JP5605341B2 - アクセス制御方法および、それを用いた情報表示装置、情報表示システム - Google Patents

Description

開示される主題は、情報の表示可否を制御する場合のアクセス制御方法、および、それを用いた情報表示装置、および、情報表示システムに係わる。

顧客情報を始めとする機密情報を携帯端末に入れて持ち出す場合には、情報の機密性を維持しなければならない。機密性の維持とは、情報へのアクセスが認められた者だけが、その情報にアクセスできる状態を確保することである。したがって、携帯端末が盗難にあった場合でも、第三者に機密情報を閲覧されないようにしなければならない。第三者に機密情報を閲覧されないための方法の一つとして、閲覧時に認証する方法が挙げられる。

認証方法の一つとして、事前に決めた文字列情報（パスワード、アクセスコード、など）で認証する方法がある。例えば、特許文献１に開示されているように、可搬性のある不揮発性メモリに暗号化したアクセスコードを記憶させ、ユーザが実際に同不揮発性メモリを搬送してリモートアクセスする側のコンピュータに装着することにより、リモートアクセスされる側とリモートアクセスする側とでリモートアクセスを許容する方法がある。

また、別の認証方法として、位置情報を用いて認証する方法がある。例えば、特許文献２の段落０００７に開示されているように、人間にとって直接的に関係がある位置情報（例えば、人との待ち合わせ場所や打合せ場所）を鍵（認証条件）としてセキュリティを確保する方法がある。

米国特許第７４０１２２９号明細書 特開２０１１−１１８６３５号公報

不揮発性メモリ内にある暗号化されたアクセスコードを用いて認証する上記特許文献１の方法は、不揮発性メモリという外部機器を接続することを前提としているが、外部機器を携帯端末に接続できるようにするのはコスト増に繋がるし、顧客情報を閲覧するたびに外部機器を接続しなければならないのは使い勝手が悪い。

また、上記特許文献２のように位置情報を用いて認証する方法は、位置情報の正当性が重要となるが、位置情報は容易に偽られてしまう。例えば、GPSなどの衛星測位システムからの電波を利用して特定する位置情報（緯度・経度）の場合、偽の電波を流すことで位置情報を偽ることが可能である。また別の方法として、受信した電波から位置情報を計算するソフトウェアを偽物に入れ替えられてしまうと、偽の位置情報を利用させられてしまう。

したがって、安全で使い勝手の良い認証方法が求められている。

本明細書で開示されるのは、移動の途中で、機密情報（例えば、顧客情報）へアクセス（例えば、閲覧）する携帯端末等の情報表示装置において、端末位置の移動経路に基づいて、アクセスの許可/不許可を制御するアクセス制御方法、および、それを用いた情報表示装置、情報表示システムである。

開示されるアクセス制御方法、および、それを用いた情報表示装置、情報表示システムは、管理端末において、予定経路に基づいた暗号鍵を生成して情報を暗号化しておき、情報表示装置において情報へアクセスする際は、定期的に取得した実際の移動経路（実績経路）に基づいて復号鍵を生成し、復号鍵を用いて暗号化された情報を復号化することを特徴とする。すなわち、予定経路と実績経路が一致した場合に、暗号化された情報を復号可能になる。

開示されるより具体的な一態様は、例えば、
移動する情報表示装置を用いて、移動先で情報へアクセスする場合の、アクセス制御方法であって、
情報にアクセスする予定の場所を目的地とし、目的地への移動時の通過予定地と目的地の識別子を特定し、
通過予定地と目的地の識別子の列として表現する、情報表示装置の予定経路を作成し、
作成した予定経路に基づき暗号化鍵を生成し、
生成した暗号化鍵で、アクセス対象の情報を暗号化し、
繰り返し情報表示装置の位置情報を移動時に取得し、
取得した位置情報に基づいて、通過地と現在地の識別子を特定し、
通過予定地と目的地の識別子の列として表現する、当該情報表示装置の実績経路を特定し、
特定した実績経路に基づき、復号鍵を生成し、
生成した復号鍵を用いて暗号化された情報の復号化を試み、復号に成功した場合に、情報表示装置による情報へのアクセスを許可することを特徴とする。

開示される望ましい他の態様は、実績経路として部分領域単位の実績経路を用いることを特徴とする。

開示される望ましいさらに他の態様は、出発地、目的地、出発地から目的地までの経路上での交差点の何れかに対応する部分領域を用いた実績経路を用いることを特徴とする。

開示される望ましいさらに他の態様は、実績経路として道路リンク単位での実績経路を用いることを特徴とする。

開示される望ましいさらに他の態様は、実績経路からループする部分経路を削除して実績経路を補正してから復号鍵を生成することを特徴とする。

開示によれば、情報の機密性を維持しつつ、情報の持ち出しを実現することができる。

本実施例のシステム構成を例示する。 本実施例のハードウェア構成を例示する。 本実施例の経路情報管理部のテーブル構成を例示する。 本実施例の顧客情報管理部のテーブル構成を例示する。 本実施例の位置情報履歴管理部のテーブル構成を例示する。 本実施例の部分領域情報管理部のテーブル構成を例示する。 本実施例の警告情報管理部のテーブル構成を例示する。 本実施例の持ち出し情報作成処理のフローを例示する。 本実施例の顧客情報の暗号化処理のフローを例示する。 本実施例の情報表示処理のフローを例示する。 本実施例の顧客情報の表示可否更新処理のフローを例示する。 本実施例の予定経路のイメージを例示する。 本実施例の顧客情報の表示可否の通知画面イメージを例示する。 本実施例の警告通知のイメージを例示する。

以下に、本発明の実施形態について、図を用いて詳細に説明する。以下の実施例では、機密情報の一例として顧客情報、アクセスの一例として閲覧を説明する。

図１は、本実施例におけるシステム構成図を示す。本システムは、管理端末１０１と情報表示装置１１０から構成される。管理端末１０１と情報表示装置１１０はネットワーク１３０で接続され、情報の送受信が可能である。ネットワーク１３０は有線接続でも良いし、無線接続でも良い。

管理端末１０１は、経路作成部１０２、経路情報管理部１０３、部分領域情報作成部１０４、持ち出し情報作成部１０５、暗号化部１０６、顧客情報管理部１０７、警告情報作成部１０８を機能部として備える。これらの処理部と以下に説明する各処理は、管理端末１０１が有するCPUがプログラムを実行することで実現される。

経路作成部１０２は、ユーザとの対話処理によって走行する予定の経路を作成、作成した予定経路を経路情報管理部１０３に記録する。ここで、出発地から目的地へ行く経路は複数登録しても良い。例えば、出発地から目的地までの経路を２つ登録した場合には、どちらの経路を通っても顧客情報を閲覧できるようにする。

経路情報管理部１０３には、経路作成部１０２で作成された走行予定の経路だけでなく、過去の日付の経路も蓄積されている。また、過去の経路に関しては、情報表示装置１１０の位置情報履歴管理部１１１から移動実績を収集し、予定した経路と異なった経路を走行した場合には、経路情報管理部１０３の情報を移動実績で更新する。

部分領域情報作成部１０４は、経路情報管理部１０３に登録された経路に基づいて部分領域情報を作成、持ち出し情報作成部１０５は登録経路と部分領域情報から予定経路を作成する。暗号化部１０６は予定経路に基づいて作成した暗号鍵により、顧客情報を暗号化し、警告情報作成部１０８は予定経路に基づいて警告情報を作成する。なお、同じ出発地と目的地に対して経路が複数登録されている場合には、それぞれに対して予定経路を作成し、予定経路が複数になった場合には、暗号化部１０６では、顧客情報を予定経路の数だけ、別の暗号鍵を用いて暗号化する。

情報表示装置１１０は、位置情報履歴管理部１１１、地図情報管理部１１２、位置情報管理部１１３、センサ情報取得部１１４、情報アクセス制御部１１５、復号化部１１６、暗号化情報管理部１１７、移動監視部１１８、部分領域情報管理部１１９、警告情報管理部１２０を機能部として備える。これらの処理部と以下に説明する各処理は、情報表示装置１１０が有するCPUがプログラムを実行することで実現される。

位置情報管理部１１３は、センサ情報取得部１１４を介して、定期的に、GPSなどの衛星測位システムからの電波を受信して位置を特定する位置情報センサ１２５、加速度センサ１２６、ジャイロセンサ１２７のセンサ情報を取得する。地図情報管理部１１２が管理する地図情報と、取得したセンサ情報から、地図上での現在位置を特定し、位置情報履歴管理部１１１に登録する。位置情報履歴管理部１１１には、当日の位置情報履歴だけでなく、前日までの過去の位置情報も蓄積されている。蓄積できるデータ量の上限値を予め設定しておき、位置情報の履歴が一定量に達したら時刻の古いものから削除することとする。上限値は固定値でも良いし、変更できるようにしても良い。また、絶対値（例：１００ＭＢ）で設定しても良いし、記憶装置の容量に対する相対値（例：３０％）で設定しても良いし、記憶装置の残容量に対する絶対値（例：残りが５００ＭＢになるまで蓄積）で設定しても良い。

移動監視部１１８は、定期的に現在位置を位置情報管理部１１３から取得、現在位置の移動に伴い、異なる部分領域に移動したか否か、ユーザへ警告が必要か否かを判断する。移動した履歴を実績経路として情報アクセス制御部１１５で管理、復号化部１１６では、その実績経路に基づいて顧客情報を復号化する。

ユーザは事務所にある管理端末１０１で経路を作成する。次に、作成した経路に基づいて作成された部分領域情報、暗号化された顧客情報、警告情報を、ネットワーク１３０を介して、情報表示装置１１０にダウンロードする。ダウンロードされた部分領域情報は部分領域情報管理部１１９に、暗号化された顧客情報は暗号化情報管理部１１７に、警告情報は警告情報管理部１２０に保存される。ダウンロード後、ユーザは情報表示装置１１０をもって車に乗り、車に設置してから出発する。

図２は、情報表示装置１１０のハードウェア構成図を示す。情報表示装置１１０は、CPU(プロセッサ)２０１、RAM２０２、ROM２０３、外部記憶装置２０４、センサインタフェース２０５、デバイスインタフェース２０６から構成される。外部記憶装置２０４はHDD(ハードディスクドライブ)でも良いし、SSD(フラッシュメモリドライブ)でも良いし、光ディスク(DVDなど)装置でも良い。センサインタフェース２０５は、位置センサ１２５、加速度センサ１２６、ジャイロセンサ１２７と接続する。また、デバイスインタフェース２０６は、ディスプレイ１２８やスピーカ１２９と接続する。

図１に示した位置情報管理部１１３、センサ情報取得部１１４、情報アクセス制御部１１５、復号化部１１６および移動監視部１１８の各プログラムと、位置情報履歴管理部１１１、地図情報管理部１１２、暗号化情報管理部１１７、部分領域情報管理部１１９および警告情報管理部１２０のデータは、外部記憶装置２０４に格納されている。これらのプログラムおよびデータは、情報表示装置１１０の電源ONに伴って、外部記憶装置２０４からRAM２０２にロードされ、各プログラムは実行される。この場合、ROM２０３には、プログラムおよびデータを、RAM２０２にロードするためのローダプログラムが格納される。

図３は、管理端末１０１の経路情報管理部１０３のテーブル構成を示す。このテーブルは、ユーザが巡回する経路を管理するテーブルで、ユーザＩＤ３０１、日付３０２、順番３０３、出発地３０４、目的地３０５、道路リンク３０６から構成される。ユーザＩＤ３０１は、ユーザを識別するための情報である。日付３０２は経路の移動日を表しており、出発地３０４で指定された場所から、目的地３０５で指定された場所まで日付３０２で指定された日付に移動することを表している。道路リンク３０６は、出発地３０４から目的地３０５までの経路を道路リンク列で表したものである。例えば、Ｐ１からＰ２までを、Ｌ１１→Ｌ１２→Ｌ１３→・・・という道路リンクを通って移動することを表している。このテーブルには、予定経路と実績経路の２種類が保存される。予定経路は、今後巡回する予定の経路で、実績経路は既に巡回済みの経路である。予定経路の日付３０２は将来の日付となり、実績経路の日付３０２は過去の日付となる。

図４は、管理端末１０１の顧客情報管理部１０７のテーブル構成を示す。このテーブルは顧客情報を管理するテーブルで、目的地４０１、顧客情報ファイル４０２から構成される。目的地４０１は、図３の目的地３０５と対応している。顧客情報ファイル４０２は、目的地４０１に対応する顧客情報ファイルの場所を表している。例えば、Ｐ２という目的地で閲覧するための顧客情報が、"C:/data/info1.data"というファイルに格納されていることを表している。

図５は、情報表示装置１１０の位置情報履歴管理部１１１のテーブル構成を示す。このテーブルは、日時５０１、座標５０２、道路リンク５０３、目的地到着フラグ５０４から構成される。座標５０２は位置を特定する情報を表しており、緯度・経度でも良いし、ある特定の点を原点とする相対座標でも良い。道路リンク５０３はその時に走行していた道路リンクのＩＤを表している。例えば、2011/7/18 14:26:30に、"Ｌ１１"の道路リンクを走行しており、その時の座標が"Ｘ１，Ｙ１"であったことを表している。目的地到着フラグ５０４は、日時５０１で表される時刻に、何れかの目的地に到着したか否かを表している。例えば図中では、2011/7/18 14:26:30に目的地に到着したことを表している。目的地到着の判定は、ユーザがディスプレイ１２８に表示された"到着"ボタンを押下したタイミングで目的地到着フラグ＝"１"としても良いし、顧客情報の復号化が成功し、ユーザが顧客情報の中身を閲覧したタイミングで目的地到着フラグ＝"１"としても良い。

図６は、情報表示装置１１０の部分領域情報管理部１１９のテーブル構成を示す。このテーブルは、部分領域ＩＤ６０１、部分領域６０２から構成される。部分領域ＩＤ６０１は格子状に区切られた部分領域を識別するための情報である。部分領域６０２は矩形領域で表され、２頂点で指定される。例えば、"Ｘ１，Ｙ１"と"Ｘ２，Ｙ２"を対角線上の頂点とする矩形領域の部分領域ＩＤを"Ｍ１"をすることを表している。

図７は、情報表示装置１１０の警告情報管理部１２０のテーブル構成を示す。このテーブルは、ユーザに警告を通知するための情報を管理するテーブルで、移動前の部分領域ＩＤ７０１、移動後の部分領域ＩＤ７０２から構成される。移動前の部分領域ＩＤ７０１から移動後の部分領域ＩＤ７０２に移動した時に警告することを表している。例えば、"Ｍ１"から"Ｍ２"に位置が移動した時に警告する。移動前の部分領域ＩＤ７０１および移動後の部分領域ＩＤ７０２は、図６の部分領域ＩＤ６０１と対応しており、図６で部分領域６０２が定義されている。

図８は、管理端末１０１での持ち出し情報作成部１０５による持ち出し情報作成処理のフローを示す。ユーザは、"ユーザＩＤ"と"対象日時"を指定して持ち出し情報を作成する。

最初にステップ８０１では、指定されたユーザＩＤと日時をキーにして、経路情報管理部１０３から経路情報を検索する。出発地Ｐ１〜目的地Ｐ２の経路、出発地Ｐ２〜目的地Ｐ３の経路というように、複数の経路情報を検索する。経路作成部１０２が、出発地から目的地の経路を複数登録している場合には、同じ出発地と目的地の経路を複数検索する。例えば、出発地Ｐ１〜目的地Ｐ２の経路が複数検索される。次に、得られた複数経路から目的地の一覧を取得、目的地がそれぞれ別の部分領域に含まれるように部分領域のサイズを決定する。ここで、部分領域は地域を格子状に区切った矩形領域である。まず、基準となる部分領域を事前定義しておく。各目的地がどの部分領域に属するかを算出し、同じ部分領域に属する目的地があった場合には部分領域を４分割（縦２分割、横２分割）して１つの部分領域の範囲を狭くし、同じ部分領域に属する目的地がなくなるまで部分領域の分割を繰り返す。基準となる部分領域のサイズは独自で事前設定しても良いし、ＪＩＳ規格（日本工業規格）で定義されている第１次地域区画（約８０ｋｍ四方）、第２次地域区画（約１０ｋｍ四方）、第３次地域区画（約１ｋｍ四方）などを用いても良い。

次に、処理対象の目的地を特定するために、ステップ８０１で検索された複数経路から一つを選択（ステップ８０２）、選択した道路リンク３０６を取得する。取得した道路リンク３０６と、ステップ８０１で算出した部分領域情報に基づいて、出発地から目的地までの予定経路を特定する（ステップ８０３）。

ここで、予定経路とは、部分領域単位の予定経路でも良いし、道路リンク単位の予定経路でも良いし、目的地単位の予定経路でも良い。部分領域単位の予定経路は、例えば経路の道路リンク列がＬ１→Ｌ２→Ｌ３→Ｌ４で、道路リンクＬ１に対応する部分領域がＭ１、道路リンクＬ２に対応する部分領域がＭ２、道路リンクＬ３に対応する部分領域がＭ２、道路リンクＬ４に対応する部分領域がＭ３の場合、部分領域単位の予定経路はＭ１→Ｍ２→Ｍ３となる。

道路リンク単位の予定経路は、ステップ８０１で取得した道路リンク３０６が、そのまま道路リンク単位の予定経路となる。目的地単位の予定経路は、例えば、目的地をＰ１→Ｐ２→Ｐ３と巡回する経路があり、Ｐ１に対応する部分領域がＭ１、Ｐ２に対応する部分領域がＭ２、Ｐ３に対応する部分領域がＭ３の場合、目的地単位の予定経路はＭ１→Ｍ２→Ｍ３となる。なお、Ｐ１→Ｐ２→Ｐ３といった巡回経路は、経路情報管理部１０３では、Ｐ１→Ｐ２と、Ｐ２→Ｐ３の２つの経路として登録されている。また、目的地単位の予定経路では、基準点として目的地を活用し、目的地の座標に対応する部分領域の配列を利用したが、基準点として目的地だけでなく経路途中の交差点を活用し、目的地および交差点に対応する部分領域の配列を用いても良い。

ここで利用する交差点として左折および右折する全ての交差点を選んでも良いし、左折および右折する交差点の一部をランダムで選んでも良いし、予め事前に決めておいた特定の交差点でも良い。部分領域単位／道路リンク単位／目的地単位の予定経路については、図１２でも図の例を用いて詳細に説明する。

予定経路からループ部分を削除した予定経路を作成する。ループ部分は正常な経路なのか、道を間違えて戻ったのかが判別できないため、ループ部分は予定経路の対象から外すこととする。例えば"Ｍ１→Ｍ２→Ｍ３→Ｍ２→Ｍ４"と部分領域を移動する予定経路の場合、ループ部分の"Ｍ２→Ｍ３→Ｍ２"を削除して"Ｍ１→Ｍ２→Ｍ４"とする。こうすることで、元々のループ部分を削除していない予定経路と、ループ部分を削除した予定経路を取得することができる。ループ部分を削除していない予定経路は警告情報の生成（ステップ８０５）で利用し、ループ部分を削除した予定経路は顧客情報の暗号化（ステップ８０４）で利用する。

次に、ステップ８０３で取得したループ部分を削除した予定経路に基づいて、目的地で閲覧する顧客情報を暗号化する（ステップ８０４）。暗号化する顧客情報は、ステップ８０２で特定した目的地をキーとして、顧客情報管理部１０７を検索して特定する。顧客情報の暗号化処理の詳細に関しては図９で説明する。

ここで、強固な暗号化をするためには、入力として与える予定経路が一定サイズ以上必要であり、サイズはセキュリティ要件に合わせて事前定義しておく必要がある。つまり、予定経路として一定数以上の部分領域数や道路リンク数を与えなければならない。特定した、出発地から目的地への予定経路だけでは部分領域数や道路リンク数が足りない場合には、その前の予定経路も活用し、経路を延長する。その前の予定経路を活用する場合、経路が複数登録されている場合には、登録時に設定された優先度に応じて、どの経路を利用するのかを決定する。

例えば、Ｐ１→Ｐ２のループ部分を削除した予定経路が"Ｍ１→Ｍ２→Ｍ３"、Ｐ２→Ｐ３のループ部分を削除した予定経路が"Ｍ３→Ｍ４→Ｍ５"、暗号化に必要な部分領域数が"４"、Ｐ３の顧客情報を暗号化する場合の例を示す。Ｐ２→Ｐ３への予定経路"Ｍ３→Ｍ４→Ｍ５"には部分領域が３つしかないので、Ｐ２への予定経路も統合して"Ｍ１→Ｍ２→Ｍ３→Ｍ４→Ｍ５"とし、目的地に近い部分領域から４つ"Ｍ２→Ｍ３→Ｍ４→Ｍ５"を選ぶ。

このように単体の予定経路のみでは情報が足らない場合には、過去の予定経路も活用し、予定経路を延長することで情報量を増やす。過去の予定経路は、日付をまたいでも良い。例えば、2011/7/22のＰ１→Ｐ２の予定経路で情報が足らず、2011/7/22のＰ１以前の経路がない場合には、過去へ予定経路を延長し、予定経路を前日の2011/7/21のＰ１０→2011/7/22のＰ２とする。

次に、ステップ８０３で取得したループ部分を削除していない予定経路に基づいて警告情報を生成する（ステップ８０５）。警告情報は経路を逸脱した場合の注意喚起を目的としたもので、生成した警告情報は情報表示装置１１０にダウンロードされ、事前に決めた経路を逸脱した場合にユーザに対して警告を行うために利用される。ステップ８０３で取得したループ部分を削除していない予定経路にない動きをした場合が警告対象となる。

部分領域単位の予定経路の場合には、ステップ８０３でループ部分を削除していない予定経路として部分領域の配列が取得でき、この部分領域の配列に定義されていない部分領域間の遷移が警告対象となる。例えば、部分領域の配列がＭ１→Ｍ２で、Ｍ１の周囲（上下左右）の部分領域が｛Ｍ２、Ｍ３、Ｍ４、Ｍ５｝の場合、Ｍ１→Ｍ２以外のＭ１→Ｍ３、Ｍ１→Ｍ４、Ｍ１→Ｍ５の遷移を警告情報として生成する。警告情報では、遷移前の部分領域は予定経路上の部分領域、遷移後の部分領域は予定経路外の部分領域となる。道路リンク単位の予定経路の場合には、ステップ８０３で予定経路として道路リンク列が取得でき、この道路リンク列に定義されていない道路リンク間の遷移が警告対象となる。

例えば、道路リンク列がＬ１→Ｌ２で、Ｌ１の終点が交差点になっており、｛Ｌ２、Ｌ３、Ｌ４｝へ遷移できる場合、Ｌ１→Ｌ２以外のＬ１→Ｌ３、Ｌ１→Ｌ４の遷移を警告情報として生成する。警告情報では、遷移前の道路リンクは予定経路上の道路リンク、遷移後の道路リンクは予定経路外の道路リンクとなる。なお、目的地単位の予定経路の場合には、目的地までの経路は自由に決めて良いので警告情報の生成は行わない。

ステップ８０１で検索した複数目的地の顧客情報の暗号化が完了した場合（Yes）は処理を終了し、まだ暗号化していない顧客情報がある場合（No）はステップ８０２へ戻る。

図９は、持ち出し情報作成部１０５による顧客情報の暗号化処理（図８のステップ８０４）の詳細フローを示す。最初にステップ９０１で暗号鍵生成に用いる乱数を生成する。暗号化には、暗号鍵と復号鍵が等しい共通鍵暗号アルゴリズムを用いる。そのため、乱数生成には、復号鍵を生成する場合も同じ乱数値が得られる方法を用いる。

乱数生成に用いる初期値は固定値にしても良いが、初期値が同じだと乱数も固定になってしまうため、セキュリティを強固にするためには初期値を変動させてほうが良い。初期値の変動は、特定のルールに従って変更しても良いし、移動日に基づいて初期値を生成しても良い。

次に、図８のステップ８０３で取得したループ部分を削除した予定経路と、ステップ９０１で生成した乱数を用いて暗号鍵を生成する（ステップ９０２）。暗号鍵の生成アルゴリズムは既知のものを用いれば良い。

暗号鍵生成の一例として、ビットシフトを用いた簡単な例を示す。部分領域単位の予定経路（Ｍ１→Ｍ２→Ｍ３→Ｍ４）から、部分領域ＩＤを文字列連結した"Ｍ１Ｍ２Ｍ３Ｍ４"を生成する。文字列"Ｍ１Ｍ２Ｍ３Ｍ４"を２進数に変換し、ステップ９０１で生成した乱数の数だけビットを左にずらす。文字列"Ｍ１Ｍ２Ｍ３Ｍ４"を２進数に変換した値が"１１００１０１０"で、乱数が２であったとすると、左に２ビットシフトした"００１０１０１１"が暗号鍵として生成される。暗号鍵生成にはビットシフト以外の方法を用いても良い。

次に、ステップ９０２で生成した暗号鍵を用いて、目的地Ｍ４で閲覧する顧客情報を暗号化する（ステップ９０３）。暗号化はＸＯＲ暗号などの既存方式を用いれば良い。一例として、ＸＯＲ暗号を用いた時の具体例を示す。顧客情報を２進数に変換した値が"１０１０１１１００１０１０００１"、ステップ９０２で生成した暗号鍵が"００１０１０１１"の場合、２つの値のＸＯＲ演算を行う。顧客情報の上位８ビットと暗号鍵のＸＯＲ演算結果が"１００００１０１"、顧客情報の下位８ビットと暗号鍵のＸＯＲ演算結果が"０１１１１０１０"となる。結果として暗号化した顧客情報を"１００００１０１０１１１１０１０"となる。

図１０は、情報表示装置１１０での情報表示処理のフローを示す。まず初めに、情報アクセス制御部１１５は、位置情報管理部１１３経由で、位置情報履歴管理部１１１から位置情報の履歴を取得する（ステップ１００１）。ステップ１００１は、ユーザのボタン押下をトリガとして実行しても良いし、事前設定された時刻をトリガとして実行しても良いし、情報表示装置１１０の電源ONをトリガとして実行しても良い。

次に、ステップ１００１で取得した位置情報履歴に基づいて実績経路を初期化する（ステップ１００２）。情報アクセス制御部１１５は、まずステップ１００１で取得した位置情報履歴から、時系列の道路リンク列を算出する。次に、移動監視部１１８経由で、部分領域情報管理部１１９から部分領域情報を取得する。そして、算出した道路リンク列と部分領域情報から部分領域単位での実績経路を求めて初期化する。道路リンク単位の実績経路を用いる場合には、位置情報履歴から算出した道路リンク列で初期化する。目的地単位の実績経路を用いる場合には、位置情報履歴管理部１１１から、目的地到着フラグ５０４が「１」であるデータを位置情報履歴として取得する。次に、取得した位置情報履歴と部分領域情報から目的地に対応する部分領域の配列を求めて実績経路とする。

ステップ１００３からステップ１０１０は、一定時間間隔で定期的に実行される。まず、情報アクセス制御部１１５は、位置情報管理部１１３に対して現在地取得要求を送る。位置情報管理部１１３は、センサ情報取得部１１４経由で、周期的（１秒ごとなど）に位置センサ１２５、加速度センサ１２６、ジャイロセンサ１２７からセンサ情報を取得する。取得したセンサ情報と地図情報管理部１１２で管理している地図情報から、地図上での現在位置を特定する。

地図上での現在位置特定はマップマッチングと呼ばれており、既存の方法を活用すれば良い。位置情報管理部１１３は、特定した位置情報および道路リンクを位置情報履歴管理部１１１に保存する。また、特定した現在位置や道路リンクを、情報アクセス制御部１１５からの要求に応じて返す。

ステップ１００４では、情報アクセス制御部１１５は、移動監視部１１８に問い合わせて、情報表示装置１１０の現在位置に対応する部分領域を特定する。実績経路として道路リンクを用いる場合には、ステップ１００３で既に道路リンクまで特定できているので、ステップ１００４では何もしない。

ステップ１００５では、特定した部分領域／道路リンクが変化したか否かを判定する。移動監視部１１８が前回の部分領域／道路リンクを覚えておき、現在位置から特定した部分領域／道路リンクと比較することで、部分領域／道路リンクが変化したか否かを判定する。部分領域／道路リンクが変化した場合（Yes）はステップ１００６へ進む。部分領域／道路リンクが変化していない場合（No）にはステップ１０１０へ進む。

情報表示装置１１０が移動して存在する部分領域が変化したと移動監視部１１８が判定した場合に、情報アクセス制御部１１５は実績経路を更新する（ステップ１００６）。例えば、実績経路が"Ｍ１→Ｍ２→Ｍ３"で、部分領域がＭ３からＭ４に変化した場合には、実績経路を"Ｍ１→Ｍ２→Ｍ３→Ｍ４"に更新する。次に、顧客情報の表示可否を更新し（ステップ１００７）、それまで閲覧可能だった顧客情報を閲覧不可にしたり、それまで閲覧不可だった顧客情報を閲覧可能にしたりする。顧客情報の表示可否の更新処理に関しては図１１で詳細に説明する。

次に、ステップ１００５で部分領域が変化したと判定された場合に、ユーザへの警告が必要か否かを判定する（ステップ１００８）。移動監視部１１８は、部分領域が変化した際の移動前の部分領域ＩＤと移動後の部分領域ＩＤをキーにして、警告情報管理部１２０を検索する。該当するレコードが検索された場合には警告が必要となる。該当するレコードが検索されなかった場合には警告は必要でない。例えば、ステップ１００５で部分領域が"Ｍ１→Ｍ２"に変化した場合には、移動前の部分領域ＩＤ７０１＝"Ｍ１" ＡＮＤ 移動後の部分領域ＩＤ７０２＝"Ｍ２"のレコードを検索する。警告が必要な場合には、移動監視部１１８は、情報アクセス制御部１１５へ対して警告通知の要求を送る。

ステップ１００９では、ユーザに対して経路逸脱の警告を通知する。ステップ１００８で警告が必要であると判定された場合、情報アクセス制御部１１５は、ディスプレイ１２８に警告画面を表示したり、スピーカ１２９から警告音または警告音声を流したりする。警告は一度だけ行っても良いし、一定時間続けても良いし、元の経路に戻るまで警告し続けても良い。

また、警告画面と警告音／警告音声を同期させて通知しても良いし、画面と音で通知する時間を変えても良いし、画面と音を時間差で通知しても良いし、どちらかだけで通知しても良い。うっかり道を間違えて経路を逸脱してしまった場合でも、警告を受けることで経路から外れたことに気づき、元の経路に復帰することができる。

ここで、警告回数を記憶しておき、警告回数が事前に決めた上限回数を超えた場合には、全ての暗号化した顧客情報を削除する。こうすることで、第三者が情報表示装置１１０を不正に入手し、試行錯誤で移動した場合に対しても、顧客情報を守ることができる。

ステップ１０１０では、情報アクセス制御部１１５が、処理の終了判定を行う。終了していない場合（No）には、ステップ１００３に戻る。終了判定は、ユーザのボタン押下をトリガとしても良いし、情報表示装置１１０の電源OFFをトリガとしても良い。

図１１は、情報アクセス制御部１１５による、顧客情報の表示可否更新処理（図１０のステップ１００７）の詳細フローを示す。最初に、情報アクセス制御部１１５からの要求で、復号化部１１６が復号鍵生成に用いる乱数を生成する（ステップ１１０１）。乱数の初期値は図９のステップ９０１で用いた初期値と同じ値を用いる。

次に、復号化部１１６は、復号鍵生成の入力情報となる実績経路を情報アクセス制御部１１５から取得し、実績経路からループ部分を削除する（ステップ１１０２）。予定していた予定経路が"Ｍ１→Ｍ２→Ｍ３"であるが、うっかり道を間違えてしまい、実績経路が"Ｍ１→Ｍ２→Ｍ４→Ｍ２→Ｍ３"となったと仮定する。道を間違えて元の道に戻った場合、実績経路の一部分がループになる。上記例では"Ｍ２→Ｍ４→Ｍ２"の部分である。このループ部分は元々予定していた予定経路ではないので、このループ部分を削除し、"Ｍ１→Ｍ２→Ｍ４→Ｍ２→Ｍ３"を"Ｍ１→Ｍ２→Ｍ３"に補正する。

ステップ１１０２では、前日までの実績経路も含めて、全ての実績経路が取得できるため、取得した実績経路から復号鍵生成に必要な長さの実績経路を切り取る。例えば、ステップ１１０２で取得した実績経路が"Ｍ１→Ｍ２→Ｍ３→Ｍ４→Ｍ５→Ｍ６→Ｍ７"の場合で、復号鍵生成に必要な実績経路の長さが３の場合、現在地から近い順に３つ"Ｍ５→Ｍ６→Ｍ７"を復号鍵生成用に切り取る。

こうして切り取った実績経路と、ステップ１１０１で生成した乱数を用いて復号鍵を生成する（ステップ１１０３）。復号鍵の生成に用いる初期値、乱数生成方法、復号鍵の生成アルゴリズムは、図９のステップ９０２の暗号鍵生成で用いた初期値（またはその生成方法）、乱数生成方法、鍵生成アルゴリズムと同じものを利用する。

ステップ１１０４では、ステップ１１０３で生成した復号鍵を用いて顧客情報を復号化する。どの目的地に向かっているかは判別できないため、暗号化情報管理部１１７で管理している全ての暗号化された顧客情報に対して復号化を試みる。復号化に際しては、暗号化アルゴリズムに対応するアルゴリズムを用いる。

ステップ１１０５では、顧客情報の復号化に成功したか否かに基づいて、顧客情報のアクセス可否（ここでは表示可否）を更新し、ユーザへ通知する。ユーザへの通知方法に関しては、図１３で詳しく説明する。

復号化に成功したか否かの判定方法としては、顧客情報の、予め定めた位置に"ＯＫ"などの文字列を書き込んでおき、復号化した情報から"ＯＫ"の文字列が読み取れるか否かで成功したか否かを判定することができる。また別の方法として、顧客情報に直接書き込むのではなく、"ＯＫ"とだけ書かれた確認用ファイルを準備しておき、確認用ファイルも顧客情報と同様に暗号化しておく。確認用ファイルを復号化し、"ＯＫ"の文字列が読み取れるか否かで成功したか否かを判定する。

この時、顧客情報毎に確認用ファイルが必要となる。例えば、"info1.data"、"info2.data"という２つの顧客情報があった場合には、それぞれに対応する"info1.ok"と"info2.ok"の確認用ファイルを作成、"info1.data"と"info1.ok"を暗号鍵１で暗号化、また"info2.dta"と"info2.ok"を暗号鍵２で暗号化しておく。

ステップ１１０６では、暗号化情報管理部１１７で管理している全ての顧客情報に対して復号化を試したか否かを判定する。全ての顧客情報の復号化を試した場合（Yes）には処理を終了し、復号化を試していない顧客情報がある場合（No）にはステップ１１０４へ戻る。

図１２は、予定経路のイメージを示す。出発地から目的地まで太字で書かれた経路が、走行予定の経路を表している。また、実線は道路、点線は格子状の部分領域の境界線を表している。図の例では縦横３６の部分領域に分割されており、一番左上の部分領域を"Ａ１"、一番右下の部分領域を"Ｆ６"と呼ぶこととする。また、Ｌ１〜Ｌ１６は道路リンクＩＤを表しており、交差点から交差点までの道路リンクに対応している。

この走行予定の経路を部分領域単位の予定経路で表すと、"Ｃ５→Ｃ４→Ｄ４→Ｄ３→Ｄ２→Ｅ２"となる。また、道路リンク単位の予定経路で表すと"Ｌ９→Ｌ８→Ｌ６"となる。また、目的地単位の予定経路で表すと"Ｃ５→Ｅ２"となる。

図１３は、顧客情報の表示可否の通知画面イメージを示す。走行予定の経路は図１２と同様で出発地Ｐ３から目的地Ｐ４までの経路であり、部分領域単位の予定経路で判定する場合の例を示す。

画面１３０１は、目的地Ｐ４に対応する部分領域"Ｅ２"に入った時の画面を表している。画面には目的地と、目的地に対応する顧客情報ファイルアイコンが表示されており、ユーザは、顧客情報ファイルアイコンを押下することで顧客情報の中身を閲覧することができる。実線の顧客情報ファイルアイコンは押下することで中身を閲覧できるが（活性状態）、点線のファイルアイコンは押下しても閲覧できないことを表している（非活性状態）。

閲覧可否の表現は、実線（活性）／点線（非活性）でなくても、アイコンの色を変えても良いし、アイコンの大きさを変えても良い。現在地の部分領域が"Ｄ２→Ｅ２"に変化した時に、それまで閲覧不可であったＰ４に対応する顧客情報ファイルが閲覧可能になる。また、Ｐ４以外の目的地に対応する顧客情報ファイルは閲覧不可の状態となる。

また、画面１３０２は、出発地Ｐ３から出発して、現在地の部分領域が"Ｃ５→Ｃ４"に変化した時の画面を表している。それまで閲覧可能であったＰ３の顧客情報が閲覧不可に変わったことを表している。閲覧不可になったことの通知方法としては、顧客情報ファイルアイコンに×印を表示して明示的にユーザへ通知しても良いし、ユーザが顧客情報を閲覧できないように、非活性状態（アイコンを押下しても閲覧できない状態）にしても良いし、警告音を鳴らしたり、画面から消去したり、画面をフラッシュさせたりしても良い。

図１４は、経路を外れた時の警告通知のイメージを示す。走行予定の経路は図１２と同様で出発地Ｐ３から目的地Ｐ４までの経路であり、部分領域単位の予定経路で判定する場合の例を示す。部分領域"Ｄ４"の交差点を間違えて右折してしまった場合を説明する。予定では"Ｃ５→Ｃ４→Ｄ４→Ｄ３→Ｄ２→Ｅ２"という予定経路であるため、道を間違えて右折した場合、部分領域が"Ｄ４→Ｅ４"に変化した時に、警告画面や警告音／警告音声を用いてユーザへ通知される。

１０１：管理端末、１０２：経路作成部、１０３：経路情報管理部、１０４：部分領域情報作成部、１０５：持ち出し情報作成部、１０６：暗号化部、１０７：顧客情報管理部、１０８：警告情報作成部、１１０：情報表示装置、１１１：位置情報履歴管理部、１１２：地図情報管理部、１１３：位置情報管理部、１１４：センサ情報取得部、１１５：情報アクセス制御部、１１６：復号化部、１１７：暗号化情報管理部、１１８：移動監視部、１１９：部分領域情報管理部、１２０：警告情報管理部、１２５：位置センサ、１２６：加速度センサ、１２７：ジャイロセンサ、１２８：ディスプレイ、１２９：スピーカ、１３０。

Claims (9)

1. 移動する情報表示装置を用いて、移動先で、管理端末で作成した情報へアクセスする場合の、アクセス制御方法であって、
   前記管理端末により、
   前記情報にアクセスする予定の場所を目的地とし、前記目的地への移動時の通過予定地と前記目的地の識別子を特定し、
   前記通過予定地と前記目的地の識別子の列として表現する、情報表示装置の予定経路を作成し、
   作成した前記予定経路に基づき暗号化鍵を生成し、
   生成した前記暗号化鍵で、アクセス対象の前記情報を暗号化し、
   前記情報表示装置により、
   前記管理端末から、前記暗号化されたアクセス対象の情報を取得し、
   取得した前記暗号化されたアクセス対象の情報を当該情報表示装置の記憶部に記憶し、
   当該情報表示装置の位置情報と当該情報表示装置の移動履歴を表す実績経路を取得し、
   取得した前記位置情報と前記実績経路を前記記憶部に記憶し、
   前記記憶部に記憶されている前記位置情報に基づいて、通過地と現在地の識別子を特定し、
   前記記憶部に記憶されている前記実績経路に基づいて、前記通過地と前記目的地の識別子の列として表現する、当該情報表示装置の実績経路を特定し、
   特定した前記実績経路に基づき、復号鍵を生成し、
   生成した前記復号鍵を用いて、前記記憶部に記憶されている前記暗号化されたアクセス対象の情報の復号化を試み、
   復号に成功した場合に、前記復号化されたアクセス対象の情報へのアクセスを許可する
   ことを特徴とするアクセス制御方法。
2. 請求項１に記載のアクセス制御方法において、
   前記通過予定地、前記目的地、前記通過地、前記現在地の識別子は、それぞれ、出発地から目的地までの経路を含む地域を格子状に区切り、区切られた部分領域で前記通過予定地、前記目的地、前記通過地、前記現在地を識別するための情報である
   ことを特徴とするアクセス制御方法。
3. 請求項２に記載のアクセス制御方法において、
   前記予定経路と実績経路を構成する前記部分領域として、出発地、目的地、出発地から目的地までの経路上での交差点の何れかが属する部分領域を用いる
   ことを特徴とするアクセス制御方法。
4. 請求項１に記載のアクセス制御方法において、
   前記通過予定地、前記目的地、前記通過地、前記現在地の識別子は、それぞれ、出発地から目的地までの経路を道路リンク列で表した道路リンクで前記通過予定地、前記目的地、前記通過地、前記現在地を識別するための情報である
   ことを特徴とするアクセス制御方法。
5. 請求項１から３のいずれか一に記載のアクセス制御方法において、
   前記管理端末により、
   前記予定経路を構成する識別子がそれぞれ異なるように、前記予定経路を作成し、
   前記情報表示装置により、
   前記実績経路に、重複する識別子が含まれている場合は、前記重複する識別子の間の識別子と、前記重複する識別子の一方と、を前記識別子の列から削除する
   ことを特徴とするアクセス制御方法。
6. 請求項１から５のいずれか一に記載のアクセス制御方法において、
   前記管理端末により、
   同じ、および／または、異なる複数の場所を目的地とする複数の前記予定経路を作成し、
   前記複数の予定経路毎に異なる複数の暗号化鍵を生成し、
   生成した複数の暗号化鍵を用いて、複数の異なる暗号化された情報を生成し、
   前記情報表示装置により、
   生成した一つの前記復号鍵で、複数の前記暗号化された情報の復号を試みる
   ことを特徴とするアクセス制御方法。
7. 請求項１から６のいずれか一に記載のアクセス制御方法において、
   前記実績経路は過去の実績経路を含み、
   前記情報表示装置により、
   前記実績経路から前記復号鍵生成に必要な長さの実績経路を利用して前記復号鍵を生成する
   ことを特徴とするアクセス制御方法。
8. 請求項２または３に記載アクセス制御方法において、
   前記管理端末により、
   前記目的地が複数の場合、各々の前記目的地の識別子が異なるように、前記部分領域のサイズを決定し、
   前記情報表示装置により、
   決定した前記サイズに基づいて、前記実績経路を表現する前記通過地と前記現在地の識別子を特定する
   ことを特徴とするアクセス制御方法。
9. 請求項１から８のいずれか一に記載のアクセス制御方法において、
   前記情報表示装置により、
   前記復号化を試みた結果として、前記情報へのアクセスの可否を前記情報表示装置のユーザに通知する
   ことを特徴とするアクセス制御方法。

Images