CN109799801A - 无人驾驶运输系统 - Google Patents

Abstract

无人驾驶运输系统包括自动驾驶车辆和管理服务器。检查代码包括：车辆代码，其是自动驾驶车辆独有的；以及密码，其值在每次生成密码时改变。在去激活处理中，自动驾驶车辆新生成密码，将包括新生成的密码的检查代码存储为第一检查代码，并且向管理服务器发送第一检查代码。管理服务器将第一检查代码存储为存储的检查代码。为了激活自动驾驶车辆，管理服务器向自动驾驶车辆发送激活指令和存储的检查代码。响应于此，自动驾驶车辆从其存储装置读取检查代码作为第二检查代码，并且确定第二检查代码与存储的检查代码是否匹配。

Description

无人驾驶运输系统

技术领域

本公开内容涉及提供无人驾驶运输服务的自动驾驶车辆和无人驾驶运输系统。

背景技术

专利文献1公开了一种使用能够在没有人类驾驶员的情况下驾驶的自动驾驶车辆的无人驾驶运输服务。自动驾驶车辆前往用于搭载用户的搭载位置。在到达搭载位置时，自动驾驶车辆停下并且打开门。用户进入自动驾驶车辆并且执行认证操作。当用户的认证完成时，自动驾驶车辆关闭门并且锁门。此后，自动驾驶车辆出发并且自动地朝向用户期望的目的地行驶。

相关技术列表

专利文献1：日本专利特开公报第2015-191264号

发明内容

在待命位置处，提供无人驾驶运输服务的自动驾驶车辆执行去激活处理以进入待命模式。为了激活自动驾驶车辆，管理自动驾驶车辆的管理服务器向自动驾驶车辆发送激活指令。

在该方面，本申请的发明人已经认识到下面的问题。即是，存在在自动驾驶车辆的从去激活至激活的待命时段期间在自动驾驶车辆中发生异常事件的可能性。举例说明，异常事件是黑客攻击(hacking)、未经授权的驾驶、闯入车内、修改、破坏等。然而，在无人驾驶运输服务的情况下，没有驾驶员登上自动驾驶车辆，并且因此在自动驾驶车辆激活时无法通过驾驶员检测到异常事件。因此，存在发生异常事件的自动驾驶车辆开始自动行驶(例如，为了搭载用户)的可能性。这致使对无人驾驶运输服务的信心降低并且使无人驾驶运输服务的实用性下降。

本公开内容的目的是关于无人驾驶运输服务提供一种能够检测在待命时段期间在自动驾驶车辆中发生的异常事件的技术。

第一公开内容提供了一种提供无人驾驶运输服务的无人驾驶运输系统。

无人驾驶运输系统包括：

自动驾驶车辆，其包括存储装置；以及

管理服务器，其管理自动驾驶车辆。

检查代码包括：

车辆代码，其是自动驾驶车辆独有的；以及

密码，其值在每次生成密码时改变。

在要进入待命模式的去激活处理中，自动驾驶车辆新生成密码，将包括新生成的密码的检查代码作为第一检查代码存储在存储装置中，并且还向管理服务器发送第一检查代码。管理服务器将第一检查代码存储为存储的检查代码。

在激活自动驾驶车辆时，管理服务器向自动驾驶车辆发送激活指令和存储的检查代码。响应于激活指令，自动驾驶车辆读取存储在存储装置中的检查代码作为第二检查代码，并且确定第二检查代码与存储的检查代码是否匹配。当第二检查代码与存储的检查代码不匹配时自动驾驶车辆执行第一异常操作处理。

除了第一公开内容之外第二公开内容还具有以下特征。

检查信息包括指示自动驾驶车辆的位置和方位的位置方位信息、指示自动驾驶车辆的驾驶历史的驾驶历史信息以及指示自动驾驶车辆周围的图像的周围图像信息中的至少一个。

在去激活处理中，自动驾驶车辆新获取检查信息作为第一检查信息，并且向管理服务器发送第一检查信息。管理服务器将第一检查信息存储为存储的检查信息。

响应于激活指令，自动驾驶车辆新获取检查信息作为第二检查信息，并且向管理服务器发送第二检查信息。管理服务器将第二检查信息与存储的检查信息进行比较，以确定自动驾驶车辆是否被未经许可驾驶。当确定自动驾驶车辆被未经许可驾驶时管理服务器执行第二异常操作处理。

除了第二公开内容之外第三公开内容还具有以下特征。

检查信息还包括指示自动驾驶车辆的空间和外观的图像中的至少一个的车辆图像信息。

管理服务器将包括在第二检查信息中的车辆图像信息与包括在存储的检查信息中的车辆图像信息进行比较，以确定在自动驾驶车辆的空间或外观中是否发生变化。管理服务器在确定发生变化时执行第三异常操作处理。

除了第一公开内容之外第四公开内容还具有以下特征。

检查信息包括指示自动驾驶车辆的空间和外观的图像中的至少一个的车辆图像信息。

在去激活处理中，自动驾驶车辆新获取检查信息作为第一检查信息，并且向管理服务器发送第一检查信息。管理服务器将第一检查信息存储为存储的检查信息。

响应于激活指令，自动驾驶车辆新获取检查信息作为第二检查信息，并且向管理服务器发送第二检查信息。管理服务器将第二检查信息与存储的检查信息进行比较，以确定在自动驾驶车辆的空间或外观中是否发生变化。管理服务器在确定发生变化时执行第三异常操作处理。

根据本公开内容，在去激活处理中，生成新的检查代码(即，第一检查代码)，并且将其存储在自动驾驶车辆和管理服务器两者中。此后，在激活自动驾驶车辆时，将存储在自动驾驶车辆中的检查代码(即，第二检查代码)与存储在管理服务器中的检查代码(即，存储的检查代码)彼此进行比较。

如果第二检查代码与存储的检查代码不匹配，则意味着在待命时段期间出现某种异常事件。通过将第二检查代码与存储的检查代码进行比较，可以检测异常事件的出现。

此外，每个检查代码包括具有不同属性的两种类型的代码，即，自动驾驶车辆独有的车辆代码以及其值在每次生成时改变的密码。即使泄漏了车辆代码，也很难知道在去激活前生成的最新密码。通过使用具有不同属性的车辆代码和密码两者，可以提高检测异常事件的出现的准确度。

如上所述，根据本公开内容，可以检测在待命时段期间在自动驾驶车辆中发生的异常事件。这有助于增加对无人驾驶运输服务的信心。而且，防止了无人驾驶运输服务的实用性下降。

附图说明

图1是示意性地示出根据本公开内容的实施方式的无人驾驶运输系统的配置的框图；

图2是用于说明根据本公开内容的实施方式的自动驾驶车辆的待命模式的概念图；

图3是用于说明本公开内容的第一实施方式中的检查代码的概念图；

图4是用于说明本公开内容的第一实施方式的概要的概念图；

图5是示出根据本公开内容的第一实施方式的自动驾驶车辆的配置示例的框图；

图6是示出与根据本公开内容的第一实施方式的去激活处理有关的处理流程的流程图；

图7是示出与根据本公开内容的第一实施方式的异常事件检查处理有关的处理流程的流程图；

图8是用于说明本公开内容的第二实施方式的概要的概念图；

图9是示出根据本公开内容的第二实施方式的自动驾驶车辆的配置示例的框图；

图10是示出本公开内容的第二实施方式中的检查信息的示例的框图；

图11是示出与根据本公开内容的第二实施方式的去激活处理有关的处理流程的流程图；

图12是示出与根据本公开内容的第二实施方式的异常事件检查处理有关的处理流程的流程图；

图13是示出根据本公开内容的第三实施方式的自动驾驶车辆的配置示例的框图；

图14是示出本公开内容的第三实施方式中的检查信息的示例的框图；

图15是示出根据本公开内容的第四实施方式的自动驾驶车辆的配置示例的框图；

图16是示出本公开内容的第四实施方式中的检查信息的示例的框图；

图17是示出与根据本公开内容的第四实施方式的去激活处理有关的处理流程的流程图；以及

图18是示出与根据本公开内容的第四实施方式的异常事件检查处理有关的处理流程的流程图。

具体实施方式

下面将参照附图描述本公开内容的实施方式。

1.无人驾驶运输系统

图1是示意性地示出根据本实施方式的无人驾驶运输系统1的配置的框图。无人驾驶运输系统1为用户提供无人驾驶运输服务。无人驾驶运输系统1包括自动驾驶车辆10、管理服务器20和用户终端30。

自动驾驶车辆10能够在没有人类驾驶员的情况下自动驾驶。用户乘坐自动驾驶车辆10并且自动驾驶车辆10为用户提供无人驾驶运输服务。自动驾驶车辆10能够通过通信网络与管理服务器20和用户终端30通信。

管理服务器20是管理无人驾驶运输服务和自动驾驶车辆10的服务器。管理服务器20至少设置有处理器、存储装置和通信装置，并且因此能够执行各种信息处理和通信处理。例如，管理服务器20管理用户的注册信息和自动驾驶车辆10的操作状态。此外，管理服务器20能够通过通信网络与自动驾驶车辆10和用户终端30通信。

用户终端30是由用户携带的终端。用户终端30能够通过通信网络与自动驾驶车辆10和管理服务器20通信。这样的用户终端30以智能手机为例。

无人驾驶运输服务的基本流程如下。

首先，用户使用用户终端30发送调度请求。调度请求包括由用户期望的搭载位置等。调度请求通过通信网络被发送至管理服务器20。管理服务器20选择为用户提供服务的自动驾驶车辆10，并且向所选择的自动驾驶车辆10发送调度请求的信息。接收信息的自动驾驶车辆10自动前往搭载位置。

自动驾驶车辆10到达搭载位置并且停下。用户登上自动驾驶车辆10。用户告知自动驾驶车辆10期望的目的地(下车位置)。可替选地，可以将目的地的信息包括在调度请求中。自动驾驶车辆10锁定门，然后自动地朝向目的地行驶。自动驾驶车辆10到达目的地并且停下。自动驾驶车辆10将门解锁，并且用户从自动驾驶车辆10下车。

2.待命模式下的异常事件

图2是用于说明根据本实施方式的自动驾驶车辆10的待命模式的概念图。当到达待命位置处时，自动驾驶车辆10去激活其操作，并且进入待命模式。待命位置以预定停车区域、用于搭载用户的搭载位置等为例。在下文中将自动驾驶车辆10执行以进入待命模式的处理称为“去激活处理”。例如，去激活处理包括熄火。

为了激活在待命模式下的自动驾驶车辆10，管理服务器20向自动驾驶车辆10发送激活指令ACT。响应于激活指令ACT，自动驾驶车辆10执行“激活处理”。例如，激活处理包括启动点火。在下文中，将从自动驾驶车辆10的去激活到激活的时段称为“待命时段”。

存在在待命时段期间在自动驾驶车辆10中发生“异常事件”的可能性。异常事件以黑客攻击、未经授权的驾驶、闯入车内、修改、破坏等为例。然而，在无人驾驶运输服务的情况下，没有驾驶员登上自动驾驶车辆10，因此在自动驾驶车辆10激活时无法由驾驶员检测到异常事件。因此，存在发生异常事件的自动驾驶车辆10开始自动行驶(例如，为了搭载用户)的可能性。这导致对无人驾驶运输服务的信心降低并且使无人驾驶运输服务的实用性下降。

因此，期望检测到在待命时段期间在自动驾驶车辆10中发生的异常事件。在下文中，将描述用于检测在待命时段期间在自动驾驶车辆10中发生的异常事件的各种实施方式。

3.第一实施方式

3-1.概要

在第一实施方式中，“检查代码CKC”用于检测异常事件。图3是用于说明检查代码CKC的概念图。检查代码CKC包括车辆代码VID和密码PSC。车辆代码VID是自动驾驶车辆10独有的识别号码。另一方面，密码PSC是其值在每次生成密码时改变的加密密钥。检查代码CKC被存储(保持)在自动驾驶车辆10的存储装置中。

图4是用于说明第一实施方式的概要的概念图。在去激活处理中，自动驾驶车辆10新生成密码PSC。在下文中，将包括新生成的密码PSC的最新的检查代码CKC称为“第一检查代码CKC_1”。自动驾驶车辆10不仅将第一检查代码CKC_1存储在存储装置中，还向管理服务器20发送第一检查代码CKC_1。管理服务器20将从自动驾驶车辆10接收到的第一检查代码CKC_1存储为“存储的检查代码CKC_S”。

在激活自动驾驶车辆10时，管理服务器20不仅向自动驾驶车辆10发送激活指令ACT，还发送存储的检查代码CKC_S。响应于激活指令ACT，自动驾驶车辆10执行激活处理。在激活处理中，自动驾驶车辆10执行检查在待命时段期间是否发生任何异常事件的“异常事件检查处理”。更具体地，自动驾驶车辆10读取存储在存储装置中的检查代码CKC。在下文中，将在该时刻从存储装置读取的检查代码CKC称为“第二检查代码CKC_2”。

自动驾驶车辆10确定第二检查代码CKC_2与从管理服务器20接收到的存储的检查代码CKC_S是否匹配。基本上，预期的是，第二检查代码CKC_2仍然是第一检查代码CKC_1，并且因此与存储的检查代码CKC_S匹配。如果第二检查代码CKC_2与存储的检查代码CKC_S不匹配，则意味着在待命时段期间发生了某种异常事件。

因此，当第二检查代码CKC_2与存储的检查代码CKC_S不匹配时，自动驾驶车辆10确定在待命时段期间发生异常事件。在该情况下，自动驾驶车辆10执行预定的异常操作处理(第一异常操作处理)。例如，自动驾驶车辆10禁止激活，并且通知管理服务器20异常事件的出现。管理服务器20向操作者、保安人员等报告异常事件的出现，以促使他们处理异常事件。

如上所述，根据第一实施方式，可以通过使用检查代码CKC来检测在待命时段期间发生的异常事件。在下文中，将详细描述根据第一实施方式的自动驾驶车辆10的配置以及处理的示例。

3-2.自动驾驶汽车的配置示例

图5是示出根据第一实施方式的自动驾驶车辆10的配置示例的框图。自动驾驶车辆10被设置有控制装置100、通信装置300和行驶装置400。

控制装置100控制自动驾驶车辆10的自动驾驶。通常，控制装置100是包括处理器和存储装置200的微型计算机。控制装置100也称为ECU(电子控制单元)。控制程序被存储在存储装置200中。通过控制装置100控制的自动驾驶是通过处理器执行存储在存储装置200中的控制程序来实现的。此外，上述的检查代码CKC被存储在存储装置200中。

通信装置300与自动驾驶车辆10的外部进行通信。更具体地，通信装置300通过通信网络与管理服务器20和用户终端30通信。控制装置100可以通过通信装置300与管理服务器20和用户终端30传输信息。

行驶装置400包括转向装置、驱动装置和制动装置。转向装置转动车轮。驱动装置是生成驱动力的动力源。驱动装置以引擎和电机为例。制动装置生成制动力。控制装置100控制行驶装置400以控制自动驾驶车辆10的行驶(转向、加速和减速)。

3-3.去激活处理

图6是示出与根据第一实施方式的去激活处理有关的处理流程的流程图。当自动驾驶车辆10到达待命位置处时，控制装置100执行去激活处理以进入待命模式(步骤S100)。

更具体地，控制装置100新生成密码PSC(步骤S110)。包括新生成的密码PSC的最新检查代码CKC是第一检查代码CKC_1。控制装置100将第一检查代码CKC_1存储在存储装置200中(步骤S120)。此外，控制装置100使用通信装置300向管理服务器20发送存储对象信息(步骤S140)。在第一实施方式中，存储对象信息包括第一检查代码CKC_1。此后，控制装置100将自动驾驶车辆10转换至待命模式(步骤S150)。例如，控制装置100关闭行驶装置400。

管理服务器20从自动驾驶车辆10接收存储对象信息。然后，管理服务器20将接收到的存储对象信息存储在其自己的存储装置中(步骤S200)。此处，将存储对象信息与自动驾驶车辆10关联地被存储为传送源。换句话说，针对每个自动驾驶车辆10分别存储存储对象信息。在第一实施方式中，第一检查代码CKC_1被存储为存储的检查代码CKC_S。

3-4.异常事件检查处理

图7是示出与根据第一实施方式的异常事件检查处理有关的处理流程的流程图。在激活自动驾驶车辆10时，管理服务器20向自动驾驶车辆10发送激活指令ACT(步骤S300)。

此外，管理服务器20从其自己的存储装置读取与作为激活目标的自动驾驶车辆10关联的存储的检查代码CKC_S。然后，管理服务器20向自动驾驶车辆10发送读取的存储的检查代码CKC_S(步骤S400)。存储的检查代码CKC_S可以与激活指令ACT一起发送或者可以在发送激活指令ACT之后经过一段特定时间后发送。

响应于激活指令ACT，自动驾驶车辆10的控制装置100执行异常事件检查处理(步骤S500)。更具体地，控制装置100通过通信装置300接收从管理服务器20发送的存储的检查代码CKC_S(步骤S510)。此外，控制装置100读取存储在存储装置200中的检查代码CKC作为第二检查代码CKC_2(步骤S520)。

随后，控制装置100确定是否发生异常事件(步骤S530)。更具体地，控制装置100确定第二检查代码CKC_2与存储的检查代码CKC_S是否匹配。每个检查代码CKC包括车辆代码VID和密码PSC。当车辆代码VID和密码PSC中的至少一个不匹配时，确定第二检查代码CKC_2与存储的检查代码CKC_S不匹配。

当第二检查代码CKC_2与存储的检查代码CKC_S不匹配时，控制装置100确定发生了异常事件(步骤S540；是)。在该情况下，控制装置100执行预定的异常操作处理(步骤S550)。例如，控制装置100禁止自动驾驶车辆10的激活。此外，控制装置100使用通信装置300向管理服务器20通知异常事件的出现。管理服务器20向操作者、保安人员等报告异常事件的出现，以促使他们处理异常事件。

另一方面，当第二检查代码CKC_2与存储的检查代码CKC_S匹配时，控制装置100确定没有发生异常事件(步骤S540；否)。在该情况下，控制装置100执行激活处理(步骤S800)。例如，控制装置100接通行驶装置400。

3-5.效果

如上所述，根据第一实施方式，在去激活处理中，生成新的检查代码CKC(即，第一检查代码CKC_1)并且将其存储在自动驾驶车辆10和管理服务器20两者中。此后，在激活自动驾驶车辆10时，将存储在自动驾驶车辆10中的检查代码CKC(即，第二检查代码CKC_2)与存储在管理服务器20中的检查代码CKC(即，存储的检查代码CKC_S)彼此进行比较。

如果第二检查代码CKC_2与存储的检查代码CKC_S不匹配，则意味着在待命时段期间发生某种异常事件。例如，可能认为自动驾驶车辆10被黑客攻击并且存储在存储装置200中的数据被恶意篡改。作为另一示例，可能认为控制装置100被整体地替换。通过将第二检查代码CKC_2与存储的检查代码CKC_S进行比较，可以检测到这样的异常事件的出现。

此外，每个检查代码CKC包括具有不同属性的两种类型的代码，即，自动驾驶车辆10独有的车辆代码VID和其值在每次生成时改变的密码PSC。即使泄漏了车辆代码VID，也很难知道在去激活紧前生成的最新密码PSC。通过使用具有不同属性的车辆代码VID和密码PSC，可以提高检测异常事件的发生的准确度。

当检测到在待命时段期间发生异常事件时，自动驾驶车辆10执行预定的异常操作处理。例如，自动驾驶车辆10禁止激活。结果是，防止发生异常事件的自动驾驶车辆10开始自动行驶(例如，为了搭载用户)。自动驾驶车辆10可以向管理服务器20通知异常事件的出现。在该情况下，管理服务器20可以向操作者、保安人员等报告异常事件的出现，以促使他们处理异常事件。

作为另一示例，考虑有人尝试通过向自动驾驶车辆10发送假激活指令来激活自动驾驶车辆10的情况。由于管理服务器20不发送激活指令ACT，因此管理服务器20也不发送存储的检查代码CKC_S。因此，自动驾驶车辆10不会从管理服务器20接收到存储的检查代码CKC_S。由于不存在存储的检查代码CKC_S，因此异常事件检查处理(步骤S500)不会前进，并且因此处理流程不会到达激活(步骤S800)。也就是说，防止了自动驾驶车辆10被假激活指令激活。如果有人发送假的存储的检查代码，则会被异常事件检查处理检测到。

如上所述，根据第一实施方式，可以检测到在待命时段期间在自动驾驶车辆10中发生的异常事件。此外，可以防止自动驾驶车辆10被假激活指令激活。这些有助于提高对无人驾驶运输服务的信心。而且，防止了无人驾驶运输服务的实用性下降。

4.第二实施方式

在第二实施方式中，特别关注作为异常事件的“未经授权驾驶(未经许可驾驶)”。应当注意的是，将适当省略与第一实施方式的重复的描述。

4-1.概要

在第二实施方式中，“检查信息CKI”用于检测异常事件。检查信息CKI是自动驾驶车辆10可以通过使用传感器等获取的信息。

图8是用于说明第二实施方式的概要的概念图。在去激活处理中，自动驾驶车辆10新获取检查信息CKI。在下文中，将在该时刻处获取的最新检查信息CKI称为“第一检查信息CKI_1”。自动驾驶车辆10向管理服务器20发送第一检查信息CKI_1。管理服务器20将从自动驾驶车辆10接收到的第一检查信息CKI_1存储为“存储的检查信息CKI_S”。

在激活自动驾驶车辆10时，管理服务器20向自动驾驶车辆10发送激活指令ACT。响应于激活指令ACT，自动驾驶车辆10新获取检查信息CKI。在下文中，将在该时刻处获取的最新检查信息CKI称为“第二检查信息CKI_2”。自动驾驶车辆10向管理服务器20发送第二检查信息CKI_2。管理服务器20接收第二检查信息CKI_2。

管理服务器20执行检查在待命时段期间是否发生任何异常事件的“异常事件检查处理”。更具体地，管理服务器20将第二检查信息CKI_2与存储的检查信息CKI_S进行比较，以确定在待命时段期间自动驾驶车辆10是否被未经许可驾驶。当确定自动驾驶车辆10被未经许可驾驶时，管理服务器20执行预定的异常操作处理(第二异常操作处理)。例如，管理服务器20禁止自动驾驶车辆10的激活。管理服务器20可以向操作者、保安人员等报告未经授权驾驶，以促使他们处理未经授权的驾驶。

在下文中，将详细描述根据第二实施方式的自动驾驶车辆10的配置和处理的示例。

4-2.自动驾驶车辆的配置示例

图9是示出根据第二实施方式的自动驾驶车辆10的配置示例的框图。

图10是示出检查信息CKI的示例的框图。除了上述的控制装置100、通信装置300和行驶装置400之外，自动驾驶车辆10还设置有检查信息获取装置500。

检查信息获取装置500是用于获取检查信息CKI的装置。更具体地，检查信息获取装置500包括位置检测装置510、驾驶历史获取装置520和周围成像装置530中的至少一个。

位置检测装置510检测自动驾驶车辆10的位置和方位。例如，位置检测装置510包括GPS(全球定位系统)接收器。位置方位信息POS指示由位置检测装置510检测到的位置和方位。

驾驶历史获取装置520获取自动驾驶车辆10的驾驶历史。驾驶历史以行驶距离、启动点火的次数、转向角等为例。例如，驾驶历史获取装置520包括车轮旋转传感器、转向角传感器等。驾驶历史信息HIS指示由驾驶历史获取装置520获取的驾驶历史。

周围成像装置530对自动驾驶车辆10周围的情况进行成像。例如，周围成像装置530包括立体摄像装置。周围图像信息SIMG指示由周围成像装置530获取的自动驾驶车辆10周围的图像。

第二实施方式中的检查信息CKI包括位置方位信息POS、驾驶历史信息HIS和周围图像信息SIMG中的至少一个。控制装置100使用检查信息获取装置500来获取检查信息CKI。检查信息CKI被一次存储在存储装置200中。然后，控制装置100使用通信装置300来向管理服务器20发送检查信息CKI。

4-3.去激活处理

图11是示出与根据第二实施方式的去激活处理有关的处理流程的流程图。当自动驾驶车辆10到达待命位置处时，控制装置100执行去激活处理以进入待命模式(步骤S100)。

更具体地，控制装置100使用检查信息获取装置500来新获取检查信息CKI作为第一检查信息CKI_1(步骤S130)。然后，控制装置100使用通信装置300来向管理服务器20发送存储对象信息(步骤S140)。在第二实施方式中，存储对象信息包括第一检查信息CKI_1。

与第一实施方式的情况一样，管理服务器20将存储对象信息存储在其自己的存储装置中(步骤S200)。在第二实施方式中，第一检查信息CKI_1被存储作为存储的检查信息CKI_S。

4-4.异常事件检查处理

图12是示出与根据第二实施方式的异常事件检查处理有关的处理流程的流程图。在激活自动驾驶车辆10时，管理服务器20向自动驾驶车辆10发送激活指令ACT(步骤S300)。

响应于激活指令ACT，自动驾驶车辆10的控制装置100执行检查信息获取处理(步骤S600)。更具体地，控制装置100使用检查信息获取装置500来新获取检查信息CKI作为第二检查信息CKI_2(步骤S610)。然后，控制装置100使用通信装置300来向管理服务器20发送第二检查信息CKI_2(步骤S620)。

管理服务器20执行异常事件检查处理(步骤S700)。更具体地，管理服务器20接收从自动驾驶车辆10发送的第二检查信息CKI_2(步骤S710)。此外，管理服务器20从其自己的存储装置读取与作为激活目标的自动驾驶车辆10关联的存储的检查信息CKI_S(步骤S720)。

随后，管理服务器20确定是否发生异常事件(步骤S730)。更具体地，管理服务器20将第二检查信息CKI_2与存储的检查信息CKI_S进行比较以确定在待命时段期间自动驾驶车辆10是否被未经许可驾驶(即，是否执行了未经授权驾驶)。

检查信息CKI包括位置方位信息POS的情况的确定方法如下。管理服务器20计算在待命时段中自动驾驶车辆10的位置和方位的变化(位移)量。当变化量大于GPS误差范围时，管理服务器20确定执行了未经授权驾驶。

检查信息CKI包括驾驶历史信息HIS的情况的确定方法如下。管理服务器20计算在待命时段中的行驶距离、启动点火的次数或转向角的变化。当行驶距离增加时、当启动点火的次数增加时或者当转向角改变时，管理服务器20确定执行了未经授权驾驶。

检查信息CKI包括周围图像信息SIMG的情况的确定方法如下。自动驾驶车辆10周围的目标包括移动目标(例如，行人、周围车辆)和静止目标(例如，标志、建筑物)。由于在待命时段期间移动目标的位置会变化，因此管理服务器20关注静止目标。例如，管理服务器20将包括在第二检查信息CKI_2中的周围图像信息SIMG与包括在存储的检查信息CKI_S中的周围图像信息SIMG进行比较，以提取包括在它们两者中的共同的静止目标。当根本没有找到共同的静止目标时，管理服务器20确定执行了未经授权驾驶。当找到共同的静止目标时，管理服务器20计算共同的静止目标的特征点的位置的变化(位移)量。当变化量大于阈值时，管理服务器20确定执行了未经授权驾驶。

应当注意的是，检查信息CKI包括位置方位信息POS、驾驶历史信息HIS和周围图像信息SIMG中的至少一个。随着所使用的检查信息CKI的种类数目的增加，在步骤S730中的确定的准确度增加。

当确定自动驾驶车辆10被未经许可驾驶时(步骤S740；是)，管理服务器20执行预定的异常操作处理(步骤S750)。例如，管理服务器20禁止自动驾驶车辆10的激活。管理服务器20可以向操作者、保安人员等报告未经授权驾驶，以促使他们处理未经授权驾驶。

当未检测到异常事件时(步骤S740；否)，管理服务器20向自动驾驶车辆10发送激活许可(步骤S760)。响应于激活许可，自动驾驶车辆10的控制装置100执行激活处理(步骤S800)。例如，控制装置100接通行驶装置400。

4-5.效果

如上所述，根据第二实施方式，在去激活处理中，获取最新的检查信息CKI(即，第一检查信息CKI_1)，并且将其存储作为存储的检查信息CKI_S。此外，还在用于响应激活指令ACT的时刻处，获取最新的检查信息CKI(即，第二检查信息CKI_2)。通过将第二检查信息CKI_2与存储的检查信息CKI_S进行比较，可以检测在待命时段期间自动驾驶车辆10的未经授权驾驶。

当检测到未经授权驾驶时，管理服务器20执行预定的异常操作处理。例如，管理服务器20禁止自动驾驶车辆10的激活。结果是，防止发生异常事件的自动驾驶车辆10开始自动行驶(例如，为了搭载用户)。管理服务器20可以向操作者、保安人员等报告未经授权驾驶，以促使他们处理未经授权驾驶。

与第一实施方式的情况一样，第二实施方式也有助于增加对无人驾驶运输服务的信心。而且，防止了无人驾驶运输服务的实用性下降。

5.第三实施方式

在第三实施方式中，检查信息CKI用于检测异常事件，与上述第二实施方式的情况一样。在第三实施方式中，特别关注“闯入车内”、“修改”和“破坏”。应当注意，将适当省略与前述实施方式的重复的描述。

图13是示出根据第三实施方式的自动驾驶车辆10的配置示例的框图。图14是示出在第三实施方式中的检查信息CKI的示例的框图。检查信息获取装置500包括车辆成像装置540。车辆成像装置540对自动驾驶车辆10的空间和外观中的至少一个进行成像。车辆图像信息VIMG指示由车辆成像装置540获取的空间图像和外观图像中的至少一个。检查信息CKI包括车辆图像信息VIMG。

与去激活处理有关的处理流程与前述图11所示的处理流程相同。

与异常事件检查处理有关的处理流程与前述图12所示的处理流程相同。在步骤S730中，管理服务器20确定在自动驾驶车辆10的空间或外观中是否发生变化。更具体地，管理服务器20将包括在第二检查信息CKI_2中的车辆图像信息VIMG与包括在存储的检查信息CKI_S中的车辆图像信息VIMG进行比较，以提取它们之间的差异。当存在显著差异时，管理服务器20确定在自动驾驶车辆10的空间或外观中发生变化。

当在自动驾驶车辆10的空间中发生变化时，管理服务器20确定在待命时段期间执行了“闯入车内”。当在自动驾驶车辆10的外观中发生变化时，管理服务器20确定在待命时段期间执行了“修改”或“破坏”。在这些情况下(步骤S740；是)，管理服务器20执行预定的异常操作处理(第三异常操作处理)(步骤S750)。例如，管理服务器20禁止自动驾驶车辆10的激活。管理服务器20可以向操作者、保安人员等报告异常事件的出现，以促使他们处理异常事件。

如上所述，根据第三实施方式，可以检测在待命时段期间的闯入车内、修改或破坏。第三实施方式也有助于增加对无人驾驶运输服务的信心。而且，防止了无人驾驶运输服务的实用性下降。

6.第四实施方式

第四实施方式是上述第一实施方式至第三实施方式中的两个或更多个的组合。可以组合第一实施方式和第二实施方式。可以组合第一实施方式和第三实施方式。可以组合第二实施方式和第三实施方式。可以组合第一实施方式至第三实施方式。在下文中，第一实施方式至第三实施方式的组合将作为示例描述。应当注意，将适当地省略与前述实施方式的重复的描述。

图15是示出自动驾驶车辆10的配置示例的框图。图16是示出检查信息CKI的示例的框图。检查代码CKC和检查信息CKI被存储在自动驾驶车辆10的存储装置200中。检查信息获取装置500包括位置检测装置510、驾驶历史获取装置520、周围成像装置530和车辆成像装置540。检查信息CKI包括位置方位信息POS、驾驶历史信息HIS、周围图像信息SIMG和车辆图像信息VIMG。

图17是示出与去激活处理有关的处理流程的流程图。步骤S100(去激活处理)包括图6所示的步骤S110和S120以及图11所示的步骤S130。存储对象信息包括第一检查代码CKC_1和第一检查信息CKI_1。步骤S140、S150和S200与前述实施方式的情况相同。

图18是示出与异常事件检查处理有关的处理流程的流程图。步骤S300、S600、S710至S750与图12所示的步骤相同。当在步骤S740中未检测到异常事件时(步骤S740；否)，管理服务器20执行图7所示的步骤S400。也就是说，管理服务器20向自动驾驶车辆10发送存储的检查代码CKC_S。此后，自动驾驶车辆10的控制装置100执行异常事件检查处理(步骤S500)。

根据第四实施方式，可以获得与前述实施方式相同的效果。

Claims (4)

1.一种提供无人驾驶运输服务的无人驾驶运输系统，包括：

自动驾驶车辆，其包括存储装置；以及

管理服务器，其管理所述自动驾驶车辆，

其中，检查代码包括：

车辆代码，其是所述自动驾驶车辆独有的；以及

密码，其值在每次生成密码时改变，

其中，在要进入待命模式的去激活处理中，所述自动驾驶车辆新生成密码，将包括新生成的密码的检查代码作为第一检查代码存储在所述存储装置中，并且还向所述管理服务器发送所述第一检查代码，并且

所述管理服务器将所述第一检查代码存储为存储的检查代码，

其中，在激活所述自动驾驶车辆时，所述管理服务器向所述自动驾驶车辆发送激活指令和所述存储的检查代码，

响应于所述激活指令，所述自动驾驶车辆读取存储在所述存储装置中的检查代码作为第二检查代码，并且确定所述第二检查代码与所述存储的检查代码是否匹配，并且

当所述第二检查代码与所述存储的检查代码不匹配时，所述自动驾驶车辆执行第一异常操作处理。

2.根据权利要求1所述的无人驾驶运输系统，

其中，检查信息包括指示所述自动驾驶车辆的位置和方位的位置方位信息、指示所述自动驾驶车辆的驾驶历史的驾驶历史信息以及指示所述自动驾驶车辆周围的图像的周围图像信息中的至少一个，

其中，在所述去激活处理中，所述自动驾驶车辆新获取所述检查信息作为第一检查信息，并且向所述管理服务器发送所述第一检查信息，并且

所述管理服务器将所述第一检查信息存储为存储的检查信息，

其中，响应于所述激活指令，所述自动驾驶车辆新获取所述检查信息作为第二检查信息，并且向所述管理服务器发送所述第二检查信息，

所述管理服务器将所述第二检查信息与所述存储的检查信息进行比较，以确定所述自动驾驶车辆是否被未经许可地驾驶，并且

当确定所述自动驾驶车辆被未经许可地驾驶时，所述管理服务器执行第二异常操作处理。

3.根据权利要求2所述的无人驾驶运输系统，

其中，所述检查信息还包括指示所述自动驾驶车辆的空间和外观的图像中的至少一个的车辆图像信息，

所述管理服务器将包括在所述第二检查信息中的车辆图像信息与包括在所述存储的检查信息中的车辆图像信息进行比较，以确定在所述自动驾驶车辆的空间或外观中是否发生变化，并且

所述管理服务器在确定发生了变化时执行第三异常操作处理。

4.根据权利要求1所述的无人驾驶运输系统，

其中，检查信息包括指示所述自动驾驶车辆的空间和外观的图像中的至少一个的车辆图像信息，

其中，在所述去激活处理中，所述自动驾驶车辆新获取所述检查信息作为第一检查信息，并且向所述管理服务器发送所述第一检查信息，并且

所述管理服务器将所述第一检查信息存储为存储的检查信息，

其中，响应于所述激活指令，所述自动驾驶车辆新获取所述检查信息作为第二检查信息，并且向所述管理服务器发送所述第二检查信息，

所述管理服务器将所述第二检查信息与所述存储的检查信息进行比较，以确定在所述自动驾驶车辆的空间或外观中是否发生变化，并且

所述管理服务器在确定发生了变化时执行第三异常操作处理。