JP6005576B2 - 位置情報発信装置および位置情報発信装置の認証システム - Google Patents

Description

本発明は、全地球測位システム（GPS: Global Positioning System）を補完する屋内での測位システムを構成する位置情報発信装置および位置情報発信装置の認証システムに関する。

屋内測位システム（Indoor Messaging System、IMESという）は、屋内の所定広さの領域に測位用の位置情報発信装置を設置して、屋内での測位を可能とする測位システムである。地上補完信号(IMES信号)は、衛星測位信号と同じメッセージ構造の信号を使用するが、衛星軌道データ(航法メッセージ)の代わりに、測位用の位置情報発信装置(IMES装置)の設置位置を示す情報を送信する点に特徴がある。IMES信号（位置情報）は、GPS受信機能付きの受信器で受信され、その測位方法は通常のGPS測位方法と異なり、IMES信号に重畳されている装置の設置場所の位置情報を復調・解読するだけで位置を特定できる極めて簡便な測位方法である。この方法によれば、既存のGPS受信機やGPS受信機能をもつ各種端末（携帯電話）においても、ごく小規模の改修により、屋内測位への対応が可能となる。

屋内測位システムは、全地球測位システムを補完する形で運用されるので、発信する位置情報が正確であることが要求され、位置情報発信装置から送信される位置情報を信頼できる値に保つ必要がある。このため、位置情報を含めた設置情報は不正登録がないように第三者の認証機関の認証を得たものが装置に登録（設定）される。また、位置情報発信装置は屋内の所定広さの領域に多数設置されるが、認証機関の認証を得ながらの多数の設置は、設置者（設置作業者）において多大の工数を必要とする。

さらに、屋内の構造物（店舗等）構造に変更があると、既設の位置情報発信装置を移動して位置を変えて再設置する必要がある。この場合、再設置位置と既存の位置情報は一致しなくなり、そのまま発信すると不正な位置情報の発信となるので、設置者により位置情報（設置情報）を修正して再度認証を得て装置に登録する必要がある。しかし、これが遵守されないと、構築後の運用において、屋内測位システムの測位精度に信頼性が得られず問題となる。そして、再設置される位置情報発信装置が多数になった場合、修正位置情報の再認証と装置への再登録作業が容易でなく、設置者での作業工数が多大となる。

特開２０１０−２２６７０７号公報 特開２０１２−１０９９０３号公報

特許文献１（特開２０１０−２２６７０７号公報）には、地上補完信号(IMES信号、位置情報)の秘匿に関し、IMESインフラ事業者の所有する測位情報管理サーバに、復号可能にする権限を与えるシステムが示されている。このシステムはシステム構築後の運用での不正使用を防止するものである。

特許文献２（特開２０１２−１０９９０３号公報）には、複数のIMES送信機（位置情報発信装置）に対して煩雑な設備を必要とせず、位置情報等の各種情報を登録できる位置情報送信装置が示されている。

しかしながら、特許文献１、２は、認証機関の認証を得た設置情報の登録および既設の位置情報発信装置の移動については触れていない。

本発明は、上記従来の問題点にかんがみ、認証機関の認証を得た設置情報を容易にしかも安全に位置情報発信装置に登録できる、位置情報発信装置および位置情報発信装置の認証システムを提供するものである。

本発明は上記課題を解決するため、設置者端末によって設置情報を作成して通信により認証機関に認証を要求し、認証機関で認証された設置情報を設定することにより適正な位置情報を発信する位置情報発信装置において、
位置情報発信装置の設置の度に新たな起動コードを生成する制御部と、前記認証機関の認証の正当性を検証する検証部と、前記設置者端末と通信を行うローカル通信部と、位置情報を発信する位置情報発信部と、位置情報発信装置の異常を検出する異常検出部を備え、
前記検証部は前記認証機関が発行した証明書の正当性と設置情報の署名を検証し、正当であるとの検証結果に基いて前記制御部は前記位置情報発信部を発信可能な状態に制御することを特徴とする。

また、上記の位置情報発信装置において、当該装置の設置の度に、前記制御部は乱数により新たな起動コードを生成することを特徴とする。

また、上記の位置情報発信装置において、前記異常検出部は、当該装置が設置場所から取り外されたことで異常を検出するセンサ部と、異常検出部内に給電する電池を備え、前記制御部は前記センサ部からの検出信号に基づいて当該装置を非アクティベーション状態として新たな起動コードを生成し、前記検証部は前記認証機関が発行した前記新たな起動コードを含む設置情報の再認証の正当性を検証することを特徴とする。

また、上記の位置情報発信装置において、前記ローカル通信部は、当該装置と前記設置者端末とで近距離通信により情報を授受することを特徴とする。

また、上記の位置情報発信装置において、当該装置から発信される位置情報は、衛星測位信号と互換性を有し、当該装置が設置される屋内の緯度、経度、階情報もしくは階情報と高度情報を含むことを特徴とする。

また、上記の位置情報発信装置において、前記センサ部は光センサ、接点、近接センサの少なくとも一つから構成され、位置情報発信装置の取り外しを検出することを特徴とする。

本発明は上記課題を解決するため、設置された位置を示す位置情報を発信する位置情報発信装置と、前記位置情報発信装置の位置情報を含む設置情報を作成して通信により認証機関に認証を要求する設置者端末からなる位置情報発信装置の認証システムにおいて、
前記位置情報発信装置は設置の度に、非アクティベーション状態で起動コードを生成する制御部と前記認証機関の認証結果の正当性を検証する検証部を備え、
前記設置者端末は、前記起動コードを含めて設置情報を作成してその認証を前記認証機関に要求し、前記認証機関から証明書を受信すると共にこの証明書を前記位置情報発信装置に送信し、
前記位置情報発信装置は、受信した前記証明書の正当性を前記検証部で検証し、正当であるとの検証結果に基いて位置情報を発信可能な状態に制御することを特徴とする。

また、上記の位置情報発信装置の認証システムにおいて、前記位置情報発信装置は前記制御部により乱数で起動コードを生成することを特徴とする。

また、上記の位置情報発信装置の認証システムにおいて、前記位置情報発信装置と前記設置者端末は近距離通信により情報を授受することを特徴とする。

また、上記の位置情報発信装置の認証システムにおいて、前記設置者端末は、位置情報発信装置の新規設置に際し、起動コード、設置座標からなる設置情報を作成して、通信により前記認証機関に認証を要求することを特徴とする。

また、上記の位置情報発信装置の認証システムにおいて、位置情報発信装置の設置位置移動に際し、前記位置情報発信装置は非アクティベーション状態で新たな起動コードを生成し、前記設置者端末は、設置者、新たな起動コード、修正後の設置座標からなる設置情報を作成して、通信により認証機関に認証を要求することを特徴とする。

また、上記の位置情報発信装置の認証システムにおいて、前記位置情報発信装置から発信される位置情報は、衛星測位信号と互換性を有し、位置情報発信装置が設置される屋内の緯度、経度、階情報もしくは階情報と高度情報を含むことを特徴とする。

また、上記の位置情報発信装置の認証システムにおいて、前記認証機関は設置情報の検証に基いて設置情報の署名と証明書を発行し、前記位置情報発信装置は、前記検証部で前記証明書と設置情報の署名を検証し、正当であるとの検証結果に基いて前記制御部により位置情報を発信可能な状態に制御することを特徴とする。

また、上記の位置情報発信装置の認証システムにおいて、前記位置情報発信装置はさらに、前記設置者端末と通信を行うローカル通信部と、位置情報を発信する位置情報発信部と、位置情報発信装置の設置異常を検出する異常検出部を備え、前記検証部は前記認証機関が発行した証明書の正当性と設置情報の署名を検証し、正当であるとの検証結果に基いて前記制御部は前記位置情報発信部を発信可能な状態に制御することを特徴とする。

また、上記の位置情報発信装置の認証システムにおいて、前記異常検出部が異常を検出したとき、前記制御部は前記位置情報発信装置を非アクティベーション状態として乱数で起動コードを生成して、前記ローカル通信部から前記設置者端末に送信し、前記設置者端末は、起動コードを含めて設置情報を作成して前記認証機関に認証を要求することを特徴とする。

上記の構成で、不正な信号を位置情報発信装置が送信しないように保護するため、適切な信号を設定する手続きを行う。信号が適切かどうかは公正な認証機関が判断し、位置情報発信装置が移動した場合は移動前に適切であった信号が、不正なものとして取り扱わなければならない。認証機関の業務が公正なものであるかは、ルート証明機関が行うものとする。これらの手続きを公開し、不正ができないようにする。

本発明によれば、位置情報発信装置が設置の度に新たな起動コードを生成し、この起動コードを含めた設置情報に認証を受け、認証の正当性の検証を人の介在なしに当該装置内で実行するので、設置情報が不正に設定されることが無い。また、検証と設定作業に設置者の手間を掛けないので、位置情報発信装置の設置と設定作業が効率良く行える。

本発明実施例のシステムを示すシステム構成図。 本明実施例の稼働前の準備作業を示す説明図。 同じくIMES装置の設置設計に基づく事前申請の説明図。 本発明実施例のIMES装置の初回設置時の設置情報の認証と設定の説明図。 同じくIMES装置の保守時の修正設置情報の認証と設定の説明図。 同じくIMES装置の状態の推移を示す推移説明図。 同じくIMES装置の異常時の装置内での信号の流れの説明図。 同じくIMES装置の内部構成を示すブロック図。 同じくIMES装置の移動時の異常検出部の動作の説明図。

以下、図面を用いて実施形態を詳細に説明する。図１は、本発明実施例の位置情報発信装置の認証システムの全体を示す構成図である。

１は、適正な位置情報を発信する位置情報発信装置（IMES装置）である。設置者（設置者端末）２は、設置情報を作成してインターネット４を介した通信により認証機関（サーバ）３に認証を要求し、IMES装置１は認証機関３で認証された設置情報が設定されることにより、適正な位置情報を発信する。IMES装置１は、当該装置が設置の度に新たな起動コードを生成する制御部６と、前記認証機関３の認証の正当性を検証する検証部７と、前記設置者端末２と通信を行うローカル通信部１０と、位置情報を発信する位置情報発信部９と、設置情報を設定し記憶するメモリ８を備える。前記設置者端末２とローカル通信部１０は、赤外線通信、可視光線通信、RFID、Bluetooth（登録商標）等の近距離通信で信号の授受を行う。

IMES装置１は、屋内の所定広さの領域の測位のために複数設置され、各設置位置を示す位置情報(IMES信号)を発信する。IMES信号は、GPS受信機能付きの携帯端末（IMES受信器）５で受信され、携帯端末に所在位置を知らせる。

前記検証部７は前記認証機関３が発行した証明書の正当性と設置情報の署名を検証し、前記制御部６は、正当であるとの検証結果に基いて前記位置情報発信部９を発信可能な状態に制御する。証明書、署名とはバイナリデータ列である。

設置者は、IMES装置を屋内の天井などに設置して、各IMES受信器に設置情報を設定する作業を行う設置者（インフラ事業者）であり、設置場所に合わせた設置情報を作成し、設置者端末２を用いて認証機関３に認証を要求し、認証を受けた設置情報を設置者端末２を用いてIMES装置１に渡す。

IMES装置１は、さらに図８に示すように、本体部２０とIMES装置の異常を検出する異常検出部２１からなり、異常検出部２１は、当該装置が設置場所から取り外されたことで異常を検出するセンサ部２７と、異常検出部２１内に常時給電する電池２６と、制御部２５を備える。IMES装置１は設置後、不正に設置場所の移動などがなされないように常時監視される必要があり、異常検出部２１内に常時給電する独立した電池２６を備えている。異常検出部２１は、センサ部２７は、光センサ２７ａ、接点２７ｂ、近接センサ２７ｃの少なくとも一つから構成され、IMES装置１の取り外しを検出する。

本体部２０は、前記制御部６と、ＲＦ部２２と、電源回路２３、外部電源２４を備える。ＲＦ部２２は、図１に示される前記位置情報発信部９と、ローカル通信部１０を合せて示す。

前記制御部６は前記センサ部２７からの検出信号に基づいて、当該装置１をアクティベーション状態（適切な設置情報が設定手続された状態）から非アクティベーション状態（適切な設置情報が設定手続されてない状態）にして、新たな起動コードを生成し、前記検証部７は前記認証機関装置３が発行した前記新たな起動コードを含む設置情報の再認証結果の正当性を検証する。認証機関３はサーバを指すので、以下認証機関装置３と称する。

図２は、本明実施例のシステムの稼働前の準備段階（準備フェーズ）の作業を示す説明図である。このシステムの目的は、「不正」な位置情報をIMES装置から送信されないように保護することである。IMES装置に「適切」な信号（設置情報）の設定手続きを「アクティベーション」と称する。設置情報が適切かどうかは「公正」な認証機関が判断する。この認証機関が公正かどうかは上位の認証機関（ルート認証機関）が認証する。図２で、１００はルート認証機関であり、認証機関装置３の業務の正当性を認証（証明）する。本発明は、これらの手続きをオープン（すべての仕様を公開し、また、だれでもIMES装置、認証機関、設置者を行うことができる）にした上で、不正ができないようにする。

準備フェーズにおいては、以下の作業が必要である。

１．ルート認証機関１００はデジタル証明書を発行する。
証明書はX509フォーマットとしたルート証明書（自らを認証する証明書）となり、証明書には、発行組織、発行日、公開鍵暗号方式、公開鍵（Kjpとする）が含まれる。

２．この段階でIMES装置はメーカ内に在庫されており、公開されている証明書が出荷時に当該IMES装置に記録される。
たとえば、ルート証明書をWeb上で公開しておき、メーカがダウンロードし、IMES装置のプログラムに組み込む、というような運用で記録される。
３．認証機関装置３が自ら証明書を発行する。証明書には公開鍵Kapが含まれる。

４．この証明書は、正当性が認証されてないので、認証機関装置３から上位のルート認証機関１００に対して、この証明書に対して署名を請求する。

５．ルート認証機関１００は、認証機関３の発行した証明書の正当性を評価する。
この評価は、認証機関３が業務を適切に行う能力があるかを判断する。それがＯＫであれば、署名、すなわち、認証機関３の発行した証明書のハッシュを秘密鍵で暗号化したもの、を計算する。そして、ルート認証機関１００で署名付き証明書を発行する。

秘密鍵はルート認証機関１００しか知らないため、この署名が計算できるのはルート認証機関１００だけである。一方、公開鍵は公開されているので、署名を解くことによって、だれでも、この署名が、ルート認証機関１００によってなされたものであることを確認（検証）することができる。
図３は、本明実施例のIMES装置の設置設計に基づく事前申請の説明図である。
事前フェーズにおいては、以下の作業が必要である。
１．設置者はIMES装置１の設置計画を行う。
２．設置者は設置計画の事前申請の認証要求を認証機関装置３に対して通信または人手で行う。
この際、設置計画は設置者情報、IMES装置の型式、設置座標などを含むデータを認証機関装置３に渡す。ここで、IMES装置を特定するためのシリアル番号は渡さなくてもよい。

すなわち、IMES装置は、蛍光灯や非常灯などの設備品と同様な扱いで導入され、設備設営業者によって設備品と同様な作業で設置がなされると考えられる。そして、IMES装置のシリアル番号毎に位置を指定して設置作業をしようとすると、設置前にシリアル番号と位置の対応の確認が必要となり作業効率が悪くなる。たとえば、設備品のシリアル番号01351を会議室Aに、番号01534を応接室Bに、といった設置作業は確認が面倒で現実的でない。シリアル番号に関係なく設置した後に、設置者が会議室Aに設置された機器のシリアル番号を調べるほうが作業効率が良い。

そのため、事前申請での認証要求の時点では、IMES装置のシリアル番号にかかわらず、その信号を送信することが適切かどうかの「審査」のみを行い、実際のシリアル番号と設置位置が確定した後に、それを運用管理データベースに格納するという手順となる。ここでの審査は人手によるものであっても良い。また、事前申請データの入力はWebフォーム形式やexcel形式などでよく、共通フォーマットを定義する必要は必ずしもない。

３．認証機関装置３は、審査OKであれば、「チケット」を計算する。「チケット」は１つの数値（番号）であり、整理券番号やセッションIDのようなものである。チケットは第三者が容易に生成したり、次の番号を予測したりできないことが求められ、通常は、巨大な乱数が用いられる。認証機関装置３は、設置者が「チケット」を渡した際に、それが審査済みのチケット番号であれば、再審査することなく、自動的に（人手の介在なしに）認証手続きを継続することができるものとする。

なお、IMES装置のアクティベーションのために、IMES装置にこのチケットの数値を入力するわけではない。そのような運用では、認証済みチケットが大量にコピーされて、いくらでも不正な信号を出力することができてしまうためである。
図４は、本発明実施例のIMES装置の初回設置時の設置情報の認証と、その設定の説明図である。初回設置時とは、設置者により多数のIMES装置１が屋内の所定エリアの天井に設置された状態であり、この状態で設置された各IMES装置１へ認証済の設置情報の認証の設定がなされる。初回設置フェーズでの動作は次の通りである。

１．IMES装置１は起動直後は、非アクティベーション状態である。IMES装置１は、設置の度に乱数により新たな起動コードを生成する。IMES装置１は、起動コードと共に当該装置のメーカＩＤ、シリアル番号を無線通信により設置者端末２に送信する。この送信は、ローカル通信部１０を介して近距離通信により実行される。近距離通信により、設置者端末２とIMES装置１の情報の授受が容易になされるので、設置者によるIMES装置１の設置とその設定の作業効率を向上させることができる。

２．設置者は、IMES装置１のメーカID、シリアル番号、起動コードの情報を得る。この情報の取得は、無線による通信やケーブルでIMES装置と接続するか、またはIMES装置１の表示（ラベル）を設置者が読み取る、などの方法でなされる。
ここで、設置者とは携帯端末とそれを操作する人を指す。なお、IMES装置自体に、認証機関と通信可能な広域接続回線が接続されている場合（たとえば、LANケーブル、無線LAN、携帯キャリアのモデム等によるインターネット接続がなされている場合）、携帯端末はIMES装置の一部であっても良い。
３．設置者は、各IMES装置１の設置情報を作成する。
設置情報とは、設置者、装置型式ID、シリアル番号、起動コード、設置座標、IMES送信信号のコード列を表すPRN番号が含まれる。設定情報は、形式化された共通のフォーマットで記述されている。たとえば、XML、JSON、ASN.1などをベースとして、それぞれのフィールド名が定義され、共通化された、テキストまたはバイナリデータ列である。その後、設置者は携帯端末２により、設置者ID、チケットとともに、設置情報を認証機関装置３に送信して認証を要求する。

４．認証機関装置３は、送信された設置情報を検証する。
認証機関装置３は、携帯端末２から送信されたチケットが、図３の事前フェーズで自分自身が発行したチケットであって、また、そのチケットを発行した際の設置計画（設置者、装置形式、設置座標）と、現在受け取った設置情報が一致しているかどうかを比較することによって検証を行う。
IMES装置１の設置や保守は、設置する場所の休業期間（夜間や祝祭日）に行われるのが通常であるが、その際、認証業務が行われないと作業が進まないので、この検証処理は人手を介さずに自動的に行われる。
５．認証機関装置３は、検証の結果ＯＫであれば認証情報の署名、すなわち、設置情報のハッシュを秘密鍵で暗号化したものを計算する。秘密鍵は認証機関装置３自身しか知らないため、この署名が計算できるのは認証機関装置３だけである。また、公開鍵を使って署名を解くことによって、IMES装置１は、この署名が認証機関装置３によってなされたものであることを確認（検証）することができる。

６．認証機関装置３は、設置情報、設置情報の署名、証明書を設置者端末２に送信する。ここで、署名を「アクティベーションコード」と呼ぶ。
７．設置者端末（設置者）２は、設置情報、設置情報の署名、証明書をIMES装置１に送信する。
８．IMES装置１は以下の処理を行い、設定（送信された内容）が正当かどうか内部の検証部７で次の検証を行う。
(１)認証機関の署名つき証明書の正当性を検証する。
(２)設置情報の署名を検証する。
これらの検証の結果、正しければIMES装置１は送信可能状態となる。
ここで、上記(１)の検証では、認証機関装置３が正当であるかどうかを検証する。これにより、認証機関装置３のなりすまし攻撃を防ぐことができる。この証明書から公開鍵Kapを得る。上記(２)の検証では、公開鍵Kapを用いて署名を解いて、これが認証機関装置３によってなされたものであるかを検証する。その後、正当であると検証された結果は、IMES装置１から設置者端末２に送信される。

８．設置者（設置者端末２）は、認証機関装置３に最終的な設置に関する設置情報を報告する。これにより、認証機関装置３は設置情報を収集する。これは、アクティベーションの技術上は必要ではないが、アクティベーション手続きにおける、報告義務として行うものである。

このように、認証機関装置３の送信した認証結果の内容を、最終的にIMES装置１内部で検証することにより、認証結果のセキュリティーを高めることができる。すなわち、認証は認証機関装置３とIMES装置１で行われるので、認証された設置情報の改ざんを阻止することができる。また、設置者は最初の認証の要求を証機関装置３に出し、認証結果をIMES装置１に渡すのみで、最終的な認証とその検証を認証機関装置３とIMES装置１で自動的に行うので、設置作業に専念でき作業効率を高めることができる。近距離通信により、設置者端末２とIMES装置１の情報の授受が容易になされるので、設置者によるIMES装置１の設置とその設定の作業効率を向上させることができる。

図５は、IMES装置１を設置後、設置場所の移動などの設置情報を変更したい場合の、保守時の修正設置情報の認証と設定の説明図である。これは、以下のような場合を想定している。
・PRN番号を修正したい場合
たとえば、IMES装置を追加した際に、既存のIMES装置のPRN番号を修正する場合。PRN番号は、IMES装置の番号である。
・送信座標（設置位置座標）を修正したい場合
電波のビーム方向に合わせて、数m程度の修正を行う場合。
・IMES装置がリセットされた場合
同一の条件で（但し起動コードが違う）再アクティベーションが必要になった場合。
・IMES装置が故障した場合
故障したIMES装置の設定を別のIMES装置に引き継がせたい場合。

上記のような場合には迅速な対応が求められるが、前述した図３の事前フェーズからの設置情報の変更手続きでは時間・手間が多くかかる。そのため、次の修正手続きを行う。
１．設置者は、IMES装置１の修正情報（設置情報）を作成する。これは、初回設置フェーズでの動作３に相当する。
修正情報（設置情報）とは、設置情報の差分であり、設置者、装置型式ID、シリアル番号、起動コード、チケット、設置座標、PRNの一部または全部が含まれる。修正情報は設置情報と同様に形式化された共通のフォーマットによるテキストまたはバイナリデータ列である。その後、設置者は携帯端末２により、設置者ID、チケットとともに、修正情報を認証機関装置３に送信して認証を要求する。
２．認証機関装置３は、送信された修正情報を検証する。これは、初回設置フェーズでの動作４に相当する。
認証機関装置３は、修正情報に含まれる修正内容を検証し、問題がない場合この修正内容に対して署名を計算する。この検証は、作業効率上、できるだけ自動化されるのが好ましい。そのため、例えば修正内容が、人手による検証が必要な規模のものかを判断する。これは、送信座標の修正が数m以下である場合、単に起動コードが違う場合、PRNコードが違うが近隣と干渉がない場合、などは自動で応答する。
３．設置者は、設置情報、設置情報の署名、証明書をIMES装置１に渡す。これは、初回設置フェーズでの動作７に相当する。
４．IMES装置１は修正が正当かどうか検証する。これは、初回設置フェーズでの動作８に相当する。
これらの検証処理は、前述した初回設置フェーズでの設置情報に関する処理と同様である。
図６は、IMES装置１の状態の遷移を示す説明図である。遷移を順に説明する。

１．IMES装置１は、起動直後は非アクティベーション状態である。この際、IMES装置１は乱数で新たな起動コードを生成する。この状態では、IMES装置１のRF(無線)出力は常にOFFで、位置情報は発信されていない。
２．アクティベーションコード（認証）をIMES装置１に入力し、それが正当であると検証されれば、IMES装置１はアクティベーション状態となる。IMES装置１のRF(無線)出力はOFFの状態である。

３．設置者端末などからアクティベーション状態で送信開始要求を受けると、IMES装置１はRF(無線)出力がONになり、位置情報を発信する。IMES装置１の実装によっては、アクティベーション状態になると直ちに送信中状態に遷移してもよい。
４．IMES装置１において異常検出部２１が設置状態から不正に移動させられたり、輸送されたりするの等、何らかの異常状態を検出すると、IMES装置１は非アクティベーション状態に戻り、乱数で新たな起動コードを生成する。起動コードが変化すると、アクティベーションに必要なアクティベーションコード（認証）も変化する。どのように変化するかは、秘密鍵を持っている認証機関装置３しか計算できない。そのため、移動後のIMES装置１が移動前の座標を発信することが防止され、公正な位置情報を発信することができる。

図７、図８を用いて、IMES装置１の異常時の装置内での信号の流れを説明する。
異常検出部２１は独立して電池で駆動されており、本体部２０の外部電源が切り離されても異常検出とはしない（停電や単なる電源断と判定）。セキュリティーに関わるセンサによる異常検知は、外部電源が切り離された状態においても、常時機能しなければならないためである。

異常検出部２１と本体部２０の連携形態としては以下のものがある。
１．1つのマイコンで中のソフトブロックで切り分けて制御する。
２．1つの基板上の２個のマイコンを設けて制御する。
３．コネクタで接続された２個の部品として制御する。
２と３の場合、通信プロトコルの暗号化（途中でモジュールが交換されたり、単にショートされたりした場合に異常になるように）が、それぞれのマイコンで実装される。

異常検出部２１の具体例としては次のものがあり、少なくてもいずれかの１個のセンサが用いられる。
・光センサ２７ａ：本体の分解検知（装置１を分解すると光が入って検出する)など
・近接センサ２７ｃ：設置枠などから装置１が移動されたことを検知（設置枠までの距離を検出)
・接点２７ｂ：本体の分解検知や移動時にピンが抜けることで検出するなど
図７で信号の流れを説明する。正常状態で本体２０から異常検出の問い合わせを出すと、異常検出部２１から異常なしの応答があり、ＲＦ部がＯＮ状態となり位置情報を発信する。異常状態では、本体２０から異常検出の問い合わせを出すと、異常検出部２１から異常の応答があり、本体２１（装置１）を非アクティベーション状態とする。その後、異常原因が除かれて再度の検証がＯＫとなるとクティベーション状態となる。その後、異常検出の解除に伴って、ＲＦ部がＯＮ状態となり位置情報を発信する。

図９はIMES装置の移動時の異常検出部の動作の説明図で、異常検出部のセンサ２７として接点を示している。天井に設置されたIMES装置１が取り外されると、ピンが抜けて上方に移動し、この移動で接点が動作する構造となっている。このようにしてIMES装置１の移動などの異常が検出される。

実施例では、アクティベーションの仕組みそのものは、証明書のチェインの検証に基づいた、一般的に広く用いられている技術を用いている。そして本発明の特徴は次に示す通りである。
１．新たな起動コードの存在
新たな起動コードによって、過去の設定値（設置情報）を再び設定することを禁止している。
２．人力、非人力を含むシステムである。IMES装置の位置情報の送信許可そのものは、人の判断にゆだねられる部分もある。しかしながら、IMES装置の設置現場では、夜間、休日での迅速な作業が求められる。これらを「チケットの発行」という仕組みによって両立させている。
３．修正情報を管理し、署名付き修正情報を受け入れる。これにより、運用フェーズでの作業性が高まる。証明書のチェインの検証をIMESシステム（IMES装置内）で行うことは大きな特徴である。

本発明実施例をまとめると、
設置者端末２によって設置情報を作成して通信により認証機関装置３に認証を要求し、認証機関３で認証された設置情報を設定することにより適正な位置情報を発信する位置情報発信装置１において、装置の設置の度に新たな起動コードを生成する制御部６と、前記認証機関３の認証の正当性を検証する検証部７と、前記設置者端末２と通信を行うローカル通信部１０と、位置情報を発信する位置情報発信部９と、位置情報発信装置１の異常を検出する異常検出部２１を備え、前記検証部７は前記認証機関３が発行した証明書の正当性と設置情報の署名を検証し、正当であるとの検証結果に基いて前記制御部７は前記位置情報発信部９を発信可能な状態に制御することを特徴とする。

前記制御部は、当該装置１の設置の度に、乱数により新たな起動コードを生成する。また、前記異常検出部２１は、当該装置１が設置場所から取り外されたことで異常を検出するセンサ部２７と、異常検出部内に給電する電池２６を備え、前記制御部６は前記センサ部からの検出信号に基づいて当該装置１を非アクティベーション状態として新たな起動コードを生成し、前記検証部７は前記認証機関３が発行した前記新たな起動コードを含む設置情報の再認証の正当性を検証する。

前記ローカル通信部１０は、当該装置１と前記設置者端末２とで近距離通信により情報を授受する。また、当該装置１から発信される位置情報は、衛星測位信号と互換性を有し、当該装置１が設置される屋内の緯度、経度、階情報もしくは階情報と高度情報を含む。また、前記センサ部２７は光センサ２７ａ、接点２７ｂ、近接センサ２７ｃの少なくとも一つから構成され、位置情報発信装置１の取り外しを検出する。

さらに、本発明実施例は、設置された位置を示す位置情報を発信する位置情報発信装置１と、前記位置情報発信装置の位置情報を含む設置情報を作成して通信により認証機関３に認証を要求する設置者端末２からなる位置情報発信装置の認証システムにおいて、前記位置情報発信装置１は設置の度に、非アクティベーション状態で起動コードを生成する制御部と前記認証機関装置３の認証結果の正当性を検証する検証部７を備え、前記設置者端末２は、前記起動コードを含めて設置情報を作成してその認証を前記認証機関３に要求し、前記認証機関３から証明書を受信すると共にこの証明書を前記位置情報発信装置に送信し、前記位置情報発信装置１は、受信した前記証明書の正当性を前記検証部７で検証し、正当であるとの検証結果に基いて位置情報を発信可能な状態に制御することを特徴とする。

前記設置者端末２は、位置情報発信装置１の新規設置に際し、起動コード、設置座標からなる設置情報を作成して、通信により前記認証機関装置に認証を要求する。位置情報発信装置１の設置位置移動に際し、前記位置情報発信装置は非アクティベーション状態で新たな起動コードを生成し、前記設置者端末２は、設置者、新たな起動コード、修正後の設置座標からなる設置情報を作成して、通信により認証機関装置に認証を要求する。

前記位置情報発信装置１から発信される位置情報は、衛星測位信号と互換性を有し、位置情報発信装置１が設置される屋内の緯度、経度、階情報もしくは階情報と高度情報を含む。

前記認証機関３は設置情報の検証に基いて設置情報の署名と証明書を発行し、前記位置情報発信装置１は、前記検証部７で前記証明書と設置情報の署名を検証し、正当であるとの検証結果に基いて前記制御部６により位置情報を発信可能な状態に制御する。前記位置情報発信装置１はさらに、前記設置者端末２と通信を行うローカル通信部１０と、位置情報を発信する位置情報発信部９と、位置情報発信装置１の設置異常を検出する異常検出部２１を備え、前記検証部７は前記認証機関３が発行した証明書の正当性と設置情報の署名を検証し、正当であるとの検証結果に基いて前記制御部６は前記位置情報発信部９を発信可能な状態に制御する。前記異常検出部２１が異常を検出したとき、前記制御部６は前記位置情報発信装置１を非アクティベーション状態として乱数で起動コードを生成して、前記ローカル通信部１０から前記設置者端末２に送信し、前記設置者端末２は、起動コードを含めて設置情報を作成して前記認証機関３に認証を要求する。

１…位置情報発信装置、２…設置者端末、３…認証機関（認証機関装置）、４…インターネット、５…IMSE受信機（携帯端末）、６…制御部、７…検証部、８…メモリ、９…位置情報発信部、１０…ローカル通信部、２０…本体部、２１…異常検出部、２６…電池、２７…センサ部。

Claims (14)

1. 設置者端末によって設置情報を作成して通信により認証機関に認証を要求し、認証機関で認証された設置情報を設定することにより適正な位置情報を発信する位置情報発信装置において、
   前記位置情報発信装置の設置の度に新たな起動コードを生成する制御部と、
   前記認証機関の認証の正当性を検証する検証部と、
   前記設置者端末と通信を行うローカル通信部と、
   前記位置情報を発信する位置情報発信部と、
   前記位置情報発信装置の異常を検出する異常検出部を備え、
   前記検証部は前記認証機関が前記設置情報の検証に基いて発行した前記設置情報の署名と証明書を検証し、正当であるとの検証結果に基いて前記制御部は前記位置情報発信部を発信可能な状態に制御することを特徴とする位置情報発信装置。
2. 請求項１に記載の位置情報発信装置において、
   当該装置の設置の度に、前記制御部は乱数により新たな起動コードを生成することを特徴とする位置情報発信装置。
3. 請求項１または２に記載の位置情報発信装置において、
   前記異常検出部は、当該装置が設置場所から取り外されたことで異常を検出するセンサ部と、異常検出部内に給電する電池を備え、前記制御部は前記センサ部からの検出信号に基づいて当該装置を非アクティベーション状態として新たな起動コードを生成し、前記検証部は前記認証機関が発行した前記新たな起動コードを含む設置情報の再認証の正当性を検証することを特徴とする位置情報発信装置。
4. 請求項１〜３のいずれかに記載の位置情報発信装置において、
   前記ローカル通信部は、当該装置と前記設置者端末とで近距離通信により情報を授受することを特徴とする位置情報発信装置。
5. 請求項１〜４のいずれかに記載の位置情報発信装置において、
   当該装置から発信される位置情報は、衛星測位信号と互換性を有し、当該装置が設置される屋内の緯度、経度、階情報もしくは階情報と高度情報を含むことを特徴とする位置情報発信装置。
6. 請求項３に記載の位置情報発信装置において、
   前記センサ部は光センサ、接点、近接センサの少なくとも一つから構成され、位置情報発信装置の取り外しを検出することを特徴とする位置情報発信装置。
7. 設置された位置を示す位置情報を発信する位置情報発信装置と、前記位置情報発信装置の位置情報を含む設置情報を作成して通信により認証機関に認証を要求する設置者端末からなる位置情報発信装置の認証システムにおいて、
   前記位置情報発信装置は設置の度に、非アクティベーション状態で起動コードを生成する制御部と前記認証機関の認証結果の正当性を検証する検証部を備え、
   前記設置者端末は、前記起動コードを含めて前記設置情報を作成してその認証を前記認証機関に要求し、前記認証機関から証明書を受信すると共にこの証明書を前記位置情報発信装置に送信し、
   前記認証機関は前記設置情報の検証に基いて前記設置情報の署名と証明書を発行し、
   前記位置情報発信装置は、前記検証部で前記証明書と前記署名を検証し、正当であるとの検証結果に基いて前記制御部により前記位置情報を発信可能な状態に制御することを特徴とする位置情報発信装置の認証システム。
8. 請求項７に記載の位置情報発信装置の認証システムにおいて、
   前記位置情報発信装置は前記制御部により乱数で起動コードを生成することを特徴とする位置情報発信装置の認証システム。
9. 請求項７または８に記載の位置情報発信装置の認証システムにおいて、
   前記位置情報発信装置と前記設置者端末は近距離通信により情報を授受することを特徴とする位置情報発信装置の認証システム。
10. 請求項７〜９のいずれかに記載の位置情報発信装置の認証システムにおいて、
    前記設置者端末は、位置情報発信装置の新規設置に際し、起動コード、設置座標からなる設置情報を作成して、通信により前記認証機関に認証を要求することを特徴とする位置情報発信装置の認証システム。
11. 請求項７〜９のいずれかに記載の位置情報発信装置の認証システムにおいて、
    位置情報発信装置の設置位置移動に際し、前記位置情報発信装置は非アクティベーション状態で新たな起動コードを生成し、前記設置者端末は、設置者、新たな起動コード、修正後の設置座標からなる設置情報を作成して、通信により認証機関に認証を要求することを特徴とする位置情報発信装置の認証システム。
12. 請求項７〜１１のいずれかに記載の位置情報発信装置の認証システムにおいて、
    前記位置情報発信装置から発信される位置情報は、衛星測位信号と互換性を有し、位置情報発信装置が設置される屋内の緯度、経度、階情報もしくは階情報と高度情報を含むことを特徴とする位置情報発信装置の認証システム。
13. 請求項７〜１２のいずれかに記載の位置情報発信装置の認証システムにおいて、
    前記位置情報発信装置はさらに、前記設置者端末と通信を行うローカル通信部と、位置情報を発信する位置情報発信部と、位置情報発信装置の設置異常を検出する異常検出部を備え、
    前記検証部は前記認証機関が発行した証明書の正当性と設置情報の署名を検証し、正当であるとの検証結果に基いて前記制御部は前記位置情報発信部を発信可能な状態に制御することを特徴とする位置情報発信装置の認証システム。
14. 請求項１３に記載の位置情報発信装置の認証システムにおいて、
    前記異常検出部が異常を検出したとき、前記制御部は前記位置情報発信装置を非アクティベーション状態として乱数で起動コードを生成して、前記ローカル通信部から前記設置者端末に送信し、前記設置者端末は、起動コードを含めて設置情報を作成して前記認証機関に認証を要求することを特徴とする位置情報発信装置の認証システム。

Images