JP2007500977A - ソフトウェア・ダウンロードのための安全機構 - Google Patents

Abstract

ソフトウェア限定された無線（ＳＤＲ）（１１０）をネットワークを介してサーバ（１４０）に安全に接続するための方法が提起される。無線形態（Ｒ−ＣＦＧ）ファイルをダウンロードするためのリクエストが、ＳＤＲ装置からサーバに送られる。Ｒ−ＣＦＧファイルが、監督機関によって許容されたレベル内だけでＳＤＲ装置のための複数の無線周波数パラメータを制御するよう構成されているという決定が為される。Ｒ−ＣＦＧは、次に、ＳＤＲ装置にダウンロードされる。

Description

関連出願の相互参照
本出願は、２００３年７月３０日に提出された米国仮出願第６０／４９１，１２１号の特典を主張するものである。この出願の開示は、任意の目的のためにその全体に渡って参照によりここに組み込まれるものとする。

発明の分野
本発明は、概して、無線ディジタル通信に関するものである。特に、本発明は、実行可能なコードを移動装置に安全にもしくは確実にロードするための方法に関する。

符号分割多元接続（ＣＤＭＡ）または広域自動車通信システム（ＧＳＭ）のような任意の無線規格で通信することができる移動装置に対する相当の需要が存在する。ソフトウェア限定された無線（ＳＤＲ）装置は、このような装置の例である。

ＳＤＲ装置においては、送信される無線信号の発生及び受信される無線信号の調整のような、以前はハードウェアだけで行われていた機能は、ソフトウェアによって制御される。これらの機能は、ソフトウェアによって制御されるので、無線通信は、それが広範囲の周波数に渡って送信しかつ受信するのを許容し、かつ任意の所望の送信フォーマットを実質的にエミュレートするのを許容するよう、プログラム可能である。従って、技術的な進歩が生じるときＳＤＲ装置を放棄する代わりに、ＳＤＲ装置は、この変化に適応するために、無線構成（ａ ｒａｄｉｏ ｃｏｎｆｉｇｕｒａｔｉｏｎ）（Ｒ−ＣＦＧ）ファイルとして言及されるソフトウェアのアップグレード（バージョンアップ）をダウンロードすることだけが必要である。

Ｒ−ＣＦＧをＳＤＲ装置に動的にロードするための現在の方法と関連して幾つかの欠点がある。第1に、Ｒ―ＣＦＧをＳＤＲ装置にロードするプロセスの間、ＳＤＲ装置とＳＤＲ装置の製造者のサーバとの間に非効率的な量のメッセージ通信が発生する。第2に、不正なもしくは悪意のコードをＳＤＲ装置にダウンロードするのを阻止するための安全性が欠乏している。第3に、現在の方法は、ＳＤＲ装置と関連した許容された動作パラメータ（例えば、周波数、変調の型、出力電力、及び最大電界強度）をＲ−ＣＦＧが超えないのを確実にする自動的な方法が無い。従って、これらの欠点を克服するシステムまたは方法を有することが望ましい。

本発明は、詳細な説明及び添付図面から一層完全に理解されるようになるであろう。

好適な実施形態の以下の説明は、本質的に単に例示的なものであり、本発明、その応用、または使用を制限することを決して意図するものではない。明瞭にする目的で、同じ参照数字は、全図面において同様の素子を識別するために用いられる。

本発明は、サーバからソフトウェア限定された無線（ＳＤＲ）装置へのワイヤレス無線構成（Ｒ−ＣＦＧ）ファイルのダウンロード・プロセスを支援する安全かつ効率的な通信プロトコルを限定するものである。不正コードがＳＤＲ装置にロードされないということを確実にするために、ＳＤＲ装置とサーバとの間に相互の確認が生じる。ＳＤＲ装置は、次に、サーバからＲ−ＣＦＧファイルを要求する。要求されたＲ−ＣＦＧファイルは、空中（ＯＴＡ）を渡ってＳＤＲ装置にダウンロードされる。ＳＤＲ装置上の装置マネージャは、次に、Ｒ−ＣＦＧファイルがＳＤＲ装置と適合しているか否かを決定する。ＳＤＲ装置が、連邦通信委員会（ＦＣＣ）のような監督機関（ＲＡ）によって指定されたその動作パラメータを超えないならば、Ｒ−ＣＦＧファイルは、ＳＤＲ装置と適合している。他の適合性の問題点は、Ｒ−ＣＦＧが、ＳＤＲ装置の型及びＳＤＲ装置上のコンピュータ・プログラムのバージョンと整合するか否かに関連する。もう１つの実施形態においては、サーバ１４０は、ＳＤＲ装置にＲ−ＣＦＧをダウンロードする前に、Ｒ−ＣＦＧファイルのＳＤＲ装置との適合性を決定する。幾つかの実施形態においては、サーバ及びＳＤＲ装置の双方が、１つまたは複数の適合性の規準を決定する。このように、幾つかまたはすべての適合性規準の決定が冗長的に行われ得る。

さて、図1を参照すると、ＳＤＲ装置の製造者またはソフトウェア会社に位置するサーバ１４０は、ＳＤＲ装置上の装置マネージャ（ＤＭ）１２０と通信する。ＤＭ１２０は、Ｒ−ＣＦＧファイルをＳＤＲ装置にダウンロードすることと関連した種々のタスクを行うよう構成された一組のコンピュータ命令である。

簡単にするために、サーバ１４０上の通信プロトコルは、４つのモジュールに分割されているが、当業者は、もっと多いまたはもっと少ないモジュールも使用され得ることを理解するであろう。モジュール１（Ｍ_１）からモジュール（Ｍ_４）は、Ｒ−ＣＦＧファイルをＳＤＲ装置にダウンロードするために、５つの個別のメッセージを使用する。これらのメッセージは、ＲＥＱ、ＡＣＫ、ＥＲＲ−Ｘ（ここで、Ｘは、１から３までのエラーのインデックスである）、パケットのためのＤＡＴＡ、及びＥＮＤを含む。

Ｍ_１は、ハイパーテキスト転送プロトコル（ＨＴＴＰ）、セキュア・ソケット・レイヤー（ＳＳＬ）プロトコル、または軽量ＳＳＬ（ＬＳＳＬ）を使用することにより、ＳＤＲ装置上のＳＤＲ ＤＭ１２０への接続を創設する。好ましくは、ＳＳＬまたはＬＳＳＬは、機密データを保護するために一層安全な接続が必要であるときに用いられる。

ＳＤＲ装置１１０のＤＭ１２０とサーバ１４０との間の相互の確認は、不正なコードがＳＤＲ装置にロードされるのを阻止するために行われる。このことは、サーバ１４０がそのＲＳＡ認証をＤＭ１２０に送ることによって達成される。ＤＭ１２０は、ＲＳＡ認証における情報を確認する。サーバ１４０を確認した後、ＤＭ１２０は、次に、サーバ１４０にそれ自身を確認させる認証における情報を提供する。

相互の確認の後、Ｍ_２が開始される。ＤＭ１２０は、サーバ１４０にネットワークを介してＲ−ＣＦＧリクエスト・メッセージ（すなわち、ＲＥＱ）を送る。サーバ１４０は、要求されたＲ−ＣＦＧへのアクセスをそれが有するか否かを決定する。一方、ＤＭ１２０は、要求されたＲ−ＣＦＧをそれが有するということを確認するサーバ１４０からの受け取り通知のメッセージ（すなわち、ＡＣＫ）を待つ。ＤＭ１２０がこのような応答を受信すること無く、タイムアウト期間もしくは時間切れ期間が満了したならば、ＤＭ１２０は、図２に示されるように、ｋ時刻までＲ−ＣＦＧリクエストを再送する。ＳＤＲ装置によって必要とされる適切なＲ−ＣＦＧをサーバ１４０が有さないということを示すＥＲＲ＿１メッセージでサーバ１４０が返答したならば、プロトコルの実行は、図３に示されるように、Ｍ_４に行く。

Ｒ−ＣＦＧのダウンロード中にエラーが発生したならば、ＳＤＲ装置のＤＭ１２０は、ＯＴＡダウンロードが首尾良く完了しなかったということを示す、図４に示されるようなＥＲＲ＿２メッセージを送る。サーバ１４０は、次に、ＤＭ１２０にＡＣＫメッセージを送ることにより、ＥＲＲ＿２メッセージを受け取ったことを知らせる。ＥＲＲ＿２メッセージが損なわれたならば、ダウンロード・プロセスは、再開始される。ダウンロード・プロセスを完全に再開始するのを避けるために、ダウンロード・マネージャ・モジュールがＤＭ１２０に任意選択的に一体化される。このダウンロード・マネージャ・モジュールは、ダウンロード・プロセスが停止した点からダウンロード・プロセスを再開始する。

一般的に、Ｍ_３は、Ｒ−ＣＦＧに関連した安全計算を行うことに関連している。ＤＭ１２０は、Ｒ−ＣＦＧがＳＤＲ装置と適合しているか否かというような、Ｒ−ＣＦＧファイルが或る安全要求に叶っているか否かを決定する。ダウンロードされたＲ−ＣＦＧがＳＤＲ装置と適合していないということをＤＭ１２０が決定したならば、エラー・メッセージＥＲＲ＿３が戻され、ＳＤＲ装置が無効なＲ−ＣＦＧを受信したということをサーバ１４０に知らせる。次に、接続は終結される。

安全計算は、Ｒ−ＣＦＧの妥当性検査及び／またはデータ完全性チェック（ａ ｄａｔａ ｉｎｔｅｇｒｉｔｙ ｃｈｅｃｋ）に関連している。妥当性検査は、代表的には、Ｒ−ＣＦＧが特定のＳＤＲ装置上で使用するために監督機関による事前承認を有するということ、すなわち、Ｒ−ＣＦＧがディジタル的に署名され（ｓｉｇｎｅｄ）、そしてＳＤＲ装置にとって適切であるということを確実にすることと関連する。Ｒ−ＣＦＧを有効にする（ｖａｌｉｄａｔｅ）ために用いられ得る多くの技術がある。例えば、この情報の幾つかまたは全ては、公開（ｐｕｂｌｉｃ）―私用（ｐｒｉｖａｔｅ）キー機構を介して確認され得る。Ｒ−ＣＦＧをダウンロードした後に、該Ｒ−ＣＦＧに関連したヘッダ及びＳＤＲ装置への署名（ｓｉｇｎａｔｕｒｅ）Ｓ_ｋｒ（ｈ）を示すために、ＤＭ１２０は、Ｒ−ＣＦＧがＳＤＲ装置にとって適切であるということを確実にするためにヘッダをチェックする。ＤＭ１２０は、次に、図８に示されるように公開キーを用いることにより、ディジタルの署名を確認する。公開キーは、ＲＡから、ＲＡのために働くエンティティ（もしくは企業内単位組織（ｅｎｔｉｔｙ））から、または幾つかの他の型の会社（ビジネス）からのものであって良い。

当業者は、ＤＭ１２０がＲ−ＣＦＧ、ヘッダ、及び署名Ｓ_ｋｒ（ｈ）をダウンロードすることに先立って、ＲＡまたは幾つかの他のエンティティがヘッダ及びＲ−ＣＦＧファイルの双方をハッシュ関数に入力し、それにより、或るハッシュ値ｈを得るということを理解するであろう。概して、この動作は、無線周波数動作パラメータの許容された範囲が超えられることができないということを確実にするために、ＳＤＲ装置と結合してＲ−ＣＦＧがテストされている時間中に行われ得る。このタスクもしくは仕事が完了した後、値ｈは、次に、サーバ１４０の私用キーＫ_ｒで署名される。図７は、概して、署名する動作を示す。署名されたハッシュ値、Ｓ_ｋｒ（ｈ）、は、サーバ１４０に戻される。署名は、署名機構に基づいて、ＲＳＡ、ＥＣＣ、またはおそらくはＮＴＲＵのような通常の署名化技術を用いることによって達成される。この署名機構並びに公開及び私用キーを通して、ＤＭ１２０は、ダウンロードされたＲ−ＣＦＧがそのＳＤＲ装置に対して事前承認したということを確認することができる。

ＤＭ１２０は、また、Ｒ−ＣＦＧのデータ完全性をも確認し得る。データ完全性は、Ｒ−ＣＦＧが承認され、署名され、そして不適切に変更されなかったということを確実にする。この確認は、一連の動作を介して達成される。第１に、ＤＭ１２０は、Ｒ−ＣＦＧが署名されたときに用いられる同じハッシュ関数に、受信されたヘッダ及びＲ−ＣＦＧを入力することにより、新しいハッシュ値ｈ’を計算する。第２に、ＤＭ１２０は、ｈを得るために、受信されたＥ_ｋｒ（ｈ）を解読する。第３に、ＤＭ１２０は、ｈとｈ’とを比較する。もし、ｈ＝ｈ’ならば、次に、受信されたＲ−ＣＦＧは、署名され、承認され、そしてデータは、損傷されもしくは変更されなかった。代替的には、もし、ｈ≠ｈ’ならば、ＤＭ１２０は、Ｒ−ＣＦＧを拒否する。有効化の後、及び／またはＲ−ＣＦＧのデータ完全性を確認した後、ＤＭ１２０は、それがその安全計算を完了したということを通知する。応答において、サーバ１４０は、ＤＭ１２０からの完了メッセージの受け取りを通知する。

Ｍ_４において、ＤＭ１２０は、接続を解放する。このモジュールにおいて、メッセージを交換するときに、エラーが生じ得る。例えば、サーバ１４０は、ＳＤＲ装置から完了メッセージを決して受信しないかもしれない。この場合には、タイムアウト（時間切れ）期間が満了し、サーバ１４０は、接続を自発的に終了する。このＳＤＲ装置が新しいＲ−ＣＦＧを用いてネットワークにつながる次の時刻に、サーバ１４０は、データベース内の該情報を更新する。他の代表的なタイムアウト（時間切れ）期間も、図５Ａ−５Ｃに示すように生じ得る。Ｍ_４を完了した後、ＤＭ１２０は、新しいＲ−ＣＦＧをインストールして実行する。

図１に示されるＭ_２に対するもう１つの実施形態において、サーバ１４０は、Ｒ−ＣＦＧファイルがＳＤＲ装置にダウンロードされるのを許容するべきか否かを決定する。第１に、サーバ１４０は、利用可能なＲ−ＣＦＧファイルのリストからどのＲ−ＣＦＧファイルが要求されたかを決定する。第２に、サーバ１４０は、Ｒ−ＣＦＧファイルがＳＤＲ装置と適合しているか否かを決定する。適合しているためには、Ｒ−ＣＦＧファイルは、ＳＤＲ装置の特別な型（例えば、ＳＤＲ装置のモデル番号、ＳＤＲ装置上のコンピュータ・プログラムのバージョン番号、等）に対して適切でなければならない。さらに、サーバ１４０は、ＳＤＲ装置が、該ＳＤＲ装置のために創設された無線周波数動作パラメータを超えるのを許容することができない。無線周波数動作パラメータが超えられないということを確実にするためには、サーバ１４０は、事前承認されたＲ−ＣＦＧが、ＳＤＲ装置の特別な型上にダウンロードされるのを許容するだけである。幾つかの実施形態において、サーバは、Ｒ−ＣＦＧが特別な装置モデル等に対して適切であるか否かを装置が決定するのを許容しつつ、装置が、特別なＲ−ＣＦＧを受信するために適切な管轄区域（ジュリスディクション、ｊｕｒｉｓｄｉｃｔｉｏｎ）に位置するということを確認することができる。サーバは、誤使用を避けるためにスプーフィング防止対策（ａｎｔｉ−ｓｐｏｏｆｉｎｇ ｍｅａｓｕｒｅｓ）を組み込みつつ、装置場所を決定するための１つの規準として、装置のＩＰアドレスまたは等価物を使用することができる。代替的には、または、追加的には、装置は、所定の管轄区域（ジュリスディクション）識別子をそのリクエストと共に送信するよう構成され得る。

さて、図６を参照すると、本発明の通信プロトコルは、デッドロック、ライブロック（ｌｉｖｅｌｏｃｋｓ）が無く、かつプロセスの終結が適切に生じるので、“無矛盾”であるように示されている。デッドロックスは、少なくとも２つのリソースに対して競合する２つのエンティティに関連する。第１のエンティティは、一方のリソースへのアクセスを有し得、第２のエンティティは、他方のリソースにアクセスし得る。各エンティティは、それが他方のリソースへのアクセスを有するまで、リソースのその制御を解放することができない。比較すると、ライブロックスは、有用な作業を行うこと無く、他方のプロセスにおける変化に応答して、２つまたはそれ以上のプロセスがそれらの状態を変えるときに生じる。

各状態は、通信プロトコルにおける１つのモジュール（Ｍ_１〜Ｍ_４）を表す。１つの状態からもう１つの状態への矢印は、プロトコルの実行が、或る推移確率でこのモジュールから次のモジュールに首尾良く流れるということを示す。例えば、Ｍ_１からＭ_２状態に行くための確率はＰ_１２であり、Ｍ_２におけるループへの確率はＰ_２２であり、等である。Ｍ_４における正しい終結の確率はＰ_ｔである。正常な状態下では、通信プロトコルの正常な実行フロー（流れ）が生じる確率は、以下に示すように、任意の他のフロー（流れ）よりも高い。

Ｐ_１２＞Ｐ_１１，Ｐ_１２＞Ｐ_１４ Ｐ_２３＞Ｐ_２２，Ｐ_２３＞Ｐ_２４
Ｐ_３４＞Ｐ_３３ Ｐ_ｔ＞Ｐ_４４

図6に戻ると、点線の矢印は、タイムアウト（時間切れ）の繰返しに起因する各モジュールにおける内部ループを表す。例えば、Ｍ_２において、タイムアウト（時間切れ）は、ＳＤＲ装置がＲ−ＣＦＧファイルを要求した後に満了すると仮定する。ＳＤＲ装置は、この要求もしくはリクエストを再送して応答を待つ。このことは、タイムアウトが不明確に生じた場合に無限のループに導かれ得る。この無限のループを回避するために、タイムアウト（時間切れ）カウンタがプロトコル内に含まれる。タイムアウトが生じたとき、カウンタは増分される。メッセージが受信される各時間ごとに、カウンタはゼロにリセットされる。カウンタが或る数Ｘに達したならば（すなわち、タイムアウトが連続的にＸ回生じたならば）、ネットワークは、混雑していると見なされる。この状況においては、ＳＤＲ装置は、接続を解放するためにＭ_４に進むことなく接続を終結する。

プロトコルの実行がＭ_４に達したときはいつも、プロトコルは適切に終結される。Ｒ−ＣＦＧのダウンロードの前、ダウンロード中、またはダウンロードの後の、３つの異なった段階において、不適切な終結が生じ得る。ダウンロード・プロセスの前または中に不適切な終結が生じたならば、不適切な終結の原因が最も残っていそうであり、従って、ダウンロードを再度生じさせるようにする。ダウンロード・プロセスが完了した後に不適切な終結が生じたならば、サーバ１４０は、ＳＤＲ装置が新しいＲ−ＣＦＧを受け入れたか否かに関するメッセージを受信する。このメッセージは、製造者のサーバ１４０にＳＤＲ装置が再度つながると送られる。そうでない場合には、Ｍ_４は、セッションを終結する。

概して、通信プロトコルは、各メッセージが有限の遅延で送信された場合に適切に終結する。例えば、メッセージ、ｍ_ｉ、が時刻ｔ_１においてＳＤＲ装置によって送信されることを考察しよう。このようなものとして、ｔ_２は、サーバ１４０がｍ_ｉを正しく受信した時刻であり、ｔ_３は、ＳＤＲ装置がｍ_ｉ＋１を送った時刻である。ｔ_１＜ｔ_２＜ｔ_３であり、ｔ_３が有限であることを示せば、ライブネス（活動性）を示すのに充分であり、その理由は、誘導もしくは帰納（ｉｎｄｕｃｔｉｏｎ）により各メッセージが有限の遅延で送信されるからである。

Ｒ（ｔ）は、サーバにおける時間の関数としての受信されたシーケンス番号であり、Ｓ（ｔ）は、クライアントにおける送信されたシーケンス番号である。Ｎ（ｔ）は、次に予想される送信のシーケンス番号（Ｎ（ｔ）＝Ｒ（ｔ）＋１））である。Ｓ（ｔ）は、時刻ｔまでに製造者のサーバから受信された最も大きいリクエスト番号である。従って、Ｓ（ｔ）≦Ｎ（ｔ）及びＮ（ｔ）≦ｉである。このことは、Ｒ（ｔ）が時刻ｔ_２においてｉ＋１に増分され、Ｓ（ｔ）が時刻ｔ_３においてｉ＋１に増分され、そしてＳ（ｔ）≦Ｎ（ｔ）であるという事実に起因しており、ｔ_２＜ｔ_３ということになる。

ＳＤＲ装置は、ｔ_１から、ｔ_２においてエラー無しで最初に受信されるまで、再送信間の有限のタイムアウト（時間切れ）で反復的にｍ_ｉを送信する。各送信が正しく受信される確率ｐ＞０があるので、結局はエラーの無い受信が生じ、ｔ_２は有限である。ｔ_３は、サーバ側からの同様の議論を用いて有限である。サーバ側の無矛盾性もしくは一貫性は、上述と同様の原理を適用することによって得られる。

さて、図９を参照すると、サーバ１４０、ルータ１４５、及びＳＤＲ装置のようなクライアント１１０が、プロトコルの効率を確認するために、反復的な実験において用いられた。Ｊ２ＭＥが、各実験において用いられた。Ｊ２ＭＥは、手持形の無線装置のために特に設計されたジャヴァ仮想処理装置に基づく、オープンの無線ジャワ・プラットフォームである。Ｊ２ＭＥは、簡単なＨＴＴＰ、（ＨＴＴＰ_＋ｓｅｃとして示される）ＨＴＴＰ ｐｌｕｓ、ＬＳＳＬ、及びＳＳＬのようなプロトコルの幾つかの異なった型を用いた。

これらの実験において、１２８ビットのセッション・キーが通信を暗号化するために用いられた。クライアント及びサーバ認証の双方は、Ｘ.５０９認証であった。我々のサーバにとっては、１０２４ビットＲＳＡ公開／私用キーが対である。公開キーは、承認されたＲ−ＣＦＧを署名するために用いられる私用キーを発生するために、ＳＤＲ装置に移入された。履行されたハッシュ関数は、ＭＤ５の完全バージョンを用いる。ＭＤ５は、現在、ＭＤ５がただ１回のラウンドを行う場合でさえ安全であると考えられている。

各実験において、５２キロバイト（ＫＢ）から２１０ＫＢまでのサイズに及ぶ、異なったＲ−ＣＦＧファイルが転送された。実験１に対して、クライアント１１０及びサーバ１４０間のＨＴＴＰ接続を創設するためにかかった時間、Ｒ−ＣＦＧをダウンロードするための全時間、及び全接続時間を決定するために、時間測定が行われた。実験２、３、及び４に対しては、ＨＴＴＰ接続、ＬＳＳＬまたはＳＳＬ接続を創設するための時間量、Ｒ−ＣＦＧ＋ｓｉｇｎａｔｕｒｅをダウンロードするためにかかった全時間、Ｒ−ＣＦＧのデータの完全性を有効化しかつチェックするための時間、及び全接続時間を決定するために時間測定が行われた。各実験は、１００回実行され、平均化された結果が書き留められた。図１０は、実験１及び２に対する性能測定を示す。図１１及び１２は、ＬＳＳＬを用いたときと、ＳＳＬを用いたときとの本発明の安全機構を比較している。ＨＴＴＰ＋ｓｅｃは、安全な接続を創設する時間またはエンドポイントを確認する時間を費やさないので、ＨＴＴＰ＋ｓｅｃは、完全な機構を適用するときに最良に行う。この方法は、所有権情報が送信されていないとき、またはペイロードがすでに暗号化されているときに用いられ得る。

所有権（プロプライアタリィ）情報がＲ−ＣＦＧに含まれるとき、ＳＤＲ装置とサーバ１４０との間の安全な接続を確実にするために、ＬＳＳＬまたはＳＳＬを用いることが好ましい。図１２に示されるように、ＬＳＳＬは、ＳＳＬよりも非常に早く安全な接続を創設する。接続を創設するための時間は、ソケット接続を創設するのに伴う時間、暗号の一揃い（サイファー・スート）を取り決めるのに伴う時間（ＳＳＬが用いられる場合）、クライアントによりランダム数を発生するのに伴う時間、サーバの公開キーでランダム数を暗号化するのに伴う時間、公開キーをサーバに送るのに伴う時間、セッション・キーを計算するのに伴う時間を含む。ダウンロード時間は、ＳＳＬ及びＬＳＳＬの双方に対して同様である。その後、ＳＤＲ装置は、セッション・キーでＲ−ＣＦＧを解読する。ＳＳＬにおいて、解読は自動的に行われる。解読時間は、全ダウンロード時間内に含まれる。ＬＳＳＬにおいて、履行は、解読時間に直接影響を与える。

本発明の説明は、本質的に単に例示的なものであり、従って、本発明の要点から逸脱しない変更は、本発明の範囲内にあるものと意図される。このような変更は、本発明の精神及び範囲から逸脱したものとして見なされるべきではない。

本発明の一実施形態によるサーバとソフトウェア限定された無線（ＳＤＲ）装置との間で交換されるメッセージを示す図である。 本発明の一実施形態によるサーバからＳＤＲ装置が無線形態（Ｒ−ＣＦＧ）ファイルを要求した後のタイムアウト（時間切れ）及びエラーを示す図である。 本発明の一実施形態によるエラーを示す図である。 本発明の一実施形態によるエラーを示す図である。 本発明の一実施形態によるサーバとＳＤＲ装置との間でのメッセージの交換中に生じるエラー及びタイムアウト（時間切れ）を示す図である。 本発明の一実施形態によるサーバとＳＤＲ装置との間でのメッセージの交換中に生じるエラー及びタイムアウト（時間切れ）を示す図である。 本発明の一実施形態によるサーバとＳＤＲ装置との間でのメッセージの交換中に生じるエラー及びタイムアウト（時間切れ）を示す図である。 本発明の一実施形態による通信プロトコルのための状態遷移を示す図である。 本発明の一実施形態によるＲ−ＣＦＧファイルを発生するＳＤＲ製造者と監督機関との間の署名動作を示す図である。 本発明の一実施形態によるＲ−ＣＦＧ有効化及びデータ完全性チェックを示す図である。 本発明の一実施形態によるサーバに無線ルータでつながるクライアントを示す図である。 本発明の一実施形態による通信プロトコルのための接続時間を示すグラフである。 本発明の一実施形態による安全機構の比較を示すグラフである。 本発明の一実施形態による安全機構の比較を示すグラフである。

符号の説明

１１０ クライアント
１２０ 装置マネージャ（ＤＭ）
１４０ サーバ
１４５ ルータ
Ｍ_１ モジュール１
Ｍ_２ モジュール２
Ｍ_３ モジュール３
Ｍ_４ モジュール４

Claims (14)

1. 無線形態（Ｒ−ＣＦＧ）のファイルをサーバからソフトウェア限定される無線（ＳＤＲ）装置にダウンロードするためのコンピュータ履行される方法であって、
   ＳＤＲ装置及びサーバ間の安全な接続を形成する段階と、
   サーバからＳＤＲ装置へネットワークを介してダウンロードされるようＲ−ＣＦＧに要求するメッセージを送る段階と、
   サーバからＳＤＲにＲ−ＣＦＧをダウンロードする段階と、
   Ｒ−ＣＦＧがＳＤＲ装置と適合しているか否かを決定するために、ＳＤＲ装置上の装置マネージャを用いる段階と、
   を含むコンピュータ履行される方法。
2. 監督機関によって創設された許容されたレベル内だけで少なくとも１つの無線周波数パラメータをＲ−ＣＦＧが制御する場合に、Ｒ−ＣＦＧがＳＤＲ装置と適合している請求項１に記載のコンピュータ履行される方法。
3. Ｒ−ＣＦＧがＳＤＲ装置の特別な型上で実行するよう構成されている場合に、Ｒ−ＣＦＧは、ＳＤＲ装置と適合している請求項１に記載のコンピュータ履行される方法。
4. 管轄区域の識別子がメッセージと共に送信される請求項１に記載のコンピュータ履行される方法。
5. 管轄区域の識別子は、ＳＤＲ装置のユーザによって変更され得る請求項４に記載のコンピュータ履行される方法。
6. Ｒ−ＣＦＧのファイルをサーバからＳＤＲ装置にダウンロードするための方法であって、
   ＳＤＲ装置及びサーバ間の安全な接続を形成する段階と、
   ＳＤＲ装置にダウンロードされるようＲ−ＣＦＧに要求するメッセージを受信する段階と、
   リクエスト・メッセージからＲ−ＣＦＧを受信するために、ＳＤＲ装置の型を決定する段階と、
   Ｒ−ＣＦＧファイルが、監督機関によって創設される許容されたレベル内だけにある複数の無線周波数パラメータを制御するよう構成されているか否かの決定を行う段階と、
   該決定に基づいて、サーバからＳＤＲにＲ−ＣＦＧをアップロードする段階と、
   を含む方法。
7. 無線形態（Ｒ−ＣＦＧ）のファイルをサーバからソフトウェア限定される無線（ＳＤＲ）装置にダウンロードするための方法であって、
   ＳＤＲ装置及びサーバ間の安全な接続を形成する段階と、
   ＳＤＲ装置へダウンロードされるようＲ−ＣＦＧに要求するメッセージを受信する段階と、
   リクエスト・メッセージからＲ−ＣＦＧを受信するために、ＳＤＲ装置の型を決定する段階と、
   Ｒ−ＣＦＧファイルが、ＳＤＲ装置と適合しているか否かの決定を行う段階と、
   該決定に基づいて、サーバからＳＤＲにＲ−ＣＦＧをアップロードする段階と、
   を含む方法。
8. Ｒ−ＣＦＧがＳＤＲ装置の特別な型上で実行するように構成されている場合に、Ｒ−ＣＦＧは、ＳＤＲ装置と適合している請求項７に記載のコンピュータ履行される方法。
9. 管轄区域の識別子がメッセージと共に送信される請求項７に記載のコンピュータ履行される方法。
10. 管轄区域の識別子は、ＳＤＲ装置のユーザによって変更され得る請求項７に記載のコンピュータ履行される方法。
11. 実行時に、コンピュータ・システムに、
    ＳＤＲ装置及びコンピュータ・システムのサーバ間の安全な接続を形成する段階と、
    ＳＤＲ装置にダウンロードされるようＲ−ＣＦＧに要求するメッセージを受信する段階と、
    リクエスト・メッセージからＲ−ＣＦＧを受信するために、ＳＤＲ装置の型を決定する段階と、
    Ｒ−ＣＦＧファイルが、ＳＤＲ装置と適合しているか否かの決定を行う段階と、
    該決定に基づいて、サーバからＳＤＲにＲ−ＣＦＧをアップロードする段階と、
    を含む方法を行わせる記憶された命令を含む記憶媒体を備えた装置。
12. Ｒ−ＣＦＧがＳＤＲ装置の特別な型上で実行するよう構成されている場合に、Ｒ−ＣＦＧは、ＳＤＲ装置と適合している請求項１１に記載の装置。
13. 管轄区域の識別子がメッセージと共に送信される請求項１１に記載の装置。
14. 管轄区域の識別子は、ＳＤＲ装置のユーザによって変更され得る請求項１１に記載のコンピュータ履行される方法。

Images