JP2016189652A - 車上データベース更新システム - Google Patents

Abstract

【課題】セキュリティを確保しつつ、高速且つ容易にデータを更新できる車上データベース更新システムを提供する。【解決手段】地上の管理装置１０から汎用通信網を経由して送信したデータベース３の更新情報を車上装置２で受信し、管理装置から鉄道信号用の通信網を経由して送信したデータベースの更新用制御情報を車上装置で受信し、更新情報を更新用制御情報に基づき検証してデータベースを更新する。容量の大きな車上データベースの更新情報を、汎用通信網を経由して高速に送受信し、データベースの更新用制御情報をセキュリティの高い鉄道信号用の通信網を経由して送受信し、データベースの更新情報を更新用制御情報に基づき検証することで、セキュリティを確保しつつ、高速且つ容易にデータを更新できる。【選択図】図１

Description

本発明は、列車制御装置における車上データベース更新システムに関する。

近年、鉄道の列車制御に車上データベース方式が採用されている（例えば特許文献１参照）。車上データベース方式の列車制御装置では、線路の曲線・勾配等の情報、及び駅、信号機等の情報が記憶されているデータベースを車上装置に搭載する。
上記データベースには、線路の高架化や線形変更に伴い変更が生ずるため、データベースが搭載されている車上装置に、例えばカード状の記憶媒体やパーソナルコンピュータ等を接続して記憶情報の更新を行っている。

特開２００９−２４０１１０号公報

しかしながら、記憶媒体やパーソナルコンピュータ等を用いる更新方法は、車両毎にデータを書き換えなければならないため、更新作業が煩雑で且つ長い時間を要する。
そこで、既存の通信手段を用いてデータベースを更新することも考えられるが、汎用無線ＬＡＮ等の汎用通信網を使用すると、「なりすまし」等のセキュリティ上の問題が生ずる。一方、既設の鉄道信号用の通信網はセキュリティが高いが、通信速度が遅く、データベースのような大容量のデータの送受信には適していない。

本発明は上記のような事情に鑑みてなされたもので、その目的とするところは、セキュリティを確保しつつ、高速且つ容易にデータを更新できる車上データベース更新システムを提供することにある。

本発明の車上データベース更新システムは、列車情報を記憶した車上データベースを更新するシステムであって、地上の管理装置から汎用通信網を経由して送信したデータベースの更新情報を車上装置で受信し、前記管理装置から鉄道信号用の通信網を経由して送信した前記データベースの更新用制御情報を車上装置で受信し、前記更新情報を前記更新用制御情報に基づき検証してデータベースを更新することを特徴とする。

本発明によれば、容量の大きな車上データベースの更新情報を、汎用通信網を経由して高速に送受信し、データベースの更新用制御情報をセキュリティの高い鉄道信号用の通信網を経由して送受信し、データベースの更新情報を更新用制御情報に基づき検証することで、セキュリティを確保しつつ、高速且つ容易にデータを更新できる。

本発明の第１の実施形態に係る車上データベース更新システムを示す概略構成図である。 図１に示したシステムにおける車上データベースの更新動作を示すフローチャートである。 本発明の第２の実施形態に係る車上データベース更新システムを示す概略構成図である。 図３に示したシステムにおける車上データベースの更新動作を示すフローチャートである。 図３に示したシステムにおける車上データベースの更新動作の変形例を示すフローチャートである。

以下、本発明の実施形態について図面を参照して説明する。
［第１の実施形態］
図１は、車上データベース方式の列車制御装置における、車上データベース更新システムに関係する要部を示している。列車１の車上装置２には、列車情報を記憶したデータベース３と、既存の無線技術（３Ｇ、ＷｉＭＡＸ（登録商標）等）を用いた汎用通信網の通信機器、例えば汎用無線ＬＡＮ装置４とが搭載されている。車上装置２は、既設の鉄道信号用の通信網を用いる通信機器、例えばトランスポンダ車上装置（車上子）５ａを経由して鉄道信号を送受信する。

一方、地上の管理装置１０は、汎用無線ＬＡＮ装置１１及び書き換え装置１２を備えており、トランスポンダ地上装置（地上子）５ｂを経由して鉄道信号を送受信する。書き換え装置１２は、データベース３の更新情報を汎用無線ＬＡＮ装置１１に送り、データベース３の更新用制御情報を地上子５ｂに送って書き換えを制御する。汎用無線ＬＡＮ装置１１は、汎用無線ＬＡＮによりデータベース３の更新情報を送信し、車上装置２に搭載された汎用無線ＬＡＮ装置４で受信する。地上子５ｂと車上子５ａは、既設の鉄道信号用の通信網を利用した近距離通信を行う。

なお、地上子５ｂ，５ｃは更新可能区間を設定しており、列車１が地上子５ｂとの通信可能区間に進入してから、列車１が矢印Ａ方向に進行して、地上子５ｃとの通信可能区間から進出するまでを更新可能区間にしている。更新可能区間は、データベース３の更新を鉄道の営業区間外で行うために設定するもので、安全のために、引き込み線等に予め更新可能区間と更新不可区間とを設定し、更新可能区間内でのみ更新を行うようにしている。

次に、上記のような構成において、図２のフローチャートにより、データベース３の更新動作を詳しく説明する。
まず、列車１が更新不可区間から更新可能区間に進入すると、車上子５ａと地上子５ｂの電磁結合により情報の送受信が行われる。この情報の送受信では、管理装置１０により地上子５ｂから更新用制御情報（更新可能区間情報、暗号解読情報、及び識別情報等）を送信し、この更新用制御情報を車上子５ａで受信して車上装置２に取り込む（ステップＳ１０１）。ここで、更新可能区間情報は、列車１が更新可能な区間内に存在していることを車上装置２に通知するための情報である。暗号解読情報は、暗号化して汎用無線ＬＡＮ装置１１により送信した更新情報を解読するための情報、いわゆる解読キーである。また、識別情報は、チェックコード及びデータベースの情報（例えばバージョン情報、日付情報等）であり、汎用無線ＬＡＮにより送信する更新情報にも対応する情報が含まれている。

車上装置２は、車上子５ａで受信した更新用制御情報に含まれる更新可能区間情報により、更新可能区間であるか否かを判定する（ステップＳ１０２）。更新可能区間内であると判定されると、管理装置１０に搭載された書き換え装置１２の制御により、汎用無線ＬＡＮ装置１１からデータベース３の更新情報を暗号化して送信し、車上装置２の汎用無線ＬＡＮ装置４で受信する（ステップＳ１０３）。ステップＳ１０２で更新可能区間でないと判定された場合には、車上装置２は更新可能区間に進入するまで待機状態を維持する。

ステップＳ１０４では、更新情報の受信が終了したか否か判定し、受信が終了するまで汎用無線ＬＡＮ装置１１，４による送受信を継続する。そして、更新情報の受信が終了すると、ステップＳ１０１で受信した更新用制御情報に含まれる暗号解読情報を用いて、汎用無線ＬＡＮ装置４で受信したデータベース３の更新情報を解読する。この解読結果には、データベース３の更新データと固有の識別情報（例えばチェックコード、バージョン情報、及び日付情報等）が含まれている。そして、この識別情報と、更新用制御情報に含まれていた識別情報とを用いて車上装置２で検証を行う（ステップＳ１０５）。この検証では、例えばチェックコード、バージョン情報及び日付情報のうち、少なくともいずれか１つを用いることができる。

ステップＳ１０６では、検証結果に基づき正規の更新情報であるか否か判定し、正規の更新情報であると判定されると、解読結果に基づきデータベース３を更新する（ステップＳ１０７）。正規の更新情報でないと判定された場合には、不正な更新情報を汎用無線ＬＡＮ装置４が受信した可能性があるので、データベース３の更新は行わない。
次のステップＳ１０８では、更新が終了したか否かを判定し、更新が終了するまでステップＳ１０７の更新動作を繰り返す。このデータベース３の更新は、更新可能区間に在線中に実行する。

更新終了後に、車上子５ａと地上子５ｃの電磁結合により、列車１が更新可能区間から進出することが検出されると（ステップＳ１０９）、車上子５ａから地上子５ｃに更新内容情報、例えば解読した更新情報から抽出したチェックコード、バージョン情報、及び日付情報等を送信する。地上子５ｃで更新内容情報を受信すると、管理装置１０により、受信した更新内容情報が送信した更新情報の内容と一致しているか、または対応しているかを検証する（ステップＳ１１０）。そして、受信した更新内容情報が送信した更新情報の内容と一致しているか、または対応しているか否か判定し（ステップＳ１１１）、一致または対応していれば管理装置１０から地上子５ｃと車上子５ａを経由して車上装置２に「使用許可」を通知し（ステップＳ１１２）、データベース３の更新が終了する。一方、不一致または対応していなければ「即時停止、使用不可」を通知し、車上装置２の制御により列車１が更新可能区間を出る前に非常ブレーキ等で停止させるとともに、データベース３を使用不可とする（ステップＳ１１３）。これによって、列車１が営業区間内に進出するのを阻止する。

上記のような構成によれば、容量の大きな車上データベースの更新情報を、汎用無線ＬＡＮを経由して送受信し、データベースの更新用制御情報をセキュリティの高いトランスポンダ装置を経由して送受信し、データベースの更新情報を更新用制御情報に基づき検証することで、セキュリティを確保しつつ、高速且つ容易にデータを更新できる。
また、鉄道信号用の通信網（トランスポンダ装置）による通信範囲により、更新可能区間と更新不可区間とを設定することで、特定箇所（車両区）以外での書き換えから防護できる。更に、更新用制御情報と更新内容情報を用いて車上装置側と管理装置側で二重に検証することで、「なりすまし」等によるデータベースの不正な更新からも防護できる。例えば、解読キーが盗まれた場合でも、更新情報から抽出した更新内容情報を、トランスポンダ装置を経由して管理装置に送り、管理装置側で送信した更新情報の内容と比較検証することで、不正な更新情報で更新された列車情報による制御状態で、列車が営業区間に進出するのを阻止できる。
しかも、汎用無線ＬＡＮ等の既存無線技術と、車両に搭載されている既設の鉄道システムで用いる近距離通信機器（トランスポンダ装置等）を用いることで、安価で容易且つ同時に複数車両のデータベースを更新することもできる。

［第２の実施形態］
図３に示す第２の実施形態は、車上子５ａと地上子５ｂが電磁結合した状態で列車１を停止させてデータベース３を更新するものである。他の基本的な構成は第１の実施形態と同様であるので、図３において図１と同一構成部に同じ符号を付してその詳細な説明は省略する。

本第２の実施形態では、図４のフローチャートに示すように、まず列車１を車上子５ａと地上子５ｂとの間で情報の授受が可能な範囲に停車させる（ステップＳ２０１）。
続いて、管理装置１０から地上子５ｂと車上子５ａを経由して車上装置２に、データベース３の更新が可能である旨を通知する（ステップＳ２０２）。この際、地上子５ｂから更新用制御情報（暗号解読情報、及び識別情報等）を送信する。暗号解読情報は、暗号化して汎用無線ＬＡＮ装置１１により送信した更新情報を解読するための解読キーである。また、識別情報は、チェックコード及びデータベースの情報（例えばバージョン情報や日付等）であり、汎用無線ＬＡＮにより送信する更新情報にも対応する情報が含まれている。

その後、管理装置１０に搭載された書き換え装置１２の制御により、汎用無線ＬＡＮ装置１１からデータベース３の更新情報を暗号化して送信する（ステップＳ２０３）。この更新情報を、車上装置２の汎用無線ＬＡＮ装置４で受信する（ステップＳ２０４）。
続くステップＳ２０５では、更新情報の受信が終了したか否か判定し、受信が終了するまで汎用無線ＬＡＮ装置１１，４による送受信を継続する。そして、更新情報の受信が終了すると、ステップＳ２０２で受信した暗号解読情報を用いて、車上装置２で受信したデータベース３の更新情報を解読する。この解読結果には、データベース３の更新データと固有の識別情報（例えばチェックコード、バージョン情報、及び日付情報等）が含まれている。そして、この識別情報と、更新用制御情報に含まれていた識別情報とを用いて車上装置２で検証を行う（ステップＳ２０６）。この検証では、例えばチェックコード、バージョン情報及び日付情報のうち、少なくともいずれか１つを用いることができる。

続くステップＳ２０７では、検証結果に基づき正規の更新情報であるか否か判定し、正規の更新情報であると判定されると、車上子５ａで更新可能であることを受信していることを条件に、解読結果に基づきデータベース３を更新する（ステップＳ２０８）。正規の更新情報でないと判定された場合には、不正な更新情報を汎用無線ＬＡＮ装置４が受信した可能性があるので、データベース３の更新は行わない。
次のステップＳ２０９では、更新が終了したか否かを判定し、更新が終了するまでステップＳ２０８の更新動作を繰り返す。

更新終了後に、車上子５ａから地上子５ｂに更新内容情報、例えば解読した更新情報から抽出したチェックコード、バージョン情報、日付情報等を送信する。地上子５ｂで更新内容情報を受信すると、管理装置１０により、受信した更新内容情報が送信した更新情報に対応するものか検証する（ステップＳ２１０）。そして、受信した更新内容情報が送信した更新情報の内容と一致しているか、または対応しているか否か判定し（ステップＳ２１１）、一致または対応していれば管理装置１０から地上子５ｂと車上子５ａを経由して車上装置２に「使用許可」を通知し（ステップＳ２１２）、データベース３の更新が終了する。一方、不一致または対応していなければ「使用不可」を通知する（ステップＳ２１３）。

上記のような構成によれば、容量の大きな車上データベースの更新情報を、汎用無線ＬＡＮを経由して送受信し、データベースの更新用制御情報をセキュリティの高いトランスポンダ装置を経由して送受信し、データベースの更新情報を更新用制御情報に基づき検証することで、セキュリティを確保しつつ、高速且つ容易にデータを更新できる。
また、列車を停止させてトランスポンダ装置による通信中のみデータベースの更新を行うので、第１の実施形態よりもセキュリティをより向上させることができ、不正な書き換えから防護できる。更に、更新用制御情報と更新内容情報を用いて車上装置側と管理装置側で二重に検証することで、「なりすまし」等によるデータベースの不正な更新からも防護できる。
しかも、汎用無線ＬＡＮ等の既存無線技術と、車両に搭載されている既設の鉄道システムで用いる近距離通信機器を利用することで、安価なシステム構成にすることができる。

＜変形例＞
図５に示すフローチャートは、上述した第２の実施形態において、データベース３を更新する前に検証し、データベース３の更新情報が正規のものでないときには、更新を行わないようにしている。
ステップＳ３０１〜Ｓ３０６は、第２の実施形態におけるステップＳ２０１〜Ｓ２０６と同様であるので、詳細な説明は省略する。
ステップＳ３０７では、ステップＳ３０６の検証結果に基づき正規の更新情報であるか否か判定し、正規の更新情報であると判定されると、ステップＳ３０６で解読した更新情報の中からチェックコード、バージョン情報、及び日付情報等の更新内容情報を抽出し、この更新内容情報を車上子５ａから送信し、地上子５ｂで受信して管理装置１０で検証する（ステップＳ３０８）。
上記ステップＳ３０７で、正規の更新情報でないと判定された場合には、不正な更新情報を汎用無線ＬＡＮ装置４が受信した可能性があるので、データベース３の更新は行わない。

続いて、受信した更新内容情報が送信した識別情報の内容と一致しているか、または対応しているか否か検証し（ステップＳ３０９）、一致または対応していれば地上子５ｂから車上子５ａに「更新許可」を通知し（ステップＳ３１０）、不一致または対応していなければ、不正な更新情報の可能性があるので「更新不可」を通知して更新を停止する（ステップＳ３１１）。
車上装置２は、「更新許可」を受けると、車上子５ａで「更新許可」を受信していることを条件に、データベース３を更新する（ステップＳ３１２）。そして、ステップＳ３１３では、更新が終了したか否かを判定し、更新が終了するまで更新動作を繰り返す。
このような更新手順であっても、上述した第２の実施形態と実質的に同様な作用効果が得られる。

尚、本発明は上述した第１、第２の実施形態と変形例に限定されるものではなく、種々変形して実施することが可能である。例えば、図２のステップＳ１１３において、「即時停止、使用不可」が通知された場合、列車を車上子５ａと地上子５ｃを電磁結合させた状態で停止させ、第２の実施形態によるデータベースの更新を行うようにしても良い。
また、図４のステップＳ２１３で「使用不可」を通知された場合、汎用無線ＬＡＮによる不正な書き換えが行われていないことが確認できれば、ステップＳ２０２に戻り、更新のやり直しを行うこともできる。
更に、図５のステップＳ３１１で「更新不可」を通知された場合も同様に、汎用無線ＬＡＮによる不正なアクセスが行われていないことが確認できれば、ステップＳ３０２に戻り、更新のやり直しを行うこともできる。

更にまた、汎用無線ＬＡＮ装置を使う場合を例に取って説明したが、既存の無線技術（通信サービス網を使ったインターネット等）、いわゆる公共通信回路網を使用することができる。また、汎用無線ＬＡＮ装置は、インターネット等の通信網を経由しても良いし、書き換え装置とデータベースとの間で直接的に送受信することもできる。
また、トランスポンダ装置を用いる場合を例に取って説明したが、既設の鉄道信号用の通信網を用いる通信機器、あるいは鉄道事業者しか使えない通信機器であれば、トランスポンダ装置に限られるものではなく、専用の通信網を用いることもできる。
加えて、識別情報と更新内容情報に、チェックコード、バージョン情報、及び日付情報の少なくともいずれか１つを用いる例を説明したが、これらに限定されるものではない。識別情報と更新内容情報に別の情報を用いても良いのはもちろんであり、同じ情報を用いても鉄道信号用の通信網を経由することでセキュリティを確保できる。

１…列車、２…車上装置、３…データベース、４，１１…汎用無線ＬＡＮ装置、５ａ…トランスポンダ車上装置（車上子）、５ｂ，５ｃ…トランスポンダ地上装置（地上子）、１０…管理装置、１２…書き換え装置

Claims (8)

1. 列車情報を記憶した車上データベースを更新するシステムであって、
   地上の管理装置から汎用通信網を経由して送信したデータベースの更新情報を車上装置で受信し、前記管理装置から鉄道信号用の通信網を経由して送信した前記データベースの更新用制御情報を車上装置で受信し、前記更新情報を前記更新用制御情報に基づき検証してデータベースを更新する、車上データベース更新システム。
2. 前記更新用制御情報は、データベースの更新が可能な区間であることを示す更新可能区間情報を含み、前記鉄道信号用の通信網による通信範囲に応じて、更新可能区間と更新不可区間とを設定し、前記更新可能区間内において前記汎用通信網を経由して前記データベースの更新情報を送受信する、請求項１に記載の車上データベース更新システム。
3. 前記鉄道信号用の通信網による通信中に、前記汎用通信網を経由して前記データベースの更新情報を送受信する、請求項１に記載の車上データベース更新システム。
4. 前記更新情報と前記更新用制御情報は対応する識別情報を含み、該識別情報に基づき前記車上装置で検証が行われる、請求項１乃至３いずれか１つの項に記載の車上データベース更新システム。
5. 前記対応する識別情報は、チェックコード、バージョン情報及び日付情報の少なくともいずれか１つを含む、請求項４に記載の車上データベース更新システム。
6. 前記データベースの更新情報は暗号化して前記管理装置から送信され、前記更新用制御情報は該暗号化された更新情報を解読する暗号解読情報を含む、請求項１乃至５いずれか１つの項に記載の車上データベース更新システム。
7. 前記車上装置で受信した更新情報から抽出した更新内容情報を前記鉄道信号用の通信網を経由して送信し、前記管理装置で受信した更新内容情報と、前記管理装置から送信した更新内容情報が一致しているか更に検証する、請求項１乃至６いずれか１つの項に記載の車上データベース更新システム。
8. 前記汎用通信網は、汎用無線ＬＡＮ装置を含んで構成され、前記鉄道信号用の通信網は、トランスポンダ装置を含んで構成される、請求項１乃至７いずれか１つの項に記載の車上データベース更新システム。