特開 2024-61500 試験データ証明システム

(19)【発行国】日本国特許庁(JP)

(12)【公報種別】公開特許公報(A)

(11)【公開番号】P2024061500

(43)【公開日】2024-05-07

(54)【発明の名称】試験データ証明システム

(51)【国際特許分類】

   G16H 10/00 20180101AFI20240425BHJP

【ＦＩ】

G16H10/00

【審査請求】未請求

【請求項の数】3

【出願形態】ＯＬ

(21)【出願番号】P 2022169479

(22)【出願日】2022-10-21

(71)【出願人】

【識別番号】306043426

【氏名又は名称】株式会社インテリム

(74)【代理人】

【識別番号】110003650

【氏名又は名称】弁理士法人ブランシェ国際知的財産事務所

(74)【代理人】

【識別番号】100132621

【弁理士】

【氏名又は名称】高松 孝行

(74)【代理人】

【識別番号】100123364

【弁理士】

【氏名又は名称】鈴木 徳子

(72)【発明者】

【氏名】浮田 哲州

(72)【発明者】

【氏名】井上 哲秀

(72)【発明者】

【氏名】山崎 敦志

(72)【発明者】

【氏名】川谷 聡

【テーマコード（参考）】

5L099

【Ｆターム（参考）】

5L099AA21

(57)【要約】

【課題】データ検証サーバから試験データ格納サーバに送信された時点の試験データと、試験データ格納サーバに格納されている試験データとの同一性を間接的に証明することができる試験データ検証システムを提供する。
【解決手段】データ検証サーバから試験データ格納サーバに送信された時点における試験データが含まれる試験ファイルの試験ファイルハッシュと、時刻認証されたタイムスタンプトークンに含まれる試験ファイルハッシュとを比較すると共に、試験データ格納サーバに格納された試験データと試験ファイルに含まれる試験データとを比較する。そして、それらの試験データが同一で、かつそれらの試験ファイルハッシュが同一であれば、試験データ格納サーバの試験データ格納部に格納された試験データは、時刻認証された時点の試験データと同一であること（改ざんされていないこと）を間接的に証明することができる
【選択図】図７

【特許請求の範囲】

【請求項1】

所定の試験に関する試験データが入力されるデータ入力端末と、
入力された前記試験データに関連する要求情報に基づいて、当該試験データを表示するデータ出力端末と、
データ検証サーバと、
時刻認証サーバと、
試験データ格納サーバと、
がネットワークを介してそれぞれ接続され、所定の秘密鍵情報および当該所定の秘密鍵情報に対応する公開鍵情報を利用した公開鍵暗号を用いて、前記試験データ格納サーバに保存される当該試験データの完全性を間接的に証明する試験データ証明システムであって、
前記データ検証サーバは、
前記データ入力端末から送信された前記試験データから試験ファイルを作成する試験ファイル作成部と、
前記試験ファイルを特定するためのインデックス情報を作成するインデックス情報作成部と、
前記試験ファイルに含まれる前記試験データを特定するためのデータインデックス情報を作成するデータインデックス情報作成部と、
前記試験データ、前記インデックス情報および前記データインデックス情報を前記試験データ格納サーバに送信するデータ送信部と、
前記試験ファイルをハッシュ化して試験ファイルハッシュを作成するハッシュ化部と、
前記試験ファイルハッシュを前記時刻認証サーバに送信し、前記時刻認証サーバにより、時刻情報および前記試験ファイルハッシュを前記所定の秘密鍵情報で電子署名して時刻認証された時刻認証値と、前記公開鍵情報とを含むタイムスタンプトークンを受信する時刻認証部と、
前記試験ファイルと、当該試験ファイルに関連する前記インデックス情報と、当該試験ファイルに関連する前記タイムスタンプトークンを格納する記憶部と、
前記要求情報に関連する前記試験データが含まれる前記試験ファイルの前記インデックス情報に基づいて、前記記憶部から、当該要求情報に関連する前記試験データが含まれる前記試験ファイルおよび前記タイムスタンプトークンを抽出する試験データ関連情報抽出部と、
前記試験データ関連情報抽出部により抽出された前記タイムスタンプトークンに含まれる前記公開鍵情報に基づき、前記タイムスタンプトークンに含まれる前記時刻認証値から前記試験ファイルハッシュを抽出する時刻認証前試験ファイルハッシュ抽出部と、
前記試験データ関連情報抽出部により抽出された前記試験ファイルをハッシュ化して、比較用試験ファイルハッシュを作成する比較用試験ファイル作成部と、
前記比較用試験ファイルハッシュと前記時刻認証前試験ファイルハッシュ抽出部により抽出された前記試験ファイルハッシュとを照合し、同一であるか否かの照合情報を作成して前記データ出力端末に送信する試験ファイルハッシュ照合部と、
前記試験データ格納サーバから送信された前記インデックス情報および前記データインデックス情報に基づき、前記記憶部に格納された試験ファイルから比較用試験データを抽出する比較用試験データ抽出部と、
前記比較用試験データと、前記試験データ格納サーバから送信された前記試験データとを照合し、同一であるか否かのデータ照合情報を作成して前記データ出力端末に送信する試験データ照合部と、を有し、
前記試験データ格納サーバは、
前記データ送信部から送信された前記試験データ、前記インデックス情報および前記データインデックス情報を格納する試験データ格納部と、
前記要求情報に基づいて、当該要求情報に関連する前記試験データ、当該試験データが含まれる前記試験ファイルの前記インデックス情報および当該試験データに関連する前記データインデックス情報を抽出する試験データ抽出部と、を有し、
前記時刻認証サーバは、
前記試験ファイルハッシュに時刻情報を付加した後、前記秘密鍵情報を用いて電子署名することで時刻認証し、前記公開鍵情報を付加したタイムスタンプトークンを作成するトークン作成部を、有し、
データ出力端末は、
前記要求情報を入力する入力部と、
前記要求情報を前記試験データ格納サーバに送信して、前記試験データ格納サーバから前記要求情報に関連する前記試験データを取得する前記試験データ入手部と、
前記試験ファイルハッシュ照合部および前記試験データ照合部より送信された前記照合情報および前記試験データを表示する表示部と、を有する、
ことを特徴とする試験データ証明システム。

【請求項2】

試験ファイル作成部は、前記データ入力端末から送信された複数の試験データを結合して試験ファイルを作成することを特徴とする請求項１に記載の試験データ証明システム。

【請求項3】

試験データ格納部は、前記データ送信部から送信された前記試験データ、前記インデックス情報および前記データインデックス情報を読取り専用で格納することを特徴とする請求項１または２に記載の試験データ証明システム。

【発明の詳細な説明】

【技術分野】

【0001】

本発明は、所定の試験に関する試験データと、試験データを格納するデータベースに格納されている、その試験データとの同一性を間接的に証明する試験データ証明システム、特に、医師等が入力した患者の臨床試験データと、ＥＤＣデータベースに格納された患者の臨床試験データとの同一性を間接的に証明する臨床試験データ証明システムに関する。

【背景技術】

【0002】

従来から、臨床試験データの収集を行う臨床情報収集システム（ＥＤＣシステム）が提案されている。例えば、特許文献１には、コンピュータを、医療情報に含まれる日付項目間の日付の前後関係の制約を構造化して記述した整合性定義情報に基づいて、検証の対象となる前記日付項目である比較元日付項目の日付と、前記比較元日付項目以外の前記日付項目である比較先日付項目の日付とを比較することによって、前記比較元日付項目と前記比較先日付項目との間の日付の整合性を検証する整合性検証手段として動作させるＥＤＣシステムが開示されている。

【先行技術文献】

【特許文献】

【0003】

【特許文献1】特開２０１９－８５１１号公報

【発明の概要】

【発明が解決しようとする課題】

【0004】

しかしながら、上述したＥＤＣシステムでは、常時データが追加・更新されているため、ＥＤＣデータベースに格納されている医療データに関し、タイムスタンプ等を用いて、時刻認証すること（その時刻にそのデータが存在していたことや、データが改ざんされていないことを証明すること）ができないという問題点があった。

【0005】

本発明は上述した事情に鑑み、所定の試験に関する試験データと、試験データを格納するデータベースに格納されている、その試験データとの同一性を間接的に証明する試験データ証明システムを提供することを目的とする。

【課題を解決するための手段】

【0006】

本発明の発明者は、上述した問題点に関して鋭意研究・開発を続けた結果、以下のような画期的な試験データ証明システムを見出した。

【0007】

上記課題を解決するための本発明の第１の態様は、所定の試験に関する試験データが入力されるデータ入力端末と、入力された試験データに関連する要求情報に基づいて、試験データを表示するデータ出力端末と、データ検証サーバと、時刻認証サーバと、試験データ格納サーバと、がネットワークを介してそれぞれ接続され、所定の秘密鍵情報および所定の秘密鍵情報に対応する公開鍵情報を利用した公開鍵暗号を用いて、試験データ格納サーバに保存される試験データの完全性を間接的に証明する試験データ証明システムであって、データ検証サーバは、データ入力端末から送信された試験データから試験ファイルを作成する試験ファイル作成部と、試験ファイルを特定するためのインデックス情報を作成するインデックス情報作成部と、試験ファイルに含まれる試験データを特定するためのデータインデックス情報を作成するデータインデックス情報作成部と、試験データ、インデックス情報およびデータインデックス情報を試験データ格納サーバに送信するデータ送信部と、試験ファイルをハッシュ化して試験ファイルハッシュを作成するハッシュ化部と、試験ファイルハッシュを時刻認証サーバに送信し、時刻認証サーバにより、時刻情報および試験ファイルハッシュを所定の秘密鍵情報で電子署名して時刻認証された時刻認証値と、公開鍵情報とを含むタイムスタンプトークンを受信する時刻認証部と、試験ファイルと、試験ファイルに関連するインデックス情報と、試験ファイルに関連するタイムスタンプトークンを格納する記憶部と、要求情報に関連する試験データが含まれる試験ファイルのインデックス情報に基づいて、記憶部から、要求情報に関連する試験データが含まれる試験ファイルおよびタイムスタンプトークンを抽出する試験データ関連情報抽出部と、試験データ関連情報抽出部により抽出されたタイムスタンプトークンに含まれる公開鍵情報に基づき、タイムスタンプトークンに含まれる時刻認証値から試験ファイルハッシュを抽出する時刻認証前試験ファイルハッシュ抽出部と、試験データ関連情報抽出部により抽出された試験ファイルをハッシュ化して、比較用試験ファイルハッシュを作成する比較用試験ファイル作成部と、比較用試験ファイルハッシュと時刻認証前試験ファイルハッシュ抽出部により抽出された試験ファイルハッシュとを照合し、同一であるか否かの照合情報を作成してデータ出力端末に送信する試験ファイルハッシュ照合部と、試験データ格納サーバから送信されたインデックス情報およびデータインデックス情報に基づき、記憶部に格納された試験ファイルから比較用試験データを抽出する比較用試験データ抽出部と、比較用試験データと、試験データ格納サーバから送信された試験データとを照合し、同一であるか否かのデータ照合情報を作成してデータ出力端末に送信する試験データ照合部と、を有し、試験データ格納サーバは、データ送信部から送信された試験データ、インデックス情報およびデータインデックス情報を格納する試験データ格納部と、要求情報に基づいて、要求情報に関連する試験データ、試験データが含まれる試験ファイルのインデックス情報および試験データに関連するデータインデックス情報を抽出する試験データ抽出部と、を有し、時刻認証サーバは、試験ファイルハッシュに時刻情報を付加した後、秘密鍵情報を用いて電子署名することで時刻認証し、公開鍵情報を付加したタイムスタンプトークンを作成するトークン作成部を、有し、データ出力端末は、要求情報を入力する入力部と、要求情報を試験データ格納サーバに送信して、試験データ格納サーバから要求情報に関連する試験データを取得する試験データ入手部と、試験ファイルハッシュ照合部および試験データ照合部より送信された照合情報および試験データを表示する表示部と、を有する、ことを特徴とする試験データ証明システムにある。

【0008】

ここで、「所定の試験」とは、工学、理学、医学等の自然科学における試験だけでなく、他の様々な分野における試験を意味し、例えば臨床試験を含む概念である。

【0009】

かかる第１の態様によれば、データ検証サーバから試験データ格納サーバに送信された時点の試験データと、試験データ格納部に格納されている試験データとの同一性を証明することができる。

【0010】

本発明の第２の態様は、試験ファイル作成部は、データ入力端末から送信された複数の試験データを結合して試験ファイルを作成することを特徴とする第１の態様に記載の試験データ証明システムにある。

【0011】

かかる第２の態様によれば、タイムスタンプトークンの作成頻度を抑えることができるので、時刻認証に係るコストを低減させることができる。

【0012】

本発明の第３の態様は、試験データ格納部は、データ送信部から送信された試験データ、インデックス情報およびデータインデックス情報を読取り専用で格納することを特徴とする第１または第２の態様に記載の試験データ証明システムにある。

【0013】

かかる第３の態様によれば、試験データ格納部は、試験データ、インデックス情報およびデータインデックス情報を読取り専用で格納することができるので、これらの情報が変更されることがなくなる。その結果、試験データの完全性の証明力を向上させることができる。

【0014】

なお、本発明において、「データベース」、「システム」、「部」、「手段」とは、単に物理的手段を意味するものではなく、その「データベース」、「システム」、「部」、「手段」が有する機能をソフトウェアによって実現する場合も含む。また、１つの「データベース」、「システム」、「部」、「手段」が有する機能が２つ以上の物理的手段や装置により実現されても、２つ以上の「データベース」、「システム」、「部」、「手段」の機能が１つの物理的手段や装置により実現されてもよい。

【図面の簡単な説明】

【0015】

【図1】図１は実施形態１に係る試験データ証明システムの概略概念図である。

【図2】図２は実施形態１に係る試験データの一例を示す表である。

【図3】図３は実施形態１に係るデータ検証サーバの概略概念図である。

【図4】図４は実施形態１に係る試験データ格納サーバの概略概念図である。

【図5】図５は実施形態１に係るデータ出力端末の概略概念図である。

【図6】図６は実施形態１に係る試験データ証明システムの試験データ登録に関する動作を示すフローチャートである。

【図7】図７は実施形態１に係る試験データ証明システムの試験データ表示に関する動作を示すフローチャートである。

【発明を実施するための形態】

【0016】

以下に添付図面を参照して、本発明に係る試験データ証明システムの実施形態を説明する。以下では、試験データとして臨床データを用いた試験データ証明システムを例にして説明する。なお、本発明は、以下の実施形態に限定されるものではない。
（実施形態１）

【0017】

図１は、本実施形態に係る試験データ証明システムの概略概念図である。この図に示すように、試験データ証明システム１は、ネットワーク５０を介して接続された、データ入力端末１０と、データ検証サーバ２０と、試験データ格納サーバ（ＥＤＣサーバ）３０と、データ出力端末４０と、時刻認証サーバ１００とで構成されている。

【0018】

なお、本実施形態では、データ入力端末１０、データ検証サーバ２０、データ出力端末４０および時刻認証サーバ１００はそれぞれ１つとしているが、それぞれが複数存在していてもよいのは言うまでもない。

【0019】

データ入力端末１０は、医師等によって、試験データ３１１を入力することができると共に、ネットワーク５０を介して、その試験データ３１１をデータ検証サーバ２０に送信できるものであれば特に限定されない。データ入力端末１０としては、例えば、パーソナルコンピュータ等が挙げられる。

【0020】

ここで、試験データ３１１は、臨床試験によって得られる患者の情報であれば特に限定されない。試験データ３１１としては、例えば、患者の生年月日、性別、測定日、身長、体重、アレルギーの有無、アレルギーの詳細、同意取得前３年以内の悪性腫瘍の既往歴、家族性腫瘍の問診等の基本情報、疾患情報、目の既往歴・合併症、全身性の既往歴・合併症に関する情報等が挙げられる。

【0021】

具体的には、試験データ３１１としては、例えば、図２（ａ）に示すような患者の体温データを結合したものである。ここで、図２（ａ）における「患者Ａ」、「患者Ｂ」、「患者Ｃ」は、特定の患者を示すユニークな識別番号等であり、これに基づいて、その体温データの患者（その体温データに紐づけられた患者）を特定することができる。なお、図２（ａ）では、試験データ３１１として、各患者の体温のみのデータを結合したものの例を挙げているが、患者の生年月日、性別、測定日、身長、体重、アレルギーの有無等の複数の試験データを患者ごとまとめ、それを結合したものでもよいし、図２（ｂ）に示すように、試験データ３１１のフォーマットが決まっている場合（各患者の試験データがどこに位置するのか決まっている場合）には、体温データのみが結合したものとなっていてもよい。なお、試験データ３１１としては、上述したように、複数の患者のデータを結合したものだけでなく、患者ごとの試験データ単体で構成されていてもよい。

【0022】

次に、データ検証サーバ２０について説明する。図３は、本実施形態に係るデータ検証サーバ２０の概略概念図である。この図に示すように、データ検証サーバ２０は、試験ファイル作成部２１０、インデックス情報作成部２２０、データインデックス情報作成部２２１、データ送信部２３０、ハッシュ化部２４０、時刻認証部２５０、試験データ関連情報抽出部２６０、時刻認証前試験ファイルハッシュ抽出部２６１、比較用試験ファイル作成部２６２、試験ファイルハッシュ照合部２６３、比較用試験データ抽出部２７０、試験データ照合部２７１および記憶部２００を有している。

【0023】

試験ファイル作成部２１０は、データ入力端末１０から送信された試験データ３１１から試験ファイル２０１を作成することができるものであれば特に限定されない。ここで、試験ファイル作成部２１０は、例えば、試験データ３１１をそのまま試験ファイル２０１にしてもよいし、複数の試験データが結合された試験データ３１１（ここでの試験データ３１１とは、複数の試験データを結合して構成されているものをいう。）を、さらに結合して試験ファイル２０１を作成してもよい。すなわち、試験ファイル作成部２１０は、１つの試験データ３１１から１つの試験ファイル２０１を作成してもよいし、より多くの試験データ３１１からなる試験ファイル２０１を作成してもよい。複数の試験データ３１１を結合して試験ファイル２０１を作成することにより、後述する時刻認証を行う回数を低減させることができる。試験ファイル作成部２１０としては、例えば、このような機能を有するプログラム等が挙げられる。

【0024】

インデックス情報作成部２２０は、試験データ３１１が含まれている試験ファイル２０１を特定するためのインデックス情報２０２を作成することができるものであれば特に限定されない。

【0025】

ここで、インデックス情報２０２は、試験データ３１１が含まれる試験ファイル２０１を特定できる情報であれば特に限定されない。インデックス情報２０２としては、例えば、図２（ａ）に示す試験ファイル２０１の場合には、「患者Ａ」の試験データ３１１である体温「３６．１」が含まれる試験ファイル２０１のファイル名等が挙げられる。すなわち、この場合には、ある試験ファイル２０１のインデックス情報２０２には、試験ファイル２０１のファイル名等と、その試験ファイル２０１に含まれる患者の識別番号等の情報が含まれることになる。

【0026】

したがって、後述する要求情報として、例えば「患者Ａ」「体温」が指定された場合には、インデックス情報２０２により、「患者Ａ」の「体温」の情報が含まれるファイル名等が分かるので、「患者Ａ」の試験データ３１１である体温「３６．１」が含まれる試験ファイル２０１を特定することができる。なお、インデックス情報２０２には、試験ファイル２０１をデータ検証サーバ２０が受信した時刻や、複数の試験データ３１１を結合して試験ファイル２０１を作成した時刻が含まれていてもよい。これらの時刻が含まれることによって、時刻による検索が可能となる。

【0027】

データインデックス情報作成部２２１は、試験ファイル２０１中の試験データ３１１を特定するためのデータインデックス情報２０３を作成することができるものであれば特に限定されない。データインデックス情報作成部２２１としては、例えば、このような機能を有するプログラム等が挙げられる。

【0028】

ここで、データインデックス情報２０３は、試験ファイル２０１に含まれる試験データ３１１を特定することができる情報であれば特に限定されない。データインデックス情報２０３としては、例えば、図２（ａ）に示す試験ファイル２０１の場合には、「患者Ａ」の試験データ３１１である体温「３６．１」が先頭から２番目のデータであることから「２」となる。なお、データインデックス情報２０３は、インデックス情報２０２に関連付けられており、各インデックス情報２０２に対してデータインデックス情報２０３が存在することは言うまでもない。

【0029】

データ送信部２３０は、試験データ３１１、インデックス情報２０２およびデータインデックス情報２０３を、試験データ格納サーバ３０に送信することができるものであれば特に限定されない。データ送信部２３０としては、例えば、このような機能を有するプログラム等が挙げられる。

【0030】

ハッシュ化部２４０は、試験ファイル２０１をハッシュ化して試験ファイルハッシュを作成することができるものであれば特に限定されない。ハッシュ化部２４０としては、例えば、このような機能を有するプログラム等が挙げられる。

【0031】

時刻認証部２５０は、試験ファイルハッシュを時刻認証サーバ１００に送信し、時刻認証サーバ１００により、時刻情報および試験ファイルハッシュを所定の秘密鍵情報で電子署名して時刻認証した時刻認証値と、公開鍵情報とを含むタイムスタンプトークン２０４を受信することができるものであれば特に限定されない。ここで、時刻情報とは、時刻を示す情報であれば特に限定されない。時刻情報としては、例えば、試験ファイルハッシュを時刻認証サーバ１００が時刻認証した時刻等が挙げられる。また、時刻認証値は、時刻情報と試験ファイルハッシュを所定の秘密鍵情報で電子署名して時刻認証したものであれば、特に限定されない。時刻認証部２５０としては、例えば、このような機能を有するプログラム等が挙げられる。

【0032】

記憶部２００は、試験ファイル２０１と、その試験ファイル２０１に関連するインデックス情報２０２と、その試験ファイル２０１に関連するタイムスタンプトークン２０４を格納することができるものであれば特に限定されない。記憶部２００としては、例えば、メモリ等の記憶媒体や市販されているデータベースソフトウェア等が挙げられる。

【0033】

試験データ関連情報抽出部２６０は、要求情報に関連する試験データ３１１が含まれる試験ファイル２０１のインデックス情報２０２に基づいて、記憶部２００から、その要求情報に関連する試験データ３１１が含まれる試験ファイル２０１およびタイムスタンプトークン２０４を抽出することができるものであれば特に限定されない。試験データ関連情報抽出部２６０としては、例えば、このような機能を有するプログラム等が挙げられる。

【0034】

時刻認証前試験ファイルハッシュ抽出部２６１は、試験データ関連情報抽出部２６０により抽出されたタイムスタンプトークン２０４に含まれる公開鍵情報に基づき、タイムスタンプトークン２０４に含まれる時刻認証値から試験ファイルハッシュ（時刻認証前試験ファイルハッシュ）を抽出することができるものであれば特に限定されない。時刻認証前試験ファイルハッシュ抽出部２６１としては、例えば、このような機能を有するプログラム等が挙げられる。

【0035】

比較用試験ファイル作成部２６２は、試験データ関連情報抽出部２６０により抽出された試験ファイル２０１をハッシュ化して、比較用試験ファイルハッシュを作成することができるものであれば特に限定されない。比較用試験ファイル作成部２６２としては、例えば、このような機能を有するプログラム等が挙げられる。

【0036】

試験ファイルハッシュ照合部２６３は、比較用試験ファイルハッシュと時刻認証前試験ファイルハッシュとを照合して、同一であるか否かの照合情報を作成してデータ出力端末４０に送信することができるものであれば特に限定されない。試験ファイルハッシュ照合部２６３としては、例えば、このような機能を有するプログラム等が挙げられる。

【0037】

比較用試験データ抽出部２７０は、試験データ格納サーバ３０から送信されたインデックス情報２０２およびデータインデックス情報２０３に基づき、記憶部２００に格納された試験ファイル２０１から比較用試験データを抽出することができるものであれば特に限定されない。比較用試験データ抽出部２７０としては、例えば、このような機能を有するプログラム等が挙げられる。ここで、比較用試験データとは、記憶部２００に格納された試験ファイル２０１に含まれる試験データ３１１である。

【0038】

試験データ照合部２７１は、比較用試験データと、試験データ格納サーバ３０から送信された試験データ３１１とを照合し、同一であるか否かのデータ照合情報を作成してデータ出力端末４０に送信することができるものであれば特に限定されない。試験データ照合部２７１としては、例えば、このような機能を有するプログラム等が挙げられる。

【0039】

なお、データ検証サーバ２０は、上述した機能を有するものであれば特に限定されない。データ検証サーバ２０としては、例えば、パーソナルコンピュータ等が挙げられる。

【0040】

さらに、試験データ格納サーバ３０について説明する。図４は、本実施形態に係る試験データ格納サーバ３０の概略概念図である。この図に示すように、試験データ格納サーバ３０は、試験データ格納部３１と、試験データ抽出部３２とを有している。

【0041】

試験データ格納部３１は、データ送信部２３０から送信された試験データ３１１、インデックス情報２０２およびデータインデックス情報２０３を格納することができるものであれば特に限定されない。試験データ格納部３１としては、例えば、メモリ等の記憶媒体や市販されているデータベースソフトウェア等が挙げられる。

【0042】

試験データ抽出部３２は、要求情報に基づいて、その要求情報に関連する試験データ３１１、その試験データ３１１が含まれる試験ファイル２０１のインデックス情報２０２およびその試験データ３１１に関連するデータインデックス情報２０３を抽出してデータ検証サーバ２０に送信することができるものであれば特に限定されない。試験データ抽出部３２としては、例えば、このような機能を有するプログラム等が挙げられる。

【0043】

なお、試験データ格納サーバ３０としては、上述した機能を有するものであれば特に限定されない。試験データ格納サーバ３０としては、例えば、パーソナルコンピュータ等が挙げられる。

【0044】

次に、時刻認証サーバ１００について説明する。時刻認証サーバ１００は、試験ファイルハッシュおよび時刻情報を、秘密鍵情報を用いて電子署名することで時刻認証した時刻認証値と、公開鍵情報とを含むタイムスタンプトークン２０４を作成するトークン作成部を有するものであれば特に限定されない。すなわち、タイムスタンプトークン２０４は、時刻認証された試験ファイルハッシュおよび時刻情報と、公開鍵情報とを含むものである。時刻認証サーバ１００としては、例えば、時刻認証サービスを行っている企業の情報システム（時刻認証システム）等が挙げられる。

【0045】

さらに、データ出力端末４０について説明する。図５は、本実施形態に係るデータ出力端末４０の概略概念図である。この図に示すように、データ出力端末４０は、入力部４１と、表示部４２とを有している。

【0046】

入力部４１は、要求情報を入力することができるものであれば特に限定されない。入力部４１としては、例えば、キーボード、音声入力システムや、タッチパネル等が挙げられる。

【0047】

表示部４２は、試験ファイルハッシュ照合部２６３により送信された照合情報および試験データ３１１、並びに試験データ照合部２７１より送信されたデータ照合情報を表示できるものであれば特に限定されない。表示部４２としては、例えば、液晶ディスプレイや有機ＥＬディスプレイ等が挙げられる。なお、表示部４２は、試験ファイルハッシュ照合部２６３により、比較用試験ファイルハッシュと時刻認証前試験ファイルハッシュとが同一であり、かつ比較用試験データと、試験データ格納サーバ３０から送信された試験データとが同一である場合にのみ、試験データ３１１を表示するようにしてもよい。

【0048】

データ出力端末４０は、上述した機能を有するものであれば特に限定されない。データ出力端末４０としては、例えば、パーソナルコンピュータ等が挙げられる。

【0049】

さらに、ネットワーク５０は、データ入力端末１０と、データ検証サーバ２０と、試験データ格納サーバ３０と、データ出力端末４０と、時刻認証サーバ１００とを接続することができるものであれば、有線・無線にかかわらず限定されない。ネットワーク５０としては、例えば、インターネットやイントラネット等が挙げられる。

【0050】

次に、本実施形態に係る試験データ証明システム１の動作について説明する。
＜試験データ登録に関する動作＞

【0051】

図６は、本実施形態に係る試験データ証明システム１の試験データ３１１等の登録に関する動作を示すフローチャートである。この図に示すように、試験データ証明システム１が稼働し（Ｓ１）、データ入力端末１０から試験データ３１１がデータ検証サーバ２０に送信される（Ｓ２）。その試験データ３１１を受信したデータ検証サーバ２０は、試験ファイル作成部２１０により、試験データ３１１を含む試験ファイル２０１を作成する（Ｓ３）。次いで、インデックス情報作成部２２０により、インデックス情報２０２を作成する（Ｓ４）。さらに、データインデックス情報作成部２２１により、データインデックス情報２０３を作成する（Ｓ５）。その後、データ検証サーバ２０は、データ送信部２３０により、試験データ３１１、インデックス情報２０２およびデータインデックス情報２０３を試験データ格納サーバ３０に送信する（Ｓ６）。

【0052】

次に、データ検証サーバ２０は、ハッシュ化部２４０により、試験ファイル２０１から試験ファイルハッシュを作成し（Ｓ７）、時刻認証部２５０により、その試験ファイルハッシュを時刻認証サーバ１００に送信して、タイムスタンプトークン２０４を受信する（Ｓ８）。その後、データ検証サーバ２０は、試験ファイル２０１、その試験ファイルに関連するインデックス情報２０２、およびその試験ファイル２０１に関連するタイムスタンプトークン２０４を記憶部２００に格納する（Ｓ９）。

【0053】

一方、試験データ３１１、インデックス情報２０２およびデータインデックス情報２０３を受信した試験データ格納サーバ３０は、試験データ３１１、インデックス情報２０２およびデータインデックス情報２０３を試験データ格納部３１に格納する（Ｓ１０）。

【0054】

この結果、データ検証サーバ２０の記憶部２００には、試験ファイル２０１、インデックス情報２０２およびタイムスタンプトークン２０４が格納される。一方、試験データ格納サーバ３０の試験データ格納部３１には、試験データ３１１、インデックス情報２０２およびデータインデックス情報２０３が格納される。

【0055】

そして、試験データ証明システム１の試験データ３１１等の登録に関する動作が終了する（Ｓ１１）。
＜試験データ表示に関する動作＞

【0056】

図７は、本実施形態に係る試験データ証明システムの試験データ表示に関する動作を示すフローチャートである。この図に示すように、試験データ証明システム１が稼働し（ＳＳ１）、データ出力端末４０の入力部４１に要求情報が入力される（ＳＳ２）と、その要求情報は、データ検証サーバ２０および試験データ格納サーバ３０にそれぞれ送信される（ＳＳ３）。なお、要求情報は、データ検証サーバ２０を介して試験データ格納サーバ３０に送信されてもよい。

【0057】

要求情報を受信した試験データ格納サーバ３０は、試験データ抽出部３２により、その要求情報に基づいて、試験データ３１１、その試験データ３１１が含まれる試験ファイルのインデックス情報２０２およびその試験データ３１１に関連するデータインデックス情報２０３を抽出し、それらをデータ検証サーバ２０に送信する（ＳＳ４）。

【0058】

試験データ３１１、インデックス情報２０２およびデータインデックス情報２０３を受信したデータ検証サーバ２０は、試験データ関連情報抽出部２６０により、そのインデックス情報２０２に基づいて、要求情報に関連する試験データ３１１が含まれる試験ファイル２０１およびタイムスタンプトークン２０４を記憶部２００から抽出する（ＳＳ５）。

【0059】

次いで、データ検証サーバ２０は、比較用試験データ抽出部２７０により、試験データ格納サーバ３０から送信されたデータインデックス情報２０３に基づいて、記憶部２００に格納された試験ファイル２０１から比較用試験データを抽出する（ＳＳ６）。そして、試験データ照合部２７１により、比較用試験データと、試験データ格納サーバ３０から送信された試験データ３１１とを照合し（ＳＳ７）、一致しない場合には、その旨のデータ照合情報をデータ出力端末４０の表示部４２に表示して処理を中止する。

【0060】

一方、比較用試験データと、試験データ３１１とが一致した場合には、時刻認証前試験ファイルハッシュ抽出部２６１により、タイムスタンプトークン２０４に含まれる試験ファイルハッシュを抽出する（ＳＳ８）。

【0061】

次に、データ検証サーバ２０は、試験データ関連情報抽出部２６０により抽出された試験ファイル２０１をハッシュ化して、比較用試験ファイルハッシュを作成する（ＳＳ９）。そして、データ検証サーバ２０は、比較用試験ファイルハッシュと時刻認証前試験ファイルハッシュ抽出部２６１により抽出された試験ファイルハッシュとを照合して、照合情報を作成し（ＳＳ１０）、その照合情報およびデータ照合情報を、試験データ３１１と共に、データ出力端末４０に送信する（ＳＳ１１）。

【0062】

そして、それらの情報を受信したデータ出力端末４０は、表示部４２に、要求情報に対応する試験データ３１１、照合情報およびデータ照合情報を表示し（ＳＳ１２）、試験データ証明システムの試験データ表示に関する動作を終了する（ＳＳ１３）。

【0063】

以上説明したように、本実施形態に係る試験データ証明システム１によれば、データ検証サーバ２０から試験データ格納サーバ３０に送信された時点の試験データ３１１と、試験データ格納サーバ３０に格納されている試験データ３１１との同一性を間接的に証明することができる。すなわち、試験データ証明システム１によれば、試験データ格納サーバ３０の試験データ格納部３１に格納された試験データ３１１と、試験ファイル２０１に含まれる試験データ３１１とを比較することができると共に、データ検証サーバ２０から試験データ格納サーバ３０に送信された時点における試験データ３１１が含まれる試験ファイル２０１の試験ファイルハッシュと、時刻認証されたタイムスタンプトークン２０４に含まれる試験ファイルハッシュとを比較することができるので、それらの試験データ３１１が同一で、かつそれらの試験ファイルハッシュが同一であれば、試験データ格納サーバ３０の試験データ格納部３１に格納された試験データ３１１は、時刻認証された時点の試験データ３１１と同一であること（改ざんされていないこと）を間接的に証明することができる。
（実施形態２）

【0064】

実施形態１では、試験データ格納部は、試験ファイル送信部から送信された試験データ、インデックス情報およびデータインデックス情報の格納方法について特に限定しなかったが、これらのデータを読み取り専用で格納するように、試験データ証明システムを構成してもよい。

【0065】

このように試験データ証明システムを構成することによって、試験データ格納部は、試験データ、インデックス情報およびデータインデックス情報を読取り専用で格納することができるので、これらの情報が変更されることがなくなる。その結果、試験データの完全性の証明力を向上させることができる。
（その他の実施形態）

【0066】

上述した実施形態では、比較用試験データと試験データ３１１との照合を、比較用試験ファイルハッシュと試験ファイルハッシュとの照合より前に行うようにしたが、本発明はこれに限定されない。比較用試験ファイルハッシュと試験ファイルハッシュとの照合の後に、比較用試験データと試験データ３１１との照合を行っても、同様の効果が得られる。

【符号の説明】

【0067】

１ 試験データ証明システム
１０ データ入力端末
２０ データ検証サーバ
２００ 記憶部
２０１ 試験ファイル
２０２ インデックス情報
２０３ データインデックス情報
２０４ タイムトークン
２１０ 試験ファイル作成部
２２０ インデックス情報作成部
２２１ データインデックス情報作成部
２３０ データ送信部
２４０ ハッシュ化部
２５０ 時刻認証部
２６０ 試験データ関連情報抽出部
２６１ 時刻認証前試験ファイルハッシュ抽出部
２６２ 比較用試験ファイル作成部
２６３ 試験ファイルハッシュ照合部
２７０ 比較用試験データ抽出部
２７１ 試験データ照合部
３０ 試験データ格納サーバ
３１ 試験データ格納部
３２ 試験データ抽出部
３１０ 試験データ格納部
３１１ 試験データ
４０ データ出力端末
４１ 入力部
４２ 表示部
５０ ネットワーク
１００ 時刻認証サーバ

【図1】

【図2】

【図3】

【図4】

【図5】

【図6】

【図7】