JP4812002B2 - 記録装置、記録収集サーバ、記録方法、及び記録収集方法 - Google Patents

Description

本発明は、記録装置、記録収集サーバ、記録方法、及び記録収集方法に関し、例えば、データが取得された時刻や位置などを証明するものに関する。

保険査定用の事故車両の画像データ、火山ガス濃度の測定、騒音測定、大気汚染物質の測定、水質検査、地震測定、土木建築工事記録画像データなど、記録装置で記録対象のデータを記録する場合、記録を行った時刻や場所などの特定が重要となる場合がある。
このようなデータでは、記録した時刻や場所などの特定がなされていなかったり、不正確であったり、あるいは改竄された場合、これらのデータを用いて行う処理に大きな影響が及ぶ。

そのため、データ記録時の時刻や場所を証明する技術が要望されていた。このような要望のうち、時刻証明を行う技術として次の文献で開示されているものがある。
特開２００１−２９７０６２公報

この技術は、時刻情報を経時変化情報（気象情報など）と対応づけて合成情報とすることにより、時刻情報の非改竄性を証明しようとするものである。合成情報は、商品に付与され、商品の時刻情報の証明に用いられる。
この技術を用いたサービスとして、画像データを認証センタに送信し、認証センタで画像データに合成情報を付与することにより、画像データの時刻証明を行うものも提案されている。

しかし、この技術では、画像データを認証センタに送信するまでにデータ改竄の可能性があった。

そこで、本発明の目的は、データの取得時刻などを証明できるようにすることである。

（１）請求項１記載の発明では、情報を記録する記録装置と、前記記録装置から署名記録データを収集する記録収集サーバを用いて構成された記録収集システムで使用される記録装置であって、一定時間間隔ごとに数値を所定量だけ増加させるカウンタ装置と、秘密鍵を記憶した秘密鍵記憶手段と、前記カウンタ装置のカウンタ値を前記記録収集サーバに送信するカウンタ値送信手段と、記録対象の情報をデジタルデータとして取得するデジタルデータ取得手段と、前記取得したデジタルデータと当該デジタルデータを取得した際のカウンタ値とを含む記録データを生成し、当該生成した記録データを前記記憶した秘密鍵でデジタル署名して署名記録データを生成する署名手段と、前記署名記録データを前記記録収集サーバに送信する署名記録データ送信手段と、を具備したことを特徴とする記録装置を提供する。
（２）請求項２記載の発明では、前記デジタルデータを取得した際の現在位置情報を取得する現在位置情報取得手段を具備し、前記署名手段は、前記取得した現在位置情報を前記記録データに含めることを特徴とする請求項１に記載の記録装置を提供する。
（３）請求項３記載の発明では、前記カウンタ値送信手段は、前記デジタルデータ取得手段がデジタルデータを取得する前にカウンタ値を送信する第１のカウンタ値送信手段と、前記デジタルデータ取得手段がデジタルデータを取得した後にカウンタ値を送信する第２のカウンタ値送信手段と、を具備したことを特徴とする請求項１、又は請求項２に記載の記録装置を提供する。
（４）請求項４記載の発明では、前記第２のカウンタ値送信手段は、前記署名記録データ送信手段が署名記録データを送信する際にカウンタ値を送信することを特徴とする請求項３に記載の記録装置を提供する。
（５）請求項５記載の発明では、前記第１のカウンタ値送信手段が前記記録収集サーバにカウンタ値を送信した際に、前記記録収集サーバから有効期間を取得し、前記署名記録データ送信手段は、前記取得した有効期間内において前記署名記録データを送信することを特徴とする請求項３、又は請求項４に記載の記録装置を提供する。
（６）請求項６記載の発明では、前記デジタルデータ取得手段は、光学系を用いて投影された投影像をデジタルデータに変換する電荷結合素子を含んでおり、前記署名手段は、前記デジタルデータを取得した際の前記光学系の状態に関するパラメータを前記記録データに含めることを特徴とする請求項１から請求項５までのうちの何れか１の請求項に記載の記録装置を提供する。
（７）請求項７記載の発明では、一定時間間隔ごとに数値を所定量だけ増加させるカウンタ装置を備え、情報を記録する記録装置と、前記記録装置から署名記録データを収集する記録収集サーバを用いて構成された記録収集システムで使用される記録収集サーバであって、時刻を計測する時刻計測手段と、前記記録装置から前記カウンタ装置のカウンタ値を受信し、当該カウンタ値と、前記時刻計測手段で計測している時刻と、の対応関係を取得する対応関係取得手段と、前記記録装置から、記録対象のデジタルデータと前記デジタルデータを取得した際のカウンタ値とを含む記録データを秘密鍵でデジタル署名した署名記録データを受信する署名記録データ受信手段と、前記受信した署名記録データに前記取得した対応関係を含めて保存用記録データを生成し、当該生成した保存用記録データに対してタイムスタンプの発行を要求するタイムスタンプ発行要求手段と、前記要求によりタイムスタンプが発行された前記保存用記録データを取得する保存用記録データ取得手段と、を具備したことを特徴とする記録収集サーバを提供する。
（８）請求項８記載の発明では、前記対応関係取得手段は、前記記録装置が記録データを生成する前と生成した後のカウンタ値を受信することを特徴とする請求項７に記載の記録収集サーバを提供する。
（９）請求項９記載の発明では、前記秘密鍵に対応する公開鍵を記憶する公開鍵記憶手段と、前記記憶した公開鍵を用いて前記デジタル署名の正統性を確認する署名確認手段と、を具備し、前記タイムスタンプ発行要求手段は、前記署名確認手段で、前記デジタル署名の正統性が確認された場合にタイムスタンプの発行を要求することを特徴とする請求項７、又は請求項８に記載の記録収集サーバを提供する。
（１０）請求項１０記載の発明では、前記保存用記録データにタイムスタンプを発行するタイムスタンプ発行手段を具備したことを特徴とする請求項７、請求項８、又は請求項９に記載の記録収集サーバを提供する。
（１１）請求項１１記載の発明では、前記記録装置からカウンタ値を受信した際に、前記記録装置が署名記録データを送信できる有効期間を送信することを特徴とする請求項７から請求項１０までのうちの何れか１の請求項に記載の記録収集サーバを提供する。
（１２）請求項１２記載の発明では、情報を記録する記録装置と、前記記録装置から署名記録データを収集する記録収集サーバを用いて構成された記録収集システムで使用される記録装置が行う記録方法であって、前記記録装置は、一定時間間隔ごとに数値を所定量だけ増加させるカウンタ装置と、秘密鍵を記憶した秘密鍵記憶手段と、カウンタ値送信手段と、デジタルデータ取得手段と、署名手段と、署名記録データ送信手段と、を備え、前記カウンタ値送信手段で、前記カウンタ装置のカウンタ値を前記記録収集サーバに送信するカウンタ値送信ステップと、前記デジタルデータ取得手段で、記録対象の情報をデジタルデータとして取得するデジタルデータ取得ステップと、前記署名手段で、前記取得したデジタルデータと当該デジタルデータを取得した際のカウンタ値とを含む記録データを生成し、当該生成した記録データを前記記憶した秘密鍵でデジタル署名して署名記録データを生成する署名ステップと、前記署名記録データ送信手段で、前記署名記録データを前記記録収集サーバに送信する署名記録データ送信ステップと、から構成されたことを特徴とする記録方法を提供する。
（１３）請求項１３記載の発明では、一定時間間隔ごとに数値を所定量だけ増加させるカウンタ装置を備え、情報を記録する記録装置と、前記記録装置から署名記録データを収集する記録収集サーバを用いて構成された記録収集システムで使用される記録収集サーバが行う記録収集方法であって、前記記録収集サーバは、時刻を計測する時刻計測手段と、対応関係取得手段と、署名記録データ受信手段と、タイムスタンプ発行要求手段と、保存用記録データ取得手段と、を備え、前記対応関係取得手段によって、前記記録装置から前記カウンタ装置のカウンタ値を受信し、当該カウンタ値と、前記時刻計測手段で計測している時刻と、の対応関係を取得する対応関係取得ステップと、前記署名記録データ受信手段によって、前記記録装置から、記録対象のデジタルデータと前記デジタルデータを取得した際のカウンタ値とを含む記録データを秘密鍵でデジタル署名した署名記録データを受信する署名記録データ受信ステップと、前記タイムスタンプ発行要求手段によって、前記受信した署名記録データに前記取得した対応関係を含めて保存用記録データを生成し、当該生成した保存用記録データに対してタイムスタンプの発行を要求するタイムスタンプ発行要求ステップと、前記保存用記録データ取得手段によって、前記要求によりタイムスタンプが発行された前記保存用記録データを取得する保存用記録データ取得ステップと、から構成されたことを特徴とする記録収集方法を提供する。

本発明によれば、記録装置が時刻を特定する情報などをデータに付与してデジタル署名することにより、データの取得時刻などを証明することができる。

（１）実施の形態の概要
図１を用いて本実施の形態の概要について説明する。センタサーバ２は、保険会社の本社に設置されたサーバ装置である。
カメラ５は、本社より支社や代理店などに配布されたデジタル式カメラであり、以下の手順で保険査定に必要な写真の撮影を行う。

（１．開始カウンタ値の登録）
カメラ５は、一定時間間隔で数をカウントするカウンタを、外部からの不正な操作が著しく困難な耐タンパチップ内に備えている。
担当者が撮影現場にカメラ５を持ち出す場合には、図１（ａ）に示したように、カメラ５をセンタサーバ２に接続し、現在のカウンタ値（開始カウンタ値）をセンタサーバ２に送信する。センタサーバ２は、カメラ５の開始カウンタ値を現在時刻（開始時刻）と対応づけて記憶する。

（２．写真の撮影）
開始カウンタ値をセンタサーバ２に通知した後、カメラ５は、ネットワークから切り離され、オフライン状態となる。担当者は、この状態でカメラ５を撮影現場に持ち出し、被写体を撮影する。
カメラ５は、被写体を画像データとして記録すると、これに現在のカウンタ値、現在位置を特定する位置情報（カメラ５はＧＰＳを内蔵している）、被写体までの距離や絞りなどの撮影情報を付与し、これを予め記憶した機器秘密鍵でデジタル署名して撮影データを生成する。この署名処理は、耐タンパチップの内部で行われる。このようにして、撮影データ１〜ｎがカメラ５内に記憶される。

（３．撮影データの送信）
担当者は、撮影を終えるとカメラ５を持ち帰り、センタサーバ２に接続する。すると、カメラ５は、センタサーバ２に現在のカウンタ値（終了カウンタ値）を送信する。センタサーバ２は、この終了カウンタ値を現在時刻（終了時刻）と対応づけて記憶する。
更に、カメラ５は、撮影データ１〜ｎを１つのデータにまとめて送信用撮影データ４０（図４）を生成し、これをセンタサーバ２に送信する。
センタサーバ２は、送信用撮影データ４０を受信すると、予め記憶した機器公開鍵を用いて撮影データ１〜ｎのデジタル署名を検証し、各撮影データが改竄されていないことを確認する。

そして、センタサーバ２は、送信用撮影データ４０に、開始カウンタ、開始時刻、終了カウンタ、及び終了時刻などを付加して保存用撮影データ５０（図７（ａ））を生成し、これにタイムスタンプサーバによってタイムスタンプを発行してもらいタイムスタンプ付き保存用撮影データ５１（図７（ｂ））を生成する。
タイムスタンプ付き保存用撮影データ５１はセンタサーバ２で記憶され、必要がある場合にユーザ端末にダウンロードされて使用される。

（４．画像データの時刻証明）
タイムスタンプ付き保存用撮影データ５１の正統性は、タイムスタンプにより確認することができる。また、タイムスタンプ付き保存用撮影データ５１に含まれる各撮影データの正統性は、センタサーバ２により保証されている。
そのため、撮影データに含まれる画像データ、カウンタ値、位置情報、撮影情報は信頼できるものである。
撮影時刻は、カウンタ値を用いて特定することができる。即ち、カウンタ値は、一定時間間隔で所定量だけインクリメントされるため、開始カウンタ値と開始時刻、及び終了カウンタ値と終了時刻の対応関係から、このカウンタ値が得られた時刻を計算により特定することができる。
以上のように、本実施の形態では、カメラ５が画像データを撮影した際の時刻、撮影位置、及び撮影情報をデジタル署名やタイムスタンプなどにより証明することができる。

（２）実施の形態の詳細
図２は、本実施の形態の一例に係る画像データ収集システムのネットワーク構成を示した図である。
画像データ収集システム１は、例えば、保険会社が保険査定用の画像データを収集するシステムである。保険金の査定に用いる画像データは、撮影時刻と撮影位置が証明できること、及び、データの非改竄を確認できることが重要である。画像データ収集システム１は、このような要望に応えるものである。

画像データ収集システム１は、保険会社の本社などに設置され、カメラ５から画像データを収集するセンタサーバ２、保険会社の支店や代理店などに設置され、ネットワーク４を介してセンタサーバ２と通信する端末３、画像データを撮影するカメラ５などから構成されている。
なお、以下では、被写体を電子データ化したデータを画像データと呼び、画像データにカウンタ値、位置情報などの各種の付加的な情報を付与したものを撮影データと呼ぶことにする。

センタサーバ２は、カメラ５から送信されてくる撮影データのカウンタ値の管理と撮影データの非改竄性の確認を行うと共に、図示しないタイムスタンプサーバに対して撮影データにタイムスタンプの発行を要求する。
端末３は、本社などから写真撮影を依頼される支店などに設置された端末装置であって、ネットワーク４を介してセンタサーバ２と通信することができる。端末３は、カメラ５をセンタサーバ２に接続する際の仲介として用いられる。センタサーバ２は、記録収集サーバとして機能している。

カメラ５は、保険査定用の画像データ（事故車両や事故現場など）を撮影するためのデジタル式画像撮影装置であり、予め本社でセンタサーバ２で機器登録した後、各支店等に配布さる。
カメラ５は、端末３を介してセンタサーバ２と通信することができる。この際の通信は、例えば、ＳＳＬ（Ｓｅｃｕｒｅ Ｓｏｃｋｅｔｓ Ｌａｙｅｒ）などの技術を用いて暗号化され、セキュリティを確保している。

なお、カメラ５が直接ネットワークに接続する機能を有している場合は、端末３を用いずに、カメラ５を直接ネットワーク４に接続することができる。
また、カメラ５が無線通信機能を備える場合は、端末３を使用せず、基地局８経由でセンタサーバ２に直接接続することもできる。
カメラ５は、撮影現場に持ち出す際、及び持ち帰った際は、センタサーバ２に接続して所定の手続きを経るが、撮影の際は、オフラインで自由に使用することができる。カメラ５は、記録装置として機能している。

図３は、カメラ５のハードウェア的な構成の一例を説明するためのブロック図である。
カメラ５は、耐タンパ部２０、ＣＰＵ（Ｃｅｎｔｒａｌ Ｐｒｏｃｅｓｓｉｎｇ Ｕｎｉｔ）３０、ＲＯＭ（Ｒｅａｄ Ｏｎｌｙ Ｍｅｍｏｒｙ）３１、ＲＡＭ（Ｒａｎｄｏｍ Ａｃｃｅｓｓ Ｍｅｍｏｒｙ）３２、カメラ部３３、ＧＰＳ（Ｇｌｏｂａｌ Ｐｏｓｉｔｉｏｎｉｎｇ Ｓｙｓｔｅｍｓ）部３４、操作部３５、記憶部３６、通信部３７などがバスラインで接続されて構成されている。

耐タンパ部２０は、機器認証やデジタル署名の発行などセキュリティに関わる情報処理を行う機能部であり、例えば、耐タンパ仕様の集積回路を収納したＩＣチップによって構成された耐タンパモジュールである。

耐タンパ仕様とは、例えば、内部構造を解析しようとすると自動的に内部構造を破壊するなど、改竄や複製、内部の論理構造の解読などの不正行為に対して十分な防御手段を講じるための仕様である。
そのため、耐タンパ部２０は、外部からの解析が著しく困難で一種のブラックボックスとなっており、例えば、機器秘密鍵などの秘密情報を安全に保持することができる。
なお、タンパ（ｔａｍｐｅｒ）とは、装置に手を加えるという意味や、情報などを不正に変更するという意味があり、耐タンパとは、これらの操作に対して耐性を保持していることを意味する。

耐タンパ部２０は、ＣＰＵ２１、カウンタ２２、ＲＯＭ２３、ＲＡＭ２４、ＥＥＰＲＯＭ（Ｅｌｅｃｔｒｉｃａｌｌｙ Ｅｒａｓａｂｌｅ ａｎｄ Ｐｒｏｇｒａｍｍａｂｌｅ ＲＯＭ）２５、図示しない内部クロックなどがバスラインによって接続されて構成されている。

ＣＰＵ２１は、ＥＥＰＲＯＭ２５、ＲＯＭ２３、ＲＡＭ２４などに記憶されているプログラムに従って各種の情報処理を行う中央処理装置である。
本実施の形態では、機器公開鍵と機器秘密鍵のペアを生成したり、撮影した撮影データに対してデジタル署名を行ったり、カウンタ値の出力を行ったりする。

カウンタ２２は、一定時間間隔でカウンタ値（数値）を所定量だけインクリメントして計数するカウンタ装置である。一定時間間隔は、内部クロックにより計測される。
ここで、インクリメントとは、数値を指定した大きさで一定に増加させることであり、本実施の形態では、例えば、所定時間間隔ごとに１つずつカウンタ値を増大させていく。
なお、カウンタ値は、撮影時刻を特定するのが目的であるため（即ち、カウンタ値と時刻が一意に対応すればよいため）、数値を所定の時間間隔でデクリメントするように構成することもできる。

また、カウンタ値２２は、正負の何れか一方向にのみ数値が変化するようになっている。
即ち、カウンタ２２がインクリメントするものである場合は、カウンタ値が減少できないようになっており、デクリメントするものである場合は、カウンタ値が増加できないようになっている。
カウンタ値は、写真の撮影時刻に相当する値であるため、カウンタ２２が何れか一方に進むように構成することにより、撮影時刻のバックデイトを防止することができる。

ＲＯＭ２３は、読み出し専用の記憶装置（メモリ）であって、耐タンパ部２０を駆動するための基本的なプログラムやパラメータなどを格納している。
ＲＡＭ２４は、読み書き可能な記憶装置であって、ＣＰＵ２１が各種の情報処理を行う際のワーキングエリアを提供する。
図示しない内部クロックは、耐タンパ部２０を駆動したり、カウンタ２２が所定時間間隔を計測するためのクロックを発生させる。内部クロック２２は、ＣＰＵ３０を駆動する図示しない外部クロックと同期しており、ＣＰＵ２１とＣＰＵ３０はタイミングを同期させて協働して動作することができる。
なお、本実施の形態では、カウンタ２２を内部クロックとは別物として構成したが、内部クロックそのものをカウンタ２２として使用することもできる。この場合は、内部クロックが出力した時刻がカウンタ値として利用される。

ＥＥＰＲＯＭ２５は、読み書きが可能な不揮発性の記憶装置であり、プログラムやデータなどが記憶されている。
本実施の形態では、一例として、機器ＩＤ、非対称暗号鍵生成プログラム、機器秘密鍵、機器証明書、センタサーバ公開鍵証明書、撮影データ処理プログラム、ＣＰＵ２１を駆動するための基本的なプログラムであるＯＳ（Ｏｐｅｒａｔｉｎｇ Ｓｙｓｔｅｍ）などが記憶されている。

機器ＩＤは、カメラ５に一意に付与された識別情報であり、個々のカメラ５は、機器ＩＤにより識別される。機器ＩＤは、カメラ５の製造時に製造者によって記憶させられる。
非対称暗号鍵生成プログラムは、耐タンパ部２０の内部で機器秘密鍵と機器公開鍵の非対称暗号鍵ペア（対）を生成するための機能をＣＰＵ２１に発揮させるためのプログラムである。このプログラムは、機器登録前に実行させられる。望ましくは、カメラ５の製造者が出荷前に実行する。
生成された機器秘密鍵はＥＥＰＲＯＭ２５に記憶され、外部からこの機器秘密鍵を知ることはできないようになっている。ＥＥＰＲＯＭ２５は、秘密鍵記憶手段として機能している。
機器秘密鍵は、例えば、撮影データをデジタル署名するのに用いられる。デジタル署名の正統性は、機器公開鍵で検証することができる。

機器証明書は、例えば、機器公開鍵、機器ＩＤ、その他の情報をセンタサーバ２が証明書用秘密鍵などでデジタル署名した証明書である。機器証明書は、センタサーバ２がカメラ５を機器認証する際に用いられる。
機器証明書は、例えば、「機器ＩＤは○○○です。この機器の機器公開鍵は○○○です。証明者はセンタサーバ２です。」といった、機器ＩＤ、機器公開鍵、証明者、及びその他の例えば証明日時からなるメッセージと、このメッセージのダイジェスト（例えば、ハッシュ値）を証明書用秘密鍵で暗号化したデジタル署名などから構成されている。

機器証明書の正当性の確認は、次のようにして行われる。まず、証明書用秘密鍵に対応する証明書用公開鍵によってデジタル証明からダイジェストを復元する。そして、メッセージからダイジェストを生成する。
両者が一致する場合、この機器証明書は確かにセンタサーバ２によって作成されたものであることを確認することができる。

なお、本実施の形態では、センタサーバ２が機器証明書を作成するように構成したが、これに限定せず、例えば、適当なＣＡ（認証局）が作成するように構成することもできる。この場合、ＣＡは、ＣＡ秘密鍵でデジタル署名することにより機器証明書を作成する。
そして、この場合、センタサーバ２は、ＣＡ公開鍵を記憶しておき、これを用いて機器証明書の正当性を確認する。

次に、センタサーバ公開鍵証明書は、センタサーバ秘密鍵に対応するセンタサーバ公開鍵の公開鍵証明書であり、機器登録の際に、センタサーバ２からダウンロードしたものである。
センタサーバ公開鍵証明書は、例えば、センタサーバ公開鍵をＣＡがＣＡ秘密鍵でデジタル署名して作成されている。
この場合、予めカメラ５にＣＡ公開鍵を記憶させておけば、カメラ５は、センタサーバ公開鍵証明書をダウンロードした際に正統性を確認することができる。

センタサーバ公開鍵は、例えば、撮影データなど、何らかのデータをセンタサーバ２に送信する際に、これを暗号化するのに用いる。センタサーバ公開鍵で暗号化されたデータは、センタサーバ秘密鍵を有するセンタサーバ２だけが復号化できるため、セキュリティを高めることができる。

撮影データ処理プログラムは、センタサーバ２にカウンタ値を通知したり、撮影データにデジタル署名を行ったり、撮影データを暗号化する機能などをＣＰＵ２１に発揮させるためのプログラムである。

ＣＰＵ３０は、記憶部３６、ＲＯＭ３１、ＲＡＭ３２などに記憶されているプログラムに従って各種の情報処理を行う中央処理装置である。
ＣＰＵ３０は、ＣＰＵ２１と協働して動作し、例えば、カメラ部３３で撮影された画像データやＧＰＳ部３４で検出された位置情報などを耐タンパ部２０に送出したり、耐タンパ部２０から出力されたカウンタ値や撮影データなどをセンタサーバ２に送信したりなどする。

ＲＯＭ３１は、読み出し専用の記憶装置であって、ＣＰＵ３０を駆動するための基本的なプログラムやパラメータなどを格納している。
ＲＡＭ３２は、読み書き可能な記憶装置であって、ＣＰＵ３０が各種の情報処理を行う際のワーキングエリアを提供する。

カメラ部３３は、レンズや絞りなどの光学系や、これらを自動調節する調節機構、レンズによって投影された投影像を電気信号に変換するＣＣＤ（Ｃｈａｒｇｅ Ｃｏｕｐｌｅｄ Ｄｅｖｉｃｅ：電荷結合素子）などから構成されている。カメラ部３３によって、撮影対象の画像データが生成される。
カメラ部３３は、記録対象（被写体）の情報（画像）をデジタルデータ（画像データ）として取得するデジタルデータ取得手段として機能している。

ＧＰＳ部３４は、地球上空を周回する複数のＧＰＳ衛生が送信するＧＰＳ信号を受信し、カメラ５の現在位置を解析して電気信号として出力するモジュールである。ＧＰＳ部３４は、現在位置情報取得手段として機能している。
操作部３５は、担当者がカメラ５を操作するための操作ボタンやシャッターボタンなどから構成されている。また、図示しないが、ＣＰＵ３０には、各種情報を担当者に提示するための液晶表示装置やブザー音などを発生する音声発生装置なども接続されている。

記憶部３６は、例えば、ＥＥＰＲＯＭによって構成されており、各種プログラムやデータなどが記憶されている。
記憶部３６に記憶しているプログラムをＣＰＵ３０で実行することにより、センタサーバ２と通信したり、カメラ５にカメラとしての機能を発揮させたりすることができる。
また、耐タンパ部２０でデジタル署名された撮影データは、記憶部３６に記憶され、センタサーバ２とオンラインとなった際に、センタサーバ２に送信される。
通信部３７は、カメラ５をセンタサーバ２に接続するためのインターフェースを構成している。
なお、基地局８（図２）と無線通信する機能を有するカメラ５の場合、通信部３７は、ＲＦ回路やアンテナなどから構成された無線通信部を備える。

図４は、送信用撮影データ４０の論理的な構成を模式的に表した図である。送信用撮影データ４０は、カメラ５が撮影データ１〜ｎ（ｎは正の整数）を送信する際に、これらを１つのデータにまとめたものである。なお、撮影データ１〜ｎを個別に連続して送信するように構成することもできる。
撮影データ１〜ｎは、カメラ５が撮影した画像データから作成されたものであり、担当者が被写体を撮影するごとに作成されて記憶部３６に記憶されたものである。

撮影データ１〜ｎは、被写体の投影像をＣＣＤによって電子データ化した画像データや、撮影時のカウンタ値、ＧＰＳ部３４によって検出された撮影時の現在位置情報（緯度経度が特定できる）、撮影時の焦点距離や絞りなど、カメラ部３３の光学系に関するパラメータからなる撮影情報、及びこれらのデータの正統性を証明するためのデジタル署名などが含まれている。
撮影データは、画像データとカウンタ値を含む記録データに相当する。このように、カメラ５は、記録データ生成手段と、これにデジタル署名する署名手段を備えている。

撮影情報は、画像データが撮影された際の状況を検証するのに用いることができる。
例えば、事故車両の偽造写真を被写体として撮影した画像データの場合、焦点距離が本来の値より短くなることが考えられ、焦点距離の検証により、このような偽造を発見することができる。

デジタル署名は、画像データ、カウンタ値、位置情報、撮影情報などのダイジェスト（例えば、ハッシュ値）をカメラ５が機器秘密鍵で暗号化したものである。
撮影データの正統性（即ち、改竄されていないか、また、カメラ５によって作成されたものであるかなど）を検証する者（センタサーバ２など）は、機器公開鍵でダイジェストを復元し、更に、画像データ、カウンタ値、位置情報、撮影情報などからダイジェストを生成し、両者の一致を確認すればよい。

送信用撮影データ４０は、センタサーバ２に送信され、センタサーバ２によってタイムスタンプの発行が要求される。
このように、撮影データをまとめて送信用撮影データ４０とすることにより、１つのタイムスタンプによって、個々の撮影データにタイムスタンプが発行されたのと同じ効果を得ることができる。
なお、カメラ５は、撮影データ１〜ｎを個別にセンタサーバ２に送信し、センタサーバ２がこれらを１つのデータにまとめてタイムスタンプを発行するように構成してもよい。
あるいは、タイムスタンプの発行回数は増えるが、カメラ５は撮影データ１〜ｎを個別にセンタサーバ２に送信し、センタサーバ２は、個々の撮影データにタイムスタンプを発行するように構成してもよい。

図５は、センタサーバ２のハードウェア的な構成の一例を説明するためのブロック図である。
センタサーバ２は、ＣＰＵ４１、ＲＯＭ４２、ＲＡＭ４３、クロック４４、通信部４５、及び記憶部４６などがバスラインで接続されて構成されている。
ＣＰＵ４１は、ＲＯＭ４２、ＲＡＭ４３、記憶部４６などに記憶されているプログラムに従って動作し、カメラ５の機器登録、カウンタ値と時刻との対応の管理、撮影データ（後述の保存用撮影データ５０）へのタイムスタンプの発行などの各種処理を行う。

ＲＯＭ４２は、読み出し専用の記憶装置であって、ＣＰＵ４１を駆動するための基本的なプログラムやパラメータなどを格納している。
ＲＡＭ４３は、読み書き可能な記憶装置であって、ＣＰＵ４１が各種の情報処理を行う際のワーキングエリアを提供する。
通信部４５は、センタサーバ２をネットワーク４に接続するインターフェースである。
クロック４４は、時刻計測手段として機能する時計装置であり、開始カウンタ値や終了カウンタ値と対応する時刻を計測したり、送信用撮影データ４０にタイムスタンプを発行する際の証明時刻を提供する。

記憶部４６は、例えば、ハードディスクなどの大容量の記憶媒体を用いて構成されており、図示したような各種プログラムやデータが格納されている。
機器登録プログラムは、カメラ５に機器証明書を発行し、カメラ５を機器登録データベースに登録するためのプログラムである。
タイムスタンプ発行要求プログラムは、カメラ５から受信した送信用撮影データ４０にタイムスタンプを発行するためのプログラムであり、タイムスタンプを発行・取得するほか、カメラ５のカウンタ値とこのカウンタ値を受信した際の時刻との対応関係の取得や、撮影データのデジタル署名の確認など、各種の情報処理を行う。

機器登録データベースは、カメラ５の機器ＩＤと機器公開鍵などを登録したデータベースであり、カメラ５は、機器登録データベースで登録された後、各支店や代理店などに配布される。
撮影データデータベースは、タイムスタンプを発行した送信用撮影データ４０を蓄積したデータベースである。ここに蓄積された送信用撮影データ４０は、保険の査定などに使用される。
カウンタ値記憶領域は、カメラ５から送信されてきた開始カウンタ値や終了カウンタ値を、それぞれ開始時刻、終了時刻に対応づけて一時記憶する領域である。ここに記憶された対応関係は、後述の保存用撮影データを作成するのに用いられる。

証明書用秘密鍵は、機器証明書にデジタル署名するための秘密鍵である。なお、図示しないが、記憶部４６には、証明書用秘密鍵に対応する証明書用公開鍵も記憶されており、センタサーバ２は、証明書用公開鍵により機器証明書を検証することができる。
センタサーバ秘密鍵は、センタサーバ公開鍵に対応する秘密鍵であり、カメラ５から送信されてきた送信用撮影データ４０（センタサーバ公開鍵で暗号化されている）を復号化するのに用いる。

次に、図６を用いてカウンタ値と時刻の対応を説明する。
カメラ５がセンタサーバ２に送信した開始カウンタ値が１０００であり、センタサーバ２がカメラ５から開始カウンタ値を受信した際の時刻が１３時であったとする。
また、カメラ５がセンタサーバ２に送信した終了カウンタ値が６０００であり、センタサーバ２がカメラ５から終了カウンタ値を受信した際の時刻が１８時であったとする。
撮影データに記録されているカウンタ値が３５００であった場合、この撮影データに記録されている画像データの撮影時刻は次のように計算して１５時３０分となる。

カウンタ値が６０００−１０００＝５０００増加するのに、１８時−１３時＝５時間を要している。即ち、１時間あたりカウンタ値は、５０００÷５＝１０００だけ増加する。
撮影時刻では、カウンタ値が３５００−１０００＝２５００だけ増加しているので、撮影時刻は、開始時刻から２５００÷１０００＝２．５時間経過した時刻である。即ち、撮影時刻は、１５時３０分となる。
このようにして、撮影データのユーザは、撮影データに記録されているカウンタ値、及び開始カウンタ値と開始時刻、終了カウンタ値と終了時刻から、画像データが撮影された時刻を算出することができる。
このように、カウンタ値は時刻と対応づけられるため、カウンタ２２は、カメラ５がオフラインの間、時刻を計測する時計装置として機能している。

また、単位時間当たりのカウンタ値が大きいほど、より細かく撮影時刻を特定することができる。そして、カウンタ２２の単位時間当たりのカウンタ値は、画像データの使用目的（ここでは、保険の査定）に十分な値が確保されている。
例えば、カウンタ２２が単位時間当たり（１秒当たり）１０００カウントする場合、１カウントは１ミリ秒に該当し、１００カウントする場合は、１０ミリ秒に該当する。
また、１分程度の精度で十分な場合は、例えば、１０秒当たりに１カウント程度で十分である。
このように、カウンタ２２の単位時間当たりのカウント値は、必要とされる精度を満たしていればよい。
なお、センタサーバ２は、カメラ５の単位時間当たりのカウント数を知っており（例えば、機器登録の際にカメラ５からセンタサーバ２に通知される）、開始時刻とカウント数を用いて撮影時刻を計算することもできる。

次に、図７の各図を用いてセンタサーバ２が送信用撮影データ４０に対して行う情報処理について説明する。
図７（ａ）は、保存用撮影データの論理的な構成を示した模式図である。
保存用撮影データ５０は、センタサーバ２が送信用撮影データ４０（撮影データ１〜ｎ）に開始カウンタ値、終了カウンタ値、開始時刻、終了時刻、機器ＩＤ、その他の情報を付加したものである。
保存用撮影データ５０は、センタサーバ２が撮影データにタイムスタンプを発行するための中間データである。

図７（ｂ）は、タイムスタンプ付き保存用撮影データの論理的な構成を示した模式図である。
タイムスタンプ付き保存用撮影データ５１は、センタサーバ２が保存用撮影データ５０にタイムスタンプを発行したものである。
即ち、センタサーバ２が、タイムスタンプが証明する証明時刻やタイムスタンプの発行者などの情報を保存用撮影データ５０に付加したものである。
タイムスタンプ付き保存用撮影データ５１の正統性は、タイムスタンプ公開鍵証明書を用いて検証することができる。
このように、センタサーバ２は、撮影データ１〜ｎに一括してタイムスタンプを発行することができる。

次に、図８の各図を用いてセンタサーバ２の記憶部４６で記憶されているデータベースなどについて説明する。
図８（ａ）は、機器登録データベースの論理的な構成の一例を示した図である。
機器登録データベースは、「機器ＩＤ」、「機器公開鍵」、その他の項目から構成されている。
「機器ＩＤ」は、カメラ５の機器ＩＤであり、これによって、カメラ５を識別することができる。
「機器公開鍵」は、カメラ５から取得した機器公開鍵であり、機器ＩＤと対応づけて記憶されている。このように機器登録データベースは、公開鍵記憶手段として機能している。
この他に、例えば、カウンタ２２の単位時間当たりのカウント数、カメラ５の配布先、配布日時、型番、その他の情報を機器ＩＤと対応づけて記憶し、カメラ５の管理に利用することができる。

図８（ｂ）は、撮影データデータベースの論理的な構成の一例を示した図である。
撮影データデータベースでは、タイムスタンプ付き保存用撮影データ５１が機器ＩＤと対応づけて記憶されている。
ここに記憶されたタイムスタンプ付き保存用撮影データ５１は、適当な端末にダウンロードされて保険査定に使用される。

図８（ｃ）は、カウンタ値記憶領域の論理的な一例を示した図である。
この領域は、「機器ＩＤ」、「開始カウント値」、「開始時刻」、「終了カウント値」、「終了時刻」などの項目が確保可能となっている。
「機器ＩＤ」には、カメラ５から開始カウンタ値を受信した際に当該カメラ５の機器ＩＤが登録され、「開始カウンタ値」には、当該開始カウンタ値が登録される。そして、「開始時刻」には、開始カウンタ値を受信した際の時刻が登録される。
一方、「終了カウンタ値」には、カメラ５から受信した終了カウンタ値が登録され、「終了時刻」には、その際の時刻が登録される。
これらの情報は、送信用撮影データ４０から保存用撮影データ５０を生成するのに用いられる。これらの値は、使用後に消去してもよい。

次に、図９のフローチャートを用いて、センタサーバ２がカメラ５を機器登録する手順について説明する。
まず、カメラ５に非対称暗号鍵生成プログラム（図３）を実行させ、耐タンパ部２０内で機器秘密鍵と機器公開鍵のペアを生成させる（ステップ１０）。この作業は、例えば、カメラ５の製造者が行い、その後、カメラ５は保険会社に出荷される。

保険会社の担当者は、カメラ５を受け取ると、カメラ５をセンタサーバ２に接続し、カメラ５の機器ＩＤや機器公開鍵などをセンタサーバ２に送信する（ステップ１５）。
センタサーバ２は、これらの情報をカメラ５から受信し、機器登録データベースに記憶して機器登録する（ステップ２０）。
次に、センタサーバ２は、機器公開鍵、機器ＩＤなどを証明書用秘密鍵でデジタル署名して機器証明書を作成し（ステップ２５）、センタサーバ公開鍵証明書と共にカメラ５に送信する（ステップ３０）。
カメラ５は、機器証明書やセンタサーバ公開鍵証明書をセンタサーバ２から受信して耐タンパ部２０に記憶する（ステップ３５）。
以上の処理により、カメラ５は、センタサーバ２に機器登録され、支店等に配送される。

次に、図１０のフローチャートを用いて、カメラ５を撮影に持ち出す前に行う処理について説明する。なお、以下でカメラ５が行う処理は、耐タンパ部２０が行う。
まず、カメラ５は、端末３を介してセンタサーバ２に接続される。センタサーバ２に接続された後、カメラ５は、機器証明書をセンタサーバ公開鍵で暗号化してセンタサーバ２に送信する（ステップ５０）。
本実施の形態では、機器証明書によりカメラ５を機器認証するが、カメラ５が機器認証できれば他の情報を用いてもよい。

センタサーバ２は、カメラ５から機器証明書を受信し、これを用いて機器認証する（ステップ５５）。
この機器認証は、機器証明書をセンタサーバ秘密鍵で復号化し、証明書用公開鍵で機器証明書の正当性を確認することにより行われる。
このように、センタサーバ２は、自己が発行した機器証明書をカメラ５が有していることを確認することにより、カメラ５を機器認証する。

また、変形例として、機器ＩＤや機器証明書を機器秘密鍵でデジタル署名し、これをセンタサーバ公開鍵で暗号化したものを機器認証情報とすることもできる。
この場合、センタサーバ２は、これをセンタサーバ秘密鍵で復号化した後、機器ＩＤを用いて機器登録データベースから機器公開鍵を検索する。そして、機器公開鍵でデジタル署名を検証した後、証明書公開鍵を用いて機器証明書を検証する。
この例では、センタサーバ２は、カメラ５が機器証明書を有していることに加え、機器秘密鍵を有していることを確認することができる。

以上のようにして機器認証が成功すると、センタサーバ２は、カメラ５に機器認証が成功したことを通知する。
カメラ５は、機器認証が成功すると、現在のカウンタ値を初期カウンタ値としてセンタサーバ２に送信する（ステップ５７）。このように、カメラ５は、カウンタ値送信手段（第１のカウンタ値送信手段）を備えている。
センタサーバ２は、カメラ５から初期カウンタ値を受信し、その際の現在時刻を開始時刻としてクロック４４（図３）から取得する。
そして、センタサーバ２は、機器ＩＤと対応づけて、初期カウンタ値と開始時刻をカウンタ値記憶領域に記憶する（ステップ６０）。このように、センタサーバ２は、カウンタ値と時刻の対応を取得する対応関係取得手段を備えている。
なお、開始時刻の決定は、ネットワークの遅延を考慮するなど、適当な補正を行ってもよい。

次に、センタサーバ２は、有効期限情報を生成してカメラ５に送信する（ステップ６５）。
有効期限情報は、カメラ５が、撮影データをセンタサーバ２に送信することができる期限を規定する情報であり、例えば、期限に該当する日時及び時刻などから構成されている。
カメラ５は、センタサーバ２から有効期限情報を受信し、ＥＥＰＲＯＭ２５に記憶する（ステップ７０）。
以上の処理を経た後、カメラ５は、センタサーバ２との接続を終了してオフラインとなり、有効期限内において自由に使用することができる。

次に、図１１のフローチャートを用いてカメラ５で被写体を撮影する場合の処理について説明する。
撮影担当者は、カメラ５を端末３から取り外してオフランとし、撮影現場に携行する。そして、カメラ５を起動し、カメラ５を撮影可能な状態にする。
カメラ５は、起動すると、耐タンパ部２０に記憶されている有効期限情報を参照し、表示部に有効期限を表示する（ステップ１０５）。これによって、撮影担当者は、有効期限内であること認識することができる。
なお、有効期限は、カメラ５が起動していない間も常時表示されるように構成したり、あるいは有効期限に近づくとアラームを発するように構成したりすることもできる。

撮影担当者は、有効期限内であることを確認した後、被写体の撮影を実行する（ステップ１１０）。
撮影の実行は、カメラ部３３が、焦点距離や絞りなどを調節して被写体の投影像をＣＣＤに結像し、カメラ部３３がこれを画像データに変換することにより行われる。
カメラ５は、このようにして画像データを取得し（ステップ１１５）、これを耐タンパ部２０に入力する。

耐タンパ部２０は、画像データを取得すると、その際のカウンタ値をカウンタ２２から取得する（ステップ１２０）。
次に、耐タンパ部２０は、ＧＰＳ部３４から現在位置を特定する位置情報を取得する（ステップ１２５）。
更に、耐タンパ部２０は、カメラ部３３から画像データを撮影した際の撮影情報を取得する（ステップ１３０）。

次に、耐タンパ部２０は、画像データにカウンタ値、位置情報、及び撮影情報などを付加して撮影データを生成する。
次に、耐タンパ部２０は、例えば、ハッシュ値を計算するなどして、撮影データのダイジェストを生成し（ステップ１３５）、これを機器秘密鍵で暗号化することによりデジタル署名を作成する（ステップ１４０）。
次に、耐タンパ部２０は、撮影データにデジタル署名を付加して記憶部３６に出力する（ステップ１４５）。
撮影担当者が更に撮影を続行する場合、カメラ５は、ステップ１１０に戻り、撮影を終了する場合は、撮影処理を終了する。
以上のようにして、記憶部３６に、撮影データが蓄積されていく。

次に、図１２のフローチャートを用いて、撮影データをセンタサーバ２に送信する手順について説明する。
撮影担当者は、撮影を終えて支店等に戻ると、端末３を介してカメラ５をセンタサーバ２に接続する。
カメラ５は、現在が有効期限内であることを確認する（ステップ２０５）。有効期限を経過している場合、カメラ５は、撮影データの送信処理を中断し、例えば、アラームを発して担当者に有効期限切れを知らせる。

有効期限内である場合、カメラ５は、機器証明書をセンタサーバ２に送信する（ステップ２１０）。
このように、カメラ５が有する記録データ送信手段は、有効期間内において記録データ（送信用撮影データ４０）を送信する。
センタサーバ２は、カメラ５から機器証明書を受信して機器認証を行う（ステップ２１５）。この際にセンタサーバ２においても有効期限の確認を行うように構成することもできる。
機器認証が成功すると、センタサーバ２は、カメラ５に機器認証が成功したことを通知する。

カメラ５は、機器認証が成功すると、現在のカウンタ値を終了カウンタ値としてセンタサーバ２に送信する（ステップ２１７）。このように、カメラ５は、カウンタ値送信手段（第２のカウンタ値送信手段）を備えている。
センタサーバ２は、カメラ５から終了カウンタ値を受信すると共に、その際の現在時刻を終了時刻としてクロック４４から取得する。そして、センタサーバ２は、機器ＩＤに対応づけて、終了カウンタ値と終了時刻をカウンタ値記憶領域に記憶する（ステップ２２０）。このように、センタサーバ２は、カメラ５が画像データを生成する前と生成した後のカウンタ値を受信し、これらカウンタ値と時刻の対応を取得する対応関係取得手段を備えている。
これによって、カウンタ値記憶領域には、機器ＩＤに対応づけられて、開始カウンタ値、開始時刻、終了カウンタ値、及び終了時刻が記憶される。

センタサーバ２は、カウンタ値記憶領域にこれらのデータを記憶すると、次のようにして終了カウンタ値が適切か否かを確認する（ステップ２２３）。
センタサーバ２は、カウンタ２２の単位時間当たりのカウント数を記憶している。
そのため、初期カウンタ値に、終了時刻と開始時刻の時間差に単位時間当たりのカウント数を乗じたものを加えたもの［初期カウンタ値＋（終了時刻−開始時刻）×単位時間当たりのカウント数］が終了カウンタ値に（カウンタ２２の精度内で）等しくなる筈である。
センタサーバ２は、カウンタ２２の精度を考慮したしきい値を記憶しており、終了カウンタ値と計算値の差がしきい値以内である場合、終了カウンタ値は適切であると判断する。

センタサーバ２は、予め設定された値をしきい値として記憶しておいてもよいし、あるいは、開始時刻と終了時刻の時間差からしきい値を計算するようにしてもよい。後者の場合は、時間差が小さいほどしきい値が小さくなるように計算され、より厳密に終了カウンタ値の確認を行うことができる。
このように終了カウンタ値の確認を行うことにより、例えば、カウンタ２２が故障している場合など、カメラ５に何らかのトラブルが発生している場合、これを検知できる可能性が高まる。

終了カウンタ値が適切であると認められた場合、センタサーバ２は、カメラ５に撮影データの送信を要求する（ステップ２２５）。終了カウンタ値が適切でなかった場合、センタサーバ２は、カメラ５にアラームを送信し、以降の処理を中断する。
カメラ５は、センタサーバ２から撮影データの送信を要求されると、撮影データ１〜ｎを用いて送信用撮影データ４０（図４）を生成し、センタサーバ公開鍵で暗号化してセンタサーバ２に送信する（ステップ２３０）。このようにカメラ５は、記録データ送信手段を備えている。

センタサーバ２は、カメラ５から送信用撮影データ４０を受信し、これをサンタサーバ秘密鍵で復号化してＲＡＭ４３などに一時記憶する。このように、センタサーバ２は、記録データ受信手段を備えている。
次に、センタサーバ２は、カメラ５の機器ＩＤを用いて当該カメラ５の機器公開鍵を機器登録データベースから取得し、これを用いて送信用撮影データ４０に含まれる撮影データ１〜ｎの各々についてデジタル署名を確認する（ステップ２３５）。このように、センタサーバ２は、署名確認手段を備えている。
デジタル署名により、正統性が証明できなかった撮影データが存在した場合、センタサーバ２は、例えば、その撮影データを無効にしたり、あるいは、全ての撮影データを無効にするなど、所定の処理を行う。

撮影データ１〜ｎのデジタル署名が確認できた場合、センタサーバ２は、カメラ５の機器ＩＤを用いて、カウンタ値記憶領域（図８（ｃ））から、初期カウンタ値、開始時刻、終了カウンタ値、及び終了時刻を取得する。
そして、センタサーバ２は、検索したこれらのデータなどを送信用撮影データ４０に付加して保存用撮影データ５０（図７（ａ））を生成する（ステップ２４０）。

次に、センタサーバ２は、保存用撮影データ５０に現在時刻を証明時刻として付与してダイジェストを生成し、これをタイムスタンプ発行局あるいはタイムスタンプサーバに対してタイムスタンプの発行要求をする（ステップ２５０）。
このように、センタサーバ２は、タイムスタンプ発行手段を備えており、このタイムスタンプ発行手段にタイムスタンプの発行を要求して（タイムスタンプ要求手段）タイムスタンプを発行させる。
そして、センタサーバ２は、タイムスタンプ付き保存用撮影データ５１（図７（ｂ））を撮影データデータベースに記憶する（ステップ２５５）。
このように、センタサーバ２は、タイムスタンプが発行された保存用記録データ（保存用撮影データ５０）を取得する保存用記録データ取得手段を備えている。

次に、センタサーバ２に記憶されたタイムスタンプ付き保存用撮影データ５１の利用方法について説明する。
ユーザ（例えば、保険査定の担当者）は、社内のユーザ端末などからセンタサーバ２にアクセスし、所望のタイムスタンプ付き保存用撮影データ５１をダウンロードする。
ユーザ端末にタイムスタンプ公開鍵を記憶しておくことにより、利用者は、タイムスタンプ付き保存用撮影データ５１のタイムスタンプの正統性を確認することができる。

タイムスタンプ付き保存用撮影データ５１に含まれている撮影データ１〜ｎの正統性は、既にセンタサーバ２によって保証されているので、ユーザは、所望の撮影データをタイムスタンプ付き保存用撮影データ５１から取得して利用する。
ユーザ端末は、画像データ、撮影場所の位置情報、撮影情報を、撮影データから取得することができる。
撮影時刻に関しては、ユーザ端末は、図６に示したように、撮影データに記されている開始カウンタ値、開始時刻、終了カウンタ値、及び終了時刻から計算する。
以上のようにして、ユーザは、所望の画像データ、画像データの撮影時刻、撮影位置、及び撮影情報を得ることができる。

以上に説明した本実施の形態により、次のような効果を得ることができる。
（１）カメラ５で撮影した画像データに撮影時刻、撮影位置、撮影情報等を加えてデジタル署名を行うことができる。これによって、画像データの撮影時刻や撮影位置を証明することができる。また、デジタル署名を行うモジュールは耐タンパ部２０内に収納されているため、これらの情報が改竄されていないことを保証することができる。
（２）カウンタ２２を耐タンパ部２０内に設けるため、カウンタ２２の不正操作を防ぐことができる。
（３）撮影時刻はカウンタ値によって与えられるため、カメラ５が計測している時刻を時刻補正することなく、画像データに時刻情報を付与することができる。
（４）オフラインで画像データの撮影ができるため、カメラ５をネットワークに接続できない環境下でも撮影を行うことができる。保険査定用の写真撮影の場合、例えば、山中、離島、海上など、ネットワーク環境が劣悪な現場での撮影機会も多いので、オフラインで使用できることは非常に有効である。

なお、本実施の形態では、保存用撮影データ５０に、開始カウンタ値と開始時刻の組と、終了カウンタ値と終了時刻の組を記録したが、カウンタの単位時間当たりのカウント数が分かっている場合は、何れか一方を記録するように構成することもできる。
この場合、両方の組を記録した場合に比べて信頼度は低下するが、撮影時刻を特定することはできる。
例えば、開始カウンタ値と開始時刻が記録されている場合、撮影時刻は、［開始時刻＋（開始カウンタ値−撮影時のカウンタ値）÷単位時間当たりのカウント数］により求めることができる。

また、本実施の形態では、記録装置としてカメラ５を用い、画像データを記録対象の情報のデジタルデータとしたが、本実施の形態は、これに限定せず、火山ガス濃度の測定、騒音測定、大気汚染物質の測定、水質検査、地震測定、土木建築工事記録画像データなど、各種のものを対象とすることができる。
例えば、湖の水質検査を行う場合、検査装置に、本実施の形態の耐タンパ部２０を備え、水質の検査データに、検査時刻（カウンタ値）及び検査位置などを付加してデジタル署名するように構成することができる。

本実施の形態の概要を説明するための図である。 画像データ収集システムのネットワーク構成を示した図である。 カメラのハードウェア的な構成を説明するための図である。 送信用撮影データの論理的な構成を模式的に表した図である。 センタサーバのハードウェア的な構成を説明するためのブロック図である。 カウンタ値と時刻の対応を説明するための図である。 センタサーバが送信用撮影データに対して行う情報処理について説明するための図である。 センタサーバが記憶しているデータベースなどについて説明するための図である。 センタサーバがカメラを機器登録する手順を説明するためのフローチャートである。 カメラがセンタサーバに開始カウンタ値を送信する手順を説明するためのフローチャートである。 カメラで被写体を撮影する場合の処理を説明するためのフローチャートである。 カメラが撮影データをセンタサーバに送信する処理を説明するためのフローチャートである。

符号の説明

１ 画像データ収集システム
２ センタサーバ
３ 端末
４ ネットワーク
５ カメラ
６ 基地局

Claims (13)

1. 情報を記録する記録装置と、前記記録装置から署名記録データを収集する記録収集サーバを用いて構成された記録収集システムで使用される記録装置であって、
   一定時間間隔ごとに数値を所定量だけ増加させるカウンタ装置と、
   秘密鍵を記憶した秘密鍵記憶手段と、
   前記カウンタ装置のカウンタ値を前記記録収集サーバに送信するカウンタ値送信手段と、
   記録対象の情報をデジタルデータとして取得するデジタルデータ取得手段と、
   前記取得したデジタルデータと当該デジタルデータを取得した際のカウンタ値とを含む記録データを生成し、当該生成した記録データを前記記憶した秘密鍵でデジタル署名して署名記録データを生成する署名手段と、
   前記署名記録データを前記記録収集サーバに送信する署名記録データ送信手段と、
   を具備したことを特徴とする記録装置。
2. 前記デジタルデータを取得した際の現在位置情報を取得する現在位置情報取得手段を具備し、
   前記署名手段は、前記取得した現在位置情報を前記記録データに含めることを特徴とする請求項１に記載の記録装置。
3. 前記カウンタ値送信手段は、前記デジタルデータ取得手段がデジタルデータを取得する前にカウンタ値を送信する第１のカウンタ値送信手段と、
   前記デジタルデータ取得手段がデジタルデータを取得した後にカウンタ値を送信する第２のカウンタ値送信手段と、
   を具備したことを特徴とする請求項１、又は請求項２に記載の記録装置。
4. 前記第２のカウンタ値送信手段は、前記署名記録データ送信手段が署名記録データを送信する際にカウンタ値を送信することを特徴とする請求項３に記載の記録装置。
5. 前記第１のカウンタ値送信手段が前記記録収集サーバにカウンタ値を送信した際に、前記記録収集サーバから有効期間を取得し、前記署名記録データ送信手段は、前記取得した有効期間内において前記署名記録データを送信することを特徴とする請求項３、又は請求項４に記載の記録装置。
6. 前記デジタルデータ取得手段は、光学系を用いて投影された投影像をデジタルデータに変換する電荷結合素子を含んでおり、
   前記署名手段は、前記デジタルデータを取得した際の前記光学系の状態に関するパラメータを前記記録データに含めることを特徴とする請求項１から請求項５までのうちの何れか１の請求項に記載の記録装置。
7. 一定時間間隔ごとに数値を所定量だけ増加させるカウンタ装置を備え、情報を記録する記録装置と、前記記録装置から署名記録データを収集する記録収集サーバを用いて構成された記録収集システムで使用される記録収集サーバであって、
   時刻を計測する時刻計測手段と、
   前記記録装置から前記カウンタ装置のカウンタ値を受信し、当該カウンタ値と、前記時刻計測手段で計測している時刻と、の対応関係を取得する対応関係取得手段と、
   前記記録装置から、記録対象のデジタルデータと前記デジタルデータを取得した際のカウンタ値とを含む記録データを秘密鍵でデジタル署名した署名記録データを受信する署名記録データ受信手段と、
   前記受信した署名記録データに前記取得した対応関係を含めて保存用記録データを生成し、当該生成した保存用記録データに対してタイムスタンプの発行を要求するタイムスタンプ発行要求手段と、
   前記要求によりタイムスタンプが発行された前記保存用記録データを取得する保存用記録データ取得手段と、
   を具備したことを特徴とする記録収集サーバ。
8. 前記対応関係取得手段は、前記記録装置が記録データを生成する前と生成した後のカウンタ値を受信することを特徴とする請求項７に記載の記録収集サーバ。
9. 前記秘密鍵に対応する公開鍵を記憶する公開鍵記憶手段と、
   前記記憶した公開鍵を用いて前記デジタル署名の正統性を確認する署名確認手段と、
   を具備し、
   前記タイムスタンプ発行要求手段は、前記署名確認手段で、前記デジタル署名の正統性が確認された場合にタイムスタンプの発行を要求することを特徴とする請求項７、又は請求項８に記載の記録収集サーバ。
10. 前記保存用記録データにタイムスタンプを発行するタイムスタンプ発行手段を具備したことを特徴とする請求項７、請求項８、又は請求項９に記載の記録収集サーバ。
11. 前記記録装置からカウンタ値を受信した際に、前記記録装置が署名記録データを送信できる有効期間を送信することを特徴とする請求項７から請求項１０までのうちの何れか１の請求項に記載の記録収集サーバ。
12. 情報を記録する記録装置と、前記記録装置から署名記録データを収集する記録収集サーバを用いて構成された記録収集システムで使用される記録装置が行う記録方法であって、
    前記記録装置は、一定時間間隔ごとに数値を所定量だけ増加させるカウンタ装置と、秘密鍵を記憶した秘密鍵記憶手段と、カウンタ値送信手段と、デジタルデータ取得手段と、署名手段と、署名記録データ送信手段と、を備え、
    前記カウンタ値送信手段で、前記カウンタ装置のカウンタ値を前記記録収集サーバに送信するカウンタ値送信ステップと、
    前記デジタルデータ取得手段で、記録対象の情報をデジタルデータとして取得するデジタルデータ取得ステップと、
    前記署名手段で、前記取得したデジタルデータと当該デジタルデータを取得した際のカウンタ値とを含む記録データを生成し、当該生成した記録データを前記記憶した秘密鍵でデジタル署名して署名記録データを生成する署名ステップと、
    前記署名記録データ送信手段で、前記署名記録データを前記記録収集サーバに送信する署名記録データ送信ステップと、
    から構成されたことを特徴とする記録方法。
13. 一定時間間隔ごとに数値を所定量だけ増加させるカウンタ装置を備え、情報を記録する記録装置と、前記記録装置から署名記録データを収集する記録収集サーバを用いて構成された記録収集システムで使用される記録収集サーバが行う記録収集方法であって、
    前記記録収集サーバは、時刻を計測する時刻計測手段と、対応関係取得手段と、署名記録データ受信手段と、タイムスタンプ発行要求手段と、保存用記録データ取得手段と、を備え、
    前記対応関係取得手段によって、前記記録装置から前記カウンタ装置のカウンタ値を受信し、当該カウンタ値と、前記時刻計測手段で計測している時刻と、の対応関係を取得する対応関係取得ステップと、
    前記署名記録データ受信手段によって、前記記録装置から、記録対象のデジタルデータと前記デジタルデータを取得した際のカウンタ値とを含む記録データを秘密鍵でデジタル署名した署名記録データを受信する署名記録データ受信ステップと、
    前記タイムスタンプ発行要求手段によって、前記受信した署名記録データに前記取得した対応関係を含めて保存用記録データを生成し、当該生成した保存用記録データに対してタイムスタンプの発行を要求するタイムスタンプ発行要求ステップと、
    前記保存用記録データ取得手段によって、前記要求によりタイムスタンプが発行された前記保存用記録データを取得する保存用記録データ取得ステップと、
    から構成されたことを特徴とする記録収集方法。

Images