンピュータなどに電子フォームを読み込んで表示装置上に表示し、キーボードやマウスなどの入力装置を操作して電子フォームに必要事項を入力する。入力された事項は電子データとして取得され、ネットワークなどを通じて当該帳票の提出先機関などに送信することができる。

しかし、パーソナルコンピュータの操作方法に関する知識を十分に有しない利用者や、キーボード入力をあまり得意としない利用者などにとっては、上述の電子フォームを上手に利用することは難しいことが多い。そのような利用者にとっては、むしろ従来から行われているように、紙の帳票に対してペン入力する方法が最も容易である。

このような場合に有効な入力デバイスとして、近年、「電子ペン」、「デジタルペン」などと呼ばれるペン型入力デバイスが登場しており（以下、本明細書では「電子ペン」と呼ぶ。）、その代表的なものとしてスウェーデンのAnoto社が開発した「アノトペン（Anoto pen）」が知られている。アノトペンは、所定のドットパターンが印刷された専用紙（以下、「専用ペーパー」と呼ぶ。）とペアで使用される。アノトペンは、通常のインクタイプのペン先部に加えて、専用紙上のドットパターンを読み取るための小型カメラと、データ通信ユニットを搭載している。利用者が専用紙上にアノトペンで文字などを書いたり、専用紙上に図案化されている画像をチェックしたりすると、ペンの移動に伴って小型カメラが専用紙上のドットパターンを検出し、利用者が書き込んだ文字、画像などの記入データ（「ストロークデータ」ともいう）が取得される。この記入データが、データ通信ユニットによりアノトペンから近くのパーソナルコンピュータや携帯電話などの端末装置に送信される。

このアノトペンを利用したシステムは、キーボードに代わる入力デバイスとして利用することが可能であり、上述のパーソナルコンピュータやキーボードの使用に抵抗がある利用者にとっては非常に使いやすい。一方、官公庁などの各種申請書類の提出先でも、利用者の記入事項は従来のように紙の書類としてではなく、記入データとして取得することができるので、そのままその後サーバなどによって電子的な処理を行うことができるというメリットがある。

通常、商取引の証拠として保存管理される領収書や、トレーサビリティ記録、定期整備記録など、法的に記録・保存・保管が定められている書類は、電子フォームと異なり「正本」と「控え」がセットになっていることが多く、紙媒体である必要性が高い。しかし、このような紙媒体である必要性が高い記録書類であっても、電子フォームと異なり専用ペーパーを利用することができるため、このアノトペンを利用したシステムを適用することができる。

また、このような記録書類は、どのような情報がいつ何時書かれたか（記録日時に誤りはないか、追記・改竄されていないか）を重視するものであり、タイムスタンプ機能を有するアノトペンを利用したシステムは特に有効である。

従来から、具体的に領収書を例にとると、紙媒体の「正本」を取引相手に渡し、「控え」を記入者が保有するようになっている。そのため、このような領収書において、記入者が「正本」を取引相手に渡した後、「控え」の金額を改竄するという不正が行われていた。この場合、「正本」と「控え」に記入された金額は異なるものとなるが、それぞれ別の人物が保有しているため、このような改竄を検出することは困難であった。

特開２００１−３１３７６１号公報

本発明は、以上の点に鑑みてなされたものであり、記入者が電子ペンを利用して記入した情報を時系列で管理することにより、改竄を検出し、改竄部分を表示することができる改竄検出システムを提供することを課題とする。

本発明の１つの観点では、電子ペンにより認識可能なドットパターンが印刷された電子ペン用帳票を使用した改竄可能性検出システムにおいて、前記電子ペン用帳票は、記入者が前記電子ペンにより記入を行うものであって、複数の項目から構成されており、前記電子ペン用帳票の各項目への正当記入順序が予め設定されており、前記電子ペン用帳票の各項目と、前記ドットパターン上のそれぞれの位置座標と対応付けされた座標情報を記憶する座標情報記憶手段と、前記電子ペン用帳票に記入された記入情報を取得する記入情報取得手段と、前記記入情報から、各項目への記入開始時刻と記入終了時刻を抽出する時刻抽出手段と、前記正当記入順序に従った、特定の項目から次の項目への正当移行時間を記憶する記憶手段と、前記時刻抽出手段が抽出した前記記入開始時刻及び前記記入終了時刻に基づいて、前記特定の項目から次の項目への移行時間を算出する移行時間算出手段と、前記移行時間算出手段が算出した時間が、前記正当移行時間よりも長いか否かを判定する移行時間判定手段とを備える。

上記のように構成された改竄可能性検出システムは、時刻抽出手段が抽出した、特定の項目の記入終了時刻と、次の項目の記入開始時刻とに基づいて、記入者が特定の項目から次の項目への移行に要した移行時間を算出する。さらに、改竄可能性検出システムは、算出した移行時間と、予め記憶された正当記入順序に従った、特定の項目から次の項目への正当移行時間とを比較し、記入者による特定の項目から次の項目への移行に要した移行時間が、正当移行時間よりも長いか否かを判定する。これによれば、改竄可能性検出システムは、特定の項目から次の項目へ移行する場合における時間的に不自然な流れ、即ち改竄されている可能性を容易に検出することができる。

本発明の別の観点では、電子ペンにより認識可能なドットパターンが印刷された電子ペン用帳票を使用した改竄可能性検出システムにおいて、前記電子ペン用帳票は、記入者が前記電子ペンにより記入を行うものであって、複数の項目から構成されており、前記項目は、さらに複数のフィールドから構成されるものであって、各フィールドへの正当記入順序が予め設定されており、前記電子ペン用帳票の各フィールドと、前記ドットパターン上のそれぞれの位置座標と対応付けされた座標情報を記憶する座標情報記憶手段と、前記電子ペン用帳票に記入された記入情報を取得する記入情報取得手段と、前記記入情報から、各フィールドへの記入開始時刻と記入終了時刻を抽出する時刻抽出手段と、前記正当記入順序に従った、特定のフィールドから次のフィールドへの正当移行時間を記憶する記憶手段と、前記時刻抽出手段が抽出した記入終了時刻と、記入開始時刻とに基づいて、前記特定のフィールドから次のフィールドへの移行時間を算出する移行時間算出手段と、前記移行時間算出手段が算出した移行時間が、前記正当移行時間よりも長いか否かを判定する移行時間判定手段とを備える。

上記のように構成された改竄可能性検出システムは、時刻抽出手段が抽出した、特定のフィールドの記入終了時刻と、次のフィールドの記入開始時刻とに基づいて、記入者が特定のフィールドから次のフィールドへの移行に要した移行時間を算出する。さらに、改竄可能性検出システムは、算出した移行時間と、予め記憶された正当記入順序に従った、特定のフィールドから次のフィールドへの正当移行時間とを比較し、記入者による特定のフィールドから次のフィールドへの移行に要した移行時間が、正当移行時間よりも長いか否かを判定する。これによれば、改竄可能性検出システムは、特定のフィールドから次のフィールドへ移行する場合における時間的に不自然な流れ、即ち改竄されている可能性を容易に検出することができる。

なお、改竄可能性検出システムは、さらに「前記移行時間判定手段によって、前記正当移行時間よりも、前記移行時間算出手段によって算出された移行時間の方が長いと判定された場合に、記入者が改竄した可能性がある旨を表示手段に表示させる第１の表示処理手段」を備えてもよい。これによれば、正当移行時間を基準として、記入情報から、正当ストロークデータ及び追加ストロークデータをそれぞれ抽出し、区別して表示することで、利用者は、電子ペン用帳票がどのように改竄されたかを容易に認識することができる。

また、改竄可能性検出システムは、さらに「設定された前記正当記入順序に前後した記入を検知した場合に、記入者が改竄した可能性がある旨を表示手段に表示させる第２の表示処理手段」を備えてもよい。これによれば、特定の項目への記入終了時刻と次の項目への記入開始時刻とが前後して不自然な時系列となっていたりする場合、改竄の可能性ありと判定し、記入者が改竄した可能性がある旨を表示手段に表示させることで、利用者は改竄された可能性があることを容易に認識することができる。

上記改竄可能性検出システムの他の一態様では、記入者が使用する電子ペンの識別情報に対応付けて、当該記入者が使用可能な電子ペン用帳票の識別情報を記憶する帳票情報記憶手段と、前記記入情報から記入者が使用する前記電子ペンの識別情報を抽出するペン情報抽出手段と、前記ペン情報抽出手段が抽出した電子ペンの識別情報に基づいて、前記帳票情報記憶手段から前記帳票の識別情報を抽出する帳票情報抽出手段と、前記記入情報に含まれる電子ペン用帳票の識別情報が、前記帳票情報抽出手段が抽出した帳票の識別情報に含まれるか否かを判定する帳票判定手段と、前記帳票判定手段が含まれないと判定した場合に、前記記入情報を無効とする無効手段と、をさらに備える。

上記のように構成された改竄可能性検出システムは、記入者が使用することができる電子ペン用帳票の識別情報を予め記憶している。そして、記入情報から抽出した電子ペン用帳票の識別情報に基づいて、当該電子ペン用帳票が、記入者が利用することのできない帳票であると判定した場合、改竄可能性検出システムは記入情報を無効にする。これによれば、記入者が不正な電子ペン用帳票を使用して改竄を企んだ場合であっても、帳票の適否を判断し、当該判断に基づいて記入情報を無効化することで容易に改竄を防止することができる。

上記改竄検出システムのさらに他の一態様では、記入者が使用する電子ペンの識別情報に対応付けて、当該記入者の筆圧に関する筆圧情報を記憶する筆圧情報記憶手段と、前記電子ペン識別情報抽出手段が抽出した識別情報に基づいて、前記筆圧情報記憶手段から前記筆圧情報を抽出する筆圧情報抽出手段と、前記記入情報に含まれるストロークデータの筆圧が、前記筆圧情報に含まれる筆圧と一致するか否かを判定する筆圧判定手段と、をさらに備え、前記無効手段は、前記筆圧判定手段が一致しないと判定した場合に、前記記入情報を無効とする。

上記のように構成された改竄検出システムは、記入者の筆圧に関する筆圧情報を予め記憶している。そして、筆圧情報に基づいて、記入情報に含まれる筆圧が、電子ペン保有者の筆圧と一致しない、即ち、記入者と電子ペン保有者とが別人であると判定した場合、改竄検出システムは記入情報を無効にする。これによれば、記入者が他の人物の電子ペンを使用して改竄を企んだ場合であっても、筆圧に基づいて記入者の認証を行い、当該認証に基づいて記入情報を無効化することで容易に改竄を防止することができる。

本発明のさらに別の観点では、電子ペンにより認識可能なドットパターンが印刷された電子ペン用帳票を使用したコンピュータにより実行されるプログラムにおいて、前記電子ペン用帳票は、記入者が前記電子ペンにより記入を行うものであって、複数の項目から構成されており、前記電子ペン用帳票の各項目への正当記入順序が予め設定されており、前記電子ペン用帳票の各項目と、前記ドットパターン上のそれぞれの位置座標とを対応付けた座標情報を記憶する座標情報記憶手段、前記電子ペン用帳票に記入された記入情報を取得する記入情報取得手段、前記記入情報から、前記座標情報に基づいて、前記各項目への記入開始時刻と記入終了時刻をそれぞれ抽出する時刻抽出手段、前記正当記入順序に従った、特定の項目から次の項目への正当移行時間を記憶する記憶手段、前記時刻抽出手段が抽出した記入終了時刻と記入開始時刻とに基づいて、前記特定の項目から次の項目への移行時間を算出する移行時間算出手段、前記移行時間算出手段が算出した移行時間が、前記正当移行時間よりも長いか否かを判定する移行時間判定手段として前記コンピュータを機能させる。

本発明のさらに別の観点では、電子ペンにより認識可能なドットパターンが印刷された電子ペン用帳票を使用したコンピュータにより実行されるプログラムにおいて、前記電子ペン用帳票は、記入者が前記電子ペンにより記入を行うものであって、複数の項目から構成されており、前記項目は、さらに複数のフィールドから構成されるものであって、各フィールドへの正当記入順序が予め設定されており、前記電子ペン用帳票の各フィールドと、前記ドットパターン上のそれぞれの位置座標と対応付けされた座標情報を記憶する座標情報記憶手段、前記電子ペン用帳票に記入された記入情報を取得する記入情報取得手段、前記記入情報から、各フィールドへの記入開始時刻と記入終了時刻を抽出する時刻抽出手段、前記正当記入順序に従った、特定のフィールドから次のフィールドへの正当移行時間を記憶する記憶手段、前記時刻抽出手段が抽出した記入終了時刻と記入開始時刻とに基づいて、前記特定のフィールドから次のフィールドへの移行時間を算出する移行時間算出手段、前記移行時間算出手段が算出した移行時間が、前記正当移行時間よりも長いか否かを判定する移行時間判定手段として前記コンピュータを機能させる。

上記のように構成されるプログラムは、前記移行時間判定手段によって、前記正当移行時間よりも、前記移行時間算出手段によって算出された移行時間の方が長いと判定された場合に、記入者が改竄した可能性がある旨を表示手段に表示させる第１の表示処理手段をさらに備える前記コンピュータとして機能させる。

また、上記のように構成されるプログラムは、設定された前記正当記入順序に前後した記入を検知した場合に、記入者が改竄した可能性がある旨を表示手段に表示させる第２の表示処理手段をさらに備える前記コンピュータとして機能させる。

上記プログラムをコンピュータにより実行することにより、上述の改竄検出システムを実現することができる。また、上述の改竄検出システムの各態様も同様に実現することができる。

本発明によれば、記入者が電子ペンを利用して記入した情報を時系列で管理することにより、改竄を検出し、改竄部分を表示することができる。

電子ペンの使用形態を模式的に示す図である。 電子ペンの構造を示す機能ブロック図である。 専用ペーパーに印刷されたドットパターンによる情報の表現方法を説明する図である。 ドットパターン及びそれに対応する情報の例である。 専用ペーパーにより構成される帳票の構造を示す。 電子ペン用帳票の例を示す。 本実施形態における改竄検出システムの概略構成を示す図である。 領収書の構成を模式的に示す。 領収書の例である。 領収書の記入例である。 図７に示す改竄検出システムに含まれるサーバの機能ブロック図である。 座標テーブルのデータ構造を模式的に示す図である。 記入情報ＤＢのデータ構造を模式的に示す図である。 取扱者情報ＤＢのデータ構造を模式的に示す図である。 画面上に表示されるデータ一覧を示す図である。 画面上に表示される記載イメージを示す図である。 本実施形態における改竄検出処理フローチャートである。 変形例における記入情報ＤＢのデータ構造を模式的に示す図である。

以下、図面を参照して本発明の好適な実施の形態について説明する。まず、本実施形態のシステムにおいて入力デバイスとして使用される電子ペンの概要について説明する。

［電子ペン］
図１は電子ペンの使用形態を模式的に示す図であり、図２は電子ペンの構造を示す機能ブロック図である。図１に示すように、電子ペン１０は、ドットパターンが印刷された専用ペーパー２０と組み合わせて使用される。電子ペン１０は、通常のインクペンと同様のペン先部１７を備えており、利用者は通常のインクペンと同様に専用ペーパー２０上に文字などを書くことになる。

図２に示すように、電子ペン１０は、その内部にプロセッサ１１、メモリ１２、データ通信ユニット１３、バッテリー１４、ＬＥＤ１５、カメラ１６及び圧力センサ１８を備える。また、電子ペン１０は通常のインクペンと同様の構成要素としてインクカートリッジ（図示せず）などを有する。

電子ペン１０は、ペン先部１７により専用ペーパー２０上に描かれたインクの軌跡をデータ化するのではなく、専用ペーパー２０上で電子ペン１０が移動した軌跡座標をデータ化する。ＬＥＤ１５が専用ペーパー２０上のペン先部１７近傍を照明しつつ、カメラ１６が専用ペーパー２０に印刷されているドットパターンを読み取り、データ化する。つまり、電子ペン１０は専用ペーパー２０上で利用者が電子ペン１０を移動させることにより生じるストロークを画像データ又はベクトルデータとして取得することができる。

圧力センサ１８は、利用者が電子ペン１０により専用ペーパー上に文字などを書く際にペン先部１７に与えられる圧力、即ち筆圧を検出し、プロセッサ１１へ供給する。プロセッサ１１は、圧力センサ１８から与えられる筆圧データに基づいて、ＬＥＤ１５及びカメラ１６のスイッチオン／オフの切換を行う。即ち、利用者が電子ペン１０で専用ペーパー２０上に文字などを書くと、ペン先部１７には筆圧がかかる。よって、所定値以上の筆圧が検出されたときに、利用者が記述を開始したと判定して、ＬＥＤ１５及びカメラ１６を作動する。

カメラ１６は専用ペーパー２０上のドットパターンを読み取り、そのパターンデータをプロセッサ１１に供給する。プロセッサ１１は、供給されたドットパターンから、専用ペーパー２０上でのＸ，Ｙ座標を算出する。

プロセッサ１１は、利用者の記述が行われる間に、筆圧の配列データ及びＸ，Ｙ座標データを取得し、タイムスタンプ（時間情報）と関連付けてメモリ１２に記憶していく。よって、メモリ１２内には利用者の記述内容に対応するデータが時系列で記憶されていく。メモリ１２の容量は例えば１Ｍバイト程度とすることができる。

利用者により送信指示がなされるまでは、取得された全てのデータはメモリ１２内に保持される。そして、利用者が送信指示を行うと、データ通信ユニット１３により、電子ペン１０と所定距離内にある端末装置２５へメモリ１２内のデータが送信される。基本的には、一度送信指示がなされると、電子ペン１０はメモリ１２内に記憶していた全てのデータを端末装置２５へ送信するため、メモリ１２内はクリアされる。よって、送信後にもう一度同じ情報を端末装置２５へ送信したい場合には、利用者は専用ペーパー２０上に再度記述を行う必要がある。なお、この場合、利用者は専用ペーパー２０上にインクペンで書かれた文字などをなぞればよいことになる。

電子ペン１０自体は、送信ボタンなどの機能ボタンを備えておらず、送信指示その他の指示は、利用者が専用ペーパー２０上の所定位置に設けられた専用ボックスを電子ペン１０でチェックすることにより実行される。専用ボックスの位置座標には、予め送信指示が対応付けられており、プロセッサ１１は専用ボックスの位置座標を受信すると、データ通信ユニット１３にメモリ１２内のデータを供給し、端末装置２５への送信を行わせる。なお、電子ペン１０は、データの送信完了を電子ペンの振動により示すことができる。

バッテリー１４は電子ペン１０内の各要素に電源供給するためのものであり、例えば電子ペンのキャップ（図示せず）により電子ペン１０自体の電源のオン／オフを行うことができる。

このように、電子ペン１０は利用者が専用ペーパー２０上に記述した文字などに対応する座標データ及び筆圧データを取得して近傍の端末装置２５へ送信する機能を有するが、電子ペン１０のペン先部１７は通常のインクペンとなっているため、専用ペーパー２０上に記述した内容はオリジナルの原本として残るという特徴がある。即ち、紙の原本に対して記述するのと同時に、その内容を座標データなどの形態でリアルタイムに電子化することができる。

なお、電子ペン１０の標準機能によれば、電子ペン１０により得られるデータは、原則として座標データ又はベクトルデータの形態であり、テキストデータではない。但し、電子ペン１０は標準機能として、専用ペーパー２０上に設けられた専用エリアに記述することにより、英数字に限りテキスト化する機能は備えている。

また、電子ペン１０内には、ペン自体及びその所有者に関するプロパティ情報（ペン情報及びペン所有者情報）を保持することができ、アプリケーションから参照することができる。ペン情報としては、バッテリーレベル、ペンＩＤ、ペン製造者番号、ペンソフトウェアのバージョン、サブスクリプションプロバイダのＩＤなどを保持できる。また、ペン所有者情報としては、国籍、言語、タイムゾーン、emailアドレス、空きメモリ容量、名称、住所、ファックス／電話番号、携帯電話番号などを保持することができる。

なお、上記の例におけるデータ通信ユニット１３では、Bluetooth（登録商標）の無線伝送、ＵＳＢケーブルを使用した有線伝送、端子などの接触によるデータ伝送など、各種の方法によって電子ペン１０から端末装置２５へのデータ送信を行うことが考えられる。

次に、電子ペンにより利用者が記述した内容のＸ，Ｙ座標データを取得する方法について説明する。前述のように専用ペーパー２０には、所定のドットパターンが印刷されている。電子ペン１０のカメラ１６は、利用者が専用ペーパー２０上に記述したインクの軌跡を読み取るのではなく、専用ペーパー２０上のドットパターンを読み取る。実際、図１に示すように、ＬＥＤ１５による照明エリア及びカメラ１６の撮影エリア（照明エリア内に位置する）は、ペン先部１７が専用ペーパー２０に接触する位置とはずれている。

ドットパターンはカーボンを含む専用インキなどで印刷されており、カメラ１６はその専用インキによるパターンのみを認識することができる。専用インキ以外のインキ（カーボンを含まない）により、専用ペーパー上に罫線や枠などを印刷しても、電子ペンはそれらを認識することはない。よって、専用ペーパーを利用して各種申込書などの帳票を作成する際は、専用インキ以外のインキで入力枠や罫線、注意書きなどを印刷する。

ドットパターンは、図３に例示するように、各ドットの位置がデータに対応付けされている。図３の例では、ドットの位置を格子の基準位置（縦線及び横線の交差点）から上下左右にシフトすることにより、０〜３の２ビット情報を表示した例である。このようにして表現された情報の組合せにより、専用ペーパー上の位置座標が決定される。図４（ａ）に例示するように、縦横２mmの範囲内に３６個のドットが格子状に配置され、これらのドットにより示されるデータの配列（図４（ｂ））が、その専用ペーパー上の位置座標と対応付けされている。よって、電子ペン１０のカメラ１６が図４（ａ）に示すようなドットパターンを撮影すると、プロセッサ１１はカメラ１６から入力されるドットパターンのデータに基づいて図４（ｂ）に示すデータ配列を取得し、それに対応する専用ペーパー上の位置座標（即ち、そのドットパターンがその専用ペーパー上のどの位置にあるのか）をリアルタイムで算出する。なお、ドットパターンを認識する最小単位は２mm×２mmであり、カメラ１６は毎秒１００回程度の撮影を行う。

次に、専用ペーパーについて説明する。専用ペーパーの構造の一例を図５に示す。図示のように、専用ペーパー２０は、台紙３０上にドットパターン３２が印刷され、その上に罫線などの図案３４が印刷されている。台紙３０は通常は紙であり、ドットパターン３２は前述のようにカーボンを含んだ専用インキにより印刷される。また、通常のインキなどにより図案３４が印刷される。ドットパターンと図案とは同時に印刷してもよいし、いずれかを先に印刷してもよい。

図案３４の例を図６に示す。図６は、ある申込書３６の例であり、複数の記入欄３８や送信ボックス３９が印刷されている。図６には明確に図示されておらず、詳細は後述するが、実際にはドットパターンが申込書３６の全面に印刷されており、その上に記入欄３８や送信ボックス３９が通常のインキにより印刷されている。利用者は、ドットパターンを意識することなく、従来からある申込書と同様に、電子ペン１０を使用して必要事項を申込書３６の各記入欄３８に記入すればよい。

専用ペーパー２０上のエリアは大きく２種類のエリアに分けることができる。１つは記入エリアであり、電子ペン１０による記述内容をそのまま情報として取り扱うエリアである。図６の例では複数の記入欄３８がこれに該当する。もう１つは機能エレメントであり、対応するエリア内を電子ペン１０でチェックした際に、予めそのエリアに対して定義されているアクション、指示などを実行するようになっている。図６の例における送信ボックス３９がこれに該当する。

送信ボックス３９は前述したように電子ペン１０内に記憶されているデータを近傍の端末装置２５へ送信するための指示を行う際に使用される。利用者が送信ボックス３９内に電子ペン１０でチェックを入れると、電子ペン１０が送信ボックス内のドットパターンを読み取る。当該パターンは送信指示に対応付けられており、電子ペン１０内のプロセッサ１１はデータ通信ユニット１３にメモリ１２内の記憶データの送信命令を発する。

ドットパターンの割り当ては、通常、アプリケーション（用紙の種類）毎に行われる。即ち、ある申込書内のドットパターンは１枚の用紙の中で重複することはないが、同一の申込書には全て同じドットパターンが印刷されている。よって、利用者が電子ペン１０で必要事項を入力すると、その入力事項がその申込書のどの項目に対するものであるかを、申込書上の座標データから特定することができる。

このように、ドットパターンを印刷した専用ペーパー上に所定の図案を印刷することにより、専用ペーパーを利用した各種申込書が作成できる。利用者は電子ペン１０を使用して通常の要領で必要事項を記入すれば、その電子データが自動的に取得される。

上記の例では、ドットパターンは専用ペーパー上にカーボンを含むインキにより印刷されているが、プリンタ及びカーボンを含むインクを使用してドットパターンを通常の紙上にプリントすることも可能である。さらに、専用ペーパー上の図案も印刷ではなく、プリンタにより形成することも可能である。ドットパターンをプリンタにより紙上に形成する場合には、１枚１枚に異なるドットパターンを形成することが可能である。よって、形成されたドットパターンの違いにより、それらの用紙１枚１枚を識別し、区別することが可能となる。

なお、本明細書においては、「印刷」の語は、通常の印刷のみならず、プリンタによるプリントも含む概念とする。

次に、電子ペンにより取得したデータの送信処理について図２を参照して説明する。電子ペン１０が取得したデータは、主として利用者が入力した事項のデータであるが、通常はそのデータの送信先であるサービスサーバがどこであるかの情報は含まれていない。その代わりに、その専用ペーパーに関するアプリケーションやサービスを特定する情報が専用ペーパー上のドットパターンに含まれており、利用者の入力作業中に専用ペーパーからその情報が取得されている。よって、電子ペン１０から記入データを受け取った端末装置２５は、まず、問い合わせサーバ２６に対して、その専用ペーパーに対して入力されたデータをどのサービスサーバ２７へ送信すべきかの問い合わせを行う。問い合わせサーバ２６は、専用ペーパー毎に、対応するサービスサーバの情報を有しており、端末装置２５からの問い合わせに応じて、当該専用ペーパーに関するサービスなどを行うサービスサーバ２７の情報（ＵＲＬなど）を端末装置２５へ回答する。それから、端末装置２５は、電子ペンから取得した記入データをそのサービスサーバ２７へ送信することになる。

なお、上記の例では端末装置２５、問い合わせサーバ２６及びサービスサーバ２７が別個に構成されているが、これらの幾つか又は全てを１つの装置として構成することも可能である。本実施形態において、後述するサーバは、問い合わせサーバ２６及びサービスサーバ２７を兼ねているものとする。

[改竄検出システム]
次に、本実施形態の改竄検出システムについて説明する。図７に改竄検出システム１００の概略構成を示す。図７に示す改竄検出システム１００は、利用者が電子ペン用帳票において改竄を行った場合に、記入情報から改竄を行ったストロークデータを抽出し、表示することができるものである。

図７に示すように、改竄検出システム１００は、端末装置２５及びサーバ５がネットワーク２を通じて接続されることにより構成される。ここで、ネットワーク２の１つの好適な例はインターネットである。また、端末装置２５とは、利用者が使用するＰＣや携帯電話といったネットワーク２を介してデータの授受が可能な端末である。なお、サーバ５は、記入情報データベース（以下、「ＤＢ」と呼ぶ。）７及び取扱者ＤＢ８に接続されている。ここで、本実施形態の改竄検出システム１００で利用する電子ペン用帳票は、詳細は後述するが、領収書３であるものとする。

まず、本システムにおける改竄検出方法の概要を述べておく。図８は、領収書３の構造を示す図である。領収書３は、図８（ａ）に示すように、記入を行った利用者が商取引の証拠として保存する控え５０と、取引相手に渡す正本５１とから構成されている。また、領収書３は、図８（ｂ）に示すように、控え５０及び正本５１が重なってセットになっており、控え５０に記入した文字が正本５１に転写されるようになっている。領収書３における控え５０は、上述の専用ペーパーとして作成されたものであり、正本５１は通常の紙である。図９は、領収書３における控え５０の例を示す。詳細は後述するが、控え５０は、図９（ａ）に示すように、領収書番号、宛名、金額、年月日、取扱者などを記入するための複数の項目から構成されている。また、控え５０は、領収書３への記入を開始したことを示すための開始ボックス５３と、電子ペン１０が記憶している記入情報を端末装置２５へ送信するための送信ボックス５４とを構成要素として含んでいる。ここで、記入情報とは、ペン情報、ストロークデータ、ドットパターン上の位置座標、記入した時刻に関する情報などを含むものとする。

なお、図９では、開始ボックス５３及び送信ボックス５４が控え５０上に設定されているが、本発明はこれに限定されるものではなく、開始ボックス５３及び送信ボックス５４を他の専用ペーパー上に設定することとしても構わない。

利用者は、電子ペン１０を使用して、領収書３における控え５０の開始ボックス５３にチェックマークを記入した後、図１０（ａ）に示すように各項目への記入を行い、正本５１を取引相手に渡す。ここで、利用者が改竄を企み、取引相手に正本５１を渡した後、図１０（ｂ）に示すように控え５０に記入された金額「￥１１０００」を、破線で示す部分を追加して「￥１４８８８」にしたとする。その後、利用者が、送信ボックス５４にチェックマークを記入することで、金額項目に「￥１１０００」ではなく、「￥１４８８８」が記入されたという情報が端末装置２５を介してサーバ５へ送信される。即ち、取引相手が保有する正本５１の金額「￥１１０００」と、利用者が保有する控え５０の金額「￥１４８８８」が異なるものとなる。

このとき、電子ペン１０は、領収書３における控え５０に記入された内容に対応するストロークデータを取得し、電子ペン１０内のメモリ１２に一時的に記憶した後、当該ストロークデータを端末装置２５へ送信する。端末装置２５は、電子ペン１０からストロークデータを受信し、ネットワーク２を通じてサーバ５へ送信する。このようにして、サーバ５は、ストロークデータを、利用者が領収書３の控え５０に対して記入した内容を示す記入情報として取得する。

次に、サーバ５は、控え５０において各項目が設定されたドットパターン上の位置座標に基づいて、記入情報から各項目に記入されたストロークデータを抽出する。さらに、サーバ５は、各項目への記入開始時刻及び記入終了時刻を記入情報から抽出する。そして、サーバ５は、各項目の識別情報に対応付けて、各項目に記入されたストロークデータ、各項目への記入開始時刻及び記入終了時刻を記入情報ＤＢ７に記憶する。また、サーバ５は、詳細は後述するが、予め設定された正当記入時間、正当移行時間及びロック項目などに基づいて、記入情報ＤＢ７に記憶された情報を分析することにより、利用者による改竄が行われたか否かを検出する。そして、利用者の指示に応じて、正当に記入されたストロークデータと、改竄のために記入されたストロークデータとを区別して、且つ、それぞれの記入時刻及び領収書３上の位置関係が分かるように表示する。即ち、正当に記入された図１０（ｂ）における実線のストロークデータと、改竄のために記入された破線のストロークデータとを区別して表示する。

このように、利用者が電子ペン１０を使用して領収書３の改竄を行った場合、改竄検出システム１００は、記入情報から時系列に基づいて不自然なストロークデータを抽出して改竄が行われたか否かを検出し、改竄が行われている場合には改竄部分の表示を行うことができる。即ち、従来は領収書３における控え５０と正本５１の保有者が異なることなどから検出しにくかった利用者による不正な改竄を、電子ペン１０を利用して記入情報を電子データ化し、時系列に基づいて管理、分析することにより容易に検出することができる。また、改竄部分を時系列に沿って領収書３上の位置関係が分かるように明確に表示することができる。

[領収書]
次に、領収書３について説明する。本実施形態のシステムでは、図９に示すような領収書３の控え５０は、上述した専用ペーパーとして作成されている。即ち、図５に例示するように台紙３０上に所定のドットパターン３２が印刷されており、その上に所定のページ番号や罫線などが印刷されている。先に述べたように、ドットパターン３２は電子ペン１０が認識することができるように、カーボンを含んだインキにより印刷されている。一方、罫線などの図案３４は、通常の（カーボンを含まない）インキにより印刷されているため、電子ペン１０がそれを認識することはない。

図９（ｂ）は、控え５０を構成する各項目を１文字ずつに細分化した各フィールドを識別するフィールドＩＤを示す図である。つまり、各項目は、フィールドＩＤが設定された複数のフィールドから構成されている。サーバ５は、詳細は後述するが記入情報ＤＢ７により、記入情報に基づいて各項目の記入開始時刻及び記入終了時刻のみならず、各フィールドの記入開始時刻及び記入終了時刻をも管理している。

[サーバ]
次に、サーバ５について詳しく説明する。図１１は、改竄検出システム１００における、特にサーバ５の内部構成を示す。図示のように、サーバ５は、改竄検出プログラム５００、記入情報取得機能５０１、座標テーブル５０２、フィールド情報抽出機能５０４、時間抽出機能５０５、記入情報記憶機能５０６、改竄検出機能５０７、取扱者情報抽出機能５０８、データ一覧作成機能５０９、追加ストロークデータ抽出機能５１０、記載イメージ作成機能５１１から構成されている。なお、各機能は、サーバ５が有するＣＰＵが予め用意されたプログラムを実行することにより実現される。

改竄検出プログラム５００は、電子ペン１０から取得した記入情報に基づいて、座標テーブル５０２を参照することにより、領収書３における控え５０の各項目に記入された情報を時系列に沿って記入情報ＤＢ７に記憶、管理するプログラムである。また、改竄検出プログラム５００は、記入情報ＤＢ７に記憶された情報に基づいて、改竄を検出し、改竄部分の表示を行うプログラムである。

記入情報取得機能５０１は、改竄検出プログラム５００を実行することにより、利用者が電子ペン１０を使用して領収書３に記入した記入情報を取得する機能である。

座標テーブル５０２は、図１２に示すように、項目名、フィールドＩＤ及び座標データから構成されている。項目名は、領収書３における控え５０を構成する各項目の名称である。フィールドＩＤは、各項目を構成する複数のフィールドを識別するための情報である。座標データは、控え５０に設定されている各フィールドのドットパターン上の位置座標を示す情報であり、各フィールドの左上の座標及び右下の座標により表されている。なお、座標テーブルには、開始ボックス５３及び送信ボックス５４の座標データも含まれているものとする。

フィールド情報抽出機能５０４は、記入情報取得機能５０１が取得した記入情報及び座標テーブル５０１に基づいて、各フィールドに記入されたストロークデータを抽出する機能である。

時間抽出機能５０５は、記入情報取得機能５０１が取得した記入情報及び座標テーブル５０１に基づいて、各フィールドへの記入開始時刻及び記入終了時刻を抽出する機能である。

記入情報記憶機能５０６は、控え５０の領収書番号、記入を行った利用者が使用した電子ペン１０のペンＩＤ、控え５０を構成する項目の項目名を記憶する機能である。なお、ペンＩＤは、記入情報に含まれるペン情報から認識することができる。また、記入情報記憶機能５０６は、各項目を構成するフィールド毎に、フィールド情報抽出機能５０４が抽出したストロークデータと、時間抽出機能５０５が抽出した記入開始時刻及び記入終了時刻と、記入開始時刻及び記入終了時刻から算出した記入に要した時間と、ストロークデータとを記入情報ＤＢ７に記憶する機能である。具体的に、記入情報ＤＢ７は、図１３に示すように、控え５０に設定された項目を構成するフィールド毎に、記入開始時刻及び記入終了時刻による時系列に従ってストロークデータを記憶している。なお、記入情報ＤＢ７は、開始ボックス５３にチェックマークが記入されてから、送信ボックス５４にチェックマークが記入されるまでの間に、控え５０に記入された情報を１つのまとまりとして記憶している。なお、１つのまとまりとして記憶する方法は、これに限られるものではなく、例えば記入を終了した時点でチェックマークを記入する終了ボックスを設け、開始ボックス５３にチェックマークが記入されてから終了ボックスにチェックマークが記入されるまでの間に記入された情報を１つのまとまりとして記憶する方法など種々の方法を適用することが可能である。

改竄検出機能５０７は、予め設定された正当記入時間や正当移行時間等を基準として、記入情報ＤＢ７に記憶された情報を分析することにより、当該正当記入時間や正当移行時間等を超えて、不自然に追加記入された追加ストロークデータが存在するか否かを判定する機能である。改竄検出機能５０７は、追加ストロークデータが存在する場合に、改竄可能性があると検出する。

取扱者情報抽出機能５０８は、取扱者情報ＤＢ８から、利用者が保有する電子ペン１０のペンＩＤに基づいて、取扱者の氏名、支店名、用紙、筆圧データなどを抽出する機能である。ここで、取扱者情報ＤＢ８について説明する。取扱者情報ＤＢ８は、図１４に示すように、ペンＩＤをキーとして、当該ペンＩＤの電子ペン１０を保有する取扱者の氏名、支店名、用紙、筆圧データなどを予め記憶している。

ここで、用紙とは、取扱者が利用することができる用紙の種類を表しており、本実施形態では、東京支店の取扱者は全国版のみを利用することができ、それ以外の支店の取扱者は地区版のみを利用することができるものとする。例えば、全国版と地区版とで、設定された項目や配置が異なる場合が考えられ、それぞれの用紙に対応した改竄検出処理及びプログラムを適用しなければ適切な改竄検出をすることができないからである。サーバ５は、記入情報から認識した用紙と、取扱者情報ＤＢ８から抽出した用紙とを比較し、一致しない場合、当該記入情報を無効にする、用紙が適切でない旨のメッセージを表示するなど種々の対応を行う。なお、全国版と地区版では印刷されるドットパターンが異なるため、サーバ５は、記入情報に含まれるドットパターンに基づいて、いずれの用紙を利用者が利用したかを認識することが可能である。

また、筆圧データとは、取扱者の筆圧に関するデータであり、サーバ５は、記入情報から取得した筆圧データと、取扱者情報ＤＢ８から抽出した筆圧データとを比較し、一致しない場合、当該記入情報を無効にする、取扱者が認識できない旨のメッセージを表示するなど種々の対応を行う。

データ一覧作成機能５０９は、記入情報ＤＢ７において記憶・管理されている情報と、取扱者情報抽出機能５０８が抽出した情報とに基づいて、図１５に示すような、端末装置２５の画面上に表示されるデータ一覧を作成する機能である。

ここで、データ一覧について説明する。データ一覧は、図１５に示すように、記入情報受付日時、領収書番号、ペンＩＤ、取扱者、用紙チェック及び改竄可能性から構成されている。記入情報受付日時は、利用者が使用する電子ペン１０から記入情報を受信した日時である。領収書番号は、控え５０の領収書番号項目に記入された番号であり、座標テーブル５０２を参照することにより記入情報から領収書番号項目に記入された情報を抽出し、フィールド毎に文字認識することにより認識した番号である。ペンＩＤは、利用者が使用する電子ペン１０の識別情報である。取扱者は、ペンＩＤに対応する電子ペン１０を使用する利用者の氏名と支店の情報であり、当該ペンＩＤに基づいて取扱者情報ＤＢ８から抽出される情報である。なお、本実施形態では、記入情報受付日時を電子ペン１０から記入情報を受信した日時としているが、本発明はこれに限定されるものではなく、電子ペン１０が情報を取得した時間とすることも可能である。

用紙チェックは、利用者が使用した領収書３が全国版であるか地区版であるかを示す情報であり、控え５０に印刷されたドットパターンから認識することができる。利用者が東京支店であるにも関わらず、使用した領収書３が地区版であることが判明した場合、用紙チェック項目には「地区版」とともに「×」が表示される。同様に、利用者が京都支店であって、使用した領収書３が全国版であることが判明した場合、用紙チェック項目には「全国版」とともに「×」が表示される。一方、利用者が東京支店であって、使用した領収書３が全国版であることが判明した場合、用紙チェック項目には「全国版」とともに「○」が表示される。同様に、利用者が京都支店であって、使用した領収書３が地区版であることが判明した場合、用紙チェック項目には「地区版」とともに「○」が表示される。

改竄可能性は、利用者により改竄された可能性があるか否かを示す情報であり、改竄検出機能５０７の検出結果に基づいて認識することができる。利用者が任意で、図１５に示すような、「記載イメージ確認」ボタンを押下することにより、後述する記載イメージを表示することができる。

追加ストロークデータ抽出機能５１０は、改竄検出機能５０７が改竄可能性ありと判定した場合に、記入情報ＤＢ７に記憶されたストロークデータの中から時系列に基づいて不自然に追加された追加ストロークデータを抽出する機能である。

記載イメージ作成機能５１１は、データ一覧における「記載イメージ確認」ボタンが押下された際に表示する、図１６に示すような、記載イメージを作成する機能である。記載イメージは、「改竄されている可能性があります！」という警告メッセージと、記入開始時刻と、追加記入開始時刻と、領収書３における控え５０の記入後のイメージデータとから構成される。なお、改竄検出機能５０７により改竄可能性なしと判定された場合には、警告メッセージや追加記入開始時刻は表示されず、記入開始時刻と、領収書３における控え５０の記入後のイメージデータとが表示される。ここで、記入開始時刻は、最初に記入されたフィールドへの記入が開始された時刻であり、利用者が控え５０への記入を開始した時刻である。追加記入開始時刻は、時系列に基づいて不自然な追加記入を開始した時刻である。控え５０のイメージデータは、追加記入時刻より前のストロークデータと、追加記入時刻以降のストロークデータとが区別できるように表示される。具体的には、図１６に示すように、細線と太線にする手法、色を変化させる手法など種々の手法を適用することができる。

また、イメージデータは、記入開始時刻及び追加記入開始時刻の経過とともに、利用者が書いた順番にストロークデータが浮き出てくるように作成することも可能である。即ち、イメージデータは、追加記入時刻よりも前に記入された正当ストロークデータと、追加記入時刻以降に記入された追加ストロークデータとを区別して、それぞれの記入時刻及び領収書３上の位置関係が分かるように表示を行う。

[改竄検出方法]
次に、改竄検出方法について詳しく説明する。

（i）領収書３への正当記入時間の設定
まず、予め領収書３への正当記入時間を設定して改竄を検出する方法について説明する。例えば、様々な事情を考慮して、図１０に示すような領収書の記入に要する正当な時間が「１５分」であると想定した場合、サーバ５は、領収書３の正当記入時間として予め「１５分」を設定しておく。なお、利用者は、図１０（ａ）に示すような領収書３の正本５１を取引相手に渡した後、図１０（ｂ）に示すような破線部分を追加した改竄を行ったものとする。この場合、サーバ５は、記入情報を、図１３に示すような、記入情報ＤＢ７において記憶・管理しているものとする。

サーバ５は、領収書３において、最初に記入されたフィールドＩＤ「Ａ１」の記入開始時刻を領収書３への記入開始時刻とする。即ち、領収書３への記入開始時刻は「2004-03-01 03：04：02」となる。一方、サーバ５は、領収書３において最後に記入されたフィールドＩＤ「Ｃ９」の記入終了時刻を領収書３への記入終了時刻とする。即ち、領収書３への記入終了時刻は「2004-03-01 03:44:26」となる。そして、サーバ５は、領収書３への記入開始時刻及び記入終了時刻に基づいて、領収書３への記入に要した時間「４０分２４秒」を算出する。これによれば、利用者が領収書３への記入に要した時間は、予め設定された正当記入時間「１５分」よりも明らかに長い。よって、改竄可能性ありと判定する。

そして、サーバ５は、予め設定された正当記入時間以内に記入されたストロークデータ、即ち記入開始時刻から１５分以内に記入された正当ストロークデータと、正当記入時間以降に記入された追加ストロークデータ、即ち記入開始時刻から１５分以降に記入されたストロークデータとを区別してそれぞれ記入情報ＤＢ７から抽出する。

このように、予め設定された領収書３への正当記入時間に基づいて改竄検出を行い、改竄可能性ありと判定した場合、サーバ５は、記入開始時刻と、追加記入開始時刻と、抽出した正当ストロークデータ及び追加ストロークデータとに基づいて、図１６に示すような記載イメージを作成し、表示する。なお、この場合、追加記入開始時刻としては、現実に追加ストロークデータが記入された時刻が表示される。

（ii）各項目への正当記入時間の設定
次に、予め各項目への正当記入時間を設定して改竄を検出する方法について説明する。例えば、図１０に示すような領収書３の各項目への記入に要する正当な時間が「３分」であると想定した場合、サーバ５は、領収書３の各項目への正当記入時間として予め「３分」を設定しておく。なお、利用者は、図１０（ａ）に示すような領収書３の正本５１を取引相手に渡した後、図１０（ｂ）に示すような破線部分を追加した改竄を行ったものとする。この場合、サーバ５は、記入情報を、図１３に示すような、記入情報ＤＢ７において記憶・管理しているものとする。

サーバ５は、各項目毎に最初に記入されたフィールドＩＤの記入開始時刻を、所定の項目への記入開始時刻とする。一方、サーバ５は、各項目毎に最後に記入されたフィールドＩＤの記入終了時刻を所定の項目への記入終了時刻とする。具体的に、金額項目において最初に記入されたフィールドＩＤ「Ｃ５」の記入開始時刻「2004-03-01 03:04:20」を金額項目への記入開始時刻とする。一方、金額項目において最後に記入されたフィールドＩＤ「Ｃ９」の記入終了時刻「2004-03-01 03:44:26」を金額項目への記入終了時刻とする。そして、サーバ５は、金額項目への記入開始時刻及び記入終了時刻に基づいて、金額項目への記入に要した時間「４０分６秒」を算出する。これによれば、利用者が金額項目への記入に要した時間は、予め設定された項目毎の正当記入時間「３分」よりも明らかに長い。よって、改竄可能性ありと判定する。

そして、サーバ５は、項目毎に、予め設定された項目毎の正当記入時間内に記入されたストロークデータ、即ち所定の項目への記入開始時刻から３分以内に記入された正当ストロークデータと、所定の項目への記入開始時刻から３分以降に記入された追加ストロークデータとを区別してそれぞれ記入情報ＤＢ７から抽出する。

このように、予め設定された項目毎の正当記入時間に基づいて改竄検出を行い、改竄可能性ありと判定した場合、サーバ５は、抽出した正当ストロークデータ及び追加ストロークデータとに基づいて、図１６に示すような記載イメージを作成し、表示する。なお、この場合、追加記入開始時刻としては、現実に追加ストロークデータが記入された時刻が表示される。

（iii）各フィールドへの正当記入時間の設定
次に、予め各フィールドへの正当記入時間を設定して改竄を検出する方法について説明する。例えば、図１０に示すような領収書３の各フィールドへの記入に要する正当な時間が「１５秒」であると想定した場合、サーバ５は、領収書３の各フィールドへの正当記入時間として予め「１５秒」を設定しておく。なお、利用者は、図１０（ａ）に示すような領収書３の正本５１を取引相手に渡した後、図１０（ｂ）に示すような破線部分を追加した改竄を行ったものとする。この場合、サーバ５は、記入情報を、図１３に示すような、記入情報ＤＢ７において記憶・管理しているものとする。

サーバ５は、図１３に示すような記入情報ＤＢ７の「記入に要した時間」を参照することにより、予め設定されたフィールド毎の正当記入時間「１５秒」を超過しているフィールドがある場合に、改竄可能性ありと判定する。この場合、金額項目のフィールドＩＤ「Ｃ６」などの「記入に要した時間」は、予め設定されたフィールド毎の正当記入時間「１５秒」よりも明らかに長い。よって、改竄可能性ありと判定する。

そして、サーバ５は、フィールド毎に、予め設定されたフィールド毎の正当記入時間内に記入されたストロークデータ、即ち所定のフィールドへの記入開始時刻から１５秒以内に記入された正当ストロークデータと、所定のフィールドへの記入開始時刻から１５秒以降に記入された追加ストロークデータとを区別してそれぞれ記入情報ＤＢ７から抽出する。

このように、予め設定されたフィールド毎の正当記入時間に基づいて改竄検出を行い、改竄可能性ありと判定した場合、サーバ５は、抽出した正当ストロークデータ及び追加ストロークデータとに基づいて、図１６に示すような記載イメージを作成し、表示する。なお、この場合、追加記入開始時刻としては、現実に追加ストロークデータが記入された時刻が表示される。

（iv）各項目への正当移行時間の設定
次に、予め各項目への正当移行時間を設定して改竄を検出する方法について説明する。この場合、領収書３における各項目への記入順序が設定されているものとする。具体的に、図１０に示すような領収書３においては、領収書番号項目、宛名項目、金額項目、日付項目、取扱者項目の順序で記入順序が設定されているものとする。

例えば、領収書３の所定の項目から次の項目への移行に要する正当な時間が「４分」であると想定した場合、サーバ５は、領収書３の各項目への正当移行時間として予め「４分」を設定しておく。 サーバ５は、記入情報ＤＢ７を参照して、各項目毎に最初に記入されたフィールドＩＤの記入開始時刻を、所定の項目への記入開始時刻とする。一方、サーバ５は、各項目毎に最後に記入されたフィールドＩＤの記入終了時刻を所定の項目への記入終了時刻とする。そして、サーバ５は、特定の項目への記入終了時刻と、次の項目への記入開始時刻とに基づいて、移行時間を算出する。この移行時間が予め設定された項目毎の正当移行時間「４分」よりも長かったり、特定の項目への記入終了時刻と次の項目への記入開始時刻とが前後して不自然な時系列となっていたりする場合、サーバ５は、改竄の可能性ありと判定する。

そして、サーバ５は、項目毎に、予め設定された項目毎の正当移行時間以内に記入された正当ストロークデータと、正当移行時間以降に記入された追加ストロークデータとを区別してそれぞれの記入情報ＤＢ７から抽出する。

このように、予め設定された項目毎の正当移行時間に基づいて改竄検出を行い、改竄可能性ありと判定した場合、サーバ５は、抽出した正当ストロークデータ及び追加ストロークデータとに基づいて、図１６に示すような記載イメージを作成し、表示する。なお、この場合、追加記入開始時刻としては、現実に追加ストロークデータが記入された時刻が表示される。
（v）各フィールドへの正当移行時間の設定
次に、予め各フィールドへの正当移行時間を設定して改竄を検出する方法について説明する。例えば、領収書３の所定のフィールドから次のフィールドへの移行に要する正当な時間が「１０秒」であると想定した場合、サーバ５は、領収書３の各フィールドへの正当移行時間として予め「１０秒」を設定しておく。

サーバ５は、記入情報ＤＢ７を参照して、特定のフィールドへの記入終了時刻と、次のフィールドへの記入開始時刻とに基づいて、移行時間を算出する。この移行時間が予め設定されたフィールド毎の正当移行時間「１０秒」よりも長かったり、特定のフィールドへの記入終了時刻と次のフィールドへの記入開始時刻とが前後して不自然な時系列となっていたりする場合、サーバ５は、改竄の可能性ありと判定する。

そして、サーバ５は、フィールド毎に、予め設定されたフィールド毎の正当移行時間以内に記入された正当ストロークデータと、正当移行時間以降に記入された追加ストロークデータとを区別してそれぞれの記入情報ＤＢ７から抽出する。

このように、予め設定されたフィールド毎の正当移行時間に基づいて改竄検出を行い、改竄可能性ありと判定した場合、サーバ５は、抽出した正当ストロークデータ及び追加ストロークデータとに基づいて、図１６に示すような記載イメージを作成し、表示する。なお、この場合、追加記入開始時刻としては、現実に追加ストロークデータが記入された時刻が表示される。

なお、上記（i）では、領収書３への記入開始時刻を最初に記入されたフィールドへの記入開始時刻としているが、本発明はこれに限定されるものではなく、開始ボックス５３にチェックマークが記入された時刻を領収書３への記入開始時刻としてもよい。

また、上記（ii）乃至（v）では、項目又はフィールドに設定する正当記入時間及び正当移行時間を一括で設定しているが、本発明はこれに限定されるものではなく、それぞれの項目又はフィールド毎の設定することも可能である。

[改竄検出処理]
次に、改竄検出システム１００により実行される改竄検出処理について説明する。図１７は、改竄検出処理のフローチャートである。

利用者は、まず、電子ペン１０を使用して領収書３への記入を行う。なお、利用者は、領収書３における正本５１を取引相手に渡した後、控え５０に追加記入を行い、改竄したものとする。控え５０への記入が終了すると、利用者は、控え５０の送信ボックス５４にチェックマークを記入することにより、端末装置２５を介して記入情報をサーバ５へ送信する。

サーバ５は、ネットワーク２を介して端末装置２５から記入情報を取得する（ステップＳ１）。このとき、サーバ５は、利用者の電子署名により記入情報が不正でないことを確認するものとする。ここで、電子署名とは、端末装置２５内で署名する方法、電子ペン１０内に署名者の鍵を保有しておき、署名する方法、電子ペン１０内に署名者の鍵を保有したＳＩＭチップを組み込んでおき、当該ＳＩＭチップにより署名する方法など種々の方法を適用することが考えられる。なお、利用者の電子署名により記入情報が不正であることが発覚した場合には、当該記入情報は無効なものとする。

そして、サーバ５は、取得した記入情報から、座標テーブル５０２の座標データを参照することにより、控え５０に設定された各項目への記入情報を抽出する（ステップＳ２）。さらに、サーバ５は、取得した各項目への記入情報から、座標テーブル５０２の座標データを参照することにより、各項目を構成する各フィールドへ記入されたストロークデータを抽出する（ステップＳ３）。また、サーバ５は、各フィールドへの記入開始時刻及び記入終了時刻を抽出する（ステップＳ４）。そして、サーバ５は、記入情報から抽出した領収書番号に対応付けて、利用者が使用した電子ペン１０のペンＩＤ、項目名、フィールドＩＤ、各フィールドの記入開始時刻及び記入終了時刻、ストロークデータなどを、記入情報ＤＢ７に記憶する（ステップＳ５）。

次に、サーバ５は、ペンＩＤをキーとして取扱者情報ＤＢ８から氏名、支店名、用紙、筆圧データなどの取扱者に関する情報を抽出する（ステップＳ６）。そして、サーバ５は、ステップＳ１で取得した記入情報から認識した用紙が適切であるか否か、及び、利用者の筆圧が適切であるか否かを判断する。ここで、用紙及び／又は利用者の筆圧が適切でなく、記入情報に問題があると判定した場合（ステップＳ７；Ｙｅｓ）、サーバ５は、当該記入情報を無効として改竄検出処理を終了する（ステップＳ８）。一方、用紙及び／又は利用者の筆圧が適切であり、記入情報に問題がないと判定した場合（ステップＳ７；Ｎｏ）、サーバ５は、予め設定されている正当記入時間や正当移行時間などを基準として、記入情報ＤＢ７に記憶している情報を分析することで、ステップＳ１で取得した記入情報に改竄の可能性があるか否かを検出する（ステップＳ９）。そして、サーバ５は、記入情報ＤＢ７に記憶された情報と、ステップＳ７における判定結果と、ステップＳ８における検出結果とに基づいて、図１５に示すようなデータ一覧を作成し、表示する（ステップＳ１０）。

そして、サーバ５は、利用者の指示に基づいて記載イメージ確認要求があったか否かを判定し（ステップＳ１１）、要求がない場合には改竄検出処理を終了する。一方、要求があった場合には、サーバ５は、記入情報ＤＢ７に記憶されている情報に基づいて、図１６に示すような記載イメージを作成し、表示する（ステップＳ１１）。これにより、改竄検出処理は完了する。

このように、本発明によれば、利用者が電子ペン１０を利用して記入した記入情報を、記入情報ＤＢ７において時系列で記憶・管理することにより、時間的に不自然な流れの部分、即ち改竄されている可能性がある部分を容易に検出することができる。また、記入情報ＤＢ７に記憶された情報から、正当ストロークデータと、追加ストロークデータとをそれぞれ抽出し、時間の経過と共に区別して表示することで、利用者は、領収書３がどのように改竄されたかを容易に認識することができる。

なお、本実施形態では、用紙及び／又は利用者の筆圧が適切でなく、記入情報に問題があると判定した場合にサーバ５が当該記入情報を無効とする対処方法を記載しているが、本発明はこれに限定されるものではなく、問題のある部分を検出して表示するなど種々の対処方法を適用することができる。

また、本実施形態では、控え５０と正本５１がセットになっている領収書３を適用した場合について説明しているが、本発明はこれに限定されるものではなく、改竄される可能性があり時系列に沿って記入される種々の書類を適用することができる。

また、本実施形態では、サーバ５が、電子ペン１０により記入された記入情報に対応する電子データを取得し、改竄検出処理を行うこととしている。これによれば、サーバ５は、改竄検出処理を適用しながら、複数の利用者の記入情報を一括管理することができる。また、サーバ５が改竄検出処理を行うため、端末装置２５の負荷を軽減することが可能である。

しかし、本発明はこれに限定されるものではなく、図１１に示すような、サーバ５が保有する改竄検出プログラム５００と、各機能５０１乃至５１１とを端末装置２５が保有し、端末装置２５が改竄検出処理を行うこととしてもよい。これによれば、記入情報に対応する電子データは、ネットワーク２を介してサーバ５へ送信されることなく、電子ペン１０から直接端末装置２５により取得される。よって、ネットワーク２などの通信設備を備えていない端末装置２５上で容易に記入情報の改竄を検出することができる。

[変形例]
上述の実施形態では、図１３に示すような記入情報ＤＢ７により記入情報を記憶・管理し、正当記入時間及び／又は正当移行時間を設定することによる改竄検出方法を適用することとしているが、本発明はこれに限定されるものではなく、図１８に示すような記入情報ＤＢ７により記入情報を記憶・管理し、控え５０を構成する複数の項目の中にロック項目を設定することによる改竄検出方法を適用することもできる。なお、記入情報ＤＢ７及び改竄検出方法以外については、上述の実施形態とほぼ同様であるため、便宜上説明は省略する。

まず、図１８を参照して記入情報ＤＢ７について説明する。記入情報ＤＢ７は、領収書番号、ペンＩＤ、項目名、フィールドＩＤ、記入開始時刻、記入終了時刻、追加記入開始時刻、ロック項目及びストロークデータから構成されている。ここで、領収書番号とは、利用者が電子ペン１０を利用して記入した領収書を識別する番号である。ペンＩＤとは、当該利用者の電子ペン１０を識別する情報である。項目名とは、領収書３における控え５０を構成する複数の項目の名称である。フィールドＩＤは、各項目を構成する１文字単位のフィールドを識別する情報である。記入開始時刻は、各フィールドへの記入開始時刻である。記入終了時刻は、各フィールドへの記入終了時刻である。追加記入開始時刻は、予め設定されたロック項目の記入終了時刻以降に追加記入が行われた場合における、当該追加記入の開始時刻である。ロック項目とは、予め任意に設定された項目であり、ロック項目への記入終了時刻以降に追加記入された場合には、サーバ５により改竄の可能性があると判定される。ストロークデータとは、各フィールドに記入されたストロークデータである。

次に、予めロック項目を設定して改竄を検出する方法について説明する。例えば、領収書３の記入順序に従って最後に記入されることが予測される取扱者項目を予めロック項目に設定しておく。なお、利用者は、図１０（ａ）に示すような領収書３の正本５１を取引相手に渡した後、図１０（ｂ）に示すような破線部分を追加した改竄を行ったものとする。この場合、サーバ５は、記入情報を、図１８に示すような記入情報ＤＢ７において記憶・管理しているものとする。

サーバ５は、ロック項目として設定された取扱者項目の最後に記入されたフィールドＩＤの記入終了時刻をロック時刻とする。具体的に、フィールドＩＤ「Ｅ４」の記入終了時刻「2004-03-01 03:05:08」をロック項目とする。そして、サーバ５は、ロック時刻以降にストロークデータが記入されている場合には改竄可能性ありと判定する。図１８によれば、ロック時刻以降に、金額項目や日付項目への記入が行われているため、サーバ５は、改竄可能性ありと判定する。そして、サーバ５は、ロック時刻以内に記入された正当ストロークデータと、ロック時刻以降に記入された追加ストロークデータとを区別してそれぞれ記入情報ＤＢ７から抽出する。

このように、予め設定されたロック項目に基づくロック時刻により改竄検出を行い、改竄可能性ありと判定した場合、サーバ５は、抽出した正当ストロークデータ及び追加ストロークデータとに基づいて、図１６に示すような記載イメージを作成し、表示する。この場合、追加記入開始時刻としては、現実に追加ストロークデータが記入された時刻が表示される。

なお、上記の例では、ロック項目を１つの項目に設定しているが、本発明はこれに限定されるものではなく、ロック項目を複数の項目に設定することも可能である。この場合、全てのロック項目への記入が終了した時刻をロック時刻に設定することになる。

この改竄検出システム１００によって、利用者が電子ペンを利用して記入した情報を時系列で管理することにより、容易に改竄を検出し、改竄部分を表示することができる。

２…ネットワーク
３…領収書
５…サーバ
７…記入情報ＤＢ
８…取扱者情報ＤＢ
１０…電子ペン
１１…プロセッサ
１２…メモリ
１３…データ通信ユニット
１４…バッテリー
２５…端末装置
２６…問い合わせサーバ
２７…サービスサーバ
１００…改竄検出システム

Claims (10)

1. 電子ペンにより認識可能なドットパターンが印刷された電子ペン用帳票を使用した改竄可能性検出システムにおいて、
   前記電子ペン用帳票は、記入者が前記電子ペンにより記入を行うものであって、複数の項目から構成されており、
   前記電子ペン用帳票の各項目への正当記入順序が予め設定されており、
   前記電子ペン用帳票の各項目と、前記ドットパターン上のそれぞれの位置座標とを対応付けた座標情報を記憶する座標情報記憶手段と、
   前記電子ペン用帳票に記入された記入情報を取得する記入情報取得手段と、
   前記記入情報から、前記座標情報に基づいて、前記各項目への記入開始時刻と記入終了時刻をそれぞれ抽出する時刻抽出手段と、
   前記正当記入順序に従った、特定の項目から次の項目への正当移行時間を記憶する記憶手段と、
   前記時刻抽出手段が抽出した記入終了時刻と記入開始時刻とに基づいて、前記特定の項目から次の項目への移行時間を算出する移行時間算出手段と、
   前記移行時間算出手段が算出した移行時間が、前記正当移行時間よりも長いか否かを判定する移行時間判定手段と
   を備えることを特徴とする改竄可能性検出システム。
2. 電子ペンにより認識可能なドットパターンが印刷された電子ペン用帳票を使用した改竄可能性検出システムにおいて、
   前記電子ペン用帳票は、記入者が前記電子ペンにより記入を行うものであって、複数の項目から構成されており、
   前記項目は、さらに複数のフィールドから構成されるものであって、各フィールドへの正当記入順序が予め設定されており、
   前記電子ペン用帳票の各フィールドと、前記ドットパターン上のそれぞれの位置座標と対応付けされた座標情報を記憶する座標情報記憶手段と、
   前記電子ペン用帳票に記入された記入情報を取得する記入情報取得手段と、
   前記記入情報から、各フィールドへの記入開始時刻と記入終了時刻を抽出する時刻抽出手段と、
   前記正当記入順序に従った、特定のフィールドから次のフィールドへの正当移行時間を記憶する記憶手段と、
   前記時刻抽出手段が抽出した記入終了時刻と記入開始時刻とに基づいて、前記特定のフィールドから次のフィールドへの移行時間を算出する移行時間算出手段と、
   前記移行時間算出手段が算出した移行時間が、前記正当移行時間よりも長いか否かを判定する移行時間判定手段と
   を備えることを特徴とする改竄可能性検出システム。
3. 前記移行時間判定手段によって、前記正当移行時間よりも、前記移行時間算出手段によって算出された移行時間の方が長いと判定された場合に、記入者が改竄した可能性がある旨を表示手段に表示させる第１の表示処理手段をさらに備えることを特徴とする請求項１又は２に記載の改竄可能性検出システム。
4. 設定された前記正当記入順序に前後した記入を検知した場合に、記入者が改竄した可能性がある旨を表示手段に表示させる第２の表示処理手段をさらに備えることを特徴とする請求項１乃至３のいずれか一項に記載の改竄可能性検出システム。
5. 記入者が使用する電子ペンの識別情報に対応付けて、当該記入者が使用可能な電子ペン用帳票の識別情報を記憶する帳票情報記憶手段と、
   前記記入情報から記入者が使用する前記電子ペンの識別情報を抽出するペン情報抽出手段と、
   前記ペン情報抽出手段が抽出した電子ペンの識別情報に基づいて、前記帳票情報記憶手段から前記帳票の識別情報を抽出する帳票情報抽出手段と、
   前記記入情報に含まれる電子ペン用帳票の識別情報が、前記帳票情報抽出手段が抽出した帳票の識別情報に含まれるか否かを判定する帳票判定手段と、
   前記帳票判定手段が含まれないと判定した場合に、前記記入情報を無効とする無効手段と、をさらに備えることを特徴とする請求項１乃至４のいずれか一項に記載の改竄可能性検出システム。
6. 記入者が使用する電子ペンの識別情報に対応付けて、当該記入者の筆圧に関する筆圧情報を記憶する筆圧情報記憶手段と、
   前記電子ペン識別情報抽出手段が抽出した識別情報に基づいて、前記筆圧情報記憶手段から前記筆圧情報を抽出する筆圧情報抽出手段と、
   前記記入情報に含まれるストロークデータの筆圧が、前記筆圧情報に含まれる筆圧と一致するか否かを判定する筆圧判定手段と、をさらに備え、
   前記無効手段は、前記筆圧判定手段が一致しないと判定した場合に、前記記入情報を無効とすることを特徴とする請求項１乃至５のいずれか一項に記載の改竄可能性検出システム。
7. 電子ペンにより認識可能なドットパターンが印刷された電子ペン用帳票を使用したコンピュータにより実行されるプログラムにおいて、
   前記電子ペン用帳票は、記入者が前記電子ペンにより記入を行うものであって、複数の項目から構成されており、
   前記電子ペン用帳票の各項目への正当記入順序が予め設定されており、
   前記電子ペン用帳票の各項目と、前記ドットパターン上のそれぞれの位置座標とを対応付けた座標情報を記憶する座標情報記憶手段、
   前記電子ペン用帳票に記入された記入情報を取得する記入情報取得手段、
   前記記入情報から、前記座標情報に基づいて、前記各項目への記入開始時刻と記入終了時刻をそれぞれ抽出する時刻抽出手段、
   前記正当記入順序に従った、特定の項目から次の項目への正当移行時間を記憶する記憶手段、
   前記時刻抽出手段が抽出した記入終了時刻と記入開始時刻とに基づいて、前記特定の項目から次の項目への移行時間を算出する移行時間算出手段、
   前記移行時間算出手段が算出した移行時間が、前記正当移行時間よりも長いか否かを判定する移行時間判定手段
   として前記コンピュータを機能させることを特徴とするプログラム。
8. 電子ペンにより認識可能なドットパターンが印刷された電子ペン用帳票を使用したコンピュータにより実行されるプログラムにおいて、
   前記電子ペン用帳票は、記入者が前記電子ペンにより記入を行うものであって、複数の項目から構成されており、
   前記項目は、さらに複数のフィールドから構成されるものであって、各フィールドへの正当記入順序が予め設定されており、
   前記電子ペン用帳票の各フィールドと、前記ドットパターン上のそれぞれの位置座標と対応付けされた座標情報を記憶する座標情報記憶手段、
   前記電子ペン用帳票に記入された記入情報を取得する記入情報取得手段、
   前記記入情報から、各フィールドへの記入開始時刻と記入終了時刻を抽出する時刻抽出手段、
   前記正当記入順序に従った、特定のフィールドから次のフィールドへの正当移行時間を記憶する記憶手段、
   前記時刻抽出手段が抽出した記入終了時刻と記入開始時刻とに基づいて、前記特定のフィールドから次のフィールドへの移行時間を算出する移行時間算出手段、
   前記移行時間算出手段が算出した移行時間が、前記正当移行時間よりも長いか否かを判定する移行時間判定手段
   として前記コンピュータを機能させることを特徴とするプログラム。
9. 前記移行時間判定手段によって、前記正当移行時間よりも、前記移行時間算出手段によって算出された移行時間の方が長いと判定された場合に、記入者が改竄した可能性がある旨を表示手段に表示させる第１の表示処理手段をさらに備える前記コンピュータとして機能させることを特徴とする請求項７又は８に記載のプログラム。
10. 設定された前記正当記入順序に前後した記入を検知した場合に、記入者が改竄した可能性がある旨を表示手段に表示させる第２の表示処理手段をさらに備える前記コンピュータとして機能させることを特徴とする請求項７乃至９のいずれか一項に記載のプログラム。

Images