JP2010074338A - 画像記憶装置 - Google Patents

Abstract

【課題】ネットワークへの接続頻度を低減しつつタイムスタンプサーバによる時刻証明を利用できるようにする。
【解決手段】ドライブレコーダ６は、動画を撮影して、所定記録時間の動画を更新しながら記憶すると共に、当該動画を構成する静止画をサンプリングして記憶し、サンプリング開始時の静止画に関しては、そのハッシュ値を計算してハッシュ値用サーバ３に送信する。最初のハッシュ値を送信した後は、静止画をサンプリングするごとに、当該静止画のハッシュ値を計算し、直前の静止画のハッシュ値とのハッシュリンクを計算して、ハッシュ値を順次関連づけていく。事故などのイベントが発生すると、動画の更新を停止してイベント発生時の含まれる動画を記憶し、当該動画を構成する静止画のハッシュ値を計算して、直前の静止画のハッシュ値とのハッシュリンクを計算し、当該計算値をハッシュ値用サーバ３に送信する。
【選択図】図１

Description

本発明は、画像記憶装置に関し、例えば、車両が走行する際の状況を撮影するドライブレコーダに関する。

近年、車両に周囲や内部などの状況を撮影するカメラを設置し、走行中にこれによって動画を撮影するドライブレコーダが普及しつつある。
ドライブレコーダは、動画を更新しながらメモリに記憶することにより、過去から現在に至る所定の記録時間（例えば３０秒）の動画をメモリに記憶する。
そして、衝突事故などの所定のイベントが発生すると、イベント発生後の所定時間経過後（例えば、１０秒）に動画の更新を停止する。
これにより、上の例では、イベント発生前の２０秒からイベント発生の１０秒後までの動画が記憶され、当該動画によりイベント発生時の状況を検証することができる。

このようにドライブレコーダを用いた技術として、次の特許文献１の「車両用データ記憶装置及びデータ記憶方法」がある。
この技術は、ドライブレコーダで記録された映像データに、その映像が撮影された時刻を記録するものである。
特開２００２−１３５７６９公報

本願出願人は、ドライブレコーダに記憶された動画の記録時間の客観性を高めるため、ドライブレコーダを通信ネットワークに接続し、当該動画に対してタイムスタンプサーバによる時刻証明を行おうと考えている。
ところが、ネットワークに頻繁に接続すると通信費用がかさむという問題があった。

そこで、本発明の目的は、ドライブレコーダで、ネットワークへの接続頻度を低減しつつタイムスタンプサーバによる時刻証明を利用できるようにすることである。

前記目的を達成するために、請求項１に記載の発明では、移動体に搭載されたカメラから動画を取得し、現在までの所定記録時間の動画を順次更新しながら記憶する動画記憶手段と、所定のサンプリング周期で前記動画を構成する静止画を取得するサンプリング手段と、前記取得した静止画に基づいて、サンプリング時点に固有な固有情報を取得する固有情報取得手段と、タイムスタンプを取得する所定のサーバに、前記サンプリングの開始時に取得した静止画に基づく固有情報を送信する固有情報送信手段と、前記固有情報を送信した後に前記固有情報取得手段で取得した固有情報を記憶する固有情報記憶手段と、前記固有情報を送信した後、前記固有情報取得手段で固有情報を取得するごとに、当該固有情報と１つ前の固有情報を、所定の関数を用いて順次関連づける関連づけ手段と、イベントの発生を検出するイベント検出手段と、前記イベント検出手段でイベントを検出した場合に、当該イベントの発生時から前記所定記録時間よりも短い時間に前記動画記憶手段による動画の更新を停止する更新停止手段と、を具備し、少なくとも前記イベント時における最新の固有情報の元となった静止画が保存されていることを特徴とする画像記憶装置を提供する。
請求項２に記載の発明では、前記所定の関数は一方向性関数であることを特徴とする請求項１に記載の画像記憶装置を提供する。
請求項３に記載の発明では、前記サンプリング周期は、前記所定記録時間以下であることを特徴とする請求項１、又は請求項２に記載の画像記憶装置を提供する。
請求項４に記載の発明では、前記更新停止手段が動画の更新を停止した場合、前記関連づけ手段は、前記更新を停止した動画を構成する静止画に基づく固有情報を前記所定の関数によって当該静止画の１つ前に取得した静止画の固有情報と関連づけ、前記固有情報送信手段は、当該関連づけによる関数値を前記所定のサーバに送信することを特徴とする請求項１、請求項２、又は請求項３に記載の画像記憶装置を提供する。
請求項５に記載の発明では、前記固有情報送信手段は、前記関連づけによる関数値を前記所定のサーバに送信する際に、当該所定のサーバと回線が接続できない場合は、少なくとも一定期間、当該所定のサーバとの接続を試み、当該試みによって当該所定のサーバと接続した際に、前記関数値を送信することを特徴とする請求項１から請求項４までのうちの何れか１の請求項に記載の画像記憶装置を提供する。
請求項６に記載の発明では、前記関連づけ手段による関連づけを開始した後、当該関連づけの起点となった情報を消去すると共に、前記関連づけ手段が固有情報を関連づけるごとに、当該関連づけに使用した関数値を消去することを特徴とする請求項１から請求項５までのうちの何れか１の請求項に記載の画像記憶装置を提供する。
請求項７に記載の発明では、現在日時刻を取得する現在日時刻取得手段を具備し、前記固有情報は、前記取得した現在日時刻を含むことを特徴とする請求項１から請求項６までのうちの何れか１の請求項に記載の画像記憶装置を提供する。
請求項８に記載の発明では、現在位置を取得する現在位置取得手段を具備し、前記固有情報は、前記取得した現在位置を含むことを特徴とする請求項１から請求項７までのうちの何れか１の請求項に記載の画像記憶装置を提供する。
請求項９に記載の発明では、所定の関数を用いて前記動画記憶手段に記憶する動画の関数値を取得する動画関数値取得手段を具備し、前記固有情報は、前記取得した動画の関数値を含むことを特徴とする請求項１から請求項８までのうちの何れか１の請求項に記載の画像記憶装置を提供する。

本発明によれば、所定のサンプリング周期で撮影した静止画をハッシュリンクによって関連させると共に、最初にサンプリングした静止画を時刻証明することにより、ネットワークへの接続頻度を低減しつつタイムスタンプサーバによる時刻証明を行うことができる。

（１）実施の形態の概要
ドライブレコーダ６（図１）は、動画を撮影して、所定記録時間の動画を更新しながら記憶すると共に、当該動画を構成する静止画をサンプリングして記憶する。
ドライブレコーダ６は、サンプリング開始時の静止画に関しては、そのハッシュ値を計算してハッシュ値用サーバ３に送信する。ハッシュ値用サーバ３は、当該ハッシュ値をタイムスタンプサーバ２に送信してタイムスタンプを発行してもらい、タイムスタンプ付きのハッシュ値を返信してもらって記憶する。

ドライブレコーダ６は、最初のハッシュ値を送信した後は、静止画をサンプリングするごとに、当該静止画のハッシュ値を計算し、直前の静止画のハッシュ値とのハッシュリンクを計算して、ハッシュ値を順次関連づけていく。
そして、事故などのイベントが発生すると、ドライブレコーダ６は、動画の更新を停止してイベント発生時の含まれる動画を記憶する。

更に、ドライブレコーダ６は、当該動画を構成する静止画のハッシュ値を計算して、直前の静止画のハッシュ値とのハッシュリンクを計算し、当該計算値をハッシュ値用サーバ３に送信する。
ハッシュ値用サーバ３は、当該計算値を受信すると、先のハッシュ値と同様に、タイムスタンプサーバ２に送信してタイムスタンプを発行してもらい、これを記憶する。

このように、イベントが発生した場合、最初にサンプリングした静止画からイベント発生時の動画を構成する静止画まで、各静止画がハッシュリンクにより関連づけられると共に、ハッシュリンクの起点（最初の静止画のハッシュ値）と終点（ハッシュリンクによる最終的な関数値（演算値））に対してタイムスタンプサーバ２による時刻証明が付与される。

イベントの後、ドライブレコーダ６に記憶されている一連の静止画とイベントの発生を記録した動画を証拠として利用する場合、これら静止画からハッシュリンクを復元し、その起点と終点が、タイムスタンプが付与されたものと一致することを以て、これら静止画の正統性を確認することができ、また、静止画からの枚数とサンプリング周期から、事故発生時の静止画の撮影日時刻を計算することができる。これによって、動画の撮影日時刻をタイムスタンプによって間接的に証明することができる。
また、ネットワーク４を介して通信するのは、サンプリング開始時とイベント発生時であり、その間はハッシュリンクによって静止画を関連させていくので、通信費用を低減することができる。

（２）実施の形態の詳細
図１は、本実施の形態に係る情報処理システム１のネットワーク構成を説明するための図である。
情報処理システム１は、タイムスタンプサーバ２、ハッシュ値用サーバ３、ネットワーク４、基地局５、ドライブレコーダ６などを用いて構成されている。
車両８は、例えば、乗用車や運送車両などであるが、これに限定するものではなく、例えば、船舶や航空機など、各種の移動体とすることができる。

ドライブレコーダ６は、車両８に搭載されており、カメラ７を備え、画像記憶装置として機能している。
カメラ７は、車両８の前方を撮影しており、ドライブレコーダ６は、これによる画像（動画と静止画）を記憶する。
また、カメラ７を複数台設け、車両８の側方、後方、あるいは車内を撮影するように構成することもできる。

ドライブレコーダ６は、例えば、記録時間が３０秒間の動画を更新しながらメモリに記憶すると共に、例えば、３０秒ごとに動画を構成する静止画をサンプリングして抽出し、そのハッシュ値を計算して、ハッシュリンクにより各静止画を関連づけていく。
そして、車両８は、その関連の起点となるハッシュ値をハッシュ値用サーバ３に送信する。
また、事故などのイベントが発生した場合、ドライブレコーダ６は、動画の更新を停止し、当該動画に含まれる静止画を、その１つ前の静止画とハッシュリンクにより関連づけ、その関連値（後述の累積ハッシュ値）をハッシュ値用サーバ３に送信する。

ハッシュ値用サーバ３は、ネットワーク４を介してドライブレコーダ６とタイムスタンプサーバ２と通信することができ、ドライブレコーダ６から送信されてきた静止画のハッシュ値や累積ハッシュ値を受信すると速やかにタイムスタンプサーバ２に送信してタイムスタンプを発行してもらい、これらを保存する。
ハッシュ値用サーバ３は、これらタイムスタンプが発行されたハッシュ値や累積ハッシュ値を証拠として保管する証拠保管センターとして機能している。

タイムスタンプサーバ２は、電子文書などの電子データにタイムスタンプを発行して時刻証明を行うサーバであり、本実施の形態では、ハッシュ値用サーバ３が送信してきた静止画のハッシュ値や累積ハッシュ値にタイムスタンプを発行してハッシュ値用サーバ３に送信する。
タイムスタンプの発行は、例えば、ネットワーク４経由で送信されてきた電子データに時刻を付与して秘密鍵で電子署名することにより行われる。
電子署名の確認は、当該秘密鍵に対応する公開鍵を用いて電子署名が復号化できたことを以て行うことができ、当該電子署名がタイムスタンプサーバ２によってなされたものであることを確認することができる。

ネットワーク４は、例えば、インターネットや携帯電話網などの通信ネットワークによって構成されており、ドライブレコーダ６とハッシュ値用サーバ３の間の通信、及びハッシュ値用サーバ３とタイムスタンプサーバ２の間の通信を仲介する。
基地局５は、例えば、携帯端末などを携帯電話網などに接続する基地局であって、ドライブレコーダ６と無線回線により接続し、ドライブレコーダ６とネットワーク４との通信を仲介する。

図２は、ドライブレコーダ６のハードウェア的な構成を説明するための図である。
ドライブレコーダ６は、ＣＰＵ２１、ＲＯＭ２２、ＲＡＭ２３、時計部２４、カメラ部２５、カメラ７、通信部２６、車両情報部２７、イベント検出部２８、緊急用電源２９、不揮発メモリ３０などから構成されている。

ＣＰＵ２１は、所定のプログラムに従って各種情報処理やドライブレコーダ６の各部を制御する中央処理装置である。ＣＰＵ２１が行う処理は、後ほど詳細に説明する。
ＲＯＭ２２は、読み出し専用メモリであって、ＣＰＵ２１が実行するプログラムやパラメータなどを記憶している。
ＲＡＭ２３は、読み書きが可能なメモリであって、ＣＰＵ２１がプログラムをロードしたり、各種情報処理を行う際のワーキングメモリを提供する。

時計部２４は、例えば、水晶発振器などを用いて時刻情報を出力する。ドライブレコーダ６は、時計部２４が出力する時刻情報を用いて動画の記録時間や静止画のサンプリング周期などを計測する。
また、静止画や動画に現在時刻を記録する場合、時計部２４が出力した時刻情報を用いることができる。
なお、この場合、時計部２４の時刻情報の代わりにＧＰＳ（Ｇｌｏｂａｌ Ｐｏｓｉｔｉｏｎｉｎｇ Ｓｙｓｔｅｍ）によってＧＰＳ衛星から送信されてくる日時刻を記録用に用いてもよい。

カメラ７は、光学系を用いて被写体をＣＣＤ（Ｃｈａｒｇｅ−Ｃｏｕｐｌｅｄ Ｄｅｖｉｃｅ）などに投影し、その画像を電気信号に変換することにより画像を撮影する。
カメラ部２５は、カメラ７と接続されており、カメラ７で撮影された動画像からＣＰＵ２１が処理可能な画像データを生成する。

カメラ７は、ドライブレコーダ６の筐体に組み込まれ一体型として構成してもよいし、あるいは、カメラ７とカメラ部２５を信号コードで接続し、カメラ７とドライブレコーダ６の筐体を別体として構成してもよい。
通信部２６は、アンテナを備えており、基地局５との無線通信を行う。
車両情報部２７は、ＧＰＳシステムから現在位置や現在時刻などを受信したり、車両８のシステムから車速や加速度などの走行状態に関する情報などを受信する。

イベント検出部２８は、動画の更新を停止するイベントが発生したか否かを検出する。ここでは、イベントの一例として事故を想定しており、例えば、車両８が他車両と衝突したり、障害物と衝突した場合に、これらのイベントの発生を検出する。
このような機能を発揮するために、イベント検出部２８は、加速度センサを備えており、車両８の加速度が所定値以上の場合にイベントの発生が検出される。
このように、ドライブレコーダ６は、イベントの発生を検出するイベント検出手段を備えている。

緊急用電源２９は、車両８からドライブレコーダ６に供給される電力が途絶えた場合に、ドライブレコーダ６に電力を供給する電力源であり、電池などで構成される。
ドライブレコーダ６は、例えば、トンネル内などでネットワーク４に接続できない場合、ネットワーク４に接続できるまで接続を試みるが、その場合、車両８からの電力が供給されない場合も想定されるため、補助電源として緊急用電源２９を備えたものである。

不揮発メモリ３０は、読み書きが可能で電力が供給されなくても記憶内容を保持するメモリであり、例えば、フラッシュメモリなどを用いて構成されている。

不揮発メモリ３０には、プログラム格納部３１とデータ格納部３２が形成されている。
プログラム格納部３１には、ＣＰＵ２１が情報処理を行うための各種プログラムが記憶されており、データ格納部３２には、カメラ７が撮影した動画や動画からサンプリングした静止画などを記憶する。静止画は、例えば、ファイル名をシリアルナンバにするなどして、サンプリングされた順序が特定できるようになっている。

図では、プログラム格納部３１とデータ格納部３２を単一の不揮発メモリ３０に形成したが、プログラム格納部３１用のメモリとデータ格納部３２用のメモリを別に用意し、データ格納部３２用のメモリをドライブレコーダ６から着脱可能に構成することもできる。
不揮発メモリ３０を着脱可能に構成すると、ユーザが不揮発メモリ３０を自身のパーソナルコンピュータなどの端末に装着して、静止画や動画のデータを読み出すことが可能となる。
また、ドライブレコーダ６に端末と接続するためのインターフェースを用意し、これを用いてドライブレコーダ６から端末にデータを転送するように構成することもできる。

図３（１）は、ハッシュ値用サーバ３のハードウェア的な構成を説明するための図である。
ハッシュ値用サーバ３は、ＣＰＵ４１、ＲＯＭ４２、ＲＡＭ４３、通信部４４、記憶部４５などから構成されている。

ＣＰＵ４１は、所定のプログラムに従って各種情報処理やハッシュ値用サーバ３の各部の制御を行う。具体的には、例えば、ドライブレコーダ６からハッシュ値や累積ハッシュ値を受信してタイムスタンプサーバ２に送信し、タイムスタンプサーバ２でタイムスタンプが発行されたハッシュ値や累積ハッシュ値を受信して記憶部４５に記憶する。

ＲＯＭ４２は、読み出し専用メモリであって、ハッシュ値用サーバ３が動作するための基本的なプログラムやパラメータなどを記憶している。
ＲＡＭ４３は、読み書きが可能なメモリであって、ＣＰＵ４１がプログラムをロードしたり、各種情報処理を行う際のワーキングメモリを提供する。
通信部４４は、ハッシュ値用サーバ３をネットワーク４に接続する。ハッシュ値用サーバ３は、通信部４４を介してドライブレコーダ６やタイムスタンプサーバ２と通信することができる。

記憶部４５は、例えば、ハードディスクなどの大容量の記憶装置を用いて構成されている。
記憶部４５には、プログラム格納部４６とデータ格納部４７が形成されている。
プログラム格納部４６には、ＣＰＵ４１に上記の機能を発揮させるプログラムなどが記憶されている。
データ格納部４７には、ハッシュ値データベースが形成されており、ドライブレコーダ６から送信されてきたハッシュ値や累積ハッシュ値にタイムスタンプを発行したものを記憶している。

図３（２）は、タイムスタンプサーバ２のハードウェア的な構成を説明するための図である。
タイムスタンプサーバ２は、ＣＰＵ５１、ＲＯＭ５２、ＲＡＭ５３、タイムスタンプ部５４、通信部５５、記憶部５６などから構成されている。
ＣＰＵ５１は、所定のプログラムに従って各種情報処理やタイムスタンプサーバ２の各部の制御を行う。具体的には、例えば、ハッシュ値用サーバ３からハッシュ値や累積ハッシュ値を受信し、タイムスタンプ部５４を用いてこれにタイムスタンプを発行してハッシュ値用サーバ３に送信する。

タイムスタンプ部５４は、電子文書などの電子データにタイムスタンプを発行するモジュールである。
タイムスタンプ部５４は、原子時計を備えており、正確な日時刻を計測している。
そして、タイムスタンプ部５４は、秘密鍵を記憶しており、例えば、電子文書に原子時計で計測した日時刻を付加してこれを秘密鍵で暗号化して電子署名を行う。
この電子署名は、当該秘密鍵に対応する公開鍵で復号化することにより、電子データの内容とタイムスタンプ部５４が付与した日時刻の正統性を確認できるため、タイムスタンプとして機能する。

ＲＯＭ５２は、読み出し専用メモリであって、タイムスタンプサーバ２が動作するための基本的なプログラムやパラメータなどを記憶している。
ＲＡＭ５３は、読み書きが可能なメモリであって、ＣＰＵ５１がプログラムをロードしたり、各種情報処理を行う際のワーキングメモリを提供する。
通信部５５は、タイムスタンプサーバ２をネットワーク４に接続する。タイムスタンプサーバ２は、記憶部４５を介してハッシュ値用サーバ３と通信することができる。
記憶部５６は、例えば、ハードディスクなどの大容量の記憶装置を用いて構成されており、ＣＰＵ４１に上記の機能を発揮させるプログラムなどが記憶されている。

図４は、ハッシュ値用サーバ３のハッシュ値データベースの論理的な構成を説明するための図である。
ハッシュ値データベースは、「機器ＩＤ」、「開始日時」、「静止画１−０のハッシュ値＋タイムスタンプ」、・・・・などの各要素が記憶されている。

「機器ＩＤ」は、ドライブレコーダ６を識別するためのＩＤ情報である。ハッシュ値用サーバ３は、ドライブレコーダ６と通信を開始するに当たり、例えば、ドライブレコーダ６を機器認証してドライブレコーダ６の機器ＩＤを特定する。
「開始日時」は、車両８が走行を開始してハッシュ値をハッシュ値用サーバ３に送信した日時である。
「機器ＩＤ」と「開始日時」により、どの車両のいつのデータであるかを特定することができる。

「静止画１−０のハッシュ値＋タイムスタンプ」は、ドライブレコーダ６が送信してきた静止画１−０のハッシュ値にタイムスタンプを付与したものである。
後述するように、車両８が走行を開始すると、ドライブレコーダ６は、静止画１−０のハッシュ値、静止画２−０のハッシュ値、・・・といったように、静止画のハッシュ値を送信してくるが、ハッシュ値用サーバ３は、これをタイムスタンプサーバ２に送信してタイムスタンプを発行してもらい、ハッシュ値データベースに記憶する。
また、車両８でイベントが発生するとドライブレコーダ６は累積ハッシュ値をハッシュ値用サーバ３に送信するが、タイムスタンプが付与された累積ハッシュ値もハッシュ値データベースに記憶される。

図５は、イベントが発生していない通常時にドライブレコーダ６が行う情報処理を説明するための図である。
ドライブレコーダ６は、車両８が走行を開始すると、ΔＴ＝６０分を周期として静止画のハッシュリンクを生成する。この周期をハッシュリンク周期と呼ぶことにする。図５はｎ周期目を表している。
なお、本実施の形態でハッシュリンク周期を６０分とするのは一例であって、異なる時間間隔、あるいは、車両８が始動してから停止するまでをハッシュリンク周期としてもよい。

ドライブレコーダ６は、カメラ７で撮影した所定の動画記録時間（ここでは３０秒とする）前から現在までの動画を更新しながらデータ格納部３２に記憶する。
この更新は古い画像（所謂コマ、フレーム）を消去しながら連続的に行われるが、ここでは、説明を容易にするために３０秒ごとの動画を動画ｎ−０、動画ｎ−１、・・・とする。ｎはハッシュリンク周期を表す。
このように、ドライブレコーダ６は、移動体に搭載されたカメラ７から動画を取得し、現在までの所定記録時間の動画を順次更新しながら記憶する動画記憶手段を備えている。

ドライブレコーダ６は、動画の記録を行いながら、カメラ７が撮影した動画から当該動画を構成する静止画（所謂１コマ、フレーム）をサンプリングして抽出する。
静止画の抽出は、データ格納部３２に記憶した動画から抽出してもよいし、あるいは、データ格納部３２に記憶する過程で抽出してもよい。
このように、ドライブレコーダ６は、所定のサンプリング周期で動画を構成する静止画を取得するサンプリング手段を備えている。

サンプリング周期（静止画を抽出する時間間隔）は、動画記録時間以下が望ましい。なぜなら、イベントが発生して、イベント時の３０秒間の動画がデータ格納部３２に記憶された場合、静止画を抽出する時間間隔が動画の記録時間以下であれば、データ格納部３２に記憶された動画を構成する静止画が必ず抽出されているからである。
そして、動画に含まれる静止画の撮影時刻が後述のハッシュリンクにより特定できるため、これによって当該動画が撮影された時刻をより確実に特定できるからである。

ここでは、ドライブレコーダ６は、静止画を抽出するサンプリング周期を３０秒とする。
そして、図５に示したように、動画ｎ−０から抽出した静止画を静止画ｎ−０、以下同様に静止画ｎ−１、ｎ−２、・・・、ｎ−１１９とする。静止画を抽出する位置は、動画のどこでもよい。

ドライブレコーダ６は、ｎ周期目の最初の静止画ｎ−０を抽出すると、これをデータ格納部３２に保存すると共に、この静止画をハッシュ関数で演算してハッシュ値ｎ−０を算出し、これをハッシュ値用サーバ３に送信する。ハッシュ値ｎ−０は、ハッシュ値用サーバ３に送信した後、タイムスタンプサーバ２に送られ、タイムスタンプが発行される。

ここで、ハッシュ関数とは、与えられた電子データから固定長の疑似乱数を生成する演算手法であり、生成した値はハッシュ値と呼ばれる。
ハッシュ関数としては、ハッシュ値から元の電子データが復元できない一方向性関数が用いられ、これにより不可逆演算が可能となる。
元の電子データが変化すると、ハッシュ値の値が変化するので、電子データからハッシュ値を計算し、これを保存しておけば、電子データの同一性を検証することができる。

ここで、静止画や静止画から計算したハッシュ値は、サンプリング時点に固有な固有情報として機能している。
このため、ドライブレコーダ６は、サンプリングにより取得した静止画に基づいて、サンプリング時点に固有な固有情報を取得する固有情報取得手段と、タイムスタンプを取得する所定のサーバ（ここでは、ハッシュ値用サーバ３）に、サンプリングの開始時に取得した静止画に基づく固有情報（ここでは、ハッシュ値ｎ−０）を送信する固有情報送信手段を備えている。

なお、ハッシュ値用サーバ３に送信するデータをハッシュ値ｎ−０としたのは、送信するデータ量を少なくするためであり、静止画自体を固有情報とし、静止画をハッシュ値用サーバ３に送信してもよい。

次に、ドライブレコーダ６は、次の動画ｎ−１から静止画ｎ−１を抽出すると、これを保存すると共に、これのハッシュ値ｎ−１を計算し、更に、ハッシュ値ｎ−０とハッシュ値ｎ−１をハッシュ演算して累積ハッシュ値ｎ−１を生成する。
累積ハッシュ値ｎ−１により、静止画ｎ−０と静止画ｎ−１は関連づけられ、何れか一方の静止画が改竄などにより変化すると、累積ハッシュ値ｎ−１の値が変化するため、累積ハッシュ値により、これら関連づけられた静止画の同一性を検証することができる。

以後、ドライブレコーダ６は、ｎ周期目のハッシュリンク周期ΔＴの間、静止画ｎ−ｉ（ｉ＝２〜１１９）を抽出するたびに、これを保存すると共にハッシュ値ｎ−ｉを計算し、累積ハッシュ値ｎ−（ｉ−１）とハッシュ値ｎ−ｉの累積ハッシュ値ｎ−ｉを計算する。
このようにして、ドライブレコーダ６は、静止画を抽出するたびに、ハッシュ値を累積ハッシュ値によるハッシュリンクによって関連づけていく。
そして、ｎ周期目を開始して１時間経過すると、ドライブレコーダ６は、記憶した静止画ｎ−０〜ｎ−１１９を消去し、ｎ＋１周期目の処理を開始する。

このように、ドライブレコーダ６は、固有情報（ここでは、ハッシュ値ｎ−０）を送信した後に固有情報取得手段で取得した固有情報（ここでは、静止画ｎ−１、ｎ−２、・・・）を記憶する固有情報記憶手段を備えている。
本実施の形態では、静止画ｎ−１、ｎ−２、・・・を固有情報として記憶したが、ハッシュ値ｎ−１、ｎ−２、・・・を固有情報として記憶してもよい。より詳細には、イベント発生後に後述するハッシュリンクを復元できるデータであればよい。

なお、静止画ｎ−１、ｎ−２、・・・を固有情報として記憶する場合、静止画自体が固有情報であるため、少なくともイベント時における最新の固有情報の元となった静止画が保存されることになる。
一方、ハッシュ値ｎ−１、ｎ−２、・・・を固有情報として記憶する場合には、別途、当該固有情報の元となった静止画のうち、最新のものを記憶するようにする。
このように、最新の固有情報の元となった静止画を保存するのは、静止画に写っている画像と動画に写っている画像から、当該静止画が撮影された際に当該動画が撮影されたことを確認するためである。静止画の撮影日時刻はハッシュリンクにより特定できるため、これによって動画の撮影日時刻を特定することができる。

加えて、ドライブレコーダ６は、固有情報（ここでは、ハッシュ値ｎ−０）を送信した後、固有情報取得手段で固有情報を取得するごとに、当該固有情報と１つ前の固有情報（例えば、静止画ｎ−１と静止画ｎ−２）を、所定の関数（ここでは、一方向性関数であるハッシュ関数）を用いて順次関連づける関連づけ手段を備えている。

なお、ｎ周期目とｎ＋１周期目の境界付近でイベントが発生する可能性もあるので、新しいハッシュリンク周期に移行した場合、直近のハッシュリンク周期のデータは消去せず、２周期前のデータを消去するように構成することもできる。
この場合、ドライブレコーダ６は、ｎ＋１周期目が開始した場合に、ｎ周期目のデータを消去せずに保持し、ｎ−１周期目のデータを消去する。

以上では、累積ハッシュ値ｎ−１とハッシュ値ｎ−２から累積ハッシュ値ｎ−２を計算するといったように、累積ハッシュ値ｎ−（ｉ−１）とハッシュ値ｎ−ｉから累積ハッシュ値ｎ−ｉを計算して、ハッシュリンクを生成していったが、ハッシュリンクの生成方法はこれに限定するものではない。

例えば、図５の点線で示したように、ハッシュ値ｎ−０と静止画ｎ−１のハッシュ値を累積ハッシュ値ｎ−１とし、次に、累積ハッシュ値ｎ−１と静止画ｎ−２とのハッシュ値を計算し、というように、累積ハッシュ値ｎ−（ｉ−１）と静止画ｎ−ｉから累積ハッシュ値ｎ−ｉを生成することによりハッシュリンクを生成してもよい。
又は、Ｍｅｒｋｌｅ Ｈａｓｈ Ｔｒｅｅのように、ツリー構造を持つハッシュリンクでもよい。

次に、図６のフローチャートを用いて、イベントが発生していない通常時にドライブレコーダ６が行う情報処理について説明する。
以下の処理は、ドライブレコーダ６のＣＰＵ２１、ハッシュ値用サーバ３のＣＰＵ４１、タイムスタンプサーバ２のＣＰＵ５１が所定のプログラムに従って行うものである。

まず、ドライブレコーダ６は、車両８の始動時、又はハッシュリンク周期の終了により、新しいハッシュリンク周期を開始すると、カメラ部２５を用いてカメラ７で撮影された動画の記録を開始する（ステップ５）。
ドライブレコーダ６は、データ格納部３２において動画の記録・更新を行いつつ、所定のサンプリング周期で動画を構成する静止画を選択・抽出してデータ格納部３２に記憶する（ステップ１０）。

次に、ドライブレコーダ６は、記憶した静止画のハッシュ値を計算する（ステップ１５）。
そのハッシュ値が、当該ハッシュリンク周期の最初のハッシュ値であるか否か判断し（ステップ２０）、最初のハッシュ値である場合（ステップ２０；Ｙ）、ドライブレコーダ６は、通信部２６を用いてハッシュ値用サーバ３との通信回線を確立し、自己の機器ＩＤなどと共に当該ハッシュ値をハッシュ値用サーバ３に送信する（ステップ２５）。

ハッシュ値用サーバ３は、ドライブレコーダ６からハッシュ値を受信すると（ステップ５０）、これをタイムスタンプサーバ２に送信し、タイムスタンプの発行を要求する（ステップ５５）。
タイムスタンプサーバ２は、ハッシュ値用サーバ３からハッシュ値を受信すると、タイムスタンプ部５４を用いてこれにタイムスタンプを発行し（ステップ６０）、ハッシュ値用サーバ３に送信する。
ハッシュ値用サーバ３は、タイムスタンプサーバ２からタイムスタンプが発行されたハッシュ値を受信するとこれをハッシュ値データベースに記憶する（ステップ６５）。

一方、ステップ２０において、最初のハッシュ値でない場合（ステップ２０；Ｎ）、ドライブレコーダ６は、前回のハッシュリンクで生成されている累積ハッシュ値とステップ１５で計算したハッシュ値の累積ハッシュ値を計算する（ステップ３０）。
ただし、ハッシュリンク周期が開始して２個目のハッシュ値の場合には、最初のハッシュ値との累積ハッシュ値を計算する。
次に、ドライブレコーダ６は、前回静止画を選択してから３０秒経過したか否かを判断し（ステップ３５）、３０秒経過してない場合には（ステップ３５；Ｎ）、３０秒経過するまでステップ３５で待機する。

一方、前回静止画を選択してから３０秒経過した場合（ステップ３５；Ｙ）、ドライブレコーダ６は、当該周期が開始してから１時間経過したか否かを判断する（ステップ４０）。
１時間経過してない場合（ステップ４０；Ｎ）、ドライブレコーダ６は、ステップ１０に戻り、静止画の選択・記憶（ステップ１０）、ハッシュ値の計算（ステップ１５）、累積ハッシュ値の計算（ステップ３０）などを行う。
一方、１時間経過した場合（ステップ４０；Ｙ）、ドライブレコーダ６は、記憶している静止画などのデータを消去する（ステップ４５）。その後、ドライブレコーダ６は新しい周期を開始する。

このように、ドライブレコーダ６は、ハッシュリンク周期開始時の静止画ｎ−０のハッシュ値をハッシュ値用サーバ３に送信し、これにタイムスタンプを発行して記憶してもらうことにより、静止画ｎ−０の時刻証明を行うことができる。
そして、それ以後の静止画ｎ−１、ｎ−２、・・・をハッシュリンクで関連づけていくことにより、次に説明するように、イベントが発生した場合に、静止画ｎ−０を起点として、これら静止画の時刻証明を行うことができる。

次に、図７を用いて、事故などのイベントが発生した場合にドライブレコーダ６が行う情報処理について説明する。
ハッシュリンク周期のｎ周期目内のイベント発生時刻Ｔでイベントが発生したとすると、ドライブレコーダ６は、動画の更新を停止し、車両８のイベント発生時を含む動画ｎ−ｘをデータ格納部３２に記憶し、保存する。

ドライブレコーダ６は、イベント検出部２８でイベントの発生を検出すると、所定時間後に動画の更新・記憶を停止するが、この所定時間は、イベント発生時点の画像を残すため、動画の記録時間よりも短く設定されている。これによって、イベント前後一定時間の動画を保存することができる。
本実施の形態では、当該所定時間を１０秒とし、イベント発生時点から１０秒後に動画の更新・記憶を停止する。これによりイベント発生時より２０秒前からイベント発生後１０秒までの動画がデータ格納部３２に記憶・保存される。
このように、ドライブレコーダ６は、イベントを検出した場合に、イベントの発生時から所定記録時間よりも短い時間に動画記憶手段による動画の更新を停止する更新停止手段を備えている。

ここで、ｘは動画が保存されたとき（即ちイベントが発生したとき）の静止画像の番号とする。以下の説明で用いるｘも同様である。
動画ｎ−ｘは、イベント発生の２０秒前からイベント発生の１０秒後までの動画により構成されている。
そして、ドライブレコーダ６は、動画ｎ−ｘから静止画ｘを抽出・保存すると共に、静止画ｎ−ｘのハッシュ値ｎ−ｘを計算する。

次いで、ドライブレコーダ６は、累積ハッシュ値ｎ−（ｘ−１）とハッシュ値ｎ−ｘから累積ハッシュ値ｎ−ｘを計算し、これをハッシュ値用サーバ３に送信する。
ハッシュ値用サーバ３は、ハッシュ値ｎ−ｘを受信すると、タイムスタンプサーバ２によってこれにタイムスタンプを発行してもらい、ハッシュ値データベースに記憶する。

このように、ドライブレコーダ６では、更新停止手段が動画の更新を停止した場合、関連づけ手段は、更新を停止した動画を構成する静止画に基づく固有情報（ここでは、静止画ｎ−ｘ）を所定の関数（ここでは、ハッシュ関数）によって当該静止画の１つ前に取得した静止画の固有情報（ここでは、静止画ｎ−（ｘ−１））と関連づけ、固有情報送信手段は、当該関連づけによる関数値（ここでは、累積ハッシュ値ｎ−ｘ）を所定のサーバ（ここでは、ハッシュ値用サーバ３）に送信する。

このように、ドライブレコーダ６は、イベントの発生を検出すると、イベント発生時の動画を構成する静止画のハッシュ値を累積ハッシュ値を用いたハッシュリンクで過去の静止画と関連させると共に、当該累積ハッシュ値にタイムスタンプを発行させる。
このため、イベントが発生したハッシュリンク周期に関しては、周期最初のハッシュ値（起点）とイベント発生時に係る動画の静止画を用いた累積ハッシュ値（終点）の両方にタイムスタンプが付与される。

このようにしてハッシュリンクの起点（ハッシュ値ｎ−０）と終点（累積ハッシュ値ｎ−ｘ）にタイムスタンプが発行された後は、ドライブレコーダ６が記憶している一連の静止画を編集するなどして改変することはできなくなる。
仮に静止画が編集されると、当該静止画を用いて累積ハッシュ値を計算すると、タイムスタンプが発行された累積ハッシュ値と異なり容易に発見することができる。

また、動画が撮影されるに至る風景の静止画が３０秒ごとに撮影されているため、静止画と動画に撮影されている風景の連続性により、イベント発生時の動画が、これら静止画が撮影された時間順序で撮影されたものと確認することができる。
更に、静止画ｎ−０がタイムスタンプにより時刻証明されているため、静止画ｎ−０を起点として動画に含まれる静止画が撮影された時間を特定することにより、各静止画が撮影された日時刻、及び動画が撮影された日時刻を特定することができる。

以上に説明したイベント発生時にドライブレコーダ６が行う処理を図８のフローチャートを用いて説明する。
ドライブレコーダ６は、イベント検出部２８でイベントの発生を検出すると（ステップ１０５）、所定時間後に動画の更新・記憶を停止する（ステップ１１０）。

次に、ドライブレコーダ６は、記憶した動画から静止画を選択してデータ格納部３２に記憶し（ステップ１１５）、当該静止画のハッシュ値を計算する（ステップ１２０）。
そして、ドライブレコーダ６は、最も新しい累積ハッシュ値と当該ハッシュ値の累積ハッシュ値を計算し（ステップ１２５）、これをハッシュ値用サーバ３に送信する（ステップ１３０）。

ハッシュ値用サーバ３は、ドライブレコーダ６から累積ハッシュ値を受信すると（ステップ１３５）、これをタイムスタンプサーバ２に送信してタイムスタンプの発行を要求する（ステップ１４０）。
タイムスタンプサーバ２は、ハッシュ値用サーバ３から累積ハッシュ値を受信するとこれにタイムスタンプを発行してハッシュ値用サーバ３に送信する（ステップ１４５）。
ハッシュ値用サーバ３は、タイムスタンプサーバ２からタイムスタンプが発行された累積ハッシュ値を受信するとこれをハッシュ値データベースに記憶する。

次に、ドライブレコーダ６に記憶した画像の正統性を検証する手順について説明する。
イベントが発生してドライブレコーダ６が動画を記憶した後、ドライブレコーダ６のユーザは、データ格納部３２から一連の静止画と動画を取り出して、検証機関に提出する。
この検証機関は、例えば、警察署や裁判所、あるいは保険会社など、ユーザが提出したこれら静止画や動画の証拠性を検証する機関である。

検証機関のコンピュータは、図９のフローチャートのようにして検証処理を行う。
まず、コンピュータは、ユーザが提出した静止画ｎ−０〜ｎ−ｘを読み込んで記憶装置に格納し、一方、当該静止画に対応するタイムスタンプ付きのハッシュ値ｎ−０と、累積ハッシュ値ｎ−ｘをハッシュ値用サーバ３からダウンロードして記憶装置に格納する。

次に、コンピュータは、タイムスタンプサーバ２の秘密鍵に対応する公開鍵を用いて、ハッシュ値用サーバ３からダウンロードしたハッシュ値と累積ハッシュ値のタイムスタンプの正統性を確認する（ステップ２０５）。
次に、コンピュータは、ユーザが提出した静止画ｎ−０〜ｎ−ｘを用いてハッシュ値ｎ−０〜ｎ−ｘを計算する。
そして、コンピュータは、計算したハッシュ値ｎ−０とタイムスタンプで正統性が確認されたハッシュ値ｎ−０が一致するか否かを確認する（ステップ２１５）。

ハッシュ値ｎ−０が一致しない場合（ステップ２１５；Ｎ）、静止画ｎ−０がタイムスタンプ時から変化しているため、コンピュータは、ユーザから提出されたデータが正統でないと判断し（ステップ２３５）、その旨のメッセージを出力して処理を終了する。
一方、ハッシュ値ｎ−０が一致した場合（ステップ２１５；Ｙ）、コンピュータは、静止画ｎ−０〜ｎ−ｘのハッシュ値から、累積ハッシュ値ｎ−１〜ｎ−ｘ値を計算する（ステップ２２０）。

そして、コンピュータは、計算した累積ハッシュ値ｎ−ｘとタイムスタンプが発行された累積ハッシュ値ｎ−ｘが一致するか否かを確認する（ステップ２２５）。
累積ハッシュ値ｎ−ｘが一致しない場合（ステップ２２５；Ｎ）、静止画ｎ−１〜ｎ−ｘのうちの少なくとも１つが累積ハッシュ値ｎ−ｘのタイムスタンプ時から変化しているため、コンピュータは、ユーザから提出されたデータが正統でないと判断し（ステップ２３５）、その旨のメッセージを出力して処理を終了する。

一方、累積ハッシュ値ｎ−ｘが一致した場合（ステップ２２５；Ｙ）、コンピュータは、静止画ｎ−０〜ｎ−ｘが累積ハッシュ値ｎ−ｘのタイムスタンプ時から変化しておらず、正統であると判断し（ステップ２３０）、その旨のメッセージを出力して処理を終了する。
このように、ユーザから提出された一連の静止画の正統性が証明されると、イベント発生時に撮影した動画に含まれる静止画の撮影日時から、当該動画の撮影日時を特定することができる。

以上に説明した本実施の形態によると次のような効果を得ることができる。
（１）ハッシュ値は、画像データに比べてデータ量が少ないため（例えば、５１２ビット）、静止画のハッシュ値を送信してタイムスタンプを発行することにより、通信費用を低減すると共に、実質的に静止画に対してタイムスタンプを発行するのと同様の効果を得ることができる。
（２）ドライブレコーダ６は、ハッシュリンク周期開始時とイベント発生時にハッシュ値用サーバ３にアクセスすればよいため、ネットワーク４に接続する頻度を低減することができ、通信費用を低減することができる。
（３）ハッシュ値ｎ−０と累積ハッシュ値ｎ−ｘに対してタイムスタンプを発行した後は、一連の静止画ｎ−０〜ｎ−ｘを改竄できなくなる。

（４）ハッシュリンクの起点、及び終点となる情報にタイムスタンプを付与することにより、各画像の証拠性を向上させることができる。
（５）静止画と同時に静止画同士のリンク情報（累積ハッシュ値）を生成して関連づけ、その連続性を証明することで、イベント発生時の記録の証拠性を高めることができる。
（６）ハッシュリンク方式による集約値（各累積ハッシュ値など）の代表値（静止画ｎ−０、累積ハッシュ値ｎ−ｘ）をハッシュ値用サーバ３に送信することにより、静止画や動画は、その後ゆっくり転送するか、あるいはメディアを用いてオフラインで転送しても、これらデータの証拠性は失われない。
（７）動画データの記録保全に時間がかかったとしても、イベント発生時の証拠性は、既に送信済みのハッシュ値ｎ−０、累積ハッシュ値ｎ−ｘにより証明が可能となる。

（８）ハッシュリンク周期開始時のハッシュ値ｎ−０と、イベント発生時の累積ハッシュ値ｎ−ｘに対してタイムスタンプが付与されるため、これらの値に対して時刻認証がされる。そして、ハッシュリンクの起点から静止画ｎ−ｘが撮影されるまでの時間により、静止画ｎ−ｘを含む動画が記録された時刻を特定することができる。
例えば、静止画ｎ−ｘの撮影日時刻は、静止画ｎ−０の撮影日時刻＋サンプリング周期×ｘとなり、動画の撮影時間帯はこの時刻を含む値となる。

以上に説明した本実施の形態では、ハッシュ値用サーバ３とタイムスタンプサーバ２を別のサーバとしたが、ハッシュ値用サーバ３にタイムスタンプ発行機能を装備し、ハッシュ値用サーバ３でタイムスタンプの発行を行ってもよい。
また、本実施の形態では、イベント発生時の動画ｎ−ｘの静止画に対して累積ハッシュ値を計算したが、イベント発生時の動画ｎ−ｘ自体のハッシュ値を計算し、これと最も新しい累積ハッシュ値との累積ハッシュ値を計算するように構成することもできる。
この場合、動画ｎ−ｘのハッシュ値が関連づけられるため、累積ハッシュ値ｎ−ｘにタイムスタンプが発行された後は、動画ｎ−ｘの改竄ができなくなる。

更に、本実施の形態では、イベント発生時の動画に含まれる静止画から動画の撮影日時を特定したが、例えば、動画の記録時間よりもサンプリング周期の方が長く、ハッシュリンクされた静止画が動画に含まれていない場合は、イベント発生の直前の静止画に撮影されている風景と、動画に撮影されている風景の連続性から、当該動画が当該静止画の直後に撮影されたものと推定することができる。

加えて、本実施の形態では、ハッシュリンク周期最初の静止画ｎ−０をドライブレコーダ６で記憶したが、静止画ｎ−０のハッシュ値は、ハッシュ値用サーバ３で記憶されているため、必ずしも静止画ｎ−０は、ドライブレコーダ６に記憶しなくてもよい。
この場合には、ハッシュ値用サーバ３に記憶したハッシュ値ｎ−０を起点とし、その他のハッシュ値ｎ−１〜ｎ−ｘは、ドライブレコーダ６に記憶されていた静止画ｎ−１〜ｎ−ｘを用いて計算する。

（変形例１）
以上に説明した本実施の形態では、累積ハッシュ値ｎ−ｘをハッシュ値用サーバ３に送信してタイムスタンプを発行したが、例えば、事故によってドライブレコーダ６が通信不能となる場合も考えられる。
例えば、図１０に示したように、イベント発生後、累積ハッシュ値ｎ−ｘを生成したにもかかわらず、通信機能が損傷を受けるなどしてこれをハッシュ値用サーバ３に送信できなかったとする。

この場合には、少なくともハッシュ値ｎ−０はタイムスタンプにより時刻証明されているため、ハッシュ値ｎ−０を起点としてハッシュリンクを辿り、静止画ｎ−ｘが撮影された日時刻を計算する。
この場合、累積ハッシュ値ｎ−ｘが時刻証明されていないため、先に説明した実施の形態の方がユーザが提出した静止画の信頼性が高いが、静止画ｎ−０から始まる改竄画像を作り、累積ハッシュ値を偽造することは可能であるが、動画の連続性とイベント後の状況の整合性をとることは困難であるため、証拠性を期待することが可能である。

例えば、図９に示したように、イベントが発生した場合、累積ハッシュ値ｎ−ｘを暗号化して記憶するように構成し、ユーザが静止画ｎ−０〜ｎ−ｘと暗号化された累積ハッシュ値ｎ−ｘを提出するようにすれば、ユーザが累積ハッシュ値ｎ−ｘを操作することが困難となり、静止画ｎ−０〜ｎ−ｘの信頼性は向上する。

この場合、検証機関のコンピュータは、ユーザから提出された累積ハッシュ値ｎ−ｘを復号化し、静止画ｎ−０〜ｎ−ｘから計算された累積ハッシュ値と一致することを確認することにより、静止画ｎ−０〜ｎ−ｘの正統性を検証する。
以上のように、通信障害の発生などにより、静止画ｎ−ｘに対する証拠性の確保が失敗した場合であっても、静止画のハッシュリンクを検証することで、ドライブレコーダ６に記憶されている静止画や動画に証拠性を持たせることが可能となる。

（変形例２）
次に、図１１を用いて静止画の改竄をより困難にする例について説明する。
この例でドライブレコーダ６が行う処理を図中に括弧で示した番号に従って説明する。
まず、ドライブレコーダ６は、静止画ｎ−０をサンプリングし、ハッシュ値ｎ−０を計算する。
次に、ドライブレコーダ６は、静止画ｎ−０とハッシュ値ｎ−０をハッシュ値用サーバ３に送信する（１）。

ドライブレコーダ６は、ハッシュ値用サーバ３に静止画ｎ−０とハッシュ値ｎ−０を送信した後、ハッシュ値用サーバ３がこれらを受信したことを確認し（２）、その後、静止画ｎ−０を消去する（３）。
これにより、ハッシュ値ｎ−０をドライブレコーダ６内のデータによっては作成することができなくなる。

次に、ドライブレコーダ６は、静止画ｎ−１をサンプリングして保存すると共に、ハッシュ値ｎ−１を計算する。
そして、ドライブレコーダ６は、ハッシュ値ｎ−０とハッシュ値ｎ−１の累積ハッシュ値ｎ−１を計算して記憶した後（４）、ハッシュ値ｎ−０を消去する（５）。

次に、ドライブレコーダ６は、静止画ｎ−２をサンプリングして保存し、ハッシュ値ｎ−２を計算する。
そして、ドライブレコーダ６は、ハッシュ値ｎ−２と累積ハッシュ値ｎ−１の累積ハッシュ値ｎ−２を計算して記憶し（６）、その後、累積ハッシュ値ｎ−１を消去する（７）。
以下、ドライブレコーダ６は、同様の動作を繰り返し、累積ハッシュ値を計算して記憶するごとに、当該累積ハッシュ値を計算する元となった累積ハッシュ値を消去する。

この例では、累積ハッシュの起点となる静止画ｎ−０とハッシュ値ｎ−０が消去されるうえ、途中の累積ハッシュ値も消去される。
これにより、イベント発生時に累積ハッシュ値ｎ−ｘが生成・記憶された後は、静止画ｎ−０、ハッシュ値ｎ−０、累積ハッシュ値ｎ−１〜ｎ−（ｘ−１）が消去されている。

このように、ハッシュリンクの起点となるデータを消去し、累積ハッシュ値を計算するたびに計算の元となった累積ハッシュ値を消去していくことにより、途中の画像を改竄しようとしても、累積ハッシュ値を計算する元のデータが無いため、不正行為が困難となる。

このように、ドライブレコーダ６は、関連づけ手段による関連づけを開始した後、当該関連づけの起点となった情報（ここでは、静止画ｎ−０とハッシュ値ｎ−０）を消去すると共に、関連づけ手段が固有情報を関連づけるごとに、当該関連づけに使用した関数値（ここでは、累積ハッシュ値ｎ−１、ｎ−２、・・・）を消去する。

次に、図１２のフローチャートを用いて、図１１に示した本変形例のドライブレコーダ６が行う情報処理について説明する。
まず、ドライブレコーダ６は、車両８の始動時、又はハッシュリンク周期の終了により、新しいハッシュリンク周期を開始すると、カメラ部２５を用いてカメラ７で撮影された動画の記録を開始する（ステップ４０５）。
ドライブレコーダ６は、データ格納部３２において動画の記録・更新を行いつつ、所定のサンプリング周期で動画を構成する静止画を選択・抽出して当該静止画のハッシュ値を計算する（ステップ４１０）。

次に、ドライブレコーダ６は、当該静止画と計算したハッシュ値をハッシュ値用サーバ３に送信する（ステップ４１５）。
ハッシュ値用サーバ３は、当該静止画とハッシュ値をタイムスタンプサーバ２に送信し、タイムスタンプを発行してもらって、これらを記憶する。
そして、ドライブレコーダ６は、ハッシュ値用サーバ３との通信により、ハッシュ値用サーバ３がこれら静止画とハッシュ値を受信したことを確認すると（ステップ４２０）、当該静止画を消去する（ステップ４２５）。

ドライブレコーダ６は、次のサンプリング周期で動画を構成する静止画を選択・抽出して記憶する（ステップ４３０）。
そして、ドライブレコーダ６は、当該静止画のハッシュ値を計算し（ステップ４３５）、ステップ４１０で計算したハッシュ値（３回目以降のサンプリングでは最も新しい累積ハッシュ値）との累積ハッシュ値を計算する（ステップ４４０）。
次に、ドライブレコーダ６は、当該累積ハッシュ値の計算元となったデータ（２回目のサンプリングではステップ４１０で計算したハッシュ値、３回目以降のサンプリングでは最も新しい累積ハッシュ値）を消去する（ステップ４４５）。

次に、ドライブレコーダ６は、前回静止画を選択してから３０秒経過したか否かを判断し（ステップ４５０）、３０秒経過してない場合には（ステップ４５０；Ｎ）、３０秒経過するまでステップ４５０で待機する。

一方、前回静止画を選択してから３０秒経過した場合（ステップ４５０；Ｙ）、ドライブレコーダ６は、当該周期が開始してから１時間経過したか否かを判断する（ステップ４５５）。
１時間経過してない場合（ステップ４５５；Ｎ）、ドライブレコーダ６は、ステップ４３０に戻り、１時間経過した場合（ステップ４５５；Ｙ）、ドライブレコーダ６は、記憶している静止画などのデータを消去する（ステップ４６０）。その後、ドライブレコーダ６は新しい周期を開始する。

（変形例３）
次に、図１３を用いて、ドライブレコーダ６がイベント発生時にハッシュ値用サーバ３に接続できなかった場合について説明する。
ドライブレコーダ６は、移動体に搭載されているため、例えばトンネル内で事故が発生した場合など、イベントの発生場所の通信環境によっては、イベント発生時にハッシュ値用サーバ３に接続できないことも考えられる。
そのため、ドライブレコーダ６は、このような場合には、ハッシュ値用サーバ３と接続できるまで、ハッシュ値用サーバ３への接続動作を繰り返す。

図１３に示したように、ドライブレコーダ６は、イベントの発生を検出すると、先に説明した実施の形態と同様に、イベントが発生した際の動画ｎ−ｘを記憶して保存すると共に、静止画ｎ−ｘのハッシュ値ｎ−ｘを計算し、累積ハッシュ値ｎ−ｘを計算する。
そして、ドライブレコーダ６は、ハッシュ値ｎ−ｘをハッシュ値用サーバ３に送信しようと試みるが、例えば、事故現場がトンネル内などで通信回線が確立できず、送信に失敗したとする。

すると、ドライブレコーダ６は、ハッシュ値用サーバ３に接続できるまで、少なくとも一定期間の間、接続を試み、送信可能となると、保存しておいた累積ハッシュ値ｎ−ｘをハッシュ値用サーバ３に送信する。
累積ハッシュ値ｎ−ｘにタイムスタンプが発行された後、静止画ｎ−０〜ｎ−ｘを改竄することはできなくなるため、累積ハッシュ値ｎ−ｘの送信に失敗してから早期に送信するほど、静止画ｎ−０〜ｎ−ｘの信頼性は高くなる。

このように、ドライブレコーダ６の固有情報送信手段は、関連づけによる関数値を所定のサーバに送信する際に、当該所定のサーバと回線が接続できない場合は、少なくとも一定期間、当該所定のサーバとの接続を試み、当該試みによって当該所定のサーバと接続した際に、当該関数値を送信する。
タイムスタンプが発行され、存在したことが証明された画像で、対象の動画を挟み込むことにより、当該動画の正統性を示すことができる。

（変形例４）
次に、図１４を用いて変形例４について説明する。
先に説明した実施の形態では、静止画ｎ−０、ｎ−１、・・・のハッシュ値を計算したが、本変形例では、静止画、動画のハッシュ値、ＧＰＳによる位置情報、現在日時刻を１つのファイルとし、これのハッシュ値をハッシュリンクによって関連させていく。

図１４の例では、ドライブレコーダ６は、動画ｎ−１０２を記憶すると、静止画ｎ−１０２をサンプリングすると共に、動画ｎ−１０２のハッシュ値を計算する。
更に、ドライブレコーダ６は、車両情報部２７（図２）から、ＧＰＳによる位置情報を取得すると共に、ＧＰＳによる現在の日時刻（時計部２４を用いてもよい）を取得する。
そして、ドライブレコーダ６は、これら、静止画ｎ−１０２、動画ｎ−１０２のハッシュ値、位置情報、日時刻情報を１つのファイルｎ−１０２として保存すると共に、ファイルｎ−１０２のハッシュ値ｎ−１０２を計算する。

本変形例では、ファイルｎ−０、ｎ−１、・・・や、これらのハッシュ値ｎ−０、ｎ−１、・・・を固有情報として採用することが可能である。
このように、ドライブレコーダ６は、現在日時刻を取得する現在日時刻取得手段と、現在位置を取得する現在位置取得手段と、所定の関数を用いて前記動画記憶手段に記憶する動画の関数値を取得する動画関数値取得手段を備えており、固有情報に、これらで取得した現在の日時刻、現在位置、動画の関数値（ハッシュ値）を含めることが可能である。
なお、どの情報をファイルに含めるかは、任意に選択・組み合わせることができる。

先に説明した実施の形態では、静止画ｎ−０、ｎ−１、・・・を保存し、これら静止画のハッシュ値を計算してハッシュリンクにより関連させたが、本変形例では、静止画の代わりにファイルｎ−０、ｎ−１、・・・を保存し、これらファイルのハッシュ値を計算してハッシュリンクにより関連させる。その他の構成は、先に説明した実施の形態と同様である。

即ち、ドライブレコーダ６は、ハッシュリンク周期を開始すると、ハッシュ値ｎ−０をハッシュ値用サーバ３に送信してタイムスタンプを付与してもらい、イベントが発生すると、累積ハッシュ値ｎ−ｘをハッシュ値用サーバ３に送信してタイムスタンプを付与してもらう。
その後、ユーザは、ファイルｎ−０〜ｎ−ｘと、動画ｎ−ｘを証拠として提出し、検証機関は、タイムスタンプが発行されたハッシュ値ｎ−０と累積ハッシュ値ｎ−ｘを用いて、ファイルｎ−０〜ｎ−ｘの正統性を検証する。

ファイルｎ−ｘの正統性が検証されると、ファイルｎ−ｘには、イベントの発生を記録した動画ｎ−ｘのハッシュ値が含まれているため、ユーザが提出した動画ｎ−ｘのハッシュ値を計算し、これがファイルｎ−ｘに含まれている動画ｎ−ｘのハッシュ値と一致することを以て動画ｎ−ｘの正統性が証明される。
また、ファイルｎ−ｘに含まれている位置情報と日時刻によりイベントが発生した場所と日時刻を特定することができる。

なお、ファイルｎ−０、ｎ−１、・・・に、更に多くの情報を含めることが可能である。
例えば、車両情報部２７で車両８の速度や加速度、及びブレーキやアクセルの操作状態などを検出し、これらをファイルに含めるように構成することができる。
これによって、イベント発生時に、ドライバが適切な速度で運行しており、運転操作も適切であったことを検証することが可能となる。

本実施の形態に係る情報処理システムのネットワーク構成を説明するための図である。 ドライブレコーダのハードウェア的な構成を説明するための図である。 各サーバのハードウェア的な構成を説明するための図である。 ハッシュ値データベースの論理的な構成を説明するための図である。 通常時にドライブレコーダが行う情報処理を説明するための図である。 通常時にドライブレコーダが行う情報処理について説明するためのフローチャートである。 イベントが発生した場合にドライブレコーダが行う情報処理について説明するための図である。 イベント発生時にドライブレコーダが行う処理を説明するためのフローチャートである。 静止画の検証手順を説明するためのフローチャートである。 変形例１を説明するための図である。 変形例２を説明するための図である。 変形例２でドライブレコーダが行う情報処理について説明するためのフローチャートである。 変形例３を説明するための図である。 変形例４を説明するための図である。

符号の説明

１ 情報処理システム
２ タイムスタンプサーバ
３ ハッシュ値用サーバ
４ ネットワーク
５ 基地局
６ ドライブレコーダ
７ カメラ
８ 車両
２１ ＣＰＵ
２２ ＲＯＭ
２３ ＲＡＭ
２４ 時計部
２５ カメラ部
２６ 通信部
２７ 車両情報部
２８ イベント検出部
２９ 緊急用電源
３０ 不揮発メモリ

Claims (9)

1. 移動体に搭載されたカメラで動画を撮影する動画撮影手段と、
   所定のサンプリング周期で前記動画を構成する静止画を取得するサンプリング手段と、
   前記取得した静止画に基づいて、サンプリング時点に固有な固有情報を取得する固有情報取得手段と、
   タイムスタンプを取得する所定のサーバに、前記サンプリングの開始時に取得した静止画に基づく固有情報を送信する固有情報送信手段と、
   前記固有情報を送信した後に前記固有情報取得手段で取得した固有情報を記憶する固有情報記憶手段と、
   前記固有情報を送信した後、前記固有情報取得手段で固有情報を取得するごとに、当該固有情報と１つ前の固有情報を、所定の関数を用いて順次関連づける関連づけ手段と、
   イベントの発生を検出するイベント検出手段と、
   前記イベント検出手段でイベントを検出した際に、イベント発生時からそれ以前の少なくとも所定記録時間の動画が記憶されている動画記憶手段と、
   を具備し、
   少なくとも前記イベント時における最新の固有情報の元となった静止画が保存されていることを特徴とする画像記憶装置。
2. 前記所定の関数は一方向性関数であることを特徴とする請求項１に記載の画像記憶装置。
3. 前記サンプリング周期は、前記所定記録時間以下であることを特徴とする請求項１、又は請求項２に記載の画像記憶装置。
4. 前記イベント検出手段がイベントを検出した場合、
   前記関連づけ手段は、前記動画記憶手段で記憶されている動画を構成する静止画に基づく固有情報を前記所定の関数によって当該静止画の１つ前に取得した静止画の固有情報と関連づけ、前記固有情報送信手段は、当該関連づけによる関数値を前記所定のサーバに送信することを特徴とする請求項１、請求項２、又は請求項３に記載の画像記憶装置。
5. 前記固有情報送信手段は、前記関連づけによる関数値を前記所定のサーバに送信する際に、当該所定のサーバと回線が接続できない場合は、少なくとも一定期間、当該所定のサーバとの接続を試み、当該試みによって当該所定のサーバと接続した際に、前記関数値を送信することを特徴とする請求項１から請求項４までのうちの何れか１の請求項に記載の画像記憶装置。
6. 前記関連づけ手段による関連づけを開始した後、当該関連づけの起点となった情報を消去すると共に、前記関連づけ手段が固有情報を関連づけるごとに、当該関連づけに使用した関数値を消去することを特徴とする請求項１から請求項５までのうちの何れか１の請求項に記載の画像記憶装置。
7. 現在日時刻を取得する現在日時刻取得手段を具備し、
   前記固有情報は、前記取得した現在日時刻を含むことを特徴とする請求項１から請求項６までのうちの何れか１の請求項に記載の画像記憶装置。
8. 現在位置を取得する現在位置取得手段を具備し、
   前記固有情報は、前記取得した現在位置を含むことを特徴とする請求項１から請求項７までのうちの何れか１の請求項に記載の画像記憶装置。
9. 所定の関数を用いて前記動画記憶手段に記憶する動画の関数値を取得する動画関数値取得手段を具備し、
   前記固有情報は、前記取得した動画の関数値を含むことを特徴とする請求項１から請求項８までのうちの何れか１の請求項に記載の画像記憶装置。

Images