JP2010509808A - 分散装置取消 - Google Patents

Abstract

分散取消手法では、分散ネットワークの疑わしい自律装置ノード又は疑わしい分配鍵を分散ネットワークから除去すべきであるか否かを、分散ネットワークの複数の自律装置ノードそれぞれで個々に決定する。複数の自律装置ノードの個々の決定を組み合わせて、疑わしい自律装置ノード又は疑わしい部分配鍵を分散ネットワークから除去すべきであるか否かを決定する投票セッションが行われる。疑わしい自律装置ノード又は疑わしい配分鍵は、除去を支持する投票セッションに応じて、分散ネットワークから除去される。

Description

本明細書は、分散データ獲得、処理、及び関連した技術分野に関する。本明細書は特に、医療患者のバイタル・サインや、診断上重要な生理学的パラメータを監視し、患者に対する制御された医薬品送達を提供し、フロー制御された、患者に対する静脈内流体送達を提供するよう構成された、無線で相互通信する医療装置の分散ネットワークのセキュリティに関し、特にそれに関して説明する。以下は、より概括的には、医療アプリケーション、制御アプリケーション（例えば、気象制御レジスタや、分散ビル照明制御など）を行うよう構成された何れかの種類（無線接続されていても有線接続されていてもよい）の自律装置ノードの分散ネットワークのセキュリティに関する。別の一般化された局面では、以下は、概括的には、自律装置ノードをアドホックに追加し、除去することができる分散ネットワーク（電子装置のブルートゥース・ネットワークなど）、ＷｉＦｉホットスポット（ラップトップ・コンピュータや他のＷｉＦｉ対応装置がアドホックに接続し、切断することができるＷｉＦｉホットスポット、分散ピアツーピア・ファイル共有ネットワーク等のセキュリティに関する。

自律的な無線相互接続医療装置は、病院や他の医療施設において、一層使用されるようになってきている。前述の装置により、なくならなければ医療関係者及び患者の移動を妨げるケーブルや導線などの有線通信接続がなくなる。前述の無線自律医療装置は、アドホック分散ネットワークを形成するよう相互接続することが可能であり、これは、患者の医療状況により、医療装置を追加し、除去することを容易にする。分散ネットワークとして相互接続された無線自律装置の使用は、計算リソースの効率的な配分、装置の障害の場合の、冗長度の向上、一装置がそのメモリ内容を喪失すると効果的であり得る、データ記憶における冗長度等ももたらし得る。

分散ネットワークは重大なセキュリティ問題を伴う。各自律装置は、分散ネットワークのセキュリティを損なう潜在的な点を表す。装置の自律性により、何れの個々の装置も、基本的には、悪意のあるソフトウェア（例えば、ウイルス、トロイの木馬、ワーム等）によって乗っ取られ得る。侵入者は、自律装置のうちの１つを乗っ取ると、損なわれた装置を使用して分散ネットワークを不通にするか、又は医療データを盗み得る。患者の医療データのインテグリティ及びプライバシの維持におく重要度は、例えば、西暦１９９６年に米国で可決された医療保険の相互運用性と説明責任に関する法律（ＨＩＰＡＡ）によって医療データに法的保護が与えられていることによって分かる。分散ネットワークが、患者に治療を提供する装置（静脈内流量計、医薬送達システム等など）を含む場合、前述のように分散ネットワークを損なうことを用いて患者に直接、害を与え得る。

ネットワークのセキュリティを確実にする２つの方法には、（１）何れのノードが損なわれることも阻止すること、又は（２）損なわれたノードを検知し、それをネットワークから排除することがある。第２の選択肢は本明細書及び特許請求の範囲において扱う。この後者の手法では、損なわれたノードが検知され、そのネットワーク特権が取り消され、よって、損なわれたノードがネットワークから切り離される。この手法は、損なわれたノードの直接制御下での領域に、損なわれたノードによって行うことが可能な損害を制限する。

集中ネットワークでは、中央サーバ・ノードが、通信を制御し、ネットワークの他のノードに対する権限を有する。よって、集中ネットワークでは、（中央サーバ・ノード以外の）何れの特定のノードの取消も簡単であり、損なわれたノードのネットワーク特権を優位な中央サーバ・ノードに取り消させることを伴う。しかし、分散ネットワークでは、取消はより難しい。取消を認可するよう構成可能な中央ノードが存在しないからである。同時に、分散ネットワークの装置の自律性により、単一のノードが損なわれることに伴うリスクが増加する。損なわれたノードは集中制御下になく、悪意のある行為又は破壊行為を行うことは比較的より自由である。

一局面によれば、分散取消方法を開示している。上記分散取消方法は、分散ネットワークの疑わしい自律装置ノードを分散ネットワークから除去すべきか否かに関し、分散ネットワークの少なくとも３つの自律装置ノード間で投票を行う工程と、上記投票が取消基準を満たしていることに応じて、疑わしい自律装置ノード以外の、分散ネットワークの自動装置ノードの少なくとも一部の間で分配される、疑わしい自律装置ノードを取り消すための部分取消情報を組み合わせることにより、取消メッセージを構成することにより、かつ、関係する分散ネットワークの自律装置ノード間で取消メッセージを相互通信することにより、分散ネットワークの疑わしい自律装置ノードと、その他の自律装置ノードとの間の通信を中止する工程とを含み、任意的には、他の分散ネットワークにおける他の自律装置ノードに取消メッセージを転送する工程を含む分散取消方法を開示する。

別の局面によれば、分散ネットワークを開示する。分散ネットワークは、複数の自律装置ノードを含み、自律装置ノードはそれぞれ、他の自律装置ノードとセキュアに通信して分散ネットワークを規定し、セキュアに通信している他の自律装置ノードと協調して前段落の分散取消方法を行う。

別の局面によれば、自律装置ノードを開示する。上記自律装置ノードは、分散ネットワークにおける他の自律装置ノードとセキュアに通信し、セキュアに通信する他の自律装置ノードと協調して、（ｉ）分散ネットワークの疑わしい自律装置ノードを分散ネットワークから除去すべきか否かに関し、分散ネットワークの少なくとも３つの自律装置ノード間で投票を行う工程であって、上記投票が、分散ネットワークにおける疑わしい自律装置ノードの信頼性を示す信頼要因に基づいて重み付けされる工程と、（ｉｉ）上記投票が取消基準を満たしたことに応じて、上記疑わしい自律装置ノードとの通信を中止する工程とを含む分散取消方法を行うよう構成される。

別の局面によれば、分散取消方法を開示する。上記分散取消方法は、複数の自律装置ノードの個々の決定を組み合わせて、疑わしい自律装置ノードを分散ネットワークから除去すべきであるか否かを決定する時間制限された取消セッションを実施する工程と、上記取消セッションが除去を支持して決定したことに応じて上記疑わしい自律装置ノードを上記分散ネットワークから除去する工程とを含む。

別の局面によれば、自律装置ノードを開示する。上記自律装置ノードは、分散ネットワーク内の他の自律装置ノードとセキュアに通信し、セキュアに通信している他の自律装置ノードと協調して、前段落記載の分散取消方法を行うよう構成される。

別の局面によれば、複数のノードを開示する。上記複数のノードは、分散医療監視ネットワークにおいて開示する。ノードそれぞれは、疑わしい１つ又は複数の活動に従事していることが検知されたノードとのネットワーク通信を取り消すか否かについて、上記ネットワークの他のノードと協議し、民主的に決定するようプログラムされる。

別の局面によれば、複数のノードを備えた分散ネットワークを開示する。各ノードは、
（ｉ）他の一ノードに分配された部分取消投票を別のノードによって複製又は偽造することが可能でないように上記ノードに対する取消メッセージを構成するよう組合せ可能な部分取消投票をランダムに生成し、他のノードに分配し、（ｉｉ）他のノードから受信された部分取消投票を記憶するよう構成される。

一利点は、疑わしい自律装置ノードのネットワーク特権を取り消すことができるようにすることにより、分散ネットワークのセキュリティを向上させることにある。

別の利点は、分散ネットワークの損なわれた自律装置ノードが、ネットワークからのその取消に干渉することを抑制することにある。

別の利点は、分散ネットワークの適切に機能している自律装置ノード又は分散鍵が、分散ネットワークから不適切に除去される可能性を削減することにある。

本発明の更なる利点は、以下の詳細な説明を読み、理解すると、当業者が分かるであろう。

分散装置取消方法を行うよう装置が構成された、患者を監視し、治療する医療装置の分散ネットワークを略示する図である。 図１の分散ネットワークにより、又は、別の分散ネットワークによって適切に行われる分散装置取消方法を略示する図である。 ２分木を略示する図である。 マークル木を略示する図である。 例証的な分散装置取消システム・データ構造を略示する図である。 近傍の２つの取消セッションの相対タイミングを略示する図である。

本発明は、種々の構成部分、及び構成部分の配置、並びに、種々の工程、及び工程の配置の形態を呈し得る。図面は、好ましい実施例を例証する目的のために過ぎず、本発明を限定するものと解されるべきでない。

図１を参照すれば、分散ネットワーク８のアプリケーション例では、医療患者１０が監視され、任意的には治療される。分散ネットワーク１０は、例証的な胸部搭載センサ１２、１４、１６などの複数の自律装置ノード、腕部搭載センサ１８、静脈内（ＩＶ）流体ドリップ流量計２０、及び天井搭載型外部表示モニタ２２などの複数の自律装置ノードを含む。自律装置ノード１２、１４、１６、１８、２０、２２は、胸部搭載センサ及び腕部搭載センサ１２、１４、１６、１８によって行われる患者１０のバイタル・サインや、診断上重大な生理学的なパラメータを監視する機能、流量計２０によって制御される、ＩＶバッグ２４から患者１０への静脈内流体のフローの供給などの治療機能を行う機能、センサ１２、１４、１６、１８によって獲得されたバイタル・サイン・データの表示モニタ２２による表示などの補助タスクを行う機能等の種々の医療機能を行う。モニタ２２の例示的な表示は、胸部ベースのセンサ１２、１４、１６のうちの１つによって適切に獲得されたパルス情報２６、及び腕部搭載センサ１８によって獲得された血中酸素濃度（ＳｐＯ_２）データ２８を示す。

自律装置ノード１２、１４、１６、１８、２０、２２は、ブルートゥース、ジグビー、ＷｉＦｉ等などの適切な無線プロトコルによって相互通信する無線装置である。あるいは、有線イーサネット（登録商標）ネットワークなどの有線ネットワークを介して相互通信する有線装置を使用することができるが、有線構成は、配線が医療関係者又は患者の移動を妨げ得るという欠点を有する。自律装置ノード１２、１４、１６、１８、２０、２２は、各装置が、集中制御と無関係に動作し得るという点で自律的である。しかし、場合によっては、自律装置は、特定の他の装置と切り離されると一部の機能を失い得る。例えば、センサ１２，１４、１６、１８は、データ記憶容量が限定的であり、表示機能がわずかであるか、又は全くないことがあり得る。通常、前述のセンサ１２、１４、１６、１８は、趨勢データ等を示す大領域表示を設ける表示モニタ２２とともに動作し、大容量データ記憶装置も有し得る。天井搭載型モニタ２２との無線接触の範囲外にセンサ１２、１４、１６、１８が移動させられるように患者１０が部屋の外に移動したか、又は移動させられた場合、表示モニタ２２は一時的に分散ネットワーク８を離れ、センサ１２、１４、１６、１８はその機能の一部を失う。しかし、自律センサ１２、１４、１６、１８は、分散ネットワーク８内で、削減された機能レベルで動作し続けて、少なくともボード上メモリが使い果たされるまでデータを獲得し、記憶する。任意的には、データ獲得レート、分解能や他のパラメータは、前述の場合に、メモリ使用度のレートを削減するよう変更することができる。同様に、ＩＶ流量計２０は通常、病院ネットワークと連絡して、ＩＶフィードのステータスについての情報をナース・ステーションに提供することができる。病院ネットワークの範囲の外に患者が移動したか、又は移動させられた場合、ナース・ステーションと通信するという前述の機能は失われる。しかし、前述の削減された機能状態では、自律流量計２０は、患者１０に対するＩＶ流体の流量を調節するよう動作し続ける。分散ネットワーク８は、装置ノードが種々の時点で加入又は脱落することができるアドホック・ネットワークである。しかし、本明細書及び特許請求の範囲記載の通り、分散装置取消システムに関する特定のプロトコルは、新たな装置ノードが分散ネットワーク８に加入するうえで必須である。

各自律装置ノードは通常、自律装置に対応するが、これは常に当てはまる訳でない。例えば、場合によっては、単一の自律装置は、２つ以上の仮想マシンを同時に実行する単一のコンピュータの場合などに、２つ以上の装置ノードを規定することができる。

分散ネットワーク８は、装置が、患者状況、患者の場所、患者の治療過程、装置の入手可能性等に応じて追加又は除去することができるアドホック・ネットワークである。例えば、図１では、天井搭載型表示モニタ２２は分散ネットワーク８の一部である。しかし、患者が、部屋の外、及び表示モニタ２２の範囲外に移動したか、又は移動させられた場合、表示モニタ２２は、少なくとも患者１０が無線通信範囲内に移動するか、移動させられるまで、分散ネットワーク８を離脱する。

分散ネットワーク８のセキュリティ及びインテグリティを維持するために、適切なセキュリティ・プロトコルが使用される。このプロトコルは、適切な認証鍵や他の適切な認証情報を含む、分散ネットワーク８の他の自律装置のみからのデータを分散ネットワーク８の自律装置が受け入れる鍵保護通信プロトコルの使用を含む。前述の認証は、階層決定論的ペア鍵事前格納方式（ＨＤＰＫＰＳ）、公開鍵／秘密鍵対等や、ほぼ何れの他のタイプのセキュア通信のセキュリティ鍵などのセキュリティ鍵に基づき得る。

分散ネットワーク８の自律装置ノード１２、１４、１６、１８、２０、２２の自律性は、更なるセキュリティ問題をもたらす。自律装置ノードの１つは、例えば、悪意のあるウイルスや、他の悪意のあるソフトウェア・コードによって感染することにより、又は、認可されていない個人にログインされること等によって、損なわれ得る。一般に認められた公開／秘密鍵ペア・プロトコルや他のセキュア通信プロトコルを使用して通信し続けることになるという点で、前述の損なわれた自律装置ノードは、分散ネットワーク８の他の自律装置ノードとの認可された通信のために構成され続ける。よって、前述の損なわれた装置は、セキュリティ上のかなりの脅威をもたらす。

よって、分散ネットワーク８の自律装置ノード１２、１４、１６、１８、２０、２２は更に、損なわれた自律装置を自律ネットワーク８から除外することを可能にする分散取消方法を協調的に実行する。損なわれた装置が、損なわれていない装置に対して、分散取消方法を使用することが可能でないことを確実にするために、取消方法は、装置ノード間の民主的な相互作用を含む。疑わしい装置に反対する投票が取消基準を満たした場合、損なわれていない装置は、疑わしく、取り消された自律装置との通信を中止する。自律装置の大半は損なわれていないので、この分散取消手法は、損なわれた自律装置が、損なわれていない装置を取り消すことが可能でないことを確実にし、それ自身の取消を妨げることが可能でない。損なわれていない装置が、得票数でまさることになるからである。

図２を参照すれば、分散取消処理を説明する。設定処理４０では、自律ノード１２、１４，１６、１８、２０、２２それぞれに、セキュアな相互通信を可能にするセキュリティ情報が設定される。例えば、認証、機密性やインテグリティなどのセキュリティ・サービスを可能にするよう暗号鍵を供給し、管理する鍵管理手法を使用することができる。例示的な取消システムとともに動作する鍵管理手法は、２つの構成部分（鍵分配及び鍵取消）を含む。鍵分配は、自律ノード間で秘密情報を分配して、セキュアな通信を立ち上げるやり方を表す。分散取消方法は、認証されたやり方で、損なわれているか、又は損なわれている可能性がある旨の表示を表す疑わしい自律ノードの取消を可能にする。

本明細書及び特許請求の範囲記載の分散取消手法の構成は、以下の構成の一部又は全部を表す。まず、取消手法は分散取消手法である。分散ネットワーク８は、集中サーバやコントローラ・ノードを有しておらず、よって、分散取消手法を効果的にするアドホック・ネットワークである。第２に、分散取消手法は、分散ネットワーク８の自律ノードの協調を利用している。自律ノード１２、１４、１６、１８、２０、２２は、損なわれているか、又は損なわれているようにみえる自律ノードを見つけ、分散ネットワーク８から民主的に放出する。第３に、取消は認証される。分散装置取消方法は、自律装置ノードの十分に大きな部分集合が何れも、何れの疑わしい自律装置ノードの取消についても、前述の取消が行われる前に同意することを可能にする。適切に動作している自律装置ノードを取消システムが除外するという悪用を避けるために、取消メッセージは、少なくとも、疑わしい自律装置ノードを放出するよう投票する装置によって構成され、この取消メッセージは、装置ノードが、疑わしい自律装置ノードに対する取消メッセージが真実であることを検証することが可能であるように、分散ネットワーク８における何れの自律装置ノードにおいても認証されるよう構成される。

第４に、取消方法は任意的には、疑わしい装置の信頼性に基づく重み付けを使用する。自律装置ノード間の信頼は異なり得る。医療分野の例として、患者のバイタル・サインを監視する自律センサ装置群を検討する。かなり異なる（例えば、センサ装置でない）新たなセンサが、ネットワークへの加入の許可を要求した場合、センサ装置ノードはこれを不信任することができる。ネットワークに既にある装置ノードが新たな候補ノードを不信任する場合、取消は、取消の可能性を増加させるよう選択された信頼性要因で、新たなノードに重み付けすべきである。よって、特定の実施例では、装置取消手法は、重み付けされた柔軟な取消手法を構築するために、ノード間での種々のレベルの信頼を示す、別々のノード毎の別々の信頼度要因を含む。

第５の任意の構成は、分散取消手法のロバスト性に関する。何れの特定の自律ノードも、別のノードによって、疑わしいとみなされ得る時折の挙動を表し得る。例えば、自律センサ装置は、グリッチによる誤った測定を通信し得るか、又は、その測定の期待範囲の外の正当な測定を通信し得る。前述の挙動は、送出元ノードが損なわれていると受信先自律ノードに結論付けさせ、受信先ノードに送出元ノードの取消を求めて投票させ得る。経時的には、損なわれていないが、異常な挙動を時折表す、適切に機能している装置ノードを取消システムに除外させる旨の、十分な数の、取消を求める投票が蓄積する点まで、前述の時折の異常な挙動が蓄積され得る。この可能性に対処するために、分散取消システムは任意的には、時間制限された取消セッションを使用し、各投票は、時間的に制限された取消セッション中にみられる挙動に基づく。この手法により、取消が不適切になってしまう、長期間にわたる時折の異常な挙動の蓄積が避けられる。取消セッションは、装置に対する取消情報の有効性を制限する期間である。

図２の分散取消手法は、２つの段階（すなわち、設定処理４０によって実施された事前格納段階、及び事後格納段階）に分割可能である。事前格納段階又は設定処理４０では、サーバや他の設定コントローラ（図示せず）は、分散ネットワークに組み入れる対象の自律装置ノードそれぞれにセキュリティ鍵材料や他のセキュリティ・マテリアルを生成し、分配する。分配されるセキュリティ・マテリアルは、事後格納段階中に装置取消を可能にする装置ノード毎に取消情報を含む。

ネットワーク確立処理４２では、分散ネットワークに加入しようとする自律装置ノードはそれぞれ、少なくとも一部の他の装置ノードと、取消情報を前述の他のノードに分配することによって相互作用する。前述の取消情報を首尾良く配分することは、分散ネットワークとの通信の確立に不可欠である。よって、自律装置ノードは全て、分散ネットワークの他の装置ノードに取消情報を配布する。ネットワーク確立処理４２は、他の処理（セキュアな通信を可能にするための公開鍵の交換、相互に互換の通信プロトコルの決定等など）を含み得る。確立処理４２の終了時に、分散ネットワーク８が確立され、各自律ノードは、分散ネットワークの少なくとも一部の他の自律ノード間でその取消情報を分配している。

投票及び取消メッセージを認証するために適切な認証手法の一部は、一方向関数を使用する。例えば、以下の２つの特性を有するハッシュ関数ｈを使用することができる。（ｉ）ハッシュ関数ｈが、任意の有限ビット長の入力ｘを有限ビット長ｎの出力ｈ（ｘ）にマッピングする圧縮特性、及び（ｉｉ）ｈ及び入力ｘがあれば、ｈ（ｘ）の計算が容易であるという点での計算特性の容易性。一方向ハッシュ関数は、所定のハッシュ値にハッシングする入力を求めることが難しいハッシュ関数である。一般に、一方向ハッシュ関数は、プリイメージ耐性及び２次プリイメージ耐性を有する。

図３を手短に参照すれば、２分木を認証に使用することもできる。高さＨの完全な２分木は、２^Ｈ個の葉、及び２^Ｈ−１個の内部ノードを有する。図３の例（この例では、Ｈ＝３である）に示すように、各内部ノードは、「０」（左）及び「１」（右）を付した二の子を有し、葉ノードには、それぞれ、３ビット（例えば、「０００」、「００１」等）が付される。前述の命名規則によれば、葉は、図３に示すような根から葉へのパスの２進表現により、自然に配列され、索引付けされる。

図４を手短に参照すれば、高さＨのマークル木は、内部ノード及び葉それぞれにｌビットの列を割り当てた２分木である。列は以下のように求められる。（ｉ）葉値（Ｌ_ｊ，ｊ＝０，．．．，２^Ｈ−１）は、Ｌ_ａ＝ｈ（ｍ_ａ）であるように特定の葉プリイメージ（ｍ_ｊ）の一方向ハッシュ関数であり、（ｉｉ）内部ノードは、Ｎ_ａｄ＝ｈ（Ｎ_ａｂ｜｜Ｎ_ｃｄ）であるか、又はＮ_ａｄ＝ｈ（Ｎ_ａ｜｜Ｎ_ｄ）であるような子のノード又は葉の一方向ハッシュ関数である。マークル木は、プリイメージ値を効率的に認証するよう使用可能である。すなわち、２^Ｈ個のプリイメージを認証するためには、Ｈ個の値及びハッシュ計算のみが必要である。例えば、図４に示すマークル木に対してｍ_ｏを認証するために、ｈ（ｈ（ｈ（ｈ（ｍ_０）｜｜Ｌ_１）｜｜Ｎ_２３｜｜）Ｎ_４７）を計算し、その結果を木の根Ｎ_０７と比較する。

修正された認証マークル木（ＭＡＭＴ）を適切に使用してマークル木におけるパスを識別する。この目的で、列は以下のように求められる。（ｉ）内部ノード（図３でＮ_ｘｙと付されたノードに対応する）は、Ｎ_ａｄ＝ｈ（ａ｜｜Ｎ_ａｂ｜｜Ｎ_ｃｄ｜｜ｄ）又はＮ_ａｄ＝ｈ（ａ｜｜Ｌ_ａ｜｜Ｌ_ｄ｜｜ｄ）で表される。（ｉｉ）（図３の「Ｌ_ｉ」，ｉ＝０_…７）と付されたノードに対応する）葉ノードは、Ｌ_ａ＝ｈ｛ａ｜｜ｍ_ａ）で表される。ＭＡＭＴの使用は、誕生日攻撃も阻止する。

前述の定義によれば、（ｍ^ｌ，．．．，ｍ^ｓ）の形式のハッシュ連鎖が規定される。これは、（最後の値ｍ^ｓ以外の）各値ｍ^ｋが、次の値の一方向ハッシュ関数であるような値の集合体である。すなわち、ｍ^ｋ＋ｌ＝ｈ｛ｍ^ｋ）であり、ここで、ｈ（）は一方向ハッシュ関数である。特定の実施例では、ハッシュ連鎖の（ｋ＋ｌ）番目の要素があれば、ｍ^Λ（ｋ＋ｌ）番目の要素は、ｍ^Λ（ｋ＋ｌ）＝ｈ（ｋ｜｜ｍ^Λｋ）として算出される。ハッシュ連鎖の構成により、このようにして、効果的には、誕生日攻撃が避けられる。

図２をもう一度参照すれば、ノード設定処理４０は、分散装置取消システムの鍵材料を生成する。例示的な実施例では、この材料は、本明細書及び特許請求の範囲では部分取消値又は投票とも場合によっては呼ばれる取消情報を含む。この情報は、ネットワーク設定の一部として近傍自律装置ノードに開示される情報である。近傍自律装置ノードは、協調的に、部分取消投票情報を使用して、疑わしい自律装置ノードを取り消すことが可能である。一般に、自律装置ノードはそれぞれ、ｔ（ｓ＋ｌ）個の部分取消投票を保有する。ここで、ｔは取消セッション毎の部分取消投票数を表し、（ｓ＋１）は取消セッションの数を表す。例示的な実施例では、ｔ個のランダム取消値の集合体、及びランダム取消値それぞれから生成された、長さｓのｔ個のハッシュ連鎖を含む。

取消セッション中、疑わしい自律装置ノードの取消を支持するよう結論付ける投票が得られた場合、疑わしい自律装置ノードを取り消すものとする旨を明確に示す取消投票又は取消メッセージが生成される。前述の取消投票又はメッセージは、疑わしい自律装置ノードを取消セッションｋで取り消すものとする旨を決定し、ネットワーク設定４２中に他の装置ノードに事前に配分されている、疑わしい装置ノードのｋ番目の取消セッションの部分取消投票又は情報を使用することによってのみ生成することが可能である。

例示的な実施例では、分散装置取消システムの鍵材料は、部分取消投票又は情報を認証するために使用される部分取消投票ＭＡＭＴ、及び取消投票又は情報を認証するために使用される取消投票ＭＡＭＴを更に含む。部分取消投票ＭＡＭＴは、部分取消投票を認証するために使用される２つのＭＡＭＴを含む。（ｉ）第１のＭＡＭＴは、装置ノードの部分取消投票を認証するために使用される部分取消投票認証ツリー（ＲＡＴ、本明細書及び特許請求の範囲では、場合によっては、装置ｉの部分取消投票認証ツリーＰＭ_ｉとしても表す）及び（ｉｉ）ネットワーク装置全てのＲＡＴを認証するために使用される大局取消認証ツリー（ＧＲＡＴ、本明細書及び特許請求の範囲では場合によっては、大局部分取消投票認証ツリー（ＧＰＭ）としても表す）である。取消投票ＭＡＭＴは、その機能が装置ノードの取消投票又は情報を認証するものである２つの更なるＭＡＭＴを含む。

図２を続けて参照し、図５を更に参照すれば、例示的な実施例では、分散装置取消システム鍵材料がノード設定４０中に以下のように生成される。鍵材料生成は２つの主段階（すなわち、（ｉ）装置毎の鍵材料生成、及び（ｉｉ）大局ＭＡＭＴ生成図）を有する。図５は、大局ＭＡＭＴ５６、５７、及び自律装置ノード５５の生成された分散装置取消鍵材料を表す。

第１の段階では、鍵材料が装置ノード毎に生成される。部分取消投票情報の生成は以下の通りである。ランダムな取消投票の組が生成される。ランダムな取消投票はそれぞれ、長さｌビットを有し、ｒ_ｉｊで識別され、ｉは装置を識別し、ｊは、装置ノードにおけるｊ番目のランダムな取消投票を識別する。図５では、装置ｉのランダムな取消投票は、自律装置ノード５５の分配された装置取消システム情報の最終行にある。ランダムな取消投票ｒ_ｉｊ毎に、設定サーバ（図示せず）が、長さｓのハッシュ連鎖を生成する。ハッシュ要素は、本明細書及び特許請求の範囲ではハッシュ取消投票と呼ばれ、ｍ^ｋ _ｉ，ｊで表され、ここで、ｉは装置ノードを識別し、ｋ及びｊは、取消セッションｋの装置ノードにおけるｊ番目のハッシュ取消投票を識別する。ハッシュ取消投票は、ランダム取消投票から、
ｍ^ｉ _ｉ，ｊ＝ｈ（ｒ_ｉ，ｊ）、ｍ^２ _ｉ，ｊ＝ｈ（ｍ^ｉ _ｉ，ｊ）、更に、ｓ番目の値に一般化して、
ｍ^ｓ _ｉ，ｊ＝ｈ（ｍ^ｓ−１ _ｉ，ｊ）として生成される。図５では、ハッシュ取消投票ｍ^ｋ _ｉ，ｊは、自律装置ノード５５の分散装置取消システム鍵材料内のｓ個の要素のｔ列で表す。

取消値又は情報は以下のように生成される。設定は、Ｒ^ｋ _ｉと表すｓ＋１個の取消値の生成を含み、ここで、ｉは装置ノードを識別し、ｋは、ｋ番目の取消セッションを識別する。前述の値は、ｋ＝０の値の場合、Ｒ^０ _ｉ＝ｈ（ｒ_ｉ，１｜｜ｒ_ｉ，２｜｜_…｜｜ｒ_ｉ，ｊ）で表され、ｋ＝１，_…，ｓの値の場合、Ｒ^ｓ−ｋ _ｉ＝ｈ（ｍ^ｋ _ｉ，１｜｜ｍ^ｋ _ｉ，２｜｜_…｜｜ｍ^ｋ _ｉ，ｊ）で表される。図５では、自律装置ノード５５の分散装置取消システム鍵材料の右側に取消値６０を示す。

部分取消投票ＭＡＭＴの計算は以下の通りである。このＭＡＭＴは、装置ノードが有する部分取消投票を認証する。装置ｉの部分取消投票ＭＡＭＴは、ｊ＝１，_…，ｔの場合、Ｌａ_ｉ，ｊと表すｔ個の葉を有する。各葉は、Ｌａ_ｉ，ｊ＝ｈ（ｊ｜｜ｍ^ｓ _ｉ，ｊ）として算出される。装置ｉの部分取消投票ＭＡＭＴの根は本明細書及び特許請求の範囲ではＰＭ_ｉとして表す。部分取消投票ＭＡＭＴ６１は、図５中、自律装置ノード５５の分散装置取消システム鍵材料の上に示し、ＰＭと呼ばれる。

取消投票ＭＡＭＴの計算は以下の通りである。このＭＡＭＴは、装置が有する取消投票又は情報を認証する。装置ｉの取消投票ＭＡＭＴは、ｋ＝０，_…ｓの場合、ｓ＋１個の葉Ｌｒ^ｋ _ｉを有する。各葉は、Ｌｒ^ｋ _ｉ＝ｈ（ｋ｜｜Ｒ^ｋ _ｉ）として算出される。装置ｉの取消投票ＭＡＭＴの根はＲＭ_ｉと呼ばれる。取消投票ＭＡＭＴ６２は、図５中、取消値６０の右に示す。

鍵材料生成の第２の主要段階は大局ＭＡＭＴ５６、５７の生成である。ＧＰＭ５６と表す大局部分取消投票ＭＡＭＴはネットワーク装置ノードの部分取消投票を認証する。ＧＰＭは、ｉ＝１，_…ｎの場合、値Ｌｇａ_ｉ＝ｈ（ｉ｜｜ＲＡＴ_ｉ）を有するｎ個の葉を有する。（場合によっては、大局取消投票認証ツリー（ＧＲＣＴ）とも呼ばれる）ＧＲＭ５７と表す大局取消投票ＭＡＭＴはネットワーク装置ノード全ての取消投票を認証する。ＧＲＭは、ｉ＝１，_…ｎの場合、値Ｌｇｃ_ｉ＝ｈ（ｉ｜｜ＲＣＴ_ｉ）を有するｎ個の葉を有し、ここで、ＲＣＴ_ｉは装置ｉの取消投票認証ツリーを表す。

図２及び図５を引き続き参照すれば、ノード設定４０の一部として、設定サーバは、配分装置取消システム鍵材料（（ｉ）ｔ個のランダムな取消投票｛ｒ_ｉ，ｊ｝（ｊ＝１，_…ｔ）の組、及びランダムな取消投票から生成されるｔ個のハッシュ取消投票又はハッシュ連鎖｛ｍ^ｋ _ｉ，ｊ｝（ｊ＝１，_…ｔ、ｋ＝１，_…ｓ）の組を含む自律装置ノードの分散装置取消システム鍵材料５５、（ｉｉ）ハッシュ取消投票又はハッシュ連鎖の組に関連付けられた部分取消投票ＭＡＭＴ６１、（ｉｉｉ）ランダムな取消投票及びハッシュ取消投票から生成された取消投票又は情報に関連付けられた取消投票ＭＡＭＴ６２、（ｉｖ）ランダムな取消投票及びハッシュ取消投票を装置ノードｉが認証することを可能にするＧＰＭ５６のパス、及び（ｖ）取消投票の認証を可能にするＧＲＭ５７のパス）を各自律装置ノードに分配する。

図２を参照すれば、ネットワーク確立処理４２において、各装置ノードはその近傍装置ノードに、装置ノードの取消を実効化するよう近傍装置ノードが協調することを可能にするために十分な取消情報を開示する。この開示は、分散ネットワークへの加入に不可欠である。各近傍装置ノードは、セッションｋのｔ個の考えられる部分取消投票間で選ばれる現在の取消セッションの部分取消情報（すなわち、｛ｍ^ｓ−ｋ _ｉ，ｊ｝ｊ＝１，_…ｔ）を受信する。例えば、ｔ＝８、ｘ＝２の場合、現在のセッションは５であり、装置ノード＃７が４個の近傍を有する場合、装置ノード＃７は、｛ｍ^ｓ−５ _７，０，ｍ^ｓ−５ _７，１｝、
｛ｍ^ｓ−５ _７，２，ｍ^ｓ−５ _７，３｝_，｛ｍ^ｓ−５ _７，４，ｍ^ｓ−５ _７，５｝及び｛ｍ^ｓ−５ _７，６，ｍ^ｓ−５ _７，７｝
を第１の近傍装置ノード、第２の近傍装置ノード、第３の近傍装置ノード及び第４の近傍装置ノードそれぞれに開示することが可能である。各近傍装置ノードは、装置ノードが近傍装置ノードに開示する部分取消投票を認証する部分取消投票ＭＡＭＴ及びＧＰＭ５６値を更に受信する。各近傍装置ノードは、現在の取消セッションｋの取消投票を認証する大局取消投票ＭＡＭＴ（ＭＲＭ）５７及び取消投票ＭＡＭＴ６２の値も受信する。前述の値は、ノードの取消投票が開示されないので、何れの単一の近傍装置ノードも、疑わしい装置ノードを取り消すには十分でない。取消投票は、開示された部分取消投票情報の共有による、近傍装置ノード間の協調によって生成することが可能であるに過ぎない。

図２を引き続き参照すれば、ネットワークは、動作４０、４２によって確立されると、図１に模式的に表す例示的な医療分散ネットワーク８の医療監視及び治療機能などのその意図された機能を行うよう動作する。前述の動作中、種々の自律装置ノードは、セキュアなメッセージを互いに送出することによって相互通信する。取消セッション７０中、各自律装置ノードは、他の装置ノードが何らかのやり方で損なわれたことがあり得る疑わしい自律装置ノードであることを示唆し得る別の装置ノードの一部の疑わしい特性又は挙動を検出する目的で他の装置ノードとのその通信を監視する。疑わしい特性又は挙動の例には例えば、明らかに誤ったデータ値の送出、認可されていないサービス又は動作の要求、認可された要求への応答の拒否、認可された要求に対する不適切な、又は不測の応答、無効なセキュリティ情報を使用した通信等を含み得る。各装置ノードはよって、疑わしいノードの取消を支持して投票するか否かについて取消セッション７０中に個々の決定を行う。取消を支持して投票するために、装置ノードは、疑わしいノードに対するその部分取消情報を他の装置ノードに開示する。

図２を引き続き参照すれば、取消セッション７０中、いつでも、装置ノードは、疑わしい装置ノードを排除するか否かについて投票することが可能である。一般に、疑わしい装置に対する部分取消投票全てが開示されると、取消を支持する投票が行われる。決定７４では、疑わしい装置に対する部分取消投票全ての開示などの取消基準を満たすか否かが決定される。否定の場合、取消セッション７０は、その時間間隔が満了するまで続く。取消セッションが満了すると、開示された部分取消投票が開示され（７６）、新たな取消セッションが始まる。例えば、取消基準は、疑わしい自律装置ノードの除去を支持する投票の数に基づいた閾値基準であり得る。例えば、疑わしい装置に対するＴ個の分散部分取消投票が存在している場合、決定７４が取消を支持するためにはＴ個の装置ノードが取消を支持して投票しなければならない。他の実施例では、取消を支持する投票の、自律装置ノードの合計数に対する比に基づいた多数決原理が使用される。多数決原理の手法では、より多くのノードが追加されるにつれ、取消の閾値Ｔが増加する。他の取消基準も使用することが可能である。

特定の実施例では、ノード信頼性重み付け７８が取消基準に組み入れられる。ノード信頼性重み付け７８に含まれたノード信頼性は、疑わしい装置ノードが、疑わしい挙動を表しているか否かに無関係であり、その代わりに、多かれ少なかれ当てになるようにし得る装置ノードの固有の局面に関する。前述の固有の局面は例えば、全く異なる装置ノードが、（分散ネットワークへのアクセスを得ようとする無法な第三者によってもたらされる場合がある）損なわれたノードである可能性が高いという仮定の下で、分散ネットワークの他の装置ノードからの、疑わしい装置ノードの共通性又は相違を含み得る。例えば、非医療機能を行う装置ノードが図１の医療分散ネットワーク８に挿入された場合、前述の非医療装置ノードに、上記装置ノードを容易に信頼すべきでない旨を示すノード信頼性重み付け７８の値を割り当てることが妥当である。

割り当てられたノード信頼性重み付け７８に影響を及ぼし得る装置ノードの別の固有の局面は、疑わしい装置を損なう機会を前述の外部通信が提供するという仮定の下で、疑わしい装置ノードが、分散ネットワーク外の装置と通信するよう構成されるか否かということである。図１の医療分散ネットワーク８をもう一度考慮すれば、天井搭載外部表示モニタ２２が外部病院ネットワーク又はインターネットに接続されている場合、装置ノードを容易に信頼すべきでない旨を示すノード信頼性重み付け７８の値を表示モニタ２２に割り当てることが妥当である。対照的に、胸部搭載センサ・ノード１２、１４、１６が、分散ネットワーク８の他の装置ノードとのみ相互通信する場合、前述のセンサ・ノード１２、１４、１６に、前述の装置ノードがより容易に信頼できる旨を示すノード信頼性重み付け７８の値を割り当てることが妥当である。

割り当てられたノード信頼性重み付け７８に影響を及ぼし得る装置ノードの別の固有の局面は、疑わしい自律装置ノードが実行している自律制御又は動作システムのタイプである。動作システムが、よりセキュアでなく、より容易に損なわれる種類のものである場合、前述の装置ノードに、上記装置ノードを容易に信頼すべきでない旨を示すノード信頼性重み付け７８の値を割り当てることが妥当である。対照的に、動作システムが、よりセキュアであり、かつ、損なうことが困難な種類のものである場合、前述の、固有によりセキュアな装置ノードに、上記装置を容易に信頼すべきである旨を示すノード信頼性重み付け７８の値を割り当てることが妥当である。

ノード信頼性重み付け７８に影響を及ぼす種々の要因は、ノード信頼性重み付け７８全体に種々の影響を及ぼし得る。例えば、情報に対する不適切な要求は、ノード信頼性に対して重く重み付けし得る一方、範囲外の測定出力には、ノード信頼度に対して、より重くない重み付けがされ得る。特定の実施例では、ノードの信頼度に対する種々の要因それぞれの影響は、各ノードにおけるデータベースにおいて、又は中央サーバにおいて記憶される。

図６は、前述の取消セッション手法を使用する利点を例証する例を略示する。図６では、疑わしいノードによる疑わしい異常挙動の各生起を黒点８０で示す。第１の取消セッション７０_１では、前述の２つの疑わしい事象８０が生起し、それにより、２つの近傍装置ノードに、疑わしい装置ノードを取り消すよう個々に決定させる（疑わしい２つの事象が、別々の２つの近傍装置ノードによってみられるものとした場合）。前述の２つの装置ノードは個々に、取消を支持して投票するが、疑わしい挙動をみなかった残りの装置ノードが投票数で勝る。集団的な投票が、取消に反対するものであったからである。第１の取消セッション７０_１が終結すると、取消を支持する個々の２つの決定が廃棄される。第２の取消セッション７０_２は、第１の取消セッション７０_１の終了時近くで始まる。

図６では、第２の取消セッション７０_２が、小さな時間間隔Ｔ_{ｏｖｅｒｌａｐ}（すなわち、取消セッション７０_１、７０_２の持続時間に対して小さい）だけ、第１の取消セッション７０_１と時間的に重なる。次の取消セッションが、先行取消セッションが終了すると、ちょうど始まる場合、（例えば、取消手順が取消セッションの終了時に開始されたが、（その取消セッションにしか有効でない）取消メッセージが、次の取消セッション中のある時点にしか残りのネットワークに達しない場合、）これはプロトコル誤動作につながり得る。隣接取消セッションの時間的重なりＴ_{ｏｖｅｒｌａｐ}を設けることにより、取消手順のこの潜在的な異常終結がなくなるか、その可能性がより少なくなる。重なり時間間隔Ｔ_{ｏｖｅｒｌａｐ}中、取消手順は以下の規則に応じて機能する。（ｉ）分散ネットワークのメンバが、最新の取消セッションからの部分取消投票を使用してノードが取り消されることに反対して部分投票を行う（すなわち、図６の重なり時間間隔Ｔ_{ｏｖｅｒｌａｐ}の取消セッション７０_２）、しかし、（ｉｉ）ノードは、最新取消セッション（図６のセッション７０_２）から、又は、先行取消セッション（図６のセッション７０_１）からの、組み合わせられた取消を受信し、認証することが可能である。疑わしいノードは、いずれの場合にも、認証されると取り消される。重なり時間間隔Ｔ_{ｏｖｅｒｌａｐ}は特定の利点を有するが、重なりがないこと（すなわち、Ｔ_{ｏｖｅｒｌａｐ}＝０）が想定される。

図６を引き続き参照すれば、第２の取消セッション７０_２中に、単一の疑わしい事象がみられ、それにより、単一の近傍装置ノードにより、個々に、疑わしい装置ノードが取り消される。取消セッション７０_２の投票では、したがって、集合的な投票は、取消に反対するものである。取消セッションを使用しない場合、その影響は、取消を支持する投票が経時的に蓄積し、最終的に、疑わしい装置ノードの取消につながるというものである。前述の結果は望ましくない。損なわれていない適切に機能している装置ノードが、しかしながら、明らかに無効なデータ出力等をもたらす時折のグリッチなどの、近傍ノードによって疑わしいと認められる挙動を時折表し得る。

取消セッションの使用は通常、効果的であるが、特定の実施例では、取消セッションは省略することができ、取消投票が経時的に蓄積することを可能にし得る。別の変形では、取消セッションの終了時に、開示された部分取消投票を単に廃棄する代わりに、部分取消投票を使用してノード信頼度重み付け７８を調節することができる。例えば、その部分取消投票を開示することにより、いくつかのノードが、疑わしいノードの取消を支持して投票したが、取消動作を起動させるためには、取消を支持して投票する、損なわれていないノードが十分でなかった場合、疑わしい装置ノードに反対するいくつかの開示された部分取消投票が存在していることを使用して、疑わしい装置ノードのノード信頼性重み付け７８を調節することができる。この手法は、取消セッションにわたって蓄積された投票が、疑わしいノードの取消に十分でなくても、疑わしいノードについて何かに問題があり得る旨を前述の部分取消投票の開示が示す旨を反映している。

図２をもう一度参照すれば、決定７４において、投票が取消基準を満たす旨が決定された場合、装置ノードは、取り消された疑わしい装置ノードに関する開示された部分取消情報を組み合わせて取消メッセージを（例えば、取り消された疑わしい装置ノードに記憶された取消投票を再構成するために）構成するよう動作８４において協調する。構成された取消メッセージは次いで、動作８６において、分散ネットワークを介して相互通信され、取消メッセージを受信する各装置ノードは、取り消された疑わしい装置ノードとの通信を中止する。前述の相互通信８６の効果は、分散ネットワークから、取り消された疑わしい装置ノードを除外するということである。任意的には、取消メッセージは、技術者による事後の診断を支援するための、観察される異常挙動のリストや識別情報などの、取消メッセージの認証を必要とする更なる情報を含み得る。

任意的には、取消メッセージは、取消メッセージを受信し、認証した、分散ネットワークの少なくとも１つの自律装置ノード（通常、疑わしい自律装置ノード以外）による、中央制御ノードとの連絡に応答して中央制御ノードに通信される。中央制御ノードは任意的には、更なる動作（取り消された疑わしい装置ノードに関する潜在的なセキュリティ上の問題を人間の要員に通知する動作や、取り消された疑わしい装置ノードが、他の分散ネットワークへの加入等を行わないことを確実にするための措置をとる動作、関連付けられた鍵を取り消す動作等）を行い得る。特定の実施例では、中央処理装置が、任意的に、疑わしいノードをネットワークに再構成し、再加入許可することが想定される。前述の再加入許可は任意的には、疑わしいノードの事後の挙動がみられることを条件とし、再加入許可されたノードに、より低い信頼要因を割り当てることを伴い得る。

動作８４、８６は、装置ノード取消段階を構成し、疑わしい装置ノードを取り消すものと投票決定７４によって決定された場合にのみ行われる。この場合、疑わしい装置ノードの近傍ノードは、それに対する取消手順８４、８６を開始する。この目的で、近傍装置ノードは、疑わしい装置ノードからネットワーク確立段階４２中に受信している、ＲＡＴ値及びＧＲＡＴ値を使用して認証されている部分取消投票を交換する。この時点で、取消セッションｋの場合のｔ個の部分取消投票（ｍ^ｓ−ｋ _ｉ，１，ｍ^ｓ−ｋ _ｉ，２，_…，ｍ^ｓ−ｋ _ｉ，ｔ）は全て、開示されており、取り消された疑わしい装置ノードの何れかの近傍装置ノードは、現在のセッションｋのｔ個のうまく構成された部分取消投票のハッシュを算出すること（Ｒ^ｋ _ｉ＝ｈ（ｍ^ｓ−ｋ _ｉ，１｜｜ｍ^ｓ−ｋ _ｉ，２｜｜…｜｜ｍ^ｓ−ｋ _ｉ，ｔ）により、それに反対する取消投票を計算することが可能である。計算された取消投票又は情報を認証して、疑わしい装置ノードを取り消す旨の認証を検証するために、近傍装置ノードは、計算された取消投票を、前述の取消投票を認証した取消投票認証ツリー（ＲＣＴ）及び大局取消投票認証ツリー（ＧＲＣＴ）の値とともに同報通信する。

分散装置取消システムを使用して、現在鍵分配システムと組み合わせると、鍵取消をもたらすことも可能である。損なわれた鍵を取り消す手法は適切には、使用される鍵事前分配手法（ＫＰＳ）のタイプに依存する。ランダムＫＰＳの場合、鍵取消は、損なわれた鍵を削除することによって実効化することが可能である。例えば、装置ノード群が、疑わしい装置ノードの取消を支持して投票し、取消手順８４、８６をそれに対して開始した場合、分散ネットワークにおける装置ノードは全て、共通鍵を、取り消された装置ノードとともに削除することが可能である。しかし、この手法は、セキュアなリンクの数の減少をもたらし、ネットワークの接続性を低減させる。この問題を避けるために、損なわれた鍵が任意的には、削除される代わりに更新される。ブルンドの多項式（ＨＤＰＫＰＳ手法など）では、鍵材料を削除することは可能でない。前述の削除は、ネットワーク接続性におけるかなりの低減をもたらすからである。このタイプの鍵分配手法における鍵取消は、任意的には、装置が損なわれると、損なわれた鍵材料を更新する。この手法は、セキュアな設定サーバ又は中央制御ノードの協調を伴う。

鍵取消システムにおける投票は、ノード信頼性重み付け７８が使用されるやり方と同様に、疑わしい分配鍵の信頼性を示す信頼要因に基づいて偏り得る。ここでは、個々の自律装置ノードによる、取消を支持して投票する旨の個々の決定は、適切には、疑わしい分配鍵の疑わしい使用に基づく。分配鍵を取り消すか否かについての集合的な投票は、鍵の疑わしい分配鍵の長さや他のセキュリティ・レベルを示す特性にその値が関するか、又は、分配鍵を発行した装置ノードの信頼性にその値が関する信頼要因に基づき得る。

既存のＫＰＳ手法は、ノード複製、シビル攻撃等によって損なわれることを感知し得る。例は、鍵のランダム分布、又はブルンドの多項式に基づいた鍵の事前分配手法にみられる。ランダムＫＰＳでは、攻撃者は、いくつかの装置ノードからの鍵材料を使用して、新たなものを作成し、したがって、攻撃者は、新たな識別情報を偽造することが可能である。ブルンドの多項式に基づいたＫＰＳでは、攻撃者は、首尾良く損なったことの閾値数よりも大きい装置数を捕捉し、次いで鍵材料を読み出し、鍵材料を再構成することにより、識別情報を偽造することが可能である。本明細書及び特許請求の範囲記載の分配装置取消手法を使用して前述の複製攻撃を避けることが可能である。部分取消投票がランダムに生成され、各受信装置ノードのみによって知られているので、分散装置取消システム鍵材料は複製又は偽造することが可能でないので、この回避結果が生じる。更に、部分取消投票は、ＭＡＭＴを使用することによって認証することが可能である。よって、分散装置取消システムの鍵情報を再構成することが可能でないので、本明細書及び特許請求の範囲記載の分散装置取消手法により、識別情報の偽造が避けられる。

医療分散ネットワーク８では、疑わしい特性又は挙動が検知され、適切な投票結果により、疑わしい装置ノードの取消をもたらし得る。医療分散ネットワーク８におけるこの疑わしい特性又は挙動は通常、疑わしい装置ノードが、例えば、ディジタル・ウイルス、トロイの木馬、ワームや他の悪意のあるソフトウェア又は実行可能なディジタル・コードにより、侵入者によって、損なわれていると認識されているか、又は実際に損なわれているという認識されているか、又は実際のセキュリティ上の脅威に関する。しかし、より一般には、疑わしい自律装置ノードの「疑わしい」特性又は挙動は、分散ネットワークの関心又は目的に反すると認められる何れかの特性又は挙動として広く解されるものである。

例えば、本明細書及び特許請求の範囲記載の開示された分散装置取消手法の別の想定されたアプリケーションには、ピアツーピア・ファイル共有ネットワーク（インターネットベ―スのピアツーピア音楽共有ネットワーク、ピアツーピア映画共有ネットワーク等など）がある。前述のアプリケーションでは、疑わしい挙動は、該当する著作権の法律又は倫理的な考察点に違反する、著作権保護されたマテリアルを共有しようとする試行（すなわち、送出、送出の申し出、又は勧誘）を含み得る。例えば、合法の自律ノード（パソコン、携帯型音楽プレイヤ、インターネット対応ステレオや娯楽システムや、他の消費者向音楽装置など）はそれぞれ、著作権保護された楽曲のリストを保持し得る。著作権保護された楽曲の合法の自律ノードのリストにある楽曲を送出するよう勧誘するか、又は申し出る別の自律ノードが、合法の自律装置ノードに連絡した場合、合法の自律装置ノードは、ピアツーピア共有ネットワーク上のそのアクセス特権を取り消すべきである疑わしい自律ノードである旨の個々の決定を適切に行う。

この個々の決定は、人間の介入を必ずしも伴うものでない。むしろ、合法の自律ノードは、送出する旨の勧誘又は申出、著作権保護された楽曲に関係する旨の認識、申出の却下、及び人間の介入なしで取り消す旨の個々の決定の記録を行い得る。あるいは、人間の介入は、例えば、要求を表示し、取消を支持する投票を追跡するか否かについての決定を人間のユーザに求めることによって勧誘することが可能である。

想定された分散ピアツーピア・ファイル共有アプリケーションでは、ピアツーピア・ネットワークは時折、現在オンライン状態の自律装置ノードが、疑わしい自律ノード（ここでは、特権の取消を支持する個々の投票が少なくとも１つ存在する何れかの自律ノードとして適切に定義される）を支持する投票を行う取消セッションを保持する。やはり、前述の投票は通常、自動化されているが、任意的には、人間の利用者は、まず、参加を認可することを求められるか、若しくは取消を支持する特定の投票を認可することを求めるか、又はその他のやり方で介入が要求される。

ピアツーピア・ネットワーク上で現在オンライン状態の自律装置ノードの投票を行うことにより、合法のノードを単一のオンライン自律ノードによって任意に取り消すことが可能でないことが確実にされる。むしろ、前述の取消は、かなりの数の現在、オンライン状態の自律ノードが取消を支持して投票する（疑わしい自律ノードが、著作権の累犯者である可能性が高い旨を示す）投票の結果であるに過ぎない。更に、本明細書及び特許請求の範囲記載の他の任意の規定を任意的に施すことができる。例えば、特定の期間後に、取消を支持して個々の決定を行って、数年にわたる不意の不適切な楽曲要求にわたる蓄積による、合法のユーザの特権の取消を避けることによって、取消セッションの概念を組み入れることが可能である。しかし、ピアツーピア・ネットワークでは、投票時に実際にオンラインであった利用可能な装置ノードの割合が低いことがあり得るので、２つ以上の取消セッションにわって取り消すための個々の投票を確保して、前述の個々の投票の持続性を増加させることが効果的であり得る。同様に、信頼性に基づいた重み付けを、ピアツーピア・ネットワークに試験的に再加入許可されている先行違反者に適切に割り当てられた試験ステータスなどの適切な基準に基づいて使用することが可能である。取消メッセージは、任意的には、著作権違反者とされた者が、必要な場合（例えば、人間の査閲者の前で）、証拠を査閲し、取消に対して不服を申し立てることを可能にするために、取消メッセージの認証に十分な情報を超える更なる情報（取消の基礎を形成した、著作権違反であるとされたもの、又は明らかに著作権違反であるものであって、みられたものの詳細なリストなど）を含む。

前述のピアツーピア共有ネットワーク・アプリケーションでは、「疑わしい」特性又は挙動の概念は、著作権侵害の挙動を超えて他の局面（ウイルスを含むものとして検知されたファイルの共有、若しくは前述のファイルを共有する旨の試行、又は、ファイル共有ネットワークの過度の使用等など）に及び得る。更に、疑わしい装置ノードの取消を説明しているが、上記手法を使用して、特定の装置ノードと関連付けられていない疑わしい分配鍵も取り消すことが可能である。例えば、疑わしい分配鍵は、楽曲に関連付けられたディジタル署名であり得る。

本発明は、好ましい実施例を参照して説明している。上述の詳細な説明を読み、理解することにより、他者が修正及び改変を思いつくであろう。本発明が、本願特許請求の範囲記載の範囲又はその均等物の範囲内に収まる限り、前述の修正及び改変全てを含むものとして解釈されることが意図されている。

Claims (29)

1. 分散取消方法であって、
   分散ネットワークの疑わしい自律装置ノードを分散ネットワークから除去すべきか否かに関し、分散ネットワークの少なくとも３つの自律装置ノード間で投票を行う工程と、
   前記投票が取消基準を満たしていることに応じて、（ｉ）前記疑わしい自律装置ノード以外の、前記分散ネットワークの前記自律装置ノードの少なくとも一部の間で分配される、前記疑わしい自律装置ノードを取り消すための部分取消情報を組み合わせることにより、取消メッセージを構成し、（ｉｉ）前記分散ネットワークの前記自律装置ノード間で前記取消メッセージを相互通信することにより、前記分散ネットワークの前記疑わしい自律装置ノードとその他の自律装置ノードとの間の通信を中止する工程とを含む分散取消方法。
2. 請求項１記載の分散取消方法であって、
   他の分散ネットワークにおける他の自律装置ノードに前記取消メッセージを転送する工程を更に含む分散取消方法。
3. 請求項１記載の分散取消方法であって、
   自律装置ノードにおいて受信された取消メッセージを、一方向関数で処理された前記取消メッセージの第１の部分を前記取消メッセージの第２の部分と比較することによって認証する工程を更に含む分散取消方法。
4. 請求項１記載の分散取消方法であって、
   自律装置ノードで受信された取消メッセージを、ハッシュ関数によって処理された前記取消メッセージの第１の部分を前記取消メッセージの第２の部分と比較することによって認証する工程を更に含む分散取消方法。
5. 請求項１記載の分散取消方法であって、
   新たな自律装置ノードから前記分散ネットワークに既にある複数の自律装置ノードへの、新たな自律装置ノードの部分取消情報の転送に応じて、新たな自律装置ノードを前記分散ネットワークに組み入れる工程を更に含む分散取消方法。
6. 請求項１記載の分散取消方法であって、前記投票は、前記分散ネットワーク内の前記疑わしい自律装置ノードの信頼性を示す信頼要因に基づいて重み付けられる分散取消方法。
7. 請求項１記載の分散取消方法であって、前記投票は、時間制限された取消セッションにわたって繰り返され、先行取消セッションにおける投票はその後の取消セッションにおいて１つの投票とみなされない分散取消方法。
8. 請求項１記載の分散取消方法であって、
   前記分散ネットワークの前記自律装置ノードの少なくとも一部を使用して複数の医療機能を行う工程を更に含む分散取消方法。
9. 分散ネットワークであって、
   他の自律装置ノードとセキュアに通信して、前記分散ネットワークを規定し、セキュアな通信を行う他の自律装置ノードと協調して、請求項１の分散取消方法を行うようそれぞれが構成された複数の自律装置ノードを備える分散ネットワーク。
10. 請求項１記載の方法を行うようプログラムされたディジタル媒体。
11. 分散ネットワークにおける他の自律装置ノードとセキュアに通信し、セキュアに通信する他の自律装置ノードと協調して、（ｉ）分散ネットワークの疑わしい自律装置ノードを前記分散ネットワークから除去すべきか否かに関し、分散ネットワークの少なくとも３つの自律装置ノード間で投票を行う工程、及び（ｉｉ）前記投票が取消基準を満たしたことに応じて、前記疑わしい自律装置ノードとの通信を中止する工程を含む分散取消方法を行うよう構成された自律装置ノード。
12. 請求項１１記載の自律装置ノードであって、
    他の自律装置ノードの部分取消情報を記憶するデータ記憶装置を更に備え、前記自律装置ノードは、他の自律装置ノードと協調して、前記データ記憶装置に記憶された疑わしい自律装置ノードの部分取消情報を、他の自律ノードに記憶された疑わしい自律装置ノードの部分取消情報と組み合わせて、前記投票が前記取消基準を満たしていることに応じて、前記疑わしい自律装置との通信の中止を実効化するために前記自律装置ノード間で通信される取消メッセージを構成するよう更に構成される自律装置ノード。
13. 請求項１２記載の自律装置ノードであって、
    完全な取消情報を記憶するデータ記憶装置を更に含み、前記自律装置ノードは、完全な取消情報から得られた部分取消情報を複数の他の自律装置ノードに通信する分散ネットワーク加入方法を行うよう更に構成され、他の自律装置ノードそれぞれに通信された部分取消情報は、（ｉ）前記完全な取消情報を再構成することがそれ自体で不十分であるが、（ｉｉ）前記完全な取消情報を再構成するために他の自律装置ノードに通信された部分取消情報と組合せ可能である自律装置ノード。
14. 請求項１１記載の自律装置ノードであって、前記投票は、前記分散ネットワーク内の前記疑わしい自律装置ノードの信頼性を示す信頼要因に基づいて重み付けられる自律装置ノード。
15. 分散取消方法であって、
    複数の自律装置ノードの個々の決定を組み合わせて、疑わしい自律装置ノードを前記分散ネットワークから除去すべきであるか否かを決定する時間制限された取消セッションを実施する工程と、
    前記取消セッションが除去を支持して決定したことに応じて前記疑わしい自律装置ノードを前記分散ネットワークから除去する工程とを含む分散取消方法。
16. 請求項１５記載の分散取消方法であって、
    前記取消セッションを実施する工程を、時間的に重なるその後の取消セッションについて繰り返す工程を更に含む分散取消方法。
17. 請求項１５記載の分散取消方法であって、
    前記取消セッションを実施する工程を、その後の取消セッションについて繰り返す工程を更に含む分散取消方法。
18. 請求項１７記載の分散取消方法であって、
    前記取消セッションが満了すると、取消セッション中に行われた前記個々の決定を廃棄する工程を更に含む分散取消方法。
19. 請求項１５記載の分散取消方法であって、前記疑わしい自律装置ノードを前記分散ネットワークから除去する工程は、
    前記分散ネットワークの前記自律装置ノードの少なくとも一部にわたって先行して分配された取消情報から取消メッセージを構成する工程と、
    前記疑わしい自律装置ノード以外の前記分散ネットワークの自律装置ノード間で前記取消メッセージを相互通信する工程とを更に含む分散取消方法。
20. 請求項１９記載の分散取消方法であって、前記疑わしい自律装置ノードを前記分散ネットワークから除去する工程は、
    前記取消メッセージを受信する疑わしい自律装置ノード以外の自律装置ノードそれぞれにおいて前記取消メッセージを認証する工程と、
    前記受信された取消メッセージが首尾良く認証されたことに応じて、前記疑わしい自律装置ノードと、前記取消メッセージを受信する自律装置ノードとの間の通信を中止する工程とを更に含む分散取消方法。
21. 請求項１９記載の分散取消方法であって、
    前記分散ネットワークに既にある前記自律装置ノードの少なくとも一部にわたる、新たな自律装置ノードの取消情報の分配に応じて、新たな自律装置ノードを前記分散ネットワークに組み入れる工程を更に含む分散取消方法。
22. 請求項１５記載の分散取消方法であって、前記取消セッションを実施する工程は、前記疑わしい自律装置ノードの信頼性を示す信頼要因に基づいて前記決定を偏らせる工程を更に含む分散取消方法。
23. 分散ネットワーク内の他の自律装置ノードとセキュアに通信し、セキュアに通信している他の自律装置ノードと協調して、請求項１５記載の分散取消方法を行うよう構成された自律装置ノード。
24. 分散医療監視ネットワーク内の複数のノードであって、ノードそれぞれは、
    １つ又は複数の疑わしい活動に従事していることが検知されたノードとのネットワーク通信を取り消すか否かについて、前記ネットワークの他のノードと協議し、民主的に決定するようプログラムされた複数のノード。
25. 請求項２４記載の複数のノードであって、
    ノードの信頼性に関する複数の要因それぞれの効果を記憶するデータベースであって、前記協議及び前記決定は、前記データベースに記憶された前記要因に基づいて計算された前記１つ又は複数の疑わしい活動に従事していることが検知されたノードの信頼性によって偏らせるデータベースを更に含む複数のノード。
26. 複数のノードを備えた分散ネットワークであって、各ノードは、
    （ｉ）他の一ノードに分配された部分取消投票を別のノードによって複製又は偽造することが可能でないように前記ノードに対する取消メッセージを構成するよう組合せ可能な部分取消投票をランダムに生成し、他のノードに分配し。
    （ｉｉ）他のノードから受信された部分取消投票を記憶するよう構成された分散ネットワーク。
27. 請求項２６記載の分散ネットワークであって、前記ノードが、ピアツーピア・ファイル共有ネットワークのメンバを含む分散ネットワーク。
28. 請求項２７記載の分散ネットワークであって、各ノードは、
    著作権保護されたファイルのリストを含み、前記著作権保護されたファイルの前記リストに含まれるファイルにおける他のノードによる情報交換の検知に応じて別のノードに対するその部分取消投票を開示するよう各ノードが構成された分散ネットワーク。
29. 請求項２６記載の分散ネットワークであって、前記ノードは分散医療監視ネットワークのメンバを備え、各ノードは、他方のノードによる疑わしい活動の検知に応じて別のノードに対するその部分取消投票を開示するよう構成された分散ネットワーク。

Images