JP6321465B2 - 時刻認証のための認証管理装置 - Google Patents

Description

本発明は、時刻認証に関し、特に、認証局による認証時刻を予測するための技術、に関する。

電子ファイルが作成・更新された正確な時刻を証明する仕組みとして、「時刻認証」とよばれる技術がある。ユーザは、電子ファイルのハッシュ値を認証局に送信し、認証局はこのハッシュ値に時刻情報（認証時刻）を付与して送り返す。ハッシュ値と時刻情報のセットを「トークン」とよぶ。トークンは、通常は、認証局の秘密鍵にて暗号化される。ユーザ端末は、公開鍵でトークンを復号し、電子ファイルに時刻認証の印としてトークンを付与する。トークンに含まれる認証時刻は、通常、電子ファイルのプロパティ情報の一部となる。このような仕組みにより、電子ファイルが認証時刻において確かに存在していたことを証明できる。

一方、特許文献１においては、認証管理装置がユーザ端末と認証局を仲介している。認証管理装置は、ユーザから電子ファイルを受け取ると、認証時刻の予測値である認証予定時刻を電子ファイルに付与する。認証予定時刻は電子ファイルのプロパティ情報ではなく内容の一部として組み込まれる。認証予定時刻を含む電子ファイルのハッシュ値は認証局に送信される。

認証局は認証時刻を含むトークンを送り返し、認証管理装置はトークンに含まれる実際の認証時刻とあらかじめ計算した認証予定時刻が一致していれば、電子ファイルにトークンを付与する。すなわち、認証管理装置が予測した認証時刻を認証局が追認する方式（以下、「予測方式」とよぶ）である。ユーザは、時刻認証を受けた電子ファイルを表示させれば、プロパティ情報を確認しなくても、電子ファイルの内容の一部になっている認証時刻（正確には、認証時刻と一致することが証明された認証予定時刻）を視認できる。

特許４６８６６４６号公報

予測方式の場合、認証時刻を正しく予測できなければならない。日単位の時刻認証でよければ予測精度が問題になることは少ないが、たとえば、５月１６日２３時５９分を認証予定時刻とし、実際の認証時刻が５月１７日０時０１分であった場合、わずか２分間のずれであっても日付不一致となってしまう。このため、たとえ日単位の時刻認証であっても認証時刻の予測精度は高い方がよい。
また、論文や研究ノート、議事録などでは、時単位、分単位、秒単位あるいはそれ以下の時間単位での時刻認証が必要なケースもある。

本発明は、上記課題に鑑みてなされたものであり、その主たる目的は、時刻認証における認証時刻の予測制度を向上させることである。

本発明のある態様の認証管理装置は、時刻認証を行う認証局とネットワークを介して接続され、時刻認証の前に認証予定時刻を計算する予測部と、電子データに認証予定時刻を追記する追記部と、認証局に電子データの時刻認証を依頼し、認証局から認証時刻を含むトークンを受信する認証局通信部と、認証予定時刻と認証時刻の時間差が許容閾値以下であるとき、電子データを認証予定時刻にて時刻認証済みと認証する認証部と、を備える。
時間差が許容閾値より大きいときには、予測部は、時間差が縮小するように調整値に基づいて認証予定時刻を再計算し、認証局通信部は、認証局に時刻認証を再依頼し、所定の変更条件が成立するときには、予測部は、調整値を変更する。

本発明の別の態様もまた、認証管理装置である。この装置は、時刻認証を行う認証局とネットワークを介して接続され、時刻認証の前に認証予定時刻を計算する予測部と、電子データに認証予定時刻を追記する追記部と、認証局に電子データの時刻認証を依頼し、認証局から認証時刻を含むトークンを受信する認証局通信部と、認証予定時刻と認証時刻の時間差が許容閾値以下であるとき、電子データを認証予定時刻にて時刻認証済みと認証する認証部と、を備える。
予測部は、システム環境に基づいて認証予定時刻を計算する。

本発明の別の態様もまた、認証管理装置である。この装置は、時刻認証を行う認証局とネットワークを介して接続され、時刻認証の前に認証予定時刻を計算する予測部と、電子データに認証予定時刻を追記する追記部と、認証局に電子データの時刻認証を依頼し、認証局から認証時刻を含むトークンを受信する認証局通信部と、認証予定時刻と認証時刻の時間差が許容閾値以下であるとき、電子データを認証予定時刻にて時刻認証済みと認証する認証部と、を備える。
認証局通信部は、認証局に電子データの時刻認証を依頼する前に、テストのための時刻認証を認証局に依頼して認証時刻を含むトークンを受信し、予測部は、トークンに含まれる認証時刻に基づいて認証予定時刻を計算する。

本発明によれば、時刻認証における認証時刻の予測精度を向上させることができる。

時刻認証システムのハードウェア構成図である。 認証予定時刻と認証時刻の関係を説明するためのシーケンス図である。 認証管理装置の機能ブロック図である。 ファイル格納部のデータ構造図である。 システム設定格納部のデータ構造図である。 認証管理装置が第１電子ファイルを受信してからハッシュ情報を送信するまでのフローチャートである。 認証管理装置が認証局からトークンを受信したときのフローチャートである。

図１は、時刻認証システム１０２のハードウェア構成図である。
時刻認証システム１０２は、認証管理装置１００、ユーザ端末１０４および認証局１０６を含む。認証管理装置１００は、インターネット等の通信ネットワークを介してユーザ端末１０４および認証局１０６と接続される。

詳細は後述するが、本実施形態における時刻認証プロセスの概要は以下の通りである。
まず、ユーザは、ユーザ端末１０４を操作し、時刻認証を受けたい第１電子ファイル１０８を認証管理装置１００に送信する（Ｓ１）。認証管理装置１００は、認証局１０６による認証時刻を予測する。この認証時刻の予測値を「認証予定時刻」とよぶ。認証管理装置１００は、認証予定時刻情報１１０を第１電子ファイル１０８の一部として追加する（Ｓ２）。認証予定時刻情報１１０は第１電子ファイル１０８にスタンプのようなグラフィカル要素として追加されてもよい。以下、認証予定時刻情報１１０を追加された第１電子ファイル１０８のことを「第２電子ファイル１１２」とよぶ。認証予定時刻情報１１０は、単純に「５月１６日１４時４７分」のような時刻を示す文字列であってもよいし、時刻を含む任意のロゴであってもよい。

認証管理装置１００は、第２電子ファイル１１２をハッシュ関数によってハッシュ化し、ハッシュ情報１１４を認証局１０６に送信する（Ｓ３）。ハッシュ情報１１４は、第１電子ファイル１０８ではなく第２電子ファイル１１２、すなわち、第１電子ファイル１０８と認証予定時刻情報１１０（スタンプ）のパッケージデータから生成されるハッシュ値である。認証局１０６は、時刻認証のための既存の認証機関であり、ハッシュ情報１１４に認証時刻情報１１６を付与したトークン１１８を認証管理装置１００に返信する（Ｓ４）。トークン１１８は、認証局１０６の秘密鍵により暗号化される。

認証管理装置１００は、認証局１０６の公開鍵によりトークン１１８を復号し、認証時刻情報１１６を抽出する。そして、あらかじめ計算していた認証予定時刻と実際の認証時刻の時間差が所定の許容閾値、たとえば、１分以内であれば、第２電子ファイル１１２にトークン１１８を付与する。トークン１１８が付与された第２電子ファイル１１２を「第３電子ファイル１２０」とよぶ。第３電子ファイル１２０とは、認証予定時刻が正式に認証時刻として追認されたファイルである。トークン１１８は、従来通り、プロパティ情報として追加される。認証管理装置１００は、時刻認証され、かつ、その認証時刻が認証予定時刻情報１１０として表示される第３電子ファイル１２０をユーザ端末１０４に送信する（Ｓ５）。第３電子ファイル１２０は、認証局１０６に認められた認証予定時刻、すなわち、認証時刻をその内容の一部として表示される。ユーザは、プロパティ情報を確認しなくても、第３電子ファイル１２０を表示したときに認証時刻を確認できる。認証管理装置１００は、第３電子ファイル１２０の認証予定時刻情報１１０に更に認証済みを示す文字列や画像を付加してもよい。

以上をまとめると、ユーザが第１電子ファイル１０８を認証管理装置１００に送信すると、認証管理装置１００が第１電子ファイル１０８に認証予定時刻情報１１０という一種のスタンプを押す。認証予定時刻情報１１０を示すスタンプは、認証管理装置１００に固有の書体や図柄であることが好ましい。認証時刻の予想値としての認証予定時刻は、認証局１０６により「公証」され、正式な認証時刻としてお墨付きを与えられる。第３電子ファイル１２０を受け取ったユーザは、自分が送信した電子ファイルに認証管理装置１００に固有のスタンプ（認証予定時刻情報１１０）が押されて返ってくれば、その作成時刻や更新時刻が公証されたことを確認できる。認証管理装置１００は未公証の第２電子ファイル１１２、いいかえれば、未公証の認証予定時刻情報１１０をユーザに返送することはないし、認証局１０６の認証がなされなかった場合にもユーザにスタンプ付きの電子ファイルが返送されることはない。ゆえに、認証予定時刻情報１１０というスタンプが公証役場の確定日付印のように機能する。

認証管理装置１００が受付窓口、認証局１０６が認証部門に該当する。ユーザは、認証管理装置１００にスタンプ（認証予定時刻情報１１０）を付与してもらうことで第１電子ファイル１０８の時刻認証を受ける。ユーザは、電子ファイルのトークン（プロパティ情報）を確認しなくても、紙媒体でハンコやサインを確認するのと同様、スタンプ（認証予定時刻情報１１０）の有無を確認することでその電子ファイルの公正性を知ることができる。

ユーザが認証局１０６に第１電子ファイル１０８を直送して時刻認証を受ける方式の場合、第１電子ファイル１０８の見た目は変わることはなく、トークン１１８の有無が認証の有無を示す。認証の有無や認証時刻を確認するためにはプロパティ情報をひらいてトークン１１８を確認せねばならず、大量の電子文書の認証時刻をチェックするときに作業性が悪くなる。これに対して、予測方式によれば、認証管理装置１００がスタンプ（認証予定時刻情報１１０）を押すことでグラフィカルに認証できるため、紙媒体の公証と同様の視認性を電子媒体の公証でも実現できるというメリットがある。

なお、ユーザ端末１０４から認証管理装置１００に送信される複数の第１電子ファイル１０８から、まとめて１つの第２電子ファイル１１２を作ってもよい。この場合、認証管理装置１００は、ユーザ端末１０４から複数の第１電子ファイル１０８を同時または順次に受信し、これらをパッケージ化する。たとえば、ＰＤＦ（Portable Document Format）による特定フォーマットの台紙ファイルに複数の第１電子ファイル１０８を添付し、更に、台紙ファイルに認証予定時刻情報１１０を付与してもよい。この場合には、複数の第１電子ファイル１０８と、台紙ファイルと、認証予定時刻情報１１０のパッケージ・ファイルが第２電子ファイル１１２となる。このようにして、複数の第１電子ファイル１０８をまとめて時刻認証してもよい。以下においては、１つの第１電子ファイル１０８を時刻認証するとして説明するが、台紙ファイルに複数の第１電子ファイル１０８を添付する場合でも時刻認証プロセスは同じである。

図２は、認証予定時刻と認証時刻の関係を説明するためのシーケンス図である。
図２に示す例では、認証管理装置１００が１４時０１分１４秒（以下、「１４：０１：１４」のように表記する）に第１電子ファイル１０８を受信している。認証管理装置１００は、３秒後の１４：０１：１７に認証予定時刻の予測計算を開始する。ここでは、「１４：０２：２５」を認証時刻と予測したとする。認証予定時刻と認証時刻の時間差は、所定の許容閾値以下でなければならない。図２では、許容閾値が１０秒であるとして説明する。

認証管理装置１００は、第１電子ファイル１０８に認証予定時刻情報１１０（１４：０２：２５）を付与し、ハッシュ化処理を行い、計算開始から１８秒後の１４：０１：３５にハッシュ情報１１４を認証局１０６に送信している。ハッシュ情報１１４は、送信開始から２０秒後の１４：０１：５５に認証局１０６に受信される。

更に２１秒後の１４：０２：１６に認証時刻の測定が行われ、認証局１０６から認証管理装置１００にトークン１１８が送られる。認証管理装置１００が認証予定時刻の計算を開始した１４：０１：１７から認証時刻１４：０２：１６までには５９秒かかっている。すなわち、認証管理装置１００は計算開始のタイミングから５９秒後が認証時刻になることを予測できればよい。上記の例では、認証予定時刻が１４：０２：２５で認証時刻が１４：０２：１６であるから時間差（以下、認証時刻と認証予定時刻のずれを意味する時間差のことを単に「時間差」とよぶ）は９秒であり、これは許容閾値１０秒より小さい。したがって、認証予定時刻１４：０２：２５は、時間単位１０秒の精度では認証されることになる。

もし、許容閾値が５秒であったなら、認証予定時刻（１４：０２：２５）は認証されないことになる。このときには、再度、認証予定時刻を計算する。計算開始タイミングから認証時刻までに要した時間（以下、このような時間のことを「所要時間」とよぶ）は５９秒であり、時間差は９秒である。上記の例では認証予定時刻を実際よりも９秒遅く予測していた。すなわち、所要時間を実際の所要時間よりも９秒長い６８秒予測していたことになる。そこで、再予測に際しては、所要時間を６８秒よりも所定の調整値だけ小さく想定する。たとえば、調整値を５秒とすると次回は所要時間を６３秒と想定して認証予定時刻を計算し、認証局１０６に再度の時刻認証を依頼する。

このように時刻認証に失敗したときには、時間差が縮小するように調整値分だけ所要時間の予測値を増減させて認証予定時刻を再計算し、時刻認証に再チャレンジする。なお、「所要時間」は計算開始から認証時刻までの時間としたが、認証管理装置１００が第１電子ファイル１０８を受信したタイミングから認証時刻までに要する時間であってもよいし、ハッシュ情報１１４を送信するタイミングから認証時刻までに要する時間としてもよい。いずれにしても、所定のタイミングから実際の認証時刻までに要する時間を正確に予測できれば、認証時刻の予測精度が高くなる。

許容閾値については「時間」そのものだけではなく、さまざまな認証条件をつけることも可能である。たとえば、以下のような認証条件が考えられる。
（Ａ）認証時刻と認証予定時刻の先後関係に関する認証条件。たとえば、認証時刻と認証予定時刻の時間差が３０秒以内であり、かつ、認証予定時刻が認証時刻よりも遅い場合だけ認証するとしてもよい。
（Ｂ）認証時刻と認証予定時刻の時間単位の一致に関する認証条件。たとえば、認証予定時刻の分単位と認証時刻の分単位が一致したときだけ認証するとしてもよい。認証予定時刻１４：０２：５１のとき、認証時刻は１４：０２：００〜１４：０２：５９までは１４時０２分という分単位の一致があるため認証される。一方、認証時刻が１４：０３：０１のときには時間差はわずか１０秒であるが分単位が不一致であるため認証されない。
まとめると、時間差、先後、時間単位という３つの認証条件を設定し、この３つの認証条件のいずれかまたはその組み合わせに基づいて時刻認証を行ってもよい。

なお、図２では、第１電子ファイル１０８を受信してほどなく予測計算を開始しているが、複数の第１電子ファイルをまとめて時刻認証する場合には、複数のファイルの受信までに相応の時間がかかり、また、台紙ファイルにメモなどを記入する場合には、ユーザの入力時間が予測計算開始前に必要となることもある。例えば最初の第１電子ファイルを受信してから認証予定時刻の予測計算を開始するまで（すなわち、最初の第１電子ファイルを受信してから最後の第１電子ファイルを受信し、かつ、台紙ファイルへのメモ入力が終了するまで）に数十分から１時間程度の時間を要する場合もあり、その場合は認証予定時刻の予測計算の開始時間は遅くなる（例えば認証管理装置１００が最初の第１電子ファイル１０８を１４：０１：１４に受信し、予測計算開始が１５：０１：１７になる）が、上述したステップにより認証時刻を予想して時刻認証を行うことができる。

図３は、認証管理装置１００の機能ブロック図である。
認証管理装置１００の各構成要素は、任意のコンピュータのＣＰＵ、メモリ、メモリにロードされた本図の構成要素を実現するプログラム、そのプログラムを格納するハードディスクなどの記憶ユニット、ネットワーク接続用インタフェースを中心にハードウェアとソフトウェアの任意の組み合わせによって実現される。そして、その実現方法、装置にはいろいろな変形例があることは、当業者には理解されるところである。以下説明する各図は、ハードウェア単位の構成ではなく、機能単位のブロックを示している。

認証管理装置１００は、Ｕ／Ｉ（ユーザインタフェース）部１３０、データ処理部１３６、通信部１５０およびデータ格納部１５６を含む。Ｕ／Ｉ部１３０は、認証管理装置１００の管理者（アドミニストレーター）による操作入力を受け付ける入力部１３２と、管理者への情報の表示を行う出力部１３４を含む。認証管理装置１００は、管理者が使用するユーザ端末１０４から操作できてもよい。この場合には、端末通信部１５２（後述）が管理者とのユーザインタフェースを担当することになる。

通信部１５０は、ユーザ端末１０４との通信処理を行う端末通信部１５２と、認証局１０６との通信処理を行う認証局通信部１５４を含む。データ格納部１５６は、各種データを格納する。データ処理部１３６は、Ｕ／Ｉ部１３０や通信部１５０からの指示を受けて、データ格納部１５６が格納するデータを処理する。

データ処理部１３６は、予測部１３８、追記部１４０、認証部１４２、暗号部１４４、ハッシュ部１４６および時間記録部１４８を含む。
予測部１３８は、認証予定時刻を計算する。計算方法の詳細については後述する。追記部１４０は、第１電子ファイル１０８に認証予定時刻情報１１０を付与し、第２電子ファイル１１２を生成する。上述したように複数の第１電子ファイル１０８をパッケージ化するときには、追記部１４０がパッケージ・ファイルを生成し、パッケージ・ファイルに認証予定時刻情報１１０が追記される。認証部１４２は、認証時刻と認証予定時刻の時間差が許容閾値以内であるか否かを判定することで認証予定時刻を認証する。上述のように、認証部１４２は時間差以外の条件も含めて認証予定時刻を認証してもよい。暗号部１４４は、認証局１０６から送られてくるトークン１１８を復号する。ハッシュ部１４６は、第２電子ファイル１１２をハッシュ化し、ハッシュ情報１１４を生成する。時間記録部１４８は、上述の所要時間、すなわち、認証予定時刻の計算開始タイミングから実際の認証時刻までの時間差を記録し、時間情報格納部１５８（後述）に格納する。

データ格納部１５６は、時間情報格納部１５８、ファイル格納部１６０およびシステム設定格納部１６２を含む。時間情報格納部１５８は、時刻認証が実行されるごとに計測される所要時間を履歴情報として保存する。予測部１３８は、この履歴情報を参照して所要時間の平均値、中央値、最頻値などの統計データに基づいて認証予定時刻を決定する。たとえば、所要時間の平均値が５０秒であれば、予測部１３８は計算開始時刻から５０秒後を認証時刻と予測すればよい。

ファイル格納部１６０は、ユーザ端末１０４から受信した第１電子ファイル１０８の認証状況を管理する。ファイル格納部１６０の詳細は図４に関連して後述する。システム設定格納部１６２は、システム環境に応じた所要時間を格納する。システム設定格納部１６２の詳細は図５に関連して後述する。

図４は、ファイル格納部１６０のデータ構造図である。
ＩＤ欄１７０は第１電子ファイル１０８のＩＤ、回数欄１７２は時刻認証の実行回数、予定時刻欄１７４は認証予定時刻、認証時刻欄１７６は認証時刻、時間差欄１７８は時間差を示す。調整値欄１８０は調整値、認証欄１８２は認証結果、所要時間欄１８４は所要時間を示す。

ＩＤ＝１の第１電子ファイル１０８は、１回目の時刻認証では、１８：１５：１０を認証予定時刻として予測している。許容閾値は１分であり、それ以外の認証条件はないものとする。
実際の認証時刻は１８：１６：２０であったため、時間差は−１：１０、すなわち、認証予定時刻が１分１０秒だけ早すぎるため、時間差は許容閾値以下とならず、時刻認証は失敗している。このときの所要時間は２分１０秒である。すなわち、１回目の時刻認証では、所要時間が１分ちょうどであるとして認証時刻を予測していたが、実際の所要時間は２分１０秒であったため、認証予定時刻と認証時刻の時間差が１分１０秒だけずれたことになる。

次に、２回目の時刻認証では、調整値１分に基づき所要時間の予測値を１分だけ長くする。すなわち、１回目の時刻認証のときよりも想定される所要時間が大きい２分として認証予定時刻を１８：１９：１０と予測している。
実際の認証時刻は１８：１８：５０であったため、時間差は＋０：２０、すなわち、今度は認証予定時刻が２０秒だけ遅かったことになる。許容閾値が１分なので、時刻認証に成功する。２回目の時刻認証において計測された所要時間は１分５０秒である。１回目の所要時間と２回目の所要時間が一致していないのは、認証管理装置１００や認証局１０６の処理負荷の状況や通信状況によってスループットが変化するためである。

図５は、システム設定格納部１６２のデータ構造図である。
メモリ欄１９０は認証管理装置１００のメモリ容量、データサイズ欄１９２は第１電子ファイル１０８のファイルサイズ、想定所要時間欄１９４は想定される処理時間を示す。所要時間、いいかえれば、時刻認証のスループットはシステム環境の影響を受ける。図５の場合、認証管理装置１００のメモリ容量が８ＧＢで、第１電子ファイル１０８のファイルサイズが１ＭＢ以下のときには所要時間は１分と想定して認証予定時刻を計算する。
システム環境としては、メモリ容量やファイルサイズのほかにも、認証管理装置１００のＣＰＵの処理能力、通信容量、認証局１０６のＣＰＵの処理能力などを考慮してもよい。

図６は、認証管理装置１００が第１電子ファイル１０８を受信してからハッシュ情報１１４を送信するまでのフローチャートである。
端末通信部１５２は第１電子ファイル１０８を受信すると、予測部１３８は認証予定時刻を計算する（Ｓ１０）。予測部１３８は、システム設定格納部１６２や時間情報格納部１５８に格納される情報を参照して所要時間を予測し、認証予定時刻を求める。たとえば、システム設定格納部１６２により求められる所要時間が１分、時間差情報格納部１５８の履歴情報から求められる過去の所要時間の平均値が２分のときには、その平均値である１分３０秒を所要時間と想定してもよい。いわば、これが想定所要時間の初期設定値となり、計算開始タイミングにこの想定所要時間を加算した時間が認証予定時刻となる。

追記部１４０は、認証予定時刻情報１１０を第１電子ファイル１０８に追加し、第２電子ファイル１１２を作成する（Ｓ１２）。ハッシュ部１４６は、第２電子ファイル１１２をハッシュ化し（Ｓ１４）、認証局通信部１５４はハッシュ情報１１４を認証局１０６に送信する（Ｓ１６）。

図７は、認証管理装置１００が認証局１０６からトークン１１８を受信したときのフローチャートである。
認証局通信部１５４がトークン１１８を受信すると、暗号部１４４は認証局１０６の公開鍵によりトークン１１８を復号し（Ｓ２０）、認証時刻情報１１６を取り出す。認証部１４２は認証時刻と認証予定時刻の時間差を計算し、時間差が許容閾値以下であるか否かを判定する（Ｓ２２）。

時間差が許容閾値以下の場合（Ｓ２２のＹ）、認証部１４２は第２電子ファイル１１２にトークン１１８を付与して認証予定時刻を認証する（Ｓ２４）。トークン１１８を付与された第３電子ファイル１２０、すなわち、認証予定時刻を認証時刻として時間認証された電子ファイルはいったん保存される。

認証部１４２は許容閾値の変更要否を判定する（Ｓ２６）。たとえば、１時間単位での時刻認証が成功させた上で、分単位の時刻認証もしておきたい場合もある。このようなとき、許容閾値は変更される。詳細は後述する。

許容閾値の変更が不要のときには（Ｓ２６のＮ）、認証部１４２は時刻認証済みの第３電子ファイル１２０が保存されているかをチェックする（Ｓ２８）。第３電子ファイル１２０があれば（Ｓ２８のＹ）、認証部１４２は第３電子ファイル１２０を選択し（Ｓ３０）、端末通信部１５２が選択された第３電子ファイル１２０をユーザ端末１０４に送信する（Ｓ３２）。第３電子ファイル１２０が存在しないときには（Ｓ２８のＮ）、端末通信部１５２は時刻認証に失敗した旨をユーザ端末１０４に通知する（Ｓ３４）。

時間差が許容閾値より大きいとき（Ｓ２２のＮ）、認証部１４２は時刻認証の再試行可否を判定する（Ｓ３６）。時刻認証が失敗し続けて無限ループに入らないようにするために、時刻認証の再試行をやめさせる終了条件があらかじめ定められている。たとえば、認証局１０６への時刻認証の依頼可能に上限回数を設けてもよい。再試行不可のときには（Ｓ３６のＮ）、処理はＳ２８に移行する。再試行が可能なときには（Ｓ３６のＹ）、予測部１３８は調整値を設定する（Ｓ３８）。

たとえば、調整値が１秒のときの時刻認証の結果、時間差が３分のように大きければ、１秒ずつ想定所要時間を短くしていくのでは時間認証の試行回数が多くなってしまう。この場合には、調整値を１０秒単位、あるいは、１分単位に変更して想定所要時間を調整し、認証予定時刻を再計算した方が効率的である。あるいは、時刻認証の試行回数が所定回数以上となったときには、調整値の時間単位を変更してもよい。たとえば、１秒単位で想定所要時間を調整しながら所定回数の時刻認証に失敗したときには、調整値を１０秒単位に変更してもよい。あるいは、調整値が１０秒単位のときに時間差が２０秒以内になったとき、調整値を１秒単位に調整してもよい。

このように、時間差が許容閾値よりも遥かに大きな第１の閾値よりも更に大きいときには調整値を大きくし、時間差が第１の閾値よりも小さな第２の閾値以下となったときには調整値を小さくして、時間差が効率的にゼロに近づくように調整値を設定する。調整値の設定後、処理は図６のＳ１０に移行し、認証予定時刻の再計算が行われる。

時間差が許容閾値以下であっても、更に、許容閾値を変更して時刻認証したい場合もある。たとえば、可能であれば１秒単位で時刻認証を行いたいが、１秒単位の時刻認証に失敗しつづけて認証時刻が遅くなってしまうくらいなら、１分単位の時刻認証でもよい、というケースが考えられる。この場合には、まず、許容閾値を１分として時刻認証を行い、そのあとに許容閾値をより小さな時間単位、１秒に変更して時刻認証を行う。

たとえば、許容閾値が１分のとき、１４時１１分という認証予定時刻を認証できたときには、そのときの第３電子ファイル１２０をいったん保存した上で、許容閾値を１秒に変更し、認証予定時刻を再計算し、時刻認証を行う。１秒単位の時刻認証に成功すれば、そのときの第３電子ファイル１２０も保存する。一方、１秒単位の時刻認証に失敗し続け、１４時１２分になっても秒単位の時刻認証に失敗したときには、秒単位の時刻認証をあきらめる。

フローチャートに戻ると、許容閾値を変更するときには（Ｓ２６のＹ）、認証部１４２は許容閾値変更後の再試行可否を判定する（Ｓ４０）。再試行可否の判定は、時刻認証の実行回数などに基づいて定められればよい。再試行不可のときには（Ｓ４０のＮ）、処理はＳ２８に移行する。そして、それまでに認証されている第３電子ファイル１２０があれば、その中から１以上の第３電子ファイル１２０を選択して、ユーザ端末１０４に送信する。たとえば、１分単位で時刻認証された第３電子ファイル１２０と１秒単位で時刻認証された第３電子ファイル１２０があれば、その双方を送信してもよいし、より認証精度の高い１秒単位の時刻認証をされた方の第３電子ファイル１２０を送信してもよい。

再試行可のときには（Ｓ４０のＹ）、予測部１３８は必要に応じて調整値を変更し（Ｓ４２）、許容閾値も変更する（Ｓ４４）。このあと処理は図６のＳ１０に移行し、認証予定時刻の再計算が行われる。

以上、実施形態に基づいて認証管理装置１００の構成および制御について説明した。
認証管理装置１００によれば、認証時刻の予測に失敗したときでも、試行回数や時間差に応じて柔軟に調整値を変更できるので、時間差を効率的に縮小できる。

認証管理装置１００は、たとえば、認証局１０６に対してテストのための時刻認証を依頼して所要時間を測定した上で、時刻認証のための所要時間を決定してもよい。認証管理装置１００は、第１電子ファイル１０８を受信したとき、認証予定時刻を計算することなく第１電子ファイル１０８からそのままハッシュ情報を生成し、認証局１０６に時刻認証を依頼し、ハッシュ情報の送信時刻から認証時刻までの時間を計測してもよい。そして、このとき計測された時間に基づいて、第１電子ファイル１０８の認証予定時刻を特定した上で時刻認証を実行してもよい。このような処理方法によれば、１回はテスト用の時刻認証を行う必要があるが、その分、所要時間を正確に見積もりやすいというメリットがある。テスト用の時刻認証は、１日の所定タイミング、たとえば、時刻認証依頼が来ていない時間帯に定期的に実行されてもよい。

また、認証管理装置１００は、第１の時間単位での時刻認証に成功したときでも、それよりも小さな第２の時間単位での時刻認証にチャレンジできる。これにより、システム環境などに応じて、予測精度を追求しつつも認証時刻が過度に遅くなったり試行回数が多くなりすぎないように精度と速度を両立させることができる。

過去の所要時間の履歴情報やシステム環境に基づいて所要時間を想定することにより、認証予定時刻の予測精度を高めることができる。なお、仮に認証管理装置１００のシステム時計が不正確であっても、認証管理装置１００は計算開始タイミングから認証時刻までに要する時間に基づいて認証予定時刻を計算するため、それによって予測精度が悪くなることはない。

以上、本発明を実施の形態をもとに説明した。実施の形態は例示であり、それらの各構成要素や各処理プロセスの組合せにいろいろな変形例が可能なこと、またそうした変形例も本発明の範囲にあることは当業者に理解されるところである。

なお、本実施形態においては認証管理装置１００とユーザ端末１０４は別の装置であるとして説明したが、ユーザ端末１０４が認証管理装置１００の機能を兼ね備えてもよい。許容閾値などの認証条件は、あらかじめ認証管理装置１００において設定されておいてもよいし、認証管理装置１００またはユーザ端末１０４のユーザや管理者により事後的に設定変更可能としてもよい。たとえば、管理者は、許容閾値の単位を１分、２分のように分単位で設定してもよいし、秒単位あるいは時単位で設定してもよい。

システム環境としては、通信容量や認証管理装置１００等の仕様だけではなく、通信や時刻認証処理が多く発生する時間とそうでない時間を履歴情報として記録しておき、時間帯に応じて初期加算値や調整値を計算してもよい。

１００ 認証管理装置、 １０４ ユーザ端末、 １０６ 認証局、 １０８ 第１電子ファイル、 １１０ 認証予定時刻情報、 １１２ 第２電子ファイル、 １１４ ハッシュ情報、 １１６ 認証時刻情報、 １１８ トークン、 １２０ 第３電子ファイル、 １３２ 入力部、 １３８ 予測部、 １４０ 追記部、 １４２ 認証部、 １４６ ハッシュ部、 １４８ 時間記録部、 １５０ 通信部、 １５４ 認証局通信部、 １５８ 時間差情報格納部、 １６２ システム設定格納部。

Claims (18)

1. 時刻認証を行う認証局とネットワークを介して接続され、
   時刻認証の前に認証予定時刻を計算する予測部と、
   電子データに前記認証予定時刻を追記する追記部と、
   前記認証局に前記電子データの時刻認証を依頼し、前記認証局から認証時刻を含むトークンを受信する認証局通信部と、
   前記認証予定時刻と前記認証時刻の時間差が許容閾値以下であるとき、前記電子データを前記認証予定時刻にて時刻認証済みと認証する認証部と、を備え、
   前記時間差が許容閾値より大きいときには、
   前記予測部は、前記時間差が縮小するように調整値に基づいて認証予定時刻を再計算し、
   前記認証局通信部は、前記認証局に時刻認証を再依頼し、
   所定の変更条件が成立するときには、
   前記予測部は、前記調整値を変更することを特徴とする認証管理装置。
2. 前記認証部は、前記時間差が許容閾値以下であり、かつ、前記認証予定時刻と前記認証時刻の先後関係が所定の先後条件を満たすときに前記認証予定時刻を認証し、
   前記予測部は、前記時間差が許容閾値以下であっても前記先後関係が前記先後条件を満たさないときにも前記時間差が縮小するように調整値に基づいて認証予定時刻を再計算することを特徴とする請求項１に記載の認証管理装置。
3. 前記認証部は、前記時間差が許容閾値以下であり、かつ、前記認証予定時刻と前記認証時刻の時間単位が所定の単位条件を満たすときに前記認証予定時刻を認証し、
   前記予測部は、前記時間差が許容閾値以下であっても前記時間単位が前記単位条件を満たさないときにも前記時間差が縮小するように調整値に基づいて認証予定時刻を再計算することを特徴とする請求項１に記載の認証管理装置。
4. 前記予測部は、前記認証局への時刻認証の依頼回数が所定回数以上となったとき、前記調整値を変更することを特徴とする請求項１から３のいずれかに記載の認証管理装置。
5. 前記予測部は、前記認証局への時刻認証の依頼回数が所定回数以上となったとき、前記調整値を第１の時間単位から前記第１の時間単位よりも大きい第２の時間単位に変更することを特徴とする請求項４に記載の認証管理装置。
6. 前記認証予定時刻と前記認証時刻の時間単位が第１の時間単位において一致することを単位条件として設定するとき、
   前記予測部は、第１の時間単位を調整値として認証予定時刻を計算し、前記第１の時間単位の調整に基づく認証予定時刻が認証できずに前記認証局への時刻認証の依頼回数が所定回数以上となったときには、前記調整値を前記第１の時間単位よりも大きい第２の時間単位に変更するとともに前記第２の時間単位において一致することを新たな単位条件に変更することを特徴とする請求項３に記載の認証管理装置。
7. 前記時間差が前記許容閾値より大きい場合において、
   前記予測部は、前記時間差が第１の閾値以上のときには第１の調整値に基づいて認証予定時刻を再計算し、前記時間差が第１の閾値よりも小さいが第２の閾値よりも大きいときには前記第１の調整値よりも小さい第２の調整値に基づいて認証予定時刻を再計算することを特徴とする請求項１から６のいずれかに記載の認証管理装置。
8. 前記時間差が、前記許容閾値以下であって、かつ、第１の時間単位以下で第２の時間単位より大きいときには、
   前記認証部は、前記第１の時間単位を前提として認証予定時刻を認証し、
   前記予測部は、更に、前記調整値に基づいて認証予定時刻を再計算し、
   前記認証局通信部は、前記認証局に時刻認証を再依頼し、
   再依頼によって新たに求められた時間差が、前記第２の時間単位よりも小さいときには、
   前記認証部は、前記第２の時間単位を前提とする認証予定時刻も認証することを特徴とする請求項１から７のいずれかに記載の認証管理装置。
9. 前記時間差が、前記許容閾値以下であって、かつ、第１の時間単位以下で第２の時間単位より大きいときには、
   前記認証部は、前記第１の時間単位を前提とする認証予定時刻を仮認証し、
   前記第２の時間単位でも時刻認証できたときには第２の時間単位を前提とする認証予定時刻を正式認証し、前記第２の時間単位では時刻認証できなかったときには第１の時間単位を前提とする認証予定時刻を正式認証とすることを特徴とする請求項８に記載の認証管理装置。
10. 所定の処理タイミングから認証時刻までの所要時間を履歴情報として登録する時間記録部、を更に備え、
    前記予測部は、前記履歴情報に基づいて、認証予定時刻を計算することを特徴とする請求項１から９のいずれかに記載の認証管理装置。
11. 時刻認証を行う認証局とネットワークを介して接続され、
    時刻認証の前に認証予定時刻を計算する予測部と、
    電子データに前記認証予定時刻を追記する追記部と、
    前記認証局に前記電子データの時刻認証を依頼し、前記認証局から認証時刻を含むトークンを受信する認証局通信部と、
    前記認証予定時刻と前記認証時刻の時間差が許容閾値以下であるとき、前記電子データを前記認証予定時刻にて時刻認証済みと認証する認証部と、を備え、
    前記予測部は、システム環境に基づいて認証予定時刻を計算することを特徴とする認証管理装置。
12. 前記許容閾値は、時・分・秒のいずれかの時間単位にて設定されることを特徴とする請求項１から１１のいずれかに記載の認証管理装置。
13. ユーザから、前記許容閾値を設定するための入力を受け付ける入力部、を更に備えることを特徴とする請求項１から１２のいずれかに記載の認証管理装置。
14. 前記入力部は、前記許容閾値の時間単位を時・分・秒のいずれかから選択させるための入力を受け付けることを特徴とする請求項１３に記載の認証管理装置。
15. ユーザから、前記認証予定時刻の認証条件の設定入力を受け付ける入力部、を更に備え、
    前記認証部は、前記設定された認証条件に基づいて、前記認証予定時刻を認証することを特徴とする請求項１から１２のいずれかに記載の認証管理装置。
16. 前記追記部は、前記電子データとともに表示可能となるように前記認証予定時刻を前記電子データに追記することを特徴とする請求項１から１５のいずれかに記載の認証管理装置。
17. 前記認証予定時刻を追記された前記電子データからハッシュ値を生成するハッシュ部、を更に備え、
    認証局通信部は、前記ハッシュ値を前記認証局に送信することで前記認証局に時間認証を依頼し、
    前記認証部は、前記認証予定時刻を時間認証できたときには、前記トークンを前記電子データに付加することを特徴とする請求項１から１６のいずれかに記載の認証管理装置。
18. 時刻認証を行う認証局とネットワークを介して接続され、
    時刻認証の前に認証予定時刻を計算する予測部と、
    電子データに前記認証予定時刻を追記する追記部と、
    前記認証局に前記電子データの時刻認証を依頼し、前記認証局から認証時刻を含むトークンを受信する認証局通信部と、
    前記認証予定時刻と前記認証時刻の時間差が許容閾値以下であるとき、前記電子データを前記認証予定時刻にて時刻認証済みと認証する認証部と、を備え、
    前記認証局通信部は、前記認証局に前記電子データの時刻認証を依頼する前に、テストのための時刻認証を前記認証局に依頼して認証時刻を含むトークンを受信し、
    前記予測部は、前記トークンに含まれる認証時刻に基づいて前記認証予定時刻を計算することを特徴とする認証管理装置。

Images