JP4877738B2 - 記録装置、及び記録方法 - Google Patents

Description

本発明は、記録装置、及び記録方法に関し、例えば、データが取得された時刻や位置などを証明するものに関する。

保険査定用の事故車両の画像データ、火山ガス濃度の測定、騒音測定、大気汚染物質の測定、水質検査、地震測定、土木建築工事記録画像データなど、記録装置で記録対象のデータを記録する場合、記録を行った時刻や場所などの特定が重要となる場合がある。
このようなデータでは、記録した時刻や場所などの特定がなされていなかったり、不正確であったり、あるいは改竄された場合、これらのデータを用いて行う処理に大きな影響が及ぶ。

そのため、データ記録時の時刻や場所を証明する技術が要望されていた。このような要望のうち、時刻証明を行う技術として次の文献で開示されているものがある。
特開２００１−２９７０６２公報 この技術は、時刻情報を経時変化情報（気象情報など）と対応づけて合成情報とすることにより、時刻情報の非改竄性を証明しようとするものである。合成情報は、商品に付与され、商品の時刻情報の証明に用いられる。 この技術を用いたサービスとして、画像データを認証センタに送信し、認証センタで画像データに合成情報を付与することにより、画像データの時刻証明を行うものも提案されている。

しかし、この技術では、画像データを認証センタに送信するまでにデータ改竄の可能性があった。

そこで、本発明の目的は、データの取得時刻などを証明できるようにすることである。

（１）請求項１記載の発明では、記録対象の情報をデジタルデータとして取得するデジタルデータ取得手段と、前記デジタルデータを取得した際の時刻を計測する時計装置と、前記デジタルデータを取得した際の現在位置情報を取得する現在位置情報取得手段と、秘密鍵を記憶する秘密鍵記憶手段と、前記取得したデジタルデータと、前記計測した時刻と、前記取得した現在位置情報と、を含む記録データを生成し、前記記憶した秘密鍵で当該生成した記録データをデジタル署名する署名手段と、現在時刻送信装置が送信した現在時刻を受信する現在時刻受信手段と、前記受信した現在時刻を用いて、前記時計装置が計測する時刻のうち、セキュリティを要する所定単位以上の部分についての補正は行わず、前記所定単位よりも小さい部分を補正する時刻補正手段と、を具備し、前記時計装置は、前記時刻補正手段で補正した後の時刻を計測する、ことを特徴とする記録装置を提供する。
（２）請求項２記載の発明では、所定の監査サーバから基準時刻を受信する基準時刻受信手段と、前記時計装置の時刻と前記受信した基準時刻における前記所定単位以上の部分が一致する場合に前記署名手段を動作させ、一致しない場合に前記署名手段を停止させる監査結果実行手段と、を具備したことを特徴とする請求項１に記載の記録装置を提供する。
（３）請求項３記載の発明では、前記デジタルデータ取得手段は、光学系を用いて投影された投影像をデジタルデータに変換する電荷結合素子を含んでおり、前記署名手段は、前記デジタルデータを取得した際の前記光学系の状態に関するパラメータを前記記録データに含めることを特徴とする請求項１、又は、請求項２に記載の記録装置を提供する。
（４）請求項４記載の発明では、デジタルデータ取得手段と、時計装置と、現在位置情報取得手段と、秘密鍵を記憶する秘密鍵記憶手段と、署名手段と、現在時刻受信手段と、時刻補正手段と、を備えた記録装置において、前記デジタルデータ取得手段によって、記録対象の情報をデジタルデータとして取得するデジタルデータ取得ステップと、前記時計装置によって、前記デジタルデータを取得した際の時刻を計測する計測ステップと、前記現在位置情報取得手段によって、前記デジタルデータを取得した際の現在位置情報を取得する現在位置情報取得ステップと、前記署名手段によって、前記取得したデジタルデータと、前記計測した時刻と、前記取得した現在位置情報と、を含む記録データを生成し、前記記憶した秘密鍵で当該生成した記録データをデジタル署名する署名ステップと、前記現在時刻受信手段によって、現在時刻送信装置が送信した現在時刻を受信する現在時刻受信ステップと、前記時刻補正手段によって、前記受信した現在時刻を用いて、前記時計装置が計測する時刻のうち、セキュリティを要する所定単位以上の部分についての補正は行わず、前記所定単位よりも小さい部分を補正する時刻補正ステップと、を具備し、前記計測ステップは、前記時刻補正ステップで補正した後の時刻を計測する、ことを特徴とする記録方法を提供する。

本発明によれば、記録装置がデータにタイムスタンプを発行することにより、データの取得時刻などを証明することができる。

（１）実施の形態の概要
カメラ５（図３）は、耐タンパ部２０において、カメラ部３３で撮影した画像データにタイムスタンプを発行する機能を有している。このタイムスタンプは、耐タンパ部２０内に記憶してある機器秘密鍵を用いて画像データと内部クロック２２の出力時刻をデジタル署名することにより行われる。
また、カメラ５は、ＧＰＳ部３４を備えており、撮影時の現在位置を示す位置情報と、撮影時におけるカメラ部３３の光学系（焦点距離、絞りなど）を特定する撮影情報も画像データと共に合わせてデジタル署名する。
このように、カメラ５は、画像データと共に、時刻情報、位置情報、撮影情報を改竄できないように共に記録する。また、耐タンパ部２０では、撮影を行うモードと、時刻監査や時刻補正を行うモードが分けられており、セキュリティレベルの向上が図られている。

（２）実施の形態の詳細
図１は、本実施の形態の一例に係る画像データ収集システムのネットワーク構成を示した図である。
画像データ収集システム１は、例えば、保険会社が保険査定用の画像データを収集するシステムである。保険の査定に用いる画像データは、撮影時刻と撮影位置が証明できること、及び、データの非改竄を確認できることが重要である。画像データ収集システム１は、このような要望に応えるものである。

画像データ収集システム１は、センタサーバ２、カメラ５、基地局８、監査サーバ１２、標準電波送信装置１１などがネットワーク４によって接続可能に配設されて構成されている。
センタサーバ２は、保険会社の本社などに設置され、カメラ５から送信されてくる撮影データのタイムスタンプを確認し、これをデータベースに記憶する。データベースに記憶された撮影データは、保険の査定業務などに利用される。

カメラ５は、保険会社の支店や代理店などに設置され、例えば、事故現場など、保険の査定に必要な画像データを撮影するのに用いられる。
カメラ５は、撮影した画像データに位置情報を付与し、内部クロックで計測された時刻にてタイムスタンプを発行する。
なお、以下では、被写体を電子データ化したデータを画像データと呼び、画像データに時刻情報、位置情報、タイムスタンプなどの各種の付加的な情報を付与したものを撮影データと呼ぶことにする。

監査サーバ１２は、監査局が運用するサーバであって、カメラ５の内部クロックを監査する。
一般に、監査局は、カメラ５を運用する者とは第三者である事業体が運用している。そのため、カメラ５のユーザが監査サーバ１２の運用者と共謀してタイムスタンプのバックデイトを行うことが事実上不可能になり、極めて高いセキュリティレベルを実現することができる。

監査サーバ１２は、原子時計と監査用秘密鍵を備えており、原子時計による基準時刻を監査用秘密鍵でデジタル署名して時刻証明書を作成し、これをカメラ５に送信する。
カメラ５は、監査用公開鍵を用いて時刻証明書を復号化し、この時刻証明書を用いて内部クロックが正しい時刻を出力しているか否かを確認する。そして、正しい時刻を出力していない場合、カメラ５は、タイムスタンプの発行を停止するようになっている。このように、監査サーバ１２は、カメラ５に基準時刻を送信することにより時刻監査を行うことができる。

標準電波送信装置１１は、標準電波局が運用し、現在時刻を含む標準電波を不特定多数の受信装置に送信する送信装置であり、現在時刻送信装置として機能している。
カメラ５は、標準電波送信装置１１が送信する標準電波を受信し、これを用いて内部クロックを更正する。このようにカメラ５は、現在時刻受信手段と、時刻補正手段を備えている。
なお、カメラ５は、ＧＰＳ（Ｇｌｏｂａｌ Ｐｏｓｉｔｉｏｎｉｎｇ Ｓｙｓｔｅｍｓ）を内蔵しており、カメラ５は、ＧＰＳ信号に含まれる時刻情報を用いて内部クロックを補正するように構成することもできる。

基地局８は、カメラ５をネットワーク４に接続するための中継局である。カメラ５が基地局８を介して行う通信は、例えば、ＳＳＬ（Ｓｅｃｕｒｅ Ｓｏｃｋｅｔｓ Ｌａｙｅｒ）などの技術を用いて暗号化され、セキュリティを確保している。

図２は、カメラ５のハードウェア的な構成の一例を説明するためのブロック図である。
カメラ５は、耐タンパ部２０、ＣＰＵ（Ｃｅｎｔｒａｌ Ｐｒｏｃｅｓｓｉｎｇ Ｕｎｉｔ）３０、ＲＯＭ（Ｒｅａｄ Ｏｎｌｙ Ｍｅｍｏｒｙ）３１、ＲＡＭ（Ｒａｎｄｏｍ Ａｃｃｅｓｓ Ｍｅｍｏｒｙ）３２、カメラ部３３、ＧＰＳ部３４、操作部３５、記憶部３６、通信部３７などがバスラインで接続されて構成されている。

耐タンパ部２０は、機器認証やタイムスタンプの発行などセキュリティに関わる情報処理を行う機能部であり、例えば、耐タンパ仕様の集積回路を収納したＩＣチップによって構成された耐タンパモジュールである。

耐タンパ仕様とは、例えば、内部構造を解析しようとすると自動的に内部構造を破壊するなど、改竄や複製、内部の論理構造の解読などの不正行為に対して十分な防御手段を講じるための仕様である。
そのため、耐タンパ部２０は、外部からの解析が著しく困難で一種のブラックボックスとなっており、例えば、機器秘密鍵などの秘密情報を安全に保持することができる。
なお、タンパ（ｔａｍｐｅｒ）とは、装置に手を加えるという意味や、情報などを不正に変更するという意味があり、耐タンパとは、これらの操作に対して耐性を保持していることを意味する。

耐タンパ部２０は、ＣＰＵ２１、内部クロック２２、ＲＯＭ２３、ＲＡＭ２４、ＥＥＰＲＯＭ（Ｅｌｅｃｔｒｉｃａｌｌｙ Ｅｒａｓａｂｌｅ ａｎｄ Ｐｒｏｇｒａｍｍａｂｌｅ ＲＯＭ）２５、図示しない内部クロックなどがバスラインによって接続されて構成されている。

ＣＰＵ２１は、ＥＥＰＲＯＭ２５、ＲＯＭ２３、ＲＡＭ２４などに記憶されているプログラムに従って各種の情報処理を行う中央処理装置である。
本実施の形態では、画像データにタイムスタンプを発行したり、時刻監査や時刻の更正などを行う。

内部クロック２２は、時計装置であって、耐タンパ部２０を駆動するためのクロックを発生させるほか、カメラ部３３で撮影された画像データにタイムスタンプを発行するための時刻情報を出力する。
内部クロック２２は、計測部３５の外部クロック２８と同期しており、ＣＰＵ２１とＣＰＵ３０はタイミングを同期させて協働して動作することができる。

ＲＯＭ２３は、読み出し専用の記憶装置（メモリ）であって、耐タンパ部２０を駆動するための基本的なプログラムやパラメータなどを格納している。
ＲＡＭ２４は、読み書き可能な記憶装置であって、ＣＰＵ２１が各種の情報処理を行う際のワーキングエリアを提供する。

ＥＥＰＲＯＭ２５は、読み書きが可能な不揮発性の記憶装置であり、プログラムやデータなどが記憶されている。
本実施の形態では、一例として、機器ＩＤ、監査用公開鍵、機器秘密鍵、前回証明書のほか、ＣＰＵ２１がタイムスタンプ発行機能を発揮するためのタイムスタンププログラム、ＣＰＵ２１を駆動するための基本的なプログラムであるＯＳ（Ｏｐｅｒａｔｉｎｇ Ｓｙｓｔｅｍ）などが記憶されている。これらに付いては後ほど説明する。
このように、ＥＥＰＲＯＭ２５は機器秘密鍵を記憶しており、秘密鍵記憶手段として機能している。

ＣＰＵ３０は、記憶部３６、ＲＯＭ３１、ＲＡＭ３２などに記憶されているプログラムに従って各種の情報処理を行う中央処理装置である。
ＣＰＵ３０は、ＣＰＵ２１と協働して動作し、例えば、カメラ部３３で撮影された画像データやＧＰＳ部３４で検出された位置情報などを耐タンパ部２０に入力したり、耐タンパ部２０から出力されたタイムスタンプ付き撮影データをセンタサーバ２に送信したりなどする。

ＲＯＭ３１は、読み出し専用の記憶装置であって、ＣＰＵ３０を駆動するための基本的なプログラムやパラメータなどを格納している。
ＲＡＭ３２は、読み書き可能な記憶装置であって、ＣＰＵ３０が各種の情報処理を行う際のワーキングエリアを提供する。

カメラ部３３は、レンズや絞りなどの光学系や、これらを自動調節する調節機構、レンズによって投影された投影像を電気信号に変換するＣＣＤ（Ｃｈａｒｇｅ Ｃｏｕｐｌｅｄ Ｄｅｖｉｃｅ：電荷結合素子）などから構成されている。カメラ部３３によって、撮影対象の画像データが生成される。
カメラ部３３は、記録対象（被写体）の情報（画像）をデジタルデータ（画像データ）として取得するデジタルデータ取得手段として機能している。

ＧＰＳ部３４は、地球上空を周回する複数のＧＰＳ衛生が送信するＧＰＳ信号を受信し、カメラ５の現在位置を解析して電気信号として出力するモジュールである。ＧＰＳ部３４は、現在位置情報取得手段として機能している。
操作部３５は、担当者がカメラ５を操作するための操作ボタンやシャッターボタンなどから構成されている。また、図示しないが、ＣＰＵ３０には、各種情報を担当者に提示するための液晶表示装置やブザー音などを発生する音声発生装置なども接続されている。

記憶部３６は、例えば、ＥＥＰＲＯＭによって構成されており、各種プログラムやデータなどが記憶されている。
記憶部３６に記憶しているプログラムをＣＰＵ３０で実行することにより、センタサーバ２や監査サーバ１２などと通信したり、カメラ５にカメラとしての機能を発揮させたりすることができる。
通信部３７は、カメラ５をネットワーク４に接続するインターフェースであって、基地局８と無線通信するためのＲＦ回路やアンテナなどを備えている。

外部クロック２８は、カメラ５を駆動するためのクロックを発生させる。また、一般に外部クロック２８は内部クロック２２よりも精度が高いため、外部クロック２８を標準電波送信装置１１の標準電波で更正し、当該更正された外部クロック２８を用いて内部クロック２２を更正するように構成されている。

図３は、カメラ５、監査サーバ１２、及びセンタサーバ２の関係を説明するための図である。
監査サーバ１２は、時刻証明書に記載する時刻を計測するための原子時計を備え、更に監査用秘密鍵を記憶している。
監査サーバ１２がカメラ５に送信する時刻証明書には、基準時刻、制限時間、シリアル番号、固有情報、デジタル署名などが含まれている。
基準時刻は、原子時計が計測した時刻を用いて構成された時刻であり、原子時計の現在時刻をそのまま用いてもよいし、あるいは、通信の遅延が問題になる場合は、遅延時間で現在時刻を補正した値を用いるなど、何らかの補正を施した値を用いてもよい。

制限時間は、時刻証明書に記録してある基準時刻の有効期限である。即ち、時刻証明書に記してある基準時刻で監査した内部クロック２２の出力時刻は、この制限時間の間、監査局により精度が保証される。
カメラ５は、この制限時間の範囲内でタイムスタンプを発行することができ、このタイムスタンプを発行できる時間を活性化時間と呼ぶ。

シリアル番号は、監査サーバ１２が発行順に付与する時刻証明書の番号であるが、連番を発行すると、外部から推測が容易になる可能性があることから、本実施の形態では、シリアル番号を乱数により構成した。
固有情報は、例えば、耐タンパ部２０のＩＤ情報など、カメラ５のハードウェアに固有な情報である。固有情報が一致しない場合、耐タンパ部２０はエラーを発する。

なお、これらの項目のほかに、時刻証明書の有効期限や、時刻証明書の正当性が確認された後、カメラ５と監査サーバ１２の間の通信の共通鍵なども時刻証明書に含めることができる。

デジタル署名は、メッセージのダイジェストを監査用秘密鍵で暗号化したものである。
ここで、メッセージは、現在時刻、制限時間、シリアル番号、固有情報など、改竄防止を要する情報であり、ダイジェストはメッセージを、例えば、ハッシュ関数によって演算したハッシュ値である。
時刻証明書の受信者は、メッセージからダイジェストを作成し、更に、デジタル署名を監査用公開鍵で復号化してダイジェストを復元する。そして、両者の一致によって時刻証明書の内容が改竄されていないことを確認することができる。

カメラ５は、耐タンパ部２０に、先に説明した監査用公開鍵、機器秘密鍵、及び前回証明書を記憶し、内部クロック２２を備えるほか、モード切替部５１を有している。
モード切替部５１は、ＥＥＰＲＯＭ２５に記憶されたタイムスタンププログラムをＣＰＵ２１で実行することにより構成されたものである。

監査用公開鍵は、監査サーバ１２から送信されてくる時刻証明書を受信し（基準時刻受信手段）、これに付随するデジタル署名を復号化するための公開鍵情報である。
耐タンパ部２０は、監査用公開鍵を用いて時刻証明書の正統性を確認することができ、基準時刻の有効性を確認する。

機器秘密鍵は、センタサーバ２に送信する撮影データにタイムスタンプを発行するのに用いる。
ここで、メッセージとして用いられる情報は、画像データ、時刻情報、位置情報、撮影情報などからなる撮影データであり、この撮影データのダイジェストを機器秘密鍵でデジタル署名することによりタイムスタンプが発行されている。
このように、撮影データは、デジタルデータ（画像データ）と、時刻（時刻情報）と、現在位置情報（位置情報）を含む記録データとして機能しており、耐タンパ部２０は、これにデジタル署名を行う（タイムスタンプを発行する）署名手段を備えている。

内部クロック２２は、タイムスタンプを発行する際の時刻情報を付与する。即ち、耐タンパ部２０は、カメラ部３３から画像データを取得した時刻を内部クロック２２で計測し、この時刻を以て撮影時刻とし、タイムスタンプを発行する。

ここで、内部クロック２２の更正について図４を用いてより詳細に説明する。
図４は、内部クロック２２が計測する時刻の一例を示しており、一例として「２００５年３月３０日１５時３０分２０秒２百ミリ秒」となっている。このように内部クロック２２は時刻を百ミリ秒単位で計測している。

耐タンパ部２０は、内部クロック２２の時刻を分以上の部分（以下、時刻ラベルと呼ぶ）と秒単位に区分して管理しており、時刻監査は時刻ラベルに対して行い、時刻の更正は秒単位に対して行う。
このため、内部クロック２２の時刻のうち、セキュリティを要する部分（時刻ラベル）については改竄を行うことができず、セキュリティを高めることができる。また、品質を提供する部分（秒単位）は、標準電波によって高精度に更正される。

なお、本実施の形態では、一例として秒単位を境としてセキュリティに関係する部分と品質保証に関係する部分に時刻を区分したが、これに限定するものではなく、画像データに必要とされる時刻精度応じて、更に大きい単位、あるいは小さい単位で区分することも可能である。
即ち、例えば、タイムスタンプで１秒単位まで正確な時刻が必要な場合は、１秒以上の部分を監査サーバ１２で監査し、９９９ミリ秒以下の時刻を標準電波で更正する。

図３に戻り、前回証明書は、前回の時刻監査の際に監査サーバ１２から送られてきて使用した時刻証明書をＥＥＰＲＯＭ２５に記憶しておいたものである。即ち、前回証明書は、直近の過去に監査サーバ１２から受信した時刻証明書である。
耐タンパ部２０は、監査サーバ１２から送信されてきた時刻証明書の基準時刻を確認する際に、この基準時刻が前回に監査サーバ１２から受信した基準時刻よりも後であることを確認する。

タイムスタンプにおいて、最も防がなくてはならないことは、改竄などによりバックデイト（過去の時刻を出力させること）された時刻でタイムスタンプを発行することである。
そのため、耐タンパ部２０は、監査サーバ１２から送信されてきた基準時刻が前回に監査を行った時刻（前回証明書に記載されている時刻）よりも後であることを確認する。

そして、監査サーバ１２から送信されてきた基準時刻が前回証明書に記載された時刻よりも前である場合は、エラーメッセージを発するなどして監査モード（後述）で停止し、タイムスタンプの発行を行わない。

このように前回の基準時刻を記憶しておき、監査に用いる基準時刻がこれよりも後の時刻であることを確認することにより、バックデイトされた時刻でタイムスタンプが発行されるのを防止することができる。
なお、工場出荷時に、デフォルトの前回証明書をＥＥＰＲＯＭ２５に記憶させておく。

モード切替部５１は、耐タンパ部２０のタイムスタンプ機能に関する動作モードを順次切り替える機能部である。
耐タンパ部２０が行う動作モードには、監査モード、同期モード、スタンプモードがある。
これらの各動作モードはそれぞれ独立したモジュールが行い、モジュール間の干渉が生じないようにしてある。

監査モードは、監査サーバ１２から送信されてきた基準時刻を用いて内部クロック２２の時刻ラベルが正しいことを監査する動作モードである。
同期モードは、標準電波送信装置１１から標準電波により配信される現在時刻を用いて（より厳密には、標準電波で更正された外部クロック２８を用いて）内部クロック２２の秒単位の部分を正確な時刻に同期させる（即ち、更正する）動作モードである。
スタンプモードは、計測部３５が計測した計測値に対してタイムスタンプを発行する動作モードである。

モード切替部５１は、耐タンパ部２０の動作モードを、図５に示したように、監査モード→同期モード→スタンプモード→監査モード→・・・、といったように、所定の順序にて順次切り替えていく。
これらのモードのうち、監査モードとスタンプモードは、時刻ラベルを扱うため、高いセキュリティを要する動作モードであり（セキュリティモード）、一方、同期モードは秒単位を扱うため、高いセキュリティが必ずしも必要ない動作モード（一般モード）である。

そして、モード切替部５１は、現在動作中の動作モードが完了するまでは耐タンパ部２０を次の動作モードに切り替えない。
そのため、スタンプモードで動作するためには、監査モードと同期モードが完了していることが必要となり、耐タンパ部２０は、監査、同期された時刻にてタイムスタンプを発行することができる。このように、モード切替部５１は、監査結果実行手段として機能している。
また、耐タンパ部２０は、監査モード、同期モードの少なくとも一方でエラーが発生した場合に、タイムスタンプの発行を停止することができる。

このように、耐タンパ部２０は、セキュリティモードと一般モードを切り替えて動作することにより、高いセキュリティの必要な処理と高いセキュリティの必要のない処理を同時に行うことを防止している。
しかも、各動作モードは独立したモジュールにて動作するため、耐タンパ部２０は、セキュリティモードでの処理と一般モードでの処理が耐タンパ部２０内で干渉することを防ぐことができ、クラッキングなどの不正アクセスに対して高い耐性を備えている。

なお、耐タンパ部２０では、セキュリティモードを監査モードとスタンプモードに区分して切り替えているが、これらは何れもセキュリティモードなので、同じモードにて監査とスタンプの発行を行うように構成してもよい。
更に、本実施の形態では、監査モード→同期モード→スタンプモード→監査モード・・・の順序でモードの切り替えを行ったが、モード切り替えの順序はこれに限定するものではなく、例えば、同期モード→監査モード→スタンプモード→同期モード→・・・など、他の順序で動作モードを切り替えてもよい。

次に、以上のように構成されたカメラ５が生成したタイムスタンプ付き撮影データ（図３）について説明する。
図３には、タイムスタンプ付き撮影データの論理的な構成が模式的に表されている。
撮影データは、画像データ、時刻情報、位置情報、撮影情報などから構成され、これにタイムスタンプを付与してタイムスタンプ付き撮影データが構成されている。
撮影データは、カメラ５で撮影するごとに生成され、記憶部３６に一時記憶され、後ほどセンタサーバ２に送信される。

画像データは、カメラ部３３において被写体の投影像をＣＣＤによって電子データ化したデータであり、撮影後速やかにカメラ部３３から耐タンパ部２０に入力されたものである。
時刻情報は、耐タンパ部２０が画像データにタイムスタンプを発行する時刻である。カメラ部３３が画像データを撮影してから耐タンパ部２０がタイムスタンプを発行するまでは僅かな時間差があるが、実用上問題ない程度であるので、タイムスタンプの発行時刻を画像データが撮影された時刻として扱う。

位置情報は、画像データの撮影の際に、ＧＰＳ部３４によって検出された撮影時の現在位置情報（緯度経度が特定できる）である。
撮影情報は、撮影時の焦点距離や絞りなど、カメラ部３３の光学系に関するパラメータから構成されている。
撮影情報は、画像データが撮影された際の状況を検証するのに用いることができる。例えば、事故車両の偽造写真を被写体として撮影した画像データの場合、焦点距離が本来の値より短くなることが考えられ、焦点距離の検証により、このような偽造を発見することができる。

タイムスタンプは、画像データ、時刻情報、位置情報、撮影情報などからなるメッセージのダイジェスト（例えば、ハッシュ値）をカメラ５が機器秘密鍵で暗号化することによりデジタル署名したものである。
撮影データの正統性（即ち、改竄されていないか、また、カメラ５によって作成されたものであるかなど）を検証する者（センタサーバ２など）は、機器公開鍵でダイジェストを復元し、更に、画像データ、時刻情報、位置情報、撮影情報などからダイジェストを生成し、両者の一致を確認すればよい。

このように、カメラ５は、タイムスタンプ機能を内蔵しており、撮影と共にタイムスタンプを発行するため、当該撮影データが確かに当該撮影時刻、撮影位置にて撮影されたことを保証することができる。

センタサーバ２（図３）は、カメラ５を登録したカメラマスタとカメラ５から送信された画像データを記憶する画像データベースを備えている。
図６（ａ）は、カメラマスタの論理的な構成の一例を示した図である。
カメラマスタは、「機器ＩＤ」、「機器公開鍵」、「型番」、「設置箇所」、「設置日」、・・・などの各項目から構成されている。
機器ＩＤは、カメラ５を識別するのに用いられる。機器公開鍵は画像データのタイムスタンプ（デジタル署名）を確認するのに用いる。また、カメラ５を機器認証するための機器認証情報もカメラマスタに記憶するように構成することもできる。

図６（ｂ）は、画像データベースの論理的な構成の一例を示した図である。
画像データベースは、「機器ＩＤ」、「受信時刻」、「画像データ」、「時刻情報」、「位置情報」、「撮影情報」、・・・などの項目から構成されている。
機器ＩＤは、画像データの撮影元であるカメラ５の機器ＩＤであり、受信時刻は、センタサーバ２が画像データを受信した時刻である。
画像データ、時刻情報、位置情報、撮影情報は、それぞれ撮影データに含まれていたものである。
センタサーバ２は、カメラ５の機器公開鍵で撮影データのタイムスタンプを検証し、画像データやその他の情報が改竄されていないことを確認してからこれらを画像データベースに登録する。

次に、図７のフローチャートを用いてカメラ５が動作する手順について説明する。
ここでは、カメラ５が監査モードに切り替わった時点から説明する。なお、以下のカメラ５の動作は耐タンパ部２０が行うものである。
まず、モード切替部５１が耐タンパ部２０を監査モードに切り替えると、カメラ５は、監査サーバ１２に接続し、時刻証明書の送信を要求する（ステップ２５）。

監査サーバ１２は、カメラ５から時刻証明書の送信要求を受けると、原子時計の出力する時刻を用いて時刻証明書作成し、カメラ５に送信する（ステップ３０）。
カメラ５は、監査サーバ１２から時刻証明書を受信すると、監査用公開鍵を用いて時刻証明書のデジタル署名を確認した後、時刻証明書の基準時刻と、内部クロック２２が計測している時刻の時刻ラベル（図４）が一致することを確認する（ステップ３５）。

時刻ラベルが基準時刻ラベルと一致しない場合、耐タンパ部２０では、モード切替部５１がモード切り替えを停止し、カメラ５は停止してエラーメッセージを提示する。これによって、ユーザは、カメラ５の異常を検知することができる。
時刻ラベルと基準時刻が一致する場合、モード切替部５１は、耐タンパ部２０の動作モードを同期モードに切り替える。

耐タンパ部２０が同期モードに設定されると、耐タンパ部２０は、外部クロック２８の時刻を用いて内部クロック２２の秒単位を更正する（ステップ４５）。
外部クロック２８は、標準電波送信装置１１が放送している標準電波（ステップ４０）によって、常時正確な時刻に更正されている。
内部クロック２２の秒単位の更正が完了すると、モード切替部５１は、耐タンパ部２０の動作モードをスタンプモードに切り替える。

耐タンパ部２０がスタンプモードに切り替わると、カメラ部３３での撮影が可能になり、ユーザがカメラ５を用いて被写体を撮影する。
カメラ５は、撮影された画像データから撮影データを生成して記憶部３６に記憶しておき、ユーザがカメラ５をセンタサーバ２に接続した際に、撮影データをセンタサーバ２に送信する（ステップ５０）。
センタサーバ２は、カメラ５から撮影データを受信し、タイムスタンプを確認した後、画像データに記憶する（ステップ６０）。

耐タンパ部２０は、時刻監査からの期間が活性化時間を経過したか否かを監視しており、活性化時間を経過していない場合（ステップ５５；Ｎ）、カメラ５は、ステップ５０に戻って撮影可能な状態を維持する。
一方、活性化時間を経過した場合（ステップ５５；Ｎ）、カメラ５は、時刻証明書要求ループを続行するか否かを判断する（ステップ６５）。

時刻証明書要求ループを続行する場合は（ステップ６５；Ｙ）、モード切替部５１が耐タンパ部２０の動作モードを監査モードに切り替えてカメラ５はステップ２５に戻る。時刻証明書要求ループを続行しない場合（ステップ６５；Ｎ）、カメラ５は動作を終了する。
カメラ５は、通常時刻証明書要求ループで連続的に動作するが、例えば、使用期間が限定されてる場合で使用期限が切れた場合など、時刻証明書要求ループを続行しない場合は自動停止する。

次に、図８のフローチャートを用いてカメラ５の時刻監査についてより詳細に説明する。図８のステップ１１０〜ステップ１４０は、図７のステップ３５に対応する。
カメラ５が時刻証明書を要求し（ステップ２５）、これに応じて監査サーバ１２が時刻証明書を送信する（ステップ３０）。
カメラ５は、監査サーバ１２から送信されてきた時刻証明書を受信し、これを耐タンパ部２０に入力する。
そして、カメラ５は、時刻証明書に記されている基準時刻と内部クロック２２が計測している時刻を比較する（ステップ１１０）。

この比較は時刻ラベル、即ち分単位で行い、秒単位は行わない。例えば、時刻証明書に記載されていた時刻が「２００５年３月２０日１２時３０分３秒２百ミリ秒」で、内部クロック２２の時刻が「２００５年３月２０日１２時３０分０秒５百ミリ秒」であった場合、両者は分単位以上が同じであるので、カメラ５は両者が一致すると判断する。

時刻証明書に記載されていた時刻と内部クロック２２の時刻が一致しない場合（ステップ１１５；Ｎ）、カメラ５はステップ２５に戻り、監査サーバ１２に再度時刻証明書の送信を要求する。
両時刻が一致する場合（ステップ１１５；Ｙ）、カメラ５は、時刻証明書の有効性を確認する（ステップ１２０）。

この有効性は、時刻証明書に付属するデジタル署名を監査用公開鍵で復号化してダイジェストを復元し、更に時刻証明書から監査サーバ１２と同じ関数（例えば、ハッシュ関数）を用いてダイジェストを求め、両者の一致を確認することにより行う。
また、時刻証明書に時刻証明書の有効期限が付属している場合は、有効期限内であることを確認する。

このように、時刻証明書と内部クロック２２の時刻の比較を時刻証明書の有効性の確認の前に行ったのは、時刻の比較をなるべく速やかに行うためである。
即ち、有効性の確認の後に時刻の比較を行うと、有効性の確認に要する時間だけ内部クロック２２の時刻が進んでしまい、時刻証明書に記載されている時刻との差が大きくなるためである。

時刻証明書が有効でなかった場合（ステップ１２５；Ｎ）、カメラ５はステップ２５に戻る。
時刻証明書が有効であった場合（ステップ１２５；Ｙ）、カメラ５は、前回証明書に記載されている基準時刻と、時刻証明書に記載されている基準時刻との前後関係を比較する（ステップ１３０）。

時刻証明書に記載されている基準時刻が、前回証明書に記載されている基準時刻よりも前の時刻であった場合（ステップ１３５；Ｎ）、カメラ５はステップ２５に戻る。
一方、時刻証明書に記載されている基準時刻が、前回証明書に記載されている基準時刻よりも後の時刻であった場合（ステップ１３５；Ｙ）、前回証明書を今回受け取った時刻証明書にて上書きするなどして置き換える。

通信回線の状態などにより、監査エラーが発生する場合があり、この場合、カメラ５は、その都度ステップ２５に戻って監査サーバ１２に時刻証明書の発行を要求するようになっている。
そして、監査サーバ１２は、監査の再実行が所定回数に達した場合は、カメラ５を停止させるコマンドをカメラ５に送信する。
このように、カメラ５で何らかの異常が発生していると考えられる場合、監査サーバ１２はカメラ５を停止させることができる。

次に、図９のフローチャートを用いて画像データの撮影処理についてより詳細に説明する。図９のステップ２００〜ステップ２２０は、図７のステップ５０に対応し、図９のステップ２２５、２３０は、図７のステップ６０に対応する。
ユーザがカメラ５を操作して撮影操作を行うと、カメラ部３３が被写体の投影像を画像データに変換し、撮影が実行される（ステップ２００）。

カメラ５は、カメラ部３３から、画像データと撮影時の撮影情報（焦点距離、絞りなど）をバスラインを介して耐タンパ部２０に入力すると共に、撮影時の位置情報をＧＰＳ部３４からバスラインを介して耐タンパ部２０に入力する（ステップ２０５）。
耐タンパ部２０は、これらの情報が入力された時刻を内部クロック２２から取得し、この時刻を撮影時刻とする（ステップ２１０）。

次に、カメラ５は、耐タンパ部２０内で、撮影データ（画像データ、時刻情報、位置情報、撮影情報など）からなるメッセージのダイジェストを作成し、これを機器秘密鍵でデジタル署名してタイムスタンプを発行する（ステップ２１５）。
カメラ５は、このようにして生成されたタイムスタンプ付き撮影データを記憶部３６に記憶しておく。

ユーザが撮影を終えてカメラ５をセンタサーバ２に接続すると、カメラ５は、記憶部３６に記憶しておいたタイムスタンプ付き撮影データをセンタサーバ２に送信する（ステップ２２０）。
なお、カメラ５をセンタサーバ２に接続した際には、センタサーバ２はカメラ５の機器認証を行う。

センタサーバ２は、タイムスタンプ付き撮影データをカメラ５から受信すると、当該カメラ５の機器ＩＤを機器マスタで検索して機器公開鍵を取得する。
そして、センタサーバ２は、この機器公開鍵を用いてタイムスタンプの確認を行う（ステップ２２５）。
タイムスタンプの確認を終えると、センタサーバ２は、撮影データに含まれている画像データ、時刻情報、位置情報、撮影情報などを画像データベースに記憶し、これを更新する（ステップ２３０）。

以上に説明した本実施の形態により次のような効果を得ることができる。
（１）カメラ５にタイムスタンプ機能が内蔵されてるため、画像データがタイムスタンプで証明される時刻に撮影されたものであることを保証することができる。更に、撮影の際の位置情報や撮影情報も保証することができる。
（２）内部クロック２２の更正に、標準電波を用いるため、更正用の時刻を配信する設備が必要ない。
（３）時刻の更正は秒単位以下に対してしか行うことができないため、時刻ラベルの改竄を防ぐことができる。
（４）耐タンパ部２０の動作をセキュリティモード（時刻監査、タイムスタンプの発行）と一般モード（同期）で切り替えるため、セキュリティを高めることができる。
（５）セキュリティに関する機能は耐タンパ部２０の内部に設けられているため高いセキュリティレベルを維持することができる。

なお、本実施の形態では、内部クロック２２の計測する時刻を時刻ラベルと秒単位に区分し、時刻監査は時刻ラベルに対して行い、時刻の更正は標準電波にて秒単位に対して行ったが、従来技術のように時刻配信サーバを設け、これによって時刻配信を行い、これによって更正された内部クロック２２の時刻を時刻監査するように構成してもよい。

また、本実施の形態では、記録装置としてカメラ５を用い、画像データを記録対象の情報のデジタルデータとしたが、本実施の形態は、これに限定せず、火山ガス濃度の測定、騒音測定、大気汚染物質の測定、水質検査、地震測定、土木建築工事記録画像データなど、各種のものを対象とすることができる。
例えば、湖の水質検査を行う場合、検査装置に、本実施の形態の耐タンパ部２０を備え、水質の検査データに、検査時刻及び検査位置などを付加してデジタル署名するように構成することができる。

更に、スタンプモードから監査モードに強制的に移行するスイッチを用意しておき、撮影の前に監査と時刻補正を行っておけば、撮影前に活性化期間を最大限確保しておくことができる。
撮影前に活性化期間を最大限確保しておくことにより、撮影途中にモード切り替えによって撮影が中断される可能性を低減することができる。

画像データ収集システムのネットワーク構成を示した図である。 カメラのハードウェア的な構成を説明するためのブロック図である。 カメラ、監査サーバ、及びセンタサーバの関係を説明するための図である。 内部クロックの更正について説明するための図である。 モード切替部のモード切替動作を説明するための図である。 カメラマスタ、画像データベースの論理的な構成を示した図である。 カメラが動作する手順を説明するためのフローチャートである。 時刻監査手順を説明するためのフローチャートである。 撮影手順を説明するためのフローチャートである。

符号の説明

１ 画像データ収集システム
２ センタサーバ
４ ネットワーク
８ 基地局
１１ 標準電波送信装置
１２ 監査サーバ

Claims (4)

1. 記録対象の情報をデジタルデータとして取得するデジタルデータ取得手段と、
   前記デジタルデータを取得した際の時刻を計測する時計装置と、
   前記デジタルデータを取得した際の現在位置情報を取得する現在位置情報取得手段と、
   秘密鍵を記憶する秘密鍵記憶手段と、
   前記取得したデジタルデータと、前記計測した時刻と、前記取得した現在位置情報と、を含む記録データを生成し、前記記憶した秘密鍵で当該生成した記録データをデジタル署名する署名手段と、
   現在時刻送信装置が送信した現在時刻を受信する現在時刻受信手段と、
   前記受信した現在時刻を用いて、前記時計装置が計測する時刻のうち、セキュリティを要する所定単位以上の部分についての補正は行わず、前記所定単位よりも小さい部分を補正する時刻補正手段と、を具備し、
   前記時計装置は、前記時刻補正手段で補正した後の時刻を計測する、
   ことを特徴とする記録装置。
2. 所定の監査サーバから基準時刻を受信する基準時刻受信手段と、
   前記時計装置の時刻と前記受信した基準時刻における前記所定単位以上の部分が一致する場合に前記署名手段を動作させ、一致しない場合に前記署名手段を停止させる監査結果実行手段と、
   を具備したことを特徴とする請求項１に記載の記録装置。
3. 前記デジタルデータ取得手段は、光学系を用いて投影された投影像をデジタルデータに変換する電荷結合素子を含んでおり、
   前記署名手段は、前記デジタルデータを取得した際の前記光学系の状態に関するパラメータを前記記録データに含めることを特徴とする請求項１、又は、請求項２に記載の記録装置。
4. デジタルデータ取得手段と、時計装置と、現在位置情報取得手段と、秘密鍵を記憶する秘密鍵記憶手段と、署名手段と、現在時刻受信手段と、時刻補正手段と、を備えた記録装置において、
   前記デジタルデータ取得手段によって、記録対象の情報をデジタルデータとして取得するデジタルデータ取得ステップと、
   前記時計装置によって、前記デジタルデータを取得した際の時刻を計測する計測ステップと、
   前記現在位置情報取得手段によって、前記デジタルデータを取得した際の現在位置情報を取得する現在位置情報取得ステップと、
   前記署名手段によって、前記取得したデジタルデータと、前記計測した時刻と、前記取得した現在位置情報と、を含む記録データを生成し、前記記憶した秘密鍵で当該生成した記録データをデジタル署名する署名ステップと、
   前記現在時刻受信手段によって、現在時刻送信装置が送信した現在時刻を受信する現在時刻受信ステップと、
   前記時刻補正手段によって、前記受信した現在時刻を用いて、前記時計装置が計測する時刻のうち、セキュリティを要する所定単位以上の部分についての補正は行わず、前記所定単位よりも小さい部分を補正する時刻補正ステップと、を具備し、
   前記計測ステップは、前記時刻補正ステップで補正した後の時刻を計測する、
   ことを特徴とする記録方法。

Images