JP6950497B2 - 中継装置およびその制御方法 - Google Patents

Description

本発明は、携帯装置を利用して車両を操作するための技術に関する。

スマートフォンのような携帯装置を車両キーの代わりに用いて、車両の操作（施解錠、電源オン、エンジン始動など）を可能にする技術が検討されている。このような技術を活用すると、車両のオーナー以外の者（つまり、物理的な車両キーを持たない者）に一時的に車両を操作させることが容易に実現できるため、車両の新たな利用方法や車両を活用した新たなサービスの登場が期待されている。例えば、特許文献１には、配達業者側の装置と荷受人の車両側の装置との相互認証が成功すると、配達業者が荷受人の車両のロックを解除しトランク内に配達物を入れることが可能となるシステムが開示されている。

特開２００６−２０６２２５号公報 特開２００６−２０９４２９号公報

本発明者らは、車両の操作を希望する者に対して当該車両の操作を可能化するためのデータ（以下「可能化データ」と呼ぶ。）を提供し、この可能化データが記憶された携帯装置をもつ者に当該車両の一時的な操作を可能にする、というシステムを構想している。このようなシステムを実施するにあたっては、可能化データの漏えいによる車両の不正利用や盗難などを防止するため、可能化データの取り扱いには十分なセキュリティ対策を講じることが望まれる。例えば、各車両の可能化データの発行はセンタサーバにより一元的に行われることが望ましい。また、可能化データを携帯装置に提供する際には、希望者が信頼できる相手か否かをチェックし、信頼できる相手の携帯装置に対してのみ可能化データを提供することが望ましい。また、車両を操作する権能が同時に複数の者に与えられないように、可能化データの唯一性を保証する処理（排他処理）が望まれるケースも想定される。

しかしながら、これらすべての処理をセンタサーバにて一元的に行う構成は、システムの負荷やネットワークの負荷が集中するおそれがあり、現実的ではない。

また、本システムの適用シーンによっては、センタサーバが可能化データを発行する時点では、誰がその可能化データを実際に使用するのか（つまり、可能化データを送信すべき携帯装置）が未定であることも想定される。特許文献１で述べられているような配達サービスを例に説明すると、例えば、配達業者Ｘに対し２０１７年１１月９日に車両Ａの可能化データを送信する必要があることまでは事前に決まっていたとしても、当該配達業者Ｘに所属する複数の配達員のうちの誰が車両Ａへの配達の担当になるのかは配達時刻の直前になるまで確定しない、ということがあり得る。とはいえ、配達員全員に可能化データを送信したり、配達員同士で可能化データを自由に受け渡しできるようにしてしまうことは、可能化データの漏えいや不正利用のリスクを増大させるため、好ましくない。

本発明は上記実情に鑑みなされたものであって、車両の操作を可能化するためのデータをそれを使用する予定の者に安全に且つ効率的に送信するための技術を提供することを目的とする。

上記目的を達成するために、本発明は、中継装置がセンタサーバから事前に取得した可能化データを一時的に保管し、車両を操作する担当者が決まった後に中継装置が当該担当者の携帯装置に可能化データを送信する、という構成を採用する。

具体的には、本発明の第一側面は、車両の操作を可能化するためのデータである可能化データが記憶された携帯装置をもつ者に対し前記車両の操作を可能にするシステムにおいて、前記車両の前記可能化データを発行するセンタサーバから前記車両を操作する予定の者の携帯装置への前記可能化データの提供を中継する中継装置であって、前記センタサーバから前記車両の前記可能化データを取得する取得手段と、前記取得手段により取得した前記可能化データを記憶装置に一時的に保管する一時保管手段と、前記車両の操作を担当する担当者が使用する携帯装置に対し、前記記憶装置に保管されている前記可能化データを送信する送信手段と、を有することを特徴とする中継装置を提供する。

仮に、センタサーバにより、利用者情報の管理、各利用者からの要求の受付、利用者ないし携帯装置の正当性のチェック、各利用者の携帯装置への可能化データの送信、可能化データの排他制御などの処理をすべて実行しようとした場合、利用者の増加に伴い、センタサーバの処理負荷やネットワークの負荷が増大し、システムの運用が極めて困難になるとともに運用コストが膨大となることが予想される。これに対し、本発明のような中継装置を用いた場合には、センタサーバは中継装置との間でセキュアな処理を実行すれば足りるので、全ての利用者との間でセキュアな処理を実行するのに比較して、センタサーバの負荷を大幅に低減することができる。また、中継装置において、担当者の携帯装置への可能化データの送信が行われるので、可能化データを実際に使用する予定の者にのみ可能化データの送信が行われることを保証できるとともに、可能化データの漏えいなどのリスクを抑えることができる。

ここで、「可能化データ」は、コンピュータにより実行可能なデータ（すなわちプログラム）でもよいし、実行不可なデータでもよい。また「可能化データ」は、車両の操作が許可された者であることを証明するためのデータでもよいし、車両の操作に利用されるデバイスまたはプログラムを活性化（アクティベート）するためのデータでもよいし、車両の操作に利用されるプログラムそのものであってもよいし、それ以外のデータでもよい。「携帯装置」は、車両を操作する者が携帯可能であり、かつ、可能化データの受信および記憶が可能な装置であれば、どのような装置でもよい。例えば、スマートフォン、タブレットコンピュータ、モバイルコンピュータ、ウェアラブルコンピュータ、ワイヤレスストレージ、携帯電話、ハンディターミナルなどを本発明の「携帯装置」として利用できる。

前記取得手段は、前記車両を操作する予定は決まっているが誰が操作を担当するかが未定の段階で、前記センタサーバから前記車両の前記可能化データを取得し、前記送信手段は、前記車両の操作を担当する担当者が決まった後に、前記担当者が使用する携帯装置に対し、前記記憶装置に保管されている前記可能化データを送信することが好ましい。この構成によれば、中継装置は、担当者が決まる前から可能化データの取得・保管が可能であるため、担当者が決まり次第、すみやかにその担当者に可能化データを提供することが可能となる。また、中継装置による可能化データ取得処理の実行タイミングのスケジューリングの自由度が増すため、例えば、夜間などのＣＰＵやネットワークの負荷が比較的低いときに、センタサーバからまとめて複数個の可能化データを取得しておくなど、中継装置およびセンタサーバの負荷分散や効率的な運用を実現しやすいという利点もある。

前記取得手段は、前記車両を操作する予定日時を示す情報を少なくとも含む要求を前記センタサーバに送信することにより、前記センタサーバから前記要求に対応する前記可能
化データの提供を受けることが好ましい。車両を操作する予定日時を示す情報をセンタサーバに与えることで、センタサーバにおいて、例えば、可能化データに対し有効期間を設定したり、可能化データの提供タイミングを予定日時に合わせて調整したりすることが可能になる。

前記車両の操作を担当する者を特定するための担当者情報を受け付ける担当者情報受付手段をさらに有し、前記送信手段は、前記担当者情報受付手段が前記担当者情報を受け付けると、前記担当者情報により特定される者が使用する携帯装置に対し前記可能化データを送信することが好ましい。この構成によれば、担当者情報を受け付けたことをトリガとして可能化データの送信が行われるので、担当者が使用する携帯装置への可能化データの送信を適時に且つ自動的に実行することができる。なお、担当者情報受付手段は、人が中継装置に対して手入力した情報を受け付けるものでもよいし、他のコンピュータから担当者情報を取得するものでもよいし、記憶媒体から担当者情報を読み込むものでもよい。

前記担当者が使用する前記携帯装置への前記可能化データの送信が完了した後、前記記憶装置に保管されている前記可能化データを削除する削除手段を有することが好ましい。このようなタイミングで可能化データの削除を行うことにより、可能化データが複数の携帯装置に送信されることを防止でき、可能化データの唯一性を保証できる。また、記憶装置内に可能化データを一時保管する期間を最小限にできるので、可能化データの漏えいリスクを可及的に小さくできる。

前記削除手段は、前記担当者が使用する前記携帯装置への前記可能化データの送信が完了し、かつ、前記担当者による前記車両の操作を確認した後、前記記憶装置に保管されている前記可能化データを削除することが好ましい。携帯装置への可能化データの送信が完了した場合であっても、担当者が誤って可能化データを失ってしまった場合や、担当者が別の者に変更になった場合などは、中継装置から可能化データを再び送信する必要が生じる。そこで、少なくとも担当者による車両の操作を確認するまで記憶装置内の可能化データを残しておくことにより、上記のような可能化データの再送信に容易に対応することができる。

より詳しくは、前記担当者が前記車両の操作を開始したこと、または、操作を終了したことを示す通知を、前記担当者が使用する前記携帯装置から受信する通知受信手段をさらに有し、前記削除手段は、前記通知受信手段により前記通知を受信したことに応じて、前記記憶装置に保管されている前記可能化データを削除することが好ましい。このような構成により、中継装置が、担当者による車両の操作が行われたことを容易に且つ自動で検知することができる。

前記担当者が使用する前記携帯装置への前記可能化データの送信が完了した後、前記削除手段により前記可能化データが削除されるまでのあいだ、前記記憶装置内に残っている前記可能化データが他の携帯装置へ送信されることを禁止する禁止手段をさらに有することが好ましい。この構成によれば、可能化データが複数の携帯装置に送信されることを防止できる。

前記担当者が使用する前記携帯装置への前記可能化データの送信が完了した後、前記車両の操作を担当する者が前記担当者から他の者に変更された場合に、前記禁止手段が、禁止状態を解除し、前記送信手段が、前記他の者が使用する携帯装置へ前記可能化データを送信することが好ましい。この構成によれば、担当者の変更が発生した場合に、変更後の担当者の携帯装置にすみやかに可能化データを送信することができる。

前記車両の操作を担当する者を変更する処理を行う担当者変更手段をさらに備え、前記
担当者が使用する前記携帯装置への前記可能化データの送信が完了した後、前記車両の操作を担当する者が前記担当者から他の者に変更される場合に、前記担当者変更手段が、前記担当者が使用する前記携帯装置に記憶されている前記可能化データを削除する削除処理を行い、前記送信手段が、前記担当者変更手段による前記削除処理が完了した後、前記他の者が使用する携帯装置へ前記可能化データを送信することが好ましい。この構成によれば、変更前の担当者の携帯装置から可能化データが削除されるまでは、変更後の担当者の携帯装置への可能化データの送信が行われないので、可能化データの唯一性を保証することができる。

前記車両は、前記車両の操作に利用される車載ユニットを有しており、前記可能化データは、前記車載ユニットが前記携帯装置の認証に用いる認証情報であり、前記携帯装置に記憶されている前記可能化データによって前記携帯装置の認証が成功した場合に、前記車載ユニットを利用した前記車両の操作が可能になることが好ましい。

前記車載ユニットは近距離無線通信により前記携帯装置の認証を行うことが好ましい。車載ユニットと携帯装置が携帯電話網やインターネットを介して通信する構成の場合は、携帯電話やＷｉＦｉの電波が届かない場所では携帯装置の認証を行うことができず、車両を操作することができない。また、車載ユニット用に携帯電話網やインターネットの通信契約が必要であると、車載ユニットの普及の障壁になる可能性がある。これに対し、車載ユニットと携帯装置が近距離無線通信によりダイレクトに通信可能な構成であれば、これらの問題は生じないので、利便性に優れる。

前記車載ユニットは、前記携帯装置の認証が成功した場合に、前記車両のスマートキーと同じ振る舞いを行う装置であることが好ましい。スマートキーに対応した車両であれば、特別な改修を行うことなく、車載ユニットを車両に搭載することが可能である。したがって、車載ユニットを導入可能な車両の選択肢が広く、且つ、簡易に導入することができるため、本システムの普及を図りやすいという利点がある。

なお、本発明は、上記構成の少なくとも一部を有する中継装置またはシステムとして捉えることができる。また、本発明は、上記処理の少なくとも一部を含む、中継装置の制御方法または可能化データの提供方法として捉えることができる。また、本発明は、コンピュータを中継装置として機能させるためのプログラム、もしくは、中継装置の制御方法もしくは可能化データの提供方法をコンピュータに実行させるためのプログラム、または、そのようなプログラムを非一時的に記録したコンピュータ読取可能な記録媒体として捉えることもできる。上記構成及び処理の各々は技術的な矛盾が生じない限り互いに組み合わせて本発明を構成することができる。

本発明によれば、車両の操作を可能化するためのデータをそれを使用する予定の者に安全に且つ効率的に送信するための技術を提供することができる。

図１はトランクシェアシステムの概略構成を示す図である。 図２はトランクシェアシステムの構成要素のブロック図である。 図３は集配情報の例である。 図４は車両管理情報の例である。 図５はユーザ情報ＤＢに登録される情報の例である。 図６は中継装置の制御部が提供する機能のブロック図である。 図７は第１の実施形態のシステムの動作を示す図である。 図８は第２の実施形態のシステムの動作を示す図である。 図９は変形例のシステムの動作を示す図である。

以下、本発明に係る技術をトランクシェアシステムに適用した例について説明する。

＜第１の実施形態＞
（システムの概略）
図１は、本実施形態に係るトランクシェアシステム１の概略構成を示す図である。トランクシェアシステム１は、集配物の集配作業を依頼する者Ｉと集配物の集配作業を行う者Ｓとの間で当該依頼者Ｉの指定する車両１０の荷室（トランク・ルーム）を共有（シェア）することで、当該荷室を受け渡し場所とする集配サービスを実現するためのシステムである。したがって、「集配物の集配作業を依頼する者Ｉ」及び「集配物の集配作業を行う者Ｓ」は、ともに車両１０の荷室を利用するユーザであるが、両者を区別するために、前者を「依頼ユーザＩ」と称し、後者を「集配ユーザＳ」と称する。車両１０の荷室は、集配される荷物を配置可能であって、後述するように荷室のドアは車載装置１０Ａによって施解錠されるように構成される。当該荷室は、車両１０の運転者等が搭乗する車室とは、互いにアクセスが不可能となるように区切られた領域であるとよい。

図１の例では、トランクシェアシステム１は、車両１０に設置される車載装置１０Ａ、集配ユーザＳの携帯装置２００、依頼ユーザＩの携帯装置５０、センタサーバ４００、集配管理サーバ５００、中継装置６００を含む。車載装置１０Ａ、携帯装置２００、携帯装置５０、センタサーバ４００、集配管理サーバ５００、及び中継装置６００は、ネットワークＮ１によって相互に接続される。ネットワークＮ１は、例えば、インターネット等の世界規模の公衆通信網でありＷＡＮ（Ｗｉｄｅ Ａｒｅａ Ｎｅｔｗｏｒｋ）やその他の通信網が採用されてもよい。また、ネットワークＮ１は、携帯電話等の電話通信網、ＷｉＦｉ等の無線通信網を含んでもよい。また、車載装置１０Ａは、近距離無線通信等を含むネットワークＮ２を介して、集配ユーザの携帯装置２００に接続可能である。なお、トランクシェアシステム１には、例示的に１つの中継装置６００のみ含まれているが、中継装置６００は２台以上含まれてもよい。例えば、集配作業を行う配送事業者が複数の営業所を有している場合には、営業所ごと、または、営業エリアごとに、複数人の集配ユーザを管轄する中継装置６００を設置するとよい。図１の例では、配送事業者の営業所内に集配管理サーバ５００と中継装置６００が設置され、それらがローカルエリアネットワークＮ３で接続された例を示している。

集配管理サーバ５００は、依頼ユーザＩの携帯装置５０から、集配の対象となる物品（以下、「集配荷物」とも言う）の登録を受け付ける。依頼ユーザＩは、例えば、電子商取引事業者により開設された商品購入サイトで購入した物品を集配荷物として集配ユーザＳに配送してもらう場合に、依頼ユーザＩの携帯装置５０にインストールされたトランクシェアシステム１によるサービスを利用するためのアプリケーション（以下、所定のアプリともいう）によって、その集配荷物に関する集配情報を、集配管理サーバ５００に登録することができる。集配情報は、後述の図３に示すように、依頼ユーザＩの識別情報や、配送・集荷のスケジュール情報等を含む。依頼ユーザＩの識別情報は、集配管理サーバ５００においては、依頼ユーザＩに紐付けられている車両１０にも予め対応付けられており、車両１０を含む、自己（依頼ユーザＩ）に関連する集配場所の候補から依頼ユーザＩは利用する集配場所を適宜選択し、それも集配情報に含められる。なお、以降の説明においては、依頼ユーザＩの集配場所を車両１０としてその説明を進めるものとする。

集配管理サーバ５００は、依頼ユーザＩの携帯装置５０から荷物の集配の依頼を受付けると、その集配場所が車両１０である場合、集配荷物を収容する車両１０の操作（本実施形態の場合、車両１０の荷室の施解錠）を可能化するための可能化データをセンタサーバ
４００から取得するように、中継装置６００に依頼する。この時点では、車両１０の荷室の施解錠を行う予定の日時は確定しているが、複数存在する集配ユーザＳのうちの誰が車両１０の荷室への集配を担当するのかは未定である。集配の担当者の決定は、例えば、一定数の集配依頼が蓄積した段階、もしくは、予め決められたタイミング（例えば、毎日午前と午後に一回ずつ）で行われる。具体的には、集配管理サーバ５００が集配に関わる情報（荷物の数、場所、日時など）と各集配ユーザＳの勤務シフトに基づき担当者を自動で決定してもよいし、管理者が集配に関わる情報と各集配ユーザＳの勤務シフトに基づき担当者を決定し、その担当者の情報を集配管理サーバ５００に入力してもよい。集配管理サーバ５００は、担当者が確定すると、その担当者情報を中継装置６００に送信する。

中継装置６００は、センタサーバ４００から車両１０の可能化データを取得し、この可能化データを車両１０への集配を担当する集配ユーザＳが使用する携帯装置２００へ送信する。中継装置６００の構成および処理については後ほど詳述する。集配ユーザＳは、可能化データが記憶された携帯装置２００を使用して、車両１０の荷室を解錠し、集配荷物を配送又は集荷するために車両１０の荷室にアクセスすることができる。本実施形態の可能化データは、車載装置１０Ａ（詳しくは、後述するキーユニット１００）が携帯装置２００の認証に用いる認証情報であり、携帯装置２００から近距離無線通信によって車載装置１０Ａに転送され、車載装置１０Ａによる認証処理に供される。

（システム構成）
図２は、トランクシェアシステム１を構成する車載装置１０Ａ、集配ユーザＳの携帯装置２００、依頼ユーザＩの携帯装置５０、集配管理サーバ５００、センタサーバ４００、中継装置６００のそれぞれの構成の一例を概略的に示すブロック図である。図２に基づいて、車載装置１０Ａ、集配ユーザＳの携帯装置２００、依頼ユーザＩの携帯装置５０、集配管理サーバ５００、センタサーバ４００、中継装置６００のハードウェア構成及び機能構成について説明する。

（車載装置）
車載装置１０Ａは、キーユニット１００と施解錠装置３００を含んで構成される。施解錠装置３００は車両１０に組み込まれ、車両１０の制御系に物理的に接続されているのに対し、キーユニット１００は車両１０の制御系には接続されておらず（例えば、グローブボックスや車内に配置されている。）、施解錠装置３００とキーユニット１００は無線により通信を行う。キーユニット１００は、いわゆるスマートキーと同様の無線インターフェースを有しており、施解錠装置３００と通信を行うことで、物理的な鍵を用いることなく車両１０の荷室や車室の施解錠（以下、荷室と車室を区別する必要が無い場合には、単に「車両１０の施解錠」と言う場合もある）を行うことができる。キーユニット１００は、集配ユーザＳの携帯装置２００と近距離無線通信を行い、集配ユーザＳの携帯装置２００の認証に成功した場合に、スマートキーと同様の振る舞いを行う。

集配ユーザＳの携帯装置２００は、集配荷物の配送・集荷のために車両１０の荷室にアクセスする際に、当該荷室の施解錠をするための認証情報を中継装置６００を介して受け取り、メモリに記憶する。本実施形態の認証情報は、例えば、公開鍵認証で用いる認証情報（具体的には公開鍵）である。そして、集配ユーザＳの携帯装置２００からキーユニット１００に送信された認証情報（公開鍵）は、キーユニット１００に予め記憶された認証情報（秘密鍵）を用いて照合される。その認証処理が成功すると、携帯装置２００は、車載装置１０Ａを正当に作動させる端末として認証される。携帯装置２００が認証されると、キーユニット１００は、キーユニット１００に予め記憶され、認証情報と対応付けられた車両１０のキーＩＤを、施解錠信号とともに施解錠装置３００に送信する。施解錠装置３００は、キーユニット１００から受信したキーＩＤが、施解錠装置３００に予め格納されるキーＩＤと一致する場合に車両１０を施解錠する。なお、キーユニット１００に予め
記憶されるキーＩＤは、認証情報によって暗号化されたものであってもよい。この場合、キーユニット１００は、集配ユーザの携帯装置２００の認証処理が成功すると、キーＩＤを認証情報によって復号してから施解錠装置３００に送信すればよい。

（施解錠装置）
ここで、施解錠装置３００の詳細について説明する。施解錠装置３００は、車両１０の車室や荷室のドアを施錠および解錠するための装置である。例えば、車両１０に対応するスマートキーから、高周波（Ｒａｄｉｏ Ｆｒｅｑｕｅｎｃｙ，以下、ＲＦと称する）帯の電波を介して送信される施錠信号および解錠信号に応じて、車両１０のドアを施錠および解錠する。また、スマートキーを検索するための、低周波（Ｌｏｗ Ｆｒｅｑｕｅｎｃｙ，以下、ＬＦと称する）帯の電波を送信する機能を有している。施解錠装置３００は、車両１０に搭載されるバッテリから供給される電力で動作する。

本実施形態では、上記のスマートキーの代わりに、キーユニット１００が施解錠装置３００との間でＲＦ帯およびＬＦ帯の電波を送受信することで、車両１０のドアの施解錠を制御する。以降、断りがない限り、施解錠装置３００の通信先をキーユニット１００に限定して説明を行う。

施解錠装置３００は、ＬＦ送信機３０１、ＲＦ受信機３０２、照合ＥＣＵ３０３、ボディＥＣＵ３０４、ドアロックアクチュエータ３０５を含んで構成される。ＬＦ送信機３０１は、キーユニット１００を検索（ポーリング）するための低周波数帯（例えば、１００ＫＨｚ〜３００ＫＨｚ）の電波を送信する手段である。ＬＦ送信機３０１は、例えば、車室内のセンターコンソールやハンドルの近傍に内蔵される。ＲＦ受信機３０２は、キーユニット１００から送信された高周波数帯（例えば、１００ＭＨｚ〜１ＧＨｚ）の電波を受信する手段である。ＲＦ受信機３０２は、車室内のいずれかの場所に内蔵される。

照合ＥＣＵ３０３は、キーユニット１００からＲＦ帯の電波を介して送信された信号（施錠信号または解錠信号）に基づいて、車両１０の車室や荷室のドアを施錠および解錠する制御を行うコンピュータである。照合ＥＣＵ３０３は、例えば、マイクロコンピュータによって構成される。なお、以下の説明において、施錠信号と解錠信号を施解錠信号と総称する。施解錠信号という用語は、施錠信号と解錠信号の少なくともいずれかを表す。

照合ＥＣＵ３０３は、キーユニット１００から送信された施解錠信号が、正当な装置から送信されたものであることを認証する。具体的には、施解錠信号に含まれるキーＩＤが、照合ＥＣＵ３０３が有する不図示の記憶部に予め記憶されたキーＩＤと一致するか否かを判定する。そして、照合ＥＣＵ３０３は、この判定の結果に基づいて、ボディＥＣＵ３０４に解錠指令または施錠指令を送信する。この解錠指令または施錠指令は、ＣＡＮ（Ｃｏｎｔｒｏｌｌｅｒ Ａｒｅａ Ｎｅｔｗｏｒｋ）等の車内ネットワークを介して送信される。

ドアロックアクチュエータ３０５は、車両１０のドア（乗車空間たる車室への乗り降りの際に開閉される車室ドアや、荷室への荷物の積み卸しの際に開閉される荷室ドア）を施錠及び解錠するアクチュエータである。ドアロックアクチュエータ３０５は、ボディＥＣＵ３０４から送信された信号に基づいて動作する。なお、ドアロックアクチュエータ３０５は、車両１０における車室ドアと荷室ドアとを独立して施錠及び解錠することができるように構成されてもよい。

ボディＥＣＵ３０４は、車両１０のボディ制御を行うコンピュータである。ボディＥＣＵ３０４は、照合ＥＣＵ３０３から受信した解錠指令または施錠指令に基づいてドアロックアクチュエータ３０５を制御することで、車両１０の車室ドアや荷室ドアの解錠および
施錠を同時に又は独立して行う機能を有している。なお、照合ＥＣＵ３０３とボディＥＣＵ３０４とは一体のものであってもよい。

（キーユニット）
次に、キーユニット１００について説明する。キーユニット１００は、車両１０の車室内の所定の位置（例えばグローブボックス内）に配置される。キーユニット１００は、車両１０に搭載されるバッテリから供給される電力で動作してもよいし（例えば、車両１０に備わるシガーソケット、ＡＣ電源、ＵＳＢ電源などから電源供給を受ける。）、内蔵電池により動作してもよい。キーユニット１００は、集配ユーザＳの携帯装置２００等と近距離無線通信を行って携帯装置２００を認証する機能と、この認証結果に基づいて、ＲＦ帯の電波を用いて施解錠信号を送信する機能を有している。キーユニット１００は、ＬＦ受信機１０１、ＲＦ送信機１０２、近距離通信部１０３、制御部１０４を有して構成される。

ＬＦ受信機１０１は、施解錠装置３００から、ＬＦ帯の電波を介して送信されたポーリング信号を受信する手段である。ＬＦ受信機１０１は、ＬＦ帯の電波を受信するためのアンテナ（以下、ＬＦアンテナ）を有している。ＲＦ送信機１０２は、ＲＦ帯の電波を介して、施解錠装置３００に対して施解錠信号を送信する手段である。

近距離通信部１０３は、集配ユーザＳの携帯装置２００と通信を行う手段である。近距離通信部１０３は、所定の無線通信規格を用いて、近距離（車室内と車室外で通信が行える程度）における通信を行う。本実施形態では、近距離通信部１０３は、Ｂｌｕｅｔｏｏｔｈ（登録商標）ＬｏｗＥｎｅｒｇｙ規格（以下、ＢＬＥ）によるデータ通信を行う。ＢＬＥとは、Ｂｌｕｅｔｏｏｔｈによる低電力通信規格であり、機器同士のペアリングを必要とせず、相手を検知することですぐに通信を開始できるという特徴を有する。なお、本実施形態ではＢＬＥを例示するが、他の無線通信規格も利用可能である。例えば、ＮＦＣ（Ｎｅａｒ Ｆｉｅｌｄ Ｃｏｍｍｕｎｉｃａｔｉｏｎ）、ＵＷＢ（Ｕｌｔｒａ Ｗｉｄｅｂａｎｄ）、ＷｉＦｉ（登録商標）などを利用することもできる。

制御部１０４は、記憶部１０４１および認証部１０４２を有している。記憶部１０４１には、キーユニット１００を制御するための制御プログラムが記憶されている。制御部１０４は、記憶部１０４１に記憶されている制御プログラムを不図示のＣＰＵによって実行することで、認証部１０４２を含む種々の機能を実現してもよい。例えば、制御部１０４は、施解錠装置３００からＬＦ帯の電波として送信されたポーリング信号をＬＦ受信機１０１を介して受信する機能、施解錠装置３００にＲＦ帯の電波として施解錠信号をＲＦ送信機１０２を介して送信する機能、近距離通信部１０３を介して行う集配ユーザＳの携帯装置２００との通信を処理する機能、認証部１０４２による集配ユーザＳの携帯装置２００の認証が成功した場合に施解錠信号を生成する機能等を実現する。

認証部１０４２は、集配ユーザＳの携帯装置２００から受信した認証情報に基づいて、携帯装置２００の認証を行う。具体的には、記憶部１０４１に記憶された認証情報と、集配ユーザの携帯装置２００から送信された認証情報とを比較し、これらが所定の関係にある場合に、認証成功と判断する。双方の認証情報が所定の関係を満たさない場合、認証失敗と判断する。ここで、所定の関係とは、記憶部１０４１に記憶された認証情報と、集配ユーザの携帯装置２００から送信された認証情報とが一致する場合のほか、２つの認証情報を用いた所定の暗号化・復号等の処理結果が一致する場合、２つの認証情報の一方に復号処理を行った結果が他方に一致する場合等を含む。

認証部１０４２が集配ユーザＳの携帯装置２００の認証に成功した場合、携帯装置２００から受信した要求に応じて生成された施解錠信号がＲＦ送信機１０２を介して施解錠装
置３００へ送信される。

また、キーユニット１００は、施解錠信号とともに、上記のキーＩＤを施解錠装置３００に送信する。キーＩＤは、平文の状態で予めキーユニット１００に記憶されていてもよいし、集配ユーザの携帯装置２００等に固有な暗号によって暗号化した状態で記憶されていてもよい。キーＩＤが暗号化した状態で記憶される場合、集配ユーザの携帯装置２００等から送信された認証情報によって暗号化されたキーＩＤを復号し、本来のキーＩＤを得るようにしてもよい。

このように、車載装置１０Ａは、携帯装置２００から送信された認証情報を起点として、キーユニット１００による認証処理を経て施解錠装置３００を作動させて、車両１０の車室や荷室を施解錠する一連の処理を実行する。この一連の処理が、車載装置１０Ａによる施解錠処理である。なお、本実施形態では施解錠処理を例示したが、キーユニット１００により可能な車両１０の操作としては、施錠、解錠の他にも、ＡＣＣ電源オン、エンジン始動などを含んでもよい。

（集配ユーザの携帯装置）
次に、集配ユーザＳの携帯装置２００について説明する。携帯装置２００は、例えば、スマートフォン、タブレットコンピュータ、モバイルコンピュータ、ウェアラブルコンピュータ、ワイヤレスストレージ、携帯電話、ハンディターミナルなどの小型のコンピュータである。携帯装置２００は、公衆通信網であるインターネット等のネットワークＮ１を介して集配管理サーバ５００に接続される、パーソナルコンピュータ（Ｐｅｒｓｏｎａｌ
Ｃｏｍｐｕｔｅｒ、ＰＣ）であってもよい。集配ユーザＳの携帯装置２００は、近距離通信部２０１、通信部２０２、制御部２０３、入出力部２０４を有して構成される。

近距離通信部２０１は、キーユニット１００の近距離通信部１０３と同一の通信規格によって、キーユニット１００との間で通信を行う手段である。近距離通信部２０１とキーユニット１００との間に形成されるネットワークが、図１でＮ２で表されている。そして、通信部２０２は、携帯装置２００をネットワークＮ１に接続するための通信手段である。本実施形態では、３Ｇ（３ｒｄ Ｇｅｎｅｒａｔｉｏｎ）やＬＴＥ（Ｌｏｎｇ Ｔｅｒｍ Ｅｖｏｌｕｔｉｏｎ）等の移動体通信サービスを利用して、ネットワークＮ１経由で他の装置（例えば、センタサーバ４００、集配管理サーバ５００、中継装置６００等）と通信を行うことができる。

制御部２０３は、携帯装置２００の制御を司るコンピュータである。制御部２０３は、例えば、上述した端末認証情報を取得する処理、取得された端末認証情報を含む施解錠要求を生成する処理、生成された施解錠要求をキーユニット１００に送信する処理などを行う。なお、制御部２０３は、例えば、マイクロコンピュータによって構成されており、記憶手段（ＲＯＭ等）に記憶されたプログラムをＣＰＵ（いずれも不図示）によって実行させることで上記した各種処理を行うための機能が実現される。

また、制御部２０３は、入出力部２０４を介して集配ユーザＳとのインタラクションを行う。入出力部２０４は、集配ユーザＳが行った入力操作を受け付け、集配ユーザＳに対して情報を提示する手段である。具体的には、タッチパネルとその制御手段、液晶ディスプレイとその制御手段から構成される。タッチパネル及び液晶ディスプレイは、本実施形態では一つのタッチパネルディスプレイからなる。

制御部２０３は、入出力部２０４に操作画面を表示し、集配ユーザＳが行った操作に応じた施解錠要求を生成する。例えば、制御部２０３は、タッチパネルディスプレイに、解錠を行うためのアイコン、施錠を行うためのアイコン等を出力し、集配ユーザＳによって
行われた操作に基づいて、解錠要求ないし施錠要求を生成する。なお、集配ユーザＳが行う操作は、タッチパネルディスプレイを介したものに限られない。例えば、ハードウェアスイッチ等によるものであってもよい。

また、制御部２０３は、センタサーバ４００で発行された認証情報を中継装置６００を介して取得する処理を行う。なお、認証情報は、施解錠装置３００がキーユニット１００を認証するための情報（キーＩＤ）ではなく、キーユニット１００が携帯装置２００を認証するための情報（例えば、キーユニット１００に固有の秘密鍵に対応する公開鍵）である。

本実施形態において携帯装置２００が取得する認証情報は、集配ユーザＳの集配作業の終了に伴う荷室ドアの施錠をトリガにして無効化される、ワンタイムキーであってもよい。例えば、中継装置６００から送信される認証情報が携帯装置２００によって受信されたタイミングで、認証情報が携帯装置２００の記憶部（不図示）に記憶され、その後、集配作業の終了に伴う荷室ドアの施錠が行われた際にキーユニット１００から送信される施錠通知が携帯装置２００によって受信されたタイミングで、認証情報が上記の記憶部から消去される。

なお、携帯装置２００の記憶部に記憶された認証情報が消去されるタイミングは、上記した例に限定されるものではなく、認証情報を携帯装置２００が受信した時点（又は、中継装置６００が携帯装置２００へ向けて認証情報を送信した時点）から所定時間が経過したタイミングであってもよい。また、認証情報は、上記したようなワンタイムキーに限定されるものではなく、所定の時間帯のみ有効となる限定的なキーであってもよい。

（依頼ユーザの携帯装置）
次に、依頼ユーザＩの携帯装置５０について説明する。携帯装置５０も、上記携帯装置２００と同様に、例えば、スマートフォン、タブレットコンピュータ、モバイルコンピュータ、ウェアラブルコンピュータ、ワイヤレスストレージ、携帯電話、ハンディターミナルなどである。依頼ユーザＩの携帯装置５０は、通信部５１、制御部５２、入出力部５３を有して構成される。

通信部５１は、機能的には上記通信部２０２と同等の、ネットワークＮ１に接続するための通信手段である。制御部５２は、携帯装置５０の制御を司るコンピュータである。制御部５２は、例えば、マイクロコンピュータによって構成されており、記憶手段（ＲＯＭ等）に記憶されたプログラムをＣＰＵ（いずれも不図示）によって実行させることで各種処理を行うための機能が実現される。例えば、制御部５２は、上記の所定のアプリケーションを実行して、入出力部５３を介して集配荷物の集荷依頼を、所定の配送業者の集配管理サーバ５００に対して行う。この入出力部５３も、機能的には上記入出力部２０４と同様の手段であり、依頼ユーザＩが行った入力操作を受け付け、依頼ユーザＩに対して情報を提示する。

なお、図２の携帯装置５０には、上記近距離通信部２０１に相当する構成が明示されていないが、携帯装置５０も、携帯装置２００と同じくキーユニット１００と近距離通信を行う構成を有していてもよい。例えば、携帯装置５０のメモリ内に予め認証情報が記憶されており、携帯装置５０から施解錠装置３００を作動させるように構成されてもよい。

（集配管理サーバ）
次に、集配管理サーバ５００について説明する。集配管理サーバ５００は、一般的なコンピュータにより構成される。トランクシェアシステム１に複数の配送事業者が参加する場合には、各配送事業者が自己用の管理サーバとして少なくとも１つの集配管理サーバを
準備するとよい。集配管理サーバ５００は、ＣＰＵ（Ｃｅｎｔｒａｌ Ｐｒｏｃｅｓｓｉｎｇ Ｕｎｉｔ）やＤＳＰ（Ｄｉｇｉｔａｌ Ｓｉｇｎａｌ Ｐｒｏｃｅｓｓｏｒ）等のプロセッサ（不図示）、ＲＡＭ（Ｒａｎｄｏｍ Ａｃｃｅｓｓ Ｍｅｍｏｒｙ）、ＲＯＭ（Ｒｅａｄ Ｏｎｌｙ Ｍｅｍｏｒｙ）等の主記憶部（不図示）、ＥＰＲＯＭ（Ｅｒａｓａｂｌｅ Ｐｒｏｇｒａｍｍａｂｌｅ ＲＯＭ）、ハードディスクドライブ（ＨＤＤ、Ｈａｒｄ Ｄｉｓｋ Ｄｒｉｖｅ）、リムーバブルメディア等の補助記憶部（不図示）を有するコンピュータである。なお、リムーバブルメディアは、例えば、ＵＳＢ（Ｕｎｉｖｅｒｓａｌ Ｓｅｒｉａｌ Ｂｕｓ）メモリ、あるいは、ＣＤ（Ｃｏｍｐａｃｔ Ｄｉｓｃ）やＤＶＤ（Ｄｉｇｉｔａｌ Ｖｅｒｓａｔｉｌｅ Ｄｉｓｃ）のようなディスク記録媒体である。補助記憶部には、オペレーティングシステム（Ｏｐｅｒａｔｉｎｇ Ｓｙｓｔｅｍ ：ＯＳ）、各種プログラム、各種テーブル等が格納され、そこに格納されたプログラムを主記憶部の作業領域にロードして実行し、プログラムの実行を通じて各構成部等が制御されることによって、所定の目的に合致した機能を実現することができる。

更に、集配管理サーバ５００は、通信部５０１を有する。通信部５０１は、他の装置と接続し、集配管理サーバ５００と他の装置（例えば、センタサーバ４００や携帯装置２００や中継装置６００等）との間の通信を行う。通信部５０１は、例えば、ＬＡＮ（Ｌｏｃａｌ Ａｒｅａ Ｎｅｔｗｏｒｋ）インターフェースボード、無線通信のための無線通信回路である。ＬＡＮインターフェースボードや無線通信回路は、公衆通信網であるインターネット等のネットワークＮ１に接続される。

更に、集配管理サーバ５００は、上述した集配情報を格納する集配管理ＤＢ（データベース）５０３を有している。集配管理ＤＢ５０３は、上記の補助記憶部に集配情報が格納されて形成されており、そこでは依頼ユーザＩと集配情報の紐付けが行われている。集配管理ＤＢ５０３は、プロセッサによって実行されるデータベース管理システム（Ｄａｔａｂａｓｅ Ｍａｎａｇｅｍｅｎｔ Ｓｙｓｔｅｍ、ＤＢＭＳ）のプログラムが、補助記憶部に記憶されるデータを管理することで構築される。集配管理ＤＢ５０３は、例えば、リレーショナルデータベースである。

ここで、集配管理ＤＢ５０３に格納される集配情報の構成について、図３に基づいて説明する。図３は集配情報のテーブル構成を例示し、集配情報テーブルは、依頼ユーザＩＤ、集配区分、集配日時、集配場所、集配ユーザＩＤ、集配ステータスの各フィールドを有する。依頼ユーザＩＤフィールドには、依頼ユーザＩを特定するための識別情報が入力される。集配区分フィールドには、集配荷物が集配ユーザＳにより配送されるか集荷されるかを特定するための情報が入力される。集配日時フィールドには、集配荷物が集配される日時を表す情報が入力され、特に、集配時間に関しては、特定の時間が入力されてもよいし、集配が求められる特定の時間帯が入力されてもよい。集配ユーザＩＤフィールドには、集配作業を担当する集配ユーザＳを特定するための識別情報が入力される。図３の例では、１番目と２番目の集配作業については担当者は決まっているが、３番目の集配作業の担当者は未定である。なお、集配作業の担当者が、本発明における「車両の操作（荷室の施解錠処理）を担当する者」に相当する。集配ステータスフィールドには、集配ユーザＳによる集配荷物の集配が完了したか否かを表す情報が入力される。例えば、集配荷物の集配が完了している場合には「完了」と入力され、当該集配が完了していない場合には「未完了」と入力される。

集配管理サーバ５００の制御部５０２は、集配管理ＤＢ５０３への集配情報の登録や更新等の管理制御を行う。例えば、依頼ユーザがその携帯装置５０を介して集配荷物の集配を依頼すると、その依頼ユーザＩの識別情報に、集配日時、集配場所等を紐付けて、当該依頼ユーザＩに対応する集配情報を生成し、集配管理ＤＢ５０３に格納する。また、集配情報生成後に、集配作業の担当者の登録や変更があった場合や、依頼ユーザＩから集配日
時や集配場所の情報変更の通知があった場合には、その変更に合わせて、集配管理ＤＢ５０３に格納されている集配情報を更新する。また、制御部５０２は、通信部５０１を介して集配ユーザＳの携帯装置２００と通信を行い、集配情報に含まれる、集配荷物のステータスに関する情報の更新も行う。例えば、集配ユーザＳが入出力部２０４を介して入力したステータス情報（例えば、集配の完了を表す情報）をその携帯装置２００から受け取り、対応する集配情報を更新する。

また、集配管理ＤＢ５０３には、依頼ユーザと、対応する集配場所としての車両１０とを紐付けた車両管理情報も格納される。車両管理情報の構成について、図４に基づいて説明する。図４は車両管理情報のテーブル構成を例示し、車両管理情報テーブルは、依頼ユーザＩＤフィールド、依頼ユーザＩが集配場所として車両１０を選択したときに、集配ユーザＳがその車両１０を発見可能となるように、車両１０を識別するための識別情報（車種、車両の色、ナンバー）が入力される、車種フィールド、色フィールド、ナンバーフィールドを有する。更に、車両管理情報テーブルは、車両１０が配置されている位置情報が入力される車両位置フィールドも有する。車両１０の識別情報および位置情報は、依頼ユーザＩからの携帯装置５０を介した入力により取得されてもよく、また、センタサーバ４００から車両１０の識別情報や位置情報を取得してもよい。

そして、制御部５０２は、集配情報と車両管理情報に基づいて、集配作業を担当する集配ユーザＳが集配荷物を車両１０に集配できるように、その携帯装置２００に対して集配の指示を送信する。なお、この集配の指示は、一度ではなく複数回にわたって携帯装置２００に送信してもよい。例えば、予定の集配日の前日に、翌日の集配に関連する集配指示をまとめて集配ユーザの携帯装置２００に送信し、集配の当日には再度集配指示を送信してもよい。なお、再度の送信の際に、集配情報に更新があった場合にはその更新内容を反映させる。

集配管理サーバ５００の各機能構成素のいずれか、又はその処理の一部は、ネットワークＮ１に接続される他のコンピュータにより実行されてもよい。また、集配管理サーバ５００で実行される一連の処理は、ハードウェアにより実行させることもできるが、ソフトウェアにより実行させることもできる。

（センタサーバ）
次に、センタサーバ４００について説明する。センタサーバ４００も、一般的なコンピュータの構成を有しており、基本的なハード構成は集配管理サーバ５００と同じであり、不図示のプロセッサ、主記憶部、補助記憶部を有する。したがって、プロセッサが補助記憶部に格納されたプログラムを主記憶部の作業領域にロードして実行し、プログラムの実行を通じて各構成部等が制御されることによって、所定の目的に合致した機能を実現することができる。また、センタサーバ４００も通信部４０１を有しており、通信部４０１は、機能的には上記集配管理サーバ５００の有する通信部５０１と同等のものであり、センタサーバ４００と他の装置（例えば、集配管理サーバ５００、中継装置６００等）との間の通信を行う。

センタサーバ４００は、その補助記憶部に、各種情報を格納するユーザ情報ＤＢ４０３を有している。このデータベース（ＤＢ）は、プロセッサによって実行されるデータベース管理システムのプログラムが、補助記憶部に記憶されるデータを管理することで構築される。ユーザ情報ＤＢ４０３は、例えば、リレーショナルデータベースである。

ユーザ情報ＤＢ４０３は、キーユニット１００を利用して車両１０を操作可能とするサービスの登録ユーザの情報を管理するデータベースである。図５にユーザ情報ＤＢ４０３に登録される情報の一例を示す。ユーザ情報ＤＢ４０３には、ユーザがセンタサーバ４０
０にアクセスするときの認証に利用される情報（例えば、ユーザＩＤ、パスワードなど）、ユーザが所有する車両１０の情報（例えば、車種、色、ナンバー、車台番号など）、当該車両に設置されたキーユニット１００の情報（例えば、キーユニット１００を特定する識別情報、キーユニット１００に格納されている認証情報（暗号鍵）など）、可能化データとしての認証情報（例えば、公開鍵など）などが格納される。また、認証情報の付加情報として、当該認証情報の有効期間（有効時間帯を含む）、当該認証情報の失効有無等の情報を格納してもよい。

センタサーバ４００の制御部４０２は、新規ユーザの登録、ユーザ情報の変更、認証情報の発行（生成）、中継装置６００や携帯装置２００への認証情報の送信などの制御を行う。認証情報の発行処理については、センタサーバ４００により一元的に行うことが好ましい。

センタサーバ４００に対する新規ユーザの登録は、例えば次のように行う。新規ユーザが、携帯端末やパーソナルコンピュータなどを用いて、センタサーバ４００が提供するユーザ登録サイトにアクセスする。そして、新規登録画面において、ユーザ自身の個人情報（例えば、名前、住所、電話番号、メールアドレス、パスワードなど）、登録する車両の情報（例えば、車種、色、ナンバー、車台番号など）、登録する車両に設置されたキーユニットの情報などを入力すると、ユーザＩＤが発行される。また、センタサーバ４００は、新規のユーザ及び車両（キーユニット）が登録されると、当該キーユニットの情報を基に可能化データとしての認証情報を発行（生成）し、ユーザ情報ＤＢ４０３に登録する。以後、このユーザは、ユーザＩＤとパスワードによりセンタサーバ４００にアクセスすることができ、また、認証情報を利用したトランクシェアなどのサービスを利用することができる。なお、車種、色、ナンバーなどの車両の情報は、集配ユーザが荷物の集配を行う際に車両を目視で見つけるときなどに役立つ情報であるため、登録させることが望ましいが、必須ではない。また、本実施形態では、ユーザ自身が登録処理を行うことを想定しているが、車両の納車前にキーユニットの設置を行う場合には、ディーラーや工場においてユーザ登録及び認証情報の発行処理を行ってもよい。

（中継装置）
次に、中継装置６００について説明する。中継装置６００は、センタサーバ４００から集配ユーザＳの携帯装置２００への認証情報（可能化データ）の提供を中継するための装置である。中継装置６００も、一般的なコンピュータの構成を有しており、例えば、不図示のプロセッサ、主記憶部、補助記憶部などを有する。また、中継装置６００も通信部６０１を有しており、通信部６０１は、機能的には上記集配管理サーバ５００の有する通信部５０１と同等のものであり、中継装置６００と他の装置（例えば、センタサーバ４００、集配管理サーバ５００、携帯装置２００等）との間の通信を行う。

図６に中継装置６００の制御部６０２が提供する機能の一例を示す。制御部６０２は、認証情報取得部６０２１、認証情報管理部６０２２、認証情報送信部６０２３、担当者情報受付部６０２４、担当者変更部６０２５、通知受信部６０２６などの機能部を有する。これらの機能部は、プロセッサが補助記憶部に格納されたプログラムを主記憶部の作業領域にロードして実行することにより実現される。ただし、これらの機能部のうち一部または全部をＡＳＩＣ（Ａｐｐｌｉｃａｔｉｏｎ Ｓｐｅｃｉｆｉｃ Ｉｎｔｅｇｒａｔｅｄ
Ｃｉｒｃｕｉｔ）やＦＰＧＡ（Ｆｉｅｌｄ Ｐｒｏｇｒａｍｍａｂｌｅ Ｇａｔｅ Ａｒｒａｙ）などの回路で代替してもよい。

認証情報取得部６０２１は、センタサーバ４００から該当する車両１０の認証情報（可能化データ）を取得する機能（取得手段）を有する。認証情報管理部６０２２は、認証情報取得部６０２１により取得した認証情報を記憶装置（主記憶部または補助記憶部）に一
時的に保管する機能（一時保管手段）、記憶装置に保管されている認証情報を削除する機能（削除手段）、認証情報が複数の携帯装置に重複して提供されないよう、所定の場合に認証情報が他の携帯装置へ送信されることを禁止する機能（禁止手段）などを有する。認証情報送信部６０２３は、集配作業の担当者が使用する携帯装置２００に対し、可能化データを送信する機能（送信手段）を有する。担当者情報受付部６０２４は、集配管理サーバ５００から、集配作業の担当者を特定するための担当者情報を受け付ける機能（担当者情報受付手段）を有する。担当者変更部６０２５は、集配作業の担当者を変更する処理を行う機能（担当者変更手段）を有する。通知受信部６０２６は、担当者が車両１０の操作を開始したこと（例えば、荷室の解錠など）、または、操作を終了したこと（例えば、荷室の施錠など）を示す通知を携帯装置２００から受信する機能（通知受信手段）を有する。これらの機能の詳細については後述する。

（システムの動作）
図７を参照して、トランクシェアシステム１の動作について説明する。

ステップＳ７００では、依頼ユーザＩの携帯装置５０が集配管理サーバ５００へ集荷又は配送の利用申込を送信する。このとき、利用申込とともに集配情報が送られる。集配情報には、依頼ユーザＩの識別情報や、配送または集荷のスケジュール情報等が含まれている。集配管理サーバ５００は受信した利用申込に従って、集配情報を集配管理ＤＢ５０３に登録する。

ステップＳ７０１では、集配管理サーバ５００が、中継装置６００に対し、認証情報の取得依頼を送る。取得依頼には、依頼ユーザＩの識別情報や、配送または集荷のスケジュール情報等が含まれている。これらの情報を参照することで、どの車両にいつ集配を行うのか、つまり、送信すべき認証情報と送信スケジュールを特定することができる。ただし、この時点では、実際に集配を行う担当者が未定のため、集配ユーザＳの携帯装置２００にダイレクトに認証情報を送ることができないものとする。

ステップＳ７０２において、中継装置６００の認証情報取得部６０２１が、センタサーバ４００に対し、認証情報要求を送信する。認証情報要求には、依頼ユーザＩの識別情報や、配送または集荷のスケジュール情報等が含まれている。ステップＳ７０３において、センタサーバ４００は、ユーザ情報ＤＢ４０３から依頼ユーザＩの認証情報を読み出し、中継装置６００へ送信する。このとき、センタサーバ４００は、配送または集荷のスケジュール情報に基づき、認証情報に有効期限を設定してもよいし、認証情報の送信タイミングを決定してもよい。センタサーバ４００から認証情報を受信すると、中継装置６００の認証情報管理部６０２２が認証情報を記憶装置に保管する（ステップＳ７０４）。

その後、集配作業の担当者が割り当てられ、その情報が集配管理サーバ５００の集配管理ＤＢ５０３に登録されると、集配管理サーバ５００が中継装置６００に対し担当者情報を送信する（ステップＳ７０５）。担当者情報には、集配作業を担当する集配ユーザＳのＩＤ、当該集配ユーザＳが使用する携帯装置２００を特定する情報（つまり、認証情報の送信先を特定する情報）などが含まれる。中継装置６００の担当者情報受付部６０２４は、集配管理サーバ５００から担当者情報を受信すると、認証情報送信部６０２３に担当者情報を引き渡す。ステップＳ７０６では、認証情報送信部６０２３が記憶装置に保管されている認証情報を認証情報管理部６０２２を介して受け取り、当該認証情報を集配ユーザＳの携帯装置２００に送信する。認証情報の送信が完了すると、認証情報管理部６０２２は、同じ認証情報が他の携帯装置に重複して送信されないよう、当該認証情報の送信を禁止する禁止状態（禁止モード）に切り替える（ステップＳ７０７）。

携帯装置２００は、中継装置６００から認証情報を受信すると、認証情報をメモリ内に
記憶する。集配ユーザＳが、車両１０用の認証情報が記憶された携帯装置２００を携帯して車両１０に近づき、キーユニット１００の通信可能範囲（例えば、半径２−３ｍのエリア）に入ると、携帯装置２００とキーユニット１００のあいだの通信が確立され、携帯装置２００からキーユニット１００に対し認証情報が送信される（ステップＳ７０８）。キーユニット１００は、受信した認証情報が正当なものか否かを判定し、正当な認証情報であれば認証が成功した旨を携帯装置２００に通知するとともに、スマートキーとしての動作を開始する（ステップＳ７０９）。

その後、集配ユーザＳが、携帯装置２００の施解錠アプリを利用して解錠信号を送るか、車両１０自体の解錠ボタンを押すなどの解錠アクションをとると、車両１０の荷室のドアのロックが開き、荷室へのアクセスが可能となる（ステップＳ７１０）。なお、車両１０が解錠されると、キーユニット１００から携帯装置２００に対し、車両１０の操作が開始したことを示す開始通知が送られる（ステップＳ７１１）。

集配ユーザＳが、集荷（荷室内に置かれた荷物のピックアップ）又は配達（荷室内への荷物の配置）を行った後、携帯装置２００の施解錠アプリを利用して施錠信号を送るか、車両１０自体の施錠ボタンを押すなどの施錠アクションをとると、車両１０のドアがロックされる（ステップＳ７１２）。車両１０が施錠されると、キーユニット１００から携帯装置２００に対し、車両１０の操作が終了したことを示す終了通知が送られる（ステップＳ７１３）。

携帯装置２００は、キーユニット１００から終了通知を受信したことをトリガとして、メモリ内に記憶されている認証情報を削除し（ステップＳ７１４）、中継装置６００に終了通知を送信する（ステップＳ７１５）。中継装置６００は、携帯装置２００から終了通知を受信したことをトリガとして、記憶装置内に保管されている認証情報を削除する（ステップＳ７１６）。

（本実施形態の利点）
以上述べた本実施形態のシステムは、次のような利点を有する。携帯装置２００への認証情報の送信処理や認証情報の排他処理などを中継装置６００が行うため、センタサーバ４００の負荷を低減することができる。特に、センタサーバ４００は中継装置６００との間でセキュアな処理を実行すれば足りるので、センタサーバ４００が全てのユーザとの間で直接セキュアな処理を実行するのに比較して、センタサーバ４００の負荷を大幅に低減することができる。また、中継装置６００において、携帯装置２００への認証情報の送信、および、記憶装置内に一時保管されている認証情報の削除が行われるので、認証情報を実際に使用する予定の者にのみ認証情報の送信が行われることを保証できるとともに、認証情報の漏えいなどのリスクを抑えることができる。

中継装置６００がセンタサーバ４００に認証情報を要求する際に、車両１０を操作する予定日時を示す情報をセンタサーバ４００に与えるので、センタサーバ４００において、認証情報に対し有効期間を設定したり、認証情報の送信タイミングを予定日時に合わせて調整したりすることが可能になる。有効期間や適切な送信タイミングを設定することで、認証情報の漏えいや不正利用のリスクを低減できると期待できる。

中継装置６００が担当者情報を受け付けたことをトリガとして、担当者の携帯装置２００への認証情報の送信が行われるので、担当者への認証情報の提供を適時に且つ自動的に実行することができる。また、車両１０の操作が終了したことを示す終了通知を受け付けたことをトリガとして、携帯装置２００のメモリ内の認証情報の削除が自動的に行われるので、認証情報の漏えいや不正利用のリスクを低減できる。なお、終了通知ではなく、車両１０の操作が開始したことを示す開始通知を受け付けたことをトリガとしてもよい。

また、中継装置６００は、携帯装置２００への認証情報の送信が完了した後、認証情報が削除されるまでのあいだ、記憶装置内に残っている認証情報が他の携帯装置へ送信されないような禁止制御を実行する。したがって、認証情報の漏えいや不正利用のリスクを低減できる。

＜第２の実施形態＞
第２の実施形態として、携帯装置への認証情報の送信が完了した後、集配作業を担当する者が変更された場合のシステムの動作を説明する。図８は第２の実施形態におけるシステムの動作を示すチャートである。第１の実施形態と同じ処理については、図７と同じ符号を付す。また、ステップＳ７０４より前の処理、および、ステップＳ７１０より後の処理は、第１の実施形態（図７）のものと同じでよいので、図示を省略する。

図８の例では、集配管理サーバ５００より、集配ユーザＡの担当者情報が中継装置６００に送られた段階で（ステップＳ７０５）、認証情報が集配ユーザＡの携帯装置２００Ａに送信され（ステップＳ７０６）、禁止状態への切り替えが行われる（ステップＳ７０７）。

その後、集配管理サーバ５００より、担当者を集配ユーザＡから集配ユーザＢに変更する旨の情報が中継装置６００に送られると（ステップＳ８００）、中継装置６００はまず、変更前の集配ユーザＡの携帯装置２００Ａに対し、認証情報の削除要求を送る（ステップＳ８０１）。携帯装置２００Ａが削除要求に応じて、メモリ内の認証情報を削除すると（ステップＳ８０２）、削除処理の完了通知が中継装置６００に送られる（ステップＳ８０３）。

携帯装置２００Ａが記憶していた認証情報が削除されたことがわかると、中継装置６００は、禁止状態を一旦解除する（ステップＳ８０４）。そして、中継装置６００は、変更後の担当者である集配ユーザＢの携帯装置２００Ｂに対し認証情報を送信し（ステップＳ８０５）、禁止状態への切り替えが行われる（ステップＳ８０６）。これにより、集配ユーザＢは携帯装置２００Ｂを用いて車両１０の操作が可能となる。

以上述べた動作によれば、担当者の変更が発生した場合に、変更後の担当者の携帯装置にすみやかに認証情報を送ることができる。また、変更前の担当者の携帯装置から認証情報が削除されるまでは、変更後の担当者の携帯装置への認証情報の送信が行われないので、認証情報の唯一性を保証することができる。したがって、認証情報の漏えいや不正利用のリスクを低減することができる。

＜その他＞
上記実施形態は、本発明のいくつかの具体例を例示的に説明するものにすぎない。本発明は上記実施形態には限定されることはなく、その技術的思想の範囲内でさまざまな変形が可能である。

例えば、上記実施形態では、開始通知または終了通知により車両の操作が行われたことを確認した後に、中継装置６００が記憶装置内に残っている認証情報を削除する、という手順を採用している。この手順は、第２の実施形態のように、担当者変更に対しすみやかに対応することができるという利便性を有する。しかし、中継装置６００が保管している認証情報を削除するタイミングは、この例に限られず、例えば図９に示すように、中継装置６００が認証情報を担当者の携帯装置２００に送信した後、直ちに、記憶装置内の認証情報を削除してもよい（ステップＳ９００）。このようなタイミングで認証情報の削除を行うことにより、認証情報が複数の携帯装置に送信されることを防止でき、認証情報の唯
一性を保証できる。また、記憶装置内に認証情報を一時保管する期間を最小限にできるので、認証情報の漏えいリスクを可及的に小さくできる。

また、上記実施形態では、本発明をトランクシェアシステムに適用した例を説明したが、この例に限られず、本発明はさまざまなシステムやサービスに好ましく適用することができる。すなわち、可能化データの提供によりオーナー以外の者に車両を操作させる、という仕組みを利用するシステムやサービス（例えば、カーシェアリング、運転代行など）であれば、どのようなものにも本発明を適用できる。

また、上記実施形態では、スマートキーのような振る舞いをするキーユニットを例示したが、本発明の適用範囲はこれに限られない。例えば、車両の制御系に接続された施解錠制御装置と携帯装置とがダイレクトに無線通信を行う構成でもよい。また、近距離無線通信によりダイレクトに通信を行う方式ではなく、車両側の装置と携帯装置とがインターネットを介して通信を行う方式でもよい。

１：トランクシェアシステム
１０：車両
１０Ａ：車載装置
５０：依頼ユーザの携帯装置
１００：キーユニット
２００：集配ユーザの携帯装置
３００：施解錠装置
４００：センタサーバ
５００：集配管理サーバ
６００：中継装置

Claims (14)

1. 車両の操作を可能化するためのデータである可能化データが記憶された携帯装置をもつ者に対し前記車両の操作を可能にするシステムにおいて、前記車両の前記可能化データを発行するセンタサーバから前記車両を操作する予定の者の携帯装置への前記可能化データの提供を中継する中継装置であって、
   前記センタサーバから前記車両の前記可能化データを取得する取得手段と、
   前記取得手段により取得した前記可能化データを記憶装置に一時的に保管する一時保管手段と、
   前記車両の操作を担当する担当者が使用する携帯装置に対し、前記記憶装置に保管されている前記可能化データを送信する送信手段と、
   を有し、
   前記取得手段は、前記車両を操作する予定は決まっているが誰が操作を担当するかが未定の段階で、前記センタサーバから前記車両の前記可能化データを取得し、
   前記送信手段は、前記車両の操作を担当する担当者が決まった後に、前記担当者が使用する携帯装置に対し、前記記憶装置に保管されている前記可能化データを送信する
   ことを特徴とする中継装置。
2. 前記取得手段は、前記車両を操作する予定日時を示す情報を少なくとも含む要求を前記センタサーバに送信することにより、前記センタサーバから前記要求に対応する前記可能化データの提供を受ける
   ことを特徴とする請求項１に記載の中継装置。
3. 前記車両の操作を担当する者を特定するための担当者情報を受け付ける担当者情報受付手段をさらに有し、
   前記送信手段は、前記担当者情報受付手段が前記担当者情報を受け付けると、前記担当者情報により特定される者が使用する携帯装置に対し前記可能化データを送信する
   ことを特徴とする請求項１または請求項２に記載の中継装置。
4. 前記担当者が使用する前記携帯装置への前記可能化データの送信が完了した後、前記記憶装置に保管されている前記可能化データを削除する削除手段をさらに有することを特徴とする請求項１から請求項３のいずれか１項に記載の中継装置。
5. 前記削除手段は、前記担当者が使用する前記携帯装置への前記可能化データの送信が完了し、かつ、前記担当者による前記車両の操作を確認した後、前記記憶装置に保管されている前記可能化データを削除する
   ことを特徴とする請求項４に記載の中継装置。
6. 前記担当者が前記車両の操作を開始したこと、または、操作を終了したことを示す通知を、前記担当者が使用する前記携帯装置から受信する通知受信手段をさらに有し、
   前記削除手段は、前記通知受信手段により前記通知を受信したことに応じて、前記記憶装置に保管されている前記可能化データを削除する
   ことを特徴とする請求項５に記載の中継装置。
7. 前記担当者が使用する前記携帯装置への前記可能化データの送信が完了した後、前記削除手段により前記可能化データが削除されるまでのあいだ、前記記憶装置内に残っている前記可能化データが他の携帯装置へ送信されることを禁止する禁止手段をさらに有する
   ことを特徴とする請求項５または請求項６に記載の中継装置。
8. 前記担当者が使用する前記携帯装置への前記可能化データの送信が完了した後、前記車両の操作を担当する者が前記担当者から他の者に変更された場合に、
   前記禁止手段が、禁止状態を解除し、
   前記送信手段が、前記他の者が使用する携帯装置へ前記可能化データを送信する
   ことを特徴とする請求項７に記載の中継装置。
9. 前記車両の操作を担当する者を変更する処理を行う担当者変更手段をさらに備え、
   前記担当者が使用する前記携帯装置への前記可能化データの送信が完了した後、前記車両の操作を担当する者が前記担当者から他の者に変更される場合に、
   前記担当者変更手段が、前記担当者が使用する前記携帯装置に記憶されている前記可能化データを削除する削除処理を行い、
   前記送信手段が、前記担当者変更手段による前記削除処理が完了した後、前記他の者が使用する携帯装置へ前記可能化データを送信する
   ことを特徴とする請求項５から請求項８のいずれか１項に記載の中継装置。
10. 前記車両は、前記車両の操作に利用される車載ユニットを有しており、
    前記可能化データは、前記車載ユニットが前記携帯装置の認証に用いる認証情報であり、
    前記携帯装置に記憶されている前記可能化データによって前記携帯装置の認証が成功した場合に、前記車載ユニットを利用した前記車両の操作が可能になる
    ことを特徴とする請求項１から請求項９のいずれか１項に記載の中継装置。
11. 前記車載ユニットは近距離無線通信により前記携帯装置の認証を行う
    ことを特徴とする請求項１０に記載の中継装置。
12. 前記車載ユニットは、前記携帯装置の認証が成功した場合に、前記車両のスマートキーと同じ振る舞いを行う装置である
    ことを特徴とする請求項１０または請求項１１に記載の中継装置。
13. 車両の操作を可能化するためのデータである可能化データが記憶された携帯装置をもつ者に対し前記車両の操作を可能にするシステムにおいて、前記車両の前記可能化データを発行するセンタサーバから前記車両を操作する予定の者の携帯装置への前記可能化データの提供を中継する中継装置の制御方法であって、
    前記センタサーバから前記車両の前記可能化データを取得するステップと、
    取得した前記可能化データを記憶装置に一時的に保管するステップと、
    前記車両の操作を担当する担当者が使用する携帯装置に対し、前記記憶装置に保管されている前記可能化データを送信するステップと、
    を有し、
    前記車両を操作する予定は決まっているが誰が操作を担当するかが未定の段階で、前記センタサーバから前記車両の前記可能化データを取得し、
    前記車両の操作を担当する担当者が決まった後に、前記担当者が使用する携帯装置に対し、前記記憶装置に保管されている前記可能化データを送信する
    ことを特徴とする中継装置の制御方法。
14. コンピュータを、請求項１から請求項１２のいずれか１項に記載の中継装置の各手段として機能させるためのプログラム。

Images