CN103561403A - 增强无线网络中的安全性 - Google Patents

Abstract

本发明公开增强无线网络中的安全性。一种增强在过程控制环境下运行且包括多个无线网络设备的无线网状通信网络中的安全性的方法，包括：处理来自希望加入该无线网状通信网络的无线设备的加入请求，如果所述加入请求被准许，则提供有限的网络功能给所述无线设备，请求完全批准该无线设备；并且如果完全批准该无线设备被接收到，则准许给该无线设备完全的网络功能。

Description

增强无线网络中的安全性

本申请是申请日为2008年4月11日、申请号为200880017903.3（PCT/US2008/004678）且名称为“增强无线网络中的安全性”的发明的分案申请。

技术领域

本发明总的来说涉及无线通信，更具体地说，涉及使无线网络中的运行安全。

背景技术

在过程控制行业中，已知的是，使用标准通信协议使得由不同制造商制出的设备能够以易于使用和实现的方式彼此通信。过程控制行业中使用的一个众所周知的通信标准是高速可寻址远程发射机（HART）通信基础协议，通常称为HART协议。一般而言，HART协议支持专用导线或导线组上的数字和模拟混合信号，在专用导线或导线组上，在线过程信号（如控制信号、传感器测量值等）作为模拟电流信号（例如范围从4到20毫安）被提供，并且其中诸如设备数据、对设备数据的请求、配置数据、警报以及事件数据等等之类的其它信号，作为叠加或复用到与模拟信号相同的导线或导线组上的数字信号被提供。然而，HART协议当前需要使用专用、硬线通信线路，这导致需要在加工厂内大量布线。

在过去几年里，已经存在一种将无线技术结合到以某种有限方式包括过程控制行业的各种行业中的发展趋势。然而，在过程控制行业中，存在限制无线技术的完全结合、接受和使用的巨大障碍。具体来说，过程控制工业需要十分可靠的过程控制网络，因为信号的丢失可能导致工厂失去控制，从而导致灾难性的后果，包括爆炸、致命化学制剂或气体的释放等等。例如，Tapperson等人的美国专利No.6,236,334公开了在过程控制行业中将无线通信作为副的或备用通信路径使用或用于发送非关键性的或冗余的通信信号。而且，在通常可以适用于过程控制行业的无线通信系统的使用上已经取得了许多进展，但是该无线通信系统尚未以在加工厂内允许或提供可靠的并且在某些情况下完全无线的通信网络的方式应用于过程控制行业。例如，美国专利申请公开No.2005/0213612、2006/0029060和2006/0029061公开了与一般无线通信系统相关的无线通信技术的各个方面。

显著抑制无线通信在过程控制行业中的发展和应用的一个因素是改装与无线通信网络一起使用的遗留设备（legacy device）的困难。在某些情况下，设备根本不能被改装并且需要用新的无线准备好的模型来取代。而且类似地，由于向无线通信的转变而致使许多支撑设施被弃用。换句话说，无线网络不能容易地扩展有线网络。特别与过程控制行业有关的另外的挑战是现有的有线设施的高成本以及可以理解的操作员不情愿完全用无线基础设施取代有线基础设施。同时，无线网络通常要求静态天线或接入点以发送和接收无线电信号，从而可能要求昂贵的基础设施，这使得向无线通信的转变不太令人满意。因此，尽管一些操作员可以认识到进行过程测量和控制的无线方法的优点，但是许多人还是不情愿拆除现有的设施、让完全可以运行的有线设备退役并且购买无线设备。

造成无线标准在过程控制行业中的扩散比预期的要慢的另一因素是对诸如过程控制系统中的技术员或操作员之类的用户的影响。在典型的过程控制系统运行期间，用户可以远程访问用于配置、监测和控制这些设备的各种功能的目的的独立设备。例如，为了使得能够通过HART协议访问和交换信息，根据预定的寻址方案为设备分配唯一的地址。用户和为过程控制行业中的操作员和技术员开发的软件应用程序已经开始依赖于可用的无线标准不能支持的高效寻址方案。因此，在过程控制行业中向无线标准的转变被普遍期望需要采用新的寻址方案、更新相应的软件应用程序并为员工提供另外的培训。

另外，这些现有无线标准中的一些标准，例如IEEE802.11(x)WLAN，并不满足过程控制行业的所有需求。例如，设备传达通常可以具有不同传播延迟限制的过程和控制数据。通常，在过程控制行业中交换的关键数据中的一些可以要求高效、可靠、及时的传递，其不能总是由现有的无线协议来保证。而且，因为过程控制行业中使用的以一些模块用于控制非常敏感和潜在危险的过程活动，所以适于该行业的无线标准需要提供不容易在已知无线网络中使用的冗余通信路径。最后，一些过程控制设备可以对高功率无线电信号敏感并且可以要求无线电传输被限制或保持在受控良好的功率水平。同时，可用无线标准通常依赖于发送相对较强的信号以覆盖大的地理区域的天线或接入点。

与有线通信协议类似，无线通信协议被期望提供高效、可靠和安全的信息交换方法。当然，由于介质的共享和开放特征，在有线网络中被开发以解决这些重要问题的大多数方法并不适用于无线通信。进一步，除了在有线通信协议之后的典型客观事实外，无线协议还面临关于使用无线电频谱的同一部分的若干网络的干扰和共存的问题的其它要求。麻烦的是，某些无线网络在未得到许可或向公众开放的频段中运行。因此，为这种网络服务的协议必须能够检测或解决与频率（信道）争用、无线电资源共享和协商等等相关的问题。

在过程控制行业中，无线通信协议的开发者面临另外的挑战，例如，实现与有线设备的向后兼容、支持协议的先前有线版本，为改装了无线通信机的设备提供转变服务，并且提供可同时保证可靠性和有效性的路由技术。同时，仍然存在相当多的过程控制应用，在这些过程控制应用中存在即使有也很少的原地测量。当前，这些应用依赖于观测的测量值（例如，水位正在上升）或检查（例如，空调单元、泵、风机等等的周期性维护）来发现异常情况。为了采取措施，操作员经常需要面对面的讨论。如果利用测量和控制设备，则可能会大大简化这些应用中的许多应用。然而，当前的测量设备通常需要功率、通信基础设施、配置和支持简直不可用的基础设备。

在又一方面，过程控制行业要求服务特定过程控制网络的通信协议能够保护该网络免遭未经授权的访问。无论是否恶意或无意，对过程控制网络的入侵可能对工厂员工产生安全风险、破坏装置或者导致产品能力的丧失。而且，经常想要的是，保护在过程控制网络中交换的信息免遭未经授权的读取或拷贝，即使当这种形式的入侵不会对网络运行产生影响。例如，在某些行业中的网络设备所交换的信息可以反映产品的等级，其可以是专有性质的有价值经济数据。

除了保护过程控制数据免遭未经授权的读取和写入，一般想要的是，保护该数据免遭传输错误。无线通信使得某些类型的比特误差甚至有可能更多，当然至少是因为信号干扰和潜在的介质变化（例如障碍物的外观、大气条件等等）。尽管提供无差错通信可能在通信协议的低层上并不总是可能的，但至少想要的是在该协议的更高层级上检测传输错误。

发明内容

在例如过程控制工厂中使用的网状通信网络提供了多个网络设备之间的安全通信，所述多个网络设备根据网络调度表并且通过维护绝对时隙数（ASN）以跟踪自从该无线网络的形成时间以来被调度的时隙数并且通过部分地基于ASN计数生成消息完整性编码（MIC）来发送和接收数据。在某些实施例中，网络设备使用ASN值来生成服务该网状通信网络的通信协议的数据链路层上的MIC。

在某些实施例中，该网状通信网络可以是无线网络。进一步，该网络调度表可以包括并发重叠超帧组，并且每个超帧可以包括若干预定持续时间的通信时隙，以便在先前的超帧循环中的所有通信时隙都发生之后每个超帧循环马上进行重复。直接无线连接可以形成在参与该无线网状网络的所述网络设备中的一些网络设备对之间。在这些实施例中，网络设备可以在永久性或暂时性通信会话内进行通信，每个会话占用该超帧组中一个超帧内的一个或更多时隙并且使用一个或若干直接无线连接。该无线通信网络可以通过会话专用密钥保护每个通信会话，并且在至少实施例中，网络设备可以另外使用会话专用密钥产生该通信协议的网络层上的MIC。

在某些实施例中，运行在该通信网络内部或外部的安全管理器可以分配和管理会话密钥。另外，该安全管理器可以通过管理一个或更多加入密钥并验证来自正在加入的网络设备的鉴权信息来对尝试加入该网状通信网络的网络设备进行鉴权。该安全管理器还可以管理与来自将该网状通信网络连接到外部网络的网关管理器的单播或广播消息相关联的一个或更多网关密钥。进一步，该安全管理器可管理网络密钥，所有活动网络设备可以使用该网络密钥进行数据链路层级鉴权和/或单跳安全，即在两个网络设备之间的直接无线连接的层级上的安全。在该网状通信网络运行期间，该安全管理器有时可以自动地或响应于来自操作人员的命令更新该网络密钥。在一个特定的实施例中，该安全管理器可以指定与未来的ASN值相关联的时隙，每个网络设备可以在该未来的ASN值切换到新的网络密钥值。

在一方面，负责管理该网状通信网络的网络管理器和/或安全管理器可以进一步通过需要正在加入该无线网络的设备在请求并协商进入该无线网络时提供加入密钥信息来保护该无线网络。在某些实施例中，正在加入的设备可以对来自这些活动网络设备之一的广告消息作出响应，并且使用在该广告消息中指定的有限资源的列表与该网状通信网络进行通信。在一些实施例中，每个广告消息可以指定一个或若干加入链路，即特殊用途的路由和调度资源。该正在加入的设备可以使用一个或更多加入链路与该安全管理器和/或该网络管理器进行通信以获得网络密钥、网关密钥和会话密钥，协商通信资源并且提供鉴权信息。

在另一方面，该网状通信网络可以隔离最近被允许进入该无线网络的网络设备，直到操作人员批准该网络设备，或者在其它实施例中，直到其它条件被满足并被自动验证。尽管在隔离中，网络设备可以以有限的方式与该网状通信网络进行通信，从而增加该网络的总体安全性和可靠性。在一个特定的实施例中，隔离的设备可能不为其它网络设备路由数据。

在又一方面，网络管理器可支持网络设备对之间的图路由，并且可以定义特殊用途的代理路由以在正在加入的设备和活动网络设备之间进行通信。在某些实施例中，代理路由可以与加入链路相关联。在这种意义上，该安全管理器和/或该网络管理器可以限制正在加入的设备运行的路由方面和调度方面。在其它实施例中，该无线网状通信网络可以类似地要求被隔离的设备经由代理路由进行通信。

附图说明

图1是示出使用无线HART（WirelessHART）网络来提供现场设备和路由器设备之间的无线通信的系统的框图，这些现场设备和路由器设备经由网关设备连接到工厂自动化网络。

图2是根据这里所讨论的实施例之一实现的无线HART协议的各层的示意性表示。

图3是示出根据这里论述的实施例之一定义的通信时隙的各段的框图。

图4是示出三隙超帧的时隙与若干个通信设备的示例性关系的框图。

图5示意性地示出示例性超帧的时隙与若干个通信信道的关系。

图6是示意性地示出包括若干个不同长度的并发超帧的示意性超帧定义的框图。

图7是示意性地示出若干个不同长度的并发超帧与绝对隙数计数器的关系的另一框图。

图8示意性地示出图1的网络设备的若干并发的密钥式会话。

图9是示出一种使用绝对时隙数产生图2的无线协议的数据链路层的消息完整性编码的可能方法的框图。

图10是示出一种产生图2的无线协议的网络链路层的消息完整性编码的可能方法的框图。

图11示出网络设备在图1的无线网络中运行时可以执行的示例性状态机。

图12是示出正在加入图1的无线网络的设备的有限的链路图的框图。

图13是图1的网关设备可以遵循以初始化网络管理器和安全管理器的示范性启动顺序。

图14是示出关于允许新网络设备进行入图1的无线网络的消息交换的消息顺序图。

图15是示出与更新网络密钥相关的图1的若干网络设备之间的消息交换的消息顺序图。

具体实施方式

图1示出示例性网络10，在示例性网络10中，可以使用这里所描述的同步技术。具体来说，网络10可以包括与无线通信网络14连接的工厂自动化网络12。工厂自动化网络12可以包括通过通信骨干20连接的一个或更多固定工作站16和一个或更多便携式工作站18，其中通信骨干20可以利用以太网、RS-485、ProfibusDP或利用适合的通信硬件和协议来实现。这些工作站和形成工厂自动化网络12的其它装置可以向工厂员工提供各种控制和监督功能，包括对无线网络14中的设备的访问。工厂自动化网络12和无线网络14可以经由网关设备22进行连接。更为具体地，网关设备22可以采用有线方式连接到通信骨干20并且可以利用任何适合的（例如已知的）通信协议与工厂自动化网络12进行通信。可以采用任何其它想要的方式（例如，作为单机设备、可插入工作站16或18的扩展槽的卡、作为基于PLC或基于DCS的系统的输入/输出（I/O）子系统的一部分等等）来实现的网关设备22可以提供在工厂自动化网络12上运行且具有对无线网络14的各种设备的访问权限的应用程序。除了协议和命令转换，网关设备22还可以提供与在无线网络14中实现的无线协议（这里称为无线HART协议）相关联的调度方案的时隙和超帧（在时间上均匀分隔开的通信时隙组）所使用的同步计时。

在一些配置中，网络10可以包括多于一个网关设备22以提高网络10的效率和可靠性。具体来说，多个网关设备22可以提供用于无线网络14和工厂自动化网络12以及外部世界之间的通信的额外带宽。另一方面，网关设备22可根据无线网络14内的网关通信需要向适当的网络服务请求带宽。可以驻留在网关设备22中的网络管理器软件模块27可以在该系统在运行的同时进一步重新评价需要的带宽。例如，网关设备22可以从驻留在无线网络14外部的主机接收请求以检索大量的数据。然后，网关设备22可以请求网络管理器27分配额外带宽以适应该事务。例如，网关设备22可以发出适当的服务请求。然后，网关设备22可以在该事务完成时请求网络管理器27释放该带宽。

通常，网络管理器27可以负责使无线网络14适应不断变化的状况并且负责调度通信资源。当网络设备加入和离开该网络时，网络管理器27可以更新它的无线网络14的内部模型并且使用这种信息产生通信调度表和通信路由。另外，网络管理器27可以考虑无线网络14的总体性能以及诊断信息，以使无线网络14适应拓扑和通信需求的变化。一旦网络管理器27已经产生总体通信调度表，总体通信调度表的所有或各个部分可以通过一连串命令从网络管理器27传输到这些网络设备。

为了进一步增加带宽并提高可靠性，网关设备22可以在功能上被分成虚拟网关24和一个或更多网络接入点25，网络接入点25可以是与网关设备22进行有线通信的分立物理设备。然而，虽然图1示出了物理上分离的网关网络22和接入点25之间的有线连接26，但是可以理解的是，元件22-26也可以是被提供为一体的设备。因为网络接入点25可以与网关设备22物理分离，接入点25可以在战略上放置在无线网络14的几个不同的位置。除了增加带宽，多个接入点25可以通过利用其它接入点25补偿一个接入点25处的可能差的信号质量来增加无线网络14的总体可靠性。在一个或更多接入点25出现故障的情况下，拥有多个接入点25还提供了冗余。

除了分配带宽，要不然的话桥接网络12和14，网关设备22还可执行无线网络14中的一个或更多管理功能。如图1中示出的，网络管理器27和安全管理器软件模块28可以存储在网关设备22中并在网关设备22中执行。可替代地，网络管理器27和/或安全管理器28可以在工厂自动化网络12中的工作站16或18之一上运行。例如，网络管理器27可以在主机16上运行而安全管理器28可以在主机18上运行。网络管理器27可以负责配置无线网络14、调度无线设备之间的通信、管理与这些无线设备相关联的路由表、监测无线网络14的总体健康、向工作站16和18报告无线网络14的健康，以及其它管理和监督功能。虽然在网络14中有单个网络管理器27运行可能就足够了，但冗余网络管理器27可以类似地被提供以保护无线网络免受意料之外的设备故障。同时，安全管理器28可以负责保护无线网络14不受到未被授权的设备的恶意或无意入侵。为了这个目的，安全管理器28可以管理鉴权代码，验证由尝试加入无线网络14的设备提供的授权信息，更新诸如到期密钥之类的暂时性安全数据以及执行其它安全功能。

继续参照图1，无线网络14可以包括一个或更多无线现场设备30-36。通常，像那些在化工、石油或其它加工厂中使用的过程控制系统包括诸如阀、阀定位器、开关、传感器（例如温度、压力和流速传感器）、泵、风机等等之类的现场设备。现场设备执行该过程内的物理控制功能，例如，开阀或关阀或获取过程参数的测量值。在无线网络14中，现场设备30-36为无线通信包的生成者和使用者。

现场设备30-36可以利用无线通信协议进行通信，该无线通信协议提供了类似的有线网络的功能，具有类似或改进的运行性能。具体来说，该协议可以使得该系统能执行过程数据监测、关键数据监测（具有更严格的性能要求）、校准、设备状态和诊断监测、现场设备故障检修、试运转以及监督过程控制。然而，执行这些功能的应用程序通常要求由无线网络14支持的协议在必要时提供快速更新，在需要时移动大量的数据，并且支持加入无线网络14的网络设备，即使仅仅暂时用于试运转和修护工作。

在一个实施例中，支持无线网络14的现场设备30-36的无线协议是已知有线HART协议的扩展，这是一种被广泛接受的行业标准，其维护有线环境的简单工作流程和实践。在这种意义上，现场设备30-36可以被认为是无线HART设备，并且无线网络14可以被认为是无线HART网络。通过简单增加新的设备描述文件，用于有线HART设备的相同工具可以容易地适用于无线设备30-36。以这种方式，该无线协议可以借助利用有线HART协议获得的经验和知识的杠杆作用来使培训最少并简化维护和支持。一般而言，使协议适应于无线应用，以便在设备上运行的大多数应用程序没有“注意到”从有线网络到无线网络的转变可以是方便的。显然，这样的透明性大大减小了升级网络的成本，并且更为一般地，减小了与开发和支持可以和这样的网络一起使用的设备相关的成本。对众所周知的HART协议进行无线扩展的一些另外的好处包括：对用有线设备难以获得或需要昂贵的代价才能获得的测量结果的访问以及从可以安装在膝上型电脑、手持机、工作站等等上的系统软件配置和操作仪器的能力。另一个好处是有能力将诊断警告从无线设备返回通过通信基础设施送到在集中放置的诊断中心。例如，加工厂中的每个热交换器可能与无线HART设备安装在一起并且当交换器检测到问题时，可以警告终端用户和供应商。又一好处是有能力监测呈现严重健康和安全问题的状况。例如，无线HART设备可能放置在路上的洪水区并用于警告当局或司机有关水位的情况。其它好处包括：对宽范围的诊断警告的访问，和在无线HART设备处存储趋势值以及计算值的能力，以便当建立了与该设备的通信时，可以将这些值传输到主机。在这种方式下，无线HART协议可以提供使主机应用程序能够无线访问现有的HART使能现场设备的平台，并且该无线HART协议可以支持电池供电的、仅限无线的HART使能现场设备的部署。该无线HART协议可以用于建立过程应用的无线通信标准，并且可以进一步通过增强基本的HART技术以支持无线过程自动化应用，来扩展HART通信的应用以及该协议提供给过程控制行业的好处。

再次参见图1，现场设备30-36可以是无线HART现场设备，每个现场设备30-36采用整体单元的形式并且支持无线HART协议栈的所有层。例如，在无线网络14中，现场设备30可以是无线HART流量计，现场设备32可以是无线HART压力传感器，现场设备34可以是无线HART阀定位器，现场设备36可以是无线HART压力传感器。重要的是，无线设备30-36可以支持用户已经从有线HART协议见到的所有的HART特征。如本领域技术人员将会懂得的是，该HART协议的核心实力之一在于它的严格的协同工作能力要求。在一些实施例中，所有无线HART装置包括核心的强制性能力以便允许（例如，由不同厂商制造的）同等的设备类型被互换而不会危及系统运行。而且，无线HART协议向后兼容诸如设备描述语言（DDL）之类的HART核心技术。在优选实施例中，所有的无线HART设备应该支持DDL，其确保终端用户直接具有开始使用无线HART协议的工具。

如果需要的话，无线网络14可以包括非无线设备。例如，图1的现场设备38可以是遗留4-20mA设备，并且现场设备40可以是传统的有线HART设备。为了在无线网络14内进行通信，现场设备38和40可经由无线HART适配器（WHA）50连接到无线网络14。另外，WHA50可以支持其它通信协议，例如，

Fieldbus、PROFIBUS、DevicesNet等等。在这些实施例中，WHA50支持在协议栈的较下层上的协议转换。另外，假设单个WHA50也可以充当多路复用器并且可以支持多个HART或非HART设备。

工厂员工另外可使用手持式设备进行网络设备的安装、控制、监测和维护。一般而言，手持式设备是便携式装置，该便携式装置可以直接连接到无线网络14或通过网关设备22连接到无线网络14作为工厂自动化网络12上的主机。如图1示出的，连接无线HART的手持式设备55可以直接与无线网络14进行通信。当与形成的无线网络14一起运行时，手持式设备55可以只是作为另一无线HART现场设备加入无线网络14。当与没有连接到无线HART网络的目标网络设备一起运行时，手持式设备55可以通过与该目标网络设备形成它自己的无线网络，作为网关设备22和网络管理器27的结合来运行。

连接工厂自动化网络的手持式设备（未示出）可以用于通过诸如Wi-Fi之类的已知组网技术连接到工厂自动化网络12。该设备采用与外部工厂自动化服务器（未示出）相同的方式通过网关设备22与网络设备30-40进行通信，或者工作站16和18与设备30-40进行通信。

另外，无线网络14可以包括路由器设备60，该路由器设备60是从一个网络设备向另一个网络设备转发包的网络设备。正在充当路由器设备的网络设备使用内部路由表来指挥路由，即来决定特定的包应该被发送给哪个网络设备。在那些无线网络14上的所有设备都支持路由的实施例中，可以不需要诸如路由器60之类的单机路由器。然而，（例如为了扩展网络，或为了节省该网络中的现场设备的电力）添加一个或更多专用路由器60到无线网络14可以是有益的。

直接连接到无线网络14的所有设备可以被称为网络设备。具体来说，无线现场设备30-36、适配器50、路由器60、网关设备22、接入点25以及无线手持式设备55是为了路由和调度目的的网络设备，这些网络设备中的每一个形成无线网络14的节点。为了提供非常健壮的和容易扩展的无线网络，网络中的所有设备可以支持路由并且每个网络设备可以用诸如HART地址之类的实质上唯一的地址来进行全局标识。网络管理器27可以包含网络设备的完整列表，并且可以指派给每个设备短的、网络唯一的16位别名。另外，每个网络设备可以存储与更新速率、连接会话以及设备资源相关的信息。简而言之，每个网络设备维护与无线网络14内的路由和调度相关的最新信息。每当新的设备加入该网络时或每当网络管理器27检测到或发起无线网络14的拓扑或调度的改变时，网络管理器27可以将该信息传达到网络设备。

此外，每个网络设备可以存储并维护该网络设备在收听操作期间已经识别的邻居设备的列表。一般而言，网络设备的邻居是潜在能够根据由相应的网络强制实行的标准建立与该网络设备的连接的任何类型的另一个网络设备。在为无线网络14的情况下，该连接是直接无线连接。然而，将会理解的是，邻居设备还可以是以有线方式连接到特定设备的网络设备。如稍后将要讨论的，网络设备通过广告或在指定的时段发出的特殊消息来促进其它网络设备发现它们。可操作地连接到无线网络14的网络设备具有一个或更多邻居，这些网络设备可以根据广告信号的强度或根据一些其它准则选择这些邻居。

在如图1示出的实例中，由直接无线连接65连接的一对网络设备中的每个设备将另一个识别为邻居。无线网络14的网络设备可以形成大量的设备间连接65。建立两个网络设备之间的直接无线连接65的可能性和愿望由诸如这些节点之间的物理距离、这些节点（设备）之间的障碍、这两个节点中的每一个节点处的信号强度等等若干因素来确定。进一步，两个或更多直接无线连接65可以用于形成在不能形成直接无线连接65的节点之间的通信路径。例如，无线HART手持式设备55和无线HART设备36之间的直接无线连接65，连同无线HART设备36和路由器60之间的直接无线连接65，形成设备55和60之间的通信路径。

每个无线连接65由与发送频率、接入无线电资源的方法等有关的一个大的参数组特征化。本领域普通技术人员将认识到的是，通常，无线通信协议可以在指定频率上运行，例如由美国的联邦电信委员会（FCC）指派的那些频率，或运行于无许可证的无线电频段（例如，2.4GHz）。尽管这里讨论的系统和方法可以应用于在任何指定频率或频率范围上运行的无线网络，但是下面讨论的示例性实施例涉及与运行于无线电频谱上的无许可证的或者共享部分的无线网络14。根据这个实施例，无线网络14可以被容易地驱使或调整为根据需要在特定的无许可证的频率范围中运行。

对使用无许可证的频带的无线网络协议的另一核心要求是以最小的扰乱性与使用同一频带的其它装备共存。共存一般定义为一个系统在共享环境中执行任务的能力，在该共享环境中，其它系统能够类似地执行它们的任务，同时遵照同一准则组或者不同（并且可能未知的）的准则组。在无线环境中共存的一个要求是在该环境中出现干扰时该协议维持通信的能力。另一要求是该协议应该对其它通信系统造成尽可能小的干扰和扰乱。

换句话说，无线系统与周围的无线环境共存的问题大体具有两个方面。共存的第一方面是该系统用以影响其它系统的方式。例如，特定系统的操作员或开发者可以询问一个发射器发送的信号对接近该特定系统运行的其它无线电系统具有什么影响。更为具体地，该操作员可以询问，每当该发射机开启时该发射机是否扰乱某些其它无线设备的通信，或者该发射机是否在广播上花费过多的时间从而有效地“独占”（hogging）该带宽。理想地，每个发射机应该是不被其它发射机注意到的“安静邻居”。尽管该理想特性（如果有的话）很少能够达到，但创造了其它无线通信系统可以在其中运行得相当好的共存环境的无线系统可以被称为“好邻居”。无线系统的共存的第二方面是该系统在有其它系统或无线信号源的情况下运行得相当好的能力。具体来说，无线系统的健壮性可以取决于该无线系统防止在这些接收机处的干扰的能力有多好，取决于这些接收机是否由于接近的RF能量源而容易超载，取决于这些接收机对偶尔的位丢失的容忍度有多好，以及类似的因素。在某些行业中，包括过程控制行业，有许多重要的经常不允许数据丢失的潜在应用。能够在嘈杂的或动态的无线电环境中提供可靠通信的无线系统可以被称为“宽容的邻居”。

有效的共存（即，作为好邻居和宽容的邻居）部分地依赖于有效使用三方面的自由：时间、频率和距离。当通信在1）在干扰源（或者其它通信系统）安静的时候发生；2）以与干扰信号不同的频率发生；或3）在足以远离该干扰源的位置发生时，该通信可能是成功的。尽管这些因素中的单个因素可能用于在无线电频谱的共享部分提供通信方案，但是这些因素中的两个或所有三个的结合可以提供高度的可靠性、安全性和速度。

仍然参见图1，网络管理器27或在网络14或12上运行的另一应用或服务可以鉴于以上讨论的这些因素定义无线通信网络14的主网络调度表66。主网络调度表66可以为网络设备25和30-55指定将诸如时间段和无线电频率之类的资源的分配。具体来说，主网络调度表66可以指定网络设备25和30-55中的每一个何时发送过程数据、代表其它网络设备路由数据、收听从网络管理器27传播来的管理数据以及为了希望加入无线网络14的设备而发送广告数据。为了以有效方式分配无线电资源，网络管理器27可以鉴于无线网络14的拓扑定义并更新主网络调度表66。更为具体地，网络管理器27可以根据在每个节点处标识的直接无线连接65来分配可用资源给无线网络14的节点中的每一个（即，无线设备30-36、50以及60）。在这种意义上，网络管理器27可以鉴于在每个节点处的发送要求和路由可能性来定义和维护网络调度表66。

主网络调度表66可以将可用的无线电资源分成独立的通信信道，并且进一步以例如时分多址（TDMA）通信时隙为单位在每个信道上测量发送和接收时机。具体来说，无线网络14可以在某一频带内运行，该频带在大多数情况下可以安全地与若干截然不同的载波频率相关联，以便以一个频率进行的通信可以与以该频带内的另一频率进行的通信同时发生。本领域普通技术人员将会理解的是，在典型应用中的载波频率（例如公共无线电）被充分地分隔开以防止相邻载波频率之间的干扰。例如，在2.4GHz频带中，IEEE指派频率2.455给信道号21，指派频率2.460给信道号22，从而允许2.4GHz频带的两个相邻段之间隔开5KHz。主网络调度表66可以因此将每个通信信道与截然不同的载波频率相关联，该载波频率可以是该频带的特定段的中心频率。

同时，如使用TDMA技术的行业中通常所用的，术语“时隙”指特定的持续时间段，较大的时段被分成该特定的持续时间段以提供受控的共享方法。例如，一秒可以分成10等分的100毫秒时隙。虽然主网络调度表66优选地以单个固定持续时间的时隙分配资源，但是只要无线网络14的每个相关节点都被适当地通知了这种改变，那么改变这些时隙的持续时间也是可能的。继续10个100毫秒时隙的实例定义，两个设备可以每秒交换一次数据，在每秒的第一个100ms时段（即第一时隙）期间一个设备进行发送，在每秒的第四个100ms（即第四时隙）期间，另一设备进行发送，而剩下的时隙未被占用。因此，在无线网络14上的节点可以通过发送频率以及相应的设备可以在其间发送和接收数据的时隙来标识被调度的发送时机和接收时机。

为了使网络设备25A-25B和30-50与主网络调度表66适当同步，网络管理器27可维护一计数器68来跟踪自从无线网络14形成以来，即第一网络发起形成无线网络14的过程以来，所调度的时隙数。如以上所指示的，第一网络设备可以是例如网关设备22。自从无线网络14开始以来逝去的时隙数在这里被成为绝对隙数（“ASN”），与特定超帧中的时隙的相对隙数形成对比。网络管理器27可在形成无线网络14时将ASN计数器68初始化为零，然后在每次出现新时隙时将ASN计数器68递增1。如下面更详细地论述的，网络设备25A-25B和30-50中的每一个可类似地维护ASN计数器68的本地副本，并周期性地将该本地副本与由网络管理器27维护的主ASN计数器68进行同步。

作为定义有效的和可靠的网络调度表66的一部分，网络管理器27可以在将时隙在逻辑上组织成循环重复的组或超帧。如这里所使用的，超帧可以被更为精确地理解为一连串相等的超帧循环，每个超帧循环对应于形成连续时间段的若干相邻接的时隙的逻辑分组。在给定超帧内的时隙的数目定义了超帧的长度并且确定了每个时隙多久重复一次。换句话说，超帧的长度与单个时隙的持续时间相乘，指定了一个超帧循环的持续时间。另外，为了方便起见，可以对每个帧循环内的时隙进行连续编号。举一个具体的实例，网络管理器27可以将时隙的持续时间固定在10毫秒，并且可以定义长度为100的超帧，以产生1秒帧循环（即，10毫秒乘以100）。在基于0的编号方案中，该实例超帧可以包括编号为0，1，…99的时隙。

如以下更详细的讨论，网络管理器27减少了等待时间并且另外通过将多个不同大小的并发超帧包括在网络调度表66中来优化数据发送。而且，网络调度表66的一些或所有超帧可以跨越多个信道或载波频率。因此，主网络调度表66可以指定各个超帧的各个时隙和可用信道之一之间的关联。

因此，主网络调度表66可以对应于独立的设备调度表的集合。例如，诸如阀定位器34之类的网络设备可以具有独立的设备调度表67A。设备调度表67A可以仅仅包括与相应的网络设备34相关的信息。类似地，路由器60可以具有独立的设备调度表67B。相应地，网络设备34可以根据设备调度表67A发送和接收数据而不知道诸如该设备60的调度表67B之类的其它网络设备的调度表。为了这个目的，网络管理器27可管理总的网络调度表66和各个独立的设备调度表67（例如，67A和67B），并且当需要时将独立的设备调度表67传达给相应的设备。在其它实施例中，独立的网络设备25和35-50可以至少部分定义或协商设备调度表67并将向网络管理器27报告这些调度表。根据这个实施例，网络管理器27可以根据接收到的设备调度表67组合网络调度表66，同时检查资源竞争并解决潜在的冲突。

为了保护无线网络14免遭入侵，并且更为具体地，免遭对任何类型的网络信息进行未经授权的访问，安全管理器28可以维持密钥组63。如以下更为详细地讨论的，密钥组63中的一个或更多密钥可用于对尝试加入无线网络14的设备进行鉴权。其它密钥可用于与网络管理器27或网关设备22建立永久性或暂时性会话。而且，网络管理器27可使用密钥组63中的一个或更多密钥以提供来自网络管理器27的广播消息是可信的保证。

为了进一步增强无线网络14的安全性，网络管理器27和/或安全管理器28可以暂时性地将新加入的网络设备限制于由完全运行的网络设备25A-B和30-50所执行的网络功能中的仅仅一些网络功能。例如，网络设备69可能已经在最近加入了无线网络14，并且安全管理器28可能已经通过验证加入密钥和处理诸如网络设备69的身份或长标签之类的信息成功地对网络设备69进行了鉴权。为了与无线网络14进行有限的通信，网络管理器27可能已经为网络设备69提供了足够的通信资源来接收广播管理数据、建立与网络管理器27的成对通信会话等等。然而，网络管理器27可能不允许网络设备69在两个邻居设备34和50之间路由数据或建立与网关设备22的通信会话，直到操作人员批准网络设备69完全进入无线网络14。因此，网络设备69可以被视为隔离的设备。在这种方式下，授权设备的成功侵入（即，加入）无线网络14可不导致私有数据的丢失、网络数据包的劫取，或者不导致对无线网络14的运行的显著干扰。作为替代，网络管理器27可向工作站16的人机界面报告例如新的网络设备69已经加入该网络，以便操作员可以查看隔离的网络设备69的身份并且允许或拒绝该设备完全进入无线网络14。

以上在一般描述的支持无线网络14的通信协议在这里被称为无线HART协议70，并且参照图2更详细地讨论该协议的操作。如将会被理解的，直接无线连接65中的每一个可以根据无线HART协议70的物理和逻辑要求来传输数据。同时，无线HART协议70可以高效地支持在时隙内并且在与特定设备调度表67所定义的超帧相关联的载波频率上进行通信。

图2示意性地示出了无线HART协议70的一个示例性实施例的各层，与众所周知的通信协议的ISO/OSI7层模型的各层近似对齐。作为比较，图2另外示出现有的“有线”HART协议72的各层。将会理解的是，无线HART协议70不一定要具有有线对等体。然而，如下面将要详细讨论的，无线HART协议70可以通过与现有协议共享该协议栈的一个或更多上层来大大方便其实现。如以上所指示的，如以上所指示的，与为类似网络提供服务的有线协议72相比，无线HART协议70可以提供相同或更高程度的可靠性和安全性。同时，通过消除安装有线的需要，无线HART协议70可以提供若干重要的优点，例如降低与安装网络设备相关的成本。还将会理解的是，虽然图2将无线HART协议70表现为HART协议72的无线对等体，但这种特定的对应在这里仅仅是作为实例被提供。在其它可能的实施例中，无线HART协议70的一或更多层可以对应于其它协议，或如以上所提及的，无线HART协议70甚至可以不与现有协议中的任何一个共享最上面的应用层。

如图2中示出的，HART技术的无线扩展可以将至少一个新物理层（例如，IEEE802.15.4无线电标准）和两个数据链路层（例如，有线和无线网格）添加给已知的HART实施。一般而言，无线HART协议70可以是安全的、在2.4GHz ISM无线电频带中运行的无线网格组网技术（块74）。在一个实施例中，无线HART协议70可以在一个事务接一个事务的基础上利用可兼容IEEE802.15.4b的直接序列扩频通信（DSSS）无线电和信道跳频。可以利用TDMA对该无线HART通信进行调停以调度链路活动（块76）。同样，优选地，所有通信在指定的时隙内执行。一个或更多源设备和一个或更多目的设备可以被调度以在给定时隙中进行通信，并且每个时隙可以专门用于来自单个源设备的通信，或者这些源设备可以被调度为利用像CSMA/CA那样的共享通信接入模式进行通信。源设备可以发送消息到一个或更多特定的目标设备或者可以将消息广播到被指派时隙的所有目标设备。

因为这里描述的无线HART协议允许部署网状拓扑，所以也可以指定重要的网络层78。具体来说，网络层78可以使得单独的设备之间能够建立直接无线连接65，并且使得无线网络14的特定节点（例如设备34）和网关设备22之间能够通过一个或更多中间跳来路由数据。在某些实施例中，网络设备对25A-B和30-50可以建立包括一个或若干跳的通信路径，而在其它实施例中，所有数据可以要么向上游传播到网关设备22，要么从网关设备22向下游传播到特定的节点。

为了增强可靠性，无线HART协议70可以将TDMA与一种将多个无线电频率与单个通信源相关联的方法（例如，信道跳频）相结合。信道跳频提供了最小化干扰并减少多径衰落影响的频率分集。具体来说，数据链路76可以生成单个超帧和多个载波频率之间的关联，数据链路层76以受控的和预定义的方式在所述多个载波频率之间循环。例如，无线网络14的特定场合的可用频带可以具有载波频率F1,F2,…Fn。超帧S的相关帧R可以被调度为，在循环Cn中以频率F1出现，在接下来循环Cn+1中以频率F5出现，在循环Cn+2中以频率F2出现，等等。网络管理器27可以利用该信息配置相关网络设备，以便在超帧S中进行通信的网络设备可以根据超帧S的当前循环调整发送频率或接收频率。

无线HART协议70的数据链路层76可以提供另外的将信道列入黑名单的特征，其限制这些网络设备使用该无线电频带中的某些信道。网络管理器27可以响应于检测到信道上的过多干扰或其它问题，将无线电信道列入黑名单。进一步，操作员或网管可以将信道列入黑名单以便保护使用无线电频带的固定部分的无线服务，否则的话该无线服务要与无线HART网络14共享该固定部分。在一些实施例中，无线HART协议70以超帧为基础控制列黑名单，以便每个超帧具有独立的被禁止信道的黑名单。

在一个实施例中，网络管理器27负责分配、指派并调整与数据链路层76相关联的时隙资源。如果网络管理器27的单个例子支持多个无线网络14，网络管理器27可以为无线网络14的每个例子生成总体调度表。该调度表可以被组织成包含相对于该超帧的起点进行编号的时隙的超帧。

无线HART协议70可以进一步定义链路或链路对象以便在逻辑上统一调度和路由。具体来说，链路可以与具体的网络设备、具体的超帧、相对隙数、一个或更多链路选项（发送、接收、共享）以及链路类型（正常、广告、发现）相关联。如图2中示出的，数据链路层76可以是频率捷变的。更为具体地，信道偏移量可以用于计算用于执行通信的具体的无线电频率。网络管理器27可以鉴于每个网络设备处的通信要求定义一组链路。然后，每个网络设备可以被配置以所定义的该组链路。所定义的该组链路可以确定该网络设备何时需要醒来，以及该网络设备是否应该在醒来后即进行发送、接收或同时发送/接收。

继续参照图2，无线HART协议70的传输层80允许有效的尽力而为的通信和可靠的、端到端确认式通信。如本领域技术人员将会认识到的，尽力而为的通信允许设备发送包而不进行端到端的确认，并且不保证目的设备处的数据顺序。用户数据报协议（UDP）是这种通信策略的一个众所周知的实例。在过程控制行业中，该方法可以对公布过程数据是有用的。具体来说，因为设备周期性地传播过程数据，所以端到端确认和重试已经限制了效用，特别是考虑到新数据是在定期的基础上产生的。相反，可靠的通信允许设备发送确认包。除了保证数据传递，传输层80还可以安排网络设备间发送的包。对于请求/响应业务，或者当发送事件通知时，这种方法可以是优选的。当使用传输层80的可靠模式时，通信可以变得同步。

可靠的事务可以被建模为发出请求包的主设备和用响应包进行回复的一个或多个从设备。例如，主设备可以产生某一请求并且可以将该请求广播到整个网络。在某些实施例中，网络管理器27可以使用可靠的广播来告诉无线网络14中的每个网络设备激活新的超帧。可替代地，诸如传感器30之类的现场设备可以产生包并且将该请求传播到另一现场设备，例如传播到便携式设备55，该手持式设备55可以是便携式HART通信装置。作为另一实例，由现场设备34产生的警报或事件可以作为指向网关设备22的请求被发送。响应于成功接收到该请求，网关设备22可以产生响应包并且将该响应包发送到设备34，以对接收到该警报或事件通知进行确认。

再参见图2，会话层82可以提供网络设备之间的基于会话的通信。可以用会话在该网络层上管理端到端通信。网络设备可以具有为给定对等网络设备定义的多于一个会话。如果需要的话，几乎所有网络设备都可以具有至少两个与网络管理器27建立的会话：一个用于成对通信，一个用于从网络管理器27进行的网络广播通信。另外，所有网络设备都可以具有网关会话密钥。这些会话可以通过指派给它们的网络设备地址来区分。每个网络设备可以跟踪该设备参与的每个会话的安全信息（加密密钥、临时计数器）以及传输信息（可靠传输顺序号、重试计数器等）。

最后，无线HART协议70和有线HART协议72可以支持公共HART应用层84。无线HART协议70的应用层可以另外包括子层86，其支持大数据组的自动分段传输。通过共享应用层84，协议70和72允许对HART命令和数据进行公共封装并且消除了在协议栈的最上层中进行协议转换的需要。

图3-6提供了由无线HART协议70的数据链路层76和网络层78支持的信道和时隙资源分配的更详细的图示。如以上参照图1所讨论的，网络管理器27可以管理一个或更多超帧的定义并且可以将所定义的超帧中的每一个超帧内的独立的时隙与可用信道（例如，载波频率）之一相关联。作为一个具体的实例，图3示出了在独立的时隙内的可用通信方案，而图4示出了使用某一超帧的时隙在若干设备之间进行的示例性数据交换。接下来，图5示出示例性时隙和若干可用信道之间的可能关联，并且图6是若干包括图3-5示出的时隙的并发超帧的示意图。

具体参见图3，两个或更多网络设备可以在通信时隙100中交换数据，时隙100可以是由一个发送设备和一个接收设备共享的专用时隙，也可以是具有超过一个发射机和/或一个或更多接收机的共享时隙。在任一情况下，时隙100可以具有发送调度表102和接收调度表104。换句话说，一个或更多发送设备可以根据发送时隙调度表102在时隙100内进行通信，而一个或更多接收设备可以根据接收时隙调度表104在时隙100内进行通信。当然，时隙调度表102和104实质上精确地同步并且在同一相对时刻106开始。在时隙100的过程中，发送网络设备在诸如载波无线电频率的通信信道上发送预定量的数据。在某些情况下，发送网络设备还可以期望在同一时隙100内接收肯定或否定的确认。

因此，如图3中示出的，发送时隙调度表102可以包括用于发送输出数据的发送段110，其之前有预发送段112，并且可以包括用于接收对在段110期间所发送的数据的确认的接收段122。发送段110与接收段122可以通过过渡段116分隔开，在过渡段116期间，相应的网络设备可以调整例如硬件设置。同时，如下所讨论的，接收调度表104可以包括用于执行补充段112-122中所实施的功能的功能的段。

具体来说，该发送设备可以在段110期间发出与时隙100的容量相关联的整个包或者流段。如以上所提及的，网络调度表66可以包括共享时隙，该共享时隙并不专门属于网络设备25和30-55之一的独立设备调度表67。例如，共享时隙可以具有诸如网关22之类的专用接收机，而非单个专用发射机。当必要时，网络设备25-60之一可以在共享时隙中发送诸如对额外带宽的请求之类的未经调度的信息。在这些情况下，可能发送的设备可以通过在预发送段112执行空闲信道评估（CCA）来检查共享时隙是否可用。具体来说，发送网络设备可以在预发送段112期间收听与时隙100相关联的通信信道上传播的信号，以证实没有其它网络设备正尝试使用时隙100。

在时隙100的接收端，该接收设备可以在包接收段114内接收与时隙100相关联的整个包。如图3示出的，包接收段114可以开始于在时间上比发送段110更早的点。接下来，在过渡段116中，发送时隙调度表102要求发送设备转换无线电模式。类似地，接收时隙调度表104包括过渡段118。然而，段116可以比段118更短，因为发送设备可以提早开始收听确认数据以避免错过确认的开始。

更进一步，发送调度表102可以包括确认接收段122，在确认接收段122期间，该发送设备接收在与接收调度表104相关联的确认发送段124期间发送的确认。该发送设备可以在接收到肯定的确认时，从相关联的发送队列中删去在发送段110期间发送的包。另一方面，如果没有确认到达或确认是否定的，则该发送设备可以尝试在下一被调度的专用时隙或在下一可用的共享时隙中重新发送该包。

如在图4中示意性示出的，以上讨论的若干时隙100可以组织成超帧140。具体来说，超帧140可以包括（通常）无限的成串超帧循环150-154，每个循环包括一组时隙，在图4中示出为相对时隙号为0的时隙142（TS0）、相对时隙号为1的时隙144（TS1）和相对时隙号为2的时隙146（TS2）。相应地，图4的超帧140的大小为三个时隙。换句话说，超帧140的时隙142-146中的每一个每隔两个中间时隙在时间上重复一次。因此，对于10毫秒的时隙，具有特定相对时隙号的时隙的结尾和具有相同的相对时隙号的下一个时隙的开始之间的间隔是20毫秒。在概念上，时隙142-146可以进一步被组成超帧循环150-154。如图4中示出的，每个超帧循环对应于时隙142-146的序列的新例子。

主网络调度表66可以将参与无线网络14的网络设备中的一些网络设备的发送和接收时机与超帧140的特定时隙相关联。再参见图4，网络片段160示意性地示出了在图1的网络设备34、60和36之间实施的局部通信方案。为了简化超帧140的图示，网络设备34、60和36在图4中分别被另外设计为节点A、B、C。因此，根据图4，节点A发送数据给节点B，节点B接下来发送数据给节点C。如以上所述，节点A-C中的每一个节点包括设备调度表67A-C，其指定用于在相应的设备处发送和接收数据时隙和信道（例如无线电载波频率）。主网络调度表66可以包括独立的设备调度表67A-C中存储的所有数据信息中的一部分。更为具体地，网络管理器27可以维护主网络调度表66作为与网络设备25A-B和30-50中的每一个相关联的调度的集合体，包括设备调度表67A-C。

在这个实例中，时隙100（图3）的持续时间可以是10毫秒，并且网络设备A可以每30毫秒向设备C报告一次数据。相应地，网络管理器27可以鉴于网络设备A的更新速率在三个时隙处具体设定超帧140的长度。进一步，网络设备27可以将相对号为0的时隙142（TS0）指派给网络设备A和B，设备A作为发射机而设备B作为接收机。网络管理器27可以进一步将相对时隙号为1（TS1）的下一个可用时隙144分配为与从设备B到设备C的发送相关联。同时，时隙146保持未指派。在这种方式下，超帧140提供了一方案，根据该方案，网络管理器27可以鉴于设备A、B和C之间的可用无线连接在网络片段160中分配资源，以将数据从设备A发送到设备C。

在图4中示出的实例中，节点A处的网络设备可存储与时隙142相关的信息作为它的设备调度表67A的一部分。类似地，在节点B处的网络设备可以存储与时隙142（接收）和144（发送）相关的信息作为它的设备调度表67B的一部分。最后，网络设备C可以将与时隙144相关的信息存储在设备调度表67C中。在这些实施例的至少一些实施例中，网络管理器27存储关于整个超帧140的信息，包括时隙146是可用的指示。

重要的是，超帧140不需要局限于单个无线电频率或其它单个通信信道。换句话说，定义超帧140的独立时隙142-146可以以永久性或浮动为基础与不同的无线电频率相关联。而且，由各种设备使用的频率在电磁频谱中不需要总是相邻接。在一个实施例中，例如，超帧循环150-154中的每一个超帧循环的时隙142可以与载波频率F1相关联，而超帧循环150-154中的每一个超帧循环的时隙144可以与载波频率F2相关联，频率F1和F2在电磁频谱中相邻接或不相邻接。

在另一实施例中，时隙142-146中的至少一些时隙可以以预定义的方式在被分配的频带周围移动。图5示出了图4的时隙144与可用频带170中的信道172-179之间的示例性关联（对应于频率子带F1-F5）。具体来说，信道172-179中的每一个信道可以对应于中心频率F1,F2,…F5之一，优选地，这些中心频率与它们各自的邻居相差同一偏移量。优选地，信道172-179优选地形成覆盖整个可用频带170的连续频段，虽然在所有实施例中，信道172-179需要是邻接的或形成连接续的频带。超帧140可以使用频带170的至少一部分，以便时隙142-146中的一个或更多时隙在至少两个邻接的循环中被调度到不同的载波频率上。

如图5中示出的，在帧循环150期间，时隙144可以使用信道176（频率F3），在帧循环152期间，可以使用信道174（频率F4），并且在帧循环154期间，可以使用信道178（频率F2）。然后，时隙144可以在与循环150类似的下一超帧循环150A中“返回”到信道176。时隙144与信道172-179之一的具体关联中的每一个被示出为时隙/信道元组144A-C。例如，元组144A将循环150中被调度的时隙144指定在与中心频率F3相关联的信道176上。类似地，元组144B将循环152中被调度的时隙144指定在与中心频率F4相关联的信道174上。同时，与中心频率F5相关联的信道172可以在循环150-152中的任何循环期间不指派给时隙144。然而，超帧140的不同时隙，例如时隙146，可以在循环150-152中的一个或更多期间与信道172相关联。

在这个实例中，与超帧循环150相关联的频率指派可以在循环154之后立即重复（如图5中示出为循环150A），并且，在超帧140的两个循环之后，时隙144可以再次对应于元组144A。这样，时隙144可以定期循环通过信道176、174和178。将会理解的是，时隙144可以类似地循环通过更大或更小数目的信道，而不管超帧140的长度，当然，前提是在频带170中有足够的信道可用。以上关于图5讨论的并被称为“信道跳频”的不同超帧循环期间的单个时隙与多个信道之间的关联大大增加了无线网络14的可靠性。具体来说，信道跳频减少信道跳频降低了被调度在某一超帧的特定时隙中通信的一对设备在某一信道拥塞或不可用时不能发送和接收数据的概率。因此，例如，信道174的故障阻止使用时隙144的设备在帧循环152中通信，而不阻止其在帧循环150或154期间通信。

再参见图4，设备调度表67B和67C可以包括关于在以上参照图5讨论的元组144A-C中的每一个元组的信息。具体来说，设备调度表67B和67C中的每一个设备调度表可以存储循环150-152中的每一个循环内给信道172-179之一的时隙144指派。主网络调度表66（图1）可以类似地包括该信息。同时，设备调度表67A不需要必需包括与时隙144相关的信息，因为相应的节点A（设备34）在超帧140的时隙144期间不进行通信。在运行中，与节点B和C对应的设备60和36可以在每个时隙144的开始时分别准备数据发送和接收。为了确定时隙144当前对应于元组144A、144B还是144C，设备60和36可以应用本地存储的ASN计数器68的副本以确定时隙144当前是在帧循环150、152还是154中。

在定义网络调度表66的过程中，网络管理器27可以鉴于网络设备25和35-50的更新速率定义多个并发超帧。如图6中示出的，网络调度表66可以包括长度为3的超帧140以及超帧190和192。超帧190可以是五隙超帧，而超帧192可以是四隙超帧，虽然不同的超帧可以具有不同的隙数并且各种不同的超帧可以具有相同的隙数。如图6中示出的，这些超帧不需要必须针对相对时隙号进行对齐。具体来说，在特定时刻194，超帧190可以调度相对号为2的时隙（TS2），而超帧140和192可以调度具有相对号为1的时隙（TS1）。优选地，超帧140、190和192是时间同步的，以便在这些超帧的每一个超帧内，每个到新时隙的过渡同时发生。

超帧140、190和192中的每一个超帧可以主要与网络设备30-50中的独立网络设备或网络设备25A-B和30-50的子组相关联，或者属于独立网络设备或网络设备30-50的子组。例如，在图4中示出的超帧140可以属于节点A（即网络设备34），并且可以有利地选择超帧140的长度，以便在循环150-154中的每一个循环期间，节点A在时隙142（TS0）期间发出测量数据到节点B。如果无线网络14定义了10毫秒时隙，则节点A每30秒发送数据到节点B一次。然而，如果节点A被重新配置为每50毫秒报告测量值一次，网络管理器27独自，或与与节点A一道，可以将超帧140重新配置为具有五个时隙的长度。换句话说，每个超帧的长度可以反映特定网络设备25A-B或30-50的特定发送要求。

另一方面，超过一个的网络设备25A-B或30-50可以使用用于发送和接收数据的超帧。再次参见图4，虽然超帧140可以主要与节点A相关联，但是节点B（网络设备60）也可以在超帧140的时隙144中定期发送数据到节点C（网络设备36）。因此，特定超帧的不同时隙可以被不同的网络设备用来发起、路由或接收数据。在某种意义上，每个超帧的时隙可以被理解为分配给不同设备的资源，并把特定的优先级指派给拥有该超帧的设备。此外，将会理解的是，每个网络设备可以参与多个超帧。例如，图4中的网络设备34除了由路由设备60进行传播它自己的数据之外，还可以代表其它网络设备（例如，在图1中示出的网络设备32）路由数据。优选地，参与多个超帧的设备并不在不同超帧中调度同时发生的通信。尽管在图6中示出了仅仅三个超帧，但是图1的无线网络14可以包括任何数目的超帧，这些不同超帧中的每一个超帧基于在特定的设备和设备组之间或之中执行的通信的类型和频率而具有任何想要的或有用的长度。

如以上所指示的，ASN计数器68（见图1）可反映自从无线网络14激活以来被连续调度的时隙总数。换句话说，只有那些跟随在另一时隙之后发生的时隙影响ASN计数，并且被并发调度的超帧数对ASN值没有影响。为了进一步概括出ASN计数器68的操作，图7示出包括在网络启动时刻210时或之后创建的若干个并发超帧202-206的调度表200。超帧202可以是其中相对隙数从零迭代到三的四时隙超帧。类似地，超帧204可类似地在网络启动时刻210时启动，但包括编号从零到七的八个时隙。另一方面，超帧206可例如在新网络设备加入无线网络14稍后的时间或在网络管理器27为了诸如适应块模式传输之类的特殊目的而分配临时资源时被创建。在网络调度表200运行期间网络管理器27可指派给ASN计数器68的值通常用序列212表示。应当注意到，ASN计数器68的值随着每个新时隙增加，与时隙所关联的超帧无关。

再参见图1，网络设备25A-B和30-50中的每一个可以维护ASN计数器68的一个本地副本。在无线网络14运行期间，网关设备22可以将ASN计数器68的当前值传播到每个网络设备25A-B或30-50以进行网络同步。然后，每个网络设备25A-B或30-50可以将ASN计数器的本地副本与在网关设备22所发送的数据包中报告的值相比较，并且如果需要的话，更新该本地副本，以匹配根据该消息的传播延迟而调整的ASN计数器的值。例如，在网关设备22向邻居设备发送包时所在的时隙之后的第三时隙中，网络调度表66可以指定网络节点32接收由网关设备22发起的并且与特定的超帧相关联的一定类型的数据包。相应地，网络节点32可以检查由网络节点32存储的当前ASN值是否确实是包括在该数据包中的ASN的值加上3（即自从网关设备22发出该数据包以来被调度的时隙的数目）。

应该进一步注意到的是，通过沿多个路径将ASN信息传播到每个网络设备25A-B和30-50（图1），无线网络14确保当直接无线连接65中的一些直接无线连接遇到障碍物或因为其它原因故障时，网络设备25A-B和30-50通常访问同步信息至少一次，从而增加无线网络14的稳定性并提高它的总恢复力。

作为补充或可替代地，网络设备25A-B和30-50也使用包括在数据包中的ASN值来确定该数据包的寿命。例如，目的网络节点可以接收数据包、从该ASN值的本地副本提取在发起网络节点插入到该数据包中的ASN、并且通过将时隙数之差乘以单个时隙的持续时间来计算该数据包的寿命。应该注意到的是，通过依赖于包括在数据包中的该ASN值，无线网络14可以实施存活时间（TTL）要求、执行网络诊断、收集传递延迟统计等等。

在某些实施例中，邻居设备对之间的每个消息都可以在网络协议数据单元（NPDU）中包括该ASN值。如果无线网络14使用图2中示意性地示出的无线HART协议70，与层78相关联的每个帧可以包括该ASN值，以确保共享直接无线连接65的邻居被适当地同步。在一个特定的实施例，每个网络设备25A-B或30-50可以在NPDU帧中仅仅包括该ASN值的一部分，以减少在该网络层协议的层级上发送的数据的量。更为具体地，无线网络14可以维护32位ASN值，但是相应的ASN片可以仅仅包括该ASN值的低16位。将会理解的是，因为在秒或甚至毫秒内传递典型消息，所以该ASN值的若干低位可以足够测量该TTL值。当然，其它实施例可以使用甚至更小的片。

进一步，网络设备25A-B和30-50可以使用该ASN值来确定特定超帧中的当前时隙。在某些实施例中，这些设备可以应用下列函数以计算超帧内的相对时隙数：

相对时隙数=ASN%（该超帧的长度），

其中符号“%”表示模数除法函数。网络设备25A-B或30-50可以使用该公式来构造将要在相关超帧中发生的时隙的有序列表。将会注意到的是，在某些实施例中，每个一定长度的新帧可以在这样时刻开始以使整数个这种长度的超帧在该时刻和该网络的开始时刻之间合适。例如，再参见图7，超帧206可以具有八个时隙，并且可以相应地开始时隙0，8，16，…，8n，其中n是整数。在其它实施例中，新超帧可能不在等于该超帧长度的倍数的ASN值处开始，并且正在加入的设备可能增加另外的偏移量到应用以上公式得到的结果中。

在另一实施例中，尝试加入无线网络14的那些设备可能使用该ASN值以适当地与活动网络调度表66同步。具体来说，每个活动的网络设备25A-B和30-50可以周期性地发出广告包，这些设备的潜在新邻居可以处理这些广告包以确定一个或更多新的直接无线连接65是否可以形成在正在加入的设备和这些广告设备中的再一个之间。除了估计与每个广告（潜在）邻居相关联的信号的强度和可选的信号的质量，该正在加入的设备在处理广告包时可以考虑许多其它因素。例如，每个广告包可以包括网络身份字段，该正在加入的设备可以将该网络身份字段与该正在加入的设备先前已经被规定的网络身份相比较。如果若干无线网络14运行在彼此相距较短的距离内运行或者如果这些网络所覆盖的地理区域之间有些重叠，则该过程可确保正在加入的设备加入正确的网络。

图8示意性地示出了若干组件，其运行以向无线网络14提供若干等级的安全性。如以上所提及的，安全管理器28可产生、维护、更新以及以别的方式管理密钥组63，同时网络管理器27可进一步通过保证新加入的网络设备来增强网络安全性，直到操作人员例如提供对完全加入无线网络14的明确批准。一般而言，网络管理器27和安全管理器28可通过一个或更多会话专用密钥来保护无线网络14中的基于会话的通信中的至少一些通信。继续以图1的隔离的网络设备69为例，网络定理器27最初可已经建立了加入会话220以接收该身份并验证网络设备69的加入密钥222。在这种意义上，加入密钥222可被理解为网络管理器可类似地存储的正在加入的设备的密码。操作员可以使用维护端口223或网络设备69的另一本地接口来将加入密钥222写入到设备存储器中并且使用例如工作站16上的操作员接口来将同一加入密钥写入到网络管理器27。在某些实施例中，每个正在加入的网络设备可具有唯一的密钥以进一步提高安全性。

具体来说，关于维护端口223，将会注意到的是，在某些实施例中的隔离的网络设备69可以仅通过物理连接到维护端口223的被正确鉴权的设备接受配置变化。在这种方式下，手持式设备55可能不经过另一网络设备的维护端口223访问一个网络设备的配置信息。如果想要的话，操作员可将该加入密钥写入到网络设备69，同时该设备是空闲的以便该网络设备可在请求并协商允许加入无线网络14时使用该加入密钥。然而，维护端口223的使用并不需要受限于初始配置，并且网络设备25A-B、30-50以及69中的至少一些可在所有运行状态下经由维护端口223与维护设备（例如，手持式设备55、膝上型电脑、工作站16等等）进行通信。除了接受诸如加入密钥222、网络身份之类的基本配置，维护端口223还可以提供诊断信息给维护设备以及诊断、配置或校准信息给不支持无线接口的一些现有遗留工具。如果想要的话，维护端口223可以是诸如RS-232之类的串行端口。可替代地，维护端口223可以以任何其它方式，例如经由红外或蓝牙连接来实现。

在实施例中，维护端口223可以支持与无线网络14中使用的协议（例如，无线HART协议70）共享一个或若干上层的有线协议。例如，无线HART协议70可以支持针对网络管理、设备管理和配置、过程数据传输等等的命令，其中至少一些还可以在诸如支持令牌传送数据链路层的频移键控（FSK）、相移键控（PSK）或RS-485之类的有线物理链路层上进行分层（见图2）。换句话说，维护端口223可支持有线HART协议72或者由有线HART协议72和无线HART协议70共享的命令中的至少一些命令。网络设备25A-B、30-55或69可以经由维护端口223接受无线HART协议70的一个或若干配置命令，并且在至少一个实施例中，可以拒绝经由网络设备25A-B、30-55或69的无线接口到达的相同的一个或若干配置命令。相反地，网络设备25A-B、30-55或69可以拒绝某些命令，如果这些命令经由维护端口223到达。在这种方式下，网络设备25A-B、30-55或69可以有利地仅仅支持单组命令，但这些命令中的一些命令可能局限于特定的接口。

在成功结束加入会话220时，网络管理器27可给网络设备69提供网络密钥224，网络设备25A-B和30-50中的每个网络设备可使用该网络密钥224支持成对（即一对一）网络管理器会话225。进一步，网络管理器27可提供用于验证和处理网络广播会话228的广播消息的广播密钥226。同时，网络管理器27可能不给网络设备69提供分别针对成对会话234和广播会话235的密钥230和232，直到网络设备69退出隔离模式。更为具体地，一从操作人员接收到相应的指令，或者作为自动决策的结果，网络管理器27可以将网络设备69从隔离模式中释放。例如，在准许完全进入无线网络14之前，网络管理器27可维护隔离计时器或可只监测隔离的网络设备69的可疑活动。

作为补充，一旦和如果网络管理器27将网络设备69从隔离中释放，网络设备69可以在暂时性或永久性的基础上获取其它密钥和会话。例如，由手持式密钥240保护的会话238可以是用于监测或规定的手持式会话。在一些实施例中，从隔离中释放出的网络设备69还可建立一些未被保护（即未用密钥锁定的）会话。

在这一点上，将会注意到的是，密钥222、224、226、230、232或240中的一些或所有可以是适合于鉴权和/或加密的数据的任何单元。例如，一些密钥可以是诸如AES-128对称密钥之类的高级加密标准（AES）AES密钥。当然，也可以使用诸如由日本电报电话（NTT）和三菱公司开发的Camellia加密算法之类的任何其它加密标准。作为替代，例如，这些密钥可以只是作为未加密文本存储的密码。作为又一替代，无线网络14可要求对一些会话进行加密以及仅仅进行关于其它会话的完整性检查（即基于私钥生成唯一的消息摘要）。

还将会理解的是，网络管理器27可以从安全管理器28接收密钥组63中的一些或所有密钥。进一步，以上描述的运行中的一些或所有运行可以以任何方式分布在网络管理器27和安全管理器28中，或者可替代地，这两个实体可以作为单个任务来实现。

图9-10进一步示出了在无线HART协议70的数据链路层76和网络层78（见图2）处的消息的鉴权和加密的使用。接下来，图11-14示出在无线网络14内的各种运行阶段的独立网络设备的运行，图15-16示出与密钥管理相关的且保证新加入的设备的若干网络设备之间交互的若干示例性场景。

具体来说，图9示出生成数据链路协议数据单元（DLPDU）252的消息完整性编码（MIC）的一个实例。在这个实例中，DLPDU252的净荷254可以不被加密，并且MIC250可以仅仅用来确认还不存在对DLPDU252的篡改。因此，MIC发生器256可以在消息输入258处接受0长度（即空）消息并且在非加密输入262处接受净荷254连同包头260。ASN计数计数器68可以和源地址264合并以定义针对当前输入266的唯一当前值。在这种方式下，网络设备25A-B、30-55以及在某一点的隔离的网络设备69可以生成不重复的当前值。在另一方面，在一对通信网络设备之一处的“漂移的”或相反不正确的ASN值将导致一个该通信对中的另一网络设备可能不能复制的当前值，从而未能确认该消息的完整性并触发例如否定的确认。然后，发起设备可尝试重新使该ASN值与网络管理器27维护并通过无线网络14传播的精确的全局ASN值68同步。

继续参照图9，MIC发生器256可使用网络密钥224（见图8）作为用于生成MIC250的参数之一。然而，因为正在加入的设备仍可能具有网络密钥224，所以正在加入的设备可使用已知密钥268。操作员可经由相应的维护端口将已知密钥268编程到一些或所有无线设备，并且安全管理器28例如可在永久性存储器中存储该值或作为软件代码的一部分。如果想要的话，对于中断消息，或者在网络密钥224可能是未知的、不可用的、折衷的、或相反与已知密钥268相比不太可取的其它场景中，MIC发生器256还可以使用已知密钥268。

同时，无线HART协议70可支持在网络层78上进行加密以使得该净荷对不具有MIC发生器282（图10）的会话密钥280的任何入侵的或未经授权的参与者来说难以理解。因为网络层78可支持多个不同类型的会话（即网络设备25A-B或30-55和网关设备22之间的广播，网络设备25A-B或30-55和网络管理器27之间的单播等等），所以会话密钥280可以是图8的密钥组63中的密钥之一。相同的密钥280可以用于根据非编码的NPDU（未示出）生成加密的网络协议数据单元（NPDU）284。如图10中示出的，加密的NPDU净荷284和包头286分别可以是MIC发生器282的消息输入288和另外的未加密输入290。

在一些实施例中，每个网络设备25A-B、30-55和69可以维护每个会话的当前计数器292。不像全局性ASN计数器68，本地当前计数器292可以仅仅对一对网络设备有意义。因此，MIC发生器282可生成MIC294，MIC294可以仅仅由具有会话专用密钥280并适当地维护匹配会话专用当前计数器292的一个或若干网络设备25A-B、30-55以及69来验证。

一般而言，关于图9和10，将会注意到的是，无线HART协议70还可以在任何一个或若干协议层76-86提供加密。相反地，无线HART协议70的一些实施例可以不提供在任何协议层进行加密，并且可以仅仅生成消息鉴权编码作为防御篡改的防卫。

现在参见图11，状态图300示出与参与无线网络14的网络设备的网络协议层相关联的有代表性的状态中的一些状态。将会注意到的是，状态图300与网络设备25A-B或30-50中的特定实施例相对应，并且在其它实施例中，相应的状态机可以将图11中示出的某些状态结合在一起，或者相反地，实现响应于较少或更多过渡事件的更多状态。进一步，本领域普通技术人员将会理解的是，网络设备25A-B或30-50可以实现与不同运行模式、会话、网络层等等相关联的多个并发状态机，并且例如，一些假设的实施例可以将状态图300中示出的一些操作与其它协议层相关联。

如在图11中示出的，网络设备可以在上电时进入状态302并且保持在空闲状态302直到接收到发起加入序列的命令。在状态302，可以不规定该网络设备与无线网络14的任何其它设备通信。在这些实施例的至少某些实施例中，操作员可以经由维护端口223给该网络设备规定一个或更多安全密钥、网络身份和或其它配置数据。

在加入状态304中，该网络设备可以开始收听广告消息并且尝试通过将该广告消息中报告的网络身份与该网络设备已经被规定了的网络身份值相比较来定位无线网络14。具体来讲，加入过程可以随着该网络设备选择特定的无线电信道并开始收听广告包而开始。这种运行模式可以称为混杂模式。如果该网络设备在一定量的时间（例如四个时隙、一秒等等）内没有接收到广告包，则该加入过程可以选择不同的无线电信道以进行另一迭代。另一方面，如果该网络设备接收到广告包，则该加入过程可以处理该包并且接受该广告或返回到混杂模式并收听另外的广告包。在可替代的实施例中，在从积累的组中选择最佳候选者之前，该加入过程可以积累一定数目的广告包。

例如，在估计广告包时，该网络设备可以考虑若干诸如潜在邻居设备所发送的信号的强度之类的因素。因为定义信号质量差的链路可能不是想要的，或者因为关于选择一个或更多邻居，网络设备可以具有若干选择，所以将信号强度认为是在通过图或源路由定义路由时以及在定义调度表时的因素之一可能是想要的。更为具体地，该网络设备可以计算用来指示信号的能量而非质量的接收信号强度指示（RSSI）。为了达到RSSI值，该网络设备可以测量可以用检测信号的分贝来表示的接收信号电平（RSL）。可替代地，该网络设备可以选择传统的测量信号的质量而非强度的方法。在一些实施例中，该网络设备可以报告信号强度测量值给网络管理器27，并且接着可以等待从网络管理器27接收超帧、图以及链路配置。在一些实施例中，网络管理器27可以进一步在图和调度表形成期间考虑计划的跳数、计划的通过每个节点传播的业务量、每个节点的功率能力以及得到的每种类型业务的等待时间等等这一类因素。

除了ASN计数器68的值，每个广告包可以指定无线网络14的安全设置，例如是否需要密钥来请求允许进入、是否需要单独的密钥来协商会话等等。进一步，广告包可以指定至少一个加入链路，正在加入的设备可以用所述至少一个加入链路来与网络管理器27协商允许进入无线网络14，并且如果需要的话，与安全管理器28交换鉴权信息（优选地但并不必要地，网络管理器27和安全管理器28共享公共地址以简化无线网络14的设计和维护）。正在加入的设备可以为了限制的目的使用这些加入链路，而不能够访问其它网络功能或消费其它网络资源。在一些实施例中，这些加入链路中的每个加入链路可以被共享，并且这些正在加入的设备可以通过应用指数后退（exponential back-off）技术来解决访问冲突。

通过处理广告消息，该网络设备还可以与无线网络14同步并且更新ASN计数器68的本地副本。一旦同步完成，该网络设备可以将用于准许进入无线网络14的请求转发到网络管理器27。为了这个目的，该网络设备可以从一个或更多广告包提取关于可用加入会话的信息。

接下来，网络定理器27还可以执行一个或更多鉴权过程，以确保该网络设备被正确授权以参与无线网络14。继续参见图11，该网络设备可以在隔离状态306下运行，直到网络管理器27或外部应用完全批准新加入的网络设备。尽管在隔离状态306下，该网络设备仍可以执行在无线网络中的有限功能。例如，网络设备可能不被允许转发对等网络设备25A-B或30-50发起的数据包，直到被允许转换到运行状态308。

在运行状态308，该网络设备可以完全参与所有网络操作，例如，与网关设备22进行交互以提供到外部应用对该网络设备的不同运行参数的访问，在块传输模式下协商用于公布被调度的过程数据或未被调度的数据的带宽，以及例如发出广告包以邀请新的无线设备加入无线网络14。如以上所指示的，在运行状态308下，该网络设备还可以被允许在对等网络设备25A-B或30-50之间路由数据。

在无线网络14运行期间的某一点上，网关设备22可以从外部网络接收可能有一个爆炸性的无线电敏感设备在一个或多个无线网络设备25A-B或30-50附近的指示。网关设备22可以将该指示转发给网络管理器27，网络管理器27接下来可以广播一个请求中止无线网络14中的所有通信的中止消息。可替代地，网关设备22可以在将网关设备22连接到工厂自动化网络12的有线接口上支持中止命令。例如，被正确授权的操作员可以使用工作站16以通过直接或经由网关设备22向网络管理器27发出某个命令来中止无线网络14。

在某些实施例中，该中止命令可以是从网络管理器27或网关设备22到每个网络设备25A-B和30-50的携带相同信息的广播消息。例如，该广播的中止命令可以指定这些通信应该停止的时刻，以及可选地，这些通信应该重新开始的时刻。可替代地，该中止命令可以指定这些无线通信应该停止的时刻以及这些通信不被允许重新开始时所在的安静时间的持续时间。在又一替代中，每个网络设备25A-B或30-50在接收到该中止命令时可以启动一计时器并在时间期满时重新开始通信。例如，每个网络设备25A-B或30-50可以被预先配置为在接收到该中止命令之后中断通信五秒钟。当然，依赖于例如设备类型，网络设备25A-B或30-50中的一些网络设备还可以被配置有不同的超时值。如又一替代，该超时值可以与无线网络14中的最快设备的更新速率成比例。将会注意到的是，这些实例中的中止命令不需要指定这些通信应该重新开始的时刻。

无线网络14的某些实施例还可以将该中止命令作为单播消息或组播消息来使用。例如，诸如工作站16之类的外部主机可以向网络管理器27发送报告，其指定可以要求只针对一定地理区域的无线电静默的条件。在某些实施例中，网络管理器27可以不仅示意性地（例如维护基于信号强度等等的图）而且空间地即根据网络设备25A-B或30-50的至少大概物理位置知道无线网络14的拓扑。在这些实施例中，网络管理器27可以能够确定如果有的话网络设备25A-B和30-50中的哪一个网络设备与该条件报告中指定的地理区域最接近。然后，网络管理器27可以通过发送单播或组播中止命令给相关的网络设备25A-B和30-50来中止无线网络14中特定部分中的通信。

再参见图11，实现状态机300的网络设备可以转换到中止状态310。在这种状态下，该网络设备至少可以中止无线电传输。在某些实施例中，该网络设备还可以停止收听进入的数据以保存电池的寿命。然而，假设在至少一种可能的实现中，无线网络14中的传输的中止可以是不确定的，并且网络设备25A-B和30-50可以不发送数据直到接收到用以取消该中止命令的唤醒命令。在这种情况下，网络设备25A-B和30-50可以以调度的速率或以降低的速率，例如通过每秒唤醒一次，继续收听传入的数据。在图11中示出的特定实施例中，该网络设备可以在转换到中止状态310时启动一中止计时器。如果想要的话，该中止计时器可以是在该中止消息中指定的传输重新开始时间与当前时间之差或可替代地经过该维护端口给该网络设备规定的预定值。

仍然参见图11，当该中止超时期满时，该网络设备可以从中止状态310向重新同步状态312转变。如以上讨论的，在可替的代实施例中的一些实施例中，这种向状态312的转变能够由明确的指令来触发。在重新同步状态312，该网络设备可以在相对时间106处（见图3）确定时隙的开始，并且一旦确定了该时隙计时，该网络设备可以在该网络设备参与的一个或更多超帧中计算相对时隙数。为个了这目的，该网络设备可以应用以上提出的模数除法公式，即该网络设备可以基于该ASN值计算该相对时隙数。因此，基于该独立网络设备的内部时钟，状态304-312可以包括ASN计数的连续更新。在这种意义上，该网络调度表可以前进相同时隙数，不管一个或更多网络设备25A-B或30-50是否在中止状态310中。

图12示意性地示出隔离的网络设备69可以从邻居设备34接收的受限制链路图340。受限制链路图340可以在网络广播会话228中仅仅包括用于从网络管理器27接收广播命令的链路342、用于与网络管理器27的成对通信会话225的专用链路344以及用于向网络管理器27传播中断请求、带宽请求或其它消息的共享链路346和348。相反，运行在状态308（见图11）的网络设备34的未受限制链路图350可以包括用于建立与网关设备22的成对通信会话234的链路352、用于与手持式设备55（见图8）的成对通信会话238的链路354以及用于执行为无线网络14的完全运行的设备保留的操作的其它链路。在另一方面，未受限制链路图35还包括用于在诸如图1的网络设备23的50之类的其它网络设备对之间转发数据的一个或若干链路（例如链路356）。在这种意义上，隔离的网络设备69可能不被允许“看到”由其它网络设备发起的数据，除非网络设备69是该数据的最终接收方。虽然每个会话优选地在网络层78上被编码以便转发设备不能解密被加密的NPDU净荷284（因为转发设备可能不具有合适的会话密钥或相应的当前计数器292），但受限制的链路图340提供了另外的保护等级并且进一步增强了无线网络14的安全性。

为了进一步示出无线网络14如何保证安全运行，图13包括可以在对无线网络14进行初始化时运行的示例性启动过程400。具体来说，过程400可以包括第一步骤402，在第一步骤402期间，网关设备22启动并初始化。在步骤404，网关设备22可以创建网络管理器27的例子。将会注意到的是，尽管示例性步骤404包括将网络管理器27创建为和网关设备22运行在同一物理主机上的软件例子，不过网络管理器27还可以运行在工作站16或18之一上或者可以分布在若干硬件组件中。在可替代实施例中，网络管理器27可以首先启动，并且可以创建虚拟网关24的例子。

然后在块456，网关设备22或网络管理器27可以创建安全管理器28的例子。在无线网络14的运行期间，安全管理器28可以与网络管理器27一起工作以保护无线网络14免遭各种敌对威胁。具体来说，安全管理器28可以提供安全密钥给网络管理器27，该安全密钥可用于无线网络14中的设备鉴权和数据加密。安全管理器28可生成和管理无线网络14所用的加密材料，并且还可负责生成、存储和管理这些密钥。在块408中，安全管理器28可建立与网络管理器27的连接。在接下来的运行中，安全管理器28可以与网络管理器27在服务器-客户端架构下紧密工作。在一实施例中，安全管理器28的单个例子可以服务超过一个无线网络14。

接下来在块410中，网关设备22可以启动提供时钟控制或同步。因为无线网络14可以具有超过一个网关设备22，并且因为同步通常来自单个源，所以网络管理器27可以明确地指派同步的源。例如，网络管理器27可以指派网络接入点25A作为时钟控制源。如果想要的话，图1的网络接入点25A和网络接入点25B可以提供同步的时钟控制信号。

继续参照图13，在块412中，网络管理器27可以创建无线网络14的第一超帧和第一网络图。然后，在块414，无线网络14开始发广告以便现场设备30、32等等可以处理广告包并且发起加入该网络的过程。如以上讨论的，网关设备22可以作为网络设备驻留在无线网络14上。因此，现场设备可以使用与这些设备用来与相邻现场设备进行通信的相同命令和过程与网关设备22进行通信。进一步，现场设备可以接收和响应于来自包括网关设备22在内的任何网络设备的广告包。

为了进一步阐明以上讨论的技术，图14是示出可选地导致隔离状态306的加入场景430中涉及的交互中的一些交互的消息序列图。将会注意到的是，场景430可能不包括在参与设备之间发送的每个消息，并且图14仅仅提供加入序列的一个示例性实现的高度概括。参见图14，维护工具440可以经由例如维护端口223将无线网络14的加入密钥222和网络身份写入到无线设备424中。在这里示出的特定实施例中，维护工具440可以执行预定义的写入配置命令444以规定无线设备442。再参见图11，当接受并处理该写入配置命令444时，无线设备422可以在空闲状态302。

在接收到激活命令时，或者响应于来自手动开关的信号，例如，无线网络442可以开始从一个或更多邻居设备收听广告消息。为了简单起见，图14示出单个邻居450的过程时间表。然而，将会注意到的是，无线设备442可类似地与若干邻居450进行交互。如以上关于图11所讨论的，广告消息452可以指定全局性ASN计数68、加入链路的列表等等。无线设备442可以响应一个或若干过程广告消息452，并且如果邻居设备450是适合的且比其它邻居设备（未示出）更可取，则无线设备442可经由邻居450和网格460发送加入请求454给网络管理器27。

响应于接收到加入请求454，网络管理器27可以发起鉴权过程464。具体来说，网络管理器27可以与安全管理器28进行交互以验证由无线设备442提供的加入密钥（例如，通过对用AES-128加入密钥222编码的消息进行解码、通过将存储在加入密钥222中的未编码的密码数据序列与本地副本相比较等等）。进一步，网络管理器27可以查询数据库（未示出）以查看在加入请求454中提供的设备身份是否与在数据库中规定的身份之一相匹配，或者可替代地，网络管理器27可以检查该设备身份的格式以筛选出未识别的或不支持的身份类型。将会注意到的是，作为鉴权过程462的一部分，网络管理器27或安全管理器28可以请求诸如对加密询问的响应之类的附加数据，并且可以与无线设备442交互附加消息。

接下来，在过程464中，网络管理器27可以分配资源和有可能的话，一个或更多会话密钥。如上所提及的，在加入状态304，无线设备442可以获取用于与网络管理器27进行通信的若干加入链路。具体来说，无线设备442可以使用加入链路来协商带宽要求、提交指示来自每个邻居的信号的强度和/或质量的邻居报告等等，网络管理器27可以使用该报告调整无线网络14。分配链路资源的这些消息和这些会话密钥被分别示出为消息466和468。在某些实施例中，网络管理器27可以在接受加入请求454之后立即为无线设备442提供网络密钥224，并且可以用网络密钥224进行编码或保护连续消息466-468中的至少一些消息的完整性。将会注意到的是，当无线设备442协商进入无线网络14、接收加入密钥222、从网络管理器27获取资源等等时，维护工具440可以响应于用户请求更新或以其它任何方式通过周期性轮询来监测无线设备442的进展。图14示出该状态更新过程为监测器请求469和监测器响应470。在其它实施例中，无线设备442可以生成一个或若干未经请求的监测器响应470。如果经由维护端口223连接到无线设备442，维护工具440可以只收集监测器响应470。进一步假设维护工具440可以将状态更新以文本表示、以图形表示或以任何其它方便的格式呈现给用户。

在某些实施例中，在完成加入序列时，无线设备442可自动地进入隔离状态306。在其它实施例中，网络管理器27可以明确地指令无线设备442保持在隔离状态306或进行到完全运行状态308。在又一实施例中，无线设备442可以通过分析链路图340（见图12）来确定无线设备442是否已经被隔离。

为了减小由于相同网络密钥224或者密钥组63中的另一密钥的延长使用而使得入侵者破解无线网络14的加密的概率，安全管理器28可以不时至少更新网络密钥224并广播新值给每个网络设备25A-B和30-55。图15示出网络密钥更新过程500。在过程500的开始，网络管理器27可以从安全管理器28接收新的密钥（块502）。如果想要的话，安全管理器28可以运行一周期性定时器以例如每天一次或每十二小时一次更新网络密钥224。可替代地，网络管理器27可以使用手持式设备55或工作站16从操作员接收手动命令。

然后，网络管理器27可以经由相应的邻居450将广播写入密钥命令504传播到每个网络设备432。在实施例中，广播写入密钥命令504可以指定每个网络设备25A-B、30-55和69必须更新网络密钥224的时间。如果想要的话，该时间可以被指定为ASN值510。每个网络设备可以确认接收到广播写入密钥命令504并传播响应消息512到网络管理器27。

在对应于ASN值510的时刻，每个网络设备25A-B、30-55和69可以开始用网络密钥224的新值进行编码或至少生成这些数据包的MIC。然而，因为在无线网络14中可能存在用旧网络密钥224产生的未完成消息，所以无线网络14可在网络状态520保留该旧值。在该间隔期间，网络设备25A-B、30-50和69可以基于例如相应的数据包的时间戳来选择地应用网络密钥224的两个值之一。

最后，在过程530中，在对应于ASN值522的时刻，无线网络14可以丢弃网络222的旧值。在一些实施例中，ASN值522可以包括在广播写入密钥命令504中。作为替代地，网络管理器27可以向无线网络14中的所有设备广播清除网络密钥命令（未示出）。作为又一替代，可以规定每个网络设备具有对应于ASN值522和ASN值510之差的时间间隔。在这些实施例中的任何实施例中，该时间间隔可以至少与无线网络14中的存活最长的数据包的存活时间（TTL）一样长。因为确定该精确值是困难的，所以无线网络14可以只实现与存储在TTL字段中的最大值相对应的间隔值，例如由最大的两字节TTL值指定的216个时隙。

尽管上述内容详细说明了多个不同的实施例，不过应该理解本发明的范围由本专利的末尾处提出的权利要求书中的语句来限定。由于说明每一种可能的实施例即使不是不可能的，也是不切实际的，所以上述详细说明应该被解释为仅用于说明目的，而并没有说明每一种可能的实施例。许多可替代实施例可以用当前的技术或本专利的申请日之后开发的技术来实施，这将仍然落入权利要求的范围内。

Claims (38)

1.一种在过程控制环境下使用的安全无线通信网络，包括：

多个完全使能无线网络设备，各执行多个网络功能；

多个直接无线连接，其连接所述多个完全使能无线网络设备中的完全使能网络设备对；

隔离的无线设备，其经由直接无线连接被连接到所述多个完全使能无线网络设备之一；其中所述隔离的无线设备执行所述多个网络功能的子组。

2.根据权利要求1所述的安全无线通信网络，其中所述多个网络功能包括在所述多个网络设备中的网络设备对之间发起数据包、接收数据包以及转发数据包；并且其中所述多个网络功能的子组不包括转发数据包。

3.根据权利要求1所述的安全无线通信网络，进一步包括：

有限的链路资源，其与所述直接无线连接以及定期发生的预定持续时间的通信时隙相关联，其中所述隔离的无线设备仅仅通过所述有限的链路资源与所述多个完全使能无线网络设备之一进行通信。

4.根据权利要求1所述的安全无线通信网络，其中所述隔离的无线设备包括用于连接到维护工具的维护端口；其中所述维护工具仅仅在通过无线设备的维护端口被连接到该无线设备时规定该无线设备。

5.根据权利要求1所述的安全无线通信网络，进一步包括：

与所述多个完全使能无线网络设备之一相关联的未受限制的链路图；以及

与所述隔离的无线设备相关联的受限制的链路图；其中所述未受限制的链路图包括被所述受限制的链路图排除在外的转发链路，并且其中所述转发链路支持将数据包转发到所述多个完全使能无线网络设备中的另一个完全使能无线网络设备。

6.根据权利要求5所述的安全无线通信网络，其中所述未受限制的链路图进一步包括用于维护与将所述安全无线通信网络连接到工厂自动化网络的网关设备的通信会话的链路；并且其中所述受限制的链路图不包括用于维护与该网关设备的通信会话的链路。

7.根据权利要求1所述的安全无线通信网络，其中所述多个完全使能无线网络设备之一包括密钥组，所述密钥组中的每个密钥用于维护多个安全通信会话中各自的安全通信会话；并且其中所述隔离的设备包括所述密钥组中的一部分。

8.根据权利要求7所述的安全无线通信网络，其中所述密钥组包括：

网关密钥，用于编码与将所述安全无线通信网络连接到工厂自动化网络的网关设备的通信会话；其中所述网关密钥不包括在所述密钥组的所述一部分中。

9.根据权利要求7所述的安全无线通信网络，其中所述密钥组包括：

手持式密钥，用于编码与用于在无线通信网络中执行监测、诊断或维护功能中的至少一项的手持式设备的通信会话；其中所述手持式密钥不包括在所述密钥组中的所述一部分中。

10.根据权利要求1所述的安全无线通信网络，进一步包括：

绝对时隙数（ASN）计数器，其中所述绝对时隙数指示自从所述无线网络的启动时间以来被调度的通信时隙数，并且其中所述多个完全使能无线设备中的每个完全使能无线设备与所述多个完全使能无线设备中的至少一个其它完全使能无线设备在与各自的具有重复顺序的通信时隙的超帧相关联的通信时隙内进行通信；并且其中

所述多个完全使能无线设备中的每一个和所述隔离的设备包括消息完整性编码发生器，以根据数据包并且基于所述绝对时隙数产生唯一的数据字。

11.一种在包括多个网络设备的无线网状网络中增强安全性的方法，该方法包括：

分配可访问所述多个网络设备中的每个网络设备的多个共享无线链路，其中每个链路与预定持续时间的通信时隙相关联并且与载波频率相关联；

通过验证由所述多个网络设备中的每个网络设备提供的会话密钥以访问所述多个共享无线链路之一，来阻止对所述多个共享无线链路的未经授权的访问；

从邻居设备发送广告包，其中所述邻居设备是所述多个网络设备之一，包括：

在所述广告包中提供标识加入链路组的链路图，其中该加入链路组是所述多个共享无线链路的子组；

通过加入链路组中的一个链路从加入设备接收加入请求，其中所述加入请求是对所述广告包作出响应并且其中所述邻居设备被配置为通过加入链路组中的所述一个链路接收传入数据；并且

处理所述加入请求，包括：

通过在加入链路组中的所述一个链路上经由所述邻居设备与所述加入设备进行通信来鉴权所述加入设备；以及

在所述加入设备被成功鉴权时，通过发送所述会话密钥给所述加入设备来准许所述加入设备对所述多个共享无线链路的访问。

12.根据权利要求11所述的方法，其中发送广告包进一步包括发送指示自从所述无线网状网络的形成时间以来被调度的通信时隙数的绝对时隙数。

13.根据权利要求11所述的方法，其中发送广告包进一步包括在所述广告包中发送网络身份，其中所述加入设备存储设备网络身份并且只有当所存储的预定义的设备网络身份与所述网络身份相匹配时才开始顺序加入所述无线网状网络。

14.根据权利要求11所述的方法，其中有条件地准许所述加入设备对无线网状的访问包括发送网络密钥、网络管理密钥或网关密钥中的至少一项给所述加入设备，其中所述网络密钥、网络管理密钥或网关密钥中的每一个准许对所述无线网状网络的独立功能的访问。

15.根据权利要求11所述的方法，其中接收所述加入请求包括：

接收存储在所述加入设备中的加入密钥；并且其中

处理所述加入请求包括将所述加入密钥与存储在所述多个网络设备之一中的网络加入密钥副本相比较。

16.根据权利要求11所述的方法，其中处理所述加入请求包括从所述加入设备接收加入当前值，其中所述加入当前值包括所述加入设备的地址和当用所述网络身份对所述加入设备进行编程时被初始化的当前计数器。

17.根据权利要求11所述的方法，其中在开始顺序加入所述无线网状网络之前，所述加入设备在与所述无线网状网络相关联的多个载波频率中的每个载波频率上在预定的时间量内收听广告包。

18.根据权利要求11所述的方法，其中所述无线网状网络实现HART通信协议，并且其中处理所述加入请求包括接收HART标识信息。

19.一种在过程控制环境下使用的无线现场设备，包括：

用于使用第一无线通信协议与多节点无线通信网络进行通信的无线接口；

用于使用第二通信协议支持对所述无线现场设备进行配置或监测中的至少一项的维护端口；以及

用于执行过程控制功能的仪表模块，其中该仪表模块以可通信方式连接到所述无线接口和所述维护端口。

20.根据权利要求19所述的无线现场设备，其中所述第一无线通信协议和所述第二通信协议与包括配置命令的命令组相关联，并且其中所述无线现场设备仅经由所述维护端口接受所述配置命令。

21.根据权利要求20所述的无线现场设备，其中所述命令组与

通信协议相关联。

22.根据权利要求19所述的无线现场设备，其中所述维护端口支持无线连接。

23.根据权利要求19所述的无线现场设备，进一步包括：

用于存储用来获得对所述多节点无线通信网络的访问的加入密钥的存储单元；其中所述无线现场设备通过所述维护端口仅接受所述加入密钥。

24.根据权利要求19所述的无线现场设备，进一步包括：

用于存储所述多节点无线通信网络的网络身份的存储单元；其中所述无线现场设备通过所述维护端口仅接受所述网络身份。

25.根据权利要求19所述的无线现场设备，其中所述无线现场设备阻止连接到所述维护端口的主机对所述多节点无线通信网络的访问。

26.一种在过程控制环境下运行用于执行过程控制功能的无线现场设备的方法，包括：

经由维护端口将配置信息写入到所述无线现场设备的存储器中；

请求允许所述无线现场设备进入无线通信网络，包括经由无线接口发送所述配置信息到运行在所述无线通信网络中的网络设备；以及

在所述无线通信网络准许进入所述无线现场设备时，经由所述无线接口与所述无线通信网络交换过程控制信息。

27.根据权利要求26所述的方法，其中将配置信息写入到所述无线现场设备包括将加入密钥写入到所述无线现场设备；并且其中请求允许所述无线现场设备进入包括使用所述加入密钥加密加入所述无线通信网络的请求。

28.根据权利要求27所述的方法，其中将配置信息写入到所述无线现场设备进一步包括将网络身份写入到所述无线现场设备。

29.根据权利要求26所述的方法，进一步其中写入配置信息和交换过程控制信息中的每一项包括：

运行以可通信方式连接到所述维护端口的维护工具；以及限制所述维护工具对所述无线现场设备的存储器的访问。

30.根据权利要求26所述的方法，进一步包括经由所述维护端口监测所述无线现场设备的运行，包括：

发送监测器请求给所述维护端口；以及

接收至所述维护端口的监测器响应，其中所述监测器响应指示所述无线现场设备的运行状态。

31.根据权利要求26所述的方法，其中写入配置信息包括发出与所述无线通信协议相关联的第一命令；并且其中请求允许所述无线现场设备进入无线通信网络包括发出与所述无线通信协议相关联的第二命令。

32.根据权利要求31所述的方法，其中所述第一命令和所述第二命令中的每一个命令与

通信协议相关联。

33.根据权利要求31所述的方法，其中所述无线现场设备被配置为拒绝经由所述无线接口到达的第一命令。

34.一种增强在网状通信网络中服务多个无线网络设备的无线通信协议的安全性的方法，其中所述网状通信网络在过程控制环境下运行，所述方法包括：

定义预定持续时间的通信时隙；

生成包括至少一个具有重复超帧循环的超帧的网络调度表，每个超帧循环具有若干通信时隙；其中所述多个无线网络设备中的每个无线网络设备根据所述网络调度表发送和接收数据；

维护用来指示自从所述无线网络的启动时间以来被调度的通信时隙数的绝对时隙数；并且

将与关联于所述无线通信协议的多层之一相关联的数据包从所述多个无线网络设备中的一个无线网络设备发送到所述多个无线网络设备中的另一个无线网络设备，包括：

基于所述绝对时隙数生成所述数据包的第一消息完整性编码。

35.根据权利要求34所述的方法，其中生成第一消息完整性编码包括：

利用所述绝对时隙数形成当前值；

将所述当前值提供给消息完整性编码发生器；以及

将网络密钥提供给所述消息完整性编码发生器，其中所述网络密钥被所述多个无线网络设备中每个完全运行的无线网络设备共享。

36.根据权利要求35所述的方法，其中所述数据包与包括在关联于所述无线通信协议的多层中的数据链路层相关联；并且其中生成第一消息完整性编码进一步包括：

将所述数据包的净荷提供给所述消息完整性编码发生器的非加密输入；以及

将空字符串提供给所述消息完整性编码发生器的加密输入。

37.根据权利要求34所述的方法，其中发送与关联于所述无线通信协议的多层之一相关联的数据包进一步包括：

在与所述无线通信协议相关联的多层中的另一层上加密数据包，包括基于会话专用当前计数器生成与所述多层中的该另一层相关联的第二消息完整性编码。

38.根据权利要求34所述的方法，其中基于所述绝对时隙数生成所述数据包的消息完整性编码包括将所述绝对时隙数和与所述数据包相关联的源地址合并。

Images