JP2010234829A - 列車制御システム及び列車制御方法 - Google Patents

Abstract

【課題】悪意者のなりすまし、通信妨害等の対策がなされた高セキュリティな列車制御システム等を提供する。
【解決手段】地上装置１５に対する通信予約処理では、車上装置１１の通信予約手段６２が、地上装置１５に対して通信予約を要求する。車上装置１１の通信予約手段６２は、運行情報データベース６５を参照し、それぞれの地上装置１５に到達する時間を予測して、所定の時間内に到達する地上装置１５に対して通信予約を要求する。地上装置１５の通信予約受付手段７１は、車上装置１１の通信予約を受け付ける。地上装置１５の通信可否判定手段７２は、通信予約を行った車上装置１１の通信許可情報を所定の時間まで有効とみなし、車上装置１１の通信可否を判定する。また、車上装置１１の通信予約手段６２は、列車運行の支障により地上装置１５に到着する時間が遅れる場合、再び通信予約を行う。
【選択図】図５

Description

本発明は、地上と車上との間の無線通信によって列車を制御する列車制御システム及び列車制御方法に関するものである。

現在運用されている列車制御システムは、レールと車輪で構成される電気回路（軌道回路）を用いて、リレー動作によって列車の在線位置の検出や現場機器の制御を行っている。また、無線によって同様の制御を行うことを目的とするシステムとして、ＣＡＲＡＴ（Ｃｏｍｐｕｔｅｒ Ａｎｄ Ｒａｄｉｏ Ｔｒａｉｎ ｃｏｎｔｒｏｌ ｓｙｓｔｅｍ）がある（特許文献１参照）。

特開２００７−１５５１７号公報

しかしながら、ＣＡＲＡＴの開発以降、携帯電話や無線ＬＡＮ（Ｌｏｃａｌ Ａｒｅａ Ｎｅｔｗｏｒｋ）が普及し、無線通信は当初の想定を超えて幅広い分野で利用され、セキュリティに関する多くの問題が指摘されている。従って、無線通信の汎用規格（例えば、ＩＥＥＥ８０１．１１等）を列車制御システムに利用する場合、更なるセキュリティの確保が必要となる。
特に、列車制御システムでは、悪意者のなりすまし、通信妨害によって列車の安全な運行が妨げられることがあってはならない。

本発明は、前述した問題点に鑑みてなされたもので、その目的とすることは、悪意者のなりすまし、通信妨害等の対策がなされた高セキュリティな列車制御システム等を提供することである。

前述した目的を達成するために第１の発明は、列車に搭載される車上装置と線路に沿って配置される地上装置が無線通信路である第１通信路を介して通信を行い、前記地上装置と中央管理装置が前記第１通信路と異なる第２通信路を介して通信を行うことによって前記列車を制御する列車制御システムであって、前記車上装置は、自らを証明するための証明書と、前記証明書を用いて前記中央管理装置に認証要求を行う認証要求手段と、前記地上装置との無線通信が許可されたことを示す前記列車ごとの通信許可情報を用いて、前記地上装置に対して通信予約を行う通信予約手段と、を具備し、前記中央管理装置は、前記証明書が登録されている証明書データベースと、前記車上装置からの認証要求に応じて、提示された証明書が前記証明書データベースに存在するかを確認し、存在する場合には前記車上装置に前記通信許可情報を送信する認証手段と、を具備し、前記地上装置は、前記車上装置からの通信予約を受け付ける通信予約受付手段と、通信予約を行った前記車上装置の前記通信許可情報を所定の時間まで有効とみなし、前記車上装置の通信可否を判定する通信可否判定手段と、を具備することを特徴とする列車制御システムである。

第１の発明の列車制御システムを攻撃する悪意者は、時間的な制約と空間的な制約の両方を受けるので、第１の発明の列車制御システムは外部からの攻撃耐性が極めて高い。

第１の発明において、前記中央管理装置は、制御コードの符号化用鍵を前記地上装置に送信する手段と、外部からの攻撃を検知すると、前記地上装置に前記制御コードの符号化を指示するリスク管理手段と、を更に具備し、前記地上装置は、前記中央管理装置から送信される前記符号化用鍵から部分鍵を生成し、前記制御コードの符号化指示と合わせて前記車上装置に伝達する符号化用部分鍵伝達手段、を更に具備し、前記車上装置は、複数の前記地上装置から前記部分鍵を受信して前記符号化用鍵を生成し、前記制御コードの符号化を行う符号化手段、を更に具備することが望ましい。
これによって、仮に汎用的な規格によって行われる暗号化が解析されたとしても、セキュリティを保つことができる。

第１の発明において、前記地上装置は、定期的に隣接する他の前記地上装置との間で、一方が要求側、他方が応答側となり、前記第１通信路と前記第２通信路の両方で乱数または乱数に基づくデータの送受信を行い、前記第１通信路の支障と前記地上装置の故障とを区別して通信路支障を検知する通信路支障検知手段、を更に具備することが望ましい。
これによって、攻撃者に攻撃の糸口を与えず、無線通信の支障を正確に行うことができる。

第１の発明において、前記中央管理装置は、前記地上装置が保持する通信予約の情報に含まれる前記通信許可情報から前記列車を識別し、予約された前記地上装置の範囲を前記列車ごとに取得することで、前記列車の在線位置を把握する在線位置管理手段、を更に具備することが望ましい。
これによって、中央管理装置は、従来の無線列車制御と比べてより正確な在線位置の管理を行うことができる。

第１の発明において、前記車上装置は、運転曲線、路線情報、前記地上装置の位置情報、前記列車の在線位置情報、保安装置の位置情報および遮断情報を含む運行情報データベース、を更に具備し、前記通信予約手段は、前記運行情報データベースを参照し、前記所定の時間内に到達する前記地上装置に対して通信予約を行うものである。
また、前記通信予約手段は、所定の時間間隔で処理を繰り返し、前記列車が通過した前記地上装置に対する予約、または前記所定の時間までに到達できなくなった前記地上装置に対する予約を解放するものである。

第１の発明において、前記リスク管理手段は、前記符号化用鍵を周期的に更新することが望ましい。
これによって、鍵の保持制約をなくすことができる。

第１の発明において、前記通信路支障検知手段は、前記要求側が前記第２通信路を介して前記乱数を前記応答側に送信し、前記応答側が前記乱数に基づいて待機時間を算出し、前記応答側が前記待機時間の経過後に前記乱数に基づくデータを前記要求側に送信することが望ましい。
これによって、外部からは確認周期が推測されることはない。また、待機時間を導入することで、通信予約処理において予約のタイムアウトを計測するためのタイマーの動作検証も可能となる。

第２の発明は、列車に搭載される車上装置と線路に沿って配置される地上装置が無線通信路である第１通信路を介して通信を行い、前記地上装置と中央管理装置が前記第１通信路と異なる第２通信路を介して通信を行うことによって前記列車を制御する列車制御方法であって、前記車上装置が、自らを証明するための証明書を用いて前記中央管理装置に認証要求を行う認証要求ステップと、前記中央管理装置が、前記車上装置からの認証要求に応じて、前記証明書が登録されている証明書データベースを参照し、提示された前記証明書が前記証明書データベースに存在するかを確認し、存在する場合には、前記地上装置との無線通信が許可されたことを示す列車ごとの通信許可情報を前記車上装置に送信する認証ステップと、前記車上装置が、前記通信許可情報を用いて、前記地上装置に対して通信予約を行う通信予約ステップと、前記地上装置が、前記車上装置からの通信予約を受け付ける通信予約受付ステップと、前記地上装置が、通信予約を行った前記車上装置の前記通信許可情報を所定の時間まで有効とみなし、前記車上装置の通信可否を判定する通信可否判定ステップと、を含むことを特徴とする列車制御方法である。

本発明により、悪意者のなりすまし、通信妨害等の対策がなされた高セキュリティな列車制御システム等を提供することができる。

列車制御システム１の全体構成を示す図 車上装置１１のハードウェア構成を示す図 管理装置１３（地上装置１５）のハードウェア構成を示す図 中央管理装置１７のハードウェア構成を示す図 車上装置１１の機能構成を示す図 地上装置１５の機能構成を示す図 中央管理装置１７の機能構成を示す図 停止限界を説明するための図 運転曲線を説明するための図 予約限界を説明するための図 停止位置を説明するための図 通信予約と停止限界が独立している場合の通信予約処理の詳細を示すフローチャート 通信予約と停止限界が独立している場合の通信予約処理の詳細を示すフローチャート（続き） 通信予約と停止限界がリンクしている場合の通信予約処理の詳細を示すフローチャート 通信予約と停止限界がリンクしている場合の通信予約処理の詳細を示すフローチャート（続き） 制御コードの符号化に用いる鍵の配布を説明するための図 制御コードの符号化の実行を説明するための図 符号化処理における中央管理装置１７と地上装置１５の動作の詳細を示すフローチャート 符号化処理における車上装置１１と地上装置１５の動作の詳細を示すフローチャート 通信路支障の検知処理の詳細を示すフローチャート 要求側の支障判定を示すフローチャート 応答側の支障判定を示すフローチャート 正常度判定値を用いた場合の要求側の動作を示すフローチャート 正常度判定値を用いた場合の応答側の動作を示すフローチャート 本実施形態の在線位置把握処理を説明する図 従来技術と本実施形態の在線位置把握処理の違いを説明する図 正常に運行している場合の在線位置把握を説明する図 運行が支障している場合の在線位置把握を説明する図 列車が通信不能になった場合の在線位置把握を説明する図

以下図面に基づいて、本発明の実施形態を詳細に説明する。

＜列車制御システム１の構成＞
図１を参照しながら、列車制御システム１の全体構成について説明する。
図１は、列車制御システム１の全体構成を示す図である。図１に示すように、列車制御システム１は、列車３に配置される車上装置１１、駅５に配置される管理装置１３、線路に沿って配置される地上装置１５、中央管理室７に配置される中央管理装置１７等から構成される。

車上装置１１は、無線通信路１９を介して、地上装置１５と通信を行う。車上装置１１は、中央管理装置１７からの指示に従って列車３の各種機器を制御するとともに、列車３の運行管理に必要な情報を中央管理装置１７に送信する。車上装置１１は、移動とともに通信を行う地上装置１５を変更する。
管理装置１３は、無線通信路１９、有線通信路２１を介して、地上装置１５と通信を行う。また、管理装置１３は、有線通信路２１、ネットワーク９を介して、中央管理装置１７と通信を行う。管理装置１３は、周辺に配置されている複数の地上装置１５を統括して管理する。
地上装置１５は、無線通信路１９を介して、車上装置１１と通信を行う。また、地上装置１５は、無線通信路１９、有線通信路２１を介して、他の地上装置１５、管理装置１３と通信を行う。地上装置１５は、車上装置１１が中央管理装置１７とデータの送受信を行う為のアクセスポイントの役割を果たす。
中央管理装置１７は、有線通信路２１、ネットワーク９を介して、管理装置１３と通信を行う。中央管理装置１７は、複数の管理装置１３と通信を行い、全ての列車３の運行管理を行う。
尚、有線通信路２１は、通信傍受ができない安全な通信路であれば良く、有線に限定されない。以下では、安全な通信路は、有線通信路２１によって構成されるものとして説明する。

次に、図２から図４を参照しながら、各装置のハードウェア構成について説明する。
図２は、車上装置１１のハードウェア構成を示す図である。図２に示すように、車上装置１１は、制御部３１、記憶部３２、無線通信部３３等から構成される。尚、図２のハードウェア構成は一例であり、用途、目的に応じて様々な構成を採ることが可能である。

制御部３１は、ＣＰＵ（Ｃｅｎｔｒａｌ Ｐｒｏｃｅｓｓｉｎｇ Ｕｎｉｔ）、ＲＯＭ（Ｒｅａｄ Ｏｎｌｙ Ｍｅｍｏｒｙ）、ＲＡＭ（Ｒａｎｄｏｍ Ａｃｃｅｓｓ Ｍｅｍｏｒｙ）等で構成される。ＣＰＵは、記憶部３２、ＲＯＭ等に格納されるプログラムをＲＡＭ上のワークメモリ領域に呼び出して実行し、各装置を駆動制御し、車上装置１１が行う後述する処理を実現する。
ＲＯＭは、不揮発性メモリであり、コンピュータのブートプログラムやＢＩＯＳ等のプログラム、データ等を恒久的に保持している。
ＲＡＭは、揮発性メモリであり、記憶部３２、ＲＯＭ等からロードしたプログラム、データ等を一時的に保持するとともに、制御部３１が各種処理を行う為に使用するワークエリアを備える。

記憶部３２は、例えばＨＤＤ（ハードディスクドライブ）であり、制御部３１が実行するプログラム、プログラム実行に必要なデータ等が格納される。プログラムに関しては、後述する処理を車上装置１１に実行させるためのアプリケーションプログラムが格納されている。
これらの各プログラムコードは、制御部３１により必要に応じて読み出されてＲＡＭに移され、ＣＰＵに読み出されて各種の手段として実行される。

無線通信部３３は、所定の規格を用いて無線通信を行う。無線通信部３３は、例えば、ＩＥＥＥ８０２．１１ｉを用いることにより、ＥＡＰ−ＴＬＳ（Ｅｘｔｅｎｓｉｂｌｅ Ａｕｔｈｅｎｔｉｃａｔｉｏｎ Ｐｒｏｔｏｃｏｌ−Ｔｒａｎｓｐｏｒｔ Ｌａｙｅｒ Ｓｅｃｕｒｉｔｙ）によって、車上装置１１と中央管理装置１７（または管理装置１３）との間の相互認証、ＡＥＳ（Ａｄｖａｎｃｅｄ Ｅｎｃｒｙｐｔｉｏｎ Ｓｔａｎｄａｒｄ）暗号による送受信データの秘匿化を行う。

図３は、管理装置１３（地上装置１５）のハードウェア構成を示す図である。図３に示すように、管理装置１３（地上装置１５）は、制御部４１、記憶部４２、無線通信部４３、有線通信部４４等から構成される。尚、図３のハードウェア構成は一例であり、用途、目的に応じて様々な構成を採ることが可能である。制御部４１、記憶部４２、無線通信部４３は、図２と同様であるため説明を省略する。
有線通信部４４は、所定の規格を用いて有線通信を行う。有線通信部４４は、通信傍受ができない安全な有線通信路を用いる。

図４は、中央管理装置１７のハードウェア構成を示す図である。図４に示すように、中央管理装置１７は、制御部５１、記憶部５２、有線通信部５３等から構成される。尚、図４のハードウェア構成は一例であり、用途、目的に応じて様々な構成を採ることが可能である。制御部５１、記憶部５２、有線通信部５３は、図２、図３と同様であるため説明を省略する。

＜列車制御システム１の処理概要＞
次に、図５から図７を参照しながら、各装置の機能構成と列車制御システム１が行う処理の概要について説明する。
図５は、車上装置１１の機能構成を示す図である。図５に示すように、車上装置１１は、認証要求手段６１、通信予約手段６２、符号化手段６３、証明書６４、運行情報データベース６５等を備える。
図６は、地上装置１５の機能構成を示す図である。図６に示すように、地上装置１５は、通信予約受付手段７１、通信可否判定手段７２、符号伝達手段７３、通信路支障検知手段７４等を備える。
図７は、中央管理装置１７の機能構成を示す図である。図７に示すように、中央管理装置１７は、認証手段８１、在線位置管理手段８２、リスク管理手段８３、証明書データベース８４等を備える。
尚、図７に示す一部の機能は、管理装置１３が備えても良い。例えば、管理装置１３が認証手段８１、証明書データベース８４等を備えて、車上装置１１を認証するようにしても良い。以下では、混乱を避けるため、中央管理装置１７が図７に示す機能を備えるものとして説明する。

列車制御システム１は、地上車上間の無線通信を安全に行うとともに、正確な在線位置管理を行う為、下記の処理を行う。
（１）車上装置１１と中央管理装置１７との相互認証処理
（２）地上装置１５に対する通信予約処理
（３）攻撃検知時における符号化処理
（４）通信路支障の検知処理
（５）通信予約を用いた在線位置把握処理

ＩＥＥＥ８０２．１１ｉ（ＥＡＰ）では、ＩＥＥＥ８０２．１Ｘに基づく証明書認証を行う。これを列車制御に適用した場合の手順を示す。

（１）車上装置１１と中央管理装置１７との相互認証処理では、車上装置１１の認証要求手段６１が、記憶部３２に保持する証明書６４を用いて認証要求を行う。この認証要求手段は、ＩＥＥＥ８０２．１ＸおよびＲＡＤＩＵＳ（Ｒｅｍｏｔｅ Ａｕｔｈｅｎｔｉｃａｔｉｏｎ Ｄｉａｌ Ｉｎ Ｕｓｅｒ Ｓｅｒｖｉｃｅ）に従い、ここでは認証装置である中央管理装置１７に要求が行われるものとする。
中央管理装置１７の認証手段８１は、認証要求をした車上装置１１について、記憶部５２に保持する証明書データベース８４に該当する証明書６４が存在し、かつその線区を走る諸条件を満たすことを確認し、車上装置１１の認証を行う。
車上装置１１及び地上装置１５は、認証により通信確立用の鍵（ＰＭＫ：Ｐａｉｒｗｉｓｅ Ｍａｓｔｅｒ Ｋｅｙ）を得る。この通信確立用の鍵によって通信セッション鍵（ＰＴＫ：Ｐａｉｒｗｉｓｅ Ｔｒａｎｓｉｅｎｔ Ｋｅｙ）を暗号化して配信する。通信確立用の鍵は、以下の説明で通信許可情報（車上装置１１と地上装置１５の間の無線通信の許可情報）として扱う。通信セッション鍵は、通信鍵（車上装置１１と地上装置１５の間の、通信伝文を暗号化する秘匿化情報）として扱う。中央管理装置１７の記憶部５２には、車上装置１１を認証したログ情報が記録され、このログは中央管理装置１７が管理する線区内に車上装置１１が設置された列車が在線することを示す最もプリミティブな在線位置情報として扱う。

相互認証処理には煩雑な通信と複雑な公開鍵暗号の復号処理が伴う為、高速ローミング用にＩＥＥＥ８０２．１１ｒ規格が定められている。移動体側が現在通信を確立している装置に対して、次に通信確立すると予想される装置へ通信許可情報を配信するよう指示することによりハンドオーバー時の相互認証を省略することができる。
列車制御においてこれを適用すると、地上車上間通信を秘匿化する通信鍵は列車３と地上装置１５の通信セッション毎に生成されるため、総当たり攻撃によって、ある列車３の通信鍵が解読されたとしても他の列車３の通信には支障がない。また、列車３が移動することによって地上装置１５との通信セッションは終了し、それに伴い通信鍵は失効するため、攻撃側に対して空間的な制約を与えることができる。そこで、攻撃側は、通信許可情報の解析を試みると考えられる。通信許可情報の解析に対応するため、列車制御システム１は、（２）地上装置１５に対する通信予約処理を行う。

（２）地上装置１５に対する通信予約処理では、車上装置１１の通信予約手段６２が、地上装置１５に対して通信予約を要求する。車上装置１１の通信予約手段６２は、記憶部３２に保持する運行情報データベース６５を参照し、それぞれの地上装置１５に到達する時間を予測して、所定の時間内に到達する地上装置１５に対して通信予約を要求する。
地上装置１５の通信予約受付手段７１は、車上装置１１の通信予約を受け付ける。地上装置１５の通信可否判定手段７２は、通信予約を行った車上装置１１の通信許可情報を予約された列車到着時間から所定の時間まで（タイムアウトするまで）有効とみなし、車上装置１１の通信可否を判定する。
また、車上装置１１の通信予約手段６２は、列車運行の支障により地上装置１５に到着する時間が遅れる場合、再び通信予約を行う。通信予約処理の詳細は後述する。

通信予約処理によって、攻撃側は空間的な制約だけでなく、時間的な制約を受ける。従って、本実施の形態に係る列車制御システム１は、外部からの攻撃耐性が極めて高いシステムと言える。

（３）攻撃検知時における符号化処理では、中央管理装置１７の在線位置管理手段８２が攻撃を検知する。攻撃側が通信許可情報を完全に解析した場合、システム上に同一列車が同時に複数現れる（正規の車上装置１１と攻撃側の両方が表れる）ことになるので、この状態を外部からの攻撃ありと判断する。中央管理装置１７のリスク管理手段８３は、外部からの攻撃を検知すると、地上装置１５に制御コードの符号化を指示する。
地上装置１５の符号化用鍵伝達手段７３は、秘密分散法によって符号化用鍵を車上装置１１に伝達する。
車上装置１１の符号化手段６３は、制御コードに符号化を行い、地上装置１５と通信を行う。符号化処理の詳細は後述する。

ＤＥＳ（Ｄａｔａ Ｅｎｃｒｙｐｔｉｏｎ Ｓｔａｎｄａｒｄ）やＡＥＳ（Ａｄｖａｎｃｅｄ Ｅｎｃｒｙｐｔｉｏｎ Ｓｔａｎｄａｒｄ）といった所定の規格による暗号方式は、計算機性能の向上とともにいずれ攻撃に有効な時間内に解析される可能性がある。従って、ＡＥＳ等を用いて暗号化を行うデータリンク層、物理層レベルの暗号化のみに依存することは危険である。特に、列車制御用機器は長期間において使用が見込まれるため、更なる対策が必要と考えられる。そこで、本実施の形態に係る列車制御システム１では、攻撃を検知した場合、アプリケーション層レベルの符号化を実行する。これは、鍵の配布と使用方法をシステムとして定めることで、特定の暗号化アルゴリズムに依存しないことを目的とする。これによって、大規模なシステム変更を行うことなく、長期間安全に運用することができる。

（４）通信路支障の検知処理では、地上装置１５の通信路支障検知手段７４が定期的に隣接する地上装置１５との間でデータ（乱数、チェックコード等）の送受信を行う。隣接する２つの地上装置１５は、一方が要求側、他方が応答側となり、無線通信路１９と有線通信路２１の両方でデータの送受信を行うことで、無線通信路１９の支障と地上装置１５の故障とを区別して通信路支障を検知する。通信路支障の検知処理の詳細は後述する。

無線通信路１９の支障を検知するため、隣接する地上装置１５が無線通信路１９を用いて定期的にデータの送受信を行うだけでは、無線通信路１９の支障と地上装置１５の故障とを区別することができない。また、送受信するデータが平文である場合、リプレイ攻撃に利用される危険があり、暗号文である場合、既知平文攻撃を受ける恐れがある。従って、暗号を用いずに無線通信路１９の支障を検知する必要がある。本実施の形態に係る列車制御システム１では、暗号を用いずに無線通信路１９の支障と地上装置１５の故障とを区別して検知することができる。これによって、攻撃者に攻撃の糸口を与えず、無線通信の支障を正確に行うことができる。

（５）通信予約を用いた在線位置把握処理では、中央管理装置１７の在線位置管理手段８２が通信予約の情報を監視し、全ての列車３の在線位置を地上装置１５から取得する。中央管理装置１７の在線位置管理手段８２は、通信予約の情報に含まれる通信許可情報（＝列車３ごとに発行される認証情報）から列車３を識別し、予約された地上装置１５の範囲を列車３ごとに取得することで、在線位置を把握する。在線位置把握処理の詳細は後述する。

通信予約を用いた在線位置把握処理によって、従来の無線列車制御と比べてより正確な在線位置の管理を行うことができる。また、システムが一時的にダウンして在線位置の情報を失った場合も、地上装置１５が保持する通信予約の情報を個別あるいは全体から一斉に取得することで、在線位置の情報を再構築することができる。このとき、中央管理装置１７は、地上装置１５が保持する情報を取得すればよいことから、車上装置１７と直接通信を行う必要はないため、車上装置１１が故障した場合にも対応できる。

＜（２）地上装置１５に対する通信予約処理の詳細＞
まず、図８から図１１を参照しながら、用語の説明を行う。
図８は、停止限界を説明するための図である。列車３ａの停止限界とは、前方を走行する列車３ｂ、保安装置（踏切）（不図示）等によって決まる絶対停止位置のことである。停止限界までは走行許可が与えられているとみなす。列車３ａと列車３ｂの間に保安装置がある場合、保安装置が遮断完了するまでは保安装置の位置が列車３ａの停止限界となる。また、保安装置が遮断完了後は列車３ｂの位置が列車３ａの停止限界となる。列車３ｂの移動に伴い、列車３ａの停止限界も移動する。

図９は、運転曲線を説明するための図である。図９は、Ａ駅からＢ駅までの運転曲線を示している。運転曲線とは、線区での標準的なキロ程を横軸、速度・時間を縦軸とした速度曲線と時間曲線で構成される曲線である。列車３の速度、位置が運転曲線から乖離していなければ、時間曲線に基づいて地上装置１５までの到達予測時間（または到着予測時刻）を導出することができる。また、列車３の速度・位置が運転曲線から乖離していれば、列車３の運行が支障していることが分かる。

図１０は、予約限界を説明するための図である。予約限界とは、通信予約処理において、車上装置１１が予約対象とする地上装置１５の限界を示す位置である。予約限界は、例えば、運転曲線、あるいは列車３の最高速度を用いて、現在時刻から所定の時間（Ｔ秒）経過した後に到達する位置とする。通信予約処理では、列車３の前方に位置する地上装置１５から予約限界までの地上装置１５を予約対象とし、予約対象の地上装置１５の一覧を予約ＡＰ（アクセスポイント）リストとする。以下では、地上装置１５をＡＰ（アクセスポイント）と呼ぶ場合もある。

図１１は、停止位置を説明するための図である。停止位置とは、列車３が通信予約をしている最も遠い地上装置１５の位置である。通信予約処理において、車上装置１１は、予約ＡＰリストに含まれる地上装置１５に対して通信予約を依頼する。このとき、他の列車３が通信予約済みで解放していない場合、通信予約に失敗する。図１１では、予約対象である４つの地上装置１５の中で、４つ目の地上装置１５の通信予約に失敗している。この場合、停止位置は通信予約が成功した３つ目の地上装置１５の位置となり、速度曲線等が修正される。

次に、図１２、図１３を参照しながら、通信予約と停止限界が独立している場合の通信予約処理の詳細について説明する。図１２、図１３は、通信予約と停止限界が独立している場合の通信予約処理の詳細を示すフローチャートである。通信予約処理は所定の時間間隔で実行する。

車上装置１１の制御部３１は、記憶部３２の運行情報データベース６５を参照し、停止限界までのＡＰを抽出し、ＡＰリストを生成し、記憶部３２またはＲＡＭに保持する（Ｓ１０１）。運行情報データベース６５は、運転曲線、路線情報に加えて、地上装置１５の位置情報、列車３の在線位置情報、保安装置の位置情報および遮断情報を含む。運行情報データベース６５は、中央管理装置１７からの情報によって随時更新される。

次に、制御部３１は、現在位置および運転曲線または列車３の最高速度からＴ秒後に到達する位置を算出してＡＰリストの中から予約限界を決定し（Ｓ１０２）、予約ＡＰリストを作成し、記憶部３２またはＲＡＭに保持する（Ｓ１０３）。

次に、制御部３１は、予約ＡＰリストに含まれる全てのＡＰに対して、ループ処理（Ｓ１０４からＳ１１２までの処理）を実行する。ループ処理は、列車３に最も近いＡＰから順に実行する。

ループ処理では、制御部３１は、現在時刻、列車３の現在位置および最新の運転曲線から、対象ＡＰまでの到着予測時刻を算出する（Ｓ１０５）。算出した到着予測時刻は、予約ＡＰリストとともに記憶部３２またはＲＡＭに保持する。

次に、制御部３１は、旧予約ＡＰリストに対象のＡＰが存在するか確認する（Ｓ１０６）。
存在する場合（Ｓ１０６のＹＥＳ）、Ｓ１０７に進む。
存在しない場合（Ｓ１０６のＮＯ）、Ｓ１１０に進む。

Ｓ１０７では、制御部３１は、旧予約ＡＰリストの到着予測時刻とＳ１０５で算出した到着予測時刻が同じかどうか確認する。
同じである場合（Ｓ１０７のＹＥＳ）、制御部３１は、旧予約ＡＰリストの情報を予約ＡＰリストにコピーする（Ｓ１０８）。
同じでない場合（Ｓ１０７のＮＯ）、制御部３１は、再予約を行う（Ｓ１０９）。再予約では自らが対象のＡＰを予約中であるため、予約に失敗することはなく、算出した到着予測時刻に基づいてタイムアウト時間が更新される。尚、タイムアウト時間は通信予約処理を繰り返す所定の時間よりも十分に長いため、通信が正常である限りタイムアウトになって予約が破棄されることはない。
いずれの場合であっても、制御部３１は、次のＡＰに対してループ処理を繰り返す。全てのＡＰに対して処理が終了したら、制御部３１は、Ｓ１１３に進む。

Ｓ１１０では、制御部３１は、対象のＡＰに通信予約を行うため、近接の地上装置１５と通信を行い、通信予約を要求する（Ｓ１１０）。近接の地上装置１５の制御部４１は、対象のＡＰと通信を行い、通信予約が可能かどうかを問い合わせ、結果を車上装置１１に送信する。
予約が成功した場合（Ｓ１１１のＹＥＳ）、制御部３１は、次のＡＰに対してループ処理を繰り返す。全てのＡＰに対して処理が終了したら、制御部３１は、Ｓ１１３に進む。
予約が失敗した場合（Ｓ１１１のＮＯ）、制御部３１は、ループ処理を抜けて、Ｓ１１４に進む。予約が失敗する場合とは、他の車上装置１１が予約済で解放していない場合である。

Ｓ１１３では、制御部３１は、予約ＡＰリストの最終ＡＰを停止位置とする。
一方、Ｓ１１４では、制御部３１は、Ｓ１１０で予約が失敗したＡＰより一つ手前のＡＰを停止位置とする。

次に、制御部３１は、旧予約ＡＰリストの過剰な予約を解放する（Ｓ１１５）。旧予約ＡＰリストの過剰な予約とは、列車３が通過したＡＰに対する予約、または所定の時間までに到達できなくなったＡＰに対する予約である。制御部３１は、近接の地上装置１５と通信を行い、予約解放を要求する。近接の地上装置１５の制御部４１は、自分よりも手前のＡＰである地上装置１５と通信を行い、予約解放を指示する。また、近接の地上装置１５の制御部４１は、停止位置よりも奥のＡＰである地上装置１５と通信を行い、予約解放を指示する。
次に、制御部３１は、予約ＡＰリストを旧予約ＡＰリストに切り替えて（Ｓ１１６）、処理を終了する。

以上のとおり、車上装置１１はＴ秒後までに到達予定のＡＰに対して通信予約を行う。通信予約を受け付けたＡＰである地上装置１５は、通信予約がタイムアウトするまでの間、対象の車上装置１１からのアクセスのみを認める。車上装置１１は、停止位置までは地上装置１５との無線通信が可能である。

次に、図１４、図１５を参照しながら、通信予約と停止限界がリンクしている場合の通信予約処理の詳細について説明する。図１４、図１５は、通信予約と停止限界がリンクしている場合の通信予約処理の詳細を示すフローチャートである。通信予約処理は所定の時間間隔で実行する。

車上装置１１の制御部３１は、記憶部３２の運行情報データベース６５を参照し、運転曲線または列車３の最高速度から、Ｔ秒後に到達する位置を算出して予約限界を決定し（Ｓ２０１）、予約ＡＰリストを作成し、記憶部３２またはＲＡＭに保持する（Ｓ２０２）。
次に、制御部３１は、予約ＡＰリストに含まれる全てのＡＰに対して、ループ処理（Ｓ２０３からＳ２１２までの処理）を実行する。ループ処理は、列車３に最も近いＡＰから順に実行する。

ループ処理では、制御部３１は、現在時刻、列車３の現在位置および最新の運転曲線から、対象ＡＰまでの到着予測時刻を算出する（Ｓ２０４）。算出した到着予測時刻は、予約ＡＰリストとともに記憶部３２またはＲＡＭに保持する。

次に、制御部３１は、旧予約ＡＰリストに対象のＡＰが存在するか確認する（Ｓ２０５）。
存在する場合（Ｓ２０５のＹＥＳ）、Ｓ２０６に進む。
存在しない場合（Ｓ２０５のＮＯ）、Ｓ２０９に進む。

Ｓ２０６では、制御部３１は、旧予約ＡＰリストの到着予測時刻とＳ２０４で算出した到着予測時刻が同じかどうか確認する。
同じである場合（Ｓ２０６のＹＥＳ）、制御部３１は、旧予約ＡＰリストの情報を予約ＡＰリストにコピーする（Ｓ２０７）。
同じでない場合（Ｓ２０６のＮＯ）、制御部３１は、再予約を行う（Ｓ２０８）。
いずれの場合であっても、制御部３１は、次のＡＰに対してループ処理を繰り返す。全てのＡＰに対して処理が終了したら、制御部３１は、Ｓ２１３に進む。

Ｓ２０９では、制御部３１は、対象のＡＰに通信予約を行うため、近接の地上装置１５と通信を行い、通信予約を要求する（Ｓ２０９）。近接の地上装置１５の制御部４１は、対象のＡＰと通信を行い、通信予約が可能かどうかを問い合わせ、結果を車上装置１１に送信する。
予約が成功した場合（Ｓ２１０のＹＥＳ）、制御部３１は、予約が成功したＡＰを停止限界とし（Ｓ２１１）、次のＡＰに対してループ処理を繰り返す。全てのＡＰに対して処理が終了したら、制御部３１は、Ｓ２１３に進む。
予約が失敗した場合（Ｓ２１０のＮＯ）、制御部３１は、ループ処理を抜けて、Ｓ２１３に進む。

Ｓ２１３では、制御部３１は、旧予約ＡＰリストの過剰な予約を解放する。
次に、制御部３１は、予約ＡＰリストを旧予約ＡＰリストに切り替えて（Ｓ２１４）、処理を終了する。

以上のとおり、車上装置１１はＴ秒後までに到達予定のＡＰに対して通信予約を行う。通信予約を受け付けたＡＰである地上装置１５は、通信予約がタイムアウトするまでの間、対象の車上装置１１からのアクセスのみを認める。車上装置１１は、停止限界までは走行が許可されるとともに、地上装置１５との無線通信が可能である。

＜（３）攻撃検知時における符号化処理の詳細＞
図１６は、制御コードの符号化に用いる鍵の配布を説明するための図である。図１６に示すように、中央管理装置１７は、制御コードの符号化に用いる鍵Ａを地上装置１５ａ、１５ｂ、１５ｃに一斉に配布する。地上装置１５ａは、配布された鍵Ａから部分鍵ａを生成し、車上装置１１に部分鍵ａを配布する。車上装置１１が地上装置１５ｂの位置に移動すると、地上装置１５ｂは、配布された鍵Ａから部分鍵ｂを生成し、車上装置１１に部分鍵ｂを配布する。車上装置１１が地上装置１５ｃの位置に移動すると、地上装置１５ｃは、配布された鍵Ａから部分鍵ｃを生成し、車上装置１１に部分鍵ｃを配布する。車上装置１１は、部分鍵ａ、ｂ、ｃから鍵Ａを生成する。列車制御システム１では、列車３が地上装置１５を順に追って走行する特性に着目し、図１６に示すように、秘密分散法を用いて制御コードの符号化に用いる鍵を配布する。これによって、一定区間以上線路を走行する列車のみが符号化用の鍵を生成することができる。

図１７は、制御コードの符号化の実行を説明するための図である。図１７に示すように、中央管理装置１７がセキュリティ上の危険（なりすまし、攻撃等）を検知すると、地上装置１５に符号化を指示する。地上装置１５は、車上装置１１から受信する制御コードに符号化を適用し、配布された鍵によって復号する。車上装置１１は、制御コードを符号化し、地上装置１５に送信する。これによって、仮に汎用的な規格によって行われるデータリンク層、物理層レベルの暗号化が解析されたとしても、セキュリティを保つことができる。

図１８は、符号化処理における中央管理装置１７と地上装置１５の動作の詳細を示すフローチャートである。図１８に示す処理は、中央管理装置１７が所定の時間間隔で実行を開始する。

中央管理装置１７の制御部５１は、攻撃検知処理を行う（Ｓ３０１）。攻撃検知処理では、制御部５１は、システム上に同一の列車３が複数存在しないかを在線位置管理手段８２によって確認する。同一の列車３が複数存在する場合、いずれか一方は攻撃側のなりすましである可能性が高い為、攻撃であると検知する。また、制御部５１は、地上装置１５に対するアクセスログを確認し、不正アクセスがあるか確認する。例えば、通信予約されていない地上装置１５にアクセスがあった場合、不正アクセスの可能性が高いため、攻撃であると検知する。

次に、中央管理装置１７の制御部５１は、攻撃ありと判断した場合（Ｓ３０２のＹＥＳ）、地上装置１５に符号化指示を送信する（Ｓ３０３）。地上装置１５の制御部４１は、符号化指示を受信し（Ｓ３０４）、記憶部４２またはＲＡＭに保持する符号化フラグをＯＮにする（Ｓ３０５）。

次に、中央管理装置１７の制御部５１は、鍵の更新周期が経過したと判断した場合（Ｓ３０６のＹＥＳ）、地上装置１５に鍵を配布する（Ｓ３０７）。地上装置１５の制御部４１は、鍵を受信し（Ｓ３０８）、部分鍵を生成して（Ｓ３０９）、記憶部４２またはＲＡＭに保持する。

図１９は、符号化処理における車上装置１１と地上装置１５の動作の詳細を示すフローチャートである。図１９に示す処理は、車上装置１１が地上装置１５に制御コードを送信する場合に実行する。

車上装置１１の制御部３１は、地上装置１５に通信要求を送信する（Ｓ４０１）。地上装置１５の制御部４１は、通信要求を受信し（Ｓ４０２）、要求が正規なものかどうかを確認する（Ｓ４０３）。
要求が正規でない場合（Ｓ４０３のＮＯ）、制御部４１は、中央管理装置１７にアクセスログを送信し（Ｓ４０４）、処理を終了する。要求が正規でない場合とは、例えば、通信予約がされていない場合、または通信予約をした車上装置１１からのアクセスではない場合等である。
要求が正規の場合（Ｓ４０３のＹＥＳ）、制御部４１は、Ｓ４０５に進む。

Ｓ４０５では、地上装置１５の制御部４１は、符号化フラグと部分鍵を車上装置１１に送信する（Ｓ４０５）。車上装置１１の制御部３１は、符号化フラグと部分鍵を受信し（Ｓ４０６）、既に他の地上装置１５から受信した部分鍵と合わせて、制御コードの符号化を行う鍵を生成する（Ｓ４０７）。

次に、車上装置１１の制御部３１は、地上装置１５を制御するための制御コードを生成し（Ｓ４０８）、符号化指示があるかどうか確認する（Ｓ４０９）。受信した符号化フラグがＯＮの場合には符号化指示あり、ＯＦＦの場合には符号化指示なしと判断する。
符号化指示ありの場合（Ｓ４０９のＹＥＳ）、制御部３１は、制御コードを符号化する（Ｓ４１０）。

次に、車上装置１１の制御部３１は、地上装置１５に制御コードを送信する（Ｓ４１１）。地上装置１５の制御部４１は、制御コードを受信し（Ｓ４１２）、制御コードを復号する（Ｓ４１３）。
制御コードの復号に失敗した場合（Ｓ４１４のＮＯ）、処理を終了する。復号に失敗する場合とは、符号化フラグがＯＮのときに、車上装置１１が制御コードの符号化を実行していない場合、または失効した鍵を用いて符号化を実行している場合などである。
制御コードの復号に成功した場合（Ｓ４１４のＹＥＳ）、地上装置１５の制御部４１は、制御コードを実行し（Ｓ４１４）、処理が完了したことを車上装置１１に通知する（Ｓ４１６）。車上装置１１の制御部３１は、完了通知を受信し（Ｓ４１７）、処理を終了する。

以上のとおり、中央管理装置１７が攻撃を検知すると、地上装置１５に符号化を指示する。符号化に用いる鍵は、中央管理装置１７が地上装置１５に一斉に配布し、地上装置１５は部分鍵を生成し、車上装置１１に伝達する。車上装置１１は、複数の部分鍵から符号化に用いる鍵を生成し、制御コードの符号化を行う。これによって、既存の暗号化が解析された場合であっても、セキュリティを保つことができる。また、複数の地上装置１５が部分鍵を伝達することで、一定区間以上線路を走行する車上装置１１のみが鍵を取得することができる。また、合わせて鍵を周期的に更新することで、鍵の保持制約をなくすことができる。

更に、制御コード長を予め倍ビット確保しておくことが望ましい。例えば、通常は１２８ビットの制御コード長で運用している場合、２倍の２５６ビットの制御コード長を確保しておき、攻撃を検知したときに２倍の制御コード長を利用する。これによって、符号化に対する解析の耐性を暫定的に高めることができる。システムを冗長的に構成しておくことは、運用開始後にシステムの更新を行う必要がないというメリットもある。

＜（４）通信路支障の検知処理の詳細＞
図２０は、通信路支障の検知処理の詳細を示すフローチャートである。通信路支障の検知処理では、隣接する地上装置１５ａと地上装置１５ｂが、一方は要求側、他方は応答側として処理を行う。図２０では、地上装置１５ａが要求側、地上装置１５ｂが応答側の場合を示している。通信路支障の検知処理は、所定の時間間隔で実行する。

要求側である地上装置１５ａの制御部４１は、２つの乱数を生成する（Ｓ５０１）。乱数を生成するシード値には、例えば、前述した符号化処理における鍵を用いても良い。地上装置１５ａの制御部４１は、生成した２つの乱数のＸＯＲ（排他的論理和）を算出し、値が０である場合（Ｓ５０２のＮＯ）、地上装置１５ａの論理回路が故障していると判断し、処理を終了する。
一方、２つの乱数のＸＯＲの値が０でない場合（Ｓ５０２のＹＥＳ）、Ｓ５０３に進む。

Ｓ５０３では、地上装置１５ａの制御部４１は、安全な経路である有線通信路２１を介して、２つの乱数とチェックコードを応答側である地上装置１５ｂに送信する。チェックコードは、例えば、ＣＲＣ（Ｃｙｃｌｉｃ Ｒｅｄｕｎｄａｎｃｙ Ｃｈｅｃｋ）である。
地上装置１５ｂの制御部４１は、２つの乱数とチェックコードを受信し（Ｓ５０４）、受信した２つの乱数からチェックコードを算出する（Ｓ５０５）。そして、地上装置１５ｂの制御部４１は、受信したチェックコードと、算出したチェックコードが一致するかどうかの検証結果を、有線通信路２１を介して地上装置１５ａに送信する（Ｓ５０６）。地上装置１５ｂの制御部４１は、チェックコードが一致する場合はＡＣＫを送信し、不一致の場合はＮＡＣＫを送信する。地上装置１５ａの制御部４１は、チェックコードの検証結果（ＡＣＫまたはＮＡＣＫ）を受信する（Ｓ５０７）。

次に、地上装置１５ｂの制御部４１は、乱数に基づいて待機時間を算出し（Ｓ５０８）、待機時間の経過後に２つの乱数のＸＯＲ(排他的論理和)を、無線通信路１９を介して地上装置１５ａに送信する（Ｓ５０９）。地上装置１５ａの制御部４１は、２つの乱数のＸＯＲを受信し（Ｓ５１０）、支障判定を行い（Ｓ５１１）、処理を終了する。２つの乱数のＸＯＲは、無線通信路１９を介してデータが改ざんされていないことを検証するために送受信する。
ランダムな待機時間の経過後に無線通信路１９を介して通信を行うことで、外部からは確認周期が推測されることはない。また、待機時間を導入することで、通信予約処理において予約のタイムアウトを計測するためのタイマーの動作検証も可能となる。

図２１は、要求側の支障判定を示すフローチャートである。図２１は、Ｓ５１１の支障判定の詳細を示すものである。
図２１に示すように、要求側である地上装置１５ａの制御部４１は、有線通信路２１を介して、Ｓ５０７で受信したチェックコードの検証結果を確認する（Ｓ６０１）。
検証結果の返信がない場合（Ｓ６０１の返信なし）、応答側が故障していると判断する（Ｓ６０２）。
受信した検証結果がＮＡＣＫの場合（Ｓ６０１のＮＡＣＫ）、要求側が故障していると判断する（Ｓ６０３）。
受信した検証結果がＡＣＫの場合（Ｓ６０１のＡＣＫ）、次の判定を行う。

地上装置１５ａの制御部４１は、無線通信路１９を介して、Ｓ５１０で受信した２つの乱数のＸＯＲと、Ｓ５０２で自らが算出した２つの乱数のＸＯＲを比較する（Ｓ６０４）。
ＸＯＲの返信がない場合（Ｓ６０４の返信なし）、無線通信路１９が故障していると判断する（Ｓ６０５）。
ＸＯＲが不一致の場合（Ｓ６０４のＸＯＲ不一致）、応答側が故障していると判断する（Ｓ６０６）。
ＸＯＲが一致の場合（Ｓ６０４のＸＯＲ一致）、全て正常と判断する（Ｓ６０７）。

図２２は、応答側の支障判定を示すフローチャートである。応答側である地上装置１５ｂの制御部４１は、図２２に示すフローチャートに従い、要求側が故障しているか否かのみを判定する。図２２に示す処理は、所定の時間間隔（但し、図２０に示す処理が実行される時間間隔よりも長い。）で実行する。

地上装置１５ｂの制御部４１は、要求側から定期的に伝文があるか確認する（Ｓ７０１）。すなわち、図２０に示す処理が定期的に実行され、Ｓ５０４にて２つの乱数とチェックコードを受信しているかを確認する。
定期的に伝文がない場合（Ｓ７０１のＮＯ）、要求側が故障していると判断する（Ｓ７０２）。
定期的に伝文がある場合（Ｓ７０１のＹＥＳ）、次の判定を行う。

地上装置１５ｂの制御部４１は、Ｓ５０６にて送信するチェックコードの検証結果を確認する（Ｓ７０３）。
チェックコードの検証結果が一致しない場合（Ｓ７０３の不一致）、要求が故障していると判断する（Ｓ７０４）。
チェックコードの検証結果が一致している場合（Ｓ７０３の一致）、次の判定を行う。

地上装置１５ｂの制御部４１は、有線通信路２１を介して、Ｓ５０４にて要求側から受信した２つの乱数のＸＯＲを確認する（Ｓ７０５）。
ＸＯＲの値が０の場合（Ｓ７０５の「＝０」）、要求側が故障していると判断する（Ｓ７０６）。
ＸＯＲの値が０でない場合（Ｓ７０５の「≠０」）、要求側が正常と判断する（Ｓ７０７）。

以上のとおり、隣接する地上装置１５ａと地上装置１５ｂが、一方は要求側、他方は応答側として、有線通信路２１および無線通信路１９を介して、定期的に乱数やチェックコード等を送受信し、支障判定を行う。これによって、暗号を用いずに無線通信路１９の支障と地上装置１５の故障とを区別して検知することができる。

図２０から図２２に示した処理では、一回のデータ送受信の結果のみに基づいて故障判定を行っていたが、複数回の結果に基づいて故障判定を行っても良い。次に説明する図２３と図２４の処理では、正常度判定値を導入して、故障判定を行う。

図２３は、正常度判定値を用いた場合の要求側の動作を示すフローチャートである。
前回の処理から所定の時間が経過すると、要求側である地上装置１５ａの制御部４１は、２つの乱数を生成し（Ｓ８０１）、乱数に基づいて待機時間を算出する（Ｓ８０２）。次に、制御部４１は、有線通信路２１を介して、応答側である地上装置１５ｂに２つの乱数とチェックコードを送信する（Ｓ８０３）。次に、地上装置１５ａの制御部４１は、有線通信路２１を介して応答側から応答があったかどうか確認する（Ｓ８０４）。ここでの応答では、応答側からチェックコードの検証結果が送信される。
有線通信路２１を介して応答側から応答がない場合（Ｓ８０４のＮＯ）、制御部４１は、応答側の正常度判定値を減らし（Ｓ８０５）、Ｓ８１３に進む。
一方、応答がある場合（Ｓ８０４のＹｅｓ）、Ｓ８０６に進む。

Ｓ８０６では、地上装置１５ａの制御部４１は、応答側から受信したチェックコードの検証結果がＡＣＫかどうか確認する。
ＡＣＫでない場合（Ｓ８０６のＮＯ）、Ｓ８０３から繰り返す。
ＡＣＫの場合（Ｓ８０６のＹＥＳ）、Ｓ８０２にて算出した待機時間だけ待機する（Ｓ８０７）。

待機時間が経過すると、地上装置１５ａの制御部４１は、無線通信路１９を介して応答側から応答があったかどうか確認する（Ｓ８０８）。ここでの応答では、応答側から２つの乱数のＸＯＲが送信される。
応答がない場合（Ｓ８０８のＮＯ）、制御部４１は、無線通信路１９の正常度判定値を減らし（Ｓ８０９）、Ｓ８１３に進む。
応答があった場合（Ｓ８０８のＹＥＳ）、Ｓ８１０に進む。

Ｓ８１０では、地上装置１５ａの制御部４１は、無線通信路１９を介して受信した２つの乱数のＸＯＲと、自ら算出した２つの乱数のＸＯＲが一致するか確認する。
一致しない場合（Ｓ８１０のＮＯ）、制御部４１は、応答側の正常度判定値を減らし（Ｓ８１１）、Ｓ８１３に進む。
一致する場合（Ｓ８１０のＹＥＳ）、制御部４１は、無線通信路１９と応答側の正常度判定値を増やし（Ｓ８１２）、Ｓ８１３に進む。

Ｓ８１３では、地上装置１５ａの制御部４１は、無線通信路１９と応答側の正常度判定値に基づく支障判定を行う。正常度判定値は、過去の結果が累積しており、より正確な支障判定を行うことができる。

図２４は、正常度判定値を用いた場合の応答側の動作を示すフローチャートである。
応答側である地上装置１５ｂの制御部４１は、タイムアウトするまで要求側からの通信を待ち（Ｓ９０１）、タイムアウト後に有線通信路２１を介して要求側からの通信があったかどうか確認する（Ｓ９０２）。ここでの通信では、要求側から２つの乱数とチェックコードが送信される。
通信がない場合（Ｓ９０２のＮＯ）、制御部４１は、要求側の正常度判定値を減らし（Ｓ９０３）、Ｓ９０９に進む。
通信がある場合（Ｓ９０２のＹＥＳ）、制御部４１は、Ｓ９０４に進む。

Ｓ９０４では、地上装置１５ｂの制御部４１は、受信したチェックコードと、自らが算出したチェックコードが一致するかどうか確認する。
一致しない場合（Ｓ９０４のＮＯ）、Ｓ９０３に進む。
一致する場合（Ｓ９０４のＹＥＳ）、Ｓ９０５に進む。

Ｓ９０５では、地上装置１５ｂの制御部４１は、受信した２つの乱数が同値であるかどうか確認する。
同値の場合（Ｓ９０５のＹＥＳ）、Ｓ９０３に進む。
同値でない場合（Ｓ９０５のＮＯ）、Ｓ９０６に進む。

Ｓ９０６では、地上装置１５ｂの制御部４１は、乱数に基づいて待機時間を算出する。次に、地上装置１５ｂの制御部４１は、待機時間後に２つの乱数のＸＯＲを送信し（Ｓ９０７）、要求側の正常度判定値を増やす（Ｓ９０８）。

Ｓ９０９では、地上装置１５ｂの制御部４１は、要求側の正常度判定値に基づく支障判定を行う。正常度判定値は、過去の結果が累積しており、より正確な支障判定を行うことができる。

＜（５）通信予約を用いた在線位置把握処理の詳細＞
図２５は、本実施形態の在線位置把握処理を説明する図である。図２５では、列車３ａに車上装置１１ａ、列車３ｂに車上装置１１ｂがそれぞれ搭載されている。
車上装置１１ａは、地上装置１５ａと無線通信路１９を介して通信を行い、地上装置１５ａと地上装置１５ｂに対する通信予約を要求する。通信予約の要求が成功すると、地上装置１５ａは予約対象が列車３ａ、Ａ分後にタイムアウトという予約情報（予約情報には通信許可情報が含まれる為、予約対象を識別可能）を保持し、地上装置１５ｂは予約対象が列車３ａ、Ｂ分後にタイムアウトという予約情報を保持する。
また、車上装置１１ｂは、地上装置１５ｃと無線通信路１９を介して通信を行い、地上装置１５ａと地上装置１５ｂに対する通信予約を解放するとともに、地上装置１５ｃと地上装置１５ｄに対する通信予約を要求する。通信予約の要求が成功すると、地上装置１５ｃは予約対象が列車３ａ、Ｃ分後にタイムアウトという予約情報を保持し、地上装置１５ｄは予約対象が列車３ａ、Ｄ分後にタイムアウトという予約情報を保持する。

ある車上装置１１の在線位置は、地上装置１５の予約範囲とみなすことができる。そこで、中央管理装置１７は、地上装置１５ａから地上装置１５ｄが保持する予約情報を取得し、車上装置１１ａと車上装置１１ｂの在線位置を把握する。図２５に示す例の場合、車上装置１１ａの在線位置は、地上装置１５ａから地上装置１５ｂまでとなる。また、車上装置１１ｂの在線位置は、地上装置１５ｃから地上装置１５ｄまでとなる。

本実施形態の在線位置把握処理では、仮にシステムの一部が支障して在線位置の情報を失った場合であっても、地上装置１５の予約状況を個別あるいは全体から一斉に取得することで、中央管理装置１７は在線位置の情報を迅速に再構築することができる。また、中央管理装置１７は、地上装置１５が保持する予約情報から在線位置を把握するため、車上装置１１と直接通信を行う必要はない。

図２６は、従来技術と本実施形態の在線位置把握処理の違いを説明する図である。図２６では、地上装置１５の位置情報をマス目で表している。また、地上装置１５の位置情報を用いて、列車３の位置、停止位置、停止限界を表している。すなわち、列車３の位置は地上装置１５ｂ、停止位置は地上装置１５ｆ、停止限界は１５ｊである。ここで、列車３の位置や停止限界は、従来の在線位置管理によって把握できる。また、停止位置は通信予約処理によって決まり、通信予約の情報を取得することで把握できる。
従来技術による在線位置の把握では、車上装置１１から取得する情報にタイムラグがあることから、列車３の位置から停止限界までを全て在線位置とみなしていた。すなわち、地上装置１５ｂから地上装置１５ｊまでが従来の在線位置である。
一方、本方式による在線位置の把握では、列車３の位置から停止位置までを在線位置とみなす。すなわち、地上装置１５ｂから地上装置１５ｆまでが本方式の在線位置となる。
図２６から見ても分かるように、本方式では従来技術と比較してより正確に列車３の在線位置を把握することができる。

図２７は、正常に運行している場合の在線位置把握を説明する図である。図２７は、図２６と同様、地上装置１５の位置情報をマス目で表し、地上装置１５の位置情報を用いて、列車３の位置、停止位置、停止限界を表している。
正常に運行している場合、列車３は、移動に伴って通信予約の更新を行う。図２７では、列車３が地上装置１５ｂの位置から地上装置１５ｄの位置に移動したときの例を示している。列車３に搭載される車上装置１１は、地上装置１５ｄと無線通信路１９を介して通信を行い、地上装置１５ｂと地上装置１５ｃに対する通信予約を解放する。また、車上装置１１は、新たに、地上装置１５ｇと地上装置１５ｈに対する通信予約の要求を行う。通信予約が成功すると、列車３の予約範囲は、地上装置１５ｄから地上装置１５ｈまでとなる。
従来の在線位置把握では、地上装置１５ｄから地上装置１５ｊまでを在線位置とみなす。一方、本方式の在線位置把握では、地上装置１５ｄから地上装置１５ｈまでを在線位置とみなす。
正常に運行している場合、列車３の移動に伴い、停止位置が進行方向に対して前進する。しかし、前進した分だけ通信予約が解放されるため、列車３が移動しても在線位置の広さは変わらない。このことは、図２６と図２７を比較すれば分かる。

図２８は、運行が支障している場合の在線位置把握を説明する図である。図２８は、図２６と同様、地上装置１５の位置情報をマス目で表し、地上装置１５の位置情報を用いて、列車３の位置、停止位置、停止限界を表している。
運行が支障している場合、列車３は、運転曲線との乖離に伴って通信予約の更新を行う。図２８では、通信予約の更新によって停止位置が地上装置１５ｂから地上装置１５ｄに移動したときの例を示している。列車３に搭載される車上装置１１は、地上装置１５ｄと無線通信路１９を介して通信を行い、所定の時間内に到達できなくなった地上装置１５ｅと地上装置１５ｆに対する通信予約を解放する。これによって、列車３の予約範囲は、地上装置１５ｂから地上装置１５ｄまでとなる。
従来の在線位置把握では、地上装置１５ｂから地上装置１５ｊまでを在線位置とみなす。一方、本方式の在線位置把握では、地上装置１５ｂから地上装置１５ｈまでを在線位置とみなす。
図２８に示すように、本方式では運行が支障している等の異常時ほど在線位置は狭くなり、より正確な在線位置を把握することができる。

図２９は、列車が通信不能になった場合の在線位置把握を説明する図である。図２９は、図２６と同様、地上装置１５の位置情報をマス目で表し、地上装置１５の位置情報を用いて、列車３の位置、停止位置、停止限界を表している。
また、地上装置１５の位置情報を用いて、緊急停止開始位置、緊急停止終了位置を示している。緊急停止開始位置は、列車３が緊急停止を開始したと推定される位置である。緊急停止終了位置は、列車３が緊急停止を終了したと推定される位置である。
列車３に搭載される車上装置１１が地上装置１５と通信不能になった場合、車上装置１１は列車３を緊急停止する。その後、時間が経過するにつれて、地上装置１５の予約が破棄される。図２９では、地上装置１５ｄの通信予約が破棄され、地上装置１５ｅ、地上装置１５ｆの通信予約がいずれ破棄されることを示している。ここで、予約情報は、車上装置１１と一度通信を行えば、地上装置１５によって破棄されることはないものとする。従って、地上装置１５ｂと地上装置１５ｃが保持する予約情報は破棄されない。

図２９に示す例では、中央管理装置１７は、列車３の位置と地上装置１５ｃの予約情報が破棄されたという情報から緊急停止開始位置を推定する。また、中央管理装置１７は、緊急停止開始位置を基に、列車３のブレーキ性能と速度等から緊急停止位置を推定する。列車３の速度は、地上装置１５の予約情報を参照し、地上装置１５間のタイムアウト時間の差分と、距離の差分によって算出可能である。
このように、中央管理装置１７は、列車３が通信不能になった場合であっても、緊急停止終了位置を推測することができる。緊急停止終了位置を推測することで、後続の列車３の停止限界を正確に把握することができる。

図２５から図２９を参照して説明した通り、本方式では従来技術と比較してより正確に列車３の在線位置を把握することができる。また、本方式では通信予約を用いるので、中央管理装置１７が在線位置を把握するために直接車上装置１１と通信を行う必要がなく、地上装置１５と中央管理装置１７との間の通信量の増加を抑えることができる。

本実施の形態に係る列車制御システム１では、車上装置１１と地上装置１５との無線通信に対して悪意者のなりすまし、通信妨害等の対策を行い、列車３を安全に運行することができる。また、列車３の在線位置をより正確に把握することができる。

以上、添付図面を参照しながら、本発明にかかる列車制御システム等の実施形態について説明したが、本発明はかかる例に限定されない。当業者であれば、本願で開示した技術的思想の範疇内において、各種の変更例又は修正例に想到し得ることは明らかであり、それらについても当然に本発明の技術的範囲に属するものと了解される。

１………列車制御システム
３………列車
５………駅
７………中央管理室
９………ネットワーク
１１………車上装置
１３………管理装置
１５………地上装置
１７………中央管理装置
１９………無線通信路
２１………有線通信路
６１………認証要求手段
６２………通信予約手段
６３………符号化手段
６４………証明書
６５………運行情報データベース
７１………通信予約受付手段
７２………通信可否判定手段
７３………符号化用鍵伝達手段
７４………通信路支障検知手段
８１………認証手段
８２………在線位置管理手段
８３………リスク管理手段
８４………証明書データベース

Claims (16)

1. 列車に搭載される車上装置と線路に沿って配置される地上装置が無線通信路である第１通信路を介して通信を行い、前記地上装置と中央管理装置が前記第１通信路と異なる第２通信路を介して通信を行うことによって前記列車を制御する列車制御システムであって、
   前記車上装置は、
   自らを証明するための証明書と、
   前記証明書を用いて前記中央管理装置に認証要求を行う認証要求手段と、
   前記地上装置との無線通信が許可されたことを示す前記列車ごとの通信許可情報を用いて、前記地上装置に対して通信予約を行う通信予約手段と、
   を具備し、
   前記中央管理装置は、
   前記証明書が登録されている証明書データベースと、
   前記車上装置からの認証要求に応じて、提示された証明書が前記証明書データベースに存在するかを確認し、存在する場合には前記車上装置に前記通信許可情報を送信する認証手段と、
   を具備し、
   前記地上装置は、
   前記車上装置からの通信予約を受け付ける通信予約受付手段と、
   通信予約を行った前記車上装置の前記通信許可情報を所定の時間まで有効とみなし、前記車上装置の通信可否を判定する通信可否判定手段と、
   を具備することを特徴とする列車制御システム。
2. 前記中央管理装置は、
   制御コードの符号化用鍵を前記地上装置に送信する手段と、
   外部からの攻撃を検知すると、前記地上装置に前記制御コードの符号化を指示するリスク管理手段と、
   を更に具備し、
   前記地上装置は、
   前記中央管理装置から送信される前記符号化用鍵から部分鍵を生成し、前記制御コードの符号化指示と合わせて前記車上装置に伝達する符号化用部分鍵伝達手段、
   を更に具備し、
   前記車上装置は、
   複数の前記地上装置から前記部分鍵を受信して前記符号化用鍵を生成し、前記制御コードの符号化を行う符号化手段、
   を更に具備することを特徴とする請求項１に記載の列車制御システム。
3. 前記地上装置は、
   定期的に隣接する他の前記地上装置との間で、一方が要求側、他方が応答側となり、前記第１通信路と前記第２通信路の両方で乱数または乱数に基づくデータの送受信を行い、前記第１通信路の支障と前記地上装置の故障とを区別して通信路支障を検知する通信路支障検知手段、
   を更に具備することを特徴とする請求項１に記載の列車制御システム。
4. 前記中央管理装置は、
   前記地上装置が保持する通信予約の情報に含まれる前記通信許可情報から前記列車を識別し、予約された前記地上装置の範囲を前記列車ごとに取得することで、前記列車の在線位置を把握する在線位置管理手段、
   を更に具備することを特徴とする請求項１に記載の列車制御システム。
5. 前記車上装置は、
   運転曲線、路線情報、前記地上装置の位置情報、前記列車の在線位置情報、保安装置の位置情報および遮断情報を含む運行情報データベース、
   を更に具備し、
   前記通信予約手段は、前記運行情報データベースを参照し、前記所定の時間内に到達する前記地上装置に対して通信予約を行うものであることを特徴とする請求項１に記載の列車制御システム。
6. 前記通信予約手段は、所定の時間間隔で処理を繰り返し、前記列車が通過した前記地上装置に対する予約、または前記所定の時間までに到達できなくなった前記地上装置に対する予約を解放するものであることを特徴とする請求項５に記載の列車制御システム。
7. 前記リスク管理手段は、前記符号化用鍵を周期的に更新することを特徴とする請求項２に記載の列車制御システム。
8. 前記通信路支障検知手段は、前記要求側が前記第２通信路を介して前記乱数を前記応答側に送信し、前記応答側が前記乱数に基づいて待機時間を算出し、前記応答側が前記待機時間の経過後に前記乱数に基づくデータを前記要求側に送信することを特徴とする請求項３に記載の列車制御システム。
9. 列車に搭載される車上装置と線路に沿って配置される地上装置が無線通信路である第１通信路を介して通信を行い、前記地上装置と中央管理装置が前記第１通信路と異なる第２通信路を介して通信を行うことによって前記列車を制御する列車制御方法であって、
   前記車上装置が、自らを証明するための証明書を用いて前記中央管理装置に認証要求を行う認証要求ステップと、
   前記中央管理装置が、前記車上装置からの認証要求に応じて、前記証明書が登録されている証明書データベースを参照し、提示された前記証明書が前記証明書データベースに存在するかを確認し、存在する場合には、前記地上装置との無線通信が許可されたことを示す列車ごとの通信許可情報を前記車上装置に送信する認証ステップと、
   前記車上装置が、前記通信許可情報を用いて、前記地上装置に対して通信予約を行う通信予約ステップと、
   前記地上装置が、前記車上装置からの通信予約を受け付ける通信予約受付ステップと、
   前記地上装置が、通信予約を行った前記車上装置の前記通信許可情報を所定の時間まで有効とみなし、前記車上装置の通信可否を判定する通信可否判定ステップと、
   を含むことを特徴とする列車制御方法。
10. 前記中央管理装置が、制御コードの符号化用鍵を前記地上装置に送信するステップと、
    前記中央管理装置が、外部からの攻撃を検知すると、前記地上装置に前記制御コードの符号化を指示するリスク管理ステップと、
    前記中央管理装置から送信される前記符号化用鍵から部分鍵を生成し、前記制御コードの符号化指示と合わせて前記車上装置に伝達する符号化用部分鍵伝達ステップと、
    前記車上装置が、複数の前記地上装置から前記部分鍵を受信して前記符号化用鍵を生成し、前記制御コードの符号化を行う符号化ステップと、
    を更に含むことを特徴とする請求項９に記載の列車制御方法。
11. 更に、前記地上装置が、隣接する他の前記地上装置との間で、一方が要求側、他方が応答側となり、前記第１通信路と前記第２通信路の両方で乱数または乱数に基づくデータの送受信を行い、前記第１通信路の支障と前記地上装置の故障とを区別して通信路支障を検知する通信路支障検知ステップ、を定期的に行うことを特徴とする請求項９に記載の列車制御方法。
12. 前記中央管理装置が、前記地上装置が保持する通信予約の情報に含まれる前記通信許可情報から前記列車を識別し、予約された前記地上装置の範囲を前記列車ごとに取得することで、前記列車の在線位置を把握する在線位置管理ステップ、
    を更に含むことを特徴とする請求項９に記載の列車制御方法。
13. 前記通信予約ステップは、運転曲線、路線情報、前記地上装置の位置情報、前記列車の在線位置情報、保安装置の位置情報および遮断情報を含む運行情報データベースを参照し、前記所定の時間内に到達する前記地上装置に対して通信予約を行うものであることを特徴とする請求項９に記載の列車制御方法。
14. 前記通信予約ステップは、所定の時間間隔で処理を繰り返し、前記列車が通過した前記地上装置に対する予約、または前記所定の時間までに到達できなくなった前記地上装置に対する予約を解放するものであることを特徴とする請求項１３に記載の列車制御方法。
15. 前記リスク管理ステップは、前記符号化用鍵を周期的に更新することを特徴とする請求項１０に記載の列車制御方法。
16. 前記通信路支障検知ステップは、前記要求側が前記第２通信路を介して前記乱数を前記応答側に送信し、前記応答側が前記乱数に基づいて待機時間を算出し、前記応答側が前記待機時間の経過後に前記乱数に基づくデータを前記要求側に送信することを特徴とする請求項１１に記載の列車制御方法。

Images