(57)【特許請求の範囲】
【請求項１】
データ管理装置であって、
データ収集処理の履歴に関する収集履歴情報と、前記データ収集処理に関連付けられた公開鍵を用いて前記収集履歴情報から生成された第１のハッシュ値の暗号化情報と、を受信する受信処理部と、
前記収集履歴情報から第２のハッシュ値を生成する生成処理部と、
前記データ収集処理に関連付けられた秘密鍵を用いて前記暗号化情報が復元された第１のハッシュ値と前記第２のハッシュ値とが一致する場合に、前記収集履歴情報を保持する保持部と、
を備え、
前記データ収集処理は、当該データ管理装置への収集データの取得経路上に存在する複数のデータ処理装置により時系列で実行される複数のデータ収集処理の一つであり、
前記受信処理部は、前記複数のデータ収集処理のそれぞれについて、前記収集履歴情報と前記第１のハッシュ値の暗号化情報とを受信し、
前記生成処理部は、前記複数のデータ収集処理のそれぞれについて、前記収集履歴情報から第２のハッシュ値を生成し、
前記保持部は、前記複数のデータ収集処理のそれぞれについて、前記データ収集処理に関連付けられた秘密鍵を用いて前記暗号化情報が復元された第１のハッシュ値と前記第２のハッシュ値とが一致する場合に、前記収集履歴情報を保持するデータ管理装置。
【請求項２】
前記収集履歴情報は、収集データに行われた加工処理の履歴に関する加工履歴情報である、請求項１記載のデータ管理装置。
【請求項３】
前記加工履歴情報は、前記加工処理が行われた加工時刻と、前記加工処理を実行するための加工プログラムの識別情報との少なくとも一方を含む、請求項２記載のデータ管理装置。
【請求項４】
前記加工履歴情報は、前記加工処理の前のデータと、前記加工処理の後のデータとの少なくとも一方を含む、請求項２又は３記載のデータ管理装置。
【請求項５】
前記収集履歴情報は、収集データがデータ処理装置を通過した通過履歴に関する通過履歴情報である、請求項１記載のデータ管理装置。
【請求項６】
前記通過履歴情報は、前記収集データが前記データ処理装置を通過した通過時刻と、前記収集データが通過した前記データ処理装置の識別情報との少なくとも一方を含む、請求項５記載のデータ管理装置。
【請求項７】
前記受信処理部は、前記複数のデータ処理装置うち前記取得経路上において最も当該データ管理装置側に存在するデータ収集装置から、前記収集履歴情報と前記第１のハッシュ値の暗号化情報とを受信する、請求項１乃至６のうち何れか１項記載のデータ管理装置。
【請求項８】
データ管理装置により行われるデータ管理方法であって、
データ収集処理の履歴に関する収集履歴情報と、前記データ収集処理に関連付けられた公開鍵を用いて前記収集履歴情報から生成された第１のハッシュ値の暗号化情報と、を受信することと、
前記収集履歴情報から第２のハッシュ値を生成することと、
前記データ収集処理に関連付けられた秘密鍵を用いて前記暗号化情報が復元された第１のハッシュ値と前記第２のハッシュ値とが一致する場合に、前記収集履歴情報を保持することと、
を備え、
前記データ収集処理は、前記データ管理装置への収集データの取得経路上に存在する複数のデータ処理装置により時系列で実行される複数のデータ収集処理の一つであり、
前記受信することは、前記複数のデータ収集処理のそれぞれについて、前記収集履歴情報と前記第１のハッシュ値の暗号化情報とを受信することを含み、
前記生成することは、前記複数のデータ収集処理のそれぞれについて、前記収集履歴情報から第２のハッシュ値を生成することを含み、
前記保持することは、前記複数のデータ収集処理のそれぞれについて、前記データ収集処理に関連付けられた秘密鍵を用いて前記暗号化情報が復元された第１のハッシュ値と前記第２のハッシュ値とが一致する場合に、前記収集履歴情報を保持することを含むデータ管理方法。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、センサーデバイスなどによって得られたデータの収集を行うデータ管理装置、データ処理装置、及びデータ管理方法に関する。
【背景技術】
【０００２】
ＩｏＴ（Internet  of  Things）技術の普及により、これまでＩＴ（Information  Technology）システムが対象としていなかった領域で、実世界で起こる事象のデジタル化とデータ収集、及びＡＩ（Artificial  Intelligence）技術などを使った収集データに対する分析が積極的に行われている。
【０００３】
このようなデータ分析は、収集されるデータの質および量の影響を大きく受けることになる。このため、利用するデータの信憑性を担保しつつより多くのデータを収集することが重要となる。
【０００４】
一方、ＩｏＴ用のデータの収集方式では、集約装置などによりエリアを統括するエッジ機器が、エリア内で収集されたデータの変換や集約などの加工処理を行うことにより、通信コストの低減及びデータ二次利用時の加工処理に要するコストの低減など、効率の良いデータ収集を行う手法が広まっている。このような手法は、例えば、エッジコンピューティング、フォグコンピューティングなどと呼ばれている。
【０００５】
例えば、特許文献１には、デバイス同士をペアリングし、このペアリング情報を用いて、モノのインターネット（ＩｏＴ）クラウドを含むクラウド環境において当該デバイスからの要求（たとえばデータ交換要求）を承認または拒否するための、セキュアなデータ管理技術が記載されている。
【先行技術文献】
【特許文献】
【０００６】
【特許文献１】特表２０１８−５０３９１１号公報
【発明の概要】
【発明が解決しようとする課題】
【０００７】
しかしながら上述した特許文献１に開示されている技術などでは、収集されたデータの信憑性を確認することについて何ら考慮されていないため、データ収集経路で発生しうるデータの改竄を適切に防止することができなかった。
【０００８】
本発明の目的は、データ収集経路で発生しうるデータの改竄を適切に防止することが可能なデータ管理装置、データ処理装置、及びデータ管理方法を提供することにある。
【課題を解決するための手段】
【０００９】
本発明の一つの態様によれば、データ管理装置は、データ収集処理の履歴に関する収集履歴情報と、上記データ収集処理に関連付けられた公開鍵を用いて上記収集履歴情報から生成された第１のハッシュ値の暗号化情報と、を受信する受信処理部と、上記収集履歴情報から第２のハッシュ値を生成する生成処理部と、上記データ収集処理に関連付けられた秘密鍵を用いて上記暗号化情報が復元された第１のハッシュ値と上記第２のハッシュ値とが一致する場合に、上記収集履歴情報を保持する保持部と、を備える。
【００１０】
本発明の一つの態様によれば、データ処理装置は、データ収集処理の履歴に関する収集履歴情報を取得する取得部と、上記データ収集処理に関連付けられた公開鍵を用いて、上記収集履歴情報から第１のハッシュ値の暗号化情報を生成する生成処理部と、上記収集履歴情報と上記第１のハッシュ値の暗号化情報とを送信する送信処理部と、を備える。
【００１１】
本発明の一つの態様によれば、データ管理方法は、データ収集処理の履歴に関する収集履歴情報と、上記データ収集処理に関連付けられた公開鍵を用いて上記収集履歴情報から生成された第１のハッシュ値の暗号化情報と、を受信することと、上記収集履歴情報から第２のハッシュ値を生成することと、上記データ収集処理に関連付けられた秘密鍵を用いて上記暗号化情報が復元された第１のハッシュ値と上記第２のハッシュ値とが一致する場合に、上記収集履歴情報を保持することと、を備える。
【発明の効果】
【００１２】
本発明の一つの態様によれば、データ収集経路で発生しうるデータの改竄を適切に防止することが可能になる。なお、本発明により、当該効果の代わりに、又は当該効果とともに、他の効果が奏されてもよい。
【図面の簡単な説明】
【００１３】
【図１】図１は、本発明が適用された実施形態に係るシステム１の概略的な構成の一例を示す説明図である。
【図２】図２は、第１の実施形態に係るデータ管理装置１００の概略的な構成の例を示すブロック図である。
【図３】図３は、第１の実施形態に係るエッジ装置２００の概略的な構成の例を示すブロック図である。
【図４】図４は、他のエッジ装置２００から受信したデータ４１、収集データ４２、及び他のエッジ装置２００により行われた加工履歴データ４３の具体例を示す図である。
【図５】図５は、加工履歴データを時系列に並べたデータ構造を示す図である。
【図６】図６は、収集データ６１と加工履歴データの時系列データ６２とを結合した送信データ６３の具体例を示す図である。
【図７】図７は、収集データテーブル７０の具体例を示す図である。
【図８】図８は、加工履歴データテーブル８０の具体例を示す図である。
【図９】図９は、データ流通事業者により審査済みの加工プログラム情報９０の具体例を示す図である。
【図１０】図１０は、他のエッジ装置２００から受信したデータ１００１、収集データ１００２、及び他のエッジ装置２００を通過した通過履歴データ１００３の具体例を示す図である。
【図１１】図１１は、通過履歴データを時系列に並べたデータ構造を示す図である。
【図１２】図１２は、収集データ１２０１と通過履歴データの時系列データ１２０２とを結合した送信データ１２０３の具体例を示す図である。
【図１３】図１３は、通過履歴データテーブル１３００の具体例を示す図である。
【図１４】図１４は、データ流通事業者により審査済みのデータ処理装置情報１４００の具体例を示す図である。
【図１５】図１５は、第３の実施形態に係るデータ管理装置１００の概略的な構成の例を示すブロック図である。
【図１６】図１６は、第３の実施形態に係るエッジ装置２００の概略的な構成の例を示すブロック図である。
【発明を実施するための形態】
【００１４】
以下、添付の図面を参照して本発明の実施形態を詳細に説明する。なお、本明細書及び図面において、同様に説明されることが可能な要素については、同一の符号を付することにより重複説明が省略され得る。
【００１５】
説明は、以下の順序で行われる。
１．本発明の実施形態の概要
２．システムの構成
３．第１の実施形態
３．１．データ管理装置１００の構成
３．２．エッジ装置２００の構成
３．３．動作例
４．第２の実施形態
４．１．データ管理装置１００およびエッジ装置２００の構成
４．２．動作例
５．第３の実施形態
５．１．データ管理装置１００の構成
５．２．データ処理装置３００の構成
５．３．動作例
６．他の実施形態
【００１６】
＜＜１．本発明の実施形態の概要＞＞
まず、本発明の実施形態の概要を説明する。
【００１７】
（１）技術的課題
ＩｏＴ（Internet  of  Things）技術の普及により、これまでＩＴ（Information  Technology）システムが対象としていなかった領域で、実世界で起こる事象のデジタル化とデータ収集、及びＡＩ（Artificial  Intelligence）技術などを使った収集データに対する分析が積極的に行われている。
【００１８】
このようなデータ分析は、収集されるデータの質および量の影響を大きく受けることになる。このため、利用するデータの信憑性を担保しつつより多くのデータを収集することが重要となる。
【００１９】
一方、ＩｏＴ用のデータの収集方式では、集約装置などによりエリアを統括するエッジ機器が、エリア内で収集されたデータの変換や集約などの加工処理を行うことにより、通信コストの低減及びデータ二次利用時の加工処理に要するコストの低減など、効率の良いデータ収集を行う手法が広まっている。このような手法は、例えば、エッジコンピューティング、フォグコンピューティングなどと呼ばれている。
【００２０】
しかしながら、例えば、エッジコンピューティングを想定したデータ収集システムの場合、データ利用者は、収集されたデータに対して、収集経路上のエッジ機器内でどのような加工処理が行われたデータであるかを知るすべがなかった。すなわち、データ利用事業において、データ流通事業者が提供するデータの信憑性を確認する手段がなかった。データ利用者が安心してデータを利用するためには、データ収集経路で発生しうるデータの改竄を適切に防止することが必要となる。
【００２１】
そこで、本実施形態では、データ収集経路で発生しうるデータの改竄を適切に防止することを目的とする。
【００２２】
（２）技術的特徴
本発明の実施形態では、データ収集処理の履歴に関する収集履歴情報と、上記データ収集処理に対応する公開鍵を用いて上記収集履歴情報から生成された第１のハッシュ値の暗号化情報と、を受信し、上記収集履歴情報から第２のハッシュ値を生成し、上記データ収集処理に関連付けられた秘密鍵を用いて上記暗号化情報が復元された第１のハッシュ値と上記第２のハッシュ値とが一致する場合に、上記収集履歴情報を保持する。
【００２３】
これにより、例えば、データ収集経路で発生しうるデータの改竄を適切に防止することが可能になる。なお、上述した技術的特徴は本発明の実施形態の具体的な一例であり、当然ながら、本発明の実施形態は、上述した技術的特徴に限定されない。
【００２４】
＜＜２．システムの構成＞＞
図１を参照して、本発明が適用された実施形態に係るシステム１の構成の例を説明する。図１は、本発明が適用された実施形態に係るシステム１の概略的な構成の一例を示す説明図である。図１を参照すると、システム１は、複数のデータ収集装置３１、３２（総称した場合、単に「データ収集装置２０」と呼ぶ。）、複数のデータ処理装置２０１−２０５（総称した場合、単に「エッジ装置２００」と呼ぶ。）、及びデータ管理装置１００を含む。
【００２５】
上記構成からなるシステム１によれば、データ収集装置３０により収集されたデータが、複数のエッジ装置２００を介して集約されて、データ管理装置１００により管理される。また、図１を参照すると、例えば、データ収集装置３１により収集された収集データは、まずデータ処理装置２０１を通過し、続いて任意のエッジ装置２００を通過し、更にデータ処理装置２０５を通過して最終的にデータ管理装置１００に到達する。また、データ収集装置３２により収集された収集データは、まずデータ処理装置２０２を通過し、続いて任意のエッジ装置２００を通過し、更にデータ処理装置２０５を通過して最終的にデータ管理装置１００に到達する。また、データ収集装置３０により収集されたデータは、後述するように、任意のエッジ装置２００により加工プログラムに従った加工処理が施される。
【００２６】
＜＜３．第１の実施形態＞＞
続いて、図２〜図９を参照して、第１の実施形態を説明する
【００２７】
＜３．１．データ管理装置１００の構成＞
次に、図２を参照して、第１の実施形態に係るデータ管理装置１００の構成の例を説明する。図２は、第１の実施形態に係るデータ管理装置１００の概略的な構成の例を示すブロック図である。図２を参照すると、データ管理装置１００は、ネットワーク通信部１１０、記憶部１２０、及び処理部１３０を備える。
【００２８】
（１）ネットワーク通信部１１０
ネットワーク通信部１１０は、ネットワークから信号を受信し、ネットワークへ信号を送信する。
【００２９】
（２）記憶部１２０
記憶部１２０は、データ管理装置１００の動作のためのプログラム（命令）及びパラメータ、並びに様々なデータを、一時的に又は恒久的に記憶する。当該プログラムは、データ管理装置１００の動作のための１つ以上の命令を含む。
【００３０】
（３）処理部１３０
処理部１３０は、データ管理装置１００の様々な機能を提供する。処理部１３０は、受信処理部１３１、生成処理部１３３、保持部１３５、及び公開処理部１３７を含む。なお、処理部１３０は、これらの構成要素以外の他の構成要素をさらに含み得る。即ち、処理部１３０は、これらの構成要素の動作以外の動作も行い得る。受信処理部１３１、生成処理部１３３、保持部１３５、及び公開処理部１３７の具体的な動作は、後に詳細に説明する。
【００３１】
（４）実装例
ネットワーク通信部１１０は、ネットワークアダプタ並びに／又はネットワークインタフェースカード等により実装されてもよい。記憶部１２０は、メモリ（例えば、不揮発性メモリ及び／若しくは揮発性メモリ）並びに／又はハードディスク等により実装されてもよい。処理部１３０は、１つ以上のプロセッサにより実装されてもよい。受信処理部１３１、生成処理部１３３、保持部１３５、及び公開処理部１３７は、同一のプロセッサにより実装されてもよく、別々に異なるプロセッサにより実装されてもよい。上記メモリ（記憶部１２０）は、上記１つ以上のプロセッサ内に含まれていてもよく、又は、上記１つ以上のプロセッサ外にあってもよい。
【００３２】
データ管理装置１００は、プログラム（命令）を記憶するメモリと、当該プログラム（命令）を実行可能な１つ以上のプロセッサとを含んでもよい。当該１つ以上のプロセッサは、上記プログラムを実行して、処理部１３０の動作（受信処理部１３１、生成処理部１３３、保持部１３５、及び／又は公開処理部１３７の動作）を行ってもよい。上記プログラムは、処理部１３０の動作（受信処理部１３１、生成処理部１３３、保持部１３５、及び／又は公開処理部１３７の動作）をプロセッサに実行させるためのプログラムであってもよい。
【００３３】
＜３．２．エッジ装置２００の構成＞
次に、図３を参照して、第１の実施形態に係るエッジ装置２００の構成の例を説明する。図３は、第１の実施形態に係るエッジ装置２００の概略的な構成の例を示すブロック図である。図３を参照すると、エッジ装置２００は、ネットワーク通信部２１０、記憶部２２０、及び処理部２３０を備える。エッジ装置２００は、例えばエッジ機器などと呼ばれてもよい。
【００３４】
（１）ネットワーク通信部２１０
ネットワーク通信部２１０は、ネットワークから信号を受信し、ネットワークへ信号を送信する。
【００３５】
（２）記憶部２２０
記憶部２２０は、エッジ装置２００の動作のためのプログラム（命令）及びパラメータ、並びに様々なデータを、一時的に又は恒久的に記憶する。当該プログラムは、データ管理装置１００の動作のための１つ以上の命令を含む。
【００３６】
（３）処理部２３０
処理部２３０は、エッジ装置２００の様々な機能を提供する。処理部２３０は、取得部２１３、起動部２３３、生成処理部２３５、及び送信処理部２３７を含む。なお、処理部２３０は、これらの構成要素以外の他の構成要素をさらに含み得る。即ち、処理部２３０は、これらの構成要素の動作以外の動作も行い得る。取得部２１３、起動部２３３、生成処理部２３５、及び送信処理部２３７の具体的な動作は、後に詳細に説明する。
【００３７】
（４）実装例
ネットワーク通信部２１０は、ネットワークアダプタ並びに／又はネットワークインタフェースカード等により実装されてもよい。記憶部２２０は、メモリ（例えば、不揮発性メモリ及び／若しくは揮発性メモリ）並びに／又はハードディスク等により実装されてもよい。処理部２３０は、１つ以上のプロセッサにより実装されてもよい。取得部２１３、起動部２３３、生成処理部２３５、送信処理部２３７は、同一のプロセッサにより実装されてもよく、別々に異なるプロセッサにより実装されてもよい。上記メモリ（記憶部２２０）は、上記１つ以上のプロセッサ内に含まれていてもよく、又は、上記１つ以上のプロセッサ外にあってもよい。
【００３８】
エッジ装置２００は、プログラム（命令）を記憶するメモリと、当該プログラム（命令）を実行可能な１つ以上のプロセッサとを含んでもよい。当該１つ以上のプロセッサは、上記プログラムを実行して、処理部２３０の動作（取得部２１３、起動部２３３、生成処理部２３５、及び／又は送信処理部２３７の動作）を行ってもよい。上記プログラムは、処理部２３０の動作（取得部２１３、起動部２３３、生成処理部２３５、及び／又は送信処理部２３７の動作）をプロセッサに実行させるためのプログラムであってもよい。
【００３９】
＜３．３．動作例＞
次に、第１の実施形態に係る動作例について説明する。
【００４０】
第１の実施形態によれば、エッジ装置２００（取得部２３１）は、加工プログラムに従った収集データのための加工処理に関する加工履歴情報を取得する。また、エッジ装置２００（生成処理部２３５）は、上記加工処理に関連付けられた公開鍵を用いて、上記加工履歴情報から第１のハッシュ値の暗号化情報を生成する。また、エッジ装置２００（送信処理部２３７）は、上記収集履歴情報と上記第１のハッシュ値の暗号化情報とを送信する。
【００４１】
一方、データ管理装置１００（受信処理部１３１）は、収集データに行われた加工処理の履歴に関する加工履歴情報と、上記加工処理に関連付けられた公開鍵を用いて上記加工履歴情報から生成された第１のハッシュ値の暗号化情報と、を受信する。また、データ管理装置１００（生成処理部１３３）は、上記加工履歴情報から第２のハッシュ値を生成する。また、データ管理装置１００（保持部１３５）は、上記加工処理に関連付けられた秘密鍵を用いて上記暗号化情報が復元された第１のハッシュ値と上記第２のハッシュ値とが一致する場合に、上記加工履歴情報を保持する。
【００４２】
また、図１に示したように、複数のエッジ装置２００のそれぞれにより、収集データに収集加工プログラムに従った加工処理が施される場合には、データ管理装置１００は、次のような処理を行う。
【００４３】
すなわち、データ管理装置１００（受信処理部１３１）は、各々のエッジ装置２００で行われる加工処理について、加工履歴情報と第１のハッシュ値の暗号化情報とを受信する。また、データ管理装置１００（生成処理部１３３）は、各々のエッジ装置２００で行われる加工処理について、上記加工履歴情報から第２のハッシュ値を生成する。また、データ管理装置１００（保持部１３５）は、各々のエッジ装置２００で行われる加工処理について、上記加工処理に関連付けられた秘密鍵を用いて上記暗号化情報が復元された第１のハッシュ値と上記第２のハッシュ値とが一致する場合に、上記加工履歴情報を保持する。
【００４４】
とりわけ、図１に示すように、データ管理装置１００は、データ処理装置２０５から、各々のエッジ装置２００に関する加工履歴情報と第１のハッシュ値の暗号化情報とを受信する。
【００４５】
第１の実施形態によれば、上記第１のハッシュ値と上記第２のハッシュ値とが一致する場合に、上記加工履歴情報が改竄されていないことが確認され、上記加工履歴情報が保持されるので、データ収集経路で発生しうるデータの改竄を適切に防止することが可能になる。
【００４６】
（１）エッジ装置２００の具体的な構成
−起動部２３３
起動部２３３は、加工プログラムに電子署名データが設定されている場合に、上記加工プログラムを起動して、収集データの加工処理を開始する。具体的に、エッジ装置２００（起動部２３３）は、例えば記憶部１２０に記憶されている電子証明書を用いて、起動対象となる加工プログラムに付与された電子署名データから復元したハッシュ値と、加工プログラムから生成したハッシュ値との照合を行い、照合に成功した場合に、加工プログラムの起動を行う。
【００４７】
−取得部２３１
取得部２３１は、対象のエッジ装置２００よりもデータ収集装置３０側に存在する他のエッジ装置２００から受信したデータから、収集データと他のエッジ装置２００により行われた加工履歴データに分ける。図４は、他のエッジ装置２００から受信したデータ４１、収集データ４２、及び他のエッジ装置２００により行われた加工履歴データ４３の具体例を示す図である。
【００４８】
取得部２３１は、収集データ４２と加工履歴データ４３のうち、収集データ４２に対して加工プログラムに従った加工処理を行う。そして、取得部２３１は、収集データ４２と加工履歴データ４３と、加工処理後のデータとを、生成処理部１３３に送信する。
【００４９】
−生成処理部２３５
生成処理部２３５は、取得部２３１から送信された収集データと加工処理後のデータを参照して、加工処理が行われた加工時刻、加工プログラムの識別情報（加工プログラムＩＤ）、加工処理前のデータ（収集データ）、及び加工処理後のデータの値から、ハッシュ値（上記第１のハッシュ値に相当）を生成する。
【００５０】
図５は、加工履歴データを時系列に並べたデータ構造を示す図である。図５を参照すると、生成処理部２３５は、他のエッジ装置２００の加工処理に関する加工時刻５０１、加工プログラムＩＤ５０２、加工前データ５０３、加工後データ５０４及びハッシュ値５０５を互いに対応付けた加工履歴データ（図４に示す加工履歴データ４３に相当する。）と、取得部２３１により行われた加工処理に関する加工時刻５１１、加工プログラムＩＤ５１２、加工前データ５１３、加工後データ５１４及びハッシュ値５１５を互いに対応付けた加工履歴データを時系列に並べた時系列データを生成する。
【００５１】
具体的には、生成処理部２３５は、加工時刻５１１、加工プログラムＩＤ５１２、加工前データ５１３、加工後データ５１４、及びハッシュ値５１５を対応付けた加工履歴データを、他のエッジ装置２００により受信した加工履歴データの後に追加することにより、時系列データを生成する。このような時系列データを遡ることで、データ利用者は加工履歴をバックトレースすることが可能になる。また、加工プログラムＩＤと加工プログラム名とを関連付けることにより、加工プログラム名を用いて検索対象の加工プログラムを検索することが可能となる。
【００５２】
−送信処理部２３７
送信処理部２３７は、収集データと、加工履歴データの時系列データとを結合して、データ管理装置１００又はデータ管理装置１００側に存在する他のエッジ装置２００に送信する。
【００５３】
図６は、収集データ６１と加工履歴データの時系列データ６２とを結合した送信データ６３の具体例を示す図である。
【００５４】
（２）データ管理装置１００の具体的な構成
−受信処理部１３１
受信処理部１３１は、エッジ装置２００から、収集データに行われた加工処理の履歴に関する加工履歴情報と、上記加工処理に関連付けられた公開鍵を用いて上記加工履歴情報から生成された第１のハッシュ値の暗号化情報と、を受信する。また、受信処理部１３１は、加工プログラムＩＤに関連付けられた秘密鍵を用いて、第１のハッシュ値を復元する。そして、受信処理部１３１は、受信したデータを生成処理部１３３に送信する。
【００５５】
−生成処理部１３３
生成処理部１３３は、各々のエッジ装置２００により行われた加工処理ごとに、加工履歴情報から第２のハッシュ値を生成する。
【００５６】
−保持部１３５
保持部１３５は、各々のエッジ装置２００により行われた加工処理ごとに、生成処理部１３３により生成された第２のハッシュ値と、受信処理部１３１により受信された第１のハッシュ値と、を比較して、一致した場合にのみ、該当する加工履歴情報を保持する。具体的には、保持部１３５は、該当する加工履歴情報が記憶部１２０に格納する。一方、保持部１３５は、第１のハッシュ値と第２のハッシュ値が一致しない場合には、対応関係にある加工履歴データに改竄があったと判断して、例えば、記憶部１２０に格納することなく破棄する。
【００５７】
保持部１３５は、データの識別情報（データＩＤ）、データ収集装置３０の識別情報（データ収集装置ＩＤ）、データ取得時刻、及び収集データを互いに対応付けた収集データテーブルを、記憶部１２０に格納する。図７は、データの識別情報（データＩＤ）、データ収集装置３０の識別情報（データ収集装置ＩＤ）、データ取得時刻、及び収集データを互いに対応付けた収集データテーブル７０の具体例を示す図である。以上のように、保持部１３５は、データの格納と同時に収集データテーブル７０内で収集データレコードを一意に識別する値を自動的に設定し、その設定値を上述したデータＩＤとして格納する。
【００５８】
また、保持部１３５は、データの識別情報（データＩＤ）、収集データに対する加工履歴情報の加工時刻、加工プログラム名、加工前データ、及び加工後データを互いに対応付けた加工履歴データテーブルを、記憶部１２０に格納する。図８は、データの識別情報（データＩＤ）、収集データに対するデータ加工履歴情報の加工時刻、加工プログラム名、加工前データ、及び加工後データを互いに対応付けた加工履歴データテーブル８０の具体例を示す図である。ここで、加工履歴データテーブル８０では、収集データテーブル７０で設定されたデータＩＤと加工時刻の値が、加工履歴レコードを一意に識別する複合キーとして用いられる。
【００５９】
さらに、保持部１３５は、データ流通事業者により審査済みの加工プログラム情報を、記憶部１２０に格納する。図９は、データ流通事業者により審査済みの加工プログラム情報９０の具体例を示す図である。図９を参照すると、加工プログラム情報９０は、加工プログラムの識別情報（加工プログラムＩＤ）、登録日、登録者、秘密鍵、加工内容、及び加工プログラムのコード情報を含む。
【００６０】
−公開処理部１３７
公開処理部１３７は、データ利用者に対し、記憶部１２０に格納された収集データテーブル７０および加工履歴データテーブル８０に含まれる各種データを取得し、取得した収集データおよび加工履歴情報をデータＩＤ単位で表示する。また、公開処理部１３７は、加工プログラムＩＤをキーに取得した加工プログラム情報９０を表示する。
【００６１】
（３）処理の流れ
次に、第１の実施形態における処理の流れについて説明する。
【００６２】
まず、データ流通事業者は、各々のエッジ装置２００（エッジ装置）で行う加工処理プログラムについて、事前に処理内容に恣意性がないことを確認した後、加工プログラムからハッシュ値を生成する。
【００６３】
次に、事前に作成された秘密鍵と公開鍵のうちの秘密鍵を用いて電子署名として暗号化されたハッシュ値と、公開鍵を元に電子認証局から発行された電子証明書と、加工プログラムとが生成される。電子署名を施し認可した加工プログラムの情報は、データ流通事業者により、事前に各々のエッジ装置２００の記憶部２２０に格納される。
【００６４】
一方、エッジ装置２００（起動部２３３）は、エッジ装置２００の起動に際し、対象となる加工プログラムの電子署名データから復元されたハッシュ値と、加工プログラムから生成したハッシュ値との照合を行う。ここで、エッジ装置２００（起動部２３３）は、２つのハッシュ値が一致した場合、認可されたプログラムと判断し、当該加工プログラムを起動する。これにより、エッジ装置２００において加工処理を行う加工プログラムを事業者が認可したものだけに限定することが可能となり、事業者による電子署名を施されてないプログラムによる改竄を排除することができる。
【００６５】
次に、エッジ装置２００（取得部２３１）は、ネットワーク通信部２１０により他のエッジ装置２００から受信したデータを、収集データと加工履歴データに分割する。エッジ装置２００（取得部２３１）は、収集データを入力として加工プログラムに従った加工処理を行い、加工後データを取得する。続けて、エッジ装置２００（取得部２３１）は、収集データと加工後データと加工履歴データを生成処理部２３５に送信する。
【００６６】
生成処理部２３５は、データの受信時刻を加工時刻（Processing time）として、加工プログラムの名前をProgram IDとして、収集データをBefore valueとして、加工後データをAfter valueとして、加工時刻、加工プログラムID、加工前データ、加工後データを用いて第１のハッシュ値を生成する。そして、生成処理部２３５は、第１のハッシュ値に対して加工プログラムに電子署名を施した電子証明書に関連付けられた公開鍵で暗号化を施した値をHash valueとして、１レコードの加工履歴データを生成する。
【００６７】
生成された１レコードの加工履歴データは、生成処理部２３５が受信した加工履歴データの最後尾に追加される。その後、加工履歴データは、送信処理部２３７により収集データと結合され、エッジ装置２００側の収集経路上に存在する他のデータ処理装置（エッジ機器）に送信される。
【００６８】
次に、データ管理装置１００（受信処理部１３１）は、エッジ装置２００から受信した収集データと一連の加工履歴データとを分割する。そして、データ管理装置１００は、加工履歴データに含まれる第１のハッシュ値と、加工履歴データに含まれる加工履歴情報から生成される第２のハッシュ値とが一致する場合に、該当する収集データと加工履歴情報を記憶部１２０に保持（格納）する。
【００６９】
公開処理部１３７は、データ利用者によるデータＩＤをキーとしたアクセス要求に応じて、記憶部１２０に格納された収集データを表示する。また、公開処理部１３７は、データ利用者によるデータＩＤをキーとしたアクセス要求に応じて、加工履歴情報を表示する。さらに、公開処理部１３７は、データ利用者による加工プログラムＩＤをキーとしたアクセス要求に応じて、加工プログラム情報を表示する。
【００７０】
以上のように、第１の実施形態によれば、データ利用者が、データ収集段階で各々のエッジ装置２００（エッジ機器）上で行われた加工処理について恣意的なデータ改変がないかどうかを検証することが可能となる。
【００７１】
＜＜４．第２の実施形態＞＞
続いて、図１０〜図１４を参照して、第２の実施形態を説明する
【００７２】
＜４．１．データ管理装置１００およびエッジ装置２００の構成＞
まず、第２の実施形態に係るデータ管理装置１００は、第１の実施形態において参照した図２に示す構成と同様であるため、その説明を省略する。また、第２の実施形態に係るエッジ装置２００は、第１の実施形態において参照した図３に示す構成と同様であるため、その説明を省略する。
【００７３】
＜４．２．動作例＞
次に、第２の実施形態に係る動作例について説明する。
【００７４】
第２の実施形態によれば、エッジ装置２００（取得部２３１）は、収集データがデータ処理装置を通過した通過履歴に関する通過履歴情報を取得する。また、エッジ装置２００（生成処理部２３５）は、エッジ装置２００に関連付けられた公開鍵を用いて、上記通過履歴情報から第１のハッシュ値の暗号化情報を生成する。また、エッジ装置２００（送信処理部２３７）は、上記通過履歴情報と上記第１のハッシュ値の暗号化情報とを送信する。
【００７５】
一方、データ管理装置１００（受信処理部１３１）は、収集データがエッジ装置２００を通過した履歴に関する通過履歴情報と、エッジ装置２００に関連付けられた公開鍵を用いて上記通過履歴情報から生成された第１のハッシュ値の暗号化情報と、を受信する。また、データ管理装置１００（生成処理部１３３）は、上記通過履歴情報から第２のハッシュ値を生成する。また、データ管理装置１００（保持部１３５）は、エッジ装置２００に関連付けられた秘密鍵を用いて上記暗号化情報から復元された第１のハッシュ値と上記第２のハッシュ値とが一致する場合に、上記通過履歴情報を保持する。
【００７６】
また、図１に示したように、収集データが複数のエッジ装置２００を通過してデータ管理装置１００に送信される場合には、データ管理装置１００は次のような処理を行う。
【００７７】
すなわち、データ管理装置１００（受信処理部１３１）は、各々のエッジ装置２００について、通過履歴情報と第１のハッシュ値の暗号化情報とを受信する。また、データ管理装置１００（生成処理部１３３）は、各々のエッジ装置２００について、上記通過履歴情報から第２のハッシュ値を生成する。また、データ管理装置１００（保持部１３５）は、各々のエッジ装置２００について、エッジ装置２００に関連付けられた秘密鍵を用いて上記暗号化情報から復元された第１のハッシュ値と上記第２のハッシュ値とが一致する場合に、上記通過履歴情報を保持する。
【００７８】
とりわけ、図１に示すように、データ管理装置１００は、データ処理装置２０５から、各々のエッジ装置２００に関する通過履歴情報と第１のハッシュ値の暗号化情報とを受信する。
【００７９】
第２の実施形態によれば、上記第１のハッシュ値と上記第２のハッシュ値とが一致する場合に、上記通過履歴情報が改竄されていないことが確認され、上記通過履歴情報が保持されるので、データ収集経路で発生しうるデータの改竄を適切に防止することが可能になる。
【００８０】
（１）エッジ装置２００の具体的な構成
−取得部２３１
取得部２３１は、対象のエッジ装置２００よりもデータ収集装置３０側に存在する他のエッジ装置２００から受信したデータから、収集データと他のエッジ装置２００を通過した通過履歴データに分ける。図１０は、他のエッジ装置２００から受信したデータ１００１、収集データ１００２、及び他のエッジ装置２００を通過した通過履歴データ１００３の具体例を示す図である。そして、取得部２３１は、収集データ１００２と通過履歴データ１００３を、生成処理部１３３に送信する。
【００８１】
−生成処理部２３５
生成処理部２３５は、取得部２３１から送信された収集データと通過履歴データを参照して、収集データが対象のデータ管理装置１００を通過する通過時刻と、収集データが通過する対象のエッジ装置２００の識別情報（装置ＩＤ）から、ハッシュ値（上記第１のハッシュ値に相当）を生成する。
【００８２】
図１１は、通過履歴データを時系列に並べたデータ構造を示す図である。図１１を参照すると、生成処理部２３５は、収集データが通過する他のエッジ装置２００の識別情報（エッジＩＤ１１０１）、他のエッジ装置２００における収集データの通過時刻に関する通過時刻１１０２、及びハッシュ値１１０３を互いに対応付けた通過履歴データ（図１０に示す通過履歴データ１００３に相当する。）と、対象のエッジ装置２００の識別情報（エッジＩＤ１１１１）、対象のエッジ装置２００における収集データの通過時刻１１１２及びハッシュ値１１１３を互いに対応付けた通過履歴データを時系列に並べた時系列データを生成する。
【００８３】
具体的には、生成処理部２３５は、エッジＩＤ１１１１、通過時刻１１１２、及びハッシュ値１１１３を対応付けた通過履歴データを、他のエッジ装置２００により受信した通過履歴データの後に追加することにより、時系列データを生成する。このような時系列データを遡ることで、データ利用者は通過履歴をバックトレースすることが可能になる。また、エッジＩＤと通過時刻とを関連付けることにより、収集データの中継を行ったエッジ装置２００を検索することが可能となる。
【００８４】
−送信処理部２３７
送信処理部２３７は、収集データと、通過履歴データの時系列データとを結合して、データ管理装置１００又はデータ管理装置１００側に存在する他のエッジ装置２００に送信する。
【００８５】
図１２は、収集データ１２０１と通過履歴データの時系列データ１２０２とを結合した送信データ１２０３の具体例を示す図である。
【００８６】
（２）データ管理装置１００の具体的な構成
−受信処理部１３１
受信処理部１３１は、エッジ装置２００から、収集データがエッジ装置２００を通過した履歴に関する通過履歴情報と、エッジ装置２００に関連付けられた公開鍵を用いて通過履歴情報から生成された第１のハッシュ値の暗号化情報と、を受信する。また、受信処理部１３１は、エッジ装置２００に関連付けられた秘密鍵を用いて、第１のハッシュ値を復元する。そして、受信処理部１３１は、受信したデータを生成処理部１３３に送信する。
【００８７】
−生成処理部１３３
生成処理部１３３は、収集データが通過した各々のエッジ装置２００ごとに、対応する通過履歴情報から第２のハッシュ値を生成する。
【００８８】
−保持部１３５
保持部１３５は、収集データが通過した各々のエッジ装置２００ごとに、生成処理部１３３により生成された第２のハッシュ値と、受信処理部１３１により受信された第１のハッシュ値と、を比較して、一致した場合にのみ、該当する通過履歴情報を保持する。具体的には、保持部１３５は、該当する通過履歴情報が記憶部１２０に格納する。一方、保持部１３５は、第１のハッシュ値と第２のハッシュ値が一致しない場合には、対応関係にある通過履歴データに改竄があったと判断して、例えば、記憶部１２０に格納することなく破棄する。
【００８９】
保持部１３５は、収集データの識別情報（データＩＤ）、収集データがエッジ装置２００を通過した通過時刻、及び収集データが通過するエッジ装置２００の識別情報（エッジＩＤ）を互いに対応付けた通過履歴データテーブルを、記憶部１２０に格納する。図１３は、収集データの識別情報（データＩＤ）、収集データがエッジ装置２００を通過した通過時刻、及び収集データが通過するエッジ装置２００の識別情報（エッジＩＤ）を互いに対応付けた通過履歴データテーブル１３００の具体例を示す図である。以上のように、保持部１３５は、データの格納と同時に通過履歴データテーブル１３００内で収集データレコードを一意に識別する値を自動的に設定し、その設定値を上述したデータＩＤとして格納する。
【００９０】
また、保持部１３５は、データ流通事業者によりエッジ装置２００に関するデータ処理装置情報を、記憶部１２０に格納する。図１４は、データ流通事業者により審査済みのデータ処理装置情報１４００の具体例を示す図である。図１４を参照すると、データ処理装置情報１４００は、エッジ装置２００の識別情報（エッジＩＤ）、登録日、登録者、エッジ装置２００に対して登録された電子証明書を含む。
【００９１】
−公開処理部１３７
公開処理部１３７は、データ利用者に対し、記憶部１２０に格納された通過履歴データテーブル１３００に含まれる各種データを取得し、取得した収集データおよび通過履歴情報をデータＩＤ単位で表示する。また、公開処理部１３７は、エッジＩＤをキーに取得したデータ処理装置情報１４００を表示する。
【００９２】
（３）処理の流れ
次に、第２の実施形態における処理の流れについて説明する。
【００９３】
まず、データ流通事業者は、各々のエッジ装置２００（エッジ装置）が、事前に信頼できる業者が製造したものか、信頼できる業者が設置したものかを確認する。その後、データ流通事業者は、事前に作成した秘密鍵と公開鍵のうち、秘密鍵をデータ管理装置１００（記憶部１２０）に、公開鍵を元に電子認証局から発行された電子証明書をデータ管理装置１００（記憶部２２０）に格納する。
【００９４】
次に、エッジ装置２００（取得部２３１）は、ネットワーク通信部２１０により他のエッジ装置２００から受信したデータを、収集データと通過履歴データに分割する。続けて、エッジ装置２００（取得部２３１）は、収集データと通過履歴データとを生成処理部２３５に送信する。
【００９５】
生成処理部２３５は、データの受信時刻（通過時刻）をPassed timeとして、当該エッジ装置２００の識別情報をEdge IDとして、Passed timeとEdge IDを用いて第１のハッシュ値を生成する。そして、生成処理部２３５は、第１のハッシュ値に対してエッジ装置２００（記憶部２２０）内の電子証明書に関連付けられた公開鍵で暗号化を施した値をHash valueとして、１レコードの通過履歴データを生成する。
【００９６】
生成した通過履歴データは、生成処理部２３５が受信した通過履歴データの最後尾に追加される。その後、通過履歴データは送信処理部２３７により収集データと結合され、エッジ装置２００側の収集経路上に存在する他のエッジ装置２００（エッジ機器）に送信される。
【００９７】
データ管理装置１００（受信処理部１３１）は、エッジ装置２００から受信した収集データと一連の通過履歴データとを分割する。そして、データ管理装置１００は、通過履歴データに含まれる第１のハッシュ値と、通過履歴データに含まれる通過履歴情報から生成される第２のハッシュ値とが一致する場合に、該当する収集データと通過履歴情報を記憶部１２０に保持（格納）する。
【００９８】
公開処理部１３７は、データ利用者によるデータＩＤをキーとしたアクセス要求に応じて、記憶部１２０に格納された収集データを表示する。また、公開処理部１３７は、データ利用者によるデータＩＤをキーとしたアクセス要求に応じて、通過履歴情報を表示する。さらに、公開処理部１３７は、データ利用者によるエッジＩＤをキーとしたアクセス要求に応じて、データ利用者による要求に応じて、データ処理装置情報を表示する。
【００９９】
以上のように、第２の実施形態によれば、データ利用者が、データ収集段階で各々のエッジ装置２００（エッジ機器）上で行われた処理について恣意的なデータ改変がないかどうかを検証することが可能となる。
【０１００】
＜＜５．第３の実施形態＞＞
続いて、図１５及び図１６を参照して、本発明の第３の実施形態を説明する。上述した第１及び第２の実施形態は、具体的な実施形態であるが、第３の実施形態は、より一般化された実施形態である。
【０１０１】
＜５．１．データ管理装置１００の構成＞
図１５は、第３の実施形態に係るデータ管理装置１００の概略的な構成の例を示すブロック図である。図１５を参照すると、データ管理装置１００は、受信処理部１４１、生成処理部１４３、及び保持部１４５を備える。
【０１０２】
受信処理部１４１、生成処理部１４３、及び保持部１４５は、１つ以上のプロセッサと、メモリ（例えば、不揮発性メモリ及び／若しくは揮発性メモリ）並びに／又はハードディスクとにより実装されてもよい。受信処理部１４１、生成処理部１４３、及び保持部１４５は、同一のプロセッサにより実装されてもよく、別々に異なるプロセッサにより実装されてもよい。上記メモリは、上記１つ以上のプロセッサ内に含まれていてもよく、又は、上記１つ以上のプロセッサ外にあってもよい。
【０１０３】
＜５．２．データ処理装置３００の構成＞
図１６は、第３の実施形態に係るエッジ装置２００の概略的な構成の例を示すブロック図である。図１６を参照すると、エッジ装置２００は、取得部３１１、生成処理部３１３、及び送信処理部３１５を備える。
【０１０４】
取得部３１１、生成処理部３１３、及び送信処理部３１５は、１つ以上のプロセッサと、メモリ（例えば、不揮発性メモリ及び／若しくは揮発性メモリ）並びに／又はハードディスクとにより実装されてもよい。取得部３１１、生成処理部３１３、及び送信処理部３１５は、同一のプロセッサにより実装されてもよく、別々に異なるプロセッサにより実装されてもよい。上記メモリは、上記１つ以上のプロセッサ内に含まれていてもよく、又は、上記１つ以上のプロセッサ外にあってもよい。
【０１０５】
＜５．３．動作例＞
第３の実施形態に係る動作例を説明する。
【０１０６】
第３の実施形態によれば、データ管理装置１００（受信処理部１４１）は、データ収集処理の履歴に関する収集履歴情報と、上記データ収集処理に関連付けられた公開鍵を用いて上記収集履歴情報から生成された第１のハッシュ値の暗号化情報と、を受信する。また、データ管理装置１００（生成処理部１４３）は、上記収集履歴情報から第２のハッシュ値を生成する。また、データ管理装置１００（保持部１４５）は、上記データ収集処理に関連付けられた秘密鍵を用いて上記暗号化情報が復元された第１のハッシュ値と上記第２のハッシュ値とが一致する場合に、上記収集履歴情報を保持する。
【０１０７】
また、第３の実施形態によれば、データ処理装置３００（取得部３１１）は、データ収集処理の履歴に関する収集履歴情報を取得する。また、データ処理装置３００（生成処理部３１３）は、上記データ収集処理に関連付けられた公開鍵を用いて、上記収集履歴情報から第１のハッシュ値の暗号化情報を生成する。また、データ処理装置３００（送信処理部３１５）は、上記収集履歴情報と上記第１のハッシュ値の暗号化情報とを送信する。
【０１０８】
−第１及び第２の実施形態との関係
一例として、第３の実施形態に係るデータ管理装置１００が備える受信処理部１４１、生成処理部１４３、及び保持部１４５は、それぞれ、第１又は第２の実施形態に係るデータ管理装置１００が備える受信処理部１３１、生成処理部１３３、及び保持部１３５の動作を行ってもよい。また、第３の実施形態に係るエッジ装置２００が備える取得部３１１、生成処理部３１３、及び送信処理部３１５は、それぞれ、第１又は第２の実施形態に係るエッジ装置２００が備える取得部２３１、生成処理部２３５、及び送信処理部２３７の動作を行ってもよい。この場合に、第１及び第２の実施形態についての説明は、第３の実施形態にも適用されうる。なお、第３の実施形態は、この例に限定されない。
【０１０９】
以上、第３の実施形態を説明した。第３の実施形態によれば、例えば、上記第１のハッシュ値と上記第２のハッシュ値とが一致する場合に、上記通過履歴情報が改竄されていないことが確認され、上記通過履歴情報が保持されるので、データ収集経路で発生しうるデータの改竄を適切に防止することが可能になる。
【０１１０】
＜＜６．他の実施形態＞＞
以上、本発明の実施形態を説明したが、本発明はこれらの実施形態に限定されるものではない。これらの実施形態は例示にすぎないということ、及び、本発明のスコープ及び精神から逸脱することなく様々な変形が可能であるということは、当業者に理解されるであろう。
【０１１１】
例えば、本明細書に記載されている処理におけるステップは、必ずしもシーケンス図に記載された順序に沿って時系列に実行されなくてよい。例えば、処理におけるステップは、シーケンス図として記載した順序と異なる順序で実行されても、並列的に実行されてもよい。また、処理におけるステップの一部が削除されてもよく、さらなるステップが処理に追加されてもよい。
【０１１２】
また、本明細書において説明したデータ管理装置の構成要素（例えば、受信処理部、生成処理部、及び／又は保持部）を備える装置（例えば、データ管理装置を構成する複数の装置（又はユニット）のうちの１つ以上の装置（又はユニット）、又は上記複数の装置（又はユニット）のうちの１つのためのモジュール）が提供されてもよい。また、上記構成要素の処理を含む方法が提供されてもよく、上記構成要素の処理をプロセッサに実行させるためのプログラムが提供されてもよい。また、当該プログラムを記録したコンピュータに読み取り可能な非一時的記録媒体（Non-transitory  computer  readable  medium）が提供されてもよい。当然ながら、このような装置、モジュール、方法、プログラム、及びコンピュータに読み取り可能な非一時的記録媒体も本発明に含まれる。
【０１１３】
また、本明細書において説明したエッジ装置又はデータ処理装置の構成要素（例えば、取得部、生成処理部、及び／又は送信処理部）を備える装置（例えば、エッジ装置又はデータ処理装置を構成する複数の装置（又はユニット）のうちの１つ以上の装置（又はユニット）、又は上記複数の装置（又はユニット）のうちの１つのためのモジュール）が提供されてもよい。また、上記構成要素の処理を含む方法が提供されてもよく、上記構成要素の処理をプロセッサに実行させるためのプログラムが提供されてもよい。また、当該プログラムを記録したコンピュータに読み取り可能な非一時的記録媒体（Non-transitory  computer  readable  medium）が提供されてもよい。当然ながら、このような装置、モジュール、方法、プログラム、及びコンピュータに読み取り可能な非一時的記録媒体も本発明に含まれる。
【０１１４】
上記実施形態の一部又は全部は、以下の付記のようにも記載され得るが、以下には限られない。
【０１１５】
（付記１）
データ収集処理の履歴に関する収集履歴情報と、前記データ収集処理に関連付けられた公開鍵を用いて前記収集履歴情報から生成された第１のハッシュ値の暗号化情報と、を受信する受信処理部と、
前記収集履歴情報から第２のハッシュ値を生成する生成処理部と、
前記データ収集処理に関連付けられた秘密鍵を用いて前記暗号化情報が復元された第１のハッシュ値と前記第２のハッシュ値とが一致する場合に、前記収集履歴情報を保持する保持部と、
を備えるデータ管理装置。
【０１１６】
（付記２）
前記収集履歴情報は、収集データに行われた加工処理の履歴に関する加工履歴情報である、付記１記載のデータ管理装置。
【０１１７】
（付記３）
前記加工履歴情報は、前記加工処理が行われた加工時刻と、前記加工処理を実行するための加工プログラムの識別情報との少なくとも一方を含む、付記２記載のデータ管理装置。
【０１１８】
（付記４）
前記加工履歴情報は、前記加工処理の前のデータと、前記加工処理の後のデータとの少なくとも一方を含む、付記２又は３記載のデータ管理装置。
【０１１９】
（付記５）
前記収集履歴情報は、収集データがデータ処理装置を通過した通過履歴に関する通過履歴情報である、付記１記載のデータ管理装置。
【０１２０】
（付記６）
前記通過履歴情報は、前記収集データが前記データ処理装置を通過した通過時刻と、前記収集データが通過した前記データ処理装置の識別情報との少なくとも一方を含む、付記５記載のデータ管理装置。
【０１２１】
（付記７）
前記データ収集処理は、複数のデータ収集処理の一つであり、
前記受信処理部は、前記複数のデータ収集処理のそれぞれについて、前記収集履歴情報と前記第１のハッシュ値の暗号化情報とを受信し、
前記生成処理部は、前記複数のデータ収集処理のそれぞれについて、前記収集履歴情報から第２のハッシュ値を生成し、
前記保持部は、前記複数のデータ収集処理のそれぞれについて、前記データ収集処理に関連付けられた秘密鍵を用いて前記暗号化情報が復元された第１のハッシュ値と前記第２のハッシュ値とが一致する場合に、前記収集履歴情報を保持する、付記１乃至６のうち何れか１項記載のデータ管理装置。
【０１２２】
（付記８）
前記複数のデータ収集処理のそれぞれは、収集データの取得経路上に存在する複数のデータ処理装置により実行され、
前記受信処理部は、複数のデータ処理装置のうちの一つのデータ処理装置から、前記収集履歴情報と前記第１のハッシュ値の暗号化情報とを受信する、付記７記載のデータ管理装置。
【０１２３】
（付記９）
データ収集処理の履歴に関する収集履歴情報を取得する取得部と、
前記データ収集処理に関連付けられた公開鍵を用いて、前記収集履歴情報から第１のハッシュ値の暗号化情報を生成する生成処理部と、
前記収集履歴情報と前記第１のハッシュ値の暗号化情報とを送信する送信処理部と、を備えるデータ処理装置。
【０１２４】
（付記１０）
前記収集履歴情報は、加工プログラムに従った収集データのための加工処理に関する加工履歴情報である、付記９記載のデータ処理装置。
【０１２５】
（付記１１）
前記加工プログラムに電子署名データが設定されている場合に、前記加工プログラムを起動して前記収集データの加工処理を開始する起動部を更に備える、付記１０記載のデータ処理装置。
【０１２６】
（付記１２）
データ収集処理の履歴に関する収集履歴情報と、前記データ収集処理に関連付けられた公開鍵を用いて前記収集履歴情報から生成された第１のハッシュ値の暗号化情報と、を受信することと、
前記収集履歴情報から第２のハッシュ値を生成することと、
前記データ収集処理に関連付けられた秘密鍵を用いて前記暗号化情報が復元された第１のハッシュ値と前記第２のハッシュ値とが一致する場合に、前記収集履歴情報を保持することと、
を備えるデータ管理方法。
【０１２７】
（付記１３）
データ収集処理の履歴に関する収集履歴情報を取得することと、
前記データ収集処理に関連付けられた公開鍵を用いて、前記収集履歴情報から第１のハッシュ値の暗号化情報を生成することと、
前記収集履歴情報と前記第１のハッシュ値の暗号化情報とを送信することと、を備えるデータ処理方法。
【０１２８】
（付記１４）
データ収集処理の履歴に関する収集履歴情報と、前記データ収集処理に関連付けられた公開鍵を用いて前記収集履歴情報から生成された第１のハッシュ値の暗号化情報と、を受信することと、
前記収集履歴情報から第２のハッシュ値を生成することと、
前記データ収集処理に関連付けられた秘密鍵を用いて前記暗号化情報が復元された第１のハッシュ値と前記第２のハッシュ値とが一致する場合に、前記収集履歴情報を保持することと、
をプロセッサに実行させるためのプログラム。
【０１２９】
（付記１５）
データ収集処理の履歴に関する収集履歴情報を取得することと、
前記データ収集処理に関連付けられた公開鍵を用いて、前記収集履歴情報から第１のハッシュ値の暗号化情報を生成することと、
前記収集履歴情報と前記第１のハッシュ値の暗号化情報とを送信することと、
をプロセッサに実行させるためのプログラム。
【産業上の利用可能性】
【０１３０】
データを収集するシステムにおいて、データ収集経路で発生しうるデータの改竄を適切に防止することが可能になる。
【符号の説明】
【０１３１】
１  システム
１００  データ管理装置
１３１、１４１  受信処理部
１３３、１４３、２３５、３１３  生成処理部
１３５、１４５  保持部
１３７  公開処理部
２００  エッジ装置
２３１、３１１  取得部
２３３  起動部
２３７、３１５  送信処理部
３００  データ処理装置
【図１】
0006897743.tif 000002
【図２】
0006897743.tif 000003
【図３】
0006897743.tif 000004
【図４】
0006897743.tif 000005
【図５】
0006897743.tif 000006
【図６】
0006897743.tif 000007
【図７】
0006897743.tif 000008
【図８】
0006897743.tif 000009
【図９】
0006897743.tif 000010
【図１０】
0006897743.tif 000011
【図１１】
0006897743.tif 000012
【図１２】
0006897743.tif 000013
【図１３】
0006897743.tif 000014
【図１４】
0006897743.tif 000015
【図１５】
0006897743.tif 000016
【図１６】
0006897743.tif 000017