WO2016056213A1

WO2016056213A1 - 車両の遠隔制御に用いられる命令判定装置および命令判定装置用のプログラム製品

Info

Publication number: WO2016056213A1
Application number: PCT/JP2015/005038
Authority: WO
Inventors: 吉田　一郎; 清彦澤田
Original assignee: 株式会社デンソー
Priority date: 2014-10-07
Filing date: 2015-10-02
Publication date: 2016-04-14
Also published as: JP2016074317A; JP6398567B2

Abstract

　命令判定装置（Order Determination Apparatus）は、車両の外部から送信された遠隔制御命令を受信し（Ｓ１１０）、受信した遠隔制御命令が、車両の安全な走行に悪影響を及ぼすか否かを、遠隔制御命令の対象となる道路の情報、または、車両に搭載されたＥＣＵがアクチュエータを制御する制御量の情報に基づいて、判定し（Ｓ１４０）、悪影響を及ぼすと判定したことに基づいて、遠隔制御命令に従った車両の制御を禁止する（Ｓ１５０）。

Description

車両の遠隔制御に用いられる命令判定装置および命令判定装置用のプログラム製品

関連出願の相互参照

　本出願は、２０１４年１０月７日に出願された日本出願番号２０１４－２０６４２６号に基づくもので、ここにその記載内容を援用する。

　本開示は、車両の遠隔制御に用いられる命令判定装置（Order Determination Apparatus）および命令判定装置用のプログラム製品に関するものである。

　従来、車両外に設置されたセンターから車両に送信された遠隔制御命令に従って車両を走行させる遠隔制御の技術が知られている（例えば、特許文献１参照）。これに対し、センター以外の装置からセンターを偽装した遠隔制御命令を送信することで、車両をクラッキングする技術について、近年研究が行われている。

ＪＰ　２０１１－２５５７５７　Ａ

　車両のクラッキングを目的とした不正な遠隔制御命令のうちでも、車両の安全な走行に悪影響を与えるような遠隔制御命令は、特に排除されることが望ましい。

　本開示は、車両の遠隔制御において、車両の安全な走行に悪影響を与える遠隔制御命令の実行を禁止する技術を提供することを目的とする。

　本開示の第一の例によれば、命令判定装置は、受信部、判定部、禁止部を備えるように提供される。受信部は、車両の外部から送信された遠隔制御命令を受信する。判定部は、受信した遠隔制御命令が、車両の安全な走行に悪影響を及ぼすか否かを、受信した遠隔制御命令が、車両の安全な走行に悪影響を及ぼすか否かを、遠隔制御命令の対象となる道路の情報、または、車両に搭載されたＥＣＵがアクチュエータを制御する制御量の情報、または、遠隔制御命令の対象となる道路を車両が通ったときの走行履歴に基づいて、判定する。禁止部は、判定手段が悪影響を及ぼすと判定したことに基づいて、遠隔制御命令に従った車両の制御を禁止する。

　本開示の第二の例によれば、プログラム製品は、上記の第一の例の命令判定装置の各部の機能を実行させるように提供される。また、このプログラム製品は、各部の機能をコンピュータに実行させるインストラクションを含み、非遷移のコンピュータ読取可能な記憶媒体に記録されて、提供されてもよい。

　これらのように、命令判定装置は、遠隔制御命令が車両の安全な走行に悪影響を及ぼすか否かを、遠隔制御命令の対象となる道路の情報、または、車両に搭載されたＥＣＵがアクチュエータを制御する制御量の情報、または走行履歴情報に基づいて、判定する。したがって、道路の状況またはＥＣＵによるアクチュエータ制御の内容という、遠隔制御の場面または対象に関連する情報を用いて、遠隔制御命令の安全性を判定できる。

　本開示についての上記目的およびその他の目的、特徴や利点は、添付の図面を参照しながら下記の詳細な記述により、より明確になる。
本開示の第１実施形態に係る車両遠隔制御システムの構成図安全性チェック処理のフローチャート一事例の状況を示す図通常画面を示す図遠隔制御画面を示す図問題報知画面を示す図表示装置の表示画面の配置を示す図第２実施形態における安全性チェック処理のフローチャート一事例の状況を示す図データ判定処理のフローチャート挙動予測の内容を例示する図車両の挙動の修正例を示す図

　（第１実施形態）
　以下、本開示の一実施形態について説明する。図１に示す通り、本実施形態に係る車両遠隔制御システムは、車両１、センター２、通信ネットワーク３、中継局４、遠隔制御器５、車載システム１０等を備えている。

　センター２は、車両１の外部の施設に設置され、通信ネットワーク３および無線通信の中継局４を介して車載システム１０と通信することで、車両１を遠隔制御する。具体的には、センター２は、通信ネットワーク３、中継局４を介して車載システム１０に後述する遠隔制御命令を送信する。車載システム１０は、このセンター２からの遠隔制御命令に従って、車両１を走行させる。

　遠隔制御器５は、例えば、悪意を持ってセンター２になりすまして車両１を遠隔制御しようとする者によって操作され、操作内容に応じた車両１の駆動、制動、操舵の内容を、遠隔制御命令として、車載システム１０に送信する。また、遠隔制御器５は、車載システム１０からセンター２に送信される走行状態情報を傍受する場合もある。本実施形態では、車載システム１０は、このような遠隔制御器５からの遠隔制御命令に対しては、従わない場合がある。

　なお、遠隔制御命令は、遠隔制御エリアに車両１が到着する前に、車両１へ送信する必要がある。遠隔制御命令が車両１に送信される際、データ通信の時間的な遅延が生ずるため、センサ群１２の出力をセンター２に送ってリアルタイムの運転制御を行うことは容易ではない。そのため、センター２では、どの遠隔制御エリアでどのような車両制御を行うかがあらかじめ定められている。そして、センター２は、遠隔制御エリア毎に、その遠隔制御エリア内全体における車両制御を実現するための遠隔制御命令が、あらかじめ記憶されている。したがって、センター２は、ある遠隔制御エリアの開始地点から所定距離以内に車両１が近づいたときに、当該遠隔制御エリア用の遠隔制御命令を車両１に送信する。遠隔制御器５が送信する遠隔制御命令についても、遠隔制御エリア全体についての命令である。

　車載システム１０は、車両１に搭載され、通信装置１１、センサ群１２、表示装置１３、操作装置１４、記憶装置１５、ゲートウェー１６、コントローラ１７、駆動制御ＥＣＵ２１、制動制御ＥＣＵ２２、操舵制御ＥＣＵ２３等を含んでいる。

　通信装置１１は、上述のセンター２、遠隔制御器５と通信する装置である。具体的には、ゲートウェー１６から取得した走行状態情報をセンター２に対して送信すると共に、センター２、遠隔制御器５から遠隔制御命令を受信する。受信した遠隔制御命令は、ゲートウェー１６およびコントローラ１７に出力する。

　センサ群１２は、車両１の状態および車両１の周囲の状態を検出する種々のセンサを含んでいる。具体的には、センサ群１２は、車両の前方、横方向、後方を撮影する車載カメラを含んでいる。また、センサ群１２は、車速センサ、加速度センサ、ヨーレートセンサ、ＧＰＳ受信機等の、車両の挙動および位置を検出するセンサを含んでいる。また、センサ群１２は、アクセルペダルの踏み込み量を検出するアクセルペダルセンサ、ブレーキペダルの踏み込み量を検出するブレーキペダルセンサ、ステアリングハンドルの切り角を検出するステアリングセンサ等、車両１に乗車した運転者の運転操作内容を検出するセンサを含んでいる。

　表示装置１３は、車両１に乗車した運転者に画像を表示する装置である。操作装置１４は、車両１に乗車した運転者が操作可能な装置（例えば、タッチパネル、メカニカルスイッチ）である。記憶装置１５は、走行履歴データ（走行履歴情報とも言及される）、周知の地図データ等を記憶する記憶媒体である。

　ゲートウェー１６は、通信装置１１から遠隔制御命令を取得し、取得した遠隔制御命令を駆動制御ＥＣＵ２１、制動制御ＥＣＵ２２、操舵制御ＥＣＵ２３に振り分けて送信する。また、ゲートウェー１６は、センサ群１２から出力される情報のうち、車載カメラの撮影画像、車速、加速度、ヨーレート、現在位置を、センター２に送信するための走行状態情報として、通信装置１１に出力する。尚、「情報」は、「情報項目」と同等として使用されており、不可算名詞のみならず、可算名詞としても使用される。

　コントローラ１７（命令判定装置の一例に相当する）は、通信装置１１から遠隔制御命令を取得し、取得した遠隔制御命令に基づいて、現在以降の車両１の走行軌跡を予測する。そして、その予測した走行軌跡に基づいて、必要に応じて、表示装置１３に注意情報を表示させ、また、必要に応じて、遠隔制御命令に従った車両１の走行の遠隔制御を禁止する。このコントローラ１７は、電子制御装置であり、本実施形態では、一例として、ＣＰＵ、Ｉ／Ｏ、そして、ＲＯＭ，ＲＡＭ等の記憶媒体を備える周知のマイクロコンピュータを含む。記憶媒体に保管された各種プログラムを実行することで、ソフトウエアを利用して後述する各処理（図２、図８の処理）を実現する。尚、コントローラ１７は、プログラムに拠らず、ハードウエアを利用して、複数の機能の各々の一部あるいは、全てを、実行することも可能である。

　車内ＬＡＮ１８には、センサ群１２、ゲートウェー１６、駆動制御ＥＣＵ２１、制動制御ＥＣＵ２２、操舵制御ＥＣＵ２３が接続されており、センサ群１２、駆動制御ＥＣＵ２１、制動制御ＥＣＵ２２、操舵制御ＥＣＵ２３は、この車内ＬＡＮ１８を介して通信を行う。

　駆動制御ＥＣＵ２１は、センサ群１２からアクセルペダル踏み込み量等の情報を取得し、取得した当該情報に基づいて、車両１の動力系および駆動系（走行用モータ、エンジン、トランスミッション等）のアクチュエータの作動を制御する電子制御装置である。ただし、駆動制御ＥＣＵ２１は、ゲートウェー１６から遠隔制御命令の命令セットを受信した場合、アクセルペダル踏み込み量の情報に関わらず、受信した命令セットの内容に従って、車両１の動力系および駆動系を制御する。

　制動制御ＥＣＵ２２は、センサ群１２からブレーキペダル踏み込み量等の情報を取得し、取得した当該情報に基づいて、車両１の制動装置（アクチュエータ）の作動を制御する電子制御装置である。ただし、制動制御ＥＣＵ２２は、ゲートウェー１６から遠隔制御命令の命令セットを受信した場合、ブレーキペダル踏み込み量の情報に関わらず、受信した命令セットの内容に従って制動装置を制御する。

　操舵制御ＥＣＵ２３は、センサ群１２からステアリングハンドルの切り角等の情報を取得し、取得した当該情報に基づいて、車両１の操舵輪の舵角を変化させるアクチュエータの作動を制御する電子制御装置である。ただし、操舵制御ＥＣＵ２３は、ゲートウェー１６から遠隔制御命令の命令セットを受信した場合、ステアリングハンドルの切り角の情報に関わらず、受信した命令セットの内容に従って制動装置を制御する。

　次に、上記のような車両遠隔制御システムの作動について説明する。まず、コントローラ１７は、車両１の走行中に、記憶装置１５に走行履歴データを繰り返し（例えば０．１秒に１回）記録する。走行履歴データは、センサ群１２から取得した車両１の実際の挙動に関する情報（現在位置、走行速度、加速度、走行方向、アクセルペダル踏み込み量、ブレーキペダル踏み込み量、ステアリング切り角等）を、時系列で記録する。

　また、コントローラ１７は、通信装置１１が受信した遠隔制御命令の安全性に問題があるか否かを判定するため、車両１の主電源（例えばＩＧ）がオンになっている間、図２に示す安全性チェック処理を常時実行するようになっている。

　記載されるフローチャートは、複数のセクション（あるいはステップと言及される）を含み、各セクションは、たとえば、Ｓ１１０と表現される。さらに、各セクションは、複数のサブセクションに分割されることができる、一方、複数のセクションが合わさって一つのセクションにすることも可能である。各セクションは、デバイス、モジュールとして言及されることができる。また、上記の説明のように、セクションは、(i)ハードウエアユニット（例えば、コンピュータ）と組み合わさったソフトウエアのセクションのみならず、(ii)ハードウエア（例えば、集積回路、配線論理回路）のセクションとして、関連する装置の機能を含みあるいは含まずに実現できる。さらに、ハードウエアのセクションは、マイクロコンピュータの内部に含まれることもできる。

　本実施形態の一事例として、図３に示すように、車両１が道路３０（直線道路でもよいし、カーブ道路でもよい）を走行している事例について説明する。この事例では、車両１の通信装置１１が、道路３０（遠隔制御エリアの一例に相当する）において、遠隔制御命令３１を受信する。遠隔制御命令３１を受信する前、車載システム１０は、他の遠隔制御命令に基づいて車両１の駆動、制動、操舵を制御していてもよいし、車両１に搭乗する運転者の操作に基づいて車両１の駆動、制動、操舵を制御していてもよい。あるいは、遠隔制御命令３１を受信する前、車載システム１０は、遠隔制御命令にも運転者の操作にも基づかずセンサ群１２の出力内容に基づいて車両１の駆動、制動、操舵を自動的に制御していてもよい。

　通信装置１１は、遠隔制御命令３１を受信した場合、受信した遠隔制御命令３１を、ゲートウェー１６およびコントローラ１７に出力する。ゲートウェー１６は、この遠隔制御命令３１を通信装置１１から取得した場合、すぐにＥＣＵ２１～２３に振り分けて送信するのではなく、自機のメモリ中に一旦保持する。

　コントローラ１７は、安全性チェック処理において、まずＳ１１０で、遠隔制御データの取得を待っている。そして、上記のように通信装置１１から遠隔制御命令３１を取得すると、Ｓ１１５に進む。

　Ｓ１１５では、認証処理を行う。具体的には、受信した遠隔制御命令３１が正規のセンター２から送信されたものであるか否かを特定する。センター２は、車両１宛に遠隔制御命令を送信する際、その遠隔制御命令のヘッダに正規のコードを含める。コントローラ１７は、受信した遠隔制御命令のヘッダに当該正規のコードが含まれているか否かで、受信した遠隔制御命令が正規のセンター２から送信されたものであるか否かを特定する。

　したがって、センター２から上記遠隔制御命令３１が送信された場合、コントローラ１７は、Ｓ１１５で、受信した遠隔制御命令３１が正規のセンター２から送信されたものであることを特定する。

　一方、遠隔制御器５から上記遠隔制御命令３１が送信された場合、何らかの不正な方法で遠隔制御器５に正規のコードが登録されない限り、遠隔制御器５から送信された遠隔制御命令３１のヘッダには正規のコードが含まれない。したがって、コントローラ１７は、Ｓ１１５で、受信した遠隔制御命令３１が正規のセンター２から送信されたものでないことを特定する。

　しかしながら、何らかの不正な方法で遠隔制御器５に正規のコードが登録され、かつ、遠隔制御器５が遠隔制御命令３１のヘッダに当該正規のコードを含めて送信する場合がある。遠隔制御器５の使用者が、なりすましの意図を持って遠隔制御器５を使用している場合がそれに該当する。この場合、コントローラ１７は、Ｓ１１５で、受信した遠隔制御命令３１が正規のセンター２から送信されたものであると特定してしまう。

　Ｓ１２０では、Ｓ１１５の特定結果に従って、受信した遠隔制御命令３１が正規のセンター２から送信されたものであるか否かを判定する。

　センター２が遠隔制御命令３１を送信した場合は、受信した遠隔制御命令３１が正規のセンター２から送信されたものであると判定し、Ｓ１２５に進む。また、遠隔制御器５が遠隔制御命令３１を送信し、遠隔制御命令３１のヘッダに正規のコードが含まれない場合は、受信した遠隔制御命令３１が正規のセンター２から送信されたものでないと判定し、Ｓ１６０に進む。Ｓ１６０では、受信した遠隔制御命令３１を破棄するよう、ゲートウェー１６に破棄命令を出力する。ゲートウェー１６は、この破棄命令に従い、遠隔制御命令３１をＥＣＵ２１～２３に出力することなく、破棄する。

　これにより、ＥＣＵ２１～２３が、遠隔制御命令３１に基づかずに車両１の駆動、制動、操舵を制御する。具体的には、車両１に搭乗する運転者の運転操作に従って車両１の駆動、制動、操舵を制御するか、あるいは、センサ群１２からの情報に基づいて、車両１に搭乗する運転者の運転操作によらず自動的に、車両１の駆動、制動、操舵を制御する。Ｓ１６０の後はＳ１１０に戻る。

　また、遠隔制御器５が遠隔制御命令３１を送信し、遠隔制御命令３１のヘッダに正規のコードが含まれる場合は、受信した遠隔制御命令３１が正規のセンター２から送信されたものであると判定し、Ｓ１２５に進む。

　なお、遠隔制御命令３１には、１つまたは複数の命令セットが含まれ、１つの命令セットには、命令対象のＥＣＵの名称と、当該ＥＣＵに設定する時系列制御量とが含まれる。時系列制御量は、時刻毎の制御量（例えば、制動装置のホイールシリンダ圧、エンジンに供給する燃料の混合比、アクセルスロットル開度）の値が含まれる。

　Ｓ１２５では、遠隔制御命令３１に含まれる命令セット毎に、当該命令セット中の制御量と同種の制御量の情報を、ＥＣＵ２１、２２、２３から取得する。具体的には、コントローラ１７は、命令セット毎に、当該命令セット中の制御量と同じ種類の制御量のデータを命令セット中のＥＣＵに要求するデータ要求を作成し、作成したデータ要求をゲートウェー１６に送信する。するとゲートウェー１６は、取得した各データ要求の要求先のＥＣＵに対して、当該データ要求を送信する。

　ＥＣＵ２１、２２、２３のうち、このデータ要求を受信したＥＣＵは、データ要求によって要求される制御量の、現在値、および、既に作成されていれば近い未来（例えば、現在から数秒以内）の予定値とを、回答データとして、ゲートウェー１６に送信する。するとゲートウェー１６は、当該回答データをコントローラ１７に出力する。このようにして、コントローラ１７は、遠隔制御命令３１に含まれる命令セット毎に、当該命令セット中の制御量と同種の制御量の情報を取得する。

　Ｓ１３０では、各ＥＣＵ２１、２２、２３から取得した回答データに基づいて、車両１の未来の走行軌跡を予測する。具体的には、回答データの制御量の値が各ＥＣＵ２１、２２、２３で実現した場合の車両１の未来の走行軌跡を、センサ群１２から取得した情報も用いて、予測する。車両の挙動を制御するＥＣＵ２１、２２、２３の制御量から車両の走行軌跡をシミュレーションして予測する方法は周知であるので、ここではその詳細な方法については説明を省略する。

　Ｓ１３５では、受信した遠隔制御命令３１に基づく車両１の挙動を予測する。具体的には、遠隔制御命令３１の各命令セットに含まれる値が各ＥＣＵ２１、２２、２３で実現した場合（つまり、車両１が遠隔制御命令３１に従って走行した場合）の車両１の未来の走行軌跡を、センサ群１２から取得した情報も用いて、予測する。遠隔制御命令３１、すなわち、ＥＣＵ２１～２３の制御内容についての命令から、車両の走行軌跡をシミュレーションして予測する方法は周知であるので、ここではその詳細な方法については説明を省略する。

　Ｓ１４０では、Ｓ１３０、Ｓ１３５の予測結果に基づいて、遠隔制御命令３１の安全性に問題があるか否かを判定する。すなわち、遠隔制御命令３１が車両１の安全な走行に悪影響を及ぼすか否かを判定する。

　具体的には、道路３０上で車両１の現在位置から共に直線的に伸びる正常ライン３２と遠隔制御ライン３３との成す角度θの絶対値が第１基準値を超えている場合、問題があると判定し、超えていない場合、問題がないと判定する。

　ここで、正常ライン３２は、Ｓ１３０で予測した未来の走行軌跡に基づいて決定する。具体的には、現在の車両１の走行方向（例えば、ＧＰＳ受信機から取得する）を基準方向とする。そして、Ｓ１３０で予測した走行軌跡上の複数個の点を（例えば等間隔で）選択し、車両１から選択した各点までの方向が上記基準方向に対して成す角度の平均値すなわち平均角度を算出する。そして、当該基準方向から当該平均角度だけずれた方向に車両１から伸びる直線を、正常ライン３２とする。

　このように、ＥＣＵ２１～２２がアクチュエータを制御する制御量の情報に基づいて、遠隔制御命令３１の対象となる道路３０の情報を特定し、特定した情報に基づいて正常ライン３２を決定することができる。したがって、より正確な情報を用いて遠隔制御命令３１が車両１の安全な走行に悪影響を及ぼすか否かを判定できる。

　また例えば、記憶装置１５に記録されている走行履歴データに基づいて、車両１の現在位置およびその前方の道路における過去の走行軌跡を算出し、Ｓ１３０で予測した未来の走行軌跡に対して上述の通り行った処理を、上記過去の走行軌跡に対して行うことで、正常ライン３２を決定してもよい。ここで、車両１の現在位置およびその前方の道路における過去の走行軌跡としては、当該道路を過去に１回のみ走行している場合は、そのときの走行軌跡を用いる。また、当該道路を過去に複数回走行している場合は、その複数回分の走行軌跡を代表する走行軌跡を算出して用いる。複数の走行軌跡を代表する走行軌跡としては、例えば、当該複数の走行軌跡のうち、車両１の現在位置に最も近い位置を通る走行軌跡を採用してもよいし、車両１の現在の走行速度に最も近い平均車速を有する走行軌跡を採用してもよい。

　また例えば、センサ群１２の車載カメラによって撮影された車両１の前方の撮影画像に基づいて、道路３０上の白線を検出し、Ｓ１３０で予測した走行軌跡に対して上述の通り行った処理を、白線に対して行うことで、正常ライン３２を決定してもよい。

　このように、車載カメラの出力に基づいて、遠隔制御命令３１の対象となる道路３０の情報を特定し、特定した情報に基づいて正常ライン３２を決定することができる。したがって、より新鮮な情報を用いて遠隔制御命令３１が車両１の安全な走行に悪影響を及ぼすか否かを判定できる。

　また例えば、記憶装置１５に記憶された地図データに基づいて、車両１の前方の道路形状を特定し、その道路形状に沿って車両１から前方に伸びるラインを正常ライン３２としてもよい。

　このように、地図データに基づいて、遠隔制御命令３１の対象となる道路３０の情報を特定し、特定した情報に基づいて正常ライン３２を決定することができる。したがって、遠隔制御命令３１が車両１の安全な走行に悪影響を及ぼすか否かの判断材料を容易に取得することができる。

　また、遠隔制御ライン３３は、Ｓ１３５で予測した走行軌跡に基づいて決定する。具体的には、Ｓ１３５で予測した走行軌跡に基づいて正常ライン３２を決定したのと同じ方法を採用する。つまり、現在の車両１の走行方向を基準方向とする。そして、Ｓ１３５で予測した走行軌跡上の複数個の点を選択し、車両１から選択した各点までの方向が上記基準方向に対して成す角度の平均値すなわち平均角度を算出する。そして、当該基準方向から当該平均角度だけずれた方向に車両１から伸びる直線を、遠隔制御ライン３３とする。

　このようにして算出される角度θの絶対値は、値が大きいほど遠隔制御命令の内容が正常な走行から大きくずれていることになる。したがって、角度θの絶対値が大きいほど、車両が道路からはみ出すまでの余裕時間が短くなる。

　このように、コントローラ１７は、正常ライン３２と遠隔制御ライン３３との比較によって、遠隔制御命令３１が車両１の安全な走行に悪影響を及ぼすか否かを判定する。したがって、遠隔制御命令３１による車両１の走行方向に関する異常を検知することができる。

　なお、角度θの絶対値の代わりに、Ｓ１３５で予想した走行軌跡に基づいて走行した場合に車両１が道路をはみ出してしまうまでの時間ｔの逆数を採用してもよい。時間ｔは、Ｓ１３５で予想した走行軌跡そのものから算出することもできるし、角度θ、車速、および道路３０の幅、道路３０中の車両の横方向位置等に基づいて算出することもできる。

　問題がないと判定した場合、Ｓ１４５に進み、受信した遠隔制御命令３１を使用するよう、ゲートウェー１６に使用命令を出力する。ゲートウェー１６は、この使用命令に従い、遠隔制御命令３１中の各命令セットを、ＥＣＵ２１～２３のうち命令対象のＥＣＵに出力する。これにより、ＥＣＵ２１～２３の各々は、受信した命令セットに従って、車両１に搭乗する運転者の操作によらず、車両１の駆動、制動、操舵を制御する。つまり、遠隔制御命令３１による車両１の走行の遠隔制御が実現する。Ｓ１４５の後、Ｓ１１０に戻る。

　Ｓ１４０で問題があると判定した場合、Ｓ１５０に進む。Ｓ１５０では、車両１に搭乗する運転者への報知を行う。ここで、Ｓ１５０における当該運転者への報知について説明する。

　Ｓ１５０を実行していない状態、すなわち、通常の状態では、コントローラ１７は、表示装置１３に対して、図４に示すような通常画面４１を表示させている。この通常画面４１は、大部分が、安全運転支援用の画像（例えば車載カメラの撮影画像）またはメディア情報またはカーナビゲーション情報を表示するメイン画像４１ａによって占められている。メディア情報とは、記憶装置１５に記録されている楽曲、画像、動画に関する情報である。そして、通常画面４１の他の部分には、車内ＬＡＮ１８に接続されているＥＣＵ１２～１５の情報を表示するサムネイル画像４１ｂ～４１ｅが複数個配置されている。そして、特定のＥＣＵが異常になると、該当するＥＣＵのサムネイル画像の表示状態を変化させる。

　また、コントローラ１７は、通常画面４１が表示されているときに、図２のＳ１４５を実行して遠隔制御命令３１による車両１の走行の遠隔制御を実現させると、通常画面４１の右上隅に、遠隔制御モードであることを示すアイコン４１ｇを表示させる。運転者はこのアイコンを確認することで、車両１が遠隔制御されていることを確認できる。

　運転者が遠隔制御の具体的な状況を確認するために、操作装置１４に対して所定の操作を行うと、コントローラ１７は、通常画面４１に代えて、図５に示す遠隔制御画面４２を表示装置１３に表示させる。

　この遠隔制御画面４２は、通常画面４１と同じく、メイン画像４１ａ、サムネイル画像４１ｂ～４１ｅを含んでいる。ただし、メイン画像４１ａは、通常画面４１中のものよりも小さい。また、遠隔制御画面４２は、遠隔制御の詳細に関する情報を表示する詳細表示画像４２ｆを含んでいる。

　遠隔制御画面４２が表示されているとき、運転者が、操作装置１４の所定の操作（ステアリングスイッチの操作、表示装置１３の表示画面のタッチ操作、ジェスチャ操作、音声コマンド等）を行ったとする。すると、コントローラ１７は、詳細表示画像４２ｆを更に大きくし、メイン画像４１ｇを更に小さくして画面端部に移動させる。これにより、遠隔制御の詳細について更に詳しく表示できるようになる。あるいはこのとき、メイン画像４１ａ画面を透明に近い状態にして、詳細表示画像４２ｆに重ね合わせるようにしてもよい。

　そして、コントローラ１７は、図２のＳ１５０において、遠隔制御命令３１に問題があることを当該運転者に報知するため、図６に示すような問題報知画面４３を表示装置１３に表示させる。図５の遠隔制御画面４２の背景（画像４１ａ～４１ｅ、４２ｆ以外の部分）が黒系統であるのに対し、問題報知画面４３は、背景の色が赤系統または黄色系統の色になっており、かつ、「注意」の文字を含んでいることで、当該運転者の注意をより強く喚起する。

　また、問題報知画面４３では、安全に問題のある遠隔制御命令３１がＥＣＵ２１～２４のうちどのＥＣＵを対象としているかが表示される。このために、コントローラ１７は、サムネイル画像４１ｂ～４１ｅのうち、遠隔制御命令３１中の命令セットが命令対象としている全ＥＣＵに対応するサムネイル画像４１ｃ、４１ｄを、例えばより詳細に表示する等の方法で、強調表示する。また、コントローラ１７は、詳細表示画像４２ｆ中でも、遠隔制御命令３１中の命令セットが命令対象としている全ＥＣＵの情報を、他の情報よりも強調して表示する。

　また、コントローラ１７は、メイン画像４１ａ内に、手動運転切替ボタン４３ｈを表示させる。これにより、運転者は、緊急な処理が必要であること（不安全状態）を、一目で知ることができる。運転者が操作装置１４に対して手動運転切替ボタン４３ｈを選択する操作を行うと、コントローラ１７は、受信した遠隔制御命令３１を破棄するよう、ゲートウェー１６に破棄命令を出力する。ゲートウェー１６は、この破棄命令に従い、遠隔制御命令３１をＥＣＵ２１～２３に出力することなく、破棄する。これにより、Ｓ１６０と同様に、遠隔制御命令３１による車両１の走行の遠隔制御が禁止される。

　なお、画面４１、４２、４３の表示位置は、図７、図８に示すように、２つのメータ４４、４５（例えば、車速表示メータおよびエンジン回転数表示メータ）の間であってもよい。

　また、Ｓ１５０では、上述の角度θ（または時間ｔの逆数）の絶対値が第１基準値よりも大きい第２基準値を超えたときに、問題報知画面４３よりも更に強く運転者の注意を喚起する警報画面（例えば、より高い輝度の画面）を表示装置１３に表示させてもよい。その場合、警報画面に上述の手動運転切替ボタン４３ｈを含めてもよい。手動運転切替ボタン４３ｈが選択された場合の作動は同じである。

　あるいは、コントローラ１７は、警報画面に上述の手動運転切替ボタン４３ｈを含めるまでもなく、運転者の操作装置１４に対する操作がなくとも、受信した遠隔制御命令３１を破棄するよう、ゲートウェー１６に破棄命令を自動的に出力する。ゲートウェー１６は、この破棄命令に従い、遠隔制御命令３１をＥＣＵ２１～２３に出力することなく、破棄する。これにより、Ｓ１６０と同様に、遠隔制御命令３１による遠隔制御が禁止される。Ｓ１５０の後は、Ｓ１１０に戻る。

　このように、悪意によって遠隔制御器５から通信装置１１に遠隔制御命令３１が送信され、それが正規のセンター２から送信されたデータであると判定されたとしても、車両１の安全性に問題がある遠隔制御命令３１であれば、運転者に警告の報知が行われる。それと共に、操作装置１４を押すというワンタッチ操作で選択可能な手動運転切替ボタン４３ｈを表示する。そして、運転者の当該ワンタッチ操作によって、遠隔制御命令３１が破棄される。したがって、遠隔制御器５を用いて車両１の安全性を脅かそうとする者の企ては失敗する。

　以上のように、本実施形態のコントローラ１７は、遠隔制御器５から送信された遠隔制御命令３１を受信し（Ｓ１１０）、受信した遠隔制御命令３１が、車両の安全な走行に悪影響を及ぼすか否かを、遠隔制御命令３１の対象となる道路の情報、または、車両１に搭載されたＥＣＵ２１～２３がアクチュエータを制御する制御量の情報に基づいて、判定し（Ｓ１４０）、悪影響を及ぼすと判定した場合、運転者の操作に基づいて、遠隔制御命令に従った車両の制御を禁止する（Ｓ１５０）。

　このように、コントローラ１７は、遠隔制御命令３１が車両１の安全な走行に悪影響を及ぼすか否かを、遠隔制御命令の対象となる道路の情報、または、車両１に搭載されたＥＣＵ２１～２３がアクチュエータを制御する制御量の情報に基づいて、判定する。したがって、道路の状況またはＥＣＵ２１～２３によるアクチュエータ制御の内容という、遠隔制御の場面または対象に関連する情報を用いて、遠隔制御命令３１の安全性を判定できる。

　（第２実施形態）
　次に、本開示の第２実施形態について説明する。本実施形態は、第１実施形態に対して、図２の安全性チェック処理を図８の処理に置き換えたものである。

　以下、本実施形態の車両遠隔制御システムの作動について説明する。コントローラ１７は、通信装置１１が受信した遠隔制御命令の安全性に問題があるか否かを判定するため、車両１の主電源（例えばＩＧ）がオンになっている間、図８に示す安全性チェック処理を常時実行するようになっている。

　本実施形態の一事例として、図９に示すように、車両１が道路５０（直線道路でもよいし、カーブ道路でもよい）を走行している事例について説明する。この道路５０の路面には、停止線５１が描かれている。道路５０は、構造が複雑で、初めて走行する運転者では注意が必要な道路である。例えば、道路５０は、停止ラインを見逃しやすい道路であってもよいし、カーブの先に停止標識がある道路であって停止標識が見にくい道路であってもよいし、道路幅が狭い道路であってもよい。

　このような場合、センター２は、「このあたりの道路は複雑で事故が多いため遠隔制御にてあなたを誘導します」というメッセージ車両１に送信し、コントローラ１７は、通信装置１１を介してこのメッセージを受信し、当該メッセージを表示装置１３に表示させる場合がある。そしてその後、センター２は、車両１が停止線５１で停止するよう、車両１に停止線５１を含む遠隔制御エリア５３の遠隔制御命令を送信する場合がある。

　この場合、例えば、センター２のユーザが、当該遠隔制御エリア５３のために、
（Ａ）停止位置Ｘ
（Ｂ）制動操作を開始するときの速度V（以下、制動開始速度という）
（Ｃ）制動を開始する位置Ｐ
をセンター２にあらかじめ入力する。なお、停止位置Ｘは、停止線５１から車両１側に距離Ｌだけ手前側（車両１側）に移動した位置であり、Ｌの値はユーザが設定できる。距離Ｌは０でもよいし０より大きくてもよい。なお、センター２に当該遠隔制御エリア５３の高精細デジタル地図が含まれていれば、その高精細デジタル地図中に含まれている遠隔制御エリア５３の情報（停止線の詳細な位置、制限速度、詳細な道路形状等）に基づいて、停止位置Ｘ、制動開始速度Ｖ、制動開始位置Ｐを自動的に決定するようになっていてもよい。

　そしてセンター２は、正規のコードを含むヘッダと、このデータＸ、Ｖ、Ｐとを含む遠隔制御命令を、車載システム１０に送信する。また、遠隔制御器５は、不正の目的を有する者に操作されることで、正規のコードを含むヘッダと、このデータＸ、Ｖ、Ｐとを含む不正の遠隔制御命令を送信する場合がある。

　この事例では、車両１の通信装置１１が、道路５０において、遠隔制御命令５２を受信する。遠隔制御命令５２を受信する前、車載システム１０は、他の遠隔制御命令に基づいて車両１の駆動、制動、操舵を制御していてもよいし、車両１に搭乗する運転者の操作に基づいて車両１の駆動、制動、操舵を制御していてもよい。あるいは、遠隔制御命令５２を受信する前、車載システム１０は、遠隔制御命令にも運転者の操作にも基づかずセンサ群１２の出力内容に基づいて車両１の駆動、制動、操舵を自動的に制御していてもよい。

　通信装置１１は、遠隔制御命令３１を受信した場合、受信した遠隔制御命令３１を、ゲートウェー１６およびコントローラ１７に出力する。ゲートウェー１６は、この遠隔制御命令３１を通信装置１１から取得した場合、すぐにＥＣＵ２１～２３に振り分けて送信するのではなく、自機のメモリ中に保持する。

　コントローラ１７は、安全性チェック処理において、まずＳ２１０で、ヘッダに正規のコードを含む遠隔制御データの取得を待っている。そして、上記のように通信装置１１からヘッダに正規のコードを含む遠隔制御命令５２を取得すると、Ｓ２１５に進む。受信した遠隔制御命令５２は、センター２が送信した遠隔制御命令である場合も、遠隔制御器５が送信した遠隔制御命令である場合もある。

　Ｓ２１５では、受信した遠隔制御命令５２からデータＸ、Ｖ、Ｐを抽出する。Ｓ２２０では、データ判定処理を行う。データ判定処理では、図１０に示すように、まずＳ３１０で、データＸ、Ｖ、Ｐの値が通常範囲を超えているか否かを、個別に判定する。データＸ、Ｖ、Ｐの通常範囲は、それぞれあらかじめ決定された範囲である。これら範囲は、その遠隔制御エリアに対しても同じ範囲になっている。

　Ｓ３２０では、遠隔制御エリア５３の高精細デジタル地図が記憶装置１５に記録されているか否か判定する。この高精細デジタル地図は、通常の地図データよりも位置精度が高い（例えば、誤差１ｃｍ以下の）地図データであり、遠隔制御エリア５３における制限速度、停止線５１の位置、道路形状等の詳細の情報が含まれる情報である。記録されていないと判定した場合はＳ３８０に進み、記録されていると判定した場合はＳ３３０に進む。

　Ｓ３３０では、遠隔制御エリア５３の高精細デジタル地図の情報と、停止位置Ｘ、制動開始速度Ｖ、制動開始位置Ｐとを比較する。

　例えば、停止位置Ｘについて、高精細デジタル地図中の停止線５１の位置を越えているか否か、すなわち、停止線５１の位置から見て停止位置Ｘが現在の車両１の位置と反対側にあるか否か、を特定する。また例えば、停止位置Ｘについて、高精細デジタル地図中の交差点内かつ交差点の中央付近の位置に入っているか否かを特定する。

　また、制動開始速度Ｖについて、例えば、高精細デジタル地図中の遠隔制御エリア５３の制限速度を超えているか否かを特定する。

　また、制動開始位置Ｐについて、高精細デジタル地図中の停止線５１（または停止位置Ｘ）の位置との距離を算出し、算出した距離が安全距離よりも短くなっているか否かを特定する。

　この距離が小さい場合、車両１が止まりきれず停止位置Ｘをオーバーランする可能性が高い。あるいは、車両１を停止位置Ｘで停止させるために非常に大きい減速度で車両１を減速させなければならない。

　ここで、安全距離は、例えば、高精細デジタル地図中の遠隔制御エリア５３の制限速度を初速として制動開始位置Ｐから一定の限界減速度で減速すると仮定した場合の、車両１の制動距離として算出する。ここで、限界減速度は、人体に悪影響を与えない最大の減速度として、あらかじめ定められた値としてもよいし、あるいは、車両１の減速性能（車両１の重量、制動制御ＥＣＵ２２の性能等）に基づいてあらかじめ定められた達成可能な最大の減速度であってもよい。

　Ｓ３４０では、Ｓ３３０の比較結果に基づいて、受信した遠隔制御命令５２の安全性に問題があるか否か判定する。すなわち、遠隔制御命令５２が車両１の安全な走行に悪影響を及ぼすか否かを判定する。

　例えば、以下の条件（ａ）～（ｅ）のいずれか１つでも満たされていれば、問題がありと判定し、１つも満たされていなければ、問題なしと判定する。
（ａ）停止位置Ｘが停止線５１の位置を越えている。
（ｂ）停止位置Ｘが交差点内かつ交差点の中央付近の位置に入っている。
（ｃ）制動開始速度Ｖが遠隔制御エリア５３の制限速度を超えている。
（ｄ）制動開始位置Ｐから停止線５１までの距離が安全距離よりも短くなっている。
（ｅ）制動開始位置Ｐから停止位置Ｘまでの距離が安全距離よりも短くなっている。
問題があると判定した場合、Ｓ３５０に進み、問題がないと判定した場合、Ｓ３７０に進む。条件（ａ）～（ｅ）のいずれか１つでも満たされているということは、遠隔制御器５から不正な遠隔制御命令５２を受信した可能性が高い。

　このように、高精細デジタル地図データに基づいて、遠隔制御命令３１の対象となる道路３０の情報を特定し、特定した情報に基づいてＳ３４０の判定を行うことができる。したがって、遠隔制御命令５２が車両１の安全な走行に悪影響を及ぼすか否かの判断材料を容易に取得することができる。

　また、コントローラ１７は、遠隔制御命令５２に含まれる車両１の位置の指示値Ｘ、Ｐまたは車両１の速度の指示値Ｖ、遠隔制御命令の対象となる道路５０の情報と比較することで、遠隔制御命令５２が車両１の安全な走行に悪影響を及ぼすか否かを判定する。このようになっていることで、例えば遠隔制御命令５２に従った走行軌跡を予測するまでもなく、簡易に遠隔制御命令５２が車両１の安全な走行に悪影響を及ぼすか否かを判定することができる。

　Ｓ３５０では、停止位置Ｘ、制動開始速度Ｖ、制動開始位置Ｐの値を補正する。例えば、条件（ａ）～（ｅ）のすべてが満たされなくなるよう、停止位置Ｘを車両１側にずらしたり、制動開始速度Ｖを低下させたり、制動開始位置Ｐを車両１側にずらしたりする。Ｓ３６０では、遠隔制御命令５２の送信元、修正する前の遠隔制御命令５２、修正後の遠隔制御命令５２（補正後の停止位置Ｘ、制動開始速度Ｖ、制動開始位置Ｐ）を互いに関連付けて記録する。Ｓ３６０に続いては、Ｓ３７０に進む。

　Ｓ３４０で問題なしと判定されてＳ３７０に進んだ場合は、補正されていない停止位置Ｘ、制動開始速度Ｖ、制動開始位置Ｐを用いて、遠隔制御エリア５３における車両１の挙動を予測する。Ｓ３６０からＳ３７０に進んだ場合は、補正後の停止位置Ｘ、制動開始速度Ｖ、制動開始位置Ｐを用いて、遠隔制御エリア５３における車両１の挙動（具体的には、位置および速度の推移）を予測する。

　ここで、停止位置Ｘ、制動開始速度Ｖ、制動開始位置Ｐに基づいて車両の挙動（具体的には、位置および速度の推移）を予測する方法の詳細について、図１１を参照して説明する。

　コントローラ１７は、制動開始位置Ｐにおける速度を制動開始速度Ｖとし、停止地点Ｘにおける速度を０にするという拘束条件に従った上で、車両１の速度および減速度どのように変化させるかを、車両１の上述の減速性能等に基づいて決定する。

　例えば、図１１に示すように、上記拘束条件を満たし、車両の減速性能の限界ライン６０よりも急制動とならない速度および減速度の推移パターンとしては、線６１～６５がある。

　線６１は、最初の減速が小さく停止目標の近くで制動をかける減速パターンを表す。線６２は、一定減速度で減速するパターンを表す。線６３は最初に大きな制動力をかけ、その後制動力を弱めるパターンを表す。線６４は最初に短時間で大きな制動力をかけてその後制動力を弱めるパターンを表す。線６５は、停止位置Ｘに近づくまで減速はせず、停止位置ｘの近くで急激に大きな制動力をかけて減速するパターンを表す。

　線６６は、これ以上の減速度では人体に悪影響が及ぶとされる人体限界減速度を表す線である。コントローラ１７は、一時的にでも人体限界減速度線６６を越えるような線６４、６５のパターンを選ぶことはない。

　したがって、コントローラ１７は、上記線６１、６２、６３のパターンのうちどれを選択してもよい。例えば、最初に車両を大きめに減速させて、後半の減速を小さくして、ゆっくりと車両１を停止させることが、運転者に不安をおこさせないので、線６３のパターンを選択してもよい。

　Ｓ３８０に進む場合は、高精細デジタル地図が準備されていない遠隔制御エリアの遠隔制御命令が送られてきたことになり、この場合はデータＸ、Ｖ、Ｐのチェックが十分に行えない。したがって、コントローラ１７は、Ｓ３８０では、補正していない距離Ｘ、制動開始速度Ｖ、制動開始位置Ｐを用いて、遠隔制御エリア５３における車両１の挙動（具体的には、位置および速度の推移）を予測する。そして、この予測結果には、「予測計算に問題あり」という付帯データを関連付ける。

　Ｓ３７０、Ｓ３８０の後は、データ判定処理を修了してＳ２２５に進む。Ｓ２２５では、Ｓ２２０のデータ判定処理の結果に基づいて、予測した車両１の挙動に問題があるか否かを判定する。具体的には、直前のデータ判定処理においてＳ３７０、Ｓ３８０のいずれかで予測された車両１の挙動に、「予測計算に問題あり」という付帯データが関連付けられていれば、問題があると判定し、そうでなければ、問題がないと判定する。つまり、直前のデータ判定処理においてＳ３７０が実行されていれば問題がないと判定し、Ｓ３８０が実行されていれば問題があると判定する。

　問題がないと判定した場合、Ｓ２３０に進み、制動開始位置Ｐから車両１までの距離が所定距離（例えば２０メートル）以内になるまで待つ。そして、制動開始位置Ｐに車両１が近づき、制動開始位置Ｐから車両１までの距離が所定距離以内になると、Ｓ２３５に進む。

　Ｓ２３５では、Ｓ３７０で予測された車両１の挙動を実現するため、各ＥＣＵ２１～２３に送信するための命令セットを作成する。各命令セットには、命令対象のＥＣＵの名称と、Ｓ３７０で予測された車両１の挙動を実現するために当該ＥＣＵに設定する時系列制御量とが含まれる。そして、作成した命令セットをゲートウェー１６に出力する。そしてゲートウェー１６は、これら命令セットをコントローラ１７から受け取ると、車内ＬＡＮ１８を介して、命令対象のＥＣＵ２１～２３に送信する。これにより、ＥＣＵ２１～２３の各々は、受信した命令セットに従って、車両１に搭乗する運転者の操作によらず、車両１の駆動、制動、操舵を制御する。

　このような場合、直前のデータ判定処理でＳ３５０、Ｓ３６０をバイパスしてＳ３７０で車両１の挙動が予測された場合は、受信した遠隔制御命令５２をそのまま実現する車両１の走行の遠隔制御が実現する。

　また、直前のデータ判定処理でＳ３５０、Ｓ３６０が実行されてＳ３７０で車両１の挙動が予測された場合は、受信した遠隔制御命令５２に対して修正が施されるので、遠隔制御命令５２そのままに基づく車両１の走行の遠隔制御の実現は禁止される。

　Ｓ２２５で問題ありと判定された場合は、Ｓ２４０に進み、制動開始位置Ｐから車両１までの距離が所定距離（例えば１００メートル）以内になるまで待つ。そして、制動開始位置Ｐに車両１が近づき、制動開始位置Ｐから車両１までの距離が所定距離以内になると、Ｓ２４５に進む。

　Ｓ２４５では、測定処理を行う。具体的には、センサ群１２の車載カメラが撮影した最新の撮影画像に基づいて、車両１の前方の道路形状を特定し、更に一時停止を指示する道路標識（一時停止標識、路面の停止線）の位置を特定する。

　Ｓ２５０では、Ｓ２４５で特定した道路形状および一時停止を指示する道路標識の位置に基づいて、車両１の位置から一時停止すべき位置までの道路に沿った距離を特定する。そして、車両１がこの距離を走行した時点で停止するよう、停止位置Ｘ、制動開始速度Ｖ、制動開始位置Ｐを算出する。例えば、上記一時停止すべき位置を停止位置Ｘとし、制動開始位置Ｐを停止位置Ｘの５０メートル手前とし、制動開始速度Ｖを現在の車両１の車速とする。Ｓ２５０では更に、Ｓ３７０と同じ方法で、上記停止位置Ｘ、制動開始速度Ｖ、制動開始位置Ｐを用いて、遠隔制御エリア５３における車両１の挙動を予測する。

　Ｓ２５５では、Ｓ２５０で算出した車両１の挙動に問題があるか否か判定する。例えば、車載カメラが撮影した最新の撮影画像を用いて、車両１の前方の道路形状を特定し、更に一時停止を指示する道路標識（一時停止標識、路面の停止線）の位置を特定し、Ｓ２４５の特定結果と整合するか否かに基づいて、問題があるか否かを判定してもよい。また例えば、停止位置Ｘまでの各位置について予測した車両１の車速と、各位置における道路の曲率半径に基づいて、車速が安全にカーブを曲がることができる範囲を超えて大きいか否かに基づいて、問題があるか否かを判定してもよい。問題がないと判定した場合はＳ２３５に進む。Ｓ２３５における処理内容は既に説明した通りである。

　問題があると判定した場合はＳ２６０に進み、車両１を更に減速、あるいは車両１を直ちに減速させて停止位置Ｘよりも手前で強制的に停止させるよう、停止位置Ｘ、制動開始速度Ｖ、制動開始位置Ｐを再作成する。例えば、図１２に示すように、Ｓ２５０で算出した車両１の挙動を示す線６３は、停止線の位置を正しい位置５１’ではなく誤った位置５１であるとして算出されており、時点ｔ１においてＳ２５５で、正しい位置５１’を検出できたとする。その場合、コントローラ１７は、正しい位置５１’に基づいて停止位置Ｘ、制動開始速度Ｖを（制動開始位置Ｐは同じであると仮定して）再作成して、その新たに再作成したデータＸ’、Ｖ’および制動開始位置Ｐを満たす挙動を示す線６７を算出する。そして、現在の車両１の車速を挙動を示す線６７に滑らかに近づけるような挙動を示す線６８を算出し、当該挙動を実現させるよう、ゲートウェー１６を介してＥＣＵ２１～２２に命令セットを出力する。この場合、新たな挙動を示す線６８、停止位置Ｘを確保するために（衝突防止のために）急ブレーキになるような減速度も許容する。

　Ｓ２６０の後は、Ｓ２５５に戻って再度問題の有無を判定してもよいし、あるいは、Ｓ２５５に戻らずに直ちにＳ２３５に進んでもよい。

　なお、上記各実施形態において、コントローラ１７が、Ｓ１１０、Ｓ２１０を実行することで受信部の一例として機能し、Ｓ１４０、Ｓ３４０を実行することで判定部の一例として機能し、Ｓ１５０、Ｓ３５０を実行することで禁止部の一例として機能する。

　以上のように、本実施形態のコントローラ１７は、遠隔制御器５から送信された遠隔制御命令５２を受信し（Ｓ２１０）、受信した遠隔制御命令５２が、車両１の安全な走行に悪影響を及ぼすか否かを、遠隔制御命令５２の対象となる道路の情報に基づいて、判定し（Ｓ３４０）、悪影響を及ぼすと判定したことに基づいて、遠隔制御命令５２を修正することで、遠隔制御命令５２にそのまま従った車両の制御を禁止する（Ｓ３５０）。

　このように、コントローラ１７は、遠隔制御命令５２が車両１の安全な走行に悪影響を及ぼすか否かを、遠隔制御命令５２の対象となる道路の情報に基づいて、判定する。したがって、道路の状況という、遠隔制御の場面に関連する情報を用いて、遠隔制御命令５２の安全性を判定できる。

　（変形例１）
　なお、上記第１実施形態では、車両１の運転者が手動運転切替ボタン４３ｈを選択する操作を行うと、遠隔制御命令３１を破棄するようになっている。しかし、かならずしもこのようになっておらずともよい。例えば、車両１の運転者が、遠隔制御命令３１中の命令セットのうち、特定のＥＣＵによる制御機能を止める旨の操作を操作装置１４に対して行うことができるようになっていてもよい。

　そのような操作がされた場合、コントローラ１７は、ＥＣＵ２１～２３のうち当該特定のＥＣＵのみには遠隔制御命令３１中の命令セットが送信されず、他のＥＣＵには遠隔制御命令３１中の命令セットが送信されるよう、ゲートウェー１６を制御してもよい。この場合であっても、遠隔制御命令３１そのままに従った遠隔制御は禁止されたことになる。

　（変形例２）
　上記実施形態では、走行履歴データに、車両１の実際の挙動に関する情報として、現在位置、走行速度、加速度、走行方向、アクセルペダル踏み込み量、ブレーキペダル踏み込み量、ステアリング切り角等が記録されるようになっている。しかし走行履歴データに記録されるデータとして、以下に列挙する（１）～（１６）の情報を追加してもよい。
（１）始動操作（例えば主電源オン操作）があった時刻
（２）主電源停止操作があった時刻
（３）車両の主電源オンから車両の作動開始（例えばエンジン始動）までの時間
（４）走行開始時の車両の安定性の情報
（５）ギアチェンジ（例えば、前進、後退）の、時刻毎の内容
（６）前方の車両との車間距離の、時刻毎の内容
（７）図示しない走行安定化制御装置（スタビライザ）の作動の時刻毎の作動状態
（８）車高の時刻毎の状態
（９）車両の照明用ランプの点灯、消灯および光軸方向制御の時刻毎の状態
（１０）表示装置がカメラの撮影画像を表示する形式（死角表示、鳥瞰表示等）の時刻毎の状態
（１１）オーディオ装置の音量の時刻毎の状態
（１２）座席の配置および姿勢の時刻毎の状態
（１３）ワイパ動作の時刻毎の状態
（１４）ドアロック動作の時刻毎の状態
（１５）ドアのウインドウ動作の時刻毎の状態
（１６）各種ＥＣＵ２１～２３がアクチュエータを制御する制御量
　本開示は、実施例に準拠して記述されたが、本開示は当該実施例や構造に限定されるものではないと理解される。本開示は、様々な変形例や均等範囲内の変形をも包含する。加えて、様々な組み合わせや形態、さらには、それらに一要素のみ、それ以上、あるいはそれ以下、を含む他の組み合わせや形態をも、本開示の範疇や思想範囲に入るものである。

Claims

　車両（１）の外部から送信された遠隔制御命令（３１、５２）を受信する受信部（Ｓ１１０、Ｓ２１０）と、
　受信した前記遠隔制御命令が、前記車両の安全な走行に悪影響を及ぼすか否かを、前記遠隔制御命令の対象となる道路（３０、５０）の情報、または、前記車両に搭載されたＥＣＵ（２１～２３）がアクチュエータを制御する制御量の情報、または、前記遠隔制御命令の対象となる道路を前記車両が通ったときの走行履歴情報に、基づいて、判定する判定部（Ｓ１４０、Ｓ３４０）と、
　前記判定部が悪影響を及ぼすと判定したことに基づいて、前記遠隔制御命令に従った前記車両の制御を禁止する禁止部（Ｓ１５０、Ｓ３５０）と、を備えた
　命令判定装置。
　前記判定部（Ｓ１４０）は、前記車両に搭載されたセンサ（１２）の出力に基づいて、前記遠隔制御命令の対象となる道路の情報を特定する
　請求項１に記載の命令判定装置。
　前記判定部（Ｓ１４０）は、前記車両の記憶装置（１５）に記録された地図データに基づいて、前記遠隔制御命令の対象となる道路の情報を特定する
　請求項１または２に記載の命令判定装置。
　前記判定部は、前記遠隔制御命令（３１）の対象となる道路の情報に基づいた正常ライン（３２）、または、前記アクチュエータを制御する制御量の情報に基づいた正常ライン（３２）を、前記車両が前記遠隔制御命令に従って走行した場合の未来の走行軌跡に基づく遠隔制御ライン（３３）とを比較することで、受信した前記遠隔制御命令が、前記車両の安全な走行に悪影響を及ぼすか否かを判定する
　請求項１ないし３のいずれか１つに記載の命令判定装置。
　前記判定部は、前記遠隔制御命令（５２）に含まれる前記車両の位置の指示値（Ｘ、Ｐ）または前記車両の速度の指示値（Ｖ）を、前記遠隔制御命令の対象となる道路（５０）の情報と比較することで、受信した前記遠隔制御命令が、前記車両の安全な走行に悪影響を及ぼすか否かを判定する
　請求項１ないし３のいずれか１つに記載の命令判定装置。
　前記禁止部は、前記判定部が悪影響を及ぼすと判定したことに基づいて、前記車両の運転者に報知を行い、運転者が当該報知に対して所定の操作を行ったことに基づいて、車両の制御を禁止する
　請求項１ないし５のいずれか１つに記載の命令判定装置。
　前記禁止部は、前記判定部が悪影響を及ぼすと判定したことに基づいて、前記遠隔制御命令を補正する
　請求項１ないし５のいずれか１つに記載の命令判定装置。
　車両（１）に搭載される命令判定装置（１７）に用いるプログラム製品であって、
　前記車両の外部から送信された遠隔制御命令（３１、５２）を受信すること（Ｓ１１０、Ｓ２１０）、
　受信した前記遠隔制御命令が、前記車両の安全な走行に悪影響を及ぼすか否かを、前記遠隔制御命令の対象となる道路（３０、５０）の情報、または、前記車両に搭載されたＥＣＵ（２１～２３）がアクチュエータを制御する制御量の情報、または、前記遠隔制御命令の対象となる道路を前記車両が通ったときの走行履歴情報に基づいて、判定すること（Ｓ１４０、Ｓ３４０）と、および
　前記遠隔制御命令が前記車両の安全に悪影響を及ぼすと判定したことに基づいて、前記遠隔制御命令に従った前記車両の制御を禁止すること（Ｓ１５０）を、
　前記命令判定装置に実行させるプログラム製品。