JP6379503B2 - 航法メッセージ認証型測位装置 - Google Patents

Description

本発明は、衛星測位システムで用いられる人工衛星から受信する航法メッセージの認証を行う航法メッセージ認証型測位装置に関するものである。

従来、衛星測位システムで用いられる人工衛星から発信される航法メッセージを測位装置の受信機によって受信し、位置を測位する技術が知られている。

しかしながら、近年では、人工衛星からの信号を複製するリピータや、人工衛星からの信号を擬似的に生成可能なシミュレータ等の開発により、悪意の行為者による位置情報の改竄やなりすましという問題が発生してきている。

これに対して、特許文献１には、受信機（つまり、測位装置）が受信した航法メッセージが、衛星測位システムで用いられる人工衛星からの正規の航法メッセージであるかの認証を行う技術が開示されている。特許文献１に開示の技術では、測位装置は、認証センタのデータベースにアクセスし、人工衛星から受信した航法メッセージに含まれる衛星番号と衛星時刻から、対象とする人工衛星の認証に用いるデータを取得する。そして、測位装置は、認証センタから取得したデータを用いて、受信した航法メッセージが、衛星測位システムで用いられる人工衛星からの正規の航法メッセージであるかの認証を行う。

また、従来、測位装置に短時間の電源オフ状態が存在した場合でも、航法メッセージに含まれる軌道情報としてのエフェメリスデータをバックアップメモリに保持しておくことで、再度のエフェメリスデータの収集を省き、測位開始時間を早くするホットスタートと呼ばれる再起動の方法が知られている（例えば特許文献２）。

他にも、軌道情報としてのアルマナックデータをバックアップメモリに保持しておくことで、再度のアルマナックデータの収集を省き、測位開始時間を早くするウォームスタートと呼ばれる再起動の方法も知られている。エフェメリスデータはアルマナックデータよりも詳細な軌道情報であって、有効期限がアルマナックデータよりも短い。

ウォームスタートは、測位装置の電源オフ時間が、バックアップメモリに保持しておくエフェメリスデータの有効期限を超えて続いたが、バックアップメモリに保持しておくアルマナックデータの有効期限は超えていない場合の再起動の方法である。ウォームスタート時には、エフェメリスデータの収集が必要になる分だけホットスタートより測位開始時間は遅くなるが、アルマナックデータの再度の収集が必要でない分だけ測位開始時間を早くできる。

特開２０１３−１３０３９５号公報 特開２０００−２９２５２１号公報

特許文献１に開示の技術をホットスタート時やウォームスタート時に用いる場合、信頼度の高い測位を行うためには、測位装置の再起動後に、認証センタと通信を行って正規の航法メッセージであるかの認証を行う必要がある。よって、認証センタと通信を行って航法メッセージの認証を行う分だけ測位開始時間が遅れてしまうという問題点が生じる。

本発明は、上記従来の問題点に鑑みなされたものであって、その目的は、信頼度のより高い測位を実現しながらも、ホットスタート時やウォームスタート時における測位開始時間の遅れを抑えることを可能にする航法メッセージ認証型測位装置を提供することにある。

本発明の航法メッセージ認証型測位装置は、衛星測位システムで用いられる人工衛星からの航法メッセージを受信する衛星受信機（２３０、３３０）と、人工衛星から受信した航法メッセージに応じた認証用情報を、認証センタから取得する認証用情報取得部（Ｓ５）と、認証用情報取得部で取得した認証用情報を用いて、衛星受信機で受信した航法メッセージが正規のものであることの認証を行う認証部（Ｓ９〜Ｓ１１）と、衛星受信機で複数の人工衛星から受信した航法メッセージをもとに自装置の位置を測位する測位部（Ｓ４２）とを備える航法メッセージ認証型測位装置（２００，３００）であって、衛星受信機が受信した航法メッセージのうちの人工衛星の軌道情報及び航法メッセージの発信時刻と、航法メッセージの受信時刻とを少なくとも含む情報である衛星情報と、その航法メッセージについての認証部での認証結果とを、自装置の電源オフの間も保存しておく保存部（２２０ａ、３３０ａ）と、自装置の再起動時に、保存部に保存しておいた軌道情報を利用して、人工衛星の捕捉を行う捕捉部（Ｓ２４、Ｓ２７）と、保存部に保存しておいた認証結果が認証成立であった航法メッセージが存在した場合、保存部に保存しておいたその航法メッセージの衛星情報に含まれる発信時刻と、その航法メッセージの受信時刻とを用いて、その航法メッセージと、その航法メッセージの発信元の人工衛星から再起動後に受信した航法メッセージとに整合性があるか否かを判定する整合性判定部（Ｓ３６、Ｓ３６ｃ）と、整合性判定部で整合性があると判定した場合には、整合性があると判定した航法メッセージの発信元の人工衛星を、測位部での測位に用いる人工衛星として選択する選択部（Ｓ３８）とを備え、測位部は、捕捉部で捕捉した人工衛星のうちの、選択部で選択した人工衛星から受信した航法メッセージを用いて自装置の位置を測位することを特徴としている。

これによれば、自装置の再起動時に、保存部に保存しておいた軌道情報を利用して、捕捉部で人工衛星の捕捉を行うので、ホットスタートやウォームスタートを行うことができる。また、同一の人工衛星についての、自装置の電源オフ前に認証部で認証成立していた航法メッセージと、自装置の再起動後に受信した航法メッセージとに整合性がある場合には、再起動後に受信した航法メッセージも正規のものである可能性が高い。よって、整合性判定部で整合性があると判定した航法メッセージは正規のものである可能性が高く、その航法メッセージの発信元の人工衛星から再起動後に受信する航法メッセージを用いれば、信頼度のより高い測位を行うことが可能と言える。従って、選択部で選択した人工衛星から受信した航法メッセージを用いることで、信頼度のより高い測位を行うことが可能となる。

さらに、測位部は、捕捉部で捕捉した人工衛星のうちの、選択部で選択した人工衛星から受信した航法メッセージを用いて自装置の位置を測位するので、ホットスタート時やウォームスタート時に、信頼度のより高い測位を行うことが可能となる。また、本発明によれば、認証用情報取得部で取得した認証用情報を用いて認証部で認証を行わなくても、選択部で選択した人工衛星から受信した航法メッセージを用いることで、信頼度のより高い測位を行うことが可能となる。よって、選択部で選択した人工衛星については、認証用情報取得部で取得した認証用情報を用いて認証部で認証を行う時間を削減することができ、ホットスタート時やウォームスタート時における測位開始時間の遅れを抑えることが可能になる。

実施形態１における航法メッセージ認証システム１の概略的な構成の一例を示す図である。 認証センタ１２０の概略的な構成の一例を示すブロック図である。 第１車載機２００の概略的な構成の一例を示すブロック図である。 第１車載機２００での認証関連処理の流れの一例を示すフローチャートである。 第１車載機２００のメモリ２２０ａに保存される一時保存情報の一例を示す図である。 第１車載機２００での再起動方法選択処理の流れの一例を示すフローチャートである。 実施形態１における第１車載機２００での初期測位関連処理の流れの一例を示すフローチャートである。 第１車載機２００のメモリ２２０ａに保存される認証情報リストの一例を示す図である。 第１車載機２００での測位情報送信処理の流れの一例を示すフローチャートである。 第２車載機３００の概略的な構成の一例を示すブロック図である。 変形例１における第１車載機２００での初期測位関連処理の流れの一例を示すフローチャートである。 変形例４における第１車載機２００での認証確認用情報送信処理の流れの一例を示すフローチャートである。 第１車載機２００から送信される認証情報リストの一例を示す図である。認証確認用情報の一例を示す図である。 変形例４における第２車載機３００での確認処理の流れの一例を示すフローチャートである。 第２車載機３００のメモリ３２０ａに保存される認証情報リストの一例を示す図である。

以下、本発明の実施形態について図面を用いて説明する。

（実施形態１）
図１に示すように、実施形態１における航法メッセージ認証システム１は、モニタステーション１１０、認証センタ１２０、マスタコントロールステーション１３０、第１車載機２００、及び第２車載機３００を含む。第１車載機２００を用いる車両を車両Ａ、第２車載機３００を用いる車両を車両Ｂとする。第１車載機２００及び第２車載機３００が請求項の航法メッセージ認証型測位装置に相当する。

＜航法メッセージ認証システム１の概略構成＞
モニタステーション１１０は、衛星測位システムの一つであるＧＰＳが備えるＧＰＳ衛星２ａ〜２ｆが発信するＧＰＳ電波を受信する。ＧＰＳ衛星２ａ〜２ｆが請求項の人工衛星に相当する。以降では、ＧＰＳ衛星２ａ〜２ｆの個々を区別しない場合にはＧＰＳ衛星２と表現する。周知のように、ＧＰＳ電波には航法メッセージが含まれている。モニタステーション１１０は、受信したＧＰＳ電波を復調して航法メッセージを抽出し、認証センタ１２０へ送る。複数のＧＰＳ衛星２からＧＰＳ電波を受信した場合には、それぞれのＧＰＳ電波から航法メッセージを抽出して、認証センタ１２０へ送る。

航法メッセージには、周知のようにエフェメリスデータやアルマナックデータが含まれる。アルマナックデータには、航法メッセージの発信元のＧＰＳ衛星２に限らない、軌道上の全てのＧＰＳ衛星２についての軌道情報が含まれ、この軌道情報と航法メッセージの発信時刻とから、全てのＧＰＳ衛星２の衛星位置が算出できる。また、エフェメリスデータには、航法メッセージの発信元のＧＰＳ衛星２についての軌道情報が含まれ、この軌道情報と航法メッセージの発信時刻とから、この航法メッセージの発信元のＧＰＳ衛星２のより精度の高い衛星位置が算出できる。

認証センタ１２０は、航法メッセージと暗号キーであるＨマトリクスとからパリティデータを作成する。そして、このパリティデータを含む信号をマスタコントロールステーション１３０に送る。また、第１車載機２００や第２車載機３００との間で通信も行う。この認証センタ１２０の詳細な説明は図２を用いて後に行う。

マスタコントロールステーション１３０は、認証センタ１２０から受信したパリティデータを準天頂衛星（以下、ＱＺＳ衛星）３に送信する。ＱＺＳ衛星３は、パリティデータを含んだ航法メッセージを地上に向けて放送する。

第１車載機２００及び第２車載機３００は、航法メッセージ認証型（ＮＭＡ：Navigation Message Authentication）車載機である。第１車載機２００及び第２車載機３００は、認証センタ１２０と通信を行い、ＧＰＳ衛星２から受信した航法メッセージが正規の航法メッセージであることの認証を行う。認証の詳細な説明については、図４を用いて後に行う。また、第１車載機２００及び第２車載機３００は、複数のＧＰＳ衛星２から受信した航法メッセージを用いて自機器の現在位置を測位する。現在位置の測位には、最低でも３つのＧＰＳ衛星２から受信した航法メッセージを用いる。第１車載機２００及び第２車載機３００の詳細な説明は、後に行う。

＜認証センタ１２０の詳細構成＞
図２に示すように、認証センタ１２０は、制御部１２２、データ記憶部１２４、通信部１２６を備える。

制御部１２２は、ＣＰＵ、ＲＯＭ、ＲＡＭ等を備えたコンピュータであり、データ記憶部１２４、通信部１２６を制御する。また、ＣＰＵが、ＲＡＭの一時記憶機能を利用しつつＲＯＭに記憶されているプログラムを実行することで、ＲＡＮＤメッセージ生成部１２２１、ＳＥＥＤ値生成部１２２２、Ｈマトリクス計算部１２２３、パリティ計算部１２２４、信号加工部１２２５として機能する。なお、これら、各部１２２１〜１２２５の機能は、特許文献１に開示されている機能と同じでよい。

ＲＡＮＤメッセージ生成部１２２１は、モニタステーション１１０から取得する航法メッセージから、ＲＡＮＤメッセージを生成する。ＲＡＮＤメッセージは、航法メッセージのビット列の中から、ＴＯＷ（time of week）のビット列のデータとエフェメリスデータのうちのクロック補正パラメータであるＴＯＣ、ＡＦ０、ＡＦ１とが順番に並んでいる。ＴＯＷ、ＴＯＣ、ＡＦ０、ＡＦ１が信号の発信時刻を特定するデータである。さらに、その後に、アンチスプーフフラグであるＡＳ Ｆｌａｇ、衛星番号であるＰＲＮ（Pseudo Random Noise）ＩＤが追加されている。

ＴＯＷとＰＲＮ ＩＤを含んでいるＲＡＮＤは、どのＧＰＳ衛星がいつ発信したかを示すデータであると言える。また、ＴＯＷが６秒ごとに変化し、また、ＰＲＮ ＩＤを含んでいるので、モニタステーション１１０が受信したＧＰＳ衛星２ごと、かつ、６秒ごとにＲＡＮＤを生成することになる。

ＳＥＥＤ値生成部１２２２は、ＰＣクロックを入力として乱数を発生させることで、ＳＥＥＤ値を生成する。

Ｈマトリクス計算部１２２３は、ＳＥＥＤ値生成部１２２２が生成したＳＥＥＤ値を使い、このＳＥＥＤ値に一対一に対応するＨマトリクスを計算する。Ｈマトリクスとしては、周知のハッシュ関数を用いればよく、例えばＬＤＰＣ（Low Density Parity Check）符号化を行うためのパリティ検査行列を用いればよい。さらに、パリティ検査行列から決定される生成行列を用いてもよい。

パリティ計算部１２２４は、ＲＡＮＤメッセージ生成部１２２１が生成したＲＡＮＤメッセージと、Ｈマトリクス計算部１２２３が計算したＨマトリクスに基づいて、パリティデータを計算する。

信号加工部１２２５は、パリティ計算部１２２４が計算したパリティデータ、及びその計算に使用したＲＡＮＤメッセージを、ＱＺＳ衛星３から発信させる航法メッセージに挿入する。そして、挿入済みの航法メッセージをマスタコントロールステーション１３０に送る。

さらに、信号加工部１２２５は、信号の挿入に合せて、パリティ計算部１２２４が計算したパリティデータ、パリティデータの計算に用いたＲＡＮＤメッセージ、Ｈマトリクス、Ｈマトリクスの計算に用いたＳＥＥＤ値を対応付けて、データ記憶部１２４に記憶する。

この信号加工部１２２５は、ＲＡＮＤメッセージ生成部１２２１がＲＡＮＤメッセージを生成するごとに、ＲＡＮＤメッセージとパリティデータをＱＺＳ衛星３に送信させる航法メッセージに挿入する。よって、ＲＡＮＤメッセージ生成部１２２１、ＳＥＥＤ値生成部１２２２、Ｈマトリクス計算部１２２３、パリティ計算部１２２４も、ＲＡＮＤメッセージ生成部１２２１がＲＡＮＤメッセージを生成するごとに、処理を実行する。

Ｈマトリクス選択部１２２６は、第１車載機２００から送信されてきたＰＲＮ ＩＤ、ＴＯＷ、公開キーを通信部１２６で受信した場合に、データ記憶部１２４に記憶されているＨマトリクスから、受信したＰＲＮ ＩＤ、ＴＯＷに対応するＨマトリクスを選択する。そして、選択したＨマトリクスを公開鍵で暗号化し、暗号化したＨマトリクスを第１車載機２００へ返信する。

＜第１車載機２００の詳細構成＞
ＱＺＳ衛星３が放送した航法メッセージは、第１車載機２００の通信部２１０が備える受信部２１１に受信される。図３に示すように、この第１車載機２００は、通信部２１０、制御部２２０、衛星受信機２３０を備える。

通信部２１０は、受信部２１１と送信部２１２とを備える。通信部２１０は、狭域通信機能と広域通信機能を備えている。狭域通信機能は、例えば、通信距離が数百メートルである。広域通信機能は、例えば、通信距離が数キロメートルであり、公衆通信回線網の基地局と通信を行うことにより、公衆通信回線網の通信圏内にある他の通信機器と通信することができる。狭域通信機能により、第２車載機３００の通信部３１０といわゆる車車間通信を行い、広域通信機能により、認証センタ１２０の通信部１２６との間で通信を行う。

衛星受信機２３０は、ＧＰＳ衛星２、ＱＺＳ衛星３が発信する電波を一定周期で受信する。そして、受信した電波に含まれる航法メッセージを制御部２２０に出力する。衛星受信機２３０から制御部２２０へ逐次行われる出力の１周期内に、複数のＧＰＳ衛星２の航法メッセージを衛星受信機３３０で受信していた場合には、１周期内に、その複数のＧＰＳ衛星２の航法メッセージが制御部２２０に出力されることになる。

制御部２２０は、ＣＰＵ、メモリ２２０ａを含むメモリ等を備えたコンピュータであり、通信部２１０、衛星受信機２３０を制御する。メモリにはＲＯＭやＲＡＭ等があり、メモリ２２０ａは、バックアップＲＡＭ等の不揮発性の一時保存メモリであるものとする。また、ＣＰＵが、ＲＡＭの一時記憶機能を利用しつつＲＯＭに記憶されているプログラムを実行することで、認証関連処理（図４参照）や一時保存処理や再起動方法選択処理（図６参照）や初期測位関連処理（図７）や認証情報保存処理や測位情報送信処理（図９参照）等の各種処理を実行する。

概略として、認証関連処理は、衛星受信機２３０で受信した信号がＧＰＳ衛星２から受信した正規の航法メッセージであることの認証に関連する処理である。一時保存処理は、航法メッセージに含まれる情報と、その航法メッセージについての認証関連処理での認証結果とをメモリ２２０ａに一時的に保存する処理である。

再起動選択処理は、第１車載機２００の電源が一旦オフになった後、第１車載機２００の電源が再度オンになったときに行われる処理である。初期測位関連処理は、ホットスタートやウォームスタート時に行われる初期測位に関連する処理である。認証情報保存処理は、測位に用いたＧＰＳ衛星２についての後述のＮＭＡ認証情報及びみなし認証情報といった認証情報をメモリ２２０ａに保存する処理である。測位情報送信処理は、測位した位置とその測位に用いたＧＰＳ衛星２についての認証情報を送信する処理である。

＜認証関連処理＞
ここで、第１車載機２００の制御部２２０での認証関連処理について、図４に示すフローチャートを用いて説明を行う。図４のフローチャートは、例えば、ＧＰＳ衛星２から衛星受信機２３０で受信した航法メッセージの出力を制御部２２０が受けたときに開始する構成とすればよい。ここでは、１周期分の出力時に、複数のＧＰＳ衛星２の航法メッセージが出力され、この複数のＧＰＳ衛星２の航法メッセージについて認証を行うように処理を繰り返すものとして説明を行う。

ここで、衛星受信機２３０は、ＧＰＳ衛星２からの信号を複製するリピータや、ＧＰＳ衛星２からの信号を擬似的に生成可能なシミュレータからの信号を、ＧＰＳ電波に含まれる航法メッセージと誤って受信している場合もあるものとする。

まず、ステップＳ１では、衛星受信機２３０から出力された、ＧＰＳ衛星２から受信したＧＰＳ電波に含まれる航法メッセージを取得する。

ステップＳ２では、ＱＺＳ衛星３から受信した航法メッセージを、受信部２１１から取得する。ステップＳ３では、Ｓ１で取得した航法メッセージから、ＰＲＮ ＩＤ、ＴＯＷを抽出する。

ステップＳ４では、Ｓ３で抽出したＰＲＮ ＩＤとＴＯＷを公開鍵とともに、送信部２１２から認証センタ１２０へ送信する。前述したように、認証センタ１２０は、このＰＲＮ ＩＤとＴＯＷとにより定まるＨマトリクスを、公開鍵により暗号化して第１車載機２００へ送信する。第１車載機２００から認証センタ１２０に送信したＰＲＮ ＩＤとＴＯＷとにより定まるＨマトリクスが、請求項の認証用情報に相当する。

ステップＳ５では、認証センタ１２０から送信されたＨマトリクスを受信部２１１から取得する。よって、このＳ５が請求項の認証用情報取得部に相当する。ステップＳ６では、Ｓ５で取得した、暗号化されたＨマトリクスを秘密鍵で復号する。

ステップＳ７では、ＧＰＳ衛星２から受信したＧＰＳ電波に含まれる航法メッセージのうち、Ｓ４で送信したＰＲＮ ＩＤと同じＰＲＮ ＩＤを含んでいる航法メッセージから、ＲＡＮＤメッセージを作成する。

ステップＳ８では、Ｓ７で作成したＲＡＮＤメッセージと、Ｓ６で復号したＨマトリクスとに基づいて、比較パリティデータを作成する。ステップＳ９では、Ｓ８で作成した比較パリティデータと、Ｓ３で抽出したパリティデータとが一致するか否かを判断する。

Ｓ６で復号したＨマトリクスは、認証センタ１２０がパリティデータの作成に使用したＨマトリクスと同じである。そして、認証センタ１２０のパリティ計算部１２２４は、このＨマトリクスとＲＡＮＤメッセージとに基づいてパリティデータを計算している。

よって、Ｓ８で作成した比較パリティデータが、Ｓ３で抽出したパリティデータと一致する場合、Ｓ７で作成したＲＡＮＤメッセージが、認証センタ１２０が作成したＲＡＮＤメッセージと同じであると考えることができる。

そこで、Ｓ８で作成した比較パリティデータと、Ｓ３で抽出したパリティデータとが一致する場合（Ｓ９でＹＥＳ）には、ステップＳ１０に進み、認証成立とする。一方、２つのパリティデータが一致しない場合（Ｓ９でＮＯ）には、ステップＳ１１に進み、認証不成立とする。よって、このＳ９〜Ｓ１１が請求項の認証部に相当する。Ｓ１０、Ｓ１１の後は、ステップＳ１２に進む。

ステップＳ１２では、対象とする全ＧＰＳ衛星２、すなわち、衛星受信機２３０から出力された１周期分の全ＧＰＳ衛星２の航法メッセージについて、認証成立か不成立かの判断が完了した場合（Ｓ１２でＹＥＳ）には、図４の処理を終了する。一方、１つでも認証成立か不成立かの判断が完了していない場合（Ｓ１２でＮＯ）には、Ｓ１２に戻って処理を繰り返す。この認証関連処理での認証を以下ではＮＭＡ認証と呼ぶ。

なお、衛星受信機２３０から出力された１周期分の全ＧＰＳ衛星２の航法メッセージについて、認証を行う必要はなく、例えば４つなどの測位に必要な数のＧＰＳ衛星２に絞ったり、後述する初期測位関連処理に必要な数のＧＰＳ衛星２に絞って行う構成としたりしてもよい。

＜一時保存処理＞
また、第１車載機２００の制御部２２０は、衛星受信機２３０から出力された直近の航法メッセージに含まれる情報と、その航法メッセージについての前述の認証関連処理での認証結果（以下、ＮＭＡ認証情報）とをメモリ２２０ａに一時的に保存する一時保存処理を行う。衛星受信機２３０からの１周期分の出力時に、複数のＧＰＳ衛星２の航法メッセージが出力される場合には、この複数の航法メッセージが全て直近の航法メッセージに該当することになる。

一時保存処理でメモリ２２０ａに保存する情報（以下、一時保存情報）としては、航法メッセージに含まれるＰＲＮ ＩＤ、エフェメリスデータやアルマナックデータといった軌道情報、発信時刻や、航法メッセージを受信した時刻、ＮＭＡ認証情報がある。エフェメリスデータはホットスタートに必要な軌道情報であって、アルマナックデータはウォームスタートに必要な軌道情報である。

ここで、図５を用いて、一時保存情報の一例について説明を行う。図５の例では、例えば第１車載機２００からＧＰＳ衛星２ａ〜２ｄの４つのＧＰＳ衛星２が観測可能であって、ＧＰＳ衛星２ａ、２ｂの航法メッセージまでがＮＭＡ認証が成立済であるものとする。ここでは、ＧＰＳ衛星２ａのＰＲＮ ＩＤは「１」、ＧＰＳ衛星２ｂのＰＲＮ ＩＤは「３」、ＧＰＳ衛星２ｃのＰＲＮ ＩＤは「５」、ＧＰＳ衛星２ａのＰＲＮ ＩＤは「１０」とする。

メモリ２２０ａに保存する一時保存情報は、図５に示すように、航法メッセージの発信元のＧＰＳ衛星２ごとに、ＰＲＮ ＩＤと、そのＰＲＮ ＩＤが示すＧＰＳ衛星２についてＮＭＡ認証が成立しているか否かを示すＮＭＡ認証情報と、軌道情報と、発信時刻と、受信時刻とが対応付けられている構成とすればよい。軌道情報と発信時刻と受信時刻とが請求項の衛星情報に相当する。

ＮＭＡ認証情報は、例えば、図５に示すように、認証成立であるか（図中の「Ｔ」）、認証不成立若しくは未認証であるか（図中の「Ｆ」）の２つの状態を表す２値のフラグとすればよい。他にも、認証成立と認証不成立と未認証との３つの状態を表す情報としてもよい。よって、図５の例では、ＧＰＳ衛星２ａ、２ａについては「Ｔ」となり、ＧＰＳ衛星２ｃ、２ｄについては「Ｆ」となる。

メモリ２２０ａに保存する一時保存情報については、衛星受信機２３０から新たな１周期分の出力を制御部２２０が受けた場合に、その新たな出力をもとに逐次更新していくものとする。よって、現在位置において第１車載機２００が観測可能なＧＰＳ衛星２についての一時保存情報が残ってゆくことなる。また、ＮＭＡ関連情報については、衛星受信機２３０から新たな１周期分の出力を制御部２２０が受けた場合以外にも、逐次更新してゆく構成とすればよい。詳しくは以下の通りである。

前述の認証関連処理では、対象とする全ＧＰＳ衛星２についてＮＭＡ認証を逐次行うことになる。しかしながら、１つのＧＰＳ衛星２についてＮＭＡ認証を行うにも時間がかかるため、対象とする全ＧＰＳ衛星２についてＮＭＡ認証を行うまでには、一部のＧＰＳ衛星２についてしかＮＭＡ認証が行われていない状況が生じる。よって、ＮＭＡ認証情報は、新たにＧＰＳ衛星２についてのＮＭＡ認証が行われるごとに更新する構成とすればよい。例えば、図５において、ＧＰＳ衛星２の航法メッセージについてＮＭＡ認証が成立した場合には、ＧＰＳ衛星２ｃについてのＮＭＡ関連情報は「Ｆ」から「Ｔ」に更新される。

また、メモリ２２０ａは前述したようにバックアップメモリであり、例えば車両Ａのイグニッション電源がオフになって、第１車載機２００の電源がオフになった場合にも、一時保存情報の記憶を維持する。よって、メモリ２２０ａが請求項の保存部に相当する。第１車載機２００の電源がオフになったときに、前述の認証関連処理で対象とする全ＧＰＳ衛星２のうちの一部についてしかＮＭＡ認証が完了していなかった場合には、この一部のＧＰＳ衛星２については、ＮＭＡ認証情報が「Ｆ」となる状況が生じることになる。

＜再起動方法選択処理＞
続いて、第１車載機２００の制御部２２０での再起動方法選択処理について、図６に示すフローチャートを用いて説明を行う。図６のフローチャートは、例えば、第１車載機２００の電源が一旦オフになった後、第１車載機２００の電源が再度オンになったときに開始する構成とすればよい。

まず、ステップＳ２１では、第１車載機２００の電源がオフになっていた期間を特定する。第１車載機２００の電源がオフになっていた期間（以下、電源オフ期間）は、ＲＴＣ（Real Time Clock）のカウントから特定すればよい。

ステップＳ２２では、電源オフ期間が第１の所定期間内であった場合（Ｓ２２でＹＥＳ）には、ステップＳ２３に移る。一方、第１の所定期間内でなかった場合（Ｓ２２でＮＯ）には、ステップＳ２５に移る。ここで言うところの第１の所定期間は、エフェメリスデータの有効期限を超えない値であればよく、例えば１５分としてもよいし、２時間などとしてもよい。

ステップＳ２３では、ホットスタートを行うことを選択し、ステップＳ２４に移る。ステップＳ２４では、メモリ２２０ａに一時保存情報が存在するＧＰＳ衛星２について、一時保存情報に含まれる軌道情報のうちのエフェメリスデータを用いてＧＰＳ電波を捕捉し、図６の処理を終了する。よって、Ｓ２４が請求項の捕捉部に相当する。

Ｓ２２で電源オフ期間が第１の所定期間内でなかった場合のステップＳ２５では、電源オフ期間が第２の所定期間内であった場合（Ｓ２５でＹＥＳ）には、ステップＳ２６に移る。一方、第２の所定期間内でなかった場合（Ｓ２５でＮＯ）には、ステップＳ２８に移る。ここで言うところの第２の所定期間は、第１の所定期間よりも長い期間であって、アルマナックデータの有効期限を超えない値であればよく、例えば２時間としてもよいし、１日としてもよいし、１週間などとしてもよい。

ステップＳ２６では、ウォームスタートを行うことを選択し、ステップＳ２７に移る。ステップＳ２７では、メモリ２２０ａに一時保存情報が存在するＧＰＳ衛星２について、一時保存情報に含まれる軌道情報のうちのアルマナックデータを用いてＧＰＳ電波を捕捉し、図６の処理を終了する。よって、Ｓ２７も請求項の捕捉部に相当する。

Ｓ２５で電源オフ期間が第２の所定期間内でなかった場合のステップＳ２８では、コールドスタートを行うことを選択し、ステップＳ２９に移る。ステップＳ２９では、軌道情報を用いずに、全てのＧＰＳ衛星２を対象としてＧＰＳ電波の捕捉を試み、図６の処理を終了する。

＜初期測位関連処理＞
続いて、第１車載機２００の制御部２２０での初期測位関連処理について、図７に示すフローチャートを用いて説明を行う。図７のフローチャートは、例えば、再起動方法選択処理でホットスタート及びウォームスタートのいずれかを選択したときに開始する構成とすればよい。

まず、ステップＳ３１では、メモリ２２０ａに保存されている一時保存情報をもとに、第１車載機２００の電源オフ前に航法メッセージのＮＭＡ認証が成立済であったＧＰＳ衛星２（以下、ＮＭＡ認証済ＧＰＳ衛星２）を抽出する。

ステップＳ３２では、ＮＭＡ認証済ＧＰＳ衛星２が存在した場合（Ｓ３１でＹＥＳ）には、ステップＳ３３に移る。一方、存在しなかった場合（Ｓ３１でＮＯ）には、ステップＳ４０に移る。

ステップＳ３３では、メモリ２２０ａに保存されている一時保存情報から、Ｓ３１で抽出したＮＭＡ認証済ＧＰＳ衛星２についての、航法メッセージの発信時刻、及びその航法メッセージを第１車載機２００で受信した受信時刻を取得する。

ステップＳ３４では、Ｓ３１で抽出したＮＭＡ認証済ＧＰＳ衛星２と同じＧＰＳ衛星２から第１車載機２００の再度の電源オン（つまり、再起動）後に衛星受信機２３０で受信した航法メッセージを取得する。以下では、再起動後に衛星受信機２３０で受信した航法メッセージをＮＭＡ認証前の航法メッセージと呼ぶ。

ステップＳ３５では、Ｓ３４で取得したＮＭＡ認証前の航法メッセージを受信した受信時刻を特定するとともに、この航法メッセージから、この航法メッセージの発信時刻を特定する。ＮＭＡ認証前の航法メッセージを受信した受信時刻は、図示しないＲＴＣで計時した値から特定する構成とすればよい。

ステップＳ３６では、Ｓ３１で抽出したＮＭＡ認証済ＧＰＳ衛星２について、ＮＭＡ認証が成立済の航法メッセージとＮＭＡ認証前の航法メッセージとに経過時間に応じた整合性があるか否かを判定する。よって、Ｓ３６が請求項の整合性判定部に相当する。

具体例としては、ステップＳ３３で一時保存情報から取得した発信時刻（すなわち、メモリ２２０ａに保存しておいたＮＭＡ認証成立済の航法メッセージの発信時刻）と、Ｓ３５で特定したＮＭＡ認証前の航法メッセージの発信時刻との発信時刻差と、両者の航法メッセージをそれぞれ受信した受信時刻差との差が閾値未満である場合に、整合性があると判定する。

ここで言うところの閾値とは、Ｓ３１で抽出したＮＭＡ認証済ＧＰＳ衛星２が、上述の発信時刻差にあたる時間に移動することにより生じる伝搬時間のずれに相当する値とすればよい。なお、第１車載機２００の位置が固定であるものとして閾値を設定する構成とすればよい。

Ｓ３５で特定したＮＭＡ認証前の航法メッセージが前述のリピータやシミュレータによるものである場合には、正規の航法メッセージに対して、発信時刻と受信時刻との関係に齟齬が生じ、上述した発信時刻差と受信時刻差との差が閾値以上となる。よって、Ｓ３６で整合性があると判定した航法メッセージは、ＮＭＡ認証を行っていなくても、正規のものであると言える可能性が高い。

なお、Ｓ３６では、前述の発信時刻差と、前述の受信時刻差との差が前述した閾値と一致（言い換えると、誤差程度の範囲内で略一致）する場合に、整合性があると判定する構成としてもよい。

そして、ステップＳ３７では、Ｓ３６で整合性があると判定した場合（Ｓ３７でＹＥＳ）には、ステップＳ３８に移る。一方、Ｓ３６で整合性がないと判定した場合（Ｓ３７でＮＯ）には、ステップＳ３９に移る。

ステップＳ３８では、整合性があると判定した航法メッセージの発信元のＧＰＳ衛星２を、測位用のＧＰＳ衛星２として選択する。よって、Ｓ３８が請求項の選択部に相当する。前述したように、Ｓ３６で整合性があると判定した航法メッセージは、ＮＭＡ認証を行っていなくても、正規のものであると言える可能性が高い。よって、Ｓ３６で整合性があると判定した航法メッセージの発信元のＧＰＳ衛星２について、航法メッセージのＮＭＡ認証が成立したものと同様に信頼度のより高い測位が可能であるものとし、測位用のＧＰＳ衛星２として選択する。以降では、Ｓ３８で選択されたＧＰＳ衛星２については、みなし認証成立済みのＧＰＳ衛星２と呼ぶ。

ステップＳ３９では、みなし認証成立済みのＧＰＳ衛星２の数が、測位に必要な数（以下、測位必要数）に達したか否かを判定する。測位必要数の一例としては、例えば３や４などとすればよい。そして、測位必要数に達したと判定した場合（Ｓ３９でＹＥＳ）には、ステップＳ４２に移る。一方、測位必要数に達していないと判定した場合（Ｓ３９でＮＯ）には、ステップＳ４０に移る。

ステップＳ４０では、Ｓ３１で抽出したＮＭＡ認証済ＧＰＳ衛星２の全てについてＳ３３〜Ｓ３８の処理を完了した場合（Ｓ４０でＹＥＳ）には、ステップＳ４１に移る。一方、Ｓ３１で抽出したＮＭＡ認証済ＧＰＳ衛星２の一部でもＳ３３〜Ｓ３８の処理が完了していない場合（Ｓ４０でＮＯ）には、Ｓ３３に戻って、Ｓ３３〜Ｓ３８の処理が完了していないＮＭＡ認証済ＧＰＳ衛星２について、Ｓ３３〜Ｓ３８の処理を行う。

ステップＳ４１では、ＮＭＡ認証済ＧＰＳ衛星２以外の、捕捉しているＧＰＳ衛星２について、測位必要数に足りない分だけの数のＮＭＡ認証成立済のＧＰＳ衛星２が得られるまで、ＮＭＡ認証を行い、ステップＳ４２に移る。

ステップＳ４２では、再起動後の初期測位を行って、図７の処理を終了する。測位自体は、測位用に選択した測位必要数のＧＰＳ衛星２から受信した航法メッセージを用いて周知の方法によって行う。Ｓ４２が請求項の測位部に相当する。

みなし認証成立済みのＧＰＳ衛星２のみで測位必要数をまかなえる場合には、再起動後のＮＭＡ認証なしで初期測位を開始できる。よって、再起動後のＮＭＡ認証を行わないで済む分だけ、初期測位の遅れを抑えることができる。また、みなし認証成立済みのＧＰＳ衛星２で測位必要数の一部しかまかなえない場合でも、その一部について再起動後のＮＭＡ認証を行わないで済む分だけ、初期測位の遅れを抑えることができる。

なお、再起動後の初期測位を行う場合、ホットスタート時には、エフェメリスデータの収集なしで測位を開始できるが、ウォームスタート時には、エフェメリスデータの収集を行ってから測位を開始する必要がある。よって、エフェメリスデータの収集を行ってから測位を開始する分、ウォームスタート時の方がホットスタート時よりも初期測位の開始時間が遅れる。

＜認証情報保存処理＞
また、第１車載機２００の制御部２２０は、測位を行った場合に、その測位に用いたＧＰＳ衛星２について、ＮＭＡ認証成立済みか否かを示す前述のＮＭＡ認証情報と、みなし認証成立済みか否かを示す情報（以下、みなし認証情報）を含む認証情報リストをメモリ２２０ａに保存する認証情報保存処理を行う。

ここで、図８を用いて、認証情報リストの一例について説明を行う。図８の例では、例えば第１車載機２００が、ＧＰＳ衛星２ａ〜２ｄを測位用のＧＰＳ衛星２として用いて測位を行ったものとする。ここでは、ＧＰＳ衛星２ａのＰＲＮ ＩＤは「１」、ＧＰＳ衛星２ｂのＰＲＮ ＩＤは「３」、ＧＰＳ衛星２ｃのＰＲＮ ＩＤは「５」、ＧＰＳ衛星２ｄのＰＲＮ ＩＤは「１０」とする。

認証情報リストには、図８に示すように、航法メッセージの発信元のＧＰＳ衛星２ごとに、ＰＲＮ ＩＤと、そのＰＲＮ ＩＤが示すＧＰＳ衛星２についてＮＭＡ認証が成立しているか否かを示すＮＭＡ認証情報と、みなし認証が成立しているか否かを示すみなし認証情報とが対応付けられている構成とすればよい。

みなし認証情報は、例えば、図８に示すように、認証成立であるか（図中の「Ｔ」）、認証不成立若しくは未認証であるか（図中の「Ｆ」）の２つの状態を表す２値のフラグとすればよい。他にも、認証成立と認証不成立と未認証との３つの状態を表す情報としてもよい。例えば、初期測位において、みなし認証成立済みのＧＰＳ衛星２のみでは測位必要数をまかなえず、ＮＭＡ認証成立済みのＧＰＳ衛星２も測位に用いた場合には、このＧＰＳ衛星２については、ＮＭＡ認証情報は「Ｔ」、みなし認証情報は「Ｆ」となる。

メモリ２２０ａに保存する認証情報リストについては、ＮＭＡ認証を行っていないが、みなし認証成立済みのＧＰＳ衛星２について、初期測位後にＮＭＡ認証を行って情報を更新してもよい。例えば、みなし認証成立済みのＧＰＳ衛星２について、ＮＭＡ認証も成立した場合には、ＮＭＡ認証情報もみなし認証情報も「Ｔ」となる。

また、メモリ２２０ａに保存する認証情報リストについては、初期測位を行った場合に保存するだけでなく、新たに測位を行うごとに逐次更新してゆく構成としてもよい。新たに測位する場合にも、みなし認証成立済みのＧＰＳ衛星２については、ＮＭＡ認証を行わずに測位用のＧＰＳ衛星２として継続して用いる構成としてもよい。

＜測位情報送信処理＞
続いて、第１車載機２００の制御部２２０での測位情報送信処理について、図９に示すフローチャートを用いて説明を行う。図９で示す測位情報送信処理は、例えば一定の周期で開始する構成とすればよい。

図９のフローチャートで示す測位情報送信処理では、第１車載機２００で測位した位置と、その測位に用いたＧＰＳ衛星２についての前述の認証情報リストの情報とを含む測位情報を送信する。

まず、ステップＳ５１では、第１車載機２００での直近の測位で算出した位置を取得する。ステップＳ５２では、メモリ２２０ａに保存されている認証情報リストの情報を取得する。ステップＳ５３では、Ｓ５１で取得した位置と、認証情報リストに含まれる各ＧＰＳ衛星２のＰＲＮ ＩＤ、ＮＭＡ認証情報、みなし認証情報といった情報とを含む測位情報を、送信部２１２の狭域通信機能によって送信させ、処理を終了する。よって、Ｓ５３が請求項の測位位置送信処理部に相当する。

送信部２１２から送信された測位情報は、本実施形態では第２車載機３００で受信されるものとして以降の説明を行う。

＜第２車載機３００の詳細構成＞
続いて、図１０を用いて、第１車載機２００から送信された測位情報を受信する側の第２車載機３００についての説明を行う。第２車載機３００は、図１０に示すように、通信部３１０、制御部３２０、衛星受信機３３０を備える。通信部３１０は、第１車載機２００が備える通信部２１０と無線通信を行う。

通信部３１０は、受信部３１１と送信部３１２とを備える。通信部３１０は、前述した通信部２１０と同様に、狭域通信機能及び広域通信機能を備えている。衛星受信機３３０は、衛星受信機２３０と同様に、ＧＰＳ衛星２、ＱＺＳ衛星３が発信する電波を一定周期で受信する。

制御部３２０は、ＣＰＵ、ＲＯＭ、ＲＡＭ等を備えたコンピュータであり、通信部３１０、衛星受信機３３０を制御する。メモリにはＲＯＭやＲＡＭ等があり、メモリ２２０ａは、バックアップＲＡＭ等の不揮発性の一時保存メモリであるものとする。また、ＣＰＵが、ＲＡＭの一時記憶機能を利用しつつＲＯＭに記憶されているプログラムを実行することで、第１車載機２００と同様に、前述の認証関連処理や一時保存処理や再起動方法選択処理や初期測位関連処理や認証情報保存処理や測位情報送信処理等の各種処理を実行する。

また、制御部３２０は、第１車載機２００から受信部３１１で受信した測位情報を取得し、取得した測位情報に含まれる第１車載機２００の位置（つまり、車両Ａの位置）を利用した処理（以下、位置情報利用処理）を行う。位置情報利用処理の一例としては、第１車載機２００を用いる車両Ａとの車間距離を適正な距離に保って追従走行する追従走行処理や第２車載機３００を用いる車両Ｂの周辺にどの程度の車両が存在するかの混雑度を知らせる処理などがある。

また、制御部３２０は、測位情報に含まれていた認証情報をもとに、測位情報に含まれていた位置の信頼性の高さを判断し、判断した信頼性の高さに応じて、前述の位置情報利用処理の実行の有無を判断したりする構成とすればよい。

例えば、高い信頼性が必要な追従走行処理では、位置の測位に用いたＧＰＳ衛星２の全てがＮＭＡ認証成立済みであった場合には実行すると判断するが、ＮＭＡ認証成立済みでないものがあった場合には追従走行処理を実行しないと判断する構成とすればよい。一方、それほど高い信頼性が必要でない混雑度を知らせるような処理では、ＮＭＡ認証成立済みでないものがあった場合でも、みなし認証成立済みであれば実行すると判断する構成などとすればよい。

＜実施形態１のまとめ＞
実施形態１によれば、ホットスタート時やウォームスタート時において、同一のＧＰＳ衛星２についての、第１車載機２００の電源オフ前に認証成立済みであった航法メッセージと、再起動後に受信した航法メッセージとに、経過時間に応じた整合性がある場合に、測位用のＧＰＳ衛星２として選択する。前述したように、経過時間に応じた整合性があると判定した航法メッセージは正規のものである可能性が高いので、その航法メッセージの発信元のＧＰＳ衛星２から再起動後に受信する航法メッセージを用いれば、信頼度のより高い測位を行うことが可能と言える。従って、実施形態１によれば、ホットスタート時やウォームスタート時において、信頼度のより高い初期測位を行うことが可能となる。

さらに、前述したように、実施形態１によれば、みなし認証成立済みのＧＰＳ衛星２を測位に用いることで、再起動後のＮＭＡ認証を行う時間を削減することができるので、ホットスタート時やウォームスタート時における測位開始時間の遅れを抑えることが可能になる。

また、実施形態１によれば、第１車載機２００で測位した位置を第２車載機３００に車車間通信によって送信する場合に、測位に用いたＧＰＳ衛星２についてのＮＭＡ認証情報及びみなし認証情報といった認証情報も付与して送信する。よって、第２車載機３００では、この認証情報を用いて、第１車載機２００での測位の信頼性がどの程度高いのかを判断することが可能になる。その結果、判断した信頼性の高さをもとに、位置情報利用処理の必要とする信頼性の高さに応じて、位置情報利用処理を実行するか否かを判断することが可能になる。

＜変形例１＞
第１車載機２００での初期測位関連処理において、メモリ２２０ａに保存しておいたＮＭＡ認証成立済みの航法メッセージの発信時刻と、ＮＭＡ認証前の航法メッセージの発信時刻との発信時刻差と、両者の航法メッセージをそれぞれ受信した受信時刻差との差が閾値未満である場合に、整合性があると判定する構成について説明したが、必ずしもこれに限らない。例えば、ＮＭＡ認証成立済みの航法メッセージと、ＮＭＡ認証前の航法メッセージとの間で、航法メッセージの発信時刻と受信時刻とから定まる擬似距離が閾値未満である場合に整合性があると判定する構成（以下、変形例１）としてもよい。

ここで、変形例１における航法メッセージ認証システム１について、図面を用いて説明を行う。なお、説明の便宜上、前述の実施形態の説明に用いた図に示した部材と同一の機能を有する部材については、同一の符号を付し、その説明を省略する。

変形例１における航法メッセージ認証システム１は、初期測位関連処理の一部が異なる点を除けば、実施形態１における航法メッセージ認証システム１と同様である。

＜変形例１における初期測位関連処理＞
ここで、変形例１における第１車載機２００の制御部２２０での初期測位関連処理について、図１１に示すフローチャートを用いて説明を行う。図１１のフローチャートは、図７のフローチャートからＳ３６の処理のみを入れ替えたものであって、Ｓ３６の処理と入れ替えたステップＳ３６ａ〜ステップＳ３６ｃの処理の部分を抜き出して示している。

まず、Ｓ３５に続くステップＳ３６ａでは、ステップＳ３３で一時保存情報から取得した発信時刻と受信時刻（すなわち、メモリ２２０ａに保存しておいたＮＭＡ認証成立済みの航法メッセージの発信時刻とその航法メッセージを受信した受信時刻）とから、擬似距離を算出する。言うまでもないが、擬似距離とは、ＧＰＳ衛星２からの発信時刻と第１車載機２００での受信時刻とから決まる伝搬時間に光速を積算して算出される、ＧＰＳ衛星２と第１車載機２００との距離である。

ステップＳ３６ｂでは、Ｓ３５で特定した、ＮＭＡ認証前の航法メッセージの発信時刻とその航法メッセージを受信した受信時刻とから、擬似距離を算出する。

ステップＳ３６ｃでは、Ｓ３１で抽出したＮＭＡ認証済みのＧＰＳ衛星２について、Ｓ３６ａで算出した擬似距離とＳ３６ｂで算出した擬似距離とから、ＮＭＡ認証が成立済みの航法メッセージとＮＭＡ認証前の航法メッセージとに整合性があるか否かを判定し、Ｓ３７に移る。よって、Ｓ３６ｃが請求項の整合性判定部に相当する。

具体例としては、Ｓ３６ａで算出した擬似距離とＳ３６ｂで算出した擬似距離との差が閾値未満である場合に、整合性があると判定する。ここで言うところの閾値とは、Ｓ３１で抽出したＮＭＡ認証済ＧＰＳ衛星２が、前述の発信時刻差にあたる時間に移動することにより生じる伝搬時間のずれに相当する擬似距離のずれとすればよい。なお、第１車載機２００の位置が固定であるものとして閾値を設定する構成とすればよい。

ホットスタート時やウォームスタート時には、第１車載機２００の電源オフ時から第１車載機２００の位置は移動していない筈である。よって、Ｓ３５で特定したＮＭＡ認証前の航法メッセージが正規のものであれば、ＮＭＡ認証前の航法メッセージの発信時刻と受信時刻とから定まる擬似距離と、ＮＭＡ認証成立済みの航法メッセージの発信時刻と受信時刻とから定まる擬似距離とは閾値未満におさまる筈である。よって、Ｓ３６ｃで整合性があると判定した航法メッセージは、ＮＭＡ認証を行っていなくても、正規のものであると言える可能性が高い。

なお、Ｓ３６ｃでは、Ｓ３６ａで算出した擬似距離と、Ｓ３６ｂで算出した擬似距離との差がが前述した閾値と一致（言い換えると、誤差程度の範囲内で略一致）する場合に、整合性があると判定する構成としてもよい。

＜変形例１のまとめ＞
前述したように、ＮＭＡ認証成立済みの航法メッセージと、ＮＭＡ認証前の航法メッセージとの間で、航法メッセージの発信時刻と受信時刻とから定まる擬似距離が一致する場合には、航法メッセージは正規のものである可能性が高い。変形例１では、このような条件を満たす場合に、ＮＭＡ認証前の航法メッセージを発信したＧＰＳ衛星２を測位用のＧＰＳ衛星２として選択する。よって、変形例１によっても、信頼度のより高い測位を実現しながらも、ホットスタート時やウォームスタート時における測位開始時間の遅れを抑えることが可能になる。

＜変形例２＞
変形例１の構成は、第２車載機３００での初期測位関連処理に適用する構成としてもよい。

＜変形例３＞
実施形態１では、第１車載機２００から送信した測位情報を、第２車載機３００が受信する場合について説明を行ったが、必ずしもこれに限らない。例えば、第１車載機２００から狭域通信機能により送信した測位情報を、路側機が受信する構成（以下、変形例３）としてもよい。

変形例３の構成では、路側機は、第１車載機２００から送信される位置を利用して所定のサービスを提供する処理を実行するシステムの端末であるものとする。例えば、上記サービスを提供する処理としては、第１車載機２００を用いる車両Ａが有料駐車区域に駐車したと判定した場合や、車両Ａが有料道路を走行したと判定した場合に、その車両の使用者に自動的に課金を行う課金処理などがある。他にも、位置情報を利用するゲームなどがある。

変形例３では、路側機が、測位情報に含まれていた認証情報をもとに、測位情報に含まれていた位置の信頼性の高さを判断し、判断した信頼性の高さに応じて、前述の所定のサービスを提供する処理の実行の有無を判断したりする構成とすればよい。

例えば、高い信頼性が必要な課金処理では、位置の測位に用いたＧＰＳ衛星２の全てがＮＭＡ認証成立済みであった場合には実行すると判断するが、ＮＭＡ認証成立済みでないものがあった場合には追従走行処理を実行しないと判断する構成とすればよい。一方、それほど高い信頼性が必要でないゲームなどでは、ＮＭＡ認証成立済みでないものがあった場合でも、みなし認証成立済みであれば実行すると判断する構成などとすればよい。

＜変形例３のまとめ＞
変形例３によれば、第１車載機２００で測位した位置を路側機に送信する場合に、測位に用いたＧＰＳ衛星２についてのＮＭＡ認証情報及びみなし認証情報といった認証情報も付与して送信する。よって、路側機では、この認証情報を用いて、第１車載機２００での測位の信頼性がどの程度高いのかを判断することが可能になる。その結果、判断した信頼性の高さをもとに、位置情報利用処理の必要とする信頼性の高さに応じて、第１車載機２００から送信される位置を利用して所定のサービスを提供する処理を実行するか否かを判断することが可能になる。

＜変形例４＞
また、第１車載機２００でのＮＭＡ認証の結果を利用して、第２車載機３００でみなし認証を行った結果が正しかったことを確認する構成（以下、変形例４）としてもよい。

ここで、変形例４における航法メッセージ認証システム１について、図面を用いて説明を行う。なお、説明の便宜上、前述の実施形態の説明に用いた図に示した部材と同一の機能を有する部材については、同一の符号を付し、その説明を省略する。

変形例４における航法メッセージ認証システム１は、ＮＭＡ認証情報とＮＭＡ認証を行ったことを証明するための認証済み証とを含む認証確認用情報を送信する認証確認用情報送信処理を行う点と、他機器から送信されたその認証確認用情報を用いて、みなし認証を行った結果を確認する確認処理を行う点を除けば、実施形態１における航法メッセージ認証システム１と同様である。

＜認証確認用情報送信処理＞
まず、第１車載機２００の制御部２２０での認証確認用情報送信処理について、図１２に示すフローチャートを用いて説明を行う。図１２で示す認証確認用情報送信処理は、例えば一定の周期で開始する構成とすればよい。

まず、ステップＳ６１では、メモリ２２０ａに保存されている認証情報リストの情報を取得する。ステップＳ６２では、Ｓ６１で取得した認証情報リストに含まれるＧＰＳ衛星２のうちのＮＭＡ認証成立済みのものについて、ＮＭＡ認証を行ったことを証明するための認証済み証を取得する。認証済み証としては、ＮＭＡ認証において、認証センタ１２０から認証用情報として得られる情報、若しくはその情報から生成できる情報を用いる構成とすればよい。例えば、暗号キーとしてのＨマトリクスを認証済み証としてもよいし、Ｈマトリクスとパリティデータとを入力キーとしてハッシュ関数から作成されるハッシュ値を認証済み証としてもよい。本実施形態では、Ｈマトリクスを認証済み証として用いる場合を例に挙げて説明を行う。

認証済み証として用いるＨマトリクスは、ＮＭＡ認証を行ったときに認証センタ１２０から取得し、認証情報リストのうちの該当するＰＲＮ ＩＤに紐付けしてメモリ２２０ａに保存しておく構成とすればよい。

ステップＳ６３では、Ｓ６１で取得した認証情報リストに含まれる各ＧＰＳ衛星２のＰＲＮ ＩＤ、ＮＭＡ認証情報、みなし認証情報と、Ｓ６２で取得した認証済み証とを含む認証確認用情報を、送信部２１２の狭域通信機能によって送信させ、処理を終了する。よって、ＰＲＮ ＩＤが請求項の識別情報に相当し、Ｓ６３が請求項の認証情報送信処理部に相当する。

ここで、図１３を用いて、認証確認用情報の一例について説明を行う。図１３の例では、例えば認証情報リストに図８に示したのと同様の情報が含まれていた場合について説明を行う。ここでは、ＮＭＡ認証成立済み（図中のＮＭＡ認証情報が「Ｔ」）であるのは、ＧＰＳ衛星２ａ（図中のＰＲＮ ＩＤ「１」）、ＧＰＳ衛星２ｄ（図中のＰＲＮ ＩＤ「１０」）であるので、ＧＰＳ衛星２ａとＧＰＳ衛星２ｄについて、認証済み証としてのＨマトリクス（図中のＫｅｙ１、Ｋｅｙ４）を認証確認用情報に含ませて送信する。

送信部２１２から送信された認証確認用情報は、本実施形態では第２車載機３００で受信されるものとして以降の説明を行う。

＜認証処理＞
続いて、第２車載機３００の制御部３２０での確認処理について、図１４に示すフローチャートを用いて説明を行う。図１４で示す確認処理は、例えば、第１車載機２００から送信されてきた認証確認用情報を受信部３１１で受信したときに開始する構成とすればよい。

まず、ステップＳ７１では、受信部３１１で受信した認証確認用情報を取得する。よって、このＳ７１が請求項の認証情報受信処理部に相当する。ステップＳ７２では、メモリ３２０ａに保存されている認証情報リストを取得する。

ここで、図１５を用いて、メモリ３２０ａに保存されている認証情報リストの一例について説明を行う。図１５の例では、例えば第２車載機３００が、ＧＰＳ衛星２ａ〜２ｃ、２ｅを測位用のＧＰＳ衛星２として用いて測位を行っていたものとする。ここでは、ＧＰＳ衛星２ａのＰＲＮ ＩＤは「１」、ＧＰＳ衛星２ｂのＰＲＮ ＩＤは「３」、ＧＰＳ衛星２ｃのＰＲＮ ＩＤは「５」、ＧＰＳ衛星２ｅのＰＲＮ ＩＤは「１３」とする。認証情報リストの項目は、図８に示したものと同様である。

図１５の例では、ＧＰＳ衛星２ａとＧＰＳ衛星２ｃについては、ＮＭＡ認証は成立しておらず、みなし認証のみが成立している。ＧＰＳ衛星２ｂについては、ＮＭＡ認証は成立済みであって、みなし認証は行っていない。ＧＰＳ衛星２ｅについては、ＮＭＡ認証もみなし認証も成立済みである。

ステップＳ７３では、Ｓ７２で取得した第２車載機３００についての認証情報リストから、ＮＭＡ認証とみなし認証とのうちのみなし認証のみしか成立していないＧＰＳ衛星２の情報を抽出する。図１５の例では、ＧＰＳ衛星２ａとＧＰＳ衛星２ｃの情報が該当する。

ステップＳ７４では、Ｓ７３で抽出できた場合（Ｓ７４でＹＥＳ）には、ステップＳ７５に移る。一方、Ｓ７３で抽出できなかった場合（Ｓ７４でＮＯ）には、図１４の処理を終了する。

ステップＳ７５では、Ｓ７１で取得した認証確認用情報から、Ｓ７３で抽出したＧＰＳ衛星２とＰＲＮ ＩＤが同じであって、且つ、ＮＭＡ認証成立済みであるＧＰＳ衛星２の情報を抽出する。図１３の例では、ＧＰＳ衛星２ａの情報が該当する。

ステップＳ７６では、Ｓ７５で抽出できた場合（Ｓ７６でＹＥＳ）には、ステップＳ７７に移る。一方、Ｓ７５で抽出できなかった場合（Ｓ７６でＮＯ）には、図１４の処理を終了する。

Ｓ７３〜Ｓ７５の処理では、第２車載機３００でみなし認証が成立したのみであるＧＰＳ衛星２から、第１車載機２００でＮＭＡ認証が成立済みであるＧＰＳ衛星２を抽出している。

ステップＳ７７では、Ｓ７５で抽出したＧＰＳ衛星２についてのＨマトリクスを特定する。一例としては、認証センタ１２０から取得する構成としてもよいし、過去に取得しておいたものを用いる構成としてもよい。ここで言うところの過去とは、対象とするＧＰＳ衛星２についてみなし認証を行った以前に行っていたＮＭＡ認証の時点である。また、認証センタ１２０からＨマトリクスを取得する場合には、対象とするＧＰＳ衛星２のＰＲＮ ＩＤと、そのＧＰＳ衛星２について第２車載機３００でみなし認証を行った場合に受信していた航法メッセージに含まれるＴＯＷとを用いる構成とすればよい。

ステップＳ７８では、Ｓ７５で抽出したＧＰＳ衛星２についての、認証確認用情報に含まれていたＨマトリクスと、Ｓ７７で特定したＨマトリクスとが一致するか否かを判定する。そして、ステップＳ７９では、一致するものがあった場合（Ｓ７９でＹＥＳ）には、ステップＳ８０に移る。一方、一致するものがなかった場合（Ｓ７９でＮＯ）には、図１４の処理を終了する。

ステップＳ８０では、Ｓ７５で抽出したＧＰＳ衛星２のうち、認証確認用情報に含まれていたＨマトリクスと、Ｓ７７で特定したＨマトリクスとが一致したものについては、第２車載機３００でのみなし認証が適切であったと判断し、図１４の処理を終了する。よって、Ｓ８０が請求項の確認部に相当する。

例えば、第２車載機３００において、ＮＭＡ認証とみなし認証とのうちのみなし認証のみしか成立していないＧＰＳ衛星２について、Ｓ８０でみなし認証が適切であったと判断したもの以外は、第２車載機３００でＮＭＡ認証を行う構成とすればよい。

＜変形例４のまとめ＞
変形例４によれば、みなし認証が適切であったと判断されたもの以外のＧＰＳ衛星２については、ＮＭＡ認証を行うことで信頼性を確認することができるので、第２車載機３００において信頼度のより高い測位を行うことが可能となる。また、みなし認証が適切であったと判断されたＧＰＳ衛星２については、確認処理によって信頼性が確認できているので、この点からも、第２車載機３００において信頼度のより高い測位を行うことが可能となる。

＜変形例５、６＞
変形例４では、認証確認用情報にみなし認証情報や認証済み証を含む構成を示したが、必ずしもこれに限らない。例えば、認証確認用情報にみなし認証情報や認証済み証を含まない構成（以下、変形例５）としてもよい。認証確認用情報に認証済み証を含まない構成とした場合には、図１４のフローチャートのＳ７７〜Ｓ７９の処理を省略し、Ｓ７６でＹＥＳの場合にＳ８０に移る構成とすればよい。

また、変形例４では、測位情報送信処理で送信する測位情報とは別に、認証確認用情報送信処理で認証確認用情報を送信する構成を示したが、必ずしもこれに限らない。例えば、測位情報と認証確認用情報とを組み合わせた共通の情報を用いることで、測位情報送信処理と認証確認用情報送信処理とを共通化する構成（以下、変形例６）としてもよい。

＜変形例７＞
前述の実施形態では、第１車載機２００は、車車間通信によって測位情報や認証確認用情報を第２車載機３００に送信する構成を示したが、必ずしもこれに限らない。例えば、路側機を中継することで、路車間通信によって測位情報や認証確認用情報を第１車載機２００から第２車載機３００に送信する構成としてもよい。他にも、公衆通信回線網を利用して、測位情報や認証確認用情報を第１車載機２００から第２車載機３００に送信する構成としてもよい。

＜変形例８＞
前述の実施形態では、ＧＰＳ衛星２から受信した航法メッセージのみを測位に用いた場合の例を挙げて説明を行ったが、ＱＺＳ衛星３から受信した航法メッセージを測位に用いる構成としてもよい。この場合、ＱＺＳ衛星３から受信した航法メッセージの認証についても、ＧＰＳ衛星２の場合と同様にして行う構成とすればよい。

変形例８の一例としては、ＱＺＳ衛星３からモニタステーション１１０で受信した航法メッセージからＲＡＮＤメッセージを生成し、このＲＡＮＤメッセージをもとに認証センタ１２０でパリティデータを作成する。そして、作成したパリティデータをマスタコントロールステーション１３０に送り、そのパリティデータをマスタコントロールステーション１３０からＱＺＳ衛星３に送信する。ＱＺＳ衛星３は、そのパリティデータを含んだ航法メッセージを地上に向けて放送する。

第１車載機２００や実施形態２以降の第２車載機３００は、ＱＺＳ衛星３から受信した航法メッセージからＲＡＮＤメッセージを作成し、このＲＡＮＤメッセージと認証センタ１２０から取得するＨマトリクスとから比較パリティデータを作成する。そして、作成した比較パリティデータと、ＱＺＳ衛星３から受信したパリティデータとを比較することで認証を行う構成とすればよい。

＜変形例９＞
前述の実施形態で説明した航法メッセージ認証型の認証方法はあくまで一例であり、認証機関へのアクセスが必要な認証方法であれば、他の認証方法を用いる構成としてもよい。

＜変形例１０＞
前述の実施形態では、車両で用いられる第１車載機２００及び第２車載機３００を例に挙げて説明を行ったが、必ずしもこれに限らない。例えば、第１車載機２００や第２車載機３００と同様の航法メッセージ受信装置を、ユーザに携帯される携帯端末等に適用する構成としてもよい。

なお、本発明は、上述した各実施形態に限定されるものではなく、請求項に示した範囲で種々の変更が可能であり、異なる実施形態にそれぞれ開示された技術的手段を適宜組み合わせて得られる実施形態についても本発明の技術的範囲に含まれる。

２００ 第１車載機（航法メッセージ認証型測位装置）、２２０ａ メモリ（保存部）、２３０ 衛星受信機、３００ 第２車載機（航法メッセージ認証型測位装置）、３２０ａ メモリ（保存部）、３３０ 衛星受信機、Ｓ５ 認証用情報取得部、Ｓ９〜Ｓ１１ 認証部、Ｓ２４、Ｓ２７ 捕捉部、Ｓ３６、Ｓ３６ｃ 整合性判定部、Ｓ３８ 選択部、Ｓ４２ 測位部

Claims (5)

1. 衛星測位システムで用いられる人工衛星からの航法メッセージを受信する衛星受信機（２３０、３３０）と、
   前記人工衛星から受信した航法メッセージに応じた認証用情報を、認証センタから取得する認証用情報取得部（Ｓ５）と、
   前記認証用情報取得部で取得した前記認証用情報を用いて、前記衛星受信機で受信した前記航法メッセージが正規のものであることの認証を行う認証部（Ｓ９〜Ｓ１１）と、
   前記衛星受信機で複数の前記人工衛星から受信した前記航法メッセージをもとに自装置の位置を測位する測位部（Ｓ４２）とを備える航法メッセージ認証型測位装置（２００，３００）であって、
   前記衛星受信機が受信した前記航法メッセージのうちの前記人工衛星の軌道情報及び前記航法メッセージの発信時刻と、前記航法メッセージの受信時刻とを少なくとも含む情報である衛星情報と、その航法メッセージについての前記認証部での認証結果とを、自装置の電源オフの間も保存しておく保存部（２２０ａ、３３０ａ）と、
   自装置の再起動時に、前記保存部に保存しておいた前記軌道情報を利用して、前記人工衛星の捕捉を行う捕捉部（Ｓ２４、Ｓ２７）と、
   前記保存部に保存しておいた前記認証結果が認証成立であった前記航法メッセージが存在した場合、前記保存部に保存しておいたその航法メッセージの前記衛星情報に含まれる前記発信時刻と、その航法メッセージの前記受信時刻とを用いて、その航法メッセージと、その航法メッセージの発信元の前記人工衛星から再起動後に受信した航法メッセージとに整合性があるか否かを判定する整合性判定部（Ｓ３６、Ｓ３６ｃ）と、
   前記整合性判定部で整合性があると判定した場合には、整合性があると判定した前記航法メッセージの発信元の前記人工衛星を、前記測位部での測位に用いる人工衛星として選択する選択部（Ｓ３８）とを備え、
   前記測位部は、前記捕捉部で捕捉した前記人工衛星のうちの、前記選択部で選択した前記人工衛星から受信した前記航法メッセージを用いて自装置の位置を測位することを特徴とする航法メッセージ認証型測位装置。
2. 請求項１において、
   前記整合性判定部（Ｓ３６）は、
   前記保存部に保存しておいた前記航法メッセージの発信時刻と、その航法メッセージの発信元の前記人工衛星から再起動後に受信した前記航法メッセージに含まれる発信時刻との時刻差と、前記保存部に保存しておいた前記航法メッセージの受信時刻と再起動後に受信した前記航法メッセージの受信時刻との時刻差との差が閾値未満である場合に、前記整合性があると判定することを特徴とする航法メッセージ認証型測位装置。
3. 請求項１において、
   前記整合性判定部（Ｓ３６ｃ）は、
   前記保存部に保存しておいた前記航法メッセージの発信時刻とその航法メッセージを受信した時刻とから定まる擬似距離と、その航法メッセージの発信元の前記人工衛星から再起動後に受信した前記航法メッセージに含まれる発信時刻と前記再起動後に前記航法メッセージを受信した時刻とから定まる擬似距離との差が閾値未満である場合に、前記整合性があると判定することを特徴とする航法メッセージ認証型測位装置。
4. 請求項１〜３のいずれか１項において、
   前記測位部は前記認証部で認証が成立した前記航法メッセージの発信元の前記人工衛星から受信した前記航法メッセージも前記測位に用いることが可能なものであり、
   前記測位部で測位した位置を、自装置の外部に送信する測位位置送信処理部（Ｓ５３）を備え、
   前記測位位置送信処理部は、
   前記測位部で測位した位置に、この位置の測位に用いた前記人工衛星についての、前記認証部で認証が成立した前記航法メッセージの発信元の前記人工衛星か否か、及び前記測位部での測位に用いる人工衛星として前記選択部で選択された前記人工衛星か否かを示す情報を、付与して送信することを特徴とする航法メッセージ認証型測位装置。
5. 請求項１〜４のいずれか１項において、
   前記測位部は、前記認証部で認証が成立した前記航法メッセージの発信元の前記人工衛星から受信した前記航法メッセージも前記測位に用いることが可能なものであり、
   前記人工衛星についての、その人工衛星を識別できる識別情報、及び前記認証部で認証が成立した前記航法メッセージの発信元の前記人工衛星か否かを示す認証情報を、自装置の外部に送信する認証情報送信処理部（Ｓ６３）と
   自装置以外の前記航法メッセージ認証型測位装置である他装置の前記認証情報送信処理部から送信されてくる、前記識別情報及び前記認証情報を受信する認証情報受信処理部（Ｓ７１）と、
   前記認証情報受信処理部で受信した前記識別情報及び前記認証情報をもとに、前記測位部での測位に用いる人工衛星として自装置の前記選択部で選択されたものが、前記他装置の前記認証部で認証が成立した前記航法メッセージの発信元の前記人工衛星と同一の人工衛星であると特定できる場合に、自装置の前記選択部で選択されたその人工衛星が、前記測位に用いる人工衛星として適切であったと判断する確認部（Ｓ８０）とを備えることを特徴とする航法メッセージ認証型測位装置。

Images