特開 2024-132402 処理装置、データ管理方法、およびデータ管理プログラム

(19)【発行国】日本国特許庁(JP)

(12)【公報種別】公開特許公報(A)

(11)【公開番号】P2024132402

(43)【公開日】2024-10-01

(54)【発明の名称】処理装置、データ管理方法、およびデータ管理プログラム

(51)【国際特許分類】

   G06F 21/64 20130101AFI20240920BHJP

   G06F 21/62 20130101ALI20240920BHJP

【ＦＩ】

G06F21/64

G06F21/62 309

【審査請求】未請求

【請求項の数】8

【出願形態】ＯＬ

(21)【出願番号】P 2023043144

(22)【出願日】2023-03-17

【国等の委託研究の成果に係る記載事項】（出願人による申告）令和元年度、国立研究開発法人海上・港湾・航空技術研究所、戦略的イノベ－ション創造プログラム「スマート物流サービス」「物流・商流データ基盤に関する技術（要素基礎技術）」委託研究、産業技術力強化法第１７条の適用を受ける特許出願

(71)【出願人】

【識別番号】000005223

【氏名又は名称】富士通株式会社

(74)【代理人】

【識別番号】100104190

【弁理士】

【氏名又は名称】酒井 昭徳

(72)【発明者】

【氏名】久野 真佑花

(72)【発明者】

【氏名】段林 重之

(72)【発明者】

【氏名】岡田 隼人

(72)【発明者】

【氏名】菅原 久嗣

(72)【発明者】

【氏名】野原 誠

(72)【発明者】

【氏名】川崎 政和

(57)【要約】

【課題】データ基盤システムにおけるデータの改ざんを検知すること。
【解決手段】処理装置１０１は、システム１００外からデータ１１１を受け付けた場合、データ１１１に対応する第１のＩＤ１２０と対応付けて、処理対象データ１１２から生成した第１のハッシュ値１１３を共用記憶領域１１０に格納する。また、処理装置１０１は、処理対象データ１１２（データ１１１を加工したデータ）を第１のＩＤ１２０と対応付けて、自装置内に格納する。処理装置１０１は、システム１００外に自装置内の第１のＩＤ１２０に対応するデータ１１２？を出力する際に、データ１１２？から生成した第２のハッシュ値１１４を取得し、共用記憶領域１１０から第１のＩＤ１２０に対応する第１のハッシュ値１１３を取得する。処理装置１０１は、第１のハッシュ値１１３と第２のハッシュ値１１４が一致しない場合、第１のＩＤ１２０に対応するデータ１１２？の改ざんを検知する。
【選択図】図１

【特許請求の範囲】

【請求項1】

１以上の処理装置を含むシステム内の処理装置であって、
前記システム外または前記システム内の他の処理装置からデータを受け付けた場合、受け付けた前記データに対応する第１のＩＤと対応付けて、前記データまたは当該データを加工した加工後のデータのいずれかのデータから生成した第１のハッシュ値を、前記１以上の処理装置からアクセス可能な共用記憶領域に格納し、
前記いずれかのデータを前記第１のＩＤと対応付けて、自装置内に格納し、
前記システム外または前記システム内の他の処理装置に、自装置内の前記第１のＩＤに対応するデータを出力する際に、当該データから生成した第２のハッシュ値を取得し、
前記共用記憶領域から前記第１のＩＤに対応する前記第１のハッシュ値を取得し、
取得した前記第１のハッシュ値と前記第２のハッシュ値とが一致しない場合に、自装置内の前記第１のＩＤに対応するデータの改ざんを検知する、
制御部を有することを特徴とする処理装置。

【請求項2】

前記制御部は、
前記第１のＩＤに対応するデータの改ざんを検知した場合、前記システムの管理者に対して、前記第１のＩＤを含む改ざん検知通知を出力する、ことを特徴とする請求項１に記載の処理装置。

【請求項3】

前記制御部は、
前記第１のＩＤに対応するデータの改ざんを検知した場合、前記システム外または前記システム内の他の処理装置に対する、自装置内の前記第１のＩＤに対応するデータの出力を停止する、ことを特徴とする請求項１に記載の処理装置。

【請求項4】

前記制御部は、
取得した前記第１のハッシュ値と前記第２のハッシュ値とが一致する場合、前記システム外または前記システム内の他の処理装置に、自装置内の前記第１のＩＤに対応するデータを出力する、ことを特徴とする請求項１～３のいずれか一つに記載の処理装置。

【請求項5】

前記制御部は、
前記共用記憶領域に前記第１のハッシュ値を格納する際に、前記第１のＩＤと対応付けて、さらに、受け付けた前記データの提供元を表す情報を格納する、ことを特徴とする請求項２に記載の処理装置。

【請求項6】

前記制御部は、
前記共用記憶領域に前記第１のハッシュ値を格納する際に、前記第１のＩＤと対応付けて、さらに、受け付けた前記データに関する業務を表す情報を格納する、ことを特徴とする請求項２に記載の処理装置。

【請求項7】

１以上の処理装置を含むシステム内の処理装置が、
前記システム外または前記システム内の他の処理装置からデータを受け付けた場合、受け付けた前記データに対応する第１のＩＤと対応付けて、前記データまたは当該データを加工した加工後のデータのいずれかのデータから生成した第１のハッシュ値を、前記１以上の処理装置からアクセス可能な共用記憶領域に格納し、
前記いずれかのデータを前記第１のＩＤと対応付けて、自装置内に格納し、
前記システム外または前記システム内の他の処理装置に、自装置内の前記第１のＩＤに対応するデータを出力する際に、当該データから生成した第２のハッシュ値を取得し、
前記共用記憶領域から前記第１のＩＤに対応する前記第１のハッシュ値を取得し、
取得した前記第１のハッシュ値と前記第２のハッシュ値とが一致しない場合に、自装置内の前記第１のＩＤに対応するデータの改ざんを検知する、
処理を実行することを特徴とするデータ管理方法。

【請求項8】

１以上の処理装置を含むシステム内の処理装置に、
前記システム外または前記システム内の他の処理装置からデータを受け付けた場合、受け付けた前記データに対応する第１のＩＤと対応付けて、前記データまたは当該データを加工した加工後のデータのいずれかのデータから生成した第１のハッシュ値を、前記１以上の処理装置からアクセス可能な共用記憶領域に格納し、
前記いずれかのデータを前記第１のＩＤと対応付けて、自装置内に格納し、
前記システム外または前記システム内の他の処理装置に、自装置内の前記第１のＩＤに対応するデータを出力する際に、当該データから生成した第２のハッシュ値を取得し、
前記共用記憶領域から前記第１のＩＤに対応する前記第１のハッシュ値を取得し、
取得した前記第１のハッシュ値と前記第２のハッシュ値とが一致しない場合に、自装置内の前記第１のＩＤに対応するデータの改ざんを検知する、
処理を実行させることを特徴とするデータ管理プログラム。

【発明の詳細な説明】

【技術分野】

【0001】

本発明は、処理装置、データ管理方法、およびデータ管理プログラムに関する。

【背景技術】

【0002】

近年、サプライチェーンにおける商流情報や物流情報などを産業界全体で共有して利用するデータ基盤の研究・開発が進められている。データ基盤は、例えば、ＥＤＩ（Ｅｌｅｃｔｒｏｎｉｃ Ｄａｔａ Ｉｎｔｅｒｃｈａｎｇｅ）伝票などのデータを収集し、統合・活用するためのシステムであり、業界の事業者間で共有して利用される。このため、データ基盤として、より安心・安全なシステムの構築が求められる。

【0003】

先行技術としては、ＥＤＩシステムにおける中継装置が、クラウドサーバ上のＥＤＩアプリケーションの同一性を監査するものがある。ＥＤＩアプリケーションは、クラウドサーバ上に実装された業務アプリケーションで生成された業務データを中継装置に送信するとともに、送信した業務データをＥＤＩアプリケーション内に保存するよう構成される。

【0004】

また、ＥＤＩシステムにおいて、電子取引データを、フォーマット変換処理を行う際、電子取引データにおける不正データを検出した場合、不正データをフォーマット変換処理の対象から取り除く技術がある。また、ＥＤＩシステムに入力時の伝票枚数および伝票明細行数と、ＥＤＩシステム内でフォーマット変換や業務処理を経た結果である出力時の伝票枚数および伝票明細行数とをシステムで比較確認し、データの欠落や不正な増加を検出する技術がある。

【先行技術文献】

【特許文献】

【0005】

【特許文献1】特開２０２２－１０８０９９号公報

【特許文献2】特開２００９－２１７７６３号公報

【特許文献3】特開２００９－１６９７９２号公報

【発明の概要】

【発明が解決しようとする課題】

【0006】

しかしながら、従来技術では、入力されたデータが内部で加工されて出力されるようなデータ基盤システムにおけるデータの改ざんを検知することが難しい。

【0007】

一つの側面では、本発明は、データ基盤システムにおけるデータの改ざんを検知することを目的とする。

【課題を解決するための手段】

【0008】

１つの実施態様では、１以上の処理装置を含むシステム内の処理装置であって、前記システム外または前記システム内の他の処理装置からデータを受け付けた場合、受け付けた前記データに対応する第１のＩＤと対応付けて、前記データまたは当該データを加工した加工後のデータのいずれかのデータから生成した第１のハッシュ値を、前記１以上の処理装置からアクセス可能な共用記憶領域に格納し、前記いずれかのデータを前記第１のＩＤと対応付けて、自装置内に格納し、前記システム外または前記システム内の他の処理装置に、自装置内の前記第１のＩＤに対応するデータを出力する際に、当該データから生成した第２のハッシュ値を取得し、前記共用記憶領域から前記第１のＩＤに対応する前記第１のハッシュ値を取得し、取得した前記第１のハッシュ値と前記第２のハッシュ値とが一致しない場合に、前記第１のＩＤに対応するデータの改ざんを検知する、処理装置が提供される。

【発明の効果】

【0009】

本発明の一側面によれば、データ基盤システムにおけるデータの改ざんを検知することができるという効果を奏する。

【図面の簡単な説明】

【0010】

【図1】図１は、実施の形態にかかるデータ管理方法の一実施例を示す説明図である。

【図2】図２は、データ基盤システム２００のシステム構成例を示す説明図である。

【図3】図３は、データ処理サーバＳｉのハードウェア構成例を示すブロック図である。

【図4】図４は、変更管理ＤＢ２２０の記憶内容の一例を示す説明図である。

【図5】図５は、データ処理サーバＳｉの機能的構成例を示すブロック図である。

【図6】図６は、データ基盤システム２００の第１の動作例を示す説明図である。

【図7】図７は、変更管理ＤＢ２２０の更新例を示す説明図である。

【図8】図８は、データ基盤システム２００の第２の動作例を示す説明図である。

【図9A】図９Ａは、変換前のデータの具体例を示す説明図である。

【図9B】図９Ｂは、変換後のデータの具体例を示す説明図である。

【図10】図１０は、データの復旧例を示す説明図である。

【図11】図１１は、データ処理サーバＳｉの第１のデータ管理処理手順の一例を示すフローチャートである。

【図12】図１２は、データ処理サーバＳｉの第２のデータ管理処理手順の一例を示すフローチャートである。

【発明を実施するための形態】

【0011】

以下に図面を参照して、本発明にかかる処理装置、データ管理方法、およびデータ管理プログラムの実施の形態を詳細に説明する。

【0012】

（実施の形態）
図１は、実施の形態にかかるデータ管理方法の一実施例を示す説明図である。図１において、処理装置１０１は、データを処理するコンピュータである。処理装置１０１は、１以上の処理装置１０１を含むシステム１００内のいずれかの処理装置である。図１では、システム１００内の処理装置１０１を１台のみ表示している。

【0013】

データ基盤システムは、複数の事業者で共有して利用されるため、従来のプラットフォーム以上の安心・安全が求められる。しかしながら、データ基盤システムにおけるデータ改ざんを防止するためには、従来のネットワークセキュリティや認証・認可による不正アクセスの防御では不十分である。

【0014】

例えば、悪意のあるユーザ（内部犯）がシステム管理者の認証情報を入手してセキュリティを突破し、データ基盤システムのファイルシステム上の伝票データを改ざんしたとする。伝票データは、例えば、データ基盤システムに発注者が登録した、ある商品の発注数などを示す情報である。

【0015】

このような場合、従来の不正アクセスに対する防御では、データの改ざんを検知できないため、改ざんされた伝票データで取引が行われてしまう。例えば、伝票データにおける商品の発注数が「１００個」から「１０００個」に改ざんされていても、受注者やシステム管理者は、その改ざんに気付くことができない。

【0016】

ここで、ファイルシステムからのデータの出力時に、入力前のデータと比較することで、データの改ざんの有無を判断することが考えられる。しかし、データ利活用システムにおけるデータ基盤には、例えば、データ連携、データレイク、データベースなどの様々な役割に応じた複数のサーバが含まれる場合がある。

【0017】

データは、各サーバに一旦蓄積され、サーバ間で連携される。サーバ間でのデータ連携は、例えば、各サーバのＥＴＬを介して行われる。ＥＴＬは、Ｅｘｔｒａｃｔ（抽出）、Ｔｒａｎｓｆｏｒｍ（変換）、Ｌｏａｄ（格納）の機能を有するデータ連携ツールである。例えば、データは、ＥＴＬにより変換されて次のサーバに送信される。

【0018】

ＥＴＬによるデータ変換としては、例えば、発注元システム独自のレイアウトのデータを発注先システムに適合するように変換するものがある。また、発注元システムにない項目が発注先システムに含まれる場合に、発注元システムの項目（例えば、商品数量、単価）の値から、発注先システムの項目（例えば、商品数量×単価）の値が生成される場合がある。

【0019】

このため、データ基盤システムへの入力時のデータとデータ基盤システムからの出力時のデータとの単純な比較では、ＥＴＬによる変換なのか、悪意のあるユーザによる改ざんなのかを判別することができない。したがって、データ基盤システム内のサーバ間を経由する際にデータが変換されても、データの改ざんを検知可能な仕組みが求められる。

【0020】

また、データ基盤システム内の各サーバにおけるデータ蓄積前後で、データの比較／照合を実施することも考えられる。データは、例えば、各サーバに入力されたデータ、または、当該データを変換した変換後のデータである。例えば、サーバは、データが入力されると、そのデータをテンポラリなどに蓄積するとともに、比較／照合用にデータのコピーを保存する。そして、サーバは、蓄積したデータを他のサーバに出力する際に、比較／照合用に保存したデータと比較して、データの改ざんの有無を判断する。

【0021】

しかしながら、各サーバでデータの比較をすることで、データ利用者にデータ出力できるまでの処理時間に影響を及ぼすおそれがある。例えば、各サーバに次々とデータが入力されると、大量のデータのコピーを比較／照合用に自サーバ内に保存したり、大量のデータの比較をしたりすることになり、データ出力までの性能が低下するという問題がある。

【0022】

また、システム管理者は、異常発生個所を把握することはできても、データの由来（データ提供者、入力データなど）を追跡できないため、データ復旧が困難なものとなる。例えば、システム管理者は、各サーバのログを収集し、膨大なログからサーバ間のデータ授受を調査してデータ提供元を特定することになり手間がかかる。したがって、データの入出力レスポンスに影響を与えず、データ復旧のための追跡が可能な仕組みが求められる。

【0023】

そこで、本実施の形態では、データ基盤システム（例えば、システム１００）内のサーバ（例えば、処理装置１０１）のデータ処理の性能に与える影響を抑えつつ、データ基盤システムにおけるデータの改ざんを検知するデータ管理方法について説明する。ここで、処理装置１０１の処理例について説明する。

【0024】

（１）処理装置１０１は、システム１００外またはシステム１００内の他の処理装置１０１からデータ１１１を受け付ける。ここでは、システム１００外のデータ提供者１０２からデータ１１１を受け付けた場合を想定する。

【0025】

データ１１１は、例えば、データ提供者１０２とデータ利用者１０３との取引に関する伝票データである。データ１１１には、第１のＩＤ１２０が付与されている。第１のＩＤ１２０は、例えば、システム１００におけるデータ１１１に対する一連の処理（データ入力処理、変換処理、データ出力処理）を管理するための識別情報である。ただし、図１では、第１のＩＤ１２０を「ＩＤ１２０」と表記している。

【0026】

（２）処理装置１０１は、データ１１１を受け付けた場合、受け付けたデータ１１１に対応する第１のＩＤ１２０と対応付けて、処理対象データ１１２から生成した第１のハッシュ値１１３を、共用記憶領域１１０に格納する。ここで、処理対象データ１１２は、データ１１１またはデータ１１１を加工した加工後のデータのいずれかのデータである。

【0027】

データ１１１を加工する前に自装置内に格納する場合、処理対象データ１１２は、データ１１１となる。一方、データ１１１を加工した加工後のデータを自装置内に格納する場合、処理対象データ１１２は、加工後のデータとなる。ここでは、処理対象データ１１２は、データ１１１を加工した加工後のデータとする。加工後のデータは、例えば、ＥＴＬにより変換された変換後のデータである。

【0028】

共用記憶領域１１０は、システム１００内の１以上の処理装置１０１からアクセス可能な共用の記憶領域である。共用記憶領域１１０は、例えば、システム１００内の処理装置１０１とは異なる、システム１００内の他のコンピュータに設けられる。

【0029】

また、処理装置１０１は、処理対象データ１１２を第１のＩＤ１２０と対応付けて、自装置内に格納する。ここでは、第１のＩＤ１２０と対応付けて、処理装置１０１内の記憶領域１３０に処理対象データ１１２が格納された場合を想定する。

【0030】

記憶領域１３０に格納された処理対象データ１１２は、例えば、悪意のあるユーザ１０４（内部犯）により改ざんされる可能性がある。このため、ここでは記憶領域１３０に格納された処理対象データ１１２を「データ１１２？」と表記する。

【0031】

（２）処理装置１０１は、システム１００外またはシステム１００内の他の処理装置１０１に、自装置内の第１のＩＤ１２０に対応するデータ１１２？を出力する際に、データ１１２？から生成した第２のハッシュ値１１４を取得する。また、処理装置１０１は、共用記憶領域１１０から第１のＩＤ１２０に対応する第１のハッシュ値１１３を取得する。

【0032】

処理装置１０１は、取得した第１のハッシュ値１１３と第２のハッシュ値１１４とを比較する。そして、処理装置１０１は、第１のハッシュ値１１３と第２のハッシュ値１１４とが一致しない場合に、自装置内の第１のＩＤ１２０に対応するデータ１１２？の改ざんを検知する。一方、処理装置１０１は、第１のハッシュ値１１３と第２のハッシュ値１１４とが一致する場合、自装置内の第１のＩＤ１２０に対応するデータ１１２？が改ざんされていないと判断する。

【0033】

ここでは、システム１００外のデータ利用者１０３に、処理装置１０１内の第１のＩＤ１２０に対応するデータ１１２？を出力する場合を想定する。また、第１のハッシュ値１１３と第２のハッシュ値１１４とが一致する場合を想定する。この場合、処理装置１０１は、データ１１２？が改ざんされていないと判断して、自装置内の第１のＩＤ１２０に対応するデータ１１２？をデータ利用者１０３に出力する。

【0034】

このように、処理装置１０１によれば、データ提供者１０２からデータ（データ１１１）を受け付けた際に、実データ（処理対象データ１１２）と異なる記憶媒体（共用記憶領域１１０）にデータのハッシュ値を格納することができる。また、処理装置１０１によれば、データ利用者１０３に自装置内のデータを出力する際に、実データと異なる記憶媒体に格納したハッシュ値を用いて、データの改ざんを検知することができる。

【0035】

これにより、処理装置１０１は、データ提供者１０２から入力されるデータがシステム１００内で変換される場合であっても、データの真正性を確保してデータ利用者１０３に提供することができる。また、処理装置１０１は、改ざん検知用のハッシュ値を実データと分離して共用記憶領域１１０で管理し、ハッシュ値の比較により改ざんを検知することができる。このため、処理装置１０１は、自装置単体でデータ蓄積前後に実データの比較／照合を実施する場合に比べて、自装置でのデータ処理の性能を犠牲にすることなく、データの改ざんを検知することができる。

【0036】

また、処理装置１０１は、データ提供者１０２から入力されたデータ１１１に対応する第１のＩＤ１２０を用いて、改ざん検知用のハッシュ値を管理することができる。このため、システム管理者は、例えば、処理装置１０１内のデータ１１２？の改ざんが検知された場合に、データ１１２？に対応する第１のＩＤ１２０を用いて、データの由来などを調査することができる。

【0037】

（データ基盤システム２００のシステム構成例）
つぎに、実施の形態にかかるデータ基盤システム２００のシステム構成例について説明する。図１に示したシステム１００は、例えば、データ基盤システム２００に対応する。ここでは、図１に示した処理装置１０１を、データ基盤システム２００内のデータ処理サーバＳ１～Ｓｎ（ｎ：２以上の自然数）に適用した場合を例に挙げて説明する。データ基盤システム２００は、例えば、サプライチェーンの事業者間でデータを共有するためのデータ利活用システムに適用される。

【0038】

図２は、データ基盤システム２００のシステム構成例を示す説明図である。図２において、データ基盤システム２００は、データ処理サーバＳ１～Ｓｎと、管理用ＤＢサーバ２０１と、を含む。データ基盤システム２００において、データ処理サーバＳ１～Ｓｎおよび管理用ＤＢサーバ２０１は、有線または無線のネットワーク２１０を介して接続される。また、データ基盤システム２００には、ネットワーク２１０を介して、複数のユーザ端末２０２および管理者端末２０３が接続される。ネットワーク２１０は、例えば、インターネット、ＬＡＮ（Ｌｏｃａｌ Ａｒｅａ Ｎｅｔｗｏｒｋ）、ＷＡＮ（Ｗｉｄｅ Ａｒｅａ Ｎｅｔｗｏｒｋ）などである。

【0039】

以下の説明では、データ処理サーバＳ１～Ｓｎのうちの任意のデータ処理サーバを「データ処理サーバＳｉ」と表記する場合がある（ｉ＝１，２，…，ｎ）。また、データ処理サーバＳ１～Ｓｎのうちのデータ処理サーバＳｉとは異なる他のデータ処理サーバを「他のデータ処理サーバＳｊ」と表記する場合がある（ｊ≠ｉ、ｊ＝１，２，…，ｎ）。

【0040】

ここで、データ処理サーバＳｉは、データを処理するコンピュータである。データ処理サーバＳｉは、データ連携、データレイク、データベースなどの様々な役割に応じて設けられる。データ処理サーバＳｉは、例えば、後述の図６に示すようなデータ連携サーバＳ１、データレイクサーバＳ２、データベースサーバＳ３などである。

【0041】

管理用ＤＢサーバ２０１は、変更管理ＤＢ（Ｄａｔａｂａｓｅ）２２０を有し、データ基盤システム２００におけるデータのハッシュ値を管理するコンピュータである。ハッシュ値は、元のデータからハッシュ関数により求められる固定長の値である。変更管理ＤＢ２２０は、データ処理サーバＳ１～Ｓｎからアクセス可能な共用のデータベースである。変更管理ＤＢ２２０の記憶内容については、図４を用いて後述する。

【0042】

ユーザ端末２０２は、データ基盤システム２００のユーザが使用するコンピュータである。ユーザは、例えば、データ提供者、データ利用者などである。ユーザには、例えば、データの改ざんを行う悪意のあるユーザが含まれる場合がある。

【0043】

管理者端末２０３は、データ基盤システム２００のシステム管理者が使用するコンピュータである。ユーザ端末２０２および管理者端末２０３は、例えば、ＰＣ（Ｐｅｒｓｏｎａｌ Ｃｏｍｐｕｔｅｒ）、タブレットＰＣなどである。

【0044】

（データ処理サーバＳｉのハードウェア構成例）
つぎに、データ処理サーバＳｉのハードウェア構成例について説明する。

【0045】

図３は、データ処理サーバＳｉのハードウェア構成例を示すブロック図である。図３において、データ処理サーバＳｉは、ＣＰＵ（Ｃｅｎｔｒａｌ Ｐｒｏｃｅｓｓｉｎｇ Ｕｎｉｔ）３０１と、メモリ３０２と、ディスクドライブ３０３と、ディスク３０４と、通信Ｉ／Ｆ（Ｉｎｔｅｒｆａｃｅ）３０５と、可搬型記録媒体Ｉ／Ｆ３０６と、可搬型記録媒体３０７と、を有する。また、各構成部は、バス３００によってそれぞれ接続される。

【0046】

ここで、ＣＰＵ３０１は、データ処理サーバＳｉの全体の制御を司る。ＣＰＵ３０１は、複数のコアを有していてもよい。メモリ３０２は、例えば、ＲＯＭ（Ｒｅａｄ Ｏｎｌｙ Ｍｅｍｏｒｙ）、ＲＡＭ（Ｒａｎｄｏｍ Ａｃｃｅｓｓ Ｍｅｍｏｒｙ）およびフラッシュＲＯＭなどを有する。具体的には、例えば、フラッシュＲＯＭがＯＳのプログラムを記憶し、ＲＯＭがアプリケーションプログラムを記憶し、ＲＡＭがＣＰＵ３０１のワークエリアとして使用される。メモリ３０２に記憶されるプログラムは、ＣＰＵ３０１にロードされることで、コーディングされている処理をＣＰＵ３０１に実行させる。

【0047】

ディスクドライブ３０３は、ＣＰＵ３０１の制御に従ってディスク３０４に対するデータのリード／ライトを制御する。ディスク３０４は、ディスクドライブ３０３の制御で書き込まれたデータを記憶する。ディスク３０４は、例えば、磁気ディスク、光ディスクなどである。

【0048】

通信Ｉ／Ｆ３０５は、通信回線を通じてネットワーク２１０に接続され、ネットワーク２１０を介して外部のコンピュータ（例えば、他のデータ処理サーバＳｊ、管理用ＤＢサーバ２０１、ユーザ端末２０２）に接続される。そして、通信Ｉ／Ｆ３０５は、ネットワーク２１０と装置内部とのインターフェースを司り、外部のコンピュータからのデータの入出力を制御する。通信Ｉ／Ｆ３０５には、例えば、モデムやＬＡＮアダプタなどを採用することができる。

【0049】

可搬型記録媒体Ｉ／Ｆ３０６は、ＣＰＵ３０１の制御に従って可搬型記録媒体３０７に対するデータのリード／ライトを制御する。可搬型記録媒体３０７は、可搬型記録媒体Ｉ／Ｆ３０６の制御で書き込まれたデータを記憶する。可搬型記録媒体３０７は、例えば、ＣＤ（Ｃｏｍｐａｃｔ Ｄｉｓｃ）－ＲＯＭ、ＤＶＤ（Ｄｉｇｉｔａｌ Ｖｅｒｓａｔｉｌｅ Ｄｉｓｋ）、ＵＳＢ（Ｕｎｉｖｅｒｓａｌ Ｓｅｒｉａｌ Ｂｕｓ）メモリなどである。

【0050】

なお、データ処理サーバＳｉは、上述した構成部のほかに、例えば、入力装置、ディスプレイなどを有してもよい。また、データ処理サーバＳｉは、上述した構成部のうち、例えば、可搬型記録媒体Ｉ／Ｆ３０６、可搬型記録媒体３０７を有さなくてもよい。また、図２に示した管理用ＤＢサーバ２０１、ユーザ端末２０２および管理者端末２０３についても、データ処理サーバＳｉと同様のハードウェア構成により実現することができる。ただし、ユーザ端末２０２および管理者端末２０３は、上述した構成部のほかに、例えば、入力装置、ディスプレイなどを有する。

【0051】

（変更管理ＤＢ２２０の記憶内容）
つぎに、図４を用いて、管理用ＤＢサーバ２０１が有する変更管理ＤＢ２２０の記憶内容について説明する。変更管理ＤＢ２２０は、例えば、管理用ＤＢサーバ２０１のメモリ、ディスクなどの記憶装置により実現される。

【0052】

図４は、変更管理ＤＢ２２０の記憶内容の一例を示す説明図である。図４において、変更管理ＤＢ２２０は、トランＩＤ、入力日時、出力日時、業務名、ハッシュ値、提供者および処理中サーバのフィールドを有し、各フィールドに情報を設定することで、変更管理情報（例えば、変更管理情報４００－１，４００－２）をレコードとして記憶する。

【0053】

ここで、トランＩＤは、データ基盤システム２００におけるデータに対する一連の処理（データ入力処理、変換処理（複数回実行）、データ出力処理）を管理するための識別情報である。トランＩＤは、例えば、データ基盤システム２００にデータが入力される際に付与される。図１に示した第１のＩＤ１２０は、例えば、トランＩＤに対応する。入力日時は、データ基盤システム２００にデータが入力された日時を示す。ただし、図４では、入力日時の日付のみ表示している。

【0054】

出力日時は、データ基盤システム２００からデータが出力された日時を示す。初期状態では、出力日時は、－（Ｎｕｌｌ）である。業務名は、データが用いられる業務の名称を示す。ハッシュ値は、データからハッシュ関数により求められた固定長の値である。提供者は、データの提供元のユーザを示す。処理中サーバは、データを処理中のデータ処理サーバＳｉを示す。

【0055】

（データ処理サーバＳｉの機能的構成例）
つぎに、データ処理サーバＳｉの機能的構成例について説明する。

【0056】

図５は、データ処理サーバＳｉの機能的構成例を示すブロック図である。図５において、データ処理サーバＳｉは、受付部５０１と、格納部５０２と、出力制御部５０３と、通知部５０４と、を含む。受付部５０１～通知部５０４は制御部５００となる機能であり、具体的には、例えば、図３に示したメモリ３０２、ディスク３０４、可搬型記録媒体３０７などの記憶装置に記憶されたプログラムをＣＰＵ３０１に実行させることにより、または、通信Ｉ／Ｆ３０５により、その機能を実現する。各機能部の処理結果は、例えば、メモリ３０２、ディスク３０４などの記憶装置に記憶される。

【0057】

受付部５０１は、データ基盤システム２００外またはデータ基盤システム２００内の他のデータ処理サーバＳｊからデータを受け付ける。ここで、データは、例えば、サプライチェーンにおける事業者間で共有されるデータである。データには、データに対応するトランＩＤが付与されている。

【0058】

データは、例えば、伝票データである。データ基盤システム２００外から入力されるデータは、例えば、ＣＳＶ（Ｃｏｍｍａ Ｓｅｐａｒａｔｅｄ Ｖａｌｕｅ）形式やＸＭＬ（Ｅｘｔｅｎｓｉｂｌｅ Ｍａｒｋｕｐ Ｌａｎｇｕａｇｅ）形式で情報が記述されている。

【0059】

具体的には、例えば、受付部５０１は、図２に示したユーザ端末２０２から受信することにより、データ基盤システム２００外からデータを受け付ける。トランＩＤは、例えば、ユーザ端末２０２がデータ基盤システム２００（データ処理サーバＳｉ）にデータを送信する際に当該データに付与される。

【0060】

また、受付部５０１は、他のデータ処理サーバＳｊから受信することにより、データ基盤システム２００内の他のデータ処理サーバＳｊからデータを受け付ける。トランＩＤは、例えば、他のデータ処理サーバＳｊによってデータに付与される。

【0061】

なお、受付部５０１は、データ基盤システム２００外からデータを受け付ける際に、データの提供元を表す情報を合わせて受け付けてもよい。データの提供元を表す情報は、例えば、データ提供者名やユーザＩＤなどである。

【0062】

また、受付部５０１は、データ基盤システム２００外からデータを受け付ける際に、データに関する業務を表す情報を合わせて受け付けてもよい。データに関する業務は、例えば、データを用いる業務である。業務を表す情報は、例えば、業務名である。

【0063】

格納部５０２は、受け付けたデータに対応するトランＩＤと対応付けて、処理対象データから生成したハッシュ値を共用記憶領域に格納する。さらに、格納部５０２は、受け付けたデータに対応するトランＩＤと対応付けて、処理対象データを自サーバ内に格納する。ここで、共用記憶領域は、データ処理サーバＳ１～Ｓｎからアクセス可能な記憶領域である。共用記憶領域は、例えば、図２に示した管理用ＤＢサーバ２０１が有する変更管理ＤＢ２２０である。

【0064】

処理対象データは、受付部５０１が受け付けたデータ、または、受付部５０１が受け付けたデータを加工した加工後のデータのいずれかのデータである。データの加工は、例えば、格納部５０２の制御に従って、後述の図６に示すＥＴＬ＃１～＃３により行われる。加工後のデータは、例えば、ＥＴＬ＃１～＃３により変換された変換後のデータに相当する。ハッシュ値は、あらかじめ決められたハッシュ関数により、処理対象データから生成される。

【0065】

データ処理サーバＳｉが、受け付けたデータを加工する前に自サーバ内に格納する場合、処理対象データは、受け付けたデータとなる。一方、データ処理サーバＳｉが、受け付けたデータを加工した加工後のデータを自サーバ内に格納する場合、処理対象データは、加工後のデータとなる。

【0066】

具体的には、例えば、格納部５０２は、データ基盤システム２００外からデータを受け付けた場合、データに付与されたトランＩＤと対応付けて、処理対象データから生成したハッシュ値を変更管理ＤＢ２２０に格納する。変更管理ＤＢ２２０は、管理用ＤＢサーバ２０１にアクセスして参照される。

【0067】

この際、格納部５０２は、データに付与されたトランＩＤと対応付けて、さらに、データの提供元を表す情報（例えば、データ提供者名、ユーザＩＤ）を格納してもよい。また、格納部５０２は、データに付与されたトランＩＤと対応付けて、さらに、データに関する業務を表す情報（例えば、業務名）を格納してもよい。また、格納部５０２は、データに付与されたトランＩＤと対応付けて、さらに、トランＩＤに対応するデータが自サーバに存在することを表す情報（例えば、処理中サーバ）を格納してもよい。

【0068】

これにより、変更管理ＤＢ２２０に新たな変更管理情報がレコードとして登録される。

【0069】

また、格納部５０２は、データ基盤システム２００内の他のデータ処理サーバＳｊからデータを受け付けた場合、変更管理ＤＢ２２０を参照して、データに付与されたトランＩＤに対応する変更管理情報を特定する。そして、格納部５０２は、特定した変更管理情報のハッシュ値に、処理対象データから生成したハッシュ値を上書きする。また、格納部５０２は、特定した変更管理情報の処理中サーバに、自サーバ名を上書きする。

【0070】

これにより、変更管理ＤＢ２２０内のトランＩＤに対応する変更管理情報の内容（ハッシュ値、処理中サーバ）が更新される。

【0071】

また、格納部５０２は、受け付けたデータに対応するトランＩＤと対応付けて、処理対象データを自サーバ内に格納する際に、受け付けたデータの提供元を表す情報を合わせて自サーバ内に格納してもよい。また、格納部５０２は、受け付けたデータに関する業務を表す情報を合わせて格納してもよい。また、格納部５０２は、受け付けたデータの入力日時を合わせて自サーバ内に格納してもよい。

【0072】

なお、詳細は後述するが、処理対象データが、受付部５０１が受け付けたデータのときは、データ基盤システム２００外またはデータ基盤システム２００内の他のデータ処理サーバＳｊに当該データを出力する際に、当該データに対する加工が実施される。

【0073】

出力制御部５０３は、データ基盤システム２００外またはデータ基盤システム２００内の他のデータ処理サーバＳｊに、自サーバ内の第１のトランＩＤに対応するデータを出力する際に、当該データの改ざんの有無を判断する。例えば、出力制御部５０３は、自サーバ内の第１のトランＩＤに対応するデータから生成したハッシュ値（以下、「ハッシュ値＄１」という）を取得する。

【0074】

また、出力制御部５０３は、共用記憶領域から、第１のトランＩＤに対応するハッシュ値（以下、「ハッシュ値＄２」という）を取得する。具体的には、例えば、出力制御部５０３は、変更管理ＤＢ２２０から、第１のトランＩＤに対応するハッシュ値＄２を取得する。

【0075】

そして、出力制御部５０３は、取得したハッシュ値＄１とハッシュ値＄２との比較結果に基づいて、第１のトランＩＤに対応するデータの改ざんの有無を判断する。具体的には、例えば、出力制御部５０３は、ハッシュ値＄１とハッシュ値＄２とが一致しない場合、第１のトランＩＤに対応するデータの改ざんを検知する。一方、ハッシュ値＄１とハッシュ値＄２とが一致する場合、出力制御部５０３は、第１のトランＩＤに対応するデータの改ざんを検知しない。

【0076】

出力制御部５０３は、第１のトランＩＤに対応するデータの改ざんを検知しなかった場合、データ基盤システム２００外またはデータ基盤システム２００内の他のデータ処理サーバＳｊに、第１のトランＩＤに対応するデータを出力する。具体的には、例えば、出力制御部５０３は、第１のトランＩＤに対応するデータに第１のトランＩＤを付与して、当該データを出力する。

【0077】

また、出力制御部５０３は、第１のトランＩＤに対応するデータの改ざんを検知した場合、データ基盤システム２００外またはデータ基盤システム２００内の他のデータ処理サーバＳｊに対する、第１のトランＩＤに対応するデータの出力を停止する。

【0078】

通知部５０４は、第１のトランＩＤに対応するデータの改ざんが検知された場合、データ基盤システム２００のシステム管理者に対して、第１のトランＩＤを含む改ざん検知通知を出力する。具体的には、例えば、通知部５０４は、図２に示した管理者端末２０３に、第１のトランＩＤに対応するデータの改ざんを検知した旨のメッセージ（改ざん検知通知）を送信してもよい。

【0079】

また、出力制御部５０３は、上述した処理対象データが、受付部５０１が受け付けたデータのときは、自サーバ内の第１のトランＩＤに対応するデータを出力するにあたり、第１のトランＩＤに対応するデータを加工する。データの加工は、例えば、出力制御部５０３の制御に従って、後述の図６に示すＥＴＬ＃１～＃３により行われる。

【0080】

具体的には、例えば、出力制御部５０３は、第１のトランＩＤに対応するデータの改ざんを検知しなかった場合に、第１のトランＩＤに対応するデータを加工する。そして、出力制御部５０３は、加工後のデータに第１のトランＩＤを付与して、当該加工後のデータを、データ基盤システム２００外またはデータ基盤システム２００内の他のデータ処理サーバＳｊに出力する。例えば、データの出力先が複数存在（他のデータ処理サーバＳｊが複数存在）し、出力先に応じて加工内容が異なるような場合には、データを出力する際に、当該データに対して出力先に応じた加工が実施される。

【0081】

なお、出力対象となるデータは、例えば、データ基盤システム２００外のユーザ端末２０２（データ利用者）またはデータ基盤システム２００内の他のデータ処理サーバＳｊから要求される。例えば、受付部５０１は、ユーザ端末２０２（データ利用者）またはデータ基盤システム２００内の他のデータ処理サーバＳｊからデータ要求を受け付ける。データ要求は、データ処理サーバＳｉ内のデータを要求するものである。

【0082】

データ要求には、例えば、要求するデータを特定する情報が含まれる。要求するデータを特定する情報は、例えば、要求するデータに対応するトランＩＤ（第１のトランＩＤ）である。また、要求するデータを特定する情報は、例えば、要求するデータに関する業務名であってもよく、データ提供者名であってもよい。出力制御部５０３は、例えば、受け付けたデータ要求から、出力対象となるデータを特定する。

【0083】

また、格納部５０２は、データ基盤システム２００外からデータを受け付けた場合、データ基盤システム２００内の復旧用記憶領域に、受け付けたデータを複製したバックアップデータを格納してもよい。復旧用記憶領域は、改ざんされたデータの復旧に用いられる記憶領域である。復旧用記憶領域は、例えば、後述の図１０に示すバックアップＤＢ１０００である。

【0084】

具体的には、例えば、格納部５０２は、データ基盤システム２００外から受け付けたデータの入力日時、提供者および業務名と対応付けて、当該データを複製したバックアップデータをバックアップＤＢ１０００に格納してもよい。また、格納部５０２は、受け付けたデータに対応するトランＩＤと対応付けて、当該データを複製したバックアップデータをバックアップＤＢ１０００に格納してもよい。改ざんが検知されたデータの復旧例については、図１０を用いて後述する。

【0085】

（データ基盤システム２００の動作例）
つぎに、図６を用いて、データ基盤システム２００の動作例について説明する。ここでは、データ処理サーバＳ１～Ｓｎを「データ連携サーバＳ１、データレイクサーバＳ２およびデータベースサーバＳ３」とする。

【0086】

図６は、データ基盤システム２００の第１の動作例を示す説明図である。図６において、データ基盤システム２００は、データ連携サーバＳ１、データレイクサーバＳ２およびデータベースサーバＳ３を含む。データ基盤システム２００において、データ連携サーバＳ１、データレイクサーバＳ２およびデータベースサーバＳ３は、イントラネット（ネットワーク２１０の一例）により接続される。

【0087】

データ連携サーバＳ１は、改ざん検知機構＃１、ＥＴＬ＃１およびテンポラリ＃１を有し、データ基盤システム２００外からデータ受け付ける。改ざん検知機構＃１は、図５に示した制御部５００により実現される機能の一例である。ＥＴＬ＃１は、データ連携ツールである。テンポラリ＃１は、データ連携サーバＳ１内の記憶領域である。

【0088】

データレイクサーバＳ２は、改ざん検知機構＃２、ＥＴＬ＃２およびデータレイク＃２を有し、データ連携サーバＳ１からデータ受け付ける。改ざん検知機構＃２は、図５に示した制御部５００により実現される機能の一例である。ＥＴＬ＃２は、データ連携ツールである。データレイク＃２は、データレイクサーバＳ２内の記憶領域である。

【0089】

データベースサーバＳ３は、改ざん検知機構＃３、ＥＴＬ＃３およびデータベース＃３を有し、データレイクサーバＳ２からデータ受け付ける。改ざん検知機構＃３は、図５に示した制御部５００により実現される機能の一例である。ＥＴＬ＃３は、データ連携ツールである。データベース＃３は、データベースサーバＳ３内の記憶領域である。

【0090】

データ連携サーバＳ１では、例えば、データ基盤システム２００外からのデータの仕分けが行われる。データレイクサーバＳ２では、データ連携サーバＳ１からのデータが一時的に保存される。データベースサーバＳ３では、データレイクサーバＳ２からのデータがデータ利用者に参照可能に格納される。

【0091】

各サーバＳ１～Ｓ３では、各ＥＴＬ＃１～＃３により、入力されたデータに対して、あらかじめ決められた変換処理（加工）が行われる。データの変換例については、図９Ａおよび図９Ｂを用いて後述する。

【0092】

ここで、データ提供者６０１が、ユーザ端末２０２を用いて、データ基盤システム２００に対してデータ６１０を入力する場合を想定する。データ提供者６０１は、例えば、卸売業者である。データ利用者６０２は、例えば、小売業者である。データ６１０は、商品Ａの発注数「１００」を示す。

【0093】

この場合、データ連携サーバＳ１において、改ざん検知機構＃１は、データ基盤システム２００外のデータ提供者６０１（ユーザ端末２０２）からデータ６１０を受け付ける。データ６１０には、トランＩＤ「１２３３」、業務名「ＯｒｄｅｒＡ」、提供者「Ｏｗｎｅｒ１」が付与されているとする。

【0094】

改ざん検知機構＃１は、ＥＴＬ＃１により、受け付けたデータ６１０を変換する。ここでは、データ６１０を変換した変換後のデータを「データ６１１」とする。改ざん検知機構＃１は、データ６１１から生成したハッシュ値を取得する。ここでは、ハッシュ値「０９８ｆ６ｂｃｄ４６２１ｄ３７３ｃａｄｅ４ｅ８３２６２７ｂ４ｆ６」が取得された場合を想定する。

【0095】

改ざん検知機構＃１は、受け付けたデータ６１０に対応するトランＩＤ「１２３３」、業務名「ＯｒｄｅｒＡ」および提供者「Ｏｗｎｅｒ１」と対応付けて、取得したハッシュ値を管理用ＤＢサーバ２０１に格納する。また、改ざん検知機構＃１は、受け付けたデータ６１０に対応するトランＩＤ「１２３３」と対応付けて、データ６１１をテンポラリ＃１に格納する。

【0096】

ここで、図７を用いて、変更管理ＤＢ２２０の更新例について説明する。

【0097】

図７は、変更管理ＤＢ２２０の更新例を示す説明図である。図７において、トランＩＤ「１２３３」、業務名「ＯｒｄｅｒＡ」および提供者「Ｏｗｎｅｒ１」と対応付けて、ハッシュ値「０９８ｆ６…」が格納された結果、管理用ＤＢサーバ２０１に新たな変更管理情報４００－１が登録されている。

【0098】

変更管理情報４００－１には、入力日時「２０２２１２２２」および処理中サーバ「データ連携サーバ」が設定されている。ただし、図７では、入力日時の日付のみ表示している。また、この時点では、変更管理情報４００－１の出力日時は「－」である。

【0099】

図６の説明に戻り、データ連携サーバＳ１において、改ざん検知機構＃１は、データ基盤システム２００内のデータレイクサーバＳ２に、テンポラリ＃１内のトランＩＤ「１２３３」に対応するデータ６１１を出力する際に、データ６１１の改ざんの有無を判断する。データレイクサーバＳ２へのデータ出力は、例えば、データレイクサーバＳ２からのデータ要求に応じて実行される。また、データレイクサーバＳ２へのデータ出力は、あらかじめ決められた日時に実行されてもよい。

【0100】

例えば、改ざん検知機構＃１は、テンポラリ＃１内のトランＩＤ「１２３３」に対応するデータ６１１から生成したハッシュ値＄１を取得する。また、改ざん検知機構＃１は、変更管理ＤＢ２２０から、トランＩＤ「１２３３」に対応するハッシュ値＄２を取得する。図７の例では、トランＩＤ「１２３３」に対応するハッシュ値＄２は、ハッシュ値「０９８ｆ６ｂｃｄ４６２１ｄ３７３ｃａｄｅ４ｅ８３２６２７ｂ４ｆ６」である。

【0101】

そして、改ざん検知機構＃１は、取得したハッシュ値＄１とハッシュ値＄２との比較結果に基づいて、テンポラリ＃１内のトランＩＤ「１２３３」に対応するデータ６１１の改ざんの有無を判断する。ここでは、ハッシュ値＄１とハッシュ値＄２とが一致する場合を想定する。

【0102】

この場合、改ざん検知機構＃１は、テンポラリ＃１内のトランＩＤ「１２３３」に対応するデータ６１１の改ざんを検知しない。このため、改ざん検知機構＃１は、データ基盤システム２００内のデータレイクサーバＳ２に、テンポラリ＃１内のトランＩＤ「１２３３」に対応するデータ６１１を出力する。

【0103】

データレイクサーバＳ２において、改ざん検知機構＃２は、データ基盤システム２００内のデータ連携サーバＳ１からデータ６１１を受け付ける。データ６１１には、トランＩＤ「１２３３」が付与されている。

【0104】

改ざん検知機構＃２は、ＥＴＬ＃２により、受け付けたデータ６１１を変換する。ここでは、データ６１１を変換した変換後のデータを「データ６１２」とする。改ざん検知機構＃１は、データ６１２から生成したハッシュ値を取得する。ここでは、ハッシュ値「４８４ｅ０２３９２ｄｋｊ８２７３４ｋｇｈｂ３２ａｖｂ２ａｐ３８０」が取得された場合を想定する。

【0105】

改ざん検知機構＃２は、受け付けたデータ６１１に対応するトランＩＤ「１２３３」と対応付けて、取得したハッシュ値を管理用ＤＢサーバ２０１に格納する。また、改ざん検知機構＃２は、受け付けたデータ６１１に対応するトランＩＤ「１２３３」と対応付けて、データ６１２をデータレイク＃２に格納する。

【0106】

具体的には、例えば、図７に示すように、改ざん検知機構＃２は、管理用ＤＢサーバ２０１内のトランＩＤ「１２３３」に対応する変更管理情報４００－１のハッシュ値を「４８４ｅ０２３９２ｄｋｊ８２７３４ｋｇｈｂ３２ａｖｂ２ａｐ３８０」に更新する。また、改ざん検知機構＃２は、変更管理情報４００－１の処理中サーバを「データレイクサーバ」に更新する。

【0107】

ここで、図６に示すように、悪意のあるユーザ６０３により、ユーザ端末２０２を用いて、データレイク＃２内のトランＩＤ「１２３３」に対応するデータ６１２が改ざんされた場合を想定する。ここでは、データ６１２の商品Ａの発注数が「１０００」に改ざんされたとする。

【0108】

このあと、データレイクサーバＳ２において、改ざん検知機構＃２は、データ基盤システム２００内のデータベースサーバＳ３に、データレイク＃２内のトランＩＤ「１２３３」に対応するデータ６１２を出力する際に、データ６１２の改ざんの有無を判断する。

【0109】

例えば、改ざん検知機構＃２は、データレイク＃２内のトランＩＤ「１２３３」に対応するデータ６１２から生成したハッシュ値＄１’を取得する。また、改ざん検知機構＃２は、変更管理ＤＢ２２０から、トランＩＤ「１２３３」に対応するハッシュ値＄２’を取得する。図７の例では、トランＩＤ「１２３３」に対応するハッシュ値＄２’は、ハッシュ値「４８４ｅ０２３９２ｄｋｊ８２７３４ｋｇｈｂ３２ａｖｂ２ａｐ３８０」である。

【0110】

そして、改ざん検知機構＃２は、取得したハッシュ値＄１’とハッシュ値＄２’との比較結果に基づいて、データレイク＃２内のトランＩＤ「１２３３」に対応するデータ６１２の改ざんの有無を判断する。ここでは、データ６１２が改ざんされているため、ハッシュ値＄１’とハッシュ値＄２’とが一致しない。

【0111】

この場合、改ざん検知機構＃２は、データレイク＃２内のトランＩＤ「１２３３」に対応するデータ６１２の改ざんを検知する。このため、改ざん検知機構＃２は、データ基盤システム２００内のデータベースサーバＳ３に対する、トランＩＤ「１２３３」に対応するデータ６１２の出力を停止する。このため、データ利用者６０２（ユーザ端末２０２）へのデータ出力は行われない。

【0112】

そして、改ざん検知機構＃２は、データ基盤システム２００のシステム管理者６０４の管理者端末２０３に対して、改ざん検知通知６２０を出力する。改ざん検知通知６２０は、例えば、トランＩＤ「１２３３」に対応するデータ６１２の改ざんを検知した旨のメッセージを含む。

【0113】

これにより、データレイクサーバＳ２は、データ基盤システム２００内のデータベースサーバＳ３に、改ざんされたデータ６１２が出力されるのを防ぐことができる。また、データレイクサーバＳ２は、データ基盤システム２００のシステム管理者６０４に、トランＩＤ「１２３３」に対応するデータ６１２が改ざんされたことを通知することができる。

【0114】

なお、データレイク＃２内のトランＩＤ「１２３３」に対応するデータ６１２の改ざんが検知されなかった場合、図８に示すように、データ基盤システム２００内のデータベースサーバＳ３に、データレイク＃２内のトランＩＤ「１２３３」に対応するデータ６１２が出力される。

【0115】

図８は、データ基盤システム２００の第２の動作例を示す説明図である。図８において、データレイクサーバＳ２において、改ざん検知機構＃２は、データ基盤システム２００内のデータベースサーバＳ３に、データレイク＃２内のトランＩＤ「１２３３」に対応するデータ６１２を出力する。

【0116】

データベースサーバＳ３において、改ざん検知機構＃３は、データ基盤システム２００内のデータレイクサーバＳ２からデータ６１２を受け付ける。データ６１２には、トランＩＤ「１２３３」が付与されている。

【0117】

改ざん検知機構＃３は、ＥＴＬ＃３により、受け付けたデータ６１２を変換する。ここでは、データ６１２を変換した変換後のデータを「データ６１３」とする。改ざん検知機構＃３は、データ６１３から生成したハッシュ値を取得する。

【0118】

改ざん検知機構＃３は、受け付けたデータ６１２に対応するトランＩＤ「１２３３」と対応付けて、取得したハッシュ値を管理用ＤＢサーバ２０１に格納する。これにより、管理用ＤＢサーバ２０１内のトランＩＤ「１２３３」に対応する変更管理情報４００－１（ハッシュ値、処理中サーバ）が更新される。また、改ざん検知機構＃３は、受け付けたデータ６１２に対応するトランＩＤ「１２３３」と対応付けて、データ６１３をデータベース＃３に格納する。

【0119】

データベースサーバＳ３において、改ざん検知機構＃３は、データ基盤システム２００外のデータ利用者６０２に、データベース＃３内のトランＩＤ「１２３３」に対応するデータ６１３を出力する際に、データ６１３の改ざんの有無を判断する。

【0120】

例えば、改ざん検知機構＃３は、データベース＃３内のトランＩＤ「１２３３」に対応するデータ６１３から生成したハッシュ値＄１’’を取得する。また、改ざん検知機構＃３は、変更管理ＤＢ２２０から、トランＩＤ「１２３３」に対応するハッシュ値＄２’’を取得する。

【0121】

そして、改ざん検知機構＃３は、取得したハッシュ値＄１’’とハッシュ値＄２’’との比較結果に基づいて、データベース＃３内のトランＩＤ「１２３３」に対応するデータ６１３の改ざんの有無を判断する。ここでは、ハッシュ値＄１’’とハッシュ値＄２’’とが一致する場合を想定する。

【0122】

この場合、改ざん検知機構＃３は、データベース＃３内のトランＩＤ「１２３３」に対応するデータ６１３の改ざんを検知しない。このため、改ざん検知機構＃３は、データ基盤システム２００外のデータ利用者６０２（ユーザ端末２０２）に、データベース＃３内のトランＩＤ「１２３３」に対応するデータ６１３を出力する。

【0123】

これにより、データ基盤システム２００は、データ提供者６０１からのデータがサーバ間を経由する際に変換される場合であっても、データの真正性を確保してデータ利用者６０２に提供することができる。なお、改ざん検知機構＃３は、データ基盤システム２００外にデータ６１３を出力した場合、管理用ＤＢサーバ２０１内のトランＩＤ「１２３３」に対応する変更管理情報４００－１の出力日時を更新する。

【0124】

（データの変換例）
つぎに、図９Ａおよび図９Ｂを用いて、データ基盤システム２００におけるデータの変換例について説明する。

【0125】

図９Ａは、変換前のデータの具体例を示す説明図である。図９Ａにおいて、伝票データ９０１は、データ基盤システム２００外のユーザ（例えば、図６に示したデータ提供者６０１）から入力される変換前のデータ（ファイル）の一例である。伝票データ９０１には、ＣＳＶ形式で取引に関する情報が記述されている。

【0126】

図９Ｂは、変換後のデータの具体例を示す説明図である。図９Ｂにおいて、伝票データ９０２は、データ基盤システム２００内のデータ処理サーバＳｉ（例えば、図６に示したデータ連携サーバＳ１のＥＴＬ＃１）において、図９Ａに示した伝票データ９０１を変換（加工）した変換後のデータの一例である。

【0127】

伝票データ９０２では、発注先システムに適合するように、伝票データ９０１における４桁のレコード番号が、８桁のレコード番号に変換されている。また、伝票データ９０２では、伝票データ９０１における版数の項目が削除され、伝票データ９０１にはないユーザ属性、残数量の項目が追加されている。

【0128】

このように、データ基盤システム２００では、例えば、発注元システム独自のレイアウトのデータ（伝票データ９０１）を発注先システムに適合するようなデータ（伝票データ９０２）に変換することができる。

【0129】

（データの復旧例）
つぎに、改ざんが検知されたデータの復旧例について説明する。ここでは、データ基盤システム２００のシステム管理者６０４に対して、改ざん検知通知６２０が出力された場合を想定する（図６参照）。

【0130】

図１０は、データの復旧例を示す説明図である。図１０において、まず、システム管理者６０４は、改ざん検知通知６２０（図６参照）を参照して、改ざんが検知されたデータ６１２に対応するトランＩＤ「１２３３」を特定する。つぎに、システム管理者６０４は、管理者端末２０３を用いて、管理用ＤＢサーバ２０１にアクセスして、変更管理ＤＢ２２０内のトランＩＤ「１２３３」に対応する変更管理情報４００－１を特定する。

【0131】

そして、システム管理者６０４は、特定した変更管理情報４００－１を参照して、入力日時、業務名および提供者を特定する。つぎに、システム管理者６０４は、特定した入力日時、業務名および提供者をもとに、バックアップＤＢ１０００からデータ６１０ａを取得する。データ６１０ａは、改ざんが検知されたデータ６１２の元データ（データ６１０）のバックアップデータである。

【0132】

そして、システム管理者６０４は、管理者端末２０３を用いて、取得したデータ６１０ａをデータ基盤システム２００に再入力する。これにより、データ基盤システム２００内の各サーバＳ１，Ｓ２において、再入力されたデータ６１０ａに対する変換が順次行われて、改ざんが検知されたデータ６１２が復旧される。

【0133】

なお、バックアップＤＢ１０００には、トランＩＤ「１２３３」と対応付けてデータ６１０ａが格納されていてもよい。この場合、システム管理者６０４は、トランＩＤ「１２３３」をもとに、改ざんが検知されたデータ６１２のバックアップデータ（データ６１０ａ）を特定してもよい。

【0134】

また、上述した説明では、システム管理者６０４が、取得したデータ６１０ａをデータ基盤システム２００に再入力することにしたが、これに限らない。例えば、システム管理者６０４は、データ６１０ａの内容によっては、データ提供者６０１にデータの再提供を依頼してもよい。

【0135】

（データ処理サーバＳｉのデータ管理処理手順）
つぎに、データ処理サーバＳｉのデータ管理処理手順について説明する。まず、図１１を用いて、データ処理サーバＳｉの第１のデータ管理処理手順について説明する。第１のデータ管理処理は、データ処理サーバＳｉへのデータ入力時に実行される。

【0136】

図１１は、データ処理サーバＳｉの第１のデータ管理処理手順の一例を示すフローチャートである。図１１のフローチャートにおいて、まず、データ処理サーバＳｉは、データ基盤システム２００外またはデータ基盤システム２００内の他のデータ処理サーバＳｊからデータを受け付けたか否かを判断する（ステップＳ１１０１）。

【0137】

ここで、データ処理サーバＳｉは、データを受け付けるのを待つ（ステップＳ１１０１：Ｎｏ）。そして、データ処理サーバＳｉは、データを受け付けた場合（ステップＳ１１０１：Ｙｅｓ）、ＥＴＬ機能（例えば、図６に示したＥＴＬ＃１～＃３）により、受け付けたデータを変換する（ステップＳ１１０２）。

【0138】

つぎに、データ処理サーバＳｉは、変換後のデータのハッシュ値を取得する（ステップＳ１１０３）。そして、データ処理サーバＳｉは、管理用ＤＢサーバ２０１にアクセスすることにより、変更管理ＤＢ２２０を参照して、受け付けたデータに付与されたトランＩＤに対応する変更管理情報があるか否かを判断する（ステップＳ１１０４）。

【0139】

ここで、変更管理情報がない場合（ステップＳ１１０４：Ｎｏ）、データ処理サーバＳｉは、データに付与されたトランＩＤと対応付けて、取得したハッシュ値を格納することにより、変更管理ＤＢ２２０に変更管理情報を新規登録して（ステップＳ１１０５）、ステップＳ１１０７に移行する。

【0140】

一方、変更管理情報がある場合（ステップＳ１１０４：Ｙｅｓ）、データ処理サーバＳｉは、トランＩＤに対応する変更管理情報のハッシュ値を、取得したハッシュ値で上書きすることにより、変更管理ＤＢ２２０内の変更管理情報を更新する（ステップＳ１１０６）。

【0141】

そして、データ処理サーバＳｉは、受け付けたデータに対応するトランＩＤと対応付けて、変換後のデータを自サーバ内に蓄積して（ステップＳ１１０７）、本フローチャートによる一連の処理を終了する。

【0142】

これにより、データ処理サーバＳｉは、データ基盤システム２００外またはデータ基盤システム２００内の他のデータ処理サーバＳｊからデータを受け付けた際に、データに対してあらかじめ決められた変換を施すとともに、変換後のデータのハッシュ値を実データ（変換後のデータ）と異なる記憶媒体（変更管理ＤＢ２２０）に格納することができる。

【0143】

なお、データ処理サーバＳｉは、ステップＳ１１０２において、受け付けたデータを変換することにしたが、これに限らない。例えば、データの変換処理は、データ出力時に実行されてもよい。この場合、データ処理サーバＳｉは、受け付けたデータのハッシュ値を取得して、変更管理ＤＢ２２０に格納する。

【0144】

つぎに、図１２を用いて、データ処理サーバＳｉの第２のデータ管理処理手順について説明する。第２のデータ管理処理は、データ処理サーバＳｉからのデータ出力時に実行される。

【0145】

図１２は、データ処理サーバＳｉの第２のデータ管理処理手順の一例を示すフローチャートである。図１２のフローチャートにおいて、まず、データ処理サーバＳｉは、データ基盤システム２００外またはデータ基盤システム２００内の他のデータ処理サーバＳｊからデータ取得要求を受け付けたか否かを判断する（ステップＳ１２０１）。

【0146】

ここで、データ処理サーバＳｉは、データ取得要求を受け付けるのを待つ（ステップＳ１２０１：Ｎｏ）。そして、データ処理サーバＳｉは、データ取得要求を受け付けた場合（ステップＳ１２０１：Ｙｅｓ）、自サーバ内に蓄積したデータのうち、データ取得要求に応じたデータを抽出する（ステップＳ１２０２）。

【0147】

例えば、データ取得要求にトランＩＤが含まれる場合、データ取得要求に応じたデータは、当該トランＩＤに対応するデータである。また、データ取得要求にデータ提供元の情報が含まれる場合、データ取得要求に応じたデータは、当該データ提供元に対応するデータであってもよい。また、データ取得要求に業務名が含まれる場合、データ取得要求に応じたデータは、当該業務名に対応するデータであってもよい。また、データ取得要求に指定期間が含まれる場合、データ取得要求に応じたデータは、当該指定期間内に入力日時が含まれるデータであってもよい。

【0148】

つぎに、データ処理サーバＳｉは、抽出したデータのハッシュ値を取得する（ステップＳ１２０３）。つぎに、データ処理サーバＳｉは、管理用ＤＢサーバ２０１にアクセスすることにより、変更管理ＤＢ２２０を参照して、抽出したデータに対応付けられたトランＩＤに対応するハッシュ値を取得する（ステップＳ１２０４）。

【0149】

そして、データ処理サーバＳｉは、ステップＳ１２０３において取得されたハッシュ値と、ステップＳ１２０４において取得されたハッシュ値とが一致するか否かを判断する（ステップＳ１２０５）。ここで、ハッシュ値が一致する場合（ステップＳ１２０５：Ｙｅｓ）、データ処理サーバＳｉは、データ取得要求元に対して、抽出したデータを出力して（ステップＳ１２０６）、本フローチャートによる一連の処理を終了する。

【0150】

一方、ハッシュ値が一致しない場合（ステップＳ１２０５：Ｎｏ）、データ処理サーバＳｉは、抽出したデータの改ざんを検知する（ステップＳ１２０７）。つぎに、データ処理サーバＳｉは、データ基盤システム２００のシステム管理者に対して、抽出したデータに対応付けられたトランＩＤを含む改ざん検知通知を出力する（ステップＳ１２０８）。

【0151】

そして、データ処理サーバＳｉは、データ取得要求元に対する、抽出したデータの出力を停止して（ステップＳ１２０９）、本フローチャートによる一連の処理を終了する。

【0152】

これにより、データ処理サーバＳｉは、データ基盤システム２００外またはデータ基盤システム２００内の他のデータ処理サーバＳｊにデータを出力する際に、実データ（出力対象のデータ）と異なる記憶媒体（変更管理ＤＢ２２０）に格納したハッシュ値を用いて改ざんを検知することができる。また、データ処理サーバＳｉは、データの改ざんを検知した場合、システム管理者に対して、データの改ざんを検知したことを通知するとともに、改ざんされたデータの出力を停止することができる。

【0153】

なお、データ処理サーバＳｉは、データ出力時に変換処理を実行する場合、例えば、ステップＳ１２０５においてハッシュ値が一致する場合に（ステップＳ１２０５：Ｙｅｓ）、抽出したデータを変換してもよい。そして、データ処理サーバＳｉは、データ取得要求元に対して、変換した変換後のデータを出力してもよい。

【0154】

以上説明したように、実施の形態にかかるデータ処理サーバＳｉによれば、データ基盤システム２００外またはデータ基盤システム２００内の他のデータ処理サーバＳｊからデータを受け付けることができる。また、データ処理サーバＳｉによれば、受け付けたデータに対応するトランＩＤと対応付けて、処理対象データから生成したハッシュ値を共用記憶領域に格納し、処理対象データを当該トランＩＤと対応付けて、自装置内に格納することができる。処理対象データは、受け付けたデータまたは当該データを加工した加工後のデータのいずれかのデータである。共用記憶領域は、データ処理サーバＳ１～Ｓｎからアクセス可能な共用の記憶領域であり、例えば、管理用ＤＢサーバ２０１が有する変更管理ＤＢ２２０である。

【0155】

これにより、データ処理サーバＳｉは、データ提供者または他のデータ処理サーバＳｊからデータを受け付けた際に、実データ（処理対象データ）と異なる記憶媒体（例えば、変更管理ＤＢ２２０）にデータのハッシュ値を格納することができる。例えば、データ処理サーバＳｉは、改ざん検知用のハッシュ値を管理用ＤＢサーバ２０１で管理することで、自サーバ内で管理する場合に比べて管理負荷を削減することができる。また、データ処理サーバＳｉは、改ざん検知のために、自サーバ内の記憶容量が圧迫されるのを防ぐことができる。

【0156】

また、データ処理サーバＳｉによれば、データ基盤システム２００外またはデータ基盤システム２００内の他のデータ処理サーバＳｊに、自サーバ内の第１のトランＩＤに対応するデータを出力する際に、当該データから生成したハッシュ値＄１を取得することができる。そして、データ処理サーバＳｉによれば、共用記憶領域から第１のトランＩＤに対応するハッシュ値＄２を取得し、取得したハッシュ値＄１とハッシュ値＄２とが一致しない場合に、自サーバ内の第１のトランＩＤに対応するデータの改ざんを検知することができる。

【0157】

これにより、データ処理サーバＳｉは、データ利用者または他のデータ処理サーバＳｊにデータを出力する際に、実データと異なる記憶媒体（例えば、変更管理ＤＢ２２０）に格納したハッシュ値を用いて、データの改ざんを検知することができる。例えば、データ処理サーバＳｉは、実データを比較して改ざんを検知する場合に比べて、比較処理にかかる負荷を削減することができる。

【0158】

また、データ処理サーバＳｉによれば、第１のトランＩＤに対応するデータの改ざんを検知した場合、データ基盤システム２００のシステム管理者に対して、第１のトランＩＤを含む改ざん検知通知を出力することができる。

【0159】

これにより、データ処理サーバＳｉは、データの改ざんを検知した場合、システム管理者に対して、第１のトランＩＤに対応するデータが改ざんされていることを通知することができる。システム管理者は、データの改ざんが検知された際に、第１のトランＩＤをキーとして、改ざんされたデータを容易に特定することができ、データの由来などを追跡することができる。

【0160】

また、データ処理サーバＳｉによれば、第１のトランＩＤに対応するデータの改ざんを検知した場合、データ基盤システム２００外またはデータ基盤システム２００内の他のデータ処理サーバＳｊに対する、第１のトランＩＤに対応するデータの出力を停止することができる。

【0161】

これにより、データ処理サーバＳｉは、第１のトランＩＤに対応するデータの改ざんを検知した場合、改ざんされたデータの出力を停止して、被害の拡大を防ぐことができる。

【0162】

また、データ処理サーバＳｉによれば、取得したハッシュ値＄１とハッシュ値＄２とが一致する場合、データ基盤システム２００外またはデータ基盤システム２００内の他のデータ処理サーバＳｊに、第１のトランＩＤに対応するデータを出力することができる。

【0163】

これにより、データ処理サーバＳｉは、データ利用者または他のデータ処理サーバＳｊに対して、真正性が確保されたデータを出力することができる。

【0164】

また、データ処理サーバＳｉによれば、共用記憶領域にハッシュ値を格納する際に、受け付けたデータに対応するトランＩＤと対応付けて、さらに、受け付けたデータの提供元を表す情報を格納することができる。

【0165】

これにより、データ処理サーバＳｉは、管理用ＤＢサーバ２０１の変更管理ＤＢ２２０において、第１のトランＩＤを用いて、改ざん検知用のハッシュ値とともに、データ提供者を特定可能な情報を一元管理することができる。システム管理者は、例えば、データの改ざんが検知された際に、第１のトランＩＤをキーとして、データ提供者（データの由来）を把握することができる。また、システム管理者は、データ提供者に連絡して、改ざんされたデータの再提供を依頼することができる。また、システム管理者は、例えば、データ提供者の属性、取引内容などを手がかりにして、同様のデータが改ざんされる可能性があることを判断して、データ提供者に注意喚起することができる。

【0166】

また、データ処理サーバＳｉによれば、共用記憶領域にハッシュ値を格納する際に、受け付けたデータに対応するトランＩＤと対応付けて、さらに、受け付けたデータに関する業務を表す情報を格納することができる。

【0167】

これにより、データ処理サーバＳｉは、管理用ＤＢサーバ２０１の変更管理ＤＢ２２０において、第１のトランＩＤを用いて、改ざん検知用のハッシュ値とともに、データが用いられる業務を特定可能な情報を一元管理することができる。システム管理者は、例えば、データの改ざんが検知された際に、第１のトランＩＤをキーとして、改ざんされたデータにかかる業務を把握することができる。また、システム管理者は、業務の種類や内容などから、データの改ざんが、即座に解消すべき緊急性の高い問題なのかどうかを判断することができる。

【0168】

また、データ処理サーバＳｉによれば、共用記憶領域にハッシュ値を格納する際に、受け付けたデータに対応するトランＩＤと対応付けて、さらに、当該トランＩＤに対応するデータが自装置に存在することを表す情報を格納することができる。

【0169】

これにより、データ処理サーバＳｉは、管理用ＤＢサーバ２０１の変更管理ＤＢ２２０において、第１のトランＩＤを用いて、改ざん検知用のハッシュ値とともに、データ処理中のサーバを特定可能な情報を一元管理することができる。システム管理者は、例えば、データの改ざんが検知された際に、第１のトランＩＤをキーとして、改ざんされたデータがどこにあるのかを把握することができる。

【0170】

また、データ処理サーバＳｉによれば、処理対象データが、受け付けたデータのときは、ハッシュ値＄１とハッシュ値＄２とが一致する場合に、自装置内の第１のトランＩＤに対応するデータを加工した加工後のデータを出力することができる。

【0171】

これにより、データ処理サーバＳｉは、加工元のデータの真正性を確認した上で、データに対する加工（ＥＴＬによる変換）を実施することができる。

【0172】

また、データ処理サーバＳｉによれば、データ基盤システム２００外からデータを受け付けた場合、データ基盤システム２００内の復旧用記憶領域に、受け付けたデータを複製したバックアップデータを格納することができる。

【0173】

これにより、データ処理サーバＳｉは、データが改ざんされる場合があることを想定して、データを復旧するためのバックアップデータを蓄積することができる。

【0174】

これらのことから、データ処理サーバＳｉは、データ提供者から入力されるデータがデータ基盤システム２００内のサーバ間を経由する際に変換される場合であっても、データの真正性を確保してデータ利用者に提供することができる。また、データ処理サーバＳｉは、データの変更記録（例えば、変更管理ＤＢ２２０内の変更管理情報）を実データと分離して管理用ＤＢサーバ２０１上で管理することで、自サーバでのデータ処理の性能を犠牲にすることなく、データの改ざんを検知することができる。

【0175】

また、システム管理者は、データの改ざんがされた場合に、各サーバのログを収集して解析する場合などに比べて、データ基盤システム２００内で「いつ」、「どこで」改ざんが発生したかを容易に特定することが可能となり、データ復旧までにかかる時間を短縮することができる。データ基盤システム２００は、例えば、サプライチェーンにおける事業者間（卸売業者と小売業者など）で伝票データなどを共有する場合に利用することができる。

【0176】

なお、本実施の形態で説明したデータ管理方法は、あらかじめ用意されたプログラムをパーソナル・コンピュータやワークステーション等のコンピュータで実行することにより実現することができる。本データ管理プログラムは、ハードディスク、フレキシブルディスク、ＣＤ－ＲＯＭ、ＤＶＤ、ＵＳＢメモリ等のコンピュータで読み取り可能な記録媒体に記録され、コンピュータによって記録媒体から読み出されることによって実行される。また、本データ管理プログラムは、インターネット等のネットワークを介して配布してもよい。

【0177】

また、本実施の形態で説明した処理装置１０１（データ処理サーバＳｉ）は、スタンダードセルやストラクチャードＡＳＩＣ（Ａｐｐｌｉｃａｔｉｏｎ Ｓｐｅｃｉｆｉｃ Ｉｎｔｅｇｒａｔｅｄ Ｃｉｒｃｕｉｔ）などの特定用途向けＩＣやＦＰＧＡなどのＰＬＤ（Ｐｒｏｇｒａｍｍａｂｌｅ Ｌｏｇｉｃ Ｄｅｖｉｃｅ）によっても実現することができる。

【0178】

上述した実施の形態に関し、さらに以下の付記を開示する。

【0179】

（付記１）１以上の処理装置を含むシステム内の処理装置であって、
前記システム外または前記システム内の他の処理装置からデータを受け付けた場合、受け付けた前記データに対応する第１のＩＤと対応付けて、前記データまたは当該データを加工した加工後のデータのいずれかのデータから生成した第１のハッシュ値を、前記１以上の処理装置からアクセス可能な共用記憶領域に格納し、
前記いずれかのデータを前記第１のＩＤと対応付けて、自装置内に格納し、
前記システム外または前記システム内の他の処理装置に、自装置内の前記第１のＩＤに対応するデータを出力する際に、当該データから生成した第２のハッシュ値を取得し、
前記共用記憶領域から前記第１のＩＤに対応する前記第１のハッシュ値を取得し、
取得した前記第１のハッシュ値と前記第２のハッシュ値とが一致しない場合に、自装置内の前記第１のＩＤに対応するデータの改ざんを検知する、
制御部を有することを特徴とする処理装置。

【0180】

（付記２）前記制御部は、
前記第１のＩＤに対応するデータの改ざんを検知した場合、前記システムの管理者に対して、前記第１のＩＤを含む改ざん検知通知を出力する、ことを特徴とする付記１に記載の処理装置。

【0181】

（付記３）前記制御部は、
前記第１のＩＤに対応するデータの改ざんを検知した場合、前記システム外または前記システム内の他の処理装置に対する、自装置内の前記第１のＩＤに対応するデータの出力を停止する、ことを特徴とする付記１または２に記載の処理装置。

【0182】

（付記４）前記制御部は、
取得した前記第１のハッシュ値と前記第２のハッシュ値とが一致する場合、前記システム外または前記システム内の他の処理装置に、自装置内の前記第１のＩＤに対応するデータを出力する、ことを特徴とする付記１～３のいずれか一つに記載の処理装置。

【0183】

（付記５）前記制御部は、
前記共用記憶領域に前記第１のハッシュ値を格納する際に、前記第１のＩＤと対応付けて、さらに、受け付けた前記データの提供元を表す情報を格納する、ことを特徴とする付記２に記載の処理装置。

【0184】

（付記６）前記制御部は、
前記共用記憶領域に前記第１のハッシュ値を格納する際に、前記第１のＩＤと対応付けて、さらに、受け付けた前記データに関する業務を表す情報を格納する、ことを特徴とする付記２に記載の処理装置。

【0185】

（付記７）前記制御部は、
前記共用記憶領域に前記第１のハッシュ値を格納する際に、前記第１のＩＤと対応付けて、さらに、前記第１のＩＤに対応するデータが自装置に存在することを表す情報を格納する、ことを特徴とする付記２に記載の処理装置。

【0186】

（付記８）前記制御部は、
前記いずれかのデータが、受け付けた前記データのときは、前記第１のハッシュ値と前記第２のハッシュ値とが一致する場合に、自装置内の前記第１のＩＤに対応するデータを加工した加工後のデータを出力する、ことを特徴とする付記４に記載の処理装置。

【0187】

（付記９）前記制御部は、
前記システム外からデータを受け付けた場合、前記システム内の復旧用記憶領域に、受け付けたデータを複製したバックアップデータを格納する、ことを特徴とする付記１～８のいずれか一つに記載の処理装置。

【0188】

（付記１０）１以上の処理装置を含むシステム内の処理装置が、
前記システム外または前記システム内の他の処理装置からデータを受け付けた場合、受け付けた前記データに対応する第１のＩＤと対応付けて、前記データまたは当該データを加工した加工後のデータのいずれかのデータから生成した第１のハッシュ値を、前記１以上の処理装置からアクセス可能な共用記憶領域に格納し、
前記いずれかのデータを前記第１のＩＤと対応付けて、自装置内に格納し、
前記システム外または前記システム内の他の処理装置に、自装置内の前記第１のＩＤに対応するデータを出力する際に、当該データから生成した第２のハッシュ値を取得し、
前記共用記憶領域から前記第１のＩＤに対応する前記第１のハッシュ値を取得し、
取得した前記第１のハッシュ値と前記第２のハッシュ値とが一致しない場合に、自装置内の前記第１のＩＤに対応するデータの改ざんを検知する、
処理を実行することを特徴とするデータ管理方法。

【0189】

（付記１１）１以上の処理装置を含むシステム内の処理装置に、
前記システム外または前記システム内の他の処理装置からデータを受け付けた場合、受け付けた前記データに対応する第１のＩＤと対応付けて、前記データまたは当該データを加工した加工後のデータのいずれかのデータから生成した第１のハッシュ値を、前記１以上の処理装置からアクセス可能な共用記憶領域に格納し、
前記いずれかのデータを前記第１のＩＤと対応付けて、自装置内に格納し、
前記システム外または前記システム内の他の処理装置に、自装置内の前記第１のＩＤに対応するデータを出力する際に、当該データから生成した第２のハッシュ値を取得し、
前記共用記憶領域から前記第１のＩＤに対応する前記第１のハッシュ値を取得し、
取得した前記第１のハッシュ値と前記第２のハッシュ値とが一致しない場合に、自装置内の前記第１のＩＤに対応するデータの改ざんを検知する、
処理を実行させることを特徴とするデータ管理プログラム。

【符号の説明】

【0190】

１００ システム
１０１ 処理装置
１０２，６０１ データ提供者
１０３，６０２ データ利用者
１０４，６０３ 悪意のあるユーザ
１１０ 共用記憶領域
１１１，１１２？，６１０ａ，６１０，６１１，６１２，６１３ データ
１１２ 処理対象データ
１１３ 第１のハッシュ値
１１４ 第２のハッシュ値
１２０ 第１のＩＤ
１３０ 記憶領域
２００ データ基盤システム
２０１ 管理用ＤＢサーバ
２０２ ユーザ端末
２０３ 管理者端末
２１０ ネットワーク
２２０ 変更管理ＤＢ
３００ バス
３０１ ＣＰＵ
３０２ メモリ
３０３ ディスクドライブ
３０４ ディスク
３０５ 通信Ｉ／Ｆ
３０６ 可搬型記録媒体Ｉ／Ｆ
３０７ 可搬型記録媒体
５００ 制御部
５０１ 受付部
５０２ 格納部
５０３ 出力制御部
５０４ 通知部
６０４ システム管理者
６２０ 改ざん検知通知
９０１，９０２ 伝票データ
１０００ バックアップＤＢ
Ｓ１～Ｓｎ，Ｓｉ，Ｓｊ データ処理サーバ

【図1】

【図2】

【図3】

【図4】

【図5】

【図6】

【図7】

【図8】

【図9A】

【図9B】

【図10】

【図11】

【図12】