JP2021013122A - データ保存装置、及びデータ保存プログラム - Google Patents

Abstract

【課題】移動体にて取得される取得データを、信用性を確保しつつ保存可能なデータ保存装置等の提供。【解決手段】車載ＥＣＵ１００は、車両Ａでの取得データを、ブロックチェーンＢＣを用いて保存するデータ保存装置である。車載ＥＣＵ１００は、ブロックチェーンＢＣの最終ブロックＬＢに基づくハッシュ値と、取得データに基づくハッシュ値とを含む新規ブロックＡＢを生成する。車載ＥＣＵ１００は、ノーマルワールドＮＷと、ノーマルワールドＮＷからのアクセスが制限されたセキュアワールドＳＷとを規定する。ノーマルワールドＮＷのノーマルストレージＵＳには、取得データが保存される。一方、セキュアワールドＳＷのセキュアストレージＴＳには、新規ブロックに基づくハッシュ値がブロックハッシュ値ＨｖＢとして保存される。【選択図】図１

Description

この明細書による開示は、移動体にて取得される取得データを保存するデータ保存の技術に関する。

特許文献１に開示のドライブレコーダは、車両の運転情報を受信及び記録を行う記録手段と、所定の条件が成立した場合に、記録手段に記録された運転情報をフラッシュメモリ等の記録媒体に不揮発的に記録する不揮発記録手段とを備えている。

特開２００７−１４１２１３号公報

近年では、車両等の移動体にて取得される取得データの重要性が高まってきている。しかし、特許文献１のドライブレコーダでは、記録媒体への外部からのアクセスが制限されていない。故に、保存された運転情報等のデータの信用性が確保されない虞があった。

本開示は、移動体にて取得される取得データを、信用性を確保しつつ保存可能なデータ保存装置及びデータ保存プログラムの提供を目的とする。

上記目的を達成するため、開示された一つの態様は、移動体（Ａ）において用いられ、ノーマルワールド（ＮＷ）及び当該ノーマルワールドからのアクセスが制限されるセキュアワールド（ＳＷ）を規定し、移動体にて取得される取得データを、ブロックチェーン（ＢＣ）を用いて保存するデータ保存装置であって、ノーマルワールドのストレージ領域（ＵＳ）に、取得データを保存するノーマル保存処理部（５３）と、ブロックチェーンの最後に連結された最終ブロック（ＬＢ）に基づくハッシュ値、及び取得データに基づくハッシュ値、を含む新規ブロック（ＡＢ）を生成するブロック生成部（５２）と、新規ブロックに基づくハッシュ値を、セキュアワールドのストレージ領域（ＴＳ）にブロックハッシュ値（ＨｖＢ）として保存するセキュア保存処理部（５４）と、を備えるデータ保存装置とされる。

また開示された一つの態様は、移動体（Ａ）において用いられ、ノーマルワールド（ＮＷ）及び当該ノーマルワールドからのアクセスが制限されるセキュアワールド（ＳＷ）を規定し、移動体にて取得される取得データを、ブロックチェーン（ＢＣ）を用いて保存するデータ保存プログラムであって、少なくとも一つのプロセッサ（１１）に、ノーマルワールドのストレージ領域（ＵＳ）に、取得データを保存し（Ｓ１０７）、ブロックチェーンの最後に連結された最終ブロック（ＬＢ）に基づくハッシュ値、及び取得データに基づくハッシュ値、を含む新規ブロック（ＡＢ）を生成し（Ｓ１１０）、新規ブロックに基づくハッシュ値を、セキュアワールドのストレージ領域（ＴＳ）にブロックハッシュ値（ＨｖＢ）として保存する（Ｓ１１３）、ことを含む処理を実施させるデータ保存プログラムとされる。

これらの態様では、ブロックチェーンに新たに連結される新規ブロックのハッシュ値が、ノーマルワールドからのアクセスを制限されたセキュアワールドのストレージ領域に、ブロックハッシュ値として保存される。故に、移動体にて取得される取得データの改竄等が、セキュアワールドにて保護されるブロックハッシュ値を用いた比較によって検知され得る。したがって、移動体にて取得される取得データを、信用性を確保しつつ保存することが可能になる。

尚、上記括弧内の参照番号は、後述する実施形態における具体的な構成との対応関係の一例を示すものにすぎず、技術的範囲を何ら制限するものではない。

本開示の第一実施形態による車載ＥＣＵの電気構成を、関連する車載構成と共に示すブロック図である。 ブロックチェーンの詳細を示す図である。 ロガーにて実施されるロガー処理の詳細を示すフローチャートである。 オーディタにて実施されるデータ提供処理の詳細を示すフローチャートである。 ユーザインターフェースに表示されるデータ提供画面の一例を示す図である。 オブザーバにて実施されるシステム監視処理の詳細を示すフローチャートである。 本開示の第二実施形態による車載ＥＣＵの電気構成を示すブロック図である。

以下、本開示の複数の実施形態を図面に基づいて説明する。尚、各実施形態において対応する構成要素には同一の符号を付すことにより、重複する説明を省略する場合がある。各実施形態において構成の一部分のみを説明している場合、当該構成の他の部分については、先行して説明した他の実施形態の構成を適用することができる。また、各実施形態の説明において明示している構成の組み合わせばかりではなく、特に組み合わせに支障が生じなければ、明示していなくても複数の実施形態の構成同士を部分的に組み合わせることができる。そして、複数の実施形態及び変形例に記述された構成同士の明示されていない組み合わせも、以下の説明によって開示されているものとする。

（第一実施形態）
図１に示す本開示の第一実施形態におけるデータ保存装置の機能は、車載ＥＣＵ（Electronic Control Unit）１００に実装されている。車載ＥＣＵ１００は、車両Ａに搭載された複数の電子制御ユニットのうちの一つである。車載ＥＣＵ１００は、例えばボディ系の統合ＥＣＵであってもよく、自動運転又は高度運転支援のための自動運転ＥＣＵであってもよい。さらに、車載ＥＣＵ１００は、取得データを保存するための専用ＥＣＵであってもよい。車載ＥＣＵ１００は、ＤＣＭ４０、Ｖ２Ｘ通信器３０、及び複数の車載センサ２０等と直接的又は間接的に電気接続されている。

ＤＣＭ（Data Communication Module）４０は、車両Ａに搭載される通信モジュールである。ＤＣＭ４０は、ＬＴＥ（Long Term Evolution）及び５Ｇ等の通信規格に沿った無線通信により、車両Ａの周囲の基地局との間で電波を送受信する。ＤＣＭ４０は、クラウドＣＬＤと車載機器との連携（Cloud to Car）を可能にする。ＤＣＭ４１の搭載により、車両Ａは、インターネットに接続可能なコネクテッドカーとなる。ＤＣＭ４０は、クラウドＣＬＤ上に設置されたバックアップサーバＢＳへ向けて、車載ＥＣＵ１００に保存されたデータのバックアップを送信する。加えてＤＣＭ４０は、バックアップサーバＢＳに保存されたバックアップデータを受信する。

Ｖ２Ｘ（Vehicle to Everything）通信器３０は、車車間通信、路車間通信、及び歩車間通信等を実現する車載通信機である。Ｖ２Ｘ通信器３０は、他車両に搭載された車載器、道路に設置された路側機、及び歩行者の所持する携帯端末等が通信範囲に存在する場合、これらの通信構成と双方向通信可能である。Ｖ２Ｘ通信器３０は、通信を通じて取得した通信データを、例えば車載通信ネットワークの通信バス等を通じて、車載ＥＣＵ１００に提供可能である。

車載センサ２０は、車両Ａに搭載される種々の検出構成である。車載センサ２０には、車両Ａの走行状態を検出する車速センサ及び慣性センサ（Inertial Measurement Unit，ＩＭＵ）が含まれている。車載センサ２０には、ドライバの状態や運転操作を検出する車内カメラ、ペダルセンサ及びステアセンサが含まれている。車載センサ２０には、運転支援又は自動運転に用いられる車外カメラ、ミリ波レーダ及びライダが含まれている。各車載センサ２０は、例えば車載通信ネットワークの通信バス等を通じて、車載ＥＣＵ１００に検出データを提供可能である。

車載ＥＣＵ１００は、車両Ａにて発生したデータを取得し、当該取得データをログデータＬＤとして改竄困難な状態で蓄積する車載コンピュータである。車載ＥＣＵ１００は、プロセッサ１１、ＲＡＭ１２、記憶部１３及び入出力インターフェース１４等を含む制御回路を主体に構成されている。

プロセッサ１１は、ＲＡＭ１２と結合された演算処理のためのハードウェアであり、ＲＡＭ１２へのアクセス処理により、種々のプログラムを実行可能である。記憶部１３は、不揮発性の記憶媒体を含む構成であり、プロセッサ１１によって実行される種々のプログラムを格納している。記憶部１３には、車両Ａにて発生したログデータＬＤの蓄積、提供及び監視に関連するデータ保存プログラムが少なくとも記憶されている。

車載ＥＣＵ１００は、ノーマルワールドＮＷ及びセキュアワールドＳＷという少なくとも二つの異なる処理領域をシステム内に規定する。ノーマルワールドＮＷ及びセキュアワールドＳＷは、ハードウェア上で物理的に分離されていてもよく、又はハードウェア及びソフトウェアの連携によって仮想的に分離されていてもよい。車載ＥＣＵ１００は、コンテキストスイッチ等の機能を利用し、アプリケーションの実行に必要なリソースを、ノーマルワールドＮＷ及びセキュアワールドＳＷに時間的に分離させている。

ノーマルワールドＮＷは、オペレーションシステム及びアプリケーションを実行させる通常の領域である。ノーマルワールドＮＷには、データ保存のためのストレージ領域（Untrusted Storage）として、ノーマルストレージＵＳが設けられている。

セキュアワールドＳＷは、ノーマルワールドＮＷから隔離された領域である。セキュアワールドＳＷでは、セキュリティを要求される処理のためのセキュアなオペレーションシステム及びアプリケーションが実行される。ノーマルワールドＮＷからセキュアワールドＳＷへのアクセスは、プロセッサ１１の機能によって制限されている。そのため、ノーマルワールドＮＷからは、セキュアワールドＳＷの存在が認識不可能となり、セキュアワールドＳＷにて実行される処理及びセキュアワールドＳＷに保存された情報等の安全性が確保される。セキュアワールドＳＷには、データ保存のためのストレージ領域（Trusted Storage）として、セキュアストレージＴＳが設けられている。セキュアストレージＴＳの容量は、ノーマルストレージＵＳの容量よりも少なくされてよい。

車載ＥＣＵ１００は、ログデータＬＤを保存するロガー処理（図３参照）、ロガー処理によって蓄積されたログデータＬＤを外部に提供するデータ提供処理（図４参照）、及びシステムの状態を監視するシステム監視処理（図６参照）等を実行する。上記の各処理を実行する機能ユニットとして、車載ＥＣＵ１００には、ノーマルワールドＮＷにて作動するロガー５０及びオーディタ６０と、セキュアワールドＳＷにて作動するオブザーバ７０とが設けられる。

ロガー５０は、ロガー処理の実行により、車両Ａにて発生した種々のデータをブロックチェーンＢＣに関連付けて保存する機能ユニットである。ロガー５０は、データ取得部５１、ブロック生成部５２、データ保存部５３及びハッシュ値保存部５４等の機能部を有している。

データ取得部５１は、例えば車載通信ネットワークの通信バスに電気的に接続されている。データ取得部５１は、通信データ及び検出データ等、車両Ａに発生した種々のデータを、通信バスを通じて取得可能である。データ取得部５１は、車載センサ２０及びＶ２Ｘ通信器３０によって通信バスに逐次出力されるデータの中から予め設定されたデータを抽出し、保存対象とする取得データとして選択的に取得する。

図１及び図２に示すブロック生成部５２は、データ取得部５１にて取得された取得データを、ログデータＬＤとして保存する。ブロック生成部５２は、例えばＳＨ−２５６等のハッシュ関数を用いてハッシュ値を計算する機能を有している。ブロック生成部５２は、ハッシュ関数を利用して、ログデータＬＤをハッシュチェーン状のデータ構造に変換し、ノーマルストレージＵＳに保存する。ブロック生成部５２は、予め設定された指定数又は指定容量のログデータＬＤに基づき、一つのブロックを作成する。ブロック生成部５２は、一つのブロックのデータをハッシュ関数に入力して得られるハッシュ値を、次のブロックに含ませることにより、多数のブロックを直鎖状に連結させてなるブロックチェーンＢＣを生成する。

ブロック生成部５２は、データ取得部５１によって取得された指定数又は指定容量のログデータＬＤに基づき、各ブロックに本体データとして格納されるハッシュ値を算出する。ブロック生成部５２は、多数のログデータＬＤそれぞれについてのハッシュ値を個別に計算してもよく、又は多数のログデータＬＤのマークルルートを計算してもよい。

データ保存部５３は、データ取得部５１によって取得されたログデータＬＤを、ノーマルストレージＵＳ内に指定されたファイルパスに保存する。データ保存部５３は、ブロック生成部５２にて生成されるブロックチェーンＢＣのデータを、ノーマルストレージＵＳに保存する。データ保存部５３は、特定のブロックと、その特定のブロックに含まれるログデータＬＤのファイルパスとを紐づける紐づけ情報Ｌｉｎを、ノーマルストレージＵＳに保存する。

ハッシュ値保存部５４は、セキュアワールドＳＷへのアクセスを可能にする所定の命令（例えば、セキュアモニタコール等）の実行により、セキュアストレージＴＳに保存されたブロックハッシュ値ＨｖＢ及びブロックナンバーＮｏＢを更新可能である。ブロックハッシュ値ＨｖＢは、ブロックチェーンＢＣの現在の最終ブロックＬＢに基づくハッシュ値である。ブロックハッシュ値ＨｖＢは、最終ブロックＬＢの全データをハッシュ関数へ入力する演算処理により、出力として得られる２５６ビットの値（文字列）である。

ブロックナンバーＮｏＢは、最終ブロックＬＢに割り振られた固有の値であり、初期ブロックを「０」としたとき、現在の最終ブロックＬＢがブロックチェーンＢＣにおいて何番目のブロックなのかを示す値である。ブロックナンバーＮｏＢは、ブロックチェーンＢＣに現在連結されているブロックの数を示す値でもある。ハッシュ値保存部５４は、ブロック生成部５２にて新規ブロックＡＢの生成及びそのハッシュ値の計算が行われる毎に、セキュアストレージＴＳのブロックハッシュ値ＨｖＢ及びブロックナンバーＮｏＢを更新する。

以上のロガー５０によって実施されるロガー処理の詳細を、図３に示すフローチャートに基づき、図１及び図２を参照しつつ、以下説明する。ロガー処理は、車載ＥＣＵ１００への電力供給の開始に基づき開始され、電力供給の終了まで継続実施される。

Ｓ１０１では、ノーマルストレージＵＳにブロックチェーンＢＣの初期ブロックが既に生成されているか否かを判定する。Ｓ１０１にて、初期ブロックがあると判定した場合、１０５に進む。一方、Ｓ１０１にて、初期ブロックがないと判定した場合、初期処理を行うＳ１０２に進む。

Ｓ１０２では、任意のデータに基づいたハッシュ値を計算し、当該ハッシュ値を格納する初期ブロックを設定して、Ｓ１０３に進む。Ｓ１０３では、Ｓ１０２にて設定した初期ブロックのハッシュ値を計算し、Ｓ１０４に進む。Ｓ１０４では、Ｓ１０３にて算出したハッシュ値を、ブロックハッシュ値ＨｖＢの初期値としてセキュアストレージＴＳに保存し、Ｓ１０５に進む。加えてＳ１０４では、ブロックナンバーＮｏＢを保存するセキュアストレージＴＳのアドレスに、初期値としての「０」を記録する。

Ｓ１０５では、ログデータＬＤとして蓄積するデータの取得処理を開始し、Ｓ１０６に進む。Ｓ１０６では、保存対象とされた取得データが取得できたか否かを判定する。保存対象となるデータが取得されない場合、Ｓ１０６の判定を繰り返す処理により、該当データの発生を待機する。そして、通信バスから保存対象となるデータを取得したタイミングで、Ｓ１０６からＳ１０７に進む。

Ｓ１０７では、ファイルパスの指示に従い、ノーマルストレージＵＳの特定の記憶領域に、取得データをログデータＬＤとして保存し、Ｓ１０８に進む。Ｓ１０８では、Ｓ１０７にて保存されたログデータＬＤのハッシュ値を計算し、Ｓ１０９に進む。Ｓ１０７及びＳ１０８にて、ログデータＬＤの取得とハッシュ値の算出とが逐次実行されることにより、処理負荷が時間的に分散される。

Ｓ１０９では、新規ブロックＡＢに格納するログデータＬＤが指定数又は指定容量に到達したか否かを判定する。Ｓ１０９にて、ログデータＬＤが指定数又は指定容量に未達であると判定した場合、Ｓ１０６に戻り、ログデータＬＤの収集を継続する。一方、Ｓ１０９にて、ログデータＬＤが指定数又は指定容量に到達したと判定した場合、Ｓ１１０に進む。尚、Ｓ１０９では、前回の新規ブロックＡＢ生成時からの経過時間をカウントし、所定の経過時間が経過したこと（タイムアウト）に基づいて、Ｓ１１０に進むことができる。

Ｓ１１０では、現在の最終ブロックＬＢに基づくハッシュ値と、Ｓ１０８にて計算したログデータＬＤのハッシュ値とをセットとし、これらハッシュ値を少なくとも含む新規ブロックＡＢを生成し、Ｓ１１１に進む。新規ブロックＡＢは、ノーマルストレージＵＳに保存され、ブロックチェーンＢＣに新たな最終ブロックＬＢとして連結される。

Ｓ１１１では、紐づけ情報Ｌｉｎを生成し、当該紐づけ情報ＬｉｎをノーマルストレージＵＳに保存して、Ｓ１１２に進む。紐づけ情報Ｌｉｎは、Ｓ１１０にて生成した新規ブロックＡＢと、当該新規ブロックＡＢにハッシュ値が含まれるログデータＬＤの保存先を規定したファイルパスとを紐づける情報である。

Ｓ１１２では、新規ブロックＡＢのハッシュ値を計算し、Ｓ１１３に進む。Ｓ１１３では、Ｓ１１２にて計算したハッシュ値により、セキュアストレージＴＳのブロックハッシュ値ＨｖＢを更新する。加えてＳ１１３では、セキュアストレージＴＳに記録されたブロックナンバーＮｏＢの値をインクリメントし、新規ブロックＡＢのブロックナンバーと一致させる。以上のＳ１０６〜Ｓ１１３の繰り返しにより、ブロックチェーンＢＣに関連付けたログデータＬＤの保存が実現される。

図１及び図２に示すオーディタ６０は、ロガー５０によって蓄積されたログデータＬＤをユーザＵに提供するデータ提供処理（図４参照）と、ログデータＬＤのバックアップ及び復元に関連するデータ保守処理とを実行する機能ユニットである。オーディタ６０は、データ提供処理に関連する機能部として、データ提供部６１及びデータ検証部６２を有している。

データ提供部６１は、車載ＥＣＵ１００の外部のユーザインターフェースＵＩ（図５参照）と、有線又は無線にて通信可能である。ユーザインターフェースＵＩは、例えば車両Ａに搭載されたＨＭＩ機器、或いはスマートフォン、タブレット又はパーソナルコンピュータ等のユーザ端末である。ユーザインターフェースＵＩには、ログデータＬＤを参照するためのユーザ操作が、ユーザＵによって入力される。ユーザインターフェースＵＩは、ユーザ操作に基づき、データ提供部６１へ向けて参照要求を出力する。

データ提供部６１は、ユーザインターフェースＵＩによって出力された参照要求を受け付ける。参照要求では、ユーザＵが参照を希望するログデータＬＤのファイルパスが指定される。データ提供部６１は、取得した参照要求のファイルパスを抽出し、データ検証部６２にファイルパスを提供する。データ提供部６１は、データ検証部６２による検証結果に問題がない場合、ファイルパスにて指定されたログデータＬＤを、参照要求の要求元であるユーザインターフェースＵＩに返却する。

データ検証部６２は、データ提供部６１による参照要求の受け付けをトリガとして、参照要求にて要求された特定のログデータＬＤ（要求データ）の改竄の有無等を含む異常を、セキュアストレージＴＳに保存されたブロックハッシュ値ＨｖＢを用いて検証する。データ検証部６２は、参照要求にて指定されたファイルパスの紐づくブロックナンバーを、紐づけ情報Ｌｉｎに基づいて特定する。データ検証部６２は、特定したブロック（以下、「特定ブロックＳＢ」）と、当該特定ブロックＳＢよりも新しいブロック（図２ 破線の範囲参照）に対して、ログデータＬＤに基づく各ハッシュ値の再計算を実行し、ブロックチェーンＢＣの整合性を検証する。

データ検証部６２は、再計算された最終ブロックＬＢに基づくハッシュ値と、セキュアストレージＴＳに保存されたブロックハッシュ値ＨｖＢとが一致するか否かに基づき、ログデータＬＤの異常を判断する。データ検証部６２は、再計算した最終ブロックＬＢのハッシュ値と、ブロックハッシュ値ＨｖＢとが一致した場合、ログデータＬＤには改竄等の異常がないと判断する。一方で、再計算した最終ブロックＬＢのハッシュ値と、ブロックハッシュ値ＨｖＢとが一致しない場合、ログデータＬＤに改竄等の異常の可能性があると判断する。

以上のデータ提供部６１及びデータ検証部６２によって実施されるデータ提供処理の詳細を、図４に示すフローチャートに基づき、図１及び図２を参照しつつ、さらに説明する。データ提供処理は、ユーザインターフェースＵＩからの参照要求の受信に基づき、オーディタ６０にて開始される。

Ｓ１３１では、ユーザインターフェースＵＩから送信された参照要求を受け付け、Ｓ１３２に進む。Ｓ１３２では、Ｓ１３１にて取得した参照要求のファイルパスと、ノーマルストレージＵＳに保存された紐づけ情報Ｌｉｎとに基づき、ファイルパスの紐づく特定ブロックＳＢを特定し、Ｓ１３３に進む。特定ブロックＳＢは、ユーザＵが参照を希望するログデータＬＤのハッシュ値を格納しているブロックである。Ｓ１３３では、特定ブロックＳＢ以降連結されたブロックについて、関連するログデータＬＤを読み出し、ハッシュ値の再計算を実行し、Ｓ１３４に進む。

Ｓ１３４では、Ｓ１３３にて再計算した最終ブロックＬＢのハッシュ値が、セキュアストレージＴＳに保存されたブロックハッシュ値ＨｖＢと一致するか否かを判定する。Ｓ１３２にて、今回算出したハッシュ値が、ブロックハッシュ値ＨｖＢと一致すると判定した場合、Ｓ１３５に進む。Ｓ１３５では、Ｓ１３３の再計算に使用した全てのログデータＬＤに改竄がない旨の正常判定を実施する。Ｓ１３５では、こうした正常判定に基づき、参照要求に対応するログデータＬＤの一覧を、ユーザインターフェースＵＩに返却し、一連のデータ提供処理を終了する。

一方、Ｓ１３４にて、二つのハッシュ値が一致しないと判定した場合、Ｓ１３６に進む。Ｓ１３６では、Ｓ１３３の再計算に使用したいずれかのログデータＬＤに改竄の可能性がある旨の異常判定を行う。Ｓ１３６では、こうした異常判定に基づき、ユーザインターフェースＵＩへのエラー通知を返却し、一連のデータ提供処理を終了する。

ユーザインターフェースＵＩは、Ｓ１３５又はＳ１３６によるデータ取得部５１からの応答に基づき、図５に示すデータ提供画面８０をディスプレイに表示させる。データ提供画面８０は、ブロック構造表示域８１、ファイルパス表示域８２及びファイル内容表示域８３等によって構成されている。

ブロック構造表示域８１は、ブロックチェーンＢＣの構造と、ブロックチェーンＢＣに格納された各種情報とを、概略的に画像表示する表示域である。ファイルパス表示域８２は、参照要求に含ませたファイルパスを表示する表示域である。ファイル内容表示域８３は、返却されたログデータＬＤを表示する標示域である。ユーザインターフェースＵＩにエラー通知が返却された場合、ファイル内容表示域８３にはエラーメッセージ等が表示される。

オーディタ６０は、図１に示すように、データ保守処理に関連する機能部として、バックアップ送信部６３及びデータ復元部６４を有している。バックアップ送信部６３及びデータ復元部６４は、ＤＣＭ４０と連携し、バックアップサーバＢＳとの間でログデータＬＤの共有を可能にしている。

バックアップ送信部６３は、ブロック生成部５２による新規ブロックＡＢの生成を検知する。バックアップ送信部６３は、ブロック生成部５２にて新規ブロックＡＢが生成されると、当該新規ブロックＡＢにハッシュ値が格納された多数のログデータＬＤのバックアップデータを、外部のバックアップサーバＢＳへ向けて送信する。バックアップサーバＢＳは、バックアップ送信部６３より送信されるバックアップデータを、車載ＥＣＵ１００のＩＤ情報と紐づけて、ハードディスクドライブ等の大容量の記憶媒体に保存する。

バックアップ送信部６３は、ＤＣＭ４０による通信が不可能な状況では、バックアップサーバＢＳへのログデータＬＤの送信を保留する。この場合、ＤＣＭ４０が通信可能な状態に復帰したタイミングで、バックアップ送信部６３は、未送信分のバックアップデータの送信を再開する。

データ復元部６４は、データ検証部６２による異常判定を検知する。データ復元部６４は、ログデータＬＤ等に改竄又は欠損等の異常が生じ、データ検証部６２にてログデータＬＤの異常判定がなされた場合に、バックアップサーバＢＳに保存されたバックアップデータを用いて、ログデータＬＤを復元する。データ復元部６４は、データ検証部６２の検証対象とされた特定ブロックＳＢ（図２参照）以降の各ブロックにハッシュ値が組み込まれた複数のログデータＬＤについて、バックアップデータの送信をバックアップサーバＢＳに要求する。データ復元部６４は、バックアップサーバＢＳより受信したバックアップデータを正常なログデータＬＤとし、ファイルパスの指定するログデータＬＤを、対応するバックアップデータで上書きする。尚、データ復元部６４は、全てのバックアップデータをバックアップサーバＢＳから取得し、全てのログデータＬＤを更新する処理を実施してもよい。

オブザーバ７０は、セキュアワールドＳＷにて作動することにより、車載ＥＣＵ１００の外部及びノーマルワールドＮＷからの改竄から保護されている。オブザーバ７０は、ノーマルワールドＮＷのロガー５０及びオーディタ６０の状態を、セキュアワールドＳＷから定期的に監視する機能ユニットである。

オブザーバ７０は、定期的な監視のため、システム監視処理（図６参照）を予め規定された周期で開始する。オブザーバ７０は、ロガー処理の実行に必要とされるロガー５０の実行ファイル、及びデータ提供処理及びデータ保守処理の実行に必要とされるオーディタ６０の実行ファイルを、ノーマルワールドＮＷから取得する（図６ Ｓ１５１参照）。

ロガー５０の実行ファイルは、換言すれば、データ取得部５１、ブロック生成部５２、データ保存部５３及びハッシュ値保存部５４それぞれに関連する実行ファイルである。同様に、オーディタ６０の実行ファイルは、換言すれば、データ提供部６１、データ検証部６２、バックアップ送信部６３及びデータ復元部６４それぞれに関連する実行ファイルである。オブザーバ７０は、各実行ファイルの全体を網羅的に取得する。実行ファイルには、例えばバイナリファイルが含まれている。さらに、コンパイラ、リンカ及びライブラリ等も、実行ファイルに含まれてよい。

オブザーバ７０は、予め規定された順序で、各実行ファイルをハッシュ関数に入力し、ロガー５０のハッシュ値及びオーディタ６０のハッシュ値をそれぞれ計算する（Ｓ１５２参照）。

セキュアストレージＴＳには、改竄の無いことが保証された初期の実行ファイルに基づくハッシュ値が、監視用ハッシュ値として保存されている。具体的には、正常なロガー５０の実行ファイルに基づくロガーハッシュ値ＨｖＬと、正常なオーディタ６０の実行ファイルに基づくオーディタハッシュ値ＨｖＡとが、監視用ハッシュ値として、セキュアストレージＴＳに保存されている。ロガーハッシュ値ＨｖＬ及びオーディタハッシュ値ＨｖＡは、セキュアストレージＴＳに保存されることで、外部及びノーマルワールドＮＷからのアクセスによる改竄から保護されている。

オブザーバ７０は、今回のシステム監視処理にて取得したロガー５０の実行ファイルに基づくハッシュ値が、セキュアストレージＴＳに保存されたロガーハッシュ値ＨｖＬと一致するか否かを判定する（Ｓ１５３参照）。同様に、オブザーバ７０は、今回取得したオーディタ６０の実行ファイルに基づくハッシュ値が、セキュアストレージＴＳに保存されたオーディタハッシュ値ＨｖＡと一致するか否かを判定する（Ｓ１５３参照）。

オブザーバ７０は、ロガー５０及びオーディタ６０のそれぞれについて、今回算出した各ハッシュ値が監視用の各ハッシュ値ＨｖＬ，ＨｖＡと一致すると判定した場合、各実行ファイルが改竄されていない旨の正常判定を行う（Ｓ１５４参照）。一方、今回算出した各ハッシュ値の少なくとも一つが各ハッシュ値ＨｖＬ，ＨｖＡと一致しないと判定した場合、オブザーバ７０は、実行ファイルに改竄可能性がある旨の異常判定を行う（Ｓ１５５参照）。この場合、ユーザＵへ向けてのエラー通知が実施され、一連のシステム監視処理は終了される。

ここまで説明した第一実施形態では、ブロックチェーンＢＣに新たに連結される新規ブロックＡＢのハッシュ値が、ノーマルワールドＮＷからのアクセスを制限されたセキュアストレージＴＳにブロックハッシュ値ＨｖＢとして保存される。故に、車両Ａにて取得されるログデータＬＤの改竄等が、セキュアワールドＳＷにて保護されたブロックハッシュ値ＨｖＢを用いた比較によって検知され得る。

詳記すると、個々のログデータＬＤのハッシュ値がブロックチェーンＢＣに組み込まれているため、ログデータＬＤの一つが変更されただけでも、最後のブロックハッシュ値ＨｖＢは、変化する。故に、ブロックハッシュ値ＨｖＢさえ保護されていれば、ブロックハッシュ値ＨｖＢとの照合に基づき、全てのログデータＬＤの改竄が検知され得る。

したがって、車両Ａにて取得されるログデータＬＤを、信用性を確保しつつ保存することが可能になる。

加えて第一実施形態では、ログデータＬＤとブロックチェーンＢＣとの紐づけに関連する紐づけ情報ＬｉｎがノーマルストレージＵＳに保存されている。故に、ユーザインターフェースＵＩからの参照要求に応じて、要求されたログデータＬＤに関連する特定ブロックＳＢが、紐づけ情報Ｌｉｎに基づき迅速に特定され得る。以上によれば、ログデータＬＤを参照するユーザＵの利便性が確保され易くなる。

また第一実施形態では、特定のログデータＬＤの参照要求を受け付けると、要求されたログデータＬＤについての改竄の有無が、データ検証部６２によって検証される。こうした改竄の検証には、セキュアストレージＴＳに保存されたブロックハッシュ値ＨｖＢが用いられる。以上のように、ログデータＬＤについての改竄可能性の検証が参照要求の受け付け毎に実施されれば、ユーザインターフェースＵＩに提供されるログデータＬＤの信用性が適切に確保され得る。

さらに第一実施形態のデータ検証部６２は、特定ブロックＳＢ以降に連結されたブロックに関連するハッシュ値を再計算し、最終ブロックＬＢのハッシュ値が、セキュアストレージＴＳのブロックハッシュ値ＨｖＢと一致する場合に、改竄がないと判定する。こうした処理によれば、セキュアストレージＴＳに保存させるデータ容量を削減しつつ、多量のログデータＬＤに対する改竄の有無が正確に検証可能となる。

加えて第一実施形態のロガー５０及びオーディタ６０は、ノーマルワールドＮＷにおいて作動する。故に、セキュアワールドＳＷのリソースの消費が低減され得る。

また第一実施形態では、オブザーバ７０がセキュアワールドＳＷにおいて作動し、ロガー５０及びオーディタ６０の各実行ファイルの改竄の有無を判定する。以上によれば、ロガー５０及びオーディタ６０をそれぞれノーマルワールドＮＷにて作動させていても、これらの正しい作動が、セキュアワールドＳＷにて作動するオブザーバ７０によって担保される。以上によれば、ログデータＬＤの信用性を確保しつつ、車載ＥＣＵ１００のリソースの有効利用が可能になる。

さらに第一実施形態では、セキュアストレージＴＳには、ロガー５０及びオーディタ６０の正常な各実行ファイルに基づくロガーハッシュ値ＨｖＬ及びオーディタハッシュ値ＨｖＡが保存されている。そして、オブザーバ７０は、現在の各実行ファイルに基づくハッシュ値と、監視用の各ハッシュ値ＨｖＬ，ＨｖＡとが一致している場合に、実行ファイルが改竄されていないと判定する。こうした処理によれば、セキュアストレージＴＳに保存するデータ容量を削減しつつ、大容量となり易い各実行ファイルについての改竄の有無が正確に検証可能となる。

加えて第一実施形態では、車載ＥＣＵ１００の外部に設けられたバックアップサーバＢＳにログデータＬＤが送信され、当該バックアップサーバＢＳにバックアップデータとして保存される。そして、車載ＥＣＵ１００に保存されたログデータＬＤに異常が生じた場合には、バックアップサーバＢＳに保存されたバックアップデータを用いて、車載ＥＣＵ１００のログデータＬＤの復元が実行される。以上のように、バックアップからの復元手段が確保されていれば、ノーマルストレージＵＳにログデータＬＤを保存させても、信用性が確保され得る。

尚、第一実施形態では、車両Ａが「移動体」に相当し、バックアップサーバＢＳが「保存装置」に相当し、ユーザインターフェースＵＩが「要求元」に相当する。また、ノーマルストレージＵＳが「ノーマルワールドのストレージ領域」に相当し、セキュアストレージＴＳが「セキュアワールドのストレージ領域」に相当し、ロガーハッシュ値ＨｖＬ及びブロックハッシュ値ＨｖＢがそれぞれ「監視用ハッシュ値」に相当する。さらに、カードリーダ１５が「ストレージ接続部」に相当し、データ保存部５３が「ノーマル保存処理部」に相当し、ハッシュ値保存部５４が「セキュア保存処理部」に相当し、オブザーバ７０が「ファイル監視部」に相当する。そして、車載ＥＣＵ１００が「データ保存装置」に相当する。

（第二実施形態）
図７に示す本開示の第二実施形態は、第一実施形態の変形例である。第二実施形態の車載ＥＣＵ１００の制御回路には、カードリーダ１５が設けられている。カードリーダ１５に設けられたスロット部には、メモリカードＭＣが挿入される。メモリカードＭＣは、カードリーダ１５に対し着脱自在なリムーバブルメディアである。メモリカードＭＣは、カードリーダ１５と電気的に接続され、制御回路の補助的な記憶装置として機能する。カードリーダ１５は、メモリカードＭＣへのデータの書き込み、及びメモリカードＭＣからのデータの読み出しを行う。

ロガー５０には、外部メディア保存部５５がさらに設けられている。外部メディア保存部５５は、カードリーダ１５に接続されたメモリカードＭＣに、ログデータＬＤを保存する。外部メディア保存部５５は、ノーマルストレージＵＳの一部として、メモリカードＭＣの記憶領域を使用する。メモリカードＭＣによってノーマルストレージＵＳが拡張される場合、ログデータＬＤは、記憶部１３及びメモリカードＭＣの両方に保存されてもよく、又はメモリカードＭＣのみに記憶されてもよい。

オーディタ６０のデータ検証部６２は、メモリカードＭＣに保存されたログデータＬＤに対しても、改竄等の異常の有無を、ブロックハッシュ値ＨｖＢを用いて検証可能である。一例として、データ検証部６２は、カードリーダ１５へのメモリカードＭＣの接続をトリガとし、メモリカードＭＣに保存されたログデータＬＤを読み出す。そしてデータ検証部６２は、読み出したログデータＬＤに基づき、ブロックチェーンＢＣに従う順序でハッシュ値の再計算を行い、最終ブロックＬＢのハッシュ値を取得する。

データ検証部６２は、再計算した最終ブロックＬＢのハッシュ値が、セキュアストレージＴＳのブロックハッシュ値ＨｖＢと一致する場合、メモリカードＭＣ内のログデータＬＤが正常であると判定する。対して、再計算した最終ブロックＬＢのハッシュ値が、セキュアストレージＴＳのブロックハッシュ値ＨｖＢと一致しない場合、データ検証部６２は、メモリカードＭＣ内のログデータＬＤに改竄の可能性があると異常判定する。

ここまで説明した第二実施形態でも、セキュアストレージＴＳに記憶させたブロックハッシュ値ＨｖＢを用いることで、信用性を確保しつつログデータＬＤを保存することが可能になる。

加えて第二実施形態では、ログデータＬＤがメモリカードＭＣに保存可能であり、データ検証部６２は、メモリカードＭＣに保存されたログデータＬＤの改竄の有無を、ブロックハッシュ値ＨｖＢを用いて検証できる。以上によれば、ログデータＬＤの信用性を損なわないようにしつつ、ログデータＬＤを保存するストレージ領域の拡張が可能になる。

尚、第二実施形態では、メモリカードＭＣが「外部ストレージ」に相当し、カードリーダ１５が「ストレージ接続部」に相当し、外部メディア保存部５５が「外部領域保存部」に相当する。

（他の実施形態）
以上、本開示の複数の実施形態について説明したが、本開示は、上記実施形態に限定して解釈されるものではなく、本開示の要旨を逸脱しない範囲内において種々の実施形態及び組み合わせに適用することができる。

上記実施形態のオーディタ６０は、ノーマルワールドＮＷで作動していた。しかし、上記実施形態の変形例１において、オーディタ６０は、セキュアワールドＳＷで作動する。以上のように、セキュアワールドＳＷの演算リソースに余裕がれば、変形例１のように、オーディタ６０をセキュアワールドＳＷに配置してもよい。この場合、オーディタ６０を監視するオブザーバ７０の機能は、省略可能となる。

上記実施形態の変形例２では、バックアップサーバＢＳにバックアップデータを送信する機能が省略されている。こうした形態の車載ＥＣＵ１００は、コネクテッドカーではない車両Ａにも搭載可能となる。さらに、変形例２の車載ＥＣＵ１００は、メモリカードＭＣにバックアップデータを保存可能である。車載ＥＣＵ１００は、記憶部１３よりなるノーマルワールドＮＷのログデータＬＤに異常が生じた場合に、メモリカードＭＣのバックアップから、ログデータＬＤを復旧可能である。

上記実施形態の変形例３では、取得データの一部のみが、ブロックチェーンＢＣに紐づけた状態で保存される。こうした変形例３のように、取得データの重要度に応じて、保護された状態で保存するログデータＬＤと、保護されない状態で保存するログデータＬＤとが選別されてもよい。さらに、ストレージ容量を削減するため、一部のログデータＬＤが、例えば古いデータから順に削除されてもよい。加えて、データ容量削減のために、権限の与えられたユーザによるデータの削除が可能とされていてもよい。

上記第二実施形態の変形例４では、メモリカードＭＣに替えて、車載通信ネットワークに接続された記憶装置が、外部ストレージとして使用される。さらに、上記実施形態の変形例５では、メモリカードＭＣに替えて、車載ＥＣＵ１００とペアリングされたユーザ端末の記憶部が、外部ストレージとして使用される。以上の変形例４，５のように、外部ストレージは、メモリカードＭＣに限定されない。データ検証部６２は、種々の外部メディアに保存されたログデータＬＤに対して、ブロックハッシュ値ＨｖＢを用いた検証処理を実行可能である。

上記実施形態の変形例６では、ロガー処理におけるログデータＬＤのハッシュ値の計算タイミングが異なっている。具体的に、変形例６のロガー処理では、ログデータＬＤが指定数又は指定容量に到達したと判定した場合に、一つのブロックに組み込む全てのログデータＬＤの各ハッシュ値を計算する。以上のように、全てのログデータＬＤが揃ってから、それらのデータのハッシュを一気に計算するフローが採用されてもよい。

データ保存装置によって保存可能なデータは、テキストデータに限定されない。ノーマルストレージＵＳの容量に応じて、例えば音声データ、画像データ及び映像データ等の保存が可能であってもよい。さらに、ブロックチェーンＢＣの個々のブロックに格納されるデータも、適宜変更されてよい。

上記実施形態の車載ＥＣＵ１００にて使用されるハッシュ関数は、暗号学的ハッシュ関数である。暗号学的ハッシュ関数は、違う入力から同一のハッシュ値を出力することがなく、且つ、出力されたハッシュ値から入力を推測することが実質不可能という特性を有している。ＳＨＡ−２の一つである上述のＳＨＡ−２５６に替えて、ＳＨＡ−１、ＳＨＡ−２及びＳＨＡ−３の各アルゴリズムが、必要とされる出力長（ビット数）に合わせて適宜使用されてよい。

車載ＥＣＵ１００を搭載する車両Ａは、特定のオーナーによって個人所有され、当該オーナー等による使用を想定されたオーナーカーであってよい。オーナーカーへの適用によれば、詐称から保護された状態で蓄積されるユーザの運転履歴を示すログデータＬＤは、例えば運転状況に応じて保険料を設定するサービス業者にとって、高い価値を有するようになる。

また車載ＥＣＵ１００を搭載する車両は、レンタカー用の車両、有人タクシー用の車両、ライドシェア用の車両、貨物車両及びバス等であってもよい。さらに、モビリティサービスに用いられるドライバーレス車両に、車載ＥＣＵ１００が搭載されてもよい。今後のモビリティサービスの拡がりに伴い、車載ＥＣＵ１００にて蓄積されるログデータＬＤの重要性は、いっそう大きくなると想定される。

さらに、データ保存装置の機能を備えたＥＣＵは、車両とは異なる移動体にも搭載可能である。例えば、作業現場で運用される重機、アミューズメント施設等に配列された運転遊具、鉄道車両、トラム、及び航空機等に、データ保存装置の機能を備えたＥＣＵは搭載可能である。

上記実施形態にて、車載ＥＣＵ１００によって提供されていた各機能は、ソフトウェア及びそれを実行するハードウェア、ソフトウェアのみ、ハードウェアのみ、あるいはそれらの複合的な組合せによっても提供可能である。こうした機能がハードウェアとしての電子回路によって提供される場合、各機能は、多数の論理回路を含むデジタル回路、又はアナログ回路によっても提供可能である。

上記実施形態の各プロセッサは、ＣＰＵ（Central Processing Unit）及びＧＰＵ（Graphics Processing Unit）等の演算コアを少なくとも一つ含む構成であってよい。さらに、プロセッサは、ＦＰＧＡ（Field-Programmable Gate Array）及び他の専用機能を備えたＩＰコア等をさらに含む構成であってよい。

上記実施形態の記憶部として採用され、本開示のデータ保存方法に関連した各プログラムを記憶する記憶媒体の形態は、適宜変更されてよい。例えば上記第二実施形態のように、記憶媒体は、回路基板上に設けられた構成に限定されず、メモリカード等の形態で提供され、スロット部に挿入されて、コンピュータのバスに電気的に接続される構成であってよい。さらに、記憶媒体は、コンピュータへのプログラムのコピー基となる光学ディスク及びのハードディスクドライブ等であってもよい。

本開示に記載の制御部及びその手法は、コンピュータプログラムにより具体化された一つ乃至は複数の機能を実行するようにプログラムされたプロセッサを構成する専用コンピュータにより、実現されてもよい。あるいは、本開示に記載の装置及びその手法は、専用ハードウェア論理回路により、実現されてもよい。もしくは、本開示に記載の装置及びその手法は、コンピュータプログラムを実行するプロセッサと一つ以上のハードウェア論理回路との組み合わせにより構成された一つ以上の専用コンピュータにより、実現されてもよい。また、コンピュータプログラムは、コンピュータにより実行されるインストラクションとして、コンピュータ読み取り可能な非遷移有形記録媒体に記憶されていてもよい。

Ａ 車両（移動体）、ＢＳ バックアップサーバ（保存装置）、ＢＣ ブロックチェーン、ＬＢ 最終ブロック、ＡＢ 新規ブロック、ＳＢ 特定ブロック、ＨｖＢ ブロックハッシュ値、ＨｖＡ オーディタハッシュ値（監視用ハッシュ値）、ＨｖＬ ロガーハッシュ値（監視用ハッシュ値）、Ｌｉｎ 紐づけ情報、ＭＣ メモリカード（外部ストレージ）、ＮＷ ノーマルワールド、ＵＳ ノーマルストレージ（ノーマルワールドのストレージ領域）、ＳＷ セキュアワールド、ＴＳ セキュアストレージ（セキュアワールドのストレージ領域）、ＵＩ ユーザインターフェース（要求元）、１１ プロセッサ、１５ カードリーダ（ストレージ接続部）、５２ ブロック生成部、５３ データ保存部（ノーマル保存処理部）、５４ ハッシュ値保存部（セキュア保存処理部）、５５ 外部メディア保存部（外部領域保存部）、６２ データ検証部、６３ バックアップ送信部、６４ データ復元部、７０ オブザーバ（ファイル監視部）、１００ 車載ＥＣＵ（データ保存装置）

Claims (11)

1. 移動体（Ａ）において用いられ、ノーマルワールド（ＮＷ）及び当該ノーマルワールドからのアクセスが制限されるセキュアワールド（ＳＷ）を規定し、前記移動体にて取得される取得データを、ブロックチェーン（ＢＣ）を用いて保存するデータ保存装置であって、
   前記ノーマルワールドのストレージ領域（ＵＳ）に、前記取得データを保存するノーマル保存処理部（５３）と、
   前記ブロックチェーンの最後に連結された最終ブロック（ＬＢ）に基づくハッシュ値、及び前記取得データに基づくハッシュ値、を含む新規ブロック（ＡＢ）を生成するブロック生成部（５２）と、
   前記新規ブロックに基づくハッシュ値を、前記セキュアワールドのストレージ領域（ＴＳ）にブロックハッシュ値（ＨｖＢ）として保存するセキュア保存処理部（５４）と、を備えるデータ保存装置。
2. ノーマル保存処理部は、前記取得データと前記ブロックチェーンとの紐づけに関連する紐づけ情報（Ｌｉｎ）を、前記ノーマルワールドのストレージ領域に保存する請求項１に記載のデータ保存装置。
3. 特定の前記取得データの参照要求を受け付け、前記参照要求の要求元（ＵＩ）に要求データとして提供する前記取得データの改竄の有無を、前記ブロックハッシュ値を用いて検証するデータ検証部（６２）、をさらに備える請求項１又は２に記載のデータ保存装置。
4. 前記データ検証部は、
   前記要求データと紐づいた特定ブロック（ＳＢ）を特定し（Ｓ１３２）、
   前記特定ブロック以降に連結されたブロックに関連するハッシュ値を再計算し（Ｓ１３３）、
   再計算された現在の前記最終ブロックのハッシュ値が、前記セキュアワールドの前記ブロックハッシュ値と一致する場合に、改竄がないと判定する（Ｓ１３５）、請求項３に記載のデータ保存装置。
5. 前記データ検証部は、前記ノーマルワールドにおいて作動する請求項３又は４に記載のデータ保存装置。
6. 前記取得データを、ストレージ接続部（１５）に接続された外部ストレージ（ＭＣ）に保存する外部領域保存部（５５）、をさらに備え、
   前記データ検証部は、前記外部領域保存部により前記外部ストレージに保存された前記取得データの改竄の有無を、前記ブロックハッシュ値を用いて検証する請求項３〜５のいずれか一項に記載のデータ保存装置。
7. 前記セキュアワールドにおいて作動し、前記データ検証部に関連する実行ファイルの改竄の有無を判定するファイル監視部（７０）、をさらに備える請求項３〜６のいずれか一項に記載のデータ保存装置。
8. 前記ファイル監視部は、前記ブロック生成部、前記ノーマル保存処理部及び前記セキュア保存処理部の少なくとも一つに関連する実行ファイルの改竄の有無を判定する請求項７に記載のデータ保存装置。
9. 前記セキュアワールドのストレージ領域には、正常な前記実行ファイルに基づくハッシュ値が監視用ハッシュ値（ＨｖＬ，ＨｖＡ）として保存されており、
   前記ファイル監視部は、現在の前記実行ファイルに基づくハッシュ値と、前記監視用ハッシュ値とが一致している場合に、前記実行ファイルが改竄されていないと判定する請求項８に記載のデータ保存装置。
10. 前記取得データのバックアップデータを、外部の保存装置（ＢＳ）へ向けて送信するバックアップ送信部（６３）と、
    前記取得データに異常が生じた場合に、前記保存装置に保存された前記バックアップデータを用いて、前記取得データを復元するデータ復元部（６４）と、をさらに備える請求項１〜９のいずれか一項に記載のデータ保存装置。
11. 移動体（Ａ）において用いられ、ノーマルワールド（ＮＷ）及び当該ノーマルワールドからのアクセスが制限されるセキュアワールド（ＳＷ）を規定し、前記移動体にて取得される取得データを、ブロックチェーン（ＢＣ）を用いて保存するデータ保存プログラムであって、
    少なくとも一つのプロセッサ（１１）に、
    前記ノーマルワールドのストレージ領域（ＵＳ）に、前記取得データを保存し（Ｓ１０７）、
    前記ブロックチェーンの最後に連結された最終ブロック（ＬＢ）に基づくハッシュ値、及び前記取得データに基づくハッシュ値、を含む新規ブロック（ＡＢ）を生成し（Ｓ１１０）、
    前記新規ブロックに基づくハッシュ値を、前記セキュアワールドのストレージ領域（ＴＳ）にブロックハッシュ値（ＨｖＢ）として保存する（Ｓ１１３）、
    ことを含む処理を実施させるデータ保存プログラム。

Images