(57)【要約】      （修正有）【課題】アドホック・ネットワーク内の経路を安全にし、ブラクホールを識別及び回避するメカニズムを確立し、攻撃に対してアドホック・ネットワークの中にローバスト性を提供する。【解決手段】オーバレイ・トランシーバ装置は、受信したデータパケット（１１５）の経路指定部（１１６）からアンダーレイ・データソース（１２５）に関する情報を見つけ出すとともに受信したデータパケット（１１５）のペイロード部分（１１７）からアンダーレイ・ペイロード・データ（１１８）に関する情報を見つけ出すために、受信したデータパケット（１１５）を解釈し、オーバレイ・データソース（１２６）とオーバレイ・データ宛先（１２７）とに関する情報を見つけ出すために、アンダーレイ・ペイロード・データ（１１８）を解釈するためのパケット・インタープリタ（１１７）を備えている。【選択図】図１ｂ
2008048385.tif 000002
【特許請求の範囲】
【請求項１】
信用できるノードであるオーバレイ・ノードと潜在的に信頼できないノードであるアンダーレイ・ノードとを有するアドホック・ネットワークにおいて使用するオーバレイ・トランシーバ装置（１００）であって、
経路指定部（１１６）とアンダーレイ・ペイロード・データ（１１８）を含むペイロード部（１１７）とを有するデータパケットを受信する受信機モジュール（１１０）と、
前記受信されたデータパケット（１１５）の前記経路指定部（１１６）から或るアンダーレイ・ノードにおけるアンダーレイ・データソース（１２５）に関する情報を見つけ出すとともに、前記受信されたデータパケット（１１５）の前記ペイロード部（１１７）から或るオーバレイ・ノードにおけるオーバレイ・データソース（１２６）と前記オーバレイ・ノードにおけるオーバレイ・データ宛先（１２７）とに関する情報を有する前記アンダーレイ・ペイロード・データ（１１８）に関する情報を見つけ出すために、前記受信したデータパケット（１１５）を解釈し、且つ前記オーバレイ・データソース（１２６）と前記オーバレイ・データ宛先（１２７）とに関する情報を見つけ出すために、前記アンダーレイ・ペイロード・データ（１１８）を解釈するようになっているパケット・インタープリタ（１２０）と、
前記経路指定部（１１６）の中に前記アンダーレイ・データソース（１２５）に関する情報を含むとともに前記ペイロード部（１１７）の中にオーバレイ肯定応答（１３６）に関する情報を含む肯定応答データ・パケット（１３５）を生成し、かつ当該オーバレイ・トランシーバ装置のアイデンティティ（１３８）と或るアンダーレイ・ノードの中のアンダーレイ・データ宛先（１３９）とに関する情報を含む前記経路指定部（１１６）と、前記オーバレイ・データソース（１２６）と前記オーバレイ・データ宛先（１２７）とに関する情報を有する前記アンダーレイ・ペイロード・データ（１１８）を含む前記ペイロード部（１１７）とを有する前記転送データパケット（１３７）を生成するようになっているコントローラ・モジュール（１３０）と、
前記肯定応答データ・パケット（１３５）と前記転送データ・パケット（１３７）とを送信するようになっている送信機モジュール（１４０）と
を備えているオーバレイ・トランシーバ装置。
【請求項２】
前記経路指定部（１１６）は、前記アンダーレイ・データ宛先（１３９）と前記アンダーレイ・データソース（１２５）とに関する情報を含むものであり、前記パケット・インタープリタ（１２０）は、前記アンダーレイ・データ宛先（１３９）と前記アンダーレイ・データソース（１２５）とに関する情報を見つけ出すために、前記受信したデータパケット（１１５）の前記経路指定部（１１６）を解釈するように構成されている、請求項１に記載のオーバレイ・トランシーバ装置。
【請求項３】
前記パケット・インタープリタ（１２０）は、前記受信したデータパケット（１１５）がオーバレイ経路応答受信パケット（１４５）であるかどうかを調査するために、前記受信したデータパケット（１１５）の前記アンダーレイ・ペイロード・データ（１１８）を解釈するように構成されており、前記オーバレイ経路応答受信パケット（１４５）は前記アンダーレイ・ペイロード・データ（１１８）の中にオーバレイ経路応答受信情報（１４６）を有しており、前記パケット・インタープリタ（１２０）は、前記受信したデータパケット（１１５）が前記オーバレイ経路応答受信パケット（１４５）である場合は、前記オーバレイ経路応答受信情報（１４６）を記憶するようになっている、請求項１又は２に記載のオーバレイ・トランシーバ装置。
【請求項４】
前記パケット・インタープリタ（１２０）は、前記受信したデータパケット（１１５）がオーバレイ経路更新受信パケット（１４７）であるかどうかを調査するために、前記受信したデータパケット（１１５）の前記アンダーレイ・ペイロード・データ（１１８）を解釈するように構成されており、前記オーバレイ経路更新受信パケット（１４７）は前記アンダーレイ・ペイロード・データ（１１８）の中にオーバレイ経路更新受信情報（１４８）を有しており、前記パケット・インタープリタ（１２０）は、前記受信したデータパケット（１１５）が前記オーバレイ経路更新受信パケット（１４７）である場合は、前記オーバレイ経路更新受信情報（１４８）を記憶するようになっている、請求項１から３のいずれか一項に記載のオーバレイ・トランシーバ装置。
【請求項５】
前記コントローラ・モジュール（１３０）は、オーバレイ経路応答送信パケット（１５０）を生成するように構成されており、前記オーバレイ経路応答送信パケット（１５０）は、前記オーバレイ・トランシーバ装置のアイデンティティ（１３８）に関する情報を含むとともに前記アンダーレイ・ペイロード・データ（１１８）の中にオーバレイ経路応答送信情報（１５１）を含んでおり、前記送信機モジュール（１４０）は、前記オーバレイ経路応答送信パケット（１５０）を送信するように構成されている、請求項１から４のいずれか一項に記載のオーバレイ・トランシーバ装置。
【請求項６】
前記コントローラ・モジュール（１３０）は、オーバレイ経路更新送信パケット（１５５）を生成するように構成されており、前記オーバレイ経路更新送信パケット（１５５）は、前記オーバレイ・トランシーバ装置のアイデンティティ（１３８）に関する情報と前記アンダーレイ・ペイロード・データ（１１８）の中のオーバレイ経路更新送信情報（１５６）とを含むものであり、前記送信機モジュール（１４０）は、前記オーバレイ経路更新送信パケット（１５５）を送信するように構成されている、請求項１から５のいずれか一項に記載のオーバレイ・トランシーバ装置。
【請求項７】
前記受信機モジュール（１１０）は、経路要求パケット（１６０）を受信するように構成されており、前記経路要求パケット（１６０）は、アンダーレイ・トランシーバ装置のアイデンティティ（１６１）と経路要求用表示器（１６２）とに関する情報を含むものであり、前記パケット・インタープリタ（１２０）は、前記アンダーレイ・トランシーバ装置のアイデンティティ（１６１）に関する情報を調査するために、前記経路要求パケット（１６０）を解釈するように構成されている、請求項１から６のいずれか一項に記載のオーバレイ・トランシーバ装置。
【請求項８】
前記コントローラ・モジュール（１３０）は、アンダーレイ経路要求パケット（１６０）を生成するように構成されており、前記アンダーレイ経路要求パケット（１６０）は、前記アンダーレイ・トランシーバ装置のアイデンティティ（１６１）と前記経路要求用表示器（１６２）とに関する情報を含むものであり、前記送信機モジュール（１４０）は、前記アンダーレイ経路要求パケット（１６０）を送信するように構成されている、請求項１から７のいずれか一項に記載のオーバレイ・トランシーバ装置。
【請求項９】
前記コントローラ・モジュール（１３０）は、プリセット又は設定又はイベント・トリガするような頻繁な時間ベースで前記アンダーレイ経路要求パケット（１６０）を生成するように構成されている、請求項８に記載のオーバレイ・トランシーバ装置。
【請求項１０】
前記パケット・インタープリタ（１２０）は、前記オーバレイ経路応答送信パケット（１５０）を生成する前記コントローラ・モジュール（１３０）をトリガするように構成されており、前記送信機モジュール（１４０）は、前記受信機モジュール（１１０）が前記経路要求パケット（１６０）を受信し、そして前記パケット・インタープリタ（１２０）が或る特別なアンダーレイ・トランシーバ装置のアイデンティティ（１６１）に関する情報を見つけた後で、前記オーバレイ経路応答送信パケット（１５０）を送信するように構成されている、請求項１から９のいずれか一項に記載のオーバレイ・トランシーバ装置。
【請求項１１】
前記特別なアンダーレイ・トランシーバ装置のアイデンティティ（１６１）が、任意のオーバレイ・トランシーバ装置（１００）及びアンダーレイ・トランシーバ装置に対して専用のものではない、請求項１０に記載のオーバレイ・トランシーバ装置。
【請求項１２】
前記パケット・インタープリタ（１２０）は、前記特別なアンダーレイ・トランシーバ装置のアイデンティティ（１６１）を発見した場合、前記パケット・インタープリタ（１２０）は、オーバレイにおける次の隣接するノードのリストの中に前記アンダーレイ経路要求パケット（１６０）のアンダーレイ・データソースを記憶するように構成されている、請求項１０又は１１に記載のオーバレイ・トランシーバ装置。
【請求項１３】
前記パケット・インタープリタ（１２０）は、前記オーバレイ経路応答受信パケット（１４５）を解釈するように構成されており、前記オーバレイ経路応答受信パケット（１４５）は、オーバレイ経路応答ソース又は前記オーバレイ・トランシーバ装置のアイデンティティを含むオーバレイ経路応答受信情報（１４６）を含んでおり、前記パケット・インタープリタは、前記オーバレイ経路応答ソース及び前記オーバレイ・トランシーバ装置のアイデンティティを、オーバレイにおける次の隣接するノードのリストの中に記憶するように構成されている、請求項１０から１２のいずれか一項に記載のオーバレイ・トランシーバ装置。
【請求項１４】
前記コントローラ・モジュール（１３０）は、前記オーバレイ経路更新送信パケット（１５５）を生成するように構成され、前記送信機モジュール（１４０）は、前記オーバレイ経路更新送信パケット（１５５）を、プリセットされた又は事前設定された又はイベント・トリガされた時間スケールで送信するように構成され、前記オーバレイ経路更新情報（１５６）は、前記オーバレイにおける次の隣接するノードのリストに関する情報を含むものである、請求項１２又は１３に記載のオーバレイ・トランシーバ装置。
【請求項１５】
前記パケット・インタープリタ（１２０）は、別のオーバレイ・トランシーバ装置の次の隣接するノードのリストに関する情報を解釈して、前記情報を経路指定テーブルの中に記憶するように構成されている、請求項１４に記載のオーバレイ・トランシーバ装置。
【請求項１６】
前記オーバレイ経路更新情報（１５６）は、他のオーバレイ・トランシーバ装置から受信した次の隣接するノードのリストを含むものである、請求項１４又は１５に記載のオーバレイ・トランシーバ装置。
【請求項１７】
前記パケット・インタープリタ（１２０）は、全ての受信したオーバレイ・トランシーバ装置の次の隣接するノードのリストに関する情報を解釈して、それらの情報を経路指定テーブルの中に記憶するように構成されている、請求項１６に記載のオーバレイ・トランシーバ装置。
【請求項１８】
前記コントローラ・モジュール（１３０）が、前記経路指定テーブルからオーバレイ・トポロジーを導き出すように構成されている、請求項１７に記載のオーバレイ・トランシーバ装置。
【請求項１９】
前記コントローラ・モジュール（１３０）は、前記オーバレイ・データ宛先（１２７）に基づいて前記次の隣接するノードのリストから得られたアンダーレイ・データ宛先（１３９）を含む前記転送データパケット（１３７）を生成するように構成されている、請求項１２から１８のいずれか一項に記載のオーバレイ・トランシーバ装置。
【請求項２０】
前記コントローラ・モジュール（１３０）が、前記オーバレイ・データ宛先（１２７）に基づいて前記経路指定テーブルから得られたアンダーレイ・データ宛先（１３９）を含む前記転送データパケット（１３７）を生成するように構成されている、請求項１５から１９のいずれか一項に記載のオーバレイ・トランシーバ装置。
【請求項２１】
前記アンダーレイ・データ宛先（１３９）が、最適化基準に基づいて導き出されるようになっている、請求項１９又は２０に記載のオーバレイ・トランシーバ装置。
【請求項２２】
前記最適化基準が、最も短い経路、最も小さいアンダーレイ・ホップ数、最も小さい遅延、又は最も少ないリソース消費量の少なくとも１つあるいは組合せである、請求項２１に記載のオーバレイ・トランシーバ装置。
【請求項２３】
前記コントローラ・モジュール（１３０）は、前記転送データパケット（１３７）を送信し、また前記転送データパケットを記憶するときにタイマをセットし、そして肯定応答データパケット（１３５）が受信されたときに前記タイマを停止させるようになっている、請求項１から２２のいずれか一項に記載のオーバレイ・トランシーバ装置。
【請求項２４】
前記肯定応答データパケット（１３５）は、前記転送データパケット（１３７）を参照するようになっている、請求項１から２３のいずれか一項に記載のオーバレイ・トランシーバ装置。
【請求項２５】
前記コントローラ・モジュール（１３０）は、前記タイマが失効した後で、前記記憶された転送データパケット（１３７）の再送信をトリガするように構成されている、請求項２３又は２４に記載のオーバレイ・トランシーバ装置。
【請求項２６】
前記タイマが失効した後で又は最大数の再送信が行われた後で、送信された前記転送データパケット（１３７）について前記肯定応答パケット（１３５）が受信されず、アンダーレイのエラーが報告されない場合、そして当該オーバレイ・トランシーバ装置に対する別の経路が前記経路指定テーブルの中にない場合においては、前記コントローラ・モジュール（１３０）は、前記オーバレイ・トランシーバ装置のアイデンティティ（１３８）をマークするか又は前記隣接するノードのリストから削除するように構成されている、請求項２５に記載のオーバレイ・トランシーバ装置。
【請求項２７】
前記タイマが失効したか、又はオーバレイ・データ宛先（１２７）に対する別の経路を見つけるために前記経路指定テーブルを検査することによって前記転送データパケット（１３７）に対して最大数の再送信が到着された場合、また前記オーバレイ・データ宛先（１２７）に対する経路を発見するためにアンダーレイ経路要求パケット（１６０）の送信をトリガすることによって利用できない場合においては、前記コントローラ・モジュール（１３０）は、前記オーバレイ・データ宛先（１２７）に対する別の経路を得るように構成されている、請求項２５又は２６に記載のオーバレイ・トランシーバ装置。
【請求項２８】
前記コントローラ・モジュール（１３０）は、タイマが失効したか又は最大数の再送信が到着したときに、前記肯定応答データパケット（１３５）が送られていない当該オーバレイ・トランシーバ装置に関する情報又はオーバレイ・トポロジーのセグメントに関する情報を含む前記オーバレイ経路更新送信パケット（１５５）を生成するように構成されている、請求項２５から２７のいずれか一項に記載のオーバレイ・トランシーバ装置。
【請求項２９】
前記パケット・インタープリタ（１２０）が、異なるオーバレイ・トランシーバ装置に対する別の経路を含むオーバレイ・トポロジーを解釈するように構成されているか、又は前記コントローラ・モジュール（１３０）が、前記オーバレイ・トポロジーを生成するように構成されている、請求項１５から２８のいずれか一項に記載のオーバレイ・トランシーバ装置。
【請求項３０】
前記コントローラ・モジュール（１３０）は、全てのパケットに対してオーバレイの情報を含む識別子を生成するように構成されている、請求項１から２９のいずれか一項に記載のオーバレイ・トランシーバ装置。
【請求項３１】
前記パケット・インタープリタ（１２０）は、前記識別子を含むパケットのみを解釈するように構成されている、請求項３０に記載のオーバレイ・トランシーバ装置。
【請求項３２】
信用できるノードであるオーバレイ・ノードと潜在的に信頼できないノードであるアンダーレイ・ノードとを有するアドホック・ネットワークにおいて使用する送受信方法であって、
経路指定部（１１６）とアンダーレイ・ペイロード・データ（１１８）を含むペイロード部分（１１７）とを有するデータパケットを受信するステップと、
受信されたデータパケット（１１５）の前記経路指定部（１１６）から或るアンダーレイ・ノードにおけるアンダーレイ・データソース（１２５）に関する情報を見つけ出し、また前記受信されたデータパケット（１１５）の前記ペイロード部（１１７）から或るオーバレイ・ノードにおけるオーバレイ・データソース（１２６）と前記オーバレイ・ノードにおけるオーバレイ・データ宛先（１２７）とに関する情報を有するアンダーレイ・ペイロード・データ（１１８）に関する情報を見つけ出すために、前記受信されたデータパケット（１１５）を解釈するステップと、
前記オーバレイ・データソース（１２６）と前記オーバレイ・データ宛先（１２７）とに関する情報を見つけ出すために、前記アンダーレイ・ペイロード・データ（１１８）を解釈するステップと、
前記経路指定部（１１６）の中に前記アンダーレイ・データソース（１２５）に関する情報を含むとともに前記ペイロード部（１１７）の中にオーバレイ肯定応答（１３６）に関する情報を含む肯定応答データパケット（１３５）を生成し、かつ前記経路指定部（１１６）と前記ペイロード部（１１７）とを有する転送データパケット（１３７）を生成するステップであって、前記転送データパケット（１３７）の前記経路指定部（１１６）は、当該オーバレイ・トランシーバ装置のアイデンティティ（１３８）と或るアンダーレイ・ノードにおけるアンダーレイ・データ宛先（１３９）とに関する情報を含むものであり、前記転送データパケット（１３７）の前記ペイロード部（１１７）は、前記オーバレイ・データソース（１２６）と前記オーバレイ・データ宛先（１２７）とに関する情報を有するものである、ステップと、
前記肯定応答データパケット（１３５）と前記転送データパケット（１３７）とを送信するステップと
を含む方法。
【請求項３３】
コンピュータ上で実行する際に、請求項３２の方法を実行するプログラムコードを有するコンピュータプログラム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、携帯電話、アドホック・ネットワーク（ad hoc network）、及びマルチホップ・ネットワーク（multi hop network）の分野であり、不正動作するアドホック及びハイブリッドの、すなわちアドホック及びインフラ・ネットワーク・ノードの問題に関する。この問題は、適切なネットワークの機能をかなり混乱させることがあり、またネットワークの故障の原因になる可能性がある。
【背景技術】
【０００２】
アドホック・ネットワーク及びマルチホップ・ネットワークは、将来の移動体通信システムの中で確立されると考えられている。それらのシステムは、将来の移動体無線通信システム（４Ｇ＝第４世代）の中に現れる大きな問題、すなわちレンジ又はカバレッジ（受信可能範囲）の問題に対する有望な解決策である。将来の移動体無線通信システムに対して、予想される中心周波数範囲が最大５から１０ＧＨｚで、予測できる大きな帯域幅に対する要求事項が１００ＭＨｚというような、より高い搬送周波数すなわち中心周波数を想定することができることから、経路の損失及びノイズの電力レベルが著しく増加することにより、基地局のカバーできる領域が著しく減少させられることを予期しておく必要がある。アドホック又はマルチホップ・ネットワークは、レンジすなわちカバレッジの問題を克服することが期待されている。フィールド内の移動局は、移動体中継局として機能するため、基地局の範囲を拡張するか又はさらにそれらの間で完全に自律的なネットワーク（autonomous network）を構成している。しかしながら、アドホック又はマルチホップ・ネットワークの主要な問題は、そのネットワーク・ノードの１つが不正な動作を始めるときに発生する。予測できる別の問題としては、完全な移動体通信サービスを提供するために必要なセキュリティの問題が伴ってくる。アドホック・ネットワークは、オペレータがそれぞれ中継局である全ての移動体アドホック・ノードの制御を継続できないため、容易に攻撃される。
【０００３】
ネットワーク・ノードが不正動作する１つの一般的なシナリオは、文献にも説明されているが、いわゆるブラックホール（black hole）である。ブラックホールの攻撃の幾つかの種類は文献の中に記載されており、制御情報がネットワークを維持するためにネットワーク・ノードの間で交換される制御プレーン（control plane）中のネットワーク又は実際のアプリケーションあるいはユーザのデータがそのネットワークの中で交換されるユーザプレーン（user plane）の中のネットワークをブラックホールが攻撃するかどうかという不正動作の概念あるいは実施の詳細によって区別されている。アドホック又はマルチホップ・ネットワークを設定する間における１つのフェーズとしては、いわゆる経路設定フェーズがある。このフェーズ中に、ネットワーク・ノードは、経路指定情報を交換する、すなわちネットワーク・ノードは情報を交換して、ネットワークを通る経路を確立するために隣接するネットワーク・ノードについて学習する。このフェーズは、経路確立フェーズとも呼ばれており、ネットワークが実際に設定され及び形成される。アドホック又はマルチホップ・ネットワークにおける別のフェーズは、いわゆるデータ転送フェーズ又は経路指定フェーズである。これは、ユーザのデータが、そのネットワークを通じて送信され、経路確立フェーズ中に確立された経路に沿って進み、ネットワーク・ノードからネットワークの経路上のネットワーク・ノードまで送信されるというシナリオである。
【０００４】
非特許文献１では、経路指定のセキュリティに関して分析を行っている。ここでは、ネットワークインフラ又はいかなる集権的管理も使用しないで、互いに通信することができる無線移動ノード（wireless mobile node）のコレクションから構成される移動アドホック・ネットワークが示されている。ＭＡＮＥＴ（ＭＡＮＥＴ＝モバイル・アドホック・ネットワーク）は、実際的なアプリケーションを有する新興の研究領域である。無線ＭＡＮＥＴは、オープン媒体（open medium）、動的トポロジー（dynamic topology）、分散協力（distributed cooperation）、及び制約された性能（constrained capability）などの基本的な特性のために特に脆弱である。経路指定は、ネットワーク全体のセキュリティの中で重要な役割を演じている。一般に、無線ＭＡＮＥＴの経路指定に対するセキュリティは、解決するのが平凡ではない問題であると思われる。この論文では、ＭＡＮＥＴの経路指定に対するセキュリティの問題を研究しており、そしてＭＡＮＥＴに対して容易に使用できる１種の攻撃−「ブラックホール」の問題−を詳細に分析している。この論文では、アドホック・オンデマンド距離ベクトル経路指定プロトコル（ad hoc on-demand distance vector routing protocol）についてのブラックホールの問題に対する解決策を提案している。ブラックホールは、宛先に対して経路を持たないノードとして説明されており、そうすることを要求している。著者らはブラックホールの上流のノードに接触することに依存する解決策を提案し、宛先への経路の存在を検証している。しかしながら、この解決策はアタッカーが結託することを妨げないことが容易に分かる。
【０００５】
非特許文献２では、互いに協働する複数のブラックホールを特定する技術が提案されている。モバイル・アドホック・ネットワーク（ＭＡＮＥＴ）は、軍事及び民間の用途で高範囲にわたって使用されている。ＭＡＮＥＴの動的トポロジーにより、ノードが任意の時点でネットワークに加入する及びネットワークから離れることが可能になる。ＭＡＮＥＴのこの一般的な特性のために、ＭＡＮＥＴはセキュリティに対する攻撃を受けやすい。この文献では、多数のブラックホールがグループで動作することによる組織的攻撃の問題に対処している。著者らは、互いに協働する多数のブラックホールを特定する技術、及び協働するブラックホールの攻撃を避ける安全な経路を発見するための解決策を提示している。提案された解決策は、ブラックホールのアタッカーの能力をいくらか制限して、それらを特定のシナリオに限定するが、一方では提案された解決策は、アドホック経路指定プロトコルを変更することを要求しており、綿密な分析及び性能分析が無い。
【０００６】
非特許文献３では、アドホック・ネットワーク用のアリアドネ（Ariadne）すなわち安全なオンデマンド経路指定プロトコルを検討している。著者らは、移動アドホック・ネットワーク（ＭＡＮＥＴ）を、ノードがパケットを互いに転送することによってノード自身が直接無線送信範囲を超えて通信可能になるような、自律的な無線移動コンピュータ（又はノード）のグループとして考えている。彼らは、アドホック・ネットワークは集権的管理又は、基地局若しくはアクセスポイントなどの固定ネットワークインフラを必要とせず、また必要な場合は迅速かつ安価に構築できると考えている。それらのネットワークは、インフラが存在しないシナリオ、又は既存のインフラはセキュリティあるいはコストなどの理由のためにアプリケーションの要求事項には適合しないシナリオの中で使用される。著者らは、「トラフィック・アタッカー」及び「トラフィック・シンク（traffic sink）」と呼ばれるより難しいブラックホールのアタッカーの問題に取り組んでいる。この抽象概念は結果として、極めて強力なアタッカーのモデルを生ずる。しかしながら、提案された解決策においては、トラフィックの送り側及び宛先側が両者の間の全ての経路指定ノードを認証するような新しいアドホック経路指定プロトコルを必要としている。
【０００７】
非特許文献４では、サービス拒否攻撃（denial of service attack）を検討している。著者らは、アドホック・ネットワークを安全でかつＤｏＳ（ＤｏＳ＝サービス拒否）に対して回復力があるものにすることに関して、著しい進展がなされたと指摘している。しかしながら、ＤｏＳに対する回復力（Dos resilient）を定量化することに焦点が当てられていないと彼らは指摘しており、ＤｏＳ攻撃をほとんど無効にするために、アドホック・ネットワークが十分に二重化した経路及びＤｏＳ対抗メカニズム（counter-DoS mechanism）を有しているかどうかを問いかけている。彼らはさらに、壊滅的な影響に至る可能性がある攻撃及びシステム要素があるかどうかを問いかけている。検出困難なアタッカーが引き起こす可能性がある損害を評価するために、彼らは、ＤｏＳ攻撃を設計及び研究している。彼らが研究したジェリーフィッシュ攻撃（JellyFish attack）と呼ばれる第１の攻撃は、ＴＣＰのような閉じたループの流れを対象としている。それはプロトコルに準拠しているが、壊滅的な影響がある。彼らが考える第２の攻撃はブラックホール攻撃である。それは開じたループの流れに対してはジェリーフィッシュ攻撃に似た影響がある。彼らは、移動性、システムの大きさ、ノードの密度、及びＤｏＳ対抗戦略などの主要な性能パラメータの関数として、ＤｏＳ攻撃の拡張性をシミュレーション及び分析モデリングすることによって定量化している。１つの驚くべき結果は、そのようなＤｏＳ攻撃は、マルチホップの流れを困難にして、能力を最大化させるが、明らかに望ましくない状態であるワンホップ通信（one-hop communication）のみを可能にするため、アドホック・ネットワークの能力を増加させることができることである。著者らは、全ての経路発見／確立動作においては合法的に参加し、系統的に又は確立的にグレイホール（gray hole）になった場合においてはデータ転送フェーズ中にパケットを破棄するようなブラックホールの攻撃の極めて有害な形式を記述している。上流の隣接するノードが何回かのＭＡＣ再送信（ＭＡＣ＝媒体アクセス制御）の後でＭＡＣ−ＡＣＫ（ＡＣＫ＝肯定応答）を受け取らずに送り側に経路ブレーク（route break）を報告することを避けるために、不正動作するノード（misbehaving node）は、ＭＡＣ層上のパケットをさらに転送することなく、そのＭＡＣ層上のパケットを認める。このＭＡＣ−ＡＣＫ機構は、ノード移動性／経路ブレークを検出するために一般に使用されるため、経路修復の誘因になる。著者らは、ブラックホールの攻撃に対して解決策を提案していないが、ネットワークの性能に対するその影響を評価している。著者らはまた、終了なしの攻撃／解決策の軍備拡張競争（arms race）を検討し、最終的にエンドツーエンドの肯定応答解決策（acknowledgement solution）を使用することになる。繰り返すと、提案された解決策は、経路に含まれるノード間の高価な認証、現在のアドホック経路指定プロトコルに対する相当な変更、複雑な評判システム（reputation system）、又はエンドツーエンドの承認のいずれかを必要とする。
【０００８】
非特許文献５では、経路指定の不正動作を研究している。非特許文献５では、パケットを転送することに同意するがそのパケットの転送に失敗したノードが存在するアドホック・ネットワークにおいて、スループットを向上させる２つの技術が記載されている。この問題を軽減するために、著者らは動的に判断された動作に基づいてノードを分類することを提案している。著者らは、不正動作するノードを識別する監視者、及びこれらのノードを避ける経路指定プロトコルを支援する経路評価者（pathrater）を使用している。シミュレーションを通して、彼らは、パケットのスループットと、オーバーヘッド（経路指定）送信の割合と、不正動作するノードを検出する精度とを用いて監視者や経路評価者を評価している。移動性が中程度のネットワークの中で一緒に使用する場合において、２つの技術は、４０％の不正動作ノードが存在する場合は、スループットを約１７％まで向上させ、それと同時に、オーバーヘッド送信の割合を標準的な経路指定プロトコルの９％から１７％に向上させる。移動性が極めて高い場合において、監視者及び経路評価者は、ネットワークのスループットを２７％まで増加することができ、同時にオーバーヘッド送信を標準的な経路指定プロトコルの１２％から２４％まで増加させる。監視者は、パケットが実際に転送されたかどうかを確認することについては、下流の隣接するノードから聞き取ることに依存している。この方式は、指向性アンテナを用いて低い送信電力で再送信する、又は次のホップと結託するブラックホールにより容易に欺かれる可能性がある。これは、監視者はあるネットワーク・ノードがデータパケットを転送するかどうかを聞いて、このネットワーク・ノードはパケットを監視者が満足するように送信しているが、パケットを間違った方向にすなわち監視者に向かって送信する指向性アンテナを用いている、又は、例えば、監視者がそのカバレッジの中にいるが次の意図したネットワーク・ノードはカバレッジの中に入らないような低い送信電力を用いていることを意味する。
【０００９】
非特許文献６では、安全な経路指定の構築を研究している。著者らは、セキュリティの関連性がノードの全ての対（pair）のサブセット間にのみ存在するようなアドホック・ネットワーク内の安全な経路指定を研究している。彼らは、送り側の経路指定プロトコルに集中して、安全な経路を確立するためには、セキュリティの関連性がノードの全ての対の間に存在することは一般に必要ではなく、セキュリティの関連性の一部のみで十分であることを示している。彼らは、そのような条件で安全な経路に対する既存の提案の性能を分析している。彼らは、不完全なアドホック・ネットワークに対してノード間のセキュリティの関連性のセットが具体的に設計された新しいプロトコルも提案している。彼らはこのプロトコルをＢＩＳＳ（すなわち、セキュリティの関連性の不完全なセットから安全な経路を構築するプロトコル）と呼んでいる。彼らは、シミュレーションに基づいてこのプロトコルの詳細な分析を示しており、このプロトコルが、セキュリティの関連性の完全なセットに依存する既存の提案と同じぐらい安全であることを示している。それで、著者らは、全てのノードが信頼されることはないネットワークの中で確実に通信できるように、互いに信頼するノードのセットを取り入れることを提案している。しかしながら、この方法は、信頼するノードが互いのみを信頼して互いのパケットを転送することを示している。パケットは、例えそれらが唯一可能な方法であっても、信頼できないノードを通じて送られることはない。この文献は、不正動作の検出又は経路変更を取り扱わずに安全な経路を確立することを論じている。提案されたプロトコルは、信頼されているノードと他の信頼されていないノードとから構成される１つのネットワークを、他のネットワークの中に確立するであろう。
【００１０】
非特許文献７では、別の攻撃について研究されている。著者らは、文献の中で、急速攻撃（rushing attack）、すなわち、全ての以前のオンデマンドのアドホック・ネットワークの経路指定プロトコルについて使用する場合、結果としてサービス拒否を生ずる新しい攻撃を示している。例えば、ＤＳＲ（ＤＳＲ＝動的ソースルーティング（dynamic source routing））、ＡＯＤＶ（ＡＯＤＶ＝アドホック・オンデマンド距離ベクトル（distance vector））、アリアドネ（Ariadne）、ＡＲＡＮ、及びＳＡＯＤＶ等のそれらに基づいた保護プロトコルは、この攻撃を受けると２ホップより長い経路を発見することができない。この攻撃はまた、特に、比較的弱いアタッカーによって実行されることがあるため有害である。彼らは、なぜ以前のプロトコルがこの攻撃に対して失敗するかを分析して、急速攻撃対策（Rushing Attack Prevention）（ＲＡＰ）、すなわちオンデマンド・プロトコルへの急速攻撃に対する一般的な防御手段を開発している。ＲＡＰは、基本となるプロトコルが作業経路（working route）の発見に失敗しないかぎり、コストを増加させない、またＲＡＰは最強の急速アタッカーに対してさえも証明可能なセキュリティ特性を提供する。
【００１１】
非特許文献８では、アドホック・ネットワークのセキュリティが研究されている。著者らは、アドホック・ネットワークが近年の研究界の中で注目すべき関心を引き付けたことを発見した。どのような装置から作られたものでも直接利用できるため、アドホック・ネットワークの自己編成の性質により、インフラを欠くときは自発的通信（spontaneous communication）が可能となる。アドホック・ネットワークはなおも、従来の移動通信ネットワークの、例えば信頼性及び予測可能性などの高い信用性を提供する必要がある。彼らは、これらの問題に取り組むために、プロバイダ仲介の通信パラダイム（provider-mediated communication paradigm）を提案している。仲介は、オーバレイ・ネットワークによって実現され、このネットワークは、サービスプロバイダに加入したノードの間、いわゆるプロバイダノードの間で作られる。そのようなノードはサービスプロバイダの管理のもとにあるため、オーバレイは信頼できると考えられる。それによって得られる結果は、マルチホップの能力によって増大するセルラー・ネットワークを遙かに超えている。アドホック・ネットワークに対する多くの難しい問題は、信頼されているノードのセットが事前に知られる場合は著しく単純化することができる。このことは、特にネットワークのモニタリング、信用管理、ネットワークのセキュリティ、及び悪質なノードに欠陥がある場合のローバスト性に適用することができる。彼らのポスターにおいて、彼らは提案したオーバレイのアーキテクチャの概説を提供しており、経路指定の性能を向上させるために、そのアーキテクチャをどのように使用できるかについての最初の結果を提供している。
【００１２】
アドホック・ネットワークを安全にするためにこれらの提案された方法を要約すると、全ての提案された解決策は、経路指定の中に含まれたノード間の高価な認証、現行のアドホック経路指定プロトコルに対する相当な変更、複雑な評判システム又はエンドツーエンドの通知のいずれかを必要とすると結論付けることができる。
【非特許文献１】Hongmei Deng，Wei Li，Dharma P. Agrawal，「Routing Security in Wireless Ad Hoc Networks」，IEEE Communications Magazine，２００２年１０月
【非特許文献２】Sanjay Ramaswamy，Huirong Fu，Manohar Sreekantaradhya，John Dixon，Kendall Nygard，「Prevention of Cooperative Black Hole Attack in Wireless Ad Hoc Networks」，Proceedings of International Conference of Wireless Networks，２００３年
【非特許文献３】Javier Bonny，Mounir Krichane，「Securing Ad Hoc Networks Using Ariadne」，Proceedings of ACM MobiCom，２００２年
【非特許文献４】Imad Aad，Jean-Pierre Hubaux，Edward W. Knightly，「Denial of Service Resilience in Ad Hoc Networks」，Proceedings of ACM MobiCom，２００４年
【非特許文献５】Sergio Marti，T. J. Giuli，Kevin Lai，Mary Baker，「Mitigating Routing Misbehavior in Mobile Ad Hoc Networks」，Proceedings of ACM MobiCom，２０００年
【非特許文献６】Srdjan Capkun，Jean-Pierre Hubaux，「BISS: Building Secure Routing out of an Incomplete Set of Security Associations」，Proceedings of WiSE，２００３年
【非特許文献７】Yih-Chun Hu，Adrian Perrig，David B. Johnson，「Rushing Attacks and Defense in Wireless Ad Hoc Network Routing Protocols」，Proceedings of ACM WiSe，２００３年
【非特許文献８】Tronje Krop，Jorg Widmer，Matthias Hollick，Christian Prehofer，Ralf Steinmetz，「Crossing the Chasm with Ad Hoc Networks - The Provider-mediated Communication Paradigm」
【発明の開示】
【発明が解決しようとする課題】
【００１３】
従って、本発明の目的は、アドホック・ネットワーク内の経路を安全にすることと、ブラックホールを識別及び回避するメカニズムを確立することと、攻撃に対してアドホック・ネットワークの中にローバスト性を提供することとを可能にする概念を提供することである。
【課題を解決するための手段】
【００１４】
この目的は、請求項１によるオーバレイ・トランシーバ装置、請求項３２によるデータを送受信する方法、及び請求項３３によるコンピュータプログラムによって達成される。
【００１５】
本発明は、経路指定部とアンダーレイ・ペイロード・データ（underlay payload data）を含むペイロード部とを有するデータパケットを受信するための受信機モジュールを備えるオーバレイ・トランシーバ装置（overlay transceiver）を提供する。このオーバレイ・トランシーバ装置は、受信したデータパケットの経路指定部からアンダーレイ・データソース（underlay data source）に関する情報を見つけ出すとともに、受信したデータパケットのペイロード部からアンダーレイ・ペイロード・データに関する情報を見つけ出すために、受信したデータパケットを解釈し、またオーバレイ・データソース（overlay data source）とオーバレイ・データ宛先（overlay data destination）に関する情報を見つけ出すために、アンダーレイ・ペイロード・データを解釈するためのパケット・インタープリタを更に備えている。このアンダーレイ・ペイロード・データは、オーバレイ・データソースとオーバレイ・データ宛先とに関する情報を有している。このオーバレイ・トランシーバ装置は、経路指定部の中にアンダーレイ・データソース（underlay data source）に関する情報を含むとともにペイロード部の中にオーバレイ肯定応答（overlay acknowledgement）に関する情報を含む肯定応答データパケット（acknowledgement data packet）を生成し、且つオーバレイ・トランシーバ装置のアイデンティティ（identity）に関する情報を含むとともにアンダーレイ・データ宛先（underlay data destination）に関する情報を含む経路指定部と、オーバレイ・データソースとオーバレイ・データ宛先とに関する情報を有するアンダーレイ・ペイロード・データを含むペイロード部と、を有する転送データパケット（forward data packet）を生成するためのコントローラ・モジュールを更に備えている。このオーバレイ・トランシーバ装置は、通知データパケットと転送データパケットとを送信するための送信機モジュールをさらに備えている。
【００１６】
本発明は、経路指定部とアンダーレイ・ペイロード・データを含むペイロード部とを有するデータパケットを受信するステップを含む、データを送受信する方法をさらに提供する。このデータを送受信する方法は、受信したデータパケットの経路指定部からアンダーレイ・データソースに関する情報を見つけ出すとともに受信したデータパケットのペイロード部からアンダーレイ・ペイロード・データに関する情報を見つけ出すために、受信したデータパケットを解釈し、またオーバレイ・データのソースとオーバレイ・データ宛先とに関する情報を見つけ出すために、アンダーレイ・ペイロード・データを解釈するステップをさらに備えている。このアンダーレイ・ペイロード・データは、オーバレイ・データのソースとオーバレイ・データ宛先とに関する情報を有している。さらに、このデータを送受信する方法は、経路指定部の中にアンダーレイ・データソースに関する情報を含むとともにペイロード部の中にオーバレイ肯定応答に関する情報を含む肯定応答データパケットを生成し、かつ経路指定部とペイロード部とを有する転送データパケットを発生するステップであって、転送データパケットの経路指定部は、オーバレイ・トランシーバ装置のアイデンティティに関する情報を含むとともにオーバレイ・データ宛先を含んでおり、転送データパケットのペイロード部は、アンダーレイ・ペイロード・データを含んでいる、ステップをさらに備えている。このアンダーレイ・ペイロード・データは、オーバレイ・データのソースとオーバレイ・データ宛先とに関する情報を有している。このデータを送受信する方法は、肯定応答データパケットと転送データパケットとを送信するステップをさらに備えている。
【００１７】
本発明は、信頼できないネットワークにおいて不正動作するノードあるいはブラックホールのノードを検出して、それらをバイパス（迂回）させるために、オペレータ制御されたノードの間で協働することにより、アドホック又はマルチホップ・ネットワークを安全にすることができるという知見に基づいている。この考え方は、実際のノードのネットワークを使用し、信頼できる通信経路がオーバレイ又は仮想ネットワークのホップの間に構築されるオーバレイの中に、仮想トポロジーを確立することに依存する。信頼性が信用されたオーバレイ・ノードの間のホップ当たりで保証されて、不正動作の検出時間及びその後の経路の再構築時間を短縮する。仮想のネットワーク・ノードにおいて仮想トポロジーを認識することにより、不正動作するノードを含む信頼できないネットワークを通る経路を識別することができ、かつ別の経路を使用することにより、これらの経路を迅速にバイパスすることができる。
【００１８】
本発明の利点は、提案された方法は、大きなクラスのあるいは一般的で強力な不正動作するノードを考慮する場合でも、信頼性が高いことである。仮想ネットワークのトポロジーを使用することにより、仮想ネットワーク・ノードは、信用できないアンダーレイ・ネットワークからどのような支援も要求せずに、不正動作するノードを短時間に検出してバイパスすることができる。本発明は、対応する経路指定プロトコルを用いて信頼できないアドホック・ネットワークを利用するため、これらの経路指定プロトコルは変更されないままである。信頼できないアンダーレイのアドホック・ネットワークは、オーバレイ仮想ネットワークのトポロジーを意識することはない。このため、本発明は信頼できないネットワークやその経路指定プロトコルに対していかなる変更も要求しない。
【００１９】
本発明の別の利点は、本発明はモデル又は能力に対する仮定を制限せずに、一般的な感覚でブラックホールを避ける又はバイパスすることである。このことは、不正動作の検出及び再経路指定（rerouting）を極めて短い時間で行うことにより達成される。その理由は、不正動作の経路検出及び再経路指定動作が仮想ネットワークのノードに基づいて行われる、すなわち全経路が信頼できないネットワークを通るのではなく、オペレータ制御された又は信頼できるノード間でのみ行われるからである。
【００２０】
本発明の実施形態は、下記の図面に関して詳細に説明される。
【発明を実施するための最良の形態】
【００２１】
図９は、３つのネットワーク・ノードａ、ｂ、及びｃを有するネットワークのシナリオを示している。図９は、ブラックホール・ノードがそのネットワークの隣接するノードをどのように欺く（fool）ことができるかを例証するために、２つのステップを示している。図９の左側に示されたステップ１では、ネットワーク・ノードａはデータパケットをネットワーク・ノードｂに送信し、ネットワーク・ノードｂにこのデータパケットを別のネットワーク・ノードｃに転送させる。図９のステップ１では、ネットワーク・ノードａの周囲の円は、ネットワーク・ノードａの送信範囲を示している。ネットワーク・ノードａの範囲から、ネットワーク・ノードｃはネットワーク・ノードａの送信範囲の外側にあるため、ネットワーク・ノードｃへ直接送信する経路はないことが分かる。ステップ１によれば、ノードｂは、ネットワーク・ノードａからの送信を受け取り、このパケットを受信したことを肯定応答（acknowledge）する。ネットワーク・ノードａは、潜在的なブラックホール・ノードｂがパケットの転送を傍受することによって不正動作（misbehave）をするかどうかをチェックする。
【００２２】
パケット転送のシナリオは、図９の右側のステップ２に示されている。ノードａを欺くために、ｂは例えば、上流のノードａには到達するが下流のノードｃには届かないような送信電力を適用するか又は指向性アンテナ（directional antenna）を使用することができる。図９のステップ２に例示するように、ネットワーク・ノードａは、ネットワーク・ノードｂがそのパケットを送信することを認識できるが、ネットワーク・ノードｃがネットワーク・ノードｂの範囲外であるため、ネットワーク・ノードｂはネットワーク・ノードａにより行われたデータ送信がネットワーク・ノードｃには届かないような範囲の送信電力を使用する。この実施例は、例えば、データパケットが隣接するネットワーク・ノードによって転送されることを傍受する、すなわち検証するメカニズムが実施されても、どのように不正動作するネットワーク・ノードｂがネットワーク・ノードａを欺くことができるかを示している。
【００２３】
指向性アンテナを用いることによって、図９に示したのと同様な攻撃を実行できる。すなわち、ネットワーク・ノードｂは、ネットワーク・ノードａに対するアンテナ利得がネットワーク・ノードｃに対するよりも高い指向性アンテナを使用して、図９に示したのと同様の効果を引き起こすことができる。これら２つの技術は、通信装置のハードウェア又はファームウェアを不正変更し得る。より単純なブラックホールの攻撃は、２つ又はより多くの連続した結託ノード（colluding node）によって行うことができる。ここで、上流のノードは、どのような経路エラーもトラフィックソースに報告しないで、パケットの配送故障をトラフィックソースが気付かないようにする。このことは、結託ノードの中の経路指定用のソフトウェアに対して簡単な変更を必要とする。
【００２４】
以下の３つのパラメータが、対抗手段（counter-measure）のコストを占める。
【００２５】
Ｔｄ：問題を診断するための時間、例えばエンドツーエンド肯定応答用のタイムアウトである。このタイムアウトは、経路長が長くなると増加する。
【００２６】
Ｔｌ：新しい経路要求を発行する前の時間制限であり、通常ネットワークが制御パケットで溢れるのを防ぐために使用される。
【００２７】
Ｔｒ：新しい経路を再確立するための時間である。Ｔｄと同様に、Ｔｒは経路長と共に増加する。ブラックホールのローカリゼイション（localization）は、経路が長くなるにつれて難しくなるため、ソースノードは新しい経路を確立する試みごとにＴｒを使用して、重複した経路を持たない（disjoint）ような新しい経路を容易に作ることができない。
【００２８】
これらのパラメータは、アドホック・ネットワークの性能を説明するために使用できる。
【００２９】
ブラックホールの攻撃の以前の説明は、経路指定又はパケット転送フェーズのみに関係した、すなわちトラフィックの流れがブラックホールを通過する場合は、パケットを破棄（drop）させる可能性がある。しかしながら、トラフィックの流れを引き込む機会が増加すると、不正動作するノードが、経路確立／更新情報をデータ転送フェーズの前に改ざんすることができる。このことは、例えば、ブラックホールを使用する経路の、測定され報告された長さを短くすることによって行うことができる。
【００３０】
図１は、本発明のオーバレイ・トランシーバ装置（overlay transceiver apparatus）１００の実施形態を示している。このオーバレイ・トランシーバ装置１００は、受信機モジュール１１０と、パケット・インタープリタ１２０と、コントローラ・モジュール１３０と、送信機モジュール１４０とを備えている。
【００３１】
オーバレイ・トランシーバ装置１００は、図１ｂに示されているように、データパケット１１５を受信するための受信機モジュール１１０を備えている。このデータパケット１１５は、経路指定部１１６とアンダーレイ・ペイロード・データ（ＵＬＰＤ：underlay payload data）１１８を含むペイロード部１１７とを有している。オーバレイ・トランシーバ装置１００は、図１ｂに示すように、受信したデータパケット１１５を解釈して、受信したデータパケット１１５の経路指定部１１６からアンダーレイ・データソース１２５に関する情報を見つけ出すためのパケット・インタープリタ１２０をさらに備えている。アンダーレイ・ペイロード・データ１１８は、オーバレイ・データソース１２６とオーバレイ・データ宛先（overlay data destination）１２７とに関する情報を有している。パケット・インタープリタ１２０は、アンダーレイ・ペイロード・データ１１８を解釈して、アンダーレイ・データソース１２６とアンダーレイ・データ宛先１２７とに関する情報を見つけ出すようになっている。
【００３２】
さらに、オーバレイ・トランシーバ装置１００は、図１ｂに示されている肯定応答データパケット（acknowledgement data packet）１３５を生成するためのコントローラ・モジュール１３０を備えている。この肯定応答データパケット１３５は、肯定応答データパケット１３５の経路指定部１１６内のアンダーレイ・データソース１２５と、ペイロード部１１７の中のオーバレイ・肯定応答１３６とに関する情報を含んでいる。コントローラ・モジュール１３０は、経路指定部１１６とペイロード部１１７とを有する転送データパケット（forward data packet）１３７をさらに生成するようになっている。この転送データパケット１３７は、経路指定部１１６の中に、オーバレイ・トランシーバ装置のアイデンティティ１３８とアンダーレイ・データ宛先１３９に関する情報を含んでいる。転送データパケット１３７は、ペイロード部１１７の中のアンダーレイ・ペイロード・データ１１８に関する情報、すなわちオーバレイ・データソース１２６とオーバレイ・データ宛先１２７とに関する情報を有するアンダーレイ・ペイロード・データ１１８をさらに含んでいる。オーバレイ・トランシーバ装置１００は、肯定応答データパケット１３５と転送データパケット１３７とを送信するための送信機モジュール１４０をさらに備えている。
【００３３】
本発明の１つの実施形態では、オーバレイ・ネットワーク・ノードは、例えば個々の署名又はオペレータの証明書を用いることによって、又は例えばオーバレイ・トランシーバ装置のアイデンティティ１３８を用いることによって互いを認証する。オーバレイ・ノードは随意的に暗号方法を使用して、アンダーレイ受信データパケット１１５の中でカプセル化された例えばオーバレイ・トランシーバ装置のアイデンティティ１３８をオーバレイ・ネットワークにおける隣接するノードに送信することができる。この暗号方法は、オーバレイ・ネットワーク・ノードの間に別のセキュリティのメカニズムを提供する。カプセル化及びカプセル化の解除（decapsulation）は互いに通信するためにオーバレイ・ノードの間で使用される、すなわちオーバレイ通信は、受信データパケット１１５のペイロード部１１７を用いてアンダーレイ・ペイロード・データ１１８の中において、ホップ当たりで行われる。このため、アンダーレイ・ネットワーク・ノードは、それぞれアンダーレイ・ネットワークに存在するアンダーレイ・ネットワーク・ノードの存在を全く意識しない。
【００３４】
本発明の１つの実施形態では、図１ｂに例示されるように、アンダーレイ・データ宛先１３９とアンダーレイ・データソース１２５とに関する情報を発見するために、パケット・インタープリタ１２０が受信されたデータパケット１１５の経路指定部１１６を解釈するように構成されている。この経路指定部は、アンダーレイ・データ宛先１３９とアンダーレイ・データソース１２５とに関する情報を含んでいる。
【００３５】
本発明の別の実施形態では、受信されたデータパケット１１５が図１ｃに示されているオーバレイ経路応答受信パケット（overlay route reply receive packet）１４５であるかどうかを調査するために、パケット・インタープリタ１２０は、受信されたデータパケット１１５のアンダーレイ・ペイロード・データ１１８を解釈するように構成されている。このオーバレイ経路応答受信パケットは、アンダーレイ・ペイロード・データ１１８の中にオーバレイ経路応答受信情報（overlay route reply receive information）１４６を有し、受信されたデータパケット１１５がオーバレイ経路応答受信パケット１４５である場合は、パケット・インタープリタ１２０は、このオーバレイ経路応答受信情報１４６を記憶するようになっている。
【００３６】
本発明の別の実施形態では、受信されたデータパケット１１５が図１ｃに示されているオーバレイ経路指定更新受信パケット（overlay routing update receive packet）１４７であるかどうかを調査するために、パケット・インタープリタ１２０は、受信されたデータパケット１１５のアンダーレイ・ペイロード・データ１１８を解釈するように構成されている。このオーバレイ経路指定更新受信パケット１４７は、アンダーレイ・ペイロード・データ１１８の中にオーバレイ経路指定更新受信情報（overlay routing update receive information）１４８を有し、受信されたデータパケット１１５がオーバレイ経路指定更新受信パケット１４７である場合は、パケット・インタープリタ１２０は、このオーバレイ経路指定更新受信情報１４８を記憶するように構成されている。
【００３７】
本発明の別の実施形態では、コントローラ・モジュール１３０は、図１ｃに示されるオーバレイ経路応答送信パケット（overlay route reply transmit packet）１５０を生成するように構成されている。このオーバレイ経路応答送信パケット１５０は、オーバレイ・トランシーバ装置のアイデンティティ１３８に関する情報を含み、アンダーレイ・ペイロード・データ１１８の中にオーバレイ経路応答送信情報１５１に関する情報を含んでいる。さらに、この送信機モジュール１４０は、オーバレイ経路応答送信パケット１５０を送信するように構成されている。
【００３８】
本発明のオーバレイ・トランシーバ装置１００の別の実施形態では、コントローラ・モジュール１３０は、図１ｃに示されるオーバレイ経路指定更新送信パケット（overlay routing update transmit packet）１５５を生成するように適構成されている。このオーバレイ経路指定更新送信パケット１５５は、オーバレイ・トランシーバ装置のアイデンティティ１３８に関する情報を含み、アンダーレイ・ペイロード・データ１１８の中にオーバレイ経路指定更新送信情報（overlay routing update transmit information）１５６に関する情報を含んでいる。さらに、この送信機モジュール１４０は、オーバレイ経路指定更新送信パケット１５５を送信するように構成されている。
【００３９】
本発明のオーバレイ・トランシーバ装置１００の別の実施形態では、図１ｃに示される受信機モジュール１１０は、アンダーレイ経路要求パケット（underlay route request packet）１６０を受信するように構成されている。このアンダーレイ経路要求パケット１６０は、アンダーレイ・トランシーバ装置のアイデンティティ１６１と経路要求用表示器（route request indicator）１６２とに関する情報を含んでいる。パケット・インタープリタ１２０は、アンダーレイ・トランシーバ装置のアイデンティティ１６１に関する情報を発見するために、アンダーレイ経路要求パケット１６０を解釈するように構成されている。コントローラ・モジュール１３０は、アンダーレイ経路要求パケット１６０を生成するように構成され、このアンダーレイ経路要求パケット１６０は、アンダーレイ・トランシーバ装置のアイデンティティ１６１と経路要求用表示器１６２とに関する情報を含んでいる。送信機モジュール１４０は、アンダーレイ経路要求パケット１６０を送信するように構成されている。
【００４０】
本発明の１つの実施形態では、オーバレイ・トランシーバ装置１００は、オペレータ制御されたネットワーク・ノードに対応している。前述した方法及びデータパケットにより、これらのオペレータ制御されたノードは、互いに信頼できるため、互いに確実に認証することができる。オーバレイ・トランシーバ装置１００又はオペレータ制御されたと呼ばれるノードと、信頼されていないネットワーク・ノードとから構成されるネットワークでは、オペレータ制御されたノードは、仮想ネットワークを形成することができる。オペレータ制御されたノードは、互いの間で不正動作するノードを識別することができる。ここで、不正動作するネットワーク・ノードは、例えば前述したようなブラックホールのアタッカーの任意の変形例である、パケットの配送を混乱させるネットワーク・ノードである。配送の混乱は、アドホック・ネットワークで頻繁に発生するように、正常な又は定期的なノードの移動の個々の切断によっても起こることに留意されたい。本発明は、データパケットのみを１００％吸収するブラックホールのアタッカーを見つけ出すことに限定されない。本発明は、例えばブラックホール、グレイホール及び利己的なノード（selfish node）など、トラフィック・パケットの全て又は一部を配送又は転送することに失敗した不正動作するノードの全ての種類を検出することができる。簡単にするために、本願では、これらの不正動作するノードを区別なくブラックホール又は不正動作するノードと呼ぶこととする。
【００４１】
本発明によれば、オペレータ制御されたノードは、協働する、ブラックホールを検出する、またそれらを効率的な方法でバイパス（迂回）することができる。図２は、ネットワーク・トポロジーの実施例を示している。図２に示されたネットワークには、黒の点で示され小文字でラベル表示された多数の信頼できないネットワーク・ノード２１０が含まれている。さらに、図２に示されたネットワークには、本発明の実施形態による多数のオペレータ制御されたノード、オーバレイ送信機装置２２０が存在している。このオペレータ制御されたノード２２０は、図２では大きな円で囲まれた黒い点で示されている。図２のオーバレイ・トランシーバ装置すなわちオペレータ制御されたノード２２０は、大文字でラベル表示されている。さらに、図２の実施例には、黒の円で示された不正動作するノード２３０が示されている。この不正動作するノードはノードｘである。通信経路すなわちネットワークリンクは、図２では実線で示され、一方別の経路は点線で示されている。例えば、ノードＳがデータをノードＤに送る場合、信頼できないネットワークを使用する必要がある場合は、データの移送は、途中の可能な他のオペレータ制御されたノード２２０に沿って行われる。
【００４２】
図２に示された実施例では、オペレータ制御されたノード２２０は、互いを発見する必要がある。このことは、アンダーレイ経路要求パケット１６０とオーバレイ経路応答パケット１４５、１５０とを用いて行われる。例えば、図２に示された実施例を参照すると、オペレータ制御されたノードＳは、経路要求パケット１６０を特別な存在しない宛先に対して送信する。存在を表す及び存在をなくすような隣接するオペレータ制御されたネットワーク・ノード２２０を発見するために、これは最初、例えばノードＳが初めに電源を入れたときに又は頻繁に行うことができる。経路要求パケット１６０の中に示された特別な存在しない宛先のノードＳは、アンダーレイ・トランシーバ装置のアイデンティティ１６１に対応している。これは、例えば、アンダーレイ・ネットワークではどこにも使用されていないアンダーレイ・トランシーバ装置のアイデンティティ１６１とすることができる。それで、アンダーレイ・ネットワーク・ノード２１０は、潜在的な宛先に対してこのパケットを経路指定するために、このパケットを転送するが、本発明の１つの態様によれば、これが発見されることはない。しかしながら、オペレータ制御されたノード２２０は、この特別なアンダーレイ・トランシーバ装置のアイデンティティ１６１に反応するようになっている。オペレータ制御されたノード２２０の観点からすると、特別なアンダーレイ・トランシーバ装置のアイデンティティ１６１は、経路要求を送信する別のオペレータ制御されたノード２２０を示して、オペレータ制御されたノード２２０のみの間で仮想ネットワークを設定することを求める。アンダーレイ経路要求パケット１６０は、アンダーレイ・ネットワークの中では同報通信（broadcast）である。こうしたアンダーレイ経路要求パケット１６０は、アドホック・ネットワークでは所定の宛先に対する経路を発見するための標準的な技術である。
【００４３】
別のオペレータ制御されたノード２２０、例えば図２に示した実施例では、ノードＡがこの特別な経路要求を受け取ると、それは特別なアンダーレイ・トランシーバ装置のアイデンティティを用いて従来の存在しない宛先に送信されるため、ノードＡはアンダーレイ経路要求パケット１６０に対してオーバレイ経路応答パケット１５０を用いて応答する。図２に示された実施例では、ノードＡは、オーバレイ経路応答送信パケット１５０を生成し、それをネットワーク・ノードＳに送信する。オーバレイ経路応答パケット１４５及び１５０はオーバレイ・パケットであるため、それらはアンダーレイに対しては見えない、そして、それらは、アンダーレイでカプセル化されてユニキャストの方法で送信される。本発明の実施形態によれば、オペレータ制御されたネットワーク・ノード２２０Ｓは、オーバレイ経路応答受信パケット１４５をオペレータ制御されたノード２２０Ａから受け取る。オーバレイ経路応答受信パケット１４５をネットワーク・ノードＡから受け取った後では、ネットワーク・ノードＳは、アンダーレイ・ネットワークでは幾つかの信頼できないネットワーク・ノード２１０が中に存在しているが、ネットワーク・ノードＡがそのオーバレイにおける隣接するノードであることを知ることになる。本発明の実施形態によれば、オペレータ制御されたノード２２０Ｓは、経路指定テーブルを更新する。この方法を通して、仮想のオペレータ制御されたネットワークが確立される。本発明の別の実施形態では、オペレータ制御されたネットワークは、仮想ネットワーク上の次のホップの隣接するノードのみにオーバレイ経路応答送信パケットを送信させて、アンダーレイ経路要求パケット１６０でネットワークが溢れるのを避けるために、オーバレイ経路応答送信パケット１５０を用いて応答する場合は、アンダーレイ経路要求パケット１６０をこれ以上転送しない。
【００４４】
オペレータ制御されたネットワーク・ノード２２０は、定期的に互いに更新するようになっている。規則的な更新は、オーバレイ経路指定更新パケット１４７、１５５を用いて、互いに自身の経路指定テーブルを送信することによって実行される。これらの更新値を受信及び評価する場合は、各オペレータ制御されたノード２２０は、オーバレイ・ネットワークのトポロジーに対して所与のビジョンを構築する。上述した方法は、文献の中では周知のいわゆるリンク状態の経路指定からなる。本願では、それはオーバレイ・ネットワークのみで使用されて、任意のアンダーレイ・ネットワークで適当な隣接するノードを発見できるようにする。特別な経路要求、すなわち特別なアンダーレイ経路要求用表示器１６２を用いることにより、オペレータ制御されたノード２２０は互いに発見することができる。アンダーレイ・ネットワークすなわち信頼できないネットワーク・ノード２１０の間で使用される経路指定方法すなわち経路指定プロトコルは、アンダーレイ・ネットワークではオーバレイ・ネットワークの中で生じる上述されたメカニズムが認識されると想定されないため、本発明の主題ではない。このため、場合によっては、どのような経路指定プロトコルメカニズムもアンダーレイ・ネットワークで使用できるため、これ以上の仮定を行う必要はない。
【００４５】
オーバレイ・ネットワークでは、トポロジー認識可能な経路指定プロトコル（topology-aware routing protocol）、例えばリンク状態経路指定（link state routing）手段が使用される。図２の実施例では、ソースノードＳはパケットを宛先ノードＤに送信し、仮想トポロジー、例えばＳ−Ａ−Ｂ−Ｃ−Ｄの順をたどる。実際のネットワークすなわち信頼できないネットワーク・ノード２１０を含むネットワークでは、仮想ネットワークパケットがそれぞれカプセル化されて、仮想ネットワークのホップごとに送信される。これらのカプセル化されたパケットは、使用する場合はカプセル化が解除されてアドホック経路指定プロトコルのパケットとなる。実際のネットワークでは、パケットは一連のエンドツーエンドの実際のネットワーク経路、例えばＳ−ｍ−ｎ−Ａ、次にＡ−ｘ−Ｂ、次にＢ−ｐ−Ｃ、次にＣ−ｔ−Ｄの経路を流れる。そらは全て一緒に、仮想トポロジーすなわちＳ−Ｄではエンドツーエンドの経路を形成する。
【００４６】
図２に示された実施例では、オペレータ制御されたノード２２０Ｓは、そのネットワークに対するビジョンに基づいて、どの経路がオーバレイ・ネットワークでノードＤに行くかを調査する。図２によれば１つの経路が、オペレータ制御されたノード２２０Ａ、Ｂ、Ｃ次にＤの順に進む。アンダーレイ・ネットワークでは、幾つかのアンダーレイ・ノード２１０が、ＳとＡ、ＡとＢ、ＢとＣ、及びＣとＤとの間に存在する。
【００４７】
パケットをＳからＤに送信するためには、Ｓはそのパケットをそのアンダーレイ（下位層）に渡す。アンダーレイは、パケットをアンダーレイ・パケットの中にカプセル化して、それをＡに送信する。Ａがパケットを受信した後で、Ａはそれをカプセル化解除して次のホップを確認し（次のホップはＢである）、それをアンダーレイに渡して（アンダーレイはそれを再度カプセル化する）Ｂに送信する。オペレータ制御されたノード２２０Ｂ及びＣでは、同様のステップが行われる。次のオーバレイのホップの情報は、アンダーレイ・ペイロード・データ１１８の中で搬送されるため、アンダーレイには見えない（図１ｂ及び図１ｃを参照のこと）。
【００４８】
本発明の１つの実施形態では、オペレータ制御されたネットワーク・ノード２２０は、他のオペレータ制御されたノード２２０と経路情報を交換することによって、経路情報の異常を調査するようになっている。これは、オーバレイ経路指定更新パケット１４７、１５５を利用して実行される。経路指定の異常は、例えば、第１のオペレータ制御されたネットワーク・ノード２２０が第２のオペレータ制御されたネットワーク・ノード２２０に直接接続を有する、すなわち第１のオペレータ制御されたネットワーク・ノード２２０は第２のオペレータ制御されたネットワーク・ノード２２０の直接接続の範囲にあると報告することである。第１のオペレータ制御されたネットワーク・ノード２２０が第２のオペレータ制御されたネットワーク・ノード２２０との直接接続動作を有しない場合は、経路指定テーブルの中に相違がある。これは、例えば、間にある不正動作するノードによって引き起こされて、第２のオペレータ制御されたネットワーク・ノード２２０の範囲を拡大するが、第１のオペレータ制御されたネットワーク・ノード２２０の範囲は広げない。
【００４９】
本発明の別の実施形態では、オペレータ制御されたネットワーク・ノード２２０は、ブラックホール、すなわちパケットを転送しないノードを調査するようになっている。これはオーバレイ・ネットワーク上で、ホップ・パー・ホップ（hop-per-hop）ベースで行われる。これを行う１つのやり方は、全てのオーバレイ・ノードに対してオーバレイ・パケットを受け取ったことを肯定応答（acknowledge）させることである。図２に示した実施例では、このことは、ＡがＳに肯定応答し、Ｂがデータパケットを受け取ったことをＡに肯定応答し、ＣがＢに肯定応答し、またＤがＣに肯定応答することを意味する。例えば、ノードＡが肯定応答をＢから受け取らない場合は、Ａは間にブラックホールを検出したので、Ｂへの別の経路を使用することを試みる。図２では、これは、この場合不正動作するノードであるノードｘを通る経路によって示されている。しかしながら、ノードｘは、ラベル表示がｏの信頼できないネットワーク・ノード２１０を通る経路によって置き換えられる。ブラックホールが検出されると、オペレータ制御されたノードは、仮想ネットワークの中で同じ次のホップに対して別の経路を調査する。図２では、Ａはｘを通ってＢに向かう経路はどこかおかしいことを発見したため、Ａはパケットをノードｏを通って送ることができるかどうかを調査する。
【００５０】
別の経路が利用できない又は見つからない場合は、オペレータ制御されたネットワーク・ノード２２０は、仮想ネットワークの別の経路を使用するようになっている。図２に示された実施例では、そのことは、信頼できないネットワーク・ノード２１０ｏを通る経路が機能しない又は存在しない場合は、すなわちＢからの肯定応答が受信されない場合は、オペレータ制御されたネットワーク・ノード２２０Ａは、Ｅを通る経路をまだ使用できることを意味する。これは、オーバレイ・ネットワーク内の経路の変化に対応する。さらに、その場合は、ネットワーク・ノードＡは、自身の経路指定テーブルを最新のものに維持するために、更新し、また仮想ネットワークの他のオペレータ制御されたノード２２０に通知（inform）することになる。このことは、オーバレイ経路指定更新パケット１４７、１５５を交換することによって行われる。実施例では、オペレータ制御されたノード２２０Ａは、全てのオーバレイ・ノード、すなわち仮想ネットワークの全てのオペレータ制御されたノード２２０にＡとＢとの間で何かが悪いことを伝えるため、どのオペレータ制御されたノード２２０もオーバレイ・トポロジーのＡとＢとの間のセグメントを含む経路を使用しないであろう。
【００５１】
オペレータ制御されたノード２２０は、互いの間の多数の経路に関する局所的なトポロジー情報を交換する。オペレータ制御されたノード２２０は、仮想ネットワークの中の次のオペレータ制御された隣接するノードに関する情報を交換する。これにより、オペレータ制御されたネットワーク・トポロジーに関するそれら自身の見解を向上させることができる。これは、例えば全ての周知のオペレータ制御されたネットワーク・ノード２２０に対する全ての経路を含む、それらの経路指定テーブルを交換することによって実行される。経路指定テーブルを他のオペレータ制御されたネットワーク・ノード２２０から受け取ることによって、オペレータ制御されたネットワーク・ノード２２０は、他のオペレータ制御されたネットワーク・ノード２２０に対する経路を引き出すことができ、また仮想ネットワーク・トポロジーを発見することもできる。上述したように、このメカニズムにより、トラフィックを引き起こすために、間違った経路の告知（advertisement）すなわち情報を使用するブラックホールを検出することができる。
【００５２】
図３は、この事例に関する実施例のシナリオである。図３は、２つのオペレータ制御されたネットワーク・ノード２２０Ａ及びＢを示している。さらに、図３は、信頼できないネットワーク・ノード２１０ｖと、不正動作するネットワーク・ノード２３０ｘと、別の信頼できないネットワーク・ノード２１０ｗとを通過する、ＡからＢへの経路を示している。さらに、図３では、２つの信頼できないネットワーク・ノード２１０ｏ及びｕを通る、ＡとＢとの間の別の経路が存在している。不正動作するネットワーク・ノード２３０ｘは、図２に示されたネットワークによれば、経路の告知をＡに送信して、例えばＥに対する近道を有していることをＡに知らせることができる。Ａ、Ｂ及びＥが自身の隣接するノードに関する情報を交換する場合、Ａはそのような不正確な告示を見破ることができ、ＡからＢに向かう経路はブラックホールｘを通過するように特定することができる。
【００５３】
パケットを転送する間に、すなわちオペレータ制御されたネットワーク・ノード２２０がデータパケットを別のオペレータ制御されたネットワーク・ノード２２０に転送するときに、複数のブラックホール検出技術を仮想トポロジーの全てのホップ上で使用することができる。本発明の別の実施形態では、仮想ネットワークのホップごとの肯定応答（per-virtual-network-hop acknowledgement）を全てのパケット又は全てのパケットのグループに対して使用することができる。この場合は、オーバレイ・トランシーバ装置１００は、肯定応答データパケット１３５を転送された全てに対して応答として送信する。転送されたパケットは転送データパケット１３７に一致して、次の仮想ネットワーク・ノードである次のオーバレイ・トランシーバ装置１００がそれぞれ別の肯定応答データパケット１３５と共に転送データパケット１３７を通知できるようにする。そのような通知が紛失する場合、上流のオペレータ制御された隣接するノードは、２つのオペレータ制御されたノード２２０の間にブラックホールが存在すると推測し、またこの経路は損傷していると想定する。
【００５４】
例えばノードが移動することによる通常の経路の破損は、ブラックホールの種類／構成にもよるが、アンダーレイのアドホク経路指定プロトコル（ad hoc routing protocol）によって特定することができる。本発明の別の実施形態では、オペレータ制御されたネットワーク・ノード２２０は、パケットのグループごとに肯定応答データパケット１３５を送信するため、ホップごとの肯定応答メカニズムによって生じたデータトラフィックのオーバーヘッドは、転送データパケット１３７のグループが同時に通知されるため小さくなる。同時に通知される転送データパケットの数は、ネットワークの負荷、オペレータ制御されたノードの密度などに基づいて最適化することができる。
【００５５】
同じ仮想ネットワークのホップ上に別の経路を見つけることは、使用中のアンダーレイのアドホック経路指定プロトコルとオペレータ制御されたノード２２０の能力とに依存する。例えば、経路発見フェーズ中にＡＯＤＶ（ＡＯＤＶ＝アドホック・オンデマンド距離ベクトル形経路指定方式）を用いて、Ａはｏ及びｘからの両方の経路応答（Ｂに送信された経路要求）を記憶する必要がある。このことは、現在のＡＯＤＶプロトコルでは提供されていない。こうした随意的な能力は、オペレータ制御されたネットワーク・ノード２２０の中でのみ実行される。通常の経路の破損及びアンダーレイのアドホック経路指定プロトコルによる適切な識別が行われる場合は、ＡからＢまでの新しい明確な別の経路を再度確立することが一層容易になされる。
【００５６】
本発明は、使用する検出手段、仮想ネットワークのホップ当たりの肯定応答又は任意の他の解決策に関係なく、仮想ネットワークのホップ当たりの経路に対して実際のネットワークのエンドツーエンドの経路を短くすることにより、例えば、肯定応答に対するタイムアウトの検出を相当早くするという利点を提供する。このことは、Ｔｄを減らすことによって、全経路を再確立する工程の遅延を短縮するのに役立つ。
【００５７】
本発明の別の顕著な利点は、全てのネットワーク・ノードではなくオペレータ制御されたネットワーク・ノード２２０のみを交換して、他の実際のネットワークの経路を選択できる選択肢があることである。仮想のオペレータ制御されたネットワーク上の別の経路を用いることは、実際のネットワークの中で使用されるアドホック経路指定に対して、トポロジーを意識した経路指定を重ね合わせることにより可能である。このことは、エンドツーエンドの経路のセグメントのみが再確立され、セグメントの経路は一般に短いため、経路再確立時間Ｔｒを短縮する。このオーバレイの情報なしで、すなわち、例えばＡＯＤＶを用いる通常のアドホック・ネットワークの中で、ソースは、一般に長く、そして恐らく同じブラックホールを再度通過する、すなわち複数のＴｄ＋Ｔｒを使用して、新しい経路を再確立しようとする。
【００５８】
本発明の別の利点は、他のオペレータ制御されたネットワーク・ノードからの新しいトラフィックの流れは、オペレータ制御されたネットワーク・ノード２２０が互いの間で交換するリンク状態情報（link state information）のために、前に検出されたブラックホールを通らないということである。このことは、不正動作するノードが大まかに配置されていても、検出時間及び経路再確立時間を短くすることになり、フラットなアドホック・ネットワークに対し別の相当な向上である。
【００５９】
本発明の別の利点は、実際のネットワークでエンドツーエンドの通知を送るという従来の解決策と、信頼されないネットワークの中のノードに対して独特な解決策とを比較するときに生じる。しかしながら、オペレータ制御されたネットワーク・ノード２２０は、攻撃を受ける場合のネットワークの性能を向上させる強力な手段を提供するため、オペレータ制御されたノードは不正動作しないとみなされる。この向上は、仮想ネットワーク上でホップごとに肯定応答を使用するというコストのもとで行われる。すなわち、ノードによって送信又は転送されたそれぞれパケットのグループの各パケットは、本発明の実施形態では、仮想ネットワークにおける下流側の隣接するノードによって通知を受ける。
【００６０】
通常のネットワーク・ノードが不正動作するノードとして検出される場合、偽陽性（false positive）が発生する。本発明の１つの実施例では、ブラックホールに対する調査が、仮想ネットワークのホップごとの肯定応答を用いて行われる。これらの肯定応答がないことは、例えばノードが離れてしまったこと、リンクが遮断されたこと、ノードの故障又は単にバッテリーのエネルギーがないことなどの、受信時の問題が生じた可能性がある。さらに、それらは、例えばチャネルが渋滞していること、無線リンクのキューが積み重なってパケットが破棄されたこと、又は不正動作するノードが２つのオペレータ制御されたネットワーク・ノード２２０の間の経路に存在することなど、送信時の問題に起因する可能性がある。全てのこれらの事例には、パケットが配送されないために肯定応答が行われないという同じ結果がもたらされる。しかしながら、アドホック経路指定プロトコルは、最初の２つの事例に対して診断メッセージを提供する。ノードがパケットを受け取ると、ノードはＭＡＣ（ＭＡＣ＝媒体アクセス制御（Medium Access Control））層においてそれを肯定応答する。ＭＡＣ通知が受信されない場合は、上流側のノードは肯定応答を受けるまでフレームを再送信するか、又はソースに対して経路破損メッセージを送信する。ノードがそのインターフェースのキューでパケットを送信できない場合は、ノードはネットワークが連絡可能ではない、すなわち初期の経路の設定及び経路の更新において経路要求に対して応答しないと報告するか、又は何らかの理由で、すなわち共有のチャネルがビジーのためにパケットを受け取ることができないと報告する。
【００６１】
このため、何らかの経路エラーが無くて仮想ネットワークのホップごとの肯定応答がないことは、経路上に不正動作するノードがあるという信頼できる指標である。不正動作するノードは、たった１つの肯定応答でないパケットの後では検出されることはない。ノードは、パケットを受け取った直後に、パケットをさらに経路上で転送せずに移動することができる。例えそのような事象がまれであっても、不正動作するノードが単独で検出されることはない。本発明の別の実施形態では、応答されていないパケットの小さい閾値が容認され、これにより一方では偽陰性（検出されないで不正動作するノード）を僅かに増加させるが、他方ではネットワーク内の移動するノードが考慮される。
【００６２】
ＳとＤとの間（Ａ、Ｂ及びＣを経由する）のトラフィックに対する経路確立フェーズの間に、図２に示されたネットワークを再び検討すると、ｘがＡからＢへの経路情報を唯一妨害することができるので、オーバレイはその不正動作の能力を相当限定している。ＡからＢへの経路要求に対して、ｘがＡからＢへのホップカウント（hop count）を小さくする場合は、ＡとＢとの間で交換される経路情報は、経路内のどこかの不正動作するノードを検出するのに役に立つ。不正動作するノードの経路上の正確な位置は検出することはできないが、不正動作する経路を信頼性高く検出することができ、このため不正動作する経路を回避することができる。ブラックホールが、例えば図３のＡ−ｖ−ｘ−ｗ−ＢのようなＡとＢとの間の３つのホップよりも多い経路上に存在する場合、使用中のアドホック経路指定プロトコルがＡＯＤＶであることを考慮すると、Ａはｖのみを見て、またＢはｗだけを見るため、ｘはホップカウントを２つのホップまで減らすことができる。ｘが成功する可能性は、ネットワークの密度が増加するにつれて、またオペレータ制御されたネットワーク・ノード２２０の数が増加するにつれて減少する。いかなる場合でも、ブラックホールの検出はデータ転送フェーズの間になおも保証される。図９に示すように、ｘはその送信能力とその受信機の感度を増加させて、例えばＡからＢまでを２つのホップまでのより短い経路を実際的に作ることができる。レガシーのＡＯＤＶを用いても、この攻撃は経路確立フェーズでは検出されないが、最終的にデータ転送フェーズで検出される。攻撃の検出を全面的には保証しないが、経路確立フェーズの間で検出することは、診断時間Ｔｄと再経路指定時間Ｔｒとを減らすことに依然として役に立つ。
【００６３】
図２に示された実施例及び本発明の別の実施形態によれば、データ転送フェーズ中に、オペレータ制御されたネットワーク・ノード２２０Ｓは、オペレータ制御されたネットワーク・ノード２２０Ｄにパケットを送信するようになっている。仮想ネットワークでは、パケットは経路Ｓ−Ａ−Ｂ−Ｃ−Ｄの順に従う。アンダーレイ・ネットワークでは、すなわち信頼できないアドホック・ネットワークでは、パケットはＳでカプセル化されてＡに送信される。このＡは、ｍ及びｎを経由するアンダーレイ・ネットワークでは最後の宛先である。パケットをカプセル解除した後で、Ａはパケットを受信したことをＳに肯定応答する。今度は、Ａがパケットをカプセル化して、それをブラックホールのｘを経由してＢに送る。Ｂからの肯定応答を受信することがタイムアウトした後で、ＡはブラックホールがアンダーレイのＢへの信頼できない経路上に存在すると推測する。Ａはできる限りパケットをノードｏを経由して再送する。Ｂからの肯定応答が受信されない場合、又は例えばあたかもノードｏが移動し去ったように経路の切断を検出した場合は、Ａは同じパケットをカプセル化して、それをｒを経由してＥに送信する。
【００６４】
Ｅは肯定応答をＡに送り戻し、そしてＡは新しいトポロジーと、不正動作するノードのおよその位置、すなわちＡとＢとの間といった位置との情報を更新し、またそれを他のオペレータ制御されたネットワーク・ノード２２０に通知する。同じ方法論を用いて、パケットはＥからＣに、次にＤに進む。オペレータ制御されたノードがない場合、すなわち、例えばＡＯＤＶを用いるフラットなアドホック・ネットワークの場合は、ソースはＤからの肯定応答がタイムアウトした後で、ネットワークの中のどこかで不正動作するノードを検出する。そのようなエンドツーエンドのタイムアウト検出遅延Ｔｄは、ＡとＢとの間の前述したタイムアウトよりもかなり大きい。不正動作を検出した後で、オペレータ制御されたネットワーク・ノード２２０Ｓは、Ｄへの新しい経路、ブラックホールを通過しない「ホッピング」を再確立しようとする。ＳからＤに経路を再確立することは、ＡがＢへの別の経路を再確立する場合よりも遙かに長い時間Ｔｒがかかる。さらに、仮想ネットワークの情報を使用すれば、オペレータ制御されたネットワーク・ノード２２０Ａは、ブラックホールＸを通過することを避けることができ、これにより、例えばＥを通る、現在のプロトコルを変更しないフラットなアドホック・ネットワークの中では行うことが困難な操作に変更（redirect）することができる。
【００６５】
図４は、本発明の別の実施形態を示している。図４は、点線の円で示されたプロバイダ制御されたノード２２０と、実線の円で示されたそれぞれ未知の又は信用されない信頼できないノード２１０とから構成するアドホック・ネットワークを示している。図４は、ラップトップ及び携帯電話などのモバイル機器から構成するアドホック・ネットワークがどのようにアドホック又はマルチホップ・ネットワークを一緒に形成するかを例示している。
【００６６】
図５は、別のネットワークの実施例を示している。この実施例では、信頼できないネットワーク・ノード２１０は灰色の円で示され、またオペレータ制御されたネットワーク・ノード２２０Ｓ、Ａ、Ｂ、Ｃ、Ｐ及びＤから構成されている仮想ネットワークは、黒の円で示されている。仮想ネットワーク内の経路は、オペレータ制御されたネットワーク・ノード２２０の間の両側矢印（double-sided arrow）によって示されている。
【００６７】
図６は、図５に示したものと同じネットワークを示しているが、仮想ネットワーク層は、ネットワーク全体の上部に別個に示されている。図６は、信頼できないネットワーク・ノード２１０を含む信頼できないネットワーク層と、オペレータ制御されたノード２２０を含む信頼できるネットワーク層とを示している。さらに、矢印６１０は、ソースノードＳと宛先ノードＤとの間のネットワークを通る経路を示している。さらに、同じネットワーク経路が、ネットワークの信頼できない部分を通る矢印６２０によって与えられている。仮想ネットワーク経路の中では、ホップ・バイ・ホップの肯定応答が可能にされる。これは、個々の仮想ネットワーク・ノードの間の矢印６３０によって示されている。
【００６８】
図７は、不正動作するノードｘ２３０を有するアンダーレイ・ネットワークの実施例を示している。図７の矢印は、悪質なノードｘを通る複数の経路及び不正動作するノードｘの周りの経路があることを示している。例えば、ＳとＡとの間に２つの経路があり、Ｓは不正動作するノードｘを通る経路を使用するが、Ａから所定の時間内に何ら肯定応答を受け取らない場合は、それは、例えばタイマ又はトリガを用いて実現できるが、Ｓはさらに不正動作するノードｘを通る経路を使用することができる。
【００６９】
本発明の別の実施形態は、図８に示されている。図８は、図６で示されたものと同様のネットワークのシナリオを示している。しかしながら、図８は、どのように悪質なネットワーク・ノードｘ２３０をホップＰとＤとの間で回避することができるかを実証している。オペレータ制御ｓれたネットワーク・ノード２２０のＰとＤとの間の不正動作するノードｘが不正動作を開始すると、Ｐは転送されたデータパケットに対する肯定応答データのパケットを受け取っていないため、Ｐでタイムアウトが発生する。中断された肯定応答の経路は、図８ではクロス矢印（crossed arrow）８００で示されている。本発明では、ネットワーク全体を通る完全に新しい経路を形成する代わりに、ネットワーク・ノードＰは、ネットワーク・ノードＤに対して信頼できないネットワーク・ノード８１０及び８２０を通る別の経路を使用して、不正動作するノードｘを避けることができる。
【００７０】
本発明は、経路内に含まれる全てのノード間で高価な認証を行う必要がないという利点を提供する。現在のアドホック経路指定プロトコルを変更する必要はなく、複雑な評判システムは必要ではなく、またエンドツーエンドの肯定応答も必要ではない。本発明は、アンダーレイの経路指定プロトコルから独立している。アンダーレイのプロトコルは、本発明によれば、どのようなオーバレイ・トランシーバ装置をも意識しない。取り入れられた検出−再経路指定アルゴリズムは、オペレータ制御されたネットワーク・ノード２２０によってのみ使用される。本発明は、エンドツーエンドの経路を短縮し、すなわち仮想ホップごとの肯定応答方式を取り入れ、そして不正動作するノードに対する検出時間とその後の経路再確立の遅延時間とをかなり減らして、これにより全体のリカバリ工程を相当早くすることができる。
【００７１】
本発明の実施形態の別の利点は、別の攻撃に対する他の現在の解決策はオーバレイ・ノードの中だけで行うことができ、全てのネットワーク・ノードすなわちアンダーレイ及びオーバレイ・ノードを変更することはもはや必要とされないので、プロトコルのオーバーヘッドを小さくすることができる。
【００７２】
本発明と信頼できないＭＡＣ上で動作するＴＣＰ（ＴＣＰ＝伝送制御プロトコル）との間には、類似性を見つけることができる。パケットが衝突して失われたときに、ＭＡＣの肯定応答が存在しないで、信頼性をＴＣＰによって与えられるままにする場合は、ＴＣＰのソースは長いエンドツーエンドの経路とその対応する遅延を考慮すると、かなり長い期間の後でタイムアウトになる。ＭＡＣの肯定応答により、本発明の中でオペレータ制御されたネットワーク・ノード２２０がまさに行う方法である急速で局所的な再送信又は局所的な修復が行なわれる。しかしながら、なおも著しい相違が存在する。その理由は、ＴＣＰのアプリケーションの中でＭＡＣの肯定は隣接するネットワーク・ノードの間で行われるのに対して、本発明の実施形態では、幾つかの数の専用のオペレータ制御されたネットワーク・ノード２２０が長いエンドツーエンドの経路をサブパス（subpath）に細分し、それらは仮想ネットワークの中でのみホップごとの肯定応答によって個別に安全にされるからである。ホップごとの肯定応答は、オペレータ制御されたネットワーク・ノード２２０の間でのみ行われるため、もたらされたプロトコルのオーバーヘッドは、オペレータ制御されたネットワーク・ノード２２０の間はサブパスに沿った通常のネットワーク・ノードの数を仮定できるため、全てのネットワーク・ノード間のホップごとの肯定応答から結果として生ずるプロトコルのオーバーヘッドよりも遙かに小さい。
【００７３】
本発明による方法の幾つかの実施形態に関する要件に依存するが、本発明の方法は、ハードウェア又はソフトウェアの中で実現することができる。この実施形態は、本発明の方法が実行されるようにプログラム可能なコンピュータシステムと協働するディジタル記憶媒体、特に中に記憶された電子的に読取り可能な制御信号を有するディスク、ＤＶＤ、ＣＤを用いて行うことができる。従って、本発明は全体的に、コンピュータが読取り可能なキャリア上にプログラムコードが記憶されたコンピュータプログラム製品である。このプログラムコードは、コンピュータプログラム製品がコンピュータ上で実行される際に本発明による方法を実行する。言い換えると、本発明の方法はこのように、コンピュータ上で実行される際に本発明の方法の少なくとも１つを実行するためのプログラムコードを有するコンピュータプログラムである。
【図面の簡単な説明】
【００７４】
【図１ａ】本発明のトランシーバ装置の実施形態を示している図である。
【図１ｂ】本発明のデータパケットの実施形態を示している図である。
【図１ｃ】本発明のデータパケットの実施形態を示している図である。
【図２】本発明のオーバレイ・ネットワークの実施形態を示している図である。
【図３】不正動作するノードの検出を例示する本発明の実施形態を示している図である。
【図４】仮想トポロジーの別の実施形態を示している図である。
【図５】本発明のネットワーク・トポロジーの実施形態を示している図である。
【図６】本発明のアンダーレイ及びオーバレイ・ネットワーク・トポロジーの実施形態を示している図である。
【図７】不正動作するノードがあるアンダーレイ・ネットワークを示している図である。
【図８】本発明のネットワーク・トポロジーの別の実施形態を示している図である。
【図９】ブラックホールのアタッカーの実施例を例示している図である。
【符号の説明】
【００７５】
１００  オーバレイ・トランシーバ装置
１１０  受信機モジュール
１１５  データパケット
１１６  経路指定部
１１７  ペイロード部
１１８  アンダーレイ・ペイロード・データ
１２０  パケット・インタープリタ
１２５  アンダーレイ・データソース
１２６  オーバレイ・データソース
１２７  オーバレイ・データ宛先
１３０  コントローラ・モジュール
１３５  肯定応答データパケット
１３６  オーバレイ肯定応答
１３７  転送データパケット
１３８  オーバレイ・トランシーバ装置のアイデンティティ
１３９  アンダーレイ・データ宛先
１４０  送信機モジュール
１４５  オーバレイ経路応答受信パケット
１４６  オーバレイ経路応答受信情報
１４７  オーバレイ経路更新受信パケット
１４８  オーバレイ経路更新受信情報
１５０  オーバレイ経路応答送信パケット
１５１  オーバレイ経路応答送信情報
１５５  オーバレイ経路更新送信パケット
１５６  オーバレイ経路更新送信情報
１６０  オーバレイ経路要求パケット
１６１  オーバレイ・トランシーバ装置のアイデンティティ
１６２  経路要求用表示器
２１０  信頼できないネットワーク・ノード
２２０  オーバレイ・トランシーバ装置／オペレータ制御されたネットワーク・ノード
２３０  不正動作するノード
６１０  仮想ネットワーク内のＳとＤとの間の通信経路
６２０  信頼できないネットワークを通るＳとＤとの間の通信経路
６３０  肯定応答の経路
８００  中断された通知の経路
【図１ａ】
2008048385.tif 000003
【図１ｂ】
2008048385.tif 000004
【図１ｃ】
2008048385.tif 000005
【図２】
2008048385.tif 000006
【図３】
2008048385.tif 000007
【図４】
2008048385.tif 000008
【図５】
2008048385.tif 000009
【図６】
2008048385.tif 000010
【図７】
2008048385.tif 000011
【図８】
2008048385.tif 000012
【図９】
2008048385.tif 000013
【外国語明細書】
2008048385.tif 000014
2008048385.tif 000015
2008048385.tif 000016
2008048385.tif 000017
2008048385.tif 000018
2008048385.tif 000019
2008048385.tif 000020
2008048385.tif 000021
2008048385.tif 000022
2008048385.tif 000023
2008048385.tif 000024
2008048385.tif 000025
2008048385.tif 000026
2008048385.tif 000027
2008048385.tif 000028
2008048385.tif 000029
2008048385.tif 000030
2008048385.tif 000031
2008048385.tif 000032
2008048385.tif 000033
2008048385.tif 000034
2008048385.tif 000035
2008048385.tif 000036
2008048385.tif 000037
2008048385.tif 000038
2008048385.tif 000039
2008048385.tif 000040
2008048385.tif 000041
2008048385.tif 000042
2008048385.tif 000043
2008048385.tif 000044
2008048385.tif 000045
2008048385.tif 000046
2008048385.tif 000047
2008048385.tif 000048
2008048385.tif 000049
2008048385.tif 000050
2008048385.tif 000051
2008048385.tif 000052
2008048385.tif 000053
2008048385.tif 000054
2008048385.tif 000055
2008048385.tif 000056
2008048385.tif 000057
2008048385.tif 000058
2008048385.tif 000059
2008048385.tif 000060
2008048385.tif 000061
2008048385.tif 000062
2008048385.tif 000063
2008048385.tif 000064
2008048385.tif 000065
2008048385.tif 000066
2008048385.tif 000067
2008048385.tif 000068
2008048385.tif 000069