JP2014212512A - アグリゲータノード、データを集約する方法、及びコンピュータプログラム製品 - Google Patents

Abstract

【課題】保護されていないネットワークのノードを有するネットワークにおいて、大きなプライバシーの問題をもたらすことのないデータの交換および処理方法を提供する。
【解決手段】ネットワークで使用するためのアグリゲータノード３０１であり、前記アグリゲータノードは、暗号化されたデータを集約するように設定され、前記アグリゲータノードは、暗号化されたデータの集約を安全な方法で実行するように設定されるセキュアエレメント３０５を備えている。模範的な実施形態において、前記アグリゲータノードは、第１の暗号鍵３０６を用いて前記暗号化されたデータを復号し、前記復号されたデータを集約し、第２の暗号鍵３０３を用いて前記集約されたデータを暗号化する。前期セキュアエレメントは、前記暗号化されたデータの前記集約を実行する。
【選択図】図３

Description

本発明は、アグリゲータノード、データを集約する対応した方法、および対応したコンピュータプログラム製品に関するものである。

今日、エネルギーシステムは、計器の測定値等のデータをますます多く交換している。今後は、特にいわゆるスマートグリッドにおいて、例えば個人の電化製品または家庭の、エネルギー需要を反映するデータも用いられるであろう。このデータは通常ツリー状ネットワークで上流へ送られる。当該ネットワークにおける次のノードでは、データが一般に様々な理由で集約される。その理由は例えば、集約された価値が一般にネットワークのより高いノードに最も関連し興味深いからであり、情報に関係することは拡張性を改善するからであり、そしてデータを集約することによってネットワークのより低いノードに対するプライバシーのレベルを向上することができるからである。

図１は、ツリー状トポロジーを備えるエネルギーネットワークの例を示す。特に、図１はＡＭＩ（Advanced Metering Infrastructure）の典型的なネットワーク構造を示す。エネルギーネットワーク１００は、ネットワークのツリーまたは階層の最高位の、ネットワーク・アグリゲータ１０１と、ネットワーク・アグリゲータ１０１より１レベル低位のシティ・アグリゲータ１０２，１０３，１０４と、シティ・アグリゲータ１０２，１０３，１０４よりも１レベル低位の近隣アグリゲータ１０５，１０６，１０７とを備える。作動中、第１の近隣アグリゲータ１０５は、複数の第１のエネルギー計器１０８，１０９，１１０から受け取られるエネルギーデータを集約する。第２の近隣アグリゲータ１０６は、複数の第２のエネルギー計器１１１，１１２，１１３から受け取られるエネルギーデータを集約する。第３の近隣アグリゲータ１０７は、複数の第３のエネルギー計器１１４，１１５，１１６から受け取られるエネルギーデータを集約する。近隣アグリゲータ１０５，１０６，１０７は、それらの集約したエネルギーデータをシティ・アグリゲータ１０３へ送信する。シティ・アグリゲータ１０３は別のデータ集約を同様に実行し、その集約されたデータをネットワーク・アグリゲータ１０１へ送信する。

図２は、将来のエネルギーネットワークのシステム構成２００の例を示す。将来のエネルギーネットワークはしばしばスマートグリッドと呼ばれ、おそらく今日のエネルギーネットワークよりもさらに多くのデータを交換するであろう。さらに、これらのデータは一般的に慎重に扱うべきものである。そのようなネットワークにおけるノードは一般に、白物家電、電気自動車、光起電性（ＰＶ）パネル、イーメーター（e-meters）、ホーム・エネルギー・ゲートウェイ（home energy gateways）等の装置である。そのような将来のネットワークのためのシステムの例は、（ウェブサイト http://www.powermatcher.net/ で開示される）いわゆる ”PowerMatcher” のシステムである。

“PowerMatcher” のシステム２００は、分散型エネルギーシステムにおけるエネルギーの需要（消費側）と供給（生産側）とのバランスを取ることを目指している。このバランスを取ることは、以下のように実行される。装置は付け値（bids）を上流へ送信する。当該付け値は当該装置の現在のエネルギー需要（プラスの価格であり、支払いたい価格を示す）を反映し、及び／又は当該装置のエネルギー供給（マイナスの価格であり、エネルギーを供給したい価格を示す）を反映する。次の上流のノードは、様々な装置の付け値を集約し、この集約された付け値をツリーにおける次のノードに送信する。この仕組みは最高位のノード（すなわち、いわゆる「競売者」）に達するまで継続される。このノードは、ネットワークにおける全体のエネルギーの需要及び供給の全体像を有する。この全体像に基づいて、このノードは、消費及び生産（並びに、関連した「価格」）における市場の均衡を決定する。当該市場の均衡は、様々な装置へ下流に送信される。新たな市場の価格に基づいて、装置はそれから実際のエネルギー消費を調整することができる。

将来のエネルギーネットワークは、大量の詳細な個人データが利用できるようになるデメリットを有するおそれがある。保護されていないネットワークのノードを有するネットワークにおいて、そのようなデータの交換および処理は、大きなプライバシーの問題をもたらす。例えば、Advanced Metering Infrastructure（ＡＭＩ）において可能となるような、瞬間的な消費データを読み取ることだけによって、家庭に関する大量の情報（例えば部屋の数、住居内部の人々の数、彼らが持ち使用する装置の種類、彼らが視聴するテレビのチャンネル等）を推測することが非常に容易であると示す、多くの研究論文が存在する。

さらに、ある種類のデータに対して、第三者がデータ送信団体をだしにして儲けるのを、前記データの公開が許し得るデメリットを、将来のエネルギーネットワークは有するおそれがある。そのような状況の例は、データが例えばある商品の付け値を含む場合である。付け値が他の団体に公開された場合には、当該当事者は、自分の付け値を策定する際に、元の付け値を考慮し、それによってシステムを「操作する（gaming）」ことができ得る。

本発明の目的は、上述した不利益を、少なくとも部分的に、克服することである。この目的は、請求項１に係るアグリゲータノード、請求項１１に係るデータを集約する対応した方法、及び請求項１２に係る対応したコンピュータプログラム製品によって達成される。

本発明の一態様によれば、ネットワークで使用するためのアグリゲータノードであり、前記アグリゲータノードは、暗号化されたデータを集約するように設定され、前記アグリゲータノードは、前記暗号化されたデータの前記集約を安全な方法で実行するように設定されるセキュアエレメントを備える、アグリゲータノードが考え出される。

アグリゲータノードの模範的な実施形態によれば、第１の暗号鍵を用いて前記暗号化されたデータを復号し、前記復号されたデータを集約し、第２の暗号鍵を用いて前記集約されたデータを暗号化することによって、セキュアエレメントは、前記暗号化されたデータの前記集約を実行するように設定される。

アグリゲータノードのさらなる模範的実施形態によれば、前記セキュアエレメントが、前記暗号化されたデータを復号し、前記集約されたデータを暗号化するように設定される暗号ユニットと、前記復号されたデータを集約するように設定される処理ユニットと、少なくとも前記第１の暗号鍵および前記第２の暗号鍵を記憶するように設定される記憶ユニットと、を備える。

アグリゲータノードのさらなる模範的実施形態によれば、前記記憶ユニットが、集約される前記暗号化されたデータ、および／または、集約される前記復号されたデータを記憶するようにさらに設定される。

アグリゲータノードのさらなる模範的実施形態によれば、前記アグリゲータノードが、前記ネットワークの少なくとも１つの子ノードから、前記暗号化されたデータを受け取るようにさらに設定される。

アグリゲータノードのさらなる模範的実施形態によれば、前記アグリゲータノードが、前記暗号化され集約されたデータを、前記ネットワークの親ノードへ送信するようにさらに設定される。

アグリゲータノードのさらなる模範的実施形態によれば、前記セキュアエレメントが、前記集約されたデータを、少なくとも部分的にランダム化するようにさらに設定される。

アグリゲータノードのさらなる模範的実施形態によれば、前記集約されたデータが前記ネットワークの親ノードへ送信される頻度、および／または時間を、少なくとも部分的にランダム化するように、前記セキュアエレメントがさらに設定される。

アグリゲータノードのさらなる模範的実施形態によれば、前記集約されたデータが以前の集約結果と大きく異なる場合のみに、前記セキュアエレメントが、前記集約されたデータを、前記ネットワークの親ノードへ送信するようにさらに設定される。

アグリゲータノードのさらなる模範的実施形態によれば、前記データが、エネルギーデータ、および／またはエネルギーデータに関連するデータ、特にエネルギーデータに関連する金融データを備える。

本発明のさらなる態様によれば、前の請求項のいずれか一項に記載のアグリゲータノードを複数備えるネットワーク、特にエネルギーネットワークが考え出される。

本発明のさらなる態様によれば、ネットワークにおいてデータを集約する方法であり、アグリゲータノードが暗号化されたデータを集約し、前記アグリゲータノードは、前記暗号化されたデータの前記集約を安全な方法で実行するセキュアエレメントを備える、ネットワークにおいてデータを集約する方法が考え出される。

本発明のさらなる態様によれば、プログラム命令を備えるコンピュータプログラム製品であり、前記プログラム命令が処理ユニットによって実行されるときに、前記プログラム命令は説明された種類の方法のステップを実行または制御する、コンピュータプログラム製品が考え出される。

ツリー状トポロジーを備えるエネルギーネットワークの例を示す図である。 将来のエネルギーネットワークのシステム構成の例を示す図である。 本発明の模範的実施形態を示す図である。

本発明を、貼付の図面を参照してより詳細に説明する。

本開示に従って、慎重に扱うべき（プライバシーの）データが、集約される際に、ハードウェアの安全な部分、すなわちセキュアエレメント内でのみ、プレーンテキストで露出される。セキュアエレメントの外側では、慎重に扱うべきデータは、暗号化された形態でのみ入手可能であり、慎重に扱うべきデータを暗号化／復号するために用いられる暗号鍵は、セキュアエレメントに存在する。これらの暗号鍵の例は、対称鍵（秘密鍵）及び非対称鍵（秘密鍵／公開鍵）である。

セキュアエレメントは、データを（例えば不揮発性の記憶装置に）記憶でき、これらのデータの（暗号）操作を（すなわち暗号ユニットで）実行することができる、タンパーレジスタントハードウェア、および／またはタンパーレジスタントソフトウェアモジュールである。当業者は、セキュアエレメントが一般に高度なセキュリティ機能を有し、当該セキュリティ機能が耐タンパー性をもたらすことを理解するであろう。セキュアエレメントの耐タンパー性のレベルは、しばしば外部の団体によって評価される。典型的な例は、規格 “Common Criteria for Information Technology Security Evaluation" に従って規定される、プロテクションプロファイルおよびセキュリティターゲットによる評価である。

模範的な例では、セキュアエレメントは、外部世界から暗号テキストメッセージを受け取り、適切な鍵を用いて当該暗号テキストメッセージを復号するであろう。当該鍵はすなわち、元のデータに対応する鍵であり、セキュアエレメントの内部（保護）メモリに記憶される。続いて、セキュアエレメントは、多数のデータ・サンプルを集約して１つ以上の新たなデータ・サンプルとすることができ、適切な鍵を用いて当該新たなデータ・サンプルを暗号化するであろう。当該鍵はすなわち、データの想定される受け手に対応する鍵である。一般に、集約は所定の場所で（多数のサブノードからのデータの集約）、および／または、所定の時間内に（同一のノードからの複数のデータ・サンプルの集約）行われる。たとえ集約されるデータが存在しなくても、アグリゲータノードが、暗号化され集約されたデータを親ノードへ送信することができるように、アグリゲータノードがゼロ入力についての集約作業（例えば一種の「ダミー」作業）を実行することができることを、当業者は理解するであろう。その結果、攻撃者は、前記アグリゲータノードに由来するトラフィックの変化がわからないであろう。なお、データの集約はそのようなものとして知られており、当業者は、特定の事情の要件に応じて、データを集約する適切な方法を選択することができるであろう。

最後に、セキュアエレメントは、暗号化されたデータを外部世界へ再度送信するであろう。高度に保護されたハードウェアの部分（すなわちセキュアエレメント）で利用可能なデータのプレーンテキストのコピーを有することだけで、権限の無い者が前記データにアクセスすることが困難になる。なお、２つのセキュアエレメントの間の「リンク」ごとに、鍵を異なるものとすることもできる。これは厳しい制約ではないが、実際には、様々な鍵を用いることは、しばしば好ましい。なぜならば、例えば、ネットワークが、それぞれ独自の鍵または鍵のセットを用いる様々な団体により管理されるからである。

図３は、本発明の模範的実施形態を示す。特に図３は、アグリゲータノードのセキュアエレメントのみにおいて慎重に扱うべきデータのプレーンテキストのバージョンを露出する概念を示す。慎重に扱うべきデータのプレーンテキストのバージョン（例えば電力計によって計測されるエネルギーデータ）は、子ノード３０４のセキュアエレメント３０５で利用可能である。子ノード３０４のセキュアエレメント３０５は、暗号化鍵３０６を用いて慎重に扱うべきデータを暗号化し、続いて、暗号化された慎重に扱うべきデータをアグリゲータノード３０１へ送信する。アグリゲータノード３０１のセキュアエレメント３０２は、当該慎重に扱うべきデータのプレーンテキストのコピーが利用可能となるように、復号鍵３０３を用いて慎重に扱うべきデータを復号する。ところでアグリゲータノード３０１のセキュアエレメント３０２は、例えば他の（図示しない）子ノードから受け取った慎重に扱うべきデータを、前記慎重に扱うべきデータと一緒に集約し、集約した慎重に扱うべきデータを暗号化し、暗号化され集約された慎重に扱うべきデータをさらなるアグリゲータノード（図示せず）へ送信することができる。例えば当該さらなるアグリゲータノードは、ネットワークのツリーのより高位に存在する。

さらに、システムに関係する人々のプライバシーをさらに保護するために、セキュアエレメントは、集約した慎重に扱うべきデータに多少のノイズを加える（ランダム化する）ことができる。例えば、上述したPowerMatcherのシステム等の入札システムにおいて、このことは、集約された付け値がわずかに調整される（例えば、増加し若しくは減少し、または遅延し若しくは繰り返される）ことを意味するであろう。このことは、外部の制御機構で必要とされるために、システムのどこかで、集約されたデータがセキュアエレメントから出て行くことがあるので、有利となることがある。例えば、PowerMatcherのシステムにおいて、集約されたデータは、市場の均衡を計算するために必要であろう。そのようなランダム化が許可されるかどうかは、集約されたデータを用いるシステムによって決まる。

繰り返し言うが、ネットワークは、暗号化された慎重に扱うべきデータを集約するように設定されるアグリゲータノードのツリーまたは階層構造を含むことができる。このために、アグリゲータノードは、安全な方法で慎重に扱うべきデータの集約を実行するように設定されるセキュアエレメントを備えることができる。ネットワークを構成するために、ネットワークのノードを分割するシステムに、セキュアエレメントを追加しなければならない。次に、安全な鍵の配布および管理手順を所定の場所で整える必要があるが、このことを達成するための周知技術が存在する。大きな分散型のシステムにおいて、例えば公開鍵基盤（ＰＫＩ）を基礎とした解決策を用いることができる。より小さな（家庭内の）ネットワークのために、それぞれの組み込み（Each-of-Install）を基礎とした解決策を用いることができる。当該解決策は例えば、発明の名称 ”Method for establishing secure communication between nodes in a network, network node, key manager, installation device and computer program product” 、出願番号EP12168079.7の、２０１２年５月１５日に出願人エヌエックスピー ビー ヴィによって出願された欧州特許出願に記載されている。最後に、セキュアエレメントは、ハードウェアおよび／またはソフトウェアに実装され、受け取ったデータの復号及びデータに関する集約作業を実行し、集約されたデータを暗号化し、データを外部世界に利用可能とするロジックを備えなければならない。

なお、図面は概略図である。異なる図面において、類似または同一の構成要素には、同じ引用符号が与えられる。さらに、模範的実施形態の簡潔な説明を提供しようとして、当業者にとって慣習的な実践に該当する実施の詳細は、説明されていない可能性があることを、特に指摘しておく。あらゆる工学または設計プロジェクトのように、あらゆるそのような実装の開発において、ある実装と他の実装とで異なり得る、システム関連及びビジネス関連の制約に準拠等しながら、開発者の固有の目的を達成するために、多数の実装時固有の決定がなされなければならないことを理解すべきである。さらに、そのような開発の試みは複雑であり時間がかかることがあることを理解すべきであるが、それにもかかわらず、当業者にとって当該試みは、設計、製作及び製造の習慣的な仕事であろう。

上述した実施形態は、本発明を限定するものではなく本発明を説明するものである。そして当業者は、貼付の特許請求の範囲の範囲から離れることなく、多数の代替的な実施形態を設計することができるであろう。特許請求の範囲において、丸括弧の間に位置する引用符号はどれも、請求項を限定するように解釈されるべきでない。用語「備える」または「備えている」は、請求項に列挙されない構成要素またはステップの存在を除外するものではない。構成要素に先行する用語「ひとつの」は、そのような要素が複数存在することを除外するものではない。いくつかの区別できる構成要素を備えるハードウェアによって、および／または適切にプログラム化したプロセッサによって、本発明を実施することができる。いくつかの手段を列挙する装置の請求項において、これらの手段のいくつかを、１つの同じ品目のハードウェアで具体化することができる。特定の手段が互いに異なる従属項に記載されるという単なる事実は、これらの手段の組み合わせを用いて利益を得ることができないことを示すものではない。

１００ エネルギーネットワーク
１０１ ネットワーク・アグリゲータ
１０２ シティ・アグリゲータ
１０３ シティ・アグリゲータ
１０４ シティ・アグリゲータ
１０５ 近隣アグリゲータ
１０６ 近隣アグリゲータ
１０７ 近隣アグリゲータ
１０８ エネルギー計器
１０９ エネルギー計器
１１０ エネルギー計器
１１１ エネルギー計器
１１２ エネルギー計器
１１３ エネルギー計器
１１４ エネルギー計器
１１５ エネルギー計器
１１６ エネルギー計器
２００ システム構成
３００ データの集約
３０１ アグリゲータノード
３０２ セキュアエレメント
３０３ 復号鍵
３０４ 子ノード
３０５ セキュアエレメント
３０６ 暗号化鍵

Claims (13)

1. ネットワークで使用するためのアグリゲータノードであり、
   前記アグリゲータノードは、暗号化されたデータを集約するように設定され、前記アグリゲータノードは、前記暗号化されたデータの前記集約を安全な方法で実行するように設定されるセキュアエレメントを備える、アグリゲータノード。
2. 第１の暗号鍵を用いて前記暗号化されたデータを復号し、
   前記復号されたデータを集約し、
   第２の暗号鍵を用いて前記集約されたデータを暗号化する
   ことによって、セキュアエレメントは、前記暗号化されたデータの前記集約を実行するように設定される、請求項１に記載のアグリゲータノード。
3. 前記セキュアエレメントが、
   前記暗号化されたデータを復号し、前記集約されたデータを暗号化するように設定される暗号ユニットと、
   前記復号されたデータを集約するように設定される処理ユニットと、
   少なくとも前記第１の暗号鍵および前記第２の暗号鍵を記憶するように設定される記憶ユニットと、
   を備える、請求項２に記載のアグリゲータノード。
4. 前記記憶ユニットが、集約される前記暗号化されたデータ、および／または、集約される前記復号されたデータを記憶するようにさらに設定される、請求項３に記載のアグリゲータノード。
5. 前記アグリゲータノードが、前記ネットワークの少なくとも１つの子ノードから、前記暗号化されたデータを受け取るようにさらに設定される、請求項１〜４のいずれか一項に記載のアグリゲータノード。
6. 前記アグリゲータノードが、前記暗号化され集約されたデータを、前記ネットワークの親ノードへ送信するようにさらに設定される、請求項１〜５のいずれか一項に記載のアグリゲータノード。
7. 前記セキュアエレメントが、前記集約されたデータを、少なくとも部分的にランダム化するようにさらに設定される、請求項１〜６のいずれか一項に記載のアグリゲータノード。
8. 前記集約されたデータが前記ネットワークの親ノードへ送信される頻度、および／または時間を、少なくとも部分的にランダム化するように、前記セキュアエレメントがさらに設定される、請求項１〜７のいずれか一項に記載のアグリゲータノード。
9. 前記集約されたデータが以前の集約結果と大きく異なる場合のみに、前記セキュアエレメントが、前記集約されたデータを、前記ネットワークの親ノードへ送信するようにさらに設定される、請求項１〜８のいずれか一項に記載のアグリゲータノード。
10. 前記データが、エネルギーデータ、および／またはエネルギーデータに関連するデータ、特にエネルギーデータに関連する金融データを備える、請求項１〜９のいずれか一項に記載のアグリゲータノード。
11. 請求項１〜１０のいずれか一項に記載のアグリゲータノードを複数備えるネットワーク、特にエネルギーネットワーク。
12. ネットワークにおいてデータを集約する方法であり、
    アグリゲータノードが暗号化されたデータを集約し、前記アグリゲータノードは、前記暗号化されたデータの前記集約を安全な方法で実行するセキュアエレメントを備える、ネットワークにおいてデータを集約する方法。
13. プログラム命令を備えるコンピュータプログラム製品であり、前記プログラム命令が処理ユニットによって実行されるときに、前記プログラム命令は請求項１２に記載の方法のステップを実行または制御する、コンピュータプログラム製品。