特許 7586375 アクセス認可システム、電子制御装置、アクセス認可方法、及びプログラム

(19)【発行国】日本国特許庁(JP)

(12)【公報種別】特許公報(B2)

(11)【特許番号】

(24)【登録日】2024-11-11

(45)【発行日】2024-11-19

(54)【発明の名称】アクセス認可システム、電子制御装置、アクセス認可方法、及びプログラム

(51)【国際特許分類】

   G06F 21/62 20130101AFI20241112BHJP

   G06F 21/31 20130101ALI20241112BHJP

【ＦＩ】

G06F21/62 345

G06F21/31

【請求項の数】 10

(21)【出願番号】P 2024512475

(86)(22)【出願日】2023-03-27

(86)【国際出願番号】 JP2023012272

(87)【国際公開番号】W WO2023190375

(87)【国際公開日】2023-10-05

【審査請求日】2024-05-17

(31)【優先権主張番号】P 2022059062

(32)【優先日】2022-03-31

(33)【優先権主張国・地域又は機関】JP

(73)【特許権者】

【識別番号】000004260

【氏名又は名称】株式会社デンソー

(74)【代理人】

【識別番号】110000578

【氏名又は名称】名古屋国際弁理士法人

(72)【発明者】

【氏名】本谷 英之

(72)【発明者】

【氏名】山口 英之

【審査官】田中 啓介

(56)【参考文献】

【文献】米国特許出願公開第２０２０／０１６２９１４（ＵＳ，Ａ１）

【文献】特開２００６－３０２１９９（ＪＰ，Ａ）

(58)【調査した分野】(Int.Cl.，ＤＢ名)

Ｇ０１Ｃ２１／００－２１／３６

Ｇ０１Ｃ２３／００－２５／００

Ｇ０６Ｆ１２／１４、２１／００－２１／８８

Ｇ０６Ｑ１０／００－９９／００

Ｇ０８Ｇ１／００－９９／００

Ｇ０９Ｃ１／００－５／００

Ｈ０４Ｋ１／００－３／００

Ｈ０４Ｌ９／００－９／４０

(57)【特許請求の範囲】

【請求項1】

車両（１７）の利用者の認証結果に基づいて、プライバシー情報へのアクセスの認可を行うアクセス認可システム（２３）であって、
前記利用者の認証は、異なる認証方法によって得られる前記認証結果に基づいて行われるように構成されており、
前記車両の各座席（１９）ごとに、どの前記利用者がどの前記認証方法により認証されたかを示す管理データ、を管理するように構成された管理部（２３ｂ）と、
前記利用者の前記プライバシー情報へのアクセスに関し、前記管理データに基づき、各前記座席に紐付くどの前記利用者の同意が必要かを決定するように構成された決定部（２３ｃ）と、
を備えたアクセス認可システム。

【請求項2】

請求項１に記載のアクセス認可システムであって、
各前記認証方法による前記認証結果と、各前記認証方法の認証の精度に応じて設定された認証レベルと、に基づいて、各前記利用者が着座する各前記座席を推定するように構成された、
アクセス認可システム。

【請求項3】

請求項２に記載のアクセス認可システムであって、
各前記座席に対して、最も高い前記認証レベルに設定された前記利用者を、当該座席と紐付けるように構成された、
アクセス認可システム。

【請求項4】

請求項１から請求項３までのいずれか１項に記載のアクセス認可システムであって、
前記プライバシー情報ごとに、どの前記座席の前記利用者の同意が必要なのかを管理するように構成された、
アクセス認可システム。

【請求項5】

請求項１から請求項３までのいずれか１項に記載のアクセス認可システムであって、
同じ前記座席に異なる前記利用者が紐付けられたことがある場合には、前記座席に紐付けされたことのある全ての前記利用者から同意を得るように構成された、
アクセス認可システム。

【請求項6】

請求項１から請求項３までのいずれか１項に記載のアクセス認可システムであって、
前記認証の結果が記憶された前記管理データは、予め決められた所定のデータ更新の条件が満たされた場合に更新されるように構成された、
アクセス認可システム。

【請求項7】

請求項１から請求項３までのいずれか１項に記載のアクセス認可システムであって、
前記同意が必要な前記利用者の決定に用いるデータは、予め決められた所定のデータ消去の条件が満たされた場合に消去されるように構成された、
アクセス認可システム。

【請求項8】

車両（１７）に搭載される複数の他の電子制御装置（４、１２）から送信されるデータの中継機能を有する電子制御装置（３）であって、
異なる認証方法による前記車両の利用者の認証結果を取得するように構成された取得部（２３ｂ）と、
前記車両の座席（１９）ごとに、どの前記利用者がどの前記認証方法により認証されたかを示す管理データを記憶するように構成された管理データ記憶部（１５、２３ｂ）と、
前記利用者のプライバシー情報へのアクセスに関し、前記管理データ記憶部に記憶される前記管理データに基づき、各前記座席に紐付くどの前記利用者の同意が必要かを決定するように構成された決定部（２３ｃ）と、
前記電子制御装置が記憶する前記利用者のプライバシー情報、又は前記他の電子制御装置が記憶する前記利用者のプライバシー情報へアクセスするように構成されたアクセス部（２３ｄ）と、
を備えた電子制御装置。

【請求項9】

車両（１７）の利用者の認証結果に基づいて、プライバシー情報へのアクセスの認可を行うアクセス認可システム（２３）が実行するアクセス認可方法であって、
前記利用者の認証は、異なる認証方法によって得られる前記認証結果に基づいて行われるように構成されており、
前記車両の各座席（１９）ごとに、どの前記利用者がどの前記認証方法により認証されたかを示す管理データ、を管理し、
前記利用者の前記プライバシー情報へのアクセスに関し、前記管理データに基づき、各前記座席に紐付くどの前記利用者の同意が必要かを決定する、
アクセス認可方法。

【請求項10】

車両（１７）の利用者の認証結果に基づいて、プライバシー情報へのアクセスの認可を行うアクセス認可システム（２３）が実行するプログラムであって、
前記利用者の認証は、異なる認証方法によって得られる前記認証結果に基づいて行われるように構成されており、
前記車両の各座席（１９）ごとに、どの前記利用者がどの前記認証方法により認証されたかを示す管理データ、を管理し、
前記利用者の前記プライバシー情報へのアクセスに関し、前記管理データに基づき、各前記座席に紐付くどの前記利用者の同意が必要かを決定する、
機能を実行するためのプログラム。

【発明の詳細な説明】

【関連出願の相互参照】

【0001】

本国際出願は、２０２２年３月３１日に日本国特許庁に出願された日本国特許出願第２０２２－０５９０６２号に基づく優先権を主張するものであり、日本国特許出願第２０２２－０５９０６２号の全内容を本国際出願に参照により援用する。

【技術分野】

【0002】

本開示は、プライバシー情報にアクセスをする場合に、アクセスの認可を行う技術に関する。

【背景技術】

【0003】

一般に、スマートフォン等では、任意のサービスアプリケーションがユーザ（即ち、利用者）によって利用されている。利用者がサービスアプリケーションを利用する場合に、利用者のプライバシー情報（即ち、個人情報）が必要なときには、サービスアプリケーションによりプライバシー情報へのアクセスが行われる。また、プライバシー情報へのアクセスを行う場合には、利用者へプライバシー情報へのアクセスの同意確認（即ち、アクセス同意確認）が行われる。

【0004】

今後、自動車等の車両に関連した分野においても、多様化したニーズに対応するため、車両内もしくはクラウド上に搭載されたサービスアプリケーションにより、車両システムがもつ車両の利用者のプライバシー情報を取得し、そのプライバシー情報を活用したサービスの提供が加速すると予想される（例えば、特許文献１参照）。つまり、プライバシー情報の増加や、利用者へプライバシー情報に関するアクセス同意確認する状況の増加が予想される。

【先行技術文献】

【特許文献】

【0005】

【文献】特許第４７７６６２７号公報

【発明の概要】

【0006】

発明者の詳細な検討の結果、従来の技術について、下記のような課題が見出された。

【0007】

具体的には、車両においては、車両内に複数の人が搭乗し、スマートフォン等とは異なり、同時に複数の人がサービスアプリケーションを利用することが想定される。

【0008】

そして、そのような状況下においては、サービスアプリケーションが、車両システムが持つ車両の利用者のプライバシー情報へアクセスし、そのプライバシー情報を利用することが考えられる。

【0009】

しかし、このような場合には、サービスアプリケーションが、車両を利用している全ての利用者（即ち、全ての搭乗者）に対して、プライバシー情報へのアクセス同意確認を行ってしまうことが考えられる。その結果、車両の利用者の負担が増大し、また、アクセス同意確認に時間を要することにより、サービスアプリケーションの品質劣化に繋がるという可能性がある。

【0010】

本開示の一局面は、車両の利用者のプライバシー情報へのアクセスの同意確認の負担を軽減するとともに、サービスアプリケーションの品質劣化を抑制する技術を提供することが望ましい。

【0011】

ａ）本開示の一態様は、車両の利用者の認証結果に基づいて、プライバシー情報へのアクセスの認可を行うアクセス認可システムに関するものである。

【0012】

このアクセス認可システムでは、利用者の認証は、異なる認証方法によって得られる認証結果に基づいて行われるように構成されている。

【0013】

また、アクセス認可システムは、管理部と決定部とを備えている。

【0014】

管理部では、車両の各座席ごとに、どの利用者がどの認証方法により認証されたかを示す管理データを管理するように構成されている。

【0015】

決定部では、利用者のプライバシー情報へのアクセスに関し、管理データに基づき、各座席に紐付くどの利用者の同意が必要かを決定するように構成されている。

【0016】

このような構成により、本開示では、車両の利用者のプライバシー情報へのアクセスの同意確認の負担を軽減できるとともに、サービスアプリケーションの品質劣化を抑制することができる。

【0017】

具体的には、本開示では、車両の各座席ごとに、どの利用者がどの認証方法により認証されたかを示す管理データを管理している。従って、利用者のプライバシー情報へのアクセスに関し、前記管理データに基づいて、各座席に紐付くどの利用者の同意が必要かを決定することができる。

【0018】

そのため、プライバシー情報にアクセスするための同意の確認（即ち、アクセス同意確認）を、アクセス同意確認が必要な利用者に対して適切に実施できる。その結果、車両の利用者全員にアクセス同意確認するような場合に比べて、アクセス同意確認の負担を軽減できる。また、必要な利用者に対して速やかにアクセス同意確認ができるので、サービスアプリケーションの品質劣化を抑制することができる。

【0019】

ｂ）本開示の他の一態様は、車両に搭載される複数の他の電子制御装置から送信されるデータの中継機能を有する電子制御装置に関するものである。この電子制御装置は、取得部と管理データ記憶部と決定部とアクセス部とを備えている。

【0020】

取得部は、異なる認証方法による車両の利用者の認証結果を取得するように構成されている。

【0021】

管理データ記憶部は、車両の座席ごとに、どの利用者がどの認証方法により認証されたかを示す管理データを記憶するように構成されている。

【0022】

決定部は、利用者のプライバシー情報へのアクセスに関し、管理データ記憶部に記憶される管理データに基づき、各座席に紐付くどの利用者の同意が必要かを決定するように構成されている。

【0023】

アクセス部は、電子制御装置が記憶する利用者のプライバシー情報、又は他の電子制御装置が記憶する利用者のプライバシー情報へアクセスするように構成されている。

【0024】

このような構成により、本開示では、車両の利用者のプライバシー情報へのアクセスの同意確認の負担を軽減できるとともに、サービスアプリケーションの品質劣化を抑制することができる。

【0025】

ｃ）本開示の他の一態様は、車両の利用者の認証結果に基づいて、プライバシー情報へのアクセスの認可を行うアクセス認可方法に関するものである。

【0026】

このアクセス認可方法では、利用者の認証は、異なる認証方法によって得られる認証結果に基づいて行われるように構成されている。

【0027】

さらに、このアクセス認可方法では、車両の各座席ごとに、どの利用者がどの認証方法により認証されたかを示す管理データ、を管理し、利用者のプライバシー情報へのアクセスに関し、管理データに基づき、各座席に紐付くどの利用者の同意が必要かを決定する。

【0028】

このような構成により、本開示では、車両の利用者のプライバシー情報へのアクセスの同意確認の負担を軽減できるとともに、サービスアプリケーションの品質劣化を抑制することができる。

【0029】

ｄ）本開示の他の一態様は、車両の利用者の認証結果に基づいて、プライバシー情報へのアクセスの認可を行うアクセス認可システムが実行するプログラムに関するものである。

【0030】

このプログラムでは、利用者の認証は、異なる認証方法によって得られる認証結果に基づいて行われるように構成されている。

【0031】

さらに、このプログラムは、車両の各座席ごとに、どの利用者がどの認証方法により認証されたかを示す管理データ、を管理し、利用者のプライバシー情報へのアクセスに関し、管理データに基づき、各座席に紐付くどの利用者の同意が必要かを決定する、機能を実行する。

【0032】

このような構成により、本開示では、車両の利用者のプライバシー情報へのアクセスの同意確認の負担を軽減できるとともに、サービスアプリケーションの品質劣化を抑制することができる。

【図面の簡単な説明】

【0033】

【図1】実施形態における車両システムの全体構成を示す説明図である。

【図2】車両の利用者や利用者の認証方法を示す説明図である。

【図3】車両の各座席の認証装置や確認装置を示す説明図である。

【図4】車両のハード構成を示すブロック図である。

【図5】車両システムにおけるソフトウェア等の構成を示すブロック図である。

【図6】車両システムにおける全体の構成を示すブロック図である。

【図7】アクセス同意確認者を決定する方法を示すブロック図である。

【図8】認証結果のテーブルＴ１を示す説明図である。

【図9】認証レベルのテーブルＴ２を示す説明図である。

【図10】各利用者の認証レベルのテーブルＴ３を示す説明図である。

【図11】利用者座席推定のテーブルＴ４を示す説明図である。

【図12】アクセス同意確認者のテーブルＴ５を示す説明図である。

【図13】利用者の座席を推定する処理を示すフローチャートである。

【図14】アクセス同意確認者の決定等の処理を示すフローチャートである。

【発明を実施するための形態】

【0034】

以下、本開示の例示的な実施形態について図面を参照しながら説明する。

【0035】

［１．実施形態］
本実施形態では、車両（例えば、自動車）に適用されるアクセス認可システムについて説明する。

【0036】

［１－１．全体構成］
図１に示すように、本実施形態では、車両システム１は、車両側の構成として、電子制御装置（即ち、ＥＣＵ）３と、認証装置５と、確認装置７と、を備え、クラウド側の構成として、サーバ９を備えている。なお、本実施形態では、ＥＣＵ３に、後述するアクセス認可システム２３（例えば、図５等参照）が搭載されている一例について説明する。

【0037】

ＥＣＵ３と認証装置５と確認装置７とは、車載ネットワーク１１により、通信可能に接続される。ＥＣＵ３とサーバ９とは、無線通信可能に接続される。

【0038】

ＥＣＵ３は、周知の演算処理装置であるＣＰＵ１３や記憶装置であるメモリ１５等を備えており、後に詳述するように、メモリ１５に記憶されたプログラムを実行することで、各種の処理（例えば、アクセス認可システム２３での処理）を実行する。

【0039】

なお、前記ＥＣＵ３以外に、前記車載ネットワーク１１には、他のＥＣＵ４も接続されている。

【0040】

以下、各構成について詳細に説明する。

【0041】

［１－２．認証装置及び確認装置］
本実施形態では、図２に示すように、車両１７に利用者Ａ、Ｂ、Ｃが搭乗する場合を例に挙げて説明する。

【0042】

＜認証装置＞
車両１７には、カメラによって車両１７に搭乗している人（即ち、利用者）の顔を撮影し、そのカメラ画像に基づいて利用者の認証を行う認証装置５（例えば、図３参照）が搭載されている。つまり、カメラ認証を行う周知の認証装置５が搭載されている。

【0043】

詳しくは、図３に示すように、認証装置５として、運転席１９ａ、助手席１９ｂ、後部座席１９ｃの各座席１９に応じて、例えば各座席１９の前方に、各座席１９に着座した利用者のカメラ認証を行うために、それぞれカメラ認証装置５ａが配置されている。カメラ認証装置５ａには、車両１７に搭乗し得る利用者の顔画像が予め登録されている。

【0044】

また、他の認証装置５として、運転席１９ａ、助手席１９ｂ、後部座席１９ｃの各座席１９の前方に、各座席１９に着座した利用者の指紋認証を行うために、それぞれ周知の指紋センサを備えた指紋認証装置５ｂが配置されている。指紋認証装置５ｂには、車両１７に搭乗し得る利用者の指紋データが予め登録されている。

【0045】

この指紋認証装置５ｂとしては、指紋センサが配置された指確認部（即ち、指を押し当てる部分）と、利用者に指紋認証をお願いする（即ち、案内する）表示を行うディスプレイと、を備えた構成を採用できる。なお、ディスプレイでの表示とともに、音声で案内してもよく、或いは、音声のみで案内してもよい。そして、利用者の指が指確認部に当てられて指紋が正常に読み取られた場合に、指紋認証のための処理が実施される。

【0046】

なお、後部座席１９ｃとしては、通常、複数（例えば３人）の利用者が着座できるようなスペースがあるが、ここでは、本開示の理解が容易なように、後部座席１９ｃに一人が着座する例を挙げて説明する。つまり、後部座席１９ｃに１台のカメラ認証装置５ａと１台の指紋認証装置５ｂを配置する例を挙げて説明する。勿論、後部座席１９ｃに着座する各利用者に応じて、各利用者の座席１９の前にそれぞれカメラ認証装置５ａや指紋認証装置５ｂを配置してもよい。この点については、確認装置７についても同様である。

【0047】

また、車室内全体を撮影可能なカメラを、車両１７の前方又は車両１７の天井に備え、カメラ画像から座席１９の位置及び座席１９に紐づく顔を特定し、各座席１９に対応する顔認証を行ってもよい。

【0048】

なお、ここで、認証とは、利用者本人であることを確認することを示しており、後述するように、各認証装置５の特性や性能により、認証の精度（即ち、信頼性）が異なる。

【0049】

＜確認装置＞
確認装置７としては、周知のディスプレイとタッチパネルとを組み合わせたＨＭＩを採用できる。なお、ＨＭＩとは、Human Machine Interfaceの略である。

【0050】

具体的には、確認装置７としては、図示しないが、例えば、同意確認の操作をお願いする表示を行うディスプレイと、ディスプレイに設けられて指の接触を確認できるタッチ領域（即ち、タッチパネルが設けられた領域）と、を設ける構成が挙げられる。なお、表示とともに音声による案内が実施されてもよいし、音声のみで案内してもよい。そして、利用者の指がタッチ領域に当てられることにより、同意確認ができた場合には、同意確認の結果に基づく、各種の処理が実施される。

【0051】

また、確認装置７としては、各利用者が所有する携帯電話でもよい。認証装置５には、利用者の顔画像や指紋データとともに、利用者の携帯電話がペアリングされた状態で登録されている。同意が必要な利用者の携帯電話に対して、同意確認の操作をお願いする表示を行い、携帯電話にて指紋認証やパスワード入力を行うことで同意確認するよう構成してもよい。

【0052】

［１－３．ＥＣＵ］
次に、ＥＣＵ３について説明する。

【0053】

ＥＣＵ３は、上述のように、ＣＰＵ１３やメモリ１５等を備えた電子制御装置である。つまり、周知の図示しないマイクロコンピュータを備えた装置である。なお、メモリ１５としては、周知のＲＯＭ１５ａ、ＲＡＭ１５ｂ（例えば、図４参照）、図示しないＥＥＰＲＯＭ等が挙げられる。また、メモリ１５としては、マイクロコンピュータ内のメモリに限らず、マイクロコンピュータ外の各種の記憶装置（例えば、ハードディスク等）が挙げられる。

【0054】

ＥＣＵ３により実行される各種機能は、ＣＰＵ１３が非遷移的実体的記録媒体に格納されたプログラムを実行することにより実現される。この例では、メモリ１５が、プログラムを格納した非遷移的実体的記録媒体に該当する。また、このプログラムが実行されることで、プログラムに対応する方法が実行される。

【0055】

なお、メモリ１５には、各種のプログラムだけではなく、各種のプログラムを実行する際に使用される各種のデータが記憶されている。例えば、後述する、車両１７の情報や利用者の情報（例えば、個人情報であるプライバシー情報）や、プライバシー情報へのアクセスの同意確認（即ち、アクセス同意確認）を行うための情報などを、データベースとして記憶している。

【0056】

前記ＥＣＵ３の各種機能を実現する手法はソフトウェアに限るものではなく、その一部又は全部の要素について、一つあるいは複数のハードウェアを用いて実現してもよい。例えば、上記機能がハードウェアである電子回路によって実現される場合、その電子回路は多数の論理回路を含むデジタル回路、又はアナログ回路、あるいはこれらの組合せによって実現してもよい。

【0057】

＜車両のハード構成＞
ここで、前記ＥＣＵ３を含む車両１７全体のシステムのハード構成について説明する。

【0058】

図４に示すように、車両１７においては、ＥＣＵ３は、各種の演算処理を行う制御部３Ｓとして、ＣＰＵ１３と、ＲＯＭ１５ａ、ＲＡＭ１５ｂ等のメモリ１５を備えている。

【0059】

ＥＣＵ３は、車内の通信を行う車内通信部８により、複数のＥＣＵ４や車外との通信を行う車外通信装置１０と接続されている。また、各ＥＣＵ４は、それぞれ他のＥＣＵ１２と接続されている。

【0060】

なお、ＥＣＵ４には、ＥＣＵ３と同様に、ＣＰＵ４ａと、ＲＯＭ４ｂ、ＲＡＭ４ｃ等のメモリ１４を備えるとともに、ＥＣＵ１２にも、ＣＰＵ１２ａと、ＲＯＭ１２ｂ、ＲＡＭ１２ｃ等のメモリ２４を備えている。

【0061】

ここでは、ＥＣＵ３は、複数のＥＣＵ４を統括することにより、車両全体として連携がとれた制御を実現できる。各ＥＣＵ４は、例えば、車両における機能によって区分されたドメイン毎に設けられ、主として、そのドメイン内に存在する複数のＥＣＵ１２の制御を実行することができる。ドメインは、例えば、パワートレーン、ボデー、シャシー、コックピット等である。なお、ＥＣＵ１２は、例えば、センサやアクチュエータを制御するＥＣＵである。

【0062】

［１－４．ソフトウェア］
次に、ＥＣＵ３に搭載されるソフトウェアの構成について説明する。

【0063】

図５に示すように、本実施形態においては、ソフトウェア（即ち、使用されるプログラム）の構成として、サービスアプリケーション２１と、アクセス認可システム２３（アクセス認可ユニット、とも言う）と、車両サービス２５（車両サービスユニット、とも言う）と、を備えている。

【0064】

サービスアプリケーション２１としては、例えばサードパーティによって作成されて、予め車両１７に搭載されているプログラム（例えば、後述するサービスアプリケーションＰ、Ｑ）が挙げられる。

【0065】

このサービスアプリケーション２１は、例えば車両１７が始動された場合に、車両１７の搭乗者である利用者に対して、何らかのサービスを提供するプログラムである。例えば、車両１７の今までの走行履歴を、ダッシュボードに配置されたディスプレイ等により、運転者等に表示して提供するプログラム等である。

【0066】

車両サービス２５としては、車両１７の動作を制御したり、車両１７や利用者に関する各種の情報を管理するプログラム（例えば、後述する車両サービスＸ、Ｙ）が挙げられる。

【0067】

詳しくは、車両サービス２５は、車両１７や利用者に関する個人情報である各種のプライバシー情報を管理している。このプライバシー情報の種類としては、後述するように（例えば、図１２参照）、「現在位置情報」、「現在画像情報（例えば、現在の車室内の画像情報）」、「生体情報」等が挙げられる。

【0068】

なお、前記メモリ１５の所定の領域に、前記図１２に示すような前記プライバシー情報の種類等が予め記憶されている。また、各プライバシー情報の種類ごとの実際のデータ（例えば、車両１７の現在の位置に関する実際のデータ）等は、各プライバシー情報の種類ごとに区分されて、逐次メモリ１５の他の領域に蓄積される。

【0069】

各プライバシー情報の一部又は全部は、車両サービス２５が搭載されるＥＣＵ３とは別のＥＣＵ４、１２に記憶されていてもよい。例えば、ＥＣＵ４はカメラＥＣＵであって、当該カメラＥＣＵのメモリ１４に撮影画像が蓄積されてもよい。

【0070】

そして、車両サービス２５では、例えばサービスアプリケーション２１からの要求に基づいて、必要な処理を行う。例えば、プライバシー情報にアクセスしたり、車両１７の制御などを行う。

【0071】

アクセス認可システム２３は、サービスアプリケーション２１と車両サービス２５とを繋ぐ機能を有している。例えばサービスアプリケーション２１から、車両サービス２５に対して、プライバシー情報を利用する何からのサービスの要求があった場合に、後述するように、プライバシー情報にアクセスすることに同意するかどうかの同意確認（即ち、アクセス同意確認）を行う処理等を行う。

【0072】

サービスアプリケーション２１からの要求が、プライバシー情報に該当しない情報を利用するものである場合、同意確認を行うことなく、当該情報にアクセスする。アクセス認可システム２３は、サービスアプリケーション２１からの要求の種別、又はアクセス要求するデータの種別により、プライバシー情報を利用するものか否か判断する。

【0073】

そして、プライバシー情報にアクセスしてもよいというアクセス同意確認が得られた場合には、車両サービス２５がプライバシー情報にアクセスすることが可能となる。これによって、プライバシー情報（例えば、車両１７の現在の位置の情報や履歴等）が得られた場合には、そのプライバシー情報をサービスアプリケーション２１に提供することができる。

【0074】

なお、アクセス認可システム２３は、本実施形態では、ＥＣＵ３に搭載されている。サービスアプリケーション２１は、ＥＣＵ３に搭載されていてもよいし、他のＥＣＵ４に搭載されていてもよく、或いは、クラウド側に搭載されていてもよい。また、車両サービス（即ち、プライバシー情報を扱うサービス）２５は、ＥＣＵ３に搭載されていてもよいし、他のＥＣＵ４に搭載されていてもよい。例えば、自宅住所の個人情報は、ナビゲーション装置のＥＣＵに記憶されている。

【0075】

なお、前記ソフトウェアの論理アーキテクチャーにおいては、ＯＳ（即ち、オペレーティングソフトウェア）上で、アクセス認可システム２３等のミドルウェアが作動する。また、サービスアプリケーション２１や車両サービス２５は、アクセス認可システム２３等のミドルウェアが提供するサービスを利用し、それぞれの機能を提供する。

【0076】

［１－５．構成全体のまとめ］
次に、上述した各構成を、図６に示す車両システム１のブロック図に基づいて、まとめて説明する。

【0077】

＜アクセス認可システムの入出力＞
図６に示すように、本実施形態では、上述したサービスアプリケーションＰやサービスアプリケーションＱからのサービス要求が、アクセス認可システム２３に対して出力されるように構成されている。このサービス要求としては、各サービスアプリケーション２１が提供する各種のサービスを実施するために必要な情報の提供、例えば、車両サービスＸ、Ｙから得られる各種の情報（例えば、プライバシー情報）の提供の要求が挙げられる。

【0078】

また、各利用者の認証を行う各認証装置５からの認証結果が、アクセス認可システム２３に対して出力されるように構成されている。

【0079】

なお、各認証装置５の認証を行うタイミング、従って、認証結果のデータ（即ち、管理データ）を更新するとしては、予め設定された各種のタイミングを採用できる。例えば、乗車時や、車両１７の始動用のスイッチ（例えば、イグニッションスイッチ）がオンとなったタイミングや、認証が必要なサービス要求があったタイミングなどが挙げられる。

【0080】

さらに、アクセス認可システム２３から、各座席１９の各利用者の確認装置７に対して、プライバシー情報にアクセスすることに同意するかどうか（即ち、アクセスを認可するかどうか）のアクセス同意確認のために、アクセス同意確認の表示等を行う旨の制御信号が出力されるように構成されている。

【0081】

そして、各確認装置７にて各利用者がアクセス同意確認の操作を行った場合には、そのアクセス同意確認の結果が、アクセス認可システム２３に対して出力されるように構成されている。

【0082】

また、アクセス認可システム２３から、各車両サービス２５に対して、車両１７の制御を行うための信号が出力されるように構成されている（即ち、サービスアクセスが可能である）。

【0083】

さらに、アクセス認可システム２３から、各車両サービス２５に対して、各種の情報をメモリ１５のデータベースから取得するための信号が出力されるように構成されている（即ち、情報取得が可能である）。

【0084】

特に、アクセス同意確認がなされた場合には、アクセス認可システム２３から、各車両サービス２５に対して、プライバシー情報（例えば、車両１７の現在の位置や履歴等）を、メモリ１５のデータベースから取得するための信号が出力されるように構成されている。この信号に応じて、プライバシー情報が、各車両サービス２５からアクセス認可システム２３に提供される。

【0085】

＜アクセス認可システム＞
アクセス認可システム２３は、機能的に、サービス要求判定部２３ａと、利用者認証情報管理部２３ｂと、アクセス認可部２３ｃと、車両情報取得部２３ｄと、車両情報提供部２３ｅと、を備えている。

【0086】

サービス要求判定部２３ａは、サービスアプリケーション２１からのサービス要求の判定を行うように構成されている。例えば、サービスアプリケーション２１から、所定の情報（例えば、プライバシー情報）の提供の要求があるか否かを判定する。そして、サービス要求があると判定された場合には、そのサービス要求を満たすために必要な処理（例えば、プライバシー情報にアクセスするための処理等）を行うように構成されている。

【0087】

利用者認証情報管理部２３ｂは、後述するように、プライバシー情報へのアクセス同意確認が必要な利用者（即ち、アクセス同意確認者）を決定するために必要な各種の情報、例えば、各認証装置５による認証結果や各種のテーブル（例えば、図７参照）等の情報を管理するように構成されている。これら各種テーブルは、例えば、メモリ１５に記憶される。

【0088】

なお、各種テーブルは、アクセス認可システム２３がＥＣＵ４にある場合は、ＥＣＵ４のメモリ１４に記憶され、アクセス認可システム２３がＥＣＵ１２にある場合は、ＥＣＵ１２のメモリ２４に記憶される。

【0089】

アクセス認可部２３ｃは、利用者認証情報管理部２３ｂからの情報に基づいて、アクセス同意確認者を決定する。さらに、決定されたアクセス同意確認者に対して、確認装置７を駆動して、アクセス同意確認を行うための制御を行う。そして、確認装置７からアクセス同意確認がなされた旨の信号が得られた場合には、プライバシー情報へのアクセスを認可する。

【0090】

車両情報取得部２３ｄは、プライバシー情報へのアクセスが認可されている場合には、車両サービス２５が管理するデータベースから必要なプライバシー情報を取得するように構成されている。

【0091】

車両情報取得部２３ｄは、ＥＣＵ３のメモリ１５に記憶されているプライバシー情報を取得する。なお、プライバシー情報が、ＥＣＵ３、４、１２のメモリ１５、１４、２４のうち少なくとも一つに記憶されている場合には、当該プライバシー情報が記憶されているメモリ１５、１４、２４からプライバシー情報を取得する。

【0092】

車両情報提供部２３ｅは、車両情報取得部２３ｄによって取得されたプライバシー情報を、前記サービス要求を行ったサービスアプリケーション２１へ提供するように構成されている。

【0093】

［１－６．アクセス同意確認の方法］
次に、プライバシー情報へのアクセス同意確認の方法について、図７～図１２に基づいて説明する。

【0094】

なお、アクセス同意確認とは、サービスアプリケーション２１が、車両サービス２５が管理するプライバシー情報を利用する場合に、そのプライバシー情報を利用して良いか否かを利用者に確認することを意味している。

【0095】

（１）図７にアクセス同意確認の全体の流れを示すように、まず、前もって各座席１９の各認証装置５よる認証結果を示すテーブル（即ち、テーブルＴ１）を作成する。なお、このテーブルＴ１は、メモリ１５の所定領域にデータベースとして記憶される。

【0096】

具体的には、各座席１９の各認証装置５（即ち、カメラ認証装置５ａや指紋認証装置５ｂ）によってカメラ認証や指紋認証を行い、その認証結果を、各利用者ごとに記憶する（即ち、テーブルＴ１を作成する）。認証装置５に予め登録されていた各利用者の顔データや指紋データと、認証装置５を用いて搭乗者を撮影した顔データや入力された指紋データとを照合し、いずれの座席１９にどの利用者が搭乗しているかを判別する。

【0097】

図８では、認証結果として、各認証装置５によって認証された場合を「適」、認証されない場合を「－」で示している。

【0098】

図８では、例えば、運転席１９ａのカメラ認証装置５ａによるカメラ認証によって、利用者Ａと利用者Ｂとが認証されている場合を示している。つまり、運転席１９ａのカメラ認証装置５ａによって両利用者Ａ、Ｂが撮影されたので、そのカメラ画像によって、両利用者Ａ、Ｂが認証されたことを示している。なお、助手席１９ｂのカメラ認証装置５ａによるカメラ認証も同様である。

【0099】

（２）次に、前記図７に示すように、前記テーブルＴ１の認証結果と認証レベルのテーブルＴ２とに基づいて、各利用者の認証レベルのテーブルＴ３を作成する。

【0100】

前記認証レベルのテーブルＴ２とは、図９に示すように、各認証方法における認証の精度（即ち、信頼性）の高さをランク付けしたものである。つまり、カメラ認証よりも指紋認証の方が信頼性が高く、カメラ認証と指紋認証との両方を行う場合が最も信頼性が高く設定されている。なお、数字が大きい方が、認証レベル（即ち、認証の信頼性）が高い。テーブルＴ２は、例えば、メモリ１５に記憶されている。

【0101】

前記各利用者の認証レベルのテーブルＴ３とは、図１０に示すように、テーブルＴ１の認証結果をテーブルＴ２の認証レベルを用いて、各利用者ごとに認証レベルを決定したものである。テーブルＴ３は、例えば、メモリ１５に記憶されている。

【0102】

（３）次に、前記図７に示すように、前記テーブルＴ３の各利用者ごとの認証レベルに基づいて、各利用者が着座している可能性の高い各座席１９の推定を行い、図１１に示すような利用者の座席１９を推定したテーブルＴ４（即ち、利用者座席推定のテーブルＴ４）を作成する。

【0103】

例えば、テーブルＴ３では、運転席１９ａについては、利用者Ａの認証レベルが最大の３であるので、運転席１９ａに利用者Ａが着座していると推定する。同様に、助手席１９ｂについては、利用者Ｂの認証レベルが最大の３であるので、助手席１９ｂに利用者Ｂが着座していると推定する。同様に、後部座席１９ｃについては、利用者Ｃの認証レベルが最大の１であるので、後部座席１９ｃに利用者Ｃが着座していると推定する。

【0104】

従って、テーブルＴ４では、上述のように推定された各座席１９と当該各座席１９に着座していると推定された各利用者が関連付けられている。つまり、各座席１９と各座席１９に着座していると推定された各利用者とが紐付されてメモリ１５に記憶される。なお、これらテーブルＴ１～Ｔ４は、サービスアプリケーション２１からのアクセス要求を受け付ける前に、予め作成しておくとよい。

【0105】

（４）次に、前記図７に示すように、前記利用者の座席１９を推定したテーブルＴ４と、アクセス同意確認者の座席１９との関係を示すテーブルＴ５とに基づいて、アクセス同意確認者を決定する。

【0106】

このテーブルＴ５とは、図１２に示すように、プライバシー情報とアクセス同意確認者（即ち、プライバシー情報にアクセスする場合に同意を必要とする利用者）の座席１９との関係を示すテーブルであり、予めメモリ１５に記憶されている。

【0107】

具体的には、例えば、サービスアプリケーション２１がアクセスしたいプライバシー情報が、各利用者（従って、車両１７）の現在位置情報である場合には、アクセス同意確認者が、運転席１９ａに着座している利用者（即ち、運転者）であることを示している。

【0108】

また、例えば、プライバシー情報が、現在の画像情報（例えば、前席のみの画像情報）である場合には、アクセス同意確認者が、運転席１９ａと助手席１９ｂに着座している利用者（即ち、対象者）であることを示している。この場合、運転席１９ａの利用者及び助手席１９ｂの利用者、両方の同意確認が必要となる。なお、サービスアプリケーション２１からの要求において、運転席画像であることが明示されている場合、テーブルＴ５に依らず運転席１９ａの同意確認が必要であるようにすることができる。

【0109】

また、例えば、プライバシー情報が、生体情報（例えば、後部座席１９ｃの利用者の体温）である場合には、アクセス同意確認者が、後部座席１９ｃに着座している利用者（即ち、対象者）であることを示している。

【0110】

従って、本実施形態では、前記テーブルＴ４から、各座席１９に着座している利用者が分かり、前記テーブルＴ５から、プライバシー情報に応じてアクセス同意確認者の座席１９が分かるので、プライバシー情報に応じて、どの座席１９に着座している利用者のアクセス同意確認を得ればよいのかが分かる。つまり、前記テーブルＴ４と前記テーブルＴ５とから、プライバシー情報に応じたアクセス同意確認者を決定することができる。

【0111】

例えば、テーブルＴ５から、プライバシー情報が現在位置情報である場合、アクセス同意確認者は運転席１９ａの利用者であることが分かり、また、テーブルＴ４から、運転席１９ａに着座しているのは利用者Ａであると推定されるので、利用者Ａに対してアクセス同意確認を行えばよいことが分かる。

【0112】

よって、例えば、利用者Ａが着座している運転席１９ａの確認装置７ａを用いて、利用者Ａのアクセス同意確認を行うことができる。

【0113】

ここで、アクセス同意確認ができた場合には、アクセス認可システム２３は、前記プライバシー情報にアクセスすることができるので、メモリ１５のデータベースに記憶された当該プライバシー情報（例えば、車両１７の現在の位置を示す情報等）を得ることができる。よって、その取得したプライバシー情報をサービスアプリケーション２１に提供することができる。

【0114】

なお、例えば、ナビゲーション装置において自宅住所にアクセスしたい場合は、どの座席１９かは関係なく、車両オーナーの同意を得るようにしてもよい。この場合、予め顔データや指紋データを登録する際に、登録するデータが車両オーナーのデータであることも同時に登録すればよい。よって、登録したデータに基づいて、車両オーナーがどこに着座しているか判別し、その座席１９（即ち、その座席１９の利用者）の同意確認を得るようにしてもよい。

【0115】

［１－７．制御処理］
次に、ＥＣＵ３にて実施される制御処理について、図１３～図１４に基づいて説明する。

【0116】

以下の処理は、例えば、車両１７のイグニッションスイッチがオンとなった場合に実施される。

【0117】

＜座席推定処理＞
この座席推定処理とは、車両１７のどの座席１９にどの利用者が着座しているかを推定する処理である。

【0118】

図１３のフローチャートに示すように、まず、ステップ（以下、Ｓ）１００では、降車か否かを判定する。ここで肯定判断されるとＳ１１０に進み、一方否定判断されると一旦本処理を終了する。

【0119】

例えば、周知のドアスイッチにより、ドアが開けられたことが検知され、その後、周知の着座センサにより、着座状態であった全ての座席１９について、非着座状態に変化したことが検知された場合には、降車であると判定することができる。

【0120】

Ｓ１１０では、上述したアクセス同意確認者の決定に使用した情報（即ち、データ）の履歴を消去する条件（即ち、履歴オールクリアの条件）が満たされたか否かを判定する。ここで肯定判断されるとＳ１２０に進み、一方否定判断されると一旦本処理を終了する。

【0121】

なお、アクセス同意確認者の決定に使用した情報とは、例えば、テーブルＴ１、テーブルＴ３、テーブルＴ４のように、実際に利用者を認証した結果等のように、認証結果によって変動する情報であり、テーブルＴ２、テーブルＴ５のように、認証結果によって変動しない情報（即ち、認証前に予め設定されている情報）は含まれない。

【0122】

また、履歴オールクリアの条件としては、例えば、車両１７が、カーシェアリングされる場合においては、ある利用者のカーシェアリングでの利用が終了したことが確認された場合が挙げられる。なお、カーシェアリングの終了の場合には、車両１７のＥＣＵ３に対して、インターネット等の通信方法によって、カーシェアリングが終了したことを示す信号が入力されるようにしておき、この条件を履歴オールクリアの条件として採用してもよい。なお、レンタカーについても、カーシェアリングと同様なことが言える。

【0123】

また、個人所有等の車両１７においては、例えば車検時等の車両１７の検査時や、所定の経過時間に、履歴をオールクリアしてもよい。

【0124】

Ｓ１２０では、履歴オールクリアを実施する。このように履歴オールクリアを行うことにより、プライバシー情報等の各種の情報が漏洩しにくくなるという利点がある。

【0125】

続くＳ１３０では、乗車か否かを判定する。ここで肯定判断されるとＳ１４０に進み、一方否定判断されると一旦本処理を終了する。

【0126】

例えば、周知のドアスイッチにより、ドアが開けられたことが検知され、その後、着座センサにより、非着座状態から着座状態に変化したことが検知された場合には、乗車であると判定することができる。

【0127】

Ｓ１４０では、認証装置５よる利用者の認証を実施する。具体的には、カメラ認証装置５ａによって、利用者を撮影し、その画像から利用者を認証することができる。また、指紋認証装置５ｂでは、例えば、音声やディスプレイによる案内により、利用者の指紋認証の動作を促すことができる。

【0128】

続くＳ１５０では、認証装置５よる各利用者の認証結果を取得する。この結果、各認証装置５により、例えば、前記テーブルＴ１に示すように、各座席１９の各認証装置５に対応した各利用者の認証結果のデータが得られる。ここで、Ｓ１１０において履歴がオールクリアとならない場合、テーブルＴ１には、過去の認証結果も残存するため、認証結果（即ち、認証されたことを示す情報又は認証されていないことを示す情報）と共に、認証した際のタイムスタンプを記憶しておく。

【0129】

続くＳ１６０では、前記認証結果のテーブルＴ１と上述した認証レベルのテーブルＴ２とに基づいて、利用者の座席１９を推定し、一旦本処理を終了する。

【0130】

詳しくは、テーブルＴ１とテーブルＴ２とを用いて、前記各利用者の認証レベルのテーブルＴ３を作成し、そのテーブルＴ３に基づいて、利用者の座席１９を推定する。テーブルＴ１において履歴が残存している場合、新しいタイムスタンプの認証結果を参照し、認証レベルを決定する。テーブルＴ３には、決定した認証レベルと共に認証した際のタイムスタンプを記憶しておくとよい。利用者の座席１９を推定する際は、テーブルＴ３において新しいタイムスタンプの認証レベルを参照する。これにより、前記利用者の座席１９を推定したテーブルＴ４が得られる。

【0131】

このようにして、車両１７のどの座席１９にどの利用者が着座しているかを推定することができる。

【0132】

＜アクセス認可処理＞
このアクセス認可処理とは、アクセス同意確認者を決定して、アクセス同意確認等を行う処理である。

【0133】

図１４のフローチャートに示すように、まず、Ｓ２００では、サービスアプリケーション２１からのサービス要求があるか否かを判定する。ここで肯定判断されるとＳ２１０に進み、一方否定判断されると一旦本処理を終了する。なお、ここでサービス要求としては、例えば、車両サービス２５に対して、何からの情報（例えば、プライバシー情報やプライバシー情報以外の各種の情報）を要求すること等が挙げられる。

【0134】

Ｓ２１０では、プライバシー情報へのアクセス要求があるか否かを判定する。ここで肯定判断されるとＳ２２０に進み、一方否定判断されるとＳ２５０に進む。

【0135】

Ｓ２２０では、プライバシー情報へのアクセス要求があったので、前記アクセス同意確認者のテーブルＴ５と、前記利用者座席推定のテーブルＴ４（即ち、利用者座席情報）とに基づいて、アクセス同意確認を行う利用者（即ち、アクセス同意確認者）を選定（即ち、決定）する。

【0136】

続くＳ２３０では、Ｓ２２０で選定した利用者（即ち、アクセス同意確認者）のみに、確認装置７を用いて、アクセス同意確認を行う。例えば、確認装置７によって、音声やディスプレイを用いて、利用者にアクセス同意確認のための操作を促す。

【0137】

続くＳ２４０では、アクセス同意確認者によって、確認装置７に対してアクセス同意確認の操作がなされたか否かを判定する。ここで肯定判断されるとＳ２５０に進み、一方否定判断されると一旦本処理を終了する。アクセス同意確認者が複数いる場合は、全員のアクセス同意が確認された場合に、肯定判断とみなす。

【0138】

Ｓ２５０では、Ｓ２４０にてアクセス同意確認がなされたので、プライバシー情報へのアクセスを認可して、アクセス要求に応じる処理を行い、一旦本処理を終了する。

【0139】

つまり、本処理により、プライバシー情報等の情報を、車両サービス２５からサービスアプリケーション２１へ提供することが可能となる。

【0140】

なお、前記Ｓ２１０で否定判断された場合には、プライバシー情報以外の各種の情報をサービスアプリケーション２１に提供することが可能である。

【0141】

このように、本処理により、各種の車両サービス２５の利用が可能となり、車両情報等の各種の情報の取得や提供等を行うことができる。

【0142】

［１－８．効果］
本実施形態によれば、以下の効果が得られる。

【0143】

（１ａ）本実施形態では、車両１７の各座席１９ごとに、どの利用者がどの認証方法（例えば、どの認証装置５）により認証されたかを示すデータを管理している。従って、利用者のプライバシー情報へのアクセスに関し、前記データ等を用いることにより、各座席１９に紐付くどの利用者の同意が必要かを決定することができる。詳しくは、各テーブルＴ１～Ｔ５を利用して、プライバシー情報にアクセスするための同意が必要な利用者（即ち、アクセス同意確認者）を決定することができる。

【0144】

そのため、プライバシー情報にアクセスするための同意の確認（即ち、アクセス同意確認）を、前記アクセス同意確認者のみに対して適切に実施できる。その結果、車両１７の利用者全員にアクセス同意確認するような場合に比べて、アクセス同意確認の負担を軽減できる。また、必要な利用者に対して速やかにアクセス同意確認ができるので、サービスアプリケーション２１の品質劣化を抑制することができる。

【0145】

（１ｂ）本実施形態では、各認証方法による認証結果と、各認証方法の認証の精度に応じて設定された認証レベルと、に基づいて、各利用者が着座する座席１９を推定する。詳しくは、各座席１９に対して、最も高い認証レベルに設定された利用者を、当該座席１９と紐付けるように構成されている。従って、座席１９を推定する精度が高いという効果がある。

【0146】

（１ｃ）本実施形態では、認証の結果が記憶されたデータは、予め決められた所定のデータ更新の条件が満たされた場合に更新されるように構成されている。従って、前記データの更新を適切に実施できるという利点がある。

【0147】

（１ｄ）本実施形態では、同意確認の選定に用いるデータは、所定のデータ消去の条件が満たされた場合に消去されるように構成されている。従って、同意確認の選定に用いるデータが適切に保護されているという利点がある。

【0148】

［１－９．対応関係］
次に、本実施形態と本開示との関係について説明する。

【0149】

電子制御装置３、４、１２は電子制御装置に対応し、車両１７は車両に対応し、座席１９は座席に対応し、アクセス認可システム２３はアクセス認可システムに対応し、利用者認証情報管理部２３ｂは管理部又は取得部に対応し、アクセス認可部２３ｃは決定部に対応し、車両情報取得部２３ｄはアクセス部に対応し、メモリ１５及び利用者認証情報管理部２３ｂは管理データ記憶部に対応する。

【0150】

［２．他の実施形態］
以上、本開示の実施形態について説明したが、本開示は、上記実施形態に限定されることなく、種々の形態を採り得ることは言うまでもない。

【0151】

（２ａ）前記実施形態では、各座席ごとに認証装置を配置したが、それ以外の構成であってもよい。例えば、車室内に１台または複数のカメラ認証装置を配置し、このカメラ認証装置で全ての乗員（即ち、利用者）を撮影して、各利用者の認証を行ってもよい。

【0152】

また、各利用者が携帯する情報端末（例えば、スマートフォン）を用いて、カメラ認証や指紋認証を行ってもよい。この場合は、車両の電子制御装置（即ち、ＥＣＵ）と情報端末との間で予め通信を行って、情報端末の利用者の特定を行う。また、ＥＣＵに対する情報端末の方向や位置を、例えば電波の方向や強度等に基づいて求めることにより、情報端末がどの座席に着座する利用者の情報端末かを確認しておく（即ち、情報端末と座席との紐付けを行う）。

【0153】

（２ｂ）前記実施形態では、各座席ごとに確認装置を配置したが、それ以外の構成であってもよい。例えば、車室内に１台または複数の確認装置を配置し、この確認装置で全ての乗員（即ち、利用者）のアクセス同意確認を行うようにしてもよい。なお、この場合は、どの利用者が確認操作を行うかを区別する必要がある。例えば、ある確認装置のタッチパネルに、利用者ごとに区分された同意確認する欄を設ける方法等を採用できる。

【0154】

また、上述の認証装置のように、各利用者が携帯する情報端末（例えば、スマートフォン）を用いて、アクセス同意確認を行ってもよい。この場合も、上述の認証装置と同様に、情報端末の利用者の特定や、情報端末の方向や位置に基づいて座席との紐付けを行う。

【0155】

（２ｃ）前記実施形態では、アプリケーションサービス、アクセス認可システム、及び車両サービスが、車両に搭載されている例を挙げたが、アプリケーションサービス、アクセス認可システム、及び車両サービスの少なくとも１種が、車両以外の例えばクラウド側のサーバ９等に設けられていてもよい。

【0156】

（２ｄ）過去に同じ座席に異なる利用者が紐付けられていたことを示す情報がある場合には、前記図１４のＳ２３０で同意確認を行う際に、現在及び過去に同じ座席に紐付けられた利用者の全員から同意確認を得るようにしてもよい。例えば、テーブルＴ１、Ｔ３に記憶される履歴を参照し、過去に当該座席に紐づけられた利用者を判別することができる。例えば、サービスアプリケーションが一週間分の位置情報へのアクセスを要求する場合、一週間の間に運転席に紐づけられた利用者全員の同意確認が必要と判断する。

【0157】

なお、前記利用者の全員が、現在同じ車両に搭乗していない場合もあるので、そのようなときには、現在、同じ車両に搭乗している前記利用者の同意確認を得るようにしてもよい。このように、関係者全員に同意確認を行うことにより、プライバシー情報の保護を一層好適に行うことができる。

【0158】

例えば、運転者が交代した場合には、運転者の交代に応じて、新たに同意確認の選定に用いるデータ（例えば、認証結果のテーブルＴ１）を取得して、新たにアクセス同意確認者を選定することが考えられる。この場合は、同じ運転席に、前回と今回とで異なる利用者が紐付けされる。従って、このような場合には、同じ座席に紐付けられた現在及び過去の利用者の全員に同意確認を行ってもよい。なお、新たに紐付けする場合に、同じ座席の過去のデータを消去する場合には、このような処理を行う必要はない。

【0159】

（２ｅ）アクセス同意確認は、あるサービスアプリケーションからのサービス要求に対して、１回実施されればよいが、複数回実施してもよい。例えば、車両が始動された場合（例えば、イグニッションスイッチがオンとなった場合）に実施するようにしてもよい。また、ある座席の利用者が変化した場合に実施してもよい。あるいは、所定の期間が経過した場合に実施してもよい。

【0160】

（２ｆ）本開示に記載のアクセス認可システムの制御およびその手法は、コンピュータプログラムにより具体化された一つ乃至は複数の機能を実行するようにプログラムされたプロセッサおよびメモリを構成することによって提供された専用コンピュータにより、実現されてもよい。

【0161】

あるいは、本開示に記載のアクセス認可システムおよびその手法は、一つ以上の専用ハードウェア論理回路によってプロセッサを構成することによって提供された専用コンピュータにより、実現されてもよい。

【0162】

もしくは、本開示に記載のアクセス認可システムおよびその手法は、一つ乃至は複数の機能を実行するようにプログラムされたプロセッサおよびメモリと一つ以上のハードウェア論理回路によって構成されたプロセッサとの組み合わせにより構成された一つ以上の専用コンピュータにより、実現されてもよい。

【0163】

また、コンピュータプログラムは、コンピュータにより実行されるインストラクションとして、コンピュータ読み取り可能な非遷移有形記録媒体に記憶されてもよい。動作制御装置に含まれる各部の機能を実現する手法には、必ずしもソフトウェアが含まれている必要はなく、その全部の機能が、一つあるいは複数のハードウェアを用いて実現されてもよい。

【0164】

（２ｇ）上述したアクセス認可システムの他、当該アクセス認可システムを構成要素とするシステム、当該アクセス認可システムのコンピュータを機能させるためのプログラム、このプログラムを記録した半導体メモリ等の非遷移有形記録媒体、制御方法など、種々の形態で本開示を実現することもできる。

【0165】

（２ｈ）上記実施形態における１つの構成要素が有する複数の機能を、複数の構成要素によって実現したり、１つの構成要素が有する１つの機能を、複数の構成要素によって実現したりしてもよい。また、複数の構成要素が有する複数の機能を、１つの構成要素によって実現したり、複数の構成要素によって実現される１つの機能を、１つの構成要素によって実現したりしてもよい。また、上記実施形態の構成の一部を省略してもよい。また、上記実施形態の構成の少なくとも一部を、他の実施形態の構成に対して付加または置換してもよい。

【図1】

【図2】

【図3】

【図4】

【図5】

【図6】

【図7】

【図8】

【図9】

【図10】

【図11】

【図12】

【図13】

【図14】