ナビゲーションシステム
【課題】書き換え可能な記録媒体を仲介としてナビゲーションユニットに地図データを転送するナビゲーションシステムにおいて、より強固なセキュリティ対策を講じるための技術を提供する。
【解決手段】地図データが記録される書き換え可能なデータ領域に地図データの更新に必要な更新権情報が記録された記録媒体４に対するナビゲーションユニット１による最初のデータアクセス時に更新権情報がデータ領域から読み出されるとともにデータ領域から削除され、読み出された更新権情報に基づいて作成された地図更新期限が、書き換え不能な管理領域から読み出された媒体識別情報とともにナビゲーションユニットのメモリに書き込まれる。
【解決手段】地図データが記録される書き換え可能なデータ領域に地図データの更新に必要な更新権情報が記録された記録媒体４に対するナビゲーションユニット１による最初のデータアクセス時に更新権情報がデータ領域から読み出されるとともにデータ領域から削除され、読み出された更新権情報に基づいて作成された地図更新期限が、書き換え不能な管理領域から読み出された媒体識別情報とともにナビゲーションユニットのメモリに書き込まれる。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、地図データを用いて動作するナビゲーションユニットと当該ナビゲーションユニットに着脱可能な記録媒体とを有し、前記記録媒体は前記地図データが記録される書き換え可能なデータ領域と媒体識別情報が記録される書き換え不能な管理領域とを有するナビゲーションシステムに関する。
【背景技術】
【０００２】
近年、大容量化が進むフラッシュメモリ等の記録媒体に地図データを記憶したナビゲーションユニット、特に自動車に搭載されるカーナビゲーションユニットが登場している。また、道路の新設、都市開発等で道路事情が刻々と変化している。このため、ナビゲーションユニットに使用する地図データも随時更新することが望ましい。その際、上述したようなフラッシュメモリ等の記録媒体は、ナビゲーションユニットに着脱可能であるため、このような記録媒体に記録されている地図データを更新する構成とすれば、ナビゲーションユニットないしはナビゲーションユニットのメモリを自動車から取り外す必要がなく更新が容易である。しかしながら、フラッシュメモリ等の記録媒体に記録されたデータは、一般的には容易にコピー可能なので、あるユーザが購入した正規の記録媒体から違法コピーされた違法記録媒体を他のユーザが受け取って、このユーザのナビゲーションユニットに用いる地図データを更新するという不正が可能となる。
【０００３】
上述したような記録媒体の違法コピーを通じた不正を防止しようとする地図データ更新システムも提案されている(例えば、特許文献１参照)。この地図データ更新システムは、地図データ配信センター（以下単にセンターと称する）から配信される更新用の地図データを記録媒体に書込み、その記録媒体を使用して、車載用のナビゲーション装置における地図データを更新するようにしたものであり、前記記録媒体に書込まれる更新用の地図データに、ナビゲーション装置に付与されたユニークな個体ＩＤを属性データとして付加するように構成すると共に、前記ナビゲーション装置に、自らに付与されている個体ＩＤと前記更新用の地図データに付加されている個体ＩＤとが一致するかどうかを判断する判断手段と、この判断手段により個体ＩＤが一致していないと判断されたときに前記記録媒体に書込まれた更新用の地図データを使用できなくする禁止手段とを設けている。
この記録媒体にはナビゲーション装置に付与されたユニークな個体ＩＤが属性データとして付加されているので、ナビゲーション装置における使用時に、判断手段により、ナビゲーション装置に付与されている個体ＩＤと記録媒体に記録されている個体ＩＤとが一致するかどうかが判断され、個体ＩＤが一致していない場合には、禁止手段により、その記録媒体に書込まれた更新用の地図データの使用が禁止される。これにより、更新用の地図データの不正な使用を防止しようとしている。
【先行技術文献】
【特許文献】
【０００４】
【特許文献１】特開２００５‐３３１５７９号公報（段落番号〔０００２−００１０〕、図１）
【発明の概要】
【発明が解決しようとする課題】
【０００５】
特許文献１による地図データ更新システムでは、ナビゲーション装置に付与されている個体ＩＤをナビゲーション装置あるいは当該装置に使用した記録媒体から読み取っておけば、このユーザが不正にコピーされた地図データを記録した記録媒体に個体ＩＤとして予め読み取っておいた自己のナビゲーション装置の個体ＩＤを書き込むことで、その記録媒体が正規であるとみなされる。従って、比較的容易に更新用の地図データの不正が可能となる。
【０００６】
上記実情に鑑み、本発明の目的は、フラッシュメモリカードのような書き換え可能な記録媒体に記録された地図データを使用するナビゲーションシステムにおいて、より強固に地図データのセキュリティ対策を講じるための技術を提供することである。
【課題を解決するための手段】
【０００７】
地図データを用いて動作するナビゲーションユニットと当該ナビゲーションユニットに着脱可能な記録媒体とを有し、前記記録媒体は前記地図データが記録される書き換え可能なデータ領域と媒体識別情報(一般にはＣＩＤと呼ばれるＩＤコード)が記録される書き換え不能な管理領域とを有するナビゲーションシステムにおいて、上記目的を達成するため、本発明では、前記データ領域に前記地図データの更新に必要な更新権情報が記録され、前記記録媒体に対する前記ナビゲーションユニットによる最初のデータアクセス時に前記更新権情報が前記データ領域から読み出されるとともに前記データ領域から削除され、読み出された前記更新権情報に基づいて作成された地図更新期限が、前記管理領域から読み出された媒体識別情報とともに前記ナビゲーションユニットのメモリに書き込まれる。
【０００８】
この構成ではナビゲーションユニットと記録媒体との間の最初のデータアクセス時に、記録媒体に記録された更新権情報が読み出されるとともに削除され、当該更新権情報に基づいて作成された地図更新期限及び当該記録媒体の媒体識別情報がナビゲーションユニットのメモリに書き込まれる。つまり、ある記録媒体に対するナビゲーションユニットによる最初のデータアクセス時に、ナビゲーションユニットには、当該記録媒体の媒体識別情報だけでなく、記録した地図データの更新期限と更新権情報が書き込まれる。特にこの更新権情報は読み出し後に記録媒体から削除され、記録媒体にはもはや残っていないので、データアクセス終了後の記録媒体を不正コピーしても更新権情報はコピーされず、元も正規の記録媒体を再現することは不可能である。記録媒体に対する最初のデータアクセスにおけるこのような仕組みを採用していることから、ナビゲーションユニットはそのメモリに書き込まれている更新権情報や更新期限を利用して、より強固なセキュリティを有する地図データ更新を実現することができる。
【０００９】
セキュリティをさらに高めるための本発明の好適な実施形態の１つでは、前記記録媒体は初期状態がロック状態となっているパスワードロック機能を有し、当該パスワードロックを解除するためのパスワードは前記記録媒体に送り出し可能に前記ナビゲーションユニットが備えている。この構成では、ナビゲーションユニットだけが有するパスワードによってアクセスが可能となるパスワードロックが記録媒体に施されているので、この記録媒体はまずは対応するナビゲーションユニットに装着してデータアクセスを受ける必要がある。これによって、使用前（最初のデータアクセス前）の記録媒体のデータを丸ごとコピーするような不正行為を防止することができる。ナビゲーションユニットによるデータアクセス後は、そのパスワードロック機能は解除されるが、その時には、上記のとおり更新権情報が削除されているので不正コピーが防止される。よって、この構成によれば、記録媒体に対するデータアクセスの前後に関わらず、不正行為を防止できる。なお、パスワードロック機能が解除された後は、他の機器、例えばユーザのパソコンに装着してのデータアクセスが可能となるので、パソコン経由で更新用の地図データを書き込むこともできる。
【００１０】
なお、記録媒体からパスワードロック機能を解除するタイミングは、記録媒体のデータ領域から更新権情報が削除された後であることが好適である。これは、更新権情報が削除される前にパスワードロック機能が解除された場合、その時点で記録媒体がナビゲーションユニットから抜き取られ、更新権情報が不正に読み取られる恐れがあるからである。
【００１１】
さらに好適な実施形態の１つでは、記録媒体のデータ領域から読み出された更新権情報がナビゲーションユニットのメモリに記録される。この更新権情報に基づいて作成された地図更新期限はナビゲーションユニットに記録されるが、その元となった更新権情報もそのままナビゲーションユニットに記録されることで、ナビゲーションユニットは地図データを取り込んだ記録媒体の更新権情報、媒体識別情報、地図データをすべて記録していることになるので、必要な場合、この記録媒体のリカバリ処理が可能となる。
【００１２】
また、別な好適な実施形態の１つでは、前記ナビゲーションユニットにとっての最初のデータアクセスの対象となった記録媒体の媒体識別情報が初使用媒体識別情報として前記ナビゲーションユニットのメモリに記録され、前記初使用媒体識別情報として記録されている媒体識別情報を有する記録媒体と、それ以外の記録媒体では前記地図更新期限が異なる。この特徴構成は、あるナビゲーションユニットにおいて最初のデータアクセスを行った記録媒体と、その後にデータアクセスを行った別の記録媒体とを区別できるという利点をナビゲーションユニットに与えることができる。それにより、最初の記録媒体とそれ以外の記録媒体では地図データの更新期限を相異させることができる。これにより、例えば、最初の記録媒体の地図データの更新可能な期間を３年とし、それ以外の、つまりそれ以後の使用される記録媒体の地図データの更新可能な期間を２年とするような使用が可能である。これは、新車購入時の車検期間が３年でその後の車検期間が２年といった車検制度の場合、車検毎に地図データ更新用の記録媒体を発行できるので好都合である。その際、前記ナビゲーションユニットは、前記更新権情報の読み出し時からの所定期間を当該更新権情報についての前記地図更新期限とするとよい。
【００１３】
正規のルートを経て、外部からパソコン等の通信機能付き端末に送り込まれた更新地図データを記録媒体に記録して、この記録媒体をナビゲーションユニットに装着して更新地図データをナビゲーションユニットに書き込むというデータの流れの中で、不測の地図データの書き換えが行われる可能性がある。この書き換えが悪意で行われる可能性もある。このような問題に対処するため、本発明の好適な実施形態の１つでは、地図データ更新時には、外部から送り込まれた更新地図データが前記記録媒体のデータ領域に記録されるとともに、前記更新地図データから生成されたハッシュ値が当該記録媒体に地図セキュリティデータとして記録される。この構成では、ハッシュ値の照合を通じて、正当な地図データを受け取っているかどうかをチェックすることができ、上記の問題に対処することができる。
【図面の簡単な説明】
【００１４】
【図１】本発明に係るナビゲーションシステムの基本的な構成とデータの流れを示す模式図である。
【図２】本発明に係るナビゲーションシステムを構成するナビゲーションユニットの機能を示す機能ブロック図である。
【図３】本発明に係るナビゲーションシステムを構成する記録媒体の機能を示す機能ブロック図である。
【図４】本発明に係るナビゲーションシステムを構成する更新ユニットの機能を示す機能ブロック図である。
【図５】記録媒体からナビゲーションシステムに転送される更新権情報のデータ構造図である。
【図６】初使用時におけるナビユニットとＳＤカードとの間のデータ交換を模式的に示したダイアグラム図である。
【図７】地図データ更新時におけるＳＤカードと更新ユニットとの間のデータ交換を模式的に示したダイアグラム図である。
【図８】初使用時以外でのナビユニットとＳＤカードとの間のデータ交換を模式的に示したダイアグラム図である。
【発明を実施するための形態】
【００１５】
以下、図面を用いて本発明に係るナビゲーションシステムの実施の形態を説明する。図１に示すナビゲーションシステムはカーナビゲーションであり、自動車に搭載されるナビゲーションユニット（以下、単にナビユニットと略称される）１と、この実施形態ではＳＤカード（より詳しくは、ＳＤメモリーカード又はＳＤＨＣメモリーカード）である記録媒体４と、一般には通信機能付きパーソナルコンピュータ（以下、単にパソコンと略称される）である更新ユニット７とから構成されている。ナビユニット１で用いられる地図データはＳＤカード４に記録されており、カーナビゲーションを利用する際には、ＳＤカード４はナビユニット１に装着される。ＳＤカード４に記録された地図データは更新可能である。地図データの更新は、更新用の地図データ又は地図差分データ（特に区別する必要があるときを除いて、以後両者を単に地図データを称することにする）を取り扱っている地図センターからインターネットなどのＷＡＮ経由で更新ユニット（パソコン）７にダウンロードし、この更新ユニット７を仲介してＳＤカード４の地図データを最新のものに書き換える。なお、ナビユニット１を搭載した自動車の購入時や、ナビユニット１だけの単独購入時などでは、そのナビユニット１には最新の地図データが記録されたＳＤカード４が付属している。
【００１６】
以下、本発明によるナビゲーションシステムの基本的なデータの流れとして、図１を用いて、自動車に搭載されたナビユニット１に始めてＳＤカード４が装着された際のデータの流れを説明する。このＳＤカード４は、メモリ領域として、書き換え可能なデータ領域と、媒体識別情報（ここではＣＩＤ：Card Identification registerが用いられる）が記録される書き換え不能な管理領域と、を備えている。地図データはデータ領域に記録される。さらに、記録されている地図データの更新の権利に関する情報としての更新最終期限などを含む更新権情報もデータ領域に書き込まれている。このＳＤカード４はパスワードロック機能を有し、このパスワードロック機能がＯＮされている場合、所定のパスワードを付与しない限り、このＳＤカード４に対する読み書きが許可されない。
【００１７】
ナビユニット１には、初めからセキュリティ関連のデータとして、このナビユニット１の識別情報である車載器ＩＤ、付属しているＳＤカード４のパスワードロックを外すためパスワード、このナビユニット１においてデータを暗号化するための暗号化鍵であるナビ暗号化鍵、更新ユニット７において暗号化されたデータを復号する更新復号化鍵が登録されている。更新ユニット７は、更新ユニット７の母体としてのパソコン上で更新ユニット構築のための所定のプログラムを起動することによって、この更新ユニット７においてデータを暗号化するための暗号化鍵である更新暗号化鍵、ナビユニット１において暗号化されたデータを復号するナビ復号化鍵が登録される。ここでの対応する暗号化鍵と復号化鍵との関係は、公知の秘密鍵と公開鍵との関係と実質的に同じであり、暗号化鍵で暗号化されたデータは、対応する復号化鍵でのみ復号化可能である。また、暗号化鍵から対応する復号化鍵を作り出すこと及び復号化鍵から対応する暗号化鍵を作り出すことは事実上不可能である。
詳細は後述されるが、更新ユニット１には、センターからダウンロードした更新用の地図データから算出したハッシュ値からなる地図セキュリティデータを生成する機能や、地図データの転送先であるＳＤカードの媒体識別情報及び地図セキュリティデータからさらに算出されたハッシュ値を含む更新セキュリティデータを生成する機能なども備えている。
【００１８】
まず、ナビユニット１にＳＤカード４が装着されると、ナビユニット１からロック解除用のパスワードが送られることにより、ナビユニット１はＳＤカード４とデータ交換が可能となる（＃１１）。次に、ＳＤカード４から媒体識別情報（＃１２）及び更新権情報（＃１３）がナビユニット１に送信される。ナビユニット１は、受け取った更新権情報から作成された地図更新期限（＃１４）や更新権情報に含まれているその他のデータ、さらには更新権情報をこのナビユニット１のメモリに記録する（＃１５）。この際、媒体識別情報もナビユニット１のメモリに記録する。
【００１９】
更新権情報がＳＤカード４からナビユニット１に送信されると、ＳＤカード４に記録されていた更新権情報が削除される（＃１６）。さらに、ＳＤカード４のパスワードロック機能が解除され（＃１７）、以後このＳＤカード４はパスワードなしでデータアクセスが許可され、利便性が向上する。パスワードなしのデータアクセスが許可されても、既に更新権情報が削除されているので、このＳＤカード４から更新権情報が抜きだされることはない。さらに、これらのナビユニット１とＳＤカード４とが知り得る共通のデータがナビセキュリティデータとしてグループ化され（＃１８）、ナビ暗号化鍵によって暗号化された後、ＳＤカード４に送られる（＃１９）。送り込まれたナビセキュリティデータはＳＤカード４のデータ領域に記録される。
【００２０】
次に、上述したナビゲーションシステムの詳細を説明する。図２は、ナビユニット１の主な機能を示す機能ブロック図である。ナビユニット1は、基本的には、カーナビ本体部１Ａと、このカーナビ本体部１Ａに接続される記録媒体管理コントローラとしてのＳＤ管理コントローラ１Ｂとからなる。
【００２１】
カーナビ本体部１Ａは、一般のカーナビ装置と同じように、Ｉ／Ｏインターフェース１１を介して、種々のカーナビ用センサや入出力デバイスと接続されている。カーナビ用センサとしては、ＧＰＳ（Global Positioning System）衛星からのＧＰＳ信号を受信するＧＰＳ受信機９１、自車両の進行方位又はその進行方位の変化を検出する方位センサ９２、自車両の車速や移動距離を検出する距離センサ９３が挙げられる。入出力デバイスとしては、運転者に対する経路案内等を行うスピーカ９４やモニタ９５、さらにはタッチパネル９６等の操作デバイスが挙げられる。
【００２２】
カーナビ本体部１Ａにおいて、ハードウェア又はソフトウェア（プログラム）あるいはその両方により構築される主な機能部は、ＧＰＳ位置情報取得部１２、進行方位情報取得部１３、地図データ処理部１４、マップマッチング部１５、走行距離算定部１６、ナビゲーション情報処理部である。地図データ処理部１４による地図データの検索抽出の対象となる地図データベースはナビユニット1に装着されるＳＤカード４に構築されている。
【００２３】
ＧＰＳ位置情報取得部１２は、ＧＰＳ測位によって自車両の位置を表す自車両位置情報を取得する機能を有する。ＧＰＳ位置情報取得部１２では、ＧＰＳ受信機９１で受信されたＧＰＳ衛星からの信号を解析し、自車両の現在位置（座標位置：緯度及び経度）を取得することができる。進行方位情報取得部１３は、自車両の方位変化量と移動距離とによって自車両の進行方位を表す進行方位情報を取得する機能を有する。このため進行方位情報取得部１３は、方位センサ９２及び距離センサ９３と接続されている。距離センサ９３は自車両の車速や移動距離を検出するセンサであり、このセンサ信号に基づいてトータルの走行距離が走行距離算定部１６で算定される。マップマッチング部１５は、ＳＤカード４から自車位置周辺の地図データを取得し、それに基づいて公知のマップマッチングを行う機能を有する。このマップマッチングにより、ＧＰＳ位置情報取得部１２から出力される自車両位置情報や進行方位情報取得部１３から出力される進行方位情報による自車両の現在位置から最短の、地図情報に示される道路上における位置を探索する。この探索された位置は自車両道路上位置であり、この自車両道路上位置がモニタ６に道路地図に重ねて表示される。ナビゲーション情報処理部１７は、自車位置表示、出発地から目的地までの経路探索、目的地までの経路案内、目的地検索等のナビゲーション機能を作り出す。例えば、ナビゲーション情報処理部１７は、マップマッチング部１５で決定された自車位置としての自車両道路上位置に基づいてＳＤカード４から地図データを取得してモニタ６の表示画面に地図の画像を表示するとともに、当該地図の画像上に、自車両の現在位置及び進行方位を表す自車位置マークを重ね合わせて表示する。また、ナビゲーション情報処理部１７は、地図データに基づいて、所定の出発地から目的地までの経路探索を行うとともに、探索された出発地から目的地までの経路と自車位置とに基づいて、モニタ９５及びスピーカ９４の一方又は双方を用いて、運転者に対する経路案内を行う。モニタ９５には操作デバイスとして機能するタッチパネル９６が装着されているが、これとは別な操作スイッチや操作ボタンを操作デバイスとして付加してもよい。
【００２４】
お互いの通信インターフェース１０、２０を介して、カーナビ本体部１Ａと接続されているＳＤ管理コントローラ１Ｂの主な機能部は、ＳＤホストモジュール２１、セキュリティデータ用メモリ２２、更新権情報処理部２３、地図更新期限算定部２４、ナビセキュリティデータ生成部２５、暗号処理部２６である。
【００２５】
ＳＤホストモジュール２１は、ＳＤカード４との間のデータ交換を行うものである。セキュリティメモリ２２は、車載器ＩＤなどの予めナビユニット１に固有の情報、及び媒体識別情報（ＣＩＤ）などのＳＤカード４から取得したセキュリティに関するデータを記録するメモリである。ナビユニット１にとっての最初のデータアクセスの対象となったＳＤカード４の媒体識別情報は、初使用媒体識別情報としてメモリに記録される。すなわち、初使用媒体識別情報は、未使用のナビユニット１に最初に装着されたＳＤカード４の媒体識別情報である。更新権情報処理部２３は、ＳＤカードから取得した更新権情報に基づいて生成した地図更新期限を付加する等してナビユニット側の更新権情報を生成したり、この更新権情報から必要なデータを取り出したりする。地図更新期限算定部２４は、装着されたＳＤカード４における地図データの更新に関する期限を算定する。ここでは、地図更新期限算定部２４は、初使用媒体識別情報とＳＤカード４の媒体識別情報とを比較し、初使用媒体識別情報として記録されている媒体識別情報を有するＳＤカード４と、それ以外のＳＤカード４とで異なる地図更新期限を設定する。具体的には、初使用媒体識別情報として記録されている媒体識別情報を持つＳＤカード４に対しては３年間の更新期限を与え、それ以外のＳＤカード４に対しては２年間の更新期限を与える。また、ＳＤカード４に記録された地図データが余りにも古すぎると差分を用いた地図更新が困難になるといった問題など種々の問題を引き起こすので、地図更新期限算定部２４は、地図更新期限の設定に際して、更新最終期限を参照し、更新最終期限を過ぎたＳＤカード４に対しては更新期限を付与しない。例えば、更新最終期限は、ＳＤカード４に地図データが記録された時を基準として設定された期限である。
【００２６】
ナビセキュリティデータ生成部２６は、更新ユニット７によって不正に地図更新されたＳＤカード４を見破るためのセキュリティデータを組み合わせてナビセキュリティデータを生成する。ナビセキュリティデータは、少なくとも、ＳＤカード４の管理領域から読み出した媒体識別情報（ＣＩＤ）と地図更新期限の情報とを含んでいる。暗号処理部２７は、ここでデータを暗号化する暗号化鍵としてのナビ暗号化鍵と、更新ユニット７で暗号化されたデータを復号する更新復号化鍵と備えている。ハッシュ演算部２７は、装着されたＳＤカード４の地図データのハッシュ値を演算する。
【００２７】
図３に示すように、ＳＤカード４の構成は、市場に流通しているセキュリティ機能付きフラッシュメモリであるＳＤカードと実質的に同じであり、ＳＤインターフェース４０を通じて、更新ユニット７やナビユニット１とデータ交換可能である。その基本的な構成要素として、ＣＰＵ４１、媒体識別情報などを記録している管理用メモリ４２、メモリインタフェース４３を通じて書き換え可能にデータを記録することができるデータ領域であるフラッシュメモリ４４が備えられている。さらに、このナビゲーションシステムのために実装されているプログラム等によって実現する機能部として、パスワードロック処理部５５及びＣＩＤ管理部５６も備えられている。
【００２８】
パスワードロック処理部５５は、このＳＤカード４のパスワードロック機能を行うものであるが、ナビユニット１への最初の装着時においてパスワードチェックを行った後には、このパスワードロックは解除され、以後はパスワードを必要とせずに、データアクセスが許可される。ＣＩＤ管理部５６は、管理用メモリ４２に記録された媒体識別情報（一般にはＣＩＤと呼ばれるコード）を要求に応じて読み出して、要求先に送信する。
【００２９】
図４に示すように、ＷＡＮインターフェースを通じてＷＡＮ（インターネット）と接続可能であるとともにＳＤインターフェース７１を通じてＳＤカードとデータ交換可能なパソコンにおいて、このナビゲーションシステムで要求される機能を実現するプログラムを実行させることにより、この更新ユニット７に要求される機能部は構築される。その機能部として、地図データ処理部７２、地図セキュリティデータ生成部７３、更新セキュリティデータ生成部７４、ハッシュ演算部７５、暗号処理部７６が挙げられる。
【００３０】
地図データ処理部７２は、センターからダウンロードされた更新用の地図データ（地図データバージョンや地図作成日等の地図データ属性値を含む）を処理して、装着されているＳＤカード４の地図データを更新する。一般に、更新用の地図データは、差分データとしてダウンロードされるので、この差分データを用いて地図データの更新すべきデータ部分だけを書き換える。地図データは扱いやすいように複数の地図サブデータに区分けされている。地図セキュリティデータ生成部７３は、装着されたＳＤカード４に転送する地図データの識別コードとして用いることができるように、ハッシュ演算部によって上記の地図サブデータのそれぞれから得られたハッシュ値をグループ化して、地図セキュリティデータとする。更新セキュリティデータ生成部７４は、装着されたＳＤカードに記録されたナビセキュリティデータから読み取った媒体識別情報、地図作成日又は差分データから更新地図データを作成した日、及び地図セキュリティデータ生成部７３によって生成された地図セキュリティデータから再度ハッシュ演算部によって演算されたハッシュ値をグループ化した更新セキュリティデータを作成する。この更新セキュリティデータは暗号処理部７６によって更新暗号化鍵で暗号化され、ＳＤカード４に送信される。暗号処理部７６は、ナビユニット１の暗号処理部２６においてナビ暗号化鍵で暗号化されたデータを復号するナビ復号化鍵も備えている。これにより、更新ユニット７は、ナビ暗号化鍵で暗号化されたナビセキュリティデータをＳＤカード４から読み出して復号化することができる。
【００３１】
上述のように構成されたナビゲーションシステムにおいては、ナビユニット１とＳＤカード４と更新ユニット７との間で、地図データが転送される際、セキュリティ目的で種々の情報ないしはデータが交換される。図５には、そのようなデータや情報のデータ構造がまとめられている。
【００３２】
図５（ａ）で示す更新権情報はＳＤカード４に記録されている状態と、その後ナビユニット１に転送されて、そこで記録されるときに構造が異なっている。つまり、ＳＤカード４における更新権情報は、地図データバージョンと更新最終期限とを有する。これに対して、ナビユニット１における更新権情報は、媒体識別情報（ＣＩＤ）と、ナビユニット１に地図更新期限算定部２４で算定された地図更新期限とがさらに追加されている。
図５（ｂ）で示すナビセキュリティデータはナビユニット１で生成されるデータであり、媒体識別情報、車載器ＩＤ、走行距離、地図更新期限、地図データバージョンを有する。このナビセキュリティデータはナビ暗号化鍵で暗号化されて、ナビユニット１からＳＤカード４に転送される。
【００３３】
図５（ｃ）で示す地図データは、最終的には更新ユニット７でセットアップされるデータであり、地図区分け数で区分けされた複数の地図サブデータ１、・・・とともに、地図データの属性値としての地図データバージョン及び地図作成日を有する。
図５（ｄ）で示す地図セキュリティデータは更新ユニット７で生成されるデータであり、地図区分け数で区分けされた複数の地図サブデータ毎に演算された各地図サブデータのハッシュ値が地図サブデータハッシュ値１、・・・として含まれている。この地図セキュリティデータは、地図データとともに、更新ユニット７からＳＤカード４に転送される。
図５（ｅ）で示す更新セキュリティデータは更新ユニット７で生成されるデータであり、ＳＤカード４に記録されたナビセキュリティデータから読み出した媒体識別情報、地図セキュリティデータに含まれている複数の地図サブデータハッシュ値からさらにハッシュ演算して得られた二階ハッシュ値である地図セキュリティデータのハッシュ値を含む。この更新セキュリティデータは、更新暗号化鍵で暗号化されて、装着されているＳＤカード４に転送される。
【００３４】
次に、このナビゲーションシステムにおける、データ交換の手順を説明する。図６は、自動車に搭載され、初めてＳＤカード４を装着した際の、ナビユニット１とＳＤカード４との間のデータ交換を模式的に示したダイアグラム図である。
まず、ナビユニット１からＳＤカード４に対してロック確認が行われ（＃３０）、Ｓナビユニット１は、Ｄカード４からパスワードロックが機能しているというロック情報を受け取ると（＃３１）、パスワードを送信する（＃３２）。ナビユニット１からパスワードが送信されると、ＳＤカード４に対するデータアクセスが許可される（＃３３）。データアクセスが許可されると、ナビユニット１はＳＤカード４に対して管理領域に記録された媒体識別情報（ＣＩＤ）を要求し（＃３４）、媒体識別情報（ＣＩＤ）を受け取ると（＃３５）、一時的にメモリ２２に記録する（＃３６）。さらに、更新権情報（ＲＲ）を要求し（＃３７）、更新権情報（ＲＲ）を受け取ると（＃３８）、地図更新期限算定部２４が更新情報（ＲＲ）に基づいて地図更新期限を算定する（＃３９）。本実施形態では、地図更新期限算定部２４は、ＳＤカード４に更新権情報（ＲＲ）が記録されていることを条件として、当該更新権情報（ＲＲ）の読み出し時からの所定期間を当該更新権情報（ＲＲ）についての地図更新期限とする。ここでは、地図更新期限算定部２４は、上記のとおり、ナビユニット１にとっての最初のデータアクセスの対象となったＳＤカード４であるか否かにより異なる地図更新期限を与えることとし、具体的には、当該ナビユニットにとっての最初のＳＤカード４に対しては３年間の更新期限を与え、２枚目以降のＳＤカード４に対しては２年間の更新期限を与える。またこの際、地図更新期限算定部２４は、更新権情報（ＲＲ）に含まれる更新最終期限を確認し、更新最終期限を過ぎたＳＤカード４に対しては更新期限を与えない。次いで、更新権情報処理部２３がメモリ２２に記録されているデータに基づいて、図５で示すようなデータ構造を有する更新権情報（ＲＲ）を作成してメモリ２２に記録する（＃４０）。更新権情報（ＲＲ）の再作成と記録が完了すると、ＳＤカード４に更新権情報記録完了が通知され（＃４１）、これにより更新情報管理部５２がフラッシュメモリ４４に記録されていた更新権情報を削除する（＃４２）。続いて、パスワードロック処理部５５がパスワードロック機能を解除する（＃４３）。
【００３５】
ナビユニット１では、ナビセキュリティデータ生成部２５が、装着されているＳＤカード４の管理領域としての管理メモリ４２から読み出した媒体識別情報（ＣＩＤ）、このナビユニット１に固有している車載器ＩＤ（ＮＩＤ）、カーナビ本体１Ａから得られる走行距離（Ｋｍ）、先に算定した地図更新期限（ＲＴ）、更新権情報（ＲＲ）に含まれている地図データベースバージョン（ＭＶ）をグループ化して、ナビセキュリティデータ（ＮＳ）を生成し（＃４４）、メモリ２２に記録する（＃４５）。さらに、ナビセキュリティデータ（ＮＳ）は、暗号処理部２６によりナビ暗号化鍵を用いて暗号化され（＃４６）、ＳＤカード４に送信され（＃４７）、データ領域としてのフラッシュメモリ４４に記録される（＃４８）。
【００３６】
以上により、ナビユニット１とＳＤカード４の初期処理が完了し、カーナビゲーション処理時には、カーナビ本体１Ａからの要求に応じて、ＳＤ管理コントローラ１ＢはＳＤカード４にアクセスして、必要な地図データをＳＤカード４から読み出し、カーナビ本体１Ａに与える処理が繰り返される。
【００３７】
次に、地図データ更新時におけるＳＤカードと更新ユニットとの間のデータ交換の流れを図７のダイアグラム図を用いて説明する。
まず、更新ユニット７は、予め、地図データをダウンロードし（＃６１）、更新用の地図データとしてメモリに格納しておく（＃６２）。その際、更新前の地図データが更新ユニット７に存在しており、ダウンロードした地図データが差分データの場合には、ここで差分データを用いて既存の地図データを最新版に更新しておく。この状態で、更新対象となるＳＤカード４が更新ユニット７に装着されると、更新ユニット７は、ＳＤカード４がナビユニット１から受け取って記録しているナビセキュリティデータを要求する（＃６３）。受け取ったナビセキュリティデータは、メモリに一時的に格納される（＃６４）。このナビセキュリティデータはナビ復号化鍵を用いて復号化される（＃６５）。このように復号化されたナビセキュリティデータから媒体識別情報（ＣＩＤ）が取り出され、更新ユニット７のメモリに一時的に格納される（＃６６）。さらに、復号化されたナビセキュリティデータから地図更新期限が取り出され（＃６７）、格納している更新用の地図データの作成日時と比較され、作成日時が地図更新期限を過ぎていないか、あるいはその他の設定条件に応じた地図更新期限に関するチェックがなされる（＃６８）。
【００３８】
この地図更新期限に関するチェックがクリアされると更新用の地図データがＳＤカード４に送信される（＃６９）。また、更新ユニット７においては、ハッシュ演算部７５が地図データのハッシュ値（ＭＨ）を算出する（＃７０）。通常、地図データはデータ容量が大きく分割構成となっているので、各地図サブデータのハッシュ値が算出され、地図セキュリティデータ（ＭＳ）が生成される（＃７１）。さらに、この地図セキュリティデータ（ＭＳ）に含まれる各地図サブデータのハッシュ値をまとめてハッシュ演算を行い、統合されたハッシュ値を算出する（＃７２）。更新セキュリティデータ生成部７４は、この統合されたハッシュ値、地図データの作成日、復号化されたナビセキュリティデータから取り出された媒体識別情報などをグループ化することで、更新セキュリティデータ（ＲＳ）を生成する（＃７３）。生成された更新セキュリティデータは更新暗号化鍵で暗号化される（＃７４）。暗号化された更新セキュリティデータは先に生成された地図セキュリティデータとともにＳＤカード４に送信され（＃７５、＃７６）、ＳＤカード４のデータ領域としてのフラッシュメモリ４４に記録される（＃７７）。
【００３９】
次に、更新ユニットを通じて当初の地図データを更新したＳＤカード４をナビユニット１で利用する際のデータ交換の流れを図８のダイアグラム図を用いて説明する。
このＳＤカード４は、最初にナビユニット１に装着した際に、パスワードチェック機能が解除され、また更新権情報も既に削除されている。ＳＤカード４がナビユニット１に装着されると、ナビユニット１はＳＤカード４に対して管理領域としての管理用メモリ４２に記録された媒体識別情報（ＣＩＤ）を要求し（＃８０）、ＳＤカード４の管理用メモリ４２に記録されている媒体識別情報を取得する（＃８１）。さらに、ＳＤカード４のフラッシュメモリ４４に記録されている更新セキュリティデータ（ＲＳ）を要求し（＃８２）、更新セキュリティデータを取得する（＃８３）。この更新セキュリティデータ（ＲＳ）は更新復号化鍵を用いて復号化される（＃８４）。この更新セキュリティデータには媒体識別情報が含まれているのでこの媒体識別情報と先に取得した媒体識別情報を比較することで、ＳＤカード４と更新ユニット７で更新された地図データとの整合性をチェックする（＃８５）。媒体識別情報の整合性に問題がなければ、今受け取った更新セキュリティデータに含まれている地図作成日（ＭＤ）とナビゲーションユニット１に記録されている地図更新期限とを比較して、その整合性をチェックする（＃８６）。この整合性に問題なければ、このＳＤカード４自体は正当とみなすことができる。
【００４０】
次に、ＳＤカード４に記録された地図データそのものの正当性（不正にコピーされたものでないことなど）チェックするため、まず、地図セキュリティデータ（ＲＳ）をＳＤカード４に要求し（＃８７）、地図セキュリティデータを受け取り（＃８８）、さらに地図データを要求し（＃８９）、地図データを受け取る（＃９０）。受け取った地図データ、実際は所定の区分け数で区分けされた各地図サブデータのハッシュ値がハッシュ演算部２７によって演算される（＃９１）。更に、この演算によって得られたハッシュ値群をまとめてハッシュ演算を行い、統合されたハッシュ値を算出する。この統合されたハッシュ値と先に受け取った地図セキュリティデータに含まれているハッシュ値（更新ユニット７により演算された統合されたハッシュ値）とを互いに比較する（＃９２）。相互のハッシュ値が一致している場合は、更新ユニット７でダウンロードされ作成された地図データと、今装着されているＳＤカード４に記録されている地図データとが一致していることが保証される。これによって、地図データも含めこのＳＤカード４の正当性が確認される。さらに、ナビセキュリティデータに走行距離のように運転とともにその値が変化するようなデータを含む場合には、ナビセキュリティデータ生成部２５が最新のデータを含むナビセキュリティデータを生成する（＃９３）。これにより、初期処理が完了し、カーナビゲーション処理時には、カーナビ本体１Ａからの要求に応じて、ＳＤ管理コントローラ１ＢはＳＤカード４にアクセスして、必要な地図データをＳＤカード４から読み出し、カーナビ本体１Ａに与える処理が繰り返される。
【００４１】
以上のような構成を備えることにより、強固なセキュリティを有する地図データ更新を実現することができる。具体的には、以下のような類型が考えられる。
（１）新しいＳＤカード４から地図データを丸ごとデッドコピーしようとした場合、パスワードロック機能が働くため、専用のナビユニット１でしかデータアクセスが許可されないので、そのような地図データのデッドコピーができない。また、パスワードロック解除後は更新権データが削除されているので、不正に地図データの更新権を得ることはできない。
（２）ＳＤカード４をナビユニット１に装着することでパスワードロック機能が解除された後に、当該ＳＤカード４を丸ごとデッドコピーした他のＳＤカード４を使用する場合、ナビセキュリティデータの媒体識別情報とＳＤカードに固有の媒体識別情報（管理用メモリに記録されているもの）との不整合から不正コピーが認識でき、使用を禁止できる。
（３）地図データの一部が修正ないしは不正にコピーされたＳＤカード４が装着された場合、ナビユニット４の起動時に上述したような地図データのハッシュ値を演算し、この演算値とナビセキュリティデータに含まれているハッシュ値とを比較することで、その使用を禁止することができる。
（４）更新ユニットの時計を過去にずらせることで地図更新期限の切れたＳＤカード４の地図更新をしようとした場合、ナビセキュリティデータに含まれている地図更新期限と更新用の地図データの属性値としての地図作成日とを比較しその整合性をチェックすることで更新ユニットの不正な時計設定を検知することができる。ナビセキュリティデータの地図更新期限を書き換えることはナビセキュリティデータがナビ暗号化鍵で暗号化されているので不可能である。さらに、地図更新期限が残っている他のＳＤカード４のナビセキュリティデータをまるごとコピーした場合には、更新ユニット７において地図更新ができたとしても、その際そのナビセキュリティデータの媒体識別情報が書き込まれるので、ナビユニット１においてその更新セキュリティデータの媒体識別情報とＳＤカード４の管理用メモリ４２から読み出された媒体識別情報とを比較することでその不正が検知可能となる。
（５）更新ユニット７にインストールされているこのナビゲーションシステムのためのプログラムがクラックされ、上述した更新期限チェック等の機能部をパッチで回避された場合、ナビユニットが更新セキュリティデータに含まれている地図作成日と地図更新期限を比較することでそのような不正を検知することができる。また、更新ユニット７にインストールされているプログラムがクラックされることでのナビゲーションシステムにおける暗号システムの脆弱化は、ナビユニット１のナビ暗号化鍵で暗号化された暗号は更新ユニット７のナビ復号化鍵によってのみ復号でき、更新ユニット７の更新暗号化鍵で暗号化された暗号はナビユニット１の更新復号化鍵によってのみ復号できるように、異なる２つの暗号鍵システムを取り入れることで、回避している。
〔別実施の形態〕
（１）上述した実施の形態では、ナビユニット１で使用される前でのＳＤカード（記録媒体の一種）４へのデータアクセスを防止するためにパスワードロック機能を採用していたが、他のロック機能を、特には使用する記録媒体に適したロック機能を採用することができる。また、パスワードロック機能は更新権情報のデータ領域からの削除の後に解除されていたが、その前に解除することを本発明は除外しているわけではない。さらに、パスワードロック機能は外したナビゲーションシステムも本発明の範囲内である。
（２）ある程度のセキュリティの脆弱化が許容できる場合、ＳＤカード（記録媒体の一種）４のデータ領域から読み出された更新権情報が前記ナビユニットのメモリに記録しないシステムとすることも本発明の枠内で可能である。
（３）ナビユニットにとっての最初のデータアクセスの対象となった記録媒体の媒体識別情報が初使用媒体識別情報として前記ナビユニットのメモリに記録することも、本発明の枠内で省略することも可能である。また、適用する分野によっては、初使用媒体識別情報として記録されている媒体識別情報を有する記録媒体と、それ以外の記録媒体では地図更新期限を必ずしも異ならせる必要はない。
（４）上述した実施例では、ナビユニットは、更新権情報の読み出し時からの所定期間を当該更新権情報についての地図更新期限としていたが、地図更新期限の起点となるタイミングは更新権情報の読み出し時以外のものを採用することもできる。そのタイミングとしては、例えば、ナビユニットへの記録媒体の装着時、車両の走行距離が所定距離を越えた時、地図データが記録された記録媒体の製造時あるいは出荷時等が挙げられる。
（５）地図データの不測の変更の検知のためにハッシュ値を用いることで暗号等の改竄防止より演算負荷を低減することができるが、ナビユニット１や更新ユニット７における演算負荷をさらに下げるためには、このハッシュ値を用いた改竄防止を省略することも可能である。
（６）セキュリティを強固にするための最適な実施の形態として、ナビユニット１と更新ユニット７との間において異なる２つの暗号鍵システムを取り入れられていたが、本発明はこれに限定されるわけではなく、単一の共通鍵による暗号システムを採用することも本発明に含まれる。
（７）上述した実施の形態では、地図データは複数のサブデータから構成されており、更新セキュリティデータに利用される地図セキュリティ処理データは、各サブデータから生成された複数のハッシュ値からさらに演算されたハッシュ値であったが、このような二階ハッシュ演算を行わずに一階ハッシュ演算されたもの、すなわち地図セキュリティデータをそのまま利用してもよい。
（８）更新セキュリティデータに含まれる更新用地図データの一意的な属性値として地図作成日を採用していたが、地図作成履歴コードなどその他の一意的な属性値を採用してもよい。
（９）ＳＤカード（記録媒体の一種）４に内蔵されているＣＰＵシステムの能力は年々高まっているので、上述したナビゲーションシステムでナビユニット１や更新ユニット７に構築されていた更新情報の管理機能やハッシュ演算機能、暗号機能などをＳＤカード側に構築することの本発明の枠内で可能である。
【産業上の利用可能性】
【００４２】
本発明のナビゲーションシステムは、車両搭載されるカーナビゲーションだけでなく、ポータブル型のナビゲーションシステムなど、着脱可能な記録媒体に更新可能な地図データを記録して用いる種々のナビゲーションシステムに適用可能である。
【符号の説明】
【００４３】
１：ナビユニット（ナビゲーションユニット）
１Ａ：カーナビ本体
１Ｂ：ＳＤ管理コントローラ
２１：ＳＤホストモジュール
２２：セキュリティデータ用メモリ
２３：更新権情報処理部
２４：地図更新期限算定部
２５：ナビセキュリティデータ正西部
２６：暗号処理部
２７：ハッシュ演算部
４：ＳＤカード（記録媒体）
４２：管理用メモリ（管理領域）
４４：フラッシュメモリ（データ領域）
５１：地図データ処理部
５２：更新情報管理部
５３：地図セキュリティデータ処理部
５４：ナビセキュリティデータ処理部
５５：パスワードロック処理部
５６：ＣＩＤ管理部
７：更新ユニット
７２：地図データ処理部
７３：地図セキュリティデータ生成部
７４：更新セキュリティデータ生成部
７５：ハッシュ演算部
７６：暗号処理部
【技術分野】
【０００１】
本発明は、地図データを用いて動作するナビゲーションユニットと当該ナビゲーションユニットに着脱可能な記録媒体とを有し、前記記録媒体は前記地図データが記録される書き換え可能なデータ領域と媒体識別情報が記録される書き換え不能な管理領域とを有するナビゲーションシステムに関する。
【背景技術】
【０００２】
近年、大容量化が進むフラッシュメモリ等の記録媒体に地図データを記憶したナビゲーションユニット、特に自動車に搭載されるカーナビゲーションユニットが登場している。また、道路の新設、都市開発等で道路事情が刻々と変化している。このため、ナビゲーションユニットに使用する地図データも随時更新することが望ましい。その際、上述したようなフラッシュメモリ等の記録媒体は、ナビゲーションユニットに着脱可能であるため、このような記録媒体に記録されている地図データを更新する構成とすれば、ナビゲーションユニットないしはナビゲーションユニットのメモリを自動車から取り外す必要がなく更新が容易である。しかしながら、フラッシュメモリ等の記録媒体に記録されたデータは、一般的には容易にコピー可能なので、あるユーザが購入した正規の記録媒体から違法コピーされた違法記録媒体を他のユーザが受け取って、このユーザのナビゲーションユニットに用いる地図データを更新するという不正が可能となる。
【０００３】
上述したような記録媒体の違法コピーを通じた不正を防止しようとする地図データ更新システムも提案されている(例えば、特許文献１参照)。この地図データ更新システムは、地図データ配信センター（以下単にセンターと称する）から配信される更新用の地図データを記録媒体に書込み、その記録媒体を使用して、車載用のナビゲーション装置における地図データを更新するようにしたものであり、前記記録媒体に書込まれる更新用の地図データに、ナビゲーション装置に付与されたユニークな個体ＩＤを属性データとして付加するように構成すると共に、前記ナビゲーション装置に、自らに付与されている個体ＩＤと前記更新用の地図データに付加されている個体ＩＤとが一致するかどうかを判断する判断手段と、この判断手段により個体ＩＤが一致していないと判断されたときに前記記録媒体に書込まれた更新用の地図データを使用できなくする禁止手段とを設けている。
この記録媒体にはナビゲーション装置に付与されたユニークな個体ＩＤが属性データとして付加されているので、ナビゲーション装置における使用時に、判断手段により、ナビゲーション装置に付与されている個体ＩＤと記録媒体に記録されている個体ＩＤとが一致するかどうかが判断され、個体ＩＤが一致していない場合には、禁止手段により、その記録媒体に書込まれた更新用の地図データの使用が禁止される。これにより、更新用の地図データの不正な使用を防止しようとしている。
【先行技術文献】
【特許文献】
【０００４】
【特許文献１】特開２００５‐３３１５７９号公報（段落番号〔０００２−００１０〕、図１）
【発明の概要】
【発明が解決しようとする課題】
【０００５】
特許文献１による地図データ更新システムでは、ナビゲーション装置に付与されている個体ＩＤをナビゲーション装置あるいは当該装置に使用した記録媒体から読み取っておけば、このユーザが不正にコピーされた地図データを記録した記録媒体に個体ＩＤとして予め読み取っておいた自己のナビゲーション装置の個体ＩＤを書き込むことで、その記録媒体が正規であるとみなされる。従って、比較的容易に更新用の地図データの不正が可能となる。
【０００６】
上記実情に鑑み、本発明の目的は、フラッシュメモリカードのような書き換え可能な記録媒体に記録された地図データを使用するナビゲーションシステムにおいて、より強固に地図データのセキュリティ対策を講じるための技術を提供することである。
【課題を解決するための手段】
【０００７】
地図データを用いて動作するナビゲーションユニットと当該ナビゲーションユニットに着脱可能な記録媒体とを有し、前記記録媒体は前記地図データが記録される書き換え可能なデータ領域と媒体識別情報(一般にはＣＩＤと呼ばれるＩＤコード)が記録される書き換え不能な管理領域とを有するナビゲーションシステムにおいて、上記目的を達成するため、本発明では、前記データ領域に前記地図データの更新に必要な更新権情報が記録され、前記記録媒体に対する前記ナビゲーションユニットによる最初のデータアクセス時に前記更新権情報が前記データ領域から読み出されるとともに前記データ領域から削除され、読み出された前記更新権情報に基づいて作成された地図更新期限が、前記管理領域から読み出された媒体識別情報とともに前記ナビゲーションユニットのメモリに書き込まれる。
【０００８】
この構成ではナビゲーションユニットと記録媒体との間の最初のデータアクセス時に、記録媒体に記録された更新権情報が読み出されるとともに削除され、当該更新権情報に基づいて作成された地図更新期限及び当該記録媒体の媒体識別情報がナビゲーションユニットのメモリに書き込まれる。つまり、ある記録媒体に対するナビゲーションユニットによる最初のデータアクセス時に、ナビゲーションユニットには、当該記録媒体の媒体識別情報だけでなく、記録した地図データの更新期限と更新権情報が書き込まれる。特にこの更新権情報は読み出し後に記録媒体から削除され、記録媒体にはもはや残っていないので、データアクセス終了後の記録媒体を不正コピーしても更新権情報はコピーされず、元も正規の記録媒体を再現することは不可能である。記録媒体に対する最初のデータアクセスにおけるこのような仕組みを採用していることから、ナビゲーションユニットはそのメモリに書き込まれている更新権情報や更新期限を利用して、より強固なセキュリティを有する地図データ更新を実現することができる。
【０００９】
セキュリティをさらに高めるための本発明の好適な実施形態の１つでは、前記記録媒体は初期状態がロック状態となっているパスワードロック機能を有し、当該パスワードロックを解除するためのパスワードは前記記録媒体に送り出し可能に前記ナビゲーションユニットが備えている。この構成では、ナビゲーションユニットだけが有するパスワードによってアクセスが可能となるパスワードロックが記録媒体に施されているので、この記録媒体はまずは対応するナビゲーションユニットに装着してデータアクセスを受ける必要がある。これによって、使用前（最初のデータアクセス前）の記録媒体のデータを丸ごとコピーするような不正行為を防止することができる。ナビゲーションユニットによるデータアクセス後は、そのパスワードロック機能は解除されるが、その時には、上記のとおり更新権情報が削除されているので不正コピーが防止される。よって、この構成によれば、記録媒体に対するデータアクセスの前後に関わらず、不正行為を防止できる。なお、パスワードロック機能が解除された後は、他の機器、例えばユーザのパソコンに装着してのデータアクセスが可能となるので、パソコン経由で更新用の地図データを書き込むこともできる。
【００１０】
なお、記録媒体からパスワードロック機能を解除するタイミングは、記録媒体のデータ領域から更新権情報が削除された後であることが好適である。これは、更新権情報が削除される前にパスワードロック機能が解除された場合、その時点で記録媒体がナビゲーションユニットから抜き取られ、更新権情報が不正に読み取られる恐れがあるからである。
【００１１】
さらに好適な実施形態の１つでは、記録媒体のデータ領域から読み出された更新権情報がナビゲーションユニットのメモリに記録される。この更新権情報に基づいて作成された地図更新期限はナビゲーションユニットに記録されるが、その元となった更新権情報もそのままナビゲーションユニットに記録されることで、ナビゲーションユニットは地図データを取り込んだ記録媒体の更新権情報、媒体識別情報、地図データをすべて記録していることになるので、必要な場合、この記録媒体のリカバリ処理が可能となる。
【００１２】
また、別な好適な実施形態の１つでは、前記ナビゲーションユニットにとっての最初のデータアクセスの対象となった記録媒体の媒体識別情報が初使用媒体識別情報として前記ナビゲーションユニットのメモリに記録され、前記初使用媒体識別情報として記録されている媒体識別情報を有する記録媒体と、それ以外の記録媒体では前記地図更新期限が異なる。この特徴構成は、あるナビゲーションユニットにおいて最初のデータアクセスを行った記録媒体と、その後にデータアクセスを行った別の記録媒体とを区別できるという利点をナビゲーションユニットに与えることができる。それにより、最初の記録媒体とそれ以外の記録媒体では地図データの更新期限を相異させることができる。これにより、例えば、最初の記録媒体の地図データの更新可能な期間を３年とし、それ以外の、つまりそれ以後の使用される記録媒体の地図データの更新可能な期間を２年とするような使用が可能である。これは、新車購入時の車検期間が３年でその後の車検期間が２年といった車検制度の場合、車検毎に地図データ更新用の記録媒体を発行できるので好都合である。その際、前記ナビゲーションユニットは、前記更新権情報の読み出し時からの所定期間を当該更新権情報についての前記地図更新期限とするとよい。
【００１３】
正規のルートを経て、外部からパソコン等の通信機能付き端末に送り込まれた更新地図データを記録媒体に記録して、この記録媒体をナビゲーションユニットに装着して更新地図データをナビゲーションユニットに書き込むというデータの流れの中で、不測の地図データの書き換えが行われる可能性がある。この書き換えが悪意で行われる可能性もある。このような問題に対処するため、本発明の好適な実施形態の１つでは、地図データ更新時には、外部から送り込まれた更新地図データが前記記録媒体のデータ領域に記録されるとともに、前記更新地図データから生成されたハッシュ値が当該記録媒体に地図セキュリティデータとして記録される。この構成では、ハッシュ値の照合を通じて、正当な地図データを受け取っているかどうかをチェックすることができ、上記の問題に対処することができる。
【図面の簡単な説明】
【００１４】
【図１】本発明に係るナビゲーションシステムの基本的な構成とデータの流れを示す模式図である。
【図２】本発明に係るナビゲーションシステムを構成するナビゲーションユニットの機能を示す機能ブロック図である。
【図３】本発明に係るナビゲーションシステムを構成する記録媒体の機能を示す機能ブロック図である。
【図４】本発明に係るナビゲーションシステムを構成する更新ユニットの機能を示す機能ブロック図である。
【図５】記録媒体からナビゲーションシステムに転送される更新権情報のデータ構造図である。
【図６】初使用時におけるナビユニットとＳＤカードとの間のデータ交換を模式的に示したダイアグラム図である。
【図７】地図データ更新時におけるＳＤカードと更新ユニットとの間のデータ交換を模式的に示したダイアグラム図である。
【図８】初使用時以外でのナビユニットとＳＤカードとの間のデータ交換を模式的に示したダイアグラム図である。
【発明を実施するための形態】
【００１５】
以下、図面を用いて本発明に係るナビゲーションシステムの実施の形態を説明する。図１に示すナビゲーションシステムはカーナビゲーションであり、自動車に搭載されるナビゲーションユニット（以下、単にナビユニットと略称される）１と、この実施形態ではＳＤカード（より詳しくは、ＳＤメモリーカード又はＳＤＨＣメモリーカード）である記録媒体４と、一般には通信機能付きパーソナルコンピュータ（以下、単にパソコンと略称される）である更新ユニット７とから構成されている。ナビユニット１で用いられる地図データはＳＤカード４に記録されており、カーナビゲーションを利用する際には、ＳＤカード４はナビユニット１に装着される。ＳＤカード４に記録された地図データは更新可能である。地図データの更新は、更新用の地図データ又は地図差分データ（特に区別する必要があるときを除いて、以後両者を単に地図データを称することにする）を取り扱っている地図センターからインターネットなどのＷＡＮ経由で更新ユニット（パソコン）７にダウンロードし、この更新ユニット７を仲介してＳＤカード４の地図データを最新のものに書き換える。なお、ナビユニット１を搭載した自動車の購入時や、ナビユニット１だけの単独購入時などでは、そのナビユニット１には最新の地図データが記録されたＳＤカード４が付属している。
【００１６】
以下、本発明によるナビゲーションシステムの基本的なデータの流れとして、図１を用いて、自動車に搭載されたナビユニット１に始めてＳＤカード４が装着された際のデータの流れを説明する。このＳＤカード４は、メモリ領域として、書き換え可能なデータ領域と、媒体識別情報（ここではＣＩＤ：Card Identification registerが用いられる）が記録される書き換え不能な管理領域と、を備えている。地図データはデータ領域に記録される。さらに、記録されている地図データの更新の権利に関する情報としての更新最終期限などを含む更新権情報もデータ領域に書き込まれている。このＳＤカード４はパスワードロック機能を有し、このパスワードロック機能がＯＮされている場合、所定のパスワードを付与しない限り、このＳＤカード４に対する読み書きが許可されない。
【００１７】
ナビユニット１には、初めからセキュリティ関連のデータとして、このナビユニット１の識別情報である車載器ＩＤ、付属しているＳＤカード４のパスワードロックを外すためパスワード、このナビユニット１においてデータを暗号化するための暗号化鍵であるナビ暗号化鍵、更新ユニット７において暗号化されたデータを復号する更新復号化鍵が登録されている。更新ユニット７は、更新ユニット７の母体としてのパソコン上で更新ユニット構築のための所定のプログラムを起動することによって、この更新ユニット７においてデータを暗号化するための暗号化鍵である更新暗号化鍵、ナビユニット１において暗号化されたデータを復号するナビ復号化鍵が登録される。ここでの対応する暗号化鍵と復号化鍵との関係は、公知の秘密鍵と公開鍵との関係と実質的に同じであり、暗号化鍵で暗号化されたデータは、対応する復号化鍵でのみ復号化可能である。また、暗号化鍵から対応する復号化鍵を作り出すこと及び復号化鍵から対応する暗号化鍵を作り出すことは事実上不可能である。
詳細は後述されるが、更新ユニット１には、センターからダウンロードした更新用の地図データから算出したハッシュ値からなる地図セキュリティデータを生成する機能や、地図データの転送先であるＳＤカードの媒体識別情報及び地図セキュリティデータからさらに算出されたハッシュ値を含む更新セキュリティデータを生成する機能なども備えている。
【００１８】
まず、ナビユニット１にＳＤカード４が装着されると、ナビユニット１からロック解除用のパスワードが送られることにより、ナビユニット１はＳＤカード４とデータ交換が可能となる（＃１１）。次に、ＳＤカード４から媒体識別情報（＃１２）及び更新権情報（＃１３）がナビユニット１に送信される。ナビユニット１は、受け取った更新権情報から作成された地図更新期限（＃１４）や更新権情報に含まれているその他のデータ、さらには更新権情報をこのナビユニット１のメモリに記録する（＃１５）。この際、媒体識別情報もナビユニット１のメモリに記録する。
【００１９】
更新権情報がＳＤカード４からナビユニット１に送信されると、ＳＤカード４に記録されていた更新権情報が削除される（＃１６）。さらに、ＳＤカード４のパスワードロック機能が解除され（＃１７）、以後このＳＤカード４はパスワードなしでデータアクセスが許可され、利便性が向上する。パスワードなしのデータアクセスが許可されても、既に更新権情報が削除されているので、このＳＤカード４から更新権情報が抜きだされることはない。さらに、これらのナビユニット１とＳＤカード４とが知り得る共通のデータがナビセキュリティデータとしてグループ化され（＃１８）、ナビ暗号化鍵によって暗号化された後、ＳＤカード４に送られる（＃１９）。送り込まれたナビセキュリティデータはＳＤカード４のデータ領域に記録される。
【００２０】
次に、上述したナビゲーションシステムの詳細を説明する。図２は、ナビユニット１の主な機能を示す機能ブロック図である。ナビユニット1は、基本的には、カーナビ本体部１Ａと、このカーナビ本体部１Ａに接続される記録媒体管理コントローラとしてのＳＤ管理コントローラ１Ｂとからなる。
【００２１】
カーナビ本体部１Ａは、一般のカーナビ装置と同じように、Ｉ／Ｏインターフェース１１を介して、種々のカーナビ用センサや入出力デバイスと接続されている。カーナビ用センサとしては、ＧＰＳ（Global Positioning System）衛星からのＧＰＳ信号を受信するＧＰＳ受信機９１、自車両の進行方位又はその進行方位の変化を検出する方位センサ９２、自車両の車速や移動距離を検出する距離センサ９３が挙げられる。入出力デバイスとしては、運転者に対する経路案内等を行うスピーカ９４やモニタ９５、さらにはタッチパネル９６等の操作デバイスが挙げられる。
【００２２】
カーナビ本体部１Ａにおいて、ハードウェア又はソフトウェア（プログラム）あるいはその両方により構築される主な機能部は、ＧＰＳ位置情報取得部１２、進行方位情報取得部１３、地図データ処理部１４、マップマッチング部１５、走行距離算定部１６、ナビゲーション情報処理部である。地図データ処理部１４による地図データの検索抽出の対象となる地図データベースはナビユニット1に装着されるＳＤカード４に構築されている。
【００２３】
ＧＰＳ位置情報取得部１２は、ＧＰＳ測位によって自車両の位置を表す自車両位置情報を取得する機能を有する。ＧＰＳ位置情報取得部１２では、ＧＰＳ受信機９１で受信されたＧＰＳ衛星からの信号を解析し、自車両の現在位置（座標位置：緯度及び経度）を取得することができる。進行方位情報取得部１３は、自車両の方位変化量と移動距離とによって自車両の進行方位を表す進行方位情報を取得する機能を有する。このため進行方位情報取得部１３は、方位センサ９２及び距離センサ９３と接続されている。距離センサ９３は自車両の車速や移動距離を検出するセンサであり、このセンサ信号に基づいてトータルの走行距離が走行距離算定部１６で算定される。マップマッチング部１５は、ＳＤカード４から自車位置周辺の地図データを取得し、それに基づいて公知のマップマッチングを行う機能を有する。このマップマッチングにより、ＧＰＳ位置情報取得部１２から出力される自車両位置情報や進行方位情報取得部１３から出力される進行方位情報による自車両の現在位置から最短の、地図情報に示される道路上における位置を探索する。この探索された位置は自車両道路上位置であり、この自車両道路上位置がモニタ６に道路地図に重ねて表示される。ナビゲーション情報処理部１７は、自車位置表示、出発地から目的地までの経路探索、目的地までの経路案内、目的地検索等のナビゲーション機能を作り出す。例えば、ナビゲーション情報処理部１７は、マップマッチング部１５で決定された自車位置としての自車両道路上位置に基づいてＳＤカード４から地図データを取得してモニタ６の表示画面に地図の画像を表示するとともに、当該地図の画像上に、自車両の現在位置及び進行方位を表す自車位置マークを重ね合わせて表示する。また、ナビゲーション情報処理部１７は、地図データに基づいて、所定の出発地から目的地までの経路探索を行うとともに、探索された出発地から目的地までの経路と自車位置とに基づいて、モニタ９５及びスピーカ９４の一方又は双方を用いて、運転者に対する経路案内を行う。モニタ９５には操作デバイスとして機能するタッチパネル９６が装着されているが、これとは別な操作スイッチや操作ボタンを操作デバイスとして付加してもよい。
【００２４】
お互いの通信インターフェース１０、２０を介して、カーナビ本体部１Ａと接続されているＳＤ管理コントローラ１Ｂの主な機能部は、ＳＤホストモジュール２１、セキュリティデータ用メモリ２２、更新権情報処理部２３、地図更新期限算定部２４、ナビセキュリティデータ生成部２５、暗号処理部２６である。
【００２５】
ＳＤホストモジュール２１は、ＳＤカード４との間のデータ交換を行うものである。セキュリティメモリ２２は、車載器ＩＤなどの予めナビユニット１に固有の情報、及び媒体識別情報（ＣＩＤ）などのＳＤカード４から取得したセキュリティに関するデータを記録するメモリである。ナビユニット１にとっての最初のデータアクセスの対象となったＳＤカード４の媒体識別情報は、初使用媒体識別情報としてメモリに記録される。すなわち、初使用媒体識別情報は、未使用のナビユニット１に最初に装着されたＳＤカード４の媒体識別情報である。更新権情報処理部２３は、ＳＤカードから取得した更新権情報に基づいて生成した地図更新期限を付加する等してナビユニット側の更新権情報を生成したり、この更新権情報から必要なデータを取り出したりする。地図更新期限算定部２４は、装着されたＳＤカード４における地図データの更新に関する期限を算定する。ここでは、地図更新期限算定部２４は、初使用媒体識別情報とＳＤカード４の媒体識別情報とを比較し、初使用媒体識別情報として記録されている媒体識別情報を有するＳＤカード４と、それ以外のＳＤカード４とで異なる地図更新期限を設定する。具体的には、初使用媒体識別情報として記録されている媒体識別情報を持つＳＤカード４に対しては３年間の更新期限を与え、それ以外のＳＤカード４に対しては２年間の更新期限を与える。また、ＳＤカード４に記録された地図データが余りにも古すぎると差分を用いた地図更新が困難になるといった問題など種々の問題を引き起こすので、地図更新期限算定部２４は、地図更新期限の設定に際して、更新最終期限を参照し、更新最終期限を過ぎたＳＤカード４に対しては更新期限を付与しない。例えば、更新最終期限は、ＳＤカード４に地図データが記録された時を基準として設定された期限である。
【００２６】
ナビセキュリティデータ生成部２６は、更新ユニット７によって不正に地図更新されたＳＤカード４を見破るためのセキュリティデータを組み合わせてナビセキュリティデータを生成する。ナビセキュリティデータは、少なくとも、ＳＤカード４の管理領域から読み出した媒体識別情報（ＣＩＤ）と地図更新期限の情報とを含んでいる。暗号処理部２７は、ここでデータを暗号化する暗号化鍵としてのナビ暗号化鍵と、更新ユニット７で暗号化されたデータを復号する更新復号化鍵と備えている。ハッシュ演算部２７は、装着されたＳＤカード４の地図データのハッシュ値を演算する。
【００２７】
図３に示すように、ＳＤカード４の構成は、市場に流通しているセキュリティ機能付きフラッシュメモリであるＳＤカードと実質的に同じであり、ＳＤインターフェース４０を通じて、更新ユニット７やナビユニット１とデータ交換可能である。その基本的な構成要素として、ＣＰＵ４１、媒体識別情報などを記録している管理用メモリ４２、メモリインタフェース４３を通じて書き換え可能にデータを記録することができるデータ領域であるフラッシュメモリ４４が備えられている。さらに、このナビゲーションシステムのために実装されているプログラム等によって実現する機能部として、パスワードロック処理部５５及びＣＩＤ管理部５６も備えられている。
【００２８】
パスワードロック処理部５５は、このＳＤカード４のパスワードロック機能を行うものであるが、ナビユニット１への最初の装着時においてパスワードチェックを行った後には、このパスワードロックは解除され、以後はパスワードを必要とせずに、データアクセスが許可される。ＣＩＤ管理部５６は、管理用メモリ４２に記録された媒体識別情報（一般にはＣＩＤと呼ばれるコード）を要求に応じて読み出して、要求先に送信する。
【００２９】
図４に示すように、ＷＡＮインターフェースを通じてＷＡＮ（インターネット）と接続可能であるとともにＳＤインターフェース７１を通じてＳＤカードとデータ交換可能なパソコンにおいて、このナビゲーションシステムで要求される機能を実現するプログラムを実行させることにより、この更新ユニット７に要求される機能部は構築される。その機能部として、地図データ処理部７２、地図セキュリティデータ生成部７３、更新セキュリティデータ生成部７４、ハッシュ演算部７５、暗号処理部７６が挙げられる。
【００３０】
地図データ処理部７２は、センターからダウンロードされた更新用の地図データ（地図データバージョンや地図作成日等の地図データ属性値を含む）を処理して、装着されているＳＤカード４の地図データを更新する。一般に、更新用の地図データは、差分データとしてダウンロードされるので、この差分データを用いて地図データの更新すべきデータ部分だけを書き換える。地図データは扱いやすいように複数の地図サブデータに区分けされている。地図セキュリティデータ生成部７３は、装着されたＳＤカード４に転送する地図データの識別コードとして用いることができるように、ハッシュ演算部によって上記の地図サブデータのそれぞれから得られたハッシュ値をグループ化して、地図セキュリティデータとする。更新セキュリティデータ生成部７４は、装着されたＳＤカードに記録されたナビセキュリティデータから読み取った媒体識別情報、地図作成日又は差分データから更新地図データを作成した日、及び地図セキュリティデータ生成部７３によって生成された地図セキュリティデータから再度ハッシュ演算部によって演算されたハッシュ値をグループ化した更新セキュリティデータを作成する。この更新セキュリティデータは暗号処理部７６によって更新暗号化鍵で暗号化され、ＳＤカード４に送信される。暗号処理部７６は、ナビユニット１の暗号処理部２６においてナビ暗号化鍵で暗号化されたデータを復号するナビ復号化鍵も備えている。これにより、更新ユニット７は、ナビ暗号化鍵で暗号化されたナビセキュリティデータをＳＤカード４から読み出して復号化することができる。
【００３１】
上述のように構成されたナビゲーションシステムにおいては、ナビユニット１とＳＤカード４と更新ユニット７との間で、地図データが転送される際、セキュリティ目的で種々の情報ないしはデータが交換される。図５には、そのようなデータや情報のデータ構造がまとめられている。
【００３２】
図５（ａ）で示す更新権情報はＳＤカード４に記録されている状態と、その後ナビユニット１に転送されて、そこで記録されるときに構造が異なっている。つまり、ＳＤカード４における更新権情報は、地図データバージョンと更新最終期限とを有する。これに対して、ナビユニット１における更新権情報は、媒体識別情報（ＣＩＤ）と、ナビユニット１に地図更新期限算定部２４で算定された地図更新期限とがさらに追加されている。
図５（ｂ）で示すナビセキュリティデータはナビユニット１で生成されるデータであり、媒体識別情報、車載器ＩＤ、走行距離、地図更新期限、地図データバージョンを有する。このナビセキュリティデータはナビ暗号化鍵で暗号化されて、ナビユニット１からＳＤカード４に転送される。
【００３３】
図５（ｃ）で示す地図データは、最終的には更新ユニット７でセットアップされるデータであり、地図区分け数で区分けされた複数の地図サブデータ１、・・・とともに、地図データの属性値としての地図データバージョン及び地図作成日を有する。
図５（ｄ）で示す地図セキュリティデータは更新ユニット７で生成されるデータであり、地図区分け数で区分けされた複数の地図サブデータ毎に演算された各地図サブデータのハッシュ値が地図サブデータハッシュ値１、・・・として含まれている。この地図セキュリティデータは、地図データとともに、更新ユニット７からＳＤカード４に転送される。
図５（ｅ）で示す更新セキュリティデータは更新ユニット７で生成されるデータであり、ＳＤカード４に記録されたナビセキュリティデータから読み出した媒体識別情報、地図セキュリティデータに含まれている複数の地図サブデータハッシュ値からさらにハッシュ演算して得られた二階ハッシュ値である地図セキュリティデータのハッシュ値を含む。この更新セキュリティデータは、更新暗号化鍵で暗号化されて、装着されているＳＤカード４に転送される。
【００３４】
次に、このナビゲーションシステムにおける、データ交換の手順を説明する。図６は、自動車に搭載され、初めてＳＤカード４を装着した際の、ナビユニット１とＳＤカード４との間のデータ交換を模式的に示したダイアグラム図である。
まず、ナビユニット１からＳＤカード４に対してロック確認が行われ（＃３０）、Ｓナビユニット１は、Ｄカード４からパスワードロックが機能しているというロック情報を受け取ると（＃３１）、パスワードを送信する（＃３２）。ナビユニット１からパスワードが送信されると、ＳＤカード４に対するデータアクセスが許可される（＃３３）。データアクセスが許可されると、ナビユニット１はＳＤカード４に対して管理領域に記録された媒体識別情報（ＣＩＤ）を要求し（＃３４）、媒体識別情報（ＣＩＤ）を受け取ると（＃３５）、一時的にメモリ２２に記録する（＃３６）。さらに、更新権情報（ＲＲ）を要求し（＃３７）、更新権情報（ＲＲ）を受け取ると（＃３８）、地図更新期限算定部２４が更新情報（ＲＲ）に基づいて地図更新期限を算定する（＃３９）。本実施形態では、地図更新期限算定部２４は、ＳＤカード４に更新権情報（ＲＲ）が記録されていることを条件として、当該更新権情報（ＲＲ）の読み出し時からの所定期間を当該更新権情報（ＲＲ）についての地図更新期限とする。ここでは、地図更新期限算定部２４は、上記のとおり、ナビユニット１にとっての最初のデータアクセスの対象となったＳＤカード４であるか否かにより異なる地図更新期限を与えることとし、具体的には、当該ナビユニットにとっての最初のＳＤカード４に対しては３年間の更新期限を与え、２枚目以降のＳＤカード４に対しては２年間の更新期限を与える。またこの際、地図更新期限算定部２４は、更新権情報（ＲＲ）に含まれる更新最終期限を確認し、更新最終期限を過ぎたＳＤカード４に対しては更新期限を与えない。次いで、更新権情報処理部２３がメモリ２２に記録されているデータに基づいて、図５で示すようなデータ構造を有する更新権情報（ＲＲ）を作成してメモリ２２に記録する（＃４０）。更新権情報（ＲＲ）の再作成と記録が完了すると、ＳＤカード４に更新権情報記録完了が通知され（＃４１）、これにより更新情報管理部５２がフラッシュメモリ４４に記録されていた更新権情報を削除する（＃４２）。続いて、パスワードロック処理部５５がパスワードロック機能を解除する（＃４３）。
【００３５】
ナビユニット１では、ナビセキュリティデータ生成部２５が、装着されているＳＤカード４の管理領域としての管理メモリ４２から読み出した媒体識別情報（ＣＩＤ）、このナビユニット１に固有している車載器ＩＤ（ＮＩＤ）、カーナビ本体１Ａから得られる走行距離（Ｋｍ）、先に算定した地図更新期限（ＲＴ）、更新権情報（ＲＲ）に含まれている地図データベースバージョン（ＭＶ）をグループ化して、ナビセキュリティデータ（ＮＳ）を生成し（＃４４）、メモリ２２に記録する（＃４５）。さらに、ナビセキュリティデータ（ＮＳ）は、暗号処理部２６によりナビ暗号化鍵を用いて暗号化され（＃４６）、ＳＤカード４に送信され（＃４７）、データ領域としてのフラッシュメモリ４４に記録される（＃４８）。
【００３６】
以上により、ナビユニット１とＳＤカード４の初期処理が完了し、カーナビゲーション処理時には、カーナビ本体１Ａからの要求に応じて、ＳＤ管理コントローラ１ＢはＳＤカード４にアクセスして、必要な地図データをＳＤカード４から読み出し、カーナビ本体１Ａに与える処理が繰り返される。
【００３７】
次に、地図データ更新時におけるＳＤカードと更新ユニットとの間のデータ交換の流れを図７のダイアグラム図を用いて説明する。
まず、更新ユニット７は、予め、地図データをダウンロードし（＃６１）、更新用の地図データとしてメモリに格納しておく（＃６２）。その際、更新前の地図データが更新ユニット７に存在しており、ダウンロードした地図データが差分データの場合には、ここで差分データを用いて既存の地図データを最新版に更新しておく。この状態で、更新対象となるＳＤカード４が更新ユニット７に装着されると、更新ユニット７は、ＳＤカード４がナビユニット１から受け取って記録しているナビセキュリティデータを要求する（＃６３）。受け取ったナビセキュリティデータは、メモリに一時的に格納される（＃６４）。このナビセキュリティデータはナビ復号化鍵を用いて復号化される（＃６５）。このように復号化されたナビセキュリティデータから媒体識別情報（ＣＩＤ）が取り出され、更新ユニット７のメモリに一時的に格納される（＃６６）。さらに、復号化されたナビセキュリティデータから地図更新期限が取り出され（＃６７）、格納している更新用の地図データの作成日時と比較され、作成日時が地図更新期限を過ぎていないか、あるいはその他の設定条件に応じた地図更新期限に関するチェックがなされる（＃６８）。
【００３８】
この地図更新期限に関するチェックがクリアされると更新用の地図データがＳＤカード４に送信される（＃６９）。また、更新ユニット７においては、ハッシュ演算部７５が地図データのハッシュ値（ＭＨ）を算出する（＃７０）。通常、地図データはデータ容量が大きく分割構成となっているので、各地図サブデータのハッシュ値が算出され、地図セキュリティデータ（ＭＳ）が生成される（＃７１）。さらに、この地図セキュリティデータ（ＭＳ）に含まれる各地図サブデータのハッシュ値をまとめてハッシュ演算を行い、統合されたハッシュ値を算出する（＃７２）。更新セキュリティデータ生成部７４は、この統合されたハッシュ値、地図データの作成日、復号化されたナビセキュリティデータから取り出された媒体識別情報などをグループ化することで、更新セキュリティデータ（ＲＳ）を生成する（＃７３）。生成された更新セキュリティデータは更新暗号化鍵で暗号化される（＃７４）。暗号化された更新セキュリティデータは先に生成された地図セキュリティデータとともにＳＤカード４に送信され（＃７５、＃７６）、ＳＤカード４のデータ領域としてのフラッシュメモリ４４に記録される（＃７７）。
【００３９】
次に、更新ユニットを通じて当初の地図データを更新したＳＤカード４をナビユニット１で利用する際のデータ交換の流れを図８のダイアグラム図を用いて説明する。
このＳＤカード４は、最初にナビユニット１に装着した際に、パスワードチェック機能が解除され、また更新権情報も既に削除されている。ＳＤカード４がナビユニット１に装着されると、ナビユニット１はＳＤカード４に対して管理領域としての管理用メモリ４２に記録された媒体識別情報（ＣＩＤ）を要求し（＃８０）、ＳＤカード４の管理用メモリ４２に記録されている媒体識別情報を取得する（＃８１）。さらに、ＳＤカード４のフラッシュメモリ４４に記録されている更新セキュリティデータ（ＲＳ）を要求し（＃８２）、更新セキュリティデータを取得する（＃８３）。この更新セキュリティデータ（ＲＳ）は更新復号化鍵を用いて復号化される（＃８４）。この更新セキュリティデータには媒体識別情報が含まれているのでこの媒体識別情報と先に取得した媒体識別情報を比較することで、ＳＤカード４と更新ユニット７で更新された地図データとの整合性をチェックする（＃８５）。媒体識別情報の整合性に問題がなければ、今受け取った更新セキュリティデータに含まれている地図作成日（ＭＤ）とナビゲーションユニット１に記録されている地図更新期限とを比較して、その整合性をチェックする（＃８６）。この整合性に問題なければ、このＳＤカード４自体は正当とみなすことができる。
【００４０】
次に、ＳＤカード４に記録された地図データそのものの正当性（不正にコピーされたものでないことなど）チェックするため、まず、地図セキュリティデータ（ＲＳ）をＳＤカード４に要求し（＃８７）、地図セキュリティデータを受け取り（＃８８）、さらに地図データを要求し（＃８９）、地図データを受け取る（＃９０）。受け取った地図データ、実際は所定の区分け数で区分けされた各地図サブデータのハッシュ値がハッシュ演算部２７によって演算される（＃９１）。更に、この演算によって得られたハッシュ値群をまとめてハッシュ演算を行い、統合されたハッシュ値を算出する。この統合されたハッシュ値と先に受け取った地図セキュリティデータに含まれているハッシュ値（更新ユニット７により演算された統合されたハッシュ値）とを互いに比較する（＃９２）。相互のハッシュ値が一致している場合は、更新ユニット７でダウンロードされ作成された地図データと、今装着されているＳＤカード４に記録されている地図データとが一致していることが保証される。これによって、地図データも含めこのＳＤカード４の正当性が確認される。さらに、ナビセキュリティデータに走行距離のように運転とともにその値が変化するようなデータを含む場合には、ナビセキュリティデータ生成部２５が最新のデータを含むナビセキュリティデータを生成する（＃９３）。これにより、初期処理が完了し、カーナビゲーション処理時には、カーナビ本体１Ａからの要求に応じて、ＳＤ管理コントローラ１ＢはＳＤカード４にアクセスして、必要な地図データをＳＤカード４から読み出し、カーナビ本体１Ａに与える処理が繰り返される。
【００４１】
以上のような構成を備えることにより、強固なセキュリティを有する地図データ更新を実現することができる。具体的には、以下のような類型が考えられる。
（１）新しいＳＤカード４から地図データを丸ごとデッドコピーしようとした場合、パスワードロック機能が働くため、専用のナビユニット１でしかデータアクセスが許可されないので、そのような地図データのデッドコピーができない。また、パスワードロック解除後は更新権データが削除されているので、不正に地図データの更新権を得ることはできない。
（２）ＳＤカード４をナビユニット１に装着することでパスワードロック機能が解除された後に、当該ＳＤカード４を丸ごとデッドコピーした他のＳＤカード４を使用する場合、ナビセキュリティデータの媒体識別情報とＳＤカードに固有の媒体識別情報（管理用メモリに記録されているもの）との不整合から不正コピーが認識でき、使用を禁止できる。
（３）地図データの一部が修正ないしは不正にコピーされたＳＤカード４が装着された場合、ナビユニット４の起動時に上述したような地図データのハッシュ値を演算し、この演算値とナビセキュリティデータに含まれているハッシュ値とを比較することで、その使用を禁止することができる。
（４）更新ユニットの時計を過去にずらせることで地図更新期限の切れたＳＤカード４の地図更新をしようとした場合、ナビセキュリティデータに含まれている地図更新期限と更新用の地図データの属性値としての地図作成日とを比較しその整合性をチェックすることで更新ユニットの不正な時計設定を検知することができる。ナビセキュリティデータの地図更新期限を書き換えることはナビセキュリティデータがナビ暗号化鍵で暗号化されているので不可能である。さらに、地図更新期限が残っている他のＳＤカード４のナビセキュリティデータをまるごとコピーした場合には、更新ユニット７において地図更新ができたとしても、その際そのナビセキュリティデータの媒体識別情報が書き込まれるので、ナビユニット１においてその更新セキュリティデータの媒体識別情報とＳＤカード４の管理用メモリ４２から読み出された媒体識別情報とを比較することでその不正が検知可能となる。
（５）更新ユニット７にインストールされているこのナビゲーションシステムのためのプログラムがクラックされ、上述した更新期限チェック等の機能部をパッチで回避された場合、ナビユニットが更新セキュリティデータに含まれている地図作成日と地図更新期限を比較することでそのような不正を検知することができる。また、更新ユニット７にインストールされているプログラムがクラックされることでのナビゲーションシステムにおける暗号システムの脆弱化は、ナビユニット１のナビ暗号化鍵で暗号化された暗号は更新ユニット７のナビ復号化鍵によってのみ復号でき、更新ユニット７の更新暗号化鍵で暗号化された暗号はナビユニット１の更新復号化鍵によってのみ復号できるように、異なる２つの暗号鍵システムを取り入れることで、回避している。
〔別実施の形態〕
（１）上述した実施の形態では、ナビユニット１で使用される前でのＳＤカード（記録媒体の一種）４へのデータアクセスを防止するためにパスワードロック機能を採用していたが、他のロック機能を、特には使用する記録媒体に適したロック機能を採用することができる。また、パスワードロック機能は更新権情報のデータ領域からの削除の後に解除されていたが、その前に解除することを本発明は除外しているわけではない。さらに、パスワードロック機能は外したナビゲーションシステムも本発明の範囲内である。
（２）ある程度のセキュリティの脆弱化が許容できる場合、ＳＤカード（記録媒体の一種）４のデータ領域から読み出された更新権情報が前記ナビユニットのメモリに記録しないシステムとすることも本発明の枠内で可能である。
（３）ナビユニットにとっての最初のデータアクセスの対象となった記録媒体の媒体識別情報が初使用媒体識別情報として前記ナビユニットのメモリに記録することも、本発明の枠内で省略することも可能である。また、適用する分野によっては、初使用媒体識別情報として記録されている媒体識別情報を有する記録媒体と、それ以外の記録媒体では地図更新期限を必ずしも異ならせる必要はない。
（４）上述した実施例では、ナビユニットは、更新権情報の読み出し時からの所定期間を当該更新権情報についての地図更新期限としていたが、地図更新期限の起点となるタイミングは更新権情報の読み出し時以外のものを採用することもできる。そのタイミングとしては、例えば、ナビユニットへの記録媒体の装着時、車両の走行距離が所定距離を越えた時、地図データが記録された記録媒体の製造時あるいは出荷時等が挙げられる。
（５）地図データの不測の変更の検知のためにハッシュ値を用いることで暗号等の改竄防止より演算負荷を低減することができるが、ナビユニット１や更新ユニット７における演算負荷をさらに下げるためには、このハッシュ値を用いた改竄防止を省略することも可能である。
（６）セキュリティを強固にするための最適な実施の形態として、ナビユニット１と更新ユニット７との間において異なる２つの暗号鍵システムを取り入れられていたが、本発明はこれに限定されるわけではなく、単一の共通鍵による暗号システムを採用することも本発明に含まれる。
（７）上述した実施の形態では、地図データは複数のサブデータから構成されており、更新セキュリティデータに利用される地図セキュリティ処理データは、各サブデータから生成された複数のハッシュ値からさらに演算されたハッシュ値であったが、このような二階ハッシュ演算を行わずに一階ハッシュ演算されたもの、すなわち地図セキュリティデータをそのまま利用してもよい。
（８）更新セキュリティデータに含まれる更新用地図データの一意的な属性値として地図作成日を採用していたが、地図作成履歴コードなどその他の一意的な属性値を採用してもよい。
（９）ＳＤカード（記録媒体の一種）４に内蔵されているＣＰＵシステムの能力は年々高まっているので、上述したナビゲーションシステムでナビユニット１や更新ユニット７に構築されていた更新情報の管理機能やハッシュ演算機能、暗号機能などをＳＤカード側に構築することの本発明の枠内で可能である。
【産業上の利用可能性】
【００４２】
本発明のナビゲーションシステムは、車両搭載されるカーナビゲーションだけでなく、ポータブル型のナビゲーションシステムなど、着脱可能な記録媒体に更新可能な地図データを記録して用いる種々のナビゲーションシステムに適用可能である。
【符号の説明】
【００４３】
１：ナビユニット（ナビゲーションユニット）
１Ａ：カーナビ本体
１Ｂ：ＳＤ管理コントローラ
２１：ＳＤホストモジュール
２２：セキュリティデータ用メモリ
２３：更新権情報処理部
２４：地図更新期限算定部
２５：ナビセキュリティデータ正西部
２６：暗号処理部
２７：ハッシュ演算部
４：ＳＤカード（記録媒体）
４２：管理用メモリ（管理領域）
４４：フラッシュメモリ（データ領域）
５１：地図データ処理部
５２：更新情報管理部
５３：地図セキュリティデータ処理部
５４：ナビセキュリティデータ処理部
５５：パスワードロック処理部
５６：ＣＩＤ管理部
７：更新ユニット
７２：地図データ処理部
７３：地図セキュリティデータ生成部
７４：更新セキュリティデータ生成部
７５：ハッシュ演算部
７６：暗号処理部
【特許請求の範囲】
【請求項１】
地図データを用いて動作するナビゲーションユニットと当該ナビゲーションユニットに着脱可能な記録媒体とを有し、前記記録媒体は前記地図データが記録される書き換え可能なデータ領域と媒体識別情報が記録される書き換え不能な管理領域とを有するナビゲーションシステムにおいて、
前記データ領域に前記地図データの更新に必要な更新権情報が記録され、
前記記録媒体に対する前記ナビゲーションユニットによる最初のデータアクセス時に前記更新権情報が前記データ領域から読み出されるとともに前記データ領域から削除され、読み出された前記更新権情報に基づいて作成された地図更新期限が、前記管理領域から読み出された媒体識別情報とともに前記ナビゲーションユニットのメモリに書き込まれるナビゲーションシステム。
【請求項２】
前記記録媒体は初期状態がロック状態となっているパスワードロック機能を有し、当該パスワードロックを解除するためのパスワードは前記記録媒体に送り出し可能に前記ナビゲーションユニットが備えている請求項１に記載のナビゲーションシステム。
【請求項３】
前記パスワードロック機能は、前記更新権情報の前記データ領域からの削除の後に解除される請求項２に記載のナビゲーションシステム。
【請求項４】
前記データ領域から読み出された前記更新権情報が前記ナビゲーションユニットの前記メモリに記録される請求項１に記載のナビゲーションシステム。
【請求項５】
前記ナビゲーションユニットにとっての最初のデータアクセスの対象となった記録媒体の媒体識別情報が初使用媒体識別情報として前記ナビゲーションユニットのメモリに記録され、前記初使用媒体識別情報として記録されている媒体識別情報を有する記録媒体と、それ以外の記録媒体では前記地図更新期限が異なる請求項１から４のいずれか一項に記載のナビゲーションシステム。
【請求項６】
前記ナビゲーションユニットは、前記更新権情報の読み出し時からの所定期間を当該更新権情報についての前記地図更新期限とする請求項１から５のいずれか一項に記載のナビゲーションシステム。
【請求項７】
地図データ更新時には、外部から送り込まれた更新地図データが前記記録媒体の前記データ領域に記録されるとともに、前記更新地図データから生成されたハッシュ値が当該記録媒体に地図セキュリティデータとして記録される請求項１から６のいずれか一項に記載のナビゲーションシステム。
【請求項１】
地図データを用いて動作するナビゲーションユニットと当該ナビゲーションユニットに着脱可能な記録媒体とを有し、前記記録媒体は前記地図データが記録される書き換え可能なデータ領域と媒体識別情報が記録される書き換え不能な管理領域とを有するナビゲーションシステムにおいて、
前記データ領域に前記地図データの更新に必要な更新権情報が記録され、
前記記録媒体に対する前記ナビゲーションユニットによる最初のデータアクセス時に前記更新権情報が前記データ領域から読み出されるとともに前記データ領域から削除され、読み出された前記更新権情報に基づいて作成された地図更新期限が、前記管理領域から読み出された媒体識別情報とともに前記ナビゲーションユニットのメモリに書き込まれるナビゲーションシステム。
【請求項２】
前記記録媒体は初期状態がロック状態となっているパスワードロック機能を有し、当該パスワードロックを解除するためのパスワードは前記記録媒体に送り出し可能に前記ナビゲーションユニットが備えている請求項１に記載のナビゲーションシステム。
【請求項３】
前記パスワードロック機能は、前記更新権情報の前記データ領域からの削除の後に解除される請求項２に記載のナビゲーションシステム。
【請求項４】
前記データ領域から読み出された前記更新権情報が前記ナビゲーションユニットの前記メモリに記録される請求項１に記載のナビゲーションシステム。
【請求項５】
前記ナビゲーションユニットにとっての最初のデータアクセスの対象となった記録媒体の媒体識別情報が初使用媒体識別情報として前記ナビゲーションユニットのメモリに記録され、前記初使用媒体識別情報として記録されている媒体識別情報を有する記録媒体と、それ以外の記録媒体では前記地図更新期限が異なる請求項１から４のいずれか一項に記載のナビゲーションシステム。
【請求項６】
前記ナビゲーションユニットは、前記更新権情報の読み出し時からの所定期間を当該更新権情報についての前記地図更新期限とする請求項１から５のいずれか一項に記載のナビゲーションシステム。
【請求項７】
地図データ更新時には、外部から送り込まれた更新地図データが前記記録媒体の前記データ領域に記録されるとともに、前記更新地図データから生成されたハッシュ値が当該記録媒体に地図セキュリティデータとして記録される請求項１から６のいずれか一項に記載のナビゲーションシステム。
【図１】
【図２】
【図３】
【図４】
【図５】
【図６】
【図７】
【図８】
【図２】
【図３】
【図４】
【図５】
【図６】
【図７】
【図８】
【公開番号】特開２０１１−１６９８２５（Ｐ２０１１−１６９８２５Ａ）
【公開日】平成２３年９月１日（２０１１．９．１）
【国際特許分類】
【出願番号】特願２０１０−３５３２０（Ｐ２０１０−３５３２０）
【出願日】平成２２年２月１９日（２０１０．２．１９）
【出願人】（０００１００７６８）アイシン・エィ・ダブリュ株式会社 (3,717)
【Ｆターム（参考）】
【公開日】平成２３年９月１日（２０１１．９．１）
【国際特許分類】
【出願日】平成２２年２月１９日（２０１０．２．１９）
【出願人】（０００１００７６８）アイシン・エィ・ダブリュ株式会社 (3,717)
【Ｆターム（参考）】
[ Back to top ]