"移動する情報表示装置を用いて、移動先で情報へアクセスする場合の、アクセス制御方法であって、前記情報にアクセスする予定の場所を目的地とし、前記目的地への移動時の通過予定地と前記目的地の識別子を特定し、前記通過予定地と前記目的地の識別子の列として表現する、情報表示装置の予定経路を作成し、作成した予定経路に基づき暗号化鍵を生成し、生成した暗号化鍵で、アクセス対象の前記情報を暗号化し、繰り返し前記情報表示装置の位置情報を移動時に取得し、取得した前記位置情報に基づいて、通過地と現在地の識別子を特定し、前記通過予定地と前記目的地の識別子の列として表現する、当該情報表示装置の実績経路を特定し、特定した実績経路に基づき、復号鍵を生成し、生成した前記復号鍵を用いて前記暗号化された情報の復号化を試み、復号に成功した場合に、前記情報表示装置による前記情報へのアクセスを許可することを特徴とするアクセス制御方法。請求項1に記載のアクセス制御方法において、前記通過予定地、前記目的地、前記通過地、前記現在地の識別子は、それぞれ、同一の基準で区切られた部分領域を識別することを特徴とするアクセス制御方法。請求項2に記載のアクセス制御方法において、前記予定経路と実績経路を構成する前記部分領域として、出発地、目的地、出発地から目的地までの経路上での交差点の何れかが属する部分領域を用いることを特徴とするアクセス制御方法。請求項1に記載のアクセス制御方法において、前記通過予定地、前記目的地、前記通過地、前記現在地の識別子は、それぞれ、道路リンクを識別することを特徴とするアクセス制御方法。請求項1から3のいずれか一に記載のアクセス制御方法において、前記予定経路を構成する識別子がそれぞれ異なるように、前記予定経路を作成し、前記実績経路に、重複する識別子が含まれている場合は、前記重複する識別子の間の識別子と、前記重複する識別子の一方と、を前記識別子の列から削除することを特徴とするアクセス制御方法。請求項1から5のいずれか一に記載のアクセス制御方法において、同じ、および/または、異なる複数の場所を目的地とする複数の前記予定経路を作成し、前記複数の予定経路毎に異なる複数の暗号化鍵を生成し、生成した複数の暗号化鍵を用いて、複数の異なる暗号化された情報を生成し、生成した一つの前記復号鍵で、複数の前記暗号化された情報の復号を試みることを特徴とするアクセス制御方法。請求項1から6のいずれか一に記載のアクセス制御方法において、前記作成した予定経路では暗号鍵が生成できない場合に、前日までの予定経路を利用して前記暗号鍵を生成し、前日までの実績経路から前記復号鍵生成に必要な長さの実績経路を利用して前記復号鍵を生成することを特徴とするアクセス制御方法。請求項2または3に記載アクセス制御方法において、前記目的地が複数の場合、各々の前記目的地の識別子が異なるように、前記部分領域のサイズを決定し、決定した前記サイズに基づいて、前記実績経路を表現する前記通過地と前記現在地の識別子を特定することを特徴とするアクセス制御方法。請求項1から8のいずれか一に記載のアクセス制御方法において、前記復号化を試みた結果として、前記情報へのアクセスの可否を前記情報表示装置のユーザに通知することを特徴とするアクセス制御方法。不揮発性メモリ内にある暗号化されたアクセスコードを用いて認証する上記特許文献1の方法は、不揮発性メモリという外部機器を接続することを前提としているが、外部機器を携帯端末に接続できるようにするのはコスト増に繋がるし、顧客情報を閲覧するたびに外部機器を接続しなければならないのは使い勝手が悪い。また、上記特許文献2のように位置情報を用いて認証する方法は、位置情報の正当性が重要となるが、位置情報は容易に偽られてしまう。例えば、GPSなどの衛星測位システムからの電波を利用して特定する位置情報緯度経度の場合、偽の電波を流すことで位置情報を偽ることが可能である。また別の方法として、受信した電波から位置情報を計算するソフトウェアを偽物に入れ替えられてしまうと、偽の位置情報を利用させられてしまう。したがって、安全で使い勝手の良い認証方法が求められている。本明細書で開示されるのは、移動の途中で、機密情報例えば、顧客情報へアクセス例えば、閲覧する携帯端末等の情報表示装置において、端末位置の移動経路に基づいて、アクセスの許可不許可を制御するアクセス制御方法、および、それを用いた情報表示装置、情報表示システムである。開示されるアクセス制御方法、および、それを用いた情報表示装置、情報表示システムは、管理端末において、予定経路に基づいた暗号鍵を生成して情報を暗号化しておき、情報表示装置において情報へアクセスする際は、定期的に取得した実際の移動経路実績経路に基づいて復号鍵を生成し、復号鍵を用いて暗号化された情報を復号化することを特徴とする。すなわち、予定経路と実績経路が一致した場合に、暗号化された情報を復号可能になる。開示されるより具体的な一態様は、例えば、移動する情報表示装置を用いて、移動先で情報へアクセスする場合の、アクセス制御方法であって、情報にアクセスする予定の場所を目的地とし、目的地への移動時の通過予定地と目的地の識別子を特定し、通過予定地と目的地の識別子の列として表現する、情報表示装置の予定経路を作成し、作成した予定経路に基づき暗号化鍵を生成し、生成した暗号化鍵で、アクセス対象の情報を暗号化し、繰り返し情報表示装置の位置情報を移動時に取得し、取得した位置情報に基づいて、通過地と現在地の識別子を特定し、通過予定地と目的地の識別子の列として表現する、当該情報表示装置の実績経路を特定し、特定した実績経路に基づき、復号鍵を生成し、生成した復号鍵を用いて暗号化された情報の復号化を試み、復号に成功した場合に、情報表示装置による情報へのアクセスを許可することを特徴とする。開示される望ましい他の態様は、実績経路として部分領域単位の実績経路を用いることを特徴とする。開示される望ましいさらに他の態様は、出発地、目的地、出発地から目的地までの経路上での交差点の何れかに対応する部分領域を用いた実績経路を用いることを特徴とする。開示される望ましいさらに他の態様は、実績経路として道路リンク単位での実績経路を用いることを特徴とする。開示される望ましいさらに他の態様は、実績経路からループする部分経路を削除して実績経路を補正してから復号鍵を生成することを特徴とする。開示によれば、情報の機密性を維持しつつ、情報の持ち出しを実現することができる。以下に、本発明の実施形態について、図を用いて詳細に説明する。以下の実施例では、機密情報の一例として顧客情報、アクセスの一例として閲覧を説明する。図1は、本実施例におけるシステム構成図を示す。本システムは、管理端末101と情報表示装置110から構成される。管理端末101と情報表示装置110はネットワーク130で接続され、情報の送受信が可能である。ネットワーク130は有線接続でも良いし、無線接続でも良い。管理端末101は、経路作成部102、経路情報管理部103、部分領域情報作成部104、持ち出し情報作成部105、暗号化部106、顧客情報管理部107、警告情報作成部108を機能部として備える。これらの処理部と以下に説明する各処理は、管理端末101が有するCPUがプログラムを実行することで実現される。経路作成部102は、ユーザとの対話処理によって走行する予定の経路を作成、作成した予定経路を経路情報管理部103に記録する。ここで、出発地から目的地へ行く経路は複数登録しても良い。例えば、出発地から目的地までの経路を2つ登録した場合には、どちらの経路を通っても顧客情報を閲覧できるようにする。経路情報管理部103には、経路作成部102で作成された走行予定の経路だけでなく、過去の日付の経路も蓄積されている。また、過去の経路に関しては、情報表示装置110の位置情報履歴管理部111から移動実績を収集し、予定した経路と異なった経路を走行した場合には、経路情報管理部103の情報を移動実績で更新する。部分領域情報作成部104は、経路情報管理部103に登録された経路に基づいて部分領域情報を作成、持ち出し情報作成部105は登録経路と部分領域情報から予定経路を作成する。暗号化部106は予定経路に基づいて作成した暗号鍵により、顧客情報を暗号化し、警告情報作成部108は予定経路に基づいて警告情報を作成する。なお、同じ出発地と目的地に対して経路が複数登録されている場合には、それぞれに対して予定経路を作成し、予定経路が複数になった場合には、暗号化部106では、顧客情報を予定経路の数だけ、別の暗号鍵を用いて暗号化する。情報表示装置110は、位置情報履歴管理部111、地図情報管理部112、位置情報管理部113、センサ情報取得部114、情報アクセス制御部115、復号化部116、暗号化情報管理部117、移動監視部118、部分領域情報管理部119、警告情報管理部120を機能部として備える。これらの処理部と以下に説明する各処理は、情報表示装置110が有するCPUがプログラムを実行することで実現される。位置情報管理部113は、センサ情報取得部114を介して、定期的に、GPSなどの衛星測位システムからの電波を受信して位置を特定する位置情報センサ125、加速度センサ126、ジャイロセンサ127のセンサ情報を取得する。地図情報管理部112が管理する地図情報と、取得したセンサ情報から、地図上での現在位置を特定し、位置情報履歴管理部111に登録する。位置情報履歴管理部111には、当日の位置情報履歴だけでなく、前日までの過去の位置情報も蓄積されている。蓄積できるデータ量の上限値を予め設定しておき、位置情報の履歴が一定量に達したら時刻の古いものから削除することとする。上限値は固定値でも良いし、変更できるようにしても良い。また、絶対値例:100MBで設定しても良いし、記憶装置の容量に対する相対値例:30で設定しても良いし、記憶装置の残容量に対する絶対値例:残りが500MBになるまで蓄積で設定しても良い。移動監視部118は、定期的に現在位置を位置情報管理部113から取得、現在位置の移動に伴い、異なる部分領域に移動したか否か、ユーザへ警告が必要か否かを判断する。移動した履歴を実績経路として情報アクセス制御部115で管理、復号化部116では、その実績経路に基づいて顧客情報を復号化する。ユーザは事務所にある管理端末101で経路を作成する。次に、作成した経路に基づいて作成された部分領域情報、暗号化された顧客情報、警告情報を、ネットワーク130を介して、情報表示装置110にダウンロードする。ダウンロードされた部分領域情報は部分領域情報管理部119に、暗号化された顧客情報は暗号化情報管理部117に、警告情報は警告情報管理部120に保存される。ダウンロード後、ユーザは情報表示装置110をもって車に乗り、車に設置してから出発する。図2は、情報表示装置110のハードウェア構成図を示す。情報表示装置110は、CPU201、RAM202、ROM203、外部記憶装置204、センサインタフェース205、デバイスインタフェース206から構成される。外部記憶装置204はHDDでも良いし、SSDでも良いし、光ディスク装置でも良い。センサインタフェース205は、位置センサ125、加速度センサ126、ジャイロセンサ127と接続する。また、デバイスインタフェース206は、ディスプレイ128やスピーカ129と接続する。図1に示した位置情報管理部113、センサ情報取得部114、情報アクセス制御部115、復号化部116および移動監視部118の各プログラムと、位置情報履歴管理部111、地図情報管理部112、暗号化情報管理部117、部分領域情報管理部119および警告情報管理部120のデータは、外部記憶装置204に格納されている。これらのプログラムおよびデータは、情報表示装置110の電源ONに伴って、外部記憶装置204からRAM202にロードされ、各プログラムは実行される。この場合、ROM203には、プログラムおよびデータを、RAM202にロードするためのローダプログラムが格納される。図3は、管理端末101の経路情報管理部103のテーブル構成を示す。このテーブルは、ユーザが巡回する経路を管理するテーブルで、ユーザID301、日付302、順番303、出発地304、目的地305、道路リンク306から構成される。ユーザID301は、ユーザを識別するための情報である。日付302は経路の移動日を表しており、出発地304で指定された場所から、目的地305で指定された場所まで日付302で指定された日付に移動することを表している。道路リンク306は、出発地304から目的地305までの経路を道路リンク列で表したものである。例えば、P1からP2までを、L11→L12→L13→という道路リンクを通って移動することを表している。このテーブルには、予定経路と実績経路の2種類が保存される。予定経路は、今後巡回する予定の経路で、実績経路は既に巡回済みの経路である。予定経路の日付302は将来の日付となり、実績経路の日付302は過去の日付となる。図4は、管理端末101の顧客情報管理部107のテーブル構成を示す。このテーブルは顧客情報を管理するテーブルで、目的地401、顧客情報ファイル402から構成される。目的地401は、図3の目的地305と対応している。顧客情報ファイル402は、目的地401に対応する顧客情報ファイルの場所を表している。例えば、P2という目的地で閲覧するための顧客情報が、Cdatainfo1dataというファイルに格納されていることを表している。図5は、情報表示装置110の位置情報履歴管理部111のテーブル構成を示す。このテーブルは、日時501、座標502、道路リンク503、目的地到着フラグ504から構成される。座標502は位置を特定する情報を表しており、緯度経度でも良いし、ある特定の点を原点とする相対座標でも良い。道路リンク503はその時に走行していた道路リンクのIDを表している。例えば、2011718142630に、L11の道路リンクを走行しており、その時の座標がX1,Y1であったことを表している。目的地到着フラグ504は、日時501で表される時刻に、何れかの目的地に到着したか否かを表している。例えば図中では、2011718142630に目的地に到着したことを表している。目的地到着の判定は、ユーザがディスプレイ128に表示された到着ボタンを押下したタイミングで目的地到着フラグ=1としても良いし、顧客情報の復号化が成功し、ユーザが顧客情報の中身を閲覧したタイミングで目的地到着フラグ=1としても良い。図6は、情報表示装置110の部分領域情報管理部119のテーブル構成を示す。このテーブルは、部分領域ID601、部分領域602から構成される。部分領域ID601は格子状に区切られた部分領域を識別するための情報である。部分領域602は矩形領域で表され、2頂点で指定される。例えば、X1,Y1とX2,Y2を対角線上の頂点とする矩形領域の部分領域IDをM1をすることを表している。図7は、情報表示装置110の警告情報管理部120のテーブル構成を示す。このテーブルは、ユーザに警告を通知するための情報を管理するテーブルで、移動前の部分領域ID701、移動後の部分領域ID702から構成される。移動前の部分領域ID701から移動後の部分領域ID702に移動した時に警告することを表している。例えば、M1からM2に位置が移動した時に警告する。移動前の部分領域ID701および移動後の部分領域ID702は、図6の部分領域ID601と対応しており、図6で部分領域602が定義されている。図8は、管理端末101での持ち出し情報作成部105による持ち出し情報作成処理のフローを示す。ユーザは、ユーザIDと対象日時を指定して持ち出し情報を作成する。最初にステップ801では、指定されたユーザIDと日時をキーにして、経路情報管理部103から経路情報を検索する。出発地P1~目的地P2の経路、出発地P2~目的地P3の経路というように、複数の経路情報を検索する。経路作成部102が、出発地から目的地の経路を複数登録している場合には、同じ出発地と目的地の経路を複数検索する。例えば、出発地P1~目的地P2の経路が複数検索される。次に、得られた複数経路から目的地の一覧を取得、目的地がそれぞれ別の部分領域に含まれるように部分領域のサイズを決定する。ここで、部分領域は地域を格子状に区切った矩形領域である。まず、基準となる部分領域を事前定義しておく。各目的地がどの部分領域に属するかを算出し、同じ部分領域に属する目的地があった場合には部分領域を4分割縦2分割、横2分割して1つの部分領域の範囲を狭くし、同じ部分領域に属する目的地がなくなるまで部分領域の分割を繰り返す。基準となる部分領域のサイズは独自で事前設定しても良いし、JIS規格日本工業規格で定義されている第1次地域区画約80km四方、第2次地域区画約10km四方、第3次地域区画約1km四方などを用いても良い。次に、処理対象の目的地を特定するために、ステップ801で検索された複数経路から一つを選択ステップ802、選択した道路リンク306を取得する。取得した道路リンク306と、ステップ801で算出した部分領域情報に基づいて、出発地から目的地までの予定経路を特定するステップ803。ここで、予定経路とは、部分領域単位の予定経路でも良いし、道路リンク単位の予定経路でも良いし、目的地単位の予定経路でも良い。部分領域単位の予定経路は、例えば経路の道路リンク列がL1→L2→L3→L4で、道路リンクL1に対応する部分領域がM1、道路リンクL2に対応する部分領域がM2、道路リンクL3に対応する部分領域がM2、道路リンクL4に対応する部分領域がM3の場合、部分領域単位の予定経路はM1→M2→M3となる。道路リンク単位の予定経路は、ステップ801で取得した道路リンク306が、そのまま道路リンク単位の予定経路となる。目的地単位の予定経路は、例えば、目的地をP1→P2→P3と巡回する経路があり、P1に対応する部分領域がM1、P2に対応する部分領域がM2、P3に対応する部分領域がM3の場合、目的地単位の予定経路はM1→M2→M3となる。なお、P1→P2→P3といった巡回経路は、経路情報管理部103では、P1→P2と、P2→P3の2つの経路として登録されている。また、目的地単位の予定経路では、基準点として目的地を活用し、目的地の座標に対応する部分領域の配列を利用したが、基準点として目的地だけでなく経路途中の交差点を活用し、目的地および交差点に対応する部分領域の配列を用いても良い。ここで利用する交差点として左折および右折する全ての交差点を選んでも良いし、左折および右折する交差点の一部をランダムで選んでも良いし、予め事前に決めておいた特定の交差点でも良い。部分領域単位/道路リンク単位/目的地単位の予定経路については、図12でも図の例を用いて詳細に説明する。予定経路からループ部分を削除した予定経路を作成する。ループ部分は正常な経路なのか、道を間違えて戻ったのかが判別できないため、ループ部分は予定経路の対象から外すこととする。例えばM1→M2→M3→M2→M4と部分領域を移動する予定経路の場合、ループ部分のM2→M3→M2を削除してM1→M2→M4とする。こうすることで、元々のループ部分を削除していない予定経路と、ループ部分を削除した予定経路を取得することができる。ループ部分を削除していない予定経路は警告情報の生成ステップ805で利用し、ループ部分を削除した予定経路は顧客情報の暗号化ステップ804で利用する。次に、ステップ803で取得したループ部分を削除した予定経路に基づいて、目的地で閲覧する顧客情報を暗号化するステップ804。暗号化する顧客情報は、ステップ802で特定した目的地をキーとして、顧客情報管理部107を検索して特定する。顧客情報の暗号化処理の詳細に関しては図9で説明する。ここで、強固な暗号化をするためには、入力として与える予定経路が一定サイズ以上必要であり、サイズはセキュリティ要件に合わせて事前定義しておく必要がある。つまり、予定経路として一定数以上の部分領域数や道路リンク数を与えなければならない。特定した、出発地から目的地への予定経路だけでは部分領域数や道路リンク数が足りない場合には、その前の予定経路も活用し、経路を延長する。その前の予定経路を活用する場合、経路が複数登録されている場合には、登録時に設定された優先度に応じて、どの経路を利用するのかを決定する。例えば、P1→P2のループ部分を削除した予定経路がM1→M2→M3、P2→P3のループ部分を削除した予定経路がM3→M4→M5、暗号化に必要な部分領域数が4、P3の顧客情報を暗号化する場合の例を示す。P2→P3への予定経路M3→M4→M5には部分領域が3つしかないので、P2への予定経路も統合してM1→M2→M3→M4→M5とし、目的地に近い部分領域から4つM2→M3→M4→M5を選ぶ。このように単体の予定経路のみでは情報が足らない場合には、過去の予定経路も活用し、予定経路を延長することで情報量を増やす。過去の予定経路は、日付をまたいでも良い。例えば、2011722のP1→P2の予定経路で情報が足らず、2011722のP1以前の経路がない場合には、過去へ予定経路を延長し、予定経路を前日の2011721のP10→2011722のP2とする。次に、ステップ803で取得したループ部分を削除していない予定経路に基づいて警告情報を生成するステップ805。警告情報は経路を逸脱した場合の注意喚起を目的としたもので、生成した警告情報は情報表示装置110にダウンロードされ、事前に決めた経路を逸脱した場合にユーザに対して警告を行うために利用される。ステップ803で取得したループ部分を削除していない予定経路にない動きをした場合が警告対象となる。部分領域単位の予定経路の場合には、ステップ803でループ部分を削除していない予定経路として部分領域の配列が取得でき、この部分領域の配列に定義されていない部分領域間の遷移が警告対象となる。例えば、部分領域の配列がM1→M2で、M1の周囲上下左右の部分領域が{M2、M3、M4、M5}の場合、M1→M2以外のM1→M3、M1→M4、M1→M5の遷移を警告情報として生成する。警告情報では、遷移前の部分領域は予定経路上の部分領域、遷移後の部分領域は予定経路外の部分領域となる。道路リンク単位の予定経路の場合には、ステップ803で予定経路として道路リンク列が取得でき、この道路リンク列に定義されていない道路リンク間の遷移が警告対象となる。例えば、道路リンク列がL1→L2で、L1の終点が交差点になっており、{L2、L3、L4}へ遷移できる場合、L1→L2以外のL1→L3、L1→L4の遷移を警告情報として生成する。警告情報では、遷移前の道路リンクは予定経路上の道路リンク、遷移後の道路リンクは予定経路外の道路リンクとなる。なお、目的地単位の予定経路の場合には、目的地までの経路は自由に決めて良いので警告情報の生成は行わない。ステップ801で検索した複数目的地の顧客情報の暗号化が完了した場合Yesは処理を終了し、まだ暗号化していない顧客情報がある場合Noはステップ802へ戻る。図9は、持ち出し情報作成部105による顧客情報の暗号化処理図8のステップ804の詳細フローを示す。最初にステップ901で暗号鍵生成に用いる乱数を生成する。暗号化には、暗号鍵と復号鍵が等しい共通鍵暗号アルゴリズムを用いる。そのため、乱数生成には、復号鍵を生成する場合も同じ乱数値が得られる方法を用いる。乱数生成に用いる初期値は固定値にしても良いが、初期値が同じだと乱数も固定になってしまうため、セキュリティを強固にするためには初期値を変動させてほうが良い。初期値の変動は、特定のルールに従って変更しても良いし、移動日に基づいて初期値を生成しても良い。次に、図8のステップ803で取得したループ部分を削除した予定経路と、ステップ901で生成した乱数を用いて暗号鍵を生成するステップ902。暗号鍵の生成アルゴリズムは既知のものを用いれば良い。暗号鍵生成の一例として、ビットシフトを用いた簡単な例を示す。部分領域単位の予定経路M1→M2→M3→M4から、部分領域IDを文字列連結したM1M2M3M4を生成する。文字列M1M2M3M4を2進数に変換し、ステップ901で生成した乱数の数だけビットを左にずらす。文字列M1M2M3M4を2進数に変換した値が11001010で、乱数が2であったとすると、左に2ビットシフトした00101011が暗号鍵として生成される。暗号鍵生成にはビットシフト以外の方法を用いても良い。次に、ステップ902で生成した暗号鍵を用いて、目的地M4で閲覧する顧客情報を暗号化するステップ903。暗号化はXOR暗号などの既存方式を用いれば良い。一例として、XOR暗号を用いた時の具体例を示す。顧客情報を2進数に変換した値が1010111001010001、ステップ902で生成した暗号鍵が00101011の場合、2つの値のXOR演算を行う。顧客情報の上位8ビットと暗号鍵のXOR演算結果が10000101、顧客情報の下位8ビットと暗号鍵のXOR演算結果が01111010となる。結果として暗号化した顧客情報を1000010101111010となる。図10は、情報表示装置110での情報表示処理のフローを示す。まず初めに、情報アクセス制御部115は、位置情報管理部113経由で、位置情報履歴管理部111から位置情報の履歴を取得するステップ1001。ステップ1001は、ユーザのボタン押下をトリガとして実行しても良いし、事前設定された時刻をトリガとして実行しても良いし、情報表示装置110の電源ONをトリガとして実行しても良い。次に、ステップ1001で取得した位置情報履歴に基づいて実績経路を初期化するステップ1002。情報アクセス制御部115は、まずステップ1001で取得した位置情報履歴から、時系列の道路リンク列を算出する。次に、移動監視部118経由で、部分領域情報管理部119から部分領域情報を取得する。そして、算出した道路リンク列と部分領域情報から部分領域単位での実績経路を求めて初期化する。道路リンク単位の実績経路を用いる場合には、位置情報履歴から算出した道路リンク列で初期化する。目的地単位の実績経路を用いる場合には、位置情報履歴管理部111から、目的地到着フラグ504が1であるデータを位置情報履歴として取得する。次に、取得した位置情報履歴と部分領域情報から目的地に対応する部分領域の配列を求めて実績経路とする。ステップ1003からステップ1010は、一定時間間隔で定期的に実行される。まず、情報アクセス制御部115は、位置情報管理部113に対して現在地取得要求を送る。位置情報管理部113は、センサ情報取得部114経由で、周期的1秒ごとなどに位置センサ125、加速度センサ126、ジャイロセンサ127からセンサ情報を取得する。取得したセンサ情報と地図情報管理部112で管理している地図情報から、地図上での現在位置を特定する。地図上での現在位置特定はマップマッチングと呼ばれており、既存の方法を活用すれば良い。位置情報管理部113は、特定した位置情報および道路リンクを位置情報履歴管理部111に保存する。また、特定した現在位置や道路リンクを、情報アクセス制御部115からの要求に応じて返す。ステップ1004では、情報アクセス制御部115は、移動監視部118に問い合わせて、情報表示装置110の現在位置に対応する部分領域を特定する。実績経路として道路リンクを用いる場合には、ステップ1003で既に道路リンクまで特定できているので、ステップ1004では何もしない。ステップ1005では、特定した部分領域/道路リンクが変化したか否かを判定する。移動監視部118が前回の部分領域/道路リンクを覚えておき、現在位置から特定した部分領域/道路リンクと比較することで、部分領域/道路リンクが変化したか否かを判定する。部分領域/道路リンクが変化した場合Yesはステップ1006へ進む。部分領域/道路リンクが変化していない場合Noにはステップ1010へ進む。情報表示装置110が移動して存在する部分領域が変化したと移動監視部118が判定した場合に、情報アクセス制御部115は実績経路を更新するステップ1006。例えば、実績経路がM1→M2→M3で、部分領域がM3からM4に変化した場合には、実績経路をM1→M2→M3→M4に更新する。次に、顧客情報の表示可否を更新しステップ1007、それまで閲覧可能だった顧客情報を閲覧不可にしたり、それまで閲覧不可だった顧客情報を閲覧可能にしたりする。顧客情報の表示可否の更新処理に関しては図11で詳細に説明する。次に、ステップ1005で部分領域が変化したと判定された場合に、ユーザへの警告が必要か否かを判定するステップ1008。移動監視部118は、部分領域が変化した際の移動前の部分領域IDと移動後の部分領域IDをキーにして、警告情報管理部120を検索する。該当するレコードが検索された場合には警告が必要となる。該当するレコードが検索されなかった場合には警告は必要でない。例えば、ステップ1005で部分領域がM1→M2に変化した場合には、移動前の部分領域ID701=M1AND移動後の部分領域ID702=M2のレコードを検索する。警告が必要な場合には、移動監視部118は、情報アクセス制御部115へ対して警告通知の要求を送る。ステップ1009では、ユーザに対して経路逸脱の警告を通知する。ステップ1008で警告が必要であると判定された場合、情報アクセス制御部115は、ディスプレイ128に警告画面を表示したり、スピーカ129から警告音または警告音声を流したりする。警告は一度だけ行っても良いし、一定時間続けても良いし、元の経路に戻るまで警告し続けても良い。また、警告画面と警告音/警告音声を同期させて通知しても良いし、画面と音で通知する時間を変えても良いし、画面と音を時間差で通知しても良いし、どちらかだけで通知しても良い。うっかり道を間違えて経路を逸脱してしまった場合でも、警告を受けることで経路から外れたことに気づき、元の経路に復帰することができる。ここで、警告回数を記憶しておき、警告回数が事前に決めた上限回数を超えた場合には、全ての暗号化した顧客情報を削除する。こうすることで、第三者が情報表示装置110を不正に入手し、試行錯誤で移動した場合に対しても、顧客情報を守ることができる。ステップ1010では、情報アクセス制御部115が、処理の終了判定を行う。終了していない場合Noには、ステップ1003に戻る。終了判定は、ユーザのボタン押下をトリガとしても良いし、情報表示装置110の電源OFFをトリガとしても良い。図11は、情報アクセス制御部115による、顧客情報の表示可否更新処理図10のステップ1007の詳細フローを示す。最初に、情報アクセス制御部115からの要求で、復号化部116が復号鍵生成に用いる乱数を生成するステップ1101。乱数の初期値は図9のステップ901で用いた初期値と同じ値を用いる。次に、復号化部116は、復号鍵生成の入力情報となる実績経路を情報アクセス制御部115から取得し、実績経路からループ部分を削除するステップ1102。予定していた予定経路がM1→M2→M3であるが、うっかり道を間違えてしまい、実績経路がM1→M2→M4→M2→M3となったと仮定する。道を間違えて元の道に戻った場合、実績経路の一部分がループになる。上記例ではM2→M4→M2の部分である。このループ部分は元々予定していた予定経路ではないので、このループ部分を削除し、M1→M2→M4→M2→M3をM1→M2→M3に補正する。ステップ1102では、前日までの実績経路も含めて、全ての実績経路が取得できるため、取得した実績経路から復号鍵生成に必要な長さの実績経路を切り取る。例えば、ステップ1102で取得した実績経路がM1→M2→M3→M4→M5→M6→M7の場合で、復号鍵生成に必要な実績経路の長さが3の場合、現在地から近い順に3つM5→M6→M7を復号鍵生成用に切り取る。こうして切り取った実績経路と、ステップ1101で生成した乱数を用いて復号鍵を生成するステップ1103。復号鍵の生成に用いる初期値、乱数生成方法、復号鍵の生成アルゴリズムは、図9のステップ902の暗号鍵生成で用いた初期値またはその生成方法、乱数生成方法、鍵生成アルゴリズムと同じものを利用する。ステップ1104では、ステップ1103で生成した復号鍵を用いて顧客情報を復号化する。どの目的地に向かっているかは判別できないため、暗号化情報管理部117で管理している全ての暗号化された顧客情報に対して復号化を試みる。復号化に際しては、暗号化アルゴリズムに対応するアルゴリズムを用いる。ステップ1105では、顧客情報の復号化に成功したか否かに基づいて、顧客情報のアクセス可否ここでは表示可否を更新し、ユーザへ通知する。ユーザへの通知方法に関しては、図13で詳しく説明する。復号化に成功したか否かの判定方法としては、顧客情報の、予め定めた位置にOKなどの文字列を書き込んでおき、復号化した情報からOKの文字列が読み取れるか否かで成功したか否かを判定することができる。また別の方法として、顧客情報に直接書き込むのではなく、OKとだけ書かれた確認用ファイルを準備しておき、確認用ファイルも顧客情報と同様に暗号化しておく。確認用ファイルを復号化し、OKの文字列が読み取れるか否かで成功したか否かを判定する。この時、顧客情報毎に確認用ファイルが必要となる。例えば、info1data、info2dataという2つの顧客情報があった場合には、それぞれに対応するinfo1okとinfo2okの確認用ファイルを作成、info1dataとinfo1okを暗号鍵1で暗号化、またinfo2dtaとinfo2okを暗号鍵2で暗号化しておく。ステップ1106では、暗号化情報管理部117で管理している全ての顧客情報に対して復号化を試したか否かを判定する。全ての顧客情報の復号化を試した場合Yesには処理を終了し、復号化を試していない顧客情報がある場合Noにはステップ1104へ戻る。図12は、予定経路のイメージを示す。出発地から目的地まで太字で書かれた経路が、走行予定の経路を表している。また、実線は道路、点線は格子状の部分領域の境界線を表している。図の例では縦横36の部分領域に分割されており、一番左上の部分領域をA1、一番右下の部分領域をF6と呼ぶこととする。また、L1~L16は道路リンクIDを表しており、交差点から交差点までの道路リンクに対応している。この走行予定の経路を部分領域単位の予定経路で表すと、C5→C4→D4→D3→D2→E2となる。また、道路リンク単位の予定経路で表すとL9→L8→L6となる。また、目的地単位の予定経路で表すとC5→E2となる。図13は、顧客情報の表示可否の通知画面イメージを示す。走行予定の経路は図12と同様で出発地P3から目的地P4までの経路であり、部分領域単位の予定経路で判定する場合の例を示す。画面1301は、目的地P4に対応する部分領域E2に入った時の画面を表している。画面には目的地と、目的地に対応する顧客情報ファイルアイコンが表示されており、ユーザは、顧客情報ファイルアイコンを押下することで顧客情報の中身を閲覧することができる。実線の顧客情報ファイルアイコンは押下することで中身を閲覧できるが活性状態、点線のファイルアイコンは押下しても閲覧できないことを表している非活性状態。閲覧可否の表現は、実線活性/点線非活性でなくても、アイコンの色を変えても良いし、アイコンの大きさを変えても良い。現在地の部分領域がD2→E2に変化した時に、それまで閲覧不可であったP4に対応する顧客情報ファイルが閲覧可能になる。また、P4以外の目的地に対応する顧客情報ファイルは閲覧不可の状態となる。また、画面1302は、出発地P3から出発して、現在地の部分領域がC5→C4に変化した時の画面を表している。それまで閲覧可能であったP3の顧客情報が閲覧不可に変わったことを表している。閲覧不可になったことの通知方法としては、顧客情報ファイルアイコンに×印を表示して明示的にユーザへ通知しても良いし、ユーザが顧客情報を閲覧できないように、非活性状態アイコンを押下しても閲覧できない状態にしても良いし、警告音を鳴らしたり、画面から消去したり、画面をフラッシュさせたりしても良い。図14は、経路を外れた時の警告通知のイメージを示す。走行予定の経路は図12と同様で出発地P3から目的地P4までの経路であり、部分領域単位の予定経路で判定する場合の例を示す。部分領域D4の交差点を間違えて右折してしまった場合を説明する。予定ではC5→C4→D4→D3→D2→E2という予定経路であるため、道を間違えて右折した場合、部分領域がD4→E4に変化した時に、警告画面や警告音/警告音声を用いてユーザへ通知される。"