JP4372791B2 - 情報記憶装置 - Google Patents

Description

この発明は、センサが検出した情報を収集して記憶する報記憶装置、情報記憶プログラム、情報記憶方法及び前記情報の正当性を検証する検証装置に関する。

この発明は、例えば、移動体の移動状態に関わる移動体情報を収集して記憶する情報記憶装置に関する。

また、この発明は、例えば食料品（野菜、魚、ワインなど）、動物（競走馬や闘犬など）、割れ物、薬品、写真、芸術品、骨董品、公的書類（紙での書類や遺書など）、ゴミなどの物の運搬環境や保管環境に関わる情報、例えば温度、湿度、照度、時間、位置、ゆれ、重量、傾斜、圧力、音、風力、不純物度、扉や蓋の開閉などの環境情報を収集して記憶する環境情報記憶装置や、これらの情報を処理する環境情報保証システムに関する。

（１）自動車税の税額は、従来、自動車の種類、用途、排気量などにより決められている。近年では、自動車税の税額は、排出ガスや燃費の性能に応じて変わる。これらは運転状況により決定されるものではなく、使用している自動車の仕様によって決定されていると言える。例えば、燃費性能が良い自動車であれば、急発進や急停止などの乱暴な運転をする運転者であっても税金は優遇されることになる。
（２）また、自動車保険も、自動車の種類や用途、運転者の年齢、過去の事故歴、走行距離などから決定される。この自動車保険も、乱暴な運転する者であっても、事故を起こしていない運転者であれば、保険料が安くなり、実際に運転者がどのような運転を行っているかという運転状況に見合った保険料の算出方法ではない。

これらを解決するために、いくつかの発明がある。

特開２００４−１４５４８９号公報（特許文献１）は、自動車保険料決定方法に関わるシステムを開示していいる。前記特許文献１が開示するシステムは、タイヤ空気圧等の管理をこまめに行っているような安全性が高い自動車及び所有者は事故を起こす可能性が低いとみなし、保険料を減額する。すなわち、自動車のタイヤ空気圧に関する時系列的情報を取得する車輌状況解析部と、この車輌状況解析部が取得した情報を外部へ送信する通信装置とを備えた車載装置と、受信した情報に基づいて当該自動車のタイヤ空気圧管理状況を評価する車輌管理状態診断部と、この車輌管理状態診断部による評価結果に基づいて自動車保険の保険料及び／又は保険金を算出する保険料算出部とを備えた中央装置とからなるシステムである。これによって、タイヤ空気圧などの情報が、インタネットを介して保険事業者のサーバに送信され、受信した情報を基に車両管理状態を診断し、事故を起こす可能性が低い自動車の所有者に対して、保険料を減額するなど保険料が算出される。

また、特開２００２−２７９２９８号公報（特許文献２）は、車両履歴情報に基づくビジネス手法として、車両の運転歴や維持管理履歴などの車両履歴情報を個人情報と共に車両に設けられた記憶媒体に記録し、車検・メンテナンス時や保険契約・更新時にこれらの情報を用いて料金を設定する手法を開示している。この中には、各種センサ情報を車載管理コンピュータによって処理された自動車の運転歴に対するユーザ側の改ざんを不能にするというデータ保護機能を有する記憶媒体を使用している例が記述されている。

また、特開２００２−１８３４５６号公報（特許文献３）は、取得した自動車の走行状態情報やＧＰＳ（Ｇｌｏｂａｌ Ｐｏｓｉｔｉｏｎｉｎｇ Ｓｙｓｔｅｍ）による位置情報、地図情報、交通規制情報を基に運転評価結果を演算して、演算結果を記録する運転評価装置において、保険会社以外の人間に記録内容を解読されるのを防ぐために、すなわち、記録内容の機密性を維持するために、暗号化もしくはパスワードによって保護している例を開示している。

しかし、従来のシステムでは、自動車の所有者が車載装置を改良し、偽の情報を保険事業者に送信することができる。すなわち、実際にはタイヤ空気圧等の管理をしていないにもかかわらず、こまめに行っているように見せかけたり、他の自動車の情報を送信したりして、安い保険料を得ることが可能であるという問題点があった。

さらに、通信中の情報が改ざんされる、すなわち情報の完全性を維持できない恐れがあり、保険会社などが実際に使用する情報を信頼できないという信頼性が欠けるという問題点があった。

また、通信中の情報が改ざんされた場合や、車載装置内に記録している情報が改ざんされた場合、保険会社などは受信した情報が改ざんされていることを検知することができないという問題があった。これは、情報を暗号化する・しないに問わず発生する問題である。すなわち、暗号化によって情報の機密性は維持できるが、改ざんされたことは検知できない、つまり完全性を維持できないからである。

（３）また、従来、物の運搬や保管を依頼した依頼者（以下、依頼者と記す）は、運搬や保管を実施する業者（以下、業者と記す）を信頼し、運搬や保管を依頼していた。例えば、魚市場から新鮮な魚を市場に運搬する場合、魚市場で運搬を依頼した依頼者は、運搬中の魚の環境、すなわち温度や湿度などが新鮮な状態に保たれているか知ることが出来なかった。また、魚を使用する料理店などの物を受け取る人（以下、使用者と記す）も運搬された魚の鮮度状態を確認することはできず、経験に基づく目視による確認によって、鮮度状態を把握していた。
また、貸し倉庫に物を保管する場合、使用者（依頼者と同じ場合もある）は、入・出庫する際の保管物の検量や状態等の比較することで、保管中の物の状態を推測していた。

さらに、保冷車の運行管理装置に関する特開平１１−３４８６４７号公報では、保冷庫内の温度センサが検出した温度情報を車両から事務所に送信・管理することで、運転者の負荷を減らす発明が記述されており、温度センサの情報を車両に設けられたメモリカードに記録し、後で運転中の記録証明が可能であるとの記述がある。

従来技術では、依頼者や使用者が、運搬中や保管中の環境に関しては、業者を信用するしか方法がなく、その運搬環境や保管環境を確認することは困難であった。また、メモリカードなど記録媒体に記録された環境の情報を業者が改ざんし、改ざんされた業者に都合の良い偽の情報を依頼者や使用者に提出し、問題なく見せかけることが可能であるという課題があった。
特開２００４−１４５４８９号公報 特開２００２−２７９２９８号公報 特開２００２−１８３４５６号公報 特開２００２−７７１８号公報 特開２００２−３７３２５８号公報 特開２００２−２９７９１０号公報 特開平１１−３４８６４７号公報

この発明は、信頼性の高い移動体の移動体情報を記録できる移動体情報記憶装置を提供することを目的とする。また、保険、税金、交通違反などに関するサービスを利用者に提供するサービス提供者が、移動体情報記憶装置が記録した移動体情報を安心して利用でき、これらの移動体情報が改ざんされたことをサービス提供者が検知できる移動体情報検証装置、システムを提供することを目的とする。

さらに、この発明は、運搬中や保管中の物の環境に関する情報を記録でき、依頼者や利用者がその情報を確認できる信頼性の高い環境情報記憶装置や環境情報保証システムを提供することを目的とする。

本発明の情報記憶装置は、
移動体に装備され、前記移動体に関する情報を記憶する情報記憶装置において、
前記移動体に関する情報を検出するセンサが検出した情報に基づくセンサ情報を記憶するセンサ情報記憶部と、
前記移動体を特定可能な特定情報を取得し、取得した前記特定情報と前記センサ情報記憶部が記憶した前記センサ情報とに基づいて、前記特定情報と前記センサ情報との少なくともいずれかに対する改ざんの有無を検証するために使用する改ざん検証用情報を生成する改ざん検証用情報生成部と、
前記改ざん検証用情報生成部が生成した前記改ざん検証用情報を記憶する改ざん検証用情報記憶部と
を備えたことを特徴とする。

前記情報記憶装置は、さらに、
前記特定情報を装置側特定情報として記憶する装置側特定情報記憶部を備え、
前記改ざん検証用情報生成部は、
前記装置側特定情報記憶部が記憶した前記装置側特定情報を取得することを特徴とする。

前記移動体は、
前記特定情報を移動体側特定情報として記憶する移動体側特定情報記憶部を備え、
前記改ざん検証用情報生成部は、
前記移動体側特定情報記憶部が記憶した前記移動体側特定情報を取得することを特徴とする。

前記情報記憶装置は、さらに、
自己と前記移動体とが分離しているかどうかを検出する分離検出部を備えたことを特徴とする。

前記情報記憶装置は、さらに、
自己が装備された前記移動体である前記装備移動体が、予め装備されることが指定された指定移動体かどうかを判断する移動体判断部を備えたこと特徴とする。

前記情報記憶装置は、さらに、
前記移動体判断部が前記装備移動体は前記指定移動体ではないと判断した場合に、前記センサ情報記憶部が記憶した前記センサ情報を消去する情報消去部を備えたことを特徴とする。

前記装備移動体は、
移動体である自己を特定可能な移動体側特定情報を記憶する移動体側特定情報記憶部を備え、
前記情報記憶装置は、さらに、
前記指定移動体を特定可能な装置側特定情報を記憶する装置側特定情報記憶部を備え、
前記移動体判断部は、
前記装置側特定情報記憶部が記憶した前記装置側特定情報と前記移動体側特定情報記憶部が記憶した前記移動体側特定情報とを入力し、入力した前記装置側特定情報と前記移動体側特定情報とに基づいて、前記装備移動体が前記指定移動体かどうかを判断することを特徴とする。

前記改ざん検証用情報生成部は、
前記移動体判断部が前記装備移動体を前記指定移動体と判断した場合に、前記移動体判断部が入力した前記装置側特定情報と前記移動体側特定情報とのうちのいずれかを選択対象として選択して取得し、取得した前記選択対象と前記センサ情報記憶部が記憶した前記センサ情報とに基づいて、前記選択対象と前記センサ情報との少なくともいずれかに対する改ざんの有無を検証するために使用する改ざん検証用情報を生成することを特徴とする。

前記装備移動体は、
通信により認証要求を受け付けて、予め設定された規則に基いて認証処理を実行する移動体側認証実行部を備え、
前記移動体判断部は、
前記移動体側認証実行部に前記認証要求を送信し、前記予め設定された規則に基いて前記移動体側認証実行部との間で認証処理を実行することにより、前記装備移動体が前記指定移動体かどうかを判断することを特徴とする。

前記情報記憶装置は、さらに、
前記センサが正当かどうかを確認するセンサ確認部を備えたことを特徴とする。

この発明の情報記憶装置は、
移動体に装備され、前記移動体に関する情報を記憶する情報記憶装置において、
前記移動体に関する情報を検出する複数のセンサのそれぞれが検出したそれぞれの情報に基づくぞれぞれのセンサ情報を入力し、予め設定された条件に基づいて前記それぞれのセンサ情報のうちから少なくとも一つのセンサ情報を選択する選択部と、
前記選択部が選択したセンサ情報から構成されるグループを示す選択情報群を記憶する選択情報群記憶部と、
前記移動体を特定可能な特定情報を取得し、取得した前記特定情報と前記選択情報群記憶部が記憶した前記選択情報群とに基づいて、前記特定情報と前記選択情報群に含まれる前記センサ情報との少なくともいずれかに対する改ざんの有無を検証するために使用する改ざん検証用情報を生成する改ざん検証用情報生成部と、
前記改ざん検証用情報生成部が生成した前記改ざん検証用情報を記憶する改ざん検証用情報記憶部と
を備えたことを特徴とする。

この発明の情報記憶装置は、
移動体に装備され、前記移動体に関する情報を記憶する情報記憶装置において、
前記移動体に関する情報を検出する複数のセンサのそれそれが検出したそれぞれの情報に基づくそれぞれのセンサ情報を記憶するセンサ情報記憶部と、
予め設定された条件に基づいて、前記センサ情報記憶部が記憶した前記それぞれのセンサ情報のうちから少なくとも一つのセンサ情報を選択する選択部と、
前記移動体を特定可能な特定情報を取得し、取得した前記特定情報と前記選択部が選択したセンサ情報から構成されるグループを示す前記選択情報群とに基づいて、前記特定情報と前記選択情報群に含まれる前記センサ情報との少なくともいずれかに対する改ざんの有無を検証するために使用する改ざん検証用情報を生成する改ざん検証用情報生成部と、
前記改ざん検証用情報生成部が生成した前記改ざん検証用情報を記憶する改ざん検証用情報記憶部と
を備えたことを特徴とする。

前記情報記憶装置は、さらに、
前記センサ情報を入力し、入力した前記センサ情報が予め設定された条件に合致するかどうかを判定し、前記条件に合致すると判定した場合に、入力した前記センサ情報を前記
センサ情報記憶に記憶させる条件判定部を備えたことを特徴とする。

前記情報記憶装置は、さらに、
前記センサ情報記憶部が記憶した前記センサ情報と、前記改ざん検証用情報生成部が取得した前記特定情報と、前記改ざん検証用情報記憶部が記憶した前記改ざん検証用情報とを出力する出力部を備えたことを特徴とする。

前記出力部は、
前記センサ情報と前記特定情報と前記改ざん検証用情報とを出力する場合に、出力先が予め指定された指定装置かどうかを認証する出力先認証部を備えたことを特徴とする。

前記出力部は、
情報を記憶可能であるとともに携帯が可能である携帯型記憶媒体に、前記センサ情報と前記特定情報と前記改ざん検証用情報とを出力することを特徴とする。

前記出力部は、
予め設定された時間間隔で、前記センサ情報と前記特定情報と前記改ざん検証用情報とを出力することを特徴とする。

前記情報記憶装置は、さらに、
操作者による操作を受け付け、受け付けた前記操作に基いて、前記出力部に対して出力を命じる命令部を備え、
前記出力部は、
前記命令部から出力を命じられた場合に、前記センサ情報と前記特定情報と前記改ざん検証用情報とを出力することを特徴とする。

前記情報記憶装置は、さらに、
前記命令部が受け付けた前記操作者による前記操作に基づいて、前記操作者が正当であるかどうかを認証する操作者認証部を備え、
前記命令部は、
前記操作者認証部が前記操作者を正当と認証した場合に、前記出力部に対して出力を命じることを特徴とする。

この発明の情報記憶プログラムは、
移動体に装備され、前記移動体の情報を記憶するコンピュータである情報記憶装置に以下の処理を実行させることを特徴とする。
（１）前記移動体に関する情報を検出するセンサが検出した情報に基づくセンサ情報を記憶する処理
（２）前記移動体を特定可能な特定情報を取得し、取得した前記特定情報と記憶した前記センサ情報とに基づいて、前記特定情報と前記センサ情報との少なくともいずれかに対する改ざんの有無を検証するために使用する改ざん検証用情報を生成する処理
（３）生成した前記改ざん検証用情報を記憶する処理

この発明の情報記憶装置は、
情報を検出するセンサから前記センサが検出した情報を入力する情報入力部と、
前記情報入力部が前記センサから入力した情報に基づくセンサ情報を記憶するセンサ情報記憶部と、
前記センサ情報記憶部が記憶した前記センサ情報に基づいて、前記センサ情報に対する改ざんの有無を検証するために使用する改ざん検証用情報を生成する改ざん検証用情報生成部と、
前記改ざん検証用情報生成部が生成した前記改ざん検証用情報を記憶する改ざん検証用情報記憶部と
を備えたことを特徴とする。

前記情報記憶装置は、さらに、
所定の情報を記憶する装置側特定情報記憶部を備え、
前記改ざん検証用情報生成部は、
前記センサ情報記憶部が記憶した前記センサ情報と前記装置側特定情報記憶部が記憶した前記所定の情報とに基づいて、前記所定の情報と前記センサ情報との少なくともいずれかに対する改ざんの有無を検証するために使用する改ざん検証用情報を生成することを特徴とする。

前記センサは、
自己が配置されている環境に関する情報を検出し、
前記装置側特定情報記憶部は、
前記所定の情報として、前記センサが配置される前記環境と自己である前記環境情報記憶装置が配置される場所との少なくともいずれかを特定可能な特定情報を記憶することを特徴とする。

前記情報記憶装置は、さらに、
前記センサが配置されている環境に所定の物が継続して置かれているかどうかを検出する存在検出部を備え、
前記改ざん検証用情報生成部は、
前記センサ情報記憶部が記憶した前記センサ情報と前記存在検出部が検出した検出結果とに基づいて、前記センサ情報と前記検出結果との少なくともいずれかに対する改ざんの有無を検証するために使用する改ざん検証用情報を生成することを特徴とする。

前記情報記憶装置は、さらに、
前記センサ情報記憶部が記憶した前記センサ情報と、前記装置側特定情報記憶部が記憶した前記所定の情報と、前記改ざん検証用情報記憶部が記憶した前記改ざん検証用情報とを他の装置に出力する出力部を備えたことを特徴とする。

前記出力部は、
前記センサ情報と前記所定の情報と前記改ざん検証用情報とを出力する場合に、前記他の装置を認証する出力先認証部を備えたことを特徴とする。

前記情報記憶装置は、さらに、
前記センサが正当かどうかを確認するセンサ確認部を備えたことを特徴とする。

前記情報記憶装置は、
所定の情報を格納する格納機器から前記所定の情報を入力する外部インタフェース部と、
前記外部インタフェース部が前記格納機器から前記所定の情報を入力する場合に前記格納機器との間で通信を行うことにより前記格納機器が正当であるかどうかを認証し、正当と判断した場合に、前記所定の情報を前記装置側特定情報記憶部に記憶する格納制御部と
を備えたことを特徴とする。

前記情報記憶装置は、
所定の情報を格納する格納機器から前記所定の情報を入力する外部インタフェース部と、
前記外部インタフェース部が入力した前記所定の情報が正当であるかどうかを認証し、正当と判断した場合に、前記所定の情報を前記装置側特定情報記憶部に記憶する格納制御部と
を備えたことを特徴とする。

この発明の検証装置は、
情報を検出するセンサから前記センサが検出した情報を入力する情報入力部と、
前記情報入力部が前記センサから入力した情報に基づくセンサ情報を記憶するセンサ情報記憶部と、
前記センサ情報記憶部が記憶した前記センサ情報に基づいて、前記センサ情報に対する改ざんの有無を検証するために使用する改ざん検証用情報を生成する改ざん検証用情報生成部と、
前記改ざん検証用情報生成部が生成した前記改ざん検証用情報を記憶する改ざん検証用情報記憶部と、
前記センサ情報記憶部が記憶した前記センサ情報と、前記改ざん検証用情報記憶部が記憶した前記改ざん検証用情報とを出力する出力部とを備えた情報記憶装置から、
前記情報記憶装置が出力した前記センサ情報と前記改ざん検証用情報とを入力し、入力した前記センサ情報と前記改ざん検証用情報とを用いることにより前記センサ情報の正当性を検証する検証部を備えたことを特徴とする。

この発明の情報記憶方法は、
コンピュータである情報記憶装置が行なう情報記憶方法において、
情報入力部が、情報を検出するセンサから前記センサが検出した情報を入力し、
センサ情報記憶部が、前記情報入力部が前記センサから入力した情報に基づくセンサ情報を記憶し、
改ざん検証用情報生成部が、前記センサ情報記憶部が記憶した前記センサ情報に基づいて、前記センサ情報に対する改ざんの有無を検証するために使用する改ざん検証用情報を生成し、
改ざん検証用情報記憶部が、前記改ざん検証用情報生成部が生成した前記改ざん検証用情報を記憶することを特徴とする。

この発明の情報記憶プログラムは、
以下の処理をコンピュータに実行させることを特徴とする。
（１）情報を検出するセンサから前記センサが検出した情報を入力する処理
（２）前記センサから入力した情報に基づくセンサ情報を記憶する処理
（３）記憶した前記センサ情報に基づいて、前記センサ情報に対する改ざんの有無を検証するために使用する改ざん検証用情報を生成する処理
（４）生成した前記改ざん検証用情報を記憶する処理

本発明により、移動体との関連性が明確であり、かつ、改ざんに対して信頼性の高い移動体情報を記録できる移動体情報記憶装置を提供することができる。

実施の形態１．
図１〜図４を参照して、実施の形態１を説明する。実施の形態１は、センサが検出した移動体に関する情報である移動体情報（センサ情報）を記憶する移動体情報記憶装置（情報記憶装置）に関する。ここで、「移動体情報」とは、自動車、バイク、船、飛行機、遊具（例えば、ジェットコースター（登録商標））などの移動体ついての、速度、距離、エンジン回転数、ＧＰＳ（ＧＰＳ位置）、ジャイロ、タイヤ空気圧、車間距離、ゆれ、ステアリング（舵角）、加速度、上昇度、アクセルの空ぶかし、蛇行運転の長さや時間、急ブレーキの回数、急発進の回数、運転者のいねむり状況、ブレーキ踏み圧、シートベルト装着などの移動状況や移動状態に関わる情報をいう。

図１は、実施の形態１の移動体情報記憶装置３の使用状態の一例を示す図である。移動体情報記憶装置３は、例えば、自動車のような移動体に装備される。以下では、移動体情報記憶装置３が装備される移動体を「装備移動体」と呼ぶ場合がある。また、移動体情報記憶装置３は、あらかじめ、装備されるべき移動体が指定されている。移動体情報記憶装置３が、あらかじめ装備されることが指定された移動体を「指定移動体」と呼ぶ場合がある。

（１）移動体情報記憶装置３は、図１のように装備移動体である移動体１に装備されている。
（２）移動体情報記憶装置３は、複数のセンサから構成されるセンサ群２の各センサが検出した各移動体情報を入力して記憶する。後述のようにセンサ群２はセンサ２ａ，センサ２ｂ，センサ２ｃ等から構成される。
（３）移動体情報記憶装置３は、記憶した移動体情報と後述の固有情報とに基づき、後述の「完全性情報」を生成し、「完全性情報」と「移動体情報」と「固有情報」とを、例えば公衆回線を介して、保険会社のサービスセンターに配置された移動体情報検証装置６００に送信する。
（４）移動体情報検証装置６００は、受信した「完全性情報」に基づき、「移動体情報」の正当性を検証する。

図２は、実施の形態１の移動体情報記憶装置３の構成ブロック図である。図２は、移動体１に装備された状態を示している。移動体情報記憶装置３は、センサ２ａ〜センサ２ｃから移動体情報を入力する。

図２において、移動体１は、自動車、バイク、船、飛行機、遊具（例えば、ジェットコースター（登録商標）や観覧車）など、人が乗車可能である。

センサ２ａ等は、移動体１に設置されており、移動体１の速度、走行距離、エンジン回転数、ＧＰＳを利用した位置、ジャイロ、タイヤや客室の空気圧、車間距離、ゆれ、高度、傾き、ステアリング（舵角）、温度、湿度など、移動状況や移動状態を示す「移動体情報」を検出する。なお、後述する実施の形態２０では、移動体情報記憶装置３がセンサを内蔵する例を示している。

本実施の形態１では、センサ２ａ等は、自身が検出した情報を演算し、演算結果を移動体情報として移動体情報記憶装置３に出力するもので構わない。このような演算結果で得られる移動体情報には、例えば、加速度、上昇度、アクセルの空ぶかし、蛇行運転の長さや時間、急ブレーキの回数、急発進の回数、車内外の映像情報などがある。

なお、センサ２ａ等が、自身の検出した情報を演算せず、移動体情報記憶装置３で演算する場合を実施の形態２に示す。後述する本実施の形態２では、移動体情報記憶装置３の装置側演算部２０１による演算結果を「移動体情報」として記憶しているが、前記のようにセンサ自身が検出した情報も「移動体情報」である。このように、本明細書において、「移動体情報」とは、センサ自身が検出した情報、及びセンサ自身が検出した情報を処理した結果（演算結果）とのいずれをも含むものである。すなわち、「移動体情報」（センサ情報）とは、移動体に関する情報を検出するセンサが検出した情報に基づく情報である。ここで「基づく」とは、前記のように、センサ自身が検出した情報と、この情報を演算した結果の情報の両者を含む意味である。

移動体情報記憶装置３（情報記憶装置）は、移動体情報を記憶する記憶部２１と、制御部２２と、改ざん防止部２０（改ざん検証用情報生成部）とを備える。また、記憶部２１は、装置側固有情報記憶部３１（装置側特定情報記憶部）と、移動体情報記憶部３２（セ
ンサ情報記憶部）と、完全性情報記憶部３３（改ざん検証用情報記憶部）とを備える。図２では記憶部２１が装置側固有情報記憶部３１等をそなえるが、装置側固有情報記憶部３１、移動体情報記憶部３２等は、それぞれ独立して存在しても構わない。記憶部２１は、例えば、ハードディスク、あるいはＥＥＰＲＯＭ（Ｅｌｅｃｔｒｏｎｉｃａｌｌｙ Ｅｒａｓａｂｌｅ ａｎｄ Ｐｒｏｇｒａｍｍａｂｌｅ Ｒｅａｄ Ｏｎｌｙ Ｍｅｍｏｒｙ）、ＲＡＭなどの半導体メモリである。

装置側固有情報記憶部３１は、後述の「装置側固有情報」（装置側特定情報）を記憶する。移動体情報記憶部３２は、「移動体情報」を記憶する。完全性情報記憶部３３は、後述の「完全性情報」を記憶する。

改ざん防止部２０は、装置側固有情報記憶部３１に格納されている「装置側固有情報」と、移動体情報記憶部３２に記録されている「移動体情報」とに基いて、これらの情報の完全性を証明する「完全性情報」を生成する。

制御部２２は、これらの動作を制御する。

次に、図３を参照して、移動体情報記憶装置３の動作について説明する。図３は、移動体情報記憶装置３の動作を説明するフローチャートである。

（１）移動体情報記憶装置３は、必要なタイミングから、センサ２ａ等が検出（Ｓ１０１）した移動体情報の記録を開始する。このタイミングは、例えば自動車やバイクなどであればエンジン始動、ジェットコースター（登録商標）などの遊具であれば電源がオンになった場合が考えられる。これらはサービス提供者によって決定される。
（２）制御部２２には、接続しているすべてのセンサ２ａ等が検出した移動体情報が入力される。制御部２２は、移動体情報を移動体情報記憶部３２に記憶する（Ｓ１０２）。
（３）そして、必要なタイミングで、制御部２２の命令により、改ざん防止部２０は、装置側固有情報記憶部３１に記憶されている「装置側固有情報」と、移動体情報記憶部３２に記憶されている「移動体情報」とに基づいて、「完全性情報」を生成する（Ｓ１０３）。ここで「装置側固有情報」とは、移動体情報記憶装置３が予め装備されることが指定されている移動体である「指定移動体」を特定可能な情報である。「装置側固有情報」とは、具体的には、「指定移動体」が自動車とすれば、ナンバープレート情報や車体番号、製造番号など指定移動体を一意に区別できる情報である。
（４）また、「完全性情報」（改ざん検証用情報）とは、「移動体情報」と「装置側固有情報」とが改ざんされていないことを確認するための情報を意味する。すなわち、「完全性情報」は、「装置側固有情報」と「移動体情報」との少なくともいずれかに対する改ざんの有無を検証するために使用する情報である。例えば、デジタル署名がある。「完全性情報」の生成の具体例は、移動体情報検証装置６００を備えるシステムである実施の形態６で詳しく述べる。
（５）生成された「完全性情報」は、必要に応じて制御部２２により、完全性情報記憶部３３に記憶される。制御部２２は、「完全性情報」を記録する際、「完全性情報」と、その生成の基になった「移動体情報」との対応関係を管理してもよい。この対応関係を管理することによって、「移動体情報」と「完全性情報」との対応関係が明確になる（Ｓ１０４）。
（６）図４は、「移動体情報」と「完全性情報」の対応関係の管理例を示す。図４において、「移動体情報ａ」は「完全性情報ａ」と対応し、「移動体情報ｂ」は「完全性情報ｂ」と対応する。「移動体情報ｃ」については、対応する「完全性情報ｃ」が、まだ生成されていない状態を表している。このような管理により、「完全性情報」とその生成の基になった「移動体情報」の対応関係が明確になる。
（７）「完全性情報」の生成のタイミングは、本実施の形態１の適用先に依存するが、例
えば、エンジン始動時に「完全性情報」が生成されていない「移動体情報」が移動体情報記憶部３２にあった時や、「移動体情報」を移動体情報記憶装置３の外部に出力する時、「移動体情報」が移動体情報記憶装置３に入力された時、移動体１に事故や不具合が発生した時などがある。

以上のように、移動体情報記憶装置３内部において、改ざん防止部２０が、「移動体情報」と「装置側固有情報」との完全性を証明する「完全性情報」を生成するので、移動体１と「移動体情報」との対応が明確になり、信頼性の高い「移動体情報」を記憶する移動体情報記憶装置３をサービス提供者に提供することができる。

実施の形態２．
次に図５を参照して実施の形態２を説明する。実施の形態２は、制御部２２が、センサ群２が検出した信号を演算する装置側演算部２０１を備えた場合である。

装置側演算部２０１は、接続されているセンサ群２が検出した情報を演算する機能を有する。このような構成において、センサ群２が検出した情報を制御部２２の装置側演算部２０１で演算し、演算結果を「移動体情報」として記憶部２１に記憶する。

このような演算結果で得られる情報には、例えば、加速度、上昇度、アクセルの空ぶかし、蛇行運転の長さや時間、急ブレーキの回数、急発進の回数、車内外の映像情報などがある。

例えば、速度センサの信号を演算することにより加速度をえることができる。このため、加速度センサは不要となる。よって、センサ群２が検出した信号を演算することによりセンサに代替する場合は、センサを追加する必要がなくなるという効果がある。

実施の形態３．
次に、図６〜図１０を参照して、実施の形態３を説明する。実施の形態３は、移動体情報記憶装置３が、装備されることが予め指定されている指定移動体である移動体１に装備された場合、移動体１から分離することを防ぐ分離防止手段を移動体情報記憶装置３に設けた実施形態である。

（１．特殊ネジ）
分離防止手段の一例として、特殊ネジの使用が挙げられる。図６は、「特殊ネジ３０３」の一例を示す。このように、市販されている「プラスネジ」や「マイナスネジ」ではなく、特殊な形状をした「特殊ネジ３０３」を用いて、移動体情報記憶装置３を指定移動体である移動体１に固定する。これにより、移動体情報記憶装置３を外すためには、この「特殊ネジ３０３」に対応した特殊なドライバーなどの工具が必要となり、容易に移動体情報記憶装置３をはずすことはできない。

（２．分離防止シール）
他の分離防止手段を説明する。図７は、改ざん防止シールや封印シール等の「シール６０」によって移動体情報記憶装置３を封印した場合の、移動体１への移動体情報記憶装置３の取り付け状態を示す。「シール６０」は、一度貼り付けた後にはがすと、表面に「開封済」などの文字が現れる。移動体１に移動体情報記憶装置３を固定した後、「シール６０」を、移動体１と移動体情報記憶装置３とをまたぐように貼る。これにより、移動体情報記憶装置３を移動体１から外した場合、「シール６０」には上記「開封済」などの文字が現れる。このため、サービス提供者は、移動体情報記憶装置３を外したことを検出することができる。また、このようなシールを貼っているので、ユーザ等が、移動体情報記憶装置３を移動体１から外す試みを抑止することができる。

（３．施錠）
図示はしていないが、他の分離防止手段として、移動体情報記憶装置３と移動体１を両方同時に物理錠により施錠することや物理錠により移動体情報記憶装置３を移動体１に固定することでも実現できる。

（４．電気的分離防止）
また、他の分離防止手段として、電気的に実現した例を説明する。図８は、実施の形態３における移動体情報記憶装置３の構成ブロック図である。図８に示す移動体情報記憶装置３は、図２に示す実施の形態１の移動体情報記憶装置３に対して、分離防止部３０２（分離検出部の一例、移動体判断部の一例）を備える。分離防止部３０２は、指定移動体との分離を防止するとともに、装備移動体が指定移動体であるかどうかを判断する。

移動体１は、移動体側固有情報処理部３０１（移動体側認証実行部の一例）を備える。移動体側固有情報処理部３０１は、移動体側固有情報記憶部３１１を備える。移動体側固有情報記憶部３１１は、移動体側固有情報（移動体側特定情報）を記憶する。「移動体側固有情報」とは、移動体１が保有する情報であって、移動体１を特定可能な情報である。「移動体側固有情報」とは、具体的には、移動体１が自動車とすれば、ナンバープレート情報や車体番号、製造番号など、移動体１を一意に区別できる情報を意味する。

移動体側固有情報処理部３０１は、分離防止部３０２との間で認証処理を行なう。図８では、移動体１の移動体側固有情報処理部３０１は、移動体情報記憶装置３の制御部２２に接続されている。そして、分離防止部３０２は、制御部２２を介して移動体側固有情報処理部３０１と通信する構成である。しかし、これに限定するものではなく、分離防止部３０２を直接に移動体側固有情報処理部３０１に接続し、通信する構成でもよい。

次に動作について、図９を用いて説明する。図９は、移動体側固有情報処理部３０１と分離防止部３０２とのやりとりを示すシーケンス図である。図９では、分離防止部３０２は、装置側固有情報記憶部３１が記憶した装置側固有情報と、移動体側固有情報記憶部３１１が記憶した移動体側固有情報とを入力し、入力した装置側固有情報と移動体側固有情報とに基づいて、移動体１が指定移動体かどうかを判断する。図９を参照して具体的に説明する。

（１）移動体側固有情報処理部３０１は、移動体１の「移動体側固有情報」を移動体側固有情報記憶部３１１に格納している。この「移動体側固有情報」は、移動体１が指定移動体であれば、移動体情報記憶装置３の装置側固有情報記憶部３１に格納されている装置側固有情報と同一性があるべきものである。なお同一である必要はなく、それぞれから同一の移動体が特定できればよい。
（２）分離防止部３０２は、必要なタイミングで、移動体側固有情報処理部３０１と通信し、移動体１が保有する「移動体側固有情報」を取得する（Ｓ１）。
（３）そして、分離防止部３０２は、取得した「移動体側固有情報」と、装置側固有情報記憶部３１に保管している「装置側固有情報」との比較を行う（Ｓ２）。
（３）比較結果が正しければ正常終了（Ｓ３）し、例えば、記憶部２１に正常終了した内容を記録する。正しくなければ異常終了（Ｓ４）し、例えば、記憶部２１に異常終了した旨を記録する。

なお、分離防止部３０２が移動体側固有情報処理部３０１と通信するタイミングは、エンジン始動時、「完全性情報」の生成時、一定もしくはランダムな時間毎などである。これにより、移動体情報記憶装置３が移動体１から分離して異なる移動体に装着されたことを検出することができる。よって、本機能が移動体情報記憶装置３に搭載されていること
をユーザに知らせることにより、移動体情報記憶装置３を移動体から外す試みを抑止することができる。

次に、図１０参照して、移動体側固有情報処理部３０１と分離防止部３０２との間で認証処理を行う場合の例を説明する。図１０は、移動体側固有情報処理部３０１と分離防止部３０２との間で行なわれる認証処理のフローチャートである。分離防止部３０２は、移動体側固有情報処理部３０１（移動体側認証実行部）に認証要求を送信する。そして、分離防止部３０２は、「予め設定された規則」に基いて、移動体側固有情報処理部３０１との間で認証処理を実行することにより、自己（移動体情報記憶装置３）が装備された装備移動体が指定移動体かどうかを判断する。以下に、さらに説明する。

図１０の場合は、「予め設定された規則」として、「乱数の暗号化、復号化」の場合を示している。移動体情報記憶装置３と移動体１の移動体側固有情報処理部３０１は暗号鍵（図示していない）を持っている。

（１）移動体情報記憶装置３の分離防止部３０２は、乱数（Ｒ）を生成し（Ｓ６）、移動体１の移動体側固有情報処理部３０１に送信する（認証要求の一例）（Ｓ７）。
（２）移動体側固有情報処理部３０１は乱数（Ｒ）を受信（Ｓ８）し、暗号化（ｅ（Ｒ））した（Ｓ９）後、移動体情報記憶装置３に送信する（Ｓ１０）。
（３）移動体情報記憶装置３の分離防止部３０２では、応答データ（ｅ（Ｒ´））を受信し（Ｓ１１）、それを復号し（Ｓ１２）、先に生成した乱数と比較する（Ｓ１３）。
（４）分離防止部３０２は、比較結果により、装備移動体である移動体１が指定移動体かどうかを判断する。分離防止部３０２は、比較結果が一致した場合、移動体１を指定移動体であると判断し、比較結果が一致しない場合は、移動体１を指定移動体ではないと判断する。
（５）比較結果が一致していた場合（Ｓ１４）、正常終了し、一致していない場合（Ｓ１５）、異常終了する。

（別の例１）
「予め設定された規則」として次の場合がある。図１０の場合は、移動体情報記憶装置３にて、移動体側固有情報処理部３０１から受信した暗号化された乱数を復号し（Ｓ１２）、その後に比較を行っている（Ｓ１３）。しかし、生成した乱数を移動体情報記憶装置３の分離防止部３０２で暗号化し、その結果と移動体側固有情報処理部３０１から受信した暗号化された乱数を比較しても良い。

（別の例２）
「予め設定された規則」として次の場合がある。図１０の場合は、移動体側固有情報処理部３０１で暗号化（Ｓ９）した乱数を、分離防止部３０２で確認している。しかし、移動体側固有情報処理部３０１が受信した乱数に対して、メッセージ認証子やデジタル署名を生成し、それらを分離防止部３０２が検証しても良い。

（別の例３）
さらに、「予め設定された規則」として、前述の図９で説明した固有情報を確認する方法と組み合わせて実現してもよい。すなわち、移動体側固有情報処理部３０１にて乱数を暗号化する際、乱数と移動体側固有情報の両方を暗号化し、分離防止部３０２にて復号した乱数、移動体側固有情報を、生成した乱数、保管している装置側固有情報と比較する方法でもよい。

以上の前記で述べた「予め設定された規則」により、分離防止部３０２は、移動体情報記憶装置３が移動体１から分離され、異なる移動体に装着されたことを検出することがで
きる。また、暗号化を行っているので、前述の移動体側固有情報、装置側固有情報の確認よりも信頼性の高い移動体情報記憶装置３を実現できる。本機能が移動体情報記憶装置３に搭載されていることをユーザに知らせることにより、移動体情報記憶装置３を外す試みを抑止することができる。

以上のように、移動体情報記憶装置３に分離防止部３０２を設けることによって、移動体情報記憶装置３と移動体１との対応関係が明確になり、移動体情報記憶装置３を他の移動体に装着し、偽の「移動体情報」を収集することを防ぐことが出来る。よって、信頼性の高い移動体情報記憶装置３をサービス提供者に提供することができる。また、移動体情報記憶装置３が保管している装置側固有情報、取得した他の移動体の移動体側固有情報や、移動体情報記憶装置３が他の移動体へ装着されたという情報をサービス提供者に提供する構成にすることにより、サービス提供者が、それらの情報を基に利用者へ警告することが可能になる。

実施の形態４．
次に、図１１、図１２を参照して、実施の形態４を説明する。実施の形態４は、図８の分離防止部３０２が、電力を供給するバッテリ４０１（電源）を備えた実施形態である。図１１は、実施の形態４の移動体情報記憶装置３の構成を示すブロック図である。図１１は、実施の形態３の図８に対して、分離防止部３０２がバッテリ４０１を備えている点が異なる。

図１１では、バッテリ４０１は、分離防止部３０２が内蔵しているが、これは一例である。バッテリ４０１は、移動体情報記憶装置３に備えられていればよい。すなわち、移動体情報記憶装置３が移動体１と分離した場合であっても、電源が供給される構成であればよい。

図１１の分離防止部３０２は、一定もしくはランダムな時間毎に実施の形態３の図９で示した移動体１の移動体側固有情報の取得や、あるいは図１０で示した乱数による認証を行う。このような構成であるため、移動体情報記憶装置３が移動体１から分離された場合でも、分離防止部３０２は、バッテリ４０１を稼動電源として、必要なタイミングで、移動体側固有情報の取得や認証を実施することは可能である。しかし、移動体情報記憶装置３は移動体１と接続されていないため、分離防止部３０２は、移動体１からの応答を得ることができない。これにより、分離防止部３０２は、移動体１から分離していることを検出する。

すなわち、移動体情報記憶装置３は、電力を供給するバッテリ４０１（電源）を備えている。前記のように、バッテリ４０１は、分離防止部３０２が備えることに限定することはなく、移動体情報記憶装置３に備えられていれば構わない。分離防止部３０２は、分離された場合であってもバッテリ４０１（電源）から電力の供給を受けることにより、移動体の移動体側固有情報処理部３０１に、移動体側固有情報の送信を要求する「送信要求信号」を送信し応答を求め、あるいは、認証処理の開始要求する「認証処理開始要求信号」を送信し応答を求める。これら分離防止部３０２が送信する、「送信要求信号」や「認証処理開始要求信号」は、分離防止部３０２が、移動体情報記憶装置３が移動体に装備されているかどうか、すなわち移動体から分離されているかどうかを確認する「分離確認信号」の機能を果たす。また、移動体の移動体側固有情報処理部３０１は、「分離確認信号」に対して応答する「応答部」の機能を果たす。このように、分離防止部３０２は、移動体側固有情報処理部３０１（応答部）に向けて、「分離確認信号」を送信することにより移動体側固有情報処理部３０１からの応答を求め、応答がない場合に、移動体と分離したと判断する。

次に、図１２を参照して、分離防止部３０２の別の例を説明する。図１２は、移動体１において、分離防止部３０２の別の例を示すブロック図である。信号線４０２は、分離防止部３０２から移動体１を経て再び分離防止部３０２に入力される。移動体１と分離防止部３０２は、例えば図に示す様に、コネクタで接続される。このような構成において、次に動作を説明する。

分離防止部３０２は、バッテリ４０１を電源として信号線４０２に電流を流す。移動体情報記憶装置３が移動体１に装着されている場合は、信号線４０２には電流が流れている。しかし、移動体情報記憶装置３が移動体１から分離した場合、信号線４０２は寸断される。よって、電流は流れなくなる。つまり、分離防止部３０２は、信号線４０２に流れる電流を観測することによって、移動体情報記憶装置３が移動体１から分離したことを検出することができる。

以上のように、移動体情報記憶装置３にバッテリ４０１を備えることにより、移動体情報記憶装置３が移動体１から分離した事実を正確に検出することが出来る。このため、信頼性の高い移動体情報記憶装置３をサービス提供者に提供することができる。また、移動体情報記憶装置３が保管している装置側固有情報や、移動体から取得した移動体側固有情報や、移動体情報記憶装置３が移動体１から分離したという情報をサービス提供者に提供する構成にすることにより、サービス提供者が、それらの情報を基に利用者へ警告することが可能になる。

実施の形態５．
次に、図１３を参照して実施の形態５を説明する。実施の形態５は、分離防止部３０２が移動体との分離を検出した場合に、移動体情報記憶装置３の記憶している情報を消去する分離防止部３０２を備えた場合の実施形態について説明する。

図１３に示す様に、分離防止部３０２は、情報消去部５０１を備える。情報消去部５０１は、分離防止部３０２が移動体１との分離を検出した場合に、記憶部２１の情報を消去する。例えば、情報消去部５０１は、分離防止部３０２が自己（移動体情報記憶装置３）が装備される装備移動体は指定移動体ではないと判断した場合に、移動体情報記憶部３２が記憶した移動体情報を消去する。

このような構成において、分離防止部３０２は、一定もしくはランダムな時間毎に実施の形態２や実施の形態３で示した図９の移動体１の移動体側固有情報の取得や、図１０の乱数による認証などにより、分離したことを検出する。そして、移動体情報記憶装置３内の情報、例えば、前記のように移動体情報記憶部３２に記憶されている「移動体情報」などを消去する。どの情報を消去するかは、設定することができる。

以上のように、情報消去部５０１は、移動体情報記憶装置３が移動体と分離した場合に、記憶部２１の情報を消去する。このため、サービス提供者は確実に分離したことを知ることができ、また、サービス提供者がその情報を基に利用者への警告が可能になる。従って、信頼性の高い移動体情報記憶装置３をサービス提供者に提供することができる。

実施の形態６．
次に図１４、図１５を参照して、実施の形態６を説明する。実施の形態６は、移動体情報記憶装置３と移動体情報検証装置６００とからなる移動体情報保証システムの実施形態である。本実施の形態６は、実施の形態１に対応し、実施の形態１に対して移動体情報検証装置６００を備えることにより、システムとした実施形態である。

移動体情報検証装置６００は、検証部６０１を備える。図１４は、実施の形態６の移動
体情報保証システムの構成図である。図１４の移動体情報記憶装置３は、図２の移動体情報記憶装置３と同様である。図１４において、移動体情報検証装置６００は、サービス提供者が保有する。検証部６０１は、入力された情報に対する改ざんの有無を検証する。なお、他の実施の形態と同様に、移動体情報記憶装置３には分離防止部３０２を設けても良い。

次に、図１５を参照して実施の形態６の移動体情報保証システムの動作について説明する。

移動体情報記憶装置３の動作は、実施の形態１の場合と同様である。すなわち、移動体情報記憶装置３は、「移動体情報」を保管し、「完全性情報」を生成する。そして、移動体情報検証装置６００の検証部６０１は、「完全性情報」を用いて、「移動体情報」が改ざんされていないことを確認する。

なお、移動体情報記憶装置３と移動体情報検証装置６００との間の情報のやり取りは、実施の形態８で後述する「通信」、あるいは実施の形態１０で後述する「ＩＣカード」を用いることを想定している。

図１５に、改ざん防止部２０と検証部６０１とによる処理のフローを示す。図１５は、デジタル署名を用いた場合を示している。このデジタル署名は、「完全性情報」を生成する場合の一例である。
（１）改ざん防止部２０は、「移動体情報」と「装置側固有情報」とをハッシュ関数に入力してハッシュ値を求める（Ｓ４０）。そして、そのハッシュ値を署名鍵で暗号化して「完全性情報」を生成する（Ｓ４１）。署名鍵は、予め移動体情報記憶装置３の記憶部２１に格納される。
（２）検証部６０１では、「移動体情報」と「装置側固有情報」とから、改ざん防止部２０と同様にハッシュ値を求める（Ｓ４２）。
（３）一方で「完全性情報」を検証鍵で復号し（Ｓ４３）、前記ハッシュ値と復号結果のハッシュ値を比較する（Ｓ４４）。
（４）検証部６０１は、比較した結果、前記ハッシュ値が同一と認めれば、「移動体情報」は正当な情報、すなわち改ざんされていないと判断する。前記ハッシュ値が異なっていた場合、検証部６０１は、「移動体情報」、あるいは「装置側移動体情報」の少なくともいずれかは、改ざんされていると判断する。

図１５は、改ざん防止部２０が、「移動体情報」と「装置側固有情報」とに基づいて「完全性情報」を生成している。図１５に示す改ざん防止部２０の処理とは、別の例を説明する。改ざん防止部２０は「装置側固有情報」を用いているが、移動体１が記憶する「移動体側固有情報」と「移動体情報」とから、「完全性情報」を生成することもできる。この場合、図８に示すように、移動体１は、移動体側固有情報記憶部３１１を備えていることが前提である。

図１５は、改ざん防止部２０が、「移動体情報」と「装置側固有情報」とに基づいて「完全性情報」を生成している。図１５に示す改ざん防止部２０の処理とは、別の例を説明する。まず、移動体情報記憶装置３では、分離防止部３０２が、図９に示す「装置側固有情報」と「移動体側固有情報」との比較検証処理を実施する。そして、分離防止部３０２による検証の結果、「装置側固有情報」と「移動体側固有情報」とが同一の移動体に関する情報と判明した場合に、改ざん防止部２０が、「装置側固有特定情報」と「移動体側固有情報」とのうちのいずれかを選択対象として選択して取得する。そして、改ざん防止部２０は、取得した選択対象と移動体情報記憶部３２が記憶した移動体情報とに基づいて、完全性情報を生成する。この場合は、移動体が正当であることが判明した後に完全性情報
を生成するので、移動情報に対する信頼をより高めることができる。

以上のように、「移動体情報」と「装置側固有情報」（あるいは移動体側固有情報）とが改ざんされていないことを検証できるので、信頼性の高い移動体情報検証装置６００および移動体情報保証システムをサービス提供者に提供することができる。

なお、図１５ではデジタル署名を用いた例を示したが、「完全性情報」は、「移動体情報」と「装置側固有情報」とが改ざんされていないことを確認することができればよく、デジタル署名に限らず、例えばメッセージ認証子や電子透かしやＣＲＣ（Ｃｙｃｌｉｃ Ｒｅｄｕｎｄａｎｃｙ Ｃｈｅｃｋ）を用いてもよい。

実施の形態７．
次に図１６を参照して実施の形態７を説明する。実施の形態７は、実施の形態６の移動体情報検証装置６００が、さらに、処理部７０１を備えた構成である。図１６は、実施の形態７の移動体情報保証システムの構成図である。図１６は、図１４に対して、移動体情報検証装置６００が、さらに、処理部７０１を備えた点が異なる。

図１６において、処理部７０１は、検証部６０１による検証結果を基に「移動体情報」を処理する。なお、他の実施の形態と同様に、移動体情報記憶装置３には分離防止部３０２を設けても良い。

次に動作について説明する。
（１）移動体情報記憶装置３の動作は、実施の形態１、あるいは実施の形態６と同様である。すなわち、移動体情報記憶装置３は、「移動体情報」を保管し、「完全性情報」を生成する。
（２）そして、例えば、実施の形態６で示した方法により、サービス提供者は、移動体情報検証装置の検証部６０１にて、「完全性情報」を用いて、「移動体情報」と「装置側固有情報」が改ざんされていないことを確認する。
（３）そして、これらの情報が改ざんされていない場合、処理部７０１にて「移動体情報」や「装置側固有情報」を処理する。この「処理」とは、「移動体情報」や「装置側固有情報」に基づいて、保険料を決定し、あるいは自動車税を決定し、あるいは警察において交通違反の検出を行うなどが考えられる。

以上のように、移動体情報検証装置６００が処理部７０１を備えるので、「移動体情報」と「装置側固有情報」（あるいは「移動体側固有情報」）が改ざんされていないことを検証した上で、その検証結果を反映してユーザに対するサービスを決定できる。このため、サービス提供者は信頼性の高い移動体情報保証システムを用いて、木目細かいサービスをユーザに提供することができる。

実施の形態８．
次に図１７、図１８を参照して実施の形態８を説明する。実施の形態８は、移動体情報記憶装置３と移動体情報検証装置６００とが通信を行なう実施形態である。図１７は、実施の形態８の移動体情報保証システムの構成図である。図１７は、実施の形態７の図１６において、移動体情報記憶装置３が記憶側通信部８０１（出力部の一例）を備え、移動体情報検証装置６００が、検証側通信部８０２を備えた構成である。記憶側通信部８０１は、「移動体情報」と、「装置側固有情報」と、「完全性情報」とを送信（出力）する。記憶側通信部８０１は、例えば、移動体情報検証装置６００に送信する。ここで、記憶側通信部８０１は、無線・有線ＬＡＮ、ＲＳ２３２Ｃ、Ｂｌｕｅｔｏｏｔｈ（登録商標）、ＤＳＲＣ（専用狭帯域通信）、携帯電話、ＰＨＳ（登録商標）などを利用して通信を行なう。検証側通信部８０２は、移動体情報記憶装置３の記憶側通信部８０１と通信する移動体
情報検証装置６００の通信部である。なお、他の実施の形態と同様に、移動体情報記憶装置３には、分離防止部３０２を設けても良い。

次に図１８を参照して実施の形態８の移動体情報保証システムの動作を説明する。図１８は、実施形態６で示したデジタル署名を改ざん防止部２０と検証部６０１に適用した場合のフロー例である。

（１）移動体情報検証装置６００（サービス提供者）は、移動体情報記憶装置３に署名鍵を格納し、検証鍵を保管する（Ｓ３０）。
（２）移動体情報記憶装置３の移動体情報記憶部３２は、「移動体情報」を記録（Ｓ３１）する。
（３）そして、移動体情報記憶装置３の改ざん防止部２０は、必要なタイミングで、署名鍵を用いて「完全性情報」を生成する（Ｓ３２）。
（４）そして、制御部２２は、記憶側通信部８０１を介して、移動体情報検証装置６００（サービス提供者）に「移動体情報」と、「装置側固有情報」と、「完全性情報」とを送信する（Ｓ３３）。
（５）サービス提供者の移動体情報検証装置６００は、検証側通信部８０２で「移動体情報」と、「装置側固有情報」と、「完全性情報」とを受信する（Ｓ３４）。
（６）検証部６０１が検証鍵を用いて検証（Ｓ３５）した後に、
（７）処理部７０１が「移動体情報」、「装置側固有情報」の処理を行う（Ｓ３６）。
（８）なお、図１８の例では、「完全性情報」を作成した後、「移動体情報」と、「装置側体固有情報」と、「完全性情報」とを送信しているが、図４のように、複数の「完全性情報」を作成した後、まとめて送信するようにしてもよい。

以上のように、「移動体情報」、「移動体固有情報」、「完全性情報」を記憶側通信部８０１により移動体情報検証装置６００に送信し、改ざんされていないことを検証した上でユーザに対するサービスを決定できるので、サービス提供者が信頼性の高い移動体情報保証システムを用いて、木目細かいサービスをユーザに提供することができる。

実施の形態９．
次に図１９を参照して実施の形態９を説明する。図１９は、実施の形態９の移動体情報保証システムを示す構成図である。実施の形態９は、実施の形態８の図１７に対して、移動体情報記憶装置３の記憶側通信部８０１が通信先（出力先）を認証する通信先認証部９０１（出力先認証部）を備えた構成である。なお、他の実施の形態と同様に、移動体情報記憶装置３には、分離防止部３０２を設けても良い。

通信先認証部９０１は、「移動体情報」、「装置側固有情報」、「完全性情報」を出力する場合に、送信先（出力先）を認証する。

次に動作について説明する。移動体情報記憶装置３の動作は実施の形態１、あるいは実施の形態８と同様である。
（１）すなわち、移動体情報記憶装置３は、「移動体情報」を保管し、「完全性情報」を生成する。
（２）そして、通信先認証部９０１は、記憶側通信部８０１が移動体情報検証装置６００（サービス提供者）に「移動体情報」、「装置側固有情報」、及び「完全性情報」を転送する前に、通信先である移動体情報検証装置６００（検証側通信部８０２）を認証する。認証する方法は、図１０に示したような乱数を使用する方法でもよい。
（３）そして、認証が成功した場合に、記憶側通信部８０１は、「移動体情報」、「装置側固有情報」、及び「完全性情報」を移動体情報検証装置６００に送信する。
（４）認証が失敗した場合、「移動体情報」等の送信は行わない。例えば、制御部２２は
、通信先認証部９０１による認証が失敗した情報を記憶部２１に記録する。
（５）その後、移動体情報検証装置６００は、検証側通信部８０２が受信した「移動体情報」、「装置側固有情報」、「完全性情報」を使用して、検証及び処理を行う。後の処理は実施の形態８と同様である。

以上のように、移動体情報記憶装置３は、記憶側通信部８０１により通信先（出力先）を認証し、正しい通信先であることを確認した後、「移動体情報」、「装置側固有情報」、「完全性情報」を送信（出力）する。このため、通信データを解析するなどの不正行為を防ぐことができ、サービス提供者に信頼性の高い移動体情報記憶装置３、あるいは移動体情報保証システムを提供することができる。

実施の形態１０．
次に図２０、図２１を参照して実施の形態１０を説明する。実施の形態１０は、実施の形態８を元にし、実施の形態８を示す図１７に対して、さらにＩＣカード１００１を備えたシステムである。実施の形態１０では、記憶側通信部８０１はＩＣカード１００１と通信する。なお、ＩＣカード１０１は、情報を記憶可能であるとともに携帯が可能である携帯型記憶媒体の一例である。例えば、携帯可能なメモリカードでもよい。あるいは、情報の記憶が可能な携帯電話でもよい。

図２０は、実施の形態１０の移動体情報保証システムを示す構成図である。実施の形態１０は、実施の形態８の図１７に対しＩＣカードを追加した点が異なる。

記憶側通信部８０１は、ＩＣカード１００１と通信し、「移動体情報」、「装置側固有情報」、及び「完全性情報」をＩＣカード１００１に送信（出力）する。

検証側通信部８０２は、ＩＣカード１００１と通信し、ＩＣカード１００１内の情報を読み出す。

ＩＣカード１００１は、交換型記憶媒体である。

検証側通信部８０２は、ＩＣカード１００１がユーザの自宅のＰＣ（Ｐｅｒｓｏｎａｌ
Ｃｏｍｐｕｔｅｒ）に接続された場合に、前記ＰＣからインタネットや携帯電話を介して「移動体情報」等を受信する構成でもよい。

あるいは、検証側通信部８０２は、サービス提供者の事務所に設置された専用端末、また、ガソリンスタンド、コンビニエンスストア、カーディーラ、車両整備工場に設置されたサービス提供者の専用端末にＩＣカード１００１が接続された場合、前記専用端末からインタネットや携帯電話を介して「移動体情報」等を受信する構成でもよい。インタネットを使用する場合、安全な通信路を構成するためにＳＳＬ（Ｓｅｃｕｒｅ Ｓｏｃｋｅｔ
Ｌａｙｅｒ）やバーチャルプライベートネットワークなどを使用すればよい。

なお、他の実施の形態と同様に、移動体情報記憶装置３には、分離防止部３０２や通信先認証部９０１を設けても良い。この場合、通信先認証部９０１は、ＩＣカード１００１を認証する。

次に動作について図２１を用いて説明する。図２１は、実施の形態６で示したデジタル署名を改ざん防止部２０と検証部６０１に適用した場合のフロー例である。
（１）移動体情報検証装置６００（サービス提供者）は、移動体情報記憶装置３に署名鍵を格納し、検証鍵を保管する。
（２）移動体情報記憶装置３の移動体情報記憶部３２は、「移動体情報」を記録する。
（３）改ざん防止部２０は、必要なタイミングで署名鍵を用いて「完全性情報」を生成する。
（４）そして、記憶側通信部８０１は、ＩＣカード１００１に「移動体情報」、「装置側固有情報」、及び「完全性情報」とを送信する（Ｓ３３）。
（５）これらの情報がＩＣカード１００１に記録される（Ｓ４０）。
（６）ＩＣカード１００１内の情報は、検証側通信部８０２によって読み出される（Ｓ３４）。
（７）移動体情報検証装置６００の検証部６０１が検証鍵を用いて検証した後に、処理部７０１が「移動体情報」や「装置側固有情報」の処理を行う。

図２１の例では、「完全性情報」を作成した後、「移動体情報」、「装置側固有情報」及び「完全性情報」を送信しているが、図４のように、複数の「完全性情報」を作成した後、まとめて送信するようにしてもよい。

以上のように、ＩＣカード１００１を使用するので、システムを簡便に構築することができる。

実施の形態１１．
次に図２２を参照して実施の形態１１を説明する。システム構成は、図１７の実施の形態８と同様である。なお、他の実施の形態と同様に、移動体情報記憶装置３には、分離防止部３０２や通信先認証部９０１を設けても良い。

実施の形態１１は、記憶側通信部８０１が、予め設定された時間間隔で、「移動体情報」、「装置側固有情報」、及び「完全性情報」を送信（出力）する実施形態である。
「予め設定された時間間隔」として、
まずは「移動体情報ａ」、「完全性情報ａ」、「装置側固有情報ａ」を送信し、
次に、「移動体情報ｂ」、「完全性情報ｂ」、「装置側固有情報ａ」を送信し、
次に、「移動体情報ｃ」、「完全性情報ｃ」、「装置側固有情報ａ」を送信というように、記憶側通信部８０１が、できる限り休み無く常時、送信するように「時間間隔」を設定しておく。ここで「装置側固有情報ａ」のみ変わらないが、「装置側固有情報ａ」は移動体を特定するための情報であり通常、変化はない。

図２２は、実施の形態６で示したデジタル署名を改ざん防止部２０と検証部６０１に適用し、常時、「移動体情報」等を送信する場合のフロー例である。
（１）移動体情報検証装置６００（サービス提供者）は、移動体情報記憶装置３に署名鍵を格納し、検証鍵を保管する（Ｓ３０）。
（２）移動体情報記憶装置３の移動体情報記憶部３２は、「移動体情報」を記録する（Ｓ３１）。
（３）移動体情報記憶装置３の改ざん防止部２０は、署名鍵を用いて「完全性情報」を生成する（Ｓ３２）。
（４）そして、記憶側通信部８０１は移動体情報検証装置６００（サービス提供者）に「移動体情報」、「装置側固有情報」と「完全性情報」を送信する（Ｓ３３）。
（５）移動体情報記憶装置３は、この処理を繰り返す。移動体情報検証装置６００は、検証側通信部８０２で「移動体情報」、「装置側固有情報」、「完全性情報」を受信（Ｓ３４）する。
（６）検証部６０１は、検証鍵を用いて検証（Ｓ３５）し、
（７）その後に、処理部７０１が「移動体情報」や「装置側固有情報」の処理を行う（Ｓ３６）。
なお、通信先認証部９０１を備えた図１９と同一の構成を用いても実現できることはいうまでもない。この場合、通信開始時や通信路が途切れて、再接続した場合に通信先を認証
するようにすればよい。

以上のように、記憶側通信部８０１が、「移動体情報」、「装置側固有情報」、「完全性情報」を、移動体情報検証装置６００（サービス提供者）に、常時、送信する時間間隔で送信しているので、記憶部２１の記憶容量を少なくすることができる。

実施の形態１２．
次に図２３を参照して実施の形態１２を説明する。以上の実施の形態では、移動体情報記憶装置３から出力される情報の完全性を証明していたが、移動体１に設置されたセンサ２ａ等が改ざんされた場合には対抗できていない。そこで、実施の形態１２では、センサ２ａ等が正当なものであることを確認する実施形態を示す。

図２３は、センサを認証する場合の移動体情報保証システムにおける移動体情報記憶装置３の構成図である。図２３は、実施の形態１を示す図２に対して、センサ確認部１２０１を追加した構成である。なお、他の実施の形態と同様に、移動体情報記憶装置３には、分離防止部３０２、記憶側通信部８０１、通信先認証部９０１等を設けても良い。

センサ確認部１２０１は、移動体情報記憶装置３に設けられ、移動体情報記憶装置３に接続されているセンサ２ａ等を確認する機能を有する。図２３は、センサ確認部１２０１は、制御部２２を介してセンサ２ａ等を確認する構成になっているが、センサ２ａ等と直接接続して確認する構成でもよい。

次に動作について説明する。
（１）センサ確認部１２０１は、必要なタイミングで、移動体情報記憶装置３に接続されているセンサ２ａ，センサ２ｂ，センサ２ｃ等の確認を行う。確認する方法は、図９、あるいは図１０に示したような移動体を確認する方法と同様の方法を採ることができる。すなわち、図９に示した方法と同様に、センサ２ａ等の有する「センサ固有情報」を用いた方法でもよし、あるいは、図１０に示したような乱数を使用した方法でもよい。
（２）センサ確認部１２０１による確認の結果、センサ２ａ等が正当であれば、制御部２２は、「移動体情報」を移動体情報記憶部３２に記録する。以上の処理を移動体情報記憶装置３は、接続されているすべてのセンサに対して行う。

センサの確認を行うタイミングは、エンジン始動時、一定もしくはランダムな時間毎、「移動体情報」の取出し時などでよい。応答が無かった場合や確認の結果が不正なセンサである場合の処理は、サービス提供者に依存するが、「移動体情報」の記録を中止しても良い。あるいは応答が無かったことを記憶部２１に記録し「装置側固有情報」とともに移動体情報検証装置６００に送信してもよい。あるいは、不正なセンサであることを記憶部２１に記録し、「装置側固有情報」とともに移動体情報検証装置６００に送信してもよい。

以上のように、移動体情報記憶装置３は、センサ確認部１２０１が接続されているセンサが正当であるかどうかを確認するので、センサに対する不正を防ぎ、さらに情報の信頼性を高めることができる。

実施の形態１３．
次に図２４、図２５を参照して実施の形態１３を説明する。以上の実施の形態では、移動体情報記憶装置３において、すべての「移動体情報」を移動体情報記憶部３２に記録する例を示していた。すなわち、移動体情報が速度情報とすれば、いかなる速度でも記録していた。実施の形態１３では、記憶するべき移動体情報について条件を設定しておき、設定済みの条件に合致する移動体情報のみを記録する実施形態である。

図２４は、実施の形態１３の移動体情報記憶装置３の構成図である。図２４は、実施の形態１の図２に対して範囲判定部１３０１（条件判定部）を備えた構成である。なお、他の実施の形態と同様に、移動体情報記憶装置移動体情報記憶装置３には、分離防止部３０２、記憶側通信部８０１、通信先認証部９０１、センサ確認部１２０１等を設けても良い。

図において、範囲判定部１３０１は、「移動体情報」が、「予め設定された条件」に合致するかどうかを判定し、合致すると判定した場合に移動情報を移動体情報記憶部３２に記憶させる。その例えば、範囲判定部１３０１は、「移動体情報」が設定された範囲を超えた場合に記録する。範囲判定部１３０１は、「予め設定された範囲」（条件の一例）にあるか否かを判定する。なお、本実施の形態１３では、範囲判定部１３０１は制御部２２に接続されているが、センサと制御部２２の間に設置し、範囲外の場合（範囲を超える場合）に制御部２２に「移動体情報」を出力し、範囲内の場合は出力しない構成にしてもよい。

次に、図２５を参照して動作を説明する。図２５は、センサとして速度センサを例に、この速度センサが検出した速度情報を例とした「移動体情報」と時間経過との関係を示す。移動体情報記憶装置３に入力もしくは生成された「移動体情報」は、範囲判定部１３０１により設定された範囲外であるか判定される。範囲外の場合、移動体情報記憶部３２に、該当する「移動体情報」（例えば前記速度情報）を記録する。図２５中、点線までが設定された範囲とすると、実施の形態１３では、点線を超える斜線の部分に相当する速度情報を記録する。

また、他の例では、急発進の回数が設定された規定回数以上になった場合に、その旨を「移動体情報」として記録することもできる。

以上のように、実施の形態１３の移動体情報記憶装置３では、範囲判定部が、あらかじめ設定された範囲外の「移動体情報」を記録し、範囲内の「移動体情報」は記録しないので、移動体情報記憶部の記憶容量を少なくすることができる。

実施の形態１４．
次に、図２６〜図２８を参照して実施の形態１４を説明する。以上の実施の形態では、ユーザは、一つのサービスしか受けることができなかった。本実施の形態１４は、複数のサービス受けることが可能な実施形態を示す。

図２６は、実施の形態１４の移動体情報保証システムにおける移動体情報記憶装置３の構成図である。図２６は、図２の移動体情報記憶装置３に対して、選択部１４０１を備えた構成である。なお、他の実施の形態と同様に、移動体情報記憶装置３には、分離防止部３０２、記憶側通信部８０１、通信先認証部９０１、センサ確認部１２０１、範囲判定部１３０１等を設けても良い。

図２６において、移動体情報記憶装置３内の選択部１４０１は、サービス提供者に対応する複数のサービス情報を管理し、それぞれに対応する「移動体情報」を作成する。

図２６において、選択部１４０１は、それぞれのセンサに基づくそれぞれの移動体情報を入力し、サービス情報として予め設定された条件に基づいて、それぞれの移動体情報のうちから少なくとも一つの移動体情報を選択する。移動体情報群記憶部３４は、選択部１４０１が選択した一つあるいは複数の移動体情報から構成されるグループを移動体情報群として記憶する。改ざん防止部２０は、移動体を特定可能な特定情報を取得し、取得した
特定情報と移動体情報群記憶部が記憶した移動体情報群とに基づいて、前記特定情報と前記移動体情報群に含まれる前記移動体情報との少なくともいずれかに対する改ざんの有無を検証するために使用する「完全性情報」を生成する。完全性情報記憶部３３は、改ざん防止部２０が生成した完全性情報情報を記憶する。

次に図２７を参照して移動体情報記憶装置３の具体的な動作を説明する。図２７は、移動体情報記憶装置３と各移動体情報検証装置６００Ａ、６００Ｂとのやり取り示すシーケンス図である。ここで各移動体情報検証装置６００Ａ、６００Ｂは、例えば実施の形態６に示した移動体情報検証装置６００と同様である。図２７は、実施の形態６で示したデジタル署名を改ざん防止部２０と検証部６０１に適用した場合のフロー例である。図２７の例では、複数のサービス提供者として、サービス提供者Ａとサービス提供者Ｂを示している。

（１）サービス提供者Ａ（移動体情報検証装置６００Ａ）は、移動体情報記憶装置３に署名鍵Ａと使用する「移動体情報」を示したサービス情報Ａとを格納し、検証鍵Ａを保管する（Ｓ５０）。
（２）同様の処理をサービス提供者Ｂ（移動体情報検証装置６００Ｂ）も行う（Ｓ５１）。
（３）移動体情報記憶装置３の選択部１４０１は、格納された各サービス情報を基に、例えば図２８に示すサービス管理テーブル１４０２を作成する。図２８の例では、「１」は使用すること、「０」は使用しないことを示している。すなわち、サービスＡでは「移動体情報Ｘ」と「移動体情報Ｙ」を使用し、サービスＢでは「移動体情報Ｘ」と「移動体情報Ｚ」を使用する。また、選択部１４０１は、格納された署名鍵と対応するサービスの関係も管理する。
（４）そして、選択部１４０１は、各移動体情報とサービス管理テーブル１４０２とを用いて、各サービスに必要な「移動体情報」を選択して、「移動体情報群Ａ」（選択情報群）と「移動体情報群Ｂ」（選択情報群）を作成する（Ｓ５２）。
（５）選択された「各移動体情報群」は、記憶部２１の移動体情報群記憶部３４（選択情報群記憶部）に記録される。
（６）改ざん防止部２０は、必要なタイミングで、それぞれに対応した署名鍵を用いて、「移動体情報群」と「装置側固有情報」とに基づき、「完全性情報」を生成する（Ｓ５３）。この時、選択部１４０１は、格納された署名鍵と対応するサービスの関係も管理しているので、改ざん防止部２０は、対応する署名鍵を用いて「完全性情報」を生成することができる。
（７）そして、移動体情報記憶装置３は、サービス提供者（移動体情報検証装置）に応じて、「移動体情報群」、「装置側固有情報」、「完全性情報」を出力する。
（８）図２７では、「移動体情報群Ａ」、「装置側固有情報」、「完全性情報Ａ」を出力する（Ｓ５４）。
（９）サービス提供者Ａの移動体情報検証装置６００Ａは、「移動体情報群」、「装置側固有情報」と「完全性情報」を取得し、検証・処理する。例えば、サービス提供者Ａの移動体情報検証装置６００Ａは「移動体情報群Ａ」、「装置側固有情報」と「完全性情報Ａ」を取得（Ｓ５５）し、検証（Ｓ５６）・処理（Ｓ５７）を行う。

なお、この例では、「完全性情報」を作成した後、「移動体情報」、「装置固有情報」と「完全性情報」を出力しているが、「完全性情報」を記憶部２１の完全性情報記憶部３３に記録される前に作成した後、まとめて出力する形態でもよいし、実施の形態１１を示す図２２のように、常時、「移動体情報群」と「完全性情報」とを出力する形態でもよい。

以上のように、移動体情報記憶装置３では複数のサービスに対応した「移動体情報」を
管理・記録することができるので、１台の移動体情報記憶装置３で複数のサービスを受けることができ、また、サービスを追加することが出来る。

実施の形態１５．
実施の形態１４の移動体情報記憶装置３では、サービスに対応して複数の「移動体情報」を記録していた。実施の形態１５は、記録された「移動体情報」から選択して、複数のサービスに対応した「移動体情報群」を作成する実施形態を示す。
このような場合の移動体情報保証システムにおける移動体情報記憶装置３とセンサ群２は、実施の形態１４の図２６と同じ構成で実現できる。なお、他の実施の形態と同様に、移動体情報記憶装置３には、分離防止部３０２、記憶側通信部８０１、通信先認証部９０１、センサ確認部１２０１、範囲判定部１３０１、選択部１４０１を設けても良い。

次に動作について説明する。
（１）移動体情報記憶装置３は、すべての「移動体情報」を記憶部２１の移動体情報記憶部３２に記録する。
（２）そして、「移動体情報」を移動体情報記憶装置３の外部に出力する際に、選択部１４０１が、サービス情報を参照し、移動体情報記憶部３２から必要な種類の「移動体情報」を選択する。
（３）改ざん防止部２０は、選択部１４０１により選択された移動体情報から構成される「移動体情報群」（選択情報群）と、「装置側固有情報」（特定情報）とから「完全性情報」を作成する。
（４）この時、選択部１４０１は、格納された署名鍵と対応するサービスの関係も管理しているので、改ざん防止部２０は、「完全性情報」の生成に際し、対応する署名鍵を用いることができる。
（５）その後、サービス提供者の移動体情報検証装置６００は、選択された「移動体情報群」、「装置側固有情報」とその「完全性情報」を取得し、検証・処理を行う。

このように、実施の形態１５の移動体情報記憶装置３は、選択部１４０１が、記録された「移動体情報」から必要な情報を選択して送信するので、複数のサービスに対応可能することができるとともに、少ない記憶容量で複数サービスに対応することができる。また、サービスを追加することが出来る。

実施の形態１６．
次に図２９を参照して実施の形態１６を説明する。以上の実施の形態では、ユーザの了解を得た上で移動体情報記憶装置３から「移動体情報」を出力することはできなかった。例えば、実施の形態８において、通信方式に携帯電話を用いた場合は、通信コストがかかる。よって、情報の送信時にユーザの同意を得ることは重要である。そこで、実施の形態１６では、「移動体情報」を出力する際に、ユーザに同意を求める実施形態を示す。

図２９は、実施の形態１６の移動体情報保証システムにおける移動体情報記憶装置３の構成図である。図２９は、実施の形態１の図２０の移動体情報記憶装置３に対してマンマシンインタフェース部１６０１（命令部の一例）を備えた構成である。なお、他の実施の形態と同様に、移動体情報記憶装置３には、分離防止部３０２、記憶側通信部８０１、通信先認証部９０１、センサ確認部１２０１等を設けても良い。

マンマシンインタフェース部１６０１は、ユーザに移動体情報記憶装置３の操作を提供し、処理結果等を応答する。マンマシンインタフェース部１６０１は、操作者による操作を受け付け、受け付けた操作に基いて、記憶側通信部８０１に対して送信（出力）を命じる。記憶側通信部８０１は、マンマシンインタフェース部１６０１からの命令に応答して、「移動体情報」、「装置側固有情報」、「完全性情報」とを出力する。

具体的には、このような構成において、「移動体情報」を出力する必要がある場合に、マンマシンインタフェース部１６０１は、ユーザから、所定の操作による出力命令を受け付ける。マンマシンインタフェース部１６０１は、ユーザからの出力命令を受け付けると、記憶側通信部８０１に出力を命じる。記憶側通信部８０１は、マンマシンインタフェース部１６０１から出力を命じられた場合、記録されている「移動体情報」、「装置固有情報」、「完全性情報」を出力する。

また、マンマシンインタフェース部１６０１が、ユーザから出力命令を入力された後に「移動体情報」と「装置側固有情報」とから「完全性情報」を生成し、これらを出力する構成でもよい。なお、「移動体情報」を出力するタイミングは、サービス提供者のユーザへの要求、記憶部２１の残記憶容量から、移動体情報記憶装置３が判断してマンマシンインタフェース部１６０１を介してユーザに推奨してもよい。

このように、出力時にユーザの同意を得ることができるので、ユーザは自身が納得した通信コストによってサービス提供者は「移動体情報」を取得することができる。

実施の形態１７．
次に図３０、図３１を参照して実施の形態１７を説明する。以上の実施の形態では、正当なユーザやサービス提供者以外の第三者によって移動体情報記憶装置３から「移動体情報」が出力されてしまう恐れがあった。例えば、実施の形態１０では、第三者が保有する自身のＩＣカードを利用して「移動体情報」を移動体情報記憶装置３から取り出し、正当なユーザがサービスを受けられなくなる恐れがある。また、実施の形態１６において、第三者が勝手に「移動体情報」や「完全性情報」を転送してしまう恐れがある。そこで、実施の形態１７では、「移動体情報」を出力する際に、正当なユーザやサービス提供者であることを認証する場合の実施形態を示す。

図３０は、このような場合の移動体情報保証システムにおける移動体情報記憶装置３の構成図である。図３０は、実施の形態１６の図２９に対して、さらに操作者認証部１７０１を備えた構成である。操作者認証部１７０１は、「移動体情報」を出力する前に、マンマシンインタフェース部１６０１から入力された情報を認証する。すなわち、操作者認証部１７０１は、マンマシンインタフェース部１６０１が操作者から受け付けた操作に基づいて、前記操作者が正当であるかどうかを認証する。そして、マンマシンインタフェース部１６０１は、操作者認証部１７０１が操作者を正当と認証した場合に、記憶側通信部８０１に対して出力を命じる。

操作者は、正当なユーザもしくはサービス提供者である。なお、他の実施の形態と同様に、分離防止部３０２、記憶側通信部８０１、通信先認証部９０１、センサ確認部１２０１、範囲判定部１３０１、選択部１４０１を移動体情報記憶装置３に設けても良い。

このような構成において、「移動体情報」を出力する際に、移動体情報記憶装置３は、マンマシンインタフェース部１６０１により、操作者に認証するための情報の入力（操作）を要求する。例えば、マンマシンインタフェース部１６０１がタッチパネルを備える構成を図３１に示す。図３１は、認証のメカニズムに操作者のみが知っている暗証番号を用いた場合のタッチパネル操作画面の例を示している。タッチパネル６２には、入力された暗証番号に対応してアスタリスクを表示する暗証番号応答画面６１が表示される。操作者は、本タッチパネル６２で暗証番号を入力（操作の一例）する。操作者認証部１７０１は、入力された暗証番号が、あらかじめ移動体情報記憶装置３に設定された暗証番号と一致すると判断した場合、正当な操作者であると認識（認証）する。マンマシンインタフェース部１６０１は、操作者認証部１７０１が、操作者を正当と認証した場合に、記憶側通信
部８０１に対して出力を命じる。記憶側通信部８０１は、この命令に応答して、「移動体情報」、「装置側固有情報」、「完全性情報」とを出力する。操作者認証部１７０１が、一致しない、すなわち操作者が正当ではないと判断した場合は、マンマシンインタフェース部１６０１は、出力を命じない。よって記憶側通信部８０１は、「移動体情報」、「装置側固有情報」、「完全性情報」を出力せずに、例えば、一致しない旨をタッチパネル６２に表示し、入力（操作）した操作者に報告する。

このように、実施の形態１７の移動体情報記憶装置３は、操作者認証部を備えるので、操作者を認証することで、正当な操作者のみによって「移動体情報」、「装置側固有情報」、「完全性情報」が移動体情報記憶装置３から出力ため、信頼性が高くなる。

実施の形態１８．
次に図３２を参照して実施の形態１８を説明する。以上の実施の形態では、「移動体情報」の完全性を維持するシステムであるが、機密性が維持されていない、すなわち第三者に盗聴される恐れがある。そこで、実施の形態１８は、「移動体情報」の機密性を維持するシステムの実施形態を示す。

図３２は、このような場合の移動体情報保証システムの構成図である。図３２は、実施の形態７を示す図１６に対して、移動体情報記憶装置３が暗号部１８０１を備え、移動体情報検証装置６００が復号部１８０２を備えた構成である。

暗号部１８０１は、「移動体情報」を暗号化する。復号部１８０２は、取得した情報を復号する。なお、他の実施の形態と同様に、移動体情報記憶装置３には、分離防止部３０２、記憶側通信部８０１、通信先認証部９０１、センサ確認部１２０１、範囲判定部１３０１、選択部１４０１、マンマシンインタフェース部１６０１などを設けても良い。

このような構成において、移動体情報記憶装置３は、「移動体情報」を出力する前に、他の実施の形態と同様に「完全性情報」を作成する。そして、「移動体情報」を暗号部１８０１により暗号化する。実施の形態１８では、「移動体情報」を暗号対象としているが、「完全性情報」や「装置側固有情報」を含めて暗号化してもよい。「完全性情報」を暗号対象にする場合、図１５で示したハッシュ値をそのまま「完全性情報」として使用することもできる。すなわち、「移動体情報」と合わせて暗号化しているので、署名鍵でハッシュ値を暗号化しなくてもよい。暗号化に使用する暗号鍵は、サービス提供者が予め移動体情報記憶装置３に格納しておく。そして、出力された暗号化された「移動体情報」は移動体情報検証装置６００の復号部１８０２により復号され、他の実施の形態と同じように処理される。

このように、暗号化された「移動体情報」を出力しているので、例えば通信路で盗聴された場合でも、ＩＣカード１００１を紛失した場合でも、「移動体情報」というユーザに関わる個人情報の機密性を維持することができ、サービス提供者は安心してサービスを提供することができる。

実施の形態１９．
次に図３３を参照して実施の形態１９を説明する。以上の実施の形態では、「移動体情報」は、実施の形態６を示す図１４や実施の形態７を示す図１６のように、直接サービス提供者（移動体情報検証装置）に出力される。本実施の形態１９では、仲介業者を介して出力するような場合の実施形態を示す。なお、他の実施形態と同様に、移動体情報記憶装置３には、分離防止部３０２、記憶側通信部８０１、通信先認証部９０１、センサ確認部１２０１、範囲判定部１３０１、選択部１４０１、マンマシンインタフェース部１６０１を設けても良い。

図３３は、このような場合の移動体情報保証システム全体の構成を示すブロック図である。図３３は、実施の形態７を示す図１６において、移動体情報検証装置６００の検証部６０１と処理部７０１を分割して、移動体情報検証装置６００ａ，移動体情報検証装置６００ｂとした構成である。検証部６０１を仲介業者の所有する移動体情報検証装置６００ａに設け、サービス提供者の所有する移動体情報検証装置６００ｂには処理部７０１のみを設ける。

以上の構成において、他の実施の形態と同様の手順にて、仲介業者は「移動体情報」、「装置側固有情報」、「完全性情報」を取得する。そして、検証部６０１にて「完全性情報」が検証され、改ざんされていないことが確認された「移動体情報」を保管する。サービス提供者は、仲介業者から「移動体情報」を受領して、処理部７０１で処理する。

以上のように、仲介業者が「移動体情報」の完全性を証明し、サービス提供者はその証明された「移動体情報」を利用することができるので、サービス提供者は、サービスの提供にリソースを投入することができる。また、ユーザは、サービス提供者が変わった場合、例えば保険事業者Ａから保険事業者Ｂに変更した場合でも、署名鍵を変更する必要がないので、移動体情報記憶装置３を変更することなく使用し続けることができる。さらに、異なる複数のサービス提供者のサービスを受ける場合、仲介業者は移動体情報記憶装置３からのすべての「移動体情報」を取得し、サービス提供者は必要な情報のみを仲介業者から入手することができるので、移動体情報記憶装置３に複数のサービスに対応した署名鍵や情報を格納する必要がなく、記憶部２１の記憶容量を少なくすることができる。

実施の形態２０．
次に図３４を参照して実施の形態２０を説明する。実施の形態２０は、移動体情報記憶装置３が少なくとも一つのセンサを備える構成である。実施の形態１〜実施の形態１９では、センサ群２は、移動体１側に装備されていた。図３４に示すように、実施の形態２０では、センサ群２は、移動体情報記憶装置３の内部に備えられている。

実施の形態２１．
次に図３５、図３６を用いて実施の形態２１を説明する。実施の形態２１は、実施の形態１の移動体情報記憶装置３の動作を、プログラム及びプログラムを記録した記録媒体により実施する実施形態である。

前記の実施の形態１においては、移動体情報記憶装置３における「〜部」として示した各構成要素の動作は互いに関連しており、動作の関連を考慮しながら、コンピュータに実施させる一連の処理（プログラム）に置き換えることができる。各構成要素の動作を一連の処理に置き換えることにより、情報記憶プログラムの実施形態とすることができる。また、この情報記憶プログラムを、コンピュータ読み取り可能な記録媒体に記録させることで、プログラムを記録したコンピュータ読み取り可能な記録媒体の実施の形態とすることができる。

図３５は、図２に示した移動体情報記憶装置３の
（１）移動体情報記憶部３２の動作、
（２）改ざん防止部２０の動作、
（３）完全性情報記憶部３３の動作、
コンピュータに実施させるための一連の処理に置き換えて移動体情報記憶プログラムの実施形態としたフローチャートを示す。

Ｓ２０１は、センサが検出した情報に基づく「移動体情報」（センサ情報）を記憶する
処理である。

Ｓ２０２は、移動体を特定可能な固有情報（特定情報）を取得し、取得した固有情報と記憶した「移動体情報」とに基づいて「完全性情報」（改ざん検証用情報）を生成する処理である。

プログラムの実施の形態及びプログラムを記録したコンピュータ読み取り可能な記録媒体の実施の形態は、すべてコンピュータで動作可能なプログラムにより構成することができる。

図３６は、移動体情報記憶装置３の動作を実行するコンピュータシステム８０５のハードウェア構成図である。図３６において、コンピュータシステム８０５は、プログラムを実行するＣＰＵ（Ｃｅｎｔｒａｌ Ｐｒｏｃｅｓｓｉｎｇ Ｕｎｉｔ）８１０を備えている。ＣＰＵ８１０は、バス８２５を介してＲＯＭ８１１、センサ８１２、通信ボード８１３及び磁気ディスク装置８２０と接続されている。

磁気ディスク装置８２０には、オペレーティングシステム（ＯＳ）８２１、プログラム群８２３、ファイル群８２４が記憶されている。プログラム群８２３は、ＣＰＵ８１０、ＯＳ８２１により実行される。

上記プログラム群８２３には、実施の形態１の説明において「〜部」として説明した機能を実行するプログラムが記憶されている。プログラムは、ＣＰＵ８１０により読み出され実行される。

また、ファイル群８２４には実施の形態１で説明した「装置側固有情報」、「移動体情報」「完全性情報」などが記憶されている。

図２において「〜部」として説明したものは、ＲＯＭ８１１に記憶されたファームウェアで実現されていても構わない。或いは、ソフトウェアのみ、或いは、ハードウェアのみ、或いは、ソフトウェアとハードウェアとの組み合わせ、さらには、ファームウェアとの組み合わせで実施されても構わない。

プログラムの実施の形態及びプログラムを記録したコンピュータ読み取り可能な記録媒体の実施の形態における各処理は、プログラムで実行されるが、このプログラムは、前述のようにプログラム群８２３に記録されている。そして、プログラム群８２３からＣＰＵ８１０に読み込まれ、ＣＰＵ８１０によって、プログラムの各処理が実行される。また、ソフトウェア、あるいはプログラムは、ＲＯＭ８１１に記憶されたファームウェアで実行されても構わない。あるいは、ソフトウェアとファームウェアとハードウェアの組み合わせでプログラムを実行しても構わない。

この実施の形態２１のプログラムは、「移動体情報」と固有情報との完全性を証明する「完全性情報」を生成する処理をコンピュータである移動体情報記憶装置に実行させるので、移動体１と「移動体情報」との対応が明確になり、信頼性の高い「移動体情報」を記憶する移動体情報記憶装置をサービス提供者に提供することができる。

以上の実施の形態では、移動状況や移動状態に関わる情報を検出する複数のセンサを有した、人が乗車可能な移動体において、前記センサの情報を記憶する記憶手段と、記憶している情報と移動体の固有情報の改ざんを防止する改ざん防止手段と、これらの動作を制御する制御手段とを備えた移動体情報記憶装置を説明した。

以上の実施の形態では、前記制御手段は、前記センサの情報を演算することを特徴とする移動体情報記憶装置を説明した。

以上の実施の形態では、前記移動体情報記憶装置が移動体から分離することを防ぐ分離防止手段を備えたことを特徴とする移動体情報記憶装置を説明した。

以上の実施の形態では、前記分離防止手段は、バッテリを備えたことを特徴とする移動体情報記憶装置を説明した。

以上の実施の形態では、前記分離防止手段は、分離した場合に移動体情報記憶装置内の情報を消去することを特徴とする移動体情報記憶装置を説明した。

以上の実施の形態では、前記移動体情報記憶装置で生成された情報に対する改ざんの有無を検証する検証部を備えたことを特徴とする移動体情報検証装置を説明した。

以上の実施の形態では、移動状況や移動状態に関わる情報を検出する複数のセンサを有した、人が乗車可能な移動体において、前記センサの情報を記憶する記憶手段と、記録された情報の改ざんを防止する改ざん防止手段と、これらの動作を制御する制御手段とを備えた移動体情報記憶装置と、及び／または前記センサの情報を演算する演算手段と、及び／または前記移動体情報記憶装置が移動体から分離することを防ぐ分離防止手段と、入力された情報に対する改ざんの有無を検証する検証部とを備えたことを特徴とする移動体情報保証システムを説明した。

以上の実施の形態では、移動状況や移動状態に関わる情報を検出する複数のセンサを有した、人が乗車可能な移動体において、前記センサの情報を記録する記録手段と、記録された情報の改ざんを防止する改ざん防止手段と、これらの動作を制御する制御手段とを備えた移動体情報記憶装置と、及び／または前記センサの情報を演算する演算手段と、及び／または前記移動体情報記憶装置が移動体から分離することを防ぐ分離防止手段と、入力された情報に対する改ざんの有無を検証する検証部と、前記検証部の出力を参照して処理を行う処理手段とを備えたことを特徴とする移動体情報保証システムを説明した。

以上の実施の形態では、前記移動体情報記憶装置は、移動体外部の機器と通信する通信手段を備えたことを特徴とする移動体情報記憶装置及び移動体情報保証システムを説明した。

以上の実施の形態では、前記通信手段は、通信先を認証し、正しい通信先の場合にのみ通信することを特徴とする移動体情報記憶装置及び移動体情報保証システムを説明した。

以上の実施の形態では、前記通信手段は、ＩＣカードと通信し、装置に記憶している情報をＩＣカードに送信することを特徴とする移動体情報記憶装置及び移動体情報保証システムを説明した。

以上の実施の形態では、装置内の情報を移動体外部の機器に無線通信にて常時送信することを特徴とする移動体情報記憶装置及び移動体情報保証システムを説明した。

以上の実施の形態では、前記移動体情報記憶装置は、前記センサの真正性を確認する手段を備えたことを特徴とする移動体情報記憶装置及び移動体情報保証システムを説明した。

以上の実施の形態では、前記移動体情報記憶装置は、設定された範囲外の情報を記録す
ることを特徴とする移動体情報記憶装置及び移動体情報保証システムを説明した。

以上の実施の形態では、前記移動体情報記憶装置は、複数のサービス提供者のサービス情報を記録し、前記サービス情報に基づき、複数のサービスに対応した複数の情報を記録することを特徴とする移動体情報記憶装置及び移動体情報保証システムを説明した。

以上の実施の形態では、前記移動体情報記憶装置は、複数のサービス提供者のサービス情報を記録し、前記サービス情報に基づき、記録されたすべての移動体情報から選択して必要な情報を取り出すことを特徴とする移動体情報記憶装置及び移動体情報保証システムを説明した。

以上の実施の形態では、前記移動体情報記憶装置は、ユーザの指示を受けるマンマシンインタフェース手段を備え、ユーザの指示によって移動体情報を出力することを特徴とする移動体情報記憶装置及び移動体情報保証システムを説明した。

以上の実施の形態では、前記移動体情報記憶装置は、移動体情報を出力する際にユーザを認証することを特徴とする移動体情報記憶装置及び移動体情報保証システムを説明した。

以上の実施の形態では、前記移動体情報記憶装置は、移動体情報を暗号化する手段を備えたことを特徴とする移動体情報記憶装置及び移動体情報保証システムを説明した。

以上の実施の形態では、入力された情報に対する改ざんの有無を検証する検証部と、前記検証部の出力を参照して処理を行う処理手段とを異なるサーバで構成したことを特徴とする移動体情報保証システムを説明した。

実施の形態２２．
図３７〜図３９を用いて実施の形態２２を説明する。実施の形態２２は、「環境情報」を収集し記憶する環境情報記憶装置に関する実施形態である。実施の形態２２は、実施の形態１に対応する。ここで「環境情報」とは、物の運搬環境や保管環境などにかかわる情報であって、例えば、温度、湿度、照度、空気圧、日時、位置、ゆれ、重量、傾斜、圧力、音、風力、不純物度、扉の開閉などの情報である。

図３７は、この実施の形態２２の環境情報記憶装置２００３（情報記憶装置の一例）の構成を示すブロック図である。環境情報記憶装置２００３は、複数のセンサ２００２ａ〜２００２ｃからなるセンサ群２００２の各センサから情報を入力する。具体的には、環境情報記憶装置２００３は、車両や鉄道、航空機、船舶など物を運搬可能な交通手段における荷室や荷台、貨物室、コンテナ、あるいは倉庫などの運搬、保管のために物を置く場所に配置されたセンサ群２００２の各センサから情報を入力する。

図３７において、
（１）物２００１は、保管中や運搬中の何らかの物である。
（２）センサ群２００２を構成する各センサ２００２ａ等は、上記の「荷室や荷台、貨物室、コンテナ、倉庫」などの場所に設置される。各センサ２００２ａ等は、物の運搬環境や保管環境に関わる環境情報を検出する。
（３）環境情報記憶装置２００３は、接続されているセンサ２００２ａ等が検出した環境情報を記憶する。

センサ２００２ａ等は、自身が検出した情報を演算し、演算結果を環境情報として環境情報記憶装置２００３に出力しても構わない。あるいは後述の実施の形態２３のように、環境情報記憶装置２００３は、各センサ２００２ａ等から情報を入力して演算処理し、処理結果を環境情報として記憶する構成でも構わない。あるいは、環境情報記憶装置２００３は、センサが検出した演算前の情報を入力し、入力した情報を演算処理することなく環境情報として記憶する構成でも構わない。センサによる演算結果、あるいは環境情報記憶装置２００３による演算結果、あるいはセンサから入力した情報としての環境情報には、例えば、設定された範囲外に達した異常な温度や湿度、その回数、扉の開閉回数、運搬中や保管中の映像情報などがある。このように、本明細書において、「環境情報」とは、センサが検出した情報であって演算していない情報、センサ自身が検出であってセンサが演算処理した情報、及びセンサが検出した情報であって環境情報記憶装置２００３が演算処理した情報（演算結果）とのいずれをも含むものである。すなわち、「環境情報」（センサ情報の一例）とは、センサから入力した情報に基づく情報である。ここで「基づく」とは、前記のように、センサが検出した情報であって演算処理していない情報と、センサが検出した情報であってセンサが演算処理した情報と、センサが検出した情報であって環境情報記憶装置２００３が演算処理した情報とのいずれも含む意味である。

また、環境情報記憶装置２００３は、センサと同じ場所に設置されてもよいし、センサとは別の場所に設置されても構わない。例えば倉庫の場合を例にとれば、センサと環境情報記憶装置２００３とを倉庫内に設置してもよいし、環境情報記憶装置２００３を倉庫外の事務所などに設置してもよい。

さらに、センサと環境情報記憶装置２００３との間の接続は、有線による接続でも良いし、無線による接続でも構わない。

図３７を参照して環境情報記憶装置２００３の構成を説明する。環境情報記憶装置２００３は、環境情報や後述する特定情報、後述する完全性情報を記憶する記憶部２０２１と、記憶部２０２１に記録されている環境情報の完全性（改ざんされていないこと）を証明する完全性情報を生成する改ざん防止部２０２０（改ざん検証用情報生成部の一例）と、これらの動作を制御する制御部２０２２（情報入力部の一例）とを備える。記憶部２０２１は、特定情報を記憶する装置側特定情報記憶部２０３１と、環境情報を記憶する環境情報記憶部２０３２（センサ情報記憶部の一例）と、完全性情報を記憶する完全性情報記憶部２０３３（改ざん検証用情報記憶部の一例）とを備える。記憶部２０２１は、ハードディスクやＥＥＰＲＯＭ、ＲＡＭなどの半導体メモリを用いて実現することができる。

次に、図３８を用いて動作を説明する。
（１）環境情報記憶装置２００３の制御部２０２２は、「必要なタイミング」から、センサが検出（Ｓ２１０１）した環境情報の記録を開始する。この「必要なタイミング」は、一例として、交通手段であればエンジン始動時であり、倉庫や貨物室、コンテナであれば扉が閉まった時である。あるいは、この「必要なタイミング」は、環境情報記憶装置２００３に別途設けられたスイッチ（図示していない）がオンされた時や、照度センサで明るさを検出し暗くなった時のように、一つあるいは複数のセンサが検出した環境情報が、予め設定された範囲内に入った時など、物の運搬や保管が開始されるタイミングでよい。
（２）制御部２０２２には、接続しているすべてのセンサが検出した環境情報が入力される。そして、制御部２０２２は、環境情報を記憶部２０２１の環境情報記憶部２０３２に記憶する（Ｓ２１０２）。
（３）装置側特定情報記憶部２０３１は、予め特定情報を記憶している。ここで「特定情報」とは、センサが配置される環境、あるいは環境情報記憶装置２００３が予め装備されることが指定される場所を特定可能な情報であり、具体的には、「特定情報」とは、荷室が一つのトラックなどの運搬自動車であれば、そのナンバープレート情報や車体番号、製造番号などであり、荷室やコンテナを特定できる情報である。そして、改ざん防止部２０２０は、必要なタイミングに、制御部２０２２の命令により、記憶部２０２１の環境情報記憶部２０３２に記憶されている環境情報と、記憶部２０２１の装置側特定情報記憶部２０３１に記憶されているその環境を特定できる特定情報とを基に、完全性情報を生成する（Ｓ２１０３）。
（４）ここで「完全性情報」（改ざん検証用情報の一例）とは、環境情報などが改ざんされているかどうかを検証するために使用する情報である。本実施の形態２２では、改ざん防止部２０２０は、環境情報と特定情報とを基に完全性情報を生成する。この場合、完全性情報は、特定情報と環境情報との少なくともいずれかに対する改ざんの有無を検証するために使用される。また、実施の形態２７の図４９で後述するように、改ざん防止部２０２０は、環境情報を基に完全性情報を生成しても構わない。この場合、完全性情報は、環境情報に対する改ざんの有無を検証するために使用される。完全性情報を生成する方法としては、一例として、デジタル署名がある。改ざん防止部２０２０が生成する「完全性情報」の具体例は、実施の形態２６で後述する。
（５）生成された完全性情報は、記憶部２０２１の完全性情報記憶部２０３３に記憶される。あるいは完全性情報記憶部２０３３に記憶された完全性情報は、環境情報記憶装置２００３の外へ環境情報と共に出力される。これらは、環境情報記憶装置２００３が適用されているシステムに依存する。環境情報記録装置２０００３の制御部２０２２は、改ざん防止部２０２０の生成した完全情報を完全性情報記憶部２０３３に記録する際、完全性情報と、その生成の基になった環境情報との対応関係を管理する。この管理により、完全性情報とその生成の基になった環境情報との対応関係が明確になる（Ｓ２１０４）。
（６）図３９は、環境情報と完全性情報との対応関係の管理例を示す。図３９において、「環境情報ａ」は「完全性情報ａ」に対応し、「環境情報ｂ」は「完全性情報ｂ」に対応する。「環境情報ｃ」については、対応する完全性情報がまだ生成されていない状態を表している。このような管理により、完全性情報とその生成の基になった環境情報との対応関係が明確になる。
（７）完全性情報の生成タイミングは、本実施の形態２２の環境情報記憶装置２００３の適用先に依存するが、例えば、扉の開閉などのイベント発生時に完全性情報が生成されていない環境情報が記憶部２０２１にあった時や、環境情報を環境情報記憶装置２００３外に出力する時、環境情報が環境情報記憶装置２００３に入力された時、予め設定されたイベントが発生した時などがある。

以上のように、環境情報記憶装置２００３の内部にて、改ざん防止部２０２０が環境情報の完全性を証明する完全性情報を生成するので、環境情報を記憶する信頼性の高い環境情報記憶装置を実現することができる。

実施の形態２３．
次に、図４０を用いて実施の形態２３を説明する。実施の形態２３は、環境情報記憶装置２００３の制御部２０２２が、センサの検出した信号を処理する実施形態である。本実施の形態２３は、実施の形態２に対応する。

図４０は、本実施の形態２３の環境情報記憶装置２００３の構成を示す。図４０の環境情報記憶装置２００３は、図３７の環境情報記憶装置２００３と同様の構成であるが、図４０の場合、制御部２０２２が、接続されているセンサの検出した情報を処理する装置側演算部２２０１を備える点が異なる。このような構成において、制御部２０２２は、センサが検出した情報を装置側演算部２２０１により処理し、処理結果を環境情報として記憶部２０２１の環境情報記憶部２０３２に記憶する。このような処理結果で得られる情報には、例えば、環境情報が設定された範囲外に達した時の情報や、イベントが発生した時の環境情報やその回数、扉の開閉回数、運搬中や保管中の映像情報などがある。

以上のように、制御部２０２２が、センサの検出した信号を演算処理する装置側演算部２２０１を備えたので、取得するべき情報によっては、センサを追加することなく多種多様の移動状況や移動状態を取得して記憶できる。また、環境情報記憶装置２００３は、設定された範囲外の環境情報やイベントが発生した回数だけを環境情報記憶部２０３２に記録できるので、環境情報記憶装置２００３のメモリ容量を減らすことができる。

なお、本実施の形態２３では演算結果を環境情報として記憶しているが、センサが検出した情報も合わせて環境情報として記憶する構成でもよい。

また、以降の実施の形態における環境情報は、センサが検出した情報（演算処理していない情報、演算処理した情報）、及び制御部２０２２が演算した結果のいずれをも含むものとする。

実施の形態２４．
次に図４１、図４２を参照して実施の形態２４を説明する。実施の形態２２、実施の形態２３では、環境情報記憶装置２００３が、運搬中や保管中の物の環境情報を記憶する場合を説明した。しかし、実際に運搬中や保管中の物が、その環境に存在していることを確認していない。そこで、実施の形態２４は、物と環境との対応関係を明確にする構成を説明する。

図４１は、運搬中や保管中の物を置いておく場所における、本実施の形態２４の環境情報記憶装置２００３の構成を示すブロック図である。図４１の環境情報記憶装置２００３は、図３７に示した実施の形態２２の環境情報記憶装置２００３に対し、さらに、物２００１の存在を検出する存在検出部２０２３を備える。

存在検出部２０２３は、物２００１の存在を検出した場合に存在情報を出力する。図４１の構成において、環境情報記憶装置２００３は、存在検出部２０２３が出力した存在情報を環境情報とともに記憶部２０２１の環境情報記憶部２０３２に記憶する。そして、改ざん防止部２０２０は、環境情報と、特定情報と存在情報とをまとめた情報に対して完全性情報を生成する。
即ち、実施の形態２２では、改ざん防止部２０２０は、
「環境情報＋特定情報→完全性情報」
のように、環境情報と特定情報とから完全性情報を生成した。
これに対して実施の形態２４では、改ざん防止部２０２０は、
「環境情報＋特定情報＋存在情報→完全性情報」
のように、環境情報と特定情報と存在情報とから完全性情報を生成する。環境情報と特定情報と存在情報とから生成される完全性情報は、環境情報と特定情報と存在情報とのうち、少なくともいずれかに対する改ざんの有無を検証するために使用する情報である。

さらに具体的な場合を説明する。図４２は、運搬中や保管中の物を置いておく場所における、この実施の形態２４の環境情報記憶装置２００３とセンサとの構成を示すブロック図である。
（１）倉庫／コンテナ２０４０は、運搬中や保管中の物２００１を置いておく倉庫あるいはコンテナを示す。
（２）扉／蓋２０４１は、倉庫やコンテナに設けられた扉や蓋を示す。
（３）開閉検知センサ２０４２は、扉や蓋の開閉を検知する。
（４）無線タグ２０４３は、物２００１に搭載されるとともに、ユニークな識別情報を有する。
（５）無線タグリーダ２０４４は、無線タグ２０４３の識別情報を読み取る。
（６）識別情報比較部２０４５は、制御部２０２２に接続している。また、識別情報比較部２０４５は、無線タグリーダ２０４４から識別情報を入力し、前回入力した識別情報と今回入力した識別情報とを比較し、比較結果を存在情報として環境情報記憶部２０３２に出力する。図４１の存在検出部２０２３は、無線タグ２０４３と、無線タグリーダ２０４４と、識別情報比較部２０４５とにより構成される。
（７）なお、実施の形態２２で述べたように、環境情報記憶装置２００３は、倉庫やコンテナの外に設置されてもよい。

図４２のような構成において、扉／蓋２０４１が開いて物２００１が運び込まれると、環境情報記憶装置２００３の制御部２０２２は、開閉検知センサ２０４２からの信号により、扉が開いたことを検知する。この検知に連動して、識別情報比較部２０４５は、無線タグリーダ２０４４を介して無線タグ２０４３の識別情報を読み取り、記録する。識別情報比較部２０４５は、物２００１が複数ある場合には、無線タグリーダ２０４４を介して、それぞれの物に取り付けられたすべての無線タグの識別情報を読み取る。また、環境情報記憶装置２００３の制御部２０２２は、環境情報の記録を開始する。

運搬中や保管中、識別情報比較部２０４５は、無線タグリーダ２０４４を介して、必要なタイミングで、無線タグ２０４３の識別情報を読み取る。このタイミングは、常時読み取り続けてもよいし、一定時間毎でもよいし、また、扉や蓋が開閉した場合や、完全性情報を作成する場合でもよい。そして、環境情報記憶装置２００３の識別情報比較部２０４５は、無線タグリーダ２０４４が最初に読み取った識別情報よりも後の識別情報、すなわち２回目以降に読み取った識別情報と最初に読み取った識別情報とを比較し、その比較結果を「存在情報」として出力する。また、改ざん防止部２０２０が完全性情報を作成する時に無線タグリーダ２０４４が識別情報を読み取る場合には、改ざん防止部２０２０は、無線タグリーダ２０４４が読み取った識別情報を存在情報として、この存在情報と環境情報とを基に完全性情報を作成してもよい。このように識別情報をそのまま存在情報として用いる場合には、識別情報比較部２０４５は、無線タグリーダ２０４４から入力した識別情報をそのまま記憶部２０２１の環境情報記憶部２０３２へ出力する。

以上のように、環境情報記憶装置は存在検出部を備えたので、環境情報記憶装置の記録している環境に物が存在しているかどうかを検出することができる。このため、環境情報と物との対応関係を確実にすることができ、より信頼性の高い環境情報記憶装置を実現することができる。

実施の形態２５．
次に図４３を用いて実施の形態２５を説明する。実施の形態２５は、環境情報記憶装置２００３が複数のセンサ群の各センサから情報を入力する実施形態である。以上の実施の形態２２〜実施の形態２４では、倉庫やコンテナに配置された一つのセンサ群に対して、一つの環境情報記憶装置を設置していた。これに対して、実施の形態２５は、複数のセンサ群に対して、一つの環境情報記憶装置を設置する場合である。

図４３は、運搬中や保管中の物２００１を置いておく場所における、本実施の形態２５の環境情報記憶装置２００３とセンサとの構成を示すブロック図である。図４３に示すように、環境情報記憶装置２００３は、倉庫／コンテナ２０４０ａ，倉庫／コンテナ２０４０ｂの外部に設置される。そして、倉庫あるいは、コンテナの内部に配置されたセンサ群２００２−１及びセンサ群２００２−２の各センサと環境情報記憶装置２００３とを接続する。図４３に示すように、センサ群２００２−１は物２００１ａに対応し、センサ群２００２−２は物２００１ｂに対応する。なお、実施の形態２４と同様に、存在検出部２０２３を倉庫やコンテナに設置して、一つの環境情報記憶装置２００３に接続しても良い。

このような構成において、環境情報記憶装置２００３は、倉庫やコンテナに設置されたセンサ群２００２−１，センサ群２００２−２の各センサから環境情報を取得し、記憶する。そして、環境情報記憶装置２００３は、センサ群２００２−１の各センサから取得した環境情報については、倉庫／コンテナ２０４０ａを特定することができる特定情報を基に完全性情報を生成する。また、環境情報記憶装置２００３は、センサ群２００２−２の各センサから取得した環境情報については、倉庫／コンテナ２０４０ｂを特定することができる特定情報を基に完全性情報を生成する。

以上のように、実施の形態２５の環境情報記憶装置は、複数の倉庫やコンテナなどの互いに異なる環境に配置された複数のセンサ群から環境情報を取得して記録する。このため、環境情報記憶装置のコストを低減することができる。

実施の形態２６．
次に図４４〜図４６を用いて実施の形態２６を説明する。実施の形態２６は、環境情報記憶装置２００３と、環境情報記憶装置２００３から環境情報、特定情報及び完全性情報を入力して環境情報及び特定情報の正当性を検証する端末装置２６００(検証装置の一例）とを備えた環境情報保証システム２０００に関する。この実施の形態２６は、実施の形態６に対応する。

以上の実施の形態２２〜実施の形態２５は、環境情報記憶装置２００３に関するものであった。この実施の形態２６は、環境情報記憶装置２００３と端末装置２６００とを備えた環境情報保証システム２０００において、端末装置２６００が、環境情報及び特定情報の正当性を検証する検証部２６０１を備えた場合を説明する。

図４４は、本実施の形態２６における環境情報保証システム２０００の構成を示すブロック図である。図４４において、端末装置２６００は、環境情報が改ざんされていないことを検証する確認者が使用可能な端末装置である。端末装置２６００は、例えば、携帯電話やＰＣ（Ｐｅｒｓｏｎａｌ Ｃｏｍｐｕｔｅｒ）である。確認者は、依頼者、使用者の他、公的に認められた第三者機関である。端末装置２６００の検証部２６０１は、環境情報が改ざんされているかどうかを検証する。なお、他の実施の形態と同様に、環境情報記憶装置２００３は、存在検出部２０２３を備えてもよい。

次に動作を説明する。環境情報記憶装置２００３の動作は、実施の形態２２〜実施の形態２５と同様である。すなわち、環境情報記憶装置２００３は、環境情報や特定情報を保管し、あるいは場合によっては実施の形態２４で述べた存在情報を保管し、完全性情報を生成する。そして、端末装置２６００は、検証部２６０１が完全性情報を用いて、環境情報や存在情報が改ざんされていないことを検証する。以下に図４５を参照して検証の流れを説明する。

（検証の例）
図４５は、改ざん防止部２０２０と検証部２６０１とのやり取りのフローである。図４５は、デジタル署名を用いた例を示している。改ざん防止部２０２０による完全性情報の生成は、実施の形態２２の場合に対応する。このデジタル署名は、完全性情報を生成する場合の一例である。

（環境情報記憶装置２００３）
（１）改ざん防止部２０２０は、環境情報（存在情報を含んでもよい）と完全性情報とをハッシュ関数に入力してハッシュ値を求める（Ｓ２００１）。本実施の形態２６では、環境情報に存在情報を含まない場合を説明する。改ざん防止部２０２０は、そのハッシュ値を署名鍵で暗号化して完全性情報を生成する（Ｓ２００２）。署名鍵は、端末装置２６００が持つ検証鍵と対応したものが予め環境情報記憶装置２００３の記憶部２０２１に格納されている。

（端末装置２６００）
（２）端末装置２６００は、環境情報、完全性情報及び完全性情報を取得する。取得方法は、記憶媒体を介して取得してもよいし、端末装置２６００と環境情報記憶装置２００３との通信によって取得してもよい。
（３）端末装置２６００の検証部２６０１は、取得した環境情報と特定情報とから、改ざん防止部２０２０と同様にハッシュ値を求める（Ｓ２００３）。
（４）一方で、検証部２６０１は、環境情報記憶装置２００３から取得した完全性情報を予め格納している検証鍵で復号し（Ｓ２００４）、前記ハッシュ値と復号結果のハッシュ値とを比較する（Ｓ２００５）。
（５）検証部２６０１は、比較した結果、ハッシュ値どうしを同一と認めれば、環境情報は正当な情報、すなわち改ざんされていないと判断する。ハッシュ値どうしが異なっていた場合、検証部２６０１は、環境情報もしくは完全性情報とのうち少なくともいずれかは改ざんされていると判断する。

（検証の別の例）
また、図４６は、検証の別の例を示す図である。図４６は、環境情報と特定情報とのそれぞれから完全性情報を生成する場合における、改ざん防止部２０２０と検証部２６０１とのやり取りの別の例を示す。この例では、デジタル署名を用いた例を示している。

（環境情報記憶装置２００３）
（１）改ざん防止部２０２０は、環境情報（存在情報を含んでもよい）をハッシュ関数に入力してハッシュ値ａを求める（Ｓ２００１ａ）。
（２）同様に、改ざん防止部２０２０は、特定情報のハッシュ値ｂを求める（Ｓ２００１ｂ）。
（３）そして、改ざん防止部２０２０は、環境情報のハッシュ値ａと、特定情報のハッシュ値ｂとをそれぞれ署名鍵で暗号化し、環境情報に対応する「完全性情報ａ」と、特定情報に対応する「完全性情報ｂ」とを生成する（Ｓ２００２ａ、Ｓ２００２ｂ）。

（端末装置２６００）
（４）端末装置２６００は、環境情報、特定情報、完全性情報ａ、完全性情報ｂを取得する。取得方法は、記憶媒体を介してもよいし、端末装置２６００と環境情報記憶装置２００３との通信によってもよい。
（５）次に、端末装置２６００の検証部２６０１は、改ざん防止部２０２０と同様に、環境情報から「ハッシュ値ａ」を求めるとともに、特定情報から「ハッシュ値ｂ」を求める（Ｓ２００３ａ、Ｓ２００３ｂ）。
（６）一方で検証部２６０１は、「完全性情報ａ」及び「完全性情報ｂ」を検証鍵で復号し（Ｓ２００４ａ、Ｓ２００４ｂ）、「ハッシュ値ａ」及び「ハッシュ値ｂ」と、復号結果のハッシュ値とをそれぞれについて比較する（Ｓ２００５ａ、Ｓ２００５ｂ）。
（７）検証部２６０１は、比較した結果、それぞれの対応するべきハッシュ値どうしが同一であると判断した場合、環境情報と特定情報とは正当な情報、すなわち改ざんされていないと判断する。検証部２６０１は、比較の結果、異なっていると判断した場合、異なっていると判断した情報は、改ざんされていると判断する。なお、この別の例は、環境情報に存在情報を含むことが可能な例を示しているが、環境情報に存在情報を含むことなく存在情報を基にする完全性情報を生成してもよい。

なお、本実施の形態２６ではデジタル署名を用いた例を示したが、環境情報（存在情報を含んでも良い）、特定情報、あるいは存在情報が改ざんされていないことを確認する完全性情報を生成できればよく、他にも例えばメッセージ認証子や電子透かしやＣＲＣ（Ｃｙｃｌｉｃ Ｒｅｄｕｎｄａｎｃｙ Ｃｈｅｃｋ）を用いてもよい。

以上のように、端末装置２６００は、検証部２６０１を備えたので、業者ではない確認者が環境情報、存在情報、特定情報が改ざんされていないことを検証できる。このため、信頼性の高い環境情報保証システムが実現できる。

実施の形態２７．
次に図４７〜図５０を用いて実施の形態２７を説明する。実施の形態２７は、実施の形態２６の環境情報保証システム２０００において、環境情報記憶装置２００３と端末装置２６００とが、通信する構成である。本実施の形態２７は、実施の形態８に対応する。

図４７は、実施の形態２７の環境情報保証システム２０００の構成を示すブロック図である。本実施の形態２７の環境情報記憶装置２００３は、図３７に示す実施の形態２２の環境情報記憶装置２００３に対して、さらに、端末装置２６００と通信する記憶側通信部２８０１（出力部の一例）を備えた。また、本実施の形態２７の端末装置２６００は、図４４に示す実施の形態２６の端末装置２６００に対して、さらに、環境情報記憶装置２００３と通信を行なう検証側通信部２８０２と、環境情報などを処理する処理部２７０１とを備えた。
（１）記憶側通信部２８０１(出力部の一例)は、環境情報記憶装置２００３に設けられた通信部であって、無線・有線ＬＡＮ（Ｌｏｃａｌ Ａｒｅａ Ｎｅｔｗｏｒｋ）、ＲＳ２３２Ｃ、Ｂｌｕｅ ｔｏｏｔｈ（登録商標）、ＤＳＲＣ（Ｄｅｄｉｃａｔｅｄ Ｓｈｏｒｔ Ｒａｎｇｅ Ｃｏｍｍｕｎｉｃａｔｉｏｎ）、携帯電話などを利用して、環境情報記憶装置２００３の外部機器と通信する。
（２）また、端末装置２６００の検証側通信部２８０２は、記憶側通信部２８０１から送信された情報を受信する。図４７では、検証側通信部２８０２が、記憶側通信部２８０１から送信された情報を直接に受信する。これは一例であり、検証側通信部２８０２は、通信経路上に設けられた中継器を介して記憶側通信部２８０１から情報を受信してもよい。
（３）処理部２７０１は、環境情報を処理する。例えば、処理部２７０１は、環境情報を基に運搬中や保管中の環境状態を表示し、あるいは環境情報の異常な場合を検索して表示する。
（４）なお、他の実施の形態と同様に、環境情報記憶装置２００３は、存在検出部２０２３を備えても良い。

次に、図４８、図４９を参照して動作を説明する。図４８は、本実施の形態２７の環境情報保証システムにおける環境情報記憶装置と確認者が使用可能な端末間のフローを示したものである。本実施の形態２７の環境情報記憶装置２００３は、図４９に示すように環境情報に基づき完全性情報を生成する。

（環境情報記憶装置２００３）
（１）環境情報記憶装置２００３は、環境情報を記録する（Ｓ２０１０）。
（２）そして、改ざん防止部２０２０は、必要なタイミングで、図４９のＳ２０３１とＳ２０３２に示すように、完全性情報を生成する（Ｓ２０１１）。改ざん防止部２０２０は、環境情報をハッシュする。
（３）記憶側通信部２８０１は、環境情報と完全性情報とを端末装置２６００に送信する（Ｓ２０１２）。

（端末装置２６００）
（４）確認者が使用可能な端末装置２６００は、検証側通信部２８０２が環境情報と完全性情報とを受信する（Ｓ２０１３）。
（５）検証部２６０１は、図４９のＳ２０３３〜Ｓ２０３５に示すように、完全性情報の検証を行う（Ｓ２０１４）。
（６）その後、検証部２６０１による認証結果が正当である場合には、処理部２７０１が、環境情報を処理する（Ｓ２０１５）。

上記（１）〜（６）の例では、環境情報記憶装置２００３は、完全性情報を作成した後、環境情報と完全性情報とを送信する（Ｓ２０１１，Ｓ２０１２）。しかし、図３９に示したように、環境情報記憶装置２００３は、複数の完全性情報を作成した後、複数の完全性情報とこれらに対応する環境情報とをまとめて送信してもよい。すなわち、環境情報記憶装置２００３が完全性情報を作成するタイミングと、環境情報と完全性情報とを送信するタイミングとは、次の（ａ）〜（ｅ）のうちのいずれでも構わない。
（ａ）常時、（ｂ）運搬や保管が終わった時、（ｃ）予め設定されたイベント発生時、（ｄ）一定時間毎、（ｅ）通信可能時。

なお、図４８では端末装置２６００において検証された後に環境情報を処理するフローを示した（Ｓ２０１４、Ｓ２０１５）。しかし、端末装置２６００は、受信した環境情報を処理し、必要に応じて環境情報を処理して検証するフローでも構わない。

図５０は、本実施の形態２７における環境情報保証システム２０００の他の構成を示すブロック図である。図５０は、図４７の端末装置２６００を端末装置２６００ａと端末装置２６００ｂとに分けた構成である。図５０に示すように、第一の端末装置２６００ａは、検証側通信部２８０２と処理部２７０１とを備える。また、第二の端末装置２６００ｂは、検証部２６０１を備える。このような構成の場合、依頼者や使用者が第一の端末装置２６００ａ（例えば携帯電話）を用いて環境情報から環境状態を確認する。そして、必要に応じて、公的に認められた第三者機関が、確認者として第二の端末装置２００６ｂ（検証装置）を用いて完全性情報を検証することにより環境情報の正当性を検証する。

以上のように、実施の形態２７の環境情報記憶装置２００３は、環境情報と完全性情報とを記憶側通信部２８０１により外部の装置に送信する。外部の装置は、これらの情報を検証・処理できるので、利便性が高い環境情報保証システムを実現することができる。

実施の形態２８．
次に図５１を参照して実施の形態２８を説明する。実施の形態２８は、環境情報保証システム２０００において、環境情報記憶装置２００３が、内部にセンサを備えた実施形態である。実施の形態２８は、実施の形態２０に相当する。

図５１は、本実施の形態２８の環境情報保証システム２０００の構成を示すブロック図である。図５１において、環境情報を検出するセンサ２００２ａ、センサ２００２ｂ、センサ２００２ｃ等は、環境情報記憶装置２００３の内部に設けられている。環境情報記憶装置２００３は、物が置かれている環境に設置されても良いし、物に取り付けられても良い。

次に、本実施の形態２８の環境情報記憶装置２００３の動作を説明するが、環境情報記憶装置２００３がセンサ２００２ａ等を内部に備える他は、実施の形態２２と同様である。

環境情報記憶装置２００３は、必要なタイミングから、センサ２００２ａ等が検出した環境情報の記録を開始する。このタイミングは、交通手段であればエンジン始動時、倉庫や貨物室、コンテナの扉が閉まった時、環境情報記憶装置２００３に別途設けられたスイッチをオンした時、照度センサで明るさを検出し暗くなった時のように、一つあるいは複数のセンサの環境情報が設定された範囲内に入った時など、運搬や保管が開始されるタイミングでよい。

制御部２０２２には、接続しているすべてのセンサが検出した環境情報が入力される。そして、制御部２０２２は、環境情報を記憶部２０２１の装置側特定情報記憶部２０３１に記憶する。そして、必要なタイミングに、制御部２０２２の命令により、改ざん防止部２０２０は、実施の形態２７を示す図４９に示したのＳ２０３１、Ｓ２０３２と同様に、装置側特定情報記憶部２０３１に記憶されている環境情報の完全性情報を生成する。そして、完全性情報と環境情報は、記憶側通信部２８０１を介して送信される。確認者が使用可能な端末装置２６００は、検証側通信部２８０２が、環境情報と完全性情報とを受信する。そして、検証部２６０１が完全性情報の検証を行い、また処理部２７０１が環境情報の処理を行う。

本実施の形態２８では、完全性情報を作成した後、環境情報と完全性情報を送信しているが、複数の完全性情報を作成した後、まとめて送信するようにしてもよい。すなわち、完全性情報の作成するタイミングと、環境情報と完全性情報を送信するタイミングは以下の（ａ）〜（ｅ）のどのタイミングでも構わない。（ａ）常時、（ｂ）運搬や保管が終わった時、（ｃ）予め設定されたイベント発生時、（ｄ）一定時間毎、（ｅ）通信可能時。さらに、図５０に示すように、検証側通信部２８０２と処理部２７０１とを有する第一の端末装置２６００ａと、検証部２６０１を有する別の第二の端末装置２６００ｂとに分ける構成でもよい。

以上のように、環境情報記憶装置２００３がセンサを内部に持つにより、荷室や荷台、貨物室、コンテナ、倉庫などに新たにセンサを設置するなどの改修の必要ないので、低コストで信頼性の高い環境情報保証システムを実現することができる。

実施の形態２９．
次に図５２、図５３を用いて実施の形態２９を説明する。以上の実施の形態２７、実施の形態２８では、環境情報記憶装置２００３が、不正な端末装置２６００に情報を送信する可能性があった。そこで、本実施の形態２９では、環境情報記憶装置２００３が、記憶側通信部２８０１に通信先認証部２９０１（出力先認証部の一例）を備えた構成を説明する。本実施の形態２９は、実施の形態９に対応する。

図５２は、本実施の形態２９の環境情報保証システム２０００の構成を示すブロック図である。図５２は、図５１に対して、記憶側通信部２８０１が通信先認証部２９０１を備えた点が異なる。通信先認証部２９０１は、通信先を認証する。なお、他の実施の形態と同様に、環境情報記憶装置２００３は、存在検出部２０２３を備えても良いし、内部にセンサを備えてもよい。

次に動作を説明する。本実施の形態２９の環境情報保証システム２０００の動作は、他の実施の形態と同様である。すなわち、環境情報記憶装置２００３は、環境情報を記録し、完全性情報を生成する。そして、環境情報記憶装置２００３は、記憶側通信部２８０１を介して端末装置２６００に環境情報と完全性情報とを転送する。本実施の形態２９の特徴は、この転送前に、通信先認証部２９０１が通信先である端末装置２６００を認証する点にある。

図５３は、通信先認証部２９０１による認証方法の一例を示す図である。図５３において、環境情報記憶装置２００３と端末装置２６００とは、暗号鍵を持っているものとする。
（１）通信先認証部２９０１は、乱数（Ｒ）を生成し（Ｓ２０２０）、端末装置２６００に送信する（Ｓ２０２１）。
（２）端末装置２６００は、乱数（Ｒ）を受信（Ｓ２０２２）し、暗号化（ｅ（Ｒ））した後（Ｓ２０２３）、環境情報記憶装置２００３に送信する（Ｓ２０２４）。
（３）環境情報記憶装置２００３の通信先認証部２９０１は、応答データ（ｅ（Ｒ´））を受信し（Ｓ２０２５）、それを復号し（Ｓ２０２６）、先に生成した乱数（Ｒ）と比較する（Ｓ２０２７）。
（４）比較結果が一致していた場合（Ｓ２０２８）、正常終了し、一致していない場合（Ｓ２０２９）、異常終了する。

なお、本実施の形態２９では、環境情報記憶装置２００３の通信先認証部２９０１は、受信した暗号化された乱数を復号した後に、比較を行っている（Ｓ２０２７）。しかし、これは一例であり、通信先認証部２９０１は、自己の生成した乱数を暗号化し、その結果と端末装置２６００から受信した暗号化された乱数とを比較しても良い。そして、認証が成功した場合、記憶側通信部２８０１は、環境情報と完全性情報とを端末装置２６００に送信する。端末装置２６００は、検証側通信部２８０２にて受信した環境情報と完全性情報とを使用して、検証及び処理を行う。認証が失敗した場合、記憶側通信部２８０１は端末装置２６００と通信を行わなず、記憶部２０２１に認証失敗の情報を記録する。

本実施の形態２９では、端末装置で暗号化した乱数を通信先認証部２９０１で確認しているが（Ｓ２０２７）、端末装置は受信した乱数に対してメッセージ認証子やデジタル署名を生成して環境情報記憶装置２００３に返信し、環境情報記憶装置２００３の通信先認証部２９０１が、それらを検証する方法でも良い。

以上のように、記憶側通信部２８０１が、通信先を認証するとともに、正しい通信先であることを確認した後、環境情報と完全性情報とを通信先に送信するので、環境情報や完全性情報を解析するなどの不正行為を防ぐことができ、さらに信頼性の高い環境情報記憶装置や環境情報保証システムを実現できる。

実施の形態３０．
次に図５４、図５５を用いて実施の形態３０を説明する。以上の実施の形態２２〜実施の形態２９では、環境情報記憶装置２００３から出力される情報の完全性（改ざんされていないこと）を証明していた。しかし、センサが改ざんされた場合には、センサの改ざんを検出できない。そこで、本実施の形態３０は、センサが正当なものかどうかを確認する実施形態を示す。本実施の形態３０は、実施の形態１２に対応する。

図５４は、本実施の形態３０の環境情報記憶装置２００３の構成を示す。図５４の環境情報記憶装置２００３は、図３７に示した実施の形態２２の環境情報記憶装置２００３と同様の構成であるが、制御部２０２２（センサ確認部の一例）が、それぞれのセンサが正当かどうかを確認する機能を有する点が異なる。なお、制御部２０２２が、センサの正当性を検出するが、他の構成要素がセンサの正当性を確認する構成でも構わない。また、他の実施の形態と同様に、環境情報記憶装置２００３は、存在検出部２０２３や通信先認証部２９０１を備えてもよい。また、環境情報記憶装置２００３は、内部にセンサを備えても良い。

次に図５５を用いて動作を説明する。制御部２０２２は、必要なタイミングで、接続されているセンサの確認を行う。図５５は、確認方法の一例を示すフローチャートである。

（１）センサは、センサ固有の「固有情報」（以下、センサ側固有情報という）を保持しているものとする。環境情報記憶装置２００３は、この「センサ側固有情報」に対応する「記憶装置側固有情報」を格納しているものとする。センサが改ざんされていない正規品であれば、「センサ側固有情報」と「記憶装置側固有情報」とは一致する。制御部２０２２は、必要なタイミングで、センサから「センサ側固有情報」を取得する（Ｓ２０４０）。
（２）そして、制御部２０２２は、取得した「センサ側固有情報」と保管されている「記憶装置側固有情報」との比較を行う（Ｓ２０４１）。
（３）制御部２０２２は、比較結果が一致した場合、正常と判断して正常終了（Ｓ２０４２）し、記憶部２０２１に正常終了した内容を記録する。制御部２０２２は、比較結果が一致しない場合や、「センサ側固有情報」を取得できない場合は、異常と判断して終了（Ｓ２０４３）し、記憶部２０２１に異常終了した旨を記録する。制御部２０２２は、以上の処理を接続されているすべてのセンサに対して行う。

以上のように、環境情報記憶装置２００３の制御部２０２２は、センサが正当であることを確認するので、センサに対する不正を防ぎ、さらに信頼性の高い環境情報記憶装置や環境情報保証システムを実現できる。

実施の形態３１．
次に図５６を用いて実施の形態３１を説明する。以上の実施の形態２２〜実施の形態３０は、環境情報の完全性のみを維持するシステムであるが、機密性が維持されていない。すなわち、環境情報は、第三者に盗聴される恐れがある。そこで、本実施の形態３１は、環境情報の機密性を維持する場合を示す。本実施の形態３１は、実施の形態１８に対応する。

図５６は、本実施の形態３１の環境情報保証システム２０００の構成を示すブロック図である。図５６では、実施の形態２６の図４４に対して、環境情報記憶装置２００３が暗号部３８０１を備えるとともに、端末装置２６００が復号部３８０２を備えた構成である。暗号部３８０１は、環境情報を暗号化する。復号部３８０２は、取得した情報を復号する。なお、他の実施の形態と同様に、環境情報記憶装置２００３は、存在検出部２０２３、通信先認証部２９０１、あるいはセンサを確認する機能を備えてもよい。また、環境情報記憶装置２００３は、内部にセンサを備えてもよい。

図５６に示す構成において、環境情報記憶装置２００３は、環境情報を出力する前や、完全性情報を作成した後に、暗号部３８０１により環境情報を暗号化する。本実施の形態３１は、環境情報を暗号対象するが、特定情報や完全性情報などの他の情報を含めて暗号化してもよい。そして、暗号化され出力された環境情報は、端末装置２６００の復号部３８０２により復号され、他の実施の形態と同じように検証される。

このように、本実施の形態３１の環境情報記憶装置２００３は、暗号部３８０１により暗号化された環境情報を出力するので、通信経路で環境情報を盗聴された場合でも、環境情報の機密性を維持可能な環境情報記憶装置や環境情報保証システムを実現することができる。

実施の形態３２．
次に図５７を参照して実施の形態３２を説明する。本実施の形態３２は、環境情報記憶装置２００３が後述の格納情報を格納する実施形態である。

以上の実施の形態２２〜実施の形態３１では、環境を特定するための特定情報（実施の形態２２）、認証に使用する鍵（実施の形態２９）や暗号化で使用する暗号鍵（実施の形態３１）などの情報は、事前に環境情報記憶装置２００３に格納されているとして説明した。これら特定情報などのような事前に環境情報記憶装置に格納される「格納情報」は、システムを運用する組織や環境によって異なる。このため、それぞれの環境情報記憶装置２００３は、通常、異なる値を持つ。また、一旦格納された格納情報は、格納後に変更が必要となるケースもある。従って、格納情報は、環境情報記憶装置の出荷後に記録・変更できなければならない。

一方、格納情報は、環境情報の完全性を維持するシステムでは重要な情報である。このため、環境情報記憶装置２００３への格納情報の格納は、正当な組織やそれに属する人、正当な端末、機器によって行われるべきである。もしくは、正しい格納情報だけが、格納情報として格納されなければならない。そこで、次に、格納情報を環境情報記憶装置２００３に格納する実施形態を示す。

図５７は、本実施の形態３２の環境情報記憶装置２００３の構成を示すブロック図である。図５７の環境情報記憶装置２００３は、図３７に示す実施の形態２２の環境情報記憶装置２００３に対して、さらに、外部インタフェース部２０５１と格納制御部２０５２とを備えている。
（１）格納機器２０５０は、接触式・非接触式ＩＣカードやＰＣ（Ｐｅｒｓｏｎａｌ Ｃｏｍｐｕｔｅｒ）のような、外部インタフェース部２０５１と通信して格納情報を環境情報記憶装置２００３に転送する機器である。
（２）外部インタフェース部２０５１は、接触式・非接触式ＩＣカードインタフェース、無線・有線ＬＡＮのインタフェース、ＲＳ２３２Ｃのインタフェース、Ｂｌｕｅ ｔｏｏｔｈ（登録商標）のインタフェースなど、格納情報を格納するために環境情報記憶装置２００３に設けられたインタフェースである。
（３）格納制御部２０５２は、外部インタフェース部２０５１を介して格納機器の正当性及び／または転送された格納情報の正当性を確認する。
（４）なお、他の実施の形態と同様に、環境情報記憶装置２００３は、存在検出部２０２３、通信先認証部２９０１、あるいはセンサを確認する機能を備えてもよい。また、環境情報記憶装置２００３は、内部にセンサを備えてもよい。

（格納機器の認証）
このような図５７の構成において、環境情報記憶装置２００３は、格納機器２０５０から転送された格納情報を格納する前に、格納制御部２０５２が格納機器を認証する。格納制御部２０５２は、外部インタフェース部２０５１が格納機器２０５０から格納情報（所定の情報）を入力する場合に、格納機器２０５０との間で通信を行うことにより格納機器２０５０が正当であるかどうかを認証し、正当と判断した場合に、格納情報を装置側特定情報記憶部２０３１に記憶する。格納制御部２０５２は、格納情報を入力する前に格納機器２０５０を認証し、正当な場合にのみ格納機器２０５０から格納情報を入力する。あるいは、格納制御部２０５２は、格納制御部２０５２から格納情報を入力後に格納制御部２０５２を認証し、正当な場合にのみ格納情報を格納するようにしてもよい。格納機器２０５０の認証方法は、事前に環境情報記憶装置２００３に格納された暗証番号による方法、実施の形態２９の図５３で示した認証方法などがある。この認証に使用する暗証番号や暗号化で使用する暗号鍵は、環境情報記憶装置２００３の製造時に格納しておけばよい。格納制御部２０５２は、この認証により、正当な格納機器であれば、転送された格納情報を記憶部２０２１に格納する。

（格納情報の認証）
また、環境情報記憶装置２００３は、格納機器から転送された格納情報を格納する前に、格納制御部２０５２が、これらの格納情報の正当性を確認してもよい。すなわち、格納制御部２０５２は、外部インタフェース部２０５１が入力した格納情報が正当であるかどうかを認証し、格納情報を正当と判断した場合に、格納情報を装置側特定情報記憶部２０３１に記憶する。この場合の認証方法は、実施の形態２６の図４５、図４６などで述べた完全性情報の完全性を維持する方法と同様の方法を利用すればよい。すなわち、格納情報の完全性（改ざんの有無）を確認する方法である。

なお、格納機器２０５０の認証や格納情報の確認は、それぞれどちらを実施してもよい。また両者の認証を組み合わせて使用してもよい。また、格納機器２０５０から転送される格納情報は、実施の形態３１のように暗号化してもよい。

なお、図５７では、格納制御部２０５２は、制御部２０２２、記憶部２０２１、改ざん防止部２０２０と接続している。しかしこれは一例であり、格納制御部２０５２は、記憶部２０２１にのみ接続するような構成でもよい。

このように、実施の形態３２の環境情報記憶装置２００３は格納制御部を備えたので、正当な組織やそれに属する人、正当な端末、機器による格納情報が格納され、あるいは正当な格納情報だけが格納される。このため、実施の形態３２の環境情報記憶装置２００３は、システムの利便性を向上すると共に、より安全な環境情報保証システムを実現できる。また、格納制御部２０５２が使用する暗証番号や暗号鍵などを変更する際にも、本手段を用いた手続きを経た上で変更可能な構成とすることで、環境情報記憶装置２００３の信頼性・安全性を向上させると共に利便性も向上させることができる。

実施の形態３３．
次に、図５８を参照して実施の形態３３を説明する。実施の形態３３は、環境情報記憶装置２００３が日時に関する情報を生成する時計部２０６０を備えた実施形態である。

図５８は、実施の形態３３の環境情報記憶装置２００３の構成を示す図である。実施の形態３３の環境情報記憶装置２００３は、図３７に示す実施の形態２２の環境情報記憶装置２００３に対して、さらに、時計部２０６０を備えた点が異なる。

時計部２０６０は、制御部２０２２に接続されているとともに、日時に関する情報、例えば、日付と時刻とを生成する。なお、他の実施の形態と同様に、環境情報記憶装置２００３は、存在検出部２０２３、通信先認証部２９０１、あるいはセンサを確認する機能を備えてもよい。また、環境情報記憶装置２００３は、内部にセンサを備えてもよい。

このような図５８の構成において、環境情報記憶装置２００３では、制御部２０２２が記憶部２０２１に環境情報を記録する際、時計部２０６０が生成した情報を使用する。例えば、制御部２０２２は、環境情報を取得した時刻や特定のイベントが発生している時間を算出する際に、時計部２０６０が提供する情報を使用し、取得した時刻や算出した時間を環境情報に付加する。

以上のように、環境情報記憶装置２００３は、内部に時計部２０６０を備えたので、環境情報記憶装置２００３外部から日時の情報を取得することが不要になる。このため、日時情報を改ざんすることが困難になる。従って、信頼性の高い環境情報記憶装置を提供することができる。

なお、時計部２０６０が保持する日時情報の調整には、実施の形態３２で述べた構成を用いることにより、時計部２０６０の日時も信頼性の高い情報になる。つまり、時計部２０６０が保持する日時情報を調整するために、実施の形態３２に示したように、格納機器２０５０から情報を取得する。この場合、格納制御部２０５２が、格納機器２０５０を認証し、あるいは取得する情報を認証する構成とする。また、本実施の形態３３では時計部２０６０を設けたが、時計部２０６０の機能を制御部２０２２に組み込んでもよい。

実施の形態３４．
次に、図５９を参照して実施の形態３４を説明する。実施の形態３４では、環境情報記憶装置２００３が、日時に関する情報を自動調整する自動調整部２０６１を備えた場合を説明する。

図５９は、実施の形態３４の環境情報記憶装置２００３の構成を示す図である。実施の形態３４の環境情報記憶装置２００３は、図５８の環境情報記憶装置２００３に対して、さらに、自動調整部２０６１を備えた点が異なる。自動調整部２０６１は、環境情報記憶装置２００３の外部から標準時刻に関する情報を受信し、受信した情報に基づき時計部２０６０を調整する。なお、他の実施の形態と同様に、環境情報記憶装置２００３は、存在検出部２０２３、通信先認証部２９０１、あるいはセンサを確認する機能を備えてもよい。また、環境情報記憶装置２００３は、内部にセンサを備えてもよい。

このような図５８の構成において、環境情報記憶装置２００３は、自動調整部２０６１により修正された時計部２０６０が提供する日時の情報を使用する。例えば、環境情報を取得した時刻や特定のイベントが発生している時間を算出する際には修正された時計部２０６０が提供する情報を使用する。

以上のように、環境情報記憶装置２００３は、内部に日時情報を自動的に調整する自動調整部２０６１を備えたので、日時情報を改ざんすることが困難になり、また、調整するための保守も不要になる。従って、環境情報記憶装置の信頼性と利便性を向上することができる。

実施の形態３５．
次に、図６０、図６１を参照して実施の形態３５を説明する。実施の形態３５は、実施の形態２１に対応する。実施の形態３５は、実施の形態２２に示した環境情報記憶装置２００３を環境情報記憶方法及び環境情報記憶プログラムとして把握した実施形態である。環境情報記憶装置２００３はコンピュータである。コンピュータである環境情報記憶装置２００３の制御部２０２２（情報入力部）、環境情報記憶部２０３２（センサ情報記憶部）、改ざん防止部２０２０（改ざん検証用情報生成部）、完全性情報記憶部２０３３（改ざん検証用情報記憶部）の一連の動作は互いに関連しており、これらの一連の動作を環境情報記憶方法として把握することができる。

図６０は、図３７の環境情報記憶装置２００３の制御部２０２２等の動作を環境情報記憶プログラムとして把握した場合のフローチャートを示す。

（１）Ｓ２２０１において、制御部２０２２が、情報を検出するセンサから前記センサが検出した情報を入力する。
（２）Ｓ２２０２において、環境情報記憶部２０３２が、制御部２０２２が前記センサから入力した情報に基づく環境情報（センサ情報）を記憶する。
（３）Ｓ２２０３において、改ざん防止部２０２０が、環境情報記憶部２０３２が記憶した環境情報に基づいて、環境情報に対する改ざんの有無を検証するために使用する完全性情報（改ざん検証用情報）を生成する。
（４）Ｓ２２０４において、完全性情報記憶部２０３３が、改ざん防止部２０２０が生成した完全性情報を記憶する。

また、図６１は、コンピュータである図３７の環境情報記憶装置２００３に実行させる環境情報記憶プログラムのフローチャートを示す。
（１）Ｓ２３０１は、情報を検出するセンサから前記センサが検出した情報を入力する処理である。
（２）Ｓ２３０２は、前記センサから入力した情報に基づく環境情報（センサ情報）を記憶する処理である。
（３）Ｓ２３０３は、記憶した環境情報に基づいて、環境情報に対する改ざんの有無を検証するために使用する完全性情報を生成する処理である。
（４）Ｓ２３０４は、生成した完全性情報を記憶する処理である。

以上のように、環境情報記憶方法、環境情報記憶プログラムは、環境情報の完全性を証明する完全性情報を生成するので、環境情報を記憶する信頼性の高い環境情報記憶装置を実現することができる。

以上の実施の形態では、運搬中や保管中における物の環境に関わる情報を検出する複数のセンサを有し、物の状態・環境を監視するシステムにおいて、前記センサの情報と環境を特定可能な特定情報とを記憶する記憶部と、記憶している情報の改ざんを防止する改ざん防止部と、これらの動作を制御する制御部と
を備えた環境情報記憶装置を説明した。

以上の実施の形態では、制御部はセンサの情報を演算し、記憶部は制御部の演算結果を記録する環境情報記憶装置を説明した。

以上の実施の形態では、存在検出部は物がその環境に存在していることを検出し、記憶部は存在検出部の出力情報も記録する環境情報記憶装置を説明した。

以上の実施の形態では、環境情報記憶装置と検証装置とを備えた環境情報保証システムにおいて、環境情報記憶装置は、センサの情報や制御部の演算結果や環境を特定可能な特定情報を記憶する記憶部と、記憶している情報の改ざんを防止する改ざん防止部と、これらの動作を制御し、センサの情報を演算する制御部と、物がその環境に存在していることを検出する存在検出部とを備え、検証装置は、入力された情報に対する改ざんの有無を検証する検証部を備えた環境情報保証システムを説明した。

以上の実施の形態では、環境情報記憶装置と検証装置とを備えた環境情報保証システムにおいて、前記環境情報記憶装置は、センサの情報や制御部の演算結果や環境を特定可能な特定情報を記憶する記憶部と、記憶している情報の改ざんを防止する改ざん防止部と、これらの動作を制御し、センサの情報を演算する制御部と、物がその環境に存在していることを検出する存在検出部と、外部の機器と通信する通信部とを備え、前記検証装置は、入力された情報に対する改ざんの有無を検証する検証部と、外部の機器から情報を受信する受信部と、検証部の出力を参照して処理を行う処理部とを備えた環境情報保証システムを説明した。

以上の実施の形態では、運搬中や保管中における物の環境に関わる情報を検出する複数のセンサと、物がその環境に存在していることを検出する存在検出部と、センサと存在検出部が検出した情報や演算結果の改ざんを防止する改ざん防止部と、動作を制御し、センサの情報を演算する制御部と、外部の機器と通信する通信部と、センサと存在検出部が検出した情報や改ざん防止部の出力や環境を特定可能な特定情報を記憶する記憶部とを備えた環境情報記憶装置を説明した。

以上の実施の形態では、環境情報記憶装置と検証装置とを備えた環境情報保証システムにおいて、前記環境情報記憶装置は、運搬中や保管中における物の環境に関わる情報を検出する複数のセンサと、物がその環境に存在していることを検出する存在検出部と、センサと存在検出部が検出した情報や演算結果の改ざんを防止する改ざん防止部と、動作を制御し、センサの情報を演算する制御部と、装置外部の機器と通信する通信部と、センサと存在検出部が検出した情報や改ざん防止部の出力環境を特定可能な特定情報を記憶する記憶部とを備え、前記検証装置は、入力された情報に対する改ざんの有無を検証する検証部と、前記環境情報記憶装置から情報を受信する受信部と、前記検証部の出力を参照して処理を行う処理部とを備えた環境情報保証システムを説明した。

以上の実施の形態では、環境情報記憶装置は、通信先を認証する通信先認証部を備え、正しい通信先の場合にのみ通信する環境情報記憶装置を説明した。

以上の実施の形態では、センサの真正性を確認する環境情報記憶装置を説明した。

以上の実施の形態では、環境情報や、環境を特定可能な特定情報を暗号化する環境情報記憶装置を説明した。

以上の実施の形態では、格納情報を格納する前に格納機器もしくは格納情報の正当性を確認する環境情報記憶装置を説明した。

以上の実施の形態では、日時に関する情報を自己の内部で生成する環境情報記憶装置を説明した。

以上の実施の形態では、日時に関する情報を自己の内部で自動的に調整可能な環境情報記憶装置を説明した。

実施の形態１における移動体情報記憶装置３の使用状態の一例を示す。 実施の形態１における移動体情報記憶装置３の構成図である。 実施の形態１における移動体情報記憶装置３の動作を示すフローチャートである。 実施の形態１における移動体情報と完全性情報との対応関係を示す。 実施の形態２における移動体情報記憶装置３の構成図である。 実施の形態３における特殊ネジの一例を示す。 実施の形態３におけるシールを示す。 実施の形態３における移動体情報記憶装置３の構成図である。 実施の形態３における移動体側固有情報処理部と分離防止部との固有情報の比較のシーケンスである。 実施の形態３における移動体側固有情報処理部と分離防止部との認証処理のシーケンスを示す。 実施の形態４における移動体情報記憶装置３の構成図である。 実施の形態４における別の例の移動体情報記憶装置３の構成図である。 実施の形態５における移動体情報記憶装置３の構成図である。 実施の形態６における移動体情報保証システムの構成図である。 実施の形態６における移動体情報記憶装置３と移動体情報検証装置とのやり取りを示す。 実施の形態７における移動体情報保証システムの構成図である。 実施の形態８における移動体情報保証システムの構成図である。 実施の形態８における移動体情報記憶装置３と移動体情報検証装置とのやり取りを示す。 実施の形態９における移動体情報保証システムの構成図である。 実施の形態１０における移動体情報保証システムの構成図である。 実施の形態１０における移動体情報記憶装置３とＩＣカードと移動体情報検証装置とのやり取りを示す。 実施の形態１１における移動体情報記憶装置３と移動体情報検証装置とのやり取りを示す。 実施の形態１２における移動体情報保証システムの構成図である。 実施の形態１３における移動体情報保証システムの構成図である。 実施の形態１３における範囲判定部の動作を説明する図である。 実施の形態１４における移動体情報保証システムの構成図である。 実施の形態１４における移動体情報記憶装置３と各移動体情報検証装置とのやり取りを示す。 実施の形態１４におけるサービス管理テーブルの一例を示す。 実施の形態１６における移動体情報保証システムの構成図である。 実施の形態１７における移動体情報保証システムの構成図である。 実施の形態１７におけるタッチパネル表示の一例を示す。 実施の形態１８における移動体情報保証システムの構成図である。 実施の形態１９における移動体情報保証システムの構成図である。 実施の形態２０における移動体情報保証システムの構成図である。 実施の形態２１における情報記憶プログラムの処理を示すフローチャートである。 実施の形態２１におけるコンピュータシステムのハードウェア構成を示す。 実施の形態２２における環境情報記憶装置２００３の構成図である。 実施の形態２２における環境情報記憶装置２００３の動作のフローチャートである。 実施の形態２２における環境情報と完全性情報との対応関係を示す図である。 実施の形態２３における環境情報記憶装置２００３の構成図である。 実施の形態２４における環境情報記憶装置２００３の構成図である。 実施の形態２４における具体例を示す図である。 実施の形態２５における複数のセンサ群と環境情報記憶装置２００３との関係を示す図である。 実施の形態２６における環境情報保障システム２０００の構成図である。 実施の形態２６における認証動作を示す図である。 実施の形態２６における別の認証動作を示す図である。 実施の形態２７における環境情報保障システム２０００の構成図である。 実施の形態２７における動作を示す図である。 実施の形態２７における認証動作を示す図である。 実施の形態２７における別のシステム構成を示す図である。 実施の形態２８における環境情報保障システム２０００の構成図である。 実施の形態２９における環境情報保障システム２０００の構成図である。 実施の形態２９における認証動作を示す図である。 実施の形態３０における環境情報記憶装置２００３の構成図である。 実施の形態３０における認証動作を示す図である。 実施の形態３１における環境情報保障システム２０００の構成図である。 実施の形態３２における環境情報記憶装置２００３の構成図である。 実施の形態３３における環境情報記憶装置２００３の構成図である。 実施の形態３４における環境情報記憶装置２００３の構成図である。 実施の形態３５における環境情報記憶方法のフローチャートである。 実施の形態３５における環境情報記憶プログラムのフローチャートである。

符号の説明

１ 移動体、２ センサ群、２ａ，２ｂ，２ｃ センサ、３ 移動体情報記憶装置、２０ 改ざん防止部、２１ 記憶部、２２ 制御部、３１ 装置側固有情報記憶部、３２ 移動体情報記憶部、３３ 完全性情報記憶部、３４ 移動体情報群記憶部、６０ シール、６１ 暗証番号応答画面、６２ タッチパネル、２０１ 装置側演算部、３０１ 移動体側固有情報処理部、３０２ 分離防止部、３０３ 特殊ネジ、３１１ 移動体側固有情報記憶部、４０１ バッテリ、４０２ 信号線、５０１ 情報消去部、６００，６００ａ，６００ｂ 移動体情報検証装置、６０１ 検証部、７０１ 処理部、８０１ 記憶側通信部、８０２ 検証側通信部、８０５ コンピュータシステム、８１０ ＣＰＵ、８１１ ＲＯＭ、８１２ センサ、８１３ 通信ボード、８２０ 磁気ディスク装置、８２１ ＯＳ、８２３ プログラム群、８２４ ファイル群、９０１ 通信先認証部、１００１ ＩＣカード、１２０１ センサ確認部、１３０１ 範囲判定部、１４０１ 選択部、１４０２ サービス管理テーブル、１６０１ マンマシンインタフェース部、１７０１ 操作者認証部、１８０１ 暗号部、１８０２ 復号部、 ２０００ 環境情報保証システム、２００１ 物、２００２ センサ群、２００２−１，２００２−２ センサ群、２００２ａ，２００２ｂ,２００２ｃ センサ、２００３ 環境情報記憶装置、２０２０ 改ざん防止部、２０２１ 記憶部、２０２２ 制御部、２０２３ 存在検出部、２０３１ 特定情報記憶部、２０３２ 環境情報記憶部、２０３３ 完全性情報記憶部、２０４０，２０４０ａ，２０４０ｂ 倉庫／コンテナ、２０４１ 扉／蓋、２０４２ 開閉検知センサ、２０４３ 無線タグ、２０４４ 無線タグリーダ、２０４５ 識別情報比較部、２０５０ 格納機器、２０５１ 外部インタフェース部、２０５２ 格納制御部、２０６０ 時計部、２０６１ 自動調整部、２２０１ 装置側演算部、２６００，２６００ａ，２６００ｂ 端末装置、２６０１ 検証部、２７０１ 処理部、２８０１ 記憶側通信部、２８０２ 検証側通信部、２９０１ 通信先認証部、３２０１ センサ確認部、３８０１ 暗号部、３８０２ 復号部。

Claims (4)

1. 移動体に装備され、前記移動体に関する情報を記憶する情報記憶装置において、
   前記移動体に関する情報を検出するセンサが検出した情報に基づくセンサ情報を記憶するセンサ情報記憶部と、
   前記移動体を特定可能な特定情報を取得し、取得した前記特定情報と前記センサ情報記憶部が記憶した前記センサ情報とに基づいて、前記特定情報と前記センサ情報との少なくともいずれかに対する改ざんの有無を検証するために使用する改ざん検証用情報を生成する改ざん検証用情報生成部と、
   前記改ざん検証用情報生成部が生成した前記改ざん検証用情報を記憶する改ざん検証用情報記憶部と
   を備えると共に、
   前記情報記憶装置は、さらに、
   前記センサが正当かどうかを確認するセンサ確認部と、
   前記センサ確認部により前記センサが正当であると確認された場合にのみ、前記センサ情報記憶部に前記センサ情報を記憶させる制御部と
   を備えたことを特徴とする情報記憶装置。
2. 移動体に装備され、前記移動体に関する情報を記憶する情報記憶装置において、
   前記移動体に関する情報を検出する複数のセンサのそれぞれが検出したそれぞれの情報に基づくぞれぞれのセンサ情報を入力し、
   予め設定された複数の条件に基づいて前記それぞれのセンサ情報のうちから各条件ごとに前記条件を満たす少なくとも一つのセンサ情報を選択情報群として選択する選択部と、
   前記選択部が選択した前記選択情報群を記憶する選択情報群記憶部と、
   前記移動体を特定可能な特定情報を取得し、取得した前記特定情報と前記選択情報群記憶部が記憶した前記選択情報群とに基づいて、前記選択情報群ごとに、前記特定情報と前記選択情報群に含まれる前記センサ情報との少なくともいずれかに対する改ざんの有無を検証するために使用する改ざん検証用情報を生成する改ざん検証用情報生成部と、
   前記改ざん検証用情報生成部が生成した前記改ざん検証用情報を記憶する改ざん検証用情報記憶部と
   を備えたことを特徴とする情報記憶装置。
3. 移動体に装備され、前記移動体に関する情報を記憶する情報記憶装置において、
   前記移動体に関する情報を検出する複数のセンサのそれそれが検出したそれぞれの情報に基づくそれぞれのセンサ情報を記憶するセンサ情報記憶部と、
   予め設定された複数の条件に基づいて、前記センサ情報記憶部が記憶した前記それぞれのセンサ情報のうちから各条件ごとに前記条件を満たす少なくとも一つのセンサ情報を選択情報群として選択する選択部と、
   前記移動体を特定可能な特定情報を取得し、取得した前記特定情報と前記選択部が選択した前記選択情報群とに基づいて、前記選択情報群ごとに、前記特定情報と前記選択情報群に含まれる前記センサ情報との少なくともいずれかに対する改ざんの有無を検証するために使用する改ざん検証用情報を生成する改ざん検証用情報生成部と、
   前記改ざん検証用情報生成部が生成した前記改ざん検証用情報を記憶する改ざん検証用情報記憶部と
   を備えたことを特徴とする情報記憶装置。
4. 所定の物が継続して置かれているかどうかを検出する存在検出部と、
   前記物が置かれる環境の情報を検出するセンサから前記センサが検出した情報を入力する情報入力部と、
   前記情報入力部が前記センサから入力した情報に基づく情報であって前記環境に関する環境情報を記憶する環境情報記憶部と、
   前記環境情報記憶部に記憶された前記環境情報と前記存在検出部によって検出された検出結果とに基づいて、前記環境情報と前記検出結果との少なくともいずれかに対する改ざんの有無を検証するために使用する改ざん検証用情報を生成する改ざん検証用情報生成部と、
   前記改ざん検証用情報生成部が生成した前記改ざん検出用情報を記憶する改ざん検証用情報記憶部と
   を備えたことを特徴とする情報記憶装置。

Images