特開 2024-61486 試験データ証明システム

(19)【発行国】日本国特許庁(JP)

(12)【公報種別】公開特許公報(A)

(11)【公開番号】P2024061486

(43)【公開日】2024-05-07

(54)【発明の名称】試験データ証明システム

(51)【国際特許分類】

   G16H 10/00 20180101AFI20240425BHJP

【ＦＩ】

G16H10/00

【審査請求】未請求

【請求項の数】4

【出願形態】ＯＬ

(21)【出願番号】P 2022169462

(22)【出願日】2022-10-21

(71)【出願人】

【識別番号】306043426

【氏名又は名称】株式会社インテリム

(74)【代理人】

【識別番号】110003650

【氏名又は名称】弁理士法人ブランシェ国際知的財産事務所

(74)【代理人】

【識別番号】100132621

【弁理士】

【氏名又は名称】高松 孝行

(74)【代理人】

【識別番号】100123364

【弁理士】

【氏名又は名称】鈴木 徳子

(72)【発明者】

【氏名】浮田 哲州

(72)【発明者】

【氏名】井上 哲秀

(72)【発明者】

【氏名】山崎 敦志

(72)【発明者】

【氏名】川谷 聡

【テーマコード（参考）】

5L099

【Ｆターム（参考）】

5L099AA21

(57)【要約】

【課題】データ検証サーバから試験データ格納サーバに送信された時点の試験データと、試験データ格納サーバに格納されている試験データとの同一性を間接的に証明することができる試験データ検証システムを提供する。
【解決手段】データ検証サーバから試験データ格納サーバに送信された時点における試験データが含まれる試験ファイルの試験ファイルハッシュと、時刻認証されたタイムスタンプトークンに含まれる試験ファイルハッシュとを比較する。そして、それらの試験ファイルハッシュが同一であれば、試験データ格納サーバの試験データ格納部に格納された試験データは、時刻認証された時点の試験データと同一であること（改ざんされていないこと）を間接的に証明することができる。
【選択図】図７

【特許請求の範囲】

【請求項1】

所定の試験に関する試験データが入力されるデータ入力端末と、
入力された前記試験データに関連する要求情報に基づいて、当該試験データを表示するデータ出力端末と、
データ検証サーバと、
時刻認証サーバと、
試験データ格納サーバと、
がネットワークを介してそれぞれ接続され、所定の秘密鍵情報および当該所定の秘密鍵情報に対応する公開鍵情報を利用した公開鍵暗号を用いて、前記試験データ格納サーバに保存される当該試験データの完全性を間接的に証明する試験データ証明システムであって、
前記データ検証サーバは、
前記データ入力端末から送信された前記試験データから試験ファイルを作成する試験ファイル作成部と、
前記試験ファイルを特定するためのインデックス情報を作成するインデックス情報作成部と、
前記試験データおよび前記インデックス情報を前記試験データ格納サーバに送信するデータ送信部と、
前記試験ファイルをハッシュ化して試験ファイルハッシュを作成するハッシュ化部と、
前記試験ファイルハッシュを前記時刻認証サーバに送信し、前記時刻認証サーバにより、時刻情報および前記試験ファイルハッシュを前記所定の秘密鍵情報で電子署名して時刻認証された時刻認証値と、前記公開鍵情報とを含むタイムスタンプトークンを受信する時刻認証部と、
前記試験ファイルと、当該試験ファイルに関連する前記インデックス情報と、当該試験ファイルに関連する前記タイムスタンプトークンを格納する記憶部と、
前記要求情報に関連する前記試験データが含まれる前記試験ファイルの前記インデックス情報に基づいて、前記記憶部から、当該要求情報に関連する前記試験データが含まれる前記試験ファイルおよび前記タイムスタンプトークンを抽出する試験データ関連情報抽出部と、
前記試験データ関連情報抽出部により抽出された前記タイムスタンプトークンに含まれる前記公開鍵情報に基づき、前記タイムスタンプトークンに含まれる前記時刻認証値から前記試験ファイルハッシュを抽出する時刻認証前試験ファイルハッシュ抽出部と、
前記試験データ関連情報抽出部により抽出された前記試験ファイルをハッシュ化して、比較用試験ファイルハッシュを作成する比較用試験ファイル作成部と、
前記比較用試験ファイルハッシュと前記時刻認証前試験ファイルハッシュ抽出部により抽出された前記試験ファイルハッシュとを照合し、同一であるか否かの照合情報を作成して前記データ出力端末に送信する試験ファイルハッシュ照合部と、を有し、
前記試験データ格納サーバは、
前記データ送信部から送信された前記試験データおよび前記インデックス情報を格納する試験データ格納部と、
前記要求情報に基づいて、当該要求情報に関連する前記試験データ、および当該試験データが含まれる前記試験ファイルの前記インデックス情報を抽出する試験データ抽出部と、を有し、
前記時刻認証サーバは、
前記試験ファイルハッシュに時刻情報を付加した後、前記秘密鍵情報を用いて電子署名することで時刻認証し、前記公開鍵情報を付加したタイムスタンプトークンを作成するトークン作成部を、有し、
データ出力端末は、
前記要求情報を入力する入力部と、
前記要求情報を前記試験データ格納サーバに送信して、前記試験データ格納サーバから前記要求情報に関連する前記試験データおよび当該試験データを含む前記インデックス情報を取得する前記試験データ入手部と、
前記試験データ入手部により入手した前記インデックス情報を前記データ検証サーバに送信するインデックス情報送信部と、
前記試験ファイルハッシュ照合部により作成された前記照合情報および前記試験データを表示する表示部と、を有する、
ことを特徴とする試験データ証明システム。

【請求項2】

所定の試験に関する試験データが入力されるデータ入力端末と、
入力された前記試験データに関連する要求情報に基づいて、当該試験データを表示するデータ出力端末と、
データ検証サーバと、
時刻認証サーバと、
試験データ格納サーバと、
がネットワークを介してそれぞれ接続され、所定の秘密鍵情報および当該所定の秘密鍵情報に対応する公開鍵情報を利用した公開鍵暗号を用いて、前記試験データ格納サーバに保存される当該試験データの完全性を間接的に証明する試験データ証明システムであって、
前記データ検証サーバは、
前記データ入力端末から送信された前記試験データから試験ファイルを作成する試験ファイル作成部と、
前記試験ファイルを特定するためのインデックス情報を作成するインデックス情報作成部と、
前記試験データおよび前記インデックス情報を前記試験データ格納サーバに送信するデータ送信部と、
前記試験ファイルをハッシュ化して試験ファイルハッシュを作成するハッシュ化部と、
前記試験ファイルハッシュを前記時刻認証サーバに送信し、前記時刻認証サーバにより、時刻情報および前記試験ファイルハッシュを前記所定の秘密鍵情報で電子署名して時刻認証された時刻認証値と、前記公開鍵情報とを含むタイムスタンプトークンを受信する時刻認証部と、
前記試験ファイルと、当該試験ファイルに関連する前記インデックス情報と、当該試験ファイルに関連する前記タイムスタンプトークンを格納する記憶部と、
前記要求情報に関連する前記試験データが含まれる前記試験ファイルの前記インデックス情報に基づいて、前記記憶部から、当該要求情報に関連する前記試験データが含まれる前記試験ファイルおよび前記タイムスタンプトークンを抽出する試験データ関連情報抽出部と、
前記試験データ関連情報抽出部により抽出された前記タイムスタンプトークンに含まれる前記公開鍵情報に基づき、前記タイムスタンプトークンに含まれる前記時刻認証値から前記試験ファイルハッシュを抽出する時刻認証前試験ファイルハッシュ抽出部と、
前記試験データ関連情報抽出部により抽出された前記試験ファイルをハッシュ化して、比較用試験ファイルハッシュを作成する比較用試験ファイル作成部と、
前記比較用試験ファイルハッシュと前記時刻認証前試験ファイルハッシュ抽出部により抽出された前記試験ファイルハッシュとを照合し、同一であるか否かの照合情報を作成して前記データ格納サーバに送信する試験ファイルハッシュ照合部と、を有し、
前記試験データ格納サーバは、
前記データ送信部から送信された前記試験データおよび前記インデックス情報を格納する試験データ格納部と、
前記要求情報に基づいて、当該要求情報に関連する前記試験データ、および当該試験データが含まれる前記試験ファイルの前記インデックス情報を抽出する試験データ抽出部と、
前記試験データ抽出部により抽出された前記インデックス情報を前記データ検証サーバに送信するインデックス情報送信部と、
前記試験ファイルハッシュ照合部により作成された前記照合情報および前記試験データを前記データ出力端末に送信する照合情報等送信部と、を有し、
前記時刻認証サーバは、
前記試験ファイルハッシュに時刻情報を付加した後、前記秘密鍵情報を用いて電子署名することで時刻認証し、前記公開鍵情報を付加したタイムスタンプトークンを作成するトークン作成部を、有し、
データ出力端末は、
前記要求情報を入力する入力部と、
前記要求情報を前記試験データ格納サーバに送信して、前記試験データ格納サーバから前記要求情報に関連する前記試験データを取得する前記試験データ入手部と、
前記照合情報等送信部により送信された前記照合情報および前記試験データを表示する表示部と、を有する、
ことを特徴とする試験データ証明システム。

【請求項3】

試験ファイル作成部は、前記データ入力端末から送信された複数の試験データを結合して試験ファイルを作成することを特徴とする請求項１または２に記載の試験データ証明システム。

【請求項4】

試験データ格納部は、前記データ送信部から送信された前記試験データおよび前記インデックス情報を読取り専用で格納することを特徴とする請求項１または２に記載の試験データ証明システム。

【発明の詳細な説明】

【技術分野】

【0001】

本発明は、所定の試験に関する試験データと、試験データを格納するデータベースに格納されている、その試験データとの同一性を間接的に証明する試験データ証明システム、特に、医師等が入力した患者の臨床試験データと、ＥＤＣデータベースに格納された患者の臨床試験データとの同一性を間接的に証明する臨床試験データ証明システムに関する。

【背景技術】

【0002】

従来から、臨床試験データの収集を行う臨床情報収集システム（ＥＤＣシステム）が提案されている。例えば、特許文献１には、コンピュータを、医療情報に含まれる日付項目間の日付の前後関係の制約を構造化して記述した整合性定義情報に基づいて、検証の対象となる前記日付項目である比較元日付項目の日付と、前記比較元日付項目以外の前記日付項目である比較先日付項目の日付とを比較することによって、前記比較元日付項目と前記比較先日付項目との間の日付の整合性を検証する整合性検証手段として動作させるＥＤＣシステムが開示されている。

【先行技術文献】

【特許文献】

【0003】

【特許文献1】特開２０１９－８５１１号公報

【発明の概要】

【発明が解決しようとする課題】

【0004】

しかしながら、上述したＥＤＣシステムでは、常時データが追加・更新されているため、ＥＤＣデータベースに格納されている医療データに関し、タイムスタンプ等を用いて、時刻認証すること（その時刻にそのデータが存在していたことや、データが改ざんされていないことを証明すること）ができないという問題点があった。

【0005】

本発明は上述した事情に鑑み、所定の試験に関する試験データと、試験データを格納するデータベースに格納されている、その試験データとの同一性を間接的に証明する試験データ証明システムを提供することを目的とする。

【課題を解決するための手段】

【0006】

本発明の発明者は、上述した問題点に関して鋭意研究・開発を続けた結果、以下のような画期的な試験データ証明システムを見出した。

【0007】

上記課題を解決するための本発明の第１の態様は、所定の試験に関する試験データが入力されるデータ入力端末と、入力された試験データに関連する要求情報に基づいて、試験データを表示するデータ出力端末と、データ検証サーバと、時刻認証サーバと、試験データ格納サーバと、がネットワークを介してそれぞれ接続され、所定の秘密鍵情報および当該所定の秘密鍵情報に対応する公開鍵情報を利用した公開鍵暗号を用いて、試験データ格納サーバに保存される試験データの完全性を間接的に証明する試験データ証明システムであって、データ検証サーバは、データ入力端末から送信された試験データから試験ファイルを作成する試験ファイル作成部と、試験ファイルを特定するためのインデックス情報を作成するインデックス情報作成部と、試験データおよびインデックス情報を試験データ格納サーバに送信するデータ送信部と、試験ファイルをハッシュ化して試験ファイルハッシュを作成するハッシュ化部と、試験ファイルハッシュを時刻認証サーバに送信し、時刻認証サーバにより、時刻情報および試験ファイルハッシュを所定の秘密鍵情報で電子署名して時刻認証された時刻認証値と、公開鍵情報とを含むタイムスタンプトークンを受信する時刻認証部と、試験ファイルと、当該試験ファイルに関連するインデックス情報と、当該試験ファイルに関連するタイムスタンプトークンを格納する記憶部と、要求情報に関連する試験データが含まれる試験ファイルのインデックス情報に基づいて、記憶部から、当該要求情報に関連する試験データが含まれる試験ファイルおよびタイムスタンプトークンを抽出する試験データ関連情報抽出部と、試験データ関連情報抽出部により抽出されたタイムスタンプトークンに含まれる公開鍵情報に基づき、タイムスタンプトークンに含まれる時刻認証値から試験ファイルハッシュを抽出する時刻認証前試験ファイルハッシュ抽出部と、試験データ関連情報抽出部により抽出された試験ファイルをハッシュ化して、比較用試験ファイルハッシュを作成する比較用試験ファイル作成部と、比較用試験ファイルハッシュと時刻認証前試験ファイルハッシュ抽出部により抽出された試験ファイルハッシュとを照合し、同一であるか否かの照合情報を作成してデータ出力端末に送信する試験ファイルハッシュ照合部と、を有し、試験データ格納サーバは、試験ファイル送信部から送信された試験データおよびインデックス情報を格納する試験データ格納部と、要求情報に基づいて、当該要求情報に関連する試験データ、および当該試験データが含まれる試験ファイルのインデックス情報を抽出する試験データ抽出部と、を有し、時刻認証サーバは、試験ファイルハッシュに時刻情報を付加した後、秘密鍵情報を用いて電子署名をすることで時刻認証し、公開鍵情報を付加したタイムスタンプトークンを作成するトークン作成部を、有し、データ出力端末は、要求情報を入力する入力部と、要求情報を試験データ格納サーバに送信して、試験データ格納サーバから要求情報に関連する試験データおよび試験データを含むインデックス情報を取得する試験データ入手部と、試験データ入手部により入手したインデックス情報をデータ検証サーバに送信するインデックス情報送信部と、試験ファイルハッシュ照合部により作成された照合情報および試験データを表示する表示部と、を有することを特徴とする試験データ証明システムにある。

【0008】

ここで、「所定の試験」とは、工学、理学、医学等の自然科学における試験だけでなく、他の様々な分野における試験を意味し、例えば臨床試験を含む概念である。

【0009】

かかる第１の態様によれば、データ検証サーバから試験データ格納サーバに送信された時点の試験データと、試験データ格納部に格納されている試験データとの同一性を間接的に証明することができる。

【0010】

本発明の第２の態様は、所定の試験に関する試験データが入力されるデータ入力端末と、入力された試験データに関連する要求情報に基づいて、当該試験データを表示するデータ出力端末と、データ検証サーバと、時刻認証サーバと、試験データ格納サーバと、がネットワークを介してそれぞれ接続され、所定の秘密鍵情報および当該所定の秘密鍵情報に対応する公開鍵情報を利用した公開鍵暗号を用いて、試験データ格納サーバに保存される当該試験データの完全性を間接的に証明する試験データ証明システムであって、データ検証サーバは、データ入力端末から送信された試験データから試験ファイルを作成する試験ファイル作成部と、試験ファイルを特定するためのインデックス情報を作成するインデックス情報作成部と、試験データおよびインデックス情報を試験データ格納サーバに送信するデータ送信部と、試験ファイルをハッシュ化して試験ファイルハッシュを作成するハッシュ化部と、試験ファイルハッシュを時刻認証サーバに送信し、時刻認証サーバにより、時刻情報および試験ファイルハッシュを所定の秘密鍵情報で電子署名して時刻認証された時刻認証値と、公開鍵情報とを含むタイムスタンプトークンを受信する時刻認証部と、試験ファイルと、当該試験ファイルに関連するインデックス情報と、当該試験ファイルに関連するタイムスタンプトークンを格納する記憶部と、要求情報に関連する試験データが含まれる試験ファイルのインデックス情報に基づいて、記憶部から、当該要求情報に関連する試験データが含まれる試験ファイルおよびタイムスタンプトークンを抽出する試験データ関連情報抽出部と、試験データ関連情報抽出部により抽出されたタイムスタンプトークンに含まれる公開鍵情報に基づき、タイムスタンプトークンに含まれる時刻認証値から試験ファイルハッシュを抽出する時刻認証前試験ファイルハッシュ抽出部と、試験データ関連情報抽出部により抽出された試験ファイルをハッシュ化して、比較用試験ファイルハッシュを作成する比較用試験ファイル作成部と、比較用試験ファイルハッシュと時刻認証前試験ファイルハッシュ抽出部により抽出された試験ファイルハッシュとを照合し、同一であるか否かの照合情報を作成してデータ格納サーバに送信する試験ファイルハッシュ照合部と、を有し、試験データ格納サーバは、データ送信部から送信された試験データおよびインデックス情報を格納する試験データ格納部と、要求情報に基づいて、当該要求情報に関連する試験データ、および当該試験データが含まれる試験ファイルのインデックス情報を抽出する試験データ抽出部と、試験データ抽出部により抽出されたインデックス情報をデータ検証サーバに送信するインデックス情報送信部と、試験ファイルハッシュ照合部により作成された照合情報および試験データをデータ出力端末に送信する照合情報等送信部と、を有し、時刻認証サーバは、試験ファイルハッシュに時刻情報を付加した後、秘密鍵情報を用いて電子署名することで時刻認証し、公開鍵情報を付加したタイムスタンプトークンを作成するトークン作成部を、有し、データ出力端末は、要求情報を入力する入力部と、要求情報を試験データ格納サーバに送信して、試験データ格納サーバから要求情報に関連する試験データを取得する試験データ入手部と、照合情報等送信部により送信された照合情報および試験データを表示する表示部と、を有する、ことを特徴とする試験データ証明システムにある。

【0011】

かかる第２の態様によれば、データ検証サーバから試験データ格納サーバに送信された時点の試験データと、試験データ格納部に格納されている試験データとの同一性を間接的に証明することができる。

【0012】

本発明の第３の態様は、試験ファイル作成部は、データ入力端末から送信された複数の試験データを結合して試験ファイルを作成することを特徴とする第１または第２の態様に記載の試験データ証明システムにある。

【0013】

かかる第３の態様によれば、タイムスタンプトークンの作成頻度を抑えることができるので、時刻認証に係るコストを低減させることができる。

【0014】

本発明の第４の態様は、試験データ格納部は、データ送信部から送信された試験データおよびインデックス情報を読取り専用で格納することを特徴とする第１または第２の態様に記載の試験データ証明システムにある。

【0015】

かかる第４の態様によれば、試験データ格納部は、試験データおよびインデックス情報を読取り専用で格納することができるので、これらの情報が変更されることがなくなる。その結果、試験データの完全性の証明力を向上させることができる。

【0016】

なお、本発明において、「データベース」、「システム」、「部」、「手段」とは、単に物理的手段を意味するものではなく、その「データベース」、「システム」、「部」、「手段」が有する機能をソフトウェアによって実現する場合も含む。また、１つの「データベース」、「システム」、「部」、「手段」が有する機能が２つ以上の物理的手段や装置により実現されても、２つ以上の「データベース」、「システム」、「部」、「手段」の機能が１つの物理的手段や装置により実現されてもよい。

【図面の簡単な説明】

【0017】

【図1】図１は実施形態１に係る試験データ証明システムの概略概念図である。

【図2】図２は実施形態１に係る試験データの一例を示す表である。

【図3】図３は実施形態１に係るデータ検証サーバの概略概念図である。

【図4】図４は実施形態１に係る試験データ格納サーバの概略概念図である。

【図5】図５は実施形態１に係るデータ出力端末の概略概念図である。

【図6】図６は実施形態１に係る試験データ証明システムの試験データ登録に関する動作を示すフローチャートである。

【図7】図７は実施形態１に係る試験データ証明システムの試験データ表示に関する動作を示すフローチャートである。

【図8】図８は実施形態２に係るデータ検証サーバの概略概念図である。

【図9】図９は実施形態２に係る試験データ格納サーバの概略概念図である。

【図10】図１０は実施形態２に係るデータ出力端末の概略概念図である。

【図11】図１１は実施形態２に係る試験データ証明システムの試験データ表示に関する動作を示すフローチャートである。

【発明を実施するための形態】

【0018】

以下に添付図面を参照して、本発明に係る試験データ証明システムの実施形態を説明する。以下では、試験データとして臨床データを用いた試験データ証明システムを例にして説明する。なお、本発明は、以下の実施形態に限定されるものではない。
（実施形態１）

【0019】

図１は、本実施形態に係る試験データ証明システムの概略概念図である。この図に示すように、試験データ証明システム１は、ネットワーク５０を介して接続された、データ入力端末１０と、データ検証サーバ２０と、試験データ格納サーバ（ＥＤＣサーバ）３０と、データ出力端末４０と、時刻認証サーバ１００とで構成されている。

【0020】

なお、本実施形態では、データ入力端末１０、データ検証サーバ２０、データ出力端末４０および時刻認証サーバ１００はそれぞれ１つとしているが、それぞれが複数存在していてもよいのは言うまでもない。

【0021】

データ入力端末１０は、医師等によって、試験データ３１１を入力することができると共に、ネットワーク５０を介して、その試験データ３１１をデータ検証サーバ２０に送信できるものであれば特に限定されない。データ入力端末１０としては、例えば、パーソナルコンピュータ等が挙げられる。

【0022】

ここで、試験データ３１１は、臨床試験によって得られる患者の情報であれば特に限定されない。試験データ３１１としては、例えば、患者の生年月日、性別、測定日、身長、体重、アレルギーの有無、アレルギーの詳細、同意取得前３年以内の悪性腫瘍の既往歴、家族性腫瘍の問診等の基本情報、疾患情報、目の既往歴・合併症、全身性の既往歴・合併症に関する情報等が挙げられる。

【0023】

具体的には、試験データ３１１としては、例えば、図２（ａ）に示すような患者の体温データを結合したものである。ここで、図２（ａ）における「患者Ａ」、「患者Ｂ」、「患者Ｃ」は、特定の患者を示すユニークな識別番号等であり、これに基づいて、その体温データの患者（その体温データに紐づけられた患者）を特定することができる。なお、図２（ａ）では、試験データ３１１として、各患者の体温のみのデータを結合したものの例を挙げているが、患者の生年月日、性別、測定日、身長、体重、アレルギーの有無等の複数の試験データを患者ごとまとめ、それを結合したものでもよいし、図２（ｂ）に示すように、試験データ３１１のフォーマットが決まっている場合（各患者の試験データがどこに位置するのか決まっている場合）には、体温データのみが結合したものとなっていてもよい。なお、試験データ３１１としては、上述したように、複数の患者のデータを結合したものだけでなく、患者ごとの試験データ単体で構成されていてもよい。

【0024】

次に、データ検証サーバ２０について説明する。図３は、本実施形態に係るデータ検証サーバ２０の概略概念図である。この図に示すように、データ検証サーバ２０は、試験ファイル作成部２１、インデックス情報作成部２２、データ送信部２３、ハッシュ化部２４、時刻認証部２５、試験データ関連情報抽出部２６、時刻認証前試験ファイルハッシュ抽出部２７、比較用試験ファイル作成部２８、試験ファイルハッシュ照合部２９および記憶部２００を有している。

【0025】

試験ファイル作成部２１は、データ入力端末１０から送信された試験データ３１１から試験ファイル２０１を作成することができるものであれば特に限定されない。ここで、試験ファイル作成部２１は、例えば、試験データ３１１をそのまま試験ファイル２０１にしてもよいし、複数の試験データが結合された試験データ３１１（ここでの試験データ３１１とは、複数の試験データを結合して構成されているものをいう。）を、さらに結合して試験ファイル２０１を作成してもよい。すなわち、試験ファイル作成部２１は、１つの試験データ３１１から１つの試験ファイル２０１を作成してもよいし、より多くの試験データ３１１からなる試験ファイル２０１を作成してもよい。複数の試験データ３１１を結合して試験ファイル２０１を作成することにより、後述する時刻認証を行う回数を低減させることができる。試験ファイル作成部２１としては、例えば、このような機能を有するプログラム等が挙げられる。

【0026】

インデックス情報作成部２２は、試験データ３１１が含まれている試験ファイル２０１を特定するためのインデックス情報２０２を作成することができるものであれば特に限定されない。

【0027】

ここで、インデックス情報２０２は、試験データ３１１が含まれる試験ファイル２０１を特定できる情報であれば特に限定されない。インデックス情報２０２としては、例えば、図２（ａ）に示す試験ファイル２０１の場合には、「患者Ａ」の試験データ３１１である体温「３６．１」が含まれる試験ファイル２０１のファイル名等が挙げられる。すなわち、この場合には、ある試験ファイル２０１のインデックス情報２０２には、試験ファイル２０１のファイル名等と、その試験ファイル２０１に含まれる患者の識別番号等の情報が含まれることになる。

【0028】

したがって、後述する要求情報として、例えば「患者Ａ」「体温」が指定された場合には、インデックス情報２０２により、「患者Ａ」の「体温」の情報が含まれるファイル名等が分かるので、「患者Ａ」の試験データ３１１である体温「３６．１」が含まれる試験ファイル２０１を特定することができる。なお、インデックス情報２０２には、試験ファイル２０１をデータ検証サーバ２０が受信した時刻や、複数の試験データ３１１を結合して試験ファイル２０１を作成した時刻が含まれていてもよい。これらの時刻が含まれることによって、時刻による検索が可能となる。

【0029】

データ送信部２３は、試験データ３１１およびインデックス情報２０２を、試験データ格納サーバ３０に送信することができるものであれば特に限定されない。データ送信部２３としては、例えば、このような機能を有するプログラム等が挙げられる。

【0030】

ハッシュ化部２４は、試験ファイル２０１をハッシュ化して試験ファイルハッシュを作成することができるものであれば特に限定されない。ハッシュ化部２４としては、例えば、このような機能を有するプログラム等が挙げられる。

【0031】

時刻認証部２５は、試験ファイルハッシュを時刻認証サーバ１００に送信し、時刻認証サーバ１００により、時刻情報および試験ファイルハッシュを所定の秘密鍵情報で電子署名して時刻認証した時刻認証値と、公開鍵情報とを含むタイムスタンプトークン２０３を受信することができるものであれば特に限定されない。ここで、時刻情報とは、時刻を示す情報であれば特に限定されない。時刻情報としては、例えば、試験ファイルハッシュを時刻認証サーバ１００が時刻認証した時刻等が挙げられる。また、時刻認証値は、時刻情報と試験ファイルハッシュを所定の秘密鍵情報で電子署名して時刻認証したものであれば、特に限定されない。時刻認証部２５としては、例えば、このような機能を有するプログラム等が挙げられる。

【0032】

記憶部２００は、試験ファイル２０１と、その試験ファイル２０１に関連するインデックス情報２０２と、その試験ファイル２０１に関連するタイムスタンプトークン２０３を格納することができるものであれば特に限定されない。記憶部２００としては、例えば、メモリ等の記憶媒体や市販されているデータベースソフトウェア等が挙げられる。

【0033】

試験データ関連情報抽出部２６は、要求情報に関連する試験データ３１１が含まれる試験ファイル２０１のインデックス情報２０２に基づいて、記憶部２００から、その要求情報に関連する試験データ３１１が含まれる試験ファイル２０１およびタイムスタンプトークン２０３を抽出することができるものであれば特に限定されない。試験データ関連情報抽出部２６としては、例えば、このような機能を有するプログラム等が挙げられる。

【0034】

時刻認証前試験ファイルハッシュ抽出部２７は、試験データ関連情報抽出部２６により抽出されたタイムスタンプトークン２０３に含まれる公開鍵情報に基づき、タイムスタンプトークン２０３に含まれる時刻認証値から試験ファイルハッシュ（時刻認証前試験ファイルハッシュ）を抽出することができるものであれば特に限定されない。時刻認証前試験ファイルハッシュ抽出部２７としては、例えば、このような機能を有するプログラム等が挙げられる。

【0035】

比較用試験ファイル作成部２８は、試験データ関連情報抽出部２６により抽出された試験ファイル２０１をハッシュ化して、比較用試験ファイルハッシュを作成することができるものであれば特に限定されない。比較用試験ファイル作成部２８としては、例えば、このような機能を有するプログラム等が挙げられる。

【0036】

試験ファイルハッシュ照合部２９は、比較用試験ファイルハッシュと時刻認証前試験ファイルハッシュとを照合して、同一であるか否かの照合情報を作成してデータ出力端末４０に送信することができるものであれば特に限定されない。試験ファイルハッシュ照合部２９としては、例えば、このような機能を有するプログラム等が挙げられる。

【0037】

なお、データ検証サーバ２０は、上述した機能を有するものであれば特に限定されない。データ検証サーバ２０としては、例えば、パーソナルコンピュータ等が挙げられる。

【0038】

さらに、試験データ格納サーバ３０について説明する。図４は、本実施形態に係る試験データ格納サーバ３０の概略概念図である。この図に示すように、試験データ格納サーバ３０は、試験データ格納部３１と、試験データ抽出部３２とを有している。

【0039】

試験データ格納部３１は、データ送信部２３から送信された試験データ３１１およびインデックス情報２０２を格納することができるものであれば特に限定されない。試験データ格納部３１としては、例えば、メモリ等の記憶媒体や市販されているデータベースソフトウェア等が挙げられる。

【0040】

試験データ抽出部３２は、要求情報に基づいて、その要求情報に関連する試験データ３１１およびその試験データ３１１が含まれる試験ファイル２０１のインデックス情報を抽出することができるものであれば特に限定されない。試験データ抽出部３２としては、例えば、このような機能を有するプログラム等が挙げられる。

【0041】

なお、試験データ格納サーバ３０としては、上述した機能を有するものであれば特に限定されない。試験データ格納サーバ３０としては、例えば、パーソナルコンピュータ等が挙げられる。

【0042】

次に、時刻認証サーバ１００について説明する。時刻認証サーバ１００は、試験ファイルハッシュおよび時刻情報を、秘密鍵情報を用いて電子署名することで時刻認証した時刻認証値と、公開鍵情報とを含むタイムスタンプトークンを作成するトークン作成部を有するものであれば特に限定されない。すなわち、タイムスタンプトークンは、時刻認証された試験ファイルハッシュおよび時刻情報と、公開鍵情報とを含むものである。時刻認証サーバ１００としては、例えば、時刻認証サービスを行っている企業の情報システム（時刻認証システム）等が挙げられる。

【0043】

さらに、データ出力端末４０について説明する。図５は、本実施形態に係るデータ出力端末４０の概略概念図である。この図に示すように、データ出力端末４０は、入力部４１と、試験データ入手部４２と、インデックス情報送信部４３と、表示部４４とを有している。

【0044】

入力部４１は、要求情報を入力することができるものであれば特に限定されない。入力部４１としては、例えば、キーボード、音声入力システムや、タッチパネル等が挙げられる。

【0045】

試験データ入手部４２は、入力された要求情報を試験データ格納サーバ３０に送信して、試験データ格納サーバ３０から要求情報に関連する試験データ３１１およびその試験データ３１１を含むインデックス情報２０２を取得することができるものであれば特に限定されない。試験データ入手部４２としては、例えば、このような機能を有するプログラム等が挙げられる。

【0046】

インデックス情報送信部４３は、試験データ入手部４２により入手したインデックス情報２０２をデータ検証サーバ２０に送信することができるものであれば特に限定されない。インデックス情報送信部４３としては、例えば、このような機能を有するプログラム等が挙げられる。

【0047】

表示部４４は、試験ファイルハッシュ照合部２９により作成された同一情報および試験データ３１１を表示することができるものであれば特に限定されない。表示部４４としては、液晶ディスプレイや有機ＥＬディスプレイ等が挙げられる。なお、表示部４４は、試験ファイルハッシュ照合部２９により、比較用試験ファイルハッシュと時刻認証前試験ファイルハッシュとが同一である場合にのみ、試験データ３１１を表示するようにしてもよい。

【0048】

データ出力端末４０は、上述した機能を有するものであれば特に限定されない。データ出力端末４０としては、例えば、パーソナルコンピュータ等が挙げられる。

【0049】

さらに、ネットワーク５０は、データ入力端末１０と、データ検証サーバ２０と、試験データ格納サーバ３０と、データ出力端末４０と、時刻認証サーバ１００とを接続することができるものであれば、有線・無線にかかわらず限定されない。ネットワーク５０としては、例えば、インターネットやイントラネット等が挙げられる。

【0050】

次に、本実施形態に係る試験データ証明システム１の動作について説明する。
＜試験データ登録に関する動作＞

【0051】

図６は、本実施形態に係る試験データ証明システム１の試験データ３１１等の登録に関する動作を示すフローチャートである。この図に示すように、試験データ証明システム１が稼働し（Ｓ１）、データ入力端末１０から試験データ３１１がデータ検証サーバ２０に送信される（Ｓ２）。その試験データ３１１を受信したデータ検証サーバ２０は、試験ファイル作成部２１により、試験データ３１１を含む試験ファイル２０１を作成する（Ｓ３）と共に、インデックス情報作成部２２により、インデックス情報２０２を作成する（Ｓ４）。その後、データ検証サーバ２０は、データ送信部２３により、試験データ３１１およびインデックス情報２０２を試験データ格納サーバ３０に送信する（Ｓ５）。

【0052】

次に、データ検証サーバ２０は、ハッシュ化部２４により、試験ファイル２０１から試験ファイルハッシュを作成し（Ｓ６）、時刻認証部２５により、その試験ファイルハッシュを時刻認証サーバ１００に送信して、タイムスタンプトークンを受信する（Ｓ７）。その後、データ検証サーバ２０は、試験ファイル２０１、その試験ファイルに関連するインデックス情報２０２、およびその試験ファイル２０１に関連するタイムスタンプトークンを記憶部２００に格納する（Ｓ８）。

【0053】

一方、試験データ３１１およびインデックス情報２０２を受信した試験データ格納サーバ３０は、試験データ３１１およびインデックス情報２０２を試験データ格納部３１に格納する（Ｓ９）。

【0054】

この結果、データ検証サーバ２０の記憶部２００には、試験ファイル２０１、インデックス情報２０２およびタイムスタンプトークンが格納される。一方、試験データ格納サーバ３０の試験データ格納部３１には、試験データ３１１およびインデックス情報２０２が格納される。

【0055】

そして、試験データ証明システム１の試験データ３１１等の登録に関する動作が終了する（Ｓ１０）。
＜試験データ表示に関する動作＞

【0056】

図７は、本実施形態に係る試験データ証明システムの試験データ表示に関する動作を示すフローチャートである。この図に示すように、試験データ証明システム１が稼働し（ＳＳ１）、データ出力端末４０の入力部４１に要求情報が入力される（ＳＳ２）と、その要求情報は、データ検証サーバ２０および試験データ格納サーバ３０にそれぞれ送信される（ＳＳ３）。

【0057】

要求情報を受信した試験データ格納サーバ３０は、試験データ抽出部３２により、その要求情報に基づいて、試験データ３１１およびその試験データ３１１が含まれる試験ファイルのインデックス情報２０２を抽出し、それらをデータ出力端末４０に送信する（ＳＳ４）。

【0058】

試験データ３１１およびインデックス情報２０２を受信したデータ出力端末４０は、インデックス情報をデータ検証サーバ２０に送信する（ＳＳ５）。

【0059】

インデックス情報２０２を受信したデータ検証サーバ２０は、試験データ関連情報抽出部２６により、そのインデックス情報２０２に基づいて、要求情報に関連する試験データ３１１が含まれる試験ファイル２０１およびタイムスタンプトークンを記憶部２００から抽出（ＳＳ６）し、さらに時刻認証前試験ファイルハッシュ抽出部２７により、そのタイムスタンプトークンに含まれる試験ファイルハッシュを抽出する（ＳＳ７）。

【0060】

次に、データ検証サーバ２０は、試験データ関連情報抽出部２６により抽出された試験ファイル２０１をハッシュ化して、比較用試験ファイルハッシュを作成する（ＳＳ８）。そして、データ検証サーバ２０は、比較用試験ファイルハッシュと時刻認証前試験ファイルハッシュ抽出部により抽出された試験ファイルハッシュとを照合して、照合情報を作成し（ＳＳ９）、その照合情報をデータ出力端末４０に送信する（ＳＳ１０）。

【0061】

そして、照合情報を受信したデータ出力端末４０は、表示部４４に、要求情報に対応する試験データ３１１および照合情報を表示し（ＳＳ１１）、試験データ証明システムの試験データ表示に関する動作を終了する（ＳＳ１２）。

【0062】

以上説明したように、本実施形態に係る試験データ証明システム１によれば、データ検証サーバ２０から試験データ格納サーバ３０に送信された時点の試験データ３１１と、試験データ格納サーバ３０に格納されている試験データとの同一性を間接的に証明することができる。すなわち、試験データ証明システム１によれば、データ検証サーバ２０から試験データ格納サーバ３０に送信された時点における試験データ３１１が含まれる試験ファイル２０１の試験ファイルハッシュと、時刻認証されたタイムスタンプトークンに含まれる試験ファイルハッシュとを比較することができるので、それらの試験ファイルハッシュが同一であれば、試験データ格納サーバ３０の試験データ格納部３１に格納された試験データ３１１は、時刻認証された時点の試験データ３１１と同一であること（改ざんされていないこと）を間接的に証明することができる。
（実施形態２）

【0063】

実施形態１では、データ出力端末がインデックス情報送信部を有するように、試験データ証明システムを構成したが、本発明はこれに限定されない。例えば、試験データ格納サーバがインデックス情報送信部を有するように試験データ証明システムを構成してもよい。

【0064】

本実施形態に係る試験データ証明システムを構成する各要素について説明する。本実施形態に係る試験データ証明システムは、実施形態１に係る試験データ証明システムと同様に、ネットワークを介して接続された、データ入力端末１０と、データ検証サーバ２０Ａと、試験データ格納サーバ（ＥＤＣサーバ）３０Ａと、データ出力端末４０Ａと、時刻認証サーバ１００とで構成されている。なお、後述する構成以外の構成は、実施形態１に係る試験データ証明システムと同様である。

【0065】

まず、本実施形態に係るデータ検証サーバ２０Ａについて説明する。データ検証サーバ２０Ａは、図８に示すように、実施形態１に係るデータ検証サーバと、試験ファイルハッシュ照合部２９Ａの機能のみが異なっている。具体的には、実施形態１における試験ファイルハッシュ照合部は、照合情報をデータ出力端末に送信するようになっていたが、本実施形態では、照合情報を試験データ格納サーバ３０Ａに送信するようになっている。なお、これ以外の構成については、実施形態１のデータ検証サーバと同様である。

【0066】

次に、本実施形態に係る試験データ格納サーバ３０Ａについて説明する。試験データ格納サーバ３０Ａは、図９に示すように、実施形態１のものと比較して、インデックス情報送信部４３Ａと、照合情報等送信部３５とをさらに有する。

【0067】

インデックス情報送信部４３Ａは、試験データ抽出部により抽出されたインデックス情報をデータ検証サーバ２０Ａに送信することができるものであれば特に限定されない。インデックス情報送信部４３Ａとしては、例えば、このような機能を有するプログラム等が挙げられる。

【0068】

また、照合情報等送信部３５は、試験ファイルハッシュ照合部により作成された照合情報および試験データをデータ出力端末４０Ａに送信することができるものであれば、特に限定されない。照合情報等送信部３５としては、例えば、このような機能を有するプログラム等が挙げられる。なお、これら以外の構成については、実施形態１のデータ格納サーバと同様である。

【0069】

さらに、本実施形態に係るデータ出力端末４０Ａについて説明する。データ出力端末４０Ａは、図１０に示すように、実施形態１のデータ出力端末と比較して、試験データ入手部４２Ａおよび表示部４４Ａの機能が異なっている。

【0070】

試験データ入手部４２Ａは、要求情報を試験データ格納サーバ３０Ａに送信して、試験データ格納サーバ３０Ａから要求情報に関連する試験データ３１１を取得することができるものであれば特に限定されない。試験データ入手部４２Ａとしては、例えば、このような機能を有するプログラム等が挙げられる。

【0071】

また、表示部４４Ａは、照合情報等送信部３５により送信された照合情報および試験データ３１１を表示することができるものであれば特に限定されない。表示部４４Ａとしては、例えば、液晶ディスプレイや有機ＥＬディスプレイ等が挙げられる。なお、これら以外の構成については、実施形態１のデータ出力端末と同様である。

【0072】

このように試験データ証明システムを構成することにより、次のようにして、データ出力端末４０Ａの表示部４４Ａに、試験データ３１１および照合情報を表示させることができる。なお、試験データ登録に関する動作は、実施形態１の試験データ証明システムと同様である。
＜試験データ表示に関する動作＞

【0073】

図１１は、本実施形態に係る試験データ証明システムの試験データ表示に関する動作を示すフローチャートである。この図に示すように、試験データ証明システムが稼働し（ｓｓ１）、データ出力端末４０Ａの入力部４１に要求情報が入力される（ｓｓ２）と、その要求情報は、試験データ格納サーバ３０Ａに送信される（ｓｓ３）。

【0074】

要求情報を受信した試験データ格納サーバ３０Ａは、試験データ抽出部３２により、その要求情報に基づいて、試験データ３１１およびその試験データ３１１が含まれる試験ファイルのインデックス情報２０２を抽出し、試験データ３１１をデータ出力端末４０Ａに送信する（ｓｓ４）と共に、インデックス情報２０２をデータ検証サーバ２０Ａに送信する（ｓｓ５）。

【0075】

インデックス情報２０２を受信したデータ検証サーバ２０Ａは、試験データ関連情報抽出部２６により、そのインデックス情報２０２に基づいて、要求情報に関連する試験データ３１１が含まれる試験ファイル２０１およびタイムスタンプトークンを記憶部２００から抽出（ｓｓ６）し、さらに時刻認証前試験ファイルハッシュ抽出部２７により、そのタイムスタンプトークンに含まれる試験ファイルハッシュを抽出する（ｓｓ７）。

【0076】

次に、データ検証サーバ２０Ａは、試験データ関連情報抽出部２６により抽出された試験ファイル２０１をハッシュ化して、比較用試験ファイルハッシュを作成する（ｓｓ８）。そして、データ検証サーバ２０Ａは、比較用試験ファイルハッシュと時刻認証前試験ファイルハッシュ抽出部２７により抽出された試験ファイルハッシュとを照合して、照合情報を作成し（ｓｓ９）、その照合情報を試験データ格納サーバ３０Ａに送信する（ｓｓ１０）。

【0077】

そして、照合情報を受信した試験データ格納サーバ３０Ａは、データ出力端末４０Ａに照合情報を転送する（ｓｓ１１）。照合情報を受信したデータ出力端末４０Ａは、表示部４４に、要求情報に対応する試験データ３１１および照合情報を表示し（ｓｓ１２）、試験データ証明システムの試験データ表示に関する動作を終了する（ｓｓ１３）。

【0078】

以上説明したように、本実施形態に係る試験データ証明システム１によれば、実施形態１に係る試験データ証明システムと同様に、データ検証サーバ２０Ａから試験データ格納サーバ３０Ａに送信された時点の試験データ３１１と、試験データ格納サーバ３０Ａに格納されている試験データとの同一性を間接的に証明することができる。
（実施形態３）

【0079】

実施形態１および２では、試験データ格納部は、試験ファイル送信部から送信された試験データおよびインデックス情報の格納方法について特に限定しなかったが、これらのデータを読み取り専用で格納するように、試験データ証明システムを構成してもよい。

【0080】

このように試験データ証明システムを構成することによって、試験データ格納部は、試験データおよびインデックス情報を読取り専用で格納することができるので、これらの情報が変更されることがなくなる。その結果、試験データの完全性の証明力を向上させることができる。

【符号の説明】

【0081】

１ 試験データ証明システム
１０ データ入力端末
２０、２０Ａ データ検証サーバ
２１ 試験ファイル作成部
２２ インデックス情報作成部
２３ データ送信部
２４ ハッシュ化部
２５ 時刻認証部
２６ 試験データ関連情報抽出部
２７ 時刻認証前試験ファイルハッシュ抽出部
２８ 比較用試験ファイル作成部
２９、２９Ａ 試験ファイルハッシュ照合部
３０、３０Ａ 試験データ格納サーバ
３１ 試験データ格納部
３２ 試験データ抽出部
３５ 照合情報等送信部
４０、４０Ａ データ出力端末
４１ 入力部
４２、４２Ａ 試験データ入手部
４３、４３Ａ インデックス情報送信部
４４、４４Ａ 表示部
５０ ネットワーク
１００ 時刻認証サーバ
２００ 記憶部
２０１ 試験ファイル
２０２ インデックス情報
２０３ タイムスタンプトークン
３１１ 試験データ

【図1】

【図2】

【図3】

【図4】

【図5】

【図6】

【図7】

【図8】

【図9】

【図10】

【図11】