JP7421856B2 - 運転管理システム、車両、及び、情報処理方法 - Google Patents

Description

本開示は、運転管理システム、車両、及び、情報処理方法に関する。

近年、自動車の走行制御を自動的に行う自動運転システムの研究開発が盛んに行われている。自動運転システムでは、自動車の中に配置された電子制御装置（以下、ＥＣＵ：ElectronicControl Unit）が連携して、走行制御が行われる。

また、自動運転システムでは、運転者が運転するすなわち運転者が自動車の走行制御を行う手動運転モードと自動車が自律走行するすなわち自動車の走行制御を自動的に行う自動運転モードとを切り替えることで、安全な走行を担保する。

例えば、特許文献１には、交通法規に基づいてあらかじめ定められた切り替え条件に合致するかどうかを判断して、手動運転モードから自動運転モードに切り替える技術が開示されている。

特開２０１７－６１３２０号公報

ところで、自動運転モード中において、自動車事故があった場合、運転者に責任がなく自動車自体に問題がある。

しかしながら、特許文献１に開示される技術では、当該自動車事故があった場合、自動運転モード中の事故であったか、手動運転モード中の事故であったかを客観的に判断できない。そのため、自動運転システムを実現する自動運転機能に問題があるか否かを検証できず、自動運転機能の改善を図れない。この結果、より安全な自動運転システムの構築を行えないという問題にも繋がる。

本開示は、上述の事情を鑑みてなされたもので、車両における運転モードの切り替えを確実に管理することができる運転管理システム等を提供することを目的とする。

本開示の一態様に係る運転管理システムは、１以上の認証サーバと、手動運転及び自動運転が切り替え可能な１以上の車両とを備える運転管理システムであって、前記１以上の車両のそれぞれは、前記１以上の認証サーバの少なくとも一の認証サーバと通信を行う第１通信部と、前記車両内のネットワークに接続する複数の電子制御装置と、前記複数の電子制御装置のうちの１以上の電子制御装置が発するメッセージに基づき、手動運転される手動運転モードと自動運転される自動運転モードとの切り替えを検知する検知部と、前記検知部が検知した切り替えを示す情報及び当該車両を示す第１の識別子を含む第１トランザクションデータを生成し、前記第１通信部を介して前記一の認証サーバに送信するトランザクションデータ生成部と、備える。前記少なくとも一の認証サーバのそれぞれは、前記１以上の車両のそれぞれと通信を行う第２通信部と、前記１以上の車両の少なくとも一の車両から取得した前記第１トランザクションデータを含むトランザクションデータの正当性を判断する検証部と、前記検証部により正当性が確認された前記トランザクションデータを記憶装置に記録する記録部とを備える。

なお、これらの包括的または具体的な態様は、システム、方法、集積回路、コンピュータプログラムまたはコンピュータで読み取り可能なＣＤ－ＲＯＭなどの記録媒体で実現されてもよく、システム、方法、集積回路、コンピュータプログラム及び記録媒体の任意な組み合わせで実現されてもよい。

本開示によれば、車両における運転モードの切り替えを確実に管理することができる。

実施の形態に係る運転管理システムの構成の一例を示した図である。 実施の形態に係る車両が有する車載ネットワークシステムの全体構成の一例を示す図である。 実施の形態に係るヘッドユニットの機能構成の一部を示す図である。 実施の形態に係るゲートウェイの機能構成を示すブロック図である。 実施の形態に係る認証サーバの機能構成を示すブロック図である。 ブロックチェーンのデータ構造を示す説明図である。 トランザクションデータのデータ構造を示す説明図である。 実施の形態に係るカーメーカサーバの機能構成を示すブロック図である。 実施の形態におけるカーメーカサーバと認証サーバとの間の登録処理を示すシーケンス図である。 図８Ａに示すステップＳ１０４の詳細処理を示すフローチャートである。 実施の形態に係る車両と認証サーバとの間の第１検証処理を示すシーケンス図である。 図９Ａに示すステップＳ２０１の詳細処理を示すフローチャートである。 図９Ａに示すステップＳ２０５の詳細処理を示すフローチャートである。 実施の形態１に係る車両と認証サーバとの間の第２検証処理を示すシーケンス図である。 図１０Ａに示すステップＳ２０９の詳細処理を示すフローチャートである。 図１０Ａに示すステップＳ２１３の詳細処理を示すフローチャートである。 図１０Ａに示すステップＳ２１５の詳細処理を示すフローチャートである。 実施の形態に係る車両で表示される画面表示の一例を示す図である。 実施の形態に係る車両で表示される画面表示の一例を示す図である。 実施の形態の変形例に係る認証サーバの機能構成を示すブロック図である。 実施の形態の変形例に係るカーメーカサーバと認証サーバとの間の登録処理を示すシーケンス図である。 実施の形態の変形例に係る認証サーバが第３トランザクションデータを記録する際に用いるデータ構造の一例である。 実施の形態の変形例に係る車両と認証サーバとの間の第１検証処理を示すシーケンス図である。 実施の形態の変形例に係る認証サーバが第１トランザクションデータを記録する際に用いるデータ構造の一例である。

本開示の一態様に係る運転管理システムは、１以上の認証サーバと、手動運転及び自動運転が切り替え可能な１以上の車両とを備える運転管理システムであって、前記１以上の車両のそれぞれは、前記１以上の認証サーバの少なくとも一の認証サーバと通信を行う第１通信部と、前記車両内のネットワークに接続する複数の電子制御装置と、前記複数の電子制御装置のうちの１以上の電子制御装置が発するメッセージに基づき、手動運転される手動運転モードと自動運転される自動運転モードとの切り替えを検知する検知部と、前記検知部が検知した切り替えを示す情報及び当該車両を示す第１の識別子を含む第１トランザクションデータを生成し、前記第１通信部を介して前記一の認証サーバに送信するトランザクションデータ生成部と、備える。前記少なくとも一の認証サーバのそれぞれは、前記１以上の車両のそれぞれと通信を行う第２通信部と、前記１以上の車両の少なくとも一の車両から取得した前記第１トランザクションデータを含むトランザクションデータの正当性を判断する検証部と、前記検証部により正当性が確認された前記トランザクションデータを記憶装置に記録する記録部とを備える。

これにより、車両における運転モードの切り替えの履歴を記憶装置に記録することができるので、車両における運転モードの切り替えを確実に管理することができる。

また、例えば、前記記録部は、前記１以上の車両のそれぞれを一意に識別する第２の識別子を前記記憶装置に予め記録しており、前記検証部は、前記第１トランザクションデータに含まれる前記第１の識別子が、前記第２の識別子に含まれているかと、前記第１トランザクションデータの正当性とを検証し、前記記録部は、前記検証部により、前記第１の識別子が前記第２の識別子に含まれていることが確認され、かつ、前記第１トランザクションデータの正当性が確認された場合、前記第１トランザクションデータを前記記憶装置に記録するとしてもよい。

また、例えば、前記１以上の車両のそれぞれは、さらに、情報の入力を受け付ける入力部を備え、前記入力部は、入力された情報であって、切り替わった自動運転モードが継続されることが承認された旨を示す情報を前記トランザクションデータ生成部に送信し、前記トランザクションデータ生成部は、前記入力された情報を含む第２トランザクションデータを生成し、前記第１通信部を介して前記一の認証サーバに送信するとしてもよい。

また、例えば、前記トランザクションデータ生成部は、前記検知部が検知した切り替えを示す情報が手動運転モードから自動運転モードに切り替えられたことを示す場合、前記検知部が検知した切り替えを示す情報、及び、当該車両を示す第１の識別子に加えて、前記自動運転モードにおける自動運転レベルを示す情報を含む前記第１トランザクションデータを生成し、前記第１通信部を介して前記一の認証サーバに送信するとしてもよい。

また、例えば、前記トランザクションデータ生成部は、前記検知部が検知した切り替えを示す情報が手動運転モードから自動運転モードに切り替えられたことを示す場合、前記検知部が検知した切り替えを示す情報、及び、当該車両を示す第１の識別子に加えて、前記自動運転モードにおいて動作する運転アシスト機能を示す情報を含む前記第１トランザクションデータを生成し、前記第１通信部を介して前記一の認証サーバに送信するとしてもよい。

また、例えば、前記１以上の車両のそれぞれは、さらに、所定期間毎またはイベント毎に、当該車両の運転者に関する情報を示すセンサ情報を取得するセンサ部を備え、前記センサ部は、取得した前記センサ情報を前記トランザクションデータ生成部に送信し、前記トランザクションデータ生成部は、前記切り替えを示す情報、前記第１の識別子、及び前記センサ情報を含む第１トランザクションデータを生成し、前記第１通信部を介して前記一の認証サーバに送信するとしてもよい。

また、例えば、前記記録部は、前記１以上の車両のそれぞれを一意に識別する第２の識別子を前記記憶装置に予め記録しており、前記検証部は、前記第１トランザクションデータに含まれる前記第１の識別子が、前記第２の識別子に含まれていない場合、前記第１の識別子が前記第２の識別子に含まれていない旨を通知するとしてもよい。

また、例えば、前記トランザクションデータ生成部は、さらに、前記第１トランザクションデータを含むトランザクションデータを、ブロックチェーンのトランザクションデータとして生成し、前記記録部は、前記第１トランザクションデータを含むトランザクションデータをブロックチェーンのトランザクションデータとして記録するとしてもよい。

以下、図面を参照しながら、実施の形態について説明する。なお、以下で説明する実施の形態は、いずれも本開示の一具体例を示す。つまり、以下の実施の形態で示される数値、形状、材料、構成要素、構成要素の配置及び接続形態、ステップ、ステップの順序などは、本開示の一例であり、本開示を限定する主旨ではない。また、以下の実施の形態における構成要素のうち、最上位概念を示す独立請求項に記載されていない構成要素は、本開示の課題を達成するために必ずしも必要ではないが、より好ましい形態を構成する構成要素として説明される。

（実施の形態）
［１．１ システム構成］
まず、本開示のシステム構成について説明する。

本開示の運転管理システムは、車両における自動運転モードと手動運転モードとの間の切り替えである運転モードの切り替えを確実に管理する。以下では、図面を参照しながら実施の形態における運転管理システム等の説明を行う。

［１．１．１ 運転管理システム１０の全体構成］
図１は、本実施の形態に係る運転管理システムの構成の一例を示した図である。

運転管理システム１０は、１以上の認証サーバと、手動運転及び自動運転が切り替え可能な１以上の車両とを備える。本実施の形態では、運転管理システム１０は、図１に示すように、例えば、車両１００ａ、１００ｂ、１００ｃと、認証サーバ２００ａ、２００ｂ、２００ｃと、カーメーカサーバ３００とを備える。これらは、車両１００ａ等及び認証サーバ２００ａ等と、認証サーバ２００ａ等同士、カーメーカサーバ３００と認証サーバ２００ａ等とは、ネットワークＮで接続されている。また、認証サーバ２００ａ、２００ｂ、２００ｃは記憶装置２０１ａ、２０１ｂ、２０１ｃと接続する。認証サーバ２００ａ等は、記憶装置２０１ａ等とネットワークＮを介して接続されていてもよいし、内部に記憶装置２０１ａを備えてもよい。記憶装置２０１ａは、ブロックチェーンのトランザクション及びブロックが電子的に記録される。

［１．１．２ 車両１００ａの構成］
車両１００ａ等は、例えば手動運転と自動運転とが切り替え可能な自動車であるが、これに限られない。車両１００ａ等は、手動運転と自動運転とが切り替え可能な自動二輪車、船舶等であってもよい。つまり、車両１００ａ等は、運転者が車両の走行制御を行う手動運転モードと車両が自律走行するすなわち自動車の走行制御を自動的に行う自動運転モードとを切り替えることができればよい。また、車両１００ａ等は、車両１００ａ内のネットワークに複数のＥＣＵが接続されており、自動運転モードにおいて、複数のＥＣＵが連携して、車両１００ａの走行制御を自動的に行うものであればよい。

図２は、本実施の形態に係る車両１００ａが有する車載ネットワークシステムの全体構成の一例を示す図である。車両１００ｂ、１００ｃも同様の構成であるため、車両１００ａを例に挙げて説明する。

複数の電子制御装置は、車両１００ａ等内のネットワークで接続されている。より具体的には、複数の電子制御装置であるＥＣＵ１１１、ＥＣＵ１２１、ＥＣＵ１３１、ＥＣＵ１４１、ＥＣＵ１５１、及びゲートウェイ１０１が車載ネットワークで接続されている。ここで、車載ネットワークはＣＡＮであってもよいし、Ｅｔｈｅｒｎｅｔ（登録商標）であってもよいし、ＣＡＮとＥｔｈｅｒｎｅｔ（登録商標）とが混在したものであってもよい。なお、車載ネットワークがＥｔｈｅｒｎｅｔ（登録商標）を含む場合でも、ブロードキャストでメッセージが送信されるとしてもよい。

車載ネットワークには、例えば、エンジン１１０、バッテリー１３０、及び、図示しないモータなどの燃料の制御に関連する駆動系のＥＣＵが接続されている。図２に示す例では、車載ネットワークには、エンジン１１０用のＥＣＵ１１１、バッテリー１３０用のＥＣＵ１３１が接続されている。

また、車載ネットワークには、運転アシスト部１２０、並びに、図示しない自動ブレーキ、車線維持、車間距離機能、衝突防止機能、及び、エアバッグなどの安全快適機能系ＥＣＵが接続されている。図２に示す例では、車載ネットワークには、運転アシスト部１２０用のＥＣＵ１２１が接続されている。本実施の形態では、運転アシスト部１２０用のＥＣＵ１２１は、例えば、運転アシスト部１２０の運転アシスト機能がＯＮになり、車両１００ａの運転モードが自動運転モードと手動運転モードとの間で切り替わった時にその旨を示すメッセージを送信する。なお、運転アシスト部１２０用のＥＣＵ１２１は、定期的に送信しているメッセージに車両１００ａの運転モードが自動運転モードと手動運転モードとの間で切り替わったこと示す情報を含めてもよい。

また、車載ネットワークには、ヘッドユニット１４０などインフォテイメント系ＥＣＵが接続されている。図２に示す例では、車載ネットワークには、ヘッドユニット１４０用のＥＣＵ１４１が接続されている。なお、ヘッドユニット１４０用のＥＣＵ１４１がなく、ヘッドユニット１４０がＥＣＵ１４１を介さず車載ネットワークに直接接続されていてもよい。本実施の形態では、ヘッドユニットは後述する表示部及び入力部を有し、車両１００ａに搭乗している運転者等のユーザに対し、画面の表示及び情報入力を受け付ける機能を有する。

図３は、本実施の形態に係るヘッドユニット１４０の機能構成の一部を示す図である。図３に示すように、ヘッドユニット１４０は、表示部１４１１と入力部１４１２とを有する。

表示部１４１１は、認証サーバ２００ａ等の一から送信された画面情報に示される画面をユーザに表示する。本実施の形態では、表示部１４１１は、自動運転モードに切り替わったことを通知し、かつ、自動運転モードを継続するか否かをユーザに確認するための画面を表示する。

入力部１４１２は、情報の入力を受け付ける。入力部１４１２は、ユーザにより入力された情報であって、切り替わった自動運転モードが継続されることが承認された旨を示す情報をゲートウェイ１０１に送信する。具体的には、入力部１４１２は、表示部１４１１により表示された画面において、切り替わった自動運転モードを継続することの承認または確認を示す情報である確認情報がユーザにより入力される。そして、入力部１４１２は、入力された確認情報を、ゲートウェイ１０１またはゲートウェイ１０１を介して認証サーバ２００ａ等に送信する。

また、車載ネットワークには、認証サーバ２００ａ等と通信する通信機能を有する通信部１５０など通信系ＥＣＵが接続されている。図２に示す例では、車載ネットワークには、通信部１５０用のＥＣＵ１５１が接続されている。

なお、上述したＥＣＵ１１１～ＥＣＵ１５１は、それぞれが接続する部品と一体すなわち１つの部品で構成されるとしてもよい。例えば、エンジン１１０とこれに接続されるeＥＣＵ１１１とが一体すなわち１つの部品として構成されてもよい。他のＥＣＵも同様である。

このような複数の電子制御装置すなわちＥＣＵ１１１～ＥＣＵ１５１は、接続されたものの状態等を取得し、定期的または非定期的に得した状態等を示すメッセージを送信する。例えば、ＥＣＵ１１１は、エンジン１１０の回転数を状態等として取得し、定期的に回転数を示すメッセージを送信する。また、例えばＥＣＵ１２１は、上述したように、運転アシスト部１２０の運転アシスト機能がＯＮになった時にメッセージを送信する。

次に、車載ネットワークに接続されているゲートウェイ１０１について説明する。

［１．１．３ ゲートウェイ１０１の構成］
図４は、本実施の形態に係るゲートウェイ１０１の機能構成を示すブロック図である。

ゲートウェイ１０１は、車両１００ａ等に搭載され、図４に示すように、検知部１１０１と、トランザクションデータ生成部１１０２と、第１通信部１１０３とを備える。以下、各構成要素について説明する。

＜検知部１１０１＞
検知部１１０１は、複数の電子制御装置のうちの１以上の電子制御装置が発するメッセージに基づき、手動運転される手動運転モードと自動運転される自動運転モードとの切り替えを検知する。図２に示す例では、検知部１１０１は、車載ネットワークに接続しているＥＣＵ１２１が送信するメッセージから、運転アシスト部１２０のアシスト機能の切り替えとして運転モードの切り替えを検知する。ここで、運転モードの切り替えには、手動運転モードから自動運転モードに切り替わったこと、または、自動運転モードから手動運転モードに切り替わったことが含まれる。

より具体的には、検知部１１０１は、車載ネットワークに接続しているＥＣＵ１２１が送信するメッセージから、手動運転中に自動運転の機能がＯＮになったことを検知した場合、手動運転モードから自動運転モードに切り替わったと検知してもよい。また、検知部１１０１は、車載ネットワークに接続しているＥＣＵ１２１が送信するメッセージから、自動運転中に運転者により手動運転が行われたことを検知した場合、自動運転モードから手動運転モードに切り替わったと検知してもよい。

また、検知部１１０１は、運転アシスト部１２０のアシスト機能の切り替えとして、自動駐車機能により車両１００ａ等が自動的に駐車する駐車モードに切り替わったことなどを検知してもよい。

なお、運転アシスト部１２０のアシスト機能の切り替えがあったか否かを検知する検知方法としてはいくつか挙げられる。例えば、検知部１１０１は、車載ネットワークに接続している、運転アシスト部１２０用のＥＣＵ１２１が送信するメッセージから運転アシスト部１２０のアシスト機能の切り替えがあったか否かを検知してもよい。また、検知部１１０１は、車両１００ａ等の車外に搭載されるセンサ（不図示）の情報またはセンサ用のＥＣＵが送信するメッセージから運転アシスト部１２０のアシスト機能の切り替えがあったか否かを検知してもよい。

本実施の形態では、検知部１１０１は、運転アシスト部１２０のアシスト機能の切り替えを検知した場合、当該切り替えを示す情報である切り替え情報をトランザクションデータ生成部１１０２へ送信する。そして、切り替え情報は、手動運転モードと自動運転モードとの切り替えを示す情報などを含む。

＜トランザクションデータ生成部１１０２＞
トランザクションデータ生成部１１０２は、検知部１１０１が検知した切り替え情報及び当該車両を示す第１の識別子を含む第１トランザクションデータを生成する。トランザクションデータ生成部１１０２は、生成した第１トランザクションデータを、第１通信部１１０３を介して認証サーバ２００ａ等の一に送信する。また、トランザクションデータ生成部１１０２は、第１トランザクションデータをブロックチェーンのトランザクションデータとして生成する。

本実施の形態では、トランザクションデータ生成部１１０２は、検知部１１０１から取得した切り替え情報から、ブロックチェーンのトランザクションデータである第１トランザクションデータを生成する。ここで、切り替え情報が運転モードの切り替えを示す情報であるとする。この場合、第１トランザクションデータには、運転モードの切り替えを示す切り替え情報と、切り替わった時刻と、車両１００ａ等を示す第１の識別子と、これらを含む情報に対する署名とが含まれる。

ここで、当該署名を生成するために必要な署名鍵は、あらかじめゲートウェイ１０１が保持してもよい。また、当該署名を生成するために必要な署名鍵は、ヘッドユニット１４０の入力部１４１２に入力された秘密情報を基に生成されてもよい。

なお、運転モードの切り替えを示す切り替え情報は、自動運転モードから手動運転モードに切り替わったことを示す情報でもよいし、手動運転モードから自動運転モードに切り替わったことを示す情報でもよい。また、当該切り替え情報は、運転モードの切り替え以外である運転アシスト部１２０のアシスト機能の切り替えを示す情報でもよい。この場合、切り替え情報に、運転アシスト部１２０が有するアシスト機能のうちのどの運転アシスト機能が切り替わった運転アシスト機能として用いられているかを示す情報をさらに含めてもよい。

また、トランザクションデータ生成部１１０２は、ヘッドユニット１４０から取得した確認情報から、ブロックチェーンのトランザクションデータすなわち後述する確認情報を含む第２トランザクションデータを生成して、第１通信部１１０３を介して認証サーバ２００ａ等に送信するとしてもよい。トランザクションデータ生成部１１０２は、確認情報を含む第２トランザクションデータを、例えば、ユーザの承諾情報を含めて生成してもよい。この承諾情報は、例えば、手動運転モードから自動運転モードに切り替わったことを確認し、当該自動運転モードを継続することをユーザが承諾したことを示す情報である。

＜第１通信部１１０３＞
第１通信部１１０３は、１以上の認証サーバ２００ａ等の少なくとも一の認証サーバと通信を行う。より具体的には、第１通信部１１０３は、車載システムに接続されている通信部１５０を介して認証サーバ２００ａ等のうち少なくとも一と通信を行う通信インタフェースである。この通信は、ＴＬＳ（Transport Layer Security）によりなされてもよい。その場合、ＴＬＳ通信用の暗号鍵は通信部１５０または第１通信部１１０３で保持してもよい。

次に、認証サーバ２００ａ等について説明する。

［１.１．４ 認証サーバ２００ａの構成］
図５は、本実施の形態に係る認証サーバ２００ａの機能構成を示すブロック図である。認証サーバ２００ｂ、２００ｃも同様の構成であるため、認証サーバ２００ａを例に挙げて説明する。

認証サーバ２００ａは、図５に示すように、画面生成部２１１と、トランザクションデータ検証部２１２と、トランザクションデータ生成部２１３と、ブロック生成部２１４と、同期部２１５と、記録部２１６と、第２通信部２１７とを備える。認証サーバ２００ａは、プロセッサがメモリを用いて所定のプログラムを実行することで実現され得る。以下、各構成要素について説明する。

＜画面生成部２１１＞
画面生成部２１１は、車両１００ａ等から取得した第１トランザクションデータに含まれる切り替え情報により、運転モードが手動運転モードから自動運転モードに切り替わったと判断された場合、ユーザに表示するための画面を生成する。例えば、画面生成部２１１は、車両１００ａ等の搭乗者であるユーザに、運転モードが自動運転モードに切り替わったことを通知し、かつ、自動運転モードを継続するか否かをユーザに確認するための画面を生成する。

そして、画面生成部２１１は、生成した画面を示す画面情報を第２通信部２１７を介し車両１００ａ等のゲートウェイ１０１に送信する。

＜トランザクションデータ検証部２１２＞
トランザクションデータ検証部２１２は、検証部の一例であり、１以上の車両の少なくとも一の車両１００ａから取得した第１トランザクションデータを含むトランザクションデータの正当性を検証する。例えば、トランザクションデータ検証部２１２は、第１トランザクションデータに含まれる第１の識別子が、第２の識別子に含まれているかと、第１トランザクションデータの正当性とを検証する。トランザクションデータ検証部２１２は、第１トランザクションデータに含まれる第１の識別子が、第２の識別子に含まれていない場合、第２通信部２１７を介して、第１の識別子が第２の識別子に含まれていない旨を通知する。

本実施の形態では、トランザクションデータ検証部２１２は、車両１００ａ等から取得した第１トランザクションデータの正当性を検証する。

具体的には、トランザクションデータ検証部２１２は、車両１００ａ等から第１トランザクションデータを取得すると、第１トランザクションデータに含まれる署名すなわち認証情報が正当であるかを検証する。また、トランザクションデータ検証部２１２は、第１トランザクションデータを取得すると、第１の識別子が正当であるかを検証する。より詳細には、トランザクションデータ検証部２１２は、第１トランザクションデータに含まれる第１の識別子が、記録部２１６に予め記録されている正規の車両を示す第２の識別子に含まれるかを検証する。これにより、第１トランザクションデータに含まれる第１の識別子に示される車両が、正規に登録された、手動運転と自動運転とが切り替え可能な車両であるかを検証することができる。

トランザクションデータ検証部２１２は、検証した結果、取得した第１トランザクションデータの正当性を確認した場合には、記録部２１６に第１トランザクションデータを記録させ、同期部２１５に第１トランザクションデータを通知させる。

トランザクションデータ検証部２１２は、同様に、車両１００ａ等から取得した第２トランザクションデータの正当性を検証する。トランザクションデータ検証部２１２は、検証した結果、第２トランザクションデータの正当性を確認した場合、記録部２１６に第２トランザクションデータを記録させ、同期部２１５に第２トランザクションデータを通知すればよい。

また、トランザクションデータ検証部２１２は、同様に、カーメーカサーバ３００から取得した第３トランザクションデータの正当性を検証する。トランザクションデータ検証部２１２は、検証した結果、第３トランザクションデータの正当性を確認した場合、記録部２１６に第３トランザクションデータを記録させ、同期部２１５に第３トランザクションデータを通知すればよい。

なお、第２トランザクションデータ及び第３トランザクションデータの詳細は後述する。

＜トランザクションデータ生成部２１３＞
トランザクションデータ生成部２１３は、車両１００ａ等から確認情報を取得した場合には、当該確認情報を含む第２トランザクションデータを生成してもよい。この場合、トランザクションデータ生成部２１３は、当該確認情報を含む第２トランザクションデータに、さらにユーザの承諾情報を含めて生成してもよい。この承諾情報は、例えば、手動運転モードから自動運転モードに切り替わったことを確認し、当該自動運転モードを継続することをユーザが承諾または確認したことを示す情報である。

なお、このような第２トランザクションデータは、トランザクションデータ生成部２１３が生成する場合に限らず、上述したように、車両１００ａ等のゲートウェイ１０１により生成されてもよい。ゲートウェイ１０１により生成される第２トランザクションデータは、車両１００ａ等からトランザクションデータ生成部２１３により取得されてもよいし、ブロック生成部２１４により取得されてもよい。

＜ブロック生成部２１４＞
ブロック生成部２１４は、複数の認証サーバの間でコンセンサスアルゴリズムを実行する。コンセンサスアルゴリズムは、PBFT（Practical Byzantine Fault Tolerance）とよばれるコンセンサスアルゴリズムを用いてもよいし、その他の公知のコンセンサスアルゴリズムを用いても良い。本実施の形態では、ブロック生成部２１４は、認証サーバ２００ａ、認証サーバ２００ｂ及び認証サーバ２００ｃの間でコンセンサスアルゴリズムを実行する。

ブロック生成部２１４は、まず、一以上のトランザクションデータを含むブロックチェーンのブロックを生成する。そして、ブロック生成部２１４は、コンセンサスアルゴリズムで合意形成ができた場合、記録部２１６に記録させる。ブロック生成部２１４により生成されたブロックは、記録部２１６に記録されているブロックチェーンに接続されて記録される。

ここで、ブロックチェーンのデータ構造と、トランザクションデータのデータ構造とについて説明する。

図６Ａは、ブロックチェーンのデータ構造を示す説明図である。

ブロックチェーンは、その記録単位であるブロックがチェーン（鎖）上に接続されたものである。それぞれのブロックは、複数のトランザクションデータと、直前のブロックのハッシュ値とを有している。具体的には、ブロックＢ２には、その前のブロックＢ１のハッシュ値が含まれている。そして、ブロックＢ２に含まれる複数のトランザクションデータと、ブロックＢ１のハッシュ値とから演算されたハッシュ値が、ブロックＢ２のハッシュ値として、ブロックＢ３に含められる。このように、前のブロックの内容をハッシュ値として含めながら、ブロックをチェーン状に接続することで、接続されたトランザクションデータの改ざんを有効に防止する。

仮に過去のトランザクションデータが変更されると、ブロックのハッシュ値が変更前と異なる値になり、改ざんしたブロックを正しいものとみせかけるには、それ以降のブロックすべてを作り直さなければならず、この作業は現実的には非常に困難である。

本実施の形態では、各トランザクションデータは、切り替え情報を含む第１トランザクションデータ、ユーザの確認情報を含む第２トランザクションデータ、及び、後述する正規の車両の登録に関する第３トランザクションデータなどである。

図６Ｂは、トランザクションデータのデータ構造を示す説明図である。

図６Ｂに示されるトランザクションデータＤ１は、例えば運転モードの切り替えを示す切り替え情報を含む第１トランザクションデータの一例である。トランザクションデータＤ１は、保持者を示すアドレスＰ１と、提供先を示すアドレスＰ２と、アドレスＰ１及びＰ２のハッシュ値に対して、保持者の署名鍵で署名することで生成される電子署名Ｐ３とを含んでいる。なお、新たにトランザクションデータが生成されるときのトランザクションデータは、アドレスＰ１が空欄となる。

＜同期部２１５＞
同期部２１５は、複数の認証サーバの間でブロックチェーンのブロックの同期、及び、トランザクションデータの同期を行う。複数の認証サーバでは、peer to peerでブロックチェーンのトランザクションデータの同期が行われ、記録部２１６に記録される。

例えば、トランザクションデータ検証部２１２により、車両１００ａから取得した第１トランザクションデータの正当性が検証されると、同期部２１５は、他の認証サーバ２００ｂ及び２００ｃに第１トランザクションデータの複製を転送する。これにより、検証済みの第１トランザクションデータを他の認証サーバ２００ｂ及び２００ｃの記録部２１６に記録させることができる。また、同期部２１５は、他の認証サーバ２００ｂ及び２００ｃから第１トランザクションデータを取得したら、取得した第１トランザクションデータを記録部２１６に記録させる。なお、第２トランザクションデータ及び第３トランザクションデータの場合も同様であるので、説明は省略する。

＜記録部２１６＞
記録部２１６は、第１トランザクションデータと、第２トランザクションデータと、第３トランザクションデータとをブロックチェーンのブロックで記憶装置２０１ａに記録する。なお、当該記憶装置２０１ａは、記録部２１６の内部に構成されていてもよいし、図１に示すように、認証サーバ２００ａの外部に構成されていてもよい。

本実施の形態では、記録部２１６は、トランザクションデータ検証部２１２により正当性が確認された例えば第１トランザクションデータと、第２トランザクションデータと、第３トランザクションデータとを含むトランザクションデータを記憶装置２０１ａに記録する。記録部２１６は、第１トランザクションデータと、第２トランザクションデータと、第３トランザクションデータとを含むトランザクションデータをブロックチェーンのトランザクションデータとして記録する。

ここで、記録部２１６は、１以上の車両のそれぞれを一意に識別する第２の識別子を記憶装置２０１ａに予め記録していてもよい。予め記録される第２の識別子により示される車両は、例えば、カーメーカなどが認定し、手動運転と自動運転とが切り替え可能な正規の車両であって動作保証のある車両である。

より具体的には、記録部２１６は、トランザクションデータ検証部２１２により、第１の識別子が第２の識別子に含まれていることが確認され、かつ、第１トランザクションデータの正当性が確認された場合、第１トランザクションデータを記憶装置２０１ａに記録してもよい。これにより、正規の車両において運転モードが切り替わったことが記憶装置２０１ａに確実に記録される。

＜第２通信部２１７＞
第２通信部２１７は、車両１００ａ等、及び、カーメーカサーバ３００と通信を行う通信インタフェースである。この通信は、ＴＬＳによりなされてもよい。その場合、ＴＬＳ通信用の暗号鍵は第２通信部２１７が保持してもよい。

本実施の形態では、第２通信部２１７は、１以上の車両１００ａ等のそれぞれと通信を行う。第２通信部２１７は、トランザクションデータ検証部２１２により、第１の識別子が第２の識別子に含まれていないことが確認され、かつ、第１トランザクションデータの正当性が確認された場合、第１の識別子が第２の識別子に含まれていない旨を通知する。これにより、当該車両が非正規であったり、運転モードの切り替えを含む運転アシスト部１２０のアシスト機能の切り替えが不正であったりすることを判断することができる。

次に、カーメーカサーバ３００について説明する。

［１．１．５ カーメーカサーバ３００の構成］
図７は、本実施の形態に係るカーメーカサーバ３００の機能構成を示すブロック図である。

カーメーカサーバ３００は、図７に示すように、入力部３１１と、トランザクションデータ生成部３１２と、第３通信部３１３とを備える。カーメーカサーバ３００は、プロセッサがメモリを用いて所定のプログラムを実行することで実現され得る。以下、各構成要素について説明する。

＜入力部３１１＞
入力部３１１は、カーメーカで管理している車両であって手動運転と自動運転とが切り替え可能な正規の車両に関する入力を受け付け、トランザクションデータ生成部３１２へ送信する。より具体的には、入力部３１１は、カーメーカで管理している複数の正規の車両それぞれを一意に識別する第２の識別子の入力を受け付ける。そして、入力部３１１は、入力された第２の識別子をトランザクションデータ生成部３１２へ送信する。

＜トランザクションデータ生成部３１２＞
トランザクションデータ生成部３１２は、入力部３１１から取得した第２の識別子を含み正規の車両を登録する旨を示す第３トランザクションデータをブロックチェーンのトランザクションデータとして生成する。

本実施の形態では、トランザクションデータ生成部３１２は、正規の車両を登録する旨を示す第３トランザクションデータを、第２の識別子とカーメーカサーバ３００の署名とを含めて生成する。なお、署名は、認証情報の一例であるので、カーメーカサーバ３００が入力するパスワードが得られる場合には、当該パスワードのハッシュ値であってもよいし、当該パスワードから生成した署名鍵を用いて生成されてもよい。

＜第３通信部３１３＞
第３通信部３１３は、車両１００ａ等、及び、認証サーバ２００ａ等との通信を行う通信インタフェースである。この通信は、ＴＬＳとしてもよい。この通信は、ＴＬＳによりなされてもよい。その場合、ＴＬＳ通信用の暗号鍵は第３通信部３１３で保持するとしてもよい。

［１．２ 動作等］
以下、以上のように構成された運転管理システム１０の処理動作について説明する。

［１．２．１ カーメーカサーバ３００と認証サーバ２００ａ等との間の登録処理］
まず、認証サーバ２００ａ等に、手動運転と自動運転とが切り替え可能な正規の車両を一意に識別する第２の識別子を登録する登録処理について説明する。ここでは、カーメーカサーバ３００から認証サーバ２００ａ等のうちの一の認証サーバ２００ａに第２の識別子を含む第３トランザクションデータを送信する場合について説明する。

図８Ａは、本実施の形態に係るカーメーカサーバ３００と認証サーバ２００ａ等との間の登録処理を示すシーケンス図である。図８Ｂは、図８Ａに示すステップＳ１０４の詳細処理を示すフローチャートである。

まず、ステップＳ１０１において、カーメーカサーバ３００は、手動運転と自動運転とが切り替え可能な正規の車両を示す第２の識別子を取得する。

次に、ステップＳ１０２において、カーメーカサーバ３００は、取得した正規の車両を示す第２の識別子を含む第３トランザクションデータを生成する。本実施の形態では、第３トランザクションデータは、例えば、第２の識別子とカーメーカサーバ３００の署名などの認証情報とを含めて生成される。

次に、ステップＳ１０３において、カーメーカサーバ３００は生成した第３トランザクションデータを認証サーバ２００ａに送信する。なお、図８Ａでは、カーメーカサーバ３００は、生成した第３トランザクションデータを認証サーバ２００ａに送信する例が示されているが、これに限らない。認証サーバ２００ａ等のうちのいずれかの認証サーバに送信すればよい。

次に、ステップＳ１０４において、認証サーバ２００ａは、取得した第３トランザクションデータの検証を行い、成功した場合に、記録部２１６に第３トランザクションデータを記録させて、ステップＳ１０６に進む。

ここで、ステップＳ１０４の詳細処理について、図８Ｂを用いて説明する。すなわち、認証サーバ２００ａは、まず、取得した第３トランザクションデータの検証を行い、成功したか否かを確認する（Ｓ１０４１）。より詳細には、認証サーバ２００ａは、第３トランザクションデータに含まれる第２の識別子が正当であるかと、第３トランザクションデータに含まれるカーメーカサーバ３００の署名が正当であるかとを検証する。つまり、認証サーバ２００ａは、第２の識別子及び署名が正当であるか否かを確認する。ステップＳ１０４１において、認証サーバ２００ａは、第２の識別子及び署名が正当であることを確認し、第３トランザクションデータの検証が成功した場合（Ｓ１０４１でＹ）、記録部２１６に第３トランザクションデータを記録させて（Ｓ１０４２）、ステップＳ１０６に進む。なお、ステップＳ１０４１において、認証サーバ２００ａは、第３トランザクションデータの検証が成功しなかった場合（Ｓ１０４１でＮ）、カーメーカサーバ３００にその旨を通知し（Ｓ１０４３）、登録処理を終了する。

次に、ステップＳ１０６において、認証サーバ２００ａは、取得した第３トランザクションデータの複製を、他の認証サーバ２００ｂ、２００ｃに転送する。なお、他の認証サーバ２００ｂ、２００ｃにおいても、転送され取得した第３トランザクションデータを検証する。この検証処理は、図８Ｂで説明した処理と同様である。

次に、ステップＳ１０７において、認証サーバ２００ａと認証サーバ２００ｂと認証サーバ２００ｃとは、コンセンサスアルゴリズムを実行する。コンセンサスアルゴリズムを実行することで、認証サーバ２００ａと認証サーバ２００ｂと認証サーバ２００ｃとが取得した第３トランザクションデータが正当なトランザクションデータであると検証される。認証サーバ２００ａ、２００ｂ及び２００ｃは、検証済みの第３トランザクションデータを含むブロックの生成を行う。これにより、手動運転と自動運転とが切り替え可能な正規の車両を示す第２の識別子を含む第３トランザクションデータのブロックが生成されるので、ブロックチェーンを参照することで正規の車両であるかの判断ができる。

［１．２．２ 車両１００ａと認証サーバ２００ａ等との間の検証処理］
続いて、車両１００ａにおいて運転モードの切り替えが検知され、車両１００ａと認証サーバ２００ａ等との間で当該切り替えを検証する処理について説明する。ここでは、車両１００ａから認証サーバ２００ａ等のうちの一の認証サーバ２００ａに、当該切り替えを示す切り替え情報と車両１００ａの第１の識別子を含む第１トランザクションデータを送信する場合について説明する。

図９Ａは、本実施の形態に係る車両１００ａと認証サーバ２００ａ等との間の第１検証処理を示すシーケンス図である。図９Ｂは、図９Ａに示すステップＳ２０１の詳細処理を示すフローチャートである。図９Ｃは、図９Ａに示すステップＳ２０５の詳細処理を示すフローチャートである。ここで、第１検証処理を、車両１００ａにおいて運転モードの切り替えが検知され、当該切り替えを示す切り替え情報を含む第１トランザクションデータが検証されるまでの処理として説明する。

まず、ステップＳ２０１において、車両１００ａのゲートウェイ１０１は、車両１００ａにおいて運転モードの切り替えが行われたことを検知する。

ここで、ステップＳ２０１の詳細処理について、図９Ｂを用いて説明する。すなわち、車両１００ａのゲートウェイ１０１は、まず、車載ネットワークに接続している運転アシスト部１２０用のＥＣＵ１２１が送信するメッセージから、運転アシスト部１２０のアシスト機能の切り替えとして運転モードの切り替えを検知したかを確認する（Ｓ２０１１）。ステップＳ２０１１において、ゲートウェイ１０１は、運転モードの切り替えを検知した場合（Ｓ２０１１でＹ）、ステップＳ２０３に進む。なお、ステップＳ２０１１において、ゲートウェイ１０１は、運転モードの切り替えを検知しなかった場合（Ｓ２０１１でＮ）、第１検証処理を終了する。

次に、ステップＳ２０３において、車両１００ａのゲートウェイ１０１は、運転モードの切り替えを示す切り替え情報と車両１００ａを示す第１の識別子を含む第１トランザクションデータを生成する。本実施の形態では、第１トランザクションデータは、例えば、切り替え情報及び第１の識別子と、当該切り替え情報及び第１の識別子を含む情報に対する署名などの認証情報とを含めて生成される。

次に、ステップＳ２０４において、車両１００ａのゲートウェイ１０１は、生成した第１トランザクションデータを認証サーバ２００ａに送信する。なお、図９Ａでは、車両１００ａは、生成した第１トランザクションデータを認証サーバ２００ａに送信する例が示されているが、これに限らない。認証サーバ２００ａ等のうちのいずれの認証サーバに送信してもよい。

次に、ステップＳ２０５において、認証サーバ２００ａは、取得した第１トランザクションデータの検証を行い、成功した場合に、記録部２１６に第１トランザクションデータを記録させて、ステップＳ２０７に進む。

ここで、ステップＳ２０５の詳細処理について、図９Ｃを用いて説明する。すなわち、認証サーバ２００ａは、まず、取得した第１トランザクションデータの検証を行い、成功したか否かを確認する（Ｓ２０５１）。より詳細には、認証サーバ２００ａは、第１トランザクションデータに含まれる第１の識別子が記録部２１６に予め記録されている正規の車両を示す第２の識別子に含まれており正当であるかと、第１トランザクションデータに含まれる署名が正当であるかとを検証する。つまり、認証サーバ２００ａは、第１の識別子及び署名がいずれも正当であるか否かを確認する。ステップＳ２０５１において、認証サーバ２００ａは、第１の識別子及び署名が正当であることを確認し、第１トランザクションデータの検証が成功した場合（Ｓ２０５１でＹ）、記録部２１６に第１トランザクションデータを記録させて（Ｓ２０５２）、ステップＳ２０７に進む。なお、ステップＳ２０５１において、認証サーバ２００ａは、第１トランザクションデータの検証が成功しなかった場合（Ｓ２０５１でＮ）、車両１００ａのゲートウェイ１０１にその旨を通知し（Ｓ２０５３）、第１検証処理を終了する。なお、認証サーバ２００ａは、車両１００ａだけでなく、カーメーカサーバ３００にその旨を通知後に、第１検証処理を終了してもよい。これにより、カーメーカサーバ３００は、不正な車両１００ａを検知したことを知ることができる。

次に、ステップＳ２０７において、認証サーバ２００ａは、取得した第１トランザクションデータの複製を、他の認証サーバ２００ｂ、２００ｃに転送する。他の認証サーバ２００ｂ、２００ｃでも転送され取得した第１トランザクションデータを検証する。この検証処理は、図９Ｃで説明した処理と同様である。

次に、ステップＳ２０８において、認証サーバ２００ａと認証サーバ２００ｂと認証サーバ２００ｃとは、コンセンサスアルゴリズムを実行する。コンセンサスアルゴリズムを実行することで、認証サーバ２００ａと認証サーバ２００ｂと認証サーバ２００ｃとが取得した第１トランザクションデータが正当なトランザクションデータであると検証される。認証サーバ２００ａ、２００ｂ及び２００ｃは、検証済みの第１トランザクションデータを含むブロックの生成を行う。

次に、第１検証処理に続く第２検証処理について説明する。

図１０Ａは、本実施の形態に係る車両１００ａと認証サーバ２００ａ等との間の第２検証処理を示すシーケンス図である。図１０Ｂは、図１０Ａに示すステップＳ２０９の詳細処理を示すフローチャートである。図１０Ｃは、図１０Ａに示すステップＳ２１３の詳細処理を示すフローチャートである。図１０Ｄは、図１０Ａに示すステップＳ２１５の詳細処理を示すフローチャートである。第２検証処理は、運転モードの切り替えを示す第１トランザクションデータが記録される第１検証処理に続いて行われる。より詳細には、第２検証処理は、第１検証処理後において、手動運転モードから自動運転モードへの運転モードの切り替わりを継続することをユーザが確認したことを含む第２トランザクションデータが検証されるまでの処理である。

まず、ステップＳ２０９において、認証サーバ２００ａは、第１トランザクションデータに含まれる運転モードの切り替えの判定を行う。

ここで、ステップＳ２０９の詳細処理について、図１０Ｂを用いて説明する。すなわち、認証サーバ２００ａは、まず、切り替えられた運転モードが、自動運転モードであるか手動運転モードであるかを確認する（Ｓ２０９１）。より詳細には、認証サーバ２００ａは、ブロック生成済みの第１トランザクションデータに含まれる切り替え情報が示す切り替えられた運転モードが、自動運転モードであるか手動運転モードであるかを確認する。ステップＳ２０９１において、認証サーバ２００ａは、切り替えられた運転モードが、自動運転モードである場合（Ｓ２０９１で自動運転モード）、自動運転モード切り替え画面を生成し（Ｓ２０９２）、ステップＳ２１２に進む。なお、ステップＳ２０９１において、認証サーバ２００ａは、切り替えられた運転モードが、手動運転モードである場合（Ｓ２０９１で手動運転モード）、手動運転モード切り替え画面を生成し（Ｓ２０９３）、ステップＳ２１２に進む。

次に、ステップＳ２１２において、認証サーバ２００ａは、ステップＳ２０９で生成した画面を示す画面情報を、車両１００ａに送信する。

次に、ステップＳ２１３において、車両１００ａは、認証サーバ２００ａから取得した画面を表示する。本実施の形態では、車両１００ａは、当該画面を、ヘッドユニット１４０で表示する。

ここで、ステップＳ２１３の詳細処理について、図１０Ｃを用いて説明する。すなわち、車両１００ａは、まず、認証サーバ２００ａから取得した画面が、自動運転モード切り替え画面であるか手動運転モード切り替え画面であるかを確認する（Ｓ２１３１）。ステップＳ２１３１において、車両１００ａは、認証サーバ２００ａから取得した画面が、自動運転モード切り替え画面である場合（Ｓ２１３１で自動運転モード切り替え画面）、自動運転モード切り替え画面を表示する（Ｓ２１３２）。本実施の形態では、自動運転モード切り替え画面は、例えば図１１に示すような画面である。ここで、図１１は、本実施の形態に係る車両１００ａで表示される画面表示の一例を示す図である。図１１では、「手動運転モードへの切り替えが検出されました。自動運転モードを継続しますか？」といった画面表示の例が示されている。すなわち、図１１には、車両１００ａにおいて運転モードが自動運転モードに切り替わったことと、切り替わった自動運転モードをそのまま継続するかをユーザに確認する（または承認させる）ための画面表示の一例が示されている。そして、図１１に示す画面において、ユーザが「はい」を選択すると、切り替わった自動運転モードをそのまま継続することをユーザが確認または承認したことになる。一方、図１１に示す画面において、ユーザが「いいえ」を選択すると、ユーザが当該自動運転モードの切り替わりをそのまま継続することを承認しないことになる。すなわち、ステップＳ２１３３において、車両１００ａは、ユーザの承認を示す入力があったか否かを確認し、ユーザの承認を示す入力があれば（Ｓ２１３３でＹ）、ステップＳ２１４に進む。一方、ユーザの承認を示す入力がなければ（Ｓ２１３３でＹ）、第２検証処理を終了する。

なお、ステップＳ２１３１において、車両１００ａは、認証サーバ２００ａから取得した画面が、手動運転モード切り替え画面である場合（Ｓ２１３１で手動運転モード切り替え画面）、手動運転モード切り替え画面を表示し（Ｓ２１３４）第２検証処理を終了する。

本実施の形態では、手動運転モード切り替え画面は、例えば図１２に示すような画面である。ここで、図１２は、本実施の形態に係る車両１００ａで表示される画面表示の一例を示す図である。図１２では、「手動運転モードへの切り替えが検出されました。」といった画面表示の例が示されている。すなわち、図１２には、車両１００ａにおいて運転モードが手動運転モードに切り替わったことをユーザに通知するための画面表示の一例が示されている。図１２に示す画面が表示されるときには、ユーザは手動運転中であるため、図１２に示す画面には、ユーザに対して選択させるものは表示されない。

次に、ステップＳ２１４において、ユーザの確認または承認を示す入力を示す確認情報を含む第２トランザクションデータを生成して、認証サーバ２００ａに送信する。ユーザの確認または承認を示す入力を示す確認情報とは、例えば図１１に示される「はい」を示す情報であってもよいし、切り替わった自動運転モードをそのまま継続することを承認（確認）したことを示す情報であってもよい。

次に、ステップＳ２１５において、認証サーバ２００ａは、取得した第２トランザクションデータの検証を行い、成功した場合に、記録部２１６に第２トランザクションデータを記録させて、ステップＳ２１７に進む。

ここで、ステップＳ２１５の詳細処理について、図１０Ｄを用いて説明する。すなわち、認証サーバ２００ａは、まず、取得した第２トランザクションデータの検証を行い、成功したか否かを確認する（Ｓ２１５１）。より詳細には、認証サーバ２００ａは、第２トランザクションデータに含まれる署名が正当であるかを検証する。ステップＳ２１５１において、認証サーバ２００ａは、署名が正当であることを確認し、第２トランザクションデータの検証が成功した場合（Ｓ２１５１でＹ）、記録部２１６に第２トランザクションデータを記録させて（Ｓ２１５２）、ステップＳ２１７に進む。なお、ステップＳ２１５１において、認証サーバ２００ａは、第２トランザクションデータの検証が成功しなかった場合（Ｓ２１５１でＮ）、車両１００ａのゲートウェイ１０１にその旨を通知し（Ｓ２１５３）、第２検証処理を終了する。

次に、ステップＳ２１７において、認証サーバ２００ａは、取得した第２トランザクションデータの複製を、他の認証サーバ２００ｂ、２００ｃに転送する。なお、他の認証サーバ２００ｂ、２００ｃにおいても、転送され取得した第２トランザクションデータを検証する。この検証処理は、図１０Ｄで説明した処理と同様である。

次に、ステップＳ２１８において、認証サーバ２００ａと認証サーバ２００ｂと認証サーバ２００ｃとは、コンセンサスアルゴリズムを実行する。コンセンサスアルゴリズムを実行することで、認証サーバ２００ａと認証サーバ２００ｂと認証サーバ２００ｃとが取得した第２トランザクションデータが正当なトランザクションデータであることが検証され。認証サーバ２００ａ、２００ｂ及び２００ｃは、検証済みの第２トランザクションデータを含むブロックの生成を行う。

［１．３ 実施の形態の効果］
以上のように、本実施の形態に係る運転管理システム１０等によれば、車両における運転モードの切り替えすべての履歴を記憶装置に記録することができるので、車両における運転モードの切り替えを確実に管理することができる。また、本実施の形態に係る運転管理システム１０等によれば、手動運転モードから自動運転モードへ運転モードが切り替わった場合、切り替わった自動運転モードをそのまま継続することをユーザが承認または確認したことも履歴として記録する。このようにして、本実施の形態に係る運転管理システムは、車両における運転モードの切り替えを確実に管理することができる。

それにより、車両の故障または事故などの問題が発生した場合に、問題が発生した時点において車両が自動運転モードであったのか手動運転モードであったのかが客観的に判断できる。このため、自動運転システムを実現する自動運転機能に異常などの問題があったかの検証を確実に行うことができるので、自動運転機能に問題があった場合に自動運転機能の改善を行うことができる。よって、自動運転モード中の自動車事故をより抑制することができるので、より安全な自動運転システムを構築することができる。

さらに、本実施の形態に係る運転管理システム１０等によれば、自動運転モード中の自動車事故または故障であったかを客観的に判断できるので、運転者に責任がないことがわかる。この結果、自動車事故または故障による補償等を、カーメーカ及び／または保険会社に求めることができる。

また、本実施の形態に係る運転管理システム１０等によれば、改ざんが困難であるブロックチェーンにより車両における運転モードの切り替えのすべての履歴を管理するので、車両における運転モードの切り替えのすべての履歴が改ざんされずに後からでも確実に確認することができる。よって、自動運転システムを実現する自動運転機能に異常などの問題があったかの検証を確実に行い、自動運転機能に問題があった場合に自動運転機能の改善を行うことができる。それにより、自動運転モード中の自動車事故をより抑制することができ、より安全な自動運転システムを構築することができる。

（変形例）
上記の実施の形態では、改ざんが困難であるブロックチェーンにより車両における運転モードの切り替えを含む運転アシスト部１２０のアシスト機能の切り替えを管理する運転管理システム１０について説明したが、これに限らない。ブロックチェーンを用いずに運転モードの切り替えを含む運転アシスト部１２０のアシスト機能の切り替えを管理してもよい。以下、この場合を変形例として、上記の実施の形態と異なる点を中心に説明する。

［１．４． システム構成］
本変形例の運転管理システム１０は、上記の実施の形態と同様に、運転モードの切り替えを含む運転アシスト部１２０のアシスト機能の切り替えされたことを履歴として記録する。また、本変形例の運転管理システム１０は、上記の実施の形態と同様に、手動運転モードから自動運転モードへの切り替えであれば自動運転モードを継続することをユーザに確認したことも履歴として記録する。

本変形例の運転管理システム１０は、例えば、図１に示す車両１００ａ、１００ｂ、１００ｃなどの１以上の車両と、図１３に示す認証サーバ２００Ａなどの１以上の認証サーバと、カーメーカサーバ３００とを備える。なお、車両１００ａ等は、上記の実施の形態と比較して、第１トランザクションデータ及び第２トランザクションデータをブロックチェーンではないトランザクションデータとして生成する点のみが異なり、他は同様である。また、カーメーカサーバ３００は、上記の実施の形態と比較して、第３トランザクションデータをブロックチェーンではないトランザクションデータとして生成する点のみが異なり、他は同様である。認証サーバ２００Ａについては、後述する。

［１．４．１ 認証サーバ２００Ａの構成］
図１３は、実施の形態の変形例に係る認証サーバ２００Ａの機能構成を示すブロック図である。図５と同様の要素には同一の符号を付しており、詳細な説明は省略する。

図１３に示す認証サーバ２００Ａは、上記の実施の形態に係る認証サーバ２００ａに対して、トランザクションデータ生成部２１３Ａの構成が異なり、ブロック生成部２１４がない点で異なる。

トランザクションデータ生成部２１３Ａは、車両１００ａ等から確認情報を取得した場合、ブロックチェーンではないトランザクションデータである第２トランザクションデータを生成してもよい。その他は、同様であるので説明を省略する。

［１．５ 動作等］
以下、以上のように構成された本変形例の運転管理システム１０の処理動作について説明する。

［１．５．１ カーメーカサーバ３００と認証サーバ２００Ａとの間の登録処理］
まず、認証サーバ２００Ａにおいて手動運転と自動運転とが切り替え可能な正規の車両を一意に識別する第２の識別子を登録する登録処理について説明する。ここでは、カーメーカサーバ３００から、認証サーバ２００Ａに第２の識別子を含む第３トランザクションデータを送信する場合について説明する。

図１４は、実施の形態の変形例に係るカーメーカサーバ３００と認証サーバ２００Ａ等との間の登録処理を示すシーケンス図である。なお、図８Ａ等と同様の要素には同一の符号を付しており、詳細な説明は省略する。図１５は、実施の形態の変形例に係る認証サーバ２００Ａが第３トランザクションデータを記録する際に用いるデータ構造の一例である。

まず、ステップＳ１０１において、カーメーカサーバ３００は、手動運転と自動運転とが切り替え可能な正規の車両を示す第２の識別子を取得する。

次に、ステップＳ１０２において、カーメーカサーバ３００は、取得した正規の車両を示す第２の識別子を含む第３トランザクションデータを生成する。ここで、第３トランザクションデータは、ブロックチェーンとして記録されないトランザクションデータである。

次に、ステップＳ１０３において、カーメーカサーバ３００は、生成した第３トランザクションデータを認証サーバ２００Ａに送信する。

次に、ステップＳ１０４Ａにおいて、認証サーバ２００Ａは、取得した第３トランザクションデータの検証を行い、成功した場合に、ステップＳ１０４Ｂに進む。なお、ステップＳ１０４Ａの詳細処理については、図８Ｂで説明した通りであるのでここでの説明は省略する。

次に、ステップＳ１０４Ｂにおいて、認証サーバ２００Ａは、記録部２１６に第３トランザクションデータを記録させる。より具体的には、認証サーバ２００Ａは、例えば図１５に示すように、登録処理すなわち登録を示す取引において、取得した第２の識別子で示される車両の種別が、手動運転及び自動運転を切り替え可能な正規の自動車であることを記憶装置２０１Ａに記録する。このようにして、認証サーバ２００Ａは、ブロックチェーンではない第３トランザクションデータを記憶装置２０１Ａに記録する。

［１．５．２ 車両１００ａと認証サーバ２００Ａとの間の検証処理］
続いて、車両１００ａにおいて運転モードの切り替えが検知され、車両１００ａと認証サーバ２００Ａとの間で当該切り替えを検証する処理について説明する。ここでは、車両１００ａから、認証サーバ２００Ａに、当該切り替えを示す切り替え情報と車両１００ａの第１の識別子を含む第１トランザクションデータを送信する場合について説明する。

図１６は、実施の形態の変形例に係る車両１００ａと認証サーバ２００Ａとの間の第１検証処理を示すシーケンス図である。なお、図９Ａ等と同様の要素には同一の符号を付しており、詳細な説明は省略する。図１７は、実施の形態の変形例に係る認証サーバ２００Ａが第１トランザクションデータを記録する際に用いるデータ構造の一例である。ここでも、第１検証処理を、車両１００ａにおいて運転モードの切り替えが検知され、当該切り替えを示す切り替え情報を含む第１トランザクションデータが検証されるまでの処理として説明する。

まず、ステップＳ２０１において、車両１００ａのゲートウェイ１０１は、車両１００ａにおいて運転モードの切り替えが行われたことを検知する。ステップＳ２０１の詳細処理については、図９Ｂで説明した通りであるのでここでの説明は省略する。

次に、ステップＳ２０３において、車両１００ａのゲートウェイ１０１は、運転モードの切り替えを示す切り替え情報と車両１００ａを示す第１の識別子とを含む第１トランザクションデータを生成する。本変形例でも、第１トランザクションデータは、例えば、切り替え情報及び第１の識別子と、当該切り替え情報及び当該第１の識別子を含む情報に対する署名などの認証情報とを含めて生成される。

次に、ステップＳ２０４において、車両１００ａのゲートウェイ１０１は、生成した第１トランザクションデータを認証サーバ２００Ａに送信する。

次に、ステップＳ２０５Ａにおいて、認証サーバ２００Ａは、取得した第１トランザクションデータの検証を行い、成功した場合に、ステップＳ２０５Ｂに進む。なお、ステップＳ２０５Ｂの詳細処理については、図９Ｃで説明した通りであるのでここでの説明は省略する。

次に、ステップＳ２０５Ｂにおいて、認証サーバ２００Ａは、記録部２１６に第１トランザクションデータを記録させる。より具体的には、認証サーバ２００Ａは、例えば図１７に示すように、取得した第１の識別子で示される車両における運転モードの切り替えを示す取引において、手動運転モードに切り替わったか自動運転モードに切り替わったかを記憶装置２０１Ａに記録する。また、認証サーバ２００Ａは、例えば図１７に示すように、運転モードの切り替えを示す取引において、自動運転モードに切り替わった場合ユーザの承認があるか否かについてさらに記憶装置２０１Ａに記録する。このようにして、認証サーバ２００Ａは、第１トランザクションデータを記憶装置２０１Ａに記録する。

なお、第１検証処理に続く第２検証処理についても、同様に、認証サーバ２００Ａは、ブロックチェーンを利用しないデータ構造を用いて、第３トランザクションデータを記憶装置２０１Ａに記録する。

［２． その他変形例］
以上、本開示を上記の実施の形態及び変形例に基づいて説明してきたが、本開示は、上記各実施の形態に限定されないのはもちろんである。以下のような場合も本開示に含まれる。

（１）上記の実施の形態では、認証サーバとカーメーカサーバは別の装置として説明したが、認証サーバとカーメーカサーバとが同一の装置で構成されていてもよい。

（２）上記の実施の形態及び変形例では、認証サーバは、運転モードの切り替えでエラーを検知した場合、車両に通知するが、カーメーカサーバにも通知するとしてもよい。

（３）上記の実施の形態における認証サーバが管理するブロックチェーンはカーメーカサーバから参照できるとしてもよい。また、当該ブロックチェーンは、カーメーカだけでなく、保険会社のサーバ（不図示）からも参照できるとしてもよい。

（４）上記の実施の形態及び変形例では、車両１００ａ等のゲートウェイ１０１は運転モードの切り替えを検知し、当該切り替えを示す切り替え情報と当該車両１００ａ等を示す第１の識別子を含む第１トランザクションデータを送信しているが、これに限らない。当該ゲートウェイ１０１は、第１トランザクションデータを、運転アシスト部１２０で動作している機能及び／または運転アシスト部１２０のＥＣＵ１２１を示す識別子も含めて生成してもよい。これにより、自動運転モードにおいて運転アシスト部１２０どの機能が動作しているときに車両１００ａ等が問題すなわち自動運転機能が異常になったかなどを容易に検証することも可能となる。また、車両１００ａ等が問題すなわち自動運転機能が異常になったとき、運転アシスト部１２０のＥＣＵ１２１の識別子により、対応している運転アシスト部１２０で動作する機能の特定も容易に行うことができる。

（５）上記の実施の形態及び変形例では、車両１００ａ等のゲートウェイ１０１は、運転モードの切り替えを検知していたが、これに限らない。車両１００ａ等が有する車載ネットワーク内のいずれのＥＣＵまたはすべてのＥＣＵに同様の機能があり、運転モードの切り替えを検知するとしてもよい。

（６）上記の実施の形態及び変形例では、手動運転モードから自動運転モードに切り替わったことを検知したときに、車両１００ａ等のヘッドユニット１４０に運転者等のユーザに対して画面の表示を行わせ、ユーザによる情報入力をさせていたが、これに限らない。手動運転モードから自動運転モードに切り替わったことを検知したときに、音声によりユーザに対して通知及び自動運転モードの継続の確認を行い、ユーザの音声により情報入力させるとしてもよい。

（７）上記の実施の形態及び変形例では、カーメーカサーバは車両を示す第１の識別子を取得しているが、これに限らない。カーメーカサーバは、当該第１の識別子に加えて当該車両に搭載されている運転アシスト機能または自動運転機能も取得するとしてもよい。これにより、認証サーバが受信した第２トランザクションデータに含まれる運転アシスト機能または自動運転機能とカーメーカサーバから取得した運転アシスト機能または自動運転機能が一致しているかの検証をすることも可能となる。

（８）上記の実施の形態及び変形例では、車両１００ａ等のゲートウェイ１０１は、運転モードの切り替えを検知し、認証サーバに送信していたが、運転モードの切り替えを示す切り替え情報以外に、当該車両１００ａ等が有する車載ネットワーク上に送信されるメッセージを送信するとしてもよい。これにより、認証サーバに記録されている第１トランザクションデータを含むトランザクションデータを参照し、当該車載ネットワーク上のメッセージを確認することで、運転モードの切り替えを検出することが可能となる。また、手動運転モード中のどのタイミングで自動運転モードに切り替えたかの確認もすることができる。

（９）上記実施の形態及び変形例では、車両１００ａ等のゲートウェイ１０１は、運転モードの切り替えを検知し、当該切り替えを示す切り替え情報と第１の識別子とを含む第１トランザクションデータを認証サーバに送信しているが、これに限らない。当該ゲートウェイ１０１は、第１トランザクションデータに、当該車両１００ａに搭載されている自動運転機能または自動運転モードで実行されている自動運転レベルをさらに含めて送信するとしてもよい。

より具体的には、トランザクションデータ生成部１１０２は、検知部１１０１が検知した切り替えを示す情報が手動運転モードから自動運転モードに切り替えられたことを示す場合、検知部１１０１が検知した切り替えを示す情報、及び、当該車両を示す第１の識別子に加えて、自動運転モードにおける自動運転レベルを示す情報を含む第１トランザクションデータを生成し、第１通信部１１０３を介して一の認証サーバに送信してもよい。なお、この場合、図１０Ａ等に示すステップＳ２１２及びＳ２１３において、運転者に自動運転モードを継続するか否かをユーザに確認するための画面を作成し表示する際に、さらに、自動運転レベルも確認するとしてもよい。また、自動運転レベルは、０～５まである。レベル０では、運転者がすべてを操作することを示し、レベル１では、自動運転システムがステアリング操作、加減速のどちらかを支援する運転支援を行うことを示す。レベル２では、自動運転システムがステアリング操作、加減速のどちらも支援する運転支援を行うことを示す。レベル３では、特定の場所で自動運転システムが全てを操作し、緊急時は運転者が操作するといった自動運転を行うことを示す。レベル４では、特定の場所で自動運転システムが全てを操作するといった自動運転を行うことを示す。レベル５では、場所の限定なく自動運転システムが全てを操作する完全自動運転を行うことを示す。

また、トランザクションデータ生成部１１０２は、検知部１１０１が検知した切り替えを示す情報が手動運転モードから自動運転モードに切り替えられたことを示す場合、検知部１１０１が検知した切り替えを示す情報、及び、当該車両を示す第１の識別子に加えて、自動運転モードにおいて動作する運転アシスト機能を示す情報を含む第１トランザクションデータを生成し、第１通信部１１０３を介して一の認証サーバに送信してもよい。

（１０）上記実施の形態及び変形例では、車両１００ａ等のゲートウェイ１０１は、運転モードの切り替えを検知し、当該切り替えを示す切り替え情報と第１の識別子とを含む第１トランザクションデータを認証サーバに送信しているが、これに限らない。当該ゲートウェイ１０１は、第１トランザクションデータに、当該車両１００ａに搭載されるセンサから取得したセンサ情報をさらに含めて送信してもよい。ここで、センサ情報は、運転者の状態を含む車両１００ａの運転者に関する情報である。

より具体的には、１以上の車両のそれぞれは、さらに、所定期間毎またはイベント毎に、当該車両の運転者に関する情報を示すセンサ情報を取得するセンサ部を備え、当該センサ部は、取得したセンサ情報をトランザクションデータ生成部１１０２に送信し、トランザクションデータ生成部１１０２は、切り替えを示す情報、第１の識別子、及びセンサ情報を含む第１トランザクションデータを生成し、第１通信部１１０３を介して一の認証サーバに送信してもよい。

例えば、センサ部は、車両１００ａ等内に設置されたカメラでもよい。この場合、センサ情報は、カメラが撮影した運転者の画像、動画又は虹彩情報を含むとしてもよい。また、例えば、センサ部は、車両１００ａ等内に設置されたミリ波レーダであってもよい。この場合、センサ情報は、ミリ波により取得した運転者の心拍を示す情報を含むとしてもよい。

（１１）上記の実施の形態および変形例における各装置は、具体的には、マイクロプロセッサ、ＲＯＭ、ＲＡＭ、ハードディスクユニット、ディスプレイユニット、キーボード、マウスなどから構成されるコンピュータシステムである。前記ＲＡＭまたはハードディスクユニットには、コンピュータプログラムが記録されている。前記マイクロプロセッサが、前記コンピュータプログラムにしたがって動作することにより、各装置は、その機能を達成する。ここでコンピュータプログラムは、所定の機能を達成するために、コンピュータに対する指令を示す命令コードが複数個組み合わされて構成されたものである。

（１２）上記の実施の形態および変形例における各装置は、構成する構成要素の一部または全部は、１個のシステムＬＳＩ（Large Scale Integration：大規模集積回路）から構成されているとしてもよい。システムＬＳＩは、複数の構成部を１個のチップ上に集積して製造された超多機能ＬＳＩであり、具体的には、マイクロプロセッサ、ＲＯＭ、ＲＡＭなどを含んで構成されるコンピュータシステムである。前記ＲＡＭには、コンピュータプログラムが記録されている。前記マイクロプロセッサが、前記コンピュータプログラムにしたがって動作することにより、システムＬＳＩは、その機能を達成する。

また、上記の各装置を構成する構成要素の各部は、個別に１チップ化されていても良いし、一部又はすべてを含むように１チップ化されてもよい。

また、ここでは、システムＬＳＩとしたが、集積度の違いにより、ＩＣ、ＬＳＩ、スーパーＬＳＩ、ウルトラＬＳＩと呼称されることもある。また、集積回路化の手法はＬＳＩに限るものではなく、専用回路又は汎用プロセッサで実現してもよい。ＬＳＩ製造後に、プログラムすることが可能なＦＰＧＡ（Field Programmable Gate Array）又は、ＬＳＩ内部の回路セルの接続や設定を再構成可能なリコンフィギュラブル・プロセッサを利用しても良い。

さらには、半導体技術の進歩又は派生する別技術によりＬＳＩに置き換わる集積回路化の技術が登場すれば、当然、その技術を用いて機能ブロックの集積化を行ってもよい。バイオ技術の適用等が可能性としてありえる。

（１３）上記の各装置を構成する構成要素の一部または全部は、各装置に脱着可能なＩＣカードまたは単体のモジュールから構成されているとしてもよい。前記ＩＣカードまたは前記モジュールは、マイクロプロセッサ、ＲＯＭ、ＲＡＭなどから構成されるコンピュータシステムである。前記ＩＣカードまたは前記モジュールは、上記の超多機能ＬＳＩを含むとしてもよい。マイクロプロセッサが、コンピュータプログラムにしたがって動作することにより、前記ＩＣカードまたは前記モジュールは、その機能を達成する。このＩＣカードまたはこのモジュールは、耐タンパ性を有するとしてもよい。

（１４）本開示は、上記に示す方法であるとしてもよい。また、これらの方法をコンピュータにより実現するコンピュータプログラムであるとしてもよいし、前記コンピュータプログラムからなるデジタル信号であるとしてもよい。

また、本開示は、前記コンピュータプログラムまたは前記デジタル信号をコンピュータで読み取り可能な記録媒体、例えば、フレキシブルディスク、ハードディスク、ＣＤ－ＲＯＭ、ＭＯ、ＤＶＤ、ＤＶＤ－ＲＯＭ、ＤＶＤ－ＲＡＭ、ＢＤ（Ｂｌｕ－ｒａｙ（登録商標） Ｄｉｓｃ）、半導体メモリなどに記録したものとしてもよい。また、これらの記録媒体に記録されている前記デジタル信号であるとしてもよい。

また、本開示は、前記コンピュータプログラムまたは前記デジタル信号を、電気通信回線、無線または有線通信回線、インターネットを代表とするネットワーク、データ放送等を経由して伝送するものとしてもよい。

また、本開示は、マイクロプロセッサとメモリを備えたコンピュータシステムであって、前記メモリは、上記コンピュータプログラムを記録しており、前記マイクロプロセッサは、前記コンピュータプログラムにしたがって動作するとしてもよい。

また、前記プログラムまたは前記デジタル信号を前記記録媒体に記録して移送することにより、または前記プログラムまたは前記デジタル信号を前記ネットワーク等を経由して移送することにより、独立した他のコンピュータシステムにより実施するとしてもよい。

（１５）上記実施の形態及び上記変形例をそれぞれ組み合わせるとしてもよい。

本開示は、運転管理システム、車両、及び、運転管理システムの情報処理方法に利用でき、特に自動車などの車両において運転モードの切り替えを確実に管理する運転管理システム、車両、及び、運転管理システムの情報処理方法に利用できる。

１００ａ、１００ｂ、１００ｃ 車両
１０１ ゲートウェイ
１１０ エンジン
１１１、１２１、１３１、１４１、１５１ ＥＣＵ
１２０ 運転アシスト部
１３０ バッテリー
１４０ ヘッドユニット
１５０ 通信部
２００ａ、２００Ａ、２００ｂ、２００ｃ 認証サーバ
２１１ 画面生成部
２１２ トランザクションデータ検証部
２１３、２１３Ａ トランザクションデータ生成部
２１４ ブロック生成部
２１５ 同期部
２１６ 記録部
２１７ 第２通信部
３００ カーメーカサーバ
３１１ 入力部
３１２ トランザクションデータ生成部
３１３ 第３通信部
１１０１ 検知部
１１０２ トランザクションデータ生成部
１１０３ 第１通信部
１４１１ 表示部
１４１２ 入力部

Claims (10)

1. １以上の認証サーバと、手動運転及び自動運転が切り替え可能な１以上の車両とを備える運転管理システムであって、
   前記１以上の車両のそれぞれは、
   前記１以上の認証サーバの少なくとも一の認証サーバと通信を行う第１通信部と、
   前記車両内に設けられた車載ネットワークに接続する複数の電子制御装置と、
   前記複数の電子制御装置のうちの前記車両の運転アシスト部に接続された１以上の電子制御装置が、前記車両の運転モードが自動運転される自動運転モードと手動運転される手動運転モードとの間で切り替わった時に発するメッセージに基づき、手動運転モードと自動運転モードとの切り替えを検知する検知部と、
   前記検知部が検知した切り替えを示す情報、前記検知部が切り替えを検知した時刻及び当該車両を示す第１の識別子を含む第１トランザクションデータをブロックチェーンのトランザクションデータとして生成し、前記第１通信部を介して前記一の認証サーバに送信するトランザクションデータ生成部と、
   を備え、
   前記少なくとも一の認証サーバのそれぞれは、
   前記１以上の車両のそれぞれと通信を行う第２通信部と、
   前記１以上の車両の少なくとも一の車両から取得した前記第１トランザクションデータを含むトランザクションデータの正当性を判断する検証部と、
   前記検証部により正当性が確認された前記トランザクションデータをブロックチェーンのブロックで記憶装置に記録する記録部とを備える、
   運転管理システム。
2. 前記記録部は、前記１以上の車両のそれぞれを一意に識別する第２の識別子を前記記憶装置に予め記録しており、
   前記検証部は、前記第１トランザクションデータに含まれる前記第１の識別子が、前記第２の識別子に含まれているかと、前記第１トランザクションデータの正当性とを検証し、
   前記記録部は、
   前記検証部により、前記第１の識別子が前記第２の識別子に含まれていることが確認され、かつ、前記第１トランザクションデータの正当性が確認された場合、前記第１トランザクションデータを前記記憶装置に記録する、
   請求項１に記載の運転管理システム。
3. 前記１以上の車両のそれぞれは、さらに、
   情報の入力を受け付ける入力部を備え、
   前記入力部は、入力された情報であって、切り替わった自動運転モードが継続されることが承認された旨を示す情報を前記トランザクションデータ生成部に送信し、
   前記トランザクションデータ生成部は、前記入力された情報を含む第２トランザクションデータを生成し、前記第１通信部を介して前記一の認証サーバに送信する、
   請求項１または２に記載の運転管理システム。
4. 前記トランザクションデータ生成部は、前記検知部が検知した切り替えを示す情報が手動運転モードから自動運転モードに切り替えられたことを示す場合、前記検知部が検知した切り替えを示す情報、及び、当該車両を示す第１の識別子に加えて、前記自動運転モードにおける自動運転レベルを示す情報を含む前記第１トランザクションデータを生成し、前記第１通信部を介して前記一の認証サーバに送信する、
   請求項１～３のいずれか１項に記載の運転管理システム。
5. 前記トランザクションデータ生成部は、前記検知部が検知した切り替えを示す情報が手動運転モードから自動運転モードに切り替えられたことを示す場合、前記検知部が検知した切り替えを示す情報、及び、当該車両を示す第１の識別子に加えて、前記自動運転モードにおいて動作する運転アシスト機能を示す情報を含む前記第１トランザクションデータを生成し、前記第１通信部を介して前記一の認証サーバに送信する、
   請求項１～４のいずれか１項に記載の運転管理システム。
6. 前記１以上の車両のそれぞれは、さらに、
   所定期間毎またはイベント毎に、当該車両の運転者に関する情報を示すセンサ情報を取得するセンサ部を備え、
   前記センサ部は、取得した前記センサ情報を前記トランザクションデータ生成部に送信し、
   前記トランザクションデータ生成部は、前記切り替えを示す情報、前記第１の識別子、及び前記センサ情報を含む第１トランザクションデータを生成し、前記第１通信部を介して前記一の認証サーバに送信する、
   請求項１～５のいずれか１項に記載の運転管理システム。
7. 前記記録部は、前記１以上の車両のそれぞれを一意に識別する第２の識別子を前記記憶装置に予め記録しており、
   前記検証部は、前記第１トランザクションデータに含まれる前記第１の識別子が、前記第２の識別子に含まれていない場合、前記第１の識別子が前記第２の識別子に含まれていない旨を通知する、
   請求項１～６のいずれか１項に記載の運転管理システム。
8. 前記自動運転モードは、前記車両が自動的に駐車する駐車モードを含む、
   請求項１～７のいずれか１項に記載の運転管理システム。
9. １以上の認証サーバと手動運転と自動運転とが切り替え可能な１以上の車両とを備える運転管理システムにおける一の車両であって、
   前記１以上の認証サーバの少なくとも一の認証サーバと通信を行う第１通信部と、
   前記一の車両内に設けられた車載ネットワークに接続する複数の電子制御装置と、
   前記複数の電子制御装置のうちの前記一の車両の運転アシスト部に接続された１以上の電子制御装置が、前記車両の運転モードが自動運転される自動運転モードと手動運転される手動運転モードとの間で切り替わった時に発するメッセージに基づき、手動運転される手動運転モードと自動運転される自動運転モードとの切り替えを検知する検知部と、
   前記検知部が検知した切り替えを示す情報、前記検知部が切り替えを検知した時刻及び当該車両を示す第１の識別子を含む第１トランザクションデータをブロックチェーンのトランザクションデータとして生成し、前記第１通信部を介して前記一の認証サーバに送信するトランザクションデータ生成部と、を備える、
   車両。
10. １以上の認証サーバと、手動運転と自動運転とが切り替え可能な１以上の車両とを備える運転管理システムにおける一の認証サーバの情報処理方法であって、
    前記一の認証サーバが、
    前記１以上の車両のそれぞれと通信を行う通信ステップと、
    前記１以上の車両のうちの一の車両から取得した第１トランザクションデータであって前記一の車両内に設けられた車載ネットワークに接続する複数の電子制御装置のうちの前記車両の運転アシスト部に接続された１以上の電子制御装置が、前記車両の運転モードが自動運転される自動運転モードと手動運転される手動運転モードとの間で切り替わった時に発するメッセージに基づき、手動運転される手動運転モードと自動運転される自動運転モードとの切り替えを示す情報、手動運転される手動運転モードと自動運転される自動運転モードとが切り替わった時刻及び当該車両を示す第１の識別子を含む第１トランザクションデータを含むブロックチェーンのトランザクションデータの正当性を検証する検証ステップと、
    前記検証ステップにおいて前記トランザクションデータの正当性が確認されると前記トランザクションデータをブロックチェーンのブロックで記憶装置に記録する記録ステップとを含む、
    情報処理方法。

Images