CN100503319C - 远程操作系统、远程操作设备以及服务中心 - Google Patents

Abstract

在远程操作系统中，车装单元是通过由驾驶员所携带的便携式单元经由服务中心传送的操作命令来控制的，当车辆接收到用于将所述车装单元从第二状态调整为第一状态的操作命令B时，只有在执行了基于操作命令A的控制的时候，所述操作命令B才被执行，其中操作命令A用于从第一状态控制到第二状态。

Description

远程操作系统、远程操作设备以及服务中心

技术领域

本发明涉及远程操作系统和远程操作设备，尤其涉及的是可以取消远程操作的远程操作系统和远程操作设备。

背景技术

已知某些车辆允许从远端位置对车装单元执行远程操作(参见日本公开专利申请第2004-224067号)。在允许远程操作的车辆中，允许车门的锁定/解锁或者车窗的打开/关闭。

发明内容

由于远程操作是由驾驶员从远离车辆的远端位置执行的，因此，这种有可能降低车辆安全性的远程操作应该被禁止。由于远程操作是经由服务器执行的，所以，如果一律允许这种诸如解锁车门等降低安全性的远程操作，那么非法侵入服务器的人可能解锁所有允许远程操作的车门。为了解决这个问题，在服务器或车辆中进行设置，以使得在很多情况下，不允许解锁车门、开窗操作等远程操作。

但是，存在在对车装单元进行远程控制之后应该取消操作的情况。例如，存在这样一种情况，其中在执行了锁门的控制之后，由于在车内检测到人，因此门应该被解锁。在这种情况下，为了避免将人锁在车内，优选的是将门解锁，并且优选的是在预定条件下允许解锁，即使是在原则上禁止此类操作的远程操作中也是如此。

本发明是鉴于上述状况而提出的，并且本发明的目的是提供一种远程操作系统、远程操作设备以及服务中心，由此在确保安全性的情况下允许取消远程控制。

依照本发明，为了解决上述问题，在车装单元是通过从驾驶员所携带的便携式单元经由服务中心所传送的操作命令来进行控制的远程操作系统中，当车辆接收到用于将车装单元从第二状态控制到第一状态的操作命令B时，只有在操作命令B之前执行了基于操作命令A的控制的情况下，操作命令B才会执行，操作命令A用于从第一状态控制到第二状态。

在这种配置中，可以提供一种远程操作系统，该系统允许在确保安全性的情况下取消远程操作。

依照本发明的另一方面，所述车辆具有远程操作响应生成部分，该部分在基于操作命令A对所述车装单元进行了控制之后产生操作完成通知，并且将该操作完成通知传送到所述服务中心。当基于操作命令B对车装单元进行控制并且将所述车装单元返回到操作命令A之前的状态时，所述远程操作响应生成部分传送取消操作完成通知。

在这种配置中，用户可以通过读取操作完成通知或取消完成通知来了解操作结果。

依照本发明的另一方面，所述操作完成通知包括指引信息，用于指引用户以使得将所述车装单元返回到操作命令A的控制之前的状态。

在这种配置中，用户可以通过使用指引信息来容易地执行取消操作。该指引信息例如是用于执行取消操作的URL或类似信息。

依照本发明的另一方面，当所述车辆具有基于操作命令A的所述车装单元的控制记录时，所述车辆基于操作命令B将所述车装单元返回到操作命令A之前的状态。

在这种配置中，由于在不存在控制记录时不允许取消操作，因此，即使发生了诸如对于服务中心的非法访问这样的远程操作，也可以避免降低安全性。

依照本发明的另一方面，在基于操作命令A对所述车装单元进行了控制之后，只有在预定时间段期间，所述车辆才基于操作命令B将所述车装单元返回到操作命令A之前的状态。

在这种配置中，由于只有在预定时间段期间才允许对于远程操作的取消操作，因此可以避免安全性降低。

依照本发明的另一方面，当基于操作命令A对所述车装单元进行了控制之后对所述车辆进行本地控制时，所述车辆禁止基于操作命令B将所述车装单元返回到操作命令A之前的状态。

在这种配置中，由于在允许用户直接操作车辆时才允许用户直接对车辆进行操作，因此，取消操作可以得到限制。应该指出的是，“本地操作”指的是除远程操作之外的其他操作。

依照本发明的另一方面，所述车辆具有用于确定在接收到操作命令B时是否要返回到操作命令A之前的状态的标记；以及当基于操作命令A对所述车辆的所述车装单元进行控制时，所述标记变为许可状态，当对车辆进行本地控制时或者当在基于操作命令A对车装单元进行控制时起经过了预定时间段时，所述标记变为不许可状态。

在这种配置中，当车辆接收到取消操作命令时，可以基于所述标记返回到操作命令之前的原始状态。

依照本发明的另一方面，所述车辆包括远程操作响应生成部分，在基于操作命令A对所述车装单元进行了控制之后，该远程操作响应生成部分将所述标记与操作完成通知一起传送；当基于操作命令B对车装单元进行控制并且将所述车装单元返回到操作命令A之前的状态时，所述远程操作响应生成部分将所述标记与取消操作完成通知一起传送；以及所述服务中心基于从所塑车辆传送的所述标记的状态来确定是否接受操作命令B。

在这种配置中，可以基于用以指示车辆状态的标记来确定是否要返回到操作命令之前的状态。

依照本发明的另一方面，当所述标记具有许可状态时，所述服务中心将能够从中选择操作命令B的取消操作菜单页面传送到所述便携式单元；以及当所述标记具有不许可状态时，所述服务中心将无法从中选择操作命令B的取消操作菜单未显示页面传送到所述便携式单元。

在这种配置中，可以基于标记的状态来控制传送到便携式单元的页面。

依照本发明的另一方面，当传送了操作命令B之后无法正确接收来自所述车辆的所述操作完成通知时，所述服务中心将该服务中心的所述标记更新到许可状态。

在这种配置中，由于将标记设置成许可状态，因此，即使因为通信出错、超时或类似原因而无法接收到操作完成通知时，接受取消操作的概率仍旧可以提升。

依照本发明的另一方面，当从所述车辆传送了处于许可状态的所述标记之后所述车辆的标记被反转到不许可状态时，所述服务中心将所述取消操作菜单页面传送至所述便携式单元。

在这种配置中，由于服务中心中的标记即使在车辆被本地操作的时候也保持在许可状态，因此用于接受取消操作命令的取消操作菜单页面可以显示给用户，由此可以实现一种用户可以容易地理解的系统。

依照本发明的另一方面，当从所述标记变成许可状态时起经过了预定时间段时，所述服务中心将所述标记更新为不许可状态。

在这种配置中，服务中心可以响应于时间的流逝而更新标记的状态，并且可以确定是否要接受取消操作。

依照本发明的另一方面，所述服务中心在经过了所述预定时间段之后接收到来自所述便携式单元的操作命令B的情况下，传送了所述取消操作菜单页面之后，即使该标记具有不许可状态，所述服务中心也向所述车辆传送操作命令B。

在这种配置中，在用户从取消操作菜单页面传送了取消操作命令之后，该取消操作可被接受，由此可以避免用户抱怨。

由此，依照本发明可以提供一种能在确保安全性的情况下允许取消远程操作的远程操作系统、远程操作设备以及服务中心。

附图简述

通过结合附图来阅读下文的详细描述，本发明的其他目标和进一步的特征将变得显而易见：

图1示出了将远程操作设备应用于车辆的远程操作系统的整体结构；

图2示出了远程操作系统的处理流程序列的示例；

图3示出了远程操作设备的框图；

图4示出了许可判定表的一个示例；

图5示出了取消操作判定表的一个示例；

图6示出了存储在车辆状态存储部分中的车辆状态的一个示例；

图7示出了车窗的状态；

图8示出了远程操作的操作完成通知和取消操作完成通知的一个示例；

图9示出了远程操作与取消操作之间的关系；

图10示出了操作完成通知的一个示例；

图11例示了取消操作接受起始条件；

图12示出了一个活动示例，其中示出了用于在取消用户远程操作时返回到初始状态的处理流程；

图13示出了第二实施例中的远程操作设备的框图；

图14示出了在远程操作之后对车辆进行本地操作时不允许取消操作的控制过程的流程图；

图15示出了显示在便携式单元上的取消操作菜单等；

图16示出了由于自服务中心接受远程操作时起经过了预定时间段而无法接受远程操作的取消时的处理的流程图；

图17示出了显示在便携式单元上的取消操作菜单的一个示例；

图18示出了基于取消许可条件以及取消操作停止条件来确定是否要接受取消操作的处理的流程图；

图19示出了显示在便携式单元上的取消操作接受不许可页面的一个示例；

图20示出了在服务中心无法接收到操作完成通知时基于用户实际进行操作的时间来接受取消操作的处理的流程图；

图21示出了取消操作接受页面的一个示例；

图22示出了在服务中心无法接收到操作完成通知时接受取消操作的处理过程的流程图；

图23示出了用于操作完成通知接收不确定状态的电子邮件或类似物的一个示例。

执行本发明的最佳模式

在下文中参考附图来描述用于执行本发明的最佳模式。

首先描述本发明的第一实施例。

图1示出了将远程操作设备10应用于车辆的远程操作系统的整体系统结构。图2示出了远程操作系统的处理流程的序列图的一个示例。

在图1的远程操作中，便携式单元2、服务中心3以及车辆5经由诸如因特网的通信网络1连接在一起。便携式单元2和车辆5可以利用移动通信网络或无线电LAN经由中继站4而与网络1相连。此外，服务中心3可以利用有线或无线电通信而与网络1相连。

当用户通过操作便携式单元2来输入操作命令时，该操作命令经由服务中心3而被传送到车辆5(图2的S1、S2)，并且车辆5中的远程操作设备10依照该操作命令对车装单元进行控制(S3)。操作完成通知从车辆2经由服务中心3而被传送到便携式单元2(S4、S5)。应该指出的是，用户指的是在服务中心3中登记的人员，并且他有权对车辆5执行远程控制，所述用户例如是车辆5的所有者。

当用户希望取消先前的远程操作时，基于预定的用户操作经由服务中心3而向车辆5传送一个用于取消操作的操作命令(S6、S7)。车辆5通过读取车装单元的控制记录来取消远程操作，以便返回到原始状态(S8)。然后，车辆5经由服务中心3向便携式单元2传送取消操作完成通知(S9、S10)。

当允许如图2所示的取消操作时，如果出现因为锁门的远程操作而将人锁在车内的事故，那么可以返回到远程操作之前的状态。由此，远程操作系统的便利性提高了。

便携式单元2可以是一个经由通信网络而与服务中心3相连并且可以从其执行服务中心3所要求操作的单元，即，蜂窝电话、PDA(便携式数字助理)、PHS(个人手持电话系统)、个人计算机或类似设备。例如，在蜂窝电话的情况下，它使用GSM(全球移动通信系统)、TDMA(时分多址)、CDMA(码分多址)、PDC(个人数字蜂窝)或类似技术来执行通信。在个人计算机的情况下，它使用无线电LAN或类似技术来与中继站4进行通信。

便携式单元2具有：用于控制相应部分的CPU；用于存储由CPU执行的诸如OS、浏览器等程序的ROM；用于存储操作结果等的RAM；定时器；诸如键盘的输入设备；诸如液晶设备、有机EL等的显示部分；用于连接到中继站4的通信设备；麦克风；扬声器等。该便携式单元2还可以被配置成用作用于提供无钥进入功能的车辆钥匙。

服务中心3在车辆5与驾驶员(便携式单元2)之间为驾驶员提供各种服务，即使当车辆5和驾驶员相互间隔预定距离时，该服务中心3也将第三方对车辆5进行的入侵、引擎启动操作等告知驾驶员，或者允许驾驶员远程操作车辆5。

服务中心3是计算机，它包括CPU、ROM、RAM、存储设备、通信设备等，并且经由网络1与便携式单元2以及车辆5进行通信。在ROM或存储设备中，存储有可以由CPU执行的OS、程序等，由此服务中心3可以基于稍后描述的标记来确定是否要接受取消操作。

当用户使用便携式单元2来访问服务中心3时，该服务中心3传送一个利用诸如HTML(超文本标记语言)、XML(可扩展标记语言)等语言而产生的操作页面。便携式单元2的浏览器程序或类似程序在显示部分上显示该操作页面，由此用户可以对其执行预定操作，从而将依照由此给出的操作的操作命令传送到服务中心3。服务中心3将操作命令传送到车辆5的远程操作设备10。应该指出的是，从便携式单元2输入操作命令的实际操作可以按照这样一种方式进行，即，识别用户的语音并将其转换成操作命令，或者借助键盘或语音对从服务中心3传送的语音引导进行响应。

接下来将对车辆3具有的远程操作设备10进行描述。图3示出了远程操作设备10的框图。该远程设备10由远程操作ECU9进行控制。该远程操作ECU9具有：用于控制相应部分的CPU；用于存储由CPU执行的程序的ROM；用于存储操作结果等的RAM；用于与其他ECU进行通信的通信接口等。

远程操作设备10被配置成具有操作命令分析部分11、远程操作许可判定部分12、远程操作响应生成部分13、车辆状态存储部分14以及控制信号生成部分15。这些功能是通过CPU执行程序来实现的。应该指出的是，远程操作设备10与通信设备6、车装单元17以及用于控制车装单元16的控制部分16相连，这些部分被安装在车辆5中。

通信设备6利用移动通信网络而与中继站4相连。在使用蜂窝电话时，在这里应用的特定通信方法有GSM、TDMA、CDMA、PDC等。在使用无线电LAN的情况下，还可以直接连接到网络1。当与中继站4相连时，通信设备6接收从服务中心3传送的操作命令，或者向服务中心3传送远程操作的操作结果作为操作完成通知，或者传送取消操作的操作结果作为取消操作完成通知，稍后对其进行描述。

操作命令分析部分11对从通信设备6发送的操作命令进行分析，并且确定用户的操作内容。

远程操作许可判定部分12确定是否允许远程操作。该远程操作许可判定部分12具有为每一个操作命令设定操作许可的许可判定表，并且基于操作命令分析部分所分析的操作命令来确定对操作的许可。

图4示出了许可判定表的一个示例。例如，在锁门的情况下，在满足下列条件的时候，锁门的远程操作是允许的：

-公共前提；

-车内无人；以及

-车内没有钥匙。

当满足这些条件时，可以避免将人锁在车内或类似事故，并且由此可以提高安全性。应该指出的是，公共前提指的是车辆处于运行中的状态(即，车辆实际上正在运行、准备运行，即，驾驶员实际上正在开车)。

此外，对那些诸如可能降低安全性的远程操作的操作而言，即，将车门解锁或类似的操作而言，远程操作许可判定部分12原则上不允许该操作(在默认设置中)。用户可以在从服务中心3传送给便携式单元2的操作页面中选择那些可能降低安全性的操作。

为了基于许可表来确定操作许可，远程操作许可判定部分12与车辆状态存储部分14相连，并且可以检测车辆的状态。如稍后描述的，车辆状态可以是例如门、窗和遮阳顶的打开/关闭状态；门的锁定/解锁状态、引擎运行状态等。远程操作许可判定部分12从车辆状态存储部分14中检测车辆的状态，并且确定是否允许进行锁门或类似操作。类似的，远程操作许可判定部分12进行确定，以使得在门被打开时禁止安全性单元的远程操作；基于引擎运行状态以及电池电力等来禁止启动空调。

另外，当取消远程操作时，虽然根据许可表原则上禁止进行取消操作，但是远程许可判定部分12基于取消操作判定表来确定是否允许取消操作，其中所述判定表是为了确定是否允许取消操作而提供的。

图5示出了取消操作判定表的一个示例。例如，在许可表中原则上禁止电动窗(PW)的远程开启操作。但是，当要取消远程关闭操作时，即，当要返回到关闭操作之前的状态时，如果满足下列条件，则允许取消操作：

a)公共前提；

b)在从远程PW操作起的预定时间段以内(在下文中也将其称为取消操作接受时间)；

c)没有进行本地PW操作；以及

d)没有开启IG(点火器)或ACC(辅助设备)。

“本地”意味着车辆不是远程操作的，而是由人直接操作的。

当不满足上述a)、b)和d)项时，这意味着驾驶员或乘客在车辆5内，并且可以操作车辆，或者已经本地操作了车辆5。因此，当不满足条件a)、b)和d)时，没有必要远程取消过去的操作。

此外，对于远程操作取消来说，条件b)“在取消操作接受时间以内”需要存在对于过去远程操作的控制记录，此外该远程取消操作是在从过去远程操作起的取消操作接受时间以内。

通过由此要求远程操作的控制记录的条件，车辆5可以忽略例如由于服务中心3被非法入侵而传送到遍及全国的所有车辆的这种打开PW的操作命令。由此，可以确保安全性。

此外，由于以下原因而需要条件“处于从远程PW操作起的取消操作接受时间以内”：即，取消操作的情况是在从进行远程操作起以及接收到操作完成通知的相对短时间内进行的。例如，当在车辆5内部有人的同时关闭车窗或锁上车门，或者为了避免车辆碰撞而点亮危险报警灯的情况下，所述操作应该在远程操作之后立即或者在很短时间段内取消。因此，作为允许取消操作的条件，条件“处于取消操作接受时间以内”是充分的，并且由于在受限条件下，诸如固定时间段以内，允许执行取消操作，因此安全性得到保证。

取消操作接受时间可以按照任何方式来确定。但是，用户未必处于始终可以检查远程操作的操作完成通知的状态下。因此，假设在生活周期中，在很多情况下都要在夜晚取消早晨的远程操作，那么可以设置24小时大小作为时间周期，这在很多情况下都不会对用户造成不便。

在本实施例中，如上所述，车辆5具有远程操作许可判定部分12，并且该车辆5基于取消操作许可判定表来确定取消操作许可。服务中心3可以接收车辆5的上述状态a)、c)或d)，并且确定取消操作的许可。然而，应该避免这种状况，即，由于服务中心3与车辆5之间的通信延迟、通信故障或类似事件，即使在车辆5中不应该实际执行取消操作时，服务中心5也执行取消操作。此外，如稍后所述，服务中心3不应该根据服务中心3中的接受时间的原因而过度避免取消操作。出于这些原因，较为优选的是应该由车辆5来确定取消操作的许可。

从停放车辆5时起经过的允许车辆5中的远程操作的时间周期(在下文中，称为远程操作接受周期)是基于电池容量来定义的。当每周将车辆5驾驶一次或两次时，该远程操作接受周期大小应该是九天。因此，当从停放车辆5时起经过了九天时，远程操作是不允许的。

当将远程操作接受周期设定为九天，并且例如在经过了八天23小时之后执行远程操作时，在从所述远程操作时起经过了一小时之后所述远程操作无法被取消。但是，为了提高安全性，取消操作是更为优选的，由此，所述取消操作不应该因为这种时间周期到期而被避免。因此，依照本实施例，即使在将远程操作接受周期设置在九天之内，这个远程操作接受周期，即，九天，也仅会因为取消操作而延长。

例如，当在经过了八天23小时之后执行远程PW关闭操作时，所述关闭操作的取消操作，即，返回到原始打开状态的取消操作，在九天23小时以内(当将取消操作接受时间设置在24小时以内时)是被接受的。应该指出的是，在经过了九天之后，别的远程操作(不同于取消操作)不被接受。此外，当在九天23小时以内进行取消操作时，即使是在24小时以内，对于所述取消操作的取消操作也可能是不被接受的。通过进行这种配置，可以避免可能因为“远程操作→取消操作”的无限循环而导致的电池耗尽。

由此，由于允许取消远程操作，因此在用户进行了车装单元的目标远程操作之后，即使那些在原则上依照许可判定表禁止远程操作的操作也可以被用户取消，并且可以返回到原始状态。

应该指出的是，与许可判定表相比，取消操作判定表的限制要更为适度。这是因为取消操作应该在需要的时候尽可能长时间地被执行，此外，考虑到如上所述地对接受时间的限制，判定条件应该减少。

返回到图3，控制信号生成部分15产生控制信号，用于在远程操作许可判定部分12允许操作时执行该操作。例如，当操作命令针对关窗操作时，产生一个用于对开/关窗的致动器进行控制的控制信号。由此产生的控制信号经由车体系统的车装LAN而被发送到控制部分16。

控制部分16包括各种用于接收来自控制信号生成部分15的控制信号以及控制相应车装单元17的ECU。车装单元17可以包括例如门锁控制部分、电动窗控制部分、遮阳顶控制部分、行李箱控制部分，室灯控制部分、安全性控制部分、空调控制部分、导航控制部分、引擎控制部分等。

门锁控制部分16驱动致动器来逐个地锁定/解锁每个车门或者锁定/解锁所有车门。电动窗控制部分驱动致动器来逐个地打开/关闭每个车窗或是打开/关闭所有车窗。遮阳顶控制部分驱动致动器来打开/关闭或上倾/下倾遮阳顶。行李箱控制部分驱动致动器来打开/关闭行李箱。

室灯控制部分对室灯的开/关进行控制。应该指出的是，由于采用了脉冲宽度调制系统，因此，在打开/关闭的时候可以进行控制以使得逐渐增加/减少亮度。车头灯控制部分对车头灯的开/关进行控制，执行远光灯/近光灯控制，报警器开/关控制等。

安全性控制部分对安全性单元的开/关、警报号吹响等进行控制。当开启打开安全性单元(报警状态)，以及检测到车门、引擎罩、行李箱等等的打开/关闭或陌生人的入侵时，借助警报单元、车头灯等的操作，而以一种恰当的方式针对车辆的环境执行报警器吹响。此外，可以将陌生人的检测通知给服务中心3。

空调控制部分执行车辆5中安装的车装空调的空调控制。导航控制部分控制导航单元，测量当前车辆位置，将其显示在LCD屏幕或类似设备上，并将其经由服务中心3传送到便携式单元2。引擎控制部分对引擎的启动/停止进行控制。

由控制部分16控制的相应车装单元17经由车装LAN将车辆(也就是相应的车装单元)的状态发送到每个车装单元17的车辆状态存储部分14。该车辆状态存储部分14存储由此发送的车装单元的状态。

图6示出了车辆状态存储单元14中存储的车辆状态的示例。该车辆状态是为相应的车装单元存储的。对车门来说，远端与本地之间的区别、车门状态等被按照时序方式与实际操作时间相对应地存储。

车辆5的时钟是以这样一种方式来调整的，即，时间测量结果与服务中心3所具有的时钟具有预定的有限误差，这个误差是周期性或者是针对每个远程操作的。操作时间是完成车装单元控制的时间。但是，当对车装单元执行远程控制时，该操作时间可以是服务中心3接收到操作命令的时间。

此外，对远程操作的情况来说，存储远程操作编号作为车辆状态。该远程操作编号是为使服务中心3能够识别每个特定远程操作而给出的，其中每一个编号在相同的车辆内至少是唯一的。相应的，通过读取远程操作编号，可以确定远程操作的内容、操作时间以及该操作之后的车辆状态。

此外，对车窗来说，存储与对于车门的内容相同的内容作为车辆状态。对诸如车门和车窗的在车内提供了多个的车装单元来说，较为优选的是为每一个所述单元(也就是每个车门或每个车窗)存储所述状态。图6示出了存储了驾驶员座位处的车门、乘客座位处的车门以及相应的右后方和左后方乘客座位处的车门的相应状态的示例。

对车门锁定/解锁状态来说，可以数值方式存储不但完全打开/关闭的状态，而且车门打开程度的状态。由此，在取消该操作时可以精确地返回到原始状态。

图7示出了用数值表示的车窗状态。图7(a)示出了远程操作之前的状态；图7(b)示出了远程关闭车窗的状态；图7(c)示出了借助取消操作而返回到初始状态的状态(与图7(a)的状态相同)。在图7中，从左边开始分别显示了驾驶员座位FR、乘客座位FL、后部乘客座位RR以及右后方乘客座位RL。

当将车窗关闭到上止点的状态称为“关闭”，并且用“20％开启”或类似表示来表述将车窗从上止点打开的情形时，乘客座位FL的开启是大约60％，并且右后方座位RR的开启是大约100％。远程操作之后的状态被存储在车辆状态存储部分14中。

在远程关闭车窗之后，当接收到取消该远程操作的操作命令时，控制信号生成部分15读取车辆状态存储部分14，并且将相应的车窗返回到初始状态。

当基于操作命令对车装单元17进行控制时，远程操作响应控制部分13产生操作完成信号并且将其经由服务中心3传送到便携式单元2。此外，当基于取消操作来控制车装单元17并将其返回到远程操作之前的状态时，远程操作响应控制部分13产生取消操作完成通知并且将其经由服务中心3传送到便携式单元2。

图8(a)示出了在便携式单元2上显示的远程操作的操作完成通知的一个示例，图8(b)示出了取消操作完成通知的一个示例。如图8(a)所示，操作完成通知包括与识别用户的用户ID一起显示远程操作之后的车窗状态、操作时间以及远程操作编号。另外，作为用于向用户指引取消操作的指引信息，还给出了服务中心3的取消操作的站点URL。相应地，接收到操作完成通知的用户可以容易地执行取消操作。远程操作系统检测锁车门或车窗关闭的遗漏，并且将此告知用户。相应地，用户将被指引，以执行“操作遗漏通知→远程操作→取消操作→重新操作”的操作循环。

远程操作是以这样一种方式单独管理的，其中远程操作编号是以特定方式给出的。相应地，用于取消远程操作的取消操作也是单独执行的。图9显示了远程操作与取消操作之间的关系。用户在时间t1执行关闭PW的远程操作，并且在时间t2执行锁车门的远程操作。相应地，对于PW关闭操作的取消操作可以在时间t1之后的取消操作接受时间内执行。类似的，对于锁车门的取消操作可以在时间t2之后的取消操作接受时间内执行。假设对于PW关闭操作的取消操作是在时间t3执行的，那么PW关闭和锁车门两者的远程操作可以在时间t2到t3的时间段期间被取消。

相应地，当用户借助来自PW关闭或锁车门的操作完成通知的URL来连接到服务中心3的站点时，在便携式单元2上显示操作页面，其中在t1到t2内可以选择PW关闭的取消操作；在t2到t3内可以选择PW关闭和锁车门两者的取消操作；以及在t3到t4内可以选择锁车门的取消操作。

此外，在允许多个取消操作的情况下，对用户来说，较为便利的是一种可以选择在当前时间进行所有可取消操作的方式。当在时间t2远程执行锁车门时，PW关闭和锁车门两者都可以在t2到t3的时间段期间被取消。服务中心3像在车辆5自身中那样存储车辆的状态。相应地，当从车辆5接收到锁车门操作完成通知时，服务中心3可以从过去的操作历史中检测出在时间t1执行了PW关闭。相应地，当服务中心3向用户告知锁车门操作完成通知时，由于服务中心3提供了如图10所示的操作完成通知，因此，用户可以通过单个动作来执行多个取消操作。在图10中，对于单独远程操作(锁车门)的操作完成通知如图8(a)所示，此外，进行如下显示：“当前，对于PW关闭的取消操作是允许的。在取消PW关闭和锁车门两者并且返回到原始状态时，请从以下URL执行取消操作”。用户可以从所述URL通过一个动作来进行所述多个远程操作的取消操作。

现在将描述对于取消操作的接受起始条件。该描述是参考图9来进行的，由此许可从时间t1或时间t2时起的取消操作。时间t1和t2是服务中心3接收到来自车辆的操作命令到达通知的时间。

图11例示了取消操作接受起始条件。当用户向服务中心3传送操作命令时(S1)，服务中心3将该操作命令传送到车辆5(S12)。但是，在传送之后，服务中心3未必能够确定车辆实际是否依照远程操作而对车装单元17进行控制。例如，车辆5是经由无线电来执行通信的。相应地，在某些情况下，由于通信故障或类似情况，即使车辆5实际控制了车装单元17，车辆5也无法接收到操作完成通知。此外，当在传送了操作命令之后不允许所述控制时，由于车辆5因为通信故障无法正确接收到该操作命令，或者依照许可判定表而不允许所述控制，那么无法确定是否允许所述控制。因此，提供了一种配置，以便在服务中心向车辆正确发布了操作命令的时候，假设所述远程操作被接受，并且由此接受从该时间起的取消操作接受时间(例如24小时)内的取消操作(S12)。

是否正确地向车辆5发布了操作命令可以从服务中心3是否接收到来自车辆5的到达通知来确定。例如，当服务中心3利用移动通信网络中所使用的短消息服务来执行通信时，服务中心3可以在短时间段以内获取来自车辆5的操作命令到达通知。

在服务中心3接收到该到达通知之后，取消操作可以由此被允许。相应地，即使在用户接收到操作完成通知之前，在服务中心接收到到达通知之后用户访问服务中心3时，取消操作也是允许的。

基于图12的活动图示，描述利用上述配置取消用户进行的远程操作以及返回到初始状态的处理流程。当用户利用便携式单元2来执行远程操作时，操作命令传送到服务中心3(S21)。服务中心3接收操作命令，以时序方式记录操作命令接收历史，并且还将操作命令传送到车辆5(S22)。车辆5在正确接收到操作命令时传送到达通知(S23)，由此服务中心3接收到达通知(S24)，此后，服务中心3可以允许取消操作。

接下来，远程操作许可判定部分12根据许可判定表确定原则上是否允许所接收的操作命令，如果允许的话，那么远程操作许可判定部分12从车辆状态存储部分14中提取车辆状态，并且确定基于所述操作命令对车装单元17的控制是否被允许(S25)。

当允许对车装单元17的控制时(步骤S25中为“是”)，控制信号生成部分15产生控制信号，控制部分16控制车装单元17(S26)，并且远程操作响应生成部分13产生操作完成通知(S27)。在不允许对车装单元的控制时(步骤S25中为“否”)，向服务中心3传送操作禁止的通知(S28)。

由于服务中心随后向便携式单元2传送操作完成通知或操作禁止通知(S29)，因此，用户可以确定所述远程操作是否已经完成。

如果将人锁在车内，并且用户希望取消操作，那么用户可以通过选择操作完成通知所提供的URL来执行取消操作(S30)。当执行取消操作时，服务中心3确定是否已接收到来自车辆5的取消目标远程操作的到达通知(S31)。当没有接收到该到达通知时，服务中心3向便携式单元2传送一个表明该取消操作并非必需的通知。

当接收到到达通知时(S31中为“是”)，服务中心3向车辆5传送对于取消操作的操作命令(S33)，由此车辆5确定是否要允许基于该操作命令来控制车装单元17(S34)。远程操作许可判定部分13读取取消操作判定表，并且还从车辆状态存储部分14中提取车辆状态，以便确定是否要允许基于取消操作来控制车装单元17(S34)。

当要允许基于取消操作来控制车装单元17时(S34中为“是”)，控制信号生成部分15基于取消目标的远程操作编号来产生一个用以返回到从车辆状态存储部分14中提取的车辆状态的控制信号(S35)。当由此完成基于取消操作的车装单元17的控制时，远程操作响应生成部分13产生取消操作完成通知，由此车辆5向服务中心3传送取消操作完成通知(S36)。

当不允许基于取消操作来控制车装单元17时(步骤S34中为“否”)，远程操作响应生成部分13产生一个取消操作禁止通知，由此车辆将该取消操作禁止通知传送到服务中心3(S37)。应该指出的是，由于取消操作应该尽可能长时间地执行，因此，较为优选的是自动重复步骤S34中的判定，或者向便携式单元2传送用于把用户再次指引到取消操作的URL。

由于服务中心3向便携式单元2传送了取消操作完成通知或取消操作禁止通知(S38)，因此，用户可以从接收到的操作结果中确定取消操作是否已完成(S39)。

由此，依照第一实施例，如上所述，用于返回到原始状态的操作在原则上是禁止的。但是，通过在执行了车辆控制之后执行取消操作，可以将车辆返回到原始状态。由此，在用户无心执行了远程操作，或者发生了用户在执行远程操作之后希望将其取消并希望返回到原始状态的情形时，该操作可以被取消。由于取消操作只在满足预定条件时才被允许，因此可以避免安全性的降低。

接下来将对本发明的第二实施例进行描述。

在第一实施例中，是否要允许远程操作的取消操作是由车辆5基于取消操作许可表来确定的。但是，取消操作许可判定表具有如下条件，即：a)公共前提；b)车装单元的本地操作并未发生；d)IG、ACC中的任何一个都未开启；等等。由此，当另一个用户在本地操作车辆时，在执行取消操作的用户没有意识到的情况下，可能出现未必允许取消操作的状况。由此，当在执行取消操作的用户没有意识到的情况下，即使在从远程操作时起的预定时间段(例如24小时)以内也不允许取消操作时，用户可能接收到取消操作禁止通知，并且可能因为无法理解其原因而迷惑。

在第二实施例的远程操作系统中，例如，即使因为车辆的本地操作而不允许取消操作，服务中心也将这件事情告知用户。由此，在第二实施例中，由服务中心3来确定是否要允许取消操作。

当满足下列条件中的任何一个(在下文将其称为取消许可条件)时，服务中心3接受取消操作：

i)在作为操作结果而从车辆告知的操作完成通知中，取消处理依照车辆状态而被允许(取消许可状态标记)；

ii)从车辆告知的操作完成通知使得无法对其进行分析；以及

iii)从车辆告知的操作完成通知没有到达服务中心3并且发生超时。

但是，即使满足了取消许可条件，当满足下列条件(在下文中将其称为取消操作停止条件)时，服务中心3也不接受取消操作：

1)在接受取消操作之后经过了预定时间段(在本实施例中是24小时)；以及

2)在作为操作结果而从车辆告知的操作完成通知中，取消处理依照取消许可状态标记而不被允许。

图13示出了远程操作设备10的框图。在图13中，对于那些与图3组件相同的组件给出了相同的参考数字，并且省略重复的描述。在图13中，与图3不同，车辆状态存储部分14具有取消许可状态标记18。

取消许可状态标记18是一个用以表明当前车辆是否允许取消操作的标记。当取消许可状态标记为“1”(在下文中将其简称为“许可”)时，其表明许可，而当取消许可状态标记为“0”(在下文中将其简称为“不许可”)时，其表明不许可。在执行了远程操作后取消许可状态标记18变成“许可”，而在满足取消操作判定表的a)～d)项中的一个条件时，该标记变成“不许可”。取消许可状态标记是为每一个车装单元17设置的。

在第二实施例中，当经由服务中心3而从用户便携式单元2接收到对于取消操作的操作命令时，远程操作许可判定部分12在未参考取消操作许可表而是参考取消许可状态标记18的情况下确定是否允许取消操作。

服务中心3具有车辆状态21，取消操作接受部分22以及状态更新部分23。取消许可状态标记18是与操作完成通知一起传送到服务中心3的。当取消许可状态标记18具有状态“许可”时，状态更新部分23将车辆状态21更新为“许可”，而当取消许可状态标记18具有状态“不许可”时，它将车辆状态21更新为“不许可”。车辆状态是为每一辆车保持的，并且是为每一个车装单元保持的，例如车窗控制部分、车门控制部分等等。当用户请求取消操作时，取消操作接受部分22参考车辆状态21来确定是否接受所述取消。

此外，服务中心3具有用于测量从远程操作发生时起所经过的时间的时钟(定时器)24，并且它为每辆车的每个车装单元保持执行远程操作的时间(例如，从车辆那里接收到操作完成通知的时间，更新车辆状态21的时间等等)。

状态更新部分21读取取消许可条件以及取消操作停止条件，并且将车辆状态21更新为“许可”或“不许可”。例如，当从远程操作时起经过了预定时间段(例如24小时)时，车辆状态被更新为“不许可”。

在车辆5的取消操作许可判定表中，条件b)“处于从远程操作时起的预定时间段以内”也被包括在用以允许取消操作的条件中。相应地，即使在服务中心3中并未经过该预定时间段时，在车辆5中也可能已经经过了该预定时间。由此，在第二实施例中，车辆5中的预定时间段Tc被设置成长于服务中心3中的预定时间段Ts(Tc>Ts)。相应地，例如，Ts＝24小时，Tc＝25小时。由此，可以避免出现在服务中心3中没有经过预定时间段时在车辆5中禁止取消操作的情况。此外，即使Tc>Ts，Tc之后的取消操作也可以被禁止。相应地，车辆中的安全性可以得到保证。

[在本地对车辆进行操作的情况]

图14示出了在远程操作之后在本地操作车辆时不允许取消操作的控制过程的流程图。

首先，用户操作便携式单元2，并且向服务中心3传送一个用于关闭车窗的远程操作的操作命令(S101)。服务中心3将该操作命令传送到车辆5(S102)。车辆5的控制部分16基于用于关闭车窗的控制信号来关闭车窗(S103)。此外，车辆状态存储部分14将车窗的取消许可状态标记18设置成“许可”。

然后，由于车窗由此被控制并且被关闭，因此，远程操作响应生成部分13向服务中心3传送操作完成通知(S104)。取消许可状态标记18与操作完成通知一起被传送到服务中心3。服务中心3中的状态更新部分23将车辆状态21更新为“许可”条件(S105)。此外，取消操作接受时间测量开始于服务中心3接收到来自车辆5的操作完成通知的时间，并且由此执行更新，以便使远程操作的取消变为许可。

服务中心3将操作完成通知传送到便携式单元2(S106)。例如，该操作结果是经由电子邮件传送的，当打开电子邮件时，在便携式单元2上显示如图8(a)所示的远程操作的操作完成通知。

当用户希望取消车窗关闭操作时，用户选择操作完成通知的URL，并且从服务中心3请求显示取消操作菜单(S107)。这时，由服务中心3保持的车辆状态21由此变为“许可”，由此，服务中心3接受取消操作(S108)，并且将取消操作菜单页面传送到便携式单元2(S109)。

由此，在用户的便携式单元2上显示取消操作菜单页面(S110)。图15(a)示出了在便携式单元2上显示的取消操作菜单页面的一个示例。当用户选择以链接方式显示的“此处”时(S111)，向服务中心3传送一个用于取消车窗关闭操作的操作命令(S112)。可以显示可执行的取消操作的列表。

当服务中心3接收到取消操作的操作命令的时候，由服务中心3保持的车辆状态21是“许可”。相应地，服务中心3接受取消操作。

在这里，在从步骤S103中关闭车辆5的车窗时起直到服务中心3由此接收到取消操作的操作命令为止，例如，车辆中的ACC都是本地开启的(S114)。由此，在这种情况下，车辆5保持的取消许可状态标记变成“不许可”。也就是说，当在本地操作车辆5或对其进行此类操作时，确定车辆5的操作权利被从具有便携式单元22的人转移到在本地操作车辆5的人。

服务中心3将取消操作的操作命令传送到车辆5(S115)。车辆5的远程操作许可判定部分12读取取消许可状态标记18，并且确定是否要接受取消操作(S116)。由于取消许可状态标记18已经在步骤S114中变成“不许可”，因此，车辆5不接受取消操作。结果，远程操作响应生成部分13向服务中心3产生用以表明没有执行取消操作的操作完成通知以及取消许可状态标记“不许可”(S117)。

服务中心3的状态更新部分23读取取消许可标记18的状态“不许可”，并且将车辆状态更新为“不许可”状态(S118)。此外，服务中心3的远程操作响应生成部分13向便携式单元2传送用以指示未执行取消操作的取消操作完成通知(S119)。

结果，当用户打开电子邮件时，在便携式单元2上显示如图15(b)所示的取消操作完成通知。在图15(b)中，显示一个消息“由于在远程操作后打开了ACC，所以取消操作失败”。

当用户出于确认目的而再次请求显示来自服务中心3的取消操作菜单时，服务中心3读取车辆状态21的状态“不许可”，并且由此不接受取消操作(S121)。然后，服务中心3向便携式单元2传送一个未显示取消操作的取消操作菜单未显示页面(S122)。

结果，在便携式单元2上显示如图15(c)所示的取消操作菜单未显示页面。如图15(c)所示，当服务中心3不接受取消操作时，这时显示一个消息“当前没有可取消的操作”。

由此，当在远程操作之后在用户没有意识到的情况下本地操作车辆时，告知服务中心3取消操作是不许可的。由此，用以表明取消操作失败的取消操作完成通知被告知给用户，并且此后不显示取消操作菜单。相应地，在没有得到任何提前通知的情况下不显示取消操作菜单的情形可以得到避免，并且可以实现一种避免用户产生困惑的易于为用户所理解的远程操作系统。

[从服务中心3接受远程操作时起经过了预定时间段(在第二实施例中是24小时)的情况]

接下来基于图16的流程图来描述这样一种情况，其中由于从服务中心3接收到远程操作时起已经经过了预定时间段(在第二实施例中是24小时)而没有接受远程操作的取消处理。

首先，用户操作便携式单元2，并且向服务中心3传送一个用于关闭车窗的远程操作的操作命令(S101)。服务中心3将该操作命令传送到车辆5(S102)。车辆5的控制部分16基于用于关闭车窗的控制信号来关闭车窗(S103)。此外，车辆状态存储部分14将车窗的取消许可状态标记18设置成“许可”。

然后，由于车窗已经由此被控制并且被关闭，因此远程操作响应生成部分13向服务中心3传送操作完成通知(S104)。取消许可状态标记18与操作完成通知一起被传送到服务中心3。服务中心3中的状态更新部分23读取取消许可状态标记18的状态“许可”，并且将车辆状态21更新为许可条件(S105)。此外，取消操作接受时间测量开始于服务中心3接收到来自车辆5的操作完成通知的时间，并且由此执行更新，以便使取消远程操作变为许可。

服务中心3将操作完成通知传送到便携式单元2(S106)。例如，该操作结果是经由电子邮件传送的，当打开该电子邮件时，在便携式单元2上显示如图8(a)所示的远程操作的操作完成通知。

当用户希望取消车窗关闭操作时，用户选择操作完成通知的URL，并且从服务中心3请求显示取消操作菜单(S107)。这时，自服务中心3接收到操作完成通知起还没经过24小时，由此，服务中心3所保持的车辆状态21被保持为“许可”。由此，服务中心3接受取消操作(S108)，并且将取消操作菜单页面传送到便携式单元2(S109)。由此，在用户的便携式单元2上显示取消操作菜单页面。

图17(a)示出了在用户的便携式单元2上显示的取消操作菜单的一个示例。当用户选择以链接方式显示的“此处”时(S111)，向服务中心3传送一个对于车窗关闭的取消操作的操作命令。但是，在这里假设用户实际上并未进行取消操作。

当从服务中心3接收到来自车辆5的操作完成通知时起经过了24小时时，状态更新部分23检测到已经经过了24小时，并且将车辆状态21更新为“不许可”。

当用户在经过24小时之后从操作完成通知中选择URL，并且从服务中心3请求显示取消操作菜单时(S110)，由于车辆状态21由此已经变成“不许可”，因此，服务中心3并不接受取消操作菜单显示请求(S111)。然后，取消操作菜单未显示页面将被传送到便携式单元2(S112)。在便携式单元2上显示该取消操作菜单未显示页面(S113)。

图17(b)示出了在用户的便携式单元2上显示的取消操作菜单未显示页面的一个示例。在图17(b)中，与图17(a)一样，显示有一个消息“取消操作在此处”。但是，进行这样一种配置，使得具有链接的“此处”是不能从中选择的，并且用户不能传送用于取消操作的操作命令。应该指出的是，该取消操作菜单未显示页面仅仅是一个示例。可以采用如图15(c)所示的另一个页面。

由此，在从远程操作后经过了预定时间段之后，当用户发出要求显示取消操作菜单的请求时，服务中心3确定取消操作是不允许的。相应地，可以避免出现用户所不期望的没有及时显示取消操作菜单的情况，并且可以实现一种避免用户产生困惑的易于为用户所理解的远程操作系统。

[服务中心3实施的取消操作接受判定处理]

接下来参考图18的流程图来描述这样一种情况，其中服务中心3基于上述取消许可条件i)至iii)以及取消操作停止条件1)和2)来判定是否要接受取消操作。应该指出的是，与图16中相同的步骤是用相同的参考数字给出的，并且省略重复的描述。

在图18的流程图中，在用户在经过24小时之后选择操作完成通知的URL以及从服务中心3请求显示取消操作菜单的步骤(S110)之前的处理与图16的处理是相同的。

在图18的处理中，服务中心3的取消操作接受部分22读取车辆状态21，并且不接受对于取消操作菜单的显示请求(S201)。然后，服务中心3将取消操作接受不许可页面传送到便携式单元2(S202)。在便携式单元2上显示该取消操作接受不许可页面(S203)。

在图19中示出在便携式单元2上显示的取消操作接受不许可页面的一个示例。在图19中，显示了当前时间，车辆停止(停放)位置以及消息“当前没有可取消的操作”。

通过该处理，由于服务中心3确定是否要接受取消操作，因此，对于车辆5的取消操作的请求以及从车辆接收操作完成通知的序列可以省略。此外，通过省略该序列，可以快速地进行对于用户的响应。此外，可以避免出现在非预期定时将操作请求传送到车辆的情况。由此可以避免在车中的错误操作。

[基于用户操作时间来确定接受取消操作的24小时的情况]

在本实施例的图14、16和18的处理中，当在服务中心3中经过了24小时时，用户的取消操作是不被接受的。但是，即使从接收到操作完成通知时起经过了24小时时，在用户向服务中心3表明了取消操作的意图的情况下，较为优选的是考虑用户的意图。

图20示出了即使在服务中心3中经过了24小时时也基于用户实际执行操作的时间来接受取消操作的处理的流程图。在图20中，与图16中相同的步骤是用相同的参考数字给出的。

首先，用户操作便携式单元2，并且向服务中心3传送一个用于关闭车窗的远程操作的操作命令(S101)。服务中心3将操作命令传送到车辆5(S102)。车辆5的控制部分16基于用于关闭车窗的控制信号来关闭车窗(S103)。此外，车辆状态存储部分14将车窗的取消许可状态标记18设置成“许可”。

然后，由于车窗已经由此被控制并且被关闭，因此，远程操作响应生成部分13向服务中心3传送操作完成通知(S104)。取消许可状态标记18与操作完成通知一起被传送到服务中心3。服务中心3中的状态更新部分23读取取消许可状态标记18的状态“许可”，并且将车辆状态21更新为许可条件(S105)。此外，取消操作接受时间测量开始于服务中心3接收到来自车辆5的操作完成通知的时间，并且由此执行更新，以便使取消远程操作变为许可。

服务中心3将操作完成通知传送到便携式单元2(S106)。该操作结果例如经由电子邮件传送，当打开该电子邮件时，在便携式单元2上显示如图8(a)所示的远程操作的操作完成通知。

当用户希望取消车窗关闭操作时，用户选择操作完成通知的URL，并且从服务中心3请求显示取消操作菜单(S107)。这时，从服务中心3接收到操作完成通知时起还没经过24小时，并且由服务中心3保持的车辆状态21由此变为“许可”，结果，服务中心3接受取消操作(S108)，并且将取消操作菜单页面传送到便携式单元2(S109)。由此，在用户的便携式单元2上显示如图17(a)所示的取消操作菜单页面。

然后，当用户选择以链接方式显示的“此处”时，车窗关闭取消操作请求被传送到服务中心(S301)。由于从服务中心3接收到操作完成通知时起没有经过24小时，因此服务中心3接受取消操作(S302)。然后，服务中心3传送取消操作接受页面(S303)。

图21示出了取消操作接受页面的一个示例。在该取消操作接受页面中，显示了当前时间、车辆停止位置以及可取消操作。对可取消操作来说，显示了一个复选框以及执行远程操作的日期/时间。用户检查该复选框，当在确认了日期/时间以及远程操作内容之后确定应该取消该远程操作时，用户选择“确定”按钮。

在这里，假设从服务中心3接受取消操作直到用户实际选择“确定”按钮为止经过了24小时。结果，当用户选择“确定”按钮时传送到服务中心3的取消操作的操作命令在从操作完成通知时起经过了24小时之后到达服务中心3。

当由此经过了24小时时，车辆状态21变成“不许可”。但是，由于服务中心3已经在步骤S302中接受取消操作，因此，当接收到该操作命令时，服务中心3在没有判定是否应该接受取消操作的情况下向车辆传送取消操作(S305)。

同样，在车中已经经过了24小时。但是，在本实施例中，车辆的预定时间Tc被设置成长于服务中心3的预定时间Ts，由此，车中的取消许可状态标记18仍旧保持为“许可”。

车辆5中的远程操作许可判定部分12读取具有状态“许可”的取消许可状态标记18，并且允许所述取消操作。相应地，控制部分16执行取消操作，也就是执行打开车窗的操作(S306)。车辆状态存储部分14将取消许可状态标记18设置成“不许可”，并且远程操作响应生成部分13向服务中心3传送操作完成通知(S307)。

服务中心3接收操作完成通知，并且将取消标记更新为“不许可”状态(S308)。然后，服务中心3借助电子邮件或类似方式将操作完成通知传送到便携式单元2(S309)。当用户打开电子邮件时，显示一个消息“车窗已打开”。

在图20的处理中，即使在从取消菜单显示页面被传送到便携式单元2时起直到用户实际传送取消操作请求为止已经经过了24小时，也可以防止服务中心3确定不能接受取消操作。由此，在从服务中心3将取消菜单显示页面传送到用户之后，取消操作实际是不能接受的情况下，可以避免用户产生困惑。此外，当用户希望执行取消操作时，可以考虑用户的意图，由此例如，将人等锁在车内的情况可以被避免。

用于确定是否经过了24小时的时间可以是给出步骤S301中的取消操作请求的时间，或者是给出步骤S304中的取消操作请求的时间。

[在服务中心3不能正确接收来自车辆5的远程操作的操作完成通知的情况下]

当服务中心3不能正确接收来自车辆5的远程操作的操作完成通知时，即使车辆实际被远程操作，该服务中心3也无法接收到取消许可状态标记18。在这种情况下，服务中心3无法接受取消操作。由此，提供了这样一种配置，使得在服务中心3无法接收到操作完成通知时，在从传送远程操作的操作命令起的24小时内，原则上接受取消操作。由此，取消操作可以容易地接受。

图22示出了在服务中心3无法接收到操作完成通知时实施的所接收取消操作的处理过程的流程图。

首先，用户操作便携式单元2，并且向服务中心3传送一个对于关闭车窗的远程操作的操作命令(S101)。服务中心3将操作命令传送到车辆5(S102)。车辆5的控制部分16基于用于关闭车窗的控制信号来关闭车窗(S103)。此外，车辆状态存储部分14将车窗的取消许可状态标记18设置成“许可”。

然后，由于车窗已经由此被控制并且被关闭，因此，远程操作响应生成部分13向服务中心3传送操作完成通知(S104)。

取消许可状态标记18与操作完成通知一起被传送。但是有可能出现这样一种情况(在下文中将其简称为“操作完成通知接收未确定状态”)，其中服务中心3接收的操作完成通知或取消许可状态标记18难于分析，或者因为恶劣的通信条件而导致超时。在操作完成通知接收未确定状态下，服务中心3将对于车辆5的车窗的车辆状态21更新为“许可”状态(S401)。

服务中心3借助电子邮件将操作完成通知接收未确定状态的信息传送到便携式单元2(S402)。图23示出了操作完成通知接收未确定状态的一个示例。如图23所示，对用户来说，示出了消息“车辆远程操作结果的通知异常。请检查车辆状况”。相应地，例如，用户随后可以借助其他远程操作来确认车辆状态。

当用户注意到将人等锁在车内并且希望取消车窗关闭操作时，该用户访问预定URL，并且从服务中心3请求显示取消操作菜单(S403)。

由服务中心3保持的车辆状态21已经更新为“许可”(S401)。相应地，服务中心3接受取消操作(S404)，并且将取消操作页面传送到便携式单元2(S405)。在用户的便携式单元2上显示如图17(a)所示的取消操作菜单。

当用户选择以链接方式显示的“此处”时，关于车窗关闭的取消操作请求被传送到服务中心3(S406)。服务中心接受该取消操作(S407)。然后，服务中心3发送取消操作接受页面(S408)。应该指出的是，在这种情况下，服务中心3接收到取消操作的操作命令的时间是在从将车辆状态21更新为“许可”状态时起的24小时以内。

由于在便携式单元2上显示了如图21所示的取消操作接受页面，因此，用户检查复选框，并且在取消远程操作时选择“确定”按钮。由此，取消操作的操作命令被传送到服务中心3(S409)。

服务中心3将取消操作的操作命令传送到车辆5(S410)。车辆5中的远程操作许可判定部分12读取具有状态“许可”的取消许可状态标记18，并且允许该取消操作，由此控制部分16执行取消操作，也就是打开车窗的操作(S411)。车辆状态存储部分14将取消许可状态标记18设置成“不许可”，而远程操作响应生成部分13将操作完成通知传送到服务中心(S412)。

服务中心3中的状态更新部分23接收操作完成通知，并且将车辆状态21更新为“不许可”状态(S413)。然后，服务中心3借助电子邮件或类似手段将操作完成通知传送到便携式单元2(S414)。当用户打开该电子邮件时，显示一个消息“车窗已被打开”。

在图22的处理中，即使没有确定是否已完成远程操作，该远程操作的取消操作也是接受的，由此可以尽可能避免锁在车内。

由此，依照本实施例，远程操作可以取消并且可返回到原始状态，此外，服务中心3可以确定是否要接受取消操作。由于服务中心3由此做出确定，因此在这里不需要与车辆进行通信，并且由此可以平滑地获得响应。当没有显示取消操作菜单时，用户将被告知原因。相应地，可以提供一种易于为用户理解的服务。此外，即使在经过了预定时间段以后或者在不确定是否已完成远程操作的情况下，取消操作也尽可能被接受。相应地，考虑用户的意图，并且可以尽可能地执行取消操作。

另外，本发明并不局限于上述实施例，在不脱离权利要求所要求保护的发明基本概念的情况下，各种变化和修改都是可行的。

本申请是以分别在2005年7月7日以及2006年1月24提交的日本优先权申请2005-199194以及2006-015100为基础的，并且这些申请的全部内容被通过引用并入本文。

Claims (24)

1.一种远程操作系统，其内的车装单元是通过从驾驶员所携带的便携式单元经由服务中心传送的操作命令来控制的，其中：

当车辆接收到用于将所述车装单元从第二状态控制到第一状态的操作命令B时，只有在操作命令B之前执行了基于操作命令A的控制时，所述操作命令B才被执行，所述操作命令A用于从第一状态控制到第二状态，

所述车辆包括远程操作响应生成部分，该部分在基于操作命令A对所述车装单元进行了控制之后产生操作完成通知，并且将该操作完成通知传送到所述服务中心；以及

当基于操作命令B对所述车装单元进行控制并且将该车装单元返回到操作命令A之前的状态时，所述远程操作响应生成部分传送取消操作完成通知。

2.如权利要求1所述的远程操作系统，其中：

所述操作完成通知包括指引信息，用于指引用户将所述车装单元返回到操作命令A的控制之前的状态。

3.如权利要求1所述的远程操作系统，其中：

当所述车辆具有基于操作命令A的所述车装单元的控制记录时，所述车辆基于操作命令B而将所述车装单元返回到操作命令A之前的状态。

4.如权利要求1所述的远程操作系统，其中：

在基于操作命令A对所述车装单元进行了控制之后，只有在预定时间段期间，所述车辆才基于操作命令B将所述车装单元返回到操作命令A之前的状态。

5.如权利要求1所述的远程操作系统，其中：

当基于操作命令A对所述车装单元进行了控制之后对所述车辆进行本地控制时，所述车辆禁止基于操作命令B将所述车装单元返回到操作命令A之前的状态。

6.如权利要求1所述的远程操作系统，其中：

所述车辆具有用于确定在接收到操作命令B时是否要返回到操作命令A之前的状态的标记；以及

当基于操作命令A对所述车辆的所述车装单元进行控制时，所述标记变为许可状态，当对车辆进行本地控制时或者当在基于操作命令A对车装单元进行控制时起经过了预定时间段时，所述标记变为不许可状态。

7.如权利要求6所述的远程操作系统，其中：

所述车辆包括远程操作响应生成部分，在基于操作命令A对所述车装单元进行了控制之后，该远程操作响应生成部分将所述标记与操作完成通知一起传送；

当基于操作命令B对所述车装单元进行控制并且将该车装单元返回到操作命令A之前的状态时，所述远程操作响应生成部分将所述标记与取消操作完成通知一起传送；以及

所述服务中心基于从所述车辆传送的所述标记的状态来确定是否接受操作命令B。

8.如权利要求7所述的远程操作系统，其中：

当所述标记具有许可状态时，所述服务中心将能够从中选择操作命令B的取消操作菜单页面传送至所述便携式单元；以及

当所述标记具有不许可状态时，所述服务中心将无法从中选择操作命令B的取消操作菜单未显示页面传送至所述便携式单元。

9.如权利要求7所述的远程操作系统，其中：

当传送了操作命令B之后无法正确接收来自所述车辆的所述操作完成通知时，所述服务中心将该服务中心的所述标记更新到许可状态。

10.如权利要求8所述的远程操作系统，其中：

当从所述车辆传送了处于许可状态的所述标记之后所述车辆的所述标记被反转到不许可状态时，所述服务中心将所述取消操作菜单页面传送至所述便携式单元。

11.如权利要求7所述的远程操作系统，其中：

当从所述标记变成许可状态时起经过了预定时间段时，所述服务中心将所述标记更新为不许可状态。

12.如权利要求11所述的远程操作系统，其中：

所述服务中心在经过了所述预定时间段之后接收到来自所述便携式单元的操作命令B的情况下，在传送了所述取消操作菜单页面之后，即使所述标记具有不许可状态，所述服务中心也向所述车辆传送操作命令B。

13.一种远程操作设备，其基于从驾驶员所携带的便携式单元经由服务中心传送的操作命令对车装单元进行控制，其中：

当接收到用于将所述车装单元从第二状态控制到第一状态的操作命令B时，只有在操作命令B之前执行了基于操作命令A的控制时，所述操作命令B才被执行，所述操作命令A用于从第一状态控制到第二状态，

所述远程操作设备包括：远程操作响应生成部分，该远程操作响应生成部分在基于操作命令A对所述车装单元进行了控制之后产生操作完成通知，并且将该操作完成通知传送到服务中心；以及

当基于操作命令B对所述车装单元进行控制并且将该车装单元返回到操作命令A之前的状态时，所述远程操作响应生成部分传送取消操作完成通知。

14.如权利要求13所述的远程操作设备，其中：

所述操作完成通知包括指引信息，用于指引用户将所述车装单元返回到操作命令A的控制之前的状态。

15.如权利要求13所述的远程操作设备，其中：

当具有基于操作命令A的所述车装单元的控制记录时，所述设备基于操作命令B将所述车装单元返回到操作命令A之前的状态。

16.如权利要求13所述的远程操作设备，其中：

在基于操作命令A对所述车装单元进行了控制之后，只有在预定时间段期间，所述设备才基于操作命令B将所述车装单元返回到操作命令A之前的状态。

17.如权利要求13所述的远程操作设备，其中：

当基于操作命令A对所述车装单元进行了控制之后对所述车辆进行本地控制时，所述设备禁止基于操作命令B将所述车装单元返回到操作命令A之前的状态。

18.一种远程操作系统中的服务中心，该服务中心在便携式单元与车装单元之间传递操作命令，其中：

当所述设备接收到将所述车装单元从第二状态控制到第一状态的操作命令B时，所述服务中心基于用以表明是否在操作命令B之前执行了基于操作命令A的控制的标志，确定是否要接受操作命令B，操作命令A将所述车装单元从第一状态控制到第二状态。

19.如权利要求18所述的服务中心，在基于操作命令A对所述车装单元进行了控制之后，该服务中心从所述车辆接收用以表明是否许可操作命令B的标记以及操作完成通知；

当基于操作命令B对车装单元进行控制并且将该车装单元返回到操作命令A之前的状态时，接收所述标记以及取消操作完成通知；以及

基于所传送的所述标记的状态来确定是否要接受操作命令B。

20.如权利要求19所述的服务中心，当所述标记具有用以允许取消操作的许可状态时，所述服务中心将能够从中选择操作命令B的取消操作菜单页面传送至所述便携式单元；以及

当所述标记具有不许可状态时，所述服务中心将无法从中选择操作命令B的取消操作菜单未显示页面传送到便携式单元。

21.如权利要求19所述的服务中心，在传送了操作命令A之后无法正确接收到来自所述车辆的所述操作完成通知时，所述服务中心将所述标志更新为许可状态。

22.如权利要求20所述的服务中心，当从所述车辆传送了处于许可状态的车辆的所述标记之后将该标记反转到不许可状态时，所述服务中心将所述取消操作菜单页面传送至所述便携式单元。

23.如权利要求19所述的服务中心，当从所述标志变为许可状态时起经过了预定时间段时，所述服务中心将所述标志更新为不许可状态。

24.如权利要求23所述的服务中心，当所述服务中心在经过了所述预定时间段之后接收到来自所述便携式单元的操作命令B时，在传送了所述取消操作菜单页面之后，即使所述标志处于不许可状态，所述服务中心也向所述便携式单元传送操作命令B。

Images