特開 2024-80715 自車位置測位システム

(19)【発行国】日本国特許庁(JP)

(12)【公報種別】公開特許公報(A)

(11)【公開番号】P2024080715

(43)【公開日】2024-06-17

(54)【発明の名称】自車位置測位システム

(51)【国際特許分類】

   B61L 25/02 20060101AFI20240610BHJP

   G01S 19/23 20100101ALI20240610BHJP

   B60L 3/00 20190101ALI20240610BHJP

【ＦＩ】

B61L25/02 G

G01S19/23

B60L3/00 N

【審査請求】未請求

【請求項の数】3

【出願形態】ＯＬ

(21)【出願番号】P 2022193876

(22)【出願日】2022-12-05

(71)【出願人】

【識別番号】317005022

【氏名又は名称】独立行政法人自動車技術総合機構

(74)【代理人】

【識別番号】100113712

【弁理士】

【氏名又は名称】野口 裕弘

(72)【発明者】

【氏名】森 崇

(72)【発明者】

【氏名】吉永 純

【テーマコード（参考）】

5H125

5H161

5J062

【Ｆターム（参考）】

5H125AA05

5H125CA18

5H125CC05

5H125EE55

5H161AA01

5H161BB02

5H161DD21

5H161FF01

5H161FF07

5J062BB01

5J062CC07

(57)【要約】

【課題】安全性が向上した自車位置測位システムを提供する
【解決手段】自車位置測位システム１における地上装置３の地上側ＧＮＳＳアンテナ３１は、所定の固定点Ｐに設置されて測位衛星からの信号を受信する。地上側ＧＮＳＳ受信機３２は、地上側ＧＮＳＳアンテナ３１が受信した信号に基づいて測位をする。車上装置２の車上側ＧＮＳＳアンテナ２１は、測位衛星からの信号を受信する。車上側ＧＮＳＳ受信機２２は、車上側ＧＮＳＳアンテナ２１が受信した信号に基づいて測位をする。地上側処理部３４は、固定点位置情報と地上側ＧＮＳＳ受信機３２による測位結果との比較に基づいて衛星測位システムの故障を検知する。地上側処理部３４は、衛星測位システムの故障を検知した時、停止命令を送信部３３に送信させる。車上側処理部２４は、受信部２３が送信部３３からの停止命令を受信した時、測位結果の出力を停止する。
【選択図】図１

【特許請求の範囲】

【請求項1】

衛星測位システムを利用して自車両の現在位置を測位するための自車位置測位システムであって、
車両に搭載された車上装置と、
地上に設置された地上装置とを備え、
前記地上装置は、所定の固定点に設置されて測位衛星からの信号を受信する地上側ＧＮＳＳアンテナと、前記信号に基づいて測位をする地上側ＧＮＳＳ受信機と、情報を送信する送信部と、前記地上側ＧＮＳＳ受信機及び送信部に接続された地上側処理部とを有し、
前記車上装置は、前記測位衛星からの信号を受信する車上側ＧＮＳＳアンテナと、前記信号に基づいて測位をする車上側ＧＮＳＳ受信機と、前記地上装置からの情報を受信する受信部と、前記車上側ＧＮＳＳ受信機及び受信部に接続された車上側処理部とを有し、
前記地上側処理部は、前記固定点の位置情報である固定点位置情報を予め記憶しており、その固定点位置情報と前記地上側ＧＮＳＳ受信機による測位結果との比較に基づいて衛星測位システムの故障を検知し、衛星測位システムの故障を検知した時、停止命令を前記送信部に送信させ、
前記車上側処理部は、前記受信部が前記停止命令を受信した時、測位結果の出力を停止することを特徴とする自車位置測位システム。

【請求項2】

前記車上装置は、前記車上側ＧＮＳＳアンテナ及び車上側ＧＮＳＳ受信機の組を複数有し、
前記車上側処理部は、複数の前記車上側ＧＮＳＳ受信機による測位結果の比較に基づいて前記車上側ＧＮＳＳ受信機の故障を検知し、前記車上側ＧＮＳＳ受信機の故障を検知した時、測位結果の出力を停止することを特徴とする請求項１に記載の自車位置測位システム。

【請求項3】

複数の前記車上側ＧＮＳＳ受信機の各々は、互いに独立して作られたソフトウェアによって測位をすることを特徴とする請求項２に記載の自車位置測位システム。

【発明の詳細な説明】

【技術分野】

【0001】

本発明は、衛星測位システムを用いて自車両の現在位置を測位するための自車位置測位システムに関する。

【背景技術】

【0002】

人工衛星からの信号を用いて位置を決定する衛星測位システム（ＧＮＳＳ）がある（例えば、非特許文献１参照）。衛星測位システムには、ＧＰＳ、準天頂衛星などがある。

【0003】

鉄道において、ＧＰＳを用いて車両の測位データを取得することが提案されている（例えば、特許文献１参照）。

【0004】

ところが、衛星測位の測位デバイスは、鉄道向けや保安装置用途として設計、製造されたものではなく、ＣＯＴＳ（Commercial Off-The-Shelf）と呼ばれる市販されているデバイスを用いるものが多い。なお、ＣＯＴＳは、国際規格で用いられている用語であり、日本産業規格では、商用既製品と和訳されている（ＪＩＳＣ５７５０－４－３：２０２１参照）。

【0005】

国際規格にＩＥＣ６２４２５「信号用の安全関連電子システム」がある。測位デバイスを保安装置（安全を保つための装置）として使用するためには、ＩＥＣ６２４２５などに示されているフェール・セフティ（Fail-safety）やアイテム間の独立性、リスクアセスメントによる安全機能の確立及びその機能のＴＦＴＲ（Tolerable Functional Failure Rate、許容機能故障率）とそのＴＦＴＲに該当するＳＩＬ（Safety Integrity Level、安全性インテグリティレベル）による技術的手法など、一定の条件がある。

【0006】

このため、測位デバイスは、測位精度だけではなく、ＣＯＴＳ（商用既製品）の使用と、国際規格における保安装置としての技術的な条件とを両立させる必要がある。

【0007】

なお、ＩＥＣ６２４２５は、欧州規格ＥＮ５０１２９が国際規格化されたものであり、ＪＩＳ化されていないため、日本産業標準調査会（ＪＩＳＣ）による和訳が無い用語が含まれる。ＩＥＣ６００５０－１９２をＪＩＳ化したＪＩＳＺ８１１５：２０１９「ディペンダビリティ（総合信頼性）用語」によれば、アイテムとは、対象となるものであり、例えば、個々の部品、構成品、デバイス、機能ユニット、機器、サブシステム、又はシステムである。フェール・セフティは、故障時に安全を保つことができるシステムの性質である（同ＪＩＳ参照）。国内の鉄道分野では、フェール・セフティに対応する用語にフェールセーフがある。フェールセーフは、装置が故障した場合でも安全側状態になり、危険側に動作しないことである（ＪＩＳＥ３０１３：２０２２「鉄道信号保安用語」参照）。

【0008】

国際規格ＩＥＣ６２４２５におけるフェール・セフティについて説明する。同規格は、リスクの高いＳＩＬ３又はＳＩＬ４と指定された機能について、その機能を実装するシステム等にある一定のルールに基づいてフェール・セフティを実現することを求めている。図２（ａ）（ｂ）（ｃ）に示すように、ＩＥＣ６２４２５には、フェール・セフティを実現する方法が３つあり、これら３つを単独又は組み合わせて実現することが規定されている。

【0009】

図２（ａ）は、複合フェール・セフティ（Composite fail-safety）を示す。複合フェール・セフティでは、２つのアイテム（アイテムＡ及びアイテムＢ）を比較し、一致しない場合、又はいずれかのアイテムの故障が検知された場合に、出力を停止する。

【0010】

図２（ｂ）は、反応的フェール・セフティ（Reactive fail-safety）を示す。反応的フェール・セフティでは、アイテム（アイテムＡ）の出力を監視し、故障が検知された場合に、出力を停止する。

【0011】

図２（ｃ）は、固有（本来備わった）フェール・セフティ（Inherent fail-safety）を示す。固有フェール・セフティでは、アイテム（アイテムＡ）が故障すれば、安全側の出力がされる。

【0012】

複合フェール・セフティと反応的フェール・セフティでは、検知及び停止（Detection and Negation）が行われる。これらの検知及び停止において、必要な事項が複数ある。それらの事項について説明する。

【0013】

１つめは、アイテム間の独立である。アイテムの故障を検知する際に、故障検知するデバイスが共通の原因で故障を起こすことがないよう、アイテム間の独立性（アイテム独立性）が重要とされている。

【0014】

２つめは、ＳＤＴ（Safe Down Time、安全ダウンタイム）と安全性の関係である。図３に示すように、故障検知し安全側遷移する検知及び停止時間（Detection and Negation Time）がＳＤＴと定義される。このＳＤＴが、システム構成した際の危険側故障出力をするまでの長さが、システム全体の安全性に影響を与えないかどうか評価する必要がある。

【0015】

３つめは、ＳＤＲ（Safe Down Rate、安全ダウン率）と安全性の関係である。故障検知し安全側遷移する頻度（Detection and Negation Rate）をＳＤＲと定義される。このＳＤＲが、ＴＦＦＲ（許容機能故障率）と整合しているかどうかの評価を行う必要がある。

【0016】

ＩＥＣ６２４２５において重要とされているアイテム独立性についてさらに説明する。同規格には、アイテム独立を担保することにより共通原因故障（ＣＣＦ：Common Cause Failure）を防ぐことが決められている。このアイテム独立性は、表１に示すタイプＡ～タイプＤの４つの観点で確認される。

【0017】

【表1】

【0018】

安全性インテグリティレベルのＳＩＬ３又はＳＩＬ４の機能を実装するハードウェアについて、アイテム間の静電結合や電磁結合を防ぐことは、タイプＡの対策である。

【0019】

アイテム全体に影響のある環境影響、電源及び入出力について適切に対処を行うことは、タイプＣの対策である。

【0020】

タイプＢについては、アイテム間によるデータ伝送によって、情報が共有されることにより独立性が阻害されることに対する影響を評価する。

【0021】

タイプＤについては、共通に接続されている外部の機器の機能を活用することによる独立性の阻害について確認する。

【0022】

ソフトウェアを用いてアイテムの機能を実装する場合、アイテムとソフトウェアの関係と独立性を評価する必要がある。例えば、図２（ａ）におけるアイテムＡの故障検知とアイテムＢの故障検知に同じソフトウェアを使用する場合、そのソフトウェアに起因するエラーは検知できない。アイテムＡとアイテムＢに同じソフトウェアを使用する場合も、同様の問題がある。この問題について、複合フェール・セフティ（Composite fail-safety）を実現する際に同じハードウェアデザインのアイテムを複数使用するとき、同一のソフトウェアを使用する場合の対処方法と、異なるソフトウェアを使用してソフトウェアダイバシティを確保する対処方法がある。

【0023】

鉄道保安システムがしばしば参照するＩＥＣ６２２７９「鉄道分野：通信，信号及び処理システム 鉄道の制御，保護システム用ソフトウェア」によれば、ソフトウェアダイバシティは必須とはされておらず、ＳＩＬ（安全性インテグリティレベル）に応じてソフトウェアの管理と試験の厳格度を調整することによって対処することになっている。同一のソフトウェアを使用する場合には、ソフトウェアにエラーがあると必ず共通原因故障（ＣＣＦ）となるため、アイテム独立性を阻害する大きな原因になりうる。このため、ソフトウェアの品質を向上させることによって共通原因故障が発生する蓋然性を低下させることがＩＥＣ６２２７９の基本的な考え方である。

【0024】

しかし、ＣＯＴＳデバイス（商用既製品デバイス）において、ＩＥＣ６２２７９が規定する管理手法によってソフトウェアが作成されていることはまずないと考えられる。これがＣＯＴＳデバイスを保安装置に使用する上での大きな問題点となる。

【0025】

保安装置に測位デバイスを使用する場合、複合フェール・セフティ（Composite Fail-safety）と固有フェール・セフティ（Inherent Fail-safety）の両者を採用し安全性を確保する方法がある。例えば、図４に示すように、従来から、複数の速度発電機を異なる車軸に取り付けることによる方法がある。この方法は、速度発電機が故障と判断される場合は、速度情報を０とするＳＤＲ（Safe Down Rate）を設計と製作により確保し、かつ、タイプＡの独立性については十分な離隔確保による結合の防止、タイプＣの独立性については、異なる車軸から回転数を取得することにより、物理的な独立性を確保することに基づく。また２つの速度を比較し、積分する装置については、既存の保安装置のハードウェアを使用し、ソフトウェアも既存の保安装置と同じ管理手法をとる方法である。この方法は、ＩＥＣ６２４２５及びＩＥＣ６２２７９が制定される以前からとられている方法であるが、ソフトウェアの管理についての厳密性を除けば、今の規格と照らし合わせてもそれほど矛盾が存在しない。

【0026】

次に、ＧＮＳＳ（衛星測位システム）を使用する場合について検討する。図５は、単純に速度発電機をＧＮＳＳ受信機に変更した構成を示す。２つのＧＮＳＳ受信機の出力を比較し、演算する装置については、ＩＥＣ６２４２５及びＩＥＣ６２２７９に準拠する。この構成が、速度発電機を使用する構成（図４参照）と異なる面は、以下の２つに集約される。

【0027】

第１の異なる面として、図５に示す構成は、受信しているＧＮＳＳ衛星は共通であり、また電波伝搬経路もＧＮＳＳのアンテナ離隔が確保できない限りほぼ同一である。電離層における影響など広範囲にわたってほとんど同一であるものは、複数のアンテナを設置しても、列車編成の前後程度の離隔では排除できないからである。このため、複数のＧＮＳＳ受信機を列車編成に搭載しても、ＧＮＳＳ受信機への入力における共通原因故障の排除は困難である。

【0028】

自動車の分野では、図５に似た構成として、例えば、車両用電子機器およびその故障診断方法が知られている（特許文献２参照）。この機器及び方法では、２組のＧＰＳアンテナ及びＧＰＳ受信機が車室内スペースを隔てて離反配置される。これにより、一方のＧＰＳ受信機が他方のＧＰＳ受信機に悪影響を与えることが防がれる。これは、図５におけるＧＮＳＳ受信機（ＧＰＳ受信機）のタイプＡの対策となっている。しかし、受信するＧＰＳ衛星が共通であるので、例えば、ＧＰＳ衛星又は電離層が原因で測位精度が低下すると、共通原因故障となり、その故障を検知することは困難である。つまり、ＧＮＳＳアンテナ（ＧＰＳアンテナ）のタイプＣの対策が保安装置には不十分である。

【0029】

第２の異なる面として、ＧＮＳＳ受信機は、速度発電機とは異なり、ソフトウェアを有する。そこで、安全機能のＳＩＬに整合したソフトウェアのＩＥＣ６２２７９の管理手法を採用し、安全性の正当化をすることが考えられる。しかし、ＧＮＳＳ受信ハードウェアのみＣＯＴＳを使用し、測位アルゴリズムをＩＥＣ６２２７９に整合した管理手法で作成することは、ＣＯＴＳを使用するコストメリットを減殺する。

【0030】

これらの２つの異なる面に対応して、位置測定においてＧＮＳＳ受信機を用いた構成（図５参照）には、２つの課題がある。

【0031】

第１の課題は、外部影響による独立性（タイプＣ）の阻害である。その外部影響として、衛星系の故障と、電波伝搬上の電離層の異常伝搬がある。これらの故障を検知してシステムを停止させる（Detection and Negation）ことが安全機能となる。このため、衛星系の故障と電波伝搬上の異常伝搬を検知すればよいことになる。

【0032】

衛星系の故障は、準天頂衛星（「みちびき」登録商標）の仕様書によると、予期せずサービスエラーとなることを示す指標であるＩＳＦ（Integrity Status Flag、完全性状態フラグ）が１の際のサービスエラー頻度は１０^－８／時間以下とされている。この数値は、重要な保安装置に設定されるＴＨＲ（Tolerable Hazard Rate、許容危険率）と比較しほぼ上限であるため、ＴＨＲの概念のみでいえば、衛星の不安全故障は一定程度担保されている。ただし、より悪い状況であるＩＳＦ＝０となった場合、ユーザーのシステムが検知及び停止（Detection and Negation）を行うとすると、この機能がＴＦＦＲ（許容機能故障率）を満たすように処置することは依然課題として残る。

【0033】

また、ＩＳＦ＝１の際のサービスエラー頻度が１０^－８／時間以下としても、このことだけで、ＩＥＣ６２４２５規格適合とすることができず、規格適合性を条件にされた場合についての課題は残る。

【0034】

次に、衛星系の規格適合は考えず、一定のＴＨＲ（許容危険率）は担保されていると考え、ＩＳＦ＝０となった時の安全動作をＧＮＳＳ受信機で規格に適合するような方法で担保することが考えられる。例えば、図６に示す構成は、ＩＳＦ＝０であれば停止、すなわち安全側動作をする。しかし、ＧＮＳＳ受信機であるアイテムＡ、Ｂが所要のＴＦＦＲ（許容機能故障率）を満たしながらＩＳＦを出力できるかどうかの、ソフトウェア及びハードウェアの安全性の議論が生じてしまう。ここまでいけば、ある一定の割り切りを行うことも考えとしてあり、それを否定するものではないが、規格適合性としては課題が生じる。

【0035】

要するに、国際規格に適合するためには、衛星系の故障を把握し、その情報を用いて確実に検知及び停止（Detection and Negation）をすることを定量的に述べることが必要となる。

【0036】

第２の課題は、ＧＮＳＳ受信機がソフトウェアを有することである。ＧＮＳＳ受信機は、ＲＦ信号（無線周波数信号）を中間周波数までダウンコンバートし、ＩＱ復調を行い、拡散符号と相関をとり、符号を取り出すところまでは一般の無線受信機と同じである。反面、ＧＮＳＳの測位アルゴリズムの実装は、アプリケーションソフトウェアそのものであり、仮にワンチップ化されていてもロジックの実装という意味ではソフトウェアと大きく変わるところがない。保安装置にＧＮＳＳ受信機を使用する場合、測位が誤った値を出すと、一般的には非常に重大な結果をもたらすと評価されることとなり、測位機能に厳しいＴＦＦＲ（許容機能故障率）が求められることとなる。このため、このＴＦＦＲに相当するＳＩＬ（安全性インテグリティレベル）及びＳＳＩＬ（Software SIL、ソフトウェア安全性インテグリティレベル）が割り当てられ、ＧＮＳＳ受信機にはＳＳＩＬのレベルに合わせた規格の要求する管理手法などが必要となる。しかしながら、ＣＯＴＳ（商用既製品）中心のＧＮＳＳ受信機のソフトウェアを、規格の要求する管理手法で作成することは現時点ではあまり現実的な解とは言えない。

【先行技術文献】

【特許文献】

【0037】

【特許文献1】特開２００３－２００８２９号公報

【特許文献2】特開２００１－２０８８２３号公報

【非特許文献】

【0038】

【非特許文献1】ＪＩＳ Ｂ ７９１２－８：２０１８「測量機器の現場試験手順－第８部：ＧＮＳＳ（ＲＴＫ）」

【発明の概要】

【発明が解決しようとする課題】

【0039】

本発明は、上記問題を解決するものであり、安全性が向上した自車位置測位システムを提供することを目的とする。

【課題を解決するための手段】

【0040】

本発明の自車位置測位システムは、衛星測位システムを利用して自車両の現在位置を測位するためのシステムであって、車両に搭載された車上装置と、地上に設置された地上装置とを備え、前記地上装置は、所定の固定点に設置されて測位衛星からの信号を受信する地上側ＧＮＳＳアンテナと、前記信号に基づいて測位をする地上側ＧＮＳＳ受信機と、情報を送信する送信部と、前記地上側ＧＮＳＳ受信機及び送信部に接続された地上側処理部とを有し、前記車上装置は、前記測位衛星からの信号を受信する車上側ＧＮＳＳアンテナと、前記信号に基づいて測位をする車上側ＧＮＳＳ受信機と、前記地上装置からの情報を受信する受信部と、前記車上側ＧＮＳＳ受信機及び受信部に接続された車上側処理部とを有し、前記地上側処理部は、前記固定点の位置情報である固定点位置情報を予め記憶しており、その固定点位置情報と前記地上側ＧＮＳＳ受信機による測位結果との比較に基づいて衛星測位システムの故障を検知し、衛星測位システムの故障を検知した時、停止命令を前記送信部に送信させ、前記車上側処理部は、前記受信部が前記停止命令を受信した時、測位結果の出力を停止することを特徴とする。

【0041】

この自車位置測位システムにおいて、前記車上装置は、前記車上側ＧＮＳＳアンテナ及び車上側ＧＮＳＳ受信機の組を複数有し、前記車上側処理部は、複数の前記車上側ＧＮＳＳ受信機による測位結果の比較に基づいて前記車上側ＧＮＳＳ受信機の故障を検知し、前記車上側ＧＮＳＳ受信機の故障を検知した時、測位結果の出力を停止することが好ましい。

【0042】

この自車位置測位システムにおいて、複数の前記車上側ＧＮＳＳ受信機の各々は、互いに独立して作られたソフトウェアによって測位をすることが好ましい。

【発明の効果】

【0043】

本発明の自車位置測位システムによれば、地上装置が固定点位置情報と地上側ＧＮＳＳ受信機による測位結果との比較に基づいて衛星測位システムの故障を検知し、車上装置の車上側処理部が測位結果の出力を停止するので、衛星系の故障と電波伝搬上の異常伝搬を検知でき、安全性が向上する。

【図面の簡単な説明】

【0044】

【図1】図１は本発明の一実施形態に係る自車位置測位システムのブロック構成図である。

【図2】図２（ａ）（ｂ）（ｃ）は国際規格ＩＥＣ６２４２５によるフェール・セフティの技術手法の説明図である。

【図3】図３は国際規格における安全ダウンタイム（ＳＤＴ）の概念を示す図である。

【図4】図４は従来の速度発電機による距離測定のブロック図である。

【図5】図５は衛星測位システムによる測位の例を示すブロック図である。

【図6】図６は準天頂衛星の完全性状態フラグ（ＩＳＦ）を活用した測位の例を示すブロック図である。

【発明を実施するための形態】

【0045】

本発明の一実施形態に係る自車位置測位システムについて図１を参照して説明する。自車位置測位システム１は、衛星測位システムを利用して自車両の現在位置を測位するためのシステムである。自車位置測位システム１は、車上装置２と、地上装置３とを備える。車上装置２は、車両に搭載される。地上装置３は、地上に設置される。

【0046】

地上装置３は、地上側ＧＮＳＳアンテナ３１と、地上側ＧＮＳＳ受信機３２と、送信部３３と、地上側処理部３４とを有する。地上側ＧＮＳＳアンテナ３１は、所定の固定点Ｐに設置されて測位衛星からの信号を受信する。地上側ＧＮＳＳ受信機３２は、地上側ＧＮＳＳアンテナ３１が受信した信号に基づいて測位をする。送信部３３は、情報を送信する。地上側処理部３４は、地上側ＧＮＳＳ受信機３２及び送信部３３に接続されている。

【0047】

車上装置２は、車上側ＧＮＳＳアンテナ２１と、車上側ＧＮＳＳ受信機２２と、受信部２３と、車上側処理部２４とを有する。車上側ＧＮＳＳアンテナ２１は、測位衛星からの信号を受信する。車上側ＧＮＳＳ受信機２２は、車上側ＧＮＳＳアンテナ２１が受信した信号に基づいて測位をする。受信部２３は、地上装置３からの情報を受信する。車上側処理部２４は、車上側ＧＮＳＳ受信機２２及び受信部２３に接続されている。

【0048】

地上側処理部３４は、固定点Ｐの位置情報である固定点位置情報を予め記憶している。地上側処理部３４は、その固定点位置情報と地上側ＧＮＳＳ受信機３２による測位結果との比較に基づいて衛星測位システムの故障を検知する。地上側処理部３４は、衛星測位システムの故障を検知した時、停止命令を送信部３３に送信させる。

【0049】

車上側処理部２４は、受信部２３が送信部３３からの停止命令を受信した時、測位結果の出力を停止する。車上側処理部２４は、停止命令を受信しないとき、測位結果を出力する。

【0050】

車上装置２は、車上側ＧＮＳＳアンテナ２１（２１Ａ、２１Ｂ）及び車上側ＧＮＳＳ受信機２２（２２Ａ、２２Ｂ）の組を複数有する。図１では、車上側ＧＮＳＳアンテナ２１Ａと車上側ＧＮＳＳ受信機２２Ａが組を成し、車上側ＧＮＳＳアンテナ２１Ｂと車上側ＧＮＳＳ受信機２２Ｂが組を成している。車上側処理部２４は、複数の車上側ＧＮＳＳ受信機２２Ａ、２２Ｂによる測位結果の比較に基づいて車上側ＧＮＳＳ受信機２２（２１Ａ又は２１Ｂ）の故障を検知する。車上側処理部２４は、車上側ＧＮＳＳ受信機２２の故障を検知した時、測位結果の出力を停止する。

【0051】

複数の車上側ＧＮＳＳ受信機２２Ａ、２２Ｂの各々は、互いに独立して作られたソフトウェアによって測位をする。

【0052】

自車位置測位システム１についてさらに詳述する。自車位置測位システム１が利用する衛星測位システムは、ＧＮＳＳ（Global Navigation Satellite System）である。ＧＮＳＳは、人工衛星からの信号を用いて位置を決定する衛星測位システムの総称であり、例えば、ＧＰＳや準天頂衛星などである（非特許文献１における用語及び定義参照）。

【0053】

車上装置２は車両に搭載されるので、車両と一緒に移動する。自車位置測位システム１は、その車両、すなわち自車両の現在位置を測位する。地上装置３は、地上に設置され、移動しない。

【0054】

地上側ＧＮＳＳアンテナ３１は、測位衛星（ＧＮＳＳ衛星）からの信号を受信するＧＮＳＳアンテナであり、予め決められた、すなわち所定の固定点Ｐに設置される。固定点Ｐは、固定の地点である。測位衛星の軌道は高度３万ｋｍを超えているので、固定点Ｐは、車両が走行する区間の近くにある必要はない。このため、地上装置３は、複数の車両の車上装置２で共用される。固定点Ｐの位置情報である固定点位置情報は、予め測定され、正確に分かっている。固定点位置情報は、地上側処理部３４に記憶されている。

【0055】

地上側ＧＮＳＳアンテナ３１と固定点Ｐとの間には、ＩＥＣ６２４２５におけるタイプＣの独立性があることになる（表１参照）。

【0056】

地上側ＧＮＳＳ受信機３２は、ＧＮＳＳ受信機である。そのＧＮＳＳ受信機のソフトウェアは、国際規格（ＩＥＣ６２４２５及びＩＥＣ６２２７９）が要求する管理手法で作成されている必要はなく、地上側ＧＮＳＳ受信機３２は、ＣＯＴＳ（商用既製品）のＧＮＳＳ受信機であってもよい。地上側ＧＮＳＳ受信機３２による測位結果は、固定点Ｐの位置の測定値である。

【0057】

地上側ＧＮＳＳ受信機３２（アイテムＸ）と固定点Ｐとの間には、ＩＥＣ６２４２５におけるタイプＣの独立性があることになる（表１参照）。

【0058】

送信部３３は、データ通信装置である。送信部３３が送信する情報は、無線データ通信を介して車上装置２の受信部２３によって受信される。なお、送信部３３が直接的に受信部２３に無線データ通信を行わなくてもよく、伝送路の一部に有線があってもよい。

【0059】

地上側処理部３４は、ＣＰＵ及びメモリ等を有し、ソフトウェアを実行することによって機能する。地上側処理部３４は、例えば、プログラマブルロジックコントローラである。地上側処理部３４は、固定点位置情報と、地上側ＧＮＳＳ受信機３２による測位結果とを比較する。固定点位置情報と測位結果の違い（２点間距離）は、衛星測位システムを用いた測位の誤差である。地上側処理部３４は、固定点位置情報と測位結果の違い（２点間距離）が所定の地上用判定閾値を超えている場合、測位の誤差が過大であるので、衛星測位システムが故障していると検知する。そして、地上側処理部３４は、衛星測位システムの故障を検知した時、停止命令を送信部３３に送信させる。なお、停止命令は、情報の一種である。

【0060】

これにより、自車位置測位システム１は、衛星系の故障と電波伝搬上の異常伝搬を検知してシステムを停止させる（Detection and Negation）ことができる。

【0061】

車上側ＧＮＳＳアンテナ２１は、ＧＮＳＳアンテナである。本実施形態では、車上側ＧＮＳＳアンテナ２１として、車上側ＧＮＳＳアンテナ２１Ａ、２１Ｂの２つが車両に搭載される。車上側ＧＮＳＳアンテナ２１Ａと車上側ＧＮＳＳアンテナ２１Ｂは、同じ車両上、又は複数の車両で編成された列車編成において、互いに離して搭載される。車両が移動しても、車上側ＧＮＳＳアンテナ２１Ａと車上側ＧＮＳＳアンテナ２１Ｂとの間の距離は変化しない。

【0062】

車上側ＧＮＳＳ受信機２２は、ＧＮＳＳ受信機である。そのＧＮＳＳ受信機のソフトウェアは、国際規格（ＩＥＣ６２４２５及びＩＥＣ６２２７９）が要求する管理手法に準拠して作成されている必要はなく、車上側ＧＮＳＳ受信機２２は、ＣＯＴＳ（商用既製品）のＧＮＳＳ受信機であってもよい。車上側ＧＮＳＳ受信機２２による測位結果は、車上側ＧＮＳＳアンテナ２１の現在位置である。

【0063】

本実施形態では、車上側ＧＮＳＳ受信機２２として、車上側ＧＮＳＳ受信機２２Ａ、２２Ｂの２つが車両に搭載される。車上側ＧＮＳＳ受信機２２Ａは、車上側ＧＮＳＳアンテナ２１Ａが受信した信号に基づいて測位をする。車上側ＧＮＳＳ受信機２２Ａによる測位結果は、車上側ＧＮＳＳアンテナ２１Ａの現在位置である。車上側ＧＮＳＳ受信機２２Ｂは、車上側ＧＮＳＳアンテナ２１Ｂが受信した信号に基づいて測位をする。車上側ＧＮＳＳ受信機２２Ｂによる測位結果は、車上側ＧＮＳＳアンテナ２１Ｂの現在位置である。車上側ＧＮＳＳ受信機２２Ａ、２２Ｂの現在位置は、自車両の現在位置である。

【0064】

車上側ＧＮＳＳ受信機２２Ａ（アイテムＡ）と車上側ＧＮＳＳアンテナ２１Ｂ（アイテムＢ）との間には、ＩＥＣ６２４２５におけるタイプＡの独立性があることになる（表１参照）。

【0065】

受信部２３は、無線データ受信機である。受信部２３が受信する情報は、地上装置３の送信部３３が送信した情報である。

【0066】

車上側処理部２４は、ＣＰＵ及びメモリ等を有し、ソフトウェアを実行することによって機能する。車上側処理部２４は、例えば、プログラマブルロジックコントローラである。車上側処理部２４のソフトウェアは、国際規格（ＩＥＣ６２４２５及びＩＥＣ６２２７９）が要求する管理手法に準拠して作成される。

【0067】

車上側処理部２４は、通常動作として、車上側ＧＮＳＳ受信機２２による測位結果に基づいて、自車両の現在位置の測位結果を出力する。本実施形態では、２つの車上側ＧＮＳＳ受信機２２Ａ、２２Ｂがある。このため、例えば、車上側処理部２４は、列車の先頭に近い方の車上側ＧＮＳＳアンテナ２１（２１Ａ又は２１Ｂ）に接続された車上側ＧＮＳＳ受信機２２（２２Ａ又は２２Ｂ）の測位結果を出力する。なお、測位結果（緯度及び経度）からキロ程への変換は、車上側処理部２４で行っても、自車位置測位システム１外の装置で行ってもよい。

【0068】

車上側処理部２４は、受信部２３が停止命令を受信した時、測位結果の出力を停止する。つまり、地上側処理部３４が衛星測位システムの故障を検知した時、自車位置測位システム１は、測位衛星を利用した測位結果を出力しない。なお、慣用技術として、測位衛星が利用できないときには、速度発電機が用いられる。

【0069】

また、車上側処理部２４は、複数の車上側ＧＮＳＳ受信機２２Ａ、２２Ｂによる測位結果を比較する。車上側ＧＮＳＳ受信機２２Ａ、２２Ｂによる測位結果が、所定の車上用判定閾値を超えている場合、測位の誤差が過大であるので、車上側ＧＮＳＳ受信機２２Ａ、２２Ｂの少なくとも一方が故障していると検知する。車上用判定閾値は、車上側ＧＮＳＳアンテナ２１Ａ、２１Ｂの搭載位置の違いを考慮したものとされる。車上側処理部２４は、車上側ＧＮＳＳ受信機２２Ａ、２２Ｂによるそれぞれの測位結果をキロ程に変換し、車上側アンテナ２１Ａ、２１Ｂの搭載位置の違い（列車の先頭からの距離の違い）を除去する補正をした後に比較してもよい。車上側処理部２４は、車上側ＧＮＳＳ受信機２２Ａ、２２Ｂの故障を検知した時、測位結果の出力を停止する。つまり、車上側処理部２４が車上側ＧＮＳＳ受信機２２の故障を検知した時、自車位置測位システム１は、測位衛星を利用した測位結果を出力しない。

【0070】

車上側ＧＮＳＳ受信機２２Ａが測位を行うソフトウェアと、車上側ＧＮＳＳ受信機２２Ｂが測位を行うソフトウェアは、互いに独立して作られたものである。例えば、車上側ＧＮＳＳ受信機２２Ａと車上側ＧＮＳＳ受信機２２Ｂは、異なるメーカが独自に開発したものが用いられる。

【0071】

このように、自車位置測位システム１では、車上側ＧＮＳＳ受信機２２による測位結果が誤ったとしても共通原因故障とならないような対処をすることにより、測位結果を比較する車上側処理部２４には国際規格に基づく安全要求を行い、測位結果自体には安全要求を行わないこととした。測位結果が誤ったところで、車上側ＧＮＳＳ受信機２２Ａ、２２Ｂが同時に誤る可能性が非常に低いため、車上側処理部２４のみに安全性を求めれば、検知及び停止（Detection and Negation）によってシステムの安全性が確保される。

【0072】

以上、本実施形態に係る自車位置測位システム１によれば、地上装置３が固定点位置情報と地上側ＧＮＳＳ受信機３２による測位結果との比較に基づいて衛星測位システムの故障を検知し、車上装置２の車上側処理部２４が測位結果の出力を停止するので、衛星系の故障と電波伝搬上の異常伝搬を検知でき、安全性が向上する。

【0073】

複数の車上側ＧＮＳＳ受信機２２Ａ、２２Ｂによる測位結果の比較に基づいて車上側ＧＮＳＳ受信機２２Ａ、２２Ｂの故障を検知し、測位結果の出力を停止することにより、車上側ＧＮＳＳ受信機２２Ａ、２２Ｂが同時に誤る可能性は低いので、自車位置測位システム１の安全性が向上する。

【0074】

複数の前記車上側ＧＮＳＳ受信機２２Ａ、２２Ｂの各々は、互いに独立して作られたソフトウェアによって測位をすることにより、車上側ＧＮＳＳ受信機２２Ａ、２２Ｂが同時に誤る可能性が一層低くなり、自車位置測位システム１の安全性がさらに向上する。これにより、自車位置測位システム１は、商用既製品（ＣＯＴＳ）のＧＮＳＳ受信機を用いつつ、安全性が確保される。

【0075】

なお、本発明は、上記の実施形態の構成に限られず、発明の要旨を変更しない範囲で種々の変形が可能である。例えば、地上側処理部３４は、衛星測位システムの故障を検知しないとき、所定周期で故障非検知情報を送信部３３に送信させてもよい。受信部２３が所定周期より長い期間に故障非検知情報を受信しないことにより、地上装置３の故障と、地上装置３から車上装置２への伝送路の故障が検知される。

【符号の説明】

【0076】

１ 自車位置測位システム
２ 車上装置
２１、２１Ａ、２１Ｂ 車上側ＧＮＳＳアンテナ
２２、２２Ａ、２２Ｂ 車上側ＧＮＳＳ受信機
２３ 受信部
２４ 車上側処理部
３ 地上装置
３１ 地上側ＧＮＳＳアンテナ
３２ 地上側ＧＮＳＳ受信機
３３ 送信部
３４ 地上側処理部
Ｐ 固定点

【図1】

【図2】

【図3】

【図4】

【図5】

【図6】