特許 7608219 検証装置および検証方法

(19)【発行国】日本国特許庁(JP)

(12)【公報種別】特許公報(B2)

(11)【特許番号】

(24)【登録日】2024-12-20

(45)【発行日】2025-01-06

(54)【発明の名称】検証装置および検証方法

(51)【国際特許分類】

   G06F 21/12 20130101AFI20241223BHJP

   G06F 21/64 20130101ALI20241223BHJP

【ＦＩ】

G06F21/12 310

G06F21/64

【請求項の数】 8

(21)【出願番号】P 2021038240

(22)【出願日】2021-03-10

(65)【公開番号】P2022138385

(43)【公開日】2022-09-26

【審査請求日】2023-12-27

(73)【特許権者】

【識別番号】000237592

【氏名又は名称】株式会社デンソーテン

(74)【代理人】

【識別番号】110002147

【氏名又は名称】弁理士法人酒井国際特許事務所

(72)【発明者】

【氏名】奥原 誠

【審査官】上島 拓也

(56)【参考文献】

【文献】特開２０００－２９３３６８（ＪＰ，Ａ）

【文献】特開２００４－０４６７５６（ＪＰ，Ａ）

【文献】特開２００６－１１３８０６（ＪＰ，Ａ）

【文献】特開２０１４－１９１６５９（ＪＰ，Ａ）

【文献】特開２０２０－１６０９４６（ＪＰ，Ａ）

(58)【調査した分野】(Int.Cl.，ＤＢ名)

Ｇ０６Ｆ ２１／１２

Ｇ０６Ｆ ２１／６４

(57)【特許請求の範囲】

【請求項1】

コンピュータを有する検証装置であって、
前記コンピュータは、
第１アプリケーションがインストールされたときに検証情報を生成して第１アプリケーション記憶部に記憶し、
前記第１アプリケーションのインストール後であって、第２アプリケーションがインストールされたときに、前記第１アプリケーションがインストールされたときに生成された前記検証情報を照合用検証情報として第２アプリケーション記憶部に記憶し、
検証タイミングが到来した場合に、当該検証タイミング時点において前記第１アプリケーション記憶部に記憶されている検証情報と前記第２アプリケーション記憶部に記憶されている照合用検証情報とを照合することで、前記第２アプリケーションの正規性を検証する、
検証装置。

【請求項2】

前記コンピュータは、
アプリケーションに関する処理を行う機器に固有の固有情報に基づいて前記検証情報を生成する、
請求項１に記載の検証装置。

【請求項3】

前記固有情報は、
前記アプリケーションのインストール処理に関する情報を含む、
請求項２に記載の検証装置。

【請求項4】

前記固有情報は、
前記アプリケーションがインストールされた日時を示す日時情報を含む、
請求項２または３に記載の検証装置。

【請求項5】

前記コンピュータは、
前記アプリケーションに固有のアプリケーション固有情報と前記固有情報とに基づいて前記検証情報を生成する、
請求項２～４のいずれか一つに記載の検証装置。

【請求項6】

前記コンピュータは、
アプリケーションに固有のアプリケーション固有情報に基づいてハッシュ値を前記検証情報として算出する、
請求項１～５のいずれか一つに記載の検証装置。

【請求項7】

前記コンピュータは、
前記第２アプリケーションの正規性が検証されなかった場合、ユーザに対し、前記第２アプリケーションのアンインストール処理を促す通知を行う、
請求項１～６のいずれか一つに記載の検証装置。

【請求項8】

コンピュータが実行する検証方法であって、
第１アプリケーションがインストールされたときに検証情報を生成して第１アプリケーション記憶部に記憶する工程と、
前記第１アプリケーションのインストール後であって、第２アプリケーションがインストールされたときに、前記第１アプリケーションがインストールされたときに生成された前記検証情報を照合用検証情報として第２アプリケーション記憶部に記憶する工程と、
検証タイミングが到来した場合に、当該検証タイミング時点において前記第１アプリケーション記憶部に記憶されている検証情報と前記第２アプリケーション記憶部に記憶されている照合用検証情報とを照合することで、前記第２アプリケーションの正規性を検証する工程と
を含む、検証方法。

【発明の詳細な説明】

【技術分野】

【0001】

本発明は、検証装置および検証方法に関する。

【背景技術】

【0002】

従来、例えば車両などに搭載される機器は、ナビゲーションソフトなど種々のアプリケーションを備えている。かかる機器においては、アプリケーションが不正に改ざんされるおそれがあることから、機器における不正に改ざんされたアプリケーションの有無を検出する技術が提案されている（例えば、特許文献１参照）。

【先行技術文献】

【特許文献】

【0003】

【文献】特開２０１８－０７３２４５号公報

【発明の概要】

【発明が解決しようとする課題】

【0004】

しかしながら、従来技術には、アプリケーションを備えた機器のセキュリティ性を向上させるという点で、さらなる改善の余地があった。

【0005】

本発明は、上記に鑑みてなされたものであって、アプリケーションを備えた機器のセキュリティ性を向上させることができる検証装置および検証方法を提供することを目的とする。

【課題を解決するための手段】

【0006】

上記課題を解決し、目的を達成するために、本発明に係る検証装置は、コンピュータを有する。前記コンピュータは、第１アプリケーションがインストールされたときに検証情報を生成して記憶部に記憶する。前記コンピュータは、前記第１アプリケーションのインストール後に、第２アプリケーションがインストールされたときに照合用検証情報として前記検証情報を前記記憶部に記憶する。前記コンピュータは、検証タイミングが到来した場合に、当該検証タイミング時点において前記記憶部に記憶されている前記検証情報と前記照合用検証情報とを照合することで、前記第２アプリケーションの正規性を検証する。

【発明の効果】

【0007】

本発明によれば、アプリケーションを備えた機器のセキュリティ性を向上させることができる。

【図面の簡単な説明】

【0008】

【図1】図１は、実施形態に係る検証方法の概要を示す図である。

【図2】図２は、実施形態に係る検証装置を含む車載システムの構成例を示すブロック図である。

【図3】図３は、第１検証情報の一例を示す図である。

【図4】図４は、第２検証情報の一例を示す図である。

【図5】図５は、第３検証情報の一例を示す図である。

【図6】図６は、検証装置が実行する処理手順を示すフローチャートである。

【発明を実施するための形態】

【0009】

以下、添付図面を参照して、本願の開示する検証装置および検証方法の実施形態を詳細に説明する。なお、以下に示す実施形態によりこの発明が限定されるものではない。

【0010】

＜検証方法の概要＞
以下では先ず、実施形態に係る検証装置による検証方法の概要について図１を参照して説明する。図１は、実施形態に係る検証方法の概要を示す図である。

【0011】

図１に示すように、検証装置１００は、例えば車載機器２０と通信機器５０とに設けられた各検証処理機能部により構成され、これら各機器２０，５０の機能により、車載機器２０のアプリケーションの正規性を検証する検証処理などを行う。

【0012】

車載機器２０および通信機器５０は、図示しない車両に搭載される。車載機器２０は、アプリケーション等を備える。具体的には、車載機器２０には、アプリケーション（以下、「アプリ」と記載する場合がある）がインストールされ、アプリに関する処理を行うことができる。アプリは、任意のアプリであり、例えばナビゲーション、車両制御、音楽再生など各種のアプリである。

【0013】

図１では、アプリが２つである例を示す。また、以下では、２つのアプリのうち一方を「第１アプリ」、他方を「第２アプリ」と記載する場合があり、これらを特に区別せずに説明する場合には「アプリ」と記載する。また、図１の例では、第１アプリが先に車載機器２０にインストールされた後、第２アプリがインストールされるものとする。

【0014】

なお、車載機器２０は、機器の一例である。機器は、車載機器２０に限定されるものではなく、例えばＰＣ（Personal Computer）、スマートフォンやタブレット端末などアプリケーションを備える機器であれば、その他の種類の機器であってもよい。

【0015】

通信機器５０は、アプリのダウンロードなどアプリの通信に関する処理、および、車載機器２０のアプリを管理する処理など、アプリに関する処理を行うことができる機器である。通信機器５０には、例えばアプリを管理する管理ソフトがインストールされる。また、通信機器５０は、車載機器２０と通信可能に接続される。なお、通信機器５０は、機器の一例である。

【0016】

ところで、近年、車載機器２０にアプリが追加でインストールされるとき、あるいは、更新（リプログラミング）用のアプリが車載機器２０にインストールされるとき、例えばＯＴＡ（Over The Air）など無線通信によるデータの送受信（ダウンロード等）が行われることがある。なお、更新用のアプリは、例えば既存のアプリに機能を追加する場合や事後的に不具合が発見された場合にインストールされる。

【0017】

これにより、アプリの追加や更新が容易になる一方、例えば無線通信を利用したマルウェアなどによって誤って不正なアプリが追加されたり、既存のアプリが不正に改ざんされたりするおそれがある。また、悪意のあるユーザにより、例えば不適な機能追加や制限解除等といったアプリに対して不正な改ざんが行われることも考えられる。そのため、アプリを備えた車載機器２０におけるセキュリティ性を向上させることが望まれていた。

【0018】

そこで、本実施形態に係る検証装置１００にあっては、アプリの正規性を検証する検証処理の精度を向上させることで、車載機器２０のセキュリティ性を向上させるようにした。具体的には、検証装置１００は、通信機器５０（あるいは車載機器２０）に固有の固有情報に基づいて検証情報を生成し、かかる検証情報を用いることで、アプリの正規性を精度よく検証し、車載機器２０のセキュリティ性を向上させるようにした。

【0019】

以下、具体的に説明すると、検証装置１００は、アプリの正規性を検証する検証処理に用いる検証情報として、所定検証情報１０と、第１検証情報１１と、第２検証情報１２とを用いる。

【0020】

なお、以下では、各検証情報１０，１１，１２において、車載機器２０の第１アプリに関する記憶部に記憶される情報には符号の末尾に「ａ１」を付し、第２アプリに関する記憶部に記憶される情報には符号の末尾に「ａ２」を付し、通信機器５０の記憶部に記憶される情報には、符号の末尾に「ｂ」を付して説明する場合がある。また、これらを特に区別せずに説明する場合には「所定検証情報１０」、「第１検証情報１１」、「第２検証情報１２」と記載する。

【0021】

所定検証情報１０は、通信機器５０に関する検証情報である。所定検証情報１０ｂは、通信機器５０が予め有している情報である。所定検証情報１０ａ１は、後述する情報生成処理によって車載機器２０の第１アプリに関する記憶部に記憶されるようになった情報である。

【0022】

第１検証情報１１は、第１アプリに関する検証情報である。第１検証情報１１ａ１，１１ｂは、第１アプリがインストールされたときに生成される情報である。第１検証情報１１ａ２は、第２アプリがインストールされたときに車載機器２０の第２アプリに関する記憶部に記憶されるようになった情報である。

【0023】

第２検証情報１２は、第２アプリに関する検証情報である。第２検証情報１２ａ２，１２ｂは、第２アプリがインストールされたときに生成される情報である。

【0024】

〔第２検証情報について〕
以下、理解の便宜のため、第２検証情報１２、第１検証情報１１、所定検証情報１０の順で詳しく説明する。第２検証情報１２には、例えばアプリハッシュ値１２ｘと、機器ハッシュ値１２ｙとが含まれる。

【0025】

アプリハッシュ値１２ｘは、アプリ（ここでは第２アプリ）に固有のアプリ固有情報に所定のハッシュ関数を掛け合わせることで得られるハッシュ値である。アプリ固有情報としては、例えばアプリのバイナリコードやソースコードなどを用いることができるが、これに限定されるものではなく、アプリに固有でハッシュ値を算出可能な情報であればその他の種類の情報であってもよい。なお、上記した所定のハッシュ関数については、車載機器２０および通信機器５０が同じ所定のハッシュ関数を予め有しているものとする、言い換えると、所定のハッシュ関数を共有しているものとする。

【0026】

機器ハッシュ値１２ｙは、上記した通信機器５０（あるいは車載機器２０）に固有の固有情報に基づいて生成される検証情報の一例である。例えば、かかる固有情報には、アプリ（ここでは第２アプリ）のインストール処理に関する情報が含まれる。具体的に、固有情報には、対応するアプリ（ここでは第２アプリ）がインストールされた日時を示す日時情報が含まれる。

【0027】

すなわち、例えば、車両が複数ある場合、複数の車両にはそれぞれ、通信機器５０および車載機器２０が搭載される。そして、アプリは、車両の通信機器５０によってダウンロードされて車載機器２０にインストールされるが、アプリがインストールされるタイミングは、車両ごとに異なる、言い換えると通信機器５０ごとに異なる。従って、上記したインストールされた日時を示す日時情報は、通信機器５０（あるいは車載機器２０）に固有の固有情報である。

【0028】

機器ハッシュ値１２ｙは、固有情報である日時情報に、所定のハッシュ関数を掛け合わせることで得られるハッシュ値である。

【0029】

なお、上記では、固有情報がインストールされた日時情報である場合を例に挙げたが、これに限定されるものではない。すなわち、上記したインストールされた日時は、インストールが開始された日時であってもよいし、インストールが完了した日時であってもよい。また、固有情報は、例えばインストール処理がなされたときの場所を示す情報（具体的には車両の位置情報（例えば、緯度および経度））など、その他の種類の情報であってもよい。

【0030】

上記した第２検証情報１２は、車載機器２０の第２アプリに関する記憶部と、通信機器５０の記憶部とにそれぞれ記憶される。

【0031】

〔第１検証情報について〕
車載機器２０の第２アプリに関する記憶部には、第２検証情報１２ａ２に加え、第２アプリより前にインストールされたアプリに関する検証情報（第１検証情報１１ａ２）が記憶される。なお、第２アプリより前にインストールされたアプリに関する検証情報は、具体的には第２アプリのひとつ前にインストールされたアプリ（ここでは第１アプリ）に関する検証情報、すなわち第１検証情報１１ａ２である。

【0032】

また、第１検証情報１１ａ２も、上記した通信機器５０（あるいは車載機器２０）に固有の固有情報に基づいて生成される検証情報の一例である。詳説すると、第１検証情報１１ａ２は、上記したように、第２アプリより前にインストールされたアプリ（ここでは第１アプリ）に関する検証情報である。

【0033】

ここで、例えば車両が複数ある場合、複数の車両にはそれぞれ、通信機器５０および車載機器２０が搭載される。また、複数の車載機器２０にはそれぞれ、各種のアプリが通信機器５０によってダウンロードされてインストールされるが、このアプリがインストールされる順番は、車両ごとに異なる、言い換えると通信機器５０ごとに異なる。従って、上記した第１検証情報１１ａ２は、通信機器５０（あるいは車載機器２０）に固有の固有情報であるアプリのインストール順（ここでは第１アプリ、第２アプリのインストール順）によって得られる検証情報である。

【0034】

また、第１検証情報１１は、上記した車載機器２０の第２アプリに関する記憶部と、第１アプリに関する記憶部と、通信機器５０の記憶部とにそれぞれ記憶される。

【0035】

次に、第１検証情報１１の内容について説明する。第１検証情報１１には、例えばアプリハッシュ値１１ｘと、機器ハッシュ値１１ｙとが含まれる。

【0036】

アプリハッシュ値１１ｘは、アプリ（ここでは第１アプリ）に固有のアプリ固有情報（例えば第１アプリのバイナリコード）に、所定のハッシュ関数を掛け合わせることで得られるハッシュ値である。

【0037】

機器ハッシュ値１１ｙは、対応するアプリ（ここでは第１アプリ）が車載機器２０にインストールされた日時を示す日時情報に、所定のハッシュ関数を掛け合わせることで得られるハッシュ値である。なお、機器ハッシュ値１１ｙも、機器ハッシュ値１２ｙと同様、通信機器５０に固有の固有情報に基づいて生成される検証情報の一例である。

【0038】

〔所定検証情報について〕
車載機器２０の第１アプリに関する記憶部には、第１検証情報１１ａ１に加え、所定検証情報１０ａ１が記憶される。ここで、第１アプリは、車載機器２０に最初にインストールされたアプリである。言い換えると、第１アプリより前にインストールされたアプリは存在しない。そのため、第２アプリに関する記憶部に記憶される第１検証情報１１ａ２のような、アプリ（ここでは第１アプリ）より前にインストールされたアプリに関する検証情報は存在しない。

【0039】

そこで、本実施形態においては、通信機器５０が予め有している検証情報である「所定検証情報１０ｂ」が車載機器２０の第１アプリに関する記憶部に「所定検証情報１０ａ１」として記憶される。所定検証情報１０の内容は、任意に設定可能であり、通信機器５０に固有の固有情報（例えば製造番号など）によって得られる検証情報であればよい。一例として、所定検証情報１０は、通信機器５０に固有の固有情報（製造番号など）に、所定のハッシュ関数を掛け合わせることで得られるハッシュ値であってもよい。

【0040】

このように、本実施形態にあっては、アプリのインストールの日時情報や、アプリのインストール順など通信機器５０および車載機器２０に固有の固有情報等に基づいて検証情報を生成し、かかる検証情報に基づいてアプリの正規性を検証するように構成したので、例えば不正に改ざんされたアプリを精度よく検出することが可能になるが、これについては後述する。

【0041】

〔検証情報の生成について〕
次に、上記した所定検証情報１０、第１検証情報１１および第２検証情報１２が生成されるタイミングなどについて説明する。

【0042】

車載機器２０および通信機器５０の初期の状態、具体的には、車載機器２０に第１アプリおよび第２アプリがインストールされる前の状態では、通信機器５０が所定検証情報１０ｂを有しているのみである。すなわち、第１検証情報１１および第２検証情報１２は、まだ生成されていない。なお、所定検証情報１０ｂは、通信機器５０の記憶部（後述する管理記憶部７１（図２参照））に記憶される。

【0043】

先ず、第１アプリのインストールについて説明する。具体的には、第１アプリのインストールの要求がなされると、通信機器５０（管理ソフト）は、第１アプリを図示しない外部サーバからダウンロードする。そして、通信機器５０において、ダウンロードされた第１アプリに正規性があることが検証された場合に、車載機器２０へのインストールが行われる。

【0044】

詳しくは、ダウンロードされる第１アプリは、予めアプリハッシュ値を有しており、通信機器５０は、かかるアプリハッシュ値を取得する。また、通信機器５０は、ダウンロードされた第１アプリから、第１アプリのアプリ固有情報（例えば第１アプリのバイナリコード）も取得し、かかるアプリ固有情報に、所定のハッシュ関数を掛け合わせてアプリハッシュ値１１ｘを算出する。

【0045】

通信機器５０は、第１アプリから取得されたアプリハッシュ値と、アプリ固有情報から算出されたアプリハッシュ値１１ｘとを比較して照合することで、第１アプリの正規性を検証する。例えば、通信機器５０は、取得されたアプリハッシュ値と算出されたアプリハッシュ値１１ｘとを比較して一致する場合、第１アプリは正規なアプリであると判定し、車載機器２０へのインストールが行われる。

【0046】

一方、通信機器５０は、取得されたアプリハッシュ値と算出されたアプリハッシュ値１１ｘとが一致しない場合、第１アプリは正規なアプリではないと判定し、車載機器２０へのインストールは行われない。

【0047】

通信機器５０は、第１アプリのインストールが完了すると、第１検証情報１１ｂを生成する。例えば、通信機器５０は、第１アプリのインストールの日時情報に、所定のハッシュ関数を掛け合わせて機器ハッシュ値１１ｙを算出する。そして、通信機器５０は、算出されたアプリハッシュ値１１ｘおよび機器ハッシュ値１１ｙを含む第１検証情報１１ｂを生成し、通信機器５０の記憶部に記憶させる。なお、第１検証情報１１ｂに含まれるアプリハッシュ値１１ｘは、通信機器５０が算出したものであってもよいし、第１アプリが予め有するアプリハッシュ値を用いてもよい。

【0048】

従って、第１アプリのインストール後には、通信機器５０は、所定検証情報１０ｂと第１検証情報１１ｂとを有することとなる。

【0049】

また、通信機器５０は、第１アプリのインストールが完了すると、第１アプリのインストールの日時情報と、自身が有している所定検証情報１０（１０ｂ）とを車載機器２０へ出力する。

【0050】

そして、車載機器２０は、通信機器５０から入力された情報に基づいて第１検証情報１１ａ１を生成する。例えば、車載機器２０は、第１アプリのアプリ固有情報に所定のハッシュ関数を掛け合わせてアプリハッシュ値１１ｘを算出する。なお、車載機器２０は、アプリハッシュ値１１ｘの算出を行わず、第１アプリが予め有するアプリハッシュ値を用いてもよい。

【0051】

また、車載機器２０は、第１アプリのインストールの日時情報に、所定のハッシュ関数を掛け合わせて機器ハッシュ値１１ｙを算出する。そして、車載機器２０は、アプリハッシュ値１１ｘおよび機器ハッシュ値１１ｙを含む第１検証情報１１ａ１を生成し、第１アプリに関する記憶部（後述する第１アプリ記憶部４１（図２参照））に記憶させる。また、車載機器２０は、かかる記憶部に、通信機器５０から入力された所定検証情報１０（１０ａ１）を、第１検証情報１１ａ１とは別に記憶させる。

【0052】

従って、第１アプリのインストール後には、車載機器２０は、第１アプリにおいて所定検証情報１０ａ１と第１検証情報１１ａ１とを有することとなる。なお、車載機器２０は、例えばインストール後の第１アプリに対する不正な改ざんなどを検知するため、記憶部に記憶される所定検証情報１０ａ１および第１検証情報１１ａ１を定期的あるいは不定期に更新する。かかる不定期での更新の例としては、後述する検証処理の直前に更新するなどであるが、これに限定されるものではなく、更新のタイミングは任意に設定可能である。

【0053】

次いで、第２アプリのインストールについて説明する。具体的には、第２アプリのインストールの要求がなされると、通信機器５０（管理ソフト）は、第２アプリを図示しない外部サーバからダウンロードする。そして、通信機器５０において、ダウンロードされた第２アプリに正規性があると検証された場合に、車載機器２０へのインストールが行われる。

【0054】

詳しくは、ダウンロードされる第２アプリは、予めアプリハッシュ値を有しており、通信機器５０は、かかるアプリハッシュ値を取得する。また、通信機器５０は、ダウンロードされた第２アプリから、第２アプリのアプリ固有情報（例えば第２アプリのバイナリコード）も取得し、かかるアプリ固有情報に、所定のハッシュ関数を掛け合わせてアプリハッシュ値１２ｘを算出する。

【0055】

通信機器５０は、第２アプリから取得されたアプリハッシュ値と、アプリ固有情報から算出されたアプリハッシュ値１２ｘとを比較して照合することで、第２アプリの正規性を検証する。例えば、通信機器５０は、取得されたアプリハッシュ値と算出されたアプリハッシュ値１２ｘとを比較して一致する場合、第２アプリは正規なアプリであると判定し、車載機器２０へのインストールが行われる。

【0056】

一方、通信機器５０は、取得されたアプリハッシュ値と算出されたアプリハッシュ値１２ｘとが一致しない場合、第２アプリは正規なアプリではないと判定し、車載機器２０へのインストールは行われない。

【0057】

通信機器５０は、第２アプリのインストールが完了すると、第２検証情報１２ｂを生成する。例えば、通信機器５０は、第２アプリのインストールの日時情報に、所定のハッシュ関数を掛け合わせて機器ハッシュ値１２ｙを算出する。そして、通信機器５０は、算出されたアプリハッシュ値１２ｘおよび機器ハッシュ値１２ｙを含む第２検証情報１２ｂを生成し、通信機器５０の記憶部に記憶させる。なお、第２検証情報１２ｂに含まれるアプリハッシュ値１２ｘは、通信機器５０が算出したものであってもよいし、第２アプリが予め有するアプリハッシュ値を用いてもよい。

【0058】

従って、第２アプリのインストール後には、通信機器５０は、所定検証情報１０ｂと、第１検証情報１１ｂと、第２検証情報１２ｂとを有することとなる。

【0059】

また、通信機器５０は、第２アプリのインストールが完了すると、第２アプリのインストールの日時情報と、自身が有している第２アプリのひとつ前にインストールされた第１アプリに関する検証情報、すなわち第１検証情報１１（１１ｂ）とを車載機器２０へ出力する。

【0060】

そして、車載機器２０は、通信機器５０から入力された情報に基づいて第２検証情報１２ａ２を生成する。例えば、車載機器２０は、第２アプリのアプリ固有情報に所定のハッシュ関数を掛け合わせてアプリハッシュ値１２ｘを算出する。なお、車載機器２０は、アプリハッシュ値１２ｘの算出を行わず、第２アプリが予め有するアプリハッシュ値を用いてもよい。

【0061】

また、車載機器２０は、第２アプリのインストールの日時情報に、所定のハッシュ関数を掛け合わせて機器ハッシュ値１２ｙを算出する。そして、車載機器２０は、アプリハッシュ値１２ｘおよび機器ハッシュ値１２ｙを含む第２検証情報１２ａ２を生成し、第２アプリに関する記憶部（後述する第２アプリ記憶部４２（図２参照））に記憶させる。また、車載機器２０は、かかる記憶部に、通信機器５０から入力された第１検証情報１１（１１ａ２）を、第２検証情報１２ａ２とは別に記憶させる。

【0062】

従って、第２アプリのインストール後には、車載機器２０は、第１アプリにおいて所定検証情報１０ａ１と第１検証情報１１ａ１とを有し、第２アプリにおいて第１検証情報１１ａ２と第２検証情報１２ａ２とを有することとなる。なお、車載機器２０は、例えばインストール後の第２アプリに対する不正な改ざんなどを検知するため、記憶部に記憶される第１検証情報１１ａ２および第２検証情報１２ａ２を定期的あるいは不定期に更新する。かかる不定期での更新の例としては、検証処理の直前に更新するなどであるが、これに限られず、更新のタイミングは任意に設定可能である。

【0063】

〔検証処理について〕
次に、検証装置１００が実行する検証処理について説明する。検証処理は、アプリの正規性を検証する処理である。例えば、検証処理は、インストールされたアプリの正規性を検証する処理であり、具体的には、アプリ（ここでは第１、第２アプリ）が不正に改ざんされたアプリとなっていないかなどを確認する処理である。

【0064】

具体的には、インストールされたアプリに対して改ざんなどがなされると、アプリの記憶部に記憶される検証情報（例えば第１検証情報１１ａ１，１１ａ２や第２検証情報１２ａ２、所定検証情報１０ａ１）の内容やアプリのアプリ固有情報が、インストール時あるいはダウンロード時のものに対して変わる（書き換えられる）。本実施形態に係る検証処理では、かかる検証情報やアプリ固有情報の変化の有無に基づいて、アプリの正規性を検証するようにした。

【0065】

ここで、アプリに対する改ざんの例について説明しておく。改ざんの例としては、アプリのバイナリコードやソースコードなどのアプリ固有情報が改ざんにより書き換えられるものがある。かかる改ざんがなされると、車載機器２０によって更新時に算出されるアプリハッシュ値１１ｘ（１２ｘ）が、インストール時のアプリハッシュ値１１ｘ（１２ｘ）、すなわち通信機器５０側に記憶されたアプリハッシュ値１１ｘ（１２ｘ）と異なることとなる。従って、本実施形態においては、更新後の（現在の）アプリハッシュ値１１ｘ（１２ｘ）とインストール時のアプリハッシュ値１１ｘ（１２ｘ）とを比較することで、アプリに対する改ざんを検知することができる。

【0066】

また、他の例としては、通信機器５０を介さず、第１、第２アプリとは別の不正なインストールソフトによって、アプリに対する改ざん（書き換え）がなされるものがある。かかる改ざんにおいて、バイナリコード等のアプリ固有情報が書き換えられるようなものであれば、本実施形態においては、上記したようにアプリハッシュ値１１ｘ（１２ｘ）がインストール時のものと異なるようになるため、これによりアプリに対する改ざんを検知することができる。

【0067】

ここで、例えば改ざん後のアプリハッシュ値１１ｘ（１２ｘ）がインストール時のものと同じになるような高度な改ざんである場合であっても、本実施形態においては、機器ハッシュ値を用いてアプリに対する改ざんを検知することができる。すなわち、改ざんがなされると、車載機器２０において、車載機器２０（あるいは通信機器５０）に固有の固有情報（例えばアプリのインストールの日時情報等）が変わる。そのため、車載機器２０によって更新時に算出される機器ハッシュ値１１ｙ（１２ｙ）が、インストール時の機器ハッシュ値１１ｙ（１２ｙ）、すなわち通信機器５０側に記憶された機器ハッシュ値１１ｙ（１２ｙ）と異なることとなる。従って、本実施形態においては、更新後の（現在の）機器ハッシュ値１１ｙ（１２ｙ）とインストール時の機器ハッシュ値１１ｙ（１２ｙ）とを比較することで、アプリに対する改ざんを検知することができる。

【0068】

以下、このようなアプリに対する改ざんの検知処理、言い換えると、アプリの正規性を検証する検証処理について詳説する。なお、以下では、通信機器５０（管理ソフト）が検証処理を行う場合を例にとって説明するが、これに限られず、車載機器２０が検証処理を行ってもよい。

【0069】

また、本実施形態に係る検証処理は複数（例えば３つ）ある。複数の検証処理のうち、第１検証処理は、通信機器５０側の検証情報と車載機器２０側の検証情報とを用いた、通信機器５０と車載機器２０との間での相互監視による検証処理である。第２検証処理は、通信機器５０側の検証情報を用いた、通信機器５０側での検証処理である。第３検証処理は、車載機器２０側の検証情報を用いた、アプリとアプリとの間（ここでは第１アプリと第２アプリとの間）での相互監視による検証処理である。

【0070】

〔第１検証処理について〕
先ず第１検証処理について説明する。ここでは、第１検証処理において、第２アプリの正規性を検証する場合を例に挙げて説明する。

【0071】

第１検証処理では、第２検証情報１２ａ２と第２検証情報１２ｂ、および、第１検証情報１１ａ２と第１検証情報１１ｂを用いて第２アプリの正規性を検証する。例えば、通信機器５０は、第１検証処理を実行する所定のタイミングが到来すると、車載機器２０の第２アプリに対し、車載機器２０側に記憶されている第２検証情報１２ａ２および第１検証情報１１ａ２の送信要求を行う。かかる送信要求により、車載機器２０は第２検証情報１２ａ２および第１検証情報１１ａ２を通信機器５０へ送信する。

【0072】

そして、通信機器５０は、車載機器２０から送信された第２検証情報１２ａ２と、通信機器５０の記憶部に記憶されている第２検証情報１２ｂとを比較して照合するとともに、車載機器２０から送信された第１検証情報１１ａ２と、通信機器５０の記憶部に記憶されている第１検証情報１１ｂとを比較して照合することで、第２アプリの正規性を検証する。

【0073】

詳しくは、通信機器５０は、車載機器２０から送信された第２検証情報１２ａ２、すなわち、所定のタイミングが到来した時点で車載機器２０側に記憶されている第２検証情報１２ａ２と、通信機器５０の記憶部に記憶され第２アプリがインストールされたときに生成される第２検証情報１２ｂとを照合することで、第２アプリの正規性を検証する。

【0074】

具体的には、通信機器５０は、第２検証情報１２ａ２のアプリハッシュ値１２ｘと、第２検証情報１２ｂのアプリハッシュ値１２ｘとが一致するか否かを判定する。また、通信機器５０は、第２検証情報１２ａ２の機器ハッシュ値１２ｙと、第２検証情報１２ｂの機器ハッシュ値１２ｙとが一致するか否かを判定する。

【0075】

また、通信機器５０は、車載機器２０から送信された第１検証情報１１ａ２、すなわち、所定のタイミングが到来した時点で車載機器２０側に記憶されている第１検証情報１１ａ２と、第１アプリがインストールされたときに生成されて通信機器５０の記憶部に記憶され、第２アプリがインストールされたときにも通信機器５０の記憶部に記憶されている第１検証情報１１ｂとを照合することで、第２アプリの正規性を検証する。具体的には、通信機器５０は、車載機器２０側の第１検証情報１１ａ２と、通信機器５０側の第１検証情報１１ｂとが一致するか否かを判定する。

【0076】

通信機器５０は、第２検証情報１２ａ２と第２検証情報１２ｂとが一致し、かつ、第１検証情報１１ａ２と第１検証情報１１ｂとが一致した場合、第２アプリに正規性があると判定する、言い換えると、第２アプリは不正アプリではないと判定する。すなわち、通信機器５０は、車載機器２０側の第２検証情報１２ａ２および第１検証情報１１ａ２が、インストール時の検証情報である、通信機器５０側の第２検証情報１２ｂおよび第１検証情報１１ｂに対して変わっていない（書き換えられていない）ことから、第２アプリは正規なアプリであり、不正アプリではないと判定する。

【0077】

他方、通信機器５０は、第２検証情報１２ａ２と第２検証情報１２ｂとが不一致であった場合、または／および、第１検証情報１１ａ２と第１検証情報１１ｂとが不一致であった場合、第２アプリに正規性がないと判定する、言い換えると、第２アプリの正規性が検証されず、第２アプリは不正アプリであると判定する。すなわち、通信機器５０は、車載機器２０側の第２検証情報１２ａ２や第１検証情報１１ａ２が、インストール時の検証情報である、通信機器５０側の第２検証情報１２ｂや第１検証情報１１ｂに対して変わっている（書き換えられている）ことから、現在の第２アプリは改ざんなどがなされた不正アプリであると判定する。

【0078】

なお、上記した第２検証情報１２ａ２と第２検証情報１２ｂとが不一致とは、アプリハッシュ値１２ｘおよび機器ハッシュ値１２ｙのうちの一部が不一致であることを意味するが、これに限られず、例えば全部が不一致であることを意味してもよい。

【0079】

このように、第１検証処理においては、車載機器２０側の検証情報であって所定のタイミングが到来した時点（例えば現在）のアプリの検証情報（ここでは第２検証情報１２ａ２や第１検証情報１１ａ２）と、通信機器５０側の検証情報であってインストール時のアプリの検証情報（ここでは第２検証情報１２ｂや第１検証情報１１ｂ）とを用いて、通信機器５０と車載機器２０との間で相互監視する。これにより、アプリの正規性を検証する検証処理の精度を向上させることができ、よってアプリを備えた車載機器２０のセキュリティ性を向上させることができる。

【0080】

なお、上記では、第１検証処理において、第２アプリの正規性を検証する例を示したが、第１アプリの正規性を検証する場合、通信機器５０は、車載機器２０の第１アプリ側の第１検証情報１１ａ１および所定検証情報１０ａ１と、通信機器５０の第１検証情報１１ｂおよび所定検証情報１０ｂとを照合することで、検証処理を実行する。

【0081】

〔第２検証処理について〕
次に、第２検証処理について説明する。ここでは、第２検証処理において、第２アプリの正規性を検証する場合を例に挙げて説明する。

【0082】

第２検証処理では、アプリハッシュ値を用いて第２アプリの正規性を検証する。例えば、通信機器５０は、第２検証処理を実行する所定のタイミングが到来すると、車載機器２０の第２アプリに固有のアプリ固有情報（例えば第２アプリのバイナリコード）を取得する。通信機器５０は、取得されたアプリ固有情報に所定のハッシュ関数を掛け合わせてアプリハッシュ値を再度算出する。すなわち、通信機器５０は、所定のタイミングが到来した時点でアプリハッシュ値を算出する。

【0083】

そして、通信機器５０は、所定のタイミングが到来した時点で算出されたアプリハッシュ値と、通信機器５０の記憶部に記憶されている第２検証情報１２ｂのアプリハッシュ値１２ｘとを比較して照合することで、第２アプリの正規性を検証する。

【0084】

詳しくは、通信機器５０は、所定のタイミングが到来した時点で再算出されたアプリハッシュ値と、通信機器５０の記憶部に記憶されアプリがインストールされたときに算出されたアプリハッシュ値１２ｘとを照合することで、第２アプリの正規性を検証する。

【0085】

具体的には、通信機器５０は、再算出されたアプリハッシュ値と、第２検証情報１２ｂのアプリハッシュ値１２ｘとが一致するか否かを判定する。通信機器５０は、再算出されたアプリハッシュ値と、第２検証情報１２ｂのアプリハッシュ値１２ｘとが一致した場合、第２アプリに正規性があると判定する、言い換えると、第２アプリは不正アプリではないと判定する。すなわち、通信機器５０は、再算出されたアプリハッシュ値が、インストール時の検証情報であるアプリハッシュ値１２ｘに対して変わっていない（書き換えられていない）ことから、第２アプリは正規なアプリであり、不正アプリではないと判定する。

【0086】

他方、通信機器５０は、再算出されたアプリハッシュ値と、第２検証情報１２ｂのアプリハッシュ値１２ｘとが不一致であった場合、第２アプリに正規性がないと判定する、言い換えると、第２アプリの正規性が検証されず、第２アプリは不正アプリであると判定する。すなわち、通信機器５０は、再算出されたアプリハッシュ値が、インストール時の検証情報であるアプリハッシュ値１２ｘに対して変わっている（書き換えられている）ことから、現在の第２アプリは改ざんなどがなされた不正アプリであると判定する。

【0087】

このように、第２検証処理においては、インストール時からのアプリハッシュ値の変化を通信機器５０（管理ソフト）で検出するようにしたので、アプリの正規性を検証する検証処理の精度を向上させることができ、よってアプリを備えた車載機器２０のセキュリティ性を向上させることができる。

【0088】

なお、上記では、第２検証処理において、第２アプリの正規性を検証する例を示したが、第１アプリの正規性を検証する場合、通信機器５０は、第１アプリのアプリ固有情報に基づいてアプリハッシュ値を再度算出し、算出されたアプリハッシュ値と、通信機器５０の第１検証情報１１ｂのアプリハッシュ値１１ｘとを照合することで、検証処理を実行する。

【0089】

〔第３検証処理について〕
次に、第３検証処理について説明する。ここでは、第３検証処理において、第１アプリおよび第２アプリの正規性を検証する場合を例に挙げて説明する。また、第３検証処理を実行する所定のタイミングが、アプリの起動が要求されたとき（以下では第２アプリの起動が要求されたとき）である場合を例に挙げて説明する。

【0090】

第３検証処理では、第１検証情報１１ａ１と第１検証情報１１ａ２とを用いて第１、第２アプリの正規性を検証する。例えば、通信機器５０は、ユーザなどによって第２アプリの起動が要求され第３検証処理を実行する所定のタイミングが到来すると、車載機器２０の第２アプリに対し、車載機器２０側に記憶されている第１検証情報１１ａ２の送信要求を行う。言い換えると、通信機器５０は、車載機器２０の第２アプリに関する記憶部に記憶された検証情報であって、第２アプリより前にインストールされたアプリに関する検証情報、具体的には第２アプリのひとつ前にインストールされたアプリ（ここでは第１アプリ）に関する検証情報である第１検証情報１１ａ２の送信要求を行う。かかる送信要求により、車載機器２０は第１検証情報１１ａ２を通信機器５０へ送信する。

【0091】

また、通信機器５０は、車載機器２０の第１アプリに対し、車載機器２０側に記憶されている第１検証情報１１ａ１の送信要求を行う。言い換えると、通信機器５０は、車載機器２０の第１アプリに関する記憶部に記憶された検証情報であって、第１アプリに関する検証情報である第１検証情報１１ａ１の送信要求を行う。かかる送信要求により、車載機器２０は第１検証情報１１ａ１を通信機器５０へ送信する。

【0092】

そして、通信機器５０は、車載機器２０から送信された第１検証情報１１ａ２と第１検証情報１１ａ１とを比較して照合することで、第１、第２アプリの正規性を検証する。

【0093】

詳しくは、通信機器５０は、所定のタイミングが到来した時点で車載機器２０の第２アプリに関する記憶部に記憶されている第１検証情報１１ａ２と、所定のタイミングが到来した時点で車載機器２０の第１アプリに関する記憶部に記憶されている第１検証情報１１ａ１とを照合することで、第１、第２アプリの正規性を検証する。

【0094】

具体的には、通信機器５０は、第１検証情報１１ａ２のアプリハッシュ値１１ｘと、第１検証情報１１ａ１のアプリハッシュ値１１ｘとが一致するか否かを判定する。また、通信機器５０は、第１検証情報１１ａ２の機器ハッシュ値１１ｙと、第１検証情報１１ａ１の機器ハッシュ値１１ｙとが一致するか否かを判定する。

【0095】

通信機器５０は、第１検証情報１１ａ２と第１検証情報１１ａ１とが一致した場合、第１、第２アプリに正規性があると判定する、言い換えると、第１、第２アプリは不正アプリではないと判定する。すなわち、通信機器５０は、車載機器２０側の第１検証情報１１ａ２および第１検証情報１１ａ１が、インストール時の検証情報から変わっていない（書き換えられていない）と推定できることから、第１、第２アプリは正規なアプリであり、不正アプリではないと判定する。そして、車載機器２０は、通信機器５０によって第１、第２アプリに正規性があると判定された場合、第２アプリを起動させる。

【0096】

他方、通信機器５０は、第１検証情報１１ａ２と第１検証情報１１ａ１とが不一致であった場合、第１、第２アプリ少なくともいずれかに正規性がないと判定する、正確には、第１、第２アプリの正規性が検証されず、第１、第２アプリのうち少なくとも一方は不正アプリであると判定する。すなわち、通信機器５０は、車載機器２０側の第１検証情報１１ａ２および第１検証情報１１ａ１が、インストール時の検証情報から変わっている（書き換えられている）ことから、現在の第１、第２アプリのうち少なくとも一方は不正に改ざんされたアプリであると判定する。そして、車載機器２０は、通信機器５０によって第１、第２アプリの正規性が検証されなかった場合、第２アプリの起動を行わない、言い換えると第２アプリの起動を禁止する。

【0097】

なお、上記した第１検証情報１１ａ２と第１検証情報１１ａ１とが不一致とは、アプリハッシュ値１１ｘおよび機器ハッシュ値１１ｙのうちの一部が不一致であることを意味するが、これに限られず、例えば全部が不一致であることを意味してもよい。

【0098】

このように、第３検証処理においては、車載機器２０側の検証情報であって起動要求がなされたアプリ（ここでは第２アプリ）が有する、ひとつ前にインストールされたアプリ（ここでは第１アプリ）に関する検証情報（ここでは第１検証情報１１ａ２）と、車載機器２０側の検証情報であって起動要求がなされたアプリのひとつ前にインストールされたアプリ（ここでは第１アプリ）が有する検証情報（ここでは第１検証情報１１ａ１）とを用いて、検証処理を行う。すなわち、第３検証処理においては、アプリとアプリとの間（ここでは第１アプリと第２アプリとの間）で相互監視する。これにより、アプリの正規性を検証する検証処理の精度を向上させることができ、よってアプリを備えた車載機器２０のセキュリティ性を向上させることができる。

【0099】

なお、上記した第１～第３検証処理は、任意に組み合わせることができる。また、上記では、第１～第３検証処理は所定のタイミングが到来するときに実行される。なお、所定のタイミングは、例えば任意の時刻、任意の定期的な時間間隔などに設定される定期検証タイミング、または、アプリの起動要求がなされたタイミングなどであるが、これらに限定されるものではなく、不定期なタイミングや任意のタイミングに設定されてもよい。

【0100】

一例として、第１検証処理および第２検証処理は定期検証タイミングで実行され、第３検証処理はアプリの起動要求がなされたタイミングで実行される。なお、上記した検証処理の組み合わせ、および、検証処理の実行タイミングはあくまでも例示であって限定されるものではない。

【0101】

このように、本実施形態にあっては、アプリに固有のアプリ固有情報に基づいて生成されるアプリハッシュ値に加え、通信機器５０あるいは車載機器２０に固有の固有情報に基づいて生成される検証情報（具体的には機器ハッシュ値や、ひとつ前にインストールされたアプリに関する検証情報）を用いてアプリの正規性を検証するようにした。

【0102】

これにより、検証装置１００は、例えばアプリハッシュ値のみで検証処理を行うような場合に比べて、不正に改ざんされたアプリを精度よく検出することが可能になるため、アプリの正規性を検証する検証処理の精度を向上させることができ、よって車載機器２０のセキュリティ性を向上させることができる。

【0103】

また、本実施形態において、通信機器５０あるいは車載機器２０の固有情報には、アプリのインストール処理に関する情報が含まれるようにした。具体的に、固有情報には、対応するアプリがインストールされた日時を示す日時情報が含まれるようにした。

【0104】

これにより、アプリを備えた車載機器２０において、比較的取得しやすい情報であるインストール処理に関する情報（例えば日時情報）を、固有情報として用いることができる。

【0105】

＜検証装置を含む車載システム＞
次に、実施形態に係る検証装置１００を含む車載システムの構成について、図２を用いて説明する。図２は、実施形態に係る検証装置１００を含む車載システム１の構成例を示すブロック図である。なお、図２のブロック図では、本実施形態の特徴を説明するために必要な構成要素のみを機能ブロックで表しており、一般的な構成要素についての記載を省略している。

【0106】

換言すれば、図２のブロック図に図示される各構成要素は機能概念的なものであり、必ずしも物理的に図示の如く構成されていることを要しない。例えば、各機能ブロックの分散・統合の具体的形態は図示のものに限られず、その全部または一部を、各種の負荷や使用状況などに応じて、任意の単位で機能的または物理的に分散・統合して構成することが可能である。

【0107】

図２に示すように、車載システム１は、上記した検証装置１００と、出力部８０とを備える。

【0108】

出力部８０は、後述するようにアプリの正規性が検証されなかった場合の対応を示す通知など、各種の情報を出力する。例えば、出力部８０は、ディスプレイなどの表示部やスピーカなどの音声出力部を含み、通知などの各種の情報をユーザへ出力する。

【0109】

検証装置１００は、車載機器２０と、通信機器５０とに設けられた各検証処理機能部により構成される。車載機器２０は、車両に搭載される任意の機器である。車載機器２０としては、例えばナビゲーション装置、車両制御装置、オーディオ装置などを用いることができるが、これらに限定されるものではない。

【0110】

また、図２において、車載機器２０には、第１アプリ、第２アプリおよび第３アプリの３つのアプリがインストールされている例を示しているが、アプリの数は例示であって限定されるものではない。また、図２の例では、第１アプリ、第２アプリ、第３アプリの順で車載機器２０にインストールされるものとする。

【0111】

通信機器５０は、アプリの通信に関する処理、車載機器２０のアプリを管理する処理、および、アプリの正規性が検証されなかった場合の対応通知の出力処理など、アプリに関する各種の処理を行うことができる機器である。通信機器５０としては、例えばＴＣＵ（Telematics Control Unit）などを用いることができるが、これに限定されるものではない。また、通信機器５０と車載機器２０とは、無線通信や有線通信を介して通信可能に接続される。

【0112】

〔車載機器の構成について〕
先ず、車載機器２０の詳細な構成について説明する。車載機器２０は、アプリ制御部３０と、車載機器側記憶部４０とを備える。アプリ制御部３０は、アプリ処理部３１と、アプリ側生成部３２とを備え、例えば、ＣＰＵ（Central Processing Unit）、ＲＯＭ（Read Only Memory）、ＲＡＭ（Random Access Memory）、入出力ポートなどを有するコンピュータや各種の回路を含む。

【0113】

コンピュータのＣＰＵは、例えば、ＲＯＭに記憶されたプログラムを読み出して実行することによって、アプリ制御部３０のアプリ処理部３１およびアプリ側生成部３２として機能する。

【0114】

また、アプリ制御部３０のアプリ処理部３１およびアプリ側生成部３２の少なくともいずれか一部または全部をＡＳＩＣ（Application Specific Integrated Circuit）やＦＰＧＡ（Field Programmable Gate Array）等のハードウェアで構成することもできる。

【0115】

また、車載機器側記憶部４０は、例えば、不揮発性メモリ、データフラッシュやハードディスクドライブといった記憶デバイスで構成される記憶部である。かかる車載機器側記憶部４０は、第１アプリ記憶部４１と、第２アプリ記憶部４２と、第３アプリ記憶部４３とを備える。

【0116】

第１アプリ記憶部４１は、第１アプリに関する情報を記憶する記憶部である。第１アプリ記憶部４１には、所定検証情報１０ａ１と、第１検証情報１１ａ１とが記憶される。所定検証情報１０ａ１は、上記したように、通信機器５０に関する検証情報であり、第１アプリがインストールされたときに通信機器５０から出力されて記憶された情報である。

【0117】

第１検証情報１１ａ１は、第１アプリに関する検証情報であり、第１アプリがインストールされたときに生成されて第１アプリ記憶部４１に記憶される情報である。なお、第１アプリ記憶部４１に記憶される所定検証情報１０ａ１および第１検証情報１１ａ１は、上記したように定期的あるいは不定期に更新される。

【0118】

ここで、図３を用いて、第１検証情報１１ａ１について説明する。図３は、第１検証情報１１ａ１の一例を示す図である。図３に示すように、第１検証情報１１ａ１には、「検証ＩＤ」および「検証情報の内容」等の項目が含まれ、各項目は互いに関連付けられている。

【0119】

「検証ＩＤ」は、検証情報を識別する識別情報である。「検証情報の内容」は、検証情報の内容を示す情報である。「検証情報の内容」には、第１アプリハッシュ値および第１機器ハッシュ値などが含まれる。

【0120】

第１アプリハッシュ値は、第１アプリに固有のアプリ固有情報（例えば第１アプリのバイナリコード）に所定のハッシュ関数を掛け合わせることで得られるハッシュ値である。第１機器ハッシュ値は、通信機器５０あるいは車載機器２０に固有の固有情報（例えば第１アプリがインストールされた日時を示す日時情報）に所定のハッシュ関数を掛け合わせることで得られるハッシュ値である。このように、第１検証情報１１ａ１は、これら第１アプリハッシュ値および第１機器ハッシュ値などを含む検証情報である。

【0121】

図２の説明に戻ると、第２アプリ記憶部４２は、第２アプリに関する情報を記憶する記憶部である。第２アプリ記憶部４２には、第１検証情報１１ａ２と、第２検証情報１２ａ２とが記憶される。

【0122】

第１検証情報１１ａ２は、第２アプリがインストールされたときに通信機器５０から出力されて第２アプリ記憶部４２に記憶される情報である。第１検証情報１１ａ２に含まれる検証情報の内容については、上記した第１検証情報１１ａ１と同様であるため、ここでの説明を省略する（図３参照）。但し、情報の中身自体は、改ざんなどにより第１検証情報１１ａ２と第１検証情報１１ａ１とで異なる場合がある。

【0123】

第２検証情報１２ａ２は、第２アプリに関する検証情報であり、第２アプリがインストールされたときに生成されて第２アプリ記憶部４２に記憶される情報である。なお、第２アプリ記憶部４２に記憶される第１検証情報１１ａ２および第２検証情報１２ａ２は、上記したように定期的あるいは不定期に更新される。

【0124】

ここで、図４を用いて、第２検証情報１２ａ２について説明する。図４は、第２検証情報１２ａ２の一例を示す図である。図４に示すように、第２検証情報１２ａ２には、第１検証情報１１ａ１と同様、「検証ＩＤ」および「検証情報の内容」等の項目が含まれ、各項目は互いに関連付けられている。

【0125】

第２検証情報１２ａ２の「検証情報の内容」には、第２アプリハッシュ値および第２機器ハッシュ値などが含まれる。第２アプリハッシュ値は、第２アプリに固有のアプリ固有情報（例えば第２アプリのバイナリコード）に所定のハッシュ関数を掛け合わせることで得られるハッシュ値である。第２機器ハッシュ値は、通信機器５０あるいは車載機器２０に固有の固有情報（例えば第２アプリがインストールされた日時を示す日時情報）に所定のハッシュ関数を掛け合わせることで得られるハッシュ値である。このように、第２検証情報１２ａ２は、これら第２アプリハッシュ値および第２機器ハッシュ値などを含む検証情報である。

【0126】

図２の説明に戻ると、第３アプリ記憶部４３は、第３アプリに関する情報を記憶する記憶部である。第３アプリ記憶部４３には、第２検証情報１２ａ３と、第３検証情報１３ａ３とが記憶される。

【0127】

第２検証情報１２ａ３は、第３アプリがインストールされたときに通信機器５０から出力されて第３アプリ記憶部４３に記憶される情報である。第２検証情報１２ａ３に含まれる検証情報の内容については、上記した第２検証情報１２ａ２と同様であるため、ここでの説明を省略する（図４参照）。但し、情報の中身自体は、改ざんなどにより第２検証情報１２ａ３と第２検証情報１２ａ２とで異なる場合がある。

【0128】

第３検証情報１３ａ３は、第３アプリに関する検証情報であり、第３アプリがインストールされたときに生成されて第３アプリ記憶部４３に記憶される情報である。なお、第３アプリ記憶部４３に記憶される第２検証情報１２ａ３および第３検証情報１３ａ３は、定期的あるいは不定期に更新される。

【0129】

ここで、図５を用いて、第３検証情報１３ａ３について説明する。図５は、第３検証情報１３ａ３の一例を示す図である。図５に示すように、第３検証情報１３ａ３には、第１検証情報１１ａ１等と同様、「検証ＩＤ」および「検証情報の内容」等の項目が含まれ、各項目は互いに関連付けられている。

【0130】

第３検証情報１３ａ３の「検証情報の内容」には、第３アプリハッシュ値および第３機器ハッシュ値などが含まれる。第３アプリハッシュ値は、第３アプリに固有のアプリ固有情報（例えば第３アプリのバイナリコード）に所定のハッシュ関数を掛け合わせることで得られるハッシュ値である。第３機器ハッシュ値は、通信機器５０あるいは車載機器２０に固有の固有情報（例えば第３アプリがインストールされた日時を示す日時情報）に所定のハッシュ関数を掛け合わせることで得られるハッシュ値である。このように、第３検証情報１３ａ３は、これら第３アプリハッシュ値および第３機器ハッシュ値などを含む検証情報である。

【0131】

図２の説明に戻ると、アプリ制御部３０のアプリ処理部３１は、第１アプリ、第２アプリおよび第３アプリに関する処理を行う。例えば、アプリ処理部３１は、各アプリのインストール処理などを行うことができる。具体的には、アプリ処理部３１は、通信機器５０においてダウンロードされたアプリに正規性があることが検証された場合に通信機器５０からインストールの実行指示を受け付け、かかるアプリのインストールを行う。また、アプリ処理部３１は、インストールされたアプリを削除するアンインストール処理を行うことができる。

【0132】

また、アプリ処理部３１は、通信機器５０から出力される、検証情報やアプリ固有情報の送信要求に応じて、第１～第３アプリ記憶部４１～４３に記憶される検証情報や、第１～第３アプリのアプリ固有情報などを通信機器５０へ送信することができる。

【0133】

アプリ側生成部３２は、第１検証情報１１ａ１、第２検証情報１２ａ２、第３検証情報１３ａ３などを生成することができる。なお、アプリ側生成部３２は、生成部の一例である。

【0134】

先ず、第１検証情報１１ａ１の生成について説明する。例えば、アプリ側生成部３２は、第１アプリのインストールが完了すると、第１検証情報１１ａ１を生成する。

【0135】

具体的には、第１アプリのインストールが完了すると、車載機器２０には、第１アプリのインストールの日時情報が通信機器５０から入力される。アプリ側生成部３２は、第１アプリのアプリ固有情報に基づいて第１アプリハッシュ値を算出する。また、アプリ側生成部３２は、入力された第１アプリのインストールの日時情報に基づいて第１機器ハッシュ値を算出する。そして、アプリ側生成部３２は、第１アプリハッシュ値および第１機器ハッシュ値を含む第１検証情報１１ａ１を生成し、第１アプリ記憶部４１に記憶させる（図３参照）。

【0136】

また、第１アプリのインストールが完了すると、車載機器２０には、通信機器５０から所定検証情報１０ｂが入力される。アプリ側生成部３２は、入力された情報を、第１アプリ記憶部４１に所定検証情報１０ａ１として記憶させる。

【0137】

次に、第２検証情報１２ａ２の生成について説明する。例えば、アプリ側生成部３２は、第２アプリのインストールが完了すると、第２検証情報１２ａ２を生成する。

【0138】

具体的には、第２アプリのインストールが完了すると、第２アプリのインストールの日時情報が通信機器５０から入力される。アプリ側生成部３２は、第２アプリのアプリ固有情報に基づいて第２アプリハッシュ値を算出する。また、アプリ側生成部３２は、入力された第２アプリのインストールの日時情報に基づいて第２機器ハッシュ値を算出する。そして、アプリ側生成部３２は、第２アプリハッシュ値および第２機器ハッシュ値を含む第２検証情報１２ａ２を生成し、第２アプリ記憶部４２に記憶させる（図４参照）。

【0139】

また、第２アプリのインストールが完了すると、車載機器２０には、第２アプリのひとつ前にインストールされた第１アプリに関する第１検証情報１１ｂが通信機器５０から入力される。アプリ側生成部３２は、入力された情報を、第２アプリ記憶部４２に第１検証情報１１ａ２として記憶させる。

【0140】

次に、第３検証情報１３ａ３の生成について説明する。例えば、アプリ側生成部３２は、第３アプリのインストールが完了すると、第３検証情報１３ａ３を生成する。

【0141】

具体的には、第３アプリのインストールが完了すると、第３アプリのインストールの日時情報が通信機器５０から入力される。アプリ側生成部３２は、第３アプリのアプリ固有情報に基づいて第３アプリハッシュ値を算出する。また、アプリ側生成部３２は、入力された第３アプリのインストールの日時情報に基づいて第３機器ハッシュ値を算出する。そして、アプリ側生成部３２は、第３アプリハッシュ値および第３機器ハッシュ値を含む第３検証情報１３ａ３を生成し、第３アプリ記憶部４３に記憶させる（図５参照）。

【0142】

また、第３アプリのインストールが完了すると、車載機器２０には、第３アプリのひとつ前にインストールされた第２アプリに関する第２検証情報１２ｂが通信機器５０から入力される。アプリ側生成部３２は、入力された情報を、第２アプリ記憶部４２に第３検証情報１３ａ３として記憶させる。

【0143】

このように、アプリ側生成部３２は、インストールの日時情報など通信機器５０あるいは車載機器２０に固有の固有情報に基づいて、第１検証情報１１ａ１、第２検証情報１２ａ２および第３検証情報１３ａ３を生成し、車載機器側記憶部４０に記憶させる。また、アプリ側生成部３２は、ひとつ前にインストールされたアプリに関する検証情報など、通信機器５０あるいは車載機器２０に固有の固有情報に基づいて生成される検証情報である、所定検証情報１０ａ１や第１検証情報１１ａ２、第２検証情報１２ａ３を車載機器側記憶部４０に記憶させる。

【0144】

〔通信機器の構成について〕
次いで、通信機器５０の詳細な構成について説明する。通信機器５０は、通信部５１と、管理制御部６０と、通信機器側記憶部７０とを備える。

【0145】

通信部５１は、インターネット網などの通信ネットワークに双方向通信可能に接続する通信インターフェイスであり、例えば外部サーバなどと、アプリのダウンロードなどアプリに関する情報の送受信を行う。

【0146】

管理制御部６０は、アプリ管理部６１と、管理側生成部６２と、検証部６３と、通知部６４とを備え、例えば、ＣＰＵ、ＲＯＭ、ＲＡＭ、入出力ポートなどを有するコンピュータや各種の回路を含む。

【0147】

コンピュータのＣＰＵは、例えば、ＲＯＭに記憶されたプログラムを読み出して実行することによって、管理制御部６０のアプリ管理部６１、管理側生成部６２、検証部６３および通知部６４として機能する。

【0148】

また、管理制御部６０のアプリ管理部６１、管理側生成部６２、検証部６３および通知部６４の少なくともいずれか一部または全部をＡＳＩＣやＦＰＧＡ等のハードウェアで構成することもできる。

【0149】

また、通信機器側記憶部７０は、例えば、不揮発性メモリ、データフラッシュやハードディスクドライブといった記憶デバイスで構成される記憶部である。かかる通信機器側記憶部７０は、管理記憶部７１を備える。

【0150】

管理記憶部７１は、アプリケーションの管理に関する情報を記憶する記憶部である。管理記憶部７１には、所定検証情報１０ｂと、第１検証情報１１ｂと、第２検証情報１２ｂと、第３検証情報１３ｂとが記憶される。なお、所定検証情報１０ｂ、第１～第３検証情報１１ｂ，１２ｂ，１３ｂのうち、所定検証情報１０ｂは、管理記憶部７１に予め記憶される、言い換えると、アプリのインストール等が行われる前に記憶される。

【0151】

これら所定検証情報１０ｂ、第１～第３検証情報１１ｂ，１２ｂ，１３ｂに含まれる検証情報の内容については、上記した所定検証情報１０ａ１、第１～第３検証情報１１ａ１，１２ａ２，１３ａ３と同様であるため、ここでの説明を省略する（図３～５参照）。但し、情報の中身自体は、改ざんなどにより異なる場合がある。すなわち、所定検証情報１０ｂと所定検証情報１０ａ１との間、第１検証情報１１ｂと第１検証情報１１ａ１との間、第２検証情報１２ｂと第２検証情報１２ａ２との間、第３検証情報１３ｂと第３検証情報１３ａ３との間で、改ざんなどにより異なる場合がある。

【0152】

管理制御部６０のアプリ管理部６１は、例えばアプリのダウンロードおよびインストールなどアプリの通信に関する管理処理を行うことができる。

【0153】

例えば、アプリ管理部６１は、アプリのインストールの要求がなされると、対応するアプリを図示しない外部サーバからダウンロードする。なお、アプリのインストールの要求は、例えば車載機器２０にアプリが追加されるときや、更新（リプログラミング）用のアプリが配信されるときに、通信機器５０に入力される。

【0154】

アプリ管理部６１は、ダウンロードされたアプリが正規なアプリであるか否かを判定する。一例としては、アプリ管理部６１は、ダウンロードされるアプリが予め有しているアプリハッシュ値を取得する。また、アプリ管理部６１は、ダウンロードされたアプリから、アプリのアプリ固有情報（例えばアプリのバイナリコード）を取得する。アプリ管理部６１は、取得されたアプリ固有情報に所定のハッシュ関数を掛け合わせてアプリハッシュ値を算出する。

【0155】

アプリ管理部６１は、アプリから取得されたアプリハッシュ値と算出されたアプリハッシュ値とを比較し、一致する場合、アプリは正規なアプリであると判定する。アプリ管理部６１は、アプリが正規なアプリであると判定された場合、インストールの実行指示を車載機器２０へ出力し、車載機器２０においてアプリのインストールが行われる。

【0156】

アプリ管理部６１は、アプリのインストールが完了すると、アプリのインストールの日時情報を、管理側生成部６２および車載機器２０へ出力する。

【0157】

また、アプリ管理部６１は、アプリのインストールが完了すると、インストールが完了したアプリのひとつ前にインストールされたアプリに関する検証情報を車載機器２０へ出力する。なお、ひとつ前にインストールされたアプリが存在しない場合、所定検証情報１０ｂを車載機器２０へ出力する。これにより、車載機器２０のアプリ制御部３０によってアプリに関する検証情報が車載機器側記憶部４０に記憶されることは、既に述べた通りである。

【0158】

他方、アプリ管理部６１は、アプリから取得されたアプリハッシュ値と算出されたアプリハッシュ値とが一致しない場合、アプリは正規なアプリではないと判定し、車載機器２０へのインストールは行われない。

【0159】

管理側生成部６２は、第１検証情報１１ｂ、第２検証情報１２ｂ、第３検証情報１３ｂなどを生成することができる。なお、管理側生成部６２は、生成部の一例である。

【0160】

例えば、管理側生成部６２は、第１アプリのインストールが完了すると、第１検証情報１１ｂを生成する。具体的には、第１アプリのインストールが完了すると、管理側生成部６２は、第１アプリのアプリ固有情報に基づいて第１アプリハッシュ値を算出する。また、管理側生成部６２は、第１アプリのインストールの日時情報に基づいて第１機器ハッシュ値を算出する。そして、管理側生成部６２は、第１アプリハッシュ値および第１機器ハッシュ値を含む第１検証情報１１ｂを生成し、管理記憶部７１に記憶させる（図３参照）。

【0161】

例えば、管理側生成部６２は、第２アプリのインストールが完了すると、第２検証情報１２ｂを生成する。具体的には、第２アプリのインストールが完了すると、管理側生成部６２は、第２アプリのアプリ固有情報に基づいて第２アプリハッシュ値を算出する。また、管理側生成部６２は、第２アプリのインストールの日時情報に基づいて第２機器ハッシュ値を算出する。そして、管理側生成部６２は、第２アプリハッシュ値および第２機器ハッシュ値を含む第２検証情報１２ｂを生成し、管理記憶部７１に記憶させる（図４参照）。

【0162】

例えば、管理側生成部６２は、第３アプリのインストールが完了すると、第３検証情報１３ｂを生成する。具体的には、第３アプリのインストールが完了すると、管理側生成部６２は、第３アプリのアプリ固有情報に基づいて第３アプリハッシュ値を算出する。また、管理側生成部６２は、第３アプリのインストールの日時情報に基づいて第３機器ハッシュ値を算出する。そして、管理側生成部６２は、第３アプリハッシュ値および第３機器ハッシュ値を含む第３検証情報１３ｂを生成し、管理記憶部７１に記憶させる（図５参照）。

【0163】

このように、管理側生成部６２は、アプリのインストールの日時情報など通信機器５０あるいは車載機器２０に固有の固有情報に基づいて、第１検証情報１１ｂ、第２検証情報１２ｂおよび第３検証情報１３ｂを生成し、管理記憶部７１に記憶させる。

【0164】

検証部６３は、上記のようにして生成された検証情報に基づいて、アプリの正規性を検証する検証処理を実行する。例えば、検証部６３は、アプリのインストール後、所定のタイミングが到来した場合に、検証処理（第１～第３検証処理）を実行する。

【0165】

なお、所定のタイミングは、上記したように、定期検証タイミング、または、アプリの起動要求がなされたタイミングなどである。ここでは、定期検証タイミングで第１検証処理および第２検証処理が実行され、アプリの起動要求がなされたタイミングで第３検証処理が実行される場合を例に挙げて説明するが、これに限定されるものではない。

【0166】

〔第１検証処理の実行について〕
検証部６３は、例えば定期検証タイミングが到来した場合に、第１検証処理を実行する。以下、第１検証処理で第２アプリの正規性を検証する場合を例に挙げて説明する。

【0167】

検証部６３は先ず、車載機器２０に対して第２検証情報１２ａ２および第１検証情報１１ａ２の送信要求を行う。詳しくは、検証部６３は、第２アプリに関する検証情報であって、第２アプリに関する情報を記憶する第２アプリ記憶部４２に記憶されている第２検証情報１２ａ２および第１検証情報１１ａ２の送信要求を行う。これにより、車載機器２０から第２検証情報１２ａ２および第１検証情報１１ａ２が送信され、検証部６３は、送信された第２検証情報１２ａ２および第１検証情報１１ａ２を取得する。すなわち、検証部６３は、所定のタイミングである定期検証タイミングが到来した時点で第２アプリ記憶部４２に記憶されている第２検証情報１２ａ２および第１検証情報１１ａ２を取得する。

【0168】

次に、検証部６３は、管理記憶部７１に記憶される第２検証情報１２ｂおよび第１検証情報１１ｂを取得する。すなわち、検証部６３は、アプリケーションの管理に関する情報を記憶する管理記憶部７１に記憶され第２アプリがインストールされたときに生成される第２検証情報１２ｂと、第１アプリがインストールされたときに生成され第２アプリがインストールされたときに管理記憶部７１に記憶されている第１検証情報１１ｂとを取得する。

【0169】

そして、検証部６３は、取得された第２検証情報１２ａ２と第２検証情報１２ｂとを比較して照合するとともに、第１検証情報１１ａ２と第１検証情報１１ｂとを比較して照合することで、第２アプリの正規性を検証する（図１の第１検証処理参照）。具体的には、検証部６３は、第２検証情報１２ａ２および第２検証情報１２ｂにそれぞれ含まれる、アプリハッシュ値、機器ハッシュ値同士を比較し、第１検証情報１１ａ２および第１検証情報１１ｂにそれぞれ含まれる、アプリハッシュ値、機器ハッシュ値同士を比較して一致するか否かを判定する。

【0170】

検証部６３は、第２検証情報１２ａ２と第２検証情報１２ｂとが一致し、かつ、第１検証情報１１ａ２と第１検証情報１１ｂとが一致した場合、第２アプリに正規性があると判定する。言い換えると、検証部６３は、車載機器２０側の第２検証情報１２ａ２および第１検証情報１１ａ２が、インストール時の検証情報である、通信機器５０側の第２検証情報１２ｂおよび第１検証情報１１ｂに対して変わっていない（書き換えられていない）ことから、第２アプリは正規なアプリであり、不正アプリではないと判定する。

【0171】

他方、検証部６３は、第２検証情報１２ａ２と第２検証情報１２ｂとが不一致であった場合、または／および、第１検証情報１１ａ２と第１検証情報１１ｂとが不一致であった場合、第２アプリに正規性がないと判定する。すなわち、検証部６３は、車載機器２０側の第２検証情報１２ａ２や第１検証情報１１ａ２が通信機器５０側の第２検証情報１２ｂや第１検証情報１１ｂに対して変わっている（書き換えられている）ことから、現在の第２アプリは改ざんなどがなされた不正アプリであると判定する。

【0172】

このように、第１検証処理においては、車載機器２０側の検証情報と通信機器５０側の検証情報とを比較して相互監視することで、アプリの正規性を検証する検証処理の精度を向上させることができ、よってアプリを備えた車載機器２０のセキュリティ性を向上させることができる。

【0173】

〔第２検証処理の実行について〕
検証部６３は、例えば定期検証タイミングが到来した場合に、第２検証処理を実行する。以下、第２検証処理で第２アプリの正規性を検証する場合を例に挙げて説明する。

【0174】

例えば、検証部６３は、定期検証タイミングが到来すると、車載機器２０に対して第２アプリのアプリ固有情報の送信要求を行う。これにより、車載機器２０から第２アプリのアプリ固有情報が送信され、検証部６３は、送信された第２アプリのアプリ固有情報を取得する。検証部６３は、取得された第２アプリのアプリ固有情報に所定のハッシュ関数を掛け合わせて、第２アプリのアプリハッシュ値を再度算出する。すなわち、検証部６３は、定期検証タイミングが到来した時点の（現在の）第２アプリのアプリハッシュ値を算出する。

【0175】

次に、検証部６３は、管理記憶部７１に記憶される第２検証情報１２ｂのアプリハッシュ値を取得する。すなわち、検証部６３は、管理記憶部７１に記憶され第２アプリがインストールされたときに算出される、第２検証情報１２ｂのアプリハッシュ値を取得する。

【0176】

そして、検証部６３は、定期検証タイミングが到来した時点で算出される第２アプリのアプリハッシュ値と、第２アプリがインストールされたときに算出される第２アプリのアプリハッシュ値とを比較して照合することで、第２アプリの正規性を検証する（図１の第２検証処理参照）。

【0177】

検証部６３は、定期検証タイミング時の第２アプリのアプリハッシュ値と、インストール時の第２アプリのアプリハッシュ値とが一致した場合、第２アプリに正規性があると判定する。言い換えると、検証部６３は、再算出された第２アプリのアプリハッシュ値が、インストール時の検証情報である第２アプリのアプリハッシュ値に対して変わっていない（書き換えられていない）ことから、第２アプリは正規なアプリであり、不正アプリではないと判定する。

【0178】

他方、検証部６３は、定期検証タイミング時の第２アプリのアプリハッシュ値と、インストール時の第２アプリのアプリハッシュ値とが不一致であった場合、第２アプリに正規性がないと判定する。すなわち、検証部６３は、再算出された第２アプリのアプリハッシュ値が、インストール時の第２アプリのアプリハッシュ値に対して変わっている（書き換えられている）ことから、現在の第２アプリは改ざんなどがなされた不正アプリであると判定する。

【0179】

このように、第２検証処理においては、定期検証タイミングが到来した時点の（現在の）アプリハッシュ値と、インストール時のアプリハッシュ値とを比較してインストール時からのアプリハッシュ値の変化を検出するようにしたので、アプリの正規性を検証する検証処理の精度を向上させることができ、よってアプリを備えた車載機器２０のセキュリティ性を向上させることができる。

【0180】

〔第３検証処理の実行について〕
検証部６３は、例えばアプリの起動要求がなされた場合に、第３検証処理を実行する。以下、第２アプリ等の正規性を検証する場合を例に挙げて説明する。

【0181】

検証部６３は、第２アプリの起動要求がなされると先ず、車載機器２０の第２アプリに対し、第２アプリ記憶部４２に記憶される検証情報であって、第２アプリより前にインストールされた第１アプリに関する検証情報である第１検証情報１１ａ２の送信要求を行う。これにより、車載機器２０から第１検証情報１１ａ２が送信され、検証部６３は、送信された第１検証情報１１ａ２を取得する。すなわち、検証部６３は、第２アプリの起動要求がなされた時点で第２アプリ記憶部４２に記憶されている第１検証情報１１ａ２を取得する。

【0182】

次に、検証部６３は、車載機器２０の第１アプリに対し、第１アプリ記憶部４１に記憶される第１検証情報１１ａ１の送信要求を行う。これにより、車載機器２０から第１検証情報１１ａ１が送信され、検証部６３は、送信された第１検証情報１１ａ１を取得する。すなわち、検証部６３は、第２アプリの起動要求がなされた時点で第１アプリ記憶部４１に記憶されている第１検証情報１１ａ１を取得する。

【0183】

そして、検証部６３は、取得された第１検証情報１１ａ２と第１検証情報１１ａ１とを比較して照合することで、第１、第２アプリの正規性を検証する（図１の第３検証処理参照）。具体的には、検証部６３は、第１検証情報１１ａ２および第１検証情報１１ａ１にそれぞれ含まれる、アプリハッシュ値および機器ハッシュ値同士を比較して一致するか否かを判定する。

【0184】

検証部６３は、第１検証情報１１ａ２と第１検証情報１１ａ１とが一致した場合、第１、第２アプリに正規性があると判定する。言い換えると、検証部６３は、第１検証情報１１ａ２および第１検証情報１１ａ１が、インストール時の検証情報から変わっていない（書き換えられていない）と推定できることから、第１、第２アプリは正規なアプリであり、不正アプリではないと判定する。

【0185】

他方、検証部６３は、第１検証情報１１ａ２と第１検証情報１１ａ１とが不一致であった場合、第１、第２アプリの少なくともいずれかに正規性がないと判定する。すなわち、検証部６３は、第１検証情報１１ａ２および第１検証情報１１ａ１が、インストール時の検証情報から変わっている（書き換えられている）ことから、現在の第１、第２アプリのうち少なくとも一方は改ざんなどがなされた不正アプリであると判定する。

【0186】

上記した検証処理が完了すると、検証部６３は、上記した検証処理による検証結果（比較結果）を示す情報を、車載機器２０および通知部６４へ送信する。車載機器２０のアプリ処理部３１は、第１、第２アプリに正規性があることを示す検証結果の場合、第２アプリを起動させる。一方、アプリ処理部３１は、第１、第２アプリの少なくともいずれかに正規性がないことを示す検証結果の場合、第２アプリの起動を行わない、言い換えると第２アプリの起動を禁止する。

【0187】

このように、第３検証処理においては、起動要求がなされた第２アプリの第２アプリ記憶部４２が有する、第２アプリ以前にインストールされた第１アプリの第１検証情報１１ａ２と、第２アプリ以前にインストールされた第１アプリの第１アプリ記憶部４１が有する第１アプリの第１検証情報１１ａ１とを用いて、アプリとアプリとの間（ここでは第１アプリと第２アプリとの間）で相互監視する。これにより、アプリの正規性を検証する検証処理の精度を向上させることができ、よってアプリを備えた車載機器２０のセキュリティ性を向上させることができる。

【0188】

〔通知について〕
通知部６４は、上記した各検証処理の検証結果を示す情報に応じた通知を行うことができる。例えば、通知部６４は、検証処理によってアプリの正規性が検証されなかった場合、言い換えると、アプリが不正アプリであることを示す検証結果であった場合、当該アプリに対して行うべき対応を、出力部８０を介して車載機器２０のユーザに通知する。

【0189】

一例として、通知部６４は、正規性が検証されなかったアプリについて、削除する処理（アンインストール処理）を促す通知を行うことができる。そして、かかる通知を受けたユーザの操作により、例えば車載機器２０に対して、正規性が検証されなかったアプリの削除を要求する操作がなされた場合、車載機器２０は、当該アプリを削除するアンインストール処理を行う。

【0190】

このように、アプリの正規性が検証されなかった場合、当該アプリケーションに対して行うべき対応を通知するよう構成したので、例えばユーザは、不正アプリを削除するなど適切な対応をとることが可能になる。

【0191】

また、通知部６４は、検証処理によってアプリの正規性が検証された場合、当該アプリが正規なアプリであることを示す通知を行ってもよい。これにより、例えばユーザは、車載機器２０のアプリの安全性を確認することができる。

【0192】

＜実施形態に係る検証装置の制御処理＞
次に、検証装置１００における具体的な処理手順について図６を用いて説明する。図６は、検証装置１００が実行する処理手順を示すフローチャートである。

【0193】

図６に示すように、検証装置１００は、アプリのインストール要求があるか否かを判定する（ステップＳ１０）。検証装置１００は、アプリのインストール要求があると判定された場合（ステップＳ１０，Ｙｅｓ）、アプリを外部サーバからダウンロードする処理を実行する（ステップＳ１１）。

【0194】

次いで、検証装置１００は、ダウンロードしたアプリが正規なアプリであるか否かを検証する（ステップＳ１２）。検証装置１００は、ダウンロードしたアプリが正規なアプリではない、すなわち正規性がないと検証された場合（ステップＳ１２，Ｎｏ）、アプリのインストールを行わず、処理を終了する。

【0195】

検証装置１００は、ダウンロードしたアプリが正規なアプリである、すなわち正規性があると検証された場合（ステップＳ１２，Ｙｅｓ）、アプリの車載機器２０へのインストールを行う（ステップＳ１３）。

【0196】

次いで、検証装置１００は、通信機器５０あるいは車載機器２０に固有の固有情報や、アプリに固有にアプリ固有情報などに基づいて検証情報を生成する（ステップＳ１４）。なお、検証装置１００は、ステップＳ１０の処理において、アプリのインストール要求がないと判定された場合（ステップＳ１０，Ｎｏ）、ステップＳ１１～ステップＳ１４の処理をスキップする。

【0197】

次いで、検証装置１００は、定期検証タイミングが到来したか否かを判定する（ステップＳ１５）。検証装置１００は、定期検証タイミングが到来したと判定された場合（ステップＳ１５，Ｙｅｓ）、第１検証処理を実行し（ステップＳ１６）、続いて第２検証処理を実行する（ステップＳ１７）。なお、図６の例では、第１検証処理、第２検証処理の順で処理が行われるようにしたが、これに限られず、例えば第２検証処理、第１検証処理の順で処理が行われてもよいし、第１、第２検証処理が同時に行われてもよい。

【0198】

次いで、検証装置１００は、第１、第２検証処理において、アプリに正規性があることが検証されたか否かを判定する（ステップＳ１８）。検証装置１００は、アプリに正規性がないと判定された場合（ステップＳ１８，Ｎｏ）、当該アプリに対して行うべき対応を通知する（ステップＳ１９）、例えばアプリの削除を促す通知を行う。

【0199】

一方、検証装置１００は、アプリに正規性があることが検証された場合（ステップＳ１８，Ｙｅｓ）、あるいは、ステップＳ１５において定期検証タイミングが到来していないと判定された場合（ステップＳ１５，Ｎｏ）、アプリの起動要求がなされたか否かを判定する（ステップＳ２０）。

【0200】

検証装置１００は、アプリの起動要求がなされていないと判定された場合（ステップＳ２０，Ｎｏ）、以降の処理をスキップする。他方、検証装置１００は、アプリの起動要求がなされたと判定された場合（ステップＳ２０，Ｙｅｓ）、第３検証処理を実行する（ステップＳ２１）。

【0201】

次いで、検証装置１００は、第３検証処理において、アプリに正規性があることが検証されたか否かを判定する（ステップＳ２２）。検証装置１００は、アプリに正規性があることが検証された場合（ステップＳ２２，Ｙｅｓ）、アプリを起動させる（ステップＳ２３）。

【0202】

他方、検証装置１００は、アプリに正規性がないと判定された場合（ステップＳ２２，Ｎｏ）、アプリを起動させずにステップＳ１９に進み、当該アプリに対して行うべき対応を通知する、例えばアプリの削除を促す通知を行う。

【0203】

上述してきたように、実施形態に係る検証装置１００は、生成部（アプリ側生成部３２、管理側生成部６２）と、検証部６３とを備える。生成部は、アプリケーションに関する処理を行う機器（車載機器２０、通信機器５０）に固有の固有情報に基づいて検証情報を生成する。検証部６３は、生成部によって生成された検証情報に基づいてアプリケーションの正規性を検証する検証処理を実行する。これにより、アプリケーションを備えた車載機器２０のセキュリティ性を向上させることができる。

【0204】

なお、上記した実施形態において、アプリのバイナリコードやソースコードなどのアプリ固有情報に基づいてアプリハッシュ値が算出され、アプリのインストールの日時情報など通信機器５０（あるいは車載機器２０）に固有の固有情報に基づいて機器ハッシュ値がそれぞれ算出されるようにしたが、これに限定されるものではない。すなわち、例えばアプリ固有情報（バイナリコード等）と通信機器５０等に固有の固有情報（インストールの日時情報等）を合成し、合成された情報に所定のハッシュ関数を掛け合わせてハッシュ値が算出されるようにし、かかるハッシュ値に基づいて検証処理が行われるように構成してもよい。

【0205】

なお、上記では、車載機器２０および通信機器５０が、それぞれ各種の処理を行うようにしたが、各種の処理が行われる装置は、上記に限定されるものではない。すなわち、車載機器２０で行われる処理の一部あるいは全部が、通信機器５０で行われるようにしてもよい。また、通信機器５０で行われる処理の一部あるいは全部が、車載機器２０で行われるようにしてもよい。

【0206】

さらなる効果や変形例は、当業者によって容易に導き出すことができる。このため、本発明のより広範な態様は、以上のように表しかつ記述した特定の詳細および代表的な実施形態に限定されるものではない。したがって、添付の特許請求の範囲およびその均等物によって定義される総括的な発明の概念の精神または範囲から逸脱することなく、様々な変更が可能である。

【符号の説明】

【0207】

１ 車載システム
２０ 車載機器
３０ アプリ制御部
３２ アプリ側生成部
５０ 通信機器
６０ 管理制御部
６２ 管理側生成部
６３ 検証部
６４ 通知部
１００ 検証装置

【図1】

【図2】

【図3】

【図4】

【図5】

【図6】