JP2022121204A - 情報処理システム - Google Patents

Abstract

【課題】データの暗号化又は復号のためにコンピュータで使用される暗号鍵が外部へ漏洩することを抑制できる情報処理システムを提供する。【解決手段】情報処理システム１は、データファイルを記憶する第１記録媒体１０、データファイルを暗号化又は復号するための暗号プログラムデータ２３ａと、暗号鍵を記憶する第２記録媒体２０と、コンピュータ４０と、を備える。コンピュータ４０は、暗号プログラムデータ２３ａを第２記録媒体から読み込み、揮発性メモリ４６に記憶させる。【選択図】図１

Description

本発明は、暗号化されたファイルが書き込まれた記録媒体を作製するための情報処理システムに関する。

特許文献１は、ナビゲーションユニットを開示する。特許文献１に開示のナビゲーションユニットは、ＳＤカードが装着された場合に、ＳＤカードから地図データを読み出し、モニタの表示画面に地図の画像を表示する。ＳＤカードには、地図データとともに更新権情報も記録されている。更新権情報は、ＳＤカードに記録されている地図データの更新の権利に関する情報である。ナビゲーションユニットには、暗号化鍵が登録されている。ナビゲーションユニットは、ＳＤカードから読み出した更新権情報から生成したナビセキュリティデータを暗号化鍵によって暗号化する。暗号化されたナビセキュリティデータは、ＳＤカードに記録される。

特許文献２は、情報処理装置とＩＣカードとを備える情報処理システムを開示する。情報処理装置は、使用者がＩＣカードの正当な使用者と認証した場合、ＩＣカードから読み出した暗号鍵のハッシュ値を暗号鍵に関連づけてＲＡＭ（Ｒａｎｄｏｍ Ａｃｃｅｓｓ Ｍｅｍｏｒｙ）に記憶する。ＲＡＭは、記憶しているデータを書き換えることができる揮発性のメモリである。情報処理装置は、使用者からフォルダの保存要求があった場合、暗号鍵でフォルダを暗号化して記憶する。情報処理装置は、使用者の操作によってログオフの状態になると、ＲＡＭに記憶しているＩＣカードから読み出した暗号鍵のデータを消去する。情報処理装置は、暗号化／復号アプリケーションプログラムを磁気ディスクに記憶する。

特開２０１１－１６９８２５号公報 特開２０１２－７４０７９号公報

一般的に、データの暗号化及び復号の少なくともいずれか一方を行うためのプログラムデータには、暗号鍵が含まれる。特許文献２に開示の情報処理装置は、電源が切られた場合でも暗号化／復号アプリケーションプログラムを磁気ディスクに記憶したままになる。そのため、特許文献２に開示の情報処理装置は、暗号化／復号アプリケーションプログラムに暗号化鍵が含まれる場合、電源が切られて正当な使用者が周囲にいない間に第三者によって暗号化鍵が暗号化／復号アプリケーションプログラムごと外部に持ち出されてしまう可能性がある。なお、特許文献１には、暗号鍵の漏洩対策について記載がない。

本発明は、データの暗号化又は復号のためにコンピュータで使用される暗号鍵が外部へ漏洩することを抑制できる情報処理システムを提供することを目的とする。

本開示の第一態様に係る情報処理システムは、第１記録媒体と、第２記録媒体と、コンピュータとを備える。第１記録媒体は、所定のデータファイルを記憶する。第２記録媒体は、暗号鍵を含む。第２記録媒体は、暗号プログラムデータを記憶する。暗号プログラムデータは、データファイルを暗号化する。又は、暗号プログラムデータは、データファイルを復号する。コンピュータは、第１記録媒体及び第２記録媒体からそれぞれデータを読み込む。コンピュータは、第２記録媒体から読み込んだ暗号プログラムデータを揮発性メモリに記憶させる。揮発性メモリは、電力が供給されることでデータを保持できる。コンピュータは、データファイルを第１記録媒体に記憶させる。データファイルは、コンピュータが揮発性メモリに記憶させた暗号プログラムデータで暗号化されている。又は、データファイルは、コンピュータが揮発性メモリに記憶させた暗号プログラムデータで復号されている。

第一態様の情報処理システムは、コンピュータの電源が切られた場合に、揮発性メモリから暗号鍵を含む暗号プログラムデータを自動的に消去できる。そのため、情報処理システムは、データファイルの暗号化又は復号のためにコンピュータで使用される暗号鍵が外部へ漏洩することを抑制できる。

本開示の第二態様に係る情報処理システムにおいて、コンピュータは、第２記録媒体から読み込んだ暗号プログラムデータを、不揮発性メモリに記憶させずに揮発性メモリにのみ記憶させる。不揮発性メモリは、電力が供給されなくてもデータを保持できる。

第二態様の情報処理システムは、コンピュータの電源が切られた場合に、揮発性メモリから暗号鍵を含む暗号プログラムデータを自動的に消去して、暗号鍵が外部へ漏洩することを抑制できる。

本開示の第三態様に係る情報処理システムにおいて、不揮発性メモリは、実行ファイルを記憶する。実行ファイルは、暗号プログラムデータに対応する。コンピュータは、実行ファイルが実行された場合、暗号プログラムデータを第２記録媒体から読み込んで揮発性メモリに記憶させる。

第三態様の情報処理システムは、コンピュータの詳細な構成を考慮することなく作成された暗号プログラムデータを使用できる。

本開示の第四態様に係る情報処理システムにおいて、コンピュータは、媒体特定情報を実行ファイルに基づいて第１記録媒体から取得する。媒体特定情報は、２以上の第１記録媒体をそれぞれ識別するための情報である。コンピュータは、媒体特定情報を書き込んだデータファイルを、暗号プログラムデータで暗号化する。又は、コンピュータは、媒体特定情報を書き込んだデータファイルを、暗号プログラムデータで復号する。

第四態様の情報処理システムは、媒体特定情報の取得方法を詳細に考慮することなく作成された暗号化プログラムデータを使用できる。

本発明によれば、データファイルの暗号化又は復号のためにコンピュータで使用される暗号鍵が外部へ漏洩することを抑制できる。

本発明の一実施形態である情報処理システムの構成図。 第１記録媒体及び第３記録媒体がそれぞれ記憶するデータを示す図。 本実施形態の情報処理システムで実行される処理の工程図。 第１記録媒体を使用するナビゲーション装置の構成図。 更新工程で実行される処理のイメージを示す図。 更新工程で実行される処理の工程図。 ナビゲーション装置の起動処理を示すフローチャート。

≪第１記録媒体の作製方法について≫
図１に示すように、本発明の一実施形態である情報処理システム１は、第１記録媒体１０と、第２記録媒体２０と、第３記録媒体３０と、コンピュータ４０とを備える。第１記録媒体１０は、第１媒体管理部１１と、第１記憶部１２と、第１制御部１３とを備える。第２記録媒体２０は、第２記憶部２１と、第２制御部２２とを備える。第３記録媒体３０は、第３媒体管理部３１と、第３記憶部３２と、第３制御部３３とを備える。コンピュータ４０は、第１インターフェース４１と、第２インターフェース４２と、第３インターフェース４３と、記憶装置４４と、制御装置４５とを備える。記憶装置４４は、揮発性メモリ４６と、不揮発性メモリ４７とを備える。

本実施形態の情報処理システム１は、図２に示す地図データ１４と所定のデータファイル１５とが書き込まれた第１記録媒体１０を２以上作製するためのシステムである。情報処理システム１は、図３に示すコピー工程Ｓ１と更新工程Ｓ２とを実行して、第１記録媒体１０を作製する。

第１記録媒体１０は、例えば、図４に示すようなナビゲーション装置５０と組み合わせて利用される。第１記録媒体１０とナビゲーション装置５０とはナビゲーションシステム２を構成する。本実施形態において、情報処理システム１は、ナビゲーション装置５０の製造に関わる組織からの依頼を受けて、第１記録媒体１０の製造元で実施される。情報処理システム１で作製される第１記録媒体１０は、例えばナビゲーション装置５０の製造業者や販売業者が正規と認めた純正品である。本実施形態において、第１記録媒体１０は、ナビゲーション装置５０とセットで、又は、単体で販売される。

本実施形態において、第１記録媒体１０及び第３記録媒体３０は、ＳＤ（ｓｅｃｕｒｅ ｄｉｇｉｔａｌ）カードである。第１記録媒体１０は、第１インターフェース４１を介して、コンピュータ４０と電気的に接続される。第３記録媒体３０は、第３インターフェース４３を介して、コンピュータ４０と電気的にそれぞれ接続される。なお、第１記録媒体１０及び第３記録媒体３０は、コンピュータ４０又はナビゲーション装置５０にデータを読み込ませることができれば、ＳＤカードに限定されない。第１記録媒体１０及び第３記録媒体３０は、microＳＤカード、nanoＳＤカード、ＵＳＢ（Ｕｎｉｖｅｒｓａｌ Ｓｅｒｉａｌ Ｂｕｓ）メモリ、又は、ＣＤ－Ｒ（Ｃｏｍｐａｃｔ Ｄｉｓｃ Ｒｅｃｏｒｄａｂｌｅ）等であってもよい。第１記録媒体１０及び第３記録媒体３０は、本実施形態において同じ種類であるが、それぞれ異なる種類であってもよい。

第１記録媒体１０は、一般的な市販の記録媒体と同様に、第１記憶部１２に記憶された各データが一般的なパーソナルコンピュータによって読み取られる構成である。また、ナビゲーション装置５０のユーザにとって、地図データ１４はバージョンが新しいほど好ましい。バージョンの古い地図データ１４は、バージョンの新しい地図データ１４よりも、ナビゲーション装置５０のユーザにとって不都合が生じやすくなる。例えば、バージョンの古い地図データ１４は、新しく設置された道路に対応する道路情報、及び、新しく建設された施設に対応する施設情報を含まない。この場合、ナビゲーション装置５０は、新しい道路を通る経路を探索することや、新しい施設を目的地に設定することができない。

ナビゲーション装置５０は、地図データ１４のセキュリティ対策として、純正品が装着された場合にのみナビゲーション機能を実行するように設計される。ナビゲーション装置５０は、純正品のうち、第１記憶部１２に記憶されたデータが不正に書き換えられていない純正品が装着された場合にナビゲーション機能を実行するように設計される。またナビゲーション装置５０は、純正品のうち、他のナビゲーション装置５０で使用されていない純正品が装着された場合にナビゲーション機能を実行するように設計される。すなわち、ナビゲーション装置５０は、純正品から地図データ１４が不正にコピーされた記録媒体を利用できないように設計される。ナビゲーション装置５０は、第１記憶部１２に記憶されたデータが例えばユーザによって不正に書き換えられた純正品を利用できないように設計される。ナビゲーション装置５０は、たとえナビゲーション装置５０と同じモデルであっても他のナビゲーション装置５０で使用された純正品を利用できないように設計される。

データファイル１５は、第１記録媒体１０が純正品であることを示すファイルである。ナビゲーション装置５０は、データファイル１５に含まれる各情報に基づき、第１記録媒体１０が純正品か否か判断する。ナビゲーション装置５０は、データファイル１５に含まれる各情報に基づき、第１記録媒体１０が他のナビゲーション装置５０で使用されたか否か判断する。本実施形態において、ナビゲーション装置５０は、データファイル１５に含まれる各情報に基づき、第１記録媒体１０が他のナビゲーション装置５０で使用されていない純正品か否か判断する。データファイル１５は、各情報が第三者によって不正に書き換えられることを抑制するため、暗号化されている。

本実施形態の情報処理システム１は、データファイル１５を暗号化及び復号するための暗号鍵のセキュリティ対策を行いながら、ナビゲーション装置５０で利用できる第１記録媒体１０を作製できる。なお、以下、参照符号なしで記載された記録媒体及び記録媒体の構成要素は、純正品以外の記録媒体及びその構成要素を示す。

第１媒体管理部１１は、媒体特定情報を記憶する。媒体特定情報は、２以上の第１記録媒体１０をそれぞれ識別するための情報である。媒体特定情報は、任意の文字列を示す。文字列には、例えば、数字、文字、記号等の少なくともいずれか１つが含まれる。第１媒体管理部１１に記憶される媒体特定情報は、２以上の第１記録媒体１０でそれぞれ異なる文字列に設定される。本実施形態において、媒体特定情報は、図３に示すコピー工程Ｓ１が実行される前に、第１記録媒体１０の製造元によって第１媒体管理部１１に書き込まれる。

第１媒体管理部１１は、所定の条件を満たす場合にのみ、例えばコンピュータ４０等の装置が媒体特定情報を読み込めるように構成される。第１媒体管理部１１は、所定の条件を満たす場合にのみ、媒体特定情報の書き換えができるように構成される。本実施形態において、所定の条件は、第１記録媒体１０の製造元によって決められる。所定の条件は、例えば、第１媒体管理部１１に対応する所定の管理プログラムを利用することである。

本実施形態において、媒体特定情報は、情報処理システム１で作製された第１記録媒体１０であることを示す特定の情報を含む。特定の情報は、例えば、ナビゲーション装置５０と対応付けて設定される。特定の情報は、例えば、ナビゲーション装置５０を製造する組織名、ナビゲーション装置５０の製品名、又は、ナビゲーション装置５０が搭載される車両６０の製品名を示す。

第１記憶部１２は、地図データ１４とデータファイル１５とを記憶する。第１記憶部１２は、例えば、フラッシュメモリ等の半導体メモリ素子によって構成される。

本実施形態において、地図データ１４及びデータファイル１５は、コピー工程Ｓ１において第３記録媒体３０から２以上の第１記録媒体１０にそれぞれそのままコピーされる。第３記憶部３２は、地図データ１４とデータファイル１５とが予め記憶されている。第３記憶部３２が記憶するデータのうち、データファイル１５は暗号化されている。なお、情報処理システム１は、コピー工程Ｓ１で第３記録媒体３０を使用しない構成であってもよい。例えば、地図データ１４及びデータファイル１５は、不揮発性メモリ４７に予め記憶されて、コピー工程Ｓ１において不揮発性メモリ４７から第１記録媒体１０にそれぞれコピーされてもよい。

本実施形態において、第３記録媒体３０は、ナビゲーション装置５０の製造に関わる組織から、第１記録媒体１０の製造元に提供される。本実施形態において、第３記憶部３２が記憶する地図データ１４は、第３記録媒体３０が第１記録媒体１０の製造元に提供される時点での最新バージョンの地図データ１４である。

地図データ１４は、ナビゲーション装置５０が地図の表示及び経路案内等を行う場合に利用される。地図データ１４は、道路情報及び施設情報等を含む。道路情報は、ノードとリンクの組み合わせで表される。ノードは、交差点や道路の末端等に設定される。リンクは、隣り合うノードをつなぐ位置に設定される。施設情報は、例えば、建物の位置及び種類、並びにＰＯＩ（ｐｏｉｎｔ ｏｆ ｉｎｔｅｒｅｓｔ）の位置及び種類等を示す。

地図データ１４は、例えば、複数のパーセルにそれぞれ対応するデータによって構成される。パーセルは、緯度及び経度に基づき、地表を所定のサイズの矩形に区割りして設定される。

図２に示すように、第３記憶部３２からコピーされて第１記憶部１２に書き込まれたデータファイル１５の各情報は、順次変化する。データファイル１５は、第１記録媒体１０が作製される過程において、コピー工程Ｓ１の後から更新工程Ｓ２の前までの間、第１任意情報と第２任意情報とバージョン情報とを含む。第１任意情報及び第２任意情報は、それぞれ任意の文字列を示す。第１任意情報と第２任意情報とは、それぞれ異なる文字列に設定される。本実施形態において、第１任意情報及び第２任意情報は、ナビゲーション装置５０の製造に関わる組織によって設定される。バージョン情報は、第３記憶部３２が記憶する地図データ１４のバージョン、すなわち、第１記憶部１２に書き込まれた地図データ１４のバージョンを示す。データファイル１５は、更新工程Ｓ２の後において、第１任意情報と媒体特定情報とバージョン情報とを含む。データファイル１５は、第１記録媒体１０がナビゲーション装置５０で利用される過程において、ロック処理される前までは変化がない。データファイル１５は、ロック処理の後において、車両特定情報と媒体特定情報とバージョン情報とを含む。

ロック処理は、ナビゲーション装置５０が第１記録媒体１０に対して実行する処理である。第１記録媒体１０は、ロック処理によって車両特定情報が書き込まれることで、特定のナビゲーション装置５０に紐づけられる。ナビゲーション装置５０は、データファイル１５に含まれる各情報のうち車両特定情報に基づいて、他のナビゲーション装置５０で使用されていない純正品を判別する。ロック処理は、後で詳述する。

第１制御部１３は、第１媒体管理部１１と第１記憶部１２とをそれぞれ制御する。第１制御部１３は、例えばコントローラで構成される。

第２記録媒体２０は、暗号鍵のセキュリティ対策のために、更新工程Ｓ２で利用される。第２記憶部２１には、更新プログラム２３とライセンス情報２４とが予め記憶されている。本実施形態において、第２記録媒体２０は、ナビゲーション装置５０の製造に関わる組織から、第１記録媒体１０の製造元に提供される。第２記憶部２１は、例えば、フラッシュメモリ等の半導体メモリ素子によって構成される。なお、第２記録媒体２０は、少なくとも更新プログラム２３が予め記憶されていればよく、ライセンス情報２４が記憶されていなくてもよい。

更新プログラム２３は、データファイル１５を更新するためのプログラムである。更新プログラム２３は、図１に示すように、暗号プログラムデータ２３ａを含む。本実施形態において、暗号プログラムデータ２３ａは、データファイル１５を復号及び暗号化するためのプログラムデータである。暗号プログラムデータ２３ａは、暗号鍵を含む。本実施形態において、暗号鍵は共通鍵である。

本実施形態において、更新プログラム２３は、単体ではコンピュータ４０を制御できない。更新プログラム２３は、実行ファイル４８が実行された場合、第２記憶部２１から読み込まれて揮発性メモリ４６に記憶され、データファイル１５の復号及び暗号化等の処理を制御装置４５に実行させる。なお、暗号プログラムデータ２３ａは、データファイル１５の暗号化及び復号の少なくともいずれか一方を行うためのプログラムデータであればよい。更新プログラム２３は、他のプログラムに呼び出されて何らかの機能を提供するライブラリのような構成である。

なお、暗号プログラムデータ２３ａは、第３記憶部３２に記憶されたデータファイル１５と全く同じデータファイル１５に対して更新工程Ｓ２で更新処理を行うように設計される。前述のように、データファイル１５は、コピー工程Ｓ１において、第３記録媒体３０から第１記録媒体１０にそのままコピーされる。そのため、制御装置４５は、コピー工程Ｓ１で第１記憶部１２にコピーされたデータファイル１５が更新工程Ｓ２の前までに何らかの理由で書き換えられた場合には、データファイル１５を認識できず、暗号プログラムデータ２３ａに基づく処理を行えない可能性がある。

第２制御部２２は、第２記憶部２１を制御する。第２制御部２２は、第２記憶部２１への情報の書き込みと、第２記憶部２１からの情報の読み込みを行う。第２制御部２２は、例えばコントローラで構成される。

本実施形態において、第２記録媒体２０は、ＵＳＢメモリである。第２記録媒体２０は、第２インターフェース４２を介して、コンピュータ４０と電気的に接続される。なお、第２記録媒体２０は、コンピュータにデータを読み込ませることができれば、ＵＳＢメモリに限定されない。第２記録媒体２０は、ＳＤカード、microＳＤカード、nanoＳＤカード又はＣＤ－Ｒ等であってもよい。本実施形態において、第２記録媒体２０は、第１記録媒体１０及び第３記録媒体３０と異なる種類であるが、第１記録媒体１０又は第３記録媒体３０と同じ種類であってもよい。

コンピュータ４０は、第１記録媒体１０と第２記録媒体２０と第３記録媒体３０とがそれぞれ着脱できるように構成される。本実施形態において、第１インターフェース４１及び第３インターフェース４３は、それぞれ、ＳＤカードインターフェースである。第１インターフェース４１は、第１記録媒体１０からデータを読み込むことができれば、ＳＤカードインターフェース以外のインターフェースであってもよい。又はコンピュータ４０は、他の装置を介して、第１記録媒体１０、第２記録媒体２０又は第３記録媒体３０からデータの読み取り及び書き込みを行う構成であってもよい。本実施形態において、第１インターフェース４１は、２以上の第１記録媒体１０を同時に接続できるように構成される。第３インターフェース４３は、第３記録媒体３０からデータを読み込むことができれば、ＳＤカードインターフェース以外のインターフェースであってもよい。本実施形態において、第２インターフェース４２は、ＵＳＢメモリインターフェースである。第２インターフェース４２は、第２記録媒体２０からデータを読み込むことができれば、ＵＳＢメモリインターフェース以外のインターフェースであってもよい。

揮発性メモリ４６は、制御装置４５によって実行中のプログラムコードやこの処理に必要なデータを一時的に保存する。揮発性メモリ４６は、主記憶装置である。揮発性メモリ４６は、データを保持するために電力を必要とする。そのため、揮発性メモリ４６に記憶されたデータは、コンピュータ４０の電源が切られた場合、全て消去される。揮発性メモリ４６は、例えば、ＲＡＭによって構成される。

不揮発性メモリ４７は、制御装置４５が各種の処理を実行するために必要なデータを保存する。不揮発性メモリ４７は、補助記憶装置である。不揮発性メモリ４７は、データを保持するために電力を必要としない。不揮発性メモリ４７は、コンピュータ４０の電源が切られた場合でも、データを保持する。不揮発性メモリ４７は、例えば、フラッシュメモリ等の半導体メモリ素子又はハードディスク等で構成される。

不揮発性メモリ４７は、実行ファイル４８が予め記憶されている。実行ファイル４８は、更新工程Ｓ２で実行される処理のうち、暗号鍵を必要としない処理をコンピュータ４０に実行させるためのプログラムである。更新工程Ｓ２で暗号鍵を必要としない処理は、例えば、第１媒体管理部１１から媒体特定情報を読み取る処理、第１記憶部１２からデータファイル１５を読み取る処理、第２記憶部２１から更新プログラム２３を読み込む処理、及び、更新されたデータファイル１５を第１記憶部１２に書き戻す処理等である。

実行ファイル４８は、第１媒体管理部１１から媒体特定情報を読み取るための所定の条件に対応する。実行ファイル４８は、第１媒体管理部１１から媒体特定情報を読み取れるよう、例えば、第１媒体管理部１１に対応する所定の管理プログラムが組み込まれる。また実行ファイル４８は、制御装置４５が第１記憶部１２からデータファイル１５を読み取れるよう、第１記録媒体１０及びデータファイル１５に対応付けて設計される。本実施形態において、実行ファイル４８は第１記録媒体１０の製造元で作成される。

制御装置４５は、第１インターフェース４１と、第２インターフェース４２と、第３インターフェース４３と、記憶装置４４とをそれぞれ制御する。制御装置４５は、例えば、ＣＰＵ（Ｃｅｎｔｒａｌ Ｐｒｏｃｅｓｓｉｎｇ Ｕｎｉｔ）又はＭＰＵ（Ｍｉｃｒｏ Ｐｒｏｃｅｓｓｉｎｇ Ｕｎｉｔ）である。

制御装置４５は、コピー工程Ｓ１において、第３記憶部３２から地図データ１４及びデータファイル１５を読み込むように第３インターフェース４３を制御する。制御装置４５は、読み込んだ地図データ１４及びデータファイル１５が２以上の第１記録媒体１０にそれぞれ記憶されるように第１インターフェース４１を制御する。これによって、２以上の第１記録媒体１０には、それぞれ、地図データ１４と暗号化されたデータファイル１５とが記憶される。

また制御装置４５は、更新工程Ｓ２において、図１及び図５に示す実行ファイル４８と更新プログラム２３とに基づき、更新処理を実行する。

具体的に、制御装置４５は、図５及び図６のステップＳ５において、実行ファイル４８に基づき、第１記憶部１２からデータファイル１５を読み込むように第１インターフェース４１を制御する。また制御装置４５は、第１媒体管理部１１から媒体特定情報を読み込むように第１インターフェース４１を制御する。

制御装置４５は、ステップＳ６において、実行ファイル４８に基づき、ライセンス情報２４を第２記憶部２１から読み込むように第２インターフェース４２を制御する。制御装置４５は、ライセンス情報２４を承認した場合、実行ファイル４８に基づき、第２記憶部２１から更新プログラム２３を読み込み、読み込んだ更新プログラム２３が揮発性メモリ４６に記憶されるように、第２インターフェース４２及び揮発性メモリ４６を制御する。なお、第２記録媒体２０にライセンス情報２４が記憶されていない場合、制御装置４５は、ステップＳ６において、ライセンス情報２４に基づいた承認を行うことなく、第２記憶部２１から更新プログラム２３の読み込みを行う。

制御装置４５は、図６のステップＳ７において、暗号プログラムデータ２３ａに基づき、ステップＳ５で読み込んだデータファイル１５を復号する。

制御装置４５は、ステップＳ８において、ステップＳ５で読み込んだ媒体特定情報とステップＳ６で読み込んだ更新プログラム２３とに基づき、データファイル１５に含まれる第２任意情報を媒体特定情報に変更するように揮発性メモリ４６を制御する。

制御装置４５は、ステップＳ９において、暗号プログラムデータ２３ａに基づいてデータファイル１５を暗号化する。本実施形態において、ステップＳ９でデータファイル１５を暗号化するための暗号鍵は、ステップＳ７でデータファイル１５を復号した暗号鍵と同一である。

なお、ステップＳ９でデータファイル１５の暗号化に利用される暗号鍵は、ナビ記憶部５２に記憶される暗号鍵と同一であれば、ステップＳ７でデータファイル１５の復号に利用される暗号鍵と異なっていてもよい。暗号化と復号とで暗号鍵が異なる場合、暗号プログラムデータ２３ａは、２つの異なる暗号鍵を含む必要がある。またこの場合、第３記録媒体３０において、データファイル１５は、ステップＳ７でデータファイル１５の復号に利用される暗号鍵と同一の暗号鍵で暗号化される必要がある。なお暗号鍵は、共通鍵に限定されず、例えば公開鍵又は秘密鍵であってもよい。

制御装置４５は、図５及び図６のステップＳ１０において、実行ファイル４８に基づき、ステップＳ９で暗号化したデータファイル１５を第１記録媒体１０に書き込むように第１インターフェース４１を制御する。

このように、制御装置４５は、更新工程Ｓ２において第１記憶部１２に記憶されたデータファイル１５の更新を行う。これによって、情報処理システム１は、第１媒体管理部１１とデータファイル１５に同一の媒体特定情報を含む第１記録媒体１０を作製できる。前述のように、ナビゲーション装置５０は、純正品が装着された場合にのみ、ナビゲーション機能を実行するように構成される。純正品であることの条件の１つが、データファイル１５に含まれる媒体特定情報と第１媒体管理部１１に記憶された媒体特定情報とが一致することである。情報処理システム１は、データファイル１５に含まれる第２任意情報を更新工程Ｓ２で媒体特定情報に変更することで、ナビゲーション装置５０で利用できる第１記録媒体１０を得ることができる。

なお、制御装置４５は、第１記録媒体１０ごとに固有の情報であれば、更新工程Ｓ２で第２任意情報を媒体特定情報以外の情報に変更してもよい。第２任意情報が媒体特定情報以外の情報に変更される場合、ナビゲーション装置５０は、更新工程Ｓ２で第２任意情報から変更される情報をナビ記憶部５２に予め記憶する必要がある。

以上のように本実施形態の情報処理システム１は、第１記録媒体１０と、第２記録媒体２０と、コンピュータ４０とを備える。第１記録媒体１０は、所定のデータファイル１５を記憶する。第２記録媒体２０は、暗号プログラムデータ２３ａを記憶する。暗号プログラムデータ２３ａは、暗号鍵を含む。暗号プログラムデータ２３ａは、データファイル１５を暗号化及び復号する。コンピュータ４０は、第１記録媒体１０及び第２記録媒体２０からそれぞれデータを読み込む。コンピュータ４０は、第２記録媒体２０から読み込んだ暗号プログラムデータ２３ａを揮発性メモリ４６に記憶させる。揮発性メモリ４６は、電力が供給されることでデータを保持できる。コンピュータ４０は、揮発性メモリ４６に記憶させた暗号プログラムデータ２３ａで暗号化したデータファイル１５を第１記録媒体１０に記憶させる。

暗号プログラムデータ２３ａは、不揮発性メモリ４７に記憶されずに揮発性メモリ４６に記憶されるので、コンピュータ４０の電源が切られた場合に、記憶装置４４から自動的に削除される。したがって、情報処理システム１は、電源が切られているコンピュータ４０から、例えば、悪意ある第３者によって、暗号プログラムデータ２３ａが持ち出されることを抑制できる。また第２記録媒体２０は、ＵＳＢメモリ等の比較的小さいサイズで構成されることで、更新工程Ｓ２が行われない間はセキュリティの厳重な場所に簡単に保管できる。そのため、情報処理システム１は、データファイル１５の暗号化及び復号のためにコンピュータ４０で用いられる暗号鍵が外部へ漏洩することを抑制できる。

また本実施形態の情報処理システム１において、不揮発性メモリ４７は、所定の実行ファイル４８を記憶する。実行ファイル４８は、暗号プログラムデータ２３ａに対応する。コンピュータ４０は、実行ファイル４８が実行された場合、暗号プログラムデータ２３ａを第２記録媒体２０から読み込んで揮発性メモリ４６に記憶させる。

また本実施形態の情報処理システム１において、コンピュータ４０は、媒体特定情報を実行ファイル４８に基づいて第１記録媒体１０から取得する。媒体特定情報は、２以上の第１記録媒体１０をそれぞれ識別するための情報である。コンピュータ４０は、媒体特定情報を書き込んだデータファイル１５を、暗号プログラムデータ２３ａで暗号化する。

実行ファイル４８は、第１媒体管理部１１から媒体特定情報を読み取るための所定の条件に対応し、かつ、暗号鍵を含まない。そのため、暗号鍵は、実行ファイル４８の作成に不要である。また暗号プログラムデータ２３ａは、暗号鍵を含み、かつ、第１媒体管理部１１から媒体特定情報を読み取るための所定の条件に対応しない。そのため、第１媒体管理部１１から媒体特定情報を読み取るための所定の条件は、暗号プログラムデータ２３ａの作成に不要である。本実施形態において、実行ファイル４８は第１記録媒体１０の製造元によって作成され、暗号プログラムデータ２３ａはナビゲーション装置５０の製造に関わる組織によって作成されて第１記録媒体１０の製造元に提供されるので、所定の条件及び暗号鍵は、異なる組織間で共有される必要がない。このことからも、本実施形態の情報処理システム１は、暗号鍵が外部に漏洩することを抑制できる。

なお、本実施形態において、情報処理システム１は、１台のコンピュータ４０でコピー工程Ｓ１と更新工程Ｓ２とを実行したが、異なる２台のコンピュータ４０でコピー工程Ｓ１と更新工程Ｓ２とをそれぞれ実行してもよい。

≪第１記録媒体１０の利用について≫
図４に示すナビゲーション装置５０は、ナビ表示部５１と、ナビ記憶部５２と、入出力部５３と、ナビインターフェース５４と、ナビ制御部５５と、ナビ通信部５９とを備える。ナビ制御部５５は、判断部５６と、走行距離取得部５７と、データ処理部５８とを有する。ナビゲーション装置５０は、地図出力装置に相当する。

ナビ表示部５１は、第１記録媒体１０に記憶された地図データ１４に基づき、地図を表示する。ナビ表示部５１は、例えば、液晶ディスプレイである。

ナビ記憶部５２は、ナビゲーション機能及び地図データ１４の更新等に関する各種の情報を記憶している。本実施形態において、ナビ記憶部５２には、暗号鍵と第１任意情報とナビプログラムとが予め記憶されている。

ナビ記憶部５２に予め記憶されている暗号鍵は、図１及び図５に示す暗号プログラムデータ２３ａに含まれる暗号鍵と同一である。ナビゲーション装置５０は、データファイル１５及び図２に示すライセンスファイル１６に暗号鍵を適用する。本実施形態において、データファイル１５に適用する暗号鍵と、ライセンスファイル１６に適用する暗号鍵とは、共通である。なお、データファイル１５に適用する暗号鍵と、ライセンスファイル１６に適用する暗号鍵とは、それぞれ異なっていてもよい。この場合、ナビ記憶部５２は、データファイル１５に適用する暗号鍵と、ライセンスファイル１６に適用する暗号鍵とが予め記憶される。

ライセンスファイル１６は、第１記憶部１２に記憶された地図データ１４を更新できる期限を管理するためのファイルである。図２に示すように、ライセンスファイル１６は、ロック処理の前では、車両特定情報と媒体特定情報とバージョン情報とを含む。ライセンスファイル１６は、ロック処理の後では、車両特定情報と媒体特定情報とバージョン情報とフラグ情報とを含む。

ライセンスファイル１６は、所定のタイミングでデータ処理部５８によって作成されて第１記憶部１２に記憶される。データ処理部５８は、例えば、入出力部５３を介して取得された機器識別情報、第１媒体管理部１１が記憶する媒体特定情報及び第１記憶部が記憶する地図データ１４に基づき、ライセンスファイル１６を作成する。フラグ情報は、第１記録媒体１０がロック処理されたことを表す。ロック処理が実行された後に作成されるライセンスファイルには、フラグ情報が含まれる。なお、ライセンスファイルにフラグ情報が含まれることは、フラグの集合を表す数値データの領域からビットが取得されることで判断される。なお、データ処理部５８は、ロック処理の前において、車両特定情報の代わりに第１任意情報を含むライセンスファイル１６を作成する構成であってもよい。この構成の場合、ナビ記憶部５２は、第１任意情報を予め記憶する。

第１記憶部１２に記憶された地図データ１４は、ライセンスファイル１６に基づき、所定のタイミングで新しいバージョンの地図データ１４に更新される。地図データ１４の更新は、ナビゲーション装置５０、又は、ユーザの図示しないパーソナルコンピュータによって行われる。ユーザのパーソナルコンピュータは、例えばユーザが個人的に所有する一般的なパーソナルコンピュータである。ナビゲーション装置５０は、例えば月に１回などの所定の時間間隔で、地図データ１４の更新のための処理を自動的に行う。ユーザのパーソナルコンピュータは、例えば毎年、ユーザに操作されて地図データ１４の更新のための処理を行う。地図データ１４の更新には、ユーザのパーソナルコンピュータとインターネットで接続されたサーバ７０が利用される。

ナビ記憶部５２に記憶されたナビプログラムは、ナビゲーション装置５０の起動、第１記憶部１２に記憶された地図データの更新、及び、第１媒体管理部１１から媒体特定情報の読み出し等を行う。

ナビ記憶部５２は、例えば、ＲＡＭ、フラッシュメモリ等の半導体メモリ素子、又は、ハードディスク、光ディスク等で構成される。

入出力部５３は、ナビゲーション装置５０が搭載された車両６０とナビゲーション装置５０との間で、データの入力及び出力を行う。入出力部５３は、Ｉ／Ｏ（Ｉｎｐｕｔ／Ｏｕｔｐｕｔ）インターフェースによって実現される。

ナビゲーション装置５０は、入出力部５３を介して、車両６０に備わる種々のカーナビ用センサや入出力デバイスと接続される。カーナビ用センサとしては、ＧＰＳ（Ｇｌｏｂａｌ Ｐｏｓｉｔｉｏｎｉｎｇ Ｓｙｓｔｅｍ）受信機６１、方位センサ６２及び距離センサ６３等が挙げられる。ＧＰＳ受信機６１は、ＧＰＳ衛星からのＧＰＳ信号を受信する。方位センサ６２は、車両６０の進行方位又はその進行方位の変化を検出する。距離センサ６３は、車両６０の速度や走行距離を検出する。

ナビインターフェース５４は、ナビゲーション装置５０と第１記録媒体１０との間でデータの交換を行う。ナビインターフェース５４は、第１記録媒体１０を挿入できるように構成される。本実施形態において、ナビインターフェース５４は、ＳＤホストモジュールである。ナビインターフェース５４は、第１記録媒体１０からデータを読み込むことができれば、ＳＤホストモジュールに限定されない。

ナビ制御部５５は、ナビゲーション装置５０に備わる各装置を制御する。

ナビ制御部５５は、ナビインターフェース５４に挿入された第１記録媒体１０が、他のナビゲーション装置５０で使用されていない純正品として承認された場合、第１記憶部１２から地図データ１４を読み込むようにナビインターフェース５４を制御する。ナビ制御部５５は、読み込んだ地図データ１４を利用して、車両６０の現在地、及び、車両６０の現在地から目的地までの経路を表示するようにナビ表示部５１を制御する。

判断部５６は、純正品を判別するための判断を行う。判断部５６は、第１記憶部１２に記憶されたデータが不正に書き換えられていない純正品を判別するための判断を行う。判断部５６は、他のナビゲーション装置５０で使用されていない純正品を判別するための判断を行う。

判断部５６は、まず、第１記録媒体１０にデータファイル１５が記憶されているか否か判断する。データファイル１５が記憶されていない記録媒体は、純正品ではない。又は、データファイル１５が記憶されていない第１記録媒体１０は、第１記憶部１２に記憶されたデータが不正に書き換えられた純正品である。第１記録媒体１０にデータファイル１５が記憶されている場合、判断部５６は、第１記録媒体１０から読み込んだデータファイル１５が適正か否か判断する。判断部５６は、データファイル１５に含まれる各情報に基づき、データファイル１５が適正か否か判断する。判断部５６は、データファイル１５が適正の場合に、ナビゲーション装置を起動させるように構成される。なお、判断部５６は、データファイル１５に含まれる各情報を読み取る場合、ナビ記憶部５２に記憶されている暗号鍵でデータファイル１５を復号する。

判断部５６は、データファイル１５が適正か否か判断するため、具体的に、データファイル１５に含まれる媒体特定情報と、第１媒体管理部１１に記憶された媒体特定情報とが一致するか否か判断する。例えば、純正品からデータファイル１５が不正にコピーされた記録媒体は、データファイル１５に含まれる媒体特定情報と、第１媒体管理部１１に記憶された媒体特定情報とが一致しない。ナビ制御部５５は、各媒体特定情報が一致しない場合、ナビゲーション装置５０を起動させないように構成される。

また判断部５６は、データファイル１５に含まれるバージョン情報と、地図データ１４に含まれるバージョン情報とが一致するか否か判断する。例えば、他の純正品から最新の地図データ１４が不正にコピーされた純正品は、データファイル１５に含まれるバージョン情報と、地図データ１４に含まれるバージョン情報とが一致しない可能性がある。ナビ制御部５５は、各バージョン情報が一致しない場合、ナビゲーション装置５０を起動させないように構成される。

判断部５６は、ナビインターフェース５４に第１記録媒体１０が挿入されるたびに、媒体特定情報及びバージョン情報に関する上記判断を行う。

さらに判断部５６は、ロック処理がまだ実行されておらず、データファイル１５に第１任意情報が含まれる第１記録媒体１０に対しては、データファイル１５に含まれる第１任意情報とナビ記憶部５２に記憶された第１任意情報とが一致するか否か判断する。又は判断部５６は、ロック処理が実行され、データファイル１５に車両特定情報を含む第１記録媒体１０に対しては、データファイル１５に含まれる車両特定情報と、ナビ制御部５５が機器識別情報に基づいて作成した文字列の情報とが一致するか否か判断する。ナビ制御部５５は、各第１任意情報が一致しない場合、ナビゲーション装置５０を起動させないように構成される。ナビ制御部５５は、データファイル１５に含まれる車両特定情報と、ナビ制御部５５が機器識別情報に基づいて作成した文字列の情報とが一致しない場合、ナビゲーション装置５０を起動させないように構成される。例えば他のナビゲーション装置５０でロック処理された第１記録媒体１０は、データファイル１５に含まれる車両特定情報と、データ処理部５８が作成した文字列の情報とが一致しないため、判断部５６に認証されない。

車両特定情報は、ナビゲーション装置５０を搭載する車両６０を特定するための情報である。車両特定情報は、任意の文字列を示す。車両特定情報は、２以上の車両６０でそれぞれ異なる文字列に設定される。データファイル１５は、第１記録媒体１０がロック処理された場合に車両特定情報を含むようになるため、「車両特定ファイル」とも呼ばれる。またデータファイル１５に含まれる各情報のうち、第１任意情報は、最初は２以上の第１記録媒体１０で同一の情報のため「初期値」とも呼ばれる。

データ処理部５８は、所定のタイミングで、車両特定情報を作成するように構成される。本実施形態において、データ処理部５８は、機器識別情報に基づいて車両特定情報を作成する。機器識別情報は、車両６０がそれぞれ有する固有でユニークな情報で、車両６０ごとにそれぞれ異なる。機器識別情報は、例えば、ナビゲーション装置５０の製造番号、車両６０の製造番号、車両６０に搭載された通信機器の製造番号等である。データ処理部５８は、入出力部５３を介して取得した機器識別情報から、例えばハッシュ化によって車両特定情報を作成する。

判断部５６は、ライセンスファイル１６が記憶された第１記録媒体１０がナビインターフェース５４に挿入された場合、ライセンスファイル１６に含まれる各情報が現状と一致するか否か判断する。判断部５６は、例えば、ナビ記憶部５２に予め記憶されている第１任意情報又は入出力部５３を介して取得される機器識別情報、並びに、第１媒体管理部１１に記憶された媒体特定情報及び第１記憶部１２に記憶された地図データ１４の少なくともいずれか１つに基づいて判断する。なお、判断部５６は、ライセンスファイル１６に含まれる各情報を読み込む場合、ナビ記憶部５２に予め記憶されている暗号鍵でライセンスファイル１６を復号する。

なお、ライセンスファイル１６は地図データ１４の更新のためのデータであるため、判断部５６は、ライセンスファイル１６に含まれる各情報が現状と一致しない場合であっても、データファイル１５が適正であればナビゲーション装置５０を起動させる。

走行距離取得部５７は、距離センサ６３から走行距離情報を取得するように入出力部５３を制御する。走行距離情報は、車両６０の走行距離を示す情報である。走行距離は、車両６０が未使用の時点から走行した距離の累計を意味する。

判断部５６は、ロック処理のため、走行距離取得部５７によって取得された走行距離情報が所定値を超えたか否か判断する。さらに判断部５６は、データファイル１５に含まれる第１任意情報又は車両特定情報に基づき、ナビインターフェース５４に挿入された第１記録媒体１０が、すでにロック処理されたか否か判断する。

データ処理部５８は、判断部５６の判断結果に基づいて、各種の処理を行う。

具体的に、データ処理部５８は、判断部５６によってライセンスファイル１６に含まれる各情報が現状と一致しないと判断された場合、ライセンスファイル１６を新たに作成する。データ処理部５８は、ロック処理がまだ実行されていない第１記録媒体１０が装着された場合、第１任意情報と媒体特定情報とバージョン情報とを含むライセンスファイル１６を作成する。又は、データ処理部５８は、ロック処理が実行された第１記録媒体１０が装着された場合、車両特定情報と媒体特定情報とバージョン情報とを含むライセンスファイル１６を作成する。データ処理部５８は、ナビ記憶部５２に予め記憶されている暗号鍵で、新たに作成したライセンスファイル１６を暗号化する。データ処理部５８は、新たに作成したライセンスファイル１６で、第１記憶部１２に記憶されているライセンスファイル１６を上書きする。これによって、ライセンスファイル１６は、ナビゲーション装置５０に装着されるたびに、現状と一致する内容に更新される。

データ処理部５８は、車両６０が所定の走行距離を超えて走行した場合、ロック処理を実行する。具体的に、データ処理部５８は、判断部５６によって走行距離情報が所定値を超えたと判断された場合、車両特定情報と媒体特定情報とバージョン情報とを含むデータファイル１５を新たに作成する。データ処理部５８は、ナビ記憶部５２に予め記憶されている暗号鍵で、新たに作成したデータファイル１５を暗号化する。データ処理部５８は、第１記憶部１２に記憶されているデータファイル１５を、新たに作成したデータファイル１５で上書きする。これによって、データ処理部５８は、図２に示すように、データファイル１５に含まれる第１任意情報を車両特定情報に変更できる。

なお、データ処理部５８は、車両６０が所定の走行距離を超えて走行した後は、ロック処理が行われていない新たな第１記録媒体１０がナビインターフェース５４に挿入されるたびに、ロック処理を行う。

所定値は、特に限定されない。所定値は、例えば１０ｋｍ以上３０ｋｍ以下の値に設定される。また所定値は、例えば３０ｋｍ以上５０ｋｍ以下の値に設定されてもよい。また所定値は、例えば５０ｋｍ以上１００ｋｍ以下の値に設定されてもよい。また所定値は、例えば１００ｋｍ以上２００ｋｍ以下の値に設定されてもよい。

データ処理部５８は、走行距離の代わりに、地図データ１４がナビ表示部５１に出力された出力期間に基づいて、ロック処理を行う構成であってもよい。この構成の場合、データ処理部５８は、第１記憶部１２に記憶されている地図データ１４が一定の期間に亘って使用された場合、ロック処理を実行する。一定の期間は、１時間以上５年以下が好ましい。一定の期間は、２４時間以上３年以下がより好ましい。一定の期間は、１か月以上６か月以下がさらに好ましい。この構成の場合、ナビ制御部５５は、例えば、時刻を計時するタイマー機能を備えることが好ましい。

すなわち、データ処理部５８は、車両６０が一時的ではなく本格的に使用されたことを表すパラメータに基づいて、ロック処理を行うように構成されていればよい。走行距離、及び、地図データ１４の出力期間は、車両６０が本格的に使用されたことを表すパラメータとなる。走行距離及び地図データ１４の出力期間は、それぞれ使用量に相当する。データ処理部５８は、車両６０が所定の使用量を超えて使用された場合に、ロック処理を行う構成であればよい。

またデータ処理部５８は、車両６０の使用量によらず、第１記録媒体１０がナビインターフェース５４に初めて挿入された直後に、ロック処理を行う構成であってもよい。又は、データ処理部５８は、ナビ表示部５１に地図データ１４が初めて出力された直後に、ロック処理を行う構成であってもよい。

ナビ制御部５５は、例えば、ナビ記憶部５２に記憶されているプログラムを、ＣＰＵやＭＰＵ等が実行することで実現される。

ナビ通信部５９は、インターネットを経由してサーバ７０と通信する。本実施形態において、ナビ通信部５９は、ＴＣＵ（ｔｅｌｅｃｏｍｍｕｎｉｃａｔｉｏｎ ｃｏｎｔｒｏｌ ｕｎｉｔ）で実現される。

≪ナビゲーション装置５０の起動処理≫
図７は、ナビゲーション装置５０の起動処理を示すフローチャートである。ナビゲーション装置５０は、第１記録媒体１０がナビインターフェース５４に挿入され、かつ、ナビゲーション装置５０に電源が供給されると起動処理を開始する。

ステップＳ１１において、判断部５６は、第１記録媒体１０にデータファイル１５が記憶されているか否か判断する。第１記録媒体１０にデータファイル１５が記憶されている場合、ナビゲーション装置５０の起動処理はステップＳ１２に進む。第１記録媒体１０にデータファイル１５が記憶されていない場合、ナビゲーション装置５０の起動処理はステップＳ１３に進む。

ステップＳ１２において、判断部５６は、データファイル１５が適正か否か判断する。データファイル１５が適正の場合、ナビゲーション装置５０の起動処理はステップＳ１４に進む。データファイル１５が適正でない場合、ナビゲーション装置５０の起動処理はステップＳ１３に進む。

ステップＳ１３において、判断部５６は、ナビインターフェース５４に挿入された第１記録媒体１０を認証せず、ナビ表示部５１にエラー画面を出力させて、ナビゲーション装置５０の起動処理を終了する。

ステップＳ１４において、ナビゲーション装置５０が起動する。

ステップＳ１５において、判断部５６は、第１記録媒体１０にライセンスファイル１６が記憶されているか否か判断する。第１記録媒体１０にライセンスファイル１６が記憶されている場合、ナビゲーション装置５０の起動処理はステップＳ１６に進む。第１記録媒体１０にライセンスファイル１６が記憶されていない場合、ナビゲーション装置５０の起動処理はステップＳ１７に進む。

ステップＳ１６において、判断部５６は、ライセンスファイル１６に含まれる各情報が現状と一致するか否か判断する。ライセンスファイル１６に含まれる各情報が現状と一致する場合、ナビゲーション装置５０の起動処理はステップＳ１９に進む。ライセンスファイル１６に含まれる各情報が現状と一致しない場合、ナビゲーション装置５０の起動処理はステップＳ１７に進む。

ステップＳ１７において、データ処理部５８は、ライセンスファイル１６を作成する。

ステップＳ１８において、データ処理部５８は、ステップＳ１７で作成したライセンスファイル１６を第１記録媒体１０に書き込む。第１記録媒体１０にライセンスファイル１６がすでに記憶されている場合、データ処理部５８は、ステップＳ１７で作成したライセンスファイル１６で、第１記録媒体１０に記憶されているライセンスファイル１６を上書きする。

ステップＳ１９において、判断部５６は、走行距離情報が所定値を超えるか否か判断する。走行距離情報が所定値を超える場合、ナビゲーション装置５０の起動処理はステップＳ２０に進む。走行距離情報が所定値を超えない場合、ナビゲーション装置５０は、起動処理が終了してナビゲーション機能が利用できるようになる。

ステップＳ２０において、判断部５６は、ナビインターフェース５４に挿入された第１記録媒体１０が、ロック処理が実行された第１記録媒体１０か否か判断する。ロック処理が実行された第１記録媒体１０の場合、ナビゲーション装置５０は、起動処理を終了して、ナビゲーション機能を利用できるようになる。ロック処理が実行された第１記録媒体１０ではない場合、ナビゲーション装置５０の起動処理はステップＳ２１に進む。

ステップＳ２１において、データ処理部５８はロック処理を実行する。これによって、ナビゲーション装置５０は、起動処理が終了してナビゲーション機能を利用できるようになる。

≪地図データ１４の更新について≫
ナビ制御部５５は、第１記録媒体１０が装着されている場合、図４に示すサーバ７０から所定の時間間隔でナビ通信部５９に地図差分データを受信させ、受信した地図差分データを第１記憶部１２に記憶させるようにナビインターフェース５４を制御する。地図差分データは、第１記憶部１２に記憶されている地図データ１４から変更された部分に対応する。地図差分データは、第１記憶部１２に記憶されている地図データ１４を補完する。ナビゲーション装置５０は、地図差分データを例えばパーセル単位で取得する。ナビ制御部５５は、地図差分データが第１記憶部１２に記憶された第１記録媒体１０を利用することで、最新の地図をナビ表示部５１に表示させることができる。なお、図２では、地図差分データの記載を省略している。

また第１記憶部１２が記憶している地図データ１４は、ユーザの任意のタイミングで、例えばユーザが個人的に所有する図示しないパーソナルコンピュータによって新しいバージョンの地図データ１４に更新される。ユーザのパーソナルコンピュータは、第１記録媒体１０が電気的に接続された状態で、インストールされている所定の地図更新ツールが実行された場合、サーバ７０から最新バージョンの地図データ１４を取得する。ユーザのパーソナルコンピュータは、第１記憶部１２に記憶されている地図データ１４を最新バージョンの地図データ１４で上書きする。なお、ユーザのパーソナルコンピュータは、サーバ７０から地図差分データを取得し、地図差分データを第１記憶部１２に記憶させることで地図データ１４の更新を行う構成であってもよい。またナビゲーション装置５０は、サーバ７０から最新バージョンの地図データ１４を取得し、第１記憶部１２に記憶されている地図データ１４を最新バージョンの地図データ１４で上書きすることで、地図データ１４の更新を行う構成であってもよい。

サーバ７０は、最新バージョンの地図データ１４及び地図差分データを記憶する。またサーバ７０は、各第１記録媒体１０に記憶されている地図データ１４を更新できる期限を管理するためのデータベースを備える。本実施形態において、サーバ７０は、媒体特定情報と更新期限情報とバージョン情報とが対応付けて登録された登録情報を記憶する。更新期限情報は、ナビゲーション装置５０及びユーザのパーソナルコンピュータが地図データ１４を更新できる期限を示す。サーバ７０は、第１記憶部１２に記憶された地図データ１４が初めて更新された年の所定の日にちである利用開始日から所定の年数が経過した時点を更新の期限に設定する。所定の年数は、例えば２年以上５年以下である。サーバ７０は、登録情報に基づき、第１記録媒体１０ごとに、地図データ１４を更新できる期限と地図データ１４のバージョンとを把握する。さらにサーバ７０には、暗号鍵が予め記憶されている。

地図更新の処理を実行する場合、ナビゲーション装置５０及びユーザのパーソナルコンピュータは、ライセンスファイル１６をサーバ７０に送信する。サーバ７０は、暗号鍵に基づいてライセンスファイル１６を復号し、登録情報に登録されていない媒体特定情報を含むライセンスファイル１６である場合、登録情報を新たに作成する。サーバ７０は、登録情報が新たに作成された年の所定の日にちを、地図データ１４が利用された利用開始日に設定する。例えばサーバ７０は、登録情報が新たに作成された年の１２月末日を利用開始日に設定する。サーバ７０は、利用開始日に基づいて設定した更新の期限と、ライセンスファイル１６に含まれる媒体特定情報と、最新の地図データ１４のバージョンとを対応付けて登録情報を作成する。またサーバ７０は、最新の地図データ１４又は地図差分データを、ユーザのパーソナルコンピュータ又はナビゲーション装置５０に送信する。なお、サーバ７０は、最新バージョンの地図データ１４を新たに取得するたびに、登録情報に登録されたバージョン情報を更新する。

サーバ７０は、登録情報に登録された媒体特定情報を含むライセンスファイル１６を受信した場合、登録情報に登録されたバージョン情報と、ライセンスファイル１６に含まれるバージョン情報とを比較する。サーバ７０は、登録情報に登録されたバージョン情報がライセンスファイル１６に含まれるバージョン情報よりも新しいバージョンを示し、かつ、更新の期限を過ぎていない場合、最新の地図データ１４又は地図差分データを、ユーザのパーソナルコンピュータ又はナビゲーション装置５０に送信する。

なお、サーバ７０は、登録情報に登録されたバージョン情報がライセンスファイル１６に含まれるバージョン情報と同一の場合、及び、更新の期限が過ぎている場合、地図データ１４又は地図差分データを送信しない。

以上のように本実施形態の情報処理システム１で作製された第１記録媒体１０は、所定のタイミングで地図データ１４が更新されながら、ナビゲーション装置５０で使用される。

≪変形例≫
本実施形態において、サーバ７０は、ナビゲーション装置５０又はユーザのパーソナルコンピュータが第１記録媒体１０の使用を開始して初めてサーバ７０にアクセスした年の所定の日にちを利用開始日に設定した。しかしながらこの構成に限定されず、サーバ７０は、ナビゲーション装置５０又はユーザのパーソナルコンピュータが第１記録媒体１０の使用を開始して初めてサーバ７０にアクセスした日にちを利用開始日に設定してもよい。又は、サーバ７０は、車両６０の走行距離が所定値を超えた時点での日にちを利用開始日に設定してもよい。あるいは、ナビゲーション装置５０又はユーザのパーソナルコンピュータが第１記録媒体１０の使用を開始して初めてサーバ７０にアクセスした日にち、又は、車両６０の走行距離が所定値を超えた時点での日にちのいずれか早い方を、利用開始日に設定してもよい。

車両６０の走行距離が所定値を超えた時点での日にちを利用開始日とする構成の場合、情報処理システム１は、地図データ１４と、利用開始日ファイルとを記憶させた第１記録媒体１０を作製する。利用開始日ファイルは、第１記録媒体１０がナビゲーション装置５０で使用される過程で、利用開始日を示す利用開始日情報が書き込まれるデータファイルである。利用開始日ファイルは、媒体特定情報をさらに含んでもよい。データ処理部５８は、ＧＰＳ受信機６１から取得した日時情報に基づき、車両６０の走行距離が所定値を超えた場合、利用開始日情報を含む利用開始日ファイルを第１記憶部１２に書き込む。ナビゲーション装置５０及びユーザのパーソナルコンピュータは、地図更新を行う場合、利用開始日ファイルをサーバ７０に送信する。サーバ７０は、利用開始日ファイルに基づき、地図データ１４の更新を行う。これによって、サーバ７０は、地図データ１４の更新の期限を第１記録媒体１０ごとに細かく管理できる。

本実施形態において、ナビゲーション装置５０は、地図更新の処理を実行する場合にライセンスファイル１６をサーバ７０に送信する構成である。しかしながら、この構成に限定されず、ナビゲーション装置５０は、ライセンスファイル１６の代わりに、ライセンスファイル１６に含まれるバージョン情報をサーバ７０に送信する構成であってもよい。この場合、サーバ７０は、受信したバージョン情報と、登録情報に登録されたバージョン情報とを比較する。サーバ７０は、登録情報に登録されたバージョン情報が受信したバージョン情報よりも新しいバージョンを示し、かつ、更新の期限を過ぎていない場合、地図差分データをナビゲーション装置５０に送信する。

本実施形態において、制御装置４５は、暗号化されたデータファイル１５を一旦復号し、データファイル１５に含まれる第２任意情報を媒体特定情報に変更することで、更新工程Ｓ２でデータファイル１５を更新する。しかしながらこの構成に限定されず、制御装置４５は、第１記憶部１２に記憶されているデータファイル１５を、別のデータファイル１５で上書きすることで、データファイル１５を更新してもよい。

本実施形態において、情報処理システム１は、更新工程Ｓ２において更新プログラム２３を揮発性メモリ４６に記憶させるが、更新プログラム２３を不揮発性メモリ４７にも記憶させる構成であってもよい。又は、情報処理システム１は、更新プログラム２３を不揮発性メモリ４７にのみ記憶させる構成であってもよい。更新プログラム２３を不揮発性メモリ４７に記憶させる構成の場合、コンピュータ４０は、予め決められた人間のみが接触できるように構成される。コンピュータ４０は、例えば、それ自体に鍵がかけられる、又は、鍵付きの部屋に保管される。

この構成では、制御装置４５は、第１記憶部１２の記憶領域のうち、データファイル１５が記憶されている領域を事前に把握しておく必要がある。制御装置４５は、更新工程Ｓ２を実行する場合、第１記録媒体１０の第１媒体管理部１１から媒体特定情報を取得し、取得した媒体特定情報と第１任意情報とバージョン情報とに基づき、別のデータファイル１５を作成する。別のデータファイル１５は、第１任意情報と媒体特定情報とバージョン情報とを含む。なお、第１任意情報及びバージョン情報は、２以上の第１記録媒体１０でそれぞれ同一であり、例えば第１記録媒体１０の製造元によって不揮発性メモリ４７に予め記憶されている。制御装置４５は、別のデータファイル１５を暗号鍵で暗号化し、データファイル１５が記憶されている第１記憶部１２の記憶領域を、暗号化した別のデータファイル１５で上書きする。

本実施形態において、ナビゲーション装置５０は車両６０に搭載される。しかしながらこの構成に限定されず、ナビゲーション装置５０は、船舶、航空機、スノーモービル等の他の移動体に搭載されてもよい。なお車両６０は、例えば、自動車、自動二輪車、自転車又は電車である。

本実施形態において、第３記録媒体３０に記憶されている地図データ１４は、少なくとも一部が暗号化されていてもよい。

本実施形態において、第３記録媒体３０に記憶されているデータファイル１５は、暗号化されていなくてもよい。この場合、制御装置４５は、例えば、更新工程Ｓ２でデータファイル１５を復号することなく第２任意情報を媒体特定情報に変更し、第２任意情報が媒体特定情報で変更されたデータファイル１５を暗号化する。

本実施形態において、第１記録媒体１０はナビゲーション装置５０で使用されるが、スマートフォンやＴＶ（ｔｅｌｅｖｉｓｉｏｎ）などの他の装置で利用されてもよい。

本発明は上述した各実施形態に限定されるものではなく、請求項に示した範囲で種々の変更が可能であり、変形例にそれぞれ開示された技術的手段を適宜組み合わせて得られる実施形態についても本発明の技術的範囲に含まれる。

１ 情報処理システム
１０ 第１記録媒体 １５ データファイル ２０ 第２記録媒体 ２３ａ 暗号プログラムデータ
４０ コンピュータ
４５ 制御装置 ４６ 揮発性メモリ ４７ 不揮発性メモリ ４８ 実行ファイル

Claims (4)

1. 所定のデータファイルを記憶する第１記録媒体と、 暗号鍵を含み、前記データファイルを暗号化又は復号するための暗号プログラムデータを記憶する第２記録媒体と、 前記第１記録媒体及び前記第２記録媒体からそれぞれデータを読み込むコンピュータと、を備え、 前記コンピュータは、 前記第２記録媒体から読み込んだ前記暗号プログラムデータを、電力が供給されることで前記データを保持できる揮発性メモリに記憶させ、前記揮発性メモリに記憶させた前記暗号プログラムデータで暗号化又は復号した前記データファイルを前記第１記録媒体に記憶させることを特徴とする情報処理システム。
2. 前記コンピュータは、 前記第２記録媒体から読み込んだ前記暗号プログラムデータを、前記電力が供給されなくても前記データを保持できる不揮発性メモリに記憶させずに前記揮発性メモリにのみ記憶させることを特徴とする請求項１に記載の情報処理システム。
3. 前記不揮発性メモリは、前記暗号プログラムデータに対応する所定の実行ファイルを記憶し、 前記コンピュータは、 前記実行ファイルが実行された場合、前記暗号プログラムデータを前記第２記録媒体から読み込んで前記揮発性メモリに記憶させることを特徴とする請求項２に記載の情報処理システム。
4. 前記コンピュータは、
   ２以上の前記第１記録媒体をそれぞれ識別するための媒体特定情報を前記実行ファイルに基づいて前記第１記録媒体から取得し、
   前記媒体特定情報を書き込んだ前記データファイルを、前記暗号プログラムデータで暗号化又は復号することを特徴とする請求項３に記載の情報処理システム。

Images