JP6823964B2 - 航空メッセージモニター - Google Patents

Description

本教示は、メッセージの監視及び／又は情報の提供の分野に関し、特に、航空メッセージ（ａｅｒｏｎａｕｔｉｃａｌ ｍｅｓｓａｇｅ）の監視、及び／又は航空メッセージの監視に基づく警報の提供に関する。

典型的な航空機は、航空機の動作構成要素に対する指示命令を受信及び実行するために、ライン交換可能ユニット（ＬＲＵ）を利用する。ＬＲＵ間の通信は、通常、概して、サイバーアタックに対して堅牢であった、安全なシリアルベース（ｓｅｒｉａｌ‐ｂａｓｅｄ）のプロトコルを介して行われる。より最近では、航空機内のシステムは、ＬＲＵがイーサネットを含む他の通信プロトコルを介して通信できるように、拡張されてきた。これによって、ハッカーが、航空機のコンピュータシステムに進入する機会がもたらされた。

したがって、航空コンピューティングシステムにおける完全性を提供し、脅威が見つかったときには警報を提供することが必要である。

本教示の幾つかの態様の基本的な理解を提供するために、以下に、簡略化された概要を提示する。この概要は、広範な概観ではなく、本教示の主要な若しくは重要な要素を特定することを企図するものでもなく、又は本開示の範囲を正確に説明することを企図するものでもない。むしろ、その主要な目的は、後に提示される詳細な説明に対する準備として、単に、簡略化された形態にある１以上の概念を提示することである。

本教示によれば、本開示のシステムは、アビオニクス受信ライン交換可能ユニット（ＲＬＲＵ）に対する指示命令を含むメッセージを受信するように設定された送信ライン交換可能ユニット（ＴＬＲＵ）、一組の予期されたメッセージを含む検証データを記憶するように設定されたメモリ、及びＴＬＲＵで受信されたメッセージを監視するように設定され、メモリ内に記憶された一組の予期されたメッセージの少なくとも一部分に基づいて、受信されたメッセージが有効であるか否かを判定するように更に設定されたモニターを含み得る。

モニターは、ＴＬＲＵで受信されたメッセージの第１の部分を、一組の予期されたメッセージ内の予期されたメッセージの対応する部分と比較し、メッセージの第１の部分と予期されたメッセージの対応する部分との比較に基づいて、受信されたメッセージが有効であるか否かを判定するように更に設定され得る。

ＴＬＲＵで受信されたメッセージを比較するときに、受信されたメッセージの第１の部分と予期されたメッセージの対応する部分とのビット単位の比較が、実行され得る。ビット単位の比較が、比較されたビットの少なくとも１つの不一致の結果となったときに、各不一致に対してカウンターが更新され得る。カウンター値は、複数の所定の閾値と比較され得る。カウンター値が所定の閾値の少なくとも１つと一致するか又はそれを超えたときに、受信されたメッセージは有効なメッセージではないと判定され得る。

オプションとして、システムは警報器を含み得る。モニターは、カウンター値が複数の所定の閾値のうちの少なくとも１つを超えたと判定されたときに、警報器に警報を発令するように指示命令するように更に設定され得る。

オプションとして、カウンター値が複数の閾値のうちの第１の閾値を超えたときに、警報器は、ディスプレイパネルの操縦機器（ｆｌｉｇｈｔ ｄｅｃｋ ｉｎｓｔｒｕｍｅｎｔ）の境界を発光させ得る。

オプションとして、操縦機器の境界は、複数の閾値のうちの、一致するか又は超えられた１つに基づいて、複数の色のうちの１つで表示され、それによって、脅威のレベルを示す。

オプションとして、カウンター値が複数の閾値のうちの第２の閾値を超えたときに、警報器は、ディスプレイのライトを発光させ得る。

オプションとして、メモリは、メモリ内のそれぞれのラベルコードに関連付けられた飛行フェーズ情報を記憶するように更に設定され得る。モニターは、現在の飛行フェーズを判定し、受信されたメッセージ内のラベルコードを判定し、受信されたメッセージのラベルコードを現在の飛行フェーズに対応するラベルコードと比較し、受信されたメッセージのラベルコードが現在の飛行フェーズに対応するラベルコードと一致したときに、受信されたメッセージが有効であると判定するように更に設定され得る。

オプションとして、受信されたメッセージは、エアロノーティカルラジオ公社（ＡＲＩＮＣ）メッセージである。

オプションとして、コアファイル（ｃｏｒｅ ｆｉｌｅ）が最後に書き込まれた時を示す日付、コアファイルが最後に修正された時を示す日付、及びコアファイルの更新予定のうちの少なくとも１つに基づいて、モニターは、受信されたメッセージに関連付けられたコアファイルが変更されたか否かを判定するように更に設定され得る。

オプションとして、システムは、ＴＬＲＵで受信されたメッセージをＴＬＲＵから受信し、受信されたメッセージ内に含まれた指示命令を実行するように設定された、複数の受信ライン交換可能ユニット（ＲＬＲＵ）を更に含み得る。

オプションとして、送信ライン交換可能ユニット（ＴＬＲＵ）で受信されたメッセージにアクセスすること、受信されたメッセージの第１の部分を予期されたメッセージの対応する部分と比較すること、及び受信されたメッセージの第１の部分と予期されたメッセージの対応する部分との比較に基づいて、受信されたメッセージが有効であるか否かを判定することを含む、方法が提供される。

ＴＬＲＵで受信されたメッセージを比較することは、受信されたメッセージの第１の部分と予期されたメッセージの対応する部分とのビット単位の比較を実行すること、ビット単位の比較がそれぞれのビットのうちの少なくとも１つの不一致の結果となったときに、各不一致に対してカウンターを更新すること、カウンター値を複数の所定の閾値と比較すること、及びカウンター値が所定の閾値のうちの少なくとも１つと一致し又はそれを超えたときに、受信されたメッセージが有効なメッセージでないと判定することを含み得る。

オプションとして、方法は、カウンター値が複数の所定の閾値のうちの少なくとも１つを超えたと判定されたときに、警報器に警報を発令するように指示命令することを更に含み得る。

オプションとして、カウンター値が複数の閾値のうちの第１の閾値を超えたときに、警報器は、ディスプレイパネルの操縦機器の境界を発光させ得る。

オプションとして、操縦機器の境界は、一致するか又は超えられた複数の閾値のうちの１つに基づいて、複数の色のうちの１つで表示され、脅威のレベルを示す。

オプションとして、カウンター値が複数の閾値のうちの第２の閾値を超えたときに、警報器は、ディスプレイのライトを発光させ得る。

オプションとして、方法は、メモリ内のそれぞれのラベルコードに関連付けられた飛行フェーズ情報を記憶すること、現在の飛行フェーズを判定すること、受信されたメッセージ内のラベルコードを判定すること、受信されたメッセージのラベルコードを現在の飛行フェーズに対応するラベルコードと比較すること、及び受信されたメッセージのラベルコードが現在の飛行フェーズに対応するラベルコードと一致したときに、受信されたメッセージが有効であると判定することを含み得る。

オプションとして、プロセッサによって実行可能な一組の指示命令であって、方法を実行する、一組の指示命令を記憶している、非一時的コンピュータ可読媒体が提供される。方法は、送信ライン交換可能ユニット（ＴＬＲＵ）で受信されたメッセージにアクセスすること、受信されたメッセージの第１の部分を予期されたメッセージの対応する部分と比較すること、及び受信されたメッセージの第１の部分と予期されたメッセージの対応する部分との比較に基づいて、受信されたメッセージが有効であるか否かを判定することを含み得る。

上述の特徴、機能、及び利点は、様々な実施形態において単独で実現することが可能であり、又は更に別の実施形態において組み合わせることが可能であり、これらの実施形態は、以下の説明及び図面を参照することによって更に詳細に理解することができる。

この明細書に組み込まれ、且つこの明細書の一部を構成する添付図面は、本教示を例示しており、説明部分と共に、本開示の原理を解説するために役立っている。

本開示の原理が実装され得る、例示的な１つのシステム環境を示す。 本開示による、ＴＬＲＵの構成要素の例示的な１つの図を示す。 本開示の原理による、例示的な１つのメッセージフォーマットを示す。 本開示の原理による、受信されたメッセージが有効なメッセージであるか否かを判定するための例示的な１つのプロセスを示す。 本開示の原理による、受信されたメッセージが有効なメッセージであるか否かを判定するための例示的な１つのプロセスを示す。 本開示の原理による、警報を発令するための例示的な１つのプロセス６００を示す。 本開示の原理による、受信されたメッセージの一部分と予期されたメッセージの対応する部分との例示的な１つの比較を示す。 本開示の原理による、コアファイルが有効であるか否かを判定するための例示的な１つのプロセスを示す。

図面の幾つかの詳細は、厳密な構造的精度、詳細、及び縮尺を維持することよりもむしろ、本教示の理解を容易にするように、単純化され描かれていることに注意されたい。

次に、添付図面に示す本教示の実施例を詳細に参照する。可能な場合には、同一の又は類似した部品を参照するために、図面全体を通して同一の参照番号が使用される。

ＬＲＵ間の通信の更なる方法の導入による、航空機の計算システム内のサイバーアタックの脅威の増加に対処するために、本教示は、メッセージの１以上が有効なメッセージであるか否か、又はメッセージがマルウェア（ｍａｌｗａｒｅ）を含むことによって脅威をもたらすように破損しているか若しくはさもなければ無効であるか否かを判定するために、受信されたメッセージを監視する、システム、方法、プロセッサによって実行可能な指示命令であって、方法を実行する、指示命令を記憶したコンピュータ可読媒体、及び装置に関する。

１以上のメッセージが有効でなく且つ何らかのやり方で破損していると判定されたならば、警報が提供され得る。警報は、計器パネルで可視表示（ｖｉｓｕａｌ ｉｎｄｉｃａｔｉｏｎ）の形態であり得る。例えば、視覚的警報は、ディスプレイパネルの一部分、すなわち、境界、背景などの発光という形態であり得る。警報は、ディスプレイパネル内の計器に表示される一組のデータの一部分又は全部の除去という形態に更にあり得る。警報のタイプは、１以上のメッセージがどのように破損しているかの判定に基づき得る、脅威のレベルに基づき得る。

本明細書で提供される実施例は、エアロノーティカルラジオ公社（ＡＲＩＮＣ）プロトコル、具体的には、ＡＲＩＮＣ Ａ４２９プロトコルに関する。しかし、本明細書で説明される方法は、とりわけＡＲＩＮＣ Ａ４２２、Ａ６１５ａ、Ａ７１７を含む、他の航空通信プロトコルに適用され得る。

図１〜図８及び以下の文章は、本教示の説明を提示する。図面は、他の構造が追加され得る一般化された概略図を表し、既存の構造は除去され又は修正され得ることが理解されるだろう。

図１は、本開示による、システム環境１００の例示的な１つの描写である。システム環境は、ＴＬＲＵ１０２及び複数のＲＬＲＵ１０４ａ〜１０４ｎを含む。ｎは１以上の整数である。

ＴＬＲＵ１０２は、それぞれ、受信バス及び送信バスを介して、遠隔の装置からメッセージを受信するように設定され、受信されたメッセージをＲＬＲＵ１０４ａ〜１０４ｎへ送信するように更に設定された、送信機／受信機１０６を含み得る。

ＴＬＲＵ１０２は、本明細書で説明されるソフトウェアアプリケーション及びモジュールを記憶するように設定されたメモリ１０８を更に含み、アプリケーションは、ソフトウェア、ファームウェア、及び／又はハードウェアアプリケーションのいずれかとして実装され、任意のタイプの非一時的コンピュータ可読若しくは機械可読記憶媒体又は他の記憶装置内に記憶された、一組のコンピュータ可読又は機械可読指示命令として実装され得る。非一時的コンピュータ可読媒体の幾つかの非限定的な実施例は、フロッピーディスク、コンパクトディスク、デジタルビデオディスク、フラッシュメモリ、ハードディクスドライブなどの取り外し可能な媒体を含む、磁気又は光学式の記憶媒体などの任意の現在知られている媒体を使用して、具現化され得る。１以上の記憶装置は、１以上のプロセッサによって実行され得るそこに記憶された指示命令を有し、それによって、プロセッサは、本明細書で説明される機能を実施する。更に、又は代替的に、プロセッサのソフトウェアで実施される機能のうちの一部又は全部は、特定用途向け集積回路（ＡＳＩＣ）、プログラマブル論理アレイ、状態機械などの、ファームウェア及び／又はハードウェア装置を使用して実施され得る。

メモリ１０８は、受信されたメッセージが有効なメッセージであるか又は破損しているかを判定するために、本明細書でより完全に説明されるように、１以上のプロセス又は方法を実行することによって、ＴＬＲＵ１０２で受信されたメッセージを監視するように設定されたモニター１１０を記憶し得る。図１は、モニター１１０を、ＴＬＲＵ１０２内に含まれているものとして示すが、オプションとして、モニター１１０は、ＴＬＲＵ１０２の外部にあり得る。更に、図１は、モニター１１０を、ソフトウェア又はファームウェアとして実装されるように示すが、オプションとして、モニター１１０は、専らハードウェア内に実装され得る。

メモリ１０８は、検証データ１１２を更に記憶し、検証データ１１２は、予期されたメッセージの１以上の組を含み得る。予期されたメッセージは、ＴＬＲＵ１０２で受信されるように予期された、例示的な有効なメッセージであり得る。予期されたメッセージは、航空機の通常の運航の間に受信されることが予期されるメッセージであり、正しいフォーマット内の有効なメッセージであるメッセージの１以上の組を含み、破損したデータを含まない。受信されたメッセージが有効なメッセージであるか又は破損しているかを判定するために、予期されたメッセージは、モニター１１０によって、受信されたメッセージと比較され得る。以下でより完全に説明されるように、受信されたメッセージが有効なメッセージであるか又は破損しているかを判定するために、モニター１１０は、検証データ１１２にアクセスし得る。

メモリ１０８は、警報器１１４を更に含む。警報器１１４は、モニター１１０から指示命令を受信し、１以上のメッセージが破損していると判定されたならば、警報を提供する。警報器１１４は、モニター１１０から受信された指示命令に基づいて、警報を発令し得る。以下でより完全に説明されるように、警報器１１４によって発令された警報は、航空機内の計器パネルの１以上の領域、例えば、計器パネルの機器表示（ｉｎｓｔｒｕｍｅｎｔ ｄｉｓｐｌｙ）の境界、又は機器表示の他の領域を発光させること、計器パネルからデータの少なくとも一部分を除去することなどを含み得る。

ＴＬＲＵ１０２は、プロセッサ１１６を更に含み、且つ、メモリ１０８を含む、図示されているかいないかにかかわらない１以上の記憶装置と通信する１以上のプロセッサとして実装され得る。プロセッサは、マイクロプロセッサ、マイクロコントローラ、デジタル信号プロセッサ、コプロセッサ、又は当業者に知られている他の同様な装置を備え得る。

ＴＬＲＵ１０２は、メモリ１０８に記憶されたログ１１８を更に含み、そのログ情報は、受信したメッセージ及びモニター１１０によって生成された情報に関し、受信したメッセージを特定する情報、受信したメッセージが有効であるか否か、カウンター値、以下でより完全に説明されるように、生成された警報などを含む。

オプションとして、図１は、モニター１１０がＴＬＲＵ１０２に属するように描かれているが、代わりに、システムは、１以上のＲＬＲＵ１０４ａ〜１０４ｎが、監視プロセスの部分を実行するモニターを含む、分散システムであり得る。ＲＬＲＵにおけるモニターは、ソフトウェア又はハードウェアの形態であり、受信されたメッセージが有効なメッセージであるか否かを判定するために、モニター１１０と通信するエージェント（ａｇｅｎｔ）として実装され得る。

図２は、本開示の原理による、ＴＬＲＵ２０２の構成要素の例示的な１つの図を示す。図２で示されるように、ＴＬＲＵ２０２は、モニター２１０、検証データ２１２、及びカウンター２２を含む、メモリ２０８を含む。ＴＬＲＵ２０２は、警報器２１４、プロセッサ２１６、ログ２１８、及び送信機／受信機２０６を更に含む。図２の要素の特性は、以下に記述されることを除いて、図１で描かれた類似の要素の特性と同じである。

モニター２１０は、メッセージ検証器２２０を含む。メッセージ検証器２２０は、送信機／受信機２０６で受信されたメッセージにアクセスし、受信されたメッセージが有効であるか又は破損しているか否かを、図１で示されたように、検証データ１１２からの予期されたメッセージにアクセスして、予期されたメッセージを受信されたメッセージと比較することによって判定する。比較に基づいて、受信されたメッセージ内のデータが予期されたメッセージ内のデータと異なると判定されたならば、比較に基づいて、警報生成器２２４は、以下でより完全に説明されるように、警報器２１４を生成し且つ警報器２１４に警報を発令するように要求し得る。

図３は、本開示の原理による、予期されたメッセージ及びＴＬＲＵ１０２で受信され得るメッセージの、例示的な１つのメッセージフォーマットを示す。図３で示されるように、メッセージ３００は、ＴＬＲＵ２０２で受信され得る。図３で描かれているメッセージ３００は、ＡＲＩＮＣ４２９通信プロトコルを介して通信されたメッセージのフォーマットを有し、複数のビット３０２、すなわち、３２ビットを含み得る。メッセージ３００は、パリティー部分３０４、データ部分３０６、サイン／ステータスマトリックス（ＳＳＭ）部分３０８、及びラベル部分３１０を含む、複数の部分へ分割され得る。

パリティー部分３０４は、パリティービット、すなわち、ビット３２を含み、それは、正確なデータの受信を保証するためのエラーチェックとして使用される。パリティービット部分３０４は、この単語列（ｗｏｒｄ ｓｔｒｉｎｇ）内の最上位ビットとして指定される。本明細書で説明されるプロセスは、受信されたメッセージのパリティー部分３０４を、予期されたメッセージのパリティー部分３０４と比較する必要がなく、それによって、比較の間に実行され得る処理の量を低減し得る。

サイン／ステータスマトリックス（ＳＳＭ）部分３０８は、この実施例において、２つのビット、すなわち、ビット３１及び３０を含み、それらは、送信されているデータのタイプを示す。サイン／ステータスマトリックス（ＳＳＭ）部分３０８は、メッセージデータの署名若しくは方向、又はレポート送信元装置動作状態（ｒｅｐｏｒｔ ｓｏｕｒｃｅ ｅｑｕｉｐｍｅｎｔ ｏｐｅｒａｔｉｎｇ ｓｔａｔｕｓ）を表示するように使用されることができ、データのタイプに依存する。本明細書で説明されるプロセスは、受信されたメッセージのサイン／ステータスマトリックス（ＳＳＭ）部分３０８を、予期されたメッセージのサイン／ステータスマトリックス（ＳＳＭ）部分３０８と比較する必要がなく、それによって、比較の間に実行され得る処理の量を低減し得る。

メッセージ３００のデータ部分３０６は、１９ビット、すなわち、ビット１１から２９を含み、それらは、メッセージのデータ情報を含む。このデータ情報は、ＲＬＲＵ１０４ａ〜ＲＬＲＵ１０４ｎのうちの１以上によって実行されるべき、指示命令を含み得る。以下でより完全に説明されるように、本明細書で説明される処理は、メッセージが破損したデータを含むか否かを判定するために、受信されたメッセージのデータ部分３０６を予期されたメッセージのデータ部分３０６と比較する。

メッセージ３００のラベル部分３１０は、８ビット、すなわち、ビット１から８を含む。ラベルは、メッセージのデータのタイプ、例えば、２値（ｂｉｎａｒｙ）、２進化１０進（ｂｉｎａｒｙ ｃｏｄｅｄ ｄｅｃｉｍａｌ）、離散（ｄｉｓｃｒｅｔｅ）、データ、保守データ（ｍａｉｎｔｅｎａｎｃｅ ｄｅｔａ）及び肯定応答（ａｃｋｏｗｌｅｄｇｅｍｅｎｔ）、ウィリアムズバーグ／バックホーンプロトコルなどを特定するために使用され、指示命令又はデータ報告情報を含み得る。ラベルは、バス送信元（ｂｕｓ ｔｒａｎｓｍｉｓｓｉｏｎ ｓｏｕｒｃｅ）を特定するための装置識別子（ｅｑｕｉｐｍｅｎｔ ｉｄｅｎｔｉｆｉｅｒ）として１以上のビットを利用することによって更に改良され得る。例えば、２値ラベル「１０２」は、選択された高度に対する指示命令を示している。以下でより完全に説明されるように、本明細書で説明される処理は、メッセージが破損したデータを含むか否かを判定するために、受信されたメッセージのラベル部分３１０を予期されたメッセージのラベル部分３１０と比較する。

ソースディスティネーション識別子（ＳＤＩ）３１２は、どの送信元がデータを送信しているのか、又は複数の受信機がある場合にデータがどの受信機に向けられているのかを特定するために使用され得る。本明細書で説明されるプロセスは、受信されたメッセージのソースディスティネーション識別子（ＳＤＩ）部分３１２を、予期されたメッセージのソースディスティネーション識別子（ＳＤＩ）部分３１２と比較する必要がなく、それによって、比較の間に実行され得る処理の量を低減し得る。

オプションとして、ラベルは、メッセージが、飛行の特定のフェーズの間に受信されるべきメッセージであるか否かを判定するために使用され得る。航空機の飛行は、異なるフェーズを有する。飛行のこれらのフェーズの各々の間に、航空機の運航に関する特定の指示命令が、受信されることが予期される。飛行のこれらのフェーズの各々は、それらに関連付けられたコードを有する。

例えば、以下は、飛行フェーズ、及び各飛行フェーズに関連付けられたコードの例示的な１つの組を表している。
コード 飛行フェーズ
１ ドアロック
２ エンジン始動
３ 駐機ブレーキの解放
４ タクシング
５ 離陸
６ 上昇
７ 巡航
８ 下降開始
９ ランディングギアダウン
１０ フレア
１１ ウェイトオンホイール
１２ スポイラーの展開
１３ 逆噴射
１４ ゲート
１５ 駐機ブレーキのロック
１６ 補助電力ユニットの始動又は地上電源
１７ エンジン停止

受信されたメッセージのラベルは、そのメッセージが関連する飛行フェーズのコードを含む。メッセージは、特定の飛行フェーズの間に、ＴＬＲＵ２０２で受信されることが予期される。

ラベル部分３１０は、そのメッセージが関連する飛行フェーズを特定するコードを含み得る。受信されたメッセージが、現在の飛行フェーズの間に受信されるべき予期されたメッセージに対応するか否かを判定するために、ラベル部分３１０内のコードは、現在の飛行フェーズ、例えば、航空機が現在あるところの飛行フェーズに関連付けられたコードと比較され得る。受信されたメッセージが、現在の飛行フェーズに対応しないメッセージであるならば、メッセージは、破損していると考えられ、記憶され、ＲＬＲＵに送信されず、警報が生成され得るなどが行われる。ラベル内に記憶されたコードを現在の飛行フェーズと比較した後で、受信されたメッセージが、現在の飛行フェーズに対応したメッセージであるならば、以下でより完全に説明されるように、更なる処理が実行され、メッセージが破損したメッセージであるか否かを判定し得る。

例えば、モニター２１０は、現在の飛行フェーズを判定し得る。受信されたメッセージのラベル部分内のラベルコードを判定するために、モニター２１０は、受信されたメッセージを更に解析し得る。その後、モニターは、受信されたメッセージのラベル部分３１０内のラベルコードを、航空機の現在の飛行フェーズに対応するラベルコードと比較し得る。受信されたメッセージのラベル部分内のラベルが、現在の飛行フェーズに対応するラベルコードと一致したときに、モニター２１０は、受信されたメッセージが有効であると判定し得る。受信されたメッセージのラベル部分内のラベルコードが、航空機の現在の飛行フェーズ内のラベルコードと一致しないならば、例えば、モニターは、以下で説明されるようにメッセージを処理し、いかなるＲＬＲＵにメッセージを送信することなしに、そのメッセージを記録するなどを行う。

オプションとして、メッセージ３００は、種々の通信プロトコルに対応する種々のフォーマットを持ち得るメッセージであり、メッセージの部分は種々の順序にあり、及び／又はメッセージは更なる若しくは異なる部分を含み得る。しかし、本開示の処理及び方法は、これらのタイプのメッセージのいずれにも適用され得る。

図４は、受信されたメッセージが有効なメッセージであるか否かを判定するための、例示的な１つのプロセス４００を示す。図４で示されるように、ＴＬＲＵで受信されたメッセージは、モニター、例えば、モニター２１０によってアクセスされる（４０２）。受信されたメッセージに対応する予期されたメッセージは、検証データ２１２から選択され且つアクセスされ得る。予期されたメッセージは、予期されたメッセージが、受信されたメッセージと同じラベル情報を有するということにおいて、受信されたメッセージに対応し得る。メッセージは、ＴＬＲＵにおける受信バスを介して受信され得る。

受信されたメッセージの第１の部分は、予期されたメッセージの対応する部分と比較され得る（４０４）。例えば、受信されたメッセージのデータ部分３０６は、選択された予期されたメッセージのデータ部分３０６と比較され得る。以下でより完全に説明されるように、この比較は、例えば、受信されたメッセージと選択された予期されたメッセージのそれぞれのデータ部分のビット単位の比較であり得る。

その後、受信されたメッセージの部分と選択された予期されたメッセージの対応する部分との比較に基づいて、受信されたメッセージが有効なメッセージであるか否かに関して、判定が行われ得る（４０６）。例えば、ビット単位の比較の１以上のビットが一致しないならば、メッセージは有効なメッセージでないと判定され得る。オプションとして、カウンター２２６（図２参照）は、ビット単位の比較が、受信されたメッセージ内のビットが選択された予期されたメッセージ内の対応するビットと一致しないことを明らかにしたときに、カウンター値を増加させることによって更新され得る。比較が完了した後で、カウンター２２６の値が、判定され、１以上の所定の閾値と比較され得る。カウンターの値が、所定の閾値の１以上と一致し又はそれを超えたならば、モニター２１０は、警報生成器２２４を介して、警報器２１４に警報を発令するように指示命令し得る。１以上の閾値のうちのどれと、カウンター２２６の値が一致し又はそれを超えたかに基づいて、警報のタイプが選択され得る。１以上の所定の閾値は、（図示せぬ）ユーザインターフェースを介して、オペレーターによって手動で予め設定され、メモリ２０８内に記憶され得る。受信されたメッセージが有効なメッセージであると判定されたならば、受信されたメッセージは、ＴＬＲＵにおける送信バスを介して、ＲＬＲＵに送信され、受信されたメッセージ内に含まれる指示命令を実行し得る。

図５は、本開示の原理による、受信されたメッセージの少なくとも一部分と選択された予期されたメッセージとの比較に基づいて、受信されたメッセージが有効なメッセージであるか否かを判定するための例示的な１つのプロセス５００を示す。図５で示されるように、受信されたメッセージの一部分がアクセスされる（５０２）。予期されたメッセージの対応する部分がアクセスされる（５０４）。受信されたメッセージ及び予期されたメッセージのアクセスされた部分の各々は、同じ数のビットＮを有し、Ｎは１とｘ＋１との間の整数であり、ｘは比較されている部分内のビットの数である。Ｎは１に設定され、カウンター値が０に設定される（５０６）。カウンター値は、受信されたメッセージの部分内のビットと予期されたメッセージの部分内のビットとの比較の間に一致しなかったビットの数を表す。

受信されたメッセージの第１の部分のＮビットが、予期されたメッセージの対応する部分のＮビットと比較される（５０８）。受信されたメッセージの第１の部分のＮビットが、予期されたメッセージの対応する部分のＮビットと等しいか否かに関して、判定が行われる（５１０）。受信されたメッセージの第１の部分のＮビットが、予期されたメッセージの対応する部分のＮビットと等しくないならば（５１０、ＮＯ）、カウンター値が１だけカウンターの値を増加させることによって更新され、それによって、カウンター値＝カウンター値＋１とされる（５１２）。その後、値ＮがＮ＝Ｎ＋１となるように１だけ増加される（５１４）。

受信されたメッセージの第１の部分のＮビットが、予期されたメッセージの対応する部分のＮビットと等しいならば（５１０、ＹＥＳ）、処理は５１４へ進み、ＮがＮ＝Ｎ＋１となるように１だけ増加される。

Ｎがｘ＋１と等しくなり、部分の終わりが到達され且つ部分内のビットの全てが比較されたか否かに関して、判定が行われる（５１６）。部分の終わりが到達されていないならば（５１６、ＮＯ）、処理は５０８に進み、更なるビットを比較する。部分の終わりが到達されたならば（５１６、ＹＥＳ）、処理は図６で描かれているプロセスへ進み得る。

オプションとして、１つだけの所定の閾値が存在するならば、カウンター値は、所定の閾値のカウンター値と比較され得る。カウンター値が所定の閾値と一致するか又はそれを超えたときに、受信されたメッセージは有効なメッセージではないと判定され、警報が生成され得る。例えば、モニター２１０は、警報生成器２２４を介して、警報器２１４に警報を発令させる指示命令、例えば、ディスプレイパネルの操縦機器の境界を発光させ、ディスプレイのライトを発光させ、音響的な警報を発令させ、光を放つなどさせるような指示命令を生成し得る。

図６は、本開示の原理による、警報を発令するための例示的な１つのプロセス６００を示す。図６で示されるように、図５で説明されたプロセスからもたらされたカウンターの値は、複数の所定の閾値と比較される（６０２）。カウンターの値が、複数の所定の閾値のうちの少なくとも１つと一致したか又はそれを超えたか否かに関して、判定が行われる。カウンターの値が、複数の閾値のうちの少なくとも１つと一致せず又はそれを超えていないならば（６０４、ＮＯ）、処理は終了し、受信されたメッセージが有効なメッセージであると判定される。しかしながら、カウンターの値が複数の所定の閾値のうちの少なくとも１つと一致し又はそれを超えたならば（６０４、ＹＥＳ）、一致し又は超えられた所定の閾値のうちの最も高いものに基づいて、生成されるべき１つのタイプの警報が決定される（６０６）。警報器に対して決定された警報を実行するように、指示命令が発令される（６０８）。

例えば、モニター２１０は、警報器２１４に警報を発令させる指示命令（例えば、カウンター値が複数の閾値のうちの特定の閾値を超えたときに、異なる色が異なる所定の閾値に関連付けられた態様で、ディスプレイパネルの操縦機器の境界を発光させるとか、カウンター値が特定の所定の閾値を超えたときに、ディスプレイのライトを発光させるとか、音響的な警報を発令させ、光を放つなどさせるような指示命令）を生成し得る。所定の閾値の各々は、生成され且つメモリ２０８内に記憶されるべき１つのタイプの警報と関連付けられてもよい。図５及び図６内で描かれたプロセスを実行した後で、モニター２１０は、メモリ２０８にアクセスし、カウンター値が一致し又は超えた最も高い所定の閾値に基づいて、発令されるべき警報を選択し得る。メモリ２０８からアクセスされた警報のタイプに基づいて、モニター２１０は、警報器に指示命令を発令し得る。

複数の所定の閾値を提供することによって、受信されたメッセージの部分と対応するメッセージの部分との比較の間に一致しなかったビットの数に基づいて、警報が選択され得る。これは、メッセージの脅威のレベルに基づいて警報を提供する機会を提供し、一致し又は超えられた閾値が高いほど、受信されたメッセージの脅威レベルが高くなる。これは、警報器によって伝達され得る。例えば、警報が計器パネルの計器の発光であり、より低い閾値が、一致した閾値のうちの最も高い閾値であるならば、計器は、例えば、黄色、オレンジなどの色によって発光され、より低い脅威レベルを示し得る。しかし、最も高い閾値が一致したならば、計器パネルの計器は、例えば、赤などの色によって発光され、高い脅威レベルを示し得る。

図７は、本開示の原理による、受信されたメッセージの一部分と予期されたメッセージの対応する部分との特定の例示的な１つの比較を示す。図７で示されているように、予期されたメッセージ７０２及び受信されたメッセージ７０４が提供される。上述されたように、予期されたメッセージ７０２は、ラベル部分７０８内に含まれた情報に基づいて選択され得る。予期されたメッセージのデータ部分７０６は、受信されたメッセージのデータ部分７０６と比較される。具体的には、予期されたメッセージ及び受信されたメッセージのデータ部分７０６内の各ビットに対して、ビット単位の比較が実行される。図７で示され得るように、ビット２０、２１、２２、及び２７は、点線の矢印によって、ビット単位の比較の間に一致しなかったものとして特定されている。比較プロセスの間に、カウンター値は、比較プロセスが完了した後でカウンター値が４と等しくなるように更新される。４というカウンター値は、複数の所定の閾値と比較され得る。例えば、所定の閾値が３、５、及び８であったならば、カウンター値は３という第１の所定の閾値を超えたが、５という所定の閾値は超えなかったので、生成される警報は、３という第１の所定の閾値に関連付けられた警報のタイプに基づく。

図７で描かれている実施例では、ビット８、９、１０、及び３２、すなわち、サイン／ステータスマトリックス（ＳＳＭ）ビット８、９、及び１０、並びにパリティービット３２が、比較プロセスの間に考慮されず、それによって、処理資源及び時間が低減される。

図２に戻ると、モニター２１０は、コアファイル検証器２２２を更に含む。コアファイル検証器２２２は、ＴＬＲＵ２０２で受信されたファイルが有効なファイルであるか否かを判定し得る。これは、ハッシュ値、受信されたファイルの日付修正データ、標準修正時間フレームなどに基づいて判定され得る。

受信されたファイルは、ハッシュ値及び日付修正データを含むメタデータを含み得る。日付修正データは、ファイルが最後に修正されたときのデータを示し得る。

標準修正ウィンドウ、又は時間フレームは、検証データ２１２内に記憶され、受信されたファイルが更新され得ることが予期される時間枠を表し得る。標準修正ウィンドウは、図示せぬユーザインターフェースを介して、ユーザによって設定され得る。

メタデータは、ファイルが、標準修正ウィンドウの外側の日付において最後に更新されたか否かを判定するために使用され得る。これは、受信されたファイルが有効なファイルか否かの表示を提供し得る。

図８は、本開示の原理による、コアファイルが有効であるか否かを判定するための例示的な１つのプロセス８００を示す。図８で示されるように、受信されたファイルのメタデータが判定され得る（８０２）。判定されたメタデータは、ハッシュ値、最後に修正された日付などのうちの１以上であり得る。判定されたメタデータは、所定の予期されたデータと比較され得る（８０４）。例えば、受信されたファイルのハッシュ値は、記憶されたハッシュ値と比較され得る。別の一実施例によれば、ファイルの最後の修正の日付が解析され、日付が標準修正ウィンドウ内にあるか否かを判定し得る。

メタデータが所定の予期されたデータに一致するか否かに関する判定が行われる（８０６）。例えば、ファイルが最後に修正されたデータの日付が、標準修正ウィンドウ内にあるならば、ハッシュ値が一致するか否かに関する判定が行われるなどである。メタデータが所定の予期されたデータに一致しないならば（８０６、ＮＯ）、警報が発令され得る（８０８）。例えば、警報生成器２２４は、警報器２１４を生成し、警報器２１４に警報を発令するように指示命令し、例えば、計器パネルのライトを発光させ、音響的な警報を発令させ、光りを放つなどさせるように指示命令し得る。オプションとして、コアファイル検証器２２２は、ファイルを更新し得ず、ファイルが更新されなかったことを示しているログ２１８を更新し得るなどを行い得る。メタデータが所定の予期されたデータと一致するならば（８０６、ＹＥＳ）、処理は終了し、受信されたファイルが有効なファイルであると判定され、コアファイル検証器２２２は、ファイルを更新し、ファイルを１以上のＲＬＲＵに送信し得るなどを行い得る。

「含んでいる（ｉｎｃｌｕｄｉｎｇ）」、「含む（ｉｎｃｌｕｄｅ）」、「有している（ｈａｖｉｎｇ）」「有する（ｈａｖｅ）」、「伴う（ｗｉｔｈ）」、又はそれらの変形が、詳細な説明及び特許請求の範囲のいずれかで使用される限りにおいて、そのような用語は、用語「備える（ｃｏｍｐｒｉｓｉｎｇ）」と同様に包括的であることが企図される。用語「のうちの少なくとも１つ」は、挙げられた用語のうちの１以上が、選択され得ることを意味する。更に、本明細書の説明及び特許請求の範囲において、２つの素材に関して使用される「上（ｏｎ）」という用語は、他方の素材「上」の一方の素材が、それらの間で少なくとも何らかの接触を有することを意味する。「ほぼ」という用語は、変形が本教示に対するプロセス又は構造の不適合をもたらさない限りにおいて、挙げられた値が幾らか変形され得ることを示している。

本開示は、網羅的であることなく特定の実施態様を提供し、本教示の他の実施態様は、本明細書を考慮することによって、及び本開示の実施を通して、当業者に明らかとなり得る。本明細書及び実施例は、例示目的のみであり、本教示の真の範囲及び精神は、以下の特許請求の範囲によって示されることが企図される。

Claims (12)

1. アビオニクス受信ライン交換可能ユニット（ＲＬＲＵ）に対する指示命令を含むエアロノーティカルラジオ公社（ＡＲＩＮＣ）メッセージを受信するように設定された送信ライン交換可能ユニット（ＴＬＲＵ）、
   一組の予期されたＡＲＩＮＣメッセージを含む検証データを記憶するように設定されたメモリ、及び
   前記ＴＬＲＵで受信されたＡＲＩＮＣメッセージを監視するように設定され、前記メモリ内に記憶された前記一組の予期されたＡＲＩＮＣメッセージの少なくとも一部分との比較に基づいて、受信されたＡＲＩＮＣメッセージが有効であるか否かを判定するように更に設定されたモニターを備え、
   前記モニターが、
   前記ＴＬＲＵで受信されたメッセージの第１の部分を、前記一組の予期されたメッセージ内の予期されたメッセージの対応する部分と比較し、これは、前記受信されたメッセージの前記第１の部分と前記予期されたメッセージの前記対応する部分とのビット単位の比較を実行することを含み、
   前記受信されたメッセージの前記第１の部分と前記予期されたメッセージの前記対応する部分との比較に基づいて、前記受信されたメッセージが有効であるか否かを判定するように更に設定される、システム。
2. 前記ＴＬＲＵで受信された前記メッセージの前記第１の部分を比較することが、
   前記ビット単位の比較の結果、比較されたビットの不一致が少なくとも１つ生じた場合、各不一致に対してカウンターを更新すること、
   カウンター値を複数の所定の閾値と比較すること、及び
   前記カウンター値が、前記所定の閾値のうちの少なくとも１つと一致し又は前記所定の閾値のうちの少なくとも１つを超えたときに、前記受信されたメッセージが有効なメッセージでないと判定することを更に含む、請求項１に記載のシステム。
3. 警報器を更に備え、
   前記モニターが、
   前記カウンター値が前記複数の所定の閾値のうちの少なくとも１つを超えたと判定されたときに、前記警報器に警報を発令するように指示命令するように更に設定されている、請求項２に記載のシステム。
4. 前記カウンター値が前記複数の所定の閾値のうちの第１の閾値を超えたときに、前記警報器が、ディスプレイパネルの操縦機器の境界を発光させる、請求項３に記載のシステム。
5. 前記操縦機器の前記境界が、一致するか又は超えられた前記複数の所定の閾値のうちの１つに基づいて、複数の色のうちの１つで表示され、それによって、脅威のレベルを示す、請求項４に記載のシステム。
6. 前記カウンター値が前記複数の所定の閾値のうちの第２の閾値を超えたときに、前記警報器が、ディスプレイのライトを発光させる、請求項３に記載のシステム。
7. アビオニクス受信ライン交換可能ユニット（ＲＬＲＵ）に対する指示命令を含むエアロノーティカルラジオ公社（ＡＲＩＮＣ）メッセージを受信するように設定された送信ライン交換可能ユニット（ＴＬＲＵ）、
   一組の予期されたＡＲＩＮＣメッセージを含む検証データを記憶するように設定されたメモリ、及び
   前記ＴＬＲＵで受信されたＡＲＩＮＣメッセージを監視するように設定され、前記メモリ内に記憶された前記一組の予期されたＡＲＩＮＣメッセージの少なくとも一部分との比較に基づいて、受信されたＡＲＩＮＣメッセージが有効であるか否かを判定するように更に設定されたモニターを備え、
   前記メモリが、前記メモリ内のそれぞれのラベルコードに関連付けられた飛行フェーズ情報を記憶するように更に設定され、
   前記モニターが、
   現在の飛行フェーズを判定し、
   受信されたメッセージ内のラベルコードを判定し、
   前記受信されたメッセージの前記ラベルコードを、前記現在の飛行フェーズに対応するラベルコードと比較し、
   前記受信されたメッセージの前記ラベルコードが、前記現在の飛行フェーズに対応する前記ラベルコードと一致したときに、前記受信されたメッセージが有効であると判定するように更に設定されている、システム。
8. アビオニクス受信ライン交換可能ユニット（ＲＬＲＵ）に対する指示命令を含むエアロノーティカルラジオ公社（ＡＲＩＮＣ）メッセージを受信するように設定された送信ライン交換可能ユニット（ＴＬＲＵ）、
   一組の予期されたＡＲＩＮＣメッセージを含む検証データを記憶するように設定されたメモリ、及び
   前記ＴＬＲＵで受信されたＡＲＩＮＣメッセージを監視するように設定され、前記メモリ内に記憶された前記一組の予期されたＡＲＩＮＣメッセージの少なくとも一部分との比較に基づいて、受信されたＡＲＩＮＣメッセージが有効であるか否かを判定するように更に設定されたモニターを備え、
   前記モニターが、
   コアファイルが最後に書き込まれた時を示す日付、前記コアファイルが最後に修正された時を示す日付、及び前記コアファイルの更新予定のうちの少なくとも１つに基づいて、受信されたメッセージに関連付けられた前記コアファイルが変更されたか否かを判定するように更に設定されている、システム。
9. アビオニクス受信ライン交換可能ユニット（ＲＬＲＵ）に対する指示命令を含むエアロノーティカルラジオ公社（ＡＲＩＮＣ）メッセージを受信するように設定された送信ライン交換可能ユニット（ＴＬＲＵ）、
   一組の予期されたＡＲＩＮＣメッセージを含む検証データを記憶するように設定されたメモリ、
   前記ＴＬＲＵで受信されたＡＲＩＮＣメッセージを監視するように設定され、前記メモリ内に記憶された前記一組の予期されたＡＲＩＮＣメッセージの少なくとも一部分との比較に基づいて、受信されたＡＲＩＮＣメッセージが有効であるか否かを判定するように更に設定されたモニター、及び
   前記ＴＬＲＵで受信されたメッセージを前記ＴＬＲＵから受信し、前記受信されたメッセージ内に含まれた前記指示命令を実行するように設定された、複数の受信ライン交換可能ユニット（ＲＬＲＵ）を備える、システム。
10. 送信ライン交換可能ユニット（ＴＬＲＵ）で受信されたエアロノーティカルラジオ公社（ＡＲＩＮＣ）メッセージにアクセスすること、
    前記受信されたＡＲＩＮＣメッセージの第１の部分を、予期されたＡＲＩＮＣメッセージの対応する部分と比較することであって、前記受信されたＡＲＩＮＣメッセージの前記第１の部分と前記予期されたＡＲＩＮＣメッセージの前記対応する部分とのビット単位の比較を実行することを含む、比較すること、及び
    前記受信されたＡＲＩＮＣメッセージの前記第１の部分と前記予期されたＡＲＩＮＣメッセージの前記対応する部分との比較に基づいて、前記受信されたＡＲＩＮＣメッセージが有効であるか否かを判定することを含む、方法。
11. 前記ＴＬＲＵで受信された前記ＡＲＩＮＣメッセージの前記第１の部分を比較することが、
    前記ビット単位の比較の結果、それぞれのビットの不一致が少なくとも１つ生じた場合、各不一致に対してカウンターを更新すること、
    前記カウンターのカウンター値を複数の所定の閾値と比較すること、及び
    前記カウンター値が、前記所定の閾値のうちの少なくとも１つと一致し又は前記所定の閾値のうちの少なくとも１つを超えたときに、前記受信されたメッセージが有効なメッセージでないと判定することを含む、請求項１０に記載の方法。
12. 前記カウンター値が、前記複数の所定の閾値のうちの少なくとも１つを超えたと判定されたときに、警報器に警報を発令するように指示命令することを更に含む、請求項１１に記載の方法。

Images