(57)【要約】【課題】測定装置の測定結果を用いた計算の結果を提示する計算システムにおいて、当該計算の手順を特定するパラメータの変更を容易にすると同時に、出力される計算の結果の信頼性を確保する。【解決手段】タクシー９には測定装置１１１と制御ユニット１１２を備える計算装置１１が搭載されている。制御ユニット１１２には機械的封印が施されており、機械的封印が解かれていない限り、制御ユニット１１２に対する直接的な改変が行われていないことが保証されている。制御ユニット１１２は、計算装置１１の起動に伴い、移動体通信網を介してサーバ装置１３からタリフ定数を示すタリフデータを電子署名とともに受信する。制御ユニット１１２は電子署名に基づき、受信したタリフデータが所定の作成者により作成された後に改竄されていないと判定した場合に限り、当該タリフデータが示すタリフ定数を用いて測定装置１１１の計測結果に基づく乗車料金の計算を行う。【選択図】図１
2017201485.tif 000002
【特許請求の範囲】
【請求項１】
機械的封印の施された計算装置と、前記計算装置とデータ通信を行うサーバ装置とを備え、
前記計算装置は、
所定の種類の物理量を測定する測定装置と、
前記測定装置による測定結果を用いた数量の計算の手順を特定するためのパラメータを示すパラメータデータを、当該パラメータデータが所定の作成者により作成された後に改竄されていないことを証明するための電子署名とともに、前記サーバ装置から受信する受信手段と、
前記受信手段により受信されたパラメータデータが前記所定の作成者により作成された後に改竄されていないか否かを当該パラメータデータとともに受信された電子署名を用いて判定する判定手段と、
前記受信手段により受信されたパラメータデータが示すパラメータにより特定される手順に従い、前記測定装置による測定結果を用いた数量の計算を行う計算手段と、
前記判定手段により、前記受信手段により受信されたパラメータデータが前記所定の作成者により作成された後に改竄されていないと判定された場合に限り、当該パラメータデータが示すパラメータにより特定される手順に従い前記計算手段により行われた計算の結果の表示、または、当該計算の結果を示す計算結果データの外部の装置への送信を行う出力手段と
を備え、
前記サーバ装置は、前記測定装置による測定結果を用いた数量の計算の手順を特定するためのパラメータを示すパラメータデータを、当該パラメータデータが前記所定の作成者により作成された後に改竄されていないことを証明するための電子署名とともに、前記計算装置に送信する送信手段と、
前記送信手段により前記計算装置に送信したパラメータデータを当該送信の時刻を示す時刻データと対応付けて記憶装置に記憶させる記憶指示手段と
を備える
計算システム。
【請求項２】
前記計算手段は、前記判定手段により、前記受信手段により受信されたパラメータデータが前記所定の作成者により作成された後に改竄されていないと判定された場合に限り、当該パラメータデータが示すパラメータにより特定される手順に従う計算を行う
請求項１に記載の計算システム。
【請求項３】
前記計算装置は、前記計算装置の起動に伴い前記サーバ装置にパラメータデータの要求を送信する送信手段を備え、
前記受信手段は、前記計算装置が備える前記送信手段が送信した要求に対する応答として前記サーバ装置から送信されてくるパラメータデータを受信する
請求項１または２に記載の計算システム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、タクシーメータ等の装置により生成される数値の信頼性を高める技術に関する。
【背景技術】
【０００２】
現在、日本では、長さ、質量、時間等の対象となる物理量を測定する装置のうち、測定結果、または測定結果を用いて生成される数量に高い信頼性が要求されるものが「特定計量器」として指定され、それらが満たすべき構造や精度等が法令等により定められている。特定計量器として指定されている装置の例としては、タクシーメータ、電力量計、ガスメータ、水道メータ、ガソリンメータ等がある。
【０００３】
特定計量器の中には、測定対象の物理量の提示ではなく、当該物理量を用いて算出される別の種類の数量（物理量とは限らない）の提示が要求されているものがある。そのような特定計量器の典型例としてタクシーメータがある。
【０００４】
タクシーメータは、例えば、タクシー（車両）の車軸に取り付けられたパルス計（測定装置の一例）により測定された車軸の回転数と、時計（測定装置の一例）により測定された走行に要した時間および時刻とに基づき、所定の算出式に従い算出される乗車料金を表示部に表示する。
【０００５】
タクシーメータが乗車料金を算出するために用いる算出式には、例えば、走行距離等と無関係に加算される初乗り料金を示す定数、車軸の回転数に乗じられて走行距離を算出するために用いられるタイヤの円周を示す定数、走行距離に乗じられて走行距離に応じた加算料金を算出するために用いられる定数、深夜料金の適用時間帯において適用される割増料金の比率を示す定数、高速道路走行時以外に渋滞等に伴う低速運転時に適用される所定時間経過毎の加算料金を示す定数等の多くの定数が含まれている。
【０００６】
タクシーメータが乗車料金を算出するために用いる算出式を構成する上述したような各種の定数のうち、初乗り料金を示す定数や、走行距離に応じた加算料金を算出するための定数等は、監督官庁の承認を得ることを条件に、タクシーの運行会社による変更が許可されている。タクシーの運行会社による変更が許可されている定数は「タリフ定数」と呼ばれる。
【０００７】
ところで、タクシーメータには、物理的に不正な改変が行われることを防止するために機械的封印が施されている。従来、タクシーの運行会社はタクシーメータに新しいタリフ定数を設定したい場合、その機械的封印を解いて筐体を開き、筐体内に収容されている制御ユニットの操作子等に対し操作を行う必要がある。従って、新しいタリフ定数を設定した後、タクシーの運行会社はそのタクシーメータを使用するために、監督官庁にタクシーメータに対する機械的封印を行ってもらう必要がある。
【０００８】
タクシーメータの機械的封印を解除する作業と、タクシーメータに対する新たな機械的封印を施す作業には、時間、手間、費用がかかる。特に複数台のタクシーを運用しているタクシーの運行会社にとって、これらの時間、手間、費用は大きな負担となっている。
【０００９】
上記の不都合を軽減するための技術がいくつか提案されている。それらの技術を提案する特許文献として、例えば特許文献１がある。特許文献１には、タクシーメータにおいて運賃計算に用いられる基準パラメータや運賃計算プログラムを、これらを管理するセンターから、タクシーに搭載されたタクシーメータに無線通信を用いて配信する仕組みが提案されている。特許文献１に記載の仕組みによれば、タクシーの運行会社等は、タクシー運賃の改訂時や運賃計算プログラムの仕様の追加、変更等が行われた時に、複数のタクシーメータに対し容易に、それらの改訂、追加、変更等を反映させることができる。
【先行技術文献】
【特許文献】
【００１０】
【特許文献１】特開２００３−３３０７２５号公報
【発明の概要】
【発明が解決しようとする課題】
【００１１】
特定計量器は、タクシーメータに関し上述したように、物理的に不正な改変が行われないように、機械的封印が施されている。特定計量器に機械的封印が施されていても、特定計量器が通信線または無線を介して任意の外部の装置からデータを受信でき、受信したデータに従い特定計量器の制御ユニットが行う計算の手順が変更されると、特定計量器が出力する情報の信頼性が損なわれる。そのため、従来、特定計量器の制御ユニットが、外部の装置から受信したデータに従い計算の手順を変更する構成を備えることは許可されていない。
【００１２】
本発明は、上記の事情に鑑み、特定計量器に例示される、測定装置の測定結果を用いた計算の結果を出力する計算システムにおいて、当該計算の手順を特定するパラメータの変更を容易にすると同時に、出力される計算の結果の信頼性を確保する手段を提供することを目的とする。
【課題を解決するための手段】
【００１３】
上述した課題を解決するため、本発明は、機械的封印の施された計算装置と、前記計算装置とデータ通信を行うサーバ装置とを備え、前記計算装置は、所定の種類の物理量を測定する測定装置と、前記測定装置による測定結果を用いた数量の計算の手順を特定するためのパラメータを示すパラメータデータを、当該パラメータデータが所定の作成者により作成された後に改竄されていないことを証明するための電子署名とともに、前記サーバ装置から受信する受信手段と、前記受信手段により受信されたパラメータデータが前記所定の作成者により作成された後に改竄されていないか否かを当該パラメータデータとともに受信された電子署名を用いて判定する判定手段と、前記受信手段により受信されたパラメータデータが示すパラメータにより特定される手順に従い、前記測定装置による測定結果を用いた数量の計算を行う計算手段と、前記判定手段により、前記受信手段により受信されたパラメータデータが前記所定の作成者により作成された後に改竄されていないと判定された場合に限り、当該パラメータデータが示すパラメータにより特定される手順に従い前記計算手段により行われた計算の結果の表示、または、当該計算の結果を示す計算結果データの外部の装置への送信を行う出力手段とを備え、前記サーバ装置は、前記測定装置による測定結果を用いた数量の計算の手順を特定するためのパラメータを示すパラメータデータを、当該パラメータデータが前記所定の作成者により作成された後に改竄されていないことを証明するための電子署名とともに、前記計算装置に送信する送信手段と、前記送信手段により前記計算装置に送信したパラメータデータを当該送信の時刻を示す時刻データと対応付けて記憶装置に記憶させる記憶指示手段とを備える計算システムを第１の態様として提案する。
【００１４】
上記の第１の態様にかかる計算システムにおいて、前記計算手段は、前記判定手段により、前記受信手段により受信されたパラメータデータが前記所定の作成者により作成された後に改竄されていないと判定された場合に限り、当該パラメータデータが示すパラメータにより特定される手順に従う計算を行う、という構成が第２の態様として採用されてもよい。
【００１５】
上記の第１または第２の態様にかかる計算システムにおいて、前記計算装置は、前記計算装置の起動に伴い前記サーバ装置にパラメータデータの要求を送信する送信手段を備え、前記受信手段は、前記計算装置が備える前記送信手段が送信した要求に対する応答として前記サーバ装置から送信されてくるパラメータデータを受信する、という構成が第３の態様として採用されてもよい。
【発明の効果】
【００１６】
本発明の上記の第１の態様にかかる計算システムによれば、所定の作成者により作成されたパラメータデータによる場合に限り、機械的封印の施された計算装置において行われる計算の手順が、当該機械的封印の解除を要することなく変更される。計算装置の管理者とは異なる第三者（例えば、監督官庁やその代理として管理業務を行う業者等）がパラメータデータの作成を行う限り、計算システムにより出力される計算結果の信頼性が損なわれることがない。
【００１７】
本発明の上記の第２の態様にかかる計算システムによれば、計算装置はパラメータデータを受信しても、当該パラメータデータが所定の作成者により特定されていない限り、当該パラメータデータが示すパラメータにより特定される手順に従った数量の計算は行わない。従って、所定の作成者ではない人の意図する手順に従った計算の結果が出力されるという不都合が確実に排除される。
【００１８】
本発明の上記の第３の態様にかかる計算システムによれば、計算装置は起動する毎にパラメータデータの受信と、当該パラメータデータの作成者が所定の作成者であるか否かの判定を行う。従って、例えば所定の作成者により誤ったパラメータデータが作成された場合、計算装置の使用者は、所定の作成者によりパラメータデータの修正が行われた後、計算装置の再起動を行うことで、修正後のパラメータデータが示すパラメータにより特定される正しい手順に従った数量の計算を計算システムに行わせることができる。
【図面の簡単な説明】
【００１９】
【図１】一実施形態にかかる計算システムの全体構成を示した図。
【図２】一実施形態にかかる計算装置の構成を示した図。
【図３】一実施形態にかかる計算装置の表示手段により表示される画面を例示した図。
【図４】一実施形態にかかるサーバ装置に接続される記憶装置に記憶されるログデータのデータ構成を例示した図。
【図５】一実施形態にかかる計算装置の制御ユニットとサーバ装置が行う処理のシーケンスを示した図。
【発明を実施するための形態】
【００２０】
［実施形態］
以下に本発明の一実施形態にかかる計算システム１を説明する。計算システム１はタクシーの乗車料金を計算し、計算した乗車料金等を管理するシステムである。図１は計算システム１の全体構成を示した図である。計算システム１はタクシー９に搭載された計算装置１１と、計算装置１１に接続された表示灯１２と、計算装置１１との間で無線によるデータ通信を行うサーバ装置１３と、サーバ装置１３に接続された記憶装置１４と、サーバ装置１３との間でデータ通信を行うサーバ装置１５と、サーバ装置１５に接続された記憶装置１６と、サーバ装置１５との間でデータ通信を行う端末装置１７を備える。
【００２１】
図１にはタクシー９が１台のみ示されているが、実際には通常、タクシー９の数は複数であり、それらの複数のタクシー９の各々に計算装置１１および表示灯１２が搭載される。従って、計算システム１は通常、複数の計算装置１１および表示灯１２を備え、サーバ装置１３はそれらの複数の計算装置１１との間でデータ通信を行う。
【００２２】
端末装置１７はタクシー９の運行会社の社員等がタクシー９の運行状況の管理を行うために用いる装置である。図１には端末装置１７が１台のみ示されているが、端末装置１７の数は通常、複数である。すなわち、タクシー９の運行状況の管理を行う人の数に応じてサーバ装置１５との間でデータ通信を行う端末装置１７の数は変化する。
【００２３】
計算装置１１、表示灯１２および端末装置１７は通常、タクシー９の運転手、またはタクシー９の運行会社の職員により管理される。サーバ装置１３、記憶装置１４、サーバ装置１５、および記憶装置１６は、タクシーの運行を監督する監督官庁の職員、または当該監督官庁の代理としてタクシーの運行の監督業務を行う事業者（以下、「管理事業者」という）の職員により管理される。
【００２４】
計算装置１１は、タクシー９の乗車料金を計算する装置である。図２は計算装置１１の構成を示した図である。ただし、図２には計算装置１１に接続された表示灯１２と、計算装置１１との間で無線によるデータ通信を行うサーバ装置１３が併せて示されている。
【００２５】
計算装置１１は所定の種類の物理量を測定する測定装置１１１と、測定装置１１１による測定結果を用いた数量の計算等を行う制御ユニット１１２を備える。測定装置１１１は、例えばタクシー９の車軸の回転数を測定し、測定結果を示すパルス信号を出力するパルス計である。
【００２６】
制御ユニット１１２は、信号処理ユニット２１と、コンピュータ２２と、信号処理ユニット２１に対するユーザ（通常、タクシー９の運転手）の操作を受け付ける操作ユニット２３Ａと、コンピュータ２２に対するユーザの操作を受け付ける操作ユニット２３Ｂと、これらの装置を収容する筐体（図示略）を備えている。制御ユニット１１２の筐体には、例えばタクシー運行を監督する監督官庁の職員により機械的封印が施されており、筐体が開かれると機械的封印の解除の痕跡が残り、筐体が開かれたことが見て分かる。筐体内に封入される信号処理ユニット２１、コンピュータ２２、操作ユニット２３Ａ、および操作ユニット２３Ｂは封入前に監督官庁の職員等によりその動作が検査され、制御ユニット１１２がサーバ装置１３から受信するデータによって制御ユニット１１２の動作（後述）が不正に改変される危険性がない点が確認されている。
【００２７】
信号処理ユニット２１は測定装置１１１から出力されるパルス信号を受け取る入力手段２１１と、コンピュータ２２から出力されるタリフ定数を示すタリフデータ等を受け取る入力手段２１２と、基準時刻からの経過時間を継続的に測定し現在時刻の特定を行う計時手段２１３と、入力手段２１１を介して測定装置１１１から入力されるパルス信号と入力手段２１２を介してコンピュータ２２から入力されるタリフデータと計時手段２１３により測定される現在時刻とを用いて乗車料金の計算を行う計算手段２１４と、計算手段２１４による計算結果を示す計算結果データをコンピュータ２２に出力する出力手段２１５を備える。
【００２８】
また、入力手段２１２は、タリフデータに加え、操作ユニット２３Ａまたはコンピュータ２２に対しユーザ（通常、タクシー９の運転手）が行った操作の内容を示す操作データを受け取る。信号処理ユニット２１は、上述した入力手段２１１〜出力手段２１５に加え、入力手段２１２を介して操作ユニット２３Ａまたはコンピュータ２２から入力される操作データに応じた表示を指示する表示指示データを表示灯１２に出力する出力手段２１６を備える。
【００２９】
コンピュータ２２は移動体通信網を介してサーバ装置１３との間でデータ通信が可能なコンピュータであり、コンピュータの基本構成であるプロセッサおよびメモリに加え、タッチディスプレイと通信インタフェイスを備える。コンピュータ２２は、メモリに記憶されているプログラムに従ったデータ処理を行うことにより、図２に示される構成を備える装置として機能する。なお、コンピュータ２２のメモリに記憶されているプログラムは、サーバ装置１３から如何なるデータが受信されても不正に改変されないように、バグ等がないことが監督官庁の職員等により確認されている。
【００３０】
コンピュータ２２は、機能構成として、サーバ装置１３にログデータ（後述）等を送信する送信手段２２１と、サーバ装置１３からタリフデータ等を受信する受信手段２２２と、受信手段２２２がタリフデータをサーバ装置１３から受信した場合、当該タリフデータとともにサーバ装置１３から受信された電子署名を用いて当該タリフデータが所定の作成者により作成された後に改竄されていないか否かを判定する判定手段２２３と、判定手段２２３により所定の作成者により作成された後に改竄されていないと判定されたタリフデータを信号処理ユニット２１に出力する出力手段２２４と、ユーザ（通常、タクシー９の運転手）の操作を受け付ける操作手段２２５と、ユーザに対する各種情報の表示を行う表示手段２２６と、信号処理ユニット２１から出力される計算結果データおよび操作ユニット２３Ｂから出力される操作データを受け取る入力手段２２７を備える。
【００３１】
出力手段２２４は、上述したタリフデータに加え、操作手段２２５に対しユーザが行った操作の内容を示す操作データを信号処理ユニット２１に出力する。
【００３２】
図３は表示手段２２６により表示される画面を例示した図である。図３に示されるように、表示手段２２６には通常のタクシーメータの表示部に表示される情報が表示される。以下、図３に例示の画面を「タクシーメータ画面」という。以上が計算装置１１の構成の説明である。
【００３３】
図１を参照しつつ、計算システム１の全体構成の説明を続ける。表示灯１２は、タクシー９の現在の運行状態を、所定の表示（「空車」、「支払」、「割増」等）により車外の人に通知するための装置である。
【００３４】
サーバ装置１３は移動体通信網を介して計算装置１１の制御ユニット１１２が備えるコンピュータ２２との間でデータ通信を行う装置である。サーバ装置１３は汎用のコンピュータが所定のプログラムに従った処理を行うことにより実現されてもよいし、専用装置として構成されてもよい。
【００３５】
コンピュータ２２がサーバ装置１３とのデータ通信に用いる通信インタフェイス（送信手段２２１と受信手段２２２）は、サーバ装置１３のみとデータ通信が可能であり、他の装置との間でデータ通信を行うことはできない。サーバ装置１３が複数のタクシー９の各々に搭載された計算装置１１の制御ユニット１１２が備えるコンピュータ２２とのデータ通信に用いる通信インタフェイスは、それらのコンピュータ２２のみとデータ通信が可能であり、他の装置との間でデータ通信を行うことはできない。従って、サーバ装置１３に成りすました他の装置が不正なタリフデータを計算装置１１に送信する危険性は極めて低い。なお、データ通信の相手を限定する方法としては、例えば、通信相手の限定されたＳＩＭ（Subscriber Identity Module）カードを用いる方法など、いずれが用いられてもよい。
【００３６】
また、サーバ装置１３とコンピュータ２２との間のデータ通信は通信事業者により提供されるプライベートネットワークサービス（ＶＰＮ（Virtual Private Network）等）により保護されている。従って、サーバ装置１３から計算装置１１に送信されるタリフデータが送信の途中で傍聴され、改竄される危険性は極めて低い。
【００３７】
記憶装置１４は、サーバ装置１３により管理される各種データを記憶する。記憶装置１４が記憶する主なデータとして、タリフデータとログデータがある。タリフデータは、タクシー９の運行会社が定め、監督官庁の承認を得たタリフ定数を示すデータである。計算システム１が複数のタクシーの運行会社により利用される場合、記憶装置１４にはそれらの複数の運行会社の各々に応じたタリフデータが、運行会社を識別する識別データと対応付けて記憶される。記憶装置１４は少なくとも最新のタリフデータを記憶するが、過去に用いられたタリフデータが記憶装置１４に記憶されていてもよい。
【００３８】
サーバ装置１３および記憶装置１４が監督官庁の職員により管理される場合、当該職員はタクシー９の運行会社に対し承認を行った最新のタリフ定数をサーバ装置１３に入力する。また、サーバ装置１３および記憶装置１４が管理事業者の職員により管理される場合、当該職員はタクシー９の運行会社が監督官庁から承認を得た最新のタリフ定数の情報を監督官庁または運行会社から入手し、入手したタリフ定数をサーバ装置１３に入力する。なお、管理事業者の職員が最新のタリフ定数の情報を入出する方法としては、郵送、電送等のいずれの方法が用いられてもよい。サーバ装置１３は入力されたタリフ定数を示すタリフデータを最新のタリフデータとして記憶装置１４に記憶させる。
【００３９】
記憶装置１４に記憶されるログデータには、乗車料金の算出に用いられたタリフ定数を示すデータと、算出された乗車料金を示すデータが含まれる。ログデータは、少なくとも定められた長さの保管期間内は消失しないように記憶装置１４に記憶されている。サーバ装置１３および記憶装置１４が管理事業者により管理される場合、管理事業者は監督官庁の求めに応じていつでも、記憶装置１４に記憶されているログデータを監督官庁に提示する。管理事業者は、例えば契約書をタクシー９の運行会社と交わすことにより、ログデータを監督官庁に提示する点につき運行会社の承諾を得ている。
【００４０】
図４は記憶装置１４に記憶されるログデータのデータ構成を例示した図である。ログデータは、例えば、タクシー９の各々に応じて設けられたデータテーブル（以下、「ログテーブル」という）に、生成された時刻に基づく時系列順に格納されている。ログテーブルの各々には、例えばタクシー９に搭載されているコンピュータ２２とサーバ装置１３とのデータ通信においてコンピュータ２２を識別する装置ＩＤが対応付けられており、当該装置ＩＤによって各ログテーブルがいずれのタクシー９に応じたログテーブルであるかが分かる。ログテーブルはデータフィールド［時刻］、［動作］、［内容］を備える。データフィールド［動作］および［内容］に格納されるデータがログデータであり、データフィールド［時刻］にはログデータがログテーブルに記憶された時刻を示す時刻データが格納される。
【００４１】
ログデータには、タクシー９により使用されたタリフデータに関するログデータと、タクシー９の賃走の開始または終了に関するログデータが含まれる。タリフデータに関するログデータのデータフィールド［動作］には、例えば「タリフデータの送信」というデータが格納され、データフィールド［内容］にはタリフデータが格納される。また、タリフデータに関するログデータに対応付けて記憶される時刻データは当該タリフデータがサーバ装置１３から計算装置１１に送信された時刻を示す。
【００４２】
また、賃走の開始に関するログデータのデータフィールド［動作］には、例えば「賃走の開始」というデータが格納される。当該ログデータのデータフィールド［内容］には空データが格納される。当該ログデータに対応付けて記憶される時刻データは賃走の開始時刻を示す。
【００４３】
また、賃走の終了に関するログデータのデータフィールド［動作］には、例えば「賃走の終了」というデータが格納される。当該ログデータのデータフィールド［内容］には、乗車料金と、当該乗車料金の算出の根拠となった走行距離等の情報を示すデータが格納される。当該ログデータに対応付けて記憶される時刻データは賃走の終了時刻（もしくは、乗車料金が支払われた時刻）を示す。
【００４４】
ログテーブルに格納されるログデータの種類は上記に限られず、例えば、回送の開始および終了に関するログデータ等がログテーブルに記憶されてもよい。
【００４５】
再び図１を参照しつつ、計算システム１の全体構成の説明を続ける。サーバ装置１５は、端末装置１７からの要求に応じてタクシー９の運行記録に関する各種データを端末装置１７に送信する。サーバ装置１５は、例えばＷｅｂサーバ機能を備え、Ｗｅｂブラウザとして機能する端末装置１７からの要求に応じて、上記の各種データを端末装置１７に送信する。
【００４６】
記憶装置１６は、サーバ装置１５が端末装置１７に送信するデータを生成するために用いる各種データを記憶している。記憶装置１６が記憶するデータの中には、タクシー９の車両に関するデータ、タクシー９の走行ルートを特定するための地図を表すデータ、タクシー９の運転手に関するデータ等に加え、サーバ装置１５がサーバ装置１３から受信したログテーブル（図４参照）に格納されているデータ（使用されたタリフ定数、賃走の開始時刻および終了時刻、乗車料金等を示すデータ）が含まれる。
【００４７】
サーバ装置１３とサーバ装置１５との間のデータ通信は、プライベートネットワークサービス（ＶＰＮ等）により保護されている。従って、サーバ装置１３がサーバ装置１５から受信するデータが通信の途中で傍聴され、改竄される危険性は極めて低い。また、サーバ装置１３はサーバ装置１５から、ログテーブルに格納されているデータの要求や、通信が正常に行われていることを示す通信の管理用のデータ等の限られた種類のデータのみを受信し、不正なプログラム等を含む可能性のあるデータを受信しない。従って、サーバ装置１３が計算装置１１に送信するタリフデータが、例えばサーバ装置１５経由で改竄される危険性は極めて低い。
【００４８】
端末装置１７は、タクシー９の運行記録に関する各種データを端末装置１７から受信し、端末装置１７のユーザ（タクシー９の運行会社の職員等）に表示する装置である。端末装置１７は、例えばＷｅｂブラウザ機能を備え、Ｗｅｂサーバとして機能するサーバ装置１５にデータの要求を行い、当該要求に応じてサーバ装置１５から送信されてくるデータが示す各種情報をユーザに表示する。
【００４９】
サーバ装置１５はワンタイムパスワードや二段階認証等の仕組みにより、端末装置１７のユーザが正当なユーザであることが確認された場合に限り、端末装置１７に対するデータの送信を行う。これらの仕組みは、サーバ装置１５が端末装置１７からデータ送信の要求を受けた場合、端末装置１７の正当なユーザのメールアドレス宛にワンタイムパスワードやＵＲＬ（Uniform Resource Locator）等を送信する仕組みである。端末装置１７のユーザがメールアドレス宛に送信されたワンタイムパスワードやＵＲＬを端末装置１７に入力し、端末装置１７がそれらのデータをサーバ装置１５に送信することにより、端末装置１７のユーザの正当性が確認される。従って、サーバ装置１３が計算装置１１に送信するタリフデータが、例えば端末装置１７を使用する不正なユーザにより、サーバ装置１５経由で改竄される危険性は極めて低い。
【００５０】
以上が、計算システム１の全体構成の説明である。続いて、計算システム１がタリフデータを用いて乗車料金を計算するために行う動作を説明する。図５は計算装置１１の制御ユニット１１２とサーバ装置１３が、乗車料金を計算するために行う処理のシーケンスを示した図である。
【００５１】
本実施形態において、計算装置１１は起動に伴いサーバ装置１３に対し最新のタリフデータの要求を行い、当該要求に対する応答としてサーバ装置１３から送信されてくるタリフデータを用いて乗車料金の計算を行う。なお、計算装置１１の起動は、例えば、タクシー９のバッテリーから計算装置１１に対する電力供給の開始をトリガとして行われてもよいし、制御ユニット１１２に設けられた電源スイッチの押下等の所定の操作をトリガとして行われてもよい。
【００５２】
計算装置１１の制御ユニット１１２は、計算装置１１が起動されると（ステップＳ０１）、送信手段２２１により、サーバ装置１３に対するタリフデータの要求を行う（ステップＳ０２）。制御ユニット１１２がサーバ装置１３に対し行う要求には、例えばコンピュータ２２がサーバ装置１３とのデータ通信に用いる装置ＩＤ（例えば、ＳＩＭカードに記録されている装置ＩＤ）が伴うため、サーバ装置１３は要求元がいずれのタクシー９に搭載されている制御ユニット１１２であるかを特定することができる。
【００５３】
サーバ装置１３は、制御ユニット１１２からの要求に応じて、要求元の制御ユニット１１２が搭載されているタクシー９に応じたタリフデータを記憶装置１４から読み出し、当該タリフデータを電子署名とともに要求元の制御ユニット１１２に送信する（ステップＳ０３）。
【００５４】
サーバ装置１３が制御ユニット１１２に送信する電子署名は、タリフデータが所定の作成者（例えば、監督官庁の職員、または監督官庁の認可を受けた管理事業者の職員）により作成された後に改竄されていないことを証明するための情報である。電子署名の例として、タリフデータのハッシュ値をサーバ装置１３に固有の秘密鍵で暗号化したデータが挙げられる。この場合、制御ユニット１１２は判定手段２２３によって、まず、予め取得しておいたサーバ装置１３に固有の公開鍵で電子署名を復号化しハッシュ値を得る。続いて、制御ユニット１１２は受信したタリフデータのハッシュ値を算出し、復号化により得たハッシュ値と照合する。当該照合が成功すれば、制御ユニット１１２がサーバ装置１３から受信したタリフデータが、所定の作成者により作成された後、改竄されていないことが証明されたことになる。以下、判定手段２２３により行われる、タリフデータが所定の作成者により作成された後に改竄されていないか否かの判定を、「タリフデータの正当性の判定」という。
【００５５】
上述した電子署名の方式は一例であって、計算システム１において、様々な方式の電子署名のいずれが採用されてもよい。すなわち、上述した公開鍵暗号方式を用いた電子署名は本願出願の時点で好適と思われる方式を採用した一例であるが、既存の他の方式の電子署名に加え、本願出願後に新たに開発された方式の電子署名が優れていれば、それらの方式の電子署名が本発明において採用されてもよい。
【００５６】
サーバ装置１３は、制御ユニット１１２にタリフデータを送信すると、送信したタリフデータに関するログデータを生成し、その時点の時刻を示す時刻データと対応付けたデータレコードを、記憶装置１４に記憶されているログテーブル（図４参照）に追加する（ステップＳ０４）。
【００５７】
制御ユニット１１２は、ステップＳ０２において送信した要求に応じて、ステップＳ０３においてサーバ装置１３から送信されてくるタリフデータを電子署名とともに、受信手段２２２により受信すると、判定手段２２３により、受信したタリフデータの正当性の判定を行う（ステップＳ０５）。
【００５８】
ステップＳ０５に判定において、タリフデータが所定の作成者により作成された後に改竄されていない、と判定されなかった場合（ステップＳ０５；Ｎｏ）、制御ユニット１１２は表示手段２２６により、例えば「タリフデータが不正です。動作を停止致します。」といったエラーメッセージを表示する（ステップＳ０６）。この場合、制御ユニット１１２はタクシーメータとしての動作を開始することなく動作を停止する。
【００５９】
なお、タリフデータが所定の作成者により作成された後に改竄されていない、と判定されない場合とは、タリフデータがそもそも所定の作成者により作成されていない場合、もしくは、タリフデータが所定の作成者により作成された後に改竄されている場合を意味する。
【００６０】
ステップＳ０５に判定において、タリフデータが正当な所定の作成者により作成された後に改竄されていない、と判定された場合（ステップＳ０５；Ｙｅｓ）、制御ユニット１１２の計算手段２１４に当該タリフデータが示すタリフ定数が設定される（ステップＳ０７）。
【００６１】
計算手段２１４にタリフ定数の設定が行われると、制御ユニット１１２は表示手段２２６によりタクシーメータ画面（図３参照）を表示する（ステップＳ０８）。その後、タクシー９が乗客を得て、運転手がタクシーメータ画面、操作ユニット２３Ａ、または操作ユニット２３Ｂに対し賃走開始の操作を行うと、制御ユニット１１２は当該操作を受け付ける（ステップＳ０９）。続いて、制御ユニット１１２は賃走開始に関するログデータを生成し、当該ログデータを送信手段２２１によりサーバ装置１３に送信する（ステップＳ１０）。
【００６２】
サーバ装置１３はステップＳ１０において制御ユニット１１２から送信されてくる賃走開始に関するログデータを受信すると、当該ログデータにその時点の時刻を示す時刻データを対応付けたデータレコードを、記憶装置１４に記憶されているログテーブル（図４参照）に追加する（ステップＳ１１）。
【００６３】
その後、制御ユニット１１２は、計算手段２１４により継続的に乗車料金の計算を行い、当該計算の結果に応じて表示手段２２６によりタクシーメータ画面を更新する（ステップＳ１２）。
【００６４】
その後、タクシー９が目的値に到着し、運転手がタクシーメータ画面、操作ユニット２３Ａ、または操作ユニット２３Ｂに対し賃走終了の操作を行うと、制御ユニット１１２は当該操作を受け付ける（ステップＳ１３）。続いて、制御ユニット１１２は賃走終了に関するログデータを生成し、当該ログデータを送信手段２２１によりサーバ装置１３に送信する（ステップＳ１４）。
【００６５】
サーバ装置１３はステップＳ１４において制御ユニット１１２から送信されてくる賃走終了に関するログデータを受信すると、当該ログデータにその時点の時刻を示す時刻データを対応付けたデータレコードを、記憶装置１４に記憶されているログテーブル（図４参照）に追加する（ステップＳ１５）。
【００６６】
以上が、計算システム１がタリフデータを用いて乗車料金を計算するために行う動作の説明である。
【００６７】
上述した計算システム１によれば、測定装置１１１の測定結果を用いて計算手段２１４が行う乗車料金の計算に用いられるタリフ定数（計算の手順を特定するパラメータの一例）が、制御ユニット１１２に施されている機械的封印を解くことなく変更される。その際、タリフ定数の改竄がほぼ確実に排除されるため、タクシー９の乗客等に提示される乗車料金の信頼性が損なわれることがない。
【００６８】
［変形例］
上述した実施形態は本発明の一具体例であり、様々に変形することができる。以下にそれらの変形の例を示す。
【００６９】
（１）上述した計算システム１においては、タリフデータの正当性の判定は制御ユニット１１２が備えるコンピュータ２２において行われる。これに代えて、もしくは加えて、タリフデータの正当性の判定が信号処理ユニット２１において行われてもよい。例えば、信号処理ユニット２１が専用装置として構成される場合、万一、測定装置１１１が不正なプログラムを受信した場合であっても、コンピュータ２２と比較し信号処理ユニット２１が当該プログラムに従い誤った処理を行う可能性は低い。従って、信号処理ユニット２１がタリフデータの正当性を判定することで、計算装置１１により計算される乗車料金の信頼性がより高まる。
【００７０】
（２）上述した計算システム１において信号処理ユニット２１に配置されている構成部の一部がコンピュータ２２に配置されてもよい。また、上述した計算システム１においてコンピュータ２２に配置されている構成部の一部が信号処理ユニット２１に配置されてもよい。また、信号処理ユニット２１とコンピュータ２２が一体となった装置として構成されてもよい。
【００７１】
（３）上述した計算システム１において制御ユニット１１２が備える構成部の一部が制御ユニット１１２の外部装置として構成されてもよい。例えば、コンピュータ２２が操作手段２２５および表示手段２２６を備えず、計算装置１１が制御ユニット１１２に接続されたタッチディスプレイを備える構成が採用されてもよい。また、操作ユニット２３Ａおよび操作ユニット２３Ｂが、制御ユニット１１２の筐体の外に配置され、信号線等により制御ユニット１１２に接続される構成が採用されてもよい。
【００７２】
（４）上述した計算システム１においては、サーバ装置１３、記憶装置１４、サーバ装置１５、記憶装置１６は各々１つとしたが、これらの数は複数であってもよい。例えば、サーバ装置１３を複数設け、いずれかのサーバ装置１３に異常が生じても他のサーバ装置１３が正常に動作する限り計算システム１の動作が停止しないようにしてもよい。
【００７３】
（５）上述した計算システム１においては、判定手段２２３によるタリフデータの正当性の判定は計算装置１１の起動をトリガとして実行される。判定手段２２３によるタリフデータの正当性の判定は、計算装置１１の起動以外のイベントをトリガとして実行されてもよい。例えば、所定時間の経過や、タクシー９の運転手による計算装置１１に対する所定の操作等のイベントをトリガに、タリフデータの正当性の判定が行われてもよい。
【００７４】
（６）上述した計算システム１においては、判定手段２２３によりタリフデータが所定の作成者により作成された後に改竄されていないと判定されなかった場合、当該タリフデータが示すタリフ定数を用いた計算手段２１４による乗車料金の算出処理は行われない。これに代えて、判定手段２２３によりタリフデータが所定の作成者により作成された後に改竄されていないと判定されなかった場合であっても、計算手段２１４により当該タリフデータが示すタリフ定数を用いた乗車料金の算出処理は行われるが、その算出結果の表示またはサーバ装置１３への送信が行われない構成が採用されてもよい。
【００７５】
（７）上述した計算システム１においては、測定装置１１１は車軸の回転数を測定するパルス計であるものとしたが、測定装置１１１が他の種類の測定装置であってもよい。また、測定装置１１１が各々異なる種類の物理量を測定する複数の測定装置の集まりとして構成されてもよい。例えば、測定装置１１１が自動車のＥＣＵ（Electronic Control Unit）を含み、ＥＣＵから得られる速度、走行距離等が計算手段２１４による計算に用いられてもよい。また、測定装置１１１が、タクシー９の現在位置を継続的に測定するＧＮＳＳ（Global Navigation Satellite System）ユニットを含む場合、計算システム１はタクシー９の走行ルートを端末装置１７のユーザに提示することができる。また、測定装置１１１が制御ユニット１１２に統合されてもよい。例えば、コンピュータ２２がＧＮＳＳユニットを内蔵する場合、当該ＧＮＳＳユニットが測定装置１１１として用いられてもよい。
【００７６】
（８）上述した計算システム１においては、計算装置１１はタクシー９の乗車料金を算出し出力するタクシーメータの役割を果たす。これに代えて、計算装置１１が他の種類の特定計量器（例えば、電力量計、水道メータ、ガスメータ等）や、特定計量器ではないが測定装置による測定結果を用いた計算を行う計算装置（例えば、医療分野で用いられる各種測定装置等）の役割を果たす装置であってもよい。なお、計算装置１１が計算し出力する数量は、計算装置１１が備える測定装置により測定される物理量と同種の数量であってもよい。例えば、水道メータは流量計により測定された水の流量を出力する。ただし、水道メータは、流量計の測定結果に含まれる誤差を補正するために、補正定数の加算や乗算を行い、補正後の水の流量を出力する。流量計が持つ測定誤差が時間の経過に伴い変化する場合がある。従って、流量計の測定誤差が変化した場合、水道メータに設定されている補正定数が変更される必要がある。計算システム１によれば、そのような補正定数の変更が容易に可能となる。
【００７７】
（９）上述した計算システム１においては、計算手段２１４が行う計算の手順を特定するためのパラメータを示すデータとして、タリフ定数を示すタリフデータがサーバ装置１３から計算装置１１へと送信される。本願において、測定装置による測定結果を用いた計算の手順を特定するパラメータは、タリフ定数に例示される定数に限られず、場合分け条件や算出式の構造等のいずれであってもよい。すなわち、サーバ装置１３から計算装置１１へと送信されて、計算装置１１において計算に用いられるデータ（パラメータデータ）が示すパラメータは、計算装置１１が行う計算の手順に変更をもたらすパラメータである限り、その種類は問われない。
【００７８】
（１０）上述した計算システム１においては、制御ユニット１１２はコンピュータ２２を備え、コンピュータ２２のプロセッサがプログラムに従った処理を行うことにより、判定手段２２３等を備える装置が実現される。制御ユニット１１２がコンピュータ２２に代えて、コンピュータ２２により実現される装置と同様の機能を備える専用装置を備えてもよい。
【符号の説明】
【００７９】
１…計算システム、９…タクシー、１１…計算装置、１２…表示灯、１３…サーバ装置、１４…記憶装置、１５…サーバ装置、１６…記憶装置、１７…端末装置、２１…信号処理ユニット、２２…コンピュータ、２３Ａ…操作ユニット、２３Ｂ…操作ユニット、１１１…測定装置、１１２…制御ユニット、２１１…入力手段、２１２…入力手段、２１３…計時手段、２１４…計算手段、２１５…出力手段、２１６…出力手段、２２１…送信手段、２２２…受信手段、２２３…判定手段、２２４…出力手段、２２５…操作手段、２２６…表示手段、２２７…入力手段。
【図１】
2017201485.tif 000003
【図２】
2017201485.tif 000004
【図３】
2017201485.tif 000005
【図４】
2017201485.tif 000006
【図５】
2017201485.tif 000007