(57)【特許請求の範囲】
【請求項１】
自装置のクライアント時刻を用いた任意のアプリケーションを実行する時刻クライアント装置とネットワークを介して接続されて、前記時刻クライアント装置から取得した前記クライアント時刻を監視する時刻監視装置であって、
各種処理情報を記憶する記憶部と、
同期型公衆回線から取得した同期回線周波数信号と時刻情報発行装置からの発行時刻情報とに基づき内部時刻を計時する計時部と、
前記時刻クライアント装置から取得した前記クライアント時刻と前記内部時刻との時刻差を計測し、その計測結果をログ情報として前記記憶部へ保存する時刻差計測部と、
前記ログ情報の時刻差を読み込んで所定の許容誤差と比較し、その比較結果に応じて前記アプリケーションに対する動作可否命令を前記時刻クライアント装置へ通知する時刻監視部と
を備えることを特徴とする時刻監視装置。
【請求項２】
請求項１に記載の時刻監視装置において、
前記計時部は、前記同期回線周波数信号に代えて外部の周波数源からの外部周波数信号と前記発行時刻情報とに基づき前記内部時刻を計時することを特徴とする時刻監視装置。
【請求項３】
請求項１に記載の時刻監視装置において、
前記計時部は、前記同期回線周波数信号または外部の周波数源からの外部周波数信号のいずれか一方の周波数信号と前記発行時刻情報とに基づき前記内部時刻を計時し、前記他方の周波数信号と前記発行時刻情報とに基づき計時した補時計時刻と前記内部時刻を比較し、
前記時刻監視部は、前記比較結果に応じて前記アプリケーションに対する動作可否命令を前記時刻クライアント装置へ通知する
ことを特徴とする時刻監視装置。
【請求項４】
請求項１に記載の時刻監視装置において、
前記計時部は、前記内部時刻と前記発行時刻情報との時刻差を監視し、
前記時刻監視部は、前記監視結果に応じて前記アプリケーションに対する動作可否命令を前記時刻クライアント装置へ通知する
ことを特徴とする時刻監視装置。
【請求項５】
請求項１に記載の時刻監視装置において、
前記計時部は、自装置内部で発生させた内部周波数信号に基づき計時した所定の計測期間の期間長と、前記内部時刻で計時した前記計測期間の期間長とを比較し、
前記時刻監視部は、前記比較結果に応じて前記アプリケーションに対する動作可否命令を前記時刻クライアント装置へ通知する
ことを特徴とする時刻監視装置。
【請求項６】
請求項１に記載の時刻監視装置において、
前記時刻監視部は、前記ログ情報の履歴に基づき予測した前記時刻差の予測値と前記許容誤差と比較し、この比較結果に応じて前記アプリケーションに対する動作停止予告を前記時刻クライアント装置へ通知することを特徴とする時刻監視装置。
【請求項７】
請求項１に記載の時刻監視装置において、
前記計時部は、前記時刻情報発行装置からの発行時刻情報として、前記同期回線周波数信号に基づき時刻サーバ装置で計時されたサーバ時刻を示す時刻情報を用いることを特徴とする時刻監視装置。
【請求項８】
請求項１に記載の時刻監視装置において、
前記時刻クライアント装置からの動作状態問い合わせに応じて前記時刻監視部での時刻監視の動作状態を返送する命令受信部をさらに備えることを特徴とする時刻監視装置。
【請求項９】
装置外部から取得した時刻情報および周波数信号に基づきクライアント時刻を計時する計時部と、
前記クライアント時刻を用いた任意のアプリケーションを実行するアプリケーション部と、
ネットワークを介して接続された時刻監視装置に対し前記クライアント時刻を通知する時刻通知部と、
通知した前記クライアント時刻に対する監視結果に応じて前記時刻監視装置から通知された前記アプリケーションの動作可否命令を受信する命令受信部とを備え、
前記アプリケーション部は、前記動作可否命令に基づき前記アプリケーションの動作継続または動作停止を制御する
ことを特徴とする時刻クライアント装置。
【請求項１０】
請求項９に記載の時刻クライアント装置において、
前記命令受信部は、前記時刻監視装置からの動作可否命令が定期的に受信されているか受信確認を行い、
前記アプリケーション部は、前記受信確認が得られていない場合、前記アプリケーションの動作を停止することを特徴とする時刻クライアント装置。
【請求項１１】
請求項９に記載の時刻クライアント装置において、
前記命令受信部は、受信した所定数の前記動作可否命令を統計処理し、
前記アプリケーション部は、前記統計処理の結果に基づき前記アプリケーションの動作継続または動作停止を制御する
ことを特徴とする時刻クライアント装置。
【請求項１２】
請求項９に記載の時刻クライアント装置において、
前記アプリケーション部は、前記命令受信部で受信された前記時刻監視装置からの動作停止予告に応じて、前記アプリケーションの動作停止のための準備処理を行うことを特徴とする時刻クライアント装置。
【請求項１３】
請求項９に記載の時刻クライアント装置において、
前記アプリケーション部は、前記時刻監視装置に対して動作状態問い合わせを送信し、得られた前記時刻監視装置の動作状態に基づき前記アプリケーションの動作継続または動作停止を制御することを特徴とする時刻クライアント装置。
【請求項１４】
ネットワークを介して接続された時刻クライアント装置と時刻監視装置とを備え、前記時刻クライアント装置で用いるクライアント時刻を前記時刻監視装置で監視することにより、前記クライアント時刻の認証を行う遠隔時刻認定システムであって、
前記時刻監視装置は、各種処理情報を記憶する記憶部と、同期型公衆回線から取得した同期回線周波数信号と時刻情報発行装置からの発行時刻情報とに基づき内部時刻を計時する計時部と、前記時刻クライアント装置から取得した前記クライアント時刻と前記内部時刻との時刻差を計測し、その計測結果をログ情報として前記記憶部へ保存する時刻差計測部と、前記ログ情報の時刻差を読み込んで所定の許容誤差と比較し、その比較結果に応じて前記アプリケーションに対する動作可否命令を前記時刻クライアント装置へ通知する時刻監視部とを備え、
前記時刻クライアント装置は、装置外部から取得した時刻情報および周波数信号に基づきクライアント時刻を計時する計時部と、前記クライアント時刻を用いた任意のアプリケーションを実行するアプリケーション部と、ネットワークを介して接続された時刻監視装置に対し前記クライアント時刻を通知する時刻通知部と、通知した前記クライアント時刻に対する監視結果に応じて前記時刻監視装置から通知された前記アプリケーションの動作可否命令を受信する命令受信部とを備え、前記アプリケーション部により、前記動作可否命令に基づき前記アプリケーションの動作継続または動作停止を制御する
ことを特徴とする遠隔時刻認定システム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、時刻認証サービス技術に関し、特にＮＴＡ(National Time Authority)からＴＳＡ(Time Stamp Authority)まで時刻情報を配送するＴＡ(Time Authority)で利用される時刻配送システムに関する。
【背景技術】
【０００２】
電子文書の非改竄を証明する時刻認証は、ＴＳＡと呼ばれる機関により実施される。ＴＳＡが時刻認証のために利用するタイムスタンプとして、ＮＴＡが管理する標準時刻であるＵＴＣ(Coordinated Universal Time)を利用する。ＴＳＡにおいて、時刻認証を行った電子文書の内容が数年後に問題となった際に、その電子文書が改竄されていないことを証明するためにタイムスタンプが利用される。この際、時刻トレーサビリティと呼ぶ、信頼できる時刻源から時刻を受信していたこと、また、利用時刻と利用時刻源との誤差が十分満足できる範囲であったことを示す必要がある。したがって、時刻トレーサビリティ情報として、利用しているＮＴＡの特定、利用しているＮＴＡまでの時刻配送経路、利用しているＮＴＡとの時刻誤差情報などの情報が必要とされる。
【０００３】
電子文書が改竄されていないことを検証する際、ＴＳＡはＴＡに対して、上記情報を提供することを要求する。したがって、ＴＡでは、ＮＴＡからＴＳＡまでの時刻配送経路を保証可能であり、かつＮＴＡとＴＳＡとの時刻差がＴＳＡの要求する精度内であることを保証可能な方式で、精度のよい時刻配送を実施する必要がある。時刻配送に関する情報を長期保存し、上述の情報提供が要求された際に、要求を満足する内容の情報を開示する必要がある。また、ＴＳＡに対する時刻配送が途切れてはならない。
【０００４】
時刻を供給する方法として、ルビジウム発信器といった高精度な発信器を内蔵した原子時計の利用が考えられる。この場合にはＮＴＡとの同期方式、および、誤差情報取得方式が必要となる。また、ＴＳＡに時刻配送を行うために、ＴＳＡへの時刻配送方式、および、誤差情報取得方式が必要となる。
【０００５】
従来、ＮＴＡとの誤差情報取得方式としては、ＧＰＳ(Global Positioning System)を用いた高精度な誤差情報取得方式が提案されており、また、ＮＴＰやＪＪＹといった方式による時刻同期方式が提案されている（例えば、非特許文献１など参照）。ＮＴＡとＴＡ間での時刻配送は別途高精度誤差計測を用いればよい。ＴＡからＴＳＡへの時刻配送については、ＮＴＰ(Network Time Protocol)の利用が考えられる。ＮＴＰは多重経路での時刻配送を実現しており、ＴＳＡに対する時刻配送に利用される可用性が高い。
【０００６】
一方、所定の基準信号を計時して時刻情報を得る時計装置について、その時刻ずれを監視する技術も提案されている（例えば、特許文献１など参照）。これは、基準信号により計時した第１の時刻と、基準信号とは異なる監視用信号により計時した第２の時刻との時刻差を所定の計測期間ごとに複数計測し、計測期間ごとに時刻差の変化傾向を示す傾き計測値を算出し、各傾き計測値を統計処理することにより、新たな傾き計測値に対する監視範囲を決定し、監視範囲と新たな傾き計測値とを比較することにより時刻ずれを監視するようにしたものである。
【０００７】
【特許文献１】特開２００３−３４４５７１号公報
【非特許文献１】www2.nict.go.jp/kk/e412/CRL_News/9902/news275.html
【発明の開示】
【発明が解決しようとする課題】
【０００８】
前述した時刻差計測による時刻監視方法として、非常に高精度な発信器により維持される計測用基準時計を運用し、その時計と遠隔地の時計装置との誤差情報を計測する方法を用いた場合、高精度発信器を運用する場所が限られるために、計測用基準時計の設置場所と非計測対象の時計装置との間が物理的に離れる場合がある。
しかしながら、このような従来技術では、時刻情報を利用するアプリケーションを実行する装置を遠隔地に設置した場合、計測に用いるネットワークの影響により、時刻差が正確に検出されない可能性があった。
【０００９】
ネットワークの影響が少ないとしても、時刻クライアント装置が本方式を用いたシステムの警報に依存して運用する場合には、警報システムの障害を即時に知る手段が必要となり、システム規模の増大や複雑化を招く原因となる。
【００１０】
また、時刻を認定する方法として、耐タンパー性を持つ装置を用いる方法があるが、この方法では、アプリケーションが参照する時計装置は信頼されるが、アプリケーションが実行される装置の時計は改竄可能な構成となる。アプリケーションローカルの時計を保証するために、アプリケーションが実行される装置を、耐タンパー性を持つ装置とし、時計装置とアプリケーション実行装置との間の時刻情報の配送を暗号化する方法が考えられる。利用するプロトコルが標準化されていない場合には、アプリケーションの運用組織は、限られた装置のみ利用可能となり、例えば、ＵＮＩＸ（登録商標）上で動作する様々なアプリケーションのために本システムを利用することが困難となる。このため、時計の運用組織や、それを利用するアプリケーションの運用組織が異なる場合には、両者の接続性と時刻の幅広い適用に制限が生じる。
【００１１】
また、インターネットにおける標準的な時刻配送用のプロトコル、例えばＮＴＰ(Network Time Protocol)などの仕様が公開されたプロトコルを利用する場合には、時刻源としてシステム時計を利用する構成となる。しかし、このシステム時計の時刻は装置の管理者であれば、自由に変更できるため、装置管理者による時刻改竄といった問題が発生する可能性がある。
本発明はこのような課題を解決するためのものであり、高精度な周波数発生装置を必要とすることなく物理的に近い場所で時刻差計測を実施できる時刻監視装置、時刻クライアント装置、および遠隔時刻認定システムを提供することを目的としている。
【課題を解決するための手段】
【００１２】
このような目的を達成するために、本発明にかかる時刻監視装置は、自装置のクライアント時刻を用いた任意のアプリケーションを実行する時刻クライアント装置とネットワークを介して接続されて、時刻クライアント装置から取得したクライアント時刻を監視する時刻監視装置であって、各種処理情報を記憶する記憶部と、同期型公衆回線から取得した同期回線周波数信号と時刻情報発行装置からの発行時刻情報とに基づき内部時刻を計時する計時部と、時刻クライアント装置から取得したクライアント時刻と内部時刻との時刻差を計測し、その計測結果をログ情報として記憶部へ保存する時刻差計測部と、ログ情報の時刻差を読み込んで所定の許容誤差と比較し、その比較結果に応じてアプリケーションに対する動作可否命令を時刻クライアント装置へ通知する時刻監視部とを備えている。
【００１３】
この際、計時部で、同期回線周波数信号に代えて外部の周波数源からの外部周波数信号と発行時刻情報とに基づき内部時刻を計時するようにしてもよい。
【００１４】
内部時刻を監視する構成として、計時部で、同期回線周波数信号または外部の周波数源からの外部周波数信号のいずれか一方の周波数信号と発行時刻情報とに基づき内部時刻を計時し、他方の周波数信号と発行時刻情報とに基づき計時した補時計時刻と内部時刻を比較し、時刻監視部で、比較結果に応じてアプリケーションに対する動作可否命令を時刻クライアント装置へ通知するようにしてもよい。
【００１５】
内部時刻を監視する他の構成として、計時部で、内部時刻と発行時刻情報との時刻差を監視し、時刻監視部で、監視結果に応じてアプリケーションに対する動作可否命令を時刻クライアント装置へ通知するようにしてもよい。
【００１６】
内部時刻を監視する他の構成として、計時部で、自装置内部で発生させた内部周波数信号に基づき計時した所定の計測期間の期間長と、内部時刻で計時した計測期間の期間長とを比較し、時刻監視部で、比較結果に応じてアプリケーションに対する動作可否命令を時刻クライアント装置へ通知するようにしてもよい。
【００１７】
時刻クライアント装置への動作可否命令の拡張として、時刻監視部で、ログ情報の履歴に基づき予測した時刻差の予測値と許容誤差と比較し、この比較結果に応じてアプリケーションに対する動作停止予告を時刻クライアント装置へ通知するようにしてもよい。
【００１８】
内部時刻を計時する他の具体例として、計時部で、時刻情報発行装置からの発行時刻情報として、同期回線周波数信号に基づき時刻サーバ装置で計時されたサーバ時刻を示す時刻情報を用いるようにしてもよい。
【００１９】
時刻監視装置を外部から監視するための構成として、時刻クライアント装置からの動作状態問い合わせに応じて時刻監視部での時刻監視の動作状態を返送する命令受信部をさらに備えてもよい。
【００２０】
また、本発明にかかる時刻クライアント装置は、装置外部から取得した時刻情報および周波数信号に基づきクライアント時刻を計時する計時部と、クライアント時刻を用いた任意のアプリケーションを実行するアプリケーション部と、ネットワークを介して接続された時刻監視装置に対しクライアント時刻を通知する時刻通知部と、通知したクライアント時刻に対する監視結果に応じて時刻監視装置から通知されたアプリケーションの動作可否命令を受信する命令受信部とを備え、アプリケーション部で、動作可否命令に基づきアプリケーションの動作継続または動作停止を制御するようにしたものである。
【００２１】
動作可否命令を受信確認する構成として、命令受信部で、時刻監視装置からの動作可否命令が定期的に受信されているか受信確認を行い、アプリケーション部で、受信確認が得られない場合、アプリケーションの動作を停止するようにしてもよい。
【００２２】
アプリケーションに対する動作制御の具体例として、命令受信部で、受信した所定数の動作可否命令を統計処理し、アプリケーション部で、統計処理の結果に基づきアプリケーションの動作継続または動作停止を制御するようにしてもよい。
【００２３】
アプリケーションに対する動作制御の拡張として、アプリケーション部で、命令受信部で受信された時刻監視装置からの動作停止予告に応じて、アプリケーションの動作停止のための準備処理を行うようにしてもよい。
【００２４】
アプリケーションに対する動作制御の構成として、アプリケーション部で、時刻監視装置に対して動作状態問い合わせを送信し、得られた時刻監視装置の動作状態に基づきアプリケーションの動作継続または動作停止を制御するようにしてもよい。
【００２５】
本発明にかかる遠隔時刻認定システムは、ネットワークを介して接続された時刻クライアント装置と時刻監視装置とを備え、時刻クライアント装置で用いるクライアント時刻を時刻監視装置で監視することにより、クライアント時刻の認証を行う遠隔時刻認定システムであって、時刻監視装置に、各種処理情報を記憶する記憶部と、同期型公衆回線から取得した同期回線周波数信号と時刻情報発行装置からの発行時刻情報とに基づき内部時刻を計時する計時部と、時刻クライアント装置から取得したクライアント時刻と内部時刻との時刻差を計測し、その計測結果をログ情報として記憶部へ保存する時刻差計測部と、ログ情報の時刻差を読み込んで所定の許容誤差と比較し、その比較結果に応じてアプリケーションに対する動作可否命令を時刻クライアント装置へ通知する時刻監視部とを備え、時刻クライアント装置に、装置外部から取得した時刻情報および周波数信号に基づきクライアント時刻を計時する計時部と、クライアント時刻を用いた任意のアプリケーションを実行するアプリケーション部と、ネットワークを介して接続された時刻監視装置に対しクライアント時刻を通知する時刻通知部と、通知したクライアント時刻に対する監視結果に応じて時刻監視装置から通知されたアプリケーションの動作可否命令を受信する命令受信部とを備え、アプリケーション部により、動作可否命令に基づきアプリケーションの動作継続または動作停止を制御するようにしてもよい。
【発明の効果】
【００２６】
本発明によれば、時刻監視装置により、時刻情報発行装置からの時刻情報と同期型公衆回線からの周波数信号により計時した時刻を用いて、監視対象となる時刻クライアント装置からの時刻情報との時刻差が監視され、その監視結果に応じて、時刻クライアント装置でのクライアント時刻を用いたアプリケーションの動作可否制御が行われるため、高精度な周波数発生装置を必要とすることなく時刻クライアント装置と物理的に近い場所に時刻監視装置を配置して時刻差計測を実施できる。
【００２７】
これにより、時刻情報を利用するアプリケーションを実行する時刻クライアント装置を遠隔地に設置した場合、計測に用いるネットワークの影響を最小限に抑制でき、時刻計測精度や時刻差を正確に検出できる。したがって、時刻クライアント装置に対して設置位置の制約を課することなく、所望の精度内で時刻クライアント装置のクライアント時刻を認証することが可能となり、極めて柔軟な時刻認証システムを構築できる。
【発明を実施するための最良の形態】
【００２８】
次に、本発明の実施の形態について図面を参照して説明する。
［第１の実施の形態］
まず、図１を参照して、本発明の第１の実施の形態にかかる遠隔時刻認定システムについて説明する。図１は、本発明の第１の実施の形態にかかる遠隔時刻認定システムの構成を示すブロック図である。
【００２９】
この遠隔時刻認定システムは、時刻監視装置１、時刻クライアント装置２、時刻配送装置３、時刻情報発行装置４、時刻認定業者運用装置５Ａ、ＴＡ／ＴＳＡ運用装置５Ｂ、および制御コマンド送信装置６Ａ，６Ｂから構成されている。
【００３０】
本実施の形態では、時刻監視装置１により、時刻情報発行装置４からの発行時刻情報と同期型公衆回線からの同期回線周波数信号により計時した内部時刻を用いて、監視対象となる時刻クライアント装置２のクライアント時刻との時刻差を監視し、その監視結果に応じて、時刻クライアント装置２でのクライアント時刻を用いたアプリケーションの動作可否制御を行うようにしたものである。
【００３１】
［時刻監視装置］
次に、図１を参照して、本発明の第１の実施の形態にかかる時刻監視装置について詳細に説明する。
時刻監視装置１は、サーバなどの情報処理装置からなり、監視対象となる時刻クライアント装置２からの時刻情報との内部時刻との時刻差を監視し、その監視結果に応じて、時刻クライアント装置２でのクライアント時刻を用いたアプリケーションの動作可否制御を行う装置である。
【００３２】
この時刻監視装置１には、計時部１１、時刻差計測部１２、時刻監視部１５、システム認証部１６、および運用管理部１７が設けられている。
これら機能部は、専用回路部や演算処理部、さらには記憶部により実現される。このうち、演算処理部はＣＰＵおよびその周辺回路を有し、ＣＰＵ内部や周辺回路のメモリあるいは記憶部からプログラムを読み込んで実行することにより各種機能部を実現する。また、記憶部はハードディスクやメモリなどの記憶装置からなり、専用回路部や演算処理部で用いる計測結果ログ情報１３や許容誤差設定情報１４などの各種処理情報やプログラムを記憶する。
【００３３】
計時部１１は、専用回路部や演算処理部からなり、同期型公衆回線１０から同期回線周波数信号を取得する機能と、時刻認定業者運用装置５Ａからの時刻同期命令に応じてネットワークを介して時刻情報発行装置４から発行時刻情報を取得する機能と、これら同期回線周波数信号と発行時刻情報とに基づき内部時刻を計時する機能と、時刻認定業者運用装置５Ａからの時刻検査命令に応じて時刻情報発行装置４から発行時刻情報を取得して内部時刻と比較し、その比較結果を返信する機能と、を有している。同期型公衆回線１０としては、例えばＩＳＤＮや光パスを用いたデジタル同期網のデジタル回線などがある。時刻情報発行局への問い合わせプロトコルとしてはＮＴＰを利用することが考えられる。このほか、時刻認定業者運用装置５Ａからのうるう秒設定命令に応じて、うるう秒の挿入準備を行う機能を有している。
【００３４】
時刻差計測部１２は、専用回路部や演算処理部からなり、ネットワークを介して時刻クライアント装置２からクライアント時刻を取得する機能と、このクライアント時刻と内部時刻との時刻差を所定の計測間隔で計測する機能と、その計測結果をログ情報１３として記憶部へ保存する機能とを有している。時刻情報取得のためのプロトコルとしては、ＮＴＰの利用が考えられる。ＮＴＰを用いた場合には、計時機能と時刻差計測機能を１つのソフトウェアモジュールで実現できる。ログ情報１３に対して定期的に電子署名を行うようにしてもよく高セキュリティ性を確保できる。
【００３５】
時刻監視部１５は、専用回路部や演算処理部からなり、ログ情報１３の時刻差を読み込んで時刻認定精度として予め設定されている許容誤差設定情報１４の許容誤差と比較する機能と、この比較結果に応じて時刻クライアント装置２で実行されているアプリケーションの動作可否命令をネットワークを介して時刻クライアント装置２へ通知する機能とを有している。計測時刻差が許容誤差範囲内である場合には動作可否命令のうち動作許可命令を送信することで時刻精度が認定されたことを示す。許容誤差範囲を超えた場合には動作可否命令のうち動作停止命令や動作停止予告命令を送信し認定外あるいはそれに準ずる状態であることを示す。
【００３６】
これら動作許可命令、動作停止命令、および動作停止予告命令には、命令送信者、命令受信者、命令発行日時、命令内容が含まれている。この際、各命令データのハッシュに対してシステム認証部１６のハードウェアキーやＩＣカードで管理されるキーを用いて電子署名をし、この署名データとともに各命令を送信することが望まれる。また、ＨＭＡＣ方式を利用して、通信路上での改竄が行われていないことを保証することも有効である。
【００３７】
システム認証部１６は、専用回路部や演算処理部からなり、時刻監視部１５の起動時に、時刻クライアント装置の認証を実施する機能を有している。認証の際、アプリケーションによるＰＫＩ(Public Key Infrastructure)を用いた認証や、ＩＰｓｅｃ(IP Security)を利用した認証が望まれる。また通信時においても、ＩＰｓｅｃを利用した認証の利用が望まれる。認証のためにＩＣカードやハードウェアキーを用いることは有効である。ハードウェアキーは、内容読取り不可能なデバイスであり、かつ内部で署名検証可能なデバイスであることが望ましい。ハードウェアキーが挿入されていない場合には、動作しないという処理、もしくは特定のＩＣカードによる認証が行われないと動作しないという処理も必要である。これは、セキュリティが守られたラックに装置が搭載された後に、ハードウェアキーの挿入もしくはＩＣカードによる認証という運用を行うことを想定している。ハードウェアキーやＩＣカードは、装置設置場所の管理者が所有する等して、運用者は所持しないという運用も有効である。
【００３８】
運用管理部１７は、専用回路部や演算処理部からなり、時刻認定業者運用装置５Ａからの状態表示命令の内容に応じて、当該時刻監視装置１の動作状態を時刻認定業者運用装置５Ａに送信する。また、時刻認定業者運用装置５からのリセット命令もしくは終了命令に応じて、当該時刻監視装置１のリセット（動作初期化）もしくは動作停止を行う。
【００３９】
［時刻クライアント装置］
次に、図１を参照して、本発明の第１の実施の形態にかかる時刻クライアント装置について詳細に説明する。
時刻クライアント装置２は、サーバやパーソナルコンピュータなどの情報処理装置からなり、ネットワークを介して時刻配送装置３から配送された時刻情報を利用して所定のアプリケーションを実行するとともに、時刻監視装置１からの動作可否命令に応じて実行中のアプリケーションの動作継続または動作停止を制御する装置である。このアプリケーションが、時刻配送アプリケーションである場合、時刻クライアント装置は時刻配送装置となり、時刻認証アプリケーションである場合、時刻クライアント装置は時刻認証装置となる。
【００４０】
この時刻クライアント装置２には、計時部２１、時刻通知部２２、命令受信部２４、アプリケーション部２５、システム認証部２６、および運用管理部２７が設けられている。
これら機能部は、専用回路部や演算処理部、さらには記憶部により実現される。このうち、演算処理部はＣＰＵおよびその周辺回路を有し、ＣＰＵ内部や周辺回路のメモリあるいは記憶部からプログラムを読み込んで実行することにより各種機能部を実現する。また、記憶部はハードディスクやメモリなどの記憶装置からなり、専用回路部や演算処理部での処理結果を示すログ情報２３などの各種処理情報やプログラムを記憶する。
【００４１】
計時部２１は、専用回路部や演算処理部からなり、時刻配送装置３からネットワークを介して受信した時刻情報に時刻同期することによりあるいは装置外部から取得した周波数信号に基づき自装置のクライアント時刻を計時する機能と、この計時動作の履歴をログ情報２３として記憶部へ保存する機能とを有している。この際に用いる時刻情報は、時刻監視装置１に設けられた時刻配送部から配送された時刻監視装置１の内部時刻を示す時刻情報であってもよく、遠隔時刻認証システムとして時刻配送装置３を用意する必要がなくなる。このほか、同期型公衆回線１０の同期回線周波数信号などの周波数信号に基づきクライアント時刻を計時してもよい。
【００４２】
時刻通知部２２は、専用回路部や演算処理部からなり、時刻監視装置１からの要求に応じてあるいは所定の計測間隔で計時部２１のクライアント時刻をネットワークを介して時刻監視装置１へ通知する機能を有している。
計時部２１においてＮＴＰを利用する場合、計時部２１と時刻通知部２２を１つの機能部とすることができる。時刻クライアント装置２が時刻配送装置として動作する場合、アプリケーション部２５を含めて１つの機能部とすることができる。また、時刻配送装置３に同期型公衆回線１０を接続するとともに、この時刻配送装置３と時刻クライアント装置とを同期型公衆回線１０を介して接続してもよい。
【００４３】
命令受信部２４は、専用回路部や演算処理部からなり、ネットワークを介して時刻監視装置１から動作可否命令を受信する機能と、受信した動作可否命令に基づき動作ステータスを管理する機能とを有している。この際、受信した動作許可命令、動作停止命令、および動作停止予告命令に基づき自装置の動作状態として、動作ステータスおよび停止ステータスの２つの内部ステータスを保持する。各命令に署名データが付与されている場合には、署名検証を行い、命令内容に誤りがないことを検証することが望まれる。
【００４４】
アプリケーション部２５は、演算処理部からなり、任意のアプリケーションを実行する機能と、命令受信部２４に対する内部ステータス問い合わせより時刻の認定状態を確認する機能と、確認した内部ステータスに応じて実行中のアプリケーションの動作継続または動作停止を制御する機能とを有している。例えば、停止ステータスの場合には、アプリケーションの実行を停止する。アプリケーション部２５が命令受信部２４に内部ステータス問い合わせ要求を実施した際に、エラー返答もしくは一定時間返答がない場合、エラーステータスとしてアプリケーションでの処理が求められる。
【００４５】
システム認証部２６は、専用回路部や演算処理部からなり、命令受信部２４の起動時に時刻監視装置１の認証を実施する機能を有している。認証のために用いるハードウェアキーは、内容読取り不可能なデバイスであり、かつ内部で署名検証可能なデバイスであることが望ましい。命令受信部２４およびシステム認証部２６は、時刻監視装置１と同様に、ハードウェアキーが挿入されていない場合には、動作しないという処理、もしくは特定のＩＣカードによる認証が行われないと動作しないという処理も必要である。命令受信部２４が、時刻監視装置１より受信した命令に電子署名が含まれている場合、ハードウェアキーやＩＣカードが保持するキーを用いて検証することが望まれる。また、ＨＭＡＣ(Keyed-Hashing for Message Authentication)を用いている場合には、改竄されていないことを検証することが望まれる。
【００４６】
運用管理部２７は、専用回路部や演算処理部からなり、ＴＡ／ＴＳＡ運用装置５Ｂからの状態表示命令の内容に応じて、当該時刻アプリケーション装置２の動作状態をＴＡ／ＴＳＡ運用装置５Ｂに送信する。また、ＴＡ／ＴＳＡ運用装置５Ｂからのリセット命令もしくは終了命令に応じて、当該時刻アプリケーション装置２のリセット（動作初期化）もしくは動作停止を行う。
【００４７】
［運用装置］
次に、図１を参照して、本発明の第１の実施の形態にかかる時刻認証システムで用いる時刻認定業者運用装置およびＴＡ／ＴＳＡ運用装置について詳細に説明する。
【００４８】
時刻配送装置３は、データ通信を行う通信装置からなり、時刻源装置（図示せず）から送信された時刻情報を、ネットワークを介して所望の時刻クライアント装置２へ配送する機能を有している。
時刻情報発行装置４は、サーバなどの情報処理装置からなり、例えばセシウムやルビジウムなどを用いた原子時計などの高精度時刻源に基づき計時した時刻を示す発行時刻情報を、ネットワークを介して時刻監視装置１へ配送する機能を有している。
【００４９】
これら運用装置では、オペレータの権限について、状態表示命令、時刻検査命令の実行権を持つオペレータ、これらの命令に加えて、リセット／終了命令、時刻同期命令、うるう秒設定命令の実行権を持つシニアオペレータと分類する。
それぞれのオペレータには、ＩＣカードが渡されており、ＩＣカード別に、各装置において実行可能なコマンドが割り当てられている。実行されたコマンドと実行者の履歴が、制御コマンド送信装置において全て保存されている。
【００５０】
オペレータは、状態表示以外のコマンドのみを実行可能であり、装置の保守のために制御コマンド送信装置が用意した状態表示用のコマンドを実行することで、装置の監視を行う。この装置監視において、エラー状態が発見された場合には、シニアオペレータが装置のリセットもしくは停止を行う。なお、このリセットや停止の命令は、オペレータとシニアオペレータの２者の認証が行われた場合のみ実行可能であることが望ましい。
【００５１】
時刻検査命令は、時刻監視装置１の計時部１１に対して、時刻検査および結果の表示を命令する。計時部１１は、時刻情報発行装置４もしくは後述する時刻サーバ装置８の時刻情報との比較結果をオペレータへ送信する。
この結果で時刻のずれが発見された場合には、シニアオペレータにより時刻同期命令を用いて操作が行われる。時刻同期命令は、時刻情報発行局もしくは時刻サーバ装置との時刻同期を実施するための命令である。
【００５２】
本実施の形態にかかる時刻認証システムで用いられる各装置には、物理的に接続された制御端末が存在せず、また装置設置場所での制御装置取り付けも許可しない。障害時もしくは制御不能となった場合には、本システム上から取り外した上で、装置設置場所から修理場所へ移送して、修理を実施する。
【００５３】
［時刻差監視動作］
次に、図２および図３を参照して、本発明の第１の実施の形態にかかる時刻監視装置での時刻差監視動作について説明する。図２は、本発明の第１の実施の形態にかかる時刻監視装置での時刻差監視処理を示すフローチャートである。図３は、本発明の第１の実施の形態にかかる時刻監視装置での時刻差監視処理（続き）を示すフローチャートである。
【００５４】
時刻監視装置１は、時刻差計測部１２での計測間隔以上の監視間隔で、時刻監視部１５により、図２および図３の時刻差監視処理を実行する。この際、ＵＮＩＸのＣＲＯＮの機能等を利用して、時刻差監視処理を定期的に実行するようにしてもよい。
時刻監視部１５は、まず、記憶部から許容誤差設定情報１４を読み込んで、時刻差検証対象Ｐごとに警告レベルｌｗ[Ｐ]と危機的レベルｌｃ[Ｐ]の２値をそれぞれ取得する（ステップ１００）。次に、記憶部から測定結果ログ情報のうち前回ログ情報との差分をログ差分として読み込み（ステップ１０１）、処理変数を初期化する（ステップ１０２）。
【００５５】
続いて、時刻監視部１５は、差分ログの先頭行を読み込み（ステップ１０３）、時刻差検証対象Ｐの時刻差Ｄｔ[Ｐ]、ここでは時刻監視装置１の内部時刻と時刻クライアント装置２のクライアント時刻との時刻差を取得する（ステップ１０４）。
【００５６】
そして、この時刻差Ｄｔ[Ｐ]と危機的レベルｌｃ[Ｐ]との比較を行う（ステップ１１０）。時刻差Ｄｔ[Ｐ]が危機的レベルｌｃ[Ｐ]を超えて許容範囲外にある場合（ステップ１１０：ＹＥＳ）、エラーログを出力した後（ステップ１１１）、エラー継続状態を示す値Ｃｃをインクリメントして（ステップ１１２）、フラグ（Ｆｃ）をセットし（ステップ１１３）、値Ｃｃがｋｃを超えないよう調整した後（ステップ１１４）、処理結果をログ(Datac)として記憶部に保存する（ステップ１１５）。
一方、時刻差Ｄｔ[Ｐ]が危機的レベルｌｃ[Ｐ]の許容範囲内の場合（ステップ１１０：ＮＯ）、値Ｃｃをデクリメントし（ステップ１１６）、値Ｃｃがゼロより小さくならないよう調整した後（ステップ１１７）、警告レベルｌｗ[Ｐ]との比較に移る。
【００５７】
警告レベルの比較では、時刻差Ｄｔ[Ｐ]が警告レベルｌｗ[Ｐ]を超えて許容範囲外の場合（ステップ１２０：ＹＥＳ）、危機的レベルの比較と同様に、エラーログを出力した後（ステップ１２１）、Ｆｗ，Ｃｗをセットして（ステップ１２２，１２３）、Ｃｗを調整した後（ステップ１２４）、処理結果をログ(Datac)として記憶部に保存する（ステップ１２５）。
一方、時刻差Ｄｔ[Ｐ]が警告レベルｌｗ[Ｐ]の許容範囲内の場合（ステップ１２０：ＮＯ）、値Ｃｗをデクリメントし（ステップ１２６）、値Ｃｗがゼロより小さくならないよう調整する（ステップ１２７）。
【００５８】
この処理を差分ログの各行に対して実施し（ステップ１０５：ＹＥＳ，ステップ１０６）、差分ログの全ての行に対する処理が終了した後（ステップ１０５：ＮＯ）、図３の信号送信を行う。
【００５９】
まず、時刻監視部１５は、フラグＦｃを判定し、フラグＦｃが０の場合には（ステップ１３０：ＮＯ）、時刻クライアント装置２へ動作許可信号を送信する（ステップ１３１）。フラグＦｃが１の場合には（ステップ１３０：ＹＥＳ）、時刻クライアント装置２へ動作停止信号を送信した後（ステップ１３２）、値Ｃｃを判定し、値Ｃｃが０の場合には（ステップ１３３：ＮＯ）、エラー状態が収束した旨を含むエラーを時刻認定業者運用装置５Ａへ送信し（ステップ１３４）、値Ｃｃが０より大きい場合には（ステップ１３３：ＹＥＳ）、エラー状態が継続している旨を含むエラーを時刻認定業者運用装置５Ａへ送信し（ステップ１３４）、一連の時刻差監視処理を終了する。
【００６０】
また、許可信号を送信した後（ステップ１３１）、時刻監視部１５は、フラグＦｗを判定し、フラグＦｗが１の場合には（ステップ１４０：ＮＯ）、時刻クライアント装置２へ動作許可信号を送信する（ステップ１４１）。フラグＦｗが１の場合には（ステップ１４０：ＹＥＳ）、時刻クライアント装置２へ動作の停止を予告するための停止予告信号を送信した後（ステップ１４２）、値Ｃｗを判定し、値Ｃｗが０の場合には（ステップ１４３：ＮＯ）、エラー状態が収束した旨を含むエラーを時刻認定業者運用装置５Ａへ送信し（ステップ１４４）、値Ｃｗが０より大きい場合には（ステップ１４３：ＹＥＳ）、エラー状態が継続している旨を含むエラーを時刻認定業者運用装置５Ａへ送信し（ステップ１４４）、一連の時刻差監視処理を終了する。
【００６１】
このように、本実施の形態では、時刻監視装置１により、時刻情報発行装置４からの時刻情報と同期型公衆回線からの同期回線周波数信号により計時した内部時刻を用いて、時刻クライアント装置２のクライアント時刻との時刻差を監視し、その監視結果に応じて時刻クライアント装置２でのクライアント時刻を用いたアプリケーションの動作可否制御を行うようにしたので、高精度な周波数発生装置を必要とすることなく時刻クライアント装置２と物理的に近い場所に時刻監視装置１を配置して時刻差計測を実施できる。
【００６２】
これにより、時刻情報を利用するアプリケーションを実行する時刻クライアント装置２を遠隔地に設置した場合、計測に用いるネットワークの影響を最小限に抑制でき、時刻計測精度や時刻差を正確に検出できる。したがって、時刻クライアント装置２に対して設置位置の制約を課することなく、所望の精度内で時刻クライアント装置２のクライアント時刻を認証することが可能となり、極めて柔軟な時刻認証システムを構築できる。
【００６３】
［命令受信処理］
次に、図４および図５を参照して、本発明の第１の実施の形態にかかる時刻クライアント装置での命令受信動作について説明する。図４は、本発明の第１の実施の形態にかかる時刻監視装置での受信確認処理を示すフローチャートである。図５は、本発明の第１の実施の形態にかかる時刻監視装置での命令実行処理を示すフローチャートである。
【００６４】
時刻クライアント装置２は、命令受信部２４により、常時、２つの命令受信処理を並行して実行している。その一方の処理は、時刻監視装置１からの動作許可命令／動作停止命令の受信確認処理（図４参照）であり、時刻監視装置１からの命令を定期的に受信していることを確認し、一定時間受信しない場合には停止ステータスに変更する処理である。また他方の処理は、時刻監視装置１からの動作許可命令／動作停止命令の命令実行処理（図５参照）であり、時刻監視装置１から受信した命令種別に応じて、内部ステータスを更新する処理である。なお、これら両処理において各変数の値を共通に利用するものとする。
【００６５】
まず、図４を参照して、時刻クライアント装置２の受信確認処理について説明する。
時刻クライアント装置２の命令受信部２４は、受信確認処理において、まず、内部タイマーのタイマー値Ｔを初期値Ｔｋにセットし（ステップ２００）、一定時間Ｓｔ秒待機（スリープ）した後（ステップ２０１）、タイマー値Ｔをデクリメントし（ステップ２０２）、タイマー値Ｔが０であるかを判定する（ステップ２０３）。
【００６６】
ここで、タイマー値Ｔが０でない場合には（ステップ２０３：ＮＯ）、タイマー値Ｔが０の場合にのみタイマー値Ｔを１にセットした後（ステップ２０７）、フラグＦｔが１の場合にのみタイマー値Ｔをリセットし（ステップ２０８）、フラグＦｔを０にセットして（ステップ２０９）、ステップ２０１へ戻る。
また、タイマー値Ｔが０の場合には（ステップ２０３：ＹＥＳ）、現在の動作ステータスを判定し（ステップ２０４）、動作ステータスでない場合には（ステップ２０４：ＮＯ）、ステップ２０７へ移行する。
【００６７】
一方、動作ステータスの場合には（ステップ２０４：ＹＥＳ）、停止ステータスへ変更して（ステップ２０５）、その旨のログ情報を出力し（ステップ２０６）、ステップ２０７へ移行する。
これにより、時刻監視装置１からの命令が定期的に受信されていることが確認され、一定時間受信しない場合には停止ステータスに変更されるため、何らかの理由で時刻監視装置１での監視が適用されなくなった場合には、時刻クライアント装置２でのアプリケーションの実行を自動的に停止できる。
【００６８】
次に、図５を参照して、時刻クライアント装置２の命令実行処理について説明する。
時刻クライアント装置２の命令受信部２４は、命令実行処理において、まず、命令受信状況を示す値ＣとフラグＦｔを初期化した後（ステップ２１０）、時刻クライアント装置２からの命令を受信するまで待機する（ステップ２１１）。命令を受信した場合は、受信命令がアプリケーションに対する動作命令か判定し（ステップ２１２）、動作命令ではなくステータス問い合わせ命令であった場合（ステップ２１２：ＮＯ）、現在のステータスを時刻クライアント装置２に送信して（ステップ２１３）、ステップ２１１へ戻る。
【００６９】
一方、受信した命令が動作命令の場合（ステップ２１２：ＹＥＳ）、フラグＦｔに１をセットした後（ステップ２２０）、当該命令が動作許可命令か判定する（ステップ２２１）。ここで、当該命令が動作許可命令の場合（ステップ２２１：ＹＥＳ）、値Ｃをデクリメントして（ステップ２２２）、値Ｃがゼロより小さくならないよう調整し（ステップ２２３）、値Ｃが０より大きい場合は（ステップ２２４：ＮＯ）、ステップ２１１へ戻る。
【００７０】
ステップ２２１における動作許可命令の判定では、動作停止予告命令についてその命令受信時におけるステータスによって、動作許可命令と動作停止命令のいずれかに判定される。すなわち命令受信時におけるステータスが動作ステータスの場合、動作停止予告命令を動作許可命令であると判定し、命令受信時におけるステータスが停止ステータスの場合、動作停止予告命令を動作停止命令であると判定する。これにより、動作停止予告命令の影響によるステータス変化を抑制でき、アプリケーションの動作制御を安定化することができる。なお、命令受信部２４では、現在のステータスとは別に、受信した命令が動作停止予告命令であるか否かを示すフラグを記憶部に保存しており、アプリケーション部２５から参照可能とする。
【００７１】
また、値Ｃが０の場合には（ステップ２２４：ＹＥＳ）、現在のステータスが停止ステータスでない場合（ステップ２２５：ＮＯ）、現在のステータスを変更せず、ステップ２１１へ戻る。現在のステータスが停止ステータスの場合には（ステップ２２５：ＹＥＳ）、動作ステータスへ変更するとともに（ステップ２２６）、その旨をログ出力した後（ステップ２２７）、ステップ２１１へ戻る。
【００７２】
ステップ２２１において、受信した命令が動作停止命令の場合（ステップ２２１：ＮＯ）、値Ｃをインクリメントする（ステップ２３０）。そして、値Ｃがｋ１以上の場合（ステップ２３１：ＹＥＳ）、現在のステータスが動作ステータスである場合には（ステップ２３２：ＹＥＳ）、停止ステータスへ変更するとともに（ステップ２３３）、その旨をログ出力した後（ステップ２３４）、値Ｃが値ｋ３より大きくならないよう調整した後（ステップ２３５）、ステップ２１１へ戻る。
なお、値Ｃが値ｋ１より小さい場合（ステップ２３１：ＮＯ）や、現在の動作ステータスが停止ステータスの場合は（ステップ２３２：ＮＯ）、現在のステータスを変更せず、ステップ２３５へ移行する。
【００７３】
このように、本実施の形態は、時刻クライアント装置２により、計時したクライアント時刻を時刻監視装置１へ通知して、時刻監視装置１で内部時刻との時刻差を監視し、その監視結果に応じて時刻監視装置１から通知された動作可否命令に応じて、時刻クライアント装置２でのクライアント時刻を用いたアプリケーションの動作可否制御を行うようにしたものである。高精度な周波数発生装置を必要とすることなく時刻クライアント装置２と物理的に近い場所に時刻監視装置１を配置して時刻差計測を実施できる。
【００７４】
これにより、時刻情報を利用するアプリケーションを実行する時刻クライアント装置２を遠隔地に設置した場合、計測に用いるネットワークの影響を最小限に抑制でき、時刻計測精度や時刻差を正確に検出できる。したがって、時刻クライアント装置２に対して設置位置の制約を課することなく、所望の精度内で時刻クライアント装置２のクライアント時刻を認証することが可能となり、極めて柔軟な時刻認証システムを構築できる。
【００７５】
また、命令受信部２４により、受信した所定数の動作可否命令を統計処理し、具体的には値Ｃに基づく計数により、所定数の動作可否命令における動作許可命令と動作停止命令の割合を求め、その統計処理の結果に基づき、アプリケーション部２５により、アプリケーションの動作継続または動作停止を制御するようにしたので、ノイズなどの理由により一時的にクライアント時刻がズレた場合でも、アプリケーションの動作を安定制御することができる。
【００７６】
なお、図５の命令実行処理は、１台の時刻監視装置１により１台の時刻クライアント装置２を監視する場合を例として説明したが、複数台の時刻監視装置１により、１台の時刻クライアント装置２を監視する場合は図６のような処理となる。図６は、本発明の第１の実施の形態にかかる時刻監視装置での他の命令実行処理を示すフローチャートである。
【００７７】
図６の命令実行処理は、図５と比較して、受信した命令を固定長のバッファＯｒｄｅｒに一定個数保存する点が異なる。このバッファに最新の命令を保存する際、最も古い命令を削除する。このようにして順次受信命令をバッファに格納し、バッファ内の動作命令と停止命令の割合(M/j×100)を求める。そして、動作命令の割合が予め設定されたしきい値Ｎ以下に低減した場合は停止ステータスとし、しきい値Ｎを超えた場合は、さらに動作命令の割合としきい値Ｌと比較して、しきい値Ｌを超えた場合に動作ステータスとしている。なお、図４と図６の並列処理において各変数の値を共通に利用するものとする。
【００７８】
［第２の実施の形態］
次に、図７を参照して、本発明の第２の実施の形態にかかる時刻認証システムについて説明する。図７は、本発明の第２の実施の形態にかかる時刻認証システムの構成を示すブロック図であり、前述した図１と同じまたは同等部分には同一符号を付してある。
【００７９】
前述の第１の実施の形態では、時刻監視装置１において、時刻情報発行装置４からの発行時刻情報と同期型公衆回線１０からの同期回線周波数信号に基づき内部時刻を計時する場合を例として説明した。
本実施の形態では、内部時刻を計時する他の構成として、同期回線周波数信号に代えてＧＰＳ等の周波数源装置７からの外部周波数信号を用いており、前述と同様にして計時部１１により内部時刻を計時できる。これにより、同期型公衆回線がない場合には、外部周波数源の周波数信号で時刻監視装置１を運用できる。なお、この他の構成については前述の図１と同様であり、ここでの詳細な説明は省略する。
【００８０】
この際、同期型公衆回線１０を計時部１１に接続して、その同期回線周波数信号と発行時刻情報とから補時計時刻を計時して内部時刻と比較し、この比較結果に応じて時刻監視部１５からアプリケーションの動作可否命令を時刻クライアント装置２へ通知するようにしてもよい。これにより、外部周波数信号の外部周波数源が自走して運用されている場合にも、外部周波数源を監視して異常時にはアプリケーションの動作停止を命令することができる。なお、内部時刻と補時計時刻については、一方について外部周波数信号と発行時刻情報を用い、他方について同期回線周波数信号と発行時刻情報を用いて計時すればよい。
【００８１】
また、内部時刻の監視については、計時部１１により、内部時刻と発行時刻情報との時刻差を監視し、監視結果に応じて時刻監視部１５からアプリケーションの動作可否命令を時刻クライアント装置２へ通知するようにしてもよい。これにより、内部時刻の設定変更を監視して異常時にはアプリケーションの動作停止を命令することができる。
【００８２】
あるいは、計時部１１により、内部タイマーなどの内部周波数源から生成した内部周波数信号に基づき所定の計測期間内に計数したカウント値から経過時間を求めて、内部時刻で計時した同一計測期間での経過時間と比較し、この比較結果に応じて時刻監視部１５からアプリケーションの動作可否命令を時刻クライアント装置２へ通知するようにしてもよい。これにより、内部時刻の設定変更を監視して異常時にはアプリケーションの動作停止を命令することができる。なお、内部周波数源としては、ＣＰＵのリアルタイムクロックなど、プログラムなどにより任意に変更できない耐タンパ性を有する周波数源を用いる。
【００８３】
［第３の実施の形態］
次に、本発明の第３の実施の形態にかかる時刻認証システムについて説明する。
前述の第１の実施の形態では、時刻監視装置１において、時刻クライアント装置２のクライアント時刻と内部時刻との時刻差を計測し、時刻差が許容誤差を超えた時点で時刻クライアント装置２に対してアプリケーションの動作停止命令を通知する場合を例として説明した。
【００８４】
本実施の形態は、時刻監視装置１の時刻監視部１５により、ログ情報１３として記憶部に保存してある計測結果すなわち時刻差の履歴を利用して時刻差の予測値を予測し、その予測値と許容誤差との比較結果に応じてアプリケーションの動作停止予告を時刻クライアント装置２へ通知するようにしたものである。なお、時刻監視部１５以外の構成については前述の図１と同様であり、ここでの詳細な説明は省略する。
【００８５】
時刻監視装置１の時刻監視部１５は、前述した時刻差監視動作の際、前回処理からのログ差分ではなく、これまでに保存された直近の時刻差（履歴）を複数取得し、これら時刻差の時間的変化を示す回帰式を導出する。そして、この回帰式から将来の時刻差を所定の予測範囲において予測し、許容誤差設定情報１４の許容誤差と比較する。ここで、予測値が許容誤差を超える場合は、アプリケーションの動作停止予告を時刻クライアント装置へ通知する。
【００８６】
一般に、時刻クライアント装置２において、ネットワークを介して配送される時刻情報との時刻同期処理において、同期ロックが外れた場合、計時される時刻は正規の時刻から一定の割合で変化して時刻誤差が増加していく。したがって、その変化を回帰分析して将来の時刻差を予測することにより、クライアント時刻が許容誤差を超えることを把握でき、アプリケーションの動作停止を前もって予告できる。これにより、アプリケーションの動作停止を突然通知する場合と比較して、バックアップ装置の準備や重要データの保管など、時刻クライアント装置２側でアプリケーション停止のための準備処理を開始でき、高い信頼性を提供できる。
【００８７】
なお、動作停止予告については、所定の予測範囲内で予測値が許容誤差を超えた時点で通知する場合、時刻クライアント装置２側では、予測範囲の時間以内にアプリケーションの動作停止命令が通知されると判断できる。なお、予測値が許容誤差を超える時刻を動作停止予告で通知してもよく、時刻クライアント装置２側で動作停止命令の通知タイミングを的確に把握できる。
【００８８】
［第４の実施の形態］
次に、図８を参照して、本発明の第４の実施の形態にかかる時刻認証システムについて説明する。図８は、本発明の第４の実施の形態にかかる時刻認証システムの構成を示すブロック図であり、前述した図１と同じまたは同等部分には同一符号を付してある。
【００８９】
前述の第１の実施の形態では、時刻監視装置１において、時刻情報発行装置４からの発行時刻情報と同期型公衆回線１０からの同期回線周波数信号に基づき内部時刻を計時する場合を例として説明した。
本実施の形態では、時刻情報発行装置４の代替手段として、同期型公衆回線１０からの同期回線周波数信号により運用される時刻サーバ装置８を用いる場合について説明する。なお、時刻サーバ装置８および時刻監視装置１の計時部１１以外の構成については前述の図１と同様であり、ここでの詳細な説明は省略する。
【００９０】
時刻サーバ装置８は、サーバなどの情報処理装置からなり、同期型公衆回線１０からの同期回線周波数信号に基づきサーバ時刻を計時する機能と、その時刻情報をネットワークを介して時刻監視装置１に配送する機能とを有している。
本実施の形態では、時刻監視装置１および時刻サーバ装置８は、同一の同期回線周波数信号で運用されることになる。時刻認定業者運用装置５Ａから時刻同期命令が送信された場合、時刻サーバ装置８は同期型公衆回線１０を利用して時刻情報を時刻監視装置１へ配送することにより、計時部１１が計時する内部時刻を時刻サーバ装置８のサーバ時刻へ同期させる。これにより、時刻情報発行装置４を別途用意することなく時刻認証システムを構築できる。
【００９１】
なお、時刻サーバ装置８にうるう秒挿入準備がされている場合には、時刻監視装置１の計時部１１が計時する内部時計にうるう秒挿入準備を自動的に行う。時刻サーバ装置８に対する時刻検査命令は、時刻認定業者運用装置５Ａまたは時刻監視装置１から送信可能とし、運用者の目視による監視、および監視機能による自動的な自己監視を可能とする。時刻サーバ装置８は、時刻認定業者運用装置５Ａの状態表示命令の内容に応じて動作状態を時刻認定業者運用装置５Ａに送信する。また、リセット命令もしくは終了命令に応じて、時刻サーバ装置８のリセット（動作初期化）もしくは停止を行う。
【００９２】
［第５の実施の形態］
次に、図９を参照して、本発明の第５の実施の形態にかかる時刻認証システムについて説明する。図９は、本発明の第５の実施の形態にかかる時刻認システムの構成を示すブロック図であり、前述した図１と同じまたは同等部分には同一符号を付してある。
【００９３】
前述の第１の実施の形態では、時刻監視装置１において、時刻クライアント装置２のクライアント時刻と内部時刻との時刻差を計測して許容誤差と比較し、その比較結果に応じて時刻クライアント装置２に対してアプリケーションの動作停止命令を通知する場合を例として説明した。
【００９４】
本実施の形態では、時刻クライアント装置２のアプリケーション部２５が、時刻監視装置１に内部ステータスを問い合わせ、そのステータスの状態に応じてアプリケーションの動作可否を制御する場合について説明する。なお、本実施の形態では、時刻監視装置１に命令受信部１８が追加され、時刻クライアント装置２から命令受信部２４およびシステム認証部２６が削除されているが、その他の構成については前述の図１と同様であり、ここでの詳細な説明は省略する。
【００９５】
時刻監視装置１の命令受信部１８は、時刻クライアント装置２からの動作状態すなわち内部ステータスの問い合わせに応じて時刻監視部１５での時刻監視の動作状態を返送する機能を有している。
時刻クライアント装置２のアプリケーション部２５は、ネットワークを介して時刻監視装置１の命令受信部１８へ内部ステータスを問い合わせ、返送されてきたステータスの状態に応じて動作を制御する。
【００９６】
アプリケーション部２５からの問い合わせについては、予めタイムアウト時間Ｔｏが設定されており、問い合わせからタイムアウト時間Ｔｏの期間が経過しても、時刻監視装置１から内部ステータスを取得できない場合、アプリケーション部２５は、タイムアウトエラーとしてログ出力して動作を終了する。
また、タイムアウトエラーが一定回数連続してカウントされた場合、もしくは一定時間を超えてタイムアウトエラーが連続して観測された場合、アプリケーション部２５は、エラーステータスすなわち時刻認定未実施状態としてアプリケーションの動作を制御する。
【００９７】
これにより、時刻クライアント装置２側から時刻監視装置１の動作状況を監視でき、その監視結果に基づきアプリケーションの動作を制御できるため、より信頼性の高い時刻認証システムを実現できる。
【００９８】
以上の各実施の形態において、時刻監視用装置１、時刻クライアント装置２、各運用装置内の制御コマンド送信装置６Ａ，６Ｂは、コンソール出力や入力手段を物理的に持たないように構成されることが望ましい。これらの装置に障害が発生した場合には、装置運用場所から別の場所へ移送し、修理後に運用場所へ戻すといった運用が望まれる。
【図面の簡単な説明】
【００９９】
【図１】図１は、本発明の第１の実施の形態にかかる遠隔時刻認定システムの構成を示すブロック図である。
【図２】本発明の第１の実施の形態にかかる時刻監視装置での時刻差監視処理を示すフローチャートである。
【図３】本発明の第１の実施の形態にかかる時刻監視装置での時刻差監視処理（続き）を示すフローチャートである。
【図４】本発明の第１の実施の形態にかかる時刻監視装置での受信確認処理を示すフローチャートである。
【図５】本発明の第１の実施の形態にかかる時刻監視装置での命令実行処理を示すフローチャートである。
【図６】本発明の第１の実施の形態にかかる時刻監視装置での他の命令実行処理を示すフローチャートである。
【図７】本発明の第２の実施の形態にかかる時刻認証システムの構成を示すブロック図である。
【図８】本発明の第４の実施の形態にかかる時刻認証システムの構成を示すブロック図である。
【図９】本発明の第５の実施の形態にかかる時刻認システムの構成を示すブロック図である。
【符号の説明】
【０１００】
１…時刻監視装置、１１…計時部、１２…時刻差計測部、１３…計測結果ログ情報、１４…許容誤差設定情報、１５…時刻監視部、１６…システム認証部、１７…運用管理部、１８…命令受信部、２…時刻クライアント装置、２１…計時部、２２…時刻通知部、２３…ログ情報、２４…命令受信部、２５…アプリケーション部、２６…システム認証部、２７…運用管理部、３…時刻配送装置、４…時刻情報発行装置、５Ａ…時刻認定業者運用装置、５Ｂ…ＴＡ／ＴＳＡ運用装置、６Ａ，６Ｂ…制御コマンド送信装置、７…周波数源装置、８…時刻サーバ装置、１０…同期型公衆回線。
【図１】
0004739829.tif 000002
【図２】
0004739829.tif 000003
【図３】
0004739829.tif 000004
【図４】
0004739829.tif 000005
【図５】
0004739829.tif 000006
【図６】
0004739829.tif 000007
【図７】
0004739829.tif 000008
【図８】
0004739829.tif 000009
【図９】
0004739829.tif 000010