JP7497250B2 - データ処理方法、エッジ装置、および、データ処理システム - Google Patents

Description

本発明は、データを処理するデータ処理方法、エッジ装置、および、データ処理システムに関する。

エッジコンピューティングシステムは、エッジ分散処理を活用したＩｏＴ（Ｉｎｔｅｒｎｅｔ ｏｆ Ｔｈｉｎｇｓ）プラットフォームであり、一般的に、通信コストの削減、トラフィック軽減による通信安定性向上、リアルタイムなデータ処理、オフライン時のサービス継続性などのメリットがある。これらのメリットを活かした新たなデータ活用サービスを提供するために、サービス事業者は、ＡＩ（Ａｒｔｉｆｉｃｉａｌ Ｉｎｔｅｌｌｉｇｅｎｃｅ）技術やノウハウを利用した自社の重要プログラムの一部を、ユーザが所有するエッジ側のＩｏＴ機器に実装したいニーズが増えている。

なお、特許文献１は、知能型ＩｏＥエッジコンピューティングシステムを開示する。この知能型ＩｏＥエッジコンピューティングシステムは、自動構成型ＩｏＴ情報フレームワーク、エッジノード基盤の時系列データ予測及び決定技術及びこれに基づいたサービスにおいて、様々なアプリケーションに適用するためにモジュール化されたエッジコンピューティングエンティティを有し、知能型トラフィックを分析及び予測する。

特開２０２０－４４１４号公報

エッジコンピューティングシステムにおいてエッジとなるＩｏＴ機器の台数が多く、かつ、そのライフサイクルも長い。したがって、ＩｏＴ機器は、物理的に攻撃を受ける可能性が高く、収集データだけでなく、実装するプログラムの漏洩や改ざんなどのセキュリティリスクも大きいということが、ＩｏＴ機器に重要な処理を実装する際の課題となる。また、コネクテッドカーのように高い安全性が要求される機器の場合、安全性を確保するために、機器管理者（製造メーカ）以外の第三者によるプログラム実装は難しい場合が多い。

本発明は、通信負荷および計算負荷が低減するセキュアなデータ処理を提供することを目的とする。

本願において開示される発明の一側面となるデータ処理方法は、収集対象から収集データを取得するエッジ装置と、前記エッジ装置と通信可能な第１計算機と、によって実行されるデータ処理方法であって、前記エッジ装置が、内部に格納された情報を外部から参照ができないセキュア領域内に前記収集データを格納し、格納した前記収集データに基づいて、前記収集データよりもデータ量が小さく、かつ、不可逆な第１データを前記セキュア領域内で算出する第１算出処理と、前記エッジ装置が、前記第１算出処理によって算出された第１データを前記第１計算機に送信する第１通信処理と、前記第１計算機が、前記通信処理によって前記エッジ装置から送信されてきた前記第１データに基づいて、第２データを算出する第２算出処理と、を含み、前記エッジ装置は、前記収集データから前記第１算出処理を実行するプログラムで使用される特定の収集データを選択する選択情報を前記セキュア領域に記憶しており、前記第１算出処理では、前記エッジ装置は、前記選択情報にしたがって、前記収集データのうち特定の収集データのみを前記セキュア領域に取得し、取得した前記特定の収集データに基づいて、前記特定の収集データよりもデータ量が小さく、かつ、不可逆な第１データを前記セキュア領域内で算出する、ことを特徴とする。

本発明の代表的な実施の形態によれば、通信負荷および計算負荷が低減するセキュアなデータ処理を提供することができる。前述した以外の課題、構成及び効果は、以下の実施例の説明により明らかにされる。

図１は、実施例１にかかるエッジコンピューティングシステムの運用例を示す説明図である。 図２は、事業者サーバのハードウェア構成例を示すブロック図である。 図３は、ＩｏＴ機器のハードウェア構成例を示すブロック図である。 図４は、事業者サーバの機能的構成例を示すブロック図である。 図５は、ＩｏＴ機器の機能的構成例を示すブロック図である。 図６は、実施例１にかかるエッジコンピューティングシステムのエッジコンピューティングシーケンス例を示すシーケンス図である。 図７は、実施例２にかかるエッジコンピューティングシステムの運用例１を示す説明図である。 図８は、実施例２にかかるエッジコンピューティングシステムの運用例２を示す説明図である。 図９は、実施例２にかかるサーバの機能的構成例を示すブロック図である。 図１０は、実施例２にかかるエッジコンピューティングシステムのエッジコンピューティングシーケンス例１を示すシーケンス図である。 図１１は、実施例２にかかるエッジコンピューティングシステムのエッジコンピューティングシーケンス例２を示すシーケンス図である。 図１２は、中間データの一例を示す説明図である。 図１３は、実施例２にかかるエッジコンピューティングシステムの保険料算定シーケンス例を示すシーケンス図である。 図１４は、実施例４にかかるエッジコンピューティングシステムの保険料算定シーケンス例１を示すシーケンス図である。 図１５は、実施例４にかかるエッジコンピューティングシステムの保険料算定シーケンス例２を示すシーケンス図である。 図１６は、ＧＥＯフェンスを用いたテレマティクス保険の適用例を示す説明図である。

＜エッジコンピューティングシステムの運用例＞
図１は、実施例１にかかるエッジコンピューティングシステムの運用例を示す説明図である。エッジコンピューティングシステム１００は、事業者サーバ１０１と、エッジ装置となるＩｏＴ機器１０２と、を有するデータ処理システムである。

事業者サーバ１０１とＩｏＴ機器１０２は、インターネット、ＬＡＮ（Ｌｏｃａｌ Ａｒｅａ Ｎｅｔｗｏｒｋ）、ＷＡＮ（Ｗｉｄｅ Ａｒｅａ Ｎｅｔｗｏｒｋ）などのネットワークを介して通信可能に接続される。事業者サーバ１０１は、たとえば、ＩｏＴ機器１０２のユーザにサービスを提供するサービス事業者により運用される計算機である。

エッジコンピューティングシステム１００は、アプリケーション（以下、アプリ）１１０を実行する。具体的には、たとえば、ＩｏＴ機器１０２はそれぞれ、アプリ１１０の前段処理となる第１アプリ１１１をセキュア領域１３０に有し、事業者サーバ１０１は、アプリ１１０の後段処理となる第２アプリ１１２を有する。

第１アプリ１１１はそれぞれ、ＩｏＴ機器１０２がセンサやアクチュエータで検出された膨大な検出データ１２０から第１データ１２１を算出し、事業者サーバ１０１に送信するためのプログラムである。検出データ１２０は、センサやアクチュエータの設置数や検出回数に比例してデータ量が増大するデータである。なお、第１アプリ１１１は、検出データ１２０に限らず、外部からの割り込み信号や制御信号も取得して、第１データ１２１の算出に用いてもよい。なお、検出データ１２０、外部からの割り込み信号および制御信号を総称して、収集データ１２０と称す。

第１データ１２１は、アプリ１１０が生成する中間データであり、第２アプリ１１２に入力される。第１データ１２１は、検出データよりもデータ量が低減されたデータである。また、第１データ１２１は、事業者サーバ１０１において検出データに戻すことができない不可逆なデータである。第１データ１２１は、たとえば、ＩｏＴ機器１０２を使用するユーザを評価する評価値である。また、第１データ１２１からは、第１データ１２１が何を意味するデータであるかはわからない。

セキュア領域１３０は、たとえば、ＴＥＥ（Ｔｒｕｓｔｅｄ Ｅｘｅｃｕｔｉｏｎ Ｅｎｖｉｒｏｎｍｅｎｔ：トラスト実行環境）技術が適用された領域である。セキュア領域１３０は、セキュアＯＳで管理され、内部に格納された情報を外部から参照ができないようになっている。したがって、セキュア領域１３０に格納されたセキュアＯＳ、第１アプリ１１１、収集データ１２０、第１データ１２１を改ざんすることは困難である。

万が一、ＩｏＴ機器１０２のセキュア領域１３０外に存在するプログラムがマルウェアに感染したり、ハッキングされたりした場合でも、セキュア領域１３０のセキュアＯＳ、第１アプリ１１１、収集データ１２０、第１データ１２１が破壊される可能性は、ＴＥＥが適用されていない領域に比べて低い。セキュア領域１３０は、たとえば、物理的な耐タンパ性のあるセキュアエレメントやハードウェアセキュリティモジュールで構成されてもよい。

第２アプリ１１２は、ＩｏＴ機器１０２の各々から第１データ１２１を受信して、ＩｏＴ機器１０２ごとに第２データ１２２を算出するためのプログラムである。第２データは、たとえば、または事業者サーバ１０１を運用するサービス事業者が提供するサービスに利用される。第２アプリ１１２は、ユーザの評価値である第１データ１２１に基づいて、ユーザに提供するサービスに関するデータを算出する。

このように、アプリ１１０の一部である第１アプリ１１１をＩｏＴ機器１０２に実装することにより、各ＩｏＴ機器１０２は、収集データ１２０のかわりに第１データ１２１を事業者サーバ１０１に送信する。これにより、送信データ量の削減を図ることができる。

また、第１アプリ１１１、収集データ１２０、および第１データ１２１はセキュア領域１３０内で管理されるため、ＩｏＴ機器１０２のユーザや第三者による改ざんは困難である。したがって、安全性の向上を図ることができる。また、第１データ１２１は、圧縮や暗号化のように元の収集データ１２０には戻せるような可逆的なデータではなく、不可逆なデータである。したがって、第１データ１２１が漏洩したとしても、どのように利用すればよいか不明である。

また、事業者サーバ１０１は、ＩｏＴ機器１０２の各々の収集データ１２０から第１データ１２１を算出せずに、第２データ１２２を算出する。したがって、事業者サーバ１０１の処理負荷の低減化を図ることができる。

＜事業者サーバ１０１のハードウェア構成例＞
図２は、事業者サーバ１０１のハードウェア構成例を示すブロック図である。事業者サーバ１０１は、プロセッサ２０１と、記憶デバイス２０２と、入力デバイス２０３と、出力デバイス２０４と、通信インターフェース（通信ＩＦ）２０５と、を有する。プロセッサ２０１、記憶デバイス２０２、入力デバイス２０３、出力デバイス２０４、および通信ＩＦ２０５は、バス２０６により接続される。プロセッサ２０１は、事業者サーバ１０１を制御する。記憶デバイス２０２は、プロセッサ２０１の作業エリアとなる。また、記憶デバイス２０２は、各種プログラムやデータを記憶する非一時的なまたは一時的な記録媒体である。記憶デバイス２０２としては、たとえば、ＲＯＭ（Ｒｅａｄ Ｏｎｌｙ Ｍｅｍｏｒｙ）、ＲＡＭ（Ｒａｎｄｏｍ Ａｃｃｅｓｓ Ｍｅｍｏｒｙ）、ＨＤＤ（Ｈａｒｄ Ｄｉｓｋ Ｄｒｉｖｅ）、フラッシュメモリがある。入力デバイス２０３は、データを入力する。入力デバイス２０３としては、たとえば、キーボード、マウス、タッチパネル、テンキー、スキャナがある。出力デバイス２０４は、データを出力する。出力デバイス２０４としては、たとえば、ディスプレイ、プリンタ、スピーカがある。通信ＩＦ２０５は、ネットワーク１０３と接続し、データを送受信する。

＜ＩｏＴ機器１０２のハードウェア構成例＞
図３は、ＩｏＴ機器１０２のハードウェア構成例を示すブロック図である。ＩｏＴ機器１０２は、プロセッサ３００と、第１メモリ３０１と、第２メモリ３０２と、通信ＩＦ３０３と、を有する。また、ＩｏＴ機器１０２は、センサ／アクチュエータ３０４と接続される。

プロセッサ３００は、ＩｏＴ機器１０２を制御する。具体的には、たとえば、プロセッサ３００は、非セキュアな第１メモリ３０１に記憶されているプログラムを用いて、非セキュアな通常処理を実行する。また、プロセッサ３００は、セキュア領域１３０となる第２メモリ３０２に記憶されている第１アプリ１１１などのプログラムを用いて、セキュアな処理を実行する。

プロセッサ３００がシングルコアである場合、プロセッサ３００は、通常処理とセキュアな処理とを、時分割で実行する。プロセッサ３００が２つ存在する場合、一方のプロセッサ３００が第１メモリ３０１にアクセスして通常処理を実行し、他方のプロセッサ３００が第２メモリ３０２にアクセスして、セキュアな処理を実行する。プロセッサ３００がマルチコアプロセッサの場合も同様である。

第１メモリ３０１は、非セキュアな通常ＯＳ（Ｏｐｅｒａｔｉｎｇ Ｓｙｓｔｅｍ）と通常ＯＳ上で実行される第１プログラムとを記憶する。当該第１プログラムは、プロセッサ３００に、センサ／アクチュエータ３０４を制御させたり、センサ／アクチュエータ３０４と事業者サーバ１０１との間のデータ処理を実行させたりする。

第２メモリ３０２は、セキュアなＯＳと当該セキュアなＯＳ上で実行される第２プログラムとを記憶する。第２プログラムには、センサ／アクチュエータ３０４で取得された収集データ１２０に基づいて、第１データ１２１を算出するための第１アプリ１１１が含まれる。

通信ＩＦ３０３は、ネットワーク１０３と接続し、データを送受信する。なお、プロセッサ３００、第１メモリ３０１および第２メモリ３０２には、ＴＥＥ技術が用いられる。ＴＥＥ技術は、第１メモリ３０１を非セキュアな通常領域として使用し、第２メモリ３０２をセキュア領域１３０として使用する。

センサ／アクチュエータ３０４は、１以上のセンサまたは１以上のアクチュエータのうち少なくとも１以上のセンサを含む。センサは、ＩｏＴ機器１０２、ＩｏＴ機器１０２の接続先装置、またはＩｏＴ機器１０２周辺の環境に関する情報を検出する。センサとしては、たとえば、カメラ、加速度センサ、速度センサ、人感センサ、温度センサ、湿度センサ、音響センサ（マイクロホン）、振動センサ、赤外線深度センサ、エンコーダ、圧力センサがある。

アクチュエータは、入力電気信号を物理的運動に変換する機械要素である。アクチュエータの挙動は、センサによって検出され、または、アクチュエータは、センサによって検出された検出データに応じて駆動される。アクチュエータとしては、たとえば、電気モータや電磁ソレノイド、油圧シリンダや空気圧シリンダのような圧力装置がある。図３では、センサ／アクチュエータ３０４は、ＩｏＴ機器１０２外に設けたが、ＩｏＴ機器１０２の構成要素としてＩｏＴ機器１０２の内部に設けられてもよい。

＜事業者サーバ１０１の機能的構成例＞
図４は、事業者サーバ１０１の機能的構成例を示すブロック図である。事業者サーバ１０１は、通信部４００と、管理ＤＢ（Ｄａｔａ Ｂａｓｅ）４１０と、アプリＤＢ４２０と、算出結果ＤＢ４３０と、接続機器管理部４０１と、アプリ管理部４０２と、データ算出部４０３と、を有する。

通信部４００は、通信ＩＦ３０４により、ＩｏＴ機器１０２から第１データ１２１などのデータを受信したり、ＩｏＴ機器１０２にアプリなどのデータを送信したりする。

接続機器管理部４０１、アプリ管理部４０２、およびデータ算出部４０３は、具体的には、たとえば、図２に示した記憶デバイス２０２に記憶されたプログラムをプロセッサ２０１に実行させることにより実現される。管理ＤＢ４１０、アプリＤＢ４２０、および算出結果ＤＢ４３０は、具体的には、たとえば、図２に示した記憶デバイス２０２、または、事業者サーバ１０１がアクセス可能な他のコンピュータの記憶デバイス２０２により実現される。

管理ＤＢ４１０は、共通鍵と選択情報とを、ＩｏＴ機器１０２ごとに記憶する。共通鍵は、事業者サーバ１０１とＩｏＴ機器１０２との間で互いに所有し、データを暗号化または復号するための情報である。共通鍵は、ＩｏＴ機器１０２ごとにＩｏＴ機器１０２で生成され、公開鍵暗号方式により、事業者サーバ１０１に送信される。

選択情報は、センサ／アクチュエータ３０４から収集されるデータの種類を選択する情報である。選択情報は、ＩｏＴ機器１０２で実行される第１アプリ１１１に依存する。たとえば、あるＩｏＴ機器１０２の選択情報は、カメラからの画像データを選択する（または選択しない）という情報を有する。

接続機器管理部４０１は、接続機器であるＩｏＴ機器１０２を管理する。具体的には、たとえば、接続機器管理部４０１は、管理ＤＢ４１０にアクセス可能であり、ＩｏＴ機器１０２から共通鍵を取得する。また、接続機器管理部４０１は、ＩｏＴ機器１０２ごとに第１アプリ１１１に選択情報を設定してＩｏＴ機器１０２に送信するとともに、管理ＤＢ４１０において選択情報と共通鍵とを関連付ける。また、接続機器管理部４０１は、通信部４００を介して、ＩｏＴ機器１０２とＳＳＬ（Ｓｅｃｕｒｅ Ｓｏｃｋｅｔｓ Ｌａｙｅｒ）／ＴＬＳ（Ｔｒａｎｓｐｏｒｔ Ｌａｙｅｒ Ｓｅｃｕｒｉｔｙ）のような暗号化通信を実行してもよい。

アプリＤＢ４２０は、第１アプリ１１１および第２アプリ１１２を記憶する。第１アプリ１１１は、いずれのＩｏＴ機器１０２においても同一の実行内容でもよく、ＩｏＴ機器１０２ごとに異なる実行内容でもよい。

アプリ管理部４０２は、第１アプリ１１１および第２アプリ１１２を管理する。具体的には、たとえば、アプリ管理部４０２は、接続機器管理部４０１からの要求に応じて、アプリＤＢ４２０からＩｏＴ機器１０２ごとに第１アプリ１１１を読み出して、接続機器管理部４０１に渡す。

算出結果ＤＢ４３０は、データ算出部４０３による算出結果を記憶する。データ算出部４０３は、ＩｏＴ機器１０２で第１アプリ１１１が算出した第１データ１２１を入力して、第２データ１２２を算出し、算出結果として算出結果ＤＢ４３０に格納する。

＜ＩｏＴ機器１０２の機能的構成例＞
図５は、ＩｏＴ機器１０２の機能的構成例を示すブロック図である。ＩｏＴ機器１０２は、非セキュアな通常領域５０１において制御部５１１を有し、セキュア領域１３０においてデータ収集部５２１とデータ処理部５２２とセキュリティ処理部５２３とを有する。

制御部５１１は、ＩｏＴ機器１０２に接続されるセンサ／アクチュエータ３０４からデータを収集して分析し、その分析結果に基づき、アクチュエータのリアルタイム制御を行う。制御部５１１を実現するプログラムは、ＩｏＴ機器１０２の出荷時以降、基本的に変更されることはないが、ＩｏＴ機器１０２の管理者のみがソフトウェアップデートで処理内容を変更することができる。

また、プロセッサ３００の処理性能が不足するような大規模なデータ分析については、収集データ１２０を通信ＩＦ３０４を介して事業者サーバ１０１に転送する。この場合、事業者サーバ１０１が収集データ１２０について分析を行い、その分析結果を再度ＩｏＴ機器１０２にフィードバックして制御を行うようにしてもよい。

セキュア領域１３０は、通常領域５０１とは別の特別なセキュアＯＳで管理され、外部や通常領域５０１から直接アクセスできず、プログラムやデータを改ざんすることは困難である。万が一、通常領域５０１側のプログラムがマルウェアに感染したり、ハッキングされたりした場合でも、セキュア領域１３０のプログラムやデータが破壊される可能性は低い。

セキュア領域１３０は、データ収集部５２１と、データ処理部５２２と、セキュリティ処理部５２３と、を有する。データ収集部５２１は、ＩｏＴ機器１０２に接続されるセンサ／アクチュエータ３０４からの収集データ１２０を取得する。ただし、センサ／アクチュエータ３０４に限らず、ＩｏＴ機器１０２内で接続される他の機器からのデータも収集してよい。データ収集部５２１は、収集データ１２０を第２メモリ３０２に格納する。データ収集部５２１は収集データ１２０の収集のみを実行し、センサ／アクチュエータ３０４を制御できない。

データ処理部５２２は、通常領域５０１に実装されるプログラムとは異なるプログラムにより実現され、具体的には、たとえば、事業者サーバ１０１から提供される第１アプリ１１１により実現される機能である。データ処理部５２２は、データ収集部５２１によって取得された収集データ１２０に基づいて、さまざまなデータ処理を実行する。

データ処理部５２２は、たとえば、ＩｏＴ機器１０２の機能向上を目的に複数のカメラからの画像データを融合するセンサフュージョン処理を実行してもよく、センサ／アクチュエータ３０４からの状態データに基づいて、センサによる監視対象またはアクチュエータの故障予兆診断処理を実行してもよい。

具体的には、たとえば、データ処理部５２２は、データ収集部５２１から収集されたデータよりもデータ量が少なくなるように第１データ１２１を算出する。これにより、ＩｏＴ機器１０２から事業者サーバ１０１へアップロードするデータ量を削減することができ、事業者サーバ１０１の計算負荷の低減化を図ることができる。

また、データ処理部５２２は、データ圧縮や暗号化など、事業者サーバ１０１において可逆的なデータではなく、不可逆な第１データ１２１を算出する。これにより、第１データ１２１が漏洩したとしても、第１データ１２１がどのような意味を持つか外部からは不明であり、また、第１データ１２１を収集データ１２０に戻すことができないため、漏洩によるリスクの低減化を図ることができる。

このように、第１アプリ１１１がＡＩやノウハウを活用した重要なアルゴリズムを含んでいても、セキュア領域１３０で保護されているため、外部への流出や改ざん、窃取などを抑止することができる。ただし、データ処理部５２２は、データ収集部５２１と同様、センサ／アクチュエータ３０４を制御できない。

また、データ処理部５２２は、プログラム更新機能を有し、事業者サーバ１０１からの指示によって、第１アプリ１１１を更新したり、消去したりすることができる。セキュア領域１３０におけるデータ処理部５２２が実行する第１アプリ１１１のインストールや更新は、たとえば、ＩＥＴＦ（Ｉｎｔｅｒｎｅｔ Ｅｎｇｉｎｅｅｒｉｎｇ Ｔａｓｋ Ｆｏｒｃｅ）で検討中であるＴＥＥＰ（Ｔｒｕｓｔｅｄ Ｅｘｅｃｕｔｉｏｎ Ｅｎｖｉｒｏｎｍｅｎｔ Ｐｒｏｖｉｓｉｏｎｉｎｇ）プロトコルのような標準化された手法で実行される。

また、データ処理部５２２には、初期状態で第１アプリ１１１が実装されていなくてもよい。また、データ処理部５２２は、センサ／アクチュエータ３０４から直接収集データ１２０を収集するのではなく、一度、データ収集部５２１で収集された収集データ１２０から選択的に出力される収集データ１２０を使用してもよい。この場合、データ収集部５２１は、ＩｏＴ機器１０２の管理者の設定により、または、セキュリティ処理部５２３によって相互認証された事業者サーバ１０１からの選択情報により、選択的にデータ処理部５２２に収集データ１２０を出力する。

セキュリティ処理部５２３は、データ処理部５２２から事業者サーバ１０１に転送する第１データ１２１に対するデジタル署名や暗号化、事業者サーバ１０１とＩｏＴ機器１０２との相互認証処理などのセキュリティ処理を実行する。セキュリティ処理部５２３は、暗号処理部５３１と、認証処理部５３２と、署名処理部５３３と、を有する。暗号処理部５３１は、データ処理部５２２で生成された第１データ１２１の暗号化を実行する

認証処理部５３２は、事業者サーバ１０１との相互認証処理を実行する。署名処理部５３３は、データ処理部５２２からの第１データ１２１への署名処理を実行する。暗号化処理部５３１、認証処理部５３２および署名処理部５３３で必要となるＩｏＴ機器１０２の共通鍵や選択情報のようなセキュアデータは、セキュア領域１３０である第２メモリ３０２に格納されている。

セキュアデータ管理部５３０は、外部からの不正なアクセス、物理的な攻撃が確認された場合に、内容を強制消去するなど物理的な耐タンパ機能を有する。また、セキュリティ処理部５２３は、セキュア領域１３０に実装される構成に限らず、物理的な耐タンパ性のあるセキュアエレメントやハードウェアセキュリティモジュールなど、プロセッサ３００とは別のセキュア領域１３０内のデバイスで構成してもよい。

また、ＩｏＴ機器１０２は、通信部５０３を有する。通信部５０３は、通信ＩＦ３０４により、第１アプリ１１１などの各種データを事業者サーバ１０１から受信したり、第１データ１２１などの各種データを事業者サーバ１０１に送信したりする。

＜エッジコンピューティングシーケンス＞
図６は、実施例１にかかるエッジコンピューティングシステム１００のエッジコンピューティングシーケンス例を示すシーケンス図である。なお、ＩｏＴ機器１０２には、セキュア領域１３０に第１アプリ１１１がインストールされ、データ処理部５２２により第１アプリ１１１が実行可能であるものとする。

ＩｏＴ機器１０２の運用が開始されると、セキュア領域１３０において、データ収集部５２１は、センサ／アクチュエータ３０４からのデータを収集する（ステップＳ６０１）。データ処理部５２２は、セキュア領域１３０において、データ収集部５２１によって収集された収集データ１２０に基づいて、第１データ１２１を算出する（ステップＳ６０１）。第１データ１２１は通信部５０３によって事業者サーバ１０１に送信される。

事業者サーバ１０１は、通信部５０３により第１データ１２１をＩｏＴ機器１０２から受信し（ステップＳ６０３）、第１データ１２１に基づいて、データ算出部４０３により第２データ１２２を算出する（ステップＳ６０４）。そして、事業者サーバ１０１は、第２データ１２２を用いて評価レポートを作成する（ステップＳ６０５）。評価レポートは、事業者サーバ１０１を使用したサービス事業者が、たとえば、ＩｏＴ機器１０２のユーザに対するサービス提供に使用するデータである。

このように、実施例１によれば、各ＩｏＴ機器１０２は、収集データ１２０のかわりにデータ量が削減された第１データ１２１を事業者サーバ１０１に送信するため、送信データ量の削減を図ることができる。

また、第１アプリ１１１、収集データ１２０、および第１データ１２１はセキュア領域１３０内で管理されるため、ＩｏＴ機器１０２のユーザや第三者による改ざんは困難となり、安全性の向上を図ることができる。また、第１データ１２１は、圧縮や暗号化のように元の収集データ１２０には戻せるような可逆的なデータではなく、不可逆なデータであり、それ自体何を意味するかは外部から理解不能である。したがって、第１データ１２１が漏洩したとしても、問題は生じない。

また、事業者サーバ１０１は、ＩｏＴ機器１０２の各々の収集データ１２０から第１データ１２１を算出せずに、第２データ１２２を算出するため、事業者サーバ１０１の処理負荷の低減化を図ることができる。

実施例２について説明する。実施例２では、ＩｏＴ機器１０２の台数が増加した場合に、サービス事業者が、ＩｏＴ機器１０２の管理をデータ管理事業者に委託する場合の例である。具体的には、たとえば、データ管理事業者が運用する計算機（データ管理サーバ）が、サービス事業者が運用する事業者サーバ１０１に替わって、ＩｏＴ機器１０２との間のデータ通信をおこなう。なお、実施例２では、実施例１との相違点を中心に説明するため、実施例１と同一構成には同一符号を付し、その説明を省略する。

＜エッジコンピューティングシステム１００の運用例＞
図７は、実施例２にかかるエッジコンピューティングシステム１００の運用例１を示す説明図である。図７は、サービス事業者が、ＩｏＴ機器１０２への第１アプリ１１１の配信をデータ管理事業者に委託した場合の運用例を示す。

図７において、エッジコンピューティングシステム１００は、データ管理サーバ７０１と、事業者サーバ７０２と、ＩｏＴ機器１０２と、を有する。データ管理サーバ７０１、事業者サーバ７０２およびＩｏＴ機器１０２は、ネットワーク１０３を介して通信可能に接続される。事業者サーバ７０２は、たとえば、ＩｏＴ機器１０２のユーザにサービスを提供するサービス事業者により運用される計算機である。データ管理サーバ７０１は、ＩｏＴ機器１０２との間のデータ通信をサービス事業者から請け負うデータ管理事業者によって運用される計算機である。

事業者サーバ７０２Ａ、７０２Ｂはそれぞれ、第１アプリ１１１Ａ、１１１Ｂを有する。各事業者サーバ１０１の第１アプリ１１１はそれぞれのサービス事業者独自のプログラムであり、収集データ１２０の種類は、それぞれの選択情報に依存する。

データ管理サーバ７０１は、サービス事業者とのサービス提供契約を締結したユーザのＩｏＴ機器１０２に第１アプリ１１１を配信する。具体的には、たとえば、データ管理サーバ７０１は、ＩｏＴ機器１０２Ｘ，１０２Ｙに第１アプリ１１１Ａを送信する。また、データ管理サーバ７０１は、ＩｏＴ機器１０２Ｚに第１アプリ１１１Ｂを送信する。

図８は、実施例２にかかるエッジコンピューティングシステム１００の運用例２を示す説明図である。図８は、サービス事業者が、ＩｏＴ機器１０２からの第１データ１２１の収集をデータ管理事業者に委託した場合の運用例を示す。

ＩｏＴ機器１０２Ｘ，１０２Ｙは、収集データ１２０Ｘ，１２０Ｙに基づいて、第１アプリ１１１Ａにより、第１データ１２１Ｘ、１２１Ｙを算出し、データ管理サーバ７０１に送信する。同様に、ＩｏＴ機器１０２Ｚは、収集データ１２０Ｚに基づいて、第１アプリ１１１Ｂにより、第１データ１２１Ｚを算出し、データ管理サーバ７０１に送信する。

事業者サーバ１０１は、所定のタイミングでデータ管理サーバ７０１から第１データ１２１Ｘ，１２１Ｙ，１２１Ｚを取得する。そして、事業者サーバ１０１は、第１データ１２１Ｘ，１２１Ｙの各々に基づいて、第２アプリ１１２Ａにより、ＩｏＴ機器１０２Ｘについて第２データ１２２Ａ（Ｘ）を算出し、ＩｏＴ機器１０２Ｙについて第２データ１２２Ａ（Ｙ）を算出する。また、事業者サーバ１０１は、第１データ１２１Ｚに基づいて、第２アプリ１１２Ｂにより、ＩｏＴ機器１０２Ｚについて第２データ１２２Ｂ（Ｚ）を算出する。

これにより、事業者サーバ７０２Ａを運用するサービス事業者は、ＩｏＴ機器１０２Ｘ、１０２Ｙのユーザの各々に、第２データ１２２Ａ（Ｘ），１２２Ａ（Ｙ）を用いたサービスを提供する。同様に、事業者サーバ７０２Ｂを運用するサービス事業者は、ＩｏＴ機器１０２Ｚのユーザの各々に、第２データ１２２Ｂ（Ｚ）を用いたサービスを提供する。

＜サーバの機能的構成例＞
図９は、実施例２にかかるサーバの機能的構成例を示すブロック図である。事業者サーバ１０１は、通信部４００、データ算出部４０３、アプリＤＢ４２０、算出結果ＤＢ４３０のほか、アプリ抽出部９０４を有する。アプリ抽出部９０４は、アプリＤＢ４２０から第１アプリ１１１を抽出する。これにより、通信部４００は、抽出した第１アプリ１１１をデータ管理サーバ７０１に送信する。アプリ抽出部９０４および通信部４００は、具体的には、たとえば、図２に示した記憶デバイス２０２に記憶されたプログラムをプロセッサ２０１に実行させることにより実現される。

データ管理サーバ７０１は、接続機器管理部４０１および管理ＤＢ４１０のほか、通信部９００を有する。通信部９００は、ＩｏＴ機器１０２に第１アプリ１１１および選択情報を配信したり、ＩｏＴ機器１０２から第１データ１２１を収集したりする。通信部９００は、具体的には、たとえば、図２に示した記憶デバイス２０２に記憶されたプログラムをプロセッサ２０１に実行させることにより実現される。

接続機器管理部４０１は、事業者サーバ１０１から送信されてくる第１アプリ１１１を、共通鍵および選択情報と関連づけて管理ＤＢ４１０に記憶する。また、接続機器管理部４０１は、管理ＤＢ４１０に格納された第１データ１２１を抽出する。通信部９００は、抽出された第１データ１２１を事業者サーバ１０１に送信する。

＜エッジコンピューティングシーケンス＞
図１０は、実施例２にかかるエッジコンピューティングシステム１００のエッジコンピューティングシーケンス例１を示すシーケンス図である。図１０では、サービス事業者Ａが運用する事業者サーバ７０２Ａとデータ管理サーバ７０１とＩｏＴ機器１０２Ｘとを例に挙げて説明する。

事業者サーバ７０２ＡにおいてサービスＡが開始されると、事業者サーバ１０１は、データ管理サーバ７０１にサービスＡに関する第１アプリ１１１Ａを送信する（ステップＳ１００１Ａ）。データ管理サーバ７０１は、サービス事業者Ａのサービス対象であるＩｏＴ機器１０２Ｘに対し、第１アプリ１１１Ａを配信して、第１アプリ１１１Ａのインストールを指示する（ステップＳ１００２Ａ）。ステップＳ１００２Ａでは、ＩｏＴ機器１０２Ｘの機器認証も実行される。機器認証により、データ管理サーバ７０１との暗号化通信に用いられる共通鍵および事業者サーバ７０２Ａが設定した第１アプリ１１１の選択情報がＩｏＴ機器１０２Ｘのセキュア領域１３０に格納される。

ＩｏＴ機器１０２Ｘは、第１アプリ１１１Ａをセキュア領域１３０にインストールし（ステップＳ１００３Ａ）、選択情報にしたがって選択された特定の収集データ１２０に基づく第１データ１２１（以下、Ｘ（Ａ）と表記）の算出を開始する（ステップＳ１００４Ａ）。データ管理サーバ７０１は、第１データＸ（Ａ）の収集を繰り返す（ステップＳ１００５Ａ）。事業者サーバ７０２Ａは、データ管理サーバ７０１で収集された第１データＸ（Ａ）を定期的に回収して、サービスＡに関する第２アプリ１１２Ａにより、第２データ１２２（Ａ（Ｘ）と表記）を算出する（ステップＳ１００６Ａ）。

このようにして、サービス事業者Ａは、ＩｏＴ機器１０２Ｘへの第１アプリ１１１Ａの配信、ＩｏＴ機器１０２Ｘからの第１データＸ（Ａ）の収集を、データ管理事業者に委託することができる。これにより、事業者サーバ７０２Ａの負荷低減を図ることができる。

図１１は、実施例２にかかるエッジコンピューティングシステム１００のエッジコンピューティングシーケンス例２を示すシーケンス図である。図１１では、ＩｏＴ機器１０２Ｘのユーザが、ＩｏＴ機器１０２Ｘで受けるサービスのサービス事業者を、サービスＡを提供するサービス事業者ＡからサービスＢを提供するサービス事業者Ｂに変更する場合の例である。図１１の実行前では、ＩｏＴ機器１０２Ｘのユーザは、サービス事業者ＡのサービスＡと契約しているものとする。

データ管理サーバ７０１は、サービス事業者Ａのサービス対象であるＩｏＴ機器１０２Ｘに対し、第１アプリ１１１Ａのアンインストールを指示する（ステップＳ１１０１Ａ）。ステップＳ１１０１Ａでは、ＩｏＴ機器１０２Ｘの機器認証も実行される。ＩｏＴ機器１０２Ｘは、セキュア領域１３０から第１アプリ１１１Ａのアンインストールする（ステップＳ１１０２Ａ）。アンインストールにより、データ管理サーバ７０１との暗号化通信に用いられる共通鍵および事業者サーバ７０２Ａが設定した第１アプリ１１１Ａの選択情報もセキュア領域１３０から削除される。

このあと、サービス切替先の事業者サーバ７０２ＢにおいてサービスＢが開始されると、事業者サーバ１０１は、データ管理サーバ７０１にサービスＢに関する第１アプリ１１１Ｂを送信する（ステップＳ１００１Ｂ）。第１アプリ１１１Ｂは、第１アプリ１１１Ａとは異なる計算を実行するアプリである。

データ管理サーバ７０１は、サービス事業者Ｂのサービス対象であるＩｏＴ機器１０２Ｘに対し、第１アプリ１１１Ｂを配信して、第１アプリ１１１Ｂのインストールを指示する（ステップＳ１００２Ｂ）。ステップＳ１００２Ｂでは、ＩｏＴ機器１０２Ｘの機器認証も実行される。機器認証により、データ管理サーバ７０１との暗号化通信に用いられる共通鍵および事業者サーバ７０２Ｂが設定した第１アプリ１１１Ｂの選択情報がＩｏＴ機器１０２Ｘに格納される。

ＩｏＴ機器１０２Ｘは、第１アプリ１１１Ｂをセキュア領域１３０にインストールし（ステップＳ１００３Ｂ）、選択情報にしたがって選択された特定の収集データ１２０に基づく第１データ１２１（以下、Ｘ（Ｂ）と表記）の算出を開始する（ステップＳ１００４Ｂ）。データ管理サーバ７０１は、第１データＸ（Ｂ）の収集を繰り返す（ステップＳ１００５Ｂ）。事業者サーバ１０１は、データ管理サーバ７０１で収集された第１データＸ（Ｂ）を定期的に回収して、第２アプリ１１２Ｂにより、第２データ１２２（Ｂ（Ｘ）と表記）を算出する（ステップＳ１００６Ｂ）。

このように、データ管理サーバ７０１は、ＩｏＴ機器１０２Ｘに適用されるサービスＡ，Ｂの切り替えを円滑に実行することができる。

なお、上述した実施例２の説明では、データ管理事業者が運営するデータ管理サーバ７０１が第１アプリ１１１の配信を代行したが、以下のような運用を追加してもよい。たとえば、ＩｏＴ機器１０２には、ＩｏＴ機器１０２が計測したデータをデータ管理サーバ７０１に送信するためのアプリがセキュア領域１３０に実装される。データ管理事業者が運営するデータ管理サーバ７０１は、ＩｏＴ機器１０２の各々が計測したデータを収集し、所定の分析を実行する。データ管理サーバ７０１は、その分析結果を第１データ１２１に付与して、事業者サーバ７０２に送信する。これにより、データ管理事業者は、付加価値のある分析結果を第１データ１２１とともにサービス事業者に提供することができる。

実施例３は、実施例１にかかるエッジコンピューティングシステム１００を、テレマティクス自動車保険に適用した例である。テレマティクス自動車保険とは、保険契約者が運転する自動車の走行距離や運転頻度のほか、運転特性（急発進、速度超過、急ブレーキなど）といった運転データを収集データ１２０（以下、運転データ１２０と表記）として取得して分析し、保険料率や保険料といった保険料データを算定する自動車保険商品である。

テレマティクス自動車保険では、ＩｏＴ機器１０２は保険契約者の車両（以下、契約車両）に実装され、事業者サーバ１０１は、自動車保険商品を提供する保険事業者（自動車保険会社）により運用される。契約車両が増加すると、契約車両から収集する運転データのデータ量が膨大となり、ＩｏＴ機器１０２と事業者サーバ１０１との間の通信コストや事業者サーバ１０１での運転データ１２０の分析コストが増大する。また、契約車両に実装されたＩｏＴ機器１０２や、ＩｏＴ機器１０２と事業者サーバ１０１との間の通信経路において、運転データが改ざんされる可能性もある。

したがって、実施例３では、実施例１にかかるエッジコンピューティングシステム１００を、テレマティクス自動車保険に適用することにより、テレマティクス保険を提供する保険事業者が収集すべき運転データ１２０のデータ量を削減し、かつ、運転データ１２０の改ざん防止を図る。なお、実施例３では、実施例１との相違点を中心に説明するため、実施例１と同一構成には同一符号を付し、その説明を省略する。

図１に示したエッジコンピューティングシステム１００を、テレマティクス自動車保険に適用する場合、ＩｏＴ機器１０２は、契約車両に実装されたＥＣＵ（Ｅｌｅｃｔｒｏｎｉｃ Ｃｏｎｔｒｏｌ Ｕｎｉｔ）またはゲートウェイである。センサ／アクチュエータ３０４のうち、センサは、たとえば、ＧＰＳ（Ｇｌｏｂａｌ Ｐｏｓｉｔｉｏｎｉｎｇ Ｓｙｓｔｅｍ）衛星からの信号により現在位置を測位する測位装置、カメラ、車速センサ、加速度センサ、レインセンサ、トルクセンサであり、アクチュエータは、たとえば、ブレーキアクチュエータ、パワーステアリング装置、ワイパーモータである。

また、アプリ１１０は、保険料や保険料率といった保険料データを算定する算定プログラムである。第１アプリ１１１は、算定プログラムにおいて保険料データの算定に必要な評価値を示す中間データを、運転データ１２０に基づいて算出するための中間プログラムである。第２アプリ１１２は、中間データに基づいて保険料データを算出するための算出プログラムである。

第１アプリ１１１が実行されるセキュア領域１３０は、ＴＥＥによりハードウェアレベルでＩｏＴ機器１０２にアイソレーションされており、セキュリティ強度が高い。このため、機密情報である第１アプリ１１１およびその算出結果である中間データを窃取や改ざんから保護することができる。また、ＩｏＴ機器１０２には第２アプリ１１２が存在しないため、中間データを参照しても、中間データからどのようにして保険料が算出されるかは不明である。

＜中間データ＞
図１２は、中間データ１２００の一例を示す説明図である。図１２に示す中間データ１２００は、例として、６段階（０～５）で評価された１６種類のデータｄ１～ｄ１６の集合である。データｄ１～ｄ１６には、たとえば、契約車両の運転時間、１回当たりの運転時間、運転頻度、走行距離、平均速度、最高速度、急挙動（急加速、急ハンドル、急ブレーキ）、法定速度超過、居眠りの各々に関する評価値が含まれる。また、中間データ１２００は、所定期間内の運転データ１２０について、所定のタイミング（たとえば、保険料算定の基準日）で計算され、事業者サーバ１０１にアップロードされる。

＜エッジコンピューティングシーケンス＞
図１３は、実施例２にかかるエッジコンピューティングシステム１００の保険料算定シーケンス例を示すシーケンス図である。保険契約者であるユーザは、ＩｏＴ機器１０２が搭載された車両Ｖを取得（購入でも借用でもよい）しているものとする。また、ＩｏＴ機器１０２には、セキュア領域１３０に第１アプリ１１１がインストールされ、データ処理部５２２により第１アプリ１１１が実行可能であるものとする。

ユーザは、事業者サーバ１０１を運用する保険事業者とテレマティクス自動車保険契約を結ぶ（プロセスＰ１３０１）。その後、ユーザが車両Ｖを運転することにより、ＩｏＴ機器１０２の運用が開始される。ＩｏＴ機器１０２の運用が開始されると、セキュア領域１３０において、データ収集部５２１は、センサ／アクチュエータ３０４から運転データ１２０を収集する（ステップＳ１３０１）。

データ処理部５２２は、セキュア領域１３０において、データ収集部５２１によって収集された運転データ１２０に基づいて、中間データ１２００を算出する（ステップＳ１３０２）。中間データ１２００は通信部５０３によって事業者サーバ１０１に送信される。

事業者サーバ１０１は、通信部５０３により中間データ１２００をＩｏＴ機器１０２から受信し（ステップＳ１３０３）、中間データ１２００に基づいて、データ算出部４０３により保険料データを算出する（ステップＳ１３０４）。ユーザは、たとえば、ユーザの銀行口座からの自動引き落としにより、保険料を支払う（プロセスＰ１３０２）。また、事業者サーバ１０１は、算出した保険料データを含む評価レポートを作成する（ステップＳ１３０５）。評価レポートは、電子または紙媒体でユーザに送られる。

このように、実施例３によれば、各ＩｏＴ機器１０２は、運転データ１２０のかわりにデータ量が削減された中間データ１２００を事業者サーバ１０１に送信するため、送信データ量の削減を図ることができる。

また、第１アプリ１１１、運転データ１２０、および中間データ１２００は、セキュア領域１３０内で管理されるため、ＩｏＴ機器１０２のユーザや第三者による改ざんは困難となり、安全性の向上を図ることができる。また、中間データ１２００は、圧縮や暗号化のように元の収集データ１２０には戻せるような可逆的なデータではなく、不可逆なデータであり、それ自体何を意味するかは理解不能である。したがって、中間データ１２００が漏洩したとしても、問題は生じない。

また、事業者サーバ１０１は、ＩｏＴ機器１０２の各々の運転データ１２０から中間データ１２００を算出せずに、保険料データを算出するため、事業者サーバ１０１の処理負荷の低減化を図ることができる。

実施例４は、実施例２にかかるエッジコンピューティングシステム１００を、実施例３のようにテレマティクス自動車保険に適用した例である。テレマティクス自動車保険では、ＩｏＴ機器１０２は保険契約者の車両Ｖに実装され、事業者サーバ１０１は、自動車保険商品を提供する保険事業者（自動車保険会社）により運用され、データ管理サーバ７０１は、複数の保険事業者からＩｏＴ機器１０２の管理および中間データ１２００の収集業務を受託したデータ管理事業者により運用される。なお、実施例４では、実施例２および実施例３との相違点を中心に説明するため、実施例２および実施例３（実施例１を含む）と同一構成には同一符号を付し、その説明を省略する。

＜エッジコンピューティングシーケンス＞
図１４は、実施例４にかかるエッジコンピューティングシステム１００の保険料算定シーケンス例１を示すシーケンス図である。図１４では、保険事業者Ａが運用する事業者サーバ７０２Ａとデータ管理サーバ７０１とユーザＸが使用するＩｏＴ機器１０２Ｘとを例に挙げて説明する。

製造メーカは、ＩｏＴ機器１０２Ｘを搭載した車両Ｖを設計して出荷する（プロセスＰ１４０１）。車両Ｖを取得（購入または借用でもよい）した後、ユーザＸは、事業者サーバ７０２Ａを運用する保険事業者Ａとテレマティクス自動車保険契約を結ぶ（プロセスＰ１４０２）。その後、ユーザＸが車両Ｖを運転することにより、ＩｏＴ機器１０２Ｘの運用が開始される。

事業者サーバ７０２Ａにおいてテレマティクス自動車保険Ａのサービスが開始されると、事業者サーバ１０１は、データ管理サーバ７０１にテレマティクス自動車保険Ａに関する第１アプリ１１１Ａを送信する（ステップＳ１４０１Ａ）。データ管理サーバ７０１は、サービス事業者Ａの保険サービス対象であるＩｏＴ機器１０２Ｘに対し、第１アプリ１１１Ａを配信して、第１アプリ１１１Ａのインストールを指示する（ステップＳ１４０２Ａ）。ステップＳ１４０２Ａでは、ＩｏＴ機器１０２の機器認証も実行される。機器認証により、データ管理サーバ７０１との暗号化通信に用いられる共通鍵および事業者サーバ７０２Ａが設定した第１アプリ１１１の選択情報がＩｏＴ機器１０２Ｘのセキュア領域１３０に格納される。

ＩｏＴ機器１０２Ｘは、第１アプリ１１１Ａをセキュア領域１３０にインストールし（ステップＳ１４０３Ａ）、選択情報にしたがって選択された特定の運転データ１２０に基づく中間データ１２００（Ｘ（Ａ）と表記）の算出を開始する（ステップＳ１４０４Ａ）。データ管理サーバ７０１は、中間データＸ（Ａ）の収集を繰り返す（ステップＳ１４０５Ａ）。事業者サーバ１０１は、データ管理サーバ７０１で収集された中間データＸ（Ａ）を定期的に回収して、第２アプリ１１２Ａにより、保険料データＡ（Ｘ）を算出し（ステップＳ１４０６Ａ）、評価レポートを作成する（ステップＳ１４０７Ａ）。保険料は保険事業者からユーザに請求され、評価レポートは保険事業者からユーザに送られる。

このようにして、保険事業者は、ＩｏＴ機器１０２への第１アプリ１１１の配信、ＩｏＴ機器１０２からの中間データＸ（Ａ）の収集を、データ管理事業者に委託することができる。これにより、事業者サーバ１０１の負荷低減を図ることができる。

図１５は、実施例４にかかるエッジコンピューティングシステム１００の保険料算定シーケンス例２を示すシーケンス図である。図１５では、ＩｏＴ機器１０２ＸのユーザＸが、ＩｏＴ機器１０２Ｘで受けるテレマティクス自動車保険を提供する保険事業者を、保険事業者Ａから保険事業者Ｂに変更する場合の例である。図１５の実行前では、ＩｏＴ機器１０２ＸのユーザＸは、サービス事業者Ａのテレマティクス自動車保険Ａと契約しているものとする。

ユーザＸは、事業者サーバ７０２Ａを運用する保険事業者Ａのテレマティクス自動車保険Ａを解約する（プロセスＰ１５０１）。保険事業者Ａは、テレマティクス自動車保険Ａの解約手続きをおこなう（プロセスＰ１５０２）。データ管理サーバ７０１は、事業者サーバ７０２Ａからの解約対象となる第１アプリ１１１Ａの削除依頼を受け付けて、ユーザのＩｏＴ機器１０２Ｘに対する第１アプリ１１１Ａのアンインストールを指示する（ステップＳ１５０１Ａ）。

ステップＳ１５０１Ａでは、ＩｏＴ機器１０２Ｘの機器認証も実行される。ＩｏＴ機器１０２Ｘは、セキュア領域１３０から第１アプリ１１１Ａのアンインストールする（ステップＳ１５０２Ａ）。アンインストールにより、データ管理サーバ７０１との暗号化通信に用いられる共通鍵および事業者サーバ７０２Ａが設定した第１アプリ１１１Ａの選択情報もセキュア領域１３０から削除される。これにより、テレマティクス自動車保険Ａの解約手続きが完了する。

このあと、ユーザＸは、事業者サーバ７０２Ｂを運用する保険事業者Ｂのテレマティクス自動車保険Ｂについて契約手続きをし、テレマティクス自動車保険Ｂの契約が完了したとする（プロセスＰ１５０３）。この場合、保険サービス切替先の事業者サーバ７０２Ｂにおいてテレマティクス自動車保険Ｂのサービスが開始されると、事業者サーバ７０２Ｂは、データ管理サーバ７０１にテレマティクス自動車保険Ｂに関する第１アプリ１１１Ｂを送信する（ステップＳ１５０１Ｂ）。第１アプリ１１１Ｂは、第１アプリ１１１Ａとは異なる計算を実行するアプリである。

データ管理サーバ７０１は、保険事業者Ｂの保険サービス対象であるＩｏＴ機器１０２Ｘに対し、第１アプリ１１１Ｂを配信して、第１アプリ１１１Ｂのインストールを指示する（ステップＳ１５０２Ｂ）。ステップＳ１５０２Ｂでは、ＩｏＴ機器１０２Ｘの機器認証も実行される。機器認証により、データ管理サーバ７０１との暗号化通信に用いられる共通鍵および事業者サーバ７０２Ｂが設定した第１アプリ１１１Ｂの選択情報がＩｏＴ機器１０２Ｘに格納される。

ＩｏＴ機器１０２Ｘは、第１アプリ１１１Ｂをセキュア領域１３０にインストールし（ステップＳ１５０３Ｂ）、中間データ１２００（Ｘ（Ｂ）と表記）の算出を開始する（ステップＳ１５０４Ｂ）。データ管理サーバ７０１は、中間データＸ（Ｂ）の収集を繰り返す（ステップＳ１５０５Ｂ）。事業者サーバ１０１は、データ管理サーバ７０１で収集された中間データＸ（Ｂ）を定期的に回収して、第２アプリ１１２Ｂにより、保険料データＢ（Ｘ）を算出し（ステップＳ１５０６Ｂ）、評価レポートを作成する（ステップＳ１５０７Ｂ）。保険料は保険事業者ＢからユーザＸに請求され、評価レポートは保険事業者ＢからユーザＸに送られる。

このように、データ管理サーバ７０１は、ＩｏＴ機器１０２に適用される保険サービスの切り替えを円滑に実行することができる。

なお、上述した実施例４の説明では、データ管理事業者が運営するデータ管理サーバ７０１が第１アプリ１１１の配信を代行したが、以下のような運用を追加してもよい。たとえば、データ管理事業者は、車両Ｖの監視およびメンテナンスをおこなう会社でもある。ＩｏＴ機器１０２には、ＩｏＴ機器１０２が計測した車両Ｖの状態データ（運転データ１２０とは異なる）をデータ管理サーバ７０１に送信するためのアプリがセキュア領域１３０に実装される。データ管理事業者が運営するデータ管理サーバ７０１は、ＩｏＴ機器１０２の各々が計測した車両Ｖの状態データをＩｏＴ機器１０２から収集し、車両Ｖ別の異常頻度や故障予知に関する分析を実行する。分析結果は、保険事業者による保険料算定にも有効なデータとなる。データ管理サーバ７０１は、その分析結果を第１データ１２１に付与して、事業者サーバ７０２に送信する。これにより、データ管理事業者は、付加価値のある分析結果を第１データ１２１とともにサービス事業者に提供することができる。

実施例５は、実施例３または実施例４において、ＧＥＯフェンスを用いたテレマティクス保険の適用例を示す。なお、実施例５では、実施例３および実施例４との相違点を中心に説明するため、実施例３および実施例４と同一構成には同一符号を付し、その説明を省略する。

図１６は、ＧＥＯフェンスを用いたテレマティクス保険の適用例を示す説明図である。ＧＥＯフェンス１６００とは、仮想的な地理的境界線である。ＧＥＯフェンス１６００は、たとえば、保険サービスの適用範囲の種類を規定する任意の境界線でもよく、国境、州境、県境といった地域の境界に沿った境界線でもよい。第１領域１６０１および第２領域１６０２は、ＧＥＯフェンス１６００を境界線として隣接する領域である。

第１領域１６０１と第２領域１６０２とでは、適用される法律や保険ルールが異なる。車両Ｖが第１領域１６０１を走行している場合、ＩｏＴ機器１０２は、第１領域１６０１の法律や保険ルールにしたがって中間データ１６１０を算出し、車両Ｖが第２領域１６０２を走行している場合、ＩｏＴ機器１０２は、第２領域１６０２の法律や保険ルールにしたがって中間データ１６２０を算出する。
する。

ここで、ＧＥＯフェンス１６００を国境とし、法定速度超過に関する評価値を算出する場合を例に挙げて説明する。第１領域１６０１の法定速度を時速６０［ｋｍ/ｈ］とし、第２領域１６０２の法定速度を時速４０［ｋｍ/ｈ］とする。車両Ｖが第１領域１６０１を時速６０［ｋｍ/ｈ］で走行している場合、法定速度を超過していない。

このあと、車両Ｖが時速６０［ｋｍ/ｈ］を維持したまま、ＧＥＯフェンス１６００を通過して第２領域１６０２に移動した場合、第２領域１６０２の法定速度を時速２０［ｋｍ/ｈ］分超過したことになる。

ＩｏＴ機器１０２は、測位装置によりＧＰＳ衛星からの信号により車両Ｖの現在位置を測位する。現在位置が第１領域１６０１内であれば、ＩｏＴ機器１０２は、第１アプリ１１１に用いるパラメータを第１領域１６０１のパラメータ（法定速度：時速６０［ｋｍ/ｈ］）に設定し、第１領域１６０１の走行中に取得した運転データ１２０を用いて、法定速度超過に関する評価値を含む中間データ１６１０を算出する。同様に、現在位置が第２領域１６０２内であれば、ＩｏＴ機器１０２は、第１アプリ１１１に用いるパラメータを第２領域１６０２のパラメータ（法定速度：時速４０［ｋｍ/ｈ］）に設定し、第２領域１６０２の走行中に取得した運転データ１２０を用いて、法定速度超過に関する評価値を含む中間データ１６２０を算出する。

この場合、データ管理サーバ７０１（実施例３適用の場合）または事業者サーバ７０２（実施例４適用の場合）は、第２アプリ１１２に用いるパラメータを第１領域１６０１のパラメータに設定し、中間データ１６１０を用いて、第１領域１６０１における保険サービスに関する保険料データを算出する。同様に、データ管理サーバ７０１（実施例３適用の場合）または事業者サーバ７０２（実施例４適用の場合）は、第２アプリ１１２に用いるパラメータを第２領域１６０２のパラメータに設定し、中間データ１６２０を用いて、第２領域１６０２における保険サービスに関する保険料データを算出する。これにより、事業者サーバ１０１は、領域に適用される法律や保険ルールに応じて保険料データを算定することができる。

また、上述した実施例５では、ＩｏＴ機器１０２が車両Ｖの現在位置が存在する領域を検出して、第１アプリ１１１に用いるパラメータを領域に応じたパラメータに変更した。これに対し、パラメータの変更ではなく、データ管理サーバ７０１（実施例３適用の場合）または事業者サーバ７０２（実施例４適用の場合）が、第１アプリ１１１自体の入れ替えをＩｏＴ機器１０２に対し実行してもよい。

具体的には、たとえば、車両Ｖの現在位置が第１領域１６０１内であれば、第１領域１６０１に適したパラメータを有する第１アプリ１１１がＩｏＴ機器１０２のセキュア領域１３０に実装されており、車両Ｖの現在位置が第１領域１６２０になると、ＩｏＴ機器１０２は、データ管理サーバ７０１（実施例３適用の場合）または事業者サーバ７０２（実施例４適用の場合）に対し、現在位置が第２領域１６０２内であるという通知をデータ管理サーバ７０１（実施例３適用の場合）または事業者サーバ７０２（実施例４適用の場合）に送信する。

これにより、データ管理サーバ７０１（実施例３適用の場合）または事業者サーバ７０２（実施例４適用の場合）は、ＩｏＴ機器１０２に対し、第２領域１６０２に適したパラメータを有する第１アプリ１１１を送信する。ＩｏＴ機器１０２は、受信した第１アプリ１１１で上書きする。これにより、ＩｏＴ機器１０２は、第２領域１６０２走行中に取得した運転データ１２０を用いて、法定速度超過に関する評価値を含む中間データ１６２０を、第２領域１６０２のパラメータで算出することができる。

このように上述した実施例１～実施例５にかかるエッジコンピューティングシステム１００によれば、第１データ１２１をアップロードするため、送信データ量の削減を図ることができる。また、第１アプリ１１１および第１データ１２１はセキュア領域１３０内で管理されるため、ＩｏＴ機器１０２のユーザや第三者による改ざんは困難である。したがって、安全性の向上を図ることができる。

また、第１データ１２１は、圧縮や暗号化のように元の収集データ１２０には戻せるような可逆的なデータではなく、不可逆なデータである。したがって、第１データ１２１が漏洩したとしても、どのように利用すればよいか不明である。また、事業者サーバ１０１は、第１データ１２１を算出せずに、第２データ１２２を算出するため、事業者サーバ１０１の処理負荷の低減化を図ることができる。

また、上述した実施例１～実施例５にかかるエッジコンピューティングシステム１００は、下記（１）～（１０）のデータ処理方法として規定することもできる。

（１）収集対象から収集データ１２０を取得するＩｏＴ機器１０２と、ＩｏＴ機器１０２と通信可能な第１計算機と、によって実行されるデータ処理方法は、ＩｏＴ機器１０２が、内部に格納された情報を外部から参照ができないセキュア領域１３０内に収集データ１２０を格納し、格納した収集データ１２０に基づいて、収集データ１２０よりもデータ量が小さく、かつ、不可逆な第１データ１２１を算出する第１算出処理と、ＩｏＴ機器１０２が、第１算出処理によって算出された第１データ１２１を事業者サーバ１０１に送信する第１通信処理と、事業者サーバ１０１が、第１通信処理によってＩｏＴ機器１０２から送信されてきた第１データ１２１に基づいて、第２データ１２２を算出する第２算出処理と、を含む。

これにより、セキュアでかつ通信データ量の低減と、事業者サーバ１０１での処理負荷の低減を実現することができる。

（２）上記（１）のデータ処理方法において、ＩｏＴ機器１０２は、収集データ１２０から第１アプリ１１１で使用される特定の収集データ１２０を選択する選択情報をセキュア領域１３０に記憶しており、第１算出処理では、ＩｏＴ機器１０２は、選択情報にしたがって、収集データ１２０のうち特定の収集データ１２０のみをセキュア領域１３０に取得し、取得した特定の収集データ１２０に基づいて、特定の収集データ１２０よりもデータ量が小さく、かつ、不可逆な第１データ１２１を算出する。

これにより、選択情報に応じて収集データの絞り込みを行うことができる。選択情報はセキュア領域１３０に格納されているため、どの収集データ１２０が絞り込まれたかは外部から不明であるため、第１データ１２１の解読可能性の低減を図ることができる。

（３）上記（１）のデータ処理方法において、第１通信処理では、ＩｏＴ機器１０２は、ＩｏＴ機器１０２および事業者サーバ１０１と通信可能なデータ管理サーバ７０１に、第１データ１２１を送信し、データ管理サーバ７０１が、第１通信処理によってＩｏＴ機器１０２から送信されてきた第１データ１２１を、事業者サーバ７０２に送信する第２通信処理を含み、第２算出処理では、事業者サーバ７０２は、第２通信処理によってデータ管理サーバ７０１から送信されてきた第１データ１２１に基づいて、第２データ１２２を算出する。

これにより、データ管理サーバ７０１がＩｏＴ機器１０２から第１データ１２１を収集するため、事業者サーバ７０２の処理負荷の低減を図ることができる。

（４）上記（３）のデータ処理方法において、第２通信処理では、データ管理サーバ７０１は、第１アプリ１１１をＩｏＴ機器１０２に送信し、ＩｏＴ機器１０２が、プログラムをセキュア領域１３０で実行可能に設定する設定処理を含む。

これにより、第１アプリ１１１をセキュアに設定することができ、第１アプリ１１１および第１データ１２１の改ざん防止を図ることができる。

（５）上記（４）のデータ処理方法において、第２通信処理では、データ管理サーバ７０１は、第１アプリ１１１の削除指示を、ＩｏＴ機器１０２に送信し、設定処理では、ＩｏＴ機器１０２は、第１アプリ１１１をセキュア領域１３０から削除する。

これにより、データ管理サーバ７０１からの第１アプリ１１１の削除指示があった場合に、セキュア領域１３０の第１アプリ１１１の削除が可能になる。

（６）上記（４）のデータ処理方法において、ＩｏＴ機器１０２は、収集データ１２０から第１アプリ１１１で使用される特定の収集データ１２０を選択する選択情報をセキュア領域１３０に記憶しており、第１算出処理では、ＩｏＴ機器１０２は、選択情報にしたがって、収集データ１２０のうち特定の収集データ１２０をセキュア領域１３０に取得し、取得した特定の収集データ１２０に基づいて、特定の収集データ１２０よりもデータ量が小さく、かつ、不可逆な第１データ１２１を算出する。

これにより、選択情報に応じて収集データの絞り込みを行うことができる。選択情報はセキュア領域１３０に格納されているため、どの収集データ１２０が絞り込まれたかは外部から不明であるため、第１データ１２１の解読可能性の低減を図ることができる。

（７）上記（６）のデータ処理方法において、第２通信処理では、データ管理サーバ７０１は、選択情報をＩｏＴ機器１０２に送信し、第１算出処理では、ＩｏＴ機器１０２は、選択情報をセキュア領域１３０に格納する。

これにより、データ管理サーバ７０１から与えられた選択情報に応じて収集データの絞り込みを行うことができる。選択情報はセキュア領域１３０に格納されているため、どの収集データ１２０が絞り込まれたかは外部から不明であるため、第１データ１２１の解読可能性の低減を図ることができる。

（８）上記（１）のデータ処理方法において、第１データ１２１は、収集対象のユーザを評価するデータであり、第２データ１２２は、ユーザに適用されるサービスに関するデータである。

これにより、データ処理方法をユーザに提供するサービスに適用することができる。

（９）上記（８）のデータ処理方法において、収集対象は、ユーザが搭乗する契約車両Ｖであり、第１データ１２１は、ユーザ搭乗時の契約車両Ｖの運転（ユーザによる運転または契約車両Ｖの自動運転）を評価する中間データ１２００であり、第２データ１２２は、ユーザまたは契約車両Ｖの所有者に適用される保険料データである。

これにより、データ処理方法をテレマティクス自動車保険サービスに適用することができる。

（１０）上記（３）のデータ処理方法において、第１データ１２１は、収集対象のユーザを評価するデータであり、第２データ１２２は、ユーザに適用されるサービスに関するデータである。

これにより、データ処理方法をユーザに提供するサービスに適用することができる。

（１１）上記（１０）のデータ処理方法において、収集対象は、ユーザが搭乗する契約車両Ｖであり、第１データ１２１は、ユーザ搭乗時の契約車両Ｖの運転（ユーザによる運転または契約車両Ｖの自動運転）を評価する中間データ１２００であり、第２データ１２２は、ユーザまたは契約車両Ｖの所有者に適用される保険料データである。

これにより、データ処理方法をテレマティクス自動車保険サービスに適用することができる。

（１２）上記（９）のデータ処理方法において、第１算出処理では、ＩｏＴ機器１０２は、セキュア領域１３０内に収集データ１２０および収集データ１２０の取得時の契約車両Ｖの位置情報を格納し、格納した収集データ１２０に基づいて、収集データ１２０よりもデータ量が小さく、かつ、不可逆な第１データ１２１を算出し、第１通信処理では、ＩｏＴ機器１０２は、位置情報を含む第１データ１２１を事業者サーバ１０１に送信し、第２算出処理は、第１領域１６０１と第２領域１６０２とで第２データ１２２の計算方法が異なる処理であり、第２算出処理では、事業者サーバ１０１は、第１領域１６０１内の位置情報を含む第１データ１２１に基づいて、第１領域１６０１に関する保険料データを算出し、第２領域１６０２内の位置情報を含む第１データ１２１に基づいて、第２領域１６０２に関する保険料データを算出する。

これにより、データ処理方法を、ＧＥＯフェンスを用いたテレマティクス自動車保険サービスに適用することができる。

なお、本発明は前述した実施例に限定されるものではなく、添付した特許請求の範囲の趣旨内における様々な変形例及び同等の構成が含まれる。たとえば、前述した実施例は本発明を分かりやすく説明するために詳細に説明したものであり、必ずしも説明した全ての構成を備えるものに本発明は限定されない。また、ある実施例の構成の一部を他の実施例の構成に置き換えてもよい。また、ある実施例の構成に他の実施例の構成を加えてもよい。また、各実施例の構成の一部について、他の構成の追加、削除、または置換をしてもよい。

また、前述した各構成、機能、処理部、処理手段等は、それらの一部又は全部を、たとえば集積回路で設計する等により、ハードウェアで実現してもよく、プロセッサがそれぞれの機能を実現するプログラムを解釈し実行することにより、ソフトウェアで実現してもよい。

各機能を実現するプログラム、テーブル、ファイル等の情報は、メモリ、ハードディスク、ＳＳＤ（Ｓｏｌｉｄ Ｓｔａｔｅ Ｄｒｉｖｅ）等の記憶装置、又は、ＩＣ（Ｉｎｔｅｇｒａｔｅｄ Ｃｉｒｃｕｉｔ）カード、ＳＤカード、ＤＶＤ（Ｄｉｇｉｔａｌ Ｖｅｒｓａｔｉｌｅ Ｄｉｓｃ）の記録媒体に格納することができる。

また、制御線や情報線は説明上必要と考えられるものを示しており、実装上必要な全ての制御線や情報線を示しているとは限らない。実際には、ほとんど全ての構成が相互に接続されていると考えてよい。

Ｖ 契約車両
１００ エッジコンピューティングシステム
１０１ 事業者サーバ
１０２ ＩｏＴ機器
１１０ アプリ
１１１ 第１アプリ
１１２ 第２アプリ
１２０ 収集データ
１３０ セキュア領域
７０１ データ管理サーバ
７０２ 事業者サーバ

Claims (8)

1. 収集対象から収集データを取得するエッジ装置と、前記エッジ装置と通信可能な第１計算機と、によって実行されるデータ処理方法であって、
   前記エッジ装置が、内部に格納された情報を外部から参照ができないセキュア領域内に前記収集データを格納し、格納した前記収集データに基づいて、前記収集データよりもデータ量が小さく、かつ、不可逆な第１データを前記セキュア領域内で算出する第１算出処理と、
   前記エッジ装置が、前記第１算出処理によって算出された第１データを前記第１計算機に送信する第１通信処理と、
   前記第１計算機が、前記第１通信処理によって前記エッジ装置から送信されてきた前記第１データに基づいて、第２データを算出する第２算出処理と、を含み、
   前記エッジ装置は、前記収集データから前記第１算出処理を実行するプログラムで使用される特定の収集データを選択する選択情報を前記セキュア領域に記憶しており、
   前記第１算出処理では、前記エッジ装置は、前記選択情報にしたがって、前記収集データのうち特定の収集データのみを前記セキュア領域に取得し、取得した前記特定の収集データに基づいて、前記特定の収集データよりもデータ量が小さく、かつ、不可逆な第１データを前記セキュア領域内で算出する、
   ことを特徴とするデータ処理方法。
2. 請求項１に記載のデータ処理方法であって、
   前記第１通信処理では、前記エッジ装置は、前記エッジ装置および前記第１計算機と通信可能な第２計算機に、前記第１データを送信し、
   前記第２計算機が、前記第１通信処理によって前記エッジ装置から送信されてきた前記第１データを、前記第１計算機に送信する第２通信処理を含み、
   前記第２算出処理では、前記第１計算機は、前記第２通信処理によって前記第２計算機から送信されてきた前記第１データに基づいて、前記第２データを算出する、
   ことを特徴とするデータ処理方法。
3. 請求項２に記載のデータ処理方法であって、
   前記第２計算機が、前記プログラムを前記エッジ装置に送信する第３通信処理と、
   前記エッジ装置が、前記プログラムを前記セキュア領域で実行可能に設定する設定処理と、を含み、
   前記エッジ装置は、前記設定処理によって前記プログラムが前記セキュア領域で実行可能に設定された場合、前記第１算出処理を実行する、
   ことを特徴とするデータ処理方法。
4. 請求項３に記載のデータ処理方法であって、
   前記第２計算機が、前記プログラムの削除指示を、前記エッジ装置に送信する第４通信処理と、
   前記エッジ装置が、前記第４通信処理によって前記削除指示が受信された場合、前記プログラムを前記セキュア領域から削除する削除処理と、
   を含むを特徴とするデータ処理方法。
5. 請求項１に記載のデータ処理方法であって、
   前記エッジ装置および前記第１計算機と通信可能な第２計算機が、前記選択情報を前記エッジ装置に送信する第５通信処理と、
   前記エッジ装置が、前記第５通信処理によって受信された前記選択情報を前記セキュア領域に格納する格納処理と、
   を含むを特徴とするデータ処理方法。
6. ユーザが搭乗する移動体から収集データを取得するエッジ装置と、前記エッジ装置と通信可能な第１計算機と、によって実行されるデータ処理方法であって、
   前記エッジ装置が、内部に格納された情報を外部から参照ができないセキュア領域内に前記収集データおよび前記収集データの取得時の前記移動体の位置情報を格納し、格納した前記収集データに基づいて、前記収集データよりもデータ量が小さく、かつ、不可逆な、前記ユーザが搭乗時の前記移動体の運転を評価する第１データを、前記セキュア領域内で算出する第１算出処理と、
   前記エッジ装置が、前記位置情報を含む前記第１データを前記第１計算機に送信する第１通信処理と、
   前記第１計算機が、前記第１通信処理によって前記エッジ装置から送信されてきた前記第１データに基づいて、前記ユーザまたは前記移動体の所有者に適用される保険料に関する第２データを算出する第２算出処理と、を含み、
   前記第２算出処理は、第１領域と第２領域とで前記第２データの計算方法が異なる処理であり、
   前記第２算出処理では、前記第１計算機は、前記第１領域内の位置情報を含む第１データに基づいて、前記第１領域に関する第２データを算出し、前記第２領域内の位置情報を含む第１データに基づいて、前記第２領域に関する第２データを算出する、
   ことを特徴とするデータ処理方法。
7. 計算機と通信可能なエッジ装置であって、
   プロセッサと、内部に格納された情報を外部から参照ができないセキュア領域と、を有し、
   前記プロセッサは、
   収集対象から収集データを取得して前記セキュア領域内に格納し、格納した前記収集データに基づいて、前記収集データよりもデータ量が小さく、かつ、不可逆なデータを前記セキュア領域内で算出する算出処理と、
   前記算出処理によって算出されたデータを前記計算機に送信する通信処理と、
   を実行し、
   前記収集データから前記算出処理を実行するプログラムで使用される特定の収集データを選択する選択情報を、前記セキュア領域に記憶しており、
   前記算出処理では、前記プロセッサは、前記選択情報にしたがって、前記収集データのうち前記特定の収集データを前記セキュア領域に格納し、格納した前記特定の収集データに基づいて、前記特定の収集データよりもデータ量が小さく、かつ、不可逆な第１データを前記セキュア領域内で算出する、
   ことを特徴とするエッジ装置。
8. 収集対象から収集データを取得するエッジ装置と、前記エッジ装置と通信可能な第１計算機と、を有するデータ処理システムであって、
   前記エッジ装置は、
   内部に格納された情報を外部から参照ができないセキュア領域内に前記収集データを格納し、格納した前記収集データに基づいて、前記収集データよりもデータ量が小さく、かつ、不可逆な第１データを前記セキュア領域内で算出する算出処理と、
   前記算出処理によって算出された第１データを前記第１計算機に送信する通信処理と、を実行し、
   前記第１計算機は、
   前記通信処理によって前記エッジ装置から送信されてきた前記第１データに基づいて、第２データを算出する第２算出処理を実行し、
   前記エッジ装置は、前記収集データから前記算出処理を実行するプログラムで使用される特定の収集データを選択する選択情報を、前記セキュア領域に記憶しており、
   前記算出処理では、前記エッジ装置は、前記選択情報にしたがって、前記収集データのうち前記特定の収集データを前記セキュア領域に格納し、格納した前記特定の収集データに基づいて、前記特定の収集データよりもデータ量が小さく、かつ、不可逆な第１データを前記セキュア領域内で算出する、
   ことを特徴とするデータ処理システム。
   

Images