JP7321192B2 - 車両用制御装置、車両用制御システム、およびプログラム - Google Patents

Description

この発明は、車両用制御装置、車両用制御システム、およびプログラムに関する。

鉄道車両は、機械ブレーキ、電力変換装置等の複数の装置と、それぞれが対応する装置を制御する複数の制御機器、例えば、ブレーキ制御器、スイッチング制御部等とで構成される車載システムを備える。これらの複数の装置と複数の制御機器とは、車載ネットワークで互いに接続されている。この種の車載システムの一例が、特許文献１に開示されている。

特開２０１６－１４３９４５号公報

特許文献１に開示される車載システムを構成する車載ネットワークには、保守端末を接続することができる。保守員は、保守作業時に保守端末を車載ネットワークに接続し、保守端末を用いて、制御装置のソフトウェアの更新、制御装置からのログの取得等の保守作業を行う。詳細には、保守端末は、制御装置のソフトウェアを更新するための保守情報を制御装置に送信する。制御装置は、保守情報に基づいて、ソフトウェアを更新する。

この制御装置に対する不正なアクセス、例えば、車載ネットワークに接続された不正な外部端末から制御装置に対する不正な保守情報の送信があると、制御装置は、不正な保守情報に基づいて、ソフトウェアを更新する可能性がある。この結果、制御装置による制御が所望の制御と異なることがある。

本発明は上述の事情に鑑みてなされたものであり、車両用制御装置が不正なアクセスに従って制御情報を更新することを抑制することを目的とする。

上記目的を達成するために、本発明の車両用制御装置は、記憶部と、通信部と、認証部と、更新部と、制御部と、を備える。記憶部は、車載機器に含まれる機械ブレーキを制御するための制御プログラムおよび制御スクリプトの少なくともいずれかを含む制御情報ならびに制御の履歴を記憶する。通信部は、車両用ネットワークを介して接続された少なくとも１つの指示装置から、認証情報と、制御情報に基づく機械ブレーキの制御の指示を含む制御指示および記憶部に記憶されている制御情報の更新を指示する更新指示の少なくともいずれかとを受信する。認証部は、通信部が更新指示を受信したときのみ、該更新指示とともに受信した認証情報に基づいて、認証情報を送信した指示装置が、予め許可された指示装置であるか否かを判別する。更新部は、認証部で予め許可された指示装置であると判別された指示装置が送信した更新指示に従って記憶部に記憶されている制御情報を更新する。制御部は、通信部が機械ブレーキの制御の指示を含む制御指示を受信すると、制御指示が実行を指示する制御に用いられる制御情報を記憶部から読み出し、読み出した制御情報に基づいて機械ブレーキの制御を行う。

本発明に係る車両用制御装置は、認証情報に基づいて、認証情報を送信した指示装置が予め許可された指示装置であるか否かを判別する。この車両用制御装置は、予め許可された指示装置であると判別された指示装置が送信した更新指示に従って、記憶部に記憶されている制御情報を更新する。車両用制御装置は、予め許可された指示装置であると判別された指示装置が送信した更新指示に従って制御情報を更新するため、車両用制御装置が不正なアクセスに従って制御情報を更新することを抑制可能である。

本発明の実施の形態１に係る車両用制御システムのブロック図 実施の形態１に係る車両用制御装置が保持しているユーザＩＤとパスワードの対応表の例を示す図 実施の形態１に係る車両用制御システムが行う認証処理のシーケンス図 実施の形態１に係る車両用制御装置が行う制御処理および更新処理のフローチャート 本発明の実施の形態２に係る車両用制御システムのブロック図 実施の形態２に係る車両用制御装置が行う制御処理および更新処理のフローチャート 実施の形態に係る車両用制御装置が行う制御処理および更新処理の変形例のフローチャート 実施の形態に係る車両用制御システムの変形例のブロック図 実施の形態に係る車両用制御装置のハードウェアの構成を示す図

以下、本発明の実施の形態に係る鉄道車両用制御装置および鉄道車両用制御システムについて図面を参照して詳細に説明する。なお図中、同一または同等の部分には同一の符号を付す。

（実施の形態１）
鉄道車両は、ブレーキ機器、電力変換機器等の車載機器を制御する車両用制御システムを備える。図１に示す実施の形態１に係る車両用制御システム（以下、単に制御システムという）１は、車載機器を制御する車両用制御装置（以下、単に制御装置という）１０と、制御装置１０に対して、認証情報と、制御装置が記憶している制御情報に基づく制御の実行を指示する制御指示および制御情報の更新を指示する更新指示の少なくともいずれかとを送信する少なくとも１つの指示装置と、を備える。なお制御情報は、車載機器を制御するための制御プログラム、制御スクリプト等を含む。更新指示は、更新後の制御情報を含む。制御装置１０の一例として、機械ブレーキを制御するブレーキ制御装置で構成される制御装置１０を備える制御システム１を例にして、実施の形態１に係る制御システム１について説明する。

実施の形態１では、制御システム１は、指示装置として、制御装置１０が記憶している制御情報を更新する保守作業を行う保守端末３と、運転指令の送受信、制御装置１０に対する制御指示の送信、制御装置からログの取得等を行う列車情報管理システム（ＴＩＭＳ：Train Information Management System）４と、を備える。制御システム１は、さらに、図示しない空気溜めから供給される空気を圧縮して中継弁に供給するブレーキ制御弁５と、鉄道車両の車軸に取り付けられて、車軸の回転速度を検知する速度センサ６と、を備える。

保守端末３と、列車情報管理システム４と、制御装置１０とは、互いに車両用ネットワーク２で接続されている。車両用ネットワーク２は、Ethernet（登録商標）、CAN（Controller Area Network：コントローラエリアネットワーク）等の規格で定められた通信網で構成される。なお保守端末３、列車情報管理システム４、および制御装置１０は互いに、上記規格で定められた通信フレームを送受信する。

制御装置１０が、チャレンジアンドレスポンス方式を用いて、認証情報を送信した保守端末３または列車情報管理システム４が、予め許可された指示装置であるか否かを判別する場合を例にして、制御システム１の各部について説明する。

保守端末３は、保守員によって車両用ネットワーク２に適宜接続され、表示部と、入力部と、送受信部と、ＣＰＵ（Central Processing Unit：中央処理装置）、メモリ等を有する制御回路等とで構成される装置であって、例えばＰＣ（Personal Computer：パーソナルコンピュータ）、タブレット端末等の持ち運び可能な端末で構成される。また保守員は、鉄道車両の停止時に、保守端末３を車両用ネットワーク２に適宜接続し、保守端末３を操作して制御装置１０が記憶している制御情報を更新する保守動作を行う。具体的には、保守端末３は、マウス、キーボード、タッチパネル等の入力部を介して入力された指示に応じて、メモリに記憶されたプログラムを実行することで、後述する制御装置１０に対して、制御装置１０が記憶している制御情報の更新を指示する更新指示を送信する。

保守端末３は、保守員によって車両用ネットワーク２に適宜接続されるため、許可されていない端末が車両用ネットワーク２に接続され、許可されていない端末から制御装置１０に対する不正なアクセスが生じることがある。そこで、制御装置１０が不正なアクセスに従って動作することを抑制するため、制御装置１０は、指示装置の認証を行う。具体的には、保守動作を開始する際に、保守端末３は、送受信部から認証情報を制御装置１０に送信し、認証を要求する。詳細には、保守端末３は、ユーザＩＤを含む通信フレームを制御装置１０に送信する。なおユーザＩＤは、指示装置を一意に特定するＩＤである。指示装置には、指示装置ごとにユニークなユーザＩＤとパスワードとが予め割り当てられており、各指示装置は、割り当てられたユーザＩＤとパスワードを保持している。換言すれば、保守端末３には、自端末に割り当てられたユーザＩＤとパスワードとを保持している。後述するように、制御装置１０は、ユーザＩＤを含む通信フレームを受信すると、チャレンジコードを生成する。保守端末３は、制御装置１０からチャレンジコードを含む通信フレームを受信すると、チャレンジコードと予め保持しているパスワードとから、特定のアルゴリズムに従って、レスポンスコードを生成し、認証情報としてレスポンスコードを含む通信フレームを制御装置１０に送信する。なお保守端末３は、この特定のアルゴリズムを予め保持しており、特定のアルゴリズムは後述する制御装置１０が有する認証部１２が予め保持しているアルゴリズムと同一である。

その後、後述するように、制御装置１０は、チャレンジコードから生成したレスポンスコードと、保守端末３が送信したレスポンスコードとが一致するか否かを判別する。制御装置１０は、チャレンジコードから生成したレスポンスコードと、保守端末３が送信したレスポンスコードとが一致すると判別した場合、判別結果を保守端末３に送信する。保守端末３は、この判別結果を受信した後、送受信部から、更新指示を含む通信フレームを制御装置１０に送信する。

列車情報管理システム４は、表示部と、入力部と、送受信部と、ＣＰＵ、メモリ等を有する制御回路等とで構成される。列車情報管理システム４は、運転台に設けられたマスターコントローラから入力された運転指令を取得し、運転指令に応じて、メモリに記憶されたプログラムを実行する。詳細には、列車情報管理システム４は、運転指令に応じて、制御装置１０に対して、制御装置１０が有する記憶部１４が記憶している制御情報に基づいた制御の実行を指示する指示動作を行う。なお運転指令は、一例として、鉄道車両の加速を指示する力行指令、鉄道車両の減速を指示するブレーキ指令等を含むことができる。この場合、力行指令は、鉄道車両の目標加速度を含み、ブレーキ指令は、鉄道車両の目標減速度を含む。一例として、列車情報管理システム４は、運転指令がブレーキ指令を含む場合、制御装置１０に対して、ブレーキの制御を指示する。

列車情報管理システム４にブレーキの制御を指示された制御装置１０によって制御されるブレーキ制御弁５について説明する。ブレーキ制御弁５は、図示しない空気溜めから供給される空気を圧縮して中継弁に送る。中継弁は、ブレーキ制御弁５が出力する空気の圧力を指令圧として、空気溜めから供給される空気を圧縮して、機械ブレーキ装置が有するブレーキシリンダに送る。ブレーキシリンダの内部の圧力が上昇して、機械ブレーキ装置が有するブレーキシューが車輪に押し付けられることで、ブレーキ力が生じる。

速度センサ６は、車軸に取り付けられたＰＧ（Pulse Generator：パルスジェネレータ）を有する。速度センサ６は、ＰＧが出力するパルス信号から車軸の回転速度を算出し、制御装置１０に出力する。

制御装置１０は、保守端末３または列車情報管理システム４から、認証情報と制御指示および更新指示の少なくともいずれかとを受信する通信部１１と、認証情報を送信した保守端末３または列車情報管理システム４が、予め許可された指示装置であるか否かを判別する認証部１２と、予め許可された指示装置であると判別された保守端末３または列車情報管理システム４が送信した制御指令に応じてブレーキ制御弁５を制御する制御部１３と、制御情報を記憶している記憶部１４と、予め許可された指示装置であると判別された保守端末３または列車情報管理システム４が送信した更新指令に応じて記憶部１４に記憶されている制御情報を更新する更新部１５と、を備える。

通信部１１は、保守端末３または列車情報管理システム４から認証情報を含む通信フレームを受信すると、通信フレームに含まれる認証情報を認証部１２に送る。認証情報は、ユーザＩＤ、レスポンスコード等を含む。また通信部１１は、後述する認証部１２で、予め許可された指示装置であると判別された指示装置から制御指示を含む通信フレームを受信すると、この通信フレームに含まれる制御指示を制御部１３に送る。また、通信部１１は、認証部１２で、予め許可された指示装置であると判別された指示装置から更新指示を含む通信フレームを受信すると、この通信フレームに含まれる更新指示を更新部１５に送る。

なお通信部１１は、認証部１２で、予め許可された指示装置でないと判別された保守端末３または列車情報管理システム４から通信フレームを受信すると、この通信フレームを破棄する。

また通信部１１は、認証部１２、制御部１３、および更新部１５から取得したデータから通信フレームを生成し、通信フレームを保守端末３または列車情報管理システム４に送信する。詳細には、通信部１１は、認証部１２から、チャレンジコードを取得すると、チャレンジコードを含む通信フレームを生成し、この通信フレームを保守端末３または列車情報管理システム４に送信する。また通信部１１は、後述する制御部１３から制御情報に基づく制御の実行が完了した旨の通知を取得すると、制御情報に基づく制御の実行の完了通知を含む通信フレームを生成し、この通信フレームを保守端末３または列車情報管理システム４に送信する。また通信部１１は、後述する更新部１５から更新処理が完了した旨の通知を取得すると、更新処理の完了通知を含む通信フレームを生成し、この通信フレームを保守端末３または列車情報管理システム４に送信する。

認証部１２は、通信部１１から取得した認証情報に基づいて、認証情報を送信した保守端末３または列車情報管理システム４が予め許可された指示装置であるか否かを判別する。なお認証部１２は、保守端末３および列車情報管理システム４に割り当てられたユニークなユーザＩＤとパスワードとを予め保持している。認証部１２が予め保持しているユーザＩＤとパスワードの対応表の例を図２に示す。具体的には、認証部１２は、予め許可された指示装置である保守端末３または列車情報管理システム４ごとに、ユーザＩＤと、ユーザＩＤに対応付けられたパスワードとを保持している。

詳細には、認証部１２は、通信部１１から、認証情報としてユーザＩＤを取得すると、乱数で構成されるチャレンジコードを生成して、通信部１１に送る。また認証部１２は、図２に示す対応表に基づき、取得したユーザＩＤに対応するパスワードを取得する。そして、認証部１２は、パスワードとチャレンジコードから、特定のアルゴリズムに従って、レスポンスコードを生成する。なお認証部１２は、この特定のアルゴリズムを予め保持しており、特定のアルゴリズムは、上述した保守端末３および列車情報管理システム４が予め保持しているアルゴリズムと同一である。

その後、認証部１２は、通信部１１から、認証情報としてレスポンスコードを取得すると、生成したレスポンスコードと取得したレスポンスコードとが一致するか否かを判別し、判別結果を通信部１１に送信する。生成したレスポンスコードと取得したレスポンスコードが一致するということは、認証情報を送信した保守端末３または列車情報管理システム４が、認証部１２が保持している特定のアルゴリズムと同じアルゴリズムを保持しているということを意味する。したがって、生成したレスポンスコードと取得したレスポンスコードが一致する場合は、認証情報を送信した保守端末３または列車情報管理システム４が予め許可された指示装置であるとみなすことができる。

制御部１３は、通信部１１から取得した制御指示に応じて、記憶部１４から制御情報を読み出し、制御情報に基づく制御を実行する。制御部１３が実行する制御情報に基づく制御の一例として、ブレーキ制御について説明する。制御部１３は、通信部１１から制御指示を取得すると、ブレーキ制御を開始する。なお列車情報管理システム４から通信部１１が取得した制御指示には、鉄道車両の目標減速度が含まれるものとする。
制御部１３は、図示しない応荷重弁から取得した鉄道車両の重量と、目標減速度とから、目標減速度を得るために必要なブレーキ力を算出する。そして、制御部１３は、必要なブレーキ力と、機械ブレーキ装置が有するブレーキシューと車輪との接触面の摩擦係数とから、ブレーキ制御弁５が出力する空気の圧力の目標値を算出する。次に、制御部１３は、この目標値に基づいて、ブレーキ制御弁５を制御し、ブレーキ制御弁５の出力する空気の圧力を目標値に近づける。なお制御部１３は、ブレーキ制御弁５が出力する空気の圧力値を検知する圧力センサから、ブレーキ制御弁５が出力する空気の圧力値を取得し、この圧力値に基づいてフィードバック制御をする。

記憶部１４は、制御情報を記憶している。なお制御情報に基づく制御は、ブレーキ制御弁５の制御、ブレーキ制御弁５の制御を行っている間に記録したブレーキ制御弁５の制御の履歴の読み出し等を含む。ブレーキ制御弁５の制御の履歴は、例えば、ブレーキ制御弁５に送信したデータ、ブレーキ制御弁５が出力する空気の圧力の目標値、ブレーキ制御弁５が出力する空気の圧力値等を含む。
更新部１５は、通信部１１から取得した更新指示に応じて、記憶部１４に記憶されている制御情報を更新する。更新指示は、制御情報の更新情報を含む。

上記構成を有する制御システム１が行う制御処理について説明する。なお制御システム１が有する制御装置１０が行う制御処理の一例として、ブレーキ制御を用い、制御システム１が行う制御処理について説明する。保守端末３は、保守員の操作に応じて、図３に示す認証処理を開始する。

制御システム１は、不正なアクセスに従って制御情報を更新することを抑制するために、制御情報を更新する前に、保守端末３が、予め許可された指示装置であるか否かを判別する認証処理を行う。保守端末３は、ユーザＩＤを含む通信フレームを制御装置１０に送信する（ステップＳｑ１）。通信部１１は、ユーザＩＤを含む通信フレームを受信すると、ユーザＩＤを認証部１２に送る。そして、認証部１２が、乱数で構成されるチャレンジコードを生成する（ステップＳｑ２）。その後、通信部１１は、チャレンジコードを含む通信フレームを保守端末３に送信する（ステップＳｑ３）。また認証部１２は、図２に示す対応表に基づき、ユーザＩＤに対応するパスワードを取得し、パスワードとステップＳｑ２で生成したチャレンジコードとから、レスポンスコードを生成する（ステップＳｑ４）。

その後、保守端末３は、制御装置１０からチャレンジコードを含む通信フレームを受信すると、チャレンジコードと予め保持しているパスワードとから、特定のアルゴリズムに従って、レスポンスコードを生成する（ステップＳｑ５）。そして、保守端末３は、レスポンスコードを含む通信フレームを制御装置１０に送信する（ステップＳｑ６）。

通信部１１は、レスポンスコードを含む通信フレームを受信すると、レスポンスコードを認証部１２に送る。そして、認証部１２は、ステップＳｑ４で生成したレスポンスコードと、通信部１１から取得したレスポンスコードとが一致するか否かを判別し、判別結果を通信部１１に送る（ステップＳｑ７）。通信部１１は、認証部１２が、ステップＳｑ４で生成されたレスポンスコードと、通信部１１から取得したレスポンスコードとが一致すると判別した場合、判別結果を含む通信フレームを保守端末３に送信する（ステップＳｑ８）。ステップＳｑ８の処理が終了すると、制御システム１は認証処理を終了する。また通信部１１は、認証部１２が、ステップＳｑ４で生成されたレスポンスコードと、通信部１１から取得したレスポンスコードとが一致しないと判別した場合、ステップＳｑ８の処理は行わず、保守端末３から受信した通信フレームを破棄する。

図３に示す処理が行われた結果、認証部１２が生成したレスポンスコードと保守端末３または列車情報管理システム４が送信したレスポンスコードが一致したと判別された場合に、制御システム１が行う制御処理および更新処理について図４を用いて説明する。このとき、保守端末３または列車情報管理システム４が予め許可された指示装置であるとみなすことができる。

まず保守端末３が制御装置１０に対して、制御装置１０が記憶している制御情報の更新を指示する場合について説明する。保守端末３は、制御装置１０から図３のステップＳｑ８に示す判別結果を受信すると、更新指示を含む通信フレームを制御装置１０に送信する。制御装置１０は、図３のステップＳｑ８で送信した判別結果の送信先である保守端末３から更新指示を含む通信フレームを受信すると、図４に示す制御処理および更新処理を開始する。

通信部１１は、予め許可された指示装置である保守端末３から受信した通信フレームが更新指示を含む場合（ステップＳ１１；Ｙｅｓ）、更新指示を更新部１５に送る。
そして、更新部１５は、更新指示に従って、記憶部１４に記憶されている制御情報を更新する（ステップＳ１２）。そして、更新部１５は、更新処理が完了すると、更新処理が完了した旨の通知を通信部１１に送り、通信部１１は制御情報の更新処理の完了通知を含む通信フレームを生成し、この通信フレームを保守端末３に送信する。制御装置１０は、ステップＳ１２の処理が終了すると、制御処理および更新処理を終了する。

次に、列車情報管理システム４が制御装置１０に対して、制御装置１０が有する記憶部１４が記憶している制御情報に基づく制御の実行を指示する場合について説明する。なおブレーキ指令に基づく制御は速やかに行われる必要があるため、制御装置１０は、ブレーキを指示する制御指令を送信した指示装置についての認証処理を行わない。列車情報管理システム４は、運転指令がブレーキ指令を含む場合、制御指示を含む通信フレームを制御装置１０に送信する。制御装置１０は、列車情報管理システム４から制御指示を含む通信フレームを受信すると、図４に示す制御処理および更新処理を開始する。通信部１１は、列車情報管理システム４から受信した通信フレームが制御指示を含む、すなわち、通信フレームが更新指示を含まない場合（ステップＳ１１；Ｎｏ）、制御指示を制御部１３に送る。

そして、制御部１３は、制御指示に従って、記憶部１４に記憶されている制御情報を読み出し、制御情報に基づく制御を実行する（ステップＳ１３）。そして、制御部１３は、制御情報に基づく制御の実行が完了すると、制御情報に基づく制御の実行が完了した旨の通知を通信部１１に送り、通信部１１は、制御情報に基づく制御の実行の完了通知を含む通信フレームを生成し、この通信フレームを列車情報管理システム４に送信する。制御装置１０は、ステップＳ１３の処理が終了すると、制御処理および更新処理を終了する。

以上説明した通り、実施の形態１に係る制御装置１０は、保守端末３または列車情報管理システム４から送信された認証情報に基づいて、認証情報を送信した保守端末３または列車情報管理システム４が予め許可された指示装置であるか否かを判別する。そして、制御装置１０は、予め許可された指示装置であると判別された保守端末３または列車情報管理システム４が送信した更新指示に従って動作するため、不正なアクセスに従って制御情報を更新することを抑制することが可能である。

（実施の形態２）
保守端末３による保守動作は、鉄道車両の停止時に行われる。そこで、実施の形態２では、制御装置への不正なアクセスをより確実に防止するために、鉄道車両が停止されている場合にのみ、記憶部１４に記憶されている制御情報を更新する制御装置について説明する。なお列車情報管理システム４による制御装置の制御は、例えば、ブレーキ制御のように、鉄道車両の走行時に行われる制御を含む。そのため、制御装置は、鉄道車両が停止しているか否かによらず、予め許可された指示装置である列車情報管理システム４から制御指示を含む通信フレームを受信した場合、制御指示に従って動作する。

図５に示す実施の形態２に係る制御装置２０の基本構成は、実施の形態１に係る制御装置１０の基本構成と同じである。ただし、制御装置２０が有する更新部１５は、鉄道車両が停止しているか否か判別し、鉄道車両が停止していると判別した場合に、認証部１２で予め許可された指示装置であると判別された保守端末３から送信された更新指示に従って、記憶部１４に記憶されている制御情報を更新する点で、制御装置１０が有する更新部１５と異なる。

詳細には、更新部１５は、通信部１１から更新指示を取得すると、速度センサ６から車軸の回転速度を取得する。そして、更新部１５は、車軸の回転速度が基準速度以下であるか否かを判別する。なお基準速度は、鉄道車両が停止しているとみなせる程度に十分に小さい値である。更新部１５は、車軸の回転速度が基準速度以下であると判別した場合、すなわち、鉄道車両が停止していると判別した場合に、通信部１１から取得した更新指示に応じて、記憶部１４に記憶されている制御情報を更新する。換言すれば、車軸の回転速度が基準速度より大きい場合は、認証部１２で予め許可された指示装置であると判別された保守端末３から送信された更新指示であっても、更新部１５は、この更新指示を破棄する。

実施の形態２に係る制御システム１の動作について、図６を用いて説明する。なお実施の形態２に係る制御システム１が行う認証処理は、図３に示す実施の形態１に係る制御システム１が行う認証処理と同じである。制御装置２０は、実施の形態１と同様に、判別結果の送信先である保守端末３から更新指示を含む通信フレームを受信すると、図６に示す制御処理および更新処理を開始する。ステップＳ１１～Ｓ１３の処理は、図４に示す制御装置１０が行う処理と同様である。

通信部１１は、予め許可された指示装置である保守端末３から、更新指示を含む通信フレームを受信すると（ステップＳ１１；Ｙｅｓ）、更新指示を更新部１５に送る。そして、更新部１５は、通信部１１から更新指示を取得すると、速度センサ６から車軸の回転速度を取得する（ステップＳ１４）。そして、更新部１５は、取得した車軸の回転速度が基準速度以下であるか否かを判別する（ステップＳ１５）。更新部１５は、車輪の回転速度が基準速度以下でない場合（ステップＳ１５；Ｎｏ）、ステップＳ１２の処理を行わず、制御装置２０は、制御処理および更新処理を終了する。一方、更新部１５は、車輪の回転速度が基準速度以下である場合（ステップＳ１５；Ｙｅｓ）、ステップＳ１２の処理を行う。

以上説明した通り、実施の形態２に係る制御装置２０は、車軸の回転速度が基準速度以下ある場合に、予め許可された指示装置であると判別された保守端末３から送信された更新指示に従って、記憶部１４に記憶されている制御情報を更新する。換言すれば、認証部１２で予め許可された指示装置であると判別された保守端末３から送信された更新指示であっても、車軸の回転速度が基準速度以下でない場合は、制御情報を更新しない。この結果、鉄道車両の走行時に、制御装置２０に送信された不正な更新指示に従って、制御装置２０が記憶部１４に記憶されている制御情報を更新することが防止される。

本発明は、上述の実施の形態に限られず、様々な変形が可能である。
一例として、制御装置２０は、鉄道車両が停止しているか否かを判別する方法は任意である。そして、制御装置２０は、鉄道車両が停止していると判別した場合に、記憶部１４に記憶されている制御情報を更新すればよい。一例として、制御装置２０は、車軸の回転速度と運転指令に基づいて、鉄道車両が停止しているか否かを判別し、鉄道車両が停止していると判別した場合に、記憶部１４に記憶されている制御情報を更新してもよい。

車軸の回転速度と運転指令に基づいて、鉄道車両が停止しているか否かを判別する方法の詳細について説明する。制御装置２０は、運転台に設けられたマスターコントローラまたは列車情報管理システム４から運転指令を取得し、図示しないメモリに記憶すればよい。そして、更新部１５は、車軸の回転速度が基準速度以下であって、かつ、直近で記憶された運転指令がブレーキ指令を含むと判別した場合、すなわち、鉄道車両が停止していると判別した場合に、通信部１１から取得した更新指示に応じて、記憶部１４に記憶されている制御情報を更新してもよい。

車軸の回転速度と運転指令に基づいて、鉄道車両が停止しているか否かを判別し、鉄道車両が停止していると判別した場合に、制御情報を更新する制御装置２０の動作について、図７を用いて説明する。なお制御装置２０が行う認証処理は、実施の形態１，２と同様である。制御装置２０は、実施の形態１と同様に、判別結果の送信先である保守端末３から更新指示を含む通信フレームを受信すると、図７に示す制御処理および更新処理を開始する。ステップＳ１１～Ｓ１５の処理は、図６に示す制御装置２０が行う処理と同様である。通信部１１は、予め許可された指示装置である保守端末３から、更新指示を含む通信フレームを受信すると（ステップＳ１１；Ｙｅｓ）、更新指示を更新部１５に送る。さらに通信部１１は、運転台に設けられたマスターコントローラまたは列車情報管理システム４から運転指令を読み出し（ステップＳ１６）、更新部１５に送る。

更新部１５は、車軸の回転速度が基準速度以下である場合（ステップＳ１５；Ｙｅｓ）、運転指令がブレーキ指令を含むか否かを判別する（ステップＳ１７）。更新部１５は、運転指令がブレーキ指令を含まないと判別した場合（ステップＳ１７；Ｎｏ）、ステップＳ１２の処理を行わず、制御装置２０は、制御処理および更新処理を終了する。一方、更新部１５は、運転指令がブレーキ指令を含むと判別した場合（ステップＳ１７；Ｙｅｓ）、ステップＳ１２の処理を行う。

制御システム１の構成は、上述の例に限られない。指示装置と制御装置１０，２０とが通信可能であれば、指示装置と制御装置１０，２０とを接続する方法は任意である。
一例として、図８に示すように、制御装置１０は、保守端末３に車両用ネットワーク２を介して接続され、列車情報管理システム４を介して保守端末７に接続されてもよい。このとき、列車情報管理システム４と保守端末７とは、保守用のＬＡＮ（Local Area Network：ローカルエリアネットワーク）で接続されてもよい。列車情報管理システム４が、保守端末７から送信された通信フレームを制御装置１０に送信し、制御装置１０から送信された保守端末７への通信フレームを、保守端末７に送信することで、保守端末７は、制御装置１０が記憶している制御情報を更新する保守動作を行うことができる。
さらに制御装置１０，２０は、車両用ネットワーク２を介して、３つ以上の指示装置に接続されてもよい。

制御装置１０，２０が、認証情報を送信した指示装置が予め許可された指示装置であるか否かを判別する方法は、上述の例に限られず、通信フレームに含まれる認証情報に基づいて認証を行う方法であれば、任意である。一例として、制御装置１０，２０は、ＳＳＬ（Secure Sockets Layer）クライアント証明書、ＥＡＰ（Extensible Authentication Protocol：拡張認証プロトコル）を利用したユーザ認証等に基づいて、認証情報を送信した指示装置が予め許可された指示装置であるか否かを判別してもよい。

制御装置１０，２０は、ブレーキ制御装置に限られず、鉄道車両に搭載された機器を制御する任意の制御装置で構成される。一例として、制御装置１０，２０は、ＶＶＶＦ（Variable Voltage Variable Frequency：可変電圧可変周波数）インバータを制御するＶＶＶＦインバータ制御装置、静止形インバータを制御する静止形インバータ制御装置等で構成されてもよい。

また指示装置から制御装置１０，２０に対する制御指示は、ブレーキ制御に限られず、制御装置１０，２０の動作を指示する任意の指示である。一例として、制御指示は、記憶部１４に記憶されている履歴の出力を指示する出力指示を含むことができる。この場合、列車情報管理システム４は、制御装置１０，２０に対して、出力指示を示す制御指示を含む通信フレームを送ってもよい。そして、制御装置１０，２０は、予め許可された指示装置であると判別された列車情報管理システム４が送信した通信フレームに含まれ、出力指示を示す制御指示に基づいて、記憶部１４から履歴を読み出し、履歴をデータとして含む通信フレームを列車情報管理システム４に送信する。

列車情報管理システム４が制御装置１０に履歴の出力を指示する場合を例にして、制御システム１の動作について説明する。制御システム１は、不正なアクセスに従って履歴を出力することを抑制するために、図３に示す認証処理を行って、列車情報管理システム４が予め許可された指示装置であるか否かを判別する。具体的には、列車情報管理システム４は、送受信部から、ユーザＩＤを含む通信フレームを制御装置１０に送信する。通信部１１は、ユーザＩＤを含む通信フレームを受信すると、ユーザＩＤを認証部１２に送る。そして、認証部１２が、乱数で構成されるチャレンジコードを生成する。その後、通信部１１は、チャレンジコードを含む通信フレームを列車情報管理システム４に送信する。また認証部１２は、図２に示す対応表に基づき、ユーザＩＤに対応するパスワードを取得し、パスワードと、生成したチャレンジコードとから、レスポンスコードを生成する。

その後、列車情報管理システム４は、制御装置１０からチャレンジコードを含む通信フレームを受信すると、チャレンジコードと予め保持しているパスワードとから、特定のアルゴリズムに従って、レスポンスコードを生成する。そして、列車情報管理システム４は、レスポンスコードを含む通信フレームを制御装置１０に送信する。

通信部１１は、レスポンスコードを含む通信フレームを受信すると、レスポンスコードを認証部１２に送る。そして、認証部１２は、生成したレスポンスコードと、通信部１１から取得したレスポンスコードとが一致するか否かを判別し、判別結果を通信部１１に送る。通信部１１は、認証部１２が、生成したレスポンスコードと、通信部１１から取得したレスポンスコードとが一致すると判別した場合、判別結果を含む通信フレームを列車情報管理システム４に送信する。また通信部１１は、認証部１２が、生成したレスポンスコードと、通信部１１から取得したレスポンスコードとが一致しないと判別した場合、列車情報管理システム４から受信した通信フレームを破棄する。

上述の認証処理の結果、列車情報管理システム４は、判別結果を受信した後、送受信部から、出力指示を示す制御指示を含む通信フレームを制御装置１０に送信する。制御装置１０は、列車情報管理システム４から制御指示を含む通信フレームを受信すると、図４に示す制御処理および更新処理を開始する。具体的には、通信部１１は、列車情報管理システム４から受信した通信フレームが含む制御指示を制御部１３に送る。

なお履歴の出力を可能にするために、制御装置１０が有する制御部１３は、ブレーキ制御弁５を制御している間に、ブレーキ制御弁５に送った信号、圧力センサから取得した圧力値を履歴として記憶部１４に記憶しておく。そして、制御部１３は、通信部１１から、出力指示を示す制御指示を取得すると、記憶部１４に記憶した履歴を読み出して通信部１１に送る。通信部１１は、履歴をデータとして含む通信フレームを生成し、列車情報管理システム４に送信する。

上述の実施の形態では、保守端末３は、認証情報と更新情報とを制御装置１０，２０に送信していたが、保守端末３は制御指示を制御装置１０，２０に送信してもよい。一例として、保守端末３は、上述した出力指示を示す制御指示を含む通信フレームを制御装置１０，２０に送信してもよい。この場合、制御装置１０，２０は、予め許可された指示装置であると判別された保守端末３が送信した通信フレームに含まれ、出力指示を示す制御指示に基づいて、記憶部１４から履歴を読み出し、履歴をデータとして含む通信フレームを保守端末３に送信する。

図９は、実施の形態に係る制御装置１０，２０のハードウェアの構成例を示す図である。制御装置１０，２０は、各部を制御するハードウェア構成としてプロセッサ３１、メモリ３２、およびインターフェース３３を備える。これらの装置の各機能は、プロセッサ３１がメモリ３２に記憶されたプログラムを実行することにより実現される。インターフェース３３は各装置を接続し、通信を確立させるためのものであり、必要に応じて複数の種類のインターフェースで構成されてもよい。制御装置１０，２０は、インターフェース３３を介して、車両用ネットワーク２に接続し、車両用ネットワーク２に接続された保守端末３および列車情報管理システム４と通信を行う。また制御装置１０，２０は、インターフェース３３を介して、ブレーキ制御弁５および速度センサ６に接続される。図９では、プロセッサ３１およびメモリ３２をそれぞれ１つで構成する例を示しているが、複数のプロセッサ３１および複数のメモリ３２が連携して各機能を実行してもよい。

その他、上記のハードウェア構成およびフローチャートは一例であり、任意に変更および修正が可能である。

プロセッサ３１、メモリ３２，およびインターフェース３３で構成される制御処理を行う中心となる部分は、専用のシステムによらず、通常のコンピュータシステムを用いて実現可能である。上述の動作を実行するためのコンピュータプログラムを、コンピュータが読み取り可能な記録媒体、例えば、フレキシブルディスク、ＣＤ－ＲＯＭ（Compact Disc Read-Only Memory）、ＤＶＤ－ＲＯＭ（Digital Versatile Disc Read-Only Memory）等に格納して配布し、上記コンピュータプログラムをコンピュータにインストールすることにより、上述の処理を実行する制御装置１０，２０を構成してもよい。また、通信ネットワーク上のサーバ装置が有する記憶装置に上記コンピュータプログラムを格納しておき、通常のコンピュータシステムがダウンロードすることで制御装置１０，２０を構成してもよい。

また、制御装置１０，２０の機能を、ＯＳ（Operating System：オペレーティングシステム）とアプリケーションプログラムの分担、またはＯＳとアプリケーションプログラムとの協働により実現する場合などには、アプリケーションプログラム部分のみを記録媒体または記憶装置に格納してもよい。

また、搬送波にコンピュータプログラムを重畳し、通信ネットワークを介して配信することも可能である。通信ネットワーク上の掲示板（BBS：Bulletin Board System）に上記コンピュータプログラムを掲示し、通信ネットワークを介して上記コンピュータプログラムを配信してもよい。そして、このコンピュータプログラムを起動し、ＯＳの制御下で、他のアプリケーションプログラムと同様に実行することにより、上述の処理を実行してもよい。

本発明は、本発明の広義の精神と範囲を逸脱することなく、様々な実施の形態及び変形が可能とされるものである。また、上述した実施の形態は、この発明を説明するためのものであり、本発明の範囲を限定するものではない。すなわち、本発明の範囲は、実施の形態ではなく、特許請求の範囲によって示される。そして、特許請求の範囲内及びそれと同等の発明の意義の範囲内で施される様々な変形が、この発明の範囲内とみなされる。

１ 制御システム、２ 車両用ネットワーク、３，７ 保守端末、４ 列車情報管理システム、５ ブレーキ制御弁、６ 速度センサ、１０，２０ 制御装置、１１ 通信部、１２ 認証部、１３ 制御部、１４ 記憶部、１５ 更新部、３１ プロセッサ、３２ メモリ、３３ インターフェース。

Claims (7)

1. 車載機器に含まれる機械ブレーキを制御するための制御プログラムおよび制御スクリプトの少なくともいずれかを含む制御情報ならびに前記制御の履歴を記憶する記憶部と、
   車両用ネットワークを介して接続された少なくとも１つの指示装置から、認証情報と、制御情報に基づく前記機械ブレーキの制御の指示を含む制御指示および前記記憶部に記憶されている前記制御情報の更新を指示する更新指示の少なくともいずれかとを受信する通信部と、
   前記通信部が前記更新指示を受信したときのみ、該更新指示とともに受信した前記認証情報に基づいて、前記認証情報を送信した前記指示装置が、予め許可された指示装置であるか否かを判別する認証部と、
   前記認証部で前記予め許可された指示装置であると判別された前記指示装置が送信した前記更新指示に従って前記記憶部に記憶されている前記制御情報を更新する更新部と、
   前記通信部が前記機械ブレーキの制御の指示を含む前記制御指示を受信すると、前記制御指示が実行を指示する前記制御に用いられる前記制御情報を前記記憶部から読み出し、読み出した前記制御情報に基づいて前記機械ブレーキの制御を行う制御部と、
   を備える車両用制御装置。
2. 鉄道車両に搭載され、
   前記更新部は、前記鉄道車両が停止しているか否かを判別し、前記鉄道車両が停止していると判別した場合、前記認証部で前記予め許可された指示装置であると判別された前記指示装置が送信した前記更新指示に従って前記記憶部に記憶された前記制御情報を更新する、
   請求項１に記載の車両用制御装置。
3. 前記更新部は、前記鉄道車両の速度を取得し、前記鉄道車両の速度が基準速度以下である場合、前記鉄道車両が停止していると判別する、
   請求項２に記載の車両用制御装置。
4. 前記更新部は、前記鉄道車両の速度と、前記鉄道車両の加速を指示する力行指令または前記鉄道車両の減速を指示するブレーキ指令を含む運転指令とを取得し、前記鉄道車両の速度が基準速度以下であって、かつ、前記運転指令が前記ブレーキ指令を含む場合、前記鉄道車両が停止していると判別する、
   請求項２に記載の車両用制御装置。
5. 前記制御指示は、前記履歴の出力を指示する出力指示を含み、
   前記制御部は、前記制御指示が前記出力指示を示す場合、前記出力指示を示す前記制御指示を送信した前記指示装置が前記認証部で前記予め許可された指示装置であると判別された場合に、前記記憶部から前記履歴を読み出し、読み出した前記履歴を出力する、
   請求項１から４のいずれか１項に記載の車両用制御装置。
6. 請求項１から５のいずれか１項に記載の車両用制御装置と、
   前記車両用制御装置に車両用ネットワークを介して接続され、前記車両用制御装置に、前記認証情報と、前記更新指示を送信する少なくとも１つの指示装置と、
   を備える車両用制御システム。
7. 車両用制御装置を制御するコンピュータを、
   車載機器に含まれる機械ブレーキを制御するための制御プログラムおよび制御スクリプトの少なくともいずれかを含む制御情報ならびに前記制御の履歴を記憶する記憶部、
   車両用ネットワークを介して接続された少なくとも１つの指示装置から、認証情報と、制御情報に基づく前記機械ブレーキの制御の指示を含む制御指示および前記記憶部に記憶されている前記制御情報の更新を指示する更新指示の少なくともいずれかとを受信する通信部、
   前記通信部が前記更新指示を受信したときのみ、該更新指示とともに受信した前記認証情報に基づいて、前記認証情報を送信した前記指示装置が、予め許可された指示装置であるか否かを判別する認証部、
   前記認証部で前記予め許可された指示装置であると判別された前記指示装置が送信した前記更新指示に従って前記記憶部に記憶されている前記制御情報を更新する更新部、および、
   前記通信部が前記機械ブレーキの制御の指示を含む前記制御指示を受信すると、前記制御指示が実行を指示する前記制御に用いられる前記制御情報を前記記憶部から読み出し、読み出した前記制御情報に基づいて前記機械ブレーキの制御を行う制御部、
   として機能させるためのプログラム。

Images