データ検証装置及びデータ検証プログラム
【課題】車載機から取得した情報の正当性の検証を行うことができるデータ検証装置及びデータ検証プログラムを提供することを目的とする。
【解決手段】車載機１２が取得した、路側機１３から送出される路側機１３及び送出時間を特定可能な第一の情報と、車載機１２が搭載された車両１１の位置を特定可能な第二の情報とを両方含んだ第三の情報を第一のネットワーク１７経由で取得する第一の取得手段と、路側機１３から送出される第一の情報を第二のネットワーク１８経由で取得する第二の取得手段と、第一の取得手段が取得した第三の情報に含まれる第一の情報と第二の取得手段が取得した第一の情報とを照合し、整合が取れているときに第一の取得手段が取得した第三の情報に含まれる第二の情報を正当な情報と判定する判定手段とを有するデータ検証装置１５であることにより上記課題を解決する。
【解決手段】車載機１２が取得した、路側機１３から送出される路側機１３及び送出時間を特定可能な第一の情報と、車載機１２が搭載された車両１１の位置を特定可能な第二の情報とを両方含んだ第三の情報を第一のネットワーク１７経由で取得する第一の取得手段と、路側機１３から送出される第一の情報を第二のネットワーク１８経由で取得する第二の取得手段と、第一の取得手段が取得した第三の情報に含まれる第一の情報と第二の取得手段が取得した第一の情報とを照合し、整合が取れているときに第一の取得手段が取得した第三の情報に含まれる第二の情報を正当な情報と判定する判定手段とを有するデータ検証装置１５であることにより上記課題を解決する。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、データ検証装置及びデータ検証プログラムに係り、特に車両に搭載された車載機から取得する情報の正当性を検証するデータ検証装置及びデータ検証プログラムに関する。
【背景技術】
【０００２】
近年では、自動車の走行履歴に基づいて保険金額を変額する自動車保険サービスが保険会社から提供されるようになった。このような自動車の走行履歴に基づいて保険金額を変額する自動車保険は、ＰＡＹＤ（Pay-As-You-Drive）と呼ばれている。
【０００３】
ＰＡＹＤはＧＰＳ（Global Positioning System）等の測位システムにより走行距離を把握する機能と通信機能とを併せ持つ車載情報通信装置（車載機）を利用する（例えば非特許文献１参照）。
【０００４】
図１は、ＰＡＹＤシステムの一例の構成図である。車両２に搭載された車載機はＧＰＳ衛星１から測位信号を受信する。車載機は受信した測位信号から車両２の自車位置を連続的に算出して測位情報として記録する。車載機は例えば所定の間隔で測位情報を、移動通信（携帯電話）ネットワーク３経由で保険会社の課金サーバ４に送信する。課金サーバ４にはＰＡＹＤアプリケーションがインストールされている。課金サーバ４は、受信した測位情報に基づき、課金請求用のデータ処理として清算処理を行い、月次請求等の請求処理を行っていた。
【非特許文献１】加藤純央、「今後の自動車保険ＰＡＹＤに期待すること」、野村総合研究所 「ファイナンシャル インフォメーション テクノロジー フォーカス Ａｐｒｉｌ ２００７」、［online］、インターネット＜URL://www.nri.co.jp/opinion/kinyu_itf/2007/pdf/itf20070405.pdf＞
【発明の開示】
【発明が解決しようとする課題】
【０００５】
ＰＡＹＤは車載機から受信した測位情報に基づき保険金額を算出するため、車載機から受信した測位情報が正しい内容、言い換えれば改竄等されていない正当性のある測位情報であることが重要となる。しかしながら、従来のＰＡＹＤは測位情報の正当性をブラックボックスである車載機と移動通信ネットワークの堅牢性とに依存している。従って、従来のＰＡＹＤにおける測位情報は改竄があったか否かを課金サーバ側で検証できず、信頼性が低いという問題があった。
【０００６】
本発明の一実施形態は、上記の点に鑑みなされたもので、車載機から取得した情報の正当性の検証を行うことができるデータ検証装置及びデータ検証プログラムを提供することを目的とする。
【課題を解決するための手段】
【０００７】
上記課題を解決する為、本発明の一実施形態は、車載機が取得した、路側機から送出される前記路側機及び送出時間を特定可能な第一の情報と、前記車載機が搭載された車両の位置を特定可能な第二の情報とを両方含んだ第三の情報を第一のネットワーク経由で取得する第一の取得手段と、前記路側機から送出される前記第一の情報を第二のネットワーク経由で取得する第二の取得手段と、前記第一の取得手段が取得した前記第三の情報に含まれる前記第一の情報と前記第二の取得手段が取得した前記第一の情報とを照合し、整合が取れているときに前記第一の取得手段が取得した前記第三の情報に含まれる前記第二の情報を正当な情報と判定する判定手段とを有するデータ検証装置であることを特徴とする。
【０００８】
なお、本発明の一実施形態の構成要素、表現又は構成要素の任意の組合せを、方法、装置、システム、コンピュータプログラム、記録媒体、データ構造などに適用したものも本発明の態様として有効である。
【発明の効果】
【０００９】
上述の如く、本発明の一実施形態によれば、車載機から取得した情報の正当性の検証を行うことができるデータ検証装置及びデータ検証プログラムを提供可能である。
【発明を実施するための最良の形態】
【００１０】
次に、本発明を実施するための最良の形態を、以下の実施例に基づき図面を参照しつつ説明していく。
【００１１】
図２は本実施例で開示するデータ検証装置を適用した場合のＰＡＹＤシステムの一実施例の構成図である。なお、以降の実施例の説明においては、従来のＰＡＹＤシステムの意味ではなく、本実施例で開示するデータ検証装置を適用したシステムの意味でＰＡＹＤシステムと記載している。図２のＰＡＹＤシステムはＧＰＳ衛星１０，車両１１，車載機１２，路側機１３，広域通信アンテナ１４，バリデーションサーバ（Validation Server）１５，アプリケーションサーバ１６，広域ネットワーク１７及び交通管制ネットワーク１８を有する構成である。
【００１２】
車載機１２はＰＡＹＤを契約する車両１１に搭載されている。車載機１２は、ＧＰＳ衛星１０から測位信号を受信すると共に、路側機１３から後述のバリデーションコードを受信する。路側機１３は信号機や車両感知器等に取り付けられることにより、主に道路上に配置される。路側機１３は交通管制センタや上位制御装置等を収容する交通管制ネットワーク１８にデータ通信可能に接続されている。
【００１３】
車載機１２は広域通信アンテナ１４経由で広域ネットワーク１７にデータ通信可能に接続されている。広域ネットワーク１７は携帯電話網やインターネット等、車両１１の移動中にデータ通信可能なネットワークである。バリデーションサーバ１５は車載機１２から後述の結束コードを受信すると共に、路側機１３から後述のバリデーションコードを受信する。結束コードは、測位情報と後述のバリデーションコードとを結合することで生成される。
【００１４】
バリデーションサーバ１５は車載機１２から受信した後述の結束コードに含まれるバリデーションコードと路側機１３から受信した後述のバリデーションコードとに基づき、車載機１２から受信した後述の結束コードに含まれる測位情報の正当性の検証を行う。言い換えれば、バリデーションサーバ１５は受信した結束コードから車両１１の走行履歴情報の正当性の検証を後述のように行う。
【００１５】
アプリケーションサーバ１６はバリデーションサーバ１５で正当性の検証により認証された走行履歴情報を利用し、例えば課金請求用のデータ処理として清算処理を行い、月次請求等の請求処理を行う。
【００１６】
図３はＰＡＹＤシステムの動作を表した概要図である。ステップＳ１では、車両１１に搭載された車載機１２がＧＰＳ衛星１０から測位信号を受信する。ステップＳ２では路側機１３が個々の路側機を互いに識別可能な固有のＩＤである固有ＩＤと時間に応じて変化するように生成した乱数とを含む路側機コードからバリデーションコードを生成し、車載機１２にバリデーションコードの正本を送信すると共に、バリデーションサーバ１５にバリデーションコードの複写を送信する。路側機１３は識別子であるバリデーションコードを動的に生成し、車載機１２及びバリデーションサーバ１５の双方に送信する。なお、路側機１３は、無線によりバリデーションコードを放送するので、路側機１３の近辺を通行中の移動体（車）に搭載された車載機１２は、無線によりバリデーションコードを受信することになる。
【００１７】
ステップＳ３に進み、車載機１２は測位情報とバリデーションコードの正本とを結合することで結束コードを生成する。ステップＳ４に進み、車載機１２は広域ネットワーク１７経由で結束コードをバリデーションサーバ１５に送信する。ステップＳ５に進み、バリデーションサーバ１５は、受信した結束コードをデコードすることにより測位情報とバリデーションコードの正本とを分離する。
【００１８】
バリデーションサーバ１５は、バリデーションコードの正本とバリデーションコードの複写とを照合し、合致していれば、そのバリデーションコードの正本と結合されていた測位情報が正当な（改竄されていない）情報であると判定する。ステップＳ６に進み、バリデーションサーバ１５は正当な情報であることが認証された測位情報（走行履歴情報）をアプリケーションサーバ１６に送信する。
【００１９】
また、バリテーションサーバ１５は例えばオプション機能としてバリデーションコードの正本とバリデーションコードの複写との照合結果（Result code）を車載機１２又はアプリケーションサーバ１６に送信し、記録させるようにしてもよい。照合結果の送信先はアプリケーションによって異ならせることもできる。また、図３のＰＡＹＤシステムはバリデーションコードに路側機１３の固有ＩＤ，乱数に加え、路側機１３の位置のリスク情報を含ませることで保険金額の変額を、きめ細かく行うことができる。
【００２０】
図４は路側機の配置例を表したイメージ図である。図４は路側機ＩＤ−１，ＩＤ−２及びＩＤ−３が配置されている例を表している。路側機ＩＤ−１，ＩＤ−２及びＩＤ−３は常時近傍の道路上に向けて、バリデーションコードを送信し続ける。なお、図４に示すように、路側機ＩＤ−１，ＩＤ−２及びＩＤ−３によるバリデーションコードの送信範囲は必ずしも道路上の全ての範囲をカバーしなくてもよい。
【００２１】
図４中の車両１１が左から右へ走行すると、車両１１に搭載された車載機１２は路側機ＩＤ−１が送信したバリデーションコード，ＩＤ−２が送信したバリデーションコード及びＩＤ−３が送信したバリデーションコードの順番に受信する。
【００２２】
図５は路側機の他の配置例を表したイメージ図である。図５のイメージ図は、路側機ＩＤ−１，ＩＤ−２，ＩＤ−３及びＩＤ−４が、それぞれ交差点に配置されている例を表している。もちろん、路側機の設置場所を交差点に限るものではない。
【００２３】
路側機ＩＤ−１が配置されている交差点を通過した車両１１は、路側機ＩＤ−４が配置されている交差点に到達するため、路側機ＩＤ−２が配置されている交差点もしくは路側機ＩＤ−３が配置されている交差点を経由する必要があるものとする。
【００２４】
言い換えれば、路側機ＩＤ−１が配置されている交差点と路側機ＩＤ−４が配置されている交差点との経路上には、路側機ＩＤ−２が配置されている交差点又は路側機ＩＤ−３が配置されている交差点があるため、路側機ＩＤ−１が送信したバリデーションコードの次にＩＤ−４が送信したバリデーションコードを受信することはありえない。
【００２５】
そこで、本実施例のＰＡＹＤシステムでは経路上にある路側機１３を物理的に配置された順序で通過したことを確認する為のルールを、図６の路側機配置データとして定義している。図６は路側機配置データの一例の構成図である。図６に示す路側機配置データは水平垂直方向にある路側機１３が隣接関係にあり、それ以外の斜め方向にある路側機１３が隣接関係に無く、移動できないことを表している。路側機配置データの利用については後述する。
【００２６】
図７は路側機の一例の構成図である。路側機１３は、時系列コード生成機能部２１，路側機ＩＤ情報２２，合成部２３，無線インタフェースである送信装置２４および有線インタフェースである送信装置２５を有する構成である。図７の路側機１３の処理手順について図８のフローチャートを参照しつつ説明していく。図８は路側機の処理手順を表した一例のフローチャートである。
【００２７】
路側機１３は初期化されたあと、図８のフローチャートの処理を開始する。ステップＳ１１に進み、時系列コード生成機能部２１は処理対象となるタイムスロット番号，時刻を取得する。ステップＳ１２に進み、時系列コード生成機能部２１は取得した時刻をもとに乱数を生成する。
【００２８】
時系列コード生成機能部２１が生成する乱数は、時間軸上の相関の低い、繰り返し出現頻度の低いデータ列である。時系列コード生成機能部２１は生成した乱数を合成部２３に送信する。
【００２９】
ステップＳ１３に進み、合成部２３は、時系列コード生成機能部２１から乱数をタイムスロット毎に受信すると共に、固有ＩＤとしての路側機ＩＤ（路側機識別子）を路側機ＩＤ情報２２から読み出す。ステップＳ１４に進み、合成部２３はタイムスロット毎に路側機コードである路側機ＩＤと乱数とを結合する。
【００３０】
ステップＳ１５に進み、合成部２３は図９に示すような送信用データフォーマットを構成する。図９は、送信用データフォーマットの一例の構成図である。図９の送信用データフォーマットは時刻情報「ＴＳ」と、路側機ＩＤ「ＩＤ」と、乱数「ＲＤ」とを有する構成である。ステップＳ１６に進み、合成部２３は図９の送信用データフォーマットをバリデーションコードとして送信装置２４から移動ネットワーク（無線）経由で車両１１の車載機１２に送信する。ステップＳ１５に続いてステップＳ１７に進み、合成部２３は図９に示す送信用データフォーマットをバリデーションコードとして、送信装置２５から交通管制ネットワーク１８経由でバリデーションサーバ１５に送信する。
【００３１】
そして、ステップＳ１６又はＳ１７に続いてステップＳ１８に進み、時系列コード生成機能部２１は処理対象とするタイムスロット番号に１を加算したあと、ステップＳ１１の処理に戻り、図８のフローチャートの処理を続ける。図８のフローチャートの処理により路側機１３は路側機ＩＤと乱数とを結合することで、時系列などで容易に予測できないバリデーションコードを生成できる。
【００３２】
図１０は、車載機の一例の構成図である。車載機１２は、ＧＰＳアンテナ３１，受信装置３２，測位情報一時記録装置３３，読出機能部３４，路側機アンテナ３５，受信装置３６，バリデーションコード一時記録装置３７，読出機能部３８，結束コード生成機能部３９，車両ＩＤ付与部４０，送信装置４１を有する構成である。
【００３３】
受信装置３２はＧＰＳアンテナ３１経由でＧＰＳ衛星１０から測位信号を受信する。受信装置３２は受信した測位信号を測位情報ｐ１〜ｐ９としてタイムスロット毎に測位情報一時記録装置３３に記録する。
【００３４】
受信装置３６は路側機アンテナ３５経由で路側機１３からバリデーションコードを受信する。受信装置３６は、バリデーションコードＩＤ−１〜ＩＤ３をタイムスロット毎にバリデーションコード一時記録装置３７に記録する。なお、図１０に示すように、路側機１３によるバリデーションコードの送信範囲外を車両１１が通過するとき等、受信装置３６がバリデーションコードを受信できない場合は、その時刻に対応するタイムスロットにバリデーションコードが存在しない。
【００３５】
読出機能部３４及び読出機能部３８は同一タイムスロットの測位情報とバリデーションコードとを測位情報一時記録装置３３及びバリデーションコード一時記録装置３７から読み出し、結束コード生成機能部３９に送信する。結束コード生成機能部３９は、同一タイムスロットの測位情報とバリデーションコードとを１対１で関連付けて１つのデータストリームを構成する。単純な方法としては同一タイムスロットの測位情報とバリデーションコードとを連結する。その他、同一タイムスロットのバリデーションコードを暗号鍵として測位情報の暗号化を行う高度な方法を採用してもよい。結束コード生成機能部３９で構成されたデータストリームは結束コードである。
【００３６】
結束コード生成機能部３９は、結束コードを車両ＩＤ付与部４０に送信する。車両ＩＤ付与部４０は、結束コードのタイムスロット毎に車両ＩＤ「ＣＩＤ」を付与する。送信装置４１はタイムスロット毎に車両ＩＤが付与された結束コードを広域ネットワーク１７経由でバリデーションサーバ１５に送信する。
【００３７】
図１１は、バリデーションサーバの一例の構成図である。バリデーションサーバ１５は通信インタフェース５１，通信インタフェース５２，書込み機能部５３，バリデーションコード記録装置５４，読出機能部５５，書込み機能部５６，結束コード記録装置５７，読出機能部５８，測位情報検証機能部５９，路側機配置データ６０を有する構成である。
【００３８】
書込み機能部５３は交通管制ネットワーク１８及び通信インタフェース５１経由で路側機１３からバリデーションコードを受信する。書込み機能部５３はバリデーションコードの各タイムスロットに含まれる路側機ＩＤに基づき、バリデーションコードの各タイムスロットを蓄積先（バッファ）に振り分ける。
【００３９】
また、書込み機能部５６は広域ネットワーク１７及び通信インタフェース５２経由で車載機１２から結束コードを受信する。書込み機能部５６は結束コードの各タイムスロットに含まれる車両ＩＤに基づき、結束コード（走行履歴）の各タイムスロットを、検証されるまでの間、一時保管する蓄積先（バッファ）に振り分ける。
【００４０】
図１２は、バリデーションサーバが収集するバリデーションコードと結束コードとの関係を表した説明図である。バリデーションサーバ１５は、路側機１３からバリデーションコード７１を受信すると、路側機１３毎に異なる蓄積先（バッファ）に各タイムスロットを振り分けて、一定の時間、蓄積しておく。つまり、バリデーションサーバ１５は管理下にある路側機１３の数だけ、異なる蓄積先（バッファ）が必要となる。
【００４１】
また、バリデーションサーバ１５は各車両１１の車載機１２から結束コード７２を受信すると、車両ＩＤ毎に異なる蓄積先（バッファ）に各タイムスロットを振り分けて、一定の時間、蓄積しておく。ここで言う一定の時間とは、結束コード７２に含まれる測位情報の正当性が検証される迄である。結束コード７２に含まれる測位情報の正当性が検証されたあと、結束コード７２に含まれるバリデーションコードは破棄してもよい。
【００４２】
なお、路側機１３から受信したバリデーションコード７１と結束コード７２に含まれるバリデーションコードとは時刻情報で結びつけられる。図１２に示した結束コード７２は時刻ｔ１〜ｔ２の間、車載機１２が路側機ＩＤ−１からバリデーションコード７１を受信し、時刻ｔ４〜ｔ５の間、車載機１２が路側機ＩＤ−２からバリデーションコード７１を受信し、時刻ｔ７〜ｔ９の間、車載機１２が路側機ＩＤ−３からバリデーションコード７１を受信していることを表している。
【００４３】
時刻ｔ３及びｔ６は車載機１２が何れの路側機１３からもバリデーションコード７１を受信していないことを表している。車載機１２が何れの路側機１３からもバリデーションコード７１を受信しない例としては、車両１１が路側機１３によるバリデーションコードの送信範囲外を通過していること等が考えられる。
【００４４】
バリデーションコード７１を受信していない時刻に対応するタイムスロットには、時刻ｔ３及びｔ６のようにバリデーションコードが存在しない。バリデーションコードが一定の間隔で存在しないと、走行履歴情報の正当性を確認できないが、一定の間隔は市街地や郊外など走行場所により異なる。
【００４５】
図１１に戻り、読出機能部５８は結束コード記録装置５７から周期的に結束コード７２のタイムスロットを読み出していく。測位情報検証機能部５９は読み出した結束コード７２の検証しようとするタイムスロットにバリデーションコードが存在する場合、そのバリデーションコードと時刻情報が同じバリデーションコードを、読出機能部５５を利用してバリデーションコード記録装置５４から検索する。
【００４６】
測位情報検証機能部５９は、結束コード記録装置５７から読み出した結束コードに含まれる測位情報の正当性を、図１３に示すように検証する。図１３はバリデーションサーバにおいて測位情報の正当性を検証する処理の説明図である。
【００４７】
測位情報検証機能部５９は、結束コード記録装置５７から読み出した時刻ｔ１における結束コードを、時刻ｔ１の測位情報と正本のバリデーションコードとに分離する。測位情報検証機能部５９は、分離した時刻ｔ１の正本のバリデーションコードに含まれる時刻情報と路側機ＩＤとに基づいて、路側機ＩＤ−１の蓄積先から時刻情報が同じ、複写のバリデーションコードを、読出機能部５５経由でバリデーションコード記録装置５４から検索する。
【００４８】
測位情報検証機能部５９は、バリデーションコードの正本とバリデーションコードの複写とを照合し、合致していれば、そのバリデーションコードの正本と結合されていた時刻ｔ１の測位情報が正当な（改竄されていない）情報であると判定する。
【００４９】
図１３に示した処理は、測位情報の各タイムスロットに対して行い、各タイムスロットの測位情報が正当な情報であるかを確認する。ただし、時刻ｔ３及びｔ６のようにバリデーションコードが存在しないタイムスロットについては検証の対象外とする。また、前後でバリデーションコードに含まれる路側機ＩＤが変化した場合には、互いの経路上の位置関係に矛盾が無いことを図４〜図６において説明した路側機配置データ６０で確認する。
【００５０】
図１４は、バリデーションサーバにおいて測位情報の正当性を検証する処理の一例のフローチャートである。バリデーションサーバ１５は例えば装置導入時などに初期化されたあと、図１４のフローチャートの処理を開始する。
【００５１】
ステップＳ２１に進み、読出機能部５８は結束コード記録装置５７から結束コードを１タイムスロット分読み出す。
【００５２】
ステップＳ２２に進み、測位情報検証機能部５９は、結束コード記録装置５７から読み出した１タイムスロット分の結束コードを、測位情報と正本のバリデーションコードとに分離する。ステップＳ２３に進み、測位情報検証機能部５９はバリデーションコードの正本から時刻情報を抽出する。
【００５３】
ステップＳ２４に進み、測位情報検証機能部５９は抽出した時刻情報に対応する複写のバリデーションコードを、読出機能部５５を利用してバリデーションコード記録装置５４から検索する。ステップＳ２５に進み、測位情報検証機能部５９はステップＳ２４の検索の結果、抽出した時刻情報に対応している複写のバリデーションコードがあるか否かを判定する。
【００５４】
ステップＳ２４の検索の結果、抽出した時刻情報に対応している複写のバリデーションコードがあれば、測位情報検証機能部５９はステップＳ２６に進み、路側機配置データ６０との矛盾がないか否かを判定する。路側機配置データ６０との矛盾がなければ、測位情報検証機能部５９はステップＳ２７に進み、バリデーションコードの正本と複写とを照合して、バリデーションコードの正本と複写とに含まれている乱数が一致するか否かを判定する。
【００５５】
バリデーションコードの正本と複写とに含まれている乱数が一致していれば、測位情報検証機能部５９はステップＳ２８に進み、そのバリデーションコードの正本と結合されていた測位情報が正当な（改竄されていない）情報であると判定する。そして、ステップＳ２９に進み、測位情報検証機能部５９は正当な情報であると判定した測位情報を、認証済み測位情報の一時保存のバッファである測位情報格納庫８１に格納する。
【００５６】
なお、抽出したタイムスロットに対応している複写のバリデーションコードがなければ、測位情報検証機能部５９はステップＳ２５に続いてステップＳ２９に進み、ステップＳ２２で分離された測位情報を、認証済み測位情報の一時保存のバッファである測位情報格納庫８１に格納する。
【００５７】
ステップＳ２６において、路側機配置データ６０との矛盾があれば、測位情報検証機能部５９はステップＳ３０に進み、不正データ検出カウンタを加算する。また、ステップＳ２７において、バリデーションコードの正本と複写とに含まれている乱数が一致していなければ、測位情報検証機能部５９はステップＳ３０に進み、不正データ検出カウンタを加算する。
【００５８】
ステップＳ３１に進み、測位情報検証機能部５９は不正データ検出カウンタの許容値を越えたか否かを判定する。不正データ検出カウンタの許容値を越えていれば、測位情報検証機能部５９はステップＳ３２に進み、測位情報の異常により走行履歴情報の収集を中止する。
【００５９】
ステップＳ３１において、不正データ検出カウンタの許容値を越えていなければ、測位情報検証機能部５９はステップＳ２１に戻り処理を続ける。また、ステップＳ２９において測位情報を、認証済み測位情報の一時保存のバッファである測位情報格納庫８１に格納したあとも、測位情報検証機能部５９はステップＳ２１に戻り処理を続ける。認証済み測位情報の一時保存のバッファである測位情報格納庫８１に格納された測位情報は定期的に読み出し、アプリケーションサーバ１６へ送信する。
【００６０】
図１５はＰＡＹＤシステムの一実施例のシーケンス図である。ステップＳ４１では本発明の手順で走行履歴を利用するサービスを契約する車両１１に搭載されている車載機１２が、ＧＰＳ衛星１０から測位信号を受信する。ステップＳ４２に進み、車載機１２は路側機１３からバリデーションコードの正本を受信する。ステップＳ４３に進み、バリデーションサーバ１５は路側機１３からバリデーションコードの複写を受信し、バリデーションコード記録装置５４に記録する。
【００６１】
ステップＳ４４に進み、車載機１２は同一タイムスロットの測位情報，バリデーションコードの正本，及び車両ＩＤを連結して結束コードを生成する。バリテーションサーバ１５はステップＳ４５に進み、結束コードを広域ネットワーク１７経由で車載機１２から受信し、結束コード記録装置５７に記録する。
【００６２】
ステップＳ４６に進み、バリデーションサーバ１５は車載機１２から広域ネットワーク１７経由で受信した結束コードに含まれるバリデーションコードと、路側機１３から交通管制ネットワーク１８経由で受信したバリデーションコードとをタイムスロットごとに比較（照合）し、合致していれば、そのバリデーションコードの正本と結合されていた測位情報が正当な（改竄されていない）情報であると判定する。
【００６３】
ステップＳ４７に進み、バリデーションサーバ１５は正当な情報であると判定した測位情報をアプリケーションサーバ１６に送信する。そして、アプリケーションサーバ１６はバリデーションサーバ１５で正当性の検証により認証された測位情報（走行履歴情報）を利用し、例えば課金請求用のデータ処理として清算処理を行い、月次請求等の請求処理を行う。
【００６４】
本実施例のバリデーションサーバ１５は、例えば図１６に示す構成のコンピュータシステムにより実現される。図１６はバリデーションサーバを実現するコンピュータシステム一例の構成図である。
【００６５】
コンピュータシステムは、それぞれバスＢで相互に接続されている入力装置９１，出力装置９２，ドライブ装置９３，補助記憶装置９４，主記憶装置９５，演算処理装置９６およびインタフェース装置９７で構成される。
【００６６】
入力装置９１はキーボードやマウスなどで構成され、各種信号を入力するために用いられる。出力装置９２はディスプレイ装置などで構成され、各種ウインドウやデータ等を表示するために用いられる。インタフェース装置９７は、モデム，ＬＡＮカード等の通信インタフェース５１，通信インタフェース５２などで構成され、広域ネットワーク１７や交通管制ネットワーク１８に接続する為に用いられる。
【００６７】
バリデーションサーバ１５を制御するデータ検証プログラムは、コンピュータシステムを制御する各種プログラムの少なくとも一部である。データ検証プログラムは例えば記録媒体９８の配布やネットワークからのダウンロードなどによって提供される。データ検証プログラムを記録した記録媒体９８は、ＣＤ−ＲＯＭ、フレキシブルディスク、光磁気ディスク等の様に情報を光学的，電気的或いは磁気的に記録する記録媒体、ＲＯＭ、フラッシュメモリ等の様に情報を電気的に記録する半導体メモリ等、様々なタイプの記録媒体を用いることができる。
【００６８】
また、データ検証プログラムを記録した記録媒体９８がドライブ装置９３にセットされると、データ検証プログラムは記録媒体９８からドライブ装置９３を介して補助記憶装置９４にインストールされる。ネットワークからダウンロードされたデータ検証プログラムはインタフェース装置９７を介して補助記憶装置９４にインストールされる。
【００６９】
補助記憶装置９４はインストールされたデータ検証プログラムを格納すると共に、必要なファイル，データ等を格納する。主記憶装置９５は、コンピュータシステムの起動時に補助記憶装置９４からデータ検証プログラムを読み出して格納する。そして、演算処理装置９６は主記憶装置９５に格納されたデータ検証プログラムに従って、前述したような各種処理を実現している。
【００７０】
本発明は、以下に記載する付記のような構成が考えられる。
（付記１）
車載機が取得した、路側機から送出される前記路側機及び送出時間を特定可能な第一の情報と、前記車載機が搭載された車両の位置を特定可能な第二の情報とを両方含んだ第三の情報を第一のネットワーク経由で取得する第一の取得手段と、
前記路側機から送出される前記第一の情報を第二のネットワーク経由で取得する第二の取得手段と、
前記第一の取得手段が取得した前記第三の情報に含まれる前記第一の情報と前記第二の取得手段が取得した前記第一の情報とを照合し、整合が取れているときに前記第一の取得手段が取得した前記第三の情報に含まれる前記第二の情報を正当な情報と判定する判定手段と
を有することを特徴とするデータ検証装置。
（付記２）
前記判定手段が正当な情報と判定した前記第二の情報に基づき、前記車載機が搭載された前記車両の走行履歴情報を出力する出力手段を更に有することを特徴とする付記１記載のデータ検証装置。
（付記３）
前記判定手段は、前記路側機の隣接関係を管理する路側機配置データを用いて、物理的に矛盾のある前記車両の走行履歴情報の有無を確認することを特徴とする付記２記載のデータ検証装置。
（付記４）
前記判定手段は、前記第一の取得手段が取得した前記第三の情報に含まれる前記第一の情報及び前記第二の取得手段が取得した前記第一の情報から前記路側機及び送出時間をそれぞれ特定し、同一の前記送出時間に対応する前記路側機が同一であるときに、前記第三の情報に含まれる前記第二の情報を正当な情報と判定することを特徴とする付記１乃至３何れか一項記載のデータ検証装置。
（付記５）
前記第一の取得手段は、前記路側機から送出される前記路側機を一意に識別可能な路側機識別子，前記送出時間を識別可能な時刻情報，乱数情報を含む第一の情報と、前記車載機が搭載された前記車両の位置を測位した測位情報を含む第二の情報と、前記車載機が搭載された前記車両を一意に識別可能な車両識別子とを含んだ第三の情報を取得することを特徴とする付記１乃至４何れか一項記載のデータ検証装置。
（付記６）
コンピュータを、
車載機が取得した、路側機から送出される前記路側機及び送出時間を特定可能な第一の情報と、前記車載機が搭載された車両の位置を特定可能な第二の情報とを両方含んだ第三の情報を第一のネットワーク経由で取得する第一の取得手段と、
前記路側機から送出される前記第一の情報を第二のネットワーク経由で取得する第二の取得手段と、
前記第一の取得手段が取得した前記第三の情報に含まれる前記第一の情報と前記第二の取得手段が取得した前記第一の情報とを照合し、整合が取れているときに前記第一の取得手段が取得した前記第三の情報に含まれる前記第二の情報を正当な情報と判定する判定手段と
して機能させる為のデータ検証プログラム。
【００７１】
本発明は、具体的に開示された実施例に限定されるものではなく、特許請求の範囲から逸脱することなく、種々の変形や変更が可能である。
【図面の簡単な説明】
【００７２】
【図１】ＰＡＹＤシステムの一例の構成図である。
【図２】本実施例で開示するデータ検証装置を適用した場合のＰＡＹＤシステムの一実施例の構成図である。
【図３】ＰＡＹＤシステムの動作を表した概要図である。
【図４】路側機の配置例を表したイメージ図である。
【図５】路側機の他の配置例を表したイメージ図である。
【図６】路側機配置データの一例の構成図である。
【図７】路側機の一例の構成図である。
【図８】路側機の処理手順を表した一例のフローチャートである。
【図９】送信用データフォーマットの一例の構成図である。
【図１０】車載機の一例の構成図である。
【図１１】バリデーションサーバの一例の構成図である。
【図１２】バリデーションサーバが収集するバリデーションコードと結束コードとの関係を表した説明図である。
【図１３】バリデーションサーバにおいて測位情報の正当性を検証する処理の説明図である。
【図１４】バリデーションサーバにおいて測位情報の正当性を検証する処理の一例のフローチャートである。
【図１５】ＰＡＹＤシステムの一実施例のシーケンス図である。
【図１６】バリデーションサーバを実現するコンピュータシステム一例の構成図である。
【符号の説明】
【００７３】
１，１０ ＧＰＳ衛星
２，１１ 車両
３ 移動通信（携帯電話）ネットワーク
４ 課金サーバ
１２ 車載機
１３ 路側機
１４ 広域通信アンテナ
１５ バリデーションサーバ（Validation Server）
１６ アプリケーションサーバ
１７ 広域ネットワーク
１８ 交通管制ネットワーク
２１ 時系列コード生成機能部
２２ 路側機ＩＤ情報
２３ 合成部
２４，２５ 送信装置
３１ ＧＰＳアンテナ
３２，３６ 受信装置
３３ 測位情報一時記録装置
３４，３８ 読出機能部
３５ 路側機アンテナ
３７ バリデーションコード一時記録装置
３９ 結束コード生成機能部
４０ 車両ＩＤ付与部
４１ 送信装置
５１，５２ 通信インタフェース
５３ 書込み機能部
５４ バリデーションコード記録装置
５５ 読出機能部
５６ 書込み機能部
５７ 結束コード記録装置
５８ 読出機能部
５９ 測位情報検証機能部
６０ 路側機配置データ
７１ バリデーションコード
７２ 結束コード
８１ 測位情報格納庫
９１ 入力装置
９２ 出力装置
９３ ドライブ装置
９４ 補助記憶装置
９５ 主記憶装置
９６ 演算処理装置
９７ インタフェース装置
９８ 記録媒体
【技術分野】
【０００１】
本発明は、データ検証装置及びデータ検証プログラムに係り、特に車両に搭載された車載機から取得する情報の正当性を検証するデータ検証装置及びデータ検証プログラムに関する。
【背景技術】
【０００２】
近年では、自動車の走行履歴に基づいて保険金額を変額する自動車保険サービスが保険会社から提供されるようになった。このような自動車の走行履歴に基づいて保険金額を変額する自動車保険は、ＰＡＹＤ（Pay-As-You-Drive）と呼ばれている。
【０００３】
ＰＡＹＤはＧＰＳ（Global Positioning System）等の測位システムにより走行距離を把握する機能と通信機能とを併せ持つ車載情報通信装置（車載機）を利用する（例えば非特許文献１参照）。
【０００４】
図１は、ＰＡＹＤシステムの一例の構成図である。車両２に搭載された車載機はＧＰＳ衛星１から測位信号を受信する。車載機は受信した測位信号から車両２の自車位置を連続的に算出して測位情報として記録する。車載機は例えば所定の間隔で測位情報を、移動通信（携帯電話）ネットワーク３経由で保険会社の課金サーバ４に送信する。課金サーバ４にはＰＡＹＤアプリケーションがインストールされている。課金サーバ４は、受信した測位情報に基づき、課金請求用のデータ処理として清算処理を行い、月次請求等の請求処理を行っていた。
【非特許文献１】加藤純央、「今後の自動車保険ＰＡＹＤに期待すること」、野村総合研究所 「ファイナンシャル インフォメーション テクノロジー フォーカス Ａｐｒｉｌ ２００７」、［online］、インターネット＜URL://www.nri.co.jp/opinion/kinyu_itf/2007/pdf/itf20070405.pdf＞
【発明の開示】
【発明が解決しようとする課題】
【０００５】
ＰＡＹＤは車載機から受信した測位情報に基づき保険金額を算出するため、車載機から受信した測位情報が正しい内容、言い換えれば改竄等されていない正当性のある測位情報であることが重要となる。しかしながら、従来のＰＡＹＤは測位情報の正当性をブラックボックスである車載機と移動通信ネットワークの堅牢性とに依存している。従って、従来のＰＡＹＤにおける測位情報は改竄があったか否かを課金サーバ側で検証できず、信頼性が低いという問題があった。
【０００６】
本発明の一実施形態は、上記の点に鑑みなされたもので、車載機から取得した情報の正当性の検証を行うことができるデータ検証装置及びデータ検証プログラムを提供することを目的とする。
【課題を解決するための手段】
【０００７】
上記課題を解決する為、本発明の一実施形態は、車載機が取得した、路側機から送出される前記路側機及び送出時間を特定可能な第一の情報と、前記車載機が搭載された車両の位置を特定可能な第二の情報とを両方含んだ第三の情報を第一のネットワーク経由で取得する第一の取得手段と、前記路側機から送出される前記第一の情報を第二のネットワーク経由で取得する第二の取得手段と、前記第一の取得手段が取得した前記第三の情報に含まれる前記第一の情報と前記第二の取得手段が取得した前記第一の情報とを照合し、整合が取れているときに前記第一の取得手段が取得した前記第三の情報に含まれる前記第二の情報を正当な情報と判定する判定手段とを有するデータ検証装置であることを特徴とする。
【０００８】
なお、本発明の一実施形態の構成要素、表現又は構成要素の任意の組合せを、方法、装置、システム、コンピュータプログラム、記録媒体、データ構造などに適用したものも本発明の態様として有効である。
【発明の効果】
【０００９】
上述の如く、本発明の一実施形態によれば、車載機から取得した情報の正当性の検証を行うことができるデータ検証装置及びデータ検証プログラムを提供可能である。
【発明を実施するための最良の形態】
【００１０】
次に、本発明を実施するための最良の形態を、以下の実施例に基づき図面を参照しつつ説明していく。
【００１１】
図２は本実施例で開示するデータ検証装置を適用した場合のＰＡＹＤシステムの一実施例の構成図である。なお、以降の実施例の説明においては、従来のＰＡＹＤシステムの意味ではなく、本実施例で開示するデータ検証装置を適用したシステムの意味でＰＡＹＤシステムと記載している。図２のＰＡＹＤシステムはＧＰＳ衛星１０，車両１１，車載機１２，路側機１３，広域通信アンテナ１４，バリデーションサーバ（Validation Server）１５，アプリケーションサーバ１６，広域ネットワーク１７及び交通管制ネットワーク１８を有する構成である。
【００１２】
車載機１２はＰＡＹＤを契約する車両１１に搭載されている。車載機１２は、ＧＰＳ衛星１０から測位信号を受信すると共に、路側機１３から後述のバリデーションコードを受信する。路側機１３は信号機や車両感知器等に取り付けられることにより、主に道路上に配置される。路側機１３は交通管制センタや上位制御装置等を収容する交通管制ネットワーク１８にデータ通信可能に接続されている。
【００１３】
車載機１２は広域通信アンテナ１４経由で広域ネットワーク１７にデータ通信可能に接続されている。広域ネットワーク１７は携帯電話網やインターネット等、車両１１の移動中にデータ通信可能なネットワークである。バリデーションサーバ１５は車載機１２から後述の結束コードを受信すると共に、路側機１３から後述のバリデーションコードを受信する。結束コードは、測位情報と後述のバリデーションコードとを結合することで生成される。
【００１４】
バリデーションサーバ１５は車載機１２から受信した後述の結束コードに含まれるバリデーションコードと路側機１３から受信した後述のバリデーションコードとに基づき、車載機１２から受信した後述の結束コードに含まれる測位情報の正当性の検証を行う。言い換えれば、バリデーションサーバ１５は受信した結束コードから車両１１の走行履歴情報の正当性の検証を後述のように行う。
【００１５】
アプリケーションサーバ１６はバリデーションサーバ１５で正当性の検証により認証された走行履歴情報を利用し、例えば課金請求用のデータ処理として清算処理を行い、月次請求等の請求処理を行う。
【００１６】
図３はＰＡＹＤシステムの動作を表した概要図である。ステップＳ１では、車両１１に搭載された車載機１２がＧＰＳ衛星１０から測位信号を受信する。ステップＳ２では路側機１３が個々の路側機を互いに識別可能な固有のＩＤである固有ＩＤと時間に応じて変化するように生成した乱数とを含む路側機コードからバリデーションコードを生成し、車載機１２にバリデーションコードの正本を送信すると共に、バリデーションサーバ１５にバリデーションコードの複写を送信する。路側機１３は識別子であるバリデーションコードを動的に生成し、車載機１２及びバリデーションサーバ１５の双方に送信する。なお、路側機１３は、無線によりバリデーションコードを放送するので、路側機１３の近辺を通行中の移動体（車）に搭載された車載機１２は、無線によりバリデーションコードを受信することになる。
【００１７】
ステップＳ３に進み、車載機１２は測位情報とバリデーションコードの正本とを結合することで結束コードを生成する。ステップＳ４に進み、車載機１２は広域ネットワーク１７経由で結束コードをバリデーションサーバ１５に送信する。ステップＳ５に進み、バリデーションサーバ１５は、受信した結束コードをデコードすることにより測位情報とバリデーションコードの正本とを分離する。
【００１８】
バリデーションサーバ１５は、バリデーションコードの正本とバリデーションコードの複写とを照合し、合致していれば、そのバリデーションコードの正本と結合されていた測位情報が正当な（改竄されていない）情報であると判定する。ステップＳ６に進み、バリデーションサーバ１５は正当な情報であることが認証された測位情報（走行履歴情報）をアプリケーションサーバ１６に送信する。
【００１９】
また、バリテーションサーバ１５は例えばオプション機能としてバリデーションコードの正本とバリデーションコードの複写との照合結果（Result code）を車載機１２又はアプリケーションサーバ１６に送信し、記録させるようにしてもよい。照合結果の送信先はアプリケーションによって異ならせることもできる。また、図３のＰＡＹＤシステムはバリデーションコードに路側機１３の固有ＩＤ，乱数に加え、路側機１３の位置のリスク情報を含ませることで保険金額の変額を、きめ細かく行うことができる。
【００２０】
図４は路側機の配置例を表したイメージ図である。図４は路側機ＩＤ−１，ＩＤ−２及びＩＤ−３が配置されている例を表している。路側機ＩＤ−１，ＩＤ−２及びＩＤ−３は常時近傍の道路上に向けて、バリデーションコードを送信し続ける。なお、図４に示すように、路側機ＩＤ−１，ＩＤ−２及びＩＤ−３によるバリデーションコードの送信範囲は必ずしも道路上の全ての範囲をカバーしなくてもよい。
【００２１】
図４中の車両１１が左から右へ走行すると、車両１１に搭載された車載機１２は路側機ＩＤ−１が送信したバリデーションコード，ＩＤ−２が送信したバリデーションコード及びＩＤ−３が送信したバリデーションコードの順番に受信する。
【００２２】
図５は路側機の他の配置例を表したイメージ図である。図５のイメージ図は、路側機ＩＤ−１，ＩＤ−２，ＩＤ−３及びＩＤ−４が、それぞれ交差点に配置されている例を表している。もちろん、路側機の設置場所を交差点に限るものではない。
【００２３】
路側機ＩＤ−１が配置されている交差点を通過した車両１１は、路側機ＩＤ−４が配置されている交差点に到達するため、路側機ＩＤ−２が配置されている交差点もしくは路側機ＩＤ−３が配置されている交差点を経由する必要があるものとする。
【００２４】
言い換えれば、路側機ＩＤ−１が配置されている交差点と路側機ＩＤ−４が配置されている交差点との経路上には、路側機ＩＤ−２が配置されている交差点又は路側機ＩＤ−３が配置されている交差点があるため、路側機ＩＤ−１が送信したバリデーションコードの次にＩＤ−４が送信したバリデーションコードを受信することはありえない。
【００２５】
そこで、本実施例のＰＡＹＤシステムでは経路上にある路側機１３を物理的に配置された順序で通過したことを確認する為のルールを、図６の路側機配置データとして定義している。図６は路側機配置データの一例の構成図である。図６に示す路側機配置データは水平垂直方向にある路側機１３が隣接関係にあり、それ以外の斜め方向にある路側機１３が隣接関係に無く、移動できないことを表している。路側機配置データの利用については後述する。
【００２６】
図７は路側機の一例の構成図である。路側機１３は、時系列コード生成機能部２１，路側機ＩＤ情報２２，合成部２３，無線インタフェースである送信装置２４および有線インタフェースである送信装置２５を有する構成である。図７の路側機１３の処理手順について図８のフローチャートを参照しつつ説明していく。図８は路側機の処理手順を表した一例のフローチャートである。
【００２７】
路側機１３は初期化されたあと、図８のフローチャートの処理を開始する。ステップＳ１１に進み、時系列コード生成機能部２１は処理対象となるタイムスロット番号，時刻を取得する。ステップＳ１２に進み、時系列コード生成機能部２１は取得した時刻をもとに乱数を生成する。
【００２８】
時系列コード生成機能部２１が生成する乱数は、時間軸上の相関の低い、繰り返し出現頻度の低いデータ列である。時系列コード生成機能部２１は生成した乱数を合成部２３に送信する。
【００２９】
ステップＳ１３に進み、合成部２３は、時系列コード生成機能部２１から乱数をタイムスロット毎に受信すると共に、固有ＩＤとしての路側機ＩＤ（路側機識別子）を路側機ＩＤ情報２２から読み出す。ステップＳ１４に進み、合成部２３はタイムスロット毎に路側機コードである路側機ＩＤと乱数とを結合する。
【００３０】
ステップＳ１５に進み、合成部２３は図９に示すような送信用データフォーマットを構成する。図９は、送信用データフォーマットの一例の構成図である。図９の送信用データフォーマットは時刻情報「ＴＳ」と、路側機ＩＤ「ＩＤ」と、乱数「ＲＤ」とを有する構成である。ステップＳ１６に進み、合成部２３は図９の送信用データフォーマットをバリデーションコードとして送信装置２４から移動ネットワーク（無線）経由で車両１１の車載機１２に送信する。ステップＳ１５に続いてステップＳ１７に進み、合成部２３は図９に示す送信用データフォーマットをバリデーションコードとして、送信装置２５から交通管制ネットワーク１８経由でバリデーションサーバ１５に送信する。
【００３１】
そして、ステップＳ１６又はＳ１７に続いてステップＳ１８に進み、時系列コード生成機能部２１は処理対象とするタイムスロット番号に１を加算したあと、ステップＳ１１の処理に戻り、図８のフローチャートの処理を続ける。図８のフローチャートの処理により路側機１３は路側機ＩＤと乱数とを結合することで、時系列などで容易に予測できないバリデーションコードを生成できる。
【００３２】
図１０は、車載機の一例の構成図である。車載機１２は、ＧＰＳアンテナ３１，受信装置３２，測位情報一時記録装置３３，読出機能部３４，路側機アンテナ３５，受信装置３６，バリデーションコード一時記録装置３７，読出機能部３８，結束コード生成機能部３９，車両ＩＤ付与部４０，送信装置４１を有する構成である。
【００３３】
受信装置３２はＧＰＳアンテナ３１経由でＧＰＳ衛星１０から測位信号を受信する。受信装置３２は受信した測位信号を測位情報ｐ１〜ｐ９としてタイムスロット毎に測位情報一時記録装置３３に記録する。
【００３４】
受信装置３６は路側機アンテナ３５経由で路側機１３からバリデーションコードを受信する。受信装置３６は、バリデーションコードＩＤ−１〜ＩＤ３をタイムスロット毎にバリデーションコード一時記録装置３７に記録する。なお、図１０に示すように、路側機１３によるバリデーションコードの送信範囲外を車両１１が通過するとき等、受信装置３６がバリデーションコードを受信できない場合は、その時刻に対応するタイムスロットにバリデーションコードが存在しない。
【００３５】
読出機能部３４及び読出機能部３８は同一タイムスロットの測位情報とバリデーションコードとを測位情報一時記録装置３３及びバリデーションコード一時記録装置３７から読み出し、結束コード生成機能部３９に送信する。結束コード生成機能部３９は、同一タイムスロットの測位情報とバリデーションコードとを１対１で関連付けて１つのデータストリームを構成する。単純な方法としては同一タイムスロットの測位情報とバリデーションコードとを連結する。その他、同一タイムスロットのバリデーションコードを暗号鍵として測位情報の暗号化を行う高度な方法を採用してもよい。結束コード生成機能部３９で構成されたデータストリームは結束コードである。
【００３６】
結束コード生成機能部３９は、結束コードを車両ＩＤ付与部４０に送信する。車両ＩＤ付与部４０は、結束コードのタイムスロット毎に車両ＩＤ「ＣＩＤ」を付与する。送信装置４１はタイムスロット毎に車両ＩＤが付与された結束コードを広域ネットワーク１７経由でバリデーションサーバ１５に送信する。
【００３７】
図１１は、バリデーションサーバの一例の構成図である。バリデーションサーバ１５は通信インタフェース５１，通信インタフェース５２，書込み機能部５３，バリデーションコード記録装置５４，読出機能部５５，書込み機能部５６，結束コード記録装置５７，読出機能部５８，測位情報検証機能部５９，路側機配置データ６０を有する構成である。
【００３８】
書込み機能部５３は交通管制ネットワーク１８及び通信インタフェース５１経由で路側機１３からバリデーションコードを受信する。書込み機能部５３はバリデーションコードの各タイムスロットに含まれる路側機ＩＤに基づき、バリデーションコードの各タイムスロットを蓄積先（バッファ）に振り分ける。
【００３９】
また、書込み機能部５６は広域ネットワーク１７及び通信インタフェース５２経由で車載機１２から結束コードを受信する。書込み機能部５６は結束コードの各タイムスロットに含まれる車両ＩＤに基づき、結束コード（走行履歴）の各タイムスロットを、検証されるまでの間、一時保管する蓄積先（バッファ）に振り分ける。
【００４０】
図１２は、バリデーションサーバが収集するバリデーションコードと結束コードとの関係を表した説明図である。バリデーションサーバ１５は、路側機１３からバリデーションコード７１を受信すると、路側機１３毎に異なる蓄積先（バッファ）に各タイムスロットを振り分けて、一定の時間、蓄積しておく。つまり、バリデーションサーバ１５は管理下にある路側機１３の数だけ、異なる蓄積先（バッファ）が必要となる。
【００４１】
また、バリデーションサーバ１５は各車両１１の車載機１２から結束コード７２を受信すると、車両ＩＤ毎に異なる蓄積先（バッファ）に各タイムスロットを振り分けて、一定の時間、蓄積しておく。ここで言う一定の時間とは、結束コード７２に含まれる測位情報の正当性が検証される迄である。結束コード７２に含まれる測位情報の正当性が検証されたあと、結束コード７２に含まれるバリデーションコードは破棄してもよい。
【００４２】
なお、路側機１３から受信したバリデーションコード７１と結束コード７２に含まれるバリデーションコードとは時刻情報で結びつけられる。図１２に示した結束コード７２は時刻ｔ１〜ｔ２の間、車載機１２が路側機ＩＤ−１からバリデーションコード７１を受信し、時刻ｔ４〜ｔ５の間、車載機１２が路側機ＩＤ−２からバリデーションコード７１を受信し、時刻ｔ７〜ｔ９の間、車載機１２が路側機ＩＤ−３からバリデーションコード７１を受信していることを表している。
【００４３】
時刻ｔ３及びｔ６は車載機１２が何れの路側機１３からもバリデーションコード７１を受信していないことを表している。車載機１２が何れの路側機１３からもバリデーションコード７１を受信しない例としては、車両１１が路側機１３によるバリデーションコードの送信範囲外を通過していること等が考えられる。
【００４４】
バリデーションコード７１を受信していない時刻に対応するタイムスロットには、時刻ｔ３及びｔ６のようにバリデーションコードが存在しない。バリデーションコードが一定の間隔で存在しないと、走行履歴情報の正当性を確認できないが、一定の間隔は市街地や郊外など走行場所により異なる。
【００４５】
図１１に戻り、読出機能部５８は結束コード記録装置５７から周期的に結束コード７２のタイムスロットを読み出していく。測位情報検証機能部５９は読み出した結束コード７２の検証しようとするタイムスロットにバリデーションコードが存在する場合、そのバリデーションコードと時刻情報が同じバリデーションコードを、読出機能部５５を利用してバリデーションコード記録装置５４から検索する。
【００４６】
測位情報検証機能部５９は、結束コード記録装置５７から読み出した結束コードに含まれる測位情報の正当性を、図１３に示すように検証する。図１３はバリデーションサーバにおいて測位情報の正当性を検証する処理の説明図である。
【００４７】
測位情報検証機能部５９は、結束コード記録装置５７から読み出した時刻ｔ１における結束コードを、時刻ｔ１の測位情報と正本のバリデーションコードとに分離する。測位情報検証機能部５９は、分離した時刻ｔ１の正本のバリデーションコードに含まれる時刻情報と路側機ＩＤとに基づいて、路側機ＩＤ−１の蓄積先から時刻情報が同じ、複写のバリデーションコードを、読出機能部５５経由でバリデーションコード記録装置５４から検索する。
【００４８】
測位情報検証機能部５９は、バリデーションコードの正本とバリデーションコードの複写とを照合し、合致していれば、そのバリデーションコードの正本と結合されていた時刻ｔ１の測位情報が正当な（改竄されていない）情報であると判定する。
【００４９】
図１３に示した処理は、測位情報の各タイムスロットに対して行い、各タイムスロットの測位情報が正当な情報であるかを確認する。ただし、時刻ｔ３及びｔ６のようにバリデーションコードが存在しないタイムスロットについては検証の対象外とする。また、前後でバリデーションコードに含まれる路側機ＩＤが変化した場合には、互いの経路上の位置関係に矛盾が無いことを図４〜図６において説明した路側機配置データ６０で確認する。
【００５０】
図１４は、バリデーションサーバにおいて測位情報の正当性を検証する処理の一例のフローチャートである。バリデーションサーバ１５は例えば装置導入時などに初期化されたあと、図１４のフローチャートの処理を開始する。
【００５１】
ステップＳ２１に進み、読出機能部５８は結束コード記録装置５７から結束コードを１タイムスロット分読み出す。
【００５２】
ステップＳ２２に進み、測位情報検証機能部５９は、結束コード記録装置５７から読み出した１タイムスロット分の結束コードを、測位情報と正本のバリデーションコードとに分離する。ステップＳ２３に進み、測位情報検証機能部５９はバリデーションコードの正本から時刻情報を抽出する。
【００５３】
ステップＳ２４に進み、測位情報検証機能部５９は抽出した時刻情報に対応する複写のバリデーションコードを、読出機能部５５を利用してバリデーションコード記録装置５４から検索する。ステップＳ２５に進み、測位情報検証機能部５９はステップＳ２４の検索の結果、抽出した時刻情報に対応している複写のバリデーションコードがあるか否かを判定する。
【００５４】
ステップＳ２４の検索の結果、抽出した時刻情報に対応している複写のバリデーションコードがあれば、測位情報検証機能部５９はステップＳ２６に進み、路側機配置データ６０との矛盾がないか否かを判定する。路側機配置データ６０との矛盾がなければ、測位情報検証機能部５９はステップＳ２７に進み、バリデーションコードの正本と複写とを照合して、バリデーションコードの正本と複写とに含まれている乱数が一致するか否かを判定する。
【００５５】
バリデーションコードの正本と複写とに含まれている乱数が一致していれば、測位情報検証機能部５９はステップＳ２８に進み、そのバリデーションコードの正本と結合されていた測位情報が正当な（改竄されていない）情報であると判定する。そして、ステップＳ２９に進み、測位情報検証機能部５９は正当な情報であると判定した測位情報を、認証済み測位情報の一時保存のバッファである測位情報格納庫８１に格納する。
【００５６】
なお、抽出したタイムスロットに対応している複写のバリデーションコードがなければ、測位情報検証機能部５９はステップＳ２５に続いてステップＳ２９に進み、ステップＳ２２で分離された測位情報を、認証済み測位情報の一時保存のバッファである測位情報格納庫８１に格納する。
【００５７】
ステップＳ２６において、路側機配置データ６０との矛盾があれば、測位情報検証機能部５９はステップＳ３０に進み、不正データ検出カウンタを加算する。また、ステップＳ２７において、バリデーションコードの正本と複写とに含まれている乱数が一致していなければ、測位情報検証機能部５９はステップＳ３０に進み、不正データ検出カウンタを加算する。
【００５８】
ステップＳ３１に進み、測位情報検証機能部５９は不正データ検出カウンタの許容値を越えたか否かを判定する。不正データ検出カウンタの許容値を越えていれば、測位情報検証機能部５９はステップＳ３２に進み、測位情報の異常により走行履歴情報の収集を中止する。
【００５９】
ステップＳ３１において、不正データ検出カウンタの許容値を越えていなければ、測位情報検証機能部５９はステップＳ２１に戻り処理を続ける。また、ステップＳ２９において測位情報を、認証済み測位情報の一時保存のバッファである測位情報格納庫８１に格納したあとも、測位情報検証機能部５９はステップＳ２１に戻り処理を続ける。認証済み測位情報の一時保存のバッファである測位情報格納庫８１に格納された測位情報は定期的に読み出し、アプリケーションサーバ１６へ送信する。
【００６０】
図１５はＰＡＹＤシステムの一実施例のシーケンス図である。ステップＳ４１では本発明の手順で走行履歴を利用するサービスを契約する車両１１に搭載されている車載機１２が、ＧＰＳ衛星１０から測位信号を受信する。ステップＳ４２に進み、車載機１２は路側機１３からバリデーションコードの正本を受信する。ステップＳ４３に進み、バリデーションサーバ１５は路側機１３からバリデーションコードの複写を受信し、バリデーションコード記録装置５４に記録する。
【００６１】
ステップＳ４４に進み、車載機１２は同一タイムスロットの測位情報，バリデーションコードの正本，及び車両ＩＤを連結して結束コードを生成する。バリテーションサーバ１５はステップＳ４５に進み、結束コードを広域ネットワーク１７経由で車載機１２から受信し、結束コード記録装置５７に記録する。
【００６２】
ステップＳ４６に進み、バリデーションサーバ１５は車載機１２から広域ネットワーク１７経由で受信した結束コードに含まれるバリデーションコードと、路側機１３から交通管制ネットワーク１８経由で受信したバリデーションコードとをタイムスロットごとに比較（照合）し、合致していれば、そのバリデーションコードの正本と結合されていた測位情報が正当な（改竄されていない）情報であると判定する。
【００６３】
ステップＳ４７に進み、バリデーションサーバ１５は正当な情報であると判定した測位情報をアプリケーションサーバ１６に送信する。そして、アプリケーションサーバ１６はバリデーションサーバ１５で正当性の検証により認証された測位情報（走行履歴情報）を利用し、例えば課金請求用のデータ処理として清算処理を行い、月次請求等の請求処理を行う。
【００６４】
本実施例のバリデーションサーバ１５は、例えば図１６に示す構成のコンピュータシステムにより実現される。図１６はバリデーションサーバを実現するコンピュータシステム一例の構成図である。
【００６５】
コンピュータシステムは、それぞれバスＢで相互に接続されている入力装置９１，出力装置９２，ドライブ装置９３，補助記憶装置９４，主記憶装置９５，演算処理装置９６およびインタフェース装置９７で構成される。
【００６６】
入力装置９１はキーボードやマウスなどで構成され、各種信号を入力するために用いられる。出力装置９２はディスプレイ装置などで構成され、各種ウインドウやデータ等を表示するために用いられる。インタフェース装置９７は、モデム，ＬＡＮカード等の通信インタフェース５１，通信インタフェース５２などで構成され、広域ネットワーク１７や交通管制ネットワーク１８に接続する為に用いられる。
【００６７】
バリデーションサーバ１５を制御するデータ検証プログラムは、コンピュータシステムを制御する各種プログラムの少なくとも一部である。データ検証プログラムは例えば記録媒体９８の配布やネットワークからのダウンロードなどによって提供される。データ検証プログラムを記録した記録媒体９８は、ＣＤ−ＲＯＭ、フレキシブルディスク、光磁気ディスク等の様に情報を光学的，電気的或いは磁気的に記録する記録媒体、ＲＯＭ、フラッシュメモリ等の様に情報を電気的に記録する半導体メモリ等、様々なタイプの記録媒体を用いることができる。
【００６８】
また、データ検証プログラムを記録した記録媒体９８がドライブ装置９３にセットされると、データ検証プログラムは記録媒体９８からドライブ装置９３を介して補助記憶装置９４にインストールされる。ネットワークからダウンロードされたデータ検証プログラムはインタフェース装置９７を介して補助記憶装置９４にインストールされる。
【００６９】
補助記憶装置９４はインストールされたデータ検証プログラムを格納すると共に、必要なファイル，データ等を格納する。主記憶装置９５は、コンピュータシステムの起動時に補助記憶装置９４からデータ検証プログラムを読み出して格納する。そして、演算処理装置９６は主記憶装置９５に格納されたデータ検証プログラムに従って、前述したような各種処理を実現している。
【００７０】
本発明は、以下に記載する付記のような構成が考えられる。
（付記１）
車載機が取得した、路側機から送出される前記路側機及び送出時間を特定可能な第一の情報と、前記車載機が搭載された車両の位置を特定可能な第二の情報とを両方含んだ第三の情報を第一のネットワーク経由で取得する第一の取得手段と、
前記路側機から送出される前記第一の情報を第二のネットワーク経由で取得する第二の取得手段と、
前記第一の取得手段が取得した前記第三の情報に含まれる前記第一の情報と前記第二の取得手段が取得した前記第一の情報とを照合し、整合が取れているときに前記第一の取得手段が取得した前記第三の情報に含まれる前記第二の情報を正当な情報と判定する判定手段と
を有することを特徴とするデータ検証装置。
（付記２）
前記判定手段が正当な情報と判定した前記第二の情報に基づき、前記車載機が搭載された前記車両の走行履歴情報を出力する出力手段を更に有することを特徴とする付記１記載のデータ検証装置。
（付記３）
前記判定手段は、前記路側機の隣接関係を管理する路側機配置データを用いて、物理的に矛盾のある前記車両の走行履歴情報の有無を確認することを特徴とする付記２記載のデータ検証装置。
（付記４）
前記判定手段は、前記第一の取得手段が取得した前記第三の情報に含まれる前記第一の情報及び前記第二の取得手段が取得した前記第一の情報から前記路側機及び送出時間をそれぞれ特定し、同一の前記送出時間に対応する前記路側機が同一であるときに、前記第三の情報に含まれる前記第二の情報を正当な情報と判定することを特徴とする付記１乃至３何れか一項記載のデータ検証装置。
（付記５）
前記第一の取得手段は、前記路側機から送出される前記路側機を一意に識別可能な路側機識別子，前記送出時間を識別可能な時刻情報，乱数情報を含む第一の情報と、前記車載機が搭載された前記車両の位置を測位した測位情報を含む第二の情報と、前記車載機が搭載された前記車両を一意に識別可能な車両識別子とを含んだ第三の情報を取得することを特徴とする付記１乃至４何れか一項記載のデータ検証装置。
（付記６）
コンピュータを、
車載機が取得した、路側機から送出される前記路側機及び送出時間を特定可能な第一の情報と、前記車載機が搭載された車両の位置を特定可能な第二の情報とを両方含んだ第三の情報を第一のネットワーク経由で取得する第一の取得手段と、
前記路側機から送出される前記第一の情報を第二のネットワーク経由で取得する第二の取得手段と、
前記第一の取得手段が取得した前記第三の情報に含まれる前記第一の情報と前記第二の取得手段が取得した前記第一の情報とを照合し、整合が取れているときに前記第一の取得手段が取得した前記第三の情報に含まれる前記第二の情報を正当な情報と判定する判定手段と
して機能させる為のデータ検証プログラム。
【００７１】
本発明は、具体的に開示された実施例に限定されるものではなく、特許請求の範囲から逸脱することなく、種々の変形や変更が可能である。
【図面の簡単な説明】
【００７２】
【図１】ＰＡＹＤシステムの一例の構成図である。
【図２】本実施例で開示するデータ検証装置を適用した場合のＰＡＹＤシステムの一実施例の構成図である。
【図３】ＰＡＹＤシステムの動作を表した概要図である。
【図４】路側機の配置例を表したイメージ図である。
【図５】路側機の他の配置例を表したイメージ図である。
【図６】路側機配置データの一例の構成図である。
【図７】路側機の一例の構成図である。
【図８】路側機の処理手順を表した一例のフローチャートである。
【図９】送信用データフォーマットの一例の構成図である。
【図１０】車載機の一例の構成図である。
【図１１】バリデーションサーバの一例の構成図である。
【図１２】バリデーションサーバが収集するバリデーションコードと結束コードとの関係を表した説明図である。
【図１３】バリデーションサーバにおいて測位情報の正当性を検証する処理の説明図である。
【図１４】バリデーションサーバにおいて測位情報の正当性を検証する処理の一例のフローチャートである。
【図１５】ＰＡＹＤシステムの一実施例のシーケンス図である。
【図１６】バリデーションサーバを実現するコンピュータシステム一例の構成図である。
【符号の説明】
【００７３】
１，１０ ＧＰＳ衛星
２，１１ 車両
３ 移動通信（携帯電話）ネットワーク
４ 課金サーバ
１２ 車載機
１３ 路側機
１４ 広域通信アンテナ
１５ バリデーションサーバ（Validation Server）
１６ アプリケーションサーバ
１７ 広域ネットワーク
１８ 交通管制ネットワーク
２１ 時系列コード生成機能部
２２ 路側機ＩＤ情報
２３ 合成部
２４，２５ 送信装置
３１ ＧＰＳアンテナ
３２，３６ 受信装置
３３ 測位情報一時記録装置
３４，３８ 読出機能部
３５ 路側機アンテナ
３７ バリデーションコード一時記録装置
３９ 結束コード生成機能部
４０ 車両ＩＤ付与部
４１ 送信装置
５１，５２ 通信インタフェース
５３ 書込み機能部
５４ バリデーションコード記録装置
５５ 読出機能部
５６ 書込み機能部
５７ 結束コード記録装置
５８ 読出機能部
５９ 測位情報検証機能部
６０ 路側機配置データ
７１ バリデーションコード
７２ 結束コード
８１ 測位情報格納庫
９１ 入力装置
９２ 出力装置
９３ ドライブ装置
９４ 補助記憶装置
９５ 主記憶装置
９６ 演算処理装置
９７ インタフェース装置
９８ 記録媒体
【特許請求の範囲】
【請求項１】
車載機が取得した、路側機から送出される前記路側機及び送出時間を特定可能な第一の情報と、前記車載機が搭載された車両の位置を特定可能な第二の情報とを両方含んだ第三の情報を第一のネットワーク経由で取得する第一の取得手段と、
前記路側機から送出される前記第一の情報を第二のネットワーク経由で取得する第二の取得手段と、
前記第一の取得手段が取得した前記第三の情報に含まれる前記第一の情報と前記第二の取得手段が取得した前記第一の情報とを照合し、整合が取れているときに前記第一の取得手段が取得した前記第三の情報に含まれる前記第二の情報を正当な情報と判定する判定手段と
を有することを特徴とするデータ検証装置。
【請求項２】
前記判定手段が正当な情報と判定した前記第二の情報に基づき、前記車載機が搭載された前記車両の走行履歴情報を出力する出力手段を更に有することを特徴とする請求項１記載のデータ検証装置。
【請求項３】
前記判定手段は、前記路側機の隣接関係を管理する路側機配置データを用いて、物理的に矛盾のある前記車両の走行履歴情報の有無を確認することを特徴とする請求項２記載のデータ検証装置。
【請求項４】
前記判定手段は、前記第一の取得手段が取得した前記第三の情報に含まれる前記第一の情報及び前記第二の取得手段が取得した前記第一の情報から前記路側機及び送出時間をそれぞれ特定し、同一の前記送出時間に対応する前記路側機が同一であるときに、前記第三の情報に含まれる前記第二の情報を正当な情報と判定することを特徴とする請求項１乃至３何れか一項記載のデータ検証装置。
【請求項５】
コンピュータを、
車載機が取得した、路側機から送出される前記路側機及び送出時間を特定可能な第一の情報と、前記車載機が搭載された車両の位置を特定可能な第二の情報とを両方含んだ第三の情報を第一のネットワーク経由で取得する第一の取得手段と、
前記路側機から送出される前記第一の情報を第二のネットワーク経由で取得する第二の取得手段と、
前記第一の取得手段が取得した前記第三の情報に含まれる前記第一の情報と前記第二の取得手段が取得した前記第一の情報とを照合し、整合が取れているときに前記第一の取得手段が取得した前記第三の情報に含まれる前記第二の情報を正当な情報と判定する判定手段と
して機能させる為のデータ検証プログラム。
【請求項１】
車載機が取得した、路側機から送出される前記路側機及び送出時間を特定可能な第一の情報と、前記車載機が搭載された車両の位置を特定可能な第二の情報とを両方含んだ第三の情報を第一のネットワーク経由で取得する第一の取得手段と、
前記路側機から送出される前記第一の情報を第二のネットワーク経由で取得する第二の取得手段と、
前記第一の取得手段が取得した前記第三の情報に含まれる前記第一の情報と前記第二の取得手段が取得した前記第一の情報とを照合し、整合が取れているときに前記第一の取得手段が取得した前記第三の情報に含まれる前記第二の情報を正当な情報と判定する判定手段と
を有することを特徴とするデータ検証装置。
【請求項２】
前記判定手段が正当な情報と判定した前記第二の情報に基づき、前記車載機が搭載された前記車両の走行履歴情報を出力する出力手段を更に有することを特徴とする請求項１記載のデータ検証装置。
【請求項３】
前記判定手段は、前記路側機の隣接関係を管理する路側機配置データを用いて、物理的に矛盾のある前記車両の走行履歴情報の有無を確認することを特徴とする請求項２記載のデータ検証装置。
【請求項４】
前記判定手段は、前記第一の取得手段が取得した前記第三の情報に含まれる前記第一の情報及び前記第二の取得手段が取得した前記第一の情報から前記路側機及び送出時間をそれぞれ特定し、同一の前記送出時間に対応する前記路側機が同一であるときに、前記第三の情報に含まれる前記第二の情報を正当な情報と判定することを特徴とする請求項１乃至３何れか一項記載のデータ検証装置。
【請求項５】
コンピュータを、
車載機が取得した、路側機から送出される前記路側機及び送出時間を特定可能な第一の情報と、前記車載機が搭載された車両の位置を特定可能な第二の情報とを両方含んだ第三の情報を第一のネットワーク経由で取得する第一の取得手段と、
前記路側機から送出される前記第一の情報を第二のネットワーク経由で取得する第二の取得手段と、
前記第一の取得手段が取得した前記第三の情報に含まれる前記第一の情報と前記第二の取得手段が取得した前記第一の情報とを照合し、整合が取れているときに前記第一の取得手段が取得した前記第三の情報に含まれる前記第二の情報を正当な情報と判定する判定手段と
して機能させる為のデータ検証プログラム。
【図１】
【図２】
【図３】
【図４】
【図５】
【図６】
【図７】
【図８】
【図９】
【図１０】
【図１１】
【図１２】
【図１３】
【図１４】
【図１５】
【図１６】
【図２】
【図３】
【図４】
【図５】
【図６】
【図７】
【図８】
【図９】
【図１０】
【図１１】
【図１２】
【図１３】
【図１４】
【図１５】
【図１６】
【公開番号】特開２００９−２３７９７１（Ｐ２００９−２３７９７１Ａ）
【公開日】平成２１年１０月１５日（２００９．１０．１５）
【国際特許分類】
【出願番号】特願２００８−８４２０３（Ｐ２００８−８４２０３）
【出願日】平成２０年３月２７日（２００８．３．２７）
【出願人】（０００００５２２３）富士通株式会社 (25,993)
【Ｆターム（参考）】
【公開日】平成２１年１０月１５日（２００９．１０．１５）
【国際特許分類】
【出願日】平成２０年３月２７日（２００８．３．２７）
【出願人】（０００００５２２３）富士通株式会社 (25,993)
【Ｆターム（参考）】
[ Back to top ]