JP2023148463A - 移動体制御方法、移動体制御システム、及び移動体制御プログラム - Google Patents

Abstract

【課題】所定エリアにおいて遠隔指示に従って動作する移動体の機能が悪用されることを抑制すること。【解決手段】移動体制御方法は、所定エリアにおいて遠隔指示に従って動作する機能を有する移動体を制御する。移動体制御方法は、移動体が受信した遠隔指示が妥当であるか否かを判定する遠隔指示検証処理と、移動体が受信した遠隔指示が妥当ではない場合、遠隔指示に従うことなく移動体の動作の少なくとも一部を制限する動作制限処理と、を含む。遠隔指示検証処理は、移動体が遠隔指示を受信したときに移動体が所定エリア内に存在しているか否かを判定することと、移動体が遠隔指示を受信したときに移動体が所定エリア内に存在していない場合、遠隔指示は妥当ではないと判定することと、を含む。【選択図】図８

Description

本開示は、所定エリアにおいて遠隔指示に従って動作する機能を有する移動体を制御する技術に関する。

特許文献１は、自動バレー駐車用の駐車場に用いられる管制装置を開示している。車両は、駐車場に設置されたマーカを読み取り、車両とマーカとの間の相対距離から車両の絶対位置を推定する。一方、管制装置は、駐車場内に設置されたセンサによって測定された車両位置の情報を取得する。管制装置は、推定された車両位置と測定された車両位置との間の差である静的推定精度を基準値と比較する。静的推定精度が基準値以下である場合、管制装置は、当該車両が自動バレー駐車機能を使用することを抑制する。

国際公開２０２１／１６６６２０号

所定エリアにおいて遠隔指示に従って動作する機能を有する移動体（例：車両、ロボット）について考える。例えば、自動バレー駐車に対応した車両は、駐車場（所定エリア）への入庫時あるいは駐車場からの出庫時、電源ＯＮを指示する遠隔指示を管理システムから受信する。車両は、受信した遠隔指示に従って自動的に電源ＯＮし、その後、駐車場における自動走行を開始する。

遠隔指示を通して移動体の動作を制御することは、移動体を利用したサービスの提供等において有用である。但し、移動体が遠隔指示に従って動作するという機能を有しているが故に、その機能が悪用されるおそれもある。つまり、悪意を持った何者かが、遠隔指示を偽装し、偽装した遠隔指示を与えることによって移動体を勝手に動作させる（乗っ取る）おそれがある。例えば、悪意を持った何者かが、移動体の電源をＯＮし、ドアロックを解除し、移動体を盗むことが考えられる。他の例として、悪意を持った何者かが、移動体の電源をＯＮし、移動体を自動走行させ、事故を引き起こすことが考えられる。

本開示の１つの目的は、所定エリアにおいて遠隔指示に従って動作する移動体の機能が悪用されることを抑制することができる技術を提供することにある。

第１の観点は、所定エリアにおいて遠隔指示に従って動作する機能を有する移動体を制御する移動体制御方法に関連する。
移動体制御方法は、
移動体が受信した遠隔指示が妥当であるか否かを判定する遠隔指示検証処理と、
移動体が受信した遠隔指示が妥当ではない場合、遠隔指示に従うことなく移動体の動作の少なくとも一部を制限する動作制限処理と
を含む。
遠隔指示検証処理は、
移動体が遠隔指示を受信したときに移動体が所定エリア内に存在しているか否かを判定することと、
移動体が遠隔指示を受信したときに移動体が所定エリア内に存在していない場合、遠隔指示は妥当ではないと判定することと
を含む。

第２の観点は、所定エリアにおいて遠隔指示に従って動作する機能を有する移動体を制御する移動体制御システムに関連する。
移動体制御システムは、１又は複数のプロセッサを備える。
１又は複数のプロセッサは、
移動体が受信した遠隔指示が妥当であるか否かを判定する遠隔指示検証処理と、
移動体が受信した遠隔指示が妥当ではない場合、遠隔指示に従うことなく移動体の動作の少なくとも一部を制限する動作制限処理と
を実行するように構成される。
遠隔指示検証処理は、
移動体が遠隔指示を受信したときに移動体が所定エリア内に存在しているか否かを判定することと、
移動体が遠隔指示を受信したときに移動体が所定エリア内に存在していない場合、遠隔指示は妥当ではないと判定することと
を含む。

第３の観点は、所定エリアにおいて遠隔指示に従って動作する機能を有する移動体を制御する移動体制御プログラムに関連する。
移動体制御プログラムは、コンピュータによって実行される。
移動体制御プログラムは、
移動体が受信した遠隔指示が妥当であるか否かを判定する遠隔指示検証処理と、
移動体が受信した遠隔指示が妥当ではない場合、遠隔指示に従うことなく移動体の動作の少なくとも一部を制限する動作制限処理と
をコンピュータに実行させるように構成される。
遠隔指示検証処理は、
移動体が遠隔指示を受信したときに移動体が所定エリア内に存在しているか否かを判定することと、
移動体が遠隔指示を受信したときに移動体が所定エリア内に存在していない場合、遠隔指示は妥当ではないと判定することと
を含む。

本開示によれば、移動体が遠隔指示を受信した場合、遠隔指示検証処理が行われ、その遠隔指示が妥当であるか否かが判定される。移動体が受信した遠隔指示が妥当ではない場合、その遠隔指示に従うことなく移動体の動作の少なくとも一部を制限する動作制限処理が行われる。これにより、遠隔指示に従って動作する移動体の機能が悪用されることが抑制される。

実施の形態に係る車両の概要を説明するための概念図である。 実施の形態に係る車載システムの概要を説明するためのブロック図である。 自動バレー駐車を説明するための概念図である。 モビリティサービスを説明するための概念図である。 第１の課題を説明するための概念図である。 第２の課題を説明するための概念図である。 実施の形態に係る遠隔指示検証処理の概要を説明するためのブロック図である。 実施の形態に係る遠隔指示検証処理に関連する処理を示すフローチャートである。 実施の形態に係るエリア検証処理を行うエリア検証部を説明するためのブロック図である。 実施の形態に係るエリア検証処理の様々な例を説明するための概念図である。 実施の形態に係るエリア検証処理を要約的に示すフローチャートである。 実施の形態に係る発信元検証処理を行う発信元検証部を説明するためのブロック図である。 実施の形態に係る発信元検証処理の一例を説明するための概念図である。 実施の形態に係る発信元検証処理を要約的に示すフローチャートである。 実施の形態に係る認識結果検証処理を行う認識結果検証部を説明するためのブロック図である。 実施の形態に係る認識結果検証処理の一例を説明するための概念図である。 実施の形態に係る認識結果検証処理を要約的に示すフローチャートである。 実施の形態に係る車載システムの構成例を示すブロック図である。 実施の形態に係る運転環境情報の例を示すブロック図である。 実施の形態に係る管理システムの構成例を示すブロック図である。

添付図面を参照して、本開示の実施の形態を説明する。

１．遠隔指示に従って動作する移動体
１－１．概要
遠隔指示に従って動作する機能を有する移動体について考える。移動体としては、車両、ロボット、等が例示される。一例として、以下の説明においては、移動体が車両である場合について考える。一般化する場合は、以下の説明における「車両」を「移動体」で読み替えるものとする。

図１は、本実施の形態に係る車両１の概要を説明するための概念図である。車両１は、遠隔指示ＩＮＳに従って動作する機能を有する。特に、車両１は、所定エリアＡＲにおいて遠隔指示ＩＮＳに従って動作する機能を有する。

所定エリアＡＲは、例えば、車両１が自動走行を行うことができるエリアである。その場合、車両１は、所定エリアＡＲにおいて遠隔指示ＩＮＳに従って自動走行を行う。他の例として、所定エリアＡＲは、車両１を利用したサービスが提供されるエリアであってもよい。その場合、車両１は、所定エリアＡＲにおいて遠隔指示ＩＮＳに従ってサービスを提供する。所定エリアＡＲの様々な例は後述される。

遠隔指示ＩＮＳは、例えば、車両１の電源をＯＮあるいはＯＦＦすることを指示する。「車両１の電源をＯＮする」とは、車両１を動作可能な状態にすることを意味する。例えば、車両１の電源をＯＮすることは、車両１に搭載された各種装置への電力供給を開始することを含む。また、車両１の電源をＯＮすることは、車両１のイグニッションをＯＮすることを含む。一方、「車両１の電源をＯＦＦする」とは、車両１を動作不可能な状態にすることを意味する。例えば、車両１の電源をＯＦＦすることは、車両１のイグニッションをＯＦＦすることを含む。他の例として、車両１の電源をＯＦＦすることは、車両１に搭載された各種装置への電力供給を停止することを含んでいてもよい。但し、車両１の電源ＯＦＦ後であっても、遠隔指示ＩＮＳを受信する機能は少なくとも起動している。よって、車両１は、電源ＯＦＦ後であっても、電源ＯＮを指示する遠隔指示ＩＮＳを受信し、その遠隔指示ＩＮＳに従って自動的に電源ＯＮすることができる。

他の例として、遠隔指示ＩＮＳは、車両１の操舵、加速、及び減速のうち少なくとも一つを指示してもよい。更に他の例として、遠隔指示ＩＮＳは、車両１の自動走行を指示してもよい。更に他の例として、遠隔指示ＩＮＳは、車両１に搭載された認識センサを用いて車両１の周囲の状況を認識することを指示してもよい。

更に他の例として、遠隔指示ＩＮＳは、車両１のドアのロックあるいはアンロックを指示してもよい。

遠隔指示ＩＮＳは、管理システム２によって生成される。管理システム２は、少なくとも所定エリアＡＲ内の車両１を管理する。管理システム２は、所定エリアＡＲを管理してもよい。管理システム２は、所定エリアＡＲにおいて車両１を利用して提供されるサービスを管理してもよい。車両１と管理システム２は互いに通信可能である。管理システム２は、必要に応じて、遠隔指示ＩＮＳを所定エリアＡＲ内の車両１に送信する。所定エリアＡＲ内の車両１は、管理システム２から送信される遠隔指示ＩＮＳを受信し、受信した遠隔指示ＩＮＳに従って動作する。

管理システム２は、例えば、クラウド上の管理サーバにより実現される。管理システム２は、分散処理を行う複数のサーバにより構成されていてもよい。

図２は、車両１に搭載される車載システム１０の概要を説明するためのブロック図である。車載システム１０は、遠隔指示受信部１１及び車両制御部１２を含んでいる。

遠隔指示受信部１１は、管理システム２から送信される遠隔指示ＩＮＳを受信する。尚、遠隔指示受信部１１は、車両１の電源がＯＦＦされた後も起動しており、管理システム２から送信される遠隔指示ＩＮＳを待ち受ける。

車両制御部１２は、車両１を制御する。例えば、車両１の制御は、車両１の電源をＯＮあるいはＯＦＦすることを含む。他の例として、車両１の制御は、車両１の走行（操舵、加速、及び減速）を制御することを含む。更に他の例として、車両１の制御は、車両１の自動運転制御を含んでいてもよい。更に他の例として、車両１の制御は、車両１に搭載された認識センサを用いて車両１の周囲の状況を認識することを含んでいてもよい。更に他の例として、車両１の制御は、車両１のドアをロックあるいはアンロックすることを含んでいてもよい。更に他の例として、車両１の制御は、車両１のライト（例：ヘッドライト、ハザードランプ）を点灯あるいは消灯することを含んでいてもよい。更に他の例として、車両１の制御は、車両１のホーン（クラクション）を鳴動させることを含んでいてもよい。

遠隔指示受信部１１が遠隔指示ＩＮＳを受信した場合、車両制御部１２は、受信した遠隔指示に従って車両１を制御する。

以下、所定エリアＡＲにおいて遠隔指示ＩＮＳに従って動作する車両１の例を説明する。

１－２．自動バレー駐車
図３は、自動バレー駐車（Automated Valet Parking, AVP）を説明するための概念図である。本例では、所定エリアＡＲは駐車場である。駐車場は、屋内であってもよいし、屋外であってもよい。駐車場には複数のランドマーク（マーカ）Ｍが配置されている。ランドマークＭには識別情報が付与される。

ＡＶＰ車両１Ａは、駐車場における自動バレー駐車に対応した車両１である。ＡＶＰ車両１Ａは、少なくとも駐車場内において自動走行することができる。より詳細には、ＡＶＰ車両１Ａは、周囲の状況を認識するための認識センサ（例：カメラ）を備えている。ＡＶＰ車両１Ａは、認識センサを用いて周囲の状況を認識しながら、駐車場において自動走行を行う。

例えば、ＡＶＰ車両１Ａは、カメラを用いてＡＶＰ車両１Ａの周囲の状況を示す画像を取得し、画像に基づいてランドマークＭを認識する。ＡＶＰ車両１Ａは、ランドマークＭの認識結果に基づいて、入庫エリアを認識することができる。また、ＡＶＰ車両１Ａは、ランドマークＭの認識結果に基づいて、駐車場におけるＡＶＰ車両１Ａの位置を高精度に推定する「ローカライズ処理（自己位置推定処理、Localization）」を行う。より詳細には、ＡＶＰ車両１Ａは、カメラに基づくランドマークＭの認識結果と駐車場におけるランドマークＭの地図情報とを組み合わせることによって、自己位置を高精度に推定する。目標経路ＰＴは、入庫エリアからＡＶＰ車両１Ａに割り当てられた目標駐車枠への移動経路である。ＡＶＰ車両１Ａは、ローカライズ処理により推定されたＡＶＰ車両１Ａの位置と目標経路ＰＴとに基づいて、目標経路ＰＴに追従するように自動走行を行う。これにより、ＡＶＰ車両１Ａは、入庫エリアから目標駐車枠まで自動的に移動することが可能となる。

管理システム２は、駐車場における自動バレー駐車を管理する。管理システム２は、駐車場内のＡＶＰ車両１Ａを含む車両群と通信可能である。例えば、管理システム２は、ＡＶＰ車両１Ａに対して遠隔指示ＩＮＳを出す。例えば、遠隔指示ＩＮＳは、ＡＶＰ車両１Ａの電源ＯＮあるいは電源ＯＦＦを指示する。他の例として、遠隔指示ＩＮＳは、自動走行の開始を指示する。管理システム２は、駐車場におけるランドマークＭの地図情報をＡＶＰ車両１Ａに提供してもよい。管理システム２は、ＡＶＰ車両１Ａに駐車枠を割り当ててもよい。管理システム２は、入庫エリアから割り当てた駐車枠への目標経路ＰＴを生成し、目標経路ＰＴの情報をＡＶＰ車両１Ａに提供してもよい。管理システム２は、駐車場内のＡＶＰ車両１Ａを含む車両群の位置を把握してもよい。管理システム２は、駐車場内のＡＶＰ車両１Ａを遠隔操作してもよい。

図３に示されるように、管理システム２は、車両管理センター２Ａと駐車場管制センター２Ｂを含んでいてもよい。駐車場管制センター２Ｂは、駐車場毎に設置される。駐車場管制センター２Ｂは、例えば、駐車場の状況の把握、ＡＶＰ車両１Ａへの駐車枠の割り当て、目標経路ＰＴの生成、ＡＶＰ車両１Ａへの目標経路ＰＴの提供、等を行う。

車両管理センター２Ａは、多数の駐車場の駐車場管制センター２Ｂを統括する。そのために、車両管理センター２Ａは、各駐車場管制センター２Ｂと通信を行い、各種情報の収集及び各種情報の提供を行う。また、車両管理センター２Ａは、ＡＶＰ車両１Ａを管理し、必要に応じて遠隔指示ＩＮＳをＡＶＰ車両１Ａに送信する。更に、車両管理センター２Ａは、自動バレー駐車サービスのユーザや予約を管理する。車両管理センター２Ａは、自動バレー駐車サービスのユーザが操作するユーザ端末３と通信を行ってもよい。

以下、あるユーザが自動バレー駐車サービスを利用する際の流れの一例を説明する。ユーザの会員情報は、車両管理センター２Ａに予め登録されているとする。

まず、ユーザは、自動バレー駐車サービスの予約を行う。例えば、ユーザは、ユーザ端末３を操作して、ユーザのＩＤ情報、希望する駐車場、希望利用日、希望利用時間（希望入庫時間及び希望出庫時間）、等を入力する。ユーザ端末３は、入力された情報を含む予約情報を車両管理センター２Ａに送信する。車両管理センター２Ａは、予約情報に基づいて予約処理を行い、予約完了通知をユーザ端末３に送信する。また、車両管理センター２Ａは、予約情報に応じた認証情報をユーザ端末３に送信する。ユーザ端末３は、認証情報を受け取り、受け取った認証情報を保持する。

駐車場へのＡＶＰ車両１Ａの入庫（チェックイン）は、次の通りである。

ユーザを乗せたＡＶＰ車両１Ａが、駐車場の入庫エリア（降車エリア）に到着し、停止する。入庫エリアにおいて、ユーザは（もしいれば他の乗員も）、ＡＶＰ車両１Ａから降りる。そして、ユーザは、ユーザ端末３に保持された認証情報を用いて、ＡＶＰ車両１Ａの入庫をリクエストする。入庫リクエストに応答して、車両管理センター２Ａは、ユーザの認証を行う。認証が完了すると、ＡＶＰ車両１Ａの操作権限が、ユーザから車両管理センター２Ａに移る。車両管理センター２Ａは、ＡＶＰ車両１Ａに関する入庫処理を行う。

入庫処理において、車両管理センター２Ａは、ＡＶＰ車両１Ａと通信を行い、ＡＶＰ車両１Ａの電源ＯＮを指示する遠隔指示ＩＮＳを送信する。ＡＶＰ車両１Ａは、受信した遠隔指示ＩＮＳに従って、自動的に電源ＯＮする。

駐車場管制センター２Ｂは、駐車場の利用状況を参照して、空いている駐車枠をＡＶＰ車両１Ａに割り当てる。そして、駐車場管制センター２Ｂは、ＡＶＰ車両１Ａと通信を行い、自動走行の開始を指示する入庫指示を遠隔指示ＩＮＳとしてＡＶＰ車両１Ａに送信する。入庫指示は、ＡＶＰ車両１Ａに割り当てられた目標駐車枠の情報と駐車場の地図情報を含む。入庫指示は、入庫エリアから目標駐車枠までの目標経路ＰＴの情報を含んでいてもよい。

入庫指示に応答して、ＡＶＰ車両１Ａは、自動走行を開始する。ＡＶＰ車両１Ａは、入庫エリアから目標駐車枠まで自動的に走行し、目標駐車枠に自動的に駐車する。このとき、ＡＶＰ車両１Ａは、駐車場管制センター２Ｂによって指定された目標経路ＰＴに沿って走行してもよい。駐車場管制センター２Ｂは、ＡＶＰ車両１Ａと通信を行い、ＡＶＰ車両１Ａの自動走行を遠隔で制御してもよい。

駐車が完了すると、ＡＶＰ車両１Ａは、駐車完了を車両管理センター２Ａに通知する。あるいは、駐車場管制センター２Ｂは、駐車場に設置されたインフラセンサを用いてＡＶＰ車両１Ａの駐車完了を検知し、駐車完了を車両管理センター２Ａに通知してもよい。駐車完了後、車両管理センター２Ａは、ＡＶＰ車両１Ａと通信を行い、ＡＶＰ車両１Ａの電源ＯＦＦを指示する遠隔指示ＩＮＳを送信する。ＡＶＰ車両１Ａは、受信した遠隔指示ＩＮＳに従って、自動的に電源ＯＦＦする。

駐車場からのＡＶＰ車両１Ａの出庫（チェックアウト）は、次の通りである。

ユーザは、ユーザ端末３を用いて、ＡＶＰ車両１Ａの出庫をリクエストする。出庫リクエストは、認証情報を含む。出庫リクエストは、ユーザが指定する出庫エリア（乗車エリア）の情報を含んでいてもよい。出庫リクエストに応答して、車両管理センター２Ａは、ユーザの認証を行う。認証処理が完了すると、車両管理センター２Ａは、ＡＶＰ車両１Ａに関する出庫処理を行う。

出庫処理において、車両管理センター２Ａは、ＡＶＰ車両１Ａと通信を行い、ＡＶＰ車両１Ａの電源ＯＮを指示する遠隔指示ＩＮＳを送信する。ＡＶＰ車両１Ａは、受信した遠隔指示ＩＮＳに従って、自動的に電源ＯＮする。

駐車場管制センター２Ｂは、ＡＶＰ車両１Ａと通信を行い、自動走行の開始を指示する出庫指示を遠隔指示ＩＮＳとしてＡＶＰ車両１Ａに送信する。出庫指示は、出庫エリア（乗車エリア）の情報と駐車場の地図情報を含む。出庫指示は、駐車枠から出庫エリア（乗車エリア）までの目標経路ＰＴの情報を含んでいてもよい。

出庫指示に応答して、ＡＶＰ車両１Ａは、自動走行を開始する。ＡＶＰ車両１Ａは、駐車枠から出庫エリアまで自動的に走行する。このとき、ＡＶＰ車両１Ａは、駐車場管制センター２Ｂによって指定された目標経路ＰＴに沿って走行してもよい。駐車場管制センター２Ｂは、ＡＶＰ車両１Ａと通信を行い、ＡＶＰ車両１Ａの自動走行を遠隔で制御してもよい。

ＡＶＰ車両１Ａは、出庫エリアに到着し、停止する。ＡＶＰ車両１Ａの操作権限は、車両管理センター２Ａからユーザに移る。ユーザは（もしいれば他の乗員も）、ＡＶＰ車両１Ａに乗り込む。ＡＶＰ車両１Ａは、次の目的地に向けて発進する。

このように、ＡＶＰ車両１Ａは、入庫時あるいは出庫時に、電源ＯＮを指示する遠隔指示ＩＮＳを管理システム２から受信する。ＡＶＰ車両１Ａは、受信した遠隔指示ＩＮＳに従って自動的に電源ＯＮし、その後、駐車場における自動走行を開始する。

１－３．モビリティサービス
図４は、所定エリアＡＲにおけるモビリティサービスを説明するための概念図である。所定エリアＡＲは、モビリティサービスが提供されるエリアである。例えば、所定エリアＡＲは、“スマートシティ”等の１つの街あるいはその一部である。

モビリティサービス車両１Ｂは、所定エリアＡＲにおけるモビリティサービスを提供するための車両１である。モビリティサービス車両１Ｂとしては、バス、タクシー、シェアカー、等が例示される。バスとしては、路線バス、観光バス、オンデマンドバス、セミデマンドバス、等が例示される。

典型的には、モビリティサービス車両１Ｂは、所定エリアＡＲにおいて自動走行（自動運転）を行う。より詳細には、モビリティサービス車両１Ｂは、周囲の状況を認識するための認識センサ（例：カメラ）を備えている。モビリティサービス車両１Ｂは、認識センサを用いて周囲の状況を認識しながら、所定エリアＡＲにおいて自動走行を行う。

所定エリアＡＲには、ローカライズ処理のためのランドマーク（マーカ）Ｍが配置されていてもよい。モビリティサービス車両１Ｂは、カメラを用いてモビリティサービス車両１Ｂの周囲の状況を示す画像を取得し、画像に基づいてランドマークＭを認識する。モビリティサービス車両１Ｂは、ランドマークＭの認識結果に基づいてローカライズ処理を行い、所定エリアＡＲにおける自己位置を推定する。モビリティサービス車両１Ｂは、推定した自己位置に基づいて自動走行を行う。

管理システム２は、所定エリアＡＲにおけるモビリティサービス及び各モビリティサービス車両１Ｂを管理する。管理システム２は、所定エリアＡＲ内の各モビリティサービス車両１Ｂと通信可能である。例えば、管理システム２は、各モビリティサービス車両１Ｂと通信を行い、各モビリティサービス車両１Ｂの位置及び状態の情報を収集する。また、管理システム２は、必要に応じて、モビリティサービス車両１Ｂに対して遠隔指示ＩＮＳを出す。例えば、遠隔指示ＩＮＳは、モビリティサービス車両１Ｂの電源ＯＮあるいは電源ＯＦＦを指示する。他の例として、遠隔指示ＩＮＳは、モビリティサービス車両１Ｂの操舵、加速、及び減速のうち少なくとも一つを遠隔で指示してもよい。更に、管理システム２は、モビリティサービスのユーザや予約を管理する。管理システム２は、モビリティサービスのユーザが操作するユーザ端末３と通信を行ってもよい。

１－４．その他の例
車両１は、所定エリアＡＲにおいて自動走行を行うロボットであってもよい。例えば、車両１は、街、倉庫、工場等の所定エリアＡＲにおいて荷物を自動的に運搬する物流ロボットである。他の例として、車両１は、倉庫、工場等の所定エリアＡＲにおいて所定の作業を行う作業ロボットであってもよい。

２．課題
上述の通り、本実施の形態に係る車両１は、所定エリアＡＲにおいて遠隔指示ＩＮＳに従って動作する機能を有している。そのような機能は、車両１を利用したサービスの提供等において有用である。

但し、車両１が遠隔指示ＩＮＳに従って動作するという機能を有しているが故に、その機能が悪用されるおそれもある。つまり、悪意を持った何者かが、遠隔指示ＩＮＳを偽装し、偽装した遠隔指示ＩＮＳを与えることによって車両１を勝手に動作させる（乗っ取る）おそれがある。便宜上、偽装された遠隔指示ＩＮＳを、以下、「偽装遠隔指示ＩＮＳ－Ｆ」と呼ぶ。また、悪意を持って偽装遠隔指示ＩＮＳ－Ｆを車両１に与える者を、以下、「偽装遠隔指示者Ｘ」と呼ぶ。

図５は、車両１が所定エリアＡＲの外にいる場合を示している。基本的に、管理システム２が車両１に遠隔指示ＩＮＳを送信するのは、車両１が所定エリアＡＲ内にいるときである。車両１が所定エリアＡＲの外にいるとき、管理システム２が車両１に遠隔指示ＩＮＳを送信することはない。例えば、自動バレー駐車に対応したＡＶＰ車両１Ａ（図３参照）は、駐車場においては遠隔指示ＩＮＳに従って動作するが、駐車場外においてはユーザによって運転される。駐車場外において、ＡＶＰ車両１Ａが管理システム２から遠隔指示ＩＮＳを受け取ることはない。

しかしながら、車両１が遠隔指示ＩＮＳを受信する機能を有しているため、所定エリアＡＲ外にいる車両１に対して遠隔指示ＩＮＳを与えることも可能である。よって、偽装遠隔指示者Ｘが、所定エリアＡＲ外にいる車両１に対して偽装遠隔指示ＩＮＳ－Ｆを与えることもできてしまう。偽装遠隔指示者Ｘは、偽装遠隔指示ＩＮＳ－Ｆを与えることによって車両１を勝手に動作させる（乗っ取る）ことができる。例えば、偽装遠隔指示者Ｘが、駐車場の外のＡＶＰ車両１Ａ（図３参照）の電源をＯＮし、ドアロックを解除し、ＡＶＰ車両１Ａを盗むということが考えられる。他の例として、偽装遠隔指示者Ｘが、駐車場の外のＡＶＰ車両１Ａを乗っ取り、ＡＶＰ車両１Ａを駐車場外で自動走行させ、事故を引き起こすことも考えられる。

図６は、車両１が所定エリアＡＲ内にいる場合を示している。車両１が所定エリアＡＲ内にいる場合も同様である。偽装遠隔指示者Ｘは、偽装遠隔指示ＩＮＳ－Ｆを与えることによって、所定エリアＡＲ内の車両１を勝手に動作させる（乗っ取る）ことができる。例えば、偽装遠隔指示者Ｘが、待機エリアにおいて待機中のモビリティサービス車両１Ｂ（図４参照）の電源をＯＮし、ドアロックを解除し、モビリティサービス車両１Ｂを盗むことが考えられる。他の例として、偽装遠隔指示者Ｘが、運行中のモビリティサービス車両１Ｂを乗っ取り、事故を引き起こすことも考えられる。更に他の例として、偽装遠隔指示者Ｘが、駐車場内のＡＶＰ車両１Ａ（図３参照）の電源をＯＮし、ＡＶＰ車両１Ａを駐車場内で自動走行させ、事故を引き起こすことも考えられる。

以上の観点から、本実施の形態は、所定エリアＡＲにおいて遠隔指示ＩＮＳに従って動作する車両１の機能が悪用されることを抑制することができる技術を提供する。

３．遠隔指示検証処理及び動作制限処理
本実施の形態によれば、車両１が遠隔指示ＩＮＳ（偽装遠隔指示ＩＮＳ－Ｆの可能性もある）を受信した場合、受信した遠隔指示ＩＮＳの検証（validation, verification）が行われる。遠隔指示ＩＮＳを検証することは、遠隔指示ＩＮＳが妥当であるか否かを判定することを意味する。言い換えれば、遠隔指示ＩＮＳを検証することは、遠隔指示ＩＮＳが管理システム２から送信された正当な遠隔指示ＩＮＳか偽装遠隔指示ＩＮＳ－Ｆかを判定することを意味する。車両１が受信した遠隔指示ＩＮＳを検証する処理を、以下、「遠隔指示検証処理」と呼ぶ。

図７は、本実施の形態に係る遠隔指示検証処理の概要を説明するためのブロック図である。遠隔指示検証部１００は、遠隔指示検証処理を行う。遠隔指示検証部１００は、例えば、車両１の車載システム１０に含まれている。他の例として、遠隔指示検証部１００は、管理システム２に含まれていてもよい。更に他の例として、遠隔指示検証部１００は、車載システム１０と管理システム２に分散されていてもよい。

図８は、本実施の形態に係る遠隔指示検証処理に関連する処理を示すフローチャートである。

ステップＳ１０において、車載システム１０の遠隔指示受信部１１は、遠隔指示ＩＮＳ（偽装遠隔指示ＩＮＳ－Ｆの可能性もある）を受信する。遠隔指示ＩＮＳを受信すると、遠隔指示受信部１１は、トリガ信号ＴＲＧを遠隔指示検証部１００に送信する。その後、処理は、ステップＳ１００に進む。

尚、受信した遠隔指示ＩＮＳが車両１の電源ＯＮを指示する場合、車両制御部１２は、一時的に車両１の電源をＯＮしてもよい。その場合、車両制御部１２は、遠隔指示検証処理の結果が判明するまでは、他の処理を行うことなく待機する。

ステップＳ１００において、遠隔指示検証部１００は、トリガ信号ＴＲＧを受け取る。トリガ信号ＴＲＧに応答して、遠隔指示検証部１００は、車載システム１０が受信した遠隔指示ＩＮＳが妥当であるか否かを判定する遠隔指示検証処理を行う。遠隔指示検証処理の具体的な手法としては様々な例が考えられる。遠隔指示検証処理の様々な例は後述される。

車載システム１０が受信した遠隔指示ＩＮＳが妥当である場合（ステップＳ１００；Ｙｅｓ）、処理は、ステップＳ２００に進む。ステップＳ２００において、遠隔指示検証部１００は、遠隔指示ＩＮＳが妥当である旨を車載システム１０の車両制御部１２に通知する。車両制御部１２は、通常通り、受信した遠隔指示ＩＮＳに従って車両１を制御する。

一方、車載システム１０が受信した遠隔指示ＩＮＳが妥当ではない場合、すなわち、受信した遠隔指示ＩＮＳが偽装遠隔指示ＩＮＳ－Ｆであると判定された場合（ステップＳ１００；Ｎｏ）、処理は、ステップＳ３００に進む。

ステップＳ３００において、遠隔指示検証部１００は、「動作制限処理」を行う。動作制限処理は、受信した遠隔指示ＩＮＳに従うことなく車両１の動作の少なくとも一部を制限する処理である。より詳細には、遠隔指示検証部１００は、動作制限信号ＬＭＴを車両制御部１２に送信する。動作制限信号ＬＭＴは、受信した遠隔指示ＩＮＳに従うことなく車両１の動作の少なくとも一部を制限することを指示する。動作制限信号ＬＭＴは、制限すべき車両１の動作の内容を含んでいてもよい。車両制御部１２は、動作制限信号ＬＭＴに従って車両１の動作の少なくとも一部を制限する。動作制限処理の例は次の通りである。

動作制限処理の第１の例は、車両１の電源をＯＦＦすることである。偽装遠隔指示ＩＮＳ－Ｆが車両１の電源ＯＮを指示していた場合、車両制御部１２は、一時的に車両１の電源をＯＮする。その後、電源ＯＦＦを指示する動作制限信号ＬＭＴを受け取ると、車両制御部１２は、即座に車両１の電源をＯＦＦし、車両１を動作不可能にする。これにより、車両１の盗難や事故発生が防止される。

動作制限処理の第２の例は、車両１の移動（走行）を禁止することである。偽装遠隔指示ＩＮＳ－Ｆが車両１の自動走行を指示していたとしても、車両制御部１２は、車両１を一切移動させない。これにより、車両１の盗難や事故発生が防止される。尚、車両１の移動が禁止されている間、車両１に搭載された各種装置への電力供給は継続していてもよい。

動作制限処理の第３の例は、車両１の移動（走行）を禁止しながら、車両１から警報を出すことである。例えば、車両制御部１２は、車両１のライト（例：ヘッドライト、ハザードランプ）を点灯あるいは点滅させる。他の例として、車両制御部１２は、車両１のホーン（クラクション）を鳴動させてもよい。これにより、車両１の盗難や事故発生が防止されると共に、車両１の周囲への注意喚起が行われる。

動作制限処理の第４の例は、車両１のドアのアンロックを禁止することである。これにより、車両１の内部に侵入されることが防止される。

動作制限処理の第５の例は、車両１が走行している最中に偽装遠隔指示ＩＮＳ－Ｆが受信された場合に関する。具体的には、動作制限処理の第５の例は、車両１を即座に減速して停止させることである。これにより、事故発生が抑制される。

動作制限処理の第１～第５の例のうち２以上の組み合わせも可能である。

ステップＳ４００において、遠隔指示検証部１００は、異常検知を管理システム２に通知する。管理システム２は、ユーザ端末３に異常検知を通知する。

以上に説明されたように、本実施の形態によれば、車両１が遠隔指示ＩＮＳを受信した場合、遠隔指示検証処理が行われ、その遠隔指示ＩＮＳが妥当であるか否かが判定される。車両１が受信した遠隔指示ＩＮＳが妥当ではない場合、その遠隔指示ＩＮＳに従うことなく車両１の動作の少なくとも一部を制限する動作制限処理が行われる。これにより、遠隔指示ＩＮＳに従って動作する車両１の機能が悪用されることが抑制される。つまり、車両１が偽装遠隔指示者Ｘによって乗っ取られることが抑制される。その結果、例えば、車両１の盗難や事故発生が抑制される。

以下、本実施の形態に係る遠隔指示検証処理（ステップＳ１００）の様々な例について説明する。

３－１．エリア検証処理
基本的に、管理システム２が車両１に遠隔指示ＩＮＳを送信するのは、車両１が所定エリアＡＲ内にいるときである。車両１が所定エリアＡＲの外にいるとき、管理システム２が車両１に遠隔指示ＩＮＳを送信することはない。例えば、自動バレー駐車に対応したＡＶＰ車両１Ａ（図３参照）は、駐車場においては遠隔指示ＩＮＳに従って動作するが、駐車場外においてはユーザによって運転される。駐車場外において、ＡＶＰ車両１Ａが管理システム２から遠隔指示ＩＮＳを受け取ることはない。もし、車両１が所定エリアＡＲの外にいるときに遠隔指示ＩＮＳを受け取った場合、その遠隔指示ＩＮＳは、管理システム２から送信された正当なものではなく、偽装遠隔指示ＩＮＳ－Ｆである可能性が高い。

以上の観点から、遠隔指示検証処理の一例として、車両１が遠隔指示ＩＮＳを受信したときに車両１が所定エリアＡＲ内に存在しているか否かを判定することが考えられる。車両１が遠隔指示ＩＮＳを受信したときに車両１が所定エリアＡＲ内に存在しているか否かを判定する処理を、以下、「エリア検証処理」と呼ぶ。

図９に示されるように、遠隔指示検証部１００は、エリア検証部１１０を含んでいる。エリア検証部１１０は、トリガ信号ＴＲＧに応答してエリア検証処理を行う。車両１が遠隔指示ＩＮＳを受信したときに車両１が所定エリアＡＲ内に存在していない場合、エリア検証部１１０は、受信した遠隔指示ＩＮＳは妥当ではないと判定する。

図１０は、エリア検証処理の様々な例を説明するための概念図である。

３－１－１．第１の例
エリア検証処理の第１の例は、所定エリアＡＲ内に配置されているランドマークＭを車両１の位置から認識可能か否かを判定することである。車両１の位置からランドマークＭを認識することができない場合、エリア検証部１１０は、車両１が所定エリアＡＲ内に存在していないと判定する。

例えば、車両１（車載システム１０）は、車両１に搭載されたカメラ等の認識センサを用いることによって、車両１の周辺のランドマークＭを認識するように構成されている。車載システム１０に含まれているエリア検証部１１０は、車載システム１０が車両１の周辺のランドマークＭを認識するかどうかを判定する。車載システム１０がランドマークＭを認識しない場合、エリア検証部１１０は、車両１の位置からランドマークＭを認識することができないと判定する。すなわち、エリア検証部１１０は、車両１が所定エリアＡＲ内に存在していないと判定する。

他の例として、車両１（車載システム１０）は、車両１に搭載されたカメラによって取得される画像情報を、管理システム２に送信する。管理システム２は、車両１から受け取る画像情報に基づいて、車両１の周辺のランドマークＭを認識するように構成される。管理システム２に含まれているエリア検証部１１０は、管理システム２が車両１の周辺のランドマークＭを認識するかどうかを判定する。管理システム２がランドマークＭを認識しない場合、エリア検証部１１０は、車両１の位置からランドマークＭを認識することができないと判定する。すなわち、エリア検証部１１０は、車両１が所定エリアＡＲ内に存在していないと判定する。

３－１－２．第２の例
エリア検証処理の第２の例は、車両１の位置情報と地図情報とを対比することである。地図情報には、所定エリアＡＲの位置が登録されている。よって、車両１の位置情報と地図情報とを対比することによって、車両１が所定エリアＡＲ内に存在しているか否かを判定することができる。

例えば、車載システム１０は、ＧＰＳ等の位置センサを用いて車両１の位置情報を取得する。あるいは、車載システム１０は、ローカライズ処理を行って車両１の位置情報を取得する。車載システム１０に含まれているエリア検証部１１０は、車両１の位置情報を取得し、車両１の位置情報と地図情報とを対比することによって、車両１が所定エリアＡＲ内に存在しているか否かを判定する。

他の例として、車載システム１０は、車両１の位置情報を管理システム２に送信する。管理システム２は、車載システム１０から車両１の位置情報を取得する。管理システム２に含まれているエリア検証部１１０は、車両１の位置情報を取得し、車両１の位置情報と地図情報とを対比することによって、車両１が所定エリアＡＲ内に存在しているか否かを判定する。

３－１－３．第３の例
車両１（車載システム１０）と所定エリアＡＲに設置された通信装置５は、特定の通信方式に従って通信を行うように構成される。例えば、図３に示された自動バレー駐車の場合、駐車場管制センター２Ｂが通信装置５に相当し、駐車場内のＡＶＰ車両１Ａと駐車場管制センター２Ｂが特定の通信方式に従って通信を行う。特定の通信方式は、例えば、ＷｉＦｉ（登録商標）、Ｂｌｕｅｔｏｏｔｈ（登録商標）、等の近距離無線通信方式である。

エリア検証処理の第３の例は、車両１（車載システム１０）と所定エリアＡＲに設置された通信装置５との間で通信が確立するか否かを判定することである。車両１（車載システム１０）と通信装置５との間で通信が確立しない場合、エリア検証部１１０は、車両１が所定エリアＡＲ内に存在していないと判定する。このエリア検証部１１０は、車載システム１０に含まれていてもよいし、管理システム２に含まれる通信装置５に含まれていてもよい。

３－１－４．処理フロー
図１１は、エリア検証部１１０によるエリア検証処理を要約的に示すフローチャートである。エリア検証部１１０は、車載システム１０に含まれていてもよいし、管理システム２に含まれていてもよい。あるいは、エリア検証部１１０は、車載システム１０と管理システム２に分散していてもよい。

ステップＳ１１０において、エリア検証部１１０は、車両１が所定エリアＡＲ内に存在しているか否かを判定する。車両１が所定エリアＡＲに存在している場合（ステップＳ１１０；Ｙｅｓ）、エリア検証部１１０は、受信した遠隔指示ＩＮＳは妥当であると判定する（ステップＳ１１１）。一方、車両１が所定エリアＡＲ内に存在していない場合（ステップＳ１１０；Ｎｏ）、エリア検証部１１０は、受信した遠隔指示ＩＮＳは妥当ではないと判定する（ステップＳ１１２）。

３－１－５．効果
以上に説明されたエリア検証処理によれば、図５で示された課題を解決することが可能となる。すなわち、所定エリアＡＲ外にいる車両１が偽装遠隔指示者Ｘによって乗っ取られることを抑制することが可能となる。

３－２．発信元検証処理
遠隔指示検証処理の他の例として、管理システム２が車両１に遠隔指示ＩＮＳを実際に送信したか否かを確認することが考えられる。管理システム２が車両１に遠隔指示ＩＮＳを実際に送信したか否かを確認する処理を、以下、「発信元検証処理」と呼ぶ。

図１２に示されるように、遠隔指示検証部１００は、発信元検証部１２０を含んでいる。発信元検証部１２０は、トリガ信号ＴＲＧに応答して発信元検証処理を行う。管理システム２が車両１に遠隔指示ＩＮＳを実際に送信していなかった場合、発信元検証部１２０は、受信した遠隔指示ＩＮＳは妥当ではないと判定する。

図１３は、発信元検証処理の一例を説明するための概念図である。発信元検証部１２０は、車載システム１０と管理システム２に分散している。車載システム１０側の発信元検証部１２０は、トリガ信号ＴＲＧに応答して、問い合わせ情報ＩＮＱを管理システム２に送信する。問い合わせ情報ＩＮＱは、本当に遠隔指示ＩＮＳを車両１に送信したかを問い合わせる情報である。問い合わせ情報ＩＮＱを受け取った管理システム２側の発信元検証部１２０は、管理システム２が問い合わせ元の車両１に遠隔指示ＩＮＳを本当に送信したか否かを確認する。そして、管理システム２側の発信元検証部１２０は、確認結果を示すリプライ情報ＲＥＰを車載システム１０に返信する。リプライ情報ＲＥＰが遠隔指示ＩＮＳの送信事実が無いことを示している場合、車載システム１０側の発信元検証部１２０は、受信した遠隔指示ＩＮＳは妥当ではないと判定する。

他の例として、遠隔指示ＩＮＳの送信事実が無い場合、管理システム２側の発信元検証部１２０が、遠隔指示ＩＮＳは妥当ではないと判定し、動作制限信号ＬＭＴを生成してもよい。この場合、管理システム２から車載システム１０に送信されるリプライ情報ＲＥＰに動作制限信号ＬＭＴが含まれている。車載システム１０の車両制御部１２は、動作制限信号ＬＭＴに従って動作制限処理を行う。

図１４は、発信元検証部１２０による発信元検証処理を要約的に示すフローチャートである。発信元検証部１２０は、車載システム１０と管理システム２に分散している。

ステップＳ１２０において、車載システム１０側の発信元検証部１２０は、問い合わせ情報ＩＮＱを管理システム２に送信する。ステップＳ１２１において、管理システム２側の発信元検証部１２０は、管理システム２が実際に遠隔指示ＩＮＳを車両１に送信したか否かを確認する。管理システム２が実際に遠隔指示ＩＮＳを送信していた場合（ステップＳ１２１；Ｙｅｓ）、発信元検証部１２０は、受信した遠隔指示ＩＮＳは妥当であると判定する（ステップＳ１２２）。一方、管理システム２が実際に遠隔指示ＩＮＳを送信していなかった場合（ステップＳ１２１；Ｎｏ）、発信元検証部１２０は、受信した遠隔指示ＩＮＳは妥当ではないと判定する（ステップＳ１２３）。

以上に説明された発信元検証処理によれば、図５で示された課題だけでなく、図６で示された課題も解決することが可能となる。すなわち、所定エリアＡＲ内外にかかわらず、車両１が偽装遠隔指示者Ｘによって乗っ取られることを抑制することが可能となる。

３－３．認識結果検証処理
上述の通り、所定エリアＡＲにはランドマークＭが配置されている。車両１（車載システム１０）は、車両１に搭載されたカメラ等の認識センサを用いることによって、車両１の周辺のランドマークＭを認識する。あるいは、車両１（車載システム１０）は、車両１に搭載されたカメラによって取得される画像情報を、管理システム２に送信する。そして、管理システム２が、車両１から受け取る画像情報に基づいて、車両１の周辺のランドマークＭを認識する。

上記のセクション３－１－１で説明されたように、車両１の位置からランドマークＭを認識することができるか否かに基づいて、遠隔指示ＩＮＳが妥当であるか否かを判定することが考えられる。但し、偽装遠隔指示者ＸがランドマークＭも偽造し、偽造したランドマークＭを車両１に認識させることも考えられる。

以上の観点から、遠隔指示検証処理の更に他の例として、車両１の位置から認識されるランドマークＭ自体が妥当であるか否かを判定することが考えられる。車両１の位置から認識されるランドマークＭ自体が妥当であるか否かを判定する処理を、以下、「認識結果検証処理」と呼ぶ。

図１５に示されるように、遠隔指示検証部１００は、認識結果検証部１３０を含んでいる。認識結果検証部１３０は、車載システム１０に含まれていてもよいし、管理システム２に含まれていてもよい。あるいは、認識結果検証部１３０は、車載システム１０と管理システム２に分散していてもよい。

図１６は、認識結果検証処理の一例を説明するための概念図である。ここでは、遠隔指示ＩＮＳが車両１の電源ＯＮを指示するものである場合を考える。

「参照ランドマークＭＲ」は、車両１の電源がＯＦＦされる直前に車両１の位置から認識されるランドマークＭである。「参照情報ＲＥＦ」は、参照ランドマークＭＲに相当する情報である。例えば、参照情報ＲＥＦは、参照ランドマークＭＲの識別情報を含む。他の例として、参照情報ＲＥＦは、参照ランドマークＭＲの位置情報を含んでいてもよい。更に他の例として、参照情報ＲＥＦは、参照ランドマークＭＲが認識されたときの車両１の位置及び方位を含んでいてもよい。ランドマークＭの地図情報と車両１の位置及び方位に基づいて、当該車両１から認識され得る参照ランドマークＭＲを特定することができるからである。

車両１の電源がＯＦＦされる直前、認識結果検証部１３０は、参照情報ＲＥＦを取得し、参照情報ＲＥＦを所定の記憶装置６に格納する。所定の記憶装置６は、車両１に搭載されていてもよいし、管理システム２に含まれていてもよい。例えば、車載システム１０に含まれる認識結果検証部１３０が、車載システム１０から参照情報ＲＥＦを取得し、車両１に搭載された所定の記憶装置６に参照情報ＲＥＦを格納する。他の例として、車載システム１０に含まれる認識結果検証部１３０が参照情報ＲＥＦを管理システム２に送信し、管理システム２に含まれる認識結果検証部１３０が参照情報ＲＥＦを管理システム２の所定の記憶装置６に格納してもよい。更に他の例として、管理システム２に含まれる認識結果検証部１３０が管理システム２から参照情報ＲＥＦを取得し、管理システム２の所定の記憶装置６に参照情報ＲＥＦを格納してもよい。

その後、車載システム１０は、車両１の電源ＯＮを指示する遠隔指示ＩＮＳを受信する。認識結果検証部１３０は、トリガ信号ＴＲＧに応答して認識結果検証処理を行う。「最新ランドマークＭＬ」は、電源ＯＮ後に車両１の位置から最初に認識されるランドマークＭである。認識結果検証部１３０は、車載システム１０あるいは管理システム２から最新ランドマークＭＬの情報を取得する。最新ランドマークＭＬの情報は、最新ランドマークＭＬの位置情報及び識別情報の少なくとも一方を含む。

更に、認識結果検証部１３０は、所定の記憶装置６から上述の参照情報ＲＥＦを読み出す。認識結果検証部１３０は、読み出した参照情報に基づいて、参照ランドマークＭＲの情報を取得する。参照ランドマークＭＲの情報は、参照ランドマークＭＲの位置情報及び識別情報の少なくとも一方を含む。そして、認識結果検証部１３０は、最新ランドマークＭＬと参照ランドマークＭＲが一致するか否かを判定する。最新ランドマークＭＬと参照ランドマークＭＲが一致しない場合、認識結果検証部１３０は、受信した遠隔指示ＩＮＳは妥当ではないと判定する。

また、最新ランドマークＭＬと参照ランドマークＭＲが一致しない場合、認識結果検証部１３０は、車両１の電源がＯＦＦされている期間に車両１が意図せず移動されたと判断することもできる。つまり、車両１の電源がＯＦＦされている期間における異常発生（例：盗難）を検知することができる。

図１７は、認識結果検証部１３０による認識結果検証処理を要約的に示すフローチャートである。認識結果検証部１３０は、車載システム１０に含まれていてもよいし、管理システム２に含まれていてもよい。あるいは、認識結果検証部１３０は、車載システム１０と管理システム２に分散していてもよい。

ステップＳ１３０において、認識結果検証部１３０は、電源ＯＮ後に車両１の位置から最初に認識される最新ランドマークＭＬに関する情報を取得する。ステップＳ１３１において、認識結果検証部１３０は、参照情報ＲＥＦに基づいて、最新ランドマークＭＬと参照ランドマークＭＲが一致するか否かを判定する。最新ランドマークＭＬと参照ランドマークＭＲが一致する場合（ステップＳ１３１；Ｙｅｓ）、認識結果検証部１３０は、受信した遠隔指示ＩＮＳは妥当であると判定する（ステップＳ１３２）。一方、最新ランドマークＭＬと参照ランドマークＭＲが一致しない場合（ステップＳ１３１；Ｎｏ）、認識結果検証部１３０は、受信した遠隔指示ＩＮＳは妥当ではないと判定する（ステップＳ１３３）。

以上に説明された認識結果検証処理によれば、図５で示された課題だけでなく、図６で示された課題も解決することが可能となる。すなわち、所定エリアＡＲ内外にかかわらず、車両１が偽装遠隔指示者Ｘによって乗っ取られることを抑制することが可能となる。更に、車両１の電源がＯＦＦされている期間における異常発生（例：盗難）を検知することも可能となる。

３－４．組み合わせ
遠隔指示検証処理は、上述のエリア検証処理、発信元検証処理、及び認識結果検証処理のうち２種類以上を含んでいてもよい。つまり、遠隔指示検証部１００は、エリア検証部１１０、発信元検証部１２０、及び認識結果検証部１３０のうち２以上を含んでいてもよい。遠隔指示検証部１００は、エリア検証部１１０、発信元検証部１２０、及び認識結果検証部１３０のうち２以上は、並列的に作動してもよいし、直列的に作動してもよい。エリア検証部１１０、発信元検証部１２０、及び認識結果検証部１３０のうち少なくともいずれかが遠隔指示ＩＮＳは妥当ではないと判定した場合、遠隔指示検証部１００は遠隔指示ＩＮＳは妥当ではないと判定する。

エリア検証処理、発信元検証処理、及び認識結果検証処理のうち２種類以上の組み合わせにより、遠隔指示検証処理の精度が更に向上する。

３－５．効果
以上に説明されたように、本実施の形態によれば、車両１が遠隔指示ＩＮＳを受信した場合、遠隔指示検証処理が行われ、その遠隔指示ＩＮＳが妥当であるか否かが判定される。車両１が受信した遠隔指示ＩＮＳが妥当ではない場合、その遠隔指示ＩＮＳに従うことなく車両１の動作の少なくとも一部を制限する動作制限処理が行われる。これにより、遠隔指示ＩＮＳに従って動作する車両１の機能が悪用されることが抑制される。つまり、車両１が偽装遠隔指示者Ｘによって乗っ取られることが抑制される。その結果、例えば、車両１の盗難や事故発生が抑制される。

４．車両制御システム
本実施の形態に係る車両制御システム（移動体制御システム）は、上述の遠隔指示検証部１００を含んでいる。

例えば、遠隔指示検証部１００は、車両１の車載システム１０に含まれている。この場合、車両１の車載システム１０が車両制御システムに相当する。

他の例として、遠隔指示検証部１００は、管理システム２に含まれていてもよい。この場合、管理システム２が車両制御システムに相当する。

更に他の例として、遠隔指示検証部１００は、車載システム１０と管理システム２に分散されていてもよい。この場合、管理システム２と車載システム１０の組み合わせが車両制御システムに相当する。

５．車載システムの例
５－１．構成例
図１８は、本実施の形態に係る車載システム１０の構成例を示すブロック図である。車載システム１０は、センサ群２０、走行装置３０、ライト／ホーン４０、通信装置５０、及び制御装置６０を含んでいる。

センサ群２０は、認識センサ２１、車両状態センサ２２、位置センサ２３、等を含んでいる。

認識センサ２１は、車両１の周囲の状況を認識（検出）する。認識センサ２１は、カメラＣを含んでいる。カメラＣは、車両１の周囲の状況を示す画像情報を取得する。認識センサ２１は、ＬＩＤＡＲ（Laser Imaging Detection and Ranging）、レーダ、等を含んでいてもよい。

車両状態センサ２２は、車両１の状態を検出する。例えば、車両状態センサ２２は、速度センサ（車輪速センサ）、加速度センサ、ヨーレートセンサ、舵角センサ、等を含んでいる。

位置センサ２３は、車両１の位置及び方位を検出する。位置センサ２３としては、ＧＰＳ（Global Positioning System）センサが例示される。

走行装置３０は、操舵装置、駆動装置、及び制動装置を含んでいる。操舵装置は、車輪を転舵する。例えば、操舵装置は、パワーステアリング（EPS: Electric Power Steering）装置を含んでいる。駆動装置は、駆動力を発生させる動力源である。駆動装置としては、エンジン、電動機、インホイールモータ、等が例示される。制動装置は、制動力を発生させる。

ライト／ホーン４０は、ライト及びホーンを含んでいる。ライトとしては、ヘッドライトやハザードランプが例示される。

通信装置５０は、車両１の外部と通信を行う。例えば、通信装置５０は、管理システム２と通信を行う。他の例として、通信装置５０は、所定エリアＡＲに設置された通信装置５（図１０参照）と通信を行う。所定エリアＡＲに設置された通信装置５との通信は、特定の通信方式により行われる。特定の通信方式は、例えば、ＷｉＦｉ（登録商標）、Ｂｌｕｅｔｏｏｔｈ（登録商標）、等の近距離無線通信方式である。

制御装置６０は、車両１を制御するコンピュータである。制御装置６０は、１又は複数のプロセッサ７０（以下、単にプロセッサ７０と呼ぶ）と１又は複数の記憶装置８０（以下、単に記憶装置８０と呼ぶ）を含んでいる。プロセッサ７０は、各種処理を実行する。例えば、プロセッサ７０は、ＣＰＵ（Central Processing Unit）を含んでいる。記憶装置８０は、各種情報を格納する。記憶装置８０としては、揮発性メモリ、不揮発性メモリ、ＨＤＤ（Hard Disk Drive）、ＳＳＤ（Solid State Drive）、等が例示される。制御装置６０は、１又は複数のＥＣＵ（Electronic Control Unit）を含んでいてもよい。

車両制御プログラムＰＲＯＧは、車両１を制御するためのコンピュータプログラムである。プロセッサ７０が車両制御プログラムＰＲＯＧを実行することにより、制御装置６０による各種処理が実現される。車両制御プログラムＰＲＯＧは、記憶装置８０に格納される。あるいは、車両制御プログラムＰＲＯＧは、コンピュータ読み取り可能な記録媒体に記録されてもよい。

５－２．運転環境情報
制御装置６０は、車両１の運転環境を示す運転環境情報９０を取得する。運転環境情報９０は、記憶装置８０に格納される。

図１９は、運転環境情報９０の例を示すブロック図である。運転環境情報９０は、地図情報９１、周辺状況情報９２、車両状態情報９６、及び車両位置情報９７を含んでいる。

地図情報９１は、一般的なナビゲーション地図を含む。地図情報９１は、レーン配置や道路形状を示していてもよい。地図情報９１は、構造物、信号機、標識、等の位置情報を含んでいてもよい。更に、地図情報９１には、所定エリアＡＲ（例：駐車場）の位置が登録されている。地図情報９１は、所定エリアＡＲ内の地図情報を含んでいてもよい。地図情報９１は、所定エリアＡＲに配置されている各ランドマーク（マーカ）Ｍの位置及び識別情報を含んでいてもよい。制御装置６０は、地図データベースから地図情報９１を取得する。地図データベースは、記憶装置８０に格納されていてもよいし、管理システム２に格納されていてもよい。後者の場合、制御装置６０は、通信装置５０を介して管理システム２と通信を行い、必要な地図情報９１を取得する。

周辺状況情報９２は、車両１の周囲の状況を示す情報である。制御装置６０は、認識センサ２１を用いて車両１の周囲の状況を認識し、周辺状況情報９２を取得する。例えば、周辺状況情報９２は、カメラＣによって取得される画像情報９３を含む。他の例として、周辺状況情報９２は、ＬＩＤＡＲによって得られる点群情報を含む。

周辺状況情報９２は、更に、車両１の周囲の物体に関する物体情報９４を含んでいる。物体としては、歩行者、自転車、二輪車、他車両（先行車両、駐車車両、等）、ランドマークＭ、白線、信号機、標識、構造物、障害物、等が例示される。物体情報９４は、車両１に対する物体の相対位置及び相対速度を示す。例えば、カメラＣによって得られた画像情報９３を解析することによって、物体を識別し、その物体の相対位置を算出することができる。例えば、制御装置６０は、機械学習により得られた画像認識ＡＩを利用して、画像情報９３の中の物体を識別する。また、ＬＩＤＡＲによって得られた点群情報に基づいて、物体を識別し、その物体の相対位置と相対速度を取得することもできる。

特に、ランドマーク情報９５は、車両１の周囲のランドマークＭに関する物体情報９４である。制御装置６０は、認識センサ２１を用いることによって、車両１の周囲のランドマークＭを認識する。例えば、制御装置６０は、機械学習により得られた画像認識ＡＩを利用して、画像情報９３の中のランドマークＭを識別する。ランドマーク情報９５は、車両１に対するランドマークＭの相対位置を含んでいる。ランドマーク情報９５は、認識されたランドマークＭの識別情報を含んでいてもよい。

車両状態情報９６は、車両１の状態を示す情報であり、車速（車輪速）、加速度、ヨーレート、舵角、等を含む。制御装置６０は、車両状態センサ２２から車両状態情報９６を取得する。車両状態情報９６は、車両１の運転状態（自動運転／手動運転）を示していてもよい。

車両位置情報９７は、車両１の位置及び方位を示す情報である。制御装置６０は、位置センサ２３による検出結果から車両位置情報９７を取得する。また、制御装置６０は、周知のローカライズ処理（Localization）により、高精度な車両位置情報９７を取得してもよい。具体的には、制御装置６０は、車両状態センサ２２によって得られる車輪速及び舵角に基づいて車両１の移動量を算出し、それにより、車両位置を大まかに算出する。更に、制御装置６０は、地図情報９１で示されるランドマークＭの位置とランドマーク情報９５で示されるランドマークＭの認識位置とを照らし合わせることによって、車両位置を補正する。移動量の算出と車両位置の補正を繰り返すことによって、高精度な車両位置情報９７を継続的に得ることができる。

５－３．車両走行制御、自動運転制御
制御装置６０は、車両１の走行を制御する「車両走行制御」を実行する。車両走行制御は、操舵制御、加速制御、及び減速制御を含む。制御装置６０は、走行装置３０を制御することによって車両走行制御を実行する。具体的には、制御装置６０は、操舵装置を制御することによって操舵制御を実行する。また、制御装置６０は、駆動装置を制御することによって加速制御を実行する。また、制御装置６０は、制動装置を制御することによって減速制御を実行する。

また、制御装置６０は、運転環境情報９０に基づいて自動運転制御を行ってもよい。より詳細には、制御装置６０は、運転環境情報９０に基づいて、車両１の走行プランを生成する。走行プランは、現在の走行車線を維持する、車線変更を行う、右左折を行う、障害物を回避する、等が例示される。更に、制御装置６０は、運転環境情報９０に基づいて、車両１が走行プランに従って走行するために必要な目標トラジェクトリを生成する。目標トラジェクトリは、目標位置及び目標速度を含んでいる。そして、制御装置６０は、車両１が目標トラジェクトリに追従するように車両走行制御を行う。

５－４．ライト制御、ホーン制御
制御装置６０は、ライト／ホーン４０を制御する。例えば、制御装置６０は、車両１のライト点灯あるいは点滅させる。他の例として、制御装置６０は、車両１のホーンを鳴動させる。

５－５．通信処理
制御装置６０は、通信装置５０を介して車両１の外部と通信を行う。例えば、制御装置６０は、通信装置５０を介して管理システム２と通信を行う。他の例として、制御装置６０は、通信装置５０を介して、所定エリアＡＲ内の通信装置５（図１０参照）と通信を行う。

５－６．遠隔指示に従った車両制御
制御装置６０は、管理システム２から送信される遠隔指示ＩＮＳを受信する。制御装置６０は、基本的に、受信した遠隔指示ＩＮＳに従って車両１を制御する。例えば、遠隔指示ＩＮＳは、車両１の電源をＯＮあるいはＯＦＦすることを指示する。他の例として、遠隔指示ＩＮＳは、車両走行制御、すなわち、操舵、加速、及び減速のうち少なくとも一つを指示してもよい。更に他の例として、遠隔指示ＩＮＳは、自動運転制御を指示してもよい。更に他の例として、遠隔指示ＩＮＳは、認識センサ２１を用いて車両１の周囲の状況を認識することを指示してもよい。更に他の例として、遠隔指示ＩＮＳは、車両１のドアのロックあるいはアンロックを指示してもよい。

尚、図２等で示されたように、車載システム１０は、機能ブロックとして、遠隔指示受信部１１及び車両制御部１２を含んでいる。遠隔指示受信部１１は、通信装置５０により実現される。車両制御部１２は、制御装置６０により実現される。

５－７．遠隔指示検証処理
制御装置６０は、上記セクション３で説明された遠隔指示検証処理を行ってもよい。つまり、制御装置６０は、遠隔指示検証部１００の機能を備えていてもよい。

５－７－１．エリア検証処理
制御装置６０は、上記セクション３－１で説明されたエリア検証処理を行ってもよい。つまり、制御装置６０は、エリア検証部１１０の機能を備えていてもよい。

第１の例（セクション３－１－１参照）において、制御装置６０は、ランドマーク情報９５に基づいて、車両１の位置からランドマークＭを認識可能か否かを判定する。

第２の例（セクション３－１－２参照）において、制御装置６０は、地図情報９１と車両位置情報９７に基づいて、車両１が所定エリアＡＲ内に存在しているか否かを判定する。

第３の例（セクション３－１－３参照）において、制御装置６０は、通信装置５０を介して、所定エリアＡＲに設置された通信装置５との通信が確立するか否かを判定する。

５－７－２．発信元検証処理
制御装置６０は、上記セクション３－２で説明された発信元検証処理を行ってもよい。つまり、制御装置６０は、発信元検証部１２０の機能を備えていてもよい。具体的には、制御装置６０は、通信装置５０を介して、問い合わせ情報ＩＮＱを管理システム２に送信する。また、制御装置６０は、通信装置５０を介して、リプライ情報ＲＥＰを管理システム２から受信する。

５－７－３．認識結果検証処理
制御装置６０は、上記セクション３－３で説明された認識結果検証処理を行ってもよい。つまり、制御装置６０は、認識結果検証部１３０の機能を備えていてもよい。具体的には、制御装置６０は、ランドマーク情報９５に基づいて、参照ランドマークＭＲに相当する参照情報ＲＥＦを取得する。参照情報ＲＥＦは、例えば、記憶装置８０に格納される。また、制御装置６０は、ランドマーク情報９５に基づいて、最新ランドマークＭＬに関する情報を取得する。そして、制御装置６０は、最新ランドマークＭＬと参照ランドマークＭＲが一致するか否かを判定する。

５－８．動作制限処理
制御装置６０は、上記セクション３で説明された動作制限処理を行う。具体的には、制御装置６０は、遠隔指示検証処理の結果に応じて動作制限信号ＬＭＴを生成する。そして、制御装置６０は、動作制限信号ＬＭＴに基づいて、遠隔指示ＩＮＳに従うことなく車両１の動作の少なくとも一部を制限する。

６．管理システムの例
６－１．構成例
図２０は、本実施の形態に係る管理システム２の構成例を示すブロック図である。管理システム２は、通信装置２１０、１又は複数のプロセッサ２２０（以下、単にプロセッサ２２０と呼ぶ）、及び１又は複数の記憶装置２３０（以下、単に記憶装置２３０と呼ぶ）を含んでいる。

通信装置２１０は、通信ネットワークを介して外部と通信を行う。例えば、通信装置２１０は、車両１の車載システム１０と通信を行う。通信装置２１０は、所定エリアＡＲに設置された通信装置５（図１０参照）を含んでいてもよい。所定エリアＡＲに設置された通信装置５は、特定の通信方式によって車両１の車載システム１０と通信を行う。特定の通信方式は、例えば、ＷｉＦｉ（登録商標）、Ｂｌｕｅｔｏｏｔｈ（登録商標）、等の近距離無線通信方式である。

プロセッサ２２０は、各種処理を実行する。例えば、プロセッサ２２０は、ＣＰＵを含んでいる。記憶装置２３０は、各種情報を格納する。記憶装置２３０としては、揮発性メモリ、不揮発性メモリ、ＨＤＤ、ＳＳＤ、等が例示される。

管理プログラム２４０は、プロセッサ２２０によって実行されるコンピュータプログラムである。プロセッサ２２０が管理プログラム２４０を実行することにより、管理システム２の機能が実現される。管理プログラム２４０は、記憶装置２３０に格納される。あるいは、管理プログラム２４０は、コンピュータ読み取り可能な記録媒体に記録されてもよい。管理プログラム２４０は、ネットワーク経由で提供されてもよい。

６－２．各種情報
地図情報２５０は、上述の地図情報９１と同様である。地図情報２５０は、一般的なナビゲーション地図を含む。地図情報２５０は、レーン配置や道路形状を示していてもよい。地図情報２５０は、構造物、信号機、標識、等の位置情報を含んでいてもよい。更に、地図情報２５０には、所定エリアＡＲ（例：駐車場）の位置が登録されている。地図情報２５０は、所定エリアＡＲ内の地図情報を含んでいてもよい。地図情報２５０は、所定エリアＡＲに配置されている各ランドマーク（マーカ）Ｍの位置及び識別情報を含んでいてもよい。地図情報２５０は、予め記憶装置２３０に格納される。

車両情報２６０は、車両１の車載システム１０から送信される情報である。例えば、車両情報２６０は、車両１に搭載されたカメラＣによって取得された画像情報９３を含んでいる。他の例として、車両情報２６０は、認識センサ２１によって認識されたランドマークＭに関するランドマーク情報９５を含んでいてもよい。更に他の例として、車両情報２６０は、車両１の位置を示す車両位置情報９７を含んでいてもよい。プロセッサ２２０は、通信装置２１０を介して車載システム１０から車両情報２６０を取得し、取得した車両情報２６０を記憶装置２３０に格納する。

管理情報２７０は、管理システム２による管理に用いられる情報である。例えば、管理情報２７０は、管理システム２によって管理されるサービスに関するサービス情報を含む。サービス情報は、例えば、サービスの利用状況を含む。他の例として、管理情報２７０は、サービスのユーザに関するユーザ情報を含んでいてもよい。

６－３．ランドマーク認識処理
プロセッサ２２０は、車両情報２６０に含まれる画像情報９３に基づいて、車両１の周辺のランドマークＭを認識することができる。

６－４．遠隔指示発信処理
プロセッサ２２０は、必要に応じて、車両１に対する遠隔指示ＩＮＳを生成する。そして、プロセッサ２２０は、通信装置２１０を介して車載システム１０と通信を行い、遠隔指示ＩＮＳを車載システム１０に送信する。

例えば、図３で示された自動バレー駐車の場合、ＡＶＰ車両１Ａの入庫時あるいは出庫時に、電源ＯＮを指示する遠隔指示ＩＮＳが車載システム１０に送信される。

６－５．遠隔指示検証処理
プロセッサ２２０は、上記セクション３で説明された遠隔指示検証処理を行ってもよい。つまり、プロセッサ２２０は、遠隔指示検証部１００の機能を備えていてもよい。

６－５－１．エリア検証処理
プロセッサ２２０は、上記セクション３－１で説明されたエリア検証処理を行ってもよい。つまり、プロセッサ２２０は、エリア検証部１１０の機能を備えていてもよい。

第１の例（セクション３－１－１参照）において、プロセッサ２２０は、車両情報２６０に含まれる画像情報９３あるいはランドマーク情報９５に基づいて、車両１の位置からランドマークＭを認識可能か否かを判定する。

第２の例（セクション３－１－２参照）において、プロセッサ２２０は、地図情報２５０と車両情報２６０に含まれる車両位置情報９７に基づいて、車両１が所定エリアＡＲ内に存在しているか否かを判定する。

第３の例（セクション３－１－３参照）において、プロセッサ２２０は、通信装置２１０（所定エリアＡＲに設置された通信装置５）を介して、車両１の車載システム１０との通信が確立するか否かを判定する。

６－５－２．発信元検証処理
プロセッサ２２０は、上記セクション３－２で説明された発信元検証処理を行ってもよい。つまり、プロセッサ２２０は、発信元検証部１２０の機能を備えていてもよい。具体的には、プロセッサ２２０は、通信装置２１０を介して車載システム１０から問い合わせ情報ＩＮＱを受け取る。プロセッサ２２０は、自身が車両１に遠隔指示ＩＮＳを実際に送信したか否かを確認する。そして、プロセッサ２２０は、確認結果を示すリプライ情報ＲＥＰを通信装置２１０を介して車載システム１０に返信する。

６－５－３．認識結果検証処理
プロセッサ２２０は、上記セクション３－３で説明された認識結果検証処理を行ってもよい。つまり、プロセッサ２２０は、認識結果検証部１３０の機能を備えていてもよい。具体的には、プロセッサ２２０は、車両情報２６０に含まれる画像情報９３あるいはランドマーク情報９５に基づいて、参照ランドマークＭＲに相当する参照情報ＲＥＦを取得する。参照情報ＲＥＦは、例えば、記憶装置２３０に格納される。また、プロセッサ２２０は、車両情報２６０に含まれる画像情報９３あるいはランドマーク情報９５に基づいて、最新ランドマークＭＬに関する情報を取得する。そして、プロセッサ２２０は、最新ランドマークＭＬと参照ランドマークＭＲが一致するか否かを判定する。

６－６．動作制限処理
プロセッサ２２０は、上記セクション３で説明された動作制限処理を行ってもよい。具体的には、プロセッサ２２０は、遠隔指示検証処理の結果に応じて動作制限信号ＬＭＴを生成する。プロセッサ２２０は、通信装置２１０を介して動作制限信号ＬＭＴを車載システム１０に送信する。動作制限信号ＬＭＴを車載システム１０に送信することによって、車両１の動作を間接的に制限することが可能である。

６－７．確認処理
ここでは、図３で示された自動バレー駐車について考える。ＡＶＰ車両１Ａが駐車場に駐車されている間、管理システム２（車両管理センター２Ａ）は、テスト遠隔指示ＩＮＳ－ＴをＡＶＰ車両１Ａに送信してもよい。テスト遠隔指示ＩＮＳ－Ｔは、駐車中のＡＶＰ車両１Ａの電源ＯＮを指示する。例えば、管理システム２は、テスト遠隔指示ＩＮＳ－Ｔを定期的に送信する。他の例として、管理システム２は、出庫予約時刻の一定時間前にテスト遠隔指示ＩＮＳ－Ｔを送信してもよい。

テスト遠隔指示ＩＮＳ－Ｔに応答して、遠隔指示検証部１００は、セクション３で説明された遠隔指示検証処理を行う。何らかの異常が検知された場合、遠隔指示検証部１００から管理システム２に異常検知が通知される（図８、ステップＳ４００）。これにより、ＡＶＰ車両１Ａにおける異常発生を自発的に検知することが可能となる。

テスト遠隔指示ＩＮＳ－Ｔの送信から一定期間経過しても異常検知が通知されなかった場合、管理システム２は、駐車中のＡＶＰ車両１Ａは正常であると判断する。その場合、管理システム２は、電源ＯＦＦを指示する遠隔指示ＩＮＳをＡＶＰ車両１Ａに送信する。

このように、テスト遠隔指示ＩＮＳ－Ｔを送信することによって、駐車中のＡＶＰ車両１Ａの状態を確認することが可能となる。

１ 車両
２ 管理システム
３ ユーザ端末
１０ 車載システム
１１ 遠隔指示受信部
１２ 車両制御部
２０ センサ群
３０ 走行装置
４０ ライト／ホーン
５０ 通信装置
６０ 制御装置
７０ プロセッサ
８０ 記憶装置
９０ 運転環境情報
１００ 遠隔指示検証部
１１０ エリア検証部
１２０ 発信元検証部
１３０ 認識結果検証部
２１０ 通信装置
２２０ プロセッサ
２３０ 記憶装置
２４０ 管理プログラム
２５０ 地図情報
２６０ 車両情報
２７０ 管理情報
Ｍ ランドマーク
Ｘ 偽装遠隔指示者
ＡＲ 所定エリア
ＩＮＳ 遠隔指示
ＩＮＳ－Ｆ 偽装遠隔指示
ＬＭＴ 動作制限信号
ＴＲＧ トリガ信号

Claims (12)

1. 所定エリアにおいて遠隔指示に従って動作する機能を有する移動体を制御する移動体制御方法であって、
   前記移動体が受信した前記遠隔指示が妥当であるか否かを判定する遠隔指示検証処理と、
   前記移動体が受信した前記遠隔指示が妥当ではない場合、前記遠隔指示に従うことなく前記移動体の動作の少なくとも一部を制限する動作制限処理と
   を含み、
   前記遠隔指示検証処理は、
   前記移動体が前記遠隔指示を受信したときに前記移動体が前記所定エリア内に存在しているか否かを判定することと、
   前記移動体が前記遠隔指示を受信したときに前記移動体が前記所定エリア内に存在していない場合、前記遠隔指示は妥当ではないと判定することと
   を含む
   移動体制御方法。
2. 請求項１に記載の移動体制御方法であって、
   前記動作制限処理は、前記移動体の電源をＯＦＦすることを含む
   移動体制御方法。
3. 請求項１に記載の移動体制御方法であって、
   前記動作制限処理は、前記移動体の移動を禁止することを含む
   移動体制御方法。
4. 請求項３に記載の移動体制御方法であって、
   前記動作制限処理は、前記移動体の前記移動を禁止しながら、前記移動体から警報を出すことを含む
   移動体制御方法。
5. 請求項１に記載の移動体制御方法であって、
   移動中の前記移動体が前記遠隔指示を受信した場合、前記動作制限処理は、前記移動体を停止させることを含む
   移動体制御方法。
6. 請求項１に記載の移動体制御方法であって、
   前記所定エリア内にはランドマークが配置されており、
   前記移動体が前記所定エリア内に存在しているか否かを判定することは、
   前記移動体の位置から前記ランドマークを認識可能か否かを判定することと、
   前記移動体の前記位置から前記ランドマークを認識することができない場合、前記移動体が前記所定エリア内に存在していないと判定することと
   を含む
   移動体制御方法。
7. 請求項１に記載の移動体制御方法であって、
   前記移動体が前記所定エリア内に存在しているか否かを判定することは、
   前記移動体の位置情報を取得することと、
   前記所定エリアの位置が登録された地図情報と前記移動体の前記位置情報とを対比することによって、前記移動体が前記所定エリア内に存在しているか否かを判定することと
   を含む
   移動体制御方法。
8. 請求項１に記載の移動体制御方法であって、
   前記移動体と前記所定エリアに設置された通信装置は、特定の通信方式に従って通信を行うように構成され、
   前記移動体が前記所定エリア内に存在しているか否かを判定することは、
   前記移動体と前記通信装置との間で通信が確立するか否かを判定することと、
   前記移動体と前記通信装置との間で前記通信が確立しない場合、前記移動体が前記所定エリア内に存在していないと判定することと
   を含む
   移動体制御方法。
9. 請求項１乃至８のいずれか一項に記載の移動体制御方法であって、
   前記遠隔指示は、管理システムから前記移動体に送られ、
   前記遠隔指示検証処理は、更に、
   前記管理システムが前記移動体に前記遠隔指示を実際に送信したか否かを確認することと、
   前記管理システムが前記移動体に前記遠隔指示を実際に送信していなかった場合、前記遠隔指示は妥当ではないと判定することと
   を含む
   移動体制御方法。
10. 請求項１乃至８のいずれか一項に記載の移動体制御方法であって、
    前記所定エリア内にはランドマークが配置されており、
    前記移動体の電源がＯＦＦされる前に前記移動体の位置から認識される参照ランドマークに相当する参照情報は、所定の記憶装置に格納され、
    前記遠隔指示が前記移動体の前記電源をＯＮすることを指示する場合、前記遠隔指示検証処理は、更に、
    前記移動体の位置から認識される最新のランドマークの情報を取得することと、
    前記参照情報に基づいて、前記最新のランドマークと前記参照ランドマークが一致するか否かを判定することと、
    前記最新のランドマークと前記参照ランドマークが一致しない場合、前記遠隔指示は妥当ではないと判定することと
    を含む
    移動体制御方法。
11. 所定エリアにおいて遠隔指示に従って動作する機能を有する移動体を制御する移動体制御システムであって、
    １又は複数のプロセッサを備え、
    前記１又は複数のプロセッサは、
    前記移動体が受信した前記遠隔指示が妥当であるか否かを判定する遠隔指示検証処理と、
    前記移動体が受信した前記遠隔指示が妥当ではない場合、前記遠隔指示に従うことなく前記移動体の動作の少なくとも一部を制限する動作制限処理と
    を実行するように構成され、
    前記遠隔指示検証処理は、
    前記移動体が前記遠隔指示を受信したときに前記移動体が前記所定エリア内に存在しているか否かを判定することと、
    前記移動体が前記遠隔指示を受信したときに前記移動体が前記所定エリア内に存在していない場合、前記遠隔指示は妥当ではないと判定することと
    を含む
    移動体制御システム。
12. 所定エリアにおいて遠隔指示に従って動作する機能を有する移動体を制御する移動体制御プログラムであって、
    前記移動体制御プログラムは、コンピュータによって実行されたとき、
    前記移動体が受信した前記遠隔指示が妥当であるか否かを判定する遠隔指示検証処理と、
    前記移動体が受信した前記遠隔指示が妥当ではない場合、前記遠隔指示に従うことなく前記移動体の動作の少なくとも一部を制限する動作制限処理と
    を前記コンピュータに実行させるように構成され、
    前記遠隔指示検証処理は、
    前記移動体が前記遠隔指示を受信したときに前記移動体が前記所定エリア内に存在しているか否かを判定することと、
    前記移動体が前記遠隔指示を受信したときに前記移動体が前記所定エリア内に存在していない場合、前記遠隔指示は妥当ではないと判定することと
    を含む
    移動体制御プログラム。

Images