JP2009070026A - 記録装置及び検証装置及び再生装置及び記録方法及び検証方法及びプログラム - Google Patents

Abstract

【課題】記録装置が記録したデータの改竄（データ内容の変更、同期の改竄、順序の改竄）を検出できるようにし、データの証拠性を担保する。
【解決手段】出力画像データ６１１〜６１９・出力音声データ６２１〜６２９・出力センサデータ６３１〜６３９それぞれの鍵付きハッシュ値（画像ハッシュ値６４１〜６４９・音声ハッシュ値６５１〜６５９・センサハッシュ値６６１〜６６９）を算出する。更に、例えば、出力データ６０２において、同期すべき出力画像データ６１２・出力音声データ６２２・出力センサデータ６３２それぞれのハッシュ値（画像ハッシュ値６４２・音声ハッシュ値６５２・センサハッシュ値６６２）と、一つ前の結合ハッシュ値６７１とを含むデータ群に基づいて、鍵付きハッシュ値（結合ハッシュ値６７２）を算出する。算出したハッシュ値を記録媒体に記録する。
【選択図】図８

Description

この発明は、データを記録する記録装置、及び、記録装置が記録したデータに改竄がないことを検証する検証装置、及び、検証が成功した場合にデータを再生する再生装置に関する。

主にタクシーやトラックなどの営業車を中心に、事故発生時や、事故に至らないまでも危険に遭遇したときの映像や音声、そのときの運転操作の記録を残すドライブレコーダ装置が普及を始めている。ドライブレコーダ装置に記録された映像などを分析することにより、事故原因の究明などが可能となる。
特開２００５−１４３０９４号公報 特開２００５−３３６４０号公報 特開２００６−２１５８５６号公報 特開２００７−８８５４１号公報

ドライブレコーダ装置が記録したデータを示談交渉や裁判時の証拠として採用できれば、交渉や裁判を早期に終わらせることができる。しかし、例えば、データの画像の順序を入れ替えたり、異なる画像に編集したり、音声を捏造したり、運転操作の履歴を偽造したりして、自分に有利に交渉・裁判を進めようとする者がいる可能性がある。このため、データの改変やデータの順序の入替えなどの改竄を検知できることが必要である。
また、十分な証拠性を担保するには、映像・音声・運転操作の記録を、正確に同期をとって再生できることが必要である。
この発明は、例えば上記のような課題を解決するためになされたものであり、ドライブレコーダ装置などの記録装置が記録したデータにおいて、改竄を検知でき、データの証拠性を担保するのに十分な、画像や音声、運転操作の履歴などの同期再生ができるようにすることを目的とする。

この発明にかかる記録装置は、
記録鍵記憶装置と、出力第一データ取得装置と、結合ハッシュ値算出装置と、出力データ記録装置とを有し、
上記記録鍵記憶装置は、共通鍵を記憶し、
上記出力第一データ取得装置は、順序を有する複数の出力第一データを取得し、
上記結合ハッシュ値算出装置は、上記出力第一データ取得装置が取得した複数の出力第一データのうちの一つの出力第一データに対応する結合ハッシュ値として、上記記録鍵記憶装置が記憶した共通鍵と、上記一つの出力第一データと、上記一つの出力第一データより一つ前の出力第一データに対応する結合ハッシュ値とを含む第一データ群に基づいて、ハッシュ値を算出し、
上記出力データ記録装置は、上記出力第一データ取得装置が取得した複数の出力第一データと、上記結合ハッシュ値算出装置が算出した結合ハッシュ値とを記録媒体に記録することを特徴とする。

この発明にかかる記録装置によれば、結合ハッシュ値算出装置が、出力第一データに対応する結合ハッシュ値として、出力第一データと一つ前の出力第一データに対応する結合ハッシュ値とを含むデータ群に基づいて算出した鍵付きハッシュ値を、出力データ記録装置が記録媒体に記録するので、記録媒体に記録された結合ハッシュ値を検証すれば、出力第一データの順序が改竄されているか否かを判定することができるという効果を奏する。

実施の形態１．
実施の形態１を、図１〜図１１を用いて説明する。

図１は、この実施の形態におけるドライブレコーダシステム８００の全体構成の一例を示すシステム構成図である。
自動車８１０は、ドライブレコーダ装置１００を搭載している。
ドライブレコーダ装置１００（記録装置）は、自動車８１０走行時の周囲の状況を常に撮影している。また、ドライブレコーダ装置１００は、自動車８１０の周囲の物音や運転者の声などの音声を常に録音している。更に、ドライブレコーダ装置１００は、自動車８１０に加わる加速度や運転者の運転操作の内容なども常に記録している。
ドライブレコーダ装置１００には、フラッシュメモリなどの記録媒体８２０（ストレージ）を着脱自在に取り付けることができる。ドライブレコーダ装置１００は、急ブレーキや衝突の衝撃などのイベントを検知すると、イベント発生の前後（例えば、イベント発生前２０秒間、イベント発生後２０秒間、合わせて４０秒間）に記録した映像・音声・運転操作などを表わすデータを、取り付けた記録媒体８２０に記録する。
これにより、例えば、交通事故発生の前後の様子が記録媒体８２０に記録される。

再生装置３００（検証装置）には、ドライブレコーダ装置１００から取り外した記録媒体８２０を着脱自在に取り付けることができる。再生装置３００は、記録媒体８２０に記録されたデータを再生して、表示装置９０１に映像や運転操作を表示し、スピーカー装置９０８から音声を出力する。
また、再生装置３００は、表示した映像などの証拠性を担保するため、記録媒体８２０に記録されたデータが、まさしくドライブレコーダ装置１００が記録したものであり、改竄されていないことを検証する。検証に失敗した場合、再生装置３００は、例えば、表示装置９０１にデータが改竄されていることを示す表示をしたり、スピーカー装置９０８からデータ改竄を警告する警告音を出力したりする。再生装置３００は、検証に成功した場合のみ、記録媒体８２０に記録されたデータを再生してもよいし、検証に失敗した場合、データ改竄を示す警告とともに、データを再生してもよい。

図２は、この実施の形態における再生装置３００の外観の一例を示す図である。
再生装置３００は、システムユニット９１０、ＣＲＴ（Ｃａｔｈｏｄｅ・Ｒａｙ・Ｔｕｂｅ）やＬＣＤ（液晶）の表示画面を有する表示装置９０１、キーボード９０２（Ｋｅｙ・Ｂｏａｒｄ：Ｋ／Ｂ）、マウス９０３、ＦＤＤ９０４（Ｆｌｅｘｉｂｌｅ・Ｄｉｓｋ・Ｄｒｉｖｅ）、コンパクトディスク装置９０５（ＣＤＤ）、プリンタ装置９０６、スキャナ装置９０７などのハードウェア資源を備え、これらはケーブルや信号線で接続されている。
システムユニット９１０は、コンピュータであり、ファクシミリ機９３２、電話器９３１とケーブルで接続され、また、ローカルエリアネットワーク９４２（ＬＡＮ）、ゲートウェイ９４１を介してインターネット９４０に接続されている。

図３は、この実施の形態におけるドライブレコーダ装置１００及び再生装置３００のハードウェア資源の一例を示す図である。
ドライブレコーダ装置１００及び再生装置３００は、プログラムを実行するＣＰＵ９１１（Ｃｅｎｔｒａｌ・Ｐｒｏｃｅｓｓｉｎｇ・Ｕｎｉｔ、中央処理装置、処理装置、演算装置、マイクロプロセッサ、マイクロコンピュータ、プロセッサともいう）を備えている。ＣＰＵ９１１は、バス９１２を介してＲＯＭ９１３、ＲＡＭ９１４、通信装置９１５、表示装置９０１、キーボード９０２、マウス９０３、ＦＤＤ９０４、ＣＤＤ９０５、プリンタ装置９０６、スキャナ装置９０７、磁気ディスク装置９２０と接続され、これらのハードウェアデバイスを制御する。磁気ディスク装置９２０の代わりに、光ディスク装置、メモリカード読み書き装置などの記憶装置でもよい。
ＲＡＭ９１４は、揮発性メモリの一例である。ＲＯＭ９１３、ＦＤＤ９０４、ＣＤＤ９０５、磁気ディスク装置９２０の記憶媒体は、不揮発性メモリの一例である。これらは、記憶装置あるいは記憶部の一例である。
通信装置９１５、キーボード９０２、スキャナ装置９０７、ＦＤＤ９０４などは、入力部、入力装置の一例である。
また、通信装置９１５、表示装置９０１、プリンタ装置９０６などは、出力部、出力装置の一例である。

通信装置９１５は、ファクシミリ機９３２、電話器９３１、ＬＡＮ９４２等に接続されている。通信装置９１５は、ＬＡＮ９４２に限らず、インターネット９４０、ＩＳＤＮ等のＷＡＮ（ワイドエリアネットワーク）などに接続されていても構わない。インターネット９４０或いはＩＳＤＮ等のＷＡＮに接続されている場合、ゲートウェイ９４１は不用となる。
磁気ディスク装置９２０には、オペレーティングシステム９２１（ＯＳ）、ウィンドウシステム９２２、プログラム群９２３、ファイル群９２４が記憶されている。プログラム群９２３のプログラムは、ＣＰＵ９１１、オペレーティングシステム９２１、ウィンドウシステム９２２により実行される。

上記プログラム群９２３には、以下に述べる実施の形態の説明において「〜部」として説明する機能を実行するプログラムが記憶されている。プログラムは、ＣＰＵ９１１により読み出され実行される。
ファイル群９２４には、以下に述べる実施の形態の説明において、「〜の判定結果」、「〜の計算結果」、「〜の処理結果」として説明する情報やデータや信号値や変数値やパラメータが、「〜ファイル」や「〜データベース」の各項目として記憶されている。「〜ファイル」や「〜データベース」は、ディスクやメモリなどの記録媒体に記憶される。ディスクやメモリになどの記憶媒体に記憶された情報やデータや信号値や変数値やパラメータは、読み書き回路を介してＣＰＵ９１１によりメインメモリやキャッシュメモリに読み出され、抽出・検索・参照・比較・演算・計算・処理・出力・印刷・表示などのＣＰＵの動作に用いられる。抽出・検索・参照・比較・演算・計算・処理・出力・印刷・表示のＣＰＵの動作の間、情報やデータや信号値や変数値やパラメータは、メインメモリやキャッシュメモリやバッファメモリに一時的に記憶される。
また、以下に述べる実施の形態の説明において説明するフローチャートの矢印の部分は主としてデータや信号の入出力を示し、データや信号値は、ＲＡＭ９１４のメモリ、ＦＤＤ９０４のフレキシブルディスク、ＣＤＤ９０５のコンパクトディスク、磁気ディスク装置９２０の磁気ディスク、その他光ディスク、ミニディスク、ＤＶＤ（Ｄｉｇｉｔａｌ・Ｖｅｒｓａｔｉｌｅ・Ｄｉｓｃ）等の記録媒体に記録される。また、データや信号は、バス９１２や信号線やケーブルその他の伝送媒体によりオンライン伝送される。

また、以下に述べる実施の形態の説明において「〜部」として説明するものは、「〜回路」、「〜装置」、「〜機器」であってもよく、また、「〜ステップ」、「〜手順」、「〜処理」であってもよい。すなわち、「〜部」として説明するものは、ＲＯＭ９１３に記憶されたファームウェアで実現されていても構わない。或いは、ソフトウェアのみ、或いは、素子・デバイス・基板・配線などのハードウェアのみ、或いは、ソフトウェアとハードウェアとの組み合わせ、さらには、ファームウェアとの組み合わせで実施されても構わない。ファームウェアとソフトウェアは、プログラムとして、磁気ディスク、フレキシブルディスク、光ディスク、コンパクトディスク、ミニディスク、ＤＶＤ等の記録媒体に記憶される。プログラムはＣＰＵ９１１により読み出され、ＣＰＵ９１１により実行される。すなわち、プログラムは、以下に述べる「〜部」としてコンピュータを機能させるものである。あるいは、以下に述べる「〜部」の手順や方法をコンピュータに実行させるものである。

図４は、この実施の形態におけるドライブレコーダ装置１００の機能ブロックの構成の一例を示すブロック構成図である。
ドライブレコーダ装置１００（記録装置）は、常時記録装置１１０、イベント検出装置１４０、出力データ生成装置１５０、出力データ記録装置２１０を有する。

常時記録装置１１０は、映像などを常に記録している。これは、イベント発生時に、イベント発生前に遡って、データを記録媒体８２０に記録する必要があるからである。
常時記録装置１１０は、撮像装置１１１、第二感知装置１１２、画像データ生成装置１２１、第二データ生成装置１２２、画像データ記憶装置１３１、第二データ記憶装置１３２を有する。

撮像装置１１１（第一感知装置）は、例えばＣＣＤ（Ｃｈａｒｇｅ Ｃｏｕｐｌｅｄ Ｄｅｖｉｃｅ）カメラなどを用いて、画像を撮影して電気信号に変換する装置である。撮像装置１１１は、例えば３０分の１秒（所定の撮影間隔時間）に１枚の割合で静止画像を撮影する。したがって、撮像装置１１１が撮影した静止画像を、撮影した順番通りに再生すれば、動きのある映像を再現することができる。
撮像装置１１１は、画像を撮影するたび、画像を撮影したことを表わす割込信号を出力する。

第二感知装置１１２は、マイクロフォン装置１１３、センサ装置１１４を有する。
マイクロフォン装置１１３は、音声を入力して電気信号に変換する装置である。マイクロフォン装置１１３は、連続した音声を入力する。

センサ装置１１４は、記録対象の状態を検知して電気信号に変換する装置である。センサ装置１１４は、運転操作センサ１１５、加速度センサ１１６などを有する。
運転操作センサ１１５は、自動車８１０の構成部材へのセンサインタフェースにより、ハンドル、アクセル、ブレーキ、ギアなどの操作状況を検知する。加速度センサ１１６は、自動車８１０に加わる加速度を検知する。

センサ装置１１４は、このほか、自動車８１０の速度やエンジンの回転数などを検知してもよい。

画像データ生成装置１２１（第一データ生成装置）は、例えばＪＰＥＧ（Ｊｏｉｎｔ Ｐｈｏｔｏｇｒａｐｈｉｃ Ｅｘｐｅｒｔｓ Ｇｒｏｕｐ）エンコーダなどを用いて、画像データ（第一データ）を生成する装置である。画像データ生成装置１２１は、撮像装置１１１が撮影した画像に基づいて、画像データを生成する。
画像データ生成装置１２１は、撮像装置１１１が出力した割込信号を割込コントローラなどを介して入力すると、撮像装置１１１が撮影した画像を表わす電気信号を入力し、入力した電気信号に基づいて、１枚の画像を表わす画像データを生成する。撮像装置１１１が３０分の１秒に１枚の割合で画像を撮影する場合であれば、画像データ生成装置１２１も３０分の１秒（所定のデータ生成間隔時間）に１つの割合で画像データを生成する。画像データ生成装置１２１は、生成した画像データを出力する。
なお、画像データ生成装置１２１は、タイマなどを用いて、撮像装置１１１が割込信号を出力する間隔を測定し、割込信号の間隔が正しく３０分の１秒であるか否かを判定してもよい。その場合、割込信号の間隔が３０分の１秒でない場合、画像データ生成装置１２１は、画像データの生成を中止し、撮像装置１１１の故障を使用者に通知するなどの対処をしてもよい。

第二データ生成装置１２２は、音声データ生成装置１２３、センサデータ生成装置１２４を有する。
音声データ生成装置１２３は、例えばＰＣＭ（Ｐｕｌｓｅ Ｃｏｄｅ Ｍｏｄｕｌａｔｉｏｎ）コーデックなどを用いて、音声データ（第二データ）を生成する装置である。音声データ生成装置１２３は、マイクロフォン装置１１３が入力した音声を表わす電気信号を入力し、入力した電気信号に基づいて、マイクロフォン装置１１３が入力した音声を表わす連続した音声データを生成する。
音声データ生成装置１２３は、撮像装置１１１が出力した割込信号などを入力して、撮像装置１１１が１枚の画像を撮影したことがわかると、生成した音声データから、撮像装置１１１が撮影した１枚の画像に対応する部分を切り出して、切り出した音声データを出力する。撮像装置１１１が３０分の１秒に１枚の割合で画像を撮影する場合であれば、音声データ生成装置１２３も３０分の１秒（データ生成間隔時間）に１つの割合で音声データを出力する。

センサデータ生成装置１２４は、センサデータ（第二データ）を生成する。センサデータ生成装置１２４は、センサ装置１１４が検知した状態を表わす電気信号を入力し、入力した電気信号に基づいて、連続したセンサデータを生成する。
センサデータ生成装置１２４は、撮像装置１１１が出力した割込信号などを入力して、撮像装置１１１が１枚の画像を撮影したことがわかると、生成したセンサデータから、撮像装置１１１が撮影した１枚の画像に対応する部分を切り出して、切り出したセンサデータを出力する。撮像装置１１１が３０分の１秒に１枚の割合で画像を撮影する場合であれば、センサデータ生成装置１２４も３０分の１秒（データ生成間隔時間）に１つの割合でセンサデータを出力する。

このようにして、データ生成間隔時間ごとに、画像データ生成装置１２１は、そのデータ生成間隔時間内に撮像装置１１１が撮影した画像を表わす１つの画像データを生成し、音声データ生成装置１２３は、そのデータ生成間隔時間内にマイクロフォン装置１１３が入力した音声を表わす１つの音声データを生成し、センサデータ生成装置１２４は、そのデータ生成間隔時間内にセンサ装置１１４が検知した状態を表わす１つのセンサデータを生成する。同じデータ生成間隔時間について、画像データ生成装置１２１が生成した画像データと、音声データ生成装置１２３が生成した音声データと、センサデータ生成装置１２４が生成したセンサデータとは、互いに対応している。このようにして対応づけられた画像データと音声データとセンサデータとの組が、例えば１秒間に３０組の割合で生成される。

画像データ記憶装置１３１は、画像データ生成装置１２１が出力した画像データを入力し、ＲＡＭ９１４などを用いて、入力した順番がわかるよう、入力した画像データを記憶する。
第二データ記憶装置１３２は、音声データ記憶装置１３３、センサデータ記憶装置１３４を有する。音声データ記憶装置１３３は、音声データ生成装置１２３が出力した音声データを入力し、ＲＡＭ９１４などを用いて、画像データ記憶装置１３１が記憶した画像データとの対応づけがわかるよう、入力した音声データを記憶する。センサデータ記憶装置１３４は、センサデータ生成装置１２４が出力したセンサデータを入力し、ＲＡＭ９１４などを用いて、画像データ記憶装置１３１が記憶した画像データとの対応づけがわかるよう、入力したセンサデータを記憶する。

これにより、同一の３０分の１秒フレーム期間の画像データ・音声データ・センサデータが、正確に３０分の１秒で同期されて、画像データ記憶装置１３１・第二データ記憶装置１３２に格納管理される。

このように、イベント発生時に、イベント発生前に遡って記録媒体８２０にデータを記録できるよう、常時記録装置１１０は、画像データ・音声データ・センサデータを常に記録しておく。なお、イベント発生前に遡って記録媒体８２０に記録する時間が例えば２０秒である場合、常時記録装置１１０は、２０秒より前のデータを記憶している必要はない。そのため、画像データ記憶装置１３１・音声データ記憶装置１３３・センサデータ記憶装置１３４は、例えば３０秒分のデータを記憶できる記憶領域を、ＲＡＭ９１４に確保しておき、確保した記憶領域をリングバッファとして使用する。すなわち、画像データ記憶装置１３１は、新しい画像データを入力すると、記憶した画像データのうち一番古い画像データを最新の画像データで上書きして記憶し、常に、３０秒分の画像データしか記憶しない。音声データ記憶装置１３３・センサデータ記憶装置１３４も同様に、常に、３０秒分の音声データ・センサデータしか記憶しない。これにより、ＲＡＭ９１４の記憶容量を節約できる。

イベント検出装置１４０は、急ブレーキや衝突の衝撃などのイベントの発生を検出する。イベント検出装置１４０は、センサ装置１１４が検知した記録対象の状態に基づいて、イベントが発生したか否かを判定する。例えば、急ブレーキをかけた場合や、衝突による衝撃を受けた場合などには、自動車８１０の加速度（の絶対値）が大きくなる。そこで、イベント検出装置１４０は、加速度センサ１１６が検知した自動車８１０の加速度の絶対値が所定の値より大きい場合に、イベントが発生したと判定する。
なお、イベント検出装置１４０が検出するイベントは、これに限らず、例えば、利用者の操作による記録を可能にするため、利用者が記録ボタンを押した場合に、イベント検出装置１４０は、イベントが発生したと判定してもよい。

出力データ生成装置１５０は、出力範囲決定装置１５１、出力画像データ取得装置１６１、第二データ取得装置１６２、検証データ生成装置１７０を有する。
出力範囲決定装置１５１は、常時記録装置１１０が記録したデータのうち、記録媒体８２０に記録するデータの範囲（出力範囲）を決定する。出力範囲決定装置１５１は、イベント検出装置１４０がイベント発生を検出した場合、イベント検出装置１４０が検出したイベントの発生時刻から所定の時間（イベント前記録時間）遡った時刻（記録開始時刻）を算出する。出力範囲決定装置１５１は、画像データ記憶装置１３１が記憶した画像データのうち、その画像データのデータ生成間隔時間内に、算出した記録開始時刻が含まれる画像データを、先頭画像データ（先頭第一データ）とする。また、出力範囲決定装置１５１は、イベント検出装置１４０が検出したイベントの発生時刻から所定の時間（イベント後記録時間）先の時刻（記録終了時刻）を算出し、画像データ記憶装置１３１が記憶した画像データのうち、その画像データのデータ生成間隔時間内に、算出した記録終了時刻が含まれる画像データを、末尾画像データ（末尾第一データ）とする。なお、出力範囲決定装置１５１が出力範囲を決定した時点では、画像データ記憶装置１３１が末尾画像データをまだ記憶していなくてもよい。

出力画像データ取得装置１６１（出力第一データ取得装置）は、出力範囲決定装置１５１が決定した出力範囲に基づいて、画像データ記憶装置１３１が記憶した画像データから、記録媒体８２０に記録する複数の画像データを取得する。すなわち、出力画像データ取得装置１６１は、出力範囲決定装置１５１が決定した先頭画像データから順に画像データを取得し、出力範囲決定装置１５１が決定した末尾画像データまでの画像データを取得する。出力画像データ取得装置１６１は、取得した複数の画像データを出力画像データ（出力第一データ）として順に出力する。なお、画像データ記憶装置１３１は、出力画像データ取得装置１６１が末尾画像データを取得するまでに、末尾画像データを記憶すればよく、また、出力画像データ取得装置１６１が既に取得した画像データは忘れてしまってもよい。したがって、画像データ記憶装置１３１が確保したリングバッファに記憶できる時間は、記録媒体８２０に記録するデータ記録時間（イベント前記録時間とイベント後記録時間との合計）よりも短くてよい。

第二データ取得装置１６２は、出力音声データ取得装置１６３、出力センサデータ取得装置１６４を有する。
出力音声データ取得装置１６３は、音声データ記憶装置１３３が記憶した音声データから、記録媒体８２０に記録する複数の音声データを取得する。すなわち、出力音声データ取得装置１６３は、音声データ記憶装置１３３が記憶した音声データのうち、出力画像データ取得装置１６１が取得した複数の画像データにそれぞれ対応する複数の音声データを取得する。出力音声データ取得装置１６３は、先頭画像データに対応する音声データから順に音声データを取得し、末尾画像データに対応する音声データまでの音声データを取得する。出力音声データ取得装置１６３は、取得した複数の音声データを出力音声データ（出力第二データ）として順に出力する。
出力センサデータ取得装置１６４は、センサデータ記憶装置１３４が記憶したセンサデータから、記録媒体８２０に記録する複数のセンサデータを取得する。すなわち、出力センサデータ取得装置１６４は、センサデータ記憶装置１３４が記憶したセンサデータのうち、出力画像データ取得装置１６１が取得した複数の画像データにそれぞれ対応するセンサデータを取得する。出力センサデータ取得装置１６４は、先頭画像データに対応するセンサデータから順にセンサデータを取得し、末尾画像データに対応するセンサデータまでのセンサデータを取得する。出力センサデータ取得装置１６４は、取得した複数のセンサデータを出力センサデータ（出力第二データ）として順に出力する。

検証データ生成装置１７０は、記録鍵生成装置１７１、記録鍵記憶装置１７２、画像ハッシュ値算出装置１８１、第二ハッシュ値算出装置１８２、結合ハッシュ値算出装置１９１、結合ハッシュ値記憶装置１９２を有する。
記録鍵生成装置１７１は、共通鍵をランダムに生成する。共通鍵は、鍵付きハッシュ値の算出に用いられる所定のビット長のデータである。記録鍵生成装置１７１は、生成した共通鍵を出力する。
記録鍵記憶装置１７２は、記録鍵生成装置１７１が生成した共通鍵を入力し、ＲＡＭ９１４などを用いて、入力した共通鍵を記憶する。

画像ハッシュ値算出装置１８１（第一ハッシュ値算出装置）は、記録鍵記憶装置１７２が記憶した共通鍵と、出力画像データ取得装置１６１が取得した出力画像データとを含むデータ群に基づいて、鍵付きハッシュ値を算出して、画像ハッシュ値（第一ハッシュ値）とする。鍵付きハッシュ値とは、共通鍵を知らなければ、ハッシュ値を算出したり検証したりすることができないハッシュ値である。鍵付きハッシュ値の算出方式は、例えば、ＲＦＣ（Ｒｅｑｕｅｓｔ ｆｏｒ Ｃｏｍｍｅｎｔｓ）２１０４に規定された方式でもよいし、他の方式でもよい。
画像ハッシュ値算出装置１８１は、出力画像データ取得装置１６１が出力した複数の出力画像データを順に入力する。画像ハッシュ値算出装置１８１は、それぞれの出力画像データについて、対応する画像ハッシュ値を算出する。画像ハッシュ値算出装置１８１が算出した画像ハッシュ値は、もととなった出力画像データと１対１に対応している。画像ハッシュ値算出装置１８１は、算出した複数の画像ハッシュ値を順に出力する。

第二ハッシュ値算出装置１８２は、音声ハッシュ値算出装置１８３、センサハッシュ値算出装置１８４を有する。
音声ハッシュ値算出装置１８３は、記録鍵記憶装置１７２が記憶した共通鍵と、出力音声データ取得装置１６３が取得した出力音声データとを含むデータ群に基づいて、鍵付きハッシュ値を算出して、音声ハッシュ値（第二ハッシュ値）とする。音声ハッシュ値算出装置１８３は、出力音声データ取得装置１６３が出力した複数の出力音声データを順に入力する。音声ハッシュ値算出装置１８３は、それぞれの出力音声データについて、対応する音声ハッシュ値を算出する。音声ハッシュ値算出装置１８３が算出した音声ハッシュ値は、もととなった出力音声データが対応する出力画像データと１対１に対応している。音声ハッシュ値算出装置１８３は、算出した複数の音声ハッシュ値を順に出力する。
センサハッシュ値算出装置１８４は、記録鍵記憶装置１７２が記憶した共通鍵と、出力センサデータ取得装置１６４が取得した出力センサデータとを含むデータ群に基づいて、鍵付きハッシュ値を算出して、センサハッシュ値（第二ハッシュ値）とする。センサハッシュ値算出装置１８４は、出力センサデータ取得装置１６４が出力した複数の出力センサデータを順に入力する。センサハッシュ値算出装置１８４は、それぞれの出力センサデータについて、対応するセンサハッシュ値を算出する。センサハッシュ値算出装置１８４が算出したセンサハッシュ値は、もととなった出力センサデータが対応する出力画像データと１対１に対応している。センサハッシュ値算出装置１８４は、算出した複数のセンサハッシュ値を順に出力する。

結合ハッシュ値算出装置１９１は、記録鍵記憶装置１７２が記憶した共通鍵と、画像ハッシュ値算出装置１８１が算出した画像ハッシュ値と、音声ハッシュ値算出装置１８３が算出した音声ハッシュ値と、センサハッシュ値算出装置１８４が算出したセンサハッシュ値と、１つ前の結合ハッシュ値とを含むデータ群に基づいて、鍵付きハッシュ値を算出して、結合ハッシュ値とする。
結合ハッシュ値記憶装置１９２は、ＲＡＭ９１４を用いて、結合ハッシュ値算出装置１９１が算出した結合ハッシュ値を記憶する。

結合ハッシュ値算出装置１９１は、画像ハッシュ値算出装置１８１が出力した画像ハッシュ値と、音声ハッシュ値算出装置１８３が出力した音声ハッシュ値と、センサハッシュ値算出装置１８４が出力したセンサハッシュ値とを入力する。結合ハッシュ値算出装置１９１は、先頭画像データ（最初の出力第一データ）について、対応する画像ハッシュ値・音声ハッシュ値・センサハッシュ値に基づいて、対応する結合ハッシュ値を算出する。結合ハッシュ値算出装置１９１は、算出した結合ハッシュ値を出力する。結合ハッシュ値記憶装置１９２は、結合ハッシュ値算出装置１９１が出力した結合ハッシュ値を入力する。結合ハッシュ値記憶装置１９２は、入力した結合ハッシュ値を記憶する。

また、結合ハッシュ値算出装置１９１は、先頭画像データ以外の出力画像データ（最初でない出力第一データ）について、対応する画像ハッシュ値・音声ハッシュ値・センサハッシュ値・結合ハッシュ値記憶装置１９２が記憶した１つ前の出力画像データに対応する結合ハッシュ値に基づいて、対応する結合ハッシュ値を算出する。結合ハッシュ値算出装置１９１は、算出した結合ハッシュ値を出力する。結合ハッシュ値記憶装置１９２は、結合ハッシュ値算出装置１９１が出力した結合ハッシュ値を入力する。結合ハッシュ値記憶装置１９２は、入力した結合ハッシュ値を記憶する。

結合ハッシュ値算出装置１９１が算出した結合ハッシュ値は、もととなった画像ハッシュ値・音声ハッシュ値・センサハッシュ値が対応する出力画像データと１対１に対応している。結合ハッシュ値算出装置１９１は、複数の出力画像データにそれぞれ対応する複数の結合ハッシュ値を算出する。

なお、結合ハッシュ値算出装置１９１は、画像ハッシュ値算出装置１８１が算出した画像ハッシュ値の代わりに、出力画像データ取得装置１６１が取得した出力画像データをもとにして、結合ハッシュ値を算出してもよい。また、結合ハッシュ値算出装置１９１は、画像ハッシュ値算出装置１８１が算出した鍵付きハッシュ値である画像ハッシュ値の代わりに、共通鍵を知らない第三者でも出力画像データに基づいて算出できる（鍵付きでない）ハッシュ値をもとにして、結合ハッシュ値を算出してもよい。
同様に、音声ハッシュ値やセンサハッシュ値の代わりに、出力音声データ（または出力音声データをもとにした鍵付きでないハッシュ値）や出力センサデータ（または出力センサデータをもとにした鍵付きでないハッシュ値）に基づいて、結合ハッシュ値を算出してもよい。
すなわち、結合ハッシュ値算出装置１９１は、共通鍵と、出力画像データと、出力音声データと、出力センサデータと、一つ前の出力画像データに対応する結合ハッシュ値とを含むデータ群（第一データ群）に基づいて結合ハッシュ値を算出する。結合ハッシュ値算出装置１９１が算出する結合ハッシュ値は、結合ハッシュ値からもとのデータ（例えば共通鍵）を推測することが非常に困難であり、同じ結合ハッシュ値になる２つの第一データ群を見つけることが非常に困難であるというハッシュ値の一般的な特性を有していればよい。

なお、結合ハッシュ値記憶装置１９２は、１つ前の結合ハッシュ値のみを記憶していればよいので、結合ハッシュ値記憶装置１９２は、１つの結合ハッシュ値を記憶できる記憶領域を、ＲＡＭ９１４に確保しておけばよい。結合ハッシュ値記憶装置１９２は、新しい結合ハッシュ値を入力すると、古い結合ハッシュ値に上書きして記憶する。

出力データ記録装置２１０は、出力データ生成装置１５０が生成したデータを記録媒体８２０に記録する。
出力データ記録装置２１０は、記録鍵記憶装置１７２が記憶した共通鍵を入力し、入力した共通鍵を記録媒体８２０に記憶する。これは、記録媒体８２０に記録されたデータを検証する再生装置３００と共通鍵を共有するためである。なお、記録媒体８２０は、耐タンパ性を有し、正当な権限のある再生装置３００だけが共通鍵を読み出すことができる。したがって、第三者が記録媒体８２０に記録されたデータを改竄しようとしても、共通鍵がわからないので、正しい鍵付きハッシュ値を算出することができない。
なお、ドライブレコーダ装置１００と再生装置３００とが他の方式により共通鍵を共有してもよい。その場合、出力データ記録装置２１０は、共通鍵を記録媒体８２０に記録しない。

出力データ記録装置２１０は、また、出力画像データ取得装置１６１が出力した画像データ、出力音声データ取得装置１６３が出力した音声データ、出力センサデータ取得装置１６４が出力したセンサデータ、画像ハッシュ値算出装置１８１が出力した画像ハッシュ値、音声ハッシュ値算出装置１８３が出力した音声ハッシュ値、センサハッシュ値算出装置１８４が出力したセンサハッシュ値、結合ハッシュ値算出装置１９１が出力した結合ハッシュ値を入力する。出力データ記録装置２１０は、入力した画像データ・音声データ・センサデータ・画像ハッシュ値・音声ハッシュ値・センサハッシュ値・結合ハッシュ値を、その対応と順序がわかるよう、記録媒体８２０に記録する。
なお、出力データ記録装置２１０は、画像データなどを、別々のファイルとして記録媒体８２０に記録してもよいし、画像データなどを結合して１つのファイルとして記録媒体８２０に記録してもよい。

次に、動作の詳細について説明する。

図５は、この実施の形態における常時記録装置１１０が画像などを常時記録する常時記録処理の流れの一例を示すフローチャート図である。

音声データ生成工程Ｓ１１において、音声データ生成装置１２３は、マイクロフォン装置１１３が入力した音声に基づいて、連続した音声データを生成する。
センサデータ生成工程Ｓ１２において、センサデータ生成装置１２４は、センサ装置１１４が検知した記録対象の状態に基づいて、連続したセンサデータを生成する。
撮像判定工程Ｓ１３において、画像データ生成装置１２１は、撮像装置１１１が割込信号を出力したか否かに基づいて、撮像装置１１１が画像を撮影したか否かを判定する。
撮像装置１１１が画像を撮影したと判定した場合、単一フレーム画像データ生成工程Ｓ１６へ進む。撮像装置１１１が画像をまだ撮影していないと判定した場合、音声データ生成工程Ｓ１１に戻り、音声データ・センサデータの生成を続ける。

単一フレーム画像データ生成工程Ｓ１６において、画像データ生成装置１２１は、撮像装置１１１が撮影した画像に基づいて、１枚の画像（１フレーム）を表わす画像データを生成する。
単一フレーム音声データ生成工程Ｓ１７において、音声データ生成装置１２３は、音声データ生成工程Ｓ１１で生成した連続した音声データから、単一フレーム画像データ生成工程Ｓ１６で画像データ生成装置１２１が生成した画像データに対応する１フレーム分の音声データを生成する。
単一フレームセンサデータ生成工程Ｓ１８において、センサデータ生成装置１２４は、センサデータ生成工程Ｓ１２で生成した連続したセンサデータから、単一フレーム画像データ生成工程Ｓ１６で画像データ生成装置１２１が生成した画像データに対応する１フレーム分のセンサデータを生成する。

画像データ記憶工程Ｓ２６において、画像データ記憶装置１３１は、単一フレーム画像データ生成工程Ｓ１６で画像データ生成装置１２１が生成した１フレーム分の画像データを記憶する。
音声データ記憶工程Ｓ２７において、音声データ記憶装置１３３は、単一フレーム音声データ生成工程Ｓ１７で音声データ生成装置１２３が生成した１フレーム分の音声データを記憶する。
センサデータ記憶工程Ｓ２８において、センサデータ記憶装置１３４は、単一フレームセンサデータ生成工程Ｓ１８でセンサデータ生成装置１２４が生成した１フレーム分のセンサデータを記憶する。
その後、音声データ生成工程Ｓ１１に戻り、音声データ・センサデータの生成を続ける。

なお、常時記録処理は、イベント検出装置１４０がイベント発生を検出した場合でも、続けられる。イベント発生後であっても、記録終了時刻までは記録を続ける必要があるからである。なお、画像データ生成装置１２１が末尾画像データにあたる画像データを生成した時点で常時記録処理を中止し、出力データ生成装置１５０が記録媒体８２０に記録すべきデータを生成し終えたら、常時記録処理を再開することとしてもよいし、末尾画像データにあたる画像データが生成されても、常時記録処理を中止せずに続けることとしてもよい。

図６は、この実施の形態におけるドライブレコーダ装置１００が出力データを生成・記録する出力データ生成記録処理の流れの一例を示すフローチャート図（前半）である。
図７は、この実施の形態におけるドライブレコーダ装置１００が出力データを生成・記録する出力データ生成記録処理の流れの一例を示すフローチャート図（後半）である。

イベント判定工程Ｓ３１において、イベント検出装置１４０は、センサ装置１１４が検知した記録対象の状態に基づいて、イベントが発生したか否かを判定する。
イベントが発生したと判定した場合、出力範囲決定工程Ｓ３２へ進む。
イベントが発生していないと判定した場合、イベント判定工程Ｓ３１を繰り返す。

出力範囲決定工程Ｓ３２において、出力範囲決定装置１５１は、イベント検出装置１４０が検出したイベントの発生時刻に基づいて、データの出力範囲（先頭画像データと末尾画像データ）を決定する。
記録鍵生成工程Ｓ３３において、記録鍵生成装置１７１は、共通鍵をランダムに生成する。
記録鍵記憶工程Ｓ３４において、記録鍵記憶装置１７２は、記録鍵生成工程Ｓ３３で記録鍵生成装置１７１が生成した共通鍵を記憶する。
記録鍵記録工程Ｓ３５において、出力データ記録装置２１０は、記録鍵記憶工程Ｓ３４で記録鍵記憶装置１７２が記憶した共通鍵を、記録媒体８２０の耐タンパ領域に記録する。

画像データ取得工程Ｓ３６〜終了判定工程Ｓ６２は、出力範囲決定工程Ｓ３２で出力範囲決定装置１５１が決定した出力範囲に含まれる画像データ（先頭画像データから末尾画像データまで）それぞれについて、先頭画像データから順に繰り返される。

画像データ取得工程Ｓ３６において、出力画像データ取得装置１６１は、画像データ記憶工程Ｓ２６で画像データ記憶装置１３１が記憶した複数の画像データのなかから、出力範囲決定工程Ｓ３２で出力範囲決定装置１５１が決定した出力範囲に含まれる複数の画像データを、先頭画像データから順に１つずつ取得して、出力画像データとする。
音声データ取得工程Ｓ３７において、出力音声データ取得装置１６３は、音声データ記憶工程Ｓ２７で音声データ記憶装置１３３が記憶した複数の音声データのなかから、画像データ取得工程Ｓ３６で出力画像データ取得装置１６１が取得した１つの画像データに対応する１つの音声データを取得して、出力音声データとする。
センサデータ取得工程Ｓ３８において、出力センサデータ取得装置１６４は、センサデータ記憶工程Ｓ２８でセンサデータ記憶装置１３４が記憶した複数のセンサデータのなかから、画像データ取得工程Ｓ３６で出力画像データ取得装置１６１が取得した１つの画像データに対応する１つのセンサデータを取得して、出力センサデータとする。

画像ハッシュ値算出工程Ｓ４１において、画像ハッシュ値算出装置１８１は、記録鍵記憶工程Ｓ３４で記録鍵記憶装置１７２が記憶した共通鍵と、画像データ取得工程Ｓ３６で出力画像データ取得装置１６１が取得した１つの出力画像データとに基づいて、１つの画像ハッシュ値を算出する。
音声ハッシュ値算出工程Ｓ４２において、音声ハッシュ値算出装置１８３は、記録鍵記憶工程Ｓ３４で記録鍵記憶装置１７２が記憶した共通鍵と、音声データ取得工程Ｓ３７で出力音声データ取得装置１６３が取得した１つの出力音声データとに基づいて、１つの音声ハッシュ値を算出する。
センサハッシュ値算出工程Ｓ４３において、センサハッシュ値算出装置１８４は、記録鍵記憶工程Ｓ３４で記録鍵記憶装置１７２が記憶した共通鍵と、センサデータ取得工程Ｓ３８で出力センサデータ取得装置１６４が取得した１つの出力センサデータとに基づいて、１つのセンサハッシュ値を算出する。

図７に移り、位置判定工程Ｓ４６において、結合ハッシュ値算出装置１９１は、現在処理中の出力画像データが、どの出力画像データであるかを判定する。
現在処理中の出力画像データが先頭画像データであると判定した場合、先頭結合ハッシュ値算出工程Ｓ４７へ進む。
現在処理中の出力画像データが先頭画像データでないと判定した場合、中間結合ハッシュ値算出工程Ｓ４８へ進む。

先頭結合ハッシュ値算出工程Ｓ４７において、結合ハッシュ値算出装置１９１は、記録鍵記憶工程Ｓ３４で記録鍵記憶装置１７２が記憶した共通鍵と、画像ハッシュ値算出工程Ｓ４１で画像ハッシュ値算出装置１８１が算出した１つの画像ハッシュ値と、音声ハッシュ値算出工程Ｓ４２で音声ハッシュ値算出装置１８３が算出した１つの音声ハッシュ値と、センサハッシュ値算出工程Ｓ４３でセンサハッシュ値算出装置１８４が算出した１つのセンサハッシュ値とに基づいて、先頭画像データに対応する１つの結合ハッシュ値を算出する。
その後、結合ハッシュ値記憶工程Ｓ５７へ進む。

中間結合ハッシュ値算出工程Ｓ４８において、結合ハッシュ値算出装置１９１は、記録鍵記憶工程Ｓ３４で記録鍵記憶装置１７２が記憶した共通鍵と、画像ハッシュ値算出工程Ｓ４１で画像ハッシュ値算出装置１８１が算出した１つの画像ハッシュ値と、音声ハッシュ値算出工程Ｓ４２で音声ハッシュ値算出装置１８３が算出した１つの音声ハッシュ値と、センサハッシュ値算出工程Ｓ４３でセンサハッシュ値算出装置１８４が算出した１つのセンサハッシュ値と、結合ハッシュ値記憶工程Ｓ５７で結合ハッシュ値記憶装置１９２が記憶した（一つ前の画像データに対応する）１つの結合ハッシュ値とに基づいて、現在処理中の出力画像データに対応する１つの結合ハッシュ値を算出する。

結合ハッシュ値記憶工程Ｓ５７において、結合ハッシュ値記憶装置１９２は、先頭結合ハッシュ値算出工程Ｓ４７または中間結合ハッシュ値算出工程Ｓ４８で結合ハッシュ値算出装置１９１が算出した１つの結合ハッシュ値を記憶する。結合ハッシュ値記憶装置１９２が記憶した結合ハッシュ値は、一つ次の出力画像データに対応する結合ハッシュ値の算出に利用される。

出力データ記録工程Ｓ６１において、出力データ記録装置２１０は、画像データ取得工程Ｓ３６で出力画像データ取得装置１６１が取得した１つの出力画像データ、音声データ取得工程Ｓ３７で出力音声データ取得装置１６３が取得した１つの出力音声データ、センサデータ取得工程Ｓ３８で出力センサデータ取得装置１６４が取得した１つの出力センサデータ、画像ハッシュ値算出工程Ｓ４１で画像ハッシュ値算出装置１８１が算出した１つの画像ハッシュ値、音声ハッシュ値算出工程Ｓ４２で音声ハッシュ値算出装置１８３が算出した１つの音声ハッシュ値、センサハッシュ値算出工程Ｓ４３でセンサハッシュ値算出装置１８４が算出した１つのセンサハッシュ値、先頭結合ハッシュ値算出工程Ｓ４７または中間結合ハッシュ値算出工程Ｓ４８で結合ハッシュ値算出装置１９１が算出した１つの結合ハッシュ値を、記録媒体８２０に記録する。
なお、これらのデータは、共通鍵と異なり、記録媒体８２０の耐タンパ領域に記録される必要はない。共通鍵を知らない第三者は、データと整合するハッシュ値との組を生成することができないので、改竄を検出されずにこれらのデータを書き換えることができないからである。

終了判定工程Ｓ６２において、出力画像データ取得装置１６１は、取得すべき画像データがまだあるか否かを判定する。
末尾画像データの処理が終わり、出力画像データ取得装置１６１が取得すべき画像データがもうないと判定した場合、記録鍵消去工程Ｓ７６へ進む。
出力画像データ取得装置１６１が取得すべき画像データがまだあると判定した場合、記録鍵記憶工程Ｓ３４からの処理を繰り返す。

記録鍵消去工程Ｓ７６において、記録鍵記憶装置１７２は、記憶した共通鍵を消去する。これは、第三者が記録鍵記憶装置１７２から共通鍵を読み出そうとするのを防ぐためである。
以上で、出力データ生成記録処理を終了する。

図８は、この実施の形態における出力データ生成装置１５０が生成するデータの構造の一例を示す模式図である。
出力データ６０１は、先頭画像データ６１１及び先頭画像データ６１１に対応するデータ（出力音声データ６２１・出力センサデータ６３１・画像ハッシュ値６４１・音声ハッシュ値６５１・センサハッシュ値６６１・結合ハッシュ値６７１）を有する。
画像ハッシュ値６４１は、共通鍵７０１と先頭画像データ６１１とに基づいて画像ハッシュ値算出装置１８１が算出した鍵付きハッシュ値である。音声ハッシュ値６５１は、共通鍵７０１と出力音声データ６２１とに基づいて音声ハッシュ値算出装置１８３が算出した鍵付きハッシュ値である。センサハッシュ値６６１は、共通鍵７０１と出力センサデータ６３１とに基づいてセンサハッシュ値算出装置１８４が算出した鍵付きハッシュ値である。結合ハッシュ値６７１は、共通鍵７０１と、画像ハッシュ値６４１と、音声ハッシュ値６５１と、センサハッシュ値６６１とに基づいて結合ハッシュ値算出装置１９１が算出した鍵付きハッシュ値である。

出力データ６０２は、出力画像データ６１２及び出力画像データ６１２に対応する出０タ（出力音声データ６２２・出力センサデータ６３２・画像ハッシュ値６４２・音声ハッシュ値６５２・センサハッシュ値６６２・結合ハッシュ値６７２）を有する。
出力画像データ６１２は、先頭画像データ６１１の次の出力画像データである。画像ハッシュ値６４２は、共通鍵７０１と出力画像データ６１２とを含むデータ群に基づいて画像ハッシュ値算出装置１８１が算出した鍵付きハッシュ値である。音声ハッシュ値６５２は、共通鍵７０１と出力音声データ６２２とを含むデータ群に基づいて音声ハッシュ値算出装置１８３が算出した鍵付きハッシュ値である。センサハッシュ値６６２は、共通鍵７０１と出力センサデータ６３２とを含むデータ群に基づいてセンサハッシュ値算出装置１８４が算出した鍵付きハッシュ値である。結合ハッシュ値６７２は、共通鍵７０１と、画像ハッシュ値６４２と、音声ハッシュ値６５２と、センサハッシュ値６６２と、結合ハッシュ値６７１とを含むデータ群に基づいて結合ハッシュ値算出装置１９１が算出した鍵付きハッシュ値である。

同様に、出力データ６０３は、出力画像データ６１２の次の出力画像データである出力画像データ６１３及び出力画像データ６１３に対応するデータ（出力音声データ６２３・出力センサデータ６３３・画像ハッシュ値６４３・音声ハッシュ値６５３・センサハッシュ値６６３・結合ハッシュ値６７３）を有し、結合ハッシュ値６７３は、共通鍵７０１と、画像ハッシュ値６４３と、音声ハッシュ値６５３と、センサハッシュ値６６３と、結合ハッシュ値６７２とを含むデータ群に基づいて結合ハッシュ値算出装置１９１が算出した鍵付きハッシュ値である。

出力データ６０９は、末尾画像データ６１９及び末尾画像データ６１９に対応するデータ（出力音声データ６２９・出力センサデータ６３９・画像ハッシュ値６４９・音声ハッシュ値６５９・センサハッシュ値６６９・結合ハッシュ値６７９）を有し、結合ハッシュ値６７９は、共通鍵７０１と、画像ハッシュ値６４９と、音声ハッシュ値６５９と、センサハッシュ値６６９と、一つ前の結合ハッシュ値（図示せず）とを含むデータ群に基づいて結合ハッシュ値算出装置１９１が算出した鍵付きハッシュ値である。

図９は、この実施の形態における再生装置３００の機能ブロックの構成の一例を示すブロック構成図である。
再生装置３００（検証装置）は、記録データ取得装置３１０、記録データ検証装置３４０、記録再生装置４１０、改竄警告装置４２０を有する。

記録データ取得装置３１０は、記録媒体８２０に記録された記録データを取得する装置である。記録データ取得装置３１０は、記録データ読出装置３１１、検証鍵取得装置３１２、記録画像データ取得装置３２１、記録第二データ取得装置３２２、記録画像ハッシュ値取得装置３３１、記録第二ハッシュ値取得装置３３２、記録結合ハッシュ値取得装置３３６を有する。

記録データ読出装置３１１は、記録媒体８２０に記録された記録データを読み出す。記録データ読出装置３１１が読み出す記録データは、改竄がなければ、ドライブレコーダ装置１００が記録媒体８２０に記録したデータである。

記録データ読出装置３１１は、記録媒体８２０との間で、データ読出しの正当な権限を有することを確認する認証処理をする。認証に成功した場合、記録データ読出装置３１１は、記録媒体８２０から共通鍵を含む記録データを読み出す。認証に失敗した場合、記録データ読出装置３１１は、記録媒体８２０から共通鍵を除く記録データを読み出す。
検証鍵取得装置３１２は、記録データ読出装置３１１が読み出した記録データから、共通鍵を取得する。検証鍵取得装置３１２は、取得した共通鍵を出力する。

記録データ読出装置３１１が読み出す記録データには、共通鍵のほか、複数の画像データ、複数の音声データ、複数のセンサデータ、複数の画像ハッシュ値、複数の音声ハッシュ値、複数のセンサハッシュ値、複数の結合ハッシュ値が含まれる。複数の画像データには順序があり、１つの画像データには、１つの音声データ、１つのセンサデータ、１つの画像ハッシュ値、１つの音声ハッシュ値、１つのセンサハッシュ値、１つの結合ハッシュ値が対応している。

記録画像データ取得装置３２１（第一データ取得装置）は、記録データ読出装置３１１が読み出した記録データから、画像データを取得して、記録画像データ（記録第一データ）とする。記録画像データ取得装置３２１は、記録データに含まれる複数の画像データを、最初の画像データから順に１つずつ取得する。
記録第二データ取得装置３２２は、記録音声データ取得装置３２３、記録センサデータ取得装置３２４を有する。
記録音声データ取得装置３２３は、記録データ読出装置３１１が読み出した記録データから、音声データを取得して、記録音声データ（記録第二データ）とする。記録音声データ取得装置３２３は、記録データに含まれる複数の音声データのうち、記録画像データ取得装置３２１が取得した画像データに対応する音声データを１つずつ取得する。
記録センサデータ取得装置３２４は、記録データ読出装置３１１が読み出した記録データから、センサデータを取得して、記録センサデータ（記録第二データ）とする。記録センサデータ取得装置３２４は、記録データに含まれる複数の音声データのうち、記録画像データ取得装置３２１が取得した画像データに対応するセンサデータを１つずつ取得する。

記録画像ハッシュ値取得装置３３１（記録第一ハッシュ値取得装置）は、記録データ読出装置３１１が読み出した記録データから、画像ハッシュ値を取得して、記録画像ハッシュ値（記録第一ハッシュ値）とする。記録画像ハッシュ値取得装置３３１は、記録データに含まれる複数の画像ハッシュ値のうち、記録画像データ取得装置３２１が取得した画像データに対応する画像ハッシュ値を１つずつ取得する。
記録第二ハッシュ値取得装置３３２は、記録音声ハッシュ値取得装置３３３、記録センサハッシュ値取得装置３３４を有する。
記録音声ハッシュ値取得装置３３３は、記録データ読出装置３１１が読み出した記録データから、音声ハッシュ値を取得して、記録音声ハッシュ値（記録第二ハッシュ値）とする。記録音声ハッシュ値取得装置３３３は、記録データに含まれる複数の音声ハッシュ値のうち、記録画像データ取得装置３２１が取得した画像データに対応する音声ハッシュ値を１つずつ取得する。
記録センサハッシュ値取得装置３３４は、記録データ読出装置３１１が読み出した記録データから、センサハッシュ値を取得して、記録センサハッシュ値（記録第二ハッシュ値）とする。記録センサハッシュ値取得装置３３４は、記録データに含まれる複数のセンサハッシュ値のうち、記録画像データ取得装置３２１が取得した画像データに対応するセンサハッシュ値を１つずつ取得する。
記録結合ハッシュ値取得装置３３６は、記録データ読出装置３１１が読み出した記録データから、結合ハッシュ値を取得して、記録結合ハッシュ値とする。記録結合ハッシュ値取得装置３３６は、記録データに含まれる複数の結合ハッシュ値のうち、記録画像データ取得装置３２１が取得した画像データに対応する結合ハッシュ値を１つずつ取得する。

記録データ検証装置３４０は、記録データ取得装置３１０が取得した記録データが、改竄されずドライブレコーダ装置１００が記録したままのデータであるかどうかを検証する。記録データ検証装置３４０は、検証鍵記憶装置３４１、検証画像ハッシュ値算出装置３５１、検証第二ハッシュ値算出装置３５２、検証結合ハッシュ値算出装置３５６、検証結合ハッシュ値記憶装置３５７、画像ハッシュ値検証装置３６１、第二ハッシュ値検証装置３６２、結合ハッシュ値検証装置３６６、判定装置３７１を有する。

検証鍵記憶装置３４１は、検証鍵取得装置３１２が出力した共通鍵を入力し、ＲＡＭ９１４などを用いて、入力した共通鍵を記憶する。なお、記録データ読出装置３１１が認証に成功せず、検証鍵取得装置３１２が共通鍵を取得していない場合には、検証鍵記憶装置３４１は、ランダムに生成した共通鍵を記憶する。

検証画像ハッシュ値算出装置３５１（検証第一ハッシュ値算出装置）は、検証鍵記憶装置３４１が記憶した共通鍵と、記録画像データ取得装置３２１が取得した記録画像データとを含むデータ群に基づいて、鍵付きハッシュ値を算出して、検証画像ハッシュ値（検証第一ハッシュ値）とする。検証画像ハッシュ値算出装置３５１が検証画像ハッシュ値を算出する方式は、ドライブレコーダ装置１００の画像ハッシュ値算出装置１８１が画像ハッシュ値を算出する方式と同一である。
検証第二ハッシュ値算出装置３５２は、検証音声ハッシュ値算出装置３５３、検証センサハッシュ値算出装置３５４を有する。
検証音声ハッシュ値算出装置３５３は、検証鍵記憶装置３４１が記憶した共通鍵と、記録音声データ取得装置３２３が取得した記録音声データとを含むデータ群に基づいて、鍵付きハッシュ値を算出して、検証音声ハッシュ値（検証第二ハッシュ値）とする。検証音声ハッシュ値算出装置３５３が検証音声ハッシュ値を算出する方式は、ドライブレコーダ装置１００の音声ハッシュ値算出装置１８３が音声ハッシュ値を算出する方式と同一である。
検証センサハッシュ値算出装置３５４は、検証鍵記憶装置３４１が記憶した共通鍵と、記録センサデータ取得装置３２４が取得した記録センサデータとを含むデータ群に基づいて、鍵付きハッシュ値を算出して、検証センサハッシュ値（検証第二ハッシュ値）とする。検証センサハッシュ値算出装置３５４が検証センサハッシュ値を算出する方式は、ドライブレコーダ装置１００のセンサハッシュ値算出装置１８４がセンサハッシュ値を算出する方式と同一である。

検証結合ハッシュ値算出装置３５６は、記録画像データ取得装置３２１が取得した記録画像データが最初の記録画像データである場合、検証鍵記憶装置３４１が記憶した共通鍵と、検証画像ハッシュ値算出装置３５１が算出した検証画像ハッシュ値と、検証音声ハッシュ値算出装置３５３が算出した検証音声ハッシュ値と、検証センサハッシュ値算出装置３５４が算出した検証センサハッシュ値とを含むデータ群に基づいて、鍵付きハッシュ値を算出して、最初の記録画像データに対応する検証結合ハッシュ値とする。
また、検証結合ハッシュ値算出装置３５６は、記録画像データ取得装置３２１が取得した記録画像データが最初の記録画像データでない場合、検証鍵記憶装置３４１が記憶した共通鍵と、検証画像ハッシュ値算出装置３５１が算出した検証画像ハッシュ値と、検証音声ハッシュ値算出装置３５３が算出した検証音声ハッシュ値と、検証センサハッシュ値算出装置３５４が算出した検証センサハッシュ値と、検証結合ハッシュ値記憶装置３５７が記憶した（一つ前の記録画像データに対応する）検証結合ハッシュ値とを含むデータ群に基づいて、鍵付きハッシュ値を算出して、現在処理中の記録画像データに対応する検証結合ハッシュ値とする。
なお、検証結合ハッシュ値算出装置３５６が検証結合ハッシュ値を算出する方式は、ドライブレコーダ装置１００の結合ハッシュ値算出装置１９１が結合ハッシュ値を算出する方式と同一である。すなわち、検証結合ハッシュ値算出装置３５６は、共通鍵と、記録画像データと、記録音声データと、記録センサデータと、一つ前の検証結合ハッシュ値とを含むデータ群（第三データ群）に基づいて、検証結合ハッシュ値を算出する。

検証結合ハッシュ値記憶装置３５７は、検証結合ハッシュ値算出装置３５６が算出した検証結合ハッシュ値を入力し、ＲＡＭ９１４などを用いて、入力した検証結合ハッシュ値を記憶する。

画像ハッシュ値検証装置３６１（第一ハッシュ値検証装置）は、記録画像ハッシュ値取得装置３３１が取得した記録画像ハッシュ値と、検証画像ハッシュ値算出装置３５１が算出した検証画像ハッシュ値とを比較することにより、記録画像データ取得装置３２１が取得した記録画像データが改竄されているか否かを判定する。検証鍵記憶装置３４１が記憶した共通鍵とドライブレコーダ装置１００の記録鍵記憶装置１７２が記憶した共通鍵とが同じであり、記録画像データ取得装置３２１が取得した記録画像データとドライブレコーダ装置１００の出力データ記録装置２１０が記録媒体８２０に記録した出力画像データとが同じであれば、検証画像ハッシュ値と記録画像ハッシュ値とが一致するはずである。画像ハッシュ値検証装置３６１は、検証画像ハッシュ値と記録画像ハッシュ値とが一致しない場合に、記録データが改竄されていると判定する。

第二ハッシュ値検証装置３６２は、音声ハッシュ値検証装置３６３、センサハッシュ値検証装置３６４を有する。
音声ハッシュ値検証装置３６３は、記録音声ハッシュ値取得装置３３３が取得した記録音声ハッシュ値と、検証音声ハッシュ値算出装置３５３が算出した検証音声ハッシュ値とを比較することにより、記録音声データ取得装置３２３が取得した記録音声データが改竄されているか否かを判定する。音声ハッシュ値検証装置３６３は、検証音声ハッシュ値と記録音声ハッシュ値とが一致しない場合に、記録データが改竄されていると判定する。
センサハッシュ値検証装置３６４は、記録センサハッシュ値取得装置３３４が取得した記録センサハッシュ値と、検証センサハッシュ値算出装置３５４が算出した検証音声ハッシュ値とを比較することにより、記録センサデータ取得装置３２４が取得した記録センサデータが改竄されているか否かを判定する。センサハッシュ値検証装置３６４は、検証センサハッシュ値と記録センサハッシュ値とが一致しない場合に、記録データが改竄されていると判定する。

結合ハッシュ値検証装置３６６は、記録結合ハッシュ値取得装置３３６が取得した記録結合ハッシュ値と、検証結合ハッシュ値算出装置３５６が算出した検証結合ハッシュ値とを比較することにより、記録画像データと記録音声データと記録センサデータとの対応関係および前のフレームとの時間的前後関係が改竄されているか否かを判定する。結合ハッシュ値検証装置３６６は、検証結合ハッシュ値と記録結合ハッシュ値とが一致しない場合に、記録データが改竄されていると判定する。

判定装置３７１は、画像ハッシュ値検証装置３６１、音声ハッシュ値検証装置３６３、センサハッシュ値検証装置３６４、結合ハッシュ値検証装置３６６の判定結果を総合して、記録データが改竄されているか否かを判定する。画像ハッシュ値検証装置３６１、音声ハッシュ値検証装置３６３、センサハッシュ値検証装置３６４、結合ハッシュ値検証装置３６６のうち、どれか一つでも記録データが改竄されていると判定した場合、判定装置３７１は、記録データが改竄されていると判定する。画像ハッシュ値検証装置３６１、音声ハッシュ値検証装置３６３、センサハッシュ値検証装置３６４、結合ハッシュ値検証装置３６６のすべてが、記録データが改竄されていると判定しなかった場合、判定装置３７１は、記録データが改竄されていないと判定する。

記録再生装置４１０は、記録データを再生する。記録再生装置４１０は、画像再生装置４１１、第二再生装置４１２を有する。
画像再生装置４１１（第一再生装置）は、記録データが改竄されていないと判定装置３７１が判定した場合に、記録画像データ取得装置３２１が取得した記録画像データを入力し、入力した記録画像データを順序通りに再生して、表示装置９０１を用いて、記録画像データが表わす画像を表示する。
第二再生装置４１２は、音声再生装置４１３、状態再生装置４１４を有する。
音声再生装置４１３は、記録データが改竄されていないと判定装置３７１が判定した場合に、記録音声データ取得装置３２３が取得した記録音声データを入力し、対応する記録画像データと同期して、入力した記録音声データを再生し、スピーカー装置９０８を用いて、記録音声データが表わす音声を出力する。
状態再生装置４１４は、記録データが改竄されていないと判定装置３７１が判定した場合に、記録センサデータ取得装置３２４が取得した記録センサデータを入力し、対応する記録画像データと同期して、入力した記録センサデータを再生し、表示装置９０１を用いて、記録センサデータが表わす記録対象の状態を表示する。

改竄警告装置４２０は、記録データが改竄されている場合に、そのことを利用者に警告する。改竄警告装置４２０は、記録データが改竄されていると判定装置３７１が判定した場合に、表示装置９０１を用いて、改竄を警告する画面を表示し、スピーカー装置９０８を用いて、改竄を警告する音声を出力する。

このように、判定装置３７１が記録データに改竄がないと判定した場合、画像の１フレームごとに同期して、正確に、音声、センサデータが再生され、判定装置３７１が記録データに改竄があると判定した場合、記録データは、その証拠性を失う。

次に、動作の詳細について説明する。

図１０は、この実施の形態における再生装置３００が記録データを検証する記録データ検証処理の流れの一例を示すフローチャート図（前半）である。
図１１は、この実施の形態における再生装置３００が記録データを検証する記録データ検証処理の流れの一例を示すフローチャート図（後半）である。

検証鍵取得工程Ｔ１１において、検証鍵取得装置３１２は、記録データ読出装置３１１が読み出した記録データから、共通鍵を取得する。
検証鍵記憶工程Ｔ１２において、検証鍵記憶装置３４１は、検証鍵取得工程Ｔ１１で検証鍵取得装置３１２が取得した共通鍵を記憶する。

記録画像データ取得工程Ｔ１６〜終了判定工程Ｔ５１は、記録データから取得する記録画像データそれぞれについて、最初の記録画像データから順に繰り返される。

記録画像データ取得工程Ｔ１６において、記録画像データ取得装置３２１は、記録データ読出装置３１１が読み出した記録データから、記録画像データを最初から順に１つずつ取得する。
記録音声データ取得工程Ｔ１７において、記録音声データ取得装置３２３、記録データ読出装置３１１が読み出した記録データから、記録画像データ取得工程Ｔ１６で記録画像データ取得装置３２１が取得した１つの記録画像データに対応する１つの記録音声データを取得する。
記録センサデータ取得工程Ｔ１８において、記録センサデータ取得装置３２４は、記録データ読出装置３１１が読み出した記録データから、記録画像データ取得工程Ｔ１６で記録画像データ取得装置３２１が取得した１つの記録画像データに対応する１つの記録センサデータを取得する。

記録画像ハッシュ値取得工程Ｔ２１において、記録画像ハッシュ値取得装置３３１は、記録データ読出装置３１１が読み出した記録データから、記録画像データ取得工程Ｔ１６で記録画像データ取得装置３２１が取得した１つの記録画像データに対応する１つの記録画像ハッシュ値を取得する。
記録音声ハッシュ値取得工程Ｔ２２において、記録音声ハッシュ値取得装置３３３は、記録データ読出装置３１１が読み出した記録データから、記録画像データ取得工程Ｔ１６で記録画像データ取得装置３２１が取得した１つの記録画像データに対応する１つの記録音声ハッシュ値を取得する。
記録センサハッシュ値取得工程Ｔ２３において、記録センサハッシュ値取得装置３３４は、記録データ読出装置３１１が読み出した記録データから、記録画像データ取得工程Ｔ１６で記録画像データ取得装置３２１が取得した１つの記録画像データに対応する１つの記録センサハッシュ値を取得する。
記録結合ハッシュ値取得工程Ｔ２４において、記録結合ハッシュ値取得装置３３６は、記録データ読出装置３１１が読み出した記録データから、記録画像データ取得工程Ｔ１６で記録画像データ取得装置３２１が取得した１つの記録画像データに対応する１つの記録結合ハッシュ値を取得する。

検証画像ハッシュ値算出工程Ｔ２６において、検証画像ハッシュ値算出装置３５１は、検証鍵記憶工程Ｔ１２で検証鍵記憶装置３４１が記憶した共通鍵と、記録画像データ取得工程Ｔ１６で記録画像データ取得装置３２１が取得した１つの記録画像データとに基づいて、１つの検証画像ハッシュ値を算出する。
検証音声ハッシュ値算出工程Ｔ２７において、検証音声ハッシュ値算出装置３５３は、検証鍵記憶工程Ｔ１２で検証鍵記憶装置３４１が記憶した共通鍵と、記録音声データ取得工程Ｔ１７で記録音声データ取得装置３２３が取得した１つの記録音声データとに基づいて、１つの検証音声ハッシュ値を算出する。
検証センサハッシュ値算出工程Ｔ２８において、検証センサハッシュ値算出装置３５４は、検証鍵記憶工程Ｔ１２で検証鍵記憶装置３４１が記憶した共通鍵と、記録センサデータ取得工程Ｔ１８で記録センサデータ取得装置３２４が取得した１つの記録センサデータとに基づいて、１つの検証センサハッシュ値を算出する。

図１１に移り、検証位置判定工程Ｔ３１において、検証結合ハッシュ値算出装置３５６は、現在処理中の記録画像データが、どの記録画像データであるかを判定する。
現在処理中の記録画像データが最初の記録画像データであると判定した場合、先頭検証結合ハッシュ値算出工程Ｔ３２へ進む。
現在処理中の記録画像データが最初の記録画像データでないと判定した場合、中間検証結合ハッシュ値算出工程Ｔ３３へ進む。

先頭検証結合ハッシュ値算出工程Ｔ３２において、検証結合ハッシュ値算出装置３５６は、検証鍵記憶工程Ｔ１２で検証鍵記憶装置３４１が記憶した共通鍵と、検証画像ハッシュ値算出工程Ｔ２６で検証画像ハッシュ値算出装置３５１が算出した１つの検証画像ハッシュ値と、検証音声ハッシュ値算出工程Ｔ２７で検証音声ハッシュ値算出装置３５３が算出した１つの検証音声ハッシュ値と、検証センサハッシュ値算出工程Ｔ２８で検証センサハッシュ値算出装置３５４が算出した１つの検証センサハッシュ値とに基づいて、最初の記録画像データに対応する１つの検証結合ハッシュ値を算出する。
その後、検証結合ハッシュ値記憶工程Ｔ４２へ進む。

中間検証結合ハッシュ値算出工程Ｔ３３において、検証結合ハッシュ値算出装置３５６は、検証鍵記憶工程Ｔ１２で検証鍵記憶装置３４１が記憶した共通鍵と、検証画像ハッシュ値算出工程Ｔ２６で検証画像ハッシュ値算出装置３５１が算出した１つの検証画像ハッシュ値と、検証音声ハッシュ値算出工程Ｔ２７で検証音声ハッシュ値算出装置３５３が算出した１つの検証音声ハッシュ値と、検証センサハッシュ値算出工程Ｔ２８で検証センサハッシュ値算出装置３５４が算出した１つの検証センサハッシュ値と、検証結合ハッシュ値記憶工程Ｔ４２で検証結合ハッシュ値記憶装置３５７が記憶した（一つ前の記録画像データに対応する）１つの検証結合ハッシュ値とに基づいて、現在処理中の記録画像データに対応する１つの結合ハッシュ値を算出する。

検証結合ハッシュ値記憶工程Ｔ４２において、検証結合ハッシュ値記憶装置３５７は、先頭検証結合ハッシュ値算出工程Ｔ３２または中間検証結合ハッシュ値算出工程Ｔ３３で検証結合ハッシュ値算出装置３５６が算出した１つの結合ハッシュ値を記憶する。検証結合ハッシュ値記憶装置３５７が記憶した結合ハッシュ値は、一つ次の記録画像データに対応する検証結合ハッシュ値の算出に利用される。

画像ハッシュ値検証工程Ｔ４６において、画像ハッシュ値検証装置３６１は、記録画像ハッシュ値取得工程Ｔ２１で記録画像ハッシュ値取得装置３３１が取得した記録画像ハッシュ値と、検証画像ハッシュ値算出工程Ｔ２６で検証画像ハッシュ値算出装置３５１が算出した検証画像ハッシュ値とを比較する。
記録画像ハッシュ値と検証画像ハッシュ値とが一致した場合、音声ハッシュ値検証工程Ｔ４７へ進む。
記録画像ハッシュ値と検証画像ハッシュ値とが一致しない場合、検証失敗工程Ｔ７２へ進む。

音声ハッシュ値検証工程Ｔ４７において、音声ハッシュ値検証装置３６３は、記録音声ハッシュ値取得工程Ｔ２２で記録音声ハッシュ値取得装置３３３が取得した記録音声ハッシュ値と、検証音声ハッシュ値算出工程Ｔ２７で検証音声ハッシュ値算出装置３５３が算出した検証音声ハッシュ値とを比較する。
記録音声ハッシュ値と検証音声ハッシュ値とが一致した場合、センサハッシュ値検証工程Ｔ４８へ進む。
記録音声ハッシュ値と検証音声ハッシュ値とが一致しない場合、検証失敗工程Ｔ７２へ進む。

センサハッシュ値検証工程Ｔ４８において、センサハッシュ値検証装置３６４は、記録センサハッシュ値取得工程Ｔ２３で記録センサハッシュ値取得装置３３４が取得した記録センサハッシュ値と、検証センサハッシュ値算出工程Ｔ２８で検証センサハッシュ値算出装置３５４が算出した検証センサハッシュ値とを比較する。
記録センサハッシュ値と検証センサハッシュ値とが一致した場合、結合ハッシュ値検証工程Ｔ４９へ進む。
記録センサハッシュ値と検証センサハッシュ値とが一致しない場合、検証失敗工程Ｔ７２へ進む。

結合ハッシュ値検証工程Ｔ４９において、結合ハッシュ値検証装置３６６は、記録結合ハッシュ値取得工程Ｔ２４で記録結合ハッシュ値取得装置３３６が取得した記録結合ハッシュ値と、先頭検証結合ハッシュ値算出工程Ｔ３２または中間検証結合ハッシュ値算出工程Ｔ３３で検証結合ハッシュ値算出装置３５６が算出した検証結合ハッシュ値とを比較する。
記録結合ハッシュ値と検証結合ハッシュ値とが一致した場合、終了判定工程Ｔ５１へ進む。
記録結合ハッシュ値と検証結合ハッシュ値とが一致しない場合、検証失敗工程Ｔ７２へ進む。

終了判定工程Ｔ５１において、記録画像データ取得装置３２１は、取得すべき記録画像データがまだあるか否かを判定する。
最後の記録画像データの処理が終わり、記録画像データ取得装置３２１が取得すべき記録画像データがもうないと判定した場合、検証成功工程Ｔ７１へ進む。
記録画像データ取得装置３２１が取得すべき記録画像データがまだあると判定した場合、記録画像データ取得工程Ｔ１６からの処理を繰り返す。

検証成功工程Ｔ７１において、判定装置３７１は、記録データが改竄されていないと判定し、記録データ検証処理を終了する。
検証失敗工程Ｔ７２において、判定装置３７１は、記録データが改竄されていると判定し、記録データ検証処理を終了する。

記録データの改竄には、いくつかのパターンが考えられる。
１つは、画像データ・音声データ・センサデータなどを直接書き換えて、画像に写っている信号機を赤から青に改変したり、センサが検知した自動車８１０の速度を偽ったりするパターンである。
この改竄パターンに対して、再生装置３００は、記録画像データから算出した検証画像ハッシュ値と、記録画像ハッシュ値とを比較することで、記録画像データの改竄を検出する。改竄者は、記録画像ハッシュ値も改竄することにより、記録画像データと記録画像ハッシュ値との整合性を保とうとするが、改竄者は共通鍵を知らないので、改竄した記録画像データと整合する画像ハッシュ値を算出できない。このため、記録画像データが改竄されると、検証画像ハッシュ値と記録画像ハッシュ値とが一致しなくなり、記録画像データの改竄を検出できる。記録音声データ・記録センサデータの改竄についても同様である。

別の改竄パターンとして、画像データ・音声データ・センサデータそのものは書き換えず、画像データと音声データとセンサデータとの対応関係を変えることにより、例えば、交差点進入時（画像データから判明）に、ブレーキを踏んで減速した（センサデータから判明）かのように見せかける改竄パターンがある。
この改竄パターンに対して、再生装置３００は、記録画像データ・記録音声データ・記録センサデータから算出した検証結合ハッシュ値と、記録結合ハッシュ値とを比較することで、対応関係の改竄を検出する。改竄者は、記録結合ハッシュ値も改竄することにより、改竄した対応関係と記録結合ハッシュ値との整合性を保とうとするが、改竄者は、共通鍵を知らないので、改竄された対応関係により対応する画像データ・音声データ・センサデータに対応する結合ハッシュ値を算出できない。このため、画像データ・音声データ・センサデータの対応関係が改竄されると、検証結合ハッシュ値と記録結合ハッシュ値とが一致しなくなり、対応関係の改竄を検出できる。

更に別の改竄パターンとして、画像データと音声データとセンサデータとの対応関係も変えず、全体の順序を入れ替える改竄パターンである。
この改竄パターンに対しても、再生装置３００は、検証結合ハッシュ値と、記録結合ハッシュ値とを比較することで、順序の改竄を検出する。
２番目以降の記録画像データに対応する検証結合ハッシュ値は、一つ前の検証結合ハッシュ値も含むデータ群に基づいて算出する。したがって、全体の順序を入れ替えると、検証結合ハッシュ値と記録結合ハッシュ値とが一致しなくなり、順序の改竄を検出できる。

また、記録データの前半に不都合なものが記録されている場合、記録データの前半をカットして、途中から始まるように見せかける改竄パターンも考えられる。
この改竄パターンに対しても、再生装置３００は、検証結合ハッシュ値と、記録結合ハッシュ値とを比較することで、記録開始点の改竄を検出する。
２番目以降の記録画像データに対応する検証結合ハッシュ値は、一つ前の検証結合ハッシュ値も含むデータ群に基づいて算出するのに対し、最初の記録画像データに対応する検証結合ハッシュ値は、一つ前の検証ハッシュ値を含まないデータ群に基づいて算出する。
。したがって、記録開始点を改竄すると、検証結合ハッシュ値と記録結合ハッシュ値とが一致しなくなり、記録開始点の改竄を検出できる。

このように、ドライブレコーダ装置１００が、再生装置３００と共有する秘密の共通鍵と、画像データと、音声データと、センサデータと、一つ前の画像データに対応する結合ハッシュ値とを含むデータ群に基づいて結合ハッシュ値を算出して、記録媒体８２０に記録し、再生装置３００がこれを検証することにより、上記のような改竄パターンによる改竄を検出できるので、再生装置３００が再生する記録データの真正性を保証することができ、示談交渉や裁判において、記録データを証拠として採用することができるようになる。

この実施の形態におけるドライブレコーダ装置１００（記録装置）は、
記録鍵記憶装置１７２と、出力第一データ取得装置（出力画像データ取得装置１６１）と、結合ハッシュ値算出装置１９１と、出力データ記録装置２１０とを有することを特徴とする。
上記記録鍵記憶装置１７２は、共通鍵を記憶することを特徴とする。
上記出力第一データ取得装置（出力画像データ取得装置１６１）は、順序を有する複数の出力第一データ（出力画像データ）を取得することを特徴とする。
上記結合ハッシュ値算出装置１９１は、上記出力第一データ取得装置（出力画像データ取得装置１６１）が取得した複数の出力第一データ（出力画像データ）のうちの一つの出力第一データ（出力画像データ）に対応する結合ハッシュ値として、上記記録鍵記憶装置１７２が記憶した共通鍵と、上記一つの出力第一データ（出力画像データ）と、上記一つの出力第一データ（出力画像データ）より一つ前の出力第一データ（出力画像データ）に対応する結合ハッシュ値とを含む第一データ群に基づいて、ハッシュ値を算出することを特徴とする。
上記出力データ記録装置２１０は、上記出力第一データ取得装置（出力画像データ取得装置１６１）が取得した複数の出力第一データ（出力画像データ）と、上記結合ハッシュ値算出装置１９１が算出した結合ハッシュ値とを記録媒体８２０に記録することを特徴とする。

この実施の形態におけるドライブレコーダ装置１００（記録装置）によれば、結合ハッシュ値算出装置１９１が、出力第一データ（出力画像データ）に対応する結合ハッシュ値として、出力第一データ（出力画像データ）と一つ前の出力第一データ（出力画像データ）に対応する結合ハッシュ値とを含むデータ群に基づいて算出した鍵付きハッシュ値を、出力データ記録装置２１０が記録媒体８２０に記録するので、記録媒体８２０に記録された結合ハッシュ値を検証すれば、出力第一データ（出力画像データ）の順序が改竄されているか否かを判定することができるという効果を奏する。

上記結合ハッシュ値算出装置１９１は、
上記出力第一データ取得装置（出力画像データ取得装置１６１）が取得した複数の出力第一データ（出力画像データ）のうちの最初の出力第一データ（先頭画像データ）に対応する結合ハッシュ値として、上記記録鍵記憶装置１７２が記憶した共通鍵と、上記最初の出力第一データ（先頭画像データ）とを含み、上記最初の出力第一データ（先頭画像データ）より一つ前の出力第一データ（出力画像データ）に対応する結合ハッシュ値を含まない上記第一データ群に基づいて、ハッシュ値（鍵付きハッシュ値）を算出することを特徴とする。

この実施の形態におけるドライブレコーダ装置１００（記録装置）によれば、結合ハッシュ値算出装置１９１が、最初以外の出力第一データ（出力画像データ）に対応する結合ハッシュ値として、一つ前の出力第一データ（出力画像データ）に対応する結合ハッシュ値を含むデータ群に基づいて鍵付きハッシュ値を算出するのに対して、最初の出力第一データ（先頭画像データ）に対応する結合ハッシュ値として、一つ前の出力第一データ（出力画像データ）に対応する結合ハッシュ値を含まないデータ群に基づいて鍵付きハッシュ値を算出し、出力データ記録装置２１０が記録媒体８２０に記録するので、記録媒体８２０に記録された結合ハッシュ値を検証すれば、最初の出力第一データ（先頭画像データ）がカットされているか否かを判定することができるという効果を奏する。

この実施の形態におけるドライブレコーダ装置１００（記録装置）は、更に、出力第二データ取得装置１６２を有することを特徴とする。
上記出力第二データ取得装置１６２は、上記出力第一データ取得装置（出力画像データ取得装置１６１）が取得した複数の出力第一データ（出力画像データ）にそれぞれ対応する複数の出力第二データ（出力音声データ・出力センサデータ）を取得することを特徴とする。
上記結合ハッシュ値算出装置１９１は、上記出力第一データ取得装置（出力画像データ取得装置１６１）が取得した複数の出力第一データ（出力画像データ）のうちの一つの出力第一データ（出力画像データ）に対応する結合ハッシュ値として、上記一つの出力第一データ（出力画像データ）に対応する出力第二データ（出力音声データ・出力センサデータ）を更に含む上記第一データ群に基づいて、ハッシュ値を算出することを特徴とする。
上記出力データ記録装置２１０は、更に、上記出力第二データ取得装置１６２が取得した複数の出力第二データ（出力音声データ・出力センサデータ）を上記記録媒体８２０に記録することを特徴とする。

この実施の形態におけるドライブレコーダ装置１００（記録装置）によれば、結合ハッシュ値算出装置１９１が、出力第一データ（出力画像データ）に対応する結合ハッシュ値として、出力第一データ（出力画像データ）と出力第二データ（出力音声データ・出力センサデータ）とを含むデータ群に基づいて算出した鍵付きハッシュ値を、出力データ記録装置２１０が記録媒体８２０に記録するので、記録媒体８２０に記録された結合ハッシュ値を検証すれば、出力第一データ（出力画像データ）と出力第二データ（出力音声データ・出力センサデータ）との対応関係が改竄されているか否かを判定することができるという効果を奏する。

この実施の形態におけるドライブレコーダ装置１００（記録装置）は、更に、第一ハッシュ値算出装置（画像ハッシュ値算出装置１８１）を有することを特徴とする。
上記第一ハッシュ値算出装置（画像ハッシュ値算出装置１８１）は、上記出力第一データ取得装置（出力画像データ取得装置１６１）が取得した複数の出力第一データ（出力画像データ）のうちの一つの出力第一データ（出力画像データ）に対応する第一ハッシュ値として、上記記録鍵記憶装置１７２が記憶した共通鍵と、上記一つの出力第一データ（出力画像データ）とを含むデータ群に基づいてハッシュ値を算出することを特徴とする。
上記出力データ記録装置２１０は、更に、上記第一ハッシュ値算出装置（画像ハッシュ値算出装置１８１）が算出した第一ハッシュ値を上記記録媒体８２０に記録することを特徴とする。

この実施の形態におけるドライブレコーダ装置１００（記録装置）によれば、第一ハッシュ値算出装置（画像ハッシュ値算出装置１８１）が、出力第一データ（出力画像データ）に対応する第一ハッシュ値（画像ハッシュ値）として、出力第一データ（出力画像データ）を含むデータ群に基づいて算出した鍵付きハッシュ値を、出力データ記録装置２１０が記録媒体８２０に記録するので、記録媒体８２０に記録された第一ハッシュ値（画像ハッシュ値）を検証すれば、出力第一データ（出力画像データ）が改竄されているか否かを判定することができるという効果を奏する。

なお、結合ハッシュ値にも、出力第一データ（出力画像データ）に関する情報が含まれているので、結合ハッシュ値の検証により、出力第一データの改竄も検出できる。したがって、出力データ記録装置２１０は、第一ハッシュ値（画像ハッシュ値）を記録媒体８２０に記録しなくてもよい。そうすれば、記録媒体８２０に記録するデータ量が少なくて済むので、より長時間のデータを記録することができ、好ましい。
他方、出力データ記録装置２１０が第一ハッシュ値（画像ハッシュ値）を記録媒体８２０に記録すれば、出力第一データ（出力画像データ）の改竄を二重に検証できるので、検証結果の信頼性が増す。また、第一ハッシュ値（画像ハッシュ値）を記録媒体８２０に記録することにより、改竄が発見された場合に、それが順序の改竄なのか、出力第一データ（出力画像データ）の改竄なのかを区別できるので、好ましい。

この実施の形態におけるドライブレコーダ装置１００（記録装置）は、更に、第二ハッシュ値算出装置１８２を有することを特徴とする。
上記第二ハッシュ値算出装置１８２は、上記第二データ取得装置１６２が取得した複数の出力第二データ（出力音声データ・出力センサデータ）のうちの一つの出力第二データ（出力音声データ・出力センサデータ）に対応する第二ハッシュ値（音声ハッシュ値・センサハッシュ値）として、記録鍵記憶装置１７２が記憶した共通鍵と、上記一つの出力第二データ（出力音声データ・出力センサデータ）とを含むデータ群に基づいてハッシュ値を算出することを特徴とする。
上記出力データ記録装置２１０は、更に、上記第二ハッシュ値算出装置１８２が算出した第二ハッシュ値（音声ハッシュ値・センサハッシュ値）を上記記録媒体８２０に記録することを特徴とする。

この実施の形態におけるドライブレコーダ装置１００（記録装置）によれば、第二ハッシュ値算出装置１８２が、出力第一データ（出力画像データ）に対応する第二ハッシュ値（音声ハッシュ値・センサハッシュ値）として、出力第二データ（出力音声データ・出力センサデータ）を含むデータ群に基づいて算出した鍵付きハッシュ値を、出力データ記録装置２１０が記録媒体８２０に記録するので、記録媒体８２０に記録された第二ハッシュ値（音声ハッシュ値・センサハッシュ値）を検証すれば、出力第二データ（出力音声データ・出力センサデータ）が改竄されているか否かを判定することができるという効果を奏する。
なお、出力データ記録装置２１０が第二ハッシュ値を記録媒体８２０に記録しなくてもよい点は、第一ハッシュ値と同様である。

この実施の形態におけるドライブレコーダ装置１００（記録装置）は、更に、第一感知装置（撮像装置１１１）と、第一データ生成装置（画像データ生成装置１２１）と、第一データ記憶装置（画像データ記憶装置１３１）とを有することを特徴とする。
上記第一感知装置（撮像装置１１１）は、第一の情報（画像）を感知（撮影）することを特徴とする。
上記第一データ生成装置（画像データ生成装置１２１）は、所定の期間（撮影間隔時間）ごとに、上記第一感知装置（撮像装置１１１）が上記所定の期間（撮影間隔時間）内に感知（撮影）した第一の情報（画像）に基づいて、順序を有する複数の第一データ（画像データ）を生成することを特徴とする。
上記第一データ記憶装置（画像データ記憶装置１３１）は、上記第一データ生成装置（撮像装置１１１）が生成した複数の第一データ（画像データ）を記憶することを特徴とする。
上記出力第一データ取得装置（出力画像データ取得装置１６１）は、上記複数の出力第一データ（出力画像データ）として、上記第一データ記憶装置（画像データ記憶装置１３１）が記憶した複数の第一データ（画像データ）から少なくとも一部の複数の第一データ（画像データ）を取得することを特徴とする。

この実施の形態におけるドライブレコーダ装置１００（記録装置）によれば、第一感知装置（撮像装置１１１）が感知（撮影）した第一の情報（画像）に基づいて第一データ生成装置（画像データ生成装置１２１）が生成した第一データ（画像データ）を画像データ記憶装置１３１が記憶し、画像データ記憶装置１３１が記憶した第一データ（画像データ）から、出力第一データ取得装置（出力画像データ取得装置１６１）が出力第一データ（出力画像データ）を取得するので、第一感知装置（撮像装置１１１）が第一の情報（画像）を感知（撮影）した順序どおりに、記録媒体８２０に出力第一データ（出力画像データ）が記録されていることを保証でき、記録媒体８２０に記録された出力第一データの証拠性を担保することができるという効果を奏する。

この実施の形態におけるドライブレコーダ装置１００（記録装置）は、更に、第一感知装置（撮像装置１１１）と、第一データ生成装置（画像データ生成装置１２１）と、第一データ記憶装置（画像データ記憶装置１３１）と、第二感知装置１１２と、第二データ生成装置１２２と、第二データ記憶装置１３２とを有することを特徴とする。
上記第一感知装置（撮像装置１１１）は、第一の情報（画像）を感知（撮影）することを特徴とする。
上記第一データ生成装置（画像データ生成装置１２１）は、所定の期間（撮影間隔時間）ごとに、上記第一感知装置（撮像装置１１１）が上記所定の期間（撮影間隔時間）内に感知（撮影）した第一の情報（画像）に基づいて、順序を有する複数の第一データ（画像データ）を生成することを特徴とする。
上記第一データ記憶装置（画像データ記憶装置１３１）は、上記第一データ生成装置（画像データ生成装置１２１）が生成した複数の第一データ（画像データ）を記憶することを特徴とする。
上記第二感知装置１１２は、第二の情報（音声・記録対象の状態）を感知（入力・検知）することを特徴とする。
上記第二データ生成装置１２２は、上記所定の期間（撮影間隔時間）ごとに、上記第二感知装置１１２が上記所定の期間（撮影間隔時間）内に感知（入力・検知）した第二の情報（音声・記録対象の状態）に基づいて、上記第一データ生成装置（画像データ生成装置１２１）が生成した複数の第一データ（画像データ）にそれぞれ対応する複数の第二データ（音声データ・センサデータ）を生成することを特徴とする。
上記第二データ記憶装置１３２は、上記第二データ生成装置１２２が生成した複数の第二データ（音声データ・センサデータ）を記憶することを特徴とする。
上記出力第一データ取得装置（出力画像データ取得装置１６１）は、上記複数の出力第一データ（出力画像データ）として、上記第一データ記憶装置（画像データ記憶装置１３１）が記憶した複数の第一データ（画像データ）のうち少なくとも一部の複数の第一データ（画像データ）を取得し、
上記出力第二データ取得装置１６２は、上記複数の出力第二データ（出力音声データ・出力センサデータ）として、上記第二データ記憶装置１３２が記憶した複数の第二データ（音声データ・センサデータ）のうち上記出力第一データ取得装置（出力画像データ取得装置１６１）が取得した複数の第一データ（画像データ）にそれぞれ対応する複数の第二データ（音声データ・センサデータ）を取得することを特徴とする。

この実施の形態におけるドライブレコーダ装置１００（記録装置）によれば、第一感知装置（撮像装置１１１）が感知（撮影）した第一の情報（画像）に基づいて第一データ生成装置（画像データ生成装置１２１）が生成した第一データ（画像データ）を第一データ記憶装置（画像データ記憶装置１３１）が記憶し、同じ期間（撮影間隔時間）内に、第二感知装置１１２が感知（入力・検知）した第二の情報（音声・記録対象の状態）に基づいて第二データ生成装置１２２が生成した第二データ（音声データ・センサデータ）を第二データ記憶装置１３２が記憶し、第一データ記憶装置（画像データ記憶装置１３１）が記憶した第一データ（画像データ）から、出力第一データ取得装置（出力画像データ取得装置１６１）が出力第一データ（出力画像データ）を取得し、第二データ記憶装置１３２が記憶した第二データ（音声データ・センサデータ）から、第二データ取得装置１６２が出力第二データ（出力音声データ・出力センサデータ）を取得するので、同じ期間（撮影間隔時間）内に、第一感知装置（撮像装置１１１）が感知（撮影）した第一の情報（画像）と、第二感知装置１１２が感知（入力・検知）した第二の情報（音声・記録対象の状態）とが正しく対応づけられて、記録媒体８２０に出力第一データ（出力画像データ）及び出力第二データ（出力音声データ・出力センサデータ）が記録されていることを保証でき、記録媒体８２０に記録された出力第一データの証拠性を担保することができるという効果を奏する。

この実施の形態におけるドライブレコーダ装置１００（記録装置）は、更に、イベント検出装置１４０を有することを特徴とする。
上記イベント検出装置１４０は、イベントが発生したか否かを判定することを特徴とする。
上記出力第一データ取得装置（出力画像データ取得装置１６１）は、イベントが発生したと上記イベント検出装置１４０が判定した場合に、上記第一データ記憶装置（画像データ記憶装置１３１）が記憶した複数の第一データ（画像データ）のうち、上記イベントが発生した時刻より所定の時間（イベント前記録時間）前に上記第一感知装置（撮像装置１１１）が感知（撮影）した第一の情報（画像）に基づいて上記第一データ生成装置（画像データ生成装置１２１）が生成した第一データ（画像データ）を先頭第一データ（先頭画像データ）とし、上記複数の出力第一データ（出力画像データ）として、上記先頭第一データ（先頭画像データ）以後の複数の第一データ（画像データ）を取得することを特徴とする。

この実施の形態におけるドライブレコーダ装置１００（記録装置）によれば、第一感知装置（撮像装置１１１）が感知（撮影）した第一の情報（画像）に基づく第一データ（画像データ）を第一データ記憶装置（画像データ記憶装置１３１）が記憶しておき、イベント検出装置１４０がイベント発生を検出した場合、イベント発生前に記憶した第一データ（画像データ）を出力第一データ取得装置（出力画像データ取得装置１６１）が取得するので、イベント発生前に遡って、記録媒体８２０にデータを記録することができるという効果を奏する。

上記出力データ記録装置２１０は、更に、上記記録鍵記憶装置１７２が記憶した共通鍵を、耐タンパ性を有する記録媒体８２０に記録することを特徴とする。

この実施の形態におけるドライブレコーダ装置１００（記録装置）によれば、出力データ記録装置２１０が記録媒体８２０に記録したデータを検証するのに必要な共通鍵を、耐タンパ性を有する記録媒体８２０に記録するので、再生装置３００（検証装置）に対して安全に共通鍵を渡すことができるという効果を奏する。

この実施の形態におけるドライブレコーダ装置１００（記録装置）は、
撮像装置１１１と、画像データ生成装置１２１と、画像データ記憶装置１３１と、マイクロフォン装置１１３と、音声データ生成装置１２３と、音声データ記憶装置１３３と、センサ装置１１４と、センサデータ生成装置１２４と、センサデータ記憶装置１３４と、イベント検出装置１４０と、出力画像データ取得装置１６１と、出力音声データ取得装置１６３と、出力センサデータ取得装置１６４と、記録鍵記憶装置１７２と、画像ハッシュ値算出装置１８１と、音声ハッシュ値算出装置１８３と、センサハッシュ値算出装置１８４と、結合ハッシュ値算出装置１９１と、出力データ記録装置２１０とを有することを特徴とする。
上記撮像装置１１１は、所定の撮影間隔時間（例えば３０分の１秒）に１枚の割合で複数の画像を撮影することを特徴とする。
上記画像データ生成装置１２１は、所定のデータ生成間隔時間（例えば３０分の１秒）ごとに、上記撮像装置１１１が上記データ生成間隔時間内に撮影した画像に基づいて、上記画像を表わす画像データを生成し、上記撮像装置１１１が上記画像を撮影した順序に対応する順序を有する複数の画像データとすることを特徴とする。
上記画像データ記憶装置１３１は、上記画像データ生成装置１２１が生成した複数の画像データを記憶することを特徴とする。
上記マイクロフォン装置１１３は、連続した音声を入力することを特徴とする。
上記音声データ生成装置１２３は、上記データ生成間隔時間ごとに、上記マイクロフォン装置１１３が上記データ生成間隔時間内に入力した音声に基づいて、上記音声を表わす音声データを生成し、上記画像データ生成装置１２１が生成した複数の画像データにそれぞれ対応する複数の音声データとすることを特徴とする。
上記音声データ記憶装置１３３は、上記音声データ生成装置１２３が生成した複数の音声データを記憶することを特徴とする。
上記センサ装置１１４は、記録対象の状態（運転操作・加速度など）を検知することを特徴とする。
上記センサデータ生成装置１２４は、上記データ生成間隔時間ごとに、上記センサ装置１１４が上記データ生成間隔時間内に検知した記録対象の状態に基づいて、上記状態を表わすセンサデータを生成し、上記画像データ生成装置１２１が生成した複数の画像データにそれぞれ対応する複数のセンサデータとすることを特徴とする。
上記センサデータ記憶装置１３４は、上記センサデータ生成装置１２４が生成した複数のセンサデータを記憶することを特徴とする。
上記イベント検出装置１４０は、上記センサ装置１１４が検知した記録対象の状態に基づいて、イベントが発生したか否かを判定することを特徴とする。
上記出力画像データ取得装置１６１は、イベントが発生したと上記イベント検出装置１４０が判定した場合に、上記画像データ記憶装置１３１が記憶した複数の画像データのうち、上記イベントが発生した時刻より所定のイベント前記録時間（例えば２０秒）前に上記撮像装置１１１が撮影した画像に基づいて上記画像データ生成装置１２１が生成した画像データを先頭画像データとし、上記イベントが発生した時刻より所定のイベント後記録時間（例えば２０秒）後に上記撮像装置１１１が撮影した画像に基づいて上記画像データ生成装置１２１が生成した画像データを末尾画像データとし、上記先頭画像データ以降かつ上記末尾画像データ以前の複数の画像データを取得して、複数の出力画像データとすることを特徴とする。
上記出力音声データ取得装置１６３は、上記音声データ記憶装置１３３が記憶した複数の音声データのうち、上記出力画像データ取得装置１６１が取得した複数の画像データにそれぞれ対応する複数の音声データを取得して、複数の出力音声データとすることを特徴とする。
上記出力センサデータ取得装置１６４は、上記センサデータ記憶装置１３４が記憶した複数のセンサデータのうち、上記出力画像データ取得装置１６１が取得した複数の画像データにそれぞれ対応する複数のセンサデータを取得して、複数の出力センサデータとすることを特徴とする。
上記記録鍵記憶装置１７２は、共通鍵を記憶することを特徴とする。
上記画像ハッシュ値算出装置１８１は、上記出力画像データ取得装置１６１が取得した複数の出力画像データのうちの一つの出力画像データに対応する画像ハッシュ値として、上記記録鍵記憶装置１７２が記憶した共通鍵と、上記一つの出力画像データとを含むデータ群に基づいてハッシュ値（鍵付きハッシュ値）を算出することを特徴とする。
上記音声ハッシュ値算出装置１８３は、上記出力画像データ取得装置１６１が取得した複数の出力画像データのうちの一つの出力画像データに対応する音声ハッシュ値として、上記記録鍵記憶装置１７２が記憶した共通鍵と、上記出力音声データ取得装置１６３が取得した複数の出力音声データのうち上記一つの出力画像データに対応する出力音声データとを含むデータ群に基づいてハッシュ値（鍵付きハッシュ値）を算出することを特徴とする。
上記センサハッシュ値算出装置１８４は、上記出力画像データ取得装置１６１が取得した複数の出力画像データのうちの一つの出力画像データに対応するセンサハッシュ値として、上記記録鍵記憶装置１７２が記憶した共通鍵と、上記出力センサデータ取得装置１６４が取得した複数の出力センサデータのうち上記一つの出力画像データに対応する出力センサデータとを含むデータ群に基づいてハッシュ値（鍵付きハッシュ値）を算出することを特徴とする。
上記結合ハッシュ値算出装置１９１は、上記出力画像データ取得装置１６１が取得した複数の出力画像データのうち一つの出力画像データに対応する結合ハッシュ値として、上記記録鍵記憶装置１７２が記憶した共通鍵と、上記画像ハッシュ値算出装置１８１が算出した上記一つの出力画像データに対応する画像ハッシュ値と、上記音声ハッシュ値算出装置１８３が算出した上記一つの出力画像データに対応する音声ハッシュ値と、上記センサハッシュ値算出装置１８４が算出した上記一つの出力画像データに対応するセンサハッシュ値と、上記一つの出力画像データより一つ前の出力画像データに対応する結合ハッシュ値とを含む第一データ群に基づいてハッシュ値（鍵付きハッシュ値）を算出することを特徴とする。
上記出力データ記録装置２１０は、上記出力画像データ取得装置１６１が取得した複数の画像データと、上記出力音声データ取得装置１６３が取得した複数の音声データと、上記出力センサデータ取得装置１６４が取得した複数のセンサデータと、上記画像ハッシュ値算出装置１８１が算出した画像ハッシュ値と、上記音声ハッシュ値算出装置１８３が算出した音声ハッシュ値と、上記センサハッシュ値算出装置１８４が算出したセンサハッシュ値と、上記結合ハッシュ値算出装置１９１が算出した結合ハッシュ値とを記録媒体８２０に記録することを特徴とする。

この実施の形態におけるドライブレコーダ装置１００（記録装置）によれば、同じデータ生成間隔時間内に、撮像装置１１１が撮影した画像と、マイクロフォン装置１１３が入力した音声と、センサ装置１１４が検知した記録対象の状態とを表わす画像データ・音声データ・センサデータを、画像ハッシュ値・音声ハッシュ値・センサハッシュ値・結合ハッシュ値とともに、出力データ記録装置２１０が記録媒体８２０に記録するので、これらを検証すれば、各データの内容の改竄・データの対応関係の改竄・データの順序の改竄・最初のデータの削除などを検出でき、記録媒体８２０に記録された画像・音声・記録対象の状態を、裁判などにおける証拠として採用することを可能にするという効果を奏する。
また、記録データが改竄されている場合には、どのハッシュ値が一致しないかにより、何が改竄されているのかを特定できるので、証拠として採用できる部分と証拠として採用できない部分とを区別することも可能である。

上記センサ装置１１４は、上記記録対象の状態として、上記記録装置（ドライブレコーダ装置１００）を搭載した車両（自動車８１０）の運転操作の内容と、上記車両（自動車８１０）の加速度とを検知することを特徴とする。
上記イベント検出装置１４０は、上記センサ装置１１４が検知した加速度の絶対値が所定の値より大きい場合に、イベントが発生したと判定することを特徴とする。

この実施の形態におけるドライブレコーダ装置１００（記録装置）によれば、衝突による衝撃を受けたり、急ブレーキをかけたりした場合に、イベント検出装置１４０がイベントの発生を検出するので、事故発生時などの前後の状況を、記録媒体８２０に記録することができるという効果を奏する。

この実施の形態における再生装置３００（検証装置）は、記録第一データ取得装置（記録画像データ取得装置３２１）と、記録結合ハッシュ値取得装置３３６と、検証鍵記憶装置３４１と、検証結合ハッシュ値算出装置３５６と、結合ハッシュ値検証装置３６６とを有することを特徴とする。
上記記録第一データ取得装置（記録画像データ取得装置３２１）は、記録媒体８２０に記録された記録データから、順序を有する複数の記録第一データ（記録画像データ）を取得することを特徴とする。
上記記録結合ハッシュ値取得装置３３６は、上記記録媒体８２０に記録された記録データから、上記記録第一データ取得装置（記録画像データ取得装置３２１）が取得した複数の記録第一データ（記録画像データ）のうちの一つの記録第一データ（記録画像データ）に対応する記録結合ハッシュ値を取得することを特徴とする。
上記検証鍵記憶装置３４１は、共通鍵を記憶することを特徴とする。
上記検証結合ハッシュ値算出装置３５６は、上記記録第一データ取得装置（記録画像データ取得装置３２１）が取得した複数の記録第一データ（記録画像データ）のうちの一つの記録第一データ（記録画像データ）に対応する検証結合ハッシュ値として、上記検証鍵記憶装置３４１が記憶した共通鍵と、上記一つの記録第一データ（記録画像データ）とを含む第三データ群に基づいてハッシュ値（鍵付きハッシュ値）を算出することを特徴とする。
上記結合ハッシュ値検証装置３６６は、上記記録第一データ取得装置（記録画像データ取得装置３２１）が取得した複数の記録第一データ（記録画像データ）のうちの一つの記録第一データ（記録画像データ）について、上記記録結合ハッシュ値取得装置３３６が取得した上記一つの記録第一データ（記録画像データ）に対応する記録結合ハッシュ値と、上記検証結合ハッシュ値算出装置３５６が算出した上記一つの記録第一データ（記録画像データ）に対応する検証結合ハッシュ値とを比較して、一致しない場合に、上記記録媒体８２０に記録された記録データが改竄されていると判定することを特徴とする。

この実施の形態における再生装置３００（検証装置）によれば、結合ハッシュ値検証装置３６６が、一つ前の結合ハッシュ値を含むデータ群に基づいて算出された結合ハッシュ値を比較して検証するので、記録第一データ（記録画像データ）の順序が改竄された場合に、改竄を検出することができるという効果を奏する。

上記検証画像ハッシュ値算出装置３５１は、上記記録第一データ取得装置（記録画像データ取得装置３２１）が取得した複数の記録第一データ（記録画像データ）のうちの最初の記録第一データ（記録画像データ）に対応する検証結合ハッシュ値として、上記検証鍵記憶装置３４１が記憶した共通鍵と、上記最初の記録第一データ（記録画像データ）とを含み、上記最初の記録第一データ（記録画像データ）より一つ前の記録第一データ（記録画像データ）に対応する結合ハッシュ値を含まない上記第三データ群に基づいて、ハッシュ値（鍵付きハッシュ値）を算出することを特徴とする。

この実施の形態における再生装置３００（検証装置）によれば、結合ハッシュ値検証装置３６６が、一つ前の結合ハッシュ値を含まないデータ群に基づいて算出された最初の結合ハッシュ値を比較して検証するので、最初の記録第一データ（記録画像データ）が削除された場合に、改竄を検出することができるという効果を奏する。

この実施の形態における再生装置３００（検証装置）は、更に、記録第一ハッシュ値取得装置（記録画像ハッシュ値取得装置３３１）と、検証第一ハッシュ値算出装置（検証画像ハッシュ値算出装置３５１）と、第一ハッシュ値検証装置（画像ハッシュ値検証装置３６１）とを有することを特徴とする。
上記記録第一ハッシュ値取得装置（記録画像ハッシュ値取得装置３３１）は、上記記録媒体８２０に記録された記録データから、上記記録第一データ取得装置（記録画像データ取得装置３２１）が取得した複数の記録第一データ（記録画像データ）のうちの一つの記録第一データ（記録画像データ）に対応する記録第一ハッシュ値（記録画像ハッシュ値）を取得することを特徴とする。
上記検証第一ハッシュ値算出装置（検証画像ハッシュ値算出装置３５１）は、上記記録第一データ取得装置（記録画像データ取得装置３２１）が取得した複数の記録第一データ（記録画像データ）のうちの一つの記録第一データ（記録画像データ）に対応する検証第一ハッシュ値（検証画像ハッシュ値）として、上記検証鍵記憶装置３４１が記憶した共通鍵と、上記一つの記録第一データ（記録画像データ）とを含むデータ群に基づいてハッシュ値（鍵付きハッシュ値）を算出することを特徴とする。
上記検証結合ハッシュ値算出装置３５６は、上記記録第一データ取得装置（記録画像データ取得装置３２１）が取得した複数の記録第一データ（記録画像データ）のうちの一つの記録第一データ（記録画像データ）に対応する検証結合ハッシュ値として、上記検証鍵記憶装置３４１が記憶した共通鍵と、上記検証第一ハッシュ値算出装置（検証画像ハッシュ値算出装置３５１）が算出した上記一つの記録第一データ（記録画像データ）に対応する検証第一ハッシュ値（検証画像ハッシュ値）と、上記一つの記録第一データ（記録画像データ）より一つ前の記録第一データ（記録画像データ）に対応する検証結合ハッシュ値とを含む第三データ群に基づいてハッシュ値（鍵付きハッシュ値）を算出することを特徴とする。
上記第一ハッシュ値検証装置（画像ハッシュ値検証装置３６１）は、上記記録第一データ取得装置（記録画像データ取得装置３２１）が取得した複数の記録第一データ（記録画像データ）のうちの一つの記録第一データ（記録画像データ）について、上記記録第一ハッシュ値取得装置（記録画像ハッシュ値取得装置３３１）が取得した上記一つの記録第一データ（記録画像データ）に対応する記録第一ハッシュ値（記録画像ハッシュ値）と、上記検証第一ハッシュ値算出装置（検証画像ハッシュ値算出装置３５１）が算出した上記一つの記録第一データ（記録画像データ）に対応する検証第一ハッシュ値（検証画像ハッシュ値）とを比較して、一致しない場合に、上記記録媒体８２０に記録された記録データが改竄されていると判定することを特徴とする。

この実施の形態における再生装置３００（検証装置）によれば、第一ハッシュ値検証装置（画像ハッシュ値検証装置３６１）が、第一データ（画像データ）を含むデータ群に基づいて算出した第一ハッシュ値（画像ハッシュ値）を比較して検証するので、記録第一データ（記録画像データ）の内容が改竄された場合に、改竄を検出することができるという効果を奏する。

なお、第一ハッシュ値検証装置（画像ハッシュ値検証装置３６１）が検証第一ハッシュ値（検証画像ハッシュ値）と記録第一ハッシュ値（記録画像ハッシュ値）とが一致することを検証するので、検証結合ハッシュ値算出装置３５６は、検証第一ハッシュ値（検証画像ハッシュ値）の代わりに記録第一ハッシュ値（記録画像ハッシュ値）を含むデータ群に基づいて、検証結合ハッシュ値を算出してもよい。
同様に、結合ハッシュ値検証装置３６６が検証結合ハッシュ値と記録結合ハッシュ値とが一致することを検証するので、検証結合ハッシュ値算出装置３５６は、一つ前の検証結合ハッシュ値の代わりに一つ前の記録結合ハッシュ値を含むデータ群に基づいて、検証結合ハッシュ値を算出してもよい。

この実施の形態における再生装置３００（検証装置）は、更に、記録第二データ取得装置３２２を有することを特徴とする。
上記記録第二データ取得装置３２２は、上記記録媒体８２０に記録された記録データから、上記記録第一データ取得装置（記録画像データ取得装置３２１）が取得した複数の記録第一データ（記録画像データ）にそれぞれ対応する複数の記録第二データ（記録音声データ・記録センサデータ）を取得することを特徴とする。
上記検証結合ハッシュ値算出装置３５６は、上記記録第一データ取得装置（記録画像データ取得装置３２１）が取得した複数の記録第一データ（記録画像データ）のうちの一つの記録第一データ（記録画像データ）に対応する検証結合ハッシュ値として、上記記録第二データ取得装置３２２が取得した複数の記録第二データ（記録音声データ・記録センサデータ）のうち上記一つの記録第一データ（記録画像データ）に対応する記録第二データ（記録音声データ・記録センサデータ）を更に含む上記第三データ群に基づいてハッシュ値（鍵付きハッシュ値）を算出することを特徴とする。

この実施の形態における再生装置３００（検証装置）によれば、検証結合ハッシュ値算出装置３５６が、第一データ（画像データ）と第二データ（音声データ・センサデータ）とを含むデータ群に基づいて算出した結合ハッシュ値を比較して検証するので、記録第一データ（記録画像データ）と記録第二データ（記録音声データ・記録センサデータ）との対応関係が改竄された場合に、改竄を検出することができるという効果を奏する。

この実施の形態における再生装置３００（検証装置）は、更に、記録第二ハッシュ値取得装置３３２と、検証第二ハッシュ値算出装置３５２と、第二ハッシュ値検証装置３６２とを有することを特徴とする。
上記記録第二ハッシュ値取得装置３３２は、上記記録媒体８２０に記録された記録データから、上記記録第一データ取得装置（記録画像データ取得装置３２１）が取得した複数の記録第一データ（記録画像データ）のうちの一つの記録第一データ（記録画像データ）に対応する記録第二ハッシュ値（記録音声ハッシュ値・記録センサハッシュ値）を取得することを特徴とする。
上記検証第二ハッシュ値算出装置３５２は、上記記録第一データ取得装置（記録画像データ取得装置３２１）が取得した複数の記録第一データ（記録画像データ）のうちの一つの記録第一データ（記録画像データ）に対応する検証第二ハッシュ値として、上記検証鍵記憶装置３４１が記憶した共通鍵と、上記記録第二データ取得装置３２２が取得した複数の記録第二データ（記録音声データ・記録センサデータ）のうち上記一つの記録第一データ（記録画像データ）に対応する記録第二データ（記録音声データ・記録センサデータ）とを含むデータ群に基づいてハッシュ値（鍵付きハッシュ値）を算出することを特徴とする。
上記第二ハッシュ値検証装置３６２は、上記記録第一データ取得装置（記録画像データ取得装置３２１）が取得した複数の記録第一データ（記録画像データ）のうちの一つの記録第一データ（記録画像データ）について、上記記録第二ハッシュ値取得装置３３２が取得した上記一つの記録第一データ（記録画像データ）に対応する記録第二ハッシュ値（記録音声ハッシュ値・記録センサハッシュ値）と、上記検証第二ハッシュ値算出装置３５２が算出した上記一つの記録第一データ（記録画像データ）に対応する検証第二ハッシュ値（検証音声ハッシュ値・検証センサハッシュ値）とを比較して、一致しない場合に、上記記録媒体８２０に記録された記録データが改竄されていると判定することを特徴とする。

この実施の形態における再生装置３００（検証装置）によれば、第二ハッシュ値検証装置３６２が、第二データ（音声データ・センサデータ）を含むデータ群に基づいて算出した第二ハッシュ値（音声ハッシュ値・センサハッシュ値）を比較して検証するので、記録第二データ（記録音声データ・記録センサデータ）の内容が改竄された場合に、改竄を検出することができるという効果を奏する。

この実施の形態における再生装置３００（検証装置）は、更に、第一再生装置（画像再生装置４１１）を有することを特徴とする。
上記第一再生装置（画像再生装置４１１）は、上記記録媒体８２０に記録された記録データが改竄されていると判定されない場合に、上記記録第一データ取得装置（記録画像データ取得装置３２１）が取得した複数の記録第一データ（記録画像データ）の順序にしたがって、上記複数の記録第一データ（記録画像データ）を再生することを特徴とする。

この実施の形態における再生装置３００（検証装置）によれば、順序が改竄されていないことを確認した上で、第一再生装置（画像再生装置４１１）が記録第一データを順序どおりに再生するので、ドライブレコーダ装置１００が記録した通りの順序で記録第一データ（記録画像データ）が再生されることを保証することができるという効果を奏する。

この実施の形態における再生装置３００（検証装置）は、更に、第一再生装置（画像再生装置４１１）と、第二再生装置４１２とを有することを特徴とする。
上記第一再生装置（画像再生装置４１１）は、上記記録媒体８２０に記録された記録データが改竄されていると判定されない場合に、上記記録第一データ取得装置（記録画像データ取得装置３２１）が取得した複数の記録第一データ（記録画像データ）の順序にしたがって、上記複数の記録第一データ（記録画像データ）を再生することを特徴とする。
上記第二再生装置４１２は、上記記録媒体８２０に記録された記録データが改竄されていると判定されない場合に、上記記録第二データ取得装置３２２が取得した複数の記録第二データ（記録音声データ・記録センサデータ）それぞれが対応する複数の記録第一データ（記録画像データ）を上記第一再生装置（画像再生装置４１１）が再生するのに同期して、上記複数の記録第二データ（記録音声データ・記録センサデータ）を再生することを特徴とする。

この実施の形態における再生装置３００（検証装置）によれば、順序及び対応関係が改竄されていないことを確認した上で、第一再生装置（画像再生装置４１１）が記録第一データ（記録画像データ）を順序どおりに再生し、それと同期して、第二再生装置４１２が記録第二データ（記録音声データ・記録センサデータ）を再生するので、ドライブレコーダ装置１００（記録装置）が記録した通りに、記録第一データ（記録画像データ）及び記録第二データ（記録音声データ・記録センサデータ）が再生されることを保証することができるという効果を奏する。

なお、記録再生装置４１０は、すべての検証が終わってから再生を開始するのではなく、検証が終わったデータから再生を開始し、再生の途中で記録データ検証装置３４０が検証に失敗した場合には、その時点で再生を中止してもよい。そうすれば、記録データの量が多く、検証に時間がかかる場合であっても、すぐに再生を開始することができるので、好ましい。この場合でも、再生された部分については、改竄がないことが保証される。

この実施の形態における再生装置３００（検証装置）は、更に、検証鍵取得装置３１２を有することを特徴とする。
上記検証鍵取得装置３１２は、耐タンパ性を有する上記記録媒体８２０から共通鍵を取得することを特徴とする。
上記検証鍵記憶装置３４１は、上記検証鍵取得装置３１２が取得した共通鍵を記憶することを特徴とする。

この実施の形態における再生装置３００（検証装置）によれば、記録データとともに記録媒体８２０に記録された共通鍵を利用して、記録データの検証をするので、ドライブレコーダ装置１００（記録装置）との間で安全に共通鍵を共有できるという効果を奏する。記録媒体８２０は耐タンパ性を有するので、共通鍵が漏洩する心配はない。

この実施の形態にかかる再生装置３００（検証装置）は、
記録画像データ取得装置３２１と、記録音声データ取得装置３２３と、記録センサデータ取得装置３２４と、記録画像ハッシュ値取得装置３３１と、記録音声ハッシュ値取得装置３３３と、記録センサハッシュ値取得装置３３４と、記録結合ハッシュ値取得装置３３６と、検証鍵記憶装置３４１と、検証画像ハッシュ値算出装置３５１と、検証音声ハッシュ値算出装置３５３と、検証センサハッシュ値算出装置３５４と、検証結合ハッシュ値算出装置３５６と、画像ハッシュ値検証装置３６１と、音声ハッシュ値検証装置３６３と、センサハッシュ値検証装置３６４と、結合ハッシュ値検証装置３６６と、画像再生装置４１１と、音声再生装置４１３と、状態再生装置４１４とを有することを特徴とする。
上記記録画像データ取得装置３２１は、記録媒体８２０に記録された記録データから、順序を有する複数の記録画像データを取得することを特徴とする。
上記記録音声データ取得装置３２３は、上記記録媒体８２０に記録された記録データから、上記複数の記録画像データにそれぞれ対応する複数の記録音声データを取得することを特徴とする。
上記記録センサデータ取得装置３２４は、上記記録媒体８２０に記録された記録データから、上記複数の記録画像データにそれぞれ対応する複数の記録センサデータを取得することを特徴とする。
上記記録画像ハッシュ値取得装置３３１は、上記記録媒体８２０に記録された記録データから、上記複数の記録画像データにそれぞれ対応する複数の記録画像ハッシュ値を取得することを特徴とする。
上記記録音声ハッシュ値取得装置３３３は、上記記録媒体８２０に記録された記録データから、上記複数の記録画像データにそれぞれ対応する複数の記録音声ハッシュ値を取得することを特徴とする。
上記記録センサハッシュ値取得装置３３４は、上記記録媒体８２０に記録された記録データから、上記複数の記録画像データにそれぞれ対応する複数の記録センサハッシュ値を取得することを特徴とする。
上記記録結合ハッシュ値取得装置３３６は、上記記録媒体８２０に記録された記録データから、上記複数の記録画像データにそれぞれ対応する複数の記録結合ハッシュ値を取得することを特徴とする。
上記検証鍵記憶装置３４１は、共通鍵を記憶することを特徴とする。
上記検証画像ハッシュ値算出装置３５１は、上記記録画像データ取得装置３２１が取得した複数の記録画像データのうちの一つの記録画像データに対応する検証画像ハッシュ値として、上記検証鍵記憶装置３４１が記憶した共通鍵と、上記一つの記録画像データとを含むデータ群に基づいてハッシュ値（鍵付きハッシュ値）を算出することを特徴とする。
上記検証音声ハッシュ値算出装置３５３は、上記記録画像データ取得装置３２１が取得した複数の記録画像データのうちの一つの記録画像データに対応する検証音声ハッシュ値として、上記検証鍵記憶装置３４１が記憶した共通鍵と、上記記録音声データ取得装置３２３が取得した複数の記録音声データのうち上記一つの記録画像データに対応する記録音声データとを含むデータ群に基づいてハッシュ値（鍵付きハッシュ値）を算出することを特徴とする。
上記検証センサハッシュ値算出装置３５４は、上記記録画像データ取得装置３２１が取得した複数の記録画像データのうちの一つの記録画像データに対応する検証センサハッシュ値として、上記検証鍵記憶装置３４１が記憶した共通鍵と、上記記録センサデータ取得装置３２４が取得した複数の記録センサデータのうち上記一つの記録画像データに対応する記録センサデータとを含むデータ群に基づいてハッシュ値（鍵付きハッシュ値）を算出することを特徴とする。
上記検証結合ハッシュ値算出装置３５６は、上記記録画像データ取得装置３２１が取得した複数の記録画像データのうちの一つの記録画像データに対応する検証結合ハッシュ値として、上記検証鍵記憶装置３４１が記憶した共通鍵と、上記検証画像ハッシュ値算出装置３５１が算出した上記一つの記録画像データに対応する検証画像ハッシュ値と、上記検証音声ハッシュ値算出装置３５３が算出した上記一つの記録画像データに対応する検証音声ハッシュ値と、上記検証センサハッシュ値算出装置３５４が算出した上記一つの記録画像データに対応する検証センサハッシュ値と、上記一つの記録画像データより一つ前の記録画像データに対応する検証結合ハッシュ値とを含む第三データ群に基づいてハッシュ値（鍵付きハッシュ値）を算出することを特徴とする。
上記画像ハッシュ値検証装置３６１は、上記記録画像データ取得装置３２１が取得した複数の記録画像データのうちの一つの記録画像データについて、上記記録画像ハッシュ値取得装置３３１が取得した上記一つの記録画像データに対応する記録画像ハッシュ値と、上記検証画像ハッシュ値算出装置３５１が算出した上記一つの記録画像データに対応する検証画像ハッシュ値とを比較し、一致しない場合に、上記記録媒体８２０に記録された記録データが改竄されていると判定することを特徴とする。
上記音声ハッシュ値検証装置３６３は、上記記録画像データ取得装置３２１が取得した複数の記録画像データのうちの一つの記録画像データについて、上記記録音声ハッシュ値取得装置３３３が取得した上記一つの記録画像データに対応する記録音声ハッシュ値と、上記検証音声ハッシュ値算出装置３５３が算出した上記一つの記録画像データに対応する検証音声ハッシュ値とを比較し、一致しない場合に、上記記録媒体８２０に記録された記録データが改竄されていると判定することを特徴とする。
上記センサハッシュ値検証装置３６４は、上記記録画像データ取得装置３２１が取得した複数の記録画像データのうちの一つの記録画像データについて、上記記録センサハッシュ値取得装置３３４が取得した上記一つの記録画像データに対応する記録センサハッシュ値と、上記検証センサハッシュ値算出装置３５４が算出した上記一つの記録画像データに対応する検証センサハッシュ値とを比較し、一致しない場合に、上記記録媒体８２０に記録された記録データが改竄されていると判定することを特徴とする。
上記結合ハッシュ値検証装置３６６は、上記記録画像データ取得装置３２１が取得した複数の記録画像データのうちの一つの記録画像データについて、上記記録結合ハッシュ値取得装置３３６が取得した上記一つの記録画像データに対応する記録結合ハッシュ値と、上記検証結合ハッシュ値算出装置３５６が算出した上記一つの記録画像データに対応する検証結合ハッシュ値とを比較し、一致しない場合に、上記記録媒体８２０に記録された記録データが改竄されていると判定することを特徴とする。
上記画像再生装置４１１は、上記記録媒体８２０に記録された記録データが改竄されていると判定されない場合に、上記記録画像データ取得装置３２１が取得した複数の記録画像データの順序にしたがって、上記複数の記録画像データを再生して、上記複数の記録画像データが表わす画像を表示することを特徴とする。
上記音声再生装置４１３は、上記記録媒体８２０に記録された記録データが改竄されていると判定されない場合に、上記記録音声データ取得装置３２３が取得した複数の記録音声データそれぞれに対応する複数の記録画像データが表わす画像を上記画像再生装置４１１が表示するのに同期して、上記複数の記録音声データを再生して、上記複数の記録音声データが表わす音声を出力することを特徴とする。
上記状態再生装置４１４は、上記記録媒体８２０に記録された記録データが改竄されていると判定されない場合に、上記記録センサデータ取得装置３２４が取得した複数の記録センサデータそれぞれに対応する複数の記録画像データが表わす画像を上記画像再生装置が表示するのに同期して、上記複数の記録センサデータを再生して、上記複数の記録センサデータが表わす記録対象の状態を表示することを特徴とする。

この実施の形態における再生装置３００（検証装置）によれば、画像データ・音声データ・センサデータそれぞれの内容・対応関係・順序などが改竄されていないことを確認するので、画像再生装置４１１が表示する画像・音声再生装置４１３が出力する音声・状態再生装置４１４が表示する記録対象の状態が、ドライブレコーダ装置１００（記録装置）が記録した通りに再生されることを保証することができるという効果を奏する。

この実施の形態におけるドライブレコーダ装置１００（記録装置）が複数の出力第一データ（出力画像データ）を記録する記録方法は、以下の工程を有することを特徴とする。
上記記録鍵記憶装置１７２が、共通鍵を記憶する。
上記出力第一データ取得装置（出力画像データ取得装置１６１）が、順序を有する複数の出力第一データ（出力画像データ）を取得する。
上記結合ハッシュ値算出装置１９１が、上記出力第一データ取得装置（出力画像データ取得装置１６１）が取得した複数の出力第一データ（出力画像データ）のうちの一つの出力第一データ（出力画像データ）に対応する結合ハッシュ値として、上記記録鍵記憶装置１７２が記憶した共通鍵と、上記一つの出力第一データ（出力画像データ）と、上記一つの出力第一データ（出力画像データ）より一つ前の出力第一データ（出力画像データ）に対応する結合ハッシュ値とを含む第一データ群に基づいて、ハッシュ値（鍵付きハッシュ値）を算出する。
上記出力データ記録装置２１０が、上記出力第一データ取得装置（出力画像データ取得装置１６１）が取得した複数の出力第一データ（出力画像データ）と、上記結合ハッシュ値算出装置１９１が算出した結合ハッシュ値とを記録媒体８２０に記録する。

この実施の形態における記録方法によれば、結合ハッシュ値算出装置１９１が、出力第一データ（出力画像データ）に対応する結合ハッシュ値として、出力第一データ（出力画像データ）と一つ前の出力第一データ（出力画像データ）に対応する結合ハッシュ値とを含むデータ群に基づいて算出した鍵付きハッシュ値を、出力データ記録装置２１０が記録媒体８２０に記録するので、記録媒体８２０に記録された結合ハッシュ値を検証すれば、出力第一データ（出力画像データ）の順序が改竄されているか否かを判定することができるという効果を奏する。

この実施の形態における再生装置３００（検証装置）が記録データの改竄を検証する検証方法は、以下の工程を有することを特徴とする。
上記記録第一データ取得装置（記録画像データ取得装置３２１）が、記録媒体８２０に記録された記録データから、順序を有する複数の記録第一データ（記録画像データ）を取得する。
上記記録結合ハッシュ値取得装置３３６が、上記記録媒体８２０に記録された記録データから、上記記録第一データ取得装置（記録画像データ取得装置３２１）が取得した複数の記録第一データのうちの一つの記録第一データに対応する記録結合ハッシュ値を取得する。
上記検証鍵記憶装置３４１が、共通鍵を記憶する。
上記検証結合ハッシュ値算出装置３５６が、上記記録第一データ取得装置（記録画像データ取得装置３２１）が取得した複数の記録第一データ（記録画像データ）のうちの一つの記録第一データ（記録画像データ）に対応する検証結合ハッシュ値として、上記検証鍵記憶装置３４１が記憶した共通鍵と、上記複数の記録第一データ（記録画像データ）とを含む第三データ群に基づいてハッシュ値（鍵付きハッシュ値）を算出する。
上記結合ハッシュ値検証装置３６６が、上記記録第一データ取得装置（記録画像データ取得装置３２１）が取得した複数の記録第一データ（記録画像データ）のうちの一つの記録第一データ（記録画像データ）について、上記記録結合ハッシュ値取得装置３３６が取得した上記一つの記録第一データ（記録画像データ）に対応する記録結合ハッシュ値と、上記検証結合ハッシュ値算出装置３５６が算出した上記一つの記録第一データ（記録画像データ）に対応する検証結合ハッシュ値とを比較して、一致しない場合に、上記記録媒体８２０に記録された記録データが改竄されていると判定する。

この実施の形態における検証方法によれば、結合ハッシュ値検証装置３６６が、一つ前の結合ハッシュ値を含むデータ群に基づいて算出された結合ハッシュ値を比較して検証するので、記録第一データ（記録画像データ）の順序が改竄された場合に、改竄を検出することができるという効果を奏する。

この実施の形態におけるドライブレコーダ装置１００（記録装置）及び再生装置３００（検証装置）は、コンピュータをドライブレコーダ装置１００（記録装置）または再生装置３００（検証装置）として機能させるプログラムを、コンピュータが実行することにより、実現することができる。

コンピュータをこの実施の形態におけるドライブレコーダ装置１００（記録装置）または再生装置３００（検証装置）として機能させるプログラムによれば、記録媒体８２０に記録したデータの順序が改竄された場合に、改竄を検出することができるという効果を奏する。

以上のように、一秒間毎に規定のフレーム数の動画、音声、およびセンサデータを記録するドライブレコーダ装置１００において、画像１フレーム間隔毎に、音声、およびセンサデータを分割して管理し、そのそれぞれに、鍵つきデータハッシュを取得し、さらに、それぞれハッシュデータをハッシュしたデータを次フレームの当該ハッシュデータとハッシュする。
これにより、再生時には、前記ハッシュデータを比較検証することにより、１フレームごとの画像と音声とセンサデータの正確な同期とデータの改竄検知ができる。
以上により、データの改竄防止と画像、音声、センサデータの正確な同期再生の実現手段を提供するとともに、データの相対的な時間証明も可能となる。

以上のように、あらかじめ定められた秒数分のフレームの先頭から鍵つきハッシュ値の計算を行い、画像データに対し画像ハッシュ値を、音声データに対し音声ハッシュ値を、センサデータについてセンサハッシュ値を得る。画像ハッシュ値、音声ハッシュ値、センサハッシュ値をハッシュすることによって、結合ハッシュ値を得る。同様に計算された２フレーム目のハッシュ値は、フレーム間の順序の検証のため、更に１フレーム目の結合ハッシュ値とハッシュし、結合ハッシュ値を得る。各フレームのハッシュ値はデータとともに記録媒体８２０（ストレージ）に保存される。
再生装置３００でのデータ再生時には、作成時と同一の手順で同一の共通鍵にてハッシュ値を計算の上、格納されたハッシュ値と同一であるかを検証する。もし、同一でなかった場合はデータに改竄があると判断し、保存されたデータは、その証拠性を失う。同一であった場合は、画像の１フレームごとに同期して、正確に、音声、センサデータが再生される。

画像データ、音声データ、センサデータ、および改竄検知のためのハッシュデータは、記録媒体８２０上のファイルシステム上のファイルとして、それぞれ別々に格納する。あるいは、出力データ記録装置２１０が、これらのデータを一つのファイルにまとめて出力し、記録媒体８２０上の一つのファイルとして構成して記録してもよい。

例えば、出力画像データ、出力音声データ、出力センサデータ、画像ハッシュ値、音声ハッシュ値、センサハッシュ値、結合ハッシュ値を結合して、一つのファイルとする。一つのファイルで管理されても、再生時には生成時と同じ手順、共通鍵をもってハッシュデータを生成し、メタデータのハッシュ値を含め、同一かどうかを検証することができる。

記録媒体８２０として耐タンパな領域を持つデバイスを使用し、ドライブレコーダ装置１００が記録媒体８２０の耐タンパな領域に共通鍵を格納すれば、再生時に、記録媒体８２０の耐タンパ領域に格納された共通鍵を使用することができるので、ドライブレコーダ装置１００と再生装置３００とが共通鍵を安全に共有できる。

このように、記録媒体８２０（ストレージ）として、耐タンパ性を持つＩＣ（Ｉｎｔｅｇｒａｔｅｄ Ｃｉｒｃｕｉｔ）カードを配したフラッシュメモリなどの上に共通鍵を格納し、その共通鍵を使って、鍵つきハッシュ生成処理をすることにより、更に強度な証拠性を担保することができる。

実施の形態２．
実施の形態２について、図１２を用いて説明する。

この実施の形態におけるドライブレコーダシステム８００のシステム構成、ドライブレコーダ装置１００のブロック構成、再生装置３００のブロック構成は、実施の形態１で説明したものと同様なので、ここでは説明を省略する。

画像データ生成装置１２１（第一データ生成装置）は、撮像装置１１１が撮影した画像１枚ごとに、１つの画像データを出力するのではなく、所定のデータ生成間隔時間（例えば１秒）内に撮像装置１１１が撮影した複数（例えば３０枚）の画像から生成した複数の画像データを１つにまとめて、１つの画像データ（第一データ）として出力する。
音声データ生成装置１２３は、画像データ生成装置１２１が画像データを１つ出力するのと同期して、それに対応する音声データ（第二データ）を１つ出力する。音声データ生成装置１２３は、画像データ生成装置１２１が１つの画像データを出力したことがわかると、画像データ生成装置１２１が出力した画像データに対応する音声データを切り出して、切り出した音声データを出力する。画像データ生成装置１２１が１秒に１つの割合で画像データを出力する場合であれば、音声データ生成装置１２３も１秒（データ生成間隔時間）に１つの割合で音声データを出力する。
センサデータ生成装置１２４も同様に、画像データ生成装置１２１が画像データを１つ出力するのと同期して、それに対応するセンサデータ（第二データ）を１つ出力する。センサデータ生成装置１２４は、画像データ生成装置１２１が１つの画像データを出力したことがわかると、画像データ生成装置１２１が出力した画像データに対応するセンサデータを切り出して、切り出したセンサデータを出力する。画像データ生成装置１２１が１秒に１つの割合で画像データを出力する場合であれば、センサデータ生成装置１２４も１秒（データ生成間隔時間）に１つの割合でセンサデータを出力する。

図１２は、この実施の形態における常時記録装置１１０が画像などを常時記録する常時記録処理の流れの一例を示すフローチャート図である。
なお、実施の形態１で説明した常時記録処理と共通する部分については、同一の符号を付し、ここでは説明を省略する。

経過時間判定工程Ｓ２１において、画像データ生成装置１２１は、タイマなどを用いて、複数フレーム画像データ生成工程Ｓ２２で画像データ生成装置１２１が画像データを出力してから１秒（データ生成間隔時間）が経過したか否かを判定する。
１秒経過したと判定した場合、複数フレーム画像データ生成工程Ｓ２２へ進む。
まだ１秒経過していないと判定した場合、音声データ生成工程Ｓ１１に戻り、音声データ・センサデータの生成を続ける。

複数フレーム画像データ生成工程Ｓ２２において、画像データ生成装置１２１は、単一フレーム画像データ生成工程Ｓ１６で生成した１フレーム分の画像データを１秒分（例えば３０個）まとめて、１つの画像データとする。
複数フレーム音声データ生成工程Ｓ２３において、音声データ生成装置１２３は、音声データ生成工程Ｓ１１で生成した連続した音声データから、複数フレーム画像データ生成工程Ｓ２２で画像データ生成装置１２１が生成した１秒分の画像データに対応する１秒分の音声データを生成する。
複数フレームセンサデータ生成工程Ｓ２４において、センサデータ生成装置１２４は、センサデータ生成工程Ｓ１２で生成した連続したセンサデータから、複数フレーム画像データ生成工程Ｓ２２で画像データ生成装置１２１が生成した１秒分の画像データに対応する１秒分のセンサデータを生成する。

このように、撮像装置１１１が撮影した画像１枚ごとに１つの画像データを生成するのではなく、撮像装置１１１がデータ生成間隔時間内に撮影した複数の画像をまとめて１つの画像データとすることにより、画像データの数を減らすことができる。
画像データ１つ当たりの大きさは、フレーム間予測などにより圧縮することが可能なので、１枚の画像から生成した画像データの大きさと、１つの画像データに含まれる画像の枚数との積よりも小さくなる。すなわち、複数の画像データ全体の大きさが小さくなる。
音声データ・センサデータの数は、画像データの数と同じなので、音声データ・センサデータの数も減る。また、圧縮効率が向上するので、複数の音声データ・センサデータ全体の大きさも小さくなる。
画像データ・音声データ・センサデータの数が減ることにより、対応する画像ハッシュ値・音声ハッシュ値・センサハッシュ値・結合ハッシュ値の数も減る。
したがって、出力データ記録装置２１０が記録媒体８２０に記録するデータの量が少なくて済む。記録媒体８２０の容量が同じだとすると、より長時間の記録が可能となる。

また、画像ハッシュ値・音声ハッシュ値・センサハッシュ値・結合ハッシュ値の数が減るので、画像ハッシュ値算出装置１８１、音声ハッシュ値算出装置１８３、センサハッシュ値算出装置１８４、結合ハッシュ値算出装置１９１におけるハッシュ値算出処理の負荷が軽くなる。画像ハッシュ値算出装置１８１、音声ハッシュ値算出装置１８３、センサハッシュ値算出装置１８４、結合ハッシュ値算出装置１９１を、ＣＰＵ９１１を用いて実現している場合であれば、処理能力の低いＣＰＵ９１１を使うことができる。これにより、ドライブレコーダ装置１００の製造コストを低く抑えることができる。

再生装置３００における検証処理においても同様に、検証すべきハッシュ値の数が減るので、処理の負荷が軽くなる。したがって、再生装置３００の製造コストを低く抑えることができる。

なお、出力画像データを、記録媒体８２０上の別々のファイルとして記録する場合、１つの出力画像データを１つのファイルとしてもよいし、１つの出力画像データに含まれるフレームごとの画像データをそれぞれ別々のファイルとしてもよい。

以上のように、複数枚の画像をハッシュ管理単位（データ生成間隔時間）とし、その管理単位間隔に応じた、音声、およびセンサデータを管理し、そのそれぞれに、鍵つきデータハッシュを取得し、さらに、それぞれハッシュデータをハッシュしたデータを次フレームの当該ハッシュデータとハッシュする。
これにより、再生時には、前記ハッシュデータを比較検証することにより、１秒ごとの画像と音声とセンサデータの正確な同期とデータの改竄検知ができる。

このように、画像データを３０分の１秒のフレームごとに管理するのではなく、１秒分３０枚まとめて管理してもよい。３０枚の画像データに順次ハッシュ関数をかけてハッシュ値をとり、次の画像データとのハッシュ値を時系列に従って取っていき、画像３０枚分のハッシュ値を得る。音声データ、センサデータは、画像３０枚分、即ち１秒分連続して取得され、それぞれのハッシュ値は画像データのハッシュ値とハッシュされ、１秒分の結合ハッシュ値を得る。さらに次の１秒分のハッシュ値とハッシュを取り、次の結合ハッシュ値とする。当該１秒ごとの結合ハッシュ値はデータと一緒に記録媒体８２０（ストレージ）に格納される。
再生装置３００による再生時には、上記生成時と同一の手順、ならびに共通鍵で１秒毎のハッシュ値を再計算し、同一でなければデータはその証拠性を失い、同一であれば、画像３０枚と、１秒分の音声、およびセンサデータは正確に１秒毎に同期されて再生される。

実施の形態３．
実施の形態３について、図１３〜図１５を用いて説明する。

この実施の形態におけるドライブレコーダシステム８００のシステム構成、ドライブレコーダ装置１００のブロック構成、再生装置３００のブロック構成は、実施の形態１で説明したものと同様なので、ここでは説明を省略する。

まず、ドライブレコーダ装置１００（記録装置）について説明する。

結合ハッシュ値算出装置１９１は、先頭画像データ（最初の出力第一データ）に対応する結合ハッシュ値と、それ以外の出力画像データ（最初でない出力第一データ）に対応する結合ハッシュ値との間で、結合ハッシュ値の算出方式が異なる。すなわち、先頭画像データに対応する結合ハッシュ値の算出には、一つ前の結合ハッシュ値を使わないのに対して、それ以外の出力画像データに対応する結合ハッシュ値の算出には、一つ前の結合ハッシュ値を使う。これにより、結合ハッシュ値を検証すれば、どこが先頭かわかるので、先頭画像データが削除されるなどの改竄を検出できる。

結合ハッシュ値算出装置１９１は、更に、末尾画像データ（最後の出力第一データ）に対応する結合ハッシュ値についても、先頭画像データに対応する結合ハッシュ値や、それ以外の出力画像データに対応する結合ハッシュ値と異なる方式で、結合ハッシュ値を算出する。これにより、結合ハッシュ値を検証すれば、どこが末尾かわかるので、末尾画像データが削除されるなどの改竄を検出できる。

結合ハッシュ値算出装置１９１は、末尾画像データに対応する結合ハッシュ値として、記録鍵記憶装置１７２が記憶した共通鍵と、画像ハッシュ値算出装置１８１が算出した画像ハッシュ値と、音声ハッシュ値算出装置１８３が算出した音声ハッシュ値と、センサハッシュ値算出装置１８４が算出したセンサハッシュ値と、１つ前の結合ハッシュ値と、先頭画像データに対応する結合ハッシュ値（第三データ）とに基づいて、鍵付きハッシュ値を算出する。

結合ハッシュ値記憶装置１９２（第三データ取得装置）は、２つの結合ハッシュ値を記憶できる記憶領域を、ＲＡＭ９１４に確保する。結合ハッシュ値記憶装置１９２は、結合ハッシュ値算出装置１９１が算出した結合ハッシュ値を入力し、ＲＡＭ９１４を用いて、確保した記憶領域の一つに、入力した結合ハッシュ値を記憶する。結合ハッシュ値記憶装置１９２は、入力した結合ハッシュ値が先頭画像データに対応する結合ハッシュ値である場合、確保したもう一つの記憶領域に、結合ハッシュ値を複写する。これにより、結合ハッシュ値記憶装置１９２は、結合ハッシュ値算出装置１９１が算出した先頭画像データに対応する結合ハッシュ値と、結合ハッシュ値算出装置１９１が算出した最新の結合ハッシュ値とを記憶する。

図１３は、この実施の形態におけるドライブレコーダ装置１００が出力データを生成・記録する出力データ生成記録処理の流れの一例を示すフローチャート図（一部）である。
なお、実施の形態１で説明した出力データ生成記録処理と共通する部分については、同一の符号を付し、ここでは説明を省略する。また、センサハッシュ値算出工程Ｓ４３以前については、実施の形態１で図６を用いて説明したものと同様なので、省略している。

位置判定工程Ｓ４６において、結合ハッシュ値算出装置１９１は、現在処理中の出力画像データが、どの出力画像データであるかを判定する。
現在処理中の出力画像データが先頭画像データであると判定した場合、先頭結合ハッシュ値算出工程Ｓ４７へ進む。
現在処理中の出力画像データが中間画像データ（先頭画像データも末尾画像データでもない出力画像データ）であると判定した場合、中間結合ハッシュ値算出工程Ｓ４８へ進む。
現在処理中の出力画像データが末尾画像データであると判定した場合、末尾結合ハッシュ値算出工程Ｓ５６へ進む。

末尾結合ハッシュ値算出工程Ｓ５６において、結合ハッシュ値算出装置１９１は、記録鍵記憶工程Ｓ３４で記録鍵記憶装置１７２が記憶した共通鍵と、画像ハッシュ値算出工程Ｓ４１で画像ハッシュ値算出装置１８１が算出した１つの画像ハッシュ値と、音声ハッシュ値算出工程Ｓ４２で音声ハッシュ値算出装置１８３が算出した１つの音声ハッシュ値と、センサハッシュ値算出工程Ｓ４３でセンサハッシュ値算出装置１８４が算出した１つのセンサハッシュ値と、結合ハッシュ値記憶工程Ｓ５７で結合ハッシュ値記憶装置１９２が記憶した一つ前の結合ハッシュ値と、結合ハッシュ値記憶工程Ｓ５７で結合ハッシュ値記憶装置１９２が記憶した先頭画像データに対応する結合ハッシュ値とに基づいて、末尾画像データに対応する１つの結合ハッシュ値を算出する。

結合ハッシュ値記憶工程Ｓ５７において、結合ハッシュ値記憶装置１９２は、先頭結合ハッシュ値算出工程Ｓ４７または中間結合ハッシュ値算出工程Ｓ４８または末尾結合ハッシュ値算出工程Ｓ５６で結合ハッシュ値算出装置１９１が算出した結合ハッシュ値を記憶する。結合ハッシュ値記憶装置１９２が記憶した結合ハッシュ値は、一つ次及び最後の結合ハッシュ値の算出に利用される。

図１４は、この実施の形態における出力データ生成装置１５０が生成するデータの構造の一例を示す模式図である。
なお、実施の形態１で説明したデータ構造と共通する部分については、同一の符号を付し、ここでは説明を省略する。

末尾画像データ６１９に対応する結合ハッシュ値６７９は、共通鍵７０１と、画像ハッシュ値６４９と、音声ハッシュ値６５９と、センサハッシュ値６６９と、一つ前の結合ハッシュ値（図示せず）と、先頭画像データ６１１に対応する結合ハッシュ値６７１とを含むデータ群に基づいて結合ハッシュ値算出装置１９１が算出した鍵付きハッシュ値である。特に、先頭画像データ６１１に対応する結合ハッシュ値６７１をデータ群が含む点が、他の結合ハッシュ値と異なっている。

次に、再生装置３００（検証装置）について説明する。

検証結合ハッシュ値記憶装置３５７（検証第三データ取得装置）は、ＲＡＭ９１４に２つの検証結合ハッシュ値を記憶する記憶領域を確保する。検証結合ハッシュ値記憶装置３５７は、検証結合ハッシュ値算出装置３５６が算出した検証結合ハッシュ値を入力し、ＲＡＭ９１４を用いて、確保した記憶領域の一つに、入力した検証結合ハッシュ値を記憶する。検証結合ハッシュ値記憶装置３５７は、入力した検証結合ハッシュ値が最初の記録画像データに対応する検証結合ハッシュ値である場合、ＲＡＭ９１４を用いて、確保したもう一つの記憶領域に、記憶した検証結合ハッシュ値を複写する。これにより、検証結合ハッシュ値記憶装置３５７は、検証結合ハッシュ値算出装置３５６が算出した最初の記録画像データに対応する検証結合ハッシュ値（検証第三データ）と、検証結合ハッシュ値算出装置３５６が算出した最新の検証結合ハッシュ値との２つを記憶する。

検証結合ハッシュ値算出装置３５６は、記録画像データ取得装置３２１が取得した記録画像データが最後の記録画像データである場合、検証鍵記憶装置３４１が記憶した共通鍵と、検証画像ハッシュ値算出装置３５１が算出した画像ハッシュ値と、検証音声ハッシュ値算出装置３５３が算出した音声ハッシュ値と、検証センサハッシュ値算出装置３５４が算出したセンサハッシュ値と、検証結合ハッシュ値記憶装置３５７が記憶した一つ前の記録画像データに対応する検証結合ハッシュ値と、検証結合ハッシュ値記憶装置３５７が記憶した最初の記録画像データに対応する検証結合ハッシュ値（検証第三データ）とに基づいて、鍵付きハッシュ値を算出して、最後の記録画像データに対応する検証結合ハッシュ値とする。

図１５は、この実施の形態における再生装置３００が記録データを検証する記録データ検証処理の流れの一例を示すフローチャート図（部分）である。
なお、実施の形態１で説明した記録データ検証処理と共通する部分については、同一の符号を付し、ここでは説明を省略する。また、検証センサハッシュ値算出工程Ｔ２８以前及び画像ハッシュ値検証工程Ｔ４６以後については、実施の形態１で図１０及び図１１を用いて説明したものと同様なので、省略している。

検証位置判定工程Ｔ３１において、検証結合ハッシュ値算出装置３５６は、現在処理中の記録画像データが、どの記録画像データであるかを判定する。
現在処理中の記録画像データが最初の記録画像データであると判定した場合、先頭検証結合ハッシュ値算出工程Ｔ３２へ進む。
現在処理中の記録画像データが中間の記録画像データ（最初でも最後でもない記録画像データ）であると判定した場合、中間検証結合ハッシュ値算出工程Ｔ３３へ進む。
現在処理中の記録画像データが最後の記録画像データであると判定した場合、末尾結合ハッシュ値算出工程Ｔ４１へ進む。

末尾結合ハッシュ値算出工程Ｔ４１において、検証結合ハッシュ値算出装置３５６は、検証鍵記憶工程Ｔ１２で検証鍵記憶装置３４１が記憶した共通鍵と、検証画像ハッシュ値算出工程Ｔ２６で検証画像ハッシュ値算出装置３５１が算出した１つの検証画像ハッシュ値と、検証音声ハッシュ値算出工程Ｔ２７で検証音声ハッシュ値算出装置３５３が算出した１つの検証音声ハッシュ値と、検証センサハッシュ値算出工程Ｔ２８で検証センサハッシュ値算出装置３５４が算出した１つの検証センサハッシュ値と、検証結合ハッシュ値記憶工程Ｔ４２で検証結合ハッシュ値記憶装置３５７が記憶した（一つ前の記録画像データに対応する）検証結合ハッシュ値と、検証結合ハッシュ値記憶工程Ｔ４２で検証結合ハッシュ値記憶装置３５７が記憶した（最初の記録画像データに対応する）検証結合ハッシュ値とに基づいて、最後の記録画像データに対応する１つの検証結合ハッシュ値を算出する。

検証結合ハッシュ値記憶工程Ｔ４２において、検証結合ハッシュ値記憶装置３５７は、先頭検証結合ハッシュ値算出工程Ｔ３２または中間検証結合ハッシュ値算出工程Ｔ３３または末尾結合ハッシュ値算出工程Ｔ４１で検証結合ハッシュ値算出装置３５６が算出した検証結合ハッシュ値を記憶する。検証結合ハッシュ値記憶装置３５７が記憶した検証結合ハッシュ値は、一つ次及び最後の検証結合ハッシュ値の算出に利用される。

記録媒体８２０に記録された記録データの後半に、改竄者にとって不都合なものが記録されていたため、記録データを途中で切って、それ以降を削除する改竄をした場合について考える。
記録媒体８２０に記録された記録データの最後に位置する（本当は最後ではない）記録画像データに対応する検証結合ハッシュ値として、検証結合ハッシュ値算出装置３５６は、最初の記録画像データに対応する検証結合ハッシュ値を含むデータ群に基づいてハッシュ値を算出する。
一方、記録媒体８２０に記録された記録データの最後に位置する（本当は最後ではない）記録画像データに対応する記録結合ハッシュ値は、ドライブレコーダ装置１００が記録したままであれば、最初の記録画像データに対応する検証結合ハッシュ値を含まないデータ群に基づいて算出されたものである。
したがって、両者は一致せず、結合ハッシュ値検証装置３６６が改竄を検出する。

また、改竄者が記録媒体８２０に記録された記録データの最後に位置する（本当は最後ではない）記録画像データに対応する記録結合ハッシュ値を整合するよう書き換えようとしても、改竄者は共通鍵を知らないので、整合するハッシュ値を算出することはできない。したがって、結合ハッシュ値検証装置３６６が改竄を検出する。

このように、記録媒体８２０に記録する最後の出力画像データに対応する結合ハッシュ値として、最初の出力画像データに対応する結合ハッシュ値を含むデータ群に基づいて算出したハッシュ値を記録媒体８２０に記録することにより、記録媒体８２０に記録された最後の記録画像データが本当に最後であるかを、最後の結合ハッシュ値の検証により判定することができる。

また、最初の結合ハッシュ値を含むデータ群に基づいて最後の結合ハッシュ値を算出するので、記録媒体８２０に記録された最初の記録画像データが本当に最初であるかも、最後の結合ハッシュ値の検証により同時に判定できる。
実施の形態１で述べたように、記録媒体８２０に記録された最初の記録画像データが本当に最初であるかは、最初の結合ハッシュ値の検証により判定できる。したがって、最初の結合ハッシュ値と最後の結合ハッシュ値の検証により、二重に検証をすることになり、検証の信頼性を更に増すことができる。

なお、結合ハッシュ値算出装置１９１が最後の結合ハッシュ値を算出するもととなるデータ群は、先頭画像データに対応する結合ハッシュ値ではなく、最初から２番目の出力画像データに対応する結合ハッシュ値を含んでもよいし、一般に最初からｎ番目（ｎは自然数。）の出力画像データに対応する結合ハッシュ値を含んでもよい。
検証結合ハッシュ値算出装置３５６でも同じく最初からｎ番目の記録画像データに対応する検証結合ハッシュ値を含むデータ群に基づいて、最後の記録画像データに対応する検証結合ハッシュ値を算出すれば、記録結合ハッシュ値と比較して同様の検証が可能である。
この場合、最後の記録画像データに対応する検証結合ハッシュ値と記録結合ハッシュ値とが一致すれば、ｎ番目の記録画像データが本当にｎ番目であることがわかる。ｎ番目の記録画像データより前の記録画像データの順序が正しいことは、それぞれに対応する結合ハッシュ値の検証により保証できるので、結果として、最初の記録画像データが本当に最初であることも保証される。

この実施の形態におけるドライブレコーダ装置１００（記録装置）は、更に、第三データ取得装置（結合ハッシュ値記憶装置１９２）を有することを特徴とする。
上記第三データ取得装置（結合ハッシュ値記憶装置１９２）は、第三データ（先頭画像データに対応する結合ハッシュ値）を取得することを特徴とする。
上記結合ハッシュ値算出装置１９１は、上記出力第一データ取得装置（出力画像データ取得装置１６１）が取得した複数の出力第一データ（出力画像データ）のうちの最後の出力第一データ（末尾画像データ）に対応する結合ハッシュ値として、上記第三データ取得装置（結合ハッシュ値記憶装置１９２）が取得した第三データ（先頭画像データに対応する結合ハッシュ値）を更に含む上記第一データ群に基づいて、ハッシュ値（鍵付きハッシュ値）を算出することを特徴とする。

この実施の形態におけるドライブレコーダ装置１００（記録装置）によれば、第三データ（先頭画像データに対応する結合ハッシュ値）を含むデータ群に基づいて、結合ハッシュ値算出装置１９１が最後の出力第一データ（末尾画像データ）に対応する結合ハッシュ値を算出し、出力データ記録装置２１０が記録媒体８２０に記録するので、記録媒体８２０に記録された結合ハッシュ値を検証すれば、最後の出力第一データ（末尾画像データ）がカットされているか否かを判定することができるという効果を奏する。

この実施の形態における第三データ取得装置（結合ハッシュ値記憶装置１９２）は、上記第三データとして、上記出力第一データ取得装置（出力画像データ取得装置１６１）が取得した複数の出力第一データ（出力画像データ）のうち最初から数えて所定の位置（例えば１番目）にあたる出力第一データ（出力画像データ）に対応する結合ハッシュ値を、上記結合ハッシュ値算出装置１９１が算出した結合ハッシュ値から取得することを特徴とする。

この実施の形態におけるドライブレコーダ装置１００（記録装置）によれば、最初から数えて所定の位置にあたる出力第一データ（出力画像データ）に対応する結合ハッシュ値を含むデータ群に基づいて、結合ハッシュ値算出装置１９１が最後の出力第一データ（末尾画像データ）に対応する結合ハッシュ値を算出し、出力データ記録装置２１０が記録媒体８２０に記録するので、記録媒体８２０に記録された結合ハッシュ値を検証すれば、最初の出力第一データ（先頭画像データ）及び最後の出力第一データ（末尾画像データ）がカットされているか否かを判定することができるという効果を奏する。

この実施の形態における結合ハッシュ値算出装置１９１は、上記出力画像データ取得装置１６１が取得した末尾画像データに対応する結合ハッシュ値として、上記出力画像データ取得装置１６１が取得した先頭画像データに対応する結合ハッシュ値を更に含む上記第一データ群に基づいて、ハッシュ値（鍵付きハッシュ値）を算出することを特徴とする。

この実施の形態におけるドライブレコーダ装置１００（記録装置）によれば、先頭画像データに対応する結合ハッシュ値を含むデータ群に基づいて、結合ハッシュ値算出装置１９１が末尾画像データに対応する結合ハッシュ値を算出し、出力データ記録装置２１０が記録媒体８２０に記録するので、記録媒体８２０に記録された結合ハッシュ値を検証すれば、先頭画像データ及び末尾画像データがカットされているか否かを判定することができるという効果を奏する。

この実施の形態における再生装置３００（検証装置）は、更に、検証第三データ取得装置（検証結合ハッシュ値記憶装置３５７）を有することを特徴とする。
上記検証第三データ取得装置（検証結合ハッシュ値記憶装置３５７）は、検証第三データ（最初の記録画像データに対応する検証結合ハッシュ値）を取得することを特徴とする。
上記検証結合ハッシュ値算出装置３５６は、上記記録第一データ取得装置（記録画像データ取得装置３２１）が取得した複数の記録第一データ（記録画像データ）のうちの最後の記録第一データ（記録画像データ）に対応する検証結合ハッシュ値として、上記第三データ取得装置（検証結合ハッシュ値記憶装置３５７）が取得した検証第三データ（最初の記録画像データに対応する検証結合ハッシュ値）を更に含む上記第三データ群に基づいて、ハッシュ値（鍵付きハッシュ値）を算出することを特徴とする。

この実施の形態における再生装置３００（検証装置）によれば、結合ハッシュ値検証装置３６６が、第三データ（先頭画像データに対応する結合ハッシュ値）を含むデータ群に基づいて算出された最後の結合ハッシュ値を比較して検証するので、最後の記録第一データ（記録画像データ）が削除された場合に、改竄を検出することができるという効果を奏する。

この実施の形態における検証第三データ取得装置（検証結合ハッシュ値記憶装置３５７）は、上記検証第三データとして、上記記録第一データ取得装置（記録画像データ取得装置３２１）が取得した複数の記録第一データ（記録画像データ）のううち最初から数えて所定の位置（例えば１番目）にあたる記録第一データ（記録画像データ）に対応する検証結合ハッシュ値を、上記検証結合ハッシュ値算出装置３５６が算出した結合ハッシュ値から取得することを特徴とする。

この実施の形態における再生装置３００（検証装置）によれば、結合ハッシュ値検証装置３６６が、最初から数えて所定の位置にあたる結合ハッシュ値を含むデータ群に基づいて算出された最後の結合ハッシュ値を比較して検証するので、最初の記録第一データ（記録画像データ）及び最後の記録第一データ（記録画像データ）が削除された場合に、改竄を検出することができるという効果を奏する。

この実施の形態における検証結合ハッシュ値算出装置３５６は、上記記録画像データ取得装置３２１が取得した最後に記録画像データに対応する検証結合ハッシュ値として、上記記録画像データ取得装置３２１が取得した最初の記録画像データに対応する検証結合ハッシュ値を更に含む上記第三データ群に基づいて、ハッシュ値（鍵付きハッシュ値）を算出することを特徴とする。

この実施の形態における再生装置３００（検証装置）によれば、結合ハッシュ値検証装置３６６が、最初の結合ハッシュ値を含むデータ群に基づいて算出された最後の結合ハッシュ値を比較して検証するので、最初の記録画像データ及び最後の記録画像データが削除された場合に、改竄を検出することができるという効果を奏する。

実施の形態４．
実施の形態４について、図１６〜図２０を用いて説明する。
この実施の形態におけるドライブレコーダシステム８００の全体構成は、実施の形態１で説明したものと同様なので、ここでは説明を省略する。

図１６は、この実施の形態におけるドライブレコーダ装置１００の機能ブロックの構成の一例を示すブロック構成図である。
なお、実施の形態１で説明したドライブレコーダ装置１００と共通する部分については、同一の符号を付し、ここでは説明を省略する。

出力データ生成装置１５０は、更に、メタデータ生成装置１６５、メタハッシュ値算出装置１８５を有する。
メタデータ生成装置１６５（第三データ取得装置）は、メタデータ（第三データ）を生成する。メタデータとは、出力データ記録装置２１０が記録媒体８２０に記録するデータの属性などに関するデータである。メタデータには、例えば、撮像装置１１１の撮影間隔時間（または１秒あたりの画像の枚数）、画像データ生成装置１２１のデータ生成間隔時間（または１秒あたりの画像データの数）、出力範囲決定装置１５１のイベント前記録時間・イベント後記録時間、出力画像データ取得装置１６１が取得した出力画像データの数（または全体の記録時間）、ハッシュデータの付与管理情報などが含まれる。
メタデータ生成装置１６５は、出力範囲決定装置１５１が決定した出力範囲やあらかじめ記憶した情報などに基づいて、メタデータを生成する。

メタハッシュ値算出装置１８５は、メタデータ生成装置１６５が生成したメタデータに基づいてメタハッシュ値を算出する。メタハッシュ値算出装置１８５は、メタハッシュ値として、記録鍵記憶装置１７２が記憶した共通鍵と、メタデータ生成装置１６５が生成したメタデータとを含むデータ群に基づいて、鍵付きハッシュ値を算出する。

結合ハッシュ値算出装置１９１は、末尾画像データに対応する結合ハッシュ値として、記録鍵記憶装置１７２が記憶した共通鍵と、画像ハッシュ値算出装置１８１が算出した画像ハッシュ値と、音声ハッシュ値算出装置１８３が算出した音声ハッシュ値と、センサハッシュ値算出装置１８４が算出したセンサハッシュ値と、１つ前の結合ハッシュ値と、メタハッシュ値算出装置１８５が算出したメタハッシュ値とを含むデータ群に基づいて、鍵付きハッシュ値を算出する。

出力データ記録装置２１０は、共通鍵、出力画像データ、出力音声データ、出力センサデータ、画像ハッシュ値、音声ハッシュ値、センサハッシュ値、結合ハッシュ値に加えて、メタデータ生成装置１６５が生成したメタデータと、メタハッシュ値算出装置１８５が算出したメタハッシュ値とを、記録媒体８２０に記録する。

図１７は、この実施の形態におけるドライブレコーダ装置１００が出力データを生成・記録する出力データ生成記録処理の流れの一例を示すフローチャート図（部分）である。
なお、実施の形態１〜実施の形態３で説明した出力データ生成記録処理と共通する部分については、同一の符号を付し、ここでは説明を省略する。また、センサハッシュ値算出工程Ｓ４３以前については、実施の形態１で図６を用いて説明したものと同様なので、省略している。

位置判定工程Ｓ４６において、結合ハッシュ値算出装置１９１は、現在処理中の出力画像データが、どの出力画像データであるかを判定する。
現在処理中の出力画像データが先頭画像データであると判定した場合、先頭結合ハッシュ値算出工程Ｓ４７へ進む。
現在処理中の出力画像データが中間画像データ（先頭画像データも末尾画像データでもない出力画像データ）であると判定した場合、中間結合ハッシュ値算出工程Ｓ４８へ進む。
現在処理中の出力画像データが末尾画像データであると判定した場合、メタデータ生成工程Ｓ５１へ進む。

メタデータ生成工程Ｓ５１において、メタデータ生成装置１６５は、メタデータを生成する。なお、メタデータ生成装置１６５は、前もってメタデータを生成しておいてもよい。
メタハッシュ値算出工程Ｓ５２において、メタハッシュ値算出装置１８５は、記録鍵記憶工程Ｓ３４で記録鍵記憶装置１７２が記憶した共通鍵と、メタデータ生成工程Ｓ５１でメタデータ生成装置１６５が生成したメタデータとに基づいて、メタハッシュ値を算出する。なお、メタハッシュ値算出装置１８５は、前もってメタハッシュ値を算出しておいてもよい。

末尾結合ハッシュ値算出工程Ｓ５６において、結合ハッシュ値算出装置１９１は、記録鍵記憶工程Ｓ３４で記録鍵記憶装置１７２が記憶した共通鍵と、画像ハッシュ値算出工程Ｓ４１で画像ハッシュ値算出装置１８１が算出した１つの画像ハッシュ値と、音声ハッシュ値算出工程Ｓ４２で音声ハッシュ値算出装置１８３が算出した１つの音声ハッシュ値と、センサハッシュ値算出工程Ｓ４３でセンサハッシュ値算出装置１８４が算出した１つのセンサハッシュ値と、結合ハッシュ値記憶工程Ｓ５７で結合ハッシュ値記憶装置１９２が記憶した一つ前の結合ハッシュ値と、メタハッシュ値算出工程Ｓ５２でメタハッシュ値算出装置１８５が算出したメタハッシュ値とに基づいて、末尾画像データに対応する１つの結合ハッシュ値を算出する。

末尾データ記録工程Ｓ７１において、出力データ記録装置２１０は、メタデータ生成工程Ｓ５１でメタデータ生成装置１６５が生成したメタデータと、メタハッシュ値算出工程Ｓ５２でメタハッシュ値算出装置１８５が算出したメタハッシュ値とを、記録媒体８２０に記録する。

図１８は、この実施の形態における出力データ生成装置１５０が生成するデータの構造の一例を示す模式図である。
なお、実施の形態１〜実施の形態３で説明したデータ構造と共通する部分については、同一の符号を付し、ここでは説明を省略する。

末尾画像データ６１９に対応する結合ハッシュ値６７９は、共通鍵７０１と、画像ハッシュ値６４９と、音声ハッシュ値６５９と、センサハッシュ値６６９と、一つ前の結合ハッシュ値（図示せず）と、メタハッシュ値７０３とを含むデータ群に基づいて結合ハッシュ値算出装置１９１が算出した鍵付きハッシュ値である。特に、メタハッシュ値７０３をデータ群が含む点が、他の結合ハッシュ値と異なっている。
なお、結合ハッシュ値６７９は、メタハッシュ値７０３の代わりにメタデータ７０２を含むデータ群に基づいて算出した鍵付きハッシュ値であってもよい。

図１９は、この実施の形態における再生装置３００の機能ブロックの構成の一例を示すブロック構成図である。
なお、実施の形態１で説明した再生装置３００と共通する部分については、同一の符号を付し、ここでは説明を省略する。

記録データ取得装置３１０は、更に、記録メタデータ取得装置３２５、記録メタハッシュ値取得装置３３５を有する。
記録メタデータ取得装置３２５（検証第三データ取得装置）は、記録データ読出装置３１１が記録媒体８２０から読み出した記録データから、メタデータを取得して、記録メタデータ（検証第三データ）とする。
記録メタハッシュ値取得装置３３５（記録第三ハッシュ値取得装置）は、記録データ読出装置３１１が記録媒体８２０から読み出した記録データから、メタハッシュ値を取得して、記録メタハッシュ値（記録第三ハッシュ値）とする。

記録データ検証装置３４０は、更に、検証メタハッシュ値算出装置３５５、メタハッシュ値検証装置３６５を有する。
検証メタハッシュ値算出装置３５５（検証第三ハッシュ値算出装置）は、検証鍵記憶装置３４１が記憶した共通鍵と、記録メタデータ取得装置３２５が取得した記録メタデータとを含むデータ群に基づいて、鍵付きハッシュ値を算出して、検証メタハッシュ値（検証第三ハッシュ値）とする。検証メタハッシュ値算出装置３５５が検証メタハッシュ値を算出する方式は、ドライブレコーダ装置１００のメタハッシュ値算出装置１８５がメタハッシュ値を算出する方式と同一である。

検証結合ハッシュ値算出装置３５６は、記録画像データ取得装置３２１が取得した記録画像データが最後の記録画像データである場合、検証鍵記憶装置３４１が記憶した共通鍵と、検証画像ハッシュ値算出装置３５１が算出した検証画像ハッシュ値と、検証音声ハッシュ値算出装置３５３が算出した検証音声ハッシュ値と、検証センサハッシュ値算出装置３５４が算出した検証センサハッシュ値と、検証メタハッシュ値算出装置３５５が算出した検証メタハッシュ値とを含むデータ群に基づいて、鍵付きハッシュ値を算出して、最後の記録画像データに対応する検証結合ハッシュ値とする。

メタハッシュ値検証装置３６５（第三ハッシュ値検証装置）は、記録メタハッシュ値取得装置３３５が取得した記録メタハッシュ値と、検証メタハッシュ値算出装置３５５が算出した検証メタハッシュ値とを比較することにより、記録メタデータ取得装置３２５が取得した記録メタデータが改竄されているか否かを判定する。メタハッシュ値検証装置３６５は、検証メタハッシュ値と記録メタハッシュ値とが一致しない場合に、記録データが改竄されていると判定する。

判定装置３７１は、更に、メタハッシュ値検証装置３６５の判定結果も総合して、記録データが改竄されているか否かを判定する。すなわち、記録データが改竄されているとメタハッシュ値検証装置３６５が判定した場合、判定装置３７１は記録データが改竄されていると判定し、画像ハッシュ値検証装置３６１、音声ハッシュ値検証装置３６３、センサハッシュ値検証装置３６４、メタハッシュ値検証装置３６５、結合ハッシュ値検証装置３６６のすべてが、記録データが改竄されていると判定しなかった場合に、判定装置３７１は記録データが改竄されていないと判定する。

図２０は、この実施の形態における再生装置３００が記録データを検証する記録データ検証処理の流れの一例を示すフローチャート図（部分）である。
なお、実施の形態１〜実施の形態３で説明した記録データ検証処理と共通する部分については、同一の符号を付し、ここでは説明を省略する。また、検証センサハッシュ値算出工程Ｔ２８以前及び画像ハッシュ値検証工程Ｔ４６以後については、実施の形態１で図１０及び図１１を用いて説明したものと同様なので、省略している。

検証位置判定工程Ｔ３１において、検証結合ハッシュ値算出装置３５６は、現在処理中の記録画像データが、どの記録画像データであるかを判定する。
現在処理中の記録画像データが最初の記録画像データであると判定した場合、先頭検証結合ハッシュ値算出工程Ｔ３２へ進む。
現在処理中の記録画像データが中間の記録画像データ（最初でも最後でもない記録画像データ）であると判定した場合、中間検証結合ハッシュ値算出工程Ｔ３３へ進む。
現在処理中の記録画像データが最後の記録画像データであると判定した場合、記録メタデータ取得工程Ｔ３６へ進む。

記録メタデータ取得工程Ｔ３６において、記録メタデータ取得装置３２５は、記録データ読出装置３１１が記録媒体８２０から読み出した記録データから、記録メタデータを取得する。
記録メタハッシュ値取得工程Ｔ３７において、記録メタハッシュ値取得装置３３５は、記録データ読出装置３１１が記録媒体８２０から読み出した記録データから、記録メタハッシュ値を取得する。

検証メタハッシュ値算出工程Ｔ３８において、検証メタハッシュ値算出装置３５５は、検証鍵記憶工程Ｔ１２で検証鍵記憶装置３４１が記憶した共通鍵と、記録メタデータ取得工程Ｔ３６で記録メタデータ取得装置３２５が取得した記録メタデータとを含むデータ群に基づいて、鍵付きハッシュ値を算出して、検証メタハッシュ値とする。
メタハッシュ値検証工程Ｔ３９において、メタハッシュ値検証装置３６５は、記録メタハッシュ値取得工程Ｔ３７で記録メタハッシュ値取得装置３３５が取得した記録メタハッシュ値と、検証メタハッシュ値算出工程Ｔ３８で検証メタハッシュ値算出装置３５５が算出した検証メタハッシュ値とを比較する。
記録結合ハッシュ値と検証結合ハッシュ値とが一致した場合、末尾結合ハッシュ値算出工程Ｔ４１へ進む。
記録結合ハッシュ値と検証結合ハッシュ値とが一致しない場合、検証失敗工程Ｔ７２へ進む。

末尾結合ハッシュ値算出工程Ｔ４１において、検証結合ハッシュ値算出装置３５６は、検証鍵記憶工程Ｔ１２で検証鍵記憶装置３４１が記憶した共通鍵と、検証画像ハッシュ値算出工程Ｔ２６で検証画像ハッシュ値算出装置３５１が算出した１つの検証画像ハッシュ値と、検証音声ハッシュ値算出工程Ｔ２７で検証音声ハッシュ値算出装置３５３が算出した１つの検証音声ハッシュ値と、検証センサハッシュ値算出工程Ｔ２８で検証センサハッシュ値算出装置３５４が算出した１つの検証センサハッシュ値と、検証結合ハッシュ値記憶工程Ｔ４２で検証結合ハッシュ値記憶装置３５７が記憶した一つ前の検証結合ハッシュ値と、検証メタハッシュ値算出工程Ｔ３８で検証メタハッシュ値算出装置３５５が算出したメタハッシュ値とに基づいて、最後の記録画像データに対応する１つの検証結合ハッシュ値を算出する。

検証結合ハッシュ値記憶工程Ｔ４２において、結合ハッシュ値記憶装置１９２は、先頭検証結合ハッシュ値算出工程Ｔ３２または中間検証結合ハッシュ値算出工程Ｔ３３または末尾結合ハッシュ値算出工程Ｔ４１で検証結合ハッシュ値算出装置３５６が算出した検証結合ハッシュ値を記憶する。

なお、記録メタデータ取得工程Ｔ３６〜メタハッシュ値検証工程Ｔ３９の処理は、記録画像データ取得工程Ｔ１６の前であってもよい。

記録媒体８２０に記録されたメタデータは、例えば、記録再生装置４１０がデータを再生する際、再生速度を決定するためなどに用いられる。したがって、メタデータが改竄されていると、正しい再生をすることができない。
例えば、改竄者は、自動車８１０の走行速度が遅かったかのように偽るため、再生速度が遅くなるようメタデータを改竄するかもしれない。
再生装置３００は、メタハッシュ値を検証することにより、メタデータの改竄を検出する。

また、最後の記録画像データに対応する検証結合ハッシュ値として、メタデータ（に基づいて算出したメタハッシュ値）を含むデータ群に基づいて検証結合ハッシュ値算出装置３５６が算出したハッシュ値を、結合ハッシュ値検証装置３６６が最後の記録画像データに対応する記録結合ハッシュ値と比較して検証するので、記録データの最後を改竄して最後の記録画像データを削除した場合も、改竄を検出することができる。

この実施の形態におけるドライブレコーダ装置１００（記録装置）は、更に、第三データ取得装置（メタデータ生成装置１６５）を有することを特徴とする。
上記第三データ取得装置（メタデータ生成装置１６５）は、第三データ（メタデータ）を取得（生成）することを特徴とする。
上記結合ハッシュ値算出装置１９１は、上記出力第一データ取得装置（出力画像データ取得装置１６１）が取得した複数の出力第一データ（出力画像データ）のうちの最後の出力第一データ（末尾画像データ）に対応する結合ハッシュ値として、上記第三データ取得装置（メタデータ生成装置１６５）が取得した第三データ（メタデータ）を更に含む上記第一データ群に基づいて、ハッシュ値（鍵付きハッシュ値）を算出することを特徴とする。

この実施の形態におけるドライブレコーダ装置１００（記録装置）によれば、第三データ（メタデータ）を含むデータ群に基づいて、結合ハッシュ値算出装置１９１が最後の出力第一データ（末尾画像データ）に対応する結合ハッシュ値を算出し、出力データ記録装置２１０が記録媒体８２０に記録するので、記録媒体８２０に記録された結合ハッシュ値を検証すれば、最後の出力第一データ（末尾画像データ）がカットされているか否かを判定することができるという効果を奏する。

この実施の形態におけるドライブレコーダ装置１００（記録装置）は、更に、メタデータ生成装置１６５と、メタハッシュ値算出装置１８５とを有することを特徴とする。
上記メタデータ生成装置１６５は、上記撮像装置１１１が画像を撮影する撮影間隔時間と、上記画像データ生成装置１２１が画像データを生成するデータ生成間隔時間と、上記出力画像データ取得装置１６１が先頭画像データを決定するイベント前記録時間と、上記出力画像データ取得装置１６１が末尾画像データを決定するイベント後記録時間と、上記出力画像データ取得装置１６１が取得した画像データの数とのうち少なくともいずれかを含むメタデータを生成することを特徴とする。
上記メタハッシュ値算出装置１８５は、メタハッシュ値として、上記記録鍵記憶装置１７２が記憶した共通鍵と、上記メタデータ生成装置１６５が生成したメタデータとを含むデータ群に基づいてハッシュ値（鍵付きハッシュ値）を算出することを特徴とする。
上記出力データ記録装置２１０は、更に、上記メタデータ生成装置１６５が生成したメタデータと、上記メタハッシュ値算出装置１８５が算出したメタハッシュ値とを上記記録媒体に記録することを特徴とする。

この実施の形態におけるドライブレコーダ装置１００（記録装置）によれば、メタハッシュ値算出装置１８５が、メタハッシュ値として、メタデータを含むデータ群に基づいて算出した鍵付きハッシュ値を、出力データ記録装置２１０が記録媒体８２０に記録するので、記録媒体８２０に記録されたメタハッシュ値を検証すれば、メタデータが改竄されているか否かを判定することができるという効果を奏する。

上記結合ハッシュ値算出装置１９１は、上記出力画像データ取得装置１６１が取得した末尾画像データに対応する結合ハッシュ値として、上記メタハッシュ値算出装置１８５が算出したメタハッシュ値を更に含む上記第一データ群に基づいて、ハッシュ値（鍵付きハッシュ値）を算出することを特徴とする。

この実施の形態におけるドライブレコーダ装置１００（記録装置）によれば、メタハッシュ値を含むデータ群に基づいて、結合ハッシュ値算出装置１９１が末尾画像データに対応する結合ハッシュ値を算出し、出力データ記録装置２１０が記録媒体８２０に記録するので、記録媒体８２０に記録された結合ハッシュ値を検証すれば、末尾画像データがカットされているか否かを判定することができるという効果を奏する。

この実施の形態における再生装置３００（検証装置）は、更に、検証第三データ取得装置（記録メタデータ取得装置３２５）を有することを特徴とする。
上記検証第三データ取得装置（記録メタデータ取得装置３２５）は、検証第三データ（記録メタデータ）を取得することを特徴とする。
上記検証結合ハッシュ値算出装置３５６は、上記記録第一データ取得装置（記録画像データ取得装置３２１）が取得した複数の記録第一データ（記録画像データ）のうちの最後の記録第一データ（記録画像データ）に対応する検証結合ハッシュ値として、上記第三データ取得装置（記録メタデータ取得装置３２５）が取得した検証第三データ（記録メタデータ）を更に含む上記第三データ群に基づいて、ハッシュ値（鍵付きハッシュ値）を算出することを特徴とする。

この実施の形態における再生装置３００（検証装置）によれば、結合ハッシュ値検証装置３６６が、第三データ（メタデータ）を含むデータ群に基づいて算出された最後の結合ハッシュ値を比較して検証するので、最後の記録第一データ（記録画像データ）が削除された場合に、改竄を検出することができるという効果を奏する。

上記検証結合ハッシュ値算出装置３５６は、上記記録画像データ取得装置３２１が取得した最後の記録画像データに対応する検証結合ハッシュ値として、上記検証メタハッシュ値算出装置３５５が算出した検証メタハッシュ値を更に含む上記第三データ群に基づいて、ハッシュ値（鍵付きハッシュ値）を算出することを特徴とする。

この実施の形態における再生装置３００（検証装置）によれば、結合ハッシュ値検証装置３６６が、メタハッシュ値を含むデータ群に基づいて算出された最後の結合ハッシュ値を比較して検証するので、最後の記録画像データが削除された場合に、改竄を検出することができるという効果を奏する。

このように、記録媒体８２０に記録された最後の画像データに対応する結合ハッシュ値を、先頭画像データに対応する結合ハッシュ値やメタデータなど、他の結合ハッシュ値とは異なるデータ（第三データ）を含むデータ群に基づいて算出することにより、記録媒体８２０に記録された最後の画像データが、ドライブレコーダ装置１００が記録媒体８２０に記録した最後の画像データであるか否かを検証することができる。

なお、記録メタデータ取得装置３２５が取得したメタデータの内容を検証することにより、記録データの改竄を検出することもできる。例えば、記録データに含まれる記録画像データの数を、メタデータから取得し、記録画像データ取得装置３２１が取得した記録画像データの数と比較することにより、記録画像データの追加や削除を検出できる。

以上説明したドライブレコーダ装置１００（記録装置）は、データの最後尾を示すメタデータを保持し、当該メタデータのハッシュも取得して管理する。
画像の１秒毎の取得枚数、ハッシュデータ付与管理、発生したイベントに対する前後の記録時間などが記録されるメタデータにハッシュをかけ、ハッシュ管理単位の最後に得られるハッシュ値とハッシュをかけることにより、メタデータと取得データを含めた結合ハッシュ値６７９を得る。これらのハッシュデータは記録媒体８２０（ストレージ）に格納される。
再生時には、生成時と同じ手順、共通鍵をもってハッシュデータを生成し、メタデータのハッシュ値を含め、同一かどうかを検証する。
更に、メタデータに含まれている情報（画像の１秒毎の取得枚数、ハッシュデータ付与管理、発生したイベントに対する前後の記録時間など）からデータの末尾を検証し、ハッシュ値が同一で、メタデータからデータの末尾が一致したならば、証拠性のあるデータとして、ハッシュ値ごとの同期時間に合わせて、画像、音声、センサデータを再生する。

実施の形態５．
実施の形態５について、図２１〜図２５を用いて説明する。
この実施の形態におけるドライブレコーダシステム８００の全体構成は、実施の形態１で説明したものと同様なので、ここでは説明を省略する。

図２１は、この実施の形態におけるドライブレコーダ装置１００の機能ブロックの構成の一例を示すブロック構成図である。
なお、実施の形態１で説明したドライブレコーダ装置１００と共通する部分については、同一の符号を付し、ここでは説明を省略する。

出力データ生成装置１５０は、更に、末尾ハッシュ値算出装置１９３を有する。
末尾ハッシュ値算出装置１９３は、結合ハッシュ値算出装置１９１が算出した結合ハッシュ値のうち末尾画像データに対応する結合ハッシュ値に基づいて、末尾ハッシュ値を算出する。末尾ハッシュ値算出装置１９３は、記録鍵記憶装置１７２が記憶した共通鍵と、結合ハッシュ値記憶装置１９２が記憶した末尾画像データに対応する結合ハッシュ値とを含むデータ群に基づいて、鍵付きハッシュ値を算出して、末尾ハッシュ値とする。

出力データ記録装置２１０は、更に、末尾ハッシュ値算出装置１９３が算出した末尾ハッシュ値を記録媒体８２０に記録する。

図２２は、この実施の形態におけるドライブレコーダ装置１００が出力データを生成・記録する出力データ生成記録処理の流れの一例を示すフローチャート図（部分）である。
なお、実施の形態１で説明した出力データ生成記録処理と共通する部分については、同一の符号を付し、ここでは説明を省略する。また、センサハッシュ値算出工程Ｓ４３以前については、実施の形態で図６を用いて説明したものと同様なので、省略している。

末尾ハッシュ値算出工程Ｓ６８において、末尾ハッシュ値算出装置１９３は、記録鍵記憶工程Ｓ３４で記録鍵記憶装置１７２が記憶した共通鍵と、結合ハッシュ値記憶工程Ｓ５７で結合ハッシュ値記憶装置１９２が記憶した（末尾画像データに対応する）結合ハッシュ値とに基づいて、末尾ハッシュ値を算出する。

末尾データ記録工程Ｓ７１において、出力データ記録装置２１０は、末尾ハッシュ値算出工程Ｓ６８で末尾ハッシュ値算出装置１９３が算出した末尾ハッシュ値を記録媒体８２０に記録する。

図２３は、この実施の形態における出力データ生成装置１５０が生成するデータの構造の一例を示す模式図である。
なお、実施の形態１で説明したデータ構造と共通する部分については、同一の符号を付し、ここでは説明を省略する。

末尾画像データ６１９に対応する結合ハッシュ値６７９は、共通鍵７０１と、画像ハッシュ値６４９と、音声ハッシュ値６５９と、センサハッシュ値６６９と、一つ前の結合ハッシュ値（図示せず）とに基づいて結合ハッシュ値算出装置１９１が算出したハッシュ値である。これは、先頭画像データ６１１以外の出力画像データに対応する結合ハッシュ値と同じなので、結合ハッシュ値を検証しただけでは、どこが最後か判別できない。

末尾ハッシュ値７０４は、共通鍵７０１と、結合ハッシュ値６７９とに基づいて末尾ハッシュ値算出装置１９３が算出したハッシュ値である。したがって、末尾ハッシュ値を検証すれば、記録媒体８２０に記録された最後の画像データが、出力データ記録装置２１０が記録媒体８２０に記録した末尾画像データであるか否かを判定することができる。

図２４は、この実施の形態における再生装置３００の機能ブロックの構成の一例を示すブロック構成図である。
なお、実施の形態１で説明した再生装置３００と共通する部分については、同一の符号を付し、ここでは説明を省略する。

記録データ取得装置３１０は、更に、記録末尾ハッシュ値取得装置３３８を有する。
記録末尾ハッシュ値取得装置３３８は、記録データ読出装置３１１が記録媒体８２０から読み出した記録データから、末尾ハッシュ値を取得して、記録末尾ハッシュ値とする。

記録データ検証装置３４０は、更に、検証末尾ハッシュ値算出装置３５８、末尾ハッシュ値検証装置３６８を有する。
検証末尾ハッシュ値算出装置３５８は、検証鍵記憶装置３４１が記憶した共通鍵と、検証結合ハッシュ値記憶装置３５７が記憶した（最後の記録画像データに対応する）結合ハッシュ値とを含むデータ群に基づいて、鍵付きハッシュ値を算出して、検証末尾ハッシュ値とする。検証末尾ハッシュ値算出装置３５８が検証末尾ハッシュ値を算出する方式は、ドライブレコーダ装置１００の末尾ハッシュ値算出装置１９３が末尾ハッシュ値を算出する方式と同一である。

末尾ハッシュ値検証装置３６８は、記録末尾ハッシュ値取得装置３３８が取得した記録末尾ハッシュ値と、検証末尾ハッシュ値算出装置３５８が算出した検証末尾ハッシュ値とを比較することにより、記録媒体８２０に記録された記録データの最後が改竄されているか否かを判定する。末尾ハッシュ値検証装置３６８は、検証末尾ハッシュ値と記録末尾ハッシュ値とが一致しない場合に、記録データが改竄されていると判定する。

判定装置３７１は、更に、末尾ハッシュ値検証装置３６８の判定結果も総合して、記録データが改竄されているか否かを判定する。すなわち、記録データが改竄されていると末尾ハッシュ値検証装置３６８が判定した場合、判定装置３７１は記録データが改竄されていると判定し、画像ハッシュ値検証装置３６１、音声ハッシュ値検証装置３６３、センサハッシュ値検証装置３６４、結合ハッシュ値検証装置３６６、末尾ハッシュ値検証装置３６８のすべてが、記録データが改竄されていると判定しなかった場合に、判定装置３７１は記録データが改竄されていないと判定する。

図２５は、この実施の形態における再生装置３００が記録データを検証する記録データ検証処理の流れの一例を示すフローチャート図（部分）である。
なお、実施の形態１で説明した記録データ検証処理と共通する部分については、同一の符号を付し、ここでは説明を省略する。また、終了判定工程Ｔ５１以前及び検証成功工程Ｔ７１及び検証失敗工程Ｔ７２は、実施の形態１で図１０及び図１１を用いて説明したものと同様なので、省略している。

記録末尾ハッシュ値取得工程Ｔ６１において、記録末尾ハッシュ値取得装置３３８は、記録データ読出装置３１１が記録媒体８２０から読み出した記録データから、記録末尾ハッシュ値を取得する。
検証末尾ハッシュ値算出工程Ｔ６２において、検証末尾ハッシュ値算出装置３５８は、
検証鍵記憶工程Ｔ１２で検証鍵記憶装置３４１が記憶した共通鍵と、検証結合ハッシュ値記憶工程Ｔ４２で検証結合ハッシュ値記憶装置３５７が記憶した（最後の記録画像データに対応する）検証結合ハッシュ値とに基づいて、検証末尾ハッシュ値を算出する。
末尾ハッシュ値検証工程Ｔ６３において、末尾ハッシュ値検証装置３６８は、記録末尾ハッシュ値取得工程Ｔ６１で記録末尾ハッシュ値取得装置３３８が取得した記録末尾ハッシュ値と、検証末尾ハッシュ値算出工程Ｔ６２で検証末尾ハッシュ値算出装置３５８が算出した検証末尾ハッシュ値とを比較する。
記録末尾ハッシュ値と検証末尾ハッシュ値とが一致した場合、検証成功工程Ｔ７１へ進む。
記録末尾ハッシュ値と検証末尾ハッシュ値とが一致しない場合、検証失敗工程Ｔ７２へ進む。

このように、末尾ハッシュ値として、最後の記録画像データに対応する検証結合ハッシュ値を含むデータ群に基づいて検証末尾ハッシュ値算出装置３５８が算出したハッシュ値を、末尾ハッシュ値検証装置３６８が記録末尾ハッシュ値と比較して検証するので、記録データの最後を改竄して最後の記録画像データを削除した場合、改竄を検出することができる。

この実施の形態におけるドライブレコーダ装置１００（記録装置）は、更に、末尾ハッシュ値算出装置１９３を有することを特徴とする。
上記末尾ハッシュ値算出装置１９３は、末尾ハッシュ値として、上記記録鍵記憶装置１７２が記憶した共通鍵と、上記結合ハッシュ値算出装置１９１が算出した結合ハッシュ値のうち上記出力第一データ取得装置（出力画像データ取得装置１６１）が取得した複数の出力第一データ（出力画像データ）のうちの最後の出力第一データ（末尾画像データ）に対応する結合ハッシュ値とを含む第二データ群に基づいて、ハッシュ値（鍵付きハッシュ値）を算出することを特徴とする。
上記出力データ記録装置２１０は、更に、上記末尾ハッシュ値算出装置１９３が算出した末尾ハッシュ値を上記記録媒体８２０に記録することを特徴とする。

この実施の形態におけるドライブレコーダ装置１００（記録装置）によれば、最後の出力第一データ（末尾画像データ）に対応する結合ハッシュ値を含むデータ群に基づいて、末尾ハッシュ値算出装置１９３が末尾ハッシュ値を算出し、出力データ記録装置２１０が記録媒体８２０に記録するので、記録媒体８２０に記録された末尾ハッシュ値を検証すれば、最後の出力第一データ（末尾画像データ）がカットされているか否かを判定することができるという効果を奏する。

この実施の形態における再生装置３００（検証装置）は、更に、記録末尾ハッシュ値取得装置３３８と、検証末尾ハッシュ値算出装置３５８と、末尾ハッシュ値検証装置３６８とを有することを特徴とする。
上記記録末尾ハッシュ値取得装置３３８は、上記記録媒体８２０に記録された記録データから、記録末尾ハッシュ値を取得することを特徴とする。
上記検証末尾ハッシュ値算出装置３５８は、検証末尾ハッシュ値として、上記検証鍵記憶装置３４１が記憶した共通鍵と、上記検証結合ハッシュ値算出装置３５６が算出した検証結合ハッシュ値のうち上記記録第一データ取得装置（記録画像データ取得装置３２１）が取得した複数の記録第一データ（記録画像データ）のうちの最後の記録第一データ（記録画像データ）に対応する検証結合ハッシュ値とを含む第四データ群に基づいて、ハッシュ値（鍵付きハッシュ値）を算出することを特徴とする。
上記末尾ハッシュ値検証装置３６８は、上記記録末尾ハッシュ値取得装置３３８が取得した記録末尾ハッシュ値と、上記検証末尾ハッシュ値算出装置３５８が算出した検証末尾ハッシュ値とを比較して、一致しない場合に、上記記録媒体８２０に記録された記録データが改竄されていると判定することを特徴とする。

この実施の形態における再生装置３００（検証装置）によれば、末尾ハッシュ値検証装置３６８が、最後の結合ハッシュ値を含むデータ群に基づいて算出された末尾ハッシュ値を比較して検証するので、最後の記録第一データ（記録画像データ）が削除された場合に、改竄を検出することができるという効果を奏する。

実施の形態６．
実施の形態６について、図２６〜図２８を用いて説明する。

この実施の形態におけるドライブレコーダシステム８００のシステム構成、ドライブレコーダ装置１００のブロック構成、再生装置３００のブロック構成は、実施の形態５で説明したものと同様なので、ここでは説明を省略する。

まず、ドライブレコーダ装置１００（記録装置）について説明する。

結合ハッシュ値記憶装置１９２（第三データ取得装置）は、実施の形態３と同様、一つ前の出力画像データに対応する結合ハッシュ値と、先頭画像データに対応する結合ハッシュ値（第三データ）との２つの結合ハッシュ値を記憶する。

末尾ハッシュ値算出装置１９３は、記録鍵記憶装置１７２が記憶した共通鍵と、結合ハッシュ値記憶装置１９２が記憶した（末尾画像データに対応する）結合ハッシュ値と、結合ハッシュ値記憶装置１９２が記憶した（先頭画像データに対応する）結合ハッシュ値とを含むデータ群に基づいて、鍵付きハッシュ値を算出して、末尾ハッシュ値とする。

図２６は、この実施の形態におけるドライブレコーダ装置１００が出力データを生成・記録する出力データ生成記録処理の流れの一例を示すフローチャート図（部分）である。
なお、実施の形態１で説明した出力データ生成記録処理と共通する部分については、同一の符号を付し、ここでは説明を省略する。また、センサハッシュ値算出工程Ｓ４３以前については、実施の形態１で図６を用いて説明したものと同様なので、省略している。

末尾ハッシュ値算出工程Ｓ６８において、末尾ハッシュ値算出装置１９３は、記録鍵記憶工程Ｓ３４で記録鍵記憶装置１７２が記憶した共通鍵と、結合ハッシュ値記憶工程Ｓ５７で結合ハッシュ値記憶装置１９２が記憶した一つ前の結合ハッシュ値と、結合ハッシュ値記憶工程Ｓ５７で結合ハッシュ値記憶装置１９２が記憶した先頭画像データに対応する結合ハッシュ値とに基づいて、末尾ハッシュ値を算出する。

末尾データ記録工程Ｓ７１において、出力データ記録装置２１０は、末尾ハッシュ値算出工程Ｓ６８で末尾ハッシュ値算出装置１９３が算出した末尾ハッシュ値を記録媒体８２０に記録する。

図２７は、この実施の形態における出力データ生成装置１５０が生成するデータの構造の一例を示す模式図である。
なお、実施の形態１〜実施の形態５で説明したデータ構造と共通する部分については、同一の符号を付し、ここでは説明を省略する。

末尾ハッシュ値７０４は、共通鍵７０１と、末尾画像データ６１９に対応する結合ハッシュ値６７９と、先頭画像データ６１１に対応する結合ハッシュ値６７１とを含むデータ群に基づいて末尾ハッシュ値算出装置１９３が算出したハッシュ値である。したがって、末尾ハッシュ値を検証すれば、記録媒体８２０に記録された最初の画像データ及び最後の画像データが、出力データ記録装置２１０が記録媒体８２０に記録した先頭画像データ及び末尾画像データであるか否かを判定することができる。

次に、再生装置３００（検証装置）について説明する。

検証結合ハッシュ値記憶装置３５７（検証第三データ取得装置）は、実施の形態３と同様、一つ前の記録画像データに対応する検証結合ハッシュ値と、最初の記録画像データに対応する検証結合ハッシュ値（検証第三データ）との２つの検証結合ハッシュ値を記憶する。

検証末尾ハッシュ値算出装置３５８は、検証鍵記憶装置３４１が記憶した共通鍵と、検証結合ハッシュ値記憶装置３５７が記憶した（最後の記録画像データに対応する）検証結合ハッシュ値と、検証結合ハッシュ値記憶装置３５７が記憶した（最初の記録画像データに対応する）検証結合ハッシュ値とを含むデータ群に基づいて、鍵付きハッシュ値を算出して、検証末尾ハッシュ値とする。

図２８は、この実施の形態における再生装置３００が記録データを検証する記録データ検証処理の流れの一例を示すフローチャート図（部分）である。
なお、実施の形態１で説明した記録データ検証処理と共通する部分については、同一の符号を付し、ここでは説明を省略する。また、終了判定工程Ｔ５１以前及び検証成功工程Ｔ７１及び検証失敗工程Ｔ７２は、実施の形態１で図１０及び図１１を用いて説明したものと同様なので、省略している。

記録末尾ハッシュ値取得工程Ｔ６１において、記録末尾ハッシュ値取得装置３３８は、記録データ読出装置３１１が記録媒体８２０から読み出した記録データから、記録末尾ハッシュ値を取得する。
検証末尾ハッシュ値算出工程Ｔ６２において、検証末尾ハッシュ値算出装置３５８は、
検証鍵記憶工程Ｔ１２で検証鍵記憶装置３４１が記憶した共通鍵と、検証結合ハッシュ値記憶工程Ｔ４２で検証結合ハッシュ値記憶装置３５７が記憶した（最後の記録画像データに対応する）検証結合ハッシュ値と、検証結合ハッシュ値記憶工程Ｔ４２で検証結合ハッシュ値記憶装置３５７が記憶した（最初の記録画像データに対応する）検証結合ハッシュ値とに基づいて、検証末尾ハッシュ値を算出する。
末尾ハッシュ値検証工程Ｔ６３において、末尾ハッシュ値検証装置３６８は、記録末尾ハッシュ値取得工程Ｔ６１で記録末尾ハッシュ値取得装置３３８が取得した記録末尾ハッシュ値と、検証末尾ハッシュ値算出工程Ｔ６２で検証末尾ハッシュ値算出装置３５８が算出した検証末尾ハッシュ値とを比較する。
記録末尾ハッシュ値と検証末尾ハッシュ値とが一致した場合、検証成功工程Ｔ７１へ進む。
記録末尾ハッシュ値と検証末尾ハッシュ値とが一致しない場合、検証失敗工程Ｔ７２へ進む。

このように、末尾ハッシュ値として、最後の記録画像データに対応する検証結合ハッシュ値と、最初の記録画像データに対応する検証結合ハッシュ値とを含むデータ群に基づいて検証末尾ハッシュ値算出装置３５８が算出したハッシュ値を、末尾ハッシュ値検証装置３６８が記録末尾ハッシュ値と比較して検証するので、記録データの最初や最後を改竄して最初の記録画像データや最後の記録画像データを削除した場合、改竄を検出することができる。

なお、実施の形態３と同様、末尾ハッシュ値算出装置１９３が末尾ハッシュ値を算出するもととなるデータ群は、先頭画像データに対応する結合ハッシュ値ではなく、最初から２番目の出力画像データに対応する結合ハッシュ値を含んでもよいし、一般に最初からｎ番目（ｎは自然数。）の出力画像データに対応する結合ハッシュ値を含んでもよい。末尾ハッシュ値検証装置３６８も同じく最初からｎ番目の記録画像データに対応する検証結合ハッシュ値を含むデータ群に基づいて検証末尾ハッシュ値を算出すれば、記録データの最初を検証することができる。

また、末尾ハッシュ値算出装置１９３が末尾ハッシュ値を算出するもととなるデータ群は、末尾画像データに対応する結合ハッシュ値ではなく、最後から２番目の出力画像データに対応する結合ハッシュ値を含んでもよいし、一般に最後からｍ番目（ｍは自然数。）の出力画像データに対応する結合ハッシュ値を含んでもよい。その場合でも、同様に記録データの最後を検証することができる。

この実施の形態におけるドライブレコーダ装置１００（記録装置）は、更に、第三データ取得装置（結合ハッシュ値記憶装置１９２）を有することを特徴とする。
上記第三データ取得装置（結合ハッシュ値記憶装置１９２）は、第三データ（先頭画像データに対応する結合ハッシュ値）を取得することを特徴とする。
上記末尾ハッシュ値算出装置１９３は、上記末尾ハッシュ値として、上記第三データ取得装置（結合ハッシュ値記憶装置１９２）が取得した第三データ（先頭画像データに対応する結合ハッシュ値）を更に含む上記第二データ群に基づいて、ハッシュ値（鍵付きハッシュ値）を算出することを特徴とする。

この実施の形態におけるドライブレコーダ装置１００（記録装置）によれば、第三データ（先頭画像データに対応する結合ハッシュ値）と、最後の出力第一データ（末尾画像データ）に対応する結合ハッシュ値とを含むデータ群に基づいて、末尾ハッシュ値算出装置１９３が末尾ハッシュ値を算出し、出力データ記録装置２１０が記録媒体８２０に記録するので、記録媒体８２０に記録された末尾ハッシュ値を検証すれば、最後の出力第一データ（末尾画像データ）がカットされているか否かを判定することができるという効果を奏する。

この実施の形態における第三データ取得装置（結合ハッシュ値記憶装置１９２）は、上記第三データとして、上記出力第一データ取得装置（出力画像データ取得装置１６１）が取得した複数の出力第一データ（出力画像データ）のうち最初から数えて所定の位置（例えば１番目）にあたる出力第一データ（出力画像データ）に対応する結合ハッシュ値を、上記結合ハッシュ値算出装置１９１が算出した結合ハッシュ値から取得することを特徴とする。

この実施の形態におけるドライブレコーダ装置１００（記録装置）によれば、最初から数えて所定の位置にあたる出力第一データ（出力画像データ）に対応する結合ハッシュ値と、最後の出力第一データ（末尾画像データ）に対応する結合ハッシュ値とを含むデータ群に基づいて、末尾ハッシュ値算出装置１９３が末尾ハッシュ値を算出し、出力データ記録装置２１０が記録媒体８２０に記録するので、記録媒体８２０に記録された末尾ハッシュ値を検証すれば、最初の出力第一データ（先頭画像データ）及び最後の出力第一データ（末尾画像データ）がカットされているか否かを判定することができるという効果を奏する。

この実施の形態における再生装置３００（検証装置）は、更に、検証第三データ取得装置（検証結合ハッシュ値記憶装置３５７）を有することを特徴とする。
上記検証第三データ取得装置（検証結合ハッシュ値記憶装置３５７）は、検証第三データ（最初の記録画像データに対応する検証結合ハッシュ値）を取得することを特徴とする。
上記検証末尾ハッシュ値算出装置３５８は、検証末尾ハッシュ値として、上記第三データ取得装置（検証結合ハッシュ値記憶装置３５７）が取得した検証第三データ（最初の記録画像データに対応する検証結合ハッシュ値）を更に含む上記第三データ群に基づいて、ハッシュ値（鍵付きハッシュ値）を算出することを特徴とする。

この実施の形態における再生装置３００（検証装置）によれば、末尾ハッシュ値検証装置３６８が、第三データ（先頭画像データに対応する結合ハッシュ値）と、最後の第一データ（末尾画像データ）に対応する結合ハッシュ値とを含むデータ群に基づいて算出された末尾ハッシュ値を比較して検証するので、最後の記録第一データ（記録画像データ）が削除された場合に、改竄を検出することができるという効果を奏する。

この実施の形態における検証第三データ取得装置（検証結合ハッシュ値記憶装置３５７）は、上記検証第三データとして、上記記録第一データ取得装置（記録画像データ取得装置３２１）が取得した複数の記録第一データ（記録画像データ）のううち最初から数えて所定の位置（例えば１番目）にあたる記録第一データ（記録画像データ）に対応する検証結合ハッシュ値を、上記検証結合ハッシュ値算出装置３５６が算出した結合ハッシュ値から取得することを特徴とする。

この実施の形態における再生装置３００（検証装置）によれば、結合ハッシュ値検証装置３６６が、最初から数えて所定の位置にあたる結合ハッシュ値と、最後の結合ハッシュ値とを含むデータ群に基づいて算出された末尾ハッシュ値を比較して検証するので、最初の記録第一データ（記録画像データ）及び最後の記録第一データ（記録画像データ）が削除された場合に、改竄を検出することができるという効果を奏する。

実施の形態７．
実施の形態７について、図２９〜図３３を用いて説明する。
この実施の形態におけるドライブレコーダシステム８００の全体構成は、実施の形態１で説明したものと同様なので、ここでは説明を省略する。

図２９は、この実施の形態におけるドライブレコーダ装置１００の機能ブロックの構成の一例を示すブロック構成図である。
なお、実施の形態１〜実施の形態６で説明したドライブレコーダ装置１００と共通する部分については、同一の符号を付し、ここでは説明を省略する。

出力データ生成装置１５０は、更に、メタデータ生成装置１６５（第三データ取得装置）、メタハッシュ値算出装置１８５、末尾ハッシュ値算出装置１９３を有する。
末尾ハッシュ値算出装置１９３は、記録鍵記憶装置１７２が記憶した共通鍵と、結合ハッシュ値記憶装置１９２が記憶した末尾画像データに対応する結合ハッシュ値と、メタハッシュ値算出装置１８５が算出したメタハッシュ値とを含むデータ群に基づいて、鍵付きハッシュ値を算出して、末尾ハッシュ値とする。

出力データ記録装置２１０は、更に、末尾ハッシュ値算出装置１９３が算出した末尾ハッシュ値を記録媒体８２０に記録する。

図３０は、この実施の形態におけるドライブレコーダ装置１００が出力データを生成・記録する出力データ生成記録処理の流れの一例を示すフローチャート図（部分）である。
なお、実施の形態１で説明した出力データ生成記録処理と共通する部分については、同一の符号を付し、ここでは説明を省略する。また、センサハッシュ値算出工程Ｓ４３以前については、実施の形態で図６を用いて説明したものと同様なので、省略している。

メタデータ生成工程Ｓ６６において、メタデータ生成装置１６５は、メタデータを生成する。
メタハッシュ値算出工程Ｓ６７において、メタハッシュ値算出装置１８５は、検証鍵記憶工程Ｔ１２で記録鍵記憶装置１７２が記憶した共通鍵と、メタデータ生成工程Ｓ６６でメタデータ生成装置１６５が生成したメタデータとに基づいて、メタハッシュ値を算出する。
末尾ハッシュ値算出工程Ｓ６８において、末尾ハッシュ値算出装置１９３は、記録鍵記憶工程Ｓ３４で記録鍵記憶装置１７２が記憶した共通鍵と、結合ハッシュ値記憶工程Ｓ５７で結合ハッシュ値記憶装置１９２が記憶した（末尾画像データに対応する）結合ハッシュ値と、メタハッシュ値算出工程Ｓ６７でメタハッシュ値算出装置１８５が算出したメタハッシュ値とに基づいて、末尾ハッシュ値を算出する。
末尾データ記録工程Ｓ７１において、出力データ記録装置２１０は、メタデータ生成工程Ｓ６６でメタデータ生成装置１６５が生成したメタデータと、メタハッシュ値算出工程Ｓ６７でメタハッシュ値算出装置１８５が算出したメタハッシュ値と、末尾ハッシュ値算出工程Ｓ６８で末尾ハッシュ値算出装置１９３が算出した末尾ハッシュ値とを、記録媒体８２０に記録する。

図３１は、この実施の形態における出力データ生成装置１５０が生成するデータの構造の一例を示す模式図である。
なお、実施の形態１〜実施の形態６で説明したデータ構造と共通する部分については、同一の符号を付し、ここでは説明を省略する。

末尾ハッシュ値７０４は、共通鍵７０１と、末尾画像データ６１９に対応する結合ハッシュ値６７９と、メタハッシュ値７０３とに基づいて末尾ハッシュ値算出装置１９３が算出したハッシュ値である。したがって、末尾ハッシュ値を検証すれば、記録媒体８２０に記録された最後の画像データが、出力データ記録装置２１０が記録媒体８２０に記録した末尾画像データであるか否かを判定することができる。

図３２は、この実施の形態における再生装置３００の機能ブロックの構成の一例を示すブロック構成図である。
なお、実施の形態１〜実施の形態６で説明した再生装置３００と共通する部分については、同一の符号を付し、ここでは説明を省略する。

記録データ取得装置３１０は、更に、記録メタデータ取得装置３２５、記録メタハッシュ値取得装置３３５、記録末尾ハッシュ値取得装置３３８を有する。
記録データ検証装置３４０は、更に、検証メタハッシュ値算出装置３５５、メタハッシュ値検証装置３６５、検証末尾ハッシュ値算出装置３５８、末尾ハッシュ値検証装置３６８を有する。
検証末尾ハッシュ値算出装置３５８は、検証鍵記憶装置３４１が記憶した共通鍵と、検証結合ハッシュ値記憶装置３５７が記憶した（最後の記録画像データに対応する）検証結合ハッシュ値と、検証メタハッシュ値算出装置３５５が算出した検証メタハッシュ値とを含むデータ群に基づいて、鍵付きハッシュ値を算出して、検証末尾ハッシュ値とする。

図３３は、この実施の形態における再生装置３００が記録データを検証する記録データ検証処理の流れの一例を示すフローチャート図（部分）である。
なお、実施の形態１で説明した記録データ検証処理と共通する部分については、同一の符号を付し、ここでは説明を省略する。また、終了判定工程Ｔ５１以前及び検証成功工程Ｔ７１及び検証失敗工程Ｔ７２は、実施の形態１で図１０及び図１１を用いて説明したものと同様なので、省略している。

記録メタデータ取得工程Ｔ５６において、記録メタデータ取得装置３２５は、記録データ読出装置３１１が記録媒体８２０から読み出した記録データから、記録メタデータを取得する。
記録メタハッシュ値取得工程Ｔ５７において、記録メタハッシュ値取得装置３３５は、記録データ読出装置３１１が記録媒体８２０から読み出した記録データから、記録メタハッシュ値を取得する。
検証メタハッシュ値算出工程Ｔ５８において、検証メタハッシュ値算出装置３５５は、検証鍵記憶工程Ｔ１２で検証鍵記憶装置３４１が記憶した共通鍵と、記録メタデータ取得工程Ｔ５６で記録メタデータ取得装置３２５が取得した記録メタデータとに基づいて、検証メタハッシュ値を算出する。
メタハッシュ値検証工程Ｔ５９において、メタハッシュ値検証装置３６５は、記録メタハッシュ値取得工程Ｔ５７で記録メタハッシュ値取得装置３３５が取得した記録メタハッシュ値と、検証メタハッシュ値算出工程Ｔ５８で検証メタハッシュ値算出装置３５５が算出した検証メタハッシュ値とを比較する。
記録メタハッシュ値と検証メタハッシュ値とが一致した場合、記録末尾ハッシュ値取得工程Ｔ６１へ進む。
記録メタハッシュ値と検証メタハッシュ値とが一致しない場合、検証失敗工程Ｔ７２へ進む。

記録末尾ハッシュ値取得工程Ｔ６１において、記録末尾ハッシュ値取得装置３３８は、記録データ読出装置３１１が記録媒体８２０から読み出した記録データから、記録末尾ハッシュ値を取得する。
検証末尾ハッシュ値算出工程Ｔ６２において、検証末尾ハッシュ値算出装置３５８は、検証鍵記憶工程Ｔ１２で検証鍵記憶装置３４１が記憶した共通鍵と、検証結合ハッシュ値記憶工程Ｔ４２で検証結合ハッシュ値記憶装置３５７が記憶した（最後の記録画像データに対応する）検証結合ハッシュ値と、検証メタハッシュ値算出工程Ｔ５８で検証メタハッシュ値算出装置３５５が算出したメタハッシュ値とに基づいて、検証末尾ハッシュ値を算出する。
末尾ハッシュ値検証工程Ｔ６３において、末尾ハッシュ値検証装置３６８は、記録末尾ハッシュ値取得工程Ｔ６１で記録末尾ハッシュ値取得装置３３８が取得した記録末尾ハッシュ値と、検証末尾ハッシュ値算出工程Ｔ６２で検証末尾ハッシュ値算出装置３５８が算出した検証末尾ハッシュ値とを比較する。
記録末尾ハッシュ値と検証末尾ハッシュ値とが一致した場合、検証成功工程Ｔ７１へ進む。
記録末尾ハッシュ値と検証末尾ハッシュ値とが一致しない場合、検証失敗工程Ｔ７２へ進む。

このように、末尾ハッシュ値として、最後の記録画像データに対応する検証結合ハッシュ値を含むデータ群に基づいて検証末尾ハッシュ値算出装置３５８が算出したハッシュ値を、末尾ハッシュ値検証装置３６８が記録末尾ハッシュ値と比較して検証するので、記録データの最後を改竄して最後の記録画像データを削除した場合、改竄を検出することができる。

この実施の形態におけるドライブレコーダ装置１００（記録装置）は、更に、第三データ取得装置（メタデータ生成装置１６５）を有することを特徴とする。
上記第三データ取得装置（メタデータ生成装置１６５）は、第三データ（メタデータ）を取得することを特徴とする。
上記末尾ハッシュ値算出装置１９３は、上記末尾ハッシュ値として、上記第三データ取得装置（メタデータ生成装置１６５）が取得した第三データ（メタデータ）を更に含む上記第二データ群に基づいて、ハッシュ値（鍵付きハッシュ値）を算出することを特徴とする。

この実施の形態におけるドライブレコーダ装置１００（記録装置）によれば、第三データ（メタデータ）と、最後の出力第一データ（末尾画像データ）に対応する結合ハッシュ値とを含むデータ群に基づいて、末尾ハッシュ値算出装置１９３が末尾ハッシュ値を算出し、出力データ記録装置２１０が記録媒体８２０に記録するので、記録媒体８２０に記録された末尾ハッシュ値を検証すれば、最後の出力第一データ（末尾画像データ）がカットされているか否かを判定することができるという効果を奏する。

この実施の形態におけるドライブレコーダ装置１００（記録装置）は、更に、末尾ハッシュ値算出装置１９３を有することを特徴とする。
上記末尾ハッシュ値算出装置１９３は、末尾ハッシュ値として、上記記録鍵記憶装置１７２が記憶した共通鍵と、上記出力画像データ取得装置１６１が取得した末尾画像データに対応する結合ハッシュ値と、上記メタハッシュ値算出装置１８５が算出したメタハッシュ値とを含む第二データ群に基づいて、ハッシュ値（鍵付きハッシュ値）を算出することを特徴とする。
上記出力データ記録装置２１０は、更に、上記末尾ハッシュ値算出装置１９３が算出した末尾ハッシュ値を上記記録媒体８２０に記録することを特徴とする。

この実施の形態におけるドライブレコーダ装置１００（記録装置）によれば、メタハッシュ値と、末尾画像データに対応する結合ハッシュ値とを含むデータ群に基づいて、末尾ハッシュ値算出装置１９３が末尾ハッシュ値を算出し、出力データ記録装置２１０が記録媒体８２０に記録するので、記録媒体８２０に記録された末尾ハッシュ値を検証すれば、末尾画像データがカットされているか否かを判定することができるという効果を奏する。

この実施の形態における再生装置３００（検証装置）は、更に、検証第三データ取得装置（記録メタデータ取得装置３２５）を有することを特徴とする。
上記検証第三データ取得装置（記録メタデータ取得装置３２５）は、検証第三データ（記録メタデータ）を取得することを特徴とする。
上記検証末尾ハッシュ値算出装置３５８は、検証末尾ハッシュ値として、上記第三データ取得装置（記録メタデータ取得装置３２５）が取得した検証第三データ（記録メタデータ）を更に含む上記第三データ群に基づいて、ハッシュ値（鍵付きハッシュ値）を算出することを特徴とする。

この実施の形態における再生装置３００（検証装置）によれば、末尾ハッシュ値検証装置３６８が、第三データ（メタデータ）と、末尾画像データに対応する結合ハッシュ値とを含むデータ群に基づいて算出された末尾ハッシュ値を比較して検証するので、最後の記録第一データ（記録画像データ）が削除された場合に、改竄を検出することができるという効果を奏する。

実施の形態８．
実施の形態８について、図３４〜図３９を用いて説明する。
この実施の形態におけるドライブレコーダシステム８００の全体構成は、実施の形態１で説明したものと同様なので、ここでは説明を省略する。

実施の形態１〜実施の形態７では、イベント発生後に、出力データ記録装置２１０がデータを記録媒体８２０に記録する。
そのため、例えば衝突の衝撃によりドライブレコーダ装置１００が壊れてしまった場合、記録媒体８２０に記録を残すことができない。

この実施の形態では、たとえドライブレコーダ装置１００が壊れた場合でも、記録媒体８２０さえ無事なら記録が残るよう、常に記録媒体８２０にデータを記録する方式について説明する。
記録媒体８２０の記憶容量は有限であるから、記録媒体８２０には、所定の時間分のデータしか記録できない。そこで、ドライブレコーダ装置１００は、常に最新のデータを記録媒体８２０に記録するとともに、所定の時間より古いデータは消去していく。すなわち、ドライブレコーダ装置１００は、記録媒体８２０をリングバッファとして、記録媒体８２０に記録された一番古いデータに上書きして、最新のデータを記録する。

図３４は、この実施の形態におけるドライブレコーダ装置１００の機能ブロックの構成の一例を示すブロック構成図である。
なお、実施の形態１〜実施の形態６で説明したドライブレコーダ装置１００と共通する部分については、同一の符号を付し、ここでは説明を省略する。

出力データ生成装置１５０は、更に、末尾ハッシュ値算出装置１９３、先頭ハッシュ値取得装置１９４を有する。

画像ハッシュ値算出装置１８１（第一ハッシュ値算出装置）は、画像データ生成装置１２１（出力第一データ取得装置）が生成した画像データ（出力第一データ）に基づいて、画像ハッシュ値を算出する。画像ハッシュ値算出装置１８１は、記録鍵記憶装置１７２が記憶した共通鍵と、画像データ生成装置１２１が生成した画像データとを含むデータ群に基づいて、鍵付きハッシュ値を算出して、画像ハッシュ値とする。
音声ハッシュ値算出装置１８３は、音声データ生成装置１２３（出力第二データ取得装置）が生成した音声データ（出力第二データ）に基づいて、音声ハッシュ値を算出する。音声ハッシュ値算出装置１８３は、記録鍵記憶装置１７２が記憶した共通鍵と、音声データ生成装置１２３が生成した音声データとを含むデータ群に基づいて、鍵付きハッシュ値を算出して、音声ハッシュ値とする。
センサハッシュ値算出装置１８４は、センサデータ生成装置１２４（出力第二データ取得装置）が生成したセンサデータ（出力第二データ）に基づいて、センサハッシュ値を算出する。センサハッシュ値算出装置１８４は、記録鍵記憶装置１７２が記録した共通鍵と、センサデータ生成装置１２４が生成したセンサデータとを含むデータ群に基づいて、鍵付きハッシュ値を算出して、センサハッシュ値とする。

結合ハッシュ値算出装置１９１は、記録鍵記憶装置１７２が記憶した共通鍵と、画像ハッシュ値算出装置１８１が算出した画像ハッシュ値と、音声ハッシュ値算出装置１８３が算出した音声ハッシュ値と、センサハッシュ値算出装置１８４が算出したセンサハッシュ値と、結合ハッシュ値記憶装置１９２が記憶した一つ前の結合ハッシュ値とを含むデータ群に基づいて、鍵付きハッシュ値を算出して、結合ハッシュ値とする。
結合ハッシュ値算出装置１９１は、先頭であるか否かを区別せず、常に結合ハッシュ値記憶装置１９２が記憶した結合ハッシュ値を含むデータ群に基づいて、結合ハッシュ値を算出する。

先頭ハッシュ値取得装置１９４（第三データ取得装置）は、記録媒体８２０に記録された画像データのうち一番古い画像データに対応する結合ハッシュ値（第三データ）を取得して、先頭ハッシュ値とする。先頭ハッシュ値取得装置１９４は、記録媒体８２０に記録されたデータから先頭ハッシュ値を取得してもよいし、結合ハッシュ値記憶装置１９２が、古い結合ハッシュ値も記憶しておき、先頭ハッシュ値取得装置１９４は、結合ハッシュ値記憶装置１９２が記憶した古い結合ハッシュ値から先頭ハッシュ値を取得してもよい。

末尾ハッシュ値算出装置１９３は、記録鍵記憶装置１７２が記憶した共通鍵と、結合ハッシュ値算出装置１９１が算出した結合ハッシュ値と、先頭ハッシュ値取得装置１９４が取得した先頭ハッシュ値とを含むデータ群に基づいて、鍵付きハッシュ値を算出して、末尾ハッシュ値とする。

出力データ記録装置２１０は、画像データ生成装置１２１が生成した画像データを記録媒体８２０に記録する。出力データ記録装置２１０は、画像データ生成装置１２１が生成した画像データに対応するデータとして、音声データ生成装置１２３が生成した音声データと、センサデータ生成装置１２４が生成したセンサデータと、画像ハッシュ値算出装置１８１が算出した画像ハッシュ値と、音声ハッシュ値算出装置１８３が算出した音声ハッシュ値と、センサハッシュ値算出装置１８４が算出したセンサハッシュ値と、結合ハッシュ値算出装置１９１が算出した結合ハッシュ値とを記録媒体８２０に記録する。既に記録媒体８２０に記録したデータと合わせて、記録媒体８２０に記録できる数の上限を超える場合、出力データ記録装置２１０は、記録媒体８２０に記録したデータのうち、一番古いデータに上書きして、画像データ及びそれに対応するデータを記録する。
また、出力データ記録装置２１０は、先頭ハッシュ値取得装置１９４が取得した先頭ハッシュ値と、末尾ハッシュ値算出装置１９３が算出した末尾ハッシュ値とを、記録媒体８２０に記録する。先頭ハッシュ値及び末尾ハッシュ値は、記録媒体８２０に記録された現在の状態におけるデータを検証するために用いられるものであり、記録媒体８２０には、先頭ハッシュ値及び末尾ハッシュ値が、１つずつ記録されていればよい。出力データ記録装置２１０は、古い先頭ハッシュ値及び末尾ハッシュ値に上書きして、新しい先頭ハッシュ値及び末尾ハッシュ値を記録する。

出力データ記録装置２１０は、イベント検出装置１４０がイベントを検出した場合、イベント検出装置１４０が検出したイベントの発生時刻から所定の時間が経過するのを待ち、その後、記録媒体８２０へのデータの記録を中止する。これにより、イベント発生前後の記録が記録媒体８２０に残る。

衝突の衝撃などにより、ドライブレコーダ装置１００が故障して動作しなくなった場合も、記録媒体８２０へのデータの記録は中止される。これにより、ドライブレコーダ装置１００が壊れた場合でも、壊れる前の記録が記録媒体８２０に残る。

図３５は、この実施の形態におけるドライブレコーダ装置１００が画像などを常時記録する常時記録処理の流れの一例を示すフローチャート図（前半）である。
図３６は、この実施の形態におけるドライブレコーダ装置１００が画像などを常時記録する常時記録処理の流れの一例を示すフローチャート図（後半）である。
なお、実施の形態１〜実施の形態７で説明した常時記録処理および出力データ生成記録処理と共通する部分については、同一の符号を付し、ここでは説明を省略する。

記録鍵生成工程Ｓ０１において、記録鍵生成装置１７１は、共通鍵をランダムに生成する。
記録鍵記憶工程Ｓ０２において、記録鍵記憶装置１７２は、記録鍵生成工程Ｓ０１で記録鍵生成装置１７１が生成した共通鍵を記憶する。
記録鍵記録工程Ｓ０３において、出力データ記録装置２１０は、記録鍵記憶工程Ｓ０２で記録鍵記憶装置１７２が記憶した共通鍵を、記録媒体８２０に記録する。

画像ハッシュ値算出工程Ｓ４１において、画像ハッシュ値算出装置１８１は、記録鍵記憶工程Ｓ０２で記録鍵記憶装置１７２が記憶した共通鍵と、単一フレーム画像データ生成工程Ｓ１６で画像データ生成装置１２１が生成した画像データとに基づいて、画像ハッシュ値を算出する。
検証結合ハッシュ値記憶工程Ｔ４２において、音声ハッシュ値算出装置１８３は、記録鍵記憶工程Ｓ０２で記録鍵記憶装置１７２が記憶した共通鍵と、単一フレーム音声データ生成工程Ｓ１７で音声データ生成装置１２３が生成した音声データとに基づいて、音声ハッシュ値を算出する。
センサハッシュ値算出工程Ｓ４３において、センサハッシュ値算出装置１８４は、記録鍵記憶工程Ｓ０２で記録鍵記憶装置１７２が記憶した共通鍵と、単一フレームセンサデータ生成工程Ｓ１８でセンサデータ生成装置１２４が生成したセンサデータとに基づいて、センサハッシュ値を算出する。

図３６に移り、中間結合ハッシュ値算出工程Ｓ４８において、結合ハッシュ値算出装置１９１は、記録鍵記憶工程Ｓ０２で記録鍵記憶装置１７２が記憶した共通鍵と、画像ハッシュ値算出工程Ｓ４１で画像ハッシュ値算出装置１８１が算出した画像ハッシュ値と、音声ハッシュ値算出工程Ｓ４２で音声ハッシュ値算出装置１８３が算出した音声ハッシュ値と、センサハッシュ値算出工程Ｓ４３でセンサハッシュ値算出装置１８４が算出したセンサハッシュ値と、結合ハッシュ値記憶工程Ｓ５７で結合ハッシュ値記憶装置１９２が記憶した一つ前の結合ハッシュ値とに基づいて、結合ハッシュ値を算出する。
結合ハッシュ値記憶工程Ｓ５７において、結合ハッシュ値記憶装置１９２は、センサハッシュ値検証工程Ｔ４８で結合ハッシュ値算出装置１９１が算出した結合ハッシュ値を記憶する。

先頭ハッシュ値取得工程Ｓ６４において、先頭ハッシュ値取得装置１９４は、先頭ハッシュ値として、出力データ記録装置２１０が記録媒体８２０に記録したデータから、一番古い画像データに対応する結合ハッシュ値を取得する。
末尾ハッシュ値算出工程Ｓ６８において、末尾ハッシュ値算出装置１９３は、記録鍵記憶工程Ｓ０２で記録鍵記憶装置１７２が記憶した共通鍵と、中間結合ハッシュ値算出工程Ｓ４８で結合ハッシュ値算出装置１９１が算出した結合ハッシュ値と、先頭ハッシュ値取得工程Ｓ６４で先頭ハッシュ値取得装置１９４が取得した先頭ハッシュ値とに基づいて、末尾ハッシュ値を算出する。

出力データ記録工程Ｓ８１において、出力データ記録装置２１０は、単一フレーム画像データ生成工程Ｓ１６で画像データ生成装置１２１が生成した画像データと、単一フレーム音声データ生成工程Ｓ１７で音声データ生成装置１２３が生成した音声データと、単一フレームセンサデータ生成工程Ｓ１８でセンサデータ生成装置１２４が生成したセンサデータと、画像ハッシュ値算出工程Ｓ４１で画像ハッシュ値算出装置１８１が算出した画像ハッシュ値と、音声ハッシュ値算出工程Ｓ４２で音声ハッシュ値算出装置１８３が算出した音声ハッシュ値と、センサハッシュ値算出工程Ｓ４３でセンサハッシュ値算出装置１８４が算出したセンサハッシュ値と、中間結合ハッシュ値算出工程Ｓ４８で結合ハッシュ値算出装置１９１が算出した結合ハッシュ値と、先頭ハッシュ値取得工程Ｓ６４で先頭ハッシュ値取得装置１９４が取得した先頭ハッシュ値と、末尾ハッシュ値算出工程Ｓ６８で末尾ハッシュ値算出装置１９３が算出した末尾ハッシュ値とを、記録媒体８２０に記録する。
その後、音声データ生成工程Ｓ１１に戻り、音声データ・センサデータの生成を続ける。

図３７は、この実施の形態における出力データ生成装置１５０が生成するデータの構造の一例を示す模式図である。
なお、実施の形態１〜実施の形態７で説明したデータ構造と共通する部分については、同一の符号を付し、ここでは説明を省略する。

出力データ６０２は、記録媒体８２０に記録されたデータのうち一番古い出力画像データ６１２及び出力画像データ６１２に対応するデータ（出力音声データ６２２、出力センサデータ６３２、画像ハッシュ値６４２、音声ハッシュ値６５２、センサハッシュ値６６２、結合ハッシュ値（先頭ハッシュ値７０５））である。
先頭ハッシュ値取得装置１９４は、一番古い出力画像データ６１２に対応する結合ハッシュ値を取得して、先頭ハッシュ値７０５とする。

出力データ６０８は、出力データ記録装置２１０がこれから記録媒体８２０に記録する最新の出力画像データ６１８及び出力画像データ６１８に対応するデータ（出力音声データ６２８、出力センサデータ６３８、画像ハッシュ値６４８、音声ハッシュ値６５８、センサハッシュ値６６８、結合ハッシュ値６７８）である。
末尾ハッシュ値７０４は、共通鍵７０１と、最新の出力画像データ６１８に対応する結合ハッシュ値６７８と、先頭ハッシュ値７０５とに基づいて、末尾ハッシュ値算出装置１９３が算出したハッシュ値である。

出力データ記録装置２１０が最新のデータを記録媒体８２０に記録することにより、一番古い出力データ６０２は上書きされて、消滅する。ただし、先頭ハッシュ値７０５は、出力データ記録装置２１０が最新のデータとともに記録媒体８２０に記録するので、残っている。

このようにして、新しいデータが生成されるたびに、記録媒体８２０に記録されたデータは更新されていく。

図３８は、この実施の形態における再生装置３００の機能ブロックの構成の一例を示すブロック構成図である。
なお、実施の形態１〜実施の形態７で説明した再生装置３００と共通する部分については、同一の符号を付し、ここでは説明を省略する。

記録データ取得装置３１０は、更に、記録先頭ハッシュ値取得装置３３７、記録末尾ハッシュ値取得装置３３８を有する。
記録先頭ハッシュ値取得装置３３７は、記録データ読出装置３１１が記録媒体８２０から読み出した記録データから、先頭ハッシュ値を取得して、記録先頭ハッシュ値とする。

記録データ検証装置３４０は、更に、検証末尾ハッシュ値算出装置３５８、末尾ハッシュ値検証装置３６８を有する。

検証結合ハッシュ値記憶装置３５７は、更に、記録先頭ハッシュ値取得装置３３７が取得した先頭ハッシュ値を記憶する。検証結合ハッシュ値記憶装置３５７が記憶した先頭ハッシュ値は、記録画像データ取得装置３２１が取得した最初の記録画像データに対応する検証結合ハッシュ値を検証結合ハッシュ値算出装置３５６が算出する際に、一つ前の検証結合ハッシュ値として利用される。

図３９は、この実施の形態における再生装置３００が記録データを検証する記録データ検証処理の流れの一例を示すフローチャート図（部分）である。
なお、実施の形態１〜実施の形態７で説明した記録データ検証処理と共通する部分については、同一の符号を付し、ここでは説明を省略する。また、記録画像データ取得工程Ｔ１６〜検証センサハッシュ値算出工程Ｔ２８、検証結合ハッシュ値記憶工程Ｔ４２〜終了判定工程Ｔ５１、検証成功工程Ｔ７１及び検証失敗工程Ｔ７２については、実施の形態１で図１０及び図１１を用いて説明したものと同様なので、省略している。

記録先頭ハッシュ値取得工程Ｔ１３において、記録先頭ハッシュ値取得装置３３７は、記録データ読出装置３１１が記録媒体８２０から読み出した記録データから、記録先頭ハッシュ値を取得する。
記録先頭ハッシュ値記憶工程Ｔ１４において、検証結合ハッシュ値記憶装置３５７は、記録先頭ハッシュ値取得工程Ｔ１３で記録データ読出装置３１１が取得した記録先頭ハッシュ値を記憶する。

中間検証結合ハッシュ値算出工程Ｔ３３において、検証結合ハッシュ値算出装置３５６は、検証鍵記憶工程Ｔ１２で検証鍵記憶装置３４１が記憶した共通鍵と、検証画像ハッシュ値算出工程Ｔ２６で検証画像ハッシュ値算出装置３５１が算出した検証画像ハッシュ値と、検証音声ハッシュ値算出工程Ｔ２７で検証音声ハッシュ値算出装置３５３が算出した検証音声ハッシュ値と、検証センサハッシュ値算出工程Ｔ２８で検証センサハッシュ値算出装置３５４が算出した検証センサハッシュ値と、記録先頭ハッシュ値取得工程Ｔ１３または検証結合ハッシュ値記憶工程Ｔ４２で検証結合ハッシュ値記憶装置３５７が記憶した一つ前の結合ハッシュ値（最初の場合は、先頭ハッシュ値）とに基づいて、検証結合ハッシュ値を算出する。

記録末尾ハッシュ値取得工程Ｔ６１において、記録末尾ハッシュ値取得装置３３８は、記録データ読出装置３１１が記録媒体８２０から読み出した記録データから、記録末尾ハッシュ値を取得する。
検証末尾ハッシュ値算出工程Ｔ６２において、検証末尾ハッシュ値算出装置３５８は、検証鍵記憶工程Ｔ１２で検証鍵記憶装置３４１が記憶した共通鍵と、検証結合ハッシュ値記憶工程Ｔ４２で検証結合ハッシュ値記憶装置３５７が記憶した（最後の記録画像データに対応する）検証結合ハッシュ値と、記録先頭ハッシュ値取得工程Ｔ１３で検証結合ハッシュ値記憶装置３５７が記憶した先頭ハッシュ値とに基づいて、検証末尾ハッシュ値を算出する。
末尾ハッシュ値検証工程Ｔ６３において、末尾ハッシュ値検証装置３６８は、記録末尾ハッシュ値取得工程Ｔ６１で記録末尾ハッシュ値取得装置３３８が取得した記録末尾ハッシュ値と、検証末尾ハッシュ値算出工程Ｔ６２で検証末尾ハッシュ値算出装置３５８が算出した検証末尾ハッシュ値とを比較する。
記録末尾ハッシュ値と検証末尾ハッシュ値とが一致した場合、検証成功工程Ｔ７１へ進む。
記録末尾ハッシュ値と検証末尾ハッシュ値とが一致しない場合、検証失敗工程Ｔ７２へ進む。

イベントの発生またはドライブレコーダ装置１００の故障により、出力データ記録装置２１０が記録媒体８２０にデータを記録するのを中止した時点において、記録媒体８２０には、図３７で実線四角形で示したデータが記録されている。

先頭ハッシュ値７０５を算出するもととなっている出力画像データ６１２などのデータは、上書きされて記録媒体８２０に残っていないので、再生装置３００は、先頭ハッシュ値７０５と比較すべきハッシュ値を算出することはできない。
しかし、結合ハッシュ値６７３を算出するもとなっている一つ前の結合ハッシュ値は、先頭ハッシュ値７０５として残っているので、先頭ハッシュ値７０５を一つ前の結合ハッシュ値として、次の結合ハッシュ値６７３と比較すべき検証結合ハッシュ値を算出できる。したがって、再生装置３００は、出力画像データ６１３、出力音声データ６２３、出力センサデータ６３３の対応関係が改竄されているか否かを判定できる。

また、改竄者がデータの前半を削除して、途中のデータを最初と偽る場合、その一つ前の結合ハッシュ値で先頭ハッシュ値７０５を置き換えれば、結合ハッシュ値の検証で改竄を検出することはできない。
しかし、先頭ハッシュ値を置き換えると、改竄された先頭ハッシュ値を含むデータ群に基づいて検証末尾ハッシュ値算出装置３５８が算出した検証末尾ハッシュ値は、末尾ハッシュ値７０４と一致しなくなる。したがって、そのような改竄を検出することができる。

また、末尾ハッシュ値７０４は、最新の出力画像データ６１８に対応する結合ハッシュ値６７８を含むデータ群に基づいて算出しているので、改竄者がデータの後半を削除して、途中のデータを最後と偽る場合も、末尾ハッシュ値の検証により、改竄を検出することができる。

この実施の形態における出力第一データ取得装置（画像データ生成装置１２１）は、順序を有する複数の出力第一データ（画像データ）を一つずつ順に取得することを特徴とする。
上記結合ハッシュ値算出装置１９１は、上記出力第一データ取得装置（画像データ生成装置１２１）が取得した複数の出力第一データ（画像データ）のうち最新の出力第一データ（画像データ）に対応する結合ハッシュ値として、上記記録鍵記憶装置１７２が記憶した共通鍵と、上記最新の出力第一データ（画像データ）と、上記最新の出力第一データ（画像データ）より一つ前の出力第一データ（画像データ）に対応する結合ハッシュ値とを含む第一データ群に基づいて、ハッシュ値を算出することを特徴とする。
上記第三データ取得装置（先頭ハッシュ値取得装置１９４）は、上記第三データ（先頭ハッシュ値）として、出力データ記録装置２１０が記録媒体８２０に記録した出力第一データ（画像データ）のうち一番古い出力第一データ（画像データ）に対応する結合ハッシュ値を取得することを特徴とする。
上記末尾ハッシュ値算出装置１９３は、末尾ハッシュ値として、上記記録鍵記憶装置１７２が記憶した共通鍵と、上記結合ハッシュ値算出装置１９１が算出した最新の出力第一データ（画像データ）に対応する結合ハッシュ値と、上記第三データ取得装置（先頭ハッシュ値取得装置１９４）が取得した第三データとを含む第二データ群に基づいて、ハッシュ値を算出することを特徴とする。
上記出力データ記録装置２１０は、上記記録媒体８２０に記録した出力第一データ（画像データ）のうち一番古い出力第一データ（画像データ）に上書きして、上記出力第一データ取得装置（画像データ生成装置１２１）が取得した複数の出力第一データ（画像データ）のうち最新の出力第一データ（画像データ）を上記記録媒体８２０に記録し、上記結合ハッシュ値算出装置１９１が算出した結合ハッシュ値と、上記末尾ハッシュ値算出装置１９３が算出した末尾ハッシュ値とを上記記録媒体８２０に記録することを特徴とする。

この実施の形態におけるドライブレコーダ装置１００（記録装置）によれば、出力データ記録装置２１０による記録媒体８２０へのデータの記録がいつ中断されても、最後の状態を検証できる先頭ハッシュ値７０５及び末尾ハッシュ値７０４が記録媒体８２０に残されるので、改竄を検出できるという効果を奏する。

この実施の形態における検証結合ハッシュ値算出装置３５６は、上記記録第一データ取得装置（記録画像データ取得装置３２１）が取得した複数の記録第一データ（記録画像データ）のうち最初の記録第一データ（記録画像データ）に対応する検証結合ハッシュ値として、上記検証鍵記憶装置３４１が記憶した共通鍵と、上記最初の記録第一データと、上記第三データ取得装置（記録先頭ハッシュ値取得装置３３７）が取得した第三データ（記録先頭ハッシュ値）とを含む第三データ群に基づいて、ハッシュ値（鍵付きハッシュ値）を算出することを特徴とする。
上記検証末尾ハッシュ値算出装置３５８は、検証末尾ハッシュ値として、上記検証鍵記憶装置３４１が記憶した共通鍵と、上記記録第一データ取得装置（記録画像データ取得装置３２１）が取得した複数の記録第一データ（記録画像データ）のうち最後の記録第一データ（記録画像データ）と、上記第三データ取得装置（記録先頭ハッシュ値取得装置３３７）が取得した第三データ（記録先頭ハッシュ値）とを含む第四データ群に基づいて、ハッシュ値（鍵付きハッシュ値）を算出することを特徴とする。

この実施の形態における再生装置３００（検証装置）によれば、末尾ハッシュ値検証装置３６８が、第三データ（先頭ハッシュ値）と、最後の第一データ（末尾画像データ）に対応する結合ハッシュ値とを含むデータ群に基づいて算出された末尾ハッシュ値を比較して検証するので、最後の記録第一データ（記録画像データ）が削除された場合に、改竄を検出することができるという効果を奏する。

以上説明したドライブレコーダ装置１００（検証装置）は、ある一定のデータ格納領域に、データを連続して格納するときには、最新のデータを持って、該領域中の最古のデータを上書きし、最新のデータのハッシュ値と上書きした、連続するデータのハッシュ値をハッシュする。これにより、データの連続性を保証できる。

このようにして、記録媒体８２０（ストレージ）の一定領域に連続的に、データを取得し続ける場合においても、データの順序の入れ替えなどの改竄を検知できる。
連続的にデータをストレージの一定領域に取得し続ける場合は、最新のデータで最も古いデータからサイクリック（環状）に上書きされていく。
最新のデータで、当該ストレージの一定領域内で最古のデータを上書きする。最新のデータのハッシュ値は、直前のデータのハッシュ値とハッシュされている。これをさらに、現在の最古のデータのハッシュ値とハッシュすることにより、最新のデータと最古のデータが環状にハッシュされることとなり、環状のデータの連続性を保証できる。
また、最古のデータと、その次のデータの連続性については、すでに記述したように、最古のデータとその次のデータの、画像、音声、センサデータをハッシュしたハッシュ値をそれぞれ計算し、さらに両者の値をハッシュして、得られたハッシュ値を、格納された、その次のデータのハッシュ値と比較することにより検証できる。

実施の形態９．
実施の形態９について、図４０を用いて説明する。

実施の形態１〜実施の形態８では、ドライブレコーダ装置１００がデータを記録した記録媒体８２０を、再生装置３００が直接読み込んで、検証・再生をする。しかし、ドライブレコーダ装置１００が画像データなどを生成する符号化方式と、再生装置３００が再生できる画像データなどの符号化方式とが異なると、再生装置３００が記録媒体８２０を直接読み込んで再生することができない場合がある。

そこで、この実施の形態では、記録媒体８２０に記録された画像データなどの形式を変換する変換装置４００について説明する。変換装置４００は、例えば、ＪＰＥＧ形式の画像データをＭＰＥＧ（Ｍｏｖｉｎｇ Ｐｉｃｔｕｒｅ Ｅｘｐｅｒｔｓ Ｇｒｏｕｐ）形式に変換する。

図４０は、この実施の形態における変換装置４００の機能ブロックの構成の一例を示すブロック構成図である。
なお、実施の形態１〜実施の形態７で説明したドライブレコーダ装置１００及び再生装置３００と共通する部分については、同一の符号を付し、ここでは説明を省略する。

変換装置４００は、記録データ取得装置３１０、記録データ検証装置３４０、改竄警告装置４２０、データ変換装置４３０、出力データ生成装置１５０、出力データ記録装置２１０を有する。
記録データ取得装置３１０、記録データ検証装置３４０、改竄警告装置４２０は、実施の形態１〜実施の形態８で説明した再生装置３００の記録データ取得装置３１０、記録データ検証装置３４０、改竄警告装置４２０と同様である。
出力データ生成装置１５０、出力データ記録装置２１０は、実施の形態１〜実施の形態８で説明した出力データ生成装置１５０、出力データ記録装置２１０と同様である。

データ変換装置４３０は、記録媒体８２０に記録された記録データが改竄されていないと記録データ検証装置３４０が判定した場合に、記録データ取得装置３１０が取得した記録画像データ・記録音声データ・記録センサデータのデータ形式を変換（コーデック変換）する。
データ変換装置４３０は、画像データ変換装置４３１、第二データ変換装置４３２を有する。

画像データ変換装置４３１（第一データ変換装置）は、記録媒体８２０に記録された記録データが改竄されていないと記録データ検証装置３４０が判定した場合に、記録データ取得装置３１０が取得した記録画像データ（記録第一データ）のデータ形式を変換して、変換画像データ（変換第一データ）とする。
第二データ変換装置４３２は、音声データ変換装置４３３、センサデータ変換装置４３４を有する。
音声データ変換装置４３３は、記録媒体８２０に記録された記録データが改竄されていないと記録データ検証装置３４０が判定した場合に、記録データ取得装置３１０が取得した記録音声データ（記録第二データ）のデータ形式を変換して、変換音声データ（変換第二データ）とする。
センサデータ変換装置４３４は、記録媒体８２０に記録された記録データが改竄されていないと記録データ検証装置３４０が判定した場合に、記録データ取得装置３１０が取得した記録センサデータ（記録第二データ）のデータ形式を変換して、変換センサデータ（変換第二データ）とする。
なお、記録画像データ・記録音声データ・記録センサデータのデータ形式をすべて変換する必要はなく、例えば、記録画像データのデータ形式だけを変換して、記録音声データ・記録センサデータは、そのままのデータ形式としてもよい。

出力データ生成装置１５０は、画像データ変換装置４３１が変換した変換画像データを出力画像データ（出力第一データ）として取得し、音声データ変換装置４３３が変換した変換音声データを出力音声データ（出力第二データ）として取得し、センサデータ変換装置４３４が変換した変換センサデータを出力センサデータ（出力第二データ）として取得する。出力データ生成装置１５０は、取得した出力画像データなどに基づいて、検証用のハッシュ値などを算出する。

出力データ記録装置２１０は、出力データ生成装置１５０が生成した出力データを記録媒体８３０に記録する。なお、記録媒体８２０と記録媒体８３０とは同一の記録媒体でもよいし、異なる記録媒体でもよい。

このように、データ形式を変換する際にも、データに改竄がないかを検証し、検証に成功した場合のみデータ形式を変換する。これにより、変換前にデータが改竄されていないことを保証できる。また、変換したデータには、新たに算出したハッシュ値を付け、再生装置３００が、変換後にデータが改竄されていないことを検証できるようにする。

この実施の形態における変換装置４００（検証装置）は、更に、第一データ変換装置（画像データ変換装置４３１）と、請求項１乃至請求項１７のいずれかに記載の記録装置（ドライブレコーダ装置１００）とを有することを特徴とする。
上記第一データ変換装置（画像データ変換装置４３１）は、上記記録媒体８２０に記録された記録データが改竄されていると判定されない場合に、上記記録第一データ取得装置（記録画像データ取得装置３２１）が取得した記録第一データ（記録画像データ）のデータ形式を変換して、変換第一データ（変換画像データ）とすることを特徴とする。
上記出力第一データ取得装置（出力画像データ取得装置１６１）は、上記出力第一データ（出力画像データ）として、上記第一データ変換装置（画像データ変換装置４３１）が変換した変換第一データ（変換画像データ）を取得することを特徴とする。

この実施の形態における変換装置４００（検証装置）によれば、ドライブレコーダ装置１００が記録媒体８２０に記録したデータのデータ形式を変換した場合でも、変換前にデータの改竄がないことを検証してからデータ形式を変換し、変換後にデータの改竄がないことを検証できるハッシュ値を記録媒体８３０に記録するので、記録媒体８３０に記録されたデータの証拠性を担保することができるという効果を奏する。

以上説明した変換装置４００（検証装置）は、画像およびそれから構成される動画、音声のコーデック変換を行う場合、変換前にデータ改竄の有無をそのハッシュデータ比較し、検証した上で新たにハッシュデータを生成管理する。

このように、変換装置４００上のコーデック変換は、まず元データファイルのハッシュ値を計算し、ハッシュ値の同一性を検証する。同一でなければデータの証拠性はないのでエラーが報告される。証拠性が担保されれば、データのコーデック変換を行い、コーデック変換を行ったデータに対して、再び、共通鍵をもって鍵つきハッシュ計算を行い、当該ハッシュ値の格納を変換後のファイル形式がユーザデータとして許す領域に格納する。これにより、コーデック変換に対しても、その証拠性と正確な各データの同期再生を保証することができる。

実施の形態１０．
実施の形態１０について、図４１〜図４２を用いて説明する。

実施の形態１〜実施の形態９で説明した再生装置３００（検証装置）は、専用の装置により実現してもよいが、コンピュータを再生装置３００として機能させるプログラムをコンピュータが実行することによって実現できる。

パーソナルコンピュータなど汎用のコンピュータを再生装置３００として機能させる場合、検証鍵記憶装置３４１がコンピュータのＲＡＭ９１４などを用いて共通鍵を記憶すると、そこから共通鍵が漏洩する可能性がある。改竄者が、共通鍵を知ると、改竄したデータと整合する鍵付きハッシュ値を算出できるので、改竄を検出できなくすることが可能になる。したがって、共通鍵の漏洩を防ぐ必要がある。

そこで、この実施の形態では、検証時に必要なハッシュ値の計算を、耐タンパ性のある記録媒体８２０のなかで行うことにより、共通鍵の漏洩を防ぐ。

図４１は、この実施の形態における記録媒体８２０の機能ブロックの構成の一例を示すブロック構成図である。
記録媒体８２０は、例えば、ＩＣカードなどＣＰＵを内蔵した記録媒体であり、記録媒体８２０内のＣＰＵにより、以下のブロックを実現する。
記録媒体８２０は、認証部５１１、共通鍵入力部５１２、検証データ入力部５１３、ハッシュ値入力部５１４、共通鍵記憶部５２１、ハッシュ値算出部５２２、ハッシュ値比較部５２３、検証結果出力部５３１、データ入力部５４１、データ記憶部５４２、データ出力部５４３を有する。
このうち、少なくとも共通鍵記憶部５２１、ハッシュ値算出部５２２、ハッシュ値比較部５２３は、耐タンパ領域５２０のなかにある。

データ入力部５４１・データ記憶部５４２・データ出力部５４３は、保護する必要のない一般のデータを扱うブロックである。データ入力部５４１は、データを入力する。データ記憶部５４２は、データ入力部５４１が入力したデータを記憶する。データ出力部５４３は、データ記憶部５４２が記憶したデータを出力する。

共通鍵記憶部５２１は、共通鍵を記憶する。共通鍵記憶部５２１が記憶する共通鍵は、記録媒体８２０が信頼する相手でなければ書き換えることができず、記録媒体８２０が信頼する相手であっても読み出すことはできない。
認証部５１１は、共通鍵記憶部５２１に共通鍵を記憶させようとしている相手が信頼できる相手であるか否かを認証する。
共通鍵入力部５１２は、認証部５１１が認証に成功した場合に、共通鍵を入力する。共通鍵入力部５１２が入力した共通鍵は、共通鍵記憶部５２１が記憶する。

検証データ入力部５１３は、検証データを入力する。
ハッシュ値算出部５２２は、共通鍵記憶部５２１が記憶した共通鍵と、検証データ入力部５１３が入力した検証データとに基づいて、鍵付きハッシュ値を算出する。
ハッシュ値入力部５１４は、ハッシュ値を入力する。
ハッシュ値比較部５２３は、ハッシュ値入力部５１４が入力したハッシュ値と、ハッシュ値算出部５２２が算出した鍵付きハッシュ値とを比較して、一致するか否かを判定する。
検証結果出力部５３１は、ハッシュ値比較部５２３の判定結果を出力する。

記録媒体８２０にアクセスするコンピュータなど外部の装置は、検証データ入力部５１３に検証データを入力し、ハッシュ値入力部５１４にハッシュ値を入力することにより、ハッシュ値入力部５１４に入力したハッシュ値が、共通鍵記憶部５２１が記憶した共通鍵と、検証データ入力部５１３に入力した検証データとに基づいて算出した鍵付きハッシュ値と一致するか否かを知ることができる。しかし、外部の装置は、共通鍵を知ることができないだけでなく、ハッシュ値入力部５１４に入力したハッシュ値が、検証データに基づいて算出した鍵付きハッシュ値と一致しない場合、一致しないという結果がわかるだけで、検証データに基づいて算出した鍵付きハッシュ値を知ることもできない。

図４２は、この実施の形態におけるコンピュータを用いて実現した再生装置３００の機能ブロックの構成の一例を示すブロック構成図である。

実施の形態１の再生装置３００にあった検証鍵記憶装置３４１、検証画像ハッシュ値算出装置３５１、検証第二ハッシュ値算出装置３５２、検証結合ハッシュ値算出装置３５６などは、記録媒体８２０のなかで実現されている。

画像ハッシュ値検証装置３６１は、記録画像データ取得装置３２１が取得した記録画像データと、記録画像ハッシュ値取得装置３３１が取得した記録画像ハッシュ値とを記録媒体８２０に入力し、判定結果を取得する。判定結果が「一致しない」である場合、画像ハッシュ値検証装置３６１は、記録データが改竄されていると判定する。
音声ハッシュ値検証装置３６３は、記録音声データ取得装置３２３が取得した記録音声データと、記録音声ハッシュ値取得装置３３３が取得した記録音声ハッシュ値とを記録媒体８２０に入力し、判定結果を取得する。判定結果が「一致しない」である場合、音声ハッシュ値検証装置３６３は、記録データが改竄されていると判定する。
センサハッシュ値検証装置３６４は、記録センサデータ取得装置３２４が取得した記録音声データと、記録センサハッシュ値取得装置３３４が取得した記録音声ハッシュ値とを記録媒体８２０に入力し、判定結果を取得する。判定結果が「一致しない」である場合、センサハッシュ値検証装置３６４は、記録データが改竄されていると判定する。

再生装置３００は、検証画像ハッシュ値・検証音声ハッシュ値・検証センサハッシュ値・検証結合ハッシュ値を算出できないので、結合ハッシュ値検証装置３６６は、検証画像ハッシュ値などの代わりに、記録画像ハッシュ値・記録音声ハッシュ値・記録センサハッシュ値・記録結合ハッシュ値を用いて、結合ハッシュ値を検証する。
検証結合ハッシュ値記憶装置３５７は、記録結合ハッシュ値取得装置３３６が取得した記録結合ハッシュ値を記憶する。
結合ハッシュ値検証装置３６６は、記録画像ハッシュ値取得装置３３１が取得した記録画像ハッシュ値と、記録音声ハッシュ値取得装置３３３が取得した記録音声ハッシュ値と、記録センサハッシュ値取得装置３３４が取得した記録センサハッシュ値と、検証結合ハッシュ値記憶装置３５７が記憶した一つ前の記録結合ハッシュ値とを記録媒体８２０に検証データとして入力し、記録結合ハッシュ値取得装置３３６が取得した記録結合ハッシュ値を記録媒体８２０にハッシュ値として入力して、判定結果を取得する。判定結果が「一致しない」である場合、結合ハッシュ値検証装置３６６は、記録データが改竄されていると判定する。

このように、耐タンパ性を有する記録媒体８２０のなかで、ハッシュ値の検証をすることにより、再生装置３００は、共通鍵を記憶する必要がなくなる。したがって、再生装置３００から共通鍵が漏洩するのを防ぐことができる。

以上のように、ハッシュ演算をＩＣカードなど記録媒体８２０のＣＰＵで行うことにより、更に耐タンパ性を高めることができる。

実施の形態１におけるドライブレコーダシステム８００の全体構成の一例を示すシステム構成図。 実施の形態１における再生装置３００の外観の一例を示す図。 実施の形態１におけるドライブレコーダ装置１００及び再生装置３００のハードウェア資源の一例を示す図。 実施の形態１におけるドライブレコーダ装置１００の機能ブロックの構成の一例を示すブロック構成図。 実施の形態１における常時記録装置１１０が画像などを常時記録する常時記録処理の流れの一例を示すフローチャート図。 実施の形態１におけるドライブレコーダ装置１００が出力データを生成・記録する出力データ生成記録処理の流れの一例を示すフローチャート図（前半）。 実施の形態１におけるドライブレコーダ装置１００が出力データを生成・記録する出力データ生成記録処理の流れの一例を示すフローチャート図（後半）。 実施の形態１における出力データ生成装置１５０が生成するデータの構造の一例を示す模式図。 実施の形態１における再生装置３００の機能ブロックの構成の一例を示すブロック構成図。 実施の形態１における再生装置３００が記録データを検証する記録データ検証処理の流れの一例を示すフローチャート図（前半）。 実施の形態１における再生装置３００が記録データを検証する記録データ検証処理の流れの一例を示すフローチャート図（後半）。 実施の形態２における常時記録装置１１０が画像などを常時記録する常時記録処理の流れの一例を示すフローチャート図。 実施の形態３におけるドライブレコーダ装置１００が出力データを生成・記録する出力データ生成記録処理の流れの一例を示すフローチャート図（一部）。 実施の形態３における出力データ生成装置１５０が生成するデータの構造の一例を示す模式図。 実施の形態３における再生装置３００が記録データを検証する記録データ検証処理の流れの一例を示すフローチャート図（部分）。 実施の形態４におけるドライブレコーダ装置１００の機能ブロックの構成の一例を示すブロック構成図。 実施の形態４におけるドライブレコーダ装置１００が出力データを生成・記録する出力データ生成記録処理の流れの一例を示すフローチャート図（部分）。 実施の形態４における出力データ生成装置１５０が生成するデータの構造の一例を示す模式図。 実施の形態４における再生装置３００の機能ブロックの構成の一例を示すブロック構成図。 実施の形態４における再生装置３００が記録データを検証する記録データ検証処理の流れの一例を示すフローチャート図（部分）。 実施の形態５におけるドライブレコーダ装置１００の機能ブロックの構成の一例を示すブロック構成図。 実施の形態５におけるドライブレコーダ装置１００が出力データを生成・記録する出力データ生成記録処理の流れの一例を示すフローチャート図（部分）。 実施の形態５における出力データ生成装置１５０が生成するデータの構造の一例を示す模式図。 実施の形態５における再生装置３００の機能ブロックの構成の一例を示すブロック構成図。 実施の形態５における再生装置３００が記録データを検証する記録データ検証処理の流れの一例を示すフローチャート図（部分）。 実施の形態６におけるドライブレコーダ装置１００が出力データを生成・記録する出力データ生成記録処理の流れの一例を示すフローチャート図（部分）。 実施の形態６における出力データ生成装置１５０が生成するデータの構造の一例を示す模式図。 実施の形態６における再生装置３００が記録データを検証する記録データ検証処理の流れの一例を示すフローチャート図（部分）。 実施の形態７におけるドライブレコーダ装置１００の機能ブロックの構成の一例を示すブロック構成図。 実施の形態７におけるドライブレコーダ装置１００が出力データを生成・記録する出力データ生成記録処理の流れの一例を示すフローチャート図（部分）。 実施の形態７における出力データ生成装置１５０が生成するデータの構造の一例を示す模式図。 実施の形態７における再生装置３００の機能ブロックの構成の一例を示すブロック構成図。 実施の形態７における再生装置３００が記録データを検証する記録データ検証処理の流れの一例を示すフローチャート図（部分）。 実施の形態８におけるドライブレコーダ装置１００の機能ブロックの構成の一例を示すブロック構成図。 実施の形態８におけるドライブレコーダ装置１００が画像などを常時記録する常時記録処理の流れの一例を示すフローチャート図（前半）。 実施の形態８におけるドライブレコーダ装置１００が画像などを常時記録する常時記録処理の流れの一例を示すフローチャート図（後半）。 実施の形態８における出力データ生成装置１５０が生成するデータの構造の一例を示す模式図。 実施の形態８における再生装置３００の機能ブロックの構成の一例を示すブロック構成図。 実施の形態８における再生装置３００が記録データを検証する記録データ検証処理の流れの一例を示すフローチャート図。 実施の形態９における変換装置４００の機能ブロックの構成の一例を示すブロック構成図。 実施の形態１０における記録媒体８２０の機能ブロックの構成の一例を示すブロック構成図。 実施の形態１０におけるコンピュータを用いて実現した再生装置３００の機能ブロックの構成の一例を示すブロック構成図。

符号の説明

１００ ドライブレコーダ装置、１１０ 常時記録装置、１１１ 撮像装置、１１２ 第二感知装置、１１３ マイクロフォン装置、１１４ センサ装置、１１５ 運転操作センサ、１１６ 加速度センサ、１２１ 画像データ生成装置、１２２ 第二データ生成装置、１２３ 音声データ生成装置、１２４ センサデータ生成装置、１３１ 画像データ記憶装置、１３２ 第二データ記憶装置、１３３ 音声データ記憶装置、１３４ センサデータ記憶装置、１４０ イベント検出装置、１５０ 出力データ生成装置、１５１ 出力範囲決定装置、１６１ 出力画像データ取得装置、１６２ 第二データ取得装置、１６３ 出力音声データ取得装置、１６４ 出力センサデータ取得装置、１６５ メタデータ生成装置、１７０ 検証データ生成装置、１７１ 記録鍵生成装置、１７２ 記録鍵記憶装置、１８１ 画像ハッシュ値算出装置、１８２ 第二ハッシュ値算出装置、１８３ 音声ハッシュ値算出装置、１８４ センサハッシュ値算出装置、１８５ メタハッシュ値算出装置、１９１ 結合ハッシュ値算出装置、１９２ 結合ハッシュ値記憶装置、１９３ 末尾ハッシュ値算出装置、１９４ 先頭ハッシュ値取得装置、２１０ 出力データ記録装置、３００ 再生装置、３１０ 記録データ取得装置、３１１ 記録データ読出装置、３１２ 検証鍵取得装置、３２１ 記録画像データ取得装置、３２２ 記録第二データ取得装置、３２３ 記録音声データ取得装置、３２４ 記録センサデータ取得装置、３２５ 記録メタデータ取得装置、３３１ 記録画像ハッシュ値取得装置、３３２ 記録第二ハッシュ値取得装置、３３３ 記録音声ハッシュ値取得装置、３３４ 記録センサハッシュ値取得装置、３３５ 記録メタハッシュ値取得装置、３３６ 記録結合ハッシュ値取得装置、３３７ 記録先頭ハッシュ値取得装置、３３８ 記録末尾ハッシュ値取得装置、３４０ 記録データ検証装置、３４１ 検証鍵記憶装置、３５１ 検証画像ハッシュ値算出装置、３５２ 検証第二ハッシュ値算出装置、３５３ 検証音声ハッシュ値算出装置、３５４ 検証センサハッシュ値算出装置、３５５ 検証メタハッシュ値算出装置、３５６ 検証結合ハッシュ値算出装置、３５７ 検証結合ハッシュ値記憶装置、３５８ 検証末尾ハッシュ値算出装置、３６１ 画像ハッシュ値検証装置、３６２ 第二ハッシュ値検証装置、３６３ 音声ハッシュ値検証装置、３６４ センサハッシュ値検証装置、３６５ メタハッシュ値検証装置、３６６ 結合ハッシュ値検証装置、３６８ 末尾ハッシュ値検証装置、３７１ 判定装置、４００ 変換装置、４１０ 記録再生装置、４１１ 画像再生装置、４１２ 第二再生装置、４１３ 音声再生装置、４１４ 状態再生装置、４２０ 改竄警告装置、４３０ データ変換装置、４３１ 画像データ変換装置、４３２ 第二データ変換装置、４３３ 音声データ変換装置、４３４ センサデータ変換装置、５１１ 認証部、５１２ 共通鍵入力部、５１３ 検証データ入力部、５１４ ハッシュ値入力部、５２０ 耐タンパ領域、５２１ 共通鍵記憶部、５２２ ハッシュ値算出部、５２３ ハッシュ値比較部、５３１ 検証結果出力部、５４１ データ入力部、５４２ データ記憶部、５４３ データ出力部、６０１〜６０９ 出力データ、６１１ 先頭画像データ、６１２〜６１８ 出力画像データ、６１９ 末尾画像データ、６２１〜６２９ 出力音声データ、６３１〜６３９ 出力センサデータ、６４１〜６４９ 画像ハッシュ値、６５１〜６５９ 音声ハッシュ値、６６１〜６６９ センサハッシュ値、６７１〜６７９ 結合ハッシュ値、７０１ 共通鍵、７０２ メタデータ、７０３ メタハッシュ値、７０４ 末尾ハッシュ値、７０５ 先頭ハッシュ値、８００ ドライブレコーダシステム、８１０ 自動車、８２０，８３０ 記録媒体、９０１ 表示装置、９０２ キーボード、９０３ マウス、９０４ ＦＤＤ、９０５ ＣＤＤ、９０６ プリンタ装置、９０７ スキャナ装置、９０８ スピーカー装置、９１０ システムユニット、９１１ ＣＰＵ、９１２ バス、９１３ ＲＯＭ、９１４ ＲＡＭ、９１５ 通信装置、９２０ 磁気ディスク装置、９２１ ＯＳ、９２２ ウィンドウシステム、９２３ プログラム群、９２４ ファイル群、９３１ 電話器、９３２ ファクシミリ機、９４０ インターネット、９４１ ゲートウェイ、９４２ ＬＡＮ。

Claims (28)

1. 記録鍵記憶装置と、出力第一データ取得装置と、結合ハッシュ値算出装置と、出力データ記録装置とを有し、
   上記記録鍵記憶装置は、共通鍵を記憶し、
   上記出力第一データ取得装置は、順序を有する複数の出力第一データを取得し、
   上記結合ハッシュ値算出装置は、上記出力第一データ取得装置が取得した複数の出力第一データのうちの一つの出力第一データに対応する結合ハッシュ値として、上記記録鍵記憶装置が記憶した共通鍵と、上記一つの出力第一データと、上記一つの出力第一データより一つ前の出力第一データに対応する結合ハッシュ値とを含む第一データ群に基づいて、ハッシュ値を算出し、
   上記出力データ記録装置は、上記出力第一データ取得装置が取得した複数の出力第一データと、上記結合ハッシュ値算出装置が算出した結合ハッシュ値とを記録媒体に記録する
   ことを特徴とする記録装置。
2. 上記記録装置は、更に、出力第二データ取得装置を有し、
   上記出力第二データ取得装置は、上記出力第一データ取得装置が取得した複数の出力第一データにそれぞれ対応する複数の出力第二データを取得し、
   上記結合ハッシュ値算出装置は、上記出力第一データ取得装置が取得した複数の出力第一データのうちの一つの出力第一データに対応する結合ハッシュ値として、上記一つの出力第一データに対応する出力第二データを更に含む上記第一データ群に基づいて、ハッシュ値を算出し、
   上記出力データ記録装置は、更に、上記出力第二データ取得装置が取得した複数の出力第二データを上記記録媒体に記録する
   ことを特徴とする請求項１に記載の記録装置。
3. 上記記録装置は、更に、第三データ取得装置を有し、
   上記第三データ取得装置は、第三データを取得し、
   上記結合ハッシュ値算出装置は、上記出力第一データ取得装置が取得した複数の出力第一データのうちの最後の出力第一データに対応する結合ハッシュ値として、上記第三データ取得装置が取得した第三データを更に含む上記第一データ群に基づいて、ハッシュ値を算出する
   ことを特徴とする請求項１または請求項２に記載の記録装置。
4. 上記記録装置は、更に、末尾ハッシュ値算出装置を有し、
   上記末尾ハッシュ値算出装置は、末尾ハッシュ値として、上記記録鍵記憶装置が記憶した共通鍵と、上記結合ハッシュ値算出装置が算出した結合ハッシュ値のうち上記出力第一データ取得装置が取得した複数の出力第一データのうちの最後の出力第一データに対応する結合ハッシュ値とを含む第二データ群に基づいて、ハッシュ値を算出し、
   上記出力データ記録装置は、更に、上記末尾ハッシュ値算出装置が算出した末尾ハッシュ値を上記記録媒体に記録する
   ことを特徴とする請求項１または請求項２に記載の記録装置。
5. 上記記録装置は、更に、第三データ取得装置を有し、
   上記第三データ取得装置は、第三データを取得し、
   上記末尾ハッシュ値算出装置は、上記末尾ハッシュ値として、上記第三データ取得装置が取得した第三データを更に含む上記第二データ群に基づいて、ハッシュ値を算出する
   ことを特徴とする請求項４に記載の記録装置。
6. 上記第三データ取得装置は、上記第三データとして、上記出力第一データ取得装置が取得した複数の出力第一データのうち最初から数えて所定の位置にあたる出力第一データに対応する結合ハッシュ値を、上記結合ハッシュ値算出装置が算出した結合ハッシュ値から取得することを特徴とする請求項３または請求項５に記載の記録装置。
7. 上記記録装置は、更に、第一感知装置と、第一データ生成装置と、第一データ記憶装置とを有し、
   上記第一感知装置は、第一の情報を感知し、
   上記第一データ生成装置は、所定の期間ごとに、上記第一感知装置が上記所定の期間内に感知した第一の情報に基づいて、順序を有する複数の第一データを生成し、
   上記第一データ記憶装置は、上記第一データ生成装置が生成した複数の第一データを記憶し、
   上記出力第一データ取得装置は、上記複数の出力第一データとして、上記第一データ記憶装置が記憶した複数の第一データから少なくとも一部の複数の第一データを取得する
   ことを特徴とする請求項１乃至請求項６のいずれかに記載の記録装置。
8. 上記記録装置は、更に、第一感知装置と、第一データ生成装置と、第一データ記憶装置と、第二感知装置と、第二データ生成装置と、第二データ記憶装置とを有し、
   上記第一感知装置は、第一の情報を感知し、
   上記第一データ生成装置は、所定の期間ごとに、上記第一感知装置が上記所定の期間内に感知した第一の情報に基づいて、順序を有する複数の第一データを生成し、
   上記第一データ記憶装置は、上記第一データ生成装置が生成した複数の第一データを記憶し、
   上記第二感知装置は、第二の情報を感知し、
   上記第二データ生成装置は、上記所定の期間ごとに、上記第二感知装置が上記所定の期間内に感知した第二の情報に基づいて、上記第一データ生成装置が生成した複数の第一データにそれぞれ対応する複数の第二データを生成し、
   上記第二データ記憶装置は、上記第二データ生成装置が生成した複数の第二データを記憶し、
   上記出力第一データ取得装置は、上記複数の出力第一データとして、上記第一データ記憶装置が記憶した複数の第一データのうち少なくとも一部の複数の第一データを取得し、
   上記出力第二データ取得装置は、上記複数の出力第二データとして、上記第二データ記憶装置が記憶した複数の第二データのうち上記出力第一データ取得装置が取得した複数の第一データにそれぞれ対応する複数の第二データを取得する
   ことを特徴とする請求項２乃至請求項６のいずれかに記載の記録装置。
9. 上記記録装置は、更に、イベント検出装置を有し、
   上記イベント検出装置は、イベントが発生したか否かを判定し、
   上記出力第一データ取得装置は、イベントが発生したと上記イベント検出装置が判定した場合に、上記第一データ記憶装置が記憶した複数の第一データのうち、上記イベントが発生した時刻より所定の時間前に上記第一感知装置が感知した第一の情報に基づいて上記第一データ生成装置が生成した第一データを先頭第一データとし、上記複数の出力第一データとして、上記先頭第一データ以後の複数の第一データを取得する
   ことを特徴とする請求項７または請求項８に記載の記録装置。
10. 上記出力データ記録装置は、更に、上記記録鍵記憶装置が記憶した共通鍵を、耐タンパ性を有する記録媒体に記録する
    ことを特徴とする請求項１乃至請求項９のいずれかに記載の記録装置。
11. 撮像装置と、画像データ生成装置と、画像データ記憶装置と、マイクロフォン装置と、音声データ生成装置と、音声データ記憶装置と、センサ装置と、センサデータ生成装置と、センサデータ記憶装置と、イベント検出装置と、出力画像データ取得装置と、出力音声データ取得装置と、出力センサデータ取得装置と、記録鍵記憶装置と、画像ハッシュ値算出装置と、音声ハッシュ値算出装置と、センサハッシュ値算出装置と、結合ハッシュ値算出装置と、出力データ記録装置とを有し、
    上記撮像装置は、所定の撮影間隔時間に１枚の割合で複数の画像を撮影し、
    上記画像データ生成装置は、所定のデータ生成間隔時間ごとに、上記撮像装置が上記データ生成間隔時間内に撮影した画像に基づいて、上記画像を表わす画像データを生成し、上記撮像装置が上記画像を撮影した順序に対応する順序を有する複数の画像データとし、
    上記画像データ記憶装置は、上記画像データ生成装置が生成した複数の画像データを記憶し、
    上記マイクロフォン装置は、連続した音声を入力し、
    上記音声データ生成装置は、上記データ生成間隔時間ごとに、上記マイクロフォン装置が上記データ生成間隔時間内に入力した音声に基づいて、上記音声を表わす音声データを生成し、上記画像データ生成装置が生成した複数の画像データにそれぞれ対応する複数の音声データとし、
    上記音声データ記憶装置は、上記音声データ生成装置が生成した複数の音声データを記憶し、
    上記センサ装置は、記録対象の状態を検知し、
    上記センサデータ生成装置は、上記データ生成間隔時間ごとに、上記センサ装置が上記データ生成間隔時間内に検知した記録対象の状態に基づいて、上記状態を表わすセンサデータを生成し、上記画像データ生成装置が生成した複数の画像データにそれぞれ対応する複数のセンサデータとし、
    上記センサデータ記憶装置は、上記センサデータ生成装置が生成した複数のセンサデータを記憶し、
    上記イベント検出装置は、上記センサ装置が検知した記録対象の状態に基づいて、イベントが発生したか否かを判定し、
    上記出力画像データ取得装置は、イベントが発生したと上記イベント検出装置が判定した場合に、上記画像データ記憶装置が記憶した複数の画像データのうち、上記イベントが発生した時刻より所定のイベント前記録時間前に上記撮像装置が撮影した画像に基づいて上記画像データ生成装置が生成した画像データを先頭画像データとし、上記イベントが発生した時刻より所定のイベント後記録時間後に上記撮像装置が撮影した画像に基づいて上記画像データ生成装置が生成した画像データを末尾画像データとし、上記先頭画像データ以降かつ上記末尾画像データ以前の複数の画像データを取得して、複数の出力画像データとし、
    上記出力音声データ取得装置は、上記音声データ記憶装置が記憶した複数の音声データのうち、上記出力画像データ取得装置が取得した複数の画像データにそれぞれ対応する複数の音声データを取得して、複数の出力音声データとし、
    上記出力センサデータ取得装置は、上記センサデータ記憶装置が記憶した複数のセンサデータのうち、上記出力画像データ取得装置が取得した複数の画像データにそれぞれ対応する複数のセンサデータを取得して、複数の出力センサデータとし、
    上記記録鍵記憶装置は、共通鍵を記憶し、
    上記画像ハッシュ値算出装置は、上記出力画像データ取得装置が取得した複数の出力画像データのうちの一つの出力画像データに対応する画像ハッシュ値として、上記記録鍵記憶装置が記憶した共通鍵と、上記一つの出力画像データとを含むデータ群に基づいてハッシュ値を算出し、
    上記音声ハッシュ値算出装置は、上記出力画像データ取得装置が取得した複数の出力画像データのうちの一つの出力画像データに対応する音声ハッシュ値として、上記記録鍵記憶装置が記憶した共通鍵と、上記出力音声データ取得装置が取得した複数の出力音声データのうち上記一つの出力画像データに対応する出力音声データとを含むデータ群に基づいてハッシュ値を算出し、
    上記センサハッシュ値算出装置は、上記出力画像データ取得装置が取得した複数の出力画像データのうちの一つの出力画像データに対応するセンサハッシュ値として、上記記録鍵記憶装置が記憶した共通鍵と、上記出力センサデータ取得装置が取得した複数の出力センサデータのうち上記一つの出力画像データに対応する出力センサデータとを含むデータ群に基づいてハッシュ値を算出し、
    上記結合ハッシュ値算出装置は、上記出力画像データ取得装置が取得した複数の出力画像データのうち一つの出力画像データに対応する結合ハッシュ値として、上記記録鍵記憶装置が記憶した共通鍵と、上記画像ハッシュ値算出装置が算出した上記一つの出力画像データに対応する画像ハッシュ値と、上記音声ハッシュ値算出装置が算出した上記一つの出力画像データに対応する音声ハッシュ値と、上記センサハッシュ値算出装置が算出した上記一つの出力画像データに対応するセンサハッシュ値と、上記一つの出力画像データより一つ前の出力画像データに対応する結合ハッシュ値とを含む第一データ群に基づいてハッシュ値を算出し、
    上記出力データ記録装置は、上記出力画像データ取得装置が取得した複数の画像データと、上記出力音声データ取得装置が取得した複数の音声データと、上記出力センサデータ取得装置が取得した複数のセンサデータと、上記画像ハッシュ値算出装置が算出した画像ハッシュ値と、上記音声ハッシュ値算出装置が算出した音声ハッシュ値と、上記センサハッシュ値算出装置が算出したセンサハッシュ値と、上記結合ハッシュ値算出装置が算出した結合ハッシュ値とを記録媒体に記録する
    ことを特徴とする記録装置。
12. 上記センサ装置は、上記記録対象の状態として、上記記録装置を搭載した車両の運転操作の内容と、上記車両の加速度とを検知し、
    上記イベント検出装置は、上記センサ装置が検知した加速度の絶対値が所定の値より大きい場合に、イベントが発生したと判定する
    ことを特徴とする請求項１１に記載の記録装置。
13. 上記記録装置は、更に、メタデータ生成装置と、メタハッシュ値算出装置とを有し、
    上記メタデータ生成装置は、上記撮像装置が画像を撮影する撮影間隔時間と、上記画像データ生成装置が画像データを生成するデータ生成間隔時間と、上記出力画像データ取得装置が先頭画像データを決定するイベント前記録時間と、上記出力画像データ取得装置が末尾画像データを決定するイベント後記録時間と、上記出力画像データ取得装置が取得した画像データの数とのうち少なくともいずれかを含むメタデータを生成し、
    上記メタハッシュ値算出装置は、メタハッシュ値として、上記記録鍵記憶装置が記憶した共通鍵と、上記メタデータ生成装置が生成したメタデータとを含むデータ群に基づいてハッシュ値を算出し、
    上記出力データ記録装置は、更に、上記メタデータ生成装置が生成したメタデータと、上記メタハッシュ値算出装置が算出したメタハッシュ値とを上記記録媒体に記録する
    ことを特徴とする請求項１１または請求項１２に記載の記録装置。
14. 上記結合ハッシュ値算出装置は、上記出力画像データ取得装置が取得した末尾画像データに対応する結合ハッシュ値として、上記メタハッシュ値算出装置が算出したメタハッシュ値を更に含む上記第一データ群に基づいて、ハッシュ値を算出する
    ことを特徴とする請求項１３に記載の記録装置。
15. 上記記録装置は、更に、末尾ハッシュ値算出装置を有し、
    上記末尾ハッシュ値算出装置は、末尾ハッシュ値として、上記記録鍵記憶装置が記憶した共通鍵と、上記出力画像データ取得装置が取得した末尾画像データに対応する結合ハッシュ値と、上記メタハッシュ値算出装置が算出したメタハッシュ値とを含む第二データ群に基づいて、ハッシュ値を算出し、
    上記出力データ記録装置は、更に、上記末尾ハッシュ値算出装置が算出した末尾ハッシュ値を上記記録媒体に記録する
    ことを特徴とする請求項１３に記載の記録装置。
16. 上記結合ハッシュ値算出装置は、上記出力画像データ取得装置が取得した末尾画像データに対応する結合ハッシュ値として、上記出力画像データ取得装置が取得した先頭画像データに対応する結合ハッシュ値を更に含む上記第一データ群に基づいて、ハッシュ値を算出する
    ことを特徴とする請求項１１乃至請求項１４のいずれかに記載の記録装置。
17. 上記末尾ハッシュ値算出装置は、上記末尾ハッシュ値として、上記出力画像データ取得装置が取得した先頭画像データに対応する結合ハッシュ値を更に含む上記第二データ群に基づいて、ハッシュ値を算出する
    ことを特徴とする請求項１５に記載の記録装置。
18. 記録第一データ取得装置と、記録結合ハッシュ値取得装置と、検証鍵記憶装置と、検証結合ハッシュ値算出装置と、結合ハッシュ値検証装置とを有し、
    上記記録第一データ取得装置は、記録媒体に記録された記録データから、順序を有する複数の記録第一データを取得し、
    上記記録結合ハッシュ値取得装置は、上記記録媒体に記録された記録データから、上記記録第一データ取得装置が取得した複数の記録第一データのうちの一つの記録第一データに対応する記録結合ハッシュ値を取得し、
    上記検証鍵記憶装置は、共通鍵を記憶し、
    上記検証結合ハッシュ値算出装置は、上記記録第一データ取得装置が取得した複数の記録第一データのうちの一つの記録第一データに対応する検証結合ハッシュ値として、上記検証鍵記憶装置が記憶した共通鍵と、上記一つの記録第一データと、上記一つの記録第一データより一つ前の記録第一データに対応する検証結合ハッシュ値とを含む第三データ群に基づいてハッシュ値を算出し、
    上記結合ハッシュ値検証装置は、上記記録第一データ取得装置が取得した複数の記録第一データのうちの一つの記録第一データについて、上記記録結合ハッシュ値取得装置が取得した上記一つの記録第一データに対応する記録結合ハッシュ値と、上記検証結合ハッシュ値算出装置が算出した上記一つの記録第一データに対応する検証結合ハッシュ値とを比較して、一致しない場合に、上記記録媒体に記録された記録データが改竄されていると判定する
    ことを特徴とする検証装置。
19. 上記検証装置は、更に、記録第一ハッシュ値取得装置と、検証第一ハッシュ値算出装置と、第一ハッシュ値検証装置とを有し、
    上記記録第一ハッシュ値取得装置は、上記記録媒体に記録された記録データから、上記記録第一データ取得装置が取得した複数の記録第一データのうちの一つの記録第一データに対応する記録第一ハッシュ値を取得し、
    上記検証第一ハッシュ値算出装置は、上記記録第一データ取得装置が取得した複数の記録第一データのうちの一つの記録第一データに対応する検証第一ハッシュ値として、上記検証鍵記憶装置が記憶した共通鍵と、上記一つの記録第一データとを含むデータ群に基づいてハッシュ値を算出し、
    上記検証結合ハッシュ値算出装置は、上記記録第一データ取得装置が取得した複数の記録第一データのうちの一つの記録第一データに対応する検証結合ハッシュ値として、上記検証鍵記憶装置が記憶した共通鍵と、上記検証第一ハッシュ値算出装置が算出した上記一つの記録第一データに対応する検証第一ハッシュ値と、上記一つの記録第一データより一つ前の記録第一データに対応する検証結合ハッシュ値とを含む第三データ群に基づいてハッシュ値を算出し、
    上記第一ハッシュ値検証装置は、上記記録第一データ取得装置が取得した複数の記録第一データのうちの一つの記録第一データについて、上記記録第一ハッシュ値取得装置が取得した上記一つの記録第一データに対応する記録第一ハッシュ値と、上記検証第一ハッシュ値算出装置が算出した上記一つの記録第一データに対応する検証第一ハッシュ値とを比較して、一致しない場合に、上記記録媒体に記録された記録データが改竄されていると判定する
    ことを特徴とする請求項１８または請求項１９に記載の検証装置。
20. 上記検証装置は、更に、記録第二データ取得装置を有し、
    上記記録第二データ取得装置は、上記記録媒体に記録された記録データから、上記記録第一データ取得装置が取得した複数の記録第一データにそれぞれ対応する複数の記録第二データを取得し、
    上記検証結合ハッシュ値算出装置は、上記記録第一データ取得装置が取得した複数の記録第一データのうちの一つの記録第一データに対応する検証結合ハッシュ値として、上記記録第二データ取得装置が取得した複数の記録第二データのうち上記一つの記録第一データに対応する記録第二データを更に含む上記第三データ群に基づいてハッシュ値を算出する
    ことを特徴とする請求項１８または請求項１９に記載の検証装置。
21. 上記検証装置は、更に、第一再生装置を有し、
    上記第一再生装置は、上記記録媒体に記録された記録データが改竄されていると判定されない場合に、上記記録第一データ取得装置が取得した複数の記録第一データの順序にしたがって、上記複数の記録第一データを再生する
    ことを特徴とする請求項１８乃至請求項２０のいずれかに記載の検証装置。
22. 上記検証装置は、更に、第一再生装置と、第二再生装置とを有し、
    上記第一再生装置は、上記記録媒体に記録された記録データが改竄されていると判定されない場合に、上記記録第一データ取得装置が取得した複数の記録第一データの順序にしたがって、上記複数の記録第一データを再生し、
    上記第二再生装置は、上記記録媒体に記録された記録データが改竄されていると判定されない場合に、上記記録第二データ取得装置が取得した複数の記録第二データそれぞれが対応する複数の記録第一データを上記第一再生装置が再生するのに同期して、上記複数の記録第二データを再生する
    ことを特徴とする請求項２０に記載の検証装置。
23. 上記検証装置は、更に、第一データ変換装置と、請求項１乃至請求項１７のいずれかに記載の記録装置とを有し、
    上記第一データ変換装置は、上記記録媒体に記録された記録データが改竄されていると判定されない場合に、上記記録第一データ取得装置が取得した記録第一データのデータ形式を変換して、変換第一データとし、
    上記出力第一データ取得装置は、上記出力第一データとして、上記第一データ変換装置が変換した変換第一データを取得することを特徴とする請求項１８乃至請求項２２のいずれかに記載の検証装置。
24. 上記検証装置は、更に、検証鍵取得装置を有し、
    上記検証鍵取得装置は、耐タンパ性を有する上記記録媒体から共通鍵を取得し、
    上記検証鍵記憶装置は、上記検証鍵取得装置が取得した共通鍵を記憶する
    ことを特徴とする請求項１８乃至請求項２３のいずれかに記載の検証装置。
25. 記録画像データ取得装置と、記録音声データ取得装置と、記録センサデータ取得装置と、記録画像ハッシュ値取得装置と、記録音声ハッシュ値取得装置と、記録センサハッシュ値取得装置と、記録結合ハッシュ値取得装置と、検証鍵記憶装置と、検証画像ハッシュ値算出装置と、検証音声ハッシュ値算出装置と、検証センサハッシュ値算出装置と、検証結合ハッシュ値算出装置と、画像ハッシュ値検証装置と、音声ハッシュ値検証装置と、センサハッシュ値検証装置と、結合ハッシュ値検証装置と、画像再生装置と、音声再生装置と、状態再生装置とを有し、
    上記記録画像データ取得装置は、記録媒体に記録された記録データから、順序を有する複数の記録画像データを取得し、
    上記記録音声データ取得装置は、上記記録媒体に記録された記録データから、上記複数の記録画像データにそれぞれ対応する複数の記録音声データを取得し、
    上記記録センサデータ取得装置は、上記記録媒体に記録された記録データから、上記複数の記録画像データにそれぞれ対応する複数の記録センサデータを取得し、
    上記記録画像ハッシュ値取得装置は、上記記録媒体に記録された記録データから、上記複数の記録画像データにそれぞれ対応する複数の記録画像ハッシュ値を取得し、
    上記記録音声ハッシュ値取得装置は、上記記録媒体に記録された記録データから、上記複数の記録画像データにそれぞれ対応する複数の記録音声ハッシュ値を取得し、
    上記記録センサハッシュ値取得装置は、上記記録媒体に記録された記録データから、上記複数の記録画像データにそれぞれ対応する複数の記録センサハッシュ値を取得し、
    上記記録結合ハッシュ値取得装置は、上記記録媒体に記録された記録データから、上記複数の記録画像データにそれぞれ対応する複数の記録結合ハッシュ値を取得し、
    上記検証鍵記憶装置は、共通鍵を記憶し、
    上記検証画像ハッシュ値算出装置は、上記記録画像データ取得装置が取得した複数の記録画像データのうちの一つの記録画像データに対応する検証画像ハッシュ値として、上記検証鍵記憶装置が記憶した共通鍵と、上記一つの記録画像データとを含むデータ群に基づいてハッシュ値を算出し、
    上記検証音声ハッシュ値算出装置は、上記記録画像データ取得装置が取得した複数の記録画像データのうちの一つの記録画像データに対応する検証音声ハッシュ値として、上記検証鍵記憶装置が記憶した共通鍵と、上記記録音声データ取得装置が取得した複数の記録音声データのうち上記一つの記録画像データに対応する記録音声データとを含むデータ群に基づいてハッシュ値を算出し、
    上記検証センサハッシュ値算出装置は、上記記録画像データ取得装置が取得した複数の記録画像データのうちの一つの記録画像データに対応する検証センサハッシュ値として、上記検証鍵記憶装置が記憶した共通鍵と、上記記録センサデータ取得装置が取得した複数の記録センサデータのうち上記一つの記録画像データに対応する記録センサデータとを含むデータ群に基づいてハッシュ値を算出し、
    上記検証結合ハッシュ値算出装置は、上記記録画像データ取得装置が取得した複数の記録画像データのうちの一つの記録画像データに対応する検証結合ハッシュ値として、上記検証鍵記憶装置が記憶した共通鍵と、上記検証画像ハッシュ値算出装置が算出した上記一つの記録画像データに対応する検証画像ハッシュ値と、上記検証音声ハッシュ値算出装置が算出した上記一つの記録画像データに対応する検証音声ハッシュ値と、上記検証センサハッシュ値算出装置が算出した上記一つの記録画像データに対応する検証センサハッシュ値と、上記一つの記録画像データより一つ前の記録画像データに対応する検証結合ハッシュ値とを含む第三データ群に基づいてハッシュ値を算出し、
    上記画像ハッシュ値検証装置は、上記記録画像データ取得装置が取得した複数の記録画像データのうちの一つの記録画像データについて、上記記録画像ハッシュ値取得装置が取得した上記一つの記録画像データに対応する記録画像ハッシュ値と、上記検証画像ハッシュ値算出装置が算出した上記一つの記録画像データに対応する検証画像ハッシュ値とを比較し、一致しない場合に、上記記録媒体に記録された記録データが改竄されていると判定し、
    上記音声ハッシュ値検証装置は、上記記録画像データ取得装置が取得した複数の記録画像データのうちの一つの記録画像データについて、上記記録音声ハッシュ値取得装置が取得した上記一つの記録画像データに対応する記録音声ハッシュ値と、上記検証音声ハッシュ値算出装置が算出した上記一つの記録画像データに対応する検証音声ハッシュ値とを比較し、一致しない場合に、上記記録媒体に記録された記録データが改竄されていると判定し、
    上記センサハッシュ値検証装置は、上記記録画像データ取得装置が取得した複数の記録画像データのうちの一つの記録画像データについて、上記記録センサハッシュ値取得装置が取得した上記一つの記録画像データに対応する記録センサハッシュ値と、上記検証センサハッシュ値算出装置が算出した上記一つの記録画像データに対応する検証センサハッシュ値とを比較し、一致しない場合に、上記記録媒体に記録された記録データが改竄されていると判定し、
    上記結合ハッシュ値検証装置は、上記記録画像データ取得装置が取得した複数の記録画像データのうちの一つの記録画像データについて、上記記録結合ハッシュ値取得装置が取得した上記一つの記録画像データに対応する記録結合ハッシュ値と、上記検証結合ハッシュ値算出装置が算出した上記一つの記録画像データに対応する検証結合ハッシュ値とを比較し、一致しない場合に、上記記録媒体に記録された記録データが改竄されていると判定し、
    上記画像再生装置は、上記記録媒体に記録された記録データが改竄されていると判定されない場合に、上記記録画像データ取得装置が取得した複数の記録画像データの順序にしたがって、上記複数の記録画像データを再生して、上記複数の記録画像データが表わす画像を表示し、
    上記音声再生装置は、上記記録媒体に記録された記録データが改竄されていると判定されない場合に、上記記録音声データ取得装置が取得した複数の記録音声データそれぞれに対応する複数の記録画像データが表わす画像を上記画像再生装置が表示するのに同期して、上記複数の記録音声データを再生して、上記複数の記録音声データが表わす音声を出力し、
    上記状態再生装置は、上記記録媒体に記録された記録データが改竄されていると判定されない場合に、上記記録センサデータ取得装置が取得した複数の記録センサデータそれぞれに対応する複数の記録画像データが表わす画像を上記画像再生装置が表示するのに同期して、上記複数の記録センサデータを再生して、上記複数の記録センサデータが表わす記録対象の状態を表示する
    ことを特徴とする再生装置。
26. 記録鍵記憶装置と、出力第一データ取得装置と、結合ハッシュ値算出装置と、出力データ記録装置とを有する記録装置が複数の出力第一データを記録する記録方法において、
    上記記録鍵記憶装置が、共通鍵を記憶し、
    上記出力第一データ取得装置が、順序を有する複数の出力第一データを取得し、
    上記結合ハッシュ値算出装置が、上記出力第一データ取得装置が取得した複数の出力第一データのうちの一つの出力第一データに対応する結合ハッシュ値として、上記記録鍵記憶装置が記憶した共通鍵と、上記一つの出力第一データと、上記一つの出力第一データより一つ前の出力第一データに対応する結合ハッシュ値とを含む第一データ群に基づいて、ハッシュ値を算出し、
    上記出力データ記録装置が、上記出力第一データ取得装置が取得した複数の出力第一データと、上記結合ハッシュ値算出装置が算出した結合ハッシュ値とを記録媒体に記録する
    ことを特徴とする記録方法。
27. 記録第一データ取得装置と、記録結合ハッシュ値取得装置と、検証鍵記憶装置と、検証結合ハッシュ値算出装置と、結合ハッシュ値検証装置とを有する検証装置が記録データの改竄を検証する検証方法において、
    上記記録第一データ取得装置が、記録媒体に記録された記録データから、順序を有する複数の記録第一データを取得し、
    上記記録結合ハッシュ値取得装置が、上記記録媒体に記録された記録データから、上記記録第一データ取得装置が取得した複数の記録第一データのうちの一つの記録第一データに対応する記録結合ハッシュ値を取得し、
    上記検証鍵記憶装置が、共通鍵を記憶し、
    上記検証結合ハッシュ値算出装置が、上記記録第一データ取得装置が取得した複数の記録第一データのうちの一つの記録第一データに対応する検証結合ハッシュ値として、上記検証鍵記憶装置が記憶した共通鍵と、上記複数の記録第一データと、上記一つの記録第一データより一つ前の記録第一データに対応する検証結合ハッシュ値とを含む第三データ群に基づいてハッシュ値を算出し、
    上記結合ハッシュ値検証装置が、上記記録第一データ取得装置が取得した複数の記録第一データのうちの一つの記録第一データについて、上記記録結合ハッシュ値取得装置が取得した上記一つの記録第一データに対応する記録結合ハッシュ値と、上記検証結合ハッシュ値算出装置が算出した上記一つの記録第一データに対応する検証結合ハッシュ値とを比較して、一致しない場合に、上記記録媒体に記録された記録データが改竄されていると判定する
    ことを特徴とする検証方法。
28. コンピュータを、請求項１乃至請求項１７のいずれかに記載の記録装置または請求項１８乃至請求項２５のいずれかに記載の検証装置として機能させることを特徴とするプログラム。

Images