(57)【要約】【課題】アドホック・ネットワーク内の悪意のあるデータを検出する。【解決手段】ノードがアドホック・ネットワーク内のほかのノードから場所情報を受信する（Ｓ７０２）。次にノードは、受信した場所情報およびそのノードが局所的に検出した場所情報に一貫性があるか否かを決定する（Ｓ７０４）。つまり、異なるノードから受信した場所情報を比較し、異なるノードが同一の情報をレポートしているか否かを決定する。この場所情報に一貫性があれば、プロセスが完了する。この場所情報に一貫性がない場合には、まずシステムは、その矛盾についての説明のセットを生成する（Ｓ７０８）。次にシステムは、説明のランク付けを行い（Ｓ７１０）、その後そのランク付けを基礎として説明を選択する（Ｓ７１２）。【選択図】図７
2006174470.tif 000002
【特許請求の範囲】
【請求項１】
アドホック・ネットワーク内の悪意のあるデータを検出するための方法であって、
アドホック・ネットワーク内のノードによって、当該アドホック・ネットワーク内の他のノードによって検出されたと称されるデータを受信すること、を含み、
所定のノードが、それ自体および当該アドホック・ネットワーク内の近接ノードに関連付けされるデータを検出し、それによって当該アドホック・ネットワーク内の近接ノードが互いについてのデータを冗長的に検出可能であり、
前記受信したデータは、当該アドホック・ネットワーク内の前記他のノードによって前記ノードに対して冗長的に伝達されたものであり、
さらに、
前記ノードにおいて、前記受信したデータが前記ノードによって局所的に検出されたデータと一貫性があるか否かを決定すること、
一貫性がない場合に、悪意のあるノードを含んだモデルを使用して矛盾についての説明を決定すること、
を含む方法。
【請求項２】
前記アドホック・ネットワーク内のノードは、乗り物であり、
前記データは、前記乗り物についての場所情報を含む、
ことを特徴とする請求項１に記載の方法。
【請求項３】
前記矛盾についての説明を決定することは、
前記矛盾についての説明のセットを生成すること、
前記説明のセットを尤度に従ってランク付けすること、
前記説明のセットから前記ランク付けを基礎として説明を選択すること、
を含む、
ことを特徴とする請求項１に記載の方法。
【請求項４】
前記説明のセットを生成することは、前記ノードによって局所的に検出されたデータと前記近接ノードから受信したデータを比較して、前記近接ノードが真実を示しているか否かを決定し、真実を示しているときにはそれらを正直なノードとしてラベル付けすることによって、『局所的弁別可能性』を促進することを含む、
ことを特徴とする請求項３に記載の方法。
【発明の詳細な説明】
【技術分野】
【０００１】
乗り物アドホック・ネットワーク（ＶＡＮＥＴ：ビーキュラ・アドホック・ネットワーク（Ｖｅｈｉｃｕｌａｒ  Ａｄ‐ｈｏｃ  ＮＥＴｗｏｒｋ））は、地理的に分布する乗り物による、乗り物の場所や速度についてのデータをはじめ、気象、交通および道路状態についての情報の共有を可能にする。この情報は、動的な経路プランニング、安全や気象に関する通報、および道路保守プランニングを促進するために使用することができる。
【背景技術】
【０００２】
残念ながら、誤ったデータを提供する悪意のある乗り物が、近くの乗り物に悪影響を及ぼすことが可能である。たとえば、悪意のある乗り物は、フリーウェイ上の架空の交通渋滞をレポートし、ほかの乗り物を代替経路に移動させることができる。このような方法で交通をそらせることによって悪意のある乗り物は、フリーウェイ上の交通を回避することが可能になるが、同時に代替経路に不必要な渋滞を生じさせる。
【０００３】
一般に冗長チェック（Ｒｅｄｕｎｄａｎｃｙ  ｃｈｅｃｋｓ）が分散システムに組み込まれて、誤った、あるいは悪意のある関係者によってもたらされる脅威が緩和される。しかしながら冗長チェックは、単一の敵対者が複数の異なる識別情報を示す場合に失敗することがあり得る。これらのいわゆる『シビル（Ｓｙｂｉｌ）』攻撃は、冗長チェックが基礎を置く仮定に反して、敵対者が仮想のコントロールをシステムの実質的な断片にわたって表明することを可能にする。
【０００４】
シビル攻撃に対する保護のために多数の防衛手段が提案されてきたが、それらはすべて、ＶＡＮＥＴの関連において有意な欠点を有する（非特許文献１の［ニューサム（Ｎｅｗｓｏｍｅ）０４］参照）。
【０００５】
【非特許文献１】Ｊ．ニューサム、Ｅ．シー、Ｄ．ソング、およびＡ．ペリング（Ｊ．  Ｎｅｗｓｏｍｅ，  Ｅ．  Ｓｈｉ，  Ｄ．  Ｓｏｎｇ  および  Ａ．  Ｐｅｒｒｉｇ）著『ザ・シビル・アタック・イン・センサ・ネットワーク：アナリシス・アンド・デフェンセズ（Ｔｈｅ  Ｓｙｂｉｌ  Ａｔｔａｃｋ  ｉｎ  Ｓｅｎｓｏｒ  Ｎｅｔｗｏｒｋｓ：  Ａｎａｌｙｓｉｓ  ａｎｄ  Ｄｅｆｅｎｓｅｓ）』第３回センサ・ネットワークにおける情報処理国際シンポジウム会報（Ｐｒｏｃｅｅｄｉｎｇｓ  ｏｆ  ｔｈｅ  Ｔｈｉｒｄ  Ｉｎｔｌ．  Ｓｙｍｐｏｓｉｕｍ  ｏｎ  Ｉｎｆｏｒｍａｔｉｏｎ  Ｐｒｏｃｅｓｓｉｎｇ  ｉｎ  Ｓｅｎｓｏｒ  Ｎｅｔｗｏｒｋｓ）、２００４年
【発明の開示】
【発明が解決しようとする課題】
【０００６】
したがって必要とされていることは、乗り物アドホック・ネットワーク（ＶＡＮＥＴ）における悪意のあるデータ攻撃（たとえば、シビル攻撃）に対して効果的な保護をもたらす方法および装置である。
【課題を解決するための手段】
【０００７】
本発明の一実施態様は、アドホック・ネットワーク内の悪意のあるデータを検出するシステムを提供する。動作の間、システムは、アドホック・ネットワーク内のノードにおいてデータを受信するが、それにおいてデータは、アドホック・ネットワーク内の別のノードによって検出されたものであり、そのノードに対して冗長的に伝えられる。注意されたいが、アドホック・ネットワーク内のノードは、それ自体およびアドホック・ネットワーク内の近接（隣接）ノードに関連付けされたデータを検出する。これによれば、アドホック・ネットワーク内の隣接ノードが、互いに関してデータを冗長に検出することができる。次にシステムは、そのノードにおいて、受信したデータが、そのノードによって局所的に検出されたデータと一貫性があるか否かを決定する。否であれば、システムは、悪意のあるノードを説明するモデルを使用して、矛盾の説明を決定する。
【０００８】
この実施態様の変形においては、アドホック・ネットワーク内のノードが乗り物であり、データがその乗り物の場所情報を含む。
【０００９】
この実施態様の変形においては、矛盾についての説明の決定が：矛盾についての説明のセットを生成すること；尤度（ｌｉｋｅｌｉｈｏｏｄ）に従ってこの説明のセットにランク付けすること；および、このランク付けを基礎として説明のセットから説明を選択することを含む。
【００１０】
別の変形においては、説明のセットの生成が、そのノードによって局所的に検出されたデータと隣接ノードから受信されたデータを比較し、隣接ノードが真実を示しているか否かを決定し、真実を示している場合には、それらを正直なノードとしてラベル付けすることによって『局所的な識別可能性』を促進することを含む。
【００１１】
さらに別の変形においては、説明のセットの生成が、正直なノードによって提供されるデータとその正直なノードの隣接するノードから受信されるデータを比較し、その隣接ノードが真実を示しているか否かを決定し、真実を示している場合には、それらを正直なノードとしてラベル付けすることによって『拡張された識別可能性』を助長することを含む。
【００１２】
さらに別の変形においては、尤度に従った説明のセットのランク付けが、より単純な説明ほど、より複雑な説明よりもっともらしいと見なすことを含む。
【００１３】
この実施態様の変形においては、悪意のあるノードを説明するモデルが、その悪意のあるノードが実際には存在しない架空の『偽物のノード』からの架空データを生成できる可能性も説明する。
【００１４】
この実施態様の変形においては、システムが矛盾の説明を使用して矯正アクションを実行する。
【００１５】
この実施態様の変形においては、フラッド・プロトコル、ゴシップ・プロトコル、あるいはエピデミック・プロトコルを使用してアドホック・ネットワーク内のノード間において受信したデータの冗長な通信を行うことができる。
【発明を実施するための最良の形態】
【００１６】
本発明の一実施態様は、ノードが正しくない情報を検出し、この正しくない情報のソースであるノードまたは複数ノードを高い確率をもって識別することを可能にする包括的なセンサ主導テクニック（ｓｅｎｓｏｒ−ｄｒｉｖｅｎ  ｔｅｃｈｎｉｑｕｅ）を提供する。この実施態様においては、各ノードが、そのノードがＶＡＮＥＴについて有しているすべての知識を含むＶＡＮＥＴのモデルを維持する。物理的特性や安全性が、特定の規則（たとえば、２つのノードは、同時に同一の場所を占めることはできない）やモデルを構成する事象の統計的特性（ノードが１００ｍｐｈより高速で移動することはほとんどない；高速で移動するノードほど良好に離隔される）を支配する。ノードは、それが直接観察したデータに基づいてモデルを生じさせることができる（発明者らは、ノードが常に、それ自体が収集したデータを信頼することを仮定している）。続いてノードは、ほかのノードから受信したデータの有効性をこのＶＡＮＥＴのモデルに対してテストすることができる。すべてのデータがモデルと（おそらくは高い確率を伴って）一致した場合には、そのノードがデータの有効性を受け入れる。
【００１７】
ＶＡＮＥＴのモデルと矛盾するデータを扱うため、発明者らは、"敵対者の節約（ａｄｖｅｒｓａｒｉａｌ  ｐａｒｓｉｍｏｎｙ）"と呼ぶヒューリスティックを開発した。端的に言えば、節約とは、少数の悪意のあるノードを伴う攻撃が、多数のノードの間の共謀を必要とする攻撃より起こりがちであるという仮定である。この敵対者のモデルを前提とすると、常にノードは、不一致についてのもっとも単純可能な説明を基礎として一貫性を修復する方法を探すことになる。しばしばこれは、不正ノードの最小可能数の仮定に帰着し、したがってノードは、しばしば、少なくともいくつかの互いに離れているほかのノードを見分けることができる必要がある。その能力がないと、悪意のあるノードが、ＶＡＮＥＴにおけるそれ自体の見方（ｖｉｅｗ）を支持ための追加の架空ノードを作成することが可能になる。これは、シビル攻撃として知られている。
【００１８】
この種の攻撃と取り組むため、発明者らはノードのセンサ能力のてこ入れを行っている。ノードのセンサ能力は、ネットワーク内のノードを高度に弁別（識別）すること、したがってシビル攻撃の裏をかくことを可能にする。実際にいくつのノードが存在するかを決定した後、悪意のあるノードの存在の可能性を基礎とした、矛盾するデータについての説明を通じて、ノードをサーチし、節約ヒューリスティックに従って説明を順序付けする。ノードによって受け入れられたデータは、もっとも高くランク付けされた説明または複数の説明と一貫性がある。
【００１９】
通常、分散プロトコルは、ネットワーク密度が増加するとき最良に機能し、ここでのアプローチも例外ではない。実際、ネットワーク密度の仮定は、ここでのアプローチを正当であるとする強力な理由を提供する。充分に密なネットワーク内において、ノード間の複数のデータ送信経路を仮定すること、したがって矛盾の検出に充分なデータがネットワークに与えられていると仮定することは妥当である。さらに、移動性と組み合わされた密度は、攻撃の成功が悪意のあるノードの特定のトポロジに依存し、それらのトポロジがモバイル・ネットワークを維持することが困難であるため、節約を支持する。たとえば、図１の部分Ａ内の共謀する敵対者（黒丸として図示されている）は、正直なノード（網がけした丸として図示されている）に間違ったデータを確信させることに成功するが、ＶＡＮＥＴ内においては、その種の構成を任意の有意な持続期間にわたって維持することが困難である。
【００２０】
概して言えば、このアプローチは、動的な経路発見のために充分な時間スケールに対して機能するアルゴリズムを生成する。特に、ＶＡＮＥＴのモデルがオフラインで構成され（大部分は、乗り物の製造時に構成できる）、到来データは連続的に評価可能であり、過去の作業は、時間が重要な状況においててこ入れが可能であることに留意されたい。加えて発明者らは、ここでのアプローチが特に、ＶＡＮＥＴの特性によって設計され、かつ実際的となっていることを強調する。概して言えば、アドホック・ネットワークのセキュリティは極めて挑戦的であり、しばしば、ノードの共謀が皆無であり『インサイダ』攻撃がまったくないといった強い仮定を必要とする。注目すべきは、ここでのアプローチをＶＡＮＥＴセッティングに適用するとき、信頼されるネットワークのメンバであろう強力な共謀敵対者に対するセキュリティを提供することができる。
【００２１】
ここでは、どのようにポジション検証を使用すればＶＡＮＥＴ内のシビル攻撃を防止できるかについて立証する。それに加えて、発明者らはセンサを使用し、本質的に場所が限定されたチャンネルを介して公開鍵交換を可能にする。
【００２２】
このアプローチの別のコンポーネントは、発明者らが敵対者の節約と呼ぶものである。非公式であるが、これは、改ざんされたデータについての最良の説明を見つけることを意味する。『オッカムのかみそり（Ｏｃｃａｍ´ｓ  Ｒａｚｏｒ）』または『節約の原理（Ｐｒｉｎｃｉｐｌｅ  ｏｆ  Ｐａｒｓｉｍｏｎｙ）』という表現は、しばしばもっとも単純な説明を最良であるとして選択するテクニックについて用いられる。しかしながら以下に明らかになるとおり、より複雑な統計的アプローチは、通常、尤度計算とモデルの複雑性の何らかの測度を組み合わせる。一般性を残すため、発明者らは、敵対者な節約を、改ざんされたデータについての説明の間における『最良』説明（１つまたは複数）を決定する任意の順序関係（ｏｒｄｅｒｉｎｇ  ｒｅｌａｔｉｏｎｓｈｉｐ）を使用して公式化した。
【００２３】
ここでは、悪意のあるノードを検出するためにセンサ・データを使用する。それを行うとき、種々の検出メカニズムを考慮し、言い換えるとノードは、近隣の正直なノードの存在に頼ることなく、ネットワークの特性を直接検出することができる。これは、ＶＡＮＥＴデータの有効性を決定するとき、ノードに拡大された自律性を提供する。
【００２４】
次に、敵対者の攻撃の各種の特徴をはじめ、敵対者がここに示すデータ検証アプローチを都合よく利用する可能性について考察する。
【００２５】
ここで発明者らが、ノードがほかのＶＡＮＥＴノードに正しくないデータを確信させようと試みるあらゆる攻撃を『悪意のあるデータ攻撃』と呼んだことを思い出されたい。悪意のあるノードは、目標のノードもしくは複数のノードが正しくないデータを有効であるとして受け入れたとき、その種の攻撃に成功する。ここでは、ＶＡＮＥＴにおける悪意のあるデータ攻撃の広い分類が提供されている。この分類は、局所的および拡張された目標の識別において、非特許文献１の［ニューサム（Ｎｅｗｓｏｍｅ）０４］の中で与えられているものとある意味でオーバーラップするが、非特許文献１の［ニューサム（Ｎｅｗｓｏｍｅ）０４］とは、特にＶＡＮＥＴに対して調整が行われている点において異なる。たとえば、非特許文献１の［ニューサム（Ｎｅｗｓｏｍｅ）０４］内において考察されているセッティングの多くは、固定のノードおよび投票等の協調的意志決定テクニックに関係する。その種のネットワークにおいては、偽物のノード（または『シビル・ノード』）を使用して、悪意のあるノードが希望するとおりに選択を振り向けることが可能であり、その結果、偽物のノード同時関与等の問題が非常に重要になる。ここに示すネットワークにおいては、ノードがほかのノードからセンサ・データを収集するが、一致データの蓄積を基礎とせずに、ＶＡＮＥＴ内における個々の攻撃シナリオの尤度を基礎として決定が行われる。したがって発明者らは、攻撃を、それらの性質、目標（局所的または計画的）、影響力（未検出、検出済み、または矯正済み）、および範囲（限定または広範）に基づいて識別する方がより有用であることを発見した。以下においては、これらの概念を順次考察する。
【００２６】
攻撃の性質。悪意のあるＶＡＮＥＴデータには、多くの異なるタイプが存在する。敵対者は、ＶＡＮＥＴのほかの部分についての間違った情報（たとえば、実在しない交通渋滞）あるいはそれ自体についての間違った情報（たとえば、正しくない場所）をレポートすることがある。各ノードは、それが収集したすべてのＶＡＮＥＴデータを使用して新しい情報の有効性を評価することから、ネットワークの密度および利用可能なセンサによって、いくつかの攻撃が避けられないものとなり得る。たとえば、ノードが、正確な場所ではなくほかのノードに対する距離だけを検出できる場合に、組み合わせられたセンサ・データは、敵対者のノードの場所を特定の小さい『領域』まで縮小できるだけである。敵対者は、その領域内において随意にシビル攻撃を開始し、偽物のノードを作り出し、その攻撃がＶＡＮＥＴのモデルに従っている限り検出されない。
【００２７】
攻撃目標。発明者らは、長距離にわたって通信が可能な強力な敵対者を考慮している。この種の拡張された通信半径を伴う敵対者は、それが間違ったデータを確信させようと試みるノードまたは複数のノードの場所において柔軟性を有する。以下のセクションに出てくる例においては、局所的目標（すなわち、敵対者の近傍にいる目標）と遠方の目標を区別する。局所的目標については、近隣ノードからの矛盾するデータの尤度が低減されることから、敵対者は、より成功することができる。すなわち、局所的攻撃のために必要な近接は維持が困難であり、局所的攻撃に対する脆弱性は、より心配が少ないと見られる。敵対者は、より可能性を遠方の目標に有することができるが、目標により近いノードから受信されるデータが、その種の攻撃を成功させないことがある。
【００２８】
攻撃範囲。未矯正の攻撃の範囲は、攻撃に起因して不確実な有効性のＶＡＮＥＴデータを有するノードのエリアに置き換えて測定される。ここでは、この種のノードを犠牲者ノードと呼ぶ。犠牲者が小さいノードのエリアを構成する場合には、攻撃の範囲が制限される。このエリアは、悪意のあるノードの小さい近隣のこともあれば、遠方の目標の場合には、悪意のあるノードから離れた小さいエリアとなり得ることに注意が必要である。より大きいノードのエリアに影響を与える攻撃を、ここでは拡張された攻撃と呼ぶ。発明者らのアプローチは、情報の伝播を通じて拡張された攻撃に成長する前に局所的な攻撃を制するべく設計されている。
【００２９】
攻撃の影響力。敵対者が目標のノードに正しくないデータを確信させようと試みるとき、３つの可能な結果が存在する。攻撃が目標ノードによって検出されない（したがって完全に成功する）という結果、１または複数の目標ノードによって検出されるが、受信されるデータについての不確実性をそれらのノードに残すという結果、および、もっとも好ましい、攻撃が検出されて矯正される（すなわち、データの不確実性が残らない）という結果である。未検出の攻撃は、目標ノードが孤立しているか、悪意のあるノードによって完全に取り囲まれている場合に生じ得る；この場合、目標ノードは、正しくないデータを受け入れることになる。目標ノードが正直なノードに対する何らかのアクセスを有している場合には、その攻撃が、それらの収集したデータと矛盾することを検出できることもあるが、同時に不充分な情報に起因して攻撃を矯正することを退けるか、あるいは節約の論拠を介して正しくない診断を行うリスク（たとえば図１のＶＡＮＥＴ  Ａにおけるリスク）を有し、その場合には、悪意のあるデータが矯正されないまま残されることがある。充分に多くの正直なノードに対するアクセス、または正確なデータを収集する能力を伴えば、目標ノードは、節約の論拠を使用して間違った事象情報を適正に識別し、攻撃について矯正を行うことができる。
【００３０】
節約ヒューリスティックの中心的側面は、可能な攻撃のモデルであり、データベース内の矛盾を解決するために、もっともありがちな（進行中の攻撃の）説明を使用することができる。この明細書において、発明者らは、一般的な意味で敵対者のモデルを、データ内の矛盾についての可能な説明の間の順序関係を指定するとして定義した。順序関係としてモデルを指定する場合、それを組み合わせ的に（たとえば、もっとも少ない悪意のあるノードを伴う説明）、あるいはより精巧な統計的モデルを用いて公式化することが可能である。後のセクションにおいて、敵対者のモデルの具体的な例が与えられているが、ここではより本質的な疑問‐‐敵対者はモデルを利用できるか？‐‐に取り組みたい。
【００３１】
通常、統計的方法は、現象が、その現象の調査に使用される統計的方法に応じて変化しない状況で適用される。しかしながらＶＡＮＥＴの設定においては、敵対者が、使用中の敵対者モデルの知識に基づいてその攻撃を修正するべく充分に選択することができる。より具体的に述べれば、敵対者は、もっともありがちな攻撃の決定に使用される順序関係において、よりありがちと考えられるほかの（正しくない）説明によって効果が隠れる攻撃を案出することが可能である。
【００３２】
この問題は、いくつかの方法において扱われる。第１に、敵対者の最初のモデルは、充分に強力であり、それらの隠れた攻撃が、より単純な攻撃よりコストが掛かるようにする。第２に、敵対者モデルが変更可能であることを考慮に入れる。これは、敵対者の攻撃のパターンにおける変化に応答した短期の調整を考慮している（これによれば、一般的な隠れた攻撃が最終的によりありがちなものと見なされることになる）。また、敵対者による新しい攻撃の開発または新しいテクノロジの利用に伴うより長期の調整も考慮に入れる（セキュリティ・システムにおいて展開する通常の『力競争』を予測している）。それにもかかわらず、より複雑な隠れた攻撃の可能性がモデルに組み込まれた場合であっても、よりありふれた攻撃を使用する敵対者の可能性が、常に、複雑な攻撃者のタスクを容易にする。
【００３３】
ノードが離れていることを示すための発明者らのテクニックの１つは、４つの仮定に頼る：すなわち（１）ノードは、その局所的な環境の観察と、それが受信する通信を結びつけることができる、（２）ノードは、局所的に離隔されたその近隣を見分けることができる、（３）ネットワークは『充分に』密である、および（４）充分に接近した後にノードは、それぞれの通信を互いに認証することができる。このセクションではこれら４つの仮定を検討し、それらが実際においてどのように満たされるかを説明する。
【００３４】
ここでは、ノードが、局所的に離隔されたその近隣を見分けられると仮定する。より厳密に述べれば、ノードＡが、ノードＡと充分に近い２つの明確なノードＢおよびＣからメッセージを受信するとき、常にノードＡは、それらのメッセージが離隔された物理的なエンティティから到来することを検証できる。この検証に失敗した場合に、Ａは、すべてのメッセージは、ＢでありかつＣであると主張する単一ノードから到来すると仮定しなければならない。局所的弁別（識別）可能性の仮定によってノードは、そのノードが近隣を弁別する能力を有する局所的な近隣内において節約ヒューリスティックを適用することが可能になる。実際上はどのようにすれば局所的弁別可能性が達成できるかについて例示するために、ここで次の例を提案する。局所的弁別可能性は、ＶＡＮＥＴ内において次の２つの条件を満たすことによって達成できる：
１．  ノードは、メッセージとそのメッセージの物理的なソースとを結びつけることができる；
２．  ノードは、メッセージのソースの（それ自体のポジションに対する）相対ポジションを（特定の半径内において）測定することができる。
【００３５】
これらの条件は、たとえば、ノードにカメラが装備されており、可視光または赤外線スペクトルの信号を使用して互いにメッセージを交換できれば満たされる。ノードは、それ自体のカメラによって撮影されたイメージを分析することによって、メッセージ（光ビーム）のソースの相対的ポジションを評価することができる。さらに、メッセージは、そのメッセージが光ビーム自体からなることから、それが発出した物理的なソースと直接結びつけられる。
【００３６】
このほかの、到達時間（２つのノードの間を往復する時間の測定）、到達の角度（無線信号の場合）、あるいは受信信号強度（同様に無線信号の場合）等の送信の物理的特性を使用してメッセージの送信元の場所を計算することもできる。これらの測定は、可能性としてカメラ・イメージの収集より容易であるが、ノードがそれらの信号の強度を引き下げる（あるいは、より高いコストにおいて、増加する）ことができるため、ある程度の不正行為に対して脆弱となり得る。それにもかかわらず、ここで理解されるとおり、それらの測定によって提供されるデータは、ノード間の弁別に対する有用性を残す。
【００３７】
以上、どのようにすれば弁別可能性の局所的近隣をノードが確立できるかについて示した。次に、ノードが直接の物理的検出によってほかのノードの存在を確認することのできる直接の近隣を超えて、時間およぶ空間の両方において弁別可能性を拡張する方法について論じる。この拡張は、ノードに対して、それぞれの局所的近隣内において何を検出しているかについての情報を互いに交換できるようにすることによって達成される。より長い距離にわたる通信は、実際上、待ち時間および帯域幅の問題から制限される。
【００３８】
ネットワーク密度。ここで、ノード間の可能通信のグラフが常に接続されていること、さらにノードのペアの間に複数の通信経路が存在することを仮定する。この仮定は、メッセージの転送を拒否することのできる悪意のあるノードの存在下においても成立するものとする。グラフの接続性が高いほど、より良好にノードが、それらの弁別可能性の近隣の直接の境界を超えて節約ヒューリスティックを通すことができる。
【００３９】
認証の通信。ここでは、任意の所定の時間に各ノードが常に秘密／公開鍵のペアを有していることを前提とする。これらの鍵は、ノードによる短期間（数秒から数分）にわたる互いのメッセージの認証を可能にする。鍵のペアは、長く存続することが意図されていない：それらは、ノード自体によって生成され（したがって、鍵の配信または証明が不要）、それらが周期的にリフレッシュされることから、乗り物の拡張された追跡を考慮していない。ノードは、継続的に新しい鍵のペアを生成してもよい。
【００４０】
署名メッセージが、時間および空間にわたり正直なノードの局所的弁別可能性を拡張するが、これは、あるノードから到来するメッセージが、そのノードが同一の公開鍵を維持する限り、そのメッセージがいつ、どこで生じたかによらず認証可能なことによる。単純な例を提供するため、その弁別可能性の局所的近隣内に一度に２つのノードＢおよびＣを有しており、したがってＢおよびＣが真に別個のノードであることを確立できていたノードＡについて考える。ノードＢおよびＣは、Ａの弁別可能性の近隣から外へ出ることが許されるが、それらが同一の公開鍵を伴うそれぞれのメッセージに署名している限り、Ａに対する弁別可能性を残す。弁別可能性は、ＢおよびＣが、それぞれの公開鍵をリフレッシュするときに失われる。ここでは、共謀および秘密鍵の交換ができる強力な敵対者を考慮に入れる。しかしながら、以下のセクションにおいて立証されるとおり、悪意ありとしてノードが識別された後は、このノードによって配信されるあらゆるデータ（たとえば、ノードの場所の観察）は有効性が疑わしいものと見なされる。
【００４１】
鍵の変更時は、新旧のアイデンティティのリンクを防止するために何らかの注意を払う必要がある。たとえば、頻繁に、かつ規則的にポジションをレポートする孤立した乗り物がその鍵を変更した場合に、２つの軌跡（一方は古い鍵を用いて、他方は新しい鍵を用いて認証される）は、容易にリンクされがちとなる。曖昧性を増加し、軌跡のリンクをより困難にするために、ノードは、次のうちの１つまたはいくつかを使用することができる：すなわち（１）同期された時刻で鍵を変更する、（２）鍵の変更の近くにレポートされるデータ内にギャップを差し込む、および（３）ノードが互いに近いときに鍵を変更する。
【００４２】
ここで、以下のＶＡＮＥＴのモデルを提案する。Ｐをユークリッド空間とし、‖Ｐ1−Ｐ2‖がＰ1からＰ2までのユークリッド距離を示すものとする。さらに、事象およびノードを次のように定義する。
【００４３】
事象ＥがペアＥ＝（Ｄ，ｆ）であり、それにおいてＤはその事象に関連付けされたデータであり、ｆ、すなわちロケータ関数は、連続関数ｆ：Ｔ→Ｐであり、事象のライフタイムＴ⊆Ｒにわたるその事象の場所を示す。事象のライフタイムは、単一の時間ポイントＴ＝｛ｔ｝または時間の区間Ｔ＝［ｔ0，ｔ1］とすることができる。事象に関連付けされたデータは、たとえばｆ（Ｔ）によって与えられる場所におけるノードのアイデンティティまたは速度とすることができる。
【００４４】
ノードは、トリプレット（Ｎ，ｆ，ρ）であり、それにおいて：
●Ｎ∈Ｎは、ノードを一意的に識別する整数であり、
●ｆ、すなわちノードのロケータ関数は、連続関数ｆ：Ｔ→Ｐであり、そのノードのライフタイムＴ⊆Ｒにわたるそのノードのポジションを示し、
●ρ∈Ｒ+は、観察半径である。
【００４５】
表明（観察された事象）。ノードは、それらの観察半径内の事象を観察し、それらの観察を互いに共有することができる。発明者らは、観察された事象を『表明（ａｓｓｅｒｔｉｏｎ）』と呼んでいる。表明
【数１】
2006174470.tif 000003
は、ノードＯi（観察者）が事象（Ｄ，ｆ）を目撃したことを示す。次の規則はノードが表明を記録できる条件を説明する。（Ｎi，ｆi，ρi）をノードとし、Ｅ＝（Ｄ，ｆ）を事象とする。Ｔ1をノードＮiのライフタイムとし、Ｔを事象Ｅのライフタイムとする。Ｔ⊆Ｔiであり、すべてのｔ∈Ｔについて‖ｆ（ｔ）‐ｆi（ｔ）‖≦ρiであれば、ノードＮiは、表明
【数２】
2006174470.tif 000004
を記録することができる。
【００４６】
ノードは、表明を互いに共有することもできる。実際においては、表明の共有が待ち時間および帯域幅の問題から制限されるが、説明目的のため、ここでは理想的な伝播を、このモデルにおいて仮定することにする。言い換えると、ノードによって記録された表明は、すべてのほかのノードに対して直ちに普遍的に利用可能になる。この仮定は、比較的小さい地理的近隣内における表明の局所的伝播のみを考慮することによって正当化される（表明は、事象から遠く離れたノードにとってあまり価値がない）。ここで注意が必要であるが、実際的なシステムは、伝播のためのいくらかの時間を考慮しなければならないが、小さい地理的近隣のみに対してこれを適用していることから、これらの遅延を考慮し、分析に組み込むことは容易である。ここでは、すべてのノードが寄与するすべての表明のグローバル・データベースをＫで表す。
【００４７】
ＶＡＮＥＴのモデル。ＶＡＮＥＴのモデルは、どのような事象または事象の集合が可能であるかを指定する。モデルは、規則ベース、または事象の統計的特性を基礎とすることができる。公式的に、εを事象のすべての集合のセットとする。ＶＡＮＥＴのモデルは、関数Ｍ：ε→｛有効（ｖａｌｉｄ），無効（ｉｎｖａｌｉｄ）｝である。事象の集合｛Ｅ1，．．．，ＥN｝∈εは、Ｍ（Ｅ1，．．．，ＥN）＝有効であるときＶＡＮＥＴのモデルと一貫性があると言い、Ｍ（Ｅ1，．．．，ＥN）＝無効であるとき矛盾していると言う。ここでＭの領域を自然な方法で表明（および表明の集合）へ拡張する。また、有効と無効の間の２値的な決定を行うのではなく、有効性の確率ｐ∈［０，１］を返すモデルを考えることもできる。
【００４８】
発明者らの敵対者モデルは、次のとおりである：悪意のあるノードは、不正確な、あるいは実在しない事象を記録すること、つまり誤った表明をデータベースＫ内に入力することができると仮定する。
【００４９】
イベントの集合の説明。Ｈ⊆Ｎを可能な仮説の集合とする。ここで、集合Ｈが有効性（たとえば『正しい』）の仮説の部分集合Ｈ+および無効性（たとえば『悪意のある』、『悪意のない誤り』）の仮説の集合Ｈ‐に分割されることを仮定する。さらに、
【数３】
2006174470.tif 000005
を表明の集合とする。ノードＮにおけるＫについての説明は、次の仮説を伴うＫ内の各表明のラベル付けである。
【数４】
2006174470.tif 000006
これにおいてｈi∈Ｈであり、その結果、有効性の仮説がタグ付けされた表明の部分集合は、ＶＡＮＥＴのモデルと一貫性がある。公式的に、
【数５】
2006174470.tif 000007
として、Ｍ（ＥｘｐNH+（Ｋ））＝有効を得る。以下において明らかになるとおり、場合によっては、一貫した説明を見つけるためにＫに表明を追加する必要が生じることもある。ここで注意が必要であるが、説明ＥｘｐN（Ｋ）は、異なるノードが異なる仮説を種々の表明に割り当てることから（たとえば、ノードが常にそれ自体の表明を真実であると考える傾向にあることを考慮されたい）特定のノードＮに関して定義される。
【００５０】
説明の順序付け（Ｏｒｄｅｒｉｎｇ  ｅｘｐｌａｎａｔｉｏｎｓ）。敵対者のモデルは、説明の順序も指定する。通常これは、使用される統計的方法に応じて変化することになる説明の何らかのスコア付けを基礎とする総合的な順序である。たとえば、オッカムのかみそりは、説明の単純性を基礎としてそれらにスコアを付ける。
【００５１】
矛盾の取り扱い。ＶＡＮＥＴのモデルＭの下に無効なデータの集合Ｋ、およびＫの説明の順序付き集合を考えると、データが無効（エラーが検出される）として宣言されるか、あるいはＫ内のエラーが、最良の説明のＨ+ラベル付き表明を使用することによって矯正される。複数の、ほぼ等しい高さにランク付けされた説明が存在する場合には、それらのＨ+ラベル付き表明を共通領域に分け、Ｋの部分集合を矯正することができる。
【００５２】
このセキュリティ・フレームワークを例示するため、ここで２つの例を考える。第１の例は、協調するセンサ・データが強力である場合に誤りノードを検出し、排除することがいかに容易であるかを示し、第２の例は、乗り物がより弱い場所センサ能力を有するときの弁別可能性の重要性を示す。
【００５３】
この第１の例について、ノードが通信可能なすべての近隣の正確な場所を検出できること、および場所の検出が通信に拘束され、その結果ノードの検出した場所がその公開鍵と関連付けできることを仮定する。データベースＫは、次のタプルからなる：
【数６】
2006174470.tif 000008
これにおいて、表明（数７）は、『ノードＯiは、場所（数８）においてノードＮiを観察したと主張している』と解釈することができる。
【数７】
2006174470.tif 000009
【数８】
2006174470.tif 000010
正常動作の下においては、ノードＯiが一定の半径ρを超えてノードを観察することはできず、その場合には場所（数９）が『観察されない（ｕｎｏｂｓｅｒｖｅｄ）』という値を有することになる。
【数９】
2006174470.tif 000011
（前述した複数の通信経路の仮定を用いると、
【数１０】
2006174470.tif 000012
を伴うこれらのタプルは、データベースから排除することが可能であり、また、それらの値がないものと推断することが可能である。）
ノードは、それ自体の表明を行うことが可能であり、その場合にはＯi＝Ｎiであり、ここで、これらの再帰的表明に対応する次のような表記Ｌを導入する：
【数１１】
2006174470.tif 000013
この例の場合のＶＡＮＥＴモデルＭ（Ｋ）は、次に示す２つの幾何学的条件がともに保持される場合に有効を返す（それ以外は無効を返す）。
１．  Ｋが各ノードについて再帰的表明を含む
２．  Ｋ内の各非再帰的表明（数１２）がＮiについての再帰的表明に一致、すなわち（数１３）を満たす場合には（数１４）を得て、それ以外の場合には（数１５）を得る。
【数１２】
2006174470.tif 000014
【数１３】
2006174470.tif 000015
【数１４】
2006174470.tif 000016
【数１５】
2006174470.tif 000017
【００５４】
悪意のあるノードが存在する場合には、Ｋが必ずしもＭと一貫性を持たない。この例の場合、ＥｘｐN（Ｋ）として表されるノードＮにおける説明が、３つの呼称、すなわち『正直である』ｔ∈Ｈ+、『悪意がある』ｍ∈Ｈ‐、または『偽物である』ｓ∈Ｈ‐のうちの１つを用いるＫ内の各表明のラベル付けからなる。ＥｘｐN（Ｋ）内の各ラベル付け後のタプル
【数１６】
2006174470.tif 000018
は、次に示す評価基準を満たさなければならない：
１．  Ｏi＝Ｎであれば、ｈi＝ｔとする。言い換えると、説明を構成するノードの観察は正直であると見なされる。
２．  観察者Ｏiが偽物（ｈi＝ｓ）とラベル付けされている場合には、（数１７）などのＯiについての表明をなすほかのタプルのいずれも、（数１８）の場合を除き、ｔがラベル付けされるべきではない。
【数１７】
2006174470.tif 000019
【数１８】
2006174470.tif 000020
便宜上、ここで、説明に『追加された』がラベル付けされる新しいタプル、ａ∈Ｈ+を、ｍがラベル付けされた各再帰的タプルが考慮された１つの新しいタプルとともに含めることを許容する。追加されたタプルは、Ｋ内のＮiのほかのすべての正直な観察と一貫性のある正しい場所
【数１９】
2006174470.tif 000021
を提供することになる：
【数２０】
2006174470.tif 000022
ＥｘｐN（Ｋ）内の正直な表明および追加された表明は、相連れだってＶＡＮＥＴのモデルと一貫性がなければならない：
Ｍ（ＥｘｐＮH+（Ｋ））＝有効
【００５５】
この例についての敵対者のモデルを完成するために、発明者らは、１ないしは複数のタプルにおいて悪意ありのラベルｍを受け取る明確な観察者Ｏiの数に従って説明ＥｘｐNにスコアを与えた。もっとも少ない悪意のあるノードを伴う説明Ｅｘｐ*Nがもっとも単純であり、したがってそのデータのもっとも節約された説明であると見なされる。Ｋ内に充分な観察が存在するときは、Ｅｘｐ*N（Ｋ）内のデータが悪意のあるノードを識別し、同時に正直および悪意あり両方についてのすべてのノードの正しい場所を提供する。（場合によっては、等しくありがちな説明がいくつか存在することがあるが、その場合においてもそれらの説明の交わりから正しい場所の抽出ができることもある。）
【００５６】
ここで注意が必要であるが、この例の敵対者のモデルは、観察者による悪意のある表明の数に基づく弁別を行っていない；ある観察者の表明の１つが悪意ありとラベル付けされた後は、残りすべても同様に悪意ありとラベル付けされる。悪意のある観察者によって作り出される欺瞞の複雑性に何らかの測度を割り当てるより精巧なモデル（または、より少ない悪意のない誤りを考慮したモデル）を組み立てることは可能であるが、この単純なモデルは、敵対者が利用できるストラテジを制限するという魅力を有している。
【００５７】
また説明のランク付けは、説明内の偽物のラベルを無視していることに注意が必要であり、したがってより良好な説明は、より多くの偽物ノードおよびより少ない悪意のあるノードを有することになる。しかしながら、正直なノードの直接観察（前述のラベル付けの２番目の評価基準）は、偽物としてラベル付けが可能なノードの数を制限する。
【００５８】
悪意のあるノードがわずかしかない場合には、次のようにして最良の説明（または、いくつかが結合している場合には複数の説明）を網羅的に計算することができる：少数の悪意のあるノードを仮定し、仮定した悪意のあるノードのすべての表明を悪意ありとしてラベル付けし、残りの表明をグラフ内のアーク（ａｒｃｓ）として扱い、Ｎにおいて幅優先サーチを開始し、Ｎiがすでにｍのラベル付けをされていない限り観察者ＯiからノードＮiへアークをトラバースし、この方法で到達したノードを正直としてラベル付けすることによって説明が計算される。到達されなかったノードは、すべて偽物としてラベル付けされる。これらのラベル付けのすべてがモデルＭと一貫性を持つわけではないが、より少ない悪意のあるノードを最初にサーチすることによって、この一貫性のテストに合格した同一サイズの１または複数の説明を見つけたときに、アルゴリズムを終了することができる。
【００５９】
図２に、近くの場所に幻影の作成を試みる単一の悪意のあるノードを示す。この悪意のあるノードは、正方形として示されるいくつかの偽物のノードを生成し、その幻影をサポートすることによって、それ自体の場所の幻影についての証拠を増加させることを試みている。矢印は、共有データベース内に現れている観察を示しており、破線の矢印は、モデル内に幾何学的なコンフリクトを作り出し、したがって攻撃を露呈することになるいくつかの失われた観察を示す。図３は、このコンフリクトについての２つの説明を示している。ここで注意が必要であるが、悪意のあるノードは、偽物のノードを追加することによって説明の偏向を試みたが、この特定の敵対者攻撃のモデル、すなわち複数の現実の明確な攻撃者が、複数の偽物の攻撃者よりもっともらしくないと考えられているモデルは、最初の（正しい）説明を２番目に優先して、それが有する悪意ありとラベル付けされたノードがより少ないことから選択することができる。しかしながら、正しい説明を見つけ出す能力は、グラフの密度に依存することに注意する必要がある。
【００６０】
対照をなす例として、ここで近隣のノードまでの距離の検出だけが可能なノードの場合を考える。より弱い場所センサ能力の広いクラスは、単一のポイントではなく、領域Ｒiを含むようにデータベース内の表明を修正することによって取り込むことができる。すなわち、次式のようになる。
【数２１】
2006174470.tif 000023
観察者Ｏiは、Ｎiは領域Ｒi内であると表明するが、それは、使用する場所検出テクノロジに応じてくさび形（ｗｅｄｇｅ）またはＯiに中心を置く円とすることができる。同様に、幾何学的テストを一般化してＬ（Ｎi）∈Ｒiをチェックする。敵対者モデル、説明、および節約アルゴリズムの一般化はより簡単ではなくなる；ここでは、単純なレンジ・テスト（たとえば、送信タイミングを基礎とする）を使用し、これらの難題を例示するが、それにおいてＲiは、Ｌ（Ｏi）を中心とする一定半径ρの円である。
【００６１】
この例において、本質的な難題は、実際の場所がデータＫ内のどこにも存在しない悪意のあるノードについての新しい場所を含むことができる説明を生成することである。前述したとおり、失われたデータが説明に追加されることを考慮している。前述とは異なり、悪意のあるノードは、必ずしもデータベースＫ内に記録された場所を有することはない。それにもかかわらず、ここでは各悪意のあるノードについて１つの新しいエントリ：
【数２２】
2006174470.tif 000024
を追加することになり、それにおいてＳiは、Ｎiが実際に突きとめられることもある、可能性として円でない領域である。図４は、Ｋ内のポイント周りの半径ρの円による平面の分割を示している。この分割における領域は、ノードに関して一意的であるが一定レンジのプロパティを有し、したがってＳiの候補となる。
【００６２】
ここでもまた、もっとも少ない悪意のあるノード（または等価的に、もっとも少ない追加された表明）を伴う説明が最良であると考える。以前の例とは異なり、この例の悪意のあるノードは、その悪意のあるノードが正直な観察者のレンジ内にいる限り、正直なノードによって観察される偽物を作ることが可能である。この現象は、新しい『幻影』ラベル：ｉ∈Ｈ‐を導入することによって説明に追加することもできる。ｉラベルは、ノードの観察に適用することが可能であり、その観察は、近くに悪意のあるノードが存在することを前提とすれば、正直ｔと見なされることになる：
【数２３】
2006174470.tif 000025
【００６３】
図４に示される分割の領域Ｓi内にある悪意のあるノードについて少ない数を系統的に仮定し、かつこれらの仮定された悪意のあるノードについてエントリを、たとえば
【数２４】
2006174470.tif 000026
を追加することによって最良の説明を探すことができる。Ｋ内の残りのデータは、Ｎから幅優先サーチを行い、Ｋ内の表明をアークとして扱い、観察者ＯiからノードＮiへトラバースすることによってラベル付けされる。表明
【数２５】
2006174470.tif 000027
に対応するアークを考えるとき、観察者が仮定された悪意のあるノードＮkのレンジ内であり、Ｌ（Ｎk）＝ＳkかつＳk⊂Ｒiであれば、その表明は、幻影としてラベル付けされ、アークはトラバースされない。トラバースが成功したすべてのアークについての表明は、正直であるとラベル付けされ、到達しなかったすべてのアークは、偽物としてラベル付けされる。以前の例と同様に、もっとも少ない悪意のあるノードを伴って幾何学的テストに合格した説明が、データの矯正に使用される。
【００６４】
観察されたそれぞれのノードが明確であった以前の例とは対照的に、この例は対極的であり、場所の検出があまりにも不正確であるため、それぞれの観察が、観察者の近くの単一の悪意のあるノードによって生成されることがあり得る。（架空の代替世界を生成する単一の悪意のあるノードの例を図５に示す。）実際、モデルに対する何らかの追加を行わなければならず、それを行わないと、節約アプローチが、観察者の隣に単一の悪意のあるノードを仮定し、かつほかのすべてのノードが偽物であると仮定することによってデータ内のあらゆる矛盾を説明する安直な方法を見つけ出すことになる。これは明らかにもっともありがちな説明ではない、つまり、近隣に現実のノードがまったくないことはもっともらしくない。ここでは単純に『タイブレーク（ｔｉｅ  ｂｒｅａｋｉｎｇ）』を順序関係に導入することができる：もっとも少ない悪意のあるノードを伴う説明を選択し、それらの説明の中から、もっとも正直であるノードを伴う説明を選択する。しかしながら、これは節約アプローチを１つの悪意のあるノードを伴う解に制限することになる。このアプローチのよりベイズ的バージョン（Ｂａｙｅｓｉａｎ  ｖｅｒｓｉｏｎ）は、ノードの密度に基づいて確率を返すようにＶＡＮＥＴモデルを軟化させ（通常、近隣ノードの粗または密のパターンが、より低い確率に割り当てられることになる）、その後それらの確率を説明の順序内に組み込むことである。
【００６５】
ＶＡＮＥＴモデルを改良するだけでは、この種の攻撃に伴うすべての困難は解決されない。図５は、ノードＮの近くに位置する攻撃者が、ＶＡＮＥＴモデルと非常に良好に適合する完全な代替ビューを作り出すことができる例を示している。これはもっとも深刻な攻撃ではない：これは容易に検出され、悪意のあるノードは、攻撃される各ノードの近くにいる必要がある。さらに、ノードが移動可能なＶＡＮＥＴの世界においては、この攻撃が、悪意のあるノードが攻撃されるノードとともに移動し、時間的と共に幻影を維持することを必要とする。明らかにこれはコストのかかる攻撃であり、そのコストを順序関係に組み込んでもっともありがちな説明に節約アプローチの焦点をさらに絞ることができる。
【００６６】
最後に注意することは、このアプローチが概してトポロジに依存することであり、言い換えると攻撃を検出して矯正する能力は、すべてのノードの場所を基礎として変化することになる。しかしながら、この例においては、より深刻な、場所の検出が正確な位置決定を（近隣の観察との関連においても）提供できないというトポロジ依存が存在する；この例においては、常に、ノードがそれらの場所をわずかに偽り、検出されないままとなる可能性が存在する。図４は、この例におけるスラックを例示している。つまり、図示されている任意のノードは、それぞれを囲む分割領域内において、それぞれがレポートされる場所を変更し得る。好都合にも分割領域の密度は、ｄをノードの密度とするとき、Ｏ（ρ2ｄ2）として成長し、したがってより密な領域内においては、わずかな偽物の攻撃が制限される。
【００６７】
図６は、本発明の実施態様に従い、アドホック・ネットワーク内のノードがどのようにしてデータの収集、通信、および分析を行うかについて示したフローチャートを表している。動作の間にノードは、周期的に場所情報を、それら自体のために、またアドホック・ネットワーク内における近くのノードのために検出する（ステップ６０２）。（この情報が場所情報に限定されることを意味していない点に注意が必要である。概して言えば、本発明は、ノード内および近くのノード内のセンサを通じて収集することのできるノードに関する任意タイプの情報に対して広く適用可能である。）
【００６８】
次に、この場所情報が、アドホック・ネットワーク内のノード間において冗長に伝達される（ステップ６０４）。前述したとおり、この冗長な通信は、フラッド・プロトコル、ゴシップ・プロトコル、あるいはエピデミック・プロトコル等の多くの異なるプロトコルを伴うことができる。
【００６９】
最後に、ノードがこの情報を個別に分析してアドホック・ネットワーク内のほかのノードの場所を決定する（ステップ６０６）。ノードに情報の分析を個別に行わせることによって、本発明は、アドホック・ネットワーク内のノードの場所の決定に分散化テクニックを提供する。
【００７０】
図７は、本発明の実施態様に従い、個別のノードがどのようにしてデータを分析するかについて例示したフローチャートを表している。最初に、ノードがアドホック・ネットワーク内のほかのノードから場所情報を受信する（ステップ７０２）。
【００７１】
次にノードは、受信した場所情報およびそのノードが局所的に検出した場所情報に一貫性があるか否かを決定する（ステップ７０４）。これは、異なるノードから受信した場所情報を比較し、異なるノードが同一の情報をレポートしているか否かを決定することを伴う。この場所情報に一貫性があれば、プロセスが完了する。
【００７２】
さもなければ、この場所情報に一貫性がない場合には、システムが多くの操作を実行する。まずシステムは、その矛盾についての説明のセットを生成する（ステップ７０８）。次にシステムは、説明のランク付けを行い（ステップ７１０）、その後そのランク付けを基礎として説明を選択する（ステップ７１２）。なお、これらの手順は、本明細書の前述のセクションの中でより詳細に述べられていることに注意が必要である。
【００７３】
最後に、説明が決定された後は（オプションとして）システムが矯正アクションを行うことができる（ステップ７１４）。
【図面の簡単な説明】
【００７４】
【図１】本発明の実施態様に従ったＶＡＮＥＴ内の共謀する悪意のあるノードを示した説明図である。
【図２】本発明の実施態様に従い、どのようにすれば単一の悪意のあるノードがノードについて間違った場所を支持する偽物を生成できるかを示した説明図である。
【図３】本発明の実施態様に従い、コンフリクトしている観察についての（多くの）可能な説明のうちの２つを示した説明図である。
【図４】本発明の実施態様に従い。固定レンジのテストに基づく平面の分割を示した説明図である。
【図５】本発明の実施態様に従い、どのようにすれば悪意のあるノードが別のノードに見させる代替世界を生成できるかを示した説明図である。
【図６】本発明の実施態様に従い、アドホック・ネットワーク内のノードがどのようにしてデータの収集、通信、および分析を行うかを示したフローチャートである。
【図７】本発明の実施態様に従い、個別のノードがどのようにしてデータを分析するかを示したフローチャートである。
【図１】
2006174470.tif 000028
【図２】
2006174470.tif 000029
【図３】
2006174470.tif 000030
【図４】
2006174470.tif 000031
【図５】
2006174470.tif 000032
【図６】
2006174470.tif 000033
【図７】
2006174470.tif 000034