JP6086713B2

JP6086713B2 - 移動端末

Info

Publication number: JP6086713B2
Application number: JP2012272177A
Authority: JP
Inventors: 英里子安藤; 尚河内; 大和田　徹; 徹大和田
Original assignee: Renesas Electronics Corp
Current assignee: Renesas Electronics Corp
Priority date: 2012-12-13
Filing date: 2012-12-13
Publication date: 2017-03-01
Anticipated expiration: 2032-12-13
Also published as: US20140172287A1; US9208625B2; US20160078761A1; JP2014119788A; US8949017B2; US20150112511A1

Description

本発明は、移動端末に関し、例えば移動装置間で識別情報や状態情報などのプライバシーに関わる情報を送信する移動端末に適用可能である。

近年、交通事故死者数の削減を目指し、安全運転支援を目的とした車車間または路車間通信の検討が進められている。安全運転支援サービスでは、自動車などの車両は、車両情報を周囲に送信するとともに、周囲の車両から受信した車両情報および自車両の車両情報をもとに衝突、追突などの交通事故の危険性を検知し、ユーザに通知する。ここで、車両情報は、移動装置を識別する識別情報、位置、移動速度、移動方向などの車両の状態を示す状態情報を合わせたものを指す。

車両情報はプライバシーに関わる情報である上、車両と通信可能な範囲に存在する装置は車両情報を受信可能なため、安全運転支援以外の目的に悪用される可能性がある。具体的には、特定の車両を追跡している車両が、交差点などで車両を見失った場合に、受信した車両情報から追跡している車両の場所を特定し、追跡を再開する。このように、安全運転支援のために使われるべき情報が、簡単に本来とは異なる目的で使われると、サービスへの信頼をユーザから得ることができず、安全運転支援サービスの普及につながらない。したがって、車両情報が悪用されないようにすることは重要である。通信路を流れる車両情報を保護する方法としては、以下の技術が知られている。

特許文献１では、車車間通信装置に関し、車車間の通信時において、個々の車両を特定する車両ＩＤが他車両に取得されることにより、個人情報が漏洩することを防止するため、発行・配布される車両ＩＤに有効期限を設定し、有効期限が切れるごとに車両ＩＤを更新する。

特許文献２では、所定のタイミングで自車両を特定する識別情報を更新する（識別情報更新機能）。そして、自車両を特定する識別情報を更新する際に、自車両の走行状況が所定の「接近状況」であると判断されたときは、自車両の識別情報の更新を禁止する（識別情報更新機能）。

非特許文献1では、公開鍵暗号を用いて識別情報を暗号化する。公開鍵暗号の場合、情報を暗号化する側（情報送信側）は公開鍵、復号する側（情報受信側）は公開鍵に対応する秘密鍵が必要になる。先ず初めに、情報受信側は公開鍵と公開鍵に対応する秘密鍵を保持しており、情報送信側に公開鍵を送信する。情報送信側の装置は、乱数を生成した後、乱数とともに識別情報を公開鍵で暗号化する。そして、暗号化した値、乱数を情報受信側の装置に送る。情報受信側の装置は、秘密鍵と受信した乱数を用いて暗号化された値を復号し、識別情報を取得する。

また、非特許文献1にはハッシュ関数を求める方式も述べられている。情報送信側の装置は、乱数（または時刻情報）と識別情報のハッシュ値を求め、乱数とハッシュ値を送る。情報受信装置は、あらかじめ情報送信側の装置の識別情報を保存しておく。そして、各識別情報と受信した乱数（または時刻情報）からハッシュ値を求め、受信したハッシュ値と一致する識別情報を検索する。

非特許文献2では、定期的に装置の識別情報を更新する。

特開２００６−１７４１７９号公報特開２０１０−２０４９８２号公報

ポイント図解式RFID教科書 RFC2010-204982 Privacy Extensions for Address Configuration in IPv6

特許文献１および非特許文献２では、識別情報を定期的に更新するものであり、送信した自車両の車両ＩＤに基づいて他車両が運転支援を行っているときに、自車両の車両ＩＤが更新されると、他車両は自車両を特定できず、車両ＩＤを用いた運転支援の動作が不安定になる可能性があるという問題がある。特許文献２では、「接近状況」において識別情報の更新を禁止するが、この「接近状況」を脱した場合は、すぐに識別情報の更新を実行する。したがって、接近状況でないときに受ける運転支援については、特許文献１や非特許文献２と同様に送信した自車両の車両ＩＤに基づいて運転支援を行っているときに、自車両の車両ＩＤが更新されると、自車両を特定できず、車両ＩＤを用いた運転支援の動作が不安定になる可能性があるという問題がある。

その他の課題と新規な特徴は、本明細書の記述および添付図面から明らかになるであろう。

一実施の形態による移動端末は、移動装置情報が悪用される可能性判断と、提供サービスへの悪影響の大きさ判断を実施した上で、移動装置情報の送信制御の必要の有無を判断する。

上記一実施の形態によれば、提供サービスのために利用される移動装置情報が、提供サービスに悪影響を及ぼすことなく、悪用されることを防止できる。

実施例１のシステムの構成を例示する図である。実施例１の車両に搭載される装置のブロック構成を例示する図である。実施例１の周囲の車両情報を管理するテーブルを例示する図である。実施例１の交通事故危険個所を管理するテーブルを例示する図である。実施例１の車両が送信する車両情報のフォーマットを例示する図である。実施例１の車両情報送信制御処理を例示する処理フロー図である。実施例１の車両情報悪用の可能性を判断する処理を例示する処理フロー図である。実施例１の車両情報送信制御の効果を判断する処理を例示する処理フロー図である。実施例１のサービスへの悪影響を判断する処理を例示する処理フロー図である。変形例１の車両情報送信制御処理を例示する処理フロー図である。変形例２の車両情報送信制御処理を例示する処理フロー図である。実施例２における車両に搭載される装置の構成を示すブロック図である。実施例２の識別情報管理処理部の処理フローを示す図である。実施例１の無線通信制御装置の概略ハードウェア構成図である。実施例２の無線通信制御装置の概略ハードウェア構成図である。実施の形態の移動端末および移動装置情報の送信制御の処理フローを示す図である。

＜実施の形態＞
図１６は、実施の形態の移動端末および移動装置情報の送信制御の処理フローを示す図である。同図（Ａ）に示すように装置１６２０１は移動装置情報の送信制御を処理する処理部１６２１２、移動装置情報を記憶する記憶部１６２１３およびサービス提供装置１６２２０を有してしている。同図（Ｂ）に示すように、処理部１６２１２は、ステップ１６１０で、移動装置の移動装置情報が自移動装置の追跡に悪用される可能性を検知し、自移動装置の追跡に悪用される可能性があると判断した場合は、ステップ１６３０に進む。そうでない場合は、一定時間経過後、再度ステップ１６１０で自移動装置の追跡に移動装置情報が悪用される可能性の判断を行う。すなわち、移動装置情報の送信制御の必要の有無を判断する。ステップ１６３０では、移動装置情報を制御した場合に、サービス提供装置で提供するサービスへの悪影響の大きさを判断し、悪影響が大きい場合は、ステップ１６４０に進む。悪影響が小さい場合は、一定時間経過後、ステップ６１０に戻り、自移動装置の追跡に移動装置情報が悪用される危険性が継続しているか否かの検知を行う。なお、サービス提供装置で提供するサービスは、運転支援サービスである安全運転支援サービスや交通情報提供サービスである。ステップ１６４０では、移動装置情報の送信制御を行う。例えば、現在利用中の移動装置情報とは異なる移動装置情報を利用するようにする。移動装置が予め複数の移動装置情報を持っておいて、現在のものとは異なる移動装置情報を選択して使用するようにしてもよく、移動装置外部から新たな移動装置情報を貰うことで、新たな移動装置情報を使用するようにしてもよい。また、ステップ１６４０では、移動装置情報の変更に限らず、移動装置情報の外部に対する送信の一時停止を代わりに行って、移動装置情報の送信制御を行ってもよい。実施の形態によれば、提供サービスのために利用される移動装置情報が、提供サービスに悪影響を及ぼすことなく、悪用されることを防止することができる。

以下、図面を参照しながら、実施例について詳細に説明する。

本実施例で車両とは、道路交通法第２条第１項で定義される「車両」を含むものである。したがって、本実施例の車両は、自動車、原動機付自転車、自転車、同法で車両から除外されている「身体障害者用の車いす」等を含むものである。また、車両は、船、飛行機および宇宙船などの移動装置であってもよい。さらに、車両は、携帯電話、スマートフォンおよびタブレット端末などの携帯端末を所持している人であってもよい。

以下の実施例においては便宜上その必要があるときは、複数のセクションまたは実施例に分割して説明するが、特に明示した場合を除き、それらはお互いに無関係なものではなく、一方は他方の一部または全部の変形例、応用例、詳細説明、補足説明等の関係にある。また、以下の実施例において、要素の数等（個数、数値、量、範囲等を含む）に言及する場合、特に明示した場合および原理的に明らかに特定の数に限定される場合等を除き、その特定の数に限定されるものではなく、特定の数以上でも以下でもよい。

さらに、以下の実施例において、その構成要素（動作、タイミングチャート、要素ステップ、動作ステップ等も含む）は、特に明示した場合および原理的に明らかに必須であると考えられる場合等を除き、必ずしも必須のものではない。同様に、以下の実施例において、構成要素等の形状、位置関係等に言及するときは、特に明示した場合および原理的に明らかにそうでないと考えられる場合等を除き、実質的にその形状等に近似または類似するもの等を含むものとする。このことは、上記数等（個数、数値、量、範囲等を含む）についても同様である。

なお、実施例を説明するための全図において、同一の機能を有する部位や部材には同一または関連する符号を付し、その繰り返しの説明は省略する。また、以下の実施例では、特に必要なとき以外は同一または同様な部分の説明を原則として繰り返さない。

＜実施例１＞
以下に実施の形態に係る実施例の移動端末を図とともに説明する。図１は、実施例１の車車／路車間通信システムの構成を例示する図である。車車／路車間通信システム１００は、車両１０１、路側機１０２、およびサービスサーバ１０３を有する。車両１０1は、他の車両１０１または路側機１０２と無線通信を行う。路側機１０２は、車両１０１と無線通信を行う。また、路側機１０２は、サービスサーバ１０３と有線または無線で通信を行う。路側機１０２は屋外に設置しても屋内に設置してもよいし、信号機や給油スタンドなどの装置に搭載してもよい。サービスサーバ１０３は、路側機１０２と有線または無線で通信を行い、サービス情報を配信する。同図では、３台の車両１０１が道路を走行しており、十字路（交差点）付近に路側機１０２が設置されている様子を表している。なお、サービスサーバ１０３は、路側機１０２とは離れた場所に設置されている。

図２は、実施例１の車両（移動装置）に搭載される装置（移動端末）の構成を示すブロック図である。移動端末２０１は、無線通信制御装置２１０、サービス提供装置２２０、状態情報検出装置２３０、およびヒューマンインタフェース装置２４０を有する。移動端末２０１は車両１０１に搭載された装置ではなく、車両１０１に搭乗する者などが携帯してきた装置であってもよい。無線通信制御装置２１０は、車両１０１が他の車両１０１または路側機１０２と通信するための装置であり、無線通信を制御するための無線通信制御処理部２１１、車両情報の送信制御を行う車両情報送信制御処理部２１２、および車両情報送信制御処理部２１２で用いる情報を記憶する車両情報送信制御記憶部２１３を有する。車両情報送信制御処理部２１２の処理フローは図６、図１０、図１１で後述する。車両情報送信制御記憶部２１３は、車両１０１の送信制御ポリシー２１３１、識別情報２１３２、周囲の車両情報テーブル２１３３、および交通事故危険個所テーブル２１３４を記憶する。送信制御ポリシー２１３１は、車両情報の悪用の可能性、車両情報送信制御の効果、およびサービスへの悪影響の大きさを判断する際の各種閾値など車両情報の送信制御をおこなうための情報が記載されている。識別情報２１３２は車両１０１を識別するための情報であり、複数記憶している。実施例１では、あらかじめ複数の識別情報を記憶しておくが、識別情報を更新する際に、車両情報送信制御処理部２１２で生成してもよいし、記憶媒体から取得してもよいし、通信を介してサービスサーバ１０３から取得してもよい。周囲の車両情報テーブル２１３３は、自車両１０１の周囲に存在する車両情報のテーブルであり、図３に示すとおり、車両を識別するための識別情報３０１、車両が周囲にいると最初に認識した位置を示す認識開始位置３０２、および車両が周囲にいると認識した最新の位置を示す最新認識位置３０３を有する認識開始位置３０２および最新認識位置３０３は位置ではなく時刻またはその両方を用いてもよい。

車両情報送信制御処理部２１２は、周りの車両１０１や路側機１０２に、後に説明するような図５に示すような車両情報を周期的に送信する。

周囲に存在する車両に関して、図５で例示する車両情報を受信した全ての車両１０１の車両情報、または進行方向が同じ車両１０１の車両情報が周囲の車両情報テーブル２１３３に登録される。状態情報検出装置２３０を用いて周囲の車両を認識し、周囲の車両情報テーブル２１３３に登録してもよい。周囲の車両情報テーブル２１３３に登録されている車両情報を定期的に確認し、最新認識位置３０３が現在位置と一定値以上離れている場合は、周囲に存在しなくなったと認識し、周囲の車両情報テーブル２１３３から車両情報を削除する。

交通事故危険個所テーブル２１３４は、交通事故の危険が高い場所を示す情報であり、図４に示すとおり、位置情報４１０、および日時・曜日・時刻情報４２０を有する。位置情報４１０は、交通事故の危険が高い場所を示す情報であり、日時・曜日・時刻情報４２０は、交通事故の危険が高い日時・曜日・時刻を示す情報である。交通事故危険個所テーブル２１３４は、事前に記憶媒体または通信を介して設定してもよいし、定期的に路側機１０２やサービスサーバ１０３から取得してもよい。

サービス提供装置２２０は、ユーザにサービスを提供するための情報処理を行う装置であり、複数のサービスの情報処理部を有する。実施例１では、安全運転支援の情報処理部２２１、および交通情報提供の情報処理部２２２を有する。安全運転支援の情報処理部２２１では、他の車両１０１または路側機１０２から無線通信を介して受信した車両情報と状態情報検出装置２３０から取得した自車両１０１の情報をもとに、衝突・追突などの危険を検知し、ヒューマンインタフェース装置２４０を介してユーザに危険を通知する安全運転支援サービスを行う。交通情報提供の情報処理部２２２では、路側機１０２を介してサービスサーバ１０３が配信する車両１０１の目的地の交通情報を受信処理し、ヒューマンインタフェース装置２４０からユーザに交通情報を通知する交通情報提供サービスを行う。

状態情報検出装置２３０は、車両１０１の状態を検出する装置であり、複数の状態情報検出装置が存在する。実施例１では、位置情報検出装置２３１、速度情報検出装置２３２、進行方向情報検出装置２３３、および周囲情報検出装置２３４を有するが、これに限る必要はない。位置情報検出装置２３１としてはＧＰＳ（Global Positioning System）、速度情報検出装置２３２としては速度メータ、進行方向情報検出装置２３３としては方向指示器および操蛇角センサ、周囲情報検出装置２３４としてはナビゲーション装置およびカメラが挙げられるがこれらに限る必要はない。ヒューマンインタフェース装置２４０はユーザとのインタフェースであり、ディスプレイ２４１、スピーカー２４２、および入力ボタン２４３を有するが、これに限らなくてもよい。

無線通信制御装置２１０および情報提供サービス装置２２０の機能は、中央演算装置（以下、ＣＰＵとする）、記憶装置、および通信装置などを備えた情報処理装置において、ＣＰＵが記憶装置に格納されたプログラムを実行することにより、実現可能である。プログラムはあらかじめ記憶装置に格納されていてもよいし、必要に応じて、記憶媒体から、または、通信を介して他の装置から導入されてもよい。また、実施例１の装置２０１においては、無線通信制御装置２１０とサービス提供装置２２０と状態情報検出装置２３０とヒューマンインタフェース装置２４０とは各種車載LAN（Local Area Network）で通信しているが、例えば、無線通信制御装置２１０、情報提供装置２２０、状態情報検出装置２３０、およびヒューマンインタフェース装置２４０が１つの装置として実装されてもよい。

図１４は、無線通信制御装置２１０の概略ハードウェア構成図である。図１４を用い、無線通信制御装置２１０の概略ハードウェア構成を説明する。

図中、ＣＰＵ１４１０は、プログラムに従って、何らかの演算、制御処理を行なう。ＲＡＭ（揮発性記憶装置）１４２０は、ＣＰＵ１４１０のワークエリアとして用いられ、各種の演算、制御データを保管する。ＲＯＭ（不揮発性記憶装置）１４３０は、ＣＰＵ１４１０にて用いられるプログラムを保管する。ＲＡＭ１４２０は、スタティックメモリ（ＳＲＡＭ）とダイナミックメモリ（ＤＲＡＭ）の一方またはＳＲＡＭとＤＲＡＭの両方とで構成される。ＲＯＭ１４３０は、フラッシュメモリ、磁気抵抗ＲＡＭ（ＭＲＡＭ）、抵抗変化型メモリ（ＲｅＲＡＭ）、相変化メモリなどの電気的に書き換え可能な不揮発性メモリで構成される。

車内通信処理部１４４０は、無線通信制御装置２１０が、自車両１０１の移動端末２０１内に搭載される、サービス提供装置２２０などの装置と通信を行なうためのものである。バス１４５０は、無線通信制御装置２１０を構成する、ＣＰＵ１４１０などの装置と制御信号、アドレス、およびデータをやり取りするための複数の信号ラインである。通信結線端１４６０、通信結線端１４７０は、それぞれ、無線通信制御装置２１０が、無線通信処理部２１１、車内通信処理部１４４０を介して、図示しない他の装置などと通信を行なうための、任意のコネクタなどである。なお、図中、無線通信処理部２１１、車両情報送信制御部２１２、車両情報送信制御記憶部２１３については、図２に説明したものと同一であり、説明は省略する。

無線通信制御装置２１０は、ＲＯＭ１４３０に格納された所定の処理手順に従い、ＲＡＭ１４２０を用いつつ、無線通信処理部２１２、車内通信処理部１４４０を制御し、必要な無線通信制御を実施する。

実施例１においては、ＣＰＵ１４１０、ＲＡＭ１４２０およびＲＯＭ１４３０によって車両情報送信制御部２１２の機能を実現する。また、ＲＡＭ１４２０およびＲＯＭ１４３０によって車両情報送信制御記憶部２１３の機能を実現する。更に無線通信処理部２１１および車内通信処理部１４４０は、専用のハードウェア装置によって実現されるとしたが、必ずしも該構成に限るものではなく、各々の機能の実現には、任意の実現手段をとってよい。また、ＣＰＵ１４１０、ＲＡＭ１４２０、ＲＯＭ１４３０、およびバス１４５０を１つの半導体基板上に形成して１つの半導体集積回路装置としてもよい。ＣＰＵ１４１０、ＲＡＭ１４２０、およびＲＯＭ１４３０をそれぞれ別の半導体基板上に形成して、これら３つの半導体基板を１つの半導体パッケージにてパッケージングすることで、１つの半導体集積回路装置としてもよい。この場合、データバス１４５０はＣＰＵ１４１０、ＲＡＭ１４２０、およびＲＯＭ１４３０のうちのいずれかが形成された半導体基板上に設けられる。

なお、詳細な説明は省略するが、移動端末２０１に搭載されるサービス提供装置２２０、状態情報検出装置２３０、ヒューマンインタフェース装置２４０のハードウェア構成についても、無線通信制御装置２１０と同様であり、各々の機能の実現は任意である。

図５は、安全運転支援サービスにおいて、車両１０１が送信する車両情報の一例を示す。車両情報５００は、車両１０１を識別するための識別情報５１０、メッセージの種類を識別するためのメッセージタイプ５２０、車両１０１の現在位置を示す位置情報５３１、移動速度を示す速度情報５３２、および移動方向を示す進行方向情報５３３からなる状態情報５３０を有する。状態情報５３０は、位置情報５３１、速度情報５３２、および進行方向情報５３３以外の情報が含まれてもよい。

図６は、無線通信制御装置２１０の車両情報送信制御処理部２１２の処理フローを示す図である。実施例１では、車両情報の送信制御は、識別情報の変更によって行う。車両情報送信制御処理部２１２は、ステップ６１０で、車両１０１の車両情報が自車両の追跡に悪用される可能性を検知し、自車両の追跡に悪用される可能性があると判断した場合（Ｙｅｓの場合）は、ステップ６２０に進み、そうでない場合（Ｎｏの場合）は、一定時間経過後、再度ステップ６１０で自車両の追跡に車両情報が悪用される可能性の判断を行う。

ステップ６２０では、識別情報を更新した場合の効果を確認し、効果があると判断した場合（Ｙｅｓの場合）はステップ６３０に進み、効果がないと判断した場合（Ｎｏの場合）は、一定時間経過後、ステップ６１０に戻り、自車両の追跡に車両情報が悪用される可能性が継続しているか否かの検知を行う。

ステップ６３０では、識別情報を変更した場合に、サービス提供装置２２０で提供するサービスに悪影響を及ぼす可能性を判断し、悪影響を及ぼす可能性が低い場合（Ｙｅｓの場合）は、ステップ６４０に進む。悪影響を及ぼす可能性が高い場合（Ｎｏの場合）は、一定時間経過後、ステップ６１０に戻り、自車両の追跡に車両情報が悪用される危険性が継続しているか否かの検知を行う。ステップ６４０では、車両情報送信制御記憶部２１３に記憶している複数の識別情報２１３２の中で、現在利用中の識別情報とは異なる識別情報を利用するようにする。例えば、車両が予め複数の識別情報を持っておいて、現在のものとは異なる識別情報を選択し、以後は選択した識別情報を利用する。また、車両外部から新たな識別情報を貰うことで、新たな識別情報を使用するようにしてもよい。

ステップ６１０の自車両の追跡に車両情報が悪用される可能性判断処理、ステップ６２０の識別情報更新の効果判断処理、およびステップ６３０のサービスへの悪影響の大きさ判断処理は、それぞれ図７、図８、および図９を用いて述べる。

図７は、自車両の追跡に車両情報が悪用される可能性を判断する処理フローを例示する図である。自車両の追跡に車両情報が悪用される可能性があるか否かは、自車両が一定距離以上を走行した場合でも、同じ車両が周囲に存在するか否かで判断する。

ステップ７１０で、位置情報検出装置２３１から自車両の現在の位置情報を取得し、ステップ７２０に進む。ステップ７２０では、周囲の車両情報テーブル２１３３に登録されている車両情報の中で、ステップ７１０で取得した位置情報と最新認識位置３０３が一定値以下の車両情報が存在するか否かを確認する。存在する場合（Ｙｅｓの場合）はステップ７３０に進み、存在しない場合（Ｎｏの場合）はステップ７５０で可能性なしと判断し、処理を終了する。ステップ７３０では、ステップ７２０で抽出した車両情報の中で、認識開始位置３０２と最新認識位置３０３が一定値以上のものが存在するか否かを確認する。存在する場合（Ｙｅｓの場合）はステップ７４０で可能性ありと判断し、存在しない場合（Ｎｏの場合）はステップ７５０で可能性なしと判断し、処理を終了する。このようにステップ７１０で取得した現在の位置情報と最新認識位置３０３が一定値以下である車両が存在し、この車両の認識開始位置３０２と最新認識位置３０３が一定値以上である場合は、この車両が自車両の周囲に一定距離以上存在しているとみなす。図７に例示する処理フローで車両情報の悪用の可能性を検知していない状況でも、入力ボタン２４３によりユーザから悪用の可能性ありが入力された場合には、図６のステップ６１０において車両情報の悪用の可能性があると判断し、ステップ６２０に進む。

図３の周囲の車両情報テーブル２１３３は、識別情報３０１、認識開始位置３０２、および最新認識位置３０３で構成されるため、図７に示す処理フローでは、自車両の追跡に車両情報が悪用される可能性を距離で判断するが、周囲の車両情報テーブル２１３３が、識別情報、認識開始時刻、および最新認識時刻で構成される場合は、自車両の追跡に車両情報が悪用される可能性があるか否かを時間で判断する。周囲の車両情報テーブル２１３３が位置と時刻の情報で構成される場合は、自車両の追跡に車両情報が悪用されるか否かを位置と時刻で判断する。

図８は、車両情報の送信制御を行った場合に、自車両を追跡している可能性のある車両１０１が、自車両の車両情報を悪用できなくなるか否かを判断する処理フローを例示する図である。車両情報を悪用できなくなる第１の条件は、進行方向が変更した場合と、周囲に他の車両が存在するまたはお店が存在するまたは分かれ道がある等にて追跡している相手を紛らわせることができる場合とである。第２の条件は、自車両が信号機を通過した後に信号機の色が変化した場合とする。

ステップ８１０で、進行方向情報検出装置２３３から自車両の現在の進行方向情報を取得し、進行方向を変更中か否かを判断する。進行方向を変更中の場合（Ｙｅｓの場合）はステップ８２０に進み、進行方向変更が終了するまで待った後、ステップ８３０に進む。進行方向を変更していない場合（Ｎｏの場合）はステップ８５０に進み、信号機の色の変化が検知可能か否かを判断する（ステップ８５０）。検知不可能な場合（Ｎｏの場合）は車両情報変更の効果がないと判断し、処理を終了する（ステップ８７０）。検知可能な場合（Ｙｅｓの場合）は、信号機を通過後であり、かつ信号機の色が変化したか否かを判定する（ステップ８６０）。ステップ８６０にて条件を満たしたと判断された場合（Ｙｅｓの場合）はステップ８４０に進む。それ以外の場合（Ｎｏの場合）は車両情報変更の効果がないと判断し、処理を終了する（ステップ８７０に進む）。ステップ８３０では、以下のような形にて追跡している相手を紛らわせることができる場合を検出する。周囲情報検出装置２３４または周囲の車両情報テーブル２１３３、またはその両方を用いて周囲に車両がいるかを判断する。周囲情報検出装置２３４から周囲の施設情報を取得し、駐車場、大型施設などが存在する場合は、追跡している相手を紛らわせることができる場合と判断する。または、周囲の車両情報テーブル２１３３に記載されている車両情報の中で、最新認識位置が、位置情報取得装置２３１から取得した自車両の現在位置情報との距離が一定値以内の車両が存在する場合は、周囲に車両が存在するとする。更に周囲情報検出装置２３４から周囲の施設情報を取得し、分かれ道が存在する場合は、追跡している相手を紛らわせることができる場合と判断する。ステップ８３０で追跡している相手を紛らわせることができると判断した場合（Ｙｅｓの場合）は、ステップ８４０に進み、車両情報送信制御の効果があるとし、判断処理を終了する。そうでない場合（Ｎｏの場合）は、ステップ８７０に進み、車両情報送信制御の効果がないとし、判断処理を終了する。

図９は、車両情報送信制御を行った場合のサービスへの悪影響の大きさを判断する処理フローを例示する図である。ステップ９１０で、サービス提供装置２２０の安全運転支援処理部２２１を用いて提供される安全運転支援サービスから交通事故の危険度を確認し、交通事故の危険性があると判断する場合（Ｙｅｓの場合）は、ステップ９６０に進み、サービスへの悪影響が大きいと判断し、判断処理を終了する。そうでない場合（Ｎｏの場合）は、ステップ９２０に進み、交通事故危険個所テーブル２１３４に交通事故危険個所の情報があるか否かを確認する。ある場合（Ｙｅｓの場合）は、ステップ９３０に進み、ない場合（Ｎｏの場合）はステップ９４０に進む。ステップ９３０では、現在の場所、日付・曜日・時間が交通事故多発箇所テーブル２１３４に記載されているか否かを確認する。記載されている場合（Ｙｅｓの場合）はステップ９６０に進み、サービスへの悪影響が大きいと判断し、判断処理を終了する。記載されていない場合（Ｎｏの場合）はステップ９４０に進む。

ステップ９４０では、サービス提供装置２２０が提供する安全運転支援サービス以外のサービスへの悪影響の大きさを判断する。悪影響が大きいと判断する条件はサービスによって異なる。交通情報の提供処理部２２２は、路側機１０２を介して交通情報配信サーバであるサービスサーバ１０３から車両１０１の目的地周辺の渋滞情報を取得中の場合か否かを判断し、交通情報取得が完了していない場合（Ｎｏの場合）は、ステップ９６０に進み、サービスへの悪影響が大きいと判断し、判断処理を終了する。なお、渋滞情報に限らず、交通情報配信サーバから交通情報取得を行う場合は、交通情報取得が完了しているか否かの判断を行う。交通情報配信サーバとの通信が発生していない場合（Ｙｅｓの場合）は、ステップ９５０に進み、サービスへの悪影響が小さいと判断し、処理を終了する。

ステップ６１０の自車両の追跡に車両情報が悪用される可能性判断処理、ステップ６２０の識別情報更新の効果判断処理、およびステップ６３０のサービスへの悪影響の大きさ判断処理に関しては、実施例１では以下のような形となっている。ステップ６１０にて、悪用の可能性があると判断された場合（Ｙｅｓの場合）は、ステップ６２０に進み、ステップ６２０にて効果があると判断された場合（Ｙｅｓの場合）は、ステップ６３０に進み、ステップ６３０にて悪影響が少ないと判断された場合（Ｙｅｓの場合）は、ステップ６４０に進む形となっている。しかしながら、ステップ６１０、ステップ６２０、およびステップ６３０の順番は順次入れ替えてもよい。例えば、ステップ６３０とステップ６１０を入れ替えてもよく、ステップ６１０をステップ６２０の箇所にし、ステップ６２０をステップ６３０の箇所にし、ステップ６３０をステップ６１０の箇所にしてもよく、ステップ６２０とステップ６３０を入れ替えてもよい。この入れ替えを行ったとしても、図６の動作フローのYesとNoの矢印は変わらない。

ステップ６２０およびステップ６３０は両方あるのが好ましいが、どちらか一方でもよい。ステップ６２０よりもステップ６３０の処理の方がより存在するのが望ましい。これは、サービス提供装置で提供するサービスへの悪影響を及ぼすと、安全運転支援に支障が出るためであり、安全運転支援に支障が出ると、車両に乗車中の人名を危険にさらすことになるからである。ステップ６２０は、無くても車両に乗車中の人名を危険にさらすようなことは無く、車両の処理負担が減るメリットがあるものだから、ステップ６３０に比べて優先度は低い。実施例１は、移動端末２０１に大量のメモリを必要としない、処理負荷が軽い、またはサービスへの悪影響が小さい方法で、車両情報（移動装置情報）の悪用防止を実現するものである。

（１）移動装置情報が悪用される可能性判断を実施した上で、移動装置情報の送信制御の必要の有無を判断する。

このようにすることで、移動装置情報が悪用される可能性のある移動装置の情報のみを保持すればよく、全ての移動装置情報を保持する必要がないため、メモリの使用量は少なくすることができる。

（２）移動装置情報が悪用される可能性判断と、サービスへの悪影響の大きさ判断を実施した上で、移動装置情報の送信制御の必要の有無を判断する。

このようにすることで、安全運転支援サービスまたは交通情報配信サービスのために利用される移動装置情報が、サービスに悪影響を及ぼすことなく、追跡中の移動装置を見失った場合に、移動装置の居場所を再発見するために悪用されることを防止できる。

（３）移動装置情報の送信を制御することによる効果判断を鑑みて、移動装置情報の送信制御の必要の有無を判断する。

このようにすることで、移動装置情報の送信制御を効果的に出来るタイミングにて移動装置情報の送信制御を行うことができる。

（４）移動装置情報が悪用される可能性の判断は以下のように行う。周囲に存在する移動装置情報を保持し、同じ移動装置が一定時間または一定距離周囲にいる場合は、追跡されている危険性があるため、移動装置情報が悪用される可能性があると判断する。

このようにすることで、周囲に存在する移動装置の情報のみを保持すればよく、全ての移動装置情報を保持する必要がないため、メモリの使用量は少なくてすむ。メモリの使用量を少なくすることにより、無線通信制御装置２１０が１つの半導体基板上に形成することができる。また、無線通信制御装置２１０が複数の半導体チップで構成される場合であっても、１つの半導体パッケージにパッケージすることができる。これによって、無線通信制御装置２１０を小型化することができる。

（５）移動装置情報の送信制御の効果の判断は以下のように行う。一定時間または一定距離周囲にいる移動装置が自移動装置を見失う可能性があるか否かで判断する。見失う可能性がある場合とは進行方向が変化した後、周囲に自移動装置以外の車両が存在する可能性がある場合、または信号機の色が変化した場合である。

（６）サービスへの悪影響の大きさ判断は以下のように行う。安全運転支援サービスの場合、交通事故が発生する危険性で判断する。その他のサービスでは、他の装置と通信中か否かで判断する。

なお、移動装置情報の悪用防止のための送信制御とは、識別情報を変更するまたは移動装置情報の送信を一時停止することである。移動装置情報の送信の一時停止については、後の変形例に詳しく記載されている。

上記（２）の処理を適用した場合、暗号処理を行っていないので、情報受信側の装置は、復号処理などの移動装置情報の悪用防止のための処理が不要であり、移動端末の処理負荷が軽くなる。上記（２）および（３）の処理を適用した場合、情報送信側の装置は、定期的に移動装置情報の悪用の可能性、移動情報の送信制御の効果、サービスへの悪影響の大きさ判断処理が発生するが、これらの処理の発生周期は、移動装置情報の送信周期より長くてよいため、移動装置情報を送信する度に暗号処理するより処理負荷が軽くてすむ。

（変形例１）
以下に実施例１に係る変形例を図とともに説明する。変形例１では、実施例１と異なる部分のみ説明する。実施例１は、車両情報が悪用される可能性がある場合に、識別情報を変更するが、変形例１は、車両情報が悪用される可能性がある場合には、車両情報の送信を一時停止する。

図１０は、変形例１における無線通信制御装置２１０の車両情報送信制御処理部２１２の処理フローを例示する図である。ステップ１０１０で、車両１０１が送信する識別情報が自車両の追跡に悪用される可能性があると判断した場合（Ｙｅｓの場合）は、ステップ１０２０に進み、そうでない場合（Ｎｏの場合）は、一定時間経過後、再度ステップ１０１０で自車両の追跡に車両情報が悪用される可能性の検知を行う。車両１０１の車両情報が自車両の追跡に悪用される可能性の判断は、実施例１で述べた図７に例示する処理フローと同様である。ステップ１０２０では、車両情報送信を一時停止した場合の効果を確認し、効果があると判断した場合（Ｙｅｓの場合）はステップ１０３０に進み、効果がないと判断した場合（Ｎｏの場合）は、一定時間経過後、ステップ１０１０に戻り、自車両の追跡に車両情報が悪用される可能性が継続しているか否かの検知を行う。車両情報送信を一時停止した場合の効果の判断は、実施例１で述べた図８に例示する処理フローと同様である。ステップ１０３０では、車両情報の送信を一時停止した場合に、サービス提供装置２２０で提供するサービスに悪影響を及ぼす可能性を判断し、悪影響が小さい場合（Ｙｅｓの場合）は、ステップ１０４０に進む。サービスへの悪影響の大きさの判断は、実施例１で述べた図９に例示する処理フローと同様である。

ステップ１０３０で悪影響が大きい判断した場合（Ｎｏの場合）は、一定時間経過後、ステップ１０１０に戻り、自車両の追跡に車両情報が悪用される危険性が継続しているか否かの検知を行う。ステップ１０４０では、安全運転支援処理部２２１が送信する車両情報の送信停止を開始し、ステップ１０５０に進む。ステップ１０５０で車両情報の送信停止時刻から一定時間経過または状態情報５３０の送信位置から一定距離通過したかを確認する。一定時間経過または一定距離通過の場合（Ｙｅｓの場合）は、ステップ１０６０に進み、車両情報の送信を再開する。そうでない場合（Ｎｏの場合）は、一定時間経過または一定距離経過するまでステップ１０３０およびステップ１０４０の処理を行ってから、ステップ１０５０の判断を繰り返す処理を行う。この繰り返し処理ループ中のステップ１０３０でサービスへの悪影響が大きいと判断した場合（Ｎｏの場合）は、車両情報送信の一時停止を中止し、車両情報送信を再開する。一定時間経過後、ステップ１０１０に戻り、自車両の追跡に車両情報が悪用される危険性が継続しているか否かの検知を行う。このように、繰り返し処理ループ中にステップ１０３０があることで、車両情報の送信停止中にサービスへの悪影響がありそうなら、車両情報を送信して事故のリスクを減らすことができる。車両情報の送信を一時停止することで車両情報の悪用を防止する。

実施例１と同じように、ステップ１０１０、ステップ１０２０、およびステップ１０３０は順次入れ替えてもよい。例えば、ステップ１０３０とステップ１０１０を入れ替えてもよく、ステップ１０１０をステップ１０２０の箇所にし、ステップ１０２０をステップ１０３０の箇所にし、ステップ１０３０をステップ１０１０の箇所にしてもよく、ステップ１０２０とステップ１０３０を入れ替えてもよい。この入れ替えを行ったとしても、図１０の動作フローのYesとNoの矢印は以下を除いては変わらない。このようにステップを入れ替えた場合、ステップ１０５０にて一定時間または一定距離経過していないと判断された場合は、サービスへの悪影響が小さいか否かを判断するステップに戻るようにすべきである。

変形例１では、移動装置情報の悪用防止のための送信制御として、実施例１のように識別情報を変更するものではなく、移動装置情報の送信を一時停止するものである。実施例１と同様に、移動端末に大量のメモリを必要としない、処理負荷が軽い、またはサービスへの悪影響が小さい方法で、移動装置情報の悪用防止を実現することができる。

（変形例２）
以下に実施例１に係る別の変形例を図とともに説明する。変形例２では、実施例１および変形例１と異なる部分のみ説明する。変形例２は、車両情報が悪用される可能性があると判断した場合に、その度識別情報を更新するか車両情報送信を一時停止するかを判断する。

図１１は、変形例２における無線通信制御装置２１０の車両情報送信制御処理部２１２の処理フローを例示する図である。ステップ１１１０で、車両１０１の車両情報が自車両の追跡に悪用される可能性を判断し、自車両の追跡に悪用される危険があると判断した場合（Ｙｅｓの場合）は、ステップ１１２０に進み、そうでない場合（Ｎｏの場合）は、一定時間経過後、再度ステップ１１１０で自車両の追跡に車両情報が悪用される可能性の検知を行う。車両１０１の車両情報が自車両の追跡に悪用される可能性の判断は、実施例１で述べた図７に例示する処理フローと同様である。ステップ１１２０では、車両情報の送信制御を実施した場合の効果を確認し、効果があると判断した場合（Ｙｅｓの場合）はステップ１１３０に進み、効果がないと判断した場合（Ｎｏの場合）は、一定時間経過後、ステップ１１１０に戻り、自車両の追跡に車両情報が悪用される可能性が継続しているか否かの判断をおこなう。車両情報の送信制御の効果があるか否かの判断は、実施例１で述べた図８に例示する処理フローと同様である。

ステップ１１３０では、車両情報の送信制御をおこなった場合に、サービス提供装置２２０で提供するサービスへの悪影響の大きさを判断し、悪影響が小さい場合（Ｙｅｓの場合）は、ステップ１１４０に進む。サービスへの悪影響の大きさの判断は、実施例１で述べた図９に例示する処理フローと同様である。ステップ１１３０で悪影響が大きいと判断した場合（Ｎｏの場合）は、一定時間経過後、ステップ１１１０に戻り、自車両の追跡に車両情報が悪用される可能性が継続しているか否かの判断を行う。

ステップ１１４０では、安全運転支援処理部２２１が識別情報を変更するか車両情報送信の一時停止を実施するかを判断する。車両情報送信を一時停止する場合（図１１では「車両情報」と記載されている。）はステップ１１５０に進み、ステップ１１６０で一定時間経過または一定距離走行したかを確認した後、ステップ１１９０で車両情報送信を開始し、ステップ１１１０に戻る。ステップ１１４０で識別情報を変更すると判断した場合（図１１では「識別情報」と記載されている。）は、ステップ１１７０に進み、車両情報送信制御記憶部２１３に記憶している複数の識別情報２１３２の中で、現在利用中の識別情報とは異なる識別情報を選択し、以後は選択した識別情報を利用する。ステップ１１８０で、車両情報送信の一時停止が実施中と判断した場合（Ｙｅｓの場合）は、ステップ１１９０に進み、車両情報送信を再開した後、ステップ１１１０に戻り、識別情報の悪用の可能性を判断する。ステップ１１８０で、車両情報送信の一時停止を実施していないと判断した場合（Ｎｏの場合）は、ステップ１１１０に戻る。

ステップ１１６０に処理ステップが到達した場合、一定時間経過または一定距離経過するまでステップ１１３０、ステップ１１４０、およびステップ１１５０の処理を行ってから、ステップ１１６０の判断を繰り返す処理を行う。この繰り返し処理ループ中のステップ１１３０でサービスへの悪影響を及ぼす可能性が高いと判断した場合（Ｎｏの場合）は、車両情報送信の一時停止を中止し、車両情報送信を再開する。一定時間経過後、ステップ１１１０に戻り、自車両の追跡に車両情報が悪用される危険性が継続しているか否かの検知を行う。このように、繰り返し処理ループ中にステップ１１３０があることで、車両情報の送信停止中にサービスへの悪影響がありそうなら、車両情報を送信して事故のリスクを減らすことができる。

実施例１と同じように、ステップ１１１０、ステップ１１２０、およびステップ１１３０は順次入れ替えてもよい。例えば、ステップ１１３０とステップ１１１０を入れ替えてもよく、ステップ１１１０をステップ１１２０の箇所にし、ステップ１１２０をステップ１１３０の箇所にし、ステップ１１３０をステップ１１１０の箇所にしてもよく、ステップ１１２０とステップ１１３０を入れ替えてもよい。この入れ替えを行ったとしても、以下に示す場合を除いて図１１の動作フローのYesとNoの矢印は変わらない。なお、このようにステップを入れ替えた場合、ステップ１１６０にて一定時間または一定距離経過していないと判断された場合は、サービスへの悪影響が小さいか否かを判断するステップに戻るようにすべきである。

変形例２では、移動装置情報の悪用防止のための送信制御として、実施例１と変形例２とを組み合せたもので、その度移動装置情報を更新するか移動装置情報送信を一時停止するかを判断するものである。実施例１および変形例２と同様に、移動端末に大量のメモリを必要としない、処理負荷が軽い、またはサービスへの悪影響が小さい方法で、移動装置情報の悪用防止を実現することができる。

＜実施例２＞
以下に実施の形態に係る別の実施例の移動端末を図とともに説明する。実施例２では、実施例１および変形例２と異なる部分を説明する。実施例２は、実施例１または変形例２に示す機能構成を有し、また所定の動作を行うとともに、識別情報を変更すると判断した場合に、識別情報の変更に伴って変更が必要となる情報の変更を行う。実施例２の移動装置も実施例１の図1で説明した車車／路車間通信システムに使用される。

図１２は実施例２における車両に搭載される装置（移動端末）の構成を示すブロック図である。車両１０１に搭載される移動端末１２２０１は、無線通信制御装置１２１０とサービス提供装置２２０と状態情報検出装置２３０とヒューマンインタフェース装置２４０とを有する。図２に示す移動端末２０１と異なる部分を説明し、同じ部分の説明は省略する。実施例２の無線通信制御装置１２１０は、無線通信処理部２１１、車両情報送信制御部２１２、および車両情報送信制御記憶部２１３に加えて、署名生成・検証処理部２１４、セキュリティ情報記憶部２１５、および識別情報管理処理部２１６を有する。

署名生成・検証処理部２１４は、車両１０１が送信する情報の真正性および完全性を保証するための署名生成と、車両１０１が受信する情報の真正性および完全性を検証するための署名検証とを行う。セキュリティ情報記憶部２１５は署名生成・検証に必要な秘密鍵２１５１、および公開鍵証明書２１５２を記憶する。秘密鍵２１５１は署名生成する際に必要な鍵であり、公開鍵証明書２１５２は車両１０１が生成した署名を検証してもらうために他の車両１０１送信するものである。公開鍵証明書２１５２には、秘密鍵２１５１に対応する公開鍵、および識別情報２１３２などが含まれている。したがって、識別情報２１３２の数に対応して、秘密鍵２１５１、および公開鍵証明書２１５２も存在する。実施例２では、あらかじめ複数の識別情報２１３２を記憶しておくため、複数の識別情報２１３２に対応した複数の秘密鍵２１５１と公開鍵証明書２１５２が記憶されているものとする。識別情報管理処理部２１６は、車両情報送信制御部２１２の処理で識別情報２１３２が変更されたことを検知し、識別情報２１３２の変更に応じて変更が必要な情報を変更する。実施例２における識別情報管理処理部２１６は、識別情報２１３２が変更されていないかを周期的にもしくは車両情報送信制御部２１２からの通知により確認し、変更が確認された場合は、変更された識別情報２１３２に対応する秘密鍵２１５１と公開鍵証明書２１５２を選択し、以後は選択した秘密鍵と公開鍵証明書を利用する。

図１５は、無線通信制御装置１２１０の概略ハードウェア構成図である。図１５を用い、無線通信制御装置１２１０の概略ハードウェア構成を説明する。図１４に示す無線通信制御装置２１０と異なる部分を説明する。実施例２における無線通信制御装置１２１０には、実施例１における無線通信制御装置２１０の構成に加え、セキュア処理モジュール１５８０が存在する。セキュア処理モジュール１５８０は、外部から本モジュール内に記録されているデータの不正な参照や改ざんなどを困難にする、いわゆる耐タンパ機能を有する情報処理モジュールであり、ＣＰＵ、ＲＯＭ、ＲＡＭ、または専用のハードウェア装置で構成される。実施例２における署名生成・検証処理部２１４、セキュリティ情報記憶部２１５、および識別情報管理処理部２１６はセキュア処理モジュール１５８０内にある。セキュア処理モジュール１５８０のハードウェア構成としては、プログラムに従って、何らかの演算、制御処理を行なうＣＰＵ１５１０と、ＣＰＵ１５１０のワークエリアとして用いられ、各種の演算、制御データを保管するＲＡＭ１５２０と、ＣＰＵ１５１０にて用いられるプログラムを保管するＲＯＭ１５３０と、ＣＰＵ１５１０と、ＲＡＭ１５２０と、ＲＯＭ１５３０とを相互に接続し、各種コマンド、アドレス、データを互いにやり取りするバス１５４０とで構成されている。必ずしも該構成に限るものではなく、各々の機能の実現には、任意の実現手段をとってよい。ＲＡＭ１５２０は、スタティックメモリ（ＳＲＡＭ）とダイナミックメモリ（ＤＲＡＭ）の一方またはＳＲＡＭとＤＲＡＭの両方とで構成される。ＲＯＭ１５３０は、フラッシュメモリ、磁気抵抗ＲＡＭ（ＭＲＡＭ）、抵抗変化型メモリ（ＲｅＲＡＭ）、相変化メモリなどの電気的に書き換え可能な不揮発性メモリで構成される。

ＣＰＵ１５１０とＲＡＭ１５２０とＲＯＭ１５３０とによって署名生成・検証処理部２１４、および識別情報管理処理部２１６の機能を実現し、ＲＡＭ１５２０とＲＯＭ１５３０によってセキュリティ情報記憶部２１５の機能を実現する。また、ＣＰＵ１５１０、ＲＡＭ１５２０、ＲＯＭ１５３０、およびバス１５４０を１つの半導体基板上に形成して１つの半導体集積回路装置としてもよい。ＣＰＵ１５１０、ＲＡＭ１５２０、およびＲＯＭ１５３０をそれぞれ別の半導体基板上に形成して、これら３つの半導体基板を１つの半導体パッケージにてパッケージングすることで、１つの半導体集積回路装置としてもよい。この場合、バス１５４０はＣＰＵ１５１０、ＲＡＭ１５２０、およびＲＯＭ１５３０のうちのいずれかが形成された半導体基板上に設けられる。さらに、ＣＰＵ１４１０、ＲＡＭ１４２０、ＲＯＭ１４３０、およびバス１４５０を１つの半導体基板上に形成し、ＣＰＵ１５１０、ＲＡＭ１５２０、ＲＯＭ１５３０、およびバス１５４０を別の半導体基板上に形成し、これら２つの半導体基板を１つの半導体パッケージにパッケージングすることで、１つの半導体集積回路装置としてもよい。また、図１５においては、ＣＰＵ１５１０、ＲＡＭ１５２０、ＲＯＭ１５３０、およびバス１５４０によって、セキュア処理モジュール１５８０が構成されるとしたが、セキュア処理モジュール１５８０は専用のハードウェア装置で構成されるという形をとってもよい。さらに、また、図１５においては、ＣＰＵ１４１０、ＲＡＭ１４２０、およびＲＯＭ１４３０と独立して、セキュア処理モジュール１５８０が存在するとしたが、例えば、ＣＰＵ１５１０、ＲＡＭ１５２０、ＲＯＭ１５３０、およびバス１５４０を具備せず、ＣＰＵ１４１０とＲＡＭ１４２０とＲＯＭ１４３０とによって署名生成・検証処理部２１４、および識別情報管理処理部２１６の機能を実現し、ＲＡＭ１４２０とＲＯＭ１４３０によってセキュリティ情報記憶部２１５の機能を実現するという形を取ってもよい。

実施例２において、識別情報２１３２の変更に伴って変更の必要がある情報は秘密鍵と公開鍵証明書であるが、他に存在してもよい。その際の識別情報管理処理部２１６の処理フローを図１３に示す。ステップ１３１０で識別情報２１３２の変更の確認を行う。変更が確認された場合（Ｙｅｓの場合）はステップ１３２０に進み、変更が必要な情報が存在するか否かを確認する。変更が確認できない場合（Ｎｏの場合）は、一定時間後にステップ１３１０に戻って、再び識別情報２１３２の変更の確認を行う。ステップ１３２０にて変更が必要な情報が存在することを確認した場合（Ｙｅｓの場合）は、ステップ１３３０で変更が必要な情報を全て変更し、ステップ１３１０に戻る。ステップ１３２０にて変更が必要な情報が存在することを確認できなかった場合（Ｎｏの場合）は、ステップ１３１０に戻って、再び識別情報２１３２の変更の確認を行う。

実施例２ではあらかじめ複数の識別情報２１３２を記憶しておくため、複数の識別情報２１３２に対応した複数の秘密鍵２１５１と公開鍵証明書２１５２も記憶する必要がある。しかし、実施例２でも実施例１と同様に周囲に存在する車両の情報のみを保持すればよく、すべての車両の情報を保持する必要がないため、メモリの使用量は少なくすることができる。暗号化処理および復号化処理を行うセキュア処理モジュールを車両情報送信制御処理部２１２とは別に設けているので、処理負荷を分散することができる。

実施例２では、移動装置情報の悪用防止のための送信制御として、実施例１または変形例２と同様であるので、実施例１および変形例２と同様に、移動端末に大量のメモリを必要としない、処理負荷が軽い、またはサービスへの悪影響が小さい方法で、移動装置情報の悪用防止を実現することができる。

以上本発明者によってなされた発明を実施形態および実施例に基づいて具体的に説明したが、本発明はそれに限定されるものではなく、種々変更可能であることは言うまでもない。

１０１車両
２０１、１６２０１移動端末
２１０無線通信制御装置
２２０、１６２２０サービス提供装置
２３０状態情報検出装置
２４０ヒューマンインタフェース装置
５００車両情報
５１０識別情報
５３０状態情報
１６２１２処理部
１６２１３記憶部

Claims

移動装置に搭載され、移動装置を識別するための識別情報および移動装置の状態を表す状態情報を含む移動装置情報を周期的に送信し、他の移動装置から受信した前記移動装置情報である第二移動装置情報と自身の移動装置の前記状態情報である第一状態情報から、他の移動装置と衝突または追突の可能性があるか否かを判断する移動端末であって、自身の移動装置が他の移動装置に追跡されている可能性を判断し、前記追跡されている可能性に従って、自身の移動装置の前記移動装置情報である第一移動装置情報の送信制御を実施することによって追跡が中断される可能性を判断し、前記第一移動装置情報の送信制御を実施した場合に、自身の移動装置が他の移動装置と衝突または追突する可能性を判断し、前記追跡されている可能性と、前記追跡が中断される可能性と、前記衝突または追突する可能性とに従って、前記第一移動装置情報の送信制御を実施し、
他の移動装置と衝突または追突の可能性がない場合でも、他の装置から交通情報取得を実施中の場合は、前記第一移動装置情報の送信制御を実施しない移動端末。
移動装置に搭載され、移動装置を識別するための識別情報および移動装置の状態を表す状態情報を含む第一移動装置情報を周期的に送信し、他の移動装置から受信した前記移動装置情報である第二移動装置情報と自身の移動装置の前記状態情報である第一状態情報から、他の移動装置と衝突または追突する可能性を判断する移動端末であって、自身の移動装置が他の移動装置に追跡されている可能性を判断し、自身の移動装置が他の移動装置と衝突または追突する可能性を判断し、前記追跡されている可能性と、前記衝突または追突する可能性とに従って、前記第一移動装置情報の送信制御を実施し、
他の移動装置と衝突または追突の可能性がない場合でも、他の装置から交通情報取得を実施中の場合は、前記第一移動装置情報の送信制御を実施しない移動端末。
請求項１または２に記載の移動端末において、一定以上の時間または一定以上の距離を自身の移動装置が移動した場合に、自身の移動装置の周囲に存在する移動装置がいる場合、またはユーザからの通知がある場合は、自身の移動装置が他の移動装置に追跡されていると判断する移動端末。
請求項１または２に記載の移動端末において、前記第一移動装置情報の送信制御として、前記識別情報を更新する移動端末。
請求項１または２に記載の移動端末において、前記第一移動装置情報の送信制御として、前記識別情報および前記識別情報の更新に伴って更新の必要がある情報を更新する移動端末。
請求項１または２に記載の移動端末において、前記第一移動装置情報の送信制御として、前記第一移動装置情報の送信を一時停止する移動端末。
請求項１または２に記載の移動端末において、前記第一移動装置情報の送信制御として、前記識別情報を更新する、または前記識別情報および前記識別情報の更新に伴って更新の必要がある情報を更新する、または前記第一移動装置情報送信を一時停止する移動端末。
移動装置に搭載され、移動装置を識別するための識別情報および移動装置の状態を表す状態情報を含む移動装置情報を周期的に送信し、他の移動装置から受信した前記移動装置情報である第二移動装置情報と自身の移動装置の前記状態情報である第一状態情報から、他の移動装置と衝突または追突の可能性があるか否かを判断する移動端末であって、自身の移動装置が他の移動装置に追跡されている可能性を判断し、前記追跡されている可能性に従って、自身の移動装置の前記移動装置情報である第一移動装置情報の送信制御を実施することによって追跡が中断される可能性を判断し、前記第一移動装置情報の送信制御を実施した場合に、自身の移動装置が他の移動装置と衝突または追突する可能性を判断し、前記追跡されている可能性と、前記追跡が中断される可能性と、前記衝突または追突する可能性とに従って、前記第一移動装置情報の送信制御を実施し、
自身の移動装置が進行方向を変更したかつ周囲に他の移動装置が存在する可能性があることを検知した場合、または自身の移動装置が通過した信号機の色が変化したことを検知した場合は、前記第一移動装置情報の送信制御を実施することによって追跡が中断される可能性があると判断する移動端末。
請求項８に記載の移動端末において、他の移動装置と衝突または追突の可能性がない場合でも、他の装置から交通情報取得を実施中の場合は、前記第一移動装置情報の送信制御を実施しない移動端末。
移動装置に搭載され、移動装置を識別するための識別情報および移動装置の状態を表す状態情報を含む移動装置情報を周期的に送信し、他の移動装置から受信した前記移動装置情報である第二移動装置情報と自身の移動装置の前記状態情報である第一状態情報から、他の移動装置と衝突または追突する可能性を判断する移動端末であって、自身の移動装置が他の移動装置に追跡されている可能性を判断し、自身の移動装置の前記移動装置情報である第一移動装置情報の送信制御を実施することによって追跡が中断される可能性を判断し、前記追跡されている可能性と、前記追跡が中断される可能性とに従って、前記第一移動装置情報の送信制御を実施し、
自身の移動装置が進行方向を変更したかつ周囲に他の移動装置が存在する可能性があることを検知した場合、または自身の移動装置が通過した信号機の色が変化したことを検知した場合は、前記第一移動装置情報の送信制御を実施することによって追跡が中断される可能性があると判断する移動端末。