７．地上型衛星航法補強システム（GBAS）の開発と安全性要求の保証航法システム領域※福島荘之介，齊藤真二，吉原貴之，齋藤享，藤田征吾

1 はじめに地上型衛星航法補強システム（GBAS：Ground-Based Augmentation System）は，衛星航法による民間航空機の進入着陸システムである．国際民間航空機関（ICAO）は，1990 年代から ILS に代わる GPS による進入着陸システムの検討を開始
し，2001 年に CAT-I に対応する地上システムの国際標準及び勧告方式（SARPs）を発効した [1]．
しかし，精密進入の高い安全性要求を保証する装置の実現は課題であり，主要国で研究開発が続いてきた．最近，実用型地上装置の設計が承認され，米国及びドイツは運用開始に向けて活動中である．また，ボーイング社，エアバス社は
B787，A380 型機以降の新型機に GBAS によるGLS（GBAS Landing System）を装備し，B787は昨年末から我が国を最初に導入も始まった．電子航法研究所では，日本列島が含まれる中低緯度地域の空港へも GBAS を導入するため，低磁気緯度に特有な電離圏現象を脅威に含めたプロトタイプの開発を通して安全性を保証する手法を検討し，装置を実現した．その後，関西国際空港に装置を設置し，1 年間連続データを取得して安全性要求を検証した．
高い安全性要求を保証するためには，安全性要求を定量的に検討した安全性設計と同時にシステムを開発し，更に実環境データと脅威モデルにより要求を検証するプロセスが重要である．
本稿では，GBAS の安全性要求と設計プロセスを述べ [2]，次に実環境で取得した連続データを用いた擬似ユーザによる HMI 解析と衛星異常検知に関する信号歪み，加速度過剰，CCD（Codecarrier divergence，コード・搬送波間ダイバージェンス）モニタの検証結果を述べる．

2 GBAS 安全性要求と設計プロセス
SARPs では CAT-I 精密進入における安全性性能を，インテグリティ（完全性），コンティニュイティ（連続性），アベイラビリティ（有効性）で定めている．このうち，インテグリティは装置が故障するなどしてユーザの安全が阻害されるときタイムリーに確実に警報を発生する指標であり，何れの 1 進入においても 1 − 2 × 10−7と高い性能が要求される．故障により影響が発生してから警報が発出されるまでの時間（Time-to-alert）は 6 秒以下と規定され，地上と機上装置に各 3 秒が配分される．コンティニュイティ
は，進入中の航空機にサービスを連続して与えるための指標であり，警報（誤警報を含む）を頻繁に発出しないことを要求し，15 秒間の平均で 1 − 8 × 10−6 以下と規定される．これに対してアベイラビリティは，警報（誤警報を含む）による中断なしにサービスを行う時間の割合であり，99〜99.999%と幅を持って規定される．地上装置は，インテグリティ要求を満足するため保守的に警報を発生するよう動作するが，コンティニュイティ要求からは警報の発生頻度を一定値以下にし，更にアベイラビリティを高く保つ必要がある．これはシステム設計においてトレードオフとなる．
機上装置の警報動作は，航空機の測位誤差推定値（信頼限界）の指標である保護レベルが使われる．機上で保護レベルを計算するため，地上装置では，同時に 4 式の基準局受信機で衛星を受信し，補正値の誤差パラメータであるインテグリティ情報を放送する．インテグリティ情報は，補正値の予測誤差（B 値），補正値誤差を評価した後決定される誤差分布のパラメータ（σpr gnd ），電離圏や対流圏の誤差分布のパラメータ（σiono ，σtrop ），放送暦モニタの検知性能を示す指標（P値）から構成される．保護レベルには鉛直方向の VPL と滑走路中心線に対して横方向の LPL があり，それぞれのしきい値と比較して越える場合に警報を発生する．
図 1 にモニタ開発のプロセスを示す [3, 4]．始めに GBAS にとって脅威となる要因を網羅的に洗い出し，その発生頻度や影響を予測する．脅威は，GPS 障害や伝搬異常など GBAS 地上装置の外部に存在する要因と地上装置のハードウェア故障，ソフトウェア異常，伝送誤りなど内部的な要因が存在する．次に地上装置の安全性に関す

図 1: インテグリティを保証するモニタ設計プロ
セス

図 2: インテグリティリスク配分木 [5]クである 2 × 10−7 のインテグリティリスクは，るシステム構成を作成して，脅威を詳細に検討し，これ以上分割不可能な基本事象を列挙する．
これを，よく知られた FTA（Fault Tree Analysis，故障木解析）により体系的に樹形図にし，総リスクを算定する．総リスクが目標リスクを越えた場合は，残リスクをモニタなどに配分してリスクを低減する．その後，アルゴリズム記述文書（ADD：Algorithm Description Document）を作成し，モニタ要求が満たされればソフトウェア開発，実装，検証に移行する．リスクの配分は一通りではないが，目標リスクに達するまで正当な根拠によって低減し，目標に達しない場合は定義に戻って繰り返す．リスクを低減する
基本的方法は，モニタ（リスクが大きい部分への異常検知モニタの追加）の他，インフレーション（σpr gnd などをインフレートして保護レベルを大きくする．機上の測位誤差を常時大きく見積もることに相当する），アーキテクチャ（シス
テムの安全性構造の変更）がある．
次に，FTA における具体的なリスク配分と安全性評価について述べる．GBAS（CAT-I）では，ユーザに偽の情報を与え，測位誤差が保護レベ
ルを超える危険な事象を HMI（Hazardous Mis-leading Information）または MI と呼び，その発生確率をインテグリティリスクと考える．標準
文書に示される GBAS インテグリティリスク樹形図の最上部の例を図 2 示す．CAT-I の目標リス

SARPs により 1：3 に配分する方針が示されており，正常時に偶発誤差により生じる保護レベ
ル H0 と H1 のリスクと保護レベルのリスクで保証されないその他（または H2）に分けられる．
保護レベルのリスクは，基準局受信機の障害を1 時間あたり 10−5 と保守的に仮定して見積もられる．その他のリスクをどの様に配分するかは装置毎のシステム設計に委ねられており，標準文書には記載されていない．本プロトタイプの開発で扱う FTA は，その他の部分に相当する．
FTA における基本事象は，推定される発生頻度に対して十分保守的な事前確率を設定することが可能である．例えば，GPS 障害の事前確率
Pf は，SPS 標準 [6] を根拠として，保守的に 1
衛星 1 時間あたり 10−4 と見積もられており，これを 1 回の進入時間である 150 秒に換算して，1衛星 1 進入あたり 4.17 × 10−6 とする [7]．イン
テグリティリスクとして配分される Pa は，モニタの未検出確率 Pmd （脅威が発生した場合の条件付き確率），障害によってユーザ位置誤差が保護レベルを超える確率 Ppl（脅威が発生し未検出が起こった場合の条件付き確率）とPa ≥ Ppl Pmd Pfの関係にある．
プロトタイプ開発では，抽出した合計 67 の基本事象から FTA を実施し，10 段以上の樹形図を作成して，インテグリティリスクを配分した．リスクは，主に後述する複数の異常検知モニタとリスク緩和アルゴリズムにより低減される．この他，データ処理機器の CPU のハードウェア障害など，冗長系設計でリスクを低減する場合もある．また，コンティニュイティについても同様にリスク配分を行い，各モニタに配分したリスクは誤警報確率とする．なお，モニタに配分したインテグリティリスクは，未検出確率となる．この場合，HMI を生じる可能性のある最悪ケースを模擬したシミュレーションにより，モニ

図 3: スタンフォードチャート（垂直）タの妥当性を検証する必要がある．これは，最悪ケース解析と呼ばれ，理論的検討，フィールとしており，ユーザ側は正常な受信機が存在すド試験データ分析，計算機シミュレーションにることを仮定している．このため，ユーザ側のよる．

マルチパス誤差によって発生する HMI 事象は，安全性アーキテクチャや FTA などは予備的システム安全性評価（PSSA：Preliminary SystemSafety Assessment）に文書化して，装置設計，製造と同時にモニタ設計とインテグリティを保証するための検証プロセスを進める．最終的に検証された PSSA は，安全性評価報告書（SSA：SystemSafety Assessment）とする．

3 擬似ユーザによる HMI 解析
図 3 に関西空港の擬似ユーザ 1 局における垂直方向のスタンフォードチャートを示す．擬似ユーザは，航空機側機器の動作を模擬する空港内の固定位置に設置した GPS 受信機であり，アンテナ位置は GPS 測量されている．図は 2012
年 4 月 15 日の 24 時間の垂直誤差（VPE）と垂直保護レベル（VPL）の頻度分布（カラーバー）を意味する．図中の MI 及び HMI 領域内に発生する事象（ここでは HMI 事象と呼ぶ）は，前述の測位誤差が保護レベルを超える危険な事象であり，機上で警報なしに誤差が増加する可能性を持つ．同様に水平面上で滑走路中心線に直交方向の保護レベル（LPL）と誤差の関係を示す
図も存在する．

HMI 解析は，HMI 事象が発生した原因を特定することを目的とし，連続的に収集保存していHMI ではない．このユーザ側に原因する HMI 事象を容易に判別するため，関西国際空港に設置した GBAS プロトタイプでは，マルチパス誤差に対して独立となるよう擬似ユーザを十分離隔して異なる滑走端に 2 局設置している．
プロトタイプ装置を関西国際空港に設置後，数ヶ月の連続データを取得した際，スタンフォードチャートには稀に HMI 事象が発生し，原因追及を実施した．この結果，ほとんどは擬似ユーザ側に基因する事象であったが，初期には稀に地上機器側に原因する事象が存在することも確認された．解析の結果，これらの主な原因は，(1)ADDの誤り，(2)ADD の解釈の間違い（誤解を与える曖昧な記述），(3)ADD と異なる実装が行われた（コーディングの段階で判断ミス），(4) 設計段階またはコーディング段階でのプログラムの誤り，に分類されることが判明した．
この結果，ADD を修正し，3 回の改版によりソフトウェアの修正が行われた．現在，2 局の擬似ユーザで同時に HMI 事象は発生しておらず，
1 年間の連続データを再生した解析においても明らかな HMI は発見されていない．実用機器の開発においては航空ソフトウェア開発の要求指針を記述した文書（RTCA DO178）に沿った開発が要求される．

る基準局 GPS 受信データ，中間処理データ，放送データなどを解析する．ただし，HMI 事象は4 衛星異常に関するモニタの検証

擬似ユーザ GPS 受信機側でのマルチパス誤差に4.1よっても発生する．SARPs の安全性要求（CAT-GBAS においてインテグリティに脅威となる稀な事象のうち相対的に頻度が高いのは GPS（宇I）は個別のユーザに依存しない空間信号を対象

GPS 信号の異常とモニタ

図 5: 信号歪みモニタの最悪ケース解析の手順

4.2

信号歪みモニタ

信号歪みモニタでは，1990 年に発生した 19 番衛星故障（SV19 問題）を基に SARPs において定義された異常波形を脅威モデル A，B，C とす
図 4: 信号歪み脅威の定義

る．モデル A は，GPS 衛星内の C/A コードを発生するデジタル回路である NDU（Navigation宙・制御セグメント）の障害である．GPS 自身が障害を検知したとき航法メッセージによりユーザに通知されるのは数分から数時間後であり，進入着陸システムの警報時間要求を満たさない．
過去に発生した主要な GPS 障害の原因は，主に姿勢制御系，搭載原子時計，送信系に分類される [8, 9]．検討の結果，以下の主要な 6 つの事象についてはリスクの低減が必要であることが分かった．GPS の障害による脅威は，GPS 送信信号の電力低下，CCD の増加，クロックの加速度過剰，エフェメリス異常，信号歪み，である．また，電波伝搬に原因する脅威は，電離圏遅延量の空間勾配異常である．GPS 障害による脅威は，精密位置が既知の 4 式の基準局受信機が出力する観測値から生成する検定統計量をモニタしてしきい値と比較して検知する．これら異常検知モニタは，補正情報の生成過程に伴うソフトウェア処理として実現される．各モニタは，各基準局受信で受信したある衛星の検定統計量を検出しきい値と比較し，越えた場合にフラグとする．
この結果を上位の統括モニタに送り，ある衛星が 2 式以上の受信機でフラグした場合など一定の条件で衛星（または受信機）の排除を判定する方法を採用している．

Data Unit）の故障に関係する出力信号の立ち下がりの遅延 ∆（または進み ∆ < 0）である．モデル B は，シンセサイザーなどアナログ部での発振の故障モデル（共振周波数 fd と減衰比 σ ）である．モデル C は，モデル A とモデル B の組み合わせである．モデル A，B，C の C/A PRN
コード波形とその相関関数を図 4 に示す．
更に，機上装置に含まれる GPS 受信機は複数の種類が考えられる．通常の GPS 受信機が採用する相関方式は，Early−Late 相関器，ダブルデルタ相関器，の 2 種類があり信号歪みによる誤差特性が異なる．またプリコリレーションフィルタとして複数のタイプがあり，相関器前の帯域幅（PCBW：Precorrelation Bandwidth）は 2〜24MHz で設計される．このため SARPs では，機上 GPS 受信機として，この 2 種類の相関方式における相関器間隔と PCBW の範囲から GBAS で保証する空間を定義している [1]．
信号歪みモニタは，基準局 GPS 受信機の相関関数の相関点強度から求める信号歪みに相当する量を検定統計量として異常衛星を検出する．本モニタの性能を検証するために，計算機シミュレーションにより機上 GPS 受信機で発生する全ケースを模擬し，DGPS で距離誤差となる基準
局 GPS 受信機と機上 GPS 受信機の擬似距離の差 ∆ρ と検定統計量 ∆R の関係を解析した．こ

能な検定統計量の最大値（MAE：Maximum Al-

れは，脅威モデル領域と機上 GPS 受信機の保証lowable Error）を距離誤差が MERR を越えない範囲で求める．MAE と MERR の関係は，検定統計量と距離誤差の関係式から導出される．モニタの妥当性は，最小検出可能な検定統計量（MDE：Minimum Detectable Error）と MAE を比較する．
MDE は，9ヶ月の収集データから求めた正常時の検定統計量の標準偏差 σd から，前節と同様に割り当てたインテグリティ及びコンティニュイティ要件により求める．比較は，5 度毎の仰角区間毎に実施し，全ての仰角区間で条件が成立した．この結果，本モニタの妥当性が検証された．

領域の探索に相当する．図 5 にシミュレーションの流れを示す．
モニタの妥当性は具体的に次のように検証された．最初に，設置初期の取得データの検定統計量分布とモニタに割り当てたコンティニュイティ要求（誤警報確率）から検出しきい値を仮決めし，割り当てたインテグリティ要求（未検出確率）とから最小検出可能な信号歪み（MDD：Minimum Detectable Distortion）を求める．このとき，検定統計量が自由度 4 の χ2 分布に従うことを考慮する．次に，故障衛星の距離誤差が，信号歪みによるバイアス誤差成分と正常時のランダム誤差成分に従うとして，最大許容距離誤差（MERR：Maximum-allowable Error in Range）を求める．ここで，MERR は 24 衛星で最悪配置の場合の許容垂直誤差の最小値として求めた．
脅威モデル領域の探索の結果，最もクリチカルな脅威モードは，モデル C，∆=0.12 chip，fd =8.4MHz，σ =1.0 Mnepers/sec であり，∆R が MDD以下でかつ ∆ρ が MERR を越える場合は存在しないことを確認した．更に，9ヶ月の収集データ（2011 年 4〜12 月）により，検定統計量に影響を与える衛星特有のバイアス誤差の変化を求め，バイアスの変動によっても，インテグリティ要求が満足できることを確認した．この結果，本モニタの妥当性が検証された．
4.3 加速度過剰モニタ
クロックの加速度過剰は，搭載原子時計の異常であり，各衛星の搬送波位相の加速度推定値を検定統計量としてモニタする．モニタの検出しきい値は，正常時のデータから検定統計量の分布を求め，オーババウンド法 [10] によりインフレーション係数を決定して，コンティニュイティ要求から決定する．本モニタの検定統計量は，受信機のクロック変動を削除した搬送波位相から，最小二乗法による二次近似の係数として求める Acc（加速度），Ramp（速度），Step（バイアス）とする．検定統計量は，サイクルスリップによっても同様になるため，スリップモニタとしても利用する．
本モニタの妥当性は次のように検証された．

MERR は σpr gnd から計算する．次に，許容可4.4CCD モニタ

CCD 脅威は，GPS の PRN コードと搬送波位相の電離圏遅延量が逆符号であるため，主に電離圏擾乱や衛星故障によって受信機の平滑化フィルタで誤差が蓄積され増加する現象である [11]．
CCD モニタは，各衛星各受信機の搬送波位相と擬似距離観測値の差に 2 段階の平滑化フィルタを適用し，ダイバージェンスレートの推定値を検定統計量とする [12]．検出しきい値は同様に正常時の検定統計量分布から決める．
モニタの妥当性は次のように検証する．許容可能な検定統計量の最大値（MADR：MaximumAllowable Divergence Rate）と σpr gnd の関係を計算機シミュレーションによる最悪ケース解析により導出する．これは，地上及び機上の平滑化フィルタの開始時間，ダイバージェンスレート発生時間に依存する．MADR は，この結果から求める．次に，最小検出可能な検定統計量である
MDDR（Minimum Detectable Divergence Rate）を求める．MDDR は，9ヶ月の収集データから求めた正常時の検定統計量の標準偏差 σe とインフレーション係数から，同様に割り当てたインテグリティ及びコンティニュイティ要件により求める．モニタの妥当性は MDDR が MADR を越えないことにより成立する．比較は前節と同様に 5 度毎の仰角区間に分割して確認した．この結果，仰角 25 度以上の衛星で条件が成立するが，低仰角衛星では不成立となることが分かった．この原因は，収集データから求めた低仰角衛星の σe に季節変動があり，ダイバージェンスレートが電離圏活動に基因して変動するためと考えられる．しかし，検出しきい値の設定方法

など妥当性の成立条件は保守的な部分が残っており，更に詳細に検討を進めれば成立する可能性は高い．

5 まとめ
本稿では，GBAS の安全性要求を保証するための設計・検証するプロセスについて，実環境の連続データを用いた HMI 解析，信号歪み・加速度過剰・CCD の各異常検知モニタの検証結果について述べた．GBAS の高い安全性要求を保証するためには，擬似ユーザによる HMI 解析など実証と共に，モニタの妥当性の検証が重要であり，実環境データによる正常時の検定統計量分布の決定と最悪ケースを模擬する計算機シミュレーションが要点となる．
安全性要求を保証する手法を検討するため，実用機と同様の安全性設計が可能なプロトタイプを開発し，安全性要求を検証しながらシステム設計を行うプロセスを実施した．本稿で述べた手法により，CAT-I GBAS の安全性要求を保証する安全性設計の指針が示された．今後の課題
は，CAT-II，III の安全性要求を保証する手法を検討することにあり．CCD モニタの再検証と共に進める予定である．

謝辞
GBAS プロトタイプ装置の関西国際空港への設置及び連続データ収集については，航空局交通管制部，大阪航空局関西空港事務所，関西国際空港株式会社の関係者各位に多大なご協力を頂いた．ここに深く感謝致します．

参考文献[1] ICAO, International standards and recommended practices, annex 10 to the convention on international civil aviation, vol.1, Radio navigation aids, sixth edition, July 2006.
[2] 福島荘之介，工藤正博，齊藤真二，吉原貴之，齋藤享，藤田征吾，藤井直樹，“衛星航法による精密進入着陸システムの開発と安全性の保証，” 信学論 B，Vol. J94-B，No.7，pp.802–811，2011 年 7 月．
[3] SAE, Certification Considerations for HighlyIntegrated or Complex Aircraft Systems,
ARP4754, Nov. 1996.

[4] SAE, Guidelines and Methods for Conducting the Safety Assessment Process on Civil
Airborne Systems and Equipment, ARP4761,
Dec. 1996.
[5] RTCA SC-159, “Minimum Aviation System
Performance Standards for the Local Area
Augmentation System (LAAS),” DO-245A,
Dec. 9, 2004.
[6] U.S.DoD, Global Positioning System Standard Positioning Service Performance Standard, Oct. 2001.
[7] S. Pullen, J. Rife and P. Enge, “Prior Probability Model Development to Support System Safety Verification in the Presence ofAnomalies,” Proc. IEEE/ION Position, Location, And Navigation Symposium, pp.1127–1136, Apr. 2006.
[8] 福島荘之介，“GPS 衛星の故障・不具合による異常信号，” GPS/GNSS シンポジウム
2007，pp.259–265，2007 年 11 月．
[9] 福島荘之介，“GPS 衛星の故障と GPS 補強システムへの影響に関する一考察，” 信学技報，Vol.107，No.169，SANE2007-57，pp.31–35，2007 年 7 月．
[10] G. Xie,“Optimal On-airport Monitoring ofthe Integrity of GPS-based Landing Systems,”
Ph.D Dissertation Stanford Univ. Mar. 2004.
[11] P. Misra and P. Enge, Global Positioning
System, Signals, Measurements, and Performance, Second Edition, pp.188–192, GangaJamura Press, 2006.
[12] D.V. Simili and B. Pervan, “Code-Carrier Divergence Monitoring for the GPS Local Area
Augmentation System,” Proc. IEEE/ION Position, Location, And Navigation Symposium, pp.483–493, Apr. 2006.