JP2006252560A - 遠隔プログラマブル装置の無線リンクを安全にする方法 - Google Patents

Abstract

【課題】ペースメーカのような遠隔プログラマブル装置の安全性を確保する。
【解決手段】遠隔プログラマブル装置であって、無線リンクを介して制御部からメッセージを受信し、前記遠隔プログラマブル装置に常駐のローカルアプリケーションに転送するメッセージ記憶部と、前記遠隔プログラマブル装置の動作を制御する書き込み可能なレジスタと、前記レジスタにデータを書き込むため前記メッセージに組み込まれた命令を解釈する命令解釈部と、前記レジスタに前記データを書き込むことを禁止するロック部とを備える遠隔プログラマブル装置。ローカルアプリケーションは、前記ロック部を解除するために前記メッセージに組み込まれた認可コードにより前記レジスタに前記データを書き込むことを許可するものとする。
【選択図】図２

Description

本発明は、プログラマブル装置の分野に係わり、ペースメーカのように、ローカルな無線通信リンクを介して遠隔からプログラムされるプログラマブル装置に関する。

ペースメーカのような遠隔プログラマブル装置において、制御部、あるいはマスター装置は、無線リンクを介してプログラマブル装置に常駐したアプリケーションプログラムにメッセージを送信していた。さらにローカルな受信機は、無線リンクを制御し、あるいはローカルなスレーブ装置の数種類の校正を行うレジスタを備えている。これらのレジスタは、無線リンクを介してメッセージを送信することにより書き込まれる。もし、これらのレジスタのいずれかに誤った値が書き込まれると、無線リンクが切断されるか、あるいは更に悪い状態になることがある。それゆえ、受信機に遠隔送信されたどんな命令でも受信機の設定を害することができないことが重要である。

制御部は、スレーブ装置のレジスタに直接書き込むか、もしくはスレーブ装置にこの動作を実行させるように命ずるメッセージを送信する。最初の解決方法の問題点は、安全でないことである。例えば、悪意のある使用者（ハッカー）あるいは無知な使用者は、スレーブデバイスが無線リンクを介した命令の応答をやめるか、または更に悪い状態にさせる効果のある方法でレジスタに書き込みを行う。医療装置の場合には、リンクの切断は正確な治療の遅れや、又は更に悪い状態にさせることにつながるため、重大な事態になりうる。

２番目の解決方法の問題点は、遠隔プログラマブル装置自体が動作を実行することにより、制御部が送受信機のローカルなレジスタの書き込み等の害のない機能を直接実行することを妨げる。

本発明は、前もって送信された素数の形式である認可コードにより命令解釈が解除されない場合には、外部制御部から一定の機能を実行させないことにより上記の問題を解決する。

従って、本発明は、遠隔プログラマブル装置であって、無線リンクを介して制御部からメッセージを受信し、前記遠隔プログラマブル装置に常駐のローカルアプリケーションにメッセージを転送するメッセージ記憶部と、前記遠隔プログラマブル装置の動作を制御する書き込み可能なレジスタと、前記レジスタにデータを書き込むため前記メッセージに組み込まれた命令を解釈する命令解釈部と、前記レジスタに前記データを書き込むことを禁止するロック部とを備え、前記ローカルアプリケーションは、前記ロック部を解除するために前記メッセージに組み込まれた認可コードに応答して前記レジスタに前記データを書き込むことを許可することを特徴とする遠隔プログラマブル装置を供給する。

本発明は、あまり複雑な制御部を必要とせずに、受信機のレジスタへの書き込みのようなメンテナンス機能の安全性を提供する。

本発明の一実施形態によれば、ロック部は無線リンクを介してローカルアプリケーションへ大きな素数を送信することによりロック部を解除し、このロック部の解除の前に、前記大きな素数が正当であるかどうかが判定され、保護されたレジスタへの書き込みが許可される。いくつか又は全てのレジスタが保護されることが注目されるべきである。他の実施形態によれば、解除の要求なしにある種のレジスタへの書き込みを許可することが役立ちうる。それは誤ったデータがレジスタに書き込まれた場合でも、重大な障害が全く生じないレジスタの場合である。

本発明のもう一つの態様は、遠隔プログラマブル装置の動作を制御するための書き込み可能なレジスタと、無線リンクを介して制御部からのメッセージに応答し、前記遠隔プログラマブル装置に常駐のローカルアプリケーションとを備え、前記レジスタにデータを書き込む命令が無線リンクを介して送信される遠隔プログラマブル装置の制御方法において、前記ローカルアプリケーションが通常時に前記命令の実行を禁止し、前記命令の実行を許可するようにローカルアプリケーションに指示する認可コードをローカルアプリケーションに送信し、前記ローカルアプリケーションが正当な認可コードを受信すると、前記命令の実行を許可し、前記無線リンクを介して正当な認可コードを送信した後に、少なくとも一つの命令を前記レジスタにデータを書き込むために送信することを特徴とする遠隔プログラマブル装置の制御方法を提供する。

図１において、左側に示すプログラマブル装置は、受信機１と、一定の機能を実行するために送信機４から無線リンク３を介した命令に応答する、プログラマブル装置に常駐するローカルアプリケーション２とを備える。前記送信機は、遠隔プログラマブル装置の制御部であり、ペースメーカの場合には、ペースメーカの動作の制御を本体外部から操作可能な制御ユニットである。

ローカルアプリケーションは、常にデータを復号して処理でき、次いで、要求された動作すなわち、内部のプログラムに依存しない動作を実行するために、ローカルアプリケーション２に命令を送信することは一般的に安全だと考えられている。アプリケーションが安全なソフトウェアのみを実行するように設計できる場合以外には、アプリケーション中のいくつかのソフトウェアは、どんなコードも自動的に実行することや、バッファのオーバーフローにより大きなセキュリティホールを有する可能性がある。

例えば、受信機１は動作周波数を変更する命令にも応答し、ローカルアプリケーション１以外は、その指示が有害かどうかを決める手段がない。

本発明によれば、ロック部は一般的にＡＮＤゲートにより形成され、前記の制御部が、受信機内で全て（あるいは一部）のレジスタ、または初期命令を書き込むことを妨げている。制御部は、ロック部が活動状態にある間は、２，３の開放されたレジスタの書き込みのみ許容する。プログラマブル装置は、ロック部を非活性化できず、かつローカルアプリケーションにより認可コードが受信されることにより、制御部にいくつかのレジスタへ書き込むことを許可する。

ロック部それ自身は、レジスタのビットの形式か、あるいは実行する書き込みを許可するために、活性化されることが必要な受信機上の特殊ピンか、あるいは両方の組み合わせである。重要な点は、ローカルな装置がロック部をロック状態からロック解除状態に変更できることである。一度送受信機が解除されると、マスター装置は、それより前に不許可であったレジスタへの書き込みが可能になる。書き込みが実行されるとき、または時間切れの後に、送受信機は再びロックされる。

図２は、本発明によるプログラマブル装置の詳細なブロック図である。

メッセージ形式によるデータは、無線リンク３を介して送信され、一時的に送受信機１０のメッセージ記憶部１１に記憶される。メッセージはローカルアプリケーション１３に転送され、装置内部でプログラムされた指示に従いメッセージを実行する。

前記メッセージはコマンド解釈部１２にも転送され、受信された命令に従い受信機内のレジスタ１４に通常時書き込むことができる。これらのレジスタは一般的にはプログラマブル装置内の送受信機１０の動作を制御する。

前記アプリケーション１３は、通常時命令解釈部１２が命令を実行することを妨げるロック命令１５を発する。これは、送受信機の動作を制御するレジスタ１４のいくつかまたは全てにデータを書き込むことを防げる。ロック部は、ローカルタイムに関連する大きな素数のような秘密のプロトコルの形式による認可コードにより解除される。

前記ロック部１５は、送受信機１０にすでに存在している機能により動作する。マスター装置からのメッセージはリンク４を介して送信され、メッセージ記憶部１１に一時的に記憶される。メッセージ記憶部では、送受信機への命令が抽出され、命令解釈部１２へ送信される。もし命令解釈部１２がロックされると、命令は実行されない。次いで命令解釈部は、命令が実行されなかったことを伝えるエラーメッセージを制御部に送り返す。命令解釈部がロックされなかった場合には、命令は実行される。命令解釈部はそれ自身で命令が受信されたことを検出でき、かつローカル装置に警告することができる。命令解釈部として更に複雑なものを使用すれば、このような警告はロック解除プロトコルに使用できる。

前記ロック部１５は安全対策として使用されるので、それを実行する最初の許可なしで、受信機のいずれかのレジスタに遠隔で書き込むことはできない。この許可はローカルアプリケーションにより与えられる。遠隔アプリケーションは、ローカルアプリケーションで解釈をされた要求を送信できる。ローカルアプリケーションは、ローカルな受信機のレジスタの書き込みを承諾または拒否することができる。遠隔命令が実行されたときには、受信機内のロック部は自動的に再度設定され、新しい認可コードが受信されるまで、レジスタの書き込みは許可されない。

図３は、命令解釈部を更に詳細に示す図である。これはメッセージ記憶部１１に記憶されたメッセージに含まれる命令を復号する復号器１０から構成される。復号器の出力は、ＡＮＤゲート１８に接続され、ＡＮＤゲート１８のもう一方の入力はＡＮＤゲート１９の出力に設定され、ＡＮＤゲート１９はローカルアプリケーション１３からの入力を受信する。

前記復号器１６の出力はＮＡＮＤゲート１７に接続され、ＮＡＮＤゲート１７のもう一方の入力端はＡＮＤゲート１８の出力を受信する。ローカルアプリケーション１３からのＡＮＤゲート１９の３つの全ての入力がハイであるとき、ゲート１８はロックが解除され、復号器の出力がレジスタ１４に書き込むことが許可される。ゲート１９の出力がローになるとき、ゲート１８はロックされ、ＮＡＮＤゲート１７の出力がハイになり、エラー信号が発せられ、そのエラー信号は無線リンク３を介して制御部に送り返される。

図４は、プログラマブル装置の動作を示すフローチャート図である。
ステップ２０は、メッセージが無線リンク３を介して伝送される通常の通信を表している。もし、マスター装置（制御部）が通信（ステップ２１）を改善したければ、コード化された要求を送信するか、ステップ２２において、プログラマブル装置（スレーブ）へ認可コードを送信する。これは、ローカルアプリケーションに伝達され、この要求はステップ２３で復号される。もし、この要求が許可されない場合には、ステップ２５において制御部にエラーメッセージが送り返される。もし要求が承認されれば、ステップ２６において、ローカルアプリケーションがロック部を解除する。続いてステップ２７において、制御部は命令を送信する。制御部からその命令を終了した指示を受信すると、ステップ２８において、プログラマブル装置に従うように通知するメッセージを送信し、ステップ２９において、ロック部を再び活性化する。

本発明は、組み込みハードウエアにより実装することが可能である。命令解釈部は、もしロックされた場合には（いくつか又は全ての）命令の実行を許可しない。また、ローカル装置は命令がロックされたことを警告することも可能であり、また本発明の一実施形態によれば、もし命令が実行されない場合、エラーエッセージが制御部に送り返される。一定の特殊な命令は、ロック部が活性化されている場合においても実行される。

本発明によるロック部がある場合とない場合のプログラマブル装置を示す概略図である。 本発明を具現化するプログラマブル装置を詳細に示す詳細なブロック図である。 プログラマブル装置を更に詳細に示す図である。 プログラマブル装置の機能を示すフローチャート図である。

符号の説明

３ チャンネル
１０ スレーブ側送受信機
１１ メッセージ記憶部
１２ 命令解釈部
１３ ローカルアプリケーション
１５ ロック部

Claims (11)

1. 遠隔プログラマブル装置であって、
   無線リンクを介して制御部からメッセージを受信し、前記遠隔プログラマブル装置に常駐のローカルアプリケーションにメッセージを転送するメッセージ記憶部と、
   前記遠隔プログラマブル装置の動作を制御する書き込み可能なレジスタと、
   前記レジスタにデータを書き込むため前記メッセージに組み込まれた命令を解釈する命令解釈部と、
   前記レジスタに前記データを書き込むことを禁止するロック部とを備え、
   前記ローカルアプリケーションは、前記ロック部を解除するために前記メッセージに組み込まれた認可コードに応答して前記レジスタに前記データを書き込むことを許可することを特徴とする遠隔プログラマブル装置。
2. 請求項１記載の遠隔プログラマブル装置において、
   ロックされた前記命令解釈部によって、前記命令が実行されなかったときには、無線リンクを介して制御部にエラーメッセージを返信する論理回路を備えることを特徴とする遠隔プログラマブル装置。
3. 請求項１記載の遠隔プログラマブル装置において、
   前記命令解釈部は前記メッセージを復号し、受信した命令に対して指示を発する復号器を備え、
   前記ロック部は、メッセージ中に認可コードが送信されなければ、前記ローカルアプリケーションからの入力に応じて、前記指示の実行を妨げるロジックゲートを備えることを特徴とする遠隔プログラマブル装置。
4. 請求項３記載の遠隔プログラマブル装置において、
   前記ローカルアプリケーションは、メッセージ中に大きな素数として送信された認可コードに応答することを特徴とする遠隔プログラマブル装置。
5. 請求項１記載の遠隔プログラマブル装置において、
   前記ロック部がロック状態にあるときに、前記無線リンクを介して書き込み可能な前記レジスタの第１部分集合と、
   通常状態では前記ロック部がロックされ、前記ロック部が解除されたときのみ書き込まれる前記レジスタの第２部分集合とから構成されることを特徴とする遠隔プログラマブル装置。
6. 請求項１記載の遠隔プログラマブル装置において、
   前記レジスタは、前記遠隔プログラマブル装置の一部を形成する送受信機の動作を制御することを特徴とする遠隔プログラマブル装置。
7. 請求項１記載の遠隔プログラマブル装置において、
   前記遠隔プログラマブル装置は、ペースメーカであることを特徴とする遠隔プログラマブル装置。
8. 遠隔プログラマブル装置の動作を制御するための書き込み可能なレジスタと、
   無線リンクを介して制御部からのメッセージに応答し、前記遠隔プログラマブル装置に常駐のローカルアプリケーションとを備え、前記レジスタにデータを書き込む命令が無線リンクを介して送信される遠隔プログラマブル装置の制御方法において、
   前記ローカルアプリケーションが通常時に前記命令の実行を禁止し、
   前記命令の実行を許可するように前記ローカルアプリケーションに指示する認可コードをローカルアプリケーションに送信し、
   前記ローカルアプリケーションが正当な認可コードを受信すると、前記ローカルアプリケーションに前記命令の実行を許可し、
   前記無線リンクを介して正当な認可コードを送信した後に、少なくとも一つの命令を前記レジスタにデータを書き込むために送信することを特徴とする遠隔プログラマブル装置の制御方法。
9. 請求項８記載の遠隔プログラマブル装置の制御方法において、
   前記遠隔プログラマブル装置は、前記命令解釈部がロックされたことにより前記命令が禁止されたときには、無線リンクを介して制御部にエラーメッセージを返信することを特徴とする遠隔プログラマブル装置の制御方法。
10. 請求項８記載の遠隔プログラマブル装置の制御方法において、
    前記ローカルアプリケーションは、メッセージ中に大きな素数として送信された認可コードに応答し、前記命令の実行を許可することを特徴とする遠隔プログラマブル装置の制御方法。
11. 請求項８記載の遠隔プログラマブル装置の制御方法において、
    前記レジスタは、前記遠隔プログラマブル装置の一部を形成する送受信機の動作を制御することを特徴とする遠隔プログラマブル装置の制御方法。