(57)【要約】【課題】相乗りが発生した場合であっても利用者のプライバシーを保護することができる自動運転システム、制御方法、プログラム及び移動体を提供する。【解決手段】自動運転システム１０は、利用者を乗せて乗車位置から降車位置まで運ぶ移動体（タクシー４）を自動運転する。自動運転システム１０は、判断部（位置変更判断部１１２、遮蔽判断部２１１）と、処理部（保護処理部１１３、遮蔽装置２０３）とを備える。判断部は、移動体に複数の利用者が相乗りしている場合に、複数の利用者のうち一部の利用者が降車する場合に一部の利用者のプライバシーを保護する保護動作を行うか否かを、移動体に複数の利用者が相乗りしている相乗り状態に基づいて判断する。処理部は、判断部が保護動作を行うと判断した場合に、保護動作を行う。【選択図】図１
2019133354.tif 000002
【特許請求の範囲】
【請求項１】
利用者を乗せて乗車位置から降車位置まで運ぶ移動体を自動運転する自動運転システムであって、
前記移動体に複数の利用者が相乗りしている場合に、前記複数の利用者のうち一部の利用者が降車する場合に前記一部の利用者のプライバシーを保護する保護動作を行うか否かを、前記移動体に前記複数の利用者が相乗りしている相乗り状態に基づいて判断する判断部と、
前記判断部が前記保護動作を行うと判断した場合に、前記保護動作を行う処理部と、を備える
ことを特徴とする自動運転システム。
【請求項２】
前記保護動作は、前記一部の利用者の降車位置を代替位置に変更する動作を含む
ことを特徴とする請求項１に記載の自動運転システム。
【請求項３】
前記代替位置を予め設定している
ことを特徴とする請求項２に記載の自動運転システム。
【請求項４】
前記保護動作は、前記一部の利用者の降車位置から所定の範囲内の位置であって、所定の環境条件を満たす位置を前記代替位置として前記降車位置を変更する
ことを特徴とする請求項２に記載の自動運転システム。
【請求項５】
前記保護動作は、前記移動体において前記利用者が乗る空間を囲む壁に設けられた開口部を、前記開口部を通して外が見える第１状態から、前記開口部を通して外が見えないように前記開口部が遮蔽された第２状態に切り替える動作を含む
ことを特徴とする請求項１〜４のいずれか一項に記載の自動運転システム。
【請求項６】
前記処理部は、前記開口部を前記第２状態から前記第１状態に戻す復帰条件が成立すると、前記開口部を前記第２状態から前記第１状態に切り替える
ことを特徴とする請求項５に記載の自動運転システム。
【請求項７】
前記保護動作は、前記複数の利用者が降車する降車順を変更する動作を含む
ことを特徴とする請求項１〜６のいずれか一項に記載の自動運転システム。
【請求項８】
前記一部の利用者が使用する情報端末と通信する通信部を、更に備え、
前記処理部は、前記判断部が前記保護動作を行うと判断した場合に、前記情報端末に前記保護動作を行うか否かを確認する確認情報を前記通信部から送信し、前記通信部が前記情報端末から前記保護動作を行うように指示する指示情報を受信すると、前記保護動作を行うように構成された
ことを特徴とする請求項１〜７のいずれか一項に記載の自動運転システム。
【請求項９】
前記相乗り状態は、前記移動体に相乗りしている前記複数の利用者の属性と、前記複数の利用者の属性の組み合わせと、前記移動体に前記複数の利用者が乗車している時間帯と、前記複数の利用者の降車位置との少なくとも１つを含む
ことを特徴とする請求項１〜８のいずれか一項に記載の自動運転システム。
【請求項１０】
利用者を乗せて乗車位置から降車位置まで運ぶ移動体を制御する制御方法であって、
前記移動体に複数の利用者が相乗りしている場合に、前記複数の利用者のうち一部の利用者が降車する場合に前記一部の利用者のプライバシーを保護する保護動作を行うか否かを、前記移動体に前記複数の利用者が相乗りしている相乗り状態に基づいて判断する判断ステップと、
前記判断ステップが前記保護動作を行うと判断した場合に、前記保護動作を行う処理ステップと、を含む
ことを特徴とする制御方法。
【請求項１１】
コンピュータシステムに、
移動体に複数の利用者が相乗りしている場合に、前記複数の利用者のうち一部の利用者が降車する場合に前記一部の利用者のプライバシーを保護する保護動作を行うか否かを、前記移動体に前記複数の利用者が相乗りしている相乗り状態に基づいて判断する判断ステップと、
前記判断ステップが前記保護動作を行うと判断した場合に、前記保護動作を行う処理ステップと、を実行させるための
プログラム。
【請求項１２】
利用者が乗車する本体を備え、
請求項１〜９のいずれか一項に記載の自動運転システムによって制御されて自動運転を行う
ことを特徴とする移動体。
【発明の詳細な説明】
【技術分野】
【０００１】
本開示は、一般に自動運転システム、制御方法、プログラム及び移動体に関し、より詳細には複数の利用者の各々を異なる降車位置で降車させる自動運転システム、制御方法、プログラム及び移動体に関する。
【背景技術】
【０００２】
従来、無人で走行する自律走行車両が知られている（特許文献１参照）。
【０００３】
特許文献１に開示された自律走行車両は、路上の利用者を認識して、当該利用者を乗車させて、当該利用者の目的地まで走行する。
【先行技術文献】
【特許文献】
【０００４】
【特許文献１】特開２０１５−１９１２６４号公報
【発明の概要】
【発明が解決しようとする課題】
【０００５】
しかしながら、特許文献１の自律走行車両のような移動体を自動運転する自動運転システムにおいて、１台の車両（移動体）に複数の利用者が乗車する相乗りが発生した場合、降車位置等の各利用者のプライバシーが保護されないという問題がある。
【０００６】
本開示は上記課題に鑑みてなされ、相乗りが発生した場合であっても利用者のプライバシーを保護することができる自動運転システム、制御方法、プログラム及び移動体を提供することを目的とする。
【課題を解決するための手段】
【０００７】
本開示の一態様に係る自動運転システムは、利用者を乗せて乗車位置から降車位置まで運ぶ移動体を自動運転する。前記自動運転システムは、判断部と、処理部とを備える。前記判断部は、前記移動体に複数の利用者が相乗りしている場合に、前記複数の利用者のうち一部の利用者が降車する場合に前記一部の利用者のプライバシーを保護する保護動作を行うか否かを、前記移動体に前記複数の利用者が相乗りしている相乗り状態に基づいて判断する。前記処理部は、前記判断部が前記保護動作を行うと判断した場合に、前記保護動作を行う。
【０００８】
本開示の一態様に係る制御方法は、利用者を乗せて乗車位置から降車位置まで運ぶ移動体を制御する。前記制御方法は、判断ステップと、処理ステップとを含む。前記判断ステップは、前記移動体に複数の利用者が相乗りしている場合に、前記複数の利用者のうち一部の利用者が降車する場合に前記一部の利用者のプライバシーを保護する保護動作を行うか否かを、前記移動体に前記複数の利用者が相乗りしている相乗り状態に基づいて判断する。前記処理ステップは、前記判断ステップが前記保護動作を行うと判断した場合に、前記保護動作を行う。
【０００９】
本開示の一態様に係るプログラムはコンピュータシステムに、判断ステップと、処理ステップとを実行させるためのプログラムである。前記判断ステップは、移動体に複数の利用者が相乗りしている場合に、前記複数の利用者のうち一部の利用者が降車する場合に前記一部の利用者のプライバシーを保護する保護動作を行うか否かを、前記移動体に前記複数の利用者が相乗りしている相乗り状態に基づいて判断する。前記処理ステップは、前記判断ステップが前記保護動作を行うと判断した場合に、前記保護動作を行う。
【００１０】
本開示の一態様に係る移動体は、利用者が乗車する本体を備える。前記移動体は、前記自動運転システムによって制御されて自動運転を行う。
【発明の効果】
【００１１】
本開示によると、相乗りが発生した場合であっても利用者のプライバシーを保護することができる。
【図面の簡単な説明】
【００１２】
【図１】図１は、実施形態の一態様に係る自動運転システムの構成を説明する図である。
【図２】図２Ａ、図２Ｂは、同上の自動運転システムがタクシーの開口部を遮蔽することについて説明する図である。
【図３】図３は、同上の自動運転システムが行う位置変更判断処理を示す流れ図である。
【図４】図４は、同上の自動運転システムが行う遮蔽要否判断処理を示す流れ図である。
【図５】図５は、同上の自動運転システムが行う解除要否判断処理を示す流れ図である。
【図６】図６は、同上の自動運転システムの全体の処理の流れの一例を説明する図である。
【図７】図７は、同上の自動運転システムの全体の処理の流れの他の例を説明する図である。
【図８】図８は、同上の自動運転システムの全体の処理の流れのさらに別の例を説明する図である。
【発明を実施するための形態】
【００１３】
以下に説明する実施形態及び変形例は、本開示の一例に過ぎず、本開示は、実施形態及び変形例に限定されることなく、この実施形態及び変形例以外であっても、本開示に係る技術的思想を逸脱しない範囲であれば、設計等に応じて種々の変更が可能である。
【００１４】
（実施形態）
本実施形態に係る自動運転システム１０、制御方法、プログラム及び移動体について、図１〜図８を用いて説明する。
【００１５】
（１）概要
本実施形態の自動運転システム１０は、利用者を乗せて乗車位置から降車位置まで運ぶ移動体を自動運転するシステムである。自動運転システム１０は、移動体としてのタクシー４（図１参照）を制御する。
【００１６】
タクシー４は、ＬＩＤＡＲ（Light Detection and Ranging）、ＧＰＳ（Global Positioning System）及びカメラ等により周囲の環境を認識して自動運転により走行する移動体である。タクシー４は、利用者が乗る空間を囲む本体４００（壁）を有している（図２Ａ、図２Ｂ参照）。本体４００は、開口部４０１，４０２，４０３，４０４を有している（図２Ａ、図２Ｂ参照）。開口部４０１は、図２Ａ及び図２Ｂでは１つ記載されているが、タクシー４の進行方向に直交する方向の両側に設けられている。開口部４０２も、図２Ａ及び図２Ｂでは１つ記載されているが、タクシー４の進行方向に直交する方向の両側に設けられている。開口部４０３はタクシー４の前方に設けられ、開口部４０４はタクシー４の後方に設けられる。利用者は、タクシー４に乗車すると、開口部４０１〜４０４を通して外が見える。
【００１７】
自動運転システム１０は、タクシー４の利用者が乗車する場合に、利用者が降車する降車位置を含む乗車情報を、利用者が所持する情報端末３（図１参照）から受け取る。自動運転システム１０は、乗車情報を基に利用者の降車位置までタクシー４を自動運転で走行させる。
【００１８】
自動運転システム１０は、タクシー４で相乗りが発生した場合、複数の利用者のうち一部の利用者が降車する場合に当該一部の利用者のプライバシーを保護する保護動作を行うか否かを、タクシー４に複数の利用者が相乗りしている相乗り状態に基づいて判断する。自動運転システム１０は、保護動作を行うと判断した場合に保護動作を行う。
【００１９】
これにより、タクシー４で相乗りが発生した場合、先に降車する利用者のプライバシーが保護される。
【００２０】
（２）構成
以下、自動運転システム１０及び情報端末３の構成について説明する。
【００２１】
（２．１）自動運転システム
自動運転システム１０は、図１に示すように、サーバ１と、制御装置２とを備える。制御装置２は、タクシー４に設けられている。
【００２２】
（２．１．１）サーバ
サーバ１は、図１に示すように、記憶部１００、通信部１０１及び制御部１０２を備える。サーバ１は、例えばプロセッサ及びメモリを有するマイクロコンピュータを有している。そして、プロセッサがメモリに格納されているプログラムを実行することにより、マイクロコンピュータが制御部１０２として機能する。プロセッサが実行するプログラムは、ここではマイクロコンピュータのメモリに予め記録されているが、メモリカード等の記録媒体に記録されて提供されてもよいし、インターネット等の電気通信回線を通じて提供されてもよい。
【００２３】
記憶部１００は、ＲＯＭ（Read Only Memory）、ＲＡＭ（Random Access Memory）、又はＥＥＰＲＯＭ（Electrically Erasable Programmable Read Only Memory）等から選択されるデバイスで構成される。
【００２４】
記憶部１００は、予め利用者から登録された情報である利用者情報を複数の利用者ごとに記憶している。利用者情報は、利用者の名称（登録名称）、性別、生年月日、及び１つ以上の事前登録情報を含む。事前登録情報は、利用者が事前に登録した登録用降車位置と、当該登録用降車位置が他人に知られたくない位置であるか否かを表す保護フラグと、代替位置とを含む。代替位置は、利用者がタクシー４を利用しているときに降車位置として登録用降車位置が指定され、かつ相乗りが発生している場合に、指定された登録用降車位置に代わる位置である。なお、利用者によっては、代替位置を必要としない場合がある。この場合には、事前登録情報には、代替位置は含まれない。また、他人に知られたくない位置（場所）とは、例えば、利用者の自宅、会社、知人の自宅等の住所である。降車位置が他人に知られたくない位置であることを保護フラグが表している場合には、当該降車位置は保護対象の位置となる。
【００２５】
記憶部１００は、利用者がタクシー４の配車を要求した場合に情報端末３から送信された要求情報を、配車の対象であるタクシー４を識別する識別子に対応付けて記憶する。要求情報は、利用者の名称と、乗車位置、降車位置とを含む。乗車位置は利用者が乗車を希望する位置である。
【００２６】
記憶部１００は、乗車情報を、タクシー４の識別子に対応付けて記憶する。乗車情報は、利用者の名称と、降車する位置として指定された降車位置とを含む。
【００２７】
通信部１０１は、制御装置２及び情報端末３とのネットワーク５を介した通信を可能にする通信インタフェースを有している。
【００２８】
制御部１０２は、図１に示すように、配車処理部１１０、情報取得部１１１、位置変更判断部１１２及び保護処理部１１３を有している。
【００２９】
配車処理部１１０は、利用者がタクシー４の配車を要求する場合に情報端末３から送信された要求情報を、通信部１０１を介して受け取る。要求情報は、利用者の名称と、乗車位置、降車位置とを含む。配車処理部１１０は、要求情報に含まれる乗車位置に近い位置を走行しているタクシー４を特定し、特定したタクシー４に対して乗車位置に向うように指示する。例えば、配車処理部１１０は、乗車位置を含む配車情報を、特定したタクシー４の制御装置２に通信部１０１を介して送信する。配車処理部１１０は、要求情報を、対応する配車情報を送信したタクシー４の識別子に対応付けて記憶部１００に記憶する。
【００３０】
情報取得部１１１は、利用者がタクシー４に乗車した場合に利用者の情報端末３が送信した乗車情報を、通信部１０１を介して取得する。情報取得部１１１は、乗車情報に含まれる利用者の名称と一致する名称を含む要求情報に対応付けられたタクシー４の識別子を取得する。
【００３１】
情報取得部１１１は、通信部１０１を介して取得した乗車情報を、取得した識別子に対応付けて記憶部１００に記憶する。情報取得部１１１は、取得した識別子に対応付けられた複数の乗車情報が記憶部１００に記憶されている場合には、各乗車情報に含まれる降車位置と、識別子に対応するタクシー４の現在の位置とに基づいて、降車順を決定する。情報取得部１１１は、取得した識別子に対応付けられた複数の乗車情報が記憶部１００に記憶されている場合には、先に降車する利用者のプライバシーを保護する保護動作を行うか否かを、位置変更判断部１１２に判断させる。
【００３２】
情報取得部１１１は、利用者がタクシー４から降車したときにタクシー４から送信された情報であって降車位置及びタクシー４の識別子を含む降車情報を、通信部１０１を介して取得する。情報取得部１１１は、降車情報に含まれる識別子に対応付けられた１つ以上の乗車情報のうち、降車情報に含まれる降車位置と一致する降車情報を含む乗車情報を削除する。
【００３３】
位置変更判断部１１２は、タクシー４に乗車している利用者ごとにプライバシーを保護する保護動作を行うか否かを判断する。位置変更判断部１１２は、判断対象の利用者が降車する際に同乗者（他の利用者）が存在し、相乗りの状態としての降車位置が保護対象の位置である場合に、当該判断対象の利用者に対して保護動作を行うと判断する。
【００３４】
保護処理部１１３は、位置変更判断部１１２が保護動作を行うと判断し、かつ判断対象の利用者の乗車情報に含まれる降車位置に代わる代替位置が登録情報に登録されている場合は、代替位置を新たな降車位置として、対応する乗車情報を更新する。
【００３５】
保護処理部１１３は、位置変更判断部１１２が保護動作を行うと判断し、かつ判断対象の利用者の乗車情報に含まれる降車位置に代わる代替位置が登録情報に登録されていない場合は、当該利用者に降車位置の変更の確認を促す確認情報を当該利用者の情報端末３に送信する。
【００３６】
保護処理部１１３は、確認情報に対する応答であって降車位置に代わる代替位置を含む指示情報を情報端末３から受け取ると、指示情報に含まれる代替位置を新たな降車位置として、対応する乗車情報を更新する。
【００３７】
保護処理部１１３は、指示情報を情報端末３から受け取らない場合、又は受け取った場合であっても指示情報に変更後降車位置が含まれない場合には、自動で代替位置を決定し、自動で決定した降車位置を新たな降車位置として、対応する乗車情報を更新する。例えば、保護処理部１１３は、対応する乗車情報に含まれる降車位置を中心とする所定の範囲内であって所定の環境条件を満たす位置を代替位置とする。ここで、環境条件を満たすとは、乗車情報に含まれる降車位置から最も近い公共施設であること、広い道路沿いであること及び街灯により明るい場所であることの少なくとも１つを満たすことである。
【００３８】
保護処理部１１３は、情報取得部１１１が取得したタクシー４の識別子に対応するすべての乗車情報に対して位置変更判断部１１２による判断が終了し、かつ保護動作を行うと判断された乗車情報すべてに対して降車位置が変更された後、当該識別子に対応するすべての乗車情報を、当該識別子のタクシー４の制御装置２に送信する。この場合、保護処理部１１３は、さらに、情報取得部１１１が決定した降車順を、当該識別子のタクシー４の制御装置２に送信する。
【００３９】
これにより、保護処理部１１３は、保護動作を行うと判断されたすべての乗車情報の降車位置は変更している。そのため、タクシー４では変更された降車情報に基づいて利用者を降車させるので、降車する利用者のプライバシーは保護される。
【００４０】
保護処理部１１３は、情報取得部１１１が取得した識別子に対応付けられ、記憶部１００に記憶さている乗車情報が１つである場合には、記憶部１００に記憶さている乗車情報を、対応するタクシー４の制御装置２に送信する。
【００４１】
なお、保護処理部１１３は、指示情報を情報端末３から受け取らない場合、又は受け取った場合であっても指示情報に変更後降車位置が含まれない場合には、自動で代替位置を決定する構成としたが、この構成に限定されない。保護処理部１１３は、指示情報を情報端末３から受け取らない場合、又は受け取った場合であっても指示情報に変更後降車位置が含まれない場合には、降車位置の変更を行わなくてもよい。この場合、相乗りが発生しても降車位置は変更されない。
【００４２】
（２．１．２）制御装置
制御装置２は、タクシー４に設けられている。制御装置２は、図１に示すように、記憶部２００、通信部２０１、制御部２０２及び遮蔽装置２０３を備える。制御装置２は、例えばプロセッサ及びメモリを有するマイクロコンピュータを有している。そして、プロセッサがメモリに格納されているプログラムを実行することにより、マイクロコンピュータが制御部２０２として機能する。プロセッサが実行するプログラムは、ここではマイクロコンピュータのメモリに予め記録されているが、メモリカード等の記録媒体に記録されて提供されてもよいし、インターネット等の電気通信回線を通じて提供されてもよい。
【００４３】
記憶部２００は、ＲＯＭ、ＲＡＭ、又はＥＥＰＲＯＭ等から選択されるデバイスで構成される。記憶部２００は、乗車情報を記憶する。
【００４４】
通信部２０１は、サーバ１とのネットワーク５を介した通信を可能にする通信インタフェースを有している。
【００４５】
制御部２０２は、図１に示すように、情報取得部２１０、遮蔽判断部２１１及び運転制御部２１２を有する。
【００４６】
情報取得部２１０は、乗車情報をサーバ１から通信部２０１を介して取得する。情報取得部２１０は、取得した乗車情報を記憶部２００に記憶する。
【００４７】
情報取得部２１０は、利用者が降車する場合、利用者が降車する降車位置を含む乗車情報を取得し、取得した乗車情報に含まれる降車位置とタクシー４の識別子とを含む降車情報を、通信部２０１を介してサーバ１へ送信する。
【００４８】
遮蔽判断部２１１は、利用者がタクシー４から降車する場合に、相乗りの状態に応じて保護動作を行うか否かを判断する。具体的には、遮蔽判断部２１１は、利用者がタクシー４から降車する場合に、相乗りの状態に応じてタクシー４において利用者が乗る空間を囲む壁に設けられた開口部４０１〜４０４を、第１状態から第２状態へと切り替えるか否かを判断する。ここで、第１状態とは、開口部４０１〜４０４を通して外が見える状態である。第２状態は、開口部４０１〜４０４を通して外が見えないように開口部４０１〜４０４が遮蔽された状態である。遮蔽判断部２１１は、開口部４０１〜４０４を第１状態から第２状態へと切り替えると判断すると、遮蔽を指示する遮蔽指示を遮蔽装置２０３に出力する。
【００４９】
例えば、遮蔽判断部２１１は、利用者の降車位置が他人に知られたくない位置であって、降車時に同乗者が存在する場合に、開口部４０１〜４０４を第１状態から第２状態へと切り替えると判断する。本実施形態において、この判断は、利用者の降車位置が他人に知られたくない位置であって、降車時に同乗者が存在する場合であっても保護処理部１１３が降車位置を変更しないときに、有効である。なお、この判断は、本実施形態を説明する一例であり、この判断に限定する趣旨ではない。
【００５０】
遮蔽判断部２１１は、開口部４０１〜４０４に対して遮蔽が行われ開口部４０１〜４０４が第２状態となり）、利用者が降車した後、開口部４０１〜４０４の状態を第２状態から第１状態へと変更するか否かを判断する。例えば、遮蔽判断部２１１は、開口部４０１〜４０４に対して遮蔽が行われ、利用者が降車した後にタクシー４の走行距離が所定の閾値を超えた場合に、開口部４０１〜４０４に対する遮蔽を解除する、つまり開口部４０１〜４０４の状態を第２状態から第１状態へ変更すると判断する。遮蔽判断部２１１は、開口部４０１〜４０４に対する遮蔽を解除する解除指示を遮蔽装置２０３に出力する。遮蔽判断部２１１は、先進運転支援システム（ＡＤＡＳ：Advanced Driver Assistance System）等から利用者がタクシー４から降車してからのタクシー４の走行距離を取得することで、上記判断が可能となる。遮蔽判断部２１１は、開口部４０１〜４０４を、第２状態から第１状態へと切り替えると判断すると、遮蔽の解除を指示する解除指示を遮蔽装置２０３に出力する。
【００５１】
運転制御部２１２は、サーバ１から送信された降車順序に従ってタクシー４が移動するように、タクシー４を制御する。なお、サーバ１から送信された乗車情報が１つである場合には、運転制御部２１２は、乗車情報に含まれる降車位置に向うように、タクシー４を制御する。
【００５２】
遮蔽装置２０３は、開口部４０１〜４０４の遮蔽及び遮蔽の解除を行う。
【００５３】
遮蔽装置２０３は、遮蔽指示を受け取ると、開口部４０１〜４０４の遮蔽を行う。例えば、開口部４０１〜４０４を通して外が見えないように開口部４０１〜４０４を遮蔽物４１１〜４１４で覆う（図２Ｂ参照）。遮蔽物４１１〜４１４は、開口部４０１〜４０４が第１状態である場合には、開口部４０１〜４０４の下方の本体４００の内部に格納されている。遮蔽装置２０３は、遮蔽指示を受け取り、かつ利用者が降車するときに、開口部４０１〜４０４を覆うために、遮蔽物４１１〜４１４を上方に移動させる。これにより、開口部４０１〜４０４は、第１状態から第２状態へと変化する。
【００５４】
遮蔽装置２０３は、解除指示を受け取ると、開口部４０１〜４０４の遮蔽の解除を行う。例えば、遮蔽装置２０３は、遮蔽物４１１〜４１４を下方に移動させて、本体４００の内部に格納する。これにより、開口部４０１〜４０４は、第２状態から第１状態へと変化する。
【００５５】
（２．２）情報端末
情報端末３は、図１に示すように、通信部３００、入力部３０１、表示部３０２及び制御部３０３を備える。情報端末３は、例えばプロセッサ及びメモリを有するマイクロコンピュータを有している。そして、プロセッサがメモリに格納されているプログラムを実行することにより、マイクロコンピュータが制御部３０３として機能する。プロセッサが実行するプログラムは、ここではマイクロコンピュータのメモリに予め記録されているが、メモリカード等の記録媒体に記録されて提供されてもよいし、インターネット等の電気通信回線を通じて提供されてもよい。
【００５６】
通信部３００は、サーバ１とのネットワーク５を介した通信を可能にする通信インタフェースを有している。
【００５７】
入力部３０１は、情報端末３の所有者の操作を受け付ける機能を有している。表示部３０２は、例えば液晶ディスプレイや有機ＥＬ（electroluminescence）ディスプレイのような薄型のディスプレイ装置である。本実施形態では、情報端末３はタッチパネルディスプレイを搭載したスマートフォンであり、タッチパネルディスプレイが入力部３０１及び表示部３０２として機能する。
【００５８】
情報端末３は、専用のアプリケーションソフトをインストールし、このアプリケーションソフトを起動することにより、通信部３００、入力部３０１及び表示部３０２を制御するための制御部３０３としての機能を実現する。
【００５９】
本実施形態では、タクシー４の乗車に関するアプリケーションソフトが起動されると、制御部３０３は、入力部３０１が乗車位置及び降車位置を受け付ける入力画面を表示するように、表示部３０２を制御する。制御部３０３は、入力部３０１が乗車位置及び降車位置を受け付けると、予め登録している利用者の名称と、受け付けた乗車位置及び降車位置とを含む要求情報を、通信部３００を介してサーバ１へ送信する。要求情報は、一時的に記憶される。
【００６０】
利用者がタクシー４に乗車すると利用者の操作により、制御部３０３は、入力部３０１が乗車情報の送信指示を受け付ける登録画面を表示するように、表示部３０２を制御する。入力部３０１が乗車情報の送信指示を受け付けると、制御部３０３は、利用者の名称と、一時的に記憶されている要求情報に含まれる降車位置とを含む乗車情報を、通信部３００を介してサーバ１へ送信する。その後、要求情報は削除される。
【００６１】
制御部３０３は、通信部３００を介して確認情報をサーバ１から受け取ると、降車位置を変更するための変更画面を表示する。変更画面において、入力部３０１が変更後の降車位置を受け付けると、変更後の降車位置を含む確認情報を、通信部３００を介してサーバ１へ送信する。また、入力部３０１が変更後の降車位置の入力を受け付けることなく、確認情報の送信指示が行われると、変更後の降車位置を含まない確認情報を、通信部３００を介してサーバ１へ送信する。また、入力部３０１が変更後の降車位置の入力を受け付けることなく変更画面の表示を終了する操作が行われると、確認情報を送信することなく、変更画面の表示を終了する。
【００６２】
なお、以下の説明において、複数の情報端末３を区別する場合には、情報端末３ａ、３ｂと記載する。
【００６３】
（３）動作
ここでは、自動運転システム１０の動作、特に、降車位置の変更の要否に関する位置変更判断処理、タクシー４の開口部４０１〜４０４の遮蔽の要否を判断する遮蔽要否判断処理、及び開口部４０１〜４０４の遮蔽を解除の要否を判断する解除要否判断処理について説明する。
【００６４】
（３．１）位置変更判断処理
ここでは、位置変更判断処理について、図３に示す流れ図を用いて説明する。
【００６５】
位置変更判断部１１２は、保護の要否判断の対象である利用者が降車する際に同乗者（他の利用者）が存在するか否かを判断する（ステップＳ１）。例えば、位置変更判断部１１２は、利用者の降車順が最後である場合には、利用者が降車する際に同乗者は存在しないと判断する。位置変更判断部１１２は、利用者の降車順が最後でない場合には、利用者が降車する際に同乗者は存在すると判断する。
【００６６】
同乗者が存在しないと判断する場合には（ステップＳ１における「Ｎｏ」）、処理は終了する。つまり、保護の要否判断の対象である利用者の乗車情報の更新は行わない。
【００６７】
同乗者が存在すると判断する場合には（ステップＳ１における「Ｙｅｓ」）、位置変更判断部１１２は、相乗りの状態としての利用者の降車位置が保護対象の位置であるか否かを判断する（ステップＳ２）。例えば、位置変更判断部１１２は、乗車情報に含まれる降車位置が同一の利用者に対応する登録情報の登録用降車位置であり、かつ対応する保護フラグが降車位置として他人に知られたくない位置であること表している場合、降車位置が保護対象の位置であると判断する。
【００６８】
降車位置が保護対象の位置ではないと判断する場合には（ステップＳ２における「Ｎｏ」）、処理は終了する。つまり、保護の要否判断の対象である利用者の乗車情報の更新は行わない。
【００６９】
降車位置が保護対象の位置であると位置変更判断部１１２が判断する場合には（ステップＳ２における「Ｙｅｓ」）、保護処理部１１３は、判断対象の利用者の乗車情報に含まれる降車位置に代わる代替位置が登録情報に登録されているか否かを判断する（ステップＳ３）。
【００７０】
代替位置が登録されていると判断する場合（ステップＳ３における「Ｙｅｓ」）、保護処理部１１３は、代替位置を新たな降車位置として、対応する乗車情報を更新する（ステップＳ４）。
【００７１】
代替位置が登録されていないと判断する場合（ステップＳ３における「Ｎｏ」）、保護処理部１１３は、確認情報を判断対象の利用者の情報端末３に送信する（ステップＳ５）。
【００７２】
保護処理部１１３は、指示情報を情報端末３から受け取ると、受け取った指示情報に再設定された降車位置（代替位置）が含まれているか否かを判断する（ステップＳ６）。
【００７３】
指示情報に代替位置が含まれていないと判断する場合には（ステップＳ６における「Ｎｏ」）、保護処理部１１３は、自動で代替位置を決定し、自動で決定した降車位置を新たな降車位置として、対応する乗車情報を更新する（ステップＳ７）。また、保護処理部１１３がステップＳ５において確認情報を送信した後に所定の期間内に確認情報を受け取らない場合においても、保護処理部１１３は、ステップＳ７の動作を行う。
【００７４】
指示情報に代替位置が含まれていると判断する場合には（ステップＳ６における「Ｙｅｓ」）、保護処理部１１３は、指示情報に含まれる代替位置を新たな降車位置として、対応する乗車情報を更新する。
【００７５】
なお、上記の動作を、位置変更判断部１１２及び保護処理部１１３は、情報取得部１１１が取得したタクシー４の識別子に対応付けられたすべての乗車情報に対して行う。
【００７６】
保護処理部１１３は、情報取得部１１１が取得したタクシー４の識別子に対応するすべての乗車情報に対して位置変更判断部１１２による判断が終了し、かつ保護動作を行うと判断された乗車情報すべてに対して降車位置が変更された後、当該識別子に対応するすべての乗車情報を、当該識別子のタクシー４の制御装置２に送信する。また、保護処理部１１３は、さらに、情報取得部１１１が決定した降車順を、当該識別子のタクシー４の制御装置２に送信する。
【００７７】
また、保護処理部１１３は、情報取得部１１１が取得した識別子に対応付けられ、記憶部１００に記憶さている乗車情報が１つである場合には、上記動作を行うことなく、記憶部１００に記憶さている乗車情報を、対応するタクシー４の制御装置２に送信する。
【００７８】
なお、ステップＳ７において、保護処理部１１３が、自動的に代替位置に変更する場合、乗車情報を更新する前に、利用者の情報端末３に、自動的に決定した代替位置に降車位置を変更するか否かを表す確認情報を送信してもよい。保護処理部１１３は、情報端末３から変更を指示する指示情報を受け取ると、自動で決定した降車位置を新たな降車位置として、対応する乗車情報を更新する。保護処理部１１３は、情報端末３から変更しない指示を表す指示情報を受け取ると、乗車情報の更新は行わない。
【００７９】
（３．２）遮蔽要否判断処理
ここでは、遮蔽要否判断処理について、図４に示す流れ図を用いて説明する。
【００８０】
遮蔽判断部２１１は、保護の要否判断の対象である利用者が降車する際に同乗者（他の利用者）が存在するか否かを判断する（ステップＳ５０）。例えば、遮蔽判断部２１１は、利用者の降車順が最後である場合には、利用者が降車する際に同乗者は存在しないと判断する。遮蔽判断部２１１は、利用者の降車順が最後でない場合には、利用者が降車する際に同乗者は存在すると判断する。
【００８１】
同乗者が存在しないと判断する場合には（ステップＳ５０における「Ｎｏ」）、処理は終了する。つまり、開口部４０１〜４０４は、第１状態から第２状態へと変更されない。
【００８２】
同乗者が存在すると判断する場合には（ステップＳ５０における「Ｙｅｓ」）、遮蔽判断部２１１は、利用者の降車位置が保護対象の位置であるか否かを判断する（ステップＳ５１）。例えば、遮蔽判断部２１１は、降車対象の利用者の乗車情報に含まれる降車位置が保護対象の位置であるか否かをサーバ１に問い合わせる。具体的には、遮蔽判断部２１１は、降車対象の利用者の乗車情報に含まれる利用者の名称、及び降車位置をサーバ１に送信する。サーバ１は、制御装置２から利用者の名称、及び降車位置を受け取ると、受け取った利用者の名称を含む登録情報に、受け取った降車位置が事前登録情報として登録され、かつ対応する保護フラグが当該登録用降車位置として他人に知られたくない位置であることを表すか否かを判断する。サーバ１は、その結果を制御装置２に送信する。遮蔽判断部２１１は、サーバ１の判断結果が肯定的である場合に、降車対象の利用者の乗車情報に含まれる降車位置が保護対象の位置であると判断する。
【００８３】
降車位置が保護対象の位置ではないと判断する場合には（ステップＳ５１における「Ｎｏ」）、処理は終了する。つまり、開口部４０１〜４０４は、第１状態から第２状態へと変更されない。
【００８４】
降車位置が保護対象の位置であると判断する場合には（ステップＳ５１における「Ｙｅｓ）、遮蔽判断部２１１は、遮蔽指示を遮蔽装置２０３に出力する（ステップＳ５２）。
【００８５】
なお、本実施形態では、利用者の降車位置が保護対象の位置であるか否かをサーバ１に問い合わせる構成としたが、この構成に限定されない。サーバ１がタクシー４（制御装置２）に登録情報を送信する際に、降車位置が保護対象の位置であるか否かを表す保護対象情報を登録情報に含めてもよい。制御装置２は、降車対象の利用者の乗車情報に含まれる保護対象情報の内容に基づいて、降車位置が保護対象の位置であるか否かを判断する。これにより、制御装置２は、サーバ１に問い合わせることなく、降車位置が保護対象の位置であるか否かを判断することができる。
【００８６】
（３．３）解除要否判断処理
ここでは、解除要否判断処理について、図５に示す流れ図を用いて説明する。
【００８７】
遮蔽判断部２１１は、利用者の降車後、タクシー４の走行距離が所定の閾値を超えたか否かを判断する（ステップＳ６０）。
【００８８】
走行距離が所定の閾値を超えていないと判断する場合（ステップＳ６０における「Ｎｏ」）、遮蔽判断部２１１は、ステップＳ６０の判断を繰り返す。
【００８９】
走行距離が所定の閾値を超えていると判断する場合（ステップＳ６０における「Ｙｅｓ」）、遮蔽判断部２１１は、解除指示を遮蔽装置２０３に出力する（ステップＳ６１）。
【００９０】
（４）具体例
上述したように、位置変更判断処理（図３参照）では、確認情報を送信することなく処理が終了するパターンと、確認情報の送信及び指示情報の受信を行うパターンと、確認情報の送信及び指示情報の未受信のパターンとの、３パターンがある。ここでは、自動運転システム１０の全体の処理の流れを、パターンごとに具体例を用いて説明する。
【００９１】
（４．１）具体例１
位置変更判断処理において確認情報が送信されることなく処理が終了する場合における自動運転システム１０の全体の処理の流れを、図６を用いて説明する。なお、ここでは、タクシー４には、女性の利用者２０及び男性の利用者２１が相乗りすることを想定する（図２参照）。また、タクシー４は、サーバ１から既に配車情報を受け取り、利用者２０、利用者２１の順に乗車するように走行していると仮定する。また、利用者２０、利用者２１の順に降車すると仮定する。さらに、利用者２０の情報端末３を情報端末３ａとし、利用者２１の情報端末３を情報端末３ｂとする。
【００９２】
利用者２０がタクシー４に乗車すると、利用者２０の情報端末３ａは、利用者２０の乗車情報をサーバ１に送信する（ステップＳ１００）。
【００９３】
サーバ１は、情報端末３ａから利用者２０の乗車情報を受信すると、受信した利用者２０の乗車情報をタクシー４の識別子に対応付けて記憶部１００に登録（記憶）する（ステップＳ１０１）。
【００９４】
このとき、タクシー４の識別子に対応付けられた乗車情報は１つであるので、位置変更判断処理を行うことなく、情報端末３ａから受信した乗車情報を、タクシー４（制御装置２）に送信する（ステップＳ１０２）。
【００９５】
タクシー４は、乗車情報をサーバ１から受け取り、走行を開始する（ステップＳ１０３）。
【００９６】
利用者２１がタクシー４に乗車し、相乗りが発生する（ステップＳ１０４）。このとき、利用者２１の情報端末３ｂは、利用者２１の乗車情報をサーバ１に送信する（ステップＳ１０５）。
【００９７】
サーバ１は、情報端末３ｂから利用者２１の乗車情報を受信すると、受信した利用者２１の乗車情報をタクシー４の識別子に対応付けて記憶部１００に登録（記憶）する（ステップＳ１０６）。
【００９８】
このとき、タクシー４の識別子に対応付けられた乗車情報は、利用者２０の乗車情報と利用者２１の乗車情報との２つであるので、サーバ１は、位置変更判断処理を行う（ステップＳ１０７）。本具体例では、サーバ１は、位置変更判断処理のうち図３に示すステップＳ１、Ｓ２の処理を行う、又はステップＳ１〜Ｓ４の処理を行う。例えば、利用者２０の乗車情報に含まれる降車位置が保護対象の位置であり、代替位置が事前に登録されている場合には、サーバ１は、位置変更判断処理におけるステップＳ１〜Ｓ４の処理を行う。
【００９９】
サーバ１は、位置変更判断処理が終了すると、利用者２０の乗車情報及び利用者２１の乗車情報をタクシー４（制御装置２）に送信する（ステップＳ１０８）。このとき、例えば、利用者２０の乗車情報に含まれる降車位置が保護対象の位置であり、代替位置が事前に登録されている場合には、利用者２０の乗車情報の降車位置は、代替位置に変更されている。
【０１００】
タクシー４は、利用者２０の乗車情報及び利用者２１の乗車情報をサーバ１から受け取ると、走行を開始する（ステップＳ１０９）。
【０１０１】
タクシー４（制御装置２）は、走行を開始した後、遮蔽要否判断処理を行う（ステップＳ１１０）。ここでは、タクシー４（制御装置２）は、降車順に基づいて、利用者２０が降車する場合に遮蔽を行うか否かを判断する。
【０１０２】
タクシー４（制御装置２）は、利用者２０が降車するときに、遮蔽要否判断処理の判断結果に応じて遮蔽処理を行う（ステップＳ１１１）。ここでは、利用者２０の降車位置が代替位置に変更されている。代替位置は保護対象の位置ではないので、利用者２０が降車するときに、遮蔽は行われない。
【０１０３】
利用者２０が降車すると、タクシー４は降車情報をサーバ１に送信する（ステップＳ１１２）。サーバ１では、利用者２０の乗車情報を記憶部１００から削除する。
【０１０４】
タクシー４は、降車情報をサーバ１に送信すると、走行を再開する（ステップＳ１１３）。タクシー４（制御装置２）は、遮蔽が行われ、かつ利用者が降車した後、遮蔽の解除の要否を判断するために解除要否判断処理を行う（ステップＳ１１４）。遮蔽の解除を行うと判断した場合、つまり遮蔽装置２０３が遮蔽判断部２１１から解除指示を受け取った場合、遮蔽の解除を行う（ステップＳ１１５）。本具体例は、開口部４０１〜４０４の遮蔽は行われないので、ステップＳ１１４及びステップＳ１１５は実行されない。
【０１０５】
（４．２）具体例２
位置変更判断処理において確認情報が送信され、かつ指示情報が受信される場合における自動運転システム１０の全体の処理の流れを説明する。なお、具体例１と同様に、タクシー４には、女性の利用者２０及び男性の利用者２１が相乗りすることを想定する。また、タクシー４は、サーバ１から既に配車情報を受け取り、利用者２０、利用者２１の順に乗車するように走行していると仮定する。また、利用者２０、利用者２１の順に降車すると仮定する。さらに、利用者２０の情報端末３を情報端末３ａとし、利用者２１の情報端末３を情報端末３ｂとする。
【０１０６】
なお、本具体例では、具体例１と異なる点を中心に説明する。
【０１０７】
図７に記載しているステップＳ２００〜Ｓ２０６は、具体例１で説明したステップＳ１００〜Ｓ１０６と同様であるので、ここでの説明は省略する。
【０１０８】
ステップＳ２０６まで終了すると、タクシー４の識別子に対応付けられた乗車情報は、利用者２０の乗車情報と利用者２１の乗車情報との２つであるので、サーバ１は、位置変更判断処理を行う（ステップＳ２０７）。本具体例では、サーバ１は、位置変更判断処理のうち図３に示すステップＳ１〜Ｓ６、及びステップＳ８の処理を行う。例えば、利用者２０の乗車情報に含まれる降車位置が保護対象の位置であるが代替位置が事前に登録されていない。このとき、サーバ１は、ステップＳ２０７の位置変更判断処理において、確認情報を利用者２０の情報端末３ａに送信する（ステップＳ２５０）。
【０１０９】
利用者２０は情報端末３ａに降車位置に代わる代替位置を入力する。情報端末３ａは、入力された代替位置を含む指示情報をサーバ１に送信する（ステップＳ２５１）。
【０１１０】
サーバ１は、ステップＳ２０７の位置変更判断処理において、情報端末３ａから指示情報を受け取ると、利用者２０の乗車情報に含まれる降車位置を、指示情報に含まれる代替位置に変更する。
【０１１１】
サーバ１は、位置変更判断処理が終了すると、利用者２０の乗車情報及び利用者２１の乗車情報をタクシー４（制御装置２）に送信する（ステップＳ２０８）。このとき、例えば、利用者２０の乗車情報に含まれる降車位置は、指示情報に含まれる代替位置に変更されている。
【０１１２】
図７に記載しているステップＳ２０９〜Ｓ２１５は、具体例１で説明したステップＳ１０９〜Ｓ１１５と同様であるので、ここでの説明は省略する。
【０１１３】
本具体例では、利用者２０の乗車情報に含まれる降車位置は利用者２０が再設定した代替位置になっている。代替位置は保護対象の位置ではないため、ステップＳ２１０で行われる遮蔽要否判断処理では、利用者２０が降車する場合において遮蔽は行わないと判断する。
【０１１４】
（４．３）具体例３
位置変更判断処理において確認情報が送信されたが、指示情報が受信されない場合における自動運転システム１０の全体の処理の流れを説明する。なお、具体例１，２と同様に、タクシー４には、女性の利用者２０及び男性の利用者２１が相乗りすることを想定する。また、タクシー４は、サーバ１から既に配車情報を受け取り、利用者２０、利用者２１の順に乗車するように走行していると仮定する。また、利用者２０、利用者２１の順に降車すると仮定する。さらに、利用者２０の情報端末３を情報端末３ａとし、利用者２１の情報端末３を情報端末３ｂとする。また、本具体例では、指示情報が受信されない場合において、サーバ１は自動設定しないと仮定する。
【０１１５】
なお、本具体例では、具体例１と異なる点を中心に説明する。
【０１１６】
図８に記載しているステップＳ３００〜Ｓ３０６は、具体例１で説明したステップＳ１００〜Ｓ１０６と同様であるので、ここでの説明は省略する。
【０１１７】
ステップＳ３０６まで終了すると、タクシー４の識別子に対応付けられた乗車情報は、利用者２０の乗車情報と利用者２１の乗車情報との２つであるので、サーバ１は、位置変更判断処理を行う（ステップＳ３０７）。本具体例では、サーバ１は、位置変更判断処理のうち図３に示すステップＳ１〜Ｓ６の処理を行う。例えば、利用者２０の乗車情報に含まれる降車位置が保護対象の位置であるが代替位置が事前に登録されていない。このとき、サーバ１は、ステップＳ２０７の位置変更判断処理において、確認情報を利用者２０の情報端末３ａに送信する（ステップＳ３５０）。
【０１１８】
サーバ１は、ステップＳ３０７の位置変更判断処理において、所定の期間内に、情報端末３ａから指示情報を受け取らない場合には、利用者２０の乗車情報に含まれる降車位置の変更を行わず、位置変更判断処理を終了する。
【０１１９】
サーバ１は、位置変更判断処理が終了すると、利用者２０の乗車情報及び利用者２１の乗車情報をタクシー４（制御装置２）に送信する（ステップＳ３０８）。このとき、例えば、利用者２０の乗車情報に含まれる降車位置は変更されていない。
【０１２０】
図８に記載しているステップＳ３０９〜Ｓ３１５は、具体例１で説明したステップＳ１０９〜Ｓ１１５と同様であるので、ここでの説明は省略する。
【０１２１】
本具体例では、利用者２０の乗車情報に含まれる降車位置は変更されていない。そのため、利用者２０の降車位置は、保護対象の位置である。したがって、ステップＳ３１０で行われる遮蔽要否判断処理では、利用者２０が降車するときに遮蔽を行うと判断する。ステップＳ３１１では、遮蔽装置２０３は、遮蔽判断部２１１の判断結果により、利用者２０が降車するときに開口部４０１〜４０４の遮蔽を行う。さらに、本具体例では、開口部４０１〜４０４の遮蔽が行われるので、ステップＳ３１４及びステップＳ３１５は実行される。このとき、利用者２０の降車後においてタクシー４の走行距離が所定の閾値を超えると、遮蔽の解除が行われる。
【０１２２】
（５）変形例
以下、実施形態の変形例について述べる。以下、実施形態と同様の構成要素には同一の符号を付して説明を適宜省略する。以下に説明する変形例は、上記実施形態と適宜組み合わせて適用可能である。
【０１２３】
（変形例１）
実施形態では、利用者の降車位置を相乗りの状態として説明した。しかしながら、相乗りの状態は、利用者の降車時に同乗者が存在することに限らない。
【０１２４】
相乗りの状態として、タクシー４に相乗りしている複数の利用者の属性を用いてもよい。ここで、利用者の属性とは、利用者の性別及び年齢等のうち少なくとも１つである。例えば、相乗りが発生している場合に、降車する利用者の属性が所定の条件を満たしている場合に、降車する利用者に対する保護動作を行う。具体的には、位置変更判断部１１２は、相乗りの状態として降車する利用者の属性である性別が女性である場合には、保護動作（降車位置の変更）を行うと判断する。この場合、降車する利用者が女性である場合には、利用者の降車時に同乗者の属性（性別）に関係なく保護動作（降車位置の変更）が行われる。同様に、遮蔽判断部２１１は、相乗りの状態として降車する利用者の属性である性別が女性である場合には、保護動作（開口部４０１〜４０４の遮蔽）を行うと判断する。この場合、降車する利用者が女性である場合には、利用者の降車時に同乗者の属性（性別）に関係なく保護動作（開口部４０１〜４０４の遮蔽）が行われる。
【０１２５】
または、相乗りの状態として、タクシー４に相乗りしている複数の利用者の属性の組み合わせを用いてもよい。例えば、相乗りが発生している場合に、複数の利用者の属性の組み合わせが所定の条件を満たしている場合に、降車する利用者に対する保護動作を行う。具体的には、位置変更判断部１１２は、相乗りの状態として降車する利用者の属性である性別が女性であり、同乗者（他の利用者）の性別が男性である場合には、保護動作（降車位置の変更）を行うと判断する。同様に、遮蔽判断部２１１は、相乗りの状態として降車する利用者の属性である性別が女性である場合には、保護動作（開口部４０１〜４０４の遮蔽）を行うと判断する。
【０１２６】
または、相乗りの状態として、相乗りが発生している時間帯（複数の利用者が乗車している時間帯）を用いてもよい。例えば、自動運転システム１０は、相乗りが発生している時間帯が夜間（２１時〜０時）又は深夜（０時〜５時）である場合には、降車する利用者に対する保護動作を行う。
【０１２７】
なお、利用者の属性は、予め登録している登録情報を用いることが可能である。しかしながら、登録情報が登録されていない場合も想定される。この場合、移動体（タクシー４）にカメラを設けて、利用者が乗車する際に当該利用者の顔を撮像し、撮像された利用者の顔の画像を用いて当該利用者の性別、年齢等を推定してもよい。
【０１２８】
（変形例２）
実施形態では、降車位置を変更する場合、及び開口部４０１〜４０４を遮蔽する場合を保護動作の一例として説明した。
【０１２９】
保護動作として、降車順を変更してもよい。例えば、サーバ１は、代替位置の代わりに、相乗りが発生しているときに降車順序を変更の許可又は不許可を表す順序変更フラグを登録情報に含めて記憶している。
【０１３０】
利用者２０、利用者２１の順に降車する予定である場合に、自動運転システム１０は、利用者２０の降車位置が保護対象の位置であって順序変更フラグが降車順序を変更の許可を表しているときには降車順を利用者２１、利用者２０の順に変更する。
【０１３１】
順序変更フラグが登録用降車位置に対応付けられていない場合には、自動運転システム１０（例えば、サーバ１）は、降車順序を変更することを利用者２０の情報端末３ａに通知する。サーバ１は、降車順序の変更を許可する旨の応答を情報端末３から受け取った場合に、降車順序を変更する。
【０１３２】
（その他の変形例）
以下に、その他の変形例について列記する。以下に説明する変形例は、上記各実施形態と適宜組み合わせて適用可能である。
【０１３３】
実施形態において、降車位置の自動設定を行う場合に、降車する利用者の属性（性別、年齢等）、及び相乗りが発生している時間帯のうち少なくとも一方を用いてもよい。例えば、降車する利用者の年齢が７０歳以上である場合には、降車位置を中心とする所定の範囲を他の年齢の利用者の場合よりも小さくする。これにより、高齢の利用者が歩く負担を軽くすることができる。また、降車位置の自動設定時に相乗りが発生している時間帯を用いる場合において、相乗りが発生している時間帯が夜間であるときには、代替位置が街灯により明るい場所であることを必須の要件とする。
【０１３４】
実施形態において、移動体としてタクシー４（自動車）を例について本開示を説明した。しかしながら、移動体はタクシー４（自動車）に限定されない。移動体は、船舶、航空機等であってもよい。
【０１３５】
実施形態では、自動運転システム１０は、２つの装置（サーバ１及び制御装置２）を備える構成としたが、この構成に限定されない。自動運転システム１０は、１つの装置で構成されてもよい。この場合、自動運転システム１０を構成する１つの装置は、移動体（タクシー４）に備えられる。または、自動運転システム１０は、３つ以上の装置を備える構成であってもよい。
【０１３６】
実施形態では、自動運転システム１０は、複数の利用者がタクシー４に乗車した場合に、保護動作を行うか否かを判断する構成としたが、この構成に限定されない。自動運転システム１０は、グループ乗車が行われた場合には、保護動作を行うか否かを判断しない、つまり保護動作を行わない構成であってもよい。例えば、自動運転システム１０（サーバ１）は、同一の乗車位置で複数の利用者が乗車した場合にはグループ乗車とみなし、グループ乗車にて乗車した複数の利用者に対する保護動作を行わないと判断する。
【０１３７】
実施形態では、自動運転システム１０は、遮蔽要否判断処理で遮蔽を行うと判断した場合において利用者が降車するときに遮蔽を行う構成としたが、この構成に限定されない。自動運転システム１０（遮蔽装置２０３）は、利用者が降車する前に遮蔽を行ってもよい。例えば、自動運転システム１０（遮蔽装置２０３）は、降車位置に到着する予定時刻の１分前に遮蔽を行ってもよい。自動運転システム１０（遮蔽装置２０３）は、現在のタクシー４の位置から降車位置までの距離が所定値（例えば、３００ｍ）以下となった場合に遮蔽してもよい。なお、これらの数値は、一例であり、これらの数値に限定する趣旨ではない。
【０１３８】
実施形態では、自動運転システム１０は、遮蔽を行う場合、タクシー４の全ての開口部４０１〜４０４を第２状態とする構成としたが、この構成に限定されない。乗車している利用者に閉塞感を感じさせないように、開口部４０１〜４０４のうち一部の開口部を遮蔽し、他の開口部を遮蔽しなくてもよい。また、自動運転システム１０は、開口部４０１〜４０４のうち少なくとも１つの開口部について、開口全体を遮蔽するのではなく、開口の一部分を遮蔽してもよい。例えば、開口の上部については遮蔽しなくてもよい。
【０１３９】
上記実施形態では、自動運転システム１０は、開口部４０１〜４０４を第２状態から第１状態へと変更するか否かを、利用者が降車した後のタクシー４の走行距離に基づいて破断する構成としたが、この構成に限定されない。自動運転システム１０（遮蔽判断部２１１）は、利用者が降車した後のタクシー４の走行時間に基づいて判断してもよい。例えば、遮蔽判断部２１１は、利用者が降車した後のタクシー４の走行時間が所定の時間を超えた場合に、開口部４０１〜４０４を第２状態から第１状態へと変更すると判断し、解除指示を遮蔽装置２０３に出力する。
【０１４０】
上記実施形態では、代替位置は保護対象の位置としない構成としたが、この構成に限定されない。例えば、利用者情報を登録する際に、代替位置に対しても保護フラグを対応付ける構成であってもよい。この構成により、例えば、遮蔽要否判断処理（図４参照）のステップＳ５１において、遮蔽判断部２１１は、降車位置（代替位置）が保護対象の位置であるか否かを判断することが可能となる。代替位置が保護対象の位置である場合には、遮判断部２１１は、遮蔽指示を遮蔽装置２０３に出力する。これにより、代替位置が保護対象の位置である場合において、開口部４０１〜４０４が遮蔽され、降車する利用者のプライバシーを保護することができる。
【０１４１】
上記実施形態では、遮蔽装置２０３は、開口部４０１〜４０４を覆うために、遮蔽物４１１〜４１４を上方に移動させる構成としたが、この構成に限定されない。例えば、開口部４０１〜４０４に、スイッチのオン、オフで透明と不透明（白濁）とを切り替える液晶フィルムが張り付けられた窓を設けてもよい。開口部４０１〜４０４について、第１状態と第２状態とを切り替えることができれば、その機構は問わない。
【０１４２】
上記実施形態は、本開示の様々な実施形態の一つに過ぎない。上記実施形態は、本開示の目的を達成できれば、設計等に応じて種々の変更が可能である。また、自動運転システム１０と同様の機能は、制御方法、コンピュータプログラム、又はプログラムを記録した記録媒体等で具現化されてもよい。一態様に係る自動運転システム１０の制御方法は、利用者を乗せて乗車位置から降車位置まで運ぶ移動体を制御する方法である。制御方法は、判断ステップと、処理ステップとを含む。判断ステップは、移動体（タクシー４）に複数の利用者が相乗りしている場合に、複数の利用者のうち一部の利用者が降車する場合に一部の利用者のプライバシーを保護する保護動作を行うか否かを、移動体に複数の利用者が相乗りしている相乗り状態に基づいて判断する。処理ステップは、判断ステップが保護動作を行うと判断した場合に、保護動作を行う。一態様に係るプログラムは、コンピュータシステムを、上述した制御方法として機能させるためのプログラムである。
【０１４３】
本開示における自動運転システム１０又は制御方法の実行主体は、コンピュータシステムを含んでいる。コンピュータシステムは、ハードウェアとしてのプロセッサ及びメモリを有する。コンピュータシステムのメモリに記録されたプログラムをプロセッサが実行することによって、本開示における自動運転システム１０又は制御方法の実行主体としての機能が実現される。プログラムは、コンピュータシステムのメモリに予め記録されていてもよいが、電気通信回線を通じて提供されてもよい。また、プログラムは、コンピュータシステムで読み取り可能なメモリカード、光学ディスク、ハードディスクドライブ等の非一時的な記録媒体に記録されて提供されてもよい。コンピュータシステムのプロセッサは、半導体集積回路（ＩＣ）又は大規模集積回路（ＬＳＩ）を含む１又は複数の電子回路で構成される。複数の電子回路は、１つのチップに集約されていてもよいし、複数のチップに分散して設けられていてもよい。複数のチップは、１つの装置に集約されていてもよいし、複数の装置に分散して設けられていてもよい。
【０１４４】
コンピュータシステムである自動運転システム１０は、１又は複数のコンピュータで構成されるシステムであってもよい。例えば、自動運転システム１０の少なくとも一部の機能は、クラウド（クラウドコンピューティング）によって実現されてもよい。
【０１４５】
（まとめ）
以上説明したように、第１の態様の自動運転システム（１０）は、利用者（２０，２１）を乗せて乗車位置から降車位置まで運ぶ移動体（タクシー４）を自動運転する。自動運転システム（１０）は、判断部（位置変更判断部１１２、遮蔽判断部２１１）と、処理部（保護処理部１１３、遮蔽装置２０３）とを備える。判断部は、移動体に複数の利用者（２０，２１）が相乗りしている場合に、複数の利用者（２０，２１）のうち一部の利用者（２０）が降車する場合に一部の利用者（２０）のプライバシーを保護する保護動作を行うか否かを、移動体に複数の利用者（２０，２１）が相乗りしている相乗り状態に基づいて判断する。処理部は、判断部が保護動作を行うと判断した場合に、保護動作を行う。
【０１４６】
この構成によると、自動運転システム（１０）は、移動体に乗車している複数の利用者（２０，２１）のうち一部の利用者（２０）が降車する際に、一部の利用者（２０）に対する保護動作を行うと判断した場合に、保護動作を行う。そのため、一部の利用者（２０）のプライバシーが保護されるので、複数の利用者（２０，２１）のうち一部の利用者（２０）を除く他の利用者に、一部の利用者（２０）のプライバシーが知られる可能性を低くなる。これにより、相乗りが発生した場合であっても、一部の利用者（２０）のプライバシーを保護することができる。
【０１４７】
第２の態様の自動運転システム（１０）では、第１の態様において、保護動作は、一部の利用者（２０）の降車位置を代替位置に変更する動作を含む。
【０１４８】
この構成によると、一部の利用者（２０）の降車位置を変更することで、降車する一部の利用者（２０）のプライバシーを保護することができる。
【０１４９】
第３の態様の自動運転システム（１０）では、第２の態様において、代替位置を予め設定している。
【０１５０】
この構成によると、自動運転システム（１０）は、代替位置を予め設定することで、相乗りが発生した場合に降車する一部の利用者（２０）の降車位置を代替位置に即座に変更することができる。
【０１５１】
第４の態様の自動運転システム（１０）では、第２の態様において、保護動作は、一部の利用者（２０）の降車位置から所定の範囲内の位置であって、所定の環境条件を満たす位置を代替位置として降車位置を変更する。
【０１５２】
この構成によると、自動運転システム（１０）は、相乗りが発生した場合に降車する一部の利用者（２０）の降車位置を自動に変更することができる。
【０１５３】
第５の態様の自動運転システム（１０）では、第１〜第４のいずれかの態様において、保護動作は、移動体において利用者（２０，２１）が乗る空間を囲む壁（本体４００）に設けられた開口部（４０１〜４０４）を、第１状態から第２状態に切り替える動作を含む。第１状態は、開口部（４０１〜４０４）を通して外が見える状態である。第２状態は、開口部（４０１〜４０４）を通して外が見えないように開口部（４０１〜４０４）が遮蔽された状態である。
【０１５４】
この構成によると、自動運転システム（１０）は、開口部（４０１〜４０４）を、第１状態から第２状態に切り替えるので、複数の利用者（２０，２１）のうち一部の利用者（２０）を除く他の利用者が外を見ることが困難になる。そのため、一部の利用者（２０）のプライバシーが知られる可能性を低くなる。これにより、相乗りが発生した場合であっても、一部の利用者（２０）のプライバシーを保護することができる。
【０１５５】
第６の態様の自動運転システム（１０）では、第５の態様において、処理部（遮蔽装置２０３）は、開口部（４０１〜４０４）を第２状態から第１状態に戻す復帰条件が成立すると、開口部（４０１〜４０４）を第２状態から第１状態に切り替える。
【０１５６】
この構成によると、自動運転システム（１０）は、復帰条件が成立すると、開口部（４０１〜４０４）を第２状態から第１状態に切り替えるので、乗車している利用者（２１）は、走行中に外を見ることができる。
【０１５７】
第７の態様の自動運転システム（１０）では、第１〜第６のいずれかの態様において、保護動作は、複数の利用者（２０，２１）が降車する降車順を変更する動作を含む。
【０１５８】
この構成によると、自動運転システム（１０）は、複数の利用者（２０，２１）が降車する降車順を変更する。例えば、自動運転システム（１０）は、プライバシーを保護すべき利用者が他の利用者（例えばプライバシーの保護対象ではない他の利用者）が降車順の前である場合に、プライバシーを保護すべき利用者の降車順を、他の利用者が降車した後に変更する。これにより、プライバシーを保護すべき利用者のプライバシーを保護することができる。
【０１５９】
第８の態様の自動運転システム（１０）は、第１〜第７のいずれかの態様において、一部の利用者（２０）が使用する情報端末（３）と通信する通信部（１０１）を、更に備える。処理部（保護処理部１１３）は、判断部（位置変更判断部１１２）が保護動作を行うと判断した場合に、情報端末（３）に保護動作を行うか否かを確認する確認情報を通信部（１０１）から送信するように構成されている。処理部（保護処理部１１３）は、通信部（１０１）が情報端末（３）から保護動作を行うように指示する指示情報を受信すると、保護動作を行うように構成されている。
【０１６０】
この構成によると、自動運転システム（１０）は、一部の利用者（２０）が降車する場合に、一部の利用者（２０）の情報端末（３ａ）との通信により、保護動作の要否を問い合わせる。これにより、自動運転システム（１０）は、一部の利用者（２０）に保護動作の要否を確認することができる。
【０１６１】
第９の態様の自動運転システム（１０）では、第１〜８のいずれかの態様において、相乗り状態は、移動体に相乗りしている複数の利用者（２０，２１）の属性と、複数の利用者（２０，２１）の属性の組み合わせと、移動体に複数の利用者（２０，２１）が乗車している時間帯と、複数の利用者（２０，２１）の降車位置との少なくとも１つを含む。
【０１６２】
この構成によると、自動運転システム（１０）では、複数の利用者（２０，２１）の属性と、複数の利用者（２０，２１）の属性の組み合わせと、複数の利用者（２０，２１）が乗車している時間帯と、複数の利用者（２０，２１）の降車位置との少なくとも１つに基づいて、一部の利用者（２０）のプライバシーを保護する保護動作を行うか否かを判断することができる。
【０１６３】
第１０の態様の制御方法は、利用者（２０，２１）を乗せて乗車位置から降車位置まで運ぶ移動体（タクシー４）を制御する。制御方法は、判断ステップと、処理ステップとを含む。判断ステップは、移動体に複数の利用者（２０，２１）が相乗りしている場合に、複数の利用者（２０，２１）のうち一部の利用者（２０）が降車する場合に一部の利用者（２０）のプライバシーを保護する保護動作を行うか否かを、移動体に複数の利用者（２０，２１）が相乗りしている相乗り状態に基づいて判断する。処理ステップは、判断ステップが保護動作を行うと判断した場合に、保護動作を行う。
【０１６４】
この制御方法によると、一部の利用者（２０）のプライバシーが保護されるので、複数の利用者（２０，２１）のうち一部の利用者（２０）を除く他の利用者に、一部の利用者（２０）のプライバシーが知られる可能性を低くなる。これにより、相乗りが発生した場合であっても、一部の利用者（２０）のプライバシーを保護することができる。
【０１６５】
第１１の態様のプログラムは、コンピュータシステムに、判断ステップと、処理ステップとを実行させるためのプログラムである。判断ステップは、移動体（タクシー４）に複数の利用者（２０，２１）が相乗りしている場合に、複数の利用者（２０，２１）のうち一部の利用者（２０）が降車する場合に一部の利用者（２０）のプライバシーを保護する保護動作を行うか否かを、移動体（タクシー４）に複数の利用者（２０，２１）が相乗りしている相乗り状態に基づいて判断する。処理ステップは、判断ステップが保護動作を行うと判断した場合に、保護動作を行う。
【０１６６】
このプログラムによると、一部の利用者（２０）のプライバシーが保護されるので、複数の利用者（２０，２１）のうち一部の利用者（２０）を除く他の利用者に、一部の利用者（２０）のプライバシーが知られる可能性を低くなる。これにより、相乗りが発生した場合であっても、一部の利用者（２０）のプライバシーを保護することができる。
【０１６７】
第１２の態様の移動体（タクシー４）は、利用者（２０，２１）が乗車する本体（４００）を備える。移動体は、第１〜第９のいずれかの態様の自動運転システム（１０）によって制御されて自動運転を行う。
【０１６８】
この構成によると、一部の利用者（２０）のプライバシーが保護されるので、複数の利用者（２０，２１）のうち一部の利用者（２０）を除く他の利用者に、一部の利用者（２０）のプライバシーが知られる可能性を低くなる。これにより、相乗りが発生した場合であっても、一部の利用者（２０）のプライバシーを保護することができる。
【符号の説明】
【０１６９】
１    サーバ
２    制御装置
３、３ａ、３ｂ  情報端末
４    タクシー（移動体）
１０    自動運転システム
２０、２１    利用者
１０１    通信部
１１２    位置変更判断部（判断部）
１１３    保護処理部（処理部）
２０３    遮蔽装置（処理部）
２１１    遮蔽判断部（判断部）
４００    本体（壁）
４０１〜４０４  開口部
【図１】
2019133354.tif 000003
【図２】
2019133354.tif 000004
【図３】
2019133354.tif 000005
【図４】
2019133354.tif 000006
【図５】
2019133354.tif 000007
【図６】
2019133354.tif 000008
【図７】
2019133354.tif 000009
【図８】
2019133354.tif 000010