JP5894713B2 - セキュリティデバイスバンク、およびセキュリティデバイスバンクを含むシステム - Google Patents

Description

都市鉄道通信ベース列車制御（ＣＢＴＣ）システムは、列車の安全かつ効率的な制御の責任を担う。ＣＢＴＣシステムの利点は、信頼性の向上と、列車間のより近い間隔とが、列車の運行中に達成可能であるということである。ＣＢＴＣシステムでは、自動列車運行、保護、および監視が、しばしば中央コンピュータによって提供される。これらのコンピュータは、列車の効率的なルーティングと、ポイント（レールスイッチ）のずれを原因とする他の列車との衝突および脱線から列車を保護することの責任を担う。列車に搭載されたコンピュータ装置は、制御コンピュータによって確立された走行許可（ｍｏｖｅｍｅｎｔ ａｕｔｈｏｒｉｔｙ）制限を順守すること、列車の位置を報告すること、および列車推進システムと乗客ドアとを安全に制御することを直接担当する。ＣＢＴＣシステムのコンポーネントは、データ通信システム（ＤＣＳ）を通じて相互接続される。ＤＣＳは、ＣＢＴＣシステムの安全かつ効率的な操作を可能にするために十分なセキュリティが整っていることを確認する必要がある。

添付の図面の図において、限定ではなく、例として、１つまたは複数の実施形態が示される。図面において、同じ参照番号指定を有する要素は、全体を通じて同様の要素を表す。
図１は、１つまたは複数の実施形態による、ＣＢＴＣシステムの系統図である。
図２は、１つまたは複数の実施形態による、ＣＢＴＣシステムの機能ブロック図である。
図３Ａは、１つまたは複数の実施形態による、沿線デバイスから列車デバイスへの通信のタイミング図である。
図３Ｂは、１つまたは複数の実施形態による、列車デバイスから沿線デバイスへの通信のタイミング図である。
図４は、１つまたは複数の実施形態による、信頼できるネットワーク、信頼できないネットワーク、およびセキュリティデバイス（ＳＤ）バンクの２つのＳＤ間の通信のタイミング図である。
図５は、１つまたは複数の実施形態による、ＳＤまたはＳＤバンクを実装するために使用可能なコンピュータシステムの機能ブロック図である。

以下の開示は、本開示の異なる特徴を実装するための、１つまたは複数の異なる実施形態、または例を提供することが理解される。本開示を簡素化するために、コンポーネントおよび構成の具体例を以下で説明する。当然これらは例であり、限定を意図するものではない。業界の慣例に従って、図面における様々な特徴は原寸に比例して示されておらず、例示の目的のためにのみ使用される。

図１は、１つまたは複数の実施形態による、ＣＢＴＣシステム１００の系統図である。ＣＢＴＣシステム１００は、信頼できる光ファイバネットワーク１１２と、信頼できない光ファイバネットワーク１１４と、無線ベースの列車−沿線モバイル通信ネットワーク１１６と、列車に搭載されたローカルエリアネットワーク１１８と、信頼できる光ファイバネットワーク１１２と信頼できない光ファイバネットワーク１１４とを結合するセキュリティデバイス（ＳＤ）バンク１２４ａおよび１２４ｂのセットと、モバイル通信ネットワーク１１６と列車に搭載されたローカルエリアネットワーク１１８とを結合するセキュリティデバイス（ＳＤ）１２６ａと１２６ｂのセットとを含む、データ通信システム（ＤＣＳ）を有する。また、ＤＣＳは、任意で、ＳＤバンク１５２を介する外部ネットワーク１６０への接続１５０を有する。信頼できない光ファイバネットワーク１１４および沿線モバイル通信ネットワーク１１６は、集合的に、信頼できないネットワークとも呼ばれる。いくつかの実施形態では、信頼できる光ファイバネットワーク１１２および信頼できない光ファイバネットワーク１１４は、光ファイバネットワークではない。いくつかの実施形態では、信頼できるネットワーク１１２および信頼できないネットワーク１１４は、有線通信技術、無線通信技術、光通信技術、またはそれらの組合せによって実装される。

信頼できるネットワーク１１２に必要な保護のレベルに応じて、ＤＣＳネットワーク装置の個々のコンポーネント、およびそれらの相互接続が、信頼できるもの、または信頼できないもののいずれかとして分類される。信頼できるコンポーネントは、そのコンポーネント内で発信されたあらゆるメッセージを受け入れることができ、それが本物であり意図されたものであるという絶対的な保証とともに、別の信頼できるコンポーネントによって作用され得るコンポーネントである。それに対して、信頼できないコンポーネントは、ＣＢＴＣシステムに関する限り、そのコンポーネント内で発信されたあらゆるメッセージが偽物であると仮定されなければならず、システムの動作または安全性のいずれかに影響を及ぼすことが許されないコンポーネントである。信頼ネットワーク１１２などの信頼できるネットワークは、信頼できるコンポーネントだけを含み、信頼できるネットワークの信頼できるコンポーネントは、十分な防御を提供するように設計された装置を介さない限り、信頼できないコンポーネントに決して直接接続してはならない。そうしないと、他のコンポーネント間の他の相互接続は、おそらく信頼できないネットワークである。

さらに、ＣＢＴＣシステム１００は、ＤＣＳの信頼できる光ファイバネットワーク１１２に結合された中央装置１３２、駅装置１３４、および沿線装置１３６を有する。また、ＣＢＴＣシステム１００は、列車に搭載されたローカルエリアネットワーク１１８に接続された搭載装置１４２を有する。ＳＤバンク１２４ａ、１２４ｂ、および１５２は、それぞれ、信頼できないモバイルネットワーク１１６と信頼できるネットワーク１１２との間の通信ゲートウェイ、および信頼できるネットワーク１１２とそれらに接続された装置との間の通信ゲートウェイとして、複数のＳＤを含む。いくつかの実施形態では、ＳＤバンク１２４ａまたは１２４ｂは、１つの物理的セキュリティデバイスだけを含む。

セキュリティデバイス（ＳＤ）は、信頼できないオープンネットワークを通じたデータ通信を保護するために使用される。ＳＤは、マスカレード攻撃から保護するために強力な認証機能を提供する。装置側で、エンドノードでＳＤを展開して、エンドノードと列車に搭載されたＳＤ１２６ａまたは１２６ｂとの間に信頼できるネットワーク１１２と信頼できないネットワーク１１４との両方を通じてトンネルを確立する代わりに、図１に示される実施形態では、ＳＤはＳＤバンク１２４ａ、１２４ｂ、および１５２にグループ化されて、信頼できるネットワーク１１２と信頼できない光ファイバネットワーク１１４とをブリッジするノードで展開される。いくつかの実施形態では、トンネルは仮想プライベートネットワーク（ＶＰＮ）トンネルとも呼ばれる。いくつかの実施形態では、ＶＰＮトンネルは、インターネットエンジニアリングタスクフォース（ＩＥＴＦ）インターネットプロトコルセキュリティ（ＩＰｓｅｃ）標準に準拠する。

いくつかの実施形態では、セーフガードとして代替または冗長な通信パスを提供するために、ＳＤバンク１２４ａおよび／または１２４ｂは、搭載されたＳＤ１２６ａと１２６ｂの両方とともに通信トンネルを確立して維持する。通信トンネルは、暗号処理に基づいて、両者間の通信を管理するために必要な秘密情報を共有したＳＤのペアを通じてセットアップされた信頼できる接続を指す。障害管理は、ＳＤバンク１２４ａおよび１２４ｂ、ならびに列車に搭載されたＳＤ１２６ａおよび１２６ｂのルート追跡によって処理される。

ＳＤバンク１２４ａ、１２４ｂ、および／または１５２内の物理的ＳＤのそれぞれは、あらかじめ定められた数のトンネルを処理することができ、物理的ＳＤの数を、列車の数または通信容量の増大を求めるニーズとしてＳＤバンクに追加することによって、システムのスケーリングを可能にする。したがって、列車ごとに利用可能なトンネルの数は、システム内の沿線装置の数に関わらず一定に保たれる。少なくともいくつかの実施形態では、これによって既存のソリューションでスケーラビリティの問題が解決する。

ＳＤバンク１２４ａ、１２４ｂ、および１５２の実装は、鉄道環境基準の下で資格があるように設計された、組み込みデバイスを使用することによって実行される。少なくともいくつかの実施形態では、ＳＤバンク内のＳＤは、無料配布されるＩＰＳｅｃモジュールを有するオープンソースオペレーティングシステムでロードされる。上記で示したように、構成ファイルは、ソリューションに合わせて調整するように修正される。

物理レベルでは、列車デバイス（集合的に、搭載装置１４２と呼ばれる）は、標準イーサネットインターフェース（Ｃａｔ−５、Ｍ１２、またはＬＥＭＯ）を使用するＬＡＮ１１８を通じて列車セキュリティデバイスに接続する。いくつかの実施形態では、ＬＡＮ１１８は、搭載装置１４２の一部とも呼ばれる。いくつかの実施形態では、ＬＡＮ１１８は省略される。次いで、列車ＳＤは、例えばＩＥＥＥ ８０２．１１などの標準無線プロトコルを通じてモバイルネットワーク１１６の沿線無線ユニットと通信するイーサネットインターフェースを通じて、モバイルネットワーク１１６の搭載モバイル無線に接続する。次いで、沿線無線ユニットは、例えば１００−Ｂａｓｅ−ＦＸなどの有線接続を使用して、信頼できないネットワーク１１４に接続する。いくつかの実施形態では、ＳＤバンク１２４ａまたは１２４ｂは、１００−Ｂａｓｅ−ＴＸインターフェースを通じて信頼できない光ファイバネットワーク１１４に、および別の１００−ｂａｓｅ−Ｔｘインターフェースを通じて信頼できるネットワーク１１２のルータにも接続される。次いで、信頼できるネットワークルータは、１００−Ｂａｓｅ−Ｔｘインターフェースを使用して、沿線デバイス（すなわち、中央装置１３２、駅装置１３４、および沿線装置１３６）に接続する。

論理レベルでは、列車デバイス、および列車ＳＤ１２６ａまたは１２６ｂの信頼できるＳＤインターフェースは、列車ネットワークと同じ仮想ローカルエリアネットワーク（ＶＬＡＮ）に属する。列車ＳＤ１２６ａまたは１２６ｂの信頼できない列車ＳＤインターフェース、およびＳＤバンク１２４ａまたは１２４ｂのＳＤの信頼できない沿線ＳＤインターフェースは、信頼できない無線ネットワークと同じＶＬＡＮに属する。ＳＤバンク１２４ａまたは１２４ｂのＳＤの信頼できるＳＤインターフェース、およびネットワークルータインターフェースは、同じＶＬＡＮを共有する。次いで、データトラフィックがその宛先に基づいてルーティングされ、いくつかの実施形態では各宛先は別々のＶＬＡＮを有する。

ルーティングされたレベルでは、決定的な障害モードを実現するために、少なくとも１つの実施形態による全体的な設計は、静的ルーティングに基づく。ルートメトリックの更新は、信頼できるネットワークルータ内のルートメトリックメカニズム、およびＳＤバンク１２４ａまたは１２４ｂを通じて行われる。信頼できるネットワークルータは、ＳＤバンク１２４ａまたは１２４ｂのＳＤ（集合的に「ＳＤサブセット」と呼ばれる）用のルートを格納し、メトリックおよびゲートウェイアドレスで区別される主要ルートおよびバックアップルートを有する。ルート統合は、同じＳＤバンクに連続するＳＤサブネットを割り当てることによって実行され得る。ルーティングテーブルが最新であることを確認するために、定期的にキープアライブが送信される。いくつかの実施形態では、ＳＤバンク上で、ＳＤゲートウェイに静的ルートが設定されて、更新を必要としない。いくつかの実施形態では、列車ＳＤ１２６ａまたは１２６ｂ上に、メトリックおよびゲートウェイアドレスで区別される、スーパーネッティングを通じてすべての沿線デバイスへの異なるＳＤバンクへの２つのルートがある。ルーティングテーブルが最新であることを確認するために、定期的にキープアライブが送信される。

セキュリティレベルでは、いくつかの実施形態では、各列車ＳＤ１２６ａまたは１２６ｂと、別のＳＤバンク１２４ａまたは１２４ｂとの間に、２つの静的ＩＰＳｅｃ ＶＰＮトンネルが維持される。インフラストラクチャ内のＰＫＩは、ＳＤノード（たとえば、搭載ＳＤ、およびＳＤバンク内のＳＤ）の完全性と妥当性を維持する。認証局が、証明書の発行および失効を維持する。いくつかの実施形態では、ＳＤバンクおよび列車ＳＤファイアウォールが、ＩＰＳｅｃ通信を使用しないあらゆるパケット、ならびに許可された列車および沿線アドレス範囲外のデバイスを廃棄する。

いくつかの実施形態では、ＳＤバンクと列車に搭載されたＳＤとの間に、２つよりも少数または多数の通信トンネルが確立されて維持される。いくつかの実施形態では、列車ＳＤとＳＤバンクとの間の通信トンネルは、ＩＰＳｅｃトンネル以外の通信トンネルである。

［列車ＳＤ］

列車セキュリティデバイス（ＳＤ）は、列車デバイスから沿線デバイス（たとえば、中央装置１３２、駅装置１３４、または沿線装置１３６のデバイス）への通信のためのゲートウェイである。いくつかの実施形態では、列車ＳＤは、ルータ、ＩＰＳｅｃ仮想プライベートネットワーク（ＶＰＮ）デバイス、ファイアウォール、ルートメトリック更新器、および／または複数のポイントスイッチとしての機能を果たす。

いくつかの実施形態では、ルートメトリック更新器から更新された最新のメトリック情報に基づいて、列車ＳＤは、パケットをＳＤバンクゲートウェイにルーティングする。

いくつかの実施形態では、列車ＳＤは、１つまたは複数のＳＤバンクゲートウェイを備えるＶＰＮトンネルを確立して、インターネットセキュリティアソシエーションおよび鍵管理プロトコル（ＩＳＡＫＭＰ）ならびに／またはＩＰＳｅｃプロトコルを使用して、共有された秘密をリフレッシュする。

いくつかの実施形態では、列車ＳＤは、指定されたＶＰＮトンネルにカプセル化されていない、または列車内のＩＰアドレス範囲外のすべてのパケットを廃棄する。

いくつかの実施形態では、ＳＤは、ルートメトリック更新器としての役割を果たし、ルートの状態を決定するために定期的なキープアライブメッセージをＳＤバンクに送信して、障害が検出されるとルートのメトリックを更新する。いくつかの実施形態では、一般的なキープアライブメッセージは３−５ポーリングであり、ポーリング期間は２００〜５００ミリ秒と同じくらいの速さでよい。

いくつかの実施形態では、列車ＳＤは、列車アクセスデバイスへのポートアクセスを提供する。

［ＳＤバンク］

ＳＤバンクは複数のＳＤを含み、各ＳＤバンクは列車デバイスから沿線デバイスへの通信のためのゲートウェイである。複数のＳＤの各ＳＤは、ルータ、ＩＰＳｅｃ仮想プライベートネットワーク（ＶＰＮ）デバイス、ファイアウォール、ルートメトリック更新器、および／または複数のポイントスイッチとしての機能を果たす。

いくつかの実施形態では、ルートメトリック更新器から更新された最新のメトリック情報に基づいて、ＳＤバンクの各ＳＤは、パケットをＳＤバンクゲートウェイにルーティングする。

いくつかの実施形態では、ＳＤバンクの各ＳＤは、複数の列車ＳＤゲートウェイを備えるＶＰＮトンネルを確立して、ＩＳＡＫＭＰおよびＩＰＳｅｃプロトコルを使用して、共有された秘密をリフレッシュする。

いくつかの実施形態では、ＳＤバンクの各ＳＤは、指定されたＶＰＮトンネルにカプセル化されていない、または列車内のＩＰアドレス範囲外のすべてのパケットを廃棄する。

いくつかの実施形態では、各ＳＤは、ルートメトリック更新器としての役割を果たし、ルートの状態を決定するために定期的なキープアライブメッセージを列車ＳＤおよび／または同じＳＤバンク内の別のＳＤに送信して、障害が検出されるとルートのメトリックを更新する。一般的なキープアライブメッセージは３−５ポーリングであり、ポーリング期間は２００〜５００ミリ秒と同じくらいの速さでよい。

いくつかの実施形態では、ＳＤバンクの各ＳＤは、沿線デバイスへのポートアクセスを提供する。

いくつかの実施形態では、ＳＤバンクは、ＳＤバンクの１つまたは複数のＳＤを接続するネットワークアーキテクチャを使用して実装される。いくつかの実施形態では、ＳＤバンクは、ＳＤバンクの１つまたは複数のＳＤの動作を管理するコントローラを含む。

たとえば、いくつかの実施形態では、ＳＤバンクは、信頼できるネットワークと信頼できないネットワークを通信可能に接続して、ＳＤ内に共通バスまたはローカルネットワークを含み、１つまたは複数のＳＤは共通バスまたはローカルネットワークに接続される。いくつかの実施形態では、ＳＤバンクは、通信情報を更新するために、ＳＤのうちの第１のＳＤに、同じＳＤバンクのＳＤのうちの第２のＳＤに通信情報を送信させるように構成される。通信情報は、信頼できるネットワークのルートメトリック、セキュリティポリシー情報、デジタル証明書、または鍵交換情報を含む。

いくつかの実施形態では、ＳＤバンクのＳＤ間の負荷バランシングは動的ベースである。いくつかの実施形態では、ＳＤバンクのＳＤのうちの第１のＳＤは、ＳＤのうちの第１のＳＤ上のデータトラフィック、またはＳＤのうちの第１のＳＤによってＶＰＮトンネルを確立する要求を、ＳＤのうちの第２のＳＤにリダイレクトするように構成される。いくつかの実施形態では、ＳＤバンクは、ＳＤのうちの第１のＳＤ上のデータトラフィック、またはＳＤのうちの第１のＳＤによってＶＰＮトンネルを確立する要求を、ＳＤのうちの第２の第１のＳＤにリダイレクトするように構成されたスタンドアロン型コントローラをさらに有する。いくつかの実施形態ではＣＰＵ使用率またはパケット数によって表される、ＳＤバンクの第１のＳＤの測定された作業負荷に基づいて、ＳＤバンクは、専用インターフェースを使用するトラフィック転送、ゲートウェイアドレスとして負荷の少ないＳＤインターフェースのＭＡＣアドレスでの動的ＡＲＰ更新、またはＳＤバンク内の他のＳＤプロセッサとの分散処理などの方法を使用することによって、ＳＤバンクの第２のＳＤにトラフィックをリダイレクトする。いくつかの実施形態では、ＳＤ間での作業負荷の分散は、ＳＤバンクのすべてのＳＤを接続するローカルネットワークを介して、負荷を分散し受けるために８０２．３ａｄなどのリンクアグリゲーションプロトコルを利用するＳＤバンクのＳＤのうちの１つによって調整される。ルータ、証明書、および鍵交換情報は、ＳＤバンク内のＳＤ間で共有される。

いくつかの実施形態では、ＳＤバンクのＳＤ間の負荷バランシングは、あらかじめ定められた作業負荷割当てに応じた静的ベースである。作業負荷は、ＳＤバンクの特定のＳＤへのルートおよびゲートウェイを定義することによって静的に割り当てられる。たとえば、列車ＳＤ Ｎｏ．１〜１０は、ＳＤバンクのＳＤユニット１に割り当てられ、列車ＳＤ１１〜２０は、ＳＤバンクのＳＤユニット２に割り当てられる。ＳＤバンク内の個々のＳＤ間の相互作用は、動的負荷バランシングスキームと比較して減少する（ネットワーク更新のみなど）。

さらに、個々のＳＤバンクに実装されたセキュリティポリシーは、動的負荷バランシングスキームについて同じＳＤバンクのＳＤ間で一致する。ポリシーの更新は、同じＳＤバンク内の各ＳＤに伝搬される。

鍵およびデジタル証明書は、動的負荷バランシングスキームについて個々のＳＤバンクのＳＤ内で共有される。個々の鍵およびデジタル証明書は、静的負荷バランシングスキームに使用される。

［信頼できるネットワークルータ］

信頼できるネットワークルータは、パケットのルーティングと、ルートメトリック更新器の、少なくとも２つの機能を実行する。

信頼できるネットワークルータは、ルートメトリック更新器から更新された最新のメトリック情報に基づいて、パケットをＳＤバンクゲートウェイにルーティングする。

ルートメトリック更新器は、ルートの状態を決定するために定期的なキープアライブメッセージをＳＤバンクに送信して、障害が検出されるとルートのメトリックを更新する。一般的なキープアライブメッセージは３−５ポーリングであり、ポーリング期間は２００〜５００ミリ秒と同じくらいの速さでよい。

いくつかの実施形態では、ＳＤバンク内のＳＤは、ハードウェア、ファームウェア、およびソフトウェアメンテナンス費用を減少させるために、列車と同じハードウェアを使用して実装される。ルータは、ルートトレーシング機能をサポートする、任意の標準環境に定格のルータでよい。実装形態に代わるものには、機能をプログラムすることができる限り、商用オフザシェルフ（ＣＯＴＳ）ベースの列車、または沿線ＳＤがある。

ソフトウェアの観点では、Ｌｉｎｕｘ、ＯｐｅｎＢＳＤ、Ｗｉｎｄｏｗｓ、ＱＮＸなどの汎用プロセッサを使用して考慮することができるＩＰＳｅｃの多くの実装形態がある。組み込みプロセッサまたは専用ハードウェアに基づくセキュリティ暗号化アクセラレータなどの他のオプションも、可能な選択肢である。

本開示は、高可用性と決定的な障害モードを実現するために、ルーティングのキープアライブをＩＰＳｅｃに組み合わせる。また、本開示は、列車およびＳＤバンクにおけるルートおよびトンネルを最小限に抑えるためのＩＰ割当てスキームを説明する。また、いくつかの実施形態では、スケーラビリティを実現するために静的ルート割当てが使用される。列車制御に適したセキュリティソリューションを展開するために、利用可能な、または検証済みのハードウェアを活用する（すなわち、増加した通信容量を有する新しいＳＤを検証する代わりに、ＳＤバンク内のＳＤを追加する）。

図２は、１つまたは複数の実施形態による、ＣＢＴＣシステム１００の機能ブロック図である。図２には、３つのＳＤバンク１２４ａ、１２４ｂ、および１２４ｃ、ならびに３つの異なる駅装置１３４ａ、１３４ｂ、および１３４ｃが示されている。さらに、モバイルネットワーク１１６は、トラックに沿った複数の無線局２１２、２１４、および２１６、ならびに列車に搭載された無線局を含む。駅装置１３４ａは、自動列車監視ワークステーション（ＡＴＳ ＷＳ）を含む。駅装置１３４ｂは、ＡＴＳ ＷＳ、ゾーンコントローラ（ＺＣ）、および診断コレクタ（Ｄｉａｇ． Ｃｏｌｌ．）を含む。駅装置１３４ｃは、ＺＣ、およびＤｉａｇ． Ｃｏｌｌを含む。中央装置１３２は、ルータ、システム調整サーバ（ＳＲＳ）、および診断サーバ（Ｄｉａｇ． Ｓｖｒ．）を含む。

信頼できるネットワーク１１２は、異なる性質および挙動のデータトラフィックのために論理的および／または物理的に分離されたネットワークである、診断ネットワーク２２２、自動列車監視ネットワーク２２４、および自動列車制御ネットワーク２２６を含む。分離によって、データトラフィックが相互に影響を与えないという保証が提供される。たとえば、診断ネットワーク２２２は、Ｄｉａｇ． Ｃｏｌｌ．およびＤｉａｇ． Ｓｒｖ．から／へのデータトラフィックを処理するために使用され、自動列車監視ネットワーク２２４は、ルータ、ＡＴＳ ＷＳ、およびＳＲＳから／へのデータトラフィックを処理するために使用され、自動列車制御ネットワーク２２６は、ルータおよびＺＣから／へのデータトラフィックを処理するために使用される。図２に示されるように、各ネットワーク２２２、２２４、および２２６は、異なるＳＤバンク１２４ａ、１２４ｂ、および１２４ｃに割り当てられる。しかしながら、いくつかの実施形態では、２つ以上のネットワーク２２２、２２４、および２２６が、１つまたは複数の共通ＳＤバンクを共有する。

図３Ａは、１つまたは複数の実施形態による、沿線デバイスから列車デバイスへの通信のタイミング図である。さらなる動作が、図３Ａに示される図の前、間、および／または後に実行されてよく、他のいくつかの動作は、本明細書では簡単に説明されるに過ぎないことが理解される。

動作３１２で、沿線デバイス（図１および図２における、中央装置１３２、駅装置１３４、および沿線装置１３６のデバイスなど）は、信頼できるネットワーク１１２内のルータにパケットを送信する。動作３１４で、ルータは、信頼できるネットワークを通じてＳＤバンクのうちの１つにパケットを送信するためのルートを決定する。動作３１６で、ルータは、決定されたルートに沿ってＳＤバンクのうちの１つにパケットを送信する。

動作３２２で、沿線ＳＤバンクは、データパケットを受信して、ＳＤのあらかじめ定められた作業負荷割当て、または測定された作業負荷に基づいてＳＤバンクのＳＤのうちの１つを選択し、あるいは列車ＳＤへの既存のＶＰＮトンネルがある場合、受信されたデータパケットを処理する。選択されたＳＤは、パケットがあらかじめ定められたルートに沿ってルーティングされたか、またはあらかじめ定められたルーティング規則のセットと一致するかどうかを決定するために、パケットを検査する。動作３２４で、選択されたＳＤがパケットを暗号化する。動作３２６で、選択されたＳＤが、暗号化されたパケットを、信頼できないネットワークを介して列車ＳＤに送信する。

動作３３２で、列車ＳＤが、受信されたパケットを復号化して、パケットを宛先列車デバイスに送信する。データパケットのハンドシェーキング、暗号化、および／または復号化は、ＳＤバンクの選択されたＳＤと列車ＳＤとの間の信頼できないネットワークを介するＶＰＮトンネルを使用するデータトラフィックの確立、送信、および／または受信とも呼ばれる。

図３Ｂは、１つまたは複数の実施形態による、列車デバイスから沿線デバイスへの通信のタイミング図である。さらなる動作が、図３Ｂに示される図の前、間、および／または後に実行されてよく、他のいくつかの動作は、本明細書では簡単に説明されるに過ぎないことが理解される。

動作３６２で、列車デバイスが、列車に搭載されたＳＤ（すなわち、「列車ＳＤ」）にパケットを送信する。動作３７２で、列車ＳＤがパケットを検査する。動作３７４で、列車ＳＤがパケットを暗号化する。動作３７６で、列車ＳＤが、ＳＤバンクのうちの１つを介して宛先沿線デバイスにパケットを送信するためのルートを決定する。動作３７８で、列車ＳＤが、暗号化されたパケットをＳＤバンクのうちの１つに送信する。

動作３８２で、ＳＤバンクのうちの１つが、ＳＤの作業負荷割当て、または測定された作業負荷に応じてＳＤバンクのＳＤのうちの１つを選択し、あるいは列車ＳＤへの既存のＶＰＮトンネルがある場合、受信されたデータパケットを処理する。選択されたＳＤがパケットを復号化して、復号化されたパケットをルータに送信する。動作３８４で、ルータが、決定されたルートに沿って、宛先沿線デバイスにパケットを送信する。

図４は、１つまたは複数の実施形態による、信頼できるネットワーク、信頼できないネットワーク、およびＳＤバンクの２つのセキュリティデバイス（ＳＤ）間の通信のタイミング図である。いくつかの実施形態では、ＳＤバンクのＳＤは、ＳＤバンク内の共通バスまたはローカルネットワークに接続される。

ＳＤバンクのＳＤのうちの１つが、ゲートウェイ情報を更新するために、定期的なアドレス解決プロトコル（ＡＲＰ）メッセージを信頼できないネットワークに送信する。信頼できないネットワークは、新しいデバイスのＡＲＰも提供する（動作４１２）。また、ＳＤは、鍵交換情報を交渉するために、信頼できないネットワークを介して他の列車ＳＤと通信する（動作４１４）。ＳＤは、証明書、鍵、およびポリシーをＳＤバンクの他のＳＤと共有して（動作４１６）、ＳＤバンクの他のＳＤの正常性を監視するためにプロトコルを実行する（動作４１８）。

さらに、ＳＤは、信頼できるネットワークを介して、認証局からの証明書情報を要求、失効、および更新する（動作４２２）。また、ＳＤは、信頼できるネットワーク上のルーティングキープアライブに応答する（動作４２２）。

図４に示されるように、ＳＤバンクの他のＳＤ（ＳＤバンクユニット２）は、上述のすべての動作を個別に実行することができる。

図５は、１つまたは複数の実施形態による、ＳＤおよび／またはＳＤバンクを実装するために使用可能なコンピュータシステム５００の機能ブロック図である。コンピュータシステム５００は、ハードウェアプロセッサ５１０、およびコンピュータプログラムコード５２２、すなわち実行可能命令のセットで符号化された、すなわちそれを格納する、非一時的コンピュータ可読記憶媒体５２０を含む。プロセッサ５１０は、コンピュータ可読記憶媒体５２０に電気的に結合される。プロセッサ５１０は、コンピュータ５００を、ＳＤ、またはＳＤバンク内のＳＤを管理するためのコントローラとして使用可能にするために、コンピュータ可読記憶媒体５２０内で符号化されたコンピュータプログラムコード５２２を実行するように構成される。

いくつかの実施形態では、プロセッサ５１０は、中央処理装置（ＣＰＵ）、マルチプロセッサ、分散された処理システム、特定用途向け集積回路（ＡＳＩＣ）、および／または適切な処理ユニットである。

いくつかの実施形態では、コンピュータ可読記憶媒体５２０は、電気、磁気、光、電磁、赤外線、および／または半導体システム（あるいは、装置またはデバイス）である。たとえば、コンピュータ可読記憶媒体５２０は、半導体またはソリッドステートメモリ、磁気テープ、リムーバブルコンピュータディスケット、ランダムアクセスメモリ（ＲＡＭ）、読出し専用メモリ（ＲＯＭ）、剛性磁気ディスク、および／または光ディスクを含む。光ディスクを使用するいくつかの実施形態では、コンピュータ可読記憶媒体５２０は、コンパクトディスク読出し専用メモリ（ＣＤ−ＲＯＭ）、コンパクトディスク読出し／書込み（ＣＤ−Ｒ／Ｗ）、および／またはデジタルビデオディスク（ＤＶＤ）を含む。

コンピュータシステム５００は、少なくともいくつかの実施形態では、入力／出力インターフェース５３０、およびディスプレイインターフェース５４０を含む。入力／出力インターフェース５３０はプロセッサ５１０に結合されており、データ通信システムエンジニアが、ＳＤ、またはＳＤバンク内のＳＤのコントローラの設定を調整することを可能にする。少なくともいくつかの実施形態では、ディスプレイインターフェース５４０は、コンピュータシステム５００の動作を外部ディスプレイユニットに出力する。少なくともいくつかの実施形態では、入力／出力インターフェース５３０、およびディスプレイインターフェース５４０は、オペレータがインタラクティブな方法でコンピュータシステム５００を操作することを可能にする。少なくともいくつかの実施形態では、ディスプレイインターフェースは省略される。

少なくともいくつかの実施形態では、コンピュータシステム５００は、プロセッサ５１０に結合されたネットワークインターフェース５５０も含む。ネットワークインターフェース５５０は、コンピュータシステム５００が、１つまたは複数の他のコンピュータシステムが接続されるネットワーク５６０と通信することを可能にする。ネットワークインターフェースは、ＢＬＵＥＴＯＯＴＨ、Ｗｉ−Ｆｉ、ＷｉＭＡＸ、ＧＰＲＳ、またはＷＣＤＭＡなどの無線ネットワークインターフェース、あるいはイーサネット、ＵＳＢ、またはＩＥＥＥ−１３９４などの有線ネットワークインターフェースを含む。

ある実施形態によれば、システムは、信頼できるネットワーク、信頼できないネットワーク、移動する物体に搭載された搭載装置、移動する物体に搭載され、搭載装置と信頼できないネットワークを通信可能に接続する１つまたは複数の第１のセキュリティデバイス、および信頼できるネットワークと信頼できないネットワークを通信可能に接続するセキュリティデバイスバンクを含む。セキュリティデバイスバンクは、共通バスまたはローカルネットワーク、および共通バスまたはローカルネットワークに接続された１つまたは複数の第２のセキュリティデバイスを含む。

別の実施形態によれば、セキュリティデバイスバンクは、信頼できるネットワークと信頼できないネットワークを接続するように構成される。セキュリティデバイスバンクは、共通バスまたはローカルネットワーク、および共通バスまたはローカルネットワークに接続された１つまたは複数のセキュリティデバイスを含む。

別の実施形態によれば、セキュリティデバイスバンクを使用するデータ通信の方法は、信頼できるネットワークを通じて第１のデバイスからデータパケットを受信するステップを含む。セキュリティデバイスバンクは、セキュリティデバイスバンクの１つまたは複数のセキュリティデバイスのあらかじめ定められた作業負荷割当て、または測定された作業負荷に基づいて、セキュリティデバイスバンクの１つまたは複数のセキュリティデバイスのうちの１つを選択する。データパケットは、セキュリティデバイスバンクの１つまたは複数のセキュリティデバイスのうちの１つによって確立された仮想プライベートネットワーク（ＶＰＮ）トンネルを使用することによって、信頼できないネットワークを通じて第２のデバイスに送信される。

当業者が本開示の態様をよりよく理解できるようにするために、上記はいくつかの実施形態の特徴を概説する。当業者は、本明細書で紹介された実施形態と同じ目的を実行するために、および／または同じ利点を実現するために、他の処理および構造の設計または修正の基礎として本開示を容易に使用できることを理解するべきである。また、当業者は、そのような等価な構成が、本開示の趣旨および範囲から逸脱せず、当業者は、本開示の趣旨および範囲から逸脱することなしに、本明細書に様々な変更、置換、および改変を行うことができることを理解するべきである。

Claims (20)

1. システムであって、
   信頼できるネットワークと、
   信頼できないネットワークと、
   移動可能物体に搭載された搭載装置と、
   沿線装置及び中央装置並びに駅装置を備えるとともに前記信頼できるネットワークに通信可能に接続する非搭載装置と、
   前記移動可能物体に搭載され、前記搭載装置と前記信頼できないネットワークとを通信可能に接続する１つまたは複数の第１のセキュリティデバイスと、
   前記信頼できるネットワークと前記信頼できないネットワークとを通信可能に接続するセキュリティデバイスバンクとを備え、
   前記セキュリティデバイスバンクは、
   共通バスまたはローカルネットワークと、
   前記共通バスまたは前記ローカルネットワークに接続された１つまたは複数の第２のセキュリティデバイスとを備え、
   前記１つ又は複数の第２のセキュリティデバイスの各第２のセキュリティデバイスは、前記セキュリティデバイスバンクと前記１つ又は複数の第１のセキュリティデバイスとの間の前記信頼できないネットワークを介したあらかじめ定められた数の通信トンネルを確立するよう構成され、
   前記通信トンネルは、インターネットエンジニアリングタスクフォース（ＩＥＴＦ）インターネットプロトコルセキュリティ（ＩＰｓｅｃ）標準に準拠し、
   前記セキュリティデバイスバンクは、前記共通バス又は前記ローカルネットワークに接続された１つ又は複数の追加第２のセキュリティデバイスを前記セキュリティデバイスバンクに追加することによって前記セキュリティデバイスバンクの通信容量の増加を調整可能に構成され、
   前記セキュリティデバイスバンクに含まれる前記１つ又は複数の第２のセキュリティデバイスは前記システムの検証されたコンポーネントであり、
   前記１つ又は複数の第２のセキュリティデバイスは、前記１つ又は複数の追加第２のセキュリティデバイスを、前記共通バス又は前記ローカルネットワークに接続された前記１つ又は複数の追加第２のセキュリティデバイスに基づく前記システムの前記検証されたコンポーネントにするよう構成され、
   前記非搭載装置の全ては、前記セキュリティデバイスバンクのみを介して前記信頼できないネットワークと通信可能に接続され、
   前記非搭載装置の全ては、前記セキュリティデバイスバンクと独立した前記信頼できるネットワークを介して、互いに通信可能に接続される。
2. 請求項１に記載のシステムであって、前記１つ又は複数の第２のセキュリティデバイスによって確立された前記通信トンネルの少なくとも１つは、前記信頼できないネットワークを介する仮想プライベートネットワーク（ＶＰＮ）トンネルである。
3. 請求項１に記載のシステムであって、前記１つ又は複数の第２のセキュリティデバイスによって確立された前記通信トンネルは、前記信頼できないネットワークを介する複数のＶＰＮトンネルを備える。
4. 請求項１に記載のシステムであって、前記セキュリティデバイスバンクは第１のセキュリティデバイスバンクであり、前記システムは更に、前記信頼できるネットワークと前記信頼できないネットワークとを通信可能に接続する第２のセキュリティデバイスバンクを備え、
   前記第１のセキュリティデバイスバンクの前記１つ又は複数の第２のセキュリティデバイスによって確立された前記通信トンネルは、前記信頼できないネットワークを介して前記第１のセキュリティデバイスバンクと前記１つ又は複数の第１のセキュリティデバイスとを通信可能に接続する少なくとも１つのＶＰＮトンネルを備え、
   前記第２のセキュリティデバイスバンク及び前記１つ又は複数の第１のセキュリティデバイスは、前記信頼できないネットワークを介して前記第２のセキュリティデバイスバンクと前記１つ又は複数の第１のセキュリティデバイスとを通信可能に接続する別々のＶＰＮトンネルを確立するよう構成される。
5. 請求項１に記載のシステムであって、前記１つ又は複数の第２のセキュリティデバイスによって確立された前記通信トンネルは、ＶＰＮトンネルである。
6. 請求項１に記載のシステムであって、前記信頼できるネットワークに通信可能に接続された固定装置をさらに備え、前記信頼できるネットワークは、静的ルーティングおよびキープアライブポーリングによって前記固定装置と前記セキュリティデバイスバンクとの間に通信を確立するように構成される。
7. 請求項１に記載のシステムであって、前記１つまたは複数の第２のセキュリティデバイスは、前記セキュリティデバイスバンク内で互いに通信情報を共有して前記１つ又は複数の追加セキュリティデバイスを前記システムの前記検証されたコンポーネントにするように構成される。
8. 請求項７に記載のシステムであって、前記通信情報は、前記共通バス又は前記ローカルネットワークを介して、前記セキュリティデバイスバンクに含まれる前記１つ又は複数の第２のセキュリティデバイス、及び、前記セキュリティデバイスバンクに追加された前記１つ又は複数の追加第２のセキュリティデバイスに伝搬されたセキュリティポリシー情報を備える。
9. 請求項１に記載のシステムであって、前記１つまたは複数の第２のセキュリティデバイスのうちの第１のデバイスは、（１）前記１つまたは複数の第２のセキュリティデバイスのうちの前記第１のデバイス上のデータトラフィック、あるいは（２）前記１つまたは複数の第２のセキュリティデバイスのうちの前記第１のデバイスによってＶＰＮトンネルを確立する要求を、前記１つまたは複数の第２のセキュリティデバイスのうちの第２のデバイスにリダイレクトするように構成される。
10. 請求項１に記載のシステムであって、前記セキュリティデバイスバンクは、（１）前記１つまたは複数の第２のセキュリティデバイスのうちの第１のデバイス上のデータトラフィック、あるいは（２）前記１つまたは複数の第２のセキュリティデバイスのうちの前記第１のデバイスによってＶＰＮトンネルを確立する要求を、前記１つまたは複数の第２のセキュリティデバイスのうちの第２のデバイスにリダイレクトするように構成されたスタンドアロン型コントローラをさらに備える。
11. 請求項１に記載のシステムであって、前記１つ又は複数の追加第２のセキュリティデバイスは、前記セキュリティデバイスバンクにおける前記１つ又は複数の追加第２のセキュリティデバイスの包含のみに基づく前記システムの検証されたコンポーネントである。
12. 請求項１に記載のシステムであって、前記追加第２のセキュリティデバイスの数は、前記非搭載装置に含まれる沿線装置の数に基づく。
13. 信頼できるネットワークと信頼できないネットワークを接続するように構成されたセキュリティデバイスバンクであって、前記セキュリティデバイスバンクは、
    共通バスまたはローカルネットワークと、
    前記共通バスまたは前記ローカルネットワークに接続された１つまたは複数の非搭載セキュリティデバイスとを備え、
    前記１つ又は複数の非搭載セキュリティデバイスの各非搭載セキュリティデバイスは、前記セキュリティデバイスバンクと移動可能車両に搭載された１つ又は複数の搭載セキュリティデバイスとの間の前記信頼できないネットワークを介したあらかじめ定められた数の通信トンネルを確立するよう構成され、
    前記通信トンネルは、インターネットエンジニアリングタスクフォース（ＩＥＴＦ）インターネットプロトコルセキュリティ（ＩＰｓｅｃ）標準に準拠し、
    前記セキュリティデバイスバンクは、前記共通バス又は前記ローカルネットワークに接続された１つ又は複数の追加非搭載セキュリティデバイスを前記セキュリティデバイスバンクに追加することによって前記セキュリティデバイスバンクの通信容量の増加を調整可能に構成され、
    前記セキュリティデバイスバンクに含まれる前記１つ又は複数の非搭載セキュリティデバイスは車両制御システムの検証されたコンポーネントであり、
    前記１つ又は複数の非搭載セキュリティデバイスは、前記１つ又は複数の追加非搭載セキュリティデバイスを、前記共通バス又は前記ローカルネットワークに接続された前記１つ又は複数の追加非搭載セキュリティデバイスに基づく前記車両制御システムの前記検証されたコンポーネントにするよう構成され、
    前記車両制御システムは、沿線装置及び中央装置並びに駅装置を備える非搭載装置を備え、
    前記非搭載装置は、前記セキュリティデバイスバンクと独立した前記信頼できるネットワークを介して、互いに通信可能に、前記信頼できるネットワーク接続され、
    前記セキュリティデバイスバンクは、前記セキュリティデバイスのみを介して前記信頼できないネットワークと全ての非搭載装置が通信可能に結合するよう構成される。
14. 請求項１３に記載のセキュリティデバイスバンクであって、前記１つ又は複数の非搭載セキュリティデバイスによって確立された前記通信トンネルの少なくとも１つは、前記信頼できないネットワークを介する仮想プライベートネットワーク（ＶＰＮ）トンネルである。
15. 請求項１３に記載のセキュリティデバイスバンクであって、前記１つ又は複数の非搭載セキュリティデバイスによって確立された前記通信トンネルは、ＶＰＮトンネルである。
16. 請求項１３に記載のセキュリティデバイスバンクであって、前記１つ又は複数の非搭載セキュリティデバイスのうちの第１のデバイスは、前記共通バス又は前記ローカルネットワークを介して、前記１つ又は複数の非搭載セキュリティデバイスのうちの第２のデバイス及び前記１つ又は複数の追加非搭載セキュリティデバイスに、通信情報を送信するように構成される。
17. 請求項１６に記載のセキュリティデバイスバンクであって、前記通信情報は、セキュリティポリシー情報を備える。
18. 請求項１３に記載のセキュリティデバイスバンクであって、前記１つまたは複数の非搭載セキュリティデバイスのうちの第１のデバイスは、（１）前記１つまたは複数の非搭載セキュリティデバイスのうちの前記第１のデバイス上のデータトラフィック、（２）または前記１つまたは複数の非搭載セキュリティデバイスのうちの前記第１のデバイスによってＶＰＮトンネルを確立する要求を、前記１つまたは複数の非搭載セキュリティデバイスのうちの第２のデバイスにリダイレクトするように構成される。
19. 請求項１３に記載のセキュリティデバイスバンクであって、（１）前記１つまたは複数の非搭載セキュリティデバイスのうちの第１のデバイス上のデータトラフィック、（２）または前記１つまたは複数の非搭載セキュリティデバイスのうちの前記第１のデバイスによってＶＰＮトンネルを確立する要求を、前記１つまたは複数の非搭載セキュリティデバイスのうちの第２のデバイスにリダイレクトするように構成されたスタンドアロン型コントローラをさらに備える。
20. 方法であって、
    信頼できるネットワークを通じて第１のデバイスからセキュリティデバイスバンクへデータパケットを通信するステップであって、前記セキュリティデバイスバンクは１つ又は複数のセキュリティデバイスを備え、前記第１のデバイスは、沿線装置及び中央装置並びに駅装置を備えた非搭載装置ネットワークに含まれる複数のデバイスのうちの１つのデバイスであり、前記非搭載装置ネットワークに含まれる前記複数のデバイスは前記信頼できるネットワークを介して互いに通信可能に接続されている、ステップと、
    前記セキュリティデバイスバンクによって、前記セキュリティデバイスバンクの１つまたは複数のセキュリティデバイスのあらかじめ定められた作業負荷割当て、または測定された作業負荷に基づいて、前記セキュリティデバイスバンクの前記１つまたは複数のセキュリティデバイスのうちの１つを選択するステップと、
    前記データパケットを、仮想プライベートネットワーク（ＶＰＮ）トンネルを使用することによって、信頼できないネットワークを通じて第２のデバイスに送信するステップであって、ＶＰＮトンネルのあらかじめ定められた数は、前記セキュリティデバイスバンクの前記１つまたは複数のセキュリティデバイスのうちの前記選択された１つによってインターネットエンジニアリングタスクフォース（ＩＥＴＦ）インターネットプロトコルセキュリティ（ＩＰｓｅｃ）標準に準拠して確立され、前記第２のデバイスは移動可能車両に搭載される搭載装置に含まれる複数のデバイスのうちの１つのデバイスである、ステップと、
    １つ又は複数の追加セキュリティデバイスを前記セキュリティデバイスバンクに物理的に追加し、前記セキュリティデバイスバンクに含まれる前記セキュリティデバイスによって確立可能なＶＰＮトンネルの総数を増加させることにより前記セキュリティデバイスバンクの通信容量を増加させるステップと、
    車両制御システムの検証されたコンポーネントとして前記セキュリティデバイスバンクに含まれる前記セキュリティデバイスを確立するセキュリティポリシーを、前記１つ又は複数の追加セキュリティデバイスに伝搬させるステップと、
    前記セキュリティデバイスバンクの前記１つ又は複数の追加セキュリティデバイスの包含に基づき前記１つ又は複数の追加セキュリティデバイスを検証するステップとを備え、
    前記非搭載装置の全ては、前記セキュリティデバイスバンクのみを介して前記信頼できないネットワークと通信可能に接続され、
    前記非搭載装置の全ては、前記セキュリティデバイスバンクと独立した前記信頼できるネットワークを介して、互いに通信可能に接続される。

Images