JP5911569B2 - ネットワークにおける敵対攻撃の回避 - Google Patents

Description

本発明は、ネットワークを制御するための制御ユニット、システム及び方法に関する。

近年、例えば照明システム、ビル・オートメーション、モニタリング用途、センサシステム、及び医学的用途の遠隔制御のためのワイヤレスメッシュネットワークがますます注目を集めている。特に屋外照明器具の遠隔管理、いわゆるテレマネジメントがより重要となってきている。これは、テレマネジメントシステムが、例えば時間、天候条件又は季節に応じた様々な調光パターンを使用できるため、屋外照明システムのよりエネルギー効率のよい使用を可能にすることから、環境への配慮によっても押し進められている。一方、エネルギー効率が増加することで運転費用も削減されるため、経済的な理由によっても押し進められている。更に、テレマネジメントシステムは、電力使用量を遠隔モニタリングし、ランプ不具合を検出することができるため、照明器具を修理又はランプを交換する最適な時機を決定することができる。

現行の無線周波数（ＲＦ）ベースのワイヤレスソリューションは、スターネットワークトポロジかメッシュネットワークトポロジのどちらかを使用する。スターネットワークでは、中央コントローラが、ネットワーク内のすべてのノードへの直接ワイヤレス通信路を有する。しかし、これには、通常、高電力／高感度のベースステーション式の中央コントローラを高い場所（例えばビルの頂上）に配置することが必要であり、当該ソリューションを配備することを煩わしくかつ高価にしてしまう。メッシュネットワークでは、複数のノードは、一般に、中央コントローラとは直接通信せず、いわゆるマルチホップ通信を介して通信する。マルチホップ通信では、データパケットは、送信者ノードから宛先ノードに、１つ以上の中間ノードを介して送信される。ノードは、隣接ノードから、単一のホップで到達するには遠過ぎるノードにデータパケットを送信するルータとして機能し、結果として、より大きい距離に及ぶことができるネットワークがもたらされる。信号強度は、長距離を一連の短いホップによって分割することによって維持される。したがって、ルーティングは、どの隣接ノードにデータパケットが送信されるべきかを決定するメッシュネットワークのすべてのノードによって行われる。したがって、メッシュネットワークは、高い接続性、したがって高い冗長性と信頼性とを有する非常にロバストで安定したネットワークである。

図１に、メッシュトポロジを有する典型的なワイヤレスネットワークが示される。当該ワイヤレスネットワークは、中央コントローラ６０と、複数のノード１０（Ｎ）とからなり、これらは互いにワイヤレス通信路４０によってメッシュトポロジに接続される。ノード１０間のワイヤレス通信路４０は、ＲＦ伝送によって構成される。このために、ノード１０と中央コントローラ６０とは、ワイヤレス通信路４０、例えばＲＦ伝送を介してデータパケットを送受信するための送受信器を含む。バックエンドでは、サービスセンタ８０があり、システム管理サービスを行う。このエンティティは、通常、インターネットといった第三者通信チャネルを介する１つ以上のワイヤレスネットワーク、モバイル通信ネットワーク、又は、他の有線又は無線データ伝送システムと通信する。具体的には、サービスセンタ８０は、対応するネットワークの中央コントローラ６０と、当該ネットワークの制御又は構成を担当するコミッショニングツールとして通信する。照明システム又は任意の他の大規模ワイヤレスネットワークの場合、ノード１０が、１つのセグメントコントローラ６０を有する１つのセグメントに厳密に属するように、ネットワークはセグメントに分割されてもよい。したがって、「セグメントコントローラ」と「中央コントローラ」との用語は、本説明全体において交換可能と見なされるべきである。

メッシュネットワークにおいて、任意のノード１０の対が、ルーティングプロトコルによって、幾つかのホップに亘って互いに通信することができる。安全上の理由から、ネットワークのすべてのノード１０は、データパケットがネットワークノード１０から来たものなのか、又は、干渉ノードから来たものなのかをホップ毎に検証するために使用される認証用の共通キーＫを共有する。したがって、送信者ノード１０が、中間ノード１０を介して、宛先ノード１０にメッセージを送信する場合、送信者ノード１０は、当該メッセージを、ＭＡＣ（メディア・アクセス・コントロール）層において保護することができる。ここでは、保護とは、認証、インテグリティ、鮮度、又は、ＡＥＳ−ＣＣＭ（ＣＣＭモードにおける高度暗号化標準）といった標準ブロック暗号モードによる機密性保持といった基本セキュリティサービスの提供を指す。このために、送信者ノード１０は、例えばメッセージを取り、当該メッセージを、ＡＥＳ−ＣＣＭで生成されたＭＩＣ（メッセージ・インテグリティ・コード）、共通キーＫ、及び送信者ノードに関連付けられ、メッセージの鮮度を保証するために使用されるカウンタＣのうちの少なくとも１つに添付する。このメッセージを受信すると、中間ノード１０は、次に、キーＫを使用してメッセージを復号化し、ＭＩＣを使用してメッセージインテグリティを検証し、カウンタＣに基づいてメッセージの鮮度を検証する。すべての検証が成功に終われば、中間ノード１０は、送信者ノード１０によって行われたように、再度、メッセージを保護し、当該メッセージを、宛先ノード１０に転送する。

メッシュネットワークにおける各ノード１０が、転送されてきたメッセージのキーＫを使用して真正性を検証し、カウンタＣに基づいて鮮度を検証すると、基本的なネットワーク保護が提供される。しかし、これは、２つの重要な状況に対処しない。この２つの状況では、ネットワークは非常に脆弱であり、サービス妨害攻撃（ＤｏＳ攻撃）によって完全に破壊されてしまう。第１の問題は、ネットワークのすべてのノード１０がまだ適切にコミッションされているわけではない（コミッショニングが成功しているわけではない）ネットワークのコミッショニングフェーズに関連する。したがって、すべてのノード１０が、ホップ毎の安全（セキュリティ）を実現するために使用されるキーＫを有しているわけではない。それにもかかわらず、コミッショニングの間に、複数のメッセージが、セグメントコントローラ６０又はサービスセンタ８０と交換されなければならず、したがって、安全問題が生じる。したがって、攻撃者は、ネットワークをオーバーロードさせる偽のコミッショニングメッセージを送信することがある。例として、ノードＡ及びＢは、既にネットワークに参加しており、したがって、共通キーＫについて知っているが、ノードＣ及びＤは、依然として、ネットワークに参加しなければならず、まだ適切にコミッショニングされていない（キーＫについて知らない）ということが想定される。ノードＡ又はノードＢが、ノードＣ又はＤからのコミッショニングメッセージを転送しなければならない場合、ノードＡ及びＢは、これらのコミッショニングメッセージが真正で新鮮であるか確認することができない。これは、ノードＣ及びＤは、キーＫを使用しなかったからである。したがって、この状況において、攻撃者が、ネットワークを破壊し、サービス拒否につながる大量のコミッショニングメッセージを送信する可能性がある。なお、この問題は、ネットワークセットアップの最初に生じるだけでなく、例えば新しいノード１０をネットワークに追加するときにも生じる。したがって、様々な動作ステート又はフェーズにおけるノード１０が、ネットワークにとって深刻な安全問題となる。

第２の安全問題は、単一ノード１０の限定された地域知識により生じる。一般に、ノード１０の厳しいメモリ制限により、ノード１０は、ネットワークのすべての他のノード１０のすべてのカウンタＣ等を記憶することができない。したがって、攻撃者が、例えばネットワークの片側における通信リンクを傍受し、ネットワークの他の部分においてこれらのメッセージを再生する可能性がある。これは、「ワームホール攻撃」と呼ばれ、図２に説明される。図２では、ノードＡがネットワーク部１における通信を傍受し、ネットワーク部２においてメッセージを再生するために、ネットワーク部２におけるノードＢにワームホールリンク（矢印）を介して当該通信を送信し、また、その反対もある。このような攻撃の１つの影響としては、ネットワーク部１におけるすべてのノード１０が、ネットワーク部２におけるノード１０は、隣接ノードであると見なし、また、その反対もある。結果として、これは、ネットワーク内のルーティング及び他の接続性に基づいたプロトコルに影響を及ぼす。更に、新しい「経路（ルート）」が確立され、ネットワークにおけるデータトラフィックが、ワームホールリンクを介するショートカットを使用し始めると、ワームホールノードＡ及びＢは、データパケットをドロップし始め、ネットワーク崩壊を引き起こす。更に、ネットワーク部１のノード１０に対応するカウンタＣは、ネットワーク部２におけるノード１０によって知られていないが、ネットワーク部２におけるノード１０は、メッセージ・インテグリティ・コードＭＩＣは検証可能であるため、すべての再生されたメッセージを単に転送する。したがって、攻撃は、ネットワーク部１において生成されたメッセージによって、ネットワーク部２からくるすべてのメッセージをブロックする結果をもたらす。

国際特許公開公報ＷＯ２００９／０３１１１２Ａ２は、ノードと、ワイヤレスネットワーク用の分散セキュリティアーキテクチャを確立する方法とに関する。

先行技術における上記不利点及び問題に鑑みて、本発明は、サービス妨害攻撃又は他の敵対攻撃からのネットワークの保護が向上され、その一方で、ネットワークの動作を単純及び効率的なままとし、かつ、単一ネットワークノードの限定された能力を考慮する、複数のノードを有するワイヤレスネットワークを動作させる制御ユニット、システム及び方法を提供することを目的とする。

本発明は、フェーズ認識システムを定義するために様々なネットワークフェーズ間の相違点を考慮するという考えに基づいている。例えばコミッショニング、学習、及び動作フェーズの特徴は、特に敵対攻撃に対する脆弱性に関して、容易に区別可能である。したがって、コミッショニングフェーズは、隣接ノード、ネットワークパラメータ、及びセキュリティキーが、一般に、ネットワークに参加するときにノードに知られていないので、一般にあまり安全ではない。したがって、ノードが、フェーズを認識して動作し、現在のネットワークフェーズに応じてノードパラメータ、隣接パラメータ、又は他のネットワークパラメータのうちの少なくとも１つを対処することが提案される。このことは、特に、入来メッセージ、新しい又は未知のノードへの接続、ルーティングテーブルの更新リクエスト等の、現在のネットワークフェーズに依存した対処に関係する。この方法によって、特定のネットワークフェーズでは必然的である又は不可避であるセキュリティホールが、対応するフェーズに時間的に限定され、これにより、ネットワークの脆弱性が最低限にまで低減される。

本発明の１つの態様によれば、ワイヤレスネットワークのノード用の制御ユニットが提供される。当該制御ユニットは、現在のネットワークフェーズに基づいてノードの少なくとも１つの動作パラメータを調節することができ、また、調節された動作パラメータに基づいて受信データパケットを処理することができる。このために、制御ユニットは、現在のネットワークフェーズに対応するノードの動作パラメータを設定するフェーズ適応モジュールと、これに応じてノードを動作させるフェーズ認識モジュールとを含む。したがって、ノードの挙動は、様々なネットワークフェーズに合せられる。ネットワークフェーズは、例えば、その間にノードがネットワークに参加し、当該ネットワークのメンバーとなるためにコミッショニングされるコミッショニングフェーズ、その間にノードがその近隣ノードについて学習する学習フェーズ、又は、ノードがネットワーク内で動作する作業若しくは動作フェーズに関連する。しかし、一般に、任意の数Ｎのネットワークフェーズを定義することができる。単一ノードの動作又は挙動を、現在のネットワークフェーズに適応させることによって、不要なセキュリティホールは、閉じられ、また、対応するフェーズの要件によって最小限にまで低減される。

現在のネットワークフェーズは、（例えば特定の送信者といったように特定のメッセージタイプを有するメッセージについて区別される）メッセージの数、率若しくは頻度、又は、特定のネットワークフェーズに特徴的である任意の他の特徴といった所定のフェーズ特徴によって決定される。好適には、フェーズ特徴は、そのフェーズの間の一般的なネットワーク挙動に基づいて決定される。現在のネットワークフェーズは、ノード自身によってローカルで決定される、及び／又は、中央／セグメントコントローラ若しくはサービスセンタによって中央で決定される。一例では、ノードは、例えばネットワークトラフィックを連続的に又は特定の時間間隔でモニタリングすることによって、データトラフィックに基づいて現在のネットワークフェーズを決定する。ネットワークフェーズを中央で決定する場合、中央／セグメントコントローラ及び／又はサービスセンタが、対応する情報を、安全なブロードキャスト若しくはユニキャスト、又は、任意の他の種類の伝送を使用して、ノードに提供する。場合により、中央／セグメントコントローラ及び／又はサービスセンタは更に、例えば１つ以上の動作パラメータの対応する値を示すために、及び／又は、そのネットワークフェーズ用の期間（この期間の経過後、ネットワークは、前のネットワークフェーズ又は別の所定のネットワークフェーズに自動的に戻る）を設定するために、現在のネットワークフェーズに関する情報と共に更なる情報も提供する。したがって、動作パラメータの値も、そのネットワークフェーズについて中央で設定される。しかし、少なくとも１つの動作パラメータ、又は、動作パラメータのセットが、少なくとも１つのネットワークフェーズについて予め決定されることも可能であり、即ち、これらの動作パラメータは、ローカルで定義され、単一ノードに記憶されてもよい。この場合であっても、これらの動作パラメータは、中央／セグメントコントローラ又はサービスセンタによって依然として調節可能である。

これに代えて及び／又はこれに加えて、中央／セグメントコントローラ及び／又はサービスセンタは、特定のネットワークフェーズを告知する。即ち、現在のネットワーク状況の任意の決定処理に無関係に告知する。この方法によって、ネットワークを動作フェーズから、例えば新しいノードがネットワークに参加することを許可するコミッショニングフェーズといった先のフェーズに再びシフトすることが可能である。したがって、ノードの制御ユニット、即ち、フェーズ適応モジュールは、動作パラメータを適宜調節することによって、ノードを複数のネットワークフェーズのうちの任意の１つにスイッチする。

好適には、少なくとも１つのネットワークフェーズは、ある時間間隔又は動作エリアに限定される。時間間隔は、例えば中央／セグメントコントローラ又はサービスセンタによって予め決められるか又は調節可能である。動作エリアとは、ネットワークの全体又は一部を表す。これは、学習又はコミッショニングフェーズといった脆弱なフェーズが自動的に停止され、ネットワークがより安全なネットワークフェーズに戻ることができるので、セキュリティを増加することができる。一実施形態では、ネットワーク又はノードは、時間的又はエリア的に限定された任意の中間ネットワークフェーズにスイッチ可能である。したがって、ネットワーク又はノードは、ある時間が経過すると、この中間ネットワークフェーズを自動的に停止する。次に、ネットワーク又はノードは、別の所定のネットワークフェーズ、又は、当該中間ネットワークフェーズがそこから開始された先のネットワークフェーズに戻る。

好適には、ノードの動作パラメータは、メッセージの最大数又は最小数、メッセージの最大頻度若しくは率又は最小頻度若しくは率、エリア閾値、又は最大時間閾値のうち少なくとも１つを含む。メッセージは、そのタイプ、送信者ノード、宛先、又は任意の他の特徴によって認識される。例えばコミッショニングフェーズの間は、大量のコミッショニングメッセージが許可される、又は、必要とされる一方で、ネットワークの動作フェーズの間は、コミッショニングメッセージを処理することが一切許可されない。同様に、特定の送信者からの、及び／又は、特定の宛先への特定数のメッセージしか許可されない。これは、サービス妨害攻撃時の盗聴されたメッセージの増殖及び再生を回避するためのものである。これに代えて又はこれに加えて、動作パラメータは、ルーティングテーブルの更新が許可されているかどうかを示すルーティング更新インデックス、ノード設定の更新が許可されているかどうかを示す設定更新インデックス、メッセージのコミッショニングが許可されているかどうかを示すコミッショニングインデックス、及び未知のノードからのメッセージが許可されているかどうかを示すストレンジャー受入れインデックスのうちの少なくとも１つを含む。例えばコミッショニングの間は、ノードは、その隣接ノードについて知らない。その一方で、動作フェーズの間は、ノードは、ネットワークが静的であると見なす。したがって、動作フェーズの間は、ノードの少なくとも１つの動作パラメータは、ノードがそのルーティングテーブルを（完全に）更新すること、及び／又は、ストレンジャーノードからのメッセージを受け取る又は転送することが許可されないように設定される。上述したように、動作パラメータは、１つ以上のネットワークフェーズについてローカルで定義され、したがって、フェーズ適応モジュールは、現在のネットワークフェーズに応じて動作パラメータの対応する値を調べる。

本発明の好適な実施形態では、ノードの制御ユニット、即ち、フェーズ認識モジュールは、ネットワークの挙動、及び／又は、データトラフィックが、現在のネットワークフェーズについて正常であるかどうかを決定するために、受信データパケットを解析する。例えばネットワークの挙動は、データトラフィックに基づいて決定される。しかし、ネットワークの挙動は、日中であること、給電状態等といった他のパラメータにも依存する。したがって、これらのパラメータが、ネットワークの挙動を観察するために考慮される。観察されたネットワークの挙動は、所定のフェーズ特徴と比較される。このために、データパケットは、タイプ、送信者、宛先、又は少なくとも転送ノードに関して、解析される。これに代えて又はこれに加えて、受信及び／又は転送されたデータパケットの頻度又は数も決定される。上述したとおり、特定のネットワークフェーズの間に、特定数の、例えば特定タイプのデータパケットのみ転送される。別の例としては、送信者又は宛先が未知であるデータパケットに関してノードの挙動を処理することが挙げられる。

好適には、例えばネットワークの挙動が対応するネットワークフェーズの１つ以上の所定のフェーズ特徴から逸脱して、ネットワークの挙動が正常ではないと決定されると、制御ユニット、即ち、フェーズ認識モジュールは、攻撃ステートを決定する。このような攻撃ステートでは、これに応じてノードの挙動が適応される。例えばノードの制御ユニットは、攻撃をブロックするために、対抗手段を取る。例えば転送されるべきメッセージがドロップされる、データパケットの処理が拒否される、及び／又は、有責のデバイスが特定され信用できないものとマーク付けされる。したがって、攻撃ステートにおいて受信データパケットの転送が拒否されると、偽メッセージによるネットワークのフラッディング、したがって、ネットワークの通信リンクのブロックが回避される。これに代えて及び／又はこれに加えて、制御ユニットは、攻撃アラームをトリガする。これは、隣接ノード又は中央／セグメントコントローラ若しくはサービスセンタへのアラームメッセージの送信、フラッディング又はブロードキャスティングに関連する。この方法によって、周囲のノード及び／又は管轄コントローラは、攻撃の可能性について知らされ、攻撃ステートに設定され、これにより適宜反応できる。したがって、中央／セグメントコントローラ又はサービスセンサは、適切な対抗手段を取る。観察されたネットワークの挙動が所定のフェーズ特徴から逸脱するのではなく、制御ユニットが、ノードの調節された動作パラメータに基づいて受信データパケットの処理を拒否する場合も、攻撃ステートが決定され、及び／又は、攻撃アラームがトリガされる。この方法により、サービス妨害攻撃が回避される。

更なる実施形態では、受信データパケットの処理は、少なくとも、データパケットを、データパケットの宛先に向けて転送すること、データパケットの宛先としてデータパケットを受け取ること、及び、データパケットに含まれる情報に基づいて、ノード設定又はルーティング情報を更新することを含む。

好適な実施形態では、ノードは、街路照明システム、公共の場所の照明システム、又は任意の他の大規模照明システムといった照明システムの照明器具ノードである。

本発明の更なる態様によれば、ワイヤレスネットワーク用のシステムが提供される。当該システムは、複数のノードであって、そのうちの少なくとも幾つかは、先行実施形態のうちの１つによる制御ユニットを含む、当該複数のノードと、中央コントローラ又はセグメントコントローラと、を含み、複数のノードと中央コントローラとは、ワイヤレス通信のための手段を含む。好適には、ワイヤレスネットワークは、無線周波数ネットワーク、例えば照明システムの遠隔制御、即ち、テレマネジメント用のネットワークである。中央コントローラは、１つ以上のノードの状態をモニタリングすることによって、現在のネットワークフェーズを決定する。例えば中央コントローラは、１つ以上のノードが適切にコミッショニングされているかどうか、又は、所定の割合のノードが適切にコミッショニングされているかどうかを決定する。複数のノードの状態は、ノードの平均状態によって決定される。更に、中央コントローラは、決定された現在のネットワークフェーズについて、ノードに知らせる。このことは、ネットワーク内で対応するメッセージをブロードキャストする、ユニキャストする、マルチキャストする、又はフラッディングすることによって実現される。これに代えて又はこれに加えて、中央コントローラは、現在のネットワークフェーズによる１つ以上の動作パラメータの１つ以上の値について、ネットワークノードに知らせる。

本発明の更なる態様によれば、複数のノードを有するネットワークを動作させる方法が提供される。当該方法は、現在のネットワークフェーズに基づいて、ノードの少なくとも１つの動作パラメータを調節するステップと、調節された動作パラメータに基づいて、当該ノードによって受信されたデータパケットを処理するステップとを含む。したがって、本発明による方法は、本発明の上記実施形態のうちの１つによる制御ユニット又はシステムによって実行される。

本発明のこれらの及び他の態様は、以下に説明する実施形態を参照することにより明らかとなろう。本発明は、添付図面によって図示される例示的実施形態に関し、より詳細に説明される。しかし、本発明は、これらの例示的実施形態に限定されない。

図１は、ワイヤレスメッシュネットワークの一例を示す。 図２は、いわゆるワームホール攻撃を示す。 図３は、本発明の一実施形態による制御ユニットを示す。 図４は、本発明の実施形態による、ネットワークフェーズを決定するための一例を示す。 図５は、本発明の一実施形態による、ノードのフェーズ認識挙動を説明するためのフロー図を示す。 図６は、本発明の一実施形態による、ネットワーク挙動をモニタリングするプロセスのフロー図を示す。

本発明の好適な用途は、健康管理、エネルギー管理、又は、（例えば街路、駐車場、及び公共の場所用の）屋外照明システム及び（例えばモール、アリーナ、駐車場、駅、トンネル等の）一般エリア照明用の屋内照明システムといった照明システムといった様々な用途のためのアクチュエータネットワーク又はセンサネットワークである。以下、本発明は、街路照明のための屋外照明システムの例を用いて更に説明されるが、この用途に限定されない。照明制御の分野において、無線周波数ネットワーク技術を介した屋外照明器具のテレマネジメント、特に２００個を超える照明器具ノードのセグメントを有する大規模インスタレーションへの適用可能性を有するソリューションにますます関心が寄せられている。無線周波数（ＲＦ）伝送は、高い伝送電力を必要とせず、実施及び配備が容易であるため、ネットワークをセットアップし及び動作させるコストが削減できる。しかし、データパケット伝送は、或いは、赤外線通信、自由空間可視光通信、又は電力線通信を使用してもよい。

照明制御用のテレマネジメントシステムでは、照明器具ノード１０の数は非常に多い。したがって、ネットワークのサイズは、通常２００個未満のノードを含む一般的なワイヤレスメッシュネットワークに比べると、特に非常に大きい。更に、ノード１０は、通常、コストに関する検討によって、限定された処理能力を有するので、照明器具ノード１０における処理及びメモリリソースは限られている。したがって、単一ノード１０間でデータパケットを伝送するためのセキュリティ手段及び通信プロトコルは、効率的かつ安全なデータパケット伝送のためには、その限定されたリソースを考慮すべきである。最後に、他のいわゆるアドホックメッシュネットワークに比べて、屋外照明制御ネットワーク用のテレマネジメントシステムは不動である。即ち、照明器具ノード１０は移動しない。照明器具ノード１０（例えばランプポール）は不動であるので、ノード位置は、時間が経過しても変わらない。したがって、ノード１０の物理的位置、例えばＧＰＳ座標又は他の位置データは、システム内で既知であり、予めプログラムされた又は所定の位置を使用した地理又は位置ベースのルーティングが可能となり、これにより、単一ノード１０はＧＰＳ受信器が不要となる。更に、ノード１０は、位置情報更新を他のノード１０に送信する必要がない。

図３では、本発明による制御ユニット１００の例示的な実施形態が示される。この制御ユニットは、例えば更新ソフトウェア等として、既存の照明器具ノード１０をアップグレードするために当該照明器具ノード１０に挿入可能に構成される。制御ユニット１００は、ノード１０の動作挙動を現在のネットワークフェーズに適応させるフェーズ適応モジュール１１０及びフェーズ認識モジュール１２０を含む。当然ながら、フェーズ適応モジュール１１０及びフェーズ認識モジュール１２０は、組み合わされたモジュールとして実現されてもよい。更に、制御ユニット１００は、動作パラメータ、ルーティングテーブル、ネットワークフェーズ、又はノードの他の設定を記憶するためのメモリ１３０を更に含む。また、無線周波数ベースの通信（ＧＰＲＳ）等といったワイヤレス通信のための伝送ユニットが含まれる。

一実施形態によれば、フェーズ適応モジュール１１０は、現在のネットワークフェーズに応じて、ノード１０の動作パラメータを調節する。例えばネットワークフェーズが変わったと決定されると、これに応じて、制御ユニット１００のフェーズ適応モジュール１１０は、動作パラメータのうちの１つ以上を調節する。動作パラメータの値は、様々なネットワークフェーズについて予め決められていてよく、ノード１０のローカルに記憶される。或いは、動作パラメータは、サービスセンタ８０又はセグメントコントローラ６０によってノード１０に通信される。制御ユニット１００のフェーズ認識モジュール１２０は、データパケットを受信すると、当該受信データパケットを、動作パラメータの設定に応じて処理する。したがって、ネットワークのノード１０は、現在のネットワークフェーズ及びその関連付けられる動作パラメータを認識している。

例えば動作パラメータは、データパケットの転送、受け取り、若しくは処理、ルーティングテーブルの更新、又は、コンフィギュレーション若しくはコミッショニングメッセージの受け取りに関連する。例えばネットワークのコミッショニングフェーズの間、コミッショニングメッセージ（コミッショニングインデックス）の受け取りに関するノード１０の動作パラメータは、ノード１０がコミッショニングメッセージを受け取り、それらを適切に処理するように設定される。対照的に、学習フェーズ又は動作フェーズでは、コミッショニングメッセージは受け取られない。同様に、動作パラメータ、例えばストレンジャー受入れインデックス（stranger-acceptance-index）によって、未知の送信者ノード又は未知の中間ノードから受信されるメッセージは、コミッショニングフェーズ又は学習フェーズの間には受入れ可能であるが、動作フェーズの間は受入れ不可能であることを決めることができる。更なる動作パラメータとして、単位時間あたりのメッセージ数が決められる。これは、特定のメッセージタイプについて設定される。例えばコミッショニングフェーズの間は、どのノード１０も単位時間あたり所定数ｎ１のコミッショニングメッセージを転送できるが、動作フェーズの間は、ノード１０は、単位時間あたり最大でｎ２のコミッショニングメッセージしか転送できない（例えばｎ１＞ｎ２）。これを実現するために、フェーズ認識モジュール１２０は、最後の時間単位Δｔの間に転送されたコミッショニングメッセージの数ｎを記録するように適応される。この数ｎが、各ネットワークフェーズに対し異なるように設定できる所与の閾値（例えばｎ＞ｎ_フェーズ）（例えばコミッショニングフェーズの場合、ｎ１、動作フェーズの場合、ｎ２）を超えると、ノード１０は、偽コミッショニングメッセージによるネットワークのフラッディングを回避するために、これらのコミッショニングメッセージをすべてドロップする。同様に、メッセージの数は、特定の範囲内になければならないこともある。当然ながら、単位時間あたりの数ではなく、頻度も動作パラメータとして定義されてよい。動作パラメータの更なる例としては、ルーティングテーブルの更新が許可されているかどうかを示すルーティング更新インデックス（routing-update-index）である。例えば１つのノード１０は、どのノード１０がその隣接ノードであるのか又は近くにあるノードなのかを学習する。この情報は、ルーティングプロトコルに使用されてもよく、例えばノード１０は、そのルーティングテーブルに記載されているノードから又はノードへのみ、メッセージを転送する。例えばルーティングテーブルの作成は、例えば学習フェーズに対応する特定の期間に限定される。この期間が過ぎると、フェーズ適応モジュール１１０は、ルーティング更新インデックスを「更新許可」から「更新禁止」に設定する。したがって、動作フェーズの間は、ルーティング情報はロックされ、したがって、ルーティングテーブルは変更することができない。したがって、新しいルーティング情報を含むメッセージを受信する場合、フェーズ認識モジュール１２０は、ルーティングテーブルの更新が認められているかどうかを決定するために、ルーティング更新インデックスの動作パラメータを確認する。一般に、動作フェーズの間は、最小限の変更のみ許可されるべきである。したがって、学習フェーズ後、ネットワークのノード１０は、ネットワークが実質的に静的であると見なし、ルーティングテーブルの更新を許可しない。この方法によって、遠く離れた攻撃者ノード、例えばワームホールノードＡ又はＢが、後に隣接ノードとしてノード１０のルーティングテーブルに組み込まれ、これによりネットワーク崩壊又はサービス拒否を引き起こすことが回避される。

現在のネットワークフェーズは、個々のノード１０においてローカルに決定されてもよいし、サービスセンタ８０又はセグメントコントローラ６０によって中央で決定されてもよい。ネットワークフェーズの中央管理のために、セグメントコントローラ６０又はサービスセンタ８０は、現在のネットワークフェーズを決定するために、ノード１０のステータスをモニタリングするように適応される。或いは、ネットワークフェーズは、時間に関して定義されてもよい。ネットワークフェーズを決定後、セグメントコントローラ６０又はサービスセンタ８０は、現在のネットワークフェーズについての情報を、ネットワークに対して安全にブロードキャストするか又は各ノード１０にユニキャストする。更に、セグメントコントローラ６０は更に、対応するネットワークフェーズに関連付けられる動作パラメータもブロードキャスト又はユニキャストする。この中央集中型のアプローチによって、ノード１０、したがってネットワークの挙動が、ネットワークフェーズに適応される。

現在のネットワークフェーズを決定するために、セグメントコントローラ６０又はサービスセンタ８０は、例えばネットワークのノード１０及びネットワークトラフィックをモニタリングする。例えばあるノード１０がネットワークに参加すると、当該ノードはコミッショニングモードにある。このステートは、例えば工場において予め設定されてもよい。現在のネットワークフェーズを決定するために、ネットワークに既に参加したノード１０の割合が、例えばセグメントコントローラ６０又はサービスセンタ８０によって、中央にて観察される。一例として、コミッショニングが成功したノード１０の割合が、所定の閾値（通常は１００に近い）を超過すると、セグメントコントローラ６０又はサービスセンタ８０は、ネットワークに、コミッショニングフェーズは完了し、ネットワークフェーズは学習フェーズに変わったことを知らせる。ノード１０のフェーズ適応モジュール１１０は、現在のネットワークフェーズが学習フェーズに変わったことが知らされると、これに応じて動作パラメータを調節する。新しいネットワークフェーズに関連する動作パラメータの値もセグメントコントローラ６０又はサービスセンタ８０によって通信される場合、フェーズ適応モジュール１１０は、ノード１０の動作パラメータを相応に設定する。ネットワークサイズ又はネットワークのノード１０から集められたフィードバックに依存して決定される所与の期間後、サービスセンタ８０又はセグメントコントローラ６０は、現在のネットワークフェーズを、学習フェーズから動作フェーズに代えることを決定する。ここでもネットワークのノード１０は、新しいネットワークフェーズについて知らされる。

代替実施形態では、ネットワークフェーズの分散管理が提案される。この実施形態では、現在のネットワークフェーズは、例えば受信メッセージに基づいて又はネットワークトラフィックを観察することによって、ノード１０においてローカルに決定される。一例では、各ノード１０は、当該ノードが少なくとも３つのネットワークフェーズ、即ち、コミッショニングフェーズ、学習フェーズ、及び動作フェーズを経験することを知っている。あるノード１０がネットワーク内にインストールされると、当該ノードはコミッショニングされるべきネットワークに参加する。この期間の間、当該ノード１０は、出現する新しいノード１０を観察し、また、当該ノード１０は、他のノード１０からのコミッショニングメッセージを転送しなければならない。したがって、当該ノード１０は、図４の上部グラフに示されるように、単位時間あたりに転送されたコミッショニングメッセージの数を記録する。幾らか時間が経過した後、即ち、ネットワークコミッショニングの終わりに向かって、当該ノード１０は、ある時間ｔ_１において、コミッショニングメッセージの数の低下を観察する。コミッショニングメッセージの割合又はコミッショニングメッセージの頻度が、特定の期間（ベータ）の間、低いままであると、当該ノード１０は、図４の下部グラフに示されるように、コミッショニングフェーズは完了し、現在のネットワークフェーズが例えば動作フェーズに変わったことを決定する。したがって、ノード１０は、セグメントコントローラ６０又はサービスセンタ８０の介在を必要とすることなく、自己の情報に基づいて、現在のネットワークフェーズに関する情報を得ることができる。

更なる実施形態では、ネットワークノード１０は、任意のネットワークフェーズに、当該フェーズに以前になったことがあるかどうかに関わらず、スイッチ可能である。例えば既に動作フェーズにあるＲＦ照明システムは、時に、追加の照明器具ノード１０によって拡張される必要がある。この場合、ネットワークを、状況に応じて、中間ネットワークフェーズ、例えばコミッショニング又は学習フェーズといった初期ネットワークフェーズのうちの１つにスイッチすることが有利である。中央フェーズマネジメントの一実施形態では、セグメントコントローラ６０が、ネットワーク管理を担当する。新しい照明器具ノード１０を追加するためにネットワークが拡張される前に、セグメントコントローラ６０は、ネットワークに、例えば安全なブロードキャスト又はユニキャストによって、状況について伝える。例えばネットワークは、新しい照明器具ノード１０が含まれ、コミッショニングメッセージといった非検証可能メッセージが転送可能であることが知らされる。同様に、ネットワークノード１０は、ノード１０のルーティングテーブル、一般パラメータ、又は設定を更新可能であることが伝えられる。したがって、単一ノード１０のフェーズ適応モジュール１１０は、フェーズ認識モジュール１２０に新しい処理ルールを示すために、動作パラメータ、例えばルーティング更新インデックス又は設定更新インデックスを対応して設定する。当然ながら、例えばコミッショニングインデックス、ストレンジャー受入れインデックス、メッセージ数の閾値、ルーティング更新インデックス、エリア閾値、最大時間閾値、及び設定更新インデックスのうちの少なくとも１つを含む動作パラメータの適切な組み合わせが、セグメントコントローラ６０によって設定されてよい。

しかし、ノード１０においてこれらの変更又は更新を可能にすることによって、ネットワークのセキュリティが弱体化する。したがって、これらの動作パラメータ設定のうちの１つ以上は、特定の時間窓に限定される。或いは、セグメントコントローラ６０は、中間ネットワークフェーズが完了した時をネットワークノード１０に知らせる。その後、ノード１０のフェーズ適応モジュール１１０は、一時的に変更された動作パラメータを、一時的なフェーズが開始したネットワークフェーズに対応する動作パラメータの値にリセットする。この方法によって、ネットワークは、変更に対し柔軟なままである。

図５では、現在のネットワークフェーズに対応する受信データパケットの処理の一例が示される。上述したように、現在のネットワークフェーズは、中央にて又はローカルにて決定される（Ｓ５００）。しかし、ノード１０は、現在のネットワークフェーズについて知っており、これに応じて、その動作パラメータは、フェーズ適応モジュール１１０によって設定される（Ｓ５１０）。ノード１０がデータパケットを受信すると（Ｓ５２０）、当該データパケットは、解析される（Ｓ５３０）。この解析は、データパケットがノード１０の設定済み動作パラメータに適合するかどうか、即ち、データパケットの処理が当該動作パラメータによって許可されるのかどうかについて確認することだけに関する。例えば動作パラメータであるストレンジャー受入れインデックスが「偽」に設定されている場合、当該データパケットは、送信者ノード及び／又は転送ノードが、例えば受信ノード１０のルーティングテーブルに記載されていて、知られている場合にのみ、受け取られる。同様に、他の動作パラメータもすべて、データパケットを受け取るかどうかを決定するために確認される。しかし、ステップＳ５３０における解析は、例えばデータパケットがそこから受信される送信者ノード及び転送ノード、宛先ノード、又は、データパケット内に含まれるセキュリティパラメータ（例えば転送ノードに関連付けられたカウンタＣ、メッセージ・インテグリティ・コードＭＩＣ等）のうちの少なくとも１つに関する更なる解析を追加的に含む。解析の結果に基づいて、データパケットを受け取るかどうかが決定される（Ｓ５４０）。データパケットの解析が否定的であるか、又は、データパケットはノード１０の動作パラメータによって受け取り可能ではないと決定される場合、データパケットはドロップされる（Ｓ５４０）。しかし、データパケットが、動作パラメータの条件に適合する場合、また、すべての追加の解析が降雨低的である場合、データパケットは、ステップ（Ｓ５５０）において受け取られ、次にフェーズ認識モジュール１２０は、現在の動作パラメータに基づいてデータパケットを処理する。例えば、状況に応じて、データパケットは、その最終宛先に向けてその次のホップノードに転送されるか、受信ノード１０が最終宛先である場合には、復号化される。更に、処理は、ノード１０の動作パラメータによって許可されている場合、ノード１０のルーティングテーブル又は設定を更新するために、データパケットに含まれる情報を使用することを含む。したがって、ノード１０の動作パラメータは、現在のネットワークフェーズに対応して設定されるので、受信されたデータパケットも対応して処理されるので、ネットワークノード１０の挙動は、現在のネットワークフェーズに適応される。この方法によって、ネットワークの脆弱性が最低限にまで低減される。

図６では、本発明の一実施形態に従って攻撃の検出が説明される。一般に、ノード１０は、現在のネットワークフェーズを認識しており、これに応じて、その動作パラメータは設定されている。攻撃検出のために、ノード１０は、ネットワーク挙動を、連続的に又は所定の時間間隔で観察する（Ｓ６００）。例えばノード１０は、受信データパケット、転送されるべきデータパケット等によって、データトラフィックをモニタリングする。ステップＳ６１０において、ネットワーク挙動が許可されているかどうかを決定するために、ネットワーク挙動が解析される。これは、現在の動作パラメータに基づいて、ノード１０のフェーズ認識モジュール１２０によって行われる。一例では、ステップＳ６１０のこの決定処理は、例えば図５のステップＳ５３０について説明されたように、単一のデータパケットの解析に相当する。ネットワーク挙動が異常である又は現在のネットワークフェーズに対し許可されていないと分かると、ノード１０は、攻撃ステートに設定される（Ｓ６２０）。具体的には、ノード１０が、例えばステップＳ５３０における解析結果によってデータパケットの処理が拒絶されたこと、又は、受信データパケットを転送するといったデータパケットにリクエストされた動作を行うことが許可されていないことに気が付くと、ノード１０は、攻撃ステートを決定することができる（Ｓ６２０）。好適には、攻撃ステートは、単一のインシデントによってではなく、特定数のそのようなインシデントの後に、アクティブにされる。対応する閾値がノード１０において予め決定されてよい。攻撃ステートがアクティブにされた後、ノード１０は、これに応じて作動することができる。例えばノード１０は、他のノード１０において攻撃ステートをアクティブにする、又は、セグメントコントローラ６０若しくはサービスセンタ８０に知らせるために、攻撃アラームを、ネットワーク又はセグメントコントローラ６０若しくはサービスセンタ８０に、ブロードキャスト、ユニキャスト、フラッディング等を使用して、送信する。更に、攻撃ステートにおけるノード１０の動作パラメータは、最も限定的で安全な設定に設定される。好適には、転送される必要のあるすべての受信メッセージもドロップされる。この方法によって、攻撃がネットワークに任意の危険を及ぼす前に、当該攻撃をかわすことができる。

したがって、本発明によれば、フェーズを認識するノードの挙動によって、敵対攻撃の開始が妨げられ、進行中の敵対攻撃もブロックされる。ネットワークの動作には絶対に必要であるネットワークにおけるセキュリティホールを、ネットワークフェーズの間だけ、許可することによって、ネットワークの脆弱性が最低限に抑えられる。更に、ネットワークを、任意のネットワークフェーズにスイッチ可能であることによって、ネットワークは、アップグレード、変更、又は拡張に対し柔軟なままである。これらはすべて、単一ノード動作を複雑にすることなく又は通信効率を下げることなく、本発明によって達成可能である。

上記説明では、照明システムの例を使用して、本発明の実施形態が説明された。しかし、多くの他のネットワーク及びシステム、具体的には、軽量ＺｉｇＢｅｅ−ＩＰ、６ＬｏＷＰＡＮ／ＣｏＲＥといった標準を使用するワイヤレスネットワークが、攻撃者がＤｏＳ及び他の敵対攻撃を開始することを阻止するために、同じ基本原理から恩恵を享受することができる。

Claims (14)

1. ネットワークのノード用の制御ユニットであって、
   コミッショニングフェーズ、学習フェーズの間にノードがその隣接ノードについて学習する学習フェーズ、及び動作フェーズのうち少なくとも１つを含む複数のネットワークフェーズのうちの１つである、現在のネットワークフェーズに基づいて前記ノードの少なくとも１つの動作パラメータを調節するフェーズ適応モジュールと、
   特定のネットワークフェーズに対するセキュリティホールが、対応するフェーズに時間的に限定されるように、前記少なくとも１つの動作パラメータに基づいて受信データパケットを処理するフェーズ認識モジュールと、
   を含む、制御ユニット。
2. 前記フェーズ認識モジュールは更に、ネットワーク挙動を観察するために前記受信データパケットを分析し、前記観察されたネットワーク挙動を１つ以上の所定のフェーズ特徴と比較する、請求項１に記載の制御ユニット。
3. 前記観察されたネットワーク挙動が、前記１つ以上の所定のフェーズ特徴から逸脱する場合、攻撃ステートが決定され、及び／又は、アラームがトリガされる、請求項１又は２に記載の制御ユニット。
4. 前記受信データパケットは、前記攻撃ステートでは、ドロップされる、請求項３に記載の制御ユニット。
5. 前記受信データパケットの処理は、少なくとも、前記受信データパケットを前記受信データパケットの宛先に向けて転送すること、及び／又は、ルーティング情報を更新すること、及び／又は、ノード設定を変更することを含む、請求項１乃至４の何れか一項に記載の制御ユニット。
6. 前記ノードの前記少なくとも１つの動作パラメータは、メッセージ数の閾値、メッセージ頻度の閾値、エリア閾値、最大時間閾値、ストレンジャー受入れインデックス、コミッショニングインデックス、設定更新インデックス、及びルーティング更新インデックスのうちの少なくとも１つを含む、請求項１乃至５の何れか一項に記載の制御ユニット。
7. 前記現在のネットワークフェーズは、フェーズ特徴に基づいて、及び／又は、中央コントローラ又はサービスセンタによって提供される情報に基づいて、決定される、請求項１乃至６の何れか一項に記載の制御ユニット。
8. 前記少なくとも１つの動作パラメータ、又は、動作パラメータのセットは、少なくとも１つのネットワークフェーズに対し予め決められている、請求項１乃至７の何れか一項に記載の制御ユニット。
9. 前記ノードは、前記複数のネットワークフェーズのうちの１つにスイッチされる、請求項１乃至８の何れか一項に記載の制御ユニット。
10. 前記複数のネットワークフェーズのうちの少なくとも１つは、ある時間又はエリア間隔に限定される、請求項１乃至９の何れか一項に記載の制御ユニット。
11. 前記ノードは、照明システムの照明器具ノードである、請求項１乃至１０の何れか一項に記載の制御ユニット。
12. ネットワーク用のシステムであって、
    複数のノードであって、少なくとも幾つかは、請求項１乃至１１の何れか一項に記載の制御ユニットを含む、前記複数のノードと、
    中央コントローラと、
    を含み、
    前記複数のノードと前記中央コントローラとは、ワイヤレス通信用に適応される、システム。
13. 前記中央コントローラ又は前記複数のノードは、少なくとも、前記複数のノードのサブセットの平均状態に基づいて、ネットワークフェーズを決定する、請求項１２に記載のネットワーク用のシステム。
14. 複数のノードを有するネットワークを動作させる方法であって、
    コミッショニングフェーズ、学習フェーズの間にノードがその隣接ノードについて学習する学習フェーズ、及び動作フェーズのうち少なくとも１つを含む複数のネットワークフェーズのうちの１つである、現在のネットワークフェーズに基づいて、少なくとも１つのノードの少なくとも１つの動作パラメータを調節するステップと、
    特定のネットワークフェーズに対するセキュリティホールが、対応するフェーズに時間的に限定されるように、前記少なくとも１つの動作パラメータに基づいて、前記少なくとも１つのノードによって受信されたデータパケットを処理するステップと、
    を含む、方法。