JP7500923B2 - 情報処理装置、プログラム、および情報処理システム - Google Patents

Description

本開示は、移動体に設置される情報処理装置によるセキュリティーレベルの制御に関する。

従来、セキュリティーレベルの制御について、種々の技術が提案されている。たとえば、特許第５１８１１８２号公報（特許文献１）は、無線通信デバイスのセキュリティー制御において、他の無線通信リソースが管理エリア内に入ってきたことがアクセス管理サーバーによって検出されたことに応じて当該他の無線通信リソースについてのデータを無線通信デバイスにブロードキャストする技術を開示している。当該技術では、無線通信デバイスは、ブロードキャストされたデータの内容に応じて、当該無線通信デバイスがアクセスしている情報を遮蔽する。

特開２００８－９６１５号公報（特許文献２）は、車両の周辺環境のセンシングデータに基づいて周辺環境に応じたセキュリティーレベルを設定し、設定されたセキュリティーレベルに基づいて、セキュリティー機能を実行するセキュリティーシステムを制御する技術を開示している。

特許第５１８１１８２号公報 特開２００８－９６１５号公報

近年、移動体を用いたオフィス環境の提供など、移動体を用いたモビリティーサービスに関する技術が種々提案されている。モビリティーサービスでは、移動体内で提供される環境のセキュリティーレベルの制御も重要な技術の１つであると考えられる。たとえば、オフィス環境を提供するモビリティサービスでは、提供される環境がオフィスにおけるセキュリティーレベルと同等のセキュリティーレベルで管理される必要がある。

一方、従来の技術では、制御対象とされるシステムの外部に対するセキュリティーレベルの最適化が検討されるだけで、制御対象とされるシステムの内部のセキュリティーレベルの最適化については十分に検討されていなかった。

本開示は、係る実情に鑑み考え出されたものであり、その目的は、情報処理装置が設置される移動体内の環境を最適化されたセキュリティーレベルで制御するための技術を提供することである。

本開示のある局面に従うと、移動体に設置される情報処理装置であって、移動体におけるユーザーの乗降を検出する乗降検出手段と、移動体へのユーザーの乗降に従って移動体におけるセキュリティレベルを制御する制御手段とを備える、情報処理装置が提供される。

情報処理装置はメモリーをさらに備えていてもよい。制御手段は、移動体に乗車したユーザーに関連付けられる特定情報をメモリーに格納し、乗降検出手段が移動体からのユーザーの降車を検出した場合に、特定情報をメモリーから消去してもよい。

特定情報は、ユーザーのシステム環境を含んでいてもよい。
システム環境は、ユーザーのネットワーク環境を含んでいてもよい。

特定情報は、ユーザーの作業データを含んでいてもよい。
作業データは、乗車後に生成または編集されるデータを含んでいてもよい。

情報処理装置はサーバーと通信するための通信手段をさらに備えていてもよい。特定情報は、サーバーに予め登録されていていてもよい。

情報処理装置はサーバーと通信するための通信手段をさらに備えていてもよい。制御手段は、乗降検出手段が移動体へのユーザーの乗車を検出した場合に、サーバーから特定情報の少なくとも一部を取得してもよい。

特定情報は、サーバーにおいてスナップショットとして登録されていてもよい。
特定情報は、移動体の制御情報として、目的地および経路の少なくとも一方を含んでいてもよい。

制御手段は、特定情報の機密レベルに応じて消去の回数を変更してもよい。
制御手段は、特定情報を消去した場合に、当該消去をユーザーの端末へ通知してもよい。

特定情報は、機器のセキュリティーレベルを指定する情報を含んでいてもよい。制御手段は、セキュリティーレベルを指定する情報を移動体に設けられた機器に送信してもよい。

制御手段は、乗降検出手段が移動体からのユーザーの降車を検出した場合に、サーバーへ特定情報を送信してもよい。

制御手段は、乗降検出手段が移動体からのユーザーの降車を検出してから一定期間の経過後に、サーバーへ特定情報を送信してもよい。

情報処理装置はユーザーが移動体から一定距離内に存在するか否かを検出する存在検出手段をさらに備えていてもよい。制御手段は、ユーザーが移動体から一定距離内に存在しないことを存在検出手段が検出した場合に、サーバーへ特定情報を送信してもよい。

情報処理装置は移動体の外の画像を撮影するカメラをさらに備えていてもよい。制御手段は、乗降検出手段によってユーザーの降車が検出された後、カメラによって撮影された画像においてユーザーが特定されなくなった場合に、サーバーへユーザーに関連付けられた特定情報を送信してもよい。

制御手段は、移動体に一定の閾値以上の衝撃が印加された場合に、サーバーへ特定情報を送信してもよい。

制御手段は、特定情報のスナップショットを生成し、当該スナップショットをサーバーへ送信することによって、特定情報をサーバーへ送信してもよい。

サーバーおよびユーザーの端末と通信するための通信手段をさらに備えていてもよい。制御手段は、所与の条件の成立に応じて、ユーザーの作業データをサーバーへ送信してもよい。制御手段は、サーバーと通信ができない場合には、作業データをユーザーの端末へ送信してもよい。

情報処理装置はメモリーをさらに備えていてもよい。制御手段は、作業データをメモリーへ格納し、サーバーまたはユーザーの端末へ送信された作業データをメモリーから消去してもよい。

乗降検出手段は、２以上のユーザーのそれぞれぞれの乗降を検出してもよい。制御手段は、乗降検出手段によって降車を検出されたユーザーに関連付けられた特定情報をサーバーへ送信してもよい。

情報処理装置はメモリーをさらに備えていてもよい。制御手段は、サーバーから取得した特定情報をメモリーに格納し、サーバーへ特定情報を送信した場合に、特定情報をメモリーから消去してもよい。

乗降検出手段がユーザーの乗車を検出することは、ユーザーの端末と通信することを含んでいてもよい。

特定情報は、機器のセキュリティーレベルを指定する情報を含んでいてもよい。制御手段は、セキュリティーレベルを指定する情報を移動体に設けられた機器に送信してもよい。

本開示の他の局面に従うと、移動体に設置される情報処理装置と、情報処理装置と通信可能なサーバーとを備え、サーバーは、特定情報を記憶する記憶装置を含み、情報処理装置は、移動体におけるユーザーの乗降を検出する乗降検出手段と、移動体へのユーザーの乗降に従って移動体におけるセキュリティレベルを制御する制御手段とを備え、制御手段は、乗降検出手段が移動体へのユーザーの乗車を検出した場合に、サーバーから特定情報の少なくとも一部を取得する、情報処理システムが提供される。

本開示のさらに他の局面に従うと、移動体に設置される情報処理装置のコンピューターに実行されることによって、コンピューターに、移動体におけるユーザーの乗降を検出するステップと、移動体へのユーザーの乗降に従って移動体におけるセキュリティレベルを制御するステップとを実行させる、プログラムが提供される。

本開示によれば、移動体へのユーザーの乗降に従って移動体におけるセキュリティレベルが制御される。これにより、情報処理装置が設置される移動体内の環境が最適化されたセキュリティーレベルで制御され得る。

本開示に係る情報処理システムの構成の一例を示す図である。 車載サーバー１０のハードウェア構成の一例を示す図である。 ＭＦＰ２０のハードウェア構成の一例を示す図である。 走行制御装置３０のハードウェア構成の一例を示す図である。 自動車１００に物体が乗り込んだことが検出されたときに実行される処理（乗車処理）のフローチャートである。 自動車１００から物体が降りることが検出されたときに実行される処理（降車処理）のフローチャートである。 自動車１００に大きな衝撃が加えられたときに実行される処理（衝撃対応処理）のフローチャートである。 一定時間ごとに作業データを生成して管理サーバー２００へ送信するための処理（データ管理処理）のフローチャートである。 図６の降車処理の第１の変形例のフローチャートである。 図６の降車処理の第２の変形例のフローチャートである。 図６の降車処理の第３の変形例のフローチャートである。

以下に、図面を参照しつつ、情報処理システムの一実施の形態について説明する。以下の説明では、同一の部品および構成要素には同一の符号を付してある。それらの名称および機能も同じである。したがって、これらの説明は繰り返さない。

［１．情報処理システムの構成］
図１は、本開示に係る情報処理システムの構成の一例を示す図である。図１に示された情報処理システムは、自動車１００と、管理サーバー２００とを含む。自動車１００は、管理サーバー２００と通信可能である。一実現例では、自動車１００は、オフィス環境を提供するためのコンセプトカーによって実現される。

自動車１００は、車体１１０、前輪１３１、および後輪１３２を含む。車体１１０には、自動車１００の車内へ乗り込むためのドア１２０が設けられている。ドア１２０は、開閉可能である。自動車１００には、自動車１００を制御する車載サーバー１０が設けられている。

ドア１２０には、自動車１００におけるユーザーの乗降を検出するための人感センサー４１，４２が設けられている。人感センサー４１，４２の検出出力は車載サーバー１０へと送信される。一実現例では、人感センサー４１は、人感センサー４２に対して車外に近い側に設けられる。車載サーバー１０は、人感センサー４１が物体を検出した時点から所与の時間内に人感センサー４２が物体を検出したことにより、物体が自動車１００に乗車したことを特定することができる。車載サーバー１０は、人感センサー４２が物体を検出した時点から所与の時間内に人感センサー４１が物体を検出したことにより、物体が自動車１００から降車したことを特定することができる。

ドア１２０には、ドアカメラ４３が設けられている。ドアカメラ４３が撮影した画像は車載サーバー１０へと送信される。一実現例では、車載サーバー１０は、ドアカメラ４３から、乗車または降車する物体の画像を取得することができる。

ドア１２０には、ドアロック４４が設けられている。一実現例では、ドアロック４４は、ドア１２０を施錠および開錠するための機構（たとえば、ソレノイドコイル）を含む。車載サーバー１０は、ドア１２０の施錠および開錠をするように、ドアロック４４を制御することができる。

ドア１２０には、通信機器４５が設けられている。一実現例では、通信機器４５は、ユーザー９００が所持する端末９０と近距離通信する。近距離通信は、たとえば、ブルートゥース（登録商標）規格に従った通信、または、赤外線通信である。通信機器４５は、車載サーバー１０と通信可能である。一実現例では、車載サーバー１０は、端末９０に格納されたユーザー情報（たとえば、ユーザーＩＤとパスワード）を通信機器４５から取得することにより、自動車１００に乗車（または降車）するユーザー９００を特定することができる。

車体１１０には、車外の画像を撮影する車載カメラ４６が設けられている。車載カメラ４６が撮影した画像は車載サーバー１０へと送信される。一実現例では、車載サーバー１０は、車載カメラ４６によって撮影された画像から、自動車１００から降りたユーザーを特定できる。車載サーバー１０は、あるユーザーが自動車１００から降りたことが検出された後、車載カメラ４６によって撮影された画像において当該ユーザーが特定できなくなった場合に、当該ユーザーが自動車１００から十分遠ざかった（たとえば、所与の距離以上離れた）と判断することができる。

車体１１０には、ビーコンを受信するビーコン受信機４７が設けられている。ビーコン受信機４７は、検出出力を車載サーバー１０へ送信する。一実現例では、車載サーバー１０は、ユーザー９００が所持する端末９０から発信されたビーコンをビーコン受信機４７が受信したことに基づいて、ユーザー９００が自動車１００から一定距離内に存在することを検出でき、また、ビーコン受信機４７が当該ビーコンを受信しないことに基づいて、ユーザー９００が自動車１００から一定距離内に存在しないことを検出できる。

自動車１００には、さらに、ＭＦＰ（Multi-Functional Peripheral）２０と、走行制御装置３０と、コンピューター５０と、モニター５１と、入力装置５２とが設けられている。

ＭＦＰ２０は、コピー機能、プリント機能、およびスキャン機能を有する複合機である。走行制御装置３０は、自動車１００の走行を制御する。より具体的には、自動車１００は、前輪１３１および／または後輪１３２を駆動するための機構（たとえば、モーターを含む）を備える。走行制御装置３０は、当該機構の動作を制御する。コンピューター５０は、プロセッサーとメモリーとを含む。プロセッサーは、所与のプログラムを実行する。コンピューター５０は、モニター５１に情報を表示し、また、入力装置５２を介して情報の入力を受け付ける。モニター５１は、たとえば、有機ＥＬ（Electro-Luminescence）ディスプレイによって実現される。入力装置５２は、たとえば、キーボードおよび／またはマウスによって実現される。入力装置５２は、タッチセンサーによって実現されてもよい。

［２．ハードウェア構成］
以下、図１に示された情報処理システムを構成する装置のハードウェア構成を説明する。

（車載サーバー１０）
図２は、車載サーバー１０のハードウェア構成の一例を示す図である。車載サーバー１０は、ＣＰＵ（Central Processing Unit）１１と、記憶装置１２と、通信インターフェース１３とを含む。ＣＰＵ１１は、所与のプログラムを実行することによって車載サーバー１０を制御する。車載サーバー１０は、ＣＰＵ１１の代わりに、または、ＣＰＵ１１に加えて、当該車載サーバー１０を制御する、ＡＳＩＣ（Application Specific Integrated Circuit）などの電子回路（electronic circuitry）を含んでもよい。

記憶装置１２は、ＣＰＵ１１によって実行されるプログラム、および／または、制御用のデータを記憶することができる。記憶装置１２は、たとえば、ハードディスクによって実現される。

通信インターフェース１３は、車載サーバー１０を他の装置（ＭＦＰ２０等）と通信させるための通信回路であり、たとえばＮＩＣ（Network Interface Card）によって実現される。

（ＭＦＰ２０）
図３は、ＭＦＰ２０のハードウェア構成の一例を示す図である。ＭＦＰ２０は、ＣＰＵ２１と、記憶装置２２と、通信インターフェース２３と、ディスプレイ２４と、入力装置２５と、画像処理部２６と、画像形成部２７と、画像読取部２８とを含む。

ＣＰＵ２１は、所与のプログラムを実行することによってＭＦＰ２０を制御する。ＭＦＰ２０は、ＣＰＵ２１の代わりに、または、ＣＰＵ２１に加えて、当該ＭＦＰ２０を制御する、ＡＳＩＣなどの電子回路を含んでもよい。

記憶装置２２は、ＣＰＵ２１によって実行されるプログラム、および／または、制御用のデータを記憶することができる。記憶装置２２は、たとえば、ハードディスクによって実現される。

通信インターフェース２３は、ＭＦＰ２０を他の装置（車載サーバー１０等）と通信させるための通信回路であり、たとえばＮＩＣによって実現される。

ディスプレイ２４は、たとえば有機ＥＬ（Electro-Luminescence）ディスプレイによって実現され、ＭＦＰ２０の状態を表示する。入力装置２５は、ハードウェアボタンおよび／またはディスプレイ２４に表示されるソフトウェアボタンによって実現される。ディスプレイ２４と入力装置２５とが組み合わされることによって、タッチパネルが構成されてもよい。

画像処理部２６と、ＭＦＰ２０に入力された画像データに対して、画像の拡大・縮小等の種々の処理を実行する。一実現例では、画像処理部２６は、画像処理用のＡＳＩＣおよびメモリーを含む。

画像形成部２７は、記録用紙に画像を形成する。一実現例では、画像形成部２７は、感光体、トナーカートリッジに収容されたトナーを感光体へ出力するハードウェア資源、および、記録用紙を搬送するためのハードウェア資源を含む。

画像読取部２８は、原稿の画像データを生成する。一実現例では、画像読取部２８は、イメージスキャナーなどの、画像データを読み取るためのハードウェア資源を含む。

（走行制御装置３０）
図４は、走行制御装置３０のハードウェア構成の一例を示す図である。走行制御装置３０は、自動車１００の走行を制御する。

図４に示されるように、走行制御装置３０は、ＣＰＵ３１と、記憶装置３２と、通信インターフェース３３と、ＧＰＳ（Global Positioning System）受信機３４と、操舵装置３５と、制駆動装置３６と、加速度センサー３７とを含む。

ＣＰＵ３１は、所与のプログラムを実行することによって走行制御装置３０を制御する。走行制御装置３０は、ＣＰＵ３１の代わりに、または、ＣＰＵ３１に加えて、当該走行制御装置３０を制御する、ＡＳＩＣなどの電子回路を含んでもよい。

記憶装置３２は、ＣＰＵ３１によって実行されるプログラム、および／または、制御用のデータを記憶することができる。記憶装置３２は、たとえば、ハードディスクによって実現される。

通信インターフェース３３は、走行制御装置３０を他の装置（車載サーバー１０等）と通信させるための通信回路であり、たとえばＮＩＣによって実現される。

ＧＰＳ受信機３４は、ＧＰＳ衛星からの信号を受信し、当該信号を用いて所与の演算を実行することによって、自動車１００の位置を検出する。ＧＰＳ受信機３４は、検出された位置の情報をＣＰＵ３１へ出力する。

操舵装置３５は、自動車１００の車輪（前輪１３１および／または後輪１３２）の舵角を制御する。一実現例では、操舵装置３５は、車輪の角度を調整するためのアクチュエーターの駆動を制御する電子回路によって実現される。

制駆動装置３６は、自動車１００の車輪の制駆動を制御する。一実現例では、制駆動装置３６は、車輪を回転されるためのモーターの回転量を調整するための電子回路によって実現される。

加速度センサー３７は、自動車１００に印加される加速度を検出する。一実現例では、加速度センサー３７は、自動車１００の進行方向（前後方向）、ならびに、当該進行方向に対して垂直な２つの方向（左右方向および垂直方向）の、３つの方向のそれぞれの加速度を検出する。

［３．自動車１００を利用したサービスの一例］
本開示は、自動車１００を用いたモビリティーサービスの一例として、モビリティーオフィスを説明する。この例において、自動車１００は、ユーザーにオフィス環境を提供する。自動車１００は、ユーザーの乗降に従って、自動車１００内のセキュリティレベルを制御する。これにより、テレワークなどの、場所の限定を受けない働き方がユーザーに提供され得る。

（ユーザーごとの特定情報）
管理サーバー２００は、ハードディスクなどの記憶装置を備える。管理サーバー２００の記憶装置には、各ユーザーに関連付けられた情報（以下、「特定情報」ともいう）が格納されている。

特定情報は、たとえば以下の要素を含む。
・ユーザーＩＤ
・ルート設定
・システム環境
・作業データ
・階級
「ユーザーＩＤ」は、各ユーザーを識別する。

「ルート設定」は、自動車１００の目的地および移動経路を識別する。なお、「ルート設定」は、自動車１００の目的地のみを含んでいてもよい。走行制御装置３０は、目的地に従って移動経路を設定し得る。「ルート設定」は、自動車１００の移動経路のみを含んでいてもよい。最終的な目的地は、自動車１００においてユーザーが設定してもよい。ユーザーは、入力装置５２を利用して、コンピューター５０を介して、走行制御装置３０に目的地を入力し得る。

「システム環境」は、車載サーバー１０が管理サーバー２００と通信するための環境を特定する情報である。「システム環境」を構成する情報の一例は、車載サーバー１０のネットワーク環境である。ネットワーク環境は、車載サーバー１０が管理サーバー２００とＶＰＮ（Virtual Private Network）内で接続するための設定（たとえば、サーバー名、ユーザー名、および、パスワード）を含む。

「作業データ」は、乗車後の自動車１００内におけるユーザーの作業の状態を特定する。「作業データ」の一例は、コンピューター５０において実行され得る所与のアプリケーションによって編集あるいは生成されるドキュメントであってもよく、または、このようなドキュメントの編集履歴であってもよい。

「階級」は、各ユーザーに付与された階級（部長、部員、など）を識別する。
（乗車処理）
図５は、自動車１００に物体が乗り込んだことが検出されたときに実行される処理（乗車処理）のフローチャートである。図５の処理は、たとえば、車載サーバー１０のＣＰＵ１１が所与のプログラムを実行することによって実現される。一実現例では、ＣＰＵ１１は、人感センサー４１が物体を検出した時点から所与の時間内に人感センサー４２が物体を検出したことに応じて、図５の処理を開始する。

図５を参照して、ＣＰＵ１１は、ステップＳ１００にて、ユーザーの認証が成功したか否かを判断する。一実現例では、ユーザーを認証するための情報（認証用情報）が記憶装置１２に予め登録されている。より具体的には、情報処理システムの管理者は、自動車１００を予約したユーザーの認証用情報を記憶装置１２に予め登録する。ＣＰＵ１１は、自動車１００に物体が乗り込んできたときに取得した情報と上記認証用情報とを利用して、ユーザーを認証する。

たとえば、ユーザー９００は、自動車１００に乗り込んだときに、端末９０を通信機器４５にかざす。端末９０には、ユーザー認証用の情報が格納されている。通信機器４５は、近距離通信により、端末９０からユーザー認証用の情報を読み出し、当該情報を車載サーバー１０へ送信する。ＣＰＵ１１は、通信機器４５からユーザー認証用の情報を取得し、当該情報を予め登録された認証用情報と照合する。ＣＰＵ１１は、これらの情報が一致すれば、ユーザーの認証が成功したと判断し、一致しなければ、ユーザーの認証が失敗したと判断する。

通信機器４５と端末９０との間の通信を利用した認証は、ユーザー認証の一例である。他の例は、ドアカメラ４３によって撮影された画像（顔画像、虹彩、指紋、など）を用いた認証、音声（声紋）による認証、等の他のあらゆる態様のユーザー認証を含む。

認証用情報は、予め記憶装置１２に登録されていなくてもよい。認証用情報は、管理サーバー２００に予め登録されていてもよい。ＣＰＵ１１は、物体が自動車１００に乗り込んできたことを検出したときに、管理サーバー２００に認証用情報を要求してもよい。管理サーバー２００は、ＣＰＵ１１からの要求に応じて、車載サーバー１０へ認証用情報を送信してもよい。

ＣＰＵ１１は、ユーザーの認証が成功したと判断すると（ステップＳ１００にてＹＥＳ）、ステップＳ１０４へ制御を進め、そうでなければ（ステップＳ１００にてＮＯ）、ステップＳ１０２へ制御を進める。

ステップＳ１０２にて、ＣＰＵ１１は、エラーを報知して図５の処理を終了する。エラー報知の一例は、ユーザーの認証が失敗したことを、自動車１００に設けられた所与の表示装置（たとえば、モニター５１、および／または、図示しないランプ）に表示する。他の例は、エラーの発生を表わす音声の出力である。さらに他の例は、管理サーバー２００に、ユーザーの認証が失敗したことを通知する。

ステップＳ１０４にて、ＣＰＵ１１は、ドアカメラ４３で乗車するユーザーの全体画像を撮影し、当該全体画像を記憶装置１２に格納する。ＣＰＵ１１は、撮影された画像がユーザーの全身を含むか否かを判断し、ユーザーの全身を含む画像が撮影されるまで、ドアカメラ４３に撮影を繰り返させても良い。ユーザーの全身が画像に含まれるか否かの判断には、たとえばパターン認識技術が利用されてもよい。

ステップＳ１０６にて、ＣＰＵ１１は、ステップＳ１００において認証されたユーザーの特定情報を管理サーバー２００からダウンロードする。ＣＰＵ１１は、たとえば、管理サーバー２００に対して、当該ユーザーを特定する情報（たとえば、ユーザーＩＤ）とともに特定情報の要求とを送信する。当該要求に応じて、管理サーバー２００は、車載サーバー１０に対して特定情報を送信する。

特定情報の少なくとも一部は、スナップショットで、管理サーバー２００に格納されていてもよい。ステップＳ１０６では、スナップショットがダウンロードされてもよい。

ステップＳ１０８にて、ＣＰＵ１１は、ステップＳ１０６においてダウンロードされた特定情報を展開する。特定情報がスナップショットでダウンロードされた場合には、ステップＳ１０８では、スナップショットが展開される。

特定情報の展開は、特定情報に含まれる設定を、当該設定が格納されるべき場所に登録されることを含む。ＣＰＵ１１は、特定情報内の「システム環境」に従って、記憶装置１２に通信のための設定値を登録してもよい。ＣＰＵ１１は、「作業データ」に従って、車載サーバー１０上で実行されるＯＳ（Operating System）および／またはアプリケーションの設定値を記憶装置１２に登録してもよい。

ステップＳ１１０にて、ＣＰＵ１１は、特定情報に含まれる、自動車１００内の他の機器の設定を各機器へ送信する。たとえば、ＣＰＵ１１は、「作業データ」をコンピューター５０に提供してもよい。これにより、コンピューター５０において「作業データ」に従った設定値が登録され、ユーザーの作業履歴がコンピューター５０において再現される。

また、ＣＰＵ１１は、特定情報内の「階級」をＭＦＰ２０に送信しても良い。「階級」は、たとえば、「部長」および「部員」を含む。「部長」は「部員」よりも階級が高い。「階級」は、自動車１００に設けられた各機器のセキュリティーレベルを指定してもよい。一例では、ＭＦＰ２０のＣＰＵ２１は、送信された「階級」に応じて、ＭＦＰ２０のセキュリティーレベルを制御する。たとえば、ユーザーの「階級」が「部長」である場合、ＣＰＵ２１は、ＭＦＰ２０内に格納されたすべてのファイルについて、印刷指示に応じて印刷する。ユーザーの「階級」が「部員」である場合、ＣＰＵ２１は、ＭＦＰ２０内に格納された一部のファイル（たとえば、機密レベル「高」のタグを付与されたファイル）について、印刷指示を受けても印刷せず、残りの他のファイルについては、印刷指示に応じて印刷する。

また、ＣＰＵ１１は、特定情報内の「ルート設定」を走行制御装置３０に送信してもよい。走行制御装置３０のＣＰＵ３１は、「ルート設定」に従って走行制御装置３０の動作を制御する。すなわち、ＣＰＵ３１は、自動車１００が、「ルート設定」において規定される目的地まで、「ルート設定」において規定される経路に従って移動するように、車輪の動作を制御する。

ステップＳ１１２にて、ＣＰＵ１１は、ドアロック４４にドア１２０を施錠させ、図５の処理を終了する。

これにより、自動車１００は走行を開始し得る。ユーザーは、当該ユーザーの作業履歴を利用して、コンピューター５０を用いた作業を実行し得る。ＭＦＰ２０は、ユーザーの「階級」に従ったセキュリティーレベルで動作し得る。

以上説明された乗車処理において、ＣＰＵ１１は、自動車１００へのユーザーの乗車を検出すると、当該ユーザーの特定情報を管理サーバー２００からダウンロードして記憶装置１２へ格納する。ユーザーの乗車に応じて自動車１００内に特定情報（ユーザーの固有の情報）を格納することは、ユーザーの乗降に従って自動車１００のセキュリティーレベルが制御することの一例である。この意味において、ＣＰＵ１１およびＣＰＵ１１に特定情報をダウンロードして記憶装置１２へ格納させるためのプログラムの部分によって、制御手段が構成される。

特定情報は、ユーザーのネットワーク環境（たとえば、ＶＰＮ設定）を含み得る。自動車１００に設置された車載サーバー１０は、特定情報のネットワーク環境を利用して、管理サーバー２００と通信し得る。車載サーバー１０は、コンピューター５０と通信可能である。したがって、自動車１００内のコンピューター５０は、ＶＰＮ内で管理サーバー２００と接続可能である。管理サーバー２００がユーザーのオフィスに設置されている場合、ユーザーは、コンピューター５０を利用して、オフィス内と同様の環境で、管理サーバー２００内のファイルを利用し得る。この意味において、自動車１００は、ユーザーに対して、モビリティーオフィスとして機能し得る。

ＣＰＵ１１は、人感センサー４１，４２の検出出力を利用して物体の乗車を検出する。ＣＰＵ１１は、さらに、認証用情報と通信機器４５が端末９０から取得した情報とを利用して、乗車したユーザーを認証（特定）する。この意味において、ＣＰＵ１１およびＣＰＵ１１にユーザーの乗車を検出させるためのプログラムの部分によって、乗降検出手段が構成される。なお、ＣＰＵ１１は、通信機器４５が端末９０から取得した情報の代わりに、または、当該情報に加えて、ドアカメラ４３などによって検出される生体認証を利用してユーザーを特定してもよい。

（降車処理）
図６は、自動車１００から物体が降りることが検出されたときに実行される処理（降車処理）のフローチャートである。図６の処理は、たとえば、車載サーバー１０のＣＰＵ１１が所与のプログラムを実行することによって実現される。一実現例では、ＣＰＵ１１は、人感センサー４２が物体を検出した時点から所与の時間内に人感センサー４１が物体を検出したことに応じて、図６の処理を開始する。

ステップＳ２００にて、ＣＰＵ１１は、ドアカメラ４３で降車するユーザーの全体画像を撮影する。ＣＰＵ１１は、撮影された画像がユーザーの全身を含むか否かを判断し、ユーザーの全身を含む画像が撮影されるまで、ドアカメラ４３に撮影を繰り返させても良い。ユーザーの全身が画像に含まれるか否かの判断には、たとえばパターン認識技術が利用されてもよい。

ステップＳ２０２にて、ＣＰＵ１１は、ステップＳ１０４において格納されたユーザーの全体画像を読み出す。

ステップＳ２０４にて、ＣＰＵ１１は、ステップＳ２００において撮影された全体画像とステップＳ２０２で読み出された全体画像とを比較し、これらが同じユーザーの画像を含むか否かを判断する。一実現例では、ステップＳ２０４における比較は、画像から特徴量を抽出することと、当該特徴量を比較することとを含む。特徴量が一致すれば、同じユーザーの画像が含まれると判断され得る。ＣＰＵ１１は、両全体画像が同じユーザーの画像を含むと判断すると（ステップＳ２０４にてＹＥＳ）、ステップＳ２０８へ制御を進め、そうでなければ（ステップＳ２０４にてＮＯ）、ステップＳ２０６へ制御を進める。

ステップＳ２０６にて、ＣＰＵ１１は、エラーを報知して図６の処理を終了する。エラー報知の一例は、認証されていないユーザーが自動車１００内に居ることを、自動車１００に設けられた所与の表示装置に表示する。他の例は、エラーの発生を表わす音声の出力である。さらに他の例は、管理サーバー２００に、エラーが発生したことを通知する。

ステップＳ２０８にて、ＣＰＵ１１は、車内情報を取得する。車内情報は、車載サーバー１０における通信等の設定と、車載サーバー１０および自動車１００内の各機器（ＭＦＰ２０、コンピューター５０、等）における作業データとを含む。

ステップＳ２１０にて、ＣＰＵ１１は、作業データのスナップショットを生成する。より具体的には、車載サーバー１０の記憶装置１２、ＭＦＰ２０の記憶装置２２、走行制御装置３０の記憶装置３２、および、コンピューター５０の記憶装置のスナップショットを生成して、記憶装置１２に格納する。

ステップＳ２１２にて、ＣＰＵ１１は、車載サーバー１０および各機器において、車内情報を消去する。

ステップＳ２１４にて、ＣＰＵ１１は、ステップＳ２１０にて生成されたスナップショットを管理サーバー２００へ送信する。

ステップＳ２１６にて、ＣＰＵ１１は、車載サーバー１０の記憶装置１２に格納されたスナップショットを消去する。

ステップＳ１０６にてダウンロードされた「特定情報」は、ステップＳ１０８にて、車載サーバー１０内で展開され、また、ステップＳ１１０にて、自動車１００に設けられた各機器へと送信される。ステップＳ２１０において生成されるスナップショットには、車載サーバー１０内で展開され、また、各機器に送信された、「特定情報」が含まれる。ステップＳ２１６にてスナップショットが管理サーバー２００へ送信されることにより、特定情報が管理サーバー２００へ送信される。なお、「特定情報」は、車載サーバー１０または各機器における情報処理において更新され得る。たとえば、「特定情報」に含まれる作業データは、ユーザーがコンピューター５０を利用して作業を行った場合、当該作業に応じて更新され得る。ステップＳ２１６では、更新された「特定情報」が管理サーバー２００へと送信され得る。

ステップＳ２１８にて、ＣＰＵ１１は、降車するユーザーに、当該ユーザーが自動車１００において利用したデータが消去されたことを通知する。降車するユーザーの宛先は、たとえば、当該ユーザーの「特定情報」にメールアドレスとして含まれていてもよい。

ステップＳ２２０にて、ＣＰＵ１１は、ドアロック４４にドア１２０を開錠させて、図６の処理を終了する。

以上、図６を参照して説明された降車処理において、ＣＰＵ１１は、ユーザーの降車を検出したことに応じて、当該ユーザーの「特定情報」を含むスナップショットを管理サーバー２００へと送信した後、当該スナップショットを車載サーバー１０から消去する。ユーザーの降車に応じて自動車１００から特定情報（ユーザーの固有の情報）を消去することは、ユーザーの乗降に従って自動車１００のセキュリティーレベルが制御することの一例である。この意味において、ＣＰＵ１１およびＣＰＵ１１に特定情報を記憶装置１２から消去させるためのプログラムの部分によって、制御手段が構成される。

ＣＰＵ１１は、ステップＳ２１６におけるスナップショットの消去は、たとえば、スナップショットのデータが格納されていた領域を「０」データによって更新することによって実現される。ＣＰＵ１１は、ステップＳ２１６における消去工程の実行回数を、スナップショットに含まれるデータの機密度に応じて変更してもよい。より具体的には、ＣＰＵ１１は、ＭＦＰ２０の記憶装置２２のスナップショットを生成する場合、その時点でＭＦＰ２０において処理対象（たとえば、印刷の対象）とされているファイルの機密度を取得する。ＣＰＵ１１は、当該機密度に応じて、記憶装置２２のスナップショットを格納していた記憶装置１２内の領域の消去工程の実行回数を決定する。一実現例では、機密度は、「１」「２」「３」の３段階で設定され得る。「１」が最も機密度が低く、「３」が最も機密度が高い。ＣＰＵ１１は、機密度「１」の場合には消去工程の実行回数を「１」に決定し、機密度「２」の場合には消去工程の実行回数を「２」に決定し、機密度「３」の場合には消去工程の実行回数を「３」に決定する。

車載サーバー１０は、複数のユーザーのそれぞれについての情報を処理することができる。たとえば、ユーザーＡとユーザーＢとが自動車１００内に居る場合、ユーザーＡが車載サーバー１０にログインすれば、ユーザーＡが自動車１００内の機器（ＭＦＰ２０、コンピューター５０、など）を利用できる。ユーザーＢが車載サーバー１０にログインすれば、ユーザーＢが自動車１００内の機器を利用できる。車載サーバー１０および各機器は、ユーザーごとに「特定情報」を利用し、ユーザーごとに作業データを生成する。

この場合、ＣＰＵ１１は、複数のユーザーのそれぞれについて、車内情報を生成し、また、スナップショットを生成し得る。

ＣＰＵ１１は、さらに、複数のユーザーのうち一部のユーザーのみが自動車１００から降りたことを検出し得る。たとえば、ＣＰＵ１１は、ステップＳ２０４において、ステップＳ２００で撮影された画像がユーザーＢの画像と一致すると判断した場合、ユーザーＢのみが降車することを検出する。この場合、ＣＰＵ１１は、ユーザーＢについてのスナップショットを管理サーバー２００へ送信し、当該スナップショットを記憶装置１２から消去し得る。

（衝撃対応処理）
図７は、自動車１００に大きな衝撃が加えられたときに実行される処理（衝撃対応処理）のフローチャートである。図７の処理は、たとえば、車載サーバー１０のＣＰＵ１１が所与のプログラムを実行することによって実現される。一実現例では、ＣＰＵ１１は、走行制御装置３０から、自動車１００に対して一定の閾値以上の衝撃が印加されたことを表わす通知を受信したことに応じて、図７の処理を開始する。走行制御装置３０のＣＰＵ３１は、加速度センサー３７の検出出力に基づいて、自動車１００に対して一定の閾値以上の衝撃が印加されたか否かを判断してもよく、また、当該衝撃が印加されたと判断したときに車載サーバー１０へ上記通知を送信してもよい。

図７の処理は、ユーザーが自動車１００に乗っている期間において、上記衝撃が印加されたときに開始されてもよい。ユーザーが自動車１００に乗っている期間の一例は、図５のステップＳ１１２の施錠から図６のステップＳ２２０の開錠までの期間である。

図７を参照して、ステップＳＡ１０にて、ＣＰＵ１１は、ドアロック４４にドア１２０を開錠させる。

図７のステップＳＡ１２～ＳＡ１４の制御は、図６のステップＳ２０８～Ｓ２１６の制御に相当する。

すなわち、ステップＳＡ１２にて、ＣＰＵ１１は、ステップＳ２０８と同様に、車内情報を取得する。

ステップＳＡ１４にて、ＣＰＵ１１は、ステップＳ２１０と同様に、作業データのスナップショットを生成する。

ステップＳＡ１６にて、ＣＰＵ１１は、ステップＳ２１２と同様に、車載サーバー１０および各機器において、車内情報を消去する。

ステップＳＡ１８にて、ＣＰＵ１１は、ステップＳ２１４と同様に、ステップＳ３０２にて生成されたスナップショットを管理サーバー２００へ送信する。

ステップＳＡ２０にて、ＣＰＵ１１は、ステップＳ２１６と同様に、車載サーバー１０の記憶装置１２に格納されたスナップショットを消去する。

ステップＳＡ２２にて、ＣＰＵ１１は、自動車１００内のユーザーに、当該ユーザーが自動車１００において利用したデータが消去されたことを通知して、図７の処理を終了する。当該ユーザーの宛先は、たとえば、当該ユーザーの「特定情報」にメールアドレスとして含まれていてもよい。

［４．データ管理処理］
図６の降車処理では、ＣＰＵ１１は、ユーザーの降車する際に一括して作業データ（スナップショット）を生成して、管理サーバー２００へ送信する。一方で、ＣＰＵ１１は、一定時間ごとに作業データを生成して管理サーバー２００へ送信してもよい。

図８は、一定時間ごとに作業データを生成して管理サーバー２００へ送信するための処理（データ管理処理）のフローチャートである。図８の処理は、たとえば、車載サーバー１０のＣＰＵ１１が所与のプログラムを実行することによって実現される。一実現例では、ＣＰＵ１１は、ユーザーが自動車１００に乗車したことを検出してから降車することを検出するまでの期間、継続して、データ管理処理を実行する。

図８を参照して、ステップＳ３００にて、ＣＰＵ１１は、前回ステップＳ３００の制御を実行してから一定時間が経過したか否かを判断する。なお、初めてステップＳ３００の制御を実行する場合、ＣＰＵ１１は、ステップＳ３００にて、データ管理処理の開始から一定時間が経過したか否かを判断する。ＣＰＵ１１は、一定時間が経過したと判断するまでステップＳ３００に制御を留める（ステップＳ３００にてＮＯ）。ＣＰＵ１１は、一定時間が経過したと判断すると（ステップＳ３００にてＹＥＳ）、ステップＳ３０２へ制御を進める。

ステップＳ３０２にて、ＣＰＵ１１は、ユーザーの作業ログを生成する。作業ログは、作業データの一例である。作業ログは、車載サーバー１０における作業ログであってもよいし、自動車１００内の機器（ＭＦＰ２０、走行制御装置３０、コンピューター５０、など）の作業ログであってもよいし、これらの両方であってもよい。作業ログは、各機器で生成されてもよい。ＣＰＵ１１は、各機器の作業ログを生成する代わりに、各機器から作業ログを取得してもよい。ＣＰＵ１１は、生成または取得された作業ログを、記憶装置１２に格納する。

ステップＳ３０４にて、ＣＰＵ１１は、ステップＳ３０２にて生成（または取得）された作業ログを管理サーバー２００へ送信する。ＣＰＵ１１は、当該作業ログを圧縮および／または暗号化して管理サーバー２００へ送信してもよい。

ステップＳ３０６にて、ＣＰＵ１１は、ステップＳ３０４における作業ログの送信が失敗したか否かを判断する。ＣＰＵ１１は、たとえば、ステップＳ３０４における送信から所与の時間内に管理サーバー２００から作業ログの送信が正常に行なわれたことを表わすデータを受信した場合には、作業ログの送信が成功したと判断し、当該データを受信しない場合に、作業ログの送信が失敗したと判断する。ＣＰＵ１１は、作業ログの送信が失敗したと判断すると（ステップＳ３０６にてＹＥＳ）、ステップＳ３０８へ制御を進め、成功したと判断すると（ステップＳ３０６にてＮＯ）、ステップＳ３１０へ制御を進める。

ステップＳ３０８にて、ＣＰＵ１１は、作業ログを、自動車１００に乗っているユーザーへ送信する。ＣＰＵ１１は、当該作業ログを圧縮および／または暗号化してユーザーへ送信してもよい。ユーザーの宛先は、たとえば、当該ユーザーの「特定情報」にメールアドレスとして含まれていてもよい。

ステップＳ３１０にて、ＣＰＵ１１は、記憶装置１２に格納された作業ログを消去した後、ステップＳ３００へ制御を戻す。

以上説明されたデータ管理処理では、定期的に、作業ログが管理サーバー２００に登録され得る。

なお、ステップＳ３１０における作業ログの送信が失敗した場合、ＣＰＵ１１は、ユーザーが降車するまでは、ステップＳ３００に制御を戻してもよい。ユーザーが降車するときに、管理サーバー２００にもユーザーにも送信できていない作業ログが存在する場合、ＣＰＵ１１は、当該作業ログをユーザーが降車後も保持してもよい。この場合、ＣＰＵ１１は、当該作業ログをユーザーへ送信することを繰り返し試みる。当該作業ログのユーザーへの送信が成功したことを条件として、ＣＰＵ１１は、作業ログを記憶装置１２から消去する。これにより、自動車１００が通信環境の悪い場所でユーザーが降車した場合であっても、確実に、ユーザーの降車直前の作業ログをユーザーに提供できる。ユーザーは、管理サーバー２００に登録された作業ログとユーザー（のメールアドレス宛）に送信された作業ログとを利用することにより、自動車１００において行なわれた作業の状態を復元できる。

図８のデータ管理処理において、ステップＳ３００における判断基準は単なる一例である。ステップＳ３０２以降の制御は、必ずしも一定期間ごとに実行されなくてもよい。すなわち、ＣＰＵ１１は一定の条件が成立すれば作業ログを生成し、一定の条件は一定時間の経過に限定されない。

たとえば、ステップＳ３０２以降の制御は、ユーザーが車載サーバー１０に対して作業ログの生成の指示を入力したことを条件として実行されてもよい。この場合、ステップＳ３００において、ＣＰＵ１１は、上記指示が入力されたか否かを判断し、当該指示が入力されたと判断するとステップＳ３０２へ制御を進める。ユーザーは、たとえば、入力装置５２を介して、車載サーバー１０へ上記指示を入力できる。

［５．変形例（１）］
図９は、図６の降車処理の第１の変形例のフローチャートである。図９の降車処理では、ＣＰＵ１１は、図６の降車処理と同様にステップＳ２００～Ｓ２１２の制御を実行し、ステップＳ２１２の制御の後、ステップＳ２２０へ制御を進める。

ステップＳ２２０にて、ＣＰＵ１１は、ドアロック４４にドア１２０を開錠させ、ステップＳ２３０へ制御を進める。

ステップＳ２３０にて、ＣＰＵ１１は、降車処理が開始されてから一定時間が経過したか否かを判断し、一定時間が経過したと判断するまでステップＳ２３０に制御を留める（ステップＳ２３０にてＮＯ）。ＣＰＵ１１は、一定時間が経過したと判断すると（ステップＳ２３０にてＹＥＳ）、ステップＳ２４０へ制御を進める。

ステップＳ２４０にて、ＣＰＵ１１は、ステップＳ２１０にて生成されたスナップショットを管理サーバー２００へ送信する。

ステップＳ２４２にて、ＣＰＵ１１は、車載サーバー１０の記憶装置１２に格納されたスナップショットを消去する。

ステップＳ２４４にて、ＣＰＵ１１は、降車するユーザーに、当該ユーザーが自動車１００において利用したデータが消去されたことを通知して、図９の処理を終了する。

以上、図９を参照して説明された降車処理では、ＣＰＵ１１は、ユーザーの降車を検出してから一定時間の経過後に、スナップショットを管理サーバー２００へ送信し、スナップショットを消去する。

［６．変形例（２）］
図１０は、図６の降車処理の第２の変形例のフローチャートである。図１０の降車処理は、図９の降車処理のステップＳ２３０の代わりにステップＳ２３２を含む。

ステップＳ２３２にて、ＣＰＵ１１は、自動車１００を降りたユーザーが自動車１００から一定距離内に存在するか否かを判断する。一実現例では、ステップＳ２３２における判断にはビーコン受信機４７が利用される。

より具体的には、ＣＰＵ１１は、ビーコン受信機４７が、自動車１００に乗っていたユーザーの端末９０から出力されるビーコンを受信しているか否かを判断する。ユーザーの端末９０から出力されるビーコンを特定する情報は、たとえば、当該ユーザーの「特定情報」に含まれる。

ＣＰＵ１１は、ビーコン受信機４７が上記ビーコンを受信している場合には、自動車１００を降りたユーザーが自動車１００から一定距離内に存在すると判断する。ＣＰＵ１１は、ビーコン受信機４７が上記ビーコンを受信しない場合には、自動車１００を降りたユーザーが自動車１００から一定距離内には存在しないと判断する。

ＣＰＵ１１は、ユーザーが自動車１００から一定距離内に存在すると判断する場合には（ステップＳ２３２にてＹＥＳ）、ステップＳ２３２の制御を繰り返す。ＣＰＵ１１は、ユーザーが自動車１００から一定距離内に存在しないと判断すると（ステップＳ２３２にてＮＯ）、ステップＳ２４０へ制御を進める。

その後、ＣＰＵ１１は、図９の降車処理と同様にステップＳ２４０以降の制御を実行する。

以上、図１０を参照して説明された降車処理では、ＣＰＵ１１は、自動車を降りたユーザーが自動車１００から離れた（自動車１００から一定距離内に存在しない）場合に、スナップショットを管理サーバー２００へ送信し、スナップショットを消去する。

［７．変形例（３）］
図１１は、図６の降車処理の第３の変形例のフローチャートである。図１１の降車処理は、図９の降車処理のステップＳ２３０の代わりにステップＳ２３４を含む。

ステップＳ２３４にて、ＣＰＵ１１は、自動車１００を降りたユーザーが車載カメラ４６によって撮影された画像に含まれるか否かを判断する。一実現例では、ＣＰＵ１１は、ステップＳ１０４において撮影されたユーザーの全体画像を利用して、車載カメラ４６が撮影した画像に含まれるか否かを判断する。

ＣＰＵ１１は、自動車１００を降りたユーザーが車載カメラ４６によって撮影された画像に含まれると判断する場合には（ステップＳ２３４にてＹＥＳ）、ステップＳ２３４の制御を繰り返す。ステップＳ２３４の制御を繰り返すたびに、ＣＰＵ１１は、車載カメラ４６から最新の撮影画像を取得する。ＣＰＵ１１は、自動車１００を降りたユーザーが車載カメラ４６によって撮影された画像に含まれないと判断すると（ステップＳ２３４にてＮＯ）、ステップＳ２４０へ制御を進める。

その後、ＣＰＵ１１は、図９の降車処理と同様にステップＳ２４０以降の制御を実行する。

以上、図１１を参照して説明された降車処理では、ＣＰＵ１１は、自動車を降りたユーザーが自動車１００から十分離れた（車載カメラ４６によって撮影された画像に含まれなくなった）場合に、スナップショットを管理サーバー２００へ送信し、スナップショットを消去する。

［８．自動車１００内に提供される環境の変形例］
車載サーバー１０のＣＰＵ１１は、仮想ＯＳ上でスナップショットの生成（ステップＳ２１０）および作業ログの生成（ステップＳ３０２）を実行してもよい。ＣＰＵ１１は、ユーザーの降車後、スナップショットを消去するとともに、仮想ＯＳを消去してもよい。

車載サーバー１０は、管理サーバー２００から、仮想ＯＳ環境も含めた仮想化プログラムが提供されてもよい。この場合、たとえば、ステップＳ１０６においてＣＰＵ１１が取得する特定情報に、仮想化プログラムが含まれる。ＣＰＵ１１は、ユーザーの降車後、スナップショットを消去するとともに、仮想ＯＳを消去してもよい。

［９．付記］
以上説明された情報処理システムには、種々の変更が想定され得る。たとえば、ＭＦＰ２０は、車載サーバー１０と一体に設けることが可能である。そのようなＭＦＰ２０が移動体に搭載されることによって、当該移動体がモビリティーオフィスとして機能する際に、当該移動体の内部の省スペース化が実現され得る。

情報処理システムにおいて、コンピューター５０は車載サーバー１０と一体に設けられても良い。

今回開示された各実施の形態は全ての点で例示であって制限的なものではないと考えられるべきである。本発明の範囲は上記した説明ではなくて特許請求の範囲によって示され、特許請求の範囲と均等の意味および範囲内での全ての変更が含まれることが意図される。また、実施の形態および各変形例において説明された発明は、可能な限り、単独でも、組合わせても、実施することが意図される。

１０ 車載サーバー、１１，２１，３１ ＣＰＵ、１２，２２，３２ 記憶装置、１３，２３，３３ 通信インターフェース、２０ ＭＦＰ、２４ ディスプレイ、２５，５２ 入力装置、３０ 走行制御装置、３４ 受信機、３５ 操舵装置、３６ 制駆動装置、３７ 加速度センサー、４１，４２ 人感センサー、４３ ドアカメラ、４４ ドアロック、４５ 通信機器、４６ 車載カメラ、４７ ビーコン受信機、５０ コンピューター、５１ モニター、９０ 端末、１００ 自動車、１１０ 車体、１２０ ドア、１３１ 前輪、１３２ 後輪、２００ 管理サーバー。

Claims (24)

1. 移動体に設置される情報処理装置であって、
   前記移動体におけるユーザーの乗降を検出する乗降検出手段と、
   前記移動体へのユーザーの乗降に従って前記移動体におけるセキュリティレベルを制御する制御手段と、
   メモリーと、を備え、
   前記制御手段は、
   前記移動体に乗車したユーザーに関連付けられる特定情報を前記メモリーに格納し、
   前記乗降検出手段が前記移動体からのユーザーの降車を検出した場合に、前記特定情報を前記メモリーから消去し、
   前記特定情報は、前記ユーザーが前記情報処理装置を利用して作業を行ったことに応じて更新される作業データを含み、
   前記制御手段は、前記特定情報の機密レベルに応じて消去工程の実行回数を変更する、情報処理装置。
2. 前記特定情報は、前記ユーザーのシステム環境を含む、請求項１に記載の情報処理装置。
3. 前記システム環境は、前記ユーザーのネットワーク環境を含む、請求項２に記載の情報処理装置。
4. 前記作業データは、乗車後に生成または編集されるデータを含む、請求項１～請求項３のいずれか１項に記載の情報処理装置。
5. サーバーと通信するための通信手段をさらに備え、
   前記特定情報は、前記サーバーに予め登録されている、請求項１～請求項４のいずれか１項に記載の情報処理装置。
6. サーバーと通信するための通信手段をさらに備え、
   前記制御手段は、前記乗降検出手段が前記移動体へのユーザーの乗車を検出した場合に、前記サーバーから前記特定情報の少なくとも一部を取得する、請求項１～請求項４のいずれか１項に記載の情報処理装置。
7. 前記特定情報は、前記サーバーにおいてスナップショットとして登録されている、請求項５または請求項６に記載の情報処理装置。
8. 前記特定情報は、前記移動体の制御情報として、目的地および経路の少なくとも一方を含む、請求項１～請求項６のいずれか１項に記載の情報処理装置。
9. 前記制御手段は、前記特定情報を消去した場合に、当該消去を前記ユーザーの端末へ通知する、請求項１～請求項８のいずれか１項に記載の情報処理装置。
10. 前記特定情報は、機器のセキュリティーレベルを指定する情報を含み、
    前記制御手段は、前記セキュリティーレベルを指定する情報を前記移動体に設けられた機器に送信する、請求項１～請求項９のいずれか１項に記載の情報処理装置。
11. 前記制御手段は、前記乗降検出手段が前記移動体からのユーザーの降車を検出した場合に、前記サーバーへ前記特定情報を送信する、請求項５または請求項６に記載の情報処理装置。
12. 移動体に設置される情報処理装置であって、
    前記移動体におけるユーザーの乗降を検出する乗降検出手段と、
    前記移動体へのユーザーの乗降に従って前記移動体におけるセキュリティレベルを制御する制御手段と、
    メモリーと、
    サーバーと通信するための通信手段と、を備え、
    前記制御手段は、
    前記移動体に乗車したユーザーに関連付けられる特定情報を前記メモリーに格納し、
    前記乗降検出手段が前記移動体からのユーザーの降車を検出した場合に、前記特定情報を前記メモリーから消去し、
    前記特定情報は、前記サーバーに予め登録されている、または、その少なくとも一部が前記乗降検出手段によって前記移動体へのユーザーの乗車が検出された場合に前記制御手段によって前記サーバーから取得され、
    前記制御手段は、前記乗降検出手段が前記移動体からのユーザーの降車を検出してから一定期間の経過後に、前記サーバーへ前記特定情報を送信する、情報処理装置。
13. 前記ユーザーが前記移動体から一定距離内に存在するか否かを検出する存在検出手段をさらに備え、
    前記制御手段は、前記ユーザーが前記移動体から前記一定距離内に存在しないことを前記存在検出手段が検出した場合に、前記サーバーへ前記特定情報を送信する、請求項５または請求項６に記載の情報処理装置。
14. 移動体に設置される情報処理装置であって、
    前記移動体におけるユーザーの乗降を検出する乗降検出手段と、
    前記移動体へのユーザーの乗降に従って前記移動体におけるセキュリティレベルを制御する制御手段と、
    メモリーと、
    サーバーと通信するための通信手段と、を備え、
    前記制御手段は、
    前記移動体に乗車したユーザーに関連付けられる特定情報を前記メモリーに格納し、
    前記乗降検出手段が前記移動体からのユーザーの降車を検出した場合に、前記特定情報を前記メモリーから消去し、
    前記特定情報は、前記サーバーに予め登録されている、または、その少なくとも一部が前記乗降検出手段によって前記移動体へのユーザーの乗車が検出された場合に前記制御手段によって前記サーバーから取得され、
    前記移動体の外の画像を撮影するカメラをさらに備え、
    前記制御手段は、前記乗降検出手段によって前記ユーザーの降車が検出された後、前記カメラによって撮影された画像において前記ユーザーが特定されなくなった場合に、前記サーバーへ前記特定情報を送信する、情報処理装置。
15. 移動体に設置される情報処理装置であって、
    前記移動体におけるユーザーの乗降を検出する乗降検出手段と、
    前記移動体へのユーザーの乗降に従って前記移動体におけるセキュリティレベルを制御する制御手段と、
    メモリーと、
    サーバーと通信するための通信手段と、を備え、
    前記制御手段は、
    前記移動体に乗車したユーザーに関連付けられる特定情報を前記メモリーに格納し、
    前記乗降検出手段が前記移動体からのユーザーの降車を検出した場合に、前記特定情報を前記メモリーから消去し、
    前記特定情報は、前記サーバーに予め登録されている、または、その少なくとも一部が前記乗降検出手段によって前記移動体へのユーザーの乗車が検出された場合に前記制御手段によって前記サーバーから取得され、
    前記制御手段は、前記移動体に一定の閾値以上の衝撃が印加された場合に、前記サーバーへ前記特定情報を送信する、情報処理装置。
16. 前記制御手段は、前記特定情報のスナップショットを生成し、当該スナップショットを前記サーバーへ送信することによって、前記特定情報を前記サーバーへ送信する、請求項１１～請求項１５のいずれか１項に記載の情報処理装置。
17. サーバーおよび前記ユーザーの端末と通信するための通信手段をさらに備え、
    前記制御手段は、
    所与の条件の成立に応じて、前記ユーザーの作業データを前記サーバーへ送信し、
    前記サーバーと通信ができない場合には、前記作業データを前記ユーザーの端末へ送信する、請求項１に記載の情報処理装置。
18. メモリーをさらに備え、
    前記制御手段は、
    前記作業データを前記メモリーへ格納し、
    前記サーバーまたは前記ユーザーの端末へ送信された作業データを前記メモリーから消去する、請求項１７に記載の情報処理装置。
19. 前記乗降検出手段は、２以上のユーザーのそれぞれぞれの乗降を検出し、
    前記制御手段は、前記乗降検出手段によって降車を検出されたユーザーに関連付けられた前記特定情報を前記サーバーへ送信する、請求項１１～請求項１６のいずれか１項に記載の情報処理装置。
20. メモリーをさらに備え、
    前記制御手段は、
    前記サーバーから取得した前記特定情報を前記メモリーに格納し、
    前記サーバーへ前記特定情報を送信した場合に、前記特定情報を前記メモリーから消去する、請求項１１～請求項１６および請求項１９のいずれか１項に記載の情報処理装置。
21. 前記乗降検出手段が前記ユーザーの乗車を検出することは、前記ユーザーの端末と通信することを含む、請求項１～請求項２０のいずれか１項に記載の情報処理装置。
22. 前記特定情報は、機器のセキュリティーレベルを指定する情報を含み、
    前記制御手段は、前記セキュリティーレベルを指定する情報を前記移動体に設けられた機器に送信する、請求項１１～請求項１６および請求項１９～請求項２０のいずれか１項に記載の情報処理装置。
23. 移動体に設置される情報処理装置と、
    前記情報処理装置と通信可能なサーバーとを備え、
    前記サーバーは、ユーザーに関連付けられた特定情報を記憶する記憶装置を含み、
    前記情報処理装置は、
    メモリーと、
    前記移動体におけるユーザーの乗降を検出する乗降検出手段と、
    前記移動体へのユーザーの乗降に従って前記移動体におけるセキュリティレベルを制御する制御手段とを備え、
    前記制御手段は、
    前記乗降検出手段が前記移動体へのユーザーの乗車を検出した場合に、前記サーバーから前記特定情報の少なくとも一部を取得し、
    前記移動体に乗車したユーザーに関連付けられる特定情報を前記メモリーに格納し、
    前記乗降検出手段が前記移動体からのユーザーの降車を検出した場合に、前記特定情報を前記メモリーから消去し、
    前記特定情報は、前記ユーザーが前記情報処理装置を利用して作業を行ったことに応じて更新される作業データを含み、
    前記制御手段は、前記特定情報の機密レベルに応じて消去工程の実行回数を変更する、情報処理システム。
24. 移動体に設置される情報処理装置のコンピューターに実行されることによって、前記コンピューターに、
    前記移動体におけるユーザーの乗降を検出するステップと、
    前記移動体へのユーザーの乗降に従って前記移動体におけるセキュリティレベルを制御するステップと、
    前記移動体に乗車したユーザーに関連付けられる特定情報を前記コンピューターのメモリーに格納するステップと、
    前記移動体からのユーザーの降車を検出した場合に、前記特定情報を前記メモリーから消去するステップと、を実行させ、
    前記特定情報の機密レベルに応じて消去工程の実行回数は変更され、
    前記特定情報は、前記ユーザーが前記コンピューターを利用して作業を行ったことに応じて更新される作業データを含む、プログラム。

Images