JP2016048873A - データ処理システム及び検証装置及び検証方法及びプログラム - Google Patents

Abstract

【課題】移動端末装置の位置や時刻のなりすましを検出可能な構成を実現する。【解決手段】測位衛星５からの位置情報、時刻情報を、移動端末装置１、および、信頼がおける固定端末装置２で受取り、移動端末装置１で位置情報、時刻情報、および、移動端末装置１の端末ＩＤのメッセージ認証コードを端末ごとに異なる鍵で求め、これらを固定端末装置２の通信範囲内で固定端末装置２に通信し、移動端末装置１からのメッセージ、および、固定端末装置２が受け取った位置情報、時刻情報、および、固定端末装置２の端末ＩＤを合わせたもののメッセージ認証コードを端末ごとに異なる鍵で求め、これらを検証装置６に送る。検証装置６では、移動端末装置１および固定端末装置２のメッセージ認証コード検証、時刻差分検証、位置差分検証を行い、移動端末装置１の位置を認証する。【選択図】図６

Description

この発明は、移動端末装置の位置情報を検証する技術に関する。

従来の位置認証システムは、路側機から識別情報が発せられ、これを受信した車両が、自身の位置情報と識別情報を合わせて、位置情報管理センタに送る。
位置情報管理センタは、路側機の設置位置と車両の位置情報を比較することにより、移動体の位置情報の正当性を判断していた（例えば、特許文献１）。
また、位置証明システム、証明センタ装置、位置証明装置および端末では、証明書装置（路側機）から移動可能な端末に、端末ＩＤ、証明書要求情報の送信要求を送る。
送信要求を受信した端末は、証明書要求情報を端末の固有鍵で暗号化し、端末ＩＤと暗号化証明書要求情報を、証明書装置（路側機）に送信する。
証明書装置（路側機）は、受信した時刻、端末ＩＤ、暗号化証明書要求情報、路側機ＩＤを証明センタ装置に送信する。
証明センタ装置では端末ＩＤに対応する固有鍵で、暗号化証明書要求情報を復号し、認証を行い、認証できれば、日時、端末ＩＤ、証明装置ＩＤを紐つけて記録していた（例えば、特許文献２）。

特開２００９−３８５８６号公報 特開２００７−１６４３０６号公報

従来の位置認証システムは、識別情報を入手しておき、適当な位置情報をつけて位置情報管理センタに送ることで、実際に位置情報発信位置に車両がいなくても、いるかのように振る舞えるという課題があった。

また、位置証明システム、証明センタ装置、位置証明装置および端末では、端末ＩＤ、暗号化証明書要求情報を入手し、適当な時刻をつけて送れば、実際にその時刻にその位置にいなくても、いるかのように振る舞えるという課題があった。

この発明は上記のような課題を解決することを主な目的とし、移動端末装置の位置や時刻のなりすましを検出可能な構成を実現することを主な目的とする。

本発明に係るデータ処理システムは、
移動端末装置と、固定端末装置と、検証装置とを有するデータ処理システムであって、
前記移動端末装置は、
測位衛星から、位置情報と時刻情報と、前記位置情報と前記時刻情報とに対して生成された第１のメッセージ認証コードとが含まれる第１のメッセージを受信し、
前記第１のメッセージと前記移動端末装置の識別子とに対して第２のメッセージ認証コードを生成し、前記第１のメッセージと前記移動端末装置の識別子と前記第２のメッセージ認証コードとが含まれる第２のメッセージを狭域通信により前記固定端末装置に送信し、
前記固定端末装置は、
前記狭域通信により前記移動端末装置から前記第２のメッセージを受信した場合に、
前記測位衛星から、位置情報と時刻情報と、前記位置情報と前記時刻情報とに対して生成された第３のメッセージ認証コードとが含まれる第３のメッセージを受信し、
前記第２のメッセージと前記第３のメッセージと前記固定端末装置の識別子とに対して第４のメッセージ認証コードを生成し、前記第２のメッセージと前記第３のメッセージと前記固定端末装置の識別子と前記第４のメッセージ認証コードとが含まれる第４のメッセージを前記検証装置に送信し、
前記検証装置は、
前記固定端末装置から前記第４のメッセージを受信し、
前記第４のメッセージの検証を行い、
前記第４のメッセージが正当である場合に、
前記第４のメッセージ内の前記第４のメッセージ認証コードを用いて、前記第４のメッセージ内の前記第２のメッセージと前記第３のメッセージと前記固定端末装置の識別子とを検証し、
前記第３のメッセージ内の前記第３のメッセージ認証コードを用いて、前記第３のメッセージ内の前記位置情報と前記時刻情報とを検証し、
前記第２のメッセージ内の前記第２のメッセージ認証コードを用いて、前記第２のメッセージ内の前記第１のメッセージと前記移動端末装置の識別子とを検証し、
前記第１のメッセージ内の前記第１のメッセージ認証コードを用いて、前記第１のメッセージ内の前記位置情報と前記時刻情報とを検証し、
前記第４のメッセージ認証コード、前記第３のメッセージ認証コード、前記第２のメッセージ認証コード及び前記第１のメッセージ認証コードのそれぞれを用いた検証が成功した場合に、前記第１のメッセージ内の前記位置情報から導出される位置と前記第１のメッセージ内の前記時刻情報から導出される時刻とを検証することを特徴とする。

本発明では、移動端末装置の位置情報及び時刻情報が測位衛星から受信した位置情報及び時刻情報であるかを測位衛星からの第１のメッセージ認証コードを用いて検証し、固定端末装置の位置情報及び時刻情報が測位衛星から受信した位置情報及び時刻情報であるかを測位衛星からの第３のメッセージ認証コードを用いて検証する。
このため、移動端末装置の位置情報や時刻情報の改ざん又は固定端末装置の位置情報や時刻情報の改ざんを検知することができ、移動端末装置の位置や時刻のなりすましを検出することができる。

実施の形態１に係るシステム構成例を示す図。 実施の形態１に係る移動端末装置の構成例を示す図。 実施の形態１に係る固定端末装置の構成例を示す図。 実施の形態１に係る検証装置の構成例を示す図。 実施の形態１に係る処理フロー例を示す図。 実施の形態１に係るメッセージ遷移の例を示す図。 実施の形態２に係る処理フロー例を示す図。 実施の形態１及び２に係る各装置のハードウェア構成例を示す図。

実施の形態１．
本実施の形態では、移動端末装置の位置や時刻の成りすましを防止するとともに、発信移動体の否認不可性をシステムに持たせる構成を説明する。

図１は、本実施の形態１に係るシステム構成例を示す図である。

図１において、移動端末装置１は、車両（図示せず）などに取り付けられて移動する端末装置である。
移動端末装置１は、測位衛星５からの電波を受信し、また、近傍の固定端末装置２と狭域無線通信を行う。
固定端末装置２は、ビルや信号機（図示せず）に設置された固定の端末装置である。
固定端末装置２は、測位衛星５からの電波を受信し、近傍の移動端末装置１と狭域通信を行う。
狭域通信は、例えば、Ｂｌｕｅｔｏｏｔｈ（登録商標）、赤外線通信、ＤＳＲＣ（Ｄｅｄｉｃａｔｅｄ Ｓｈｏｒｔ Ｒａｎｇｅ Ｃｏｍｍｕｎｉｃａｔｉｏｎｓ）である。
更に、固定端末装置２は、公衆回線４を介して位置情報管理センタ３内の検証装置６と通信する。
検証装置６は、移動端末装置１や固定端末装置２の位置情報及び時刻情報を検証する。
より具体的には、検証装置６は、公衆回線４を介して固定端末装置２から送られてきた位置情報、時刻情報の整合性を確認し、移動端末装置１の位置情報及び時刻情報を検証する。
公衆回線４は、ＴＣＰ−ＩＰ通信などを行える公衆回線であり、固定端末装置２と検証装置６間の通信に使用する。
測位衛星５は、位置情報、時刻情報を配信する人工衛星であり、具体的には、ＧＰＳ（Ｇｌｏｂａｌ Ｐｏｓｉｔｉｏｎｉｎｇ Ｓｙｓｔｅｍ）衛星、準天頂衛星等である。

移動端末装置１、固定端末装置２には、鍵管理センタ（図示せず）により管理された共通鍵が個々の端末に格納されているものとする。
格納される鍵は、端末ごとに異なる個別鍵であるとする。
また、検証装置６には、鍵管理センタ（図示せず）により管理された共通鍵が、端末ＩＤと紐づけられた形で格納される、または、端末ＩＤから端末の個別鍵を生成する方法が周知されているものとする。
また、移動端末装置１と検証装置６、固定端末装置２と検証装置６は、各々メッセージ認証コードの生成方法を共有できているものとする。

測位衛星５と検証装置６は、地上局（図示せず）を介して、メッセージ認証コードの生成方法を共有できているものとする。

移動端末装置１と固定端末装置２の通信は、狭域通信とし、固定端末装置２の近傍に移動端末装置１が存在するとき、通信ができるものとする。

図２は、移動端末装置１の構成例を示す。

衛星信号受信部１０１は、測位衛星５からの衛星信号を受信する。
測位衛星５からの衛星信号には、位置情報と時刻情報と、位置情報と時刻情報のメッセージダイジェストであるメッセージ認証コード（以下、ＭＡＣという）が含まれる。

測位部１０２は、衛星信号受信部１０１により受信された測位信号に含まれる位置情報から、移動端末装置１の現在位置を測位する。
測位部１０２の測位方法は、通常のＧＰＳ測位の方法でよい。

メッセージ生成部１０３は、衛星信号に含まれる位置情報と時刻情報とＭＡＣと移動端末装置１の識別子である端末ＩＤ（Ｉｄｅｎｔｉｆｉｃａｔｉｏｎ）から、固定端末装置２に送信するメッセージを生成する。
メッセージ生成部１０３が生成するメッセージの詳細は、後述する。

狭域通信部１０４は、固定端末装置２との間で狭域通信を行う。
つまり、狭域通信部１０４は、メッセージ生成部１０３により生成されたメッセージを狭域通信により固定端末装置２に送信する。

制御部１０５は、衛星信号受信部１０１、測位部１０２、メッセージ生成部１０３、狭域通信部１０４の各々の動作を制御する。

図３は、固定端末装置２の構成例を示す。

衛星信号受信部２０１は、測位衛星５からの衛星信号を受信する。
測位衛星５からの衛星信号には、位置情報と時刻情報とＭＡＣが含まれる。

狭域通信部２０２は、移動端末装置１との間で狭域通信を行う。
つまり、狭域通信部２０２は、移動端末装置１からメッセージを受信する。

メッセージ生成部２０３は、狭域通信部２０２が受信した移動端末装置１のメッセージと、衛星信号に含まれる位置情報と時刻情報とＭＡＣと、固定端末装置２の識別子である端末ＩＤから、検証装置６に送信するメッセージを生成する。
メッセージ生成部２０３が生成するメッセージの詳細は、後述する。

回線通信部２０４は、公衆回線４を介して検証装置６と通信を行う。
より具体的には、回線通信部２０４は、メッセージ生成部２０３により生成されたメッセージを検証装置６に送信する。

制御部２０５は、衛星信号受信部２０１、狭域通信部２０２、メッセージ生成部２０３、回線通信部２０４の各々の動作を制御する。

図４は、検証装置６の構成例を示す。

回線通信部６０１は、公衆回線４を介して固定端末装置２と通信を行う。
より具体的には、回線通信部６０１は、固定端末装置２からメッセージを受信する。
回線通信部６０１は、受信部の例に相当する。

メッセージ検証部６０２は、回線通信部６０１が受信したメッセージの検証を行う。
メッセージ検証部６０２によるメッセージの検証方法の詳細は、後述する。

位置時刻検証部６０３は、メッセージ検証部６０２による検証により、固定端末装置２の位置情報及び時刻情報が正当であると判断され、移動端末装置１の位置情報及び時刻情報が正当であると判断された場合に、移動端末装置１の位置情報から導出される位置と移動端末装置１の時刻情報から導出される時刻とを検証する。
位置時刻検証部６０３による位置及び時刻の検証方法の詳細は、後述する。

ブラックリスト記憶部６０４は、ブラックリストを記憶している。
ブラックリストは、メッセージ検証部６０２により不正であると判断された移動端末装置１又は固定端末装置２の端末ＩＤを登録するためのリストである。

距離閾値記憶部６０５は、位置時刻検証部６０３が位置を検証する際に用いる閾値を記憶している。

制御部６０６は、回線通信部６０１、メッセージ検証部６０２、位置時刻検証部６０３、ブラックリスト記憶部６０４、距離閾値記憶部６０５の各々の動作を制御する。

次に、本実施の形態に係る動作を図５の処理フローと図６のメッセージ遷移図を使って説明する。

Ｓ１０１では、移動端末装置１が現在位置を測位可能な位置情報と時刻情報を測位衛星５が用意し、位置情報と時刻情報のＭＡＣを、検証装置６と共有している方法で求める。
そして、これら位置情報、時刻情報、ＭＡＣを配信する。
配信は、移動端末装置１の存在に係らず、測位衛星５が自立的に配信する。
図６では、Ｓ１０１で配信されるメッセージをＭ１として表記している。
また、メッセージＭ１に含まれる位置情報を「位置情報＿Ｏ」とし、時刻情報を「時刻情報＿Ｏ」とし、これらのＭＡＣを「ＭＡＣ＿Ｏ」としている。
図６において、矢印は“括弧内のデータとＭＡＣ”との関係を示している。
つまり、「ＭＡＣ＿Ｏ」は、「位置情報＿Ｏ」と「時刻情報＿Ｏ」のメッセージ認証コードであることを示している。
他のメッセージにおいても矢印の意味するところは同じである。
なお、メッセージＭ１は第１のメッセージの例に相当し、「ＭＡＣ＿Ｏ」は第１のメッセージ認証コードの例に相当する。

Ｓ１０２では、移動端末装置１の衛星信号受信部１０１が測位衛星５から配信されるメッセージＭ１を受信する。

Ｓ１０３では、移動端末装置１のメッセージ生成部１０３が検証装置６と共有している方法で、測位衛星５から配信されたメッセージＭ１と自身の端末ＩＤの全体のＭＡＣを求める。
そして、メッセージ生成部１０３はメッセージＭ１、端末ＩＤ、全体のＭＡＣを合わせたメッセージを生成し、狭域通信部１０４が、このメッセージを固定端末装置２に狭域通信で送信する。
送信は、固定端末装置２の存在に係らず、移動端末装置１が自立的に送信する。
図６では、送信されるメッセージをＭ２として表記している。
また、移動端末装置１の端末ＩＤを「端末ＩＤ＿Ｏ」、移動端末装置１で求めた全体のＭＡＣを「ＭＡＣ＿ＯＯ」としている。
なお、メッセージＭ２は第２のメッセージの例に相当し、「ＭＡＣ＿ＯＯ」は第２のメッセージ認証コードの例に相当する。
また、移動端末装置１では、測位部１０２が「位置情報＿Ｏ」から移動端末装置１の現在位置を測位してもよい。

Ｓ１０４では、移動端末装置１が固定端末装置２の近傍に存在するときに行われるもので、移動端末装置１から送信されるメッセージＭ２を固定端末装置２の狭域通信部２０２が受信する。

Ｓ１０４で狭域通信部２０２がメッセージＭ２を受信すると、衛星信号受信部２０１が、測位衛星５から配信される位置情報、時刻情報、ＭＡＣを受信する（Ｓ１０６）。
測位衛星５から配信される位置情報、時刻情報、ＭＡＣは、Ｓ１０１のものと同様であるが、Ｓ１０１の時点から時間が経過しているので、時刻情報はＳ１０１の時刻情報と異なっている。
また、ＭＡＣは、Ｓ１０１のものと同様に、位置情報と時刻情報のＭＡＣであって、測位衛星５が検証装置６と共有している方法で求めたＭＡＣである（Ｓ１０５）。
図６では、測位衛星５から配信されるメッセージをＭ３として表記している。
また、メッセージＭ３に含まれる位置情報を「位置情報＿Ｒ」とし、時刻情報を「時刻情報＿Ｒ」とし、これらのＭＡＣを「ＭＡＣ＿Ｒ」としている。
なお、メッセージＭ３は第３のメッセージの例に相当し、「ＭＡＣ＿Ｒ」は第３のメッセージ認証コードの例に相当する。

Ｓ１０７では、固定端末装置２のメッセージ生成部２０３が検証装置６と共有している方法で、移動端末装置１から受信したメッセージＭ２、測位衛星５から受信したメッセージＭ３、固定端末装置２の端末ＩＤの全体のＭＡＣを求める。
そして、メッセージ生成部２０３は、メッセージＭ２、メッセージＭ３、固定端末装置２の端末ＩＤ、全体のＭＡＣを合わせたメッセージを生成し、回線通信部２０４が検証装置６に送信する。
この通信は、固定端末装置２、検証装置６間で通信タイミングを調整してもよい。
図６では、送信されるメッセージをＭ４として表記している。
また、固定端末装置２の端末ＩＤを「端末ＩＤ＿Ｒ」とし、固定端末装置２で求めた全体のＭＡＣを「ＭＡＣ＿ＲＲ」としている。
このように、移動端末装置１のＭＡＣを含めて、固定端末装置２で全体のＭＡＣを求めることを、連鎖的にＭＡＣを求めると呼ぶ。
なお、メッセージＭ４は第４のメッセージの例に相当し、「ＭＡＣ＿ＲＲ」は第４のメッセージ認証コードの例に相当する。

Ｓ１０８では、検証装置６の回線通信部６０１がメッセージＭ４を固定端末装置２から受信し、メッセージ検証部６０２がメッセージＭ４の検証を行う。
まず、メッセージ検証部６０２は、固定端末装置２のＭＡＣである「ＭＡＣ＿ＲＲ」を検証する。
検証は、位置情報管理センタ３に格納されている「端末ＩＤ＿Ｒ」に紐づけられている鍵を使って行う。
位置情報管理センタ３に鍵そのものが格納されている場合はその鍵を、端末ＩＤから鍵を生成する方法がわかっている場合は端末ＩＤから得られる鍵を使用する。
メッセージ検証部６０２は、この鍵を用いてメッセージＭ４の「ＭＡＣ＿ＲＲ」以外の要素のＭＡＣを生成し、生成したＭＡＣが「ＭＡＣ＿ＲＲ」と一致するかどうかを検証する。
両者が一致すれば、検証の成功であり、メッセージＭ４は確かに固定端末装置２から送信されたもので、改ざんも無いと判断する。
検証に失敗すれば、メッセージＭ４は不適切であると処理し、固定端末装置２は不正機器である可能性があるので、ブラックリストに記録する。
図６では、ここで行う検証を「ＭＡＣ＿ＲＲ検証」とＰ１に表記している。

次に、メッセージ検証部６０２は、メッセージＭ４にある移動端末装置１のＭＡＣ「ＭＡＣ＿ＯＯ」の検証を行う。
検証は、位置情報管理センタ３に格納されている「端末ＩＤ＿Ｏ」に紐づけられている鍵を使って行う。
鍵そのものが格納されている場合はその鍵を、端末ＩＤから鍵を生成する方法がわかっている場合は端末ＩＤから得られる鍵を使用する。
メッセージ検証部６０２は、この鍵を用いてメッセージＭ２の「ＭＡＣ＿ＯＯ」以外の要素のＭＡＣを生成し、生成したＭＡＣが「ＭＡＣ＿ＯＯ」と一致するかどうかを検証する。
両者が一致すれば、検証の成功であり、メッセージＭ２は確かに移動端末装置１から送信されたもので、改ざんも無いと判断する。
検証に失敗すれば、メッセージＭ２は不適切であると処理し、移動端末装置１は不正機器である可能性があるので、ブラックリストに記録する。
図６では、行う検証を「ＭＡＣ＿ＯＯ検証」とＰ１に表記している。

次に、移動端末装置１が測位衛星５から受信した「ＭＡＣ＿Ｏ」、固定端末装置２が測位衛星５から受信した「ＭＡＣ＿Ｒ」の検証を行う。
「ＭＡＣ＿Ｏ」の検証は、検証装置６が測位衛星５と共有している鍵を用いてメッセージＭ１の「ＭＡＣ＿Ｏ」以外の要素のＭＡＣを生成し、生成したＭＡＣが「ＭＡＣ＿Ｏ」と一致するかどうかを検証する。
また、「ＭＡＣ＿Ｒ」の検証は、検証装置６が測位衛星５と共有している鍵を用いてメッセージＭ３の「ＭＡＣ＿Ｒ」以外の要素のＭＡＣを生成し、生成したＭＡＣが「ＭＡＣ＿Ｒ」と一致するかどうかを検証する。
検証に成功すれば、位置情報、時刻情報ともに改ざんがないと判断する。
検証に失敗すれば、メッセージＭ４は、不適切であると処理する。
図６では、行う検証を「ＭＡＣ＿Ｒ検証」及び「ＭＡＣ＿Ｏ検証」とＰ１に表記している。

Ｓ１０９では、位置時刻検証部６０３が、「位置情報＿Ｏ」から移動端末装置１の位置を検出し、「位置情報＿Ｒ」から固定端末装置２の位置を検出し、移動端末装置１と固定端末装置２との位置関係を検証する。
移動端末装置１と固定端末装置２の通信は、狭域通信であるため、移動端末装置１と固定端末装置２の位置の差分は狭域通信内にあるはずである。
距離閾値記憶部６０５には、狭域通信が可能な距離の値が閾値として記憶されており、位置時刻検証部６０３は移動端末装置１の位置と固定端末装置２の位置との間の距離が距離閾値記憶部６０５の閾値以内であるか否かを判定する。
閾値以内であれば、メッセージ検証部６０２は、移動端末装置１の位置は正当であると判断する。
また、移動端末装置１は固定端末装置２より早く測位衛星５から位置情報、時刻情報、ＭＡＣを受取っているので、時刻がこの関係にあることを確認する。
つまり、位置時刻検証部６０３は、「時刻情報＿Ｏ」から導出される時刻と、「時刻情報＿Ｒ」から導出される時刻が、この関係にあるか否かを判断する。
図６では、行う検証として「時刻差分検証」「位置差分検証」とＰ１に表記している。

以上のように、移動端末装置１、固定端末装置２とも位置認証を受ける際には、測位衛星５から位置情報、時刻情報、および、これらのＭＡＣを入手するようにしているので、時刻、位置が認証の度ごとに変化する。
これにより、一度使用されたメッセージを再度使用するリピート攻撃に耐性を持たせることができる。

また、測位衛星５からのメッセージにはＭＡＣがあるので、位置情報、時刻情報の完全性の検証を、ＭＡＣの生成方法を共有している検証装置６で行うことができる。
これにより、測位衛星５〜移動端末装置１、または、固定端末装置２の間での、メッセージの改ざんの有無を検知できる。

また、移動端末装置１は測位衛星５から受取ったメッセージＭ１、移動端末装置１の端末ＩＤを合わせたものに対して、鍵管理センタで管理されている移動端末装置１と検証装置６だけが知り得る鍵を使って、移動端末装置１と検証装置６で周知されているＭＡＣ生成を行うので、検証装置６はＭ１の改ざんの有無を検証できるとともに、移動端末装置１に否認不可性（移動端末装置１がメッセージＭ２を生成したことを否認できない特性）を持たせることができる。

また、固定端末装置２は移動端末装置１から受取ったメッセージＭ２、測位衛星５から受取ったメッセージＭ３、固定端末装置２の端末ＩＤを合わせたものに対して、鍵管理センタで管理されている固定端末装置２と検証装置６だけが知り得る鍵を使って、固定端末装置２と検証装置６で周知されているＭＡＣ生成を行うので、検証装置６はメッセージＭ４の改ざんの有無を検証できるとともに、固定端末装置２に否認不可性（固定端末装置２がメッセージＭ４を生成したことを否認できない特性）を持たせることができる。

また、検証装置６で、移動端末装置１と固定端末装置２の時刻情報の差分、位置情報の差分を検証するので、移動端末装置１と固定端末装置２が狭域通信内に存在していることが確認できる。
これにより、移動端末装置１の時刻情報、位置情報の詐称を防止することができる。

また、検証をＭＡＣ検証だけとしたことで、演算負荷を抑えることができ、これにより、端末のコストを低減する効果が得られる。

本実施の形態では、公衆回線４を使って、固定端末装置２−検証装置６間の通信を行ったが、専用回線や無線回線を使用してもよい。

また、本実施の形態では、位置が変わらないように固定端末装置２を固定していることで固定端末装置２を信頼に足る端末としているが、改ざん、詐称のおそれがなければ、位置を動かすことができる固定端末装置２に置き換えてもよい。
これは、耐タンパな設計により端末自体の改変ができないようにするとともに、端末が複製されないようにすることで実現可能である。

実施の形態２．
以上の実施の形態１では、移動端末装置１から位置認証の処理が始まるようにしたものであるが、次に固定端末装置２から位置認証の処理が始まるようにする実施の形態を示す。

システム構成は、図１と同じであるので、説明を省略する。
また、移動端末装置１、固定端末装置２、検証装置６の内部構成例も、図２〜図４に示したものと同じであるので、説明を省略する。

実施の形態２の動作を図７の処理フローを使って説明する。

Ｓ２０１では、固定端末装置２が定期的に移動端末装置１をポーリングする。

Ｓ２０２では、固定端末装置２からのポーリング信号を移動端末装置１が受信し、移動端末装置１が活性化して、測位衛星５からの信号を受け取れる状態になる。

Ｓ１０２、Ｓ１０２は、実施の形態１と同様であるため、説明を省略する。
Ｓ２０３では、移動端末装置１はＳ１０３と同様の手順によりメッセージＭ２を生成し、メッセージＭ２を固定端末装置２に狭域通信にて送信し、その後不活性化する。
Ｓ１０４以降の動作は、実施の形態１と同様であるため、説明を省略する。

以上のように、実施の形態２では、固定端末装置２が移動端末装置１のポーリングを行うので、移動端末装置１はポーリングされた際に活性化するだけでよく、移動端末装置１の消費電力を小さくする効果がある。

実施の形態１及び２によれば、移動端末装置１は、人、車、電車、船舶などあらゆる移動体に設置でき、移動先の位置に応じた情報・サービスを提供することができるようになる。

また、位置情報を安全に送れるので、移動体の位置のトレースが可能になる。

以上の実施の形態１及び２では、
移動端末装置が固定端末装置の近傍に存在することを確認することで、移動端末装置の位置を認証するシステムを説明した。

また、以上の実施の形態１及び２では、
測位衛星からの位置情報、時刻情報を得て、
移動端末装置が固定端末装置の近傍に存在することを確認することで、移動端末装置の位置を認証するシステムを説明した。

また、以上の実施の形態１及び２では、
測位衛星からの位置情報、時刻情報を得て、
測位衛星から受取った位置情報、時刻情報、自身の端末ＩＤのメッセージ認証コードを端末ごとに異なる鍵を使用して求め、コード生成を行った端末の否認不可性を付与したことを説明した。

また、以上の実施の形態１及び２では、
移動端末装置が測位衛星からの位置情報、時刻情報を得て、
移動端末装置からのメッセージ認証コード付きメッセージを、固定端末装置の通信範囲内で捕捉し、
固定端末装置が測位衛星からの位置情報、時刻情報を得て、
移動端末装置からのメッセージ認証コード付きメッセージと上記固定端末装置の位置情報、時刻情報、固定端末装置の端末ＩＤのメッセージ認証コード付きメッセージを検証装置に送り、
検証装置が、
移動端末装置からのメッセージ認証コード、固定端末装置からのメッセージ認証コード、測位衛星から移動端末装置へのメッセージ認証コード、測位衛星から固定端末装置へのメッセージ認証コード、移動端末装置と固定端末装置の時刻差分、移動端末装置と固定端末装置の位置差分を検証することを説明した。

また、以上の実施の形態２では、
固定端末装置が移動端末装置をポーリングし、
移動端末装置が活性化し、
移動端末装置が測位衛星からの位置情報、時刻情報を得て、
移動端末装置はメッセージ認証コード付きメッセージを送信後、不活性化し、
移動端末装置からのメッセージ認証コード付きメッセージを、固定端末装置の通信範囲内で捕捉し、
固定端末装置が測位衛星からの位置情報、時刻情報を得て、
移動端末からのメッセージ認証コード付きメッセージと上記固定端末装置の位置情報、時刻情報のメッセージ認証コード付きメッセージを検証装置に送り、
検証装置が、
移動端末装置からのメッセージ認証コード、固定端末装置からのメッセージ認証コード、測位衛星から移動端末装置へのメッセージ認証コード、測位衛星から固定端末装置へのメッセージ認証コード、移動端末装置と固定端末装置の時刻差分、移動端末装置と固定端末装置の位置差分を検証することを説明した。

以上、本発明の実施の形態について説明したが、これら２つの実施の形態を組み合わせて実施しても構わない。
あるいは、これら２つの実施の形態のうち、１つを部分的に実施しても構わない。
あるいは、これら２つの実施の形態を部分的に組み合わせて実施しても構わない。
なお、本発明は、これらの実施の形態に限定されるものではなく、必要に応じて種々の変更が可能である。

最後に、実施の形態１及び２に示した移動端末装置１、固定端末装置２、検証装置６（以下、移動端末装置１等という）のハードウェア構成例を図８を参照して説明する。
移動端末装置１等はコンピュータであり、移動端末装置１等の各要素をプログラムで実現することができる。
移動端末装置１等のハードウェア構成としては、バスに、演算装置９０１、外部記憶装置９０２、主記憶装置９０３、通信装置９０４、入出力装置９０５が接続されている。

演算装置９０１は、プログラムを実行するＣＰＵ（Ｃｅｎｔｒａｌ Ｐｒｏｃｅｓｓｉｎｇ Ｕｎｉｔ）である。
外部記憶装置９０２は、例えばＲＯＭ（Ｒｅａｄ Ｏｎｌｙ Ｍｅｍｏｒｙ）やフラッシュメモリ、ハードディスク装置である。
主記憶装置９０３は、ＲＡＭ（Ｒａｎｄｏｍ Ａｃｃｅｓｓ Ｍｅｍｏｒｙ）である。
通信装置９０４は、衛星信号受信部１０１、狭域通信部１０４、衛星信号受信部２０１、狭域通信部２０２、回線通信部６０１の物理層に対応する。
入出力装置９０５は、例えばマウス、キーボード、ディスプレイ装置等である。

プログラムは、通常は外部記憶装置９０２に記憶されており、主記憶装置９０３にロードされた状態で、順次演算装置９０１に読み込まれ、実行される。
プログラムは、図２〜図４に示す「〜部」（「〜記憶部」を除く、以下も同様）として説明している機能を実現するプログラムである。
更に、外部記憶装置９０２にはオペレーティングシステム（ＯＳ）も記憶されており、ＯＳの少なくとも一部が主記憶装置９０３にロードされ、演算装置９０１はＯＳを実行しながら、図２〜図４に示す「〜部」の機能を実現するプログラムを実行する。
また、実施の形態１及び２の説明において、「〜の判断」、「〜の判定」、「〜の検証」「〜の抽出」、「〜の導出」、「〜の設定」、「〜の登録」、「〜の選択」、「〜の生成」、「〜の入力」、「〜の受信」等として説明している処理の結果を示す情報やデータや信号値や変数値が主記憶装置９０３にファイルとして記憶されている。
また、暗号鍵・復号鍵や乱数値が、主記憶装置９０３にファイルとして記憶されてもよい。

なお、図８の構成は、あくまでも移動端末装置１等のハードウェア構成の一例を示すものであり、移動端末装置１等のハードウェア構成は図８に記載の構成に限らず、他の構成であってもよい。

また、実施の形態１及び２に示す手順により、本発明に係る検証方法を実現可能である。

１ 移動端末装置、２ 固定端末装置、３ 位置情報管理センタ、４ 公衆回線、５ 測位衛星、６ 検証装置、１０１ 衛星信号受信部、１０２ 測位部、１０３ メッセージ生成部、１０４ 狭域通信部、１０５ 制御部、２０１ 衛星信号受信部、２０２ 狭域通信部、２０３ メッセージ生成部、２０４ 回線通信部、２０５ 制御部、６０１ 回線通信部、６０２ メッセージ検証部、６０３ 位置時刻検証部、６０４ ブラックリスト記憶部、６０５ 距離閾値記憶部、６０６ 制御部。

Claims (11)

1. 移動端末装置と、固定端末装置と、検証装置とを有するデータ処理システムであって、
   前記移動端末装置は、
   測位衛星から、位置情報と時刻情報と、前記位置情報と前記時刻情報とに対して生成された第１のメッセージ認証コードとが含まれる第１のメッセージを受信し、
   前記第１のメッセージと前記移動端末装置の識別子とに対して第２のメッセージ認証コードを生成し、前記第１のメッセージと前記移動端末装置の識別子と前記第２のメッセージ認証コードとが含まれる第２のメッセージを狭域通信により前記固定端末装置に送信し、
   前記固定端末装置は、
   前記狭域通信により前記移動端末装置から前記第２のメッセージを受信した場合に、
   前記測位衛星から、位置情報と時刻情報と、前記位置情報と前記時刻情報とに対して生成された第３のメッセージ認証コードとが含まれる第３のメッセージを受信し、
   前記第２のメッセージと前記第３のメッセージと前記固定端末装置の識別子とに対して第４のメッセージ認証コードを生成し、前記第２のメッセージと前記第３のメッセージと前記固定端末装置の識別子と前記第４のメッセージ認証コードとが含まれる第４のメッセージを前記検証装置に送信し、
   前記検証装置は、
   前記固定端末装置から前記第４のメッセージを受信し、
   前記第４のメッセージの検証を行い、
   前記第４のメッセージが正当である場合に、
   前記第４のメッセージ内の前記第４のメッセージ認証コードを用いて、前記第４のメッセージ内の前記第２のメッセージと前記第３のメッセージと前記固定端末装置の識別子とを検証し、
   前記第３のメッセージ内の前記第３のメッセージ認証コードを用いて、前記第３のメッセージ内の前記位置情報と前記時刻情報とを検証し、
   前記第２のメッセージ内の前記第２のメッセージ認証コードを用いて、前記第２のメッセージ内の前記第１のメッセージと前記移動端末装置の識別子とを検証し、
   前記第１のメッセージ内の前記第１のメッセージ認証コードを用いて、前記第１のメッセージ内の前記位置情報と前記時刻情報とを検証し、
   前記第４のメッセージ認証コード、前記第３のメッセージ認証コード、前記第２のメッセージ認証コード及び前記第１のメッセージ認証コードのそれぞれを用いた検証が成功した場合に、前記第１のメッセージ内の前記位置情報から導出される位置と前記第１のメッセージ内の前記時刻情報から導出される時刻とを検証することを特徴とするデータ処理システム。
2. 前記検証装置は、
   前記第１のメッセージ内の前記位置情報から導出される位置と前記第３のメッセージ内の前記位置情報から導出される位置との関係と、前記第１のメッセージ内の前記時刻情報から導出される時刻と前記第３のメッセージ内の前記時刻情報から導出される時刻との関係とに基づき、前記第１のメッセージ内の前記位置情報から導出される位置と前記第１のメッセージ内の前記時刻情報から導出される時刻とを検証することを特徴とする請求項１に記載のデータ処理システム。
3. 前記検証装置は、
   前記第１のメッセージ内の前記位置情報から導出される位置と前記第３のメッセージ内の前記位置情報から導出される位置との間の距離が前記狭域通信が可能な距離であり、前記第１のメッセージ内の前記時刻情報から導出される時刻が前記第３のメッセージ内の前記時刻情報から導出される時刻よりも前の時刻である場合に、前記第１のメッセージ内の前記位置情報から導出される位置と前記第１のメッセージ内の前記時刻情報から導出される時刻とが適正であると判断することを特徴とする請求項２に記載のデータ処理システム。
4. 前記移動端末装置は、
   不活性状態にある場合に、前記固定端末装置からのポーリング信号を受信して活性化し、前記測位衛星から前記第１のメッセージを受信することを特徴とする請求項１に記載のデータ処理システム。
5. 前記第１のメッセージ認証コードの生成及び検証方法は、前記測位衛星と前記検証装置との間でのみ共有され、
   前記第２のメッセージ認証コードの生成及び検証方法は、前記移動端末装置と前記検証装置との間でのみ共有され、
   前記第３のメッセージ認証コードの生成及び検証方法は、前記測位衛星と前記検証装置との間でのみ共有され、
   前記第４のメッセージ認証コードの生成及び検証方法は、前記固定端末装置と前記検証装置との間でのみ共有されていることを特徴とする請求項１に記載のデータ処理システム。
6. 移動端末装置と狭域通信を行う固定端末装置から、測位衛星からの位置情報と時刻情報とが含まれる第１のメッセージが含まれる第２のメッセージと、第３のメッセージと、前記固定端末装置の識別子と、第４のメッセージ認証コードとが含まれる第４のメッセージを受信する受信部と、
   メッセージの検証を行うメッセージ検証部と、
   前記第１のメッセージ内の前記位置情報から導出される位置と前記第１のメッセージ内の前記時刻情報から導出される時刻とを検証する位置時刻検証部とを有し、
   前記メッセージ検証部は、
   前記第４のメッセージの検証を行い、
   前記第４のメッセージが正当である場合に、
   前記第４のメッセージ内の前記第４のメッセージ認証コードを用いて、前記第４のメッセージ内の前記第２のメッセージと前記第３のメッセージと前記固定端末装置の識別子とを検証し、
   前記第３のメッセージから、前記固定端末装置が前記移動端末装置から前記狭域通信により前記第２のメッセージを受信した際に前記測位衛星から受信した位置情報と時刻情報と第３のメッセージ認証コードとを抽出し、
   前記第３のメッセージ認証コードを用いて、前記位置情報と前記時刻情報とを検証し、
   前記第２のメッセージから、前記第１のメッセージと前記移動端末装置の識別子と第２のメッセージ認証コードとを抽出し、
   前記第２のメッセージ認証コードを用いて、前記第１のメッセージと前記移動端末装置の識別子とを検証し、
   前記第１のメッセージから、前記移動端末装置が前記測位衛星から受信した位置情報と時刻情報と第１のメッセージ認証コードとを抽出し、
   前記第１のメッセージ認証コードを用いて、前記位置情報と前記時刻情報とを検証し、
   前記位置時刻検証部は、
   前記メッセージ検証部による検証が成功した場合に、
   前記第１のメッセージ内の前記位置情報から導出される位置と前記第１のメッセージ内の前記時刻情報から導出される時刻とを検証することを特徴とする検証装置。
7. 前記位置時刻検証部は、
   前記第１のメッセージ内の前記位置情報から導出される位置と前記第３のメッセージ内の前記位置情報から導出される位置との関係と、前記第１のメッセージ内の前記時刻情報から導出される時刻と前記第３のメッセージ内の前記時刻情報から導出される時刻との関係とに基づき、前記第１のメッセージ内の前記位置情報から導出される位置と前記第１のメッセージ内の前記時刻情報から導出される時刻とを検証することを特徴とする請求項６に記載の検証装置。
8. 前記位置時刻検証部は、
   前記第１のメッセージ内の前記位置情報から導出される位置と前記第３のメッセージ内の前記位置情報から導出される位置との間の距離が前記狭域通信が可能な距離であり、前記第１のメッセージ内の前記時刻情報から導出される時刻が前記第３のメッセージ内の前記時刻情報から導出される時刻よりも前の時刻である場合に、前記第１のメッセージ内の前記位置情報から導出される位置と前記第１のメッセージ内の前記時刻情報から導出される時刻とが適正であると判断することを特徴とする請求項７に記載の検証装置。
9. 前記検証装置は、
   前記第１のメッセージ認証コードの生成及び検証方法を、前記測位衛星とのみ共有し、
   前記第２のメッセージ認証コードの生成及び検証方法を、前記移動端末装置とのみ共有し、
   前記第３のメッセージ認証コードの生成及び検証方法を、前記測位衛星とのみ共有し、
   前記第４のメッセージ認証コードの生成及び検証方法を、前記固定端末装置とのみ共有していることを特徴とする請求項６に記載の検証装置。
10. コンピュータが、移動端末装置と狭域通信を行う固定端末装置から、測位衛星からの位置情報と時刻情報とが含まれる第１のメッセージが含まれる第２のメッセージと、第３のメッセージと、前記固定端末装置の識別子と、第４のメッセージ認証コードとが含まれる第４のメッセージを受信する受信ステップと、
    前記コンピュータが、メッセージの検証を行うメッセージ検証ステップと、
    前記コンピュータが、前記第１のメッセージ内の前記位置情報から導出される位置と前記第１のメッセージ内の前記時刻情報から導出される時刻とを検証する位置時刻検証ステップとを有し、
    前記メッセージ検証ステップにおいて、
    前記コンピュータが、
    前記第４のメッセージの検証を行い、
    前記第４のメッセージが正当である場合に、
    前記第４のメッセージ内の前記第４のメッセージ認証コードを用いて、前記第４のメッセージ内の前記第２のメッセージと前記第３のメッセージと前記固定端末装置の識別子とを検証し、
    前記第３のメッセージから、前記固定端末装置が前記移動端末装置から前記狭域通信により前記第２のメッセージを受信した際に前記測位衛星から受信した位置情報と時刻情報と第３のメッセージ認証コードとを抽出し、
    前記第３のメッセージ認証コードを用いて、前記位置情報と前記時刻情報とを検証し、
    前記第２のメッセージから、前記第１のメッセージと前記移動端末装置の識別子と第２のメッセージ認証コードとを抽出し、
    前記第２のメッセージ認証コードを用いて、前記第１のメッセージと前記移動端末装置の識別子とを検証し、
    前記第１のメッセージから、前記移動端末装置が前記測位衛星から受信した位置情報と時刻情報と第１のメッセージ認証コードとを抽出し、
    前記第１のメッセージ認証コードを用いて、前記位置情報と前記時刻情報とを検証し、
    前記位置時刻検証ステップにおいて、
    前記コンピュータが、
    前記メッセージ検証ステップによる検証が成功した場合に、
    前記第１のメッセージ内の前記位置情報から導出される位置と前記第１のメッセージ内の前記時刻情報から導出される時刻とを検証することを特徴とする検証方法。
11. 移動端末装置と狭域通信を行う固定端末装置から、測位衛星からの位置情報と時刻情報とが含まれる第１のメッセージが含まれる第２のメッセージと、第３のメッセージと、前記固定端末装置の識別子と、第４のメッセージ認証コードとが含まれる第４のメッセージを受信する受信ステップと、
    メッセージの検証を行うメッセージ検証ステップと、
    前記第１のメッセージ内の前記位置情報から導出される位置と前記第１のメッセージ内の前記時刻情報から導出される時刻とを検証する位置時刻検証ステップとをコンピュータに実行させるプログラムであって、
    前記メッセージ検証ステップにおいて、
    前記コンピュータに、
    前記第４のメッセージの検証を行わせ、
    前記第４のメッセージが正当である場合に、
    前記第４のメッセージ内の前記第４のメッセージ認証コードを用いて、前記第４のメッセージ内の前記第２のメッセージと前記第３のメッセージと前記固定端末装置の識別子とを検証させ、
    前記第３のメッセージから、前記固定端末装置が前記移動端末装置から前記狭域通信により前記第２のメッセージを受信した際に前記測位衛星から受信した位置情報と時刻情報と第３のメッセージ認証コードとを抽出させ、
    前記第３のメッセージ認証コードを用いて、前記位置情報と前記時刻情報とを検証させ、
    前記第２のメッセージから、前記第１のメッセージと前記移動端末装置の識別子と第２のメッセージ認証コードとを抽出させ、
    前記第２のメッセージ認証コードを用いて、前記第１のメッセージと前記移動端末装置の識別子とを検証させ、
    前記第１のメッセージから、前記移動端末装置が前記測位衛星から受信した位置情報と時刻情報と第１のメッセージ認証コードとを抽出させ、
    前記第１のメッセージ認証コードを用いて、前記位置情報と前記時刻情報とを検証させ、
    前記位置時刻検証ステップにおいて、
    前記コンピュータに、
    前記メッセージ検証ステップによる検証が成功した場合に、
    前記第１のメッセージ内の前記位置情報から導出される位置と前記第１のメッセージ内の前記時刻情報から導出される時刻とを検証させることを特徴とするプログラム。
    

Images