JP7325318B2 - 証跡記録システム及びデータ検証方法 - Google Patents

Description

本発明は、証跡記録システム及びデータ検証方法に関する。

センサデータの利活用による分析の高度化が進展しており、センサデータを分散して共有する技術として、特開２０１９－７４９５６号公報（特許文献１）が知られている。この公報には、「センサデータを入力する入力部１０と、前記入力部１０により入力された前記センサデータに予め定められた処理を行い、前記処理の履歴を示す分散台帳を作成するデータ処理部２０と、前記データ処理部２０により処理された前記センサデータを格納する格納部３０と、前記格納部３０に格納された前記センサデータを活用する活用部４０とを備える情報処理システム１。」と記載されている（要約参照）。

特開２０１９－７４９５６号公報

特許文献１に記載の技術は、大量のセンサデータを用いた報告業務を行う際に、そのセンサデータの用途や提供先によって必要となる加工（サンプリング、アクセスコントロール、等）をセンサデータに施した上で、特定の参加者に対して一部のデータのみ報告する場合がある。

特許文献１に記載の技術は、データの対改ざん性を証明するために用いるハッシュ値を、加工される前のセンサデータに基づいて算出した場合、データが改ざんされていないことを監査するためには算出に用いたすべてのセンサデータを用いなければ、加工処理の過程で不正が行われていないかを判定することができない。

そこで本発明の一態様は、一部のセンサデータのみが報告された場合でも、元のセンサデータに対して改ざんが行われていないことを検証することを目的とする。

上記課題を解決するために本発明の一態様は、以下の構成を採用する。証跡記録システムは、証跡記録装置と報告受領装置とを含み、前記証跡記録装置は、センサによる複数の計測値を示すセンサデータと、前記複数の計測値の少なくとも一部の計測値に基づいて生成された証跡データと、を保持し、前記証跡データを前記報告受領装置に送信し、前記報告受領装置は、監査対象の前記センサの前記証跡データを示す要求を前記証跡記録装置に送信し、前記証跡記録装置は、前記複数の計測値のうち前記証跡データを生成するために利用された計測値を前記報告受領装置に送信し、前記報告受領装置は、前記証跡データと、前記証跡記録装置から受信した計測値と、に基づいて、前記センサによる計測値が改ざんされているかを検証する第１検証処理を実行する。

本発明の一態様は、一部のセンサデータのみが報告された場合でも、元のセンサデータに対して改ざんが行われていないことを検証することができる。

上記した以外の課題、構成及び効果は、以下の実施形態の説明により明らかにされる。

実施例１における証跡記録システムの構成例を示すブロック図である。 実施例１における証跡記録装置の構成例を示すブロック図である。 実施例１における報告受領装置の構成例を示すブロック図である。 実施例１における証跡記録処理の一例を示すフローチャートである。 実施例１における証跡検索処理の一例を示すフローチャートである。 実施例１における証跡監査処理の一例を示すフローチャートである。 実施例１におけるセンサデータ管理テーブルの一例である。 実施例１における証跡管理テーブルの一例である。 実施例１における検索条件管理テーブルの一例である。 実施例１における検索結果管理テーブルの一例である。 実施例２における分散台帳の一例である。

以下、本発明の実施形態を図面に基づいて詳細に説明する。本実施形態において、同一の構成には原則として同一の符号を付け、繰り返しの説明は省略する。なお、本実施形態は本発明を実現するための一例に過ぎず、本発明の技術的範囲を限定するものではないことに注意すべきである。

図１は、証跡記録システムの構成例を示すブロック図である。証跡管理システムは、例えば、発電事業者及び発電事業者への投資家、発電事業者の債権を発行する金融機関、並びに発電実績を監査する監査機関などを含むコミュニティ内で、発電データ（センサデータ）が改ざんされていないことの証跡の記録及び共有を行う。

証跡管理システムは、例えば、発電事業者が保有する発電機の発電量データを計測する一つ以上のセンサ１００と、センサ１００のセンサデータが改ざんされていないことを検証可能とするための証跡データを作成及び記録する証跡記録装置２００と、当該証跡データのうち、特定の投資対象の発電事業者の発電機に付加されたセンサ１００のセンサデータに関する発電実績の報告を受領するための報告受領装置３００と、を含む。

センサ１００は少なくとも１つの証跡記録装置２００とインターネット等のネットワークを介して接続され、証跡記録装置２００は報告受領装置３００とインターネット等のネットワークを介して接続されている。

発電事業者及び投資家、金融機関、並びに監査機関を含むコミュニティとして、例えば化石燃料由来ではない太陽光発電や風力発電に対する発電によってＣＯ２削減を目指すグリーンコミュニティ等がある。このコミュニティに含まれる企業には証跡記録装置２００又は報告受領装置３００が配置される。以下、グリーンコミュニティが証跡記録装置２００及び報告受領装置３００を利用する例を説明する。

＜証跡記録装置＞
図２は、証跡記録装置２００の構成例を示すブロック図である。証跡記録装置２００は、例えば、メモリ２０１、演算装置２０２、入力装置２０３、出力装置２０４、通信装置２０５、及び補助記憶装置２０６を含む計算機によって構成される。

演算装置２０２は、プロセッサを含み、メモリ２０１にロードされたプログラムを実行する。メモリ２０１は、不揮発性の記憶素子であるＲＯＭ（Ｒｅａｄ Ｏｎｌｙ Ｍｅｍｏｒｙ）及び揮発性の記憶素子であるＲＡＭ（Ｒａｎｄｏｍ Ａｃｃｅｓｓ Ｍｅｍｏｒｙ）を含む。ＲＯＭは、不変のプログラム（例えば、ＢＩＯＳ（Ｂａｓｉｃ Ｉｎｐｕｔ／Ｏｕｔｐｕｔ Ｓｙｓｔｅｍ））などを格納する。ＲＡＭは、ＤＲＡＭ（Ｄｙｎａｍｉｃ Ｒａｎｄｏｍ Ａｃｃｅｓｓ Ｍｅｍｏｒｙ）のような高速かつ揮発性の記憶素子であり、演算装置２０２が実行するプログラム及びプログラムの実行時に使用されるデータを一時的に格納する。

補助記憶装置２０６は、例えば、磁気記憶装置（ＨＤＤ（Ｈａｒｄ Ｄｉｓｋ Ｄｒｉｖｅ））、フラッシュメモリ（ＳＳＤ（Ｓｏｌｉｄ Ｓｔａｔｅ Ｄｒｉｖｅ））等の大容量かつ不揮発性の記憶装置であり、演算装置２０２が実行するプログラム及びプログラムの実行時に使用されるデータを格納する。すなわち、プログラムは、補助記憶装置２０６から読み出されて、メモリ２０１にロードされて、演算装置２０２によって実行される。

演算装置２０２が実行するプログラムは、リムーバブルメディア（ＣＤ－ＲＯＭ、フラッシュメモリなど）又はネットワークを介して証跡記録装置２００に提供され、非一時的記憶媒体である不揮発性の補助記憶装置２０６に格納される。このため、証跡記録装置２００は、リムーバブルメディアからデータを読み込むインターフェースを有するとよい。これは、報告受領装置３００についても同様である。

また、補助記憶装置２０６は、例えば、センサデータが改ざんされていないことを検証可能とする証跡データを記録する証跡記録プログラム４００と、特定の投資家の投資対象である発電事業者の報告対象の発電機に関するセンサデータを抽出するための証跡検索プログラム５００と、を保持する。

例えば、演算装置２０２は、メモリ２０１にロードされた証跡記録プログラム４００に従って動作することで証跡記録部として機能し、メモリ２０１にロードされた証跡検索プログラム５００に従って動作することで証跡検索部として機能する。報告受領装置３００が有するプログラムと機能部との関係についても同様である。

なお、演算装置２０２が実行する機能の一部又は全部が、例えば、ＡＳＩＣ（Ａｐｐｌｉｃａｔｉｏｎ Ｓｐｅｃｉｆｉｃ Ｉｎｔｅｇｒａｔｅｄ Ｃｉｒｃｕｉｔ）やＦＰＧＡ（Ｆｉｅｌｄ－Ｐｒｏｇｒａｍｍａｂｌｅ Ｇａｔｅ Ａｒｒａｙ）等のハードウェアによって実現されてもよい。これは、報告受領装置３００に含まれる演算装置が実行する機能の一部又は全部についても同様である。

また、補助記憶装置２０６は、センサ１００から受信したセンサデータを保持するセンサデータ管理テーブル７００と、証跡データを保持する証跡管理テーブル８００と、特定の投資家の投資対象である発電事業者の報告対象の発電機に関するセンサデータを抽出するための検索条件を保持する検索条件管理テーブル９００と、証跡検索プログラム５００による検索結果を保持する検索結果管理テーブル１０００と、を保持する。

なお、本実施形態において、証跡記録システムが使用する情報は、データ構造に依存せずどのようなデータ構造で表現されていてもよい。例えば、リスト、データベース又はキューから適切に選択したデータ構造体が、情報を格納することができる。

入力装置２０３は、オペレータからの入力を受け付ける装置であり、例えば、キーボードやマウス又はタッチパネル等である。出力装置２０４は、プログラムの実行結果をオペレータが視認可能な形式で出力する装置であり、例えば、ディスプレイ又はプリンタ等である。通信装置２０５は、ネットワークに接続されて、所定のプロトコルに従って他の装置と通信する。

証跡記録装置２００は、物理的に一つの計算機上で、又は、論理的又は物理的に構成された複数の計算機上で構成される計算機システムであり、同一の計算機上で別個のスレッドで動作してもよく、複数の物理的計算機資源上に構築された仮想計算機上で動作してもよい。報告受領装置３００についても同様である。

＜証跡記録装置＞
図３は、報告受領装置３００の構成例を示すブロック図である。報告受領装置３００は、例えば、メモリ３０１、演算装置３０２、入力装置３０３、出力装置３０４、通信装置３０５、及び補助記憶装置３０６を含む計算機によって構成される。メモリ３０１、演算装置３０２、入力装置３０３、出力装置３０４、通信装置３０５、及び補助記憶装置３０６それぞれのハードウェアとしての説明は、メモリ２０１、演算装置２０２、入力装置２０３、出力装置２０４、通信装置２０５、及び補助記憶装置２０６と同様であるため省略する。

補助記憶装置３０６は、例えば、検索条件登録プログラム３０７及び証跡監査プログラム６００を保持する。検索条件登録プログラム３０７は、報告を受領する投資家の投資対象である発電事業者の発電機のセンサに関連するセンサデータのみを受領するための検索条件を登録する。証跡監査プログラム６００は、報告を受領したセンサデータが改ざんされていないかを監査する。

また、補助記憶装置３０６は、証跡管理テーブル８００と、検索条件管理テーブル９００と、を保持する。証跡管理テーブル８００、検索条件管理テーブル９００、及び検索結果管理テーブル１０００についての説明は、図２を用いて説明した内容同様であるため説明を省略する。

＜データ構造＞
図７は、センサデータ管理テーブル７００の一例である。センサ１００が設置された発電機を保有している発電事業者が保有する証跡記録装置２００のセンサデータ管理テーブル７００は、当該センサ１００から送信されたセンサデータについての情報を保持する。

センサデータ管理テーブル７００は、例えば、センサデータＩＤ欄７０１と、センサＩＤ欄７０２と、計測値欄７０３と、タイムスタンプ欄７０４と、証跡データ欄７０５と、を含む。センサデータＩＤ欄７０１は、発電事業者が決定したセンサデータの名称又は識別子を保持する。なお、センサデータＩＤは、グリーンコミュニティ内でユニークな値である。

センサＩＤ欄７０２は、センサをグリーンコミュニティ内で一意に特定する値であるセンサＩＤを保持する。計測値欄７０３には、センサ１００が計測した計測値（例えば発電量）を保持する。計測値欄７０３は、例えば１分あたりの発電量等を保持する。タイムスタンプ欄７０４は、計測値欄７０３に記録された値の取得日時を保持する。証跡データ欄７０５は、センサデータが改ざんされていないことを示す証跡データを保持する。

図８は、証跡管理テーブル８００の一例である。証跡管理テーブル８００は、グリーンコミュニティの参加者で分散して共有され、証跡記録装置２００又は報告受領装置３００によって設定される。証跡管理テーブル８００は、例えば、証跡ＩＤ欄８０１と、証跡データ欄８０２と、対象センサ欄８０３と、を含む。

証跡ＩＤ欄８０１は、証跡データの名称又は識別子を保持する。証跡データ欄８０２は、複数のセンサデータの計測値（計測値に加えてタイムスタンプやセンサＩＤ等の他の値が計測値に加えて又は代えて用いられてもよい）から作成され、これらセンサデータが改ざんされていないことを示す証跡データ、を保持する。対象センサ欄８０３は、証跡データを作成するために用いられた複数のセンサそれぞれのセンサＩＤを保持する。なお、証跡データは１つのセンサによる複数のセンサデータの値から作成されてもよいし、複数のセンサによるセンサデータの値から作成されてもよい。

図９は、検索条件管理テーブル９００の一例である。検索条件管理テーブル９００は、グリーンコミュニティ内の参加者によって分散して共有され、証跡記録装置２００又は報告受領装置３００によって設定される。

検索条件管理テーブル９００は、例えば、報告条件ＩＤ欄９０１と、報告先欄９０２と、対象センサ欄９０３と、サンプリングレート欄９０４と、報告サイクル欄９０５と、次回報告時刻欄９０６と、を含む。

報告条件ＩＤ欄９０１は、報告条件データの名称又は識別子を保持する。報告先欄９０２は、報告条件で定義される報告先企業の名称又は識別子を保持する。対象センサ欄９０３は、報告条件で定義される報告対象のセンサ１００のセンサＩＤを保持する。

サンプリングレート欄９０４は、報告対象のデータの取得周期（例えば秒）を保持する。例えば、センサデータの取得周期が１秒である場合、サンプリングレートが２．００秒であれば、２秒間隔でデータが抽出されて報告対象とするよう定義されている。報告サイクル欄９０５は、報告先欄９０２で定義された相手へ報告するサイクル（例えば秒）を保持する。

次回報告時刻欄９０６は、報告先欄９０２で定義された相手へ次回報告する時刻を保持する。証跡検索プログラム５００が報告を行うたびに、元の次回報告時刻に報告サイクル欄９０５が示すサイクルを加えて次回報告時刻を算出し、算出した時刻へと次回報告時刻欄９０６の値を更新する。

図１０は、検索結果管理テーブル１０００の一例である。検索結果管理テーブル１０００は、グリーンコミュニティ内の参加者によって分散して共有され、証跡記録装置２００又は報告受領装置３００によって設定される。

検索結果管理テーブル１０００は、例えば、報告ＩＤ欄１００１と、報告条件欄ＩＤ１００２と、報告先欄１００３と、対象センサ欄１００４と、報告データ欄１００５と、報告時刻欄１００６と、を含む。

報告ＩＤ欄１００１は、報告データの名称又は識別子を保持する。報告条件ＩＤ欄１００２は、報告に基づく報告条件のＩＤを保持する。報告先欄１００３は、報告に基づく報告条件の報告先の名称又は識別子を保持する。対象センサ欄１００４は、報告に基づく報告条件の対象であるセンサ１００の名称又は識別子を保持する。報告データ欄１００５には、報告の対象の報告データを保持する。報告時刻欄１００６は、報告が行われた時刻を保持する。

＜処理＞
図４は、証跡記録装置２００による証跡記録処理の一例を示すフローチャートである。証跡記録処理は、例えば、証跡記録装置２００が、センサ１００からセンサデータ送信準備完了通知を受け付けると開始する。

証跡記録装置２００の証跡記録プログラム４００は、センサ１００からセンサデータを受信する（Ｓ４０１）。証跡記録プログラム４００は、処理開始後に受信したセンサデータの計測値の個数が、予め定められたセンサデータ受信閾値を超えているかを判定する（Ｓ４０２）。

証跡記録プログラム４００は、センサ値の個数がセンサデータ受信閾値を超えていると判定した場合（Ｓ４０２：ＹＥＳ）、複数のセンサデータに基づいて証跡を算出し（Ｓ４０３）、算出した証跡をセンサデータ管理テーブル７００及び証跡管理テーブル８００に記録する（Ｓ４０４）。ステップＳ４０３及びステップＳ４０４の処理の詳細については後述する。

証跡記録プログラム４００は、センサ値の個数がセンサデータ受信閾値以下であると判定した場合、ステップＳ４０１に戻る、つまりセンサデータをさらに受信するまで待つこととなる。

ステップＳ４０３の証跡算出処理の具体例について説明する。証跡記録プログラム４００は、ステップＳ４０１及びステップＳ４０２で蓄積した複数のセンサデータの値から、改ざん検知可能である証跡データを作成する。証跡記録プログラム４００は、蓄積された複数のセンサデータの計測値それぞれについて改ざん検知データを抽出又は作成する。

センサデータに付与されている誤り検出符号（ＣＲＣ：Ｃｙｃｌｉｃ Ｒｅｄｕｎｄａｎｃｙ Ｃｈｅｃｋ）を用いる方法は、改ざん検知データの抽出の一例である。また、ハッシュ値を算出する方法は、改ざん検知データ作成の一例である。

証跡記録プログラム４００は、複数のセンサデータの計測値それぞれから抽出又は作成した改ざん検知データを用いて、複数のセンサデータの計測値それぞれに対して１つの証跡データを作成する。証跡記録プログラム４００は、複数のセンサデータの計測値それぞれに対して１つの証跡データを作成することにより、大量のセンサデータを受信した場合であっても、証跡データのデータ量を低減することができる。

抽出又は作成された改ざん検知データからマークルツリーハッシュを作成する方法は、複数のセンサデータの計測値それぞれから生成された改ざん検知データから１つの証跡データを生成する方法の一例である。

なお、証跡記録プログラム４００は、ステップＳ４０１で受信した全てのセンサデータの計測値に対して証跡データを生成してもよいし、ステップＳ４０１で受信したセンサデータの計測値それぞれを所定の個数ずつにグループ分けして、各グループに対して証跡データを生成してもよい。

ステップＳ４０４の証跡記録処理について説明する。証跡記録プログラム４００は、作成した証跡データをセンサデータ管理テーブル７００及び証跡管理テーブル８００に記録する。

例えば、データ受信閾値が４に設定されている場合であって、ステップＳ４０３で証跡データの生成に用いられたセンサデータが図７のセンサデータＩＤがＤ００１～Ｄ００４の４つのレコードであった場合、証跡記録プログラム４００は、センサＩＤ欄７０２を参照すると、これら４つのレコードが示すセンサデータは、センサＩＤが「Ｓ００１」、「Ｓ００２」のセンサ１００から発生したデータであることを特定できる。

この場合、証跡記録プログラム４００は、新たな証跡ＩＤを生成し、センサデータ管理テーブル７００の証跡データ欄７０５にステップＳ４０３で生成した証跡データ（例えば「Ｈ００１」）を格納する。なお、証跡記録プログラム４００は、生成した証跡ＩＤをセンサデータ管理テーブル７００にさらに格納してもよい。さらに、証跡記録プログラム４００は、証跡管理テーブル８００の証跡ＩＤ欄８０１に証跡ＩＤを、証跡データ欄８０２にステップＳ４０３で生成した証跡データを格納し、対象センサ欄８０３に特定したセンサＩＤである「Ｓ００１」及び「Ｓ００２」を格納する。

図５は、証跡記録装置２００による証跡検索処理の一例を示すフローチャートである。証跡検索処理は、例えば、証跡記録装置２００が、検索条件管理テーブル９００の次回報告時刻欄９０６に示す時刻が到来しているレコードを検出したことを契機に開始する。

証跡検索プログラム５００は、検出したレコード示す証跡検索条件に従って、センサデータ管理テーブル７００から投資家への報告対象となるセンサデータを検索及び抽出する（Ｓ５０１）。

例えば、図９の検索条件管理テーブル９００の報告条件ＩＤが「Ｃ００１」であるレコードの次回報告時刻が到来した場合、対応する対象センサが「Ｓ００１」であることから、証跡検索プログラム５００は、図７のセンサデータ管理テーブル７００のセンサＩＤが「Ｓ００１」であるレコード、つまりセンサデータＩＤが「Ｄ００１」であるレコードと「Ｄ００３」であるレコードとを抽出する。

さらに、証跡検索プログラム５００は、検索条件管理テーブル９００の報告条件ＩＤが「Ｃ００１」であるレコードのサンプリングレートの値「２（秒）」を取得し、センサデータ管理テーブル７００のタイムスタンプ欄７０４を参照して、タイムスタンプがサンプリングレートである「２（秒）」間隔となるように、センサデータ管理テーブル７００の上記で抽出したレコードを抽出する。つまり、図７の例では、証跡検索プログラム５００は、センサＩＤが「Ｄ００１」であるレコードのみを抽出する（つまりセンサＩＤが「Ｄ００３」であるレコードは間引く）。

続いて、証跡検索プログラム５００は、ステップＳ５０１で抽出した結果を、検索結果管理テーブル１０００に記録する（Ｓ５０２）。具体的には、証跡検索プログラム５００は、報告ＩＤを生成する。

そして、証跡検索プログラム５００は、生成した報告ＩＤを報告ＩＤ欄１００１に格納し、検索条件管理テーブル９００の次回報告時刻欄９０６に示す時刻が到来しているレコードが示す報告条件ＩＤと報告先と対象センサとをそれぞれ報告条件ＩＤ欄１００２と報告先欄１００３と対象センサ欄１００４に格納する。

さらに、証跡検索プログラム５００は、現在時刻又は証跡検索処理開始した時刻を取得し、センサデータ管理テーブルから抽出したレコードが示す計測値とタイムスタンプとの組を報告データ欄１００５に格納し、取得した時刻を報告時刻欄１００６に格納する。

図６は、報告受領装置３００による証跡監査処理の一例を示すフローチャートである。証跡監査処理は、例えば、報告受領装置３００が、監査対象の報告データを特定する情報を含む証跡監査開始指示を受けたことを契機に開始する。報告受領装置３００のユーザの入力によって証跡監査開始指示が生成されてもよいし、所定の期間ごとに自動的に証跡監査開始指示が出されてもよい。

証跡監査プログラム６００は、監査対象データを特定し、当該監査対象データに対応するセンサデータを証跡記録装置２００に対して要求する（Ｓ６０１）。具体的には、例えば、図１０の検索結果管理テーブル１０００の報告ＩＤが「Ｒ００１」であるデータが監査対象として特定された証跡監査開始指示を、証跡監査プログラム６００が受け付けたとする。このとき、検索結果管理テーブル１０００において報告ＩＤ「Ｒ００１」に対応する報告条件ＩＤが「Ｃ００１」であることから、証跡監査プログラム６００は、図９の検索条件管理テーブル９００において報告条件ＩＤが「Ｃ００１」であるレコードを参照する。

当該レコードが示す対象センサが「Ｓ００１」であるため、証跡監査プログラム６００は、証跡管理テーブル８００を参照して、証跡ＩＤが「Ｅ００１」であるレコードの対象センサに「Ｓ００１」が含まれていることを確認して、さらに当該レコードが示す証跡データ「Ｈ００１」を取得する。証跡監査プログラム６００は、証跡記録装置２００に対して、センサデータ管理テーブル７００の証跡データが「Ｈ００１」であるセンサデータを要求する。

続いて、証跡監査プログラム６００は、要求したセンサデータを取得する（Ｓ６０２）。具体的には、例えば、証跡記録装置２００のセンサデータ送信プログラム２０７が、図７のセンサデータ管理テーブル７００において証跡データが「Ｈ００１」であるレコードに含まれるセンサデータＩＤが「Ｄ００１」～「Ｄ００４」であるセンサデータを送信し、報告受領装置が当該センサデータを受信する。

証跡監査プログラム６００は、取得したセンサデータから証跡データを再生成する（Ｓ６０３）。センサデータから証跡データを算出するためのアルゴリズムは証跡記録装置２００と報告受領装置３００との間で予め共有されているものとする。

証跡監査プログラム６００は、再生成した証跡データに基づいて、センサデータが改ざんされているかを判定する（Ｓ６０４）。証跡監査プログラム６００は、センサデータが改ざんされていないと判定した場合（Ｓ６０４：ＮＯ）、検索条件と検索結果を取得して、報告範囲の正しさを確認する（Ｓ６０５）。証跡監査プログラム６００は、センサデータが改ざんされていると判定した場合（Ｓ６０４：ＹＥＳ）、証跡監査処理を終了する。

具体的には、例えば、証跡監査プログラム６００は、取得したセンサデータから証跡データ「Ｈ００１」を生成することができた、即ちセンサデータが改ざんされていないと判定した場合には、ステップＳ６０５に進む。証跡監査プログラム６００は、センサデータが改ざんされていると判定した場合には、アラートを出力する等してから証跡監査処理を終了してもよい。

なお、ステップＳ６０５では具体的には、例えば、証跡監査プログラム６００は、ステップＳ６０１で取得したセンサデータ（即ちサンプリング前センサデータ）と、検索条件管理テーブル９００の対象センサが「Ｓ００１」のデータ（即ちサンプリング条件）と、検索結果管理テーブル１０００の対象センサ「Ｓ００１」の報告データ（即ちサンプリング後のセンサデータ）と、を比較することで、報告条件にのっとった報告がなされているかを確認し、確認した結果を出力する（Ｓ６０５）。

具体的には、例えば、証跡監査プログラム６００は、サンプリング前のセンサデータをサンプリングレート欄９０４が示すサンプリングレートで抽出し、抽出したセンサデータの計測値と、報告データ欄１００５が示す報告データと、が一致するか否かを判定することによって、報告条件にのっとった報告がなされているかを確認する。このようにして、報告受領装置３００は、報告結果の対改ざん性の検証と報告範囲の妥当性を監査する。

なお、証跡監査プログラム６００は、センサデータが改ざんされていないと判定した場合にのみ、ステップＳ６０５において報告範囲の正しさを確認することによって、センサデータが改ざんされている場合の処理量を低減することができる。一方、センサデータが改ざんされている場合であっても、ステップＳ６０５の処理を実行してもよい。

以上のように、本実施例の証跡記録システムは、発電事業者及びその投資家、発電事業者の債権を発行する金融機関、並びに発電実績を監査する監査機関などで構成されるコミュニティの中で、発電データ（センサデータ）が改ざんされていないことの証跡の記録及び共有を行うことができる。なお、本実施例では、電力事業者による発電データをセンサデータの対象としたが、これに限定されるものではない。

このように、本実施例の報告受領装置３００は、証跡データを作成するために用いられた一部のセンサデータのみしか保有していないものの、センサデータが改ざんされていないかを検証することでき、ひいてはセンサデータに対するプライバシー管理と監査可能性の両立を実現することができる。

また、本実施例では、グリーンコミュニティの参加者が発電事業者、投資家、金融機関、及び監査機関などである例を示したが、参加者がこれに限定されるものではなく、コミュニティの内容や目的もこれに限定されるものではない。

また、本実施例でテーブルが情報を保持する例示したが、テーブルに限定されるものではなく、例えば、スキーマレスにデータが格納されてもよい。また、本実施例では、証跡記録装置２００と報告受領装置３００とがテーブルが共有する例を示したが、情報の閲覧制限が設けられていてもよい。例えば、特定のセンサデータを、当該センサを有する発電事業者に投資する投資家のみ閲覧可能にするように限定するなどしてもよい。

なお、本実施例では、グリーンコミュニティが単一のコミュニティによって構成される例を示したが、これに限定されるものではない。例えば、共有範囲が異なる複数のサブコミュニティが設定され、取引内容の開示範囲に合わせてサブコミュニティを使い分けてもよい。

なお、本実施例では、証跡記録システムは、発電データ（センサデータ）が改ざんされていないことの証跡の記録及び共有を行うことを説明したが、任意のデータに対して。改ざんされていないことの証跡の記録及び共有を行うことができる。

本実施例の証跡記録システムは、証跡管理テーブル８００、検索条件管理テーブル９００、及び／又は検索結果管理テーブル１０００を分散台帳として共有する。実施例１との相違点を説明し、実施例１との重複記載を省略する。

図１１は、分散台帳の一例である。証跡管理テーブル８００、検索条件管理テーブル９００、及び検索結果管理テーブル１０００は、例えば、グリーンコミュニティの参加者によって分散して共有される分散台帳１１００によって実現される。本実施例では、分散台帳１１００は、発電事業者、投資家、金融機関、及び監査機関が保有する証跡記録装置２００及び／又は報告受領装置３００にそれぞれ分散して格納され、証跡データに関する情報が共有される。

分散台帳１１００は、証跡記録装置２００又は報告受領装置３００であってもよく、また、分散台帳１１００が証跡記録装置２００及び報告受領装置３００を含んでいてもよい。

本実施例では、分散台帳１１００にブロックチェーンが採用される。図８、図９、及び図１０に示したテーブルのレコードを、ひとつのトランザクションとして、複数のトランザクションとハッシュ値によって各ブロック（ブロック１１１１、ブロック１１１２、及びブロック１１１３）が構成される。

ブロック内の複数のトランザクションの内容と、直前のブロックのハッシュ値と、から当該ブロックのハッシュ値が算出されて、各ブロックはトランザクションの内容とハッシュ値とを保持する。

本実施例において採用されるブロックチェーンとして、例えばＰ２Ｐ（Ｐｅｅｒ ｔｏ Ｐｅｅｒ）ネットワーク、コンセンサスアルゴリズム、スマートコントラクト、並びに偽造防止及び暗号化技術を組み合わせた分散型の台帳管理システム等がある。

本実施例では、ブロックチェーンの特性のうち、非中央集権性と、透明性と、耐改竄性と、耐障害性と、自動実行（自動取引）と、を利用する例を示す。非中央集権性は、特定の参加者がデータの管理を独占することを禁止して、ブロックチェーンに参加するそれぞれの参加者がデータの管理を可能にすることを示す。

透明性は、各参加者が生成した情報を、全ての参加者に公開し、全ての参加者が共有することを示す。トークンコミュニティに参加する参加者は、全ての情報を閲覧することができ、記録された情報の一貫性が保証されている。

耐改竄性は、各参加者が有する装置がトランザクションを生成し、各トランザクションが電子署名とハッシュ値に基づき鎖状に繋がれることで、データの改竄を抑止することを示す。また、各参加者が有する装置が生成した情報が公開されることにより、データの改竄に対する意欲を抑制することができる。

耐障害性は、データ及び複製されたデータをブロックチェーンに参加する参加者が有する装置が保持することで、一部の参加者が有する装置に障害が発生しても、データの毀損や消失を防止できることを示す。

自動実行（自動取引）は、複数の必要条件に関する判定結果が集約された後に取引や情報の発行を実行すること、又は発行された情報についての合意を、効率的に行うことを示す。

なお、本実施例では、トランザクションの内容と、直前のブロックのハッシュ値から当該ブロックのハッシュ値を算出する例を示したが、これに限定されるものではない。例えば、各ブロック内にはトランザクションの内容に代えて、トランザクションの内容のハッシュ値とトランザクションの識別子とが格納されるようにしてもよい。この場合、直前のブロックのハッシュ値と、トランザクションの内容のハッシュ値と、トランザクションの識別子と、から当該ブロックのハッシュ値が算出されればよい。

この場合、各参加者が有する装置がトランザクションの内容を保持すればよい。また、証跡記録システムが、各参加者のトランザクションの内容を格納する装置を含んでもよい。証跡記録システムが当該装置を含む場合には、各トランザクションの内容を非公開とすることができ、各参加者間での取引の内容を限定された参加者のみに提供することができる。

なお、本発明は上記した実施例に限定されるものではなく、様々な変形例が含まれる。例えば、上記した実施例は本発明を分かりやすく説明するために詳細に説明したものであり、必ずしも説明した全ての構成を備えるものに限定されるものではない。また、ある実施例の構成の一部を他の実施例の構成に置き換えることも可能であり、また、ある実施例の構成に他の実施例の構成を加えることも可能である。また、各実施例の構成の一部について、他の構成の追加・削除・置換をすることが可能である。

また、上記の各構成、機能、処理部、処理手段等は、それらの一部又は全部を、例えば集積回路で設計する等によりハードウェアで実現してもよい。また、上記の各構成、機能等は、プロセッサがそれぞれの機能を実現するプログラムを解釈し、実行することによりソフトウェアで実現してもよい。各機能を実現するプログラム、テーブル、ファイル等の情報は、メモリや、ハードディスク、ＳＳＤ（Ｓｏｌｉｄ Ｓｔａｔｅ Ｄｒｉｖｅ）等の記録装置、または、ＩＣカード、ＳＤカード、ＤＶＤ等の記録媒体に置くことができる。

また、制御線や情報線は説明上必要と考えられるものを示しており、製品上必ずしも全ての制御線や情報線を示しているとは限らない。実際には殆ど全ての構成が相互に接続されていると考えてもよい。

１００ センサ、２００ 証跡記録装置、２０１ メモリ、２０２ 演算装置、２０６ 補助記憶装置、３００ 報告受領装置、３０１ メモリ、３０２ 演算装置、３０６ 補助記憶装置、４００ 証跡記録プログラム、５００ 証跡検索プログラム、６００ 証跡監査プログラム、７００ センサデータ管理テーブル、８００ 証跡管理テーブル、９００ 検索条件管理テーブル、１０００ 検索結果管理テーブル、１１００ 分散台帳

Claims (7)

1. 証跡記録システムであって、
   証跡記録装置と報告受領装置とを含み、
   前記証跡記録装置は、
   センサによる複数の計測値を示すセンサデータと、
   前記複数の計測値の少なくとも一部の計測値に基づいて生成された証跡データと、を保持し、
   前記証跡データを前記報告受領装置に送信し、
   前記報告受領装置は、監査対象の前記センサの前記証跡データを示す要求を前記証跡記録装置に送信し、
   前記証跡記録装置は、前記複数の計測値のうち前記証跡データを生成するために利用された計測値を前記報告受領装置に送信し、
   前記報告受領装置は、前記証跡データと、前記証跡記録装置から受信した計測値と、に基づいて、前記センサによる計測値が改ざんされているかを検証する第１検証処理を実行する、証跡記録システム。
2. 請求項１に記載の証跡記録システムであって、
   前記証跡記録装置は、
   前記複数の計測値のうち、前記報告受領装置への報告対象となる計測値のサンプリングレートを示す条件データを保持し、
   前記サンプリングレートに従って、前記複数の計測値から報告計測値を抽出して、前記報告受領装置に送信し、
   前記報告受領装置は、
   前記条件データを保持し、
   前記サンプリングレートと、前記報告計測値と、前記証跡記録装置から受信した計測値と、に基づいて、前記報告受領装置が保持する条件データが示すサンプリングレートに従った報告計測値が前記証跡記録装置から送信されているかを検証する第２検証処理を実行する、証跡記録システム。
3. 請求項２に記載の証跡記録システムであって、
   前記報告受領装置は、
   前記第１検証処理において前記センサによる計測値が改ざんされていないと判定した場合に、前記第２検証処理を実行する、証跡記録システム。
4. 請求項２に記載の証跡記録システムであって、
   前記報告受領装置は、前記報告計測値を報告データとして保持し、
   前記証跡データ、前記条件データ、及び前記報告データの少なくとも１つが、前記証跡記録装置と前記報告受領装置をノードとして含む分散台帳によって管理されている、証跡記録システム。
5. 請求項１に記載の証跡記録システムであって、
   前記証跡記録装置は、前記複数の計測値のうち所定の個数の計測値ごとに、当該所定の個数の計測値に基づいて、前記証跡データを生成する、証跡記録システム。
6. 請求項１に記載の証跡記録システムであって、
   前記報告受領装置は、
   前記証跡記録装置から受信した計測値に基づいて証跡データを再生成し、
   前記証跡記録装置から受信した証跡データと、前記再生成した証跡データと、を比較して、前記センサによる計測値が改ざんされているかを検証する、証跡記録システム。
7. 証跡記録装置に接続された報告受領装置によるデータ検証方法であって、
   前記証跡記録装置は、センサによる複数の計測値を保持し、
   前記報告受領装置は、前記複数の計測値の少なくとも一部の計測値に基づいて生成された証跡データを保持し、
   前記データ検証方法は、
   前記報告受領装置が、監査対象の前記センサの前記証跡データを示す要求を前記証跡記録装置に送信し、
   前記報告受領装置が、前記複数の計測値のうち前記証跡データを生成するために利用された計測値を前記証跡記録装置から受信し、
   前記報告受領装置が、前記証跡データと、前記証跡記録装置から受信した計測値に基づいて、前記センサによる計測値が改ざんされているかを検証する第１検証処理を実行する、データ検証方法。

Images