JR東における鉄道システムがIT化されてきた歴史と品質向上への取り組み（後編）。ソフトウェア品質シンポジウム 2014

2014年9月30日

鉄道は乗客を安全に運ぶという点で信号や列車の制御システムに非常に高い品質が求められる一方、ダイヤなど旅客情報については大量の情報を処理して乗客に提供しなければならないという複雑なシステムで構築されています。そして現在そのシステムの多くがIT化されています。

鉄道の安全性や正確性、そして快適性などをITがいかに支えてきたのか。9月11日に東洋大学で開催された「ソフトウェア品質シンポジウム 2014」では、JR東日本のIT化や品質向上の取り組みについて東日本旅客鉄道株式会社松本雅行氏のセッション「鉄道信号システムへのアシュアランス技術の適用」が行われました。本記事ではその内容をダイジェストで紹介します。

本記事は前編、中編、後編の3つに分かれています。いまお読みの記事は後編です。

IPネットワークによる情報制御へ

転てつ器や信号機などはばらばらに動作させては大事故につながるので、関連付けて動作しなければなりません。この関連付ける装置を連動装置と呼んでいます。

信号機や転てつ器は各駅にあり、それを信号機室にある連動装置がケーブルで制御しています。その連動装置というのは、最初は機械的に、次にリレー、継電連動装置というのを使っておりましたが、最近では電子連動装置、コンピュータを使った連動装置を使っております。

当社も大体900駅くらいに連動装置があるのですが、既に600駅ほど、だいたい3分の2ぐらいが電子連動装置に置き換わってきている状況です。

これは機器室の写真ですけど、このようにケーブルがとぐろを巻いているという状況。これを配線を1本でも間違えますと、場合によっては、赤信号を表示しなくちゃいけないところを青信号を表示してしまうということで、大変大きな事故につながります。だからこの確認作業というのが相当膨大な作業になります。

11年前、中央線で半日ほど列車を止めてしまったということがありました。これは当時、配線ミスがあり中央線が正しく動かなくなってしまった。昼過ぎまで運転できなかったということがありました。

その対策として、これをIPネットワークを使って情報を制御するようにしようということを考えまして、その技術開発を行って、2007年の2月に市川大野駅で実用開始してます。これは、機器室から現場までは光ケーブルで情報を送ります。光ケーブルでやりますと二重系にできるものですから信頼性も格段に上がります。

今、京葉線で新習志野駅あるいは中間のところにもこのシステムを導入する工事を進めてる最中です。

アシュアランス技術

「アシュアランス技術」は初めて聞いた方もいるかと思いますが、異種性と適応性、この2つの要件を兼ね備えたシステムに適応される技術の総称というふうに定義されております。

異種性というのは、情報と制御という異なったもの、異なるシステムあるいは新旧システムといったものが共存できるかどうか。適応性というのは、システムの段階的構築だとかシステムの取り替え、改修。こういう状況の変化に対応できる能力。これを適応性と言っております。

そもそも、このアシュアランス技術というのは、アメリカで軍事の中で発展してきたものということです。大統領令によってアシュアランス研究機関が設立されて、1996年にアシュアランス技術に関する議論の場としてIEEE主宰のHASE、High Assurance Systems Engineering Symposiumというのが設立されて、ここでかなり大きく研究が進んでいるといわれています。

異種性というのは先ほども言いましたように、ニーズの異なった、あるいはシステムの稼働の保証に求められるニーズとしては信頼性とかアベイラビリティ、フェイルセーフ、安全性、リアルタイム性で、このニーズやニーズレベルはシステムによって異なっています。

例えば制御システムにおいては安全性とリアルタイム性が求められますし、情報システムではアベイラビリティとか信頼性が求められるというふうに、システムによって求められる内容が違ってきております。

いままでのシステムの稼働率だとかアベイラビリティあるいは信頼度は、どちらかというとシステムが生きてるかダウンしているかだけで計っていました。しかし実際のシステムというのは、動いてるか止まっているかだけではなく、途中で改修があったり変更があったりあるいはシステムを移行させるというような、色んな意味合いで、システムの運行を阻害する要因がある。こうした状況の変化にシステムが対応する能力を考えなければいけないということで、これを適応性と呼んでいます。

例えば、システムのテストはシステムの本番稼働を停止して行っていましたが、システムを稼働したままのテストが求められています。

システムを停止してテストするというのは、当社で言えば、夜中運転を止めているときにしか行えないわけです。あるいはテストのために稼働を止めればシステムの稼働率というのが下がるわけですね。ところがシステム稼働しているときにテストを行うことができれば稼働率は下げないで済むと。こういうふうにメリットがあるということです。

鉄道信号におけるアシュアランス技術

鉄道信号システムにおきましては、今までお話しましたように、情報系、ダイヤだとかあるいはお客様への案内と、列車をコントロールする制御系のシステムが混在しています。あるいは導入期間が長くて、新旧システムが同時に存在する期間があります。

しかもこれらの切り替えに何日もかけて、その間列車が止まりますというわけにはいきません。列車を運行しながらテストを行うことが求められているわけです。あるいは全システムを一度に切り替えることは困難で、新旧を混在させる必要があります。鉄道においてはこういうようなことが解決していかなければいけない課題としてあるわけです。

そこでアシュアランス技術の鉄道への適用が考えられます。

まず、輸送管理システムへアシュアランス技術の適用。制御系のシステムは情報量は少ないですけど、リアルタイム性、安全性に対する要求は非常に厳しく、一方で情報系のシステムは、ダイヤデータなどにみられる大量のデータを処理する。そういう能力が求められているということで、異種性のニーズをもったシステムの共存が必要だということです。

輸送管理システムの特徴は、地理的にも広範囲で長期間を要するために、基本的に段階的な構築が必要だということ。例えば新幹線では、東京から青森までをいっぺんに切り換えるというのは物理的にもできませんので、ある区間区間に区切って切り換えていくと。段階的な切り換が必要であると。それと、基本的に24時間連続運転システムですので、システム拡張時には安定を保証した無停止拡張が前提条件。それから、使用者、利用者の新しいニーズを吸収しなくちゃいけないですから変化や成長を前提とした構築が必要となる。従って、適応性が求められるということです。

大駅では複数線区が乗り入れているためシステム化を一斉に実施することが困難ですから、これも段階的な構築が求められます。24時間連続運転システムであり、システム拡大において安定稼働を保証。無停止拡張が必要。システム構築中でもネットワーク、コンピュータ上に稼働に必要なデータと未稼働設備を試験するためのテストデータを扱うので、データの共存が必要。構築には長期間を要するため、段階的拡張が必要だということで、必然的にアシュアランス技術が必要になります。

この図は輸送管理システムの段階的構築の例でありまして。各駅装置を逐次つくっていくわけです。駅装置が揃うと、線区の中央装置をつけて駅装置と結んで、その線区の設備ができあがります。そして中央装置と結んでいく。次は別の線区の装置をまたつくってここから段階的に構築を繰り返しながらシステムが大きくなっていくということであります。

先ほど言いましたように、情報系と制御系のデータ、あるいは中央装置のデータ、それから駅装置のデータ、試験中のデータと運行用のデータ。これらが混在してますので、それらを混在した中で運転を継続しなければいけない。これをソフトウェアの工夫でこなしていくということです。

それから列車制御システムでも、先ほどから言ってますように、いっぺんに全線取り換えられませんので、例えばデジタルATCに取り換えるとき、旧ATCからデジタルATCになるということで、実際京浜東北線でやったときは南浦和と鶴見の間を第1回やって、その両端を第2回でやったと。すると南浦和あるいは鶴見のところ、どうしてもデジタルATCとそれまでのATCが境界ができるわけです。その境界のところも列車が運行が継続しないといけないということで、自律制御をやっています。

例えば、旧ATC区間からデジタルATC区間に行くときは、最初旧ATCの信号を受けて走ってますが、この切り換え区間でデジタルATCの信号を受けますと、そこで自動的にデジタルATCに切り換えるということになります。それから、逆に、デジタルATC区間から旧ATCに入るときは、デジタルATCの信号に、この切り換え区間に来たときに切り換えという情報をのっけといて、ここから先は旧ATCで制御するんだよという意味合いを持たせて、この信号を受けたとき、旧ATCの信号を受けたら、旧ATCで制御されるというように細工をします。

物理的にも、旧ATCとデジタルATCの信号の波を変えて、あるいは電文の中身、有効あるいはテスト。テストで使うデータか、制御で使うデータかというフラグをもたせると。車上装置は、どちらも受けられるようにして、自律的にどちらで制御するか判断するようにするということです。

また、旧ATCを運転しながらデジタルATCのテストが可能ということで、ここに旧ATCの信号があって旧ATCで運転してるんですが、そこでデジタルATCの信号にはテストというフラグをつけておいて、そのテストというフラグを受けた場合には、それでは制御しないと。有効というふうにつけると、デジタルATCで制御すると。これによって、切り換えの日には地上からのデータにテストか有効かのフラグを変えるだけでいっぺんに切り換わりますので、非常に効率的に切り換えができるということでございます。

これは先ほど申しました、ATACSも同じで、ATACSの場合は、軌道回路に流すのではなくて、電波で別に流しますから、これは非常に楽にできて、やはりこの切り換え区間で、どういう信号を流すかでコントロールしていくという意味では、全く今の話と同じです。

まとめというふうになっているかどうかは　分かりませんけども、運転しながらのテストができる、短時間のシステム変更、あるいはシステムの段階的構築、異種システム、情報だとか制御、あるいは新システム、旧システムの共存。これをアシュアランス技術により確立できたというのが、運行管理システムなり、列車制御での適応例ということです。