CN102667410B - 导航系统 - Google Patents

Abstract

在导航单元对记录介质（该记录介质记录为了更新记录有地图数据的可改写数据区域中的地图数据而必需的更新权限信息）进行首次数据访问时，从数据区域读取更新权限信息并且从数据区域删除更新权限信息，并且基于读取的更新权限信息创建的地图更新到期日期与从非可改写管理区域读取的介质标识信息一起写入导航单元的存储器中。

Description

导航系统

技术领域

本发明涉及一种导航系统，该导航系统具有使用地图数据来操作的导航单元和可附接到导航单元并且可从导航单元拆卸的记录介质，其中记录介质具有记录有地图数据的可重写数据区域以及记录有介质标识信息的非可改写管理区域。

背景技术

近年来出现如下导航单元，在这些导航单元中，地图数据存储于记录介质中（比如容量不断增大的闪存）（具体为装配于汽车中的汽车导航单元）。另外，道路状况由于建造新道路、乡村发展等而不断改变。因而希望不断更新导航单元中使用的地图数据。对于这一更新，由于记录介质（比如上文描述的闪存）可附接到导航单元并且可从导航单元拆卸，所以用于更新这样的记录介质中记录的地图数据的结构无需为了便于更新而从汽车拆除导航单元或者从汽车拆除导航单元的存储器。然而一般可以容易复制记录介质（比如闪存）中记录的数据，这允许未授权行为，从而用户接收从另一用户购置的合法记录介质中非法复制的非法记录介质，并且更新这一用户的导航单元中使用的地图数据。

已经提出如下地图数据更新系统，该系统防止如上文描述的通过非法复制记录介质进行的未授权行为（例如参见公开号为JP-A-2005-331579的日本专利申请（第[0002]至[0010]段，图1））。在这一地图数据更新系统中，在记录介质中写入供更新用的从地图数据分发中心（下文简称为中心）分发的地图数据，并且这一记录介质用来更新车载导航系统中的地图数据。在该系统中，作为属性数据而被分配给导航装置的唯一个体ID被添加至在记录介质中写入的供更新用的地图数据。导航装置具有：确定单元，确定向导航装置分配的个体ID和向供更新用的地图数据添加的个体ID是否相互匹配；以及禁止单元，在确定单元确定这两个个体ID不相互匹配时禁止使用记录介质中写入的供更新用的地图数据。

由于在记录介质中添加向导航装置分配的唯一个体ID作为属性数据，所以确定单元在记录介质被用于导航装置时确定向导航装置分配的个体ID和记录介质中记录的个体ID是否匹配。当这两个个体ID不匹配时，禁止单元禁止使用这一记录介质中写入的供更新用的地图数据。这旨在于防止对供更新用的地图数据的未授权使用。

发明内容

在根据公开号为JP-A-2005-331579的日本专利申请的地图数据更新系统中，当从导航装置或者该导航装置中使用的记录介质预先读取向导航装置分配的个体ID时，并且如果这一用户在记录有非法复制的地图数据的记录介质中写入预先读取的他的/她的装置的个体ID作为个体ID，则这一记录介质被识别为合法。因此可以比较容易地进行利用供更新用的地图数据的未授权行为。

鉴于上文描述的情形，本发明的目的在于提供一种用于在使用可改写记录介质（比如闪存卡）上记录的地图数据的导航系统中针对地图数据更稳健地实施安全措施的技术。

为了实现上文描述的目的，在一种导航系统（该导航系统具有使用地图数据来操作的导航单元和可附接到导航单元并且可从单元拆卸的记录介质，其中记录介质具有记录有地图数据的可改写数据区域和记录有介质标识信息（一般为称为CID的ID代码）的非可改写管理区域，为了更新地图数据而必需的更新权限信息被记录于数据区域中，并且在导航单元对记录介质进行首次数据访问时从数据区域读取更新权限信息并且从数据区域删除更新权限信息，并且基于读取的更新权限信息创建的地图更新到期日期与从管理区域读取的介质标识信息一起写入导航单元的存储器中。

在这一结构中，在已经出现于导航单元与记录介质之间的首次数据访问期间，读取并删除记录于记录介质中的更新权限信息，并且在导航单元的存储器中写入基于更新权限信息创建的地图更新到期日期和记录介质的介质标识信息。也就是说，在导航单元对一个记录介质进行首次数据访问期间，在导航单元中不仅写入这一记录介质的介质标识信息而且写入记录的地图数据的更新到期日期和更新权限信息。具体而言，这一更新权限信息在被读取之后被从记录介质中删除并且不再保留于记录介质中。因此即使在非法复制完成数据访问之后的记录介质，仍然未复制更新权限信息，因而不可能再现原有合法记录介质。通过关于对记录介质的首次数据访问运用这样的结构，导航单元能够使用写入导航单元的存储器中的更新权限信息和更新到期日期来实现安全性更稳健的地图数据更新。

为了进一步提高安全性，在本发明的一个优选实施例中，记录介质具有起初在锁定状态中的口令锁功能，并且导航单元包括用于释放口令锁的口令，从而可向记录介质发送口令。在这一结构中，在记录介质中提供口令锁用于允许通过仅由导航单元拥有的口令来访问。因此，这一记录介质先需要插入于对应导航单元中并且受到数据访问。因而可以防止未授权行为（比如在使用之前（在首次数据访问之前）复制记录介质的全部数据）。在导航单元执行数据访问之后，释放口令锁，但是防止非法复制，这是因为如上文描述的那样截止这一时间删除更新权限信息。因此，无论是在对记录介质的数据访问之前还是之后，这一结构都能够防止非授权行为。

优选地，用于从记录介质释放口令锁功能的定时是在从记录介质的数据区域删除更新权限信息之后。这是因为当在删除更新权限信息之前释放口令锁功能时有可能在这一时间点从导航单元拉取出记录介质并且非法读取更新权限信息。

在又一优选实施例中，从记录介质的数据区域读取的更新权限信息被记录于导航单元的存储器中。基于这一更新权限信息创建的地图更新到期日期被记录于导航单元中，并且作为地图更新到期日期的来源的更新权限信息业原样记录于导航单元中。因而导航单元记录所有的更新权限信息、介质标识信息和记录介质（从记录介质读取地图数据）的地图数据，因此在必需时可以进行这一记录介质的恢复处理。

在另一优选实施例中，受到导航单元的首次数据访问的记录介质的介质标识信息被记录于导航单元的存储器中作为首次使用介质标识信息，并且具有作为首次使用介质标识信息而记录的介质标识信息的记录介质的地图更新到期日期与其它记录介质的地图更新到期日期不同。根据这一特征结构，导航单元能够具有如下优点，该优点使导航单元能够区分在一个导航单元中对其执行首次数据访问的记录介质与随后对其执行数据访问的其它记录介质。因此有可能使地图数据的更新到期日期在第一记录介质与其它记录介质之间有所不同。因而例如将可以在第一记录介质中更新地图数据的时段设置为三年，而将可以在其它记录介质中（也就是在后续使用的记录介质中）更新地图数据的时段设置为两年。这对于车辆检查的情况而言是便利的，其中在购置新车辆的情况下设置首次车辆检查时段为三年而设置后续车辆检查时段为两年，因为可以在每次车辆检查时发布用于更新地图数据的记录介质。在这一情况下，导航单元可以指定从读取更新权限信息的时间起的预定时段作为用于更新权限信息的地图更新到期日期。

在数据流（其中经由合法路由从外部单元向具有通信功能的终端（比如个人计算机）发送更新地图数据并且在记录介质中记录该数据，而且在导航单元中插入这一记录介质并且在导航单元中写入更新地图数据）中，有可能意外改写地图数据。也有可能恶意执行这一改写。为了解决这样的问题，在本发明的一个优选实施例中，当更新地图数据时，在记录介质的数据区域中记录从外部单元发送的更新地图数据，并且在记录介质中记录根据更新地图数据生成的散列值作为地图安全数据。在这一结构中，可以通过验证散列值来校验是否接收了合法地图数据，因而可以解决上文描述的问题。

附图说明

图1是图示了根据本发明的导航系统的基本结构和数据流的示意图；

图2是图示了构成根据本发明的导航系统的导航单元的功能的功能框图；

图3是图示了构成根据本发明的导航系统的记录介质的功能的功能框图；

图5是图示了构成根据本发明的导航系统的更新单元的功能的功能框图；

图5A至图5E是从记录介质向导航系统传送的更新权限信息的数据结构图；

图6是示意地图示了在首次使用时在导航单元与SD卡之间的数据交换的图；

图7是示意地图示了在更新地图数据时在SD卡与更新单元之间的数据交换的图；以及

图8是示意地图示了在除了首次使用之外的时间在导航单元与SD卡之间的数据交换的图。

具体实施方式

下文将使用附图来描述根据本发明的导航系统的实施例。图1中所示导航系统为汽车导航系统并且由装配于汽车中的导航单元（navigationunit）（下文简写为“导航单元（naviunit）”）1、记录介质4（该介质在这一实施例中为SD卡（更具体为SD存储卡或者SDCH存储卡））和更新单元7（该单元一般为具有通信功能的个人计算机（下文简写为“个人计算机”））组成。在SD卡4中记录导航单元1中使用的地图数据，并且当使用汽车导航时在导航单元1中插入SD卡4。记录于SD卡4中的地图数据是可更新的。执行更新地图数据，从而从操纵地图数据的地图中心经由WAN（比如因特网）下载供更新用的地图数据或者地图差异数据（下文除了在特别需要区分二者时之外将把二者简称为地图数据），并且最新数据通过这一更新单元7改写SD卡4中的地图数据。当购置配备有导航单元1的汽车时，或者当仅单独购置导航单元1时，记录有最新地图数据的SD卡4伴随这一导航单元1。

作为根据本发明的导航系统的基本数据流，下文将使用图1来针对在装配于汽车中的导航单元1中首次插入SD卡4的情况描述数据流。这一SD卡4包括可改写数据区域和记录有介质标识信息的非可改写管理区域（这里使用CID（卡标识寄存器））作为存储器区域。在数据区域中记录地图数据。另外也在数据区域中写入与更新所记录的地图数据的权限有关的更新权限信息（包括更新最终到期日期）等。这一SD卡4具有口令锁定功能。当这一口令锁功能开启时，除非向这一SD卡4提供预定口令，否则将不允许向其写入。

在导航单元1中，作为与安全有关的数据，起初注册有车载设备ID（该ID是这一导航单元1的标识信息）、口令（用于释放伴随导航单元的SD卡4的口令锁）、导航加密密钥（该密钥是用于加密这一导航单元1中的数据的加密密钥）和更新解密密钥（用于解密更新单元7中的加密数据）。在更新单元7中，通过激活用于在作为更新单元7的母单元的计算机上构建更新单元的预定程序，来注册有更新加密密钥（该密钥是用于加密这一更新单元7中的数据的加密密钥）和导航解密密钥（用于解密导航单元1中加密的数据）。在对应加密密钥与解密密钥之间的关系在这里与在公知的秘密密钥与公共密钥之间的关系基本上相同，并且只有用对应解密密钥才可以解密用加密密钥加密的数据。

更新单元1还包括用于生成地图安全数据（该数据由根据从中心下载的供更新用的地图数据计算的散列值构成）的功能、用于生成更新安全数据（该数据包括如下SD卡的介质标识信息和根据地图安全数据进一步计算的散列值，该SD卡是传送地图数据的目的地）的功能等，下文将描述这些功能的细节。

首先，当在导航单元1中插入SD卡4时，从导航单元1发送用于释放锁的口令、由此允许导航单元1与SD卡4交换数据（#11）。接着从SD卡4向导航单元1发送介质标识信息（#12）和更新权限信息（#13）。导航单元1在这一导航单元1的存储器中记录根据接收的更新权限信息创建的地图更新到期日期（#14）、在更新权限信息中包括的其它数据并且还记录更新权限信息（#15）。在这样做时，也在导航单元1的存储器中记录介质标识信息。

当从SD卡4向导航单元1发送更新权限信息时，删除SD卡4中记录的更新权限信息（#16）。还释放SD卡4的口令锁功能（#17），并且随后允许在不用口令的情况下访问这一SD卡4的数据，这提高此卡的便利。即使在允许在不用口令的情况下进行数据访问时，仍然不会从这一SD卡4拉取出更新权限信息，因为已经删除更新权限信息。另外将导航单元1和SD卡4可以获得的共同数据分组为用导航加密密钥加密的导航安全数据（#18）并且随后发送到SD卡4（#19）。在SD卡4的数据区域中记录所发送的导航安全数据。

接着将描述上文描述的导航系统的细节。图2是图示了导航单元1的主要功能的功能框图。导航单元1基本上由汽车导航主部分1A和连接到汽车导航主部分1A的作为记录介质管理控制器的SD管理控制器1B组成。

汽车导航主单元1A与一般汽车导航装置类似地经由I/O接口11连接到各种汽车导航传感器和输入/输出设备。汽车导航传感器包括从GPS卫星接收GPS信号的全球定位系统（GPS）接收器91、检测汽车的行驶方向或者行驶方向的改变的方向传感器92、检测汽车的汽车速度和移动距离的距离传感器93等。输入/输出设备包括用于向驾驶员给予路线指导等的扬声器94和监视器95并且还包括操作设备（比如触摸屏96）。

在汽车导航主单元1A中，由硬件或者软件（程序）或者二者构建的主要功能单元是GPS位置信息获得单元12、行驶方向信息获得单元13、地图数据处理单元14、地图匹配单元15、行驶距离计算单元16和导航信息处理单元。在插入于导航单元1中的SD卡4中构建地图数据库，该数据库是地图数据处理单元14的地图数据搜索和提取目标。

GPS位置信息获得单元12具有用于通过GPS定位来获得代表车辆的位置的车辆位置信息的功能。在GPS位置信息获得单元12中，可以分析GPS接收器91中接收的来自GPS卫星的信号以获得车辆的当前位置（坐标位置：纬度和经度）。行驶方向信息获得单元13具有用于按照车辆的方向改变量和移动距离来获得代表车辆的行驶方向的行驶方向信息的功能。出于这一目的，行驶方向信息获得单元13连接到方向传感器92和距离传感器93。距离传感器93用于检测车辆的行驶速度和行驶距离，并且基于这一传感器的信号，行驶距离计算单元16计算总行驶距离。地图映射单元15具有用于从SD卡4获得车辆位置附近的地图数据的功能并且基于获得的地图数据执行公知地图匹配。通过这一地图匹配，按照从GPS位置信息获得单元12输出的车辆位置信息和/或从行驶方向信息获得单元13输出的行驶方向信息来执行对从车辆在地图信息中所示道路上的当前位置起的最短位置的搜索。发现的位置是车辆路上位置，这一车辆路上位置以叠加方式显示于监视器6上的道路地图上。导航信息处理单元17创建各种功能（比如显示车辆位置、从出发地点到目的地的路线搜索、去往目的地的路线指导和目的地搜索）。例如导航信息处理单元17基于如地图匹配单元15确定的作为车辆位置的车辆路上位置从SD卡4获得地图数据，并且在监视器6的显示屏上显示地图的图像，而且在地图的图像上以叠加方式显示代表车辆的当前位置和行驶方向的车辆位置标记。导航信息处理单元17基于地图数据执行从预定出发地点到目的地的路线搜索，并且基于发现的从出发地点到目的地的路线和车辆位置使用监视器95和扬声器94中的一个或者两个向驾驶员给予路线指导。用作操作设备的触摸屏96附接到监视器95，但是可以添加除了触摸屏之外的操作开关和/或操作按钮作为操作设备。

SD管理控制器1B的经由其相应通信接口10、20连接到汽车导航主单元1A的主要功能单元是SD宿主模块21、安全数据存储器22、更新权限信息处理单元23、地图更新到期日期计算单元24、导航安全数据生成单元25和加密处理单元26。

SD宿主模块21与SD卡4执行数据交换。安全存储器22用于记录导航单元1原先固有的信息（比如车载设备ID）和从SD卡4获得的与安全有关的数据（比如介质标识信息（CID））。在该存储器中记录SD卡4的介质标识信息（该信息是导航单元1的第一数据访问目标）作为首次使用的介质标识信息。也就是说，首次使用的介质标识信息是在未用的导航单元1中首次插入的SD卡4的介质标识信息。更新权限信息处理单元23通过添加基于从SD卡获得的更新权限信息生成的地图更新到期日期等来生成导航单元侧更新权限信息，并且从这一更新权限信息取出必需数据。地图更新到期日期计算单元24关于插入的SD卡4中的地图数据的更新来计算到期日期。这里，地图更新到期日期计算单元24比较首次使用的介质标识信息与SD卡4的介质标识信息，并且为具有作为首次使用的介质标识信息而记录的介质标识信息的SD卡4和为其它SD卡4设置不同地图更新到期日期。具体而言，向具有作为首次使用的介质标识信息而记录的介质标识信息的SD卡4给予三年的更新到日期，而向其它SD卡4给予两年的到日期。当记录于SD卡4中的地图数据太旧时，这可能引起各种问题（比如难以使用差异来更新地图）。因此当设置地图更新到期日时，地图更新到期日期计算单元24参考更新最终到期日期，并且未向已经经过更新最终到期日期的SD卡4给予更新到期日期。例如参照在SD卡4中记录地图数据的时间来设置更新最终到期日期。

导航安全数据生成单元25通过组合如下安全数据来生成导航安全数据，该安全数据用于检测用更新单元7执行未授权地图更新的SD卡4。导航安全数据至少包括从SD卡4的管理区域读取的介质标识信息（CID）和地图更新到期日期的信息。加密处理单元26包括用于这里加密数据的加密密钥作为导航加密密钥和用于解密更新单元7中的加密数据的更新解密密钥。散列计算单元27计算插入的SD卡4的地图数据的散列值。

如图3中所示，SD卡4的结构与如下SD卡基本上相同并且能够经由SD接口40来与更新单元7和导航单元1交换数据，该SD卡是具有安全功能的商业可用闪存。SD卡包括CPU41、管理存储器42（介质标识信息等记录于该存储器中）和闪存44（该闪存为如下数据区域，可以在该数据区域中经由存储接口43以可改写方式记录数据）作为基本部件。另外，SD卡也包括口令锁处理单元55和CID管理单元56作为由为这一导航系统装配的程序等实现的功能单元。

口令锁处理单元55执行这一SD卡4的口令锁功能。当在导航单元1中首次插入SD卡时在执行口令校验之后释放这一口令锁，并且随后允许在没有口令的情况下进行数据访问。CID管理单元56按照请求读取记录于管理存储器42中的介质标识信息（一般为称为CID的代码）并且向请求者发送读取的信息。

如图4中所示，在能够经由WAN（因特网）接口连接到WAN并且也能够经由SD接口71来与SD卡交换数据的个人计算机中，通过执行如下程序来构建更新单元7中需要的功能单元，该程序实现这一导航系统中需要的功能。功能单元包括地图数据处理单元72、地图安全数据生成单元73、更新安全数据生成单元74、散列计算单元75和加密处理单元76。

地图数据处理单元72处理从中心下载的供更新用的地图数据（包括地图数据属性值（比如地图数据版本和地图创建日期）），并且更新插入的SD卡4的地图数据。一般而言，下载供更新用的地图数据作为差异数据，因此使用差异数据来仅改写地图数据中的待更新数据部分。为了便于处理，地图数据被分割成多个地图子数据。为了允许用作将向插入的SD卡4传送的地图数据的标识代码，地图安全数据生成单元73对散列计算单元根据地图子数据分别获得的散列值进行分组以产生地图安全数据。更新安全数据生成单元74通过对以下信息进行分组来创建更新安全数据：从记录于插入的SD卡中的导航安全数据读取的介质标识信息、地图创建日期或者根据差异数据创建更新地图数据的日期和散列计算单元根据地图安全数据生成单元73生成的地图安全数据再次计算的散列值。加密处理单元76用更新加密密钥加密更新安全数据并且向SD卡4发送该数据。加密处理单元76也包括用于解密用导航单元1的加密处理单元26中的导航加密密钥加密的数据的导航解密密钥。因而更新单元7能够从SD卡4读取用导航加密密钥加密的导航安全数据并且解密读取的导航安全数据。

在如上文描述的那样构造的导航系统中，当在导航单元1和SD卡4以及更新单元7之间传送地图数据时，出于安全的目的而交换各种信息和数据。图5A至图5E图示了这样的数据和信息的数据结构概况。

图5A中所示更新权限信息的结构在记录于SD卡4中时与在随后向导航单元1传送并且记录其中时不同。具体而言，SD卡4中的更新权限信息具有地图数据版本和更新最终到期日。另一方面，在导航单元1中的更新权限信息中还添加介质标识信息（CID）和在导航单元1的地图更新到期日期计算单元24中计算的地图更新到期日期。

图5B中所示导航安全数据是在导航单元1中生成的，并且具有介质标识信息、车载设备ID、行驶距离、地图更新到期日期和地图数据版本。用导航加密密钥加密导航安全数据并且从导航单元1向SD卡4传送该数据。

图5C中所示地图数据最终是在更新单元7中建立的，并且具有作为地图数据属性值的地图数据版本和地图创建日期、以及按照地图分段号分段的多个地图子数据1等。

图5D中所示地图安全数据是在更新单元7中生成的并且包括分别针对按照地图分段号分段的多个地图子数据而计算为地图子数据散列值1的地图子数据散列值等。地图安全数据与地图数据一起从更新单元7向SD卡4传送。图5E中所示更新安全数据是在更新单元7中生成的，并且包括从记录于SD卡4中的导航安全数据读取的介质标识信息和通过进一步散列计算地图安全数据中包括的多个地图子数据散列值而获得的作为二级散列值的地图安全数据散列值。用更新加密密钥加密更新安全数据并且向插入的SD卡4传送该数据。

接着将描述这一导航系统中的数据交换过程。图6是示意地图示了当在汽车中装配导航单元1并且首次插入SD卡4时在导航单元1与SD卡4之间的数据交换的图。

首先，导航单元1关于SD卡4执行锁确认（#30）。在从SD卡4接收表明口令锁在起作用的锁信息（#31）时，导航单元1发送口令（#32）。当从导航单元1发送了口令时，允许对SD卡4的数据访问（#33）。当允许数据访问时，导航单元1请求来自SD卡4的记录于管理区域中的介质标识信息（CID）（#34）。在接收到介质标识信息（CID）（#35）时，导航单元1在存储器22中暂时记录该信息（#36）。另外，导航单元1请求更新权限信息（RR）（#37），并且在接收到更新权限信息（RR）（#38）时，地图更新到期日期计算单元24基于更新日期（RR）计算地图更新到期日期（#39）。在这一实施例中，在更新权限信息（RR）记录于SD卡4中的条件下，地图更新到期日期计算单元24指定从读取这一更新权限信息（RR）的时间起的预定时段作为用于这一更新权限信息（RR）的地图更新到期日期。这里如上文描述的那样，地图更新到期日期计算单元24根据SID卡4是否为导航单元1的第一数据访问目标来给予不同地图更新到期日期。具体而言，向作为用于这一导航单元的第一数据访问目标的SD卡4给予三年的更新到期日期，而向作为第二或者更晚数据访问目标的SD卡4给予两年的更新到期日期。这时，地图更新到期日期计算单元24校验更新权限信息（RR）中包括的更新最终到期日期并且不向已经过了更新最终到期日期的SD卡4给予更新到期日期。接着基于记录于存储器22中的数据，更新权限信息处理单元23创建具有图5中所示数据结构的更新权限信息（RR），并且在存储器22中记录创建的信息（#40）。当更新权限信息（RR）的重建和记录完成时，向SD卡4通知更新权限信息记录完成（#41），因而更新信息管理单元52删除记录于闪存44中的更新权限信息（#42）。随后，口令锁处理单元55释放口令锁功能（#43）。

在导航单元1中，导航安全数据生成单元25对从作为插入的SD卡4的管理区域的管理储存器42读取的介质标识信息（CID）、这一导航单元1固有的车载设备ID（NID）、从汽车导航主单元1A获得的行驶距离（Km）、预先计算的地图更新信息（RT）、在更新权限信息（RR）中包括的地图数据库版本（MV）进行分组，从而创建导航安全数据（NS）（#44）并且在存储器22中记录创建的数据（#45）。另外，加密处理单元26使用导航加密密钥对导航安全数据（NS）加密（#46），向SD卡4发送该数据（#47），并且在作为数据区域的闪存44中记录该数据（#48）。

因此，导航单元1和SD卡4的初始处理完成。在汽车导航处理期间，SD管理控制器1B重复以下处理：访问SD卡4、从SD卡4读取必需地图数据并且如汽车导航主单元1A请求的那样向汽车导航主单元1A给予读取的数据。

接着将使用图7的图来描述在更新地图数据期间在SD卡与更新单元之间交换的数据流。

首先，更新单元7预先下载地图数据（#61）并且在存储器中存储下载的数据作为供更新用的地图数据（#62）。这时，更新之前的地图数据存在于更新单元7中。当下载的地图数据为差异数据时，差异数据这里用来将现有地图数据更新成最新数据。在这一状态中，当在更新单元7中插入作为更新目标的SD卡4时，更新单元7请求SD卡4从导航单元1接收并且记录的导航安全数据（#63）。在存储器中暂时存储接收的导航安全数据（#64）。使用导航解密密钥来解密导航安全数据（#65）。从以这一方式解密的导航安全数据取出介质标识信息（CID）并且在更新单元7的储存器中暂时存储该数据（#66）。另外，从解密的导航安全数据取出地图更新到期日期（#67）并且比较该日期与存储的供更新用的地图数据的创建日期和时间以便校验创建日期和时间是否已经经过地图更新到期日期，或者根据其它设置条件进行与地图更新到期日期有关的校验（#68）。

当已通过与地图更新到期日期有关的校验时，向SD卡4发送供更新用的地图数据（#69）。在更新单元7中，散列计算单元75计算地图数据的散列值（MH）（#70）。通常，地图数据具有大数据量并且以划分的方式来结构化。因此计算相应地图子数据的散列值，并且生成地图安全数据（MS）（#71）。另外，一起使用在地图安全数据（MS）中包括的相应地图子数据的散列值执行散列操作、由此计算合成散列值（#72）。更新安全数据生成单元74通过对合成散列值、地图数据的创建日期和从解密的导航安全数据取出的介质标识信息等进行分组来生成更新安全数据（RS）（#73）。用更新加密密钥对生成的更新安全数据进行加密（#74）。加密的更新安全数据与先前生成的地图安全数据一起被发送至SD卡4（#75，#76），并且被记录于作为SD卡4的数据区域的闪存44中（#77）。

接着将使用图8的图来描述当在导航单元1中使用SD卡4时的数据交换流程（其中经由更新单元更新初始地图数据）。

当在导航单元1中首次插入这一SD卡4时，释放口令锁功能，并且已经删除更新权限信息。当在导航单元1中插入SD卡4时，导航单元1请求来自SD卡4的记录于作为管理区域的管理存储器42中的介质标识信息（CID）（#80）并且获得SD卡4中的管理存储器42中记录的介质标识信息（#81）。另外，导航单元1请求记录于SD卡4的闪存44中的更新安全数据（RS）（#82）并且获得更新安全数据（#83）。使用更新解密密钥来解密更新安全数据（RS）（#84）。由于更新安全数据包括介质标识信息，因而通过比较这一介质标识信息与先前获得的介质标识信息来校验在SD卡4与更新单元7中更新的地图数据之间的匹配（#85）。当在介质标识信息的匹配无问题时，比较当前接收的更新安全数据中包括的地图创建日期（MD）与记录于导航单元1中的地图更新到期日期以便校验其间的匹配（#86）。当这一匹配无问题时，SD卡4本身可以视为有效SD卡。

接着为了校验记录于SD卡4中的地图数据本身的有效性（例如校验是是否为非法复制地图数据），先请求来自SD卡4的地图安全数据（RS）（#87），并且接收地图安全数据（#88）。另外，请求地图数据（#89）并且接收地图数据（#90）。散列计算单元27计算接收的地图数据（实际为按照预定分段号分段的相应映射子数据的散列值）（#91）。另外，合成地执行通过这一计算而获得的该组散列值的散列计算以便计算合成散列值。相互比较这一合成散列值与在先前接收的地图安全数据中包括的散列值（更新单元7计算的合成散列值）（#92）。当散列值相互匹配时，保证更新单元7中下载和创建的地图数据与记录于当前插入的SD卡4中的地图数据匹配。因此识别包括地图数据的SD卡4的有效性。另外，当导航安全数据包括的数据的值随着操作车辆而改变（比如行驶距离）时，导航安全数据生成单元25生成包括最新数据的导航安全数据（#93）。因此，完成初始处理。当执行汽车导航处理时，SD管理控制器1B响应于来自汽车导航主单元1A的对从SD卡4读取必需地图数据的请求而访问SD卡4，并且重复向汽车导航主单元1A提供的处理。

通过包括如上文描述的结构，可以实现安全性高的地图数据更新。具体而言，可设想以下模式。（1）当尝试从新SD卡4完全（dead）复制全部地图数据时，口令锁功能工作并且仅允许专用导航单元1的数据访问。因此，这样的地图数据完全复制是不可能的。在释放口令锁之后，删除更新权限数据，因此不可能非法获得地图数据的更新权限。

（2）在通过在导航单元1中插入SD卡4来释放口令锁功能之后，当尝试使用全部完全复制前述SD卡4的另一SD卡4时，可以根据导航安全数据的介质标识信息与SD卡固有的介质标识信息（记录于管理存储器中）不匹配来识别非法副本，并且由此可以禁止使用非法副本。

（3）当插入其中部分地图数据被修改或者非法复制的SD卡4时，可以通过在激活导航单元1时如上文描述的那样计算地图数据的散列值并且比较这一计算值与导航安全数据中包括的散列值来禁止使用这一SD卡。

（4）当尝试执行对其地图更新到期日期已经届满的SD卡4的地图更新时，通过回溯更新单元，比较导航安全数据中包括的地图更新到期日期与作为供更新用的地图数据的属性值的地图创建日期以校验其间的匹配，并且由此可以检测更新单元的未授权时钟设置。不可能改写导航安全数据的地图更新到期日期，这是因为用导航加密密钥加密导航安全数据。另外当完全复制其地图更新到期日期尚未届满的另一SD卡4的导航安全数据时，即使地图更新在更新单元7中成功，仍然在这一更新期间写入导航安全数据的介质标识信息，因此可以在导航单元1中通过比较其更新安全数据的介质标识信息与从SD卡4的管理存储器42读取的介质标识信息来检测这一未授权行为。

（5）当用于更新单元7中安装的这一导航系统的程序崩溃并且补丁避免功能单元（比如上文描述的更新到期日期校验）时，导航单元可以通过比较更新安全数据中包括的地图创建日期与地图更新到期日期来检测这样的未授权行为。通过运用两个不同加密密钥系统使得仅能用更新单元7的导航解密密钥解密用导航单元1的导航加密密钥加密的代码并且仅能用导航单元1的更新解密密钥解密用更新单元7的更新加密密钥加密的代码来避免这一导航系统中的加密系统由于安装于更新单元7中的程序崩溃所致的弱点。

[其它实施例]

（1）在上文描述的实施例中，运用口令锁功能用于防止在SD卡（一类记录介质）4被用于导航单元1中之前对SD卡4的数据访问。然而有可能运用另一锁功能（具体为适合于待使用的记录介质的锁功能）。虽然在从数据区域删除更新权限信息之后释放口令锁功能，但是未从本发明的范围排除在删除之前释放口令锁功能。另外，其中去除口令锁功能的导航系统也在本发明的范围内。

（2）当容许一定程度的弱点时，如下系统也在本发明的范围内，在该系统中未在导航单元的存储器中记录从SD卡（一类记录介质）4的数据区域读取的更新权限信息。

（3）在本发明的范围内也有可能省略在导航单元的存储器中记录作为用于导航单元的第一数据访问目标的记录介质的介质标识信息作为首次使用介质标识信息。另外根据应用领域，并非总是必需的是具有作为首次使用介质标识信息而记录的介质标识信息的记录介质的地图更新到期日期与其它记录介质的地图更新到期日期不同。

（4）在上文描述的例子中，导航单元指定从读取更新权限信息的时间起的预定时段作为关于这一更新权限信息的地图更新到期日期。然而也可以运用除了读取更新权限信息的时间之外的定时作为如下定时，该定时作为地图更新到期日期的起点。作为这一定时，例如有在导航单元中插入记录介质的定时、当车辆的行驶距离超过预定距离时的定时、当制造其中记录地图数据的记录介质时的定时或者装运定时。

（5）通过将散列值用于检测地图数据的意外改变，可以通过防止篡改（比如加密）将计算负荷减少更多。然而为了进一步减少导航单元1和更新单元7中的计算负荷，也有可能省略这一使用散列值的防篡改。

（6）作为最适合于加强安全性的一个实施例，在导航单元1与更新单元7中运用两个不同加密密钥系统。然而本发明不限于此。在本发明内也包括运用具有单个共同密钥的加密系统。

（7）在上文描述的实施例中，地图数据由多个子数据构成，并且用于更新安全数据的地图安全处理数据是根据多个散列值（根据相应子数据计算这些散列值）进一步计算的散列值。然而在未执行这样的两级散列计算时可以原样使用一级散列计算数据（也就是地图安全数据）。

（8）虽然运用地图创建日期作为供更新用的地图数据的在更新安全数据中包括的唯一属性值，但是可以运用另一唯一属性值（比如地图创建历史代码）。

（9）并入SD卡（一类记录介质）4中的CPU系统的能力逐年增加，因此在本发明的范围内有可能在SD卡侧上构建上文描述的系统中的导航单元1和更新单元7中构建的更新信息管理功能、散列计算功能、加密功能等。

本发明的导航系统不仅可以应用于车辆中装配的汽车导航系统而且可以应用于各种如下导航系统（比如便携导航系统），在这些导航系统中，在可附接/可拆卸记录介质中记录可更新地图数据并且使用该数据。

Claims (6)

1.一种导航系统，具有使用地图数据来操作的导航单元和可附接到所述导航单元并且可从所述单元拆卸的记录介质，其中所述记录介质具有记录有所述地图数据的可改写数据区域和记录有介质标识信息的非可改写管理区域，所述导航系统的特征在于：

为了更新所述地图数据而必需的更新权限信息被记录于所述数据区域中，并且

在所述导航单元对所述记录介质进行首次数据访问时从所述数据区域读取所述更新权限信息并且从所述数据区域删除所述更新权限信息，并且基于读取的所述更新权限信息创建的地图更新到期日期与从所述管理区域读取的介质标识信息一起写入所述导航单元的存储器中，

当更新所述地图数据时，从外部单元发送的更新地图数据被记录于所述记录介质的所述数据区域中，并且根据所述更新地图数据生成的散列值被记录于所述记录介质中作为地图安全数据，

所述导航单元从所述记录介质接收所述地图安全数据和所述地图数据，

使用接收到的所述地图数据来计算散列值，

比较计算出的所述散列值与所述地图安全数据中所包含的散列值，判断是否匹配。

2.根据权利要求1所述的导航系统，其中：

所述记录介质具有起初处于锁定状态的口令锁功能，并且所述导航单元包括用于释放所述口令锁的口令，从而所述口令能够被发送至所述记录介质。

3.根据权利要求2所述的导航系统，其中：

在从所述数据区域删除所述更新权限信息之后释放所述口令锁功能。

4.根据权利要求1所述的导航系统，其中：

从所述数据区域读取的所述更新权限信息被记录于所述导航单元的所述存储器中。

5.根据权利要求1至4中的任一权利要求所述的导航系统，其中：

受到所述导航单元进行的所述首次数据访问的所述记录介质的介质标识信息被记录于所述导航单元的所述存储器中作为首次使用介质标识信息，并且具有作为所述首次使用介质标识信息而记录的所述介质标识信息的所述记录介质的地图更新到期日期与其它记录介质的地图更新到期日期之间不同。

6.根据权利要求1至4中的任一权利要求所述的导航系统，其中：

所述导航单元指定从读取所述更新权限信息的时间起的预定时段作为用于所述更新权限信息的所述地图更新到期日期。