CN105763527B - 用于已连接的飞行器的安全体系 - Google Patents

Abstract

用于已连接的飞行器的安全体系。公开了用于已连接飞行器的安全体系的系统和方法。在至少一个实施例中，航空电子服务器包括多个设备端口，其中该多个设备端口的每个耦合至多个设备网络接口卡的相应一个并专用于对应于相应设备网络接口卡的多个航空电子域的相应一个。此外，至少一个处理设备被配置成识别在多个设备端口的一个或多个处接收的来自相应用户的一个或多个信号并验证用户是否可以使用专用于通过其接收一个或多个信号的一个或多个设备端口的相应的航空电子域。

Description

用于已连接的飞行器的安全体系

技术领域

本发明涉及用于已连接的飞行器的安全体系的系统和方法。

背景技术

飞行器服务器向飞行器机上的用户提供各种应用和服务。通过各种用户设备提供给用户的应用和服务的类型包括但并不限于下面各项：飞行功能、客舱功能（cabinfunction）、天气数据应用、飞行中娱乐服务、乘客Wi-Fi等。这些不同的应用和服务被分组成具有不同访问需求的不同的航空电子域（avionic domain），这取决于将可以使用该应用和服务的用户的类型。例如，假设飞行人员能够可以使用飞行中娱乐系统，但是乘客不能。进一步假设乘客能够可以使用天气数据应用。在这个示例中，该飞行中娱乐系统可被包括在具有第一访问需求集合的第一航空电子域中，使得飞行人员能够访问此第一航空电子域，但是乘客不能。此外，该天气数据应用可包括在具有第二访问需求集合的第二航空电子域中，使得乘客可以访问第二航空电子域。

发明内容

公开了一种用于已连接的飞行器的安全体系的系统和方法。在至少一个实施例中，航空电子服务器包括多个设备端口，其中该多个设备端口的每个被耦合至多个设备网络接口卡中相应的一个，并专用于多个航空电子域中对应于相应设备网络接口卡的相应一个。进一步地，至少一个处理设备被配置成识别来自相应用户的在多个设备端口的一个或多个处接收的一个或多个信号并验证该用户是否可以使用专用于通过其接收一个或多个信号的一个或多个设备端口的相应的航空电子域。

附图说明

应当理解附图仅描述示例性实施例并因此不被认为是在范围方面的限制，通过使用附图，该示例性实施例将以附加的特征和细节被描述，其中：

图1是用于飞行器机上的服务器的示例性安全体系的框图；

图2是改善飞行器机上的服务器的安全体系的示例方法的流程图。

根据一般惯例，各种描述的特征并不按比例绘制而是被绘制成强调与示例性实施例相关的特定特征。

具体实施方式

在下面的详细描述中，参考形成其一部分的附图，并且其中通过图示的方式示出了特定说明性实施例。然而，应当理解可利用其它实施例并且可作出逻辑、机械和电气的改变。此外，附图和说明书中提出的方法并不被解释为限制其中可执行单个步骤的顺序。因此，下面的详细描述并不以限制性的意义进行。

如上面讨论的，不同的域允许不同用户可以使用包括在域的每个中的各种相应的服务器应用和服务。在用于航空电子服务器的传统体系中，一个或多个交换机控制从用户设备发送至多于一个域的信号的流动。更具体地，用户设备发送信号至网络接口卡。网络接口卡耦合至将把信号指引到多于一个域的交换机。例如，在一个实施例中，如果乘客试图访问包括天气数据应用的航空电子域，则信号被发送至耦合到交换机的网络接口卡。该交换机将然后使该信号从乘客的设备路由至包括天气数据应用的域。进一步地，该同一交换机可接收从飞行人员设备发送至同一网络接口卡的信号。该交换机将然后使该信号路由至包括该飞行中娱乐系统的域。虽然对此方法存在某些安全性，但此体系并不如它应当是的那样安全。原因是因为用户可能能够操纵该交换机将来自用户设备的信号发送至一个域，该域与该信号应当针对的域不同。通过使信号改向，用户可以潜在地对服务器造成损害。例如，在信号被改向至飞行中娱乐系统的实例中，乘客可以潜在地使用该娱乐系统发布可能引起恐怖、恐慌或者愤怒的消息，诸如发布命令所有乘客移动到飞行器的尾部的来自飞行员的虚假消息，这可以使重心移位，足以使飞行器坠毁。

在本公开中讨论的实施例通过去除在多于一个航空电子域之间指引信号的交换机来增强用于航空电子服务器的体系的安全性。特别地，本公开中的实施例具有多个设备网络接口卡，每个耦合至航空电子服务器上的多个设备端口的相应一个。进一步地，多个设备端口的每个专用于多个航空电子域的相应一个，其对应于相应的设备网络接口卡。因此，发送至航空电子服务器上的航空电子域或从其接收的任何信号将通过一个设备端口。因此，航空电子服务器可配置成识别用户正向其发送信号的特定设备端口并验证用户是否可以使用专用于用户通过其发送信号的一个或多个设备端口的相应的航空电子域。这相比于通过交换机将信号指引到各种域来说能够实现更加鲁棒（robust）的防火墙和用于航空电子服务器的威胁跟踪，如在下文更详细地描述的。术语“航空电子域”和“域”将遍及本公开而可互换地使用。进一步地，术语“航空电子服务器”和“服务器”将遍及本公开而可互换地使用。

图1是包括用于飞行器服务器的安全体系的示例系统100的框图。在一些实施例中，至少一个航空电子服务器102是飞行器机载的应用计算平台。航空电子服务器102可包括任何数目的虚拟机，其能够实现作为主机运行（hosting）不同的操作系统（OS）。在这些OS内，不同的应用和服务110A-110C可由不同设备120A-120C使用。应用和服务110A-110C中的每个被分组至不同的域108A-108C中，其具有不同的访问需求。应用和服务110A-110C可包括但不限于：飞行功能、客舱功能、天气数据应用、飞行中娱乐服务、以及乘客Wi-Fi，用于机载设备120A-120C。访问应用和服务110A-110C的机载设备120A-120C的示例包括但不限于：飞行员和机组成员设备，诸如飞行管理计算机（FMC），控制管理单元（CMU）以及飞行中娱乐系统（IFL）；WiFi接入点；以及乘客设备，诸如笔记本、平板电脑和移动电话。

为了提供用于机载设备120A-120C的数据服务，航空电子服务器102从数据链路104接收信号。在一些实施例中，数据链路104可使用各种卫星通信协议发送和接收信号，所述卫星通信协议包括但不限于：国际海事卫星组织（Inmarsat）、铱星（Iridium）、舒拉雅（Thuraya）、和多功能运输卫星（MTSAT）以及未来系统，诸如虹膜（Iris）、航空移动机场通信系统（AeroMACS）和下一代铱星（Iridium NEXT）。来自数据链路104的信号然后可通过数据链路网络接口卡106被发送至数据链路端口107。处理设备116然后可将来自数据链路端口107的信号指引到适当的域108A-108C，这取决于信号的内容。

如上文所述，服务器具有多个域108A-108C，其中每个域108A-108C包括一组相应的应用和服务110A-110C，诸如飞行功能、客舱功能、天气数据应用、飞行中娱乐服务、乘客Wi-Fi等，供用户设备120A-120C使用。每个域108A-108C具有不同的访问需求，这取决于应当可以使用包括在每个域108A-108C中的相应的应用和服务110A-110C的用户的类型。为了限制访问并保护在每个域108A-108C中的相应的应用和服务110A-110C，对于每个域108A-108C来说可在服务器102中包括单独的防火墙112A-112C和不同的密码。例如，域108A-108C中的每个按要求可具有Wi-Fi受保护访问II（WPA2）加密标记。这与其中不存在用于每个域108A-108C的专用防火墙的传统实施方式形成对比。因此，相比于在传统实施方式中，在本公开的实施例中存在更多的灵活性，如下文所讨论的。遍及本公开，术语“域”还将指的是包括在域中的相应的应用和服务。

一些示例域包括但不限于下面各项：飞行器控制域（ACD）、航空公司信息服务域（AISD）、乘客信息和娱乐服务域（PIESD）和乘客拥有的设备域（PODD）。在一些实施例中，这些域中的一个或多个可包括在域108A-108C中。ACD包括其主要功能是控制飞行器的应用和服务，例如飞行控制功能和导航系统。在一些实施例中，ACD也可执行非安全性相关的功能。如上文所提到的，在一些实施例中，ACD可被包括在域108A-108C中，并且因此，与其它域在同一服务器102上；然而，在其它示例性实施例中，由于安全原因，ACD将并不位于与其它的域相同的服务器102上。AISD包括由客舱工作人员使用的应用和服务，诸如客舱操作、飞行支持、客舱维护和管理支持。PIESD可包括用于乘客娱乐的应用和服务，诸如用于飞行中娱乐（IFE）系统的服务，以及网络服务。PODD是提供应用和服务的域，诸如Wi-Fi，以用于乘客可能带到机上的设备，诸如笔记本、平板电脑和智能手机。如上文所述，不同的域108A-108C中的每个具有不同的访问需求。例如，仅飞行员可能能够访问ACD，而飞行员和飞行人员可访问AISD和PIESD。然而，乘客仅能够访问PODD。

为了进一步增强域108A-108C的安全性，航空电子服务器102包括多个设备端口114A-114C。多个设备端口114A-114C的每个耦合至多个设备网络接口卡（设备NIC）118A-118C的相应一个并专用于对应于相应设备NIC 118A-118C的域108A-108C的相应一个。用另一种方式来说，通过单个设备NIC 118A-118C来访问域108A-108C中的每个，所述单个设备NIC耦合至用于试图要被访问的域108A-108C的单个相应的设备端口114A-114C。在一些实施例中，设备NIC 118A-118C可被包括在航空电子服务器102中。

因为域108A-108C中的每个通过相应的设备NIC 118A-118C而被访问，所以可使用开放系统互联模型（OSI）层1和层2安全技术来跟踪用户的信号，诸如媒体访问控制（MAC）地址跟踪。因为该系统能够跟踪用户，所以用户可被隔离至特定的域。相反地，对于传统实施方式来说，使用交换机将信号指引到不同的域108A-108C。然而，可通过诸如互联网协议（IP）地址欺骗（address spoofing）之类的技术来规避（circumvent）交换机。然而，在当前的实施方式中，也可使用IP地址检查。

此外，归因于此体系，服务器102中的处理设备116可配置成识别用户的信号来自于什么特定设备端口114A-114C并验证该用户是否可以使用相应的域108A-108C。如果用户随后试图从第一域108A-108C进入不同的第二域108A-108C，则处理设备116可配置成基于用户通过第一设备端口114A-114C和相应的设备NIC 118A-118C访问第一域108A-108C拒绝该用户访问第二域108A-108C。这在传统实施方式中是不可能的，其中针对多于一个域108A-108C的信号通过单个设备NIC在相同的服务器设备端口上进来并且然后由交换机路由至正确的域。在一些实施例中，处理设备116可包括中央处理单元（CPU），微控制器，微处理器（例如，数字信号处理器（DSP）），现场可编程门阵列（FPGA），专用集成电路（ASIC）、或者其它处理设备。

在一些实施例中，处理设备116可进一步配置为针对可疑、不安全或恶意的活动监视一个或多个信号。例如，处理设备116可配置为记录在多个设备端口114A-114C的一个或多个处接收的信号，将该信号和设备120A-120C的相应IP地址和/或MAC地址进行关联，并观察可能是可疑的任何行为。在一些实施例中，记录的信号和观察的行为可报告至地面站。在一些实施例中，从一个设备120A-120C接收的记录的信号可与由同一飞行器或其它飞行器上的其它设备120A-120C接收的记录的信号进行比较并且处理设备可搜索可疑活动的模式。如果发现可疑活动，与该设备关联的IP和MAC地址可被拒绝访问服务器102。此外，特别地，如果域108A-108C中的一个被发送恶意信号，则处理设备116可被配置成禁用用于那一个域108A-108C的相应设备NIC 118A-118C和设备端口 114A-114C。在常规实施方式中，航空电子服务器102能够拒绝对特定设备120A-120C的服务；然而，拒绝对整个域108A-108C的服务更加困难得多，因为多于一个域108A-108C通过单个设备端口114A-114C和/或设备NIC 118A-118C接收信号。因此，如果该单个设备端口114A-114C和设备NIC 118A-118C被禁用，则将禁用被作为目标的多于仅一个域108A-108C。

在一些实施例中，处理设备116可进一步配置成将用户和/或设备120A-120C与被禁止的用户和/或设备120A-120C的列表进行比较。在一些实施例中，被禁止的用户和/或设备的列表可由不同的权威提供或者根据上面讨论的监视活动进行推断。在这些实施例的某些中，如果该设备120A-120C在被禁止的设备列表上，则处理设备116可配置成拒绝和/或限制设备120A-120C访问服务器102。在一些实施例中，设备120A-120C可在具有航空电子服务器102的飞行器机上，并且在其它实施例中，设备120A-120C可位于地面上或另一飞行器上。

图2是改善航空电子服务器的安全性的示例方法200的流程图。方法200包括在多个设备端口的一个或多个处接收来自设备的一个或多个信号，其中多个设备端口的一个或多个的每个专用于多个航空电子域的相应一个（块202）。在一些实施例中，多个设备端口可具有与上文图1中讨论的多个设备端口114A-114C相同的特征中的一些或全部。相似地，多个航空电子域可具有与上文讨论的多个航空电子域108A-108C相同的特征中的一些或全部。例如，多个航空电子域可包括上文讨论的域，即ACD、AISD、PIESD和PODD。由多个设备端口中的一个或多个接收的信号可来自诸如上文讨论的设备之类的设备，即飞行员和机组成员设备，例如飞行管理计算机（FMC）、控制管理单元（CMU）、飞行中娱乐系统（IFL）、WiFi接入点和乘客设备，例如笔记本、平板电脑和移动电话。

接下来，方法200包括识别正从该设备接收一个或多个信号的一个或多个设备端口（块204）。在一些实施例中，多个设备端口的每个耦合至多个设备网络接口卡（NIC）的相应一个。因此，人们可识别设备正在使用的设备NIC中的哪个将信号发送至多个设备端口。这具有与上文根据图1所讨论的相同的优点。也就是说，能够基于识别设备通过第一设备端口访问第一域限制设备访问其它域。

进一步地，方法200包括验证该设备是否可以使用专用于一个或多个已识别设备端口的相应一个或多个航空电子域（块206）。与上文类似，这可使用WPA2加密签字（signon）实现。此外，可为每个域配置单独的防火墙。一旦已经验证了设备的访问，方法200包括将一个或多个信号转发至该设备可以使用的一个或多个航空电子域（块208）。

在一些实施例中，方法200可进一步包括针对可疑、不安全或恶意活动监视一个或多个信号（块210）。例如，在一些实施例中，如果设备正将一个或多个信号发送至域中的一个，则该设备的IP地址和/或MAC地址可被记录并且设备正在发送的信号可被观察。在一些实施例中，可以将来自该设备的信号与由其它设备接收的信号进行比较（块212）。在一些其它实施例中，可以将从设备接收的信号与从不同航空电子服务器接收的信号进行比较。在这两个实施例中，可基于信号的比较搜索可疑活动的模式。与上文由处理设备116实现的监视相似，如果发现了可疑活动，则与该设备相关的IP和MAC地址可被拒绝访问该服务器。而且，如果域中的一个被发送恶意信号，则方法200可包括禁用正被攻击（attack）的域的相应设备端口和设备NIC。这可使用此方法200中描述的实施例实现，比以传统实施方式能够实现的更容易得多。

在一些实施例中，方法200可进一步包括将该设备与被禁止的设备列表进行比较（块214）。与上文相似，被禁止的用户/设备列表可由不同权威提供或根据上文在方法200中讨论的监视活动进行推断。在这些实施例中的一些中，方法200可包括当设备被包括在被禁止使用的列表中时拒绝该设备访问该域（块216）。在一些实施例中，用户和/或设备可以是机载的，并且在其它实施例中，用户和/或设备可位于地面上或另一飞行器上。虽然本文已经说明和描述了特定实施例，但是本领域普通技术人员将理解，被计划成实现同一目的的任何布置可代替示出的该特定实施例。因此，本文明显地旨在本发明仅由权利要求及其等同物限制。

Claims (3)

1.一种航空电子服务器（102），包括：

多个设备端口（114），其中多个设备端口中的每一个设备端口耦合至多个设备网络接口卡（118）中的相应单个设备网络接口卡并专用于对应于相应单个设备网络接口卡的多个航空电子域（108）中的相应单个航空电子域，其中多个航空电子域（108）中的每一个航空电子域包括相应的专用防火墙（112），其限制访问多个航空电子域（108）中的每一个航空电子域上的多个应用和多个服务；以及

至少一个处理设备（116），被配置成识别在多个设备端口（114）中的一个或多个设备端口处经由相应多个设备网络接口卡（118）接收的来自相应用户设备（120）的一个或多个信号，并由专用防火墙（112）验证该用户是否可以使用专用于通过其接收一个或多个信号的一个或多个设备端口（114）的相应的航空电子域（108）。

2.如权利要求1所述的航空电子服务器（102），其中所述至少一个处理设备进一步配置成比较从用户接收的一个或多个信号与从第二用户接收的一个或多个信号。

3.如权利要求1所述的航空电子服务器（102），进一步包括数据链路端口（107）和用于通过数据链路（104）接收信号的数据链路网络接口卡（106），并且其中至少一个处理设备配置成将信号从数据链路端口指引到相应的航空电子域。

Images