JP2003531539A - 移動体データ通信用の安全な動的リンク割り当てシステム - Google Patents

Abstract

(57)【要約】 インバンドシグナリング、ＳＭＳ、ＣＤＰＤ等のような種々の通信リンクを介してモバイルユニットで階層構造のセキュアデータ通信を行うシステム及び方法を開示する。特権コントロールテーブルが許可されたメッセージのクラスを決定する。各クラスは選択された送信アプリケーションと選択された宛先アプリケーションと選択されたメッセージタイプの予め決められた組合せに対応する。コンテンツラベル付けを用いて、メッセージのペイロードを読み取ることなく、通信を更に管理する。本発明は、コンテンツラベルをセキュアセッション鍵交換シードアルゴリズムに基づいて変えることによりセキュリティの追加の層を付加する。本発明のシステムは、更に、アプリケーションプログラムからの通信サービス要求を排他的に受信するプロトコルマネージャを設けることによりアプリケーションプログラムを分離し、プロトコルマネージャは複数の異なるメッセージプロトコルを実施して種々のアプリケーションプログラムとの対応する仮想ソケット接続を確立する。本発明の他の特徴は、疎結合ネットワークループ通信を実行してモバイルユニットにブロードバンド配信を可能とするリンクチューズロジックを含むと共に、複数の通信リンクによるセグメントメッセージの並列伝送を含むことができる点にある。

Description

【発明の詳細な説明】

【０００１】 (技術分野) 本発明は、データ通信の分野に関するものであり、特に無線通信を利用するモ
バイルユニットを用いるデータ通信におけるセキュリティ、効率及び信頼性を改
良する方法及装置に関するものである。

【０００２】 (背景技術) 殆どのセキュアデータ通信方法は、電話網、インターネット、無線データ伝送
システム及びその他のディジタルデータ伝送システム及びネットワークのような
通信網を経て伝送されるデータの秘匿性を保つように設計されている。これらの
セキュアデータ伝送方法はランダムに発生された長い暗号鍵を用いる暗号化及び
復号化アルゴリズムを使用する。しかし、データやメッセージの暗号化は、メッ
セージの送り手が本当に本人であるか保証できない。換言すれば、暗号法は送り
手を認証することはできない。

【０００３】 例えば、公開鍵暗号法（ＰＫＥ）を使用するためには、意図する受け手が最初
に公開暗号鍵を発行し、予想される送り手がこの暗号鍵を使ってメッセージを暗
号化して意図する受け手に送る必要がある。メッセージは意図する受け手だけし
か知らない個人（秘密）暗号鍵（公開鍵と対を成す）でしか復号化できない。公
衆通信網を介して配布される公開暗号鍵は盗聴者によりインターセプトされ得る
。従って、ＰＫＥを用いて暗号化されたメッセージの受け手は送り手の本人性を
確かめることはできない。その理由は、暗号化されたメッセージは公開鍵にアク
セスして公開鍵を手に入れた誰でも生成することができるからである。

【０００４】 送信コンピュータを認証する種々の方法が既知である。これらの方法はディジ
タル署名アルゴリズム又は信頼できる第三者機関により証明されたセキュリティ
証明書を使用するのが代表的である。

【０００５】 既知の暗号化方法、ディジタル署名方法、及び証明書認証方法は、送信及び受
信コンピュータと関連するネットワークトラフィックのモニタリングによる、又
は信頼できる第三者機関や証明書保持者のなりすましによる再生、仲介、コード
ブック、暗号解読等の攻撃を受けやすい。

【０００６】 通信セキュリティへのある種の攻撃は通信の秘匿性よりも完全性に影響を与え
る。例えば、否認攻撃は受信ノードを無許可のメッセージで氾濫させることによ
り受信ノードを無効にさせることができる。完全性攻撃は、安全な通信のタイム
リで正確な受信が重要な場合に最も有害である。

【０００７】 マリノ・ジュニア(Marino，Jr.)他の米国特許第５，５３０，７５８号は、安
全でないネットワークリンクで結合された２つの信頼できるノードで実行中のソ
フトウエアアプリケーション間のセキュア通信システム及び方法を開示している
。送信ノードを認証する簡単な方法も開示している。各信頼できるノードの信頼
できるインタフェースは、信頼できるノードで実行するアプリケーションにより
送信される又は受信される全てのメッセージに対しゲートウェイとして作用する
。信頼できるインタフェースは、各ノードごとにセキュリティ管理者により予め
規定されるアイデンティティ・ベースド・アクセス・コントロール・テーブル（
ＩＢＡＣテーブル）により規定されるセキュリティ制限を実行する。ノードに格
納されたＩＢＡＣテーブルは信頼できるノードのアドレスをリストアップし、ロ
ーカルアプリケーションはこれらのノードにメッセージを送信することが許可さ
れるとともに、これらのノードからメッセージを受信することが許可される。ア
プリケーションにより行われるサービス要求に応答して信頼できるノード間で安
全な通信が達成される。サービス要求がＩＢＡＣテーブルに記載されているリモ
ートノードを示すことを確認後、信頼できるインタフェースは信頼できるノード
のセキュリティカーネルと協働して安全な通信チャネルを初期化する。この初期
化シーケンスは、セキュリティカーネル間でセキュリティ証明書と通信セキュリ
ティ属性情報を交換し、次いでこの情報を各ノードで使用して他方のノードを認
証するとともにチャネルに対するセキュリティ定格を制定する。認証に続いて、
信頼できるノードのセキュリティカーネルは、チャネルを経て伝送するデータの
暗号化に使用するトラヒック暗号鍵を交換する。

【０００８】 メッセージトラヒックの秘匿性、信頼性、完全性、及び非否認性を保証するよ
うに設計された改良セキュアデータ伝送方法及びシステムが必要とされている。
また、セキュリティを必要性が上昇するにつれて良くすることができるように段
階的に配置し得るシステムも必要とされている。

【０００９】 スパウア(Spaur)他の米国特許第６，１２２，５１４号は、１以上の使用可能
なチャネルで通信するための各アプリケーションプログラムの要件を考慮して、
通信チャネルを選択する方法を開示している。このスパウア他の特許では、アプ
リケーションプログラムは、そのアプリケーションの要件を、アプリケーション
の実行時に動的に、又はアプリケーションの設置時に静的に、「ネットワークチ
ャネル選択デバイス１４」に供給するよう設計されている（第５蘭、第４９行以
下及び図１参照）。これらの「要件」はコスト要因、転送レート等に関連する。

【００１０】 スパウア他の特許によるアプローチの一つの問題点は、全てのアプリケーショ
ンプログラムを、ネットワークチャネル選択デバイスと上記のように相互作用す
るようにカスタム設計、あるいは変更する必要がある。このアプローチは、めん
どうで、費用がかかり、且つＯＳＩモデルのような階層構造アプローチにより可
能となる相互運用性の本質を大きく損なうものである。そして、アプリケーショ
ンにトランスペアレントなインテリジェントリンクマネジメント、即ち標準の「
オフ・ザ・シェルフ（既成の）」アプリケーションを無線環境内に有効に配置可
能にするインテリジェントリンクマネジメントが依然として必要とされる。同様
に、ネットワークインタフェース又はリンク層レベルでは、スパウア等はネット
ワークハードウエアに接続されたリンクコントローラ/モニタを開示している（
図１）。明細書には、 「ネットワークチャネル選択デバイス１４は、ネットワークインタフェース３０
に動作的に接続され、インタフェースから情報を受信するとともにインタフェー
スに要求を行うリンクコントローラ/モニタも含んでいる。特に、リンクコント
ローラ/モニタはネットワークチャネル３４ａ−３４ｎの制御及びステータスに
対し責任を負う。このデバイスは各チャネルのステータスウオッチをネットワー
クインタフェース３０との通信により維持する。このモニタリング処理はネット
ワークチャネル依存である。」 旨説明されている（米国特許第６，１２２，５１４号、第９蘭、第３５行以下）
。

【００１１】 従って、ネットワークインタフェースも、上述したように、リンクコントロー
ラ/モニタ５０と相互作用するようにカスタム設計、あるいは変更する必要があ
る。このアプローチはめんどうで、費用がかかり、且つＯＳＩモデルのような階
層構造アプローチにより可能となる相互運用性の本質を大きく損なうものである
。リンクチャネルから分離され且つリンクチャネルにトランスペアレントであっ
て、標準の「オフ・ザ・シェルフ（既成の）」ハードウエア及びソフトウエアコ
ンポーネントを使用可能にするインテリジェントリンクマネジメントが依然とし
て必要とされる。従来技術の他の制限は、単一の通信又は「セッション」が単一
の出通信リンク、及び随意的に第２の入リンクに制限されることにある。通信効
率の改善の必要性が依然として残されている。

【００１２】 (発明の開示) インバンドシグナリング、ＳＭＳ，ＣＤＰＤ等のような種々の通信リンクを介
してモバイルユニットで階層構造のセキュアデータ通信を行うシステム及び方法
を開示する。特権コントロールテーブルが許可されたメッセージのクラスを決定
する。各クラスは選択された送信アプリケーションと選択された宛先アプリケー
ションと選択されたメッセージタイプの予め決められた組合せに対応する。コン
テンツラベル付けを用いて、メッセージのペイロードを読み取ることなく、通信
を更に管理する。本発明は、コンテンツラベルをセキュアセッション鍵交換シー
ドアルゴリズムに基づいて変えることによりセキュリティの追加の層を付加する
。本発明のシステムは、更に、アプリケーションプログラムからの通信サービス
要求を排他的に受信するプロトコルマネージャを設けることによりアプリケーシ
ョンプログラムを分離し、プロトコルマネージャは複数の異なるメッセージプロ
トコルを実施して種々のアプリケーションプログラムとの対応する仮想ソケット
接続を確立する。本発明の他の特徴は、疎結合(loosely-coupled)ネットワーク
ループ通信を実行してモバイルユニットにブロードバンド配信を可能とするリン
クチューズロジックを含むと共に、複数の通信リンクによるセグメントメッセー
ジの並列伝送を含むことができる点にある。

【００１３】 本発明では、セキュリティマネージャはデータ通信デバイスと関連して使用す
るコンピュータソフトウエア、ファームウエア、又はハードウエアに実現する。
セキュリティマネージャは、アプリケーションソフトウエアプログラムから別の
コンピュータ又はソフトウエアプログラムへデータを安全に伝送するのに有用で
あるとともに、アプリケーションソフトウエアプログラムにアドレスされるデー
タの正当性及び完全性を検証するのに有用である。

【００１４】 セキュリティマネージャは、データ通信デバイスとリモートデバイスとの間で
伝送されるデータに累積的に処理を加える複数のサブシステムを含んでいる。こ
れらのセキュリティサブシステムは、暗号化サブシステム、コンテンツラベル付
けサブシステム、ソース識別サブシステム及びデータ完全性サブシステムを含む
。セキュリティマネージャはセキュリティサブシステムをモジュラー環境で管理
し使用するように構成する。セキュリティサブシステムはセキュリティマネージ
ャシステムの独立のモジュールとして実現するため、これらのサブシステムは開
発時に必要に応じ開発し、その後、データ通信デバイスの寿命中に、必要に応じ
改訂することができる。モジュラーセキュリティサブシステムは、更に、デバイ
ス製造者やネットワークオペレータがセキュリティの向上を段階的に漸進的に実
現し、そのコスト及び複雑さを時間的に分散させることができる。十分なセキュ
リティによって、このシステムはパーソナルディジタル主体を確立し保護するた
めのユーザの基盤を提供することができる。

【００１５】 一実施例では、セキュリティマネージャは認証シーケンス及びデータ通信クラ
イアントとデータサーバとの間の公開鍵交換を開始する。認証シーケンス及び鍵
交換は第１のデータ通信リンクを介して生起し、このリンクは携帯電話のような
無線通信デバイスの音声チャネルで動作するインバンドシグナリングチャネルと
するのが好ましい。インバンドシグナリングが好ましいのは、電話網は他の通信
リンク(例えばＢｌｕｅｔｏｏｔｈ、衛星放送、赤外線、ＣＤＰＤなど)より広く
利用可能であるためである。更に、暗号鍵の交換はセキュリティマネージャの動
作に重要であり、ＴＣＰ/ＩＰ又はＢｌｕｅｔｏｏｔｈのような有名なプロトコ
ルではなくインバンドシグナリングのようなプロプラエタリプロトコルにより達
成するのが最良である。鍵交換の完了後に、セキュリティマネージャはイネーブ
ルされて出メッセージの暗号化及び入メッセージの復号化を行う。

【００１６】 暗号化されたメッセージペイロードの転送には、好ましくは第１のデータ通信
リンクと異なる第２のデータ通信リンクを使用する。他の実施例では、メッセー
ジペイロードを数個のリンクに分配させ、これらのリンクは第１のデータ通信リ
ンク等を含むことができる。特に、メッセージは複数のパケットに分割するも、
次にこれらのパケットを２以上の異なる通信リンクに割り当てる又は分配させる
。このストラテジは無許可の第三者がメッセージをインターセプトし再構成する
のを一層困難にする。

【００１７】 別のセキュリテ層を実現して、正当な入メッセージ及び出メッセージをセキュ
リティマネージャによりアクセス可能な不揮発性リード/ライトメモリに格納さ
れた特権コントロールテーブル（ＰＣＴ）内に規定する。セキュリティマネージ
ャにより受信された各送信に含まれるコンテンツラベルをＰＣＴに対し検証し、
送信のペイロードを許可された受け手のユーザアプリケーションへ配達する前に
、送り手とメッセージのタイプを認証する。セキュリティマネージャがメッセー
ジを配達する各ユーザアプリケーションごとに、ＰＣＴはソースアプリケーショ
ン、メッセージコード、メッセージサイズ及びセキュリティ定格の許可された組
合せに対するエントリーを含む。各エントリーの組合せはＰＣＴに対応するコン
テンツラベルと一緒に記載される。しかし、このようなコンテンツラベルはスタ
ティックである必要はない。本発明の他の特徴はＰＣＴエントリーに対しコンテ
ンツラベルの再順序付け又は再指定を行い、別のセキュリティ層を再び与えるこ
とにある。コンテンツラベルの再順序付け又は再指定は、公開鍵交換に続いて送
信及び受信ノードの各ノードで発生される共有個人鍵を用いて両ノードで実行さ
れる所定のアルゴリズムにより管理される。

【００１８】 セキュリティマネージャ、アプリケーションソフトウエアプログラム、及びデ
ータ通信デバイスはすべて、パーソナルコンピュータ、携帯電話、ＰＤＡ、携帯
無線通信デバイス、又はディジタル計算デバイスを含む他のデバイスのようなコ
ンピュータシステム上に実現する。しかし、本発明の構成要素は、一単位として
みるとセキュリティシステムのノードを構成する、セキュア相互接続を有する種
々のデバイスに分布させることもできる。

【００１９】 コンピュータシステム又は通信デバイスはリモートデバイス又はシステムとの
通信のために１以上の通信ネットワークリンク又は他のディジタルデータ通信リ
ンク又はオーディオデータ通信リンクにアクセスできる。リンクマネージャプロ
トコルが本発明のコンピュータシステム上で動作して、種々のタイプのネットワ
ークリンクのコスト、優先順位、セキュリティ、及び可用性と、アプリケーショ
ンまたはセキュリティマネージャにより要求されるコスト、優先順位、およびセ
キュリティとに基づいて適切な通信ネットワークリンクを選択することができる
。リンクマネージャは、メッセージを数個のネットワークリンクに、アプリケー
ションのコスト、優先順位、及びセキュリティ要件に基づいて分配して負荷を利
用可能リンクに平均化させることもできる。

【００２０】 スパウア等のリンクマネージャと異なり、本発明のシステムは、スパウア等の
発明のようにアプリケーションとリンクマネージャを直接相互接続しないで、ア
プリケーションをリンクマネージャから分離することにより、アプリケーション
に対しトランスペアレントにされている。本発明によれば、リンクマネジメント
はメッセンジャーではなくメッセージに集中する。これはアプリケーションにト
ランスペアレントであり、特別な又はプロプラエタリＡＰＩを必要としない。

【００２１】 従来のリンクマネジメントは、上述したように、送信アプリケーションの要求
に基づくメッセージの送信に適切なリンク又はチャネルの選択に集中している。
通信のセキュリティ及び性能の向上は、複数チャネルを適切なときに並列に使用
するよう管理することにより達成することができる。更に、従来の技術はポイン
ト・ツー・ポイントリンク、即ち発信者と受信者との間の通信に集中している。
しかし、新しい改良された特徴はもっと広義の疎結合ネットワークに実現するこ
とができる。疎結合ネットワークでは、例えばモバイルユニットと第１のサーバ
との間の初期通信が、第２のサーバからモバイルユニットへの別の関連するブロ
ードキャスト通信を生ずるプロセスを開始し、ループトポロジーを完成する。一
実施例では、設定されたループトポロジーは種々の伝送方法論を用いる不均等ル
ープセグメントを含む。この構成では、ブロードバンドトランスミッタ、例えば
サテライトボーン(satellite-borne)又はロードサイドトランスミッタがインバ
ンドシグナリングリンクのような別のリンクから開始する通信ループの最終リン
クを構成することができる。ブロードバンドリンクはデータの広帯域伝送用であ
り、モバイルユニットは送信できないが受信はできる。この疎結合ネットワーキ
ング方法は、モバイルユニットが例えばビデオコンテンツ等を受信するように使
用することができる。このアプローチは、通常の無線音声サービスをバイパス（
実際に通過）して、通常の無線音声サービスが無意識に（且つ追加料金なしで）
モバイルユニットへデータを配達するブロードバンドネットワーク内のリンクを
開始する経路を与えるのに使用することもできる。 本発明の追加の特徴及び利点は添付図面を参照して以下に記載する好適実施例
の詳細な説明から明らかになる。

【００２２】 （好適な実施例の詳細な説明） 図１は、本発明による移動体データ通信用の安全な動的リンク割り当てシステ
ム（以下「通信システム」と称する）１１０を示す相互接続図である。図１に示
すように、送信ノード１２０が受信ノード１３０との通信を確立する。送信ノー
ド１２０及び受信ノード１３０は、広範に入手可能なソフトウエアまたは顧客対
応（カスタマイズ）したソフトウエアのいずれかを用いた種々のハードウエア基
盤（プラットフォーム）のいずれの上にも実現することができる。送信ノード１
２０及び受信ノード１３０は、図１に開放型システム間相互接続モデル（「ＯＳ
Ｉモデル」）の一般的な層で表現されるシステムソフトウエア構成要素を具えて
いる。図１は、送信ノードから受信ノードへのメッセージデータの送信を表わし
ているが、通信の動作は片方向にも双方向にも行うことができる。アプリケーシ
ョン層１４２で表現される１つ以上のアプリケーションが、送信ノード１２０上
で実行される。これらのアプリケーションは、ＡＣＰ、ＷＡＰ、ＴＣＰ、ＵＤＰ
、ＳＭＳ、その他のような、いくつかの広範に利用可能な通信プロトコル１４４
のうちの１つを用いて送信用のメッセージを生成する。

【００２３】 送信システムソフトウエア１５０は、セッション層１５２において実現するこ
とが好ましく、通信プロトコル１４４を実現する標準的な搬送（トランスポート
）ソフトウエアによって通常提供される搬送サービスに対応する一組の仮想ソケ
ット１５４を具えている。仮想ソケット１５４は、アプリケーションが仮想ソケ
ット１５４に渡すメッセージを、あたかも仮想ソケット１５４が搬送サービスと
して動作しているように取り扱うという点で、アプリケーション層１４２におい
て実行されるアプリケーションに対して透明である。しかし仮想ソケット１５４
は、特定のリンクに関連する搬送ソフトウエアとは異なるやり方で、メッセージ
を取り扱う。むしろ仮想ソケット１５４は、プロトコルマネージャ１５６及びセ
キュリティマネージャ１５８、及び送信システムソフトウエア１５０のリンクマ
ネージャ１５９に関連して動作して、アプリケーション層１４２において実行さ
れるアプリケーションを、種々の通信ネットワーク送信システム、及びトランス
ポート層１６２、ネットワーク層１６４、及び／またはデータリンク層１６６に
おいて動作する標準的なネットワーク化ソフトウエアによってアクセスされるリ
ンク１６１から隔離する。

【００２４】 受信ノード１３０の受信アプリケーション層１７０では、１つ以上の受信アプ
リケーションが実行される。送信システムソフトウエア１５０が送信ノード１２
０上で動作するのと同様に、受信システムソフトウエアは受信ノード１３０上に
実現される。本発明によれば、送信システムソフトウエア１５０によって処理し
たメッセージは、１つ以上の種々のインバウンド（内部）リンク１７６を通して
受信ノード１３０において受信され、そして受信システムソフトウエア１７４に
よって、再組立（再アセンブル）、セキュリティ確認、及び必要なメッセージの
復号化の処理を行う。そして受信システムソフトウエア１７４は、処理したメッ
セージを、受信アプリケーション層１７０において実行中の適切なアプリケーシ
ョンに経路設定する。このようにして、通信システム１１０は、標準的なアプリ
ケーションソフトウエア及びデータ通信及びネットワーク化ソフトウエアに対し
て透明な方法で実現することができる。

【００２５】 送信システムソフトウエア１５０のセキュリティマネージャ１５８は、受信セ
キュリティマネージャ１７８との調整を通して、受信ノード１３０での安全なセ
ッションを確立すべく適応させる。送信セキュリティマネージャ１５８は、メッ
セージ型によって安全な送信が指示されていない場合に、かつ受信ノードが受信
システムソフトウエアによって安全な通信を確立すべく構成されていない場合に
、セキュリティ手段をバイパス（迂回）することができる。

【００２６】 通信システム１１０は、Javaのような携帯プラットフォームに中立のアプリケ
ーション言語を用いて、既にサービス中のノードに進展させることができる。

【００２７】 図２Ａは、図１の下りノード１２０上で動作するシステムソフトウエア１５０
のソフトウエアアーキテクチャを図式的に示す図である。図２Ａの右側では、受
信ノード１３０（図１）に向けたメッセージ２０２を、受信ノード１３０に送信
する前に、送信システムソフトウエア１５０によって処理しているように示して
ある。図２Ａに示すように、メッセージ２０２は、メッセージペイロード（本文
）２０４及びメッセージャヘッダ２０６を含み、メッセージャヘッダ２０６は、
宛先指標２０８及びメッセージ型のフィールド２１０を含む。許可されたメッセ
ージ型は、アプリケーションの開発及び保証期間中に、安全な通信システムに関
連して、アプリケーション毎に事前に規定される。

【００２８】 プロトコルマネージャ１５６は、ＴＣＰ、ＷＡＰ、ＵＤＰ、ＳＭＳ、及び他の
搬送サービスのような、送信ノード１２０によってサポート（支援）される種々
の標準的な搬送サービスのいずれにも対応する仮想ソケット２１２を具えている
。仮想ソケット２１２は、アプリケーション層１４２において実行中のアプリケ
ーション２１３からメッセージを受信し、そしてこのメッセージを、プロトコル
マネージャ１５６のメッセージ解析モジュール２１４に渡すすべく適応される。
メッセージ解析モジュール２１４は、宛先、送信元、及びメッセージ型の情報を
メッセージ２０２から取り出して、メッセージ２０２のメッセージのサイズ（大
きさ）、及びメッセージ２０２を受信した仮想ソケット２１２を特定する。そし
てプロトコルラベル付けモジュール２１７によって、メッセージ２０２を受信し
た仮想ソケット２１２を示すプロトコルラベル２１６をメッセージ２０２に前付
けする。そしてプロトコルマネージャ１５６が、セキュリティの認可及び取り扱
いのために、結果的なプロトコルラベル付けしたメッセージ２１８をセキュリテ
ィマネージャ１５８に渡す。

【００２９】 セキュリティマネージャ１５８の、内容ラベル付け兼セキュリティ認可モジュ
ール２２０は、安全なＰＣＴ検索機能２２４を用いて特権制御表（ＰＣＴ）２２
２をアクセスして、ＰＣＴ２２２中の、送信アプリケーション２１３、宛先２０
８、メッセージ型２１０、及びメッセージ２０２のサイズに対応するエントリを
識別する。ＰＣＴ２２２中にエントリが見つかった場合には、ＰＣＴ検索機能２
２４は内容ラベル付け兼セキュリティ認可モジュール２２０に、特権制御表中の
エントリに対応する「内容ラベル（ＣＬ）」２２６を返す。ＰＣＴ２２２中にエ
ントリが見つからなかった場合には、ＰＣＴ検索機能２２４はデフォルトの内容
ラベルを返して、この内容ラベルは、メッセージ２０２が送信用に認可されてい
ないことを内容ラベル付け兼セキュリティ認可モジュール２２０に示す。

【００３０】 プロトコルマネージャ１５６及びセキュリティマネージャ１５８も、無保証の
アプリケーションによって生成され、ＰＣＴ２２２における内容ラベル情報の検
索用のメッセージ型の情報を含まない不安全なメッセージ（図示せず）を取り扱
うべく適応させる。不安全なアプリケーションが出力メッセージを送信できるよ
うに送信ノード１２０を構成した場合には、プロトコルマネージャ１５６がセキ
ュリティマネージャ１５８をバイパスして、リンクマネージャ１５９に不安全な
メッセージを提供して、このメッセージを送信ノード１２０の適切なリンク１６
１上で送信する。

【００３１】 安全なモードでは、セキュリティマネージャ１５８の暗号化モジュール２２８
による暗号化の前に、プロトコルラベルメッセージ２１８に内容ラベル２２６を
前付けする。暗号化モジュール２２８は、暗号キー兼ＰＣＴ管理モジュール２３
０によって生成した暗号キーを使用し、このことについては以下で図６〜図８を
参照してより詳細に説明する。暗号化モジュール２２８が、暗号化して内容ラベ
ルを付けたメッセージ２３２を生成して、セキュリティマネージャの経路設定ラ
ベル付けモジュール２３４に渡して、このモジュールは、宛先、送信元、時間、
及びリンク選定パラメータ（ＬＣＰ）２３６を、暗号化して内容ラベルを付けた
メッセージ２３２に前付けする。

【００３２】 あるいはまた、ＬＣＰ、宛先、送信元、時間、及びその他のメッセージ経路設
定及びセキュリティ関連情報を、暗号化して内容ラベルを付けたメッセージ２３
２に付けたヘッダとして、あるいは暗号化して内容ラベルを付けたメッセージ２
３２の転送に並行して行うかのいずれかで、リンクマネージャ１５９に直接渡す
。

【００３３】 暗号化して内容ラベルを付けたメッセージ２３２を受信すると、リンクマネー
ジャ１５９のセグメント区分（セグメンテーション）モジュール２４０は随意的
に、暗号化したメッセージを１つ以上のメッセージセグメント２６０にセグメン
ト区分することができる。リンク選択モジュール２４２は、利用可能なリンク１
６１を識別して、メッセージ２３２のリンク選定パラメータ２３６及び他の属性
にもとづいて、１つ以上の適切なリンクを選定する。そしてリンクマネージャ１
５９は、以下に説明するリンク選択方法に従って、メッセージセグメント２６２
を選択したリンクに分配する。

【００３４】 図２Ｂは、受信ノード１３０におけるソフトウエアアーキテクチャを図式的に
示す図である。図２Ｂの左側には、送信ノード１２０（図２Ａ）が送信したメッ
セージ２０２の受信セグメント２６０を取り扱い再組立して、１つ以上の受信ノ
ードのアプリケーション２４６に送達された受信メッセージ２４４を形成してい
く際の、受信セグメント２６０の進化を示す。図２Ｂに示すように、受信ノード
のソフトウエアシステム１７４は、受信ノードのセキュリティマネージャ１８８
、受信ノードのプロトコルマネージャ２４８、及び受信ノードのリンクマネージ
ャ２５０を含む。プロトコルマネージャ２４８、セキュリティマネージャ１８８
、及びリンクマネージャ２５０は、送信ノード１２０のプロトコルマネージャ１
５６、セキュリティマネージャ１５８、及びリンクマネージャ１５９に相当する
機能を実行し、これらは例えばセグメント識別及びエラーチェック２５１、メッ
セージセグメントの再アセンブリ２５２、暗号解読及び安全セッション管理２５
４、内容ラベル確認及びセキュリティ認証２５５、プロトコル解析２５６、メッ
セージ送達２５７、及び仮想ソケット２５８である。受信ノードのソフトウエア
システム１７４を送信ノードのソフトウエアシステム１５０と同一のソフトウエ
アで実現して、送信ノード１２０と受信ノード１３０との間の双方向の同期また
は非同期の通信を可能にすることができる。

【００３５】 メッセージセグメント２６０を受信すると、リンクマネージャ２５０の再アセ
ンブリモジュール２５２はメッセージセグメント２６０のヘッダ情報（図示せず
）を使用して、メッセージセグメント２６０を再組立して、暗号化し内容ラベル
を付けてメッセージ２３２'にする。リンクマネージャ２５０のセグメント識別
兼エラーチェックモジュール２５１は、セグメントの受信及び再組立処理を監視
して、送信中のセグメントの損失及び破壊がないことを保証する。そしてセキュ
リティマネージャが、暗号化して内容ラベルを付けたメッセージ２３２'の暗号
解読及び内容ラベルの確認を行って、アプリケーション２４６に送達された非暗
号化メッセージ２４４のメッセージ型、サイズ、及び送信元アプリケーションが
、メッセージヘッダにおいて識別される、指名した受信ノードのアプリケーショ
ン２４６に送達すべく認可されたものであることを保証する。

【００３６】 図２Ｃに、リンクマネージャの構成要素、及びこの構成要素とリンクコントロ
ーラとのインタフェースの動作を示す。まず、リンクマネージャにおける論理が
、利用可能な通信リンク、各リンクのレイテンシ（待ち時間）または待ち行列の
大きさ、及び優先順位、メッセージのサイズ、及びメッセージ型のような前述し
たリンク選定パラメータにもとづいて、メッセージを任意数のセグメントにセグ
メント区分することができる。メッセージを２つ以上の通信リンクにセグメント
区分することは、帯域の増加並びにセキュリティの強化の可能性を有する。そし
てリンクマネージャが各セグメントを選択したリンクに向ける。例えば、図２Ｃ
に示すように、リンクマネージャは、ソフトウエア及び／またはハードウエアで
実現可能なセグメントリンクの経路設定（ルーティング）スイッチ２６４を使用
することができる。リンクマネージャは第１セグメントをＩＢＳリンク２６６に
向けることができる。ＩＢＳとは、帯域信号化においては、無線電話通信リンク
の音声チャンネル内で低いデータレート（速度）でデータを送信する技法のこと
である。現時点では、例えばリンク２７０のような他のリンクは利用不可能であ
り得るか、あるいはリンクマネージャが、リンク２７０が現在のメッセージに不
適切であることを特定することができる。リンクマネージャが他のセグメントを
ＳＭＳリンク２７２に向けることができ、ここでＳＭＳリンクとは、一部の無線
キャリア（事業者）が提供する短いメッセージサービスのことである。リンクマ
ネージャがデータのセグメントを選択したリンクに径路設定すると、リンクマネ
ージャは２６８で示すように、データにセグメント番号を付加する。図２Ｃでは
、第３セグメントをＣＤＰＤリンク２７４に向けている。リンクコントローラ２
６６、２７２、２７４、等の各々がバッファを具えて、一般にＯＳＩモデルのト
ランスポート層及びネットワーク層に関連する送信タスクに参加することができ
る。リンクコントローラは、各データセグメントを完結したメッセージとして扱
うことができる。このメッセージは通常、データリンク層及び物理層における伝
送用のパケットにさらに分割することができる。従ってＩＢＳリンクコントロー
ラ２６６は、割り当てられたセグメントを、例えばパケット２７８のような複数
のパケットに分割することができる。各パケットは少なくとも、ヘッダ、パケッ
ト番号、及びペイロードを含む。ヘッダは対応するリンク型に対して特定のもの
である。従って、例えば、ＩＢＳリンク２６６が生成したパケット２７８のヘッ
ダはＩＢＳ型のヘッダである。

【００３７】 ＩＢＳリンクは、セグメントヘッダをパケット２７８内のペイロードとして加
えることもできる。セグメントヘッダは、受信ノードにおいてセグメントを再組
立するための情報を含む。

【００３８】 同様に、ＳＭＳリンクマネージャ２７２は、パケット２８２に始まり２８４で
示す一連のペイロードパケットがこれに続く、一連のパケットを生成する。これ
らの特定のヘッダ、ラベル、及びプロトコルは厳格なものではなく、本発明の一
般的な機能性の範囲内で変化させることができる。例えば２９０で示すような、
リンクマネージャのソフトウエアと種々の個別リンクコントローラとのインタフ
ェースは、状態並びにデータの態様を含む。例えばリンクコントローラは、自分
自身の利用可能性、待ち時間または待ち行列の大きさ、及び要求された送信の状
態をリンクマネージャに報告する。この情報は、リンクマネージャが決定を行う
に当たり考慮にいれる。

【００３９】 図２Ｂに示すように、送信メッセージの種々のセグメントを、受信ノードにお
いて再組立する。このプロセスの大部分は、送信ノードで行うセグメント区分プ
ロセスを「元に戻す」ことである。簡単には、各通信リンクが一連のパケットを
受信し、そしてこのリンクはこれらのパケットを完結したセグメントに再組立す
ることができ、随意的に、従来技術において既知のエラーチェック及び訂正を採
用することができる。各リンクコントローラは受信したセグメントを、セグメン
ト識別情報（２６８参照）を含めて、セグメントリンク経路設定スイッチ２６４
に転送する。セグメント識別子にもとづいて、リンクマネージャは、図２Ｂの再
組立ステップに概略的に示すように完結したメッセージを再組立するように、こ
のリンク経路設定スイッチを論理制御する。

【００４０】 図３は、図１のシステムソフトウエアが実行するステップを概略的に示す高レ
ベルのフローチャートである。図３に示すように、プラットフォーム上で実行中
のアプリケーションからメッセージを受信すると、処理を開始する（ステップ３
００）。ソフトウエア隔離層は、アプリケーションが使用中のプロトコルに対応
する仮想ソケットを実現する。換言すれば、所定のアプリケーションが特定型の
ソケット上で通信を確立しようとしている場合には、選択したプロトコル型の「
仮想ソケット」を実現することができる。仮想ソケットの例は、図２に示すよう
に、ＴＣＰ，ＷＡＰ、ＵＤＰ、ＳＭＳ、及び他のプロトコルを含む。後にさらに
説明するように、メッセージ毎に、対応するソケット型の指標をリンクマネージ
ャにもってきて、メッセージの送信に含める。このことは、受信ノードにおける
対応するソフトウエアスタックが、送信ノードにおける第１アプリケーションが
使用するソケットプロトコルに合った第２の「仮想ソケット」を確立する隔離層
を通して、対応するアプリケーションにメッセージを提供することを可能にする
。結果的に、両方のノードで実行中の対応するアプリケーションが、選択したソ
ケットプロトコル上で互いに通信しているように見える。実際に、全く異なるプ
ロトコルを用いて、選択したソケットプロトコル上でメッセージを変更して送信
することができるが、この変更はアプリケーションに対して透明である。さらに
、リンクマネージャが、与えられたメッセージの送信用に多数の長さを選択して
、配下のリンクにメッセージを広めて、これにより、メッセージを多数のメッセ
ージのように並列的に、多数の通信リンクにわたって有効に送信することができ
る。ここでも、受信ノードにおいてメッセージの種々のセグメントを再組立して
いるにもかかわらず、このことが全く行われなかったかのように、仮想ソケット
隔離層に単一のメッセージを提供することができる。

【００４１】 再び図３を参照すれば、次のステップ３０４では、メッセージ型、サイズ、優
先順位、コスト感応性、及びセキュリティパラメータの特定を要求し、これらの
パラメータの一部または全部は、本発明のセキュリティ方法、並びにリンクマネ
ージャにおいて実現する選択論理に関係して用いることができる。これらの特性
またはメタデータ（データに関する情報）は、実際のメッセージの内容またはペ
イロードを必要としない。ステップ３０６では、システムソフトウエアが、ステ
ップ３０４で取得した情報にもとづいて、リンク選択パラメータ（ＬＣＰ）を明
確化する。リンク選択パラメータＬＣＰは、種々の方法でリンクマネージャ構成
要素に渡すことができる。例えば、ＬＣＰをメッセージパケットに付加するか、
あるいは、ＬＣＰ情報を独立した信号径路でリンクマネージャに渡すことができ
る。前者の方法を、付加を示す文字「Ａ」で表わし、後者を、現在のメッセージ
に並行して情報が移動することを示す「Ｐ」で表わす。この情報をリンクマネー
ジャ構成要素に渡す他の方法は、ソフトウエアの当業者にとって既知であり、例
えば共用メモリ、割り当てレジスタ、及び／または種々のソフトウエアメッセー
ジ伝送技法である。

【００４２】 次のステップ３０８では、システムソフトウエアが、メッセージを送信するア
プリケーションが実際に、この特定型のメッセージを送信する認可をされている
ことを確認する。このプロセスは、動的メッセージ特権制御表（ＰＣＴ）にもと
づくものであり、これについては後に図９Ｂを参照して詳細に説明する。ステッ
プ３１０では、システムソフトウエアが、セキュリティ対策が指示されているか
否かを特定する。指示されていない場合には、３１２を通ってリンクマネージャ
に直接制御を渡す。ステップ３１４では、リンクマネージャが、メッセージ送信
用の１つ以上のチャンネルまたはリンクを選択し、これについては以下により詳
細に説明する。リンクマネージャは、メッセージを多数のセグメントに分割また
はセグメント区分すべく選択することができ、これらのセグメントの各々を、対
応するリンク上に送信する。従ってステップ３２０では、リンクマネージャがリ
ンクコントローラを制御する。ステップ３２２で外部向けメッセージと判定した
場合には、ステップ３２４において、リンクマネージャがトランスポート層に、
メッセージを送信することを求める。ステップ３２６では、リンクコントローラ
（図５参照）が外部向けデータのバッファリング（一時記憶）及び送信を行い、
そしてプロセッサに、送信の確認応答か、あるいは再送信に着手すべきエラーフ
ラグの通知かのいずれかの報告を行う。ここでも、これらのステップは図３には
直列的に示しているが、リンクマネージャがメッセージを多数のセグメントに分
割して、これらのセグメントを並列的に、多数の通信リンク上で送信することが
できる。このプロセスは、図２Ａ、図２Ｂ、及び図２Ｃを参照して、より詳細に
説明する。

【００４３】 判定３１０に戻れば、与えられたメッセージについてセキュリティ対策が指示
されている場合には、ステップ３５０において、安全な通信セッションがまだ有
効でなければ、セキュリティマネージャが安全な通信セッションを初期化する。
このセッションは、暗号キーの生成に関する情報を交換するために用いる。そし
てステップ３５２では、セキュリティマネージャが主題メッセージを暗号化して
、この暗号化したメッセージに内容ラベルを添付する。このメッセージには、上
述したリンク選択パラメータも添付することができる。ステップ３５４では、内
容ラベル付きの暗号化したメッセージをリンクマネージャに渡す。前述したよう
に、リンク選択パラメータ情報を、メッセージに付加したラベルとしてか、ある
いはリンクマネージャ構成要素への代わりのメッセージ伝達によるかのいずれか
で、リンクマネージャに渡すことができる。

【００４４】 一部の場合には、メッセージを受信するための通信リンクを構成することをリ
ンクマネージャに求める。この場合には、ステップ３６０において、内部向けメ
ッセージについては、リンクマネージャが、対応するリンクコントローラにメッ
セージの受信を求めて、そしてステップ３６２では、対応するリンクコントロー
ラが入力されるデータを受信し一時記憶して、そしてステップ３６４では、リン
クコントローラがリンクマネージャに報告を行う。ここでも、リンクコントロー
ラがメッセージの受信を確認応答するか、あるいは最送信に着手すべきエラーフ
ラグを通知することができる。

【００４５】 図４は、本発明のいくつかの態様を示す概念図である。図の左側は、ＯＳＩ（
開放型システム間相互接続）モデルの７層を引き合いに出したものである。これ
は、７つの層におけるプロトコルを実現するための枠組を規定した、全世界的な
通信についてのＩＳＯ規格である。ＯＳＩモデルによれば、１つの局において、
アプリケーション層に始まり底部の層に進むように、１つの層から次の層に制御
を渡して、次の局へのチャンネルを通って、次の局ではこれらの階層を逆に戻る
。この機能の大部分は、すべての通信ネットワークに存在する。本発明は、以下
に説明するいくつかの点において、古典的なＯＳＩモデルから離れている。古典
的なモデルでは、第１層が物理層であり、有線ネットワークでは有線またはケー
ブルに相当し、無線ネットワークでは無線チャンネルに相当する。第２層はデー
タリンク層であり、これは一般にノードからノードへのデータ伝送を担う。第３
層のネットワーク層は、データを異なるネットワークに経路設定（ルーティング
）する。第４層のトランスポート層は一般に、完結したメッセージの送達を保証
する。従って第４層は、メッセージを形成するための、パケットのセグメント区
分及び再組立を担う。従ってトランスポート層は、欠損したメッセージを戻って
追跡する必要があり得る。第５層のセッション層は一般に、送信の開始、停止、
及び順序を統御する。第６層のプレゼンテーション層は、データ変換用の構文を
実現して、最後の第７層がよく知られたアプリケーション層である。図４に示す
ように、例として、アプリケーションはｅ−コマース（電子商取引）、ＧＰＳ測
位サービス、テレマティクス（電話＋コンピュータの情報通信サービス）、音声
通信、等を含むことができる。

【００４６】 図４の中央部については、この概念図は、アプリケーションの直下の第１シス
テム隔離層４３０を示す。第２隔離層４４０は、ＯＳＩデータリンク層２の直上
に示してある。データリンクレベルでは、図４には、アナログモデム（9.6kbps
）４４２、ディジタルモデム（1.2kbps）４４４、パケットモデム（56kbps）４
４６、及び広帯域（ブロードバンド）モデム（384kbps）４４８を示してある。
これらのチャンネルは単に例示的なものであり、他の種類のリンクを採用するこ
ともできる。無線データ通信技術は進展し続けるものと期待されている。本シス
テムの重要な利点の１つは、後にさらに説明するように、システム隔離層によっ
て、システムの他の態様を変更することなしに、新たなリンクを展開することが
できるということである。同様に、図の最上部では、４５０で一般的に示すオペ
レーティングシステムソフトウエアが同様にアプリケーション層から隔離されて
いるので、オペレーティングシステムソフトウエアを変更することなしに、新た
なアプリケーションを展開することができる。図４の右側には、本システムのア
プリケーションの例を４３０で一般的に示し、これらは通信用の疎結合専用ネッ
トワークを形成する。ここでは「専用」とは、セグメント毎にネットワークルー
プを構築することであり、各セグメントが分離した通信から成る。この専用ルー
プは必要な際に形成し、タスクを完了した際に解体する。このネットワークは、
多数の別個の通信セグメントがループの形成に関わるという意味で「疎結合」で
ある。専用ループの各セグメントは１つ以上の通信セッションから成り、これら
のセッションは、先行セグメントからのメッセージの受信によって生起するが、
単なる再送信あるいは先行メッセージの経路設定（ルーティング）というよりも
むしろ、別個の通信から成る。

【００４７】 図４に、次に説明する「疎結合」専用ネットワークのいくつかの例を示す。最
初の通信は、アナログモデム４４２用のリンクを用いて、第１リンク４６２を通
過し、公衆交換電話網（ＰＳＴＮ）４５４に達する。このセグメントは通常、無
線基地局及び無線交換網（図示せず）を通る。「発呼者」即ち送信者、またはＰ
ＴＳＮに結合した基地局（図示せず）は、パケット回路４５６上でインターネッ
トにアクセスするためのゲートウエイを具えることができる。従って基地局は、
リンク４５２経由の最初の通信に応答して、２番目の通信、あるいはセグメント
または本発明の疎結合ネットワークに着手することができる。２番目の通信はイ
ンターネット４５８を通過して、リンク４６０（国内通信有線リンクが最も多い
）を通って選択した情報サーバーのサイトに至る。この例では、Siridiumと称す
る情報サービスのプロバイダが、この目的のためにサーバー４６２を動作させる
。Silisiumは、衛星にもとづく、あるいは衛星から生じるブロードバンド放送シ
ステム４７０を動作させるか、あるいはこれと契約している。Siridiumサーバー
４６２は、随意的にはユーザによる支払いの取り決めをした後に、メッセージを
ブロードバンド衛星システム４７０に送信する。Siridiumシステムが、他のソー
ス（図示せず）から要求されたデータを取得することが必要になり得る。例えば
、本発明の移動システムの操作者（オペレータ）が、やや古典的な映画トップガ
ンをダウンロードする要求を送信しているものとする。Siridiumサーバーシステ
ム４６２は、映画の内容をディジタル形式で取得して、これを衛星システム４７
０に送信（アップリンク）する。そして衛星システムは、リンク４７４で示すよ
うに、要求を出した映画装置に対してビデオデータを放送して、このビデオデー
タは、ブロードバンド受信機のリンク４４８で受信される。この最終セグメント
が、疎結合の専用ネットワークのループを完結させる。そしてオンボード（基板
上）通信システムが、受信を確認応答するメッセージを、再びアナログモデム４
４２経由で送信する。このメッセージはセグメント４５２を通過して、無線ネッ
トワーク及びＰＴＳＮ網経由で基地局４５５に至る。この基地局は、前記確認応
答に応答して、対応するメッセージに着手して、このメッセージをリンク４５６
経由で、インターネットを通して、Siridiumシステム４６２に送信する。このシ
ステムは今度は、映画が良好に受信された場合に、映画に対する課金を通知し、
あるいは必要ならば、映画の再放送に着手する。

【００４８】 図４にはさらに他の例を示し、この例では、初期メッセージを1.2kbpsのディ
ジタルモデム上に送信して、ここでもＰＴＳＮ経由で送信することができる。こ
のメッセージは、近所の買い物またはレストランの情報の要求とすることができ
、換言すれば従者のサービスである。この最初の要求を送信するためにどのリン
クを使用するかは、以下でさらに説明するリンク選択論理の問題である。リンク
４８０上の従者サービスの要求は、基地局４５５が受信する。前と同様に、基地
局が２番目のメッセージを送信開始して、今回はインターネット（または国内通
信の地上線）経由で、選択した情報サーバーに送り、このサーバーは、この例で
は、フォード自動車株式会社提供の、フォードの従者サーバー４８２の形態とす
ることができる。この場合には、フォードのサーバーが、移動体のユーザに対す
る表示用の、要求された情報を具えたＨＴＭＬページを送信することによって応
答することができる。ＨＴＭＬページデータは、最初の要求メッセージと同じセ
ッションではなく、例えば56kbpsのパケットモデム４４６に受信されるリンク４
８４のような独立した通信セッションで、高速リンク上で移動装置に返送するこ
とができる。このことは、ＨＴＭＬページのコンテンツのより高速な送信を可能
にする。パケットモデム４４６が、例えば図５のリンクコントローラ５６０に相
当する場合には、このリンクコントローラは、通信バス５０２経由でＨＴＭＬデ
ータをＲＡＭ５２４に書き込むことができるが、いずれにせよ、このデータを自
動車用バスアダプタ５１０経由で転送して、ダッシュボードの表示システム５１
４によってユーザに対して表示することができる。他方では、図４に戻って説明
すれば、通信システムが単に恒常的な動作データをフォードに送信している場合
には、この通信システムはディジタルモデムのリンク４８０を使用すべく選択す
ることができ、フォードのシステムが、セルラー電話リンクの制御チャンネル上
の簡単なメッセージによって、こうしたデータの受信の確認応答をすることがで
きる。出力メッセージ用のリンクの選択は、非同期リンクマネージャ（ＡＬＭ）
４９０の１つの機能であり、これについては後により詳細に説明する。

【００４９】 図５は、本発明による通信システムを自動車関係で実現するためのハードウエ
アアーキテクチャの簡略化ブロック図である。図５における通信システム５００
は、広範なハードウエアアーキテクチャで実現することができる。図５には単な
る例として、通信バス５０２を、アドレス及びデータ情報を共に搬送するために
使用することを示し、これは多くのマイクロプロセッサにもとづくシステムでは
通常のことである。このシステムは、本明細書に記載した動作を実行するための
、バス５０２に結合したＣＰＵ及び／またはＤＳＰ（ディジタル信号プロセッサ
）５０４を具えている。より詳細には、プロセッサ５０４は、フラッシュメモリ
５２０、あるいはバス５０２に結合したファームウエアメモリ５２２に記憶可能
なソフトウエアを実行する。フラッシュメモリ５２０は、プロセッサを初期化ｄ
するための起動ソフトウエアを含むことができ、そして、一時変数を不揮発的に
記憶するために使用することができる。例えばフラッシュメモリは、暗号キー、
「メッセージの日付」、及び本明細書に記載したセキュリティに関する他のメッ
セージを記憶するために使用することができる。特権制御表は他で説明するよう
に、フラッシュメモリに記憶するか、あるいはダウンロードすることができる。
通信システム５００は、必要な際にデータを一時記憶するための、メモリバス５
２６経由で通信バス５０２に結合したランダムアクセスメモリ５２４も具えてい
る。例えばＲＡＭメモリは、データパケットの処理、カプセル化パケットの包含
、そしてヘッダ及び他のパケットフィールドからの情報抽出に用いることができ
る。

【００５０】 システム５００はさらに、キーボード、視覚表示、ハンズフリー音声チャンネ
ル、等を通して操作者との相互作用（対話、やり取り）が可能な、操作者インタ
フェースモジュール５１６を具えている。あるいはまた、通信システム５００は
、自動車に既存の運転者用インタフェースシステムを通して操作者と対話するこ
とができる。こうした実施例では、通信に関するユーザとの相互作用は、自動車
用バスアダプタブリッジ５１０経由で自動車用バス５１２に転送される。アダプ
タブリッジ５１０は、商用バスと自動車用バスとの間の通信に必要な電気的及び
論理的変換を共に提供する。このことは通信システムが、例えば自動車用バス５
１２に結合したダッシュボードの表示システム５１４によって、操作者に対して
メッセージを表示することを可能にする。アダプタブリッジ５１０は、通信シス
テムを自動車用オーディオシステム５３０に結合するためにも有用である。エア
バッグシステム５３２及びＧＰＳシステム５３４のような他の自動車用サブシス
テムも例として示してある。

【００５１】 通信システム５００と他のオンボード自動車用システムとの間の相互作用の例
として、以下により詳細に説明するように、通信システム５００を、オーディオ
番組のコンテンツをダウンロードするために使用することができる。オーディオ
コンテンツの受信、暗号解読、復号化、等をして、実際のペイロードまたはオー
ディオデータをＲＡＭ５２４に蓄積することができる。そしてＣＰＵ５０４がオ
ーディオコンテンツを、ＲＡＭ５２４から通信バス５０２及び自動車用バスアダ
プタブリッジ５１０経由でオーディオシステム５３０に転送して、このオーディ
オシステムでは要求によりオーディオコンテンツを再生することができる。そし
てオーディオシステム５３０は自前のメモリーシステムを有することができ、こ
こにオーディオコンテンツを記憶して、通信システム５００とは無関係に、この
コンテンツを後の時間に使用することができる。逆に、他の方向に行けば、操作
者が自動車用オーディオシステム５３０を表示システム５１４と組み合わせて使
用して、特定のオーディオまたはビデオのコンテンツを自動車にダウンロードす
るための要求を入力することができる。これらの指示は、自動車用バス５１２か
らアダプタブリッジ５１０を経由してプロセッサ５０４に渡り、通信システムに
よって実行される。通信システムは、娯楽のためだけでなく、911番の緊急メッ
セージのような重要データの送信及び受信を共に実現するためにも、他のオンボ
ード自動車用システムと相互作用する。

【００５２】 ハードウエアアーキテクチャの概要の説明を続ければ、通信システム５００は
さらに、例えばリンクコントローラ５５０、５６０、及び５７０のような、複数
のリンクコントローラモジュールを具えている。各リンクコントローラは、アナ
ログモデムリンク、慣例のセルラー電話リンク、ＣＤＰＤリンク、等のような、
対応する通信リンクの動作を制御する。リンクコントローラの各々は、ＣＰＵ５
０４及びＲＡＭ５２４と相互作用するために通信バス５０２に結合する。特に、
ブロードバンドのダウンロードのような高速動作用には、対応するリンクコント
ローラが、バッファメモリ回路、及び高速のエラーチェック、エラー訂正、等用
のハードウエア回路を具えることができる。各リンクコントローラは、物理層に
接続するために、対応するトランシーバ型のインタフェース、この場合は対応す
るアンテナに結合する。従って、例えばリンクコントローラ５５０を「PHY1」に
結合して、PHY1はアナログモデムとすることができる。そして同様にPHY1をアン
テナ５５４に接続して、リンクコントローラ５６０をPHY2に接続し、そしてPHY2
を第２アンテナ５６４に接続する。各アンテナは、対応する通信リンクに適用可
能な周波数に適した大きさ及び設計であることが好ましい。少なくとも１つのリ
ンクコントローラ、例えば５７０を、対応する物理インタフェースを通して、適
合アンテナ５７４に接続する。これは、屋根のライン、フード、またはスポイラ
ーのような自動車の一部分の形状に適合したアンテナまたはアンテナアレイのこ
とを称し、これによりアンテナを、対応する車体部分に隣接させるか、あるいは
この部分内に見えないように埋め込むことができる。ＣＰＵはＲＡＭメモリ５２
４中に、（ヘッダ、ラベル、及びペイロードを含む）データの同時転送を行うた
めの多数のポインタを維持する。各リンクコントローラは、例えばレイテンシ（
待ち時間）情報、あるいはレイテンシを計算するために使用可能なバッファの大
きさのような状態情報をＣＰＵに供給して、ＣＰＵが通信リンクを選択するに当
たり、これらの情報を考慮に入れる。リンクコントローラは、対応するリンクコ
ントローラが現在完全に使用可能であるか否かも指示して、このことも通信リン
クを割り当てるに当たって考慮に入れなければならない。本アーキテクチャ、及
び機能的に同様ないずれのアーキテクチャも、通信を多数の同時リンクに「拡散
」するために用いることができる、ということが重要である。このことは拡散ス
ペクトル伝送と混同しないべきであり、拡散スペクトル伝送は、例えば広範に用
いられているＣＤＭＡセルラー電話システムにおけるように、データを多数の周
波数上に拡散させるために一般的に用いられる技法である。拡散スペクトルは信
号を多数の周波数上に拡散させるが、それにもかかわらず、これらの信号は単一
の論理チャンネルを表現する。例えばＣＤＭＡは、周波数組毎に、64チャンネル
の符号化のうちの１つを提供する。本発明は、所定の通信を、２つ以上の別個の
通信リンク上に拡散させることを提供し、各通信リンクは異なる周波数及び／ま
たは異なる転送レート（速度）を使用することができる。

【００５３】 図６は、本発明の安全な動的リンク割り当てシステムで動作する任意の２つの
ノード間の安全な通信セッションを確立するに当たって実行するステップを表わ
すフローチャートである。例えば、安全な通信セッションの初期化は、自動車上
で動作する移動体ノードと、自動車クラブ、自動車製造業者、ディーラー、イン
ターネットのサービスプロバイダ、あるいは他の移動体ノードのようなサービス
提供者（プロバイダ）が動作させるコール（呼び出し）センターノードとの間で
発生し得る。図６に示すように、セキュリティマネージャ１５８（図１）はまず
安全なセッションのログ（通信記録）中で、メッセージ２０２（図２Ａ）中に識
別される宛先に対応する暗号化した変数の存在を探索する（ステップ６１０）。
安全なセッションログ中にエントリが存在する場合には、送信ノードが、安全な
セッションログ中に記憶された暗号化セッションヘッダの交換に着手して（ステ
ップ６１４）、暗号化したセッションヘッダによって表現される有効セッション
を確認して再確立する。

【００５４】 暗号化変数を安全なセッションログ中に保存していないか、あるいは暗号化し
たセッションヘッダを両方のパリティによって通信に対して認証していない場合
には、セキュリティマネージャは、新たな暗号化キーの生成及び交換で始まる新
たな安全なセッションの初期化に進む（ステップ６２０）。暗号化キーの交換及
び私的キーの共用の生成は、Diffie-Hellmanアルゴリズムのような共用私的キー
の生成アルゴリズムを用いて行い、このアルゴリズムは、パリティと、秘密キー
を生成するためのアルゴリズムとの双方によって交換される公開キーを使用し、
この秘密キーは、交換される公開キーと、各当事者の公開キーに対応して保存さ
れる秘密キーの両者にもとづく双方のノードに共通である。そして双方のノード
が、ディジタル署名アルゴリズムのメッセージを交換して、互いのメッセージを
認証し合って、互いのノードの同一性を確認する（ステップ６２２）。次にこれ
らのノードは、ソフトウエアのバージョン及び製造番号情報を（ステップ６２４
）交換して、これらの情報は双方のノードが、これらのノードにとって既知の基
本ＰＣＴを特定するために使用する。例えば、第１ノードがオペレーティングシ
ステムソフトウエアのバージョン5.2であり、第２ノードがオペレーティングシ
ステムソフトウエアのバージョン5.1であるが、両ノードが、システムソフトウ
エアのバージョン5.0バージョンい対応するＰＣＴを記憶している場合には、シ
ステムセキュリティマネージャがこの共通のバーションレベルを扱って、このバ
ージョンレベル（及び好適ならば製造番号）に対応する基本ＰＣＴを使用する。
暗号化変数がセッションログ中に記憶されており、そしてこれらの変数をノード
間で交換して（ステップ６１４）、認証する（ステップ６１６）事象では、キー
交換及び秘密キーの生成のステップ６２０、ディジタル署名アルゴリズムメッセ
ージの交換及び認証のステップ６２２、及びシステムソフトウエアのバージョン
及び製造番号の交換のステップ６２４をバイパス（省略）する。

【００５５】 新たに安全なセッションを確立するか、あるいは既存の安全なセッションを再
認証するかにかかわらず、基本ＰＣＴを識別し（ステップ６２６）、再配列して
（ステップ６２８）、これにより、ＰＣＴエントリに対応する内容ラベルを記録
するか、あるいはスクランブルして、上述した内容ラベル付け及び確認の機能の
傍受及び書き変えを回避する。基本ＰＣＴを再配列するために、セキュリティマ
ネージャは生成された共用秘密キーを、システムソフトウエアのバージョンにお
ける私的再配列アルゴリズムと組み合わせて用いて、独立した早見表（ルックア
ップテーブル）または再配列機能に記憶可能な再配列情報を生成する（ステップ
６２８）。最後にセキュリティマネージャは、暗号化変数、ディジタル署名、ア
ルゴリズムメッセージ、及びその他のセッション情報を、安全なセッションログ
中に記憶することによって、安全なセッションの初期化を完了し、このセッショ
ンログを暗号化して、セキュリティマネージャのみがアクセス可能にすることが
できる。安全なセッションの初期化及び暗号化変数の記憶を完了すると、ソフト
ウエアは、メッセージの暗号化及び送信の準備完了をセキュリティマネージャに
示す、安全なセッションの有効状態に戻えう。

【００５６】 図７及び図８は、図６の安全なセッションの初期化手続き６００による、コー
ルセンター及びノードのそれぞれにおける、暗号化キー交換のステップ６２０及
びディジタル署名認証のステップ（ＤＳＡ）６２２を表わすフローチャートであ
る。図７に示すように、入力呼びを受信すると、コールセンターは、この入力呼
びが、既知の発呼者がメッセージの暗号化及び暗号解読より先に、暗号化した安
全なヘッダを受信して認証して応答したものである有効セッションの続きである
か否かをチェックして特定する。入力呼びが有効セッションの続きでない場合に
は、Diffie-Hellman公開キー（ＤＨ ＰＫ）の交換、及びコールセンターがサー
ビスを行う地域及び領域に関するディジタル署名アルゴリズムメッセージ（ＤＳ
Ａ Ｍｓｇ）の交換及び認証によって、新たなセッションを確立する。呼びが、
コールセンターが発生した出力呼びである場合には、暗号化セッションヘッダの
交換、及び暗号化メッセージの送信前の、コールセンターと自動車サイトの双方
による認証によって、有効セッションを確立することができる。さもなければ、
Diffie-Hellman公開キー（ＤＨ ＰＫ）の交換、ＤＳＡメッセージの交換、及び
確認によって、新たなセッションを確立する。図７には、内容ラベル付け及び再
配列は示していないが、暗号化及び暗号解読の開始より先に実行する。図６及び
図７に示すように、暗号化、ディジタル署名アルゴリズム、内容ラベル付け及び
確認、及びその他のセキュリティ機能の実現は、本発明による安全な動的リンク
割り当てシステムのセキュリティの特徴を進歩的に強化するように、セキュリテ
ィマネージャにおいてモジュール的に実現することができる。このアーキテクチ
ャは特に移動装置の関係において有利であり、移動装置は、技術的改良の結果と
して、データ記憶容量及び処理能力が急速に向上している。

【００５７】 図８に示すように、自動車ノードのセキュリティマネージャは、入力及び出力
の呼びを、コールセンターノード（図７）と同様の方法で取り扱う。コールセン
ターのＤＳＡメッセージの利用可能性に応じて、コールセンターのディジタル署
名認証用の、地域的及び全地球的なＤＳＡメッセージの存在または不在の取り扱
いについて、随意的なバイパス手続きを設ける

【００５８】 図７及び図８に示すように、例えば、キー交換及び認証プロセス中のあらゆる
状態における、暗号化キーまたはディジタル署名メッセージの受信の失敗のよう
な失敗条件を検出するいずれの他の状態からも、キー交換及び認証手続きの失敗
状態に入る。キー交換認証プロセスの失敗は、安全なセッション及び初期化プロ
セスを再開することを、ノードに要求する。

【００５９】 図９Ａは、自動車のような移動体ノードの、移動体ノードで受信した入力メッ
セージ用の特権制御表（ＰＣＴ）の例である。図９Ｂは、移動体ノードからの安
全な送信用に認可した、選択した出力メッセージ用の、移動車両ノード用のＰＣ
Ｔである。図９Ｃは、自動車クラブのコールセンターにおけるコールセンターノ
ードに記憶した出力メッセージＰＣＴの例である。図９Ａ、図９Ｂ、及び図９Ｃ
のＰＣＴは単なる好適例であり、全く包括的あるいは限定的なものではないこと
は明らかである。

【００６０】 図９Ａに示すように、移動体ノードの入力ＰＣＴは多数のエントリを具え、各
エントリには、一連の数字識別子のような内容ラベルを付けてある。あるいはま
た、内容ラベルは、移動体ノードの入力ＰＣＴのレコード（記録）のメモリポイ
ンタまたは他の識別子によって表現することができる。入力ＰＣＴの各レコード
またはエントリは、内容ラベルに加えて、送信元（ソース）のアドレス、送信元
のアプリケーション、宛先のアプリケーション、メッセージのサイズ、及び最小
セキュリティレベルを含む。例えば内容ラベル４は、移動体ノードのアプリケー
ション層において実行中のｅ−メールアプリケーション宛ての送達を指定され、
ＩＳＰメッセージ伝送アプリケーションから受信した、10キロバイト〜５メガバ
イトのサイズ及び「ロー（低）」の最小セキュリティレベルを有する、認可され
たメッセージ型のｅ−メールを識別するものである。ＰＣＴレコード中に識別さ
れるすべての条件を満足し損ねたｅ−メールメッセージは、宛先のアプリケーシ
ョンへの送達を拒否されて、メッセージ拒絶の応答が、セキュリティマネージャ
によって送信元のアプリケーションに送信される。例えば、ｅ−メールのメッセ
ージサイズが認可されたメッセージサイズよりも大きいか小さい場合には、確認
手続きがこのメッセージを拒絶して、有害なメッセージが自動車ノード上に送達
されて実行されることを回避する。内容ラベルは、メッセージがＰＣＴに挙げら
れた型のものであると、移動体ノードのセキュリティマネージャをだまして信じ
込ませようとする悪意の攻撃に対する、（暗号化及びディジタル署名の認証に加
えた）追加的なセキュリティを提供する。内容ラベルを確認すると、セキュリテ
ィマネージャは、基本ＰＣＴ内容ラベル（図９Ａ）、及び記憶している、共用の
私的キーを用いるセキュリティマネージャのアルゴリズムにもとづいて、図６で
説明した再配列した内容ラベルを特定する。記録アルゴリズムが、自動車ノード
によって実現される他のセキュリティアルゴリズムとは異なり、これにより、シ
ステムの他のセキュリティモジュールを突破した攻撃者が、記録アルゴリズムに
直接アクセスしないようにすることが好ましい。

【００６１】 （適用不可能なものまたはセキュリティレベルの「オフ状態」（図示せず）を
含めた）種々のセキュリティレベルをＰＣＴ中に確立して、送信ノードのセキュ
リティマネージャ及びリンクマネージャがこれを使用して、セキュリティ対策及
びリンクの選択を決定する。ＰＣＴ中の最小セキュリティレベルを確立すること
によって、本発明の安全な動的リンク割り当てシステムは、セキュリティマネー
ジャ及び／またはＰＣＴによる認可がない場合に、システムの通信機能に直接ア
クセスすることによってセキュリティ対策をだますトロイの木馬のアプリケーシ
ョンを回避する。図９Ｂは、緊急遭難メッセージの宛先アドレスが、（911コー
ルセンターとしても知られている）公共安全応答点（ＰＳＡＰ）限り、そして送
信元のアプリケーションがＰＣＴ中に認められる緊急アプリケーションであるも
のとすれば、セキュリティ対策なしに送信可能であり、あらゆるメッセージサイ
ズであり得る緊急遭難メッセージ（内容レベル＝３）用のエントリを含む自動車
の出力メッセージのＰＣＴの例である。図９Ｃに示すように、自動車クラブのコ
ールセンターのノードが、自動車の所有者及び自動車クラブのメンバーに対する
サービスとして、沿道での援助目的で実行する自動車のロック解除及び位置の問
い合わせのような、コールセンターが実行する機能に限定したエントリを有する
出力メッセージの特権制御表を具えている。

【００６２】 自動車への無認可のアクセスを防止するために、自動車クラブには、自動車の
設定、ｅ−メール、及び電話発信サービスのような機能に対応するＰＣＴ情報は
提供しない。しかし、ノードのＰＣＴが無認可機能に対応するＰＣＴエントリを
たまたま具えていた場合には、受信ノードのＰＣＴのエントリが無認可送信者の
送信元のアプリケーション及びアドレス情報に対応していないので、メッセージ
送信は無認可のままである。

【００６３】 図１０にはさらに、本発明のリンク割り当て及び疎結合ネットワークの態様を
示す。この図では、自動車１０００のような移動装置が、本発明による安全なデ
ータリンク割り当てシステムを実現するオンボード通信コントローラを具えてい
る。動作中には、移動体のユーザが、音声チャンネルまたはディジタルデータリ
ンクチャンネル上の帯域内周波数信号のような、低帯域チャンネルを利用する第
１リンク１００２上の要求メッセージを開始する。このメッセージは、慣例のＣ
ＤＭＡキャリア（搬送波）のような無線ネットワーク１００４が受信する。この
無線キャリアは、電話番号に従って、メッセージを基地局サービスコントローラ
に経路設定する。基地局１００６には、人間の操作者が存在する必要がない。基
地局１００６はゲートウエイのように動作して、無線ネットワークからの要求メ
ッセージを受信して、これらのメッセージに応答して、インターネット上で対応
するサービスプロバイダに転送するための、ＨＴＴＰ、ｅ−メール、あるいは他
のインターネットプロトコルを用いた送信要求メッセージを作成する。この図で
は、プロバイダ１０２０には、一般的な自動車製造業者を「Ford」というラベル
が付いているが、このラベルは地域のディーラー（販売業者）または代理店でも
よい。自動車メーカー１０２０は、要求の性質にもとづいて、このメッセージを
適切なサービスプロバイダに転送する。疎結合ネットワークのこのセグメント（
一部分の動作）は、あらゆる種類の利用可能なリンク上で実行することができる
。一部のアプリケーション用には、適度に高い帯域の電話または有線ネットワー
ク接続、あるいはインターネットを用いることができる。

【００６４】 本発明のシステムの他の応用では、移動体のユーザ１０００が、データまたは
サービスの要求を送信し、これは、移動装置の現在位置の要求の指示を含む。こ
のことは、移動装置内に配備したＧＰＳ受信システムによって提供することがで
きる。この位置情報は、ディジタルメッセージ中のペイロードとして搬送するか
、あるいは、無線電話ネットワーク上の音声チャンネルに埋め込むことができる
。この場合には、サーバー１００６のような基地局が、要求データまたはサービ
スを送達する方法を決定するに当たり、移動装置の位置を考慮に入れる。例えば
移動装置が、１つ以上の広帯域送信塔付近に現在位置を有する場合には、要求メ
ッセージを形成して、１０３４経由で広帯域マクロセルサーバー１０３６に送信
することができる。メッセージ１０３４は、インターネット経由で送信すること
ができるが、地上線モデムまたは広域ネットワーク上でも全く同様に伝送するこ
とができる。広帯域マクロセルサーバー１０３６は、要求されたデータを集めて
、１０４０のような選択した送信タワー経由での無線送信用に急送する。自動車
が移動中である場合には、その後のメッセージを移動装置から送信して、移動装
置の位置を更新することができる。これらの更新をマクロセルサーバーに転送し
て、マクロセルサーバーは、１０４２のような追加的な無線送信タワーを動作さ
せることができる。

【００６５】 広帯域マクロセルは、無線データを送達すべき固定位置から構成することがで
きる。例えば、映画コンテンツの送達用に構成したドライブスルー（乗車したま
まサービスを受けること）または駐車区画において、比較的短距離の無線送信を
使用することができる。このシナリオでは、ユーザは単に映画館に車で行って、
ダッシュボードのユーザインタフェースを通して所望の映画を注文する。位置に
もとづく動的なインターネットアドレスを、コンテンツの送達用に決定すること
ができる。あるいはまた、前述したように、チャンネル符号（コード）を、コン
テンツの広帯域送信の復号化に使用する低速の接続上で、直接移動装置に送達す
る。これらのことは、疎結合ネットワークを使用する追加的な例であり、通常は
複数のメッセージセグメントを具えて、柔軟性（フレキシビリティ）、効率、安
全性、及びコストの改善を達成する。最後に、図１０に、慣例のＤＳＬまたはケ
ーブル接続を使用して、慣例のＰＳＴＮを通して無線ネットワーク１０４０に結
合可能な、あるいはインターネットに結合可能な、あるいはインターネットのサ
ービスプロバイダー（図示せず）を通してインターネット１０１０に結合可能な
、家１０５０または他の固定位置を示す。移動体のユーザの自宅またはオフィス
は、本発明の態様を利用した種々の通信に含めることができる。例えば、位置１
０５０にいる同僚または親戚が、移動体のユーザの現在位置を知らず、従って、
移動体のユーザが現時点でいかなる通信が利用可能であるかを知らないことがあ
る。さらに、移動装置が、慣例のセルラー電話サービスが利用不能な位置にいる
こともある。電話サービスが利用不能であるにもかかわらず、移動体のユーザは
なお、上述したような位置にもとづく動的なＩＰアドレスによるｅ−メール／イ
ンターネットのメッセージ伝送を用いることができる。

【００６６】 全地球測位システムは、あらゆる装置に、地球上の位置の一意的なフォーマッ
ト及び基準点を提供する。地球上の２つの場所は同一位置を有しない。緯度及び
経度的な意味で６フィート（約183cm）の解像度で（例えば-122 30.1255,45 28.
3478）、一意的なアドレス（番地）の総人口を計算することによって、約2.16×
1016の一意的な位置を達成することができる。この方法は、1999年11月2日出願
の、インターネットプロトコル（IPv4,IPv6）互換の、位置にもとづく全地球上
での一意的なアドレス指定方法についての、同一出願人による米国特許番号09/4
32,818に記載されている。ＧＰＳ受信機を自ら製造し、そして自動車におけるＧ
ＰＳ受信機の開発を行っているＧＰＳ無線通信ハンドセットの供給者が近年公表
するところによれば、多くの移動装置において、必要な全地球的な位置データが
直ちに利用可能である。

【００６７】 より詳細には、先願はネットワークアーキテクチャにおける規範の移行につい
て記載したものである。先願に記載のアドレス指定方法は、既存のネットワーク
及びプロトコルと後方（上位）互換性であるが、これらのものに新たな方法でテ
コ入れしている。慣例的には、無線電話またはラップトップコンピュータのよう
な移動装置は、ネットワークアーキテクチャにおける「クライアント（依頼者）
」として考えられ、従って通信ソフトウエアまたは「スタック」が設けられてい
た。クライアントはサーバーと、そしてサーバを通して通信する。最初は、サー
バーまたはホストがＩＰアドレスをクライアントに割り当てる（通常はＤＨＣＰ
−Dynamic Host Configuration Protocol：動的ホスト構成プロトコルを用いる
）。そして、クライアントがこのサーバを通して、割り当てられたアドレスを用
いて、世界中の自分以外のものと通信可能になる。ゲートウエイとして動作する
サーバーは、クライアントからパケットを受信して、これらのパケットを包んで
（封入して）、より広域のネットワーク上に送信する。この構成は、移動装置に
とって好都合ではなく、ある状況では不可能なものである。

【００６８】 前願は、この慣例の構成に手を加えたものである。前願の発明によれば、移動
体の「クライアント」またはエンド（末端）ユーザの装置が自分自身にＩＰアド
レスを割り当てて、この機能のためにサーバーまたはホストに伺いを立てない。
このため、出願人は新規のＤＣＣＰ（Dynamic Client Configuration Protocol
：動的クライアント構成プロトコル）を規定する。ここでは、中間装置の数を低
減して、インターネットに及ぶより大きなネットワーク上で直接通信可能である
という点で、クライアントがサーバーとして動作する。従って、この新たな独立
クライアントは、（全地球的な位置にもとづく）自分自身のＩＰアドレスを割り
当てて、ゲートウエイまたはルーターと同じ動作をして、自分自身のパケットを
選択して封入することができる。アドレスは、従来技術のようにホストが決定し
て与えるのではなく、クライアントが決定して申し出る。この新たな規範は、従
来技術のシステムよりもずっと高速でインターネットを通過して、通信のレイテ
ンシ及びオーバヘッドを現状レベルよりもずっと小さくする潜在的可能性を大い
に有する。

【００６９】 本発明の関係では、セッション層において、手直ししたスタックがＧＰＳ応用
からの全地球的な位置データをアクセスする。この情報はＩＰアドレスを形成す
るために使用し、ＩＰアドレスは、媒介者として作用する無線キャリア上での中
継なしに、移動装置とインターネット（即ちインターネットに接続した他のノー
ド）との間の通信を可能にし、そして潜在的に、こうしたアクセスのコストに追
加が生じる。無線キャリアで短いメッセージを交換する代わりに、無線キャリア
にインターネットをアクセスさせてユーザ用の情報を得て、移動体のユーザが直
接アクセスできるようにする。

【００７０】 本発明の元になる原理から逸脱することなく、上述した本発明の実施例の詳細
に対して、多数の変更が可能であることは、当業者にとって明らかである。従っ
て、本発明の範囲は請求項によってのみ規定される。

【図面の簡単な説明】

【図１】 送信ノード及び受信ノードにおいて、本発明による移動体データ通信
用の安全動的リンク割り当てシステムを形成するために実行するシステムソフト
ウエアプログラムの概要を示す相互接続図である。

【図２Ａ】 それぞれの送信及び受信ノードで動作中の、図１のシステムソフト
ウエアのソフトウエアアーキテクチャを図式的に示し、そして、送信ノードにお
いて生成するメッセージを表わす図であり、このメッセージは、送信ノードにお
いて受信ノードへの送信用にシステムソフトウエアによって処理されて、受信ノ
ードにおいて受信されると、受信ノードのアプリケーションに対する表現用に処
理される。

【図２Ｂ】 それぞれの送信及び受信ノードで動作中の、図１のシステムソフト
ウエアのソフトウエアアーキテクチャを図式的に示し、そして、送信ノードにお
いて生成するメッセージを表わす図であり、このメッセージは、送信ノードにお
いて受信ノードへの送信用にシステムソフトウエアによって処理されて、受信ノ
ードにおいて受信されると、受信ノードのアプリケーションに対する表現用に処
理される。

【図２Ｃ】 図１のシステムソフトウエアのリンクマネージャの動作、及びこの
リンクマネージャのネットワークリンクコントローラとのインタフェースを図式
的に示す図である。

【図３】 図２Ａ、図２Ｂ、及び図２Ｃに示すように、送信ノード上で動作する
図１のシステムソフトウエアが実行するを示すフローチャートである。

【図４】 図１のシステムソフトウエア及び安全動的リンク割り当てシステムを
、開放型システム間相互接続（ＯＳＩ）モデルを参照して示した概念図であり、
これは、種々の物理ネットワークリンク上の疎結合ネットワーク化用に実現され
る。

【図５】 本発明の好適な実施例による、図１の安全動的リンク割り当てシステ
ムを自動車内に実現するための移動体通信ノードのハードウエアアーキテクチャ
を示す簡略化したブロック図である。

【図６】 図５の移動体ノードと、図１の安全動的リンク割り当てシステムを操
作する呼び出しセンターノードとの間の安全通信セッションの確立において実行
するステップを表わすフローチャートである。

【図７】 図６の呼び出しセンターノードにおける暗号キー交換及びディジタル
署名認証のステップを表わすフローチャートである。

【図８】 図６に示す方法による、移動体ノードにおける暗号キー交換及びディ
ジタル署名認証のステップを表わすフローチャートである。

【図９Ａ】 図２Ａ、図２Ｂ、図２Ｃ、及び図６を参照して説明した、図１の安
全動的リンクシステムの内容のラベル付け及び確認プロセスを実現するための、
本発明による特権制御表（ＰＣＴ）の例である。

【図９Ｂ】 図２Ａ、図２Ｂ、図２Ｃ、及び図６を参照して説明した、図１の安
全動的リンクシステムの内容のラベル付け及び確認プロセスを実現するための、
本発明による特権制御表（ＰＣＴ）の例である。

【図９Ｃ】 図２Ａ、図２Ｂ、図２Ｃ、及び図６を参照して説明した、図１の安
全動的リンクシステムの内容のラベル付け及び確認プロセスを実現するための、
本発明による特権制御表（ＰＣＴ）の例である。

【図１０】 図３〜図５のリンク割り当て及び疎結合ネットワーク化方法をさら
に示す図である。

───────────────────────────────────────────────────── フロントページの続き (31)優先権主張番号 ６０／２１５，３７８ (32)優先日 平成12年６月29日(2000．6．29) (33)優先権主張国 米国（ＵＳ） (81)指定国 ＥＰ(ＡＴ，ＢＥ，ＣＨ，ＣＹ， ＤＥ，ＤＫ，ＥＳ，ＦＩ，ＦＲ，ＧＢ，ＧＲ，ＩＥ，Ｉ Ｔ，ＬＵ，ＭＣ，ＮＬ，ＰＴ，ＳＥ，ＴＲ)，ＯＡ(ＢＦ ，ＢＪ，ＣＦ，ＣＧ，ＣＩ，ＣＭ，ＧＡ，ＧＮ，ＧＷ， ＭＬ，ＭＲ，ＮＥ，ＳＮ，ＴＤ，ＴＧ)，ＡＰ(ＧＨ，Ｇ Ｍ，ＫＥ，ＬＳ，ＭＷ，ＭＺ，ＳＤ，ＳＬ，ＳＺ，ＴＺ ，ＵＧ，ＺＷ)，ＥＡ(ＡＭ，ＡＺ，ＢＹ，ＫＧ，ＫＺ， ＭＤ，ＲＵ，ＴＪ，ＴＭ)，ＡＥ，ＡＧ，ＡＬ，ＡＭ， ＡＴ，ＡＵ，ＡＺ，ＢＡ，ＢＢ，ＢＧ，ＢＲ，ＢＹ，Ｂ Ｚ，ＣＡ，ＣＨ，ＣＮ，ＣＲ，ＣＵ，ＣＺ，ＤＥ，ＤＫ ，ＤＭ，ＤＺ，ＥＥ，ＥＳ，ＦＩ，ＧＢ，ＧＤ，ＧＥ， ＧＨ，ＧＭ，ＨＲ，ＨＵ，ＩＤ，ＩＬ，ＩＮ，ＩＳ，Ｊ Ｐ，ＫＥ，ＫＧ，ＫＰ，ＫＲ，ＫＺ，ＬＣ，ＬＫ，ＬＲ ，ＬＳ，ＬＴ，ＬＵ，ＬＶ，ＭＡ，ＭＤ，ＭＧ，ＭＫ， ＭＮ，ＭＷ，ＭＸ，ＭＺ，ＮＯ，ＮＺ，ＰＬ，ＰＴ，Ｒ Ｏ，ＲＵ，ＳＤ，ＳＥ，ＳＧ，ＳＩ，ＳＫ，ＳＬ，ＴＪ ，ＴＭ，ＴＲ，ＴＴ，ＴＺ，ＵＡ，ＵＧ，ＵＳ，ＵＺ， ＶＮ，ＹＵ，ＺＡ，ＺＷ (72)発明者 ミッチ エイ ベンジャミン アメリカ合衆国 ワシントン州 98058 レントン エスイー 第195 プレイス 13951 (72)発明者 トレイシー ジェイ オルソン アメリカ合衆国 ワシントン州 98001 オーバーン 第52 プレイス サウス 29118 (72)発明者 ハリス オー ヒナント アメリカ合衆国 ワシントン州 98116 シアトル 第45 アヴェニュー エスダブ リュー 4031 Ｆターム(参考） 5B089 GA21 HB19 JA33 KA17 KB13 KC15 KC57 KF06 KG03 5J104 AA07 PA01 5K067 AA30 BB21 BB36 DD20 DD51 DD52 EE02 EE07 EE10 EE16 FF02 JJ52 JJ56 【要約の続き】 ットにブロードバンド配信を可能とするリンクチューズ ロジックを含むと共に、複数の通信リンクによるセグメ ントメッセージの並列伝送を含むことができる点にあ る。

Claims (29)

【特許請求の範囲】
1. 【請求項１】 少なくとも１つの移動装置を含む安全な階層化通信方法であって
   、前記移動装置が少なくとも１つのアプリケーションプログラムを具え、該アプ
   リケーションプログラムが、メッセージを送信元のアプリケーション、宛先のア
   プリケーション、及びメッセージ型に関連付けて送信する通信方法において、こ
   の方法が、 一連のエントリを具えた基本的な優先順位制御表を確立するステップを具えて
   、前記表中の各エントリが、選択した送信アプリケーション、選択した宛先アプ
   リケーション、及び選択したメッセージ型の所定の組み合わせに対応する、許可
   されたメッセージのクラスを示し； この方法がさらに、一連の内容ラベルを用意するステップと； 前記内容ラベルの各々を、前記優先順位制御表中の少なくとも１つのエントリ
   に関連付けるステップと； 前記メッセージを検査して、前記メッセージのペイロードを読み取ることなく
   前記メッセージの型を特定するステップと； 前記優先順位制御表を参照することによって、前記メッセージが許可されたも
   のであるか否かを特定するステップと； 前記メッセージが、前記優先順位制御表によって許可されたものである場合に
   、前記メッセージに関連する内容ラベルを付加して、前記メッセージを前記宛先
   アプリケーションに送信することを認可するステップと を具えていることを特徴とする通信方法。
2. 【請求項２】 さらに、前記内容ラベルと前記優先順位制御表のエントリとの関
   連付けを変更するステップを具えていることを特徴とする請求項１に記載の方法
   。
3. 【請求項３】 前記通信方法がさらに、 前記アプリケーションプログラムからの通信サービス要求を排他的に受信する
   プロトコルマネージャを用意することによって、前記アプリケーションプログラ
   ムを隔離するステップを具えて、前記プロトコルマネージャが、種々のアプリケ
   ーションプログラムに対応する仮想ソケット接続を確立する複数の異なるメッセ
   ージプロトコルを実現し； 前記通信方法がさらに、前記メッセージを送信する前に、前記メッセージにプ
   ロトコルラベルを付けるステップを具えて、前記プロトコルラベルが、前記アプ
   リケーションが前記メッセージを送信した前記仮想ソケット接続のプロトコルの
   種類の指標を含んで、これにより、前記宛先アプリケーションに対応する仮想ソ
   ケット接続の確立を促進する ことを特徴とする請求項１に記載の方法。
4. 【請求項４】 さらに、前記プロトコルラベルを付けたメッセージを送信する前
   に、このメッセージを暗号化するステップを具えていることを特徴とする請求項
   ３に記載の方法。
5. 【請求項５】 前記宛先アプリケーションが宛先ノード上で実行されて、前記暗
   号化のステップが、前記宛先ノードにおいて、暗号化キーを交換するステップを
   具えた安全なセッションを確立するステップを含むことを特徴とする請求項４に
   記載の方法。
6. 【請求項６】 さらに、 各々が対応する無線送信機に結合された、複数の通信リンクコントローラを用
   意するステップと； 前記メッセージを複数のメッセージセグメントにセグメント区分するステップ
   と； 前記メッセージセグメントの各々を、前記通信リンクコントローラのうち、対
   応する送信機による送信用に選択した異なるものに割り当てて、これにより、前
   記メッセージの送信のセキュリティを強化することを特徴とする請求項３に記載
   の方法。
7. 【請求項７】 前記割り当てのステップが、少なくとも部分的に、送信を行うア
   プリケーションが指示するセキュリティレベルにもとづくことを特徴とする請求
   項６に記載の方法。
8. 【請求項８】 前記割り当てのステップが、少なくとも部分的に、送信を行うア
   プリケーションが指示するコスト感度にもとづくことを特徴とする請求項６に記
   載の方法。
9. 【請求項９】 前記割り当てのステップが、少なくとも部分的に、メッセージの
   型にもとづくことを特徴とする請求項６に記載の方法。
10. 【請求項１０】 移動装置に広帯域伝送するための、疎結合の専用ネットワーク
    ループの通信方法であって、この方法が、 移動装置に無線通信能力を具えさせるステップと； 前記移動装置からの第１無線メッセージを、第１リンク経由で基地局に送信す
    るステップとを具えて、前記第１メッセージが、前記移動装置への転送用に選択
    したデータを要求する指標を含み、前記第１リンクが所定のデータ転送レートを
    有し； この方法がさらに、前記基地局において、前記第１メッセージを受信して、前
    記第１メッセージに応答する第２メッセージを形成するステップを具えて、該第
    ２メッセージが前記移動装置の識別子を含み； この方法がさらに、前記基地局からの前記第２メッセージを、選択した情報サ
    ーバーに第２リンク上で送信するステップを具えて、前記第２リンクが前記第１
    リンクよりも高いデータ転送レートを有して； この方法がさらに、前記選択した情報サーバーにおいて、前記第２メッセージ
    を受信して、前記第２メッセージに応答して、前記選択したデータを、前記第２
    リンクよりも高いデータ転送レートを有する広帯域リンク経由で、要求をしてい
    る前記移動装置に送信することを開始するステップと； 前記移動装置において、広帯域無線放送からのデータを受信すべく適応させた
    受信専用チャンネル上で、前記選択した情報を受信するステップとを具えて、こ
    れにより、前記移動装置が、前記選択したデータを要求する前記第１メッセージ
    を送信した前記第１リンクの転送レートよりも高いデータレートで、前記要求し
    たデータを受信する ことを特徴とするネットワークループの通信方法。
11. 【請求項１１】 前記第１リンクが無線の音声発呼を含み、前記第１メッセージ
    を音声によって送信して、前記基地局における前記第１メッセージの受信が、前
    記音声メッセージの自動認識に応答するディジタルデータの形成を含むことを特
    徴とする請求項１０に記載の方法。
12. 【請求項１２】 前記第１リンクが無線の音声発呼を含み、前記第１メッセージ
    の送信が、前記音声発呼中に、前記音声チャンネル内でディジタルデータを送信
    することを含むことを特徴とする請求項１０に記載の方法。
13. 【請求項１３】 前記前記音声チャンネル内での前記ディジタルデータの送信が
    、ブランク−バースト技法を含むことを特徴とする請求項１２に記載の方法。
14. 【請求項１４】 前記第２リンクが、地上電話線を具えていることを特徴とする
    請求項１０に記載の方法。
15. 【請求項１５】 前記選択したデータの送信の開始が、前記第２メッセージに応
    答する第３メッセージを形成して、前記第３メッセージを衛星サービスのプロバ
    イダーＳＳＰに送信して、特別な無線アプリケーションプロトコルを使用するこ
    となく、衛星による広帯域の送信機からの前記選択したデータを、要求をしてい
    る前記移動装置に送信することを開始することを特徴とする請求項１０に記載の
    方法。
16. 【請求項１６】 前記情報サーバーが、要求をしている前記移動装置に関連する
    所定の口座に対して、前記選択したデータの伝送に対する支払いを求める課金を
    開始することを特徴とする請求項１０に記載の方法。
17. 【請求項１７】 前記情報サーバーがさらに、要求をしている前記移動装置と通
    信して、前記選択したデータの伝送に対する支払いを処理することを特徴とする
    請求項１０に記載の方法。
18. 【請求項１８】 前記選択したデータの送信の開始が、前記第２メッセージに応
    答する第３メッセージを形成すること、及び該第３メッセージを広帯域のマクロ
    セルサービスプロバイダーＢＭＳＰに送信して、少なくとも１つの広帯域マクロ
    セル送信機からの前記選択したデータを、要求をしている前記移動装置に送信す
    ることを開始することを含むことを特徴とする請求項１０に記載の方法。
19. 【請求項１９】 前記基地局が、前記第２メッセージをインターネット経由で前
    記情報サーバーに送信することを特徴とする請求項１０に記載の方法。
20. 【請求項２０】 移動装置に広帯域伝送するための、疎結合ネットワークループ
    の通信方法であって、この方法が、 前記移動装置に、無線通信能力及びＧＰＳ位置決め能力を具えさせるステップ
    と； 前記移動装置からの第１無線メッセージを、第１リンク経由で基地局に送信す
    るステップとを具えて、前記第１メッセージが、前記移動装置に転送するために
    選択したデータを要求する指標を含み、前記第１メッセージがさらに、前記移動
    装置の現在位置の指標を含み、前記第１リンクが所定のデータ転送レートを有し
    ； この方法がさらに、前記基地局において、前記第１メッセージを受信して、前
    記第１メッセージに応答する第２メッセージを形成するステップを具えて、該第
    ２メッセージが、前記移動装置の識別子及び前記移動装置の現在位置の指標を含
    み； この方法がさらに、前記基地局からの前記第２メッセージを、選択した情報サ
    ーバーに第２リンク上で送信するステップを具えて、前記第２リンクが前記第１
    リンクよりも高いデータ転送レートを有して； この方法がさらに、前記選択した情報サーバーにおいて、前記第２メッセージ
    を受信して、前記第２メッセージに応答して、選択した送信設備からの前記選択
    したデータを、前記第１及び第２リンクよりも高いデータ転送レートを有する広
    帯域リンク経由で、要求をしている前記移動装置に送信することを開始するステ
    ップを具えて、これにより、前記移動装置、前記基地局、前記情報サーバー、及
    び前記広帯域無線送信設備から構成される疎結合の専用ネットワークループを形
    成する ことを特徴とするネットワークループの通信方法。
21. 【請求項２１】 前記基地局からの前記第２メッセージを、選択した情報サーバ
    ーに送信することが、前記移動装置の現在位置の指標にもとづいて、情報サーバ
    ーを選択することを含むことを特徴とする請求項２０に記載の方法。
22. 【請求項２２】 さらに、 前記基地局において、前記広帯域無線放送リンク経由で、要求をしている前記
    移動装置に送信すべき前記選択したデータを復号化するための符号を特定するス
    テップと； 前記符号をメッセージを介して、前記第１リンク上で前記移動装置に送信する
    ステップと を具えていることを特徴とする請求項２０に記載の方法。
23. 【請求項２３】 さらに、 前記移動装置において、前記基地局から前記第１リンク経由で受信した前記符
    号を用いて、前記要求したデータを前記広帯域無線放送リンク経由で受信するス
    テップを具えていることを特徴とする請求項２２に記載の方法。
24. 【請求項２４】 前記選択した送信設備が、少なくとも１つの固定位置のＢＭＣ
    送信機を含むことを特徴とする請求項２０に記載の方法。
25. 【請求項２５】 前記選択した送信設備が、少なくとも１つの衛星送信機を含む
    ことを特徴とする請求項２０に記載の方法。
26. 【請求項２６】 前記移動装置が要求した前記選択したデータが、ビデオデータ
    を含むことを特徴とする請求項２０に記載の方法。
27. 【請求項２７】 さらに、 前記移動装置において、前記要求したデータの受信の成功に応答して、完了メ
    ッセージを形成するステップと； 前記完了メッセージを前記第１リンク経由で前記基地局に送信するステップと
    ； 前記基地局において、対応する完了メッセージを前記選択した情報サーバーに
    送信するステップとを具えて、これにより、前記ネットワークループ経由で要求
    されたトランザクションを完了することを特徴とする請求項２０に記載の方法。
28. 【請求項２８】 前記移動装置を自動車に結合して、前記移動装置が要求した前
    記選択したデータが、ナビゲーションデータを含むことを特徴とする請求項２０
    に記載の方法。
29. 【請求項２９】 前記移動装置を自動車に結合して、前記移動装置が要求した前
    記選択したデータが、自動車システムソフトウエアを含むことを特徴とする請求
    項２０に記載の方法。