(57)【要約】【課題】車両に搭載されたロガーが攻撃されてもログデータが保全されるサーバー保存型のシステムであって、さらに、ログデータの完全性を、サーバーおよびサーバー管理者の信頼に依存しないで担保するシステムを可能にする。【解決手段】車両に含まれるデータ保存装置、計算リソース提供装置および地域データセンタを含むブロックチェーン技術を用いたセキュアロギングシステムであって、データ保存装置は、車両で生成されるセキュアデータを含む車両データを生成し、車両データを地域データセンタに送信し、地域データセンタは、車両データと、ブロックチェーン技術によって生成された直前のブロックデータのハッシュ値と、ナンスを含むブロックデータを記憶し、ナンスは、前記ナンスを含むブロックデータのハッシュ値があらかじめ定められた条件に合致する値になるように計算リソース提供装置によって決定されることを特徴とする。【選択図】図１
2020076877.tif 000002
【特許請求の範囲】
【請求項１】
車両に含まれるデータ保存装置および計算リソース提供装置、並びに、前記データ保存装置および前記計算リソース提供装置と無線接続される地域データセンタを含むブロックチェーン技術を用いたセキュアロギングシステムであって、
前記データ保存装置は、前記車両で生成されるセキュアデータを含む車両データを生成し、前記車両データを前記地域データセンタに送信し、
前記地域データセンタは、前記車両データと、前記ブロックチェーン技術によって生成された直前のブロックデータのハッシュ値と、ナンスを含むブロックデータを記憶し、
前記ナンスは、前記ナンスを含む前記ブロックデータのハッシュ値があらかじめ定められた条件に合致する値になるように前記計算リソース提供装置によって決定され、前記計算リソース提供装置から前記地域データセンタに送信されたナンスであることを特徴とするセキュアロギングシステム。
【請求項２】
前記地域データセンタは、前記計算リソース提供装置から受信した前記ナンスを含む前記ブロックデータのハッシュ値があらかじめ定められた条件に合致する値になることを確認した後に、前記ブロックデータを他の地域データセンタに送信することを特徴とする請求項１に記載のセキュアロギングシステム。
【請求項３】
前記他の地域データセンタは、前記地域データセンタから受信した前記ナンスを含む前記ブロックデータのハッシュ値があらかじめ定められた条件に合致する値になることを確認した後に、前記ブロックデータを記憶することを特徴とする請求項２に記載のセキュアロギングシステム。
【請求項４】
前記地域データセンタは、前記計算リソース提供装置から受信した前記ナンスを含む前記ブロックデータのハッシュ値があらかじめ定められた条件に合致する値にならない場合には、前記ナンスを破棄することを特徴とする請求項１乃至３のいずれか一項に記載のセキュアロギングシステム。
【請求項５】
前記地域データセンタは、前記車両データと、前記ブロックチェーン技術によって生成された直前のブロックデータのハッシュ値である前ブロックハッシュ値とを含むナンス付与前ブロックデータを前記計算リソース提供装置に送信する前に、ナンス計算開始通知を他の地域データセンタに送信することを特徴とする請求項１乃至４のいずれか一項に記載のセキュアロギングシステム。
【請求項６】
前記地域データセンタは、前記ナンス計算開始通知とともに前記ナンス付与前ブロックデータを前記他の地域データセンタに送信し、前記他の地域データセンタは前記他の地域データセンタに属する前記計算リソース提供装置に前記ナンス付与前ブロックデータを送信し、ナンス計算を開始させることを特徴とする請求項５に記載のセキュアロギングシステム。
【請求項７】
前記データ保存装置は、前記セキュアデータを記憶し、前記セキュアデータのハッシュ値であるセキュアハッシュ情報を生成し、前記セキュアデータの代わりに前記セキュアハッシュ情報を含む車両ハッシュ化データを生成し、前記車両データの代わりに前記車両ハッシュ化データを前記地域データセンタに送信し、前記地域データセンタは、前記車両データの代わりに前記車両ハッシュ化データを使用することを特徴とする請求項１乃至６のいずれか一項に記載のセキュアロギングシステム。
【請求項８】
前記地域データセンタは、前記ブロックデータを生成した時刻を示すブロックデータ生成時刻情報を生成し、前記地域データセンタ間で前記ブロックデータ生成時刻情報を共有し、前記ブロックデータを生成した前記地域データセンタは、前記ブロックデータの生成後であってナンス計算調停期間の間はナンス計算希望通知を送信せずに、ナンス計算希望通知を送信した他の地域データセンタの中で最も遅い前記ブロックデータ生成時刻情報を有する前記他の地域データセンタが前記ブロックデータを生成することを特徴とする請求項１乃至７のいずれか一項に記載のセキュアロギングシステム。
【請求項９】
前記計算リソース提供装置は、ナンス計算部でナンスを導出するための計算リソースに余剰がある場合には、計算提供リクエストを生成し、いずれかの前記地域データセンタに前記計算提供リクエストを送信することを特徴とする請求項１乃至８のいずれか一項に記載のセキュアロギングシステム。
【請求項１０】
前記データ保存装置、前記計算リソース提供装置および前記地域データセンタは、入出力制御部を有し、前記入出力制御部は制御情報を送受信し、送受信される情報の消失および送受信される情報の改変を防止することを特徴とする請求項１乃至９のいずれか一項に記載のセキュアロギングシステム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、車両に搭載されたロガーが攻撃されてもログデータが保全されるサーバー保存型のシステムであって、さらに、ログデータの完全性を、サーバーおよびサーバー管理者の信頼に依存しないで担保するセキュアロギングシステムに関する。
【背景技術】
【０００２】
従来から、車両、特に自動車における車載ロガーとして、デジタルタコグラフやタクシーメーターなどがある。しかし、高度な技術を持つ攻撃者によってログデータの完全性が侵害され、ログデータが改ざんされる可能性がある。また、ログデータをサーバーに保存している場合には、車載ロガーに対する攻撃が発生してもログデータ改ざんの恐れはない。しかし、サーバーに保存されたログデータの完全性は、サーバーおよびサーバー管理者の信用に依存しており、当該信用が問題になる場合には、ログデータの完全性を確保したとは言い切れない。
【０００３】
前述の問題に対して、従来からデータの完全性を担保する技術として、データ保存機器の物理的封印、暗号技術を利用したデータ認証、サーバーへの保存、ブロックチェーン技術の利用等が提案されている。
【０００４】
例えば、データ保存機器の物理的封印では、金属による封印やシールによる封印などが用いられており、いずれも、封印の物理的破壊によって開封がなされる。したがって、物理的破壊が存在していないことが目視によって確認されることによって、保存されたデータの完全性が担保される。
【０００５】
また、暗号技術を利用したデータ認証は、ＡＥＳ(Advanced Encryption Standard)やＲＳＡ(Rivest Shamir Adleman)などの暗号技術を用いて改ざん防止のための認証子や電子署名などを付与する技術である。認証子や電子署名は、秘密情報を持つものしか作れないことから、秘密情報を他者に保有させないことによって、データの完全性を担保することになる。
【０００６】
さらに、電子機器としての信頼性はクライアント機器よりもサーバーの方が高いと言われている。したがって、サーバー保存方式では、クライアント機器からサーバーにログデータを移動させることで、データの完全性を担保している。
【０００７】
さらに、ブロックチェーン技術を利用するビットコイン等のシステムでは、膨大な計算量が必要な計算結果を使用するので、計算結果を簡単には算出できないことを拠り所として、特定の者の信頼性に依らずにデータの完全性を担保している。以上説明した従来技術のブロックチェーン技術の具体例を以下に示す。
【先行技術文献】
【特許文献】
【０００８】
【特許文献１】特開２０１７−１８７７７７号公報
【発明の概要】
【発明が解決しようとする課題】
【０００９】
しかし、上記従来技術のデータ保存機器の物理的封印においては、物理的破壊後に、物理的封印の再生が可能であれば、データ改ざんの事実を知られずに、データ改ざんが出来てしまうという課題がある。例えば、物理的破壊を伴わない電気的な手段による攻撃には無力である。
【００１０】
また、上記従来技術の暗号技術を利用したデータ認証においては、秘密情報が漏えいしたという事実を認識することが難しいため、秘密情報の漏えい後の改ざん検知は困難であるという課題がある。さらに、サーバー保存方式では、サーバーの信頼性に頼れない揚合には、データの完全性を担保できない。さらに、ビットコイン等に使用されるブロックチェーン技術では、データの完全性を担保している膨大な計算量を提供するモチベーションの維持が金銭的対価以外では困難であり、金銭的価値を生むシステム以外への適用は、システム維持が難しい。また、膨大な計算リソースの過半数を、特定の者が制御できる状況となった場合、データの完全性を担保出来なくなる可能性があるという課題もある。
【００１１】
そこで、本発明は、車両に搭載されたロガーが攻撃されてもログデータが保全されるサーバー保存型のシステムであって、さらに、ログデータの完全性を、サーバーおよびサーバー管理者の信頼に依存しないで担保するセキュアロギングシステムを提供することを目的とする。また、利用者に不便を生じさせることなく、特段のインセンティブを生じさせなくとも膨大な計算量を確保でき、かつ、特定の者が計算リソースの過半数を占めることが非常に困難なシステムを提供することを目的とする。
【課題を解決するための手段】
【００１２】
上記課題を解決するため、本発明は次のような構成を採用する。
すなわち、請求項１に係るセキュアロギングシステムの発明は、車両に含まれるデータ保存装置および計算リソース提供装置、並びに、前記データ保存装置および前記計算リソース提供装置と無線接続される地域データセンタを含むブロックチェーン技術を用いたセキュアロギングシステムであって、
前記データ保存装置は、前記車両で生成されるセキュアデータを含む車両データを生成し、前記車両データを前記地域データセンタに送信し、
前記地域データセンタは、前記車両データと、前記ブロックチェーン技術によって生成された直前のブロックデータのハッシュ値と、ナンスを含むブロックデータを記憶し、
前記ナンスは、前記ナンスを含む前記ブロックデータのハッシュ値があらかじめ定められた条件に合致する値になるように前記計算リソース提供装置によって決定され、前記計算リソース提供装置から前記地域データセンタに送信されたナンスであることを特徴とする。
【００１３】
上記構成によれば、車両に搭載されたロガーが攻撃されてもログデータが保全されるサーバー保存型のシステムであって、さらに、ログデータの完全性を、サーバーおよびサーバー管理者の信頼に依存しないで担保するシステムが実現できる。また、利用者に不便を生じさせることなく、特段のインセンティブを生じさせなくとも膨大な計算量を確保でき、かつ、特定の者が計算リソースの過半数を占めることが非常に困難なシステムを提供することができる。
【００１４】
上記課題を解決するために、請求項２に係る発明は、請求項１に記載のセキュアロギングシステムにおいて、前記地域データセンタは、前記計算リソース提供装置から受信した前記ナンスを含む前記ブロックデータのハッシュ値があらかじめ定められた条件に合致する値になることを確認した後に、前記ブロックデータを他の地域データセンタに送信することを特徴とする。
【００１５】
上記構成によれば、ブロックデータを他の地域データセンタと共有することができるようになり、ブロックデータを自地域データセンタのみで保存するよりも、より高度に完全性を担保することが可能なセキュアロギングシステムを実現できる。
【００１６】
上記課題を解決するために、請求項３に係る発明は、請求項２に記載のセキュアロギングシステムにおいて、前記他の地域データセンタは、前記地域データセンタから受信した前記ナンスを含む前記ブロックデータのハッシュ値があらかじめ定められた条件に合致する値になることを確認した後に、前記ブロックデータを記憶することを特徴とする。
【００１７】
上記構成によれば、特定の地域データセンタの信頼性に対する依存性がより少ないセキュアロギングシステムを実現し、セキュアデータの完全性の担保をより高度に実現することができる。
【００１８】
上記課題を解決するために、請求項４に係る発明は、請求項１乃至３のいずれか一項に記載のセキュアロギングシステムにおいて、前記地域データセンタは、前記計算リソース提供装置から受信した前記ナンスを含む前記ブロックデータのハッシュ値があらかじめ定められた条件に合致する値にならない場合には、前記ナンスを破棄することを特徴とする。
【００１９】
上記構成によれば、完全性を担保すべきセキュアデータの完全性が担保されない状態で保存されることを防ぐことが可能になる。
【００２０】
上記課題を解決するために、請求項５に係る発明は、請求項１乃至４のいずれか一項に記載のセキュアロギングシステムにおいて、前記地域データセンタは、前記車両データと、前記ブロックチェーン技術によって生成された直前のブロックデータのハッシュ値である前ブロックハッシュ値とを含むナンス付与前ブロックデータを前記計算リソース提供装置に送信する前に、ナンス計算開始通知を他の地域データセンタに送信することを特徴とする。
【００２１】
上記構成によれば、セキュアロギングシステムにおいて、同一の前ブロックハッシュ値を有するブロックデータが複数存在することを回避することが可能になる。
【００２２】
上記課題を解決するために、請求項６に係る発明は、請求項５に記載のセキュアロギングシステムにおいて、前記地域データセンタは、前記ナンス計算開始通知とともに前記ナンス付与前ブロックデータを前記他の地域データセンタに送信し、前記他の地域データセンタは前記他の地域データセンタに属する前記計算リソース提供装置に前記ナンス付与前ブロックデータを送信し、ナンス計算を開始させることを特徴とする。
【００２３】
上記構成によれば、複数の地域データセンタのそれぞれに属する計算リソース提供装置でナンス計算を開始させることによって、ナンスの導出がより早く可能になる確率を高めることが期待できる。
【００２４】
上記課題を解決するために、請求項７に係る発明は、請求項１乃至６のいずれか一項に記載のセキュアロギングシステムにおいて、前記データ保存装置は、前記セキュアデータを記憶し、前記セキュアデータのハッシュ値であるセキュアハッシュ情報を生成し、前記セキュアデータの代わりに前記セキュアハッシュ情報を含む車両ハッシュ化データを生成し、前記車両データの代わりに前記車両ハッシュ化データを前記地域データセンタに送信し、前記地域データセンタは、前記車両データの代わりに前記車両ハッシュ化データを使用することを特徴とする。
【００２５】
地域データセンタ間でブロックデータを共有するため、ブロックデータに含まれるあらゆる車両の車両データそのものを地域データセンタで記憶するには、膨大な記憶領域が必要になる。特に、車両データに含まれるセキュアデータのデータ量が膨大になる可能性がある。
【００２６】
しかし、上記構成によれば、地域データセンタで記憶されるデータ量を圧縮することが可能になり、データ保存装置においてセキュアデータを記憶させてもセキュアデータの完全性を担保するセキュアロギングシステムが可能になる。
【００２７】
上記課題を解決するために、請求項８に係る発明は、請求項１乃至７のいずれか一項に記載のセキュアロギングシステムにおいて、前記地域データセンタは、前記ブロックデータを生成した時刻を示すブロックデータ生成時刻情報を生成し、前記地域データセンタ間で前記ブロックデータ生成時刻情報を共有し、前記ブロックデータを生成した前記地域データセンタは、前記ブロックデータの生成後であってナンス計算調停期間の間はナンス計算希望通知を送信せずに、ナンス計算希望通知を送信した他の地域データセンタの中で最も古い前記ブロックデータ生成時刻情報を有する前記他の地域データセンタが前記ブロックデータを生成することを特徴とする。
【００２８】
上記構成によれば、ナンス導出を希望する地域データセンタの中で、もっともブロックデータを生成していない地域データセンタが新たなブロックデータを生成することが可能になるために、ブロックデータの生成機会を均等化することができる。
【００２９】
上記課題を解決するために、請求項９に係る発明は、請求項１乃至８のいずれか一項に記載のセキュアロギングシステムにおいて、前記計算リソース提供装置は、ナンス計算部でナンスを導出するための計算リソースに余剰がある場合には、計算提供リクエストを生成し、いずれかの前記地域データセンタに前記計算提供リクエストを送信することを特徴とする。
【００３０】
上記構成によれば、計算リソースに余剰がある計算リソース提供装置がナンスを導出するための新たな計算リソース提供装置として参加することが可能になる。
【００３１】
上記課題を解決するために、請求項１０に係る発明は、請求項１乃至９のいずれか一項に記載のセキュアロギングシステムにおいて、前記データ保存装置、前記計算リソース提供装置および前記地域データセンタは、入出力制御部を有し、前記入出力制御部は制御情報を送受信し、送受信される情報の消失および送受信される情報の改変を防止することを特徴とする。
【００３２】
上記構成によれば、前記データ保存装置、前記計算リソース提供装置および前記地域データセンタは、相互の通信において、ＴＣＰ通信技術やメッセージ認証技術のようなコントロール通信を入出力制御部によって実行するので、送受信される情報の消失および送受信される情報の改変を防止することが可能になる。
【発明の効果】
【００３３】
本発明によれば、車両に搭載されたロガーが攻撃されてもログデータが保全されるサーバー保存型のシステムであって、さらに、ログデータの完全性を、サーバーおよびサーバー管理者の信頼に依存しないで担保するシステムが実現できる。また、利用者に不便を生じさせることなく、特段のインセンティブを生じさせなくとも膨大な計算量を確保でき、かつ、特定の者が計算リソースの過半数を占めることが非常に困難なシステムを提供することができる。
【図面の簡単な説明】
【００３４】
【図１】セキュアロギングシステムの一例を示す図である。
【図２】データ保存装置の一例を示す図である。
【図３】地域データセンタの一例を示す図である。
【図４】計算リソース提供装置の一例を示す図である。
【図５】データ保存装置の動作の一例を示すフローチャートである。
【図６】地域データセンタの動作の一例を示すフローチャートである。
【図７】地域データセンタの動作の一例を示すフローチャートである。
【図８】計算リソース提供装置の動作の一例を示すフローチャートである。
【図９】データ保存装置、地域データセンタおよび計算リソース提供装置間の動作の一例を示すフローチャートである。
【図１０】地域データセンタ間の調停動作の一例を示すフローチャートである。
【図１１】本実施形態に係わるブロックチェーンのイメージの一例を示す図である。
【図１２】本実施形態に係わるナンス付与前ブロックデータの一例を説明する模式図である。
【図１３】本実施形態に係わるブロックデータの一例を説明する模式図である。
【図１４】本実施形態に係わる車両ハッシュ化データの一例を説明する模式図である。
【図１５】本実施形態に係わる車両データの一例を説明する模式図である。
【図１６】計算リソース提供に関するシステム間の仕組みの違いを説明する模式図である。
【図１７】本実施形態に係わるブロックデータの重複登録の回避を説明する模式図である。
【発明を実施するための形態】
【００３５】
（セキュアロギングシステム１０）
図１に本実施形態のセキュアロギングシステム１０の一例を図示する。セキュアロギングシステム１０は、自動車等の車両Ａ、Ｂ、ＣおよびＤに含まれる計算リソース提供装置３０００ａ〜３０００ｄおよびデータ保存装置１０００ａ〜１０００ｄと、地域データセンタ２０００ａ〜２０００ｄを含んで構成される。以下、計算リソース提供装置３０００ａ〜３０００ｄを総称して計算リソース提供装置３０００と称する場合がある。また、データ保存装置１０００ａ〜１０００ｄを総称してデータ保存装置１０００、地域データセンタ２０００ａ〜２０００ｄを総称して地域データセンタ２０００と称する場合がある。
【００３６】
セキュアロギングシステム１０のデータ保存装置１０００と地域データセンタ２０００は、それぞれ任意の個数が存在してもよい。しかし、計算リソース提供装置３０００は少なくとも独立した３個以上の装置が存在しなければならない。それは、膨大な計算リソースの過半数を、特定の者が制御できる状況となった場合には、データの完全性を担保できなくなる可能性があるからである。
【００３７】
なお、地域データセンタ２０００は、必ずしも地理的な位置関係ごとに設置される必要はなく、自動車メーカーやサービス提供者や公的機関などが設置してもよい。
【００３８】
（データ保存装置１０００）
図２に、本実施形態のデータ保存装置１０００の一例を図示する。データ保存装置１０００は自動車等の車両Ａ、Ｂ、ＣおよびＤに含まれる。データ保存装置１０００は、データの完全性を担保したい自動車のデータ(例えばドライブレコーダーのログデータやサイバーセキュリティ上の攻撃検知データなど)を収集し、一時保存し、サーバーに送信する機能を有する。データ保存装置１０００は、各種情報を入力するための入力部１１００、制御部１２００、記憶部１３００および各種情報を出力するための出力部１４００を含んで構成される。
【００３９】
図２に示すデータ保存装置１０００は一般的なコンピュータである。一般的なコンピュータが制御プログラムを実行することにより、図２に示す機能を実現する。また、制御部１２００はＣＰＵ（Central Processing Unit）である。制御部１２００は、記憶部１３００に記憶されたデータを読み書きしたり、入力部１１００および出力部１４００とデータを入出力したりして、データ保存装置１０００における処理を実行する。
【００４０】
また、記憶部１３００は、ＲＯＭ（Read Only Memory）、ＲＡＭ（Random access memory）、ハードディスク等である。記憶部１３００は、制御部１２００が処理を実行するための入力データ、出力データおよび中間データなどの各種データを記憶する。
【００４１】
入力部１１００は各種のインターフェース機能を有しており、制御部１２００の制御によって取得しようとする情報の種類に応じてインターフェース機能を切り替えることが可能に構成されている。
【００４２】
制御部１２００は、入力部１１００および出力部１４００を制御する入出力制御部１２１０、セキュアデータ取得部１２２０、車両特定情報取得部１２３０および車両データ生成部１２４０を含んで構成される。さらに、必須の構成要件ではないが、必要に応じて、制御部１２００は、ハッシュ値計算部１２５０を含んで構成される場合もある。
【００４３】
入出力制御部１２１０は、制御部１２００が取得しようとしている情報に応じて入力部１１００のインターフェースを切り換える機能を有する。例えば、入出力制御部１２１０は、車両Ａ〜Ｄに搭載されているＥＣＵ(electronic control unit)等の電子機器からセキュアデータ１３１１および車両特定情報１３１３を受信する場合には、ＥＣＵとのインターフェース機能を入力部１１００から選択する。また、入出力制御部１２１０は、地域データセンタ２０００との間で通信を実行する場合に制御情報を受信する場合には、地域データセンタ２０００とのインターフェース機能を入力部１１００から選択する。
【００４４】
セキュアデータ取得部１２２０は、自動車のＥＣＵ等の電子機器が生成する完全性を確保したいデータの集合であるセキュアデータ１３１１を、入力部１１００を介して取得し、地域データセンタ２０００等のサーバーに送信するまでの間、記憶部１３００に記憶する機能を有する。また、セキュアデータ取得部１２２０は、セキュアデータ１３１１の生成時刻とデータ種別を特定する情報であるセキュアデータ特定情報１３１２を生成し、地域データセンタ２０００等のサーバーに送信するまでの間、記憶部１３００に記憶する機能を有する。これにより、送信経路が確保されているタイミング以外に発生したセキュアデータ１３１１およびセキュアデータ特定情報１３１２であっても、サーバーに送信されるまでの間に消失することを防ぐことができる。
【００４５】
なお、セキュアデータ１３１１は、データ保存装置１０００自体が生成してもよい。また、データ保存装置１０００は、セキュアデータ１３１１およびセキュアデータ特定情報１３１２を地域データセンタ２０００等のサーバーに送信した後も継続して保持してもよい。
【００４６】
車両特定情報取得部１２３０は、セキュアデータ１３１１の送信元である自動車を特定するための情報である車両特定情報１３１３を、入力部１１００を介して取得し、記憶部１３００に記憶する機能を有する。車両特定情報１３１３は、後述する車両データ１３１０に含まれて地域データセンタ２０００に送信される。したがって、地域データセンタ２０００は、車両特定情報１３１３によって車両データ１３１０の送信元である自動車を認識することができる。データ保存装置１０００は、車両特定情報１３１３を地域データセンタ２０００等のサーバーに送信した後も継続して保持してもよい。
【００４７】
車両特定情報１３１３は、車両固有の情報である必要があるため、あらかじめ情報の種類を設定しておくことが望ましい。例えば、車両特定情報１３１３として車両識別番号(以下、ＶＩＮ(Vehicle Identification Number)と称する）などを利用することができる。なお、ＶＩＮを利用した場合には任意の第三者に自動車が特定されてしまうためにプライバシーの問題が生じる可能性がある。このため、ＶＩＮに対するハッシュ値を生成し、これを固有情報としてもよい。これにより、データ保存装置１０００は、地域データセンタ２０００に保存した各セキュアデータ１３１１が、どの車両の情報であるのかを特定するための情報を提供できる。
【００４８】
車両データ生成部１２４０は、セキュアデータ１３１１、セキュアデータ特定情報１３１２および車両特定情報１３１３を含むデータセット（以下、車両データ１３１０と称する）を生成し、地域データセンタ２０００に送信する機能を有する。これにより、完全性を担保すべき情報であるセキュアデータ１３１１を、セキュアデータ１３１１の所属車両と生成時刻とデータ種別を明確にした状態で、地域データセンタ２０００に送信することができる。なお、車両データ１３１０は、データ保存装置１０００の記憶部１３００に継続して保持されてもよい。
【００４９】
ハッシュ値計算部１２５０は、セキュアデータ１３１１のハッシュ値であるセキュアハッシュ情報１３２１を演算し、記憶部１３００に記憶した後に、地域データセンタ２０００に送信する機能を有する。セキュアハッシュ情報１３２１の詳細については後述する。
【００５０】
記憶部１３００は、セキュアデータ１３１１、セキュアデータ特定情報１３１２および車両特定情報１３１３を含む車両データ１３１０を記憶する。また、必要に応じて、セキュアハッシュ情報１３２１も記憶する。
【００５１】
出力部１４００は各種のインターフェース機能を有しており、入出力制御部１２１０の制御によって出力しようとする情報の種類に応じてインターフェース機能を切り替えることが可能に構成されている。
【００５２】
（地域データセンタ２０００）
図３に、本実施形態の地域データセンタ２０００の一例を図示する。地域データセンタ２０００は、データ保存装置１０００から受信した車両データ１３１０を、計算リソース提供装置３０００の生成するNonce（以下ナンスと称する）を利用して安全に保存する機能を有する（図６および図７を参照）。なお、上述したように地域データセンタ２０００は、必ずしも地理的な位置関係ごとに設置される必要はなく、自動車メーカーやサービス提供者や公的機関などが設置してもよい。
【００５３】
図３に示す地域データセンタ２０００はサーバーとして機能するコンピュータである。コンピュータが制御プログラムを実行することにより、図３に示す機能を実現する。また、制御部２２００はＣＰＵである。制御部２２００は、記憶部２３００に記憶されたデータを読み書きしたり、入力部２１００および出力部２４００とデータを入出力したりして、地域データセンタ２０００における処理を実行する。
【００５４】
また、記憶部２３００は、ＲＯＭ、ＲＡＭ、ハードディスク等である。記憶部２３００は、制御部２２００が処理を実行するための入力データ、出力データおよび中間データなどの各種データを記憶する。
【００５５】
入力部２１００は各種のインターフェース機能を有しており、制御部２２００の制御によって取得しようとする情報の種類に応じてインターフェース機能を切り替えることが可能に構成されている。
【００５６】
制御部２２００は、入力部２１００および出力部２４００を制御する入出力制御部２２１０、車両データ取得部２２２０、車両データ群生成部２２３０、ハッシュ値計算部２２４０、ナンス付与前ブロックデータ生成部２２５０、ナンス取得部２２６０、ブロックデータ生成部２２７０、他の地域データセンタのブロックデータ取得部２２９０を含んで構成される。さらに、必須の構成要件ではないが、必要に応じて、制御部２２００は、計算提供リクエスト処理部２２８０を含んで構成される場合もある。
【００５７】
入出力制御部２２１０は、制御部２２００が取得しようとしている情報に応じて入力部１１００のインターフェースを切り換える機能を有する。例えば、入出力制御部２２１０は、データ保存装置１０００から車両データ１３１０等の情報を受信する場合には、データ保存装置１０００とのインターフェース機能を入力部１１００から選択する。また、入出力制御部１２１０は、計算リソース提供装置３０００からナンス３３２０等の情報を受信する場合には、計算リソース提供装置３０００とのインターフェース機能を入力部１１００から選択する。さらに、入出力制御部１２１０は、他の地域データセンタ２０００との間で通信を実行する場合に車両データ１３１０等の情報を受信する場合には、他の地域データセンタ２０００とのインターフェース機能を入力部１１００から選択する。
【００５８】
車両データ取得部２２２０は、データ保存装置１０００から送信される車両データ１３１０を、入力部２１００を介して受信し、記憶部２３００に車両データ２３１０として記憶する機能を有する。したがって、車両データ１３１０と車両データ２３１０は同一のデータである。
【００５９】
車両データ群生成部２２３０は、車両データ取得部２２２０が取得した複数の車両データ２３１０をまとめたデータ群である車両データ群２３２１を生成する機能を有する。車両データ群２３２１は、ブロックチェーン技術によって生成されるブロックデータ２３３０を構成するデータの一部となる。なお、車両データ群２３２１が含む車両データ２３１０の量は、計算リソース提供装置３０００がナンス３３２０を導出するための時間の開に発生する車両データ２３１０の量より多く設定する。また、セキュアデータ１３１１を含む車両データ２３１０の完全性が担保されるまでの猶予時間から、ナンス導出に要する時間を引いた時間を、車両データ２３１０を集めて車両データ群２３２１を生成する時間の上限として設定する。
【００６０】
ハッシュ値計算部２２４０は、ブロックチェーン技術によって生成された直前のブロックデータのハッシュ値を計算し、計算結果を前ブロックハッシュ値２３２２として記憶部２３００に記憶する機能を有する。車両データ群２３２１および前ブロックハッシュ値２３２２を関連づけてナンス付与前ブロックデータ２３２０と称し、記憶部２３００で記憶する。
【００６１】
また、ハッシュ値計算部２２４０は、計算リソース提供装置３０００が計算したナンス３３２０を受信し、当該ナンス３３２０とナンス付与前ブロックデータ２３２０を含むブロックデータ２３３０のハッシュ値を計算する機能を有する。
【００６２】
さらに、ハッシュ値計算部２２４０は、他の地域データセンタ２０００から受信したブロックデータ２３３０のハッシュ値を計算する機能も有する。したがって、ブロックデータ２３３０は複数の地域データセンタ２０００で生成されたブロックデータを含む場合もある。
【００６３】
ナンス付与前ブロックデータ生成部２２５０は、車両データ群２３２１と、ハッシュ値計算部２２４０が計算した直前のブロックデータの前ブロックハッシュ値２３２２とを含むナンス付与前ブロックデータ２３２０を生成する機能を有する。ナンス付与前ブロックデータ２３２０は計算リソース提供装置３０００へ送信され、計算リソース提供装置３０００がナンス付与前ブロックデータ２３２０に適合するナンス３３２０を計算する。すなわち、ナンス付与前ブロックデータ生成部２２５０は、ナンス付与前ブロックデータ２３２０を計算リソース提供装置３０００へ送信する機能を有する。これにより、情報の完全性を担保する仕組みで利用する情報の一部であるナンスを導出するための計算を、計算リソース提供装置３０００に依頼をすることができる。
【００６４】
ナンス取得部２２６０は、計算リソース提供装置３０００がナンス付与前ブロックデータ２３２０に適合するように計算したナンス３３２０を受信し、記憶部２３００にナンス２３３１として記憶する機能を有する。すなわち、計算リソース提供装置３０００計算したナンス３３２０が地域データセンタ２０００のブロックデータ２３３０に含まれるナンス２３３１として記憶される。これにより、地域データセンタ２０００は、完全性を担保すべき情報であるセキュアデータ１３１１の完全性を担保した状態で保存するために必要な情報の一部を入手することができる。
【００６５】
また、ナンス取得部２２６０は、すでにナンス付与前ブロックデータ２３２０に対する正しいナンスを受信済みである場合には、新たに受信したナンスを破棄する。これにより、完全性を担保すべき情報であるセキュアデータ１３１１の完全性が担保されない重複した状態で、ブロックデータ２３３０が保存されることを防ぐことができる。
【００６６】
ブロックデータ生成部２２７０は、車両データ群２３２１と、前ブロックハッシュ値２３２２と、ナンス取得部２２６０が取得したナンス２３３１を含むブロックデータ２３３０を生成し、ブロックデータ２３３０を記憶部２３００に記憶する機能を有する。これによって、車両データ群２３２１に含まれる完全性を担保すべき情報であるセキュアデータ１３１１を、完全性を担保した状態で保存できる。
【００６７】
また、ブロックデータ生成部２２７０は、生成したブロックデータ２３３０を、他の地域データセンタ２０００に送信する機能を有する。これにより、ブロックデータ２３３０を他の地域データセンタ２０００と共有することができるようになり、ブロックデータ２３３０を自地域データセンタ２０００のみで保存するよりも、より高度に完全性を担保することができるようになる。
【００６８】
他の地域データセンタのブロック取得部２２９０は、他の地域データセンタ２０００が送信するブロックデータ２３３０を受信し、記憶部２３００に記憶する機能を有する。これにより、ブロックデータ２３３０を単一の地域データセンタ２０００のみで保持するよりも、より高度にブロックデータ２３３０の完全性を担保することができるようになる。
【００６９】
計算提供リクエスト処理部２２８０の詳細については後述する。
【００７０】
記憶部２３００は、データ保存装置１０００から送信された車両データ２３１０、車両データ群２３２１および前ブロックハッシュ値２３２２を含むナンス付与前ブロックデータ２３２０、ナンス付与前ブロックデータ２３２０に対して計算リソース提供装置３０００が計算したナンス２３３１を含むブロックデータ２３３０、計算リソース提供装置リスト２３４０およびブロックデータ生成時刻情報２３５０を含んで構成される。
【００７１】
車両データ２３１０については上述したので、説明の重複を避けるためにここでの説明は省略する。
【００７２】
ナンス付与前ブロックデータ２３２０について図１２を参照して説明する。図１２は地域データセンタ２０００ｂにおけるナンス付与前ブロックデータ２３２０を詳細に説明するための図である。図１２におけるナンス付与前ブロックデータ２３２０は、車両データ群２３２１と前ブロックハッシュ値２３２２を含んで構成される。
【００７３】
車両データ群２３２１は図１における車両Ｂから送信された車両データＢ１、車両Ｃから送信された車両データＣ１、車両Ｄから送信された車両データＤ１等の車両データを含んで構成されてもよい。車両データＢ１、車両データＣ１、車両データＤ１は固定長でも可変長でもよい。また、一例として、車両Ｃおよび車両Ｄのエンジンが停止している場合などであって、車両Ｃおよび車両Ｄでセキュアデータ１３１１が発生していない場合には、車両データＣ１および車両データＤ１は、車両Ｂから引き続き送信された車両データであってもよい。前ブロックハッシュ値２３２２は直前のブロックデータに対してハッシュ値計算部２２４０が演算したハッシュ値である。
【００７４】
ブロックデータ２３３０について図１３を参照して説明する。図１３は地域データセンタ２０００ｂにおけるブロックデータ２３３０を詳細に説明するための図である。図１３におけるブロックデータ２３３０は、車両データ群２３２１、前ブロックハッシュ値２３２２およびナンス２３３１を含んで構成される。
【００７５】
車両データ群２３２１および前ブロックハッシュ値２３２２は図１２において説明したので、記載の重複を避けるためにここでは記載を省略する。ナンス２３３１は、地域データセンタ２０００ｂから送信された図１２のナンス付与前ブロックデータ２３２０に対して、いずれかの計算リソース提供装置３０００が導出したナンス２３３１であって、最初に導出されたナンス２３３１である。地域データセンタ２０００ｂは、ナンス２３３１を含むブロックデータ２３３０のハッシュ値をハッシュ値計算部２２４０が計算して、ハッシュ値があらかじめ定められた条件に合致する値のハッシュ値かを検算する。検算した結果、ブロックデータ２３３０のハッシュ値があらかじめ定められた条件に合致する値のハッシュ値である場合には、地域データセンタ２０００ｂの制御部２２００はブロックデータ２３３０を記憶部２３００に記憶する。そして、制御部２２００はブロックデータ２３３０を地域データセンタ２０００ａおよび地域データセンタ２０００ｃに送信する。したがって、ブロックデータ２３３０は複数の地域データセンタ２０００に分散されて記憶されることになる。
【００７６】
計算リソース提供装置リスト２３４０は、ナンス２３３１を計算するための計算リソースを提供する計算リソース提供装置３０００、または、計算リソース提供装置を保有する自動車のリストである。なお、計算リソース提供装置リスト２３４０は、計算リソース提供装置３０００を保有する自動車との通信に必要な宛先アドレスを持つ。これにより、ナンス導出の計算を依頼するためのメッセージの送信先に関する情報を、制御部２２００のブロックデータ生成部２２７０に提供することができる。
【００７７】
ブロックデータ生成時刻情報２３５０は、ブロックデータ生成部２２７０がブロックデータ２３３０を生成した時刻を示す情報である。ブロックデータ生成時刻情報２３５０の使用方法については、後述する。
【００７８】
出力部２４００は各種のインターフェース機能を有しており、入出力制御部２２１０の制御によって出力しようとする情報の種類に応じてインターフェース機能を切り替えることが可能に構成されている。
【００７９】
（計算リソース提供装置３０００）
図４に、本実施形態の計算リソース提供装置３０００の一例を図示する。計算リソース提供装置３０００は、各種情報を入力するための入力部３１００、制御部３２００、記憶部３３００および各種情報を出力するための出力部３４００を含んで構成される。
【００８０】
図４に示す計算リソース提供装置３０００は一般的なコンピュータである。一般的なコンピュータが制御プログラムを実行することにより、図４に示す機能を実現する。また、制御部３２００はＣＰＵである。制御部３２００は、記憶部３３００に記憶されたデータを読み書きしたり、入力部３１００および出力部３４００とデータを入出力したりして、計算リソース提供装置３０００における処理を実行する。
【００８１】
また、記憶部３３００は、ＲＯＭ、ＲＡＭ、ハードディスク等である。記憶部３３００は、制御部３２００が処理を実行するための入力データ、出力データおよび中間データなどの各種データを記憶する。
【００８２】
入力部３１００は各種のインターフェース機能を有しており、制御部３２００の制御によって取得しようとする情報の種類に応じてインターフェース機能を切り替えることが可能に構成されている。
【００８３】
制御部３２００は、入力部３１００および出力部３４００を制御する入出力制御部３２１０、ナンス付与前ブロックデータ取得部３２２０、ナンス計算部３２３０およびナンス出力部３２３１を含んで構成される。さらに、必須の構成要件ではないが、必要に応じて、制御部３２００は、計算提供リクエスト生成部３２４０を含んで構成される場合もある。
【００８４】
入出力制御部３２１０は、制御部３２００が取得しようとしている情報に応じて入力部３１００のインターフェースを切り換える機能を有する。例えば、入出力制御部３２１０は、地域データセンタ２０００からナンス付与前ブロックデータ２３２０の受信を実行する場合には、地域データセンタ２０００とのインターフェース機能を入力部１１００から選択する。
【００８５】
ナンス付与前ブロックデータ取得部３２２０は、地域データセンタ２０００が送信したナンス付与前ブロックデータ２３２０を受信し、記憶部３３００にナンス付与前ブロックデータ３３１０として記憶する機能を有する。これにより、セキュアデータ１３１１の完全性を担保する仕組みであるブロックチェーン技術を利用するブロックデータ２３３０の一部を構成するナンス３３２０を導出するための計算に必要な情報を入手できる。
【００８６】
また、ナンス付与前ブロックデータ取得部３２２０は、新たなナンス付与前ブロックデータ２３２０を受信した際に、ナンス計算部３２３０で以前に受信したナンス付与前ブロックデータ２３２０に対するナンス３３２０の導出が終了していない揚合には、以前に受信したナンス付与前ブロックデータ２３２０を破棄し、新たに受信したナンス付与前ブロックデータ２３２０に対して、ナンス導出のための計算を開始する。これにより、すでに他の計算リソース提供装置３０００によって導出されたナンスのための計算を続けることなく、新たなナンス付与前ブロックデータ２３２０に対するナンス導出のための計算を開始することができる。
【００８７】
ナンス計算部３２３０は、ナンス付与前ブロックデータ取得部３２２０によって受信したナンス付与前ブロックデータ３３１０に仮のナンスを付与して生成したブロックデータのハッシュ値が、あらかじめ定めた規則に則る条件に合致する値となるようなナンス３３２０を導出する。なお、この具体的な計算方法およびあらかじめ定めた規則としては、例えば、ビットコインで用いられるブロックチェーン技術などを利用してもよい。また、前記規定値はセキュアロギングシステム１０が任意の値に設定することができる。
【００８８】
ナンス出力部３２３１は、ナンス計算部３２３０によって導出したナンス３３２０を、出力部３４００を介して地域データセンタ２０００に送信する機能を有する。この際にどのナンス付与前ブロックデータ３３１０に対するナンス３３２０かを示すために、ナンス３３２０と共に、ナンス付与前ブロックデータ３３１０を送信してもよい。これにより、情報の完全性を担保する仕組みで利用する情報の一部である導出したナンス３３２０を、地域データセンタ２０００で受信することができる。
【００８９】
記憶部３３００には、ナンス付与前ブロックデータ３３１０およびナンス３３２０を含む情報が記憶される。ナンス付与前ブロックデータ３３１０は、ナンス付与前ブロックデータ取得部３２２０が地域データセンタ２０００から受信したナンス付与前ブロックデータ２３２０と同一であって、ナンス計算部３２３０で使用するデータである。また、ナンス３３２０は、ハッシュ値があらかじめ定めた規則に則る条件に合致する値となるようにナンス計算部３２３０が計算したナンスである。
【００９０】
出力部３４００は各種のインターフェース機能を有しており、入出力制御部３２１０の制御によって出力しようとする情報の種類に応じてインターフェース機能を切り替えることが可能に構成されている。
【００９１】
（データ保存装置１０００の処理フロ−）
図５は、本実施形態のデータ保存装置１０００の処理フロ−の一例を示す図である。
【００９２】
ステップＳ５０１において、セキュアデータ取得部１２２０は、自動車のＥＣＵ等の電子機器が生成する完全性を確保したいデータの集合であるセキュアデータ１３１１を、入力部１１００を介して取得する。そして、セキュアデータ取得部１２２０はセキュアデータ１３１１を地域データセンタ２０００等のサーバーに送信するまでの間、記憶部１３００に保持する。また、セキュアデータ取得部１２２０は、セキュアデータ１３１１の生成時刻とデータ種別を特定する情報であるセキュアデータ特定情報１３１２を生成し、地域データセンタ２０００等のサーバーに送信するまでの間、記憶部１３００に保持する。さらに、車両特定情報取得部１２３０は、セキュアデータ１３１１の送信元である自動車を特定するための情報である車両特定情報１３１３を、入力部１１００を介して取得し、記憶部１３００に保持する。次に、データ保存装置１０００はステップＳ５０２に進む。
【００９３】
ステップＳ５０２において、車両データ生成部１２４０は、ステップＳ５０１で取得したセキュアデータ１３１１、セキュアデータ特定情報１３１２および車両特定情報１３１３を含む車両データ１３１０を生成し、記憶部１３００に記憶する。次に、データ保存装置１０００はステップＳ５０３に進む。
【００９４】
ステップＳ５０３において、車両データ生成部１２４０は、ステップＳ５０２で生成した車両データ１３１０を、出力部１４００を介して地域データセンタ２０００に送信する。
【００９５】
（地域データセンタ２０００の処理フロ−）
図６および図７は、本実施形態の地域データセンタ２０００の処理フロ−の一例を示す図である。図６では、地域データセンタ２０００が計算リソース提供装置３０００にナンス付与前ブロックデータ２３２０を送信するまでの処理について説明する。図７では、地域データセンタ２０００が計算リソース提供装置３０００からナンス２３３１を受信し、ブロックデータ２３３０を生成および記憶し、他の地域データセンタ２０００にブロックデータ２３３０を送信するまでの処理について説明する。
【００９６】
図６のステップＳ６０１において、車両データ取得部２２２０はデータ保存装置１０００から送信されてくる車両データ１３１０の受信待ちをする。次に、車両データ取得部２２２０はステップＳ６０２に進む。
【００９７】
ステップＳ６０２において、車両データ取得部２２２０は規定時間が経過したか、車両データ１３１０が受信されたかを判断する。規定時間が経過した場合（ステップＳ６０２：規定時間経過）には、制御部２２００はステップＳ６０５に進む。車両データ１３１０が受信された場合（ステップＳ６０２：車両データ受信）には、制御部２２００はステップＳ６０３に進む。ここで、規定時間とは車両データ群２３２１の生成を開始するまでの時間であって、セキュアロギングシステム１０が設定する任意の時間である。なお、セキュアデータ１３１１を含む車両データ２３１０の完全性が担保されるまでの猶予時間から、ナンス導出に要する時間を引いた時間を、車両データ２３１０を集めて車両データ群２３２１を生成する時間の上限として設定する。
【００９８】
ステップＳ６０３において、車両データ取得部２２２０はデータ保存装置１０００から送信された車両データ１３１０を取得し、記憶部２３００に車両データ１３１０を車両データ２３１０として記憶する。次に、車両データ取得部２２２０はステップＳ６０４に進む。
【００９９】
ステップＳ６０４において、車両データ取得部２２２０は車両データ１３１０を含む車両データ群２３２１を生成するために必要な規定データ量の車両データ１３１０を受信したか否かを判断する。規定データ量の車両データ１３１０を受信した場合（ステップＳ６０４：ＹＥＳ）には、制御部２２００はステップＳ６０５に進む。規定データ量の車両データ１３１０を受信していない場合（ステップＳ６０４：ＮＯ）には、制御部２２００はステップＳ６０１に進む。規定データ量は、複数の車両データ１３１０を含むことが想定されるが、１つの車両データ１３１０によって規定データ量に達する場合もある。規定データ量はセキュアロギングシステム１０が設定する任意のデータ量である。なお、車両データ群２３２１が含む車両データ２３１０の規定データ量は、計算リソース提供装置３０００がナンスを導出するための時間の開に発生する車両データ２３１０の量より多く設定する。
【０１００】
ステップＳ６０５において、車両データ群生成部２２３０は、車両データ取得部２２２０が取得した複数の車両データ２３１０をまとめたデータ群である車両データ群２３２１を生成する。車両データ群２３２１は、ブロックチェーン技術によって生成されるブロックデータを構成するデータの一部となる。次に、制御部２２００はステップＳ６０６に進む。
【０１０１】
ステップＳ６０６において、ハッシュ値計算部２２４０は、ブロックチェーン技術によって生成された直前のブロックデータのハッシュ値を計算し、計算結果を前ブロックハッシュ値２３２２として記憶部２３００に記憶する。次に、制御部２２００はステップＳ６０７に進む。
【０１０２】
ステップＳ６０７において、ナンス付与前ブロックデータ生成部２２５０は、車両データ群２３２１と、ハッシュ値計算部２２４０が計算した直前のブロックデータの前ブロックハッシュ値２３２２とを含むナンス付与前ブロックデータ２３２０を生成する。次に、制御部２２００はステップＳ６０８に進む。
【０１０３】
ステップＳ６０８において、ナンス付与前ブロックデータ生成部２２５０は、記憶部２３００に記憶されている計算リソース提供装置リスト２３４０からナンス付与前ブロックデータ２３２０を送信するべきすべてのアドレスを取得する。次に、ナンス付与前ブロックデータ生成部２２５０はステップＳ６０９に進む。
【０１０４】
ステップＳ６０９において、ナンス付与前ブロックデータ生成部２２５０は、ステップＳ６０８で取得したすべてのアドレスに、ナンス付与前ブロックデータ２３２０を、出力部２４００を介して出力する。
【０１０５】
図７のステップＳ７０１において、ナンス取得部２２６０は、計算リソース提供装置３０００からナンス付与前ブロックデータ３３１０に対するナンス３３２０を取得する。次に、制御部２２００はステップＳ７０２に進む。
【０１０６】
ステップＳ７０２において、ナンス取得部２２６０は、計算リソース提供装置３０００からナンス付与前ブロックデータ２３２０に対する正しいナンスを既に受信しているか否かを判断する。正しいナンスを既に受信している場合（ステップＳ７０２：ＹＥＳ）には、ナンス取得部２２６０はステップＳ７０３に進む。正しいナンスをまだ受信していなかった場合（ステップＳ７０２：ＮＯ）には、制御部２２００はステップＳ７０４に進む。
【０１０７】
ステップＳ７０３において、ナンス取得部２２６０は、計算リソース提供装置３０００からステップＳ７０１で受信したナンス３３２０を破棄する。ステップＳ７０３の処理は、同一の前ブロックハッシュ値２３２２を有するブロックデータ２３３０の重複登録を防ぐための処理である。
【０１０８】
ステップＳ７０４において、ブロックデータ生成部２２７０は、車両データ群２３２１と、前ブロックハッシュ値２３２２と、ナンス取得部２２６０が取得したナンス２３３１を含むブロックデータ２３３０を生成する。次に、制御部２２００はステップＳ７０５に進む。
【０１０９】
ステップＳ７０５において、ハッシュ値計算部２２４０は、ステップＳ７０４で生成されたブロックデータ２３３０のハッシュ値を計算する。次に、制御部２２００はステップＳ７０６に進む。
【０１１０】
ステップＳ７０６において、ハッシュ値計算部２２４０は、計算されたハッシュ値が規定値内のハッシュ値であるか否かを判断する。計算されたハッシュ値が規定値内のハッシュ値である場合（ステップＳ７０６：ＹＥＳ）には、制御部２２００はステップＳ７０８に進む。計算されたハッシュ値が規定値内のハッシュ値ではない場合（ステップＳ７０６：ＮＯ）には、制御部２２００はステップＳ７０７に進む。なお、規定値はセキュアロギングシステム１０が任意の値に設定することができる。
【０１１１】
ステップＳ７０７において、制御部２２００はステップＳ７０４で生成されたブロックデータ２３３０とステップＳ７０１で受信したナンス３３２０とを廃棄する。ステップＳ７０７の処理は、不正なハッシュ値を持つブロックデータの登録を阻止する処理である。
【０１１２】
ステップＳ７０８において、制御部２２００はステップＳ７０４で生成されたブロックデータ２３３０を正しいブロックデータとして記憶部２３００に記憶する。次に、制御部２２００はステップＳ７０９に進む。
【０１１３】
ステップＳ７０９において、制御部２２００はステップＳ７０４で生成されたブロックデータ２３３０を、出力部２４００を介して、他の地域データセンタ２０００に送信する。
【０１１４】
（計算リソース提供装置３０００の処理フロ−）
図８は、本実施形態の計算リソース提供装置３０００の処理フロ−の一例を示す図である。
【０１１５】
ステップＳ８０１において、ナンス付与前ブロックデータ取得部３２２０は、地域データセンタ２０００から送信されるナンス付与前ブロックデータ２３２０を取得し、記憶部３３００にナンス付与前ブロックデータ３３１０として記憶する。すなわち、ナンス付与前ブロックデータ２３２０とナンス付与前ブロックデータ３３１０は同一のデータである。次に、制御部３２００はステップＳ８０２に進む。
【０１１６】
ステップＳ８０２において、ナンス計算部３２３０は、ナンス付与前ブロックデータ３３１０に対して仮のナンスである仮ナンスを設定する。ナンス計算部３２３０は仮ナンスを任意の値に設定することができる。次に、制御部３２００はステップＳ８０３に進む。
【０１１７】
ステップＳ８０３において、ナンス計算部３２３０は、ナンス付与前ブロックデータ３３１０と仮ナンスを含むブロックデータに対して、ハッシュ値を計算する。次に、制御部３２００はステップＳ８０４に進む。
【０１１８】
ステップＳ８０４において、ナンス付与前ブロックデータ取得部３２２０は、新たなナンス付与前ブロックデータ２３２０を受信したか否かを判断する。新たなナンス付与前ブロックデータ２３２０が受信された場合（ステップＳ８０４：ＹＥＳ）には、ステップＳ８０３でハッシュ値を計算しているナンス付与前ブロックデータ３３１０を破棄し、制御部３２００はステップＳ８０２に進む。新たなナンス付与前ブロックデータ２３２０が受信されない場合（ステップＳ８０４：ＮＯ）には、制御部３２００はステップＳ８０５に進む。
【０１１９】
ステップＳ８０５において、ステップＳ８０３で計算されたハッシュ値が規定値内のハッシュ値であるか否かが判断される。計算されたハッシュ値が規定値内のハッシュ値である場合（ステップＳ８０５：ＹＥＳ）には、制御部３２００はステップＳ８０６に進む。計算されたハッシュ値が規定値内のハッシュ値ではない場合（ステップＳ８０５：ＮＯ）には、制御部３２００はステップＳ８０２に進み、ナンス計算部３２３０は異なる仮ナンスを設定する。
【０１２０】
ステップＳ８０６において、ナンス出力部３２３１は、ナンス計算部３２３０で計算されたハッシュ値があらかじめ定められた条件に合致する値になるように仮設定された仮ナンスを正式なナンス３３２０として、地域データセンタ２０００に送信する。
【０１２１】
（データ保存装置１０００、地域データセンタ２０００および計算リソース提供装置３０００間の通信シーケンス）
図９にデータ保存装置１０００、地域データセンタ２０００および計算リソース提供装置３０００間の通信シーケンスの一例を図示する。
【０１２２】
ステップＳ９０１において、データ保存装置１０００はセキュアデータ１３１１を自動車のＥＣＵから取得し、または、データ保存装置１０００がセキュアデータ１３１１を生成する。
【０１２３】
ステップＳ９０２において、データ保存装置１０００の車両データ生成部１２４０は、セキュアデータ１３１１、セキュアデータ特定情報１３１２および車両特定情報１３１３を含む車両データ１３１０を生成する。
【０１２４】
ステップＳ９０３において、車両データ生成部１２４０は、生成した車両データ１３１０を地域データセンタ２０００に送信する。
【０１２５】
ステップＳ９０４において、地域データセンタ２０００の車両データ群生成部２２３０は、車両データ２３１０から車両データ群２３２１を生成する。
【０１２６】
ステップＳ９０５において、ハッシュ値計算部２２４０は直前のブロックデータのハッシュ値である前ブロックハッシュ値２３２２を計算して生成する。
【０１２７】
ステップＳ９０６において、ナンス付与前ブロックデータ生成部２２５０は車両データ群２３２１および前ブロックハッシュ値２３２２を含むナンス付与前ブロックデータ２３２０を生成する。
【０１２８】
ステップＳ９０７において、ナンス付与前ブロックデータ生成部２２５０は計算リソース提供装置リスト２３４０から宛先アドレスを取得する。
【０１２９】
ステップＳ９０８において、ナンス付与前ブロックデータ生成部２２５０は宛先アドレスに対応する計算リソース提供装置３０００にナンス付与前ブロックデータ２３２０を送信する。
【０１３０】
ステップＳ９０９において、計算リソース提供装置３０００において計算中のナンス付与前ブロックデータ３３１０がある場合には、計算リソース提供装置３０００は当該計算中のナンス付与前ブロックデータ３３１０を破棄する。
【０１３１】
ステップＳ９１０において、計算リソース提供装置３０００は受信したナンス付与前ブロックデータ２３２０に仮ナンスを付与する。
【０１３２】
ステップＳ９１１において、計算リソース提供装置３０００のナンス計算部３２３０は、ナンス付与前ブロックデータ２３２０に仮ナンスを付与したブロックデータのハッシュ値を計算する。
【０１３３】
ステップＳ９１２において、ナンス計算部３２３０は計算したハッシュ値の判定をする。計算されたハッシュ値が規定値内のハッシュ値である場合には、計算リソース提供装置３０００はステップＳ９１３に進む。計算されたハッシュ値が規定値内のハッシュ値ではない場合には、計算リソース提供装置３０００はステップＳ９１０に進み、ナンス計算部３２３０は異なる仮ナンスを設定する。
【０１３４】
ステップＳ９１３において、計算リソース提供装置３０００のナンス出力部３２３１はナンス３３２０を地域データセンタ２０００に送信する。
【０１３５】
ステップＳ９１４において、地域データセンタ２０００はステップＳ９１３において受信したナンス３３２０およびステップＳ９０８において送信したナンス付与前ブロックデータ２３２０を含むブロックデータ２３３０を生成する。
【０１３６】
ステップＳ９１５において、地域データセンタ２０００のハッシュ値計算部２２４０はブロックデータ２３３０のハッシュ値を計算する。
【０１３７】
ステップＳ９１６において、ステップＳ９１５で計算されたハッシュ値が規定値内のハッシュ値である場合には、制御部２２００はステップＳ９１４で生成されたブロックデータ２３３０を正しいブロックデータとして記憶部２３００に記憶する。
【０１３８】
ステップＳ９１７において、制御部２２００はステップＳ９１４で生成されたブロックデータ２３３０を、出力部２４００を介して他の地域データセンタ２０００に送信する。
【０１３９】
以上説明したように、従来技術におけるデータ保存機器による物理的封印では、物理的に破壊した後に、物理的封印の再生が可能であれば、データ改ざんの事実を知られずに、データ改ざんができてしまうという課題があった。さらに、従来技術におけるデータ保存機器の物理的封印では、物理的破壊を伴わない電気的な手段による攻撃には対応できずに無力であるという課題があった。しかし、本実施形態では、データそのもの、或いは、データの正しさを証明する情報をサーバーである地域データセンタ２０００に保管する。したがって、物理的手段または電気的手段を問わず、クライアントとしてのデータ保存装置１０００へアクセスして、保存されているデータの改ざんをしても、改ざん事実の検知がサーバーである地域データセンタ２０００で可能となる。
【０１４０】
また、従来技術における暗号技術を利用したデータ認証では、秘密情報の漏えい事実を認識することが難しいため、秘密情報の漏えい後の改ざん検知は困難であるという課題があった。しかし、本実施形態では、データの完全性は、秘密情報には依存していないため、秘密情報の漏えいによる改ざん検知の困難性は生じない。
【０１４１】
さらに、従来技術におけるサーバー保存手法では、サーバーの信頼性に頼れない場合には、データの完全性を担保できなかった。しかし、本実施形態では、サーバーに保存してあるデータの改ざんには膨大な計算量が必要であるために改ざんは現実的ではない。したがって、サーバーに保存してあるデータの改ざんの困難性から、サーバーに信頼性がなくとも、データの改ざん検知が可能である。
【０１４２】
さらに、従来技術におけるブロックチェーン技術を用いたビットコインでは、データの完全性を担保している膨大な計算量を提供するためのモチベーションの維持が金銭的対価以外では困難であった。すなわち、ブロックチェーン技術を、金銭的価値を生むシステム以外へ適用するためには、システムの維持方法に課題があった。しかし、本実施形態では、自動車における余剰計算リソースを活用するため、計算量の提供者に不便を生じさせずに膨大な計算量の確保ができることから、システムを維持することが可能となった（図１６参照）。
【０１４３】
（変形例１）
地域データセンタ２０００間でブロックデータ２３３０を共有するため、ブロックデータ２３３０に含まれるあらゆる車両の車両データ１３１０そのものを地域データセンタ２０００で記憶するには、膨大な記憶領域が必要になる。特に、車両データ１３１０に含まれるセキュアデータ１３１１のデータ量が膨大になる可能性がある。
【０１４４】
そこで、地域データセンタ２０００で記憶されるデータ量を圧縮するために、データ保存装置１０００においてセキュアデータ１３１１を記憶させ、セキュアデータ１３１１の完全性を担保するシステムが変形例として挙げられる。
【０１４５】
この場合、地域データセンタ２０００では、データ保存装置１０００に記憶されたセキュアデータ１３１１をセキュアにアクセスするためのセキュアハッシュ情報１３２１をセキュアデータ１３１１の代わりに記憶する。セキュアハッシュ情報１３２１には、セキュアデータ１３１１のハッシュ情報が含まれる。
【０１４６】
すなわち、車両データ１３１０（図１５）を、セキュアデータ１３１１のハッシュ情報であるセキュアハッシュ情報１３２１、車両特定情報１３１３およびセキュアデータ特定情報１３１２のデータセットである車両ハッシュ化データ１３２０（図１４）で置き換えたセキュアロギングシステム１０とすることで、地域データセンタ２０００に記憶するデータ量を圧縮することができる。
【０１４７】
つまり、セキュアロギングシステム１０におけるデータ保存装置１０００の記憶部１３００でセキュアデータ１３１１を記憶し、データ保存装置１０００のハッシュ値計算部１２５０でセキュアデータ１３１１のセキュアハッシュ情報を生成する。セキュアハッシュ情報にはハッシュ値の他に、ハッシュ関数に関する情報が含まれる場合もある。
【０１４８】
車両データ生成部１２４０は、セキュアハッシュ情報１３２１、車両特定情報１３１３およびセキュアデータ特定情報１３１２を含む車両ハッシュ化データ１３２０を生成し、地域データセンタ２０００に送信する。これにより、完全性を担保すべきセキュアデータ１３１１のハッシュ情報であるセキュアハッシュ情報１３２１を、セキュアデータ１３１１の所属車両と生成時刻とデータ種別を明確にした状態で、地域データセンタ２０００に送信することができる。
【０１４９】
（変形例２）
（データ保存装置１０００と地域データセンタ２０００の通信）
データ保存装置１０００と地域データセンタ２０００との問で、車両データ１３１０（図２、図１５）または車両ハッシュ化データ１３２０（図１４）を確実に送受信するために、受信応答などの送受信処理を実施するコントロール通信が必要である。
【０１５０】
そこで、データ保存装置１０００の入出力制御部１２１０および地域データセンタ２０００の入出力制御部２２１０は、コントロール通信を実施する。なお、コントロール通信の具体例としては、ＴＣＰ通信技術やメッセージ認証技術等の技術を利用することを想定する。
【０１５１】
当該コントロール通信によって、データ保存装置１０００と地城データセンタ２０００との間における、車両データ１３１０、或いは、車両ハッシュ化データ１３２０の送受信において、情報消失や意図しない情報変化を防ぐことが可能な情報の送受信を実現できる。
【０１５２】
（変形例３）
（地域データセンタ２０００と計算リソース提供装置３０００の通信）
地域データセンタ２０００と計算リソース提供装置３０００との問で、ナンス付与前ブロックデータ２３２０、或いは、ナンス３３２０を確実に送受信するために、コントロール通信が必要である。
【０１５３】
そこで、地域データセンタ２０００の入出力制御部２２１０および計算リソース提供装置３０００の入出力制御部３２１０は、コントロール通信を実施する。なお、コントロール通信の具体例としては、ＴＣＰ通信技術やメッセージ認証技術等の技術を利用することを想定する。
【０１５４】
当該コントロール通信によって、地域データセンタ２０００と計算リソース提供装置３０００との間における、ナンス付与前ブロックデータ２３２０、或いは、ナンス３３２０の送受信において、情報消失や意図しない情報変化を防ぐことを実現できる。
（変形例４）
【０１５５】
（地域データセンタ２０００間の通信）
地域データセンタ２０００問で、ブロックデータ２３３０を確実に送受信するために、コントロール通信が必要である。
【０１５６】
そこで、地域データセンタ２０００の入出力制御部２２１０は、コントロール通信を実施する。なお、コントロール通信の具体例としては、ＴＣＰ通信技術やメッセージ認証技術等の技術を利用することを想定する。
【０１５７】
当該コントロール通信によって、地域データセンタ２０００間における、ブロックデータ２３３０の送受信において、情報消失や意図しない情報変化を防ぐことが可能な情報の送受信を実現できる。
【０１５８】
（変形例５）
（計算リソース提供装置３０００による計算提供リクエスト）
計算リソース提供装置３０００は、余剰計算リソースを提供可能な状態であることを地域データセンタ２０００に通知する。すなわち、計算リソース提供装置３０００は、ナンス導出のための計算に参加することを表明するために、参加表明の通知と自分の宛先アドレスを、何れかの地域データセンタ２０００に送信する。
【０１５９】
地域データセンタ２０００の計算提供リクエスト処理部２２８０は、計算リソース提供装置３０００が送信する計算リソースを提供する通知を、入力部２１００を介して受信する。当該通知には、計算リソース提供装置３０００、または、計算リソース提供装置３０００を搭載している自動車の宛先アドレスが含まれる。計算提供リクエスト処理部２２８０は、当該計算リソース提供装置３０００の当該通知を計算リソース提供装置リスト２３４０に加える。
【０１６０】
計算リソースを提供する通知を送信した計算リソース提供装置３０００がナンス導出のための計算に参加することが可能であることを、地域データセンタ２０００は認識することができる。また、地域データセンタ２０００が当該計算リソース提供装置３０００と通信するために必要な宛先アドレスを知ることができる。
【０１６１】
計算リソース提供装置３０００の計算提供リクエスト生成部３２４０は、計算リソースを提供する通知を、地域データセンタ２０００に送信する。当該通知には、計算リソース提供装置３０００、または、計算リソース提供装置３０００を搭載している自動車の宛先アドレスが含まれる。したがって、計算リソース提供装置３０００がナンス導出のための計算に参加することが可能であることを、地域データセンタ２０００に通知することができる。また、地域データセンタ２０００が当該計算リソース提供装置３０００と通信するために必要な宛先アドレスを取得することができる。
【０１６２】
（変形例６）
（他の地域データセンタ２０００におけるナンス検算）
ナンス検算を、ブロックデータ２３３０を生成した地域データセンタ２０００のみで実施する場合には、ブロックデータ２３３０が含むセキュアデータ１３１１の完全性の担保は、1つの地域データセンタ２０００の信頼性に依存する。また、ブロックデータ２３３０の連続性が途切れる可能性もある。そこで、ナンス検算を、ブロックデータ２３３０を共有するすべての地域データセンタ２０００にて実施することで、特定の地域データセンタ２０００の信頼性に依存しないセキュアデータ１３１１の完全性を担保できる。なお、ナンス検算は、受信したブロックデータ２３３０のハッシュ値を計算し、計算結果のハッシュ値が規定に則した値であることを確認することによって実現できる。
【０１６３】
すなわち、地域データセンタ２０００のハッシュ値計算部２２４０は、他の地域データセンタ２０００が送信するブロックデータ２３３０を受信した場合に、受信したブロックデータ２３３０に対してハッシュ値を計算する。計算結果のハッシュ値が規定に則した値である場合には、ブロックデータ２３３０に含まれるナンスが適切な値であることが確認され、ナンス検算が終了する。ナンス検算によって、特定の地域データセンタ２０００の信頼性に依存しないセキュアデータ１３１１の完全性担保が実現できる。
【０１６４】
（変形例７）
（地域データセンタ２０００間におけるブロックデータ２３３０の重複登録回避）
本実施形態では、セキュアロギングシステム１０の信頼性を確保するために、同一の前ブロックハッシュ値２３２２を持つ複数のブロックデータ２３３０が存在することを回避しなければならない。
【０１６５】
そのために、前ブロックハッシュ値２３２２を利用したナンス導出のための計算を開始している地域データセンタ２０００は、ナンス計算開始通知を他の地域データセンタ２０００に送信する。ナンス計算開始通知によって、他の地域データセンタ２０００が同一の前ブロックハッシュ値２３２２を持つナンス付与前ブロックデータ２３２０に対するナンス導出のための計算を開始することを防止できる。また、ナンス２３３１の導出が完了した場合には、地域データセンタ２０００は他の地域データセンタ２０００に対して、ナンス２３３１の導出が終了した旨の通知であるナンス計算終了通知を送信する。ナンス計算開始通知およびナンス計算終了通知によって、同一の前ブロックハッシュ値２３２２を持つブロックデータ２３３０が複数存在することを回避できる（図１７）。
【０１６６】
具体的には、地域データセンタ２０００の入出力制御部２２１０は、ナンス計算開始通知およびナンス計算終了通知を、他の地域データセンタ２０００に送信する。これによって、すでに地域データセンタ２０００においてナンス導出のための計算が開始されているナンス付与前ブロックデータ２３２０の前ブロックハッシュ値２３２２を持つ、他のナンス付与前ブロックデータ２３２０に対するナンス導出のための無駄な計算を防止することができる。
【０１６７】
図１７を参照すれば、例えば直前のブロックデータ１００ｃがある場合に、直前のブロックデータ１００ｃのハッシュ値１４０ｃは、次に生成されるべきブロックデータ１００ｄの前ブロックハッシュ値１４０ｃとなる。セキュアロギングシステム１０では、前ブロックハッシュ値１４０ｃを持つブロックデータ１００ｄは１つだけに制限される。したがって、前ブロックハッシュ値１４０ｃを持つブロックデータ１００ｄ’が存在することはセキュアロギングシステム１０では禁止される。そのために、ナンス計算開始通知を受信した地域データセンタ２０００は、前ブロックハッシュ値１４０ｃを持つナンス付与前ブロックデータ２３２０を計算リソース提供装置３０００に送信しない。そして、ナンス計算終了通知を受信後に、新たなブロックデータ１００ｄを受信し、新たなブロックデータ１００ｄのハッシュ値を前ブロックハッシュ値として利用する。
【０１６８】
（変形例８）
（地域データセンタ２０００間におけるナンス導出のための計算依頼の共有化）
１つの地域データセンタ２０００の計算リソース提供装置リスト２３４０の宛先リストに登録された計算リソース提供装置３０００だけでナンス導出のための計算を開始するよりも、複数の地域データセンタ２０００の計算リソース提供装置リスト２３４０の宛先リストに登録された計算リソース提供装置３０００でナンス導出のための計算をした方が、早くナンスを導出できることが期待できる。
【０１６９】
このため、複数の地域データセンタ２０００の計算リソース提供装置リスト２３４０の宛先リストに登録された計算リソース提供装置３０００によって、ナンス導出のための計算を実施させる。
【０１７０】
具体的には、地域データセンタ２０００の入出力制御部２２１０が前述のナンス計算開始通知を送信すると、ナンス付与前ブロックデータ生成部２２５０が、生成したナンス付与前ブロックデータ２３２０を他の地域データセンタ２０００に送信する。
【０１７１】
これにより、他の地域データセンタ２０００においても、他の地域データセンタ２０００に属する計算リソース提供装置３０００にナンスを導出するための計算を依頼するために必要な情報を得ることができる。
【０１７２】
すなわち、他の地域データセンタ２０００のナンス付与前ブロックデータ生成部２２５０が、ナンス付与前ブロックデータ２３２０を受信した場合に、受信したナンス付与前ブロックデータ２３２０を計算リソース提供装置３０００に送信する。これにより、他の地域データセンタ２０００においても、ナンスを導出するための計算を、計算リソース提供装置３０００に依頼することができる。
【０１７３】
（変形例９）
（地域データセンタ２０００間におけるブロックデータの生成機会の均等化）
変形例７で説明したように、地域データセンタ２０００がナンス導出のための計算を開始しようとすると、入出力制御部２２１０はナンス計算開始通知を他の地域データセンタ２０００に送信する。その結果、ナンス計算開始通知の送信競争に敗れる地域データセンタ２０００は、いつまでたってもブロックデータ２３３０を生成できない可能性がある。そこで、入出力制御部２２１０に、他の地域データセンタ２０００との調停機能を持たせて、ナンス付与前ブロックデータ２３２０の生成機会が可能な限り均等になるように調整を行う。
【０１７４】
例えば、入出力制御部２２１０は、他の地域データセンタ２０００と時刻同期を取り、過去にブロックデータ２３３０を生成した時刻の情報であるブロックデータ生成時刻情報２３５０を記憶部２３００に記憶する。
【０１７５】
入出力制御部２２１０は、ナンス計算終了通知を受信後の一定期間であるナンス計算調停期間に、ブロックデータ２３３０を生成することを希望する場合には、ナンス計算を希望する旨の通知であるナンス計算希望通知を他の地域データセンタ２０００に送信する。ナンス計算希望通知にはブロックデータ生成時刻情報２３５０が含まれる。セキュアロギングシステム１０はナンス計算調停期間を任意の値に設定することができる。
【０１７６】
ナンス計算調停期間に受信したナンス計算希望通知に含まれるブロックデータ生成時刻情報２３５０と、自地城データセンタ２０００のブロックデータ生成時刻情報２３５０とを比較する。自地城データセンタ２０００のブロックデータ生成時刻情報２３５０がもっとも古いものである場合に、自地城データセンタ２０００はナンス計算開始通知を送信する。また、ナンス計算開始通知の送信と同時に、ブロックデータ生成時刻情報２３５０の時刻を現在の時刻で上書きする。
【０１７７】
これにより、ナンス導出を希望する地域データセンタ２０００の中で、もっとも古いブロックデータ生成時刻情報２３５０を持つ地域データセンタ２０００が、ブロックデータ２３３０を生成することができる。したがって、ブロックデータ２３３０の生成機会の均等化が実現できる。
【０１７８】
図１０は、地域データセンタ２０００間におけるブロックデータ２３３０の生成機会を均等化するための通信シーケンスの一例を示す図である。
【０１７９】
図１０では、地域データセンタ２０００ａ、地域データセンタ２０００ｂおよび地域データセンタ２０００ｃの３つの地域データセンタ２０００間の調停機能について説明する。
【０１８０】
ステップＳ１００１において、地域データセンタ２０００ａの入出力制御部２２１０ａと地域データセンタ２０００ｂの入出力制御部２２１０ｂとで時刻同期を取る。
【０１８１】
ステップＳ１００２において、地域データセンタ２０００ｃの入出力制御部２２１０ｃと地域データセンタ２０００ｂの入出力制御部２２１０ｂとで時刻同期を取る。ステップＳ１００１とステップＳ１００２は順番が逆でもよいし、同時であってもよい。
【０１８２】
ステップＳ１００３において、ナンス計算調停後の過去のブロックデータ生成時刻情報２３５０がもっとも新しい、地域データセンタ２０００ｃのブロックデータ生成部２２７０がブロックデータ２３３０を生成する。
【０１８３】
ステップＳ１００４において、地域データセンタ２０００ｃの入出力制御部２２１０ｃはナンス計算終了通知を地域データセンタ２０００ｂに送信する。
【０１８４】
ステップＳ１００５において、地域データセンタ２０００ｃの入出力制御部２２１０ｃはナンス計算終了通知を地域データセンタ２０００ａに送信する。ステップＳ１００４とステップＳ１００５は順番が逆でもよいし、同時であってもよい。
【０１８５】
ステップＳ１００６において、地域データセンタ２０００ａ、地域データセンタ２０００ｂおよび地域データセンタ２０００ｃでナンス調停期間が開始される。ナンス計算終了通知を送信した地域データセンタ２０００ｃはナンス調停期間の間にナンス計算希望通知を送信することができない。
【０１８６】
ステップＳ１００７において、地域データセンタ２０００ｂはナンス計算希望通知を地域データセンタ２０００ｃに送信する。
【０１８７】
ステップＳ１００８において、地域データセンタ２０００ｂはナンス計算希望通知を地域データセンタ２０００ａに送信する。
【０１８８】
ステップＳ１００９において、地域データセンタ２０００ａはナンス計算希望通知を地域データセンタ２０００ｂに送信する。
【０１８９】
ステップＳ１０１０において、地域データセンタ２０００ａはナンス計算希望通知を地域データセンタ２０００ｃに送信する。ステップＳ１００７〜ステップＳ１０１０は順番が前後してもよいし、同時であってもよい。
【０１９０】
ステップＳ１０１１において、地域データセンタ２０００ａ、地域データセンタ２０００ｂおよび地域データセンタ２０００ｃでナンス調停期間が終了する。
【０１９１】
ステップＳ１０１２において、地域データセンタ２０００ｂの入出力制御部２２１０ｂは、地域データセンタ２０００ｂのブロックデータ生成時刻情報２３５０ｂと地域データセンタ２０００ａのブロックデータ生成時刻情報２３５０ａとを比較する。ブロックデータ生成時刻情報２３５０ａは地域データセンタ２０００ａが送信したナンス計算希望通知に含まれる。ブロックデータ生成時刻情報２３５０ａの時刻がブロックデータ生成時刻情報２３５０ｂよりも前の時刻であるために、地域データセンタ２０００ｂはナンス計算開始通知を送信しない。
【０１９２】
ステップＳ１０１３において、地域データセンタ２０００ａの入出力制御部２２１０ａは、地域データセンタ２０００ａのブロックデータ生成時刻情報２３５０ａと地域データセンタ２０００ｂのブロックデータ生成時刻情報２３５０ｂとを比較する。ブロックデータ生成時刻情報２３５０ｂは地域データセンタ２０００ｂが送信したナンス計算希望通知に含まれる。ブロックデータ生成時刻情報２３５０ａの時刻がブロックデータ生成時刻情報２３５０ｂよりも前の時刻であるために、地域データセンタ２０００ａはナンス計算開始通知を送信する。ステップＳ１０１２とステップＳ１０１３は順番が前後してもよいし、同時であってもよい。
【０１９３】
ステップＳ１０１４において、地域データセンタ２０００ａの入出力制御部２２１０ａは、ナンス計算開始通知を地域データセンタ２０００ｂに送信する。
【０１９４】
ステップＳ１０１５において、地域データセンタ２０００ａの入出力制御部２２１０ａは、ナンス計算開始通知を地域データセンタ２０００ｃに送信する。ステップＳ１０１４とステップＳ１０１５は順番が前後してもよいし、同時であってもよい。
【０１９５】
実施形態につき、図面を参照しつつ詳細に説明したが、以上の実施形態に記載した内容により本発明が限定されるものではない。また、上記に記載した構成要素には、当業者が容易に想定できるもの、実質的に同一のものが含まれる。さらに、上記に記載した構成は適宜組み合わせることが可能である。また、本発明の要旨を逸脱しない範囲で構成の種々の省略、置換又は変更を行うことができる。
【産業上の利用可能性】
【０１９６】
本発明は、車両に搭載されたロガーが攻撃されてもログデータが保全されるサーバー保存型のシステムであって、さらに、ログデータの完全性を、サーバーおよびサーバー管理者の信頼に依存しないで担保する場合に用いて、極めて有用である。
【符号の説明】
【０１９７】
１０・・・セキュアロギングシステム
１０００、１０００ａ、１０００ｂ、１０００ｃ・・・データ保存装置
１１００、２１００、３１００・・・入力部
１２００、２２００、３２００・・・制御部
１２１０、２２１０、３２１０・・・入出力制御部
１２２０・・・セキュアデータ取得部
１２３０・・・車両特定情報取得部
１２４０・・・車両データ生成部
１２５０・・・ハッシュ値計算部
１３００、２３００、３３００・・・記憶部
１３１０、２３１０、Ｂ１、Ｃ１、Ｄ１・・・車両データ
１３１１・・・セキュアデータ
１３１２・・・セキュアデータ特定情報
１３１３・・・車両特定情報
１３２１・・・セキュアハッシュ情報
１４００、２４００、３４００・・・出力部
２０００、２０００ａ、２０００ｂ、２０００ｃ・・・地域データセンタ
２２２０・・・車両データ取得部
２２３０・・・車両データ群生成部
２２４０・・・ハッシュ値計算部
２２５０・・・ナンス付与前ブロックデータ生成部
２２６０・・・ナンス取得部
２２７０・・・ブロックデータ生成部
２２８０・・・計算提供リクエスト処理部
２２９０・・・他の地域データセンタのブロックデータ取得部
２３２０、３３１０・・・ナンス付与前ブロックデータ
２３２１・・・車両データ群
２３２２・・・前ブロックハッシュ値
２３３１、３３２０・・・ナンス
２３４０・・・計算リソース提供装置リスト
２３５０、２３５０ａ、２３５０ｂ、２３５０ｃ・・・ブロックデータ生成時刻情報
３０００、３０００ａ、３０００ｂ、３０００ｃ・・・計算リソース提供装置
３２２０・・・ナンス付与前ブロックデータ取得部
３２３０・・・ナンス計算部
３２３１・・・ナンス出力部
３２４０・・・計算提供リクエスト生成部
【図１】
2020076877.tif 000003
【図２】
2020076877.tif 000004
【図３】
2020076877.tif 000005
【図４】
2020076877.tif 000006
【図５】
2020076877.tif 000007
【図６】
2020076877.tif 000008
【図７】
2020076877.tif 000009
【図８】
2020076877.tif 000010
【図９】
2020076877.tif 000011
【図１０】
2020076877.tif 000012
【図１１】
2020076877.tif 000013
【図１２】
2020076877.tif 000014
【図１３】
2020076877.tif 000015
【図１４】
2020076877.tif 000016
【図１５】
2020076877.tif 000017
【図１６】
2020076877.tif 000018
【図１７】
2020076877.tif 000019