監視システム
【課題】監視データのみならず再生用アプリケーション・プログラムに対する改ざんについても検出可能とする。
【解決手段】映像蓄積装置２からクライアント端末３へ映像データを配信する際に、映像蓄積装置２において上記映像データとこの映像データを再生するためのダウンロード映像再生用ソフトに対しそれぞれ共通の秘密鍵を用いて生成した署名を付加すると共に公開鍵のフィンガプリントを付加して配信する。クライアント端末３では上記映像データとその署名、ダウンロード映像再生用ソフトとその署名及びフィンガプリントを一組にしてフォルダに保存する。そして、上記映像データを、他のクライアント端末１０に移して再生しようとする場合に、クライアント端末１０において先ず上記ダウンロード映像再生用ソフトの署名を検証し、その正当性が確認されたとき映像データの署名を検証し再生する。
【解決手段】映像蓄積装置２からクライアント端末３へ映像データを配信する際に、映像蓄積装置２において上記映像データとこの映像データを再生するためのダウンロード映像再生用ソフトに対しそれぞれ共通の秘密鍵を用いて生成した署名を付加すると共に公開鍵のフィンガプリントを付加して配信する。クライアント端末３では上記映像データとその署名、ダウンロード映像再生用ソフトとその署名及びフィンガプリントを一組にしてフォルダに保存する。そして、上記映像データを、他のクライアント端末１０に移して再生しようとする場合に、クライアント端末１０において先ず上記ダウンロード映像再生用ソフトの署名を検証し、その正当性が確認されたとき映像データの署名を検証し再生する。
【発明の詳細な説明】
【技術分野】
【０００１】
この発明は、例えば施設や河川等の状態をカメラ等を用いて遠隔監視する監視システムに関する。
【背景技術】
【０００２】
遠隔監視システムは、例えば監視対象の複数のサイトにネットワークカメラ等の撮像装置を配置し、これらの撮像装置で撮像された時系列の監視映像データを映像蓄積装置で受信して蓄積する。そして、クライアント端末からの配信要求に応じて、上記映像蓄積装置が該当する監視映像データを読み出して上記要求元のクライアント端末へ配信し、当該クライアント端末において上記配信された監視映像データを再生するように構成される（例えば、特許文献１を参照。）。
【特許文献１】特開２００５−１４３０１６号公報
【発明の開示】
【発明が解決しようとする課題】
【０００３】
ところで、最近監視データの改ざんを防止してその正当性を維持するために、監視データに署名やメッセージ認証コードなどの認証情報を付加する対策が採られている。しかしながら、仮に悪意を持つ第三者が、クライアント端末にインストールされている監視データ再生用のアプリケーション・プログラムを他の端末にコピーし、その際当該プログラムが有している監視データに対する認証チェック機能を無効にしたとすると、上記他の端末では監視データの改ざんチェックが行われないことになり、その結果監視データの正当性が担保されなくなる。
【０００４】
この発明は上記事情に着目してなされたもので、その目的とするところは、監視データのみならず監視データ再生用のアプリケーション・プログラムに対する改ざんも検出可能とした監視システムを提供することにある。
【課題を解決するための手段】
【０００５】
上記目的を達成するためにこの発明の一観点は、監視データを蓄積する監視データ蓄積装置と、この監視データ蓄積装置から通信ネットワークを介して配信された監視データを受信し再生する端末装置とを備える監視システムにあって、
上記監視データ蓄積装置において、上記監視データ及び当該監視データを再生するために使用するアプリケーション・プログラムに対しそれぞれ第１の鍵情報を用いて生成される認証情報を付加し、この認証情報が付加された監視データ及び再生用アプリケーション・プログラムを上記通信ネットワークを介して上記端末装置へ送信する。
【０００６】
一方、上記端末装置においては、上記監視データ蓄積装置から送信された、上記認証情報が付加された監視データ及び再生用アプリケーション・プログラムを受信しメモリに記憶すると共に、上記第１の鍵情報に対応する第２の鍵情報を取得する。そして、上記受信された監視データの再生に先立ち、上記メモリに記憶された再生用アプリケーション・プログラムに付加された認証情報に対し、上記第２の鍵情報をもとに第１の検証処理を行い、この第１の検証処理の結果、上記再生用アプリケーション・プログラムに対する正当性が確認された場合に、上記記憶された監視データに付加された認証情報に対し、上記第２の鍵情報をもとに第２の検証処理を行い、この第２の検証処理の結果上記監視データに対する正当性が確認された場合に、上記再生用アプリケーション・プログラムにより当該監視データの再生処理を実行するように構成したものである。
【発明の効果】
【０００７】
したがってこの発明によれば、端末装置が監視データを再生する際には、先ず当該監視データと共に監視データ蓄積装置からダウンロードされた再生用アプリケーション・プログラムに対し署名またはメッセージ認証コード等の認証情報を用いた検証処理が行われる。そして、この検証の結果再生用アプリケーション・プログラムの正当性が確認された場合にのみ上記監視データの署名が検証され、その正当性が確認された場合に、上記再生用アプリケーション・プログラムにより上記監視データの再生が行われる。このため、仮に悪意を持つ第三者が、再生用アプリケーション・プログラムを改ざんした上で他の端末に移して監視データを再生しようとしても、再生用アプリケーション・プログラムに対する検証処理により改ざんが認められた場合には監視データに対する認証チェックが行われず、その結果監視データの再生は行われない。
【０００８】
すなわち、監視データのみならず再生用アプリケーション・プログラムに対する改ざんについても検出可能とし、これにより再生用アプリケーション・プログラムの改ざんによる監視データの無制限な再生を確実に防止することが可能な監視システムを提供することができる。
【発明を実施するための最良の形態】
【０００９】
以下、図面を参照してこの発明の実施形態を説明する。
（第１の実施形態）
図１は、この発明に係わる監視システムの第１の実施形態を示す概略構成図である。この監視システムは、監視場所に設置されたネットワークカメラ１と、クライアントが使用するクライアント端末３と、これらのネットワークカメラ１及びクライアント端末３が通信ネットワーク４を介して接続される映像蓄積装置２とを備えている。
【００１０】
ネットワークカメラ１はカメラ部と通信インタフェース部とを有し、監視対象をカメラ部により連続的に又は一定時間置きに撮像し、その映像データを通信インタフェース部により通信ネットワーク４を介して映像蓄積装置２へ送信する。
【００１１】
映像蓄積装置２は例えば蓄積配信機能を有するサーバ装置からなり、上記ネットワークカメラ１から送られた映像データを映像記憶部５に記憶する。なお、映像蓄積装置２は他に映像記憶部６，７を有しており、このうち映像記憶部６には上記映像記憶部５に記憶された映像データのうち過去の映像データが転送されて蓄積され、また映像記憶部７には他のネットワークカメラから送られた映像データが記憶される。
【００１２】
また映像蓄積装置２は、アプリケーション記憶部９を有しており、このアプリケーション記憶部９には、クライアント端末３が上記映像データをダウンロードして再生するために使用するアプリケーション・プログラム（以後、ダウンロード映像再生用ソフトと称する）が記憶されている。映像蓄積装置２は、クライアント端末３からの送信要求に応じて上記映像データを要求元のクライアント端末３へダウンロードする際に、上記ダウンロード映像再生用ソフトを併せてダウンロードする。
【００１３】
クライアント端末３は例えばパーソナル・コンピュータからなり、上記映像蓄積装置２からダウンロードされた映像データ及びダウンロード映像再生用ソフトを対にしてフォルダに保存する。またクライアント端末３は、事前にインストールされた映像再生用のアプリケーション・プログラム（以後、再生ソフトと称する）を再生ソフト記憶部８に記憶しており、上記フォルダに記憶された映像データを当該再生ソフトにより再生する。
【００１４】
なお、図中１０は例えば第三者が使用するクライアント端末であり、再生ソフトが事前にインストールされていない。このクライアント端末１０において上記監視映像データを再生する場合には、上記クライアント端末３から再生しようとする監視映像データと、この映像データに対応するダウンロード映像再生用ソフトとをロードする。そして、このロードしたダウンロード映像再生用ソフトについて署名の検証を行った上で、当該ロードしたダウンロード映像再生用ソフトを用いて映像データを再生する。
【００１５】
図２は、上記映像蓄積装置２及びクライアント端末３の、この発明に係わる要部の機能構成を示すブロック図である。現実のシステムでは映像蓄積装置２は複数台用いられるので、同図では複数の映像蓄積装置２１〜２Ｎを例示している。なお、映像蓄積装置２１〜２Ｎの構成は同一なので、ここでは映像蓄積装置２１のみについて説明する。
【００１６】
映像蓄積装置２１は、署名生成部２１１，２２１及び配信部２３１を備える。署名生成部２２１は、配信対象の監視映像データに対しディジタル署名を付加するもので、記憶部５〜７から選択的に読み出された映像データStream(1) のハッシュ値を算出し、この算出されたハッシュ値を予め用意された秘密鍵S_key(1) を用いて暗号化することにより署名Stream_Sig(1) を生成する。署名生成部２１１は、ダウンロード映像再生用ソフトに対しディジタル署名を付加するもので、ソフト記憶部９から読み出されたダウンロード映像再生用ソフトSoft(1) のハッシュ値を求め、この算出されたハッシュ値を上記映像データの署名を生成するために使用した秘密鍵と同一の秘密鍵S_key(1) を用いて暗号化することにより署名Soft_Sig(1) を生成する。
【００１７】
配信部２３１は、上記署名生成部２２１により生成された署名Stream_Sig(1) を映像データStream(1) に付加すると共に、上記署名生成部２１１により生成された署名Soft_Sig(1) をダウンロード映像再生用ソフトSoft(1) に付加する。そして、それぞれ署名Stream_Sig(1) ，Soft_Sig(1) が付加された映像データStream(1) 及びダウンロード映像再生用ソフトSoft(1) を、上記秘密鍵S_key(1) と対をなす公開鍵P_key(1) のハッシュ値（フィンガプリント）ＦＰを付加フィンガプリントＦＰと共に、要求元のクライアント端末３へ向け配信する。
【００１８】
クライアント端末３は、再生ソフト記憶部８と、ダウンロードデータの記憶部３１を備えている。ダウンロードデータの記憶部３１は例えばハードディスクを記憶媒体として使用したもので、この記憶媒体には映像データがダウンロードされるごとに作成された複数のフォルダＦＤ(1) 〜ＦＤ(N) が設けられる。これらのフォルダＦＤ(1) 〜ＦＤ(N) にはそれぞれ、映像蓄積装置２１〜２Ｎからダウンロードされた映像データとその署名、ダウンロード映像再生用ソフトとその署名、及びフィンガプリントＦＰが一組として保存される。
【００１９】
一方、再生ソフトを有していないクライアント端末１０は、以下のように構成される。図３はその機能構成を示すブロック図である。すなわち、このクライアント端末１０は、ダウンロードデータの記憶部１０１を備えている。この記憶部１０１は例えばハードディスクを記憶媒体として使用したもので、この記憶媒体には上記クライアント端末３から例えばＵＳＢメモリを用いて映像データ等が移されるごとに作成された複数のフォルダＦＤ(1) 〜ＦＤ(N) と、鍵フォルダＦＤKが設けられる。上記フォルダＦＤ(1) 〜ＦＤ(N) にはそれぞれ、上記クライアント端末３から移された映像データとその署名、ダウンロード映像再生用ソフトとその署名、及びフィンガプリントＦＰが一組として保存される。また鍵フォルダＦＤKには、記録ディスクＤＫ１から読み込んだ公開鍵P_key(1) 〜P_key(N) が保存される。
【００２０】
なお、上記映像蓄積装置２１〜２Ｎが署名を生成するために使用する秘密鍵S_key(1) 〜S_key(N) と、上記クライアント端末１０が署名を検証するために使用する公開鍵P_key(1) 〜P_key(N) は、工場出荷時に監視システムのメーカが、或いは監視システムのシステム管理者が、鍵発行ツールを使用して発行する。そして、この発行された秘密鍵S_key(1) 〜S_key(N) 及び公開鍵P_key(1) 〜P_key(N) は、映像蓄積装置２１〜２Ｎ内に設けられたセキュアなメモリに記憶される。一方、公開鍵P_key(1) 〜P_key(N) はＣＤ−ＲＯＭ等の記録ディスクＤＫ１に書き込まれて、クライアント端末１０内にインストールされる。
【００２１】
次に、以上のように構成された監視システムの動作を説明する。
クライアント端末３から映像データの配信要求を受信すると、映像蓄積装置２１は以下のように映像データの配信処理を実行する。図４はその処理手順と処理内容を示すフローチャートである。
【００２２】
すなわち、映像蓄積装置２１は先ずステップＳＴ４１において、配信対象の映像データStream(1) を記憶部５〜７から選択的に読み出し、この読み出した映像データStream(1) のハッシュ値を計算する。そして、ステップＳＴ４２により、上記計算された映像データStream(1) のハッシュ値を秘密鍵S_key(1) を用いて暗号化して、映像データStream(1) の署名Stream_Sig(1) を生成する。
【００２３】
映像蓄積装置２１は次に、ステップＳＴ４３においてソフト記憶部９からダウンロード映像再生用ソフトSoft(1) を読み出し、この読み出したダウンロード映像再生用ソフトSoft(1) のハッシュ値を計算する。そして、ステップＳＴ４４において、上記計算されたダウンロード映像再生用ソフトSoft(1) のハッシュ値を、上記映像データStream(1) の署名Stream_Sig(1) を生成するために用いた秘密鍵と同じ秘密鍵S_key(1) を用いて暗号化し、これによりダウンロード映像再生用ソフトSoft(1) の署名Soft_Sig(1) を生成する。
続いて映像蓄積装置２１は、ステップＳＴ４５において、上記秘密鍵S_key(1) と対をなす公開鍵P_key(1) を内部メモリから読み出す。そして、この公開鍵P_key(1) のハッシュ値を計算し、この計算されたハッシュ値をフィンガプリントＦＰとする。
【００２４】
さて、そうして署名及びフィンガプリントの生成が終了すると映像蓄積装置２１は、ステップＳＴ４６において、上記生成された署名Stream_Sig(1) を映像データStream(1) に付加すると共に、署名Soft_Sig(1) をダウンロード映像再生用ソフトSoft(1) に付加する。そして、上記映像データStream(1)とその署名Stream_Sig(1)、ダウンロード映像再生用ソフトSoft(1)とその署名Soft_Sig(1) 、及び上記公開鍵P_key(1) のフィンガプリントＦＰを、要求元のクライアント端末３へ向け送信する。
【００２５】
上記映像蓄積装置２１から映像データ等が配信されると、クライアント端末３はダウンロードデータを保存するためのフォルダＦＤ(1) を新たに作成する。そして、このフォルダＦＤ(1) に、上記映像蓄積装置２１から配信された、映像データStream(1) とその署名Stream_Sig(1) 、ダウンロード映像再生用ソフトSoft(1) とその署名Soft_Sig(1) 、及びフィンガプリントＦＰを、一組として保存する。
【００２６】
以後同様に映像蓄積装置２１は、クライアント端末３から映像データの配信要求が到来するごとに、映像データStream(1) 及びダウンロード映像再生用ソフトSoft(1) に対しそれぞれ共通の秘密鍵S_key(1) を用いて署名を付加し、さらに公開鍵のフィンガプリントを生成して、これらを一組として要求元のクライアント端末３へ向け送信する。一方、クライアント端末３は、上記映像蓄積装置２１から配信された映像データ等を一組としてフォルダに保存する。なお、他の映像蓄積装置２２〜２Ｎにおいても同様の動作が行われ、クライアント端末３では上記映像蓄積装置２２〜２Ｎから配信された映像データ等がそれぞれ一組として別々のフォルダに保存される。
【００２７】
さて、上記クライアント端末３に保存された映像データを、ユーザが再生ソフトがインストールされていない他のクライアント端末１０で再生しようとする場合には、次のように行われる。
すなわち、ユーザは先ずクライアント端末３に保存された映像データ等をフォルダ単位で例えばＵＳＢメモリに一旦記憶させ、このＵＳＢメモリを介して上記映像データ等をクライアント端末１０のフォルダに記憶させる。また、記録ディスクＤＫ１に記録された公開鍵P_key(1) 〜P_key(N) を読み込んで、鍵フォルダＦＤK に保存させる。
【００２８】
そして、この状態でユーザがクライアント端末１０において映像データの再生操作を行ったとする。そうするとクライアント端末１０では次のように再生制御が実行される。図５及び図６はその処理手順と処理内容を示すフローチャートである。
すなわち、クライアント端末１０は先ずステップＳＴ５１により、鍵フォルダＦＤKから公開鍵P_key(1) 〜P_key(N) を読み込む。そして、ステップＳＴ５２により上記鍵フォルダＦＤKに公開鍵が保存されていたか否かを判定し、保存されていなければ図６のステップＳＴ６４に移行して、ここで「公開鍵が見つかりませんでした」なるメッセージをディスプレイに表示させる。
【００２９】
これに対し、上記鍵フォルダＦＤKに公開鍵が保存されていたとする。この場合クライアント端末１０はステップＳＴ５３に移行し、読み込んだ公開鍵P_key(1)〜P_key(N)の各々についてそのハッシュ値を計算する。つまり、公開鍵P_key(1)〜P_key(N)の各フィンガプリントを求める。
【００３０】
次にクライアント端末１０は、ステップＳＴ５４において再生対象の映像データが保存されたフォルダＦＤ(1) からフィンガプリントＦＰを読み出し、この読み出したフィンガプリントＦＰを上記計算により求めた各フィンガプリントと比較する。そして、計算により求めた各フィンガプリントの中に上記読み出したフィンガプリントＦＰと一致するフィンガプリントがあるか否かを判定する。
【００３１】
この判定の結果、一致するフィンガプリントが見つからなければ、図６に示すステップＳＴ５２に移行し、ここで上記鍵フォルダＦＤKに保存された公開鍵は前記映像データの署名生成に使用した秘密鍵と対をなすものではないと判断し、ステップＳＴ６３により「公開鍵が正しくない可能性があります、正しい鍵を設定してください。」なるメッセージをディスプレイに表示させる。
【００３２】
一方、上記計算により求めた各フィンガプリントの中に、上記読み出したフィンガプリントＦＰと一致するフィンガプリントが見つかったとする。そうするとクライアント端末１０は、ダウンロード映像再生用ソフトの署名検証処理を次のように実行する。
すなわち、先ずステップＳＴ５５において、再生対象の映像データが保存されたフォルダＦＤ(1) からダウンロード映像再生用ソフトSoft(1) を読み出し、そのハッシュ値を計算する。このとき計算されたハッシュ値を値Ａと呼称する。次にステップＳＴ５６において、上記再生対象の映像データが保存されたフォルダＦＤ(1) からダウンロード映像再生用ソフトSoft(1) に付加された署名Soft_Sig(1) を読み出し、この署名Soft_Sig(1) を上記フィンガプリントが一致した公開鍵P_key(1) を用いて復号する。この復号後の値を値Ｂと呼称する。そして、ステップＳＴ５７により上記値Ａと値Ｂが一致するか否かを判定する。
【００３３】
この判定の結果、一致しなければステップＳＴ６０に移行し、上記ダウンロード映像再生用ソフトSoft(1) に付加された署名Soft_Sig(1) は無効と判断する。そして、ステップＳＴ６１に移行して、ここで「再生ソフトが改ざんされた可能性があります。」なるメッセージを生成してディスプレイに表示させ、そのまま制御を終了する。すなわち、映像データの署名検証処理に移行せずにそのまま制御を終了する。
【００３４】
これに対し、上記値Ａと値Ｂが一致したとする。この場合クライアント端末１０は、ステップＳＴ５８により上記ダウンロード映像再生用ソフトSoft(1) に付加された署名Soft_Sig(1) は有効と判断し、ステップＳＴ５９に移行してここで「再生ソフトの改ざんはありませんでした」なるメッセージを生成してディスプレイに表示させる。
【００３５】
上記ダウンロード映像再生用ソフトSoft(1) に付加された署名Soft_Sig(1) の正当性が確認されると、クライアント端末１０は次に映像データStream(1) の署名検証処理を実行する。
すなわち、先ず図６に示すステップＳＴ６５において、フォルダＦＤ(1) から再生対象の映像データStream(1) を読み出し、そのハッシュ値を計算する。このとき計算されたハッシュ値を値Ａと呼称する。次にステップＳＴ６６において、上記フォルダＦＤ(1) から再生対象の映像データStream(1) に付加された署名Stream_Sig(1) を読み出し、この署名Stream_Sig(1) を上記フィンガプリントが一致した公開鍵P_key(1) を用いて復号する。この復号後の値を値Ｂと呼称する。そして、ステップＳＴ６７により上記値Ａと値Ｂが一致するか否かを判定する。
【００３６】
この判定の結果、一致しなければステップＳＴ７０に移行し、上記再生対象の映像データStream(1) に付加された署名Stream_Sig(1) は無効と判断する。そして、ステップＳＴ７１に移行して、ここで「映像データが改ざんされた可能性があります。」なるメッセージを生成してディスプレイに表示させ、そのまま制御を終了する。すなわち、映像データの再生処理を行わずにそのまま制御を終了する。
【００３７】
これに対し、上記値Ａと値Ｂが一致したとする。この場合クライアント端末１０は、ステップＳＴ６８により上記再生対象の映像データStream(1) に付加された署名Stream_Sig(1) は有効と判断し、ステップＳＴ６９に移行してここで「映像データの改ざんはありませんでした。」なるメッセージを生成してディスプレイに表示させる。そして、クライアント端末１０は以後、上記再生対象の映像データStream(1) の再生処理を実行する。かくして、クライアント端末１０のディスプレイには上記再生対象の映像データStream(1) が表示され、ユーザはこの表示を視認することにより監視対象の様子を確認することが可能となる。
【００３８】
以上述べたように第１の実施形態では、映像蓄積装置２１〜２Ｎからクライアント端末３へ映像データを配信する際に、映像蓄積装置２において上記映像データとこの映像データを再生するためのダウンロード映像再生用ソフトに対しそれぞれ共通の秘密鍵を用いて生成した署名を付加すると共に公開鍵のフィンガプリントを付加して配信し、クライアント端末３では上記配信された映像データとその署名、ダウンロード映像再生用ソフトとその署名及びフィンガプリントを一組にしてフォルダに保存する。そして、上記配信された映像データを、再生ソフトがインストールされていない他のクライアント端末１０に移して再生しようとする場合に、クライアント端末１０において先ず上記ダウンロード映像再生用ソフトの署名を検証し、その正当性が確認された場合に映像データの署名を検証して再生を行うようにしている。
【００３９】
したがって、再生ソフトがインストールされていないクライアント端末１０が映像データを再生する際には、先ず当該映像データと共にダウンロードされたダウンロード映像再生用ソフトの署名が検証され、その結果ダウンロード映像再生用ソフトの正当性が確認された場合にのみ映像データの署名検証が行われ、その正当性が確認された場合に当該映像データが上記ダウンロード映像再生用ソフトにより再生される。このため、仮に悪意を持つ第三者が、ダウンロード映像再生用ソフトを改ざんした上で他のクライアント端末１０において映像データを再生しようとしても、映像データの再生は行われない。すなわち、映像データのみならずダウンロード映像再生用ソフトに対する改ざんについても検出可能とし、これによりダウンロード映像再生用ソフトの改ざんによる映像データの無制限な再生を確実に防止することができる。
【００４０】
（第２の実施形態）
この発明の第２の実施形態は、次のように構成したことを特徴とするものである。
すなわち、ダウンロード映像再生用ソフトにソフト用秘密鍵を用いて生成した署名を付加すると共に、当該ソフト用秘密鍵と対をなす公開鍵のフィンガプリントを生成し、この署名が付加されたダウンロード映像再生ソフト及びフィンガプリントを映像蓄積装置に提供する。
【００４１】
映像蓄積装置は、クライアント端末に映像データを配信する際に、映像データに対しデータ用秘密鍵を用いて生成した署名を付加すると共に、このデータ用秘密鍵と対をなす公開鍵のフィンガプリントを生成し、これらをクライアント端末へ配信する。また映像蓄積装置は、最初の映像データ配信時にのみ、上記署名が既に付加されたダウンロード映像再生ソフト及びフィンガプリントを配信する。
【００４２】
再生ソフトがインストールされていない他のクライアント端末は、上記配信された映像データ再生する際に、先ず工場から提供されたソフト用公開鍵を用いてダウンロード映像再生用ソフトの署名を検証する。そして、その正当性が確認された場合に、データ用公開鍵を用いて映像データの署名を検証し、その正当性が確認された場合に上記ダウンロード映像再生用ソフトを用いて映像データを再生する。
【００４３】
図７は、上記映像蓄積装置２′及びクライアント端末３′のこの発明に係わる要部の機能構成を示すブロック図である。現実のシステムでは映像蓄積装置２′は複数台用いられるので、同図では複数の映像蓄積装置２１′〜２Ｎ′を例示している。なお、映像蓄積装置２１′〜２Ｎ′の構成は同一なので、ここでは映像蓄積装置２１′のみについて説明する。
【００４４】
映像蓄積装置２１′は、データ用の署名生成部２４１及び配信部２５１を備える。データ用の署名生成部２４１は、配信対象の監視映像データに対し署名を付加するもので、記憶部５〜７から選択的に読み出された映像データStream(1) のハッシュ値を算出し、この算出されたハッシュ値を予め用意されたデータ用秘密鍵S_key(1) を用いて暗号化することにより署名Stream_Sig(1) を生成する。また、映像蓄積装置２１′のソフト記憶部９には、工場において予め署名Soft_Sigが付加されたダウンロード映像再生用ソフトSoftと、当該署名Soft_Sigを生成するために使用したソフト用秘密鍵S_key_Softと対をなす公開鍵P_key_SoftのフィンガプリントＦＰ_softが記憶されている。
【００４５】
配信部２５１は、上記署名生成部２４１により生成された署名Stream_Sig(1) を映像データStream(1) に付加する。また、上記データ用秘密鍵S_key(1) と対をなす公開鍵P_key(1) のハッシュ値（フィンガプリント）ＦＰ(1) を計算する。そして、上記署名Stream_Sig(1)が付加された映像データStream(1) 及びそのフィンガプリントＦＰ(1) と、上記ソフト記憶部９に記憶された署名Soft_Sig付のダウンロード映像再生用ソフトSoft及びフィンガプリントＦＰ_softを、要求元のクライアント端末３′へ向け配信する。
【００４６】
クライアント端末３′は、再生ソフト記憶部８と、ダウンロードデータの記憶部３１′を備えている。ダウンロードデータの記憶部３１′は例えばハードディスクを記憶媒体として使用したもので、この記憶媒体には映像データがダウンロードされるごとに作成された複数のフォルダＦＤ(1) 〜ＦＤ(N) が設けられる。これらのフォルダＦＤ(1) 〜ＦＤ(N) にはそれぞれ、映像蓄積装置２１′〜２Ｎ′からダウンロードされた映像データとその署名及びフィンガプリントが保存される。また上記記憶部３１′の記憶媒体には、再生ソフト用フォルダＦＤSが設けられる。この再生ソフト用フォルダＦＤSには、上記映像蓄積装置２１′〜２Ｎ′から映像データと共に配信された、ダウンロード映像再生用ソフトSoftとその署名Soft_Sig及びフィンガプリントＦＰ_softが一組として保存される。
【００４７】
一方、再生ソフトを有していないクライアント端末１０′は、以下のように構成される。図８はその機能構成を示すブロック図である。すなわち、このクライアント端末１０′は、ダウンロードデータの記憶部１０１′を備えている。この記憶部１０１′は例えばハードディスクを記憶媒体として使用したもので、この記憶媒体には上記クライアント端末３から例えばＵＳＢメモリを用いて映像データ等が移されるごとに作成される複数のデータ用のフォルダＦＤ(1) 〜ＦＤ(N) と、再生ソフト用のフォルダＦＤSと、鍵フォルダＦＤKが記憶される。上記データ用のフォルダＦＤ(1) 〜ＦＤ(N) にはそれぞれ、クライアント端末３′から移された映像データとその署名及びフィンガプリントが一組として保存される。また再生ソフト用のフォルダＦＤSには、上記クライアント端末３′から移されたダウンロード映像再生用ソフトSoftとその署名Soft_Sig及びフィンガプリントＦＰ_softが一組として保存される。鍵フォルダＦＤK には、記録ディスクＤＫ２から読み込んだ、ソフト用公開鍵P_key_softと、データ用公開鍵P_key(1) 〜P_key(N) が保存される。
【００４８】
なお、署名Soft_Sig付ダウンロード映像再生用ソフトSoftと、公開鍵P_key_SoftのフィンガプリントＦＰ_softは、工場において以下のように作成される。図９はその処理手順と処理内容を示す図である。
すなわち、工場には署名付加装置１１が用意されている。署名付加装置１１は、署名生成部１１１と、合成部１２１とを備える。署名生成部１１１は、ダウンロード映像再生用ソフトSoftのハッシュ値を算出し、この算出されたハッシュ値を予め用意されたソフト用秘密鍵S_key_Softを用いて暗号化することにより署名Soft_Sigを生成する。また、署名Soft_Sigを生成するために使用したソフト用秘密鍵S_key_Softと対をなす公開鍵P_key_Softのハッシュ値を算出し、この算出されたハッシュ値をソフト用のフィンガプリントＦＰ_softとする。
【００４９】
合成部１２１は、上記署名生成部１１１により生成された署名Soft_Sigをダウンロード映像再生用ソフトSoftに付加し、さらにこれに上記ソフト用秘密鍵S_key_Soft と対をなすソフト用公開鍵P_key_SoftのフィンガプリントＦＰ_softを付加する。そして、映像蓄積装置２１′〜２Ｎ′の出荷時に、上記署名Soft_Sigが付加されたダウンロード映像再生用ソフトSoftと、ソフト用公開鍵P_key_SoftのフィンガプリントＦＰ_softを一組として、映像蓄積装置２１′〜２Ｎ′のソフト記憶部９に格納する。
【００５０】
また工場では、上記ソフト用公開鍵P_key_Softと、映像蓄積装置２１′〜２Ｎ′が映像データに署名を付加するために使用するデータ用秘密鍵S_key(1) 〜S_key(N) と対をなす公開鍵P_key(1) 〜P_key(N) をＣＤ−ＲＯＭ等の記録ディスクＤＫ２に書き込み、この記録ディスクＤＫ２をユーザに頒布する。
【００５１】
次に、以上のように構成された監視システムの動作を説明する。
クライアント端末３′から映像データの配信要求を受信すると、映像蓄積装置２１′は以下のように映像データの配信処理を実行する。図１０はその処理手順と処理内容を示すフローチャートである。
【００５２】
すなわち、映像蓄積装置２１′は先ずステップＳＴ１０１において、配信対象の映像データStream(1) を記憶部５〜７から選択的に読み出し、この読み出した映像データStream(1) のハッシュ値を計算する。そして、ステップＳＴ１０２により、上記計算された映像データStream(1) のハッシュ値を秘密鍵S_key(1) を用いて暗号化して、映像データStream(1) の署名Stream_Sig(1) を生成する。映像蓄積装置２１′は次に、ステップＳＴ１０３において、上記秘密鍵S_key(1) と対をなす公開鍵P_key(1) を内部メモリから読み出す。そして、この公開鍵P_key(1) のハッシュ値を計算し、この計算されたハッシュ値をフィンガプリントＦＰ(1) とする。
【００５３】
さて、そうして映像データStream(1) に対する署名Stream_Sig(1) 及びフィンガプリントＦＰ(1) の生成が終了すると映像蓄積装置２１′は、ステップＳＴ１０４において、上記生成された署名Stream_Sig(1) 及びフィンガプリントＦＰ(1)を映像データStream(1) に付加する。そして、この署名Stream_Sig(1) 及びフィンガプリントＦＰ(1) が付加された映像データStream(1) と、ソフト記憶部９から読み出した、署名Soft_Sig及びフィンガプリントＦＰ_softが付加されたダウンロード映像再生用ソフトSoftを、要求元のクライアント端末３′へ向け送信する。
【００５４】
上記映像蓄積装置２１′から映像データ等が配信されると、クライアント端末３′はダウンロードデータを保存するためのフォルダＦＤ(1) を新たに作成する。そして、このフォルダＦＤ(1) に、上記映像蓄積装置２１′から配信された、映像データStream(1) とその署名Stream_Sig(1) 及びフィンガプリントＦＰ(1) を格納する。また、同時に映像蓄積装置２１′から配信されたダウンロード映像再生用ソフトSoft とその署名Soft_Sig、及びフィンガプリントＦＰ_softを、再生ソフト用のフォルダＦＤSに格納する。
【００５５】
以後同様に映像蓄積装置２１′は、クライアント端末３′から映像データの配信要求が到来するごとに、映像データStream(1) に対しデータ用秘密鍵S_key(1) を用いて署名Stream_Sig(1)を付加し、さらにそれに対応する公開鍵P_Key(1) のフィンガプリントＦＰ(1) を生成して、これらを一組として要求元のクライアント端末３′へ向け送信する。一方、クライアント端末３′は、上記映像蓄積装置２１′から配信された映像データStream(1) とその署名Stream_Sig(1) 及びフィンガプリントＦＰ(1) を一組としてフォルダＦＤ(1) に保存する。
【００５６】
また、他の映像蓄積装置２２′〜２Ｎ′においても同様に、映像データStream(2)〜Stream(N)に署名Stream_Sig(2)〜Stream_Sig(N)及びフィンガプリントＦＰ(2)〜ＦＰ(N)が付加されて、これらが一組として要求元のクライアント端末３′へ配信される。クライアント端末３′では、上記映像蓄積装置２２′〜２Ｎ′から配信された映像データStream(2)〜Stream(N)とその署名Stream_Sig(2)〜Stream_Sig(N)及びフィンガプリントＦＰ(2)〜ＦＰ(N)がそれぞれ一組として別々のフォルダＦＤ(2) 〜ＦＤ(N) に保存される。
【００５７】
すなわち、配信元が映像蓄積装置２１′であっても、また他の映像蓄積装置２２′〜２Ｎ′であっても、上記２回目以降の映像データを配信する場合には、再生ソフト用のフォルダＦＤSには１回目の映像データ配信のときに配信されたダウンロード映像再生用ソフトSoft とその署名Soft_Sig、及びフィンガプリントＦＰ_softが既に格納されているため、ダウンロード映像再生用ソフトSoft は配信されない。
【００５８】
さて、上記クライアント端末３′に保存された映像データを、ユーザが再生ソフトがインストールされていない他のクライアント端末１０′で再生しようとする場合には、次のように行われる。
すなわち、ユーザは先ずクライアント端末３′の記憶部３１′に保存された映像データを、フォルダ単位で例えばＵＳＢメモリを用いてクライアント端末１０′のデータ用のフォルダに移す。またそれと共に、クライアント端末３′の再生ソフト用のフォルダＦＤS に格納されているダウンロード映像再生用ソフトSoft を、同様にＵＳＢメモリを用いてクライアント端末１０′の再生ソフト用のフォルダＦＤS に移す。さらに、記録ディスクＤＫ２に記録されたソフト用公開鍵P_key_Soft及び公開鍵P_key(1) 〜P_key(N) を読み込んで、鍵フォルダＦＤKに保存させる。
【００５９】
そして、この状態でユーザがクライアント端末１０′において映像データの再生操作を行ったとする。そうするとクライアント端末１０′では次のように再生制御が実行される。図１１及び図１２はその処理手順と処理内容を示すフローチャートである。
すなわち、クライアント端末１０′は先ずステップＳＴ１１１により、鍵フォルダＦＤKからソフト用公開鍵P_key_Softを読み込む。そして、ステップＳＴ１１２により上記鍵フォルダＦＤKにソフト用公開鍵P_key_Softが保存されていたか否かを判定し、保存されていなければ図１２のステップＳＴ１２４に移行して、ここで「公開鍵が見つかりませんでした」なるメッセージをディスプレイに表示させる。
【００６０】
これに対し、上記鍵フォルダＦＤKにソフト用公開鍵P_key_Softが保存されていたとする。この場合クライアント端末１０′はステップＳＴ１１３に移行し、読み込んだソフト用公開鍵P_key_Softについてそのハッシュ値を計算する。つまり、ソフト用公開鍵P_key_Softのフィンガプリントを求める。
【００６１】
次にクライアント端末１０′は、ステップＳＴ１１４において再生ソフト用のフォルダＦＤSからフィンガプリントＦＰ_softを読み出し、この読み出したフィンガプリントＦＰ_softを上記計算により求めた各フィンガプリントと比較する。そして、計算により求めたフィンガプリントが上記読み出したフィンガプリントＦＰ_soft と一致するか否かを判定する。
【００６２】
この判定の結果、フィンガプリントが一致しなければ、図１２に示すステップＳＴ１２２に移行し、ここで上記鍵フォルダＦＤKに保存されたソフト用公開鍵P_key_Softは前記ダウンロード映像再生ソフトSoftの署名生成に使用した秘密鍵S_Key_Softと対をなすものではないと判断し、ステップＳＴ１２３により「公開鍵が正しくない可能性があります、正しい鍵を設定してください」なるメッセージをディスプレイに表示させる。
【００６３】
一方、上記計算により求めたフィンガプリントが上記読み出したフィンガプリントＦＰ_softと一致したとする。そうするとクライアント端末１０′は、ダウンロード映像再生用ソフトSoftの署名検証処理を次のように実行する。
すなわち、先ずステップＳＴ１１５において、再生ソフト用のフォルダＦＤSからダウンロード映像再生用ソフトSoftを読み出し、そのハッシュ値を計算する。このとき計算されたハッシュ値を値Ａと呼称する。次にステップＳＴ１１６において、上記ダウンロード映像再生用ソフトSoftに付加された署名Soft_Sigを、上記公開鍵P_key_Softを用いて復号する。この復号後の値を値Ｂと呼称する。そして、ステップＳＴ１１７により上記値Ａと値Ｂが一致するか否かを判定する。
【００６４】
この判定の結果、一致しなければステップＳＴ１２０に移行し、上記ダウンロード映像再生用ソフトSoft に付加された署名Soft_Sig は無効と判断する。そして、ステップＳＴ１２１に移行して、ここで「再生ソフトが改ざんされた可能性があります」なるメッセージを生成してディスプレイに表示させ、そのまま制御を終了する。すなわち、映像データの署名検証処理に移行せずにそのまま制御を終了する。
【００６５】
これに対し、上記値Ａと値Ｂが一致したとする。この場合クライアント端末１０′は、ステップＳＴ１１８により上記ダウンロード映像再生用ソフトSoft に付加された署名Soft_Sig は有効と判断し、ステップＳＴ１１９に移行してここで「再生ソフトの改ざんはありませんでした」なるメッセージを生成してディスプレイに表示させる。
【００６６】
上記ダウンロード映像再生用ソフトSoft に付加された署名Soft_Sig の正当性が確認されると、クライアント端末１０′は次に映像データStream(1) の署名検証処理を実行する。
すなわち、図１２のステップＳＴ１２５において、映像蓄積装置２１′からダウンロードした、映像用の公開鍵のフィンガプリントがクライアント端末１０′が持っている公開鍵のフィンガプリント（最大Ｎ個）のどれと一致するかを調べる。そして、一致する場合には、図１２のステップＳＴ１２６において、データ用のフォルダＦＤ(1) から再生対象の映像データStream(1) を読み出し、そのハッシュ値を計算する。このとき計算されたハッシュ値を値Ａと呼称する。次にステップＳＴ１２７において、上記データ用のフォルダＦＤ(1) から再生対象の映像データStream(1) に付加された署名Stream_Sig(1) を読み出し、この署名Stream_Sig(1) を上記フィンガプリントが一致したデータ用公開鍵P_key(1) を用いて復号する。この復号後の値を値Ｂと呼称する。そして、ステップＳＴ１２８により上記値Ａと値Ｂが一致するか否かを判定する。
【００６７】
一方、上記ステップＳＴ１２５において、どれとも一致しなかった場合には、ステップＳＴ１３３に移行し、映像データの署名作成に用いた秘密鍵と検証に用いた公開鍵とはペアではないと判断し、ステップＳＴ１３４に移行して「公開鍵は正しくない可能性があります。正しい鍵を設定してください」なるメッセージを生成してディスプレイに表示させ、制御を終了する。すなわち、映像データの再生処理を行わずに制御を終了する。
【００６８】
この判定の結果、一致しなければステップＳＴ１３１に移行し、上記再生対象の映像データStream(1) に付加された署名Stream_Sig(1) は無効と判断する。そして、ステップＳＴ１３２に移行して、ここで「映像データが改ざんされた可能性があります。」なるメッセージを生成してディスプレイに表示させ、そのまま制御を終了する。すなわち、映像データの再生処理を行わずにそのまま制御を終了する。
【００６９】
これに対し、上記値Ａと値Ｂが一致したとする。この場合クライアント端末１０′は、ステップＳＴ１２９により上記再生対象の映像データStream(1) に付加された署名Stream_Sig(1) は有効と判断し、ステップＳＴ１３０に移行してここで「映像データの改ざんはありませんでした」なるメッセージを生成してディスプレイに表示させる。そして、クライアント端末１０′は以後、上記再生対象の映像データStream(1) の再生処理を実行する。かくして、クライアント端末１０′のディスプレイには上記再生対象の映像データStream(1) が表示され、ユーザはこの表示を視認することにより監視対象の様子を確認することが可能となる。
【００７０】
以上述べたように第２の実施形態では次のように構成している。すなわち、映像蓄積装置２１′〜２Ｎ′からクライアント端末３′へ映像データを配信する際に、映像蓄積装置２１′〜２Ｎ′において上記映像データStreamに対しデータ用秘密鍵S_Keyを用いて生成した署名Stream_Sigを付加すると共に上記データ用秘密鍵S_Keyと対をなす公開鍵P_KeyのフィンガプリントＦＰを付加し、これらを署名Soft_Sig付のダウンロード映像再生用ソフトSoft及びフィンガプリントＦＰ_softと共に、要求元のクライアント端末３′へ向け配信する。クライアント端末３′では、上記配信された映像データStreamとその署名Stream_Sigをデータ用のフォルダＦＤに保存すると共に、ダウンロード映像再生用ソフトsoftとその署名Soft_Sig及びフィンガプリントＦＰ_softを再生ソフト用のフォルダＦＤSに格納する。そして、上記配信された映像データStreamを、再生ソフトがインストールされていない他のクライアント端末１０′に移して再生しようとする場合に、クライアント端末１０′において先ず上記ダウンロード映像再生用ソフトsoftの署名Soft_Sigを検証し、その正当性が確認された場合に映像データStreamの署名Stream_Sigを検証して再生を行うようにしている。
【００７１】
したがって、前記第１の実施形態と同様に、再生ソフトがインストールされていないクライアント端末１０′が映像データStreamを再生する際には、先ず当該映像データStreamと共にダウンロードされたダウンロード映像再生用ソフトSoftの署名Soft_Sigが検証され、その結果ダウンロード映像再生用ソフトSoftの正当性が確認された場合にのみ映像データStreamの署名検証が行われ、その正当性が確認された場合に当該映像データStreamが上記ダウンロード映像再生用ソフトSoftにより再生される。このため、仮に悪意を持つ第三者が、ダウンロード映像再生用ソフトSoftを改ざんした上で他のクライアント端末１０′において映像データStreamを再生しようとしても、映像データStreamの再生は行われない。すなわち、映像データStreamのみならずダウンロード映像再生用ソフトSoftに対する改ざんについても検出可能とし、これによりダウンロード映像再生用ソフトSoftの改ざんによる映像データStreamの無制限な再生を確実に防止することができる。
【００７２】
また、映像蓄積装置２２′〜２Ｎ′から２回目以降の映像データを配信する場合には、キライアント端末３′の再生ソフト用のフォルダＦＤSには１回目の映像データ配信のときに配信されたダウンロード映像再生用ソフトSoft とその署名Soft_Sig、及びフィンガプリントＦＰ_softが既に格納されているため、ダウンロード映像再生用ソフトSoft は配信されない。したがって、映像データを配信するごとに毎回ダウンロード映像再生用ソフトSoft を配信する場合に比べ、伝送量を減らして通信時間の短縮を図ることができる。
【００７３】
（その他の実施形態）
前記実施形態では、映像データを配信する場合を例にとって説明したが、映像データに限らず音データやテキストデータを配信する場合にも、この発明は適用可能である。また、前記各実施形態では映像データ及びダウンロード映像再生ソフトにそれぞれ署名を付加してその検証を行う場合を例にとって説明したが、メッセージ認証コード（ＭＡＣ；Message Authentication Code）を付加して検証を行う場合にも、この発明は適用可能である。ただし、この場合には秘密鍵及び公開鍵に代えて共通鍵が用いられる。
その他、映像蓄積装置の構成と処理手順及び処理内容、クライアント装置の構成と処理手順及び処理内容等についても、この発明の要旨を逸脱しない範囲で種々変形して実施できる。
【００７４】
要するにこの発明は、上記各実施形態そのままに限定されるものではなく、実施段階ではその要旨を逸脱しない範囲で構成要素を変形して具体化できる。また、上記各実施形態に開示されている複数の構成要素の適宜な組み合せにより種々の発明を形成できる。例えば、各実施形態に示される全構成要素から幾つかの構成要素を削除してもよい。さらに、異なる実施形態に亘る構成要素を適宜組み合せてもよい。
【図面の簡単な説明】
【００７５】
【図１】この発明に係わる監視システムの第１の実施形態を示す概略構成図である。
【図２】図１に示した監視システムにおける映像蓄積装置及びクライアント端末（再生ソフト有り）の機能構成を示すブロック図である。
【図３】図１に示した監視システムにおけるクライアント端末（再生ソフト無し）の機能構成を示すブロック図である。
【図４】図２に示した映像蓄積装置による映像配信制御の処理手順と処理内容を示すフローチャートである。
【図５】図３に示したクライアント端末（再生ソフト無し）による映像再生制御の処理手順と処理内容の前半部分を示すフローチャートである。
【図６】図３に示したクライアント端末（再生ソフト無し）による映像再生制御の処理手順と処理内容の後半部分を示すフローチャートである。
【図７】この発明の第２の実施形態における映像蓄積装置及びクライアント端末（再生ソフト有り）の機能構成を示すブロック図である。
【図８】この発明の第２の実施形態におけるクライアント端末（再生ソフト無し）の機能構成を示すブロック図である。
【図９】図７に示した映像蓄積装置に与える再生用アプリケーション・プログラムの作成手法と、図８に示したクライアント端末（再生ソフト無し）が使用する公開鍵が記憶された記録ディスクの構成を示す図である。
【図１０】図７に示した映像蓄積装置による映像配信制御の処理手順と処理内容を示すフローチャートである。
【図１１】図８に示したクライアント端末（再生ソフト無し）による映像再生制御の処理手順と処理内容の前半部分を示すフローチャートである。
【図１２】図８に示したクライアント端末（再生ソフト無し）による映像再生制御の処理手順と処理内容の後半部分を示すフローチャートである。
【符号の説明】
【００７６】
１…ネットワークカメラ、２，２１〜２Ｎ，２１′〜２Ｎ′…映像蓄積装置、３，３′…クライアント端末（再生ソフト有り）、４…通信ネットワーク、５，６，７…映像記憶部、８…再生ソフト記憶部、９…ダウンロード映像用再生ソフト記憶部、１０，１０′…クライアント端末（再生ソフト無し）、１１…署名付加装置、２１１〜２１Ｎ…ダウンロード映像用再生ソフトに対する署名生成部、２２１〜２２Ｎ，２４１〜２４Ｎ…映像に対する署名生成部、２３１〜２３Ｎ，２５１〜２５Ｎ…配信部、３１…クライアント端末（再生ソフト有り）の記憶部、１０１…クライアント端末（再生ソフト無し）の記憶部、ＤＫ１，ＤＫ２…公開鍵記録用の記録ディスク。
【技術分野】
【０００１】
この発明は、例えば施設や河川等の状態をカメラ等を用いて遠隔監視する監視システムに関する。
【背景技術】
【０００２】
遠隔監視システムは、例えば監視対象の複数のサイトにネットワークカメラ等の撮像装置を配置し、これらの撮像装置で撮像された時系列の監視映像データを映像蓄積装置で受信して蓄積する。そして、クライアント端末からの配信要求に応じて、上記映像蓄積装置が該当する監視映像データを読み出して上記要求元のクライアント端末へ配信し、当該クライアント端末において上記配信された監視映像データを再生するように構成される（例えば、特許文献１を参照。）。
【特許文献１】特開２００５−１４３０１６号公報
【発明の開示】
【発明が解決しようとする課題】
【０００３】
ところで、最近監視データの改ざんを防止してその正当性を維持するために、監視データに署名やメッセージ認証コードなどの認証情報を付加する対策が採られている。しかしながら、仮に悪意を持つ第三者が、クライアント端末にインストールされている監視データ再生用のアプリケーション・プログラムを他の端末にコピーし、その際当該プログラムが有している監視データに対する認証チェック機能を無効にしたとすると、上記他の端末では監視データの改ざんチェックが行われないことになり、その結果監視データの正当性が担保されなくなる。
【０００４】
この発明は上記事情に着目してなされたもので、その目的とするところは、監視データのみならず監視データ再生用のアプリケーション・プログラムに対する改ざんも検出可能とした監視システムを提供することにある。
【課題を解決するための手段】
【０００５】
上記目的を達成するためにこの発明の一観点は、監視データを蓄積する監視データ蓄積装置と、この監視データ蓄積装置から通信ネットワークを介して配信された監視データを受信し再生する端末装置とを備える監視システムにあって、
上記監視データ蓄積装置において、上記監視データ及び当該監視データを再生するために使用するアプリケーション・プログラムに対しそれぞれ第１の鍵情報を用いて生成される認証情報を付加し、この認証情報が付加された監視データ及び再生用アプリケーション・プログラムを上記通信ネットワークを介して上記端末装置へ送信する。
【０００６】
一方、上記端末装置においては、上記監視データ蓄積装置から送信された、上記認証情報が付加された監視データ及び再生用アプリケーション・プログラムを受信しメモリに記憶すると共に、上記第１の鍵情報に対応する第２の鍵情報を取得する。そして、上記受信された監視データの再生に先立ち、上記メモリに記憶された再生用アプリケーション・プログラムに付加された認証情報に対し、上記第２の鍵情報をもとに第１の検証処理を行い、この第１の検証処理の結果、上記再生用アプリケーション・プログラムに対する正当性が確認された場合に、上記記憶された監視データに付加された認証情報に対し、上記第２の鍵情報をもとに第２の検証処理を行い、この第２の検証処理の結果上記監視データに対する正当性が確認された場合に、上記再生用アプリケーション・プログラムにより当該監視データの再生処理を実行するように構成したものである。
【発明の効果】
【０００７】
したがってこの発明によれば、端末装置が監視データを再生する際には、先ず当該監視データと共に監視データ蓄積装置からダウンロードされた再生用アプリケーション・プログラムに対し署名またはメッセージ認証コード等の認証情報を用いた検証処理が行われる。そして、この検証の結果再生用アプリケーション・プログラムの正当性が確認された場合にのみ上記監視データの署名が検証され、その正当性が確認された場合に、上記再生用アプリケーション・プログラムにより上記監視データの再生が行われる。このため、仮に悪意を持つ第三者が、再生用アプリケーション・プログラムを改ざんした上で他の端末に移して監視データを再生しようとしても、再生用アプリケーション・プログラムに対する検証処理により改ざんが認められた場合には監視データに対する認証チェックが行われず、その結果監視データの再生は行われない。
【０００８】
すなわち、監視データのみならず再生用アプリケーション・プログラムに対する改ざんについても検出可能とし、これにより再生用アプリケーション・プログラムの改ざんによる監視データの無制限な再生を確実に防止することが可能な監視システムを提供することができる。
【発明を実施するための最良の形態】
【０００９】
以下、図面を参照してこの発明の実施形態を説明する。
（第１の実施形態）
図１は、この発明に係わる監視システムの第１の実施形態を示す概略構成図である。この監視システムは、監視場所に設置されたネットワークカメラ１と、クライアントが使用するクライアント端末３と、これらのネットワークカメラ１及びクライアント端末３が通信ネットワーク４を介して接続される映像蓄積装置２とを備えている。
【００１０】
ネットワークカメラ１はカメラ部と通信インタフェース部とを有し、監視対象をカメラ部により連続的に又は一定時間置きに撮像し、その映像データを通信インタフェース部により通信ネットワーク４を介して映像蓄積装置２へ送信する。
【００１１】
映像蓄積装置２は例えば蓄積配信機能を有するサーバ装置からなり、上記ネットワークカメラ１から送られた映像データを映像記憶部５に記憶する。なお、映像蓄積装置２は他に映像記憶部６，７を有しており、このうち映像記憶部６には上記映像記憶部５に記憶された映像データのうち過去の映像データが転送されて蓄積され、また映像記憶部７には他のネットワークカメラから送られた映像データが記憶される。
【００１２】
また映像蓄積装置２は、アプリケーション記憶部９を有しており、このアプリケーション記憶部９には、クライアント端末３が上記映像データをダウンロードして再生するために使用するアプリケーション・プログラム（以後、ダウンロード映像再生用ソフトと称する）が記憶されている。映像蓄積装置２は、クライアント端末３からの送信要求に応じて上記映像データを要求元のクライアント端末３へダウンロードする際に、上記ダウンロード映像再生用ソフトを併せてダウンロードする。
【００１３】
クライアント端末３は例えばパーソナル・コンピュータからなり、上記映像蓄積装置２からダウンロードされた映像データ及びダウンロード映像再生用ソフトを対にしてフォルダに保存する。またクライアント端末３は、事前にインストールされた映像再生用のアプリケーション・プログラム（以後、再生ソフトと称する）を再生ソフト記憶部８に記憶しており、上記フォルダに記憶された映像データを当該再生ソフトにより再生する。
【００１４】
なお、図中１０は例えば第三者が使用するクライアント端末であり、再生ソフトが事前にインストールされていない。このクライアント端末１０において上記監視映像データを再生する場合には、上記クライアント端末３から再生しようとする監視映像データと、この映像データに対応するダウンロード映像再生用ソフトとをロードする。そして、このロードしたダウンロード映像再生用ソフトについて署名の検証を行った上で、当該ロードしたダウンロード映像再生用ソフトを用いて映像データを再生する。
【００１５】
図２は、上記映像蓄積装置２及びクライアント端末３の、この発明に係わる要部の機能構成を示すブロック図である。現実のシステムでは映像蓄積装置２は複数台用いられるので、同図では複数の映像蓄積装置２１〜２Ｎを例示している。なお、映像蓄積装置２１〜２Ｎの構成は同一なので、ここでは映像蓄積装置２１のみについて説明する。
【００１６】
映像蓄積装置２１は、署名生成部２１１，２２１及び配信部２３１を備える。署名生成部２２１は、配信対象の監視映像データに対しディジタル署名を付加するもので、記憶部５〜７から選択的に読み出された映像データStream(1) のハッシュ値を算出し、この算出されたハッシュ値を予め用意された秘密鍵S_key(1) を用いて暗号化することにより署名Stream_Sig(1) を生成する。署名生成部２１１は、ダウンロード映像再生用ソフトに対しディジタル署名を付加するもので、ソフト記憶部９から読み出されたダウンロード映像再生用ソフトSoft(1) のハッシュ値を求め、この算出されたハッシュ値を上記映像データの署名を生成するために使用した秘密鍵と同一の秘密鍵S_key(1) を用いて暗号化することにより署名Soft_Sig(1) を生成する。
【００１７】
配信部２３１は、上記署名生成部２２１により生成された署名Stream_Sig(1) を映像データStream(1) に付加すると共に、上記署名生成部２１１により生成された署名Soft_Sig(1) をダウンロード映像再生用ソフトSoft(1) に付加する。そして、それぞれ署名Stream_Sig(1) ，Soft_Sig(1) が付加された映像データStream(1) 及びダウンロード映像再生用ソフトSoft(1) を、上記秘密鍵S_key(1) と対をなす公開鍵P_key(1) のハッシュ値（フィンガプリント）ＦＰを付加フィンガプリントＦＰと共に、要求元のクライアント端末３へ向け配信する。
【００１８】
クライアント端末３は、再生ソフト記憶部８と、ダウンロードデータの記憶部３１を備えている。ダウンロードデータの記憶部３１は例えばハードディスクを記憶媒体として使用したもので、この記憶媒体には映像データがダウンロードされるごとに作成された複数のフォルダＦＤ(1) 〜ＦＤ(N) が設けられる。これらのフォルダＦＤ(1) 〜ＦＤ(N) にはそれぞれ、映像蓄積装置２１〜２Ｎからダウンロードされた映像データとその署名、ダウンロード映像再生用ソフトとその署名、及びフィンガプリントＦＰが一組として保存される。
【００１９】
一方、再生ソフトを有していないクライアント端末１０は、以下のように構成される。図３はその機能構成を示すブロック図である。すなわち、このクライアント端末１０は、ダウンロードデータの記憶部１０１を備えている。この記憶部１０１は例えばハードディスクを記憶媒体として使用したもので、この記憶媒体には上記クライアント端末３から例えばＵＳＢメモリを用いて映像データ等が移されるごとに作成された複数のフォルダＦＤ(1) 〜ＦＤ(N) と、鍵フォルダＦＤKが設けられる。上記フォルダＦＤ(1) 〜ＦＤ(N) にはそれぞれ、上記クライアント端末３から移された映像データとその署名、ダウンロード映像再生用ソフトとその署名、及びフィンガプリントＦＰが一組として保存される。また鍵フォルダＦＤKには、記録ディスクＤＫ１から読み込んだ公開鍵P_key(1) 〜P_key(N) が保存される。
【００２０】
なお、上記映像蓄積装置２１〜２Ｎが署名を生成するために使用する秘密鍵S_key(1) 〜S_key(N) と、上記クライアント端末１０が署名を検証するために使用する公開鍵P_key(1) 〜P_key(N) は、工場出荷時に監視システムのメーカが、或いは監視システムのシステム管理者が、鍵発行ツールを使用して発行する。そして、この発行された秘密鍵S_key(1) 〜S_key(N) 及び公開鍵P_key(1) 〜P_key(N) は、映像蓄積装置２１〜２Ｎ内に設けられたセキュアなメモリに記憶される。一方、公開鍵P_key(1) 〜P_key(N) はＣＤ−ＲＯＭ等の記録ディスクＤＫ１に書き込まれて、クライアント端末１０内にインストールされる。
【００２１】
次に、以上のように構成された監視システムの動作を説明する。
クライアント端末３から映像データの配信要求を受信すると、映像蓄積装置２１は以下のように映像データの配信処理を実行する。図４はその処理手順と処理内容を示すフローチャートである。
【００２２】
すなわち、映像蓄積装置２１は先ずステップＳＴ４１において、配信対象の映像データStream(1) を記憶部５〜７から選択的に読み出し、この読み出した映像データStream(1) のハッシュ値を計算する。そして、ステップＳＴ４２により、上記計算された映像データStream(1) のハッシュ値を秘密鍵S_key(1) を用いて暗号化して、映像データStream(1) の署名Stream_Sig(1) を生成する。
【００２３】
映像蓄積装置２１は次に、ステップＳＴ４３においてソフト記憶部９からダウンロード映像再生用ソフトSoft(1) を読み出し、この読み出したダウンロード映像再生用ソフトSoft(1) のハッシュ値を計算する。そして、ステップＳＴ４４において、上記計算されたダウンロード映像再生用ソフトSoft(1) のハッシュ値を、上記映像データStream(1) の署名Stream_Sig(1) を生成するために用いた秘密鍵と同じ秘密鍵S_key(1) を用いて暗号化し、これによりダウンロード映像再生用ソフトSoft(1) の署名Soft_Sig(1) を生成する。
続いて映像蓄積装置２１は、ステップＳＴ４５において、上記秘密鍵S_key(1) と対をなす公開鍵P_key(1) を内部メモリから読み出す。そして、この公開鍵P_key(1) のハッシュ値を計算し、この計算されたハッシュ値をフィンガプリントＦＰとする。
【００２４】
さて、そうして署名及びフィンガプリントの生成が終了すると映像蓄積装置２１は、ステップＳＴ４６において、上記生成された署名Stream_Sig(1) を映像データStream(1) に付加すると共に、署名Soft_Sig(1) をダウンロード映像再生用ソフトSoft(1) に付加する。そして、上記映像データStream(1)とその署名Stream_Sig(1)、ダウンロード映像再生用ソフトSoft(1)とその署名Soft_Sig(1) 、及び上記公開鍵P_key(1) のフィンガプリントＦＰを、要求元のクライアント端末３へ向け送信する。
【００２５】
上記映像蓄積装置２１から映像データ等が配信されると、クライアント端末３はダウンロードデータを保存するためのフォルダＦＤ(1) を新たに作成する。そして、このフォルダＦＤ(1) に、上記映像蓄積装置２１から配信された、映像データStream(1) とその署名Stream_Sig(1) 、ダウンロード映像再生用ソフトSoft(1) とその署名Soft_Sig(1) 、及びフィンガプリントＦＰを、一組として保存する。
【００２６】
以後同様に映像蓄積装置２１は、クライアント端末３から映像データの配信要求が到来するごとに、映像データStream(1) 及びダウンロード映像再生用ソフトSoft(1) に対しそれぞれ共通の秘密鍵S_key(1) を用いて署名を付加し、さらに公開鍵のフィンガプリントを生成して、これらを一組として要求元のクライアント端末３へ向け送信する。一方、クライアント端末３は、上記映像蓄積装置２１から配信された映像データ等を一組としてフォルダに保存する。なお、他の映像蓄積装置２２〜２Ｎにおいても同様の動作が行われ、クライアント端末３では上記映像蓄積装置２２〜２Ｎから配信された映像データ等がそれぞれ一組として別々のフォルダに保存される。
【００２７】
さて、上記クライアント端末３に保存された映像データを、ユーザが再生ソフトがインストールされていない他のクライアント端末１０で再生しようとする場合には、次のように行われる。
すなわち、ユーザは先ずクライアント端末３に保存された映像データ等をフォルダ単位で例えばＵＳＢメモリに一旦記憶させ、このＵＳＢメモリを介して上記映像データ等をクライアント端末１０のフォルダに記憶させる。また、記録ディスクＤＫ１に記録された公開鍵P_key(1) 〜P_key(N) を読み込んで、鍵フォルダＦＤK に保存させる。
【００２８】
そして、この状態でユーザがクライアント端末１０において映像データの再生操作を行ったとする。そうするとクライアント端末１０では次のように再生制御が実行される。図５及び図６はその処理手順と処理内容を示すフローチャートである。
すなわち、クライアント端末１０は先ずステップＳＴ５１により、鍵フォルダＦＤKから公開鍵P_key(1) 〜P_key(N) を読み込む。そして、ステップＳＴ５２により上記鍵フォルダＦＤKに公開鍵が保存されていたか否かを判定し、保存されていなければ図６のステップＳＴ６４に移行して、ここで「公開鍵が見つかりませんでした」なるメッセージをディスプレイに表示させる。
【００２９】
これに対し、上記鍵フォルダＦＤKに公開鍵が保存されていたとする。この場合クライアント端末１０はステップＳＴ５３に移行し、読み込んだ公開鍵P_key(1)〜P_key(N)の各々についてそのハッシュ値を計算する。つまり、公開鍵P_key(1)〜P_key(N)の各フィンガプリントを求める。
【００３０】
次にクライアント端末１０は、ステップＳＴ５４において再生対象の映像データが保存されたフォルダＦＤ(1) からフィンガプリントＦＰを読み出し、この読み出したフィンガプリントＦＰを上記計算により求めた各フィンガプリントと比較する。そして、計算により求めた各フィンガプリントの中に上記読み出したフィンガプリントＦＰと一致するフィンガプリントがあるか否かを判定する。
【００３１】
この判定の結果、一致するフィンガプリントが見つからなければ、図６に示すステップＳＴ５２に移行し、ここで上記鍵フォルダＦＤKに保存された公開鍵は前記映像データの署名生成に使用した秘密鍵と対をなすものではないと判断し、ステップＳＴ６３により「公開鍵が正しくない可能性があります、正しい鍵を設定してください。」なるメッセージをディスプレイに表示させる。
【００３２】
一方、上記計算により求めた各フィンガプリントの中に、上記読み出したフィンガプリントＦＰと一致するフィンガプリントが見つかったとする。そうするとクライアント端末１０は、ダウンロード映像再生用ソフトの署名検証処理を次のように実行する。
すなわち、先ずステップＳＴ５５において、再生対象の映像データが保存されたフォルダＦＤ(1) からダウンロード映像再生用ソフトSoft(1) を読み出し、そのハッシュ値を計算する。このとき計算されたハッシュ値を値Ａと呼称する。次にステップＳＴ５６において、上記再生対象の映像データが保存されたフォルダＦＤ(1) からダウンロード映像再生用ソフトSoft(1) に付加された署名Soft_Sig(1) を読み出し、この署名Soft_Sig(1) を上記フィンガプリントが一致した公開鍵P_key(1) を用いて復号する。この復号後の値を値Ｂと呼称する。そして、ステップＳＴ５７により上記値Ａと値Ｂが一致するか否かを判定する。
【００３３】
この判定の結果、一致しなければステップＳＴ６０に移行し、上記ダウンロード映像再生用ソフトSoft(1) に付加された署名Soft_Sig(1) は無効と判断する。そして、ステップＳＴ６１に移行して、ここで「再生ソフトが改ざんされた可能性があります。」なるメッセージを生成してディスプレイに表示させ、そのまま制御を終了する。すなわち、映像データの署名検証処理に移行せずにそのまま制御を終了する。
【００３４】
これに対し、上記値Ａと値Ｂが一致したとする。この場合クライアント端末１０は、ステップＳＴ５８により上記ダウンロード映像再生用ソフトSoft(1) に付加された署名Soft_Sig(1) は有効と判断し、ステップＳＴ５９に移行してここで「再生ソフトの改ざんはありませんでした」なるメッセージを生成してディスプレイに表示させる。
【００３５】
上記ダウンロード映像再生用ソフトSoft(1) に付加された署名Soft_Sig(1) の正当性が確認されると、クライアント端末１０は次に映像データStream(1) の署名検証処理を実行する。
すなわち、先ず図６に示すステップＳＴ６５において、フォルダＦＤ(1) から再生対象の映像データStream(1) を読み出し、そのハッシュ値を計算する。このとき計算されたハッシュ値を値Ａと呼称する。次にステップＳＴ６６において、上記フォルダＦＤ(1) から再生対象の映像データStream(1) に付加された署名Stream_Sig(1) を読み出し、この署名Stream_Sig(1) を上記フィンガプリントが一致した公開鍵P_key(1) を用いて復号する。この復号後の値を値Ｂと呼称する。そして、ステップＳＴ６７により上記値Ａと値Ｂが一致するか否かを判定する。
【００３６】
この判定の結果、一致しなければステップＳＴ７０に移行し、上記再生対象の映像データStream(1) に付加された署名Stream_Sig(1) は無効と判断する。そして、ステップＳＴ７１に移行して、ここで「映像データが改ざんされた可能性があります。」なるメッセージを生成してディスプレイに表示させ、そのまま制御を終了する。すなわち、映像データの再生処理を行わずにそのまま制御を終了する。
【００３７】
これに対し、上記値Ａと値Ｂが一致したとする。この場合クライアント端末１０は、ステップＳＴ６８により上記再生対象の映像データStream(1) に付加された署名Stream_Sig(1) は有効と判断し、ステップＳＴ６９に移行してここで「映像データの改ざんはありませんでした。」なるメッセージを生成してディスプレイに表示させる。そして、クライアント端末１０は以後、上記再生対象の映像データStream(1) の再生処理を実行する。かくして、クライアント端末１０のディスプレイには上記再生対象の映像データStream(1) が表示され、ユーザはこの表示を視認することにより監視対象の様子を確認することが可能となる。
【００３８】
以上述べたように第１の実施形態では、映像蓄積装置２１〜２Ｎからクライアント端末３へ映像データを配信する際に、映像蓄積装置２において上記映像データとこの映像データを再生するためのダウンロード映像再生用ソフトに対しそれぞれ共通の秘密鍵を用いて生成した署名を付加すると共に公開鍵のフィンガプリントを付加して配信し、クライアント端末３では上記配信された映像データとその署名、ダウンロード映像再生用ソフトとその署名及びフィンガプリントを一組にしてフォルダに保存する。そして、上記配信された映像データを、再生ソフトがインストールされていない他のクライアント端末１０に移して再生しようとする場合に、クライアント端末１０において先ず上記ダウンロード映像再生用ソフトの署名を検証し、その正当性が確認された場合に映像データの署名を検証して再生を行うようにしている。
【００３９】
したがって、再生ソフトがインストールされていないクライアント端末１０が映像データを再生する際には、先ず当該映像データと共にダウンロードされたダウンロード映像再生用ソフトの署名が検証され、その結果ダウンロード映像再生用ソフトの正当性が確認された場合にのみ映像データの署名検証が行われ、その正当性が確認された場合に当該映像データが上記ダウンロード映像再生用ソフトにより再生される。このため、仮に悪意を持つ第三者が、ダウンロード映像再生用ソフトを改ざんした上で他のクライアント端末１０において映像データを再生しようとしても、映像データの再生は行われない。すなわち、映像データのみならずダウンロード映像再生用ソフトに対する改ざんについても検出可能とし、これによりダウンロード映像再生用ソフトの改ざんによる映像データの無制限な再生を確実に防止することができる。
【００４０】
（第２の実施形態）
この発明の第２の実施形態は、次のように構成したことを特徴とするものである。
すなわち、ダウンロード映像再生用ソフトにソフト用秘密鍵を用いて生成した署名を付加すると共に、当該ソフト用秘密鍵と対をなす公開鍵のフィンガプリントを生成し、この署名が付加されたダウンロード映像再生ソフト及びフィンガプリントを映像蓄積装置に提供する。
【００４１】
映像蓄積装置は、クライアント端末に映像データを配信する際に、映像データに対しデータ用秘密鍵を用いて生成した署名を付加すると共に、このデータ用秘密鍵と対をなす公開鍵のフィンガプリントを生成し、これらをクライアント端末へ配信する。また映像蓄積装置は、最初の映像データ配信時にのみ、上記署名が既に付加されたダウンロード映像再生ソフト及びフィンガプリントを配信する。
【００４２】
再生ソフトがインストールされていない他のクライアント端末は、上記配信された映像データ再生する際に、先ず工場から提供されたソフト用公開鍵を用いてダウンロード映像再生用ソフトの署名を検証する。そして、その正当性が確認された場合に、データ用公開鍵を用いて映像データの署名を検証し、その正当性が確認された場合に上記ダウンロード映像再生用ソフトを用いて映像データを再生する。
【００４３】
図７は、上記映像蓄積装置２′及びクライアント端末３′のこの発明に係わる要部の機能構成を示すブロック図である。現実のシステムでは映像蓄積装置２′は複数台用いられるので、同図では複数の映像蓄積装置２１′〜２Ｎ′を例示している。なお、映像蓄積装置２１′〜２Ｎ′の構成は同一なので、ここでは映像蓄積装置２１′のみについて説明する。
【００４４】
映像蓄積装置２１′は、データ用の署名生成部２４１及び配信部２５１を備える。データ用の署名生成部２４１は、配信対象の監視映像データに対し署名を付加するもので、記憶部５〜７から選択的に読み出された映像データStream(1) のハッシュ値を算出し、この算出されたハッシュ値を予め用意されたデータ用秘密鍵S_key(1) を用いて暗号化することにより署名Stream_Sig(1) を生成する。また、映像蓄積装置２１′のソフト記憶部９には、工場において予め署名Soft_Sigが付加されたダウンロード映像再生用ソフトSoftと、当該署名Soft_Sigを生成するために使用したソフト用秘密鍵S_key_Softと対をなす公開鍵P_key_SoftのフィンガプリントＦＰ_softが記憶されている。
【００４５】
配信部２５１は、上記署名生成部２４１により生成された署名Stream_Sig(1) を映像データStream(1) に付加する。また、上記データ用秘密鍵S_key(1) と対をなす公開鍵P_key(1) のハッシュ値（フィンガプリント）ＦＰ(1) を計算する。そして、上記署名Stream_Sig(1)が付加された映像データStream(1) 及びそのフィンガプリントＦＰ(1) と、上記ソフト記憶部９に記憶された署名Soft_Sig付のダウンロード映像再生用ソフトSoft及びフィンガプリントＦＰ_softを、要求元のクライアント端末３′へ向け配信する。
【００４６】
クライアント端末３′は、再生ソフト記憶部８と、ダウンロードデータの記憶部３１′を備えている。ダウンロードデータの記憶部３１′は例えばハードディスクを記憶媒体として使用したもので、この記憶媒体には映像データがダウンロードされるごとに作成された複数のフォルダＦＤ(1) 〜ＦＤ(N) が設けられる。これらのフォルダＦＤ(1) 〜ＦＤ(N) にはそれぞれ、映像蓄積装置２１′〜２Ｎ′からダウンロードされた映像データとその署名及びフィンガプリントが保存される。また上記記憶部３１′の記憶媒体には、再生ソフト用フォルダＦＤSが設けられる。この再生ソフト用フォルダＦＤSには、上記映像蓄積装置２１′〜２Ｎ′から映像データと共に配信された、ダウンロード映像再生用ソフトSoftとその署名Soft_Sig及びフィンガプリントＦＰ_softが一組として保存される。
【００４７】
一方、再生ソフトを有していないクライアント端末１０′は、以下のように構成される。図８はその機能構成を示すブロック図である。すなわち、このクライアント端末１０′は、ダウンロードデータの記憶部１０１′を備えている。この記憶部１０１′は例えばハードディスクを記憶媒体として使用したもので、この記憶媒体には上記クライアント端末３から例えばＵＳＢメモリを用いて映像データ等が移されるごとに作成される複数のデータ用のフォルダＦＤ(1) 〜ＦＤ(N) と、再生ソフト用のフォルダＦＤSと、鍵フォルダＦＤKが記憶される。上記データ用のフォルダＦＤ(1) 〜ＦＤ(N) にはそれぞれ、クライアント端末３′から移された映像データとその署名及びフィンガプリントが一組として保存される。また再生ソフト用のフォルダＦＤSには、上記クライアント端末３′から移されたダウンロード映像再生用ソフトSoftとその署名Soft_Sig及びフィンガプリントＦＰ_softが一組として保存される。鍵フォルダＦＤK には、記録ディスクＤＫ２から読み込んだ、ソフト用公開鍵P_key_softと、データ用公開鍵P_key(1) 〜P_key(N) が保存される。
【００４８】
なお、署名Soft_Sig付ダウンロード映像再生用ソフトSoftと、公開鍵P_key_SoftのフィンガプリントＦＰ_softは、工場において以下のように作成される。図９はその処理手順と処理内容を示す図である。
すなわち、工場には署名付加装置１１が用意されている。署名付加装置１１は、署名生成部１１１と、合成部１２１とを備える。署名生成部１１１は、ダウンロード映像再生用ソフトSoftのハッシュ値を算出し、この算出されたハッシュ値を予め用意されたソフト用秘密鍵S_key_Softを用いて暗号化することにより署名Soft_Sigを生成する。また、署名Soft_Sigを生成するために使用したソフト用秘密鍵S_key_Softと対をなす公開鍵P_key_Softのハッシュ値を算出し、この算出されたハッシュ値をソフト用のフィンガプリントＦＰ_softとする。
【００４９】
合成部１２１は、上記署名生成部１１１により生成された署名Soft_Sigをダウンロード映像再生用ソフトSoftに付加し、さらにこれに上記ソフト用秘密鍵S_key_Soft と対をなすソフト用公開鍵P_key_SoftのフィンガプリントＦＰ_softを付加する。そして、映像蓄積装置２１′〜２Ｎ′の出荷時に、上記署名Soft_Sigが付加されたダウンロード映像再生用ソフトSoftと、ソフト用公開鍵P_key_SoftのフィンガプリントＦＰ_softを一組として、映像蓄積装置２１′〜２Ｎ′のソフト記憶部９に格納する。
【００５０】
また工場では、上記ソフト用公開鍵P_key_Softと、映像蓄積装置２１′〜２Ｎ′が映像データに署名を付加するために使用するデータ用秘密鍵S_key(1) 〜S_key(N) と対をなす公開鍵P_key(1) 〜P_key(N) をＣＤ−ＲＯＭ等の記録ディスクＤＫ２に書き込み、この記録ディスクＤＫ２をユーザに頒布する。
【００５１】
次に、以上のように構成された監視システムの動作を説明する。
クライアント端末３′から映像データの配信要求を受信すると、映像蓄積装置２１′は以下のように映像データの配信処理を実行する。図１０はその処理手順と処理内容を示すフローチャートである。
【００５２】
すなわち、映像蓄積装置２１′は先ずステップＳＴ１０１において、配信対象の映像データStream(1) を記憶部５〜７から選択的に読み出し、この読み出した映像データStream(1) のハッシュ値を計算する。そして、ステップＳＴ１０２により、上記計算された映像データStream(1) のハッシュ値を秘密鍵S_key(1) を用いて暗号化して、映像データStream(1) の署名Stream_Sig(1) を生成する。映像蓄積装置２１′は次に、ステップＳＴ１０３において、上記秘密鍵S_key(1) と対をなす公開鍵P_key(1) を内部メモリから読み出す。そして、この公開鍵P_key(1) のハッシュ値を計算し、この計算されたハッシュ値をフィンガプリントＦＰ(1) とする。
【００５３】
さて、そうして映像データStream(1) に対する署名Stream_Sig(1) 及びフィンガプリントＦＰ(1) の生成が終了すると映像蓄積装置２１′は、ステップＳＴ１０４において、上記生成された署名Stream_Sig(1) 及びフィンガプリントＦＰ(1)を映像データStream(1) に付加する。そして、この署名Stream_Sig(1) 及びフィンガプリントＦＰ(1) が付加された映像データStream(1) と、ソフト記憶部９から読み出した、署名Soft_Sig及びフィンガプリントＦＰ_softが付加されたダウンロード映像再生用ソフトSoftを、要求元のクライアント端末３′へ向け送信する。
【００５４】
上記映像蓄積装置２１′から映像データ等が配信されると、クライアント端末３′はダウンロードデータを保存するためのフォルダＦＤ(1) を新たに作成する。そして、このフォルダＦＤ(1) に、上記映像蓄積装置２１′から配信された、映像データStream(1) とその署名Stream_Sig(1) 及びフィンガプリントＦＰ(1) を格納する。また、同時に映像蓄積装置２１′から配信されたダウンロード映像再生用ソフトSoft とその署名Soft_Sig、及びフィンガプリントＦＰ_softを、再生ソフト用のフォルダＦＤSに格納する。
【００５５】
以後同様に映像蓄積装置２１′は、クライアント端末３′から映像データの配信要求が到来するごとに、映像データStream(1) に対しデータ用秘密鍵S_key(1) を用いて署名Stream_Sig(1)を付加し、さらにそれに対応する公開鍵P_Key(1) のフィンガプリントＦＰ(1) を生成して、これらを一組として要求元のクライアント端末３′へ向け送信する。一方、クライアント端末３′は、上記映像蓄積装置２１′から配信された映像データStream(1) とその署名Stream_Sig(1) 及びフィンガプリントＦＰ(1) を一組としてフォルダＦＤ(1) に保存する。
【００５６】
また、他の映像蓄積装置２２′〜２Ｎ′においても同様に、映像データStream(2)〜Stream(N)に署名Stream_Sig(2)〜Stream_Sig(N)及びフィンガプリントＦＰ(2)〜ＦＰ(N)が付加されて、これらが一組として要求元のクライアント端末３′へ配信される。クライアント端末３′では、上記映像蓄積装置２２′〜２Ｎ′から配信された映像データStream(2)〜Stream(N)とその署名Stream_Sig(2)〜Stream_Sig(N)及びフィンガプリントＦＰ(2)〜ＦＰ(N)がそれぞれ一組として別々のフォルダＦＤ(2) 〜ＦＤ(N) に保存される。
【００５７】
すなわち、配信元が映像蓄積装置２１′であっても、また他の映像蓄積装置２２′〜２Ｎ′であっても、上記２回目以降の映像データを配信する場合には、再生ソフト用のフォルダＦＤSには１回目の映像データ配信のときに配信されたダウンロード映像再生用ソフトSoft とその署名Soft_Sig、及びフィンガプリントＦＰ_softが既に格納されているため、ダウンロード映像再生用ソフトSoft は配信されない。
【００５８】
さて、上記クライアント端末３′に保存された映像データを、ユーザが再生ソフトがインストールされていない他のクライアント端末１０′で再生しようとする場合には、次のように行われる。
すなわち、ユーザは先ずクライアント端末３′の記憶部３１′に保存された映像データを、フォルダ単位で例えばＵＳＢメモリを用いてクライアント端末１０′のデータ用のフォルダに移す。またそれと共に、クライアント端末３′の再生ソフト用のフォルダＦＤS に格納されているダウンロード映像再生用ソフトSoft を、同様にＵＳＢメモリを用いてクライアント端末１０′の再生ソフト用のフォルダＦＤS に移す。さらに、記録ディスクＤＫ２に記録されたソフト用公開鍵P_key_Soft及び公開鍵P_key(1) 〜P_key(N) を読み込んで、鍵フォルダＦＤKに保存させる。
【００５９】
そして、この状態でユーザがクライアント端末１０′において映像データの再生操作を行ったとする。そうするとクライアント端末１０′では次のように再生制御が実行される。図１１及び図１２はその処理手順と処理内容を示すフローチャートである。
すなわち、クライアント端末１０′は先ずステップＳＴ１１１により、鍵フォルダＦＤKからソフト用公開鍵P_key_Softを読み込む。そして、ステップＳＴ１１２により上記鍵フォルダＦＤKにソフト用公開鍵P_key_Softが保存されていたか否かを判定し、保存されていなければ図１２のステップＳＴ１２４に移行して、ここで「公開鍵が見つかりませんでした」なるメッセージをディスプレイに表示させる。
【００６０】
これに対し、上記鍵フォルダＦＤKにソフト用公開鍵P_key_Softが保存されていたとする。この場合クライアント端末１０′はステップＳＴ１１３に移行し、読み込んだソフト用公開鍵P_key_Softについてそのハッシュ値を計算する。つまり、ソフト用公開鍵P_key_Softのフィンガプリントを求める。
【００６１】
次にクライアント端末１０′は、ステップＳＴ１１４において再生ソフト用のフォルダＦＤSからフィンガプリントＦＰ_softを読み出し、この読み出したフィンガプリントＦＰ_softを上記計算により求めた各フィンガプリントと比較する。そして、計算により求めたフィンガプリントが上記読み出したフィンガプリントＦＰ_soft と一致するか否かを判定する。
【００６２】
この判定の結果、フィンガプリントが一致しなければ、図１２に示すステップＳＴ１２２に移行し、ここで上記鍵フォルダＦＤKに保存されたソフト用公開鍵P_key_Softは前記ダウンロード映像再生ソフトSoftの署名生成に使用した秘密鍵S_Key_Softと対をなすものではないと判断し、ステップＳＴ１２３により「公開鍵が正しくない可能性があります、正しい鍵を設定してください」なるメッセージをディスプレイに表示させる。
【００６３】
一方、上記計算により求めたフィンガプリントが上記読み出したフィンガプリントＦＰ_softと一致したとする。そうするとクライアント端末１０′は、ダウンロード映像再生用ソフトSoftの署名検証処理を次のように実行する。
すなわち、先ずステップＳＴ１１５において、再生ソフト用のフォルダＦＤSからダウンロード映像再生用ソフトSoftを読み出し、そのハッシュ値を計算する。このとき計算されたハッシュ値を値Ａと呼称する。次にステップＳＴ１１６において、上記ダウンロード映像再生用ソフトSoftに付加された署名Soft_Sigを、上記公開鍵P_key_Softを用いて復号する。この復号後の値を値Ｂと呼称する。そして、ステップＳＴ１１７により上記値Ａと値Ｂが一致するか否かを判定する。
【００６４】
この判定の結果、一致しなければステップＳＴ１２０に移行し、上記ダウンロード映像再生用ソフトSoft に付加された署名Soft_Sig は無効と判断する。そして、ステップＳＴ１２１に移行して、ここで「再生ソフトが改ざんされた可能性があります」なるメッセージを生成してディスプレイに表示させ、そのまま制御を終了する。すなわち、映像データの署名検証処理に移行せずにそのまま制御を終了する。
【００６５】
これに対し、上記値Ａと値Ｂが一致したとする。この場合クライアント端末１０′は、ステップＳＴ１１８により上記ダウンロード映像再生用ソフトSoft に付加された署名Soft_Sig は有効と判断し、ステップＳＴ１１９に移行してここで「再生ソフトの改ざんはありませんでした」なるメッセージを生成してディスプレイに表示させる。
【００６６】
上記ダウンロード映像再生用ソフトSoft に付加された署名Soft_Sig の正当性が確認されると、クライアント端末１０′は次に映像データStream(1) の署名検証処理を実行する。
すなわち、図１２のステップＳＴ１２５において、映像蓄積装置２１′からダウンロードした、映像用の公開鍵のフィンガプリントがクライアント端末１０′が持っている公開鍵のフィンガプリント（最大Ｎ個）のどれと一致するかを調べる。そして、一致する場合には、図１２のステップＳＴ１２６において、データ用のフォルダＦＤ(1) から再生対象の映像データStream(1) を読み出し、そのハッシュ値を計算する。このとき計算されたハッシュ値を値Ａと呼称する。次にステップＳＴ１２７において、上記データ用のフォルダＦＤ(1) から再生対象の映像データStream(1) に付加された署名Stream_Sig(1) を読み出し、この署名Stream_Sig(1) を上記フィンガプリントが一致したデータ用公開鍵P_key(1) を用いて復号する。この復号後の値を値Ｂと呼称する。そして、ステップＳＴ１２８により上記値Ａと値Ｂが一致するか否かを判定する。
【００６７】
一方、上記ステップＳＴ１２５において、どれとも一致しなかった場合には、ステップＳＴ１３３に移行し、映像データの署名作成に用いた秘密鍵と検証に用いた公開鍵とはペアではないと判断し、ステップＳＴ１３４に移行して「公開鍵は正しくない可能性があります。正しい鍵を設定してください」なるメッセージを生成してディスプレイに表示させ、制御を終了する。すなわち、映像データの再生処理を行わずに制御を終了する。
【００６８】
この判定の結果、一致しなければステップＳＴ１３１に移行し、上記再生対象の映像データStream(1) に付加された署名Stream_Sig(1) は無効と判断する。そして、ステップＳＴ１３２に移行して、ここで「映像データが改ざんされた可能性があります。」なるメッセージを生成してディスプレイに表示させ、そのまま制御を終了する。すなわち、映像データの再生処理を行わずにそのまま制御を終了する。
【００６９】
これに対し、上記値Ａと値Ｂが一致したとする。この場合クライアント端末１０′は、ステップＳＴ１２９により上記再生対象の映像データStream(1) に付加された署名Stream_Sig(1) は有効と判断し、ステップＳＴ１３０に移行してここで「映像データの改ざんはありませんでした」なるメッセージを生成してディスプレイに表示させる。そして、クライアント端末１０′は以後、上記再生対象の映像データStream(1) の再生処理を実行する。かくして、クライアント端末１０′のディスプレイには上記再生対象の映像データStream(1) が表示され、ユーザはこの表示を視認することにより監視対象の様子を確認することが可能となる。
【００７０】
以上述べたように第２の実施形態では次のように構成している。すなわち、映像蓄積装置２１′〜２Ｎ′からクライアント端末３′へ映像データを配信する際に、映像蓄積装置２１′〜２Ｎ′において上記映像データStreamに対しデータ用秘密鍵S_Keyを用いて生成した署名Stream_Sigを付加すると共に上記データ用秘密鍵S_Keyと対をなす公開鍵P_KeyのフィンガプリントＦＰを付加し、これらを署名Soft_Sig付のダウンロード映像再生用ソフトSoft及びフィンガプリントＦＰ_softと共に、要求元のクライアント端末３′へ向け配信する。クライアント端末３′では、上記配信された映像データStreamとその署名Stream_Sigをデータ用のフォルダＦＤに保存すると共に、ダウンロード映像再生用ソフトsoftとその署名Soft_Sig及びフィンガプリントＦＰ_softを再生ソフト用のフォルダＦＤSに格納する。そして、上記配信された映像データStreamを、再生ソフトがインストールされていない他のクライアント端末１０′に移して再生しようとする場合に、クライアント端末１０′において先ず上記ダウンロード映像再生用ソフトsoftの署名Soft_Sigを検証し、その正当性が確認された場合に映像データStreamの署名Stream_Sigを検証して再生を行うようにしている。
【００７１】
したがって、前記第１の実施形態と同様に、再生ソフトがインストールされていないクライアント端末１０′が映像データStreamを再生する際には、先ず当該映像データStreamと共にダウンロードされたダウンロード映像再生用ソフトSoftの署名Soft_Sigが検証され、その結果ダウンロード映像再生用ソフトSoftの正当性が確認された場合にのみ映像データStreamの署名検証が行われ、その正当性が確認された場合に当該映像データStreamが上記ダウンロード映像再生用ソフトSoftにより再生される。このため、仮に悪意を持つ第三者が、ダウンロード映像再生用ソフトSoftを改ざんした上で他のクライアント端末１０′において映像データStreamを再生しようとしても、映像データStreamの再生は行われない。すなわち、映像データStreamのみならずダウンロード映像再生用ソフトSoftに対する改ざんについても検出可能とし、これによりダウンロード映像再生用ソフトSoftの改ざんによる映像データStreamの無制限な再生を確実に防止することができる。
【００７２】
また、映像蓄積装置２２′〜２Ｎ′から２回目以降の映像データを配信する場合には、キライアント端末３′の再生ソフト用のフォルダＦＤSには１回目の映像データ配信のときに配信されたダウンロード映像再生用ソフトSoft とその署名Soft_Sig、及びフィンガプリントＦＰ_softが既に格納されているため、ダウンロード映像再生用ソフトSoft は配信されない。したがって、映像データを配信するごとに毎回ダウンロード映像再生用ソフトSoft を配信する場合に比べ、伝送量を減らして通信時間の短縮を図ることができる。
【００７３】
（その他の実施形態）
前記実施形態では、映像データを配信する場合を例にとって説明したが、映像データに限らず音データやテキストデータを配信する場合にも、この発明は適用可能である。また、前記各実施形態では映像データ及びダウンロード映像再生ソフトにそれぞれ署名を付加してその検証を行う場合を例にとって説明したが、メッセージ認証コード（ＭＡＣ；Message Authentication Code）を付加して検証を行う場合にも、この発明は適用可能である。ただし、この場合には秘密鍵及び公開鍵に代えて共通鍵が用いられる。
その他、映像蓄積装置の構成と処理手順及び処理内容、クライアント装置の構成と処理手順及び処理内容等についても、この発明の要旨を逸脱しない範囲で種々変形して実施できる。
【００７４】
要するにこの発明は、上記各実施形態そのままに限定されるものではなく、実施段階ではその要旨を逸脱しない範囲で構成要素を変形して具体化できる。また、上記各実施形態に開示されている複数の構成要素の適宜な組み合せにより種々の発明を形成できる。例えば、各実施形態に示される全構成要素から幾つかの構成要素を削除してもよい。さらに、異なる実施形態に亘る構成要素を適宜組み合せてもよい。
【図面の簡単な説明】
【００７５】
【図１】この発明に係わる監視システムの第１の実施形態を示す概略構成図である。
【図２】図１に示した監視システムにおける映像蓄積装置及びクライアント端末（再生ソフト有り）の機能構成を示すブロック図である。
【図３】図１に示した監視システムにおけるクライアント端末（再生ソフト無し）の機能構成を示すブロック図である。
【図４】図２に示した映像蓄積装置による映像配信制御の処理手順と処理内容を示すフローチャートである。
【図５】図３に示したクライアント端末（再生ソフト無し）による映像再生制御の処理手順と処理内容の前半部分を示すフローチャートである。
【図６】図３に示したクライアント端末（再生ソフト無し）による映像再生制御の処理手順と処理内容の後半部分を示すフローチャートである。
【図７】この発明の第２の実施形態における映像蓄積装置及びクライアント端末（再生ソフト有り）の機能構成を示すブロック図である。
【図８】この発明の第２の実施形態におけるクライアント端末（再生ソフト無し）の機能構成を示すブロック図である。
【図９】図７に示した映像蓄積装置に与える再生用アプリケーション・プログラムの作成手法と、図８に示したクライアント端末（再生ソフト無し）が使用する公開鍵が記憶された記録ディスクの構成を示す図である。
【図１０】図７に示した映像蓄積装置による映像配信制御の処理手順と処理内容を示すフローチャートである。
【図１１】図８に示したクライアント端末（再生ソフト無し）による映像再生制御の処理手順と処理内容の前半部分を示すフローチャートである。
【図１２】図８に示したクライアント端末（再生ソフト無し）による映像再生制御の処理手順と処理内容の後半部分を示すフローチャートである。
【符号の説明】
【００７６】
１…ネットワークカメラ、２，２１〜２Ｎ，２１′〜２Ｎ′…映像蓄積装置、３，３′…クライアント端末（再生ソフト有り）、４…通信ネットワーク、５，６，７…映像記憶部、８…再生ソフト記憶部、９…ダウンロード映像用再生ソフト記憶部、１０，１０′…クライアント端末（再生ソフト無し）、１１…署名付加装置、２１１〜２１Ｎ…ダウンロード映像用再生ソフトに対する署名生成部、２２１〜２２Ｎ，２４１〜２４Ｎ…映像に対する署名生成部、２３１〜２３Ｎ，２５１〜２５Ｎ…配信部、３１…クライアント端末（再生ソフト有り）の記憶部、１０１…クライアント端末（再生ソフト無し）の記憶部、ＤＫ１，ＤＫ２…公開鍵記録用の記録ディスク。
【特許請求の範囲】
【請求項１】
監視データを蓄積する監視データ蓄積装置と、この監視データ蓄積装置から通信ネットワークを介して配信された監視データを受信し再生する端末装置とを備える監視システムであって、
前記監視データ蓄積装置は、
前記監視データ及び当該監視データを再生するために使用するアプリケーション・プログラムに対しそれぞれ第１の鍵情報を用いて生成される認証情報を付加する手段と、
前記認証情報が付加された監視データ及び再生用アプリケーション・プログラムを前記通信ネットワークを介して前記端末装置へ送信する手段と
を備え、
前記端末装置は、
前記監視データ蓄積装置から送信された、前記認証情報が付加された監視データ及び再生用アプリケーション・プログラムを受信しメモリに記憶する手段と、
前記第１の鍵情報に対応する第２の鍵情報を取得する手段と、
前記受信された監視データの再生に先立ち、前記メモリに記憶された再生用アプリケーション・プログラムに付加された認証情報に対し、前記第２の鍵情報をもとに検証処理を行う第１の検証手段と、
前記第１の検証手段の検証処理の結果、前記再生用アプリケーション・プログラムに対する正当性が確認された場合に、前記記憶された監視データに付加された認証情報に対し、前記第２の鍵情報をもとに検証処理を行う第２の検証手段と、
前記第２の検証手段による検証処理の結果、前記監視データに対する正当性が確認された場合に、前記再生用アプリケーション・プログラムにより当該監視データの再生処理を実行する手段と
を備えることを特徴とする監視システム。
【請求項１】
監視データを蓄積する監視データ蓄積装置と、この監視データ蓄積装置から通信ネットワークを介して配信された監視データを受信し再生する端末装置とを備える監視システムであって、
前記監視データ蓄積装置は、
前記監視データ及び当該監視データを再生するために使用するアプリケーション・プログラムに対しそれぞれ第１の鍵情報を用いて生成される認証情報を付加する手段と、
前記認証情報が付加された監視データ及び再生用アプリケーション・プログラムを前記通信ネットワークを介して前記端末装置へ送信する手段と
を備え、
前記端末装置は、
前記監視データ蓄積装置から送信された、前記認証情報が付加された監視データ及び再生用アプリケーション・プログラムを受信しメモリに記憶する手段と、
前記第１の鍵情報に対応する第２の鍵情報を取得する手段と、
前記受信された監視データの再生に先立ち、前記メモリに記憶された再生用アプリケーション・プログラムに付加された認証情報に対し、前記第２の鍵情報をもとに検証処理を行う第１の検証手段と、
前記第１の検証手段の検証処理の結果、前記再生用アプリケーション・プログラムに対する正当性が確認された場合に、前記記憶された監視データに付加された認証情報に対し、前記第２の鍵情報をもとに検証処理を行う第２の検証手段と、
前記第２の検証手段による検証処理の結果、前記監視データに対する正当性が確認された場合に、前記再生用アプリケーション・プログラムにより当該監視データの再生処理を実行する手段と
を備えることを特徴とする監視システム。
【図１】
【図２】
【図３】
【図４】
【図５】
【図６】
【図７】
【図８】
【図９】
【図１０】
【図１１】
【図１２】
【図２】
【図３】
【図４】
【図５】
【図６】
【図７】
【図８】
【図９】
【図１０】
【図１１】
【図１２】
【公開番号】特開２００９−８１７５６（Ｐ２００９−８１７５６Ａ）
【公開日】平成２１年４月１６日（２００９．４．１６）
【国際特許分類】
【出願番号】特願２００７−２５０４８９（Ｐ２００７−２５０４８９）
【出願日】平成１９年９月２７日（２００７．９．２７）
【出願人】（０００００１１２２）株式会社日立国際電気 (5,007)
【Ｆターム（参考）】
【公開日】平成２１年４月１６日（２００９．４．１６）
【国際特許分類】
【出願日】平成１９年９月２７日（２００７．９．２７）
【出願人】（０００００１１２２）株式会社日立国際電気 (5,007)
【Ｆターム（参考）】
[ Back to top ]