CN116458123A - 物联网系统中的安全元件阵列 - Google Patents

Abstract

用于为边缘设备提供功能的安全执行的系统和方法包括多个边缘设备、控制器和安全元件的阵列。边缘设备各自被配置成获得用于系统的应用的数据。控制器被连接为与边缘设备进行通信，以从所述边缘设备中的每个边缘设备接收数据。安全元件的阵列连接至控制器，并且每个安全元件使用从边缘设备接收的数据来执行功能。控制器将安全元件的阵列中的识别的安全元件与相应边缘设备相关联，以针对从相应边缘设备接收的数据来执行功能，并且控制器被连接为将所执行的功能的结果传送至相应边缘设备。

Description

物联网系统中的安全元件阵列

优先权申请

本申请要求2020年11月13日提交的序列号为63/113,423的美国临时专利申请的优先权，该美国临时专利申请的公开内容通过引用以其整体/全部并入本文中。

技术领域

本文献总体上涉及但不限于物联网(IoT)系统，并且特别地但不限于用于IoT系统的透明架构。

背景技术

物联网(IoT)系统通常包括边缘设备，所述边缘设备包括收集和传达数据的各种传感器或其他方法。这些边缘设备中的一些边缘设备可能不具有直接的网络连接或者可能在其他方面受到资源限制。另外，通常需要这些边缘设备存储密钥材料和执行安全处理。然而，IoT系统中的边缘设备往往缺乏处理资源和安全能力，并且边缘设备的物理位置也可能使边缘设备不适合于存储密钥材料。此外，这些边缘设备可能实现需要定期更新的软件。由于这些边缘设备中的一些边缘设备的受限的网络连接，因此这可能要求技术人员在每次需要软件更新时访问每个单独的边缘设备。在具有许多边缘设备的系统中，这会耗费时间和资源。

发明内容

本发明提供了如权利要求中限定的用于为边缘设备提供系统功能的安全执行的系统和方法、非暂态计算机可读介质以及物理访问控制系统。

附图说明

在不一定按比例绘制的附图中，类似的附图标记可以描述不同视图中的相似部件。具有不同字母后缀的类似附图标记可以表示相似部件的不同实例。在附图的图中通过示例而非限制的方式示出了一些实施方式，在附

图中：

图1是示出示例物理访问控制系统的图。

图2是示出包括安全元件的阵列的示例物联网(IoT)架构的框图。

图3是示出示例安全IoT网关的框图。

图4A示出了用于通过控制器对安全元件的阵列进行认证的示例工作流程。

图4B示出了用于通过安全元件的姐妹板来对策略和/或控制器进行认证的示例工作流程。

图5A至图5C是示出用于在半双工系统中使用的全双工协议的示例传输帧的图。

图6是示出使用全双工协议在半双工通信线路上传输消息的示例方法的流程图。

图7是示出可以在其上实现一个或更多个实施方式的机器的示例的框图。

具体实施方式

本文中公开了用于使用安全元件的阵列实现用于物联网(IoT)系统的透明架构的系统和方法。示例IoT架构包括配备有内置的或可连接的安全元件的阵列的网关。安全元件包括用于执行密码功能或处理——例如加密、解密、签名生成、签名验证和/或密钥生成——的硬件和/或软件。安全元件包含在明确限定的周界内，该周界确立了密码模块的物理边界并且包含对密码模块的任何软件部件和固件部件进行存储和保护的任何处理器和/或其他硬件部件。安全元件可以采取(或包括)以下形式：安全密码处理器、智能卡、安全数字(SD)卡、微型SD卡、SIM卡和/或任何其他密码模块。

安全元件(SE)是防篡改平台，其能够根据由一组很好识别的受信任机构提出的规则和安全要求来安全地托管应用及其机密和密码数据。SE可以被视为是提供动态环境以安全地存储数据、安全地处理数据以及安全地执行与外部实体的通信的芯片。

物理访问控制系统(PACS)包括读取器(边缘设备)和控制器(中间服务器/设备)。在常规PACS系统中，读取器是托管和运行软件以与进入读取器的通信范围内的卡或移动电话进行安全通信的智能设备。成功的PACS系统既关注用户体验又关注安全性。因此，读取器设备必须具有足够的处理能力来应对时延问题以及基于硬件的安全基元(securityprimitive)和基于软件的安全基元两者。读取器设备受到支持对来自广泛的卡设备的数据进行认证和读取，所述卡设备具有不同的协议(在传输层和应用层两者处)并具有不同的数据模态。这导致由读取器设备实现的许多软件，这些软件必须被更新以支持新的卡模态、漏洞修复等。由于读取器设备通常不具有网络连接，因此读取器设备必须由技术人员物理访问以执行这些更新。此外，这导致物理上位于读取器上的存储安全软件和密钥材料的安全元件。例如，一些读取器在物理上位于建筑物的外部部分，这会引起公司、认证实体或PACS系统的其他用户的安全考虑，所述公司、认证实体或PACS系统的其他用户希望或需要密钥材料的所有安全存储均在物理上位于安全周界内，例如位于建筑物的周界内。

为了对以上情形进行补救，可以使用远离读取器的安全元件的阵列来执行读取器设备的安全和应用软件。安全元件的阵列可以与PACS控制器集成或附接至PACS控制器，并且被配置成处理多个并行请求和与边缘设备(读取器)的连接。PACS控制器可以具有与一个或更多个远程设备的网络连接，所述一个或更多个远程设备可以存储并提供针对安全元件的软件更新或固件更新。这样，可以在不需要技术人员访问每个单独的边缘设备(读取器)的情况下更新安全元件。PACS控制器也可以在物理上位于建筑物或其他安全周界内，从而消除关于使安全元件位于一些读取器上的安全考虑。

在一个示例中，安全元件的阵列可以定位在姐妹板上，该姐妹板可以使用具有总线协议的一个或更多个总线连接至主机设备，所述总线协议例如串行外围接口(SPI)、内部集成电路(I2C)、通用串行总线(USB)等。安全元件可以用于若干种功能。例如，安全元件可以充当密码处理器，以提供安全算法和对敏感密钥材料的安全存储。在其他示例中，安全元件可以用作执行专用软件以及安全算法和密钥材料的存储的应用平台。例如，在PACS系统中，安全元件可以用于针对在PACS读取器处呈现凭证的用户执行认证。这样，在读取器设备本身上不需要用于执行用户认证的软件功能。

图1描绘了其中可以使用PACS的示例场景100。如图1所示，墙壁102中设置有门104。在示例情形中，安全区域位于门104的后面，门104具有可锁定把手106，可锁定把手在处于解锁状态下时允许访问安全区域，而可锁定把手在处于锁定状态下时阻止访问安全区域。

读取器设备108定位在门104的把手106附近。在示例中，把手106在默认状态下被锁定。读取器系统108可操作成响应于被呈现了在凭证设备112中包含的授权凭证而选择性地将把手106置于解锁状态下，该凭证设备112可以经由无线接口110与读取器设备108进行通信。在各种示例中，凭证设备112可以是钥匙卡、遥控钥匙、移动设备(例如，智能电话)或具有通信能力和凭证的任何其他合适的凭证设备。

在常规系统中，可以在读取器设备108本身上实现用于对用户进行认证的应用软件。例如，用户呈现凭证设备112，该凭证设备112与读取器设备108通信以向读取器设备108提供凭证。然后，读取器设备108使用所接收到的凭证来安全地对用户进行认证并解锁把手106。在其他常规示例中，该功能中的一些功能被包括在读取器设备108上，而一些功能被包括在远程定位的PACS控制器上。例如，读取器设备可以与凭证设备112执行安全事务，以及然后将数据传送至PACS控制器以对用户进行认证。然后，控制器可以进行通信以解锁把手106。

由于读取器设备108执行安全事务和/或认证，因此读取器设备108可能需要软件更新或固件更新。在一些示例中，读取器设备108不包括网络连接，并且仅通过诸如RS-485的单一有线连接或其他连接来连接至PACS控制器。这需要技术人员物理地去到读取器设备108以针对PACS系统中的每个读取器设备108更新软件或固件。期望将该功能中的一些功能从读取器中移除以提供维护的便利性，同时还向用户提供在读取器设备108处的相同或更好的用户体验。

为了达成这一点，可以在PACS控制器处实现安全元件的阵列，每个安全元件被配置成针对相应读取器设备108进行安全软件执行。这些PACS控制器通常包括一个或更多个网络连接，从而允许由安全元件执行对软件的远程更新，从而消除对技术人员物理地去到每个读取器设备108的需要。应当理解，除了PACS系统之外，本公开内容还可应用于多种类型的IoT系统。图1所示的系统100纯粹作为示例而非限制来呈现。

图2是示出IoT系统200的图。系统200包括边缘设备群集210和安全IoT网关(SIG)220。边缘设备群集210各自可以包括一个或更多个边缘设备230，例如图1中的读取器设备108。SIG 220可以经由局域网或广域网280例如互联网与远程源240进行通信。SIG 220可以包括控制器250和包括安全元件270的姐妹板260。在示例中，控制器250可以是PACS控制器。虽然示出为各自具有五个边缘设备230的两个群集210以及四个安全元件270，但是对于系统200可以实现具有任意数目的边缘设备230的任意数目的群集210以及任意数目的安全元件270。虽然示出为分离的控制器250和姐妹板260，但是在一些示例中，安全元件270可以与控制器250集成。控制器250可以被连接以使用任意总线协议例如SPI、I2C、USB等与姐妹板260进行通信。

SIG 220通过网络连接280被连接以与远程源240进行通信，以及通过单独连接290被连接以与相应边缘设备230进行通信。例如，连接280可以是局域网连接或广域网连接，例如互联网连接。单独连接290可以是有线连接或无线连接，例如以太网、Wi-Fi、USB、RS-485等。虽然针对每个群集210示出为单个连接290，但是可以针对每个单独边缘设备230存在连接290。远程源240可以是一个或更多个服务器或者其他计算设备，并且可以存储针对安全元件270的固件文件更新或其他软件更新。在一些示例中，SIG 220与远程源240通信以获得固件文件更新或其他软件更新，并对通过SIG 220实现的一个或更多个安全元件270进行更新。

在诸如图1所示的PACS系统的PACS系统中，读取器设备108可以是被连接以与诸如PACS控制器的控制器250通信的边缘设备230。连接290可以是有线全双工连接、诸如RS-485连接的有线半双工连接或任何其他连接。安全元件270可以被配置成执行软件以为读取器108使用专用硬件执行功能。例如，当用户接近读取器设备108并使用凭证设备112呈现凭证时，安全元件270可以被分配以执行安全算法和敏感密钥材料的安全存储以及用户认证的事务。在一些示例中，读取器设备108可以仅从凭证设备112获得凭证信息，将凭证信息提供给控制器，而安全元件270执行用于对用户进行认证和解锁门把手106的所有专用功能。在其他示例中，专用功能中的一些专用功能可以由读取器设备108执行，而一些专用功能可以由安全元件270执行。

当用户接近读取器设备108时，或者当读取器设备108接收到用户凭证时，控制器250或其他电子电路可以选择并分配用于与读取器设备108一起使用的安全元件270。这可以是当前可用于为读取器设备108执行软件的任何安全元件270。

在示例中，每个边缘设备230可以动态地接收对相应边缘设备230针对相应会话被分配给的安全元件270的引用。例如，当边缘设备230需要安全元件270时，控制器250可以识别出能够为相应边缘设备230提供必要功能的可用安全元件270。也可以将控制器250实现为“调度器”，其负责将消息或数据调度给相应安全元件270，从而使安全元件阵列免受相应边缘设备230的影响。这实现了代码开发和管理方面的高级别模块化，并防止边缘设备230或系统内的其他行动者崩溃或终止。

也可以在系统200内实现其他设备或电路，以监视边缘设备230或安全元件270的生命周期并实现例如重新唤醒(respawn)相应设备或保持设备终止并且通知系统管理员的策略。在其他示例中，边缘设备230、控制器250或安全元件270中的一个或更多个可以监视系统中的设备的生命周期，这可以用于对系统内的设备的相应状态进行清除或重置。

在一些情况下，可以期望实现无法由远程设备240或其他实体访问的用于边缘设备的应用和密钥材料。例如，在PACS系统中，实体可能希望使用无法由任何其他实体例如通过远程设备240访问的特定认证代码来对控制器250或安全元件270进行编程。为了促进这一点，安全元件270可以被配置成使得安全元件270可以以高级语言编程。在一些示例中，即使安全元件270是资源受限设备，也可以为安全元件270实现能够运行语言运行时的运行时(runtime)。因此，实体可以开发应用并将该应用安装在安全元件270上。

在以上场景中，期望限制谁可以在安全元件270上安装这些应用。在示例中，要安装在安全元件270中的应用必须由实体签名，并且然后更高级别的实体或其他实体利用对应的密钥对该应用进行双重签名。在对应用进行双重签名的情况下，控制器250的内置安全元件或安全元件270中的一个或更多个允许将应用安装在相应安全元件270上。这使得实体能够独立地开发应用并将它们加载至安全元件270中。在一些示例中，也可以由安全元件270实现虚拟防火墙，以防止由安全元件270安装的应用相互干扰。

图3是示出SIG 220的示例实现方式的框图。网关220包括控制电路系统300、处理元件310和一个或更多个安全元件320，所述安全元件可以是图2中的安全元件270。在一些情况下，网关220包括四个安全元件320。网关220的每个安全元件320可以被配置成执行相同的功能。在一些实现方式中，与典型的通用微处理器相比，安全元件320被实现(在硬件和软件两方面被实现)为提供更高级别的安全保证。在一些实现方式中，安全元件320被实现为通用微处理器，而不提供更高级别的安全保证。

控制电路系统300和处理元件310可以被配置成实现用于将安全元件320分派给相应边缘设备230的分配协议。控制电路系统300和处理元件310可以由控制器250和/或在姐妹板260上实现。为了促进将安全元件320和边缘设备230关联使用，边缘设备230、安全元件320、协议等可以被实现为对它们自己的状态进行管理并且仅使用进程内消息与系统中的其他行动者进行通信的行动者。这些行动者维持行动者的相应设备的配置状态，并且还动态地接收对行动者针对给定会话被分配给的安全元件320的引用。类似地，行动者可以与能够使用期望的传输和应用协议进行通信的行动者进行关联/向其进行注册。

控制电路系统300和/或处理元件310可以执行充当调度器行动者的软件，该调度器行动者负责将消息/数据调度至相关和适当的安全元件320，从而将安全元件320的整个阵列免受例如表示边缘设备230的行动者的影响。使用行动者和进程内消息使得能够实现代码开发和维护方面的高级别的模块化、实现由于部件之间的交互开销为零(因为它们都是同一进程的一部分)而引起的优异的性能、以及防止发生任何部件故障。通常，进程的软件部件中的故障或漏洞会导致整个进程崩溃。行动者模型(actor model)使得系统能够将故障包含在各个行动者中，并且从而使进程免受故障的影响。这种机制最终提供了几乎100％的正常运行时间和在进程中免受不良部件/行动者影响的韧性(resiliency)。

远程源240可以通过网络连接280为安全元件320提供更新。例如，第一安全元件320的固件可以经由由处理元件310实现的诸如可信执行环境的安全隔离区(securityenclave)被更新。在这种情况下，安全隔离区可以运行利用密码支持的应用并且提供与一般计算环境的隔离。在一些实现方式中，由处理元件310实现的安全隔离区包括由安全隔离区用于与另一设备通信的对称或非对称密钥材料。由安全隔离区用于与设备进行通信的密码处理和技术不同于由网关220的安全元件所实现的密码处理。

安全元件320的数目可以小于由安全元件320服务的边缘设备230的数目。这在并非期望所有的边缘设备230同时活动时可能是有利的。此外，这有利于将请求交织至一个安全元件的能力。在一些示例中，一个安全元件行动者可以与两个边缘设备行动者相关联。即使两个边缘设备行动者同时活动，这两个边缘设备行动者也可能处于不同的通信阶段下。来自每个边缘设备行动者的请求可以被交织至单个安全元件行动者。例如，事务可以包括边缘设备与安全元件之间的若干个命令-响应对。到安全元件返回对来自第一边缘设备的特定命令的响应时，控制器可以从第二边缘设备接收到不同的命令。在这种情形下，将来自两个边缘设备的通信交织有利于高效使用单个安全元件。

在安全元件320定位在可与控制器250物理分离的姐妹板上的示例中，当将姐妹板插入控制器250或以其他方式将姐妹板连接至控制器250时，期望对姐妹板进行认证。为了达成这一点，控制器250可以包括内置于控制器250的附加安全元件，并且该附加安全元件具有既对安全元件320的阵列进行认证又对与相应控制器250的策略兼容性进行验证的能力。在另一实施方式中，可以使用由微处理器提供的安全隔离区，而不是在控制器250上包括内置的安全元件。

图4A示出了用于通过控制器250对安全元件320的阵列进行认证的示例工作流程。在一个示例中，控制器250的内置安全元件或隔离区包含非对称密钥对以及签名根数字证书。具有签名数字证书使得控制器250中的内置安全元件或隔离区能够向安全元件的安全阵列发送随机数。然后，阵列中的安全元件320返回签名随机数以及由安全元件320使用的证书。要注意的是，阵列中的每个安全元件都具有不同的证书和密钥，但是所述证书中的所有证书都具有相同的父(根)证书。然后，控制器250中的内置安全元件或隔离区对随机数上的签名进行验证并对安全元件320的证书进行验证。该类似于公钥基础设施(PKI)的处理可以由控制器250使用以对安全元件320进行认证。该处理可以在姐妹板连接至控制器时执行，并且然后再次执行，或者替选地以随机间隔执行，以防止例如由于中间人攻击而出现的漏洞。

以上处理仅验证了姐妹板的真实性，但是也可能期望姐妹板对控制器250和/或系统策略进行认证。图4B示出了用于通过安全元件320的姐妹板来对策略和/或控制器250进行认证的示例工作流程。可以在一个或更多个远程设备240的帮助下对策略进行认证。控制器250中的内置安全元件或隔离区可以利用远程设备240进行认证，并获得特定于所讨论的控制器250的签名密码。然后，将该签名密码发送至姐妹板中的安全元件320的阵列。只有在签名是正确的情况下，安全元件320才会起作用。在一些示例中，安全元件还可以包括解析策略并且基于所解析的策略仅向控制器250提供功能的子集的能力。

一些PACS系统使用全双工连接进行连接，以在读取器与PACS控制器之间进行通信。然而，对于一些常规系统，安全元件320与边缘设备230之间的通信使用半双工连接290。在这些系统中，为了确保期望的用户体验，期望为传统半双工连接实现全双工通信协议。例如，一些常规的PACS系统可以包括用于连接290的RS-485连接。在这些常规系统中，读取器或控制器中的一个充当主要通信装置，而另一个充当辅助通信装置。为了有利于边缘设备230与安全元件320之间的通信，可以为半双工连接实现全双工协议，使得所有设备都可以充当主要通信装置。

全双工协议可以设计成使得可以在现代微控制器中存在的一般通用异步收发器(UART)硬件上使用该协议，而无需对现有设备进行硬件修改。连同解决数据冲突，该协议还帮助减轻了由于有噪声或以其他方式不良的RS-485线路而可能发生的数据损坏。该协议旨在与更高级别的协议结合使用，而不会对它们造成严重限制。在开放式系统互连(OSI)模型中，该协议可以在数据链路层处实现。由发送方发送的所有数据都会得到接收方的确认。如果发送方没有适时地接收到适当的确认，则该协议并入引起如关于图6所描述的成功的数据传递的冲突解决算法。

图5A至图5C是示出在半双工系统中使用的全双工协议的示例数据帧格式的图。图5A示出了用于通过半双工连接传送数据的数据帧500。数据帧500被示出为包括37个字节，但是可以包括任意数目的字节。数据帧500包括选项字节(图5B)、数据有效载荷和四字节循环冗余校验(CRC)。虽然示出为32个字节，但是数据帧500可以被配置成具有任意大小的数据有效载荷。CRC可以用于检测数据帧500中的数据的传输中的错误。

图5B示出了数据帧500的示例选项字段510。选项字段510包括错误指示标志位、为将来使用而预留(RFU)的6个位和切换位(toggle bit)。RFU位可以被分配用于任何目的。错误指示标志是指示传输协议中的错误的单个位。如果设置成0，则帧传输数据。如果设置成1，则该帧指示在诸如边缘设备230的设备上发生了严重错误，并且诸如控制器250的另一设备应当相应地行动。除了进行错误检测之外，还可以在比所实现的协议更高级别的层中使用错误指示。切换位在发送数据帧时使用，并且每个连续帧都对切换位进行切换。切换位用于区分具有相同数据的两个连续帧和单个帧的重新传输。

图5C示出了当从发送方成功地接收到数据帧时由接收方提供的示例确认帧520。在该示例中，确认帧包括作为数据帧500的CRC帧的副本的CRC字段。虽然被示出为将CRC用于确认帧520，但是可以将使得发送方能够以合理的确定性来验证数据帧500由接收方接收的任何数据用于确认。例如，既使所述确认与数据帧500相关、又足够大且足够随机使得随机噪声或损坏的帧被识别为有效确认的概率非常小的任何位模式。

在实现通信协议时，可以向两个设备静态地分配两个不同的角色，即角色“A”和角色“B”。例如，可以向控制器250分配角色“A”，以及可以向边缘设备230分配角色“B”。波特率、使用的停止位的数目和位顺序可以在设备之间预先商定。还可以限定协议的估计时间单位(ETU)值。ETU值通常可以被选择为以一定附加余量大于传输数据帧500和接收确认帧520所需的时间。例如，对于115200位/秒(bps)的波特率，可以使用5毫秒的值。

图6是示出用于在半双工连接上根据全双工协议传输数据的方法600的流程图。当发送数据帧500时，设备必须等待，直至线路空闲。一旦线路空闲，则就以指定数目的字节传输数据帧。当接收帧时，接收指定数目的字节，并且然后设备等待线路变得空闲。当空闲时，两个节点都处于接收模式(步骤602)下并等待接收数据。一旦接收到，就对接收到的数据帧500的CRC进行校验。如果CRC不正确，则节点开始接收另一数据帧。如果CRC正确，则节点传输相对应的确认并开始接收另一数据帧。当接收到新的数据帧时，校验该帧的CRC是否等于上一接收到的帧的CRC(如果存在上一接收到的帧的CRC)。在它们匹配的情况下，则将该帧视为重复的，并且不会将其报告给更高层。对于重复的帧，仍会发送确认。

当发送数据帧500时，在步骤604处，设备停止接收模式。在步骤606处，使用指定数目的字节来发送数据帧500。在传输数据帧500之后，设备等待，直至接收到确认(步骤608)或者ETU已经期满(步骤610)。如果在接收到确认之前ETU已经期满，则方法600行进至步骤614。如果成功地接收到确认，则方法600进行至步骤612并校验确认帧520的CRC。如果CRC与所传输的数据帧500的CRC不匹配，则方法600进行至步骤614。如果CRC匹配，则数据帧500被成功地发送，并且方法返回至步骤602，并且设备重新进入接收模式。在步骤614处，对设备角色进行校验。如果该设备是角色“A”设备，则方法600返回至步骤606并重新传输数据帧500。如果该设备是角色“B”设备，则该设备进行至步骤616并进入接收模式达两个ETU以使线路上的冲突最小化，并且然后返回至步骤606以重新传输数据帧500。方法600提供了在半双工线路上使用的解决了冲突的全双工协议。

图7示出了示例机器700的框图，在该机器上可以执行本文中讨论的技术(例如，方法)中的任何一种或更多种。例如，机器700可以是边缘设备230、控制器250或安全元件270中的任何一个或更多个。如本文所述的示例可以包括机器700中的逻辑或多个部件或机构，或者可以由机器700中的逻辑或多个部件或机构操作。电路系统(例如，处理电路系统)是在包括硬件(例如，简单电路、门、逻辑等)的机器700的有形实体中实现的电路的集合。随着时间的推移，电路系统成员可以是灵活的。电路系统包括在操作时可以单独或组合执行指定操作的构件。在示例中，电路系统的硬件可以被不变地设计成执行特定操作(例如，硬连线的)。在示例中，电路系统的硬件可以包括可变连接的物理部件(例如，执行单元、晶体管、简单电路等)，可变连接的物理部件包括经物理修改(例如，以磁的、电的、不变的聚集粒子的可移动放置等方式修改)以编码特定操作的指令的机器可读介质。在连接物理部件时，硬件构成的基本电特性被改变，例如，从绝缘体改变成导体或从导体改变成绝缘体。指令使嵌入式硬件(例如，执行单元或加载机构)能够经由可变连接在硬件中创建电路系统的构件，以在操作时执行特定操作的部分。因此，在示例中，机器可读介质元件是电路系统的一部分，或者在设备操作时通信地耦接至电路系统的其他部件。在示例中，物理部件中的任何物理部件都可以在多于一个电路系统的多于一个构件中使用。例如，在操作下，执行单元可以在一个时间点在第一电路系统的第一电路中使用，并由第一电路系统中的第二电路重新使用，或者由第二电路系统中的第三电路在不同时间重新使用。下面是关于机器700的这些部件的附加示例。

在替选的实施方式中，机器700可以操作为独立的设备或者可以连接(例如，联网)至其他机器。在联网的部署中，机器700可以在服务器-客户端网络环境中以服务器机器、客户端机器或两者的资格进行操作。在示例中，机器700可以充当在对等(P2P)(或其他分布式)网络环境中的对等机器。机器700可以是个人计算机(PC)、平板PC、机顶盒(STB)、个人数字助理(PDA)、移动电话、web应用、网络路由器、交换机或桥接器，或者能够(顺序地或以其他方式)执行指定要由该机器采取的动作的指令的任何机器。此外，尽管仅示出了单个机器，但是术语“机器”也可以被视为包括单独或联合地执行一组(或多组)指令以执行本文所讨论的诸如云计算、软件即服务(SaaS)或其他计算机群集配置的方法中的任何一个或更多个的机器的任何集合。

机器(例如，计算机系统)700可以包括硬件处理器702(例如，中央处理单元(CPU)、图形处理单元(GPU)、硬件处理器核或其任意组合)、主存储器704、静态存储器(例如，用于固件、微码、基本输入输出(BIOS)、统一可扩展固件接口(UEFI)等的存储器或存储装置)706、以及大容量存储装置708(例如，硬盘驱动器、磁带驱动器、闪存，或其他块设备)，这些部件中的一些或所有部件可以经由互连链路(例如，总线)730彼此通信。机器700还可以包括显示单元710、字母数字输入设备712(例如，键盘)、和用户接口(UI)导航设备714(例如，鼠标)。在示例中，显示单元710、输入设备712和UI导航设备714可以是触摸屏显示器。机器700可以另外包括存储设备(例如，驱动单元)708、信号生成设备718(例如，扬声器)、网络接口设备720以及一个或更多个传感器716，例如全球定位系统(GPS)传感器、指南针、加速度计或其他传感器。机器700可以包括输出控制器728，例如串行(例如，通用串行总线(USB)、并行或其他有线或无线(例如，红外(IR)、近场通信(NFC)等)连接以与一个或更多个外围设备(例如，打印机、读卡器等)通信或控制该一个或更多个外围设备。

处理器702、主存储器704、静态存储器706或大容量存储装置708的寄存器可以是或包括机器可读介质722，在机器可读介质722上存储一组或更多组数据结构或指令724(例如，软件)，该组数据结构或指令724体现本文中描述的技术或功能中的任一种或更多种技术或功能或由其利用。在机器700执行指令724期间，指令724还可以完全地或至少部分地驻留在处理器702、主存储器704、静态存储器706或大容量存储装置708的寄存器中的任何寄存器中。在示例中，硬件处理器702、主存储器704、静态存储器706或大容量存储装置708中的一者或任意组合可以构成机器可读介质722。尽管机器可读介质722被示出为单个介质，但是术语“机器可读介质”可以包括被配置成存储一个或更多个指令724的单个介质或多个介质(例如，集中式或分布式数据库，和/或相关联的缓存和服务器)。

术语“机器可读介质”可以包括能够存储、编码或承载用于由机器700执行并且使机器700执行本公开内容的技术中的任意一个或更多个的指令或者能够存储、编码或承载由这样的指令使用的数据结构或者与这样的指令相关联的数据结构的任意介质。非限制性机器可读介质示例可以包括固态存储器、光学介质、磁介质和信号(例如，射频信号、其他基于光子的信号、声音信号等)。在示例中，非暂态机器可读介质包括带有具有不变(例如静止)质量的多个粒子的机器可读介质，并且因此是物质的成分。因此，非暂态机器可读介质是不包括暂态传播信号的机器可读介质。非暂态机器可读介质的具体示例可以包括：非易失性存储器，例如半导体存储器设备(例如，电可编程只读存储器(EPROM)、电可擦除可编程只读存储器(EEPROM))和闪速存储器设备；磁盘，例如内部硬盘和可移动盘；磁光盘；以及CD-ROM和DVD-ROM盘。

还可以利用多个传输协议(例如，帧中继、互联网协议(IP)、传输控制协议(TCP)、用户数据报协议(UDP)、超文本传输协议(HTTP)等)中的任一者经由网络接口设备720使用传输介质在通信网络726上传送或接收指令724。示例通信网络可以包括局域网(LAN)、广域网(WAN)、分组数据网络(例如，互联网)、移动电话网络(例如，蜂窝网络)、普通老式电话(POTS)网络以及无线数据网络(例如，被称为的电气和电子工程师协会(IEEE)802.11标准族、IEEE 802.16.4标准族、对等(P2P)网络等。在示例中，网络接口设备720可以包括一个或更多个物理插孔(例如，以太网、同轴或电话插孔)或者连接至通信网络726的一个或更多个天线。在示例中，网络接口设备720可以包括多个天线以使用单输入多输出(SIMO)技术、多输入多输出(MIMO)技术或多输入单输出(MISO)技术中的至少一个来无线地通信。术语“传输介质”应当被认为包括能够存储、编码或承载用于由机器700执行的指令的任何无形介质，并且术语“传输介质”应当被认为包括数字通信信号或模拟通信信号或其他无形介质以促进此类软件的通信。传输介质是机器可读介质。

以上描述包括对附图的参考，附图形成该详细描述的一部分。通过图示的方式，附图示出了可以实践本发明的具体实施方式。这些实施方式在本文中也称为“示例”。这样的示例可以包括除了示出的或描述的元件之外的元件。然而，本发明人还预期了其中仅提供了示出的或描述的元件的示例。此外，本发明人还预期了使用关于特定示例(或者特定示例的一个或更多个方面)或关于在本文中示出或描述的其他示例(或者其他示例的一个或更多个方面)示出或描述的这些元件(或者这些元件的一个或更多个方面)的任何组合或置换的示例。

在本文献中，除非另有指示，否则术语“或”用于指非排他性的或，使得“A或B”包括“A但不包括B”、“B但不包括A”以及“A和B”。提供摘要以允许读者快速确定技术公开内容的性质。提交时应理解，其将不被用于解释或限制各方面的范围或含义。此外，在以上详细描述中，各种特征可以被组合在一起以简化本公开内容。这不应当被解释成意指：对于任何权利要求而言，未要求保护的公开特征均是必要的。而是，发明主题可能在于少于特定公开的实施方式的所有特征。因此，所附各方面由此作为示例或实施方式并入到具体实施方式中，其中，每个方面作为单独的实施方式独立存在，并且预期这样的实施方式可以以各种组合或置换的方式彼此进行组合。本发明的范围应当参照所附各方面以及这些方面被赋予的等同物的全部范围来确定。

Claims (31)

1.一种用于为边缘设备提供系统功能的安全执行的系统，所述系统包括：

控制器，所述控制器被配置成与多个边缘设备连接以进行通信，每个边缘设备被配置成获得用于所述系统的应用的数据，所述控制器还被配置成从所述多个边缘设备中的每个边缘设备接收所述数据；以及

能够连接至所述控制器的安全元件的阵列，其中，所述安全元件的阵列被配置成使用从所述多个边缘设备接收的所述数据来执行功能；

其中，所述控制器被配置成将所述安全元件的阵列中的识别的安全元件与所述多个边缘设备中的相应边缘设备相关联，以针对从所述相应边缘设备接收的数据执行所述功能；并且

其中，所述控制器被配置成将所执行的功能的结果传送至所述相应边缘设备。

2.根据权利要求1所述的系统，其中，所述控制器被配置成通过包括以太网、Wi-Fi、RS-485或通用串行总线(USB)的连接来进行连接以与所述多个边缘设备中的每个边缘设备进行通信。

3.根据权利要求1或2所述的系统，其中，所述系统是物理访问控制系统，并且所述多个边缘设备是与物理访问设备在物理上共置的读取器。

4.根据任一前述权利要求所述的系统，其中，所述多个边缘设备的总数大于所述安全元件的总数。

5.根据权利要求4所述的系统，其中，所述控制器被配置成将所述多个边缘设备中的至少两个边缘设备与所述安全元件的阵列中的单个安全元件相关联，并且其中，所述单个安全元件被配置成将来自所述多个边缘设备中的所述至少两个边缘设备的通信交织。

6.根据任一前述权利要求所述的系统，其中，所述多个安全元件定位在姐妹板上，并且其中，所述姐妹板在物理上连接至所述控制器并且经由一个或更多个总线协议与所述控制器进行通信。

7.根据权利要求6所述的系统，其中，所述控制器被配置成使用由所述安全元件的阵列中的每个安全元件签名的至少一个证书来对所述姐妹板的真实性进行验证。

8.根据权利要求6或7所述的系统，其中，所述姐妹板被配置成通过经由管理策略的一个或更多个远程源对从所述控制器接收的策略密码的密码签名进行验证来对所述控制器进行认证。

9.根据任一前述权利要求所述的系统，其中，所述安全元件能够被编程以执行定制功能，并且其中，所述安全元件的阵列中的安全元件被配置成对所述定制功能的真实性进行验证，以允许所述定制功能的安装和执行。

10.根据任一前述权利要求所述的系统，还包括所述多个边缘设备。

11.一种用于为物联网(IoT)系统中的多个边缘设备提供功能的安全执行的方法，所述方法包括：

由所述IoT系统的控制器从所述IoT系统的所述多个边缘设备中的各个边缘设备接收数据；

将连接至所述控制器的安全元件的阵列中的识别的安全元件与相应边缘设备相关联；

将所接收的数据提供给所述识别的安全元件，其中，所述安全元件使用所述数据执行功能；以及

经由所述控制器将所述识别的安全元件的所执行的功能的结果传送至所述相应边缘设备。

12.根据权利要求11所述的方法，其中，所述IoT系统是物理访问控制系统，并且所述多个边缘设备是与物理访问设备在物理上共置的读取器。

13.根据权利要求11或12所述的方法，其中，所述控制器使用RS-485、以太网、Wi-Fi或通用串行总线(USB)连接进行连接以与所述相应边缘设备进行通信。

14.根据权利要求11至13中任一项所述的方法，其中，所述多个边缘设备的总数大于所述安全元件的总数，并且其中，所述控制器被配置成将所述多个边缘设备中的至少两个边缘设备与所述安全元件的阵列中的单个安全元件相关联，并且其中，所述单个安全元件被配置成将来自所述多个边缘设备中的所述至少两个边缘设备的通信交织。

15.根据权利要求11至14中任一项所述的方法，其中，所述多个安全元件定位在姐妹板上，其中，所述姐妹在板物理上连接至所述控制器并且经由一个或更多个总线协议与所述控制器进行通信。

16.根据权利要求15所述的方法，还包括：由所述控制器使用由所述安全元件的阵列中的每个安全元件签名的至少一个证书来对所述姐妹板的真实性进行验证。

17.一种包括可执行程序代码的非暂态计算机可读介质，所述可执行程序代码在由一个或更多个处理器执行时使所述一个或更多个处理器进行以下操作：

从IoT系统的多个边缘设备中的各个边缘设备接收数据；

将安全元件的阵列中的识别的安全元件与相应边缘设备相关联；

将所接收的数据提供给所述识别的安全元件，其中，所述安全元件使用所述数据执行功能；以及

将所述识别的安全元件的所执行的功能的结果传送至所述相应边缘设备。

18.根据权利要求17所述的非暂态计算机可读介质，其中，所述可执行程序代码还使所述一个或更多个处理器将所述多个边缘设备中的至少两个边缘设备与所述安全元件的阵列中的单个安全元件相关联，其中，所述单个安全元件被配置成将来自所述多个边缘设备中的所述至少两个边缘设备的通信交织。

19.一种物理访问控制系统，包括：

控制器，所述控制器被配置成连接至多个读取器中的每个读取器以从所述读取器接收凭证信息，所述多个读取器中的每个读取器被定位成与凭证设备进行通信来从所述凭证设备接收相应凭证信息，以使用所述相应凭证信息来控制对相应安全区域的访问；以及

安全元件的阵列，所述安全元件的阵列被配置成使用从所述多个读取器接收的所述凭证信息来执行用户认证；

其中，所述控制器被配置成将所述安全元件的阵列中的识别的安全元件与所述多个读取器中的相应读取器相关联，以使用从所述相应读取器接收的所述凭证信息来执行用户认证；并且

其中，所述控制器被连接以将所述用户认证的结果传送至所述相应读取器。

20.根据权利要求19所述的物理访问控制系统，还包括所述多个读取器。

21.根据权利要求19或20所述的物理访问控制系统，其中，所述控制器被配置成通过包括以太网、Wi-Fi、RS-485或通用串行总线(USB)的连接来进行连接以与所述多个读取器中的每个读取器进行通信。

22.根据权利要求19至21中任一项所述的物理访问控制系统，其中，所述多个读取器的总数大于所述安全元件的总数。

23.根据权利要求22所述的物理访问控制系统，其中，所述控制器被配置成将所述多个读取器中的至少两个读取器与所述安全元件的阵列中的单个安全元件相关联，并且其中，所述单个安全元件被配置成将来自所述多个读取器中的所述至少两个读取器的通信交织。

24.一种用于使用防冲突全双工通信协议通过半双工连接来传输数据的方法，所述方法包括：

结束传输所述数据的第一设备的数据接收模式；

由所述第一设备通过所述半双工连接传输数据帧以由第二设备接收；

由所述第一设备监视来自所述第二设备的确认，所述确认包括来自所传输的数据帧的循环冗余校验值；

确定需要重新传输所述数据帧；

识别所述第一设备的设备角色；以及

根据对所述设备角色的识别来在某时重新传输所述数据帧。

25.根据权利要求24所述的方法，其中，所述半双工连接是RS-485连接。

26.根据权利要求24或25所述的方法，其中，所述第一设备是物理访问控制系统的控制器，并且其中，所述第二设备是所述物理访问控制系统的读取器。

27.根据权利要求24至26中任一项所述的方法，其中，所述数据帧包括选项字段、有效载荷字段和循环冗余校验字段，并且其中，确定需要重新传输所述数据帧包括：

接收来自所述第二设备的所述确认；

将所述确认与所述数据帧的循环冗余校验字段进行比较；以及

如果所述确认与所述循环冗余校验字段不匹配，则确定需要重新传输所述数据帧。

28.根据权利要求24至26中任一项所述的方法，其中，确定需要重新传输所述数据帧包括：所述第一设备未能在指定时间段内接收到来自所述第二设备的确认帧。

29.一种包括可执行程序代码的非暂态计算机可读介质，所述可执行程序代码在由一个或更多个处理器执行时使所述一个或更多个处理器进行以下操作：

结束第一设备的数据接收模式；

从所述第一设备通过半双工连接传输数据帧以由第二设备接收；

监视来自所述第二设备的确认，所述确认包括来自所传输的数据帧的循环冗余校验值；

确定需要重新传输所述数据帧；

识别所述第一设备的设备角色；以及

根据对所述设备角色的识别来在某时重新传输所述数据帧。

30.根据权利要求29所述的非暂态计算机可读介质，其中，所述数据帧包括选项字段、有效载荷字段和循环冗余校验字段，并且其中，确定需要重新传输所述数据帧包括：

接收来自所述第二设备的所述确认；

将所述确认与所述数据帧的循环冗余校验字段进行比较；以及

如果所述确认与所述循环冗余校验字段不匹配，则确定需要重新传输所述数据帧。

31.根据权利要求29所述的非暂态计算机可读介质，其中，确定需要重新传输所述数据帧包括：未能在指定时间段内从所述第二设备接收到来自所述第二设备的确认帧。