JP2004304723A

JP2004304723A - Earth station, satellite control apparatus and its system

Info

Publication number: JP2004304723A
Application number: JP2003098179A
Authority: JP
Inventors: Junichi Murawaki; 順一村脇
Original assignee: Mitsubishi Electric Corp
Current assignee: Mitsubishi Electric Corp
Priority date: 2003-04-01
Filing date: 2003-04-01
Publication date: 2004-10-28

Abstract

<P>PROBLEM TO BE SOLVED: To enable a highjack of a satellite and damage to the satellite or the like by an ill-intended third party to be eliminated without mounting a complicated process such as decrypting encrypted commands on the satellite side. <P>SOLUTION: A satelite control system is provided with an earth station apparatus 4 for cross-checking a command transmitted to the satellite 3 with the command returned from the satellite 3 to transmit a directive for rejecting the commands when both commands are incongruous with each other, and a satellite control apparatus 5 for eliminating unauthorized commands from an execution waiting cue 22 when receiving the directive for rejecting the unauthorized commands from the earth station 1. <P>COPYRIGHT: (C)2005,JPO&NCIPI

Description

【０００１】
【発明の属する技術分野】
この発明は、地上局からの指示により衛星を制御する衛星制御システムと、その衛星制御システムを構成する地上局装置及び衛星制御装置とに関するものである。
【０００２】
【従来の技術】
従来の衛星制御システムは、衛星が地上局から制御用のコマンドを受信すると、そのコマンドを地上局に返送するとともに、そのコマンドを実行待ちキューに格納し、その後、地上局からエグゼキュート信号を受信すると、そのコマンドを実行する（以下の非特許文献１を参照）。
したがって、悪意の第三者からコマンドとエグゼキュート信号が送信された場合でも、衛星の制御が行われてしまうので、悪意の第三者による衛星の乗っ取りや、衛星の損傷等の可能性を排除することができない。
【０００３】
そこで、以下の特許文献１には、衛星に対するセキュリティーを高める観点から、地上局が制御用のコマンドを衛星に送信する際、そのコマンドを暗号化して送信し、衛星が暗号化されているコマンドを復号化して実行待ちキューに格納する衛星制御システムが開示されている。
【０００４】
【非特許文献１】
「衛星通信システムエンジニアリング」啓学出版発行（第１３０頁から第１３１頁）
【特許文献１】
特開平５−２４４１５２号公報（第４頁から第２２頁、図３）
【０００５】
【発明が解決しようとする課題】
従来の衛星制御システムは以上のように構成されているので、地上局が制御用のコマンドを衛星に送信する際、そのコマンドを暗号化して送信すれば、悪意の第三者による衛星の乗っ取りや、衛星の損傷等の可能性を排除することができるが、衛星側に暗号化されているコマンドを復号化する復号機能を搭載する必要が生じるため、衛星のコストアップや重量増加を招くなどの課題があった。
【０００６】
この発明は上記のような課題を解決するためになされたもので、衛星側に暗号化されているコマンドを復号化するような複雑な処理を実装することなく、悪意の第三者による衛星の乗っ取りや、衛星の損傷等の可能性を排除することができる地上局装置、衛星制御装置及び衛星制御システムを得ることを目的とする。
【０００７】
【課題を解決するための手段】
この発明に係る衛星制御システムは、衛星に向けて送信したコマンドと衛星から返送されたコマンドを照合し、双方のコマンドが一致しない場合にはコマンドの廃棄指令を衛星に送信する地上局装置と、地上局からコマンドの廃棄指令を受信すると、実行待ちキューから当該コマンドを削除する衛星制御装置とを設けたものである。
【０００８】
【発明の実施の形態】
以下、この発明の実施の一形態を説明する。
実施の形態１．
図１はこの発明の実施の形態１による衛星制御システムを示す構成図であり、図において、地上局１は地上局装置４を搭載し、衛星３は衛星制御装置５を搭載している。また、地上局１の近隣には、地上局１と同様の機能を有している近隣地上局２が設置されている。
図２は地上局装置４及び衛星制御装置５の内部構成を示す構成図であり、図において、コマンド送信部１１は衛星３の制御内容が記述されているコマンドを衛星３に向けて送信する。コマンド受信部１２は衛星３から返送されたコマンドを受信する。なお、コマンド送信部１１及びコマンド受信部１２から送受信手段が構成されている。
【０００９】
コマンド収集部１３はコマンド送信部１１から送信されたコマンドと同一のコマンドを収集するとともに、近隣地上局２から衛星３に向けて送信されたコマンドと同一のコマンドを収集する。ただし、コマンド収集部１３はコマンド送信部１１からコマンドが送信されていれば、近隣地上局２からコマンドを収集せず、コマンド送信部１１からコマンドが送信された形跡がないとき、近隣地上局２から衛星３に向けてコマンドが送信されていれば、近隣地上局２からコマンドを収集するようにしてもよい。
照合部１４はコマンド収集部１３により収集されたコマンドとコマンド受信部１２により受信されたコマンドを照合する。なお、コマンド収集部１３及び照合部１４から照合手段が構成されている。
実行制御部１５は照合部１４の照合結果がコマンドの一致を示す場合、そのコマンドの実行指令を衛星３に送信し、照合部１４の照合結果がコマンドの不一致を示す場合、そのコマンドの廃棄指令を衛星３に送信する実行制御手段を構成している。
【００１０】
コマンド受付部２１は地上局１から衛星３の制御内容が記述されているコマンドを受信すると、そのコマンドを実行待ちキュー２２に格納するとともに、そのコマンドを地上局１に返送するコマンド受付手段を構成している。実行待ちキュー２２は例えばＦＩＦＯメモリから構成され、先に受信されたコマンドから順番に格納し、最後に受信されたコマンドを最後尾に格納する。
指令受信部２３は地上局１からコマンドの実行指令又は廃棄指令を受信する指令受信手段を構成している。
コマンド管理部２４は指令受信部２３がコマンドの実行指令を受信すると、そのコマンドの実行フラグをＯＦＦからＯＮに変更して実行を許可し、指令受信部２３がコマンドの廃棄指令を受信すると、実行待ちキュー２２から当該コマンドを削除するコマンド管理手段を構成している。
図３はこの発明の実施の形態１による衛星制御システムの処理内容を示すフローチャートである。
【００１１】
次に動作について説明する。
例えば、衛星３の姿勢を変える必要がある場合などにおいては、地上局装置４のコマンド送信部１１が衛星３の制御内容が記述されているコマンドを衛星３に向けて送信する（ステップＳＴ１）。ここでは、説明の簡単化のため、１つのコマンドを送信するものについて説明するが、複数のコマンドからなるコマンド列を送信するようにしてもよい。
衛星制御装置５のコマンド受付部２１は、地上局１からコマンドが送信されると、そのコマンドを受信し（ステップＳＴ２）、そのコマンドを実行待ちキュー２２に格納するとともに、そのコマンドを地上局１に返送する（ステップＳＴ３，ＳＴ４）。なお、コマンド受付部２１は、コマンドを実行待ちキュー２２に格納する際、まだ実行が許可されていない旨を示すＯＦＦのフラグと対にしてコマンドを格納する。
【００１２】
地上局装置４のコマンド受信部１２は、衛星３からコマンドが返送されると、そのコマンドを受信する。
地上局装置４のコマンド収集部１３は、コマンド受信部１２がコマンドを受信すると、コマンド送信部１１から送信されたコマンドと同一のコマンドを収集する。また、近隣地上局２から衛星３に向けて送信されたコマンドと同一のコマンドを収集する（ステップＳＴ５）。
ここで、近隣地上局２からもコマンドを収集する理由は、近隣地上局２から衛星３に向けてコマンドが送信されたのち、衛星３が移動することによって、地上局１及び近隣地上局２と衛星３の位置関係が変化することにより、コマンド送信部１１がコマンドを送信していない場合でも、コマンド受信部１２がコマンドを受信することがあるからである。
【００１３】
地上局装置４の照合部１４は、コマンド受信部１２により受信されたコマンドが、コマンド送信部１１や近隣地上局２から送信されたコマンドの返送コマンドではなく、悪意の第三者が衛星３に向けて送信した不正コマンドの可能性があるため、コマンド収集部１３により収集されたコマンドとコマンド受信部１２により受信されたコマンドを照合する（ステップＳＴ６）。
地上局装置４の実行制御部１５は、照合部１４の照合結果がコマンドの一致を示す場合、コマンド受信部１２により受信されたコマンドは衛星制御装置５により正当に受領されて返送されたコマンドであると認識し、そのコマンドの実行指令を衛星３に送信する（ステップＳＴ７）。
【００１４】
しかし、照合部１４の照合結果がコマンドの不一致を示す場合、コマンド受信部１２により受信されたコマンドは、悪意の第三者から衛星３に向けて不正に送信されたコマンドであると認識し、そのコマンドの廃棄指令を衛星３に送信する（ステップＳＴ８）。なお、地上局装置４から衛星３に向けて正当に送信されたコマンドであっても、何らかの理由によりコマンドが正常に受信されず、衛星３がコマンドの制御内容を誤認識する場合があるが、この場合も照合部１４の照合結果がコマンドの不一致を示し、そのコマンドの廃棄指令を衛星３に送信する。
また、コマンド送信部１１及び近隣地上局２の何れにおいても、コマンドの送信形跡がなく、コマンド収集部１３がコマンド送信部１１及び近隣地上局２の何れからもコマンドを収集することができない場合も、コマンド受信部１２により受信されたコマンドは、悪意の第三者から衛星３に向けて不正に送信されたコマンドであると認識し、そのコマンドの廃棄指令を衛星３に送信する（ステップＳＴ８）。
【００１５】
ここで、実行制御部１５が送信する実行指令又は廃棄指令には、コマンドを特定する整理番号等が付加されているものとする。
なお、近隣地上局２から収集するコマンドは、地上回線を利用して収集するので、悪意の第三者のコマンドが混入することはないと考えられる。
【００１６】
衛星制御装置５のコマンド管理部２４は、指令受信部２３が地上局１から実行待ちキュー２２に格納されているコマンドの実行指令を受信すると、そのコマンドの実行を許可するために、そのコマンドのフラグをＯＦＦからＯＮに変更する（ステップＳＴ９，ＳＴ１０）。
これにより、そのコマンドの実行の順番が巡ってくると、そのコマンドが実行され、衛星３の姿勢等が制御される。
ただし、指令受信部２３がコマンドの実行指令を受信する前に、実行待ちキュー２２が満杯になり、そのコマンドが実行待ちキュー２２に格納されているコマンドの中で最も古いコマンドであれば、そのコマンドは不正なコマンドであるか否かに拘わらず、実行待ちキュー２２から削除される。
【００１７】
衛星制御装置５のコマンド管理部２４は、地上局装置４の実行制御部１５により不正コマンドの送信が認識されることにより、指令受信部２３が実行待ちキュー２２に格納されている不正コマンドの廃棄指令を受信すると、実行待ちキュー２２から不正コマンドを削除する（ステップＳＴ１１）。
これにより、悪意の第三者が不正コマンドを衛星３に向けて送信したのち、悪意の第三者が不正コマンドの実行指令を衛星３に送信したとしても、未だ不正コマンドが実行されていなければ、その不正コマンドの実行を阻止することができる。
【００１８】
また、衛星制御装置５のコマンド管理部２４は、指令受信部２３がコマンドの廃棄指令を受信すると、コマンド削除の実行結果を地上局１に通知する（ステップＳＴ１２）。
コマンド削除の実行結果としては、図４に示すように、不正コマンドを正常に削除することができた場合、“成功”を示す実行結果を通知する。
また、不正コマンドが実行待ちキュー２２に存在するが、その不正コマンドが正に実行されている最中であるために不正コマンドを削除することができなかったような場合には、“削除失敗”を示す実行結果を通知する。
また、不正コマンドの実行が完了している場合のように不正コマンドが実行待ちキュー２２に存在していない場合、“該当無し”を示す実行結果を通知する。
地上局装置４の実行制御部１５は、衛星３からコマンド削除の実行結果の通知を受信すると（ステップＳＴ１３）、その実行結果を例えば表示するなどにより、地上局１の操作員にその事実を知らせる。
【００１９】
以上で明らかなように、この実施の形態１によれば、衛星３に向けて送信したコマンドと衛星３から返送されたコマンドを照合し、双方のコマンドが一致しない場合には不正なコマンドの廃棄指令を衛星３に送信する地上局装置４と、地上局１から不正コマンドの廃棄指令を受信すると、実行待ちキュー２２から不正コマンドを削除する衛星制御装置５とを設けるように構成したので、衛星３側で暗号化されているコマンドを復号化するような複雑な処理を実施することなく、悪意の第三者による衛星３の乗っ取りや、衛星３の損傷等の可能性を排除することができる効果を奏する。
【００２０】
実施の形態２．
図５はこの発明の実施の形態２による衛星制御システムを示す構成図であり、図６はこの発明の実施の形態２による衛星制御システムの処理内容を示すフローチャートである。
上記実施の形態１では、地上局装置４の実行制御部１５がコマンドの廃棄指令を衛星に送信しても、そのコマンドが実行中である場合や、既に、そのコマンドの実行が完了している場合には、悪意の第三者による衛星３の制御を阻止することができない。
そこで、この実施の形態２では、次のような処理を追加する。
【００２１】
地上局装置４の実行制御部１５は、上記実施の形態１と同様にコマンドの廃棄指令を衛星に送信したのち、衛星３から“削除失敗”を示す実行結果、または、“該当無し”を示す実行結果を受けると、そのコマンドと逆の制御内容が記述されている逆コマンドを生成し、その逆コマンドをコマンド送信部１１から衛星３に向けて送信させる（ステップＳＴ１４）。
例えば、逆コマンドには、悪意の第三者による不正なコマンドの制御内容が衛星３を右に１０度傾けるという内容であれば、不正なコマンドの実行内容を実質的にキャンセルするため、逆に衛星３を左に１０度傾けるという制御内容を記述する。
【００２２】
衛星制御装置５のコマンド受付部２１は、地上局１から逆コマンドが送信されると、その逆コマンドを受信し（ステップＳＴ１５）、その逆コマンドを実行待ちキュー２２に格納するとともに、その逆コマンドを地上局１に返送する（ステップＳＴ１６，ＳＴ１７）。なお、コマンド受付部２１は、逆コマンドを実行待ちキュー２２に格納する際、まだ実行が許可されていない旨を示すＯＦＦのフラグと対にして逆コマンドを格納する。
【００２３】
地上局装置４のコマンド受信部１２は、衛星３から逆コマンドが返送されると、その逆コマンドを受信する。
地上局装置４のコマンド収集部１３は、コマンド受信部１２が逆コマンドを受信すると、上述したように、コマンド送信部１１から衛星３に向けて逆コマンドが送信された場合には、コマンド送信部１１から送信された逆コマンドと同一の逆コマンドを収集する（ステップＳＴ１８）。また、近隣地上局２から衛星３に向けて逆コマンドが送信されていれば、その逆コマンドと同一の逆コマンドを収集する。
【００２４】
地上局装置４の照合部１４は、コマンド受信部１２により受信された逆コマンドが、コマンド送信部１１や近隣地上局２から送信された逆コマンドの返送コマンドではなく、悪意の第三者が衛星３に向けて送信した不正コマンドの可能性があるため、コマンド収集部１３により収集された逆コマンドとコマンド受信部１２により受信された逆コマンドを照合する（ステップＳＴ１９）。
地上局装置４の実行制御部１５は、照合部１４の照合結果がコマンドの一致を示す場合、コマンド受信部１２により受信されたコマンドは衛星制御装置５により正当に受領されて返送された逆コマンドであると認識し、その逆コマンドの実行指令を衛星３に送信する（ステップＳＴ２０）。
【００２５】
しかし、照合部１４の照合結果がコマンドの不一致を示す場合、コマンド受信部１２により受信されたコマンドは、悪意の第三者から衛星３に向けて不正に送信されたコマンドであると認識し、そのコマンドの廃棄指令を衛星３に送信する（ステップＳＴ８）。なお、地上局装置４から衛星３に向けて正当に送信された逆コマンドであっても、何らかの理由により逆コマンドが正常に送信されず、衛星３が逆コマンドの制御内容を誤認識する場合があるが、この場合も照合部１４の照合結果がコマンドの不一致を示し、そのコマンドの廃棄指令を衛星３に送信する。
また、コマンド送信部１１及び近隣地上局２の何れにおいても、逆コマンドの送信形跡がなく、コマンド収集部１３がコマンド送信部１１及び近隣地上局２の何れからもコマンドを収集することができない場合も、コマンド受信部１２により受信されたコマンドは、悪意の第三者から衛星３に向けて不正に送信されたコマンドであると認識し、そのコマンドの廃棄指令を衛星３に送信する（ステップＳＴ８）。
【００２６】
衛星制御装置５のコマンド管理部２４は、指令受信部２３が地上局１から実行待ちキュー２２に格納されている逆コマンドの実行指令を受信すると、その逆コマンドの実行を許可するために、その逆コマンドのフラグをＯＦＦからＯＮに変更する（ステップＳＴ２１，ＳＴ２２）。
これにより、その逆コマンドの実行の順番が巡ってくると、その逆コマンドが実行され、不正なコマンドの実行内容を実質的にキャンセルすることができる。
ただし、指令受信部２３が逆コマンドの実行指令を受信する前に、実行待ちキュー２２が満杯になり、その逆コマンドが実行待ちキュー２２に格納されているコマンドの中で最も古いコマンドであれば、その逆コマンドは不正なコマンドであるか否かに拘わらず、実行待ちキュー２２から削除される。
【００２７】
衛星制御装置５のコマンド管理部２４は、地上局装置４の実行制御部１５により不正コマンドの送信が認識されることにより、指令受信部２３が実行待ちキュー２２に格納されている不正コマンドの廃棄指令を受信すると、実行待ちキュー２２から不正コマンドを削除する（ステップＳＴ１１）。
【００２８】
以上で明らかなように、この実施の形態２によれば、実行制御部１５がコマンドの廃棄指令を衛星３に送信しても、そのコマンドが実行された場合、そのコマンドと逆の制御内容が記述されているコマンドをコマンド送信部１１から衛星３に向けて送信させるように構成したので、悪意の第三者による不正コマンドが実行されてしまっても、不正コマンドの実行内容を実質的にキャンセルすることができる効果を奏する。
【００２９】
実施の形態３．
図７はこの発明の実施の形態３による衛星制御システムを示す構成図であり、図８は地上局装置４及び衛星制御装置５の内部構成を示す構成図である。
図において、図１及び図２と同一符号は同一または相当部分を示すので説明を省略する。ハッシュ値受信部３１は衛星３から返送されたコマンドのハッシュ値を受信する送受信手段を構成している。
照合部３２はコマンド収集部１３により収集されたコマンドのハッシュ値を計算し、そのハッシュ値とハッシュ値受信部３１により受信されたハッシュ値を照合する照合手段を構成している。ただし、近隣地上局２がコマンドではなく、そのコマンドのハッシュ値を地上局１に送信する場合には、照合部３２が近隣地上局２から送信されたコマンドのハッシュ値を計算する必要はない。
コマンド受付部４１は地上局１から衛星３の制御内容が記述されているコマンドを受信すると、そのコマンドを実行待ちキュー２２に格納するとともに、そのコマンドのハッシュ値を計算して、そのハッシュ値を地上局１に返送するコマンド受付手段を構成している。
図９はこの発明の実施の形態３による衛星制御システムの処理内容を示すフローチャートである。
【００３０】
次に動作について説明する。
例えば、衛星３の姿勢を変える必要がある場合などにおいては、地上局装置４のコマンド送信部１１が衛星３の制御内容が記述されているコマンドを衛星３に向けて送信する（ステップＳＴ３１）。
衛星制御装置５のコマンド受付部４１は、地上局１からコマンドが送信されると、そのコマンドを受信し（ステップＳＴ３２）、そのコマンドを実行待ちキュー２２に格納する（ステップＳＴ３３）。また、そのコマンドのハッシュ値を計算し（例えば、ＭＤ５などのハッシュ関数にコマンドを代入してハッシュ値を計算する）、そのハッシュ値とコマンドの整理番号を地上局１に返送する（ステップＳＴ３４ａ，ＳＴ３４ｂ）。
【００３１】
この実施の形態３では、上記実施の形態１のように、コマンドを返送するのではなく、コマンドのハッシュ値を返送するが、コマンドのハッシュ値であれば、悪意の第三者が傍受に成功しても、コマンドの制御内容の把握が極めて困難である。
なお、コマンド受付部４１は、コマンドを実行待ちキュー２２に格納する際、まだ実行が許可されていない旨を示すＯＦＦのフラグと整理番号とコマンドを対応付けて格納する。
【００３２】
地上局装置４のハッシュ値受信部３１は、衛星３からハッシュ値と整理番号が返送されると、そのハッシュ値と整理番号を受信する。
地上局装置４のコマンド収集部１３は、ハッシュ値受信部３１がハッシュ値を受信すると、上述したように、コマンド送信部１１から衛星３に向けてコマンドが送信された場合には、コマンド送信部１１から送信されたコマンドと同一のコマンドを収集する（ステップＳＴ３５）。また、近隣地上局２から衛星３に向けてコマンドが送信されていれば、そのコマンドと同一のコマンドを収集する。なお、近隣地上局２において、コマンドのハッシュ値が計算されている場合には、近隣地上局２からハッシュ値を収集してもよい。
【００３３】
地上局装置４の照合部３２は、コマンド収集部１３がコマンドを収集すると、そのコマンドのハッシュ値を計算し（ステップＳＴ３６）、そのハッシュ値とハッシュ値受信部３１により受信されたハッシュ値を照合する（ステップＳＴ３７）。
地上局装置４の実行制御部１５は、照合部３２の照合結果がハッシュ値の一致を示す場合、ハッシュ値受信部３１により受信されたハッシュ値は衛星制御装置５により正当に受領されて返送されたコマンドのハッシュ値であると認識し、そのコマンドの実行指令を衛星３に送信する（ステップＳＴ３８）。
【００３４】
しかし、照合部３２の照合結果がハッシュ値の不一致を示す場合、ハッシュ値受信部３１により受信されたコマンドのハッシュ値は、悪意の第三者から不正に送信されたハッシュ値であると認識し、そのコマンドの廃棄指令を衛星３に送信する（ステップＳＴ３９）。なお、地上局装置４から衛星３に向けて正当に送信されたコマンドであっても、何らかの理由によりコマンドが正常に送信されず、衛星３がコマンドの制御内容を誤認識する場合があるが、この場合も照合部１４の照合結果がハッシュ値の不一致を示し、そのコマンドの廃棄指令を衛星３に送信する。
また、コマンド送信部１１及び近隣地上局２の何れにおいても、コマンドの送信形跡がなく、コマンド収集部１３がコマンド送信部１１及び近隣地上局２の何れからもコマンドを収集することができない場合も、ハッシュ値受信部３１により受信されたコマンドのハッシュ値は、悪意の第三者から不正に送信されたハッシュ値であると認識し、そのコマンドの廃棄指令を衛星３に送信する（ステップＳＴ３９）。
【００３５】
ここで、実行制御部１５が送信する実行指令又は廃棄指令には、コマンドを特定する整理番号が付加されているものとする。
なお、近隣地上局２から収集するコマンドは、地上回線を利用して収集するので、悪意の第三者のコマンドが混入することはないと考えられる。
【００３６】
衛星制御装置５のコマンド管理部２４は、指令受信部２３が地上局１から実行待ちキュー２２に格納されているコマンドの実行指令を受信すると、そのコマンドの実行を許可するために、そのコマンドのフラグをＯＦＦからＯＮに変更する（ステップＳＴ４０，ＳＴ４１）。
これにより、そのコマンドの実行の順番が巡ってくると、そのコマンドが実行され、衛星３の姿勢等が制御される。
ただし、指令受信部２３がコマンドの実行指令を受信する前に、実行待ちキュー２２が満杯になり、そのコマンドが実行待ちキュー２２に格納されているコマンドの中で最も古いコマンドであれば、そのコマンドは不正なコマンドであるか否かに拘わらず、実行待ちキュー２２から削除される。
【００３７】
衛星制御装置５のコマンド管理部２４は、地上局装置４の実行制御部１５により不正コマンドの送信が認識されることにより、指令受信部２３が実行待ちキュー２２に格納されている不正コマンドの廃棄指令を受信すると、実行待ちキュー２２から不正コマンドを削除する（ステップＳＴ４２）。
これにより、悪意の第三者が不正コマンドを衛星３に向けて送信したのち、悪意の第三者が不正コマンドの実行指令を衛星３に送信したとしても、未だ不正コマンドが実行されていなければ、その不正コマンドの実行を阻止することができる。
【００３８】
また、衛星制御装置５のコマンド管理部２４は、指令受信部２３がコマンドの廃棄指令を受信すると、コマンド削除の実行結果を地上局１に通知する（ステップＳＴ４３）。
地上局装置４の実行制御部１５は、衛星３からコマンド削除の実行結果の通知を受信すると（ステップＳＴ４４）、その実行結果を例えば表示するなどにより、地上局１の操作員にその事実を知らせる。
【００３９】
以上で明らかなように、この実施の形態３によれば、衛星３に向けて送信したコマンドのハッシュ値と、衛星３から返送されたコマンドのハッシュ値を照合し、双方のハッシュ値が一致しない場合には不正なコマンドの廃棄指令を衛星３に送信する地上局装置４と、地上局１から不正コマンドの廃棄指令を受信すると、実行待ちキュー２２から不正コマンドを削除する衛星制御装置５とを設けるように構成したので、衛星３側で暗号化されているコマンドを復号化するような複雑な処理を実施することなく、悪意の第三者による衛星３の乗っ取りや、衛星３の損傷等の可能性を排除することができる効果を奏する。
また、衛星制御装置５がコマンドの代わりにハッシュ値を返送するので、悪意の第三者がハッシュ値の傍受に成功しても、コマンドの制御内容を容易に把握することができない効果を奏する。
【００４０】
実施の形態４．
図１０はこの発明の実施の形態４による衛星制御システムを示す構成図であり、図１１はこの発明の実施の形態４による衛星制御システムの処理内容を示すフローチャートである。
上記実施の形態３では、地上局装置４の実行制御部１５がコマンドの廃棄指令を衛星に送信しても、そのコマンドが実行中である場合や、既に、そのコマンドの実行が完了している場合には、悪意の第三者による衛星３の制御を阻止することができない。
そこで、この実施の形態４では、次のような処理を追加する。
【００４１】
地上局装置４の実行制御部１５は、上記実施の形態３と同様にコマンドの廃棄指令を衛星に送信したのち、衛星３から“削除失敗”を示す実行結果、または、“該当無し”を示す実行結果を受けると（図１２を参照）、そのコマンドと逆の制御内容が記述されている逆コマンドを生成し、その逆コマンドをコマンド送信部１１から衛星３に向けて送信させる（ステップＳＴ４５）。
例えば、逆コマンドには、悪意の第三者による不正なコマンドの制御内容が衛星３を右に１０度傾けるという内容であれば、不正なコマンドの実行内容を実質的にキャンセルするため、逆に衛星３を左に１０度傾けるという制御内容を記述する。
【００４２】
なお、衛星制御装置５のコマンド管理部２４が削除失敗の実行結果を地上局１に送信する際、削除対象のコマンドも付属して送信する（ステップＳＴ４４）。削除対象のコマンドは、実行完了前であれば実行待ちキュー２２から整理番号をキーにして検索し、実行完了後であれば実行済コマンドリングバッファ（図１０を参照）から整理番号をキーにして検索する。また、実行完了後であれば、実行時刻も併せて地上局１に送信する。削除対象のコマンドが、正に実行中であった場合は、実行完了まで待った後、実行済みの場合と同じ処理を行う。
ただし、削除対象のコマンドが実行済コマンドリングバッファからも掃出されてしまう位古い場合は、削除結果通知に削除対象のコマンドを付属させることができず、削除結果通知は“該当無し”になる。
【００４３】
衛星制御装置５のコマンド受付部４１は、地上局１から逆コマンドが送信されると、その逆コマンドを受信し（ステップＳＴ４６）、その逆コマンドを実行待ちキュー２２に格納する（ステップＳＴ４７）。また、その逆コマンドのハッシュ値を計算し、そのハッシュ値と逆コマンドの整理番号を地上局１に返送する（ステップＳＴ４８，ＳＴ４９）。
なお、コマンド受付部４１は、逆コマンドを実行待ちキュー２２に格納する際、まだ実行が許可されていない旨を示すＯＦＦのフラグと対にして逆コマンドを格納する。
【００４４】
地上局装置４のハッシュ値受信部３１は、衛星３から逆コマンドのハッシュ値と整理番号が返送されると、そのハッシュ値と整理番号を受信する。
地上局装置４のコマンド収集部１３は、ハッシュ値受信部３１がハッシュ値を受信すると、上述したように、コマンド送信部１１から衛星３に向けて逆コマンドが送信された場合には、コマンド送信部１１から送信された逆コマンドと同一の逆コマンドを収集する（ステップＳＴ５０）。また、近隣地上局２から衛星３に向けて逆コマンドが送信されていれば、その逆コマンドと同一の逆コマンドを収集する。
【００４５】
地上局装置４の照合部３２は、コマンド収集部１３が逆コマンドを収集すると、その逆コマンドのハッシュ値を計算し（ステップＳＴ５１）、そのハッシュ値とハッシュ値受信部３１により受信されたハッシュ値を照合する（ステップＳＴ５２）。
地上局装置４の実行制御部１５は、照合部３２の照合結果がハッシュ値の一致を示す場合、ハッシュ値受信部３１により受信されたハッシュ値は衛星制御装置５により正当に受領されて返送された逆コマンドのハッシュ値であると認識し、その逆コマンドの実行指令を衛星３に送信する（ステップＳＴ５３）。
【００４６】
しかし、照合部３２の照合結果がハッシュ値の不一致を示す場合、ハッシュ値受信部３１により受信されたコマンドのハッシュ値は、悪意の第三者から不正に送信されたハッシュ値であると認識し、そのコマンドの廃棄指令を衛星３に送信する（ステップＳＴ３９）。なお、地上局装置４から衛星３に向けて正当に送信された逆コマンドであっても、何らかの理由により逆コマンドが正常に送信されず、衛星３が逆コマンドの制御内容を誤認識する場合があるが、この場合も照合部１４の照合結果がハッシュ値の不一致を示し、そのコマンドの廃棄指令を衛星３に送信する。
また、コマンド送信部１１及び近隣地上局２の何れにおいても、逆コマンドの送信形跡がなく、コマンド収集部１３がコマンド送信部１１及び近隣地上局２の何れからも逆コマンドを収集することができない場合も、ハッシュ値受信部３１により受信されたコマンドのハッシュ値は、悪意の第三者から不正に送信されたハッシュ値であると認識し、そのコマンドの廃棄指令を衛星３に送信する（ステップＳＴ３９）。
【００４７】
衛星制御装置５のコマンド管理部２４は、指令受信部２３が地上局１から実行待ちキュー２２に格納されている逆コマンドの実行指令を受信すると、その逆コマンドの実行を許可するために、その逆コマンドのフラグをＯＦＦからＯＮに変更する（ステップＳＴ５４，ＳＴ５５）。
これにより、その逆コマンドの実行の順番が巡ってくると、その逆コマンドが実行され、不正なコマンドの実行内容を実質的にキャンセルすることができる。
ただし、指令受信部２３が逆コマンドの実行指令を受信する前に、実行待ちキュー２２が満杯になり、その逆コマンドが実行待ちキュー２２に格納されているコマンドの中で最も古いコマンドであれば、その逆コマンドは不正なコマンドであるか否かに拘わらず、実行待ちキュー２２から削除される。
【００４８】
衛星制御装置５のコマンド管理部２４は、地上局装置４の実行制御部１５により不正コマンドの送信が認識されることにより、指令受信部２３が実行待ちキュー２２に格納されている不正コマンドの廃棄指令を受信すると、実行待ちキュー２２から不正コマンドを削除する（ステップＳＴ４２）。
【００４９】
以上で明らかなように、この実施の形態４によれば、実行制御部１５がコマンドの廃棄指令を衛星３に送信しても、そのコマンドが実行された場合、衛星３から当該コマンドを収集して、そのコマンドと逆の制御内容が記述されているコマンドをコマンド送信部１１から衛星３に向けて送信させるように構成したので、悪意の第三者による不正コマンドが実行されてしまっても、不正コマンドの実行内容を実質的にキャンセルすることができる効果を奏する。
【００５０】
【発明の効果】
以上のように、この発明によれば、衛星に向けて送信したコマンドと衛星から返送されたコマンドを照合し、双方のコマンドが一致しない場合にはコマンドの廃棄指令を衛星に送信する地上局装置と、地上局からコマンドの廃棄指令を受信すると、その実行待ちキューからコマンドを削除する衛星制御装置とを設けるように構成したので、衛星側に暗号化されているコマンドを復号化するような複雑な処理を実装することなく、悪意の第三者による衛星の乗っ取りや、衛星の損傷等の可能性を排除することができる効果がある。
【図面の簡単な説明】
【図１】この発明の実施の形態１による衛星制御システムを示す構成図である。
【図２】地上局装置及び衛星制御装置の内部構成を示す構成図である。
【図３】この発明の実施の形態１による衛星制御システムの処理内容を示すフローチャートである。
【図４】削除実行結果を示す説明図である。
【図５】この発明の実施の形態２による衛星制御システムを示す構成図である。
【図６】この発明の実施の形態２による衛星制御システムの処理内容を示すフローチャートである。
【図７】この発明の実施の形態３による衛星制御システムを示す構成図である。
【図８】地上局装置及び衛星制御装置の内部構成を示す構成図である。
【図９】この発明の実施の形態３による衛星制御システムの処理内容を示すフローチャートである。
【図１０】この発明の実施の形態４による衛星制御システムを示す構成図である。
【図１１】この発明の実施の形態４による衛星制御システムの処理内容を示すフローチャートである。
【図１２】削除実行結果を示す説明図である。
【符号の説明】
１地上局、２近隣地上局、３衛星、４地上局装置、５衛星制御装置、１１コマンド送信部（送受信手段）、１２コマンド受信部（送受信手段）、１３コマンド収集部（照合手段）、１４照合部（照合手段）、１５実行制御部（実行制御手段）、２１コマンド受付部（コマンド受付手段）、２２実行待ちキュー、２３指令受信部（指令受信手段）、２４コマンド管理部（コマンド管理手段）、３１ハッシュ値受信部（送受信手段）、３２照合部（照合手段）、４１コマンド受付部（コマンド受付手段）。[0001]
TECHNICAL FIELD OF THE INVENTION
The present invention relates to a satellite control system that controls a satellite according to an instruction from a ground station, and a ground station device and a satellite control device that constitute the satellite control system.
[0002]
[Prior art]
When a satellite receives a control command from a ground station, the conventional satellite control system returns the command to the ground station, stores the command in an execution queue, and then receives an execute signal from the ground station. Then, the command is executed (see Non-Patent Document 1 below).
Therefore, even if a command and execute signal are transmitted from a malicious third party, the satellite is controlled, eliminating the possibility of a malicious third party taking over the satellite or damaging the satellite. Can not do it.
[0003]
Therefore, from the viewpoint of enhancing the security for the satellite, when the ground station transmits a control command to the satellite, the command is encrypted and transmitted, and the satellite transmits the encrypted command. A satellite control system that decodes and stores it in a queue is disclosed.
[0004]
[Non-patent document 1]
"Satellite Communication System Engineering" published by Keigaku Shuppan (pages 130 to 131)
[Patent Document 1]
JP-A-5-244152 (pages 4 to 22, FIG. 3)
[0005]
[Problems to be solved by the invention]
Since the conventional satellite control system is configured as described above, when a ground station transmits a control command to the satellite, if the command is encrypted and transmitted, malicious third parties can take over the satellite and Although it is possible to eliminate the possibility of damage to the satellite, it is necessary to mount a decryption function to decrypt the encrypted command on the satellite side, which leads to an increase in satellite cost and weight. There were challenges.
[0006]
SUMMARY OF THE INVENTION The present invention has been made to solve the above-described problem, and a malicious third party cannot use a satellite to implement complicated processing such as decrypting an encrypted command on the satellite side. An object of the present invention is to provide a ground station device, a satellite control device, and a satellite control system that can eliminate the possibility of takeover, damage to a satellite, and the like.
[0007]
[Means for Solving the Problems]
A satellite control system according to the present invention checks a command transmitted to a satellite and a command returned from the satellite, and when both commands do not match, a ground station apparatus transmitting a command discard command to the satellite, When a command discard command is received from the ground station, a satellite control device for deleting the command from the execution waiting queue is provided.
[0008]
BEST MODE FOR CARRYING OUT THE INVENTION
Hereinafter, an embodiment of the present invention will be described.
Embodiment 1 FIG.
FIG. 1 is a configuration diagram showing a satellite control system according to Embodiment 1 of the present invention. In the figure, a ground station 1 has a ground station device 4 mounted thereon, and a satellite 3 has a satellite control device 5 mounted thereon. In the vicinity of the ground station 1, a nearby ground station 2 having the same function as the ground station 1 is installed.
FIG. 2 is a configuration diagram showing the internal configuration of the ground station device 4 and the satellite control device 5. In the figure, a command transmission unit 11 transmits a command describing the control content of the satellite 3 to the satellite 3. The command receiving unit 12 receives the command returned from the satellite 3. The command transmitting unit 11 and the command receiving unit 12 constitute a transmitting / receiving unit.
[0009]
The command collection unit 13 collects the same command as the command transmitted from the command transmission unit 11 and collects the same command as the command transmitted from the neighboring ground station 2 to the satellite 3. However, if the command is transmitted from the command transmitting unit 11, the command collecting unit 13 does not collect the command from the neighboring ground station 2, and if there is no evidence that the command has been transmitted from the command transmitting unit 11, the neighboring ground station 2 If the command is transmitted from the satellite to the satellite 3, the command may be collected from the neighboring ground station 2.
The collating unit 14 collates the command collected by the command collecting unit 13 with the command received by the command receiving unit 12. Note that the command collecting unit 13 and the matching unit 14 constitute a matching unit.
The execution control unit 15 transmits an execution command of the command to the satellite 3 when the collation result of the collation unit 14 indicates that the command matches, and when the collation result of the collation unit 14 indicates that the command does not match, the command to discard the command. Is transmitted to the satellite 3.
[0010]
When the command receiving unit 21 receives a command describing the control content of the satellite 3 from the ground station 1, the command receiving unit 21 stores the command in the execution waiting queue 22 and configures a command receiving unit that returns the command to the ground station 1. are doing. The execution queue 22 is composed of, for example, a FIFO memory, and stores commands received first in order, and stores the last received command at the end.
The command receiving unit 23 constitutes a command receiving unit that receives a command execution command or a discard command from the ground station 1.
When the command receiving unit 23 receives the command execution command, the command management unit 24 changes the execution flag of the command from OFF to ON to permit execution. When the command receiving unit 23 receives the command discard command, the command management unit 24 executes the command. The command management unit deletes the command from the waiting queue 22.
FIG. 3 is a flowchart showing the processing content of the satellite control system according to the first embodiment of the present invention.
[0011]
Next, the operation will be described.
For example, when it is necessary to change the attitude of the satellite 3, the command transmitting unit 11 of the ground station device 4 transmits a command describing the control content of the satellite 3 to the satellite 3 (step ST1). Here, for the sake of simplicity, a description will be given of a case where one command is transmitted. However, a command string including a plurality of commands may be transmitted.
When a command is transmitted from the ground station 1, the command receiving unit 21 of the satellite control device 5 receives the command (step ST2), stores the command in the execution queue 22, and stores the command in the ground station 1. (Steps ST3 and ST4). When storing the command in the execution queue 22, the command receiving unit 21 stores the command in a pair with an OFF flag indicating that execution has not been permitted.
[0012]
When the command is returned from the satellite 3, the command receiving unit 12 of the ground station device 4 receives the command.
When the command receiving unit 12 receives the command, the command collecting unit 13 of the ground station device 4 collects the same command as the command transmitted from the command transmitting unit 11. Further, the same command as the command transmitted from the neighboring ground station 2 to the satellite 3 is collected (step ST5).
Here, the reason for collecting commands from the neighboring ground station 2 is that, after the command is transmitted from the neighboring ground station 2 to the satellite 3, the satellite 3 moves, and the ground station 1 and the neighboring ground station 2 communicate with each other. This is because the command receiving unit 12 may receive a command even when the command transmitting unit 11 is not transmitting a command due to a change in the positional relationship of the satellite 3.
[0013]
The matching unit 14 of the ground station device 4 determines that the command received by the command receiving unit 12 is not a return command of the command transmitted from the command transmitting unit 11 or the neighboring ground station 2, but a malicious third party sends to the satellite 3. Since there is a possibility of an unauthorized command transmitted to the user, the command collected by the command collection unit 13 is compared with the command received by the command reception unit 12 (step ST6).
When the collation result of the collation unit 14 indicates that the commands match, the execution control unit 15 of the ground station device 4 determines that the command received by the command reception unit 12 is a command that has been properly received and returned by the satellite control device 5. It recognizes that there is, and transmits an execution command of the command to the satellite 3 (step ST7).
[0014]
However, if the collation result of the collation unit 14 indicates that the commands do not match, the command received by the command reception unit 12 is recognized as a command illegally transmitted to the satellite 3 from a malicious third party, A command to discard the command is transmitted to the satellite 3 (step ST8). It should be noted that even if a command is properly transmitted from the ground station device 4 to the satellite 3, the command may not be received normally for some reason, and the satellite 3 may erroneously recognize the control content of the command. Also in this case, the collation result of the collation unit 14 indicates that the command does not match, and a command to discard the command is transmitted to the satellite 3.
Further, there is also a case where neither the command transmitting unit 11 nor the nearby ground station 2 has any trace of transmitting the command, and the command collecting unit 13 cannot collect the command from any of the command transmitting unit 11 and the nearby ground station 2. The command received by the command receiving unit 12 is recognized as a command illegally transmitted from the malicious third party to the satellite 3, and a command to discard the command is transmitted to the satellite 3 (step ST8). .
[0015]
Here, it is assumed that the execution command or the discard command transmitted by the execution control unit 15 is added with a serial number or the like for specifying the command.
Since the command collected from the neighboring ground station 2 is collected using the ground line, it is considered that a malicious third-party command is not mixed.
[0016]
When the command receiving unit 23 receives from the ground station 1 a command to execute the command stored in the execution queue 22, the command management unit 24 of the satellite control device 5 sets the command to permit execution of the command. The flag is changed from OFF to ON (steps ST9 and ST10).
Thus, when the order of execution of the command comes, the command is executed and the attitude of the satellite 3 is controlled.
However, before the command receiving unit 23 receives a command execution command, the execution queue 22 becomes full, and if the command is the oldest command among the commands stored in the execution queue 22, The command is deleted from the execution queue 22 regardless of whether or not the command is an invalid command.
[0017]
When the execution control unit 15 of the ground station device 4 recognizes the transmission of the unauthorized command, the command management unit 24 of the satellite control device 5 causes the command receiving unit 23 to discard the unauthorized command stored in the execution queue 22. When the command is received, the unauthorized command is deleted from the execution queue 22 (step ST11).
Thus, even if the malicious third party sends an illegal command to the satellite 3 after sending the illegal command to the satellite 3, if the malicious third party sends a command to execute the illegal command to the satellite 3, if the malicious command has not been executed yet. , The execution of the unauthorized command can be prevented.
[0018]
When the command receiving unit 23 receives the command discarding command, the command management unit 24 of the satellite control device 5 notifies the ground station 1 of the execution result of the command deletion (step ST12).
As an execution result of the command deletion, as shown in FIG. 4, when an illegal command can be normally deleted, an execution result indicating "success" is notified.
In addition, when an unauthorized command is present in the execution queue 22 but the unauthorized command cannot be deleted because the unauthorized command is being executed, “deletion failure” is displayed. Is notified.
In addition, when the execution of the unauthorized command is completed, such as when the execution of the unauthorized command is completed, the execution result indicating “not applicable” is notified.
Upon receiving the command deletion execution result notification from the satellite 3 (step ST13), the execution control unit 15 of the ground station device 4 notifies the operator of the ground station 1 of the fact by displaying the execution result, for example. .
[0019]
As is clear from the above, according to the first embodiment, the command transmitted to the satellite 3 and the command returned from the satellite 3 are collated, and if the two commands do not match, the invalid command is discarded. Since the ground station device 4 for transmitting the command to the satellite 3 and the satellite control device 5 for deleting the invalid command from the execution waiting queue 22 when receiving the command for discarding the invalid command from the ground station 1 are provided, the satellite It is possible to eliminate the possibility of a malicious third party taking over the satellite 3 or damaging the satellite 3 without performing complicated processing such as decrypting an encrypted command on the 3 side. It works.
[0020]
Embodiment 2 FIG.
FIG. 5 is a configuration diagram showing a satellite control system according to Embodiment 2 of the present invention, and FIG. 6 is a flowchart showing processing contents of the satellite control system according to Embodiment 2 of the present invention.
In the first embodiment, even if the execution control unit 15 of the ground station apparatus 4 transmits a command discard command to the satellite, the command is being executed or the command has already been executed. In this case, control of the satellite 3 by a malicious third party cannot be prevented.
Therefore, in the second embodiment, the following processing is added.
[0021]
After transmitting a command discarding command to the satellite in the same manner as in the first embodiment, the execution control unit 15 of the ground station device 4 indicates an execution result indicating “deletion failed” from the satellite 3 or “N / A”. When the execution result is received, a reverse command in which the control content reverse to the command is described is generated, and the reverse command is transmitted from the command transmitting unit 11 to the satellite 3 (step ST14).
For example, if the content of the control of the unauthorized command by the malicious third party is to tilt the satellite 3 to the right by 10 degrees, the execution content of the unauthorized command is substantially canceled. Control contents for tilting the satellite 3 to the left by 10 degrees will be described.
[0022]
When the reverse command is transmitted from the ground station 1, the command receiving unit 21 of the satellite control device 5 receives the reverse command (step ST15), stores the reverse command in the execution waiting queue 22, and stores the reverse command. Is returned to the ground station 1 (steps ST16 and ST17). When storing the reverse command in the execution waiting queue 22, the command receiving unit 21 stores the reverse command in a pair with an OFF flag indicating that execution has not been permitted.
[0023]
When the reverse command is returned from the satellite 3, the command receiving unit 12 of the ground station device 4 receives the reverse command.
When the command receiving unit 12 receives the reverse command, the command collecting unit 13 of the ground station apparatus 4 transmits the command to the command transmitting unit 11 when the command transmitting unit 11 transmits the reverse command to the satellite 3 as described above. A reverse command identical to the reverse command transmitted from No. 11 is collected (step ST18). If a reverse command is transmitted from the neighboring ground station 2 to the satellite 3, the same reverse command as the reverse command is collected.
[0024]
The collating unit 14 of the ground station apparatus 4 determines that the reverse command received by the command receiving unit 12 is not a return command of the reverse command transmitted from the command transmitting unit 11 or the neighboring ground station 2, but a malicious third party uses the satellite. Since there is a possibility of an unauthorized command transmitted to the third command, the reverse command collected by the command collecting unit 13 and the reverse command received by the command receiving unit 12 are collated (step ST19).
When the collation result of the collation unit 14 indicates that the commands match, the execution control unit 15 of the ground station apparatus 4 determines that the command received by the command reception unit 12 is correctly received by the satellite control device 5 and returned. And transmits an execution command of the reverse command to the satellite 3 (step ST20).
[0025]
However, if the collation result of the collation unit 14 indicates that the commands do not match, the command received by the command reception unit 12 is recognized as a command illegally transmitted to the satellite 3 from a malicious third party, A command to discard the command is transmitted to the satellite 3 (step ST8). Even if the reverse command is properly transmitted from the ground station apparatus 4 to the satellite 3, the reverse command may not be transmitted normally for some reason, and the satellite 3 may erroneously recognize the control content of the reverse command. However, also in this case, the collation result of the collation unit 14 indicates that the command does not match, and a command to discard the command is transmitted to the satellite 3.
Also, in the case where neither the command transmitting unit 11 nor the nearby ground station 2 has any trace of transmitting the reverse command, and the command collecting unit 13 cannot collect the command from any of the command transmitting unit 11 and the nearby ground station 2. Also, the command received by the command receiving unit 12 is recognized as a command illegally transmitted from the malicious third party to the satellite 3, and a command to discard the command is transmitted to the satellite 3 (step ST8). ).
[0026]
When the command receiving unit 23 of the satellite control device 5 receives the execution command of the reverse command stored in the execution waiting queue 22 from the ground station 1, the command management unit 24 sets the command to permit execution of the reverse command. The flag of the reverse command is changed from OFF to ON (steps ST21 and ST22).
Thus, when the order of execution of the reverse command comes, the reverse command is executed, and the execution contents of the illegal command can be substantially canceled.
However, before the command receiving unit 23 receives the execution command of the reverse command, the execution queue 22 becomes full, and if the reverse command is the oldest command among the commands stored in the execution queue 22, , Regardless of whether the reverse command is an invalid command or not, the command is deleted from the execution queue 22.
[0027]
When the execution control unit 15 of the ground station device 4 recognizes the transmission of the unauthorized command, the command management unit 24 of the satellite control device 5 causes the command receiving unit 23 to discard the unauthorized command stored in the execution queue 22. When the command is received, the unauthorized command is deleted from the execution queue 22 (step ST11).
[0028]
As is clear from the above, according to the second embodiment, even if the execution control unit 15 transmits a command discarding command to the satellite 3, if the command is executed, the control content opposite to the command is changed. Since the described command is configured to be transmitted from the command transmitting unit 11 to the satellite 3, even if a malicious third party executes an unauthorized command, the execution contents of the unauthorized command are substantially canceled. It has an effect that can be done.
[0029]
Embodiment 3 FIG.
FIG. 7 is a configuration diagram showing a satellite control system according to Embodiment 3 of the present invention, and FIG. 8 is a configuration diagram showing an internal configuration of the ground station device 4 and the satellite control device 5.
In the figure, the same reference numerals as those in FIGS. The hash value receiving section 31 constitutes a transmitting / receiving means for receiving a hash value of a command returned from the satellite 3.
The matching unit 32 constitutes a matching unit that calculates a hash value of the command collected by the command collecting unit 13 and matches the hash value with the hash value received by the hash value receiving unit 31. However, when the neighboring ground station 2 transmits the hash value of the command to the ground station 1 instead of the command, the matching unit 32 does not need to calculate the hash value of the command transmitted from the neighboring ground station 2.
When receiving the command describing the control content of the satellite 3 from the ground station 1, the command receiving unit 41 stores the command in the execution queue 22, calculates the hash value of the command, and stores the hash value in the command. It constitutes command receiving means for returning to the ground station 1.
FIG. 9 is a flowchart showing processing contents of the satellite control system according to the third embodiment of the present invention.
[0030]
Next, the operation will be described.
For example, when the attitude of the satellite 3 needs to be changed, the command transmitting unit 11 of the ground station device 4 transmits a command describing the control content of the satellite 3 to the satellite 3 (step ST31).
When a command is transmitted from the ground station 1, the command receiving unit 41 of the satellite control device 5 receives the command (step ST32) and stores the command in the execution queue 22 (step ST33). Also, the hash value of the command is calculated (for example, the command is substituted into a hash function such as MD5 to calculate the hash value), and the hash value and the reference number of the command are returned to the ground station 1 (step ST34a, ST34a). ST34b).
[0031]
In the third embodiment, a hash value of the command is returned instead of returning the command as in the first embodiment. However, if the hash value of the command is used, a malicious third party can successfully intercept the command. Even so, it is extremely difficult to grasp the control contents of the command.
When storing the command in the execution queue 22, the command receiving unit 41 stores an OFF flag indicating that execution is not yet permitted, a serial number, and the command in association with each other.
[0032]
When the hash value and the serial number are returned from the satellite 3, the hash value receiving unit 31 of the ground station device 4 receives the hash value and the serial number.
When the hash value reception unit 31 receives the hash value, the command collection unit 13 of the ground station device 4 transmits the command to the satellite 3 when the command is transmitted from the command transmission unit 11 to the satellite 3 as described above. A command identical to the command transmitted from 11 is collected (step ST35). If a command is transmitted from the neighboring ground station 2 to the satellite 3, the same command as that command is collected. When the hash value of the command is calculated in the neighboring ground station 2, the hash value may be collected from the neighboring ground station 2.
[0033]
When the command collecting unit 13 collects the command, the matching unit 32 of the ground station device 4 calculates a hash value of the command (step ST36), and compares the hash value with the hash value received by the hash value receiving unit 31. (Step ST37).
When the matching result of the matching unit 32 indicates that the hash values match, the execution control unit 15 of the ground station device 4 receives the hash value received by the hash value receiving unit 31 properly by the satellite control device 5 and returns it. The command is recognized as the hash value of the command, and an execution command of the command is transmitted to the satellite 3 (step ST38).
[0034]
However, when the collation result of the collation unit 32 indicates that the hash values do not match, it is recognized that the hash value of the command received by the hash value reception unit 31 is a hash value illegally transmitted from a malicious third party. Then, a command to discard the command is transmitted to the satellite 3 (step ST39). Even if the command is properly transmitted from the ground station device 4 to the satellite 3, the command may not be transmitted normally for some reason, and the satellite 3 may erroneously recognize the control content of the command. Also in this case, the collation result of the collation unit 14 indicates that the hash values do not match, and a command to discard the command is transmitted to the satellite 3.
Further, there is also a case where neither the command transmitting unit 11 nor the nearby ground station 2 has any trace of transmitting the command, and the command collecting unit 13 cannot collect the command from any of the command transmitting unit 11 and the nearby ground station 2. Recognize that the hash value of the command received by hash value receiving unit 31 is a hash value that has been illegally transmitted from a malicious third party, and transmits a command to discard the command to satellite 3 (step ST39). .
[0035]
Here, it is assumed that the execution command or the discard command transmitted by the execution control unit 15 has a reference number identifying the command added thereto.
Since the command collected from the neighboring ground station 2 is collected using the ground line, it is considered that a malicious third-party command is not mixed.
[0036]
When the command receiving unit 23 receives from the ground station 1 a command to execute the command stored in the execution queue 22, the command management unit 24 of the satellite control device 5 sets the command to permit execution of the command. The flag is changed from OFF to ON (steps ST40 and ST41).
Thus, when the order of execution of the command comes, the command is executed and the attitude of the satellite 3 is controlled.
However, before the command receiving unit 23 receives a command execution command, the execution queue 22 becomes full, and if the command is the oldest command among the commands stored in the execution queue 22, The command is deleted from the execution queue 22 regardless of whether or not the command is an invalid command.
[0037]
When the execution control unit 15 of the ground station device 4 recognizes the transmission of the unauthorized command, the command management unit 24 of the satellite control device 5 causes the command receiving unit 23 to discard the unauthorized command stored in the execution queue 22. When the command is received, the unauthorized command is deleted from the execution queue 22 (step ST42).
Thus, even if the malicious third party sends an illegal command to the satellite 3 after sending the illegal command to the satellite 3, if the malicious third party sends a command to execute the illegal command to the satellite 3, if the malicious command has not been executed yet. , The execution of the unauthorized command can be prevented.
[0038]
When the command receiving unit 23 receives the command discard command, the command management unit 24 of the satellite control device 5 notifies the ground station 1 of the execution result of the command deletion (step ST43).
Upon receiving the command deletion execution result notification from the satellite 3 (step ST44), the execution control unit 15 of the ground station device 4 notifies the operator of the ground station 1 of the fact by, for example, displaying the execution result. .
[0039]
As is clear from the above, according to the third embodiment, the hash value of the command transmitted to the satellite 3 is compared with the hash value of the command returned from the satellite 3, and the two hash values do not match. In this case, the ground station device 4 that transmits the command for discarding the illegal command to the satellite 3 and the satellite control device 5 that deletes the command from the execution queue 22 when the command for discarding the illegal command is received from the ground station 1 are transmitted. Since the satellite 3 is configured to perform such processing, it is not necessary to perform complicated processing such as decoding a command encrypted on the satellite 3 side, and it is possible for a malicious third party to take over the satellite 3 or damage the satellite 3. This has the effect of eliminating the possibility.
Further, since the satellite control device 5 returns the hash value instead of the command, even if a malicious third party succeeds in intercepting the hash value, the effect is that the control contents of the command cannot be easily grasped.
[0040]
Embodiment 4 FIG.
FIG. 10 is a block diagram showing a satellite control system according to the fourth embodiment of the present invention, and FIG. 11 is a flowchart showing processing contents of the satellite control system according to the fourth embodiment of the present invention.
In the third embodiment, even if the execution control unit 15 of the ground station device 4 transmits a command to discard a command to the satellite, the command is being executed or the command has already been executed. In this case, control of the satellite 3 by a malicious third party cannot be prevented.
Therefore, in the fourth embodiment, the following processing is added.
[0041]
After transmitting a command discard command to the satellite in the same manner as in the third embodiment, the execution control unit 15 of the ground station device 4 indicates an execution result indicating “deletion failure” from the satellite 3 or “not applicable”. Upon receiving the execution result (see FIG. 12), a reverse command describing the reverse control content of the command is generated, and the reverse command is transmitted from the command transmitting unit 11 to the satellite 3 (step ST45). .
For example, if the content of the control of the unauthorized command by the malicious third party is to tilt the satellite 3 to the right by 10 degrees, the execution content of the unauthorized command is substantially canceled. Control contents for tilting the satellite 3 to the left by 10 degrees will be described.
[0042]
When the command management unit 24 of the satellite control device 5 transmits the execution result of the deletion failure to the ground station 1, the command to be deleted is also transmitted together (step ST44). The command to be deleted is searched from the execution queue 22 using the serial number as a key if the command is not yet completed, and if the command is not completed, the serial number is used as a key from the executed command ring buffer (see FIG. 10). Search for. If the execution is completed, the execution time is also transmitted to the ground station 1 together. If the command to be deleted is being executed, it waits until the execution is completed, and then performs the same processing as when it has been executed.
However, if the command to be deleted is too old to be flushed from the executed command ring buffer, the command to be deleted cannot be attached to the deletion result notification, and the deletion result notification becomes “not applicable”. .
[0043]
When the reverse command is transmitted from the ground station 1, the command receiving unit 41 of the satellite control device 5 receives the reverse command (step ST46) and stores the reverse command in the execution queue 22 (step ST47). Further, the hash value of the reverse command is calculated, and the hash value and the serial number of the reverse command are returned to the ground station 1 (steps ST48 and ST49).
When storing the reverse command in the execution queue 22, the command receiving unit 41 stores the reverse command in a pair with an OFF flag indicating that execution has not been permitted.
[0044]
When the hash value of the reverse command and the serial number are returned from the satellite 3, the hash value receiving unit 31 of the ground station device 4 receives the hash value and the serial number.
When the hash value receiving unit 31 receives the hash value, the command collecting unit 13 of the ground station device 4 transmits the command when the reverse command is transmitted from the command transmitting unit 11 to the satellite 3 as described above. The same reverse command as that transmitted from the unit 11 is collected (step ST50). If a reverse command is transmitted from the neighboring ground station 2 to the satellite 3, the same reverse command as the reverse command is collected.
[0045]
When the command collection unit 13 collects the reverse command, the matching unit 32 of the ground station device 4 calculates a hash value of the reverse command (step ST51), and calculates the hash value and the hash value received by the hash value reception unit 31. Are collated (step ST52).
When the matching result of the matching unit 32 indicates that the hash values match, the execution control unit 15 of the ground station apparatus 4 receives the hash value received by the hash value receiving unit 31 properly by the satellite control device 5 and returns it. It recognizes that it is the hash value of the reverse command, and transmits an execution command of the reverse command to the satellite 3 (step ST53).
[0046]
However, when the collation result of the collation unit 32 indicates that the hash values do not match, it is recognized that the hash value of the command received by the hash value reception unit 31 is a hash value illegally transmitted from a malicious third party. Then, a command to discard the command is transmitted to the satellite 3 (step ST39). Even if the reverse command is properly transmitted from the ground station apparatus 4 to the satellite 3, the reverse command may not be transmitted normally for some reason, and the satellite 3 may erroneously recognize the control content of the reverse command. However, also in this case, the collation result of the collation unit 14 indicates that the hash values do not match, and the command to discard the command is transmitted to the satellite 3.
In addition, neither the command transmitting unit 11 nor the nearby ground station 2 has any trace of transmitting the reverse command, and the command collecting unit 13 cannot collect the reverse command from any of the command transmitting unit 11 and the nearby ground station 2. Also in this case, the hash value of the command received by the hash value receiving unit 31 is recognized as a hash value that has been illegally transmitted from a malicious third party, and a command to discard the command is transmitted to the satellite 3 (step S1). ST39).
[0047]
When the command receiving unit 23 of the satellite control device 5 receives the execution command of the reverse command stored in the execution waiting queue 22 from the ground station 1, the command management unit 24 sets the command to permit execution of the reverse command. The flag of the reverse command is changed from OFF to ON (steps ST54 and ST55).
Thus, when the order of execution of the reverse command comes, the reverse command is executed, and the execution contents of the illegal command can be substantially canceled.
However, before the command receiving unit 23 receives the execution command of the reverse command, the execution queue 22 becomes full, and if the reverse command is the oldest command among the commands stored in the execution queue 22, , Regardless of whether the reverse command is an invalid command or not, the command is deleted from the execution queue 22.
[0048]
When the execution control unit 15 of the ground station device 4 recognizes the transmission of the unauthorized command, the command management unit 24 of the satellite control device 5 causes the command receiving unit 23 to discard the unauthorized command stored in the execution queue 22. When the command is received, the unauthorized command is deleted from the execution queue 22 (step ST42).
[0049]
As is clear from the above, according to the fourth embodiment, even if the execution control unit 15 sends a command to discard a command to the satellite 3, if the command is executed, the command is collected from the satellite 3. Therefore, since the command in which the control content reverse to the command is described is transmitted from the command transmitting unit 11 to the satellite 3, even if an unauthorized command is executed by a malicious third party, This has the effect that the execution contents of the unauthorized command can be substantially canceled.
[0050]
【The invention's effect】
As described above, according to the present invention, a ground station apparatus that compares a command transmitted to a satellite with a command returned from the satellite, and transmits a command discard command to the satellite when both commands do not match. And a satellite controller that deletes the command from the execution waiting queue when a command discard command is received from the ground station, so that a complicated command such as decoding the command encrypted on the satellite side is provided. This eliminates the possibility of taking over the satellite by a malicious third party or damaging the satellite without implementing a complicated process.
[Brief description of the drawings]
FIG. 1 is a configuration diagram showing a satellite control system according to a first embodiment of the present invention.
FIG. 2 is a configuration diagram showing an internal configuration of a ground station device and a satellite control device.
FIG. 3 is a flowchart showing processing contents of the satellite control system according to the first embodiment of the present invention.
FIG. 4 is an explanatory diagram showing a deletion execution result.
FIG. 5 is a configuration diagram showing a satellite control system according to a second embodiment of the present invention.
FIG. 6 is a flowchart showing processing contents of the satellite control system according to the second embodiment of the present invention.
FIG. 7 is a configuration diagram showing a satellite control system according to Embodiment 3 of the present invention.
FIG. 8 is a configuration diagram showing an internal configuration of a ground station device and a satellite control device.
FIG. 9 is a flowchart showing processing contents of the satellite control system according to the third embodiment of the present invention.
FIG. 10 is a configuration diagram showing a satellite control system according to Embodiment 4 of the present invention.
FIG. 11 is a flowchart showing processing contents of a satellite control system according to Embodiment 4 of the present invention.
FIG. 12 is an explanatory diagram showing a deletion execution result.
[Explanation of symbols]
Reference Signs List 1 ground station, 2 nearby ground stations, 3 satellites, 4 ground station equipment, 5 satellite control device, 11 command transmission unit (transmission / reception means), 12 command reception unit (transmission / reception means), 13 command collection unit (collation means), 14 Collation unit (collation unit), 15 execution control unit (execution control unit), 21 command reception unit (command reception unit), 22 execution queue, 23 command reception unit (command reception unit), 24 command management unit (command management unit) ), 31 hash value receiving unit (transmitting / receiving unit), 32 checking unit (checking unit), 41 command receiving unit (command receiving unit).

Claims

衛星の制御内容が記述されているコマンドを当該衛星に向けて送信する一方、上記衛星から返送されたコマンドを受信する送受信手段と、上記送受信手段により送受信されたコマンドを照合する照合手段と、上記照合手段の照合結果がコマンドの一致を示す場合、そのコマンドの実行指令を上記衛星に送信し、上記照合手段の照合結果がコマンドの不一致を示す場合、そのコマンドの廃棄指令を上記衛星に送信する実行制御手段とを備えた地上局装置。A transmitting / receiving unit for receiving a command returned from the satellite while transmitting a command describing the control content of the satellite to the satellite, a matching unit for checking a command transmitted / received by the transmitting / receiving unit, When the collation result of the collation means indicates a command match, an execution command of the command is transmitted to the satellite. When the collation result of the collation means indicates a command mismatch, a command to discard the command is transmitted to the satellite. A ground station device comprising execution control means.

実行制御手段は、コマンドの廃棄指令を衛星に送信しても、そのコマンドが実行された場合、そのコマンドと逆の制御内容が記述されているコマンドを送受信手段から当該衛星に向けて送信させることを特徴とする請求項１記載の地上局装置。Even if the execution control means transmits a command to discard the command to the satellite, if the command is executed, the transmission control means causes the transmission / reception means to transmit a command describing the reverse control content to the satellite. The ground station apparatus according to claim 1, wherein:

衛星の制御内容が記述されているコマンドを当該衛星に向けて送信する一方、上記衛星から返送されたコマンドのハッシュ値を受信する送受信手段と、上記送受信手段から送信されたコマンドのハッシュ値を計算し、そのハッシュ値と上記送受信手段により受信されたハッシュ値を照合する照合手段と、上記照合手段の照合結果がハッシュ値の一致を示す場合、そのコマンドの実行指令を上記衛星に送信し、上記照合手段の照合結果がハッシュ値の不一致を示す場合、そのコマンドの廃棄指令を上記衛星に送信する実行制御手段とを備えた地上局装置。A transmitting / receiving means for transmitting a command describing the control content of the satellite to the satellite while receiving a hash value of the command returned from the satellite, and calculating a hash value of the command transmitted from the transmitting / receiving means And a matching means for matching the hash value with the hash value received by the transmitting / receiving means, and when the matching result of the matching means indicates a match of the hash value, transmitting a command execution command to the satellite, An earth station device comprising: an execution control unit that transmits a command to discard the command to the satellite when the result of the comparison by the matching unit indicates that the hash values do not match.

実行制御手段は、コマンドの廃棄指令を衛星に送信しても、そのコマンドが実行された場合、衛星から当該コマンドを収集して、そのコマンドと逆の制御内容が記述されているコマンドを送受信手段から当該衛星に向けて送信させることを特徴とする請求項３記載の地上局装置。The execution control means, even if the command discard command is transmitted to the satellite, if the command is executed, collects the command from the satellite, and transmits and receives the command describing the control content reverse to the command. 4. The ground station apparatus according to claim 3, wherein the signal is transmitted from the satellite to the satellite.

地上局から衛星の制御内容が記述されているコマンドを受信すると、そのコマンドを実行待ちキューに格納するとともに、そのコマンドを当該地上局に返送するコマンド受付手段と、上記地上局からコマンドの実行指令又は廃棄指令を受信する指令受信手段と、上記指令受信手段がコマンドの実行指令を受信すると当該コマンドの実行を許可し、上記指令受信手段がコマンドの廃棄指令を受信すると上記実行待ちキューから当該コマンドを削除するコマンド管理手段とを備えた衛星制御装置。When a command describing the control content of the satellite is received from the ground station, the command is stored in an execution waiting queue, the command receiving means for returning the command to the ground station, and a command execution command from the ground station. Or, a command receiving means for receiving a discard command, and when the command receiving means receives a command execution command, execution of the command is permitted, and when the command receiving means receives the command discard command, the command is received from the execution queue. And a command management means for deleting the command.

地上局から衛星の制御内容が記述されているコマンドを受信すると、そのコマンドを実行待ちキューに格納するとともに、そのコマンドのハッシュ値を計算して、そのハッシュ値を当該地上局に返送するコマンド受付手段と、上記地上局からコマンドの実行指令又は廃棄指令を受信する指令受信手段と、上記指令受信手段がコマンドの実行指令を受信すると当該コマンドの実行を許可し、上記指令受信手段がコマンドの廃棄指令を受信すると上記実行待ちキューから当該コマンドを削除するコマンド管理手段とを備えた衛星制御装置。When a command describing the control content of the satellite is received from the ground station, the command is stored in an execution queue, a hash value of the command is calculated, and the command value for returning the hash value to the ground station is received. Means, a command receiving means for receiving a command execution command or a discard command from the ground station, and when the command receiving means receives a command execution command, permitting execution of the command, and the command receiving means discarding the command. A satellite control device comprising: a command management unit that, upon receiving a command, deletes the command from the execution queue.

地上局に搭載され、衛星の制御内容が記述されているコマンドを当該衛星に向けて送信する一方、上記衛星から返送されたコマンドを受信すると、その送信したコマンドと受信したコマンドを照合し、双方のコマンドが一致する場合、そのコマンドの実行指令を上記衛星に送信し、双方のコマンドが一致しない場合、そのコマンドの廃棄指令を上記衛星に送信する地上局装置と、上記衛星に搭載され、上記地上局からコマンドを受信すると、そのコマンドを実行待ちキューに格納するとともに、そのコマンドを当該地上局に返送し、上記地上局から当該コマンドの実行指令を受信すると当該コマンドの実行を許可し、上記地上局から当該コマンドの廃棄指令を受信すると上記実行待ちキューから当該コマンドを削除する衛星制御装置とを備えた衛星制御システム。While a command mounted on the ground station and describing the control content of the satellite is transmitted toward the satellite, when a command returned from the satellite is received, the transmitted command and the received command are collated, and both When the commands match, an execution command of the command is transmitted to the satellite, and when both commands do not match, a ground station apparatus for transmitting a discard command of the command to the satellite, and mounted on the satellite, When a command is received from the ground station, the command is stored in an execution waiting queue, the command is returned to the ground station, and when a command to execute the command is received from the ground station, execution of the command is permitted. A satellite controller that deletes the command from the execution queue when receiving a command to discard the command from the ground station. Satellite control system.

地上局に搭載され、衛星の制御内容が記述されているコマンドを当該衛星に向けて送信する一方、上記衛星から返送されたコマンドのハッシュ値を受信すると、その送信したコマンドのハッシュ値と受信したハッシュ値を照合し、双方のハッシュ値が一致する場合、そのコマンドの実行指令を上記衛星に送信し、双方のハッシュ値が一致しない場合、そのコマンドの廃棄指令を上記衛星に送信する地上局装置と、上記衛星に搭載され、上記地上局からコマンドを受信すると、そのコマンドを実行待ちキューに格納するとともに、そのコマンドのハッシュ値を計算して、そのハッシュ値を当該地上局に返送し、上記地上局から当該コマンドの実行指令を受信すると当該コマンドの実行を許可し、上記地上局から当該コマンドの廃棄指令を受信すると上記実行待ちキューから当該コマンドを削除する衛星制御装置とを備えた衛星制御システム。While a command mounted on the ground station and describing the control content of the satellite is transmitted toward the satellite, when the hash value of the command returned from the satellite is received, the hash value of the transmitted command is received. A ground station device that compares hash values and sends an execution command of the command to the satellite if the hash values match, and transmits a discard command of the command to the satellite if the hash values do not match. When a command is received from the ground station, the command is stored in an execution waiting queue, a hash value of the command is calculated, and the hash value is returned to the ground station. When the command for executing the command is received from the ground station, the execution of the command is permitted, and the command for discarding the command is received from the ground station. Satellite control system including a satellite control unit to delete the command from the execution waiting queue.