JP6913482B2 - ネットワークシステム - Google Patents

Description

本発明は、ネットワークシステムに係り、例えば、同一ネットワーク内に保安機器と非保安機器が混在するネットワークシステムに関する。

鉄道信号分野の保安機器と非保安機器の混在するネットワークにおいて、保安情報の安全性を確保するために、非保安機器による保安機器への成り済まし防止技術が知られている。ここで、「非保安機器による保安機器への成り済まし」とは、非保安機器の情報が、故障による誤動作等によって保安機器の情報へ変換されてしまうことを想定する。保安機器は、列車運送の安全を確保する機器である。したがって、保安機器の扱う情報は、「高い信頼性」が要求される。

鉄道分野の通信技術の規格（ＩＥＣ６２２８０）において、成り済まし防止のために暗号技術で対応することが規定されている。一般に、秘匿には、現状で広く利用されているＡＥＳ（NIST FIPS197）が使用される。

また、複数ネットワーク接続する伝送装置システムにおいて、ネットワーク・トポロジーをリング状にして、システムの均等化及びタンデム接続可能に、非同期ランダムアクセスの可変長情報フレームを、情報フレームの衝突及び廃棄を行うことなく、非蓄積伝送することができる伝送装置がある（例えば、特許文献１参照）。

具体的には、例えば図１に示すようなネットワークシステム１０１の技術が開示されている。このネットワークシステム１０１では、複数の伝送端末装置（ゲートウェイ装置）が、より具体的にはノード（＃１）１２１〜ノード（＃６）１２６が直列に接続し１周させたリング状にネットワークを構成している。このネットワークを使用して情報を授受したい装置を「ホスト」と呼び、このネットワーク回線を介して他のホストと通信する。保安機器は、ＦＳＣＰＵ（フェイルセイフＣＰＵ）を備え、故障時等に検定を行う機能を備え、故障時に異常動作を継続する可能性が排除されている。一方、非保安機器は、ノーマルＣＰＵを備え、ＦＳＣＰＵのような検定機能を有さない。

伝送端末装置（ノード（＃１）１２１〜ノード（＃６）１２６）には、保安制御装置（保安系ホスト（＃１）１１１、保安系ホスト（＃２）１１２）や非保安制御装置（非保安系ホスト１３１）がイーサネット（登録商標）１９１で接続される。図１（ａ）では、ノード（＃１）１２１に保安系ホスト（＃１）１１１が接続される。ノード（＃１）１２１〜ノード（＃６）１２６のいずれかが、周期監視ノードとして機能し、所定の周期で情報フレーム（伝送フレーム）を出力する。ここで、ノード（＃１）１２１のＩＰアドレスが「１９２．１６８．１．１」で、保安系ホスト（＃１）１１１のＩＰアドレスが「１９２．１６８．１．１０」である。ノード（＃４）１２４のＩＰアドレスが「１９２．１６８．４．１」で、保安系ホスト（＃２）１１２のＩＰアドレスが「１９２．１６８．４．１０」である。

図２に保安系ホスト（＃１）１１１から保安系ホスト（＃２）１１２へ情報を送信する場合に用いられる情報フレームの関係を示している。図示のように、保安系ホスト（＃１）１１１から「１９２．１６８．４．１０」宛ての情報が出力されると、ノード（＃１）１２１は、宛先からノード（＃４）１２４へ送る情報であると判断する。ノード（＃１）１２１は、宛先（＃４へ）の指定及び自ノードの位置情報（＃１のフレーム番号）を使用して、情報フレームへ書き込む。ノード（＃４）１２４は、情報フレームの中から自ノード宛て（＃４宛て）の情報（ここでは、「１９２．１６８．４．１０」宛ての情報）を取り出し、保安系ホスト（＃２）１１２へ出力する。

特開２００２−３５３９７０号公報

ところで、保安機器は、ＦＳＣＰＵ（フェイルセイフＣＰＵ）を備え故障時等に検定を行う機能を備えるが、ノーマルＣＰＵを備える非保安機器は、ＦＳＣＰＵのような機能を有さず故障時に異常動作を継続する可能性がある。そのため、非保安機器が同一ネットワーク内の保安機器に成り済ますことが可能であり、それによって保安情報を改ざんできてしまう虞がある。例えば、図１（ｂ）に示すように、保安系ホスト（＃１）１１１から「ノード（＃４）１２４（保安系ホスト（＃２）１１２）」宛てに出力された情報「ａ」が、非保安系ホスト１３１が接続されたノード（＃３）１２３で破壊されてしまうことかある。この場合は、ＦＳＣＰＵを備える保安系ホスト（＃２）１１２が異常を検知することから、情報が破棄され、誤った情報が保安情報として用いられることは無い。一方、図１（ｂ）に示すように、非保安系ホスト１３１から出力された非保安系情報「ｂ」がノード（＃３）１２３で保安系情報「ｂ」として成り済ましされてしまうと、保安系ホスト（＃２）１２は成り済ましの保安系情報「ｂ」を正常と判断し、誤用してしまう虞がある。

このような理由によって、鉄道信号で使用するネットワークでは、保安機器（保安系ホスト）と非保安機器（非保安系ホスト）とをそれぞれ別の専用回線で運営し、それら専用回線を中継する中継装置を設ける複雑な構成となっていた。

本発明は、このような状況に鑑みなされたものであって、上記課題を解決する技術を提供することにある。

本発明は、保安機器と非保安機器とが混在してネットワークで接続されたネットワークシステムであって、前記保安機器と前記非保安機器とは、それぞれノード装置によって前記ネットワークに接続されており、前記保安機器は、異常動作の検定を行う検定機能と、情報を暗号化した暗号文の作成及び送信する機能と、受信した前記暗号文を復号する機能と、情報が暗号されない状態である平文を作成及び送信する機能と、を備え、前記非保安機器は、前記検定機能を備えず、前記平文の作成及び送信をする機能と、前記平文を受信する機能と、を備え、前記保安機器同士が通信を行う場合には、前記暗号文による送受信を行い、前記保安機器が前記非保安機器へ送信する場合は、前記平文を送信し、前記非保安機器同士の通信には、前記平文による送受信を行い、前記保安機器と前記ノード装置は、前記暗号文を伝送する経路である暗号化経路、前記平文を伝送する経路である非暗号化経路の各々で接続され、前記非保安機器と前記ノード装置は、前記非暗号化経路で接続され、前記保安機器と接続している前記ノード装置は、取得した情報を当該保安機器に送信する際に、当該情報が他の前記保安機器からの情報であると判断した場合は、前記暗号化経路を選択して当該保安機器に送信し、取得した情報が前記非保安機器からの情報であると判断した場合は、前記非暗号化経路を選択して当該保安機器に送信する。
また、前記保安機器は、接続された前記ノード装置から前記平文を受信した場合には、当該平文の情報を破棄してもよい。
また、前記ネットワークは、前記ノード装置が環状に接続されて構成されており、前記ノード装置のうちの一つは一定の周期で情報フレームを出力する周期監視ノードを設定し、前記ネットワークに断線が発生した場合に、接続している前記ノード装置のうちのいずれか１つが、情報フレームの出力を開始して、前記周期監視ノードと同じ周期を維持してもよい。
また、前記保安機器は共に前記ノード装置の一つである保安機器側第１ノード装置、保安機器側第２ノード装置と、それぞれ前記暗号化経路及び前記非暗号化経路で接続され、前記非保安機器は共に前記ノード装置の一つである非保安機器側第１ノード装置、非保安機器側第２ノード装置と、それぞれ前記非暗号化経路で接続され、前記保安機器と前記非保安機器とは、前記保安機器側第１ノード装置と前記非保安機器側第１ノード装置を介した第１のネットワーク、及び前記保安機器側第２ノード装置と前記非保安機器側第２ノード装置を介した第２のネットワークで接続され、前記暗号文及び前記平文の前記第１のネットワーク、前記第２のネットワークにおける伝送の向きが互いに逆向きとされていてもよい。
また、前記保安機器と前記ノード装置との接続、及び前記非保安機器と前記ノード装置との接続には、それぞれ標準的な通信規格のインタフェイスが用いられてもよい。

本発明によると、保安機器と非保安機器とが混在するネットワークにおいて、保安情報に成り済ました情報の影響を排除する技術を実現できる。

背景技術に係る、ネットワークシステムの概略構成を示す図である。 背景技術に係る、保安系ホスト同士の通信における情報フレームの関係を示す図である。 本実施形態に係る、非保安機器による保安機器への成り済ましを防止する機能の概要を説明する図である。 本実施形態に係る、ネットワークシステムの構成を示す図である。 本実施形態に係る、保安系ホストとノードの構成を示す図である。 本実施形態に係る、非保安系ホストとノードの構成を示す図である。 本実施形態に係る、ＩＰアドレスの設定ルールを説明する図である。 本実施形態に係る、非保安系ホストから保安系ホストへの伝送ルート例を示す図である。 本実施形態に係る、非保安系ホストから保安系ホストへの伝送ルート例を示す図である。 本実施形態に係る、二重化されたネットワークシステムの構成を示す図である。 本実施形態に係る、二重化されたネットワークシステムにおける伝送ルート例を示す図である。

次に、本発明を実施するための形態（以下、単に「実施形態」という）を、図面を参照して具体的に説明する。

まず、図３を参照して本実施形態の概要を説明する。本実施形態では、保安系ホスト１０（保安機器）には秘密鍵暗号のＡＥＳによる秘匿機能が実装される。一方、非保安系ホスト３０にはＡＥＳによる秘匿機能が実装されない。なお、保安系ホスト１０には、ＦＳＣＰＵ６１（図５等を参照。）が実装され、上述の秘匿機能をサポートする。一方、非保安系ホスト３０には、ＦＳＣＰＵ６１ではなくノーマルＣＰＵ（以下、「ｎＣＰＵ７１」と称する。）（図６等を参照。）が実装され、上述の秘匿機能をサポートすることはない。保安系ホスト１０、非保安系ホスト３０における通信には、イーサネットフレームが用いられる。

図３（ａ）は、保安系ホスト１０から保安系ホスト１０への暗号文による通信の例を示している。保安系ホスト１０は、ＡＥＳによる秘匿機能を実装するため、送信する情報の暗号化及び受信した情報の復号が可能である。図３（ｂ）は、保安系ホスト１０から非保安系ホスト３０への平文による通信の例を示している。保安系ホスト１０における暗号文と平文の選択は、ＦＳＣＰＵ６１が行う。図３（ｃ）は、非保安系ホスト３０から非保安系ホスト３０への平文による通信の例を示している。非保安系ホスト３０は暗号化及び復号が出来ないため、平文による通信となる。

図３（ｄ）は非保安系ホスト３０が保安系ホスト１０に成り済ました「非保安系ホスト成り済まし保安系ホスト」３０ｘから保安系ホスト１０への通信の例を示している。非保安系ホスト３０にはＡＥＳによる秘匿機能が実装されないため、平文の出力となる。平文を受信した保安系ホスト１０は、平文に対して復号処理を施すため、意味をなさない文（データ）となり、それを破棄する。

図３（ｅ）は非保安系ホスト３０が保安系ホスト１０に成り済ました「非保安系ホスト成り済まし保安系ホスト」３０ｘから暗号文による情報送信の例を示している。上述のように、非保安系ホスト３０にはＡＥＳによる秘匿機能が実装されないため、暗号文による情報送信は不可能となる。

このように、故障等に起因して非保安系ホスト３０が保安系ホスト１０に成り済ました場合でも、情報を受信した保安系ホスト１０は、復号失敗により電文破棄することで、保安情報の改ざんを防止する。

保安系ホスト１０には、通信チャネルとして完全に独立した２チャネル用意する。具体的には、保安系ホスト１０は、保安系ホスト１０同士の暗号文による通信に使用する「保安機器用通信チャネル（後述のＣｒｙｐｔｏチャネル５２）」と、非保安系ホスト３０との平文による通信に使用する「非保安機器用通信チャネル（後述のＮｏｒｍａｌチャネル５１）」を用意し、保安機器用通信チャネル（後述のＣｒｙｐｔｏチャネル５２）にのみＡＥＳによる秘匿機能を実装する。非保安系ホスト３０は、通信チャネルとして１チャネルのみ用意する。すなわち、非保安系ホスト３０は、保安系ホスト１０または別の非保安系ホスト３０との通信に、いずれの場合でも、非保安機器用通信チャネル（後述のＮｏｒｍａｌチャネル５１）を使用して、平文（暗号化されていないデータ）で電文受信する。

そのため、非保安系ホスト３０が保安系ホスト１０に成り済まして情報を送信したときには、保安機器用通信チャネルから平文で電文受信した保安系ホスト１０は、復号できず受信した電文を破棄する。より具体的には、復号処理後の電文は、イーサネットフレームを構成していないため、破棄される。これによって、非保安系ホスト３０の保安系ホスト１０への成り済ましによる保安情報の改ざんを防止でき、かつ、回線数を大幅に削減することができる。以下、より具体的に説明する。

図４は、本実施形態に係るネットワークシステム１の概略構成を示すブロック図である。このネットワークシステム１は、複数の伝送端末装置（ノード（＃１）２１〜ノード（＃６）２６）が直列に接続し１周させたリング状にネットワーク２を構成している。なおノード（＃１）２１〜ノード（＃６）２６を区別しない場合には、単に「ノード２０」と称する。

このネットワーク２を使用して情報を授受する装置を「ホスト」と呼び、ノード２０に接続することで、他のホストと通信する。ホストとして、保安系ホスト１０と非保安系ホスト３０とがある。ノード２０と各ホスト（保安系ホスト１０、非保安系ホスト３０）との接続にはイーサネット９１が用いられる。

図示では、保安系ホスト（＃１）１１がノード（＃１）２１に接続されている。また、保安系ホスト（＃２）１２がノード（＃４）２４に接続されている。非保安系ホスト（＃１）３１が、ノード（＃３）２３に接続されている。

本実施形態のネットワークシステム１では、定周期性を有する特徴を備え、ネットワーク２とノード２０間における情報の周期性が保証され、例えば「周期が５００μｓ」で設定されていれば、ノード２０間は５００μｓで情報伝送される。

ノード（＃１）２１〜ノード（＃６）２６のいずれかが、周期監視ノードとして機能し、所定の周期で情報フレーム（伝送フレーム）を出力する。ここでは、ノード（＃１）２１が初期の周期監視ノードとして設定される。

このような「定周期リフレッシュ方式」により、情報伝送の定周期性が保証される。定周期リフレッシュ方式とは、特別に定められた周期を監視するノード２０が１台のみあり、その周期を監視するノード２０が作り出した周期によって情報フレームを循環させるリング結線のネットワーク方式である。情報フレームとは，各ノードが情報を載せるための枠であり、各ノード２０は情報フレームの与えられた箇所を使用して情報を授受する。

定周期リフレッシュ方式では、ネットワーク２に断線が発生した場合であっても、可能な限り定周期性を維持する。すなわち、一部断線の状態となっても、残された正常に接続されている回線で定周期送信が継続されるために、断線により定周期に情報フレームを受信できなくなったノード２０は、周期監視ノードと同じ周期で周期監視を始める。それまで周期監視していたノード２０は、自ノード２０以外が周期監視を開始したことにより、周期監視を停止して、他ノード２０と同等の動作を開始する。これにより、断線に影響しないノード２０間の情報授受に関しては、定周期リフレッシュ方式の機能を継続する。

断線後に新たに周期の監視を開始するノード２０が更新されると、そのノード２０を確認できるため，断線箇所を検知することが可能である。すなわち、どのノード２０間で断線したかを検知することができる。

ホスト（保安系ホスト１０、非保安系ホスト３０）は、ＩＰパケットを使用して、所望の宛先アドレスに情報を送信する。ノード２０は、ホストから取得した情報を、ＩＰパケットから読み取った宛先ノード番号に対して、所定の伝送フレーム位置に載せたＩＰパケットを出力する。

自ノード宛のデータを受け取ったノード２０は、情報の中身であるＩＰパケットをホストに送る。以上により、ホスト間でのイーサネット通信が成立する。したがって、ホスト機器を追加してもノード２０間での自動的な接続確認（「ＡＲＰ（Address Resolution Protocol）」とも言う）により接続可能となるため、追加したホスト機器とノード２０の設定のみで対応可能となる。

また、従来のネットワークでは、情報量や送信周期が異なる機器（保安系ホスト１０と非保安系ホスト３０）を同一のネットワークに混在させることはできなかった。しかし、このネットワークシステム１ではイーサネット９１という標準的な通信網を使用した通信であるため、全ての機器を同一のネットワーク２に接続することが可能となる。その場合、保安系ホスト１０と非保安系ホスト３０とを同一のネットワーク２に接続するための安全性を考慮しなくてはならない。ここでは、非保安系ホスト３０の保安系ホスト１０への干渉を防ぐために、保安系ホスト１０同士の保安情報の授受には上述の暗号化が行われる。

ホスト及びノードに設定されるＩＰアドレスは次の通りである。なお、ＩＰアドレスの設定ルールについては、図７で後述する。ノード（＃１）２１のＩＰアドレスが「１９２．１６８．１．１」で、それに接続される保安系ホスト（＃１）１１のＩＰアドレスが「１９２．１６８．１．１０」（非保安機器用通信チャネル）及び「１９２．１６８．１０１．１０」（保安機器用通信チャネル）である。ノード（＃３）２３のＩＰアドレスが「１９２．１６８．３．１」で、それに接続される非保安系ホスト（＃１）３１のＩＰアドレスが「１９２．１６８．３．１０」（非保安機器用通信チャネル）である。ノード（＃４）２４のＩＰアドレスが「１９２．１６８．４．１」で、それに接続される保安系ホスト（＃２）１１２のＩＰアドレスが「１９２．１６８．４．１０」（非保安機器用通信チャネル）及び「１９２．１６８．１０４．１０」（保安機器用通信チャネル）である。

ここで、図４（ａ）では、図３（ａ）の保安系ホスト１０から保安系ホスト１０への暗号文による通信の例に対応している。保安系ホスト（＃１）１１において保安情報８１は暗号化され暗号化保安情報８１ｘに変換される。暗号化保安情報８１ｘの送信元ＩＰアドレスは、「１９２．１６８．１０１．１０」であって、ノード（＃４）２４に接続する保安系ホスト（＃２）１２のＩＰアドレス「１９２．１６８．１０４．１０」を送信先ＩＰアドレスとなっている。

暗号化保安情報８１ｘは、ノード（＃１）２１、ノード（＃２）２２、ノード（＃３）２３を経由し、ノード（＃４）２４で保安系ホスト（＃２）１２に取り込まれる。ここで取り込まれた情報は暗号化保安情報８１ｘであるため、適正に復号処理が行われ、受信成功となる。

図４（ｂ）では、図３（ｄ）の「非保安系ホスト成り済まし保安系ホスト」３０ｘから保安系ホスト１０への通信の例を示している。ここでは、ノード（＃３）２３に接続する非保安系ホスト（＃１）３１から非保安情報８２が保安系ホスト（＃２）１２に対して出力される。

すなわち、故障等によって、送信先が、本来では非保安系ホスト３０からの送信先として設定されることがないＩＰアドレス「１９２．１６８．１０４．１０」に設定されている。ここでノード（＃４）２４を介して保安系ホスト（＃２）１２に取り込まれた非保安情報８２は、保安系ホスト（＃２）１２により復号処理され非保安情報８２ｚとなる。このとき、非保安情報８２は、暗号化された情報ではないため、復号処理により意味をなさないデータとなり破棄される。

つづいて、保安系ホスト１０、非保安系ホスト３０及びノード２０の構成を説明する。図５は保安系ホスト１０とノード２０の概略構成を示している。保安系ホスト１０は、ＦＳＣＰＵ６１を備えるＶｉｔａｌ機器６０と二つの通信ボード（平文用ボード５０ａと暗号化ボード５０ｂ）とを備える。

Ｖｉｔａｌ機器６０は、ノード２０との接続において暗号化ボード５０ｂを経由する。Ｖｉｔａｌ機器６０が作成する情報を「バイタル情報（Ｖｉｔａｌ情報）」と呼ぶ。Ｖｉｔａｌ機器６０は、バイタル情報に関して、例えば、ＩＥＣ６１５０８で示される、高頻度モードにおける安全度水準（ＳＩＬ）４に相当する信頼性／安全性を確保する。また、ＮＶｉｔａｌ機器７０（図６参照）が作成する情報を「ノンバイタル情報（ＮＶｉｔａｌ情報）」と呼ぶ。

平文用ボード５０ａは、Ｎｏｒｍａｌチャネル５１を備える。暗号化ボード５０ｂは、Ｃｒｙｐｔｏチャネル５２と、暗号制御部５３とを備える。

Ｎｏｒｍａｌチャネル５１は、外部のホストとの通信において平文が用いられるチャネルであって、ノード２０のＣｈ＿Ａ４１にイーサネット９１によって接続される。Ｃｒｙｐｔｏチャネル５２は、外部のホストとの通信において暗号文が用いられるチャネルであって、ノード２０のＣｈ＿Ｂ４２にイーサネット９１によって接続される。

暗号制御部５３は、Ｃｒｙｐｔｏチャネル５２を制御する。すなわち、暗号制御部５３はＡＥＳを用いた秘匿化処理を実行する。

ノード２０は、ＣＰＵ４３と、ＦＰＧＡ４４と、Ｃｈ＿Ａ４１と、Ｃｈ＿Ｂ４２と、光Ｉ／Ｆ４５とを備える。

Ｃｈ＿Ａ４１は、上述のように平文用ボード５０ａのＮｏｒｍａｌチャネル５１とイーサネット９１によって接続される。Ｃｈ＿Ｂ４２は、Ｃｒｙｐｔｏチャネル５２とイーサネット９１によって接続される。

光Ｉ／Ｆ４５は、他のノード２０に光ケーブル等によって接続される。ノード２０が他のノード２０と通信を行う場合には、Ｃｈ＿Ａ４１及びＣｈ＿Ｂ４２と光Ｉ／Ｆ４５との間に設けられたＦＰＧＡ４４を経由する。ＦＰＧＡ４４は、「ノード番号読取り機能」や「フレームへの情報実装機能」を備え、所望の情報の授受を行う。すなわち、情報フレームの適正位置への書き込み及び自身に接続する保安系ホスト１０へ送られてきた情報の抽出を行う。また、ＦＰＧＡ４４は、例えばＤＩＰスイッチの切り替え等によって、接続されるホストに応じて、Ｃｈ＿Ｂ４２を用いるか否かを設定することができる。

図６は非保安系ホスト３０とノード２０の概略構成を示している。ノード２０の構成は図５で示した構成と同じであるが、ＦＰＧＡ４４の設定により、Ｃｈ＿Ｂ４２は使用不可能になっている。

非保安系ホスト３０は、ｎＣＰＵ７１を備えるＮＶｉｔａｌ機器７０と平文用ボード５０ａで構成されるが、保安系ホスト１０との共通化のために暗号化ボード５０ｂとを混在させてもよい。ただし、暗号化ボード５０ｂは、図５で示した構成と同じであるが、ノード２０との接続にはＣｒｙｐｔｏチャネル５２が使用されない。すなわち、Ｎｏｒｍａｌチャネル５１とＣｈ＿Ａ４１とのイーサネット９１によって接続される非保安機器用通信チャネルのみが用いられる。

なお、装置の共通化の観点から、平文用ボード５０ａと暗号化ボード５０ｂの機能が一つの通信ボードに搭載された構成が採用されてもよい。

図７は、ＩＰアドレスの設定ルールを示した図である。第１〜第３オクテットがネットワークセグメントとなる。第１オクテットは「１９２」の固定値である。第２オクテットは、回線番号１〜４に対して「１６８」〜「１７１」が割り当てられる。本実施形態では、回線番号１の「１６８」が設定されている。第３オクテットについては、Ｃｈ＿Ａ４１を用いる場合、「ノード番号」が、Ｃｈ＿Ｂ４２を用いる場合は、「ノード番号＋１００」が設定される。第４オクテットについては、ノード２０であれば「１」、ホスト（保安系ホスト１０、非保安系ホスト３０）であれば「２〜２５５」が設定される。

ネットワーク管理上で、ホスト機器（保安系ホスト１０、非保安系ホスト３０）のＩＰアドレスの設定において、ネットワーク番号は、接続するノード２０のノード番号に合わせる。例えば、ノード２０のＩＰアドレスが「１９２．１６８．Ｎ．１」（Ｎは自然数）であれば、それに接続する保安系ホスト１０のＩＰアドレスは「１９２．１６８．Ｎ．１０」となる。保安系ホスト１０は、ゲートウェイとして、接続しているノード２０を登録する（ゲートウェイ：１９２．１６８．Ｎ．１）。そのため、ネットワーク番号が異なる場合はノード２０をゲートウェイとして使用できないことになる。

図８及び図９は、非保安系ホスト３０から保安系ホスト１０への伝送ルートを示した図である。より具体的には、図５、６で示した保安系ホスト１０、ノード２０及び非保安系ホスト３０において、非保安系ホスト３０から保安系ホスト１０へどのようなチャネルで情報が伝達するかを具体的に説明している。図８及び図９の接続では、ノード番号「Ｎ」のノード（＃Ｎ）２０Ｎに保安系ホスト１０が接続されている。また、ノード番号「Ｍ」のノード（＃Ｍ）２０Ｍに非保安系ホスト３０が接続されている。なお、図示では、暗号化ボード５０の暗号制御部５３を省略している。

図８及び図９において、ＮＶｉｔａｌ機器７０から出力された平文の情報は、平文用ボード５０ａのＮｏｒｍａｌチャネル５１を介して、ノード（＃Ｍ）２０Ｍへ伝送される。ノード（＃Ｍ）２０Ｍでは、Ｃｈ＿Ａ４１、ＦＰＧＡ４４、光Ｉ／Ｆ４５を介して、ノード（＃Ｎ）２０Ｎへ伝送される。

ノード（＃Ｎ）２０Ｎでは、ＦＰＧＡ４４が光Ｉ／Ｆ４５を介して取得した情報が、保安系ホストからの情報であるか非保安系ホストの情報であるかを、送信元のＩＰアドレスを参照して判断する。

保安系ホストの情報であると判断した場合、図８に示すように、ＦＰＧＡ４４は、保安系ホスト１０と通信を行うチャネルとしてＣｈ＿Ｂ４２を選択する。

保安系ホスト１０では、暗号化ボード５０ｂのＣｒｙｐｔｏチャネル５２がノード（＃Ｎ）２０ＮのＣｈ＿Ｂ４２を介して情報を取得する。このとき、非保安系ホスト３０から出力された情報は平文のデータであるため、Ｃｒｙｐｔｏチャネル５２は復号を失敗し、その情報を破棄する（電文破棄）。したがって、Ｖｉｔａｌ機器６０には、成り済ましの情報は伝達されない。

非保安系ホストの情報であると判断した場合、図９に示すように、ＦＰＧＡ４４は、保安系ホスト１０との通信を行うチャネルとしてＣｈ＿Ａ４１を選択する。

図９に示すように、保安系ホスト１０では、平文用ボード５０ａのＮｏｒｍａｌチャネル５１がノード（＃Ｎ）２０ＮのＣｈ＿Ａ４１を介して情報を取得する。Ｖｉｔａｌ機器６０に成り済ました情報にも拘わらず平文の情報（Ｎｏｒｍａｌチャネル５１への情報）であることから、平文用ボード５０ａ（Ｎｏｒｍａｌチャネル５１）はその情報を破棄する（電文破棄）。したがって、このルートでも、Ｖｉｔａｌ機器６０には、成り済ましの情報は伝達されない。

以上、本実施形態のネットワークシステム１によると、同一のネットワーク２に保安系ホスト１０と非保安系ホスト３０とを混在して設置した場合でも、非保安系ホスト３０が保安系ホスト１０に成り済ました場合の影響を排除することができ、保安情報の健全性を担保することができる。

非保安系ホスト３０が保安系ホスト１０に成り済ますためには、次の条件（１）から（３）に加え、（４）または（５）を満たす必要がある。
条件（１）：非保安系ホスト３０のＩＰアドレスが保安系ホスト１０のＩＰアドレスと同じになる。
条件（２）：非保安系ホスト３０が接続するノード２０（「非保安系ノード」という）のＩＰアドレスが保安系ホスト１０が接続するノード２０（「保安系ノード」という）のＩＰアドレスと同じになる。ここでは、情報フレームの保安系ノードの情報箇所を使用する。
条件（３）：非保安系ホスト３０のデフォルトゲートウェイが、条件（２）のノード２０になる。
条件（４）：非保安系ホスト３０に暗号化機能が実装される。
条件（５）：成り済ました非保安情報が、偶然に暗号化されたデータと同じデータ配列になる。

上記条件の中で、条件（１）（３）は、ホストＣＰＵ、条件（２）はノードＣＰＵに因るもので、複数ＣＰＵに誤りがなければならない。条件（１）〜（３）を満たすことで、「成り済ませる状況」となる。条件（４）は、設備導入時の手配ミスなどの物理的な誤りが発生しなければならず、鉄道分野においては検査・検収が非常に厳しい（多重に行われる）ことから、実質的には起こりえない。条件（５）は１時間あたりの発生確率が、６．２×１０^−２１であり、上述したＩＥＣ６１５０８で示される高頻度モードにおける安全度水準（ＳＩＬ）４と比較して充分な安全性を持つ。
以上により、保安情報と非保安情報の混在が可能である。

ここで、ＮＶｉｔａｌ機器７０の不具合等により、連続送信（回線の占有による負荷増加）が発生し、Ｖｉｔａｌ機器６０の処理負荷が増加し正常動作に支障をきたす状態を想定する。

ケース１：ノード２０のハードウェア（ＦＰＧＡ４４）故障により、情報フレーム中で誤った単位データ番号を使用する場合を想定する。回線構成が１重回線で、ＮＶｉｔａｌ機器７０が成り済ましたＶｉｔａｌ機器６０（偽Ｖｉｔａｌ機器６０）の下流にある場合、Ｖｉｔａｌ機器６０の情報に上書きされるため、Ｖｉｔａｌ機器６０のＶｉｔａｌ情報が伝わらなくなる。ただし、この情報は破棄されＶｉｔａｌ情報としては採用されないため、保安への影響はない。

ケース２：ＮＶｉｔａｌ機器７０が暴走して、Ｖｉｔａｌ機器６０宛にＮＶｉｔａｌ情報を発し続ける場合を想定する。ＮＶｉｔａｌ情報であるため保安への影響はないが、Ｖｉｔａｌ機器６０が処理するＮＶｉｔａｌ情報の総量が増加し、ＦＳＣＰＵ６１等の負荷が増えることで悪影響が考えられる。しかし、１周期に１電文しか送信できないため、複数のＮＶｉｔａｌ機器７０が同じ故障状態にならない限り、誤った電文を毎周期送信したとしても処理負荷としては大きな影響にはならない。

従来の信号ＬＡＮでは、ＬＡＮの情報に「管理者（ユーザ）の設定誤りによる誤動作を防ぐハードウェア上の制約」がなく、ホスト（保安系ホスト１０、非保安系ホスト３０）は情報フレーム上の全ての情報位置を使用して情報の授受ができる構造だった。そのため、保安情報の授受においては、故障時に異常データを出力しないことが前提であるＦＳＣＰＵ６１のみが接続されている「専用の保安伝送ＬＡＮ」でなければならなかった。また、ＬＡＮ自体の伝送容量が小さかったため、保安情報も保安系ホスト１０ごとの専用ＬＡＮとして個別設定により使用していた（ＡＴＣ用ＬＡＮ、電子連動用ＬＡＮ等）。

このネットワークシステム１では、伝送容量を大きく向上させることにより、各ノード２０が専用のデータ位置を使用する制約を与え、基本的に１対１通信とすることで情報の信頼性を向上させる。既存の信号ＬＡＮでは、保安情報が使用するべき場所に、非保安情報を上書きすることが可能である。一方、このネットワークシステム１では、保安情報を載せるべきノード２０と、非保安情報を載せるべきノード２０が異なるため、ＣＰＵの誤りに起因する情報の混信が発生しない。

インタフェースに汎用性の高いイーサネット９１を採用しつつ保安系ホスト１０の情報網として使用可能な信頼性を確保したネットワークシステム１を実現できる。すなわち、保安系ホスト１０（Ｖｉｔａｌ機器６０）と非保安系ホスト３０（ＮＶｉｔａｌ機器７０）の情報を混在可能にしたことにより、あらゆる機器を同一ネットワークに接続することができ、様々な情報をやり取りすることが可能となる。また、ネットワークシステム１の導入当初は最小構成の機器のみであっても、新規機器の導入や設備更新が容易となる。

また、ノード２０及びそれに接続される保安系ホスト１０又は非保安系ホスト３０は、一般に、接続される機器をセットとして同一スペースに配置される。このとき、その接続にイーサネット９１を用いていることから、光ケーブルに限定されずメタルケーブルも使用でき、通信ケーブルの引き回しが容易となり、設置の自由度を高くすることができる。

図１０は、上述のネットワークシステム１を多重化（ここでは二重化）したネットワークシステム１０１を示している。このネットワークシステム１０１では、保安系ホスト１１０と非保安系ホスト１３０とが、ネットワーク（Ａ）２Ａとネットワーク（Ｂ）２Ｂに接続されている。ネットワーク（Ａ）２Ａとネットワーク（Ｂ）２Ｂは、上述のネットワーク２と同様に、それぞれ環状に構成される。ネットワーク（Ａ）２Ａでは、図示で時計回りに電送が行われる。ネットワーク（Ｂ）２Ｂでは、図示で反時計回りに電送が行われる。

保安系ホスト１１０は、ノード（＃Ｎ１）２０Ｎ１を介してネットワーク（Ａ）２Ａに接続し、ノード（＃Ｎ２）２０Ｎ２を介してネットワーク（Ｂ）２Ｂに接続する。非保安系ホスト１３０は、ノード（＃Ｍ１）２０Ｍ１を介してネットワーク（Ａ）２Ａに接続し、ノード（＃Ｍ２）２０Ｍ２を介してネットワーク（Ｂ）２Ｂに接続する。

ノード（＃Ｎ１）２０Ｎ１、ノード（＃Ｎ２）２０Ｎ２、ノード（＃Ｍ１）２０Ｍ１、及びノード（＃Ｍ２）２０Ｍ２の構成は、上述のノード２０と同様であり、ここでは、上述のＣＰＵ４３やＦＰＧＡ４４の図示を省略している。また、ノード数や保安系ホスト１１０や非保安系ホスト１３０の数は、システム構成に応じて設定される。

保安系ホスト１１０は、ひとつのＶｉｔａｌ機器６０と、それがネットワーク（Ａ）２Ａとネットワーク（Ｂ）２Ｂに接続するための二つの通信ボード（平文用ボード５０ａ、及び暗号化ボード５０ｂ）を備える。

平文用ボード５０ａは、ネットワーク（Ａ）２Ａに接続するＮｏｒｍａｌチャネル（１）５１＿１とネットワーク（Ｂ）２Ｂに接続するＮｏｒｍａｌチャネル（２）５１＿２とを備える。ここで、Ｎｏｒｍａｌチャネル（１）５１＿１は、ノード（＃Ｎ１）２０Ｎ１のＣｈ＿Ｂ４２と接続する。Ｎｏｒｍａｌチャネル（２）５１＿２は、ノード（＃Ｎ２）２０Ｎ２のＣｈ＿Ｂ４２と接続する。

暗号化ボード５０ｂは、ネットワーク（Ａ）２Ａに接続するＣｒｙｐｔｏチャネル（１）５２＿１とネットワーク（Ｂ）２Ｂに接続するＣｒｙｐｔｏチャネル（２）５２＿２と、それぞれに対応した暗号制御部（図示せず）を備える。ここで、Ｃｒｙｐｔｏチャネル（１）５２＿１は、ノード（＃Ｎ１）２０Ｎ１のＣｈ＿Ａ４１と接続する。Ｃｒｙｐｔｏチャネル（２）５２＿２はノード（＃Ｎ２）２０Ｎ２のＣｈ＿Ａ４１と接続する。

非保安系ホスト３０は、ＮＶｉｔａｌ機器（１）７０＿１、ＮＶｉｔａｌ機器（２）７０＿２、平文用ボード（１）５０ａ＿１、及び平文用ボード（２）５０ａ＿２とを備える。

ＮＶｉｔａｌ機器（１）７０＿１は、平文用ボード（１）５０ａ＿１を介してネットワーク（Ａ）２Ａやネットワーク（Ｂ）２Ｂと接続する。ＮＶｉｔａｌ機器（２）７０＿２は、平文用ボード（２）５０ａ＿２を介してネットワーク（Ａ）２Ａやネットワーク（Ｂ）２Ｂと接続する。

具体的には、平文用ボード（１）５０ａ＿１のＮｏｒｍａｌチャネル（１）５１＿１はノード（＃Ｍ１）２０Ｍ１のＣｈ＿Ａ４１に接続し、Ｎｏｒｍａｌチャネル（２）５１＿２はノード（＃Ｍ２）２０Ｍ２のＣｈ＿Ａ４１に接続する。また、平文用ボード（２）５０ａ＿２のＮｏｒｍａｌチャネル（１）５１＿１はノード（＃Ｍ１）２０Ｍ１のＣｈ＿Ｂ４２に接続し、Ｎｏｒｍａｌチャネル（２）５１＿２はノード（＃Ｍ２）２０Ｍ２のＣｈ＿Ｂ４２に接続する。

ネットワークシステム１０１における通信では、図７で上述したＩＰアドレスの設定ルールを用いる。ただし、二重化されていることから、ネットワーク（Ａ）２Ａとネットワーク（Ｂ）２Ｂの二つの系統のＩＰアドレスを指定する。

図１１は、保安系ホスト１１０から非保安系ホスト１３０の伝送ルートを説明する図である。ここでは、保安系ホスト１１０のＶｉｔａｌ機器６０から非保安系ホスト１３０のＮＶｉｔａｌ機器（１）７０＿１へ平文を送信した場合の経路を説明する（ただし、光Ｉ／Ｆ４５は省略して説明する）。

ネットワーク（Ａ）２Ａを用いる経路（太い実線）では、Ｖｉｔａｌ機器６０、平文用ボード５０ａのＮｏｒｍａｌチャネル（１）５１＿１、ノード（＃Ｎ１）２０Ｎ１のＣｈ＿Ｂ４２、ネットワーク（Ａ）２Ａの図中で時計回り経路、ノード（＃Ｍ１）２０Ｍ１のＣｈ＿Ａ４１、非保安系ホスト１３０の平文用ボード（１）５０ａ＿１のＮｏｒｍａｌチャネル（１）５１＿１、ＮＶｉｔａｌ機器（１）７０＿１の経路となる。

ネットワーク（Ｂ）２Ｂを用いる経路（太い一点破線）では、Ｖｉｔａｌ機器６０、平文用ボード５０ａのＮｏｒｍａｌチャネル（２）５１＿２、ノード（＃Ｎ２）２０Ｎ２のＣｈ＿Ｂ４２、ネットワーク（Ｂ）２Ｂの図中で反時計回りの経路、ノード（＃Ｍ２）２０Ｍ２のＣｈ＿Ａ４１、非保安系ホスト１３０の平文用ボード（１）５０ａ＿１のＮｏｒｍａｌチャネル（２）５１＿２、ＮＶｉｔａｌ機器（１）７０＿１の経路となる。

通信ボードでは、複数のチャネルに対応可能に構成され、ＤＩＰスイッチ等で機能・設定等を選択する製品が用いられることがある。そのような場合に、このネットワークシステム１０１の構成を採用することで、未使用のチャネル（例えば、図６の暗号化ボード５０ｂ）が発生することを回避することができ、効率的なシステム構成を実現できる。

以上、本発明を実施形態をもとに説明した。この実施形態は例示であり、それらの各構成要素の組み合わせにいろいろな変形例が可能なこと、また、そうした変形例も本発明の範囲にあることは当業者に理解されるところである。

１、１０１ ネットワークシステム
２ ネットワーク
２Ａ ネットワーク（Ａ）
２Ｂ ネットワーク（Ｂ）
１０、１１０ 保安系ホスト
１１ 保安系ホスト（＃１）
１２ 保安系ホスト（＃２）
２０ ノード
２０Ｍ ノード（＃Ｍ）
２０Ｍ１ ノード（＃Ｍ１）
２０Ｍ２ ノード（＃Ｍ２）
２０Ｎ ノード（＃Ｎ）
２０Ｎ１ ノード（＃Ｎ１）
２０Ｎ２ ノード（＃Ｎ２）
２１〜２６ ノード（＃１）〜ノード（＃６）
３０、１３０ 非保安系ホスト
３１ 非保安系ホスト（＃１）
４１ Ｃｈ＿Ａ
４２ Ｃｈ＿Ｂ
４３ ＣＰＵ
４４ ＦＰＧＡ
４５ 光Ｉ／Ｆ
５０ 暗号化ボード
５１ Ｎｏｒｍａｌチャネル
５１＿１ Ｎｏｒｍａｌチャネル（１）
５１＿２ Ｎｏｒｍａｌチャネル（２）
５２ Ｃｒｙｐｔｏチャネル
５２＿１ Ｃｒｙｐｔｏチャネル（１）
５２＿２ Ｃｒｙｐｔｏチャネル（２）
５３ 暗号制御部
６０ Ｖｉｔａｌ機器
６１ ＦＳＣＰＵ
９１ イーサネット

Claims (5)

1. 保安機器と非保安機器とが混在してネットワークで接続されたネットワークシステムであって、
   前記保安機器と前記非保安機器とは、それぞれノード装置によって前記ネットワークに接続されており、
   前記保安機器は、異常動作の検定を行う検定機能と、情報を暗号化した暗号文の作成及び送信する機能と、受信した前記暗号文を復号する機能と、情報が暗号されない状態である平文を作成及び送信する機能と、を備え、
   前記非保安機器は、前記検定機能を備えず、前記平文の作成及び送信をする機能と、前記平文を受信する機能と、を備え、
   前記保安機器同士が通信を行う場合には、前記暗号文による送受信を行い、
   前記保安機器が前記非保安機器へ送信する場合は、前記平文を送信し、
   前記非保安機器同士の通信には、前記平文による送受信を行い、
   前記保安機器と前記ノード装置は、前記暗号文を伝送する経路である暗号化経路、前記平文を伝送する経路である非暗号化経路の各々で接続され、
   前記非保安機器と前記ノード装置は、前記非暗号化経路で接続され、
   前記保安機器と接続している前記ノード装置は、取得した情報を当該保安機器に送信する際に、当該情報が他の前記保安機器からの情報であると判断した場合は、前記暗号化経路を選択して当該保安機器に送信し、取得した情報が前記非保安機器からの情報であると判断した場合は、前記非暗号化経路を選択して当該保安機器に送信することを特徴とするネットワークシステム。
2. 前記保安機器は、接続された前記ノード装置から前記平文を受信した場合には、当該平文の情報を破棄することを特徴とする請求項１に記載のネットワークシステム。
3. 前記ネットワークは、前記ノード装置が環状に接続されて構成されており、
   前記ノード装置のうちの一つは一定の周期で情報フレームを出力する周期監視ノードを設定し、
   前記ネットワークに断線が発生した場合に、接続している前記ノード装置のうちのいずれか１つが、情報フレームの出力を開始して、前記周期監視ノードと同じ周期を維持することを特徴とする請求項１又は２に記載のネットワークシステム。
4. 前記保安機器は共に前記ノード装置の一つである保安機器側第１ノード装置、保安機器側第２ノード装置と、それぞれ前記暗号化経路及び前記非暗号化経路で接続され、
   前記非保安機器は共に前記ノード装置の一つである非保安機器側第１ノード装置、非保安機器側第２ノード装置と、それぞれ前記非暗号化経路で接続され、
   前記保安機器と前記非保安機器とは、前記保安機器側第１ノード装置と前記非保安機器側第１ノード装置を介した第１のネットワーク、及び前記保安機器側第２ノード装置と前記非保安機器側第２ノード装置を介した第２のネットワークで接続され、
   前記暗号文及び前記平文の前記第１のネットワーク、前記第２のネットワークにおける伝送の向きが互いに逆向きとされたことを特徴とする請求項１から請求項３までのいずれか１項に記載のネットワークシステム。
5. 前記保安機器と前記ノード装置との接続、及び前記非保安機器と前記ノード
   装置との接続には、それぞれ標準的な通信規格のインタフェイスが用いられて
   いることを特徴とする請求項１から４までのいずれかに記載のネットワークシ
   ステム。

Images