JP4337828B2 - サービス提供システム - Google Patents

Description

本発明は、外部の管理装置との無線通信により車載装置に課金処理等のアプリケーションプログラムを取得させ、取得したアプリケーションプログラムを車載装置に実行させることにより、車載装置を介した特定サービスの提供が可能となるサービス提供システムに関する。

従来より、有料道路の料金所での渋滞を緩和するために、料金所にてノンストップで料金収受を行うＥＴＣ（Electronic Toll Collection）システムや、特定エリア（例えば市街地）内の混雑を抑制するために、この特定エリアに進入する車両に対して課金を行うＥＲＰ（Electronic Road Pricing ）システムの検討が行われている。

このうち、ＥＴＣシステムでは、料金所側に設置された路側装置と各車両に搭載された車載装置との路車間通信には、ＤＳＲＣ（Dedicated Sort-Range Communication）無線が用いられている。なお、ＤＳＲＣ無線は、ミリ波（５．８ＧＨｚ）帯の電波を利用した双方向狭域無線通信であり、電波産業会の標準規格「ＡＲＩＢ ＳＴＤ−Ｔ５５」として策定されている。

しかし、ＥＲＰシステムにおいて、上記ＥＴＣシステムと同様の方法にて料金徴収を行うことを考えると、課金を行う特定エリア（以下「課金エリア」という）への進入経路毎に路側器（アンテナ）を設置する必要があるため、市街地等のように、課金エリアへの進入経路が多数存在する場合には、路側器の設置費用や維持管理の手間が膨大なものとなってしまう。このため、例えば、特開平１１−２１３１９２号公報に開示されているように、課金エリアへの進入経路毎に路側器をもうけるのではなく、車両に設置されたＧＰＳ（Global Positioning System ）レシーバでの測位結果に基づいて、車両の現在位置が課金エリア内にあるか否かを判断して課金処理を行う方法が検討されている。

ところで、このようなＥＴＣシステムやＥＲＰシステムを実現するには、システムに対応した車載装置を各車両に取り付ける必要がある。
しかし、これら車載装置に対しては、例えば、課金対象を特定するためにＩＣカードが用いられている場合、車載装置に接続されたＩＣカードの読取装置に故意にＩＣカードを装着しなかったり、また、ＧＰＳレシーバでの測位結果に基づいて課金処理が行われている場合、故意にＧＰＳレシーバからの信号線を切り離したりＧＰＳレシーバへの電源供給を停止する等して、課金条件の判定を不能にしたり、更には、不正なプログラムを車載装置に取り込ませて実行させる等の様々な不正行為が加えられる可能性があり、これら不正行為に対する対策が強く望まれている。

本発明は、上記問題点を解決するために、車載装置に加えられた不正行為を検知して、車載装置に対する不正行為を抑制することを目的とする。

上記目的を達成するためになされた本発明のサービス提供システムでは、外部の管理装置との無線通信により車載装置にアプリケーションプログラムを取得させ、該取得したアプリケーションプログラムを前記車載装置に実行させることにより、車載装置を介した特定サービスの提供が可能となる。

そして、車載装置は、アプリケーションプログラムのセットアップログを、車載装置の記憶部に保存すると共に、車載装置に加えられた不正行為によって発生した可能性のある異常事態を検出すると、その異常事態を検出したことを示す監視データを作成して、無線通信を介して管理装置に送信する。
一方、管理装置は、アプリケーションプログラムのダウンロードを実行した車載装置を登録し、そのユーザーデータとして、ダウンロードされたアプリケーションプログラムのセットアップログを保存すると共に、予め設定された問合せタイミング毎に、無線通信を介して車載装置に保存されたセットアップログを読み込み、読み込んだセットアップログと管理装置に保存されているセットアップログを比較し、この比較の結果、両者のセットアップログに相異がある場合、又は車載装置から無線通信を介して監視データを受信した場合に、車載装置に管理装置からアプリケーションプログラムを再取得させる再セットアップ処理を実行する。

このように構成された本発明のサービス提供システムによれば、管理装置以外から取得したアプリケーションプログラムを車載装置にセットアップした場合、車載装置と管理装置とでセットアップログが異なることになるため、これを比較することで、管理装置では、プログラムの改竄等の不正行為の有無を確認することができる。また、管理装置側では、セットアップログにより、各車載装置の設定状態（機器構成やセットアップ済みのプログラム等）を把握することができ、プログラムのバージョンアップ等のメンテナンスを、車載装置毎に個別に対応することができる。
なお、請求項２に記載のサービス提供システムでは、車載装置への電源供給が途絶えたことが検知されているにも関わらず、ＩＧスイッチがオフではなく、しかもその状態が設定時間以上継続した場合を、異常事態とする。
また、請求項３に記載のサービス提供システムでは、車載装置は、ＧＰＳ衛星からの信号に基づいて現在位置及び測定された時刻からなる測位データを生成する位置検出ユニットと、位置検出ユニットに通信ケーブルを介して接続されると共に、アプリケーションプログラムの取得及び実行をする本体ユニットとからなる。
そして、アプリケーションプログラムによって、位置検出ユニットから取得した測位データに基づき、当該車載装置を搭載する車両が課金エリア内に位置するかに基づいて課金するＥＲＰ処理が実行される場合、本体ユニットと位置検出ユニットとの通信が不能な状態を異常事態とする。
更に、請求項４に記載のサービス提供システムでは、本体ユニットは、異常事態が発生する前に、位置検出ユニットから最後に取得した測位データを開始データ、異常事態から位置検出ユニットとの通信が可能な状態に復帰後、位置検出ユニットから最初に取得した測位データを復帰データとして保存し、異常事態から復帰したタイミングで開始データ及び復帰データからなる監視データを作成する。

まず、本発明の実施形態を説明する上で前提となる参考例を図面と共に説明する。
図１は、本参考例の自動課金システムの概略構成図であり、図２は、本システムにて使用される車載装置の構成を表すブロック図である。

図１に示すように、本参考例の自動課金システムでは、車両Ｍに搭載され、ＧＰＳ衛星ＳＴからの電波を受信して現在位置を検出する機能を備えた車載装置１と、車載装置１との間で無線通信を行う複数の路側器３と、各路側器３が通信網Ｎを介して接続される管理装置としての管理センター５とを備えている。

路側器３は、車載装置１との通信（以下「路車間通信」という）を、直径３〜３０ｍ程度の限られた通信エリアを形成する周知のＤＳＲＣ無線にて行うように構成されており、有料道路の料金所に設けられ料金所を通過する車両からノンストップで料金の徴収を行うＥＴＣ用に設置される他、主要道路沿いや車両の立ち寄り場所（ガソリンスタンドや駐車場等）にも多数設置されている。

また、管理センター５は、路側器３を介して車載装置１にダウンロードされる自動課金（ＥＴＣ／ＥＲＰ）用のアプリケーションプログラムや課金エリア，課金条件のデータ等、各車載装置１にて共通に使用されるシステムデータを管理するシステムデータ管理部５１と、登録された車載装置１に関するユーザデータを管理するユーザデータ管理部５２と、車載装置１に対するシステムデータのダウンロードを実行し、ダウンロードが行われた車載装置１の登録、及び登録された車載装置１に対するシステムデータの更新（再ダウンロード）等を制御するメンテナンス制御部５３と、ダウンロードされたアプリケーションプログラムを実行する車載装置１から、路車間通信により送信されてくる料金徴収用の課金データや異常事態通知用の監視データに基づいて、実際に口座から料金を引き落とす等の手続きを実施したり、車載装置１に対して加えられた不正行為への対処を実施する料金徴収制御部５４とを備えている。

つまり、車載装置１は、路側器３の通信エリア内に留まるか通過することにより、路車間通信ひいては管理センター５との通信が可能となる。そして車載装置１は、自動課金用のアプリケーションプログラムを、路車間通信を用いて管理センター５からダウンロードすることで取得し、この取得したアプリケーションプログラムを実行することにより自動課金サービスの提供が可能となるようにされている。

また、管理センター５は、アプリケーションプログラムのダウンロードを実行した車載装置１を登録し、そのユーザデータとして、ダウンロードされたアプリケーションプログラムのセットアップログや、各種データの更新履歴等を車載装置１毎に蓄積するようにされている。

次に、車載装置１は、図２に示すうに、通信ケーブルＣを介して互いに接続された本体ユニット１０と位置検出ユニット２０とからなり、両ユニット１０，２０は、それぞれ個別に車載バッテリ（図示せず）からの電源供給を受けるように構成されている。

このうち、位置検出ユニット２０は、通信ケーブルＣを介して外部機器（少なくとも本体ユニット１０）との接続を行うための外部機器インタフェース２１と、充電可能な二次電池からなる補助給電回路としての内部バッテリ２２と、外部（車載バッテリ）からの電源供給を受けて当該ユニット２０各部への電源供給、及び内部バッテリ２２の充電を行う
と共に、外部からの電源供給が途絶えた時には、内部バッテリ２２が当該ユニット２０各部への電源供給を行うよう切換制御する電源回路２３と、電源断時でも記憶内容が保持され、しかも指定した領域の記憶内容を消去可能なＥＥＰＲＯＭからなる記憶部２４と、ＣＰＵ，ＲＯＭ，ＲＡＭからなる周知のマイクロコンピュータを中心にして構成され、ＧＰＳアンテナＡを介して受信したＧＰＳ衛星ＳＴからの信号に基づいて、現在位置及び測定された時刻からなる測位データを生成すると共に、当該ユニット２０各部の制御を行うＧＰＳレシーバ２５とを備えている。

なお、ＧＰＳレシーバ２５を構成するＲＯＭには、ＧＰＳアンテナＡにて受信した信号から測位データを生成する処理や、外部機器インタフェース２１を介したコマンドやデータの入出力処理等、当該ユニット２０における必要最小限の機能を実現するための基本プログラムが記憶されている。

一方、本体ユニット１０は、外部機器（少なくとも位置検出ユニット２０）との接続を行うための外部機器インタフェース１１と、路側器３との間で無線通信を行うＤＳＲＣ通信回路１２と、自動課金処理等の料金徴収を伴うアプリケーションを実行した時に課金対象を特定するための識別情報（会員番号，口座番号等）が少なくとも記憶されたＩＣカード３０から情報を読み取るカードインタフェース１３と、当該装置の操作手順や処理結果、その他各種情報を表示するための表示部１４と、位置検出ユニット２０に設けられた内部バッテリ２２，電源回路２３，記憶部２４と同様に構成された内部バッテリ１５，電源回路１６，記憶部１７と、ＣＰＵ，ＲＯＭ，ＲＡＭを中心に構成され、当該ユニット１０各部の制御を行う制御マイコン１８とを備えている。

なお、制御マイコン１８を構成するＲＯＭには、ＤＳＲＣ通信回路１２を介して路側器３と通信を行い、受信したコマンドに応じた処理を実行するメイン処理、外部機器インタフェース１１を介したコマンドやデータの入出力処理等、当該ユニット１０における必要最小限の機能を実現するための基本プログラムが記憶されている。

ここで、本体ユニット１０の制御マイコン１８が実行するメイン処理を、図３に示すフローチャートに沿って説明する。
本処理は、車載バッテリから電源供給が開始され、ハードウェアチェック等の初期化処理が行われた後に起動される。そして、まずＳ１１０では、当該車載装置１が管理センター５に対して登録済であるか否かを判断する。具体的には、登録済であれば、管理センター５側から正式な認証番号や登録ＩＤが付与されるため、これが付与されているか否かで判断できる。

そして、未登録であればＳ１２０に移行し、路側器３からポーリング信号を受信した際に路側器３へ返信する応答信号として、未登録である旨を示したステータス、及び予め車載装置１に付与されている仮認証番号を設定する。

続くＳ１３０では、路側器３からのポーリングを受信することによって路車間通信が開始されたか否かを判断し、通信が開始されていなければ同ステップを繰り返し実行することで待機する。一方、ポーリング信号の受信により路車間通信が開始されると、Ｓ１４０に移行して、路側器３から順次送信されてくるコマンドに従って登録処理を実行する。

ここで、登録処理の概要を図４（ａ）に示すシーケンス図に沿って説明する。
なお、ＤＳＲＣ通信回路１２を用いた路車間通信では、基本的に、路側器３が送信するコマンドに対して車載装置１が応答する形式で行われる。そして、通常、路側器３はポーリング信号を繰り返し送信しており、路側器３の通信エリアに進入した車載装置１がポーリング信号に対して応答することにより通信が開始される。

この最初の応答には、車載装置１の状態や要求が示されたステータスや、車載装置１が正当なものであるか否かを確認するための相互認証処理に用いる認証番号が含まれている。但し、未登録の車載装置１には正式な認証番号が割り当てられていないため、車載装置１に当初より設定されている仮の認証番号が用いられることになる。

図４（ａ）に示すように、車載装置１からステータスと仮認証番号とを受信した路側器３は、その内容から登録処理が必要であると判断し、仮認証番号を用いた相互認証を実行する。この相互認証に成功すると、正式な認証番号及び車載装置１を特定するためのを登録ＩＤが車載装置１に付与される。

この相互認証に続けて、本体ユニット１０に対するアプリケーションプログラムのダウンロードが実行され、引き続き、ダウンロードされたアプリケーションプログラムのセットアップ、及び動作確認も実行される。

なお、この時、路側器３では、ポーリング信号に対する応答信号に含まれたステータスの内容に基づいて、本体ユニット１０の機種を特定し、その機種の装置構成に対応した本体用アプリケーションプログラム（ここでは、後述するＥＲＰ処理，電源監視処理，カード監視処理等）を選択してダウンロードする。そして、本体ユニット１０にて、ダウンロードされたアプリケーションプログラムの動作確認が終了すると、そのセットアップログが路側器３に送信される。

また、本体ユニット１０が外部機器を接続可能な機種である場合、本体用アプリケーションプログラムのダウンロード，セットアップ，動作確認の終了後に、路側器３からは接続機器（ここでは外部機器インタフェース１１を介して接続されている機器）を問い合わせるコマンドが送出される。これに対して、車載装置１の本体ユニット１０は、本体用アプリケーションプログラムに含まれた接続機器チェック用プログラムを起動することにより、接続機器の有無やその機種を特定して路側器３に応答する。

この応答の内容に基づき、アプリケーションプログラムを必要とする外部機器が接続されていることが路側器３にて確認された場合、外部機器（ここでは位置検出ユニット２０）の機種に対応した接続機器用アプリケーションプログラムのダウンロードが実行され、引き続き、ダウンロードされたアプリケーションプログラムのセットアップ及び動作確認も実行される。

この時、本体ユニット１０は、路側器３から受信したデータ（接続機器用アプリケーションプログラムや、そのセットアップ指令、動作確認指令等）を、外部機器インタフェース１１に接続された位置検出ユニット２０に転送し、この転送されたデータに基づいて、位置検出ユニット２０が、先の本体用アプリケーションプログラムのダウンロード時と同様の処理を実行する。

この接続機器用アプリケーションプログラムのダウンロード、そのセットアップ、動作確認が終了すると、セットアップデータが路側器３に送信され、登録処理を終了する。
なお、この登録処理により、車載装置１に付与したデータ（認証番号，登録ＩＤ）、及
び車載装置１から獲得したデータ（機種，接続機器，ダウンロードされたアプリケーションプログラムのセットアップログ等）は、管理センター５に転送され、ユーザデータとしてユーザデータ管理部５２に保存される。

図３に戻り、Ｓ１５０では、登録処理の結果、路側器３から付与された認証番号，登録ＩＤ、及びダウンロードしたアプリケーションプログラムをセットアップする際に生成されたセットアップログを記憶部１７に保存して、Ｓ１６０に進む。

このように、登録処理が終了するか、先のＳ１１０にて管理センター５に登録済であると判断されると、Ｓ１６０に進み、路側器３からポーリング信号を受信した際に路側器３へ返信する応答信号として、登録済である旨を示したステータス、及び先の登録処理（Ｓ１４０）により付与された正式な認証番号を設定する。

続くＳ１７０では、セットアップ済の各アプリケーションプログラムを起動し、Ｓ１８０では、先のＳ１３０と同様に、路側器３からのポーリング信号を受信することによて路車間通信が開始されたか否かを判断し、通信が開始されていなければ同ステップを繰り返し実行することで待機する。一方、ポーリング信号の受信により路車間通信が開始されると、Ｓ１９０に移行して、路側器３から順次送信されてくるコマンドに従って、ユーザデータ（課金データ，監視データ等）の送信や、システムデータ（アプリケーションプログラムや課金に関するデータ等）の更新等を行う通常処理を実行後、Ｓ１８０に戻る。

ここで、通常処理の概要を図４（ｂ）に示すシーケンス図に沿って説明する。
即ち、車載装置１からステータスと認証番号とを受信した路側器３は、その内容から通常処理であることを判断し、認証番号を用いた相互認証を実行する。

この相互認証に成功すると、ステータスの内容に応じて選択した処理を実現するためのコマンドを送信する。ここでは、車載装置１がアプリケーションプログラムを実行することにより、ユーザデータ（課金データや監視データ）が生成され、これを路車間通信にて管理センター５に送信するために、ステータスが「送信あり」に設定された例を示している。このステータスに対応して路側器３が「情報要求コマンド」を送信することにより、その応答として、車載装置１にて生成されたユーザデータが路側器３側に送信される。このようなコマンドのやりとりがステータスの内容に応じて必要な回数だけ繰り返されることになる。なお、管理センター５に転送されたユーザデータは、メンテナンス制御部５３（監視データ）や料金徴収制御部５４（課金データ及び監視データ）にて処理される。

次に、ダウンロードされたアプリケーションプログラムにより車載装置１にて実現される各種処理（電源監視処理，ＩＣカード監視処理，ＥＲＰ処理）を、図５〜図７に示すフローチャートに沿って説明する。

まず電源監視処理について説明する。図５に示すように、本処理が起動されると、まずＳ２１０では、イグニション（ＩＧ）スイッチがオフではないのに関わらず、本体ユニット１０への電源供給が断たれた時の位置，時刻を表す電源断データが、記憶部１７に保存されているか否かを判断する。そして、電源断データが保存されていなければ、前回の起動時には当該装置の動作が正常に終了したものとして、そのままＳ２３０に移行する。一方、電源断データが保存されている場合には、Ｓ２２０に移行して、その電源断データに基づいて監視データを作成し、ステータスを「送信あり」とした後、Ｓ２３０に進む。

これにより、車両Ｍが路側器３の通信エリアに進入した際には、路車間通信によりＳ２２０にて作成した監視データが路側器３を介して管理センター５に送信されることになる。

Ｓ２３０では、電源断が検知されたか否かを判断し、検知されていなければ同ステップを繰り返し実行することにより待機する。なお、電源断の検知は、車載バッテリからの電源供給が途絶え、内部バッテリ１５からの電源供給に切り替わった時に電源回路１６から出力される検出信号により判断することができる。

そして、電源断が検知されるとＳ２４０に移行して、ＩＧスイッチがオフされているか否かを判断し、オフされていれば、正常な電源オフであるとして、Ｓ２５０にて当該本体ユニット１０の動作を正常に停止させる処理を行って本処理を終了する。

即ち、ＩＧスイッチがオフにされ、車載バッテリからの電源供給が途絶えていても、内部バッテリ１５からの電源供給は継続されるため、その間に、次回、車載装置１に電源が投入されるまで保持しておくべきデータを記憶部１７に退避させる等の処理を行うのである。

一方、Ｓ２４０にて、ＩＧスイッチがオフされていないと判断された場合は、故障あるいは不正行為に基づく異常事態であるとしてＳ２６０に移行し、電源断を表示部１４に表示させる。

続くＳ２７０では、位置検出ユニット２０から測位データ（位置／時刻）を獲得し、これを電源断データとして制御マイコン１８を構成するＲＡＭ上に保存する。続くＳ２８０では、電源断が検知されてから所定の設定時間が経過したか否かを判断し、設定時間が経過していなければ、Ｓ２９０に移行して、車載バッテリからの電源供給が再開されたか否かを判断する。

そして、電源供給が再開されていなければＳ２８０に戻り、再開されていれば、Ｓ３００に移行して、表示部１４での電源断表示を解除した後、Ｓ２３０に戻る。
一方、先のＳ２８０にて設定時間が経過していると判断された場合には、Ｓ２５０に移行し、上述したように動作停止処理を行って本処理を終了する。なお、このとき、先のＳ２７０にてＲＡＭに保存された電源断データが記憶部１７に退避させられることになる。従って、次回、本処理が起動された時に、この電源断データが、先のＳ２１０，Ｓ２２０の処理によって、監視データに加工され、路車間通信により管理センター５に送信されることになる。

つまり、本処理では、電源断が検知されているにも関わらずＩＧスイッチがオフではなく、しかも、その状態が設定時間以上継続した場合に、これを異常事態として、電源断が発生した位置と時刻とを表す電源断データを保存し、その後、路車間通信が可能となった時に、これを監視データとして管理センター５に送信するようにされている。

次に、ＩＣカード監視処理について説明する。図６に示すように、本処理が起動されると、まずＳ４１０では、識別情報として製造時に割り当てられた各車載装置１に固有の番号である「車両ＩＤ」、ステータスとして「カード無効」を設定し、続くＳ４２０では、カードインタフェース１３にＩＣカード３０が装着されているか否かを判断する。

そして、ＩＣカード３０が装着されていればＳ４３０に移行してカード認証処理を実行し、続くＳ４４０では、そのカード認証処理の結果から、装着されたＩＣカード３０が本システムにて使用可能なものか否かを判断する。

ＩＣカード３０が使用不能なものであれば、そのままＳ４８０に進み、使用可能なものであれば、Ｓ４５０に移行して、識別情報をＩＣカード３０から読み出した「ユーザＩＤ
」に、ステータスを「カード有効」に書き換えて、Ｓ４８０に進む。

また、先のＳ４２０にて、ＩＣカード３０が未装着であると判定された場合には、Ｓ４６０に移行し、ＩＣカード３０の装着を促す装着督促表示を表示部１４に行わせる。
続くＳ４７０では、装着督促表示を開始してから所定時間が経過したか否かを判断し、所定時間内であれば、Ｓ４２０に戻ることにより、ＩＣカード３０の装着を待ち、所定時間が経過すると、ＩＣカード３０は装着されないものとしてＳ４８０に移行する。

そして、Ｓ４８０では、同ステップを繰り返し実行することでカードインタフェースを監視し、カード装着状態が変化した場合には、Ｓ４１０に戻って、上述のＳ４１０〜Ｓ４７０の処理を繰り返す。

つまり、ＩＣカード３０が装着されている場合には、ＩＣカード３０に記録されたユーザＩＤが、サービス受ける受益者を特定するための識別情報として用いられ、ＩＣカード３０が装着されていない場合には、ユーザＩＤの代わりに、車載装置１に固有の車両ＩＤが識別情報として用いられるようにされている。

次に、課金処理の一つであるＥＲＰ処理について説明する。
但し、位置検出ユニット２０には、先の登録処理時に、接続機器用アプリケーションプログラムとして、ＧＰＳアンテナＡからの受信信号に基づいて一定時間毎に測位データを生成し、この測位データを、本体ユニット１０からの要求に応じて転送すると共に、本体ユニット１０との通信断を検出すると、その後の測位データを履歴データとして記憶部２４に蓄積し、その後、本体ユニット１０との通信再開されると、本体ユニット１０からの要求に応じて履歴データを本体ユニット１０に転送する処理を実現するものが、セットアップされているものとする。

また、本処理は、先のＳ１７０にてアプリケーションの起動が行われると、以後、一定時間間隔で繰り返し起動されるものとする。
図７に示すように、本処理が起動されると、まずＳ５１０では、位置検出ユニット２０に対してコマンドを送信することにより、測位データの取得を行い、続くＳ５２０では、測位データの取得に成功したか否かを判断する。取得に成功していれば、Ｓ５３０に移行して、今度は、動作モードが「ＧＰＳ断モード」に設定されているか否かを判断する。

そして「ＧＰＳ断モード」でなければ、Ｓ５４０に移行して、ダウンロードにより取得した課金エリアのデータと、Ｓ５１０にて取得した測位データとに基づき、車両Ｍが課金エリア内に位置するか否かを判断し、課金エリア内でなければそのまま本処理を終了する。

一方、Ｓ５４０にて、車両Ｍが課金エリア内に位置すると判定された場合には、Ｓ５５０に移行して、この測位データを保存し、続くＳ５６０では、保存されている測位データに基づき、車両Ｍの現在の走行状況が課金条件を満たしているか否かを判断し、満たしていなければそのまま本処理を終了する。

なお、課金条件としては、例えば、課金エリアへの進入した時に課金するもの、課金エリア内での滞在時間が一定時間を経過する毎に課金するもの、課金エリアを区分けして、区分が代わる毎に（例えば市街地中央部に近づくほど高く）課金するもの、時間帯に応じて料金が変化するもの、また、これらを組み合わせたもの等が考えられ、ＥＲＰを行う目的に応じて適宜選択すればよい。

また、Ｓ５６０にて、課金条件を満たしていると判断された場合は、Ｓ５７０に移行し
、課金条件に従った料金徴収が行われるように課金データを作成して、その内容を表示部１４に表示すると共に、ステータスを「送信あり」にして、課金データが路車間通信によって管理センター５に送信されるよう設定し、本処理を終了する。

なお、課金データには、課金条件に応じた徴収すべき料金を示す課金情報、先のＩＣカード監視処理にて設定された識別情報（即ちＩＣカード３０が装着時には、ＩＣカード３０から読み込んだユーザＩＤ、ＩＣカード３０が未装着時には車両ＩＤ）、課金の根拠となった測位データ群からなる経路情報が、少なくとも含まれている。

そして、この車両Ｍと路側器３との間で路車間通信が行われることにより、課金データを受け取った管理センター５の料金徴収制御部５４では、経路情報に基づいて課金情報の正当性をチェックし、正当性が確認されれば、識別情報に基づいて実際に料金を徴収するための手続きを行う。具体的には、識別情報としてユーザＩＤが設定されている場合には、そのユーザＩＤから特定される銀行口座等から料金の引き落としを行い、一方、車両ＩＤが設定されている場合には、その車両ＩＤから特定される車載装置１の購入者、或いは車載装置１が組み込まれている車両の所有者に対して、何等かの方法（例えば郵便）を用いて料金請求やＩＣカード３０が非装着であったことに対する警告を行う。

ところで、先のＳ５２０にて、位置検出ユニット２０から測位データの取得に失敗した場合にはＳ６３０に移行し、現在の動作モードが「ＧＰＳ断モード」であるか否かを判断する。そして「ＧＰＳ断モード」でなければ、位置検出ユニット２０との通信が可能な状態から、通信が不能な異常事態に変化したものとして、Ｓ６４０に移行し、動作モードを「ＧＰＳ断モード」に設定すると共に、位置検出ユニット２０から最後に取得した測位データを、開始データとして保存して、本処理を終了する。

また、Ｓ６３０にて現在の動作モードが「ＧＰＳ断モード」であると判定された場合には、異常事態が継続中であるものとして、そのまま本処理を終了する。
また、先のＳ５３０にて、現在の動作モードが「ＧＰＳ断モード」であると判定された場合は、位置検出ユニット２０との通信が不能な異常事態から、通信が可能な正常状態に復帰したものとして、Ｓ５８０に移行し、「ＧＰＳ断モード」を解除すると共に、先のＳ５１０にて取得された測位データを復帰データとして保存する。

続くＳ５９０では、Ｓ６４０にて保存された開始データ、及びＳ５８０にて保存された復帰データからなる監視データを作成すると共に、ステータスを「送信あり」にして、監視データが路車間通信により管理センター５に送信されるよう設定する。

続くＳ６００では、位置検出ユニット２０から、動作モードが「ＧＰＳ断モード」である間に蓄積された履歴データを取得し、Ｓ５４０に進む。
なお、Ｓ５４０〜Ｓ５７０の処理は、先の説明では、Ｓ５１０にて取得した測位データのみを対象としているが、Ｓ６００から移行した場合には、Ｓ６００にて取得した履歴データ及びＳ５１０にて取得した測位データをすべて対象として、同様の処理を実行する。

つまり、本処理の実行により、本体ユニット１０と位置検出ユニット２０との間の通信が途絶える異常事態（ＧＰＳ断モード）が発生しても、位置検出ユニット２０が正常に動作していれば、この間の測位データが履歴データとして残されるため、その履歴データに基づいて正しく課金が行われ、また、その異常事態の開始位置／時刻、復帰位置／時刻も、管理センター５に通知されることになる。

以上説明したように、本参考例の自動課金システムにおいて、車載装置１は、自動課金サービスの提供をうけるために必要なアプリケーションプログラムを、路車間通信を介してダウンロードすることにより、必ず管理センター５から取得するようにされている。しかも、管理センター５は、ダウンロードを行った車載装置１に関する情報（本体ユニット１０の機種、接続機器の有無、接続機器の機種、ダウンロードしたアプリケーションプログラムのセットアップログ等）をユーザデータとして保存するようにされている。

従って、本参考例の自動課金システムによれば、管理センター５にて稼動中の車載装置１を確実に把握でき、違法なアプリケーションプログラムを搭載した車載装置１が使用されることを防止することができる。

また、車載装置１の動作に異常があった場合には、車載装置１の現状と、管理センター５に保存されているユーザデータ（装置構成やセットアップログ）とを比較することにより、装置の改造やプログラムの改竄等、車載装置１に対する不正行為の有無を確認することができる。

また、本参考例の自動課金システムでは、異常事態（電源断、ＧＰＳ断等）が発生すると、その開始位置／時刻（ＧＰＳ断モード開始データ，電源断データ）や、正常な状態に戻った復帰位置／時刻（ＧＰＳ断モード復帰データ）を表す測位データから監視データを作成し、これを管理センター５に通知するようにされている。

従って、本参考例の自動課金システムでは、管理センター５にて、各車載装置１の異常事態の発生状況を把握することができ、これに応じて、車載装置１が正常に動作していれば課金されたであろうはずの料金を徴収したり、更には頻繁に異常事態となる車載装置１の使用者（所有者）に対して、警告，罰金，使用禁止等のペナルティを加えることが可能となるため、不正行為が行われることを抑制することができる。

また、本参考例の自動課金システムでは、課金対象を特定するための識別情報として、ユーザＩＤが記憶されたＩＣカード３０が装着されていない場合には、車載装置１に固有の車両ＩＤが用いられるようにされている。このため、車両ＩＤにて特定される車載装置１の購入者や、車載装置１が組み込まれた車両の所有者に対する料金請求が可能となり、確実に料金徴収を行うことができる。

また、本参考例では、ポーリング信号の応答信号に含まれるステータスにてＩＣカード３０の装着状態を示すようにされているため、路側器３では、このステータスを確認するだけで、ＩＣカード３０を装着していない違反車両を直ちに識別でき、例えば、車載装置１にてＥＴＣでの課金処理が可能である場合には、料金所側にて車両Ｍが通過しようとしてるゲートを封鎖する等の違反車両に対する対応を確実かつ速やかに行うことができる。

なお、本参考例では、ＧＰＳ断モードから復帰した時（Ｓ５３０−ＹＥＳ）に、開始データと復帰データとからなる監視データを作成（Ｓ５８０，Ｓ５９０）して管理センター５に送信すると共に、位置検出ユニット２０に蓄積された履歴データに基づいて車載装置１側でＧＰＳ断モード中の課金データを作成する（Ｓ６００，Ｓ５４０〜Ｓ５７０）ようにされているが、例えば、図８に示すように、開始データ，復帰データに、履歴データを加えたもので監視データを作成（Ｓ５８０，Ｓ６００，Ｓ６３０）して管理センター５に送信し、この監視データに基づいて管理センター５側で課金の有無を判定させるように
してもよい。

また、例えば、ポーリング信号への応答信号に含まれるステータスに、使用しているシステムデータ（課金エリアや課金条件のデータ、アプリケーションプログラム）のバージョンを表示するようにすれば、これらシステムデータの改訂があった場合、路側器３（即ち管理センター５）側では、ステータスを参照するだけで、その車載装置１のシステムデータが更新されているか否かを判定できるため、各車載装置１に対するシステムデータの再ダウンロードを、簡単且つ確実に、しかも短期間の間でほぼ一斉に行うことができる。

更に、車載装置１を、車内ＬＡＮを介してＥＣＵ等から情報を得ることができるように構成してもよく、この場合には、課金条件として、例えば、エンジンの動作時間や、排気ガス量等を加えてもよい。このような課金条件を導入した場合、排気ガスの低減効果が期待されるため、環境の改善を図ることができる。

ところで、本参考例では、アプリケーションプログラム（電源監視処理，ＩＣカード監視処理，ＥＲＰ処理）を、路車間通信によりダウンロードするようにされているが、これらを基本プログラムとして、当初から車載装置１に搭載し、課金エリアや課金条件に関するデータのみを変更できるように構成したり、当初から搭載されているアプリケーションプログラムを、ダウンロードにより取得したアプリケーションプログラムにて更新できるように構成してもよい。

また、本参考例では、位置検出ユニット２０にも、アプリケーションプログラムをダウンロードするように構成されているが、本体ユニット１０からのコマンドに応じて測位データを出力する機能を基本プログラムとして備えているものを用いてもよい。また、位置検出ユニット２０は、本体ユニット１０を介して電源供給を受けるように構成してもよい。

更に、本参考例では、既存のＥＴＣでの自動課金に対応した車載装置を、本体ユニット１０として用いてもよい。但し、この場合、ＥＴＣ対応の車載装置は、路側器３との路車間通信によりアプリケーションプログラムをダウンロードできる機能、及び位置検出ユニット２０を接続可能な外部機器インタフェースを備えている必要がある。これによれば、ＥＴＣ対応の車載装置の使用者は、必要最小限の構成（位置検出ユニット２０）の追加により、ＥＲＰでの自動課金にも対応することが可能となる。
［実施形態］
次に本発明の実施形態について説明する。

本実施形態は、上記参考例とは一部構成が異なるだけであるため、その相違する部分についてのみ説明する。
上記参考例では、管理センター５との通信に、ＤＳＲＣ通信回路１２を用いているが、本実施形態では、図２中に点線にて示すように、外部機器インタフェース１１に携帯電話４０（ＰＨＳや自動車電話等の他の無線電話でも可）を接続し、この携帯電話４０を介して双方向の通信を行うように構成されている。

次に、管理センター５のメンテナンス制御部５３が実行する遠隔メンテナンス処理を、図９に示すフローチャートに沿って説明する。
即ち、Ｓ７１０では、予め設定された問合せタイミングであるか否かを判断し、問合せタイミングであれば、Ｓ７２０に移行して、車載装置１に装着された携帯電話４０との接続を行い、本体ユニット１０の記憶部１７に保存されているセットアップログを読み込む。

続くＳ７３０では、Ｓ７２０にて読み込んだ車載装置１側のセットアップログと、管理センター５のユーザデータ管理部５２に保存されているセットアップログとの比較を行って、Ｓ７６０に進む。

一方、先のＳ７１０にて、問合せタイミングではないと判定された場合には、Ｓ７４０に移行し、路車間通信により車載装置１から監視データを受信しているか否かを判断する。そして、監視データを受信していなければＳ７１０に戻り、一方、監視データを受信していれば、Ｓ７５０に移行して、監視データの解析処理を行った後Ｓ７６０に進む。

そして、Ｓ７６０では、Ｓ７３０での比較の結果、両者のセットアップログが一致しているか、Ｓ７５０での解析の結果、車載装置１に不正行為が加えられたものと断定できない場合には、そのままＳ７１０に戻り、一方、両者のセットアップログに相異があるか、車載装置１に不正行為が加えられたものと断定できる場合には、Ｓ７７０に移行し、携帯電話４０或いは路側器３を介してシステムデータのダウンロードを実行する再セットアップ処理を実行した後、Ｓ７１０に戻る。

このように、本実施形態の自動課金システムによれば、車載装置１に携帯電話４０が接続されており、各車載装置１の状態を、定期的に監視することが可能なため、不正行為を速やかに検知することができる。

なお、車載装置１では、監視データが作成された場合に、ダウンロードしたアプリケーションが実行不能となるよう構成し、管理センター５側では、監視データを受信すると、必ず再セットアップ処理を起動するように構成してもよい。

自動課金システムの全体構成図である。 実施形態の車載装置の構成を表すブロック図である。 本体ユニットが実行するメイン処理の内容を表すフローチャートである。 路車間通信による登録処理、及び通常処理の概要を表すシーケンス図である。 アプリケーションプログラム（電源監視処理）の内容を表すフローチャートである。 アプリケーションプログラム（カード監視処理）の内容を表すフローチャートである。 アプリケーションプログラム（ＥＲＰ処理）の内容を表すフローチャートである。 ＥＲＰ処理の変形例を表すフローチャートである。 管理センターが実行する遠隔メンテナンス処理の内容を表すフローチャートである。

符号の説明

１…車載装置、３…路側器、５…管理センター、１０…本体ユニット、１１，２１…外部機器インタフェース、１２…ＤＳＲＣ通信回路、１３…カードインタフェース、１４…表示部、１５，２２…内部バッテリ、１６，２３…電源回路、１７，２４…記憶部、１８…制御マイコン、２０…位置検出ユニット、２５…ＧＰＳレシーバ、３０…ＩＣカード、４０…携帯電話、５１…システムデータ管理部、５２…ユーザデータ管理部、５３…メンテナンス制御部、５４…料金徴収制御部、Ａ…ＧＰＳアンテナ、Ｃ…通信ケーブル、Ｍ…車両、Ｎ…通信網、ＳＴ…ＧＰＳ衛星

Claims (4)

1. 外部の管理装置との無線通信により車載装置にアプリケーションプログラムを取得させ、該取得したアプリケーションプログラムを前記車載装置に実行させることにより、前記車載装置を介した特定サービスの提供が可能となるサービス提供システムにおいて、
   前記車載装置は、前記アプリケーションプログラムのセットアップログを、前記車載装置の記憶部に保存すると共に、前記車載装置に加えられた不正行為によって発生した可能性のある異常事態を検出すると、該異常事態を検出したことを示す監視データを作成して、前記無線通信を介して前記管理装置に送信し、
   前記管理装置は、前記アプリケーションプログラムのダウンロードを実行した前記車載装置を登録し、そのユーザーデータとして、ダウンロードされた前記アプリケーションプログラムのセットアップログを保存すると共に、予め設定された問合せタイミング毎に、前記無線通信を介して前記車載装置に保存されたセットアップログを読み込み、読み込んだセットアップログと前記管理装置に保存されているセットアップログを比較し、該比較の結果、両者のセットアップログに相異がある場合、又は前記車載装置から前記無線通信を介して前記監視データを受信した場合に、前記車載装置に前記管理装置からアプリケーションプログラムを再取得させる再セットアップ処理を実行することを特徴とするサービス提供システム。
2. 前記車載装置への電源供給が途絶えたことが検知されているにも関わらず、ＩＧスイッチがオフではなく、しかもその状態が設定時間以上継続した場合を、前記異常事態とすることを特徴とする請求項１に記載のサービス提供システム。
3. 前記車載装置は、
   ＧＰＳ衛星からの信号に基づいて現在位置及び測定された時刻からなる測位データを生成する位置検出ユニットと、
   前記位置検出ユニットに通信ケーブルを介して接続されると共に、前記アプリケーションプログラムの取得及び実行をする本体ユニットと、
   からなり、
   前記アプリケーションプログラムによって、前記位置検出ユニットから取得した前記測位データに基づき、当該車載装置を搭載する車両が課金エリア内に位置するかに基づいて課金するＥＲＰ処理が実行される場合、前記本体ユニットと前記位置検出ユニットとの通信が不能な状態を前記異常事態とすることを特徴とする請求項１に記載のサービス提供システム。
4. 前記本体ユニットは、前記異常事態が発生する前に、前記位置検出ユニットから最後に取得した前記測位データを開始データ、前記異常事態から前記位置検出ユニットとの通信が可能な状態に復帰後、前記位置検出ユニットから最初に取得した前記測位データを復帰データとして保存し、前記異常事態から復帰したタイミングで前記開始データ及び前記復帰データからなる前記監視データを作成することを特徴とする請求項３に記載のサービス提供システム。

Images