JP5155196B2 - 航空機と地上局との間の通信に対する侵入試みの検出方法と装置 - Google Patents

Description

本発明は航空機と地上局との間の安全化通信に対する侵入の試みを検出する方法、並びに、この方法を実施する装置を搭載する航空機に関する。又、本発明は航空機と地上局との間の安全化した通信に対する侵入試みを検出する装置、並びに、同装置を搭載する航空機に関する。

最近の航空機は、特に民間輸送機は、地上局（特に航空管制局又は航空機を開発する航空会社と通信が出来る局）と情報を交信している。これら交信情報は特に気象、航空機のメンテナンス、航空管制許可等に関するものである。この情報交信は、特に標準ＡＣＡＲＳ（Aircraft Communications Adressing and Reporting System）又はＡＴＮ（Aeronautical Telecommunication Network）に対応するデジタルデータのネットワーク（データリンク）を使って実施されている。通信セッションの開始後、航空機と地上局は上記情報を含むメッセージを交信する。

データネットワークは一般的には無線通信又は人工衛星のタイプである。従って、同ネットワークはハッカーにより盗聴される可能性がある；ハッカーは航空機または地上局からの送信メッセージをデコードしようとするし、航空機又は地上局に由来すると見做される偽メッセージを送信しようとする。ハッカーから通信ネットワークを守るために、これらネットワークを安全化することができる：つまり、メッセージの送信者の認証及び/又はメッセージの暗号化を設計することができる。例えば、これは認証キー及び/又は暗号化を使って実現される。しかし、ハッカーはこのような安全化技術を通り抜けようとする。特に複数の偽メッセージの内の一つを航空機又は地上局が受け取る迄、送り続ける。受信する偽メッセージの数が少なければ少ないほど、航空機又は地上局が偽メッセージを受け取る（accepte）リスクはより少ない。従って、ハッカーが送信したメッセージを受け取るリスクを最小にするためには、このような通信ネットワークに侵入する試みを検出し、このような試みを航空機のパイロット及び/又は地上局（航空会社又は航行管制の）の職員に通報することが重要になる。

これらの問題は、航空機と地上局との通信ネットワークへの侵入の試みを検出する本発明の方法により、少なくとも部分的には解決される。本方法は、通信が複数のセキュリティレベルに基づいて構成される点及び次のステップを含む点で注目すべきである：

―ａ）メッセージが上記ネットワークに関係する受信手段で受信されるときに、このメッセージが解析され、このメッセージに対するセキュリティレベルが決定される。
―ｂ）この受信されたメッセージに対するセキュリティレベルが通信に関係するセキュリティレベルと比較される。
−ｃ）もしステップｂ）で比較されるセキュリティレベルが相違しているならば、受信メッセージは破棄され、侵入試みについて通報を行う。

このようにして、予め通信セッションが航空機と地上局との間で確立された通信ネットワークにおいてメッセージを交信するときに、予定しているセキュリティレベルに対応しないセキュリティレベルの受信メッセージを検出し、また、受信メッセージを破棄し、上記ネットワークへのハッカーの侵入と思われる試みを通報する。本発明による方法は、操作者（パイロット、航行管制員又は航空会社の職員等）が適切な処置を取ることができるように、ハッカーが送信するメッセージを破棄することを可能にし、対応する侵入の試みを通報することができるという利点がある。

好ましい実施例において、上記ステップｃ）のときに、受信メッセージを破棄し、ハッカー侵入の試みについて通報する前記動作は次のグループから選択される。

−Ａ１）受信メッセージを破棄し、ハッカーの試みを通報する；又は
―Ａ２）受信メッセージを破棄する；又は
―Ａ３）受信メッセージを受け取る。

ステップｃ）において、受信メッセージを破棄するとき、前記通信ネットワークで前記受信メッセージの送信者に、これが破棄されたことを通告するメッセージを送信することが好ましい。これには、この受信メッセージが、許可された送信者から不適切なセキュリティレベルで送られてきた時に、前記メッセージの破棄が前記送信者に通告されるという利点がある。

ステップｃ）において、更に前記ネットワークに関係する現下の通信状態（valeur d’un etat）をチェックし、受信メッセージを破棄する及びこの現下の通信状態に基づいてハッカー侵入の試みを通報する上記動作を実行すると有利である。この通信状態は特に通信ネットワークに関係したセキュリティレベルの≪安定な≫状態又は≪変更中≫に対応する。この場合、この通信状態が≪安定な≫状態に対応するときには、受信メッセージは破棄され、ハッカーの侵入が通報される。この通信状態が≪変更中≫状態に対応するときには、ハッカーの侵入の試みが通報されずに、受信メッセージは破棄される。このメッセージは、許可された送信者（航空機又は地上局）がセキュリティレベルの変更を考慮する前に送信されたからである。

ステップｂ）において、通信のセキュリティレベルが、通信制御手段において予め選択されたセキュリティレベルに一致することが好ましい。特に、このセキュリティレベルは状況に応じて、オペレータ（パイロット等）が選択することができる。本発明による方法によりハッカー侵入の試みについて通報された場合は、オペレータは特にセキュリティレベルを引き上げることができる。一般的に、通信ネットワークのセキュリティレベルを変更するためには、これら通信制御手段(航空機又は地上局の)は、このネットワークのためにセキュリティレベルを選ぶ通信制御手段（前記ネットワーク〔それぞれ地上局又は航空機〕）の他端にある）宛に要求を送る。

好ましい実施例において、もしステップｂ）において比較するセキュリティレベルが相違していると、前記通信ネットワーク上で、通信制御手段において予め選択されているセキュリティレベルと同じセキュリティレベルで送信するために、前記通信ネットワークにおいて、メッセージの送信者に対し通信のセキュリティレベルの変更を要求するメッセージが送られる。この場合、前記受信メッセージが、許可された送信者から不適切なセキュリティレベルで送られてきた時に、航空機と地上局とに対応するセキュリティレベルを自動的に再同期化する（re-synchroniser）ことが可能であるという利点がある。続くメッセージは適切なセキュリティレベルで送信することができる。

本発明の特別な実施例において、通信のセキュリティレベルは送信メッセージのタイプによる。こうすることにより、重要なメッセージだけを高セキュリティレベル（より低いセキュリティレベルに対するものに比して、しばしば、送信コストがより高い）で送信するために、このセキュリティレベルをメッセージの重要性に及び重大性(criticite)に適合させることができる。

ステップｃ）において、動作Ａ１）を実行するときに、カウンタを歩進させると有利である。こうすると、前記通信ネットワーク上でハッカー侵入の試みをカウントできる。このカウンタは特に、メンテナンスと統計の目的で使われていてよい。

本発明の別の特別な実施例において、動作Ａ２）をステップｃ）で実行するときに、予め決められた周期で０に戻されていたカウンタを歩進させる。カウンタの値が予め決められた閾値を超えるときに、ハッカー侵入の試みについて通報する。こうすることにより、所定期間にセキュリティレベルは不適切であるが、孤立的な受信はハッカー侵入の試みとしてはみなされないメッセージが大量に受信される状況を検知することができる。

更に、上記現下の通信状態が安定なセキュリティレベル、又は、変更中のセキュリティレベルに応じて、ステップｃ）で動作Ａ１）または動作Ａ２）が実行される。従って、通信ネットワークのセキュリティレベルが安定状態としてみなされているが、セキュリティレベルが適切ではないメッセージを受信するとき、それはハッカーの侵入の試みに関係すると考えられる。何故なら、そのメッセージの送信者は適切なセキュリティレベルでそれを送信したとされているからである。
これに対し、通信ネットワークに関するセキュリティレベルが変更中としてみなされているがセキュリティレベルが適切ではないメッセージを受信するときには、ハッカーの侵入の試みではないと考えられる。実際、この場合、メッセージの送信者は、このネットワークのセキュリティレベルの変更を考えていなかった可能性がある。

又、本発明は航空機と地上局との間の通信ネットワーク上の通信の監視装置に関するもので、以下を有している。

―通信ネットワークにおけるメッセージの送受信手段；
―前記送受信手段に接続される通信制御手段。

前記装置が次の手段を備える通信監視手段を有し、通信が複数のセキュリティレベルで構成されているという点で注目すべきである：

―前記送受信手段により受信されるメッセージを解析し、メッセージに対応するセキュリティレベルを決定する第１手段；
―前記受信メッセージに対応するセキュリティレベルを通信のセキュリティレベルと比較し、比較結果を出力する第２手段；
―前記第２手段から出力される比較結果に基づいて前記受信メッセージに関係する動作を決定する第３手段。

前記第３手段は、前記ネットワークの現下の通信状態をチェックし、前記現下の通信状態に応じて受信メッセージに関係する前記動作を決定できるという利点がある。

また、前記通信制御手段は前記通信監視手段を含むという利点がある。

更に、前記通信制御手段は前記ネットワークの現下の通信状態を管理する管理手段を有している。

前記メッセージ送受信手段は、前記航空機又は前記地上局が受信したメッセージについてハッカー侵入の試みを検知できるように、航空機に搭載された又は地上局に設けられた送受信手段である。本発明による装置全体は航空機又は地上局にそれぞれ設けられることが好ましい。

また、本発明は、前記したような、航空機と地上局との間の通信を監視する監視装置を設けた航空機に関する。

本発明は以下の説明を読み図面を検討することにより、よりよく理解される。

図１は、本発明による航空機と地上局との間の通信監視装置のブロック図である。

以下、航空機により受信されたメッセージについてのハッカー侵入の試みを検知しようとする本発明の実施例に関して詳述する。勿論、これは限定的に解釈されるものではなく、本発明は地上局により受信されるメッセージについてのハッカー侵入の試みの検知にも応用される。

図１には、本発明の装置１がブロック図として示されている。同装置は、通信ネットワーク１２を使って地上局と通信する航空機に（特に民間航空機に）搭載されている。同ネットワークとして、特に、デジタルデータネットワーク（データリンク）を使う。これは、前記ネットワークへのハッカー侵入リスクに対して、複数のセキュリティレベルで構成されることが可能である。

本装置は前記ネットワーク１２におけるハッカー侵入の試みを検知するために、同ネットワーク１２上の通信を監視するように構成されている。そのために、本発明による装置１は次のものを備えている：

―航空機と地上局の間の通信ネットワーク１２におけるメッセージの送受信手段１０、例えば前記航空機に設けられた通常の通信手段（ＶＨＦ，ＨＦ無線通信手段、衛星通信手段等）；
―ネットワーク３０を介して送受信手段１０に接続する複数の通信制御手段１４。これら通信制御手段は特に航空機の通信を制御する計算機の一部分（例えば、ＡＴＳＵ(Air Traffic Service Unit)タイプの計算機）を構成する；

―送受信手段１０により受信されたメッセージ分析し、同メッセージに割当てるセキュリティレベルを決定する複数の第１手段２２；
―通信のセキュリティレベルと前記受信したメッセージに割当てされたセキュリティレベルを比較し、比較結果を出力する複数の第２手段２４；
―ネットワーク１２の現下の通信状態をチェックし、前記第２手段２４の比較結果及び前記現下の通信状態に基づいて該受信メッセージに関係する動作を決定する複数の第３手段。

前記通信制御手段１４は、ネットワーク３０を介して送受信手段１０から受信されたメッセージを受信し、各メッセージをネットワーク３４を介して送信先アプリケーションＡ１，Ａ２、…Ａｎに送信するルータ１８を備えることが好ましい。前記各アプリケーションは特に航空機の計算機上にインストールされるアプリケーションである。同様に、該ルータはネットワーク３４を介して前記アプリケーションから来るメッセージを収集し、送信／受信装置１０を使ってネットワーク３０を介して送信する。同送信／受信装置１０は通信ネットワーク１２上にそれらを送信する。

更に、図１に示すように、通信監視手段１６は通信制御手段１４に組み込まれている。それらはネットワーク３２を介してルータ１８に接続していると有利である。

更に、通信制御手段１４は通信ネットワーク１２の通信状態を制御する手段２８を備えている。同手段２８は特に通信監視手段１６に組み込まれている。これら手段２８は少なくとも２つの状態を含む状態マシーン（machine d’etat）に対応する：安定した通信のセキュリティレベルに対応する第１状態、及び、変更中の通信のセキュリティレベルに対応する第２状態。

この第２状態は、特に、通信のセキュリティレベルを変更するために（例えば、航空機のパイロットの要請の後で）航空機の通信制御手段１４が地上局宛に要請メッセージを送信した状態、及び、航空機の通信制御手段１４が該セキュリティレベルの変更に関する地上局の受取（acceptation）を未だ受信していなかった状態に対応する。
これに対し、第１状態は、特に航空機の通信制御手段１４が、通信のセキュリティレベルを変更するために（例えば、航空機のパイロットの要請の後で）地上局宛の要請メッセージを送信した後で、前記セキュリティレベルの変更に関係する地上局の受取を受信した状態に対応する。同様に、それは航空機の通信制御手段１４が、通信のセキュリティレベルを変更するために地上局から要請を受信し、地上局宛の前記要請の受諾メッセージを送信した状態に対応する。

通信制御手段１４がＡＴＳＵタイプの計算機の一部分を構成しているとき、通信監視手段１６は通信制御手段１４に組み込まれている。又、第１手段２２、第２手段２４、第３手段２６及び通信状態を制御する手段２８は前記計算機ＡＴＳＵのソフトウェアの形で実施される。

特に、通信のセキュリティレベルは次のセキュリティレベル全体又はその下位のセキュリティレベルから選択される：

―ハッカー攻撃のリスクに対する通信セキュリティの欠如；
―例えば、認証キーを使ったメッセージ送信者の認証；
―データリンク１２における、例えば、暗号キーを使った送信メッセージの暗号化；
―送信メッセージの送信者の認証、且つ、データリンク１２における送信メッセージの暗号化。

本発明の好ましい実施例において、通信は次のように構成される。

―ハッカー攻撃のリスクに対する通信セキュリティの欠如に対応する第１セキュリティレベル；
―メッセージ送信者の認証に対応する第２セキュリティレベル；又は、
―メッセージ送信者の認証、且つ、データリンク１２における送信メッセージの暗号化に対応する第３セキュリティレベル。

前記送受信手段１０は通信ネットワーク１２のメッセージを受信し、ネットワーク３０を介して通信制御手段１４にそれを送信する。通信制御手段１４では同メッセージはルータ１８により受信される。後者はそれを通信監視手段１６に組み込まれている第１手段２２に、ネットワーク３２を介して送信する。これら第１手段２２は該メッセージを分析し、同メッセージに対応するセキュリティレベルを決定する。このセキュリティレベルはネットワーク３６を介して第２手段２４に送信される。前記第２手段はこのセキュリティレベルを通信のセキュリティレベル（通信制御手段１４において予め選択され、記憶されているセキュリティレベルに対応することができる）と比較する。特に、このセキュリティレベルは、通信のセキュリティレベルを変更するために、パイロットの要請の後で、又は、地上局の要請の後で予め選択する(preselectionner)ことができる。受信メッセージのセキュリティレベルと通信のセキュリティレベルとの比較結果は、ネットワーク３８を介して第２手段２４により第３手段２６に送信される。

前記２つのセキュリティレベルを比較し、両者が同一である場合、第３手段２６はネットワーク３２を介してルータに、対応するメッセージの受取情報を送り返す。この場合、通信ネットワークにおいてハッカー侵入の試みを検出しなかったからである。その後、ルータは、ネットワーク３４を介して送信先アプリケーションにこのメッセージを送信する。

前記２つのセキュリティレベルを比較し、両者が相違している場合、第３手段２６はルータにネットワーク３２を介して、対応するメッセージの破棄情報を送り返す。その結果、同ルータは送信先アプリケーションにこのメッセージを送信しない。通信制御手段１４は、ネットワーク３０、送受信手段１０、通信ネットワーク１２を介して地上局に向けてメッセージを送信し、前記メッセージの破棄を地上局に通報する。又、これら通信制御手段１４は地上局の通信制御手段において予め選択されたセキュリティレベルの変更を要請するメッセージを地上局に送信し、航空機の通信制御手段１４において予め選択されているセキュリティレベルと同じレベルにする。同様に、受信されたメッセージ（及び破棄された）が地上局から来た場合は、地上局は、適切なセキュリティレベルでそれを送り返すために適切な処理を行うことができる。

更に、第３手段２６は通信ネットワーク１２に関係する現下の通信状態をチェックする。第３手段２６はネットワーク４０を介して、手段２８からこの通信状態を受け取る。この通信状態は少なくとも前記した第１及び第２の状態の内の１つに対応する。それが第１状態（安定した通信のセキュリティレベル）に対応するならば、通信ネットワーク１２においてハッカー侵入の試みがあるとされる。何故なら、前記メッセージの受信に先立ち、通信のセキュリティレベルに対応するセキュリティレベルをもって安定して通信が確立されていたからである。従って、第３手段２６はハッカー侵入の試みを通報する。このハッカー侵入の試みは、例えば、通信ネットワーク１２に接続されており、前記ハッカー侵入の試みに関する情報を表示することができるＦＷＣ（Flight Warning Compute）のタイプの航空機のアラーム制御計算機（図１には図示しない）に、又は、ＤＣＤＵ(digital Communications Display Unit)タイプ又はＭＣＤＵ（Multifunction Control Display Unit）の手段に、通報される。

前記通信状態が前記第２状態（変更中の通信のセキュリティレベル）に対応する場合は、通信ネットワーク１２にハッカー侵入の試みがあるとはしない。なぜなら、前記メッセージの受信に先立ち、通信のセキュリティレベルは変更中であったからである：従って、確実では無いが、受信メッセージが地上局から送られてきてよい。この場合、第３手段２６はハッカー侵入の試みを通報しない。

本発明の特別な実施例において、第２手段２４により比較されるセキュリティレベルが相違する場合において、もし受信メッセージのセキュリティレベルが前記第２セキュリティレベル（メッセージ送信者の認証）に対応し、通信に関係するセキュリティレベルが第３セキュリティレベル（メッセージの送信者の認証と暗号化）に対応するならば、第３手段２６は、ネットワーク３２を介してルータに、対応するメッセージ受取情報を送り返す。そのとき、ルータはネットワーク３４を介してこのメッセージを送信先アプリケーションに送信する。実際、この場合、通信ネットワーク１２においてハッカー侵入の試みは無かったと考えられる。なぜなら、該メッセージは送信者の認証を以って受信されているからである：もし後者が前記地上局に対応している場合、このメッセージは通信ネットワーク１２において侵入を試みるハッカーから送られてこなかったと推定される。

本発明の第１変形によれば、通信のセキュリティレベルは、航空機とこの地上局との間の通信ネットワーク１２において往復する全メッセージに共通である。

別の変形によれば、前記通信ネットワークにおいて往復するメッセージがメッセージタイプに基づいてクラス分けされるとき、通信セキュリティレベルはメッセージタイプにより異なる。これは、セキュリティレベルをメッセージの重要性及び重大性criticiteに適応させることができるという利点を示す。従って、重要性を示すメッセージだけを高いセキュリティレベル（例えば第３レベル）で送信することが可能である。メッセージの送信コストが該メッセージに対応するセキュリティレベルに応じて増大するときに、それにより航空機の開発費の削減が可能になる。例示であるが、ＡＴＣ（Air Traffic Control）と名づけれた第１のタイプのメッセージは航空機と航行管制との間で交信されるメッセージに対応させることができ、ＡＯＣ（Airline Operational Control）と名づけれた第１のタイプのメッセージは航空機とこの航空機を開発した航空会社との間で交信されるメッセージに対応させることができる。

第３手段(複数の)２６が侵入の試みを通報するときに、それらが通信監視手段１６におけるカウンタ（図１には図示していない）の歩進を開始させることが好ましい。このカウンタは、統計の目的で航空機のメンテナンスのときに読取られる。特別な実施例において、通信監視手段１６は複数のカウンタを備えている。ハッカー侵入の試みがある時に、受信メッセージに対応するセキュリティレベルに応じて、通信のセキュリティレベルに応じて、及び、通信ネットワーク１２に関係する通信状態に応じて、受信メッセージのセキュリティレベルに応じて選択された前記複数カウンタの内の１つのカウンタが歩進される。
通信のセキュリティレベルがメッセージタイプに応じる本発明の変形において、カウンタをメッセージのタイプに関係付けることができる。この場合、第３手段２６がハッカー侵入の試みを通報するとき、受信メッセージに対応するメッセージタイプに関係するカウンタが歩進される。

本発明の特別な実施例において、第３手段(複数)２６が、ハッカー侵入の試みについて通報せずに、ルータ１８に受信メッセージを破棄する情報を送り返すときに、それらは通信監視手段１６の別のカウンタ（図１に図示しない）の歩進を開始させる。それは特に受信メッセージに対応するセキュリティレベル及び通信のセキュリティレベルが一致せず、又、通信状態が変更中のセキュリティレベルに対応する場合に相当する。

このカウンタは、メッセージの受信から独立して、周期的にゼロに戻される。もし予め決定された値を越える場合、第３手段２６はハッカー侵入の試みを通報する。なぜなら、通信ネットワーク１２のセキュリティレベルの変更時であって、セキュリティレベルが不適当である限定数のメッセージを受信する時にハッカー侵入の試みが無いと考えられるとしても、メッセージ数が大きいときには、特に予め設定した値を越えている場合、事情は同じでは無いからである。

本発明による航空機と地上局との間の通信監視装置のブロック図である。

Claims (17)

1. 航空機と地上局との通信ネットワーク（１２）への侵入の試みを検出する方法において、通信が複数のセキュリティレベルに基づいて構成され、
   ａ）メッセージが前記通信ネットワーク（１２）に関係する受信手段（１０）で受信されるときに、このメッセージは解析され、このメッセージに対するセキュリティレベルが決定されるステップと、
   ｂ）この受信されたメッセージに対するセキュリティレベルは通信に関係するセキュリティレベルと比較されるステップと、
   ｃ）通信が安定して確立されているか否かを決定するために、前記通信ネットワーク（１２）に関係する通信状態をチェックするステップと、
   ｄ）ステップｂ）で比較されるセキュリティレベルが相違し、かつ、ステップｃ）で決定した通信状態が安定している場合、受信メッセージの破棄および侵入試みについて通報を行うステップと、
   を含み、
   ステップｂ）において、通信のセキュリティレベルが、通信制御手段（１４）において予め選択されたセキュリティレベルに一致し、
   ステップｂ）において比較されるセキュリティレベルが相違しているならば、前記通信ネットワーク（１２）上で、通信制御手段（１４）において予め選択されているセキュリティレベルと同一のセキュリティレベルでそれを送信するために、受信メッセージの送信者に対し通信のセキュリティレベルの変更を要求するメッセージが送られることを特徴とする方法。
2. ステップｂ）で比較されるセキュリティレベルが相違し、かつ、ステップｃ）で決定した通信状態が変更中である場合、受信メッセージの破棄および侵入試みについて通報を行わないことを特徴とする請求項１に記載の方法。
3. 受信メッセージの破棄およびハッカー侵入の試みについての通報に関する動作が、
   Ａ１）受信メッセージの破棄及びハッカーの試みの通報、
   Ａ２）受信メッセージの破棄、および
   Ａ３）受信メッセージの受け取り
   からなるグループから選択されることを特徴とする請求項１又は２に記載の方法。
4. ステップｄ）において受信メッセージを破棄するとき、前記通信ネットワーク（１２）で受信メッセージの送信者に後者が破棄されたことを通告するメッセージを送信することを特徴とする請求項１乃至３の何れか一項に記載の方法。
5. ステップｃ）において、更に前記ネットワークに関係する現下の通信状態の値（valeur d’un etat）をチェックし、受信メッセージの破棄及び前記現下の通信状態に従ってハッカー侵入の試みについての通報に関係した上記動作を実行することを特徴とする請求項１乃至４の何れか一項に記載の方法。
6. 通信のセキュリティレベルが送信メッセージのタイプによることを特徴とする請求項１乃至５の何れか一項に記載の方法。
7. 動作Ａ１）をステップｄ）で実行するときに、カウンタを歩進させることを特徴とする請求項３乃至６の何れか一項に記載の方法。
8. 動作Ａ２）をステップｄ）で実行するときに、予め決められた周期で０に戻されたカウンタを歩進させ、カウンタの値が予め決められた閾値を超えるときに、ハッカー侵入の試みについて通報することを特徴とする請求項３乃至７の何れか一項に記載の方法。
9. 通信は、ハッカー攻撃のリスクに対する通信セキュリティの欠如に対応する第１セキュリティレベル、メッセージ送信者の認証に対応する第２セキュリティレベル、又はメッセージ送信者の認証、かつ、前記通信ネットワーク（１２）における送信メッセージの暗号化に対応する第３セキュリティレベルに従って構成されることを特徴とする請求項１乃至８の何れか一項に記載の方法。
10. 通信ネットワーク（１２）におけるメッセージの送受信手段（１０）と、前記送受信手段に接続される通信制御手段と、を備える航空機と地上局との間の通信ネットワーク（１２）上の通信の監視をする装置（１）において、通信が複数のセキュリティレベルで構成され、
    前記送受信手段（１０）により受信されるメッセージを解析し、メッセージに対応するセキュリティレベルを決定する第１手段（２２）と、
    前記受信メッセージに対応するセキュリティレベルを通信のセキュリティレベルと比較し、比較結果を出力する第２手段（２４）と、
    前記第２手段（２４）から出力される比較結果に基づいて前記受信メッセージに関係する動作を決定する第３手段（２６）と、
    を備え、
    前記第３手段は、通信が安定して確立されているか否かを決定するために、前記通信ネットワーク（１２）に関係する通信状態をチェックし、
    前記第２手段で比較されるセキュリティレベルが相違し、かつ、前記第３手段で決定した通信状態が安定している場合、受信メッセージの破棄および侵入試みについて通報を行い、
    前記第２手段において、通信のセキュリティレベルが、通信制御手段（１４）において予め選択されたセキュリティレベルに一致し、
    前記第２手段で比較されるセキュリティレベルが相違しているならば、前記通信ネットワーク（１２）上で、通信制御手段（１４）において予め選択されているセキュリティレベルと同一のセキュリティレベルでそれを送信するために、受信メッセージの送信者に対し通信のセキュリティレベルの変更を要求するメッセージが送られることを特徴とする装置。
11. 前記第２手段で比較されるセキュリティレベルが相違し、かつ、前記第３手段で決定した通信状態が変更中である場合、受信メッセージの破棄および侵入試みについて通報を行わないことを特徴とする請求項１０に記載の装置。
12. 前記第３手段（２６）は前記ネットワーク（１２）の現下の通信状態の値をチェックし、前記現下の通信状態に応じて受信メッセージに関係する前記動作を決定することができることを特徴とする請求項１０又は１１に記載の装置。
13. 前記通信制御手段（１４）は前記通信監視手段（１６）を含むことを特徴とする請求項１０乃至１２の何れか一項に記載の装置。
14. 前記通信制御手段（１４）は前記通信ネットワーク（１２）の現下の通信状態を管理する管理手段（２８）を有していることを特徴とする請求項１０乃至１３の何れか一項に記載の装置。
15. 前記メッセージ送受信手段（１０）は航空機に搭載されることを特徴とする請求項１０乃至１４の何れか一項に記載の装置。
16. 前記メッセージ送受信手段（１０）は地上局に設けられることを特徴とする請求項１０乃至１４の何れか一項に記載の装置。
17. 請求項１０乃至１５の何れか一項に記載の通信監視装置を搭載する航空機。

Images