JP2017130913A - 航空機システムのためのセキュアな取り外し可能ストレージ - Google Patents

Abstract

【課題】列線交換ユニット（ＬＲＵ）によって取り外し可能な記憶媒体デバイスに保持されている（例えば、航空機の）バックアップ運航データを保管する方法及びシステムを提供する。
【解決手段】ＬＲＵは、第１の暗号化鍵を生成する。ＬＲＵは、第１の暗号化鍵を用いて運航データを暗号化する。ＬＲＵは、少なくとも第２のＬＲＵの鍵データに基づいて、第２の暗号化鍵を生成する。ＬＲＵは、第２の暗号化鍵を用いて第１の暗号化鍵を暗号化する。
【選択図】図４

Description

本明細書に提示される態様は、クローズドな通信システム（例えば、航空機、列車、及び自動車で用いられる電子システム）におけるデータセキュリティに関し、より詳細には、それらのシステムにおいて取り外し可能な記憶媒体に記憶されるバックアップデータのセキュリティ及び完全性を保つ技術に関する。

現代の輸送様式は、互いに通信して情報を交換し合う電子部品及びコンピュータコンポーネントが装備されている。例えば飛行機は、飛行機内でネットワークされたデバイスである幾つかの列線交換ユニット（ＬＲＵ）を含み得る。各ＬＲＵは特定の機能を実行する。例えば、アビオニクスシステムと機上の機器との間の通信を管理し、飛行機と地上ネットワークとの間の（例えば、民間航空機の）コネクティビティを提供し、航空機キャビンに無線ネットワークアクセスを提供する。所与のＬＲＵは互いに交換可能であり、ＬＲＵに不具合が生じた（或いはその他の方式でサービス不能となった）場合に作動位置で素早く交換することができる。

航空機の幾つかの電子及びコンピュータシステムにおいては、１つのＬＲＵが不具合の単一のポイントとして作用し、即ち、この特定のＬＲＵの不具合が許容不可能なデータロスを引き起こすことにより運航上の即応性が失われることになることがある。一例として、ＬＲＵは、機外もしくは外部の整備システムに対し航空機を識別するのに用いられる情報を維持するネットワークファイルサーバを含む。データロスを抑える策の１つとして、ＬＲＵに取り付けられた取り外し可能な記憶媒体を通じて重要な運航データをバックアップすることがある。従って、ＬＲＵに不具合が生じても、運航データは取り外し可能な記憶媒体上で無傷のままであり、この記憶媒体が交換用のＬＲＵに挿入されればよい。

本明細書で提示する一態様では、方法について記載する。方法は、一般に、複数のＬＲＵのうち第１の列線交換ユニット（ＬＲＵ）によって第１の暗号化鍵を生成することを含む。方法はまた、一般に、第１の暗号化鍵を用いて特定のデータを暗号化することを含む。特定のデータは、第１のＬＲＵに取り付け可能な記憶媒体デバイスにバックアップデータとして記憶されている。方法はまた、複数のＬＲＵのうちの少なくとも第２のＬＲＵの鍵データに基づいて、第２の暗号化鍵を生成することを含む。第１の暗号化鍵が第２の暗号化鍵を用いて暗号化される。

一態様では、上記との組み合わせで、方法が、暗号化された特定のデータと暗号化された第１の暗号化鍵とを記憶媒体デバイスに記憶することも含む。暗号化された特定のデータは、記憶媒体デバイスの暗号化された区画に記憶される。更に、暗号化された第１の暗号化鍵が、記憶媒体デバイスの暗号化された区画に記憶される。この方法は、少なくとも第２のＬＲＵの鍵データに基づいて、第１のＬＲＵの交換用ＬＲＵによって、第２の暗号化鍵を生成することも含み得る。方法は、記憶媒体デバイスに記憶された、暗号化された第１の暗号化鍵と暗号化された特定のデータとを復号することも含む。方法は、特定のデータを交換用ＬＲＵに復元することも含む。

一態様では、上記の例のうちの任意のものとの組み合わせで、複数のＬＲＵが飛行機で作動する。更に、特定のデータが飛行機の運航データである。

一態様では、上記の例のうちの任意のものとの組み合わせで、第２の暗号化鍵を用いて第１の暗号化鍵を暗号化する前に、記憶媒体デバイスに保持された一以上のデータセットについて、メッセージ認証コード（ＭＡＣ）が生成される。ＭＡＣは、署名鍵として第１の暗号化鍵を用いて生成される。

一態様では、上記の例のうちの任意のものとの組み合わせで、第２の暗号化鍵を生成する前に、少なくとも第２のＬＲＵとのトランスポートレイヤセキュリティ（ＴＬＳ）コネクションが確立される。鍵データは、ＴＬＳコネクションを介して第２のＬＲＵから取り出される。

更に、本明細書に記載の態様は、上記の方法の先に述べた配置又は構成のいかなる代替、変形、及び改変態様をも含む。

その他の態様は、非限定的に、本開示の方法の一以上の態様を処理部に実施させるコンピュータ可読プログラムコードを有した、非一過性記憶媒体、及び、本開示の方法の一以上の態様を実施するように設定されたプロセッサ、メモリ、及びアプリケーションプログラムを有したシステムを含む。

一態様によるコンピューティング環境の一例を示す。 一態様による、図１に関連した記憶媒体デバイスを更に示す。 一態様による、運航データを保管する暗号化鍵のラッピングフローの一例を示す。 一態様による、運航データを記憶媒体デバイスに保管する方法を示す。 一態様による、運航データを列線交換ユニット（ＬＲＵ）に復元する一例を示す。 一態様による、運航データをＬＲＵに復元する方法の一例を示す。 一態様による、ＬＲＵの不具合の後に運航データを記憶媒体デバイスに保管する一例を示す。 一態様による、運航データを記憶媒体デバイスに保管するように設定されたＬＲＵの一例を示す。

本明細書に提示された態様は、航空機の通信システムなどにおいて通信システムで用いられるバックアップデータを保管する技術を開示する。飛行機は典型的に、航空機内で所与の機能をそれぞれ実施する幾つかの列線交換ユニット（ＬＲＵ）を含む。ＬＲＵは一般的に、ＬＲＵに不具合が生じた場合に比較的素早く交換することを可能にするよう設計されている。幾つかのＬＲＵは飛行機の運航に重要なデータを記憶している。例えば、飛行機は、他のシステム（例えば、地上管制システム、整備システムなど）に対して飛行機を識別するのに用いられる情報を記憶する、ネットワークファイルサーバ（ＮＦＳ）ＬＲＵを含み得る。このＬＲＵの不具合により、深刻なデータロス及び飛行機の運航上の即応性の喪失が生じる。

この問題に対処するために、ＬＲＵは、取り外し可能な記憶媒体デバイスに運航データをバックアップする。一態様では、オペレータが記憶媒体デバイスをＬＲＵに取り付け、運航データをデバイスにコピーし得る。ＬＲＵに不具合が生じた場合、オペレータは記憶媒体デバイスをＬＲＵから取り外し、デバイスを交換用ＬＲＵに取り付け得る。次いでオペレータは、この交換用ＬＲＵに運航データを復元し得る。

しかしながら、この手法で懸念されることは、バックアップデータの攻撃者からの保護である。例えば、攻撃者が記憶媒体デバイスを取り外してデータをコピーし、望ましくない結果（例えば、運航データを用いて飛行機のＩＤを騙って整備統計を操作し、地上システムに対してサービス妨害攻撃を行う、など）を引き起こす可能性がある。この懸念に対処するために、ＬＲＵはＡｄｖａｎｃｅｄ Ｅｎｃｒｙｐｔｉｏｎ Ｓｔａｎｄａｒｄ（ＡＥＳ）などの暗号化アルゴリズムを用いてデータを暗号化し得る。これにより、正しいＡＥＳ暗号化鍵なしにデータがアクセシブルとなることが防げる。

従って、この手法では、暗号化鍵を記憶する場所の決定が問題となる。例えば、ＬＲＵに不具合が生じた場合に鍵が失われる可能性があるため、ＬＲＵに鍵を記憶するのは望ましくない。記憶媒体デバイスにアクセスできる攻撃者はデバイスから鍵を取得してデータを復号することもできるので、鍵を暗号化せずに記憶媒体デバイスに記憶するのも望ましくない。

諸態様は、ＡＥＳ暗号化鍵をラップするのに用いられる鍵を生成する技術を提供する。より詳細には、技術は、飛行機に固有のデータに基づいてラップ鍵を生成することを示す。データは、飛行機の公開鍵基盤（ＰＫＩ）で用いられる情報、例えば、機内の２つ以上の他のＬＲＵネットワークに関連する公開鍵を含み得る。そのようなデータは飛行機にプライベートなものであり、不具合が生じたＬＲＵの交換に用いられるＬＲＵにとってアクセシブルである。

一態様では、ＬＲＵは、ラップ鍵を用いてＡＥＳ暗号化鍵を暗号化し、ラップされたＡＥＳ暗号化鍵を取り外し可能な記憶媒体デバイスに記憶し得る。この手法では、攻撃者が記憶媒体デバイスの内容をコピーできたとしても、ＡＥＳ暗号化鍵は攻撃者にとってアクセス不可能なままである。更に、攻撃者がＬＲＵのうちの１つを危殆化してＬＲＵの鍵情報を識別できたとしても、攻撃者は（ラップ鍵がシードとして他のＬＲＵを用いて生成されているので）依然としてラップ鍵を再生できないであろう。（重要な運航データを記憶している）ＬＲＵに不具合が生じた場合、オペレータは取り外し可能な記憶媒体デバイスを新しいＬＲＵに取り付けて、不具合が生じたＬＲＵを交換し得る。新しいＬＲＵはラップ鍵を、この鍵を生成するのにもともと用いた同じデータを用いて再生成し得る。次いでＬＲＵは、ラップされたＡＥＳ鍵を復号し、運航データを復旧し得る。

更に、他のＬＲＵのうちの任意のものに不具合が生じた場合、重要な運航データを記憶しているＬＲＵは、ＡＥＳ鍵を再生成し、運航データを再暗号化し得る。更に、ＬＲＵは、不具合が生じたＬＲＵを交換するＬＲＵからの新しいデータを用いてラップ鍵を生成し得る。こうすることにより、攻撃者が不具合が生じたＬＲＵから公開鍵情報を得るウィンドウを狭めることができる。

一態様では、ＬＲＵはまた、記憶媒体デバイスに記憶された暗号化されていないデータの完全性を保つために、ＡＥＳ暗号化鍵を署名鍵として使用し得る。即ち、攻撃者が記憶媒体デバイスを取り外して暗号化されていないデータセットを偽データに置き換えたかどうかを検知することが望ましいことがある。ＬＲＵは、ＡＥＳ暗号化鍵（秘密鍵として作用する）及び暗号化されていないデータセットをインプットとして用いて、メッセージ認証コード（ＭＡＣ）アルゴリズムを使用し得る。ＬＲＵは、得られたＭＡＣをデータセットとともに記憶媒体デバイスに記憶し得る。更に、ＬＲＵはラップ鍵を用いてＡＥＳ鍵を暗号化し得る。

データセットの完全性を証明するために、ＬＲＵは、上述の技術を用いてＡＥＳ鍵を復号し、ＡＥＳ鍵と暗号化されていないデータセットとをインプットとして用いてＭＡＣを演算し得る。得られたＭＡＣが取り外し可能な記憶媒体デバイスに記憶されたＭＡＣと一致しない場合には、データセットは改ざんされている可能性があり、ＬＲＵは応答してエラーを返し得る。

有利には、飛行機のＬＲＵが、重要な運航バックアップデータを保管するのに用いられる暗号化鍵をラップし、飛行機の他のＬＲＵに関連するＰＫＩデータに基づいて生成された鍵を用いて、記憶媒体デバイス上の暗号化されていないデータの完全性を証明し得る。本技術は、単一障害点の（ｓｉｎｇｌｅ−ｐｏｉｎｔ−ｏｆ−ｆａｉｌｕｒｅ）ＬＲＵがオフラインとなった場合でもバックアップデータをセキュアなままとする手法を提供する。

下記では、センシティブなバックアップデータを取り外し可能な記憶媒体デバイス上でセキュアに記憶することの参照例として、飛行機で動作する列線交換ユニット（ＬＲＵ）が用いられていることに留意されたい。しかしながら、本明細書に提示された態様が、システム内の様々なモジュール式コンポーネントの公開鍵基盤を有して構成された他のタイプのクローズドな通信システムに応用され得ることを、当業者は認識するであろう。例えば、態様は、そのようなシステムを有する列車及び自動車などの他の輸送様式で応用され得る。別の例として、態様は、ＳＣＡＤＡ（監視制制御及びデータ取得）システムなどの産業用クローズドな通信システムに応用されてもよい。

図１は、一態様によるコンピューティング環境１００の一例を示す。図示のように、コンピューティング環境１００は、列線交換ユニット（ＬＲＵ）Ａ１０５、ＬＲＵ Ｂ１１５、ＬＲＵ Ｃ１２０、ＬＲＵ Ｄ１２５、及び記憶媒体デバイス１３０を含む。ＬＲＵ１０５、１１５、１２０、及び１２５はそれぞれ、ネットワーク１３５（例えば、ローカルエリアネットワーク（ＬＡＮ））を介して相互接続されている。一態様では、コンピューティング環境１００が、飛行機内で作動するキャビンシステムを表している。当然ながら、コンピューティング環境１００に示されている構成要素は例として示されているので、キャビンシステムは更なる構成要素を含むであろう。

図示のように、ＬＲＵ Ａ１０５は、認証局（ＣＡ）サービス１０６、ＣＡ秘密鍵１０７、ＬＲＵ Ａ公開鍵１０８、ＬＲＵ Ａ秘密鍵１０９、鍵選択器／生成器１１０、暗号化／復号コンポーネント１１１、メッセージ認証コード（ＭＡＣ）生成コンポーネント１１２、及び運航データ１１３を含む。一態様では、ＬＲＵ Ａ１０５が、機上ネットワークシステムのネットワークファイルサーバ（ＮＦＳ）を表す。

ＬＲＵ Ｂ１１５、Ｃ１２０、及びＤ１２５は、様々な機能を行う、キャビンシステムアーキテクチャのコンポーネントシステムをそれぞれ表し得る。例えば、ＬＲＵ Ｂ１１５は、飛行機のアビオニクスシステムとＩＰベースの機器（例えば、乗客用機内娯楽及びアプリケーションなど）との間のネットワークルーティング機能を提供する、ネットワークエクステンションデバイス（ＮＥＤ）を表し得る。別の例として、ＬＲＵ Ｃ１２０は、例えば、ゲートリンクアプリケーションの、ネットワーク１３５から地上ベースのＬＡＮへの無線アクセスブリッジとして機能する端末無線ＬＡＮユニット（ＴＷＬＵ）を表し得る。更に別の例として、ＬＲＵ Ｄ１２０は、ネットワーク１３５からキャビン内で作動するデバイス（例えば、個人用デバイス、機内娯楽システムなど）への無線アクセスブリッジとして機能するキャビン無線ＬＡＮユニット（ＣＷＬＵ）を表し得る。

一態様では、ＬＲＵＡ１０５、Ｂ１１５、Ｃ１２０、及びＤ１２５が、機内の公開鍵基盤（ＰＫＩ）の構成要素でもある。機内ＰＫＩは、関与している構成要素間の通信がセキュアなままであることを保証する。例えば、各ＬＲＵは、ＬＲＵに固有の公開／秘密鍵ペアを生成し得る。例示的に、ＬＲＵ Ａ公開鍵１０８、ＬＲＵ Ａ秘密鍵１０９、ＬＲＵ Ｂ公開鍵１１６、ＬＲＵ Ｂ秘密鍵１１７、ＬＲＵ Ｃ公開鍵１２１、ＬＲＵ Ｃ秘密鍵１２２、ＬＲＵ Ｄ公開鍵１２６、及びＬＲＵ Ｄ秘密鍵１２７はそれぞれ、各ＬＲＵの公開／秘密鍵ペアを表す。ＣＡサービス１０６は、証明書署名技術を用いて各公開鍵を認証し得る。

先述のように、ＬＲＵ Ａ１０５はＮＦＳユニットを表す。ＬＲＵ Ａ１０５はイーサネットコンバージョン、マルチキャストルーティング、ファイアウォールプロテクション、データローディング、アプリケーションホスティング、及び通信ゲートウェイなどの様々な機能を行う。更に、ＬＲＵ Ａ１０５は、地上及び整備システムに対して飛行機（飛行機ＩＤ）の識別に用いられる情報など、飛行機の運航にとって重要なデータ（運航データ１１３）を記憶し得る。

上述のように、ＬＲＵ（例えば、ＬＲＵ Ａ１０５）の不具合により運航データを失うことが懸念される。この問題に対処するために、ＬＲＵ Ａ１０５はデータを記憶媒体デバイス１３０にバックアップする。記憶媒体デバイス１３０は、例えば、ストレージカード、ＵＳＢフラッシュドライブなどの任意のタイプの取り外し可能な記憶デバイスであってよい。更に、運航データを保管するためにＬＲＵ Ａ１０５がデータを保管し得る。そのためには、鍵選択器／生成器１１０が、Ａｄｖａｎｃｅｄ Ｅｎｃｒｙｐｔｉｏｎ Ｓｔａｎｄａｒｄ（ＡＥＳ）技術を用いて暗号化鍵を生成し得る。暗号化／復号コンポーネント１１１は、生成されたＡＥＳ鍵を用いてデータを暗号化し、暗号化されたデータ１３１が得られる。

攻撃者がＡＥＳ暗号化鍵を危殆化しないことを保証するために、一態様では、鍵選択器／生成器１１０が、他のＬＲＵＢ１１５、Ｃ１２０、又はＤ１２５のうちの２つ以上からのＰＫＩデータを用いて、追加の暗号化鍵を生成し得る。所与のＬＲＵからそのような情報を得るために、鍵選択器／生成器１１０ ＬＲＵとのトランスポートレイヤセキュリティ（ＴＬＳ）コネクションを確立し得る。鍵選択器／生成器１１０は、ＬＲＵの任意の組み合わせを用いて、ラップ鍵を生成し得る。例えば、鍵選択器／生成器１１０は、ＬＲＵ Ｃ公開鍵１２１とＬＲＵ Ｄ公開鍵１２６とをシードとしてハッシアルゴリズム（例えば、ＳＨＡ−２５６）のインプットとして用い、ラップ鍵（ラップされた暗号化鍵１３２）を生成し得る。その後、暗号化／復号コンポーネント１１１は、ラップ鍵を用いてＡＥＳ鍵を保管する。

暗号化されたデータを（例えば、ＬＲＵ Ａ１０５に不具合が生じて交換される場合に）復旧するために、交換用ＬＲＵ Ａ上で実行している鍵選択器／生成器は、ラップ鍵の生成にＬＲＵ鍵のどの組み合わせが使用されたかを判定する。次いで鍵選択器／生成器は、その組み合わせからラップ鍵を再作成する。次いで、このＬＲＵ Ａの暗号化／復号コンポーネントがＡＥＳ暗号化鍵をアンラップし得る。次に、暗号化／復号コンポーネントは暗号化されたデータ１３１ＡＥＳ暗号化鍵を用いて復号する。

一態様では、生成されたＡＥＳ暗号化鍵が、ＭＡＣ生成のための秘密鍵としても用いられ得る。ＭＡＣ生成コンポーネント１１２は、記憶媒体デバイス１３０に保持された暗号化されていないデータのＭＡＣを作成し得る。こうすることにより、記憶媒体デバイス１３０に保持されたデータのいかなる改ざん又は改変をも容易に検出できるよう、データセットの完全性が保たれる。データの完全性を更に保つため、暗号化／復号コンポーネント１１１は、上述の同じ技術を用いてＡＥＳ暗号化鍵をラップし得る。即ち、運航データの保管か、又は暗号化されていないデータのＭＡＣの生成がなされるまで、暗号化鍵がアクセス不可能なままである。

図２は更に、一態様による、図１に関連して示した記憶媒体デバイス１３０を示す。例示的に、記憶媒体デバイス１３０は、点線で表された２つのセクションに区分される。底部は暗号化されていない区画を表す。上部は暗号化された区画を表す。一態様で、記憶媒体デバイス１３０は、複数の暗号化された区画を含み得る。これにより、ＣＡサービス１０６が暗号化鍵をロールすることが可能である。

図示のように、記憶媒体デバイス１３０の暗号化された部分は、暗号化されたデータ１３１を含む。暗号化されたデータ１３１自体は、ＬＲＵ Ｂ公開鍵２０５、ＬＲＵ Ｃ公開鍵２１０、ＬＲＵ Ｄ公開鍵２１５、及び運航データ２２０のコピーを含む。先述したように、暗号化／復号コンポーネント１１１は、ＡＥＳ鍵を用いて 鍵選択器／生成器１１０によって生成された運航データを暗号化し得る。

図示のように、記憶媒体デバイス１３０の暗号化されていない区画は、ラップされた暗号化鍵１３２を含む。一態様では、鍵選択器／生成器１１０が、機内ＰＫＩ（例えば、ＬＲＵ Ｂ１１５、ＬＲＵ Ｃ１２０、及びＬＲＵ Ｄ１２５）に関与している既存のＬＲＵの組み合わせに基づいて、様々なＡＥＳ暗号化鍵を生成し得る。例えば、 ラップされた暗号化鍵１３２は、ＬＲＵ Ｂ公開鍵１１６とＬＲＵ Ｃ公開鍵１２１とに基づいて生成された、ラップされた暗号化鍵２２５を含む。ラップされた暗号化鍵１３２は、ＬＲＵ Ｃ公開鍵１２１とＬＲＵ Ｄ公開鍵１２６とに基づいて生成された、ラップされた暗号化鍵２３０も含む。ラップされた暗号化鍵１３２は、ＬＲＵ公開鍵１１６とＬＲＵ Ｄ２３５とに基づいて生成された、ラップされた暗号化鍵２３５も含む。鍵選択器／生成器１１０は、ＬＲＵ ＰＫＩ情報の任意の組み合わせを介して暗号化されたデータのセキュリティを強化するのに要するＡＥＳ暗号化鍵を作成し得る。

更に、記憶媒体デバイス１３０の暗号化されていない区画は、暗号化されたデータ１３１を暗号化するのに用いられる公開鍵のフィンガープリントを含み得る。各フィンガープリントは、各公開鍵を一意に識別する。鍵選択器／生成器１１０はフィンガープリントを評価して、適切なラップ鍵を生成するのにどの公開鍵が必要であるかを判定する。これにより、鍵選択器／生成器１１０が、関連するＬＲＵから公開鍵を取り出して、（例えば、暗号化されたデータ１３１を復号する際に）ラップ鍵を生成することが可能となる。

図３は、一態様による、運航データの保管に用いるＡＥＳ暗号化鍵のラッピングフロー３００の一例を示す。３０５で、鍵選択器／生成器は、ＡＥＳ鍵生成技術を用いて暗号化鍵３０７を生成する。３１０で、鍵選択器／生成器は、ＡＥＳ暗号化鍵３０７のラッピングに用いる暗号化鍵３１１も生成する。例えば、例示的に、鍵選択器／生成器１１０は、ＬＲＵ Ｃ及びＬＲＵ Ｄ（それぞれ）から公開鍵３０１及び３０２を取り出し、これら鍵をラップ鍵３１１生成のシードとして使用し得る。公開鍵３０１及び３０２は、ＬＲＵＣ及びＤに関連するＩＤ情報３０３を含み得る。

先述したように、暗号化／復号コンポーネントは、ＡＥＳ暗号化鍵３０７を用いて、重要な運航データの暗号化、暗号化されていないデータの署名、暗号化されていないデータのＭＡＣ生成などを行う。３１５で、暗号化／復号コンポーネントは、生成されたラップ鍵３１７を用いてＡＥＳ暗号化鍵をラップする。ＬＲＵ Ａは、ラップされた暗号化鍵３１７を、記憶媒体デバイスの暗号化されていない区画に記憶し得る。

図４は、一態様による、運航データを記憶媒体デバイスに保管する方法４００を示す。具体的には、方法４００は、ＬＲＵ Ａ１０５によって保持されている重要な運航データの保管の一例を示す。図示のように、方法４００はステップ４０５で開始される。ステップ４０５で、鍵選択器／生成器１１０が、（記憶媒体デバイス１３０に記憶されている運航データの暗号化に用いる）ＡＥＳ暗号化鍵を生成する。ステップ４１０で、暗号化／復号コンポーネント１１１は、ＡＥＳ暗号化鍵を用いて運航データを暗号化する。

ステップ４１５で、ＣＡサービス１０６は、各ＬＲＵにＰＫＩ鍵を供給する。各ＬＲＵは、既知の鍵生成技術を用いて公開／秘密鍵ペアを生成し得る。次いで、ＣＡサービス１０６は各鍵ペアを機内ＰＫＩで使用するために認証し得る。ステップ４２０で、鍵選択器／生成器１１０は、ＰＫＩ中のＬＲＵ Ａ１０５とは別のＬＲＵ（例えば、ＬＲＵ Ｂ１１５、ＬＲＵ Ｃ１２０、又はＬＲＵ Ｄ１２５）の公開鍵の組み合わせに基づいて、一以上のラップ鍵を生成する。

ステップ４２５で、暗号化／復号コンポーネント１１１は、ラップ鍵を用いてＡＥＳ鍵を暗号化する。ステップ４３０で、鍵選択器／生成器１１０は、ラップされた暗号化鍵を暗号化せずに記憶媒体デバイス１３０に記憶する。更に、鍵選択器／生成器１１０は、ＡＥＳ鍵のラップに用いるＬＲＵ公開鍵のフィンガープリントデータを生成し得る。これより、（例えば、ラップされたＡＥＳ暗号化鍵を復号する際に）鍵選択器／生成器１１０が公開鍵を識別することが可能となる。ステップ４３５で、暗号化／復号コンポーネント１１１は、暗号化された運航データを記憶媒体デバイス１３０にコピーする。

図５は、一態様による、運航データを列線交換ユニット（ＬＲＵ）に復元することの一例５００を示す。図示のように、例５００は、ＬＲＵ Ａ５００、記憶媒体デバイス５１５、ＬＲＵ Ｂ５２５、ＬＲＵ Ｃ５３０、ＬＲＵ Ｄ５３５を含む。この例で、以前は動作していたＬＲＵ Ａに不具合が生じ、コンピューティング環境で初期化されていたＬＲＵ Ａ５００と交換されると仮定する。ＬＲＵ Ａ５００は更に、ＣＡサービス５０６、ＣＡ秘密鍵５０７、ＬＲＵ Ａ公開鍵５０８、ＬＲＵ Ａ秘密鍵５０９、メモリ５１０、鍵選択器／生成器５１１、及び暗号化／復号コンポーネント５１２を含む。記憶媒体デバイス５１５は、暗号化されたデータ５１６、ラップされた暗号化鍵５２１、ラップされた暗号化鍵５２２、及びラップされた暗号化鍵５２３を含む。ＬＲＵ Ｂは、公開鍵５２６及び秘密鍵５２７を含む。ＬＲＵ Ｃは、公開鍵５３１及び秘密鍵５３２を含む。ＬＲＵ Ｄ５３５は、公開鍵５３６及び秘密鍵５３７を含む。

暗号化されたデータ５１６は、対応するＬＲＵ Ｂ公開鍵５１７、ＬＲＵ Ｃ公開鍵５１８、及びＬＲＵ Ｄ公開鍵５１９を含む。ＣＡサービス５０６、ＣＡ秘密鍵５０７、ＬＲＵ Ａ公開鍵５０８、ＬＲＵ Ａ秘密鍵５０９、ＬＲＵ Ｂ公開鍵５１７、ＬＲＵ Ｃ公開鍵５１８、及びＬＲＵ Ｄ公開鍵５１９は、飛行機の機内ＰＫＩ５０５を表す。記憶媒体デバイス５１５のコンテンツ（例えば、暗号化されたデータ５１６及びラップ鍵）は、前のＬＲＵ Ａの不具合以前に予め供給されている。

運航データ５２０をＬＲＵ Ａ５００のメモリ５１０に復元するために、鍵選択器／生成器５１１は、データ５１６の暗号化にＬＲＵ鍵のどの組み合わせ合わせが用いられたかを判定する。そのために、鍵選択器／生成器５１１は、用いられた公開鍵に対応する、記憶媒体デバイス５１５（図示せず）に記憶されたフィンガープリントに基づいて、組み合わせを識別し得る。例示的に、鍵選択器／生成器５１１は、（ＬＲＵ Ｃ５３０及びＬＲＵ Ｄ５３５それぞれから）公開鍵５３１及び５３６を識別する。鍵選択器／生成器５１１は、ＬＲＵ Ｃ５３０及びＬＲＵ Ｄ５３５とのＴＬＳセッションを確立して、公開鍵５３１及び５３６を取り出し得る。

暗号化／復号コンポーネント５１２は、ラップされた暗号化鍵５２２を取り出し得る。ラップされた暗号化鍵５２２は、公開鍵５３１及び５３６の組み合わせを用いてラップされたＡＥＳ暗号化鍵に対応する。鍵選択器／生成器５１１は、公開鍵５３１及び５３６に基づいて、ラップ鍵を生成する。次いで、暗号化／復号コンポーネント５１２は、生成された鍵を用いて運航データ５２０を復号する。これより、ＬＲＵ Ａ５００が運航データ５２０を取り出してメモリ５１０に記憶することが可能となる。

図６は、一態様による、運航データをＬＲＵに復元する方法６００を示す。単一障害点の ＬＲＵ（例えば、ＬＲＵ Ａ）に不具合が生じており、新しい対応するＬＲＵ（例えば、図５に示すＬＲＵ Ａ５００）と交換されると仮定する。記憶媒体デバイス（例えば、記憶媒体デバイス５１５）が、不具合が生じたＬＲＵから取り外されて交換用ＬＲＵに取り付けられると仮定する。

図示のように、方法６００はステップ６０５で開始される。ステップ６０５では、鍵選択器／生成器が、関連するＬＲＵからラップ鍵の生成に用いる公開鍵を得る。そのために、鍵選択器／生成器は、運航データの暗号化に使用するＡＥＳ鍵を暗号化するラップ鍵の生成にどの公開鍵が用いられたかを、例えば、記憶媒体デバイスに記憶されたフィンガープリントデータを評価することにより判定し得る。次いで、鍵選択器／生成器は各ＬＲＵとのＴＬＳセッションを確立する。これより、鍵選択器／生成器がＬＲＵから公開鍵を安全に得ることが可能となる。ステップ６１０で、鍵選択器／生成器は、取得した公開鍵に基づいて鍵を生成することにより、ラップ鍵を再生する。次いで、このラップ鍵を用いて、ＬＲＵ上で作動する暗号化／復号コンポーネントがＡＥＳ暗号化鍵をアンラップし得る。

ステップ６１５で、暗号化／復号コンポーネントは、記憶媒体デバイス上の暗号化されたデータを復号する。ＬＲＵ Ａは、（ステップ６２０で）暗号化されたデータから運航データを復旧し、その後、ＬＲＵ Ａのメモリに暗号化されていない運航データを記憶する。ステップ６２５で、ＬＲＵ Ａは、ＬＲＵ Ａ上で作動するＣＡサービスを初期化し得る。ＣＡサービスは、ＬＲＵに保持されている現在の鍵データを失効させる。次に、各ＬＲＵは、公開／秘密鍵ペアを再生成し、ＬＲＵ Ａの初期化されたＣＡで新しい鍵を認証する。ＬＲＵ Ａは、新しく生成された公開鍵を用いて運航データを再暗号化し得、暗号化された運航データを記憶媒体デバイスに記憶し得る。

図７は、一態様による、ＬＲＵの不具合の後に運航データを記憶媒体デバイスへの保管の一例を示す。具体的には、例７００は、ＬＲＵ Ａ以外のＬＲＵに不具合が生じた場合に引き起こされるプロセスを示している。即ち、ラップ鍵の生成に用いる公開鍵を有しているＬＲＵのうちの１つに不具合が生じた場合、既存のＰＫＩ鍵を失効させて運航データを再暗号化することが望ましい。この例で、図示されている各公開鍵が新しく生成されていると仮定する。この例で、ＬＲＵ Ｄに不具合が生じ、新しいＬＲＵ Ｄ７３５と交換されると仮定する。図７に示すコンピューティング環境は、ＬＲＵ Ａ７００を含む。ＬＲＵ Ａ７００は更に、ＣＡサービス７０６、ＣＡ秘密鍵７０７、ＬＲＵ Ａ公開鍵７０８、ＬＲＵ Ａ秘密鍵７０９、メモリ７１０、鍵選択器／生成器７１１、及び暗号化／復号コンポーネント７１２を含む。記憶媒体デバイス７１５は、暗号化されたデータ７１６、ラップされた暗号化鍵７２１、ラップされた暗号化鍵７２２、及びラップされた暗号化鍵７２３を含む。ＬＲＵ Ｂは、公開鍵７２６及び秘密鍵７２７を含む。ＬＲＵ Ｃは、公開鍵７３１及び秘密鍵７３２を含む。ＬＲＵ Ｄ７３５は、公開鍵７３６及び秘密鍵７３７を含む。

暗号化されたデータ７１６は、対応するＬＲＵ Ｂ公開鍵７１７、ＬＲＵ Ｃ公開鍵７１８、及びＬＲＵ Ｄ公開鍵７１９を含む。ＣＡサービス７０６、ＣＡ秘密鍵７０７、ＬＲＵ Ａ公開鍵７０８、ＬＲＵ Ａ秘密鍵７０９、ＬＲＵ Ｂ公開鍵７１７、ＬＲＵ Ｃ公開鍵７１８、及びＬＲＵ Ｄ公開鍵７１９は、飛行機の機内ＰＫＩ７０５を表す。記憶媒体デバイス７１５のコンテンツ（例えば、暗号化されたデータ７１６及びラップ鍵）は、前のＬＲＵ Ａの不具合以前に予め供給されている。

ＣＡサービス７０６は、ＬＲＵのうちの１つに不具合が生じた（又はその他の方式でオフラインとなった）ことを検知すると、そのＬＲＵの鍵ペアを失効させ得る。各ＬＲＵは、新しい鍵ペアを生成し、その鍵ペアをＣＡサービス７０６で再認証し得る。更に、鍵選択器／生成器７１１は、運航データの暗号化に用いる新しいＡＥＳを生成し得る。更に、鍵選択器／生成器７１１は、データを暗号化するラップ鍵を生成するための （且つ／又は、記憶媒体デバイス上の暗号化されていないデータのＭＡＣを生成するための署名鍵として用いられる）ＬＲＵ公開鍵の新しい組み合わせを決定し得る。例示的に、鍵選択器／生成器７１１は、ＬＲＵ Ｂ公開鍵７２６とＬＲＵ Ｃ公開鍵７３１とを用いてラップ鍵を生成する。更に、鍵選択器／生成器７１１は、ＬＲＵ公開鍵データの様々な組み合わせを用いてラップ鍵を生成する。暗号化／復号コンポーネント７１２は、ＡＥＳ暗号化鍵を用いてデータを再暗号化し得る。その後、暗号化／復号コンポーネント７１２は、選択されたラップ鍵を用いてＡＥＳ暗号化鍵を暗号化し得る。鍵選択器／生成器７１１は、ラップされた暗号化鍵を記憶媒体デバイス７１５に記憶し得る。

図８は、一態様による、運航データを記憶媒体デバイスに保管するように設定された例示的な列線交換ユニット（ＬＲＵ）８００を示す。図示のように、ＬＲＵ８００は、非限定的に、バス８１７にそれぞれ接続された、中央処理装置（ＣＰＵ）８０５、ネットワークインターフェース８１５、メモリ８２０、及びストレージ８３０を含む。ＬＲＵ８００は、入出力装置８１２をＬＲＵ８００に接続する入出力装置インターフェース８１０も含み得る。更に、本開示の文脈では、ＬＲＵ８００に示されているコンピューティング要素が、飛行機内で作動するフィジカルコンピューティングシステムに対応し得る。

ＣＰＵ８０５は、メモリ８２０に記憶されたプログラミング命令を取り出して実行するとともに、ストレージ８３０に存在するアプリケーションデータを記憶して取り出す。ＣＰＵ８０５、入出力装置インターフェース８１０、ストレージ８３０、ネットワークインターフェース８１５、及びメモリ８２０間でプログラミング命令及びアプリケーションデータを伝送するのに、バス８１７が用いられる。ＣＰＵ８０５は、単一のＣＰＵ、複数のＣＰＵ、複数のプロセッサコアを有する単一のＣＰＵなどを表すものとして含まれていることに留意されたい。メモリ８２０は、一般的に、ランダムアクセスメモリを表すものとして含まれている。ストレージ８３０はディスクドライブ記憶デバイスであり得る。ストレージ８３０は、単一のユニットとして示されているものの、固定式ディスクドライブ、取り外し可能なメモリカード、又は光学式ストレージ、ネットワーク接続型ストレージ（ＮＡＳ）、又はストレージエリアネットワーク（ＳＡＮ）などの、固定式及び／又は取り外し可能な記憶デバイスの組み合わせであってもよい。

例示的に、メモリ８２０は、ＣＡサービス８２２、鍵選択器／生成器８２４、暗号化／復号コンポーネント８２６、及びＭＡＣ生成コンポーネント８２８を含む。ストレージ８３０は運航データ８３２を含む。一態様では、ＬＲＵ８００は、飛行機のネットワークファイルサーバ（ＮＦＳ）を表す。ＬＲＵ８００は、飛行機の運航にとって重要であり得る運航データ８３２を保持している。ＬＲＵ８００は、取り外し可能な記憶媒体デバイス（図示せず）に運航データ８３２のバックアップを保持している。

運航データ８３２を保管するために、鍵選択器／生成器８２４は、例えば、ＡＥＳ鍵生成アルゴリズムを用いて暗号化鍵を生成する。更に、鍵選択器／生成器８２４は、ＡＥＳ暗号化鍵のラップに用いる一以上の他の暗号化鍵を生成する。各ラップ鍵は、飛行機内で作動する２つ以上の他のＬＲＵのＰＫＩデータ（例えば、公開鍵）に基づいて生成され得る。暗号化／復号コンポーネント８２６は、運航データ８３２を暗号化し、暗号化されたデータを取り外し可能な記憶媒体デバイスに記憶し得る。更に、ＭＡＣ生成コンポーネント８２８は、ＡＥＳ暗号化鍵に基づいて、記憶媒体デバイスに記憶された暗号化されていないデータセットのＭＡＣを生成し得る。

暗号化／復号コンポーネント８２６は、生成されたラップ鍵のうちの１つを用いてＡＥＳ暗号化鍵を暗号化し得る。ラップされると、暗号化／復号コンポーネント８２６は、ラップされた鍵を取り外し可能な記憶媒体デバイスの暗号化されていない区画に記憶する。暗号化／復号コンポーネント８２６は、ラップ鍵の生成に用いられた公開鍵のフィンガープリントデータも記憶する。

様々な態様の記載は、例示を目的として提示されているものであり、網羅的であること、又は本開示の態様に限定されることは意図していない。当業者には、記載した態様の範囲及び精神から逸脱することなく、多数の修正形態及び変形形態が明らかであろう。本書で使用される用語は、市場において見られる技術の諸態様、実際的な施用、もしくは技術的改良の原理を最も良く説明するため、又は本明細書で開示する諸態様を他の当業者に理解せしめるために、選択されたものである。

以下で、本開示で提示される諸態様が参照される。しかし、本開示の範囲は、記載される具体的な諸態様に限定されない。代わりに、検討される諸態様の実装及び実施のため、種々の諸態様に関連しているかどうかに関わらず、以下の特徴及び要素の任意の組み合わせが検討される。さらに、本明細書で開示される諸態様によって他の可能な解決法又は先行技術と比べた利点が達成可能であるかもしれないが、具体的な利点が所与の態様によって達成されるかどうかは、本開示の範囲を限定するものではない。したがって、以下の態様、特徴、及び利点は、単なる例示であり、添付の特許請求の範囲で明示されていない限り、特許請求の範囲の要素であると考えられたり又は特許請求の範囲を限定すると考えられたりすべきではない。

本開示の諸態様は、専らハードウェアである態様、専らソフトウェア（ファームウェア、常駐ソフトウェア、マイクロコードなどを含む）である態様、又はソフトウェアとハードウェアの態様を組み合わせた態様の形式をとり得る。本書では、それらは全て「回路」、「モジュール」又は「システム」と広く称され得る。

本開示の諸態様は、システム、方法、及び／又はコンピュータプログラム製品であり得る。コンピュータプログラム製品は、本明細書に記載の諸態様をプロセッサに実行させるコンピュータ可読プログラム命令を内に有する、非一過性コンピュータ可読記憶媒体（単数又は複数）を含み得る。

コンピュータ可読記憶媒体は、命令実行装置によって使用される命令を保持及び記憶することが可能な、有形の装置であり得る。コンピュータ可読記憶媒体は、限定しないが例として、電子記憶装置、磁気記憶装置、光学記憶装置、電磁記憶装置、半導体記憶装置、又はこれらの任意の適切な組み合わせであり得る。コンピュータ可読記憶媒体のより具体的な非網羅的リストには、ポータブルコンピュータ用フロッピーディスク、ハードディスク、ランダムアクセスメモリ（ＲＡＭ）、読み出し専用メモリ（ＲＯＭ）、消去可能プログラマブル読出し専用メモリ（ＥＰＲＯＭ又はフラッシュメモリ）、スタティックランダムアクセスメモリ（ＳＲＡＭ）、持ち運び可能なコンパクトディスク読出し専用メモリ（ＣＤ−ＲＯＭ）、デジタル多用途ディスク（ＤＶＤ）、メモリースティック、フロッピーディスク、パンチカード又は記録された命令を有する溝内の隆起構造といった機械的にエンコードされた装置、及びこれらの任意の適切な組み合わせ、が含まれる。コンピュータ可読記憶媒体とは、本明細書で使用される場合、電波もしくは他の自由に伝播する電磁波、導波管もしくは他の伝送媒体を通って伝播する電磁波（例えば光ファイバーケーブルを通過する光パルス）、又は電線を通って伝送される電気信号といった、一過性信号それ自体と解釈されるべきではない。

本明細書に記載のコンピュータ可読プログラム命令は、コンピュータ可読記憶媒体から各コンピューティング装置／プロセッシング装置に対して、又は、例えばインターネット、ローカルエリアネットワーク、ワイドエリアネットワーク及び／もしくはワイヤレスネットワークといったネットワークを経由して外部のコンピュータもしくは外部記憶装置に対して、ダウンロード可能である。ネットワークは、銅の伝送ケーブル、光伝送ファイバー、無線伝送、ルータ、ファイアウォール、スイッチ、ゲートウェイコンピュータ、及び／又はエッジサーバを含み得る。各コンピューティング／プロセッシング装置のネットワークアダプタカード又はネットワークインターフェースは、ネットワークからコンピュータ可読プログラム命令を受信し、各コンピューティング／プロセッシング装置内のコンピュータ可読記憶媒体内に保存するために、該コンピュータ可読プログラム命令を転送する。

本開示の動作を実行するコンピュータ可読プログラム命令は、アセンブラ命令、命令セットアーキテクチャ（ＩＳＡ）命令、機械語命令、機械依存命令、マイクロコード、ファームウェア命令、状態設定データ、又は、スモールトーク、Ｃ^＋＋などといったオブジェクト指向プログラミング言語、及び、プログラミング言語「Ｃ」又は同様のプログラミング言語といった従来型の手続き型プログラミング言語を含む、１以上のプログラミング言語の任意の組み合わせによって書かれたソースコードもしくはオブジェクトコードであり得る。コンピュータ可読プログラム命令は、完全にユーザのコンピュータ上で、スタンドアロンのソフトウェアパッケージとして部分的にユーザのコンピュータ上で、部分的にユーザのコンピュータ上且つ部分的にリモートコンピュータ上で、又は完全にリモートのコンピュータもしくはサーバ上で、実行され得る。後者の場合、リモートコンピュータは、ローカルエリアネットワーク（ＬＡＮ）もしくはワイドエリアネットワーク（ＷＡＮ）を含む任意のタイプのネットワークを介してユーザのコンピュータに接続され得るか、又は、（例えば、インターネットサービスプロバイダを利用してインターネットを介して）外部のコンピュータへの接続がなされてもよい。幾つかの態様では、例えば、プログラム可能論理回路、フィールドプログラマブルゲートアレイ（ＦＰＧＡ）、又はプログラム可能論理アレイ（ＰＬＡ）を含む電子回路は、本開示の諸態様を実行する目的で該電子回路をカスタマイズするために、コンピュータ可読プログラム命令の状態情報を利用することによってコンピュータ可読プログラム命令を実行してよい。

本明細書に記載の諸態様による方法、装置（システム）、及びコンピュータプログラム製品のフロー図及び／又はブロック図を参照して、本明細書で提示される諸態様が記載されている。フロー図及び／又はブロック図の各ブロック、並びにフロー図及び／又はブロック図のブロックの組み合わせが、コンピュータ可読プログラム命令によって実行可能であることは、理解されよう。

これらのコンピュータ可読プログラム命令は、コンピュータ又は他のプログラマブルデータ処理装置のプロセッサを介して実行を行う命令が、フロー図及び／又はブロック図の１又は複数のブロック内で特定されている機能／作用を実装するための手段を生成するように、汎用コンピュータ、特殊用途コンピュータ、又は、機器を作製するための他のプログラマブルデータ処理装置のプロセッサに、提供され得る。これらのコンピュータ可読プログラム命令は、コンピュータに命令可能なコンピュータ可読記憶媒体内、プログラム可能なデータ処理装置内、及び／又は特有の方法で機能する他の装置内にもまた、記憶され得る。それによって、命令が記憶されているコンピュータ可読記憶媒体には、該フロー図及び／又はブロック図の単数もしくは複数のブロックで明記されている機能／動作の態様を実装する命令を含む製品が、含まれる。

コンピュータ可読プログラム命令は、一連の動作ステップをコンピュータ上、他のプログラム可能な装置上、又はコンピュータに実装される処理を生み出す他の装置上で実行させるために、コンピュータ、他のプログラム可能なデータ処理装置、又は他の装置に搭載されてもまた、よい。これによって、コンピュータ上、他のプログラム可能な装置上、又は他の装置上で実行される命令は、該フロー図及び／又はブロック図の単数もしくは複数のブロックで明記されている機能／動作を実装する。

図面のフロー図及びブロック図は、本開示の様々な実施形態によるシステム、方法及びコンピュータプログラム製品の可能な態様のアーキテクチャ、機能性、及び操作を示すものである。その際、フロー図及びブロック図の各ブロックは、特定の一又は複数の論理機能を実装するための一又は複数の実行可能な命令を含むコードのモジュール、セグメント、又は部分を表し得る。幾つかの代替的な実施態様では、ブロックに記載された機能は図面に記載された順序を逸脱して現われることがある。例えば、場合によっては、連続して示されている２つのブロックがほぼ同時に実行されてもよく、或いは含まれる機能によってはブロックは逆の順に実行されてもよい。ブロック図及び／又はフロー図の各ブロック、並びにブロック図及び／又はフロー図のブロックの組み合わせは、特定機能又は作業を行う特殊用途のハードウェアベースのシステムによって実行可能であるか、又は特殊用途のハードウェア及びコンピュータ命令の組み合わせによって実行可能である。

更に、本発明は下記の条項による実施形態を含む。

条項１
複数の列線交換ユニット（ＬＲＵ）の第１のＬＲＵによって、第１の暗号化鍵を生成すること、
第１の暗号化鍵を用いて、第１のＬＲＵに取り付け可能な記憶媒体デバイスにバックアップデータとして記憶されている特定のデータを暗号化すること、
複数のＬＲＵのうちの少なくとも第２のＬＲＵの鍵データに基づいて、第２の暗号化鍵を生成すること、及び
第２の暗号化鍵を用いて、第１の暗号化鍵を暗号化すること
を含む、方法。

条項２
暗号化された特定のデータと、暗号化された第１の暗号化鍵とを、記憶媒体デバイスに記憶することを更に含む、条項１に記載の方法。

条項３
第１のＬＲＵの交換用ＬＲＵによって、少なくとも第２のＬＲＵの鍵データに基づいて、第２の暗号化鍵を生成すること、
記憶媒体デバイスに記憶された、暗号化された第１の暗号化鍵を復号すること、
暗号化された特定のデータを復号すること、及び
特定のデータを交換用ＬＲＵに復元すること
を更に含む、条項２に記載の方法。

条項４
暗号化された特定のデータが、記憶媒体デバイスの暗号化された区画に記憶され、暗号化された第１の暗号化鍵が、記憶媒体デバイスの暗号化されていない区画に記憶される、条項２に記載の方法。

条項５
複数のＬＲＵが飛行機で作動し、特定のデータが飛行機の運航データである、条項１に記載の方法。

条項６
第２の暗号化鍵を用いて第１の暗号化鍵を暗号化する前に、
第１の暗号化鍵を署名鍵として用いて、記憶媒体デバイスに保持されている一以上のデータセットのメッセージ認証コード（ＭＡＣ）を生成すること
を更に含む、条項１に記載の方法。

条項７
第２の暗号化鍵を生成する前に、
少なくとも第２のＬＲＵとのトランスポートレイヤセキュリティ（ＴＬＳ）コネクションを確立すること、及び
ＴＬＳコネクションを通じて、第２のＬＲＵから鍵データを取り出すこと
を更に含む、条項１に記載の方法。

条項８
非一過性コンピュータ可読記憶媒体であって、実行すると、
複数の列線交換ユニット（ＬＲＵ）の第１のＬＲＵによって、第１の暗号化鍵を生成すること、
第１の暗号化鍵を用いて、第１のＬＲＵに取り付け可能な記憶媒体デバイスにバックアップデータとして記憶されている特定のデータを暗号化すること、
複数のＬＲＵのうちの少なくとも第２のＬＲＵの鍵データに基づいて、第２の暗号化鍵を生成すること、及び
第２の暗号化鍵を用いて、第１の暗号化鍵を暗号化すること
を含む工程を実施する命令を有した、非一過性コンピュータ可読記憶媒体。

条項９
工程が、
暗号化された特定のデータと、暗号化された第１の暗号化鍵とを、記憶媒体デバイスに記憶することを更に含む、条項８に記載のコンピュータ可読記憶媒体。

条項１０
工程が、
第１のＬＲＵの交換用ＬＲＵによって、少なくとも第２のＬＲＵの鍵データに基づいて、第２の暗号化鍵を生成すること、
記憶媒体デバイスに記憶された、暗号化された第１の暗号化鍵を復号すること、
暗号化された特定のデータを復号すること、及び
特定のデータを交換用ＬＲＵに復元すること
を更に含む、条項９に記載のコンピュータ可読記憶媒体。

条項１１
暗号化された特定のデータが、記憶媒体デバイスの暗号化された区画に記憶され、暗号化された第１の暗号化鍵が、記憶媒体デバイスの暗号化されていない区画に記憶される、条項９に記載のコンピュータ可読記憶媒体。

条項１２
複数のＬＲＵが飛行機で作動し、特定のデータが飛行機の運航データである、条項８に記載のコンピュータ可読記憶媒体。

条項１３
工程が、第２の暗号化鍵を用いて第１の暗号化鍵を暗号化する前に、
第１の暗号化鍵を署名鍵として用いて、記憶媒体デバイスに保持されている一以上のデータセットのメッセージ認証コード（ＭＡＣ）を生成すること
を更に含む、条項８に記載のコンピュータ可読記憶媒体。

条項１４
工程が、第２の暗号化鍵を生成する前に、
少なくとも第２のＬＲＵとのトランスポートレイヤセキュリティ（ＴＬＳ）コネクションを確立すること、及び
ＴＬＳコネクションを通じて、第２のＬＲＵから鍵データを取り出すこと
を更に含む、条項８に記載のコンピュータ可読記憶媒体。

条項１５
複数のＬＲＵのうちの第１の列線交換ユニット（ＬＲＵ）を表すシステムであって、
プロセッサと、
プログラムコードを記憶しているメモリであって、プログラムコードは、プロセッサ上で実行されると、
第１の暗号化鍵を生成すること、
第１の暗号化鍵を用いて、システムに取り付け可能な記憶媒体デバイスにバックアップデータとして記憶されている特定のデータを暗号化すること、
複数のＬＲＵの少なくとも第２のＬＲＵの鍵データに基づいて、第２の暗号化鍵を生成すること、及び
第２の暗号化鍵を用いて、第１の暗号化鍵を暗号化すること
を含む工程を実施する、メモリと
を含む、システム。

条項１６
工程が、
暗号化された特定のデータと、暗号化された第１の暗号化鍵とを、記憶媒体デバイスに記憶することを更に含む、条項１５に記載のシステム。

条項１７
暗号化された特定のデータが、記憶媒体デバイスの暗号化された区画に記憶され、暗号化された第１の暗号化鍵が、記憶媒体デバイスの暗号化されていない区画に記憶される、条項１６に記載のシステム。

条項１８
複数のＬＲＵが飛行機で作動し、特定のデータが飛行機の運航データである、条項１５に記載のシステム。

条項１９
工程が、
第２の暗号化鍵を用いて第１の暗号化鍵を暗号化する前に、
第１の暗号化鍵を署名鍵として用いて、記憶媒体デバイスに保持されている一以上のデータセットのメッセージ認証コード（ＭＡＣ）を生成すること
を更に含む、条項１５に記載のシステム。

条項２０
工程が、第２の暗号化鍵を生成する前に、
少なくとも第２のＬＲＵとのトランスポートレイヤセキュリティ（ＴＬＳ）コネクションを確立すること、及び
ＴＬＳコネクションを通じて、第２のＬＲＵから鍵データを取り出すこと
を更に含む、条項１５に記載のシステム。

上記は本開示の諸態様を対象としているが、その基本的な範囲及び以下の特許請求の範囲によって決定されるその範囲を逸脱することなく、本開示の他の、及び更なる態様が考案され得る。

Claims (13)

1. 複数の列線交換ユニット（ＬＲＵ）の第１のＬＲＵによって、第１の暗号化鍵を生成すること、
   前記第１の暗号化鍵を用いて、前記第１のＬＲＵに取り付け可能な記憶媒体デバイスにバックアップデータとして記憶されている特定のデータを暗号化すること、
   前記複数のＬＲＵのうちの少なくとも第２のＬＲＵの鍵データに基づいて、第２の暗号化鍵を生成すること、及び
   前記第２の暗号化鍵を用いて、前記第１の暗号化鍵を暗号化すること
   を含む、方法。
2. 前記暗号化された特定のデータと、前記暗号化された第１の暗号化鍵とを、前記記憶媒体デバイスに記憶することを更に含む、請求項１に記載の方法。
3. 前記第１のＬＲＵの交換用ＬＲＵによって、少なくとも前記第２のＬＲＵの前記鍵データに基づいて、前記第２の暗号化鍵を生成すること、
   前記記憶媒体デバイスに記憶された、前記暗号化された第１の暗号化鍵を復号すること、
   前記暗号化された特定のデータを復号すること、及び
   前記特定のデータを前記交換用ＬＲＵに復元すること
   を更に含む、請求項２に記載の方法。
4. 前記暗号化された特定のデータが前記記憶媒体デバイスの暗号化された区画に記憶され、前記暗号化された第１の暗号化鍵が前記記憶媒体デバイスの暗号化されていない区画に記憶される、請求項２に記載の方法。
5. 前記複数のＬＲＵが飛行機で作動し、前記特定のデータが前記飛行機の運航データである、請求項１に記載の方法。
6. 前記第２の暗号化鍵を用いて前記第１の暗号化鍵を暗号化する前に、
   前記第１の暗号化鍵を署名鍵として用いて、前記記憶媒体デバイスに保持されている一以上のデータセットのメッセージ認証コード（ＭＡＣ）を生成すること
   を更に含む、請求項１に記載の方法。
7. 前記第２の暗号化鍵を生成する前に、
   少なくとも前記第２のＬＲＵとのトランスポートレイヤセキュリティ（ＴＬＳ）コネクションを確立すること、及び
   前記ＴＬＳコネクションを通じて、前記第２のＬＲＵから前記鍵データを取り出すこと
   を更に含む、請求項１に記載の方法。
8. 複数の列線交換ユニット（ＬＲＵ）のうちの第１のＬＲＵを表すシステムであって、
   プロセッサと、
   プログラムコードを記憶しているメモリであって、前記プログラムコードは、前記プロセッサ上で実行されると、
   第１の暗号化鍵を生成すること、
   前記第１の暗号化鍵を用いて、前記システムに取り付け可能な記憶媒体デバイスにバックアップデータとして記憶されている特定のデータを暗号化すること、
   前記複数のＬＲＵの少なくとも第２のＬＲＵの鍵データに基づいて、第２の暗号化鍵を生成すること、及び
   前記第２の暗号化鍵を用いて、前記第１の暗号化鍵を暗号化すること
   を含む工程を実施する、メモリと
   を含む、システム。
9. 前記工程が、
   前記暗号化された特定のデータと、前記暗号化された第１の暗号化鍵とを、前記記憶媒体デバイスに記憶することを更に含む、請求項８に記載のシステム。
10. 前記暗号化された特定のデータが前記記憶媒体デバイスの暗号化された区画に記憶され、前記暗号化された第１の暗号化鍵が前記記憶媒体デバイスの暗号化されていない区画に記憶される、請求項９に記載のシステム。
11. 前記複数のＬＲＵが飛行機で作動し、前記特定のデータが前記飛行機の運航データである、請求項８に記載のシステム。
12. 前記工程が、
    前記第２の暗号化鍵を用いて前記第１の暗号化鍵を暗号化する前に、
    前記第１の暗号化鍵を署名鍵として用いて、前記記憶媒体デバイスに保持されている一以上のデータセットのメッセージ認証コード（ＭＡＣ）を生成すること
    を更に含む、請求項８に記載のシステム。
13. 前記工程が、前記第２の暗号化鍵を生成する前に、
    少なくとも前記第２のＬＲＵとのトランスポートレイヤセキュリティ（ＴＬＳ）コネクションを確立すること、及び
    前記ＴＬＳコネクションを通じて、前記第２のＬＲＵから前記鍵データを取り出すこと
    を更に含む、請求項８に記載のシステム。

Images