信息处理装置、信息处理系统及计算机可读取的记录介质

技术领域

本公开涉及通过设置于移动体的信息处理装置实现的安全等级控制。

背景技术

以往，关于安全等级的控制，提出有各种技术。例如，日本专利第5181182号公报(专利文献1)公开了如下技术：在无线通信设备的安全控制中，在由访问管理服务器检测出其他无线通信资源进入到管理区内时，根据该检测结果而对无线通信设备广播关于该其他无线通信资源的数据。在该技术中，无线通信设备根据广播的数据的内容，对该无线通信设备访问的信息进行屏蔽。

日本特开2008-9615号公报(专利文献2)公开了如下技术：根据车辆的周边环境的传感数据，设定与周边环境对应的安全等级，根据设定的安全等级，控制执行安全功能的安全系统。

现有技术文献

专利文献

专利文献1：日本专利第5181182号公报

专利文献2：日本特开2008-9615号公报

发明内容

近年来，提出有提供使用移动体的办公环境等与使用移动体的移动服务有关的各种技术。在移动服务中，一般认为在移动体内控制所提供的环境的安全等级也是重要的技术之一。例如，在提供办公环境的移动服务中，需要以与办公室中的安全等级同等的安全等级来管理所提供的环境。

另一方面，在以往的技术中，仅针对作为控制对象的系统的外部的安全等级的优化进行了研究，对作为控制对象的系统的内部的安全等级的优化并未进行充分的研究。

本公开是鉴于上述实情而提出的，其目的在于提供一种用于以优化后的安全等级来控制设置有信息处理装置的移动体内的环境的技术。

根据本公开的一个方案，提供一种设置于移动体的信息处理装置，具备：乘降检测单元，检测移动体中的用户的乘降；以及控制单元，依照用户向移动体的乘降，控制移动体的安全等级。

信息处理装置还可以具备存储器。控制单元还可以将与乘坐于移动体的用户关联起来的确定信息储存到存储器，在乘降检测单元检测到用户从移动体下车的情况下，控制单元从存储器中删除确定信息。

确定信息可以包括用户的系统环境。

系统环境可以包括用户的网络环境。

确定信息可以包括用户的作业数据。

作业数据可以包括在乘车后生成或者编辑的数据。

信息处理装置可以还具备用于与服务器进行通信的通信单元。确定信息可以预先登记于服务器。

信息处理装置可以还具备用于与服务器进行通信的通信单元。可以在乘降检测单元检测到用户向移动体乘车的情况下，控制单元从服务器取得确定信息的至少一部分。

确定信息可以在服务器中被登记为快照。

确定信息可以包括目的地以及路径中的至少一方作为移动体的控制信息。

控制单元可以根据确定信息的机密等级而对删除的次数进行变更。

控制单元可以在删除了确定信息的情况下，向用户的终端通知该删除。

确定信息可以包括用于指定设备的安全等级的信息。控制单元可以将用于指定安全等级的信息发送给设置于移动体的设备。

可以在乘降检测单元检测到用户从移动体下车的情况下，控制单元向服务器发送确定信息。

可以在从乘降检测单元检测到用户从移动体下车起经过一定期间之后，控制单元向服务器发送确定信息。

信息处理装置可以还具备存在检测单元，该存在检测单元检测用户是否存在于从移动体起的一定距离内。可以在存在检测单元检测出用户未存在于从移动体起的一定距离内的情况下，控制单元向服务器发送确定信息。

信息处理装置可以还具备用于拍摄移动体的外部的图像的照相机。可以在由乘降检测单元检测到用户的下车之后，当在由照相机拍摄到的图像中未确定出用户的情况下，控制单元向服务器发送与用户关联起来的确定信息。

可以在对移动体施加有一定的阈值以上的冲击的情况下，控制单元向服务器发送确定信息。

控制单元可以生成确定信息的快照，并将该快照发送给服务器，从而将确定信息发送给服务器。

还可以具备通信单元，该通信单元用于与服务器以及用户的终端进行通信。控制单元可以根据给定的条件的成立，而将用户的作业数据发送给服务器。控制单元可以在无法与服务器进行通信的情况下，将作业数据发送给用户的终端。

信息处理装置可以还具备存储器。控制单元可以将作业数据储存到存储器，从存储器中删除已发送给服务器或者用户的终端的作业数据。

乘降检测单元可以检测2个以上的用户各自的乘降。控制单元可以将与由乘降检测单元检测到下车的用户关联起来的确定信息发送给服务器。

信息处理装置可以还具备存储器。控制单元可以将从服务器取得的确定信息储存到存储器，在向服务器发送了确定信息的情况下，从存储器中删除确定信息。

乘降检测单元对用户的乘车进行检测的处理可以包括与用户的终端进行通信的处理。

确定信息可以包括用于指定设备的安全等级的信息。控制单元可以将用于指定安全等级的信息发送给设置于移动体的设备。

根据本公开的另一方案，提供一种信息处理系统，具备：信息处理装置，设置于移动体；以及服务器，能够与信息处理装置进行通信，服务器包括存储装置，该存储装置存储确定信息，信息处理装置具备：乘降检测单元，检测移动体中的用户的乘降；以及控制单元，依照用户向移动体的乘降，控制移动体的安全等级，在乘降检测单元检测到用户向移动体乘车的情况下，控制单元从服务器取得确定信息的至少一部分。

根据本公开的又一方案，提供一种程序，该程序由设置于移动体的信息处理装置的计算机执行，从而使计算机执行：检测移动体中的用户的乘降的步骤；以及依照用户向移动体的乘降，控制移动体的安全等级的步骤。

根据本公开，依照用户向移动体的乘降，控制移动体中的安全等级。由此，能够以优化后的安全等级来控制设置有信息处理装置的移动体内的环境。

附图说明

图1是示出本公开的信息处理系统的结构的一个例子的图。

图2是示出车载服务器10的硬件结构的一个例子的图。

图3是示出MFP20的硬件结构的一个例子的图。

图4是示出行驶控制装置30的硬件结构的一个例子的图。

图5是在检测到物体进入到汽车100时执行的处理(乘车处理)的流程图。

图6是在检测到物体从汽车100下车时执行的处理(下车处理)的流程图。

图7是在对汽车100施加大的冲击时执行的处理(冲击对应处理)的流程图。

图8是用于按照一定时间生成作业数据并发送给管理服务器200的处理(数据管理处理)的流程图。

图9是图6的下车处理的第1变形例的流程图。

图10是图6的下车处理的第2变形例的流程图。

图11是图6的下车处理的第3变形例的流程图。

(符号说明)

10：车载服务器；11、21、31：CPU；12、22、32：存储装置；13、23、33：通信接口；20：MFP；24：显示器；25、52：输入装置；30：行驶控制装置；34：接收机；35：操舵装置；36：制驱动装置；37：加速度传感器；41、42：人感传感器；43：门照相机；44：门锁；45：通信设备；46：车载照相机；47：信标接收机；50：计算机；51：监视器；90：终端；100：汽车；110：车体；120：门；131：前轮；132：后轮；200：管理服务器。

具体实施方式

以下，参照附图，说明信息处理系统的一个实施方式。在以下的说明中，对同一部件以及构成要素附加同一符号。它们的名称以及功能也相同。因此，省略对它们的重复说明。

[1.信息处理系统的结构]

图1是示出本公开的信息处理系统的结构的一个例子的图。图1所示的信息处理系统包括汽车100和管理服务器200。汽车100能够与管理服务器200进行通信。在一个实现例中，汽车100由用于提供办公环境的概念车实现。

汽车100包括车体110、前轮131以及后轮132。车体110设置有用于进入汽车100的车内的门120。门120可开闭。汽车100设置有控制汽车100的车载服务器10。

门120设置有用于检测汽车100中的用户的乘降的人感传感器41、42。人感传感器41、42的检测输出被发送给车载服务器10。在一个实现例中，相对人感传感器42，人感传感器41设置于更靠近车外的一侧。车载服务器10根据在从人感传感器41检测到物体的时间点起的预定的时间内由人感传感器42检测到物体，能够确定物体乘坐到汽车100。车载服务器10根据在从人感传感器42检测到物体的时间点起的预定的时间内由人感传感器41检测到物体，能够确定物体从汽车100下车。

门120设置有门照相机43。由门照相机43拍摄到的图像被发送给车载服务器10。在一个实现例中，车载服务器10能够从门照相机43取得乘车或者下车的物体的图像。

门120设置有门锁44。在一个实现例中，门锁44包括用于对门120进行上锁以及开锁的机构(例如，螺旋管线圈)。车载服务器10能够控制门锁44以进行门120的上锁以及开锁。

门120设置有通信设备45。在一个实现例中，通信设备45与用户900所持的终端90进行近距离通信。近距离通信例如是依照蓝牙(注册商标)标准的通信或者红外线通信。通信设备45能够与车载服务器10进行通信。在一个实现例中，车载服务器10通过从通信设备45取得储存于终端90的用户信息(例如用户ID和口令)，能够确定乘坐汽车100(或者从汽车100下车)的用户900。

车体110设置有用于拍摄车外的图像的车载照相机46。车载照相机46拍摄到的图像被发送给车载服务器10。在一个实现例中，车载服务器10能够根据由车载照相机46拍摄到的图像，确定从汽车100下车的用户。车载服务器10在检测到某个用户从汽车100下车之后，在未能在由车载照相机46拍摄到的图像中确定出该用户的情况下，能够判断为该用户离汽车100足够远(例如，离开预定的距离以上)。

车体110设置有接收信标的信标接收机47。信标接收机47将检测输出发送给车载服务器10。在一个实现例中，车载服务器10根据由信标接收机47接收到从用户900所持的终端90发送的信标，能够检测出用户900存在于从汽车100起的一定距离内，并且，根据信标接收机47未接收到该信标，能够检测出用户900不存在于从汽车100起的一定距离内。

汽车100还设置有：MFP(Multi-Functional Peripheral，多功能外围设备)20、行驶控制装置30、计算机50、监视器51以及输入装置52。

MFP20是具有拷贝功能、打印功能以及扫描功能的多功能一体机。行驶控制装置30控制汽车100的行驶。更具体而言，汽车100具备用于驱动前轮131和/或后轮132的机构(例如，包括马达)。行驶控制装置30控制该机构的动作。计算机50包括处理器和存储器。处理器执行预定的程序。计算机50在监视器51上显示信息，并且，经由输入装置52受理信息的输入。监视器51例如由有机EL(Electro-Luminescence：电致发光)显示器实现。输入装置52例如由键盘和/或鼠标实现。输入装置52也可以由触摸传感器实现。

[2.硬件结构]

以下，说明构成图1所示的信息处理系统的装置的硬件结构。

(车载服务器10)

图2是示出车载服务器10的硬件结构的一个例子的图。车载服务器10包括CPU(Central Processing Unit，中央处理单元)11、存储装置12以及通信接口13。CPU11通过执行预定的程序，控制车载服务器10。车载服务器10也可以包括控制该车载服务器10的ASIC(Application Specific Integrated Circuit，专用集成电路)等电子电路(electroniccircuitry)而不包括CPU11、或者除了CPU11以外还包括上述ASIC等电子电路。

存储装置12能够存储由CPU11执行的程序和/或控制用的数据。存储装置12例如由硬盘实现。

通信接口13是用于使车载服务器10与其他装置(MFP20等)进行通信的通信电路，由例如NIC(Network Interface Card，网络接口卡)实现。

(MFP20)

图3是示出MFP20的硬件结构的一个例子的图。MFP20包括CPU21、存储装置22、通信接口23、显示器24、输入装置25、图像处理部26、图像形成部27以及图像读取部28。

CPU21通过执行预定的程序而控制MFP20。MFP20也可以包括控制该MFP20的ASIC等电子电路而不包括CPU21、或者除了CPU21以外还包括上述ASIC等电子电路。

存储装置22能够存储由CPU21执行的程序、和/或控制用的数据。存储装置22例如由硬盘实现。

通信接口23是用于使MFP20与其他装置(车载服务器10等)进行通信的通信电路，由例如NIC实现。

显示器24由例如有机EL(Electro-Luminescence)显示器实现，显示MFP20的状态。输入装置25由硬件按钮和/或显示于显示器24的软件按钮实现。也可以通过组合显示器24和输入装置25，构成触摸面板。

图像处理部26对输入到MFP20的图像数据执行图像的放大/缩小等各种处理。在一个实现例中，图像处理部26包括图像处理用的ASIC以及存储器。

图像形成部27在记录纸张上形成图像。在一个实现例中，图像形成部27包括感光体、将收容于调色剂盒的调色剂输出到感光体的硬件资源、以及用于搬送记录纸张的硬件资源。

图像读取部28生成原稿的图像数据。在一个实现例中，图像读取部28包括影像扫描仪等用于读取图像数据的硬件资源。

(行驶控制装置30)

图4是示出行驶控制装置30的硬件结构的一个例子的图。行驶控制装置30控制汽车100的行驶。

如图4所示，行驶控制装置30包括：CPU31、存储装置32、通信接口33、GPS(GlobalPositioning System，全球定位系统)接收机34、操舵装置35、制驱动装置36以及加速度传感器37。

CPU31通过执行预定的程序而控制行驶控制装置30。行驶控制装置30也可以包括控制该行驶控制装置30的ASIC等电子电路而不包括CPU31、或者除了CPU31以外还包括上述ASIC等电子电路。

存储装置32能够存储由CPU31执行的程序、和/或控制用的数据。存储装置32例如由硬盘实现。

通信接口33是用于使行驶控制装置30与其他装置(车载服务器10等)进行通信的通信电路，由例如NIC实现。

GPS接收机34接收来自GPS卫星的信号，使用该信号执行预定的运算，从而检测汽车100的位置。GPS接收机34将检测到的位置的信息输出给CPU31。

操舵装置35控制汽车100的车轮(前轮131和/或后轮132)的舵角。在一个实现例中，操舵装置35由控制致动器的驱动的电子电路实现，该致动器用于调整车轮的角度。

制驱动装置36控制汽车100的车轮的制驱动。在一个实现例中，制驱动装置36由用于调整马达的旋转量的电子电路实现，该马达用于使车轮旋转。

加速度传感器37检测施加到汽车100的加速度。在一个实现例中，加速度传感器37检测汽车100的行进方向(前后方向)以及垂直于该行进方向的2个方向(左右方向及垂直方向)的这3个方向各自的加速度。

[3.利用汽车100进行的服务的一个例子]

在本公开中，作为使用汽车100的移动服务的一个例子，说明移动办公室。在该例子中，汽车100对用户提供办公环境。汽车100依照用户的乘降，控制汽车100内的安全等级。由此，能够对用户提供远程办公等不受到场所限定的工作方式。

(每个用户的确定信息)

管理服务器200具备硬盘等存储装置。在管理服务器200的存储装置中储存有与各用户关联起来的信息(以下还称为“确定信息”)。

确定信息包括例如以下的要素。

·用户ID

·路由设定

·系统环境

·作业数据

·层级

“用户ID”用于识别各用户。

“路由设定”用于识别汽车100的目的地以及移动路径。此外，“路由设定”也可以仅包括汽车100的目的地。行驶控制装置30能够依照目的地设定移动路径。“路由设定”也可以仅包括汽车100的移动路径。也可以在汽车100中由用户设定最终的目的地。用户能够利用输入装置52，经由计算机50而向行驶控制装置30输入目的地。

“系统环境”是用于确定环境的信息，该环境是用于车载服务器10与管理服务器200进行通信的环境。构成“系统环境”的信息的一个例子是车载服务器10的网络环境。网络环境包括用于车载服务器10与管理服务器200在VPN(Virtual Private Network，虚拟专用网络)内连接的设定(例如服务器名、用户名以及口令)。

“作业数据”用于确定乘车后的汽车100内的用户的作业状态。“作业数据”的一个例子可以是通过能够在计算机50中执行的预定的应用编辑或者生成的文档、或者也可以是这样的文档的编辑历史。

“层级”用于识别对各用户赋予的层级(部长、部员等)。

(乘车处理)

图5是在检测到物体进入到汽车100时执行的处理(乘车处理)的流程图。例如，通过由车载服务器10的CPU11执行预定的程序，实现图5的处理。在一个实现例中，CPU11根据在从人感传感器41检测到物体的时间点起的预定的时间内由人感传感器42检测到物体，而开始图5的处理。

参照图5，在步骤S100中，CPU11判断用户的认证是否成功。在一个实现例中，在存储装置12中预先登记有用于对用户进行认证的信息(认证用信息)。更具体而言，信息处理系统的管理者将预约了汽车100的用户的认证用信息预先登记到存储装置12。CPU11利用在物体进入到汽车100时所取得的信息和上述认证用信息，对用户进行认证。

例如，用户900在进入到汽车100时，将终端90举到通信设备45。在终端90中储存有用户认证用的信息。通信设备45通过近距离通信，从终端90读出用户认证用的信息，将该信息发送给车载服务器10。CPU11从通信设备45取得用户认证用的信息，将该信息与预先登记的认证用信息进行对照。如果这些信息一致，CPU11则判断为用户的认证成功，如果不一致，则判断为用户的认证失败。

利用通信设备45与终端90之间的通信进行的认证是用户认证的一个例子。其他例子包括：使用由门照相机43拍摄到的图像(脸部图像、虹膜、指纹等)的认证、利用声音(声纹)的认证等其他所有方式的用户认证。

认证用信息也可以并非预先登记于存储装置12。认证用信息也可以预先登记于管理服务器200。CPU11也可以在检测到物体进入到汽车100时，对管理服务器200请求认证用信息。管理服务器200也可以根据来自CPU11的请求，向车载服务器10发送认证用信息。

CPU11在判断为用户的认证成功时(在步骤S100中“是”)，使控制进入到步骤S104，否则(在步骤S100中“否”)，使控制进入到步骤S102。

在步骤S102中，CPU11报告错误而结束图5的处理。在错误报告的一个例子中，在设置于汽车100的预定的显示装置(例如监视器51、和/或未图示的灯)中显示用户的认证失败。其他例子是输出表示发生错误的声音。在又一其他例子中，对管理服务器200通知用户的认证失败。

在步骤S104中，CPU11利用门照相机43拍摄乘车的用户的整体图像，并将该整体图像储存到存储装置12。CPU11也可以判断摄影的图像是否包括用户的全身，并且使门照相机43反复进行拍摄，直至拍摄到包括用户的全身的图像为止。也可以在判断图像是否包含用户的全身时，利用例如图案辨识技术。

在步骤S106中，CPU11从管理服务器200下载在步骤S100中认证后的用户的确定信息。CPU11例如对管理服务器200发送用于确定该用户的信息(例如，用户ID)以及确定信息的请求。根据该请求，管理服务器200对车载服务器10发送确定信息。

确定信息的至少一部分也可以利用快照(snap shot)而储存于管理服务器200。在步骤S106中，也可以下载快照。

在步骤S108中，CPU11对在步骤S106中下载的确定信息进行展开。在利用快照下载确定信息的情况下，在步骤S108中，对快照进行展开。

确定信息的展开包括将包含于确定信息的设定登记到应储存该设定的场所。CPU11也可以依照确定信息内的“系统环境”，在存储装置12中登记用于通信的设定值。CPU11也可以依照“作业数据”，将在车载服务器10上执行的OS(Operating System，操作系统)和/或应用的设定值登记于存储装置12。

在步骤S110中，CPU11将包含于确定信息的汽车100内的其他设备的设定，发送给各设备。例如，CPU11也可以对计算机50提供“作业数据”。由此，在计算机50中登记依照“作业数据”的设定值，在计算机50中再现用户的作业历史。

另外，CPU11也可以将确定信息内的“层级”发送给MFP20。“层级”例如包括“部长”以及“部员”。“部长”的层级比“部员”高。“层级”也可以指定设置于汽车100的各设备的安全等级。在一个例子中，MFP20的CPU21根据发送的“层级”，控制MFP20的安全等级。例如，在用户的“层级”是“部长”的情况下，CPU21根据印刷指示，印刷储存于MFP20内的所有文件。在用户的“层级”是“部员”的情况下，CPU21即使收到印刷指示，也不印刷储存于MFP20内的部分文件(例如，被赋予机密等级“高”的标签的文件)，而是根据印刷指示，对其余的其他文件进行印刷。

另外，CPU11也可以将确定信息内的“路由设定”发送给行驶控制装置30。行驶控制装置30的CPU31依照“路由设定”而控制行驶控制装置30的动作。即，CPU31控制车轮的动作，以使汽车100依照“路由设定”中规定的路径，移动至“路由设定”中规定的目的地。

在步骤S112中，CPU11使门锁44对门120进行上锁，结束图5的处理。

由此，汽车100能够开始行驶。用户利用该用户的作业历史，能够执行使用计算机50的作业。MFP20能够以依照用户的“层级”的安全等级动作。

在以上说明的乘车处理中，CPU11在检测到用户向汽车100乘车时，从管理服务器200下载该用户的确定信息并储存到存储装置12。根据用户的乘车而在汽车100内储存确定信息(用户的固有的信息)是依照用户的乘降而控制汽车100的安全等级的一个例子。在该意义下，由CPU11以及用于使CPU11下载确定信息并储存到存储装置12的程序的部分，构成控制单元。

确定信息能够包括用户的网络环境(例如，VPN设定)。设置于汽车100的车载服务器10能够利用确定信息的网络环境，而与管理服务器200进行通信。车载服务器10能够与计算机50进行通信。因此，汽车100内的计算机50能够在VPN内与管理服务器200连接。在管理服务器200设置在用户的办公室中的情况下，用户利用计算机50，能够在与办公室内同样的环境下利用管理服务器200内的文件。在该意义下，针对用户，汽车100能够作为移动办公室发挥功能。

CPU11利用人感传感器41、42的检测输出来检测物体的乘车。CPU11进而利用认证用信息和由通信设备45从终端90取得的信息，对乘车的用户进行认证(确定)。在该意义下，由CPU11以及用于使CPU11检测用户的乘车的程序的部分，构成乘降检测单元。此外，CPU11也可以利用由门照相机43等检测的生物体认证来确定用户而不使用通信设备45从终端90取得的信息，或者除了使用通信设备45从终端90取得的信息以外，还使用由门照相机43等检测的生物体认证。

(下车处理)

图6是在检测到物体从汽车100下车时执行的处理(下车处理)的流程图。例如，通过车载服务器10的CPU11执行预定的程序，实现图6的处理。在一个实现例中，CPU11根据在从人感传感器42检测到物体的时间点起的预定的时间内由人感传感器41检测到物体，开始图6的处理。

在步骤S200中，CPU11利用门照相机43拍摄下车的用户的整体图像。CPU11也可以判断拍摄到的图像是否包括用户的全身，并且使门照相机43反复进行拍摄，直至拍摄到包括用户的全身的图像为止。在判断图像是否包含用户的全身时，也可以利用例如图案辨识技术。

在步骤S202中，CPU11读出在步骤S104中储存的用户的整体图像。

在步骤S204中，CPU11对在步骤S200中拍摄的整体图像和在步骤S202中读出的整体图像进行比较，判断它们是否包括相同的用户的图像。在一个实现例中，步骤S204中的比较包括从图像抽出特征量和对该特征量进行比较。如果特征量一致，则能够判断为包括相同的用户的图像。CPU11在判断为两个整体图像包括相同的用户的图像时(在步骤S204中“是”)，使控制进入到步骤S208，否则(在步骤S204中“否”)，使控制进入到步骤S206。

在步骤S206中，CPU11报告错误而结束图6的处理。在错误报告的一个例子中，在设置于汽车100的预定的显示装置中显示未认证的用户处于汽车100内。其他例子是输出表示发生错误的声音。在又一其他例子中，对管理服务器200通知发生错误。

在步骤S208中，CPU11取得车内信息。车内信息包括车载服务器10中的通信等的设定、车载服务器10以及汽车100内的各设备(MFP20、计算机50等)中的作业数据。

在步骤S210中，CPU11生成作业数据的快照。更具体而言，生成车载服务器10的存储装置12、MFP20的存储装置22、行驶控制装置30的存储装置32以及计算机50的存储装置的快照，并储存到存储装置12。

在步骤S212中，CPU11在车载服务器10以及各设备中删除车内信息。

在步骤S214中，CPU11将在步骤S210中生成的快照发送给管理服务器200。

在步骤S216中，CPU11删除储存于车载服务器10的存储装置12的快照。

在步骤S106中下载的“确定信息”，在步骤S108中在车载服务器10内展开，并且，在步骤S110中发送给设置于汽车100的各设备。在步骤S210中生成的快照中包括在车载服务器10内展开并且发送给各设备的“确定信息”。通过在步骤S216中将快照发送给管理服务器200，而将确定信息发送给管理服务器200。此外，能够在车载服务器10或者各设备中的信息处理中，更新“确定信息”。例如，在用户利用计算机50进行作业的情况下，能够根据该作业，更新包含于“确定信息”的作业数据。在步骤S216中，能够将更新后的“确定信息”发送给管理服务器200。

在步骤S218中，CPU11对下车的用户通知该用户在汽车100中利用的数据被删除。例如，下车的用户的地址，也可以作为邮件地址而包含在用户的“确定信息”中。

在步骤S220中，CPU11使门锁44对门120进行开锁，结束图6的处理。

以上，在参照图6说明的下车处理中，CPU11在根据检测到用户下车而将包括该用户的“确定信息”的快照发送给管理服务器200之后，从车载服务器10删除该快照。根据用户下车而从汽车100删除确定信息(用户的固有的信息)是依照用户的乘降而控制汽车100的安全等级的一个例子。在该意义下，由CPU11以及用于使CPU11从存储装置12删除确定信息的程序的部分，构成控制单元。

CPU11例如利用“0”数据更新储存有快照的数据的区域，从而实现步骤S216中的快照的删除。CPU11也可以根据包含于快照的数据的机密度，变更步骤S216中的删除工序的执行次数。更具体而言，CPU11在生成MFP20的存储装置22的快照的情况下，取得在该时间点在MFP20中作为处理对象(例如印刷的对象)的文件的机密度。CPU11根据该机密度，决定储存有存储装置22的快照的存储装置12内的区域的删除工序的执行次数。在一个实现例中，能够以“1”“2”“3”这3个级别设定机密度。“1”表示机密度最低，“3”表示机密度最高。在机密度“1”的情况下，CPU11将删除工序的执行次数决定为“1”，在机密度“2”的情况下，CPU11将删除工序的执行次数决定为“2”，在机密度“3”的情况下，CPU11将删除工序的执行次数决定为“3”。

车载服务器10能够处理关于多个用户的每一个用户的信息。例如，在用户A和用户B处于汽车100内的情况下，如果用户A登录到车载服务器10，则用户A能够利用汽车100内的设备(MFP20、计算机50等)。如果用户B登录到车载服务器10，则用户B能够利用汽车100内的设备。车载服务器10以及各设备针对每个用户利用“确定信息”，针对每个用户生成作业数据。

在该情况下，CPU11能够关于多个用户的每一个用户，生成车内信息，并且生成快照。

CPU11还能够检测多个用户中的仅部分用户从汽车100下车。例如，CPU11在步骤S204中判断为步骤S200中拍摄到的图像与用户B的图像一致的情况下，检测出仅用户B下车。在该情况下，CPU11能够将关于用户B的快照发送给管理服务器200，并从存储装置12删除该快照。

(冲击对应处理)

图7是在对汽车100施加大的冲击时执行的处理(冲击对应处理)的流程图。例如，通过由车载服务器10的CPU11执行预定的程序，实现图7的处理。在一个实现例中，CPU11根据从行驶控制装置30接收到表示对汽车100施加了一定的阈值以上的冲击的通知，开始图7的处理。行驶控制装置30的CPU31既可以根据加速度传感器37的检测输出来判断是否对汽车100施加了一定的阈值以上的冲击，并且，也可以在判断为被施加了该冲击时向车载服务器10发送上述通知。

也可以在用户乘坐汽车100的期间中，在被施加上述冲击时开始图7的处理。用户乘坐于汽车100的期间的一个例子是从图5的步骤S112的上锁至图6的步骤S220的开锁的期间。

参照图7，在步骤SA10中，CPU11使门锁44对门120进行开锁。

图7的步骤SA12～SA14的控制与图6的步骤S208～S216的控制相当。

即，在步骤SA12中，CPU11与步骤S208同样地，取得车内信息。

在步骤SA14中，CPU11与步骤S210同样地，生成作业数据的快照。

在步骤SA16中，CPU11与步骤S212同样地，在车载服务器10以及各设备中删除车内信息。

在步骤SA18中，CPU11与步骤S214同样地，将在步骤S302中生成的快照发送给管理服务器200。

在步骤SA20中，CPU11与步骤S216同样地，删除储存于车载服务器10的存储装置12的快照。

在步骤SA22中，CPU11对汽车100内的用户通知该用户在汽车100中利用的数据被删除，结束图7的处理。例如，该用户的地址，也可以作为邮件地址而包含在该用户的“确定信息”中。

[4.数据管理处理]

在图6的下车处理中，CPU11在用户下车时，一并生成作业数据(快照)，发送给管理服务器200。另一方面，CPU11也可以按照一定时间而生成作业数据，并发送给管理服务器200。

图8是用于按照一定时间生成作业数据并发送给管理服务器200的处理(数据管理处理)的流程图。例如，通过由车载服务器10的CPU11执行预定的程序，实现图8的处理。在一个实现例中，CPU11在从检测到用户乘坐汽车100至检测到下车的期间，持续地执行数据管理处理。

参照图8，在步骤S300中，CPU11判断从上次执行步骤S300的控制起是否经过了一定时间。此外，在最初执行步骤S300的控制的情况下，CPU11在步骤S300中判断从开始数据管理处理起是否经过了一定时间。CPU11使控制留在步骤S300，直至判断为经过一定时间为止(在步骤S300中“否”)。CPU11在判断为经过一定时间时(在步骤S300中“是”)，使控制进入到步骤S302。

在步骤S302中，CPU11生成用户的作业日志。作业日志是作业数据的一个例子。作业日志既可以是车载服务器10中的作业日志，也可以是汽车100内的设备(MFP20、行驶控制装置30、计算机50等)的作业日志，还可以是这两方。作业日志也可以由各设备生成。CPU11也可以从各设备取得作业日志，而不是生成各设备的作业日志。CPU11将生成或者取得的作业日志储存到存储装置12。

在步骤S304中，CPU11将在步骤S302中生成(或者取得)的作业日志发送给管理服务器200。CPU11也可以对该作业日志进行压缩和/或加密并发送给管理服务器200。

在步骤S306中，CPU11判断步骤S304中的作业日志的发送是否失败。例如在从步骤S304中的发送起的预定的时间内从管理服务器200接收到表示作业日志的发送正常进行的数据的情况下，CPU11判断为作业日志的发送成功，在未接收到该数据的情况下，判断为作业日志的发送失败。CPU11在判断为作业日志的发送失败时(在步骤S306中“是”)，使控制进入到步骤S308，在判断为成功时(在步骤S306中“否”)，使控制进入到步骤S310。

在步骤S308中，CPU11将作业日志发送到乘坐汽车100的用户。CPU11也可以对该作业日志进行压缩和/或加密并发送给用户。例如，该用户的地址，也可以作为邮件地址而包含在用户的“确定信息”中。

在步骤S310中，CPU11在删除储存于存储装置12的作业日志之后，使控制返回到步骤S300。

在以上说明的数据管理处理中，能够定期地将作业日志登记到管理服务器200。

此外，在步骤S310中的作业日志的发送失败的情况下，CPU11也可以使控制返回到步骤S300，直至用户下车为止。在用户下车时，在存在对管理服务器200和用户都无法发送的作业日志的情况下，CPU11也可以在用户下车后仍保持该作业日志。在该情况下，CPU11反复尝试将该作业日志发送给用户。以向用户发送该作业日志成功为条件，CPU11从存储装置12删除作业日志。由此，即使在用户在通信环境差的场所从汽车100下车的情况下，也能够对用户可靠地提供用户即将下车之前的作业日志。用户通过利用登记于管理服务器200的作业日志、和发送给用户(发往用户的邮件地址)的作业日志，能够恢复在汽车100中进行的作业的状态。

在图8的数据管理处理中，步骤S300中的判断基准仅仅是一个例子。步骤S302以后的控制也可以并非按照一定期间执行。即，CPU11只要一定的条件成立就生成作业日志，一定的条件不限于经过一定时间。

例如，也可以以用户对车载服务器10输入作业日志的生成指示为条件，执行步骤S302以后的控制。在该情况下，在步骤S300中，CPU11判断是否被输入上述指示，在判断为被输入该指示时，使控制进入到步骤S302。用户例如能够经由输入装置52而向车载服务器10输入上述指示。

[5.变形例(1)]

图9是图6的下车处理的第1变形例的流程图。在图9的下车处理中，CPU11与图6的下车处理同样地，执行步骤S200～S212的控制，在步骤S212的控制之后，使控制进入到步骤S220。

在步骤S220中，CPU11使门锁44对门120进行开锁，使控制进入到步骤S230。

在步骤S230中，CPU11判断从开始下车处理起是否经过了一定时间，并使控制留在步骤S230，直至判断为经过一定时间为止(在步骤S230中“否”)。CPU11在判断为经过一定时间时(在步骤S230中“是”)，使控制进入到步骤S240。

在步骤S240中，CPU11将在步骤S210中生成的快照发送给管理服务器200。

在步骤S242中，CPU11删除储存于车载服务器10的存储装置12的快照。

在步骤S244中，CPU11对下车的用户通知该用户在汽车100中利用的数据被删除，结束图9的处理。

以上，在参照图9说明的下车处理中，CPU11在从检测到用户的下车起经过一定时间之后，将快照发送给管理服务器200，并删除快照。

[6.变形例(2)]

图10是图6的下车处理的第2变形例的流程图。图10的下车处理不包括图9的下车处理的步骤S230而包括步骤S232。

在步骤S232中，CPU11判断从汽车100下车的用户是否存在于从汽车100起的一定距离内。在一个实现例中，在步骤S232中的判断中利用信标接收机47。

更具体而言，CPU11判断信标接收机47是否接收到从乘坐汽车100的用户的终端90输出的信标。用于确定从用户的终端90输出的信标的信息例如包含于该用户的“确定信息”。

在信标接收机47接收到上述信标的情况下，CPU11判断为从汽车100下车的用户存在于从汽车100起的一定距离内。在信标接收机47未接收到上述信标的情况下，CPU11判断为从汽车100下车的用户不存在于从汽车100起的一定距离内。

CPU11在判断为用户存在于从汽车100起的一定距离内的情况下(在步骤S232中“是”)，反复进行步骤S232的控制。CPU11在判断为用户不存在于从汽车100起的一定距离内时(在步骤S232中“否”)，使控制进入到步骤S240。

之后，CPU11与图9的下车处理同样地，执行步骤S240以后的控制。

以上，在参照图10说明的下车处理中，CPU11在从汽车下车的用户远离汽车100(不存在于从汽车100起的一定距离内)的情况下，将快照发送给管理服务器200，并删除快照。

[7.变形例(3)]

图11是图6的下车处理的第3变形例的流程图。图11的下车处理不包括图9的下车处理的步骤S230而包括步骤S234。

在步骤S234中，CPU11判断从汽车100下车的用户是否包含于由车载照相机46拍摄到的图像中。在一个实现例中，CPU11利用在步骤S104中拍摄到的用户的整体图像，判断是否包含于车载照相机46拍摄的图像中。

CPU11在判断为从汽车100下车的用户包含于由车载照相机46拍摄的图像的情况下(在步骤S234中“是”)，反复进行步骤S234的控制。每次反复进行步骤S234的控制时，CPU11从车载照相机46取得最新的拍摄图像。CPU11在判断为从汽车100下车的用户未包含于由车载照相机46拍摄的图像时(在步骤S234中“否”)，使控制进入到步骤S240。

之后，CPU11与图9的下车处理同样地，执行步骤S240以后的控制。

以上，在参照图11说明的下车处理中，CPU11在从汽车下车的用户离汽车100足够远(未包含于由车载照相机46拍摄的图像)的情况下，将快照发送给管理服务器200，并删除快照。

[8.在汽车100内提供的环境的变形例]

车载服务器10的CPU11也可以在虚拟OS上执行快照的生成(步骤S210)以及作业日志的生成(步骤S302)。CPU11也可以在用户下车后，删除快照并且删除虚拟OS。

车载服务器10也可以从管理服务器200提供还包括虚拟OS环境在内的虚拟化程序。在该情况下，例如，在步骤S106中由CPU11取得的确定信息中包括虚拟化程序。CPU11也可以在用户下车后，删除快照，并且删除虚拟OS。

[9.附记]

在以上说明的信息处理系统中，能够设想各种变更。例如，MFP20能够与车载服务器10一体设置。通过将这样的MFP20搭载于移动体，在该移动体作为移动办公室发挥功能时，能够节省该移动体的内部空间。

在信息处理系统中，计算机50也可以与车载服务器10一体设置。

本次公开的各实施方式在所有点都仅为例示而不应认为是限定性的。本发明的范围并非由上述说明而是由权利要求书示出，意图包括与权利要求书同等含义以及范围内的所有变更。另外，在实施方式以及各变形例中说明的发明，只要可能，则既能够单独实施也能够组合实施。