JP2010537292A - 測定変換器とセンサを有する測定システムの互換性検査のための方法 - Google Patents

Abstract

測定変換器ＭＴとセンサＳを含む測定システムの互換性検査の方法において、第一の署名Ｓ１が、測定変換器ＭＴに保存されるＩＤデータセットＩＤＳのために外部で作成される。ＩＤデータセットＩＤＳが測定変換器ＭＴからセンサＳに送信されたあと、第二の署名Ｓ１’が、センサＳでＩＤデータセットＩＤＳに対して算出される。署名Ｓ１とＳ１’が合致した場合、測定変換器ＭＴとセンサＳは互換性があり、測定変換器ＭＴはセンサＳのデータおよび／または機能にアクセスできる。
【選択図】図１

Description

本発明は、請求項１の前提部に記載されるような方法であって、測定変換器とセンサを有する測定システムの互換性検査のための方法に関する。

プロセスオートメーション技術において、測定変換器とセンサを有する測定システムがしばしば使用される。センサは、測定された化学的または物理的な変数を登録し、これら変数はさらなる処理を経たのち測定変換器にて表示されるか、あるいはプロセス管理／プロセス表示装置に転送される。

センサと測定変換器とは、アナログ方式またはデジタル方式にて通信を行い得る。

以下では、センサと測定変換器との間でデジタル方式で通信を行う測定システムのみを考慮する。

このような、デジタル方式で通信を行う測定システムの例としては、Ｌｉｑｕｉｌｉｎｅという製品とＭｅｍｏｓｅｎｓという製品とをそれぞれ測定変換器およびセンサとして組み合わせたものがある。どちらの製品も本願の出願人によって製造販売されている。

測定システムが商業的に成功している場合、その製造者は、そういった測定システムを、あるいは、例えば測定変換器やセンサといった、測定システム用の部品を、ライセンス生産させるという事業の展開を望むことが多い。

しかし、このような場合、ライセンス許諾者としての測定システムの製造者によって製造されたオリジナル部品とライセンス受諾者によって製造された、被ライセンス（ライセンスを受けた）部品との両方が互いに互換性を持ち、かつ、問題なく共に作動することを確実なものとしなければならない。

さらに、オリジナル部品とまたは被ライセンス部品と共に問題なく作動するセンサや測定変換器を、認証を持たない侵害者が市場に持ち込むことを防がなければならない。

本発明の目的は、測定変換器およびセンサを有する測定システムの互換性検査の方法を提供することであって、測定変換器あるいはセンサのオリジナル部品または被ライセンス部品のみが、問題なく共に作動することを確実なものとする。

この目的は、請求項１に記載された方法の特徴によって達成される。

本発明の本質的な思想は、ＩＤ（identifying）データセットとこのＩＤデータセットのための第一の署名を測定変換器に保存し、ＩＤデータセットのための第二の署名を署名アルゴリズムを使ってセンサで算出し、これら署名の互いに比較することにある。このような場合、センサと測定変換器との両方において、相手側の署名が、自分側の製造者の署名と合致するかが検査される。

２つの署名が合致した場合のみ、第一の署名と署名アルゴリズムが共にライセンス許諾者によるものであり、測定変換器の場合もセンサの場合もそれぞれにおいて、オリジナル部品または被ライセンス部品が含まれていることが確証され、それをもって、この測定変換器とこのセンサとは互換性がある。この場合、この測定変換器はこのセンサのデータおよび／または機能性にアクセスすることができる。

第一の署名の算出の前にＩＤデータセットがセンサに送信されなければならないことは当然である。

当然、ライセンス許諾者は様々なアクセス権を与えることができることを望む。従って、本発明の更なる発展においては、アクセス権を確定する認証鍵がＩＤデータセットに含まれる。

ライセンス許諾者は、個々の部品に対してライセンスを許諾することを望む。従って、さらなる発展においては、ＩＤデータセットは、測定変換器を識別するための（例えば、製造者コードやシリアル番号などといった）ＩＤを有する。

署名アルゴリズムの安全性の確保のため、本発明の更なる発展においては、比較される署名は平文ではなく、一方向性関数から得られる値の形式でのみ送信される。

署名アルゴリズムのさらなる安全性のため、本発明のさらなる発展によれば、センサ内の署名アルゴリズムは、読み出しから保護される。

古い測定変換器や古いセンサとの後方互換性を確保するため、本発明のさらなる発展よれば、２つの署名が合致しなかった場合には、最小限の認証が与えられる。

本発明のさらなる発展によれば、認証を持たない製造者による署名アルゴリズムの不正な使用が検出された場合、それ以降、その製造者の製造者コードが、製品の測定変換器のＩＤデータセットに保持される。

本発明は、以下に記す図面に示される実施形態の例に基づき、さらに詳細に説明される。
署名計算機を有する測定システムを概略的に示す。 本質的な方法ステップを含む表である。 センサの承認のための表である。 測定変換器の承認のための表である。 センサのソフトウエアの構造を示す。

図１に示す測定システムＭは、通信接続を介してデータをやり取りするセンサＳおよび測定変換器ＭＴを含む。

図示の場合では、ＲＳ４８５ケーブルでの接続が採用されている。無線接続も選択可能な構成の一つである。

センサＳは、例えばｐＨセンサ、伝導度センサ、あるいは、酸素センサであり得る。測定変換器ＭＴは、センサによって登録された測定変数をさらに処理する。測定変換器ＭＴは、測定値を表示し、また、例えばフィールドバスを介して測定値を転送することもできる。

原則的に、測定システムＭは、本願の出願人の製品であるＬｉｑｕｉｌｉｎｅおよびＭｅｍｏｓｅｎｓを有する測定ポイントとして構成されている。しかしながら本発明に関して、特定の変更も当然起こり得るものである。

測定システムＭの隣には、コンピュータの形態をとる署名計算機ＳＣが示される。この署名計算機はライセンス許諾者のもとに置かれる。署名アルゴリズムＳＡおよびこのアルゴリズムの場合に使用される秘密鍵ＰＫはこのライセンス許諾者のみが知っている。

ライセンス受諾者は、ライセンスを受けたい測定変換器ＭＴに関し、シリアル番号や望む機能性といった特徴データをライセンス許諾者に通知する。このデータに基づいてＩＤデータセットＩＤＳが作成され、このデータにはライセンス受諾者の製造者コード、測定変換器のシリアル番号および、認証鍵ＡＫが含まれる。

このＩＤデータセットＩＤＳは、署名アルゴリズムＳＡによって署名される。このような場合、秘密鍵ＰＫを使って署名Ｓ１が作成される。

ＩＤデータセットＩＤＳは署名Ｓ１と共にライセンス受諾者に送信される。ライセンス受諾者は、これら２種類の情報を関連するシリアル番号を持つ測定変換器に保存する。このようにして、測定変換器ＭＴは被ライセンス測定変換器となる。

被ライセンスセンサＳの場合、秘密鍵ＰＫを含む署名アルゴリズムＳＡが保存される。

センサ情報は、マイクロコントローラを持つマイクロチップに組み込まれたメモリ（フラッシュメモリ）に保存されるため、読み出しから保護される。

本発明の方法を、被ライセンス測定変換器と被ライセンスセンサを使って、より詳細に説明する。

上記したように、ＩＤデータセットＩＤＳと第一の署名Ｓ１は測定変換器ＭＴに保存される。センサＳには署名アルゴリズムＳＡが保存される。

測定変換器ＭＴとセンサＳが互いに接続された後に測定システムＭは初期化される。このような場合は、所定の初期化ルーチンが実行される。例えば、測定変換器ＭＴとセンサＳとの間の通信にとって重要なパラメータが、とりわけ、やりとりされる。

初期化の段階で、互換性の検査もおこなわれる。

第一の方法ステップａ）ＩＤデータセットＩＤＳが測定変換器ＭＴからセンサＳに送信される。これで、ＩＤデータセットＩＤＳはさらなる計算のためにセンサにおいて利用可能となる。第一の署名Ｓ１は送信されない。

方法ステップｂ）第二の署名Ｓ１’がＩＤデータセットＩＤＳのためにセンサＳにて作成される。この場合、センサＳに保存されている署名アルゴリズムＳＡがＩＤデータセットＩＤＳに適用される。結果として、第二の署名Ｓ１’が得られる。

追加の方法ステップｃ）センサで確定された署名Ｓ１’が署名Ｓ１と合致するかがセンサにて検査される。この場合、安全性のため、署名Ｓ１は平文で測定変換器ＭＴからセンサに送信されることはない。合致があったかは、質問とその質問に対応する回答を出し合う方法（ａｒｔｆｕｌ ｑｕｅｓｔｉｏｎ， ａｎｓｗｅｒ ｇａｍｅ）を用いてセンサＳにて明確に検知することができる。

これをもって、センサＳは、接続相手が被ライセンス測定変換器ＭＴまたはオリジナルの測定変換器ＭＴであることを「知る」ことになる。理由は、このような測定変換器のみが、ＩＤデータセットＩＤＳのための「正しい」署名Ｓ１を持つことが可能だからである。

方法ステップｄ）同様の検査が測定変換器ＭＴの側でも行われる。

ここでも、測定変換器ＭＴに保存された署名Ｓ１が算出された署名Ｓ１’と合致するかが検査される。またここでも、安全性のため、署名Ｓ１’は平文でセンサＳから測定変換器ＭＴに送信されることはない。測定変換器ＭＴで合致があったかは、質問とその質問に対応する回答を出し合う方法（ａｒｔｆｕｌ ｑｕｅｓｔｉｏｎ， ａｎｓｗｅｒ ｇａｍｅ）用いて明確に検知することができる。

これをもって、測定変換器ＭＴも、接続相手が被ライセンスセンサまたはオリジナルのセンサであることを「知る」ことになる。理由は、被ライセンスセンサＳのみがライセンス許諾者が使用するのと同じ署名アルゴリズムＳＡを持つからである。

署名Ｓ１とＳ１’が合致すると、測定変換器ＭＴとセンサＳは互換性があると確認される。これによって、測定変換器ＭＴはセンサＳのデータおよび／または機能にアクセスすることができる。

本発明の方法の本質は、接続相手が被ライセンス部品またはオリジナルの部品であるのかの検査を測定変換器とセンサＳとの両方の側で行う点にある。

図２に、本方法の本質的な要素が表形式で組み合わされている。

２つの部品のうちの１つが認証を有さない部品である場合、認証を有する部品はその事実を確認し、これにしたがい、データのやりとりを完全に拒絶するか、あるいは限定的にのみデータのやり取りを許可する。

センサＳでは、データはインデックスを介して照会することができる。典型的には２５６個のインデックスが用意される。

２５６ビットの認証鍵ＡＫの送信を通して、測定変換器ＭＴがどのインデックスを読み出すことができ、どのインデックスを読み出すことができないかをセンサにおいて規定することができる。

単純化すると、認証鍵ＡＫでの値０は、対応するインデックスを読み出せないことを意味する。値１の場合、読み出しは可能である。同様の方法で書き込み権の付与も扱うことができる。値０は書き込み権のみを意味し、値１は読み出し権と書き込み権を意味する。認証鍵がおのおの２５６ビットをもつ２つの部分で構成される場合、センサにて２つの鍵部分（ＫｅｙＰｏｒｔｉｏｎ）を付け加えることができる。この結果作られるインデックにおける値０は読み出しも書き込みも不可能な権利を意味し、値１は読み出し権のみを、値２は読み出しと権と書き込み権とを、意味する。

認証鍵ＡＫを通して、ライセンス許諾者は、特定の測定変換器に関してライセンス受諾者がどの認証を得るのかを規定することが可能である。認証鍵ＡＫは署名アルゴリズムにおいて考慮の対象となっているため、改竄した場合は、署名Ｓ１’の算出において署名Ｓ１とは違う結果が生じるようになっており、改竄は不可能である。

ＩＤデータセットＩＤＳはライセンス受諾者の製造者コードと測定変換器ＭＴのシリアル番号Ｓ／Ｎを含むため、個々の測定変換器に対してライセンスを許諾することができる。

次に、署名アルゴリズムＳＡをより詳細に説明する。

ｆ：｛０，．．．，２^ｎ−１｝×｛０，．．．，２^o−１｝→{０，．．．，２^m−１}を計算可能な一方向性関数とする。以下では、関数ｆの理解を、ｘとｙの場合にｆ（ｘ，ｙ）を計算するアルゴリズムの理解と同じように使う。この場合、
ｎは入力データのサイズ（ビット単位）
ｏは鍵のサイズ（ビット単位）
ｍは出力データのサイズ（ビット単位）
ｘはＩＤデータセットＩＤＳ
ｙは秘密鍵ＰＫ
ｆ（ｘ，ｙ）は関数の出力データ
である。

関数ｆを計算するためのアルゴリズムは、フラッシュメモリ、ＲＡＭ‐メモリ、およびＣＰＵ時間といった、センサＳが使える容量に関しては、センサＳと測定変換器ＭＴとの間でデータをやりとりするためのプロトコルを使って、初期化の段階で実行可能であるように設計されるべきである。このデータのやりとりに使用可能なプロトコルには、エンドレス・ハウザー社のＭｅｍｏｓｅｎｓプロトコルがある。

関数ｆ（ｘ，ｙ）は、下記のように、暗号学的ハッシュ関数によって一方向性関数として定義できる。
ｆ_ｃ（ｘ，ｙ）＝ｈ（２^ｐ．ｘ＋ｙ）

署名Ｓ１およびＳ１’はおのおのＳ１＝ｈ（２^ｐ．ｘ＋ｙ）およびＳ１´＝ｈ（２^ｐ．ｘ＋ｙ）として算出される。

方法ステップｃ）およびｄ）での署名の検査の場合に平文で送らなくてもよいように、一方向性関数ｆ_ｔおよびｆ_ｓをそれぞれ同様に使うことができる。

これがどのようにして起こるのかに関して、センサの承認の場合が図３に、測定変換器の承認の場合が図４に、表形式で示されている。数式はこれら２つの表で使われたものなので、いくつかの参照記号には変更が必要である。下付き記号ｔは測定変換器（送信機）を、下付き記号ｓはセンサを表す。

センサが必要とするメモリ量を減らすため、３つの関数ｆ_ｃ、ｆ_ｔ、ｆ_ｓの全てに同一のアルゴリズムを使うことも可能である。

センサＳには、センサＳのデータの読み出しと書き込みを可能とする方法が保存されている。これらのデータに対するアクセス権は外部から規定される。データの保護を解除することを可能とする方法は備わっていない。

センサＳにはセンサのファームウエアの更新のためのブートローダも備えられている。このブートローダは、適切な手段にて読み出しから保護されるべき秘密鍵ＰＫを含む。これにより、秘密鍵ＰＫはファームウエアの更新において含まれている必要はない。また、ファームウエアの更新は不正アクセスから保護されなければならない。

不正アクセスの機会は、秘密鍵ＰＫを用いてファームウエアのチェックサムを暗号化し、署名する時である。

測定変換器ＭＴのファームウエアの読み出しを防ぐため、マイクロコントローラとオンボードフラッシュメモリをもつ、測定変換器のチップをライセンス許諾者がライセンス受諾者に提供するという構成をとる。マイクロコントローラのセキュリティー機構を起動することで、フラッシュメモリが読み出されることを防ぐことができる。このチップには通信プロトコルも保存される。これによって、測定変換器の製造者は、自社の測定変換器に互換性を持たせるためには、その測定変換器にこのようなチップを載せることのみが必要である。

図５は様々な機能と様々なデータセットをもつセンサＳのソフトウエア構造を概略的に示す。タスクマネージャは、個々のプログラムタスクＡ１からＡ６が適切な優先順位のもとで適時に処理されるよう作動する。

「通信」機能はセンサＳと測定変換器ＭＴとのデータのやりとりがプロトコルに適った形で実施されることを担当する。

センサデータは４つのデータブロックＤ１からＤ４に分けられる。特にこれらのデータブロックにとって、異なる権利を付与することは意味がある。

本発明は、分析技術に用いられるような、２つの部品を有する、ｐＨセンサ、酸化還元センサ、あるいは伝導度センサに特に適している。これらのセンサは消耗品である電極と、ケーブルを持ち測定変換器との接続に使われるプラグヘッドとを有する。消耗品である電極とプラグヘッドとの間のデータ送信は、誘導データ送信リンクを介してなされる。このようなセンサは、本願の出願人から商標Ｍｅｍｏｓｅｎｓのもとで販売されている。

Claims (6)

1. 通信接続を介してデータのやりとりを行う測定変換器ＭＴとセンサＳを含み、前記測定変換器ＭＴにはＩＤデータセットＩＤＳと前記ＩＤデータセットＩＤＳのための第一の署名Ｓ１が保存されている、測定システムの互換性検査のための方法であって、
   （ａ）前記測定変換器ＭＴから前記センサＳに前記ＩＤデータセットＩＤＳを送信する方法ステップと、
   （ｂ）署名アルゴリズムＳＡを使って前記ＩＤデータセットＩＤＳのための第二の署名Ｓ１’を前記センサＳにて算出する方法ステップと、
   （ｃ）センサＳにて前記第一の署名Ｓ１と前記第二の署名Ｓ１’が合致するかを検査する方法ステップと、
   （ｄ）前記測定変換器ＭＴにて、前記第二の署名Ｓ１’が前記第一の署名Ｓ１と合致するかを検査する方法ステップと、
   （ｅ）前記署名Ｓ１とＳ１’とが合致する場合、前記測定変換器ＭＴと前記センサＳは互換性があり、前記測定変換器ＭＴは前記センサＳのデータおよび／または機能にアクセスすることが可能となる方法ステップ、とを含む方法。
2. 請求項１に記載の方法であって、前記ＩＤデータセットＩＤＳは、センサＳのデータおよび／または機能性へのアクセスを可能とする認証鍵ＡＫを含む、方法。
3. 請求項２に記載の方法であって、前記ＩＤデータセットＩＤＳは、測定変換器を一意に特徴づけるデータを含む、方法。
4. 請求項１から３のいずれか一項に記載の方法であって、前記署名Ｓ１とＳ１’とが合致するかの検査の場合、前記署名Ｓ１とＳ１’が、それぞれ、平文ではやりとりされず、その代わりに一方向性関数に関連付けられた値によってやりとりされる、方法。
5. 請求項１から４のいずれか一項に記載の方法であって、前記センサにおける前記署名アルゴリズムは、読み出しから保護される形式で保存される、方法。
6. 請求項２から５のいずれか一項に記載の方法であって、前記署名Ｓ１とＳ１’が合致しない場合、データアクセスのための最低限の認証が与えられる、方法。
   

Images