(57)【要約】【課題】認証データのメンテナンス作業が容易で、移動中でも可用性が低下せず、認証データの漏洩や紛失を防止できる車両ネットワークシステムを提供する。【解決手段】車上側は、第１ネットワーク及び第２ネットワークと、第２ネットワークを介した第１ネットワークへのアクセス制御を行う関門装置と、端末装置からの第１ネットワークへのアクセスの許可／不許可を決定する車上認証装置とを備える。地上側は、端末装置からの第１ネットワークへのアクセスの許可／不許可を決定する地上認証装置を備える。車上認証装置は、車両の状況に応じて、当該車上認証装置および地上認証装置のいずれで、端末装置からの第１ネットワークへのアクセスの許可／不許可の決定を実施するかを決定する。関門装置は、車上認証装置または地上認証装置で許可の決定がなされた場合に、第２ネットワークから第１ネットワークへアクセスできるように制御する。【選択図】図１
2015035083.tif 000002
【特許請求の範囲】
【請求項１】
車両上に設けられる第１のネットワークおよび第２のネットワークと、
前記車両上であって前記第１のネットワークと第２のネットワークの間に設けられ、前記第２のネットワークを介した前記第１のネットワークへのアクセス制御を行う関門装置と、
前記車両上に設けられ、前記第２のネットワークに接続した端末装置からの前記第１のネットワークへのアクセスの許可／不許可を決定する車上認証装置と、
前記車両上に設けられ、前記車上認証装置に接続されて、地上側と通信を行う車上無線装置と、
を備える車上ネットワークシステムと、
地上側に設けられる第３のネットワークと、
地上側に設けられ、前記第３のネットワークに接続されて、前記車上無線装置と通信を行う地上無線装置と、
地上側に設けられ、前記第２のネットワークに接続する端末装置からの前記第１のネットワークへのアクセスの許可／不許可を決定する地上認証装置と、
を備える地上ネットワークシステムと、
からなる車両ネットワークシステムであって、
前記車上認証装置は、前記車両の状況に応じて、当該車上認証装置および前記地上認証装置のいずれで、前記第２のネットワークに接続する端末装置からの前記第１のネットワークへのアクセスの許可／不許可の決定を実施するかを決定し、
前記関門装置は、前記車上認証装置または前記地上認証装置で前記許可の決定がなされた場合、前記第２のネットワークから前記第１のネットワークへアクセスできるように制御し、そうでない場合、前記第２のネットワークから前記第１のネットワークへアクセスできないように制御する、
車両ネットワークシステム。
【請求項２】
前記車上認証装置は、前記車両の状況として当該車上認証装置が搭載された前記車両が走行中であるかまたは前記車両がいずれかの駅に停車中であるかに応じて、前記第２のネットワークに接続する端末装置からの前記第１のネットワークへのアクセスの許可／不許可の決定を、前記車上認証装置および前記地上認証装置のいずれにおいて実施するかを決定する、請求項１に記載の車両ネットワークシステム。
【請求項３】
前記車上認証装置は、当該車上認証装置が搭載された前記車両が走行中である場合、前記第２のネットワークに接続する端末装置からの前記第１のネットワークへのアクセスの許可／不許可の決定を、当該車上認証装置で実施すると決定する、請求項２に記載の車両ネットワークシステム。
【請求項４】
前記車上認証装置は、当該車上認証装置が搭載された前記車両がいずれかの駅に停車中である場合、前記第２のネットワークに接続する端末装置からの前記第１のネットワークへのアクセスの許可／不許可の決定を、当該車上認証装置および前記地上認証装置のいずれでも実施可能であると決定し、前記地上認証装置での実施を優先する、請求項３に記載の車両ネットワークシステム。
【請求項５】
前記車上認証装置および前記地上認証装置は、前記第２のネットワークに接続する端末装置からの前記第１のネットワークへのアクセスの許可／不許可の決定を、自装置が有する認証用データと、前記端末装置から送付された認証用データとを比較し、一致した場合に、許可と決定する、請求項４に記載の車両ネットワークシステム。
【請求項６】
前記車上認証装置は、前記車両の状況に応じて、前記車上認証装置が有する前記認証用データを消去する、請求項５に記載の車両ネットワークシステム。
【請求項７】
前記地上認証装置は、前記認証用データの利用開始時刻および当該認証用データの利用可能時間を管理する管理部を備え、前記端末装置から送付された認証用データと当該地上認証装置が有する認証用データとが一致し、かつ、当該認証用データの利用開始時刻および当該認証用データの利用可能時間が設定されていない場合、前記車上認証装置に、認証用データとして当該認証用データとその利用可能時間および利用開始時刻とを記録させる、請求項５に記載の車両ネットワークシステム。
【請求項８】
前記車上認証装置は、前記利用開始時刻から前記利用可能時間を経過した認証用データを削除する、請求項７に記載の車両ネットワークシステム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明の実施形態は、車両ネットワークシステムに関する。
【背景技術】
【０００２】
近年、鉄道車両上で、乗務員に対する車両ネットワークへの接続サービスが実施されている。この車両ネットワークは、乗務員の作業効率を向上させるので有益である。例えば、車掌が車両ネットワークを利用して乗車券の販売を行ったり、搭乗した車両内の冷暖房の調整を行ったりすることができるようになる。
【０００３】
このように乗務員用に車両ネットワークを用いる以外に、乗客サービス用に車両ネットワークを用いる場合がある。例えば、車両ネットワークを利用して列車内で無線ＬＡＮによる乗客へのインターネット接続サービスが行われている。
【０００４】
このように乗客サービス用に車両ネットワークを用いる場合、乗務員が使用するネットワーク領域は、運行上重要なデータや制御のための情報も含まれるため、一般乗客用のネットワークと鉄道事業者が用いるネットワークを物理的に分離する方法がとられている。しかし、ネットワーク資源の有効利用のためにはできるだけ同じ設備を用いるのが好ましい。例えば、列車内の無線ＬＡＮの設備は共用した上で、乗務員が使用するネットワーク領域と乗客が利用するネットワーク領域とを区別することができれば、ネットワーク資源を有効利用することができる。
【０００５】
このようなネットワークを構成するためには、乗務員だけが使用できるネットワーク領域に対しては認証によるアクセス制御を行い、正規の乗務員だけが接続を可能とする制御を行うようにすればよく、この様なシステムは一般のネットワークシステムで実現されている。
【先行技術文献】
【特許文献】
【０００６】
【特許文献１】特開２００７−２４１３８３号公報
【発明の概要】
【発明が解決しようとする課題】
【０００７】
しかしながら、鉄道車両内のネットワークは一般のネットワークと比較して以下の特有の事情がある。
【０００８】
（１）移動体である。
（２）夜間に停止して電源が落ち、無人になる。
（３）制御装置が、鉄道車両に搭載するので小型かつ耐環境が重視されるオンボードコンピュータが主流となっており、トランザクション処理量に制限がある。
【０００９】
鉄道車両内においてはこれらの特有の事情があるため、次の問題が発生する。
【００１０】
認証を行うための認証装置および認証用データを車両に搭載した場合は、夜間に車両に侵入されて、認証用データを盗みとられる可能性がある。たとえワンタイムパスワードの様な使い切りのパスワードを採用したにしても、認証装置ではこのワンタイムパスワードを生成するプログラム等が実装されることになるので、このワンタイムパスワードを生成するプログラム等が漏洩する恐れがある。
【００１１】
また、仮に夜間の車両内侵入を防げたとしても、乗務員全員分の認証データを車両に搭載するようにすると、一般に鉄道車両に搭載される制御装置の処理能力が低いため、認証に時間がかかってしまう。
【００１２】
また、認証データのメンテナンスを車両毎に行う必要があり、その作業はすべての車両に対して行う必要があるため、その労力が無視できない。そこで、該当列車のみに乗務する乗務員が乗務の際、該当列車の認証装置の認証データを更新する方法が考えられるが、この場合、認証データを乗務員が持ち歩くことによる紛失の可能性がある。さらに、臨時乗務員に対する認証データの更新を許可する必要もあり、更新のための認証データへのアクセス頻度が増加することによるセキュリティーの低下が懸念される。
【００１３】
一方、認証装置および認証用データを地上側に設置し、地上側との間で無線通信により認証する方法を採用した場合、上記認証を行うための認証装置および認証用データを車両に搭載した場合の問題は解消されるが、トンネル内を通過する際など無線接続が不可となっている間は認証ができず、可用性が低下してしまう。
【００１４】
本発明が解決しようとする課題は、認証データのメンテナンス作業が容易で、かつ、移動中でも可用性が低下せず、認証データの漏洩や紛失を防止できる、車両ネットワークシステムを提供することである。
【課題を解決するための手段】
【００１５】
実施形態の車両ネットワークシステムは、車上ネットワークシステムと地上ネットワークシステムとからなる。車上ネットワークシステムは、車両上に設けられる第１のネットワークおよび第２のネットワークと、車両上であって第１のネットワークと第２のネットワークの間に設けられ、第２のネットワークを介した第１のネットワークへのアクセス制御を行う関門装置と、車両上に設けられ、第２のネットワークに接続した端末装置からの第１のネットワークへのアクセスの許可／不許可を決定する車上認証装置と、車両上に設けられ、車上認証装置に接続されて、地上側と通信を行う車上無線装置とを備える。地上ネットワークシステムは、地上側に設けられる第３のネットワークと、地上側に設けられ、第３のネットワークに接続されて、車上無線装置と通信を行う地上無線装置と、地上側に設けられ、第２のネットワークに接続する端末装置からの第１のネットワークへのアクセスの許可／不許可を決定する地上認証装置とを備える。車上認証装置は、車両の状況に応じて、当該車上認証装置および地上認証装置のいずれで、第２のネットワークに接続する端末装置からの第１のネットワークへのアクセスの許可／不許可の決定を実施するかを決定する。また、関門装置は、車上認証装置または地上認証装置で許可の決定がなされた場合、第２のネットワークから第１のネットワークへアクセスできるように制御し、そうでない場合、第２のネットワークから第１のネットワークへアクセスできないように制御する。
【図面の簡単な説明】
【００１６】
【図１】図１は、第１の実施形態の車両ネットワークシステムの構成を示す図である。
【図２】図２は、第１の実施形態の車上認証装置の構成を示すブロック図である。
【図３】図３は、第１の実施形態の地上認証装置の構成を示すブロック図である。
【図４】図４は、第１の実施形態の動作概要を説明するフローチャートである。
【図５】図５は、判定用信号生成装置とその入力信号の元となる装置等を例示した図である。
【図６】図６は、第１の実施形態の車上認証装置の動作を説明するフローチャートである。
【図７】図７は、第１の実施形態の地上認証装置の動作を説明するフローチャートである。
【図８】図８は、第２の実施形態の車上認証装置の構成を示すブロック図である。（請求項３−４）
【図９】図９は、第２の実施形態における認証データ記憶部の動作を説明するフローチャートである。
【図１０】図１０は、第３の実施形態の車上認証装置の構成を示すブロック図である。（請求項５−６）
【図１１】図１１は、第３の実施形態の地上認証装置の構成を示すブロック図である。
【図１２】図１２は、第３の実施形態の動作概要を説明するフローチャートである。
【図１３】図１３は、第３の実施形態の認証データ記憶部で記憶される認証データの一例を示す図である。
【図１４】図１４は、第３の実施形態の認証データリース管理部でのリース記録の一例を示す図である。
【図１５】図１５は、第３の実施形態における列車番号の読み込み手法の一例を示す図である。
【図１６】図１６は、第３の実施形態における列車番号の読み込み手法の別の例を示す図である。
【図１７】図１７は、第３の実施形態における地上認証装置の認証データリース管理部の構成を示すブロック図である。
【図１８】図１８は、第３の実施形態における車上認証装置の動作を説明するフローチャートである。
【図１９】図１９は、第３の実施形態における地上認証装置の動作を説明するフローチャートである。
【発明を実施するための形態】
【００１７】
（第１の実施形態）
はじめに、第１の実施形態の車両ネットワークシステムについて、図面を参照して説明する。図１は、第１の実施形態の車両ネットワークシステムの構成を示す図である。
【００１８】
本実施形態の車両ネットワークシステムは、地上ネットワークシステム１および車上ネットワークシステム２から構成される。地上ネットワークシステム１および車上ネットワークシステム２は、地上無線装置８と車上無線装置９を用いて無線通信により接続する。
【００１９】
地上ネットワークシステム１は、地上ネットワーク５、地上認証装置６、地上認証用データ装置７、地上無線装置８、および端末装置１２より構成される。なお、地上無線装置８は、少なくとも各駅に設置されていることが好ましい。
【００２０】
車上ネットワークシステム２は、車両内クローズドネットワーク３と車両内オープンネットワーク４、車上無線装置９、車上認証装置１０、関門装置１１、端末装置１２、および判定用信号生成装置１３より構成される。
【００２１】
端末装置１２は、車両内クローズドネットワーク３、車両内オープンネットワーク４および地上ネットワーク５のそれぞれに接続可能である。ただし、車両内クローズドネットワーク３に接続するには、認証が要求される。
【００２２】
なお、本実施形態において、地上無線装置８および車上無線装置９間の無線通信方式としては、例えば、スペクトラム拡散方式等を採用することができ、通信の際には暗号化を実施する。また、地上ネットワーク５、車両内クローズドネットワーク３、および車両内オープンネットワーク４の各ネットワーク、ならびに、各ネットワークと各装置の間の通信方式としては、イーサネット（登録商標）等を採用することができる。また、車両内オープンネットワーク４は、図に示されていない無線通信により外部のネットワーク（例えば、インターネット）に接続可能である。
【００２３】
地上認証装置６および地上認証用データ装置７は、サーバ等の情報処理装置を用いて構成することができ、車上認証装置１０および関門装置１１は、オンボードコンピュータ等の情報処理装置を用いて構成することができる。地上ネットワークシステム１および車上ネットワークシステム２におけるその他の装置は、既知のネットワーク機器を用いて構成することができる。
【００２４】
図２に、車上認証装置１０の構成を示す。
【００２５】
車上認証装置１０は、メッセージ処理部１０１、認証判定部１０２、認証データ記憶部１０３、判定処理部１０４、認証結果記録部１０５、および、認証データ読込部１０６を備える。
【００２６】
メッセージ処理部１０１は、端末装置１２との間でやり取りするメッセージの転送処理を行うとともに、判定用信号生成装置１３からの判定用信号に応じて車上認証の許可／不許可、地上認証の許可／不許可の決定をする（後述）。
【００２７】
認証データ読込部１０６は、外部装置である認証データ設定端末１４と無線または有線により接続可能であり、認証データ設定端末１４から認証用データを読み込んで、読み込んだ認証用データを認証データ記憶部１０３に設定する。ここで用いる認証用データは、例えば、ユーザＩＤおよびパスワード等である。
【００２８】
認証判定部１０２は、認証要求メッセージに含められた認証用データと認証データ記憶部１０３に記憶している認証用データとを照合しその一致／不一致を判定することにより、当該認証要求メッセージを送出した端末装置１２に対する認証を実施し、その成功／失敗を判定する。
【００２９】
判定処理部１０４は、認証判定部１０２による認証結果に基づき、認証成功の場合は、認証成功のメッセージを作成し、メッセージ処理部１０１を介して関門装置１１へ送信する。一方、認証失敗の場合、判定処理部１０４による認証成功のメッセージの作成と、そのメッセージの関門装置１１への返信がなされないことにより、該当端末装置１２の認証要求メッセージは実質的に破棄されることになる。
【００３０】
認証結果記録部１０５は、認証判定部１０２による認証結果をログとして記録する。また、認証結果記録部１０５は、認証された端末装置１２等からの特定の要求に対し、記憶している認証結果をメッセージ処理部１０１を介し返信するように構成されており、認証結果を外部から参照できるようになっている。
【００３１】
図３に、地上認証装置６の構成を示す。
【００３２】
地上認証装置６は、メッセージ処理部６１、認証判定部６２、判定処理部６３、および、認証結果記録部６４を備える。
【００３３】
メッセージ処理部６１は、地上ネットワーク５および地上無線装置８を介した車上側装置との間でやり取りするメッセージの転送処理を実施する。
【００３４】
認証判定部６２は、認証用データが登録されている外部の地上認証用データ装置７に認証用データを問い合わせ、地上認証用データ装置７の認証用データと車上側から転送されてきた認証要求メッセージに含まれる認証用データとを照合しその一致／不一致を判定することにより認証を実施し、その成功／失敗を判定する。
【００３５】
判定処理部６３は、認証判定部６２による認証結果に基づき、認証成功の場合は、認証成功のメッセージを作成し、メッセージ処理部６１、地上ネットワーク５、地上無線装置８、車上無線装置９、および、車上認証装置１０を介して、車上の関門装置１１に送信する。
【００３６】
認証結果記録部６４は、認証判定部６２による認証結果を記録する。また、認証結果記録部６４は、地上ネットワーク５を介した外部装置（例えば、地上ネットワーク５に接続する端末装置１２）からの特定の要求に対し、記憶している認証結果を、メッセージ処理部６１を介し返信するように構成されており、認証結果を外部装置から参照できるようになっている。
【００３７】
端末装置１２は、携帯型の情報処理装置である。初期状態では、端末装置１２は、車両内オープンネットワーク４に接続可能であるが、車両内クローズドネットワーク３には、関門装置１１によって接続不可の状態とされる。ただし、関門装置１１への認証要求メッセージ通信は可能である。端末装置１２は、車両内クローズドネットワーク３への接続を行うため、関門装置１１へ認証データを含む認証要求メッセージを送信することで認証要求を行う。
【００３８】
関門装置１１は、関門スイッチとなるＶＰＮ（Virtual  Private  Network）装置等であり、端末装置１２との間に暗号化された仮想伝送路を構築した上で、端末装置１２からの認証要求メッセージを受け取り、この関門装置１１に接続する車上認証装置１０にこの認証要求メッセージを送信する。なお、車両内クローズドネットワーク３と車両内オープンネットワーク４は、この関門装置１１により論理的に分離されるが、物理的には資源を共用している。
【００３９】
車上認証装置１０では、関門装置１１からの認証要求メッセージに対し、メッセージ処理部１０１が、車両状況に応じて、当該車上認証装置１０および地上認証装置６による認証実施の可否を決定し、その結果に応じて車上認証装置１０または地上認証装置６での認証処理を実施する。以下に、この動作概要を図４に示し説明する。
【００４０】
車両状況に応じて、メッセージ処理部１０１が、車上認証装置１０による認証実施可と判定すると（ステップＳ１０１でＹｅｓ）、認証判定部１０２が認証を実施する。この認証でＯＫと判定された場合（ステップＳ１０２でＹｅｓ）、関門装置１１は、認証要求をした端末装置１２に対して車両内クローズドネットワーク３に接続可とする（ステップＳ１０３）。
【００４１】
一方、車上認証装置１０による認証実施不可と判定された場合（ステップＳ１０１でＮｏ）、または、車上認証装置１０による認証実施可と判定され（ステップＳ１０１でＹｅｓ）、車上認証装置１０が認証を実施し、この認証でＮｏと判定された場合（ステップＳ１０２でＮｏ）、メッセージ処理部１０１は、地上認証装置６による認証実施可であるかさらに判定する（ステップＳ１０４）。
【００４２】
ここで、地上認証装置６による認証実施可であると判定された場合（ステップＳ１０４でＹｅｓ）、メッセージ処理部１０１は認証要求メッセージを地上認証装置６へ転送し、地上認証装置６の認証判定部６２が認証を実施する。この認証でＯＫと判定された場合（ステップＳ１０５でＹｅｓ）、関門装置１１は、認証要求をした端末装置１２に対して車両内クローズドネットワーク３に接続可とする（ステップＳ１０３）。
【００４３】
一方、地上認証装置６による認証実施不可と判定された場合（ステップＳ１０４でＮｏ）、または、地上認証装置６による認証実施可と判定され、地上認証装置６にて認証を実施し、この認証でＮｏと判定された場合は（ステップＳ１０５でＮｏ）、関門装置１１は、認証要求をした端末装置１２に対して車両内クローズドネットワーク３に接続不可とする（ステップＳ１０６）。
【００４４】
ところで、本実施形態では、メッセージ処理部１０１が、車両状況に応じて、当該車上認証装置１０および地上認証装置６による認証実施の可否を決定する構成としている。メッセージ処理部１０１がこの決定をできるようにするために、判定用信号生成装置１３で判定用信号を生成する。具体的には、判定用信号生成装置１３は、車両状況を示す、車両の走行状態、走行距離、時刻、終着駅到着、地上との通信状態、ＡＴＯ（Automatic  Train  Operation）信号、ドア開閉状態、運転台キーのＯＮ／ＯＦＦ状態、運行計画、地上からの指令、行先案内の、いずれか、または、これらの組合せからなる情報を基に、判定用信号を生成する。
【００４５】
図５に、判定用信号生成装置１３とその入力信号の元となる装置等を示す。
【００４６】
判定用信号生成装置１３は、判定部１３１と判定ポリシー１３２から構成される。判定部１３１には、車両状況を示す情報が常時または定期的に入力される。具体的には、車両内の各部を監視するモニタシステム３０から、速度発電機２２による速度情報、距離計算部２３による走行距離情報、ドア２０の開閉状態、および、運転台キー２１の状態の情報を取得する。また、ＡＴＯシステム３１からは、地上子２４、特にＰ４地上子による停止信号情報による駅停止の情報を取得する。また、タイマー２５からは現在の時刻情報を取得し、運行管理システム２９からは、運行計画２８を取得する。また、社内案内システム２６からは、行き先案内等の情報を取得し、地上システム２７からは、現在の位置情報等の情報を取得する。これらの情報を用いることで、判定部１３１は、現在の車両状況を知ることができる。
【００４７】
判定ポリシー１３２には、判定部１３１が、上記車両状況を示す情報を基に、車上認証装置１０での認証実施の可否、および、地上認証装置６での認証実施の可否を判定するための判定基準（車上認証と地上認証の許可の条件）が設定されている。
【００４８】
このように構成される判定用信号生成装置１３において、判定部１３１が、入力された車両状況を示す情報を、判定ポリシー１３２のポリシーと照合し、車上認証と地上認証の許可／不許可を判定して、その結果を判定用信号として車上認証装置１０のメッセージ処理部１０１へ送出する。メッセージ処理部１０１は、この判定用信号に基づいて車上認証と地上認証の許可／不許可を決定する。
【００４９】
ここで判定ポリシー１３２についてさらに詳しく説明する。
【００５０】
判定ポリシー１３２には、基本的には、駅停車中は車上認証と地上認証を共に許可するが地上認証を優先し、それ以外の状況では車上認証だけを許可するというポリシーが設定される。このような判定ポリシー１３２のもとで判定部１３１が車上認証と地上認証の許可／不許可を判定するには、車両状況として、駅停車中とそれ以外の状態を区別する必要がある。
【００５１】
車両が駅停車中であると認識するためには、車両が駅ホームに停止していることを判定できれば良い。たとえば、判定部１３１で、速度発電機２２からの信号をモニタシステム３０から取得して車両の停止を判断する。また、判定部１３１で、距離計算部２３で計算した走行距離およびＰ４地上子による停止信号情報をＡＴＯシステム３１経由で取得し、運行計画の情報を基に現在の停止位置が駅であるかどうかを判定する。このほかにも、営業中ではドア２０が開状態であるのは駅停止の場合のみであるので、判定部１３１で、ドア２０の開閉状態をモニタシステム３０から取得し、ドア２０が開状態ならば駅停止と判定することができる。または、判定部１３１で、運行計画２８が入力してある運行管理システム２９から駅到着予定時刻を取得し、時刻情報から駅での停止を判定することもできる。車両が駅ホームに停止していることを判定するには、これらの手法のいずれかを用いても良いし、組み合わせて用いても良い。
【００５２】
また、判定ポリシー１３２のポリシーとして、乗務員が乗車していない場合は車上認証および地上認証を許可しない、としてもよい。例えば、判定部１３１で、運転台キー２１のＯＮ／ＯＦＦの状態をモニタシステム３０から取得し、ＯＦＦ時は乗務員が乗車していないと判断する。あるいは、判定部１３１で、運行計画２８を運行管理システム２９から取得し、現在時刻と照らし合わせて現在は乗務員が乗車していないと判断する。この場合、ポリシーに従って車上認証も地上認証も不可と判定され、車上認証および地上認証の両方とも行わずに端末装置１２からの認証要求メッセージを破棄することになる。
【００５３】
次に、車上認証装置１０の動作の詳細を、図６のフローチャートを用いて説明する。
【００５４】
メッセージ処理部１０１は、外部からのメッセージを受信すると（ステップＳ２０１）、それが認証要求メッセージであるか判定する（ステップＳ２０２）。
【００５５】
認証要求メッセージである場合（ステップＳ２０２でＹｅｓ）、メッセージ処理部１０１は、判定用信号生成装置１３からの判定用信号を基に、車上認証装置による認証実施可であるか判断する（ステップＳ２０３）。車上認証装置による認証実施可であると判定される場合（ステップＳ２０３でＹｅｓ）、認証要求メッセージの内容（認証データ）を認証判定部１０２へ伝達して認証を行う。ここで認証成功の場合は（ステップＳ２０４でＹｅｓ）、認証結果記録部１０５にて認証結果を記録する（ステップＳ２０５）。さらに、判定処理部１０４が認証成功のメッセージを生成し、このメッセージをメッセージ処理部１０１を介して関門装置１１に送出する（ステップＳ２０６）。
【００５６】
関門装置１１は、車上認証装置１０から認証成功の返信メッセージを受信すると、端末装置１２が車両内クローズドネットワーク３に接続できるようにアクセス制御を変更して、認証成功の返信メッセージを端末装置１２に送付する。
【００５７】
一方、車上認証装置１０による認証が失敗の場合（ステップＳ２０４でＮｏ）、認証結果記録部１０５にて認証結果を記録し（ステップＳ２０７）、ステップＳ２０８へ移行する。前述のステップＳ２０３にて車上認証装置による認証実施が不可である場合も（ステップＳ２０３でＮｏ）、ステップＳ２０８へ移行する。ステップＳ２０８では、メッセージ処理部１０１が判定用信号生成装置１３からの判定用信号を基に地上認証装置６による認証実施可であるか判断する。
【００５８】
ここで、地上認証実施が不可の場合は（ステップＳ２０８でＮｏ）、メッセージ処理部１０１は、当該認証要求メッセージを破棄する（ステップＳ２０９）。この場合、関門装置１１は、元のアクセス制御（初期状態）のままとなり、端末装置１２が車両内クローズドネットワーク３に接続できない状態が保持される。また、端末装置１２側では、一定の時間の経過をもってタイムアウトとし、認証に失敗したものとして処理する。
【００５９】
一方、地上認証装置６による認証実施可の場合は（ステップＳ２０８でＹｅｓ）、メッセージ処理部１０１が受け取った該当の認証要求メッセージを車上無線装置９、地上無線装置８、および、地上ネットワーク５を介して、地上認証装置６に転送する（ステップＳ２１０）。以後の地上認証装置６による認証は、後述の地上認証装置６による認証時の動作となる。
【００６０】
なお、メッセージ処理部１０１で受信したメッセージが認証要求メッセージでない場合は（ステップＳ２０２でＮｏ）、このメッセージが地上認証装置６からの関門装置１１宛の返信メッセージであるか判定する（ステップＳ２１１）。このメッセージが関門装置１１宛の返信メッセージである場合（ステップＳ２１１でＹｅｓ）、メッセージ処理部１０１は、そのメッセージを関門装置１１に転送し（ステップＳ２１２）、そうでない場合は（ステップＳ２１１でＮｏ）、そのメッセージに対応した、管理用などのその他の処理を実行する（ステップＳ２１３）。関門装置１１は、自身宛の返信メッセージ（地上認証装置６からの認証成功の返信メッセージ）を受信すると、車両内の端末装置１２が車両内クローズドネットワーク３に接続できるようにアクセス制御を変更して、認証成功の返信メッセージを端末装置１２に送付する。そして、一連の処理が終わると、ステップＳ２０１に戻る。
【００６１】
続いて、地上認証装置６の動作の詳細を、図７のフローチャートを用いて説明する。
【００６２】
地上認証装置６のメッセージ処理部６１は、車上認証装置１０から転送されてきたメッセージを受信すると（ステップＳ３０１）、そのメッセージが認証要求メッセージであるか判定する（ステップＳ３０２）。受信したメッセージが認証要求メッセージである場合は（ステップＳ３０２でＹｅｓ）、この認証要求メッセージの内容（認証データ）を認証判定部６２へ伝達して認証を行う。ここで認証成功の場合は（ステップＳ３０３でＹｅｓ）、判定処理部６３が認証成功の返信メッセージを生成して、このメッセージを、メッセージ処理部６１、地上認証装置６、地上無線装置８、車上無線装置９、および、車上認証装置１０を介して、車上の関門装置１１に送付する（ステップＳ３０４）。そして、認証結果記録部６４にて認証結果を記録し（ステップＳ３０６）、ステップＳ３０１に戻る。
【００６３】
関門装置１１は、車上認証装置１０から認証成功の返信メッセージを受信すると、端末装置１２が車両内クローズドネットワーク３に接続できるようにアクセス制御を変更して、認証成功の返信メッセージを端末装置１２に送付する。
【００６４】
一方、認証判定部６２での認証が失敗の場合（ステップＳ３０３でＮｏ）、メッセージ処理部６１は、認証要求メッセージを破棄し（ステップＳ３０５）、認証結果記録部６４にて認証結果を記録して（ステップＳ３０６）、ステップＳ３０１に戻る。この場合、関門装置１１は、元のアクセス制御（初期状態）のままとなり、端末装置１２が車両内クローズドネットワーク３に接続できない状態が保持される。また、端末装置１２側では、一定の時間の経過をもってタイムアウトとし、認証に失敗したものとして処理する。
【００６５】
なお、前述のステップＳ３０２にて、受信したメッセージが認証要求メッセージでない場合は（ステップＳ３０２でＮｏ）、そのメッセージに対応したその他の処理を実施する（ステップＳ３０７）。
【００６６】
本実施形態の車両ネットワークシステムは、この様な仕組みとなっているため、認証対象である乗務員のみが鉄道運行上必要な車両内クローズドネットワーク３に接続可能となる。また、車上に認証装置があることで、地上側との通信ができない場合でも認証を行うことができる。また、車上認証装置に必要な認証データがなくても、地上との通信ができる場合は地上認証装置を利用して認証を行うことができる。例えば、駅停止中の駅員による臨時の車両内検査業務や手荷物確認、切符販売等の業務等を、車両内クローズドネットワーク３を介して行うことができる。また、走行中に乗務員の乗降はないので、該当乗務員のみ車両内クローズドネットワーク３に接続させることができ、該当乗務員以外の不正なネットワーク接続を排除することができる。また、車両走行中は、トンネルやビル等により車上と地上との無線通信が遮断される可能性が大きいので、地上認証装置による認証実施を不可とすることで、無駄な通信リソースの削減が可能となる。また、乗務員が明らかに利用しない状況では、認証自体を受付けないようにすることができるので、乗務員用の認証データの安全性をさらにあげることができる。
【００６７】
（第２の実施形態）
次に、第２の実施形態について説明する。本実施形態における車両ネットワークシステムの構成図は図１と同じである。ただし、車上認証装置１０の構成が、図２に示すものに代え図８に示す構成をとる。
【００６８】
図８では、判定用信号生成装置１３の出力を、メッセージ処理部１０１に加えて車上認証装置１０の認証データ記憶部１０３にも入力している。この構成により、車両状況に基づく判定用信号生成装置１３からの判定用信号に応じて、認証データ記憶部１０３の認証データを消去することが可能となる。
【００６９】
本実施形態では、車両状況に応じて認証データ記憶部１０３の認証データを消去するため、判定用信号生成装置１３で、認証データ記憶部１０３に対する認証データ消去要求としての判定用信号を生成し、この信号を車上認証装置１０に対し出力する。車上認証装置１０の認証データ記憶部１０３は、図９に示すように、この認証データ消去要求を受けると（ステップＳ４０１でＹｅｓ）、記憶している認証データを消去する（ステップＳ４０２）。
【００７０】
判定用信号生成装置１３は、車両状況に応じて認証データ消去要求を出力するために、車両の状況である、車両の走行状態、走行距離、時刻、終着駅到着、地上との通信状態、ＡＴＯ信号、ドア開閉状態、運転台キー２１のＯＮ／ＯＦＦ状態、運行計画２８、地上からの指令、行先案内の、いずれか、または、これらの組合せを元に判定用信号（認証データ消去要求）を生成する。なお、本実施形態における判定用信号生成装置１３の基本的な構成は第１の実施形態のものと同様であり、判定部１３１と判定ポリシー１３２とから構成される。
【００７１】
判定部１３１は、第１の実施形態と同様に、列車の状態（車両状況）を判定することができる。本実施形態では、判定ポリシー１３２のポリシーを、例えば、当該列車が始発から終点までの１営業運転を終了した場合に、車上認証装置１０の認証データを消去するように設定される。このように設定された場合、この判定ポリシーに従って、判定部１３１は、当該運転日の最終営業の終了時刻を基に１営業運転の終了を判定し、認証データ記憶部１０３の認証データを消去するための判定用信号（認証データ消去要求）を認証データ記憶部１０３へ出力する。この認証データ消去要求により、前述のように車上認証装置１０の認証データが消去される。このように最終営業の終了で車上認証装置の認証データを消去することで、営業終了後の不正アクセスを防ぐことができ、また、夜間の無人状態での列車に認証データを保持することがなくなるため、夜間に認証データの盗難等による漏洩を防ぐことができる。
【００７２】
（第３の実施形態）
次に第３の実施形態について説明する。本実施形態における車両ネットワークシステムの構成図は図１と同じである。ただし、車上認証装置１０の構成が、図２に示すものに代えて図１０に示す構成をとり、地上認証装置６の構成が図３に示すものに代えて図１１に示す構成をとる。
【００７３】
図１０に示す車上認証装置１０の構成において、図２に示した第１の実施形態のものと異なる点は、メッセージ処理部１０１から認証データ読込部１０６に、受信した車上認証データ更新メッセージを入力できるようにした点である。また、図１１に示す地上認証装置６が図３に示した第１の実施形態のものと異なる点は、認証データリース管理部６５が追加されている点である。以下に、その動作概要を図１２に示し説明する。
【００７４】
図１２に示すように、本実施形態では、第１の実施形態で図４に示した動作フローに対し、ステップＳ１０７〜Ｓ１１１を追加している。同図に示すように、認証データがリース済み（ステップＳ１０７でＹｅｓとなるケース）であれば、本実施形態においても、第１の実施形態と同様の動作となる。本実施形態では、認証データのリースという機能を導入し、地上認証装置６で認証が成功した場合で（ステップＳ１０５でＹｅｓ）、認証データがリース済みでない場合は（ステップＳ１０７でＮｏ）、車上認証装置１０の認証データの更新を行うと同時に、車両内クローズドネットワーク３への接続を許可するため、判定処理部６３が認証成功の返信メッセージを生成して関門装置１１へ送信するようにしている（ステップＳ１０８）。関門装置１１は、この認証成功返信メッセージに応じて認証要求をした端末装置１２に対して車両内クローズドネットワーク３に接続可とする（ステップＳ１０９）。さらに、リース開始時刻（利用開始時刻）からリース時間（利用可能時間）を経過した場合に（ステップＳ１１０でＹｅｓ）、車上認証装置１０にて、認証データを削除するようにしている（ステップＳ１１１）。
【００７５】
この車上認証装置１０の認証データの更新のための認証データ更新メッセージの生成は、地上認証装置６の判定処理部６３で行い、これを車上認証装置１０に送付する。ここで生成される認証データ更新メッセージには、リース情報を含む更新用データが含められる。車上認証装置１０では、メッセージ処理部１０１で認証データ更新メッセージを受信すると、認証データ読込部１０６に更新用データを読み込ませ、認証データ記憶部１０３の認証データ（リース情報を含む）を更新する（図１３）。なお、端末装置１２を利用する乗務員用の認証データは、地上認証装置６側に登録されているものとする。
【００７６】
この様な仕組みとなっているため、乗車する乗務員の認証データを営業運転毎に車上認証装置に読み込ませなくても自動的に車上認証装置の認証データを更新することができる。また、営業運転中での乗務員の途中乗車等があっても自動的に認証データを更新することができる。また、認証データを常に地上の認証データ装置の登録内容と一致させることができ、認証データの一貫性や保守性を上げることができる。また、車上認証装置１０に記録された認証データの安全性を高めることができる。
【００７７】
続いて、本実施形態の車両ネットワークシステムの詳細をさらに説明する。
【００７８】
図１４に、認証データリース管理部６５の記録内容（リース記録）の一例を示す。同図に示すように、ユーザ情報（ユーザＩＤ）、対象となる列車番号、車上認証データ更新メッセージを送付した時刻（リース時刻）、および、リース時間（秒）を記録している。なお、列車番号の情報は、図１５と図１６に示す様に、同図の列車番号４０を入力する運転台４１から、もしくは、運行計画２８を管理する運行管理システム２９から車上認証装置１０に入力する。運転台４１からの入力は乗務員による手入力、もしくは、運行支援のためのデータが入力された記憶メディアを介した入力で可能である。また、運行管理システム２９からの入力は、上記記憶メディアを利用する方法の他に、地上から無線通信により入力することが可能である。なお、車上認証装置１０は、地上認証装置６に認証要求メッセージを送付する場合、列車番号を付加して送付する。
【００７９】
図１７に認証データリース管理部６５の構成を示す。認証データリース管理部６５は、判定ポリシー６５１、判定部６５２、リース記録部６５３、更新メッセージ生成部６５４、およびタイマー６５５で構成される。なお、タイマー６５５として、図５に示したタイマー２５を用いてもよい。
【００８０】
認証判定部６２での認証が成功した場合、判定部６５２は、該当ユーザ情報（ユーザＩＤ）と列車番号を元に判定ポリシーに従って判定を行う。認証データがリース済みでない場合、判定部６５２が、車上認証装置１０の認証データの更新が必要と判断し、更新メッセージ生成部６５４で車上認証データ更新メッセージを生成して、このメッセージを判定処理部６３およびメッセージ処理部６１を介して、車上認証装置１０に送付し、リース記録部６５３に新たに認証データを更新した記録（リース記録）を記載すると同時に、車両内クローズドネットワーク３への接続を許可するため、判定処理部６３が認証成功の返信メッセージを生成して関門装置１１へ送信する。一方、判定部６５２が、認証データの更新不要と判断した場合（すなわち、リース済みの場合）は、判定処理部６３に認証成功の返信メッセージの生成を引き継ぐ。
【００８１】
認証判定部６２で認証失敗と判定した場合、認証データリース管理部６５は、判定処理部６３に認証要求メッセージに対する処理を引き継ぎ、メッセージ処理部６１にて、このメッセージは破棄されることになる。また、リース記録部６５３は、タイマー６５５で現在時刻を確認し、現在時刻が規定の時刻（リース時刻＋リース時間）を過ぎた場合は該当のリース記録を削除する。
【００８２】
なお、本実施形態において、判定ポリシー６５１には、担当乗務員の配車時刻以外には、認証データを送付しない設定を行う。これにより、判定部６５２は、乗務員配車システム１５から担当乗務員と乗車する列車番号とその乗車時刻から、現在の時刻での乗車の有無を確認し、乗車ありの場合は正しい認証要求として判定して、認証成功のメッセージを車上認証装置１０に送付する。一方、乗車なしの場合は、認証データを送付しないと判定し、該当の認証要求メッセージを破棄する。また、判定ポリシー６５１には、所定の時間以内で異なる列車番号からの同一ユーザの認証を許可しない、と設定する。たとえば、認証を要求するユーザをリース記録で確認し、異なる列車番号の同じユーザからの認証要求が、前回のリース時刻から所定の時間（リース時間）が経過していない場合は、認証データを送付しないと判定し、該当の認証要求メッセージを破棄する。
【００８３】
図１８に、本実施形態における車上認証装置１０の動作フローを示す。同図に示すように、本実施形態の車上認証装置１０の動作において図６に示した第１の実施形態の車上認証装置１０の動作と異なる点は、地上側からの車上認証データ更新メッセージに対する処理（ステップＳ２１４〜Ｓ２１５）を追加している点と、リース時間に応じた処理（ステップＳ２１６〜Ｓ２１７）を追加した点である。
【００８４】
具体的には、図１８に示すように、ステップＳ２０１でメッセージを受信し、受信したメッセージが、車上認証データ更新メッセージである場合（ステップＳ２１４でＹｅｓ）、ステップＳ２１５で、認証データ読込部１０６に更新用データを取り込み、認証データ記憶部１０３の認証データ（リース情報を含む）を更新するようにしている。また、リース時間を経過した場合には（ステップＳ２１６でＹｅｓ）、ステップＳ２１７で、該当認証データを削除するようにしている。その他は、図６に示した第１の実施形態における動作と同様である。
【００８５】
続いて、図１９に、本実施形態における地上認証装置６の動作フローを示す。同図に示すように、本実施形態の地上認証装置６の動作において第１の実施形態の地上認証装置６の動作（図７）と異なる点は、地上認証がＯＫと判断された場合にリースに係る処理（ステップＳ３０８〜Ｓ３１２）を追加している点と、リース時間を経過した場合にリース記録を更新する処理（該当認証データの削除；ステップＳ３１３〜Ｓ３１４）を追加した点である。
【００８６】
具体的には、図１９に示すように、地上認証がＯＫと判断された場合（ステップＳ３０３でＹｅｓ）、認証データリース管理部６５で、認証要求メッセージに含まれるユーザ情報（ユーザＩＤ）および列車番号の情報と、認証データリース管理部６５のリース記録とから認証データがリース済みであるか判断する（ステップＳ３０８）。なお、認証データが地上認証装置６に最初に登録された時点では、リース情報（リース開始時刻、リース時間）は設定されていない。
【００８７】
認証データがリース済みの場合（ステップＳ３０８でＹｅｓ）、すなわちリース情報が設定されている場合、当該認証要求が判定ポリシーの拒絶対象となっているかさらに判断する（ステップＳ３０９）。これは、異なる列車番号の列車から同一のユーザ情報をもつ認証要求がなされた場合などにおけるダブルリースを禁止するための処理である。ここで、認証データが判定ポリシーの拒絶対象となっている場合は（ステップＳ３０９でＹｅｓ）、認証要求メッセージを破棄する（ステップＳ３０５）。一方、認証データが判定ポリシーの拒絶対象となっていない場合は（ステップＳ３０９でＮｏ）、判定処理部６３が認証成功の返信メッセージを生成して、このメッセージを、メッセージ処理部６１、地上ネットワーク５、地上無線装置８、および車上無線装置９を介して関門装置１１に送出する（ステップＳ３０４）。
【００８８】
また、認証データがリース済みでない場合は（ステップＳ３０８でＮｏ）、認証データリース管理部６５がリース情報を含む車上認証データ更新メッセージを生成して、このメッセージをメッセージ処理部６１、地上ネットワーク５、地上無線装置８、および車上無線装置９を介して、車上認証装置１０に送出する（ステップＳ３１０）。一方、判定処理部６３は、該当端末１２の車両内クローズドネットワーク３への接続を許可するため、認証成功の返信メッセージを生成し、このメッセージをメッセージ処理部６１、地上ネットワーク５、地上無線装置８、車上無線装置９、および車上認証装置１０を介して、関門装置１１へ送信する（ステップＳ３１１）。
【００８９】
さらに、認証データリース管理部６５は、車上認証データ更新メッセージの生成・送出に応じて、リース記録を更新する（追加する）（ステップＳ３１２）。
【００９０】
また、認証データリース管理部６５は、いずれかの認証データのリース開始時刻からのリース時間が経過すると（ステップＳ３１３でＹｅｓ）、該当するデータを削除することによりリース記録を更新する（ステップＳ３１４）。
【００９１】
以上のように、本実施形態では、地上認証装置６による認証の際、認証データリース管理部６５で、車上側の認証データがリース済みでない場合、車上認証データの更新を要求するとともに、リース情報を記録し、また、車上認証装置１０にて、認証データのリース条件により、認証データの更新（ここでは削除）の実施を決定する。この様な仕組みとなっているので、自動的に車上認証装置の認証データを更新することができ、よけいな認証データの更新を防ぐことができる。また、列車番号を管理することで、同じユーザから異なる列車番号で認証要求された場合などの不正認証を防ぐことができる。
【００９２】
また、認証データリース管理部６５にてリース開始時刻とリース時間を管理しているので、リース時間を経過したリース記録を削除することで、対象の乗務員が、規定の時刻が経過したのちに異なる編成列車への乗車勤務する時でもダブルリースと判断されずに適切に認証データのリースが可能となる。
【００９３】
また、車上認証装置１０に送付する車上認証データ更新メッセージの更新データには、認証データと共にリース情報（リース時刻とリース時間）が含められておりこのデータを車上認証装置１０の認証データ記憶部１０３に記憶するようにしている（図１３）。本実施形態における車上認証装置１０の認証データは、この様なデータ構造となっているため、リース時間を営業運転時間程度とすることで、車上認証装置１０は、営業運転時間外に不必要となる認証データを自動的に消去することができる。
【００９４】
以上説明したように、第１から第３の実施形態で説明した車両ネットワークシステムは、認証データの保守・管理に関してメンテナンス性が良く、乗務員の認証データの漏洩リスクが低く鉄道運行に対して安全で、移動中でも車両ネットワークの可用性を保持できるものとなっている。
【００９５】
本発明のいくつかの実施形態を説明したが、これらの実施形態は、例として提示したものであり、発明の範囲を限定することは意図していない。例えば、前述の諸実施形態では各装置毎の機能を示したが、各装置の機能を１つの装置で構成することも制限するものではない。また、これら新規な実施形態は、その他の様々な形態で実施されることが可能であり、発明の要旨を逸脱しない範囲で、種々の省略、置き換え、変更を行うことができる。これら実施形態やその変形は、発明の範囲や要旨に含まれるとともに、特許請求の範囲に記載された発明とその均等の範囲に含まれる。
【符号の説明】
【００９６】
１  地上ネットワークシステム
２  車上ネットワークシステム
３  車両内クローズドネットワーク
４  車両内オープンネットワーク
５  地上ネットワーク
６  地上認証装置
７  地上認証用データ装置
８  地上無線装置
９  車上無線装置
１０  車上認証装置
１１  関門装置
１２  端末装置
１３  判定用信号生成装置
１４  認証データ設定端末
１５  乗務員配車システム
２０  ドア
２１  運転台キー
２２  速度発電機
２３  距離計算部
２４  地上子
２５  タイマー
２６  車内案内システム
２７  地上システム
２８  運行計画
２９  運行管理システム
３０  モニタシステム
３１  ＡＴＯシステム
４０  列車番号
４１  運転台
６１  （地上認証装置の）メッセージ処理部
６２  （地上認証装置の）認証判定部
６３  （地上認証装置の）判定処理部
６４  （地上認証装置の）認証結果記録部
６５  （地上認証装置の）認証データリース管理部
１０１  （車上認証装置の）メッセージ処理部
１０２  （車上認証装置の）認証判定部
１０３  （車上認証装置の）認証データ記憶部
１０４  （車上認証装置の）判定処理部
１０５  （車上認証装置の）認証結果記録部
１０６  （車上認証装置の）認証データ読込部
１３１  判定部
１３２  判定ポリシー
６５１  （認証データリース管理部の）判定ポリシー
６５２  （認証データリース管理部の）判定部
６５３  リース記録部
６５４  更新メッセージ生成部
６５５  タイマー
【図１】
2015035083.tif 000003
【図２】
2015035083.tif 000004
【図３】
2015035083.tif 000005
【図４】
2015035083.tif 000006
【図５】
2015035083.tif 000007
【図６】
2015035083.tif 000008
【図７】
2015035083.tif 000009
【図８】
2015035083.tif 000010
【図９】
2015035083.tif 000011
【図１０】
2015035083.tif 000012
【図１１】
2015035083.tif 000013
【図１２】
2015035083.tif 000014
【図１３】
2015035083.tif 000015
【図１４】
2015035083.tif 000016
【図１５】
2015035083.tif 000017
【図１６】
2015035083.tif 000018
【図１７】
2015035083.tif 000019
【図１８】
2015035083.tif 000020
【図１９】
2015035083.tif 000021