(57)【要約】      （修正有）【課題】通信伝文に含める時刻情報のビット数がＧＰＳ受信器のものより少なくても的確に時刻同期が採れて、踏切警報の出力を開始させようとする再生攻撃に対する防御機能を発揮しうる無線式踏切警報システムを実現する。【解決手段】地上装置３０が、年月日時分秒を含む時刻情報をＧＰＳ受信器３２から取得してそのうち時分秒の情報を無線伝送Ｂ，Ｄ，Ｆに含めるとともに、車上装置２０との無線伝送Ｄ，Ｆ，Ｈを日替り鍵にて暗号化する。また、車上装置２０が、その無線伝送にて得た時分秒の情報に基づいて時計合わせした後の時分秒の情報を地上装置３０との無線伝送Ｃ，Ｅ，Ｇに含めるとともに、その無線伝送を日替り鍵にて暗号化する。さらに、最初の交信Ａ，Ｂは固定の共通鍵で暗号化し、その間は踏切警報の出力の開始を控える。【選択図】図１
2015030274.tif 000002
【特許請求の範囲】
【請求項１】
軌道を走行する列車に搭載されて列車位置を含む車上情報を無線で伝送する車上装置と、前記軌道に沿って設けられ前記車上装置との無線伝送にて得た情報に基づいて踏切制御を行う地上装置とを具備した無線式踏切警報システムにおいて、
前記地上装置が、年月日時分秒を含む時刻情報をＧＰＳ受信器から取得して前記時刻情報のうち時分秒の情報を前記車上装置との無線伝送に含めるとともに、前記車上装置との無線伝送を日替り鍵にて暗号化するようになっており、
前記車上装置が、前記地上装置との無線伝送にて得た時分秒の情報に基づいて時計合わせした後の時分秒の情報を前記地上装置との無線伝送に含めるとともに、前記地上装置との無線伝送を日替り鍵にて暗号化するようになっている
ことを特徴とする無線式踏切警報システム。
【請求項２】
前記車上装置が、前記地上装置との無線伝送に係る暗号化を、前記地上装置から最初の返信が得られるまでは固定の共通鍵にて行い、その後は日替り鍵にて行うようになっており、
前記地上装置が、前記車上装置との無線伝送に係る暗号化を最初の返信では固定の共通鍵にて行いその後は日替り鍵にて行うとともに、前記踏切制御を行うに際して踏切警報出力開始条件の充足に応じた踏切警報の出力の開始を固定の共通鍵の使用中は控えて日替り鍵の使用開始後に行うようになっている
ことを特徴とする請求項１記載の無線式踏切警報システム。
【発明の詳細な説明】
【技術分野】
【０００１】
この発明は、鉄道の軌道を横切る踏切（踏切道）に設置された踏切警報機の警報出力を制御する踏切警報システムに関し、詳しくは、システムを構成する車上装置と地上装置とが無線にて情報を遣り取りする無線式踏切警報システムに関し、更に詳しくは、無線伝送の暗号化と踏切警報制御への再生攻撃に対する防御策とに関する。
【背景技術】
【０００２】
地方交通線などに多い単線の鉄道に対して適用するのに好都合な無線式踏切警報システムが開発されている（例えば特許文献１〜５参照）。この無線式踏切警報システムは、軌道を走行する列車に搭載されて列車位置を含む踏切制御用の車上情報を無線で伝送する車上装置と、前記軌道に沿って設けられ前記車上装置との無線伝送にて得た情報に基づいて踏切制御を行う地上装置とを具備したものであり、列車の運転方向や，位置，速度，列車長といった車上情報が車上装置から無線で送信されるとともに、交信可能なところまで接近した列車から地上装置が無線で車上情報を受信すると、その車上情報に基づいて地上装置設置先の踏切に係る警報制御が地上装置によって行われるようになっている。
【０００３】
また、移動する鉄道用車両などのＧＰＳ電波遮断物体を検出するＧＰＳ電波遮断物体検出システムが知られている（例えば特許文献６参照）。このシステムでは、衛星航法システム(Global Positioning System）用のＧＰＳ(Global Positioning Satellite)衛星から送られてくるＧＰＳ電波を利用してＧＰＳ電波遮断物体の有無検出が行われる。
ＧＰＳ電波には時刻情報や位置情報が含まれているので、本システム具現化以前は位置測定に用いられ物体の検出には用いられていなかったが、本システムでは、ＧＰＳの利用態様を工夫して、鉄道用車両の去来などを検出するようになっている。
【０００４】
さらに、鉄道の踏切制御に関して、踏切しゃ断機の遮断桿昇降制御に係る設定指示を暗号化赤外線通信で送受信することが知られている（例えば特許文献７参照）。
また、暗号化に関して、総ての鍵の秘匿が必要であるが暗号鍵と復号鍵とが同じで済むので高速処理が可能な共通鍵暗号方式や、暗号鍵と復号鍵とが異なるので処理の負担は重いが相手方の鍵を公開することができる公開鍵暗号方式が知られている。
共通鍵暗号方式で現在のところ解読不可能とされる暗号規格として、アメリカ合衆国で規格化されたＡＥＳ(Advanced Encryption Standard)が知られている。
【０００５】
解読不可能な暗号を用いれば内容が漏洩する可能性がなく内容を改ざんされる可能性も無くてなりすまし(Masquerade)攻撃で被害を受ける心配は無いが、暗号解読無しでも通信を妨害しうる手法として、いわゆる再生攻撃(replay attack）が知られている。再生攻撃は、攻撃者が通信路において通信伝文を傍受し、後にその通信伝文を再投入することで、その通信伝文を現在新規に発生した通信伝文として受信端末に再び受け入れさせる攻撃であり、通信伝文が正規データのコピーなので復号や認証では防御できない（例えば特許文献８参照）。そして、このような再生攻撃を防ぐための代表的な方法として、カウンター値(管理通番)を利用する方法と、時刻情報を利用する方法と、チャレンジレスポンスを利用する方法の３つがあることも知られている（例えば特許文献８参照）。
【０００６】
何れの方法も、データの新規性を確認することにより、再生攻撃を防ぐものであるが、カウンター値を利用する方法では、送信端末と受信端末が共に、通信相手に関連づけられたカウンター値を管理することで、データの新規性を確認する。
また、時刻情報を利用する方法では、送信端末と受信端末が時刻を同期させることと、送受信の時間差が所定時間内に収まっていることで、データの新規性を確認する。
さらに、チャレンジレスポンスを利用する方法では、送信端末が受信端末にデータを送信するに際して、受信端末から受け取っているチヤレンジ情報をデータに反映することで、データの新規性を確認する。
【０００７】
具体的には、装置がスリープ状態からの起動後にチャレンジレスポンスを利用して通信伝文の新規性を確認する方法や（例えば特許文献８参照）、携帯情報端末側において公開鍵暗号を用いた暗号化や署名等の処理を行うことなくやり取りされる文書を認証する方法が（例えば特許文献９参照）、知られている。
その他、暗号化や復号に用いる鍵を切り替える暗号強化策も知られており、具体的には、時間替り鍵や，日替り鍵，週替り鍵などが挙げられる（例えば特許文献１０参照）。
【先行技術文献】
【特許文献】
【０００８】
【特許文献１】特開２０１１−１０５１１７号公報
【特許文献２】特開２０１１−１９５１１７号公報
【特許文献３】特開２０１１−１９５１２０号公報
【特許文献４】特開２０１２−０７６５６３号公報
【特許文献５】特開２０１２−１８００００号公報
【特許文献６】特開２００９−１５０７９７号公報
【特許文献７】特開２０１２−１６６５７８号公報
【特許文献８】特開２０１１−０６６７０３号公報
【特許文献９】特開２０１０−０４５６３１号公報
【特許文献１０】特開２００４−３６３７２４号公報
【発明の概要】
【発明が解決しようとする課題】
【０００９】
このような技術状況の下、本発明の対象である無線式踏切警報システムも、無線がオープン伝送システムなので、なりすまし対策としては上述のＡＥＳかそれに準じた解読不可能な暗号を使用すれば良いと考えられるが、再生攻撃対策も必要である。すなわち、鉄道の踏切制御では、踏切警報始動点への列車進入に応じて踏切警報の出力を開始させ、踏切警報終止点か踏切道からの列車進出に応じて踏切警報の出力を停止させるところ、踏切警報出力開始条件を満たす車上情報の通信伝文をコピーした偽伝文を送りつける再生攻撃が行われると、実際には列車が来ていないにも関わらず地上装置が偽伝文に騙されて踏切警報を開始させるが、踏切警報を停止させる有効かつ実用的な切っ掛けが実列車の進出であるため、踏切が警報持続となり、道路側通行を長時間支障するおそれがあるからである。
【００１０】
そのため、本願発明の無線式踏切警報システムでも、再生攻撃対策として、既述した３方法のうち、地上装置に比較的利用しやすいと思われる時刻情報利用方法を採用することが考えられる。すなわち、無線式踏切警報システムの地上装置は、各踏切に付設されて広い範囲に点在するので、それぞれの地上装置に組み込まれている時計について時刻合わせを中央の集中監視装置等で自動で行うには高価な設備が必要で不都合であり、また、調整担当者が渡り歩いて一つずつ調整するのは能率が悪く作業負担も重いのでやはり不都合なため、ＧＰＳ受信器を各地上装置に付設するのが良いと思われるところ、そのようなＧＰＳ利用によって正確になった時刻を再生攻撃対策にも利用するのが、簡便であって、システムの低廉化にも資すると言えるからである。
【００１１】
ところで、既述したように時刻情報利用の再生攻撃対策ではデータ新規性確認に送信端末と受信端末との時刻同期が必要なので、無線式踏切警報システムで時刻情報利用の再生攻撃対策を導入するには、踏切付設の地上装置と、その交信可能範囲内の車上装置とで、時刻を同期させることが必要になる。そして、そのような時刻同期には、総ての車上装置にまでＧＰＳ受信器を装備させるのはコストが嵩むため避けて、時刻情報を通信伝文に含ませて地上装置から車上装置へ通知するのが実用的である。多くのＧＰＳ受信器から得られる時刻情報には、年月日時分秒が含まれているので、そのような長期に渡る時刻情報を地上装置から車上装置に送ることで、必要な時刻同期が採れ、再生攻撃を阻止できる。
【００１２】
しかしながら、年月日時分秒を表すデータには、年を６３年以下に絞ってもそれぞれに７，４，５，５，６，６ビットが必要であり、合計で３３ビットが必要であり、年月日時分秒をそれぞれに分けないで総秒数で表すとしても同程度のビット数が必要であり、これだけのビット数のデータを通信伝文に追加するのは無線式踏切警報システムにとっては負担が重すぎる。すなわち、無線式踏切警報システムでは、通信伝文の衝突(Collision）を避けるのに比較的簡便な時分割多元接続（時分割多重方式，ＴＤＭＡ,Time Division Multiple Access）を採用しているが、この接続方式下で各無線局に割り当てられた通信スロット（固定タイムスロット）が既に必要な伝送データで満杯に近づいているため、将来の拡張への備えも考慮すると、時刻情報に使えるデータ量にはあまり余裕が無いのである。
【００１３】
つまり、ＧＰＳ受信器を装備した地上装置とＧＰＳ受信器を装備しない車上装置とが無線で交信する無線式踏切警報システムで、踏切警報の出力を開始させようとする再生攻撃に対して防御を図るには、時刻情報利用方法が有効かつ実用的であるが、時刻同期を採るために地上装置から車上装置へ送信する時刻情報について、ビット数を出来るだけ少なくしてデータ長を極力短くすることが望まれる。
そこで、通信伝文に含める時刻情報のビット数がＧＰＳ受信器のものより少なくても的確に時刻同期が採れて、踏切警報の出力を開始させようとする再生攻撃に対する防御機能を発揮しうる無線式踏切警報システムを実現することが重要な技術課題となる。
【課題を解決するための手段】
【００１４】
本発明の無線式踏切警報システムは（解決手段１）、このような課題を解決するために創案されたものであり、軌道を走行する列車に搭載されて列車位置を含む車上情報を無線で伝送する車上装置と、前記軌道に沿って設けられ前記車上装置との無線伝送にて得た情報に基づいて踏切制御を行う地上装置とを具備した無線式踏切警報システムにおいて、前記地上装置が、年月日時分秒を含む時刻情報をＧＰＳ受信器から取得して前記時刻情報のうち時分秒の情報を前記車上装置との無線伝送に含めるとともに、前記車上装置との無線伝送を日替り鍵にて暗号化するようになっており、前記車上装置が、前記地上装置との無線伝送にて得た時分秒の情報に基づいて時計合わせした後の時分秒の情報を前記地上装置との無線伝送に含めるとともに、前記地上装置との無線伝送を日替り鍵にて暗号化するようになっていることを特徴とする。
【００１５】
また、本発明の無線式踏切警報システムは（解決手段２）、上記解決手段１の無線式踏切警報システムであって、前記車上装置が、前記地上装置との無線伝送に係る暗号化を、前記地上装置から最初の返信が得られるまでは固定の共通鍵にて行い、その後は日替り鍵にて行うようになっており、前記地上装置が、前記車上装置との無線伝送に係る暗号化を最初の返信では固定の共通鍵にて行いその後は日替り鍵にて行うとともに、前記踏切制御を行うに際して踏切警報出力開始条件の充足に応じた踏切警報の出力の開始を固定の共通鍵の使用中は控えて日替り鍵の使用開始後に行うようになっていることを特徴とする。
【発明の効果】
【００１６】
このような本発明の無線式踏切警報システムにあっては（解決手段１）、車上装置の時計の時刻がずれても地上装置との無線伝送にて得た時刻情報に基づく時計合わせによって時分秒については直截的手法で時刻同期を採ることができる。また、年月日については、日替り鍵を一致させる間接的な手法で実質的に時刻同期を採ったと同等の効果を得ることができる。例えば、日替り鍵を通信伝文等で指定して日替り鍵を一致させることで実質的に年月日まで同期させることができる。あるいは、車上装置の時計の時刻がづれても日単位で違ってくることまでは通常起こり得ないことに基づいて時計合わせ時に時間差が一日近く大きいときには日付更新も行う等のことで、年月日時分秒の時刻同期が採れる。
【００１７】
そして、時分秒の時刻情報を利用する再生攻撃対策にて一日内の再生攻撃を的確にかわすとともに、日替り鍵を用いた暗号化にて他日の再生攻撃までかわすようにしたことにより、踏切警報の出力を開始させようとする再生攻撃に対する防御能力が、年月日時分秒の総てを含む時刻情報を利用する再生攻撃対策の防御能力に匹敵するレベルまで高まる。
したがって、この発明によれば、通信伝文に含める時刻情報のビット数がＧＰＳ受信器のものより少なくても的確に時刻同期が採れて、踏切警報の出力を開始させようとする再生攻撃に対する防御機能を発揮しうる無線式踏切警報システムを実現することができる。
【００１８】
また、本発明の無線式踏切警報システムにあっては（解決手段２）、時刻同期が採れる前に行われる無線伝送の遣り取りは時刻同期を必要としない固定の共通鍵にて暗号化され、時刻同期を前提とした時刻情報利用の再生攻撃対策および時刻情報データ軽量化のための日替り鍵による暗号化は、固定の共通鍵を用いた最初の交信によって時刻同期が採れた後から行われるようにしたことにより、再生攻撃対策付き暗号を用いる車上装置と地上装置との交信が的確に開始されるが、悪天候下の電波状況悪化などによってたまたま踏切警報始動点への列車進入前に交信可能になれなかった不運な状況下で、固定の共通鍵にて暗号化された最初の通信伝文が再生攻撃に使用されるという希有な場合でも、そのような通信伝文については地上装置が踏切警報の出力の開始を控えるようになっているため、踏切警報の出力を開始させようとする再生攻撃を的確にかわすことができる。
【図面の簡単な説明】
【００１９】
【図１】本発明の実施例１について、無線式踏切警報システムの構造と稼動状況を示し、（ａ）〜（ｆ）が何れもシステム概要図である。
【発明を実施するための形態】
【００２０】
このような本発明の無線式踏切警報システムについて、これを実施するための具体的な形態を、以下の実施例１により説明する。
図１に示した実施例１は、上述した解決手段１〜２（出願当初の請求項１〜２）を総て具現化したものである。
【実施例１】
【００２１】
本発明の無線式踏切警報システムの実施例１について、その構成を、図面を引用して説明する。図１（ａ）は、無線式踏切警報システム２０＋３０の概要構成を記号やブロックで示した図である。
【００２２】
この無線式踏切警報システム２０＋３０は（例えば特許文献１〜５参照）、鉄道の軌道１１を走行する列車１０に搭載されて移動する車上装置２０と、軌道１１の踏切１２の近くに固定的に設置される地上装置３０とを具えている。地上装置３０は、踏切１２の警報機１３に係る踏切制御を行うものであり、少なくとも踏切警報の出力を開始させることと踏切警報の出力を停止させることとを行うようになっている。ここでは、踏切制御における他の機能たとえば遮断桿の昇降制御などに関する説明を割愛する。
【００２３】
踏切制御では軌道１１に対し踏切１２の両側に分かれて踏切警報始動点ＡＤＣと踏切警報終止点ＢＤＣとが設定されるが、各点に踏切制御子を設置しなくても踏切制御が行えるように、車上装置２０と地上装置３０とが無線伝送にて交信するものとなっている（踏切制御子は省略可能なので細い一点鎖線で図示した）。
車上装置２０が列車１０に具えられるとともに、地上装置３０が踏切１２に具えられるが、車上装置２０が列車１０の去来に伴って地上装置３０の交信可能範囲を出入りすることから、交信可能になった車上装置２０と地上装置３０とによって動的に協動状態のシステムが確立されるようになっている。
【００２４】
そのため、車上装置２０は、搭載先の列車１０の位置を検出したり列車停止制御を行う演算制御手段に加えて無線機２１も具備しており、列車位置を含む車上情報を無線で伝送するようになっている。また、地上装置３０は、軌道１１に沿って設けられて具体的には軌道１１に設置された幾つかの踏切１２に対して踏切毎に設けられて設置先の踏切１２の警報機１３に対する踏切制御を協動状態の即ち交信可能な車上装置２０から無線伝送にて取得した車上情報に基づいて行うものであり、そのために、踏切制御手段に加えて踏切制御状態を無線で伝送する手段も具備している。ここでは、無線機３１を具備したベーシックな構成の地上装置３０を図示したが、近くの他の地上装置の無線機３１を利用して車上装置２０との無線伝送を行うようになっていても良い（例えば特許文献２参照）。
【００２５】
以上の構成部分は、公知システム（例えば特許文献１〜５参照）の共通部分・基礎的部分を踏襲したものなので、本発明の実施の前提となる事項について簡潔に述べるにとどめ、以下、本発明の無線式踏切警報システム２０＋３０の特徴的な構成部分を説明する。
本発明の特徴は、要するに、無線伝送を暗号化したうえで再生攻撃対策として時刻情報利用方法を採用したこと、そのために正確な時刻を地上装置がＧＰＳ受信器から取得すること、その時刻情報に含まれる年月日時分秒のうち時分秒の部分を地上装置から車上装置に無線で送ること、暗号鍵として固定の共通鍵と日替り鍵とを使い分けることである。最初の交信では固定の共通鍵を用い、その後の交信では日替り鍵を用いるのである。
【００２６】
固定の共通鍵は、予め選定された一つの暗号鍵であって、どの車上装置２０にも地上装置３０にも登録されていて、使用時には何時も同じ値が用いられるものである。
日替り鍵は、予め選定された幾つかの候補からなる複数の暗号鍵であって、どの車上装置２０にも地上装置３０にも登録されていて、使用時には年月日に応じて適宜な一つが選出されて使用に供されるので、日毎に値が切り替わるものである。あるいは、年月日に基づいて異なる値が算出される暗号鍵であって、どの車上装置２０にも地上装置３０にも同じ算出手段が具わっていて、使用時には年月日に応じて適宜な一つが算出されて使用に供されるので、やはり日毎に値が切り替わる。この実施例では、地上装置３０が最初の返信に先立ち複数の候補鍵の中から使用する暗号鍵を日替り鍵に選定してその指定コードを車上装置２０に通知することで、日替り鍵を一致させるようになっているものとする。
【００２７】
そのような無線伝送を行うために、地上装置３０は、年月日時分秒を含む時刻情報を、ＧＰＳ受信器３２から、随時、取得するようになっている。
なお、ＧＰＳ受信器３２は、従来から使用されている市販の汎用品で良く、必要な時刻情報を取得できれば、図示のような専用装備に限らず、近くの別の地上装置３０や他の地上設備と兼用しても良く、他の装置等を介して間接的に時刻情報を取得するようになっていても良い。
【００２８】
また、地上装置３０は、ＧＰＳ受信器３２から取得した時刻情報のうち時分秒の情報と、その時刻情報のうちの年月日に応じて選出した日替り鍵の指定コードとを、踏切制御状態の情報などと共に、車上装置２０向けの伝文に含めるようになっている。日替り鍵そのものを送信するのでなく、一つの候補を特定する指定コードを送信するので、指定コードに使用するビット数は、年月日のビット数より、少なくて済む。
さらに、地上装置３０は、その伝文を暗号化してから無線機３１にて送信することで車上装置２０との無線伝送に供するようになっているが、その暗号化に際しては、車上装置２０と交信可能になってから最初の返信についてだけ固定の共通鍵を用いて伝文を暗号化し、その後の伝文については日替り鍵を用いて暗号化するようになっている。
【００２９】
また、地上装置３０は、設置先の踏切１２に係る踏切制御を行うに際して、車上装置２０から無線伝送にて取得した列車１０の位置が踏切警報始動点ＡＤＣより踏切１２に近ければ踏切警報出力開始条件が充足されたとして警報機１３に踏切警報の出力を開始させるのが基本であるが、時刻同期をとる前の最初の交信をコピーした再生攻撃からの防御のために、踏切警報の出力の開始を固定の共通鍵を使用した最初の交信では控えて、日替り鍵の使用を開始した二番目かそれ以降の交信で踏切警報始動点ＡＤＣへの列車進入が判明したら警報機１３に踏切警報の出力を開始させるようになっている。なお、警報停止については、車上装置２０から得た列車位置に基づいて踏切警報終止点ＢＤＣの列車通過が判明したときに、地上装置３０が警報機１３に踏切警報の出力を停止させるようになっている。
【００３０】
車上装置２０は、地上装置３０から最初の返信を受け取るまでは、地上装置３０に向けて送信する伝文の暗号化を固定の共通鍵にて行うとともに、地上装置３０から受信した最初の返信の復号・暗号解読も固定の共通鍵で行うことで、時分秒を含んだ時刻情報を取得するとともに、日替り鍵の指定コードを取得するようになっている。また、車上装置２０は、地上装置３０から時刻情報を取得する度に、あるいは少なくとも地上装置３０の最初の返信から時刻情報を取得したときには、内蔵のタイマーに対して時刻をセットする直接的時刻調整にて又は外装のタイマーとの差分データを加減するといった間接的時刻調整にて時計合わせを行うようになっている。その時計合わせでは、時分秒を取得時刻に一致させることに加えて、必須ではないが時間跳躍時の日付更新も行うようになっている。
【００３１】
さらに、車上装置２０は、地上装置３０と交信可能になってから二番目かそれ以降の交信については、列車位置などの車上情報に加えて、時計合わせの済んだタイマー等から得られる時分秒の情報も、地上装置３０向けの伝文に含めるようになっている。また、車上装置２０は、その伝文を指定コード対応の日替り鍵を用いて暗号化してから、無線機２１にて地上装置３０宛に無線伝送するようになっている。
なお、上述した暗号化等の処理を担うために、専用のマイクロプロセッサ等のハードウェアを車上装置２０や地上装置３０に追加しても良いが、既存の論理演算用フェールセーフコンピュータ等に余力があればプログラムを追加するだけで済む。
【００３２】
この実施例１の無線式踏切警報システム２０＋３０について、その使用態様及び動作を、図面を引用して説明する。図１（ａ）〜（ｆ）は、列車１０の走行に伴う無線式踏切警報システム２０＋３０の動作状態を時系列で示している。ここでは、典型的な動作状態を述べる。すなわち、列車１０が踏切警報始動点ＡＤＣに進入する前に車上装置２０と地上装置３０とが交信可能になる場合の動作を説明する。
【００３３】
この場合（図１（ａ）参照）、列車１０が軌道１１を走行している間、随時、車上装置２０が通信伝文Ａを送信するが、車上装置２０が地上装置３０の交信可能範囲に入るまでは地上装置３０から車上装置２０へ返信が送られることが無い。
この通信伝文Ａは、列車位置等の車上情報を含んでおり、固定の共通鍵で暗号化されている。この通信伝文Ａが地上装置３０に届かないので、地上装置３０は、踏切１２に接近した列車が無いとして、警報機１３に踏切警報の出力を停止させている。
【００３４】
そして（図１（ｂ）参照）、列車１０が軌道１１を走行して車上装置２０が地上装置３０の交信可能範囲に入ると、通信伝文Ａが地上装置３０に届いて地上装置３０によって受信される。通信伝文Ａに基づいて、列車１０が踏切警報始動点ＡＤＣに到達していないことが、地上装置３０に分かるので、地上装置３０は、警報機１３に踏切警報の出力停止を続行させる。また、地上装置３０は、ＧＰＳ受信器３２から年月日時分秒を含む時刻情報を取得するとともに、通信伝文Ｂを車上装置２０に送信する。
この最初の返信である通信伝文Ｂは、上記の時刻情報のうち時分秒の部分と日替り鍵の指定コードとを含んでおり、固定の共通鍵で暗号化される。
この通信伝文Ｂを受信した車上装置２０では時計合わせが行われる。
【００３５】
それから（図１（ｃ）参照）、列車１０が踏切警報始動点ＡＤＣの手前で軌道１１を走行している間は、通信伝文Ｃが車上装置２０から地上装置３０へ無線伝送され、それに応じて通信伝文Ｄが地上装置３０から車上装置２０へ無線伝送される。
通信伝文Ｃは、列車位置などの車上情報を含んでおり、日替り鍵で暗号化される。この通信伝文Ｃに基づいて、列車１０の踏切警報始動点ＡＤＣへの不到達が地上装置３０に分かるので、地上装置３０は、警報機１３に踏切警報の出力停止を続行させる。
通信伝文Ｄは、ＧＰＳ受信器３２から得た時刻情報のうち時刻同期に必要な時分秒の部分と日替り鍵の指定コードとを含んでおり、日替り鍵で暗号化される。
【００３６】
そして（図１（ｄ）参照）、列車１０が軌道１１を走行して踏切警報始動点ＡＤＣに進入すると、通信伝文Ｅが車上装置２０から地上装置３０へ無線伝送され、それに応じて通信伝文Ｆが地上装置３０から車上装置２０へ無線伝送される。
通信伝文Ｅは、踏切警報始動点ＡＤＣに到達した列車の位置等の車上情報を含んでおり、日替り鍵で暗号化される。この通信伝文Ｅに基づいて、列車１０の踏切警報始動点ＡＤＣへの進入が地上装置３０に分かるので、地上装置３０は、警報機１３に踏切警報の出力を開始させる。通信伝文Ｆは、ＧＰＳ受信器３２から得た時刻情報のうち時刻同期に必要な時分秒の部分と日替り鍵の指定コードとを含んでおり、日替り鍵で暗号化される。
【００３７】
通信伝文Ｅ，Ｆの交信が繰り返された後、列車１０が軌道１１を走行して踏切１２及び踏切警報終止点ＢＤＣを通過し終えると（図１（ｅ）参照）、通信伝文Ｇが車上装置２０から地上装置３０へ無線伝送され、それに応じて通信伝文Ｈが地上装置３０から車上装置２０へ無線伝送される。通信伝文Ｇは、踏切警報終止点ＢＤＣを進出した列車の位置等の車上情報を含んでおり、日替り鍵で暗号化される。この通信伝文Ｇに基づいて、列車１０の踏切警報終止点ＢＤＣからの進出が地上装置３０に分かるので、地上装置３０は、警報機１３に踏切警報の出力を停止させる。通信伝文Ｈは、地上装置３０と車上装置２０との交信を終える旨の指示を含んでおり、日替り鍵で暗号化される。
【００３８】
こうして、車上装置２０と地上装置３０との無線伝送による典型的かつ基本的な踏切制御が行われるが、その際、車上装置２０と地上装置３０とが交信する度に、暗号化と復号化が行われるのに加えて、時刻情報利用の再生攻撃対策が実行される。すなわち、車上装置２０から地上装置３０への無線伝送Ｃ，Ｅ，Ｇが、それに先立つ地上装置３０から車上装置２０への無線伝送Ｂ，Ｄ，Ｆの後、予め定めた数秒や数分の所定時間内に、行われたか否かが、地上装置３０によって調べられる。そして、それらの無線伝送が所定時間内に行われていれば正規の伝文として受理されるが、そうでない場合すなわち伝文の時分秒が所定時間外であった場合は、該当する伝文が不正なものとして破棄される。もちろん、暗号鍵が異なる伝文も、正しく復号できないので、チェックコード不良等で破棄される。
【００３９】
そのため（図１（ｆ）参照）、車上装置２０でない妨害者によって地上装置３０に再生攻撃が仕掛けられた場合、再生攻撃に使用された通信伝文Ｊが、車上装置２０から地上装置３０へ無線伝送された上述の通信伝文Ｃ，Ｅ，Ｇのどれをコピーしたものであっても、同日内であれば時刻の違いによって破棄され、他日であれば日替り鍵の違いによって破棄され、何れにしても地上装置３０によって受理されないので、地上装置３０が誤って警報機１３に踏切警報を出力させることが無い。また、通信伝文Ｊが通信伝文Ａ，Ｃのコピーの場合は、例え受理されたとしても、列車位置が踏切警報始動点ＡＤＣの手前なので、そもそも地上装置３０が警報機１３に踏切警報を出力させることが無い。
【００４０】
［その他］
上記実施例では、再生攻撃が散発的に行われた場合について詳述したが、再生攻撃が間断なく連続して行われたような場合は、そのことが時間切れ伝文の頻度算出などで短期間のうちに判明するので、警報を出すようにしておけば、該当する踏切のところで無線電波を監視して攻撃源を特定するといった障害対策を迅速にとることができる。同じ偽伝文による再生攻撃が長期間に及んで行われたような場合は、そのことが時間切れ伝文の時刻毎積算などで判明するので、その場合も警報を出すようにすると良い。
【産業上の利用可能性】
【００４１】
本発明の無線式踏切警報システムは、踏切警報の出力を開始させようとする再生攻撃に対する防御のために開発されたものであるが、踏切警報の出力を停止させようとする再生攻撃に対しても有効であり、何れの再生攻撃でも的確に防御機能を発揮する。
また、地方交通線や単線の鉄道に対して適用するのに好都合なものであるが、それに適用対象が限られるわけでなく、都市交通線や複線の鉄道にも適用することができる。
【符号の説明】
【００４２】
１０…列車、１１…軌道（線路）、１２…踏切、１３…警報機、
２０…車上装置、２１…無線機、
３０…地上装置、３１…無線機、３２…ＧＰＳ受信器、
ＡＤＣ…踏切警報始動点、ＢＤＣ…踏切警報終止点、Ａ〜Ｊ…通信伝文
【図１】
2015030274.tif 000003