JP7439810B2 - サーバ、情報処理システムおよび情報処理方法 - Google Patents

Description

本開示は、サーバおよび情報処理方法に関し、より特定的には、自動運転車両の運行を管理するサーバ、それを備えた情報処理システム、および、自動運転車両の運行に関する情報をサーバにより管理する情報処理方法に関する。

特開２０１８－１３２９７９号公報（特許文献１）は、車両に搭載された制御装置のソフトウェアの更新を管理するソフトウェア更新システムを開示する。当該システムは、無線通信（いわゆるＯＴＡ（Over The Air））によりソフトウェアを更新する。

特開２０１８－１３２９７９号公報

車両に搭載された制御装置の制御プログラムの更新後には以下のような課題が生じ得る点に本発明者らは着目した。従来の車両ではドライバが車室内にいるので、ドライバは、制御プログラムがどのように変更されたかを確認した上で、車両の走行を開始してよいかどうかを判断できる。他方、自動運転車両は、自動運転車両の外部から監視され得る。すなわち、自動運転車両ではドライバが車室内にいるとは必ずしも限らない。したがって、制御プログラムの更新後に車両の走行を開始してよいかどうかをどのように判断するかが課題となり得る。このような状況について特許文献１では何ら検討されていない。

本開示は上記課題を解決するためになされたものであり、本開示の目的は、自動運転車両に搭載された制御装置の制御プログラムの更新後に自動運転車両の走行を適切に開始することである。

（１）本開示のある局面に係るサーバは、自動運転車両を監視する。自動運転車両は、自動運転車両に搭載された制御装置の制御プログラムを管制センタから無線通信で取得するように構成されている。サーバは、自動運転車両の外部から自動運転車両を監視する遠隔監視者の操作を受け付ける入力装置と、遠隔監視者に情報を提示する出力装置と、自動運転車両と通信可能に構成された通信装置と、入力装置、出力装置および通信装置を制御するプロセッサとを備える。プロセッサは、自動運転車両の制御プログラムが更新された場合に、サーバが制御プログラムの変更内容を遠隔監視者に提示するように出力装置を制御する。プロセッサは、自動運転車両が更新後の制御プログラムに従って走行することを遠隔監視者が許可する操作が入力装置により受け付けられた場合に、自動運転車両に走行の許可を通知するように通信装置を制御する。

（２）プロセッサは、制御プログラムの更新前における自動運転車両の機能と、制御プログラムの更新後における自動運転車両の機能とを比較可能な態様で遠隔監視者に提示するように、出力装置を制御する。

（３）プロセッサは、遠隔監視者が自動運転車両を監視する際に使用する情報に関する変更内容を遠隔監視者に提示するように、出力装置を制御する。

（４）サーバは、各々に複数の制御装置が搭載された複数の車両の運行を管理する。変更内容は、複数の車両のなかから制御プログラムが更新された車両を特定するための情報を含むとともに、当該車両に搭載された複数の制御装置のなかから制御プログラムが更新された制御装置を特定するための条件を含む。

（５）本開示の他の局面に係る情報処理システムは、上記サーバと、自動運転車両とを備える。

（６）自動運転車両は、サーバから走行を許可する通知を受けるのを待って走行を開始する。

（７）本開示のさらに他の局面に係る情報処理方法は、自動運転車両をサーバにより監視する。自動運転車両は、自動運転車両に搭載された制御装置の制御プログラムを管制センタから無線通信で取得するように構成されている。情報処理方法は、第１および第２のステップを含む。第１のステップは、自動運転車両の制御プログラムが更新された場合に、サーバが制御プログラムの変更内容を、自動運転車両の外部から自動運転車両を監視する遠隔監視者に提示するステップである。第２のステップは、自動運転車両が更新後の制御プログラムに従って走行することを許可する操作を遠隔監視者が行った場合に、自動運転車両に走行の許可を通知するステップである。

本開示によれば、自動運転車両に搭載された制御装置の制御プログラムの更新後に自動運転車両の走行を適切に開始できる。

本実施の形態に係る情報処理システムの概略構成を示す図である。 サーバの典型的なハードウェア構成を示すブロック図である。 サーバの典型的なハードウェア構成を示すブロック図である。 制御プログラムの更新に関するサーバの機能的構成を示す機能ブロック図である。 制御プログラムの更新後の走行開始に関するサーバの機能的構成を示す機能ブロック図である。 情報処理システムで実行される処理の流れを説明するための第１のフローチャートである。 制御プログラムの更新の可否の運行管理者への問合せ前にディスプレイに表示される画像の一例を示す図である。 制御プログラムの更新の可否の運行管理者への問合せに際してディスプレイに表示される画像の一例を示す図である。 情報処理システムで実行される処理の流れを説明するための第２のフローチャートである。 車両の走行開始の可否の遠隔監視者への問合せ前にディスプレイに表示される画像の一例を示す図である。 車両の走行開始の可否の遠隔監視者への問合せに際してディスプレイに表示される画像の一例を示す図である。

以下、本開示の実施の形態について、図面を参照しながら詳細に説明する。なお、図中同一または相当部分には同一符号を付して、その説明は繰り返さない。

［実施の形態］
＜情報処理システムの概略構成＞
図１は、本実施の形態に係る情報処理システムの概略構成を示す図である。情報処理システム１００は、サーバ１と、管制センタ２と、複数の車両３Ａ，３Ｂ，３Ｃとを備える。以下では、説明の便宜上、車両３Ａ，３Ｂ，３Ｃのうちの任意の１つの端末装置を車両３と記載する。なお、図１には３台の車両３を示すが、車両３の台数は任意の値である。

サーバ１は、たとえば、車両３の運行を管理する事業者（バス事業者、タクシ－事業者、ライドシェアサービス事業者など）の自社サーバである。サーバ１は、当該事業者を含む複数の事業者で共有されるシェアードサーバであってもよい。サーバ１は、クラウドサーバ管理会社が提供するクラウドサーバであってもよい。

サーバ１は、車両３の運行管理者によって使用されるとともに、車両３の遠隔監視者によっても使用される。運行管理者とは、たとえば、車両３の運行を管理する事業体に勤務する、車両３の制御プログラムを更新する権限を有する職員（いわゆる上位の管理者）である。遠隔監視者とは、遠隔から車両３を監視するとともに車両３の操作を適宜行う職員（いわゆるオペレータ）である。運行管理者と遠隔監視者とは通常は別人物であるが、同一人物であってもよい。この例では、運行管理者と遠隔監視者とが別人物である状況を想定して説明する。

管制センタ２は、車両３に搭載されたＥＣＵ（Electronic Control Unit）３１（図２参照）の制御プログラムを提供する事業者（たとえば車両メーカー）のサーバである。

各車両３は、自動運転車両である。各車両３は、上記事業者が提供するサービスに用いられる。車両３の種類（車種）は、事業者により提供されるサービスに応じて適宜選択される。この例では、車両３はバスである。サーバ１と管制センタ２と各車両３とは、有線または無線のネットワークＮＷを介して互いに通信可能に接続されている。

＜車両のハードウェア構成＞
図２は、車両３の典型的なハードウェア構成を示すブロック図である。車両３は、ＥＣＵ３１と、自動運転システム３２と、センサ群３３と、ナビゲーションシステム３４と、ＤＣＭ（Data Communication Module）３５とを備える。ＥＣＵ３１と、自動運転システム３２と、センサ群３３と、ナビゲーションシステム３４、ＤＣＭ３５とは、ＣＡＮ（Controller Area Network）、イーサネット（Ethernet）（登録商標）などの有線の車載ネットワークにより互いに接続されている。

ＥＣＵ３１は、プロセッサ３１１と、メモリ３１２とを含む。メモリ３１２は、ＲＯＭ（Read Only Memory）３１２Ａと、ＲＡＭ（Random Access Memory）３１２Ｂと、フラッシュメモリ３１２Ｃとを含む。プロセッサ３１１は、制御プログラムを実行することによって車両３の全体的な動作を制御する。メモリ３１２は、プロセッサ３１１により実行されるソフトウエアを記憶する。特に、フラッシュメモリ３１２Ｃは、ＯＴＡによって更新される制御プログラムを記憶している。なお、フラッシュメモリ３１２Ｃは、他の書き換え可能な不揮発性メモリであってもよい。

ＥＣＵ３１は、センサ群３３などからの信号に応じて車両３が所望の状態となるように機器類を制御する。ＥＣＵ３１は、自動運転システム３２と協調しながら、各種システムを制御するための指令を出力する。各種システムは、いずれも図示しないが、ブレーキシステム、ステアリングシステム、パワートレーンシステム（たとえば電動パーキングブレーキシステム、パーキングロックシステム、シフト装置、モータジェネレータ）、ボディシステム（たとえば方向指示器、ホーン、ワイパー）などを含み得る。

ＥＣＵ３１は、ＤＣＭ３５を介して、車両３の状態を示す様々な情報をサーバ１に送信したり、様々な要求をサーバ１に送信したりする。また、ＥＣＵ３１は、サーバ１からＤＣＭ３５を介して指令または通知を受信する。加えて、本実施の形態において、ＥＣＵ３１は、管制センタ２からＤＣＭ３５を介して制御プログラムを受信（ダウンロード）し、ダウンロードした制御プログラムを適切なタイミングでメモリ３１２にインストールする。そして、ＥＣＵ３１は、インストールされた制御プログラムを適切なタイミングでアクティベートする。なお、ＥＣＵ３１は、機能毎に複数のＥＣＵに分割されていてもよい。後述する例（図８参照）では、ＥＣＵ３１はカメラＥＣＵを含む。

自動運転システム３２は、車両３の自動運転を実現可能に構成されている。自動運転とは、車両３の動作が車両３のドライバの運転操作によらずに実行される制御である（無人運転）。この例では、自動運転システム３２は、車両３の完全自動運転が可能に構成されている。ただし、自動運転は、車両３の加速、減速および操舵等の動作に際して車両３のドライバの運転操作を支援する制御を含んでもよい（有人運転）。自動運転システム３２がＥＣＵ３１の一部であってもよい。

センサ群３３は、車両３の外部状況を検出するように構成されたセンサを含むとともに、車両３の走行状態に応じた情報ならびに操舵操作、アクセル操作およびブレーキ操作を検出するように構成されたセンサ（いずれも図示せず）を含む。具体的には、センサ群３３は、たとえば、カメラ、レーダー（Radar）、ライダー（ＬＩＤＡＲ：Laser Imaging Detection and Ranging）、車速センサ、加速度センサ、ヨーレートセンサ（いずれも図示せず）を含み得る。

ナビゲーションシステム３４は、ＧＰＳ（Global Positioning System）受信機（図示せず）を含む。ＧＰＳ受信機は、人工衛星（図示せず）からの電波に基づいて車両３の位置を特定する。ナビゲーションシステム３４は、ＧＰＳ受信機により特定された車両３の位置情報を用いて車両３のナビゲーション処理を実行する。

ＤＣＭ３５は、車載通信モジュールである。ＤＣＭ３５は、ＥＣＵ３１とサーバ１との双方向のデータ通信が可能、かつ、ＥＣＵ３１と管制センタ２との双方向のデータ通信が可能に構成されている。

＜サーバのハードウェア構成＞
図３は、サーバ１の典型的なハードウェア構成を示すブロック図である。サーバ１は、プロセッサ１１と、メモリ１２と、キーボード１３と、マウス１４と、カメラ１５と、ディスプレイ１６と、通信インターフェース（ＩＦ）１７とを備える。メモリ１２は、ＲＯＭ１２１と、ＲＡＭ１２２と、ＨＤＤ（Hard Disk Drive）１２３とを備える。プロセッサ１１と、メモリ１２と、キーボード１３と、マウス１４と、カメラ１５と、ディスプレイ１６と、通信ＩＦ１７とは、バスにより互いに接続されている。

プロセッサ１１は、サーバ１の全体的な動作を制御する。メモリ１２は、プロセッサ１１により実行される、オペレーティングシステムおよびアプリケーションプログラムを記憶する。キーボード１３およびマウス１４は、ユーザの入力を受け付ける。カメラ１５は、サーバ１の操作者を撮影する。本実施の形態において、サーバ１の操作者は、車両３の運行管理者または遠隔監視者である。ディスプレイ１６は、各種情報をサーバ１の操作者に対して表示する。通信ＩＦ１７は、管制センタ２および各車両３との通信が可能に構成されている。

なお、キーボード１３およびマウス１４のうちの少なくとも一方は、本開示に係る「入力装置」に相当する。「入力装置」は、車両運行管理専用の操作端末、タッチパネル、マイクロホン等であってもよい。ディスプレイ１６および通信ＩＦ１７のうちの少なくとも一方は、本開示に係る「出力装置」に相当する。「出力装置」は、たとえばスピーカーであってもよい。キーボード１３、マウス１４およびカメラ１５のうちの少なくとも１つは、本開示に係る「認証装置」に相当する。

＜制御プログラムの更新後の走行＞
従来の有人運転車両ではドライバが車室内にいるので、ドライバは、制御プログラムがどのように変更されたかを確認した上で、車両の走行を開始してよいかどうかを判断できる。他方、自動運転車両である車両３は、車両３の外部から監視されており、車室内にはドライバがいない。したがって、制御プログラムの更新後に車両３の走行を開始してよいかどうかをどのように判断するかが課題となり得る。

本実施の形態においては、制御プログラムの更新後に、サーバ１（プロセッサ１１）が制御プログラムの変更内容をディスプレイ１６に表示する。そして、遠隔監視者がキーボード１３またはマウス１４に対して、制御プログラムが更新された車両３の走行を許可する操作を行った場合に、サーバ１は、車両３に走行の許可を通知する。車両３は、サーバ１から走行を許可する通知を受けるのを待って走行を開始する。これにより、たとえ車両３が無人であっても制御プログラムの更新後に車両３の走行を適切に開始できる。

＜サーバの機能的構成＞
図４は、制御プログラムの更新に関するサーバ１の機能的構成を示す機能ブロック図である。サーバ１は、通信部４１と、演算処理部４２と、入力部４３と、表示部４４と、撮影部４５とを含む。演算処理部４２は、メモリ１２に記憶されたオペレーティングシステムおよびアプリケーションプログラムをプロセッサ１１が実行することによって実現される機能ブロックである。演算処理部４２は、通信制御部４２１と、通知部４２２と、操作受付部４２３と、画像生成部４２４と、記憶部４２５と、認証部４２６とを含む。

通信部４１は、外部（管制センタ２および／または車両３）との通信を行う。より具体的には、通信部４１は、車両３のＥＣＵ３１の制御プログラムの更新条件を外部から受信する。更新条件の詳細については後述する。また、通信部４１は、制御プログラムの更新条件を確認した車両３の運行管理者が制御プログラムの更新を認めるか否か（許諾／拒絶）を示す通知を外部に送信する。なお、通信部４１は、図３の通信ＩＦ１７に対応する。

通信制御部４２１は、通信部４１を介した外部との通信を制御する。通信制御部４２１は、通信部４１により受信された制御プログラムの更新条件を画像生成部４２４に出力したり、通知部４２２により生成された通知を通信部４１から外部に送信したりする。

操作受付部４２３は、車両３の運行管理者による入力部４３への入力操作を通知部４２２または認証部４２６に出力する。より具体的には、操作受付部４２３は、運行管理者が制御プログラムの更新を認めるか否かを選択した結果（後述する例では、はいボタン／いいえボタンの操作結果）を通知部４２２に出力する。操作受付部４２３は、運行管理者により入力されたパスワードを認証部４２６に出力することも可能である。なお、入力部４３は、図３のキーボード１３またはマウス１４に対応する。

画像生成部４２４は、通信制御部４２１により受信された制御プログラムの更新条件を示す画像を生成する。また、画像生成部４２４は、更新条件を確認した運行管理者が制御プログラムの更新を認めるか否かを選択するための画像を生成する。表示部４４は、画像生成部４２４により生成された画像を運行管理者に対して表示する。なお、表示部４４は、図３のディスプレイ１６に対応する。

撮影部４５は、車両３の運行管理者を撮影し、撮影された画像を認証部４２６に出力する。なお、撮影部４５は、図３のカメラ１５に対応する。

記憶部４２５は、車両３の運行管理者を認証するためのデータを記憶する。運行管理者の認証手法は特に限定されず、公知の様々な手法を採用できる。この例では、記憶部４２５は、運行管理者の顔認証のための特徴量を記憶する。記憶部４２５は、他の生体認証（指紋認証、虹彩認証、音声認証など）のためのデータを記憶していてもよい。記憶部４２５は、運行管理者が設定したパスワードを記憶していてもよい。

認証部４２６は、撮影部４５により撮影された画像と、記憶部４２５に記憶された特徴量とに基づいて、運行管理者を認証する。認証部４２６は、入力部４３に入力されたパスワードと、記憶部４２５に記憶されたパスワードとに基づいて、運行管理者を認証してもよい。認証部４２６は、認証結果を通知部４２２に出力する。

通知部４２２は、サーバ１を操作しているのが事前に登録された正規の運行管理者であることが認証部４２６により認証された場合に、運行管理者が制御プログラムの更新を認めるか否かを示す通知を生成する。より具体的には、運行管理者が制御プログラムの更新を認める操作を行った場合（はいボタンが押下された場合）には、通知部４２２は、制御プログラムの更新許諾通知を生成する。一方、運行管理者が制御プログラムの更新を認めない操作を行った場合（いいえボタンが押下された場合）には、通知部４２２は、制御プログラムの更新拒絶通知を生成する。通知部４２２により生成された通知は通信制御部４２１に出力されて通信部４１から外部に送信される。

図５は、制御プログラムの更新後の走行開始に関するサーバ１の機能的構成を示す機能ブロック図である。サーバ１は、通信部５１と、演算処理部５２と、入力部５３と、表示部５４とを含む。演算処理部５２は、演算処理部４２と同様に、メモリ１２に記憶されたオペレーティングシステムおよびアプリケーションプログラムをプロセッサ１１が実行することによって実現される機能ブロックである。演算処理部５２は、通信制御部５２１と、通知部５２２と、操作受付部５２３と、画像生成部５２４とを含む。

通信部５１は外部との通信を行う。通信部５１は、制御プログラムの変更内容を外部から受信する。変更内容の詳細については後述する。また、通信部４１は、制御プログラムの変更内容を確認した車両３の遠隔監視者が車両３の運転開始（運転再開）を認めるか否か（拒絶／禁止）を示す通知を外部に送信する。なお、通信部５１は、図３の通信ＩＦ１７に対応する。

通信制御部５２１は、通信部５１を介した外部との通信を制御する。通信制御部５２１は、通信部５１により受信された制御プログラムの変更内容を画像生成部５２４に出力したり、通知部５２２により生成された通知を通信部５１から外部に送信したりする。

操作受付部５２３は、車両３の遠隔監視者による入力部５３への入力操作を通知部５２２に出力する。より具体的には、操作受付部５２３は、遠隔監視者が制御プログラムの更新を認めるか否かを選択した結果（はいボタン／いいえボタンの操作結果）を通知部５２２に出力する。

画像生成部５２４は、通信制御部５２１により受信された制御プログラムの変更内容を示す画像を生成する。また、画像生成部５２４は、変更内容を確認した遠隔監視者が、制御プログラムの更新後の車両３の走行開始を認めるか否かを選択するための画像を生成する。表示部５４は、画像生成部５２４により生成された画像を遠隔監視者に対して表示する。なお、表示部５４は、図３のディスプレイ１６に対応する。

通知部５２２は、遠隔監視者が車両３の走行開始を認めるか否かを示す通知を生成する。より具体的には、遠隔監視者が車両３の走行開始を認める操作を行った場合（はいボタンが押下された場合）には、通知部５２２は、車両３の走行開始の許可通知を生成する。一方、遠隔監視者が車両３の走行開始を認めない操作を行った場合（いいえボタンが押下された場合）には、通知部５２２は、車両３の走行開始の禁止通知を生成する。通知部５２２により生成された通知は通信制御部５２１に出力されて通信部５１から外部に送信される。

＜処理フロー＞
図６は、情報処理システム１００で実行される処理の流れを説明するための第１のフローチャートである。図６および後述する図９に示されるフローチャートは、たとえば予め定められた時間間隔で実行される。左側にサーバ１により実行される処理を示し、右側に管制センタ２により実行される処理を示す。右側の処理は車両３により実行されてもよい。管制センタ２と車両３とは相互に通信可能であるため、サーバ１からの通知は、管制センタ２経由で車両３に到達し得るし、車両３経由で管制センタ２に到達し得るためである。各ステップは、ソフトウェア処理により実現されるが、ハードウェア（電気回路）により実現されてもよい。以下、ステップを「Ｓ」と記載する。

Ｓ２１において、管制センタ２は、車両３のＥＣＵ３１について更新可能な制御プログラムが存在するかどうかを判定する。更新可能な制御プログラムが存在する場合（Ｓ２１においてＹＥＳ）、管制センタ２は、その旨をサーバ１に通知する。この際、管制センタ２は、制御プログラムの更新条件（後述）を併せてサーバ１に通知する（Ｓ２２）。

管制センタ２から通知を受けると、サーバ１は、たとえばカメラ１５を用いてサーバ１の操作者を検知する（Ｓ１１）。そして、サーバ１は、サーバ１の操作者が事前に登録された正規の運行管理者であるかどうかを認証する（Ｓ１２）。サーバ１の操作者が認証された場合（Ｓ１３においてＹＥＳ）、サーバ１は、制御プログラムの更新条件をディスプレイ１６に表示する（Ｓ１４）。サーバ１は、制御プログラムの更新の可否を運行管理者に問い合わせる。そして、サーバ１は、制御プログラムの更新の可否に関する運行管理者による操作を受け付ける（Ｓ１５）。

図７は、制御プログラムの更新の可否の運行管理者への問合せ前にディスプレイ１６に表示される画像の一例を示す図である。運行管理者への問合せ前には、サーバ１の管理下にある複数の車両３（この例ではバス）の各々の走行状況がディスプレイ１６の運行管理画面に表示されている。より具体的には、時刻、車両３の走行経路名、車両３の識別番号、車両３のステータス（時刻表に規定された時刻に対する遅れ、ＳＯＣ（State Of Charge）の低下など）が表示されている。また、各車両３の走行経路上における現在地を示す地図がディスプレイ１６に表示されている。

図８は、制御プログラムの更新の可否の運行管理者への問合せに際してディスプレイ１６に表示される画像の一例を示す図である。運行管理者への問合わせ時には、図７に示した画面上にダイアログボックスが表示される。ダイアログボックスには、たとえば、対象とする車両３（この例では１号車）を特定する情報、対象とするＥＣＵ（カメラＥＣＵ）を特定する情報、制御プログラムの更新内容の簡単な説明（動画コーデックフォーマット追加対応）、更新された制御プログラムに不具合があった場合の免責事項（特になし）、制御プログラムの更新に伴う機能制約（特になし）が表示される。それに加えて、ダイアログボックスには、たとえば、制御プログラムの更新予定期間（本日１８時から翌日８時まで）、制御プログラムの更新所要時間（約５分）が表示される。

サーバ１は、上記の各更新条件を表示した上で、車両３の運行管理者が制御プログラムの更新を許諾するかどうかを問い合わせる。この例では、運行管理者が「はい」ボタンをクリックした場合、制御プログラムの更新が許諾（許可）される。一方、運行管理者が「いいえ」ボタンをクリックした場合には、制御プログラムの更新が拒絶（禁止）される。なお、運行管理者が「詳細確認」ボタンをクリックすることで、各更新条件のより詳細な内容を確認した上で更新の許諾／拒絶を判断できる。

図６を再び参照して、制御プログラムの更新を許諾する操作が運行管理者により行われた場合（Ｓ１６においてＹＥＳ）、サーバ１は、制御プログラムの更新許諾を管制センタ２に通知する（Ｓ１８）。管制センタ２は、更新許諾の通知を受けると（Ｓ２３においてＹＥＳ）、制御プログラムの更新に適した条件が成立した場合（たとえばサービスの提供を終えた車両３が車庫に戻って駐車した場合）に車両３と協調しながら制御プログラムの更新（ＯＴＡ）を実行する（Ｓ２４）。すなわち、管制センタ２から車両３に制御プログラムがダウンロードされ、ＥＣＵ３１のフラッシュメモリ３１２Ｃにインストールされる。

一方、制御プログラムの更新を拒絶する操作が運行管理者により行われた場合（Ｓ１６においてＮＯ）、サーバ１は、制御プログラムの更新拒絶を管制センタ２に通知する（Ｓ１７）。管制センタ２は、更新拒絶の通知を受けた場合（Ｓ２３においてＮＯ）には制御プログラムの更新（ＯＴＡ）を実行しない。図示しないが、制御プログラムの更新を許諾する操作が時間内に行われなかった場合にも、管制センタ２は、制御プログラムの更新を実行しない。

図９は、情報処理システム１００で実行される処理の流れを説明するための第２のフローチャートである。左側にサーバ１により実行される処理を示し、右側に車両３管制センタ２により実行される処理を示す。右側の処理の一部が管制センタ２により実行されてもよい。これらの処理は、図６に示した第１のフローチャートに従って制御プログラムが更新された後に実行される。

Ｓ４１において、車両３は、車両３の走行開始条件が成立したかどうかを判定する。たとえば、制御プログラムの更新後に車庫に駐車している車両３に関して運行開始時刻が近付いた場合に、車両３は、車両３の走行開始条件が成立したと判定する。車両３の走行開始条件が成立した場合（Ｓ４１においてＹＥＳ）、車両３は、制御プログラムの変更内容をサーバ１に通知する（Ｓ４２）。この通知は運行管理者とは別の遠隔監視者に対して行われる。

車両３から通知を受けると、サーバ１は、制御プログラムの変更内容をディスプレイ１６に表示する（Ｓ３１）。サーバ１は、制御プログラムの更新後の車両３の走行開始の可否を遠隔監視者に問い合わせる。そして、サーバ１は、車両３の走行開始の可否に関する遠隔監視者による操作を受け付ける（Ｓ３２）。

図１０は、車両３の走行開始の可否の遠隔監視者への問合せ前にディスプレイ１６に表示される画像の一例を示す図である。遠隔監視者への問合せ前には、対象とする車両３の運行状況（この例では停留所毎のダイヤの時刻、実績時刻）、車両３の状況（たとえば速度）、車両３の運転モードの切替、車両３の操作（ドア開閉、緊急停止など）が表示されるとともに、車両３の車室内の映像が表示されている。

図１１は、車両３の走行開始の可否の遠隔監視者への問合せに際してディスプレイ１６に表示される画像の一例を示す図である。遠隔監視者への問合せ時には、図１０に示した画面上にダイアログボックスが表示される。ダイアログボックスには、たとえば、対象とする車両３（この例では１号車）を特定する情報、対象とするＥＣＵ（カメラＥＣＵ）を特定する情報、制御プログラムの更新内容の簡単な説明（動画コーデックフォーマット追加対応）、更新された制御プログラムに不具合があった場合の免責事項（特になし）、制御プログラムの更新に伴う機能制約（特になし）が表示される。

それに加えて、ダイアログボックスには、制御プログラムの変更内容（車載カメラにより撮影された映像を写す画面数が最大２画面から最大４画面に増えること）が表示される。このように、制御プログラムの更新前における機能と、制御プログラムの更新後における機能とを比較可能な態様で遠隔監視者に提示することが好ましい。また、遠隔監視者が車両３を監視する際に使用する情報については特に遠隔監視者に提示することが好ましい。

サーバ１は、上記の変更内容を表示した上で、車両３の遠隔監視者が制御プログラムの更新後の車両３の走行を許可するかどうかを問い合わせる。この例では、遠隔監視者が「はい」ボタンをクリックした場合、車両３の走行が許可される。一方、遠隔監視者が「いいえ」ボタンをクリックした場合には、車両３の走行が禁止される。なお、遠隔監視者は、「詳細確認」ボタンをクリックすることで、変更内容のより詳細な内容を確認した上で走行の許可／禁止を判断できる。

図９を再び参照して、車両３の走行開始を許可する操作が遠隔監視者により行われた場合（Ｓ３３においてＹＥＳ）、サーバ１は、車両３の走行開始許可を車両３に通知する（Ｓ３５）。車両３は、走行開始許可の通知を受けると（Ｓ４３においてＹＥＳ）、走行を開始する（Ｓ４４）。たとえば、車両３は、ＥＣＵ３１のフラッシュメモリ３１２Ｃにインストールされた制御プログラムをアクティベートして走行を開始する。

一方、車両３の走行開始を禁止する操作が遠隔監視者により行われた場合（Ｓ３３においてＮＯ）、サーバ１は、車両３の走行開始禁止を車両３に通知する（Ｓ３４）。車両３は、走行開始禁止の通知を受けた場合（Ｓ４３においてＮＯ）には走行開始することなく待機する。

以上のように、本実施の形態においては、車両３のＥＣＵ３１について更新可能な制御プログラムが存在する場合に、管制センタ２（車両３であってもよい）は、制御プログラムの更新の可否をサーバ１に問い合わせる。問合せを受けたサーバ１は、制御プログラムの更新の可否に関する運行管理者による操作結果（許諾／拒絶）を管制センタ２（車両３であってもよい）に回答する。これにより、たとえ制御プログラムの更新権限を有する人物が車両３に搭乗していなくても制御プログラムを更新できる。よって、本実施の形態によれば、車両３に搭載されたＥＣＵ３１の制御プログラムを適切に更新できる。

さらに、本実施の形態においては、車両３のＥＣＵ３１の制御プログラムの更新後に、車両３は、制御プログラムの変更内容（車両３の制御、動作、機能等の変更点）とともに、車両３の走行開始の可否をサーバ１に問い合わせる。問合せを受けたサーバ１は、走行開始の可否に関する遠隔監視者による操作結果（許可／禁止）を車両３（に回答する。これにより、車両３に搭乗していない遠隔監視者が制御プログラムの変更内容を把握した上で車両３の走行を開始させることができる。よって、本実施の形態によれば、制御プログラムの更新後の車両３を適切に運行できる。

今回開示された実施の形態は、すべての点で例示であって制限的なものではないと考えられるべきである。本開示の範囲は、上記した実施の形態の説明ではなくて特許請求の範囲によって示され、特許請求の範囲と均等の意味および範囲内でのすべての変更が含まれることが意図される。

１ サーバ、１１ プロセッサ、１２ メモリ、１２１ ＲＯＭ、１２２ ＲＡＭ、１２３ ＨＤＤ、１３ キーボード、１４ マウス、１５，ＥＣＵ カメラ、１６ ディスプレイ、１７ 通信ＩＦ、２ 管制センタ、３，３Ａ，３Ｂ，３Ｃ 車両、３１ ＥＣＵ、３１１ プロセッサ、３１２ メモリ、３１２Ａ ＲＯＭ、３１２Ｂ ＲＡＭ、３１２Ｃ フラッシュメモリ、３２ 自動運転システム、３３ センサ群、３４ ナビゲーションシステム、３５ ＤＣＭ、４１，５１ 通信部、４２，５２ 演算処理部、４２１，５２１ 通信制御部、４２２，５２２ 通知部、４２３，５２３ 操作受付部、４２４，５２４ 画像生成部、４２５ 記憶部、４２６ 認証部、４３，５３ 入力部、４４，５４ 表示部、４５ 撮影部、１００ 情報処理システム、ＮＷ ネットワーク。

Claims (7)

1. 自動運転車両を監視するサーバであって、
   前記自動運転車両は、前記自動運転車両に搭載された制御装置の制御プログラムを管制センタから無線通信で取得するように構成され、
   前記サーバは、
   前記自動運転車両の外部から前記自動運転車両を監視する遠隔監視者の操作を受け付ける入力装置と、
   前記遠隔監視者に情報を提示する出力装置と、
   前記自動運転車両と通信可能に構成された通信装置と、
   前記入力装置、前記出力装置および前記通信装置を制御するプロセッサとを備え、
   前記プロセッサは、
   前記自動運転車両の前記制御プログラムが更新された場合に、前記サーバが前記制御プログラムの変更内容を前記遠隔監視者に提示するように前記出力装置を制御し、
   前記自動運転車両が更新後の前記制御プログラムに従って走行することを前記遠隔監視者が許可する操作が前記入力装置により受け付けられた場合に、前記自動運転車両に走行の許可を通知するように前記通信装置を制御する、サーバ。
2. 前記プロセッサは、前記制御プログラムの更新前における前記自動運転車両の機能と、前記制御プログラムの更新後における前記自動運転車両の機能とを比較可能な態様で前記遠隔監視者に提示するように、前記出力装置を制御する、請求項１に記載のサーバ。
3. 前記プロセッサは、前記遠隔監視者が前記自動運転車両を監視する際に使用する情報に関する前記変更内容を前記遠隔監視者に提示するように、前記出力装置を制御する、請求項１または２に記載のサーバ。
4. 前記サーバは、各々に複数の制御装置が搭載された複数の車両の運行を管理し、
   前記変更内容は、前記複数の車両のなかから前記制御プログラムが更新された車両を特定するための情報を含むとともに、当該車両に搭載された前記複数の制御装置のなかから前記制御プログラムが更新された制御装置を特定するための条件を含む、請求項１～３のいずれか１項に記載のサーバ。
5. 請求項１～４のいずれか１項に記載のサーバと、
   前記自動運転車両とを備える、情報処理システム。
6. 前記自動運転車両は、前記サーバから走行を許可する通知を受けるのを待って走行を開始する、請求項５に記載の情報処理システム。
7. 自動運転車両をサーバにより監視する情報処理方法であって、
   前記自動運転車両は、前記自動運転車両に搭載された制御装置の制御プログラムを管制センタから無線通信で取得するように構成され、
   前記情報処理方法は、
   前記自動運転車両の前記制御プログラムが更新された場合に、前記サーバが前記制御プログラムの変更内容を、前記自動運転車両の外部から前記自動運転車両を監視する遠隔監視者に提示するステップと、
   前記自動運転車両が更新後の前記制御プログラムに従って走行することを許可する操作を前記遠隔監視者が行った場合に、前記自動運転車両に走行の許可を通知するステップとを含む、情報処理方法。
   

Images