JP5230792B2 - 画像管理方法、画像管理プログラム、画像管理システム - Google Patents

Description

本発明は、動画像や音声といったストリーミングデータの取り扱いに関し、特に部分的な抽出（具体的には変更・抽出・墨塗り等を含む）が行われるストリーミングデータについての原本データからの抽出箇所の特定、ならびに、抽出したデータの正当性の担保・第三者証明可能な部分完全性保証に関する。

近年、店舗や繁華街、集合住宅等での監視カメラの設置や、業務車両へのドライブレコーダの設置等が一般化し、動画像を証拠物件として取り扱う事例が増加している。また、電話による取引やサポート業務のトラブル対策として、顧客とオペレータとの会話を録音し証拠として保持することも常識となりつつある。

現在、動画像や音声を証拠とする場合、ビデオテープや画像・音声ファイルをそのまま提供している。しかし、画像・音声保存のデジタル化が進めば、それらの改ざんや編集は容易になり、証拠として取り扱う場合は署名やタイムスタンプといった第三者証明が必要となる。現に電話オペレータの音声をタイムスタンプ付で録音・記録するサービスや製品が販売されており、今後このような技術のニーズが高まることが予想される。

また、電子署名は、電子データの安全性を支える重要な技術であり、作成者認証や改ざんされていないことを保証するために契約書や申請書等にも適用されている。電子署名が付与された電子データは、１ビットの改変でも検知できるよう設計されており、不正者から電子データを守るという意味で有用な性質を保持している。

一方で、増加する監視カメラ等に対して、撮影された映像の利用に対するプライバシの保護が問題となり、総務省等で議論が行われている。また、個人情報保護法の施行等により、個人のプライバシ情報の利用が厳しく制限され、本人の要求があれば、開示や部分的な削除等が必要である。加えて、長時間記録された映像・音声データの蓄積は大容量になると考えられ、証拠提出の際は、必要部分を抽出するといったことが要求される。

このようにプライバシ情報の部分的な削除や必要部分の抽出といった電子データの有効活用という観点からは、電子署名の適用では一切の加工が許されなくなるため、逆に障害となり得る。

こういった電子データの証拠性とプライバシ保護の両立という課題に対して、電子文書の一部に対する部分的な原本性（完全性）の保証や秘匿（墨塗り）する墨塗り署名技術の研究が進んでいる。

特に、下記特許文献１は、ある文書に対して施された署名が、文書の一部を秘匿することによって検証できなくなる問題を解決する電子文書の墨塗り署名技術（以降、本技術をＰＩＡＴと略して説明）である。

このＰＩＡＴを適用することにより、署名付き電子文書に対して墨塗りを施した状態でも署名検証が可能、かつ、墨塗り（変更や追加も可能）箇所以外は改変がないことを第三者証明することが可能となる。

また、特許文献１の技術を動画像・音声データに適用し、それらデータの原本性の保証、署名対象からのプライバシ保護可能なデータ抽出を実現することを目的とした、下記特許文献２のような技術が提案されている。

これら技術により、動画像・音声データの一部を切り出しても、原本の一部で改変がないことを第三者に証明することが可能である。

更に、圧縮された動画像データとして、Ｍｏｔｉｏｎ−ＪＰＥＧという形式のメディアフォーマットが存在する。Ｍｏｔｉｏｎ−ＪＰＥＧは、静止画像の圧縮方式であるＪＰＥＧ（Ｊｏｉｎｔ Ｐｈｔｏｇｒａｐｈｉｃ Ｅｘｐｅｒｔｓ Ｇｒｏｕｐ）を応用して動画像データを生成する圧縮・記録方式のことで、圧縮されたＪＰＥＧ静止画像を各コマに配置して、アニメーションのように再生される。

Ｍｏｔｉｏｎ−ＪＰＥＧでは、それぞれのコマに対して逐次圧縮しているため、再生効率が高い特徴がある。高画質で記録可能な上、任意の箇所へのアクセスも素早く、ワンカットを切り出すことも可能である。最近では、静止画像や動画像の撮影に対応している携帯電話のカメラ機能等がＭｏｔｉｏｎ−ＪＰＥＧを採用している。

このＭｏｔｉｏｎ−ＪＰＥＧには、マイクロソフト社が開発したＡＶＩ（Ａｕｄｉｏ Ｖｉｄｅｏ Ｉｎｔｅｒｌｅａｖｅ）形式のフォーマットとアップル社が開発したＭＯＶ形式のフォーマットの２つのフォーマット（コンテナ形式）が存在する。

特にＡＶＩ形式のフォーマットでは、ヘッダ（プロパティ）とボディ（コンテンツ）に分割でき、ヘッダには、ボディ内に格納されているＪＰＥＧ静止画像の枚数（フレーム数）や画像の大きさ、フレームレート等、動画像や音声を再生するための情報が格納されている。ボディには、動画像・音声の各実データが順次格納されている。
ＷＯ２００６／００８８４７号公報 特開２００８−１７８０４８号公報

上述した従来の技術では、圧縮された動画像・音声データのひとつであるＭＰＥＧ−１やＭＰ３（ＭＰＥＧ−１ Ａｕｄｉｏ Ｌａｙｅｒ−３）に限定され、これにより例えば、ＭＰＥＧ−１に対して、圧縮された静止画像（全分、差分を有する）を何枚か集めて得られるＧＯＰ（Ｇｒｏｕｐ ｏｆ Ｐｉｃｔｕｒｅ）という動画像の最小単位で区分し、ＧＯＰを一つの部分情報として署名を生成・検証する方法が考えられる。

一つのＧＯＰの時間は、およそ０．５ミリ秒で、その中にはおおよそ１６枚〜１８枚の静止画像が含まれているが、個々に存在する静止画像単位では画像としての独立性がないため、ＧＯＰ内のある１枚の静止画像、もしくは複数の静止画像を映像として切り出した場合、その画像が正常に描画・再生できない可能性がある上、原本の映像の一部であることを証明することが困難だった。これは、ＭＰＥＧ−１ではフレーム間予測という技術が用いられているために発生する。

これに対し、ＪＰＥＧ静止画像が複数枚集まって生成されるＡＶＩ形式のＭｏｔｉｏｎ−ＪＰＥＧの動画像データを対象とし、ＪＰＥＧ静止画像１枚１枚をひとつの部分情報として、上記特許文献１の技術を適用することが考えられる。しかしながら、ＡＶＩ形式のＭｏｔｉｏｎ−ＪＰＥＧデータに対する単純な適用では問題が残る。

すなわち、ＡＶＩ形式の映像からＪＰＥＧ静止画像を１枚、もしくは映像として複数のＪＰＥＧ静止画像を切り出すことを想定すると、まず、映像として切り出す場合、ヘッダにはその映像が保持しているＪＰＥＧ静止画像の枚数（フレーム数）が記録されているため、切り出しと同時に減少したフレーム数の書き換え（ヘッダの変更）が発生する。

これを考慮して、変更の恐れのあるヘッダの項目は署名対象とせず、ボディ、つまりＪＰＥＧ静止画像１枚１枚に限定して署名を付加することが考えられる。しかしながら、ヘッダ内に記録された画像サイズやフレームレート等の再生や描画に影響する箇所が再生可能な形で変更（改ざん）されても検知できないという問題がある。

また、静止画像として切り出す場合には、ＡＶＩ形式のＭｏｔｉｏｎ−ＪＰＥＧ内に格納されたＪＰＥＧ静止画像をそのまま切り出し、出力しただけではＪＰＥＧビュアーで正常に描画できないという問題がある。

これは、ＡＶＩ形式のＭｏｔｉｏｎ−ＪＰＥＧに格納されたＪＰＥＧデータは、単体で描画可能なＪＰＥＧデータとは異なり、デコード時に必要なハフマンテーブルというデータがある領域間に保持していないために生じる。

そこで、ＪＰＥＧビュアーで正常に描画できるようにするために、切り出したＪＰＥＧデータにハフマンテーブルを付加して出力する必要が出てくる。同時にそのハフマンテーブルの付加を踏まえ、署名時にもＪＰＥＧ静止画像１枚が切り出されることを考慮して、予めハフマンテーブルを付加した状態で署名を付加することが考えられる。

しかしながら、映像として切り出す際には、ハフマンテーブルの付加は不要であり、そのように生成された署名データを用いて検証を行っても、映像として原本検証ができなくなってしまい、結果、映像として切り出した際の署名検証のためのデータ、ならびに静止画として切り出した際の署名検証のためのデータを別々に保持しておく必要があり、署名データの増大（重複）管理が問題となる。

そこで、本発明では、映像、および静止画像のそれぞれの切り出しが可能で、かつそれぞれのメディアフォーマットで抽出された画像が正常に再生（描画）可能であり、同時に抽出された映像、および静止画像が元の映像の一部で改変がないことを第三者に証明可能とする技術を提供する。

上述した課題を解決するため画像管理方法は、原動画と原動画内に含まれる静止画像のペアを管理する画像管理方法であって、原動画情報について署名生成を行う場合に、原動画をヘッダとボディに分割して、ヘッダ部分の集合のハッシュ値（Ｈ１）を生成するステップと、各静止画像データのハッシュ値（Ｂ♯）を生成するステップと、ヘッダ部分の集合のハッシュ値（Ｈ１）と各静止画像データのハッシュ値（Ｂ♯）を連結し、各連結ハッシュ値（Ｊ１♯）を生成するステップと、連結ハッシュ値（Ｊ１♯）の集合をハッシュ値リスト（Ｌ１）として生成するステップと、静止画像の1枚の切り出しに基づく、ハフマンテーブルのハッシュ値（Ｔ）を生成するステップと、ヘッダ部分の集合のハッシュ値（Ｈ１）と、ハフマンテーブルのハッシュ値（Ｔ）と、ハッシュ値リスト（Ｌ１）を原動画の検証データとし、映像記録端末の電子署名を付加して原動画の署名情報とする署名ステップとを備える。

また、画像管理プログラムは、原動画と原動画内に含まれる静止画像のペアの管理をコンピュータに実行させる画像管理プログラムであって、原動画情報について署名生成を行う場合に、原動画をヘッダとボディに分割して、ヘッダ部分の集合のハッシュ値（Ｈ１）を生成するステップと、各静止画像データのハッシュ値（Ｂ♯）を生成するステップと、ヘッダ部分の集合のハッシュ値（Ｈ１）と各静止画像データのハッシュ値（Ｂ♯）を連結し、各連結ハッシュ値（Ｊ１♯）を生成するステップと、連結ハッシュ値（Ｊ１♯）の集合をハッシュ値リスト（Ｌ１）として生成するステップと、静止画像の1枚の切り出しに基づく、ハフマンテーブルのハッシュ値（Ｔ）を生成するステップと、ヘッダ部分の集合のハッシュ値（Ｈ１）と、ハフマンテーブルのハッシュ値（Ｔ）と、ハッシュ値リスト（Ｌ１）を原動画の検証データとし、映像記録端末の電子署名を付加して原動画の署名情報とする署名ステップとをコンピュータに実行させる。

また、画像管理プログラムは、原動画と原動画内に含まれる静止画像のペアの管理をコンピュータに実行させる画像管理プログラムであって、受信した前記原動画から切り出し動画情報を生成し保存する場合に、前記原動画から切り出す部分の静止画像を指定し、切り出し動画を生成し、ヘッダの項目を再生可能となるようフレーム数の変更を行うステップと、受信した原動画の署名情報から該署名に含まれるヘッダ部分の集合のハッシュ値（Ｈ１）を取り出すステップと、前記切り出し動画をヘッダとボディに分割して、ヘッダ部分の項目集合のハッシュ値（Ｈ２）を生成するステップと、前記切り出し動画に係る各静止画像データのハッシュ値（Ｂ♯）を生成するステップと、前記受信した原動画の署名情報から取り出されたヘッダ部分の集合のハッシュ値（Ｈ１）と切り出し動画に係る各静止画像データのハッシュ値（Ｂ♯）を連結し、各静止画像データのハッシュ値（Ｊ２♯）を生成するステップと、連結ハッシュ値（Ｊ２♯）の集合をハッシュ値リスト（Ｌ２）とするステップと、ヘッダ集合のハッシュ値（Ｈ２）とハッシュ値リスト（Ｌ２）を切り出し動画の検証データとし、抽出者の電子署名を付加して切り出し動画の署名情報とする署名ステップとをコンピュータに実行させる。

また、原動画と原動画内に含まれる静止画像のペアの管理をコンピュータに実行させる画像管理プログラムは、受信した前記原動画から切り出し静止画情報を生成し保存する場合に、切り出す部分の静止画像を指定し、切り出し静止画を生成し、描画可能なようにハフマンテーブルを適所に付加するステップと、受信した原動画の署名情報から該署名に含まれるヘッダ部分のハッシュ値（Ｈ１）を取り出すステップと、切り出された静止画像データのハッシュ値（Ｂ３）を生成するステップと、前記原動画の署名情報から取り出されたヘッダ部分のハッシュ値（Ｈ１）と切り出された静止画像データのハッシュ値（Ｂ３）を連結し、各静止画像データの連結ハッシュ値（Ｊ３）を生成するステップと、該連結ハッシュ値生成ステップにより生成された連結ハッシュ値（Ｊ３）を切り出し静止画の検証データとし、抽出者の電子署名を付加して切り出し静止画の署名情報とするステップとをコンピュータに実行させる。

また、原動画と原動画内に含まれる静止画像のペアの管理をコンピュータに実行させる画像管理プログラムは、切り出し動画情報を検証する場合、切り出し動画、切り出し動画の署名情報、原動画の署名情報を受信するステップと、前記切り出し動画をヘッダとボディに分割して、ヘッダ部分の項目集合のハッシュ値（Ｈ０）を生成し、前記切り出し動画の署名情報に含まれるハッシュ値（Ｈ２）と比較し、同一かどうかを判定するステップと、前記原動画の署名情報に含まれるヘッダ集合ハッシュ値（Ｈ１）を取り出すステップと、前記切り出し動画に係る各静止画像データのハッシュ値（Ｂ♯）を生成するステップと、
前記原動画の署名情報から取り出されたヘッダ集合ハッシュ値（Ｈ１）と生成された各ハッシュ値（Ｂ♯）を連結し、各静止画像データの連結ハッシュ値（Ｊ４♯）を生成するステップと、前記切り出し動画の署名情報に含まれるハッシュ値リスト（Ｌ２）における連結ハッシュ値（Ｊ２＃）と生成された連結ハッシュ値（Ｊ４♯）を比較し、同一かどうかを判定するステップと、前記原動画の署名情報に含まれるハッシュ値リスト（Ｌ１）における連結ハッシュ値（Ｊ１♯）と前記切り出し動画の署名情報に含まれるハッシュ値リスト（Ｌ２）における連結ハッシュ値（Ｊ２＃）を比較し、切り出し箇所の同一性を判定するステップとをコンピュータに実行させる。

また、原動画と原動画内に含まれる静止画像のペアの管理をコンピュータに実行させる画像管理プログラムは、切り出し静止画情報を検証する場合、前記切り出し静止画、切り出し静止画の署名情報、原動画の署名情報を取得するステップと、前記切り出し静止画に含まれるハフマンテーブルのハッシュ値（Ｔ０）を生成し、前記原動画の署名情報に含まれるハフマンテーブルのハッシュ値（Ｔ）と比較し、同一かどうかを判定するステップと、前記原動画の署名情報に含まれるヘッダ部分の集合のハッシュ値（Ｈ１）を取り出すステップと、前記切り出し静止画の各静止画データのハッシュ値（Ｂ３）を生成するステップと、前記原動画の署名情報から取り出されたヘッダ集合ハッシュ値（Ｈ１）と生成された各静止画データのハッシュ値（Ｂ３）を連結して連結ハッシュ値（Ｊ３）を生成するステップと、該連結ハッシュ値生成ステップにより生成された連結ハッシュ値（Ｊ３）と前記切り出し静止画の署名情報に含まれる静止画データのハッシュ値（Ｊ３）を比較し、同一かどうかを判定するステップと、原動画の署名情報に含まれるハッシュ値リスト（Ｌ１）における連結ハッシュ値（Ｊ１♯）と切り出し静止画の署名情報に含まれる連結ハッシュ値（Ｊ３）を比較し、切り出し箇所を検証する検証ステップとをコンピュータに実行させる。

また、原動画と原動画内に含まれる静止画像のペアの管理を行う画像管理装置は、原動画情報について署名生成を行う場合に、原動画をヘッダとボディに分割して、ヘッダ部分の集合のハッシュ値（Ｈ１）を生成する第１集合ハッシュ値生成部と、各静止画像データのハッシュ値（Ｂ♯）を生成する第１静止画像データハッシュ値生成部と、ヘッダ部分の集合のハッシュ値（Ｈ１）と各静止画像データのハッシュ値（Ｂ♯）を連結し、各連結ハッシュ値（Ｊ１♯）を生成する第１連結ハッシュ値生成部と、連結ハッシュ値（Ｊ１♯）の集合をハッシュ値リスト（Ｌ１）として生成する第１リスト生成部と、静止画像の1枚の切り出しに基づく、ハフマンテーブルのハッシュ値（Ｔ）を生成するハフマンテーブル生成部と、ヘッダ部分の集合のハッシュ値（Ｈ１）と、ハフマンテーブルのハッシュ値（Ｔ）と、ハッシュ値リスト（Ｌ１）を原動画の検証データとし、映像記録端末の電子署名を付加して原動画の署名情報とする第１署名部とを備える。

実施の形態における情報抽出証明システムのシステム構成図である。 実施の形態における認証機関サーバ２の構成図である。 実施の形態の署名生成サーバ３の構成図である。 実施の形態の情報抽出サーバ５の構成図である。 実施の形態の署名検証サーバ７の構成図である。 実施の形態における送信装置と認証機関サーバ２との間での公開鍵の登録処理を示したフローチャートである。 実施の形態における電子署名付き情報の送受信処理、及び受信装置の検証処理を示したフローチャートである。 ＰＩＡＴのアルゴリズムの概要を示した図である。 ＡＶＩフォーマットの構成を示した図である。 実施の形態のシステムによる原動画情報の生成処理、及び署名生成処理を示したフローチャートである。 実施の形態のシステムによる原動画情報のＰＩＡＴ署名情報生成を示したフローチャートである。 実施の形態のシステムによる原動画情報のＰＩＡＴ署名情報生成を示した図である。 実施の形態のシステムによる切り出し情報の生成処理、及び署名生成処理を示したフローチャートである。 実施の形態のシステムによる切り出し情報の生成処理を示した図である。 実施の形態のシステムによる切り出し動画情報のＰＩＡＴ署名情報生成を示したフローチャートである。 実施の形態のシステムによる切り出し動画情報のＰＩＡＴ署名情報生成を示した図である。 実施の形態のシステムによる切り出し静止画情報のＰＩＡＴ署名情報生成を示したフローチャートである。 実施の形態のシステムによる切り出し静止画情報のＰＩＡＴ署名情報生成を示した図である。 実施の形態の検証対象の動画／静止画情報、及び検証情報の選択画面を示した図である。 実施の形態のシステムによる原動画情報、及び切り出し情報の署名検証処理を示したフローチャートである。 実施の形態のシステムによる切り出し動画情報のＰＩＡＴ署名情報検証を示したフローチャートである。 実施の形態のシステムによる切り出し動画情報のＰＩＡＴ署名情報検証を示した図である。 実施の形態のシステムによる切り出し静止画情報のＰＩＡＴ署名情報検証を示したフローチャートである。 実施の形態のシステムによる切り出し静止画情報のＰＩＡＴ署名情報検証を示した図である。 実施の形態のシステムによる切り出し動画情報の署名検証結果を示した図である。 実施の形態のシステムによる切り出し静止画情報の署名検証結果を示した図である。 実施の形態のコンピュータシステムの一例を示す図である。

以下に添付図面を参照して、この映像データの管理装置に係る好適な実施の形態を詳細に説明する。

まず、実施の形態の映像データの管理装置に関する映像記録抽出証明システムのシステム構成について、図１を用いて説明する。図１は、実施の形態におけるシステム構成図である。

図１において、１はネットワークである。ただし、１はインターネット、イントラネット、ワイドエリアネットワーク等のすべての通信回線網に相当する。また、２は電子署名情報を管理する認証機関サーバである。

周知のように電子署名は、署名対象情報を要約（メッセージダイジェスト化）した情報を送信者の秘密鍵で暗号化した署名情報と署名対象情報、及び公開鍵証明書を相手方へ送信し、受信者は、公開鍵証明書の有効性確認を行った上で、暗号化された署名情報を公開鍵証明書に含まれる公開鍵で復号し、署名対象情報から得た要約情報と比較を行う。この比較結果が同一か否かによって、正当な相手からの送信か否かを判断する技術である。なお、この点について詳細は後述する。

この電子署名の技術では、証明書の正当性を保証する必要があるため、実施の形態のように、映像記録端末、抽出者の公開鍵を蓄積した認証機関サーバ２を設置していることが一般的である。

この認証機関サーバ２は、図２に示すように映像記録端末、抽出者の公開鍵を蓄積した公開鍵ＤＢ２１、依頼に応じて公開鍵証明書を発行する証明書発行部２２、公開鍵証明書の検証を行う証明書検証部２３、及びネットワーク１経由での通信を行う通信手段２４を有する。

また、３は後述する映像記録端末４から送信された情報を保存し、署名処理を行う署名生成サーバである。この署名生成サーバ３は、図３に示すように、後述する映像記録端末４から送信された情報、および後述する情報抽出サーバ５へ送信された情報を蓄積する文書管理ＤＢ（データベース）３１、文書管理ＤＢ３１へのアクセス制御を行う文書管理ＴＢ（テーブル）３２、後述する映像記録端末４からの情報に対し、ＰＩＡＴ署名情報、ならびに電子署名を付加する署名生成部３３、及びネットワーク１経由での通信を行う通信手段３４を有する。

また、４は映像記録端末で、対象となる情報、すなわち原本ストリーミングデータ（以降、原動画情報と説明）の撮影・記録を行うための端末である。例えば、業務用監視カメラ等に相当する。この映像記録端末４は署名生成サーバ３と通信可能である。

５は、情報抽出サーバである。この情報抽出サーバ５は、図４に示すように、署名生成サーバ３から送られてきた情報の蓄積、および後述する署名検証サーバ７へ送信された情報を蓄積する文書管理ＤＢ５１、文書管理ＤＢ５１へのアクセス制御を行う文書管理ＴＢ５２、情報に対し、抽出者のＰＩＡＴ署名情報、ならびに電子署名を付加する署名生成部５３、送られてきた情報に付される電子署名の検証を行う署名検証部５４、及びネットワーク経由で通信を行うための通信手段５５を有する。

６は、抽出者が情報抽出サーバ５の操作を行うための端末である。この抽出者端末６は情報抽出サーバ５と通信可能である。

７は、署名検証サーバである。この署名検証サーバ７は、図５に示すように、情報抽出サーバ５から送られてきた情報を蓄積する文書管理ＤＢ７１、文書管理ＤＢ７１へのアクセス制御を行う文書管理ＴＢ７２、送られてきた情報に付される電子署名、ならびにＰＩＡＴ署名情報の検証を行う署名検証部７３、及びネットワーク経由で通信を行うための通信手段７４を有する。

８は、検証者が署名検証サーバ７の操作を行うための端末である。この検証者端末８は署名検証サーバ７と通信可能である。

以上のように構成されたシステムの処理について、以下にその処理動作について説明する。まず、実施の形態の装置での電子署名処理について説明する。

電子署名とは、送信者は、予め、鍵ペア（秘密鍵、及び公開鍵）を生成して、認証機関サーバ２に公開鍵を送信して公開鍵証明書を発行してもらい、送信装置には、この秘密鍵と公開鍵証明書を記憶しておく。送信装置より情報送信を行う際、まず、署名対象情報の要約情報（メッセージダイジェスト）を生成し、この要約情報に対して、送信者の秘密鍵で暗号化したものを署名情報とする。

続けて、署名対象情報とこの署名情報、及び送信者の公開鍵証明書を相手方へ送信し、それを受信した相手方（受信者）は、認証機関サーバ２に対して取得した送信者の公開鍵証明書の有効性検証を行い、有効であれば、この公開鍵で署名情報の復号を行う。

続けて、署名対象情報の要約を生成し、復号した情報と比較して同一であれば、真に送信者から送信されたもので改変がないことを証明できるという技術である。

ここでの要約情報とは、署名対象情報に対して暗号学的一方向性ハッシュ関数を用いて算出された情報（ハッシュ情報）であり、署名対象情報のサイズを圧縮できるという意味で、メッセージダイジェストとも言われる。また、暗号学的一方向性ハッシュ関数で生成されたハッシュ情報は、その署名対象情報からしか生成することができない唯一の情報となり、生成されたハッシュ情報から元の情報を復元することができないという特徴を持っている。

このため、情報の暗号化や電子署名生成にはよく使われている。この暗号学的一方向性ハッシュ関数には、ＭＤ５、ＳＨＡ-１、ＳＨＡ-２５６のようなアルゴリズムがある。情報に対してどのアルゴリズムを用いて要約情報（ハッシュ情報）を生成しているかについての情報（ハッシュ情報生成アルゴリズム）は公開鍵証明書に記載されている。

以下、電子署名生成の詳細な手順について説明する。
まず、送信装置と認証機関サーバ２との間での公開鍵の登録について、図６のフローチャートを用いて説明する。なお、図１の例では、署名生成サーバ３、情報抽出サーバ５が電子署名の送信装置となっている。

まず、送信者は、鍵ペア（秘密鍵、及び公開鍵）の生成を行う（Ｓ１００１）。続けて、送信者は、送信装置を操作して、証明書発行依頼情報の入力を行うと（Ｓ１００２）、送信装置は、その入力された証明書発行依頼情報を公開鍵とともに認証機関サーバ２へ送信する（Ｓ１００３）。

この情報を通信手段２４にて受信した（Ｓ１００４）認証機関サーバ２の証明書発行部２２は、公開鍵を含む公開鍵証明書を生成し（Ｓ１００５）、公開鍵ＤＢ２１に生成した公開鍵証明書を蓄積する（Ｓ１００６）。

その後、証明書発行部２２は、通信手段２４を制御し、ネットワーク１を介し、証明書発行依頼情報を送信してきた送信装置へ、発行した公開鍵証明書を送信する（Ｓ１００７）。

この情報を受信した（Ｓ１００８）送信装置は、Ｓ１００１で生成した秘密鍵、及び認証機関サーバ２から発行された公開鍵証明書を自身が有する記憶装置（署名生成サーバ３の署名生成部３３内の記憶領域、情報抽出サーバ５の署名生成部５３内の記憶領域）に蓄積し（Ｓ１００９）、その処理を完了する。

次に、実施の形態における電子署名付き情報の送受信処理、及び受信装置の検証処理について、図７のフローチャートを用いて説明する。

まず、送信者が、ある署名対象情報に対する電子署名生成を行い、受信装置に対する送信指示の入力を行うと（Ｓ２００１）、送信装置は、記憶領域に記憶している秘密鍵により指示された署名対象情報の要約情報（ハッシュ情報）に対して暗号化を行い（Ｓ２００２）、同じく記憶している公開鍵証明書とともに受信装置へ送信する（Ｓ２００３）。

これら情報を受信した（Ｓ２００４）受信装置は、まず、送られてきた公開鍵証明書の有効期限や失効情報等を確認するため、認証機関サーバ２に対して公開鍵証明書を送信する（Ｓ２００５）。

ここでは、認証機関サーバ２が証明書発行および証明書検証の一連の機能をサポートしているものとする。次に認証機関サーバ２は受信した公開鍵証明書の有効性検証を行い（Ｓ２００６）、検証結果を受信装置に対して送信する（Ｓ２００７）。

次に受信装置はこの有効性検証結果を受信する（Ｓ２００８）。続けて、この有効性検証結果を受信した受信装置は、検証結果が有効かどうか確認を行い（Ｓ２００９）、有効性が確認できると、まず、送信装置から取得した送信者の公開鍵証明書に含まれるハッシュ情報生成アルゴリズムを参照し、送信装置より受信した署名対象情報からハッシュ情報を生成する（Ｓ２０１０）。

続けて、公開鍵証明書に含まれる公開鍵を利用して、送信装置より受信した署名情報の復号処理を行う（Ｓ２０１１）。受信装置は、Ｓ２０１０で生成されたハッシュ情報と、Ｓ２０１１での復号処理によって得られた情報とを比較し、同一かどうかの判断を行う（Ｓ２０１２）。この判断で同一であることを確認できると、送信装置（送信者）から送られてきた情報であり、改変がないことが証明できたとして（Ｓ２０１３）、それら情報を保管する（Ｓ２０１４）。

逆に、異なる場合、その情報は、送信装置（送信者）からのものと証明できなかった（あるいは通信途中で改変された等）と判断し（Ｓ２０１５）、受信装置の操作者に証明できなかった旨の表示を行う等の通知処理を行う（Ｓ２０１６）。

なお、Ｓ２００９の処理で、公開鍵証明書の有効性が確認できなかった場合も同様に、送信装置（送信者）からのものと証明できなかったと判断し（Ｓ２０１５）、受信装置の操作者に証明できなかった旨の表示を行う等の通知処理を行う（Ｓ２０１６）。

実施の形態による処理を説明する前に、まず、ＰＩＡＴのアルゴリズムの概要を示す。図８は、その概要を示している。

署名者は、署名対象データ（ＯＤ）を部分データに分割し、各部分データのハッシュ情報を計算して、ハッシュ情報集合（ＨＧ１）を生成する。その後、生成したハッシュ情報集合に対して署名者の電子署名を行い、ハッシュ情報集合と電子署名をあわせてＰＩＡＴ署名情報（ＳＩ１）とする。

抽出者は、署名者がＰＩＡＴ署名情報を施したデータから、部分データを抽出する（ＰＯＤ）。なお、抽出されなかった部分データは消去される。その後、署名者と同様の操作を行って、抽出者のＰＩＡＴ署名情報（ＳＩ２）を生成する。

検証者は、まず、署名者と抽出者のＰＩＡＴ署名情報（ＳＩ１，ＳＩ２）から、ハッシュ情報集合の完全性を検証する。次に、開示された部分データからハッシュ情報集合を生成し、抽出者のＰＩＡＴ署名情報に含まれるハッシュ情報集合と同一であることを検証する。

最後に、署名者と抽出者のハッシュ情報集合を比較（ＣＰ）することで、ハッシュ情報が同じ部分が元のデータからの抽出位置であることが分かる。もし、抽出データのハッシュ情報が署名者のＰＩＡＴ署名情報のハッシュ情報が含まれていない場合は、その部分データは改ざんされていることになる。

続けて、実施の形態で対象とするストリーミング情報について説明を行うと共に、必要な定義を行う。代表的な動画フォーマットとして、ＭＰＥＧ−１／２／４、音声フォーマットは、ＭＰ３、ＷＡＶ、ＡＶＩ等が存在する。実施の形態では、ＡＶＩを対象に説明する。

ＡＶＩは、ＪＰＥＧ静止画像が複数枚集まって生成されるＡＶＩ形式のＭｏｔｉｏｎ−ＪＰＥＧの動画像データであり、静止画像や動画像の撮影に対応している携帯電話のカメラ機能等がＭｏｔｉｏｎ−ＪＰＥＧを採用している。

図９にＡＶＩフォーマットの構成を示す。ＡＶＩ形式では、ヘッダ（プロパティ）とボディ（コンテンツ）に分割でき、ヘッダには、ボディ内に格納されているＪＰＥＧ静止画像の枚数（フレーム数）や画像の大きさ、フレームレート等、動画像や音声を再生するための情報が格納されている。

ボディには、動画像や音声の各実データが順次格納されている。ＡＶＩフォーマット内に記録されているＪＰＥＧデータには、ＳｔａｒｔＭａｒｋｅｒ（ＳＯＩ）からＥｎｄＭａｒｋｅｒ（ＥＯＩ）までの情報が記録されている。

続けて、実施の形態によるＡＶＩフォーマットへのＰＩＡＴ適用について説明する。

具体的な処理の流れを説明する前に、実施の形態における前提について事前に定義しておく。まず、原動画情報を記録する映像記録端末４が署名を付加する形態を考える。映像記録端末４は、例えば、監視カメラは業務用カメラ等に相当する。

実施の形態では、映像記録端末４の管理責任者、抽出者、検証者の３名の操作者が登場する。すなわち、映像記録端末４に装備された録画開始ボタンおよび録画停止ボタンを押下することで、映像記録端末４に対して映像記録開始および停止指示を発行する管理責任者、対象の原動画情報の一部切り出しを行い、切り出し動画情報を生成する抽出者、開示された切り出し動画情報の検証を行う検証者が登場する。

映像記録端末４、抽出者、検証者に対して以下の条件を設ける。映像記録端末４は、署名することで署名対象の原動画情報の内容を保証する。対象の原動画情報のうちどの部分が抽出されるかわからないという条件下で署名を行う必要がある。

抽出者は、映像記録端末４が署名した原動画情報から、部分的にデータを抽出して、切り出し情報として検証者に開示する。抽出方法には、抽出者の情報を同時に開示し、誰がその抽出処理を行ったかを明示する顕名抽出と、抽出者が抽出処理を匿名で行う匿名抽出の２種類ある。

実施の形態では、顕名抽出を行うことを前提に説明を行う。検証者は、開示された切り出し情報が映像記録端末４によって保証されているかどうかを検証する。開示された切り出し情報は、映像記録端末４が署名をした原動画情報の一部であることに加え、その抽出が抽出者によって行われたことを検証する。なお、電子署名の処理については、各装置が上記した電子署名の手順を行うものとする。

図１０は、原動画情報の生成処理、及び署名生成処理のフローチャートである。

映像記録端末４は、署名対象となる原動画情報の記録を開始する（Ｓ３００１）。この開始指示は、映像記録端末４の管理責任者によって行われ、例えば、映像記録端末４に装備された録画開始ボタンを押下することで実行される。記録中の映像は、映像記録端末４の記憶領域へ蓄積されていくものとする。録画の終了指示は、管理責任者によって行われ、例えば、映像記録端末４に装備された録画停止ボタンを押下することで実行される。

原動画情報の作成が完了すると、署名生成サーバ３に対して、作成した原動画情報を送信する（Ｓ３００２）。原動画情報を受信すると（Ｓ３００３）、署名生成サーバ３は、まず、原動画情報を部分情報に分割するところから始まる。ＡＶＩのデータを抽出可能なように部分データに分割する。ＡＶＩデータは、ＪＰＥＧ静止画像が複数枚集まったものであるため、このＪＰＥＧ静止画像１枚１枚を部分として分割を行う。

上記を踏まえ、ＰＩＡＴアルゴリズムを適用する。なお、動画像データの抽出が目的のため、実施の形態では、全データのうち、連続する一つの箇所の動画像を切り出すことを前提とする。

署名生成部３３は、原動画情報に対する署名情報を生成する。図１１にそのフローチャートの詳細を、図１２は、その生成方法の様子を示している。

具体的には、原動画情報のヘッダ改ざん脅威対策（原動画情報と原動画情報内に含まれるＪＰＥＧ静止画像のペアを管理する）ため、原動画情報をヘッダとボディに分割して（Ｓ３００４０１）、ヘッダ部分の項目集合をハッシュ化し、原動画情報のヘッダハッシュ値（Ｈ１）を生成する（Ｓ３００４０２）。これは本発明の第１集合ハッシュ値生成部を構成している。

続けて、ＪＰＥＧデータを前から順に抽出し、ハッシュ値（Ｂ♯）を生成する（Ｓ３００４０３）。これは本発明の第１静止画像データハッシュ値生成部を構成している。更に、原動画情報のヘッダハッシュ値（Ｈ１）と（Ｂ♯）を連結し、各ＪＰＥＧデータのハッシュ値（Ｊ１♯）を生成する（Ｓ３００４０４）。これは本発明の第１連結ハッシュ値生成部を構成している。最後のＪＰＥＧデータまでの処理が完了すれば（Ｓ３００４０５，ＹＥＳ）、各ＪＰＥＧデータのハッシュ値（Ｊ１♯）の集まりをハッシュ値リスト（Ｌ１）として退避する（Ｓ３００４０６）。これは、本発明のリスト生成部を構成している。

続けて、ＪＰＥＧ静止画像1枚が切り出されることを考慮して、ハフマンテーブルのハッシュ値（Ｔ）を生成する（Ｓ３００４０７）。これは本発明のハフマンテーブル生成部を構成している。最後に、（Ｈ１）、（Ｔ）、（Ｌ１）を原動画情報の検証データとし、映像記録端末の電子署名を付加する（Ｓ３００４０８）。これを原動画情報のＰＩＡＴ署名情報（Ｐ１）とする。これは本発明の第１署名部を構成している。

原動画情報のＰＩＡＴ署名情報の生成が完了すると、署名生成サーバ３内の文書管理ＴＢ３２を介して、原動画情報とＰＩＡＴ署名情報（Ｐ１）をペアにして、文書管理ＤＢ３１に蓄積する（Ｓ３００５）。続けて、署名生成サーバ３は、通信手段３４を介し、情報抽出サーバ５に対して、原動画情報とＰＩＡＴ署名情報（Ｐ１）を送信する（Ｓ３００６）。

情報抽出サーバ５は、通信手段５５を介し、原動画情報とＰＩＡＴ署名情報（Ｐ１）を受信し（Ｓ３００７）、情報抽出サーバ５内の文書管理ＴＢ５２を介して、原動画情報とＰＩＡＴ署名情報（Ｐ１）をペアにして、文書管理ＤＢ５１に蓄積する（Ｓ３００８）。

次に、抽出者は、管理責任者から何らかの伝達手段を通じて、原動画情報の作成完了通知を受け、原動画情報の切り出し処理を開始する。この行為は、例えば、ある第三者に対して原動画情報の開示を求められた際、必要な部分だけ抽出して開示する際に行う。具体的には、原動画情報の一部にプライバシ情報が含まれるため、原動画情報の一部を切り出す場面が考えられる。

図１３は、切り出し情報の生成処理、及び署名生成処理のフローチャートである。

抽出者は、抽出者端末６を用いて、情報抽出サーバ５に対し、切り出し対象の原動画情報の取り出し指示を送信する（Ｓ４００１）。情報抽出サーバ５は、切り出し対象の原動画情報の取り出し指示を受信する（Ｓ４００２）。情報抽出サーバ５内の文書管理ＴＢ５２を介して、文書管理ＤＢ５１に蓄積された切り出し対象の原動画情報とＰＩＡＴ署名情報を取り出し（Ｓ４００３）、署名検証部５４を介して、ＰＩＡＴ署名情報に付加された電子署名の検証を行う（Ｓ４００４）。

電子署名検証に失敗した場合は（Ｓ４００５，ＮＯ）、なんらかの改変が発生したものとして、その旨、抽出者に通知される（Ｓ４０９９）。

電子署名検証が成功した場合は（Ｓ４００５，ＹＥＳ）、抽出者端末６に、原動画情報が送信される（Ｓ４００６）。

抽出者端末６に原動画情報が受信されると（Ｓ４００７）、抽出者端末６に装備された表示装置に原動画情報が表示される。続けて、抽出者は、原動画情報から必要な部分を抽出し、切り出し動画情報、もしくは切り出し静止画情報を作成する（Ｓ４００８、Ｓ４００９Ａ／Ｂ）。この時、切り出し動画情報生成時にはヘッダ項目の変更を、切り出し静止画情報生成時には、ハフマンテーブルを付加する。

図１５、図１６に切り出し動画情報の生成、署名生成方法を、図１７、図１８に切り出し静止画像の生成、署名生成方法を示している。

実施の形態では、ＪＰＥＧデータが６枚存在することを想定し、Ｊ３からＪ５の３枚を切り出し動画情報として抽出する例、ならびにＪ３を切り出し静止画情報として抽出する例を示す。

この時、切り出し動画情報生成時のヘッダ項目の変更については、ＪＰＥＧフレーム数を６から３に、切り出し静止画情報生成時のハフマンテーブルの付加については、ＪＰＥＧフォーマットを解析し、ＦｒａｍｅＨｅａｄｅｒ（ＳＯＦ）とＳｃａｎＨｅａｄｅｒ（ＳＯＳ）の間に追加する。これは本発明のフレーム数変更部を構成している。

図１４は、抽出者端末６による原動画情報の抽出操作の一例を示している。再生ボタン（ＰＲＥＶＩＥＷ）２０１により、切り出し動画情報の再生を行いながら、必要な切り出しを行う範囲を指定することで、抽出者は目視による切り出しが可能となる。切り出しの方法としては、まず、シークバー２０２を利用し、任意の位置で開始ボタン（ＳＴＡＲＴＳＥＴ）２０３を押下し、切り出し開始位置を設定する。続けて、同様にシークバー２０２を利用し、任意の場所で終了ボタン（ＥＮＤＳＥＴ）２０４を押下し、切り出し終了位置を設定する。この操作により、切り出し範囲（ＣＵＴＡＲＥＡ）２０５が決定するので、切り出し動画情報の生成メニューを選択し、切り出し動画情報を作成する。

静止画として切り出す場合には、同様にシークバー２０２で任意の場所で保存ボタン（ＳＴＯＲＥ）２０６を押下し、切り出し静止画情報を作成する。以降、切り出し動画情報、切り出し静止画情報を総括して、切り出し情報として説明する。

切り出し情報の作成が完了すると、情報抽出サーバ５に対して、作成した切り出し情報を送信する（Ｓ４０１０）。切り出し動画情報を受信すると（Ｓ４０１１）、情報抽出サーバ５内の署名生成部５３は、切り出し情報に対するＰＩＡＴ署名情報を生成する（Ｓ４０１２Ａ／Ｂ）。

ここで、図１５を用いて、切り出し動画情報の署名生成方法について説明する。最初に、原動画情報のＰＩＡＴ署名情報から、原動画情報のヘッダハッシュ値（Ｈ１）を取り出す（Ｓ４０１２Ａ０１）。これは本発明の第１ハッシュ値取り出し部を構成している。

切り出し動画情報のヘッダ改ざん脅威対策のため、切り出し動画情報をヘッダとボディに分割して（Ｓ４０１２Ａ０２）、ヘッダ部分の項目集合をハッシュ化し、切り出し動画情報のヘッダハッシュ値（Ｈ２）を生成する（Ｓ４０１２Ａ０３）。これは本発明の第２集合ハッシュ値生成部を構成している。続けて、切り出し動画情報のＪＰＥＧデータを前から順に抽出し、ハッシュ値（Ｂ♯）を生成する（Ｓ４０１２Ａ０４）。これは本発明の第２静止画像データハッシュ値生成部を構成している。

更に、原動画情報のヘッダハッシュ値（Ｈ１）と（Ｂ♯）を連結し、各ＪＰＥＧデータのハッシュ値（Ｊ２♯）を生成する（Ｓ４０１２Ａ０５）。これは本発明の第２連結ハッシュ値生成部を構成している。最後のＪＰＥＧデータまでの処理が完了すれば（Ｓ４０１２Ａ０６，ＹＥＳ）、（Ｊ２♯）の集まりをハッシュ値リスト（Ｌ２）として退避する（Ｓ４０１２Ａ０７）。これは本発明の第２リスト生成部を構成している。最後に、（Ｈ２）、（Ｌ２）を切り出し動画情報の検証データとし、抽出者の電子署名を付加する（Ｓ４０１２Ａ０８）。これを切り出し動画情報のＰＩＡＴ署名情報（Ｐ２）とする。これは本発明の第２署名部を構成している。

次に、図１７を用いて切り出し静止画情報の署名生成方法について説明する。静止画像の切り出しにおいては、まず、図１８に示されるように、切り出す部分のＪＰＥＧ静止画像を指定し、切り出し静止画を生成する。この時、描画可能なようにハフマンテーブルを適切な場所に付加する。次に、原動画情報のＰＩＡＴ署名情報から、原動画情報のヘッダハッシュ値（Ｈ１）を取り出す（Ｓ４０１２Ｂ０１）。これは本発明の第２ハッシュ値取出し部を構成している。続けて、ＪＰＥＧデータのハッシュ値（Ｂ♯＝Ｂ３）を生成する（Ｓ４０１２Ｂ０２）。更に、原動画情報のヘッダハッシュ値（Ｈ１）と（Ｂ３）を連結し、ＪＰＥＧデータのハッシュ値（Ｊ３）を生成する（Ｓ４０１２Ｂ０３）。これは本発明の第３連結ハッシュ値生成部を構成している。最後に、（Ｊ３）を切り出し静止画情報の検証データとし、抽出者の電子署名を付加する（Ｓ４０１２Ｂ０４）。これを切り出し静止画情報のＰＩＡＴ署名情報とする。これは本発明の第３署名部を構成している。

切り出し情報のＰＩＡＴ署名情報の生成が完了すると、情報抽出サーバ５内の文書管理ＴＢ５２を介して、切り出し動画情報とＰＩＡＴ署名情報をペアにして、文書管理ＤＢ５１に蓄積する（Ｓ４０１３）。続けて、情報抽出サーバ５は、通信手段５５を介し、署名検証サーバ７に対して、切り出し情報、原動画情報のＰＩＡＴ署名情報、切り出し情報のＰＩＡＴ署名情報の３情報を送信する（Ｓ４０１４）。

署名検証サーバ７は、通信手段７４を介し、切り出し情報、原動画情報のＰＩＡＴ署名情報、切り出し情報のＰＩＡＴ署名情報の３情報を受信し（Ｓ４０１５）、署名検証サーバ７内の文書管理ＴＢ７２を介して、切り出し情報、原動画情報のＰＩＡＴ署名情報、切り出し情報のＰＩＡＴ署名情報の３情報を、文書管理ＤＢ７１に蓄積する（Ｓ４０１６）。

図２０は、原動画情報、および切り出し情報の署名検証処理のフローチャートである。

検証者は、抽出者から何らかの伝達手段を通じて、切り出し情報の開示通知を受け、開示された切り出し情報の確認、および検証を開始する。

検証者は、検証者端末８を用いて、署名検証サーバ７に対し、検証対象の切り出し情報の取り出し指示を送信する（Ｓ５００１）。検証者は切り出し情報として、切り出し動画情報、もしくは切り出し静止画情報のどちらかを検証する。

図１９は、検証対象の動画／静止画情報、および検証情報の選択画面の一例を示している。この例では、署名検証には、切り出し情報と、原動画情報の選択が可能で、各動画情報、静止画情報の検証が行えるようになっている（ＶＥＲＩＦＹＴＹＰＥ）３０１。例えば、切り出し情報を選択すると、切り出し情報と、原動画情報のＰＩＡＴ署名情報、ならびに切り出し情報のＰＩＡＴ署名情報を選択できるようになり、各フィールドの参照ボタン（ＧＥＴＳＴＲＥＡＭ）３０２を押下することで選択できる。

また、参照ボタン３０２を押下することで、署名検証サーバ７内の文書管理ＤＢ７１に蓄積されている切り出し情報を参照・選択できるようになっている。最後に、署名検証ボタン（ＶＥＲＩＦＹＲＵＮ）３０３を押下することで、選択した切り出し情報の署名検証処理が実行される。

ここでは、検証者が原動画情報のＰＩＡＴ署名情報、ならびに切り出し情報のＰＩＡＴ署名情報を選択することとしていたが、検証者は、これらＰＩＡＴ署名情報の存在を意識せず、切り出し情報のみ選択できる形態もあり得る。例えば、切り出し情報の内容を容易に推測・識別可能なタイトルを付与し、検証者には、それらタイトルを集めた一覧を見せ、該一覧から選択させる方法もあり得る。この場合、該一覧中のある動画／静止画情報が選択された際、選択された動画／静止画像情報が、署名検証サーバ７内の文書管理ＤＢ７１に蓄積されている、どの動画像／静止画情報なのかを識別するための、例えば、リンク情報を保持しておく必要がある。

署名検証処理が実行されると、署名検証サーバ７は、検証対象の切り出し情報の取り出し指示を受信する（Ｓ５００２）。これは本発明の第１受信部を構成している。署名検証サーバ７内の文書管理ＴＢ７２を介して、文書管理ＤＢ７１に蓄積された切り出し情報、原動画情報のＰＩＡＴ署名情報、切り出し情報のＰＩＡＴ署名情報の３情報を取り出し（Ｓ５００３）、署名検証部７３を介して、ＰＩＡＴ署名情報に付加された電子署名の検証を行う（Ｓ５００４）。検証結果を判断し（Ｓ５００５）、電子署名検証に失敗した場合は（Ｓ５００５，ＮＯ）、なんらかの改変が発生したものとして、その旨、検証者に通知される（Ｓ５０９９）。

電子署名検証が成功した場合は（Ｓ５００５，ＹＥＳ）、続けて、切り出し情報に対するＰＩＡＴ署名情報検証を行う（Ｓ５００６Ａ／Ｂ）。

切り出し情報には、切り出し動画情報、もしくは切り出し静止画情報があり、切り出し動画情報は、図２１、図２２を用いて、切り出し静止画情報は、図２３、図２４を用いて説明する。

まず、図２１、図２２を用いて、切り出し動画情報のＰＩＡＴ署名情報検証について説明する。切り出し動画情報をヘッダとボディに分割して（Ｓ５００６Ａ０１）、ヘッダ部分の項目集合をハッシュ化し、切り出し動画情報のヘッダハッシュ値（Ｈ０）を生成する（Ｓ５００６Ａ０２）。

続けて、切り出し動画情報のヘッダハッシュ値（Ｈ２）を切り出し動画情報のＰＩＡＴ署名情報（Ｐ２）から取り出し（Ｓ５００６Ａ０３）、（Ｈ０）と比較する（Ｓ５００６Ａ０４）。この比較判定処理は本発明の第１判定部を構成している。

一致しなければ（Ｓ５００６Ａ０４，ＮＯ）、切り出し動画情報のヘッダ部分に何らかの改変があったとしてその旨通知する。一致すれば（Ｓ５００６Ａ０４，ＹＥＳ）、原動画情報のヘッダハッシュ値（Ｈ１）を原動画情報のＰＩＡＴ署名情報（Ｐ１）から取り出す（Ｓ５００６Ａ０５）。これは本発明の第１集合ハッシュ値取り出し部を構成している。ＪＰＥＧデータを前から順に抽出し、ハッシュ値（Ｂ♯）を生成する（Ｓ５００６Ａ０６）。これは本発明の第４静止画像データハッシュ値生成部を構成している。

更に、原動画情報のヘッダハッシュ値（Ｈ１）と（Ｂ♯）を連結し、各ＪＰＥＧデータのハッシュ値（Ｊ４♯）を生成する（Ｓ５００６Ａ０７）。これは本発明の第４連結ハッシュ値生成部を構成している。同時に、切り出し動画情報のＰＩＡＴ署名情報（Ｐ２）から、該当する項目ハッシュ値（Ｊ２♯）を取り出し（Ｓ５００６Ａ０８）、（Ｊ４♯）と比較する（Ｓ５００６Ａ０９）。この比較判定処理は本発明の第２判定部を構成している。

一致しなければ（Ｓ５００６Ａ０９，ＮＯ）、切り出し動画情報の（Ｊ４♯）に何らかの改変があったとしてその旨通知する。一致すれば（Ｓ５００６Ａ０９，ＹＥＳ）、原動画情報のＰＩＡＴ署名情報（Ｐ１）から、該当する項目ハッシュ値（Ｊ１♯）を取り出し、（Ｊ２♯）と比較し、（Ｊ２♯）の切り出し位置を退避する（Ｓ５００６Ａ１０）。これは本発明の第３判定部を構成している。最後のＪＰＥＧデータまでの処理が完了すれば（Ｓ５００６Ａ０１１，ＹＥＳ）、正常に終了した旨通知する。実施の形態の場合、６フレーム中、Ｊ３、Ｊ４、Ｊ５の３フレームが動画情報として切り出され、改変がないことを確認できる。

続けて、図２３、図２４を用いて、切り出し静止画情報のＰＩＡＴ署名情報検証について説明する。切り出し静止画、切り出し静止画のＰＩＡＴ署名を受信すると（本発明の第２受信部に対応する）、切り出し静止画情報に含まれるハフマンテーブルのハッシュ値（Ｔ０）を生成する（Ｓ５００６Ｂ０１）。続けて、ハフマンテーブルのハッシュ値（Ｔ）を原動画情報のＰＩＡＴ署名情報から取り出し（Ｓ５００６Ｂ０２）、（Ｔ０）と比較する（Ｓ５００６Ｂ０３）。これは本発明の第４判定部を構成している。一致しなければ（Ｓ５００６Ｂ０３，ＮＯ）、切り出し静止画情報に含まれるハフマンテーブルに何らかの改変があったとしてその旨通知する。

一致すれば（Ｓ５００６Ｂ０３，ＹＥＳ）、原動画情報のヘッダハッシュ値（Ｈ１）を原動画情報のＰＩＡＴ署名情報から取り出す（Ｓ５００６Ｂ０４）。これは本発明の第２集合ハッシュ値取り出し部を構成している。切り出し静止画像のＪＰＥＧデータのハッシュ値（Ｂ３）を生成する（Ｓ５００６Ｂ０５）。これは本発明の第５静止画像データハッシュ値生成部を構成している。更に、原動画情報のヘッダハッシュ値（Ｈ１）と（Ｂ３）を連結し、各ＪＰＥＧデータのハッシュ値（Ｊ３）を生成する（Ｓ５００６Ｂ０６）。これは本発明の第５連結ハッシュ値生成部を構成している。

同時に、切り出し静止画情報のＰＩＡＴ署名情報から、該当する項目ハッシュ値（Ｊ３）を取り出し（Ｓ５００６Ｂ０７）、（Ｓ５００６Ｂ０６）で生成された（Ｊ３）と比較する（Ｓ５００６Ｂ０８）。一致しなければ（Ｓ５００６Ｂ０８，ＮＯ）、切り出し静止画情報の（Ｊ３）に何らかの改変があったとしてその旨通知する。

一致すれば（Ｓ５００６Ｂ０８，ＹＥＳ）、原動画情報のＰＩＡＴ署名情報から、該当する項目ハッシュ値（Ｊ１♯）を取り出し、切り出し静止画像情報のＰＩＡＴ署名情報（Ｐ２）から得られるハッシュ値（Ｊ３）と比較し、（Ｊ３）の切り出し位置を退避する（Ｓ５００６Ｂ０９）。これは本発明の第５判定部及び検証部を構成している。これらが正常に終了した旨通知する。本実施例の場合、６フレーム中、Ｊ３のフレームが静止画情報として切り出され、改変がないことを確認できる。

検証結果の判定（Ｓ５００７）において、ＰＩＡＴ署名情報検証に失敗した場合は（Ｓ５００７，ＮＯ）、なんらかの改変が発生したものとして、その旨、検証者に通知される（Ｓ５０９９）。ＰＩＡＴ署名情報検証が成功した場合は（Ｓ５００７，ＹＥＳ）、検証者端末８に、切り出し情報のＰＩＡＴ署名情報検証結果が送信される（Ｓ５００８）。検証者端末８に切り出し情報のＰＩＡＴ署名検証結果が受信されると（Ｓ５００９）、検証者端末８に装備された表示装置に切り出し情報のＰＩＡＴ署名情報検証結果が表示される（Ｓ５０１０）。

図２５は、検証者端末８に装備された表示装置に示される切り出し動画情報の署名検証結果の一例を示している。検証者は、この検証結果を参照することにより、切り出し動画情報が、原動画情報の一部であることの確認に加え、原動画情報のどの部分が切り出されたかを示す切り出し範囲と、その部分の改変有無を確認でき、切り出し動画情報の原本性を確認することが可能である（ＶＥＲＩＦＹ１）。更に、映像記録端末、および抽出者の電子署名の確認により、原動画情報は誰が作成したのか、誰が切り出しを行ったのか（切り出し動画情報を作成したのは誰か）を確認可能である（ＶＥＲＩＦＹ２）。

また、原動画情報に対する検証も可能である。例えば、図１９中、ＶＥＲＩＦＹＴＹＰＥ３０１で、原動画情報を選択すると、原動画情報と、原動画情報のＰＩＡＴ署名情報を選択できるようになり（この時、切り出し情報のＰＩＡＴ署名情報の選択は不要）、各フィールドの参照ボタン（図１９中、ＧＥＴＳＴＲＥＡＭ３０２）を押下することで選択できる。また、参照ボタン３０２を押下することで、署名検証サーバ７内の文書管理ＤＢ７１に蓄積されている原動画情報を参照・選択できるようになっている。最後に、署名検証ボタン（図１９中、ＶＥＲＩＦＹＲＵＮ３０３）を押下することで、選択した原動画情報の署名検証処理が実行される。

また、図２６は、検証者端末８に装備された表示装置に示される切り出し静止画情報の署名検証結果の一例を示している。検証者は、この検証結果を参照することにより、切り出し静止画情報が、原動画情報の一部であることの確認に加え、原動画情報のどの部分が切り出されたかを示す切り出し範囲と、その部分の改変有無を確認でき、切り出し静止画情報の原本性を確認することが可能である（ＶＥＲＩＦＹ１）。更に、映像記録端末、および抽出者の電子署名の確認により、原動画情報は誰が作成したのか、誰が切り出しを行ったのか（切り出し静止画情報を作成したのは誰か）を確認可能である（ＶＥＲＩＦＹ２）。

なお、ＰＩＡＴ署名情報のデータ量削減を目的として、特許文献１に開示された技術を利用し、ハッシュ情報を二分木で管理する手法を使用することも可能である。

実施の形態では、動画情報、および静止画情報のそれぞれの切り出しが可能で、かつそれぞれのメディアフォーマットで抽出された動画情報が正常に再生、および静止画情報が正常に描画することが可能になる。同時に、プライバシ保護等のために原動画情報の一部を動画情報、ならびに静止画情報として切り出しても、切り出された動画情報、および静止画情報の切り出し箇所（位置）の検出に加え、元の映像の一部で改変がないことを第三者に証明することが可能とする。また、抽出者は、ＰＩＡＴ署名情報に対する電子署名から明らかとなるため、仮に抽出者が切り出し動画／静止画情報に対して何らかの改変・追加等を施した場合でも、その追跡は可能である。

なお、図１等に示した各コンピュータシステムの構成の一例を図２７に示す。
図２７に示すコンピュータシステム９００は、ＣＰＵやディスクドライブ等を内蔵した本体部９０１、本体部９０１からの指示により画像を表示するディスプレイ９０２、コンピュータシステム９００に種々の情報を入力するためのキーボード９０３、ディスプレイ９０２の表示画面９０２ａ上の任意の位置を指定するマウス９０４及び外部のデータベース等にアクセスして他のコンピュータシステムに記憶されているプログラム等をダウンロードする通信装置９０５を有する。通信装置９０５は、ネットワーク通信カード、モデムなどがあげられる。

上述したような、映像データ管理装置を構成するコンピュータシステムにおいて上述した各ステップを実行させるプログラムを映像管理プログラムとして提供することができる。このプログラムは、コンピュータシステムにより読取り可能な記録媒体に記憶させることによって、画像管理装置を構成するコンピュータシステムに実行させることが可能となる。

上述した各ステップを実行するプログラムは、ディスク９１０等の可搬型記録媒体に格納されるか、通信装置９０５により他のコンピュータシステムの記録媒体９０６からダウンロードされる。このプログラムは、例えばディスク９１０等のコンピュータ読み取り可能な記録媒体に格納されていても良い。ここで、コンピュータシステム９００により読取り可能な記録媒体としては、ＲＯＭやＲＡＭ等のコンピュータに内部実装される内部記憶装置、ＩＣカード等の可搬型記憶媒体や、コンピュータプログラムを保持するデータベース、或いは、他のコンピュータシステム並びにそのデータベースや通信装置９０５のような通信手段を介して接続されるコンピュータシステムでアクセス可能な各種記録媒体を含むものである。

以上に詳述した実施の形態によれば、映像、および静止画像のそれぞれの切り出しが可能で、かつそれぞれのメディアフォーマットで抽出された画像が正常に再生（描画）可能であり、同時に抽出された映像、および静止画像が元の映像の一部で改変がないことを第三者に証明可能とする技術を提供することができる。

Claims (7)

1. 原動画と原動画内に含まれる静止画像のペアを管理する画像管理方法であって、
   原動画情報について署名生成を行う場合に、
   原動画をヘッダとボディに分割して、ヘッダ部分の集合のハッシュ値（Ｈ１）を生成するステップと、
   各静止画像データのハッシュ値（Ｂ♯）を生成するステップと、
   ヘッダ部分の集合のハッシュ値（Ｈ１）と各静止画像データのハッシュ値（Ｂ♯）を連結し、各連結ハッシュ値（Ｊ１♯）を生成するステップと、
   連結ハッシュ値（Ｊ１♯）の集合をハッシュ値リスト（Ｌ１）として生成するステップと、
   静止画像の1枚の切り出しに基づく、ハフマンテーブルのハッシュ値（Ｔ）を生成するステップと、
   ヘッダ部分の集合のハッシュ値（Ｈ１）と、ハフマンテーブルのハッシュ値（Ｔ）と、ハッシュ値リスト（Ｌ１）を原動画の検証データとし、映像記録端末の電子署名を付加して原動画の署名情報とする署名ステップと
   を備える画像管理方法。
2. 請求項1に記載の画像管理方法において、
   切り出し動画情報を生成し保存する場合に、
   前記原動画から切り出す部分の静止画像を指定し、切り出し動画を生成し、ヘッダの項目を再生可能となるようフレーム数の変更を行うステップと、
   原動画の署名情報からヘッダ部分の集合のハッシュ値（Ｈ１）を取り出すステップと、
   切り出し動画をヘッダとボディに分割して、ヘッダ部分の項目集合のハッシュ値（Ｈ２）を生成するステップと、
   切り出し動画に係る各静止画像データのハッシュ値（Ｂ♯）を生成するステップと、
   原動画の署名情報から得られるヘッダ部分の集合のハッシュ値（Ｈ１）と切り出し動画に係る各静止画像データのハッシュ値（Ｂ♯）を連結し、各静止画像データのハッシュ値（Ｊ２♯）を生成するステップと、
   連結ハッシュ値（Ｊ２♯）の集合をハッシュ値リスト（Ｌ２）とするステップと、
   ヘッダ集合のハッシュ値（Ｈ２）とハッシュ値リスト（Ｌ２）を切り出し動画の検証データとし、抽出者の電子署名を付加して切り出し動画の署名情報とする署名ステップと
   を備える画像管理方法。
3. 請求項１に記載の画像管理方法において、
   切り出し静止画情報を生成し保存する場合に、
   切り出す部分の静止画像を指定し、切り出し静止画を生成し、描画可能なようにハフマンテーブルを適所に付加するステップと、
   原動画の署名情報からヘッダ部分のハッシュ値（Ｈ１）を取り出すステップと、
   切り出された静止画像データのハッシュ値（Ｂ３）を生成するステップと、
   原動画の署名情報から取り出されたヘッダ部分のハッシュ値（Ｈ１）と切り出された静止画像データのハッシュ値（Ｂ３）を連結し、各静止画像データの連結ハッシュ値（Ｊ３）を生成するステップと、
   該連結ハッシュ値生成ステップにより生成された連結ハッシュ値（Ｊ３）を切り出し静止画の検証データとし、抽出者の電子署名を付加して切り出し静止画の署名情報とするステップと
   を備える画像管理方法。
4. 請求項２に記載の画像管理方法において、
   切り出し動画情報を検証する場合、
   切り出し動画、切り出し動画の署名情報、原動画の署名情報を取得するステップと、
   切り出し動画をヘッダとボディに分割して、ヘッダ部分の項目集合のハッシュ値（Ｈ０）を生成し、切り出し動画の署名情報に含まれるハッシュ値（Ｈ２）と比較し、同一かどうかを判定するステップと、
   原動画の署名情報に含まれるヘッダ集合ハッシュ値（Ｈ１）を取り出すステップと、
   切り出し動画に係る各静止画像データのハッシュ値（Ｂ♯）を生成するステップと、
   原動画の署名情報から取り出されたヘッダ集合ハッシュ値（Ｈ１）と生成された各ハッシュ値（Ｂ♯）を連結し、各静止画像データの連結ハッシュ値（Ｊ４♯）を生成するステップと、
   切り出し動画の署名情報に含まれるハッシュ値リスト（Ｌ２）における連結ハッシュ値（Ｊ２＃）と生成された連結ハッシュ値（Ｊ４♯）を比較し、同一かどうかを判定するステップと、
   原動画の署名情報に含まれるハッシュ値リスト（Ｌ１）における連結ハッシュ値（Ｊ１♯）と切り出し動画の署名情報に含まれるハッシュ値リスト（Ｌ２）における連結ハッシュ値（Ｊ２＃）を比較し、切り出し箇所の同一性を判定するステップと
   を備える画像管理方法。
5. 請求項３に記載の画像管理方法において、
   切り出し静止画情報を検証する場合、
   切り出し静止画、切り出し静止画の署名情報、原動画の署名情報を取得するステップと、
   切り出し静止画に含まれるハフマンテーブルのハッシュ値（Ｔ０）を生成し、原動画の署名情報に含まれるハフマンテーブルのハッシュ値（Ｔ）と比較し、同一かどうかを判定するステップと、
   原動画の署名情報に含まれるヘッダ部分の集合のハッシュ値（Ｈ１）を取り出すステップと、
   切り出された静止画データのハッシュ値（Ｂ３）を生成するステップと、
   原動画の署名情報から取り出されたヘッダ集合ハッシュ値（Ｈ１）と生成された各静止画データのハッシュ値（Ｂ３）を連結して連結ハッシュ値（Ｊ３）を生成するステップと、
   該連結ハッシュ値生成ステップにより生成された連結ハッシュ値（Ｊ３）と切り出し静止画の署名情報に含まれる静止画データのハッシュ値（Ｊ３）を比較し、同一かどうかを判定するステップと、
   原動画の署名情報に含まれるハッシュ値リスト（Ｌ１）における連結ハッシュ値（Ｊ１♯）と切り出し静止画の署名情報に含まれる連結ハッシュ値（Ｊ３）を比較し、切り出し箇所を検証する検証ステップと
   を備える画像管理方法。
6. 原動画と原動画内に含まれる静止画像のペアの管理をコンピュータに実行させる画像管理プログラムであって、
   原動画情報について署名生成を行う場合に、
   原動画をヘッダとボディに分割して、ヘッダ部分の集合のハッシュ値（Ｈ１）を生成するステップと、
   各静止画像データのハッシュ値（Ｂ♯）を生成するステップと、
   ヘッダ部分の集合のハッシュ値（Ｈ１）と各静止画像データのハッシュ値（Ｂ♯）を連結し、各連結ハッシュ値（Ｊ１♯）を生成するステップと、
   連結ハッシュ値（Ｊ１♯）の集合をハッシュ値リスト（Ｌ１）として生成するステップと、
   静止画像の1枚の切り出しに基づく、ハフマンテーブルのハッシュ値（Ｔ）を生成するステップと、
   ヘッダ部分の集合のハッシュ値（Ｈ１）と、ハフマンテーブルのハッシュ値（Ｔ）と、ハッシュ値リスト（Ｌ１）を原動画の検証データとし、映像記録端末の電子署名を付加して原動画の署名情報とする署名ステップと
   をコンピュータに実行させる画像管理プログラム。
7. 原動画と原動画内に含まれる静止画像のペアの管理を行う画像管理装置であって、
   原動画情報について署名生成を行う場合に、
   原動画をヘッダとボディに分割して、ヘッダ部分の集合のハッシュ値（Ｈ１）を生成する第１集合ハッシュ値生成部と、
   各静止画像データのハッシュ値（Ｂ♯）を生成する第１静止画像データハッシュ値生成部と、
   ヘッダ部分の集合のハッシュ値（Ｈ１）と各静止画像データのハッシュ値（Ｂ♯）を連結し、各連結ハッシュ値（Ｊ１♯）を生成する第１連結ハッシュ値生成部と、
   連結ハッシュ値（Ｊ１♯）の集合をハッシュ値リスト（Ｌ１）として生成する第１リスト生成部と、
   静止画像の1枚の切り出しに基づく、ハフマンテーブルのハッシュ値（Ｔ）を生成するハフマンテーブル生成部と、
   ヘッダ部分の集合のハッシュ値（Ｈ１）と、ハフマンテーブルのハッシュ値（Ｔ）と、ハッシュ値リスト（Ｌ１）を原動画の検証データとし、映像記録端末の電子署名を付加して原動画の署名情報とする第１署名部と
   を備える画像管理装置。
   
   

Images