JP4805936B2 - グローバル・ナビゲーション・システムのユーザにインテグリティ情報を提供する方法及び装置 - Google Patents

Description

本発明は請求項１及び９に記載のグローバル・ナビゲーション・シテムにおいて宇宙航行体から拡散される情報のインテグリティ・リスクを求める方法と、請求項１１に記載のグローバル・ナビゲーション・システムを利用して測位を行う測位装置とに関する。

衛星方式のグローバル・ナビゲーション・システムにおいて、地球を基準とした測位を高精度で行うには、ローカル・インテグリティとグローバル・インテグリティとの両方が必要である。インテグリティが目指しているものは、１つには、グローバル・ナビゲーション・システムのある部分が、その本来の目的に利用できない状態になったときに、所定時間以内にユーザにその旨を伝える警告を発することのできる、グローバル・ナビゲーション・システムの能力であり、またもう１つには、ユーザが、グローバル・ナビゲーション・システムから受信する情報の信頼性に対して、また特にその情報の正確度に対して、どこまで信用を託し得るかというその信用度である。

衛星が送出しているナビゲーション信号に欠陥があるときにはウォーニング（警告）を発する必要がある。ナビゲーション信号に欠陥が生じるのは、例えば、衛星のナビゲーション信号が正しい時刻に生成されなかった場合（クロック補正誤差ないし時刻補正誤差）や、正しい位置から送信されなかった場合（衛星軌道が正しくない場合）である。正しい位置から送信されないと、衛星から受信機までのナビゲーション信号の伝搬距離であるラン・レングスの見掛けの値に影響を及ぼし、更にそのことがナビゲーションの正確度に多大の影響を及ぼす。時刻に関する誤差も、同様にラン・レングス誤差として考えることができる。このような欠陥ないし誤差は、シグナル・イン・スペース・エラーと呼ばれており、その頭文字を取ってＳＩＳＥと表記される。シグナル・イン・スペースという名称の由来は、衛星を利用したグローバル・ナビゲーション・システム、即ち、衛星ナビゲーション・システムでは、宇宙空間内で信号を拡散することによって、その信号を受信する受信機の位置を測位可能にしているため、宇宙空間内で拡散される信号という意味で、シグナル・イン・スペースという名称が用いられているのである。

公知のインテグリティ提供方式では、誤差が完璧に検出できるということを前提条件としている。公知で非局地的のインテグリティ提供方式には「ワイド・エリア・オーグメンテーション・システム」（ＷＡＡＳ）や、ヨーロピアン・ジオステーショナリ・ナビゲーション・オーバレイ・サービス」（ＥＧＮＯＳ）がある。これらのインテグリティ提供方式では、誤差が常に検出可能であることを前提条件としている。しかしながらこの前提条件は常に成り立つわけではなく、そのため、ナビゲーションの正確度が低下することがある。

従って本発明の目的は、誤差が常に検出可能であるということを前提条件とはしない、グローバル・ナビゲーション・システムのユーザにインテグリティ情報を提供する方法及び装置を提供することにある。

以上の目的は、請求項１及び９に記載のグローバル・ナビゲーション・システムにおいて宇宙航行体から拡散される情報のインテグリティ・リスクを求める方法によって、また、請求項１１に記載のグローバル・ナビゲーション・システムを利用して測位を行う測位装置によって達成される。従属請求項は、本発明の好適な実施の形態を記載したものである。

本発明の基礎を成している概念は、シグナル・イン・スペース・エラーの品質についての情報を拡散即ち配信するということにある。

本発明は、測位装置へ情報を送信する複数の衛星などの宇宙航行体を備えて成るグローバル・ナビゲーション・システムのユーザにインテグリティ情報を提供する方法に関するものであり、この方法は、送信される前記情報が、障害発生状態にある宇宙航行体のシグナル・イン・スペース・エラーＳＩＳＥの正確度についての前記グローバル・ナビゲーション・システムが生成する第１情報と、前記グローバル・ナビゲーション・システムが障害発生状態にある宇宙航行体を障害発生状態にあると評価しているか否かを示している第２情報とを含んでいることを特徴とする。

ガリレオ・ナビゲーション・システムなどのグローバル・ナビゲーション・システムにおいてインテグリティ情報を提供しているＷＡＡＳやＥＧＯＮＯＳなどの公知のインテグリティ提供方式では、障害が常に検出可能であることを前提条件としているのに対して、本発明では、障害が発生していることの確からしさが検出可能であることを前提条件としている。これによってグローバル・ナビゲーション・システムのパフォーマンスを向上させることを可能にしている。更に、根拠のない前提条件を採用しないことによってもサービスの品質を向上させている。

本発明の１つの実施の形態では、前記第１情報が、シグナル・イン・スペース・アキュラシーＳＩＳＡと呼ばれる、宇宙航行体が放送しているシグナル・イン・スペースＳＩＳの品質についての情報と、シグナル・イン・スペース・モニタリング・アキュラシーＳＩＳＭＡと呼ばれる、前記グローバル・ナビゲーション・システムの地上セグメントによって行われている宇宙航行体が放送しているシグナル・イン・スペースＳＩＳのモニタリングの正確度についての情報とを含んでいる。

更に、前記第２情報が、インテグリティ・フラグＩＦと呼ばれる、複数の宇宙航行体が放送しているシグナル・イン・スペースＳＩＳのうちの利用してはならないシグナル・イン・スペースＳＩＳについての情報を含んでいる。

多くの場合、ＳＩＳＡの値を含むナビゲーション・メッセージが測位装置へ拡散即ち配信されるようにしている。

更に、各々のＳＩＳに対応したＳＩＳＭＡの値とインテグリティ・フラグＩＦとを包含したテーブルを含むインテグリティ・メッセージが測位装置へ拡散即ち配信されるようにするのもよい。

ガリレオ・ナビゲーション・システムなどのグローバル・ナビゲーション・システムでは、前記ナビゲーション・メッセージ及び前記インテグリティ・メッセージが３０秒毎にアップデートされるようにする。

更にもう１つの局面として、本発明は、空間内の測位装置の位置を測位するための情報を測位装置へ送信する複数の宇宙航行体を備えて成るグローバル・ナビゲーション・システムを利用して測位を行う測位装置に関するものであり、この測位装置は、上述した本発明に係る方法に従って供給されるインテグリティ情報を受信する受信手段と、受信した前記第１情報及び前記第２情報と更なる情報とに基づいてインテグリティ・リスクの値を算出する処理手段と、算出したインテグリティ・リスクの値がインテグリティ・リスク許容値より大きかったときにアラートを発するアラート手段とを備えたことを特徴とする。

前記処理手段は、所定のアラート・リミットの値に対するインテグリティ・リスクの値を算出するように構成することができ、該所定のアラート・リミットの値は、アラートを発する必要のない位置偏差の許容最大値である。

インテグリティ・リスクの値を算出する際の前提条件として、その算出に用いられる全ての分布が正規分布であることを前提条件とするのがよい。

高精度の算出値を得るために、インテグリティ・リスクの値の算出に用いる前記更なる情報が、前記測位装置と宇宙航行体との間の相対ジオメトリと、伝搬誤差、受信誤差、及び宇宙航行体が放送しているシグナル・イン・スペースＳＩＳの誤差を含む、シグナル・イン・スペースＳＩＳの誤差バジェットと、インテグリティ・フラグＩＦとを含むようにするとよい。

宇宙航行体が放送しているＳＩＳの誤差に関する前提条件として、無障害状態でない宇宙航行体については、当該宇宙航行体が放送しているＳＩＳの誤差とインテグリティ・フラグ・スレッシュホールドの値との差分の分布が、シグナル・イン・スペース・モニタリング・アキュラシーＳＩＳＭＡの標準偏差を有する正規分布によって外包されることを前提条件とするとよい。

インテグリティ・リスクの値を算出する際には、水平方向のインテグリティ・リスクの値Ｐ_intRisk,H と、垂直方向のインテグリティ・リスクの値Ｐ_intRisk,V との合計値として算出するようにするとよい。

本発明は更に、上述した本発明に係る方法を用いてインテグリティ情報を提供するグローバル・ナビゲーション・システムにおいて宇宙航行体から拡散される情報のインテグリティ・リスクを求める方法に関するものであり、この方法は、各々のインテグリティ・データ・ストリームにおいて受信したインテグリティ情報が、地上インフラストラクチャのインテグリティ機能によって生成された正当なインテグリティ情報であることを確認し、インテグリティ情報の正当性が確認された冗長する複数のインテグリティ・データ・ストリームのうちから、使用するインテグリティ・データ・ストリームを選択し、正当性が確認されて選択されたインテグリティ情報及びナビゲーション情報に基づいてどの信号が有効信号であるかを判別し、有効信号のみを考慮対象として、クリティカル・オペレーションの実行期間中における所定のアラート・リミットの値に対するインテグリティ・リスクの値を算出し、有効信号を送出している宇宙航行体のみを考慮対象として、クリティカル・オペレーションの実行期間中におけるクリティカル宇宙航行体の個数を算出し、ユーザに対して受信した情報を測位に用いるべきか否かを示すアラートを発生することを特徴とする。

また特に、前記地上インフラストラクチャの前記インテグリティ機能によって生成されたインテグリティ情報には署名が付されており、それによって受信機がインテグリティ情報の正当性検証を行えるようにしてある。

本発明の更なる利点及び特徴は、本発明の好適な実施の形態についての以下の説明を通して明らかにして行く。

これより添付図面を参照しつつ、本発明について、その具体例に則して説明して行く。

以下の説明においては、本発明をガリレオ・ナビゲーション・システムに適用した場合に即して説明して行く。ガリレオ・ナビゲーション・システムは、ヨーロッパ連合が運営する、独立したシステムとして構成された、衛星方式のグローバル・ナビゲーション・システムである。

ガリレオ・ナビゲーション・システムは、そのグローバル・コンポーネントとして、衛星の集合体を備えており、それら衛星を、地上セグメントがモニタ及び制御するようにしている。地上セグメントは更に、衛星の障害ないしシステムの障害を検出する機能と、障害を検出したならばリアルタイムでユーザへ警告即ちウォーニング（インテグリティ・メッセージ）を提供する機能とを備えている。

ガリレオ・ナビ・システムのグローバル・コンポーネントは、純粋に衛星のみによって提供するナビゲーション・サービスとして、以下に列挙する複数のナビゲーション・サービスを提供することが予定されている。
・オープン・サービス（ＯＳ）：このサービスでは、ナビゲーション及びタイミングのデータを提供する。
・生命保安サービス（ＳｏＬ）：このサービスでは、インテグリティ・メッセージを提供し、このインテグリティ・メッセージは、オープン・サービスで提供される信号のうちのナビゲーション・データ・メッセージに組込まれて提供される。
・コマーシャル・サービス（ＣＳ）：このサービスでは、ガリレオ・ナビゲーション・システムの衛星から拡散することによって、商用の距離信号及びデータ信号を提供する。
・公的限定サービス（ＰＲＳ）：このサービスでは、独立した限定アクセスのナビゲーション信号によって、ナビゲーション及びタイミングのデータを提供する。

ガリレオ・ナビゲーション・システムでは、その他のコンポーネントとして、対象地域を限定してパフォーマンス（例えばインテグリティなど）を向上させるためのローカル・サービスも提供することが予定されている。

ガリレオ・ナビゲーション・システムは更に、捜索救助（ＳＡＲ）サービスもサポートすることが予定されている。

以上に加えて、ガリレオ・ナビゲーション・システムでは、イクスターナル・リージョナル・インテグリティ・サービス（ＥＲＩＳ）も提供することが予定されている。このサービスは、独立運営体であるイクスターナル・リージョナル・インテグリティ・サービス・プロバイダによって生成されるインテグリティ・データを、ガリレオ・ナビゲーション・システムの衛星のうちの選択された衛星を介して拡散することによって提供されるものである。

以上のサービスのうちで、最も要求条件が厳しいのはＳｏＬサービスであり、ＳｏＬサービスは、ガリレオ・ナビゲーション・システムのインテグリティ寄与度配分の全てを駆使して実行される。それゆえ、以下にＳｏＬサービスの特性を要約しておく。

≪周波数及び信号≫
ガリレオ・ナビゲーション・システムの信号は、図１に示したように、４つの周波数で送出される。これら４つの周波数は、Ｅ５ａ、Ｅ５ｂ、Ｅ６、及びＬ１と呼ばれている。

これら４つの周波数は、ＩＴＵ無線通信規則によって無線ナビゲーション衛星サービス（ＲＮＳＳ）に配分された周波数帯域のうちから選択された周波数である。

図２に、ＳｏＬサービスをサポートしている信号を図示した。

≪ガリレオ・ナビゲーション・システムのインフラストラクチャ≫
ガリレオ・ナビゲーション・システムの宇宙空間セグメントは、中高度軌道（ＭＥＯ）上の衛星集合体から成り、この衛星集合体は、２７個の供用衛星と、３個の（非活動状態の）軌道上予備衛星とを含むものである。各供用衛星は、複数の信号から成る信号群を、ナビゲーション信号群として放送し、この信号群の個々の信号によって、クロック同期情報、エフェメリス情報、インテグリティ情報、及びその他の情報を伝達する。受信可能な受信機を装備し、天空が見渡せる状況にあるユーザは、ガリレオ・ナビゲーション・システムの衛星集合体のうちの概ね１１個の衛星から信号を受信することができ、それによって、みずからの現在位置を誤差数メートル以内の精度で測位することができる。

ガリレオ・ナビゲーション・システムの地上セグメントは、ガリレオ・ナビゲーション・システムの衛星集合体の全体を制御し、それら衛星の健全性をモニタし、更に、データのアップロードを行い、アップロードされたデータは即座にユーザへ向けて放送される。またこれらは、ミッション・アップリンク・ステーション（ＵＬＳ）を介して行われる。ユーザへ向けて放送されるデータに含まれる重要情報である、クロック同期情報、エフェメリス情報、及びインテグリティ・メッセージなどは、複数のガリレオ・センサ・ステーション（ＧＳＳ）によって構築された全世界的ネットワークによって得られる測定データから算出される。

≪サービスの分類≫
衛星方式のグローバル・ナビゲーション・システムにとってのインテグリティとは、受信機からユーザへ提供される位置情報の正確度に対してどれ程の信頼を置き得るかの尺度であるといえる。

インテグリティ機能には、ナビゲーション・システムがユーザに対して適正時間内に有効な警告（アラート）を提供する能力が含まれる。ガリレオ・ナビゲーション・システムの様々な階層のユーザへ、インテグリティを提供する上で重要な課題となるのは、安全なサービスとは何かを明確にすることであり、このことは、様々な用途分野において、ユーザがナビゲーション・サービスをいかなる種類のオペレーションに利用しようとしているかということにかかわっている。以下に列挙するパラメータは、あるオペレーションに関して、ナビゲーション・サービスが安全であるか否かを判別するために従来用いられてきたパラメータである。
・測位値の最大許容誤差：これは、測位値の誤差がこの最大許容誤差より小さければ警告を発しない上限値であり、アラート・リミット（ＡＬ）と呼ばれている。
・測位値の誤差がアラート・リミットを超えてから、ユーザが警告を受取るまでの最大許容遅滞時間：これは、タイム・ツー・アラート（ＴＴＡ）と呼ばれている。
・測位値の誤差がアラート・リミットを超えてから、タイム・ツー・アラートが経過するまでの間に、ユーザが警告を受取ることができない確率：これはインテグリティ・リスク（ＩＲ）と呼ばれている。

以上のアラート・リミット、タイム・ツー・アラート、及びインテグリティ・リスクの適正値は、いずれも、ナビゲーション・システムをいかなるオペレーションに利用しているかに応じて異なったものとなる。

ガリレオ・ナビゲーション・システムは、ナビゲーション信号に関して非常に厳しい高レベルのインテグリティを提供する。そのグローバル・インテグリティ提供方式は、ナビゲーション信号の組合せに関して、夫々に要求するサービスが異なる様々なユーザ・コミュニティの必要条件に応え得るものであり、また、インテグリティ・リスク及びアラート・リミットに関して、様々なレベルのインテグリティを提供し得るものである。

ＳｏＬサービスでは、グローバル・レベルでインテグリティ情報が提供され、これは、オープン・サービス信号であるＬ１信号及びＥ５ｂ信号をモニタすることによって行われる。ＳｏＬサービスは、様々な用途分野のオペレーションに利用され、その用途分野は、運輸用途（航空運輸、陸上運輸、海上運輸、及び鉄道運輸）に加えて、基準時刻の提供、並びに更にその他の重要な様々な用途に及ぶ。そして、用途によって、インテグリティ機能に関するパフォーマンスの要求条件は様々に異なり、ひいては、それによって課されるシステム・レベルの制約も様々に異なるものとなる。

ガリレオ・ナビゲーション・システムのパフォーマンスは、ユーザ・レベルで指定することができ（即ち、エンド・ツー・エンド・パフォーマンスとして指定される）、ただしこれは、特定の基準環境下及び運用条件下にある適切な受信機（「標準の」受信機）が使用されることを前提としている。

ユーザ側との協議の結果、インテグリティに関する要求条件のレベルは、以下に列挙する３つのレベルに分類されることとなった。
・レベルＡ：このレベルは、イクスポージャ・タイムが短く動きも激しい条件下で、水平方向及び／または垂直方向の誘導を要求するオペレーションに利用されるものであり、例えば、航空運輸の分野において、垂直方向の誘導を伴う着陸進入オペレーション（ＡＰＶ II）などに利用される。このレベルは更に、鉄道運輸（列車の制御／モニタ）及び陸上運輸の用途に利用されることもある。
・レベルＢ：このレベルは、高い正確度を必要とせず、長時間に亘って実行されるオペレーションに利用され、例えば、航空運輸の分野において、巡航や、ＮＰＡ（非精密着陸進入）などのオペレーションに利用される。
・レベルＣ：このレベルは、例えば、外洋航海、沿岸航海、港湾進入、それに指定水域航行などの海上運輸におけるオペレーションに利用されるものである。また、内陸水路航行にも利用され、内陸水路航行においては、垂直方向の高い正確度が要求されることがある。

下表は、様々なユーザ・レベルにおける、インテグリティ関連パフォーマンスの要求条件のうちの主導的条件を示すと共に、それら条件項目に対する、ガリレオ・ナビゲーション・システムで使用されている信号の割当てを併せて示した表である。

レベルＡの要求条件は、システム設計作業を進める上で基礎となった要求条件であり、それゆえ、システム・パフォーマンス及び要求条件の割当ての決定作業を主導した要求条件である。尚、システム要求条件〔ＲＤ−７〕によれば、ＨＡＬは、１２ｍとすることが要求されている。

≪誤差発生要因≫
衛星方式のナビゲーション・システムによって得られる測位値に影響を及ぼす誤差は、以下の２つの要因の組合せによって発生する。
・各衛星までの距離の測定値に影響を及ぼす誤差：この誤差の大きさは、衛星軌道の予測時刻とクロック・エボリューションとの関数であり、従って、アップデート・レートを高めてより短期の予測を行うようにすれば、この誤差を小さく抑えることができる。
・ユーザから見た複数の衛星のジオメトリ（ユーザに対するそれら衛星の相対位置）：これは、特定の時刻及び特定のユーザ現在位置に対して定まるものであり、個々のユーザにおいて算出可能である。

ガリレオ・ナビゲーション・システムにおけるインテグリティ機構の目的は、個々のユーザに、当該ユーザが意図しているオペレーションにとって安全な信号を提供し、且つ、ある時点でこの条件が崩れたならば、適切な時間内にそのことを警告することにある。しかしながら、ユーザに影響を及ぼす誤差発生源のうち、ガリレオ・ナビゲーション・システムの運営主体が責任を持つことのできる誤差発生源はその一部だけである。従って、誤差発生源の種類を明確に分類し、各々の種類の誤差に対して、インテグリティ提供方式の全体の中でいかに対応しているかを明らかにしておくことが重要である。誤差発生源は、大きく分けると以下の３つに分類することができる。
１．ガリレオ・ナビゲーション・システムが信号を生成するプロセスに起因する誤差：この分類には、ガリレオ衛星から送出される信号の無線周波数特性に起因する全ての誤差と、その無線周波数信号に含まれるナビゲーション・データに起因する全ての誤差とが含まれる。この分類に含まれる誤差のうち特に誘因の大きい誤差には、クロック誤差、エフェメリス誤差、それに衛星搭載ハードウェアに起因する誤差がある。
２．信号伝搬に起因する誤差：信号は、衛星の送信アンテナからユーザの受信機のアンテナまでの信号経路のいたるところで、その伝搬に悪影響を及ぼす幾つもの現象によって妨害される。この分類に含まれる誤差のうち特に寄与度の大きい誤差には、電離層遅延、対流圏遅延、マルチパス、それに無線周波数干渉に起因する誤差がある。
３．ユーザの受信機に起因する誤差：ユーザの受信機もまた、システムの全体パフォーマンスに影響を及ぼす寄与要因である。熱雑音は受信機において算出する衛星までの距離の算出結果に影響を及ぼし、また、受信信号の電力レベルも同様に影響を及ぼす。

以上３つの分類に含まれる誤差のインテグリティに対する影響に、いかにして対処するかは、各々の分類ごとに大きく異なったものとなる。ガリレオ・ナビゲーション・システムが提供するインテグリティ・データは、第１の分類の誤差からユーザを保護することを可能にするものである。即ち、デュアル周波数で運用することによって、ユーザの受信機において電離層遅延の影響を補正することが可能となる。また、伝搬誤差モデリングを行うことによって、ユーザの受信機は対流圏遅延に起因する誤差から保護される。また、ユーザの受信機にバリアを装備することによって、ユーザの受信機は過度の干渉やマルチパスから保護される。

〔ガリレオ・ナビゲーション・システムのインテグリティ提供方式〕
≪モニタを行う地上ネットワーク≫
ガリレオ・ナビゲーション・システムの地上インフラストラクチャは、先に説明したように多数のガリレオ・センサ・ステーション（ＧＳＳ）と多数のミッション・アップリンク・ステーション（ＵＬＳ）とで構成されており、このグローバル・ネットワークを利用して衛星の挙動をモニタすることによって、情報を生成しユーザに提供している。

各衛星から見渡せる範囲内に存在する複数のＧＳＳが地上ネットワークを駆動し、それによって、それに対応した個数の複数のＵＬＳが駆動される。現在のシステム・レベルの解析を行った結果によれば、地上ネットワークが概ね３５個のＧＳＳを含んでいるのであれば、ＳｏＬサービスに要求されているインテグリティ・パフォーマンスを保証することができる。

従って、有用なインテグリティ・モニタリング方式を実施することのできる良好なインテグリティ・パフォーマンスが保証されている。

≪インテグリティ提供方式≫
より正確な測定結果を算出することのできるデータをユーザに供給して、優れたインテグリティ提供方式を実現するための、第１の方法、そして典型的な方法は、ＧＳＳのグローバル・ネットワークを利用して差分データを伝送するという方法であろう。

本発明に係るインテグリティ提供方式は、ユーザの現在位置に左右されないという点において、この典型的な方法よりも適切な方式であり、各衛星それ自体をモニタして、それら衛星の挙動を表す情報（例えば、シグナル・イン・スペースの正確度の推定値や、その衛星が障害発生状態にあるときに送出する「ノットＯＫ」情報など）をユーザへ送信するようにしたものである。従ってユーザは、各衛星のパフォーマンス（クロック及び軌道）を推定した情報を直接的に受取ることになる。

本発明によれば、ユーザは、送信されてきた全ての情報を考慮に入れて、インテグリティ・リスクの値を算出することができ、またそれによって、みずからのオペレーションを開始してよいか否かを判断することができる。

＜ＳＩＳＡ、ＳＩＳＭＡ、ＩＦスレッシュホールド＞
ガリレオ・ナビゲーション・システムは、その地上セグメントにおいて、シグナル・イン・スペース（ＳＩＳ）をモニタすることができ、このモニタは、複数のＧＳＳにおいて測定して得られた測定値に基づいて行われる。個々のＧＳＳは、その位置が既知であるため、これによって、宇宙航行体（ＳＶ）の現在位置を推定することができ、また更に、その推定値に基づいて、個々のＳＶまでの距離の最大誤差（シグナル・イン・スペース・エラー、ＳＩＳＥ）を推定することができる。

ＳＩＳＥの分布予測を見れば、その分布（必ずしも正規分布ではない）が、最小の標準偏差を有するバイアスのない正規分布によって、外包（オーバーバウンディング）し得るものであることが分かり、我々はこれをもって前提条件としている。また、その最小の標準偏差は、シグナル・イン・スペース・アキュラシー（ＳＩＳＡ）と呼ばれるものである。そして、その分布は、ＳＶの実際の４次元位置（軌道上の位置とクロックとを組合せた４次元位置）と、ナビゲーション・メッセージによって表されている予測された４次元位置との差分を表すものである（図３参照）。

更に、ＳＩＳＥの推定値を求めるプロセスそれ自体にも誤差が付随する。これに関しては、ＳＩＳＥの実際値の分布が、ＳＩＳＥの推定値を中心値とする正規分布で表されるということを前提条件とするようにしている。この正規分布の標準偏差は、シグナル・イン・スペース・モニタリング・アキュラシー（ＳＩＳＭＡ）と呼ばれるものである。このＳＩＳＭＡの値は、ＳＩＳＥの推定値を求めるために利用される複数のＧＳＳと複数のＳＶとの間のジオメトリに基づいて求められる。従って、ＳＩＳＥの実際値とＳＩＳＥの推定値との間の差分を、標準偏差がＳＩＳＭＡである正規分布によって表すことができる（図３参照）。

ガリレオ・ナビゲーション・システムは、そのインテグリティ提供方式の範囲内で、複数のＧＳＳによって得られた測定値に基づいてＳＩＳＥの推定値を求めることにより、障害発生状態にある衛星を検出するようにしている。即ち、ある衛星のＳＩＳＥの推定値が所定のスレッシュホールド値より大きかったならば、その衛星に対応したフラグを「利用禁止」に設定する。しかしながら、上で述べたように、ＳＩＳＥの推定値を求めるプロセスそれ自体にも誤差が付随しているため、ある衛星のＳＩＳＥの推定値が所定のスレッシュホールド値より小さくても、その衛星のＳＩＳＥの実際値がそのスレショルド値より大きいことがあり得るということを考慮しなければならない。このことは、「検出失敗」があり得るということに他ならない。

インテグリティ・フラグ・スレッシュホールドＴＨの値は、虚偽アラームが発せられる確率が、所要の上限値以下になるように選択しなければならない。虚偽アラームが発せられるのは、ある衛星に対するフラグを「利用禁止」に設定する必要がないにもかかわらず、そのように設定した場合である。換言するならば、ＳＩＳＥの推定値（ＳＩＳＥｅｓｔ）はそのスレショルドＴＨより大きいが、ＳＩＳＥの実際値はそのスレッシュホールドＴＨより小さいという場合に、虚偽アラームが発せられるのである。

＜インテグリティ・アラート機能＞
ガリレオ・ナビゲーション・システムのインテグリティ機能は、ガリレオ・ナビゲーション・システムを利用してナビゲーションを行ってはならない状況になったときに、その旨を適切な時間内にユーザに警告するための、ガリレオ・ナビゲーション・システムのサービスである。

更に、このインテグリティ機能は、ユーザがこのサービスに置き得る信頼度にも関係している。この信頼度の大小を表す指標となるのがインテグリティ・リスクである。このインテグリティ・リスクとは、ユーザに対して警告がなされるべきであるにもかかわらず警告がなされないという事態が発生する確率である。これは、ハザダス・ミスリーディング情報（ＨＭＩ）と呼ばれている。

ガリレオ・ナビゲーション・システムのインテグリティ機能は、ユーザにインテグリティ情報を提供する。ユーザに提供されるインテグリティ情報には、下記についての情報のみが含まれている。
・ＳＶが放送しているＳＩＳの品質についての情報（即ちＳＩＳＡ）
・ＳＶが放送しているＳＩＳをモニタしている地上セグメントのモニタ動作の正確度についての情報（即ちＳＩＳＭＡ）
・ＳＶが放送しているＳＩＳのうちの、使用してはならないＳＩＳについての情報（即ち、インテグリティ・フラグ及びインテグリティ・フラグ・スレッシュホールド）

本発明においては、ユーザが以上の情報に基づいて、そのユーザに固有のインテグリティ・リスクの値を求めるようにしている。インテグリティ・リスクの値は常に、所定のアラート・リミットの値に対する値として算出される。アラート・リミットとは、測位値の偏差がその値までならば警戒状態に入る必要がない、測位値の偏差の許容最大値である。所定のアラート・リミットの値に対する値として算出したインテグリティ・リスクの値がインテグリティ・リスクの許容最大値より大きかったならば、ユーザの装置はアラートを発する。

所定のアラート・リミットの値に対するインテグリティ・リスクの値の算出は、その算出に必要とされる全ての寄与要因の分布がいずれも正規分布を成していることを前提条件とすることができるならば、それによって単純化することができる。この前提条件を正当化する方法は、寄与要因の分布を正規分布で外包（オーバーバウンディング）することが可能で且つ必要な場合に、その外包を行うことである。

所定のアラート・リミットの値に対するインテグリティ・リスクの値を算出するのに必要な各項目について、以下に再度説明しておく。
□ＳＩＳＥ：
・ＳＩＳＥは、ＳＩＳにおける距離の誤差の許容最大値であり、ＳＩＳＥの発生要因としては、ＳＶそれ自体、ＳＶのペイロード、それに、ナビゲーション・メッセージ（即ち、エフェメリスデータ、クロック、等々）がある。
□ＳＩＳＡ：
・ＳＩＳＥの値の分布が正規分布を成していることはあり得ないため、外包法を用いて、このＳＩＳＥの値の分布を、その分布を外包する正規分布によって表すようにする。
・ＳＩＳＥの値の分布の特性はこのＳＩＳＡによって表され、このＳＩＳＡは、無障害状態にあるＳＩＳのＳＩＳＥの値の分布を外包する正規分布の、最小標準偏差の予測値である。
□ＳＩＳＭＡ
・ＳＩＳＥの値を直接的に測定することは不可能であるため、測定データに基づいてＳＩＳＥの値を推定しなければならない。
・ＳＩＳＥの値を推定した結果として得られるものがＳＩＳＥ推定値（ｅＳＩＳＥ）である。
・ＳＩＳＥの値とｅＳＩＳＥの値との差分は分布を有する。この分布をＳＩＳＭＡと呼ばれる標準偏差を有する正規分布によって外包する。この値は標準偏差の最小の値となる。
□インテグリティ・フラグ及びインテグリティ・フラグ・スレッシュホールド
・あるＳＩＳのｅＳＩＳＥの値が、当該ＳＩＳＥに対して予め定められているインテグリティ・フラグ・スレッシュホールドの値より大きかったならば、当該ＳＩＳのインテグリティ・フラグを「ノットＯＫ」に設定する。
・インテグリティ・フラグ・スレッシュホールドの値は、ＳＩＳＥの分布と、ＳＩＳＥとｅＳＩＳＥとの差分の分布と、虚偽アラートの許容確率とから算出される。

ユーザは、みずからに固有のインテグリティ・リスクの値を以下の項目から算出する。それらは、固定値、または、ＳＩＳからユーザへ放送される値である。
・当該ユーザと複数のＳＶの夫々との間の相対ジオメトリ
・伝搬誤差、受信誤差、及びＳＶが放送しているＳＩＳの誤差を含む、ＳＩＳの誤差バジェット
・インテグリティ・フラグ

当該ユーザと複数のＳＶの夫々との間の相対ジオメトリは、当該ユーザの現在位置の推定値と当該複数のＳＶのエフェメリスとから算出される。

伝搬誤差の分布及び受信誤差の分布については、容認される幾つかのモデルが存在している。それらモデルを受信機の補助的測定値として供給するようにしてもよい。

ＳＶが放送しているＳＩＳの誤差に関しては、個々のユーザにおいて以下のことを前提条件とするようにしている。
・無障害状態にあるＳＶについては、当該ＳＶが放送しているＳＩＳの誤差の分布が、標準偏差ＳＩＳＡを有する正規分布によって外包される。
・無障害状態ではないＳＶについては、当該ＳＶが放送しているＳＩＳの誤差とインテグリティ・フラグ・スレッシュホールドとの差分の分布が、標準偏差ＳＩＳＭＡを有する正規分布によって外包される。

インテグリティ・フラグ情報は、そのインテグリティ・フラグが設定されたＳＩＳを、ナビゲーション及びインテグリティ・ソリューションから排除するためのものである。

＜インテグリティ情報の配信＞
以上に説明したインテグリティ提供方式においては、以下に列挙する情報がユーザに配信される。
・ナビゲーション・メッセージ：このメッセージは、通常のナビゲーション・メッセージのコンテンツに加えて更に、当該衛星のＳＩＳＡの値を含んでいる。このメッセージは概ね３０秒毎に更新される。
・インテグリティ・メッセージ：このメッセージは、ナビゲーション・メッセージと同様に概ね３０秒毎に更新される。このメッセージは、各々のＳＩＳに対応したＳＩＳＭＡの値とＩＦの値とから成るインテグリティ・テーブルの全体を含んでいる。
・チェックサム及びコネクティビティに関するステータス：インテグリティのチェックサム及びコネクティビティに関するステータス（インテグリティがどのようにして算出されたか）は、概ね１秒毎に更新される。
・アラート：必要に応じてどの衛星に関しても、当該衛星についてのアラートが、リアルタイムで（概ね１秒毎に）送出されるようにしてある。

≪ユーザ・インテグリティ提供方式≫
＜前提条件＞
ユーザ・インテグリティ・リスク算出式を導出するための前提条件は、以下のように要約される。
・「無障害状態モード」では、ある衛星のＳＩＳＥ実際値は、平均値が０で標準偏差がＳＩＳＡの正規分布（ＳＩＳＥ〜Ｎ（０，ＳＩＳＡ））をなしているものとする。従って、ＳＩＳＡの信頼水準は１であるものとする。
・一般的に、障害発生状態にある衛星は検出され、その検出された衛星に対応したフラグが「利用禁止」に設定される。
・いかなる時点においても、フラグが「ＯＫ」に設定されている衛星のうちの１つの衛星は、障害発生状態にあるにもかかわらずそのことが未検出であるものと見なす（「障害モード」）。この衛星においては、ＳＩＳＥ実際値は、期待値がＳＩＳＥ推定値（ＳＩＳＥｅｓｔ）であって標準偏差がＳＩＳＭＡの正規分布（ＳＩＳＥ〜Ｎ（ＳＩＳＥｅｓｔ，ＳＩＳＭＡ）であるものとし、従ってここでも信頼水準は１であるものとする。ただし、ＳＩＳＥ推定値（ＳＩＳＥｅｓｔ）はユーザには未知であるため、ＳＩＳＥｅｓｔの悲観的推定値として、スレショルドＴＨを用いる。従って、障害発生状態にあるがフラグがまだ「利用禁止」に設定されていない衛星のＳＩＳＥ実際値の分布は、期待値がスレショルドＴＨであって標準偏差がＳＩＳＭＡの正規分布（ＳＩＳＥ〜Ｎ（ＴＨ，ＳＩＳＭＡ））であるものとする。
・ある時点において同時に２個以上の衛星が障害発生状態にあるがそれらの障害が未検出である確率は、ユーザ・インテグリティ・リスク算出式においては無視可能であるものとする。複数障害及び共通障害は、インテグリティ・ツリーの別のブランチに割り当てられており、それには、ＳＩＳＡ未検出及びＳＩＳＭＡ障害（０参照）が含まれている。従って、それらの事象はユーザ・インテグリティ・リスク算出式に対しては割り当てられていない。

以上の前提条件に基づくならば、ユーザは、みずからの現在位置が地球上のどの位置にある場合でも、そのユーザの測位値に関するインテグリティ・リスクの値を算出することができる。

＜所定のＡＬの値に対するユーザ・インテグリティ・リスクの算出＞
本発明によれば、ユーザに対するインテグリティの値を算出するための方法として、以下の２つの方法が可能である。
１．どれくらいの大きさの誤差が所定のインテグリティ・リスクの値を満足できるかを算出する（保護レベル法）。
２．所定のアラート・リミット（ＡＬ）の値に対するインテグリティ・リスクの値を直接的に算出する。

第１の方法を用いる場合には、各々の障害メカニズムに対して寄与度配分を固定しておき（例えばＷＡＡＳの寄与度配分では水平方向誤差には２％を、垂直方向誤差には９８％を配分している）、水平方向誤差の保護レベル（ＨＰＬ）の値と、垂直方向誤差の保護レベル（ＶＰＬ）の値とを算出する。

尚、ＨＰＬの値が大きくなるユーザ・ジオメトリと、ＶＰＬの値が大きくなるユーザ・ジオメトリとは同じではない。ＷＡＡＳでは、水平方向に２％を割当てているため、このことを考慮する必要はない。更に、ＷＡＡＳでは、ガリレオ・ナビゲーション・システムと比べれば、アベイラビリティに関する要求条件がそれほど厳しくないため、固定寄与度配分に起因するアベイラビリティの低下は、許容範囲内であるといえる。

ガリレオ・ナビゲーション・システムの場合には、４つの障害メカニズムを考慮に入れるのがよく、それら４つの障害メカニズムとは、水平方向誤差と垂直方向誤差と、その夫々における無障害状態と単一の未検出障害が存在する状態とに対応したメカニズムである。

本発明においては、それら４つの障害メカニズムの各々について、所定のアラート・リミット（ＡＬ）の値に対するインテグリティ・リスクの値を算出し、そして、それら４つの寄与分を合計した合計値を、インテグリティ・リスクの要求条件値と比較するようにしている。この方式は、第２の方法に対応した方式である。

＜ユーザ・インテグリティ算出式＞
上で詳細に説明したように、インテグリティ・リスクの値を算出するためにユーザ・レベルで用いられる情報には、以下のものがある。
・インテグリティ・フラグ
・各々の衛星のＳＩＳＡの値
・各々の衛星のＳＩＳＭＡの値、それに、
・ＳＩＳＡ及びＳＩＳＭＡによるスレッシュホールド値

誤差の分布が、目標とする基準枠内に納まる既知の分布であるならば（標準偏差が夫々ＳＩＳＡ及びＳＩＳＭＡを有する正規分布で外包された分布）、ユーザ・インテグリティ算出式に組込まれている障害発生状態と無障害状態との両方における状態において、付随するインテグリティ・リスクの値の算出プロセスは非常に簡明なものとなる。

従って、垂直方向の誤差分布（１次元の正規分布）と、水平方向の誤差分布（２つの自由度を有するカイ二乗分布）とについて誤差分布を求めればよく、それら両方の誤差分布を、所定の限界値（アラート・リミット）について積分した値を解析することによって、その所定のアラート・リミットの値に対するインテグリティ・リスクの値を算出することができる。

この複合ユーザ・インテグリティ・リスクの値は、以下の算出式によって算出することができる。

＜重要なパフォーマンス要求条件＞
広範なサービス・ボリューム・シミュレーション（ＳＶＳ）解析を行った結果、要求されるインテグリティ及びアベイラビリティについての全体パフォーマンスは、ＳＩＳＭＡの値が、ノミナルモードと劣化モードとについて規定した以下の仕様条件値より小さければ、満足されるということが判明している。

ここで「ノミナルモード」とは、地上セグメントが正常であると共に宇宙空間セグメントが正常である（２７個のＳＩＳがアベイラブル（利用可能）である）状態をいい、一方「劣化モード」とは、地上セグメント及び／または宇宙空間セグメントが劣化している（２６個のＳＩＳしかアベイラブルでない）状態をいう。

更なるハイライトとして、以上の重要なパフォーマンス要求条件は、ユーザ仰角を１０°としたサービス・ボリューム・シミュレーションによって求めたものである。即ち、このマスキング角度より高い仰角からのＳＩＳだけを用いるようにして求めたものである。

≪システム・パフォーマンス寄与度配分≫
このように全体としてのインテグリティ値を算出する方法では、インテグリティ、コンティニュイティ、及びアベイラビリティの夫々の仕様条件をシステム・レベルの要求条件値として規定し、そしてその要求条件値に対する寄与度をセグメント・レベルへ配分して行くことによって、セグメント・レベルでの要求条件値を定めるようにしている。このトップ・ダウン方式の寄与度配分は、通常、各要求条件ごとに寄与度配分ツリーを作成することによって行うようにしている。

以下の説明では、インテグリティ、コンティニュイティ、及びアベイラビリティの夫々に関するハイレベルのトップ・ダウン方式の寄与度配分について、その概要を説明する。また、その説明は、以上に説明したインテグリティ提供方式を考慮したものである。

≪インテグリティ寄与度配分ツリー≫
＜トップ・レベルの寄与度配分＞
ユーザ・レベルでインテグリティ・リスクの値を算出するための上に示した算出式は、インテグリティ事象を引き起こす可能性のある以下のモード及び障害メカニズムに対応している。
１．全ての衛星が無障害状態にある
２．インテグリティ・フラグが「ＯＫ」に設定されている衛星のうちで最も状態の悪い衛星は障害発生状態にある（ＳＩＳＭＡがスレッシュホールドのレベルにある）

これは、位置に関する所定のＨＭＩリスクの全体値に寄与する「無障害または単一ＳＩＳ ＨＭＩ」という寄与要因として配分される。このトップ・レベルの有害事象は、インテグリティが特に重視されるクリティカル・オペレーションの実行期間中にＨＭＩ発生確率が許容上限値を超えてしまい、しかも、ユーザがその旨をＴＴＡとして定められている所定時間以内に警告されないという状況下で、測位値の算出が行われるという事態に関係するものである。

先に言及したユーザ・インテグリティ算出式
・「無障害または単一ＳＩＳ ＨＭＩ」：この事象が表している状態は、測位値を算出するために用いられている全ての信号が正常なパフォーマンスを維持している状態（無障害状態）か、或いは、測位値を算出するために用いられている信号のうちのただ１つだけが未検出の障害の影響を受けている状態（システムに起因する単一ＳＩＳ障害）かの、いずれかの状態である。後者の障害状態には、単一ＳＩＳＡ障害及び単一ＳＩＳＭＡ障害の場合は含まれず、なぜならば、これらは後述する「複数ＳＩＳ障害」のブランチにおいて割り当てられているからである。
の他に、

インテグリティ・リスクの全体値に寄与するその他の寄与要因であって、インテグリティ事象を発生させる可能性のあるものとしては、以下の寄与要因がある。
・「ノン・ローカル・エフェクトに起因するインテグリティ拡散障害」：このブランチには、インテグリティ情報の拡散に付随する誤差が原因となって位置に関するＨＭＩが発生することになる全ての事象が包含される。これら事象は、少なくとも１つのＳＩＳが障害発生状態にあるときにのみ発生する事象である。
・「複数ＳＩＳ障害」：このブランチは、ナビゲーション・データの算出プロセスに障害が発生しているか、或いは、互いに独立した複数の信号が同時に障害発生状態にあるかのいずれかに起因して、少なくとも１つのＳＩＳが障害発生状態となっていることを表している。
・「受信機障害」：受信機を原因とする寄与要因は、システムのインテグリティ寄与度配分の一部ではなく、システムの要求条件とは別に規定されるものである。ただし理解を容易にするために、図面にはこれも併せて図示しておいた。

図４は、ハイレベルのインテグリティ寄与度配分を示した図である。

以下の説明では、インテグリティ寄与度配分ツリーの個々のブランチについて簡潔に説明することによって、インテグリティ寄与度配分の対象である夫々の障害メカニズムの概要を明らかにして行く。

＜無障害または単一ＳＩＳ ＨＭＩ＞
図４の左端のブランチは、上で説明したユーザ・インテグリティ・リスク算出式に関連した事象を包含するブランチであり、このブランチに割り当てされている寄与度は、図５に示したようにさらに分割されている。

図５に示した夫々の部分は、上で説明したようにして導出したユーザ・インテグリティ・リスク算出式の各項によって直接的に示されているものである（０参照）。図５の左側の縦列に含まれるセクションＢ及びＣの中の「無障害／保護喪失」と記したボックス及び「単一障害／保護喪失」と記したボックスの２つのボックスは、水平方向誤差及び垂直方向誤差における無障害状態と障害発生状態の障害メカニズムの間の寄与度配分を示している。

ユーザは所定のアラート・リミットの値に対するそのユーザに固有のインテグリティ・リスクの値を算出する必要があり、その算出したインテグリティ・リスクの値が「フォルトフリーまたは単一ＳＩＳ ＨＭＩ」に対して配分されている寄与度の値より小さかったならば、ユーザは、みずからのオペレーションを開始することができる（セクションＡ）。

＜拡散障害＞
「インテグリティ拡散障害／ノン・ローカル」のブランチには、インテグリティ情報の放送に付随する誤差が原因となって位置に関するＨＭＩが発生することになる全ての事象が包含される。これら事象は、少なくとも１つのＳＩＳが障害発生状態にあるときにのみ発生する事象である。

図６は、「拡散障害」のブランチのセグメント・レベルをさらに分割したものを示した図である。

既述のごとく、このブランチには、インテグリティ情報の拡散に付随する誤差が原因となって位置に関するＨＭＩが発生することになる全ての事象が包含される。従って、このブランチには、位置の推定（測位）に用いられているＳＩＳのうちの少なくとも１つのＳＩＳ（即ち、「１１」のＳＩＳのうちの少なくとも１つのＳＩＳであり、ここで「１１」とは、ユーザから見渡せる衛星の最大個数である）が障害発生状態にある場合に発生する有害状況が含まれ、また、ＧＭＳまたは衛星による拡散が適正に行われていない場合に発生する有害状況が含まれる。

「ＯＳＰＦミスリーディング情報（ＯＳＰＦ ＭＩ）」とは、１個または複数個の衛星のＯＳＰＦ出力にミスリーディング情報が含まれている（即ち、予測した軌道及びクロックの正確度の分布がＳＩＳＡによって適切に規定されていない）状況である。

＜複数ＳＩＳ障害＞
最後に、「複数ＳＩＳ障害」のブランチには、複数の独立した障害または共通障害が原因となって位置に関するＨＭＩが発生することになる全ての事象が包含される。従って、このブランチに包含される事象が発生し得るのは、複数の独立した単一ＳＩＳ障害が同時に発生したときか、ＳＩＳＡまたはＳＩＳＭＡの未検出障害によって共通ＳＩＳ障害が発生したときかの、いずれかの場合である。

このブランチに関して特に重要なことは、このブランチには、複数の独立した障害だけでなく、少なくとも１つのＳＩＳの共通障害も包含されていることである。従ってこのブランチには、ユーザ・インテグリティ・リスク算出式には含まれていない未検出ＳＩＳＡ障害及び未検出ＳＩＳＭＡ障害も包含されている。

図７に示したのは、「複数ＳＩＳ障害」のブランチの更に詳細なブロック図である。「共通の未検出ＳＩＳＡ障害」ＨＭＩの影響度は、「内部ＧＭＳ障害」として規定されており、これは「ＯＤ＆ＴＳ算出処理またはＳＩＳＡ算出処理の劣化」を引き起こし、そのため、無障害状態の場合には、少なくとも１個の衛星のＳＩＳＡ値が、ＳＩＳＥの分布を適切に規定しないことになる。

「共通のＳＩＳＭＡ障害」は、モニタリングに伴う誤差に起因する有害状況を表している。これに該当する事象が発生するのは、「１１」のＳＩＳのうちの少なくとも１つのＳＩＳが障害発生状態にあって、ＳＩＳＭＡの判定に失敗した場合、或いは、ＧＭＳまたは衛星によってＳＩＳＭＡ情報が壊された場合である。

≪コンティニュイティ寄与度配分ツリー≫
インテグリティ寄与度配分と同様に、ディスコンティニュイティに関する要求条件も、システム・レベルで規定した上で、その要求条件に対する寄与度をセグメント・レベルへ配分するようにしている。

＜前提条件＞
インテグリティ・サービスにおけるディスコンティニュイティの要求条件を保証するためには、コンティニュイティ・イクスポージャ・タイムの開始の時点で以下の２つの主要条件が満足されていなければならない。
・互いに独立した複数のリンクの存在：少なくとも２つの独立したインテグリティ・リンクをユーザが受信していること。これが必要であるのは、一方のリンクが障害発生状態（例えば衛星、アップリンク、またはＩＰＦの障害など）になっても、コンティニュイティ期間（１５秒間）は、インテグリティ情報（アラート）を受信できるようにしておくためである。
・クリティカル衛星の個数：現在ユーザ・ジオメトリに含まれているクリティカル衛星の個数が所定個数を超えないこと。クリティカル衛星の定義は、現在ユーザ・ジオメトリに含まれている衛星のうち、もしその衛星が失われまたは排除されたならば無条件で、インテグリティ・クリティカル・オペレーション実行期間中にＨＭＩ発生確率がその許容スレッシュホールド値を超えてしまうような衛星である。従って、１つのクリティカル衛星が失われたならば、「利用禁止」アラートが発せられ、現在実行中のクリティカル・オペレーションが即座に中止される。

＜トップ・レベルの寄与度配分＞
図８は、サービスの中止が必要となる事象へのトップ・レベルの寄与度配分を示した図である。

トップ・レベルの有害事象である「サービスの中止」は、あるクリティカル・オペレーションを開始する時点で予測されていなかったシステム事象が発生したために、そのクリティカル・オペレーションを中止しなければならない状況に対応している。

このようにクリティカル・オペレーションを中止すべき状況に至るのは、以下に列挙する懸念事象のうちの１つが発生したときである。
・「受信機のみの障害に起因する中止」：この事象は、受信機の障害に起因するサービスの中止である（インテグリティ寄与度配分を示した図と同様に、全体図とするために併せて図示しておいた）
・「インテグリティ・メッセージの喪失に起因する中止」：この事象は、サービス・ボリューム内の任意のロケーションに位置しているユーザへのインテグリティ・メッセージが失われることを考慮したものである。
・「ナビゲーション決定過程のミスリーディング情報」：この事象は、測位結果を求める過程において、ミスリーディング信号の排除が行われたという状況を表している（真アラート）。この真アラートの発生頻度は、継続して実行するクリティカル・オペレーションの実行期間中に「ナビゲーション決定過程のミスリーディング情報」という懸念事象が発生する確率によって決まるものであり、なぜならば、控え目に見積もってもＩＰＦアルゴリズムがこの懸念事象を検出する確率は１００％だからである。
・「ノン・ローカルなＳＩＳの障害または排除に起因する中止」：この事象は、１つの信号の喪失または排除によって、現在ジオメトリの中の残りの信号だけではＨＭＩ発生確率を許容上限値以下に抑えることができなくなるという状況下で、そのような１つの信号の喪失または排除へと個別に導く複数のノン・ローカルな障害に起因する中止状況に対する寄与度を表している。

インテグリティ・メッセージの喪失のブランチを説明した後に、ＳＩＳの障害または排除について更に詳細に説明することで、サービスの中止に至る可能性のある事象の全体について説明する。

＜インテグリティ・メッセージの喪失＞
「インテグリティ・メッセージの喪失に起因する中止」という懸念事象は、サービス・ボリューム内の任意の位置にあるユーザへ供給すべきインテグリティ・メッセージが失われるという状況に対応している。この事象が発生するのは、複数の衛星においてインテグリティ・データの生成に失敗した場合、並びに、冗長インテグリティ・リンクが失われた場合である。

図９は、インテグリティ・メッセージの喪失に対して配分されている寄与度のセグメント・レベルへの再配分を示した図である。

クリティカル・オペレーションの実行期間中にインテグリティ・データの判別機能が失われるのは、ガリレオ・ミッション・セグメント（ＧＭＳ）がインテグリティ情報そのものを生成できなかった場合の他に、ＧＭＳが要求条件として規定されているＳＩＳＭＡパフォーマンスを満足するインテグリティ情報を生成することができなかった場合がある。

図中右側のブランチは、リンク障害に起因するインテグリティ・メッセージの喪失に対応したブランチである。

クリティカル・オペレーションを開始する時点では少なくとも２つのインテグリティ・リンクが確保されていることが要求条件とされており、これが要求条件とされている理由は、クリティカル・オペレーションの実行中に１つのインテグリティ・リンクが失われる確率が、コンティニュイティ・リスクの全体よりも大きいからである。ユーザがクリティカル・オペレーションを開始する時点で２つのインテグリティ・リンクを確保していたならば、一方のインテグリティ・リンクが失われても、そのクリティカル・オペレーションを続行することができる。２つのインテグリティ・リンクは、互いに独立したエレメントによってユーザへインテグリティ情報を供給しており、そのことによって、互いに独立したインテグリティ・リンクとなっている。インテグリティ・リンクが障害発生状態になるのは、ＧＭＳがインテグリティ・メッセージのアップリンクに失敗した場合か、または、衛星の障害によってインテグリティ・リンクが失われた場合である。

＜ＳＩＳの障害または排除＞
「ノン・ローカルなＳＩＳの障害または排除に起因する中止」という懸念事象は、１つの信号の喪失または排除によって、現在ジオメトリの中の残りの信号だけではＨＭＩ発生確率を１５０秒間に亘って許容上限値以下に抑えることができなくなるという状況のなかで、１つの信号の喪失または排除へと個別に導く、複数のノン・ローカルな障害に起因する中止の影響度を表している。

システムがアベイラブルであるとの宣言がなされるのは、ユーザ・ジオメトリに含まれている互いに独立したクリティカル信号の個数が６個以下の場合に限られる。それらクリティカル信号は、それらのいずれもが、ＨＭＩ発生確率を許容上限値以下に抑える上で不可欠の（即ちクリティカルな）信号である。それらクリティカル信号のうちの１つでも失われたならば、ＨＭＩ発生確率は所定の許容上限値を超えてしまうため、ユーザはみずからが実行しているオペレーションを中止しなければならない。従って、サービスの中止に至るこの懸念事象に対して配分する寄与度の値は、独立した１つのＳＩＳの障害に対して配分している寄与度の６倍の値として算出されなければならない。

図１０は、サービスの中止に至る可能性のある「ＳＩＳの障害または排除」のブランチを示した図である。トップ・レベルの「ノン・ローカルなＳＩＳの障害または排除に起因する中止」のボックスの直ぐ下のボックス列によって、クリティカル衛星を６個までとすることが表されている。

「良好な信号であるにもかかわらず使用されていない（虚偽アラート）」というブランチは、クリティカル・オペレーションの実行中に、予期されていなかった適正信号の排除が行われたときに発生する中止という事象を反映したものである。

「信号のフラグが適正に「ダウン」に設定されている（真アラート）」というブランチは、個別の単一のＳＩＳ ＭＩ障害によってＩＰＦアルゴリズムの真アラートがトリガされた状況を表している。

「受信機に信号が到達していない」というボックスは、図９に示した「ＩＦメッセージを含むＳＩＳが受信されない」という懸念事象と同じものである。

≪アベイラビリティ≫
サービス平均アベイラビリティというパフォーマンスに関しては、ガリレオ・ナビゲーション・システムにとって適正状態といえる複数の状態を予め規定すると共に、ガリレオ・ナビゲーション・システムが各適正状態にある確率と、各適正状態におけるユーザ・レベルでのサービス・アベイラビリティの値とを特性値として定めておくという方法を採用している。ユーザ・レベルでのサービス・アベイラビリティというパラメータは、ユーザの現在位置が最悪の位置であっても、所定のアベイラビリティ基準値が確保され、ユーザがクリティカル・オペレーションを開始できるという判断をすることができる時間的なパーセンテージである。

従って、サービス平均アベイラビリティというパフォーマンスの値は、システムが各適正状態にあるときのサービス・アベイラビリティの値に、システムがその適正状態にある確率をもって重み付けした上で、全ての適正状態についてそれらを合計した値として算出される。それゆえ、サービス平均アベイラビリティというパフォーマンスの値を特性値として表すには、状態確率の決定要因である予測不可能な事象に関連した確率的パフォーマンスの値と、サービス・アベイラビリティのパフォーマンスの決定論的（予測可能）な値との両方を、信号ジオメトリに応じた所定の複数のシステム状態において評価しておく必要がある。

ナビゲーション・サービスにおけるパフォーマンスの要求条件（インテグリティ、コンティニュイティ、及びアベイラビリティの夫々の）が満足されているか否かについての最終的な評価は、ある特定のＳＯＬサービスについて、そのサービス平均アベイラビリティの値が９９．５％であるという要求条件が満足されるか否かを、確認する（サービス・ボリューム・シミュレーションによって）ことによってなされる。所与の時刻及び空間位置において、ユーザ・レベルでのサービス・アベイラビリティが確保されていることを宣言するためには、コンティニュイティ・パフォーマンスとインテグリティ・パフォーマンスとの両方の要求条件が満足されている必要がある。

〔ユーザ・インテグリティ・アルゴリズム〕
≪インテグリティのアベイラビリティ≫
各々の測位値確定エポックにおいて、ユーザは、以下に列挙する条件の全てが満足されていたならば、クリティカル・オペレーションを開始することができる。
・ガリレオ・ナビゲーション・システムの受信機（ＧＮＳ受信機）がナビゲーションに必要な測位結果を出力できる状態にある。
・ＧＮＳ受信機がインテグリティ・パフォーマンス及びコンティニュイティ・パフォーマンスを予測できる状態にある。
・後続のクリティカル・オペレーションの実行期間中のＨＭＩ発生確率の予測値が所定の所定値を超えていない。
・後続のクリティカル・オペレーションの実行期間中のサービス中止の確率の予測値が所定値を超えていない。
・少なくとも２つの互いに独立した衛星経路を介してインテグリティ・メッセージを受信している

ユーザ・レベルでサービス・アベイラビリティを判定するということは、ユーザが、各々の測位値確定エポックにおいて、みずからのサービス・インテグリティ・パフォーマンス及びサービス・コンティニュイティ・パフォーマンスを予測できなければならないことを意味している。そのために、ユーザの受信機の内部で特別のアルゴリズムを実行させるようにしている。このアルゴリズムは、以下に列挙するメッセージをユーザへ発する。
・「通常オペレーション」メッセージ：このメッセージは、上に列挙した条件の全てが同時に満足されているときに出力されている。
・「利用禁止」アラート・メッセージ：このメッセージは、ＨＭＩ発生確率の予測値が所定値を超えているか、または、ユーザの受信機がインテグリティ・メッセージを受信していないときに出力されている。この場合、ユーザは、現在実行中のオペレーションを即座に中止しなければならず、従って、完全な中止に至ることになる。
・「開始禁止」メッセージ：このメッセージは、ノン・インテグリティ状態の確率が所定値以下であるが、ディスコンティニュイティ・リスクの予測値が所定の許容上限値を超えているか、または、ユーザの受信機が１つのインテグリティ・メッセージしか受信していないときに出力されている。この場合、ユーザはクリティカル・オペレーションを開始してはならないが、既にクリティカル・オペレーションを開始していたならば、それを完遂するまで継続して実行することができる。

ある時刻にサービスがアベイラブルであるか否かをユーザの受信機が判定する際に用いるルールは以下の通りである。
１．算出したＨＭＩ発生確率の値が所定の許容上限値以下である。
２．後続のクリティカル・オペレーション実行期間中のクリティカル衛星の個数が所定の上限値を超えない。

ユーザ・インテグリティ・アルゴリズムについては、以下の章において更に詳細に説明する。

≪アルゴリズムの諸機能≫
ユーザ・インテグリティ・アルゴリズムは、各々の測位確定エポックごとに、以下に列挙する諸機能を実行しなければならない。
１．個々のインテグリティ・データ・ストリームにおいて受信したインテグリティ情報が、地上インフラストラクチャのインテグリティ機能によって生成された正当なインテグリティ情報であることを確認する。
２．インテグリティ情報の正当性が確認された冗長する複数のインテグリティ・データ・ストリームのうちから、使用するインテグリティ・データ・ストリームを選択する。
３．正当性が確認されて選択されたインテグリティ情報及びナビゲーション情報に基づいてどの信号が有効信号であるかを判別する。
４．有効信号のみを考慮対象として、クリティカル・オペレーションの実行期間中における、所定のアラート・リミットの値に対するインテグリティ・リスクの値を算出する。
５．有効信号を送出している衛星のみを考慮対象として、クリティカル・オペレーションの実行期間中におけるクリティカル衛星の個数を算出する。
６．ユーザに対して以下のアラートを発生する。
・「通常オペレーション」（ユーザは、ナビゲーション・システムを利用したオペレーションの実行を開始することができ、また、既に実行を開始していたオペレーションがある場合には、ナビゲーション・システムを利用したそのオペレーションの実行を継続することができる。）
・「利用禁止」（ユーザは、ナビゲーション・システムを利用したオペレーションの実行を開始してはならず、また、既に実行を開始していたオペレーションがある場合には、ナビゲーション・システムを利用したそのオペレーションの実行を中止しなければならない。）
・「開始禁止」（ユーザは、ナビゲーション・システムを利用したオペレーションの実行を開始してはならないが、ただし、既に実行を開始していたオペレーションがある場合には、ナビゲーション・システムを利用したそのオペレーションの実行を継続することができる。）

≪インテグリティ情報の正当性検証≫
地上セグメントのインテグリティ機能が生成したインテグリティ情報には署名（証明）が付されており、それによってユーザの受信機がインテグリティ情報の正当性検証を行えるようにしてある。この正当性検証は、インテグリティ情報正当性検証機能によって必ず実行されなければならない。この正当性検証が行われることによって、インテグリティ情報の拡散が行われる際に、全く変化していないか、或いは、寄与度配分によって配分された確率をもって変化したインテグリティ情報だけが、正当なインテグリティ情報であると確認される。

正当性検証情報は、各エポック毎に、インテグリティ情報のデータ・ストリームに組込まれてユーザの受信機へ供給され、従って、正当性検証情報以外のその他のインテグリティ情報がユーザへ放送されない場合でも、正当性検証情報だけはユーザへ放送される。そのためユーザは、どのエポックにおいても、全てのインテグリティ情報を受信したか否かを判断することができる。

「通常オペレーション」の状態にあるとき、ユーザの受信機はインテグリティ情報のデータ・ストリームを受信するたびに正当性検証を実行している。また、ユーザの受信機は少なくとも２つの独立したインテグリティ情報のデータ・ストリームを受信している。

≪インテグリティ情報の選択≫
ユーザの受信機は、インテグリティ情報が正当なものであることが確認された複数のインテグリティ・データ・ストリームのうちから、ただ１つだけのインテグリティ・データ・ストリームを選択しなければならず、その選択したインテグリティ・データ・ストリームを用いて更なる処理を実行する。通常、選択するインテグリティ・データ・ストリームは、直前のエポックで使用していたインテグリティ・データ・ストリームと同じものである。

インテグリティ情報が正当なものであることが確認された複数のインテグリティ・データ・ストリームのうちから、直前のエポックで選択していたものとは異なるインテグリティ・データ・ストリームを選択して使用することになるのは、直前のエポックで選択していたインテグリティ・データ・ストリームがアベイラブルでなくなったか、或いは、直前のエポックで選択していたインテグリティ・データ・ストリームがインテグリティ・イクスポージャ・タイムの期間中の少なくとも１つのエポックにおいてアベイラブルでなくなると予測されたかの、いずれかの場合だけである。

もし、新たにオペレーションの実行を開始しようとしたときに、その時点で受信していた２つのインテグリティ・データ・ストリームの両方ともに、そのインテグリティ情報の正当性が正当なものであることが確認された場合には、それらの２つのうちの一方を任意に選択しなければならない。

≪有効信号の判別≫
使用する有効信号とは、その信号を受信する際の仰角が所定のマスキング角度より大きいことが予測されており、実際にユーザの受信機によって受信され、そして、以下に列挙する条件が満足されるような、全ての信号である。
１．その信号を送出している衛星の健全状態フラグが「不健全」に設定されていないこと。
２．選択したただ１つのインテグリティ・データ・ストリームに含まれているインテグリティ・フラグが「利用禁止」に設定されていないこと。
３．選択したただ１つのインテグリティ・データ・ストリームに含まれているインテグリティ・フラグが「モニタされていない」に設定されていないこと。
４．ユーザの受信機の内部において以下の状態が検出されていないこと。
・ＡＧＣのステータスが不良（オーバー・レンジ）である
・ＰＬＬが同期していない
・ナビゲーション・メッセージにパリティ・エラーがある
・データに無効問題が発生している
・エフェメリスエラー（偏心率、平均偏差、アウト・オブ・レンジ、エフェメリスデータ不着信、等々）
・エフェメリスが無効である
・ウォッチ・ドッグ・タイマがタイムアウトしている
・衛星の状態が「不健全」である
・ＳＷのインテグリティ・チェック結果（ＳＷのチェックサムが不適である）
・電離層遅延が補正不能である（１個の衛星について１つの周波数の測定値しか得られていない）
・内部計算エラー（高度、衛星座標、等々）
・クロック・モデルが無効である
・過度の干渉（ユーザ・レベルで対処可能）
・過度のマルチパス（ユーザ・レベルで対処可能）

≪インテグリティ・リスクの値の算出≫
インテグリティ・リスクの値の算出は、先に、＜ユーザ・インテグリティ・リスク算出式＞の章で示した計算式に従い、また、先に、＜システム・パフォーマンス寄与度配分＞の章で示したインテグリティ寄与度配分ツリーに従って行う。

＜クリティカル衛星＞
クリティカル衛星の定義は、ユーザ・ジオメトリに含まれる衛星であって、所定のアラート・リミットの値に対するインテグリティ・リスクの値を仕様条件値以下に維持する上で欠くべからざる衛星のことをいう。従って、ユーザの受信機は、ユーザ・ジオメトリに含まれるクリティカル衛星の個数を判定する機能を備えていなければならない。

クリティカル衛星の個数を判定するには、１つの有効信号が喪失した場合を想定し、全ての予測されるユーザ・ジオメトリについて、所定のアラーム・リミットの値に対するインテグリティ・リスクの値を算出する。クリティカル衛星とは、その衛星が排除されたならば、所定のアラート・リミットの値に対するインテグリティ・リスクの値が、寄与度配分によって定められているインテグリティ・リスクの値を超えてしまうような衛星である。

≪ナビゲーション・ウォーニング・アルゴリズム≫
「ナビゲーション・ウォーニング・アルゴリズム」は、現在エポックＴｏにおいてインテグリティを保持したナビゲーション・サービスがアベイラブル（利用可能）か否かを判断するための、並びに、後続のクリティカル周期Ｔｃにおいてインテグリティを保持したナビゲーション・サービスがアベイラブルか否かを予測するための、ルール集合を定めたものである。この目的を達成するために、このアルゴリズムは３つのレベルの出力を発生する。それらは以下の通りである。
１．「通常オペレーション」または「利用許可」メッセージは、現在エポックＴｏにおいて、ナビゲーション・サービスがアベイラブルであり、且つ、後続のクリティカル・オペレーション実行期間中においてもエンド・ツー・エンド・パフォーマンスの要求レベルにおいてナビゲーション・サービスがアベイラブルであると予測されることを示すメッセージである。この状態にあるとき、ユーザは現在エポックＴｏにおいてオペレーションを開始してもよく、また、現在実行中のオペレーションを継続して実行し続けてもよい。
２．「開始禁止」ウォーニング・メッセージは、現在エポックＴｏにおいてシステムがアベイラブルであるが、後続のクリティカル・オペレーション実行期間中に、ディスコンティニュイティ・リスクが認容可能な程度に低くあり続けることが保証されていないことを示すメッセージである。このウォーニング・メッセージは、クリティカル・オペレーション（例えば航空機の着陸進入動作など）を開始してはならないことを示しているが、ただしユーザは、現在実行中のクリティカル・オペレーションについては、それを完了するまで継続して実行し続けてよい。
３．「利用禁止」アラートは、ユーザが現在実行中のクリティカル・オペレーションを即座に中止しなければならないことを示しており、そうしなければならないのは、ＨＭＩの確率が指定値を超えているか、或いは、ＰＶＴ（位置、速度、及び時刻）の測定結果が失われているからである。

＜「通常オペレーション」メッセージ＞
「ナビゲーション・ウォーニング・アルゴリズム」は、各々の測位値確定エポックＴｏごとに、以下に列挙する条件が同時に満足されていたならば「通常オペレーション」メッセージを出力する。
１．現在エポックＴｏにおいて少なくとも２つのインテグリティ・データ・ストリームがアベイラブルである。
２．現在エポックＴｏにおいて「ＰＶＴアルゴリズム」によって算出された測定結果がアベイラブルである（「ＰＶＴアルゴリズム・アラート」が発せられていない）。
３．現在エポックＴｏにおいて「ＨＭＩ発生確率算出プロセス」によって算出された確率値がアベイラブルである（「ＨＭＩアルゴリズム・アラート」が発せられていない）。
４．現在エポックＴｏにおいて関連アルゴリズムにより予測された１５０秒間のＨＭＩ発生確率が所定のＨＭＩ発生確率スレッシュホールドを超えていない。
５．後続のクリティカル・オペレーション実行期間中に少なくとも２つのインテグリティ・メッセージが引き続きアベイラブルであることが予測されている。
６．クリティカル衛星の個数が６個以下であることが予測されている。

＜「利用禁止」メッセージ＞
「ナビゲーション・ウォーニング・アルゴリズム」は、各々の測位値確定エポックＴｏごとに、以下に列挙する条件のうちの１つ（ＯＲ）が満足されていたならば現在実行中のオペレーションを即座に中止すべき旨のアラート（「利用禁止」アラート）を出力する。
１．現在エポックＴｏにおいてインテグリティ・リンク・メッセージがアベイラブルでなく、または、後続のクリティカル・オペレーション実行期間中のいずれかのエポックにおいてインテグリティ・リンクがアベイラブルでなくなることが予測されている
２．「ＰＶＴアルゴリズム」が発したアラートによって、ＰＶＴの測定結果がアベイラブルでないことが示されている。
３．「ＨＭＩ発生確率算出アルゴリズム」が発したアラートによって、ＨＭＩ発生確率がアベイラブルでないことが示されている。
４．現在エポックＴｏにおいて関連アルゴリズムにより予測された１５０秒間のＨＭＩ発生確率が所定のＨＭＩ発生確率スレショルドを超えている。
５．クリティカル・オペレーションの開始時点から、ある衛星についてのインテグリティ・データ・ストリームによって少なくとも２つのＳＩＳＭＡ増大アラートが送信されてきており、そのうちの１つは複数ＳＩＳＭＡ増大アラートであり、その結果、ＨＭＩ発生確率が所定のＨＭＩ発生確率スレッシュホールドを超えている。

＜「開始禁止」ウォーニング＞
所与の測位値確定エポックにおいて以下に列挙する条件が同時に（ＡＮＤ）満足されていたならば、「開始禁止」ウォーニングを出力しなければならない。
１．現在エポックＴｏにおいて「ＰＶＴアルゴリズム」の処理結果がアベイラブルである（「ＰＶＴアルゴリズム・アラート」が発せられていない）。
２．現在エポックＴｏにおいて「ＨＭＩ発生確率」がアベイラブルである（「ＨＭＩ算出処理アラート」が発せられていない）。
３．現在エポックＴｏにおいて関連アルゴリズムにより予測された１５０秒間のＨＭＩ発生確率が所定のＨＭＩ発生確率スレショルドを超えていない場合には、「ナビゲーション・ウォーニング・アルゴリズム」は、以下に列挙する条件のうちの少なくとも１つが検証されたときに（ＯＲ）、「開始禁止」メッセージを出力する機能をそなえていなければならない。
・現在エポックＴｏにおいてただ１つだけのインテグリティ・リンク・メッセージしかアベイラブルでなく、しかも、後続のクリティカル・オペレーション実行期間中にただ１つだけのインテグリティ・リンク・メッセージしかアベイラブルでないと予測されている
・現在エポックＴｏにおいてクリティカル衛星の個数を判別できない（「クリティカル衛星予測アルゴリズム・アラート」が発せられている）
・後続のクリティカル・オペレーション実行期間中に７個以上の衛星がクリティカル衛星になる

≪アルゴリズム・フローチャート≫
図１１に、ナビゲーション・ウォーニング・アルゴリズムの全体フローチャートを示した。

図１１は、「利用禁止」「開始禁止」、及び「通常オペレーション」という様々なナビゲーション・ウォーニングに至る諸事象を、個々のアルゴリズム機能と共に要約して示したものである。

＜更なるコメント＞
ユーザの標準的な受信機について定めた仕様条件並びにそれに対応した通常環境について定めた仕様条件は、ユーザがその仕様条件に定めた通常環境下でオペレーションを実行するならば、以上に説明したインテグリティ提供方式の全体によって、その通常環境下において要求されるパフォーマンスが保証される。

更に、過度のローカル現象から保護されるようにするには、ユーザ・レベルでバリアを装備する必要がある（例えばＲＡＩＭアルゴリズムなど）が、ただしそれは、本明細書で説明すべき範囲の外のものである。

＜概要＞
本発明は、インテグリティ提供機能を備えた衛星方式のグローバル・ナビゲーション・システム並びにインテグリティ提供方法を提案するものであり、このインテグリティ提供方法は、そのために必要なモニタ機能を備えたものである。およそグローバル・ナビゲーション・システムであるならば、障害発生状態にある衛星を排除するためのモニタ機能は当然備えているものであるが、本発明に係るインテグリティ提供方式では、インテグリティを提供するためのそのモニタ機能が決して強力なものではないことに鑑み、ユーザ・レベルにおいてインテグリティ・リスクの値を算出する際に、そのようなモニタ機能では障害発生状態にあることが検出されていない衛星が１個存在している場合を考慮に入れるようにしたものである。

ユーザ・インテグリティ・リスク算出式は４つの障害メカニズムを考慮に入れており、それら４つの障害メカニズムとは、水平方向誤差と垂直方向誤差との夫々における、無障害状態と単一の未検出障害が存在する状態とに対応したメカニズムである。

従来のＳＢＡＳ方式とは異なり、それら障害メカニズムの間の寄与度配分を固定しておらず、それによって、地上インフラストラクチャが過度に複雑なものになることが回避されている。各々の障害メカニズムについての値を合計した複合インテグリティ・リスクの値が、所定のアラート・リミットの値に対する値として直接的に算出され、そしてその算出値が、対応する仕様条件値と比較される。このインテグリティ提供方式は、全体としてのインテグリティ寄与度配分の中に組込まれている。また、複合インテグリティ・リスクの値を算出するこの方式の効果は、典型的な寄与度配分固定方式に匹敵する方式であることが確かめられている。

また、サービス・アベイラビリティを保証するために、クリティカル衛星の概念を導入した。クリティカル衛星とは、その衛星を排除した場合に、所定のアラート・リミットの値に対して算出されるインテグリティ・リスクの値が、寄与度配分によって配分されているインテグリティ・リスクの値より大きくなるような衛星である。また、その他の懸念事象と併せて、コンティニュイティ寄与度配分ツリーの全体についても説明した。

以上に説明したインテグリティ提供方式によれば、ユーザ・アルゴリズムは様々な機能を備えている必要があり、それら諸機能については詳細に説明した通りである。

以上を要約するならば、利用可能なガリレオ・ナビゲーション・システムのアーキテクチャに適合するインテグリティ提供方式を開発して、それについて説明したものである。このインテグリティ提供方式は、アンアベイラビリティを０．５％にするという、インテグリティ及びコンティニュイティに関する非常に厳しい要求条件を満足することを保証するものであり、このアンアベイラビリティの値は、他の既知のＳＢＡＳ方式（アンアベイラビリティの値は通常５％である）と比べて、一桁ほども違う優れた値である。

グローバル・ナビゲーション・システムであるガリレオ・ナビゲーション・システムの周波数計画を示した図である。 ガリレオ・ナビゲーション・システムに用いられる、生命保安サービス（ＳｏＬ）をサポートするナビゲーション信号を示した図である。 シグナル・イン・スペース・アキュラシー（ＳＩＳＡ）及びシグナル・イン・スペース・モニタリング・アキュラシー（ＳＩＳＭＡ）を示した図である。 ガリレオ・ナビゲーション・システムのハイレベルの・インテグリティ寄与度配分を示した図である。 インテグリティ・リスクの値を算出するためのユーザ・ブランチのブロック図である。 拡散障害のブランチのブロック図である。 拡散障害のブランチの更に詳細なブロック図である。 コンティニュイティに関するトップ・レベルの寄与度配分を示したブロック図である。 「インテグリティ・メッセージの喪失」に関する寄与度配分を示したブロック図である。 「ＳＩＳの障害または排除」に関する寄与度配分を示したブロック図である。 ナビゲーション・ウォーニング・アルゴリズムのフローチャートである。

符号の説明

ＡＬ アラート・リミット
ＣＳ クリティカル衛星
ＥＲＩＳ イクスターナル・リージョナル・インテグリティ・サービス
ｅＳＩＳＥ ＳＩＳＥ推定値
ＦＥ 懸念事象
ＧＳＲＤ ガリレオシステム要件文書
ＧＣＳ ガリレオ・コントロール・ステーション
ＧＭＳ ガリレオ・ミッション・セグメント
ＧＳＳ ガリレオ・センサ・ステーション
ＨＭＩ ハザダス・ミスリーディング情報
ＨＰＬ 水平方向誤差の保護レベル
ＩＦ インテグリティ・フラグ
ＩＲ インテグリティ・リスク
ＭＥＯ 中高度軌道
Ｍｌ ミスリーディング情報
ＯＳ オープン・サービス
ＰＬ 保護レベル
ＰＲＳ 公的限定サービス
ＰＶＴ 位置、速度、時間
ＲＮＳＳ 無線ナビゲーション衛星サービス
ＳＡＲ 捜索救助
ＳＢＡＳ スペース・ベースド・オーグメンテーション・システム
ＳＩＳ シグナル・イン・スペース
ＳＩＳＡ シグナル・イン・スペース・アキュラシー
ＳＩＳＥ シグナル・イン・スペース・エラー
ＳＩＳＭＡ シグナル・イン・スペース・モニタリング・アキュラシー
ＳｏＬ 生命保安サービス
ＳＶ 宇宙航行体
ＳＶＳ サービス・ボリューム・シミュレーション
ＴＨ スレショルド
ＴＴＡ タイム・ツー・アラート
ＵＬＳ アップリンク・ステーション
ＶＰＬ 垂直方向誤差の保護レベル
ＷＡＡＳ ワイド・エリア・オーグメンテーション・システム

Claims (11)

1. グローバル・ナビゲーション・システムにおいて宇宙航行体から拡散される位置情報のインテグリティ・リスクを求める方法において、
   前記宇宙航行体により送信されたインテグリティ情報を受信すること、
   前記インテグリティ情報とさらなる情報とに基づいてインテグリティ・リスクの値を算出すること、
   及び、算出したインテグリティ・リスクの値がインテグリティ・リスク許容値より大きかったときにアラートを発すること、
   を含んでおり、
   前記インテグリティ情報が、
   シグナル・イン・スペース・アキュラシーＳＩＳＡと呼ばれる、宇宙航行体が放送しているシグナル・イン・スペースＳＩＳの品質についての情報と、
   シグナル・イン・スペース・モニタリング・アキュラシーＳＩＳＭＡと呼ばれる、前記グローバル・ナビゲーション・システムの地上セグメントによって行われている宇宙航行体が放送しているシグナル・イン・スペースＳＩＳのモニタリングの正確度についての情報と、
   前記グローバル・ナビゲーション・システムが障害発生状態にある宇宙航行体を障害発生状態にあると評価しているか否かを示している情報と、
   を含んでおり、
   前記インテグリティ・リスクを算出するためのステップは、前記シグナル・イン・スペース・アキュラシーＳＩＳＡと、前記シグナル・イン・スペース・モニタリング・アキュラシーＳＩＳＭＡと、前記さらなる情報とに基づいて前記インテグリティ・リスクを直接的に算出することを含んでいることを特徴とする方法。
2. 前記インテグリティ情報が、インテグリティ・フラグＩＦと呼ばれる、複数の宇宙航行体が放送しているシグナル・イン・スペースＳＩＳのうち、利用してはならないシグナル・イン・スペースＳＩＳについての情報を含んでおり、前記方法は、前記インテグリティ・リスクを算出するために前記インテグリティ・フラグＩＦを考慮に入れることを更に含んでいることを特徴とする請求項１記載の方法。
3. 前記インテグリティ情報が、各々のＳＩＳに対応したＳＩＳＭＡの値とインテグリティ・フラグＩＦとを包含したテーブルを含み、前記方法は、前記インテグリティ・リスクを算出するために前記テーブルを用いることを更に含んでいることを特徴とする請求項１又は２記載の方法。
4. 所定のアラート・リミットの値に対する前記インテグリティ・リスクの値を算出することを含み、該所定のアラート・リミットの値は、アラートを発する必要のない位置偏差の許容最大値であることを特徴とする請求項１ないし３のいずれか１項記載の方法。
5. 水平方向Ｐ _intRisk,H のインテグリティ・リスクの値と、垂直方向Ｐ _intRisk,V のインテグリティ・リスクの値との合計値として前記所定のアラート・リミットの値に対する前記インテグリティ・リスクの値を算出することを含むことを特徴とする請求項４項記載の方法。
6. 算出に用いられる全ての分布が正規分布であることを前提条件として、前記所定のアラート・リミットの値に対する前記インテグリティ・リスクの値を算出することを含むことを特徴とする請求項４又は５記載の方法。
7. インテグリティ・リスクの値の算出のための処理手段に用いられる前記更なる情報が、測位装置と宇宙航行体との間の相対ジオメトリと、伝搬誤差、受信誤差、及び宇宙航行体が放送しているシグナル・イン・スペースＳＩＳの誤差を含む、シグナル・イン・スペースＳＩＳの誤差バジェットと、インテグリティ・フラグＩＦと、を含むことを特徴とする請求項１ないし６のいずれか１項記載の方法。
8. 前記宇宙航行体が放送しているＳＩＳの誤差とインテグリティ・フラグ・スレッシュホールド値との差分の分布が、シグナル・イン・スペース・モニタリング・アキュラシーＳＩＳＭＡの標準偏差を有する正規分布によって外包（オーバーバウンド）されることを前提条件として、前記所定のアラート・リミットの値に対する前記インテグリティ・リスクの値を算出することを含むことを特徴とする請求項７項記載の方法。
9. グローバル・ナビゲーション・システムにおいて宇宙航行体から拡散される情報のインテグリティ・リスクを求める方法において、
   前記宇宙航行体により送信されたインテグリティ情報を受信し、
   前記インテグリティ情報が、
   シグナル・イン・スペース・アキュラシーＳＩＳＡと呼ばれる、宇宙航行体が放送しているシグナル・イン・スペースＳＩＳの品質についての情報と、
   シグナル・イン・スペース・モニタリング・アキュラシーＳＩＳＭＡと呼ばれる、前記グローバル・ナビゲーション・システムの地上セグメントによって行われている宇宙航行体が放送しているシグナル・イン・スペースＳＩＳのモニタリングの正確度についての情報と、
   前記グローバル・ナビゲーション・システムが障害発生状態にある宇宙航行体を障害発生状態にあると評価しているか否かを示している情報と、
   を含み、
   各々のインテグリティ・データ・ストリームにおいて受信したインテグリティ情報が、地上インフラストラクチャのインテグリティ機能によって生成された正当なインテグリティ情報であることを確認し、
   インテグリティ情報の正当性が確認された冗長する複数のインテグリティ・データ・ストリームのうちから、使用するインテグリティ・データ・ストリームを選択し、
   正当性が確認されて選択されたインテグリティ情報及びナビゲーション情報に基づいてどの信号が有効信号であるかを判別し、
   有効信号のみを考慮対象として、クリティカル・オペレーションの実行期間中における所定のアラート・リミットの値に対するインテグリティ・リスクの値を請求項１ないし８のいずれか１項に記載の方法により算出し、
   有効信号を送出している宇宙航行体のみを考慮対象として、クリティカル・オペレーションの実行期間中におけるクリティカル宇宙航行体の個数を算出し、
   ユーザに対して受信した情報を測位に用いるべきか否かを示すアラートを発生する、
   ことを特徴とする方法。
10. 前記地上インフラストラクチャの前記インテグリティ機能によって生成されたインテグリティ情報には署名が付されており、それによって受信機がインテグリティ情報の正当性検証を行えるようにしてあることを特徴とする請求項９記載の方法。
11. 空間内の測位装置の位置を測位するための情報を測位装置へ送信する複数の宇宙航行体を備えて成るグローバル・ナビゲーション・システムを利用して測位を行う測位装置において、
    前記宇宙航行体により送信されたインテグリティ情報を受信する受信手段と、
    前記インテグリティ情報と更なる情報とに基づいてインテグリティ・リスクの値を算出する処理手段と、
    算出したインテグリティ・リスクの値がインテグリティ・リスク許容値より大きかったときにアラートを発するアラート手段と、
    を備え、
    前記処理手段が請求項１ないし１０のいずれか１項記載の方法を実行することにより前記インテグリティ・リスクを算出するように構成されていることを特徴とする測位装置。

Images