JP2007040088A - リモート操作システム、リモート操作装置及びサービスセンタ - Google Patents

Abstract

【課題】セキュリティを確保しながらリモート操作のキャンセルが可能なリモート操作システム又はリモート操作装置を提供すること。
【解決手段】運転者の携帯する携帯装置２からサービスセンタ３を介して送信される操作コマンドに基づき車両５の車載装置が制御されるリモート操作システムにおいて、車両５が操作コマンドに基づき車載装置を制御した後、サービスセンタ３から、車載装置を操作コマンドによる制御前の状態に戻すキャンセル操作コマンドを受信した場合、車両５は、車載装置を操作コマンドに基づく制御前の状態に戻す、ことを特徴とする。
【選択図】図２

Description

本発明は、車両のリモート操作システム又はリモート操作装置に関し、特に、リモート操作のキャンセルが可能なリモート操作システム又はリモート操作装置に関する。

移動体通信システムの携帯装置を用いて、遠隔地から車載装置のリモート操作が可能な車両が知られている（例えば、特許文献１参照。）。リモート操作が可能な車両では、遠隔地から車両のドアのロック／アンロック、ウィンドウの開閉等を行うことができる。
特開２００４−２２４０６７号公報

ところで、リモート操作は運転者が車両から離れた場所から行われるものであるため、車両のセキュリティを低下させるリモート操作は禁止されている場合が多い。また、リモート操作はサーバを介して行われるため、仮にドアのアンロック等、セキュリティを低下させる車載装置のリモート操作を一律に許可していると、サーバに不正に侵入された場合にリモート操作が可能な全ての車両のドアがアンロックされることとなってしまう。このため、ドアのアンロックやウィンドウの開操作等はリモート操作することはできないようにサーバや車両で設定されていることが多い。

しかしながら、リモート操作により車載装置が制御された後に、ユーザが操作内容を取り消したい場合がある。例えば、ドアのロック制御を行った後に車内に人が検出されたのでドアをアンロックしたい場合等である。このような場合は、閉じ込めを防止するためにドアをアンロックする方が好ましく、原則的には制限されているリモート操作であっても所定の条件下では許可されることが望ましい。

本発明は、上記問題に鑑み、セキュリティを確保しながらリモート操作のキャンセルが可能なリモート操作システム、リモート操作装置及びサービスセンタを提供することを目的とする。

上記問題を解決するため、本発明は、運転者の携帯する携帯装置からサービスセンタを介して送信される操作コマンドに基づき車両の車載装置が制御されるリモート操作システムにおいて、車両が前記操作コマンドに基づき車載装置を制御した後、サービスセンタが、車載装置を前記操作コマンドによる制御前の状態に戻すキャンセル操作コマンドを受信した場合、車両は、車載装置を操作コマンドに基づく制御前の状態に戻す、ことを特徴とする。

本発明によれば、セキュリティを確保しながらリモート操作のキャンセルが可能なリモート操作システムを提供できる。

また、本発明の一形態において、車両は、操作コマンドに基づき車載装置を制御した後、操作完了通知を生成して携帯装置に送信するリモート操作応答生成部を有し、リモート操作応答生成部は、キャンセル操作コマンドに基づき車載装置を制御して操作コマンドの前の状態に戻した場合、キャンセル操作完了通知を携帯装置に送信する、ことを有することを特徴とする。

ユーザは、操作完了通知又はキャンセル操作完了通知を読むことで、リモート操作又はキャンセル操作の操作結果を知ることができる。

また、本発明の一形態において、操作完了通知は、車載装置を操作コマンドによる制御前の状態に戻すキャンセル操作に誘導する誘導情報を含むことを特徴とする。

本発明によれば、ユーザは誘導情報を利用することで容易にキャンセル操作を実行できる。なお、誘導情報とは、例えば、キャンセル操作を行うためのＵＲＬ等である。

また、本発明の一形態において、車両は、操作コマンドに基づく車載装置の制御記録を有する場合、キャンセル操作コマンドに基づき車載装置を当該操作コマンド前の状態に戻す、ことを特徴とする。

本発明によれば、制御記録がなければキャンセル操作が許可されないので、サービスセンタに不正なアクセスがあってもセキュリティを低下させるリモート操作を防止できる。

また、本発明の一形態において、車両は、操作コマンドに基づく車載装置の制御の後、所定時間内に限り、キャンセル操作コマンドに基づき車載装置を当該操作コマンド前の状態に戻す、ことを特徴とする。

本発明によれば、リモート操作から所定の時間内に限りキャンセル操作が認められるので、セキュリティの低下を防止できる。

また、本発明の一形態において、車両は、操作コマンドに基づく車載装置の制御の後、車両がローカル操作された場合、キャンセル操作コマンドに基づき車載装置を当該操作コマンド前の状態に戻すことを禁止する、ことを特徴とする。

本発明によれば、車両をユーザが直接操作できる場合は直接車両の操作が可能であるので、キャンセル操作を制限することができる。なお、ローカル操作とは、リモート操作でない操作をいう。

また、本発明の一形態において、車両は、キャンセル操作コマンドを受信した場合に操作コマンド前の状態に戻すか否かを判定するためのフラグを有し、フラグは、当該車両がローカル操作された場合、又は、操作コマンドに基づく車載装置の制御から所定時間が経過した場合に、不許可になる、ことを特徴とする。

本発明によれば、車両がキャンセル操作コマンドを受信した場合、フラグに基づいて操作コマンド前の状態に戻すか否かを判定することができる。

また、本発明の一形態において、車両は、操作コマンドに基づき車載装置を制御した後、操作完了通知と共にフラグをサービスセンタに送信するリモート操作応答生成部を有し、リモート操作応答生成部は、キャンセル操作コマンドに基づき車載装置を制御して操作コマンドの前の状態に戻した場合、キャンセル操作完了通知と共にフラグをサービスセンタに送信し、サービスセンタは、車両から送信されたフラグの状態に基づいて操作コマンドの前の状態に戻すか否かを判定する、ことを特徴とする。

本発明によれば、車両の状態を示すフラグに基づき操作コマンドの前の状態に戻すか否かを判定することができる。

また、本発明の一形態において、サービスセンタは、フラグが許可状態の場合、キャンセル操作コマンドが選択可能なキャンセル操作メニュー画面を携帯端末に配信し、フラグが不許可状態の場合、キャンセル操作コマンドが選択不能なキャンセル操作メニュー非表示画面を携帯端末に配信する、ことを特徴とする。

本発明によれば、フラグの状態に基づき携帯端末に送信する画面を制御できる。

また、本発明の一形態において、サービスセンタは、操作コマンドを車両に送信した後、車両から操作完了通知を正常に受信できない場合、当該サービスセンタのフラグを許可状態に設定する、ことを特徴とする。

本発明によれば、通信エラーやタイムアウトによりサービスセンタが操作完了通知を受信できない場合でもフラグが許可状態に設定されるので、キャンセル操作が受付られる可能性を大きくできる。

また、本発明の一形態において、車両から許可状態のフラグが送信された後、車両のフラグが不許可状態に反転した場合、サービスセンタは、キャンセル操作メニュー画面を携帯端末に配信する、ことを特徴とする。

本発明によれば、車両がローカル操作された場合もサービスセンタのフラグは許可状態が保持されるので、ユーザにキャンセル操作コマンドを受け付けるためのキャンセル操作メニュー画面を表示でき、ユーザに分かりやすいシステムとすることができる。

また、本発明の一形態において、サービスセンタは、フラグが許可状態になってから所定時間が経過した場合、当該フラグを不許可状態に更新する、ことを特徴とする。

本発明によれば、サービスセンタが時間の経過に応じてフラグの状態を更新して、キャンセル操作を受け付けるか否かを判定することができる。

また、本発明の一形態において、携帯端末からサービスセンタにキャンセル操作コマンドが所定時間を経過した後に送信された場合、サービスセンタは、フラグが不許可状態であっても、当該キャンセル操作コマンドを車両に送信する、ことを特徴とする。

本発明によれば、ユーザがキャンセル操作メニュー画面からキャンセル操作コマンドを送信した後は、キャンセル操作を受け付けることができるので、ユーザの不満を回避できる。

セキュリティを確保しながらリモート操作のキャンセルが可能なリモート操作システム、リモート操作装置及びサービスセンタを提供することができる。

以下、本発明の実施するための最良の形態について、図面を参照しながら説明する。

図１は、リモート操作装置１０を車両に適用したリモート操作システムの全体構成図を示す。図２は、リモート操作システムの処理の流れを示すシーケンス図の一例である。

図１のリモート操作システムでは、インターネット等のネットワーク１を介して携帯装置２、サービスセンタ３及び車両５が接続されている。携帯装置２及び車両５は移動体通信網や無線ＬＡＮを利用して中継基地４を介してネットワーク１に接続でき、また、サービスセンタ３は有線又は無線通信を利用してネットワーク１に接続する。

ユーザが、携帯装置２を操作して操作コマンドを入力すると、送信された操作コマンドがサービスセンタ３を介して車両５へ送信され（Ｓ１、Ｓ２）、車両１のリモート操作装置１０が操作コマンドに応じて車載装置を制御する（Ｓ３）。操作完了通知が車両５からサービスセンタ３介して携帯装置２に送信される（Ｓ４、Ｓ５）。なお、ユーザとは、サービスセンタ３に登録され車両１をリモート操作する権限を有する者であり、例えば車両１の保有者（運転者）である。

そして、ユーザが先回のリモート操作のキャンセルを所望した場合、所定の操作によりキャンセル操作の操作コマンドがサービスセンタ３を介して車両５へ送信される（Ｓ６、Ｓ７）。車両５は車載装置の制御記録を参照してリモート操作の内容を元に戻す（Ｓ８）。そして、車両５はキャンセル操作のキャンセル操作完了通知をサービスセンタ３介して携帯装置２に送信する（Ｓ９、Ｓ１０）。

図２のようなキャンセル操作が可能であれば、例えばリモート操作のドアロックにより閉じ込め等が生じた場合、リモート操作前の状態に戻すことができるのでリモート操作システムの利便性が向上する。

携帯装置２は、例えば携帯電話、ＰＤＡ（Personal Data Assistant）、ＰＨＳ（Personal Handyphone System）、パーソナルコンピュータ等、ネットワークを介してサービスセンタ３に接続でき、サービスセンタ３が要求する操作ができるものであればよい。例えば、携帯電話の場合、GSM（Global System for Mobile Communications）、TDMA（Time Division Multiple Access）、CDMA（Code Division Multiple Access）、PDC（Personal Digital Cellular）等の通信方式を利用して、コンピュータの場合無線ＬＡＮ等により中継基地４と通信する。

携帯装置２は、各部を制御するＣＰＵ、ＣＰＵが実行するＯＳやブラウザなどのプログラムを格納するＲＯＭ、演算結果等を格納するＲＡＭ、タイマ、キーボード等の入力装置、液晶や有機ＥＬなどの表示部、無線通信により中継基地４と接続する通信装置、マイク、スピーカ等を有している。なお、携帯装置２は、キーレスエントリのキーと兼用されていてもよい。

サービスセンタ３は、車両１と運転者（携帯装置２）を仲介して種々のサービスを運転者に提供するものであり、サービスセンタ３により車両１と運転者とが所定以上離れていても、第三者の車両１への侵入やエンジン始動等を監視して運転者に通知したり、運転者が車両１を操作することが可能となる。

サービスセンタ３は、ＣＰＵ、ＲＯＭ、ＲＡＭ、記憶装置、通信装置等からなるコンピュータであり、ネットワーク１を介して携帯装置２及び車両５と通信する。ＲＯＭや記憶装置には、ＯＳやプログラムが格納されており、ＣＰＵがかかるプログラムを実行することで、後述するようなフラグに基づくキャンセル操作を受け付けるか否かの判定を行う。

ユーザが携帯装置２を用いてサービスセンタ３にアクセスすると、サービスセンタ３はＨＴＭＬ（HyperText Markup Language）やＸＭＬ（eXtensible Markup Language）等の言語で生成した操作画面を携帯装置２に送信する。携帯装置２の例えばブラウザプログラムが操作画面を表示部に表示するので、ユーザが入力装置から所望の操作を行うと、操作に応じた操作コマンドがサービスセンタ３に送信される。サービスセンタ３は、車両５のリモート操作装置１０に操作コマンドを送信する。なお、携帯装置２における操作コマンドの入力は、ユーザの音声を音声認識して操作コマンドに変換することで行ってもよいし、サービスセンタ３が送信した音声ガイドに対するキーボードや音声による応答により行ってもよい。

車両５が有するリモート操作装置１０について説明する。図３は、リモート操作装置１０のブロック図を示す。リモート操作装置１０は、リモート操作ＥＣＵ９により制御される。リモート操作ＥＣＵ９は、各部を制御するＣＰＵ、ＣＰＵが実行するプログラムを格納するＲＯＭ、演算結果等を格納するＲＡＭ、他のＥＣＵと通信する通信インターフェイス、等を有する。

リモート操作装置１０は、操作コマンド解析部１１、リモート操作可否判定部１２、リモート操作応答生成部１３、車両状態格納部１４及び制御信号生成部１５とを有するように構成され、ＣＰＵがプログラムを実行することでこれらの機能が実現される。なお、リモート操作装置１０は、車載された通信装置６、車載装置１７及び車載装置１７を制御する制御部１６と接続されている。

通信装置６は、移動体通信網を利用して中継基地４と接続する。通信方式は、携帯電話網を利用した場合、GSM、TDMA、 CDMA 又はPDC等である。無線ＬＡＮを利用して直接ネットワーク１と接続してもよい。通信装置６は中継基地４と接続すると、サービスセンタ３から送信される操作コマンドを受信し、また、後述のようにリモート操作の操作結果である操作完了通知やキャンセル操作の操作結果であるキャンセル操作完了通知をサービスセンタ３へ送信する。

操作コマンド解析部１１は、通信装置６から送出された操作コマンドを解析しユーザが行った操作内容を判別する。

リモート操作可否判定部１２は、当該リモート操作が許可されているか否かを判定する。リモート操作可否判定部１２は、操作コマンドに対応づけて操作の可否が設定された可否判定テーブルを有し、操作コマンド解析部１１が判別した操作コマンドに基づき操作の可否を判定する。

図４は、可否判定テーブルの一例を示す。例えば、ドアのロックの場合、
・共通前提条件
・車内に人がいない
・車内にキーがない
の条件が成立する場合に、ドアロックのリモート操作が許可される。この条件が成立する場合、車内に人を閉じ込める等が防止されるので安全性の向上が図れる。なお、共通前提条件は、車両が運行中（運転者が実際に操作中であるなど、車両が走行されていたり、走行の準備中であったりする場合）であることをいう。

また、例えば、ドアのアンロックのようにリモート操作がセキュリティを低下させる操作である場合、リモート操作可否判定部１２は原則的（デフォルトでは）に当該操作を許可しない。なお、セキュリティを低下させる操作は、サービスセンタ３が携帯装置２に送信する操作画面において選択できないようにされていてもよい。

可否判定テーブルに基づき操作の可否を判定するために、リモート操作可否判定部１２は車両状態格納部１４と接続されており、車両の状態を検出できる。後述するように、車両の状態とは、ドアやウィンドウ、サンルーフの開閉状態、ドアのロック／アンロック状態、エンジン作動状態、等である。リモート操作可否判定部１２は、車両状態格納部１４から車両の状態を検出しドアロック等を行ってよい状態かを判定する。同様にして、リモート操作可否判定部１２は、例えば、ドアが開いている状態ではリモート操作によるセキュリティ装置の作動を禁止したり、エンジンの作動状態とバッテリ残量に基づきエアコンの始動を禁止する等の判定を行う。

また、リモート操作可否判定部１２は、リモート操作のキャンセルがあった場合、可否判定テーブルで原則的に禁止された操作であっても、キャンセル操作を許可するか否かを判定するためのキャンセル操作判定テーブルに基づき操作を許可するか否かを判定する。

図５はキャンセル操作判定テーブルの一例を示す。例えば、パワーウィンドウ（ＰＷ）のリモート操作による開操作は、可否判定テーブルでは原則的に禁止されているが、リモート操作による閉操作をキャンセルする場合、すなわち、閉操作する前の状態に戻す場合には、以下の条件が成立することを要件に許可される。
ａ）共通前提条件
ｂ）リモート操作のＰＷ操作から所定の時間（以下、キャンセル操作受付時間という）内であること
ｃ）ローカル操作のＰＷ操作がないこと
ｄ）ＩＧ（イグニション）、ＡＣＣ（アクセサリ）のいずれかがオンでないこと
なお、ローカルとは、リモート操作でなくユーザにより車両が直接操作されることをいう。

ａ）、ｂ）及びｄ）の条件が成立しない場合、車両５に運転者又は乗員がいてローカル操作が可能であること又はローカルで操作されたこと示す。このため、ａ）、ｂ）及びｄ）の条件が成立しない場合、リモート操作により過去の操作のキャンセルを許可する必要がない。

また、ｂ）リモート操作のＰＷ操作からキャンセル操作受付時間内であることは、過去に行われたリモート操作の制御記録があることと、過去のリモート操作からキャンセル操作受付時間内であること、をリモート操作のキャンセルのために要求する。

リモート操作の制御記録があることを条件とすることで、例えば、サービスセンタ３に不正に侵入されＰＷ開の操作コマンドが全国の車両に送信されても、車両５はこれを排除でき、セキュリティが確保できる。

また、過去のリモート操作からキャンセル操作受付時間内であることを条件とするのは、通常、操作をキャンセルする状況が発生するのは、リモート操作を行いその操作完了通知を受信してから比較的短時間であることを考慮したものである。例えば、車内に人がいる状態でウィンドウを閉じた場合やドアをロックしたような場合、又は、衝突防止のためのハザードを消灯した場合に、車内の人や車両の安全性向上のためユーザがキャンセルを所望するのは、リモート操作を行った直後や短時間経過後である。したがって、キャンセル操作が認められる条件として、リモート操作が行われてからキャンセル操作受付時間内としても実用上は充分であり、また、一定時間内に限定することでセキュリティが確保される。

キャンセル操作受付時間はどのように定めてもよいが、ユーザは常にリモート操作の操作完了通知をチェックできる状況にあるわけではないので、生活のサイクルとして朝のリモート操作を夜にキャンセルすることが多いと想定して、多数のユーザにとって不利益の生じない時間、例えば、２４時間程度とすればよい。

本実施例では、上記のように、車両５がリモート操作可否判定部１２を有しキャンセル操作判定テーブルに基づきキャンセル操作の可否を判定することとした。サービスセンタ３がａ）、ｃ）又はｄ）の車両５の状態を受信して、キャンセル操作の可否を判定してもよい。しかし、サービスセンタ３と車両５の間の通信遅れや通信の行き違いにより、車両５でキャンセル操作を実行すべきでない状況で、サービスセンタ３がキャンセル操作を許可することを防止すべきであるし、次述のようにサービスセンタ３での受付時刻に基づきサービスセンタ３でキャンセル操作を過度に排除しないため、車両５がキャンセル操作の可否を判定することが好適である。

ところで、通常、車両５を駐車してからリモート操作が車両５で認められる期間（以下、リモート操作受付期間という）は、バッテリの容量により規定される。周に１〜２回、車両を運転する場合、リモート操作受付期間は９日程度あればよい。したがって、車両を駐車してから９日経過すると、リモート操作を行うことはできない。

リモート操作受付期間が９日の場合、例えば、８日と２３時間経過時にリモート操作を行うとリモート操作から１時間経過後にはリモート操作をキャンセルすることができないこととなる。しかし、キャンセル操作を行うことは安全性向上のためには好ましく、期限切れにより排除されるべきでない。このため、本実施の形態ではリモート操作受付期間を９日とした場合であっても、キャンセル操作に限り９日というリモート操作受付期間を延長する。

例えば、８日と２３時間経過時にリモート操作によりＰＷの閉操作を行った場合、閉操作のキャンセル、すなわち元の開状態に戻すキャンセル操作は、９日と２３時間まで受け付けられることができる（キャンセル操作受付時間を２４時間とした場合）。なお、９日以降は、別の（キャンセル操作でない）リモート操作がされても受け付けられない。また、９日と２３時間以内にキャンセル操作があっても、当該キャンセル操作のキャンセル操作は２４時間以内であっても受け付けられない。これによりリモート操作→キャンセル操作の無限ループによるバッテリ上がりを防止できる。

以上のように、リモート操作のキャンセルが認められることで、可否判定テーブルによれば原則的に禁止されている操作であっても、リモート操作により車載装置が制御された後に、ユーザが操作内容を取り消し、元の状態に戻すことが可能となる。

なお、可否判定テーブルと比べキャンセル操作判定テーブルは制限が緩やかになっている。キャンセル操作は、所望の場合に可能な限り実行されることが望ましく、また、上記のように受け付けられる時間が限られていることを考慮し、判定条件を少なくしたためである。

図３に戻り、制御信号生成部１５は、リモート操作可否判定部１２により操作コマンドが許可された場合、かかる操作を実行する制御信号を生成する。例えば、操作コマンドがウィンドウの閉操作であった場合、ウィンドウを開閉させるアクチュエータを制御する制御信号を生成する。生成された制御信号は、ボディ系の車内ＬＡＮを介して制御部１６に送出される。

制御部１６は、制御信号生成部１５から送出された制御信号を受信して車載装置１７を制御する各種のECUである。車載装置１７は、例えば、ドアのロック／アンロック、パワーウィンドウ、サンルーフ、トランク、ルームランプ、セキュリティ装置、エアコン、カーナビ、エンジン等である。

ドアロック制御部１６は、各ドア毎又は全てのドアをロック／アンロックするアクチュエータを駆動する。パワーウインドウ制御部は、各ドア毎または全てのウインドウを開／閉するアクチュエータを駆動する。サンルーフ制御部は、サンルーフの開／閉およびチルトアップ／チルトダウン用のアクチュエータを駆動する。トランク制御部は、トランクの開／閉用のアクチュエータを駆動する。

ルームランプ制御部は、ルームランプの点灯／消灯を制御する。なお、点灯／消灯の際、供給するパルス幅を変調して、徐々に明るさを増したり徐々に明るさを減らす制御を行う。ヘッドライト制御装置４１ｆは、ヘッドライトの点灯／消灯およびハイビーム／ロービーム、ハザードの点滅／消灯を制御する。

セキュリティ制御部は、セキュリティ装置のオン／オフや警報の吹聴等を制御する。セキュリティ装置がオン（警戒状態）の場合に、ドア、フード、トランクの開閉や侵入者が検知された場合、警報器やヘッドランプ等を作動させて車両周辺に警報を吹聴する。また、侵入者の検知をサービスセンタ３へ通報してもよい。

エアコン制御部は、車載されたカーエアコンの空調関連制御を行う。カーナビ制御部は、カーナビゲーション装置を制御し車両の現在位置を測位し、ＬＣＤ等の画面に表示したり、現在位置をサービスセンタ３を介して携帯装置２へ送信する。エンジン制御は、エンジンの始動／停止を制御する。

制御部１６が制御した各車載装置１７は、車載装置毎に車両の状態をボディ系の車内LANを介して車両状態格納部１４に送出する。車両状態格納部１４は送出された車載装置の状態を格納する。

図６は車両状態格納部１４に格納されている車両の状態を示す図の一例である。車両の状態は、各車載装置毎にその状態が格納されている。ドアであれば、操作時刻に対応づけてリモート／ローカルの別、ドアの状態が時系列に蓄積されていく。

車両５の時計はサービスセンタ３の有する時計と所定以内の誤差となるよう定期的又はリモート操作毎に調整されている。操作時刻は車載装置の制御が終了した時刻であるが、リモート操作により車載装置が制御された場合は、サービスセンタ３が操作コマンドを受信した時刻としてもよい。

また、リモート操作の場合、車両の状態としてリモート操作番号が格納される。リモート操作番号は、サービスセンタ３がリモート操作の内容を識別するために付与するものであり、少なくとも同一の車両では重複しない番号である。したがって、リモート操作番号を参照すればリモート操作の内容や操作時刻、リモート操作後の車両の状態を判別できる。

ウィンドウについても車両の状態として格納される内容はドアと同様であるが、ウィンドウやドアのように車両に複数備えられる車載装置の場合、ドア毎に状態が保持されることが好適である。図６では、運転席、助手席、後席右及び後席左のそれぞれのドアの状態が格納される。

また、ドアのロック／アンロックの場合、その状態を開いているか否かで表すことも可能であるが、どの程度開いているかを数値として表して格納しておくことでキャンセル操作された場合に元の状態に戻すことが可能となる。

図７は、数値として表示されるウィンドウの状態を示す図である。図７（ａ）はリモート操作される前の状態を、図７（ｂ）はリモート操作によりウィンドウが閉じられた状態を、図７（ｃ）はキャンセル操作によりリモート操作の前の状態に戻った状態（図７（ａ）の状態）を、それぞれ示す。また、図では左から、運転席ＦＲ、助手席ＦＬ、後席右ＲＲ、後席左ＲＬ、のウィンドウをそれぞれ示す。

上死点まで閉じている状態を「閉」と表し、上死点よりウィンドウが開いている場合、開度に応じて「２０％開」等で状態を表せば、リモート操作前の助手席ＦＬは開度が約６０％、後席右ＲＲは開度が約１００％となる。リモート操作後の状態は、車両状態格納部１４に格納される。

そして、リモート操作によりウィンドウが閉じられた後に、当該リモート操作をキャンセルする操作コマンドが受信されると、制御信号生成部１５が車両状態格納部１４を参照して、各ウィンドウをリモート操作前の状態に戻す。

リモート操作応答制御部１３は、操作コマンドに基づき車載装置１７が制御された場合、操作完了通知を生成してサービスセンタ３を介して携帯装置２に送信する。また、リモート操作応答生成部１３は、キャンセル操作に基づき車載装置１７を制御して当該リモート操作前の状態に戻した場合、キャンセル操作完了通知生成しサービスセンタ３を介して携帯装置２送信する。

図８（ａ）は携帯装置２に表示されるリモート操作の操作完了通知を、図８（ｂ）はキャンセル操作完了通知をそれぞれ示す。図８（ａ）に示すように操作完了通知には、ユーザを識別するユーザＩＤと共に、リモート操作後のウィンドウの状態、操作時刻及びリモート操作番号が表示される。また、キャンセル操作へユーザを誘導する誘導情報として、サービスセンタ２のキャンセル操作のサイトをＵＲＬで指定している。したがって、操作完了通知を確認したユーザは、容易にキャンセル操作を行うことができる。リモート操作システムは、ドアのロックやウィンドウの閉め忘れ等を検出しユーザに通知するので、操作忘れ通知→リモート操作→キャンセル操作→再操作、という操作の連鎖にユーザを誘導できる。

ところで、リモート操作にはリモート操作番号が付与されるように、リモート操作は個別に管理される。したがって、リモート操作を取り消すキャンセル操作も個別に実行される。図９はリモート操作とキャンセル操作の関係を示す図である。ユーザは時刻ｔ１でＰＷを閉じるリモート操作を行い、また、時刻ｔ２にドアロックのリモート操作を行った。したがって、時刻ｔ１以降はキャンセル操作受付時間内でＰＷ閉のキャンセル操作が可能であり、また、時刻ｔ２以降はキャンセル操作受付時間内でドアロックのキャンセル操作が可能である。仮に、時刻ｔ３にＰＷ閉のキャンセル操作を行った場合、時刻ｔ２〜ｔ３の間はＰＷ閉とドアロックの双方のリモート操作をキャンセル可能な状態となる。

したがって、ユーザがＰＷ閉又はドアロックの操作完了通知からＵＲＬをたどりサービスセンタ３のサイトに接続すると、ｔ１〜ｔ２まではＰＷ閉のキャンセル操作が、ｔ２〜ｔ３まではＰＷ閉とドアロックのキャンセル操作の双方が、ｔ３〜ｔ４まではドアロックのキャンセル操作が、選択可能な操作画面が携帯装置２に表示される。

また、複数のキャンセル操作が可能な状況では、その時点でキャンセル可能な全ての操作を選択可能とした方がユーザにとって便利である。時刻ｔ２でリモート操作によりドアロックされた場合、ｔ２〜ｔ３の間はＰＷ閉のキャンセルとドアロックのキャンセルの２つのキャンセル操作が可能である。サービスセンタ３は、車両５と同様に図６のような車両の状態を格納しているので、サービスセンタ３が車両５からドアロックの操作完了通知を受信した場合、時刻ｔ１にＰＷ閉の操作が行われたことを過去の操作履歴から検出できる。したがって、サービスセンタ３がユーザにドアロックの操作完了通知を送信する場合、図１０に示すような操作完了通知を送信することで、ユーザは一度の操作で複数のキャンセル操作を行うことができる。図１０では、図８（ａ）のように個別のリモート操作（ドアロック）について操作完了の通知が記載されていると共に、「現在、ＰＷ閉のキャンセル操作が可能です。ＰＷ閉操作とドアロック操作の双方をキャンセルして元の状態に戻す場合、下記のＵＲＬからキャンセル操作を実行してください。」と表示されている。このような表示からユーザがＵＲＬをたどることで、ユーザは一度の操作で複数のリモート操作のキャンセルが可能となる。

キャンセル操作の受け付け開始条件について説明する。図９では、時刻ｔ１又はｔ２からキャンセル操作が可能であると説明したが、時刻ｔ１又はｔ２はサービスセンタ３が車両から操作コマンドの到達通知を受信した時刻である。

図１１は、キャンセル操作の受け付け開始条件を説明するための図である。ユーザが操作コマンドをサービスセンタ３へ送信すると（Ｓ１）、サービスセンタ３は操作コマンドを車両５へ送信する（Ｓ１２）。しかしながら、サービスセンタ３は送信後に車両５がリモート操作に応じて車載装置１７を制御したか否かを判断できない場合がある。例えば、車両５は無線で通信するため、車両５が車載装置１７を制御しても通信に異常が生じて操作完了通知が受信できないことがある。また、サービスセンタ３が操作コマンドを送信後制御が許可されなかった場合、通信に異常が生じて車両５が操作コマンドを正常に受信できず制御が許可されなかったのか、可否判定テーブルに基づき制御が許可されなかったのか判断できない。このため、サービスセンタ３が、車両５に対し正常に操作コマンドを発行した時点でリモート操作が受け付けられたものとみなし、当該時刻からキャンセル操作受付時間（例えば２４時間）キャンセル操作を受け付けるものとする（Ｓ１２）。

車両５に対し正常に操作コマンドが発行されたか否かは、サービスセンタ３が車両５から到達通知を受信したか否かで判定できる。例えば、サービスセンタ３が、携帯電話網で用いられるショートメッセージサービスを利用して通信する場合、サービスセンタ２は操作コマンドの到達通知を車両５から短時間に得られる。

サービスセンタ３が到達通知を受信した後はキャンセル操作が可能となる。したがって、ユーザが操作完了通知を受信する前であっても、サービスセンタ３が到達通知を受信した後にサービスセンタ３にアクセスした場合、キャンセル操作を行うことができる。

以上説明した構成を用いて、ユーザが行ったリモート操作がキャンセルされて元の状態に戻る処理の流れを図１２のアクティビティ図に基づき説明する。ユーザが携帯装置２を用いてリモート操作を行うと、操作コマンドがサービスセンタ３へ送信される（Ｓ２１）。サービスセンタ３は操作コマンドを受信して操作コマンドの受信履歴を時系列に記録すると共に、車両５へ操作コマンドを送信する（Ｓ２２）。車両５が操作コマンドを正常に受信すると車両５は到達通知を送信するので（Ｓ２３）、サービスセンタ３は到達通知を受信し（Ｓ２４）、以降ではサービスセンタ３がキャンセル操作を受け付けることが可能となる。

次いで、リモート操作可否判定部１２は、受信した操作コマンドが可否判定テーブルで原則的に許可されているか否か、許可されている場合、車両の状態を車両状態格納部１４から抽出し操作コマンドに基づく車載装置１７の制御が可能か否かを判定する（Ｓ２５）。

車載装置１７の制御が可能な場合（ステップＳ２５のＹｅｓ）、制御信号生成部１５が制御信号を生成し制御部１６が車載装置１７を制御し（Ｓ２６）、リモート操作応答生成部１３が操作完了通知を生成する（Ｓ２７）。車載装置１７の制御が可能でない場合（ステップＳ２５のＮｏ）、操作禁止の旨がサービスセンタ３に送信される（Ｓ２８）。

サービスセンタ３は操作完了通知又は操作禁止の旨を携帯装置２に送信するので（Ｓ２９）、ユーザはリモート操作が完了したか否かを確認できる。

車内に閉じ込められた人がいる場合など、ユーザがキャンセル操作を所望する場合、操作完了通知で指定されたＵＲＬを選択することで、キャンセル操作が行える（Ｓ３０）。キャンセル操作が行われるとサービスセンタ３は、車両５から到達通知が受信されているか否かを判定し（Ｓ３１）、到達通知が受信されていない場合、キャンセル操作が不要である旨を携帯装置２に送信する（Ｓ３２）。

到達通知が受信されている場合（ステップＳ３１のＹｅｓ）、サービスセンタ３はキャンセル操作の操作コマンドを車両５へ送信するので（Ｓ３３）、車両５はキャンセル操作に基づく車載装置１７の制御が可能か否かを判定する（Ｓ３４）。リモート操作可否判定部１２は、キャンセル操作判定テーブルを参照すると共に、車両の状態を車両状態格納部１４から抽出しキャンセル操作に基づく車載装置１７の制御が可能か否かを判定する（Ｓ３４）。

キャンセル操作に基づく車載装置１７の制御が可能な場合（ステップＳ３４のＹｅｓ）、制御信号生成部１５は車両状態格納部１４からキャンセルするリモート操作番号に基づき、リモート操作の前の車両の状態を抽出し、抽出した車両の状態となるように制御信号を生成する（Ｓ３５）。キャンセル操作に基づく車載装置１７の制御が完了したら、リモート操作応答生成部１３がキャンセル操作完了通知を生成するので、車両５はキャンセル操作完了通知をサービスセンタ３へ送信する（Ｓ３６）。

キャンセル操作に基づく車載装置１７の制御が可能でない場合（ステップＳ３４のＮｏ）、リモート操作応答生成部１３がキャンセル操作禁止の旨を生成するので、車両５はキャンセル操作禁止の旨をサービスセンタ３へ送信する（Ｓ３７）。なお、キャンセル操作は可能な限り実行すべきであるので、ステップＳ３４の判定を所定時間経過後に自動的に繰り返したり、ユーザを再度キャンセル操作へ誘導するＵＲＬを携帯端末２に送信することが好適である。

サービスセンタ３は、キャンセル操作完了通知又はキャンセル操作禁止の旨を携帯装置２に送信するので（Ｓ３８）、ユーザは携帯装置２の受信した操作結果により（Ｓ３９）、キャンセル操作が完了したか否かを判定できる。

以上のように、本実施の形態によれば、元の状態に戻す操作は原則的に禁止されていて、車両をリモート制御した後キャンセル操作を行うことで、車両を元の状態に戻すことができる。これにより、ユーザが意図しない操作を誤ってリモート操作したような場合やリモート操作後に元の状態に戻したい状況が発生した場合に、操作のキャンセルを行うことができる。キャンセル操作は所定の条件を満たす場合にのみ許可されるので、セキュリティの低下も防止しうる。

実施例１では、車両５がキャンセル操作可否判定テーブルに基づきリモート操作のキャンセルを受け付けるか否かを判定することとしたが、キャンセル操作可否判定テーブルには、ａ）共通前提条件やｃ）当該車載装置のローカル操作がないこと、ｄ）ＩＧ、ＡＣＣのいずれかがオンとなっていないこと、等が記述されているため、キャンセル操作したユーザ以外の者が車両をローカル操作したような場合、キャンセル操作したユーザが知らないうちにキャンセル操作が不許可となることがある。このように、リモート操作から所定の時間（例えば２４時間）であってもユーザの知らないうちにキャンセル操作が不許可となっていると、ユーザはキャンセル操作禁止の旨を送信結果として受信することとなり、なぜキャンセル操作が禁止されたのか分からずに混乱してしまう。

本実施例では、車両がローカル操作等によりキャンセル操作が不許可となっている場合でも、サービスセンタがその旨をユーザに伝えることができるリモート操作システムについて説明する。このため、本実施例では、サービスセンタ３がキャンセル操作が可能か否かを判定する。

サービスセンタ３は、次のいずれかの条件（以下、キャンセル許可条件という）が成立する場合にキャンセル操作を受け付ける。
ｉ）操作結果としてリモート操作後に車両から通知される操作完了通知において、次述の車両ステイタス（キャンセル許可状態フラグ）によりキャンセルが許可されている場合。
ｉｉ）車両から通知される操作完了通知が解析不能である場合。
ｉｉｉ）車両から通知される操作完了通知がサービスセンタ３に届かずタイムアウトが検出された場合。

ただし、サービスセンタ３はキャンセル許可条件が成立する場合でも次の条件（以下、キャンセル操作停止条件という）が成立する場合、キャンセル操作を受け付けない。
１）サービスセンタ３がキャンセル操作を受け付けてから所定時間（本実施例では２４時間）が経過した場合。
２）操作結果として車両から通知される操作完了通知において、キャンセル許可状態フラグによりキャンセルが許可されていない場合。

図１３は、リモート操作装置１０のブロック図を示す。図１３において図３と同一構成部には同一の符号を付しその説明は省略する。図１３では、車両状態格納部１４がキャンセル許可状態フラグ１８を有する点で図３と異なる。

キャンセル許可状態フラグ１８は、現在の車両がキャンセル操作を許可するか許可しないかを示すフラグであり、キャンセル許可状態フラグ１８が「１」（以下、単に許可と記す）の場合に許可を「０」（以下、単に不許可と記す）の場合に不許可を示す。キャンセル許可状態フラグ１８は、リモート操作された後「許可」となり、キャンセル操作判定テーブルのａ）〜ｄ）のいずれかの条件が成立した場合、「不許可」となる。キャンセル許可状態フラグ１８は車載装置毎に設定される。

リモート操作可否判定部１２は、サービスセンタ３を介してユーザの携帯端末２からキャンセル操作の操作コマンドが送信された場合、キャンセル許可状態フラグ１８を参照してキャンセル操作を許可するか否かを判定する。すなわち、本実施例のリモート操作可否判定部１２は、キャンセル操作判定テーブルではなく参照せずキャンセル許可状態フラグ１８を参照してキャンセル操作を実行するか否かを判定する。

サービスセンタ３は、車両ステイタス２１、キャンセル操作受付手段２２及びステイタス更新手段２３を有する。キャンセル許可状態フラグ１８は、操作完了通知と共にサービスセンタ３へ送信される。ステイタス更新手段２３はキャンセル許可状態フラグ１８の状態が「許可」の場合は、車両ステイタス２１を「許可」に更新し、「不許可」の場合は車両ステイタス２１を「不許可」に更新する。車両ステイタス２１は車両毎に保持され、また、各車両のウィンドウやドアロックなど車載装置毎に保持される。キャンセル操作受付手段２２は、ユーザからキャンセル操作の要求があった場合、車両ステイタス２１を参照して、当該キャンセルを受け付けるか否かを判定する。

また、サービスセンタ３は、リモート操作されてからの時間を計測するための時計（タイマ）２４を有し、リモート操作された時刻（例えば、車両から操作完了通知を受信した時刻、車両ステイタス２１を更新した時刻等）を各車両の車載装置毎に保持する。

ステイタス更新手段２３は、キャンセル許可条件及びキャンセル操作停止条件を参照して、車両ステイタス２１を「許可」又は「不許可」に更新する。例えば、リモート操作されてから所定時間（例えば２４時間）経過したような場合、車両ステイタスを不許可に更新する。

ところで、車両５のキャンセル操作可否判定テーブルにおいても、ｂ）リモート操作から所定時間内であること、がキャンセル操作を許可するための条件となっているため、サービスセンタにおいて所定時間が経過していなくても、車両５では所定時間が経過している場合が生じ得る。そこで、本実施例では、車両の所定時間Ｔｃはサービスセンタ３の所定時間Ｔｓよりも長め（Ｔｃ＞Ｔｓ）に設定されものとする。したがって、例えば、Ｔｓ＝２４時間の場合、Ｔｃ＝２５時間である。これにより、サービスセンタ３において所定時間が経過していなければ、車両５側でキャンセル操作が禁止されることが防止できる。また、Ｔｃ＞Ｔｓであっても、Ｔｃより後のキャンセル操作は禁止できるので車両側のセキュリティを確保できる。

〔車両がローカル操作された場合〕
図１４は、リモート操作後に車両がローカル操作された場合にキャンセル操作が不許可とされる制御手順を示すフローチャートである。

まず、ユーザは携帯端末２を操作して、ウィンドウを閉とするリモート操作の操作コマンドをサービスセンタ３に送信する（Ｓ１０１）。サービスセンタ３は操作コマンドを車両５に送信する（Ｓ１０２）。車両５の制御部１６は、ウィンドウを閉とする制御信号に基づき、ウィンドウを閉じる（Ｓ１０３）。また、車両状態格納部１４は、ウィンドウのキャンセル許可状態フラグ１８を「許可」に設定する。

ついで、リモート操作応答生成部１３は、ウィンドウが閉に制御されたので操作完了通知を生成してサービスセンタ３に送信する（Ｓ１０４）。操作完了通知と共にキャンセル許可状態フラグ１８が送信され、サービスセンタ３のステイタス更新手段２３は、車両ステイタス２１を許可状態に更新する（Ｓ１０５）。また、サービスセンタ３が車両５から操作完了通知を受信し、リモート操作のキャンセルを許可状態に更新した時からキャンセル操作受付時間の計測が開始される。

サービスセンタ３は操作完了通知を携帯端末２に送信する（Ｓ１０６）。送信結果は例えば電子メールにより送信され、電子メールを開くと携帯端末２には図８（ａ）のようなリモート操作の操作完了通知が表示される。

ユーザがウィンドウ閉操作のキャンセルを所望する場合、ユーザは操作完了通知のＵＲＬを選択してキャンセル操作メニューの表示をサービスセンタ３に要求する（Ｓ１０７）。この時点では、サービスセンタ３が保持する車両ステイタス２１が「許可」となっているので、サービスセンタ３はキャンセル操作を受け付け（Ｓ１０８）、キャンセル操作メニュー画面を携帯端末２に送信する（Ｓ１０９）。

ユーザの携帯端末２にはキャンセル操作メニューが表示される（Ｓ１１０）。図１５（ａ）は携帯端末２に表示されるキャンセル操作メニューの一例を示す。ユーザがリンク表示された「こちら」を選択すると（Ｓ１１１）、ウィンドウ閉のキャンセル操作の操作コマンドがサービスセンタ３に送信される（Ｓ１１２）。可能なキャンセル操作の一覧を表示することとしてもよい。

サービスセンタ３がキャンセル操作の操作コマンドを受信した時点では、サービスセンタ３が保持する車両ステイタス２１が「許可」となっているので、サービスセンタ３はキャンセル操作を受け付ける（Ｓ１１３）。

ここで、ステップＳ１０３で車両のウィンドウが閉とされてからサービスセンタ３がキャンセル操作の操作コマンドを受信するまでに、車両がローカル操作されＡＣＣがオンとされる（Ｓ１１４）。これにより車両５が保持するキャンセル許可状態フラグ１８は「不許可」に設定される。すなわち、車両５がローカル操作されたような場合、車両の使用権が携帯端末２を有する者から車両５をローカル操作した者に移動したとみなされる。

サービスセンタ３は、キャンセル操作の操作コマンドを車両５に送信する（Ｓ１１５）。車両５のリモート操作可否判定部１２は、キャンセル許可状態フラグ１８を参照して、キャンセル操作を受け付けるか否かを判定する（Ｓ１１６）。車両５はステップＳ１１４においてキャンセル許可状態フラグ１８が「不許可」となっているので、キャンセル操作を受け付けない。リモート操作応答生成部１３は、キャンセル操作が実行されなかった旨の操作完了通知と共に「不許可」のキャンセル許可状態フラグをサービスセンタ３へ送信する（Ｓ１１７）。

サービスセンタ３のステイタス更新手段２３は、キャンセル許可状態フラグ１８の状態「不許可」を参照して車両ステイタスを不許可状態に更新する（Ｓ１１８）また、サービスセンタ３のリモート操作応答生成部１３は、キャンセル操作が実行されなかった旨のキャンセル操作完了通知を携帯端末２に送信する（Ｓ１１９）。

ユーザが電子メールを開くと、携帯端末２には、図１５（ｂ）のようなキャンセル操作完了通知が表示される。図１５（ｂ）には、「リモート操作後にＡＣＣがオンにされたため、キャンセル操作に失敗いたしました。」と表示されている。

ユーザが確認のため、再度、キャンセル操作メニューの表示をサービスセンタ３に要求すると（Ｓ１２０）、サービスセンタ３は車両ステイタス２１の状態「不許可」を参照して、キャンセル操作を受け付けない（Ｓ１２１）。そして、サービスセンタ３は、キャンセル操作を表示しないキャンセル操作メニュー非表示画面を携帯端末２に配信する（Ｓ１２２）。

これにより、携帯端末２には図１５（ｃ）のようなキャンセル操作メニュー非表示画面が表示される。図１５（ｃ）に示すように、サービスセンタ３によりキャンセル操作が受け付けられないと、「現在、キャンセルできる操作はありません。」と表示される。

このように、リモート操作後、ユーザが知らないうちに車両がローカル操作された場合、サービスセンタ３にキャンセル操作が不許可であることを通知することにより、ユーザにキャンセル操作が失敗した旨のキャンセル操作完了通知が通知され、その後にキャンセル操作メニューが非表示となる。したがって、キャンセル操作メニューが事前の通知なく表示されなくなることが防止され、ユーザが困惑しない分かりやすいリモート操作システムとすることができる。

〔サービスセンタ３がキャンセル操作を受け付けてから所定時間（本実施の形態では２４時間）が経過した場合。〕
続いて、サービスセンタ３がリモート操作を受け付けてから所定時間（本実施の形態では２４時間）が経過したため、リモート操作のキャンセルが受け付けられない場合について図１６のフローチャート図に基づき説明する。なお、図１４と同一ステップには同一の符号を付した。

まず、ユーザは携帯端末２を操作して、ウィンドウを閉とするリモート操作の操作コマンドをサービスセンタ３に送信する（Ｓ１０１）。サービスセンタ３は操作コマンドを車両５に送信する（Ｓ１０２）。車両５の制御部１６は、ウィンドウを閉とする制御信号に基づき、ウィンドウを閉じる（Ｓ１０３）。また、車両状態格納部１４は、ウィンドウのキャンセル許可状態フラグ１８を「許可」に設定する。

ついで、リモート操作応答生成部１３は、ウィンドウが閉に制御されたので操作完了通知を生成してサービスセンタ３に送信する（Ｓ１０４）。操作完了通知と共にキャンセル許可状態フラグ１８が送信され、サービスセンタ３のステイタス更新手段２３は、キャンセル許可状態フラグ１８の状態「許可」を参照して車両ステイタス２１を許可状態に更新する（Ｓ１０５）。また、サービスセンタ３が車両５から操作完了通知を受信し、リモート操作のキャンセルを許可状態に更新した時からキャンセル操作受付時間の計測が開始される。

サービスセンタ３は操作完了通知を携帯端末２に送信する（Ｓ１０６）。送信結果は例えば電子メールにより送信され、電子メールを開くと携帯端末２には図８（ａ）のようなリモート操作の操作完了通知が表示される。

ユーザがウィンドウ閉操作のキャンセルを所望する場合、ユーザは操作完了通知のＵＲＬを選択してキャンセル操作メニューの表示をサービスセンタ３に要求する（Ｓ１０７）。この時点では、まだ、サービスセンタ３が操作完了通知を受信してから２４時間が経過していないので、サービスセンタ３が保持する車両ステイタス２１が「許可」となっている。したがって、サービスセンタ３のキャンセル操作受付手段２２はキャンセル操作を受け付け（Ｓ１０８）、キャンセル操作画面を携帯端末２に送信する（Ｓ１０９）。ユーザの携帯端末２にはキャンセル操作メニューが表示される。

図１７（ａ）は、ユーザの携帯端末２に表示されるキャンセル操作メニューの一例を示す。ユーザがリンク表示された「こちら」を選択すると、ウィンドウ閉のキャンセル操作の操作コマンドがサービスセンタ３に送信されるが、図１６の処理ではユーザはキャンセル操作をしないものとする。

そして、サービスセンタ３が車両５から操作完了通知を受信してから２４時間が経過する。ステイタス更新手段２３は、２４時間経過したことを検出して、車両ステイタス２１を不許可に更新する。

２４時間経過した後に、ユーザが操作完了通知のＵＲＬを選択してキャンセル操作メニューの表示をサービスセンタ３に要求する（Ｓ１１０）と、サービスセンタ３は車両ステイタス２１が不許可になっているので、キャンセル操作メニューの表示要求を受け付けない（Ｓ１１１）。そして、キャンセル操作メニュー非表示画面を携帯端末２に配信する（Ｓ１１２）。携帯端末２にはキャンセル操作メニュー非表示画面が表示される（Ｓ１１３）。

図１７（ｂ）はユーザの携帯端末２に表示されるキャンセル操作メニュー非表示画面の一例を示す。図１７（ｂ）では、図１７（ａ）と同様に「キャンセル操作はこちら」と表示されているが、図１７（ｂ）ではリンクのある「こちら」を選択できないようになっており、ユーザはキャンセル操作の操作コマンドを送信することができない。なお、キャンセル操作メニュー非表示画面は一例であるので、図１５（ｃ）のような画面であってもよい。

このように、リモート操作後、所定の時間が経過した後にユーザからキャンセル操作メニューの表示を要求された場合、サービスセンタ３がキャンセル操作は不可と判断するので、ユーザの想定しないタイミングでキャンセル操作メニューが表示されたりされなくなることが防止でき、ユーザに分かりやすいリモート操作システムを提供できる。

〔サービスセンタ３によるキャンセル操作受け付けの判定〕
続いて、サービスセンタ３が、上述したキャンセル許可条件ｉ）〜ｉｉｉ）、及び、キャンセル操作停止条件１）２）に基づきキャンセル操作を受け付けるか否かを判定する場合について図１８のフローチャート図に基づき説明する。なお、図１８において図１６と同一ステップには同一の符号を付し、その説明は省略する。

図１８のフローチャート図では、２４時間を経過した後に、ユーザが操作完了通知のＵＲＬを選択してキャンセル操作メニューの表示をサービスセンタ３に要求する（Ｓ１１０）までは図１６の処理と同様である。

ここで図１８の処理では、サービスセンタ３のキャンセル操作受付手段２２は、車両ステイタス２１を参照し、キャンセル操作メニューの表示要求を受け付けない（Ｓ２０１）。そして、サービスセンタ３は、キャンセル操作受け付け不可画面を携帯端末２に配信する（Ｓ２０２）。携帯端末２にはキャンセル操作受け付け不可画面が表示される（Ｓ２０３）。

図１９はユーザの携帯端末２に表示されるキャンセル操作受け付け不可画面の一例を示す。図１９では、現在時刻、車両の停車位置と共に、「現在、キャンセル操作できる操作はありません」と表示されている。

このような処理によれば、サービスセンタ３でキャンセル操作を受け付けるか否かを判定するので、車両５へのキャンセル操作の要求及び車両５からの操作完了通知の受信のシーケンスを省略することができる。また、かかるシーケンスを省くことで、ユーザへのレスポンスも迅速になる。また、想定されないタイミングで車両５に操作要求が送信されることが防止できるので、車両５の誤作動を防止できる。

〔ユーザの操作時刻に基づきキャンセル操作を受け付ける２４時間を判定する場合〕
本実施例の図１４，１６、１８による処理では、サービスセンタ３において２４時間が経過するとユーザからのキャンセル操作が受け付けられない。しかしながら、サービスセンタ３が操作完了通知を受信してから２４時間が経過していても、ユーザがキャンセル操作する意志をサービスセンタ３に表示しているような場合、ユーザの意志を尊重してキャンセル操作を受け付けることが望ましい。

図２０は、サービスセンタ３では２４時間が経過してもユーザが実際に操作した時刻に基づきキャンセル操作を受け付ける処理のフローチャート図を示す。なお、図２０において図１６と同一ステップには同一の符号を付した。

まず、ユーザは携帯端末２を操作して、ウィンドウを閉とするリモート操作の操作コマンドをサービスセンタ３に送信する（Ｓ１０１）。サービスセンタ３は操作コマンドを車両５に送信する（Ｓ１０２）。車両５の制御部１６は、ウィンドウを閉とする制御信号に基づき、ウィンドウを閉じる（Ｓ１０３）。また、車両状態格納部１４は、ウィンドウのキャンセル許可状態フラグ１８を「許可」に設定する。

ついで、リモート操作応答生成部１３は、ウィンドウが閉に制御されたので操作完了通知を生成してサービスセンタ３に送信する（Ｓ１０４）。操作完了通知と共にキャンセル許可状態フラグ１８が送信され、サービスセンタ３のステイタス更新手段２３は、キャンセル許可状態フラグ１８の状態「許可」を参照して車両ステイタス２１を許可状態に更新する（Ｓ１０５）。また、サービスセンタ３が車両５から操作完了通知を受信し、リモート操作のキャンセルを許可状態に更新した時からキャンセル操作受付時間の計測が開始される。

サービスセンタ３は操作完了通知を携帯端末２に送信する（Ｓ１０６）。操作完了通知は例えば電子メールにより送信され、電子メールを開くと携帯端末２には図８（ａ）のようなリモート操作の操作完了通知が表示される。

ユーザがウィンドウ閉操作のキャンセルを所望する場合、ユーザは操作完了通知のＵＲＬを選択してキャンセル操作メニューの表示をサービスセンタ３に要求する（Ｓ１０７）。この時点では、まだ、サービスセンタ３が操作完了通知を受信してから２４時間が経過していないので、サービスセンタ３が保持する車両ステイタス２１が「許可」となっている。したがって、キャンセル操作受付手段２２はキャンセル操作を受け付け（Ｓ１０８）、キャンセル操作メニュー画面を携帯端末２に送信する（Ｓ１０９）。ユーザの携帯端末２には図１７（ａ）のようなキャンセル操作メニュー画面が表示される。

ついで、ユーザがリンク表示された「こちら」を選択すると、ウィンドウ閉のキャンセル操作要求がサービスセンタ３に送信され（Ｓ３０１）、サービスセンタ３は操作完了通知を受信してから２４時間経過していないので、キャンセル操作を受け付ける（Ｓ３０２）。そして、サービスセンタ３はキャンセル操作受付画面を配信する（Ｓ３０３）。

図２１はキャンセル操作受付画面の一例を示す。キャンセル操作受付画面には現在の時刻、車両の位置と共にキャンセルできる操作が表示されている。キャンセルできる操作にはチェックボックスと、リモート操作した日時が表示されている。ユーザは日時やリモート操作の内容を確認した後、当該リモート操作をキャンセルする場合チェックボックスをチェックして「決定」ボタンを選択する。

ここで、サービスセンタ３がキャンセル操作を受け付けてからユーザが「決定」ボタンを選択するまでの間に、サービスセンタ３において２４時間が経過したものとする。したがって、ユーザが「決定」ボタンを選択し、サービスセンタ３に送信されるキャンセル操作の操作コマンドは、操作完了通知から２４時間以上経過してサービスセンタ３に到達する（Ｓ３０４）。

２４時間以上が経過した場合、車両ステイタス２１は不許可に設定されるが、サービスセンタ３は、すでにステップＳ３０２においてキャンセル操作を受け付けているので、操作コマンドを受信した際にはキャセル操作を受け付けるか否かの判定をせずそのまま車両に操作コマンドを送信する（Ｓ３０５）。

車両においてもすでに２４時間が経過しているが、本実施例では、車両の所定時間Ｔｃはサービスセンタ３の所定時間Ｔｓよりも長めに設定されているため、車両のキャンセル許可状態フラグ１８は「許可」状態のままである。

車両５のリモート操作可否判定部１２は、「許可」状態のキャンセル許可状態フラグ１８を参照してキャンセル操作を許可するため、制御部１６がキャンセル操作、すなわち、ウィンドウの開操作を実行する（Ｓ３０６）。車両状態格納部１４はキャンセル許可状態フラグ１８を「不許可」に設定し、リモート操作応答生成部１３は操作完了通知をサービスセンタ３へ送信する（Ｓ３０７）。

サービスセンタ３は、操作完了通知を受信してキャンセル不許可状態に更新する（Ｓ３０８）。そして、携帯端末２に操作完了通知を電子メール等により送信する（Ｓ３０９）。ユーザが電子メールを開くと例えば「ウィンドウを開けました」と表示される。

図２０のような処理によれば、携帯端末２にキャンセルメニュー表示画面を配信した後、ユーザがキャンセル操作要求を送信するまでに２４時間が経過しても、サービスセンタ３ではキャンセル操作の受付を不可とすることを防止できる。これにより、いったんユーザにキャンセルメニュー表示画面を配信した後に、キャンセル操作の受付を不可としてユーザを困惑させることが防止できる。また、ユーザがキャンセル操作を所望しているので、ユーザの意志を尊重することができ、例えば、車内への閉じこめを防止できる。

なお、２４時間経過したか否かの判断時は、ステップＳ３０１のキャンセル操作要求があった時点でもよいし、ステップＳ３０４のキャンセル操作要求があった時点でもよい。

〔サービスセンタ３がリモート操作の操作完了通知を車両５から正常に受信できない場合〕
サービスセンタ３がリモート操作の操作完了通知を車両５から正常に受信できない場合、車両ではリモート操作されているのにサービスセンタ３ではキャンセル許可状態フラグ１８を受信できないため、キャンセル操作を受け付けることができない。そこで、サービスセンタ３が操作完了通知を受信できない場合には、リモート操作の操作コマンドを車両に送信してから２４時間以内は、原則的にキャンセル操作を受け付けることとしてキャンセル操作を受付しやすくする。

図２２は、サービスセンタ３が操作完了通知を受信できなかった場合に受け付けられるキャンセル操作の処理手順を示すフローチャート図を示す。

まず、ユーザは携帯端末２を操作して、ウィンドウを閉とするリモート操作の操作コマンドをサービスセンタ３に送信する（Ｓ１０１）。サービスセンタ３は操作コマンドを車両５に送信する（Ｓ１０２）。車両５の制御部１６は、ウィンドウを閉とする制御信号に基づき、ウィンドウを閉じる（Ｓ１０３）。また、車両状態格納部１４は、ウィンドウのキャンセル許可状態フラグ１８を「許可」に設定する。

ついで、リモート操作応答生成部１３は、ウィンドウが閉に制御されたので操作完了通知を生成してサービスセンタ３に送信する（Ｓ１０４）。

操作完了通知と共にキャンセル許可状態フラグ１８が送信されるが、サービスセンタ３が受信した操作完了通知又はキャンセル許可状態フラグ１８が解析困難な場合や通信の状態によってはタイムアウトする場合（以下、単に操作完了通知受信不明状態という）がある。操作完了通知受信不明状態では、サービスセンタ３は車両５のウィンドウの車両ステイタス２１を許可状態に更新する（Ｓ４０１）。

サービスセンタ３は、操作完了通知受信不明状態であることを電子メールなどにより携帯端末２に送信する（Ｓ４０２）。図２３（ａ）は操作完了通知受信不明状態の電子メールの一例を示す。図２３（ａ）に示すようにユーザには「お車のリモート操作結果の通知が異常です。お車の状態をご確認ください」と表示されるので、ユーザは例えば、別のリモート操作により車両５の状態を確認できる。

ユーザが閉じこめの可能性に気づき、ウィンドウ閉操作のキャンセルを所望する場合、ユーザは所定のＵＲＬにアクセスしてキャンセル操作メニューの表示をサービスセンタ３に要求する（Ｓ４０３）。

サービスセンタ３が保持する車両ステイタス２１は「許可」となっている。したがって、サービスセンタ３はキャンセル操作を受け付け（Ｓ４０４）、キャンセル操作画面を携帯端末２に送信する（Ｓ４０５）。ユーザの携帯端末２には図１７（ａ）のようなキャンセル操作メニューが表示される。

ついで、ユーザがリンク表示された「こちら」を選択すると、ウィンドウ閉のキャンセル操作要求がサービスセンタ３に送信され（Ｓ４０６）、キャンセル操作を受け付ける（Ｓ４０７）。そして、サービスセンタ３はキャンセル操作受付画面を配信する（Ｓ４０８）。なお、サービスセンタ３がキャンセル操作の操作コマンドを受信した時点で、車両ステイタス２１を許可状態に更新してから２４時間以内である。

携帯端末２には、図２１のようなキャンセル操作受付画面が表示されるので、当該リモート操作をキャンセルする場合、ユーザがチェックボックスをチェックして「決定」ボタンを選択する。これによりキャンセル操作の操作コマンドが、サービスセンタ３に送信される（Ｓ４０９）。

サービスセンタ３は、車両５にキャンセル操作の操作コマンドを送信する（Ｓ４１０）。車両５のリモート操作可否判定部１２は、「許可」状態のキャンセル許可状態フラグ１８を参照してキャンセル操作を許可するため、制御部１６がキャンセル操作、すなわち、ウィンドウの開操作を実行する（Ｓ４１１）。車両状態格納部１４はキャンセル許可状態フラグ１８を「不許可」に設定し、リモート操作応答生成部１３は操作完了通知をサービスセンタ３へ送信する（Ｓ４１２）。

サービスセンタ３のステイタス更新手段２３は、操作完了通知を受信して車両ステイタス２１を不許可状態に更新する（Ｓ４１３）。そして、携帯端末２に操作完了通知を電子メール等により送信する（Ｓ４１４）。ユーザが電子メールを開くと例えば「ウィンドウを開けました」と表示される。

図２２のような処理によれば、リモート操作が完了したのか否かの結果が不明でも、リモート操作のキャンセル操作を受け付けることで、車内への閉じこめを可能な限り防止できる。

以上のように、本実施例によれば、リモート操作をキャンセルして元の状態に戻すことができると共に、サービスセンタ３がキャンセル操作を受け付けるか否かを判定することができる。サービスセンタ３により判定するため、車両５との通信が必要なくレスポンスを向上できる。キャンセル操作メニューが表示されない場合はその理由がユーザに通知されるのでユーザにとって分かりやすいサービスを提供できる。サービスセンタ３において所定の時間が経過した後、又は、リモート操作が完了したか否かが不明な場合、可能な限りキャンセル操作を受け付けるので、ユーザの意志を尊重してキャンセル操作を実行できる。

リモート操作装置を車両に適用したリモート操作システムの全体構成図である。 リモート操作システムの処理の流れを示すシーケンス図の一例である。 リモート操作装置のブロック図である。 可否判定テーブルの一例である。 キャンセル操作判定テーブルの一例である。 車両状態格納部に格納されている車両の状態を示す図の一例である。 ウィンドウの状態を示す図である。 リモート操作の操作完了通知、キャンセル操作完了通知の一例である。 リモート操作とキャンセル操作の関係を示す図である。 操作完了通知の一例である。 キャンセル操作の受け付け開始条件を説明するための図である。 ユーザが行ったリモート操作がキャンセルされて元の状態に戻る処理の流れを示すアクティビティ図の一例である。 実施例２におけるリモート操作装置のブロック図である。 リモート操作後に車両がローカル操作された場合にキャンセル操作が不許可とされる制御手順を示すフローチャート図である。 携帯端末に表示されるキャンセル操作メニュー等を示す図である。 サービスセンタがリモート操作を受け付けてから所定時間が経過したため、リモート操作のキャンセルが受け付けられない場合の処理を示すフローチャート図である。 携帯端末に表示されるキャンセル操作メニューの一例を示す図である。 キャンセル許可条件及びキャンセル操作停止条件に基づきキャンセル操作を受け付けるか否かを判定する処理を示すフローチャート図である。 携帯端末に表示されるキャンセル操作受け付け不可画面の一例を示す図である。 サービスセンタでは所定時間が経過した場合であってもユーザが実際に操作した時刻に基づきキャンセル操作を受け付ける処理のフローチャート図である。 キャンセル操作受付画面の一例を示す図である。 サービスセンタが操作完了通知を受信できなかった場合に受け付けられるキャンセル操作の処理手順を示すフローチャート図である。 操作完了通知受信不明状態の電子メールの一例等を示す図である。

符号の説明

１ ネットワーク
２ 携帯装置
３ サービスセンタ
４ 中継基地
５ 車両
１０ リモート操作装置

Claims (26)

1. 運転者の携帯する携帯装置からサービスセンタを介して送信される操作コマンドに基づき車両の車載装置が制御されるリモート操作システムにおいて、
   前記車両が前記操作コマンドに基づき前記車載装置を制御した後、
   前記サービスセンタから、前記車載装置を前記操作コマンドによる制御前の状態に戻すキャンセル操作コマンドを受信した場合、
   前記車両は、前記車載装置を前記操作コマンドに基づく制御前の状態に戻す、
   ことを特徴とするリモート操作システム。
2. 前記車両は、
   前記操作コマンドに基づき前記車載装置を制御した後、操作完了通知を生成して前記サービスセンタに送信するリモート操作応答生成部を有し、
   前記リモート操作応答生成部は、前記キャンセル操作コマンドに基づき前記車載装置を制御して前記操作コマンドの前の状態に戻した場合、キャンセル操作完了通知を前記サービスセンタに送信する、
   ことを有することを特徴とする請求項１記載のリモート操作システム。
3. 前記操作完了通知は、前記車載装置を前記操作コマンドによる制御前の状態に戻すキャンセル操作に誘導する誘導情報を含むことを特徴とする、
   請求項２記載のリモート操作システム。
4. 前記車両は、前記操作コマンドに基づく前記車載装置の制御記録を有する場合、前記キャンセル操作コマンドに基づき車載装置を当該操作コマンド前の状態に戻す、
   ことを特徴とする請求項１ないし３いずれか記載のリモート操作システム。
5. 前記車両は、前記操作コマンドに基づく車載装置の制御の後、所定時間内に限り、前記キャンセル操作コマンドに基づき前記車載装置を当該操作コマンド前の状態に戻す、
   ことを特徴とする請求項１ないし４いずれか記載のリモート操作システム。
6. 前記車両は、前記操作コマンドに基づく車載装置の制御の後、車両がローカル操作された場合、前記キャンセル操作コマンドに基づき前記車載装置を当該操作コマンド前の状態に戻すことを禁止する、
   ことを特徴とする請求項１ないし５いずれか記載のリモート操作システム。
7. 前記車両は、前記キャンセル操作コマンドを受信した場合に前記操作コマンド前の状態に戻すか否かを判定するためのフラグを有し、
   前記フラグは、前記操作コマンドに基づき当該車両の車載装置が制御された場合に許可状態となり、当該車両がローカル操作された場合、又は、前記操作コマンドに基づく車載装置の制御から所定時間が経過した場合に、不許可状態になる、
   ことを特徴とする請求項１記載のリモート操作システム。
8. 前記車両は、前記操作コマンドに基づき前記車載装置を制御した後、操作完了通知と共に前記フラグを前記サービスセンタに送信するリモート操作応答生成部を有し、
   前記リモート操作応答生成部は、前記キャンセル操作コマンドに基づき前記車載装置を制御して前記操作コマンドの前の状態に戻した場合、キャンセル操作完了通知と共に前記フラグを前記サービスセンタに送信し、
   前記サービスセンタは、前記車両から送信された前記フラグの状態に基づいて、前記操作コマンドのキャンセルを受け付けるか否かを判定する、
   ことを特徴とする請求項７記載のリモート操作システム。
9. 前記サービスセンタは、前記フラグが許可状態の場合、前記キャンセル操作コマンドが選択可能なキャンセル操作メニュー画面を前記携帯端末に配信し、
   前記フラグが不許可状態の場合、前記キャンセル操作コマンドが選択不能なキャンセル操作メニュー非表示画面を前記携帯端末に配信する、
   ことを特徴とする請求項８記載のリモート操作システム。
10. 前記サービスセンタは、前記操作コマンドを前記車両に送信した後、前記車両から前記操作完了通知を正常に受信できない場合、当該サービスセンタのフラグを許可状態に更新する、
    ことを特徴とする請求項８記載のリモート操作システム。
11. 前記車両から許可状態の前記フラグが送信された後、前記車両のフラグが不許可状態に反転した場合、
    前記サービスセンタは、前記キャンセル操作メニュー画面を前記携帯端末に配信する、
    ことを特徴とする請求項９記載のリモート操作システム。
12. 前記サービスセンタは、前記フラグが許可状態になってから所定時間が経過した場合、当該フラグを不許可状態に更新する、
    ことを特徴とする請求項８記載のリモート操作システム。
13. 前記携帯端末から前記サービスセンタに前記キャンセル操作コマンドが前記所定時間を経過した後に送信された場合、
    前記サービスセンタは、前記フラグが不許可状態であっても、当該キャンセル操作コマンドを前記車両に送信する、
    ことを特徴とする請求項１２記載のリモート操作システム。
14. 運転者の携帯する携帯装置からサービスセンタを介して送信される操作コマンドに基づき車載装置を制御する車両のリモート操作装置において、
    前記操作コマンドに基づき前記車載装置を制御した後、前記サービスセンタから前記車載装置を前記操作コマンドによる制御前の状態に戻すキャンセル操作コマンドを受信した場合、
    前記車載装置を前記操作コマンドに基づく制御前の状態に戻す、
    ことを特徴とするリモート操作装置。
15. 前記操作コマンドに基づき前記車載装置を制御した後、操作完了通知を生成して前記携帯装置に送信するリモート操作応答生成部を有し、
    前記リモート操作応答生成部は、前記キャンセル操作コマンドに基づき前記車載装置を制御して前記操作コマンドの前の状態に戻した場合、キャンセル操作完了通知を前記携帯装置に送信する、
    ことを有することを特徴とする請求項１４記載のリモート操作装置。
16. 前記操作完了通知は、前記車載装置を前記操作コマンドによる制御前の状態に戻すキャンセル操作に誘導する誘導情報を含むことを特徴とする、
    請求項１５記載のリモート操作装置。
17. 前記操作コマンドに基づく前記車載装置の制御記録を有する場合、前記キャンセル操作コマンドに基づき車載装置を当該操作コマンド前の状態に戻す、
    ことを特徴とする請求項１４ないし１６いずれか記載のリモート操作装置。
18. 前記操作コマンドに基づく車載装置の制御の後、所定時間内に限り、前記キャンセル操作コマンドに基づき前記車載装置を当該操作コマンド前の状態に戻す、
    ことを特徴とする請求項１４ないし１７いずれか記載のリモート操作装置。
19. 前記操作コマンドに基づく車載装置の制御の後、車両がローカル操作された場合、前記キャンセル操作コマンドに基づき前記車載装置を当該操作コマンド前の状態に戻すことを禁止する、
    ことを特徴とする請求項１４ないし１８いずれか記載のリモート操作装置。
20. 携帯装置から送信される操作コマンドを、該操作コマンドに基づき車載装置を制御する車両に送信するサービスセンタにおいて、
    前記操作コマンドに基づき前記車載装置を制御した後、前記車載装置を前記操作コマンドによる制御前の状態に戻すキャンセル操作を受け付けるか否かを判定する、
    ことを特徴とするサービスセンタ。
21. 前記車両から、前記操作コマンドに基づき前記車載装置を制御した後、操作完了通知と共に前記フラグを受信し、
    前記キャンセル操作コマンドに基づき前記車載装置を制御して前記操作コマンドの前の状態に戻した場合、キャンセル操作完了通知と共に前記フラグを受信し、
    前記車両から送信された前記フラグの状態に基づいて前記操作コマンドのキャンセルを受け付けるか否かを判定する、
    ことを特徴とする請求項２０記載のサービスセンタ。
22. 前記フラグが前記キャンセル操作を許可する許可状態の場合、前記キャンセル操作コマンドが選択可能なキャンセル操作メニュー画面を前記携帯端末に配信し、
    前記フラグが不許可状態の場合、前記キャンセル操作コマンドが選択不能なキャンセル操作メニュー非表示画面を前記携帯端末に配信する、
    ことを特徴とする請求項２１記載のサービスセンタ。
23. 前記操作コマンドを前記車両に送信した後、前記車両から前記操作完了通知を正常に受信できない場合、前記フラグを許可状態に設定する、
    ことを特徴とする請求項２１記載のサービスセンタ。
24. 前記車両から許可状態の前記フラグが送信された後、前記車両のフラグが不許可状態に反転した場合、前記キャンセル操作メニュー画面を前記携帯端末に配信する、
    ことを特徴とする請求項２２記載のサービスセンタ。
25. 前記フラグが許可状態になってから所定時間が経過した場合、当該フラグを不許可状態に更新する、
    ことを特徴とする請求項２１記載のサービスセンタ。
26. 前記キャンセル操作コマンドを前記所定時間を経過した後に前記携帯端末から受信した場合、
    前記フラグが不許可状態であっても、当該キャンセル操作コマンドを前記車両に送信する、
    ことを特徴とする請求項２１記載のサービスセンタ。
    
    

Images