JP6958273B2 - ドライバレス輸送システム - Google Patents

Description

本発明は、ドライバレス輸送サービスを提供する自動運転車両及びドライバレス輸送システムに関する。

特許文献１は、無人運転可能な自動運転車両を利用したドライバレス輸送サービスを開示している。自動運転車両は、利用者をピックアップするピックアップ位置へ向かう。ピックアップ位置に到着すると、自動運転車両は停車し、ドアを開く。利用者は、自動運転車両に乗り込み、認証操作を行う。利用者の認証が完了すると、自動運転車両は、ドアを閉め、ドアをロックする。その後、自動運転車両は、発進し、利用者が希望する目的地に向かって自動的に走行する。

特開２０１５−１９１２６４号公報

ドライバレス輸送サービスを提供する自動運転車両は、待機場所において、スタンバイモードに入るために動作停止処理を行う。自動運転車両を起動する際には、自動運転車両を管理する管理サーバが、自動運転車両に起動指示を送る。

ここで、本願発明者は、次のような問題点を認識した。それは、自動運転車両の動作停止から起動までのスタンバイ期間において、自動運転車両に異常事象が発生する可能性があることである。異常事象としては、ハッキング、無断運転、車上荒らし、改造、破壊、等が例示される。しかしながら、ドライバレス輸送サービスの場合、自動運転車両にドライバは搭乗しないため、自動運転車両の起動時にドライバによって異常事象は検知されない。従って、異常事象が発生したままの自動運転車両が、利用者のピックアップ等のために自動走行を開始してしまうおそれがある。このことは、ドライバレス輸送サービスに対する信頼の低下を招き、また、ドライバレス輸送サービスの有用性を損なう。

本発明の１つの目的は、ドライバレス輸送サービスにおいて、スタンバイ期間中に自動運転車両に発生する異常事象を検知することができる技術を提供することになる。

第１の発明は、ドライバレス輸送サービスを提供するドライバレス輸送システムを提供する。
前記ドライバレス輸送システムは、
記憶装置を備える自動運転車両と、
前記自動運転車両を管理する管理サーバと
を備える。
チェックコードは、
前記自動運転車両に固有の車両コードと、
生成される度に値が変わるパスコードと
を含む。
前記自動運転車両は、スタンバイモードに入るための動作停止処理において、前記パスコードを新たに生成し、新たに生成された前記パスコードを含む前記チェックコードを第１チェックコードとして前記記憶装置に格納し、更に、前記第１チェックコードを前記管理サーバに送信する。
前記管理サーバは、前記第１チェックコードを保存チェックコードとして保存する。
前記自動運転車両を起動する際、前記管理サーバは、起動指示及び前記保存チェックコードを前記自動運転車両に送信する。
前記起動指示に応答して、前記自動運転車両は、前記記憶装置に格納されている前記チェックコードを第２チェックコードとして読み出し、前記第２チェックコードと前記保存チェックコードが一致するか否かを判定する。
前記第２チェックコードと前記保存チェックコードが一致しない場合、前記自動運転車両は、第１異常対応処理を実施する。

第２の発明は、第１の発明において、更に次の特徴を有する。
チェック情報は、前記自動運転車両の位置及び方位を示す位置方位情報、前記自動運転車両の運転履歴を示す運転履歴情報、及び前記自動運転車両の周辺の画像を示す周辺撮像情報のうち少なくとも１つを含む。
前記自動運転車両は、前記動作停止処理において、前記チェック情報を第１チェック情報として新たに取得し、前記第１チェック情報を前記管理サーバに送信する。
前記管理サーバは、前記第１チェック情報を保存チェック情報として保存する。
前記起動指示に応答して、前記自動運転車両は、前記チェック情報を第２チェック情報として新たに取得し、前記第２チェック情報を前記管理サーバに送信する。
前記管理サーバは、前記第２チェック情報と前記保存チェック情報とを比較することによって、前記自動運転車両が無断で運転されたか否かを判定する。
前記自動運転車両が無断で運転されたと判定した場合、前記管理サーバは、第２異常対応処理を実施する。

第３の発明は、第２の発明において、更に次の特徴を有する。
前記チェック情報は、更に、前記自動運転車両の室内画像及び外観画像のうち少なくとも一方を示す車両撮像情報を含む。
前記管理サーバは、前記第２チェック情報に含まれる前記車両撮像情報と前記保存チェック情報に含まれる前記車両撮像情報とを比較することによって、前記自動運転車両の室内あるいは外観に変化が発生した否かを判定する。
前記変化が発生したと判定した場合、前記管理サーバは、第３異常対応処理を実施する。

第４の発明は、第１の発明において、更に次の特徴を有する。
チェック情報は、前記自動運転車両の室内画像及び外観画像のうち少なくとも一方を示す車両撮像情報を含む。
前記自動運転車両は、前記動作停止処理において、前記チェック情報を第１チェック情報として新たに取得し、前記第１チェック情報を前記管理サーバに送信する。
前記管理サーバは、前記第１チェック情報を保存チェック情報として保存する。
前記起動指示に応答して、前記自動運転車両は、前記チェック情報を第２チェック情報として新たに取得し、前記第２チェック情報を前記管理サーバに送信する。
前記管理サーバは、前記第２チェック情報と前記保存チェック情報とを比較することによって、前記自動運転車両の室内あるいは外観に変化が発生した否かを判定する。
前記変化が発生したと判定した場合、前記管理サーバは、第３異常対応処理を実施する。

本発明によれば、動作停止処理において、最新のチェックコード（第１チェックコード）が生成され、自動運転車両と管理サーバの両方に保存される。自動運転車両を起動する際、自動運転車両に保存されていたチェックコード（第２チェックコード）と管理サーバに保存されていたチェックコード（保存チェックコード）との比較が行われる。

もし第２チェックコードが保存チェックコードと一致しなければ、それは、スタンバイ期間中に何らかの異常事象が発生したことを意味する。第２チェックコードと保存チェックコードとの比較を行うことにより、そのような異常事象の発生を検知することが可能となる。

また、各チェックコードは、自動運転車両に固有の車両コードと、生成される度に値が変わるパスコードという、性質の異なる２種類のコードを含んでいる。仮に車両コードが外部に漏れたとしても、動作停止の直前に生成された最新のパスコードを知ることは極めて困難である。性質の異なる車両コードとパスコードの両方を用いることによって、異常事象の発生の検知精度が向上する。

このように、本発明によれば、スタンバイ期間中に自動運転車両に発生する異常事象を検知することが可能となる。このことは、ドライバレス輸送サービスに対する信頼の向上に寄与する。また、ドライバレス輸送サービスの有用性の低下が防止される。

本発明の実施の形態に係るドライバレス輸送システムの構成を概略的に示すブロック図である。 本発明の実施の形態に係る自動運転車両のスタンバイモードを説明するための概念図である。 本発明の第１の実施の形態におけるチェックコードを説明するための概念図である。 本発明の第１の実施の形態の概要を説明するための概念図である。 本発明の第１の実施の形態に係る自動運転車両の構成例を示すブロック図である。 本発明の第１の実施の形態に係る動作停止処理に関連する処理フローを示すフローチャートである。 本発明の第１の実施の形態に係る異常事象チェック処理に関連する処理フローを示すフローチャートである。 本発明の第２の実施の形態の概要を説明するための概念図である。 本発明の第２の実施の形態に係る自動運転車両の構成例を示すブロック図である。 本発明の第２の実施の形態におけるチェック情報の例を示すブロック図である。 本発明の第２の実施の形態に係る動作停止処理に関連する処理フローを示すフローチャートである。 本発明の第２の実施の形態に係る異常事象チェック処理に関連する処理フローを示すフローチャートである。 本発明の第３の実施の形態に係る自動運転車両の構成例を示すブロック図である。 本発明の第３の実施の形態におけるチェック情報の例を示すブロック図である。 本発明の第４の実施の形態に係る自動運転車両の構成例を示すブロック図である。 本発明の第４の実施の形態におけるチェック情報の例を示すブロック図である。 本発明の第４の実施の形態に係る動作停止処理に関連する処理フローを示すフローチャートである。 本発明の第４の実施の形態に係る異常事象チェック処理に関連する処理フローを示すフローチャートである。

添付図面を参照して、本発明の実施の形態を説明する。

１．ドライバレス輸送システム
図１は、本実施の形態に係るドライバレス輸送システム１の構成を概略的に示すブロック図である。ドライバレス輸送システム１は、利用者に対してドライバレス輸送サービスを提供する。ドライバレス輸送システム１は、自動運転車両１０、管理サーバ２０、及び利用者端末３０を備えている。

自動運転車両１０は、無人自動運転を行うことができる。利用者は自動運転車両１０に乗り込み、自動運転車両１０は利用者に対してドライバレス輸送サービスを提供する。自動運転車両１０は、通信ネットワークを介して、管理サーバ２０及び利用者端末３０と通信可能である。

管理サーバ２０は、ドライバレス輸送サービス及び自動運転車両１０を管理するサーバである。管理サーバ２０は、プロセッサ、記憶装置、及び通信装置を少なくとも備えており、各種情報処理及び通信処理を行うことが可能である。例えば、管理サーバ２０は、利用者の登録情報や自動運転車両１０の運行状態を管理する。また、管理サーバ２０は、通信ネットワークを介して、自動運転車両１０及び利用者端末３０と通信可能である。

利用者端末３０は、利用者が所持する端末である。利用者端末３０は、通信ネットワークを介して、自動運転車両１０及び管理サーバ２０と通信可能である。このような利用者端末３０としては、スマートフォンが例示される。

ドライバレス輸送サービスの基本的な流れは、次の通りである。

まず、利用者は、利用者端末３０を用い、配車リクエストを送信する。配車リクエストには、利用者の希望するピックアップ位置、等が含まれる。配車リクエストは、通信ネットワークを介して、管理サーバ２０に送られる。管理サーバ２０は、当該利用者にサービスを提供する自動運転車両１０を選択し、選択した自動運転車両１０に配車リクエストの情報を送る。当該情報を受け取った自動運転車両１０は、自動的にピックアップ位置に向かう。

自動運転車両１０は、ピックアップ位置に到着し、停車する。利用者は、自動運転車両１０に乗車する。利用者は、希望する目的地（降車位置）を自動運転車両１０に伝える。あるいは、目的地の情報は、配車リクエストに含まれていてもよい。自動運転車両１０は、ドアをロックした後、目的地に向かって自動的に走行する。自動運転車両１０は、目的地に到着し、停車する。自動運転車両１０は、ドアをアンロックし、利用者は、自動運転車両１０から降車する。

２．スタンバイモードにおける異常事象
図２は、本実施の形態に係る自動運転車両１０のスタンバイモードを説明するための概念図である。自動運転車両１０は、待機場所に到着すると、動作を停止し（deactivate）、スタンバイモードに入る。待機場所としては、所定の駐車場や、利用者をピックアップするためのピックアップ位置が例示される。自動運転車両１０がスタンバイモードに入るために行う処理は、以下「動作停止処理」と呼ばれる。動作停止処理は、例えば、イグニッションＯＦＦを含む。

スタンバイモードの自動運転車両１０を起動する（activate）際には、管理サーバ２０が、起動指示ＡＣＴを自動運転車両１０に送信する。自動運転車両１０は、起動指示ＡＣＴに応答して、「起動処理」を行う。起動処理は、例えば、イグニッションＯＮを含む。自動運転車両１０の動作停止（deactivation）から起動（activation）までの期間は、以下「スタンバイ期間」と呼ばれる。

スタンバイ期間中、自動運転車両１０には「異常事象」が発生する可能性がある。異常事象としては、ハッキング、無断運転、車上荒らし、改造、破壊、等が例示される。しかしながら、ドライバレス輸送サービスの場合、自動運転車両１０にドライバは搭乗しないため、自動運転車両１０の起動時にドライバによって異常事象は検知されない。従って、異常事象が発生したままの自動運転車両１０が、利用者のピックアップ等のために自動走行を開始してしまうおそれがある。このことは、ドライバレス輸送サービスに対する信頼の低下を招き、また、ドライバレス輸送サービスの有用性を損なう。

従って、スタンバイ期間中に自動運転車両１０に発生する異常事象を検知することが望まれる。以下、スタンバイ期間中に自動運転車両１０に発生する異常事象を検知するための様々な実施の形態を説明する。

３．第１の実施の形態
３−１．概要
第１の実施の形態では、異常事象を検知するために「チェックコードＣＫＣ」が用いられる。図３は、チェックコードＣＫＣを説明するための概念図である。チェックコードＣＫＣは、車両コードＶＩＤとパスコードＰＳＣを含んでいる。車両コードＶＩＤは、自動運転車両１０に固有の識別番号である。一方、パスコードＰＳＣは、生成される度に値が変わる暗号キーである。チェックコードＣＫＣは、自動運転車両１０の記憶装置に格納（保持）される。

図４は、第１の実施の形態の概要を説明するための概念図である。動作停止処理において、自動運転車両１０は、パスコードＰＳＣを新たに生成する。新たに生成されたパスコードＰＳＣを含む最新のチェックコードＣＫＣは、以下「第１チェックコードＣＫＣ＿１」と呼ばれる。自動運転車両１０は、第１チェックコードＣＫＣ＿１を、記憶装置に格納すると共に管理サーバ２０にも送信する。管理サーバ２０は、自動運転車両１０から受け取った第１チェックコードＣＫＣ＿１を「保存チェックコードＣＫＣ＿Ｓ」として保存する。

自動運転車両１０を起動する際、管理サーバ２０は、起動指示ＡＣＴだけでなく保存チェックコードＣＫＣ＿Ｓも自動運転車両１０に送信する。起動指示ＡＣＴに応答して、自動運転車両１０は、起動処理を行う。この起動処理において、自動運転車両１０は、スタンバイ期間中に異常事象が発生したか否かをチェックする「異常事象チェック処理」を行う。具体的には、自動運転車両１０は、記憶装置に格納されているチェックコードＣＫＣを読み出す。このとき記憶装置から読み出されるチェックコードＣＫＣは、以下「第２チェックコードＣＫＣ＿２」と呼ばれる。

自動運転車両１０は、第２チェックコードＣＫＣ＿２と管理サーバ２０から受信した保存チェックコードＣＫＣ＿Ｓとが一致するか否かを判定する。基本的に、第２チェックコードＣＫＣ＿２は、第１チェックコードＣＫＣ＿１のままであり、保存チェックコードＣＫＣ＿Ｓと一致するはずである。もし第２チェックコードＣＫＣ＿２が保存チェックコードＣＫＣ＿Ｓと一致しなければ、それは、スタンバイ期間中に何らかの異常事象が発生したことを意味する。

従って、第２チェックコードＣＫＣ＿２と保存チェックコードＣＫＣ＿Ｓが一致しない場合、自動運転車両１０は、スタンバイ期間中に異常事象が発生したと判定する。この場合、自動運転車両１０は、所定の異常対応処理（第１異常対応処理）を実施する。例えば、自動運転車両１０は、起動を禁止し、管理サーバ２０に異常事象の発生を通知する。管理サーバ２０は、オペレータ、警備員等に異常事象の発生を通報し、対処を促す。

このように、第１の実施の形態によれば、チェックコードＣＫＣを利用することによって、スタンバイ期間中に発生した異常事象を検知することが可能となる。以下、第１の実施の形態に係る自動運転車両１０の構成例及び処理例について詳しく説明する。

３−２．自動運転車両の構成例
図５は、第１の実施の形態に係る自動運転車両１０の構成例を示すブロック図である。自動運転車両１０は、制御装置１００、通信装置３００、及び走行装置４００を備えている。

制御装置１００は、自動運転車両１０の自動運転を制御する。典型的には、制御装置１００は、プロセッサ及び記憶装置２００を備えるマイクロコンピュータである。制御装置１００は、ＥＣＵ（Electronic Control Unit）とも呼ばれる。記憶装置２００には、制御プログラムが格納される。プロセッサが記憶装置２００に格納された制御プログラムを実行することにより、制御装置１００による自動運転制御が実現される。また、記憶装置２００には、上述のチェックコードＣＫＣが格納される。

通信装置３００は、自動運転車両１０の外部と通信を行う。具体的には、通信装置３００は、通信ネットワークを介して、管理サーバ２０及び利用者端末３０と通信を行う。制御装置１００は、通信装置３００を通して、管理サーバ２０及び利用者端末３０と情報をやりとりすることができる。

走行装置４００は、操舵装置、駆動装置、制動装置を含んでいる。操舵装置は、車輪を転舵する。駆動装置は、駆動力を発生させる動力源である。駆動装置としては、電動機やエンジンが例示される。制動装置は、制動力を発生させる。制御装置１００は、走行装置４００を制御することによって、自動運転車両１０の走行（操舵、加減速）を制御する。

３−３．動作停止処理
図６は、第１の実施の形態に係る動作停止処理に関連する処理フローを示すフローチャートである。自動運転車両１０が待機場所に到着すると、制御装置１００は、スタンバイモードに入るための動作停止処理を行う（ステップＳ１００）。

具体的には、制御装置１００は、パスコードＰＳＣを新たに生成する（ステップＳ１１０）。新たに生成されたパスコードＰＳＣを含む最新のチェックコードＣＫＣは、第１チェックコードＣＫＣ＿１である。制御装置１００は、第１チェックコードＣＫＣ＿１を記憶装置２００に格納する（ステップＳ１２０）。更に、制御装置１００は、通信装置３００を用いて、保存対象情報を管理サーバ２０に送信する（ステップＳ１４０）。第１の実施の形態では、保存対象情報は、第１チェックコードＣＫＣ＿１を含む。その後、制御装置１００は、自動運転車両１０をスタンバイモードに移行させる（ステップＳ１５０）。例えば、制御装置１００は、走行装置４００をＯＦＦする。

管理サーバ２０は、自動運転車両１０から保存対象情報を受信する。そして、管理サーバ２０は、受信した保存対象情報を自身の記憶装置に保存する（ステップＳ２００）。このとき、保存対象情報は、送信元の自動運転車両１０と関連付けられて保存される。つまり、保存対象情報は、自動運転車両１０毎に区別して保存される。第１の実施の形態では、第１チェックコードＣＫＣ＿１が保存チェックコードＣＫＣ＿Ｓとして保存される。

３−４．異常事象チェック処理
図７は、第１の実施の形態に係る異常事象チェック処理に関連する処理フローを示すフローチャートである。自動運転車両１０を起動する際、管理サーバ２０は、起動指示ＡＣＴを自動運転車両１０に送信する（ステップＳ３００）。

更に、管理サーバ２０は、起動対象の自動運転車両１０に関連付けられた保存チェックコードＣＫＣ＿Ｓを、自身の記憶装置から読み出す。そして、管理サーバ２０は、読み出した保存チェックコードＣＫＣ＿Ｓを自動運転車両１０に送信する（ステップＳ４００）。保存チェックコードＣＫＣ＿Ｓは、起動指示ＡＣＴと共に送信されてもよいし、起動指示ＡＣＴの送信後一定時間経過してから送信されてもよい。

起動指示ＡＣＴに応答して、自動運転車両１０の制御装置１００は、異常事象チェック処理を行う（ステップＳ５００）。具体的には、制御装置１００は、管理サーバ２０から送信された保存チェックコードＣＫＣ＿Ｓを、通信装置３００を通して受信する（ステップＳ５１０）。また、制御装置１００は、記憶装置２００に格納されているチェックコードＣＫＣを第２チェックコードＣＫＣ＿２として読み出す（ステップＳ５２０）。

続いて、制御装置１００は、異常事象が発生したか否かを判定する（ステップＳ５３０）。具体的には、制御装置１００は、第２チェックコードＣＫＣ＿２と保存チェックコードＣＫＣ＿Ｓが一致するか否かを判定する。各チェックコードＣＫＣは、車両コードＶＩＤとパスコードＰＳＣを含んでいる。車両コードＶＩＤとパスコードＰＳＣのうち少なくとも一方が一致しない場合、第２チェックコードＣＫＣ＿２は保存チェックコードＣＫＣ＿Ｓと一致していないと判定される。

第２チェックコードＣＫＣ＿２と保存チェックコードＣＫＣ＿Ｓが一致しない場合、制御装置１００は、異常事象が発生したと判定する（ステップＳ５４０；Ｙｅｓ）。この場合、制御装置１００は、所定の異常対応処理を実施する（ステップＳ５５０）。例えば、制御装置１００は、自動運転車両１０の起動を禁止する。また、制御装置１００は、通信装置３００を用いて、管理サーバ２０に異常事象の発生を通知する。管理サーバ２０は、オペレータ、警備員等に異常事象の発生を通報し、対処を促す。

一方、第２チェックコードＣＫＣ＿２と保存チェックコードＣＫＣ＿Ｓが一致する場合、制御装置１００は、異常事象は発生していないと判定する（ステップＳ５４０；Ｎｏ）。この場合、制御装置１００は、起動処理を行う（ステップＳ８００）。例えば、制御装置１００は、走行装置４００をＯＮする。

３−５．効果
以上に説明されたように、第１の実施の形態によれば、動作停止処理において、最新のチェックコードＣＫＣ（第１チェックコードＣＫＣ＿１）が生成され、自動運転車両１０と管理サーバ２０の両方に保存される。自動運転車両１０を起動する際、自動運転車両１０に保存されていたチェックコードＣＫＣ（第２チェックコードＣＫＣ＿２）と管理サーバ２０に保存されていたチェックコードＣＫＣ（保存チェックコードＣＫＣ＿Ｓ）との比較が行われる。

もし第２チェックコードＣＫＣ＿２が保存チェックコードＣＫＣ＿Ｓと一致しなければ、それは、スタンバイ期間中に何らかの異常事象が発生したことを意味する。例えば、ハッキングが行われ、記憶装置２００に格納されているデータが改竄された可能性がある。あるいは、制御装置１００ごと取り替えられた可能性もある。第２チェックコードＣＫＣ＿２と保存チェックコードＣＫＣ＿Ｓとの比較を行うことにより、そのような異常事象の発生を検知することが可能となる。

また、各チェックコードＣＫＣは、自動運転車両１０に固有の車両コードＶＩＤと、生成される度に値が変わるパスコードＰＳＣという、性質の異なる２種類のコードを含んでいる。仮に車両コードＶＩＤが外部に漏れたとしても、動作停止の直前に生成された最新のパスコードＰＳＣを知ることは極めて困難である。性質の異なる車両コードＶＩＤとパスコードＰＳＣの両方を用いることによって、異常事象の発生の検知精度が向上する。

スタンバイ期間における異常事象の発生を検知した場合、自動運転車両１０は、所定の異常対応処理を実施する。例えば、自動運転車両１０は、起動を禁止する。これにより、異常事象が発生したままの自動運転車両１０が、利用者のピックアップ等のために自動走行を開始してしまうといった事態が防止される。自動運転車両１０は、管理サーバ２０に異常事象の発生を通知してもよい。この場合、管理サーバ２０は、オペレータ、警備員等に異常事象の発生を通報し、対処を促すことができる。

他の例として、何者かが、偽の起動指示を自動運転車両１０に送信し、起動を試みる場合を考える。管理サーバ２０が起動指示ＡＣＴを送信しない場合、管理サーバ２０は保存チェックコードＣＫＣ＿Ｓも送信しない。よって、自動運転車両１０は、管理サーバ２０から保存チェックコードＣＫＣ＿Ｓを受信しない。保存チェックコードＣＫＣ＿Ｓが無いため、異常事象チェック処理（ステップＳ５００）は前に進まず、処理フローは起動（ステップＳ８００）まで届かない。つまり、偽の起動指示によって自動運転車両１０が起動されることが未然に防止される。仮に何者かが偽の保存チェックコードを送信してきた場合は、異常事象チェック処理によって検知される。

このように、第１の実施の形態によれば、スタンバイ期間中に自動運転車両１０に発生する異常事象を検知することが可能となる。また、偽の起動指示によって自動運転車両１０が起動されることを未然に防止することが可能となる。これらのことは、ドライバレス輸送サービスに対する信頼の向上に寄与する。また、ドライバレス輸送サービスの有用性の低下が防止される。

４．第２の実施の形態
第２の実施の形態では、異常事象として、特に「無断運転」に着目する。尚、第１の実施の形態と重複する説明は適宜省略される。

４−１．概要
第２の実施の形態では、異常事象を検知するために「チェック情報ＣＫＩ」が用いられる。チェック情報ＣＫＩは、自動運転車両１０がセンサ等を用いることによって取得可能な情報である。

図８は、第２の実施の形態の概要を説明するための概念図である。動作停止処理において、自動運転車両１０は、チェック情報ＣＫＩを新たに取得する。このタイミングで取得される最新のチェック情報ＣＫＩは、以下「第１チェック情報ＣＫＩ＿１」と呼ばれる。自動運転車両１０は、第１チェック情報ＣＫＩ＿１を管理サーバ２０に送信する。管理サーバ２０は、自動運転車両１０から受け取った第１チェック情報ＣＫＩ＿１を「保存チェック情報ＣＫＩ＿Ｓ」として保存する。

自動運転車両１０を起動する際、管理サーバ２０は、起動指示ＡＣＴを自動運転車両１０に送信する。起動指示ＡＣＴに応答して、自動運転車両１０は、チェック情報ＣＫＩを新たに取得する。このタイミングで取得される最新のチェック情報ＣＫＩは、以下「第２チェック情報ＣＫＩ＿２」と呼ばれる。自動運転車両１０は、第２チェック情報ＣＫＩ＿２を管理サーバ２０に送信する。管理サーバ２０は、第２チェック情報ＣＫＩ＿２を受信する。

管理サーバ２０は、スタンバイ期間中に異常事象が発生したか否かをチェックする「異常事象チェック処理」を行う。具体的には、管理サーバ２０は、第２チェック情報ＣＫＩ＿２と保存チェック情報ＣＫＩ＿Ｓとを比較することによって、スタンバイ期間中に自動運転車両１０が無断で運転されたか否かを判定する。自動運転車両１０が無断で運転されたと判定した場合、管理サーバ２０は、所定の異常対応処理（第２異常対応処理）を実施する。例えば、管理サーバ２０は、自動運転車両１０の起動を禁止する。管理サーバ２０は、オペレータ、警備員等に無断運転を通報し、対処を促してもよい。

以下、第２の実施の形態に係る自動運転車両１０の構成例及び処理例について詳しく説明する。

４−２．自動運転車両の構成例
図９は、第２の実施の形態に係る自動運転車両１０の構成例を示すブロック図である。図１０は、チェック情報ＣＫＩの例を示すブロック図である。自動運転車両１０は、上述の制御装置１００、通信装置３００、走行装置４００に加えて、チェック情報取得装置５００を備えている。

チェック情報取得装置５００は、チェック情報ＣＫＩを取得するための装置である。より詳細には、チェック情報取得装置５００は、位置検出装置５１０、運転履歴取得装置５２０、及び周辺撮像装置５３０のうち少なくとも１つを含んでいる。

位置検出装置５１０は、自動運転車両１０の位置及び方位を検出する。例えば、位置検出装置５１０は、ＧＰＳ（Global Positioning System）受信器を含んでいる。位置方位情報ＰＯＳは、位置検出装置５１０によって検出される位置及び方位を示す。

運転履歴取得装置５２０は、自動運転車両１０の運転履歴を取得する。運転履歴としては、走行距離、イグニッションＯＮ回数、操舵角、等が例示される。例えば、運転履歴取得装置５２０は、車輪回転センサ、操舵角センサ、等を含んでいる。運転履歴情報ＨＩＳは、運転履歴取得装置５２０によって取得される運転履歴を示す。

周辺撮像装置５３０は、自動運転車両１０の周辺の状況を撮像する。例えば、周辺撮像装置５３０は、ステレオカメラを含んでいる。周辺撮像情報ＳＩＭＧは、周辺撮像装置５３０によって得られる自動運転車両１０の周辺の画像を示す。

第２の実施の形態におけるチェック情報ＣＫＩは、位置方位情報ＰＯＳ、運転履歴情報ＨＩＳ、及び周辺撮像情報ＳＩＭＧのうち少なくとも１つを含む。制御装置１００は、チェック情報取得装置５００を用いて、チェック情報ＣＫＩを取得する。チェック情報ＣＫＩは、記憶装置２００に一旦格納される。そして、制御装置１００は、通信装置３００を用いて、チェック情報ＣＫＩを管理サーバ２０に送信する。

４−３．動作停止処理
図１１は、第２の実施の形態に係る動作停止処理に関連する処理フローを示すフローチャートである。自動運転車両１０が待機場所に到着すると、制御装置１００は、スタンバイモードに入るための動作停止処理を行う（ステップＳ１００）。

具体的には、制御装置１００は、チェック情報取得装置５００を用いて、チェック情報ＣＫＩを第１チェック情報ＣＫＩ＿１として新たに取得する（ステップＳ１３０）。そして、制御装置１００は、通信装置３００を用いて、保存対象情報を管理サーバ２０に送信する（ステップＳ１４０）。第２の実施の形態では、保存対象情報は、第１チェック情報ＣＫＩ＿１を含む。

第１の実施の形態の場合と同様に、管理サーバ２０は、保存対象情報を自身の記憶装置に保存する（ステップＳ２００）。第２の実施の形態では、第１チェック情報ＣＫＩ＿１が保存チェック情報ＣＫＩ＿Ｓとして保存される。

４−４．異常事象チェック処理
図１２は、第２の実施の形態に係る異常事象チェック処理に関連する処理フローを示すフローチャートである。自動運転車両１０を起動する際、管理サーバ２０は、起動指示ＡＣＴを自動運転車両１０に送信する（ステップＳ３００）。

起動指示ＡＣＴに応答して、自動運転車両１０の制御装置１００は、チェック情報取得処理を行う（ステップＳ６００）。具体的には、制御装置１００は、チェック情報取得装置５００を用いて、チェック情報ＣＫＩを第２チェック情報ＣＫＩ＿２として新たに取得する（ステップＳ６１０）。そして、制御装置１００は、通信装置３００を用いて、第２チェック情報ＣＫＩ＿２を管理サーバ２０に送信する（ステップＳ６２０）。

管理サーバ２０は、異常事象チェック処理を行う（ステップＳ７００）。具体的には、管理サーバ２０は、自動運転車両１０から送信された第２チェック情報ＣＫＩ＿２を受信する（ステップＳ７１０）。また、管理サーバ２０は、起動対象の自動運転車両１０に関連付けられた保存チェック情報ＣＫＩ＿Ｓを、自身の記憶装置から読み出す（ステップＳ７２０）。

続いて、管理サーバ２０は、異常事象が発生したか否かを判定する（ステップＳ７３０）。具体的には、管理サーバ２０は、第２チェック情報ＣＫＩ＿２と保存チェック情報ＣＫＩ＿Ｓとを比較することによって、スタンバイ期間中に自動運転車両１０が無断で運転されたか否かを判定する。

チェック情報ＣＫＩが位置方位情報ＰＯＳを含む場合の判定方法は、次の通りである。管理サーバ２０は、スタンバイ期間における自動運転車両１０の位置及び方位の変化量（ずれ量）を算出する。その変化量がＧＰＳ誤差範囲よりも大きい場合、管理サーバ２０は、無断運転が行われたと判定する。

チェック情報ＣＫＩが運転履歴情報ＨＩＳを含む場合の判定方法は、次の通りである。管理サーバ２０は、スタンバイ期間における走行距離、イグニッションＯＮ回数、あるいは操舵角の変化を算出する。走行距離が増加している場合、イグニッションＯＮ回数が増加している場合、あるいは操舵角が変わっている場合、管理サーバ２０は、無断運転が行われたと判定する。

チェック情報ＣＫＩが周辺撮像情報ＳＩＭＧを含む場合の判定方法は、次の通りである。自動運転車両１０の周囲の物標は、移動物標（例：歩行者、周辺車両）と静止物標（例：看板、建物）を含む。スタンバイ期間中に移動物標の位置は変化してしまうため、管理サーバ２０は、静止物標に着目する。例えば、管理サーバ２０は、第２チェック情報ＣＫＩ＿２と保存チェック情報ＣＫＩ＿Ｓのそれぞれに含まれる周辺撮像情報ＳＩＭＧを比較して、共通の静止物標を抽出する。共通の静止物標が全く見つからない場合、管理サーバ２０は、無断運転が行われたと判定する。共通の静止物標が見つかった場合、管理サーバ２０は、共通の静止物標の特徴点の位置の変化量（ずれ量）を算出する。その変化量が閾値よりも大きい場合、管理サーバ２０は、無断運転が行われたと判定する。

尚、チェック情報ＣＫＩは、位置方位情報ＰＯＳ、運転履歴情報ＨＩＳ、及び周辺撮像情報ＳＩＭＧのうち少なくとも１つを含む。用いるチェック情報ＣＫＩの種類が増加するほど、ステップＳ７３０の判定精度は向上する。

自動運転車両１０が無断で運転されたと判定した場合（ステップＳ７４０；Ｙｅｓ）、管理サーバ２０は、所定の異常対応処理を実施する（ステップＳ７５０）。例えば、管理サーバ２０は、自動運転車両１０の起動を禁止する。管理サーバ２０は、オペレータ、警備員等に無断運転を通報し、対処を促してもよい。

異常事象が検知されなかった場合（ステップＳ７４０；Ｎｏ）、管理サーバ２０は、自動運転車両１０に起動許可を送信する（ステップＳ７６０）。起動許可に応答して、自動運転車両１０の制御装置１００は、起動処理を行う（ステップＳ８００）。例えば、制御装置１００は、走行装置４００をＯＮする。

４−５．効果
以上に説明されたように、第２の実施の形態によれば、動作停止処理において、最新のチェック情報ＣＫＩ（第１チェック情報ＣＫＩ＿１）が取得され、保存チェック情報ＣＫＩ＿Ｓとして保存される。更に、起動指示ＡＣＴに応答するタイミングでも、最新のチェック情報ＣＫＩ（第２チェック情報ＣＫＩ＿２）が取得される。第２チェック情報ＣＫＩ＿２と保存チェック情報ＣＫＩ＿Ｓとの比較を行うことによって、スタンバイ期間中の自動運転車両の無断運転を検知することが可能となる。

無断運転を検知した場合、管理サーバ２０は、所定の異常対応処理を実施する。例えば、管理サーバ２０は、自動運転車両１０の起動を禁止する。これにより、異常事象が発生したままの自動運転車両１０が、利用者のピックアップ等のために自動走行を開始してしまうといった事態が防止される。管理サーバ２０は、オペレータ、警備員等に無断運転を通報し、対処を促してもよい。

第１の実施の形態と同様に、第２の実施の形態も、ドライバレス輸送サービスに対する信頼の向上に寄与する。また、ドライバレス輸送サービスの有用性の低下が防止される。

５．第３の実施の形態
上述の第２の実施の形態の場合と同様に、第３の実施の形態では、異常事象を検知するためにチェック情報ＣＫＩが用いられる。特に、第３の実施の形態では、「車上荒らし」、「改造」、「破壊」の検知について着目する。尚、既出の実施の形態と重複する説明は適宜省略される。

図１３は、第３の実施の形態に係る自動運転車両１０の構成例を示すブロック図である。図１４は、チェック情報ＣＫＩの例を示すブロック図である。チェック情報取得装置５００は、車両撮像装置５４０を含んでいる。車両撮像装置５４０は、自動運転車両１０の室内及び外観のうち少なくとも一方を撮像する。車両撮像情報ＶＩＭＧは、車両撮像装置５４０によって得られる室内画像及び外観画像のうち少なくとも一方を示す。チェック情報ＣＫＩは、その車両撮像情報ＶＩＭＧを含んでいる。

動作停止処理に関連する処理フローは、既出の図１１で示されたものと同じである。

異常事象チェック処理に関連する処理フローは、既出の図１２で示されたものと同じである。ステップＳ７３０において、管理サーバ２０は、自動運転車両１０の室内あるいは外観に変化が発生した否かを判定する。具体的には、管理サーバ２０は、第２チェック情報ＣＫＩ＿２に含まれる車両撮像情報ＶＩＭＧと保存チェック情報ＣＫＩ＿Ｓに含まれる車両撮像情報ＶＩＭＧとの比較を行い、両者間の差分を抽出する。有意な差分が存在する場合、管理サーバ２０は、自動運転車両１０の室内あるいは外観に変化が発生したと判定する。

自動運転車両１０の室内に変化が発生している場合、管理サーバ２０は、スタンバイ期間中に「車上荒らし」が行われたと判定する。自動運転車両１０の外観に変化が発生している場合、管理サーバ２０は、スタンバイ期間中に「改造」あるいは「破壊」が行われたと判定する。これらの場合（ステップＳ７４０；Ｙｅｓ）、管理サーバ２０は、所定の異常対応処理（第３異常対応処理）を実施する（ステップＳ７５０）。例えば、管理サーバ２０は、自動運転車両１０の起動を禁止する。管理サーバ２０は、オペレータ、警備員等に無断運転を通報し、対処を促してもよい。

以上に説明されたように、第３の実施の形態によれば、スタンバイ期間中の車上荒らし、改造、あるいは破壊を検知することが可能となる。第３の実施の形態も、ドライバレス輸送サービスに対する信頼の向上に寄与する。また、ドライバレス輸送サービスの有用性の低下が防止される。

６．第４の実施の形態
第４の実施の形態は、上述の第１〜第３の実施の形態のうち２以上の組み合わせである。第１、第２の実施の形態が組み合わされてもよい。第１、第３の実施の形態が組み合わされてもよい。第２、第３の実施の形態が組み合わされてもよい。第１〜第３の実施の形態が組み合わされてもよい。以下、一例として、第１〜第３の実施の形態の組み合わせを説明する。尚、既出の実施の形態と重複する説明は適宜省略される。

図１５は、自動運転車両１０の構成例を示すブロック図である。図１６は、チェック情報ＣＫＩの例を示すブロック図である。自動運転車両１０の記憶装置２００には、チェックコードＣＫＣ及びチェック情報ＣＫＩが格納される。チェック情報取得装置５００は、位置検出装置５１０、運転履歴取得装置５２０、周辺撮像装置５３０、及び車両撮像装置５４０を含んでいる。チェック情報ＣＫＩは、位置方位情報ＰＯＳ、運転履歴情報ＨＩＳ、周辺撮像情報ＳＩＭＧ、及び車両撮像情報ＶＩＭＧを含んでいる。

図１７は、動作停止処理に関連する処理フローを示すフローチャートである。ステップＳ１００（動作停止処理）は、図６で示されたステップＳ１１０及びステップＳ１２０と図１１で示されたステップＳ１３０を含んでいる。保存対象情報は、第１チェックコードＣＫＣ＿１と第１チェック情報ＣＫＩ＿１を含んでいる。ステップＳ１４０、ステップＳ１５０、及びステップＳ２００は、既出の実施の形態の場合と同様である。

図１８は、異常事象チェック処理に関連する処理フローを示すフローチャートである。ステップＳ３００、ステップＳ６００、ステップＳ７１０〜Ｓ７５０は、図１２で示されたものと同様である。ステップＳ７４０において異常事象が検知されなかった場合（ステップＳ７４０；Ｎｏ）、管理サーバ２０は、図７で示されたステップＳ４００を実施する。つまり、管理サーバ２０は、保存チェックコードＣＫＣ＿Ｓを自動運転車両１０に送信する。その後、自動運転車両１０の制御装置１００は、異常事象チェック処理を行う（ステップＳ５００）。

第４の実施の形態によれば、既出の実施の形態と同じ効果が得られる。

１ ドライバレス輸送システム
１０ 自動運転車両
２０ 管理サーバ
３０ 利用者端末
１００ 制御装置
２００ 記憶装置
３００ 通信装置
４００ 走行装置
５００ チェック情報取得装置
５１０ 位置検出装置
５２０ 運転履歴取得装置
５３０ 周辺撮像装置
５４０ 車両撮像装置
ＡＣＴ 起動指示
ＣＫＣ チェックコード
ＣＫＩ チェック情報
ＨＩＳ 運転履歴情報
ＰＯＳ 位置方位情報
ＰＳＣ パスコード
ＶＩＤ 車両コード
ＳＩＭＧ 周辺撮像情報
ＶＩＭＧ 車両撮像情報

Claims (4)

1. ドライバレス輸送サービスを提供するドライバレス輸送システムであって、
   記憶装置を備える自動運転車両と、
   前記自動運転車両を管理する管理サーバと
   を備え、
   チェックコードは、
   前記自動運転車両に固有の車両コードと、
   生成される度に値が変わるパスコードと
   を含み、
   前記自動運転車両は、スタンバイモードに入るための動作停止処理において、前記パスコードを新たに生成し、新たに生成された前記パスコードを含む前記チェックコードを第１チェックコードとして前記記憶装置に格納し、更に、前記第１チェックコードを前記管理サーバに送信し、
   前記管理サーバは、前記第１チェックコードを保存チェックコードとして保存し、
   前記自動運転車両を起動する際、前記管理サーバは、起動指示及び前記保存チェックコードを前記自動運転車両に送信し、
   前記起動指示に応答して、前記自動運転車両は、前記記憶装置に格納されている前記チェックコードを第２チェックコードとして読み出し、前記第２チェックコードと前記保存チェックコードが一致するか否かを判定し、
   前記第２チェックコードと前記保存チェックコードが一致しない場合、前記自動運転車両は、第１異常対応処理を実施する
   ドライバレス輸送システム。
2. 請求項１に記載のドライバレス輸送システムであって、
   チェック情報は、前記自動運転車両の位置及び方位を示す位置方位情報、前記自動運転車両の運転履歴を示す運転履歴情報、及び前記自動運転車両の周辺の画像を示す周辺撮像情報のうち少なくとも１つを含み、
   前記自動運転車両は、前記動作停止処理において、前記チェック情報を第１チェック情報として新たに取得し、前記第１チェック情報を前記管理サーバに送信し、
   前記管理サーバは、前記第１チェック情報を保存チェック情報として保存し、
   前記起動指示に応答して、前記自動運転車両は、前記チェック情報を第２チェック情報として新たに取得し、前記第２チェック情報を前記管理サーバに送信し、
   前記管理サーバは、前記第２チェック情報と前記保存チェック情報とを比較することによって、前記自動運転車両が無断で運転されたか否かを判定し、
   前記自動運転車両が無断で運転されたと判定した場合、前記管理サーバは、第２異常対応処理を実施する
   ドライバレス輸送システム。
3. 請求項２に記載のドライバレス輸送システムであって、
   前記チェック情報は、更に、前記自動運転車両の室内画像及び外観画像のうち少なくとも一方を示す車両撮像情報を含み、
   前記管理サーバは、前記第２チェック情報に含まれる前記車両撮像情報と前記保存チェック情報に含まれる前記車両撮像情報とを比較することによって、前記自動運転車両の室内あるいは外観に変化が発生した否かを判定し、
   前記変化が発生したと判定した場合、前記管理サーバは、第３異常対応処理を実施する
   ドライバレス輸送システム。
4. 請求項１に記載のドライバレス輸送システムであって、
   チェック情報は、前記自動運転車両の室内画像及び外観画像のうち少なくとも一方を示す車両撮像情報を含み、
   前記自動運転車両は、前記動作停止処理において、前記チェック情報を第１チェック情報として新たに取得し、前記第１チェック情報を前記管理サーバに送信し、
   前記管理サーバは、前記第１チェック情報を保存チェック情報として保存し、
   前記起動指示に応答して、前記自動運転車両は、前記チェック情報を第２チェック情報として新たに取得し、前記第２チェック情報を前記管理サーバに送信し、
   前記管理サーバは、前記第２チェック情報と前記保存チェック情報とを比較することによって、前記自動運転車両の室内あるいは外観に変化が発生した否かを判定し、
   前記変化が発生したと判定した場合、前記管理サーバは、第３異常対応処理を実施する
   ドライバレス輸送システム。

Images