JP4722599B2 - 電子画像データ検証プログラム、電子画像データ検証システム及び電子画像データ検証方法 - Google Patents

Description

本発明は、電子画像フォーマットして汎用的に使われているJPEG（Joint Photographic Experts Group）やGIF（Graphics Interchange Format）、Bitmap（Microsoft Windows Bitmap）等の画像情報に対して、変更有無を検出し、また変更箇所（変更位置）を特定し、これらを第三者に証明可能とするための電子画像データ検証プログラム、電子画像データ検証システム及び電子画像データ検証方法に関するものである。

近年のＩＴの進展に伴い、行政文書や民間企業の帳簿、契約書等の形態は、従来の紙文書での運用、保管から電子（ディジタル）文書へと徐々に移行されつつある。具体的には、スキャナ装置の普及に伴い、従来紙で保存されていた文書を容易に電子データ化することが可能となった。更に、高解像度を内蔵するスキャナ装置の実用化に伴い、一定のセキュリティ要件を満足すれば従来認められなかった紙文書の電子保存が容認されるようになった（e-文書法:2005年4月施行に伴う）。また、従来の銀塩写真等に変わって撮影された情報をディジタル化し、電子データとして記録媒体等に記録するディジタルカメラといった映像入力装置も実用化されている。

一方でこのような文書や画像等の電子保存要求の増加とともに、電子データを安全に保管、管理する技術の必要性が高まっている。従来、紙として保存されていた文書を、紙と同等の証拠能力を維持した状態で電子的に保存するためには、「改ざん検出・防止」、「作成者の識別」、「アクセス管理・制御」、「履歴管理」等の技術要件を満たす必要があると言われている。このような要件を満たすためには、従来の文書管理システムでは機能不足であり、最近では、このような技術要件を満足する「原本性保証システム」の開発、市場投入が急速に進んでいる。

この「原本性保証システム」において、最も一般的に用いられているセキュリティ要素技術が電子署名である。電子署名は、文書の作成者を特定できる（本人性）のと同時に、その文書が作成時点から変更がないこと（非改ざん性）を第三者に証明・確認できる技術である。関連する従来技術３件について以下に列挙する（例えば特許文献１〜３参照）。

下記特許文献１、２は、電子文書原本保管技術として、電子文書の原本性を確保する技術を示している。

非特許文献３は、電子文書墨塗り技術として、電子文書の墨塗り問題を解決する技術を示している。

なお、上記文献の他にも、SCIS2004論文「開示条件を制御可能な電子文書墨塗り技術」では、開示部分に対する追加的な墨塗りの可否を制御可能とする電子文書墨塗り技術についても提案されている。更に、本技術の画像ファイルへの適用考察として、SCIS2005論文「電子文書墨塗り技術の画像ファイルへの適用に関する一考察」が提案されている。

また、電子透かし技術として、一定の規則性を満たす電子透かしを電子データ自体に埋め込み、一定の規則性が満たされているかを検証することで、電子データの改ざんの有無や改ざん位置を検出できる技術も知られている。

特開２０００−２８５０２４号公報 特開２００１−１１７８２０号公報 情報処理学会／コンピュータセキュリティ研究会（CSEC）論文「電子文書墨塗り問題（2003/7/17）（2003-CSEC-22-009）

特許文献１、２に示すような原本性保証の考え方では、確定された最終形態の文書を原本として安全に管理する、いわゆる、紙文書を鍵付きロッカー等に保管するのと同様、原本の所在が明確である文書を対象としている。このような環境においては、電子署名は本人性や非改ざん性を保証するのに非常に有効な技術となる。しかしながら、申請書や稟議書のように、文書自身に直接、追加や訂正、秘匿等の部分操作、加工がなされ、転々流通する文書の原本性保証を考えた場合、一般的な電子署名方式では、その性質上、一切の加工が許されないため、逆に障害となる。つまり、従来技術、製品では、以上のような点が考慮されておらず、電子署名を使って電子データを完全なまま保存するための技術が中心であった。

以下に上記文献に示される技術の問題点について述べる。

特許文献１，２に示される電子文書原本保管技術では、電子データを保存する際に紙の原本が有する性質を電子情報に持たせる技術を提供すると共に、電子データが改ざんされないように保護する技術を提供している。つまり、これらの発明は、確定された最終形態の電子文書を原本として保管、管理する機構、いわゆる原本の所在が明確であり、一組織内に蓄えられる原本をいかに安全に保管するかという点に注目している。このような原本保管環境においては、電子文書に対して訂正が発生した場合、一部でも訂正を行った場合は“改ざん”と認識されてしまう。

例えば、“紙の契約文書への訂正”を考えた場合、訂正の際は、「訂正箇所の文字を二重線で消し、すぐ上の余白に訂正文字を記入し、訂正者印を押印する」といった処理が行われているが、訂正を加えても契約文書の原本には相違ない。紙文化におけるこのような行為は、正当な手続きを踏んで訂正を行っていると公的に判断され、第三者的に証明を行うことができるものとなっている。これに対して電子文書の場合、証拠性という観点から従来の原本保管技術を適用すると、訂正部分は改ざんされたものなのか、正当な手続きを経て訂正されたものなのか識別できないという問題が生じる。これは、電子データに対するいかなる改変も検知できるように設計されている現状の電子署名の特徴からも言えることである。

非特許文献３に示す電子文書墨塗り技術では、ある文書に対して施された署名が、文書の一部を秘匿することによって検証できなくなる問題を解決する電子文書の墨塗り技術が提案されている。本論文の電子文書墨塗り技術を適用することにより、署名付き電子文書に対して墨塗りを施した状態でも署名検証が可能、かつ、墨塗り箇所以外は改変がないことを第三者証明することが可能となり、「一部の内容を隠した（墨塗りを施した）状態での第三証明」が可能になる。しかしながら、本論文の電子文書墨塗り技術では、オリジナル文書の作成者を保証しており、誰が墨塗りを行ったかまで明確に識別することができない。更に、利用シーンとして情報公開制度における電子文書墨塗り問題を取り挙げており、一部墨塗りした文書を複数のエンティティ間で流通させ、当該文書を更に利用することまで考慮されていない。

なお、他の技術として、電子透かし技術では、一定の規則性を満たす電子透かしを電子データ自体に埋め込み、一定の規則性が満たされているか否かを検証することで、電子データの改ざんの有無や改ざん位置を検出できる技術を提供しているが、画像情報の改ざんの有無や改ざん位置を検出するのみで、第三者に証明することまで考慮されていない。

一方でスキャナ装置を使ってスキャニング処理された画像情報や、ディジタルカメラやパーソナルコンピュータ等で生成された画像情報においても上述した電子文書と同様のことが言える。画像情報に対しても一部加工処理を施し、第三者へ提示する場合がある。例えば、情報公開法に基づき個人情報（名前や住所等）を墨塗り等で秘匿して（保護して）提示する場合や、電子カルテ（画像情報）等を複数病院間、医局間で共有する際、各病院、医師等にて電子化されたカルテ上で追記を行う場合がある。この際、「誰が、どの箇所に対して、どんな内容を記載したか」等について墨塗りや追記操作に対する責任範囲を明確にすることが求められる。加えて、これらの追加操作について第三者に証明することが求められる。

既述のように、2005年4月に施行されたe-文書法によって、従来の紙帳票等をスキャニング処理により一定のセキュリティ要件を満足しつつ電子署名付電子化データとして保存することが容認されたが、上記で示したような従来技術では、画像情報を含む全ての電子データに対して、「e-文書法＋情報公開法＋個人情報保護法」の3要件を同時に解決することができない。これは、例えば、e-文書法要件によって作成された電子署名付電子化データを情報公開法に基づき個人情報（名前や住所等）を秘匿（墨塗り等）して保護・提示する場合、秘匿箇所以外の原本性・完全性を担保できないことを意味する。

具体的には、墨塗り処理を施すのと同時に、墨塗り者、もしくは、悪意のある第三者が変更してはならない箇所に対して改ざん行為を行ったことを、個人情報（名前や住所等）を保護しつつ、改ざん行為の検出や改ざん位置の特定を行うことによって証明することができなかった。同時に、それらの部分についての操作事実を第三者に証明することができなかった。

つまり、従来技術の単独、もしくは、従来技術による組み合わせでは、以下の（Ａ）〜（Ｅ）の要件を満足することができなかった。
（Ａ）変更箇所とそれ以外の箇所が区別可能で、変更箇所以外は改変されていないことが証明可能である。
（Ｂ）変更者（墨塗り者や訂正者等）を特定・証明可能である。
（Ｃ）一部を秘匿しても、秘匿した箇所以外の部分が改変されていないことが証明可能である。
（Ｄ）一部を秘匿しても、秘匿していない部分の作成者が証明可能である。
（Ｅ）原本（第１版）からの履歴過程（いつ、誰が、どの箇所を、どのように）を証明可能である。

次に、電子画像情報に対するデータ圧縮方式のひとつであるJPEGに着目し、圧縮画像情報特有の課題について説明する。JPEG画像情報は不可逆方式の圧縮画像形式で、24ビット（1670万色）まで扱うことが可能である。このため多くの色数を必要とする写真等の表現に向いていると言われている。JPEG画像情報の圧縮では、明るさの変化に比べ、色調の変化には比較的鈍感であるという人間の目の特質を利用して、色調変化の部分のデータを切り捨てることで情報量の低下を図っている。また、JPEG画像情報は、原画像情報を同じ大きさの画素単位（例: 8×8画素）に区分して、これを一纏まりとしたブロックの集まりで構成されている。このようなブロック単位保持の特性から部分訂正や変更等の特定を行うには好都合のフォーマット構造であることが容易に推測できる。

しかしながら、ブロック区分をしてから符号化する過程において圧縮変換対象となるブロックは他のブロックからの影響を受け、あるブロックの変更が他のブロックまで波及するため、意図した結果が得られない状況に陥る。この問題は、「2005年 暗号と情報セキュリティシンポジウム（SCIS2005）」の論文「電子文書墨塗り技術の画像ファイルへの適用に関する一考察」でも指摘されている。本論文では特にJPEG圧縮画像フォーマットへの墨塗りを対象としており、当該ブロック単位で電子文書墨塗り技術（SUMI-4）を適用可能と示している。しかしながら、SUMI-4では、墨塗りブロックに対してハッシュ情報を埋め込むことで実現していることから、データ内容を解析しても、その箇所が画像情報なのか、ハッシュ情報なのか区別できないため、画像フォーマットには適さないという課題が残る。これは、画像情報、および、ハッシュ情報ともにバイナリ情報であることから発生する問題である。よって、SUMI-4をJPEG画像ファイルに適用することは困難であることが推測できる。

本発明は、上述した問題点を解決するためになされたものであり、登録される電子画像情報とは別に部分署名情報を生成して分割・保持し、電子画像情報（原本情報）と部分署名情報（検証情報）の持つ機能・役割を明確に分離することで、変更有無を検出、かつ、変更箇所（変更位置）を特定し、これらを第三者に証明可能とすることを目的とする。

上述した課題を解決するため、本発明は、電子画像情報の検証をコンピュータに実行させる電子画像データ検証プログラムであって、電子画像情報の部分的な情報を用いて、該電子画像情報に対する変更の有無と変更があった場合にその変更箇所を特定するための部分署名情報を生成する部分署名情報生成ステップと、
前記電子画像情報と該電子画像情報から生成された前記部分署名情報とを登録する登録ステップと、前記登録ステップにより登録された前記電子画像情報と部分署名情報を用いて前記電子画像情報に対する変更の有無、又は前記電子画像情報に対する変更があった場合にその変更箇所についての検証を行う検証ステップとをコンピュータに実行させる。

この電子画像データ検証プログラムにおいて、前記電子画像情報についての電子画像フォーマットを他の異なる電子画像フォーマットに変換する電子画像フォーマット変換ステップを備え、前記登録ステップでは、変換された電子画像フォーマットにより前記電子画像情報を登録することを特徴とする。

また、前記部分署名情報生成ステップは、前記電子画像情報の部分的な情報として、前記電子画像情報を前記電子画像フォーマット変換部により他の異なる電子画像フォーマットに変換する際の中間過程における中間情報を用いることを特徴とする。

また、前記中間情報は前記電子画像フォーマット変換過程において、前記電子画像情報の部分的な情報が他の部分からの影響を受けることが無い中間情報を用いることを特徴とする。

また、前記部分署名情報生成ステップは、前記電子画像情報の部分的な情報として、前記電子画像情報を複数のブロックに分割し、該ブロック毎に該ブロック毎の情報を用いて前記部分署名情報を生成することを特徴とする。

さらに、前記部分署名情報生成ステップは、前記電子画像情報の部分的な情報に任意情報を付加してこれら情報に基づいて部分署名情報を生成することを特徴とする。

また、前記部分署名情報生成ステップは、前記電子画像情報の部分的な情報に対しハッシュ関数を用いて前記部分署名情報を生成することを特徴とする。

さらに、前記部分署名情報生成ステップは、前記電子画像情報として、第１の電子画像情報と、該第１の電子画像情報と異なる第２の電子画像情報に対して部分署名情報を生成する際に、第２の電子画像情報における前記第１の電子画像情報と同一の部分には、前記第１の電子画像情報に対して付加された任意情報と同じ任意情報を付加して前記部分署名情報を生成する一方、変更が加えられている部分には、異なる任意情報を付加して前記部分署名情報を生成することを特徴とする。また、前記電子画像情報と前記部分署名情報に対してそれぞれ全体に作成者、ならびに、変更者の電子署名を付与し、前記登録ステップにて登録することを特徴とする。

また、本発明は、前記電子画像情報として、不可逆性圧縮方式、可逆圧縮方式、無圧縮方式の電子画像フォーマットのいずれかによる電子画像情報が用いられることを特徴とすることができる。

また、前記任意情報として乱数を用いることを特徴とすることができる。

また、本発明は、電子画像情報の部分的な情報を用いて、該電子画像情報に対する変更の有無と変更があった場合にその変更箇所を特定するための部分署名情報を生成する部分署名情報生成部と、前記電子画像情報と該電子画像情報から生成された前記部分署名情報とを登録する登録部と、前記電子画像情報と部分署名情報を用いて前記電子画像情報に対する変更の有無、又は前記電子画像情報に対する変更があった場合にその変更箇所についての検証を行う検証部とを備えることを特徴とする。

ここで、前記電子画像情報についての電子画像フォーマットを他の異なる電子画像フォーマットに変換する電子画像フォーマット変換部を備え、前記登録部は、変換された電子画像フォーマットにより前記電子画像情報を登録することを特徴とすることができる。

また、本発明は、電子画像データ検証システムで行われる電子画像データ検証方法であって、電子画像情報の部分的な情報を用いて、該電子画像情報に対する変更の有無と変更があった場合にその変更箇所を特定するための部分署名情報を生成する部分署名情報生成ステップと、前記電子画像情報と該電子画像情報から生成された前記部分署名情報とを登録する登録ステップと、前記登録ステップにより登録された前記電子画像情報と部分署名情報を用いて前記電子画像情報に対する変更の有無、又は前記電子画像情報に対する変更があった場合にその変更箇所についての検証を行う検証ステップとを備える。

本発明によれば、登録される電子画像情報に関する変更有無を検出することができると共に、変更箇所（変更位置）を特定することができ、これらを第三者に証明することができるという効果を奏する。

図１は、本発明の電子画像データ検証システムの原理図である。図１の電子画像データ検証システムは、解析部１、登録部２、生成部３、および検証部４を備える。

解析部１は、入力電子画像情報を解析処理し、部分署名情報の生成制御と検証制御を行い、電子画像情報を原本情報として登録した上で処理結果を出力する機能を提供する。解析部１は、入力電子画像情報と入力処理要求を取得する中枢手段であり、入力電子画像情報の状態（原画像情報／圧縮画像情報）と入力処理要求（符号化処理／復号処理／原画像処理／検証処理）を判別し、各処理要求に応じて符号化処理／復号処理／原画像処理、並びに検証処理を行う機能を提供する。

また、符号化処理と復号処理においては、対象となるブロックが他のブロックからの影響を受けることのないよう中間情報を用いて、部分署名情報の生成、付与を行うことで、変更箇所（変更位置）を明確に特定可能とする。

登録部２は、解析部１から入力として与えられる画像情報と部分署名情報を関連付けた形で原本情報として登録する機能を提供する。この画像情報と部分署名情報は、それぞれ作成者の電子署名とタイムスタンプが付与され、登録後、故意・過失による改ざんがなされないよう保護した形で管理される。電子署名とタイムスタンプを付与することで、作成者によって作られたその情報は作成時点から改変されていないことを事後証明することが可能となる。

また、この画像情報と部分署名情報は事後、裁判沙汰等になった場合、第三者証明が必要な時に証拠として提出することになる。この際、登録部２から必要な情報が取り出される。登録部２に登録されている画像情報の更新を行う際は、前回登録された画像情報（旧版）を残して新版として作成／登録し、当版数に対する部分署名情報の生成、関連付けが行われる。よって、登録部２にはすべての版数の画像情報と部分署名情報のペアが登録され、管理されることになる。

このような機能を有する登録部２を用いれば、必要に応じて適切な版数の状態の証明を第三者に行うことが可能になる。

生成部３は、画像情報を任意固定画素単位に区分されたブロック情報を入力情報として各ブロック単位の部分署名情報を生成する機能を提供する。生成部３が生成する部分署名情報は、画像情報に対する変更有無を検出、かつ、変更箇所（変更位置）を特定し、これらを第三者に証明可能とするために必要となる情報であり、どのブロック情報に対する部分署名情報かが明確に管理される。後に該当する画像情報と共に登録部２に登録され、関連付けられて管理される。

検証部４は、各版数の部分署名情報から、変更有無を検出、かつ変更箇所（変更位置）を特定・出力する機能を提供する。

このような電子画像データ検証システムによれば、従来技術の単独、もしくは、従来技術の組み合わせの発明と比べても、より明確に、より簡単に画像情報の変更有無を検出、かつ、変更箇所（変更位置）を特定し、これらを第三者に証明することが可能となる。

電子画像データ検証システムの構成の一例を図２に示す。図２に示す電子画像データ検証システム１０は、要求解析部２０、画像解析処理部３０、部分署名情報生成部４０、部分署名情報検証部５０、証明情報生成部６０、画像登録部７０、および、格納部８０を備える。

要求解析部２０は、利用者９０からの入力情報の受信、並びに利用者９０への出力情報の送信を行うと共に、データ処理のための種々の指令を司る中枢機能を有する。利用者９０からの処理依頼を受け付け、各処理に応じて画像解析処理部３０、部分署名情報検証部５０への処理割り振りを行い、結果を返す。

画像解析処理部３０は、要求解析部２０から入力電子画像情報（原画像情報／圧縮画像情報）と入力処理要求（符号化処理／復号処理／原画像処理／検証処理）を受け付け、各要求に応じた処理を実行する手段を提供する。画像解析処理部３０は、符号化処理部３１と、復号処理部３２と、原画像処理部３３の３つのサブ要素から構成される。

符号化処理部３１は、入力電子画像情報が原画像情報であり、かつ符号化処理要求である場合に呼び出される処理部であり、原画像情報の圧縮変換途中のブロック情報を入力として部分署名情報生成部４０を呼び出し、生成された部分署名情報を取得する。

取得した部分署名情報と変換済み圧縮画像情報は、証明情報生成部６０により電子署名とタイムスタンプが取得されて付与される。

これらの処理が完了後、部分署名情報及び変換済み圧縮画像情報は、画像登録部７０を経由して、格納部８０に一体化した形で管理される。また、格納の際、符号化途中のどの過程において部分署名情報を生成したかについての情報も一緒に管理される。後に出力として登録完了を示す保管証と処理結果が返される。この保管証は次回以降、当画像情報の更新（変更、墨塗り等）を行う際に一緒に渡される情報となり、格納部８０で管理されている画像情報の検索に利用される。

復号処理部３２は、入力電子画像情報が圧縮画像情報であり、かつ入力処理要求が復号処理要求である場合に呼び出される処理部であり、圧縮画像情報の逆変換途中にブロック情報を入力として部分署名情報生成部４０を呼び出し、部分署名情報を取得する。取得した部分署名情報と入力された圧縮画像情報は、証明情報生成部６０により電子署名とタイムスタンプが取得されて付与される。

これらの処理が完了後、部分署名情報と圧縮画像情報は、画像登録部７０を経由して、格納部８０に一体化した形で管理される。また、格納の際、復号途中のどの過程において部分署名情報を生成したかの情報も一緒に管理される。後に出力として登録完了を示す保管証と処理結果が返される。この保管証は次回以降、当画像情報の更新（変更、墨塗り等）を行う際に一緒に渡される情報となり、格納部８０で管理されている画像情報の検索に利用される。

原画像処理部３３は、入力電子画像情報が原画像情報であり、かつ入力処理要求が原画像処理要求である場合に呼び出される処理部である。現画像処理部３３は、部分署名情報生成部４０を呼び出し、原画像情報のブロック情報を該生成部４０に入力して部分署名情報を生成させ取得する。取得した部分署名情報と入力された原画像情報には、証明情報生成部６０から電子署名とタイムスタンプが取得されて付与される。

これらの処理が完了後、これら原画像情報画像及び部分署名情報は、画像登録部７０を経由して、格納部８０に一体化した形で管理される。また、格納の際、原画像情報から直接、部分署名情報を生成した旨（非圧縮処理）の情報も一緒に管理される。後に出力として登録完了を示す保管証と処理結果が返される。この保管証は次回以降、当画像情報の更新（変更、墨塗り等）を行う際に一緒に渡される情報となり、格納部８０で管理されている画像情報の検索に利用される。

部分署名情報生成部４０は、画像解析処理部３０の各処理部より部分署名情報生成依頼を受け付け、画像情報に対する部分署名情報の生成を行う。部分署名情報の生成時には、画像解析処理部３０から与えられたブロック情報を取得し、どのブロックに対する部分署名情報かを示す位置情報も一緒に記録する。同時に、各ブロックに対し乱数を含めた形で部分署名情報を生成する。ここでなぜ乱数を含めて部分署名情報を生成するかについては後述する。

部分署名情報検証部５０は、要求解析部２０より部分署名情報検証依頼を受け付け、画像情報に対する部分署名情報の検証を行う。

証明情報生成部６０は、画像解析処理部３０の各処理部より証明情報生成依頼を受け付け、第三者証明に必要な電子署名、タイムスタンプの情報を生成する。電子署名については、CA（第三者発行機関: Certificate Authority）、タイムスタンプについては、TA（時刻配信局: Time Authority）によりそれぞれ公的機関が発行したものを採用することで、当情報の信憑性、真実性を強化、厳密な第三者証明を行うことを可能とする。

画像登録部７０は、画像解析処理部３０の各処理部より登録依頼を受け付け、画像情報と部分署名情報を関連付け、格納部８０への登録処理を行う。

格納部８０は、画像登録部７０より格納依頼を受け付け、画像情報と部分署名情報を一体化した形で格納処理を行う。

以上の構成において、本実施の形態では、部分署名情報生成部４０、画像登録部７０、部分署名情報検証部５０は、それぞれ画像解析処理部３０と協働して本発明の部分署名情報生成部、登録部及び検証部をそれぞれ構成している。また、画像解析処理部３０は、本発明の電子画像フォーマット変換部を構成している。

以上までが本システムにおける各部の構成・役割である。以下より、利用シーンを想定した本システムの適用方法について述べる。本利用シーンでは、本システムが電子画像情報に対するデータ圧縮方式のひとつであるJPEG形式のフォーマットを扱う場面を想定し、説明する。

利用者が本システムを利用する場面として、電子画像を署名付き画像情報として記録・保存する場面が考えられる。また、記録・保存された署名付き電子画像情報は、事後、必要に応じて情報公開法に基づき第三者に提示する場合が考えられる。同時に、個人情報保護法適用の観点から、内容によっては個人情報（名前、住所、電話番号等）を秘匿（墨塗り等）した上で第三者に提示されなければならない。

この時、墨塗り箇所とそれ以外の箇所が区別でき、墨塗り箇所以外は改変されていないことの証明、オリジナル画像の作成者、墨塗り画像における墨塗り者の特定等、これら墨塗り操作に対する証拠性、証明性の確保が求められる。よって、利用者は事後、裁判沙汰等になった場合に証拠として提出できるよう記録を残す手段として、また、第三者に対して画像情報に対する証明を行う際に本システムを利用する。

本利用シーンの登場人物として、電子画像情報を本システムに登録する「作成担当者」と、作成担当者によって登録・保管された電子画像情報を本システムから取り出し、秘匿箇所に対して墨塗り処理し、再度、本システムに登録する「墨塗り担当者」、本システムに登録・保管されている電子画像情報に対して第三者証明を行うための「検証担当者」の３名が登場する。以上３名は以下のプロセスを行うものとする。

（作成）
作成担当者は、画像情報を入力として、本システムに登録を行う。この時、入力画像情報としてBMP形式の原画像情報を与え、JPEG形式のフォーマットに符号化処理を行うものとする。その他に作成処理では、JPEG形式の画像情報を与え、復号処理する手段と、BMP形式の画像情報を与え、そのままBMP形式の画像情報を解析する手段が存在するが、これら２つの手段については別途後述する。

（墨塗り）
情報公開法に基づき、個人情報の秘匿事由が発生すると、墨塗り担当者は、作成担当者が登録した画像情報中の個人情報箇所を墨塗り処理し、本システムに再度登録を行う。

（確認）
作成担当者／墨塗り担当者の各人において、自身が登録・保管した電子画像情報に対して内容の正当性確認を行う。この例では、墨塗り担当者が行うものとして説明する。

（検証）
墨塗り処理／登録完了後まもなく、検証担当者によって、墨塗り箇所の特定と、墨塗り箇所以外は変更がないことの確認、およびその検証を行う。

上記利用シーンにおいて、本システムでは作成担当者、墨塗り担当者、検証担当者に対して以下の４機能を提供する。

（Ａ）登録機能（画像情報の登録時に作成担当者が利用）
（Ｂ）更新機能（画像情報の墨塗り時に墨塗り担当者が利用）
（Ｃ）確認機能（画像情報の内容確認時に墨塗り担当者が利用）
（Ｄ）検証機能（画像情報の検証時に検証担当者が利用）

以下より、上記(Ａ)〜(Ｄ)の各事象における作用について説明する。

本利用シーンの事前条件として、利用者９０（作成担当者、墨塗り担当者、検証担当者）は本電子画像データ検証システム１０を利用できるよう利用者認証情報が事前登録されており、厳密なアクセス制御がなされていることを前提とする。本利用シーンでは、作成担当者、墨塗り担当者、検証担当者の各人が本システムにアクセス／ログインするところから始まる。

（Ａ）画像情報の登録時
図３は、登録処理のフローチャート図である。

（１）利用者９０（作成担当者）は、操作画面中の「画像登録（JPEG変換）」メニューを選択。登録するBMP形式の原画像情報を入力として指定し、確定すると、電子画像データ検証システム１０内の要求解析部２０に対して、画像登録依頼を発行する。

（２）電子画像データ検証システム１０内の要求解析部２０は、画像登録依頼を受信し（ステップST-R1）、画像解析処理部３０に対して登録依頼を発行する（ステップST-R2）。

（３）画像解析処理部３０は、符号化処理部３１に対して、符号化処理依頼を発行する（ステップST-R3）。

（４）符号化処理部３１は、符号化処理を実行（開始）する（ステップST-R4）。部分署名情報の生成を考慮した画像登録時の具体的な符号化処理方式については別途後述する。

（５）符号化処理部３１は、符号化処理実行中に部分署名情報生成部４０に対して、ブロック情報を入力として部分署名情報生成依頼を発行する（ステップST-R5）。

（６）部分署名情報生成部４０は、入力として与えられたブロック情報に対応するハッシュ情報を生成し部分署名情報生成処理を実行する（ステップST-R6）。図４は、部分署名情報の内容例を示した図である。例えば、画像情報を任意固定画素単位（例:8×8画素）に区分し、各ブロック情報に任意情報となる乱数を連結し、“ブロック情報+乱数”に対するハッシュ情報を生成する。図４では例えば、301ブロック目の生成結果として、“d8912c”というハッシュ情報が出力されている様子を示している。この時、301ブロック目の情報に対するハッシュ情報であるか確認できるよう格納されている様子がわかる。

以下、他のブロックについても同様の生成処理が行われる。この例では、１ブロック単位にハッシュ情報を生成・記録しているが、Block0300〜Block0304のように範囲指定で生成・記録してもよい。このように範囲指定で記録した場合は、その範囲のブロック内にて変更位置を特定することが可能となる。

また、本例では部分署名情報生成時に任意情報（乱数）を付加して生成しているが、必ずしも乱数を入れる必要性はない。ここで乱数を付加するのは、例えば、画像情報中のある２つのブロックに着目した時、それら２つのブロック情報が同一であった場合、部分署名情報も結果として同じになってしまうため、墨塗りをしても元情報が容易に推測され、漏えいする危険性がある。

しかしながら、画像情報の場合、1ブロックあたりのデータが十分大きいため、XML文書のように元情報を容易に推測することはできない。更に乱数を付加して部分署名情報を生成するとより安全性が向上する。なお、乱数を付加して生成するか／しないかは運用により選択することができる。部分署名情報生成完了後は、符号化処理部３１へ生成結果が返される（ステップST-R6）。この処理の実行終了後、ステップST-R6における符号化処理も終了する。

（７）符号化処理部３１は、部分署名情報生成部４０からの部分署名情報を取得し、証明情報生成部６０に対して証明情報生成依頼を発行する（ステップST-R7）。

（８）証明情報生成部６０は、第三者証明に必要な電子署名、タイムスタンプの情報を生成する。電子署名については、CA（第三者発行機関: Certificate Authority）、タイムスタンプについては、TA（時刻配信局: Time Authority）から発行したものになる。電子署名、タイムスタンプは取得後、符号化処理部３１へ生成結果として返される（ステップST-R8）。

（９）符号化処理部３１は、証明情報生成部６０から証明情報（電子署名、タイムスタンプ）を取得し、符号化されたJPEG画像情報と部分署名情報、ならびに、乱数情報に付与する。この時、電子署名については、作成担当者の署名が付与される。付与完了後、画像登録部７０へ登録／保管依頼を発行し、各情報は格納部８０に一体化した形で格納される（ステップST-R9）。

（１０）以上の処理が完了すれば、利用者９０（作成担当者）に対して、画像登録の完了を示す保管証と正常終了の旨を出力する。その後、利用者９０（作成担当者）は、ログアウトし、登録処理を正常終了する。異常が発生した場合は、その旨、利用者９０（作成担当者）にエラー通知し、異常終了する。

図５は、画像登録時の保管証の内容例を示している。当保管証は、預かり証として利用者９０にて管理され、次回以降、当画像情報の更新（変更、墨塗り等）を行う際に利用される。

図６は、登録時の格納状態のイメージを示しており、画像IDを検索タグとして各情報が関連付けられた形で管理されている様子を示している。部分署名情報生成時に任意情報として用いられた乱数は、部分署名生成情報として管理されている様子がわかる。

（Ｂ）画像情報の更新時
図７は、更新処理のフローチャート図である。

（１）利用者９０（墨塗り担当者）は、更新処理前に登録時に使用したBMP形式の画像情報を作成担当者から取得し、個人情報箇所に対して本システムとは別に用意された画像編集ツールを用いて秘匿（墨塗り）処理し、再度BMP形式の原画像情報として保存する。この例では本システムとは別に画像編集ツールを使って墨塗り処理を行うが、本システムにそのような仕組みが搭載されていてもよい。

図８は、墨塗りされた領収書を示しており、本原画像情報を本システムに再登録（更新）することとする。

（２）利用者９０（墨塗り担当者）は、作成担当者から、本システムへの登録完了時に取得した保管証を受け取る。このBMP形式の原画像情報や保管証は、権限のある者だけがアクセス可能なデータベースに格納され、共有されるのが望ましい。

（３）利用者９０（墨塗り担当者）は、画面中の「画像更新（JPEG変換）」メニューを選択する。更新済みBMP形式の原画像情報と保管証を入力として指定し、確定すると、電子画像データ検証システム１０内の要求解析部２０に対して、画像登録依頼を発行する。

（４）電子画像データ検証システム１０内の要求解析部２０は、画像更新依頼を受信し（ステップST-U1）、画像解析処理部３０に対して更新依頼を発行する（ステップST-U2）。

（５）画像解析処理部３０は、符号化処理部３１に対して、符号化処理依頼を発行する（ステップST-U3）。

（６）符号化処理部３１は、符号化処理の実行を開始する（ステップST-U4）、部分署名情報の生成を考慮した画像更新時の具体的な符号化処理方式については別途後述する。

（７）符号化処理部３１は、符号化処理実行中に部分署名情報生成部４０に対して、ブロック情報を入力として部分署名情報生成依頼を発行する（ステップST-U5）。

（８）部分署名情報生成部４０は、入力として与えられたブロック情報に対応するハッシュ情報を生成する（ステップST-U6）。図９は、画像更新時の部分署名情報の生成例／内容例を示した図である。以下の手順により部分署名情報が生成される。部分署名情報の生成は、１ブロック目から順に行われるものとし、この例では301ブロック目の生成例を示している。

まず、部分署名情報（１版）と乱数情報（１版）を画像登録部７０経由で格納部８０から取得する。乱数情報（１版）から301ブロック目の乱数（=39012）を取得する（ステップST-U6-1）。次に、301ブロック目の情報と乱数（=39012）を連結して、ハッシュ情報（=b18da）を生成する（ステップST-U6-2）。

次に、部分署名情報（１版）から301ブロック目のハッシュ情報（=d8912c）を取得し（ステップST-U6-3）、ステップST-U6-2で得たハッシュ情報（=b18da）と比較する（ステップST-U6-4）。ここで、ハッシュ情報が異なることを確認でき、これは１版の状態から変更が加えられたことを示している。よって、301ブロック目の新しい乱数情報（=58297）を生成し、301ブロック目の情報と乱数（=58297）を連結して、新しいハッシュ情報（=df5422）を生成する（ステップST-U6-5）。

最後に、生成結果として、部分署名情報（２版）の301ブロック目のハッシュ情報として“df5422”を記録し、同時に、乱数情報（２版）の301ブロック目の乱数情報として“58297”を記録する。つまり、変更のないブロックについては前版数と同一の乱数を用いる。また、この例の301ブロック目のように変更のあるブロックについては前回と異なる乱数を生成して加え、部分署名情報が生成される。これにより、変更のないブロックに対するハッシュ情報は前版数と同一になり、前版数から改変がないことを第三者に証明することが可能になる。

また、変更のあったブロックにおいても、そのブロックに対するハッシュ情報が異なるため、変更したことを確認でき、加えて、そのブロックは部分署名情報の全体の電子署名から墨塗り担当者が変更したことを第三者に証明することが可能になる。他のブロックについても同様の生成処理が行われる。生成完了後、符号化処理部３１へ生成結果が返される。ステップST-U6の処理の終了後ステップST-U4で開始された符号化処理も終了する。

（９）符号化処理部３１は、部分署名情報生成部４０からの部分署名情報を取得し、証明情報生成部６０に対して証明情報生成依頼を発行する（ステップST-U7）。

（１０）証明情報生成部６０は、第三者証明に必要な電子署名、タイムスタンプの情報を生成する。登録処理同様、電子署名については、CA（第三者発行機関: Certificate Authority）、タイムスタンプについては、TA（時刻配信局: Time Authority）から発行したものになる。取得後、符号化処理部３１へ生成結果が返される（ステップST-U8）。

（１１）符号化処理部３１は、証明情報生成部６０からの証明情報（電子署名、タイムスタンプ）を取得し、符号化されたJPEG画像情報と部分署名情報、ならびに、乱数情報に対して付与する。この時、電子署名については、墨塗り担当者の署名が付与される。符号化処理部３１は、付与完了後、画像登録部７０へ登録／保管依頼を発行する。

（１２）画像登録部７０は、入力として与えられた保管証をもとに格納部８０に対して該当する旧版画像情報の検索を実行する（ステップST-U9）。この時、保管証に格納されている画像IDを検索キーとして行われる。該当する画像情報が見つかれば、各情報は格納部８０に一体化した形で格納される（ステップST-U10）。この時、旧版の画像情報の上書きを行うのではなく、事後、各版数の第三者証明ができるよう全ての版数を残す形で格納される。

（１３）処理が正常終了すれば利用者９０（墨塗り担当者）に対して、画像更新の完了を示す保管証と、正常終了の旨を出力する。その後、利用者９０（墨塗り担当者）は、ログアウトし、更新処理を正常終了する。異常が発生した場合は、その旨、利用者９０（墨塗り担当者）にエラー通知し、異常終了する。

図１０は、画像更新時の保管証の内容例を示している。当保管証は、預かり証として利用者９０にて管理され、再度、当画像情報の更新（変更、墨塗り等）を行う際に利用される。

図１１は、更新時の格納状態のイメージを示しており、画像ID、版数を検索タグとして各情報が関連付けられた形で管理されている様子を示している。部分署名情報生成時に任意情報として用いた乱数は版数1.0同様、部分署名生成情報として管理されている様子がわかる。

（Ｃ）画像情報の確認時
図１２は、確認処理のフローチャート図である。

（１）利用者９０（墨塗り担当者）は、本システムへの更新完了時に取得した保管証を取得する。この保管証は権限のある者だけがアクセス可能なデータベースに格納され、共有されるのが望ましい。

（２）利用者９０（墨塗り担当者）は、画面中の「画像確認」メニューを選択すると、墨塗り担当者が取り扱い可能な（確認可能な）「対象画像一覧」が表示される。

（３）利用者９０（墨塗り担当者）が画面中の「対象画像一覧」より、検証する画像を選択し確定すると、電子画像データ検証システム１０内の要求解析部２０に対して、画像確認依頼が発行される。この時、該当する保管証も入力情報として渡される。

（４）電子画像データ検証システム１０内の要求解析部２０は、画像確認依頼を受信し、（ステップST-C1）、画像解析処理部３０に対して画像確認依頼を発行する（ステップST-C2）。

（５）画像解析処理部３０は、復号処理部３２に対して、復号処理依頼を発行する（ステップST-C3）。

（６）復号処理部３２は、画像登録部７０に対して画像取得依頼を発行する（ステップST-C4）。

（７）画像登録部７０は、入力として与えられた保管証に記載された情報をもとに、格納部８０から該当する画像情報と部分署名情報（乱数情報、生成時点情報）を検索・取り出し、画像解析処理部３０に返す（ステップST-C5）。この時、取得情報は、 (A) 墨塗り画像[２版]、(B) 部分署名情報[２版] （乱数情報[２版]、生成時点情報）となる。以上の取得情報を確認情報群と呼ぶ。また、生成時点情報とは符号化処理中、もしくは、復号処理中のどの過程で部分署名情報を生成したかを示す情報であり、詳しくは後述する。

（８）復号処理部３２は、画像登録部７０から取得した確認情報群に付与されている証明情報（電子署名、タイムスタンプ）の検証処理を実行し、登録後、確認情報群が改ざんされていない事を確認する（ステップST-C6）。

（９）証明情報検証が有効であることが確認できると、次に、復号処理部３２は画像情報の復号処理を実行する（ステップST-C7）。以下の手順を踏んで確認処理を実行する（ステップST-C8）。まず、ステップST-C5で取得した(A) 墨塗り画像[２版]を入力として、JPEG復号処理を行う。この復号処理実行中に部分署名情報生成部４０を呼び出し、部分署名情報を生成／取得する。

この時、部分署名情報の生成時に付加していた乱数は画像登録部７０から取得した乱数情報[２版]を用いて生成する。また、後述する符号化処理中のどの過程で部分署名情報を生成したかを示す生成時点情報も画像登録部７０から取得しているので利用し、生成方法に一貫性が保つよう処理される。このような部分署名情報の生成を考慮した画像確認時の具体的な復号処理方式については後述する。

次に、リアルタイムに生成／取得した部分署名情報と、画像登録部７０から取得した(B) 部分署名情報[２版]を用いて、全ブロックの比較を行い、画像全体の部分署名情報が一致することを確認する。つまり、この処理では、画像全体が、また、各ブロック情報が故意・過失により差し換っていないことを確認している。

図１３はその確認の様子を示した図である。復号処理部３２は、確認結果を要求解析部２０へ返す。要求解析部２０は利用者９０（墨塗り担当者）へ確認結果を出力する（ステップST-C9）。

以上の処理が正常に完了すればログアウトし、確認処理を正常終了する。異常が発生した場合は、その旨、利用者９０（墨塗り担当者）にエラー通知し異常終了する。

（Ｄ）画像情報の検証時
図１４は、検証処理のフローチャートである。

（１）利用者９０（検証担当者）は、墨塗り担当者から、本システムへの更新完了時に取得した保管証を受け取る。この保管証は権限のある者だけがアクセス可能なデータベースに格納され、共有されるのが望ましい。また、作成担当者から保管証を受け取ってもよい。その選択は、検証担当者がどの版数の検証を行いたいかによって区別すればよい。

（２）利用者９０（検証担当者）は、画面中の「画像検証」メニューを選択すると、検証担当者が取り扱い可能な（検証可能な）「対象画像一覧」が表示される。

（３）利用者９０（検証担当者）が画面中の「対象画像一覧」より、検証する画像を選択し確定すると、電子画像データ検証システム１０内の要求解析部２０に対して、画像検証依頼を発行する。この時、該当する保管証も入力情報として渡される。

（４）電子画像データ検証システム１０内の要求解析部２０は、画像検証依頼を受信し、（ステップST-V1）、部分署名情報検証部５０に対して画像検証依頼を発行する（ステップST-V2）。

（５）部分署名情報検証部５０は、画像登録部７０に対して画像取得依頼を発行する（ステップST-V3）。

（６）画像登録部７０は、入力として与えられた保管証に記載された情報をもとに、格納部８０から該当する画像情報と部分署名情報（乱数情報、生成時点情報）を検索・取り出し、部分署名情報検証部５０に返す（ステップST-V4）。この時、取得情報は、(A) 墨塗り画像[２版]、(B) 部分署名情報[２版] （乱数情報[２版]、生成時点情報）、(C) 部分署名情報[１版]となる。以上の取得情報を検証情報群と呼ぶ。同様に生成時点情報とは符号化処理中、もしくは、復号処理中のどの過程で部分署名情報を生成したかを示す情報であり、詳しくは後述する。

（７）部分署名情報検証部５０は、画像登録部７０から取得した検証情報群に付与されている証明情報（電子署名、タイムスタンプ）の検証処理を実行し、登録後、改ざんされていない事を確認する（ステップST-V5）。

（８）証明情報検証が有効であることが確認できると、次に、部分署名情報検証部５０は検証情報群の検証処理を実行する（ステップST-V6）。この時、以下の手順を踏んで検証処理を実行する。

まず、ステップST-V4で取得した (A) 墨塗り画像[２版]と乱数情報[２版]、生成時点情報を用いて画像全体の部分署名情報が一致することを確認する。この検証処理については、先に説明した確認処理中の復号処理のロジックに従うものとし、ここでは説明を割愛する。

次に、ステップST-V4で取得した (B) 部分署名情報[２版]と、(C) 部分署名情報[１版]を用いて、各情報を比較することで、どの箇所が墨塗り処理され、かつ、墨塗り箇所以外は変わっていないことを確認する。

図１５は、その検証の様子を示した図である。例えば、１ブロック目に関しては、１版、２版共にハッシュ情報が“a349db”で同一のため、変更がないことを確認できる（ステップST-V6-1）。また、303ブロック目に関しては、１版が“dcba87”で、２版が“6742ac”で異なり、１版から２版への更新時に変更されたことを検証することが可能になる（ステップST-V6-2）。他のブロックについても同様の比較で検証可能である。

（９）部分署名情報検証部５０は、検証結果を要求解析部２０へ返す。要求解析部２０は利用者９０（検証担当者）へ検証結果を出力する（ステップST-V7）。

図１６は、この検証結果から得られる検証結果出力画面の一例を示している。例えば、墨塗り箇所に対しては、オリジナル画像から変更が加えられているため、該当ブロックのハッシュ情報の違いからバツ印が付与される。また、墨塗り箇所以外については該当ブロックのハッシュ情報が一致するため、変更がないことを確認、バツ印は付与されない。

また、「何ブロック目に変更があり、その他のブロックは変更がない旨」を出力する方法もあるが、図１６で示したような画像表示アプリケーション等を用いて、ビュアー上で変更箇所を特定した方がよりわかりやすく実用的である。また、墨塗り処理に加えて、金額を変更するという不当処理があった場合には、図１７のような検証結果が得られる。この場合、明らかに不当行為があったことを容易に確認／第三者に証明することが可能になる。

（１０）以上の処理が正常に完了すればログアウトし、検証処理を正常終了する。異常が発生した場合は、その旨、利用者９０（検証担当者）にエラー通知し、異常終了する。

以上までが、JPEG符号化処理における作成担当者による登録機能、墨塗り担当者による更新機能、墨塗り担当者による確認機能、ならびに、検証担当者による検証機能について説明したものである。

次に、部分署名情報の生成を考慮した画像登録／更新時の具体的な符号化処理方式について説明する。図１８は、JPEG符号化プログラムの流れを示している。JPEGでは主に、以下のような手続きを踏んで情報量の削減を図っている。

（１）原画像（Bitmap）を任意固定画素（例:８×８画素）のブロックに区分する。
（２）RGB形式からYUV（YCrCb）方式へ変換する。
（３）上記ブロック単位でコサイン変換（CT: Cosine Transform）を用いて空間領域から周波数領域へ変換する。
（４）上記変換されたデータに対して量子化を行う。
（５）ハフマン符号化によるエントロピー圧縮を行う。

以上のようなJPEG符号化処理過程において、どの段階で部分署名情報を生成するかについて説明する。まず、JPEG画像は、原画像（Bitmap）から変換される過程で不可逆圧縮となるため（情報量が低下するため）、圧縮されたJPEG画像から元の原画像（Bitmap）へ完全に復元することができないという特性を持っている。この特性により、不可逆圧縮による影響を受けるのは、図１８に示すJPG-T1〜JPG-T4の過程であり、この過程のいずれかで部分署名情報を生成することは適さないことが言える。

つまり、符号化されたJPEG画像から復号処理を行い、JPG-T1〜JPG-T4時点で部分署名情報を生成しても、符号化処理時に得たJPG-T1〜JPG-T4の時点の部分署名情報とは異なるため、検証を正常に行うことができない。

本発明の実施の形態における最終目的は、個人情報等を墨塗り処理しても、墨塗り箇所の特定／墨塗り箇所以外の不変を検証することにあり、墨塗り画像の部分署名情報として再生成しても墨塗り箇所以外の部分署名情報はオリジナル画像の部分署名情報と同一の結果が得られなければならない。同一の結果が得られなければ正当な検証ができないどころか、変更箇所の特定すら実現することができない。

よって、毎回、同一結果を取得可能な過程において、一貫性を維持した状態で部分署名情報を生成することが望ましい。例えば、JPG-T1〜JPG-T2の段階での部分署名情報を生成しても、最小単位が8×8画素に影響するため、言い換えれば、１ビットでも変更されたら、そのブロック全体は変更されたことになり、不適当であり、実用的でない。先に述べたようにJPG-T1〜JPG-T4の過程では不可逆圧縮となるため、復号時に同様の結果を得ることができない。

JPG-T6の過程では、ハフマン符号化（エントロピー圧縮）により他のブロックの情報に影響を与えてしまうため、8×8画素単位での同様の結果が期待できない。更に、JPG-T6の段階では検証可能部分が大きくなってしまうため（例えば、画像情報の一列分等に相当）、8×8画素単位での実用的な検証を行うことができない。

よって、符号化処理に関しては、以上のような影響が受けないJPG-T5の段階で部分署名情報を生成するのが8×8画素単位で最も効率のよい方法であると言える。また、墨塗り画像に対する部分署名情報を生成する際も、オリジナル画像の部分署名情報生成時同様、JPG-T5で生成するよう一貫性を保つ必要がある。

このようにどの過程で部分署名情報を生成したかの情報（生成時点情報）も一緒に管理し、次回以降は、この生成時点情報を用いて生成することが望ましい。図１９は、画像登録時の格納状態のイメージを示している。部分署名生成情報に生成時点情報（JPEG符号化時にJPG-T5の時点で生成した旨）が追加されていることがわかる。

次に、部分署名情報の生成を考慮した画像登録／更新時の具体的な復号処理方式について説明する。図２０は、JPEG復号プログラムの流れを示している。

以上のようなJPEG復号処理過程において、どの段階で部分署名情報を生成するかについて説明する。まず、JPEG画像の復号処理は、基本的には符号化処理の逆手順によって行われていると考えてよい。JPEG復号処理の場合は、符号化処理とは対象的に情報量が低下することがないので、JPG-iT1〜JPG-iT6の時点で部分署名情報を生成しても毎回同様の結果が得られる。よって、JPG-iT1〜JPG-iT6の全過程のいずれかの時点で部分署名情報を生成することが可能である。

図２１は、符号化処理／復号処理における部分署名情報を生成可能な時点を示している。符号化処理、復号処理における部分署名情報の生成時点は、phase-1〜phase-4の計４段階あり、どの時点で生成してもよい。ただし、どの時点で部分署名情報を生成したかは、先に述べた生成時点情報で管理することとし、次回以降は、この生成時点情報を用いて生成することが望ましい。

phase-1は、符号化処理、復号処理において部分署名情報が生成できる共通の段階であり、この場合、JPEG符号化時にJPG-T5で部分署名情報を生成した場合は、次回以降、原画像（Bitmap）から符号化する場合、あるいは、JPEG画像を使って復号処理する場合は、phase-1（符号化時は、JPG-T5、復号時はJPG-iT2）で生成するよう制御を行う必要がある。

以上の説明では、JPEG符号化処理／復号処理における部分署名情報の生成について説明したが、JPEG以外の画像フォーマットにも同様に適用可能である。例えば、GIF画像についても同様に部分署名情報を生成し、変更箇所を特定、ならびに、変更箇所以外は改変されていないことを確認することが可能である。

GIF画像はJPEG画像と異なり、可逆圧縮により生成されるため、符号化処理／復号処理のどの過程で部分署名情報を生成するかといった選択問題は発生しない。よって、GIF画像についてはJPEG画像と比べると比較的容易に適用可能である。JPEG画像が、情報量を低下させることにより圧縮を図っていたのに対し、GIF画像では、主に情報を整理することで圧縮を図っている。

例えば、「101010」という情報や「111000」という情報がある場合、文字列の長さは共に6文字であるが、前者は「10が3回」、後者は「1が3回と0が3回」というデータに置き換えることができる。これはランレングスという手法であり、GIF画像では主にこのランレングス法による情報整理によって圧縮が行われている。

図２２は、GIF符号化プログラムの流れを示している。この場合、符号化されたGIF画像を逆順序により復号しても同様の原画像（Bitmap）が得られるため、GIF-T1〜GIF-T3の時点で部分署名情報を生成しても毎回同様の結果が得られる。よって、GIF-T1〜GIF-T3の全過程のいずれかの時点で部分署名情報を生成することが可能である。

また、無圧縮方式のデータ形式である原画像（Bitmap）についてもGIF画像同様の方法で適用可能である。原画像（Bitmap）の場合は無圧縮であるため、ランレングスは行われず、直接、ブロック区分（例:8×8画素）した情報に対して部分署名情報を生成する。この処理は、電子画像データ検証システム１０内の原画像処理部３３にて行われる。

以上、本発明の実施の形態における各動作を示すフローチャートをコンピュータに実行させる電子画像データ検証プログラムとして、コンピュータにより読取り可能な記録媒体に記憶させることによって、電子画像データ検証システムによる電子画像データ検証をコンピュータに実行させることが可能となる。なお、本発明において、上記コンピュータにより読取り可能な記録媒体は、ＣＤ−ＲＯＭやフレキシブルディスク、ＤＶＤディスク、光磁気ディスク、ＩＣカード等の可搬型記憶媒体や、コンピュータプログラムを保持するデータベース、或いは、他のコンピュータ並びにそのデータベースや、更に回線上の伝送媒体をも含むものである。

本発明の実施の形態によれば、従来技術、および、その単純な組み合わせでは不可能であった下記の要件を満足することが可能となる。更に、最も類似する従来技術と比べて、墨塗り（変更）画像の完全性、原本性を容易に実現することが可能となる。

（１）電子画像情報に対して変更箇所を特定、ならびに、変更箇所以外は改変されていないことを確認することが可能である
（２）変更者（墨塗り者や訂正者等）を特定することが可能である
（３）一部を秘匿しても、秘匿した箇所以外の部分が改変されていないことを確認することが可能である
（４）一部を秘匿しても、秘匿していない部分の作成者を特定することが可能である
（５）原本（第１版）からの最新版まで履歴過程（いつ、誰が、どの箇所を、どのように）を確認することが可能である
（６）本システム内に保存・管理されている全ての版数の電子画像を取り出さなくても、一部墨塗りされた状態や、一部の版のみを用いた第三者証明や流通を行うことが可能である。

（付記１）
電子画像情報の検証をコンピュータに実行させる電子画像データ検証プログラムであって、
電子画像情報の部分的な情報を用いて、該電子画像情報に対する変更の有無と変更があった場合にその変更箇所を特定するための部分署名情報を生成する部分署名情報生成ステップと、
前記電子画像情報と該電子画像情報から生成された前記部分署名情報とを登録する登録ステップと、
前記登録ステップにより登録された前記電子画像情報と部分署名情報を用いて前記電子画像情報に対する変更の有無、又は前記電子画像情報に対する変更があった場合にその変更箇所についての検証を行う検証ステップと
をコンピュータに実行させる電子画像データ検証プログラム。
（付記２）
付記１に記載の電子画像データ検証プログラムにおいて、
前記電子画像情報についての電子画像フォーマットを他の異なる電子画像フォーマットに変換する電子画像フォーマット変換ステップを備え、
前記登録ステップでは、変換された電子画像フォーマットにより前記電子画像情報を登録することを特徴とする電子画像データ検証プログラム。
（付記３）
付記２に記載の電子画像データ検証プログラムにおいて、
前記部分署名情報生成ステップは、前記電子画像情報の部分的な情報として、前記電子画像情報を前記電子画像フォーマット変換部により他の異なる電子画像フォーマットに変換する際の中間過程における中間情報を用いることを特徴とする電子画像データ検証プログラム。
（付記４）
付記３に記載の電子画像データ検証プログラムにおいて、
前記中間情報は前記電子画像フォーマット変換過程において、前記電子画像情報の部分的な情報が他の部分からの影響を受けることが無い中間情報を用いることを特徴とする電子画像データ検証プログラム。
（付記５）
付記１に記載の電子画像データ検証プログラムにおいて、
前記部分署名情報生成ステップは、前記電子画像情報の部分的な情報として、前記電子画像情報を複数のブロックに分割し、該ブロック毎に該ブロック毎の情報を用いて前記部分署名情報を生成することを特徴とする電子画像データ検証プログラム。
（付記６）
付記１に記載の電子画像データ検証プログラムにおいて、
前記部分署名情報生成ステップは、前記電子画像情報の部分的な情報に任意情報を付加してこれら情報に基づいて部分署名情報を生成することを特徴とする電子画像データ検証プログラム。
（付記７）
付記１に記載の電子画像データ検証プログラムにおいて、
前記部分署名情報生成ステップは、前記電子画像情報の部分的な情報に対しハッシュ関数を用いて前記部分署名情報を生成することを特徴とする電子画像データ検証プログラム。
（付記８）
付記６に記載の電子画像データ検証プログラムにおいて、
前記部分署名情報生成ステップは、前記電子画像情報として、第１の電子画像情報と、該第１の電子画像情報と異なる第２の電子画像情報に対して部分署名情報を生成する際に、第２の電子画像情報における前記第１の電子画像情報と同一の部分には、前記第１の電子画像情報に対して付加された任意情報と同じ任意情報を付加して前記部分署名情報を生成する一方、変更が加えられている部分には、異なる任意情報を付加して前記部分署名情報を生成することを特徴とする電子画像データ検証プログラム。
（付記９）
請求項１に記載の電子画像データ検証プログラムにおいて、
前記電子画像情報と前記部分署名情報に対してそれぞれ全体に作成者、ならびに、変更者の電子署名を付与し、前記登録ステップにて登録することを特徴とする電子画像データ検証プログラム。
（付記１０）
付記１に記載の電子画像データ検証プログラムにおいて、
前記電子画像情報として、不可逆性圧縮方式、可逆圧縮方式、無圧縮方式の電子画像フォーマットのいずれかによる電子画像情報が用いられることを特徴とする電子画像データ検証プログラム。
（付記１１）
付記６に記載の電子画像データ検証プログラムにおいて、
前記任意情報として乱数を用いることを特徴とする電子画像データ検証プログラム。
（付記１２）
電子画像情報の部分的な情報を用いて、該電子画像情報に対する変更の有無と変更があった場合にその変更箇所を特定するための部分署名情報を生成する部分署名情報生成部と、
前記電子画像情報と該電子画像情報から生成された前記部分署名情報とを登録する登録部と、
前記電子画像情報と部分署名情報を用いて前記電子画像情報に対する変更の有無、又は前記電子画像情報に対する変更があった場合にその変更箇所についての検証を行う検証部とを備えることを特徴とする電子画像データ検証システム。
（付記１３）
付記１２に記載の電子画像データ検証システムにおいて、
前記電子画像情報についての電子画像フォーマットを他の異なる電子画像フォーマットに変換する電子画像フォーマット変換部を備え、
前記登録部は、変換された電子画像フォーマットにより前記電子画像情報を登録することを特徴とする電子画像データ検証システム。
（付記１４）
付記１３に記載の電子画像データ検証システムにおいて、
前記部分署名情報生成部は、前記電子画像情報の部分的な情報として、前記電子画像情報を前記電子画像フォーマット変換部により他の異なる電子画像フォーマットに変換する際の中間過程における中間情報を用いることを特徴とする電子画像データ検証システム。
（付記１５）
付記１４に記載の電子画像データ検証システムにおいて、
前記中間情報は前記電子画像フォーマット変換過程において、前記電子画像情報の部分的な情報が他の部分からの影響を受けることが無い中間情報を用いることを特徴とする電子画像データ検証システム。
（付記１６）
付記１２に記載の電子画像データ検証システムにおいて、
前記部分署名情報生成部は、前記電子画像情報の部分的な情報として、前記電子画像情報を複数のブロックに分割し、該ブロック毎に該ブロック毎の情報を用いて前記部分署名情報を生成することを特徴とする電子画像データ検証システム。
（付記１７）
付記１２に記載の電子画像データ検証システムにおいて、
前記部分署名情報生成部は、前記電子画像情報の部分的な情報に任意情報を付加してこれら情報に基づいて部分署名情報を生成することを特徴とする電子画像データ検証システム。
（付記１８）
付記１２に記載の電子画像データ検証システムにおいて、
前記部分署名情報生成部は、前記電子画像情報の部分的な情報に対しハッシュ関数を用いて前記部分署名情報を生成することを特徴とする電子画像データ検証システム。
（付記１９）
付記１７に記載の電子画像データ検証システムにおいて、
前記部分署名情報生成部は、前記電子画像情報として、オリジナルの電子画像情報と、該オリジナルの電子画像情報に対して部分的な変更処理を行った否オリジナルの電子画像情報に対して部分署名情報を生成する際に、変更が加えられていない部分には、前記オリジナルの電子画像情報に対して付加された任意情報と同じ任意情報を付加して前記部分署名情報を生成する一方、変更が加えられている部分には、異なる任意情報を付加して前記部分署名情報を生成することを特徴とする電子画像データ検証システム。
（付記２０）
請求項１２に記載の電子画像データ検証システムにおいて、
前記登録部は、前記電子画像情報と前記部分署名情報に対してそれぞれ全体に作成者、ならびに、変更者の電子署名を付与した後登録することを特徴とする電子画像データ検証システム。
（付記２１）
電子画像データ検証システムで行われる電子画像データ検証方法であって、
電子画像情報の部分的な情報を用いて、該電子画像情報に対する変更の有無と変更があった場合にその変更箇所を特定するための部分署名情報を生成する部分署名情報生成ステップと、
前記電子画像情報と該電子画像情報から生成された前記部分署名情報とを登録する登録ステップと、
前記登録ステップにより登録された前記電子画像情報と部分署名情報を用いて前記電子画像情報に対する変更の有無、又は前記電子画像情報に対する変更があった場合にその変更箇所についての検証を行う検証ステップと
を備える電子画像データ検証方法。
（付記２２）
付記１９に記載の電子画像データ検証方法において、
前記部分署名情報生成ステップは、前記電子画像情報の部分的な情報として、前記電子画像情報を複数のブロックに分割し、該ブロック毎に該ブロック毎の情報を用いて前記部分署名情報を生成することを特徴とする電子画像データ検証方法。

本発明の基本構成を示すブロック図である。 実施の形態における電子画像データ検証システムの構成を示すブロック図である。 登録処理のフローチャートである。 画像登録時の部分署名情報の生成例／内容例を示す図である。 画像登録時の保管証の内容例を示す図である。 登録時の格納状態のイメージ（その１）を示す図である。 更新処理の動作を示すフローチャートである。 墨塗り済み領収書例を示す図である。 画像更新時の部分署名情報の生成例及び内容例を示す図である。 画像更新時の保管証の内容例を示す図である。 更新時の格納状態イメージを示す図である。 確認処理のフローチャートである。 墨塗り画像と部分署名情報を用いた確認例を示す図である。 検証処理のフローチャートである。 新旧の部分署名情報を用いた比較及び検証例を示す図である。 検証結果出力画面の一例を示す図である。 墨塗り処理と不当処理における検証結果出力画面の一例を示す図である。 ＪＰＥＧ符号化プログラムの流れを示す図である。 登録時の格納状態イメージ（その２）を示す図である。 ＪＰＥＧ復号プログラムの流れを示す図である。 ＪＰＥＧ符号化及び復号処理時の部分署名情報の生成時点を示す図である。 ＧＩＦ符号化プログラムの流れを示す図である。

符号の説明

１ 解析部、２ 登録部、３ 生成部、４ 検証部、１０ 電子画像データ検証システム、２０ 要求解析部、３０ 画像解析処理部、３１ 符号化処理部、３２ 復号処理部、３３ 原画像処理部、４０ 部分署名情報生成部、５０ 部分署名情報検証部、６０ 証明情報生成部、７０ 画像登録部、８０ 格納部 、９０ 利用者。

Claims (7)

1. 電子画像情報の検証をコンピュータに実行させる電子画像データ検証プログラムであって、
   電子画像情報の部分的な情報を用いて、該電子画像情報に対する変更の有無と変更があった場合にその変更箇所を特定するための部分署名情報を生成する部分署名情報生成ステップと、
   前記電子画像情報と該電子画像情報から生成された前記部分署名情報とを登録する登録ステップと、
   前記登録ステップにより登録された前記電子画像情報と部分署名情報を用いて前記電子画像情報に対する変更の有無、又は前記電子画像情報に対する変更があった場合にその変更箇所についての検証を行う検証ステップと
   をコンピュータに実行させ、
   前記部分署名情報生成ステップは、電子画像情報として、第１の電子画像情報を取得し、該第１の電子画像情報に基づいた部分署名情報である第１の部分署名情報を生成し、前記第１の電子画像情報に対してユーザによって変更された電子画像情報である第２の電子画像情報を取得し、該第２の電子画像情報に基づいた部分署名情報である第２の部分署名情報を生成し、
   前記登録ステップは、前記第１の電子画像情報と前記第１の部分署名情報に対して全体に作成者の電子署名を付与し、前記第２の電子画像情報と前記第２の部分署名情報に対して全体に変更者の電子署名を付与した後登録し、
   前記検証ステップは、さらに、前記第１の部分署名情報と前記第２の部分署名情報とを比較することで、前記第１の電子画像情報から前記第２の電子画像情報への変更箇所を特定し、前記第２の電子画像情報の前記変更箇所に、該変更箇所と他の箇所とでは表示が異なっているとユーザが視認できる情報を付した電子画像情報を表示する
   電子画像データ検証プログラム。
2. 請求項１に記載の電子画像データ検証プログラムにおいて、
   前記電子画像情報についての電子画像フォーマットを他の異なる電子画像フォーマットに変換する電子画像フォーマット変換ステップを備え、
   前記登録ステップでは、変換された電子画像フォーマットにより前記電子画像情報を登録することを特徴とする電子画像データ検証プログラム。
3. 請求項２に記載の電子画像データ検証プログラムにおいて、
   前記部分署名情報生成ステップは、前記電子画像情報の部分的な情報として、前記電子画像情報を前記電子画像フォーマット変換部により他の異なる電子画像フォーマットに変換する際の中間過程における中間情報を用いることを特徴とする電子画像データ検証プログラム。
4. 請求項３に記載の電子画像データ検証プログラムにおいて、
   前記中間情報は前記電子画像フォーマット変換過程において、前記電子画像情報の部分的な情報が他の部分からの影響を受けることが無い中間情報を用いることを特徴とする電子画像データ検証プログラム。
5. 請求項１に記載の電子画像データ検証プログラムにおいて、
   前記部分署名情報生成ステップは、前記電子画像情報の部分的な情報として、前記電子画像情報を複数のブロックに分割し、該ブロック毎に該ブロック毎の情報を用いて前記部分署名情報を生成することを特徴とする電子画像データ検証プログラム。
6. 請求項１に記載の電子画像データ検証プログラムにおいて、
   前記部分署名情報生成ステップは、前記電子画像情報の部分的な情報に任意情報を付加してこれら情報に基づいて部分署名情報を生成することを特徴とする電子画像データ検証プログラム。
7. 請求項１に記載の電子画像データ検証プログラムにおいて、
   前記部分署名情報生成ステップは、前記電子画像情報の部分的な情報に対しハッシュ関数を用いて前記部分署名情報を生成することを特徴とする電子画像データ検証プログラム。

Images