JP2010074339A - 画像記憶装置 - Google Patents

Abstract

【課題】イベント発生時に車両が通信ができない状況にあっても、ドライブレコーダで記録した動画の証拠性を高める。
【解決手段】ドライブレコーダ６は、動画の撮影を開始すると暗号鍵Ｋｐを生成し、自己が保持すると共に、これを暗号鍵用サーバ３に送信する。暗号鍵用サーバ３は、暗号鍵Ｋｐのハッシュ値を計算してタイムスタンプサーバ２に当該ハッシュ値へのタイムスタンプの発行を要求する。暗号鍵用サーバ３は、タイムスタンプ付きのハッシュ値をタイムスタンプサーバ２から受信すると、これを暗号鍵Ｋｐと共に記憶する。車両８でイベントが発生すると、ドライブレコーダ６は、イベント発生時を記録した動画を暗号鍵Ｋｐで暗号化し、暗号鍵Ｋｐを消去する。
【選択図】図５

Description

本発明は、画像記憶装置に関し、例えば、車両が走行する際の状況を撮影するドライブレコーダに関する。

近年、車両に周囲や内部などの状況を撮影するカメラを設置し、走行中にこれによって動画を撮影するドライブレコーダが普及しつつある。
ドライブレコーダは、動画を更新しながらメモリに記憶することにより、過去から現在に至る所定の記録時間（例えば３０秒）の動画をメモリに記憶する。
そして、衝突事故などの所定のイベントが発生すると、イベント発生後の所定時間経過後（例えば、１０秒）に動画の更新を停止する。
これにより、上の例では、イベント発生前の２０秒からイベント発生の１０秒後までの動画が記憶され、当該動画によりイベント発生時の状況を検証することができる。

このようにドライブレコーダを用いた技術として、次の特許文献１の「車両用データ記憶装置及びデータ記憶方法」がある。
この技術は、ドライブレコーダで記録された映像データに、その映像が撮影された時刻を記録するものである。
特開２００２−１３５７６９公報

このように、ドライブレコーダは、事故などのイベントが発生したとき、前後２０秒〜３０秒の動画像を録画して保存し、事故原因の究明などに用いることができる。
しかし、従来は、ドライブレコーダで取得された動画像は、例えば、改竄される可能性があるなど、その証拠性が十分でないという問題があった。
そこで、本願出願人は、通信モジュールなどを使用し、イベント発生時に取得された動画像を、タイムスタンプサーバに送信して、リアルタイムにタイムスタンプを発行し、画像の存在と、以後改竄されていないことを証明する方法を検討している。
しかし、この場合、イベント発生時に車両が通信ができない状況にあった場合、動画にタイムスタンプを発行することができないという問題があった。

そこで、本発明の目的は、イベント発生時に車両が通信ができない状況にあっても、ドライブレコーダで記録した動画の証拠性を高めることである。

本発明は、前記目的を達成するために、請求項１に記載の発明では、移動体に搭載されたカメラで動画を撮影する動画撮影手段と、外部の記憶手段に記憶された復号化鍵で復号可能にデータを暗号化する暗号化鍵を記憶する暗号化鍵記憶手段と、イベントの発生を検出するイベント検出手段と、前記イベント検出手段でイベントを検出した際に、イベント発生時からそれ以前の少なくとも所定記録時間の前記動画が記憶されている動画記憶手段と、少なくとも、前記記憶されている動画、又は、当該動画に固有な固有情報の一方を含む動画情報を前記記憶した暗号化鍵で暗号化する暗号化手段と、を具備したことを特徴とする画像記憶装置を提供する。
請求項２に記載の発明では、前記暗号化手段で動画情報を暗号化した後、前記暗号化鍵による暗号化を行えないようにする暗号化無効手段を具備したことを特徴とする請求項１に記載の画像記憶装置を提供する。
請求項３に記載の発明では、前記動画の撮影の開始時に、当該開始時点に固有な暗号化鍵と、当該暗号化鍵で暗号化された情報を復号化する復号化鍵と、を生成する鍵生成手段と、前記生成した復号化鍵を、前記外部の記憶手段に復号化鍵を記憶する所定のサーバに送信する復号化鍵送信手段と、を具備し、前記暗号化鍵記憶手段は、前記生成した暗号化鍵を記憶することを特徴とする請求項１、又は請求項２に記載の画像記憶装置を提供する。
請求項４に記載の発明では、前記鍵生成手段は、前記生成した暗号化鍵と復号化鍵を、所定のタイミングで当該所定のタイミングに固有な暗号化鍵と復号化鍵に更新し、前記復号化鍵送信手段は、復号化鍵が更新されると、当該復号化鍵を前記所定のサーバに送信し、前記暗号化手段は、最も最近に更新された暗号化鍵によって前記動画情報を暗号化することを特徴とする請求項３に記載の画像記憶装置を提供する。
請求項５に記載の発明では、現在日時刻を取得する現在日時刻取得手段を具備し、前記動画情報は、前記取得した現在日時刻を含むことを特徴とする請求項１から請求項４までのうちの何れか１の請求項に記載の画像記憶装置を提供する。
請求項６に記載の発明では、現在位置を取得する現在位置取得手段を具備し、前記動画情報は、前記取得した現在位置を含むことを特徴とする請求項１から請求項５までのうちの何れか１の請求項に記載の画像記憶装置を提供する。

本発明によれば、動画を暗号化して記憶することにより、イベント発生時に車両が通信ができない状況にあっても、ドライブレコーダで記録した動画の証拠性を高めることができる。

（１）実施の形態の概要
ドライブレコーダ６（図５）は、動画の撮影を開始すると暗号鍵Ｋｐを生成し、自己が保持すると共に、これを公開鍵ＰＫで暗号化して暗号鍵用サーバ３に送信する。
暗号鍵用サーバ３は、秘密鍵ＳＫで暗号鍵Ｋｐを復号化してこれを取得し、暗号鍵Ｋｐのハッシュ値を計算してタイムスタンプサーバ２に当該ハッシュ値へのタイムスタンプの発行を要求する。

暗号鍵用サーバ３は、タイムスタンプ付きのハッシュ値をタイムスタンプサーバ２から受信すると、これを暗号鍵Ｋｐと共に記憶する。
車両８でイベント（事故など）が発生すると、ドライブレコーダ６は、イベント発生時を記録した動画ファイルを暗号鍵Ｋｐで暗号化し、暗号鍵Ｋｐを消去する。
暗号鍵Ｋｐは、消去されるため、以降、暗号化された動画ファイルを改竄することはできない。

また、暗号鍵Ｋｐがドライブレコーダ６で生成されたものであることは、暗号鍵用サーバ３のタイムスタンプで時刻証明される。
暗号鍵用サーバ３が保管する暗号鍵Ｋｐにより動画ファイルを復号化することにより、証拠となる動画ファイルを非改竄の状態で得ることができる。

このように、ドライブレコーダ６は、イベント発生時にネットワークに接続する必要がないため、ネットワークへの接続環境によらず、どこでイベントが発生しても安定して証拠性の高い動画ファイルを得ることができる。

（２）実施の形態の詳細
図１は、本実施の形態に係る情報処理システム１のネットワーク構成を説明するための図である。
情報処理システム１は、タイムスタンプサーバ２、暗号鍵用サーバ３、ネットワーク４、基地局５、ドライブレコーダ６などを用いて構成されている。
車両８は、例えば、乗用車や運送車両などであるが、これに限定するものではなく、例えば、船舶や航空機など、各種の移動体とすることができる。

ドライブレコーダ６は、車両８に搭載されており、カメラ７を備え、画像記憶装置として機能している。
カメラ７は、車両８の前方を撮影しており、所定の記録時間（例えば、３０秒間）の動画を更新しながらメモリに記憶する。
また、カメラ７を複数台設け、車両８の側方、後方、あるいは車内を撮影するように構成することもできる。

ドライブレコーダ６は、動画の撮影を開始すると、暗号鍵Ｋｐを生成して自身が記憶すると共に、これを複製して暗号鍵用サーバ３に送信する。
そして、事故などのイベントが発生した場合、ドライブレコーダ６は、動画の更新を停止し、動画を暗号鍵Ｋｐで暗号化した後、暗号鍵Ｋｐを消去する。
暗号鍵Ｋｐの消去により、動画を復号化できるのは、暗号鍵用サーバ３だけとなり、動画の改竄が不能となると共に、改竄動画を暗号化して真正の動画とすり替えることも不能となる。

暗号鍵用サーバ３は、ネットワーク４を介してドライブレコーダ６とタイムスタンプサーバ２と通信することができ、ドライブレコーダ６から暗号鍵Ｋｐが送信されてくると、当該暗号鍵Ｋｐを記憶すると共に、当該暗号鍵Ｋｐのハッシュ値を計算してタイムスタンプサーバ２に送信する。
そして、暗号鍵用サーバ３は、タイムスタンプサーバ２からタイムスタンプが発行されたハッシュ値を受信し、これを保存する。
このように、暗号鍵用サーバ３は、ドライブレコーダ６が生成した暗号鍵Ｋｐと、当該暗号鍵Ｋｐのハッシュ値を保管する保管センターとして機能している。

なお、ここで、ハッシュ値をタイムスタンプサーバ２に送信するのは、タイムスタンプサーバ２に送信するデータ量を少なくすると共に、暗号鍵Ｋｐを暗号鍵用サーバ３の外に出すのを避けるためであり、暗号鍵Ｋｐを更に暗号化してタイムスタンプサーバ２に送信し、暗号化した暗号鍵Ｋｐに対してタイムスタンプを発行するように構成することも可能である。
この場合、暗号鍵用サーバ３は、暗号化した暗号鍵Ｋｐを保管する。

タイムスタンプサーバ２は、電子文書などの電子データにタイムスタンプを発行して時刻証明を行うサーバであり、本実施の形態では、暗号鍵用サーバ３が送信してきたハッシュ値にタイムスタンプを発行して暗号鍵用サーバ３に送信する。
タイムスタンプの発行は、例えば、ネットワーク４経由で送信されてきた電子データに時刻を付与して秘密鍵で電子署名することにより行われる。
電子署名の確認は、当該秘密鍵に対応する公開鍵を用いて電子署名が復号化できたことを以て行うことができ、当該電子署名がタイムスタンプサーバ２によってなされたものであることを確認することができる。

ネットワーク４は、例えば、インターネットや携帯電話網などの通信ネットワークによって構成されており、ドライブレコーダ６と暗号鍵用サーバ３の間の通信、及び暗号鍵用サーバ３とタイムスタンプサーバ２の間の通信を仲介する。
基地局５は、例えば、携帯端末などを携帯電話網などに接続する基地局であって、ドライブレコーダ６と無線回線により接続し、ドライブレコーダ６とネットワーク４との通信を仲介する。

図２は、ドライブレコーダ６のハードウェア的な構成を説明するための図である。
ドライブレコーダ６は、ＣＰＵ２１、ＲＯＭ２２、ＲＡＭ２３、時計部２４、カメラ部２５、カメラ７、通信部２６、車両情報部２７、イベント検出部２８、緊急用電源２９、不揮発メモリ３０などから構成されている。

ＣＰＵ２１は、所定のプログラムに従って各種情報処理やドライブレコーダ６の各部を制御する中央処理装置である。ＣＰＵ２１が行う処理は、後ほど詳細に説明する。
ＲＯＭ２２は、読み出し専用メモリであって、ＣＰＵ２１が実行するプログラムやパラメータなどを記憶している。
ＲＡＭ２３は、読み書きが可能なメモリであって、ＣＰＵ２１がプログラムをロードしたり、各種情報処理を行う際のワーキングメモリを提供する。

時計部２４は、例えば、水晶発振器などを用いて時刻情報を出力する。ドライブレコーダ６は、時計部２４が出力する時刻情報を用いて動画の記録時間などを計測する。
また、動画に現在時刻を記録する場合、時計部２４が出力した時刻情報を用いることができる。
なお、この場合、時計部２４の時刻情報の代わりにＧＰＳ（Ｇｌｏｂａｌ Ｐｏｓｉｔｉｏｎｉｎｇ Ｓｙｓｔｅｍ）によってＧＰＳ衛星から送信されてくる日時刻を記録用に用いてもよい。

カメラ７は、光学系を用いて被写体をＣＣＤ（Ｃｈａｒｇｅ−Ｃｏｕｐｌｅｄ Ｄｅｖｉｃｅ）などに投影し、その画像を電気信号に変換することにより画像を撮影する。
カメラ部２５は、カメラ７と接続されており、カメラ７で撮影された動画像からＣＰＵ２１が処理可能なデータ形式の画像データを生成する。

カメラ７は、ドライブレコーダ６の筐体に組み込まれ一体型として構成してもよいし、あるいは、カメラ７とカメラ部２５を信号コードで接続し、カメラ７とドライブレコーダ６の筐体を別体として構成してもよい。
通信部２６は、アンテナを備えており、基地局５との無線通信を行う。
車両情報部２７は、ＧＰＳシステムから現在位置や現在時刻などを受信したり、車両８のシステムから車速や加速度などの走行状態に関する情報などを受信する。

イベント検出部２８は、動画の更新を停止するイベントが発生したか否かを検出する。ここでは、イベントの一例として事故を想定しており、例えば、車両８が他車両と衝突したり、障害物と衝突した場合に、これらのイベントの発生を検出する。
このような機能を発揮するために、イベント検出部２８は、加速度センサを備えており、車両８の加速度が所定値以上の場合にイベントの発生が検出される。
このように、ドライブレコーダ６は、イベントの発生を検出するイベント検出手段を備えている。

緊急用電源２９は、車両８からドライブレコーダ６に供給される電力が途絶えた場合に、ドライブレコーダ６に電力を供給する電力源であり、電池などで構成される。
ドライブレコーダ６は、例えば、トンネル内などでネットワーク４に接続できない場合、ネットワーク４に接続できるまで接続を試みるが、その場合、車両８からの電力が供給されない場合も想定されるため、補助電源として緊急用電源２９を備えたものである。

不揮発メモリ３０は、読み書きが可能で電力が供給されなくても記憶内容を保持するメモリであり、例えば、フラッシュメモリなどを用いて構成されている。

不揮発メモリ３０には、プログラム格納部３１とデータ格納部３２が形成されている。
プログラム格納部３１には、ＣＰＵ２１が情報処理を行うための各種プログラムが記憶されており、データ格納部３２には、カメラ７が撮影した動画データの動画ファイルを記憶する。
また、プログラム格納部３１には、暗号鍵Ｋｐを暗号化して暗号鍵用サーバ３に送信するための公開鍵ＰＫが記憶されている。
なお、プログラム格納部３１は、ＲＯＭ２２に形成してもよい。

図では、プログラム格納部３１とデータ格納部３２を単一の不揮発メモリ３０に形成したが、プログラム格納部３１用のメモリとデータ格納部３２用のメモリを別に用意し、データ格納部３２用のメモリをドライブレコーダ６から着脱可能に構成することもできる。
不揮発メモリ３０を着脱可能に構成すると、ユーザが不揮発メモリ３０を自身のパーソナルコンピュータなどの端末に装着して、暗号化された動画ファイルを取り出すことが可能となる。
また、ドライブレコーダ６に端末と接続するためのインターフェースを用意し、これを用いてドライブレコーダ６から端末に暗号化された動画ファイルを転送するように構成することもできる。

図３（１）は、暗号鍵用サーバ３のハードウェア的な構成を説明するための図である。
暗号鍵用サーバ３は、ＣＰＵ４１、ＲＯＭ４２、ＲＡＭ４３、通信部４４、記憶部４５などから構成されている。

ＣＰＵ４１は、所定のプログラムに従って各種情報処理や暗号鍵用サーバ３の各部の制御を行う。具体的には、例えば、ドライブレコーダ６から暗号鍵Ｋｐを受信してこれからハッシュ値を計算する。そして、当該ハッシュ値をタイムスタンプサーバ２に送信し、タイムスタンプサーバ２でタイムスタンプが発行されたハッシュ値を受信して記憶部４５に記憶する。

ＲＯＭ４２は、読み出し専用メモリであって、暗号鍵用サーバ３が動作するための基本的なプログラムやパラメータなどを記憶している。
ＲＡＭ４３は、読み書きが可能なメモリであって、ＣＰＵ４１がプログラムをロードしたり、各種情報処理を行う際のワーキングメモリを提供する。
通信部４４は、暗号鍵用サーバ３をネットワーク４に接続する。暗号鍵用サーバ３は、通信部４４を介してドライブレコーダ６やタイムスタンプサーバ２と通信することができる。

記憶部４５は、例えば、ハードディスクなどの大容量の記憶装置を用いて構成されている。
記憶部４５には、プログラム格納部４６とデータ格納部４７が形成されている。
プログラム格納部４６には、ＣＰＵ４１に上記の機能を発揮させるプログラムや、公開鍵ＰＫで暗号化された暗号鍵Ｋｐを復号化する秘密鍵ＳＫなどが記憶されている。
データ格納部４７には、データベースが形成されており、ドライブレコーダ６から送信されてきた暗号鍵Ｋｐや当該暗号鍵Ｋｐのハッシュ値にタイムスタンプを発行したものを記憶している。

図３（２）は、タイムスタンプサーバ２のハードウェア的な構成を説明するための図である。
タイムスタンプサーバ２は、ＣＰＵ５１、ＲＯＭ５２、ＲＡＭ５３、タイムスタンプ部５４、通信部５５、記憶部５６などから構成されている。
ＣＰＵ５１は、所定のプログラムに従って各種情報処理やタイムスタンプサーバ２の各部の制御を行う。具体的には、例えば、暗号鍵用サーバ３からハッシュ値を受信し、タイムスタンプ部５４を用いてこれにタイムスタンプを発行して暗号鍵用サーバ３に送信する。

タイムスタンプ部５４は、電子文書などの電子データにタイムスタンプを発行するモジュールである。
タイムスタンプ部５４は、原子時計を備えており、正確な日時刻を計測している。
そして、タイムスタンプ部５４は、秘密鍵を記憶しており、例えば、電子文書に原子時計で計測した日時刻を付加してこれを秘密鍵で暗号化して電子署名を行う。
この電子署名は、当該秘密鍵に対応する公開鍵で復号化することにより、電子データの内容とタイムスタンプ部５４が付与した日時刻の正統性を確認できるため、タイムスタンプとして機能する。

ＲＯＭ５２は、読み出し専用メモリであって、タイムスタンプサーバ２が動作するための基本的なプログラムやパラメータなどを記憶している。
ＲＡＭ５３は、読み書きが可能なメモリであって、ＣＰＵ５１がプログラムをロードしたり、各種情報処理を行う際のワーキングメモリを提供する。
通信部５５は、タイムスタンプサーバ２をネットワーク４に接続する。タイムスタンプサーバ２は、通信部５５を介して暗号鍵用サーバ３と通信することができる。
記憶部５６は、例えば、ハードディスクなどの大容量の記憶装置を用いて構成されており、ＣＰＵ５１に上記の機能を発揮させるプログラムなどが記憶されている。

図４は、暗号鍵用サーバ３のデータベースの論理的な構成を説明するための図である。
データベースには、「機器ＩＤ」、「暗号鍵Ｋｐ受信日時」、「暗号鍵Ｋｐ」、「暗号鍵Ｋｐのハッシュ値＋タイムスタンプ」などの各要素が記憶されている。

「機器ＩＤ」は、ドライブレコーダ６を識別するためのＩＤ情報である。暗号鍵用サーバ３は、ドライブレコーダ６と通信を開始するにあたり、例えば、ドライブレコーダ６を機器認証してドライブレコーダ６の機器ＩＤを特定する。
「暗号鍵Ｋｐ受信日時」は、暗号鍵用サーバ３がドライブレコーダ６から暗号鍵Ｋｐを受信した日時である。
「機器ＩＤ」と「暗号鍵Ｋｐ受信日時」により、どの車両のいつのデータであるかを特定することができる。

「暗号鍵Ｋｐ」は、暗号鍵用サーバ３がドライブレコーダ６から受信した暗号鍵Ｋｐである。
「暗号鍵Ｋｐのハッシュ値＋タイムスタンプ」は、暗号鍵用サーバ３が「暗号鍵Ｋｐ」を用いて生成したハッシュ値に対して、タイムスタンプサーバ２が発行したタイムスタンプである。
なお、当該ハッシュ値は「暗号鍵Ｋｐ」から計算できるため、データベースに記憶していないが、データベースにこれを記憶するように構成してもよい。

図５は、ドライブレコーダ６が行う情報処理を説明するための図である。
ドライブレコーダ６は、車両８が始動すると、これを検知し、動画の撮影を開始する。
ドライブレコーダ６は、動画の撮影を開始すると、暗号鍵Ｋｐを生成してＲＡＭ２３に記憶する。暗号鍵Ｋｐは、例えば、動画の最初の画像のハッシュ値を用いて生成したり、あるいは、乱数を発生させてこれを用いて生成したりなど、動画撮影開始時に固有な情報を用いて生成する。
これによって、生成するごとに異なる暗号鍵Ｋｐが得られ、１回ごとに暗号鍵Ｋｐを使い捨てることによりセキュリティが向上する。

車両８は、暗号鍵Ｋｐを生成すると、通信経路上で暗号鍵Ｋｐを秘匿するため、これを公開鍵ＰＫで暗号化して暗号鍵用サーバ３に送信する。公開鍵ＰＫで暗号化された暗号鍵Ｋｐは、暗号鍵用サーバ３で秘密鍵ＳＫにより復号化される。
なお、本実施の形態では、公開鍵ＰＫと秘密鍵ＳＫを用いて暗号鍵Ｋｐの暗号化と復号化を行ったが、これに限定するものではなく、例えば、ドライブレコーダ６と暗号鍵用サーバ３が共通鍵ＣＫを記憶し、ドライブレコーダ６が暗号鍵Ｋｐを共通鍵ＣＫで暗号化し、暗号鍵用サーバ３がこれを共通鍵ＣＫで復号化するように構成することもできる。

本実施の形態では、暗号鍵Ｋｐとして共通鍵を用い、動画ファイルの暗号化と復号化を同一の暗号鍵Ｋｐで行うが、例えば、公開鍵と秘密鍵のように暗号化と復号化に異なる鍵を用いるように構成してもよい。
この場合、ドライブレコーダ６が動画を暗号化する動画暗号化鍵を記憶し、暗号鍵用サーバ３は暗号化された動画を復号化するための動画復号化鍵を記憶する。

何れの形態にしても、ドライブレコーダ６が動画ファイルを暗号化できる暗号化鍵を記憶し、暗号鍵用サーバ３が動画ファイルを復号化できる復号化鍵を記憶するようにする。
このように、ドライブレコーダ６は、外部の記憶手段（暗号鍵用サーバ３のデータベース）に記憶された復号化鍵で復号可能にデータを暗号化する暗号化鍵を記憶する暗号化鍵記憶手段を備えている。

このように、ドライブレコーダ６は、動画の撮影の開始時に、当該開始時点に固有な暗号化鍵（暗号鍵Ｋｐ）と当該暗号化鍵で暗号化された情報を復号化する復号化鍵（本実施の形態では、暗号化鍵と同じ暗号鍵Ｋｐ）を生成する鍵生成手段と、当該生成した復号化鍵を、外部の記憶手段に復号鍵を記憶する所定のサーバ（暗号鍵用サーバ３）に送信する復号化鍵送信手段を備えている。

ドライブレコーダ６は、以上のように暗号鍵Ｋｐの生成、暗号化、及び送信を行うと共に、カメラ７で撮影した所定の動画記録時間（ここでは３０秒とする）前から現在までの動画を更新しながらデータ格納部３２に記憶する。
なお、この更新は古い画像（所謂コマ、フレーム）を消去しながら連続的に行われる。
また、動画を記憶するメモリが十分にある場合には、撮影した動画を全て記憶するように構成してもよい。
このように、ドライブレコーダ６は、移動体に搭載されたカメラで動画を撮影する動画撮影手段を備えている。

イベントが発生しない場合には、ドライブレコーダ６は、以上のように３０秒前から現在までの動画を撮影し続けるが、イベントが発生すると、ドライブレコーダ６は、動画の更新を停止し、その結果、データ格納部３２には、イベント発生時を撮影した動画データの動画ファイルが記憶される。
より詳細には、ドライブレコーダ６は、イベント検出部２８でイベントの発生を検出すると、所定時間後に動画の更新・記憶を停止するが、この所定時間は、イベント発生時点の画像を残すため、動画の記録時間よりも短く設定されている。これによって、イベント前後一定時間の動画を保存することができる。

本実施の形態では、当該所定時間を１０秒とし、イベント発生時点から１０秒後に動画の更新・記憶を停止する。これによりイベント発生時より２０秒前からイベント発生後１０秒までの動画が暗号化されてデータ格納部３２に記憶・保存される。
ここで、データ格納部３２は、動画記憶手段として機能し、ドライブレコーダ６は、イベント検出手段でイベントを検出した際に、イベント発生時からそれ以前の少なくとも所定記録時間の動画が記憶されている動画記憶手段を備えている。

このように、ドライブレコーダ６は、イベント発生時の様子を記録した動画ファイルを保持した後、これを暗号鍵Ｋｐで暗号化して記憶し、その後、速やかに暗号鍵Ｋｐを消去する。
このように、動画ファイルは暗号化されて記憶されるため、暗号化の対象となった動画ファイルは、消去してもよい。
このように、ドライブレコーダ６は、少なくとも、記憶されている動画（動画ファイル）、又は、当該動画に固有な固有情報（変形例で説明するハッシュ値であり、本実施の形態ではない）の一方を含む動画情報（動画ファイル）を暗号化鍵（暗号鍵Ｋｐ）で暗号化する暗号化手段を備えている。

更に、ドライブレコーダ６は、暗号鍵Ｋｐを消去することにより、動画情報を暗号化した後、暗号化鍵（暗号鍵Ｋｐ）による暗号化を行えないようにする暗号化無効手段を備えている。
これにより、改竄した動画ファイルを暗号鍵Ｋｐで暗号化して真正の動画ファイルとすり替えることができなくなる。
また、暗号鍵Ｋｐで動画ファイルを復号化して改竄することもできなくなる。

図５に示したように、ドライブレコーダ６が暗号鍵用サーバ３に暗号鍵Ｋｐを公開鍵ＰＫで暗号化して送信した後、暗号鍵用サーバ３は、秘密鍵ＳＫで暗号鍵Ｋｐを復号化してデータベースに記憶する。
そして、暗号鍵用サーバ３は、復号化した暗号鍵Ｋｐのハッシュ値を計算し、これをタイムスタンプサーバ２に送信する。
タイムスタンプサーバ２がハッシュ値にタイムスタンプを発行して暗号鍵用サーバ３に送信すると、暗号鍵用サーバ３は、タイムスタンプが付与されたハッシュ値をデータベースに記憶する。

暗号鍵Ｋｐを改竄すると、そのハッシュ値がタイムスタンプの付与されたハッシュ値と異なるため、ハッシュ値にタイムスタンプが付与された後は、暗号鍵Ｋｐを改竄することができない。
そのため、タイムスタンプにより、暗号鍵Ｋｐがタイムスタンプ時に確かにタイムスタンプの日時刻に存在したことを証明することができる。
このように、イベント発生時の動画ファイルは、タイムスタンプにより日時刻が証明されている暗号鍵Ｋｐによって暗号化されるため、高い証拠能力を有する。

なお、本実施の形態では、ドライブレコーダ６は、動画ファイルを暗号鍵Ｋｐで暗号化したが、例えば、ドライブレコーダ６は、動画ファイルに、車両情報部２７で検出したＧＰＳ情報（現在位置やＧＰＳによる日時刻など）や車速などのデータ、時計部２４で計測した現在日時刻など、他のデータを付加して１つのファイル（１つの動画情報）とし、これを暗号鍵Ｋｐで暗号化するように構成することもできる。
この場合、動画データのほか、これらＧＰＳ情報なども証拠として利用することができる。

また、動画情報に更に多くの情報を含めることが可能である。
例えば、車両情報部２７で車両８の速度や加速度、及びブレーキやアクセルの操作状態などを検出し、これらをファイルに含めるように構成することができる。
これによって、イベント発生時に、ドライバが適切な速度で運行しており、運転操作も適切であったことを検証することが可能となる。

以上に説明した本実施の形態では、ドライブレコーダ６が動画撮影開始時に暗号鍵Ｋｐを生成して、自己が保持すると共に、同じ暗号鍵Ｋｐを暗号鍵用サーバ３に送信したが、このように撮影開始時ごとに暗号鍵Ｋｐを生成するのではなく、予め、ドライブレコーダ６に暗号化用の暗号鍵を記憶させ、暗号鍵用サーバ３に復号化用の暗号鍵を記憶させておくように構成することもできる。

また、ドライブレコーダ６が、動画ファイルを暗号化してこれを記憶すると共に、暗号化した動画ファイルのハッシュ値を計算して暗号鍵用サーバ３に送信するように構成することも可能である。
この場合、暗号鍵用サーバ３は、当該ハッシュ値を受信すると、これを速やかにタイムスタンプサーバ２に送信し、タイムスタンプを発行してもらって保存する。
このように構成すると、動画データが撮影された日時もタイムスタンプによって証明することが可能となる。

更に、以上に説明した本実施の形態では、暗号鍵用サーバ３とタイムスタンプサーバ２を別のサーバとしたが、暗号鍵用サーバ３にタイムスタンプ発行機能を装備し、暗号鍵用サーバ３でタイムスタンプの発行を行ってもよい。

次に、図６のフローチャートを用いて、ドライブレコーダ６が行う情報処理について説明する。
以下の処理は、ドライブレコーダ６のＣＰＵ２１、暗号鍵用サーバ３のＣＰＵ４１、タイムスタンプサーバ２のＣＰＵ５１が所定のプログラムに従って行うものである。

まず、ドライブレコーダ６は、車両８が始動すると、カメラ部２５を用いてカメラ７で撮影された動画の記録を開始し（ステップ５）、データ格納部３２において動画の記録・更新を行う。
次に、ドライブレコーダ６は、動画の最初の画像のハッシュ値を用いるなどして、暗号鍵Ｋｐを生成し、ＲＡＭ２３に記憶する（ステップ１０）。
そして、ドライブレコーダ６は、暗号鍵Ｋｐの生成・記憶と共に、暗号鍵Ｋｐを複製して公開鍵ＰＫで暗号化し、暗号鍵用サーバ３に送信する（ステップ１５）。
この際、ドライブレコーダ６は、機器ＩＤになど、機器認証に必要な情報も送信する。

次に、暗号鍵用サーバ３は、ドライブレコーダ６を機器認証し、そして、暗号化された暗号鍵Ｋｐを受信すると、これを秘密鍵ＳＫで復号化してデータベースに記憶する（ステップ２０）。
次に、暗号鍵用サーバ３は、暗号鍵Ｋｐのハッシュ値を計算し（ステップ２５）、これをタイムスタンプサーバ２に送信してタイムスタンプの発行を要求する（ステップ３０）。

タイムスタンプサーバ２は、暗号鍵用サーバ３からハッシュ値を受信すると、タイムスタンプ部５４を用いて当該ハッシュ値にタイムスタンプを発行し（ステップ３５）、暗号鍵用サーバ３に送信する。
暗号鍵用サーバ３は、タイムスタンプサーバ２からタイムスタンプが付与されたハッシュ値を受信し、データベースに記憶する（ステップ４０）。

ドライブレコーダ６は、以上のようにして暗号鍵Ｋｐを暗号鍵用サーバ３に送信した後、イベント検出部２８の出力を監視し、イベントが検出されたか否かを判断する（ステップ４５）。
イベントが検出されなかった場合（ステップ４５；Ｎ）、ドライブレコーダ６は、引き続きステップ４５でイベント検出部２８の出力を監視する。

一方、イベントが検出された場合（ステップ４５；Ｙ）、ドライブレコーダ６は、所定時間後（例えば、１０秒後）に動画の記憶の更新を停止する（ステップ５０）。
そして、ドライブレコーダ６は、更新を停止した動画データを含む動画ファイルを生成し、これを暗号鍵Ｋｐで暗号化する（ステップ５５）。この際、ＧＰＳ情報など他の情報を動画ファイルに含めてもよい。

ドライブレコーダ６は、動画ファイルを暗号化してデータ格納部３２に記憶した後、速やかに動画ファイルと暗号鍵Ｋｐを消去する（ステップ６０）。
なお、証拠となる動画ファイルは暗号鍵Ｋｐで暗号化されて記憶されているので、元の動画ファイルはあってもなくてもよく、必ずしも消去しなくてもよい。

以上に説明した本実施の形態により次のような効果を得ることができる。
（１）イベント発生時の動画データを暗号鍵Ｋｐで暗号化して記憶することができる。
（２）記憶してある暗号鍵Ｋｐで動画ファイルを暗号化するため、動画ファイル保存時にサーバに接続してタイムスタンプを取得するなどの処理を行う必要がなく、ネットワーク環境に依存せずに動画ファイルの証拠性を高めることができる。

（３）動画ファイルを暗号化した後、暗号鍵Ｋｐを消去するため、ドライブレコーダ６内のデータでは、動画ファイルの改竄やすり替えなどの不正行為を行うことができない。
（４）暗号鍵Ｋｐは、動画撮影１回ごとに生成して使い捨てるため、暗号鍵Ｋｐを盗まれて不正使用されるリスクを低減することができる。

（５）暗号鍵Ｋｐを生成して暗号鍵用サーバ３に送信して暗号鍵用サーバ３で保存するため、暗号鍵用サーバ３の暗号鍵Ｋｐで暗号化された動画ファイルを復号化することができる。このため、動画ファイルの復号化が行えるものを暗号鍵用サーバ３を管理する機関（データセンターなど）に限定することができる。
（６）暗号鍵用サーバ３は、ドライブレコーダ６から受信した暗号鍵Ｋｐのハッシュ値をタイムスタンプサーバ２に送信してタイムスタンプを発行してもらうため、データベースに記憶されている暗号鍵Ｋｐが改竄されていないことを証明することができる。

（変形例１）
次に、図７を用いて変形例１について説明する。
本変形例は、イベントの発生の前までは先に説明した実施の形態と同じである。
即ち、ドライブレコーダ６は、動画の撮影と共に暗号鍵Ｋｐを生成して、これを暗号鍵用サーバ３に送信する。暗号鍵用サーバ３は、暗号鍵Ｋｐのハッシュ値を計算してタイムスタンプサーバ２に送信してタイムスタンプを発行してもらう。

一方、本変形例では、イベントが発生すると、ドライブレコーダ６は、動画ファイルを生成してデータ格納部３２に記憶すると共に、動画ファイルのハッシュ値を計算する。
そして、ドライブレコーダ６は、当該ハッシュ値を暗号鍵Ｋｐで暗号化して暗号化ハッシュ値を生成し、データ格納部３２に記憶・保存する。
ハッシュ値を暗号化して暗号鍵Ｋｐを消去した後、動画ファイルは改竄できなくなる。

ドライブレコーダ６は、暗号化ハッシュ値を記憶した後、暗号鍵Ｋｐを消去し、動画ファイルのハッシュ値も消去する。なお、動画ファイルのハッシュ値は必ずしも消去する必要はない。
また、本変形例では、動画ファイルをデータ格納部３２に保存し、これを証拠として使用する。

動画ファイルが改竄されていないことは、データ格納部３２に記憶されている動画ファイルのハッシュ値を計算し、また、暗号化ハッシュ値を暗号鍵用サーバ３で記憶されている暗号鍵Ｋｐで復号化し、両ハッシュ値が一致することにより証明することができる。
ここで、動画ファイルのハッシュ値は、動画に固有な固有情報として機能し、ドライブレコーダ６は、少なくとも、動画、又は、当該動画に固有な固有情報の一方を含む動画情報（ハッシュ値）を暗号化鍵で暗号化する暗号化手段を備えている。
また、動画ファイルのハッシュ値やＧＰＳ情報などを１つのファイル（動画情報）としてこれのハッシュ値を計算し、当該ハッシュ値を暗号鍵Ｋｐで暗号化して記憶してもよい。

（変形例２）
次に、図８を用いて変形例２について説明する。
本変形例では、ドライブレコーダ６は、暗号鍵Ｋｐに寿命を設定する。
例えば、暗号鍵Ｋｐの寿命を３０分とすると、ドライブレコーダ６は、撮影開始時に暗号鍵Ｋｐ１を生成した後、３０分ごとに暗号鍵Ｋｐ２、Ｋｐ３、・・・と暗号鍵Ｋｐを生成していく。古い暗号鍵は、新しい暗号鍵が生成されると消去される。

そして、ドライブレコーダ６は、暗号鍵Ｋｐｉ（ｉは自然数）を生成するごとに、これを暗号鍵用サーバ３に送信し、暗号鍵用サーバ３は、暗号鍵Ｋｐｉのハッシュ値に対してタイムスタンプサーバ２でタイムスタンプを発行してもらう。
暗号鍵Ｋｐｉを暗号鍵用サーバ３に送信する手順や、暗号鍵用サーバ３が暗号鍵Ｋｐｉのハッシュ値を計算してタイムスタンプサーバ２にタイムスタンプを発行してもらう手順などは、先に説明した実施の形態と同じである。

そして、ドライブレコーダ６は、イベントが発生すると、最も最近に暗号鍵用サーバ３に送信した暗号鍵Ｋｐｉを用いて動画ファイルを暗号化し、暗号鍵Ｋｐｉと動画ファイルを消去する。
このように、本変形例では、生成した暗号鍵Ｋｐｉに一定期間の寿命を設定し、一定期間ごとに新しい暗号鍵Ｋｐｉを生成するため、ドライブレコーダ６が１つの暗号鍵Ｋｐｉを保持する時間を短くすることができ、これによって暗号鍵Ｋｐｉを盗まれる可能性を低減することができる。

以上のように、ドライブレコーダ６は、生成した暗号化鍵と復号化鍵を（ここでは、何れも暗号鍵Ｋｐｉ）、所定のタイミングで当該所定のタイミングに固有な暗号化鍵と復号化鍵（ここでは、何れも暗号鍵Ｋｐ（ｉ＋１））に更新し、ドライブレコーダ６は、復号化鍵が更新されると、当該復号化鍵を所定のサーバ（暗号鍵用サーバ３）に送信し、更に、最も最近に更新された暗号化鍵によって動画情報を暗号化する。

本実施の形態に係る情報処理システムのネットワーク構成を説明するための図である。 ドライブレコーダのハードウェア的な構成を説明するための図である。 各サーバのハードウェア的な構成を説明するための図である。 データベースの論理的な構成を説明するための図である。 ドライブレコーダが行う情報処理を説明するための図である。 ドライブレコーダが行う情報処理について説明するためのフローチャートである。 変形例１を説明するための図である。 変形例２を説明するための図である。

符号の説明

１ 情報処理システム
２ タイムスタンプサーバ
３ データ用サーバ
４ ネットワーク
５ 基地局
６ ドライブレコーダ
７ カメラ
８ 車両
２１ ＣＰＵ
２２ ＲＯＭ
２３ ＲＡＭ
２４ 時計部
２５ カメラ部
２６ 通信部
２７ 車両情報部
２８ イベント検出部
２９ 緊急用電源
３０ 不揮発メモリ

Claims (6)

1. 移動体に搭載されたカメラで動画を撮影する動画撮影手段と、
   外部の記憶手段に記憶された復号化鍵で復号可能にデータを暗号化する暗号化鍵を記憶する暗号化鍵記憶手段と、
   イベントの発生を検出するイベント検出手段と、
   前記イベント検出手段でイベントを検出した際に、イベント発生時からそれ以前の少なくとも所定記録時間の前記動画が記憶されている動画記憶手段と、
   少なくとも、前記記憶されている動画、又は、当該動画に固有な固有情報の一方を含む動画情報を前記記憶した暗号化鍵で暗号化する暗号化手段と、
   を具備したことを特徴とする画像記憶装置。
2. 前記暗号化手段で動画情報を暗号化した後、前記暗号化鍵による暗号化を行えないようにする暗号化無効手段を具備したことを特徴とする請求項１に記載の画像記憶装置。
3. 前記動画の撮影の開始時に、当該開始時点に固有な暗号化鍵と、当該暗号化鍵で暗号化された情報を復号化する復号化鍵と、を生成する鍵生成手段と、
   前記生成した復号化鍵を、前記外部の記憶手段に復号化鍵を記憶する所定のサーバに送信する復号化鍵送信手段と、
   を具備し、
   前記暗号化鍵記憶手段は、前記生成した暗号化鍵を記憶することを特徴とする請求項１、又は請求項２に記載の画像記憶装置。
4. 前記鍵生成手段は、前記生成した暗号化鍵と復号化鍵を、所定のタイミングで当該所定のタイミングに固有な暗号化鍵と復号化鍵に更新し、
   前記復号化鍵送信手段は、復号化鍵が更新されると、当該復号化鍵を前記所定のサーバに送信し、
   前記暗号化手段は、最も最近に更新された暗号化鍵によって前記動画情報を暗号化することを特徴とする請求項３に記載の画像記憶装置。
5. 現在日時刻を取得する現在日時刻取得手段を具備し、
   前記動画情報は、前記取得した現在日時刻を含むことを特徴とする請求項１から請求項４までのうちの何れか１の請求項に記載の画像記憶装置。
6. 現在位置を取得する現在位置取得手段を具備し、
   前記動画情報は、前記取得した現在位置を含むことを特徴とする請求項１から請求項５までのうちの何れか１の請求項に記載の画像記憶装置。

Images