JP7427697B2 - 電子機器監視装置、移動体、及び電子機器監視方法 - Google Patents

Description

本発明は、電子機器監視装置、移動体、及び電子機器監視方法に関する。

従来、電子機器を起動する際に、ファームウェア等のデータの改ざんの有無を検証し、改ざんがないことが認証された場合に機器を起動するセキュアブート技術が知られている（例えば、特許文献１参照）。特許文献１には、改ざんの有無を検証する対象である複数のファームウェアについて、改ざんがないことをまとめて認証することによって、起動時間を短くする技術が開示されている。

特開２０２１－２１６８号公報

電子機器の一例である移動体においても、交通の安全性を向上させるために、移動体の使用を開始する際に、データの改ざんがなされていないことを検証することが望まれるが、改ざんの有無の検証処理によって、電子機器の起動が完了するまでの時間が長くなると、利用者の使い勝手が悪くなるという不都合がある。また、データの改ざんがなされていないことの検証を、エネルギー効率の改善を図って行うことが望まれる。
本発明はかかる背景に鑑みてなされたものであり、データの改ざんがなされていないことの検証をエネルギー効率の改善を図って行いつつ、電子機器の使用開始時の起動時間が長くなることを抑制した電子機器監視装置、移動体、及び電子機器監視方法を提供することを目的とする。

上記目的を達成するための第１態様として、電子機器が使用されていない期間において、定期的にスリープ状態からアクティブ状態に移行して、所定の待機処理を実行する制御部と、改ざんの有無を検証する改ざん検証処理の対象となる特定データが保存された記憶部と、を備える電子機器監視装置であって、前記特定データは、前記電子機器の使用開始時に実行されるアプリケーションのデータであって、前記アプリケーションは第１アプリケーションと第２アプリケーションとを含み、前記第１アプリケーションについては、前記第１アプリケーションの実行と前記第１アプリケーションのデータについての前記改ざん検証処理を並行して行うことが可能であり、前記第２アプリケーションについては、前記第２アプリケーションのデータについての前記改ざん検証処理を完了した後に、前記第２アプリケーションの実行が可能となる設定とされ、前記制御部は、前記特定データを細分化した複数のサブデータについて、予め設定された順序で、前記アクティブ状態に移行する毎に、少なくとも一つの前記サブデータについて前記改ざん検証処理を行う、サブデータ検証処理を実行し、前記改ざん検証処理が完了していない前記サブデータが、前記第１アプリケーションのデータであるときには、前記第１アプリケーションのデータについての前記改ざん検証処理と前記第１アプリケーションの実行を並行して行う、電子機器監視装置が挙げられる。
上記電子機器監視装置において、前記制御部は、前記改ざん検証処理が完了していない前記サブデータが、前記第２アプリケーションのデータであるときには、前記第２アプリケーションのデータについての前記改ざん検証処理を行った後に前記第２アプリケーションを実行する構成としてもよい。

上記電子機器監視装置において、前記制御部は、前記サブデータ検証処理により、全ての前記サブデータについて改ざんが無いことを検証したときに、前記特定データが改ざんされていないことを示す改ざん無確認情報を、前記記憶部に保存する構成としてもよい。

上記電子機器監視装置において、前記制御部は、前記電子機器の使用開始条件が成立したときに、前記記憶部に前記改ざん無確認情報が保存されているときには、前記特定データについての再度の前記改ざん検証処理を行うことなく、前記電子機器の起動処理を実行する構成としてもよい。

上記電子機器監視装置において、前記制御部は、前記サブデータ検証処理により全ての前記サブデータについての前記改ざん検証処理を完了した時点から所定時間が経過した時に、前記サブデータ検証処理を再度実行する構成としてもよい。

上記電子機器監視装置において、前記制御部は、前記サブデータ検証処理により全ての前記サブデータについての前記改ざん検証処理を完了する前に、前記電子機器の使用開始条件が成立したときには、前記改ざん検証処理が完了していない前記サブデータについてのみ、前記改ざん検証処理を行った後に、前記電子機器の起動処理を実行する構成としてもよい。

上記電子機器監視装置において、前記制御部は、前記サブデータ検証処理により全ての前記サブデータについての前記改ざん検証処理を完了する前に、前記電子機器の使用開始条件が成立して、前記改ざん検証処理が完了していない前記サブデータについて前記改ざん検証処理を行った後に、前記電子機器の起動処理を実行したときに、既に前記改ざん検証処理が完了していた前記サブデータについても、前記改ざん検証処理を再度行う構成としてもよい。

上記電子機器監視装置において、前記制御部は、前記サブデータ検証処理によって前記サブデータの改ざんを認識したときに、所定のフェイルセーフ処理を実行する構成としてもよい。

上記目的を達成するための第２態様として、上記電子機器監視装置を備えた電子機器である移動体が挙げられる。

上記目的を達成するための第３態様として、コンピュータにより実行される電子機器監視方法であって、電子機器が使用されていない期間において、定期的にスリープ状態からアクティブ状態に移行して、所定の待機処理を実行するステップと、記憶部に保存されて改ざんの有無を検証する改ざん検証処理の対象となる特定データを、細分化した複数のサブデータについて、予め設定された順序で、前記アクティブ状態に移行する毎に、少なくとも一つの前記サブデータについて前記改ざん検証処理を行う、サブデータ検証処理を実行するステップと、を含み、前記特定データは、前記電子機器の使用開始時に実行されるアプリケーションのデータであって、前記アプリケーションは第１アプリケーションと第２アプリケーションとを含み、前記第１アプリケーションについては、前記第１アプリケーションの実行と前記第１アプリケーションのデータについての前記改ざん検証処理を並行して行うことが可能であり、前記第２アプリケーションについては、前記第２アプリケーションのデータについての前記改ざん検証処理を完了した後に、前記第２アプリケーションの実行が可能となる設定とされ、前記改ざん検証処理が完了していない前記サブデータが、前記第１アプリケーションのデータであるときには、前記第１アプリケーションのデータについての前記改ざん検証処理と前記第１アプリケーションの実行を並行して行う、ステップを含む電子機器監視方法が挙げられる。

上記電子機器監視装置、移動体、及び電子機器監視方法によれば、データの改ざんがなされていないことの検証をエネルギー効率の改善を図って行いつつ、電子機器の使用開始時の起動時間が長くなることを抑制することができる。

図１は、電子機器監視装置の構成図である。 図２は、監視処理と改ざん検証処理のフローチャートである。 図３は、車両が使用されていない期間における改ざん検証処理の説明図である。 図４は、全てのサブデータについての改ざん検証処理が完了する前に、車両の使用が開始された場合の説明図である。

［１．電子機器監視装置の構成］
図１を参照して、本実施形態の電子機器監視装置の構成について説明する。本実施形態の電子機器監視装置は、車両１に備えられて、車両１の作動を制御するＥＣＵ（Electronic Control Unit）１０の機能として構成される。ＥＣＵ１０は、プロセッサ２０、メモリ３０等を備える。車両１は本開示の移動体及び電子機器に相当する。

車両１には、通信ユニット４０と、車両１の周辺を撮影するカメラ４１と、車両１の振動を検出する振動センサ４２が備えられ、ＥＣＵ１０は、通信ユニット４０を介して、車両１の利用者により使用される携帯端末５０及び携帯鍵５１との間で通信を行う。また、カメラ４１による撮影画像と、振動センサ４２による振動検出信号がＥＣＵ１０に入力される。携帯端末５０は、スマートフォン、携帯電話、タブレット端末等の通信端末であり、車両１の仮想鍵として機能する仮想鍵アプリ（アプリケーションプログラム）がインストールされている。

メモリ３０には、車両１の制御プログラム３１、及び車両１の使用開始時に実行される移動体起動アプリ３２が保存されている。さらに、メモリ３０には、移動体起動アプリ３２についてデータの改ざんが無いことが検証されたことを示す改ざん無確認情報３３が保存される。移動体起動アプリ３２のデータは、本開示の電子機器の使用開始時に実行されるアプリケーションのデータ及び特定データに相当する。

移動体起動アプリ３２には、第１アプリ３２ａと第２アプリ３２ｂを含む。第１アプリ３２ａは本開示の第１アプリケーションに相当し、第２アプリ３２ｂは本開示の第２アプリケーションに相当する。第１アプリ３２ａについては、第１アプリ３２ａのデータの改ざんが無いことの検証と第１アプリ３２ａの実行を並行して行うことが可能な設定となっている。第２アプリ３２ｂについては、第２アプリ３２ｂのデータの改ざんが無いことの検証が完了した後に、第２アプリ３２ｂの実行が可能となる設定となっている。第１アプリ３２ａのデータはサブデータ１～５０に細分化され、第２アプリ３２ｂは、サブデータ５１～１００に細分化されている。

プロセッサ２０は、制御プログラム３１を読み込んで実行することにより、制御部２１として機能する。制御部２１により実行される処理には、本開示の電子機器監視方法による所定の待機処理を実行するステップと、サブデータ検証処理を実行するステップとが含まれる。制御部２１は、車両１が使用されていない期間に、ＥＣＵ１０を周期的にスリープ状態からアクティブ状態に移行させて、車両１の監視処理を行う。

スリープ状態では、プロセッサ２０の処理性能がアクティブ状態よりも低下して、消費電力がアクティブ状態よりも減少する。制御部２１は、ＥＣＵ１０がスリープ状態であるときは、携帯端末５０、携帯鍵５１との通信による車両１の使用開始操作の受け付け等の限定的な処理のみを行う。

制御部２１は、車両１の監視処理として、車両１に対するいたずら等により、振動センサ４２により車両１の振動が検出されたときに、車両１に備えらえたホーン（図示しない）を鳴動させる、利用者の携帯端末５０に通知する等の処理を実行する。監視処理は、本開示の待機処理に相当する。なお、カメラ４１による車両１の周辺の撮像画像から、車両１に近づく不審者等を認識したときに、車両１に備えらえたホーンを鳴動させる、利用者の携帯端末５０に通知する等の処理を実行してもよい。待機処理には、監視処理の他に、車両１のメンテナンス情報の携帯端末５０或いは車両管理サーバー（図示しない）への送信等が含まれる。また、制御部２１は、移動体起動アプリ３２のデータの改ざんの有無を検証する改ざん検証を行う。

［２．不使用期間中の処理］
図２、図３を参照して、車両１の不使用期間中に、制御部２１が実行する車両１の監視処理と移動体起動アプリ３２のデータについての改ざん検証処理について説明する。

制御部２１は、車両１の不使用期間中に、図２に示したフローチャートによる処理を繰り返し実行する。制御部２１は、ステップＳ２００で変数ｎをリセット（０→ｎ）し、続くステップＳ２１０で、各サブデータの検証結果と改ざん無確認情報をクリアする。次のステップＳ２０２～Ｓ２０６、及びステップＳ２２０、Ｓ２２１のループ処理により、制御部２１は、第１アプリ３２ａと第２アプリ３２ｂのサブデータ１～１００について、サブデータ１、サブデータ２、…、サブデータ１００の順に改ざん検証処理を行う、サブデータ検証処理を実行する。

制御部２１は、ステップＳ２０２で変数ｎをインクリメント（ｎ＋１→ｎ）し、ステップＳ２０４で監視タイマをスタートさせる。次のステップＳ２０４で監視タイマがタイムアップしたときに、制御部２１は、ステップＳ２０５で上述した監視処理を実行する。また、ステップＳ２０４と並行して、ステップＳ２２０でサブデータｎについて改ざん検証処理を実行する。続くステップＳ２２１で、制御部２１は、改ざん検証処理による検証結果（改ざん有又は改ざん無）をメモリ３０に保存する。

そして、制御部２１は、サブデータ１～１００の全てについて、改ざん検証処理が完了して、ステップＳ２０６でｎ＝１００となったときにステップＳ２０７に処理を進める。ステップＳ２０７で、制御部２１は、サブデータ１～１００の全てについて、改ざんが無いことが検証されたか否かを判断する。そして、制御部２１は、サブデータ１～１００の全てについて、改ざんが無いことが検証されたときはステップＳ２３０に処理を進めて、改ざん無確認情報３３をメモリ３０に保存する。

一方、サブデータ１～１００のうちの少なくともいずれか一つについて、改ざんが有ることが検証されたときには、制御部２１は、ステップＳ２０８に処理を進め、この場合は、改ざん無確認情報３３がメモリ３０に保存されない。そして、制御部２１は、その後、例えば、車両１の電源がオンされたタイミングで、フェイルセーフ処理として、以下の第１処理～第３処理を実行する。

第１処理…異常状態の通知。例えば、以下のように異常状態を通知する。車両１のメーター、ディスプレイ等に、改ざんによる異常が生じていることを表示して、利用者に通知する。通信ユニット４０を介して、携帯端末５０、車両管理サーバー、保険会社サーバー、セキュリティ会社サーバー等に、改ざん異常情報を送信する。車両１のスピーカーからブザー音を出力して、異常が生じていることを利用者に報知する。
第２処理…走行の禁止。イモビライザーによる認証を禁止して、車両１のパワープラント系の駆動を許可しない。
第３処理…再ＯＴＡ（Over The Air）の実施。正規のアプリケーションプログラムにアップデートするように、利用者に促す通知を行う。

次のステップＳ２０８で、制御部２１は、検証有効タイマをスタートさせる。検証有効タイマの設定時間は、本開示の所定時間に相当する。続くステップＳ２０９で検証有効タイマがタイムアップするまで、制御部２１は、ステップＳ２４０に処理を進めて、ステップＳ２０５と同様に車両１の監視処理を定期的に実行する。ステップＳ２０９で検証有効タイマがタイムアップしたときに、制御部２１は、図２のフローチャートによるサブデータ検証処理を再度実行する。

図３は、以上説明した図２のフローチャートによる処理をタイミングチャートで示した説明図である。図３は、共通の時間軸ｔにより、ＥＣＵ１０の起動（スリープ状態からアクティブ状態への移行）、車両１の電源のオン・オフ状態、及び監視処理と改ざん検証処理の実行タイミングを示したものである。

図３では、監視タイマの設定時間である周期Ｔｃで、ｔ１、ｔ２、…、ｔ９９、ｔ１００のタイミングで、制御部ＥＣＵ１０がスリープ状態からアクティブ状態に移行して、車両１の監視処理とサブデータ１～１００の改ざん検証処理が、並行して実行されている。例えば、ｔ１のタイミングでは、制御部２１は、Ｆ１の処理を実行する。Ｆ１の処理により、制御部２１は、ステップＳ１－１でＥＣＵ１０を起動し（スリープ状態からアクティブ状態に移行）、ステップＳ１－２で監視処理を実行すると共に、ステップＳ１－３でサブデータ１についての改ざん検証処理を実行して、ステップＳ１－４で、検証結果をメモリ３０に保存する。

同様にして、制御部２１は、ｔ２、ｔ３、…、ｔ１００のタイミングで、Ｆ２、Ｆ３、…、Ｆ１００の処理を実行して、サブデータ２～１００について改ざん検証処理を実行する。Ｆ１００では、制御部２１は、ステップＳ１００―５で、全てのサブデータについて、改ざんが無いことが検証されたときに、ステップＳ１００－６で、改ざん無確認情報３３をメモリ３０に保存する。

［３．車両の使用が開始された場合の処理］
制御部２１は、サブデータ１～１００の全てについて改ざんが無いことを検証して、改ざん無確認情報３３がメモリ３０に保存されている状態で、利用者による車両１の使用開始の操作がなされたときは、移動体起動アプリ３２のデータについて、改ざん検証処理を行うことなく、移動体起動アプリ３２を実行する。利用者による車両１の使用開始操作は、本開示の電子機器の使用開始条件に相当する。なお、例えば、車両が予め設定された運行スケジュールに従って走行する自動運転車両であるときには、運行開始時刻になることが、使用開始条件となる。

一方、サブデータ１～１００の全てについての改ざん検証処理が完了する前に、利用者による車両１の使用開始の操作がなされたときには、図４に示したように、改ざん検証処理が完了していないサブデータについて、改ざん検証処理を実行する。図４は、サブデータ１～３まで、改ざん検証処理が完了した状態で、ｔｅのタイミングで車両１の使用開始操作がなされた場合を例示している。

制御部２１は、Ｆｅの処理を実行して、ステップＳｅ－１でＥＣＵ１０を起動する。そして、制御部２１は、ステップＳｅ－２のサブデータ４～５０についての改ざん検証処理とステップＳｅ－４の第１アプリ３２ａの実行を並行して実行する。制御部２１は、サブデータ４～６０についての改ざん検証処理の完了後、ステップＳｅ－３で、サブデータ５１～１００についての改ざん検証処理を実行する。

制御部２１は、サブデータ５１～１００についての改ざん検証処理が完了したときに、ステップＳｅ－５で、第２アプリ３２ｂの実行を開始する。このように、第１アプリ３２ａについては、データの改ざんが無いことの検証と並行して実行可能な設定とすることにより、車両１の使用を開始する際の起動時間を短縮することができる。

［４．他の実施形態］
上記実施形態では、本開示の電子機器監視装置を備えた電子機器である移動体として、車両（四輪車両、二輪車両、内燃機関を駆動源とする車両、電動車両等の各種の車両が含まれる）を例示したが、飛行体、船舶等の他の種別の移動体であってもよい。

また、上記実施形態では、本開示の電子機器として車両１に搭載されたＥＣＵ１０を例示したが、使用されていない期間において、定期的にスリープ状態からアクティブ状態に移行して所定の待機処理を実行し、改ざんの有無を検証する改ざん検証処理の対象となる特定データが保存された記憶部を有する電子機器であれば、本開示の電子機機器監視装置による処理の対象とすることができる。

上記実施形態では、本開示の特定データとして移動体起動アプリ３２のデータを例示したが、本開示の特定データは、改ざんが無いことの検証が必要なデータであればよい。

上記実施形態では、移動体起動アプリ３２のデータを、サブデータ１～１００に細分化したが、細分化するサブデータの数は任意に設定可能である。

上記実施形態では、車両１の監視処理と並行して一つのサブデータの改ざん検証処理を実行したが、車両１の監視処理と並行して２以上のサブデータの改ざん検証処理を実行してもよい。

上記実施形態では、移動体起動アプリ３２に、第１アプリ３２ａと第２アプリ３２ｂが含まれ、第１アプリ３２ａについては、データの改ざん検証処理を第１アプリ３２ａの実行と並行して行うことが可能な設定とし、第２アプリ３２ｂについては、データの改ざん検証処理が完了した後に第２アプリ３２ｂの実行が可能な設定とした。他の実施形態として、このような区別の設定をせずに、全てのサブデータについての改ざん検証処理が完了した後に、移動体起動アプリ３２の実行が可能な設定としてもよい。

全てのサブデータについての改ざん検証処理が完了した後に、移動体起動アプリ３２の実行が可能な設定した場合には、車両１の使用開始操作がなされたときに、改ざん検証処理が完了していないサブデータがあるときに、改ざん検証処理が完了していないサブデータについての改ざん検証処理を実行してから、移動体起動アプリ３２を実行する構成となる。この場合、既に改ざん検証処理が完了していたサブデータについても、再度、改ざん検証処理を実行することにより、改ざんに対する信頼性を高めることができる。

上記実施形態では、図２のステップＳ２０８、Ｓ２０９の処理により、一定時間が経過する毎に、サブデータ検証処理を繰り返し実行するようにしたが、ステップＳ２０８、Ｓ２０９を省略して、一定時間の経過を待つことなくサブデータ検証処理を繰り返し実行するようにしてもよい。

なお、図１は、本願発明の理解を容易にするために、ＥＣＵ１０の機能として構成される電子機器監視装置の構成を、主な処理内容により区分して示した概略図であり、電子機器管理装置を他の区分によって構成してもよい。また、各構成要素の処理は、１つのハードウェアユニットにより実行されてもよいし、複数のハードウェアユニットにより実行されてもよい。また、図２～図４に示した各構成要素による処理は、１つのプログラムにより実行されてもよいし、複数のプログラムにより実行されてもよい。

［５．上記実施形態によりサポートされる構成］
上記実施形態は、以下の構成の具体例である。

（構成１）電子機器が使用されていない期間において、定期的にスリープ状態からアクティブ状態に移行して、所定の待機処理を実行する制御部と、改ざんの有無を検証する改ざん検証処理の対象となる特定データが保存された記憶部と、を備える電子機器監視装置であって、前記制御部は、前記特定データを細分化した複数のサブデータについて、予め設定された順序で、前記アクティブ状態に移行する毎に、少なくとも一つの前記サブデータについて前記改ざん検証処理を行う、サブデータ検証処理を実行する電子機器監視装置。
構成１の電子機器監視装置によれば、制御部がスリープ状態からアクティブ状態に移行するタイミングに合わせてサブデータの改ざん検証処理を行うことで、アクティブ状態に移行する頻度を低減してエネルギー効率を向上させることができる。また、電子機器が使用されていない期間に、予めサブデータの改ざん検証処理を行うことにより、移動体の使用が開始される際に、改ざん検証処理によって改ざんが無いことが既に検証されているサブデータについての再度の改ざん検証処理を省略して、電子機器の起動時間が長くなることを抑制することができる。

（構成２）前記制御部は、前記サブデータ検証処理により、全ての前記サブデータについて改ざんが無いことを検証したときに、前記特定データが改ざんされていないことを示す改ざん無確認情報を、前記記憶部に保存する構成１に記載の電子機器監視装置。
構成２の電子機器監視装置によれば、改ざん無確認情報の記憶部への保存の有無により、特定データが改ざんされていないことを容易に確認することができる。

（構成３）前記制御部は、前記電子機器の使用開始条件が成立したときに、前記記憶部に前記改ざん無確認情報が保存されているときには、前記特定データについての再度の前記改ざん検証処理を行うことなく、前記電子機器の起動処理を実行する構成２に記載の電子機器監視装置。
構成３の電子機器監視装置によれば、改ざん無確認情報が保存されているときに、特定データについての改ざん検証処理を省略することで、電子機器の使用開始時に起動処理が完了するまでの時間を短縮することができる。

（構成４）前記制御部は、前記サブデータ検証処理により全ての前記サブデータについての前記改ざん検証処理を完了した時点から所定時間が経過した時に、前記サブデータ検証処理を再度実行する構成１から構成３のうちいずれか一つの構成に記載の電子機器監視装置。
構成４の電子機器監視装置によれば、サブデータ検証処理を再度実行することにより、特定データが改ざんされていないことの検証の信頼性を高めることができる。

（構成５）前記制御部は、前記サブデータ検証処理により全ての前記サブデータについての前記改ざん検証処理を完了する前に、前記電子機器の使用開始条件が成立したときには、前記改ざん検証処理が完了していない前記サブデータについてのみ、前記改ざん検証処理を行った後に、前記電子機器の起動処理を実行する構成１から構成４のうちいずれか一つの構成に記載の電子機器監視装置。
構成５の電子機器監視装置によれば、既に改ざん検証処理が完了しているサブデータについての改ざん検証処理を省略することにより、電子機器の起動処理が完了するまでの時間を短縮することができる。

（構成６）前記制御部は、前記サブデータ検証処理により全ての前記サブデータについての前記改ざん検証処理を完了する前に、前記電子機器の使用開始条件が成立して、前記改ざん検証処理が完了していない前記サブデータについて前記改ざん検証処理を行った後に、前記電子機器の起動処理を実行したときに、既に前記改ざん検証処理が完了していた前記サブデータについても、前記改ざん検証処理を再度行う構成５に記載の電子機器監視装置。
構成６の電子機器監視装置によれば、既に改ざん検証処理が完了していたサブデータについて、改ざん検証処理を再度行うことによって、特定データが改ざんされていないことの検証の信頼性を高めることができる。

（構成７）前記特定データは、前記電子機器の使用開始時に実行されるアプリケーションのデータであって、前記アプリケーションは第１アプリケーションと第２アプリケーションとを含み、前記第１アプリケーションについては、前記第１アプリケーションの実行と前記第１アプリケーションのデータについての前記改ざん検証処理を並行して行うことが可能であり、前記第２アプリケーションについては、前記第２アプリケーションのデータについての前記改ざん検証処理を完了した後に、前記第２アプリケーションの実行が可能となる設定とされ、前記制御部は、前記改ざん検証処理が完了していない前記サブデータが、前記第１アプリケーションのデータであるときには、前記第１アプリケーションのデータについての前記改ざん検証処理と前記第１アプリケーションの実行を並行して行い、前記改ざん検証処理が完了していない前記サブデータが、前記第２アプリケーションのデータであるときには、前記第２アプリケーションのデータについての前記改ざん検証処理を行った後に前記第２アプリケーションを実行する構成１から構成４のうちいずれか一つの構成に記載の電子機器監視装置。
構成７の電子機器監視装置によれば、改ざん検証処理が完了していない第１アプリケーションのデータについての改ざん検証処理を、第１アプリケーションの実行と並行して行うことによって、電子機器の起動処理が完了するまでの時間を短縮することができる。

（構成８）前記制御部は、前記サブデータ検証処理によって前記サブデータの改ざんを認識したときに、所定のフェイルセーフ処理を実行する構成１から構成７のうちいずれか一つの構成に記載の電子機器監視装置。
構成８の電子機器監視装置によれば、サブデータの改ざんが認識されたときに、フェイルセーフ処理を実行することによって、移動体の適切な使用をサポートすることができる。

（構成９）構成１から構成８のうちいずれか一つの構成に記載の電子機器監視装置を備えた電子機器である移動体。
車両等の移動体においては、移動体の使用が開始される際に、利用者が移動体に接近したタイミングでのライトの点灯（ウェルカム演出）、ドアの解錠、電源のオン等の処理が実行される。そして、これらの処理の即時応答性を確保することが、移動体の利用者の利便性を向上させる上で重要である。そこで、構成９の移動体に、構成１から構成８の電子機器監視装置を備えることにより、移動体で使用される特定データについて、事前に改ざん検証処理を実行することにより、上記処理の即時応答性を高めることができる。

（構成１０）コンピュータにより実行される電子機器監視方法であって、電子機器が使用されていない期間において、定期的にスリープ状態からアクティブ状態に移行して、所定の待機処理を実行するステップと、記憶部に保存されて改ざんの有無を検証する改ざん検証処理の対象となる特定データを、細分化した複数のサブデータについて、予め設定された順序で、前記アクティブ状態に移行する毎に、少なくとも一つの前記サブデータについて前記改ざん検証処理を行う、サブデータ検証処理を実行するステップと、を含む電子機器監視方法。
構成１０の電子機器監視方法をコンピュータにより実行することによって、構成１の電子機器監視装置と同様の作用効果を得ることができる。

１…車両（移動体、電子機器）、１０…ＥＣＵ（電子機器監視装置）、２０…プロセッサ、２１…制御部、３０…メモリ（記憶部）、３１…制御プログラム、３２…移動体起動アプリ（特定データ）、３２ａ…第１アプリ、３２ｂ…第２アプリ、３３…改ざん無確認情報、４０…通信ユニット、４１…カメラ、４２…振動センサ、５０…携帯端末、５１…携帯鍵。

Claims (10)

1. 電子機器が使用されていない期間において、定期的にスリープ状態からアクティブ状態に移行して、所定の待機処理を実行する制御部と、
   改ざんの有無を検証する改ざん検証処理の対象となる特定データが保存された記憶部と、
   を備える電子機器監視装置であって、
   前記特定データは、前記電子機器の使用開始時に実行されるアプリケーションのデータであって、前記アプリケーションは第１アプリケーションと第２アプリケーションとを含み、前記第１アプリケーションについては、前記第１アプリケーションの実行と前記第１アプリケーションのデータについての前記改ざん検証処理を並行して行うことが可能であり、前記第２アプリケーションについては、前記第２アプリケーションのデータについての前記改ざん検証処理を完了した後に、前記第２アプリケーションの実行が可能となる設定とされ、
   前記制御部は、前記特定データを細分化した複数のサブデータについて、予め設定された順序で、前記アクティブ状態に移行する毎に、少なくとも一つの前記サブデータについて前記改ざん検証処理を行う、サブデータ検証処理を実行し、前記改ざん検証処理が完了していない前記サブデータが、前記第１アプリケーションのデータであるときには、前記第１アプリケーションのデータについての前記改ざん検証処理と前記第１アプリケーションの実行を並行して行う、
   電子機器監視装置。
2. 前記制御部は、前記改ざん検証処理が完了していない前記サブデータが、前記第２アプリケーションのデータであるときには、前記第２アプリケーションのデータについての前記改ざん検証処理を行った後に前記第２アプリケーションを実行する
   請求項１に記載の電子機器監視装置。
3. 前記制御部は、前記サブデータ検証処理により、全ての前記サブデータについて改ざんが無いことを検証したときに、前記特定データが改ざんされていないことを示す改ざん無確認情報を、前記記憶部に保存する
   請求項１又は請求項２に記載の電子機器監視装置。
4. 前記制御部は、前記電子機器の使用開始条件が成立したときに、前記記憶部に前記改ざん無確認情報が保存されているときには、前記特定データについての再度の前記改ざん検証処理を行うことなく、前記電子機器の起動処理を実行する
   請求項３に記載の電子機器監視装置。
5. 前記制御部は、前記サブデータ検証処理により全ての前記サブデータについての前記改ざん検証処理を完了した時点から所定時間が経過した時に、前記サブデータ検証処理を再度実行する
   請求項１から請求項４のうちいずれか１項に記載の電子機器監視装置。
6. 前記制御部は、前記サブデータ検証処理により全ての前記サブデータについての前記改ざん検証処理を完了する前に、前記電子機器の使用開始条件が成立したときには、前記改ざん検証処理が完了していない前記サブデータについてのみ、前記改ざん検証処理を行った後に、前記電子機器の起動処理を実行する
   請求項１から請求項５のうちいずれか１項に記載の電子機器監視装置。
7. 前記制御部は、前記サブデータ検証処理により全ての前記サブデータについての前記改ざん検証処理を完了する前に、前記電子機器の使用開始条件が成立して、前記改ざん検証処理が完了していない前記サブデータについて前記改ざん検証処理を行った後に、前記電子機器の起動処理を実行したときに、既に前記改ざん検証処理が完了していた前記サブデータについても、前記改ざん検証処理を再度行う
   請求項６に記載の電子機器監視装置。
8. 前記制御部は、前記サブデータ検証処理によって前記サブデータの改ざんを認識したときに、所定のフェイルセーフ処理を実行する
   請求項１から請求項７のうちいずれか１項に記載の電子機器監視装置。
9. 請求項１から請求項８のうちいずれか１項に記載の電子機器監視装置を備えた電子機器である
   移動体。
10. コンピュータにより実行される電子機器監視方法であって、
    電子機器が使用されていない期間において、定期的にスリープ状態からアクティブ状態に移行して、所定の待機処理を実行するステップと、
    記憶部に保存されて改ざんの有無を検証する改ざん検証処理の対象となる特定データを、細分化した複数のサブデータについて、予め設定された順序で、前記アクティブ状態に移行する毎に、少なくとも一つの前記サブデータについて前記改ざん検証処理を行う、サブデータ検証処理を実行するステップと、を含み、
    前記特定データは、前記電子機器の使用開始時に実行されるアプリケーションのデータであって、前記アプリケーションは第１アプリケーションと第２アプリケーションとを含み、前記第１アプリケーションについては、前記第１アプリケーションの実行と前記第１アプリケーションのデータについての前記改ざん検証処理を並行して行うことが可能であり、前記第２アプリケーションについては、前記第２アプリケーションのデータについての前記改ざん検証処理を完了した後に、前記第２アプリケーションの実行が可能となる設定とされ、
    前記改ざん検証処理が完了していない前記サブデータが、前記第１アプリケーションのデータであるときには、前記第１アプリケーションのデータについての前記改ざん検証処理と前記第１アプリケーションの実行を並行して行う、ステップを含む
    電子機器監視方法。

Images