情報処理装置、時刻情報処理装置、情報処理方法、及び時刻情報処理方法
【課題】 配信される配信時刻の精度を評価すると共に、評価に応じた制御を行うこと。
【解決手段】 ＴＳＡは、ＴＡから配信された配信時刻の精度を評価し、この評価結果に応じた動作を行うことができる。例えば、ＴＳＡは、配信時刻の誤差が許容値内である場合に、この配信時刻を用いて時計装置の時刻を補正して、タイムスタンプの活性化期間を設定したり、配信時刻の誤差が許容値内でなかった場合に、他のＴＡに時刻監査を要求したりすることができる。また、ＴＡから配信される配信時刻の精度は、ＮＴＡ→ＴＡ→ＴＳＡの伝達経路に依存するため、本実施の形態のＴＳＡは、ＮＴＡ、ＴＡに精度を問い合わせるなどして、ＴＡから配信された配信時刻の精度を評価する。このように本実施の形態のＴＳＡは、配信される時刻の精度により動作を選択することができ、また、伝達経路に依存する配信時刻の精度を評価することができる。
【解決手段】 ＴＳＡは、ＴＡから配信された配信時刻の精度を評価し、この評価結果に応じた動作を行うことができる。例えば、ＴＳＡは、配信時刻の誤差が許容値内である場合に、この配信時刻を用いて時計装置の時刻を補正して、タイムスタンプの活性化期間を設定したり、配信時刻の誤差が許容値内でなかった場合に、他のＴＡに時刻監査を要求したりすることができる。また、ＴＡから配信される配信時刻の精度は、ＮＴＡ→ＴＡ→ＴＳＡの伝達経路に依存するため、本実施の形態のＴＳＡは、ＮＴＡ、ＴＡに精度を問い合わせるなどして、ＴＡから配信された配信時刻の精度を評価する。このように本実施の形態のＴＳＡは、配信される時刻の精度により動作を選択することができ、また、伝達経路に依存する配信時刻の精度を評価することができる。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、情報処理装置、時刻情報処理装置、情報処理方法、及び時刻情報処理方法に関し、例えば、ネットワークを介して伝達されてくる伝達情報を利用するものに関する。
【背景技術】
【０００２】
近年の情報技術の急激な進歩に伴って、公文書や私文書をデジタル情報化した電子文書にする所謂ペーパレス化が推進されている。
また、このようにして作成された電子文書に付与される法的な地位を整備するため所謂電子文書法が施行されている。
このように法的地位を有する電子文書などでは発行日などの時刻証明（日付証明）が重要であり、時刻証明を行うタイムスタンプシステムが利用されている。
【０００３】
図１４は、従来のタイムスタンプシステムのネットワーク構成の一部を示した図である。
ＴＳＡ１０２（ＴＳＡ：Ｔｉｍｅ−ｓｔａｍｐｉｎｇ Ａｕｔｈｏｒｉｔｙ）は、タイムスタンプサーバを備えたタイムスタンプ局であって、インターネットなどのネットワークを介してクライアント端末１０３、１０３、・・・と接続可能に配設されている。
ＴＳＡ１０２のタイムスタンプサーバ（以下、ＴＳＡ１０２と記す）は、タイムスタンプを発行するための時計装置を内蔵しており、この時計装置が出力する時刻によりタイムスタンプを発行する。
クライアント端末１０３は、ＴＳＡ１０２に対して電子文書に対してタイムスタンプの発行を要求する端末である。
【０００４】
タイムスタンプの発行手順は概略次のように行われる。
まず、クライアント端末１０３がタイムスタンプ発行の対象である電子文書のハッシュ値をＴＳＡ１０２に送信する。
ＴＳＡ１０２は、このハッシュ値を受信すると共に、受信時の時刻を時計装置により計測する。
そして、ＴＳＡ１０２は、受信したハッシュ値に計測した時刻等の情報を追加したデータのハッシュ値を計算し、このハッシュ値をＴＳＡ１０２の秘密鍵で暗号化して電子署名を生成し、この電子署名と前記受信したハッシュ値、時刻、その他の情報から構成されるタイムスタンプデータをクライアント端末１０３に返送する。
【０００５】
これに対し、タイムスタンプの確認手順は概略次のように行われる。
まず、ＴＳＡ１０２の秘密鍵に対応する公開鍵を用いてタイムスタンプデータの電子署名を復号化し、そして、これからハッシュ値を取り出す。そして、前記受信したハッシュ値、時刻、その他の情報のハッシュ値と、電子署名から取り出したハッシュ値を比較する。両社が一致する場合、このタイムスタンプデータがＴＳＡ１０２で発行され、かつタイムスタンプデータの内容が改ざんされていないことが確認できる。次に、電子文書のハッシュ値を計算し、タイムスタンプデータに含まれる、前記受信したハッシュ値と比較する。両者が一致する場合、この電子文書がタイムスタンプデータ中の時刻にＴＳＡ１０２でタイムスタンプが発行されたことを確認することができる。
なぜならば、この公開鍵で電子署名を復号化し、ハッシュ値の一致を確認することができたことにより、この電子署名がＴＳＡ１０２しか知り得ない秘密鍵で暗号化されたことを確認することができ、更に、タイムスタンプデータ中のハッシュ値と電子文書から算出したハッシュ値が一致することにより、電子文書が改竄されていないことを確認することができるためである。
【０００６】
ＴＡ１０１は、ＴＳＡ１０２の時計装置の時刻を監査して時刻を配信する時刻配信サーバを備えた時刻監査局であり、インターネットなどのネットワークを介してＴＳＡ１０２と接続可能に配設されている。
ＴＡ１０１の時刻配信サーバ（以下、ＴＡ１０１と記す）は、内部に時計装置を備えており、これを用いてＴＳＡ１０２の時計装置の時刻を定期的に監査する。
まず、ＴＡ１０１は、ＴＳＡ１０２からＴＳＡ１０２の時計装置が計測した時刻を送信してもらい、その時刻とＴＡ１０１の時計装置の時刻を比較する。そしてＴＡ１０１は、その比較による誤差を時刻監査証明書に記してＴＳＡ１０２に送信する。このように、ＴＡ１０１は、誤差によりＴＳＡ１０２に時刻を配信する。
【０００７】
ＴＳＡ１０２は、時刻監査証明書を受信し、これに記されている誤差によって自己の時計装置を補正し、更に時刻監査証明書で指定されたタイムスタンプ発行機能の活性化期間を設定する。ここで、活性化期間とは、時刻監査証明書によって補正した時刻によってタイムスタンプを発行できる期間である。なお、監査した時刻が所定値以上の誤差を有する場合、ＴＡ１０１は活性化期間を０とし、ＴＳＡ１０２のタイムスタンプ発行機能を停止することもできる。
このように、ＴＳＡ１０２の時計装置の時刻をＴＡ１０１で監査することにより、ＴＳＡ１０２の時刻を所定の精度に保つことができる。また、ＴＳＡ１０２とクライアント端末１０３が結託して時刻の改竄を行うことも防ぐことができる。
【０００８】
なお、配信時刻の改竄を防ぐために、ＴＳＡ１０２とＴＡ１０１の通信経路は、例えば、ＳＳＬ（Ｓｅｃｕｒｅ Ｓｏｃｋｅｔｓ Ｌａｙｅｒ）やＴＬＳ（Ｔｒａｎｓｐｏｒｔ Ｌａｙｅｒ Ｓｅｃｕｒｉｔｙ）などの技術を用いて暗号化され、通信経路の遅延を補正する通信プロトコルとして時刻配信用に標準化されたＮＴＰ（Ｎｅｔｗｏｒｋ Ｔｉｍｅ Ｐｒｏｔｏｃｏｌ）などを用いている。
このように、ＴＳＡ１０２の時刻を監査する技術として次の「信頼されるサードパーティクロック及び信頼されるローカルクロックを提供するためのシステム及び方法」がある。
【０００９】
【特許文献１】特表２００３−５１９４１７公報
【００１０】
この技術は、認証されたマスタクロック（ＴＡ１０１に対応）によりローカルクロック（ＴＳＡ１０２に対応）の時刻を監査するものである。
【発明の開示】
【発明が解決しようとする課題】
【００１１】
しかし、例えば、従来のタイムスタンプは、ＴＡ１０１の配信する時刻の精度にかかわらず、配信された時刻によって時刻補正を行っていた。
そのため、ＴＳＡ１０２が、例えば、「タイムスタンプの時刻の精度を５００［ｍｓ］以内とする」というような精度に関するポリシを持っていたとしても、ＴＡ１０１の精度によっては、このようなポリシを守れない場合が可能であった。
【００１２】
更に、配信時刻の精度は、基準となる時刻の配信経路によって異なり、ＴＳＡ１０２では、これら配信経路による精度の違いについても考慮されていなかった。
例えば、図１に示したように、ＴＳＡを監査する複数のＴＡ１、ＴＡ２、及びこれらＴＡを更に監査するＮＴＡ１、ＮＴＡ２（ＮＴＡ：Ｎａｔｉｏｎａｌ Ｔｉｍｅ Ａｕｔｈｏｒｉｔｙ）などからなるより複雑なシステムを用いる場合、例えば、ＮＴＡ１→ＴＡ２→ＴＳＡと監査した場合や、ＮＴＡ１→ＴＡ１→ＴＳＡといったように、時刻配信の経路によって配信時刻の精度が異なる。
例えば、ＮＴＡ１→ＴＡ２→ＴＳＡと監査して時刻を配信した場合、監査によるＴＳＡの精度は、ＮＴＡ１の精度１００［ｍｓ］にＴＡ２の精度４５０［ｍｓ］を加えた５５０［ｍｓ］となり、例えば、ＴＳＡの精度に関するポリシである５００［ｍｓ］を越えてしまう。
これらの課題は、言い換えれば、ある情報処理装置において、他の情報処理装置から受信した伝達情報を評価し、その評価に応じた制御を行う、ということが行われていないために発生している。
【００１３】
そこで、本発明の目的は、ネットワークを介して伝達されてくる伝達経路情報を演算し、その演算結果に応じて機器の制御を行うことにある。例えば、配信される時刻の精度を評価すると共に、評価に応じて時刻補正やタイムスタンプ発行、時刻配信、優先順位設定などの機能の制御を行うことである。
【課題を解決するための手段】
【００１４】
本発明は、前記目的を達成するために、伝達経路によって属性値が定まる伝達情報を受信して記憶装置に記憶する伝達情報受信手段と、前記受信した伝達情報の属性値を取得して記憶装置に記憶する属性取得手段と、前記記憶した属性値を所定の基準値と比較し、比較結果により所定の動作を行う動作機能部を選択する動作機能部選択手段と、前記記憶した伝達情報を用いて前記選択した動作機能部を機能させる動作手段と、を具備したことを特徴とする情報処理装置を提供する（第１の構成）。
第１の構成において、前記伝達情報は、時刻情報であり、前記属性情報の属性値は、前記時刻情報の精度であるように構成することもできる（第２の構成）。
第１の構成、又は第２の構成において、前記伝達情報を送信するサーバ装置を認証する認証手段を具備し、前記伝達情報受信手段は、前記サーバ装置が認証された場合に伝達情報を受信するように構成することもできる（第３の構成）。
また、本発明は、時刻配信サーバから時刻情報を受信して記憶する時刻情報受信手段と、前記記憶した時刻情報の精度を取得して記憶する精度取得手段と、時刻を出力する時計装置と、前記記憶した精度が所定の条件を満たす場合に、前記記憶した時刻情報を用いて前記時計装置の時刻を補正する時計装置補正手段と、を具備したことを特徴とする時刻情報処理装置を提供する（第４の構成）。
第４の構成において、前記補正した時計装置を用いてタイムスタンプを発行するタイムスタンプ発行手段を具備するように構成することもできる（第５の構成）。
第５の構成において、前記記憶した精度が所定の条件を満たさなかった場合、前記タイムスタンプ発行手段を停止するように構成することもできる（第６の構成）。
第５の構成、又は第６の構成において、前記時刻情報受信手段は、複数の時刻配信サーバから時刻情報を受信して記憶し、前記タイムスタンプ発行手段は、前記記憶した時刻情報のうち、前記時計装置が出力する時刻との誤差が所定値以上のものがあった場合にタイムスタンプの発行を停止するように構成することもできる（第７の構成）。
第４の構成から第７の構成までのうちの何れか１の構成において、前記補正した時計装置の出力を用いて時刻情報を配信する時刻情報配信手段を具備するように構成することもできる（第８の構成）。
第８の構成において、前記時刻情報受信手段は、複数の時刻配信サーバから時刻情報を受信して記憶し、前記時刻情報配信手段は、前記記憶した時刻情報のうち、前記時計装置が出力する時刻との誤差が所定値未満となるものが所定値以上ある場合に、時刻配信を開始するように構成することもできる（第９の構成）。
第８の構成、又は第９の構成において、時刻情報を配信する配信先を認証する配信先認証手段を具備し、前記時刻情報配信手段は、前記配信先認証手段で配信先が認証された場合に時刻情報を配信するように構成することもできる（第１０の構成）。
第４の構成から第１０の構成までのうちの何れか１の構成において、前記所定の条件は、前記記憶した精度が、所定の精度を満たすか否かであるように構成することもできる（第１１の構成）。
第４の構成から第１１の構成までのうちの何れか１の構成において、前記記憶した精度が所定の条件を満たさなかった場合、他の時刻配信サーバに時刻情報を要求するように構成することもできる（第１２の構成）。
第４の構成から第１０の構成までのうちの何れか１の構成において、前記時刻情報受信手段は、複数の時刻配信サーバから時刻情報を受信して記憶し、前記所定の条件は、前記記憶した時刻情報のうち最も精度のよいものを選択することであり、前記時計装置補正手段は前記選択した時刻情報を用いて前記時計装置を補正するように構成することもできる（第１３の構成）。
第４の構成から第１３の構成までのうちの何れか１の構成において、前記時計装置の補正に使用した時刻情報を配信した時刻配信サーバの優先順位を設定するように構成することもできる（第１４の構成）。
第４の構成から第１４の構成までのうちの何れか１の構成において、前記時刻情報の精度は、前記時刻配信サーバが時刻を同期させる基準時刻を配信する基準時刻サーバから前記時刻配信サーバまでの基準時刻の伝達経路に依存し、前記受信した前記基準時刻の伝達経路を特定する伝達経路特定情報を受信して記憶する伝達経路特定情報受信手段を具備し、前記精度取得手段は、前記記憶した伝達経路特定情報を用いて精度を取得するように構成することもできる（第１５の構成）。
第１５の構成において、前記精度取得手段は、前記記憶した伝達経路特定情報で特定される伝達経路上に存在する各サーバ装置から各サーバ装置で規定される時刻の精度を取得し、前記取得した精度から前記時刻情報の精度を取得するように構成することもできる（第１６の構成）。
第１６の構成において、前記各サーバ装置から時刻の精度を取得するに際して、前記各サーバ装置を認証するように構成することもできる（第１７の構成）。
また、本発明は、時刻配信サーバから時刻情報を受信して記憶する時刻情報受信手段と、前記記憶した時刻情報の精度を取得して記憶する精度取得手段と、時刻を出力する時計装置と、前記時計装置を用いてタイムスタンプを発行するタイムスタンプ発行手段と、サーバ装置の優先順位を設定する優先順位設定手段と、を具備し、前記記憶した精度が所定の条件を満たす場合に、前記記憶した時刻情報を用いた前記時計装置の時刻を補正、前記タイムスタンプ発行手段によるタイムスタンプの発行の設定、又は前記優先順位設定手段による前記情報配信サーバの優先順位の設定、のうち、少なくとも１つを選択して行うことを特徴とする時刻情報処理装置を提供する（第１８の構成）。
第４の構成から第１８の構成までのうちの何れか１の構成において、時刻配信サーバを認証する時刻配信サーバ認証手段を具備し、前記時刻情報受信手段は、前記時刻配信サーバが認証された場合に時刻情報を受信するように構成することもできる（第１９の構成）。
また、本発明は、伝達情報受信手段と、属性取得手段と、動作機能部選択手段と、動作手段と、を備えたコンピュータにおいて、前記伝達情報受信手段が、伝達経路によって属性値が定まる伝達情報を受信して記憶装置に記憶する伝達情報受信ステップと、前記属性取得手段が、前記受信した伝達情報の属性値を取得して記憶装置に記憶する属性取得ステップと、前記動作機能部選択手段が、前記記憶した属性値を所定の基準値と比較し、比較結果により所定の動作を行う動作機能部を選択する動作機能部選択ステップと、前記動作手段が、前記記憶した伝達情報を用いて前記選択した動作機能部を機能させる動作ステップと、から構成されたことを特徴とする情報処理方法を提供する（第２０の構成）。
また、本発明は、時刻情報受信手段と、精度取得手段と、時刻を出力する時計装置と、時計装置補正手段と、を備えたコンピュータにおいて、前記時刻情報受信手段が、時刻配信サーバから時刻情報を受信して記憶する時刻情報受信ステップと、前記精度取得手段が、前記記憶した時刻情報の精度を取得して記憶する精度取得ステップと、前記時計装置補正手段が、前記記憶した精度が所定の条件を満たす場合に、前記記憶した時刻情報を用いて前記時計装置の時刻を補正する時計装置補正ステップと、から構成されたことを特徴とする時刻情報処理方法を提供する（第２１の構成）。
また、本発明は、時刻情報受信手段と、精度取得手段と、時刻を出力する時計装置と、 前記時計装置を用いてタイムスタンプを発行するタイムスタンプ発行手段と、サーバ装置の優先順位を設定する優先順位設定手段と、を備えたコンピュータにおいて、前記時刻受信手段が、時刻配信サーバから時刻情報を受信して記憶する時刻情報受信ステップと、前記精度取得手段が、前記記憶した時刻情報の精度を取得して記憶する精度取得ステップと、を備え、前記記憶した精度が所定の条件を満たす場合に、前記記憶した時刻情報を用いた前記時計装置の時刻を補正、前記タイムスタンプ発行手段によるタイムスタンプの発行の設定、又は前記優先順位設定手段による前記情報配信サーバの優先順位の設定、のうち、少なくとも１つを選択して行う選択実行ステップと、から構成されたことを特徴とする情報処理方法を提供する（第２２の構成）。
また、本発明の別の形態では、ネットワークを介して伝達される情報はネットワーク中の複数のサーバやルータやスイッチなどを介して伝達される。その伝達される情報がたどった経路により情報の伝達が早かったり、遅かったり、誤っていたり、経路の差により伝達すべき情報に差が生ずる。そこで、ネットワークを介して伝達される情報に関して、その情報がどのような経路をたどったのかがわかる伝達経路情報を設け、その伝達経路情報を演算することで、伝達される情報の経路による差を修正したり補正することができる情報処理装置を提供する。また、伝達される情報を２次的に用いる場合についても伝達経路情報を演算することで修正や補正や使用するか否かの選択などができる情報処理装置を提供する。
【発明の効果】
【００１５】
本発明によれば、ネットワークを介して伝達されてきた伝達経路情報である時刻の精度の情報を演算し、その演算結果により制御を行うことができる。例えば、配信される時刻の精度を評価すると共に、評価に応じた制御を行うことができる。
【発明を実施するための最良の形態】
【００１６】
（１）実施の形態の概要
伝達経路情報を演算し、その演算結果により制御する一実施の形態として以下に述べる。
ＴＳＡは、ＴＡから配信された時刻の精度を評価し、この評価結果に応じた動作を行うことができる。
例えば、ＴＳＡは、配信時刻の誤差が許容値内である場合に、この配信時刻を用いて時計装置の時刻を補正して、タイムスタンプ発行機能の活性化期間を設定したり、配信時刻の誤差が許容値内でなかった場合に、タイムスタンプの発行機能を停止したり、他のＴＡに時刻監査を要求したりすることができる。なお、活性化期間とは、ある機能が使用可能な状態である期間である。
また、ＴＡから配信される時刻の精度は、ＮＴＡ→ＴＡ→ＴＳＡの伝達経路に依存するため、本実施の形態のＴＳＡは、ＮＴＡ、ＴＡに精度を問い合わせるなどして、ＴＡから配信された時刻の精度を評価する。
このように本実施の形態のＴＳＡは、配信される時刻の精度により動作を選択することができ、また、伝達経路に依存する配信時刻の精度を評価することができる。そのため、配信時刻の伝達経路により動作を選択することができる。つまり、ＴＡが複数ある場合はＮＴＡからＴＳＡに伝達する情報の伝達経路は異なり、配信時刻の誤差が異なる。この誤差の比較（演算）を行い、比較（演算）の結果により最小の誤差である経路を選択する制御をすることができる。
また、配信される時刻の精度に関連する項目として、情報伝達の早さなどもあり、この情報伝達の早さと所定値を比較、または、経路による情報伝達の早さを比較して、速い場合はその情報を使う、同じ場合はその情報を使う、遅い場合はその情報は使わない、などの選択する制御ができる。
【００１７】
（２）実施の形態の詳細
図１は、本実施の形態に係るタイムスタンプシステムのシステム構成の一例を示した図である。
図に示したように、当該タイムスタンプシステムは、複数のクライアント端末と、これらクライアント端末にタイムスタンプを発行するタイムスタンプ局であるＴＳＡと、このＴＳＡの時刻監査を行う時刻監査局であるＴＡ１、ＴＡ２と、これらＴＡ１、ＴＡ２の時刻監査を行う国家時刻配信局ＮＴＡ１、ＮＴＡ２がネットワークにより接続可能に配設されている。
以下、ＴＡ１、ＴＡ２を特に区別しない場合は単にＴＡと記し、ＮＴＡ１とＮＴＡ２を特に区別しない場合は単にＮＴＡと記すことにする。
【００１８】
ＮＴＡは、基準となる時刻を配信する時刻配信局であり、時刻配信の最上位に位置する。
ＮＴＡは、原子時計を備えるなどして極めて正確な時刻の計測を行うことができ、ＴＡの時計装置が出力する時刻を監査して時刻監査証明書をＴＡに発行する。
時刻監査証明書には、時刻監査によって計測された時刻の誤差が記されており、ＴＡは、これを用いて自己の時計装置を補正する。即ち、ＴＡはＮＴＡが配信する時刻により時計装置の補正を行っている。
ＴＡは、ＮＴＡからの配信時刻で補正された時計装置を用いてＴＳＡの時刻監査を行い、時刻監査証明書を用いてＴＳＡに時刻配信を行う。
【００１９】
ＴＳＡは、ＴＡから時刻監査を受け、ＴＡから配信された時刻を用いて自己の時計装置を補正し、この時計装置の出力する時刻によりクライアント端末に対してタイムスタンプを発行する。タイムスタンプの発行方法は、従来と同じである。
クライアント端末は、例えば、電子文書のハッシュ値を計算してこれをＴＳＡに送信し、ＴＳＡにタイムスタンプを発行してもらう。
【００２０】
なお、本実施の形態では、ＮＴＡ及びＴＡを２台とし、ＴＳＡを１台としているが、更に多くのＮＴＡ、ＴＡ、ＴＳＡを備えるように構成することができる。
また、ＴＡ１とＴＳＡの間に更にＴＡを設置するなど、より複雑なネットワークとすることもできる。
【００２１】
これらサーバ装置（ＮＴＡ、ＴＡ、ＴＳＡ）が配信する時刻の精度を、一例として図に示した。
即ち、ＮＴＡ１は１００［ｍｓ］、ＮＴＡ２は５０［ｍｓ］、ＴＡは４００［ｍｓ］、ＴＡ２は、４５０［ｍｓ］、ＴＳＡは５００［ｍｓ］である。
ＮＴＡの精度は、ＵＴＣ（Ｃｏｏｒｄｉｎａｔｅｄ Ｕｎｉｖｅｒｓａｌ Ｔｉｍｅ：協定世界時）に対する精度であり、ＮＴＡが配信する時刻のＵＴＣからの誤差が当該精度内であることを意味している。
ＮＴＡが配信する時刻は、ネットワークの下流側のサーバ装置が時計を補正してこれに同期させる際の基準時刻として用いられる。このようにＮＴＡは基準時刻サーバを構成している。
【００２２】
また、ＴＡからＴＳＡに配信される時刻の精度は、ＮＴＡからＴＡに配信された時刻を基準とする、相対的な精度である。即ちＵＴＣからの精度は、ＮＴＡからＴＡに配信される時刻の精度に、ＴＡからＴＳＡに配信される時刻の精度を加えたものになる。（なお、ＴＳＡの、タイムスタンプの時刻精度に関するポリシは、このＵＴＣからの精度と矛盾するものであってはならない。）
このように、ネットワークの下流側に行くにつれて出力時刻の精度の幅が累積すると共に、時刻配信の伝達経路によっても精度が異なってくる。
【００２３】
例えば、配信時刻の伝達経路がＮＴＡ２→ＴＡ１→ＴＳＡの場合、ＴＳＡがＴＡ１から配信される時刻の精度は、５０＋４００＝４５０［ｍｓ］であり、ＮＴＡ１→ＴＡ１→ＴＳＡの場合は１００＋４００＝５００［ｍｓ］となる。
また、配信時刻の伝達がＮＴＡ１→ＴＡ２→ＴＳＡの経路で行われた場合、ＴＳＡがＴＡ２から配信される時刻は１００＋４５０＝５５０［ｍｓ］の精度となり、配信時刻の伝達経路によっては、ＴＳＡの保証している精度である５００［ｍｓ］を保てない場合もある。
【００２４】
そこで、ＴＳＡは、配信時刻の伝達経路による精度の変化を含めて、ＴＡから配信された時刻のＵＴＣに対する精度を評価し、その評価に応じた適切な種々の動作を行うように構成されている。
そして、ＴＳＡが伝達経路による精度の変化を評価するために、ＴＡがＴＳＡに送信する時刻証明書には、配信時刻の伝達経路を特定する情報が含まれている。
本実施の形態の時刻監査証明書は、このようにどの伝達経路を介して時刻が配信されてきたかを追跡することができる所謂トレーサビリティを有しているため、以下ではトレ情報と略称することにする。
【００２５】
ここで、図２の各図を用いてトレ情報の構成について説明する。
図２（ａ）は、ＴＡがＴＳＡに発行するトレ情報の論理的な構成の一例を示した図である。
図に示したようにトレ情報は、基本情報、時刻情報、伝達経路情報、及びＴＡの署名情報などから構成されている。
基本情報は、トレ情報自体に関する基本的な情報であって、発行時刻、バージョン、発行先、発行元、署名アルゴリズム、シリアル番号、有効期間などが含まれている。
【００２６】
バージョン情報は、トレ情報のバージョンを特定する情報である。発行先は、トレ情報の発行先であるＴＳＡを特定する情報である。発行元は、トレ情報を発行したＴＡを特定する情報である。
署名アルゴリズムは、ＴＡの署名情報に用いたアルゴリズムを特定する情報であり、ＴＳＡは、これを用いてＴＡの署名情報に用いたアルゴリズムを知ることができる。
シリアル番号は、トレ情報のシリアル番号である。
有効期限は、ＴＡが定めたトレ情報の有効期限であり、ＴＳＡは、有効期限の範囲内でトレ情報を利用した機能制御を行う。
【００２７】
時刻情報は、時刻監査の結果などによる情報であって、監査時刻、時刻誤差、通信遅延、活性化期間、うるう秒、時刻監査証明書ポリシ、その他の情報などが含まれている。活性化期間は、有効期限と同じ期間である場合、省略可能である。この場合、有効期限を活性化期間として扱う。
監査時刻は、ＴＡがＴＳＡの時刻監査を実施した時刻である。
時刻誤差は、ＴＡが時刻監査によって計測したＴＳＡとＴＡの時刻の誤差である。ＴＳＡは、この誤差を用いて自己の時計装置の時刻を補正する。即ち、ＴＡは、誤差という形で時刻を配信している。
【００２８】
通信遅延は、ＴＳＡとＴＡの通信経路による遅延時間である。
活性化期間は、このトレ情報により補正した時計装置にてＴＳＡがタイムスタンプを発行することができる期間である。ＴＳＡは、トレ情報に記された活性化期間を設定することができる。
時刻監査証明書ポリシには、例えば、ＴＡが配信する時刻の精度など、ポリシに関する情報などが含まれている。これによって、ＴＳＡは、ＴＡの配信時刻の（ＮＴＡを基準とする相対的な）精度を知ることができる。
【００２９】
伝達経路情報は、ＮＴＡの基準時刻がＴＡに伝達するまでの伝達経路を特定する情報が含まれている。即ち、伝達経路情報は基準時刻の伝達経路を特定するトレーサビリティ情報となっている。
ＴＳＡは、伝達経路情報により、基準時刻の伝達経路を特定し、その伝達経路上のサーバ装置の精度に関するポリシを参照することにより、ＴＡから配信された時刻のＵＴＣに対する精度を評価することができる。
ＴＡの署名情報は、ＴＡの署名アルゴリズムを特定する情報と、ＴＡの署名値などを含んでいる。
ＴＳＡは、この署名アルゴリズムを用いてトレ情報の署名値を計算し、ＴＡの署名値との同一性を確認することにより、トレ情報が改竄されていないか確認することができる。
【００３０】
図２（ｂ）〜（ｄ）は、伝達経路情報の論理的な構成の一例を示した図である。
図２（ｂ）の例は、伝達経路情報に、伝達経路と各サーバ装置の精度の両方が含まれている場合である。
伝達経路は、基準時刻を伝達したサーバ装置（ＮＴＡ、ＴＡ）を伝達順序で記すことにより表されている。
図に示したように、この例では、ＮＴＡ１からＴＡ１に時刻配信がなされ、これによってＴＡ１が時刻補正を行ったことが示されており、更に、ＮＴＡ１の精度が（１００［ｍｓ］）であることが示されている。
ＴＡ１の精度は、トレ情報の時刻情報（時刻監査証明書ポリシ）に記されているため、ＴＳＡは、これらの精度を加算することによりＴＡ１から配信された時刻のＵＴＣに対する精度を評価することができる。
【００３１】
即ち、時刻情報に記されている精度が４００［ｍｓ］であった場合、ＴＡ１から配信された時刻の精度は１００＋４００＝５００［ｍｓ］（未満）と評価され、これはＴＳＡの精度に関するポリシである５００［ｍｓ］未満を満たしている。
このように、伝達経路情報に精度が記されている場合、ＴＳＡは、トレ情報から配信時刻の精度の評価値を得ることができる。
【００３２】
図２（ｃ）の例は、伝達経路情報に、伝達経路と、伝達経路上にあるサーバ装置のＵＲＬ（Ｕｎｉｆｏｒｍ Ｒｅｓｏｕｒｃｅ Ｌｏｃａｔｏｒｓ）の両方が含まれている場合である。
図に示したように、この例では、ＮＴＡ１からＴＡ１に時刻配信がなされたことが示されており、更に、ＮＴＡ１に関してはＵＲＬが示されている。
ＴＳＡは、このＵＲＬを用いてＮＴＡ１にアクセスし、ＮＴＡ１の精度を問い合わせることができる。
ＴＳＡは、このようにして取得したＮＴＡ１の精度と、トレ情報の時刻情報に記されているＴＡ１の精度を加算して、ＴＡ１から配信された時刻の精度を評価することができる。
なお、精度の問い合わせを行うためにＮＴＡ１やＴＡ１などのほかのサーバ装置にアクセスする場合、ＴＳＡは、これらを認証し、なりすましなどを防止するようになっている。例えば、ＳＳＬやＴＬＳなどの認証を行ったり、精度に関する情報にＮＴＡ１やＴＡ１が電子署名を付与し、ＴＳＡはその電子署名を確認する方法などがある。
【００３３】
図２（ｄ）の例は、図１に示さないが、伝達経路上に更に多くのサーバ装置が存在する場合を示している。
図に示したように、この例では、ＮＴＡ１からＴＡｘに時刻配信され、更にＴＡｘからＴＡｙに時刻配信され、そして、ＴＡｙからＴＡ１に時刻配信され、次いでＴＳＡに時刻配信されたことが示されており、それぞれのサーバ装置に精度を問い合わせるためのＵＲＬが記されている。このように、ＴＳＡに時刻配信機能を備えることも可能である。
この場合、ＴＳＡは、ＮＴＡ１、ＴＡｘ、ＴＡｙにこれらサーバ装置のＵＲＬを用いて精度を問い合わせ、これとＴＡ１の精度を用いて、ＴＡ１から配信された時刻の精度を評価する。
また、図２（ｂ）のように、ＵＲＬの代わりにＮＴＡ１、ＴＡｘ、ＴＡｙの精度を記しておいてもよい。
【００３４】
図２（ｅ）の例は、トレ情報を入れ子形態にて構成した場合を示している。
図に示したように、この例では、ＴＡのトレ情報の伝達経路情報にＮＴＡからＴＡに送信されたトレ情報が含まれている。
このＮＴＡからＴＡに送信されたトレ情報は、ＴＡがＮＴＡから時刻監査を受けた際にＮＴＡからＴＡに送信されたトレ情報である。
ＴＳＡは、ＴＡから受信したトレ情報からＮＴＡがＴＡに送信したトレ情報を抽出し、これらを用いて配信時刻のＵＴＣに対する精度を評価することができる。
【００３５】
図の例は、ＮＴＡ→ＴＡ→ＴＳＡと時刻配信された場合であるが、ＮＴＡ→ＴＡｘ→ＴＡｙ→ＴＳＡなどと、更に多くのサーバ装置を介して時刻が配信される場合は、ＴＡｘは、ＮＴＡからＴＡｘに送信されたトレ情報を含めたトレ情報をＴＡｙに送信し、ＴＡｙはＴＡｘから送信されたトレ情報（ＮＴＡがＴＡｘに送信したトレ情報が含まれている）を含めたトレ情報をＴＳＡに発行する。
このように、伝達経路上のサーバ装置が直上のサーバ装置から送信されてきたトレ情報を含めたトレ情報を直下のサーバ装置に送信することにより、時刻配信の伝達経路に渡る全てのトレ情報を下流側に伝達することができる。そして、ＴＳＡは、トレ情報から上流側のトレ情報を抽出して解析することにより、配信時刻のＵＴＣに対する精度を評価することができる。
【００３６】
以上に、伝達経路情報を用いた時刻の精度の評価方法について説明したが、更に次のように構成することもできる。
例えば、ＴＡがＴＳＡに時刻配信を行う際に、ＴＡがＮＴＡの精度と自己の精度を加算してこれをトレ情報に記しておく。
即ち、ＴＡが、自分が配信する時刻のＵＴＣに対する精度を評価する。この場合、ＴＳＡは、既に基準時刻に対する評価済みの精度をＴＡから受信することができる。
【００３７】
また、各ＮＴＡ、及び各ＴＡの配信時刻の精度に関するポリシを収集し、閲覧可能に用意した参照サーバを用意し、ＴＳＡが参照サーバに配信時刻の精度の評価を依頼するように構成することもできる。
この場合、ＴＳＡは、伝達経路情報に記されている伝達経路を参照サーバに送信し、参照サーバで精度の評価を行ってＴＳＡに返すことにより、ＴＳＡは、参照サーバから配信された時刻の精度の評価値を得ることができる。
【００３８】
図３は、本実施の形態に係るＴＡとＴＳＡの機能を説明するための機能ブロック図である。
ＴＡは、認証部１０、トレ情報送信部１１、時刻監査部１２などから構成されている。
ＴＡは、トレ情報送信部１１を時刻監査証明書送信部とすると、従来のＴＡと同じ構成となる。
一方、ＴＳＡは、認証部２０、トレ情報受信部２１、比較判定部２２、動作制御部２３、時計部２４、タイムスタンプ部２５、通信制御部２６、認証情報テーブル２８、トレ情報テーブル２９、ポリシ情報テーブル３０、アクションテーブル３１などから構成されている。
【００３９】
まず、ＴＡの認証部１０とＴＳＡの認証部２０の関係と機能について説明する。
認証部１０は、以下のようにして、認証部２０と通信し、ＴＳＡが正当なサーバ装置であるか否かを認証する。
時刻監査を行う場合、認証部１０は認証部２０に認証情報を要求する。
時刻監査は、ＴＡからＴＳＡに時刻監査を行うこともできるし、あるいは、ＴＳＡがＴＡに時刻監査を要求して行うこともできる。
これに対し、認証部２０は、認証情報テーブル２８から認証情報を読み出して認証部１０に送信する。
【００４０】
認証部１０は、予め記憶してあるＴＳＡの認証情報と、ＴＳＡから送信されてきた認証情報の一致を確認することによりＴＳＡが正規のＴＳＡであることを認識する。例えばＳＳＬやＴＬＳによる認証や、その他の認証情報を利用した認証を行うことにより、ＴＳＡのなりすましを防ぐことができる。
また、ＴＳＡ側でもＴＡを認証するように構成すると、ＴＡの成りすましも防止することができる。
ここで、認証情報とは、例えばＳＳＬやＴＬＳでの認証に利用する証明書情報、鍵情報、証明書失効情報などとともに、トレ情報を生成する際に利用される情報（証明書情報など）も含まれる。これらの情報は、認証情報テーブルにより互いに関連づけられており、必ず認証したＴＳＡに対し、認証したＴＡの発行したトレ情報が送信される。
なお、ＳＳＬやＴＬＳに利用する鍵や証明書は、トレ情報を生成する際に利用される鍵や証明書と同じでもよい。この場合、鍵や証明書の管理を容易にすることや、通信手順を容易にすることや、取扱うデータ量を少なくすることができる。
また、ＳＳＬやＴＬＳに利用する鍵や証明書と、トレ情報を生成する際に利用される鍵や証明書の関連づけは、データベースや設定ファイルによるものや、ＴＡやＴＳＡ自身では変更できない、機器固有の鍵を、暗号化や電子署名に利用する方法などがある。
【００４１】
ＴＡの時刻監査部１２は、ＴＳＡの時計部２４を時刻監査する機能部である。
時刻監査部１２は、ＴＳＡの認証後にＴＳＡに時計部２４の時刻の送信を要求し、これに対し、ＴＳＡは、時計部２４の出力値をＴＡに送信する。
そして、ＴＡは、ＴＳＡから受信した時刻を自己の時計装置の時刻と比較し、その誤差を計測する。
ＴＡのトレ情報送信部１１は、時刻監査部１２で計測した時刻誤差を含むトレ情報を生成し、これをＴＳＡに送信する。
【００４２】
ＴＳＡのトレ情報受信部２１は、ＴＡから送信されてきたトレ情報を受信し、これをトレ情報テーブル２９に記憶する。
トレ情報テーブル２９の論理的な構成の一例を図４（ａ）に示す。図に示したように、トレ情報テーブル２９は、「発行時刻」、「発行者」、「発行先」、「属性（タイプ）」、「属性（値）」などの各項目から構成されている。
トレ情報受信部２１は、トレ情報からこれらの項目を抽出してトレ情報テーブル２９に記憶（登録）していく。
【００４３】
「発行時刻」は、トレ情報が発行された時刻である。
「発行者」は、トレ情報の発行元であり、図の例ではＴＡ１となっている。例えば、ＴＡ２からＴＳＡに宛てたトレ情報であれば、ＴＡ２となり、ＮＴＡ１からＴＡ１に宛てたトレ情報であれば、ＮＴＡ１となる。
「発行先」は、そのトレ情報の受取先であり、図の例ではＴＳＡとなっている。例えば、ＴＡ２からＴＳＡに宛てたトレ情報であれば、ＴＳＡとなり、ＮＴＡ１からＴＡ１に宛てたトレ情報であれば、ＴＡ１となる。
【００４４】
「属性（タイプ）」と「属性（値）」は、属性の種類とその属性値である。「属性（タイプ）」は属性の種類を表し、「属性（値）」は、その属性値を表している。
「属性（タイプ）」は、基本情報に関するものでは、発行時刻、バージョン、発行先、発行元、署名アルゴリズム、シリアル番号、有効期間などがあり、時刻情報に関するものでは、監査時刻、時刻誤差、通信遅延、活性化期間、うるう秒、配信時刻の精度などがある。
【００４５】
また、ＴＳＡは、トレ情報の伝達経路情報を用いて、ＴＡから配信された時刻のＵＴＣに対する精度を評価する精度評価機能部２７を備えており、精度評価機能部２７は、評価値をトレ情報テーブル２９に記憶する。
この場合、「属性（タイプ）」は、「配信時刻の精度」となり、配信時刻の精度が「属性（値）」として記憶される。
なお、属性は、時刻に関するもののほかに、例えば、情報処理装置の設置されている国や、サービスを運営している事業体など、各種のものが可能である。
例えば、「属性（タイプ）」が国の場合、「属性（値）」は日本などの国名となる。また、「属性（タイプ）」が事業体の場合、「属性（値）」は、株式会社○○社などと、事業体名となる。
また、例えば事業体や情報処理装置や業務やサービスなどに与えられる各種の認定に関するものについては、「属性（タイプ）」が認定の種類の場合、「属性（値）」は○○協会の○○認定や○○協会の○○マークなど、認定の種類を特定する識別名や識別番号となる。また、「属性（タイプ）」が認定番号の場合、「属性（値）」は認定された順番や認定対象を識別するための認定番号となる。また、「属性（タイプ）」が認定の有効期間の場合、「属性（値）」はその認定が有効な期間となる。
このような、各種の認定に関する情報を伝達する場合、例えば信頼できる伝達経路を経由した情報のみを取扱うことができたり、また自身が認定された事業体や情報処理装置であることを伝達することを、信頼できる伝達経路への接続条件とするなど、伝達経路における情報の取扱いに関して、より信頼性を向上することができる。
なお、この場合の認定とは、第三者機関から取得する認定などの他に、情報の伝達を行う事業体や情報処理装置など、伝達経路上の当事者間で行う認定もある。
【００４６】
ここで、精度評価機能部２７についてより詳細に説明する。精度評価機能部２７は、ＴＡから受信したトレ情報の伝達経路情報を用いて、ＮＴＡが配信した基準時刻からＴＳＡに到達するまでの伝達経路を解析し、これを用いてＴＡから配信された時刻のＵＴＣに対する精度を評価する。
例えば、精度評価機能部２７は、図２（ｂ）に示すように、伝達経路情報から配信された時刻の精度を評価できる場合はこれによって評価する。また、図２（ｃ）のように、伝達経路上のサーバ装置のＵＲＬが得られる場合は、これを用いて各サーバ装置にアクセスして各サーバ装置の精度を収集し、これらを加算してＵＴＣに対する精度を算出する。
【００４７】
以上のようにして、トレ情報テーブル２９には、トレ情報に記載されていた情報が属性ごとに整理されて記憶される。
なお、図の例では、属性のタイプは、「Ｏｆｆｓｅｔ」となっており、これは時刻監査で計測された時刻誤差を意味する。そして、属性の値は「３００」となっており、時刻誤差が３００［ｍｓ］であったことを意味している。
【００４８】
比較判定部２２（図３）は、トレ情報テーブル２９に記憶されているトレ情報とポリシ情報テーブル３０に記憶されているポリシ情報を比較し、その比較値をポリシ情報テーブル３０に記憶する。
ポリシ情報は、トレ情報で記憶した各属性（タイプ）に対し、例えば、ある基準値との大小関係など、判定式を用いて判定する情報である。ＴＳＡは、この判定値を元にして行う動作を判断することになる。
【００４９】
ポリシ情報テーブル３０には、図４（ｂ）に示したように、複数のポリシ情報が設定されており、各ポリシ情報は、「ポリシ番号」、「発行者」、「発行先」、「属性（タイプ）」、「属性（値）」、「判定式」、「判定結果」などの項目から構成されている。
このうち、「ポリシ番号」〜「判定式」は、予めトレ情報テーブル２９に設定されており、「判定結果」は、比較判定部２２が判定結果として出力したものである。
【００５０】
「ポリシ番号」は、各ポリシ情報に付与された一意の番号であり、ポリシ情報の識別情報を構成している。
「発行者」〜「属性（タイプ）」は、トレ情報テーブル２９と同じである。
「属性（値）」は、トレ情報の属性値を「判定式」で判定するための基準値である。この属性値が、トレ情報テーブル２９の属性値と比較されることになる。
「判定式」は、トレ情報の属性値を基準値（ポリシ情報の「属性（値）」）と対比して判定する判定式である。
「判定結果」は、属性の値を判定式で判定した結果である。
【００５１】
比較判定部２２は、トレ情報テーブル２９に記憶されているトレ情報の「発行者」、「発行先」、「属性（タイプ）」の組み合わせとポリシ情報テーブル３０のポリシの「発行者」、「発行先」、「属性（タイプ）」とマッチングする。
そして、一致するものがあった場合に、両者の「属性（値）」をポリシ情報の「判定式」に従って判定し、その判定結果をポリシ情報の「判定結果」に出力する。これによって、ポリシ情報テーブル３０が更新される。
判定式としては、＝、＞、＜、といった属性の値の大小関係や、値をとる場合などがある。
【００５２】
図４（ｂ）の例では、ポリシ番号１のポリシに関しては、判定結果が「２」となり値をとっている。また、ポリシ番号２のポリシに関しては、判定結果が「Ｔ（Ｔｒｕｅ）」となっており、トレ情報の属性の値とポリシの属性の値が判定式「＜」を満たしていることを示している。判定式を満たさない場合、判定結果は「Ｆ（Ｆａｌｓｅ）」となる。
なお、判定式の「＝」は、両者の属性値が等しいか否かを判定するものであり、「＜」は、ポリシ情報の属性値がトレ情報の属性値よりも大きいか否かを判定するものであり、「＞」は、その逆である。
【００５３】
なお、先に説明した精度評価機能部２７の代わりに、同等の機能を比較判定部２２に持たせるように構成することもできる。
この場合、図２（ｂ）に示すように、伝達経路情報から配信された時刻の精度を評価できる場合、比較判定部２２はこれによってＵＴＣに対する精度を計算する。そして、比較判定部２２は、その精度の判定値をポリシ情報テーブル３０に記憶させる。
また、図２（ｃ）のように、伝達経路上のサーバ装置のＵＲＬが得られる場合、比較判定部２２はこれを用いて各サーバ装置にアクセスし、これら各サーバ装置の精度を記したトレ情報を要求する。
これに応じて各サーバ装置が送信したトレ情報は、トレ情報受信部２１によりトレ情報テーブル２９に記憶される。比較判定部２２は、これらのトレ情報を用いて配信時刻のＵＴＣに対する精度を計算し、その判定値をポリシ情報テーブル３０に記憶させる。
このように、精度評価機能部２７を設けずに、比較判定部２２に配信時刻の精度を評価する機能を持たせることもできる。
【００５４】
動作制御部２３（図３）は、アクションテーブル３１の動作情報を用いて比較判定部２２が判定した判定結果が所定の条件を満たしているか否かを判断し、その判断結果を用いて動作させる機能部（時計部２４、タイムスタンプ部２５、通信制御部２６など）、及び機能部の動作内容を定める動作パラメータを決定する。
【００５５】
アクションテーブル３１は、図４（ｃ）に示したように、複数の動作情報（アクション）が設定されており、動作情報は、「アクション番号」、「アクション（機能モジュール指定）」、「アクション（パラメータ指定）」などの項目から構成されている。
「アクション番号」は、各動作情報に付与された一意の番号であって、動作情報の識別情報を構成している。
「条件式」は、ポリシ情報の判定結果がある条件を満たしているか否かを判断するための条件式である。
「アクション（機能モジュール指定）」は、条件式が満たされていた場合に、動作を行わせる機能部（機能モジュール）を指定する。
「アクション（パラメータ指定）」は、指定した機能部の動作内容（動作モード）を規定する動作パラメータである。
【００５６】
例えば、機能部が時計部２４の場合、動作内容としては、「受信したトレ情報を用いて時計装置の補正を行う」とか、「受信したトレ情報を用いては時計装置の補正を行わない」などがある。
また、機能部がタイムスタンプ部２５の場合、動作内容としては、「受信したトレ情報に記されている活性化期間を設定する」、「タイムスタンプ発行機能をオンにする」、「タイムスタンプ発行機能をオフにする」などがある。
更に、機能部が通信制御部２６の場合、動作内容としては、「トレ情報に記されているＵＲＬを用いてサーバ装置に接続する」などがある。
なお、図４（ｃ）の例で示したアクション番号１で規定される動作情報は、「ポリシ１の判定結果が１０未満で、かつ、ポリシ２の判定結果がＴであるならば（条件式）、タイムスタンプ部２５を（機能部の指定）、オンにする（動作内容）」という内容を表している。
【００５７】
図３に戻り、時計部２４は、タイムスタンプを発行するための時刻装置を制御するための機能部である。時計部２４は、ＴＡの時刻監査部１２から時刻監査を受けて時刻を送信したり、タイムスタンプ部２５にタイムスタンプで記録する時刻を出力したり、配信時刻を用いて時計装置を補正したりする。
タイムスタンプ部２５は、時計部２４で計測される時刻を用いてタイムスタンプを発行する機能部である。
通信制御部２６は、ＴＳＡを他のサーバ装置などに接続して通信を行うための機能部である。
【００５８】
動作制御部２３は、アクションテーブル３１で条件を判断した後、その判断結果を用いてこれら機能部に動作パラメータで指定される動作を行わせる。
例えば、動作制御部２３は、アクションテーブル３１での判断結果に基づいて、時計部２４に命じて時計装置の補正を行わせたり、タイムスタンプ部２５にタイムスタンプの発行機能をオンオフにさせたり、あるいは通信制御部２６に他のサーバ装置に接続させたりする。
【００５９】
以上に説明したように、本実施の形態のＴＳＡは、時刻配信サーバ（ＴＡ）から時刻情報（配信された時刻）を受信して記憶する時刻情報受信手段（トレ情報受信部２１）と、前記記憶した時刻情報の精度を取得して記憶する精度取得手段と（精度評価機能部２７）、時刻を出力する時計装置と（時計部２４）、前記記憶した精度が所定の条件を満たす場合に、前記記憶した時刻情報を用いて前記時計装置の時刻を補正する時計装置補正手段と（動作制御部２３）、前記補正した時計装置を用いてタイムスタンプを発行するタイムスタンプ発行手段（タイムスタンプ部２５）を具備した時刻情報処理装置を構成している。
ここで、前記記憶した精度が所定の条件を満たすか否かを判定する比較手段（比較判定部２２）を備え、この判定結果により時計装置補正手段が動作するように構成することもできる。
【００６０】
また、本実施の形態のＴＳＡは、伝達経路によって属性値（精度など）が定まる伝達情報を受信して記憶装置に記憶する伝達情報受信手段（トレ情報受信部２１）と、前記受信した伝達情報の属性値を取得して記憶装置に記憶する属性取得手段（トレ情報受信部２１）と、前記記憶した属性値を所定の基準値と比較し（比較判定部２２）、比較結果により所定の動作を行う動作機能部を選択する動作機能部選択手段（動作制御部２３）と、前記記憶した伝達情報を用いて前記選択した動作機能部を機能させる動作手段と（動作制御部２３）、を具備した情報処理装置も構成している。
なお、本実施の形態のＴＳＡは、配信時刻の伝達経路によって属性値（精度）が定まるものであるが、当該情報処理装置の対象は、より広いものとすることができる。
即ち、当該情報処理装置は、「一連の経路から伝達されてきた情報を総合的に利用する」、「複数の伝達経路から得られた情報を利用する」、「伝達経路から得られた情報を利用し、他の情報処理装置に対してアクションを行う」、「そのアクションによって、他の情報処理装置から伝達情報を受信し、更にその伝達情報を基に動作する」というような情報処理を行うもの全般に適用することができるものである。
【００６１】
次に、以上のように構成されたＴＳＡの基本的な動作について、図５のフローチャートを用いて説明する。なお、以下では、情報処理に使用する機能部を括弧で示す。認証は既に行ってあるものとする。
まず、ＴＡがＴＳＡの時刻監査を行い、ＴＳＡ（トレ情報受信部２１）がその結果を記したトレ情報を受信する（ステップ５）。
ＴＳＡ（トレ情報受信部２１）は、受信したトレ情報をトレ情報テーブル２９に記憶してトレ情報テーブル２９を更新する（ステップ１０）。
次に、ＴＳＡ（比較判定部２２）は、トレ情報テーブル２９に記憶されているトレ情報とポリシ情報テーブル３０に記憶されているポリシ情報を比較し（ステップ１５）、比較結果をポリシ情報テーブル３０に出力してポリシ情報テーブル３０を更新する（ステップ２０）。
【００６２】
次に、ＴＳＡ（動作制御部２３）は、アクションテーブル３１を参照し、ポリシ情報テーブル３０の判定結果が、アクション情報の条件式を満たしているか否かを判断する。
そして、ＴＳＡ（動作制御部２３）は、判断結果によって、動作させる動作機能部と行わせる動作を決定する（ステップ３０）。
そして、ＴＳＡ（動作制御部２３）は、この機能部に対して動作を行わせる（ステップ３５）。
【００６３】
このように、ＴＳＡは、トレ情報の内容を解析し、その解析結果に応じて様々な動作を行うことができるが、ここでは、その具体例として、配信時刻のＵＴＣに対する精度の評価値を用いて時計装置を補正する場合について説明する。
【００６４】
以下の各説明では、簡単のため、図１において、ＮＴＡ２はないものとし、ＴＡ１、ＴＡ２は、何れもＮＴＡ１の配信する時刻によって時刻補正しているものとする。
また、ＴＡｉ、ＴＡｊのうち、何れかがＴＡ１で他方がＴＡ２とする。即ち、ＴＡｉがＴＡ１の場合、ＴＡｊはＴＡ２となり、ＴＡｉがＴＡ２の場合はＴＡｊがＴＡ１となる。このように、ＴＡ１とＴＡ２は対等であり入替可能である。
【００６５】
図６のフローチャートで説明する例は、ＴＡから配信された時刻のＵＴＣに対する精度（ＮＴＡの精度とＴＡの精度の和）が５００［ｍｓ］未満の場合に、このＴＡから配信された時刻によって時計部２４の補正を行い、精度が５００［ｍｓ］未満でない場合は、他のＴＡに時刻配信を要求するというものである。
なお、本実施の形態では、ＴＳＡは複数のＴＡから時刻配信を受けることが可能であるので、ＴＳＡは、時刻配信を受けるＴＡにプライマリ、セカンダリなどと優先順位を付けている。これにより、ＴＳＡは、優先度の高いＴＡからの時刻配信のみを受け付けたり、より優先順位が高いＴＡに対して時刻監査の要求を行うなどの制御が可能である。
【００６６】
以下、フローチャートについて説明する。
ＴＡｉは、ＴＳＡの時刻監査を行い、その結果を記したトレ情報をＴＳＡに送信する（ステップ１００）。
ＴＳＡ（トレ情報受信部２１）は、ＴＡｉからトレ情報を受信し、トレ情報テーブル２９に記憶する（ステップ２００）。
【００６７】
次に、ＴＳＡ（比較判定部２２）は、トレ情報テーブル２９とポリシ情報テーブル３０を参照し、ポリシ情報テーブル３０を更新する。
ここで、ポリシ情報テーブル３０では、トレ情報で配信された時刻の精度（ＮＴＡ１とＴＡｉの精度の和）が５００［ｍｓ］未満であるか否かを判定する判定式が設定されており、ＴＳＡ（比較判定部２２）は、この判定式を用いて精度を判定し、判定結果をポリシ情報テーブル３０に出力する。
【００６８】
次に、ＴＳＡ（動作制御部２３）は、ポリシ情報テーブル３０を参照し、これをアクションテーブル３１と対比し、アクションテーブル３１で規定されている機能部に動作を行わせる。
アクションテーブル３１には、精度が５００［ｍｓ］未満であった場合、この配信時刻で時刻補正を行い、そしてタイムスタンプ発行機能の活性化期間を設定し、更にこのＴＡをプライマリに設定するように規定されている。
【００６９】
ＴＡｉの配信時刻の精度（ＮＴＡ１とＴＡｊの精度の和）が５００［ｍｓ］未満であった場合（ステップ２０５；Ｙ）、ＴＳＡ（動作制御部２３）は、時計部２４にこの配信時刻で時刻補正を行わせ（ステップ２２０）、更にタイムスタンプ部２５にタイムスタンプ発行機能の活性化期間を設定させる（ステップ２２５）。
そして、ＴＳＡ（動作制御部２３）は、時刻補正に使用したＴＡ、即ちＴＡｉをプライマリに設定し、ＴＡｊをセカンダリに設定する（ステップ２３０）。
【００７０】
一方、アクションテーブル３１には、ＴＡｉから配信された時刻の精度が５００［ｍｓ］未満でなかった場合、ＴＡｊから時刻配信を受け、この精度が５００［ｍｓ］未満であった場合、この配信時刻を用いて時刻補正などを行うように規定されている。
【００７１】
そこで、ＴＡｉから受信した配信時刻の精度が５００［ｍｓ］未満でなかった場合（ステップ２０５；Ｎ）、ＴＳＡ（動作制御部２３）は、通信制御部２６を制御してＴＡｊにアクセスし、ＴＡｊにトレ情報を要求する（ステップ２１０）。
これに対し、ＴＡｊはＴＳＡの時刻監査を行って、その結果を記したトレ情報をＴＳＡに送信する（ステップ３００）。
ＴＳＡ（トレ情報受信部２１）は、このトレ情報を受信してトレ情報テーブル２９に記憶する。
次に、ＴＳＡ（比較判定部２２）は、トレ情報テーブル２９を参照し、ポリシ情報テーブル３０の判定式に従って、ＴＡｊから配信された時刻の精度（ＮＴＡ１とＴＡｊの精度の和）が５００［ｍｓ］未満であるか否かを判定する。そして、その判定結果をポリシ情報テーブル３０に出力する。
【００７２】
次に、ＴＳＡ（動作制御部２３）は、ポリシ情報テーブル３０を参照し、これをアクションテーブル３１と対比する。
アクションテーブル３１には、精度が５００［ｍｓ］未満であった場合、この配信時刻で時刻補正を行い、そしてタイムスタンプ発行機能の活性化期間を設定し、更にこのＴＡをプライマリに設定するように動作が規定されている。一方、配信時刻の精度が５００［ｍｓ］未満でなかった場合、動作を行わないように規定されている。
【００７３】
ＴＡｊの配信時刻の精度（ＮＴＡ１とＴＡｊの精度の和）が５００［ｍｓ］未満であった場合（ステップ２１５；Ｙ）、ＴＳＡ（動作制御部２３）は、時計部２４にこの配信時刻で時刻補正を行わせ（ステップ２２０）、更にタイムスタンプ部２５にタイムスタンプ発行機能の活性化期間を設定させる（ステップ２２５）。
そして、ＴＳＡ（動作制御部２３）は、時刻補正に使用したＴＡ、即ちＴＡｊをプライマリに設定し、ＴＡｉをセカンダリに設定する（ステップ２３０）。
【００７４】
一方、ＴＡｊの配信時刻の精度（ＮＴＡ１とＴＡｊの精度の和）が５００［ｍｓ］未満でなかった場合（ステップ２１５；Ｎ）、ＴＳＡ（動作制御部２３）は、時刻補正などを行わずに動作を終了する。
この場合、前回に時刻補正した際に設定した活性化期間が経過すると、ＴＳＡは、タイムスタンプ発行機能を停止する。そのため、ＴＳＡの精度に関するポリシである５００［ｍｓ］未満に適合しない場合は、タイムスタンプの発行を停止することができる。
【００７５】
以上のように、このポリシによると、ＴＳＡは、ＴＡから配信された時刻の精度が所定値（５００［ｍｓ］）を満たさない場合に、他のＴＡにアクセスして所定の精度を満たす配信時刻を得ることができる。
このように構成すると、例えば、ＴＳＡが精度に関するポリシを変更した場合であっても、そのポリシに適合するＴＡを探すことができる。
【００７６】
なお、ＴＳＡがポリシ（精度に対するポリシやその他のものに対するポリシを含む）が勝手にポリシを変更するとＴＡ側に問題が生じる場合は、次のような対策をとることができる。
ポリシ設定を、ＴＡの認めた管理者のみが変更可能なよう、アクセス制御（パスワード、ＩＣカードによる認証など）を行う。
予めＴＡとＴＳＡで合意したポリシ設定の下、ポリシ設定が改竄されないようソフトウェアにハードコーディングする。
ＴＳＡ側には特定の機能制御（例えば、時刻補正）しか設定できないように制限する。
ＴＳＡ側には機能部を制御する能動的な権限は持たせず、例えば、「ＴＳＡのポリシとあわない場合に、トレ情報の受信を拒否する」という受動的な権限のみ持たせる。
【００７７】
図７のフローチャートで説明する例は、一方のＴＡから時刻を配信された場合に、その精度を前回に受信した他方のＴＡの配信時刻の精度と比較し、より精度の高いものを採用するものである。回線の状況などによって配信時刻の精度が変化する場合により精度の高い伝達経路を経由したものを採用するものである。
以下の説明では、図６と同じステップには同じステップ番号を付し、説明を簡略化する。
ＴＡｉは、ＴＳＡに時刻監査を行い、その監査結果や配信時刻などを記したトレ情報をＴＳＡに送信する（ステップ１００）。
ＴＳＡ（トレ情報受信部２１）は、ＴＡｉからトレ情報を受信し、トレ情報テーブル２９に記憶する（ステップ２００）。
【００７８】
次に、ＴＳＡ（比較判定部２２）は、トレ情報テーブル２９とポリシ情報テーブル３０を参照し、ポリシ情報テーブル３０を更新する。
ここで、ポリシ情報テーブル３０では、前回にＴＡｊから受信した配信時刻の精度（ＮＴＡ１とＴＡｊの精度の和）と、今回ＴＡｉから受信した配信時刻の精度（ＮＴＡ１とＴＡｉの精度の和）のどちらが正確かを判定する判定式が設定されており、ＴＳＡ（比較判定部２２）は、この判定を行って判定結果をポリシ情報テーブル３０に出力する。
【００７９】
次に、ＴＳＡ（動作制御部２３）は、ポリシ情報テーブル３０を参照し、これをアクションテーブル３１と対比し、アクションテーブル３１で規定されている動作を行う。
アクションテーブル３１には、今回ＴＡｉから配信された時刻の方が正確であった場合、この時刻で時刻補正を行い、そしてタイムスタンプ発行機能の活性化期間を設定し、更にこのＴＡをプライマリに設定するように動作が規定されている。
【００８０】
今回ＴＡｉから配信された時刻の方が正確であった場合（ステップ２３５；ＴＡｉ）、ＴＳＡ（動作制御部２３）は、時計部２４にこの時刻で時刻補正を行わせ（ステップ２２０）、更にタイムスタンプ部２５にタイムスタンプ発行機能の活性化期間を設定させる（ステップ２２５）。
そして、ＴＳＡ（動作制御部２３）は、時刻補正に使用したＴＡ、即ちＴＡｉをプライマリに設定し、ＴＡｊをセカンダリに設定する（ステップ２３０）。
【００８１】
一方、アクションテーブル３１には、前回ＴＡｊから配信された時刻の方が正確であった場合、ＴＡｊから時刻の配信を受け、これが前回（即ちステップ２００で）ＴＡｉから受信した時刻の精度よりも高かった場合、この時刻を用いて時刻補正などを行うように動作が規定されている。
【００８２】
そこで、ＴＳＡ（動作制御部２３）は、前回ＴＡｊから受信した時刻の方が精度が高かった場合（ステップ２３５；ＴＡｊ）、通信制御部２６を制御してＴＡｊにアクセスし、ＴＡｊにトレ情報を要求する（ステップ２１０）。
これに対し、ＴＡｊはＴＳＡの時刻監査を行って、その結果や配信時刻などを記したトレ情報をＴＳＡに送信する（ステップ３００）。
そして、ＴＳＡ（トレ情報受信部２１）は、このトレ情報を受信してトレ情報テーブル２９に記憶する。
【００８３】
次に、ＴＳＡ（比較判定部２２）は、トレ情報テーブル２９を参照し、ポリシ情報テーブル３０の判定式に従って、前回ＴＡｉから配信された時刻と今回ＴＡｊから受信した時刻の何れが精度が高いか判定する。そして、その判定結果をポリシ情報テーブル３０に出力する。
【００８４】
次に、ＴＳＡ（動作制御部２３）は、ステップ２３５と同様に、ポリシ情報テーブル３０とアクションテーブル３１を対し、アクションテーブル３１で規定されている動作を行う。
即ち、今回ＴＡｊから配信された時刻の精度の方が正確であった場合（ステップ２４０；ＴＡｊ）、ＴＳＡ（動作制御部２３）は、時計部２４にこの時刻で時刻補正を行わせ（ステップ２２０）、更にタイムスタンプ部２５にタイムスタンプ発行機能の活性化期間を設定させる（ステップ２２５）。
そして、ＴＳＡ（動作制御部２３）は、時刻補正に使用したＴＡ、即ちＴＡｊをプライマリに設定し、ＴＡｉをセカンダリに設定する（ステップ２３０）。
【００８５】
一方、前回ＴＡｉから配信された時刻の精度の方が正確であった場合（ステップ２４０；ＴＡｉ）、ＴＳＡ（動作制御部２３）は、時刻補正などを行わずに動作を終了する。
そして、前回に時刻補正した際に設定した活性化期間が経過すると、ＴＳＡは、タイムスタンプ発行機能を停止する。
【００８６】
図８のフローチャートで説明する例は、配信時刻が正確な方のＴＡをプライマリに設定するものである。なお、図８のフローチャートでは、ＴＡｊを省略してある。
まず、ＴＡｉは、ＴＳＡに時刻監査を行い、その監査結果や配信時刻などを記したトレ情報をＴＳＡに送信する（ステップ１００）。
ＴＳＡ（トレ情報受信部２１）は、ＴＡｉからトレ情報を受信し、トレ情報テーブル２９に記憶する（ステップ２００）。
【００８７】
次に、ＴＳＡ（比較判定部２２）は、トレ情報テーブル２９とポリシ情報テーブル３０を参照し、ポリシ情報テーブル３０を更新する。
ここで、ポリシ情報テーブル３０では、前回にＴＡｊから受信した配信時刻の精度（ＮＴＡ１とＴＡｊの精度の和）と、今回ＴＡｉから受信した配信時刻の精度（ＮＴＡ１とＴＡｉの精度の和）のどちらが正確かを判定する判定式が設定されており、ＴＳＡ（比較判定部２２）は、この判定を行って判定結果をポリシ情報テーブル３０に出力する。
【００８８】
次に、ＴＳＡ（動作制御部２３）は、ポリシ情報テーブル３０を参照し、これをアクションテーブル３１と対比し、アクションテーブル３１で規定されている動作を行う。
アクションテーブル３１には、今回ＴＡｉから配信された時刻の方が正確であった場合、ＴＡｉをプライマリに設定し、前回ＴＡｊから配信された時刻の方が正確であった場合、ＴＡｊをプライマリに設定するように動作が規定されている。
【００８９】
今回ＴＡｉから配信された時刻の方が正確であった場合（ステップ２４５；ＴＡｉ）、ＴＳＡ（動作制御部２３）は、ＴＡｉをプライマリに設定し、ＴＡｊをセカンダリに設定する（ステップ２５５）。
一方、前回ＴＡｊから配信された時刻の方が正確であった場合（ステップ２４５；ＴＡｊ）、ＴＳＡ（動作制御部２３）は、ＴＡｊをプライマリに設定し、ＴＡｊをセカンダリに設定する（ステップ２５０）。
【００９０】
図９のフローチャートで説明する例は、ＴＡｉとＴＡｊのうち、少なくとも一方の配信時刻の精度が５００［ｍｓ］未満である場合に、正確な方のＴＡによって時刻補正するものである。
まず、ＴＡｉがＴＳＡの時刻監査を行い、その結果を記したトレ情報をＴＳＡに送信する（ステップ１００）。
ＴＳＡでは、トレ情報受信部２１がこのトレ情報を受信し、これをトレ情報テーブル２９に記憶する。
このように、ＴＡｉからトレ情報を受信すると、ＴＳＡは、ＴＡｊに対してトレ情報を要求する（ステップ２１０）。
これを受けて、ＴＡｊは、ＴＳＡの時刻監査を行い、その監査結果や配信時刻などを記したトレ情報をＴＳＡに送信する（ステップ３００）。
【００９１】
次に、ＴＳＡ（比較判定部２２）は、トレ情報テーブル２９とポリシ情報テーブル３０を参照し、ポリシ情報テーブル３０を更新する。
ここで、ポリシ情報テーブル３０では、ＴＡから配信された時刻の精度が５００［ｍｓ］未満であるか否かを判定する判定式が設定されており、ＴＳＡ（比較判定部２２）は、ＴＡから配信された時刻の精度が５００［ｍｓ］未満であるか否かを判定し、その判定結果をポリシ情報テーブル３０に出力する。
更に、ポリシ情報テーブル３０では、何れの配信時刻の方が精度が高いか判定する判定式が設定されており、ＴＳＡ（比較判定部２２）は、その判定結果をポリシ情報テーブル３０に出力する。
【００９２】
次に、ＴＳＡ（動作制御部２３）は、ポリシ情報テーブル３０を参照し、これをアクションテーブル３１と対比する。
アクションテーブル３１には、ＴＡｉとＴＡｊの両方の配信時刻の精度が何れも５００［ｍｓ］未満でない場合は動作をせず、少なくとも一方が５００［ｍｓ］未満である場合、正確な方の配信時刻で時刻補正を行い、そしてタイムスタンプ発行機能の活性化期間を設定するように動作が規定されている。
【００９３】
そこで、ＴＳＡ（動作制御部２３）は、ポリシ情報テーブル３０を参照し、両方の配信時刻の精度が５００［ｍｓ］未満でない場合は（ステップ２６０；Ｎ）、動作をせず、時刻の補正を行わない。この場合、現在の活性期間が経過した後ＴＳＡはタイムスタンプ機能を停止する。
一方、少なくとも一方の配信時刻の精度が５００［ｍｓ］未満である場合は（ステップ２６０；Ｙ）、正確な方の配信時刻によって時計部２４に時刻補正を補正し（ステップ２６５）、タイムスタンプ部２５にタイムスタンプ発行機能の活性化期間を設定させる（ステップ２２５）。
この例では、正確な方の配信時刻を選択する際に、その配信時刻の精度が５００［ｍｓ］未満であることを確認している。
これにより、配信時刻の精度が５００［ｍｓ］未満という条件を満たせないＴＡを除外した上で、より正確なＴＡからの配信時刻をもとに、ＴＳＡの時刻を補正することができる。
【００９４】
図１０のフローチャートの例は、ＴＡｉとＴＡｊの双方に時刻監査を要求し、少なくとも一方の配信時刻の精度が５００［ｍｓ］未満であった場合に、正確な方の配信時刻を用いて時刻補正を行うものである。
まず、ＴＳＡは、ＴＡｉとＴＡｊの双方にトレ情報を要求する（ステップ２７０）。
ＴＡｉは、この要求を受けてＴＳＡの時刻監査を行い、その結果を記したトレ情報をＴＳＡに送信する（ステップ１０５）。
ＴＡｊも、この要求を受けてＴＳＡの時刻監査を行い、その結果を記したトレ情報をＴＳＡに送信する（ステップ３０５）。
【００９５】
ＴＳＡ（トレ情報受信部２１）は、これらのトレ情報を受信してトレ情報テーブル２９に記憶する。
以下の動作は、図９の例と同じであるので省略する。
図９の例では、ＴＡｉから時刻監査を受けたことをトリガーとしてＴＡｊに時刻監査を要求したが、図１０の例では、ＴＳＡからＴＡｉ、及びＴＡｊに時刻監査を要求している。
【００９６】
以上、ＴＳＡがトレ情報に応じて行う動作例について説明したが、更に、次のような運営を行う例を採用することもできる。
例えば、ＴＳＡが、ＴＡ１、ＴＡ２、ＴＡ３から時刻配信を受けているとする。ＴＳＡがＴＡ１に時刻監査を行ってもらったところ、ＴＳＡの時刻誤差が１００［ｍｓ］であると監査された。ＴＳＡは、これに平行してＴＡ２、ＴＡ３にも時刻監査を行ってもらったところ共に誤差が１０００［ｍｓ］であると監査されたとする。
このように監査結果がＴＡによって大きく異なる場合、ＴＳＡ又はＴＡの時刻に異常が発生していると考えられ、ＴＳＡはタイムスタンプ機能を停止する。
【００９７】
以下、図１１のフローチャートを用いてこのような動作の一例について説明する。
この例では、例えば、ＴＡ１−ＴＳＡ間の誤差、ＴＡ２−ＴＳＡ間の誤差、ＴＡ３−ＴＳＡ間の誤差が何れも５００［ｍｓ］未満の場合に、ＴＳＡは、時計部２４に時刻補正、及びタイムスタンプ部２５の活性化期間を有限値に設定する。
そして、少なくとも１つが５００未満でない場合、タイムスタンプ部２５の活性化期間を０に設定してタイムスタンプ発行機能を停止させる。
なお、フローチャートでは、ＴＡ１〜ＴＡ３は省略してある。
【００９８】
まず、ＴＳＡ（トレ情報受信部２１）は、認証を終えた後、ＴＡ１から時刻監査を受けてトレ情報を受信する（ステップ２７５）。
ＴＳＡ（トレ情報受信部２１）は、ＴＡ１よりトレ情報を受信すると、認証を終えた後、ＴＡ２にトレ情報を要求して時刻監査を受け、ＴＡ２からトレ情報を受信してトレ情報テーブル２９に記憶する（ステップ２８０）。
更に、ＴＳＡ（トレ情報受信部２１）は、ＴＡ３にトレ情報を要求して時刻監査を受け、ＴＡ３からトレ情報を受信してトレ情報テーブル２９に記憶する（ステップ２８５）。
【００９９】
次に、ＴＳＡ（比較判定部２２）は、ＴＡ１より受信したトレ情報を用いてＴＡ１の時計装置と時計部２４の時刻誤差を調べ、この誤差が５００［ｍｓ］未満であるか否かを判断し、判断結果をポリシ情報テーブル３０に記憶する。
同様に、ＴＳＡ（比較判定部２２）は、ＴＡ２、ＴＡ３から受信したトレ情報を用いて、ＴＡ２、ＴＡ３の時計装置と時計部２４の時刻誤差を調べ、この誤差が５００［ｍｓ］未満であるか否かを判断し、判断結果をポリシ情報テーブル３０に記憶する。
【０１００】
ＴＳＡ（動作制御部２３）は、ポリシ情報テーブル３０を参照し、何れの時刻誤差も５００［ｍｓ］未満であったか否か（即ち、ＴＡ１−ＴＳＡ間の時刻誤差＜５００［ｍｓ］、かつ、ＴＡ２−ＴＳＡ間の時刻誤差＜５００［ｍｓ］、かつ、ＮＴＡ３−ＴＳＡ間の時刻誤差＜５００［ｍｓ］）を判断する（ステップ２９０）。
何れの時刻誤差も５００［ｍｓ］未満であった場合（ステップ２９０；Ｙ）、ＴＳＡ（動作制御部２３）は、時計部２４に時刻補正を行わせ（ステップ２２０）、更にタイムスタンプ部２５にタイムスタンプ発行機能の活性化期間を設定させる（ステップ２２５）。
一方、時刻誤差が５００［ｍｓ］未満でないものが１つでもあった場合（ステップ２９０；Ｎ）、ＴＳＡ（動作制御部２３）は、時計部２４に時刻補正を行わせた上で（ステップ２２０）、タイムスタンプ発行機能の活性化期間を０とし、タイムスタンプ部２５のタイムスタンプ発行機能を停止させる（ステップ２２６）。
【０１０１】
この例では、ＴＳＡは、ＴＡ１〜ＴＡ３から時刻配信を受けるが、このように、複数のＴＡから時刻配信を受ける場合、どの時刻を用いて時刻補正を行うかは、サンプル（配信時刻）数、サンプル収集に要する時間によって様々な方法がある。例えば、ばらつきを除去するため、時刻誤差が最大および最小のものを除いた上で配信時刻の平均値を計算し、この平均値を用いて時計部２４の補正を行うように構成することができる。
このように、この例では、複数の時刻配信サーバ（ＴＡ）から時刻情報を受信して記憶し、これら時刻情報のうち、時計部２４が出力する時刻との誤差が所定値以上のものがあった場合にタイムスタンプの発行を停止するようになっている。
【０１０２】
以上の例では、ＴＳＡがトレ情報に応じて動作制御を行ったが、ＴＡがＮＴＡからのトレ情報に応じて動作制御するように構成することもできる。
例えば、新規にＴＡを設置した場合やＴＡの故障時に代替のＴＡを設置した場合、その直後は時計装置の時刻が安定しない場合がある。従来は、担当者がＴＡの動作状況を観察し、安定してきた際に手動で時刻配信を開始していた。
本実施の形態では、ＴＡが複数台のＮＴＡからの時刻監査を受け、一定数以上のＮＴＡから（例えば、７台中５台）の時刻誤差が許容範囲となった場合に、時刻配信を自動的に開始するように構成する。
【０１０３】
より具体的には、ＴＡは、ＮＴＡ１〜ＮＴＡ７に時刻監査を依頼し、これら７台のＮＴＡのうち５台以上のＮＴＡから誤差が５００［ｍｓ］未満であるとの監査を受けた場合に、時刻配信を開始する。
時刻の補正は、これらＮＴＡから配信された時刻のうち、最大および最小のものを除いて平均したものを用いるなど、各種ある。
【０１０４】
このように、ＴＡに関しても、ＴＳＡと同様にＮＴＡから配信される時刻の精度を評価して機能を制御するように構成することができる。
この場合のＴＡの構成は、ＴＳＡと同様に、トレ情報受信部２１、比較判定部２２、動作制御部２３、トレ情報テーブル２９、ポリシ情報テーブル３０、アクションテーブル３１、時計部２４、通信制御部２６を備え、更に時刻監査部１２を備えたものとすることができる。
そして、ポリシ情報テーブル３０にＴＡの動作が安定したか否かの判別式を設定しておき、アクションテーブル３１にＴＡの動作が安定した際の動作（ＴＳＡの監査開始）と、ＴＡの動作が安定していない場合の動作（ＮＴＡから時刻監査の継続）を設定しておけば、ＴＡに上記のような判断と動作を行わせることができる。
【０１０５】
以下、ＴＡがＴＳＡと同様のこれら機能部を備えるものとし、図１２のフローチャートを用いてＴＡの動作の一例について説明する。
まず、認証を終えた後、ＴＡ（トレ情報受信部２１）は、ＮＴＡ１〜ＮＴＡ７の各ＮＴＡにトレ情報を要求して時刻監査を受け、これら各ＮＴＡからトレ情報を受信して記憶する（ステップ４０５）。
この際に、ＴＡは、ＴＳＡと同様に、各ＮＴＡの配信時刻の精度を評価し、ＮＴＡの配信時刻の精度がＴＡのポリシに従わない場合は、そのＮＴＡを対象から除外するなどの処理を行う。
次に、ＴＡ（比較判定部２２）は、これらトレ情報を用いて各ＮＴＡの時計装置と自己の時計部２４の時刻誤差を調べ、時刻誤差が５００［ｍｓ］未満であるか否かを判定し、ポリシ情報テーブル３０に出力する。
【０１０６】
次に、ＴＡ（動作制御部２３）は、自己の時計部２４との時刻誤差が５００［ｍｓ］未満であるＮＴＡが７台中５台以上あるか否か判断する。
そして、ＴＡ（動作制御部２３）は、更に、ＴＡの現在時刻が所定日時以降であるか否かを判断する。
この所定日時は、ＴＡが安定するまでに最低限必要な時間を確保するために予め設定したものである。
【０１０７】
ＴＡ（動作制御部２３）は、７台中５台以上のＮＴＡとの時刻差が５００［ｍｓ］未満であり、かつ、ＴＡの現在時刻が所定日時以降である場合（ステップ４１０；Ｙ）、時計部２４に時刻補正を行わせ（ステップ４１５）、時刻監査部１２に時刻配信機能の活性化期間を設定させる（ステップ４２０）。
また、ＮＴＡとの時刻誤差が５００［ｍｓ］未満のＮＴＡが７台中５台未満である場合、あるいは、７台中５台以上のＮＴＡとの時刻誤差が５００［ｍｓ］未満であるが、ＴＡの現在時刻が所定日時以降でない場合（ステップ４１０；Ｎ）、ＮＴＡ（動作制御部２３）は、時計部２４に時刻補正を行わせ（ステップ４１５）、その上で、時刻監査部１２の活性化期間を０に設定し、時刻監査部１２の時刻配信機能を停止させる（ステップ４３０）。
【０１０８】
この場合ＴＡは、時刻配信サーバ（ＮＴＡ）から時刻情報（トレ情報）を受信して記憶する時刻情報受信手段と、前記記憶した時刻情報の精度を取得して記憶する精度取得手段（精度評価機能部２７）と、時刻を出力する時計装置（時計部２４）と、前記記憶した精度が所定の条件を満たす場合に、前記記憶した時刻情報を用いて前記時計装置の時刻を補正する時計装置補正手段（動作制御部２３）と、前記補正した時計装置の出力を用いて時刻情報を配信する時刻情報配信手段（時刻監査部１２）を具備した時計装置を構成している。
そして、この例のＴＡは、複数の時刻配信サーバ（ＮＴＡ）から時刻情報を受信して記憶し、これら時刻情報のうち、時計部２４が出力する時刻との誤差が所定値未満となるものが所定値以上ある場合に、時刻配信を開始するようになっている。
また、ＴＡにタイムスタンプ部２５を設けて、時刻の配信とタイムスタンプの発行の双方を行えるように構成することもできる。
【０１０９】
図１３は、ＴＳＡのハードウェア的な構成の一例を示した図である。
図に示したように、ＴＳＡは、ＣＰＵ（Ｃｅｎｔｒａｌ Ｐｒｏｃｅｓｓｉｎｇ Ｕｎｉｔ）５１、ＲＯＭ（Ｒｅａｄ Ｏｎｌｙ Ｍｅｍｏｒｙ）５２、ＲＡＭ（Ｒａｎｄｏｍ Ａｃｃｅｓｓ Ｍｅｍｏｒｙ）５３、表示部５４、入力部５５、記憶部５６、入出力Ｉ／Ｆ（インターフェース）５７、通信制御部２６、ハードウェアセキュリティ部５９などから構成されている。
【０１１０】
ＣＰＵ５１は、ＲＯＭ５２、ＲＡＭ５３、及び記憶部５６などに記憶されているプログラム従って各種の演算を行うと共に、ＴＳＡ各部の制御を行う。
ＲＯＭ５２は、読取専用の記憶デバイスであり、ＴＳＡを動作させるための基本的なプログラムやパラメータなどが記憶されている。
ＲＡＭ５３は、読み書き可能な記憶デバイスであり、ＣＰＵ５１がＴＡやクライアント端末などと通信して情報処理を行う際のワーキングエリアが確保可能となっている。
【０１１１】
表示部５４は、例えば、ＣＲＴ（Ｃａｔｈｏｄｅ Ｒａｙ Ｔｕｂｅ）ディスプレイ、液晶ディスプレイあるいはプラズマディスプレイなどの表示装置で構成されており、例えば、作業者がＴＳＡのメンテナンス作業を行ったりする際に各種情報を表示する。
入力部５５は、キーボードやマウスなどの入力デバイスを備えており、例えば、作業者がＴＳＡのメンテナンス作業を行ったりする際にＴＳＡを操作するのに用いる。
また、表示部５４には、ＴＳＡのポリシを編集する編集画面を表示することができ、作業者が入力部５５を操作することにより、ポリシ情報テーブル３０の判定式などを編集することができる。これによって、例えば、時刻の精度に関するポリシを５００［ｍｓ］から４００［ｍｓ］に変更することができる。
【０１１２】
記憶部５６は、例えば、ハードディスク装置などの大容量の記憶装置により構成されており、ＴＳＡをタイムスタンプサーバとして動作させるためのプログラムやＯＳ（Ｏｐｅｒａｔｉｎｇ Ｓｙｓｔｅｍ）などの各種プログラムや、ログデータなどの各種データ類が記憶されている。
【０１１３】
入出力Ｉ／Ｆ５７は、例えば、外部の記憶装置やその他の周辺機器などと接続するためのインターフェースである。
通信制御部２６は、ＴＳＡとネットワークを接続する機能部であり、ＴＳＡをＴＡやクライアント端末などと接続する。
【０１１４】
ハードウェアセキュリティ部５９は、外部から内部の解析が困難に構成されたハードウェイセキュリティモジュールであり、内部にＣＰＵ６０、ＲＯＭ６１、ＲＡＭ６２、ＥＥＰＲＯＭ（Ｅｌｅｃｔｒｉｃａｌｌｙ Ｅｒａｓａｂｌｅ ａｎｄ Ｐｒｏｇｒａｍｍａｂｌｅ ＲＯＭ）６３、内部クロック６４などが形成されている。ＥＥＰＲＯＭ６３は、他の不揮発性メモリでも代用可能である。
ＴＳＡの機能は、標準的な情報処理装置のハードウェア構成でも実現可能であるが、タイムスタンプの発行、時計部２４の時刻補正など、タイムスタンプを発行するための機能をハードウェアセキュリティ部５９に封じ、外部からの解析や改竄を困難、とすることで、より高いセキュリティを実現することができる。
【０１１５】
ＣＰＵ６０は、ＲＯＭ６１、ＲＡＭ６２、ＥＥＰＲＯＭ６３に記憶されているプログラムに従って動作し、クライアント端末から送信されてきたハッシュ値にタイムスタンプを発行したり、ＴＡなどから時刻監査を受けて、配信された時刻により時計部２４を補正したり、ＣＰＵ５１と通信してＣＰＵ５１と協働して動作したりする。
ＲＯＭ６１には、ハードウェアセキュリティ部５９を動作させるための基本的なプログラムやパラメータが記憶されている。
ＲＡＭ６２は、ＣＰＵ６０がタイムスタンプを発行したり時刻補正したりする際のワーキングエリアを提供する。
内部クロック６４は、タイムスタンプを発行するための時計装置であって、時刻補正の際には内部クロック６４の時刻を補正する方法の他に、内部クロック６４を利用したソフトウェアクロックを補正する方法がある。この場合、タイムスタンプに利用される時計は、ソフトウェアクロックとなる。
【０１１６】
ＥＥＰＲＯＭ６３には、ＣＰＵ６０がタイムスタンプを発行したり、時刻を補正したり、あるいはその他のプログラムが記憶されているほか、認証情報テーブル２８、トレ情報テーブル２９、ポリシ情報テーブル３０、アクションテーブル３１およびタイムスタンプの発行や時刻の補正の際に利用される情報（シリアル番号や、前回発行したタイムスタンプの情報、前回受信した時刻監査証明書の情報）、などの各種データが記憶されている。
ＥＥＰＲＯＭ６３に記憶されているプログラムをＣＰＵ６０で実行することにより認証部２０、トレ情報受信部２１、比較判定部２２、動作制御部２３、時計部２４、タイムスタンプ部２５などの各機能部が構成される。なお、時計部２４は、内部クロック６４とプログラムによって実現する時計制御機能によって構成される。より詳細には、この時計制御機能は、内部クロック６４の時刻を読み取ったり、動作制御部２３の指示によってこれを補正したりする。
【０１１７】
以上、ＴＳＡのハードウェア的な構成について説明したが、ＴＡ、ＮＴＡのハードウェア的な構成も基本的なＴＳＡと同じである。その他の形態として、ＴＡの場合は、時刻を高精度で維持することが求められるため、ハードウェアセキュリティモジュール内の時計ではなく、原子時計やＧＰＳ（Ｇｌｏｂａｌ Ｐｏｓｉｔｉｏｎｉｎｇ Ｓｙｓｔｅｍ）などを利用する、精度の高い時計装置を利用する。
【０１１８】
以上に説明したＴＳＡを用いることにより次のような効果を得ることができる。
（１）ＴＡから配信される時刻のＵＴＣに対する精度を評価することができ、評価に応じた動作制御を行うことができる。
（２）ＮＴＡからＴＳＡに至るまで、基準時刻が伝達される伝達経路を特定することができる。
（３）基準時刻の伝達経路を用いて配信時刻のＵＴＣに対する精度を評価することができる。
（４）精度などのポリシに適合するＴＡを探索することができる。
（５）ある経路から得られたデータ（トレ情報）と、自身に設定されたポリシ情報を比較し、その比較結果に応じて自身の状態更新・機能制御もしくはデータの信頼性確認を行うことができる。
【図面の簡単な説明】
【０１１９】
【図１】本実施の形態に係るタイムスタンプシステムのシステム構成の一例を示した図である。
【図２】トレ情報の構成について説明するための図である。
【図３】本実施の形態に係るＴＡとＴＳＡの機能を説明するための機能ブロック図である。
【図４】各種テーブルの論理的な構成を説明するための図である。
【図５】ＴＳＡの基本動作を説明するためのフローチャートである。
【図６】ＴＳＡの動作例を説明するためのフローチャートである。
【図７】ＴＳＡの動作例を説明するためのフローチャートである。
【図８】ＴＳＡの動作例を説明するためのフローチャートである。
【図９】ＴＳＡの動作例を説明するためのフローチャートである。
【図１０】ＴＳＡの動作例を説明するためのフローチャートである。
【図１１】ＴＳＡの動作例を説明するためのフローチャートである。
【図１２】ＴＡの動作例を説明するためのフローチャートである。
【図１３】ＴＳＡのハードウェア的な構成の一例を示した図である。
【図１４】従来のタイムスタンプシステムのネットワーク構成の一部を示したネットワーク図である。
【符号の説明】
【０１２０】
１０ 認証部
１１ トレ情報送信部
１２ 時刻監査部
２０ 認証部
２１ トレ情報受信部
２２ 比較判定部
２３ 動作制御部
２４ 時計部
２５ タイムスタンプ部
２６ 通信制御部
２７ 精度評価機能部
２８ 認証情報テーブル
２９ トレ情報テーブル
３０ ポリシ情報テーブル
３１ アクションテーブル
【技術分野】
【０００１】
本発明は、情報処理装置、時刻情報処理装置、情報処理方法、及び時刻情報処理方法に関し、例えば、ネットワークを介して伝達されてくる伝達情報を利用するものに関する。
【背景技術】
【０００２】
近年の情報技術の急激な進歩に伴って、公文書や私文書をデジタル情報化した電子文書にする所謂ペーパレス化が推進されている。
また、このようにして作成された電子文書に付与される法的な地位を整備するため所謂電子文書法が施行されている。
このように法的地位を有する電子文書などでは発行日などの時刻証明（日付証明）が重要であり、時刻証明を行うタイムスタンプシステムが利用されている。
【０００３】
図１４は、従来のタイムスタンプシステムのネットワーク構成の一部を示した図である。
ＴＳＡ１０２（ＴＳＡ：Ｔｉｍｅ−ｓｔａｍｐｉｎｇ Ａｕｔｈｏｒｉｔｙ）は、タイムスタンプサーバを備えたタイムスタンプ局であって、インターネットなどのネットワークを介してクライアント端末１０３、１０３、・・・と接続可能に配設されている。
ＴＳＡ１０２のタイムスタンプサーバ（以下、ＴＳＡ１０２と記す）は、タイムスタンプを発行するための時計装置を内蔵しており、この時計装置が出力する時刻によりタイムスタンプを発行する。
クライアント端末１０３は、ＴＳＡ１０２に対して電子文書に対してタイムスタンプの発行を要求する端末である。
【０００４】
タイムスタンプの発行手順は概略次のように行われる。
まず、クライアント端末１０３がタイムスタンプ発行の対象である電子文書のハッシュ値をＴＳＡ１０２に送信する。
ＴＳＡ１０２は、このハッシュ値を受信すると共に、受信時の時刻を時計装置により計測する。
そして、ＴＳＡ１０２は、受信したハッシュ値に計測した時刻等の情報を追加したデータのハッシュ値を計算し、このハッシュ値をＴＳＡ１０２の秘密鍵で暗号化して電子署名を生成し、この電子署名と前記受信したハッシュ値、時刻、その他の情報から構成されるタイムスタンプデータをクライアント端末１０３に返送する。
【０００５】
これに対し、タイムスタンプの確認手順は概略次のように行われる。
まず、ＴＳＡ１０２の秘密鍵に対応する公開鍵を用いてタイムスタンプデータの電子署名を復号化し、そして、これからハッシュ値を取り出す。そして、前記受信したハッシュ値、時刻、その他の情報のハッシュ値と、電子署名から取り出したハッシュ値を比較する。両社が一致する場合、このタイムスタンプデータがＴＳＡ１０２で発行され、かつタイムスタンプデータの内容が改ざんされていないことが確認できる。次に、電子文書のハッシュ値を計算し、タイムスタンプデータに含まれる、前記受信したハッシュ値と比較する。両者が一致する場合、この電子文書がタイムスタンプデータ中の時刻にＴＳＡ１０２でタイムスタンプが発行されたことを確認することができる。
なぜならば、この公開鍵で電子署名を復号化し、ハッシュ値の一致を確認することができたことにより、この電子署名がＴＳＡ１０２しか知り得ない秘密鍵で暗号化されたことを確認することができ、更に、タイムスタンプデータ中のハッシュ値と電子文書から算出したハッシュ値が一致することにより、電子文書が改竄されていないことを確認することができるためである。
【０００６】
ＴＡ１０１は、ＴＳＡ１０２の時計装置の時刻を監査して時刻を配信する時刻配信サーバを備えた時刻監査局であり、インターネットなどのネットワークを介してＴＳＡ１０２と接続可能に配設されている。
ＴＡ１０１の時刻配信サーバ（以下、ＴＡ１０１と記す）は、内部に時計装置を備えており、これを用いてＴＳＡ１０２の時計装置の時刻を定期的に監査する。
まず、ＴＡ１０１は、ＴＳＡ１０２からＴＳＡ１０２の時計装置が計測した時刻を送信してもらい、その時刻とＴＡ１０１の時計装置の時刻を比較する。そしてＴＡ１０１は、その比較による誤差を時刻監査証明書に記してＴＳＡ１０２に送信する。このように、ＴＡ１０１は、誤差によりＴＳＡ１０２に時刻を配信する。
【０００７】
ＴＳＡ１０２は、時刻監査証明書を受信し、これに記されている誤差によって自己の時計装置を補正し、更に時刻監査証明書で指定されたタイムスタンプ発行機能の活性化期間を設定する。ここで、活性化期間とは、時刻監査証明書によって補正した時刻によってタイムスタンプを発行できる期間である。なお、監査した時刻が所定値以上の誤差を有する場合、ＴＡ１０１は活性化期間を０とし、ＴＳＡ１０２のタイムスタンプ発行機能を停止することもできる。
このように、ＴＳＡ１０２の時計装置の時刻をＴＡ１０１で監査することにより、ＴＳＡ１０２の時刻を所定の精度に保つことができる。また、ＴＳＡ１０２とクライアント端末１０３が結託して時刻の改竄を行うことも防ぐことができる。
【０００８】
なお、配信時刻の改竄を防ぐために、ＴＳＡ１０２とＴＡ１０１の通信経路は、例えば、ＳＳＬ（Ｓｅｃｕｒｅ Ｓｏｃｋｅｔｓ Ｌａｙｅｒ）やＴＬＳ（Ｔｒａｎｓｐｏｒｔ Ｌａｙｅｒ Ｓｅｃｕｒｉｔｙ）などの技術を用いて暗号化され、通信経路の遅延を補正する通信プロトコルとして時刻配信用に標準化されたＮＴＰ（Ｎｅｔｗｏｒｋ Ｔｉｍｅ Ｐｒｏｔｏｃｏｌ）などを用いている。
このように、ＴＳＡ１０２の時刻を監査する技術として次の「信頼されるサードパーティクロック及び信頼されるローカルクロックを提供するためのシステム及び方法」がある。
【０００９】
【特許文献１】特表２００３−５１９４１７公報
【００１０】
この技術は、認証されたマスタクロック（ＴＡ１０１に対応）によりローカルクロック（ＴＳＡ１０２に対応）の時刻を監査するものである。
【発明の開示】
【発明が解決しようとする課題】
【００１１】
しかし、例えば、従来のタイムスタンプは、ＴＡ１０１の配信する時刻の精度にかかわらず、配信された時刻によって時刻補正を行っていた。
そのため、ＴＳＡ１０２が、例えば、「タイムスタンプの時刻の精度を５００［ｍｓ］以内とする」というような精度に関するポリシを持っていたとしても、ＴＡ１０１の精度によっては、このようなポリシを守れない場合が可能であった。
【００１２】
更に、配信時刻の精度は、基準となる時刻の配信経路によって異なり、ＴＳＡ１０２では、これら配信経路による精度の違いについても考慮されていなかった。
例えば、図１に示したように、ＴＳＡを監査する複数のＴＡ１、ＴＡ２、及びこれらＴＡを更に監査するＮＴＡ１、ＮＴＡ２（ＮＴＡ：Ｎａｔｉｏｎａｌ Ｔｉｍｅ Ａｕｔｈｏｒｉｔｙ）などからなるより複雑なシステムを用いる場合、例えば、ＮＴＡ１→ＴＡ２→ＴＳＡと監査した場合や、ＮＴＡ１→ＴＡ１→ＴＳＡといったように、時刻配信の経路によって配信時刻の精度が異なる。
例えば、ＮＴＡ１→ＴＡ２→ＴＳＡと監査して時刻を配信した場合、監査によるＴＳＡの精度は、ＮＴＡ１の精度１００［ｍｓ］にＴＡ２の精度４５０［ｍｓ］を加えた５５０［ｍｓ］となり、例えば、ＴＳＡの精度に関するポリシである５００［ｍｓ］を越えてしまう。
これらの課題は、言い換えれば、ある情報処理装置において、他の情報処理装置から受信した伝達情報を評価し、その評価に応じた制御を行う、ということが行われていないために発生している。
【００１３】
そこで、本発明の目的は、ネットワークを介して伝達されてくる伝達経路情報を演算し、その演算結果に応じて機器の制御を行うことにある。例えば、配信される時刻の精度を評価すると共に、評価に応じて時刻補正やタイムスタンプ発行、時刻配信、優先順位設定などの機能の制御を行うことである。
【課題を解決するための手段】
【００１４】
本発明は、前記目的を達成するために、伝達経路によって属性値が定まる伝達情報を受信して記憶装置に記憶する伝達情報受信手段と、前記受信した伝達情報の属性値を取得して記憶装置に記憶する属性取得手段と、前記記憶した属性値を所定の基準値と比較し、比較結果により所定の動作を行う動作機能部を選択する動作機能部選択手段と、前記記憶した伝達情報を用いて前記選択した動作機能部を機能させる動作手段と、を具備したことを特徴とする情報処理装置を提供する（第１の構成）。
第１の構成において、前記伝達情報は、時刻情報であり、前記属性情報の属性値は、前記時刻情報の精度であるように構成することもできる（第２の構成）。
第１の構成、又は第２の構成において、前記伝達情報を送信するサーバ装置を認証する認証手段を具備し、前記伝達情報受信手段は、前記サーバ装置が認証された場合に伝達情報を受信するように構成することもできる（第３の構成）。
また、本発明は、時刻配信サーバから時刻情報を受信して記憶する時刻情報受信手段と、前記記憶した時刻情報の精度を取得して記憶する精度取得手段と、時刻を出力する時計装置と、前記記憶した精度が所定の条件を満たす場合に、前記記憶した時刻情報を用いて前記時計装置の時刻を補正する時計装置補正手段と、を具備したことを特徴とする時刻情報処理装置を提供する（第４の構成）。
第４の構成において、前記補正した時計装置を用いてタイムスタンプを発行するタイムスタンプ発行手段を具備するように構成することもできる（第５の構成）。
第５の構成において、前記記憶した精度が所定の条件を満たさなかった場合、前記タイムスタンプ発行手段を停止するように構成することもできる（第６の構成）。
第５の構成、又は第６の構成において、前記時刻情報受信手段は、複数の時刻配信サーバから時刻情報を受信して記憶し、前記タイムスタンプ発行手段は、前記記憶した時刻情報のうち、前記時計装置が出力する時刻との誤差が所定値以上のものがあった場合にタイムスタンプの発行を停止するように構成することもできる（第７の構成）。
第４の構成から第７の構成までのうちの何れか１の構成において、前記補正した時計装置の出力を用いて時刻情報を配信する時刻情報配信手段を具備するように構成することもできる（第８の構成）。
第８の構成において、前記時刻情報受信手段は、複数の時刻配信サーバから時刻情報を受信して記憶し、前記時刻情報配信手段は、前記記憶した時刻情報のうち、前記時計装置が出力する時刻との誤差が所定値未満となるものが所定値以上ある場合に、時刻配信を開始するように構成することもできる（第９の構成）。
第８の構成、又は第９の構成において、時刻情報を配信する配信先を認証する配信先認証手段を具備し、前記時刻情報配信手段は、前記配信先認証手段で配信先が認証された場合に時刻情報を配信するように構成することもできる（第１０の構成）。
第４の構成から第１０の構成までのうちの何れか１の構成において、前記所定の条件は、前記記憶した精度が、所定の精度を満たすか否かであるように構成することもできる（第１１の構成）。
第４の構成から第１１の構成までのうちの何れか１の構成において、前記記憶した精度が所定の条件を満たさなかった場合、他の時刻配信サーバに時刻情報を要求するように構成することもできる（第１２の構成）。
第４の構成から第１０の構成までのうちの何れか１の構成において、前記時刻情報受信手段は、複数の時刻配信サーバから時刻情報を受信して記憶し、前記所定の条件は、前記記憶した時刻情報のうち最も精度のよいものを選択することであり、前記時計装置補正手段は前記選択した時刻情報を用いて前記時計装置を補正するように構成することもできる（第１３の構成）。
第４の構成から第１３の構成までのうちの何れか１の構成において、前記時計装置の補正に使用した時刻情報を配信した時刻配信サーバの優先順位を設定するように構成することもできる（第１４の構成）。
第４の構成から第１４の構成までのうちの何れか１の構成において、前記時刻情報の精度は、前記時刻配信サーバが時刻を同期させる基準時刻を配信する基準時刻サーバから前記時刻配信サーバまでの基準時刻の伝達経路に依存し、前記受信した前記基準時刻の伝達経路を特定する伝達経路特定情報を受信して記憶する伝達経路特定情報受信手段を具備し、前記精度取得手段は、前記記憶した伝達経路特定情報を用いて精度を取得するように構成することもできる（第１５の構成）。
第１５の構成において、前記精度取得手段は、前記記憶した伝達経路特定情報で特定される伝達経路上に存在する各サーバ装置から各サーバ装置で規定される時刻の精度を取得し、前記取得した精度から前記時刻情報の精度を取得するように構成することもできる（第１６の構成）。
第１６の構成において、前記各サーバ装置から時刻の精度を取得するに際して、前記各サーバ装置を認証するように構成することもできる（第１７の構成）。
また、本発明は、時刻配信サーバから時刻情報を受信して記憶する時刻情報受信手段と、前記記憶した時刻情報の精度を取得して記憶する精度取得手段と、時刻を出力する時計装置と、前記時計装置を用いてタイムスタンプを発行するタイムスタンプ発行手段と、サーバ装置の優先順位を設定する優先順位設定手段と、を具備し、前記記憶した精度が所定の条件を満たす場合に、前記記憶した時刻情報を用いた前記時計装置の時刻を補正、前記タイムスタンプ発行手段によるタイムスタンプの発行の設定、又は前記優先順位設定手段による前記情報配信サーバの優先順位の設定、のうち、少なくとも１つを選択して行うことを特徴とする時刻情報処理装置を提供する（第１８の構成）。
第４の構成から第１８の構成までのうちの何れか１の構成において、時刻配信サーバを認証する時刻配信サーバ認証手段を具備し、前記時刻情報受信手段は、前記時刻配信サーバが認証された場合に時刻情報を受信するように構成することもできる（第１９の構成）。
また、本発明は、伝達情報受信手段と、属性取得手段と、動作機能部選択手段と、動作手段と、を備えたコンピュータにおいて、前記伝達情報受信手段が、伝達経路によって属性値が定まる伝達情報を受信して記憶装置に記憶する伝達情報受信ステップと、前記属性取得手段が、前記受信した伝達情報の属性値を取得して記憶装置に記憶する属性取得ステップと、前記動作機能部選択手段が、前記記憶した属性値を所定の基準値と比較し、比較結果により所定の動作を行う動作機能部を選択する動作機能部選択ステップと、前記動作手段が、前記記憶した伝達情報を用いて前記選択した動作機能部を機能させる動作ステップと、から構成されたことを特徴とする情報処理方法を提供する（第２０の構成）。
また、本発明は、時刻情報受信手段と、精度取得手段と、時刻を出力する時計装置と、時計装置補正手段と、を備えたコンピュータにおいて、前記時刻情報受信手段が、時刻配信サーバから時刻情報を受信して記憶する時刻情報受信ステップと、前記精度取得手段が、前記記憶した時刻情報の精度を取得して記憶する精度取得ステップと、前記時計装置補正手段が、前記記憶した精度が所定の条件を満たす場合に、前記記憶した時刻情報を用いて前記時計装置の時刻を補正する時計装置補正ステップと、から構成されたことを特徴とする時刻情報処理方法を提供する（第２１の構成）。
また、本発明は、時刻情報受信手段と、精度取得手段と、時刻を出力する時計装置と、 前記時計装置を用いてタイムスタンプを発行するタイムスタンプ発行手段と、サーバ装置の優先順位を設定する優先順位設定手段と、を備えたコンピュータにおいて、前記時刻受信手段が、時刻配信サーバから時刻情報を受信して記憶する時刻情報受信ステップと、前記精度取得手段が、前記記憶した時刻情報の精度を取得して記憶する精度取得ステップと、を備え、前記記憶した精度が所定の条件を満たす場合に、前記記憶した時刻情報を用いた前記時計装置の時刻を補正、前記タイムスタンプ発行手段によるタイムスタンプの発行の設定、又は前記優先順位設定手段による前記情報配信サーバの優先順位の設定、のうち、少なくとも１つを選択して行う選択実行ステップと、から構成されたことを特徴とする情報処理方法を提供する（第２２の構成）。
また、本発明の別の形態では、ネットワークを介して伝達される情報はネットワーク中の複数のサーバやルータやスイッチなどを介して伝達される。その伝達される情報がたどった経路により情報の伝達が早かったり、遅かったり、誤っていたり、経路の差により伝達すべき情報に差が生ずる。そこで、ネットワークを介して伝達される情報に関して、その情報がどのような経路をたどったのかがわかる伝達経路情報を設け、その伝達経路情報を演算することで、伝達される情報の経路による差を修正したり補正することができる情報処理装置を提供する。また、伝達される情報を２次的に用いる場合についても伝達経路情報を演算することで修正や補正や使用するか否かの選択などができる情報処理装置を提供する。
【発明の効果】
【００１５】
本発明によれば、ネットワークを介して伝達されてきた伝達経路情報である時刻の精度の情報を演算し、その演算結果により制御を行うことができる。例えば、配信される時刻の精度を評価すると共に、評価に応じた制御を行うことができる。
【発明を実施するための最良の形態】
【００１６】
（１）実施の形態の概要
伝達経路情報を演算し、その演算結果により制御する一実施の形態として以下に述べる。
ＴＳＡは、ＴＡから配信された時刻の精度を評価し、この評価結果に応じた動作を行うことができる。
例えば、ＴＳＡは、配信時刻の誤差が許容値内である場合に、この配信時刻を用いて時計装置の時刻を補正して、タイムスタンプ発行機能の活性化期間を設定したり、配信時刻の誤差が許容値内でなかった場合に、タイムスタンプの発行機能を停止したり、他のＴＡに時刻監査を要求したりすることができる。なお、活性化期間とは、ある機能が使用可能な状態である期間である。
また、ＴＡから配信される時刻の精度は、ＮＴＡ→ＴＡ→ＴＳＡの伝達経路に依存するため、本実施の形態のＴＳＡは、ＮＴＡ、ＴＡに精度を問い合わせるなどして、ＴＡから配信された時刻の精度を評価する。
このように本実施の形態のＴＳＡは、配信される時刻の精度により動作を選択することができ、また、伝達経路に依存する配信時刻の精度を評価することができる。そのため、配信時刻の伝達経路により動作を選択することができる。つまり、ＴＡが複数ある場合はＮＴＡからＴＳＡに伝達する情報の伝達経路は異なり、配信時刻の誤差が異なる。この誤差の比較（演算）を行い、比較（演算）の結果により最小の誤差である経路を選択する制御をすることができる。
また、配信される時刻の精度に関連する項目として、情報伝達の早さなどもあり、この情報伝達の早さと所定値を比較、または、経路による情報伝達の早さを比較して、速い場合はその情報を使う、同じ場合はその情報を使う、遅い場合はその情報は使わない、などの選択する制御ができる。
【００１７】
（２）実施の形態の詳細
図１は、本実施の形態に係るタイムスタンプシステムのシステム構成の一例を示した図である。
図に示したように、当該タイムスタンプシステムは、複数のクライアント端末と、これらクライアント端末にタイムスタンプを発行するタイムスタンプ局であるＴＳＡと、このＴＳＡの時刻監査を行う時刻監査局であるＴＡ１、ＴＡ２と、これらＴＡ１、ＴＡ２の時刻監査を行う国家時刻配信局ＮＴＡ１、ＮＴＡ２がネットワークにより接続可能に配設されている。
以下、ＴＡ１、ＴＡ２を特に区別しない場合は単にＴＡと記し、ＮＴＡ１とＮＴＡ２を特に区別しない場合は単にＮＴＡと記すことにする。
【００１８】
ＮＴＡは、基準となる時刻を配信する時刻配信局であり、時刻配信の最上位に位置する。
ＮＴＡは、原子時計を備えるなどして極めて正確な時刻の計測を行うことができ、ＴＡの時計装置が出力する時刻を監査して時刻監査証明書をＴＡに発行する。
時刻監査証明書には、時刻監査によって計測された時刻の誤差が記されており、ＴＡは、これを用いて自己の時計装置を補正する。即ち、ＴＡはＮＴＡが配信する時刻により時計装置の補正を行っている。
ＴＡは、ＮＴＡからの配信時刻で補正された時計装置を用いてＴＳＡの時刻監査を行い、時刻監査証明書を用いてＴＳＡに時刻配信を行う。
【００１９】
ＴＳＡは、ＴＡから時刻監査を受け、ＴＡから配信された時刻を用いて自己の時計装置を補正し、この時計装置の出力する時刻によりクライアント端末に対してタイムスタンプを発行する。タイムスタンプの発行方法は、従来と同じである。
クライアント端末は、例えば、電子文書のハッシュ値を計算してこれをＴＳＡに送信し、ＴＳＡにタイムスタンプを発行してもらう。
【００２０】
なお、本実施の形態では、ＮＴＡ及びＴＡを２台とし、ＴＳＡを１台としているが、更に多くのＮＴＡ、ＴＡ、ＴＳＡを備えるように構成することができる。
また、ＴＡ１とＴＳＡの間に更にＴＡを設置するなど、より複雑なネットワークとすることもできる。
【００２１】
これらサーバ装置（ＮＴＡ、ＴＡ、ＴＳＡ）が配信する時刻の精度を、一例として図に示した。
即ち、ＮＴＡ１は１００［ｍｓ］、ＮＴＡ２は５０［ｍｓ］、ＴＡは４００［ｍｓ］、ＴＡ２は、４５０［ｍｓ］、ＴＳＡは５００［ｍｓ］である。
ＮＴＡの精度は、ＵＴＣ（Ｃｏｏｒｄｉｎａｔｅｄ Ｕｎｉｖｅｒｓａｌ Ｔｉｍｅ：協定世界時）に対する精度であり、ＮＴＡが配信する時刻のＵＴＣからの誤差が当該精度内であることを意味している。
ＮＴＡが配信する時刻は、ネットワークの下流側のサーバ装置が時計を補正してこれに同期させる際の基準時刻として用いられる。このようにＮＴＡは基準時刻サーバを構成している。
【００２２】
また、ＴＡからＴＳＡに配信される時刻の精度は、ＮＴＡからＴＡに配信された時刻を基準とする、相対的な精度である。即ちＵＴＣからの精度は、ＮＴＡからＴＡに配信される時刻の精度に、ＴＡからＴＳＡに配信される時刻の精度を加えたものになる。（なお、ＴＳＡの、タイムスタンプの時刻精度に関するポリシは、このＵＴＣからの精度と矛盾するものであってはならない。）
このように、ネットワークの下流側に行くにつれて出力時刻の精度の幅が累積すると共に、時刻配信の伝達経路によっても精度が異なってくる。
【００２３】
例えば、配信時刻の伝達経路がＮＴＡ２→ＴＡ１→ＴＳＡの場合、ＴＳＡがＴＡ１から配信される時刻の精度は、５０＋４００＝４５０［ｍｓ］であり、ＮＴＡ１→ＴＡ１→ＴＳＡの場合は１００＋４００＝５００［ｍｓ］となる。
また、配信時刻の伝達がＮＴＡ１→ＴＡ２→ＴＳＡの経路で行われた場合、ＴＳＡがＴＡ２から配信される時刻は１００＋４５０＝５５０［ｍｓ］の精度となり、配信時刻の伝達経路によっては、ＴＳＡの保証している精度である５００［ｍｓ］を保てない場合もある。
【００２４】
そこで、ＴＳＡは、配信時刻の伝達経路による精度の変化を含めて、ＴＡから配信された時刻のＵＴＣに対する精度を評価し、その評価に応じた適切な種々の動作を行うように構成されている。
そして、ＴＳＡが伝達経路による精度の変化を評価するために、ＴＡがＴＳＡに送信する時刻証明書には、配信時刻の伝達経路を特定する情報が含まれている。
本実施の形態の時刻監査証明書は、このようにどの伝達経路を介して時刻が配信されてきたかを追跡することができる所謂トレーサビリティを有しているため、以下ではトレ情報と略称することにする。
【００２５】
ここで、図２の各図を用いてトレ情報の構成について説明する。
図２（ａ）は、ＴＡがＴＳＡに発行するトレ情報の論理的な構成の一例を示した図である。
図に示したようにトレ情報は、基本情報、時刻情報、伝達経路情報、及びＴＡの署名情報などから構成されている。
基本情報は、トレ情報自体に関する基本的な情報であって、発行時刻、バージョン、発行先、発行元、署名アルゴリズム、シリアル番号、有効期間などが含まれている。
【００２６】
バージョン情報は、トレ情報のバージョンを特定する情報である。発行先は、トレ情報の発行先であるＴＳＡを特定する情報である。発行元は、トレ情報を発行したＴＡを特定する情報である。
署名アルゴリズムは、ＴＡの署名情報に用いたアルゴリズムを特定する情報であり、ＴＳＡは、これを用いてＴＡの署名情報に用いたアルゴリズムを知ることができる。
シリアル番号は、トレ情報のシリアル番号である。
有効期限は、ＴＡが定めたトレ情報の有効期限であり、ＴＳＡは、有効期限の範囲内でトレ情報を利用した機能制御を行う。
【００２７】
時刻情報は、時刻監査の結果などによる情報であって、監査時刻、時刻誤差、通信遅延、活性化期間、うるう秒、時刻監査証明書ポリシ、その他の情報などが含まれている。活性化期間は、有効期限と同じ期間である場合、省略可能である。この場合、有効期限を活性化期間として扱う。
監査時刻は、ＴＡがＴＳＡの時刻監査を実施した時刻である。
時刻誤差は、ＴＡが時刻監査によって計測したＴＳＡとＴＡの時刻の誤差である。ＴＳＡは、この誤差を用いて自己の時計装置の時刻を補正する。即ち、ＴＡは、誤差という形で時刻を配信している。
【００２８】
通信遅延は、ＴＳＡとＴＡの通信経路による遅延時間である。
活性化期間は、このトレ情報により補正した時計装置にてＴＳＡがタイムスタンプを発行することができる期間である。ＴＳＡは、トレ情報に記された活性化期間を設定することができる。
時刻監査証明書ポリシには、例えば、ＴＡが配信する時刻の精度など、ポリシに関する情報などが含まれている。これによって、ＴＳＡは、ＴＡの配信時刻の（ＮＴＡを基準とする相対的な）精度を知ることができる。
【００２９】
伝達経路情報は、ＮＴＡの基準時刻がＴＡに伝達するまでの伝達経路を特定する情報が含まれている。即ち、伝達経路情報は基準時刻の伝達経路を特定するトレーサビリティ情報となっている。
ＴＳＡは、伝達経路情報により、基準時刻の伝達経路を特定し、その伝達経路上のサーバ装置の精度に関するポリシを参照することにより、ＴＡから配信された時刻のＵＴＣに対する精度を評価することができる。
ＴＡの署名情報は、ＴＡの署名アルゴリズムを特定する情報と、ＴＡの署名値などを含んでいる。
ＴＳＡは、この署名アルゴリズムを用いてトレ情報の署名値を計算し、ＴＡの署名値との同一性を確認することにより、トレ情報が改竄されていないか確認することができる。
【００３０】
図２（ｂ）〜（ｄ）は、伝達経路情報の論理的な構成の一例を示した図である。
図２（ｂ）の例は、伝達経路情報に、伝達経路と各サーバ装置の精度の両方が含まれている場合である。
伝達経路は、基準時刻を伝達したサーバ装置（ＮＴＡ、ＴＡ）を伝達順序で記すことにより表されている。
図に示したように、この例では、ＮＴＡ１からＴＡ１に時刻配信がなされ、これによってＴＡ１が時刻補正を行ったことが示されており、更に、ＮＴＡ１の精度が（１００［ｍｓ］）であることが示されている。
ＴＡ１の精度は、トレ情報の時刻情報（時刻監査証明書ポリシ）に記されているため、ＴＳＡは、これらの精度を加算することによりＴＡ１から配信された時刻のＵＴＣに対する精度を評価することができる。
【００３１】
即ち、時刻情報に記されている精度が４００［ｍｓ］であった場合、ＴＡ１から配信された時刻の精度は１００＋４００＝５００［ｍｓ］（未満）と評価され、これはＴＳＡの精度に関するポリシである５００［ｍｓ］未満を満たしている。
このように、伝達経路情報に精度が記されている場合、ＴＳＡは、トレ情報から配信時刻の精度の評価値を得ることができる。
【００３２】
図２（ｃ）の例は、伝達経路情報に、伝達経路と、伝達経路上にあるサーバ装置のＵＲＬ（Ｕｎｉｆｏｒｍ Ｒｅｓｏｕｒｃｅ Ｌｏｃａｔｏｒｓ）の両方が含まれている場合である。
図に示したように、この例では、ＮＴＡ１からＴＡ１に時刻配信がなされたことが示されており、更に、ＮＴＡ１に関してはＵＲＬが示されている。
ＴＳＡは、このＵＲＬを用いてＮＴＡ１にアクセスし、ＮＴＡ１の精度を問い合わせることができる。
ＴＳＡは、このようにして取得したＮＴＡ１の精度と、トレ情報の時刻情報に記されているＴＡ１の精度を加算して、ＴＡ１から配信された時刻の精度を評価することができる。
なお、精度の問い合わせを行うためにＮＴＡ１やＴＡ１などのほかのサーバ装置にアクセスする場合、ＴＳＡは、これらを認証し、なりすましなどを防止するようになっている。例えば、ＳＳＬやＴＬＳなどの認証を行ったり、精度に関する情報にＮＴＡ１やＴＡ１が電子署名を付与し、ＴＳＡはその電子署名を確認する方法などがある。
【００３３】
図２（ｄ）の例は、図１に示さないが、伝達経路上に更に多くのサーバ装置が存在する場合を示している。
図に示したように、この例では、ＮＴＡ１からＴＡｘに時刻配信され、更にＴＡｘからＴＡｙに時刻配信され、そして、ＴＡｙからＴＡ１に時刻配信され、次いでＴＳＡに時刻配信されたことが示されており、それぞれのサーバ装置に精度を問い合わせるためのＵＲＬが記されている。このように、ＴＳＡに時刻配信機能を備えることも可能である。
この場合、ＴＳＡは、ＮＴＡ１、ＴＡｘ、ＴＡｙにこれらサーバ装置のＵＲＬを用いて精度を問い合わせ、これとＴＡ１の精度を用いて、ＴＡ１から配信された時刻の精度を評価する。
また、図２（ｂ）のように、ＵＲＬの代わりにＮＴＡ１、ＴＡｘ、ＴＡｙの精度を記しておいてもよい。
【００３４】
図２（ｅ）の例は、トレ情報を入れ子形態にて構成した場合を示している。
図に示したように、この例では、ＴＡのトレ情報の伝達経路情報にＮＴＡからＴＡに送信されたトレ情報が含まれている。
このＮＴＡからＴＡに送信されたトレ情報は、ＴＡがＮＴＡから時刻監査を受けた際にＮＴＡからＴＡに送信されたトレ情報である。
ＴＳＡは、ＴＡから受信したトレ情報からＮＴＡがＴＡに送信したトレ情報を抽出し、これらを用いて配信時刻のＵＴＣに対する精度を評価することができる。
【００３５】
図の例は、ＮＴＡ→ＴＡ→ＴＳＡと時刻配信された場合であるが、ＮＴＡ→ＴＡｘ→ＴＡｙ→ＴＳＡなどと、更に多くのサーバ装置を介して時刻が配信される場合は、ＴＡｘは、ＮＴＡからＴＡｘに送信されたトレ情報を含めたトレ情報をＴＡｙに送信し、ＴＡｙはＴＡｘから送信されたトレ情報（ＮＴＡがＴＡｘに送信したトレ情報が含まれている）を含めたトレ情報をＴＳＡに発行する。
このように、伝達経路上のサーバ装置が直上のサーバ装置から送信されてきたトレ情報を含めたトレ情報を直下のサーバ装置に送信することにより、時刻配信の伝達経路に渡る全てのトレ情報を下流側に伝達することができる。そして、ＴＳＡは、トレ情報から上流側のトレ情報を抽出して解析することにより、配信時刻のＵＴＣに対する精度を評価することができる。
【００３６】
以上に、伝達経路情報を用いた時刻の精度の評価方法について説明したが、更に次のように構成することもできる。
例えば、ＴＡがＴＳＡに時刻配信を行う際に、ＴＡがＮＴＡの精度と自己の精度を加算してこれをトレ情報に記しておく。
即ち、ＴＡが、自分が配信する時刻のＵＴＣに対する精度を評価する。この場合、ＴＳＡは、既に基準時刻に対する評価済みの精度をＴＡから受信することができる。
【００３７】
また、各ＮＴＡ、及び各ＴＡの配信時刻の精度に関するポリシを収集し、閲覧可能に用意した参照サーバを用意し、ＴＳＡが参照サーバに配信時刻の精度の評価を依頼するように構成することもできる。
この場合、ＴＳＡは、伝達経路情報に記されている伝達経路を参照サーバに送信し、参照サーバで精度の評価を行ってＴＳＡに返すことにより、ＴＳＡは、参照サーバから配信された時刻の精度の評価値を得ることができる。
【００３８】
図３は、本実施の形態に係るＴＡとＴＳＡの機能を説明するための機能ブロック図である。
ＴＡは、認証部１０、トレ情報送信部１１、時刻監査部１２などから構成されている。
ＴＡは、トレ情報送信部１１を時刻監査証明書送信部とすると、従来のＴＡと同じ構成となる。
一方、ＴＳＡは、認証部２０、トレ情報受信部２１、比較判定部２２、動作制御部２３、時計部２４、タイムスタンプ部２５、通信制御部２６、認証情報テーブル２８、トレ情報テーブル２９、ポリシ情報テーブル３０、アクションテーブル３１などから構成されている。
【００３９】
まず、ＴＡの認証部１０とＴＳＡの認証部２０の関係と機能について説明する。
認証部１０は、以下のようにして、認証部２０と通信し、ＴＳＡが正当なサーバ装置であるか否かを認証する。
時刻監査を行う場合、認証部１０は認証部２０に認証情報を要求する。
時刻監査は、ＴＡからＴＳＡに時刻監査を行うこともできるし、あるいは、ＴＳＡがＴＡに時刻監査を要求して行うこともできる。
これに対し、認証部２０は、認証情報テーブル２８から認証情報を読み出して認証部１０に送信する。
【００４０】
認証部１０は、予め記憶してあるＴＳＡの認証情報と、ＴＳＡから送信されてきた認証情報の一致を確認することによりＴＳＡが正規のＴＳＡであることを認識する。例えばＳＳＬやＴＬＳによる認証や、その他の認証情報を利用した認証を行うことにより、ＴＳＡのなりすましを防ぐことができる。
また、ＴＳＡ側でもＴＡを認証するように構成すると、ＴＡの成りすましも防止することができる。
ここで、認証情報とは、例えばＳＳＬやＴＬＳでの認証に利用する証明書情報、鍵情報、証明書失効情報などとともに、トレ情報を生成する際に利用される情報（証明書情報など）も含まれる。これらの情報は、認証情報テーブルにより互いに関連づけられており、必ず認証したＴＳＡに対し、認証したＴＡの発行したトレ情報が送信される。
なお、ＳＳＬやＴＬＳに利用する鍵や証明書は、トレ情報を生成する際に利用される鍵や証明書と同じでもよい。この場合、鍵や証明書の管理を容易にすることや、通信手順を容易にすることや、取扱うデータ量を少なくすることができる。
また、ＳＳＬやＴＬＳに利用する鍵や証明書と、トレ情報を生成する際に利用される鍵や証明書の関連づけは、データベースや設定ファイルによるものや、ＴＡやＴＳＡ自身では変更できない、機器固有の鍵を、暗号化や電子署名に利用する方法などがある。
【００４１】
ＴＡの時刻監査部１２は、ＴＳＡの時計部２４を時刻監査する機能部である。
時刻監査部１２は、ＴＳＡの認証後にＴＳＡに時計部２４の時刻の送信を要求し、これに対し、ＴＳＡは、時計部２４の出力値をＴＡに送信する。
そして、ＴＡは、ＴＳＡから受信した時刻を自己の時計装置の時刻と比較し、その誤差を計測する。
ＴＡのトレ情報送信部１１は、時刻監査部１２で計測した時刻誤差を含むトレ情報を生成し、これをＴＳＡに送信する。
【００４２】
ＴＳＡのトレ情報受信部２１は、ＴＡから送信されてきたトレ情報を受信し、これをトレ情報テーブル２９に記憶する。
トレ情報テーブル２９の論理的な構成の一例を図４（ａ）に示す。図に示したように、トレ情報テーブル２９は、「発行時刻」、「発行者」、「発行先」、「属性（タイプ）」、「属性（値）」などの各項目から構成されている。
トレ情報受信部２１は、トレ情報からこれらの項目を抽出してトレ情報テーブル２９に記憶（登録）していく。
【００４３】
「発行時刻」は、トレ情報が発行された時刻である。
「発行者」は、トレ情報の発行元であり、図の例ではＴＡ１となっている。例えば、ＴＡ２からＴＳＡに宛てたトレ情報であれば、ＴＡ２となり、ＮＴＡ１からＴＡ１に宛てたトレ情報であれば、ＮＴＡ１となる。
「発行先」は、そのトレ情報の受取先であり、図の例ではＴＳＡとなっている。例えば、ＴＡ２からＴＳＡに宛てたトレ情報であれば、ＴＳＡとなり、ＮＴＡ１からＴＡ１に宛てたトレ情報であれば、ＴＡ１となる。
【００４４】
「属性（タイプ）」と「属性（値）」は、属性の種類とその属性値である。「属性（タイプ）」は属性の種類を表し、「属性（値）」は、その属性値を表している。
「属性（タイプ）」は、基本情報に関するものでは、発行時刻、バージョン、発行先、発行元、署名アルゴリズム、シリアル番号、有効期間などがあり、時刻情報に関するものでは、監査時刻、時刻誤差、通信遅延、活性化期間、うるう秒、配信時刻の精度などがある。
【００４５】
また、ＴＳＡは、トレ情報の伝達経路情報を用いて、ＴＡから配信された時刻のＵＴＣに対する精度を評価する精度評価機能部２７を備えており、精度評価機能部２７は、評価値をトレ情報テーブル２９に記憶する。
この場合、「属性（タイプ）」は、「配信時刻の精度」となり、配信時刻の精度が「属性（値）」として記憶される。
なお、属性は、時刻に関するもののほかに、例えば、情報処理装置の設置されている国や、サービスを運営している事業体など、各種のものが可能である。
例えば、「属性（タイプ）」が国の場合、「属性（値）」は日本などの国名となる。また、「属性（タイプ）」が事業体の場合、「属性（値）」は、株式会社○○社などと、事業体名となる。
また、例えば事業体や情報処理装置や業務やサービスなどに与えられる各種の認定に関するものについては、「属性（タイプ）」が認定の種類の場合、「属性（値）」は○○協会の○○認定や○○協会の○○マークなど、認定の種類を特定する識別名や識別番号となる。また、「属性（タイプ）」が認定番号の場合、「属性（値）」は認定された順番や認定対象を識別するための認定番号となる。また、「属性（タイプ）」が認定の有効期間の場合、「属性（値）」はその認定が有効な期間となる。
このような、各種の認定に関する情報を伝達する場合、例えば信頼できる伝達経路を経由した情報のみを取扱うことができたり、また自身が認定された事業体や情報処理装置であることを伝達することを、信頼できる伝達経路への接続条件とするなど、伝達経路における情報の取扱いに関して、より信頼性を向上することができる。
なお、この場合の認定とは、第三者機関から取得する認定などの他に、情報の伝達を行う事業体や情報処理装置など、伝達経路上の当事者間で行う認定もある。
【００４６】
ここで、精度評価機能部２７についてより詳細に説明する。精度評価機能部２７は、ＴＡから受信したトレ情報の伝達経路情報を用いて、ＮＴＡが配信した基準時刻からＴＳＡに到達するまでの伝達経路を解析し、これを用いてＴＡから配信された時刻のＵＴＣに対する精度を評価する。
例えば、精度評価機能部２７は、図２（ｂ）に示すように、伝達経路情報から配信された時刻の精度を評価できる場合はこれによって評価する。また、図２（ｃ）のように、伝達経路上のサーバ装置のＵＲＬが得られる場合は、これを用いて各サーバ装置にアクセスして各サーバ装置の精度を収集し、これらを加算してＵＴＣに対する精度を算出する。
【００４７】
以上のようにして、トレ情報テーブル２９には、トレ情報に記載されていた情報が属性ごとに整理されて記憶される。
なお、図の例では、属性のタイプは、「Ｏｆｆｓｅｔ」となっており、これは時刻監査で計測された時刻誤差を意味する。そして、属性の値は「３００」となっており、時刻誤差が３００［ｍｓ］であったことを意味している。
【００４８】
比較判定部２２（図３）は、トレ情報テーブル２９に記憶されているトレ情報とポリシ情報テーブル３０に記憶されているポリシ情報を比較し、その比較値をポリシ情報テーブル３０に記憶する。
ポリシ情報は、トレ情報で記憶した各属性（タイプ）に対し、例えば、ある基準値との大小関係など、判定式を用いて判定する情報である。ＴＳＡは、この判定値を元にして行う動作を判断することになる。
【００４９】
ポリシ情報テーブル３０には、図４（ｂ）に示したように、複数のポリシ情報が設定されており、各ポリシ情報は、「ポリシ番号」、「発行者」、「発行先」、「属性（タイプ）」、「属性（値）」、「判定式」、「判定結果」などの項目から構成されている。
このうち、「ポリシ番号」〜「判定式」は、予めトレ情報テーブル２９に設定されており、「判定結果」は、比較判定部２２が判定結果として出力したものである。
【００５０】
「ポリシ番号」は、各ポリシ情報に付与された一意の番号であり、ポリシ情報の識別情報を構成している。
「発行者」〜「属性（タイプ）」は、トレ情報テーブル２９と同じである。
「属性（値）」は、トレ情報の属性値を「判定式」で判定するための基準値である。この属性値が、トレ情報テーブル２９の属性値と比較されることになる。
「判定式」は、トレ情報の属性値を基準値（ポリシ情報の「属性（値）」）と対比して判定する判定式である。
「判定結果」は、属性の値を判定式で判定した結果である。
【００５１】
比較判定部２２は、トレ情報テーブル２９に記憶されているトレ情報の「発行者」、「発行先」、「属性（タイプ）」の組み合わせとポリシ情報テーブル３０のポリシの「発行者」、「発行先」、「属性（タイプ）」とマッチングする。
そして、一致するものがあった場合に、両者の「属性（値）」をポリシ情報の「判定式」に従って判定し、その判定結果をポリシ情報の「判定結果」に出力する。これによって、ポリシ情報テーブル３０が更新される。
判定式としては、＝、＞、＜、といった属性の値の大小関係や、値をとる場合などがある。
【００５２】
図４（ｂ）の例では、ポリシ番号１のポリシに関しては、判定結果が「２」となり値をとっている。また、ポリシ番号２のポリシに関しては、判定結果が「Ｔ（Ｔｒｕｅ）」となっており、トレ情報の属性の値とポリシの属性の値が判定式「＜」を満たしていることを示している。判定式を満たさない場合、判定結果は「Ｆ（Ｆａｌｓｅ）」となる。
なお、判定式の「＝」は、両者の属性値が等しいか否かを判定するものであり、「＜」は、ポリシ情報の属性値がトレ情報の属性値よりも大きいか否かを判定するものであり、「＞」は、その逆である。
【００５３】
なお、先に説明した精度評価機能部２７の代わりに、同等の機能を比較判定部２２に持たせるように構成することもできる。
この場合、図２（ｂ）に示すように、伝達経路情報から配信された時刻の精度を評価できる場合、比較判定部２２はこれによってＵＴＣに対する精度を計算する。そして、比較判定部２２は、その精度の判定値をポリシ情報テーブル３０に記憶させる。
また、図２（ｃ）のように、伝達経路上のサーバ装置のＵＲＬが得られる場合、比較判定部２２はこれを用いて各サーバ装置にアクセスし、これら各サーバ装置の精度を記したトレ情報を要求する。
これに応じて各サーバ装置が送信したトレ情報は、トレ情報受信部２１によりトレ情報テーブル２９に記憶される。比較判定部２２は、これらのトレ情報を用いて配信時刻のＵＴＣに対する精度を計算し、その判定値をポリシ情報テーブル３０に記憶させる。
このように、精度評価機能部２７を設けずに、比較判定部２２に配信時刻の精度を評価する機能を持たせることもできる。
【００５４】
動作制御部２３（図３）は、アクションテーブル３１の動作情報を用いて比較判定部２２が判定した判定結果が所定の条件を満たしているか否かを判断し、その判断結果を用いて動作させる機能部（時計部２４、タイムスタンプ部２５、通信制御部２６など）、及び機能部の動作内容を定める動作パラメータを決定する。
【００５５】
アクションテーブル３１は、図４（ｃ）に示したように、複数の動作情報（アクション）が設定されており、動作情報は、「アクション番号」、「アクション（機能モジュール指定）」、「アクション（パラメータ指定）」などの項目から構成されている。
「アクション番号」は、各動作情報に付与された一意の番号であって、動作情報の識別情報を構成している。
「条件式」は、ポリシ情報の判定結果がある条件を満たしているか否かを判断するための条件式である。
「アクション（機能モジュール指定）」は、条件式が満たされていた場合に、動作を行わせる機能部（機能モジュール）を指定する。
「アクション（パラメータ指定）」は、指定した機能部の動作内容（動作モード）を規定する動作パラメータである。
【００５６】
例えば、機能部が時計部２４の場合、動作内容としては、「受信したトレ情報を用いて時計装置の補正を行う」とか、「受信したトレ情報を用いては時計装置の補正を行わない」などがある。
また、機能部がタイムスタンプ部２５の場合、動作内容としては、「受信したトレ情報に記されている活性化期間を設定する」、「タイムスタンプ発行機能をオンにする」、「タイムスタンプ発行機能をオフにする」などがある。
更に、機能部が通信制御部２６の場合、動作内容としては、「トレ情報に記されているＵＲＬを用いてサーバ装置に接続する」などがある。
なお、図４（ｃ）の例で示したアクション番号１で規定される動作情報は、「ポリシ１の判定結果が１０未満で、かつ、ポリシ２の判定結果がＴであるならば（条件式）、タイムスタンプ部２５を（機能部の指定）、オンにする（動作内容）」という内容を表している。
【００５７】
図３に戻り、時計部２４は、タイムスタンプを発行するための時刻装置を制御するための機能部である。時計部２４は、ＴＡの時刻監査部１２から時刻監査を受けて時刻を送信したり、タイムスタンプ部２５にタイムスタンプで記録する時刻を出力したり、配信時刻を用いて時計装置を補正したりする。
タイムスタンプ部２５は、時計部２４で計測される時刻を用いてタイムスタンプを発行する機能部である。
通信制御部２６は、ＴＳＡを他のサーバ装置などに接続して通信を行うための機能部である。
【００５８】
動作制御部２３は、アクションテーブル３１で条件を判断した後、その判断結果を用いてこれら機能部に動作パラメータで指定される動作を行わせる。
例えば、動作制御部２３は、アクションテーブル３１での判断結果に基づいて、時計部２４に命じて時計装置の補正を行わせたり、タイムスタンプ部２５にタイムスタンプの発行機能をオンオフにさせたり、あるいは通信制御部２６に他のサーバ装置に接続させたりする。
【００５９】
以上に説明したように、本実施の形態のＴＳＡは、時刻配信サーバ（ＴＡ）から時刻情報（配信された時刻）を受信して記憶する時刻情報受信手段（トレ情報受信部２１）と、前記記憶した時刻情報の精度を取得して記憶する精度取得手段と（精度評価機能部２７）、時刻を出力する時計装置と（時計部２４）、前記記憶した精度が所定の条件を満たす場合に、前記記憶した時刻情報を用いて前記時計装置の時刻を補正する時計装置補正手段と（動作制御部２３）、前記補正した時計装置を用いてタイムスタンプを発行するタイムスタンプ発行手段（タイムスタンプ部２５）を具備した時刻情報処理装置を構成している。
ここで、前記記憶した精度が所定の条件を満たすか否かを判定する比較手段（比較判定部２２）を備え、この判定結果により時計装置補正手段が動作するように構成することもできる。
【００６０】
また、本実施の形態のＴＳＡは、伝達経路によって属性値（精度など）が定まる伝達情報を受信して記憶装置に記憶する伝達情報受信手段（トレ情報受信部２１）と、前記受信した伝達情報の属性値を取得して記憶装置に記憶する属性取得手段（トレ情報受信部２１）と、前記記憶した属性値を所定の基準値と比較し（比較判定部２２）、比較結果により所定の動作を行う動作機能部を選択する動作機能部選択手段（動作制御部２３）と、前記記憶した伝達情報を用いて前記選択した動作機能部を機能させる動作手段と（動作制御部２３）、を具備した情報処理装置も構成している。
なお、本実施の形態のＴＳＡは、配信時刻の伝達経路によって属性値（精度）が定まるものであるが、当該情報処理装置の対象は、より広いものとすることができる。
即ち、当該情報処理装置は、「一連の経路から伝達されてきた情報を総合的に利用する」、「複数の伝達経路から得られた情報を利用する」、「伝達経路から得られた情報を利用し、他の情報処理装置に対してアクションを行う」、「そのアクションによって、他の情報処理装置から伝達情報を受信し、更にその伝達情報を基に動作する」というような情報処理を行うもの全般に適用することができるものである。
【００６１】
次に、以上のように構成されたＴＳＡの基本的な動作について、図５のフローチャートを用いて説明する。なお、以下では、情報処理に使用する機能部を括弧で示す。認証は既に行ってあるものとする。
まず、ＴＡがＴＳＡの時刻監査を行い、ＴＳＡ（トレ情報受信部２１）がその結果を記したトレ情報を受信する（ステップ５）。
ＴＳＡ（トレ情報受信部２１）は、受信したトレ情報をトレ情報テーブル２９に記憶してトレ情報テーブル２９を更新する（ステップ１０）。
次に、ＴＳＡ（比較判定部２２）は、トレ情報テーブル２９に記憶されているトレ情報とポリシ情報テーブル３０に記憶されているポリシ情報を比較し（ステップ１５）、比較結果をポリシ情報テーブル３０に出力してポリシ情報テーブル３０を更新する（ステップ２０）。
【００６２】
次に、ＴＳＡ（動作制御部２３）は、アクションテーブル３１を参照し、ポリシ情報テーブル３０の判定結果が、アクション情報の条件式を満たしているか否かを判断する。
そして、ＴＳＡ（動作制御部２３）は、判断結果によって、動作させる動作機能部と行わせる動作を決定する（ステップ３０）。
そして、ＴＳＡ（動作制御部２３）は、この機能部に対して動作を行わせる（ステップ３５）。
【００６３】
このように、ＴＳＡは、トレ情報の内容を解析し、その解析結果に応じて様々な動作を行うことができるが、ここでは、その具体例として、配信時刻のＵＴＣに対する精度の評価値を用いて時計装置を補正する場合について説明する。
【００６４】
以下の各説明では、簡単のため、図１において、ＮＴＡ２はないものとし、ＴＡ１、ＴＡ２は、何れもＮＴＡ１の配信する時刻によって時刻補正しているものとする。
また、ＴＡｉ、ＴＡｊのうち、何れかがＴＡ１で他方がＴＡ２とする。即ち、ＴＡｉがＴＡ１の場合、ＴＡｊはＴＡ２となり、ＴＡｉがＴＡ２の場合はＴＡｊがＴＡ１となる。このように、ＴＡ１とＴＡ２は対等であり入替可能である。
【００６５】
図６のフローチャートで説明する例は、ＴＡから配信された時刻のＵＴＣに対する精度（ＮＴＡの精度とＴＡの精度の和）が５００［ｍｓ］未満の場合に、このＴＡから配信された時刻によって時計部２４の補正を行い、精度が５００［ｍｓ］未満でない場合は、他のＴＡに時刻配信を要求するというものである。
なお、本実施の形態では、ＴＳＡは複数のＴＡから時刻配信を受けることが可能であるので、ＴＳＡは、時刻配信を受けるＴＡにプライマリ、セカンダリなどと優先順位を付けている。これにより、ＴＳＡは、優先度の高いＴＡからの時刻配信のみを受け付けたり、より優先順位が高いＴＡに対して時刻監査の要求を行うなどの制御が可能である。
【００６６】
以下、フローチャートについて説明する。
ＴＡｉは、ＴＳＡの時刻監査を行い、その結果を記したトレ情報をＴＳＡに送信する（ステップ１００）。
ＴＳＡ（トレ情報受信部２１）は、ＴＡｉからトレ情報を受信し、トレ情報テーブル２９に記憶する（ステップ２００）。
【００６７】
次に、ＴＳＡ（比較判定部２２）は、トレ情報テーブル２９とポリシ情報テーブル３０を参照し、ポリシ情報テーブル３０を更新する。
ここで、ポリシ情報テーブル３０では、トレ情報で配信された時刻の精度（ＮＴＡ１とＴＡｉの精度の和）が５００［ｍｓ］未満であるか否かを判定する判定式が設定されており、ＴＳＡ（比較判定部２２）は、この判定式を用いて精度を判定し、判定結果をポリシ情報テーブル３０に出力する。
【００６８】
次に、ＴＳＡ（動作制御部２３）は、ポリシ情報テーブル３０を参照し、これをアクションテーブル３１と対比し、アクションテーブル３１で規定されている機能部に動作を行わせる。
アクションテーブル３１には、精度が５００［ｍｓ］未満であった場合、この配信時刻で時刻補正を行い、そしてタイムスタンプ発行機能の活性化期間を設定し、更にこのＴＡをプライマリに設定するように規定されている。
【００６９】
ＴＡｉの配信時刻の精度（ＮＴＡ１とＴＡｊの精度の和）が５００［ｍｓ］未満であった場合（ステップ２０５；Ｙ）、ＴＳＡ（動作制御部２３）は、時計部２４にこの配信時刻で時刻補正を行わせ（ステップ２２０）、更にタイムスタンプ部２５にタイムスタンプ発行機能の活性化期間を設定させる（ステップ２２５）。
そして、ＴＳＡ（動作制御部２３）は、時刻補正に使用したＴＡ、即ちＴＡｉをプライマリに設定し、ＴＡｊをセカンダリに設定する（ステップ２３０）。
【００７０】
一方、アクションテーブル３１には、ＴＡｉから配信された時刻の精度が５００［ｍｓ］未満でなかった場合、ＴＡｊから時刻配信を受け、この精度が５００［ｍｓ］未満であった場合、この配信時刻を用いて時刻補正などを行うように規定されている。
【００７１】
そこで、ＴＡｉから受信した配信時刻の精度が５００［ｍｓ］未満でなかった場合（ステップ２０５；Ｎ）、ＴＳＡ（動作制御部２３）は、通信制御部２６を制御してＴＡｊにアクセスし、ＴＡｊにトレ情報を要求する（ステップ２１０）。
これに対し、ＴＡｊはＴＳＡの時刻監査を行って、その結果を記したトレ情報をＴＳＡに送信する（ステップ３００）。
ＴＳＡ（トレ情報受信部２１）は、このトレ情報を受信してトレ情報テーブル２９に記憶する。
次に、ＴＳＡ（比較判定部２２）は、トレ情報テーブル２９を参照し、ポリシ情報テーブル３０の判定式に従って、ＴＡｊから配信された時刻の精度（ＮＴＡ１とＴＡｊの精度の和）が５００［ｍｓ］未満であるか否かを判定する。そして、その判定結果をポリシ情報テーブル３０に出力する。
【００７２】
次に、ＴＳＡ（動作制御部２３）は、ポリシ情報テーブル３０を参照し、これをアクションテーブル３１と対比する。
アクションテーブル３１には、精度が５００［ｍｓ］未満であった場合、この配信時刻で時刻補正を行い、そしてタイムスタンプ発行機能の活性化期間を設定し、更にこのＴＡをプライマリに設定するように動作が規定されている。一方、配信時刻の精度が５００［ｍｓ］未満でなかった場合、動作を行わないように規定されている。
【００７３】
ＴＡｊの配信時刻の精度（ＮＴＡ１とＴＡｊの精度の和）が５００［ｍｓ］未満であった場合（ステップ２１５；Ｙ）、ＴＳＡ（動作制御部２３）は、時計部２４にこの配信時刻で時刻補正を行わせ（ステップ２２０）、更にタイムスタンプ部２５にタイムスタンプ発行機能の活性化期間を設定させる（ステップ２２５）。
そして、ＴＳＡ（動作制御部２３）は、時刻補正に使用したＴＡ、即ちＴＡｊをプライマリに設定し、ＴＡｉをセカンダリに設定する（ステップ２３０）。
【００７４】
一方、ＴＡｊの配信時刻の精度（ＮＴＡ１とＴＡｊの精度の和）が５００［ｍｓ］未満でなかった場合（ステップ２１５；Ｎ）、ＴＳＡ（動作制御部２３）は、時刻補正などを行わずに動作を終了する。
この場合、前回に時刻補正した際に設定した活性化期間が経過すると、ＴＳＡは、タイムスタンプ発行機能を停止する。そのため、ＴＳＡの精度に関するポリシである５００［ｍｓ］未満に適合しない場合は、タイムスタンプの発行を停止することができる。
【００７５】
以上のように、このポリシによると、ＴＳＡは、ＴＡから配信された時刻の精度が所定値（５００［ｍｓ］）を満たさない場合に、他のＴＡにアクセスして所定の精度を満たす配信時刻を得ることができる。
このように構成すると、例えば、ＴＳＡが精度に関するポリシを変更した場合であっても、そのポリシに適合するＴＡを探すことができる。
【００７６】
なお、ＴＳＡがポリシ（精度に対するポリシやその他のものに対するポリシを含む）が勝手にポリシを変更するとＴＡ側に問題が生じる場合は、次のような対策をとることができる。
ポリシ設定を、ＴＡの認めた管理者のみが変更可能なよう、アクセス制御（パスワード、ＩＣカードによる認証など）を行う。
予めＴＡとＴＳＡで合意したポリシ設定の下、ポリシ設定が改竄されないようソフトウェアにハードコーディングする。
ＴＳＡ側には特定の機能制御（例えば、時刻補正）しか設定できないように制限する。
ＴＳＡ側には機能部を制御する能動的な権限は持たせず、例えば、「ＴＳＡのポリシとあわない場合に、トレ情報の受信を拒否する」という受動的な権限のみ持たせる。
【００７７】
図７のフローチャートで説明する例は、一方のＴＡから時刻を配信された場合に、その精度を前回に受信した他方のＴＡの配信時刻の精度と比較し、より精度の高いものを採用するものである。回線の状況などによって配信時刻の精度が変化する場合により精度の高い伝達経路を経由したものを採用するものである。
以下の説明では、図６と同じステップには同じステップ番号を付し、説明を簡略化する。
ＴＡｉは、ＴＳＡに時刻監査を行い、その監査結果や配信時刻などを記したトレ情報をＴＳＡに送信する（ステップ１００）。
ＴＳＡ（トレ情報受信部２１）は、ＴＡｉからトレ情報を受信し、トレ情報テーブル２９に記憶する（ステップ２００）。
【００７８】
次に、ＴＳＡ（比較判定部２２）は、トレ情報テーブル２９とポリシ情報テーブル３０を参照し、ポリシ情報テーブル３０を更新する。
ここで、ポリシ情報テーブル３０では、前回にＴＡｊから受信した配信時刻の精度（ＮＴＡ１とＴＡｊの精度の和）と、今回ＴＡｉから受信した配信時刻の精度（ＮＴＡ１とＴＡｉの精度の和）のどちらが正確かを判定する判定式が設定されており、ＴＳＡ（比較判定部２２）は、この判定を行って判定結果をポリシ情報テーブル３０に出力する。
【００７９】
次に、ＴＳＡ（動作制御部２３）は、ポリシ情報テーブル３０を参照し、これをアクションテーブル３１と対比し、アクションテーブル３１で規定されている動作を行う。
アクションテーブル３１には、今回ＴＡｉから配信された時刻の方が正確であった場合、この時刻で時刻補正を行い、そしてタイムスタンプ発行機能の活性化期間を設定し、更にこのＴＡをプライマリに設定するように動作が規定されている。
【００８０】
今回ＴＡｉから配信された時刻の方が正確であった場合（ステップ２３５；ＴＡｉ）、ＴＳＡ（動作制御部２３）は、時計部２４にこの時刻で時刻補正を行わせ（ステップ２２０）、更にタイムスタンプ部２５にタイムスタンプ発行機能の活性化期間を設定させる（ステップ２２５）。
そして、ＴＳＡ（動作制御部２３）は、時刻補正に使用したＴＡ、即ちＴＡｉをプライマリに設定し、ＴＡｊをセカンダリに設定する（ステップ２３０）。
【００８１】
一方、アクションテーブル３１には、前回ＴＡｊから配信された時刻の方が正確であった場合、ＴＡｊから時刻の配信を受け、これが前回（即ちステップ２００で）ＴＡｉから受信した時刻の精度よりも高かった場合、この時刻を用いて時刻補正などを行うように動作が規定されている。
【００８２】
そこで、ＴＳＡ（動作制御部２３）は、前回ＴＡｊから受信した時刻の方が精度が高かった場合（ステップ２３５；ＴＡｊ）、通信制御部２６を制御してＴＡｊにアクセスし、ＴＡｊにトレ情報を要求する（ステップ２１０）。
これに対し、ＴＡｊはＴＳＡの時刻監査を行って、その結果や配信時刻などを記したトレ情報をＴＳＡに送信する（ステップ３００）。
そして、ＴＳＡ（トレ情報受信部２１）は、このトレ情報を受信してトレ情報テーブル２９に記憶する。
【００８３】
次に、ＴＳＡ（比較判定部２２）は、トレ情報テーブル２９を参照し、ポリシ情報テーブル３０の判定式に従って、前回ＴＡｉから配信された時刻と今回ＴＡｊから受信した時刻の何れが精度が高いか判定する。そして、その判定結果をポリシ情報テーブル３０に出力する。
【００８４】
次に、ＴＳＡ（動作制御部２３）は、ステップ２３５と同様に、ポリシ情報テーブル３０とアクションテーブル３１を対し、アクションテーブル３１で規定されている動作を行う。
即ち、今回ＴＡｊから配信された時刻の精度の方が正確であった場合（ステップ２４０；ＴＡｊ）、ＴＳＡ（動作制御部２３）は、時計部２４にこの時刻で時刻補正を行わせ（ステップ２２０）、更にタイムスタンプ部２５にタイムスタンプ発行機能の活性化期間を設定させる（ステップ２２５）。
そして、ＴＳＡ（動作制御部２３）は、時刻補正に使用したＴＡ、即ちＴＡｊをプライマリに設定し、ＴＡｉをセカンダリに設定する（ステップ２３０）。
【００８５】
一方、前回ＴＡｉから配信された時刻の精度の方が正確であった場合（ステップ２４０；ＴＡｉ）、ＴＳＡ（動作制御部２３）は、時刻補正などを行わずに動作を終了する。
そして、前回に時刻補正した際に設定した活性化期間が経過すると、ＴＳＡは、タイムスタンプ発行機能を停止する。
【００８６】
図８のフローチャートで説明する例は、配信時刻が正確な方のＴＡをプライマリに設定するものである。なお、図８のフローチャートでは、ＴＡｊを省略してある。
まず、ＴＡｉは、ＴＳＡに時刻監査を行い、その監査結果や配信時刻などを記したトレ情報をＴＳＡに送信する（ステップ１００）。
ＴＳＡ（トレ情報受信部２１）は、ＴＡｉからトレ情報を受信し、トレ情報テーブル２９に記憶する（ステップ２００）。
【００８７】
次に、ＴＳＡ（比較判定部２２）は、トレ情報テーブル２９とポリシ情報テーブル３０を参照し、ポリシ情報テーブル３０を更新する。
ここで、ポリシ情報テーブル３０では、前回にＴＡｊから受信した配信時刻の精度（ＮＴＡ１とＴＡｊの精度の和）と、今回ＴＡｉから受信した配信時刻の精度（ＮＴＡ１とＴＡｉの精度の和）のどちらが正確かを判定する判定式が設定されており、ＴＳＡ（比較判定部２２）は、この判定を行って判定結果をポリシ情報テーブル３０に出力する。
【００８８】
次に、ＴＳＡ（動作制御部２３）は、ポリシ情報テーブル３０を参照し、これをアクションテーブル３１と対比し、アクションテーブル３１で規定されている動作を行う。
アクションテーブル３１には、今回ＴＡｉから配信された時刻の方が正確であった場合、ＴＡｉをプライマリに設定し、前回ＴＡｊから配信された時刻の方が正確であった場合、ＴＡｊをプライマリに設定するように動作が規定されている。
【００８９】
今回ＴＡｉから配信された時刻の方が正確であった場合（ステップ２４５；ＴＡｉ）、ＴＳＡ（動作制御部２３）は、ＴＡｉをプライマリに設定し、ＴＡｊをセカンダリに設定する（ステップ２５５）。
一方、前回ＴＡｊから配信された時刻の方が正確であった場合（ステップ２４５；ＴＡｊ）、ＴＳＡ（動作制御部２３）は、ＴＡｊをプライマリに設定し、ＴＡｊをセカンダリに設定する（ステップ２５０）。
【００９０】
図９のフローチャートで説明する例は、ＴＡｉとＴＡｊのうち、少なくとも一方の配信時刻の精度が５００［ｍｓ］未満である場合に、正確な方のＴＡによって時刻補正するものである。
まず、ＴＡｉがＴＳＡの時刻監査を行い、その結果を記したトレ情報をＴＳＡに送信する（ステップ１００）。
ＴＳＡでは、トレ情報受信部２１がこのトレ情報を受信し、これをトレ情報テーブル２９に記憶する。
このように、ＴＡｉからトレ情報を受信すると、ＴＳＡは、ＴＡｊに対してトレ情報を要求する（ステップ２１０）。
これを受けて、ＴＡｊは、ＴＳＡの時刻監査を行い、その監査結果や配信時刻などを記したトレ情報をＴＳＡに送信する（ステップ３００）。
【００９１】
次に、ＴＳＡ（比較判定部２２）は、トレ情報テーブル２９とポリシ情報テーブル３０を参照し、ポリシ情報テーブル３０を更新する。
ここで、ポリシ情報テーブル３０では、ＴＡから配信された時刻の精度が５００［ｍｓ］未満であるか否かを判定する判定式が設定されており、ＴＳＡ（比較判定部２２）は、ＴＡから配信された時刻の精度が５００［ｍｓ］未満であるか否かを判定し、その判定結果をポリシ情報テーブル３０に出力する。
更に、ポリシ情報テーブル３０では、何れの配信時刻の方が精度が高いか判定する判定式が設定されており、ＴＳＡ（比較判定部２２）は、その判定結果をポリシ情報テーブル３０に出力する。
【００９２】
次に、ＴＳＡ（動作制御部２３）は、ポリシ情報テーブル３０を参照し、これをアクションテーブル３１と対比する。
アクションテーブル３１には、ＴＡｉとＴＡｊの両方の配信時刻の精度が何れも５００［ｍｓ］未満でない場合は動作をせず、少なくとも一方が５００［ｍｓ］未満である場合、正確な方の配信時刻で時刻補正を行い、そしてタイムスタンプ発行機能の活性化期間を設定するように動作が規定されている。
【００９３】
そこで、ＴＳＡ（動作制御部２３）は、ポリシ情報テーブル３０を参照し、両方の配信時刻の精度が５００［ｍｓ］未満でない場合は（ステップ２６０；Ｎ）、動作をせず、時刻の補正を行わない。この場合、現在の活性期間が経過した後ＴＳＡはタイムスタンプ機能を停止する。
一方、少なくとも一方の配信時刻の精度が５００［ｍｓ］未満である場合は（ステップ２６０；Ｙ）、正確な方の配信時刻によって時計部２４に時刻補正を補正し（ステップ２６５）、タイムスタンプ部２５にタイムスタンプ発行機能の活性化期間を設定させる（ステップ２２５）。
この例では、正確な方の配信時刻を選択する際に、その配信時刻の精度が５００［ｍｓ］未満であることを確認している。
これにより、配信時刻の精度が５００［ｍｓ］未満という条件を満たせないＴＡを除外した上で、より正確なＴＡからの配信時刻をもとに、ＴＳＡの時刻を補正することができる。
【００９４】
図１０のフローチャートの例は、ＴＡｉとＴＡｊの双方に時刻監査を要求し、少なくとも一方の配信時刻の精度が５００［ｍｓ］未満であった場合に、正確な方の配信時刻を用いて時刻補正を行うものである。
まず、ＴＳＡは、ＴＡｉとＴＡｊの双方にトレ情報を要求する（ステップ２７０）。
ＴＡｉは、この要求を受けてＴＳＡの時刻監査を行い、その結果を記したトレ情報をＴＳＡに送信する（ステップ１０５）。
ＴＡｊも、この要求を受けてＴＳＡの時刻監査を行い、その結果を記したトレ情報をＴＳＡに送信する（ステップ３０５）。
【００９５】
ＴＳＡ（トレ情報受信部２１）は、これらのトレ情報を受信してトレ情報テーブル２９に記憶する。
以下の動作は、図９の例と同じであるので省略する。
図９の例では、ＴＡｉから時刻監査を受けたことをトリガーとしてＴＡｊに時刻監査を要求したが、図１０の例では、ＴＳＡからＴＡｉ、及びＴＡｊに時刻監査を要求している。
【００９６】
以上、ＴＳＡがトレ情報に応じて行う動作例について説明したが、更に、次のような運営を行う例を採用することもできる。
例えば、ＴＳＡが、ＴＡ１、ＴＡ２、ＴＡ３から時刻配信を受けているとする。ＴＳＡがＴＡ１に時刻監査を行ってもらったところ、ＴＳＡの時刻誤差が１００［ｍｓ］であると監査された。ＴＳＡは、これに平行してＴＡ２、ＴＡ３にも時刻監査を行ってもらったところ共に誤差が１０００［ｍｓ］であると監査されたとする。
このように監査結果がＴＡによって大きく異なる場合、ＴＳＡ又はＴＡの時刻に異常が発生していると考えられ、ＴＳＡはタイムスタンプ機能を停止する。
【００９７】
以下、図１１のフローチャートを用いてこのような動作の一例について説明する。
この例では、例えば、ＴＡ１−ＴＳＡ間の誤差、ＴＡ２−ＴＳＡ間の誤差、ＴＡ３−ＴＳＡ間の誤差が何れも５００［ｍｓ］未満の場合に、ＴＳＡは、時計部２４に時刻補正、及びタイムスタンプ部２５の活性化期間を有限値に設定する。
そして、少なくとも１つが５００未満でない場合、タイムスタンプ部２５の活性化期間を０に設定してタイムスタンプ発行機能を停止させる。
なお、フローチャートでは、ＴＡ１〜ＴＡ３は省略してある。
【００９８】
まず、ＴＳＡ（トレ情報受信部２１）は、認証を終えた後、ＴＡ１から時刻監査を受けてトレ情報を受信する（ステップ２７５）。
ＴＳＡ（トレ情報受信部２１）は、ＴＡ１よりトレ情報を受信すると、認証を終えた後、ＴＡ２にトレ情報を要求して時刻監査を受け、ＴＡ２からトレ情報を受信してトレ情報テーブル２９に記憶する（ステップ２８０）。
更に、ＴＳＡ（トレ情報受信部２１）は、ＴＡ３にトレ情報を要求して時刻監査を受け、ＴＡ３からトレ情報を受信してトレ情報テーブル２９に記憶する（ステップ２８５）。
【００９９】
次に、ＴＳＡ（比較判定部２２）は、ＴＡ１より受信したトレ情報を用いてＴＡ１の時計装置と時計部２４の時刻誤差を調べ、この誤差が５００［ｍｓ］未満であるか否かを判断し、判断結果をポリシ情報テーブル３０に記憶する。
同様に、ＴＳＡ（比較判定部２２）は、ＴＡ２、ＴＡ３から受信したトレ情報を用いて、ＴＡ２、ＴＡ３の時計装置と時計部２４の時刻誤差を調べ、この誤差が５００［ｍｓ］未満であるか否かを判断し、判断結果をポリシ情報テーブル３０に記憶する。
【０１００】
ＴＳＡ（動作制御部２３）は、ポリシ情報テーブル３０を参照し、何れの時刻誤差も５００［ｍｓ］未満であったか否か（即ち、ＴＡ１−ＴＳＡ間の時刻誤差＜５００［ｍｓ］、かつ、ＴＡ２−ＴＳＡ間の時刻誤差＜５００［ｍｓ］、かつ、ＮＴＡ３−ＴＳＡ間の時刻誤差＜５００［ｍｓ］）を判断する（ステップ２９０）。
何れの時刻誤差も５００［ｍｓ］未満であった場合（ステップ２９０；Ｙ）、ＴＳＡ（動作制御部２３）は、時計部２４に時刻補正を行わせ（ステップ２２０）、更にタイムスタンプ部２５にタイムスタンプ発行機能の活性化期間を設定させる（ステップ２２５）。
一方、時刻誤差が５００［ｍｓ］未満でないものが１つでもあった場合（ステップ２９０；Ｎ）、ＴＳＡ（動作制御部２３）は、時計部２４に時刻補正を行わせた上で（ステップ２２０）、タイムスタンプ発行機能の活性化期間を０とし、タイムスタンプ部２５のタイムスタンプ発行機能を停止させる（ステップ２２６）。
【０１０１】
この例では、ＴＳＡは、ＴＡ１〜ＴＡ３から時刻配信を受けるが、このように、複数のＴＡから時刻配信を受ける場合、どの時刻を用いて時刻補正を行うかは、サンプル（配信時刻）数、サンプル収集に要する時間によって様々な方法がある。例えば、ばらつきを除去するため、時刻誤差が最大および最小のものを除いた上で配信時刻の平均値を計算し、この平均値を用いて時計部２４の補正を行うように構成することができる。
このように、この例では、複数の時刻配信サーバ（ＴＡ）から時刻情報を受信して記憶し、これら時刻情報のうち、時計部２４が出力する時刻との誤差が所定値以上のものがあった場合にタイムスタンプの発行を停止するようになっている。
【０１０２】
以上の例では、ＴＳＡがトレ情報に応じて動作制御を行ったが、ＴＡがＮＴＡからのトレ情報に応じて動作制御するように構成することもできる。
例えば、新規にＴＡを設置した場合やＴＡの故障時に代替のＴＡを設置した場合、その直後は時計装置の時刻が安定しない場合がある。従来は、担当者がＴＡの動作状況を観察し、安定してきた際に手動で時刻配信を開始していた。
本実施の形態では、ＴＡが複数台のＮＴＡからの時刻監査を受け、一定数以上のＮＴＡから（例えば、７台中５台）の時刻誤差が許容範囲となった場合に、時刻配信を自動的に開始するように構成する。
【０１０３】
より具体的には、ＴＡは、ＮＴＡ１〜ＮＴＡ７に時刻監査を依頼し、これら７台のＮＴＡのうち５台以上のＮＴＡから誤差が５００［ｍｓ］未満であるとの監査を受けた場合に、時刻配信を開始する。
時刻の補正は、これらＮＴＡから配信された時刻のうち、最大および最小のものを除いて平均したものを用いるなど、各種ある。
【０１０４】
このように、ＴＡに関しても、ＴＳＡと同様にＮＴＡから配信される時刻の精度を評価して機能を制御するように構成することができる。
この場合のＴＡの構成は、ＴＳＡと同様に、トレ情報受信部２１、比較判定部２２、動作制御部２３、トレ情報テーブル２９、ポリシ情報テーブル３０、アクションテーブル３１、時計部２４、通信制御部２６を備え、更に時刻監査部１２を備えたものとすることができる。
そして、ポリシ情報テーブル３０にＴＡの動作が安定したか否かの判別式を設定しておき、アクションテーブル３１にＴＡの動作が安定した際の動作（ＴＳＡの監査開始）と、ＴＡの動作が安定していない場合の動作（ＮＴＡから時刻監査の継続）を設定しておけば、ＴＡに上記のような判断と動作を行わせることができる。
【０１０５】
以下、ＴＡがＴＳＡと同様のこれら機能部を備えるものとし、図１２のフローチャートを用いてＴＡの動作の一例について説明する。
まず、認証を終えた後、ＴＡ（トレ情報受信部２１）は、ＮＴＡ１〜ＮＴＡ７の各ＮＴＡにトレ情報を要求して時刻監査を受け、これら各ＮＴＡからトレ情報を受信して記憶する（ステップ４０５）。
この際に、ＴＡは、ＴＳＡと同様に、各ＮＴＡの配信時刻の精度を評価し、ＮＴＡの配信時刻の精度がＴＡのポリシに従わない場合は、そのＮＴＡを対象から除外するなどの処理を行う。
次に、ＴＡ（比較判定部２２）は、これらトレ情報を用いて各ＮＴＡの時計装置と自己の時計部２４の時刻誤差を調べ、時刻誤差が５００［ｍｓ］未満であるか否かを判定し、ポリシ情報テーブル３０に出力する。
【０１０６】
次に、ＴＡ（動作制御部２３）は、自己の時計部２４との時刻誤差が５００［ｍｓ］未満であるＮＴＡが７台中５台以上あるか否か判断する。
そして、ＴＡ（動作制御部２３）は、更に、ＴＡの現在時刻が所定日時以降であるか否かを判断する。
この所定日時は、ＴＡが安定するまでに最低限必要な時間を確保するために予め設定したものである。
【０１０７】
ＴＡ（動作制御部２３）は、７台中５台以上のＮＴＡとの時刻差が５００［ｍｓ］未満であり、かつ、ＴＡの現在時刻が所定日時以降である場合（ステップ４１０；Ｙ）、時計部２４に時刻補正を行わせ（ステップ４１５）、時刻監査部１２に時刻配信機能の活性化期間を設定させる（ステップ４２０）。
また、ＮＴＡとの時刻誤差が５００［ｍｓ］未満のＮＴＡが７台中５台未満である場合、あるいは、７台中５台以上のＮＴＡとの時刻誤差が５００［ｍｓ］未満であるが、ＴＡの現在時刻が所定日時以降でない場合（ステップ４１０；Ｎ）、ＮＴＡ（動作制御部２３）は、時計部２４に時刻補正を行わせ（ステップ４１５）、その上で、時刻監査部１２の活性化期間を０に設定し、時刻監査部１２の時刻配信機能を停止させる（ステップ４３０）。
【０１０８】
この場合ＴＡは、時刻配信サーバ（ＮＴＡ）から時刻情報（トレ情報）を受信して記憶する時刻情報受信手段と、前記記憶した時刻情報の精度を取得して記憶する精度取得手段（精度評価機能部２７）と、時刻を出力する時計装置（時計部２４）と、前記記憶した精度が所定の条件を満たす場合に、前記記憶した時刻情報を用いて前記時計装置の時刻を補正する時計装置補正手段（動作制御部２３）と、前記補正した時計装置の出力を用いて時刻情報を配信する時刻情報配信手段（時刻監査部１２）を具備した時計装置を構成している。
そして、この例のＴＡは、複数の時刻配信サーバ（ＮＴＡ）から時刻情報を受信して記憶し、これら時刻情報のうち、時計部２４が出力する時刻との誤差が所定値未満となるものが所定値以上ある場合に、時刻配信を開始するようになっている。
また、ＴＡにタイムスタンプ部２５を設けて、時刻の配信とタイムスタンプの発行の双方を行えるように構成することもできる。
【０１０９】
図１３は、ＴＳＡのハードウェア的な構成の一例を示した図である。
図に示したように、ＴＳＡは、ＣＰＵ（Ｃｅｎｔｒａｌ Ｐｒｏｃｅｓｓｉｎｇ Ｕｎｉｔ）５１、ＲＯＭ（Ｒｅａｄ Ｏｎｌｙ Ｍｅｍｏｒｙ）５２、ＲＡＭ（Ｒａｎｄｏｍ Ａｃｃｅｓｓ Ｍｅｍｏｒｙ）５３、表示部５４、入力部５５、記憶部５６、入出力Ｉ／Ｆ（インターフェース）５７、通信制御部２６、ハードウェアセキュリティ部５９などから構成されている。
【０１１０】
ＣＰＵ５１は、ＲＯＭ５２、ＲＡＭ５３、及び記憶部５６などに記憶されているプログラム従って各種の演算を行うと共に、ＴＳＡ各部の制御を行う。
ＲＯＭ５２は、読取専用の記憶デバイスであり、ＴＳＡを動作させるための基本的なプログラムやパラメータなどが記憶されている。
ＲＡＭ５３は、読み書き可能な記憶デバイスであり、ＣＰＵ５１がＴＡやクライアント端末などと通信して情報処理を行う際のワーキングエリアが確保可能となっている。
【０１１１】
表示部５４は、例えば、ＣＲＴ（Ｃａｔｈｏｄｅ Ｒａｙ Ｔｕｂｅ）ディスプレイ、液晶ディスプレイあるいはプラズマディスプレイなどの表示装置で構成されており、例えば、作業者がＴＳＡのメンテナンス作業を行ったりする際に各種情報を表示する。
入力部５５は、キーボードやマウスなどの入力デバイスを備えており、例えば、作業者がＴＳＡのメンテナンス作業を行ったりする際にＴＳＡを操作するのに用いる。
また、表示部５４には、ＴＳＡのポリシを編集する編集画面を表示することができ、作業者が入力部５５を操作することにより、ポリシ情報テーブル３０の判定式などを編集することができる。これによって、例えば、時刻の精度に関するポリシを５００［ｍｓ］から４００［ｍｓ］に変更することができる。
【０１１２】
記憶部５６は、例えば、ハードディスク装置などの大容量の記憶装置により構成されており、ＴＳＡをタイムスタンプサーバとして動作させるためのプログラムやＯＳ（Ｏｐｅｒａｔｉｎｇ Ｓｙｓｔｅｍ）などの各種プログラムや、ログデータなどの各種データ類が記憶されている。
【０１１３】
入出力Ｉ／Ｆ５７は、例えば、外部の記憶装置やその他の周辺機器などと接続するためのインターフェースである。
通信制御部２６は、ＴＳＡとネットワークを接続する機能部であり、ＴＳＡをＴＡやクライアント端末などと接続する。
【０１１４】
ハードウェアセキュリティ部５９は、外部から内部の解析が困難に構成されたハードウェイセキュリティモジュールであり、内部にＣＰＵ６０、ＲＯＭ６１、ＲＡＭ６２、ＥＥＰＲＯＭ（Ｅｌｅｃｔｒｉｃａｌｌｙ Ｅｒａｓａｂｌｅ ａｎｄ Ｐｒｏｇｒａｍｍａｂｌｅ ＲＯＭ）６３、内部クロック６４などが形成されている。ＥＥＰＲＯＭ６３は、他の不揮発性メモリでも代用可能である。
ＴＳＡの機能は、標準的な情報処理装置のハードウェア構成でも実現可能であるが、タイムスタンプの発行、時計部２４の時刻補正など、タイムスタンプを発行するための機能をハードウェアセキュリティ部５９に封じ、外部からの解析や改竄を困難、とすることで、より高いセキュリティを実現することができる。
【０１１５】
ＣＰＵ６０は、ＲＯＭ６１、ＲＡＭ６２、ＥＥＰＲＯＭ６３に記憶されているプログラムに従って動作し、クライアント端末から送信されてきたハッシュ値にタイムスタンプを発行したり、ＴＡなどから時刻監査を受けて、配信された時刻により時計部２４を補正したり、ＣＰＵ５１と通信してＣＰＵ５１と協働して動作したりする。
ＲＯＭ６１には、ハードウェアセキュリティ部５９を動作させるための基本的なプログラムやパラメータが記憶されている。
ＲＡＭ６２は、ＣＰＵ６０がタイムスタンプを発行したり時刻補正したりする際のワーキングエリアを提供する。
内部クロック６４は、タイムスタンプを発行するための時計装置であって、時刻補正の際には内部クロック６４の時刻を補正する方法の他に、内部クロック６４を利用したソフトウェアクロックを補正する方法がある。この場合、タイムスタンプに利用される時計は、ソフトウェアクロックとなる。
【０１１６】
ＥＥＰＲＯＭ６３には、ＣＰＵ６０がタイムスタンプを発行したり、時刻を補正したり、あるいはその他のプログラムが記憶されているほか、認証情報テーブル２８、トレ情報テーブル２９、ポリシ情報テーブル３０、アクションテーブル３１およびタイムスタンプの発行や時刻の補正の際に利用される情報（シリアル番号や、前回発行したタイムスタンプの情報、前回受信した時刻監査証明書の情報）、などの各種データが記憶されている。
ＥＥＰＲＯＭ６３に記憶されているプログラムをＣＰＵ６０で実行することにより認証部２０、トレ情報受信部２１、比較判定部２２、動作制御部２３、時計部２４、タイムスタンプ部２５などの各機能部が構成される。なお、時計部２４は、内部クロック６４とプログラムによって実現する時計制御機能によって構成される。より詳細には、この時計制御機能は、内部クロック６４の時刻を読み取ったり、動作制御部２３の指示によってこれを補正したりする。
【０１１７】
以上、ＴＳＡのハードウェア的な構成について説明したが、ＴＡ、ＮＴＡのハードウェア的な構成も基本的なＴＳＡと同じである。その他の形態として、ＴＡの場合は、時刻を高精度で維持することが求められるため、ハードウェアセキュリティモジュール内の時計ではなく、原子時計やＧＰＳ（Ｇｌｏｂａｌ Ｐｏｓｉｔｉｏｎｉｎｇ Ｓｙｓｔｅｍ）などを利用する、精度の高い時計装置を利用する。
【０１１８】
以上に説明したＴＳＡを用いることにより次のような効果を得ることができる。
（１）ＴＡから配信される時刻のＵＴＣに対する精度を評価することができ、評価に応じた動作制御を行うことができる。
（２）ＮＴＡからＴＳＡに至るまで、基準時刻が伝達される伝達経路を特定することができる。
（３）基準時刻の伝達経路を用いて配信時刻のＵＴＣに対する精度を評価することができる。
（４）精度などのポリシに適合するＴＡを探索することができる。
（５）ある経路から得られたデータ（トレ情報）と、自身に設定されたポリシ情報を比較し、その比較結果に応じて自身の状態更新・機能制御もしくはデータの信頼性確認を行うことができる。
【図面の簡単な説明】
【０１１９】
【図１】本実施の形態に係るタイムスタンプシステムのシステム構成の一例を示した図である。
【図２】トレ情報の構成について説明するための図である。
【図３】本実施の形態に係るＴＡとＴＳＡの機能を説明するための機能ブロック図である。
【図４】各種テーブルの論理的な構成を説明するための図である。
【図５】ＴＳＡの基本動作を説明するためのフローチャートである。
【図６】ＴＳＡの動作例を説明するためのフローチャートである。
【図７】ＴＳＡの動作例を説明するためのフローチャートである。
【図８】ＴＳＡの動作例を説明するためのフローチャートである。
【図９】ＴＳＡの動作例を説明するためのフローチャートである。
【図１０】ＴＳＡの動作例を説明するためのフローチャートである。
【図１１】ＴＳＡの動作例を説明するためのフローチャートである。
【図１２】ＴＡの動作例を説明するためのフローチャートである。
【図１３】ＴＳＡのハードウェア的な構成の一例を示した図である。
【図１４】従来のタイムスタンプシステムのネットワーク構成の一部を示したネットワーク図である。
【符号の説明】
【０１２０】
１０ 認証部
１１ トレ情報送信部
１２ 時刻監査部
２０ 認証部
２１ トレ情報受信部
２２ 比較判定部
２３ 動作制御部
２４ 時計部
２５ タイムスタンプ部
２６ 通信制御部
２７ 精度評価機能部
２８ 認証情報テーブル
２９ トレ情報テーブル
３０ ポリシ情報テーブル
３１ アクションテーブル
【特許請求の範囲】
【請求項１】
伝達経路によって属性値が定まる伝達情報を受信して記憶装置に記憶する伝達情報受信手段と、
前記受信した伝達情報の属性値を取得して記憶装置に記憶する属性取得手段と、
前記記憶した属性値を所定の基準値と比較し、比較結果により所定の動作を行う動作機能部を選択する動作機能部選択手段と、
前記記憶した伝達情報を用いて前記選択した動作機能部を機能させる動作手段と、
を具備したことを特徴とする情報処理装置。
【請求項２】
前記伝達情報は、時刻情報であり、
前記属性情報の属性値は、前記時刻情報の精度であることを特徴とする請求項１に記載の情報処理装置。
【請求項３】
前記伝達情報を送信するサーバ装置を認証する認証手段を具備し、前記伝達情報受信手段は、前記サーバ装置が認証された場合に伝達情報を受信することを特徴とする請求項１、又は請求項２に記載の情報処理装置。
【請求項４】
時刻配信サーバから時刻情報を受信して記憶する時刻情報受信手段と、
前記記憶した時刻情報の精度を取得して記憶する精度取得手段と、
時刻を出力する時計装置と、
前記記憶した精度が所定の条件を満たす場合に、前記記憶した時刻情報を用いて前記時計装置の時刻を補正する時計装置補正手段と、
を具備したことを特徴とする時刻情報処理装置。
【請求項５】
前記補正した時計装置を用いてタイムスタンプを発行するタイムスタンプ発行手段を具備したことを特徴とする請求項４に記載の時刻情報処理装置。
【請求項６】
前記記憶した精度が所定の条件を満たさなかった場合、前記タイムスタンプ発行手段を停止することを特徴とする請求項５に記載の時刻情報処理装置。
【請求項７】
前記時刻情報受信手段は、複数の時刻配信サーバから時刻情報を受信して記憶し、前記タイムスタンプ発行手段は、前記記憶した時刻情報のうち、前記時計装置が出力する時刻との誤差が所定値以上のものがあった場合にタイムスタンプの発行を停止することを特徴とする請求項５、又は請求項６に記載の時刻情報処理装置。
【請求項８】
前記補正した時計装置の出力を用いて時刻情報を配信する時刻情報配信手段を具備したことを特徴とする請求項４から請求項７までのうちの何れか１の請求項に記載の時刻情報処理装置。
【請求項９】
前記時刻情報受信手段は、複数の時刻配信サーバから時刻情報を受信して記憶し、前記時刻情報配信手段は、前記記憶した時刻情報のうち、前記時計装置が出力する時刻との誤差が所定値未満となるものが所定値以上ある場合に、時刻配信を開始することを特徴とする請求項８に記載の時刻情報処理装置。
【請求項１０】
時刻情報を配信する配信先を認証する配信先認証手段を具備し、前記時刻情報配信手段は、前記配信先認証手段で配信先が認証された場合に時刻情報を配信することを特徴とする請求項８、又は請求項９に記載の時刻情報処理装置。
【請求項１１】
前記所定の条件は、前記記憶した精度が、所定の精度を満たすか否かであることを特徴とする請求項４から請求項１０までのうちの何れか１の請求項に記載の時刻情報処理装置。
【請求項１２】
前記記憶した精度が所定の条件を満たさなかった場合、他の時刻配信サーバに時刻情報を要求することを特徴とする請求項４から請求項１１までのうちの何れか１の請求項に記載の時刻情報処理装置。
【請求項１３】
前記時刻情報受信手段は、複数の時刻配信サーバから時刻情報を受信して記憶し、
前記所定の条件は、前記記憶した時刻情報のうち最も精度のよいものを選択することであり、前記時計装置補正手段は前記選択した時刻情報を用いて前記時計装置を補正することを特徴とする請求項４から請求項１０までのうちの何れか１の請求項に記載の時刻情報処理装置。
【請求項１４】
前記時計装置の補正に使用した時刻情報を配信した時刻配信サーバの優先順位を設定することを特徴とする請求項４から請求項１３までのうちの何れか１の請求項に記載の時刻情報処理装置。
【請求項１５】
前記時刻情報の精度は、前記時刻配信サーバが時刻を同期させる基準時刻を配信する基準時刻サーバから前記時刻配信サーバまでの基準時刻の伝達経路に依存し、
前記受信した前記基準時刻の伝達経路を特定する伝達経路特定情報を受信して記憶する伝達経路特定情報受信手段を具備し、
前記精度取得手段は、前記記憶した伝達経路特定情報を用いて精度を取得することを特徴とする請求項４から請求項１４までのうちの何れか１の請求項に記載の時刻情報処理装置。
【請求項１６】
前記精度取得手段は、前記記憶した伝達経路特定情報で特定される伝達経路上に存在する各サーバ装置から各サーバ装置で規定される時刻の精度を取得し、前記取得した精度から前記時刻情報の精度を取得することを特徴とする請求項１５に記載の時刻情報処理装置。
【請求項１７】
前記各サーバ装置から時刻の精度を取得するに際して、前記各サーバ装置を認証することを特徴とする請求項１６に記載の時刻情報処理装置。
【請求項１８】
時刻配信サーバから時刻情報を受信して記憶する時刻情報受信手段と、
前記記憶した時刻情報の精度を取得して記憶する精度取得手段と、
時刻を出力する時計装置と、
前記時計装置を用いてタイムスタンプを発行するタイムスタンプ発行手段と、
サーバ装置に優先順位を設定する優先順位設定手段と、
を具備し、
前記記憶した精度が所定の条件を満たす場合に、前記記憶した時刻情報を用いた前記時計装置の時刻を補正、前記タイムスタンプ発行手段によるタイムスタンプの発行の設定、又は前記優先順位設定手段による前記情報配信サーバの優先順位の設定、のうち、少なくとも１つを選択して行うことを特徴とする時刻情報処理装置。
【請求項１９】
時刻配信サーバを認証する時刻配信サーバ認証手段を具備し、前記時刻情報受信手段は、前記時刻配信サーバが認証された場合に時刻情報を受信することを特徴とする請求項４から請求項１８までのうちの何れか１の請求項に記載の時刻情報処理装置。
【請求項２０】
伝達情報受信手段と、属性取得手段と、動作機能部選択手段と、動作手段と、を備えたコンピュータにおいて、
前記伝達情報受信手段が、伝達経路によって属性値が定まる伝達情報を受信して記憶装置に記憶する伝達情報受信ステップと、
前記属性取得手段が、前記受信した伝達情報の属性値を取得して記憶装置に記憶する属性取得ステップと、
前記動作機能部選択手段が、前記記憶した属性値を所定の基準値と比較し、比較結果により所定の動作を行う動作機能部を選択する動作機能部選択ステップと、
前記動作手段が、前記記憶した伝達情報を用いて前記選択した動作機能部を機能させる動作ステップと、
から構成されたことを特徴とする情報処理方法。
【請求項２１】
時刻情報受信手段と、精度取得手段と、時刻を出力する時計装置と、時計装置補正手段と、を備えたコンピュータにおいて、
前記時刻情報受信手段が、時刻配信サーバから時刻情報を受信して記憶する時刻情報受信ステップと、
前記精度取得手段が、前記記憶した時刻情報の精度を取得して記憶する精度取得ステップと、
前記時計装置補正手段が、前記記憶した精度が所定の条件を満たす場合に、前記記憶した時刻情報を用いて前記時計装置の時刻を補正する時計装置補正ステップと、
から構成されたことを特徴とする時刻情報処理方法。
【請求項２２】
時刻情報受信手段と、精度取得手段と、時刻を出力する時計装置と、 前記時計装置を用いてタイムスタンプを発行するタイムスタンプ発行手段と、サーバ装置の優先順位を設定する優先順位設定手段と、を備えたコンピュータにおいて、
前記時刻受信手段が、時刻配信サーバから時刻情報を受信して記憶する時刻情報受信ステップと、
前記精度取得手段が、前記記憶した時刻情報の精度を取得して記憶する精度取得ステップと、
を備え、
前記記憶した精度が所定の条件を満たす場合に、前記記憶した時刻情報を用いた前記時計装置の時刻を補正、前記タイムスタンプ発行手段によるタイムスタンプの発行の設定、又は前記優先順位設定手段による前記情報配信サーバの優先順位の設定、のうち、少なくとも１つを選択して行う選択実行ステップと、
から構成されたことを特徴とする情報処理方法。
【請求項１】
伝達経路によって属性値が定まる伝達情報を受信して記憶装置に記憶する伝達情報受信手段と、
前記受信した伝達情報の属性値を取得して記憶装置に記憶する属性取得手段と、
前記記憶した属性値を所定の基準値と比較し、比較結果により所定の動作を行う動作機能部を選択する動作機能部選択手段と、
前記記憶した伝達情報を用いて前記選択した動作機能部を機能させる動作手段と、
を具備したことを特徴とする情報処理装置。
【請求項２】
前記伝達情報は、時刻情報であり、
前記属性情報の属性値は、前記時刻情報の精度であることを特徴とする請求項１に記載の情報処理装置。
【請求項３】
前記伝達情報を送信するサーバ装置を認証する認証手段を具備し、前記伝達情報受信手段は、前記サーバ装置が認証された場合に伝達情報を受信することを特徴とする請求項１、又は請求項２に記載の情報処理装置。
【請求項４】
時刻配信サーバから時刻情報を受信して記憶する時刻情報受信手段と、
前記記憶した時刻情報の精度を取得して記憶する精度取得手段と、
時刻を出力する時計装置と、
前記記憶した精度が所定の条件を満たす場合に、前記記憶した時刻情報を用いて前記時計装置の時刻を補正する時計装置補正手段と、
を具備したことを特徴とする時刻情報処理装置。
【請求項５】
前記補正した時計装置を用いてタイムスタンプを発行するタイムスタンプ発行手段を具備したことを特徴とする請求項４に記載の時刻情報処理装置。
【請求項６】
前記記憶した精度が所定の条件を満たさなかった場合、前記タイムスタンプ発行手段を停止することを特徴とする請求項５に記載の時刻情報処理装置。
【請求項７】
前記時刻情報受信手段は、複数の時刻配信サーバから時刻情報を受信して記憶し、前記タイムスタンプ発行手段は、前記記憶した時刻情報のうち、前記時計装置が出力する時刻との誤差が所定値以上のものがあった場合にタイムスタンプの発行を停止することを特徴とする請求項５、又は請求項６に記載の時刻情報処理装置。
【請求項８】
前記補正した時計装置の出力を用いて時刻情報を配信する時刻情報配信手段を具備したことを特徴とする請求項４から請求項７までのうちの何れか１の請求項に記載の時刻情報処理装置。
【請求項９】
前記時刻情報受信手段は、複数の時刻配信サーバから時刻情報を受信して記憶し、前記時刻情報配信手段は、前記記憶した時刻情報のうち、前記時計装置が出力する時刻との誤差が所定値未満となるものが所定値以上ある場合に、時刻配信を開始することを特徴とする請求項８に記載の時刻情報処理装置。
【請求項１０】
時刻情報を配信する配信先を認証する配信先認証手段を具備し、前記時刻情報配信手段は、前記配信先認証手段で配信先が認証された場合に時刻情報を配信することを特徴とする請求項８、又は請求項９に記載の時刻情報処理装置。
【請求項１１】
前記所定の条件は、前記記憶した精度が、所定の精度を満たすか否かであることを特徴とする請求項４から請求項１０までのうちの何れか１の請求項に記載の時刻情報処理装置。
【請求項１２】
前記記憶した精度が所定の条件を満たさなかった場合、他の時刻配信サーバに時刻情報を要求することを特徴とする請求項４から請求項１１までのうちの何れか１の請求項に記載の時刻情報処理装置。
【請求項１３】
前記時刻情報受信手段は、複数の時刻配信サーバから時刻情報を受信して記憶し、
前記所定の条件は、前記記憶した時刻情報のうち最も精度のよいものを選択することであり、前記時計装置補正手段は前記選択した時刻情報を用いて前記時計装置を補正することを特徴とする請求項４から請求項１０までのうちの何れか１の請求項に記載の時刻情報処理装置。
【請求項１４】
前記時計装置の補正に使用した時刻情報を配信した時刻配信サーバの優先順位を設定することを特徴とする請求項４から請求項１３までのうちの何れか１の請求項に記載の時刻情報処理装置。
【請求項１５】
前記時刻情報の精度は、前記時刻配信サーバが時刻を同期させる基準時刻を配信する基準時刻サーバから前記時刻配信サーバまでの基準時刻の伝達経路に依存し、
前記受信した前記基準時刻の伝達経路を特定する伝達経路特定情報を受信して記憶する伝達経路特定情報受信手段を具備し、
前記精度取得手段は、前記記憶した伝達経路特定情報を用いて精度を取得することを特徴とする請求項４から請求項１４までのうちの何れか１の請求項に記載の時刻情報処理装置。
【請求項１６】
前記精度取得手段は、前記記憶した伝達経路特定情報で特定される伝達経路上に存在する各サーバ装置から各サーバ装置で規定される時刻の精度を取得し、前記取得した精度から前記時刻情報の精度を取得することを特徴とする請求項１５に記載の時刻情報処理装置。
【請求項１７】
前記各サーバ装置から時刻の精度を取得するに際して、前記各サーバ装置を認証することを特徴とする請求項１６に記載の時刻情報処理装置。
【請求項１８】
時刻配信サーバから時刻情報を受信して記憶する時刻情報受信手段と、
前記記憶した時刻情報の精度を取得して記憶する精度取得手段と、
時刻を出力する時計装置と、
前記時計装置を用いてタイムスタンプを発行するタイムスタンプ発行手段と、
サーバ装置に優先順位を設定する優先順位設定手段と、
を具備し、
前記記憶した精度が所定の条件を満たす場合に、前記記憶した時刻情報を用いた前記時計装置の時刻を補正、前記タイムスタンプ発行手段によるタイムスタンプの発行の設定、又は前記優先順位設定手段による前記情報配信サーバの優先順位の設定、のうち、少なくとも１つを選択して行うことを特徴とする時刻情報処理装置。
【請求項１９】
時刻配信サーバを認証する時刻配信サーバ認証手段を具備し、前記時刻情報受信手段は、前記時刻配信サーバが認証された場合に時刻情報を受信することを特徴とする請求項４から請求項１８までのうちの何れか１の請求項に記載の時刻情報処理装置。
【請求項２０】
伝達情報受信手段と、属性取得手段と、動作機能部選択手段と、動作手段と、を備えたコンピュータにおいて、
前記伝達情報受信手段が、伝達経路によって属性値が定まる伝達情報を受信して記憶装置に記憶する伝達情報受信ステップと、
前記属性取得手段が、前記受信した伝達情報の属性値を取得して記憶装置に記憶する属性取得ステップと、
前記動作機能部選択手段が、前記記憶した属性値を所定の基準値と比較し、比較結果により所定の動作を行う動作機能部を選択する動作機能部選択ステップと、
前記動作手段が、前記記憶した伝達情報を用いて前記選択した動作機能部を機能させる動作ステップと、
から構成されたことを特徴とする情報処理方法。
【請求項２１】
時刻情報受信手段と、精度取得手段と、時刻を出力する時計装置と、時計装置補正手段と、を備えたコンピュータにおいて、
前記時刻情報受信手段が、時刻配信サーバから時刻情報を受信して記憶する時刻情報受信ステップと、
前記精度取得手段が、前記記憶した時刻情報の精度を取得して記憶する精度取得ステップと、
前記時計装置補正手段が、前記記憶した精度が所定の条件を満たす場合に、前記記憶した時刻情報を用いて前記時計装置の時刻を補正する時計装置補正ステップと、
から構成されたことを特徴とする時刻情報処理方法。
【請求項２２】
時刻情報受信手段と、精度取得手段と、時刻を出力する時計装置と、 前記時計装置を用いてタイムスタンプを発行するタイムスタンプ発行手段と、サーバ装置の優先順位を設定する優先順位設定手段と、を備えたコンピュータにおいて、
前記時刻受信手段が、時刻配信サーバから時刻情報を受信して記憶する時刻情報受信ステップと、
前記精度取得手段が、前記記憶した時刻情報の精度を取得して記憶する精度取得ステップと、
を備え、
前記記憶した精度が所定の条件を満たす場合に、前記記憶した時刻情報を用いた前記時計装置の時刻を補正、前記タイムスタンプ発行手段によるタイムスタンプの発行の設定、又は前記優先順位設定手段による前記情報配信サーバの優先順位の設定、のうち、少なくとも１つを選択して行う選択実行ステップと、
から構成されたことを特徴とする情報処理方法。
【図１】
【図２】
【図３】
【図４】
【図５】
【図６】
【図７】
【図８】
【図９】
【図１０】
【図１１】
【図１２】
【図１３】
【図１４】
【図２】
【図３】
【図４】
【図５】
【図６】
【図７】
【図８】
【図９】
【図１０】
【図１１】
【図１２】
【図１３】
【図１４】
【公開番号】特開２００７−７２５８５（Ｐ２００７−７２５８５Ａ）
【公開日】平成１９年３月２２日（２００７．３．２２）
【国際特許分類】
【出願番号】特願２００５−２５６５７９（Ｐ２００５−２５６５７９）
【出願日】平成１７年９月５日（２００５．９．５）
【出願人】（０００００２３２５）セイコーインスツル株式会社 (3,629)
【Ｆターム（参考）】
【公開日】平成１９年３月２２日（２００７．３．２２）
【国際特許分類】
【出願日】平成１７年９月５日（２００５．９．５）
【出願人】（０００００２３２５）セイコーインスツル株式会社 (3,629)
【Ｆターム（参考）】
[ Back to top ]