JP2015161588A - 航法メッセージ受信装置及び簡易認証システム - Google Patents

Abstract

【課題】衛星測位システムで用いられる人工衛星からの航法メッセージが正規のものであるかの認証に用いられる認証センタの通信処理負荷を抑えながらも、人工衛星からの航法メッセージが正規のものであるかを判断することを可能にする。
【解決手段】第２車載機３００が、Ｈマトリクスを認証センタ１２０から受信して認証を行った第１車載機２００から、認証が成立した航法メッセージの発信元のＧＰＳ衛星２についての認証済衛星情報をＳ３１で取得し、取得した認証済衛星情報に含まれる衛星番号と、衛星受信機３３０で受信した航法メッセージに含まれる衛星番号とが一致するとＳ３３〜Ｓ３４で判定した場合に、衛星受信機３３０で受信した航法メッセージを正規のものであるとＳ３５で判断する。
【選択図】図７

Description

本発明は、衛星測位システムで用いられる人工衛星から航法メッセージを受信する航法メッセージ受信装置、及びその航法メッセージ受信装置を含む簡易認証システムに関するものである。

従来、衛星測位システムで用いられる人工衛星から発信される航法メッセージを受信機によって受信し、位置を測位する技術が知られている。

しかしながら、近年では、人工衛星からの信号を複製するリピータや、人工衛星からの信号を擬似的に生成可能なシミュレータ等の開発により、悪意の行為者による位置情報の改竄やなりすましという問題が発生してきている。

これに対して、特許文献１には、受信機が受信した航法メッセージが、衛星測位システムで用いられる人工衛星からの正規の航法メッセージであるかの認証を行う技術が開示されている。特許文献１に開示の技術では、受信機は、認証センタのデータベースにアクセスし、人工衛星から受信した航法メッセージに含まれる衛星番号と衛星時刻から、対象とする人工衛星の認証に用いるデータを取得する。そして、受信機は、認証センタから取得したデータを用いて、受信した航法メッセージが、衛星測位システムで用いられる人工衛星からの正規の航法メッセージであるかの認証を行う。

特開２０１３−１３０３９５号公報

特許文献１に開示の技術では、受信機が複数ある場合、各受信機が測位のたびに、測位に用いた複数の人工衛星からの航法メッセージの個々について、認証センタと通信を行って正規の航法メッセージであるかの認証を行う必要がある。よって、各受信機と認証センタとが頻繁に通信を行う必要が生じ、認証センタの通信処理負荷が膨大になってしまうという問題点が生じる。

本発明は、上記従来の問題点に鑑みなされたものであって、その目的は、衛星測位システムで用いられる人工衛星からの航法メッセージが正規のものであるかの認証に用いられる認証センタの通信処理負荷を抑えながらも、人工衛星からの航法メッセージが正規のものであるかを判断することを可能にする航法メッセージ受信装置及び簡易認証システムを提供することにある。

本発明の航法メッセージ受信装置は、衛星測位システムで用いられる人工衛星からの航法メッセージを受信する衛星受信機（３３０）を備える航法メッセージ受信装置（３００）であって、人工衛星から受信した航法メッセージに応じた認証用情報を認証センタから受信して認証を行う測位装置（２００）から、認証が成立した航法メッセージの発信元の人工衛星についての情報である認証済衛星情報を取得する衛星情報取得部（Ｓ３１、Ｓ６１）と、衛星情報取得部で取得した認証済衛星情報を用いて、衛星受信機で受信した航法メッセージが正規のものであるかを判断する簡易判断部（Ｓ３３〜Ｓ３５、Ｓ６６、Ｓ６７、Ｓ９５、Ｓ９６、Ｓ１０６、Ｓ１０７、Ｓ１１３、Ｓ１１４、Ｓ１２５、Ｓ１２６）とを備えることを特徴としている。

これによれば、人工衛星から受信した航法メッセージに応じた認証用情報を認証センタから受信した測位装置において認証が成立した航法メッセージの発信元の人工衛星についての認証済衛星情報を用いて、衛星受信機で受信した航法メッセージが正規のものであるかを判断する。よって、自装置は認証センタから認証用情報を受信しなくても、衛星受信機で受信した航法メッセージが正規のものであるかを判断することが可能になる。従って、自装置が認証センタから認証用情報を受信しなくてもよくなる分だけ、認証センタの通信処理負荷を軽減できる。

本発明の簡易認証システムは、第１の移動体で用いられて、衛星測位システムで用いられる人工衛星からの航法メッセージを受信する第１の衛星受信機（２３０）と、第１の衛星受信機で受信した航法メッセージに応じた認証用情報を、認証センタから受信する認証用情報受信部（Ｓ５）と、第１の衛星受信機で受信した航法メッセージが正規のものであるか、認証用情報受信部で受信した認証用情報を用いて認証を行うセンタ使用認証部（Ｓ９〜Ｓ１１）と、センタ使用認証部での認証が成立した航法メッセージの発信元の人工衛星についての情報である認証済衛星情報を送信する衛星情報送信部（Ｓ２２）とを備える第１の航法メッセージ受信装置（２００）と、路上に設けられて、衛星情報送信部から送信される認証済衛星情報を受信する衛星情報受信部（Ｓ４１）と、衛星情報受信部で受信した認証済衛星情報を蓄積する蓄積部（４３０）と、蓄積部に蓄積した情報を配信する配信部（Ｓ５２）とを備える路側機（４００）と、第２の移動体で用いられて、衛星測位システムで用いられる人工衛星からの航法メッセージを受信する第２の衛星受信機（３３０）と、路側機の配信部から配信される認証済衛星情報を受信することで認証済衛星情報を取得する衛星情報取得部（Ｓ３１、Ｓ６１）と、衛星情報取得部で取得した認証済衛星情報を用いて、衛星受信機で受信した航法メッセージが正規のものであるかを判断する簡易判断部（Ｓ３３〜Ｓ３５、Ｓ６６、Ｓ６７、Ｓ９５、Ｓ９６、Ｓ１０６、Ｓ１０７、Ｓ１１３、Ｓ１１４、Ｓ１２５、Ｓ１２６）とを備える第２の航法メッセージ受信装置（３００）とを含むことを特徴としている。

これによれば、第１の航法メッセージ受信装置において認証センタから受信した認証用情報を用いて認証が成立した航法メッセージの発信元の人工衛星についての認証済衛星情報を用いて、第２の航法メッセージ受信装置において、衛星受信機で受信した航法メッセージが正規のものであるかを判断する。よって、第２の航法メッセージ受信装置は認証センタから認証用情報を受信しなくても、衛星受信機で受信した航法メッセージが正規のものであるかを判断することが可能になる。従って、第２の航法メッセージ受信装置が認証センタから認証用情報を受信しなくてもよくなる分だけ、認証センタの通信処理負荷を軽減できる。

また、第１の移動体で用いられる第１の航法メッセージ受信装置が送信した認証用情報を、路側機が一旦蓄積して、第２の移動体で用いられる第２の航法メッセージ受信装置に送信することができる。よって、第１の移動体と第２の移動体とが同じタイミングで路側機の近辺に位置しない場合でも、第１の航法メッセージ受信装置が送信した認証用情報を、後から路側機近辺に来た第２の航法メッセージ受信装置が取得することが可能になる。

他にも、路側機は路上に設けられているため、路側機が第１の航法メッセージ受信装置から受信する認証用情報は、路側機が設けられた近辺で航法メッセージを受信することができる人工衛星についての認証用情報になる。よって、第２の航法メッセージ受信装置が、衛星測位システムで用いられる人工衛星のうち、路側機が設けられた近辺で航法メッセージを受信することができる人工衛星についての認証用情報に絞って受信できるようになる。

実施形態１における簡易認証システム１の概略的な構成の一例を示す図である。 認証センタ１２０の概略的な構成の一例を示すブロック図である。 第１車載機２００の概略的な構成の一例を示すブロック図である。 実施形態１における第１車載機２００での認証関連処理の流れの一例を示すフローチャートである。 実施形態１における第１車載機２００での認証済衛星情報送信処理の流れの一例を示すフローチャートである。 第２車載機３００の概略的な構成の一例を示すブロック図である。 実施形態１における第２車載機３００での第１簡易判断処理の流れの一例を示すフローチャートである。 変形例１における簡易認証システム１ａの概略的な構成の一例を示す図である。 変形例１における路側機４００での蓄積処理の流れの一例を示すフローチャートである。 変形例１における路側機４００での配信処理の流れの一例を示すフローチャートである。 変形例３における第２車載機３００での第１簡易判断処理の流れの一例を示すフローチャートである。 Ｓ６５の処理の一例について説明を行うための模式図である。 実施形態２における簡易認証システム１ａの概略的な構成の一例を示す図である。 実施形態２における第２車載機３００での認証関連処理の流れの一例を示すフローチャートである。 実施形態２における第２車載機３００での第２簡易判断処理の流れの一例を示すフローチャートである。 Ｓ９４の処理の一例について説明を行うための模式図である。 変形例４における第２車載機３００での第２簡易判断処理の流れの一例を示すフローチャートである。 Ｓ１０５の処理の一例について説明を行うための模式図である。 実施形態３における第２車載機３００での第３簡易判断処理の流れの一例を示すフローチャートである。 Ｓ１１２の処理の一例について説明を行うための模式図である。 変形例５における第２車載機３００での第３簡易判断処理の流れの一例を示すフローチャートである。

以下、本発明の実施形態について図面を用いて説明する。

（実施形態１）
図１に示すように、実施形態１における簡易認証システム１は、モニタステーション１１０、認証センタ１２０、マスタコントロールステーション１３０、第１車載機２００、及び第２車載機３００を含む。第１車載機２００を用いる車両を車両Ａ、第２車載機３００を用いる車両を車両Ｂとする。第１車載機２００が請求項の測位装置に相当し、第２車載機３００が請求項の航法メッセージ受信装置に相当する。

＜簡易認証システム１の概略構成＞
モニタステーション１１０は、衛星測位システムの一つであるＧＰＳが備えるＧＰＳ衛星２ａ〜２ｃが発信するＧＰＳ電波を受信する。ＧＰＳ衛星２ａ〜２ｃが請求項の人工衛星に相当する。以降では、ＧＰＳ衛星２ａ〜２ｃの個々を区別しない場合にはＧＰＳ衛星２と表現する。周知のように、ＧＰＳ電波には航法メッセージが含まれている。モニタステーション１１０は、受信したＧＰＳ電波を復調して航法メッセージを抽出し、認証センタ１２０へ送る。複数のＧＰＳ衛星２からＧＰＳ電波を受信した場合には、それぞれのＧＰＳ電波から航法メッセージを抽出して、認証センタ１２０へ送る。

認証センタ１２０は、航法メッセージと暗号キーであるＨマトリクスとからパリティデータを作成する。そして、このパリティデータを含む信号をマスタコントロールステーション１３０に送る。また、第１車載機２００との間で通信も行う。この認証センタ１２０の詳細な説明は図２を用いて後に行う。

マスタコントロールステーション１３０は、認証センタ１２０から受信したパリティデータを準天頂衛星（以下、ＱＺＳ衛星）３に送信する。ＱＺＳ衛星３は、パリティデータを含んだ航法メッセージを地上に向けて放送する。

第１車載機２００は、航法メッセージ認証型（ＮＭＡ：Navigation Message Authentication）車載機である。第１車載機２００は、認証センタ１２０と通信を行い、ＧＰＳ衛星２から受信した航法メッセージが正規の航法メッセージであることの認証を行う。認証の詳細な説明については、図４を用いて後に行う。

また、第１車載機２００は、複数のＧＰＳ衛星２から受信した航法メッセージを用いて自機器の現在位置を測位する。現在位置の測位には、最低でも３つのＧＰＳ衛星２から受信した航法メッセージを用いる。

さらに、第１車載機２００は、認証が成立した航法メッセージの発信元のＧＰＳ衛星２についての情報（以下、認証済衛星情報）を、無線通信によって外部に送信する。第１車載機２００の詳細な説明は、図３を用いて後に行う。

第２車載機３００は、第１車載機２００から送信される認証済衛星情報を受信し、この認証済衛星情報を利用することで、認証センタ１２０を用いずに、ＧＰＳ衛星２から受信した航法メッセージが正規の航法メッセージであるか否かを判断する。第２車載機３００の詳細な説明は、図６を用いて後に行う。

＜認証センタ１２０の詳細構成＞
図２に示すように、認証センタ１２０は、制御部１２２、データ記憶部１２４、通信部１２６を備える。

制御部１２２は、ＣＰＵ、ＲＯＭ、ＲＡＭ等を備えたコンピュータであり、データ記憶部１２４、通信部１２６を制御する。また、ＣＰＵが、ＲＡＭの一時記憶機能を利用しつつＲＯＭに記憶されているプログラムを実行することで、ＲＡＮＤメッセージ生成部１２２１、ＳＥＥＤ値生成部１２２２、Ｈマトリクス計算部１２２３、パリティ計算部１２２４、信号加工部１２２５として機能する。なお、これら、各部１２２１〜１２２５の機能は、特許文献１に開示されている機能と同じでよい。

ＲＡＮＤメッセージ生成部１２２１は、モニタステーション１１０から取得する航法メッセージから、ＲＡＮＤメッセージを作成する。ＲＡＮＤメッセージは、航法メッセージのビット列の中から、ＴＯＷ（time of week）のビット列のデータとエフェメリスデータのうちのクロック補正パラメータであるＴＯＣ、ＡＦ０、ＡＦ１とが順番に並んでいる。ＴＯＷ、ＴＯＣ、ＡＦ０、ＡＦ１が信号の発信時刻を特定するデータであって、請求項の発信時刻に相当する。さらに、その後に、アンチスプーフフラグであるＡＳ Ｆｌａｇ、衛星番号であるＰＲＮ（Pseudo Random Noise）ＩＤが追加されている。

ＴＯＷとＰＲＮ ＩＤを含んでいるＲＡＮＤは、どのＧＰＳ衛星がいつ発信したかを示すデータであると言える。また、ＴＯＷが６秒ごとに変化し、また、ＰＲＮ ＩＤを含んでいるので、モニタステーション１１０が受信したＧＰＳ衛星２ごと、かつ、６秒ごとにＲＡＮＤを生成することになる。

ＳＥＥＤ値生成部１２２２は、ＰＣクロックを入力として乱数を発生させることで、ＳＥＥＤ値を生成する。

Ｈマトリクス計算部１２２３は、ＳＥＥＤ値生成部１２２２が生成したＳＥＥＤ値を使い、このＳＥＥＤ値に一対一に対応するＨマトリクスを計算する。Ｈマトリクスとしては、周知のハッシュ関数を用いればよく、例えばＬＤＰＣ（Low Density Parity Check）符号化を行うためのパリティ検査行列を用いればよい。さらに、パリティ検査行列から決定される生成行列を用いてもよい。

パリティ計算部１２２４は、ＲＡＮＤメッセージ生成部１２２１が生成したＲＡＮＤメッセージと、Ｈマトリクス計算部１２２３が計算したＨマトリクスに基づいて、パリティデータを計算する。

信号加工部１２２５は、パリティ計算部１２２４が計算したパリティデータ、及びその計算に使用したＲＡＮＤメッセージを、ＱＺＳ衛星３から発信させる航法メッセージに挿入する。そして、挿入済みの航法メッセージをマスタコントロールステーション１３０に送る。

さらに、信号加工部１２２５は、信号の挿入に合せて、パリティ計算部１２２４が計算したパリティデータ、パリティデータの計算に用いたＲＡＮＤメッセージ、Ｈマトリクス、Ｈマトリクスの計算に用いたＳＥＥＤ値を対応付けて、データ記憶部１２４に記憶する。

この信号加工部１２２５は、ＲＡＮＤメッセージ生成部１２２１がＲＡＮＤメッセージを生成するごとに、ＲＡＮＤメッセージとパリティデータをＱＺＳ衛星３に送信させる航法メッセージに挿入する。よって、ＲＡＮＤメッセージ生成部１２２１、ＳＥＥＤ値生成部１２２２、Ｈマトリクス計算部１２２３、パリティ計算部１２２４も、ＲＡＮＤメッセージ生成部１２２１がＲＡＮＤメッセージを生成するごとに、処理を実行する。

Ｈマトリクス選択部１２２６は、第１車載機２００から送信されてきたＰＲＮ ＩＤ、ＴＯＷ、公開キーを通信部１２６で受信した場合に、データ記憶部１２４に記憶されているＨマトリクスから、受信したＰＲＮ ＩＤ、ＴＯＷに対応するＨマトリクスを選択する。そして、選択したＨマトリクスを公開鍵で暗号化し、暗号化したＨマトリクスを第１車載機２００へ返信する。

＜第１車載機２００の詳細構成＞
ＱＺＳ衛星３が放送した航法メッセージは、第１車載機２００の通信部２１０が備える受信部２１１に受信される。図３に示すように、この第１車載機２００は、通信部２１０、制御部２２０、衛星受信機２３０を備える。

通信部２１０は、受信部２１１と送信部２１２とを備える。通信部２１０は、狭域通信機能と広域通信機能を備えている。狭域通信機能は、例えば、通信距離が数百メートルである。広域通信機能は、例えば、通信距離が数キロメートルであり、公衆通信回線網の基地局と通信を行うことにより、公衆通信回線網の通信圏内にある他の通信機器と通信することができる。狭域通信機能により、第２車載機３００の通信部３１０といわゆる車車間通信を行い、広域通信機能により、認証センタ１２０の通信部１２６との間で通信を行う。

衛星受信機２３０は、ＧＰＳ衛星２、ＱＺＳ衛星３が発信する電波を一定周期で受信する。

制御部２２０は、ＣＰＵ、ＲＯＭ、ＲＡＭ等を備えたコンピュータであり、通信部２１０、衛星受信機２３０を制御する。また、ＣＰＵが、ＲＡＭの一時記憶機能を利用しつつＲＯＭに記憶されているプログラムを実行することで、図４に示す認証関連処理や図５に示す認証済衛星情報送信処理を実行する。

＜認証関連処理＞
続いて、第１車載機２００の制御部２２０での、衛星受信機２３０で受信した信号がＧＰＳ衛星２から受信した正規の航法メッセージであることの認証に関連する処理（以下、認証関連処理）について、図４に示すフローチャートを用いて説明を行う。図４のフローチャートは、例えば衛星受信機２３０が３つ以上のＧＰＳ衛星２からＧＰＳ電波を受信するごとに実行する構成とすればよい。

ここで、衛星受信機２３０は、ＧＰＳ衛星２からの信号を複製するリピータや、ＧＰＳ衛星２からの信号を擬似的に生成可能なシミュレータからの信号を、ＧＰＳ電波に含まれる航法メッセージと誤って受信している場合もあるものとする。

まず、ステップＳ１では、３つ以上の複数のＧＰＳ衛星２から受信したＧＰＳ電波に含まれる航法メッセージに基づいて自装置の現在位置を測位する。

ステップＳ２では、ＱＺＳ衛星３から受信した航法メッセージを、受信部２１１から取得する。ステップＳ３では、Ｓ１で取得した航法メッセージから、ＰＲＮ ＩＤ、ＴＯＷを抽出する。

ステップＳ４では、Ｓ３で抽出したＰＲＮ ＩＤとＴＯＷを公開鍵とともに、送信部２１２から認証センタ１２０へ送信する。前述したように、認証センタ１２０は、このＰＲＮ ＩＤとＴＯＷとにより定まるＨマトリクスを、公開鍵により暗号化して第１車載機２００へ送信する。第１車載機２００から認証センタ１２０に送信したＰＲＮ ＩＤとＴＯＷとにより定まるＨマトリクスが、請求項の認証用情報に相当する。

ステップＳ５では、認証センタ１２０から送信されたＨマトリクスを受信部２１１から取得する。つまり、ＧＰＳ衛星２から受信した航法メッセージに応じたＨマトリクスを認証センタ１２０から受信する。ステップＳ６では、Ｓ５で取得した、暗号化されたＨマトリクスを秘密鍵で復号する。

ステップＳ７では、ＧＰＳ衛星２から受信したＧＰＳ電波に含まれる航法メッセージのうち、Ｓ４で送信したＰＲＮ ＩＤと同じＰＲＮ ＩＤを含んでいる航法メッセージから、ＲＡＮＤメッセージを作成する。

ステップＳ８では、Ｓ７で作成したＲＡＮＤメッセージと、Ｓ６で復号したＨマトリクスとに基づいて、比較パリティデータを作成する。ステップＳ９では、Ｓ８で作成した比較パリティデータと、Ｓ３で抽出したパリティデータとが一致するか否かを判断する。

Ｓ６で復号したＨマトリクスは、認証センタ１２０がパリティデータの作成に使用したＨマトリクスと同じである。そして、認証センタ１２０のパリティ計算部１２２４は、このＨマトリクスとＲＡＮＤメッセージとに基づいてパリティデータを計算している。

よって、Ｓ８で作成した比較パリティデータが、Ｓ３で抽出したパリティデータと一致する場合、Ｓ７で作成したＲＡＮＤメッセージが、認証センタ１２０が作成したＲＡＮＤメッセージと同じであると考えることができる。

そこで、Ｓ８で作成した比較パリティデータと、Ｓ３で抽出したパリティデータとが一致する場合（Ｓ９でＹＥＳ）には、ステップＳ１０に進み、認証成立とする。一方、２つのパリティデータが一致しない場合（Ｓ９でＮＯ）には、ステップＳ１１に進み、認証不成立とする。このように、認証関連処理では、ＧＰＳ衛星２から受信した航法メッセージに応じて認証センタ１２０から受信したＨマトリクス（つまり、認証用情報）を用いて認証を行う。Ｓ１０、Ｓ１１の後は、ステップＳ１２に進む。

ステップＳ１２では、Ｓ１での測位に用いた全ての航法メッセージについて、認証成立か不成立かの判断が完了した場合（Ｓ１２でＹＥＳ）には、図４の処理を終了する。一方、Ｓ１での測位に用いた全ての航法メッセージのうちの、１つでも認証成立か不成立かの判断が完了していない場合（Ｓ１２でＮＯ）には、Ｓ２に戻って処理を繰り返す。

＜認証済衛星情報送信処理＞
続いて、第１車載機２００の制御部２２０での、第２車載機３００への認証衛星情報の送信に関連する処理（以下、認証済衛星情報送信処理）について、図５に示すフローチャートを用いて説明を行う。図５のフローチャートで示す処理と、図４のフローチャートで示す処理とは並行に行われ、図４のフローチャートにおける認証が、測位に用いた全ての航法メッセージについて完了していない場合でも、図５のフローチャートが開始されるものとする。また、図５のフローチャートは、例えば一定の周期で開始する構成とすればよい。

図５のフローチャートで示す認証済衛星情報送信処理では、認証が成立した航法メッセージの発信元のＧＰＳ衛星２の衛星番号や発信時刻を含む認証済衛星情報を送信する。第１車載機２００から送信する認証済衛星情報は、第２車載機３００において、受信した航法メッセージが正規のものであるか判断するのに用いられる。

まず、ステップＳ２１では、図４のフローチャートにおいて認証が成立した航法メッセージからＰＲＮ ＩＤ（つまり、衛星番号）、及びＴＯＷ、ＴＯＣ、ＡＦ０、ＡＦ１（つまり、発信時刻）を抽出する。ステップＳ２２では、Ｓ２１で抽出した衛星番号及び発信時刻を含む認証済衛星情報を、送信部２１２の狭域通信機能によって送信させ、処理を終了する。送信部２１２から送信された認証済衛星情報は、本実施形態では第２車載機３００で受信されるものとして以降の説明を行う。

なお、送信部２１２からは、認証済衛星情報の他に、Ｓ１で測位した現在位置も送信させる構成としてもよい。この場合、現在位置の測位に用いたＧＰＳ衛星２についての認証済衛星情報と、現在位置とを紐付けして送信させる構成とすればよい。

＜第２車載機３００の詳細構成＞
第２車載機３００は、図６に示すように、通信部３１０、制御部３２０、衛星受信機３３０を備える。通信部３１０は、第１車載機２００が備える通信部２１０と無線通信を行う。

通信部３１０は、受信部３１１と送信部３１２とを備える。通信部３１０は、前述した狭域通信機能を備えており、狭域通信機能により、第１車載機２００の通信部２１０と通信を行う。

衛星受信機３３０は、ＧＰＳ衛星２、ＱＺＳ衛星３が発信する電波を一定周期で受信する。以下では、便宜上、ＧＰＳ衛星２が発信する電波を受信する場合を例に挙げて説明を行う。

制御部３２０は、ＣＰＵ、ＲＯＭ、ＲＡＭ等を備えたコンピュータであり、通信部３１０、衛星受信機３３０を制御する。また、ＣＰＵが、ＲＡＭの一時記憶機能を利用しつつＲＯＭに記憶されているプログラムを実行することで、図７に示す第１簡易判断処理を実行する。

＜第１簡易判断処理＞
ここで、第２車載機３００の制御部３２０での第１簡易判断処理について、図７に示すフローチャートを用いて説明を行う。第１簡易判断処理では、第１車載機２００から送信されてくる認証済衛星情報を用いて、自装置の衛星受信機３３０で受信した航法メッセージが正規のものであるかを、認証センタ１２０へのアクセスなしに判断する。図７のフローチャートは、例えば、第１車載機２００から送信される認証済衛星情報を第２車載機３００の通信部３１０が受信したときに開始する構成とすればよい。

まず、ステップＳ３１では、通信部３１０が受信した認証済衛星情報を、通信部３１０から取得する。このＳ３１が請求項の衛星情報取得部に相当する。認証済衛星情報には、認証が成立した航法メッセージの発信元のＧＰＳ衛星２の衛星番号や発信時刻が含まれている。

ステップＳ３２では、衛星受信機３３０から直近に出力された、衛星受信機３３０がＧＰＳ衛星２から受信した航法メッセージを取得する。衛星受信機３３０は、一定期間内に複数のＧＰＳ衛星２から航法メッセージを受信していた場合には、受信した複数の航法メッセージを出力する。

ステップＳ３３では、Ｓ３１で取得した認証済衛星情報に含まれる衛星番号と、Ｓ３２で受信した航法メッセージに含まれる衛星番号とが一致しているか否かを判定する。すなわち、第１車載機２００で認証が成立した航法メッセージの発信元のＧＰＳ衛星２の衛星番号と、第２車載機３００で航法メッセージを受信したＧＰＳ衛星２の衛星番号とが一致しているか否かを判定する。衛星番号が請求項の識別情報に相当する。

ステップＳ３４では、衛星番号が一致していると判定した場合（Ｓ３４でＹＥＳ）には、ステップＳ３５に進み、衛星受信機３３０がＧＰＳ衛星２から受信した航法メッセージのうち、認証済衛星情報に含まれる衛星番号と衛星番号が一致していると判定した航法メッセージを、正規の航法メッセージであると判断し、処理を終了する。一方、衛星番号が一致していないと判定した場合（Ｓ３４でＮＯ）には、一致していないと判定した航法メッセージを、正規の航法メッセージであると判断せず、処理を終了する。このＳ３３〜Ｓ３５が請求項の簡易判断部に相当する。

制御部３２０では、ＧＰＳ衛星２から受信したＧＰＳ電波に含まれる航法メッセージに基づいて自装置の現在位置を測位する場合に、第１簡易判断処理で正規の航法メッセージであると判断した航法メッセージを、認証が成立した航法メッセージと同様に扱う構成とすればよい。一例としては、第１簡易判断処理で正規の航法メッセージであると判断した航法メッセージに基づいて測位した自装置の現在位置を、改竄されていない正規の現在位置と判断する構成などとすればよい。

＜実施形態１のまとめ＞
実施形態１によれば、第２車載機３００は、第１車載機２００において認証センタ１２０から受信した、予め取得しておくことのできないＨマトリクスを用いて認証が成立した航法メッセージの発信元のＧＰＳ衛星２の衛星番号と、衛星受信機３３０で受信した航法メッセージの衛星番号とが一致するか否かによって、衛星受信機３３０で受信した航法メッセージが正規のものであるかを判断する。

既に認証が成立している航法メッセージと同じＧＰＳ衛星２から受信した航法メッセージは、認証が成立していない航法メッセージと同じＧＰＳ衛星２から受信した航法メッセージよりも、正規の航法メッセージである可能性が高い。よって、第２車載機３００は認証センタ１２０からＨマトリクスを受信しなくても、衛星受信機３３０で受信した航法メッセージが正規のものであるかを判断することが可能になる。従って、第２車載機３００が認証センタ１２０からＨマトリクスを受信しなくてもよくなる分だけ、認証センタ１２０の通信処理負荷を軽減できる。

その結果、衛星測位システムで用いられるＧＰＳ衛星２からの航法メッセージが正規のものであるかの認証に用いられる認証センタ１２０の通信処理負荷を抑えながらも、ＧＰＳ衛星２からの航法メッセージが正規のものであるかを判断することが可能になる。

＜変形例１＞
実施形態１では、第１車載機２００から送信された認証済衛星情報を、第２車載機３００が直接受信する場合の構成について説明したが、必ずしもこれに限らない。例えば、第１車載機２００から送信された認証済衛星情報を、路側機４００が受信して蓄積し、蓄積した認証済衛星情報を路側機４００から第２車載機３００へ配信する構成（以下、変形例１）としてもよい。

ここで、変形例１における簡易認証システム１ａについて、図面を用いて説明を行う。なお、説明の便宜上、前述の実施形態の説明に用いた図に示した部材と同一の機能を有する部材については、同一の符号を付し、その説明を省略する。

簡易認証システム１ａは、路側機４００を含む点、及び第１車載機２００から送信された認証済衛星情報を路側機４００が中継して配信し、配信された認証済衛星情報を第２車載機３００が受信する点を除けば、実施形態１における簡易認証システム１と同様である。

＜変形例１における簡易認証システム１ａの概略構成＞
図８に示すように、変形例１における簡易認証システム１ａは、モニタステーション１１０、認証センタ１２０、マスタコントロールステーション１３０、第１車載機２００、第２車載機３００、路側機４００を含む。

第１車載機２００は、前述の図４に示す認証関連処理や図５に示す認証済衛星情報送信処理を実行する。よって、第１車載機２００が請求項の第１の航法メッセージ受信装置に相当し、第１車載機２００の衛星受信機２３０が請求項の第１の衛星受信機に相当する。また、前述のＳ５が請求項の認証用情報受信部に相当し、前述のＳ９〜Ｓ１１が請求項のセンタ使用認証部に相当し、前述のＳ２２が請求項の衛星情報送信部に相当する。

第２車載機３００は、前述の図７に示す第１簡易判断処理を実行する。よって、第２車載機３００が請求項の第２の航法メッセージ受信装置に相当し、第２車載機３００の衛星受信機３３０が請求項の第２の衛星受信機に相当する。変形例１では、第２車載機３００の通信部３１０は、路側機４００によって中継された認証済衛星情報を受信する。よって、前述のＳ３１が請求項の衛星情報取得部に相当し、前述のＳ３３〜Ｓ３５が請求項の簡易判断部に相当する。

＜変形例１における路側機４００の詳細構成＞
路側機４００は、路上に設けられ、図８に示すように通信部４１０と制御部４２０と記憶部４３０とを備える。通信部４１０は、狭域通信機能により、第１車載機２００が備える通信部２１０や、第２車載機３００が備える通信部３１０と、いわゆる路車間通信を行う。

制御部４２０は、ＣＰＵ、ＲＯＭ、ＲＡＭ等を備えたコンピュータであり、通信部４１０を制御したり、第１車載機２００から受信する認証済衛星情報を記憶部４３０に蓄積したりする。また、ＣＰＵが、ＲＡＭの一時記憶機能を利用しつつＲＯＭに記憶されているプログラムを実行することで、図９に示す蓄積処理や図１０に示す配信処理を実行する。

＜蓄積処理＞
路側機４００の制御部４２０での、第１車載機２００から受信した認証済衛星情報を蓄積する蓄積処理について、図９に示すフローチャートを用いて説明を行う。図９のフローチャートは、例えば第１車載機２００から認証済衛星情報を、路側機４００の通信部４１０で受信したときに開始する構成とすればよい。

まず、ステップＳ４１では、第１車載機２００から送信されてきた認証済衛星情報を、通信部４１０を介して受信する。よって、Ｓ４１が請求項の衛星情報受信部に相当する。

ステップＳ４２では、Ｓ４１で受信した認証済衛星情報を記憶部４３０に蓄積し、処理を終了する。よって、記憶部４３０が請求項の蓄積部に相当する。例えば、含まれる衛星番号が同じ認証済衛星情報が既に記憶部４３０に蓄積済みの場合には、含まれる発信時刻がより古いものを消去して、より新しいものを記憶部４３０に蓄積する構成とすればよい。

他にも、発信時刻が１時間などの所定時間以上古いものは記憶部４３０から消去するなど、記憶部４３０に蓄積する認証済衛星情報を比較的新しいものに限定することで、第２車載機３００での第１簡易判断処理において正規の航法メッセージと判断する精度を高める構成としてもよい。これは、路車間通信の範囲程度の領域内で比較的短い時間の間に、認証が成立した航法メッセージの発信元のＧＰＳ衛星２と同一のＧＰＳ衛星２から受信する航法メッセージは、なりすましの確率がより低く、正規の航法メッセージである可能性がより高いことによる。

＜配信処理＞
続いて、路側機４００の制御部４２０での、蓄積処理で蓄積した認証済衛星情報を配信する配信処理について、図１０に示すフローチャートを用いて説明を行う。図１０のフローチャートは、路側機４００の電源がオンになったときに開始し、路側機４００の電源がオフになったときに終了する構成とすればよい。

まず、ステップＳ５１では、記憶部４３０に蓄積した認証済衛星情報の配信タイミングである場合か否かを判定する。認証済衛星情報の配信タイミングは、例えば一定周期などとすればよい。そして、配信タイミングと判定した場合（Ｓ５１でＹＥＳ）には、ステップＳ５２に進む。一方、配信タイミングでないと判定した場合（Ｓ５１でＮＯ）には、ステップＳ５１の処理を繰り返す。

ステップＳ５２では、記憶部４３０に蓄積した認証済衛星情報を、通信部４１０を介して配信し、Ｓ５１に戻って処理を繰り返す。複数のＧＰＳ衛星２についての認証済衛星情報が記憶部４３０に蓄積されている場合には、その複数のＧＰＳ衛星２についての認証済衛星情報を配信する構成とすればよい。

＜変形例１のまとめ＞
変形例１によっても、実施形態１と同様に、第２車載機３００は認証センタ１２０からＨマトリクスを受信しなくても、衛星受信機３３０で受信した航法メッセージが正規のものであるかを判断することが可能になる。従って、第２車載機３００が認証センタ１２０からＨマトリクスを受信しなくてもよくなる分だけ、認証センタ１２０の通信処理負荷を軽減できる。

また、変形例１によれば、第１車載機２００と第２車載機３００とが車車間通信できる距離に位置しなくても、第１車載機２００が送信した認証済衛星情報を路側機４００が一旦蓄積して配信することで、第１車載機２００よりも時間的に後から路側機４００近辺に来た第２車載機３００が取得することが可能になる。

他にも、路側機４００は路上に設けられているため、路側機４００が第１車載機２００から受信する認証済衛星情報は、路側機４００が設けられた近辺で航法メッセージを受信することができるＧＰＳ衛星２についての認証済衛星情報に絞られることになる。よって、路側機４００は、ＧＰＳ衛星２のうち、路側機４００が設けられた近辺で航法メッセージを受信することができるＧＰＳ衛星２についての認証済衛星情報に絞って配信することが可能になる。その結果、路側機４００から認証済衛星情報を受信する第２車載機３００は、自車が位置する近辺で航法メッセージを受信することができるＧＰＳ衛星２についての認証済衛星情報に絞って効率的に受信することが可能になる。

＜変形例２＞
変形例１では、第１車載機２００から送信される認証済衛星情報を路側機４００で受信して蓄積し、蓄積した認証衛星情報を路側機４００から配信する構成を示したが、必ずしもこれに限らない。例えば、第１車載機２００のように、路側機４００において認証関連処理を行い、認証が成立した航法メッセージの発信元のＧＰＳ衛星２についての認証済衛星情報を配信し、配信された認証済衛星情報を第２車載機３００で受信する構成としてもよい。

他にも、第１車載機２００や路側機４００から、公衆通信回線網を介して、認証済衛星情報を送信し、送信された認証済衛星情報を第２車載機３００で受信する構成としてもよい。この場合には、第２車載機３００の通信部３１０は、広域通信機能も備えることで、公衆通信回線網を介して認証済衛星情報を受信する構成とすればよい。

＜変形例３＞
実施形態１では、第１車載機２００から受信する認証済衛星情報に含まれる衛星番号と、衛星受信機３３０で受信した航法メッセージに含まれる衛星番号とが一致しているか否かによって、受信した航法メッセージが正規のものかを判断する構成を説明したが、必ずしもこれに限らない。正規の航法メッセージと判断する精度をさらに高めるためには、以下の変形例３の構成とすることが好ましい。

変形例３は、第１車載機２００の制御部２２０での処理が一部異なる点と、第２車載機３００の制御部３２０での処理が一部異なる点を除けば、実施形態１と同様である。詳しくは、変形例３では、第１車載機２００から受信する認証済衛星情報に含まれる発信時刻と、衛星受信機３３０で受信した航法メッセージに含まれる発信時刻とに連続性があるか否かによって、受信した航法メッセージが正規のものかを判断する点が実施形態１と異なっている。

＜変形例３における認証済衛星情報送信処理＞
変形例３では、第１車載機２００の制御部２２０での認証関連処理は、実施形態１と同様であるが、認証済衛星情報送信処理は一部異なっている。ここで、変形例３における認証済衛星情報送信処理について説明を行う。

変形例３における認証済衛星情報送信処理では、認証が成立した航法メッセージから抽出した衛星番号及び発信時刻に加え、認証が成立した航法メッセージを第１車載機２００の衛星受信機２３０で受信した受信時刻も含む認証済衛星情報を送信させる。

＜変形例３における第１簡易判断処理＞
続いて、変形例３における第２車載機３００の制御部３２０での第１簡易判断処理について、図１１に示すフローチャートを用いて説明を行う。図１１のフローチャートも、例えば、第１車載機２００から送信される認証済衛星情報を第２車載機３００の通信部３１０が受信したときに開始する構成とすればよい。図１１のフローチャートは、第１車載機２００から送信される認証済衛星情報に、複数のＧＰＳ衛星２についての情報を含んでいる場合には、その複数のＧＰＳ衛星２についてそれぞれ処理を行う構成とすればよい。

まず、ステップＳ６１では、通信部３１０が受信した認証済衛星情報を、通信部３１０から取得する。このＳ６１も請求項の衛星情報取得部に相当する。認証済衛星情報には、認証が成立した航法メッセージの発信元のＧＰＳ衛星２の衛星番号や発信時刻や受信時刻が含まれている。

ステップＳ６２では、衛星受信機３３０から直近に出力された、衛星受信機３３０がＧＰＳ衛星２から受信した航法メッセージと、その航法メッセージの受信時刻を取得する。衛星受信機３３０は、一定期間内に複数のＧＰＳ衛星２から航法メッセージを受信していた場合には、受信した複数の航法メッセージを出力する。

ステップＳ６３では、Ｓ６１で取得した認証済衛星情報に含まれる衛星番号と、Ｓ６２で受信した航法メッセージに含まれる衛星番号とが一致しているか否かを判定する。

ステップＳ６４では、衛星番号が一致していると判定した場合（Ｓ６４でＹＥＳ）には、Ｓ６５に進む。一方、衛星番号が一致していないと判定した場合（Ｓ６４でＮＯ）には、処理を終了する。

ステップＳ６５では、Ｓ６４で衛星番号が一致していると判定した認証済衛星情報と航法メッセージとについて、Ｓ６１で取得した認証済衛星情報に含まれる発信時刻と、Ｓ６２で受信した航法メッセージに含まれる発信時刻とに連続性があるか否かを判定する。言い換えると、同一のＧＰＳ衛星２について、第１車載機２００から受信した認証済衛星情報に含まれる発信時刻と、第２車載機３００で受信した航法メッセージに含まれる発信時刻とに、認証済衛星情報に含まれる受信時刻からその航法メッセージの受信時刻までの受信時刻差に応じた連続性があるか否かを判定する。このＳ６５が請求項の第１連続性判定部に相当する。

ここで、Ｓ６５の処理の一例について、図１２を用いて説明を行う。図１２の例では、ＧＰＳ衛星２ａから発信された航法メッセージについて、第１車載機２００で認証センタ１２０を用いた認証が成立し、この航法メッセージについての認証済衛星情報が第１車載機２００から第２車載機３００に送信されているものとする。さらに、その後に第２車載機３００がＧＰＳ衛星２ａから発信された航法メッセージを受信しているものとする。

また、第１車載機２００で認証が成立したＧＰＳ衛星２ａからの航法メッセージの発信時刻をＴｉ１、その航法メッセージの第１車載機２００での受信時刻をＴｏ１とし、その後に第２車載機３００でＧＰＳ衛星２ａから受信した航法メッセージの発信時刻をＴｉ２、受信時刻をＴｏ２とする。

Ｓ６５の処理では、Ｓ６２で取得した航法メッセージの受信時刻（Ｔｏ２）から、Ｓ６１で取得した認証済衛星情報に含まれる受信時刻（Ｔｏ１）を差し引き、Ｓ６１で取得した認証済衛星情報に含まれる受信時刻からＳ６２で取得した航法メッセージの受信時刻までの受信時刻差（Ｔｏ２−Ｔｏ１）を算出する。

続いて、算出した受信時刻差（Ｔｏ２−Ｔｏ１）を、Ｓ６１で取得した認証済衛星情報に含まれる発信時刻（Ｔｉ１）に加えた時刻（Ｔｉ１＋（Ｔｏ２−Ｔｏ１））と、Ｓ６２で取得した航法メッセージに含まれる発信時刻（Ｔｉ２）とが一致するか否かを判定する。ここで言うところの一致とは、完全に一致する場合だけでなく、誤差程度の範囲内で略一致する場合も含むものとする。

そして、時刻（Ｔｉ１＋（Ｔｏ２−Ｔｏ１））と発信時刻（Ｔｉ２）とが一致すると判定した場合には、Ｓ６１で取得した認証済衛星情報に含まれる発信時刻と、Ｓ６２で取得した航法メッセージに含まれる発信時刻とに連続性があると判定する。一方、一致しないと判定した場合には、連続性がないと判定する。

なお、Ｓ６５の処理では、Ｓ６２で取得した航法メッセージの受信時刻（Ｔｏ２）から、Ｓ６１で取得した認証済衛星情報に含まれる受信時刻（Ｔｏ１）を差し引いた時間（Ｔｏ２−Ｔｏ１）と、Ｓ６２で取得した航法メッセージに含まれる発信時刻（Ｔｉ２）から、Ｓ６１で取得した認証済衛星情報に含まれる発信時刻（Ｔｉ１）を差し引いた時間（Ｔｉ２−Ｔｉ１）とが一致するか否かを判定する構成としてもよい。

そして、時間（Ｔｏ２−Ｔｏ１）と、時間（Ｔｉ２−Ｔｉ１）とが一致すると判定した場合には、Ｓ６１で取得した認証済衛星情報に含まれる発信時刻と、Ｓ６２で取得した航法メッセージに含まれる発信時刻とに連続性があると判定し、一致しないと判定した場合には、連続性がないと判定する構成としてもよい。

図１１に戻って、ステップＳ６６では、Ｓ６１で取得した認証済衛星情報に含まれる発信時刻と、Ｓ６２で取得した航法メッセージに含まれる発信時刻とに連続性があると判定した場合（Ｓ６６でＹＥＳ）には、ステップＳ６７に進む。ステップＳ６７では、認証済衛星情報に含まれる発信時刻と連続性があると判定した発信時刻を含む航法メッセージを、正規の航法メッセージであると判断し、処理を終了する。

一方、Ｓ６１で取得した認証済衛星情報に含まれる発信時刻と、Ｓ６２で取得した航法メッセージに含まれる発信時刻とに連続性がないと判定した場合（Ｓ６６でＮＯ）には、認証済衛星情報に含まれる発信時刻と連続性がないと判定した発信時刻を含む航法メッセージを、正規の航法メッセージであると判断せず、処理を終了する。このＳ６６〜Ｓ６７が請求項の簡易判断部に相当する。

なお、Ｓ６６でＮＯであった場合には、認証済衛星情報に含まれる発信時刻と連続性がないと判定した発信時刻を含む航法メッセージを、正規の航法メッセージでないと判断する構成としてもよい。

＜変形例３のまとめ＞
変形例３によっても、実施形態１と同様に、第２車載機３００は認証センタ１２０からＨマトリクスを受信しなくても、衛星受信機３３０で受信した航法メッセージが正規のものであるかを判断することが可能になる。従って、第２車載機３００が認証センタ１２０からＨマトリクスを受信しなくてもよくなる分だけ、認証センタ１２０の通信処理負荷を軽減できる。

ＧＰＳ衛星２からの信号を複製するリピータが用いられた場合には、正規の航法メッセージとの間で、航法メッセージの受信時刻に遅延が生じる。また、ＧＰＳ衛星２からの信号を擬似的に生成可能なシミュレータが用いられた場合には、正規の航法メッセージとの間で、航法メッセージの発信時刻や受信時刻に齟齬が生じる。つまり、リピータやシミュレータが用いられた場合には、認証済衛星情報に含まれる発信時刻と第２車載機３００で受信した航法メッセージの発信時刻との間で、受信時刻差に応じた連続性が得られなくなる。

変形例３では、認証済衛星情報に含まれる発信時刻と第２車載機３００で受信した航法メッセージの発信時刻との間に、受信時刻差に応じた連続性がない場合に、この航法メッセージを正規の航法メッセージと判断しない。よって、リピータやシミュレータが用いられた場合には、受信した航法メッセージを正規の航法メッセージと判断しないようにすることができ、正規の航法メッセージと判断する精度を高めることができる。

（実施形態２）
以上、本発明の実施形態１を説明したが、本発明は前述の実施形態に限定されるものではなく、次の実施形態２も本発明の技術的範囲に含まれる。以下では、この実施形態２について図面を用いて説明を行う。なお、説明の便宜上、前述の実施形態の説明に用いた図に示した部材と同一の機能を有する部材については、同一の符号を付し、その説明を省略する。

実施形態２の簡易認証システム１ｂは、第２車載機３００でも認証センタ１２０へアクセスし、受信した航法メッセージの認証を１回は行う点と、第２車載機３００で過去に認証が成立した航法メッセージを用いて、第２車載機３００の衛星受信機３３０で受信した航法メッセージが正規のものであるかを、認証センタ１２０へのアクセスなしに判断する点を除けば、実施形態１の簡易認証システム１と同様である。

＜実施形態２における簡易認証システム１ｂの概略構成＞
図１３に示すように、実施形態２における簡易認証システム１ａは、モニタステーション１１０、認証センタ１２０、マスタコントロールステーション１３０、第１車載機２００、及び第２車載機３００を含む。

第１車載機２００は、前述の図４に示す認証関連処理や図５に示す認証済衛星情報送信処理を実行する。

第２車載機３００は、前述の図７に示す第１簡易判断処理を実行する他に、図１４に示す認証関連処理及び図１５に示す第２簡易判断処理を実行する。図１４に示す認証関連処理のステップＳ７１からステップＳ８２までの処理は、図４に示す認証関連処理のＳ１〜Ｓ１２と同様にして行う。よって、Ｓ７５が請求項の認証用情報受信部に相当し、Ｓ７９〜Ｓ８１が請求項のセンタ使用認証部に相当する。

第２車載機３００は、図１４に示す認証関連処理で認証が成立した航法メッセージ（以下、認証済航法メッセージ）の受信時刻を、その認証済航法メッセージと紐付けて、制御部３２０のバックアップＲＡＭ等の不揮発性メモリに記憶する構成とすればよい。なお、受信時刻と紐付けて記憶するのは、認証済航法メッセージに含まれる衛星番号及び発信時刻に絞る構成としてもよい。

＜実施形態２における第２簡易判断処理＞
続いて、実施形態２における第２車載機３００の制御部３２０での第２簡易判断処理について、図１５に示すフローチャートを用いて説明を行う。図１５のフローチャートは、例えば、第２車載機３００の衛星受信機３３０がＧＰＳ衛星２からの航法メッセージを受信したときに開始する構成とすればよい。図１５のフローチャートは、衛星受信機３３０から制御部３２０へ逐次行われる出力の１周期内に、複数のＧＰＳ衛星２の航法メッセージを衛星受信機３３０で受信していた場合には、その複数のＧＰＳ衛星２の航法メッセージについてそれぞれ処理を行う構成とすればよい。

まず、ステップＳ９１では、衛星受信機３３０が受信した航法メッセージを、衛星受信機３３０から取得する。

ステップＳ９２では、Ｓ９１で取得した航法メッセージに含まれる衛星番号と、制御部３２０のメモリに記憶済みの認証済航法メッセージに含まれる衛星番号とが一致しているか否かを判定する。

ステップＳ９３では、衛星番号が一致していると判定した場合（Ｓ９３でＹＥＳ）には、Ｓ９４に進む。一方、衛星番号が一致していないと判定した場合（Ｓ９３でＮＯ）には、処理を終了する。なお、衛星番号が一致していないと判定される場合とは、制御部３２０のメモリに認証済航法メッセージが１つも記憶されていない場合も含まれる。

ステップＳ９４では、Ｓ９３で衛星番号が一致していると判定した、Ｓ９１で取得した航法メッセージと、認証済航法メッセージとに連続性があるか否かを判定する。詳しくは、衛星受信機３３０で新たに受信した航法メッセージに含まれる発信時刻と、認証済航法メッセージに含まれる発信時刻とに、認証済航法メッセージを受信してから新たに航法メッセージを受信するまでの受信時刻差に応じた連続性があるか否かを判定する。このＳ９４が請求項の第２連続性判定部に相当する。

ここで、Ｓ９４の処理の一例について、図１６を用いて説明を行う。図１６の例では、ＧＰＳ衛星２ａから発信された航法メッセージについて、第２車載機３００で認証センタ１２０を用いた認証が成立し、その後に第２車載機３００がＧＰＳ衛星２ａから発信された航法メッセージを受信しているものとする。

また、第２車載機３００で認証センタ１２０を用いた認証が成立した航法メッセージ（つまり、認証済航法メッセージ）の発信時刻をＴｉ３、その航法メッセージの第２車載機３００での受信時刻をＴｏ３とし、その後に第２車載機３００でＧＰＳ衛星２ａから新たに受信した航法メッセージの発信時刻をＴｉ４、受信時刻をＴｏ４とする。

Ｓ９４の処理では、Ｓ９１で取得した航法メッセージの受信時刻（Ｔｏ４）から、認証済航法メッセージの受信時刻（Ｔｏ３）を差し引き、認証済航法メッセージの受信時刻からＳ９１で取得した航法メッセージの受信時刻までの受信時刻差（Ｔｏ４−Ｔｏ３）を算出する。

続いて、算出した受信時刻差（Ｔｏ４−Ｔｏ３）を、認証済航法メッセージに含まれる発信時刻（Ｔｉ３）に加えた時刻（Ｔｉ３＋（Ｔｏ４−Ｔｏ３））と、Ｓ９１で取得した航法メッセージに含まれる発信時刻（Ｔｉ４）とが一致するか否かを判定する。ここで言うところの一致とは、完全に一致する場合だけでなく、誤差程度の範囲内で略一致する場合も含むものとする。ここで言うところの一致するとは、整合性が取れていると言い換えることもできる。

そして、時刻（Ｔｉ３＋（Ｔｏ４−Ｔｏ３））と発信時刻（Ｔｉ４）とが一致すると判定した場合には、認証済航法メッセージに含まれる発信時刻と、Ｓ９１で取得した航法メッセージに含まれる発信時刻とに連続性があると判定する。一方、一致しないと判定した場合には、連続性がないと判定する。

なお、Ｓ９４の処理では、Ｓ９１で取得した航法メッセージの受信時刻（Ｔｏ４）から、認証済航法メッセージの受信時刻（Ｔｏ３）を差し引いた時間（Ｔｏ４−Ｔｏ３）と、Ｓ９１で取得した航法メッセージに含まれる発信時刻（Ｔｉ４）から、認証済航法メッセージに含まれる発信時刻（Ｔｉ３）を差し引いた時間（Ｔｉ４−Ｔｉ３）とが一致するか否かを判定する構成としてもよい。

そして、時間（Ｔｏ４−Ｔｏ３）と、時間（Ｔｉ４−Ｔｉ３）とが一致すると判定した場合には、認証済航法メッセージに含まれる発信時刻と、Ｓ９１で取得した航法メッセージに含まれる発信時刻とに連続性があると判定し、一致しないと判定した場合には、連続性がないと判定する構成としてもよい。

図１５に戻って、ステップＳ９５では、認証済航法メッセージに含まれる発信時刻と、Ｓ９１で取得した航法メッセージに含まれる発信時刻とに連続性があると判定した場合（Ｓ９５でＹＥＳ）には、ステップＳ９６に進む。ステップＳ９６では、Ｓ９１で取得した航法メッセージを、正規の航法メッセージであると判断し、処理を終了する。

一方、認証済航法メッセージに含まれる発信時刻と、Ｓ９１で取得した航法メッセージに含まれる発信時刻とに連続性がないと判定した場合（Ｓ９５でＮＯ）には、Ｓ９１で取得した航法メッセージを、正規の航法メッセージであると判断せず、処理を終了する。このＳ９５〜Ｓ９６も請求項の簡易判断部に相当する。

なお、Ｓ９５でＮＯであった場合には、Ｓ９１で取得した航法メッセージを、正規の航法メッセージでないと判断する構成としてもよい。

また、実施形態２では、例えば、第２簡易判断処理において、Ｓ９１で取得した航法メッセージに含まれる衛星番号と一致する衛星番号を含む認証済航法メッセージが得られなかった場合に、第１車載機２００から送信される認証済衛星情報を用いる第１簡易判断処理を行う構成とすればよい。

他にも、実施形態２では、制御部３２０のメモリに記憶した認証済航法メッセージは、衛星受信機３３０で航法メッセージの受信時刻を計時する時計に、Ｓ９４の処理において時刻や時間が一致すると判定される範囲を超える程度のずれが生じる期間が経過した場合に消去する構成とすればよい。消去した後は、同一のＧＰＳ衛星２から新たに受信した航法メッセージについて、認証センタ１２０を用いた認証を行い、認証が成立した航法メッセージを認証済航法メッセージとしてメモリに記憶する構成とすればよい。

＜実施形態２のまとめ＞
実施形態２によれば、一旦、認証センタ１２０を用いて第２車載機３００で航法メッセージの認証が成立すると、その航法メッセージの発信元と同一のＧＰＳ衛星２から新たに受信する航法メッセージについては、メモリに記憶しておいた認証済航法メッセージとその受信時刻とをもとに、正規のものであるかを判断することが可能になる。従って、新たに受信する航法メッセージについて、第２車載機３００が認証センタ１２０からＨマトリクスを受信しなくてもよくなる分だけ、認証センタ１２０の通信処理負荷を軽減できる。

リピータやシミュレータが用いられた場合には、認証済航法メッセージに含まれる発信時刻と第２車載機３００で新たに受信した航法メッセージの発信時刻との間で、受信時刻差に応じた連続性が得られなくなる。

実施形態２では、認証済航法メッセージに含まれる発信時刻と第２車載機３００で新たに受信した航法メッセージの発信時刻との間に、受信時刻差に応じた連続性がない場合に、この航法メッセージを正規の航法メッセージと判断しない。よって、リピータやシミュレータが用いられ航法メッセージを正規の航法メッセージと判断しないようにすることができ、正規の航法メッセージと判断する精度を高めることができる。

＜変形例４＞
実施形態２では、同一のＧＰＳ衛星２についての、認証済航法メッセージに含まれる発信時刻と第２車載機３００で新たに受信した航法メッセージの発信時刻との間に、受信時刻差に応じた連続性があるか否かによって、受信した航法メッセージが正規のものかを判断する構成を説明したが、必ずしもこれに限らない。

例えば、認証済航法メッセージの発信時刻と受信時刻とから定まる擬似距離と、新たに受信する航法メッセージの発信時刻と受信時刻とから定まる擬似距離とに連続性があるか否かによって、受信した航法メッセージが正規のものかを判断する構成（以下、変形例４）としてもよい。変形例４は、第２車載機３００の制御部３２０での処理が一部異なる点を除けば、実施形態２と同様である。詳しくは、変形例４では、制御部３２０での第２簡易判断処理の一部が、実施形態２と異なっている。

＜変形例４における第２簡易判断処理＞
ここで、変形例４における第２車載機３００の制御部３２０での第２簡易判断処理について、図１７に示すフローチャートを用いて説明を行う。図１７のフローチャートも、例えば、第２車載機３００の衛星受信機３３０がＧＰＳ衛星２からの航法メッセージを受信したときに開始する構成とすればよい。図１７のフローチャートも、衛星受信機３３０から制御部３２０へ逐次行われる出力の１周期内に、複数のＧＰＳ衛星２の航法メッセージを衛星受信機３３０で受信していた場合には、その複数のＧＰＳ衛星２の航法メッセージについてそれぞれ処理を行う構成とすればよい。

まず、ステップＳ１０１では、制御部３２０のメモリに記憶済みの認証済航法メッセージの受信時刻から、衛星受信機３３０で新たに受信した航法メッセージの受信時刻までの受信時刻差が所定時間以内であった場合（Ｓ１０１でＹＥＳ）には、Ｓ１０２に進む。一方、所定時間を越えていた場合（Ｓ１０１でＮＯ）には、衛星受信機３３０で新たに受信した航法メッセージを、正規の航法メッセージであると判断せず、処理を終了する。

ここで言うところの所定時間とは、ＧＰＳ衛星２からの信号を複製するリピータやＧＰＳ衛星２からの信号を擬似的に生成可能なシミュレータが用いられていない場合に、ＧＰＳ衛星２からの航法メッセージの発信時刻と衛星受信機３３０でのその航法メッセージの受信時刻とから定まる擬似距離に、後述のステップＳ１０５で用いる閾値以上の差が生じる可能性が低いと推定される程度の値であって、任意に設定可能な値である。

言うまでもないが、擬似距離とは、ＧＰＳ衛星２からの発信時刻と衛星受信機３３０での受信時刻とから決まる伝搬時間に光速を積算して算出される、ＧＰＳ衛星２と衛星受信機３３０との距離である。

ステップＳ１０２〜ステップＳ１０４までの処理は、Ｓ９１〜Ｓ９３までの処理と同様である。ステップＳ１０５では、Ｓ１０４で衛星番号が一致していると判定した、衛星受信機３３０で新たに受信した航法メッセージと、認証済航法メッセージとに連続性があるか否かを判定する。詳しくは、認証済航法メッセージに含まれる発信時刻、及びその認証済航法メッセージの受信時刻とから求まる擬似距離と、衛星受信機３３０で新たに受信した航法メッセージに含まれる発信時刻、及びその航法メッセージの受信時刻とから求まる擬似距離とに連続性があるか否かを判定する。このＳ１０５も請求項の第２連続性判定部に相当する。

言うまでもないが、ここで言うところの擬似距離とは、ＧＰＳ衛星２からの発信時刻と衛星受信機３３０での受信時刻とから決まる伝搬時間に光速を積算して算出される、ＧＰＳ衛星２と衛星受信機３３０との距離である。

ここで、Ｓ１０５の処理の一例について、図１８を用いて説明を行う。図１８の例では、ＧＰＳ衛星２ａから発信された航法メッセージについて、第２車載機３００で認証センタ１２０を用いた認証が成立し、その後に第２車載機３００がＧＰＳ衛星２ａから発信された航法メッセージを受信しているものとする。

また、認証済航法メッセージの発信時刻、及びその認証済航法メッセージの受信時刻から求まる擬似距離をρ１、その後に衛星受信機３３０でＧＰＳ衛星２ａから新たに受信した航法メッセージの発信時刻、及びその航法メッセージの受信時刻から求まる擬似距離をρ２とする。

Ｓ１０５の処理では、認証済航法メッセージの送信時刻及びその認証済航法メッセージの受信時刻から決まる伝搬時間に光速を積算し、擬似距離（ρ１）を算出する。また、衛星受信機３３０で新たに受信した航法メッセージの送信時刻及びその航法メッセージの受信時刻から決まる伝搬時間に光速を積算し、擬似距離（ρ２）を算出する。

続いて、擬似距離（ρ１）から擬似距離（ρ２）を差し引いた値の絶対値（｜ρ１−ρ２｜）が、閾値未満か否かを判定する。ここで言うところの閾値とは、前述のリピータやシミュレータが用いられていない場合に、Ｓ１０１の所定時間の経過によって生じると推定されるＧＰＳ衛星２と衛星受信機３３０との擬似距離の変化の上限値程度とする。

そして、閾値未満と判定した場合には、認証済航法メッセージと、衛星受信機３３０で新たに受信した航法メッセージとに連続性があると判定する。一方、閾値以上と判定した場合には、連続性がないと判定する。

図１７に戻って、ステップＳ１０６では、認証済航法メッセージと衛星受信機３３０で新たに受信した航法メッセージとに連続性があると判定した場合（Ｓ１０６でＹＥＳ）には、ステップＳ１０７に進む。ステップＳ１０７では、衛星受信機３３０で新たに受信した航法メッセージを、正規の航法メッセージであると判断し、処理を終了する。

Ｓ１０１の所定時間は、このＳ１０６での連続性の有無の判定において、前述のリピータやシミュレータが用いられていない航法メッセージについて連続性があると判定されるようにするための条件として設けられているものである。

一方、認証済航法メッセージと衛星受信機３３０で新たに受信した航法メッセージとに連続性がないと判定した場合（Ｓ１０６でＮＯ）には、衛星受信機３３０で新たに受信した航法メッセージを、正規の航法メッセージであると判断せず、処理を終了する。このＳ１０６〜Ｓ１０７も請求項の簡易判断部に相当する。

＜変形例４のまとめ＞
変形例４によっても、実施形態２と同様に、一旦、認証センタ１２０を用いて第２車載機３００で航法メッセージの認証が成立すると、その航法メッセージの発信元と同一のＧＰＳ衛星２から新たに受信する航法メッセージについては、メモリに記憶しておいた認証済航法メッセージとその受信時刻とをもとに、正規のものであるかを判断することが可能になる。従って、新たに受信する航法メッセージについて、第２車載機３００が認証センタ１２０からＨマトリクスを受信しなくてもよくなる分だけ、認証センタ１２０の通信処理負荷を軽減できる。

ＧＰＳ衛星２からの信号を複製するリピータが用いられた場合には、正規の航法メッセージとの間で、航法メッセージの受信時刻に遅延が生じる。また、ＧＰＳ衛星２からの信号を擬似的に生成可能なシミュレータが用いられた場合には、正規の航法メッセージとの間で、航法メッセージの発信時刻や受信時刻に齟齬が生じる。つまり、リピータやシミュレータが用いられた場合には、発信時刻と受信時刻とから定まる擬似距離が大きく変動し、連続性を失うことになる。

変形例４では、認証済航法メッセージに含まれる発信時刻及びその認証済航法メッセージの受信時刻から定まる擬似距離と、新たに受信した航法メッセージの発信時刻及びその航法メッセージの受信時刻から定まる擬似距離との間に連続性がない場合に、新たに受信した航法メッセージを正規の航法メッセージと判断しない。よって、リピータやシミュレータが用いられた場合には、航法メッセージを正規の航法メッセージと判断しないようにすることができ、正規の航法メッセージと判断する精度を高めることができる。

（実施形態３）
本発明は前述の実施形態に限定されるものではなく、次の実施形態３も本発明の技術的範囲に含まれる。以下では、この実施形態３について図面を用いて説明を行う。なお、説明の便宜上、前述の実施形態の説明に用いた図に示した部材と同一の機能を有する部材については、同一の符号を付し、その説明を省略する。

実施形態３の簡易認証システム１ｂは、第２車載機３００で認証が成立した航法メッセージを用いて、衛星受信機３３０により、その航法メッセージとほぼ同じタイミングで受信していた他のＧＰＳ衛星２の航法メッセージが正規のものであるかを、認証センタ１２０へのアクセスなしに判断する点を除けば、実施形態２の簡易認証システム１ｂと同様である。

＜実施形態３における簡易認証システム１ｂの概略構成＞
実施形態３における簡易認証システム１ｂも、実施形態２で示したのと同様に、モニタステーション１１０、認証センタ１２０、マスタコントロールステーション１３０、第１車載機２００、及び第２車載機３００を含む。

第１車載機２００は、前述の図４に示す認証関連処理や図５に示す認証済衛星情報送信処理を実行する。第２車載機３００は、前述の図７に示す第１簡易判断処理を実行する他に、前述の図１４に示す認証関連処理を実行する。また、実施形態２で説明した第２簡易判断処理の代わりに、図１９に示す第３簡易判断処理を実行する。

第２車載機３００の衛星受信機３３０は、一定の周期ごとに、１周期内にＧＰＳ衛星２から受信した航法メッセージを第２車載機３００の制御部３２０に出力する。よって、１周期内に３つ以上のＧＰＳ衛星２から航法メッセージを受信していた場合には、これらのＧＰＳ衛星２についての航法メッセージを制御部３２０に出力することになる。

実施形態３における第２車載機３００では、衛星受信機３３０で前述の１周期内に受信した３つ以上のＧＰＳ衛星２についての航法メッセージをもとに測位を行うとともに、測位に用いた航法メッセージのうちの少なくとも１つについて認証が成立するまで認証関連処理を行う。そして、１つの航法メッセージについて認証が成立した場合には、他の航法メッセージについては、第３簡易判断処理によって、認証センタ１２０へのアクセスなしに正規のものであるかを判断する。なお、前述の１周期内に受信した複数の航法メッセージは、ほぼ同じタイミングで受信した航法メッセージと言える。

＜実施形態３における第３簡易判断処理＞
ここで、実施形態３における第２車載機３００の制御部３２０での第３簡易判断処理について、図１９に示すフローチャートを用いて説明を行う。図１９のフローチャートは、測位に用いた複数の航法メッセージのうち、少なくとも１つの航法メッセージについて認証関連処理で認証が成立したときに開始する構成とすればよい。図１９のフローチャートは、測位に用いた複数の航法メッセージのうち、認証関連処理で認証を未だに行っていない航法メッセージについてそれぞれ処理を行う構成とすればよい。

まず、ステップＳ１１１では、測位に用いた航法メッセージのうち、認証関連処理で認証が成立した航法メッセージ（つまり、認証済航法メッセージ）以外の航法メッセージ（以下、未認証航法メッセージ）を取得する。

ステップＳ１１２では、Ｓ１１１で取得した未認証航法メッセージに含まれる発信時刻と、認証済航法メッセージに含まれる発信時刻とが一致しているか否かを判定する。ここで言うところの一致とは、完全に一致する場合だけでなく、誤差程度の範囲内で略一致する場合も含むものとする。認証済航法メッセージに含まれる発信時刻が請求項の整合情報に相当し、Ｓ１１２が請求項の整合性判定部に相当する。

ここで、Ｓ１１２の処理の一例について、図２０を用いて説明を行う。図２０の例では、測位に用いられたＧＰＳ衛星のうち、ＧＰＳ衛星２ａから発信された航法メッセージについては、第２車載機３００で認証センタ１２０を用いた認証が成立しており、ＧＰＳ衛星２ｂから発信された航法メッセージについては認証が未だ行われていないものとする。

また、ＧＰＳ衛星２ａから発信された航法メッセージ（つまり、認証済航法メッセージ）の発信時刻をＴｉ５とし、ＧＰＳ衛星２ｂから発信された航法メッセージ（つまり、未認証航法メッセージ）の発信時刻をＴｉ６とする。Ｓ１１２の処理では、認証済航法メッセージの発信時刻（Ｔｉ５）と未認証航法メッセージの発信時刻（Ｔｉ６）とが一致しているか否かを判定する。

衛星受信機３３０において１周期内に受信する複数の航法メッセージは、ＧＰＳ衛星２からの信号を複製するリピータやＧＰＳ衛星２からの信号を擬似的に生成可能なシミュレータが用いられていなければ、発信時刻が一致する関係にある。

ステップＳ１１３では、発信時刻が一致していると判定した場合（Ｓ１１３でＹＥＳ）には、認証済航法メッセージに含まれていた発信時刻と整合性が取れる発信時刻が未認証航法メッセージに含まれると判定し、Ｓ１１４に進む。Ｓ１１４では、Ｓ１１１で取得した未認証航法メッセージを、正規の航法メッセージであると判断し、処理を終了する。一方、発信時刻が一致していないと判定した場合（Ｓ１１３でＮＯ）には、Ｓ１１１で取得した未認証航法メッセージを、正規の航法メッセージであると判断せず、処理を終了する。このＳ１１３〜Ｓ１１４も請求項の簡易判断部に相当する。

なお、Ｓ１１３でＮＯであった場合には、Ｓ１１１で取得した未認証航法メッセージを、正規の航法メッセージでないと判断する構成としてもよい。

実施形態３では、例えば、第１簡易判断処理による判断結果を補強するために第３簡易判断処理を行ったり、第３簡易判断処理による判断結果を補強するために第１簡易判断処理を行ったりする構成とすればよい。また、実施形態３において第２簡易判断処理も行う構成とする場合には、第２簡易判断処理による判断結果を補強するために第３簡易判断処理を行ったり、第３簡易判断処理による判断結果を補強するために第２簡易判断処理を行ったりする構成とすればよい。

＜実施形態３のまとめ＞
実施形態３によれば、測位に用いた複数の航法メッセージのうち、１つの航法メッセージについて、認証センタ１２０を用いて第２車載機３００で認証が成立すると、測位に用いたその他の航法メッセージについては、発信時刻をもとに、正規のものであるかを判断することが可能になる。従って、測位に用いたその他の航法メッセージについて、第２車載機３００が認証センタ１２０からＨマトリクスを受信しなくてもよくなる分だけ、認証センタ１２０の通信処理負荷を軽減できる。

リピータやシミュレータが用いられなければ、測位に用いた複数の航法メッセージに含まれる発信時刻は一致する。実施形態３では、この発信時刻が、認証が成立した航法メッセージと一致するか否かによって、正規の航法メッセージかを判断するので、リピータやシミュレータが用いられた場合に、航法メッセージを正規の航法メッセージと判断しないようにすることができる。よって、正規の航法メッセージと判断する精度を高めることができる。
＜変形例５＞
実施形態３では、測位に用いた複数の航法メッセージのうちの、認証済航法メッセージに含まれる発信時刻と未認証航法メッセージに含まれる発信時刻とが一致するか否かによって、未認証航法メッセージが正規のものかを判断する構成を説明したが、必ずしもこれに限らない。

例えば、同一のＧＰＳ衛星２について、認証済航法メッセージに含まれるＧＰＳ衛星２の軌道情報及びその認証済航法メッセージに含まれる発信時刻とから定まる衛星位置と、未認証航法メッセージに含まれるＧＰＳ衛星２の軌道情報及びその未認証航法メッセージに含まれる発信時刻とから定まる衛星位置とが一致するか否かによって、未認証航法メッセージが正規のものかを判断する構成（以下、変形例５）としてもよい。変形例５は、第２車載機３００の制御部３２０での処理が一部異なる点を除けば、実施形態３と同様である。詳しくは、変形例５では、制御部３２０での第３簡易判断処理の一部が、実施形態３と異なっている。

航法メッセージには、周知のようにエフェメリスデータやアルマナックデータが含まれる。アルマナックデータには、航法メッセージの発信元のＧＰＳ衛星２に限らない、軌道上の全てのＧＰＳ衛星２についての軌道情報が含まれ、この軌道情報と航法メッセージの発信時刻とから、全てのＧＰＳ衛星２の衛星位置が算出できる。また、エフェメリスデータには、航法メッセージの発信元のＧＰＳ衛星２についての軌道情報が含まれ、この軌道情報と航法メッセージの発信時刻とから、この航法メッセージの発信元のＧＰＳ衛星２のより精度の高い衛星位置が算出できる。

変形例５では、このアルマナックデータに含まれる軌道情報と、エフェメリスデータに含まれる軌道情報のうち、アルマナックデータに含まれる軌道情報を用いる。以降では、アルマナックデータに含まれる軌道情報を単に軌道情報と呼ぶ。

＜変形例５における第３簡易判断処理＞
ここで、変形例５における第２車載機３００の制御部３２０での第３簡易判断処理について、図２１に示すフローチャートを用いて説明を行う。図２１のフローチャートも、測位に用いた複数の航法メッセージのうち、少なくとも１つの航法メッセージについて認証関連処理で認証が成立したときに開始する構成とすればよい。図２１のフローチャートも、測位に用いた複数の航法メッセージのうち、認証関連処理で認証を未だに行っていない航法メッセージについてそれぞれ処理を行う構成とすればよい。

図２１の例では、認証済航法メッセージの発信元のＧＰＳ衛星２がＧＰＳ衛星２ａである場合を例に挙げて説明を行う。

まず、ステップＳ１２１では、前述のＳ１１１と同様にして、測位に用いた航法メッセージのうち、認証済航法メッセージ以外の未認証航法メッセージを取得する。

ステップＳ１２２では、測位に用いた認証済航法メッセージに含まれる発信時刻と、認証済航法メッセージに含まれるＧＰＳ衛星２ａの軌道情報から、ＧＰＳ衛星２ａの位置を算出する。よって、発信時刻及び軌道情報が請求項の衛星位置算出用情報に相当する。

ステップＳ１２３では、測位に用いた未認証航法メッセージに含まれる発信時刻と、未認証航法メッセージに含まれるＧＰＳ衛星２ａの軌道情報から、ＧＰＳ衛星２ａの位置を算出する。認証済航法メッセージの発信元のＧＰＳ衛星２ａ以外のＧＰＳ衛星２から受信した未認証航法メッセージに含まれる軌道情報からＧＰＳ衛星２ａの衛星位置が算出できる理由は以下の通りである。認証済航法メッセージの発信元のＧＰＳ衛星２ａ以外のＧＰＳ衛星２が請求項の未認証衛星に相当する。

アルマナックデータに含まれる軌道情報には、未認証航法メッセージの発信元のＧＰＳ衛星２以外のＧＰＳ衛星２ａについての軌道情報も含まれている。また、衛星受信機３３０において１周期内に受信する複数の航法メッセージは、前述のリピータやシミュレータが用いられていなければ、発信時刻が一致する関係にある。よって、未認証航法メッセージに含まれる発信時刻と軌道情報とからでも、ＧＰＳ衛星２ａの衛星位置が算出できる。

ステップＳ１２４では、Ｓ１２２で算出したＧＰＳ衛星２ａの衛星位置と、Ｓ１２３で算出したＧＰＳ衛星２ａの衛星位置とが一致しているか否かを判定する。ここで言うところの一致とは、完全に一致する場合だけでなく、誤差程度の範囲内で略一致する場合も含むものとする。このＳ１２４が請求項の整合性判定部に相当する。

前述のリピータやシミュレータが用いられていなければ、測位に用いられた未認証航法メッセージと認証済航法メッセージとは発信時刻が一致する筈である。従って、リピータやシミュレータが用いられていなければ、未認証航法メッセージに含まれる発信時刻と軌道情報とから、認証済航法メッセージに含まれる発信時刻と軌道情報とから算出されるＧＰＳ衛星２ａの衛星位置と同じ衛星位置が算出できる。従って、リピータやシミュレータが用いられていなければ、Ｓ１２２で算出したＧＰＳ衛星２ａの衛星位置と、Ｓ１２３で算出したＧＰＳ衛星２ａの衛星位置とが一致することになる。

ステップＳ１２５では、衛星位置が一致していると判定した場合（Ｓ１２５でＹＥＳ）には、認証済航法メッセージに含まれていた軌道情報及び発信時刻と整合性が取れる軌道情報及び発信時刻が未認証航法メッセージに含まれると判定し、Ｓ１２６に進む。Ｓ１２６では、Ｓ１２１で取得した未認証航法メッセージを、正規の航法メッセージであると判断し、処理を終了する。一方、衛星位置が一致していないと判定した場合（Ｓ１２５でＮＯ）には、Ｓ１２１で取得した未認証航法メッセージを、正規の航法メッセージであると判断せず、処理を終了する。このＳ１２５〜Ｓ１２６も請求項の簡易判断部に相当する。

なお、Ｓ１２５でＮＯであった場合には、Ｓ１２１で取得した未認証航法メッセージを、正規の航法メッセージでないと判断する構成としてもよい。

変形例５でも、例えば、第１簡易判断処理による判断結果を補強するために第３簡易判断処理を行ったり、第３簡易判断処理による判断結果を補強するために第１簡易判断処理を行ったりする構成とすればよい。また、変形例５において第２簡易判断処理も行う構成とする場合には、第２簡易判断処理による判断結果を補強するために第３簡易判断処理を行ったり、第３簡易判断処理による判断結果を補強するために第２簡易判断処理を行ったりする構成とすればよい。

＜変形例５のまとめ＞
変形例５によっても、実施形態３と同様に、測位に用いた複数の航法メッセージのうち、１つの航法メッセージについて、認証センタ１２０を用いて第２車載機３００で認証が成立すると、測位に用いたその他の航法メッセージについては、軌道情報及び発信時刻から算出される衛星位置から、正規のものであるかを判断することが可能になる。従って、測位に用いたその他の航法メッセージについて、第２車載機３００が認証センタ１２０からＨマトリクスを受信しなくてもよくなる分だけ、認証センタ１２０の通信処理負荷を軽減できる。

リピータやシミュレータが用いられると、測位に用いた複数の航法メッセージに含まれる発信時刻が一致しないようになり、発信時刻と軌道情報とから算出される同一のＧＰＳ衛星２の衛星位置についても一致しないようになる。実施形態３では、この衛星位置が、認証が成立した航法メッセージと一致するか否かによって、正規の航法メッセージかを判断するので、リピータやシミュレータが用いられた場合に、航法メッセージを正規の航法メッセージと判断しないようにすることができる。よって、正規の航法メッセージと判断する精度を高めることができる。

なお、変形例５では、一致を判定する衛星位置として、認証済航法メッセージの発信元のＧＰＳ衛星２ａの衛星位置を用いる場合を例に挙げて説明を行ったが、測位に用いた航法メッセージの発信元のＧＰＳ衛星２であれば、ＧＰＳ衛星２ａ以外の衛星位置を用いる構成としてもよい。

＜変形例６＞
なお、前述の実施形態では、ＧＰＳ衛星２から受信した航法メッセージのみを測位に用いた場合の例を挙げて説明を行ったが、ＱＺＳ衛星３から受信した航法メッセージを測位に用いる構成としてもよい。この場合、ＱＺＳ衛星３から受信した航法メッセージの認証についても、ＧＰＳ衛星２の場合と同様にして行う構成とすればよい。

変形例６の一例としては、ＱＺＳ衛星３からモニタステーション１１０で受信した航法メッセージからＲＡＮＤメッセージを生成し、このＲＡＮＤメッセージをもとに認証センタ１２０でパリティデータを作成する。そして、作成したパリティデータをマスタコントロールステーション１３０に送り、そのパリティデータをマスタコントロールステーション１３０からＱＺＳ衛星３に送信する。ＱＺＳ衛星３は、そのパリティデータを含んだ航法メッセージを地上に向けて放送する。

第１車載機２００や実施形態２以降の第２車載機３００は、ＱＺＳ衛星３から受信した航法メッセージからＲＡＮＤメッセージを作成し、このＲＡＮＤメッセージと認証センタ１２０から取得するＨマトリクスとから比較パリティデータを作成する。そして、作成した比較パリティデータと、ＱＺＳ衛星３から受信したパリティデータとを比較することで認証を行う構成とすればよい。

＜変形例７＞
前述の実施形態で説明した航法メッセージ認証型の認証方法はあくまで一例であり、認証機関へのアクセスが必要な認証方法であれば、他の認証方法を用いる構成（以下、変形例７）としてもよい。

＜変形例８＞
前述の実施形態では、車両で用いられる第１車載機２００及び第２車載機３００を例に挙げて説明を行ったが、必ずしもこれに限らない。例えば、第１車載機２００や第２車載機３００と同様の航法メッセージ受信装置を、ユーザに携帯される携帯端末等に適用する構成としてもよい。

なお、本発明は、上述した各実施形態に限定されるものではなく、請求項に示した範囲で種々の変更が可能であり、異なる実施形態にそれぞれ開示された技術的手段を適宜組み合わせて得られる実施形態についても本発明の技術的範囲に含まれる。

１、１ａ、１ｂ 簡易認証システム、２００ 第１車載機（第１の航法メッセージ受信装置）、２３０ 衛星受信機（第１の衛星受信機）、３００ 第２車載機（航法メッセージ受信装置、第２の航法メッセージ受信装置）、３３０ 衛星受信機（第２の衛星受信機）、４００ 路側機、４３０ 記憶部（蓄積部）、Ｓ５ 認証用情報受信部、Ｓ９〜Ｓ１１ センタ使用認証部、Ｓ２２ 衛星情報送信部、Ｓ３１、Ｓ６１ 衛星情報取得部、Ｓ３３〜Ｓ３５、Ｓ６６、Ｓ６７、Ｓ９５、Ｓ９６、Ｓ１０６、Ｓ１０７、Ｓ１１３、Ｓ１１４、Ｓ１２５、Ｓ１２６ 簡易判断部、Ｓ４１ 衛星情報受信部、Ｓ５２ 配信部

Claims (10)

1. 衛星測位システムで用いられる人工衛星からの航法メッセージを受信する衛星受信機（３３０）を備える航法メッセージ受信装置（３００）であって、
   前記人工衛星から受信した航法メッセージに応じた認証用情報を認証センタから受信して前記認証を行う測位装置（２００）から、前記認証が成立した前記航法メッセージの発信元の前記人工衛星についての情報である認証済衛星情報を取得する衛星情報取得部（Ｓ３１、Ｓ６１）と、
   前記衛星情報取得部で取得した前記認証済衛星情報を用いて、前記衛星受信機で受信した前記航法メッセージが正規のものであるかを判断する簡易判断部（Ｓ３３〜Ｓ３５、Ｓ６６、Ｓ６７、Ｓ９５、Ｓ９６、Ｓ１０６、Ｓ１０７、Ｓ１１３、Ｓ１１４、Ｓ１２５、Ｓ１２６）とを備えることを特徴とする航法メッセージ受信装置。
2. 請求項１において、
   前記航法メッセージには、個々の前記人工衛星を識別できる識別情報が含まれており、
   前記認証済衛星情報には、前記認証が成立した前記航法メッセージの発信元の前記人工衛星を識別できる前記識別情報が含まれており、
   前記簡易判断部（Ｓ３３〜Ｓ３５）は、前記衛星受信機で受信した航法メッセージに含まれる識別情報が、前記衛星情報取得部（Ｓ３１）で取得した前記認証済衛星情報に含まれる識別情報と一致する場合に、前記衛星受信機で受信した前記航法メッセージが正規のものであると判断する一方、一致しない場合には、前記衛星受信機で受信した前記航法メッセージが正規のものであると判断しないことを特徴とする航法メッセージ受信装置。
3. 請求項１において、
   前記認証済衛星情報には、前記認証が成立した前記航法メッセージを前記人工衛星が発信した発信時刻、及びその航法メッセージを前記測位装置が受信した受信時刻が含まれており、
   前記衛星情報取得部（Ｓ６１）で取得した前記認証済衛星情報に含まれる前記発信時刻と、前記認証が成立した前記航法メッセージの発信元の前記人工衛星から前記衛星受信機で受信した航法メッセージに含まれる発信時刻との間に、前記認証済衛星情報に含まれる航法メッセージの受信時刻から前記衛星受信機で前記認証が成立した前記航法メッセージの発信元の人工衛星の航法メッセージを受信した時刻までの、受信時刻差に応じた連続性があるか否かを判定する第１連続性判定部（Ｓ６５）を備え、
   前記簡易判断部（Ｓ６６、Ｓ６７）は、前記第１連続性判定部で連続性があると判定した場合には、前記衛星受信機で受信した前記航法メッセージが正規のものであると判断する一方、前記第１連続性判定部で連続性がないと判定した場合には、前記衛星受信機で受信した前記航法メッセージが正規のものであると判断しないことを特徴とする航法メッセージ受信装置。
4. 請求項１又は２において、
   前記認証用情報を、前記認証センタから受信する認証用情報受信部（Ｓ７５）と、
   前記衛星受信機で受信した前記航法メッセージが正規のものであることを、前記認証用情報受信部で受信した認証用情報を用いて認証を行うセンタ使用認証部（Ｓ７９〜Ｓ８１）と、
   前記センタ使用認証部で認証が成立した前記航法メッセージの発信元の前記人工衛星から、前記衛星受信機で新たな航法メッセージを受信した場合に、前記センタ使用認証部で認証が成立した前記航法メッセージと前記新たな航法メッセージとの間に連続性があるか否かを判定する第２連続性判定部（Ｓ９４、Ｓ１０５）とを備え、
   前記簡易判断部（Ｓ９５、Ｓ９６、Ｓ１０６、Ｓ１０７）は、前記第２連続性判定部で連続性があると判定した場合にも、前記衛星受信機で受信した前記航法メッセージが正規のものであると判断する一方、前記第２連続性判定部で連続性がないと判定した場合には、前記衛星受信機で受信した前記航法メッセージが正規のものであると判断しないことを特徴とする航法メッセージ受信装置。
5. 請求項４において、
   前記航法メッセージには、航法メッセージの発信時刻が含まれており、
   前記第２連続性判定部は、
   前記センタ使用認証部で認証が成立した前記航法メッセージに含まれる発信時刻と、前記新たな航法メッセージに含まれる発信時刻との間に、認証が成立した前記航法メッセージの受信時刻から前記新たな航法メッセージの受信時刻までの受信時刻差に応じた連続性があるか否かを判定することを特徴とする航法メッセージ受信装置。
6. 請求項４において、
   前記航法メッセージには、航法メッセージの発信時刻が含まれており、
   前記新たな航法メッセージは、前記センタ使用認証部で認証が成立した前記航法メッセージの受信時刻から所定時間以内に前記衛星受信機で受信したものであって、
   前記第２連続性判定部（Ｓ１０５）は、
   前記センタ使用認証部で認証が成立した前記航法メッセージに含まれる発信時刻とその航法メッセージの受信時刻とから定まる擬似距離と、前記新たな航法メッセージに含まれる発信時刻とその新たな航法メッセージの受信時刻とから定まる擬似距離との差が閾値未満である場合に、前記センタ使用認証部で認証が成立した前記航法メッセージと前記新たな航法メッセージとの間に連続性があると判定することを特徴とする航法メッセージ受信装置。
7. 請求項１又は２において、
   前記航法メッセージには、複数の前記人工衛星間で整合性が取れる整合情報が含まれており、
   前記人工衛星から受信した前記航法メッセージに応じた前記認証用情報を、認証センタから受信する認証用情報受信部（Ｓ７５）と、
   前記衛星受信機で受信した前記航法メッセージが正規の航法メッセージであることの認証を、その航法メッセージに応じて前記認証用情報受信部で受信した認証用情報を用いて行うセンタ使用認証部（Ｓ７９〜Ｓ８１）とを備え、
   前記センタ使用認証部で認証が成立した航法メッセージに含まれる整合情報と整合性が取れる情報が、前記センタ使用認証部で認証が成立した航法メッセージの発信元とは異なる前記人工衛星である未認証衛星から前記衛星受信機で受信した航法メッセージに含まれるか否かを判定する整合性判定部（Ｓ１１２、Ｓ１２４）とを備え、
   前記簡易判断部（Ｓ１１３、Ｓ１１４、Ｓ１２５、Ｓ１２６）は、前記整合性判定部で整合性が取れる情報が含まれると判定した場合にも、前記衛星受信機で受信した前記航法メッセージが正規のものであると判断する一方、前記整合性判定部で整合性が取れる情報が含まれていないと判定した場合には、前記衛星受信機で受信した前記航法メッセージが正規のものであると判断しないことを特徴とする航法メッセージ受信装置。
8. 請求項７において、
   前記整合情報は、前記航法メッセージの発信時刻であって、
   前記整合性判定部（Ｓ１１２）は、前記センタ使用認証部で認証が成立した航法メッセージに含まれる発信時刻と、前記未認証衛星から前記衛星受信機で受信した航法メッセージに含まれる発信時刻とが一致するか否かによって、整合性が取れる情報が含まれているか否かを判定することを特徴とする航法メッセージ受信装置。
9. 請求項７において、
   前記航法メッセージには、その航法メッセージの発信元の前記人工衛星だけでなく、その人工衛星以外の前記人工衛星の衛星位置を算出できる衛星位置算出用情報が含まれており、
   前記整合情報は、前記衛星位置算出用情報であって、
   前記整合性判定部（Ｓ１２４）は、前記センタ使用認証部で認証が成立した航法メッセージに含まれる前記衛星位置算出用情報から算出できる前記未認証衛星の衛星位置と、前記未認証衛星から前記衛星受信機で受信した航法メッセージに含まれる前記衛星位置算出用情報から算出できる前記未認証衛星の衛星位置とが一致するか否かによって、整合性が取れる情報が含まれているか否かを判定することを特徴とする航法メッセージ受信装置。
10. 第１の移動体で用いられて、
    衛星測位システムで用いられる人工衛星からの航法メッセージを受信する第１の衛星受信機（２３０）と、
    前記第１の衛星受信機で受信した前記航法メッセージに応じた認証用情報を、認証センタから受信する認証用情報受信部（Ｓ５）と、
    前記第１の衛星受信機で受信した前記航法メッセージが正規のものであるか、前記認証用情報受信部で受信した前記認証用情報を用いて認証を行うセンタ使用認証部（Ｓ９〜Ｓ１１）と、
    前記センタ使用認証部での前記認証が成立した前記航法メッセージの発信元の前記人工衛星についての情報である認証済衛星情報を送信する衛星情報送信部（Ｓ２２）とを備える第１の航法メッセージ受信装置（２００）と、
    路上に設けられて、
    前記衛星情報送信部から送信される前記認証済衛星情報を受信する衛星情報受信部（Ｓ４１）と、
    前記衛星情報受信部で受信した前記認証済衛星情報を蓄積する蓄積部（４３０）と、
    前記蓄積部に蓄積した情報を配信する配信部（Ｓ５２）とを備える路側機（４００）と、
    第２の移動体で用いられて、
    前記衛星測位システムで用いられる人工衛星からの航法メッセージを受信する第２の衛星受信機（３３０）と、
    前記路側機の配信部から配信される前記認証済衛星情報を受信することで前記認証済衛星情報を取得する衛星情報取得部（Ｓ３１、Ｓ６１）と、
    前記衛星情報取得部で取得した前記認証済衛星情報を用いて、前記衛星受信機で受信した前記航法メッセージが正規のものであるかを判断する簡易判断部（Ｓ３３〜Ｓ３５、Ｓ６６、Ｓ６７、Ｓ９５、Ｓ９６、Ｓ１０６、Ｓ１０７、Ｓ１１３、Ｓ１１４、Ｓ１２５、Ｓ１２６）とを備える第２の航法メッセージ受信装置（３００）とを含むことを特徴とする簡易認証システム。

Images