ナビゲーション装置、ナビゲーション方法、情報配信システム及び情報配信方法
【課題】ナビゲーション装置へ配信する更新用地図情報の情報セキュリティを確保することが可能な情報配信システム及びその情報配信システムを構成するナビゲーション装置を提供する。
【解決手段】ナビゲーション装置２のＣＰＵ４１は、情報配信センタ３によって公開された使用優先順位が付された各公開鍵ＰＫ１〜ＰＫ５を公開鍵記憶部３９に格納する。そして、ナビゲーション装置２のＣＰＵ４１は、情報配信センタ３から配信された配信データから電子署名を抽出し、各公開鍵ＰＫ１〜ＰＫ５のうち「有効」な公開鍵を使用優先順位の順番に使用して、この電子署名を順次検証する。そして、ナビゲーション装置２のＣＰＵ４１は、電子署名が検証を通過した場合には、この配信データを情報配信センタ３から配信された正当な情報であるとして判断する（Ｓ２１１〜Ｓ２１７）。
【解決手段】ナビゲーション装置２のＣＰＵ４１は、情報配信センタ３によって公開された使用優先順位が付された各公開鍵ＰＫ１〜ＰＫ５を公開鍵記憶部３９に格納する。そして、ナビゲーション装置２のＣＰＵ４１は、情報配信センタ３から配信された配信データから電子署名を抽出し、各公開鍵ＰＫ１〜ＰＫ５のうち「有効」な公開鍵を使用優先順位の順番に使用して、この電子署名を順次検証する。そして、ナビゲーション装置２のＣＰＵ４１は、電子署名が検証を通過した場合には、この配信データを情報配信センタ３から配信された正当な情報であるとして判断する（Ｓ２１１〜Ｓ２１７）。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、更新用地図情報が配信されるナビゲーション装置、及び更新用地図情報をナビゲーション装置へ配信する情報配信システムに関するものである。
【背景技術】
【０００２】
近年、地図データを更新するための更新情報が、情報配信センタからナビゲーション装置に対して、ＤＶＤ−ＲＯＭやＨＤＤなどの記録媒体、又は携帯電話網等のネットワーク等を通じて配信される情報配信システムが種々提案されている。
例えば、情報配信センタから配信された更新用の地図データが書込まれた記録媒体に、ナビゲーション装置に付与されたユニークな個体ＩＤを属性データとして付加されることにより、ナビゲーション装置においてその記録媒体を使用する際に、判断手段により、自らに付与されている個体ＩＤと記録媒体に記録されている個体ＩＤとが一致するかどうかが判断され、個体ＩＤが一致していない場合には、禁止手段により、その記録媒体に書込まれた更新用の地図データが使用できなくなるように構成した情報配信システムがある（例えば、特許文献１参照。）。
【特許文献１】特開２００５−３３１５７９号公報（段落（００１１）〜（００２８）、図１〜図４）
【発明の開示】
【発明が解決しようとする課題】
【０００３】
しかし、前記した特許文献１に記載された情報配信システムでは、ナビゲーション装置に付与された個体ＩＤが第三者に解読された場合には、記録媒体に記録された更新用の地図データ等が改ざんされる虞があり、更新用の地図データの情報セキュリティを確保することが難しいという問題がある。
一方、情報配信センタから更新用の地図データ等を配信する際に、この更新用の地図データ等に秘密鍵により電子署名を付し、一方、ナビゲーション装置は公開鍵により更新用の地図データ等に付された電子署名を検証して、配信された地図データの正当性を確認するように構成した情報配信システムが考えられる。
しかしながら、信頼できる第三者機関による認証局から各ナビゲーション装置へ公開鍵を公開してもらう情報配信システムでは、秘密鍵が第三者に解読された場合には、各ナビゲーション装置は、認証局から新たな公開鍵の公開を受ける必要があり、処理が煩雑になると共に、コストアップになるという問題がある。また、情報配信センタは、各ナビゲーション装置が認証局から新たな公開鍵の公開を受けるまで、新たな秘密鍵で更新用の地図データ等に電子署名をして配信することができないという問題がある。
【０００４】
そこで、本発明は、上述した問題点を解決するためになされたものであり、ナビゲーション装置へ配信する更新用地図情報の情報セキュリティを確保することが可能な情報配信システム及びその情報配信システムを構成するナビゲーション装置を提供することを目的とする。
【課題を解決するための手段】
【０００５】
前記目的を達成するため請求項１に係るナビゲーション装置は、情報配信センタ（３）から配信される地図情報を検証するための公開鍵を使用優先順位を付して複数記憶する公開鍵記憶手段（３９）と、前記情報配信センタから配信された前記地図情報に付された電子署名を抽出する電子署名抽出手段（２３）と、前記複数の公開鍵を前記使用優先順位の順番に使用して前記電子署名を順次検証するように制御する検証制御手段（２３）と、前記電子署名が検証を通過した場合には、前記地図情報を前記情報配信センタから配信された正当な情報であるとして判断する判断手段（２３）と、を備えたことを特徴とする。
【０００６】
また、請求項２に記載のナビゲーション装置は、請求項１に記載のナビゲーション装置（２）において、前記検証制御手段（２３）は、前記電子署名が検証を通過するまでに当該検証を通過しなかった公開鍵がある場合には、当該検証を通過しなかった公開鍵を失効に設定するように制御することを特徴とする。
【０００７】
また、請求項３に記載のナビゲーション装置は、請求項２に記載のナビゲーション装置（２）において、前記検証制御手段（２３）は、前記検証を通過しなかった公開鍵を仮失効に設定する仮失効設定手段（２３）を有し、該検証制御手段は、該電子署名が検証を通過した場合には、前記仮失効設定手段によって仮失効に設定された公開鍵を失効させると共に、残りの公開鍵の使用優先順位を順次繰り上げて、前記公開鍵記憶手段に再度記憶するように制御することを特徴とする。
【０００８】
また、請求項４に記載のナビゲーション装置は、請求項３に記載のナビゲーション装置（２）において、前記検証制御手段（２３）は、前記電子署名が検証を通過しない場合には、前記仮失効設定手段によって設定された仮失効を取り消すように制御し、前記判断手段（２３）は、前記地図情報を不当な情報であると判断することを特徴とする。
【０００９】
更に、請求項５に記載のナビゲーション装置は、請求項１乃至請求項４のいずれかに記載のナビゲーション装置（２）において、前記公開鍵記憶手段に記憶される公開鍵を使用して前記電子署名を復号して復号データを作成する復号データ作成手段（２３）と、前記地図情報からハッシュ値を作成するナビ側ハッシュ値作成手段（２３）と、を有し、該検証制御手段（２３）は、前記復号データと前記ハッシュ値とが一致した場合には検証を通過させ、前記復号データと前記ハッシュ値とが一致しない場合には検証を通過させないように制御することを特徴とする。
【００１０】
また、請求項６に記載の情報配信システムは、地図情報を配信する情報配信センタ（３）と、ナビゲーション装置（２）と、を備えた情報配信システム（１）において、前記情報配信センタ（３）は、複数対の公開鍵と秘密鍵を生成して前記複数対の公開鍵と秘密鍵に対して使用優先順位を付する鍵生成手段（１０）と、前記使用優先順位が付された複数の秘密鍵を記憶する秘密鍵記憶手段（１９）と、前記秘密鍵記憶手段に記憶される前記使用優先順位が１番目の秘密鍵を使用して電子署名を作成する電子署名作成手段（１０）と、前記地図情報に前記電子署名を付して配信する配信手段（１０、１６）と、を有し、該情報配信センタは、前記使用優先順位が付された複数の公開鍵をナビゲーション装置へ公開し、前記ナビゲーション装置（２）は、前記情報配信センタによって公開された前記使用優先順位が付された複数の公開鍵を記憶する公開鍵記憶手段（２２）と、前記情報配信センタから配信された前記地図情報に付された電子署名を抽出する電子署名抽出手段（２３）と、前記複数の公開鍵を前記使用優先順位の順番に使用して前記電子署名を順次検証するように制御する検証制御手段（２３）と、前記電子署名が検証を通過した場合には、前記地図情報を前記情報配信センタから配信された正当な情報であるとして判断する判断手段（２３）と、を有することを特徴とする。
【００１１】
また、請求項７に記載の情報配信システムは、請求項６に記載の情報配信システム（１）において、前記検証制御手段（２３）は、前記電子署名が検証を通過するまでに当該検証を通過しなかった公開鍵がある場合には、当該検証を通過しなかった公開鍵を失効に設定するように制御することを特徴とする。
【００１２】
また、請求項８に記載の情報配信システムは、請求項７に記載の情報配信システム（１）において、前記検証制御手段（２３）は、前記検証を通過しなかった公開鍵を仮失効に設定する仮失効設定手段（２３）を有し、該検証制御手段は、該電子署名が検証を通過した場合には、前記仮失効設定手段によって仮失効に設定された公開鍵を失効させると共に、残りの公開鍵の使用優先順位を順次繰り上げて、前記公開鍵記憶手段に再度記憶するように制御することを特徴とする。
【００１３】
また、請求項９に記載の情報配信システムは、請求項８に記載の情報配信システム（１）において、前記検証制御手段は、前記電子署名が検証を通過しない場合には、前記仮失効設定手段によって設定された仮失効を取り消すように制御し、前記判断手段は、前記地図情報を不当な情報であると判断することを特徴とする。
【００１４】
更に、請求項１０に記載の情報配信システムは、請求項６乃至請求項９のいずれかに記載の情報配信システム（１）において、前記電子署名作成手段（１０）は、前記地図情報からハッシュ値を作成するセンタ側ハッシュ値作成手段（１０）を有し、該電子署名作成手段は、前記ハッシュ値と前記秘密鍵記憶手段に記憶される前記使用優先順位が１番目の秘密鍵とを使用して電子署名を作成し、前記検証制御手段（２３）は、前記公開鍵記憶手段（３９）に記憶される公開鍵を使用して前記電子署名を復号して復号データを作成する復号データ作成手段（２３）と、前記地図情報からハッシュ値を作成するナビ側ハッシュ値作成手段（２３）と、を有し、該検証制御手段は、前記復号データと前記ハッシュ値とが一致した場合には検証を通過させ、前記復号データと前記ハッシュ値とが一致しない場合には検証を通過させないように制御することを特徴とする。
【発明の効果】
【００１５】
前記構成を有する請求項１に係るナビゲーション装置は、情報配信センタから配信される地図情報を検証するための複数の公開鍵を使用優先順位を付して記憶している。そして、ナビゲーション装置は、情報配信センタから配信された地図情報に付された電子署名を抽出し、複数の公開鍵を使用優先順位の順番に使用して、この電子署名を順次検証する。そして、ナビゲーション装置は、電子署名が検証を通過した場合には、この地図情報を情報配信センタから配信された正当な情報であるとして判断する。
これにより、ナビゲーション装置は、使用優先順位が１番目の公開鍵によって、情報配信センタから配信された地図情報に付された電子署名を検証して、この電子署名が検証を通過しなくても、信頼できる第三者機関による認証局から新たな公開鍵の公開を受けること無く、次の使用優先順位の公開鍵によって該電子署名を検証することが可能となり、電子署名の検証の迅速化及びコストの削減化を図ることが可能となる。また、ナビゲーション装置は、使用の優先順位を付して記憶する複数の公開鍵を使用して、当該電子署名が検証を通過した場合には、この地図情報を情報配信センタから配信された正当な情報であるとして判断するため、ナビゲーション装置への地図情報の配信に関する情報セキュリティを確保することが可能となる。
【００１６】
また、請求項２に係るナビゲーション装置は、複数の公開鍵を使用優先順位の順番に使用して電子署名を順次検証し、この電子署名が検証を通過するまでに当該検証を通過しなかった公開鍵がある場合には、当該検証を通過しなかった公開鍵を失効に設定する。
これにより、情報配信センタが、秘密鍵が第三者によって解読された場合に、この解読された秘密鍵を失効させて、新たな秘密鍵に切り替えて電子署名を行っても、ナビゲーション装置は、情報配信センタから解読された秘密鍵に対応する公開鍵の通知を受けることなく、この解読された秘密鍵に対応する公開鍵を失効させることが可能となる。
【００１７】
また、請求項３に係るナビゲーション装置は、複数の公開鍵を使用優先順位の順番に使用して、地図情報に付された電子署名を順次検証し、この電子署名が検証を通過するまでに当該検証を通過しなかった公開鍵がある場合には、当該検証を通過しなかった公開鍵を仮失効に設定する。そして、ナビゲーション装置は、この電子署名が検証を通過した場合には、仮失効に設定された公開鍵を失効させると共に、残りの公開鍵の使用優先順位を順次繰り上げて、再度記憶する。
これにより、情報配信センタは、使用している秘密鍵が第三者によって解読された場合に、この解読された秘密鍵を失効させて、次の使用優先順位の秘密鍵に切り替えて電子署名を行っても、ナビゲーション装置は、情報配信センタから解読された秘密鍵に対応する公開鍵の通知を受けることなく、この解読された秘密鍵に対応する公開鍵を確実に失効させることが可能となる。また、ナビゲーション装置は、解読された秘密鍵に対応する公開鍵を失効させた場合には、信頼できる第三者機関による認証局から新たな公開鍵の公開を受けることなく、残りの公開鍵の使用優先順位を順次繰り上げて、有効な公開鍵を使用優先順位の順番に使用して、地図情報に付された電子署名の検証をスムーズに行うことが可能となる。
【００１８】
また、請求項４に係るナビゲーション装置は、複数の公開鍵を使用優先順位の順番に使用して、地図情報に付された電子署名を順次検証し、この電子署名が検証を通過しない場合には、各公開鍵に設定された仮失効を取り消すと共に、当該地図情報を不当な情報であると判断する。
これにより、悪意のある第三者が、情報配信センタが所有する秘密鍵と異なる秘密鍵で地図情報に電子署名を付した場合には、全ての有効な公開鍵による検証が通過しないが、仮失効を取り消すことによって、全ての公開鍵の有効性を維持することができると共に、当該地図情報を不当な情報であると判断することによって、情報セキュリティを確保することができる。
【００１９】
更に、請求項５に係るナビゲーション装置は、電子署名に対して複数の有効な公開鍵を使用優先順位の順番に使用して、当該電子署名を復号して復号データを作成する。そして、ナビゲーション装置は、地図情報からハッシュ値を作成し、このハッシュ値と復号データとが一致した場合には、この電子署名の検証を通過させ、該ハッシュ値と復号データとが一致しない場合には、この電子署名の検証を通過させない。
これにより、悪意のある第三者が、情報配信センタが所有する秘密鍵と異なる秘密鍵で地図情報に電子署名を付した場合だけでなく、電子署名を変更することなく、地図情報を改ざんした場合にも、地図情報から作成したハッシュ値と復号データとが一致しない場合には、電子署名の検証を通過させないことによって、当該地図情報の改ざんを検出して、地図情報の情報セキュリティを確保することが可能となる。
【００２０】
また、請求項６に係る情報配信システムでは、情報配信センタは、複数対の公開鍵と秘密鍵を生成して、この複数対の公開鍵と秘密鍵に対して使用優先順位を付す。そして、情報配信センタは、この使用優先順位が付された複数の秘密鍵を記憶する。また、情報配信センタは、この使用優先順位が付された複数の公開鍵をナビゲーション装置へ公開する。そして、情報配信センタは、使用優先順位が１番目の秘密鍵を使用して電子署名を作成して、この電子署名を地図情報に付して配信する。
また、ナビゲーション装置は、情報配信センタによって公開された使用優先順位が付された複数の公開鍵を記憶している。そして、ナビゲーション装置は、情報配信センタから配信された地図情報に付された電子署名を抽出し、複数の公開鍵を使用優先順位の順番に使用して、この電子署名を順次検証する。そして、ナビゲーション装置は、電子署名が検証を通過した場合には、この地図情報を情報配信センタから配信された正当な情報であるとして判断する。
【００２１】
これにより、情報配信センタは、記憶する使用優先順位が付された複数の秘密鍵のうち使用優先順位が１番目の秘密鍵を使用して電子署名を作成し、この電子署名を地図情報に付して配信するため、配信する地図情報の情報セキュリティを確保することが可能になる。また、予め複数の秘密鍵を記憶しているため、使用優先順位が１番目の秘密鍵が第三者に解読された場合には、残りの秘密鍵に迅速に切り替えることが可能となる。
また、ナビゲーション装置は、使用優先順位が１番目の公開鍵によって、情報配信センタから配信された地図情報に付された電子署名を検証して、この電子署名が検証を通過しなくても、信頼できる第三者機関による認証局から新たな公開鍵の公開を受けること無く、次の使用優先順位の公開鍵によって該電子署名を検証することが可能となり、電子署名の検証の迅速化及びコストの削減化を図ることが可能となる。また、ナビゲーション装置は、情報配信センタによって公開された複数の公開鍵を使用して、当該電子署名が検証を通過した場合には、この地図情報を情報配信センタから配信された正当な情報であるとして判断するため、ナビゲーション装置への地図情報の配信に関する情報セキュリティを確保することが可能となる。
【００２２】
また、請求項７に係る情報配信システムでは、ナビゲーション装置は、複数の公開鍵を使用優先順位の順番に使用して電子署名を順次検証し、この電子署名が検証を通過するまでに当該検証を通過しなかった公開鍵がある場合には、当該検証を通過しなかった公開鍵を失効に設定する。
これにより、情報配信センタが、秘密鍵が第三者によって解読された場合に、この解読された秘密鍵を失効させて、新たな秘密鍵に切り替えて電子署名を行っても、ナビゲーション装置は、情報配信センタから解読された秘密鍵に対応する公開鍵の通知を受けることなく、この解読された秘密鍵に対応する公開鍵を失効させることが可能となる。
【００２３】
また、請求項８に係る情報配信システムでは、ナビゲーション装置は、複数の公開鍵を使用優先順位の順番に使用して、地図情報に付された電子署名を順次検証し、この電子署名が検証を通過するまでに当該検証を通過しなかった公開鍵がある場合には、当該検証を通過しなかった公開鍵を仮失効に設定する。そして、ナビゲーション装置は、この電子署名が検証を通過した場合には、仮失効に設定された公開鍵を失効させると共に、残りの公開鍵の使用優先順位を順次繰り上げて、再度記憶する。
これにより、情報配信センタが、秘密鍵が第三者によって解読された場合に、この解読された秘密鍵を失効させて、新たな秘密鍵に切り替えて電子署名を行っても、ナビゲーション装置は、情報配信センタから解読された秘密鍵に対応する公開鍵の通知を受けることなく、この解読された秘密鍵に対応する公開鍵を失効させることが可能となる。また、ナビゲーション装置は、解読された秘密鍵に対応する公開鍵を失効させた場合には、信頼できる第三者機関による認証局から新たな公開鍵の公開を受けることなく、残りの公開鍵の使用優先順位を順次繰り上げて、有効な公開鍵を使用優先順位の順番に使用して、地図情報に付された電子署名の検証をスムーズに行うことが可能となる。
【００２４】
また、請求項９に係る情報配信システムでは、ナビゲーション装置は、複数の公開鍵を使用優先順位の順番に使用して、地図情報に付された電子署名を順次検証し、この電子署名が検証を通過しない場合には、各公開鍵に設定された仮失効を取り消すと共に、当該地図情報を不当な情報であると判断する。
これにより、悪意のある第三者が、情報配信センタが所有する秘密鍵と異なる秘密鍵で地図情報に電子署名を付した場合には、全ての有効な公開鍵による検証が通過しないが、仮失効を取り消すことによって、全ての公開鍵の有効性を維持することができると共に、当該地図情報を不当な情報であると判断することによって、情報セキュリティを確保することができる。
【００２５】
更に、請求項１０に係る情報配信システムでは、情報配信センタは、配信する地図情報からハッシュ値を作成し、このハッシュ値と使用優先順位が１番目の秘密鍵とを使用して電子署名を作成する。また、ナビゲーション装置は、電子署名に対して複数の公開鍵のうち有効な公開鍵を使用優先順位の順番に使用して、電子署名を復号した復号データを作成する。そして、ナビゲーション装置は、地図情報からハッシュ値を作成し、このハッシュ値と復号データとが一致した場合には、この電子署名の検証を通過させ、該ハッシュ値と復号データとが一致しない場合には、この電子署名の検証を通過させない。
これにより、情報配信センタは、配信する地図情報から算出したハッシュ値と使用優先順位が１番目の秘密鍵とを使用して電子署名を作成するため、電子署名の作成の迅速化を図ることが可能となる。また、ナビゲーション装置は、悪意のある第三者が、情報配信センタが所有する秘密鍵と異なる秘密鍵で地図情報に電子署名を付した場合だけでなく、電子署名を変更することなく、地図情報を改ざんした場合にも、地図情報から算出したハッシュ値と復号データとが一致しない場合には、電子署名の検証を通過させないことによって、当該地図情報の改ざんを検出して、地図情報の情報セキュリティを確保することが可能となる。
【発明を実施するための最良の形態】
【００２６】
以下、本発明に係るナビゲーション装置及び情報配信システムを地図情報配信システムについて具体化した一実施例に基づき図面を参照しつつ詳細に説明する。
【実施例】
【００２７】
先ず、本実施例に係る地図情報配信システム１の概略構成について図１及び図２を用いて説明する。図１は本実施例に係る地図情報配信システム１を示したブロック図である。図２は地図情報配信システム１のナビゲーション装置２を示したブロック図である。
【００２８】
図１に示すように本実施例に係る地図情報配信システム１は、ナビゲーション装置２と、ナビゲーション装置２に対して地図情報を更新する為の更新情報を配信する情報配信センタとしての地図情報配信センタ３と、ネットワーク４と、このネットワーク４に接続可能なナビゲーション装置２のユーザや販売店等が所有するＰＣ（Personal Computer）５とから基本的に構成されている。そして、ナビゲーション装置２と地図情報配信センタ３、ＰＣ５と地図情報配信センタ３は、それぞれネットワーク４を介して各種の情報の送受信が可能となるように構成されている。尚、ナビゲーション装置２の構成に関しては後に図２を用いて詳細に説明する。
【００２９】
また、図１に示すように、地図情報配信センタ３は、サーバ１０と、サーバ１０に接続された地図情報記録部としてのセンタ側地図情報データベース（センタ側地図情報ＤＢ）１４と、更新履歴情報データベース（更新履歴情報ＤＢ）１５と、センタ側通信装置１６と、差分データ管理データベース（差分データ管理ＤＢ）１８と、鍵情報データベース（鍵情報ＤＢ）１９とを備えている。また、サーバ１０は、サーバ１０の全体の制御を行う演算装置及び制御装置としてのＣＰＵ１１、並びにＣＰＵ１１が各種の演算処理を行うに当たってワーキングメモリとして使用されるＲＡＭ１２、後述のようにナビゲーション装置２やＰＣ５からの要求に基づいてナビゲーション装置２に記憶された地図情報の内、配信対象エリアの地図情報を新たなバージョンの地図情報に更新する為の更新情報をセンタ側地図情報ＤＢ１４から抽出すると共に、この更新情報に電子署名を付与して、ナビゲーション装置２やＰＣ５に対して配信する地図情報配信処理（図６参照）や、電子署名の為の秘密鍵を更新する秘密鍵更新処理（図４参照）等を行うための各種の制御プログラムが記録されたＲＯＭ１３等の内部記憶装置を備えている。尚、ＣＰＵ１１に代えてＭＰＵ等を使用することができる。
【００３０】
また、センタ側地図情報ＤＢ１４には、地図情報配信センタ３で作成され、ナビゲーション装置２に記憶された地図情報を更新する際の基本となる地図情報である更新用地図情報１７がバージョン毎に区分されて記憶されている。更に、現在のナビゲーション装置２に記憶される地図情報の一部分（例えば、自車の現在位置又は予め登録されている自宅地点を中心とする８０ｋｍ四方の領域である。）又は全部を更新用地図情報１７に記憶される最新のバージョンに更新する為の更新情報（以下、「差分データ」という。）についてもバージョン毎に区分されて記憶されている。
ここで、バージョンとは地図情報が作成された時期を特定する為の作成時期情報であり、バージョンを参照することによって地図情報が作成された時期を特定することが可能となっている。
【００３１】
また、センタ側地図情報ＤＢ１４に記憶された更新用地図情報１７には、ナビゲーション装置２で経路案内及び地図表示を行うのに必要な各種情報が記録されており、例えば、地図を表示するための地図表示データ、各交差点に関する交差点データ、ノード点に関するノードデータ、施設の一種である道路（リンク）に関するリンクデータ、経路を探索するための探索データ、施設の一種である店舗等のＰＯＩ（Ｐｏｉｎｔ ｏｆ Ｉｎｔｅｒｅｓｔ）に関する店舗データ、地点を検索するための検索データ等から構成されている。
【００３２】
ここで、特に地図表示データとしては、１０ｋｍ×１０ｋｍで区画された２次メッシュをベースに４分割（長さ１／２）、１６分割（１／４）、６４分割（１／８）されたユニットで構成されており、各ユニットのデータ量が略同レベルになるように、各地のユニットが設定されている。最も小さい６４分割サイズのユニットは、約１．２５ｋｍ四方の大きさである。
【００３３】
ここで、高速自動車国道、都市高速道路、自動車専用道路、一般有料道路、１桁又は２桁の国道から構成される高規格道路区分と、３桁以上の国道、主要地方道、県道、市町村道から構成される一般道路区分と、細街路から構成される細街路区分の３つの配信道路区分に区分されて、それぞれバージョン毎に更新用地図情報１７に格納されて管理されている。
また、差分データ管理ＤＢ１８には、更新用地図情報１７の各バージョン毎に、約２．５ｋｍ四方のエリア毎に区画ＩＤを設定し、更に各エリアを道路規格で区分した３つの各配信道路区分毎の各差分データを表す差分データファイル名が格納されて管理されている。
【００３４】
また、更新履歴情報ＤＢ１５には、各ナビゲーション装置２に記憶されている地図情報について現在までに更新を行った更新履歴に関する更新履歴情報が、ナビゲーション装置２を特定するナビ識別ＩＤとともに記憶され、また、各ＰＣ５のユーザに対して配信した更新用地図情報の更新履歴に関する更新履歴情報が、ユーザを識別するユーザＩＤとともに記憶される。
そして、地図情報配信センタ３は、ナビゲーション装置２やＰＣ５からの要求があったタイミングで、センタ側地図情報ＤＢ１４に格納された更新用地図情報１７の内、前回ナビゲーション装置２やＰＣ５に配信した更新用地図情報から最もバージョンの新しい更新用地図情報１７に更新する為の差分データを抽出して、ナビゲーション装置２やＰＣ５へ、後述のように電子署名を付して配信する。
【００３５】
また、ナビゲーション装置２のユーザや販売店等が所有するＰＣ５は、受信したこの更新用の地図情報を記憶媒体としてのＣＤ−ＲＯＭ６にナビゲーション装置２が読取部２８（図２参照）で読み取り可能に記録できる記録部５Ａを備えている。尚、ナビゲーション装置２の読取部２８で読み取り可能であれば、ＣＤ−ＲＯＭ６に替えて、フレキシブルディスク等の磁気ディスク、メモリーカード、磁気テープ、磁気ドラム、ＭＤ、ＤＶＤ、ＭＯ、ＩＣカード、光カード等を使用してもよい。
【００３６】
また、鍵情報ＤＢ１９には、後述のように５組の公開鍵と秘密鍵とを生成した鍵生成履歴情報が格納されるとともに、この生成した５つの秘密鍵に使用優先順位を付して記憶する秘密鍵記憶部１９Ａが設けられている（図３参照）。
【００３７】
尚、地図情報配信センタ３は、個人、企業、団体、地方自治体、政府関係機関等のいずれが運営していてもよく、ＶＩＣＳ（登録商標）センタが運営していてもよい。
また、ネットワーク４としては、例えばＬＡＮ（Local Area Network）、ＷＡＮ（Wide Area Network）、イントラネット、携帯電話回線網、電話回線網、公衆通信回線網、専用通信回線網、インターネット等の通信回線網等の通信系を使用することができる。そして、放送衛星によるＣＳ放送、ＢＳ放送、地上波ディジタルテレビ放送、ＦＭ多重放送等を利用する通信系を使用することもできる。更に、高度道路交通システム（ＩＴＳ）において利用されるノンストップ自動料金支払いシステム（ＥＴＣ）、狭域通信システム（ＤＳＲＣ）等の通信系を使用することもできる。
【００３８】
次に、本実施例に係る地図情報配信システム１を構成するナビゲーション装置２の概略構成について図２に基づいて説明する。
図２に示すように、本実施例に係るナビゲーション装置２は、自車の現在位置を検出する現在地検出処理部２１と、予め登録された自宅地点の座標位置（例えば、緯度と経度である。）や各種のデータが記録されたデータ記録部２２と、入力された情報に基づいて、各種の演算処理を行うナビゲーション制御部２３と、操作者からの操作を受け付ける操作部２４と、操作者に対して地図等の情報を表示する液晶ディスプレイ２５と、経路案内に関する音声ガイダンスを出力するスピーカ２６と、道路交通情報センタ（ＶＩＣＳ（登録商標））や地図情報配信センタ３等との間で携帯電話網等を介して通信を行う通信装置２７と、記憶媒体としてのＣＤ−ＲＯＭ６に記録された更新用の地図情報等を読み取る読取部２８と、から構成されている。また、ナビゲーション制御部２３には自車の走行速度を検出する車速センサ２９が接続される。尚、読取部２８は、ＣＤ−ＲＯＭ６だけでなくＤＶＤに記録された地図情報等を読み取ることができるように構成してもよい。
【００３９】
以下に、ナビゲーション装置２を構成する各構成要素について説明すると、現在地検出処理部２１は、ＧＰＳ３１、方位センサ３２、距離センサ３３、高度計（図示せず）等からなり、現在の自車の位置、方位、目標物（例えば、交差点）までの距離等を検出することが可能となっている。
【００４０】
具体的には、ＧＰＳ３１は、人工衛星によって発生させられた電波を受信することにより、地球上における自車の現在地及び現在時刻を検出する。また、方位センサ３２は、地磁気センサやジャイロセンサ、或いは、ステアリングホイール（図示せず）の回転部に取り付けられた光学的な回転センサ、回転抵抗センサ、車輪に取り付けられた角度センサ等により構成され、自車方位を検出する。また、距離センサ３３は、例えば、自車の車輪（図示せず）の回転速度を測定し、測定した回転速度に基づいて距離を検出するセンサ、加速度を測定し、測定した加速度を２回積分して距離を検出するセンサ等から構成され、自車の移動距離を検出する。
【００４１】
また、データ記録部２２は、外部記憶装置及び記憶媒体としてのハードディスク（図示せず）と、ハードディスクに記憶されたナビ側地図情報ＤＢ３７、地図情報配信センタ３から公開された公開鍵を記憶する公開鍵記憶部３９及び所定のプログラム等を読み出すとともにハードディスクに所定のデータを書き込む為のドライバである記録ヘッド（図示せず）とを備えている。尚、本実施例においては、データ記録部２２の外部記憶装置及び記憶媒体としてハードディスクが使用されるが、ハードディスクのほかに、フレキシブルディスク等の磁気ディスクを外部記憶装置として使用することができる。また、メモリーカード、磁気テープ、磁気ドラム、ＣＤ、ＭＤ、ＤＶＤ、光ディスク、ＭＯ、ＩＣカード、光カード等を外部記憶装置として使用することもできる。
【００４２】
ここで、ナビ側地図情報ＤＢ３７にはナビゲーション装置２の走行案内や経路探索に使用されるとともに地図情報配信センタ３による更新対象となるナビ地図情報３８が格納されている。ここで、ナビ地図情報３８には、更新用地図情報１７と同様に経路案内及び地図表示に必要な各種情報から構成されており、例えば、各新設道路を特定するための新設道路情報、地図を表示するための地図表示データ、各交差点に関する交差点データ、ノード点に関するノードデータ、施設の一種である道路（リンク）に関するリンクデータ、経路を探索するための探索データ、施設の一種である店舗等のＰＯＩに関する店舗データ、地点を検索するための検索データ等から構成されている。
そして、ナビ側地図情報ＤＢ３７の内容は、地図情報配信センタ３から通信装置２７を介して配信された差分データやＣＤ−ＲＯＭ６に記録された更新用地図情報等の更新情報をダウンロードすることによって更新される。
【００４３】
また、図２に示すように、ナビゲーション装置２を構成するナビゲーション制御部２３は、ナビゲーション装置２の全体の制御を行う演算装置及び制御装置としてのＣＰＵ４１、並びにＣＰＵ４１が各種の演算処理を行うに当たってワーキングメモリとして使用されるとともに、経路が探索されたときの経路データ等が記憶されるＲＡＭ４２、制御用のプログラムのほか、後述のように公開鍵記憶部３９に記憶する公開鍵を使用して更新用地図データに付された電子署名を検証してナビ地図情報３８を更新する地図情報更新処理プログラム（図７参照）が記憶されたＲＯＭ４３、ＲＯＭ４３から読み出したプログラムを記憶するフラッシュメモリ４４等の内部記憶装置や、時間を計測するタイマ４５等を備えている。尚、前記ＲＡＭ４２、ＲＯＭ４３、フラッシュメモリ４４等としては半導体メモリ、磁気コア等が使用される。そして、演算装置及び制御装置としては、ＣＰＵ４１に代えてＭＰＵ等を使用することも可能である。
【００４４】
また、本実施例においては、前記ＲＯＭ４３に各種のプログラムが記憶され、前記データ記録部２２に各種のデータが記憶されるようになっているが、プログラム、データ等を同じ外部記憶装置、メモリーカード等からプログラム、データ等を読み出して前記フラッシュメモリ４４に書き込むこともできる。更に、メモリーカード等を交換することによって前記プログラム、データ等を更新することができる。
【００４５】
更に、前記ナビゲーション制御部２３には、操作部２４、液晶ディスプレイ２５、スピーカ２６、通信装置２７、読取部２８の各周辺装置（アクチュエータ）が電気的に接続されている。
この操作部２４は、走行開始時の現在地を修正し、案内開始地点としての出発地及び案内終了地点としての目的地を入力する際や施設に関する情報の検索を行う場合等に操作され、各種のキーや複数の操作スイッチから構成される。尚、操作部２４としては、キーボード、マウス等や、液晶ディスプレイ２５の前面に設けたタッチパネルによって構成することもできる。
また、液晶ディスプレイ２５には、ナビ地図情報３７Ａに基づく地図が表示されて各リンク上の交通情報が表示される経路案内画面の他、操作案内、操作メニュー、キーの案内、現在地から目的地までの誘導経路、誘導経路に沿った案内情報、交通情報等が表示される。
【００４６】
また、スピーカ２６は、ナビゲーション制御部２３からの指示に基づいて、誘導経路に沿った走行を案内する音声ガイダンス等を出力する。ここで、案内される音声ガイダンスとしては、例えば、「２００ｍ先、○○交差点を右方向です。」や、「地図データの更新ができません。」等がある。
そして、通信装置２７は、情報配信センタ３と通信を行う携帯電話網等による通信手段であり、情報配信センタ３との間で最もバージョンの新しい更新地図情報等の送受信を行う。また、通信装置２７は、情報配信センタ３に加えて、道路交通情報センタ（ＶＩＣＳ）等から送信された渋滞情報やサービスエリアの混雑状況等の各情報から成る交通情報を受信する。
【００４７】
次に、地図情報配信システム１の地図情報配信センタ３が生成する公開鍵と秘密鍵とについて図３に基づいて説明する。図３は地図情報配信システム１の地図情報配信センタ３における公開鍵と秘密鍵との生成を説明する説明図である。
図３に示すように、地図情報配信センタ３のＣＰＵ１１は、５組の対となる公開鍵ＰＫ１〜ＰＫ５と秘密鍵ＳＫ１〜ＳＫ５を生成する。従って、秘密鍵ＳＫ１を使用した電子署名は、公開鍵ＰＫ１によって検証を通過する。また、各秘密鍵ＳＫ２〜ＳＫ５を使用した電子署名は、それぞれ対応する各公開鍵ＰＫ２〜ＰＫ５によって検証を通過する。
また、ＣＰＵ１１は、各公開鍵ＰＫ１〜ＰＫ５のそれぞれに１番から５番の使用優先順位を付与する。また、ＣＰＵ１は、この各公開鍵ＰＫ１〜ＰＫ５に対応する各秘密鍵ＳＫ１〜ＳＫ５のそれぞれにも１番から５番の使用優先順位を付与する。また、ＣＰＵ１１は、各公開鍵ＰＫ１〜ＰＫ５及び各秘密鍵ＳＫ１〜ＳＫ５のそれぞれの鍵の状態を「有効」として設定する。
【００４８】
そして、ＣＰＵ１１は、各秘密鍵ＳＫ１〜ＳＫ５を、それぞれの使用優先順位「１」〜「５」と鍵の状態「有効」とを付した状態で秘密鍵記憶部１９Ａに格納する。
また、ＣＰＵ１１は、各公開鍵ＰＫ１〜ＰＫ５を、それぞれの使用優先順位「１」〜「５」と鍵の状態「有効」とを付した状態でナビゲーション装置２に対して公開する。具体的には、ＣＰＵ１１は、生成した各公開鍵ＰＫ１〜ＰＫ５を、それぞれの使用優先順位「１」〜「５」と鍵の状態「有効」とを付した状態で、地図情報配信センタ３の管理者を介してナビゲーション装置２の製造業者に開示する。そして、ナビゲーション装置２の製造業者は、この開示された各公開鍵ＰＫ１〜ＰＫ５を、それぞれの使用優先順位「１」〜「５」と鍵の状態「有効」とを付した状態で、公開鍵記憶部３９に格納する。これにより、ナビゲーション装置２のＣＰＵ４１は、後述のように各公開鍵ＰＫ１〜ＰＫ５を使用することが可能になるとともに、各公開鍵ＰＫ１〜ＰＫ５のそれぞれの使用優先順位「１」〜「５」と鍵の状態「有効」とを知ることが可能になる。
【００４９】
次に、前記構成を有する地図情報配信システム１において、地図情報配信センタ３のＣＰＵ１１が、地図情報配信センタ３の管理者から現在使用している秘密鍵の「失効」を指示された場合に実行する秘密鍵更新処理について図４及び図５に基づいて説明する。
図４は地図情報配信センタ３のＣＰＵ１１が、地図情報配信センタ３の管理者から現在使用している秘密鍵の「失効」を指示された場合に実行する秘密鍵更新処理を示すフローチャートである。図５は地図情報配信センタ３のＣＰＵ１１が使用優先順位が１番の秘密鍵ＳＫ１を失効させた一例を示す図である。尚、図４にフローチャートで示されるプログラムは、地図情報配信センタ３のＲＯＭ１３に記憶されており、ＣＰＵ１１により所定時間毎（例えば、約１０ｍ秒〜１００ｍ秒毎である。）に実行される。
【００５０】
図４に示すように、Ｓ１１において、ＣＰＵ１１は、現在使用している秘密鍵の「失効」を指示する秘密鍵変更指示が入力されたか否かを判定する判定処理を実行する。
尚、各秘密鍵ＳＫ１〜ＳＫ５のうち、現在使用している使用優先順位が１番の秘密鍵が、第三者に解読された場合には、地図情報配信センタ３の管理者は、入力手段（不図示）を介して、この解読された秘密鍵を失効させるように指示する秘密鍵変更指示をＣＰＵ１１に対して入力する。
そして、現在使用している秘密鍵の「失効」を指示する秘密鍵変更指示が入力されていない場合には（Ｓ１１：ＮＯ）、ＣＰＵ１１は、当該処理を終了する。
【００５１】
一方、現在使用している秘密鍵の「失効」を指示する秘密鍵変更指示が入力された場合には（Ｓ１１：ＹＥＳ）、ＣＰＵ１１は、Ｓ１２の処理に移行する。Ｓ１２において、ＣＰＵ１１は、秘密鍵記憶部１９Ａに格納される各秘密鍵ＳＫ１〜ＳＫ５から現在、有効な秘密鍵のうち使用優先順位が１番の秘密鍵を失効させて、再度、秘密鍵記憶部１９Ａに格納する。
例えば、図５に示すように、各秘密鍵ＳＫ１〜ＳＫ５が全て「有効」な場合に、秘密鍵ＳＫ１の「失効」を指示する秘密鍵変更指示が入力されときは、ＣＰＵ１１は、使用優先順位が１番の秘密鍵ＳＫ１を「失効」させて、再度、秘密鍵記憶部１９Ａに格納する。
【００５２】
そして、Ｓ１３において、ＣＰＵ１１は、秘密鍵記憶部１９Ａに格納される各秘密鍵ＳＫ１〜ＳＫ５を読み出し、各秘密鍵ＳＫ１〜ＳＫ５のうち「有効」な秘密鍵の使用優先順位を順次繰り上げて、再度、秘密鍵記憶部１９Ａに格納後、当該処理を終了する。
例えば、図５に示すように、各秘密鍵ＳＫ１〜ＳＫ５のうち使用優先順位が１番目であった秘密鍵ＳＫ１が「失効」された場合には、当該秘密鍵ＳＫ１の使用優先順位を取り消すとともに、残りの各秘密鍵ＳＫ２〜ＳＫ５の優先順位を順次繰り上げて、秘密鍵ＳＫ２の使用優先順位を１番目に設定し、各秘密鍵ＳＫ３〜ＳＫ５の使用優先順位を２番目〜４番目に設定し、再度、秘密鍵記憶部１９Ａに格納する。これにより、ＣＰＵ１１は、後述のように、次回からの電子署名には、秘密鍵ＳＫ２を使用することとなる（図６参照）。
【００５３】
従って、各秘密鍵ＳＫ１〜ＳＫ５は、それぞれに付された使用優先順位の順番に、順次「失効」されることとなる。そして、各秘密鍵ＳＫ１〜ＳＫ５のうち「有効」な秘密鍵の使用優先順位が順次繰り上げられる。
尚、各秘密鍵ＳＫ１〜ＳＫ５が「失効」される毎に、ＣＰＵ１１は、次に使用することとなる１対の公開鍵と秘密鍵とを生成して、予め鍵情報ＤＢ１９に格納するようにしてもよい。そして、各ナビゲーション装置２に格納されるナビ地図情報３８の全更新時に、新たに生成された公開鍵を公開するようにしてもよい。具体的には、販売店のＰＣ５に全更新用地図情報を配信する際に、新たに公開された公開鍵を配信し、当該ＰＣ５の記録部５Ａを介してＣＤーＲＯＭ６に全更新用地図情報と共に、新たに公開された公開鍵を記録し、ナビゲーション装置２へ供給するようにしてもよい。
【００５４】
次に、地図情報配信システム１において、地図情報配信センタ３のＣＰＵ１１が、ナビゲーション装置２又はＰＣ５から更新用地図情報の配信を要求された場合に実行する更新用地図情報配信処理について図６に基づいて説明する。図６は地図情報配信センタ３のＣＰＵ１１が、ナビゲーション装置２又はＰＣ５から更新用地図情報の配信を要求された場合に実行する更新用地図情報配信処理を示すフローチャートである。尚、図６にフローチャートで示されるプログラムは、地図情報配信センタ３のＲＯＭ１３に記憶されており、ＣＰＵ１１により実行される。
【００５５】
図６に示すように、Ｓ１１１において、ＣＰＵ１１は、ナビゲーション装置２から更新用地図情報の配信要求と共にナビ識別ＩＤを受信した場合、又は、ＰＣ５からナビゲーション装置２のユーザを識別するユーザＩＤを受信した場合には、このナビ識別ＩＤ又はユーザＩＤに対応して予め登録されている登録自宅位置を中心とする所定領域（例えば、自宅位置を中心とする約８０ｋｍ四方の領域である。）を差分データを抽出する配信対象エリアとして設定する。尚、ナビ識別ＩＤ又はユーザＩＤと共に、目的地の座標データを受信した場合には、当該目的地を中心とする所定領域（例えば、目的地の座標データを中心とする約５０ｋｍ四方の領域である。）を差分データを抽出する配信対象エリアとして設定する。
【００５６】
そして、ＣＰＵ１１は、受信したナビ識別ＩＤ又はユーザＩＤで特定される地図情報の更新履歴に関する情報を更新履歴情報ＤＢ１５から読み出して、この配信対象エリアの約２．５ｋｍ×２．５ｋｍ四方の各区画内におけるナビ識別ＩＤで特定されるナビゲーション装置２又はユーザＩＤで特定されるナビゲーション装置２の現在のバージョンを抽出してＲＡＭ１２に記憶する。そして、ＣＰＵ１１は、差分データ管理ＤＢ１８から配信対象エリアの各区画内における最新バージョンの差分データを表す差分データファイル名を読み出し、この配信対象エリアの各区画内における当該ナビゲーション装置２の現在のバージョンと最新バージョンとの差分データファイル名を抽出してＲＡＭ１２に記憶する。続いて、ＣＰＵ１１は、各差分データファイル名に対応する差分データを更新用地図情報１７から読み出して、配信する更新用の配信地図データとしてＲＡＭ１２に記憶する。
【００５７】
そして、Ｓ１１２において、ＣＰＵ１１は、ＲＡＭ１２から更新用の配信地図データを読み出して、この配信地図データからハッシュ値を算出して、ＲＡＭ１２に記憶する。
例えば、図６に示すように、ＣＰＵ１１は、更新用の配信地図データ５１からハッシュ値５２を算出して、ＲＡＭ１２に記憶する。
【００５８】
続いて、Ｓ１１３において、ＣＰＵ１１は、鍵情報ＤＢ１９の秘密鍵記憶部１９Ａに記憶される各秘密鍵ＳＫ１〜ＳＫ５のうち使用優先順位が１番の「有効」な秘密鍵を選択して、ＲＡＭ１２に記憶する。
例えば、図５及び図６に示すように、秘密鍵ＳＫ１〜ＳＫ５のうち秘密鍵ＳＫ１が「失効」している場合には、ＣＰＵ１１は、使用優先順位が１番の「有効」な秘密鍵ＳＫ２を選択して、ＲＡＭ１２に記憶する。
【００５９】
そして、Ｓ１１４において、ＣＰＵ１１は、ＲＡＭ１２から上記Ｓ１１２において算出したハッシュ値と上記Ｓ１１３で選択した使用優先順位が１番の「有効」な秘密鍵とを読み出し、このハッシュ値と秘密鍵とを使用して電子署名を作成する。
例えば、図６に示すように、ＣＰＵ１１は、ハッシュ値５２と秘密鍵ＳＫ２とを使用して電子署名５３を作成してＲＡＭ１２に記憶する。
【００６０】
続いてＳ１１５において、ＣＰＵ１１は、ＲＡＭ１２から更新用の配信地図データと上記Ｓ１１４で作成した電子署名とを読み出し、この更新用の配信地図データに電子署名を付して、ナビゲーション装置２又はＰＣ５に配信する配信データを作成してＲＡＭ１２に記憶する。
そして、Ｓ１１６において、ＣＰＵ１１は、ＲＡＭ１２から配信データを読み出し、上記Ｓ１１１で特定したナビ識別ＩＤに対応するナビゲーション装置２又はユーザＩＤに対応するＰＣ５へ当該配信データをセンタ側通信装置１６を介して送信後、当該処理を終了する。
【００６１】
これにより、ナビ識別ＩＤに対応するナビゲーション装置２又はユーザＩＤに対応するＰＣ５は、登録自宅位置又は目的地を中心とする所定領域の更新用の配信地図データに電子署名が付された配信データをネットワーク４を介して取得することができる。また、ＰＣ５は、この取得した配信データを記録部５Ａを介して記録媒体としてのＣＤ−ＲＯＭ６にコンピュータ読み取り可能に記録することが可能となり、ユーザは、この配信データが記録されたＣＤ−ＲＯＭ６をナビゲーション装置２の読取部２８に装着することによって、この配信データをナビゲーション装置２へ供給することが可能となる。
【００６２】
例えば、図６に示すように、ＣＰＵ１１は、ＲＡＭ１２から更新用の配信地図データ５１と電子署名５３とを読み出し、この配信地図データ５１に電子署名５３を付して、ナビゲーション装置２又はＰＣ５に配信する配信データ５５を作成してＲＡＭ１２に記憶する。そして、ＣＰＵ１１は、ＲＡＭ１２から当該配信データ５５を読み出し、上記Ｓ１１１で特定したナビ識別ＩＤに対応するナビゲーション装置２又はユーザＩＤに対応するＰＣ５へ当該配信データをセンタ側通信装置１６を介して送信する。
これにより、ナビ識別ＩＤに対応するナビゲーション装置２又はユーザＩＤに対応するＰＣ５は、登録自宅位置又は目的地を中心とする所定領域の更新用の配信地図データ５１に電子署名５３が付された配信データ５５をネットワーク４を介して取得することができる。そして、ＰＣ５は、この取得した配信データ５５を記録部５Ａを介して記録媒体としてのＣＤ−ＲＯＭ６にコンピュータ読み取り可能に記録することが可能となり、ユーザは、この配信データ５５が記録されたＣＤ−ＲＯＭ６をナビゲーション装置２の読取部２８に装着することによって、この配信データ５５をナビゲーション装置２へ供給することが可能となる。
【００６３】
次に、地図情報配信システム１において、ナビゲーション装置２のＣＰＵ４１が、ネットワーク４又はＣＤーＲＯＭ６を介して、情報配信センタ３から配信された更新用の配信地図データ（以下、「更新用地図情報」という。）に電子署名が付された配信データを取得した場合に実行する地図情報更新処理について図７乃至図１３に基づいて説明する。
図７はナビゲーション装置２のＣＰＵ４１が、ネットワーク４又はＣＤーＲＯＭ６を介して、情報配信センタ３から配信された更新用地図情報に電子署名が付された配信データを取得した場合に実行する地図情報更新処理を示すフローチャートである。尚、図７にフローチャートで示されるプログラムは、ナビゲーション装置２のＲＯＭ４３に記憶されており、ＣＰＵ４１により実行される。
【００６４】
図７に示すように、Ｓ２１１において、ＣＰＵ４１は、公開鍵記憶部３９に格納される各公開鍵ＰＫ１〜ＰＫ５から有効な公開鍵のうち、先ず、使用優先順位が１番目の公開鍵を読み出し、ＲＡＭ４２に記憶する。
例えば、図３に示すように、各公開鍵ＰＫ１〜ＰＫ５が全部「有効」な場合には、公開鍵記憶部３９から、先ず、使用優先順位が１番目の公開鍵ＰＫ１を読み出し、ＲＡＭ４２に記憶する。
【００６５】
そして、Ｓ２１２において、ＣＰＵ４１は、ネットワーク４又はＣＤーＲＯＭ６を介して、情報配信センタ３から配信された配信データから電子署名を取り出し、ＲＡＭ４２に記憶する。その後、ＣＰＵ４１は、ＲＡＭ４２から使用優先順位が１番目の公開鍵と電子署名とを読み出し、この公開鍵で電子署名を復号して、復号データをＲＡＭ４２に記憶する。
また、Ｓ２１３において、ＣＰＵ４１は、情報配信センタ３から配信された配信データから更新用地図情報を取り出し、この更新用地図情報からハッシュ値を算出しＲＡＭ４２に記憶する。
【００６６】
続いて、Ｓ２１４において、ＣＰＵ４１は、ＲＡＭ４２から電子署名の復号データと、更新用地図情報のハッシュ値とを読み出し、この復号データとハッシュ値が一致するか否かを判定する判定処理を実行する。そして、この復号データとハッシュ値が一致する場合、即ち、電子署名が検証を通過した場合には（Ｓ２１４：ＹＥＳ）、ＣＰＵ４１は、Ｓ２１５の処理に移行する。
Ｓ２１５において、ＣＰＵ４１は、電子署名は使用優先順位が１番目の公開鍵に対応する秘密鍵を使用して作成されたものであると判断し、即ち、情報配信センタ３から配信された配信データは正当な情報であると判断し、この配信データの更新用地図情報に更新許可フラグを付して、再度ＲＡＭ４２に記憶後、Ｓ２１７の処理に移行する。
【００６７】
一方、電子署名の復号データと更新用地図情報のハッシュ値とが一致しない場合には（Ｓ２１４：ＮＯ）、ＣＰＵ４１は、当該電子署名は当該公開鍵による検証を通過しなかったと判断し、即ち、電子署名は使用優先順位が１番目の公開鍵に対応する秘密鍵を使用して作成されたものでないと判断して、Ｓ２１６の処理に移行する。
Ｓ２１６において、ＣＰＵ４１は、使用した公開鍵に対応する秘密鍵は第三者によって解読されていると判断し、この使用した公開鍵に「失効」の仮フラグ（以下、「失効仮フラグ」という。）を付してＲＡＭ４２に記憶後、Ｓ２１７の処理に移行する。
Ｓ２１７において、ＣＰＵ４１は、ＲＡＭ４２から使用した公開鍵を読み出し、この公開鍵に失効仮フラグが付されている場合には、再度、Ｓ２１１以降のループを実行する。即ち、公開鍵記憶部３９に格納される各公開鍵ＰＫ１〜ＰＫ５から有効な公開鍵のうち、この失効仮フラグが付された公開鍵の次の使用優先順位の公開鍵を公開鍵記憶部３９から読み出し、ＲＡＭ４２に記憶後、Ｓ２１１以降のループを再度、実行する。
【００６８】
一方、Ｓ２１７において、ＣＰＵ４１は、ＲＡＭ４２から使用した公開鍵を読み出し、この公開鍵に失効仮フラグが付されていない場合には、ループを終了してＳ２１８の処理に移行する。
Ｓ２１８において、ＣＰＵ４１は、ＲＡＭ４２から更新用地図情報を読み出し、この更新用地図情報による地図更新処理が許可状態か否か、即ち、この更新用地図情報に更新許可フラグが付されているか否かを判定する判定処理を実行する。
そして、この更新用地図情報に更新許可フラグが付されている場合には（Ｓ２１８：ＹＥＳ）、ＣＰＵ４１は、Ｓ２１９の処理に移行する。
Ｓ２１９において、ＣＰＵ４１は、ＲＡＭ４２に失効仮フラグが付された公開鍵が記憶されている場合には、この失効仮フラグが付された公開鍵を読み出し、この公開鍵を失効させて、再度、公開鍵記憶部３９に格納する。また、ＣＰＵ４１は、各公開鍵ＰＫ１〜ＰＫ５のうち「有効」な公開鍵の使用優先順位を順次繰り上げて、再度、公開鍵記憶部３９に格納する。その後、ＣＰＵ４１は、Ｓ２２０の処理に移行する。
【００６９】
ここで、このＳ２１９の処理の一例を図８乃至図１０に基づいて説明する。
図８は「有効」な公開鍵ＰＫ１を使用した電子署名の復号データと更新用地図情報のハッシュ値とが一致した場合に、公開鍵記憶部３９に格納される各公開鍵ＰＫ１〜ＰＫ５の状態を示す図である。図９は「有効」な公開鍵ＰＫ１を使用した電子署名の復号データと更新用地図情報のハッシュ値とが一致せず、「有効」な公開鍵ＰＫ２を使用した電子署名の復号データと更新用地図情報のハッシュ値とが一致した場合に、公開鍵記憶部３９に格納される各公開鍵ＰＫ１〜ＰＫ５の状態を示す図である。図１０は公開鍵ＰＫ１が「失効」し、「有効」な公開鍵ＰＫ２を使用した電子署名の復号データと更新用地図情報のハッシュ値とが一致した場合に、公開鍵記憶部３９に格納される各公開鍵ＰＫ１〜ＰＫ５の状態を示す図である。
【００７０】
先ず、図８に示すように、ＣＰＵ４１は、情報配信センタ３から配信された配信データから取り出した電子署名と、使用優先順位が１番目の「有効」な公開鍵ＰＫ１を使用して、この電子署名の復号データを生成する。そして、この電子署名の復号データと配信データから取り出した更新用地図情報から算出したハッシュ値とが一致した場合、即ち、電子署名が検証を通過した場合には、ＣＰＵ４１は、電子署名は使用優先順位が１番目の公開鍵ＰＫ１に対応する秘密鍵ＳＫ１を使用して作成されたものであると判断し、即ち、情報配信センタ３から配信された配信データは正当な情報であると判断し、この配信データの更新用地図情報に更新許可フラグを付して、再度ＲＡＭ４２に記憶する。また、ＣＰＵ４１は、使用優先順位が１番目の公開鍵ＰＫ１は「有効」な公開鍵であると判断し、各公開鍵ＰＫ１〜ＰＫ５の鍵の状態を「有効」とし、それぞれに１番から５番の使用優先順位を付与した状態で公開鍵記憶部３９に格納する。
【００７１】
また、図９に示すように、ＣＰＵ４１は、情報配信センタ３から配信された配信データから取り出した電子署名と、使用優先順位が１番目の「有効」な公開鍵ＰＫ１を使用して、この電子署名の復号データを生成する。そして、この電子署名の復号データと配信データから取り出した更新用地図情報から算出したハッシュ値とが一致しない場合、即ち、電子署名が検証を通過しない場合には、ＣＰＵ４１は、使用優先順位が１番目の公開鍵ＰＫ１に失効仮フラグを付してＲＡＭ４２に記憶する。続いて、ＣＰＵ４１は、この電子署名と使用優先順位が２番目の「有効」な公開鍵ＰＫ２を使用して、この電子署名の復号データを生成する。そして、この電子署名の復号データと配信データから取り出した更新用地図情報から算出したハッシュ値とが一致した場合、即ち、電子署名が検証を通過した場合には、ＣＰＵ４１は、使用優先順位が２番目の公開鍵ＰＫ２に対応する秘密鍵ＳＫ２を使用して作成されたものであると判断し、即ち、情報配信センタ３から配信された配信データは正当な情報であると判断し、この配信データの更新用地図情報に更新許可フラグを付して、再度ＲＡＭ４２に記憶する。また、ＣＰＵ４１は、ＲＡＭ４２から失効仮フラグが付された公開鍵ＰＫ１を読み出し、この公開鍵ＰＫ１を失効させて、再度、公開鍵記憶部３９に格納する。また、ＣＰＵ４１は、「有効」な各公開鍵ＰＫ２〜ＰＫ５の使用優先順位を順次繰り上げて、再度、公開鍵記憶部３９に格納する。従って、図９に示すように、公開鍵ＰＫ２の使用優先順位が１番に設定され、各公開鍵ＰＫ３〜ＰＫ５の使用優先順位が２番〜４番に設定される。
【００７２】
また、図１０に示すように、公開鍵ＰＫ１が「失効」している場合には、ＣＰＵ４１は、情報配信センタ３から配信された配信データから取り出した電子署名と、使用優先順位が１番目の「有効」な公開鍵ＰＫ２を使用して、この電子署名の復号データを生成する。そして、この電子署名の復号データと配信データから取り出した更新用地図情報から算出したハッシュ値とが一致した場合、即ち、電子署名が検証を通過した場合には、ＣＰＵ４１は、使用優先順位が１番目の公開鍵ＰＫ２に対応する秘密鍵ＳＫ２を使用して作成されたものであると判断し、即ち、情報配信センタ３から配信された配信データは正当な情報であると判断し、この配信データの更新用地図情報に更新許可フラグを付して、再度ＲＡＭ４２に記憶する。また、ＣＰＵ４１は、使用優先順位が１番目の公開鍵ＰＫ２は「有効」な公開鍵であると判断し、各公開鍵ＰＫ２〜ＰＫ５の鍵の状態を「有効」とし、それぞれに１番から４番の使用優先順位を付与した状態で公開鍵記憶部３９に格納する。
【００７３】
そして、図７に示すように、Ｓ２２０において、ＣＰＵ４１は、情報配信センタ３から配信された配信データから取り出した更新用地図情報、即ち、差分データをＲＡＭ４２から読み出し、ナビ地図情報３８の配信対象エリア（例えば、自宅位置を中心とする約８０ｋｍ四方の領域である。）の地図情報を最新バージョンの地図情報に更新後、当該処理を終了する。
【００７４】
他方、上記Ｓ２１８で更新用地図情報による地図更新処理が許可状態でない、即ち、この更新用地図情報に更新許可フラグが付されていない場合には（Ｓ２１８：ＮＯ）、ＣＰＵ４１は、情報配信センタ３から配信された配信データが不当な情報であると判断し、Ｓ２２１の処理に移行する。
Ｓ２２１において、ＣＰＵ４１は、ＲＡＭ４２から失効仮フラグが付された各公開鍵を読み出し、この各公開鍵に付された失効仮フラグを全てはずして、当該公開鍵を「有効」な公開鍵として公開鍵記憶部３９に格納する。
続いて、Ｓ２２２において、ＣＰＵ４１は、情報配信センタ３から配信された配信データは不当な情報であるため、ナビ地図情報３８の配信対象エリア（例えば、自宅位置を中心とする約８０ｋｍ四方の領域である。）の地図情報を最新バージョンの地図情報に更新できない旨を報知後、当該処理を終了する。例えば、ＣＰＵ４１は、液晶ディスプレイ２５に「地図更新に失敗しました。」と表示するとともに、スピーカ２６を介して「地図データの更新ができません。」と音声案内を行う。
【００７５】
ここで、上記Ｓ２１１〜Ｓ２１７の処理において、公開鍵記憶部３９に格納される「有効」な公開鍵の全てに失効仮フラグが付されて、電子署名が検証を通過しない一例を図１１乃至図１３に基づいて説明する。
【００７６】
先ず、取得した配信データから取り出した電子署名が失効した秘密鍵ＳＫ１を使用して作成されたものである場合に、電子署名が検証を通過しない一例について図１１に基づいて説明する。図１１は取得した配信データから取り出した電子署名が失効した秘密鍵ＳＫ１を使用して作成されたものである場合に、電子署名が検証を通過しない一例を示す図である。
【００７７】
図１１に示すように、取得した配信データから取り出した電子署名が失効した秘密鍵ＳＫ１を使用して作成されたものである場合、即ち、公開鍵ＰＫ１が「失効」している場合には、ＣＰＵ４１は、情報配信センタ３から配信された配信データから取り出した電子署名と、使用優先順位が１番目の「有効」な公開鍵ＰＫ２を使用して、この電子署名の復号データを生成する。そして、この電子署名の復号データと配信データから取り出した更新用地図情報から算出したハッシュ値とが一致せず、即ち、電子署名は検証を通過しないため、ＣＰＵ４１は、使用優先順位が１番目の公開鍵ＰＫ２に失効仮フラグを付してＲＡＭ４２に記憶する。同様に、ＣＰＵ４１は、「有効」な各公開鍵ＰＫ３〜ＰＫ５を順番に使用して、この電子署名の復号データを生成する。そして、この電子署名の各復号データと更新用地図情報から算出したハッシュ値とがいずれも一致せず、即ち、電子署名は検証を通過しないため、ＣＰＵ４１は、各公開鍵ＰＫ３〜ＰＫ５に失効仮フラグを付してＲＡＭ４２に記憶する。
【００７８】
そして、上記Ｓ２１８において、ＣＰＵ４１は、情報配信センタ３から配信された配信データが不当な情報であると判断した後、Ｓ２２１に移行して、各公開鍵ＰＫ２〜ＰＫ５に付された失効仮フラグを全てはずして、当該各公開鍵ＰＫ２〜ＰＫ５を「有効」な公開鍵として公開鍵記憶部３９に再度、格納する。
【００７９】
次に、取得した配信データから取り出した更新用地図情報のデータが通信異常で破壊又は改ざんされたものである場合に、電子署名が検証を通過しない一例について図１２に基づいて説明する。図１２は取得した配信データから取り出した更新用地図情報のデータが通信異常で破壊又は改ざんされたものである場合に、電子署名が検証を通過しない一例を示す図である。
【００８０】
図１２に示すように、各公開鍵ＰＫ１〜ＰＫ５が全て有効で、取得した配信データから取り出した更新用地図情報のデータが通信異常で破壊又は改ざんされたものである場合には、ＣＰＵ４１は、情報配信センタ３から配信された配信データから取り出した電子署名（秘密鍵ＳＫ１を使用して作成された電子署名である。）と、使用優先順位が１番目の「有効」な公開鍵ＰＫ１を使用して、この電子署名の復号データを生成する。そして、この電子署名の復号データと、配信データから取り出した破壊又は改ざんされた更新用地図情報から算出したハッシュ値とが一致せず、即ち、電子署名は検証を通過しないため、ＣＰＵ４１は、使用優先順位が１番目の公開鍵ＰＫ１に失効仮フラグを付してＲＡＭ４２に記憶する。同様に、ＣＰＵ４１は、「有効」な各公開鍵ＰＫ２〜ＰＫ５を順番に使用して、この電子署名の復号データを生成する。そして、この電子署名の各復号データと破壊又は改ざんされた更新用地図情報から算出したハッシュ値とがいずれも一致せず、即ち、電子署名は検証を通過しないため、ＣＰＵ４１は、各公開鍵ＰＫ２〜ＰＫ５に失効仮フラグを付してＲＡＭ４２に記憶する。
【００８１】
そして、上記Ｓ２１８において、ＣＰＵ４１は、情報配信センタ３から配信された配信データが不当な情報であると判断した後、Ｓ２２１に移行して、各公開鍵ＰＫ１〜ＰＫ５に付された失効仮フラグを全てはずして、当該各公開鍵ＰＫ１〜ＰＫ５を「有効」な公開鍵として公開鍵記憶部３９に再度、格納する。
【００８２】
次に、取得した配信データから取り出した電子署名が各秘密鍵ＳＫ１〜ＳＫ５以外の秘密鍵を使用して作成されたものである場合に、この電子署名が検証を通過しない一例について図１３に基づいて説明する。図１３は取得した配信データから取り出した電子署名が各秘密鍵ＳＫ１〜ＳＫ５以外の秘密鍵を使用して作成されたものである場合に、この電子署名が検証を通過しない一例を示す図である。
【００８３】
図１３に示すように、各公開鍵ＰＫ１〜ＰＫ５が全て有効で、取得した配信データから取り出した電子署名が各秘密鍵ＳＫ１〜ＳＫ５以外の秘密鍵を使用して作成されたものである場合には、ＣＰＵ４１は、情報配信センタ３から配信された配信データから取り出した電子署名と、使用優先順位が１番目の「有効」な公開鍵ＰＫ１を使用して、この電子署名の復号データを生成する。そして、この電子署名の復号データと、配信データから取り出した更新用地図情報から算出したハッシュ値とが一致せず、即ち、電子署名は検証を通過しないため、ＣＰＵ４１は、使用優先順位が１番目の公開鍵ＰＫ１に失効仮フラグを付してＲＡＭ４２に記憶する。同様に、ＣＰＵ４１は、「有効」な各公開鍵ＰＫ２〜ＰＫ５を順番に使用して、この電子署名の復号データを生成する。そして、この電子署名の各復号データと更新用地図情報から算出したハッシュ値とがいずれも一致せず、即ち、電子署名は検証を通過しないため、ＣＰＵ４１は、各公開鍵ＰＫ２〜ＰＫ５に失効仮フラグを付してＲＡＭ４２に記憶する。
【００８４】
そして、上記Ｓ２１８において、ＣＰＵ４１は、情報配信センタ３から配信された配信データが不当な情報であると判断した後、Ｓ２２１に移行して、各公開鍵ＰＫ１〜ＰＫ５に付された失効仮フラグを全てはずして、当該各公開鍵ＰＫ１〜ＰＫ５を「有効」な公開鍵として公開鍵記憶部３９に再度、格納する。
【００８５】
以上詳細に説明した通り、本実施例に係る地図情報配信システム１では、情報配信センタ３のＣＰＵ１１は、５組の対となる公開鍵ＰＫ１〜ＰＫ５と秘密鍵ＳＫ１〜ＳＫ５を生成して、この各公開鍵ＰＫ１〜ＰＫ５と各秘密鍵ＳＫ１〜ＳＫ５のそれぞれに１番から５番の使用優先順位を付与する。そして、情報配信センタ３のＣＰＵ１１は、この使用優先順位が付された各秘密鍵ＳＫ１〜ＳＫ５を秘密鍵記憶部１９Ａに格納する。また、情報配信センタ３のＣＰＵ１１は、この使用優先順位が付された各公開鍵ＰＫ１〜ＰＫ５をナビゲーション装置２へ公開する。そして、情報配信センタ３のＣＰＵ１１は、更新用地図情報からハッシュ値を算出し、このハッシュ値と秘密鍵記憶部１９Ａに格納する使用優先順位が１番目の秘密鍵とを使用して電子署名を作成し、この電子署名を更新用地図情報に付した配信データを作成して、ネットワーク４を介してナビゲーション装置２又はＰＣ５へ配信する（Ｓ１１１〜Ｓ１１６）。
また、ナビゲーション装置２のＣＰＵ４１は、情報配信センタ３によって公開された使用優先順位が付された各公開鍵ＰＫ１〜ＰＫ５を公開鍵記憶部３９に格納する。そして、ナビゲーション装置２のＣＰＵ４１は、情報配信センタ３から配信された配信データから電子署名を抽出し、各公開鍵ＰＫ１〜ＰＫ５のうち「有効」な公開鍵を使用優先順位の順番に使用して、この電子署名の復号データを作成し、更新用地図情報から算出したハッシュ値と一致するか否かによって、この電子署名を順次検証する。そして、ナビゲーション装置２のＣＰＵ４１は、電子署名が検証を通過した場合には、この配信データを情報配信センタ３から配信された正当な情報であるとして判断する（Ｓ２１１〜Ｓ２１７）。
【００８６】
これにより、情報配信センタ３のＣＰＵ１１は、使用優先順位が付された各秘密鍵ＳＫ１〜ＳＫ５のうち使用優先順位が１番目の「有効」な秘密鍵を使用して電子署名を作成し、この電子署名を更新用地図情報に付して配信データを作成して配信するため、配信する更新用地図情報の情報セキュリティを確保することが可能になる。また、予め５個の秘密鍵ＳＫ１〜ＳＫ５を秘密鍵記憶部１９Ａに格納しているため、使用優先順位が１番目の秘密鍵が第三者に解読された場合には、残りの秘密鍵に迅速に切り替えることが可能となる。
また、ナビゲーション装置２のＣＰＵ１１は、公開鍵記憶部３９に格納される各公開鍵ＰＫ１〜ＰＫ５のうち使用優先順位が１番目の公開鍵によって、情報配信センタ３から配信された配信データから抽出した電子署名を検証して、この電子署名が検証を通過しなくても、信頼できる第三者機関による認証局から新たな公開鍵の公開を受けること無く、次の使用優先順位の公開鍵によって該電子署名を検証することが可能となり、電子署名の検証の迅速化及びコストの削減化を図ることが可能となる。また、ナビゲーション装置２のＣＰＵ４１は、情報配信センタ３によって公開された各公開鍵ＰＫ１〜ＰＫ５を使用して、当該電子署名が検証を通過した場合には、この配信データを情報配信センタ３から配信された正当な情報であるとして判断するため、ナビゲーション装置２への更新用地図情報の配信に関する情報セキュリティを確保することが可能となる。
【００８７】
また、情報配信センタ３のＣＰＵ１１は、秘密鍵記憶部１９Ａに格納する使用優先順位が１番目の秘密鍵が第三者によって解読された場合には、この使用優先順位が１番目の秘密鍵を失効させると共に、残りの秘密鍵の使用優先順位を順次繰り上げて、秘密鍵記憶部１９Ａに再度、格納する（Ｓ１１〜Ｓ１３）。
これにより、使用優先順位が１番目の秘密鍵が第三者によって解読された場合には、この解読された使用優先順位が１番目の秘密鍵が失効されるため、第三者によって解読された秘密鍵の使用を迅速に中止することができ、ナビゲーション装置２へ配信する更新用地図情報の情報セキュリティを確保することが可能となる。また、使用優先順位が１番目の秘密鍵が失効された場合には、残りの秘密鍵の使用優先順位を順次繰り上げて、秘密鍵記憶部１９Ａに再度、格納するため、迅速に使用優先順位が１番目の秘密鍵を切り替えて、更新用地図情報から算出されるハッシュ値から電子署名を作成することが可能となる。
【００８８】
また、ナビゲーション装置２のＣＰＵ４１は、各公開鍵ＰＫ１〜ＰＫ５のうち「有効」な公開鍵を使用優先順位の順番に使用して電子署名を順次検証し、この電子署名が検証を通過するまでに当該検証を通過しなかった公開鍵がある場合には、当該検証を通過しなかった公開鍵に失効仮フラグを付してＲＡＭ４２に記憶する。そして、ＣＰＵ４１は、配信データから抽出した電子署名が検証を通過した場合には、この失効仮フラグが付された公開鍵を失効させると共に、残りの公開鍵の使用優先順位を順次繰り上げて、再度公開鍵記憶部３９に格納する。（Ｓ２１４：ＮＯ〜Ｓ２１９）。
これにより、情報配信センタ３のＣＰＵ１１が、秘密鍵記憶部１９Ａに格納する使用優先順位が１番目の秘密鍵が第三者によって解読された場合に、この解読された秘密鍵を失効させて、残りの秘密鍵の使用優先順位を順次繰り上げて、秘密鍵記憶部１９Ａに再度、格納後、この使用優先順位が１番目の秘密鍵に切り替えて電子署名を行っても、ナビゲーション装置２のＣＰＵ４１は、情報配信センタ３から解読された秘密鍵に対応する公開鍵の通知を受けることなく、この解読された秘密鍵に対応する公開鍵を確実に失効させることが可能となる。また、ナビゲーション装置２のＣＰＵ４１は、解読された秘密鍵に対応する公開鍵を失効させた場合には、信頼できる第三者機関による認証局から新たな公開鍵の公開を受けることなく、各公開鍵ＰＫ１〜ＰＫ５のうち残りの「有効」な公開鍵の使用優先順位を順次繰り上げて、「有効」な公開鍵を使用優先順位の順番に使用して、配信データから抽出した電子署名の検証をスムーズに行うことが可能となる。
【００８９】
また、ナビゲーション装置２のＣＰＵ４１は、各公開鍵ＰＫ１〜ＰＫ５のうち「有効」な公開鍵を使用優先順位の順番に使用して、配信データから抽出した電子署名を順次検証し、電子署名が検証を通過しない場合には、使用した各公開鍵に順次失効仮フラグを付してＲＡＭ４２に記憶する。そして、この電子署名が「有効」ないずれの公開鍵を使用しても検証を通過しない場合には、各公開鍵に付された失効仮フラグを全てはずして、当該公開鍵を「有効」な公開鍵として公開鍵記憶部３９に格納する。また、ＣＰＵ４１は、取得した当該配信データを不当な情報であると判断する（Ｓ２１４：ＮＯ〜Ｓ２１６〜Ｓ２２１）。
これにより、悪意のある第三者が、情報配信センタ３が所有する秘密鍵と異なる秘密鍵で更新用地図情報に電子署名を付した場合には、全ての有効な公開鍵による検証が通過しないため各公開鍵に失効仮フラグが付されるが、この失効仮フラグを全て取り消すことによって、全ての「有効」な公開鍵の有効性を維持することができると共に、当該配信データを不当な情報であると判断することによって、配信される更新用地図情報の情報セキュリティを確保することができる。
【００９０】
更に、情報配信センタ３のＣＰＵ１１は、ナビゲーション装置２又はＰＣ５へ配信する更新用地図情報からハッシュ値を作成し、このハッシュ値と秘密鍵記憶部１９Ａに格納する使用優先順位が１番目の秘密鍵とを使用して電子署名を作成する。また、ナビゲーション装置２のＣＰＵ４１は、取得した配信データから抽出した電子署名に対して各公開鍵ＰＫ１〜ＰＫ５のうち有効な公開鍵を使用優先順位の順番に使用して、電子署名を復号した復号データを作成する。そして、ナビゲーション装置２のＣＰＵ４１は、取得した配信データから抽出した更新用地図情報からハッシュ値を作成し、このハッシュ値と復号データとが一致した場合には、電子署名の検証を通過させ、該ハッシュ値と復号データとが一致しない場合には、電子署名の検証を通過させない。
これにより、情報配信センタ３のＣＰＵ１１は、配信する更新用地図情報から算出したハッシュ値と、秘密鍵記憶部１９Ａに格納される使用優先順位が１番目の「有効」な秘密鍵とを使用して電子署名を作成するため、電子署名の作成の迅速化を図ることが可能となる。また、ナビゲーション装置２のＣＰＵ４１は、悪意のある第三者が、情報配信センタ３が所有する各秘密鍵ＳＫ１〜ＳＫ５と異なる秘密鍵で更新用地図情報に電子署名を付した場合だけでなく、電子署名を変更することなく、更新用地図情報を改ざんした場合にも、更新用地図情報から算出したハッシュ値と復号データとが一致しない場合には、電子署名の検証を通過させないことによって、当該更新用地図情報の改ざんを検出して、更新用地図情報の情報セキュリティを確保することが可能となる。
【００９１】
尚、本発明は前記実施例に限定されるものではなく、本発明の要旨を逸脱しない範囲内で種々の改良、変形が可能であることは勿論である。
【００９２】
例えば、ナビゲーション装置２に通信装置２７が設けられていない場合には、当該ナビゲーション装置２のユーザは、ＰＣ５を介して更新用地図情報の配信要求と共に、情報配信センタ３に予め登録している当該ユーザを識別するユーザＩＤを情報配信センタ３へネットワーク４を通じて送信するようにしてもよい。これにより、ＰＣ５は、情報配信センタ３から当該ユーザの登録自宅位置又は目的地を中心とする所定領域の更新用地図情報に電子署名が付された配信データをネットワーク４を介して取得することができる。また、ＰＣ５は、この取得した配信データを記録部５Ａを介して記録媒体としてのＣＤ−ＲＯＭ６にコンピュータ読み取り可能に記録し、ナビゲーション装置２の読取部２８に装着することによって、通信装置２７を有しないナビゲーション装置２へ更新用地図情報を供給することが可能となる。
【図面の簡単な説明】
【００９３】
【図１】本実施例に係る地図情報配信システムを示したブロック図である。
【図２】地図情報配信システムのナビゲーション装置を示したブロック図である。
【図３】地図情報配信システムの地図情報配信センタにおける公開鍵と秘密鍵との生成を説明する説明図である。
【図４】地図情報配信センタのＣＰＵが、地図情報配信センタの管理者から現在使用している秘密鍵の「失効」を指示された場合に実行する秘密鍵更新処理を示すフローチャートである。
【図５】地図情報配信センタのＣＰＵが使用優先順位が１番の秘密鍵ＳＫ１を失効させた一例を示す図である。
【図６】地図情報配信センタのＣＰＵが、ナビゲーション装置又はＰＣから更新用地図情報の配信を要求された場合に実行する更新用地図情報配信処理を示すフローチャートである。
【図７】ナビゲーション装置のＣＰＵが、ネットワーク又はＣＤーＲＯＭを介して、情報配信センタから配信された更新用地図情報に電子署名が付された配信データを取得した場合に実行する地図情報更新処理を示すフローチャートである。
【図８】「有効」な公開鍵ＰＫ１を使用した電子署名の復号データと更新用地図情報のハッシュ値とが一致した場合に、公開鍵記憶部に格納される各公開鍵ＰＫ１〜ＰＫ５の状態を示す図である。
【図９】「有効」な公開鍵ＰＫ１を使用した電子署名の復号データと更新用地図情報のハッシュ値とが一致せず、「有効」な公開鍵ＰＫ２を使用した電子署名の復号データと更新用地図情報のハッシュ値とが一致した場合に、公開鍵記憶部に格納される各公開鍵ＰＫ１〜ＰＫ５の状態を示す図である。
【図１０】公開鍵ＰＫ１が「失効」し、「有効」な公開鍵ＰＫ２を使用した電子署名の復号データと更新用地図情報のハッシュ値とが一致した場合に、公開鍵記憶部に格納される各公開鍵ＰＫ１〜ＰＫ５の状態を示す図である。
【図１１】取得した配信データから取り出した電子署名が失効した秘密鍵ＳＫ１を使用して作成されたものである場合に、公開鍵記憶部に格納される各公開鍵ＰＫ１〜ＰＫ５の状態を示す図である。
【図１２】取得した配信データから取り出した更新用地図情報のデータが通信異常で破壊又は改ざんされたものである場合に、公開鍵記憶部に格納される各公開鍵ＰＫ１〜ＰＫ５の状態を示す図である。
【図１３】取得した配信データから取り出した電子署名が各秘密鍵ＳＫ１〜ＳＫ５以外の秘密鍵を使用して作成されたものである場合に、公開鍵記憶部に格納される各公開鍵ＰＫ１〜ＰＫ５の状態を示す図である。
【符号の説明】
【００９４】
１ 地図情報配信システム
２ ナビゲーション装置
３ 地図情報配信センタ
４ ネットワーク
５ ＰＣ
５Ａ 記録部
６ ＣＤ−ＲＯＭ
１０ サーバ
１１、４１ ＣＰＵ
１２、４２ ＲＡＭ
１３、４３ ＲＯＭ
１４ センタ側地図情報ＤＢ
１５ 更新履歴情報ＤＢ
１６ センタ側通信装置
１７ 更新用地図情報
１８ 差分データ管理ＤＢ
１９ 鍵情報ＤＢ
１９Ａ 秘密鍵記憶部
２２ データ記録部
２３ ナビゲーション制御部
２７ 通信装置
２８ 読取部
３７ ナビ側地図情報ＤＢ
３８ ナビ地図情報
３９ 公開鍵記憶部
５１ 配信地図データ（更新用地図情報）
５２ ハッシュ値
５３ 電子署名
５５ 配信データ
【技術分野】
【０００１】
本発明は、更新用地図情報が配信されるナビゲーション装置、及び更新用地図情報をナビゲーション装置へ配信する情報配信システムに関するものである。
【背景技術】
【０００２】
近年、地図データを更新するための更新情報が、情報配信センタからナビゲーション装置に対して、ＤＶＤ−ＲＯＭやＨＤＤなどの記録媒体、又は携帯電話網等のネットワーク等を通じて配信される情報配信システムが種々提案されている。
例えば、情報配信センタから配信された更新用の地図データが書込まれた記録媒体に、ナビゲーション装置に付与されたユニークな個体ＩＤを属性データとして付加されることにより、ナビゲーション装置においてその記録媒体を使用する際に、判断手段により、自らに付与されている個体ＩＤと記録媒体に記録されている個体ＩＤとが一致するかどうかが判断され、個体ＩＤが一致していない場合には、禁止手段により、その記録媒体に書込まれた更新用の地図データが使用できなくなるように構成した情報配信システムがある（例えば、特許文献１参照。）。
【特許文献１】特開２００５−３３１５７９号公報（段落（００１１）〜（００２８）、図１〜図４）
【発明の開示】
【発明が解決しようとする課題】
【０００３】
しかし、前記した特許文献１に記載された情報配信システムでは、ナビゲーション装置に付与された個体ＩＤが第三者に解読された場合には、記録媒体に記録された更新用の地図データ等が改ざんされる虞があり、更新用の地図データの情報セキュリティを確保することが難しいという問題がある。
一方、情報配信センタから更新用の地図データ等を配信する際に、この更新用の地図データ等に秘密鍵により電子署名を付し、一方、ナビゲーション装置は公開鍵により更新用の地図データ等に付された電子署名を検証して、配信された地図データの正当性を確認するように構成した情報配信システムが考えられる。
しかしながら、信頼できる第三者機関による認証局から各ナビゲーション装置へ公開鍵を公開してもらう情報配信システムでは、秘密鍵が第三者に解読された場合には、各ナビゲーション装置は、認証局から新たな公開鍵の公開を受ける必要があり、処理が煩雑になると共に、コストアップになるという問題がある。また、情報配信センタは、各ナビゲーション装置が認証局から新たな公開鍵の公開を受けるまで、新たな秘密鍵で更新用の地図データ等に電子署名をして配信することができないという問題がある。
【０００４】
そこで、本発明は、上述した問題点を解決するためになされたものであり、ナビゲーション装置へ配信する更新用地図情報の情報セキュリティを確保することが可能な情報配信システム及びその情報配信システムを構成するナビゲーション装置を提供することを目的とする。
【課題を解決するための手段】
【０００５】
前記目的を達成するため請求項１に係るナビゲーション装置は、情報配信センタ（３）から配信される地図情報を検証するための公開鍵を使用優先順位を付して複数記憶する公開鍵記憶手段（３９）と、前記情報配信センタから配信された前記地図情報に付された電子署名を抽出する電子署名抽出手段（２３）と、前記複数の公開鍵を前記使用優先順位の順番に使用して前記電子署名を順次検証するように制御する検証制御手段（２３）と、前記電子署名が検証を通過した場合には、前記地図情報を前記情報配信センタから配信された正当な情報であるとして判断する判断手段（２３）と、を備えたことを特徴とする。
【０００６】
また、請求項２に記載のナビゲーション装置は、請求項１に記載のナビゲーション装置（２）において、前記検証制御手段（２３）は、前記電子署名が検証を通過するまでに当該検証を通過しなかった公開鍵がある場合には、当該検証を通過しなかった公開鍵を失効に設定するように制御することを特徴とする。
【０００７】
また、請求項３に記載のナビゲーション装置は、請求項２に記載のナビゲーション装置（２）において、前記検証制御手段（２３）は、前記検証を通過しなかった公開鍵を仮失効に設定する仮失効設定手段（２３）を有し、該検証制御手段は、該電子署名が検証を通過した場合には、前記仮失効設定手段によって仮失効に設定された公開鍵を失効させると共に、残りの公開鍵の使用優先順位を順次繰り上げて、前記公開鍵記憶手段に再度記憶するように制御することを特徴とする。
【０００８】
また、請求項４に記載のナビゲーション装置は、請求項３に記載のナビゲーション装置（２）において、前記検証制御手段（２３）は、前記電子署名が検証を通過しない場合には、前記仮失効設定手段によって設定された仮失効を取り消すように制御し、前記判断手段（２３）は、前記地図情報を不当な情報であると判断することを特徴とする。
【０００９】
更に、請求項５に記載のナビゲーション装置は、請求項１乃至請求項４のいずれかに記載のナビゲーション装置（２）において、前記公開鍵記憶手段に記憶される公開鍵を使用して前記電子署名を復号して復号データを作成する復号データ作成手段（２３）と、前記地図情報からハッシュ値を作成するナビ側ハッシュ値作成手段（２３）と、を有し、該検証制御手段（２３）は、前記復号データと前記ハッシュ値とが一致した場合には検証を通過させ、前記復号データと前記ハッシュ値とが一致しない場合には検証を通過させないように制御することを特徴とする。
【００１０】
また、請求項６に記載の情報配信システムは、地図情報を配信する情報配信センタ（３）と、ナビゲーション装置（２）と、を備えた情報配信システム（１）において、前記情報配信センタ（３）は、複数対の公開鍵と秘密鍵を生成して前記複数対の公開鍵と秘密鍵に対して使用優先順位を付する鍵生成手段（１０）と、前記使用優先順位が付された複数の秘密鍵を記憶する秘密鍵記憶手段（１９）と、前記秘密鍵記憶手段に記憶される前記使用優先順位が１番目の秘密鍵を使用して電子署名を作成する電子署名作成手段（１０）と、前記地図情報に前記電子署名を付して配信する配信手段（１０、１６）と、を有し、該情報配信センタは、前記使用優先順位が付された複数の公開鍵をナビゲーション装置へ公開し、前記ナビゲーション装置（２）は、前記情報配信センタによって公開された前記使用優先順位が付された複数の公開鍵を記憶する公開鍵記憶手段（２２）と、前記情報配信センタから配信された前記地図情報に付された電子署名を抽出する電子署名抽出手段（２３）と、前記複数の公開鍵を前記使用優先順位の順番に使用して前記電子署名を順次検証するように制御する検証制御手段（２３）と、前記電子署名が検証を通過した場合には、前記地図情報を前記情報配信センタから配信された正当な情報であるとして判断する判断手段（２３）と、を有することを特徴とする。
【００１１】
また、請求項７に記載の情報配信システムは、請求項６に記載の情報配信システム（１）において、前記検証制御手段（２３）は、前記電子署名が検証を通過するまでに当該検証を通過しなかった公開鍵がある場合には、当該検証を通過しなかった公開鍵を失効に設定するように制御することを特徴とする。
【００１２】
また、請求項８に記載の情報配信システムは、請求項７に記載の情報配信システム（１）において、前記検証制御手段（２３）は、前記検証を通過しなかった公開鍵を仮失効に設定する仮失効設定手段（２３）を有し、該検証制御手段は、該電子署名が検証を通過した場合には、前記仮失効設定手段によって仮失効に設定された公開鍵を失効させると共に、残りの公開鍵の使用優先順位を順次繰り上げて、前記公開鍵記憶手段に再度記憶するように制御することを特徴とする。
【００１３】
また、請求項９に記載の情報配信システムは、請求項８に記載の情報配信システム（１）において、前記検証制御手段は、前記電子署名が検証を通過しない場合には、前記仮失効設定手段によって設定された仮失効を取り消すように制御し、前記判断手段は、前記地図情報を不当な情報であると判断することを特徴とする。
【００１４】
更に、請求項１０に記載の情報配信システムは、請求項６乃至請求項９のいずれかに記載の情報配信システム（１）において、前記電子署名作成手段（１０）は、前記地図情報からハッシュ値を作成するセンタ側ハッシュ値作成手段（１０）を有し、該電子署名作成手段は、前記ハッシュ値と前記秘密鍵記憶手段に記憶される前記使用優先順位が１番目の秘密鍵とを使用して電子署名を作成し、前記検証制御手段（２３）は、前記公開鍵記憶手段（３９）に記憶される公開鍵を使用して前記電子署名を復号して復号データを作成する復号データ作成手段（２３）と、前記地図情報からハッシュ値を作成するナビ側ハッシュ値作成手段（２３）と、を有し、該検証制御手段は、前記復号データと前記ハッシュ値とが一致した場合には検証を通過させ、前記復号データと前記ハッシュ値とが一致しない場合には検証を通過させないように制御することを特徴とする。
【発明の効果】
【００１５】
前記構成を有する請求項１に係るナビゲーション装置は、情報配信センタから配信される地図情報を検証するための複数の公開鍵を使用優先順位を付して記憶している。そして、ナビゲーション装置は、情報配信センタから配信された地図情報に付された電子署名を抽出し、複数の公開鍵を使用優先順位の順番に使用して、この電子署名を順次検証する。そして、ナビゲーション装置は、電子署名が検証を通過した場合には、この地図情報を情報配信センタから配信された正当な情報であるとして判断する。
これにより、ナビゲーション装置は、使用優先順位が１番目の公開鍵によって、情報配信センタから配信された地図情報に付された電子署名を検証して、この電子署名が検証を通過しなくても、信頼できる第三者機関による認証局から新たな公開鍵の公開を受けること無く、次の使用優先順位の公開鍵によって該電子署名を検証することが可能となり、電子署名の検証の迅速化及びコストの削減化を図ることが可能となる。また、ナビゲーション装置は、使用の優先順位を付して記憶する複数の公開鍵を使用して、当該電子署名が検証を通過した場合には、この地図情報を情報配信センタから配信された正当な情報であるとして判断するため、ナビゲーション装置への地図情報の配信に関する情報セキュリティを確保することが可能となる。
【００１６】
また、請求項２に係るナビゲーション装置は、複数の公開鍵を使用優先順位の順番に使用して電子署名を順次検証し、この電子署名が検証を通過するまでに当該検証を通過しなかった公開鍵がある場合には、当該検証を通過しなかった公開鍵を失効に設定する。
これにより、情報配信センタが、秘密鍵が第三者によって解読された場合に、この解読された秘密鍵を失効させて、新たな秘密鍵に切り替えて電子署名を行っても、ナビゲーション装置は、情報配信センタから解読された秘密鍵に対応する公開鍵の通知を受けることなく、この解読された秘密鍵に対応する公開鍵を失効させることが可能となる。
【００１７】
また、請求項３に係るナビゲーション装置は、複数の公開鍵を使用優先順位の順番に使用して、地図情報に付された電子署名を順次検証し、この電子署名が検証を通過するまでに当該検証を通過しなかった公開鍵がある場合には、当該検証を通過しなかった公開鍵を仮失効に設定する。そして、ナビゲーション装置は、この電子署名が検証を通過した場合には、仮失効に設定された公開鍵を失効させると共に、残りの公開鍵の使用優先順位を順次繰り上げて、再度記憶する。
これにより、情報配信センタは、使用している秘密鍵が第三者によって解読された場合に、この解読された秘密鍵を失効させて、次の使用優先順位の秘密鍵に切り替えて電子署名を行っても、ナビゲーション装置は、情報配信センタから解読された秘密鍵に対応する公開鍵の通知を受けることなく、この解読された秘密鍵に対応する公開鍵を確実に失効させることが可能となる。また、ナビゲーション装置は、解読された秘密鍵に対応する公開鍵を失効させた場合には、信頼できる第三者機関による認証局から新たな公開鍵の公開を受けることなく、残りの公開鍵の使用優先順位を順次繰り上げて、有効な公開鍵を使用優先順位の順番に使用して、地図情報に付された電子署名の検証をスムーズに行うことが可能となる。
【００１８】
また、請求項４に係るナビゲーション装置は、複数の公開鍵を使用優先順位の順番に使用して、地図情報に付された電子署名を順次検証し、この電子署名が検証を通過しない場合には、各公開鍵に設定された仮失効を取り消すと共に、当該地図情報を不当な情報であると判断する。
これにより、悪意のある第三者が、情報配信センタが所有する秘密鍵と異なる秘密鍵で地図情報に電子署名を付した場合には、全ての有効な公開鍵による検証が通過しないが、仮失効を取り消すことによって、全ての公開鍵の有効性を維持することができると共に、当該地図情報を不当な情報であると判断することによって、情報セキュリティを確保することができる。
【００１９】
更に、請求項５に係るナビゲーション装置は、電子署名に対して複数の有効な公開鍵を使用優先順位の順番に使用して、当該電子署名を復号して復号データを作成する。そして、ナビゲーション装置は、地図情報からハッシュ値を作成し、このハッシュ値と復号データとが一致した場合には、この電子署名の検証を通過させ、該ハッシュ値と復号データとが一致しない場合には、この電子署名の検証を通過させない。
これにより、悪意のある第三者が、情報配信センタが所有する秘密鍵と異なる秘密鍵で地図情報に電子署名を付した場合だけでなく、電子署名を変更することなく、地図情報を改ざんした場合にも、地図情報から作成したハッシュ値と復号データとが一致しない場合には、電子署名の検証を通過させないことによって、当該地図情報の改ざんを検出して、地図情報の情報セキュリティを確保することが可能となる。
【００２０】
また、請求項６に係る情報配信システムでは、情報配信センタは、複数対の公開鍵と秘密鍵を生成して、この複数対の公開鍵と秘密鍵に対して使用優先順位を付す。そして、情報配信センタは、この使用優先順位が付された複数の秘密鍵を記憶する。また、情報配信センタは、この使用優先順位が付された複数の公開鍵をナビゲーション装置へ公開する。そして、情報配信センタは、使用優先順位が１番目の秘密鍵を使用して電子署名を作成して、この電子署名を地図情報に付して配信する。
また、ナビゲーション装置は、情報配信センタによって公開された使用優先順位が付された複数の公開鍵を記憶している。そして、ナビゲーション装置は、情報配信センタから配信された地図情報に付された電子署名を抽出し、複数の公開鍵を使用優先順位の順番に使用して、この電子署名を順次検証する。そして、ナビゲーション装置は、電子署名が検証を通過した場合には、この地図情報を情報配信センタから配信された正当な情報であるとして判断する。
【００２１】
これにより、情報配信センタは、記憶する使用優先順位が付された複数の秘密鍵のうち使用優先順位が１番目の秘密鍵を使用して電子署名を作成し、この電子署名を地図情報に付して配信するため、配信する地図情報の情報セキュリティを確保することが可能になる。また、予め複数の秘密鍵を記憶しているため、使用優先順位が１番目の秘密鍵が第三者に解読された場合には、残りの秘密鍵に迅速に切り替えることが可能となる。
また、ナビゲーション装置は、使用優先順位が１番目の公開鍵によって、情報配信センタから配信された地図情報に付された電子署名を検証して、この電子署名が検証を通過しなくても、信頼できる第三者機関による認証局から新たな公開鍵の公開を受けること無く、次の使用優先順位の公開鍵によって該電子署名を検証することが可能となり、電子署名の検証の迅速化及びコストの削減化を図ることが可能となる。また、ナビゲーション装置は、情報配信センタによって公開された複数の公開鍵を使用して、当該電子署名が検証を通過した場合には、この地図情報を情報配信センタから配信された正当な情報であるとして判断するため、ナビゲーション装置への地図情報の配信に関する情報セキュリティを確保することが可能となる。
【００２２】
また、請求項７に係る情報配信システムでは、ナビゲーション装置は、複数の公開鍵を使用優先順位の順番に使用して電子署名を順次検証し、この電子署名が検証を通過するまでに当該検証を通過しなかった公開鍵がある場合には、当該検証を通過しなかった公開鍵を失効に設定する。
これにより、情報配信センタが、秘密鍵が第三者によって解読された場合に、この解読された秘密鍵を失効させて、新たな秘密鍵に切り替えて電子署名を行っても、ナビゲーション装置は、情報配信センタから解読された秘密鍵に対応する公開鍵の通知を受けることなく、この解読された秘密鍵に対応する公開鍵を失効させることが可能となる。
【００２３】
また、請求項８に係る情報配信システムでは、ナビゲーション装置は、複数の公開鍵を使用優先順位の順番に使用して、地図情報に付された電子署名を順次検証し、この電子署名が検証を通過するまでに当該検証を通過しなかった公開鍵がある場合には、当該検証を通過しなかった公開鍵を仮失効に設定する。そして、ナビゲーション装置は、この電子署名が検証を通過した場合には、仮失効に設定された公開鍵を失効させると共に、残りの公開鍵の使用優先順位を順次繰り上げて、再度記憶する。
これにより、情報配信センタが、秘密鍵が第三者によって解読された場合に、この解読された秘密鍵を失効させて、新たな秘密鍵に切り替えて電子署名を行っても、ナビゲーション装置は、情報配信センタから解読された秘密鍵に対応する公開鍵の通知を受けることなく、この解読された秘密鍵に対応する公開鍵を失効させることが可能となる。また、ナビゲーション装置は、解読された秘密鍵に対応する公開鍵を失効させた場合には、信頼できる第三者機関による認証局から新たな公開鍵の公開を受けることなく、残りの公開鍵の使用優先順位を順次繰り上げて、有効な公開鍵を使用優先順位の順番に使用して、地図情報に付された電子署名の検証をスムーズに行うことが可能となる。
【００２４】
また、請求項９に係る情報配信システムでは、ナビゲーション装置は、複数の公開鍵を使用優先順位の順番に使用して、地図情報に付された電子署名を順次検証し、この電子署名が検証を通過しない場合には、各公開鍵に設定された仮失効を取り消すと共に、当該地図情報を不当な情報であると判断する。
これにより、悪意のある第三者が、情報配信センタが所有する秘密鍵と異なる秘密鍵で地図情報に電子署名を付した場合には、全ての有効な公開鍵による検証が通過しないが、仮失効を取り消すことによって、全ての公開鍵の有効性を維持することができると共に、当該地図情報を不当な情報であると判断することによって、情報セキュリティを確保することができる。
【００２５】
更に、請求項１０に係る情報配信システムでは、情報配信センタは、配信する地図情報からハッシュ値を作成し、このハッシュ値と使用優先順位が１番目の秘密鍵とを使用して電子署名を作成する。また、ナビゲーション装置は、電子署名に対して複数の公開鍵のうち有効な公開鍵を使用優先順位の順番に使用して、電子署名を復号した復号データを作成する。そして、ナビゲーション装置は、地図情報からハッシュ値を作成し、このハッシュ値と復号データとが一致した場合には、この電子署名の検証を通過させ、該ハッシュ値と復号データとが一致しない場合には、この電子署名の検証を通過させない。
これにより、情報配信センタは、配信する地図情報から算出したハッシュ値と使用優先順位が１番目の秘密鍵とを使用して電子署名を作成するため、電子署名の作成の迅速化を図ることが可能となる。また、ナビゲーション装置は、悪意のある第三者が、情報配信センタが所有する秘密鍵と異なる秘密鍵で地図情報に電子署名を付した場合だけでなく、電子署名を変更することなく、地図情報を改ざんした場合にも、地図情報から算出したハッシュ値と復号データとが一致しない場合には、電子署名の検証を通過させないことによって、当該地図情報の改ざんを検出して、地図情報の情報セキュリティを確保することが可能となる。
【発明を実施するための最良の形態】
【００２６】
以下、本発明に係るナビゲーション装置及び情報配信システムを地図情報配信システムについて具体化した一実施例に基づき図面を参照しつつ詳細に説明する。
【実施例】
【００２７】
先ず、本実施例に係る地図情報配信システム１の概略構成について図１及び図２を用いて説明する。図１は本実施例に係る地図情報配信システム１を示したブロック図である。図２は地図情報配信システム１のナビゲーション装置２を示したブロック図である。
【００２８】
図１に示すように本実施例に係る地図情報配信システム１は、ナビゲーション装置２と、ナビゲーション装置２に対して地図情報を更新する為の更新情報を配信する情報配信センタとしての地図情報配信センタ３と、ネットワーク４と、このネットワーク４に接続可能なナビゲーション装置２のユーザや販売店等が所有するＰＣ（Personal Computer）５とから基本的に構成されている。そして、ナビゲーション装置２と地図情報配信センタ３、ＰＣ５と地図情報配信センタ３は、それぞれネットワーク４を介して各種の情報の送受信が可能となるように構成されている。尚、ナビゲーション装置２の構成に関しては後に図２を用いて詳細に説明する。
【００２９】
また、図１に示すように、地図情報配信センタ３は、サーバ１０と、サーバ１０に接続された地図情報記録部としてのセンタ側地図情報データベース（センタ側地図情報ＤＢ）１４と、更新履歴情報データベース（更新履歴情報ＤＢ）１５と、センタ側通信装置１６と、差分データ管理データベース（差分データ管理ＤＢ）１８と、鍵情報データベース（鍵情報ＤＢ）１９とを備えている。また、サーバ１０は、サーバ１０の全体の制御を行う演算装置及び制御装置としてのＣＰＵ１１、並びにＣＰＵ１１が各種の演算処理を行うに当たってワーキングメモリとして使用されるＲＡＭ１２、後述のようにナビゲーション装置２やＰＣ５からの要求に基づいてナビゲーション装置２に記憶された地図情報の内、配信対象エリアの地図情報を新たなバージョンの地図情報に更新する為の更新情報をセンタ側地図情報ＤＢ１４から抽出すると共に、この更新情報に電子署名を付与して、ナビゲーション装置２やＰＣ５に対して配信する地図情報配信処理（図６参照）や、電子署名の為の秘密鍵を更新する秘密鍵更新処理（図４参照）等を行うための各種の制御プログラムが記録されたＲＯＭ１３等の内部記憶装置を備えている。尚、ＣＰＵ１１に代えてＭＰＵ等を使用することができる。
【００３０】
また、センタ側地図情報ＤＢ１４には、地図情報配信センタ３で作成され、ナビゲーション装置２に記憶された地図情報を更新する際の基本となる地図情報である更新用地図情報１７がバージョン毎に区分されて記憶されている。更に、現在のナビゲーション装置２に記憶される地図情報の一部分（例えば、自車の現在位置又は予め登録されている自宅地点を中心とする８０ｋｍ四方の領域である。）又は全部を更新用地図情報１７に記憶される最新のバージョンに更新する為の更新情報（以下、「差分データ」という。）についてもバージョン毎に区分されて記憶されている。
ここで、バージョンとは地図情報が作成された時期を特定する為の作成時期情報であり、バージョンを参照することによって地図情報が作成された時期を特定することが可能となっている。
【００３１】
また、センタ側地図情報ＤＢ１４に記憶された更新用地図情報１７には、ナビゲーション装置２で経路案内及び地図表示を行うのに必要な各種情報が記録されており、例えば、地図を表示するための地図表示データ、各交差点に関する交差点データ、ノード点に関するノードデータ、施設の一種である道路（リンク）に関するリンクデータ、経路を探索するための探索データ、施設の一種である店舗等のＰＯＩ（Ｐｏｉｎｔ ｏｆ Ｉｎｔｅｒｅｓｔ）に関する店舗データ、地点を検索するための検索データ等から構成されている。
【００３２】
ここで、特に地図表示データとしては、１０ｋｍ×１０ｋｍで区画された２次メッシュをベースに４分割（長さ１／２）、１６分割（１／４）、６４分割（１／８）されたユニットで構成されており、各ユニットのデータ量が略同レベルになるように、各地のユニットが設定されている。最も小さい６４分割サイズのユニットは、約１．２５ｋｍ四方の大きさである。
【００３３】
ここで、高速自動車国道、都市高速道路、自動車専用道路、一般有料道路、１桁又は２桁の国道から構成される高規格道路区分と、３桁以上の国道、主要地方道、県道、市町村道から構成される一般道路区分と、細街路から構成される細街路区分の３つの配信道路区分に区分されて、それぞれバージョン毎に更新用地図情報１７に格納されて管理されている。
また、差分データ管理ＤＢ１８には、更新用地図情報１７の各バージョン毎に、約２．５ｋｍ四方のエリア毎に区画ＩＤを設定し、更に各エリアを道路規格で区分した３つの各配信道路区分毎の各差分データを表す差分データファイル名が格納されて管理されている。
【００３４】
また、更新履歴情報ＤＢ１５には、各ナビゲーション装置２に記憶されている地図情報について現在までに更新を行った更新履歴に関する更新履歴情報が、ナビゲーション装置２を特定するナビ識別ＩＤとともに記憶され、また、各ＰＣ５のユーザに対して配信した更新用地図情報の更新履歴に関する更新履歴情報が、ユーザを識別するユーザＩＤとともに記憶される。
そして、地図情報配信センタ３は、ナビゲーション装置２やＰＣ５からの要求があったタイミングで、センタ側地図情報ＤＢ１４に格納された更新用地図情報１７の内、前回ナビゲーション装置２やＰＣ５に配信した更新用地図情報から最もバージョンの新しい更新用地図情報１７に更新する為の差分データを抽出して、ナビゲーション装置２やＰＣ５へ、後述のように電子署名を付して配信する。
【００３５】
また、ナビゲーション装置２のユーザや販売店等が所有するＰＣ５は、受信したこの更新用の地図情報を記憶媒体としてのＣＤ−ＲＯＭ６にナビゲーション装置２が読取部２８（図２参照）で読み取り可能に記録できる記録部５Ａを備えている。尚、ナビゲーション装置２の読取部２８で読み取り可能であれば、ＣＤ−ＲＯＭ６に替えて、フレキシブルディスク等の磁気ディスク、メモリーカード、磁気テープ、磁気ドラム、ＭＤ、ＤＶＤ、ＭＯ、ＩＣカード、光カード等を使用してもよい。
【００３６】
また、鍵情報ＤＢ１９には、後述のように５組の公開鍵と秘密鍵とを生成した鍵生成履歴情報が格納されるとともに、この生成した５つの秘密鍵に使用優先順位を付して記憶する秘密鍵記憶部１９Ａが設けられている（図３参照）。
【００３７】
尚、地図情報配信センタ３は、個人、企業、団体、地方自治体、政府関係機関等のいずれが運営していてもよく、ＶＩＣＳ（登録商標）センタが運営していてもよい。
また、ネットワーク４としては、例えばＬＡＮ（Local Area Network）、ＷＡＮ（Wide Area Network）、イントラネット、携帯電話回線網、電話回線網、公衆通信回線網、専用通信回線網、インターネット等の通信回線網等の通信系を使用することができる。そして、放送衛星によるＣＳ放送、ＢＳ放送、地上波ディジタルテレビ放送、ＦＭ多重放送等を利用する通信系を使用することもできる。更に、高度道路交通システム（ＩＴＳ）において利用されるノンストップ自動料金支払いシステム（ＥＴＣ）、狭域通信システム（ＤＳＲＣ）等の通信系を使用することもできる。
【００３８】
次に、本実施例に係る地図情報配信システム１を構成するナビゲーション装置２の概略構成について図２に基づいて説明する。
図２に示すように、本実施例に係るナビゲーション装置２は、自車の現在位置を検出する現在地検出処理部２１と、予め登録された自宅地点の座標位置（例えば、緯度と経度である。）や各種のデータが記録されたデータ記録部２２と、入力された情報に基づいて、各種の演算処理を行うナビゲーション制御部２３と、操作者からの操作を受け付ける操作部２４と、操作者に対して地図等の情報を表示する液晶ディスプレイ２５と、経路案内に関する音声ガイダンスを出力するスピーカ２６と、道路交通情報センタ（ＶＩＣＳ（登録商標））や地図情報配信センタ３等との間で携帯電話網等を介して通信を行う通信装置２７と、記憶媒体としてのＣＤ−ＲＯＭ６に記録された更新用の地図情報等を読み取る読取部２８と、から構成されている。また、ナビゲーション制御部２３には自車の走行速度を検出する車速センサ２９が接続される。尚、読取部２８は、ＣＤ−ＲＯＭ６だけでなくＤＶＤに記録された地図情報等を読み取ることができるように構成してもよい。
【００３９】
以下に、ナビゲーション装置２を構成する各構成要素について説明すると、現在地検出処理部２１は、ＧＰＳ３１、方位センサ３２、距離センサ３３、高度計（図示せず）等からなり、現在の自車の位置、方位、目標物（例えば、交差点）までの距離等を検出することが可能となっている。
【００４０】
具体的には、ＧＰＳ３１は、人工衛星によって発生させられた電波を受信することにより、地球上における自車の現在地及び現在時刻を検出する。また、方位センサ３２は、地磁気センサやジャイロセンサ、或いは、ステアリングホイール（図示せず）の回転部に取り付けられた光学的な回転センサ、回転抵抗センサ、車輪に取り付けられた角度センサ等により構成され、自車方位を検出する。また、距離センサ３３は、例えば、自車の車輪（図示せず）の回転速度を測定し、測定した回転速度に基づいて距離を検出するセンサ、加速度を測定し、測定した加速度を２回積分して距離を検出するセンサ等から構成され、自車の移動距離を検出する。
【００４１】
また、データ記録部２２は、外部記憶装置及び記憶媒体としてのハードディスク（図示せず）と、ハードディスクに記憶されたナビ側地図情報ＤＢ３７、地図情報配信センタ３から公開された公開鍵を記憶する公開鍵記憶部３９及び所定のプログラム等を読み出すとともにハードディスクに所定のデータを書き込む為のドライバである記録ヘッド（図示せず）とを備えている。尚、本実施例においては、データ記録部２２の外部記憶装置及び記憶媒体としてハードディスクが使用されるが、ハードディスクのほかに、フレキシブルディスク等の磁気ディスクを外部記憶装置として使用することができる。また、メモリーカード、磁気テープ、磁気ドラム、ＣＤ、ＭＤ、ＤＶＤ、光ディスク、ＭＯ、ＩＣカード、光カード等を外部記憶装置として使用することもできる。
【００４２】
ここで、ナビ側地図情報ＤＢ３７にはナビゲーション装置２の走行案内や経路探索に使用されるとともに地図情報配信センタ３による更新対象となるナビ地図情報３８が格納されている。ここで、ナビ地図情報３８には、更新用地図情報１７と同様に経路案内及び地図表示に必要な各種情報から構成されており、例えば、各新設道路を特定するための新設道路情報、地図を表示するための地図表示データ、各交差点に関する交差点データ、ノード点に関するノードデータ、施設の一種である道路（リンク）に関するリンクデータ、経路を探索するための探索データ、施設の一種である店舗等のＰＯＩに関する店舗データ、地点を検索するための検索データ等から構成されている。
そして、ナビ側地図情報ＤＢ３７の内容は、地図情報配信センタ３から通信装置２７を介して配信された差分データやＣＤ−ＲＯＭ６に記録された更新用地図情報等の更新情報をダウンロードすることによって更新される。
【００４３】
また、図２に示すように、ナビゲーション装置２を構成するナビゲーション制御部２３は、ナビゲーション装置２の全体の制御を行う演算装置及び制御装置としてのＣＰＵ４１、並びにＣＰＵ４１が各種の演算処理を行うに当たってワーキングメモリとして使用されるとともに、経路が探索されたときの経路データ等が記憶されるＲＡＭ４２、制御用のプログラムのほか、後述のように公開鍵記憶部３９に記憶する公開鍵を使用して更新用地図データに付された電子署名を検証してナビ地図情報３８を更新する地図情報更新処理プログラム（図７参照）が記憶されたＲＯＭ４３、ＲＯＭ４３から読み出したプログラムを記憶するフラッシュメモリ４４等の内部記憶装置や、時間を計測するタイマ４５等を備えている。尚、前記ＲＡＭ４２、ＲＯＭ４３、フラッシュメモリ４４等としては半導体メモリ、磁気コア等が使用される。そして、演算装置及び制御装置としては、ＣＰＵ４１に代えてＭＰＵ等を使用することも可能である。
【００４４】
また、本実施例においては、前記ＲＯＭ４３に各種のプログラムが記憶され、前記データ記録部２２に各種のデータが記憶されるようになっているが、プログラム、データ等を同じ外部記憶装置、メモリーカード等からプログラム、データ等を読み出して前記フラッシュメモリ４４に書き込むこともできる。更に、メモリーカード等を交換することによって前記プログラム、データ等を更新することができる。
【００４５】
更に、前記ナビゲーション制御部２３には、操作部２４、液晶ディスプレイ２５、スピーカ２６、通信装置２７、読取部２８の各周辺装置（アクチュエータ）が電気的に接続されている。
この操作部２４は、走行開始時の現在地を修正し、案内開始地点としての出発地及び案内終了地点としての目的地を入力する際や施設に関する情報の検索を行う場合等に操作され、各種のキーや複数の操作スイッチから構成される。尚、操作部２４としては、キーボード、マウス等や、液晶ディスプレイ２５の前面に設けたタッチパネルによって構成することもできる。
また、液晶ディスプレイ２５には、ナビ地図情報３７Ａに基づく地図が表示されて各リンク上の交通情報が表示される経路案内画面の他、操作案内、操作メニュー、キーの案内、現在地から目的地までの誘導経路、誘導経路に沿った案内情報、交通情報等が表示される。
【００４６】
また、スピーカ２６は、ナビゲーション制御部２３からの指示に基づいて、誘導経路に沿った走行を案内する音声ガイダンス等を出力する。ここで、案内される音声ガイダンスとしては、例えば、「２００ｍ先、○○交差点を右方向です。」や、「地図データの更新ができません。」等がある。
そして、通信装置２７は、情報配信センタ３と通信を行う携帯電話網等による通信手段であり、情報配信センタ３との間で最もバージョンの新しい更新地図情報等の送受信を行う。また、通信装置２７は、情報配信センタ３に加えて、道路交通情報センタ（ＶＩＣＳ）等から送信された渋滞情報やサービスエリアの混雑状況等の各情報から成る交通情報を受信する。
【００４７】
次に、地図情報配信システム１の地図情報配信センタ３が生成する公開鍵と秘密鍵とについて図３に基づいて説明する。図３は地図情報配信システム１の地図情報配信センタ３における公開鍵と秘密鍵との生成を説明する説明図である。
図３に示すように、地図情報配信センタ３のＣＰＵ１１は、５組の対となる公開鍵ＰＫ１〜ＰＫ５と秘密鍵ＳＫ１〜ＳＫ５を生成する。従って、秘密鍵ＳＫ１を使用した電子署名は、公開鍵ＰＫ１によって検証を通過する。また、各秘密鍵ＳＫ２〜ＳＫ５を使用した電子署名は、それぞれ対応する各公開鍵ＰＫ２〜ＰＫ５によって検証を通過する。
また、ＣＰＵ１１は、各公開鍵ＰＫ１〜ＰＫ５のそれぞれに１番から５番の使用優先順位を付与する。また、ＣＰＵ１は、この各公開鍵ＰＫ１〜ＰＫ５に対応する各秘密鍵ＳＫ１〜ＳＫ５のそれぞれにも１番から５番の使用優先順位を付与する。また、ＣＰＵ１１は、各公開鍵ＰＫ１〜ＰＫ５及び各秘密鍵ＳＫ１〜ＳＫ５のそれぞれの鍵の状態を「有効」として設定する。
【００４８】
そして、ＣＰＵ１１は、各秘密鍵ＳＫ１〜ＳＫ５を、それぞれの使用優先順位「１」〜「５」と鍵の状態「有効」とを付した状態で秘密鍵記憶部１９Ａに格納する。
また、ＣＰＵ１１は、各公開鍵ＰＫ１〜ＰＫ５を、それぞれの使用優先順位「１」〜「５」と鍵の状態「有効」とを付した状態でナビゲーション装置２に対して公開する。具体的には、ＣＰＵ１１は、生成した各公開鍵ＰＫ１〜ＰＫ５を、それぞれの使用優先順位「１」〜「５」と鍵の状態「有効」とを付した状態で、地図情報配信センタ３の管理者を介してナビゲーション装置２の製造業者に開示する。そして、ナビゲーション装置２の製造業者は、この開示された各公開鍵ＰＫ１〜ＰＫ５を、それぞれの使用優先順位「１」〜「５」と鍵の状態「有効」とを付した状態で、公開鍵記憶部３９に格納する。これにより、ナビゲーション装置２のＣＰＵ４１は、後述のように各公開鍵ＰＫ１〜ＰＫ５を使用することが可能になるとともに、各公開鍵ＰＫ１〜ＰＫ５のそれぞれの使用優先順位「１」〜「５」と鍵の状態「有効」とを知ることが可能になる。
【００４９】
次に、前記構成を有する地図情報配信システム１において、地図情報配信センタ３のＣＰＵ１１が、地図情報配信センタ３の管理者から現在使用している秘密鍵の「失効」を指示された場合に実行する秘密鍵更新処理について図４及び図５に基づいて説明する。
図４は地図情報配信センタ３のＣＰＵ１１が、地図情報配信センタ３の管理者から現在使用している秘密鍵の「失効」を指示された場合に実行する秘密鍵更新処理を示すフローチャートである。図５は地図情報配信センタ３のＣＰＵ１１が使用優先順位が１番の秘密鍵ＳＫ１を失効させた一例を示す図である。尚、図４にフローチャートで示されるプログラムは、地図情報配信センタ３のＲＯＭ１３に記憶されており、ＣＰＵ１１により所定時間毎（例えば、約１０ｍ秒〜１００ｍ秒毎である。）に実行される。
【００５０】
図４に示すように、Ｓ１１において、ＣＰＵ１１は、現在使用している秘密鍵の「失効」を指示する秘密鍵変更指示が入力されたか否かを判定する判定処理を実行する。
尚、各秘密鍵ＳＫ１〜ＳＫ５のうち、現在使用している使用優先順位が１番の秘密鍵が、第三者に解読された場合には、地図情報配信センタ３の管理者は、入力手段（不図示）を介して、この解読された秘密鍵を失効させるように指示する秘密鍵変更指示をＣＰＵ１１に対して入力する。
そして、現在使用している秘密鍵の「失効」を指示する秘密鍵変更指示が入力されていない場合には（Ｓ１１：ＮＯ）、ＣＰＵ１１は、当該処理を終了する。
【００５１】
一方、現在使用している秘密鍵の「失効」を指示する秘密鍵変更指示が入力された場合には（Ｓ１１：ＹＥＳ）、ＣＰＵ１１は、Ｓ１２の処理に移行する。Ｓ１２において、ＣＰＵ１１は、秘密鍵記憶部１９Ａに格納される各秘密鍵ＳＫ１〜ＳＫ５から現在、有効な秘密鍵のうち使用優先順位が１番の秘密鍵を失効させて、再度、秘密鍵記憶部１９Ａに格納する。
例えば、図５に示すように、各秘密鍵ＳＫ１〜ＳＫ５が全て「有効」な場合に、秘密鍵ＳＫ１の「失効」を指示する秘密鍵変更指示が入力されときは、ＣＰＵ１１は、使用優先順位が１番の秘密鍵ＳＫ１を「失効」させて、再度、秘密鍵記憶部１９Ａに格納する。
【００５２】
そして、Ｓ１３において、ＣＰＵ１１は、秘密鍵記憶部１９Ａに格納される各秘密鍵ＳＫ１〜ＳＫ５を読み出し、各秘密鍵ＳＫ１〜ＳＫ５のうち「有効」な秘密鍵の使用優先順位を順次繰り上げて、再度、秘密鍵記憶部１９Ａに格納後、当該処理を終了する。
例えば、図５に示すように、各秘密鍵ＳＫ１〜ＳＫ５のうち使用優先順位が１番目であった秘密鍵ＳＫ１が「失効」された場合には、当該秘密鍵ＳＫ１の使用優先順位を取り消すとともに、残りの各秘密鍵ＳＫ２〜ＳＫ５の優先順位を順次繰り上げて、秘密鍵ＳＫ２の使用優先順位を１番目に設定し、各秘密鍵ＳＫ３〜ＳＫ５の使用優先順位を２番目〜４番目に設定し、再度、秘密鍵記憶部１９Ａに格納する。これにより、ＣＰＵ１１は、後述のように、次回からの電子署名には、秘密鍵ＳＫ２を使用することとなる（図６参照）。
【００５３】
従って、各秘密鍵ＳＫ１〜ＳＫ５は、それぞれに付された使用優先順位の順番に、順次「失効」されることとなる。そして、各秘密鍵ＳＫ１〜ＳＫ５のうち「有効」な秘密鍵の使用優先順位が順次繰り上げられる。
尚、各秘密鍵ＳＫ１〜ＳＫ５が「失効」される毎に、ＣＰＵ１１は、次に使用することとなる１対の公開鍵と秘密鍵とを生成して、予め鍵情報ＤＢ１９に格納するようにしてもよい。そして、各ナビゲーション装置２に格納されるナビ地図情報３８の全更新時に、新たに生成された公開鍵を公開するようにしてもよい。具体的には、販売店のＰＣ５に全更新用地図情報を配信する際に、新たに公開された公開鍵を配信し、当該ＰＣ５の記録部５Ａを介してＣＤーＲＯＭ６に全更新用地図情報と共に、新たに公開された公開鍵を記録し、ナビゲーション装置２へ供給するようにしてもよい。
【００５４】
次に、地図情報配信システム１において、地図情報配信センタ３のＣＰＵ１１が、ナビゲーション装置２又はＰＣ５から更新用地図情報の配信を要求された場合に実行する更新用地図情報配信処理について図６に基づいて説明する。図６は地図情報配信センタ３のＣＰＵ１１が、ナビゲーション装置２又はＰＣ５から更新用地図情報の配信を要求された場合に実行する更新用地図情報配信処理を示すフローチャートである。尚、図６にフローチャートで示されるプログラムは、地図情報配信センタ３のＲＯＭ１３に記憶されており、ＣＰＵ１１により実行される。
【００５５】
図６に示すように、Ｓ１１１において、ＣＰＵ１１は、ナビゲーション装置２から更新用地図情報の配信要求と共にナビ識別ＩＤを受信した場合、又は、ＰＣ５からナビゲーション装置２のユーザを識別するユーザＩＤを受信した場合には、このナビ識別ＩＤ又はユーザＩＤに対応して予め登録されている登録自宅位置を中心とする所定領域（例えば、自宅位置を中心とする約８０ｋｍ四方の領域である。）を差分データを抽出する配信対象エリアとして設定する。尚、ナビ識別ＩＤ又はユーザＩＤと共に、目的地の座標データを受信した場合には、当該目的地を中心とする所定領域（例えば、目的地の座標データを中心とする約５０ｋｍ四方の領域である。）を差分データを抽出する配信対象エリアとして設定する。
【００５６】
そして、ＣＰＵ１１は、受信したナビ識別ＩＤ又はユーザＩＤで特定される地図情報の更新履歴に関する情報を更新履歴情報ＤＢ１５から読み出して、この配信対象エリアの約２．５ｋｍ×２．５ｋｍ四方の各区画内におけるナビ識別ＩＤで特定されるナビゲーション装置２又はユーザＩＤで特定されるナビゲーション装置２の現在のバージョンを抽出してＲＡＭ１２に記憶する。そして、ＣＰＵ１１は、差分データ管理ＤＢ１８から配信対象エリアの各区画内における最新バージョンの差分データを表す差分データファイル名を読み出し、この配信対象エリアの各区画内における当該ナビゲーション装置２の現在のバージョンと最新バージョンとの差分データファイル名を抽出してＲＡＭ１２に記憶する。続いて、ＣＰＵ１１は、各差分データファイル名に対応する差分データを更新用地図情報１７から読み出して、配信する更新用の配信地図データとしてＲＡＭ１２に記憶する。
【００５７】
そして、Ｓ１１２において、ＣＰＵ１１は、ＲＡＭ１２から更新用の配信地図データを読み出して、この配信地図データからハッシュ値を算出して、ＲＡＭ１２に記憶する。
例えば、図６に示すように、ＣＰＵ１１は、更新用の配信地図データ５１からハッシュ値５２を算出して、ＲＡＭ１２に記憶する。
【００５８】
続いて、Ｓ１１３において、ＣＰＵ１１は、鍵情報ＤＢ１９の秘密鍵記憶部１９Ａに記憶される各秘密鍵ＳＫ１〜ＳＫ５のうち使用優先順位が１番の「有効」な秘密鍵を選択して、ＲＡＭ１２に記憶する。
例えば、図５及び図６に示すように、秘密鍵ＳＫ１〜ＳＫ５のうち秘密鍵ＳＫ１が「失効」している場合には、ＣＰＵ１１は、使用優先順位が１番の「有効」な秘密鍵ＳＫ２を選択して、ＲＡＭ１２に記憶する。
【００５９】
そして、Ｓ１１４において、ＣＰＵ１１は、ＲＡＭ１２から上記Ｓ１１２において算出したハッシュ値と上記Ｓ１１３で選択した使用優先順位が１番の「有効」な秘密鍵とを読み出し、このハッシュ値と秘密鍵とを使用して電子署名を作成する。
例えば、図６に示すように、ＣＰＵ１１は、ハッシュ値５２と秘密鍵ＳＫ２とを使用して電子署名５３を作成してＲＡＭ１２に記憶する。
【００６０】
続いてＳ１１５において、ＣＰＵ１１は、ＲＡＭ１２から更新用の配信地図データと上記Ｓ１１４で作成した電子署名とを読み出し、この更新用の配信地図データに電子署名を付して、ナビゲーション装置２又はＰＣ５に配信する配信データを作成してＲＡＭ１２に記憶する。
そして、Ｓ１１６において、ＣＰＵ１１は、ＲＡＭ１２から配信データを読み出し、上記Ｓ１１１で特定したナビ識別ＩＤに対応するナビゲーション装置２又はユーザＩＤに対応するＰＣ５へ当該配信データをセンタ側通信装置１６を介して送信後、当該処理を終了する。
【００６１】
これにより、ナビ識別ＩＤに対応するナビゲーション装置２又はユーザＩＤに対応するＰＣ５は、登録自宅位置又は目的地を中心とする所定領域の更新用の配信地図データに電子署名が付された配信データをネットワーク４を介して取得することができる。また、ＰＣ５は、この取得した配信データを記録部５Ａを介して記録媒体としてのＣＤ−ＲＯＭ６にコンピュータ読み取り可能に記録することが可能となり、ユーザは、この配信データが記録されたＣＤ−ＲＯＭ６をナビゲーション装置２の読取部２８に装着することによって、この配信データをナビゲーション装置２へ供給することが可能となる。
【００６２】
例えば、図６に示すように、ＣＰＵ１１は、ＲＡＭ１２から更新用の配信地図データ５１と電子署名５３とを読み出し、この配信地図データ５１に電子署名５３を付して、ナビゲーション装置２又はＰＣ５に配信する配信データ５５を作成してＲＡＭ１２に記憶する。そして、ＣＰＵ１１は、ＲＡＭ１２から当該配信データ５５を読み出し、上記Ｓ１１１で特定したナビ識別ＩＤに対応するナビゲーション装置２又はユーザＩＤに対応するＰＣ５へ当該配信データをセンタ側通信装置１６を介して送信する。
これにより、ナビ識別ＩＤに対応するナビゲーション装置２又はユーザＩＤに対応するＰＣ５は、登録自宅位置又は目的地を中心とする所定領域の更新用の配信地図データ５１に電子署名５３が付された配信データ５５をネットワーク４を介して取得することができる。そして、ＰＣ５は、この取得した配信データ５５を記録部５Ａを介して記録媒体としてのＣＤ−ＲＯＭ６にコンピュータ読み取り可能に記録することが可能となり、ユーザは、この配信データ５５が記録されたＣＤ−ＲＯＭ６をナビゲーション装置２の読取部２８に装着することによって、この配信データ５５をナビゲーション装置２へ供給することが可能となる。
【００６３】
次に、地図情報配信システム１において、ナビゲーション装置２のＣＰＵ４１が、ネットワーク４又はＣＤーＲＯＭ６を介して、情報配信センタ３から配信された更新用の配信地図データ（以下、「更新用地図情報」という。）に電子署名が付された配信データを取得した場合に実行する地図情報更新処理について図７乃至図１３に基づいて説明する。
図７はナビゲーション装置２のＣＰＵ４１が、ネットワーク４又はＣＤーＲＯＭ６を介して、情報配信センタ３から配信された更新用地図情報に電子署名が付された配信データを取得した場合に実行する地図情報更新処理を示すフローチャートである。尚、図７にフローチャートで示されるプログラムは、ナビゲーション装置２のＲＯＭ４３に記憶されており、ＣＰＵ４１により実行される。
【００６４】
図７に示すように、Ｓ２１１において、ＣＰＵ４１は、公開鍵記憶部３９に格納される各公開鍵ＰＫ１〜ＰＫ５から有効な公開鍵のうち、先ず、使用優先順位が１番目の公開鍵を読み出し、ＲＡＭ４２に記憶する。
例えば、図３に示すように、各公開鍵ＰＫ１〜ＰＫ５が全部「有効」な場合には、公開鍵記憶部３９から、先ず、使用優先順位が１番目の公開鍵ＰＫ１を読み出し、ＲＡＭ４２に記憶する。
【００６５】
そして、Ｓ２１２において、ＣＰＵ４１は、ネットワーク４又はＣＤーＲＯＭ６を介して、情報配信センタ３から配信された配信データから電子署名を取り出し、ＲＡＭ４２に記憶する。その後、ＣＰＵ４１は、ＲＡＭ４２から使用優先順位が１番目の公開鍵と電子署名とを読み出し、この公開鍵で電子署名を復号して、復号データをＲＡＭ４２に記憶する。
また、Ｓ２１３において、ＣＰＵ４１は、情報配信センタ３から配信された配信データから更新用地図情報を取り出し、この更新用地図情報からハッシュ値を算出しＲＡＭ４２に記憶する。
【００６６】
続いて、Ｓ２１４において、ＣＰＵ４１は、ＲＡＭ４２から電子署名の復号データと、更新用地図情報のハッシュ値とを読み出し、この復号データとハッシュ値が一致するか否かを判定する判定処理を実行する。そして、この復号データとハッシュ値が一致する場合、即ち、電子署名が検証を通過した場合には（Ｓ２１４：ＹＥＳ）、ＣＰＵ４１は、Ｓ２１５の処理に移行する。
Ｓ２１５において、ＣＰＵ４１は、電子署名は使用優先順位が１番目の公開鍵に対応する秘密鍵を使用して作成されたものであると判断し、即ち、情報配信センタ３から配信された配信データは正当な情報であると判断し、この配信データの更新用地図情報に更新許可フラグを付して、再度ＲＡＭ４２に記憶後、Ｓ２１７の処理に移行する。
【００６７】
一方、電子署名の復号データと更新用地図情報のハッシュ値とが一致しない場合には（Ｓ２１４：ＮＯ）、ＣＰＵ４１は、当該電子署名は当該公開鍵による検証を通過しなかったと判断し、即ち、電子署名は使用優先順位が１番目の公開鍵に対応する秘密鍵を使用して作成されたものでないと判断して、Ｓ２１６の処理に移行する。
Ｓ２１６において、ＣＰＵ４１は、使用した公開鍵に対応する秘密鍵は第三者によって解読されていると判断し、この使用した公開鍵に「失効」の仮フラグ（以下、「失効仮フラグ」という。）を付してＲＡＭ４２に記憶後、Ｓ２１７の処理に移行する。
Ｓ２１７において、ＣＰＵ４１は、ＲＡＭ４２から使用した公開鍵を読み出し、この公開鍵に失効仮フラグが付されている場合には、再度、Ｓ２１１以降のループを実行する。即ち、公開鍵記憶部３９に格納される各公開鍵ＰＫ１〜ＰＫ５から有効な公開鍵のうち、この失効仮フラグが付された公開鍵の次の使用優先順位の公開鍵を公開鍵記憶部３９から読み出し、ＲＡＭ４２に記憶後、Ｓ２１１以降のループを再度、実行する。
【００６８】
一方、Ｓ２１７において、ＣＰＵ４１は、ＲＡＭ４２から使用した公開鍵を読み出し、この公開鍵に失効仮フラグが付されていない場合には、ループを終了してＳ２１８の処理に移行する。
Ｓ２１８において、ＣＰＵ４１は、ＲＡＭ４２から更新用地図情報を読み出し、この更新用地図情報による地図更新処理が許可状態か否か、即ち、この更新用地図情報に更新許可フラグが付されているか否かを判定する判定処理を実行する。
そして、この更新用地図情報に更新許可フラグが付されている場合には（Ｓ２１８：ＹＥＳ）、ＣＰＵ４１は、Ｓ２１９の処理に移行する。
Ｓ２１９において、ＣＰＵ４１は、ＲＡＭ４２に失効仮フラグが付された公開鍵が記憶されている場合には、この失効仮フラグが付された公開鍵を読み出し、この公開鍵を失効させて、再度、公開鍵記憶部３９に格納する。また、ＣＰＵ４１は、各公開鍵ＰＫ１〜ＰＫ５のうち「有効」な公開鍵の使用優先順位を順次繰り上げて、再度、公開鍵記憶部３９に格納する。その後、ＣＰＵ４１は、Ｓ２２０の処理に移行する。
【００６９】
ここで、このＳ２１９の処理の一例を図８乃至図１０に基づいて説明する。
図８は「有効」な公開鍵ＰＫ１を使用した電子署名の復号データと更新用地図情報のハッシュ値とが一致した場合に、公開鍵記憶部３９に格納される各公開鍵ＰＫ１〜ＰＫ５の状態を示す図である。図９は「有効」な公開鍵ＰＫ１を使用した電子署名の復号データと更新用地図情報のハッシュ値とが一致せず、「有効」な公開鍵ＰＫ２を使用した電子署名の復号データと更新用地図情報のハッシュ値とが一致した場合に、公開鍵記憶部３９に格納される各公開鍵ＰＫ１〜ＰＫ５の状態を示す図である。図１０は公開鍵ＰＫ１が「失効」し、「有効」な公開鍵ＰＫ２を使用した電子署名の復号データと更新用地図情報のハッシュ値とが一致した場合に、公開鍵記憶部３９に格納される各公開鍵ＰＫ１〜ＰＫ５の状態を示す図である。
【００７０】
先ず、図８に示すように、ＣＰＵ４１は、情報配信センタ３から配信された配信データから取り出した電子署名と、使用優先順位が１番目の「有効」な公開鍵ＰＫ１を使用して、この電子署名の復号データを生成する。そして、この電子署名の復号データと配信データから取り出した更新用地図情報から算出したハッシュ値とが一致した場合、即ち、電子署名が検証を通過した場合には、ＣＰＵ４１は、電子署名は使用優先順位が１番目の公開鍵ＰＫ１に対応する秘密鍵ＳＫ１を使用して作成されたものであると判断し、即ち、情報配信センタ３から配信された配信データは正当な情報であると判断し、この配信データの更新用地図情報に更新許可フラグを付して、再度ＲＡＭ４２に記憶する。また、ＣＰＵ４１は、使用優先順位が１番目の公開鍵ＰＫ１は「有効」な公開鍵であると判断し、各公開鍵ＰＫ１〜ＰＫ５の鍵の状態を「有効」とし、それぞれに１番から５番の使用優先順位を付与した状態で公開鍵記憶部３９に格納する。
【００７１】
また、図９に示すように、ＣＰＵ４１は、情報配信センタ３から配信された配信データから取り出した電子署名と、使用優先順位が１番目の「有効」な公開鍵ＰＫ１を使用して、この電子署名の復号データを生成する。そして、この電子署名の復号データと配信データから取り出した更新用地図情報から算出したハッシュ値とが一致しない場合、即ち、電子署名が検証を通過しない場合には、ＣＰＵ４１は、使用優先順位が１番目の公開鍵ＰＫ１に失効仮フラグを付してＲＡＭ４２に記憶する。続いて、ＣＰＵ４１は、この電子署名と使用優先順位が２番目の「有効」な公開鍵ＰＫ２を使用して、この電子署名の復号データを生成する。そして、この電子署名の復号データと配信データから取り出した更新用地図情報から算出したハッシュ値とが一致した場合、即ち、電子署名が検証を通過した場合には、ＣＰＵ４１は、使用優先順位が２番目の公開鍵ＰＫ２に対応する秘密鍵ＳＫ２を使用して作成されたものであると判断し、即ち、情報配信センタ３から配信された配信データは正当な情報であると判断し、この配信データの更新用地図情報に更新許可フラグを付して、再度ＲＡＭ４２に記憶する。また、ＣＰＵ４１は、ＲＡＭ４２から失効仮フラグが付された公開鍵ＰＫ１を読み出し、この公開鍵ＰＫ１を失効させて、再度、公開鍵記憶部３９に格納する。また、ＣＰＵ４１は、「有効」な各公開鍵ＰＫ２〜ＰＫ５の使用優先順位を順次繰り上げて、再度、公開鍵記憶部３９に格納する。従って、図９に示すように、公開鍵ＰＫ２の使用優先順位が１番に設定され、各公開鍵ＰＫ３〜ＰＫ５の使用優先順位が２番〜４番に設定される。
【００７２】
また、図１０に示すように、公開鍵ＰＫ１が「失効」している場合には、ＣＰＵ４１は、情報配信センタ３から配信された配信データから取り出した電子署名と、使用優先順位が１番目の「有効」な公開鍵ＰＫ２を使用して、この電子署名の復号データを生成する。そして、この電子署名の復号データと配信データから取り出した更新用地図情報から算出したハッシュ値とが一致した場合、即ち、電子署名が検証を通過した場合には、ＣＰＵ４１は、使用優先順位が１番目の公開鍵ＰＫ２に対応する秘密鍵ＳＫ２を使用して作成されたものであると判断し、即ち、情報配信センタ３から配信された配信データは正当な情報であると判断し、この配信データの更新用地図情報に更新許可フラグを付して、再度ＲＡＭ４２に記憶する。また、ＣＰＵ４１は、使用優先順位が１番目の公開鍵ＰＫ２は「有効」な公開鍵であると判断し、各公開鍵ＰＫ２〜ＰＫ５の鍵の状態を「有効」とし、それぞれに１番から４番の使用優先順位を付与した状態で公開鍵記憶部３９に格納する。
【００７３】
そして、図７に示すように、Ｓ２２０において、ＣＰＵ４１は、情報配信センタ３から配信された配信データから取り出した更新用地図情報、即ち、差分データをＲＡＭ４２から読み出し、ナビ地図情報３８の配信対象エリア（例えば、自宅位置を中心とする約８０ｋｍ四方の領域である。）の地図情報を最新バージョンの地図情報に更新後、当該処理を終了する。
【００７４】
他方、上記Ｓ２１８で更新用地図情報による地図更新処理が許可状態でない、即ち、この更新用地図情報に更新許可フラグが付されていない場合には（Ｓ２１８：ＮＯ）、ＣＰＵ４１は、情報配信センタ３から配信された配信データが不当な情報であると判断し、Ｓ２２１の処理に移行する。
Ｓ２２１において、ＣＰＵ４１は、ＲＡＭ４２から失効仮フラグが付された各公開鍵を読み出し、この各公開鍵に付された失効仮フラグを全てはずして、当該公開鍵を「有効」な公開鍵として公開鍵記憶部３９に格納する。
続いて、Ｓ２２２において、ＣＰＵ４１は、情報配信センタ３から配信された配信データは不当な情報であるため、ナビ地図情報３８の配信対象エリア（例えば、自宅位置を中心とする約８０ｋｍ四方の領域である。）の地図情報を最新バージョンの地図情報に更新できない旨を報知後、当該処理を終了する。例えば、ＣＰＵ４１は、液晶ディスプレイ２５に「地図更新に失敗しました。」と表示するとともに、スピーカ２６を介して「地図データの更新ができません。」と音声案内を行う。
【００７５】
ここで、上記Ｓ２１１〜Ｓ２１７の処理において、公開鍵記憶部３９に格納される「有効」な公開鍵の全てに失効仮フラグが付されて、電子署名が検証を通過しない一例を図１１乃至図１３に基づいて説明する。
【００７６】
先ず、取得した配信データから取り出した電子署名が失効した秘密鍵ＳＫ１を使用して作成されたものである場合に、電子署名が検証を通過しない一例について図１１に基づいて説明する。図１１は取得した配信データから取り出した電子署名が失効した秘密鍵ＳＫ１を使用して作成されたものである場合に、電子署名が検証を通過しない一例を示す図である。
【００７７】
図１１に示すように、取得した配信データから取り出した電子署名が失効した秘密鍵ＳＫ１を使用して作成されたものである場合、即ち、公開鍵ＰＫ１が「失効」している場合には、ＣＰＵ４１は、情報配信センタ３から配信された配信データから取り出した電子署名と、使用優先順位が１番目の「有効」な公開鍵ＰＫ２を使用して、この電子署名の復号データを生成する。そして、この電子署名の復号データと配信データから取り出した更新用地図情報から算出したハッシュ値とが一致せず、即ち、電子署名は検証を通過しないため、ＣＰＵ４１は、使用優先順位が１番目の公開鍵ＰＫ２に失効仮フラグを付してＲＡＭ４２に記憶する。同様に、ＣＰＵ４１は、「有効」な各公開鍵ＰＫ３〜ＰＫ５を順番に使用して、この電子署名の復号データを生成する。そして、この電子署名の各復号データと更新用地図情報から算出したハッシュ値とがいずれも一致せず、即ち、電子署名は検証を通過しないため、ＣＰＵ４１は、各公開鍵ＰＫ３〜ＰＫ５に失効仮フラグを付してＲＡＭ４２に記憶する。
【００７８】
そして、上記Ｓ２１８において、ＣＰＵ４１は、情報配信センタ３から配信された配信データが不当な情報であると判断した後、Ｓ２２１に移行して、各公開鍵ＰＫ２〜ＰＫ５に付された失効仮フラグを全てはずして、当該各公開鍵ＰＫ２〜ＰＫ５を「有効」な公開鍵として公開鍵記憶部３９に再度、格納する。
【００７９】
次に、取得した配信データから取り出した更新用地図情報のデータが通信異常で破壊又は改ざんされたものである場合に、電子署名が検証を通過しない一例について図１２に基づいて説明する。図１２は取得した配信データから取り出した更新用地図情報のデータが通信異常で破壊又は改ざんされたものである場合に、電子署名が検証を通過しない一例を示す図である。
【００８０】
図１２に示すように、各公開鍵ＰＫ１〜ＰＫ５が全て有効で、取得した配信データから取り出した更新用地図情報のデータが通信異常で破壊又は改ざんされたものである場合には、ＣＰＵ４１は、情報配信センタ３から配信された配信データから取り出した電子署名（秘密鍵ＳＫ１を使用して作成された電子署名である。）と、使用優先順位が１番目の「有効」な公開鍵ＰＫ１を使用して、この電子署名の復号データを生成する。そして、この電子署名の復号データと、配信データから取り出した破壊又は改ざんされた更新用地図情報から算出したハッシュ値とが一致せず、即ち、電子署名は検証を通過しないため、ＣＰＵ４１は、使用優先順位が１番目の公開鍵ＰＫ１に失効仮フラグを付してＲＡＭ４２に記憶する。同様に、ＣＰＵ４１は、「有効」な各公開鍵ＰＫ２〜ＰＫ５を順番に使用して、この電子署名の復号データを生成する。そして、この電子署名の各復号データと破壊又は改ざんされた更新用地図情報から算出したハッシュ値とがいずれも一致せず、即ち、電子署名は検証を通過しないため、ＣＰＵ４１は、各公開鍵ＰＫ２〜ＰＫ５に失効仮フラグを付してＲＡＭ４２に記憶する。
【００８１】
そして、上記Ｓ２１８において、ＣＰＵ４１は、情報配信センタ３から配信された配信データが不当な情報であると判断した後、Ｓ２２１に移行して、各公開鍵ＰＫ１〜ＰＫ５に付された失効仮フラグを全てはずして、当該各公開鍵ＰＫ１〜ＰＫ５を「有効」な公開鍵として公開鍵記憶部３９に再度、格納する。
【００８２】
次に、取得した配信データから取り出した電子署名が各秘密鍵ＳＫ１〜ＳＫ５以外の秘密鍵を使用して作成されたものである場合に、この電子署名が検証を通過しない一例について図１３に基づいて説明する。図１３は取得した配信データから取り出した電子署名が各秘密鍵ＳＫ１〜ＳＫ５以外の秘密鍵を使用して作成されたものである場合に、この電子署名が検証を通過しない一例を示す図である。
【００８３】
図１３に示すように、各公開鍵ＰＫ１〜ＰＫ５が全て有効で、取得した配信データから取り出した電子署名が各秘密鍵ＳＫ１〜ＳＫ５以外の秘密鍵を使用して作成されたものである場合には、ＣＰＵ４１は、情報配信センタ３から配信された配信データから取り出した電子署名と、使用優先順位が１番目の「有効」な公開鍵ＰＫ１を使用して、この電子署名の復号データを生成する。そして、この電子署名の復号データと、配信データから取り出した更新用地図情報から算出したハッシュ値とが一致せず、即ち、電子署名は検証を通過しないため、ＣＰＵ４１は、使用優先順位が１番目の公開鍵ＰＫ１に失効仮フラグを付してＲＡＭ４２に記憶する。同様に、ＣＰＵ４１は、「有効」な各公開鍵ＰＫ２〜ＰＫ５を順番に使用して、この電子署名の復号データを生成する。そして、この電子署名の各復号データと更新用地図情報から算出したハッシュ値とがいずれも一致せず、即ち、電子署名は検証を通過しないため、ＣＰＵ４１は、各公開鍵ＰＫ２〜ＰＫ５に失効仮フラグを付してＲＡＭ４２に記憶する。
【００８４】
そして、上記Ｓ２１８において、ＣＰＵ４１は、情報配信センタ３から配信された配信データが不当な情報であると判断した後、Ｓ２２１に移行して、各公開鍵ＰＫ１〜ＰＫ５に付された失効仮フラグを全てはずして、当該各公開鍵ＰＫ１〜ＰＫ５を「有効」な公開鍵として公開鍵記憶部３９に再度、格納する。
【００８５】
以上詳細に説明した通り、本実施例に係る地図情報配信システム１では、情報配信センタ３のＣＰＵ１１は、５組の対となる公開鍵ＰＫ１〜ＰＫ５と秘密鍵ＳＫ１〜ＳＫ５を生成して、この各公開鍵ＰＫ１〜ＰＫ５と各秘密鍵ＳＫ１〜ＳＫ５のそれぞれに１番から５番の使用優先順位を付与する。そして、情報配信センタ３のＣＰＵ１１は、この使用優先順位が付された各秘密鍵ＳＫ１〜ＳＫ５を秘密鍵記憶部１９Ａに格納する。また、情報配信センタ３のＣＰＵ１１は、この使用優先順位が付された各公開鍵ＰＫ１〜ＰＫ５をナビゲーション装置２へ公開する。そして、情報配信センタ３のＣＰＵ１１は、更新用地図情報からハッシュ値を算出し、このハッシュ値と秘密鍵記憶部１９Ａに格納する使用優先順位が１番目の秘密鍵とを使用して電子署名を作成し、この電子署名を更新用地図情報に付した配信データを作成して、ネットワーク４を介してナビゲーション装置２又はＰＣ５へ配信する（Ｓ１１１〜Ｓ１１６）。
また、ナビゲーション装置２のＣＰＵ４１は、情報配信センタ３によって公開された使用優先順位が付された各公開鍵ＰＫ１〜ＰＫ５を公開鍵記憶部３９に格納する。そして、ナビゲーション装置２のＣＰＵ４１は、情報配信センタ３から配信された配信データから電子署名を抽出し、各公開鍵ＰＫ１〜ＰＫ５のうち「有効」な公開鍵を使用優先順位の順番に使用して、この電子署名の復号データを作成し、更新用地図情報から算出したハッシュ値と一致するか否かによって、この電子署名を順次検証する。そして、ナビゲーション装置２のＣＰＵ４１は、電子署名が検証を通過した場合には、この配信データを情報配信センタ３から配信された正当な情報であるとして判断する（Ｓ２１１〜Ｓ２１７）。
【００８６】
これにより、情報配信センタ３のＣＰＵ１１は、使用優先順位が付された各秘密鍵ＳＫ１〜ＳＫ５のうち使用優先順位が１番目の「有効」な秘密鍵を使用して電子署名を作成し、この電子署名を更新用地図情報に付して配信データを作成して配信するため、配信する更新用地図情報の情報セキュリティを確保することが可能になる。また、予め５個の秘密鍵ＳＫ１〜ＳＫ５を秘密鍵記憶部１９Ａに格納しているため、使用優先順位が１番目の秘密鍵が第三者に解読された場合には、残りの秘密鍵に迅速に切り替えることが可能となる。
また、ナビゲーション装置２のＣＰＵ１１は、公開鍵記憶部３９に格納される各公開鍵ＰＫ１〜ＰＫ５のうち使用優先順位が１番目の公開鍵によって、情報配信センタ３から配信された配信データから抽出した電子署名を検証して、この電子署名が検証を通過しなくても、信頼できる第三者機関による認証局から新たな公開鍵の公開を受けること無く、次の使用優先順位の公開鍵によって該電子署名を検証することが可能となり、電子署名の検証の迅速化及びコストの削減化を図ることが可能となる。また、ナビゲーション装置２のＣＰＵ４１は、情報配信センタ３によって公開された各公開鍵ＰＫ１〜ＰＫ５を使用して、当該電子署名が検証を通過した場合には、この配信データを情報配信センタ３から配信された正当な情報であるとして判断するため、ナビゲーション装置２への更新用地図情報の配信に関する情報セキュリティを確保することが可能となる。
【００８７】
また、情報配信センタ３のＣＰＵ１１は、秘密鍵記憶部１９Ａに格納する使用優先順位が１番目の秘密鍵が第三者によって解読された場合には、この使用優先順位が１番目の秘密鍵を失効させると共に、残りの秘密鍵の使用優先順位を順次繰り上げて、秘密鍵記憶部１９Ａに再度、格納する（Ｓ１１〜Ｓ１３）。
これにより、使用優先順位が１番目の秘密鍵が第三者によって解読された場合には、この解読された使用優先順位が１番目の秘密鍵が失効されるため、第三者によって解読された秘密鍵の使用を迅速に中止することができ、ナビゲーション装置２へ配信する更新用地図情報の情報セキュリティを確保することが可能となる。また、使用優先順位が１番目の秘密鍵が失効された場合には、残りの秘密鍵の使用優先順位を順次繰り上げて、秘密鍵記憶部１９Ａに再度、格納するため、迅速に使用優先順位が１番目の秘密鍵を切り替えて、更新用地図情報から算出されるハッシュ値から電子署名を作成することが可能となる。
【００８８】
また、ナビゲーション装置２のＣＰＵ４１は、各公開鍵ＰＫ１〜ＰＫ５のうち「有効」な公開鍵を使用優先順位の順番に使用して電子署名を順次検証し、この電子署名が検証を通過するまでに当該検証を通過しなかった公開鍵がある場合には、当該検証を通過しなかった公開鍵に失効仮フラグを付してＲＡＭ４２に記憶する。そして、ＣＰＵ４１は、配信データから抽出した電子署名が検証を通過した場合には、この失効仮フラグが付された公開鍵を失効させると共に、残りの公開鍵の使用優先順位を順次繰り上げて、再度公開鍵記憶部３９に格納する。（Ｓ２１４：ＮＯ〜Ｓ２１９）。
これにより、情報配信センタ３のＣＰＵ１１が、秘密鍵記憶部１９Ａに格納する使用優先順位が１番目の秘密鍵が第三者によって解読された場合に、この解読された秘密鍵を失効させて、残りの秘密鍵の使用優先順位を順次繰り上げて、秘密鍵記憶部１９Ａに再度、格納後、この使用優先順位が１番目の秘密鍵に切り替えて電子署名を行っても、ナビゲーション装置２のＣＰＵ４１は、情報配信センタ３から解読された秘密鍵に対応する公開鍵の通知を受けることなく、この解読された秘密鍵に対応する公開鍵を確実に失効させることが可能となる。また、ナビゲーション装置２のＣＰＵ４１は、解読された秘密鍵に対応する公開鍵を失効させた場合には、信頼できる第三者機関による認証局から新たな公開鍵の公開を受けることなく、各公開鍵ＰＫ１〜ＰＫ５のうち残りの「有効」な公開鍵の使用優先順位を順次繰り上げて、「有効」な公開鍵を使用優先順位の順番に使用して、配信データから抽出した電子署名の検証をスムーズに行うことが可能となる。
【００８９】
また、ナビゲーション装置２のＣＰＵ４１は、各公開鍵ＰＫ１〜ＰＫ５のうち「有効」な公開鍵を使用優先順位の順番に使用して、配信データから抽出した電子署名を順次検証し、電子署名が検証を通過しない場合には、使用した各公開鍵に順次失効仮フラグを付してＲＡＭ４２に記憶する。そして、この電子署名が「有効」ないずれの公開鍵を使用しても検証を通過しない場合には、各公開鍵に付された失効仮フラグを全てはずして、当該公開鍵を「有効」な公開鍵として公開鍵記憶部３９に格納する。また、ＣＰＵ４１は、取得した当該配信データを不当な情報であると判断する（Ｓ２１４：ＮＯ〜Ｓ２１６〜Ｓ２２１）。
これにより、悪意のある第三者が、情報配信センタ３が所有する秘密鍵と異なる秘密鍵で更新用地図情報に電子署名を付した場合には、全ての有効な公開鍵による検証が通過しないため各公開鍵に失効仮フラグが付されるが、この失効仮フラグを全て取り消すことによって、全ての「有効」な公開鍵の有効性を維持することができると共に、当該配信データを不当な情報であると判断することによって、配信される更新用地図情報の情報セキュリティを確保することができる。
【００９０】
更に、情報配信センタ３のＣＰＵ１１は、ナビゲーション装置２又はＰＣ５へ配信する更新用地図情報からハッシュ値を作成し、このハッシュ値と秘密鍵記憶部１９Ａに格納する使用優先順位が１番目の秘密鍵とを使用して電子署名を作成する。また、ナビゲーション装置２のＣＰＵ４１は、取得した配信データから抽出した電子署名に対して各公開鍵ＰＫ１〜ＰＫ５のうち有効な公開鍵を使用優先順位の順番に使用して、電子署名を復号した復号データを作成する。そして、ナビゲーション装置２のＣＰＵ４１は、取得した配信データから抽出した更新用地図情報からハッシュ値を作成し、このハッシュ値と復号データとが一致した場合には、電子署名の検証を通過させ、該ハッシュ値と復号データとが一致しない場合には、電子署名の検証を通過させない。
これにより、情報配信センタ３のＣＰＵ１１は、配信する更新用地図情報から算出したハッシュ値と、秘密鍵記憶部１９Ａに格納される使用優先順位が１番目の「有効」な秘密鍵とを使用して電子署名を作成するため、電子署名の作成の迅速化を図ることが可能となる。また、ナビゲーション装置２のＣＰＵ４１は、悪意のある第三者が、情報配信センタ３が所有する各秘密鍵ＳＫ１〜ＳＫ５と異なる秘密鍵で更新用地図情報に電子署名を付した場合だけでなく、電子署名を変更することなく、更新用地図情報を改ざんした場合にも、更新用地図情報から算出したハッシュ値と復号データとが一致しない場合には、電子署名の検証を通過させないことによって、当該更新用地図情報の改ざんを検出して、更新用地図情報の情報セキュリティを確保することが可能となる。
【００９１】
尚、本発明は前記実施例に限定されるものではなく、本発明の要旨を逸脱しない範囲内で種々の改良、変形が可能であることは勿論である。
【００９２】
例えば、ナビゲーション装置２に通信装置２７が設けられていない場合には、当該ナビゲーション装置２のユーザは、ＰＣ５を介して更新用地図情報の配信要求と共に、情報配信センタ３に予め登録している当該ユーザを識別するユーザＩＤを情報配信センタ３へネットワーク４を通じて送信するようにしてもよい。これにより、ＰＣ５は、情報配信センタ３から当該ユーザの登録自宅位置又は目的地を中心とする所定領域の更新用地図情報に電子署名が付された配信データをネットワーク４を介して取得することができる。また、ＰＣ５は、この取得した配信データを記録部５Ａを介して記録媒体としてのＣＤ−ＲＯＭ６にコンピュータ読み取り可能に記録し、ナビゲーション装置２の読取部２８に装着することによって、通信装置２７を有しないナビゲーション装置２へ更新用地図情報を供給することが可能となる。
【図面の簡単な説明】
【００９３】
【図１】本実施例に係る地図情報配信システムを示したブロック図である。
【図２】地図情報配信システムのナビゲーション装置を示したブロック図である。
【図３】地図情報配信システムの地図情報配信センタにおける公開鍵と秘密鍵との生成を説明する説明図である。
【図４】地図情報配信センタのＣＰＵが、地図情報配信センタの管理者から現在使用している秘密鍵の「失効」を指示された場合に実行する秘密鍵更新処理を示すフローチャートである。
【図５】地図情報配信センタのＣＰＵが使用優先順位が１番の秘密鍵ＳＫ１を失効させた一例を示す図である。
【図６】地図情報配信センタのＣＰＵが、ナビゲーション装置又はＰＣから更新用地図情報の配信を要求された場合に実行する更新用地図情報配信処理を示すフローチャートである。
【図７】ナビゲーション装置のＣＰＵが、ネットワーク又はＣＤーＲＯＭを介して、情報配信センタから配信された更新用地図情報に電子署名が付された配信データを取得した場合に実行する地図情報更新処理を示すフローチャートである。
【図８】「有効」な公開鍵ＰＫ１を使用した電子署名の復号データと更新用地図情報のハッシュ値とが一致した場合に、公開鍵記憶部に格納される各公開鍵ＰＫ１〜ＰＫ５の状態を示す図である。
【図９】「有効」な公開鍵ＰＫ１を使用した電子署名の復号データと更新用地図情報のハッシュ値とが一致せず、「有効」な公開鍵ＰＫ２を使用した電子署名の復号データと更新用地図情報のハッシュ値とが一致した場合に、公開鍵記憶部に格納される各公開鍵ＰＫ１〜ＰＫ５の状態を示す図である。
【図１０】公開鍵ＰＫ１が「失効」し、「有効」な公開鍵ＰＫ２を使用した電子署名の復号データと更新用地図情報のハッシュ値とが一致した場合に、公開鍵記憶部に格納される各公開鍵ＰＫ１〜ＰＫ５の状態を示す図である。
【図１１】取得した配信データから取り出した電子署名が失効した秘密鍵ＳＫ１を使用して作成されたものである場合に、公開鍵記憶部に格納される各公開鍵ＰＫ１〜ＰＫ５の状態を示す図である。
【図１２】取得した配信データから取り出した更新用地図情報のデータが通信異常で破壊又は改ざんされたものである場合に、公開鍵記憶部に格納される各公開鍵ＰＫ１〜ＰＫ５の状態を示す図である。
【図１３】取得した配信データから取り出した電子署名が各秘密鍵ＳＫ１〜ＳＫ５以外の秘密鍵を使用して作成されたものである場合に、公開鍵記憶部に格納される各公開鍵ＰＫ１〜ＰＫ５の状態を示す図である。
【符号の説明】
【００９４】
１ 地図情報配信システム
２ ナビゲーション装置
３ 地図情報配信センタ
４ ネットワーク
５ ＰＣ
５Ａ 記録部
６ ＣＤ−ＲＯＭ
１０ サーバ
１１、４１ ＣＰＵ
１２、４２ ＲＡＭ
１３、４３ ＲＯＭ
１４ センタ側地図情報ＤＢ
１５ 更新履歴情報ＤＢ
１６ センタ側通信装置
１７ 更新用地図情報
１８ 差分データ管理ＤＢ
１９ 鍵情報ＤＢ
１９Ａ 秘密鍵記憶部
２２ データ記録部
２３ ナビゲーション制御部
２７ 通信装置
２８ 読取部
３７ ナビ側地図情報ＤＢ
３８ ナビ地図情報
３９ 公開鍵記憶部
５１ 配信地図データ（更新用地図情報）
５２ ハッシュ値
５３ 電子署名
５５ 配信データ
【特許請求の範囲】
【請求項１】
情報配信センタから配信される地図情報を検証するための公開鍵を使用優先順位を付して複数記憶する公開鍵記憶手段と、
前記情報配信センタから配信された前記地図情報に付された電子署名を抽出する電子署名抽出手段と、
前記複数の公開鍵を前記使用優先順位の順番に使用して前記電子署名を順次検証するように制御する検証制御手段と、
前記電子署名が検証を通過した場合には、前記地図情報を前記情報配信センタから配信された正当な情報であるとして判断する判断手段と、
を備えたことを特徴とするナビゲーション装置。
【請求項２】
前記検証制御手段は、前記電子署名が検証を通過するまでに当該検証を通過しなかった公開鍵がある場合には、当該検証を通過しなかった公開鍵を失効に設定するように制御することを特徴とする請求項１に記載のナビゲーション装置。
【請求項３】
前記検証制御手段は、前記検証を通過しなかった公開鍵を仮失効に設定する仮失効設定手段を有し、
該検証制御手段は、該電子署名が検証を通過した場合には、前記仮失効設定手段によって仮失効に設定された公開鍵を失効させると共に、残りの公開鍵の使用優先順位を順次繰り上げて、前記公開鍵記憶手段に再度記憶するように制御することを特徴とする請求項２に記載のナビゲーション装置。
【請求項４】
前記検証制御手段は、前記電子署名が検証を通過しない場合には、前記仮失効設定手段によって設定された仮失効を取り消すように制御し、
前記判断手段は、前記地図情報を不当な情報であると判断することを特徴とする請求項３に記載のナビゲーション装置。
【請求項５】
前記検証制御手段は、前記公開鍵記憶手段に記憶される公開鍵を使用して前記電子署名を復号して復号データを作成する復号データ作成手段と、
前記地図情報からハッシュ値を作成するナビ側ハッシュ値作成手段と、
を有し、
該検証制御手段は、前記復号データと前記ハッシュ値とが一致した場合には検証を通過させ、前記復号データと前記ハッシュ値とが一致しない場合には検証を通過させないように制御することを特徴とする請求項１乃至請求項４のいずれかに記載のナビゲーション装置。
【請求項６】
地図情報を配信する情報配信センタと、ナビゲーション装置と、を備えた情報配信システムにおいて、
前記情報配信センタは、
複数対の公開鍵と秘密鍵を生成して前記複数対の公開鍵と秘密鍵に対して使用優先 順位を付する鍵生成手段と、
前記使用優先順位が付された複数の秘密鍵を記憶する秘密鍵記憶手段と、
前記秘密鍵記憶手段に記憶される前記使用優先順位が１番目の秘密鍵を使用して電 子署名を作成する電子署名作成手段と、
前記地図情報に前記電子署名を付して配信する配信手段と、
を有し、
該情報配信センタは、前記使用優先順位が付された複数の公開鍵をナビゲーション装置へ公開し、
前記ナビゲーション装置は、
前記情報配信センタによって公開された前記使用優先順位が付された複数の公開鍵 を記憶する公開鍵記憶手段と、
前記情報配信センタから配信された前記地図情報に付された電子署名を抽出する電 子署名抽出手段と、
前記複数の公開鍵を前記使用優先順位の順番に使用して前記電子署名を順次検証す るように制御する検証制御手段と、
前記電子署名が検証を通過した場合には、前記地図情報を前記情報配信センタから 配信された正当な情報であるとして判断する判断手段と、
を有することを特徴とする情報配信システム。
【請求項７】
前記検証制御手段は、前記電子署名が検証を通過するまでに当該検証を通過しなかった公開鍵がある場合には、当該検証を通過しなかった公開鍵を失効に設定するように制御することを特徴とする請求項６に記載の情報配信システム。
【請求項８】
前記検証制御手段は、前記検証を通過しなかった公開鍵を仮失効に設定する仮失効設定手段を有し、
該検証制御手段は、該電子署名が検証を通過した場合には、前記仮失効設定手段によって仮失効に設定された公開鍵を失効させると共に、残りの公開鍵の使用優先順位を順次繰り上げて、前記公開鍵記憶手段に再度記憶するように制御することを特徴とする請求項７に記載の情報配信システム。
【請求項９】
前記検証制御手段は、前記電子署名が検証を通過しない場合には、前記仮失効設定手段によって設定された仮失効を取り消すように制御し、
前記判断手段は、前記地図情報を不当な情報であると判断することを特徴とする請求項８に記載の情報配信システム。
【請求項１０】
前記電子署名作成手段は、前記地図情報からハッシュ値を作成するセンタ側ハッシュ値作成手段を有し、
該電子署名作成手段は、前記ハッシュ値と前記秘密鍵記憶手段に記憶される前記使用優先順位が１番目の秘密鍵とを使用して電子署名を作成し、
前記検証制御手段は、前記公開鍵記憶手段に記憶される公開鍵を使用して前記電子署名を復号して復号データを作成する復号データ作成手段と、
前記地図情報からハッシュ値を作成するナビ側ハッシュ値作成手段と、を有し、
該検証制御手段は、前記復号データと前記ハッシュ値とが一致した場合には検証を通過させ、前記復号データと前記ハッシュ値とが一致しない場合には検証を通過させないように制御することを特徴とする請求項６乃至請求項９のいずれかに記載の情報配信システム。
【請求項１】
情報配信センタから配信される地図情報を検証するための公開鍵を使用優先順位を付して複数記憶する公開鍵記憶手段と、
前記情報配信センタから配信された前記地図情報に付された電子署名を抽出する電子署名抽出手段と、
前記複数の公開鍵を前記使用優先順位の順番に使用して前記電子署名を順次検証するように制御する検証制御手段と、
前記電子署名が検証を通過した場合には、前記地図情報を前記情報配信センタから配信された正当な情報であるとして判断する判断手段と、
を備えたことを特徴とするナビゲーション装置。
【請求項２】
前記検証制御手段は、前記電子署名が検証を通過するまでに当該検証を通過しなかった公開鍵がある場合には、当該検証を通過しなかった公開鍵を失効に設定するように制御することを特徴とする請求項１に記載のナビゲーション装置。
【請求項３】
前記検証制御手段は、前記検証を通過しなかった公開鍵を仮失効に設定する仮失効設定手段を有し、
該検証制御手段は、該電子署名が検証を通過した場合には、前記仮失効設定手段によって仮失効に設定された公開鍵を失効させると共に、残りの公開鍵の使用優先順位を順次繰り上げて、前記公開鍵記憶手段に再度記憶するように制御することを特徴とする請求項２に記載のナビゲーション装置。
【請求項４】
前記検証制御手段は、前記電子署名が検証を通過しない場合には、前記仮失効設定手段によって設定された仮失効を取り消すように制御し、
前記判断手段は、前記地図情報を不当な情報であると判断することを特徴とする請求項３に記載のナビゲーション装置。
【請求項５】
前記検証制御手段は、前記公開鍵記憶手段に記憶される公開鍵を使用して前記電子署名を復号して復号データを作成する復号データ作成手段と、
前記地図情報からハッシュ値を作成するナビ側ハッシュ値作成手段と、
を有し、
該検証制御手段は、前記復号データと前記ハッシュ値とが一致した場合には検証を通過させ、前記復号データと前記ハッシュ値とが一致しない場合には検証を通過させないように制御することを特徴とする請求項１乃至請求項４のいずれかに記載のナビゲーション装置。
【請求項６】
地図情報を配信する情報配信センタと、ナビゲーション装置と、を備えた情報配信システムにおいて、
前記情報配信センタは、
複数対の公開鍵と秘密鍵を生成して前記複数対の公開鍵と秘密鍵に対して使用優先 順位を付する鍵生成手段と、
前記使用優先順位が付された複数の秘密鍵を記憶する秘密鍵記憶手段と、
前記秘密鍵記憶手段に記憶される前記使用優先順位が１番目の秘密鍵を使用して電 子署名を作成する電子署名作成手段と、
前記地図情報に前記電子署名を付して配信する配信手段と、
を有し、
該情報配信センタは、前記使用優先順位が付された複数の公開鍵をナビゲーション装置へ公開し、
前記ナビゲーション装置は、
前記情報配信センタによって公開された前記使用優先順位が付された複数の公開鍵 を記憶する公開鍵記憶手段と、
前記情報配信センタから配信された前記地図情報に付された電子署名を抽出する電 子署名抽出手段と、
前記複数の公開鍵を前記使用優先順位の順番に使用して前記電子署名を順次検証す るように制御する検証制御手段と、
前記電子署名が検証を通過した場合には、前記地図情報を前記情報配信センタから 配信された正当な情報であるとして判断する判断手段と、
を有することを特徴とする情報配信システム。
【請求項７】
前記検証制御手段は、前記電子署名が検証を通過するまでに当該検証を通過しなかった公開鍵がある場合には、当該検証を通過しなかった公開鍵を失効に設定するように制御することを特徴とする請求項６に記載の情報配信システム。
【請求項８】
前記検証制御手段は、前記検証を通過しなかった公開鍵を仮失効に設定する仮失効設定手段を有し、
該検証制御手段は、該電子署名が検証を通過した場合には、前記仮失効設定手段によって仮失効に設定された公開鍵を失効させると共に、残りの公開鍵の使用優先順位を順次繰り上げて、前記公開鍵記憶手段に再度記憶するように制御することを特徴とする請求項７に記載の情報配信システム。
【請求項９】
前記検証制御手段は、前記電子署名が検証を通過しない場合には、前記仮失効設定手段によって設定された仮失効を取り消すように制御し、
前記判断手段は、前記地図情報を不当な情報であると判断することを特徴とする請求項８に記載の情報配信システム。
【請求項１０】
前記電子署名作成手段は、前記地図情報からハッシュ値を作成するセンタ側ハッシュ値作成手段を有し、
該電子署名作成手段は、前記ハッシュ値と前記秘密鍵記憶手段に記憶される前記使用優先順位が１番目の秘密鍵とを使用して電子署名を作成し、
前記検証制御手段は、前記公開鍵記憶手段に記憶される公開鍵を使用して前記電子署名を復号して復号データを作成する復号データ作成手段と、
前記地図情報からハッシュ値を作成するナビ側ハッシュ値作成手段と、を有し、
該検証制御手段は、前記復号データと前記ハッシュ値とが一致した場合には検証を通過させ、前記復号データと前記ハッシュ値とが一致しない場合には検証を通過させないように制御することを特徴とする請求項６乃至請求項９のいずれかに記載の情報配信システム。
【図１】
【図２】
【図３】
【図４】
【図５】
【図６】
【図７】
【図８】
【図９】
【図１０】
【図１１】
【図１２】
【図１３】
【図２】
【図３】
【図４】
【図５】
【図６】
【図７】
【図８】
【図９】
【図１０】
【図１１】
【図１２】
【図１３】
【公開番号】特開２００８−１７５６４８（Ｐ２００８−１７５６４８Ａ）
【公開日】平成２０年７月３１日（２００８．７．３１）
【国際特許分類】
【出願番号】特願２００７−８４５０（Ｐ２００７−８４５０）
【出願日】平成１９年１月１７日（２００７．１．１７）
【出願人】（０００１００７６８）アイシン・エィ・ダブリュ株式会社 (3,717)
【出願人】（０００００３２０７）トヨタ自動車株式会社 (59,920)
【Ｆターム（参考）】
【公開日】平成２０年７月３１日（２００８．７．３１）
【国際特許分類】
【出願日】平成１９年１月１７日（２００７．１．１７）
【出願人】（０００１００７６８）アイシン・エィ・ダブリュ株式会社 (3,717)
【出願人】（０００００３２０７）トヨタ自動車株式会社 (59,920)
【Ｆターム（参考）】
[ Back to top ]