(57)【要約】【課題】衛星側に暗号化されているコマンドを復号化するような複雑な処理を実装することなく、悪意の第三者による衛星の乗っ取りや、衛星の損傷等の可能性を排除することができるようにする。【解決手段】衛星３に向けて送信したコマンドと衛星３から返送されたコマンドを照合し、双方のコマンドが一致しない場合にはコマンドの廃棄指令を衛星３に送信する地上局装置４と、地上局１から不正コマンドの廃棄指令を受信すると、実行待ちキュー２２から不正コマンドを削除する衛星制御装置５とを設ける。【選択図】        図１
2004304723.tif 000002
【特許請求の範囲】
【請求項１】
衛星の制御内容が記述されているコマンドを当該衛星に向けて送信する一方、上記衛星から返送されたコマンドを受信する送受信手段と、上記送受信手段により送受信されたコマンドを照合する照合手段と、上記照合手段の照合結果がコマンドの一致を示す場合、そのコマンドの実行指令を上記衛星に送信し、上記照合手段の照合結果がコマンドの不一致を示す場合、そのコマンドの廃棄指令を上記衛星に送信する実行制御手段とを備えた地上局装置。
【請求項２】
実行制御手段は、コマンドの廃棄指令を衛星に送信しても、そのコマンドが実行された場合、そのコマンドと逆の制御内容が記述されているコマンドを送受信手段から当該衛星に向けて送信させることを特徴とする請求項１記載の地上局装置。
【請求項３】
衛星の制御内容が記述されているコマンドを当該衛星に向けて送信する一方、上記衛星から返送されたコマンドのハッシュ値を受信する送受信手段と、上記送受信手段から送信されたコマンドのハッシュ値を計算し、そのハッシュ値と上記送受信手段により受信されたハッシュ値を照合する照合手段と、上記照合手段の照合結果がハッシュ値の一致を示す場合、そのコマンドの実行指令を上記衛星に送信し、上記照合手段の照合結果がハッシュ値の不一致を示す場合、そのコマンドの廃棄指令を上記衛星に送信する実行制御手段とを備えた地上局装置。
【請求項４】
実行制御手段は、コマンドの廃棄指令を衛星に送信しても、そのコマンドが実行された場合、衛星から当該コマンドを収集して、そのコマンドと逆の制御内容が記述されているコマンドを送受信手段から当該衛星に向けて送信させることを特徴とする請求項３記載の地上局装置。
【請求項５】
地上局から衛星の制御内容が記述されているコマンドを受信すると、そのコマンドを実行待ちキューに格納するとともに、そのコマンドを当該地上局に返送するコマンド受付手段と、上記地上局からコマンドの実行指令又は廃棄指令を受信する指令受信手段と、上記指令受信手段がコマンドの実行指令を受信すると当該コマンドの実行を許可し、上記指令受信手段がコマンドの廃棄指令を受信すると上記実行待ちキューから当該コマンドを削除するコマンド管理手段とを備えた衛星制御装置。
【請求項６】
地上局から衛星の制御内容が記述されているコマンドを受信すると、そのコマンドを実行待ちキューに格納するとともに、そのコマンドのハッシュ値を計算して、そのハッシュ値を当該地上局に返送するコマンド受付手段と、上記地上局からコマンドの実行指令又は廃棄指令を受信する指令受信手段と、上記指令受信手段がコマンドの実行指令を受信すると当該コマンドの実行を許可し、上記指令受信手段がコマンドの廃棄指令を受信すると上記実行待ちキューから当該コマンドを削除するコマンド管理手段とを備えた衛星制御装置。
【請求項７】
地上局に搭載され、衛星の制御内容が記述されているコマンドを当該衛星に向けて送信する一方、上記衛星から返送されたコマンドを受信すると、その送信したコマンドと受信したコマンドを照合し、双方のコマンドが一致する場合、そのコマンドの実行指令を上記衛星に送信し、双方のコマンドが一致しない場合、そのコマンドの廃棄指令を上記衛星に送信する地上局装置と、上記衛星に搭載され、上記地上局からコマンドを受信すると、そのコマンドを実行待ちキューに格納するとともに、そのコマンドを当該地上局に返送し、上記地上局から当該コマンドの実行指令を受信すると当該コマンドの実行を許可し、上記地上局から当該コマンドの廃棄指令を受信すると上記実行待ちキューから当該コマンドを削除する衛星制御装置とを備えた衛星制御システム。
【請求項８】
地上局に搭載され、衛星の制御内容が記述されているコマンドを当該衛星に向けて送信する一方、上記衛星から返送されたコマンドのハッシュ値を受信すると、その送信したコマンドのハッシュ値と受信したハッシュ値を照合し、双方のハッシュ値が一致する場合、そのコマンドの実行指令を上記衛星に送信し、双方のハッシュ値が一致しない場合、そのコマンドの廃棄指令を上記衛星に送信する地上局装置と、上記衛星に搭載され、上記地上局からコマンドを受信すると、そのコマンドを実行待ちキューに格納するとともに、そのコマンドのハッシュ値を計算して、そのハッシュ値を当該地上局に返送し、上記地上局から当該コマンドの実行指令を受信すると当該コマンドの実行を許可し、上記地上局から当該コマンドの廃棄指令を受信すると上記実行待ちキューから当該コマンドを削除する衛星制御装置とを備えた衛星制御システム。
【発明の詳細な説明】
【０００１】
【発明の属する技術分野】
この発明は、地上局からの指示により衛星を制御する衛星制御システムと、その衛星制御システムを構成する地上局装置及び衛星制御装置とに関するものである。
【０００２】
【従来の技術】
従来の衛星制御システムは、衛星が地上局から制御用のコマンドを受信すると、そのコマンドを地上局に返送するとともに、そのコマンドを実行待ちキューに格納し、その後、地上局からエグゼキュート信号を受信すると、そのコマンドを実行する（以下の非特許文献１を参照）。
したがって、悪意の第三者からコマンドとエグゼキュート信号が送信された場合でも、衛星の制御が行われてしまうので、悪意の第三者による衛星の乗っ取りや、衛星の損傷等の可能性を排除することができない。
【０００３】
そこで、以下の特許文献１には、衛星に対するセキュリティーを高める観点から、地上局が制御用のコマンドを衛星に送信する際、そのコマンドを暗号化して送信し、衛星が暗号化されているコマンドを復号化して実行待ちキューに格納する衛星制御システムが開示されている。
【０００４】
【非特許文献１】
「衛星通信システムエンジニアリング」  啓学出版発行（第１３０頁から第１３１頁）
【特許文献１】
特開平５−２４４１５２号公報（第４頁から第２２頁、図３）
【０００５】
【発明が解決しようとする課題】
従来の衛星制御システムは以上のように構成されているので、地上局が制御用のコマンドを衛星に送信する際、そのコマンドを暗号化して送信すれば、悪意の第三者による衛星の乗っ取りや、衛星の損傷等の可能性を排除することができるが、衛星側に暗号化されているコマンドを復号化する復号機能を搭載する必要が生じるため、衛星のコストアップや重量増加を招くなどの課題があった。
【０００６】
この発明は上記のような課題を解決するためになされたもので、衛星側に暗号化されているコマンドを復号化するような複雑な処理を実装することなく、悪意の第三者による衛星の乗っ取りや、衛星の損傷等の可能性を排除することができる地上局装置、衛星制御装置及び衛星制御システムを得ることを目的とする。
【０００７】
【課題を解決するための手段】
この発明に係る衛星制御システムは、衛星に向けて送信したコマンドと衛星から返送されたコマンドを照合し、双方のコマンドが一致しない場合にはコマンドの廃棄指令を衛星に送信する地上局装置と、地上局からコマンドの廃棄指令を受信すると、実行待ちキューから当該コマンドを削除する衛星制御装置とを設けたものである。
【０００８】
【発明の実施の形態】
以下、この発明の実施の一形態を説明する。
実施の形態１．
図１はこの発明の実施の形態１による衛星制御システムを示す構成図であり、図において、地上局１は地上局装置４を搭載し、衛星３は衛星制御装置５を搭載している。また、地上局１の近隣には、地上局１と同様の機能を有している近隣地上局２が設置されている。
図２は地上局装置４及び衛星制御装置５の内部構成を示す構成図であり、図において、コマンド送信部１１は衛星３の制御内容が記述されているコマンドを衛星３に向けて送信する。コマンド受信部１２は衛星３から返送されたコマンドを受信する。なお、コマンド送信部１１及びコマンド受信部１２から送受信手段が構成されている。
【０００９】
コマンド収集部１３はコマンド送信部１１から送信されたコマンドと同一のコマンドを収集するとともに、近隣地上局２から衛星３に向けて送信されたコマンドと同一のコマンドを収集する。ただし、コマンド収集部１３はコマンド送信部１１からコマンドが送信されていれば、近隣地上局２からコマンドを収集せず、コマンド送信部１１からコマンドが送信された形跡がないとき、近隣地上局２から衛星３に向けてコマンドが送信されていれば、近隣地上局２からコマンドを収集するようにしてもよい。
照合部１４はコマンド収集部１３により収集されたコマンドとコマンド受信部１２により受信されたコマンドを照合する。なお、コマンド収集部１３及び照合部１４から照合手段が構成されている。
実行制御部１５は照合部１４の照合結果がコマンドの一致を示す場合、そのコマンドの実行指令を衛星３に送信し、照合部１４の照合結果がコマンドの不一致を示す場合、そのコマンドの廃棄指令を衛星３に送信する実行制御手段を構成している。
【００１０】
コマンド受付部２１は地上局１から衛星３の制御内容が記述されているコマンドを受信すると、そのコマンドを実行待ちキュー２２に格納するとともに、そのコマンドを地上局１に返送するコマンド受付手段を構成している。実行待ちキュー２２は例えばＦＩＦＯメモリから構成され、先に受信されたコマンドから順番に格納し、最後に受信されたコマンドを最後尾に格納する。
指令受信部２３は地上局１からコマンドの実行指令又は廃棄指令を受信する指令受信手段を構成している。
コマンド管理部２４は指令受信部２３がコマンドの実行指令を受信すると、そのコマンドの実行フラグをＯＦＦからＯＮに変更して実行を許可し、指令受信部２３がコマンドの廃棄指令を受信すると、実行待ちキュー２２から当該コマンドを削除するコマンド管理手段を構成している。
図３はこの発明の実施の形態１による衛星制御システムの処理内容を示すフローチャートである。
【００１１】
次に動作について説明する。
例えば、衛星３の姿勢を変える必要がある場合などにおいては、地上局装置４のコマンド送信部１１が衛星３の制御内容が記述されているコマンドを衛星３に向けて送信する（ステップＳＴ１）。ここでは、説明の簡単化のため、１つのコマンドを送信するものについて説明するが、複数のコマンドからなるコマンド列を送信するようにしてもよい。
衛星制御装置５のコマンド受付部２１は、地上局１からコマンドが送信されると、そのコマンドを受信し（ステップＳＴ２）、そのコマンドを実行待ちキュー２２に格納するとともに、そのコマンドを地上局１に返送する（ステップＳＴ３，ＳＴ４）。なお、コマンド受付部２１は、コマンドを実行待ちキュー２２に格納する際、まだ実行が許可されていない旨を示すＯＦＦのフラグと対にしてコマンドを格納する。
【００１２】
地上局装置４のコマンド受信部１２は、衛星３からコマンドが返送されると、そのコマンドを受信する。
地上局装置４のコマンド収集部１３は、コマンド受信部１２がコマンドを受信すると、コマンド送信部１１から送信されたコマンドと同一のコマンドを収集する。また、近隣地上局２から衛星３に向けて送信されたコマンドと同一のコマンドを収集する（ステップＳＴ５）。
ここで、近隣地上局２からもコマンドを収集する理由は、近隣地上局２から衛星３に向けてコマンドが送信されたのち、衛星３が移動することによって、地上局１及び近隣地上局２と衛星３の位置関係が変化することにより、コマンド送信部１１がコマンドを送信していない場合でも、コマンド受信部１２がコマンドを受信することがあるからである。
【００１３】
地上局装置４の照合部１４は、コマンド受信部１２により受信されたコマンドが、コマンド送信部１１や近隣地上局２から送信されたコマンドの返送コマンドではなく、悪意の第三者が衛星３に向けて送信した不正コマンドの可能性があるため、コマンド収集部１３により収集されたコマンドとコマンド受信部１２により受信されたコマンドを照合する（ステップＳＴ６）。
地上局装置４の実行制御部１５は、照合部１４の照合結果がコマンドの一致を示す場合、コマンド受信部１２により受信されたコマンドは衛星制御装置５により正当に受領されて返送されたコマンドであると認識し、そのコマンドの実行指令を衛星３に送信する（ステップＳＴ７）。
【００１４】
しかし、照合部１４の照合結果がコマンドの不一致を示す場合、コマンド受信部１２により受信されたコマンドは、悪意の第三者から衛星３に向けて不正に送信されたコマンドであると認識し、そのコマンドの廃棄指令を衛星３に送信する（ステップＳＴ８）。なお、地上局装置４から衛星３に向けて正当に送信されたコマンドであっても、何らかの理由によりコマンドが正常に受信されず、衛星３がコマンドの制御内容を誤認識する場合があるが、この場合も照合部１４の照合結果がコマンドの不一致を示し、そのコマンドの廃棄指令を衛星３に送信する。
また、コマンド送信部１１及び近隣地上局２の何れにおいても、コマンドの送信形跡がなく、コマンド収集部１３がコマンド送信部１１及び近隣地上局２の何れからもコマンドを収集することができない場合も、コマンド受信部１２により受信されたコマンドは、悪意の第三者から衛星３に向けて不正に送信されたコマンドであると認識し、そのコマンドの廃棄指令を衛星３に送信する（ステップＳＴ８）。
【００１５】
ここで、実行制御部１５が送信する実行指令又は廃棄指令には、コマンドを特定する整理番号等が付加されているものとする。
なお、近隣地上局２から収集するコマンドは、地上回線を利用して収集するので、悪意の第三者のコマンドが混入することはないと考えられる。
【００１６】
衛星制御装置５のコマンド管理部２４は、指令受信部２３が地上局１から実行待ちキュー２２に格納されているコマンドの実行指令を受信すると、そのコマンドの実行を許可するために、そのコマンドのフラグをＯＦＦからＯＮに変更する（ステップＳＴ９，ＳＴ１０）。
これにより、そのコマンドの実行の順番が巡ってくると、そのコマンドが実行され、衛星３の姿勢等が制御される。
ただし、指令受信部２３がコマンドの実行指令を受信する前に、実行待ちキュー２２が満杯になり、そのコマンドが実行待ちキュー２２に格納されているコマンドの中で最も古いコマンドであれば、そのコマンドは不正なコマンドであるか否かに拘わらず、実行待ちキュー２２から削除される。
【００１７】
衛星制御装置５のコマンド管理部２４は、地上局装置４の実行制御部１５により不正コマンドの送信が認識されることにより、指令受信部２３が実行待ちキュー２２に格納されている不正コマンドの廃棄指令を受信すると、実行待ちキュー２２から不正コマンドを削除する（ステップＳＴ１１）。
これにより、悪意の第三者が不正コマンドを衛星３に向けて送信したのち、悪意の第三者が不正コマンドの実行指令を衛星３に送信したとしても、未だ不正コマンドが実行されていなければ、その不正コマンドの実行を阻止することができる。
【００１８】
また、衛星制御装置５のコマンド管理部２４は、指令受信部２３がコマンドの廃棄指令を受信すると、コマンド削除の実行結果を地上局１に通知する（ステップＳＴ１２）。
コマンド削除の実行結果としては、図４に示すように、不正コマンドを正常に削除することができた場合、“成功”を示す実行結果を通知する。
また、不正コマンドが実行待ちキュー２２に存在するが、その不正コマンドが正に実行されている最中であるために不正コマンドを削除することができなかったような場合には、“削除失敗”を示す実行結果を通知する。
また、不正コマンドの実行が完了している場合のように不正コマンドが実行待ちキュー２２に存在していない場合、“該当無し”を示す実行結果を通知する。
地上局装置４の実行制御部１５は、衛星３からコマンド削除の実行結果の通知を受信すると（ステップＳＴ１３）、その実行結果を例えば表示するなどにより、地上局１の操作員にその事実を知らせる。
【００１９】
以上で明らかなように、この実施の形態１によれば、衛星３に向けて送信したコマンドと衛星３から返送されたコマンドを照合し、双方のコマンドが一致しない場合には不正なコマンドの廃棄指令を衛星３に送信する地上局装置４と、地上局１から不正コマンドの廃棄指令を受信すると、実行待ちキュー２２から不正コマンドを削除する衛星制御装置５とを設けるように構成したので、衛星３側で暗号化されているコマンドを復号化するような複雑な処理を実施することなく、悪意の第三者による衛星３の乗っ取りや、衛星３の損傷等の可能性を排除することができる効果を奏する。
【００２０】
実施の形態２．
図５はこの発明の実施の形態２による衛星制御システムを示す構成図であり、図６はこの発明の実施の形態２による衛星制御システムの処理内容を示すフローチャートである。
上記実施の形態１では、地上局装置４の実行制御部１５がコマンドの廃棄指令を衛星に送信しても、そのコマンドが実行中である場合や、既に、そのコマンドの実行が完了している場合には、悪意の第三者による衛星３の制御を阻止することができない。
そこで、この実施の形態２では、次のような処理を追加する。
【００２１】
地上局装置４の実行制御部１５は、上記実施の形態１と同様にコマンドの廃棄指令を衛星に送信したのち、衛星３から“削除失敗”を示す実行結果、または、“該当無し”を示す実行結果を受けると、そのコマンドと逆の制御内容が記述されている逆コマンドを生成し、その逆コマンドをコマンド送信部１１から衛星３に向けて送信させる（ステップＳＴ１４）。
例えば、逆コマンドには、悪意の第三者による不正なコマンドの制御内容が衛星３を右に１０度傾けるという内容であれば、不正なコマンドの実行内容を実質的にキャンセルするため、逆に衛星３を左に１０度傾けるという制御内容を記述する。
【００２２】
衛星制御装置５のコマンド受付部２１は、地上局１から逆コマンドが送信されると、その逆コマンドを受信し（ステップＳＴ１５）、その逆コマンドを実行待ちキュー２２に格納するとともに、その逆コマンドを地上局１に返送する（ステップＳＴ１６，ＳＴ１７）。なお、コマンド受付部２１は、逆コマンドを実行待ちキュー２２に格納する際、まだ実行が許可されていない旨を示すＯＦＦのフラグと対にして逆コマンドを格納する。
【００２３】
地上局装置４のコマンド受信部１２は、衛星３から逆コマンドが返送されると、その逆コマンドを受信する。
地上局装置４のコマンド収集部１３は、コマンド受信部１２が逆コマンドを受信すると、上述したように、コマンド送信部１１から衛星３に向けて逆コマンドが送信された場合には、コマンド送信部１１から送信された逆コマンドと同一の逆コマンドを収集する（ステップＳＴ１８）。また、近隣地上局２から衛星３に向けて逆コマンドが送信されていれば、その逆コマンドと同一の逆コマンドを収集する。
【００２４】
地上局装置４の照合部１４は、コマンド受信部１２により受信された逆コマンドが、コマンド送信部１１や近隣地上局２から送信された逆コマンドの返送コマンドではなく、悪意の第三者が衛星３に向けて送信した不正コマンドの可能性があるため、コマンド収集部１３により収集された逆コマンドとコマンド受信部１２により受信された逆コマンドを照合する（ステップＳＴ１９）。
地上局装置４の実行制御部１５は、照合部１４の照合結果がコマンドの一致を示す場合、コマンド受信部１２により受信されたコマンドは衛星制御装置５により正当に受領されて返送された逆コマンドであると認識し、その逆コマンドの実行指令を衛星３に送信する（ステップＳＴ２０）。
【００２５】
しかし、照合部１４の照合結果がコマンドの不一致を示す場合、コマンド受信部１２により受信されたコマンドは、悪意の第三者から衛星３に向けて不正に送信されたコマンドであると認識し、そのコマンドの廃棄指令を衛星３に送信する（ステップＳＴ８）。なお、地上局装置４から衛星３に向けて正当に送信された逆コマンドであっても、何らかの理由により逆コマンドが正常に送信されず、衛星３が逆コマンドの制御内容を誤認識する場合があるが、この場合も照合部１４の照合結果がコマンドの不一致を示し、そのコマンドの廃棄指令を衛星３に送信する。
また、コマンド送信部１１及び近隣地上局２の何れにおいても、逆コマンドの送信形跡がなく、コマンド収集部１３がコマンド送信部１１及び近隣地上局２の何れからもコマンドを収集することができない場合も、コマンド受信部１２により受信されたコマンドは、悪意の第三者から衛星３に向けて不正に送信されたコマンドであると認識し、そのコマンドの廃棄指令を衛星３に送信する（ステップＳＴ８）。
【００２６】
衛星制御装置５のコマンド管理部２４は、指令受信部２３が地上局１から実行待ちキュー２２に格納されている逆コマンドの実行指令を受信すると、その逆コマンドの実行を許可するために、その逆コマンドのフラグをＯＦＦからＯＮに変更する（ステップＳＴ２１，ＳＴ２２）。
これにより、その逆コマンドの実行の順番が巡ってくると、その逆コマンドが実行され、不正なコマンドの実行内容を実質的にキャンセルすることができる。
ただし、指令受信部２３が逆コマンドの実行指令を受信する前に、実行待ちキュー２２が満杯になり、その逆コマンドが実行待ちキュー２２に格納されているコマンドの中で最も古いコマンドであれば、その逆コマンドは不正なコマンドであるか否かに拘わらず、実行待ちキュー２２から削除される。
【００２７】
衛星制御装置５のコマンド管理部２４は、地上局装置４の実行制御部１５により不正コマンドの送信が認識されることにより、指令受信部２３が実行待ちキュー２２に格納されている不正コマンドの廃棄指令を受信すると、実行待ちキュー２２から不正コマンドを削除する（ステップＳＴ１１）。
【００２８】
以上で明らかなように、この実施の形態２によれば、実行制御部１５がコマンドの廃棄指令を衛星３に送信しても、そのコマンドが実行された場合、そのコマンドと逆の制御内容が記述されているコマンドをコマンド送信部１１から衛星３に向けて送信させるように構成したので、悪意の第三者による不正コマンドが実行されてしまっても、不正コマンドの実行内容を実質的にキャンセルすることができる効果を奏する。
【００２９】
実施の形態３．
図７はこの発明の実施の形態３による衛星制御システムを示す構成図であり、図８は地上局装置４及び衛星制御装置５の内部構成を示す構成図である。
図において、図１及び図２と同一符号は同一または相当部分を示すので説明を省略する。ハッシュ値受信部３１は衛星３から返送されたコマンドのハッシュ値を受信する送受信手段を構成している。
照合部３２はコマンド収集部１３により収集されたコマンドのハッシュ値を計算し、そのハッシュ値とハッシュ値受信部３１により受信されたハッシュ値を照合する照合手段を構成している。ただし、近隣地上局２がコマンドではなく、そのコマンドのハッシュ値を地上局１に送信する場合には、照合部３２が近隣地上局２から送信されたコマンドのハッシュ値を計算する必要はない。
コマンド受付部４１は地上局１から衛星３の制御内容が記述されているコマンドを受信すると、そのコマンドを実行待ちキュー２２に格納するとともに、そのコマンドのハッシュ値を計算して、そのハッシュ値を地上局１に返送するコマンド受付手段を構成している。
図９はこの発明の実施の形態３による衛星制御システムの処理内容を示すフローチャートである。
【００３０】
次に動作について説明する。
例えば、衛星３の姿勢を変える必要がある場合などにおいては、地上局装置４のコマンド送信部１１が衛星３の制御内容が記述されているコマンドを衛星３に向けて送信する（ステップＳＴ３１）。
衛星制御装置５のコマンド受付部４１は、地上局１からコマンドが送信されると、そのコマンドを受信し（ステップＳＴ３２）、そのコマンドを実行待ちキュー２２に格納する（ステップＳＴ３３）。また、そのコマンドのハッシュ値を計算し（例えば、ＭＤ５などのハッシュ関数にコマンドを代入してハッシュ値を計算する）、そのハッシュ値とコマンドの整理番号を地上局１に返送する（ステップＳＴ３４ａ，ＳＴ３４ｂ）。
【００３１】
この実施の形態３では、上記実施の形態１のように、コマンドを返送するのではなく、コマンドのハッシュ値を返送するが、コマンドのハッシュ値であれば、悪意の第三者が傍受に成功しても、コマンドの制御内容の把握が極めて困難である。
なお、コマンド受付部４１は、コマンドを実行待ちキュー２２に格納する際、まだ実行が許可されていない旨を示すＯＦＦのフラグと整理番号とコマンドを対応付けて格納する。
【００３２】
地上局装置４のハッシュ値受信部３１は、衛星３からハッシュ値と整理番号が返送されると、そのハッシュ値と整理番号を受信する。
地上局装置４のコマンド収集部１３は、ハッシュ値受信部３１がハッシュ値を受信すると、上述したように、コマンド送信部１１から衛星３に向けてコマンドが送信された場合には、コマンド送信部１１から送信されたコマンドと同一のコマンドを収集する（ステップＳＴ３５）。また、近隣地上局２から衛星３に向けてコマンドが送信されていれば、そのコマンドと同一のコマンドを収集する。なお、近隣地上局２において、コマンドのハッシュ値が計算されている場合には、近隣地上局２からハッシュ値を収集してもよい。
【００３３】
地上局装置４の照合部３２は、コマンド収集部１３がコマンドを収集すると、そのコマンドのハッシュ値を計算し（ステップＳＴ３６）、そのハッシュ値とハッシュ値受信部３１により受信されたハッシュ値を照合する（ステップＳＴ３７）。
地上局装置４の実行制御部１５は、照合部３２の照合結果がハッシュ値の一致を示す場合、ハッシュ値受信部３１により受信されたハッシュ値は衛星制御装置５により正当に受領されて返送されたコマンドのハッシュ値であると認識し、そのコマンドの実行指令を衛星３に送信する（ステップＳＴ３８）。
【００３４】
しかし、照合部３２の照合結果がハッシュ値の不一致を示す場合、ハッシュ値受信部３１により受信されたコマンドのハッシュ値は、悪意の第三者から不正に送信されたハッシュ値であると認識し、そのコマンドの廃棄指令を衛星３に送信する（ステップＳＴ３９）。なお、地上局装置４から衛星３に向けて正当に送信されたコマンドであっても、何らかの理由によりコマンドが正常に送信されず、衛星３がコマンドの制御内容を誤認識する場合があるが、この場合も照合部１４の照合結果がハッシュ値の不一致を示し、そのコマンドの廃棄指令を衛星３に送信する。
また、コマンド送信部１１及び近隣地上局２の何れにおいても、コマンドの送信形跡がなく、コマンド収集部１３がコマンド送信部１１及び近隣地上局２の何れからもコマンドを収集することができない場合も、ハッシュ値受信部３１により受信されたコマンドのハッシュ値は、悪意の第三者から不正に送信されたハッシュ値であると認識し、そのコマンドの廃棄指令を衛星３に送信する（ステップＳＴ３９）。
【００３５】
ここで、実行制御部１５が送信する実行指令又は廃棄指令には、コマンドを特定する整理番号が付加されているものとする。
なお、近隣地上局２から収集するコマンドは、地上回線を利用して収集するので、悪意の第三者のコマンドが混入することはないと考えられる。
【００３６】
衛星制御装置５のコマンド管理部２４は、指令受信部２３が地上局１から実行待ちキュー２２に格納されているコマンドの実行指令を受信すると、そのコマンドの実行を許可するために、そのコマンドのフラグをＯＦＦからＯＮに変更する（ステップＳＴ４０，ＳＴ４１）。
これにより、そのコマンドの実行の順番が巡ってくると、そのコマンドが実行され、衛星３の姿勢等が制御される。
ただし、指令受信部２３がコマンドの実行指令を受信する前に、実行待ちキュー２２が満杯になり、そのコマンドが実行待ちキュー２２に格納されているコマンドの中で最も古いコマンドであれば、そのコマンドは不正なコマンドであるか否かに拘わらず、実行待ちキュー２２から削除される。
【００３７】
衛星制御装置５のコマンド管理部２４は、地上局装置４の実行制御部１５により不正コマンドの送信が認識されることにより、指令受信部２３が実行待ちキュー２２に格納されている不正コマンドの廃棄指令を受信すると、実行待ちキュー２２から不正コマンドを削除する（ステップＳＴ４２）。
これにより、悪意の第三者が不正コマンドを衛星３に向けて送信したのち、悪意の第三者が不正コマンドの実行指令を衛星３に送信したとしても、未だ不正コマンドが実行されていなければ、その不正コマンドの実行を阻止することができる。
【００３８】
また、衛星制御装置５のコマンド管理部２４は、指令受信部２３がコマンドの廃棄指令を受信すると、コマンド削除の実行結果を地上局１に通知する（ステップＳＴ４３）。
地上局装置４の実行制御部１５は、衛星３からコマンド削除の実行結果の通知を受信すると（ステップＳＴ４４）、その実行結果を例えば表示するなどにより、地上局１の操作員にその事実を知らせる。
【００３９】
以上で明らかなように、この実施の形態３によれば、衛星３に向けて送信したコマンドのハッシュ値と、衛星３から返送されたコマンドのハッシュ値を照合し、双方のハッシュ値が一致しない場合には不正なコマンドの廃棄指令を衛星３に送信する地上局装置４と、地上局１から不正コマンドの廃棄指令を受信すると、実行待ちキュー２２から不正コマンドを削除する衛星制御装置５とを設けるように構成したので、衛星３側で暗号化されているコマンドを復号化するような複雑な処理を実施することなく、悪意の第三者による衛星３の乗っ取りや、衛星３の損傷等の可能性を排除することができる効果を奏する。
また、衛星制御装置５がコマンドの代わりにハッシュ値を返送するので、悪意の第三者がハッシュ値の傍受に成功しても、コマンドの制御内容を容易に把握することができない効果を奏する。
【００４０】
実施の形態４．
図１０はこの発明の実施の形態４による衛星制御システムを示す構成図であり、図１１はこの発明の実施の形態４による衛星制御システムの処理内容を示すフローチャートである。
上記実施の形態３では、地上局装置４の実行制御部１５がコマンドの廃棄指令を衛星に送信しても、そのコマンドが実行中である場合や、既に、そのコマンドの実行が完了している場合には、悪意の第三者による衛星３の制御を阻止することができない。
そこで、この実施の形態４では、次のような処理を追加する。
【００４１】
地上局装置４の実行制御部１５は、上記実施の形態３と同様にコマンドの廃棄指令を衛星に送信したのち、衛星３から“削除失敗”を示す実行結果、または、“該当無し”を示す実行結果を受けると（図１２を参照）、そのコマンドと逆の制御内容が記述されている逆コマンドを生成し、その逆コマンドをコマンド送信部１１から衛星３に向けて送信させる（ステップＳＴ４５）。
例えば、逆コマンドには、悪意の第三者による不正なコマンドの制御内容が衛星３を右に１０度傾けるという内容であれば、不正なコマンドの実行内容を実質的にキャンセルするため、逆に衛星３を左に１０度傾けるという制御内容を記述する。
【００４２】
なお、衛星制御装置５のコマンド管理部２４が削除失敗の実行結果を地上局１に送信する際、削除対象のコマンドも付属して送信する（ステップＳＴ４４）。削除対象のコマンドは、実行完了前であれば実行待ちキュー２２から整理番号をキーにして検索し、実行完了後であれば実行済コマンドリングバッファ（図１０を参照）から整理番号をキーにして検索する。また、実行完了後であれば、実行時刻も併せて地上局１に送信する。削除対象のコマンドが、正に実行中であった場合は、実行完了まで待った後、実行済みの場合と同じ処理を行う。
ただし、削除対象のコマンドが実行済コマンドリングバッファからも掃出されてしまう位古い場合は、削除結果通知に削除対象のコマンドを付属させることができず、削除結果通知は“該当無し”になる。
【００４３】
衛星制御装置５のコマンド受付部４１は、地上局１から逆コマンドが送信されると、その逆コマンドを受信し（ステップＳＴ４６）、その逆コマンドを実行待ちキュー２２に格納する（ステップＳＴ４７）。また、その逆コマンドのハッシュ値を計算し、そのハッシュ値と逆コマンドの整理番号を地上局１に返送する（ステップＳＴ４８，ＳＴ４９）。
なお、コマンド受付部４１は、逆コマンドを実行待ちキュー２２に格納する際、まだ実行が許可されていない旨を示すＯＦＦのフラグと対にして逆コマンドを格納する。
【００４４】
地上局装置４のハッシュ値受信部３１は、衛星３から逆コマンドのハッシュ値と整理番号が返送されると、そのハッシュ値と整理番号を受信する。
地上局装置４のコマンド収集部１３は、ハッシュ値受信部３１がハッシュ値を受信すると、上述したように、コマンド送信部１１から衛星３に向けて逆コマンドが送信された場合には、コマンド送信部１１から送信された逆コマンドと同一の逆コマンドを収集する（ステップＳＴ５０）。また、近隣地上局２から衛星３に向けて逆コマンドが送信されていれば、その逆コマンドと同一の逆コマンドを収集する。
【００４５】
地上局装置４の照合部３２は、コマンド収集部１３が逆コマンドを収集すると、その逆コマンドのハッシュ値を計算し（ステップＳＴ５１）、そのハッシュ値とハッシュ値受信部３１により受信されたハッシュ値を照合する（ステップＳＴ５２）。
地上局装置４の実行制御部１５は、照合部３２の照合結果がハッシュ値の一致を示す場合、ハッシュ値受信部３１により受信されたハッシュ値は衛星制御装置５により正当に受領されて返送された逆コマンドのハッシュ値であると認識し、その逆コマンドの実行指令を衛星３に送信する（ステップＳＴ５３）。
【００４６】
しかし、照合部３２の照合結果がハッシュ値の不一致を示す場合、ハッシュ値受信部３１により受信されたコマンドのハッシュ値は、悪意の第三者から不正に送信されたハッシュ値であると認識し、そのコマンドの廃棄指令を衛星３に送信する（ステップＳＴ３９）。なお、地上局装置４から衛星３に向けて正当に送信された逆コマンドであっても、何らかの理由により逆コマンドが正常に送信されず、衛星３が逆コマンドの制御内容を誤認識する場合があるが、この場合も照合部１４の照合結果がハッシュ値の不一致を示し、そのコマンドの廃棄指令を衛星３に送信する。
また、コマンド送信部１１及び近隣地上局２の何れにおいても、逆コマンドの送信形跡がなく、コマンド収集部１３がコマンド送信部１１及び近隣地上局２の何れからも逆コマンドを収集することができない場合も、ハッシュ値受信部３１により受信されたコマンドのハッシュ値は、悪意の第三者から不正に送信されたハッシュ値であると認識し、そのコマンドの廃棄指令を衛星３に送信する（ステップＳＴ３９）。
【００４７】
衛星制御装置５のコマンド管理部２４は、指令受信部２３が地上局１から実行待ちキュー２２に格納されている逆コマンドの実行指令を受信すると、その逆コマンドの実行を許可するために、その逆コマンドのフラグをＯＦＦからＯＮに変更する（ステップＳＴ５４，ＳＴ５５）。
これにより、その逆コマンドの実行の順番が巡ってくると、その逆コマンドが実行され、不正なコマンドの実行内容を実質的にキャンセルすることができる。
ただし、指令受信部２３が逆コマンドの実行指令を受信する前に、実行待ちキュー２２が満杯になり、その逆コマンドが実行待ちキュー２２に格納されているコマンドの中で最も古いコマンドであれば、その逆コマンドは不正なコマンドであるか否かに拘わらず、実行待ちキュー２２から削除される。
【００４８】
衛星制御装置５のコマンド管理部２４は、地上局装置４の実行制御部１５により不正コマンドの送信が認識されることにより、指令受信部２３が実行待ちキュー２２に格納されている不正コマンドの廃棄指令を受信すると、実行待ちキュー２２から不正コマンドを削除する（ステップＳＴ４２）。
【００４９】
以上で明らかなように、この実施の形態４によれば、実行制御部１５がコマンドの廃棄指令を衛星３に送信しても、そのコマンドが実行された場合、衛星３から当該コマンドを収集して、そのコマンドと逆の制御内容が記述されているコマンドをコマンド送信部１１から衛星３に向けて送信させるように構成したので、悪意の第三者による不正コマンドが実行されてしまっても、不正コマンドの実行内容を実質的にキャンセルすることができる効果を奏する。
【００５０】
【発明の効果】
以上のように、この発明によれば、衛星に向けて送信したコマンドと衛星から返送されたコマンドを照合し、双方のコマンドが一致しない場合にはコマンドの廃棄指令を衛星に送信する地上局装置と、地上局からコマンドの廃棄指令を受信すると、その実行待ちキューからコマンドを削除する衛星制御装置とを設けるように構成したので、衛星側に暗号化されているコマンドを復号化するような複雑な処理を実装することなく、悪意の第三者による衛星の乗っ取りや、衛星の損傷等の可能性を排除することができる効果がある。
【図面の簡単な説明】
【図１】この発明の実施の形態１による衛星制御システムを示す構成図である。
【図２】地上局装置及び衛星制御装置の内部構成を示す構成図である。
【図３】この発明の実施の形態１による衛星制御システムの処理内容を示すフローチャートである。
【図４】削除実行結果を示す説明図である。
【図５】この発明の実施の形態２による衛星制御システムを示す構成図である。
【図６】この発明の実施の形態２による衛星制御システムの処理内容を示すフローチャートである。
【図７】この発明の実施の形態３による衛星制御システムを示す構成図である。
【図８】地上局装置及び衛星制御装置の内部構成を示す構成図である。
【図９】この発明の実施の形態３による衛星制御システムの処理内容を示すフローチャートである。
【図１０】この発明の実施の形態４による衛星制御システムを示す構成図である。
【図１１】この発明の実施の形態４による衛星制御システムの処理内容を示すフローチャートである。
【図１２】削除実行結果を示す説明図である。
【符号の説明】
１  地上局、２  近隣地上局、３  衛星、４  地上局装置、５  衛星制御装置、１１  コマンド送信部（送受信手段）、１２  コマンド受信部（送受信手段）、１３  コマンド収集部（照合手段）、１４  照合部（照合手段）、１５  実行制御部（実行制御手段）、２１  コマンド受付部（コマンド受付手段）、２２  実行待ちキュー、２３  指令受信部（指令受信手段）、２４  コマンド管理部（コマンド管理手段）、３１  ハッシュ値受信部（送受信手段）、３２  照合部（照合手段）、４１  コマンド受付部（コマンド受付手段）。
【図１】
2004304723.tif 000003
【図２】
2004304723.tif 000004
【図３】
2004304723.tif 000005
【図４】
2004304723.tif 000006
【図５】
2004304723.tif 000007
【図６】
2004304723.tif 000008
【図７】
2004304723.tif 000009
【図８】
2004304723.tif 000010
【図９】
2004304723.tif 000011
【図１０】
2004304723.tif 000012
【図１１】
2004304723.tif 000013
【図１２】
2004304723.tif 000014