JP2017535897A

JP2017535897A - インフラストラクチャを保護するための自律制御システムおよび方法

Info

Publication number: JP2017535897A
Application number: JP2017543314A
Authority: JP
Inventors: ジャスティン、ロナルド・ランス; エルデン、チャールズ; カッロ、ジャレド; タッカー、マーク
Original assignee: テンポラルディフェンスシステムズ，エルエルシー
Priority date: 2014-11-06
Filing date: 2015-11-05
Publication date: 2017-11-30
Also published as: CA2966745A1; AU2015343009A1; EP3215970A4; KR20170078734A; CN107209486A; EP3215970A1; WO2016073751A1

Abstract

ルールの自律行使のためのシステムは、入力信号に応じて動作する、インフラストラクチャを含む、保護されるシステムと、自律制御システムとを備えることができる。自律制御システムは、ルールの違反について入力信号をモニタするために入力信号に結合されるモニタ回路と、違反する入力信号が保護されるシステムに影響を与えることを防止する、保護されるシステムに結合されるアクション回路とを含むことができる。

Description

関連出願

この出願は、参照によって全体がこの中に組み込まれる、２０１４年１１月６日に出願された米国仮特許出願第６２／０７６，１６４号の出願日の利益を請求する。この出願は、また、参照により、その全体において、２０１４年１０月２４日に出願された米国特許出願第１４／５２３，５７７号を組み込む。

図１は、本発明の実施形態に係る、保護されたシステム、自律制御システム、および、入力デバイスである。図２は、本発明の実施形態に係る、シリアルにインターフェースされた自律制御システムである。図３は、本発明の実施形態に係る、制御方法を示すフロー図である。図４は、本発明の実施形態に係る、シリアルにインターフェースされた自律制御システムである。図５は、本発明の実施形態に係る、シリアルにインターフェースされた自律制御システムの動作を示す概略図である。図６は、本発明の実施形態に係る、シリアルにインターフェースされた自律制御システムである。図７は、本発明の実施形態に係る、パラレルにインターフェースされた自律制御システムである。図８は、本発明の実施形態に係る、パラレルにインターフェースされた自律制御システムである。図９は、本発明の実施形態に係る、パラレルにインターフェースされた自律制御システムの動作を示す概略図である。図１０は、本発明の実施形態に係る、シリアルに、および、パラレルにインターフェースされた自律制御システムである。図１１は、本発明の実施形態に係る、通信バスを備えた自律制御システムである。図１２は、本発明の実施形態に係る、半導体マルチチップモジュールを含む自律制御システムである。図１３は、本発明の実施形態に係る、インタポーザＰＣＢ上で外部に設けられた自律制御システムである。図１４は、本発明の実施形態に係る、自律制御システムの耐タンパ機能を示すフロー図である。図１５は、本発明の実施形態に係る、安全な共調処理のために、ホストＣＰＵへのシステムサービスとして自律制御システムを使用する処理フローを示す。図１６は、本発明の実施形態に係る、認証／攪乱（disrupt）／修復ロジックを有するシリアルにインターフェースされた自律制御システムである。図１７は、本発明の実施形態に係る、マルチインターフェース自律制御システムである。図１８は、本発明の実施形態に係る、メモリマッピングされた周辺機器を含むエンドポイントである。

詳細な説明

電子的、機械的、化学的、および、生物学的システムは、致命的な障害につながり得る状態または一連の状態を有し得る。このような致命的な状態は、内部の自然的な影響力、外部の偶発的な影響力、または、外部の意図的な敵対する影響力から生じる可能性がある。産業システムにおいて、遠隔の制御や監視下にある作動デバイスまたはシステムは、故障、ユーザエラー、または、悪意のある、または、敵対する行為の結果として、制御システムによって許容され得る既知の有害な状態を有し得る。作動デバイスは、全体的な関連するシステムを、そのような引き起こされる状態から、損害を被らせ、劣化させ、または、自壊させつつ、そのようなコマンドまたは制限を超えた信号を受け入れ、実行し得る。例えば、引き起こされた有害なシステム状態は、速すぎるまたは遅すぎるプロセス速度、あまりにも大きく開いたり、または、あまりにもきつく閉じたりしているバルブ、または、高すぎるか、または、低すぎる圧力または温度であってもよい。多くのデバイスは、物理的または電子的に、これらの制限を超えた動作を防止するために、独自の内部的な安全策を欠いている可能性がある。

この中で記載されるシステムおよび方法は、システムの重要なコンポーネントを保護するために、ビジネスおよび／またはセキュリティルールに従って、入力および／または出力信号を監視し、修正または遮断し得る自律的な制御を提供することができる。信号修正および／または遮断は、望まれないシステムへの影響を最小限に抑えるか、または、防止するために、デバイスまたはシステム間の、および、デバイスまたはシステム内の制限を超えた接続信号が生じない、または、重要でない量の時間の間に生じるのみであることを保証し得る。（接続状態は、物理的な層レベルで特定の瞬時における、２つまたはそれより多くのデバイスまたはシステム間の監視された信号レベルまたはコマンドであってよい。物理的な層は、例えば、生の信号が伝送されるデバイスまたはシステムの最も低いハードウェア層であってよい。）ルールに違反する信号が検出されると、自律制御システム（例えば、回路）は、内部的にそれらをスイッチオフにすることによって、違反している信号を遮断し得る。回路は、代わりに、自律制御システムによる保護下の任意のデバイスまたはシステムであり得る、保護されたシステムに、信号を送らない、または、フェイルセーフ信号を送ることができる。回路は、例えば、システムのアップグレードに設計されること、または、システムに後付けされることにより、レガシーシステムとともに使用するために構成され得る。

この中に記載されるシステムおよび方法は、プロセッサとも呼ぶことができる、１つまたは複数のコンピュータを備え得る。コンピュータは、算術および／または論理演算を実行することができる任意のプログラム可能なマシンまたは複数のマシンであってよい。いくつかの実施形態では、コンピュータは、プロセッサ、メモリ、データ記憶デバイス、および／または、他の一般的に知られているか、または、新規のコンポーネントを備え得る。これらのコンポーネントは、物理的に、または、ネットワークまたは無線リンクを介して接続され得る。コンピュータは、また、上述のコンポーネントの動作を指示することができるソフトウェアを備え得る。コンピュータは、サーバ、ＰＣ、モバイルデバイス、ルータ、交換機、データセンター、分散コンピュータ、および、他の用語等、関連する分野において通常の技量を有する者によって一般的に使用される用語で呼ばれてよい。コンピュータは、ユーザ間および／または他のコンピュータ間の通信を容易にすることができ、データベースを提供することができ、データの分析および／またはデータの変換を実行することができ、および／または、他の機能を実行する。この中で使用されるそれらの用語が置き換え可能であり、記載された機能を実行することができる任意のコンピュータが使用され得ることは、通常の技量の者によって理解される。コンピュータは、ネットワークまたは複数のネットワークを介して相互にリンクされることができる。ネットワークは、コンピュータのいくつかまたはすべてが互いに通信することが可能であるような、完全にまたは部分的に相互接続された任意の複数のコンピュータであってよい。これは、コンピュータ間の通信がある場合には有線であってよいこと（例えば、イーサネット（登録商標）、同軸、光、または、他の有線接続を介して）、または、無線（例えば、ＷｉＦｉ、ＷｉＭａｘ、または、他の無線接続）であってよいことが、通常の技量を有する者によって理解される。コンピュータ間の接続は、ＴＣＰ等の都度接続を確立する（コネクション指向）プロトコル、または、ＵＤＰ等の、無接続型（コネクションレス）プロトコルを含む、任意のプロトコルを使用することができる。少なくとも２つのコンピュータがデータを交換し得る任意の接続は、ネットワークの基礎であることができる。

この中に記載された、いくつかの実施形態は、インターネット、または、工業制御システム（Industrial Control Systems：ＩＣＳ）および／または監視制御およびデータ収集（Supervisory Control and Data Acquisition：ＳＣＡＤＡ）システムへの他のネットワーク技術を上で接続された重要なインフラストラクチャを保護することができる。例えば、自律制御システムは、ＩＣＳ／ＳＣＡＤＡシステム（例えば、制御システムと、物理的プロセスのエンドポイントアクチュエータであるか、または、インテリジェントデバイスとのインターフェースにおいて制御システムに埋め込まれたインテリジェントデバイスとの間の接続）の最も低いレベルに置かれ得る。パデュー大企業参照アーキテクチャ（Purdue Enterprise Reference Architecture：ＰＥＲＡ）条項では、これはレベル０とレベル１のインターフェースであり、いくつかの場合では、悪意のある行為、または、物理的なプロセス上のユーザエラーやシステム誤作動に対する最後の可能な防御ラインである。

図１は、保護されるシステム１００を図示する。保護されるシステム１００は、入力デバイス１０２との通信をしている。入力デバイス１０２は、保護されるシステム１００に信号を送り、および／または、保護されるシステム１００から信号を受け取る。入力デバイスは、例えば、アナログまたはデジタル信号ポート、制御ノブ、タッチディスプレイ、キーボード、マウス、および／または、いくつかの他の周辺デバイスであってよい。入力デバイス１０２は、また、保護されたシステム１００のためのホストデバイス、または、ネットワーク上のデバイスであってもよい。いくつかの実施形態では、保護されるシステム１００は、ＩＣＳ／ＳＣＡＤＡエンドポイントであってよく、入力デバイス１０２は、プログラム可能な論理デバイス（programmable logic device：ＰＬＤ）、フィールド・プログラマブル・ゲート・アレイ（field programmable gate array：ＦＰＧＡ）、複合型のプログラム可能な論理デバイス（complex programmable logic device：ＣＰＬＤ）等を含み得るＩＣＳ／ＳＣＡＤＡシステムインターフェースであってよい。専用監視および作動デバイス（dedicated monitoring and action device：ＤＭＡＤ）と呼ばれ得る自律制御システム１０４は、入力デバイス１０２と保護されるシステム１００との間にシリアルに、および／または、入力デバイス１０２と保護されるシステム１００とにパラレルに、位置付けられ得る。以下でより詳細に記載されるように、自律制御システム１０４の様々な実施形態は、電子回路、ソフトウェアを実行するように構成されたプロセッサおよびメモリ、または、それらの組み合わせを備え得る。自律制御システム１０４は、内部的に安全である（例えば、暗号化や耐タンパ能力を含む）。自律制御システム１０４は、また、データの流れの両方向において、入力デバイス／ホスト１０２と保護されるシステム１００との間のデータ接続にシリアルまたはパラレルに明示され得、自律制御システム１０４は、保護されるシステムに来る入力信号と保護されるシステム１００から来る出力信号を監視することができる。

いくつかの実施形態では、自律制御システム１０４は、ルールを適用する決定論的競合状態を作成し得る。決定論的競合状態は、注入された信号のみが出力に影響を与える高い確実性のレベルが存在するように、注入された信号と到来する信号との間で意図的に誘起された競合状態であってよい。ルールに違反する信号が、保護されたシステム１００へ、または、保護されたシステム１００から、データバス上に現れる場合、自律制御システム１０４は、違反を検出するために競合（race）でき、シリアルにインターフェースされる場合には、信号を内部的にオフに切り替え、フェイルセーフ信号に置き換えるか、または、パラレルにインターフェースされる場合には、信号を修正しようと企てるかのいずれかをし得る。入ってくる、および／または、出ていく信号は、より多くの検出時間を与えるためにバッファされ、正当と認められた信号のみが、自律制御システム１０４によって保護されるシステム１００に、または、その逆に送信されることを保証し得る。

いくつかの実施形態では、自律制御システム１０４は、保護されたシステム１００において物理的に現れ、または、ダイ上のシリコンダイ、パッケージ上の集積回路パッケージ、モジュール上のモジュール化されたシステムモジュール、光ファイバ、無線周波数、ワイヤ、印刷回路基板トレース、量子エンタングルメント、または、分子、熱、原子または化学的な接続、等の様々な方法で、保護されたシステム１００または制御デバイスに物理的に接続され得る。

いくつかの実施形態では、自律制御システム１０４は、１つまたは複数のデバイスまたはシステム（例えば、入力デバイス１０２や保護されるシステム１００）との間をシリアル、パラレル、または、シリアルとパラレルの両方で接続する物理的なインターフェースを含み得る。物理的な接続タイプの各々は、有機的、電子的、または、無線周波数等の所与のアプリケーションやシステムタイプのための設計上の考慮事項とトレードオフの異なるセットを有し得る。例えば、電子システム、電圧インターフェースレベル、信号の完全性、ドライブ強度、耐タンパ性、および／または、誘起される伝搬遅延が、接続方法を決定するために評価され得る。

いくつかの実施形態では、自律制御システム１０４は、ホストシステムまたはデバイス上で特定のセキュリティやビジネスのルールを自律的に行使するために設計され、プログラムされ、および、位置付けられ得る耐タンパ態様と暗号化されたメモリストレージを有するコンピュータシステムであってよい。自律制御システム１０４は、処理ロジック、メモリストレージ、入力／出力バッファ、通信ポート、および／または、再プログラミングポート等のコンポーネントを含み得る。自律制御システム１０４は、任意の数のデバイスまたはシステムの間のリアルタイムの接続状態を絶えず分析し得、予め定義されたビジネスやセキュリティのルールを行使し得る。範囲外の状態が検出されると、自律制御システム１０４は、禁止された接続状態をブロックし、無視し、または、既知の良好な状態に変更し得る。同様な方法は、例えば、電子的な、光学的な、電子−機械的な、電磁的な、熱的な、生物学的な、化学的な、分子の、重力の、原子の、または、量子力学のシステムに適用されることができる。

いくつかの実施形態では、自律制御システム１０４は、刺激に決定論的に応答して自律的にふるまうようにプログラムされ得るプログラム可能なデバイスを含み得る。例えば、自律制御システム１０４は、ＦＰＧＡ、マイクロコントローラ（microcontroller：ＭＣＵ）、マイクロプロセッサ（microprocessor：ＭＰＵ）、ソフトウェアによって定義・制御可能な無線（software-defined radio）、電気光学デバイス、量子コンピューティングデバイス、有機化合物、プログラム可能な物、または、プログラム可能な生物学的ウイルスを含み得る。自律制御システム１０４は、保護されるシステム１００に直接に、または、保護されるシステム１００上で動作する１つまたは複数の制御デバイスに接続されることができる。自律制御システム１０４は、ダイ上のシリコンダイ、パッケージ上の集積回路パッケージ、モジュール上のモジュール化されたシステムモジュール、光ファイバ、無線周波数、ワイヤ、プリント回路基板トレース、量子もつれ、分子、熱、原子、または、化学的手段によって等、物理的に接続され得る。

いくつかの実施形態において、自律制御システム１０４は、それが、保護されるシステム１００が提供するよりも強力な認証方法とアクセス制御を用いてアクセスされ、または、変更され得るのみであるように、保護されるシステム１００のメモリから隔離したデータ（暗号化証明書またはシステム記録等）を安全に格納することができる。例えば、自律制御システム１０４は、セキュリティスコアリング方法を実装するためにコンピュータシステムによって使用され得る（例えば、自律制御システム１０４は、セキュリティ証明書と要件情報の記憶のために使用され得る）。さらに、セキュリティスコアリング方法は、セキュリティスコア情報に基づいて、外部のリソースの妥当性確認／検証、認証、および、認可のために自律制御システム１０４を利用し得る。保存されたデータは、例えば、他のシステムと組み合わせて、セキュリティの完全性の検証のために使用することができる。

いくつかの実施形態では、自律制御システム１０４は、内部システムコンポーネント、データ、および／または、外部インターフェースデバイスの完全性と真正性を保証するために、電子的なシステムの内部に、電子的暗号公開鍵基盤（cryptographic public-key infrastructure：ＰＫＩ）を実装するために使用され得る。加えて、これらの証明書は、メッセージの機密性、完全性、および／または、真正性を保証して、安全な通信のために利用し得る。例えば、電子的暗号ＰＫＩを実装し、行使する自律制御システム１０４は、システムの初期製造中にプログラムされ得る公開鍵またはグローバル一意識別子（Globally Unique Identifier：ＧＵＩＤ）を含む読み出し専用メモリ（read-only memory：ＲＯＭ）パーティションを含むことができる。そして、秘密鍵は、自律制御システム１０４の最初の起動時に、例えば、ＲＳＡおよびＸ．５０９証明書等の業界標準の暗号化方法を用いて、自律制御システム１０４によって内部的に生成され得る。次に、この秘密鍵は、メーカーの証明機関（certificate authority：ＣＡ）または承認された第三者ＣＡによって署名され得る、証明書要求を生成するために使用され得る。そして、署名された証明書は、自律制御システム１０４のＲＯＭに安全に記憶され得る。次に、この証明書は、データのデジタル署名と暗号化／復号化を可能にするために使用され得る。電子的暗号ＰＫＩを実装する自律制御システム１０４は、このような機能を追加するために、電子的暗号ＰＫＩを実装しない保護されるシステム１００の中に後付けすることができる。これは、加えられた安全性にために保護されるシステム１００にアクセスできない場所に記憶される秘密鍵を有するという利点を有し得る。

いくつかの実施形態では、自律制御システム１０４は、内部の保護されるシステム１００のコンポーネントが真正であり、他（内部の保護されるシステム１００および／または外部入力デバイス１０２）のコンポーネントもＰＫＩを実装し得、公開鍵が交換され、記憶され、認証され得ることを正当と認めるために、電子的暗号ＰＫＩとともに用いられ得る。ＰＫＩを実装する保護されるシステム１００または入力デバイス１０２のコンポーネントが不正に干渉されていた、および、偽造バージョンで置き換えられた場合、自律制御システム１０４は、偽造のデバイスの署名が、非存在であるか、または、現物の署名とは異なるかのいずれかであるから、偽造を検出することが可能であり得る。

いくつかの実施形態では、自律制御システム１０４は、保護されるシステム１００と他（例えば、外部入力デバイス１０２）のシステムのコンポーネント内のデータ完全性を保証するために、暗号化方法（ＰＫＩ等）を利用することがでる。自律制御システムは、また、何らかの方法で変更されていないデータを保証する暗号化方法を実装することができる。加えて、データの発信元が証明され、または、正当と認められ得るので、データの真正性が保証され得る。例えば、自律制御システム１０４は、周辺機器に向けられるメッセージを暗号化し、周辺機器から受け取られるメッセージを検証するために、周辺機器の公開鍵を使用してもよい。

いくつかの実施形態では、自律制御システム１０４は、電子的暗号ＰＫＩを実装し得、仮想システムの暗号署名されたハッシュを生成し、それらのハッシュを記憶することによって、仮想マシンおよび／またはハイパーバイザ（一般に、「仮想システム」と呼ばれる）の完全性と真正性を保証することもできる。そして、自律制御システム１０４は、ハッシュを再計算し、それを記憶された値と比較することにより、仮想システムの真正性および完全性を検証することができる。さらに、自律制御システム１０４は、受け取られた任意のコマンドが保護されるシステム１００に到達しないように、フルタイムで、予め定められた、または、ランダム化された時間期間で、および／または、予め定められた、または、ランダム化された持続期間の間、保護されるシステム１００をエミュレートすることができ、それによって保護されるシステム１００への影響を防止する。この動作のモードは、テストのために、または、実際に、悪意が保護されるシステム１００において決して動かされない場合、攻撃が成功したという印象を攻撃者に与えるために、使用され得る。自律制御システム１０４は、禁止された接続状態、コマンド、および／または、コマンドのシーケンスが検出された場合、脅威を無力化し得る攻撃的手段を含み得る。例えば、権限のない接続がＵＳＢポート上で検出された場合、自律制御システム１０４は、それに損傷を与えるか、または、無力化するために、ＵＳＢ周辺入力デバイス１０２に信号を注入し得る。

いくつかの実施形態では、自律制御システム１０４は、それがシステム性能と機能上に無視できる効果を有するような方法で、制御デバイスにおける第２の集積回路チップの物理インターフェースにシリアルに接続され得る集積回路チップ上の電子回路設計であってよい。同時に、第１の集積回路チップは、第２の集積回路チップへのある接続状態を禁止することができ得る。接続状態は、デジタル入／出力接続毎の電圧レベル等、所与の時間の瞬間における２つのデバイス間の接続点毎の信号レベルであってよい。代替的に、電子デバイスは、デバイスまたはシステム間の制限を超えた信号状態が生じないか、または、望まれないシステムの影響が生じないような重要でない時間量の間のみ生じるかのいずれかであることを確実にするために、１つまたは複数の電子デバイスまたはシステムと動作の間の信号レベルまたは状態のいくつかまたはすべての外部の絶え間ないモニタリングを含み得る。この方法を実装する電子デバイスは、１つまたは複数のデバイスまたはシステムの間を、シリアルに、パラレルに、または、シリアルとパラレルの両方で接続され得、独立に、または、コンピュータに実装されたセキュリティスコアリング方法を用いることを含む外部のモニタリングと制御とともに機能することができる。

いくつかの実施形態において（例えば、図４に示され、以下に記載されるように）、自律制御システム１０４は、ハードウェアベースのシリアルな「中間者」（“man-in-the-middle”：ＭＩＴＭ）として動作することができる。自律制御システム１０４のモニタリングロジックが、信号線上の予めプログラムされた禁止された信号パターン、パケット、または、アクセスの企てを検出するまで、保護されるシステム１００と入力デバイス１０２（例えば、周辺機器）との間の通信は正常に継続することができる。禁止された信号が検出されると、自律制御システム１０４は、代替信号バス（または、攪乱バス）を選択することにより、主信号バスを完全に無効にし得る。代替信号バスは、記録、攪乱、または、周辺機器からの全断のために使用することができる。例えば、保護されるシステム１００に、それが攻撃下にあることを通知するために、通信が保護されるシステム１００と維持される間、代替信号バスが選択され得る。そのチャネル選択線が、例えば、保護されるシステム１００の中にプログラムされる特定用途モニタリングおよびアクションロジックによって制御される、内部的にパラメータ化されたマルチプレクサインスタンスを使用することにより、自律制御システム１０４はこの通信を維持することができる。

図２は、入力デバイス１０２（図示されず）と保護されるシステム１００（図示されず）とのシリアル配置におけるプロセッサ１００とメモリ２０２を備える自律制御システム１０４の実施形態を示す。プロセッサ２００は、入力デバイス１０２に接続され得るノード２０４上で入力信号を受け取り得る。プロセッサは、保護されるシステム１００に経路を取りえるノード２０６上で出力信号を生成し得る。メモリ２０２は、禁止された入力信号状態を記憶し得る。プロセッサ２００は、入力信号を、禁止された入力信号状態と比較し、一致信号または不一致信号を生成することができる。入力信号は、不一致信号に応答して、保護されるシステム１００に供給され得る。代替の入力信号が、一致信号に応答して、保護されるシステム１００に供給され得る。代替の入力信号は、保護されるシステム１００に損害を生じさせない信号であってよい。例えば、保護されるシステム１００のモータに最高速で動作するよう指示する、保護されるシステム１００への入力は、特定プロセスの動作に有害であり得、許容されるべきではない。そのようなコマンドが入力デバイス１０２から入力された場合、自律制御システム１０４は、信号を奪い、権限を与えられない状態を防ぐために、直ちにアクションを取り得る。この例では、自律制御システム１０４は、速度選択全体を支配して、以前の権限を与えられた速度選択を維持する保護されるシステム１００に、好適な信号を送り得る。加えて、自律制御システム１０４は、記録エントリを作成し、または、権限のない接続状態が企てられたとの警告を送ることができる。自律制御システム１０４の応答は用途依存であってよく、事前にプログラムされてもよい。自律制御システム１０４は、また、例えば、現在の速度を保つ代わりに、物理的プロセスを停止するようにプログラムされ得る。

図３は、本発明の実施形態に係る制御方法を示すフロー図である。この図は、上述のシリアル自律制御システム１０４の実施形態についての例示的なプロセスフローを表す。例示的なプロセスフローは、図２のプロセッサ２００およびメモリ２０２を含んでも含まなくてもよい、以下に記載される追加のシリアルおよび／またはパラレル自律制御システム１０４の実施形態に適用することができる。自律制御システム１０４は、保護されるシステム１００と入力デバイス１０２との間の接続状態をモニタする（１４０５）。状態は、それが制限を超えるかどうかを決定するためにチェックされ得る（例えば、上記図２の例からは最大速度コマンド）（１４１０）。状態が許されている場合、モニタリングは、通常通り継続する（１４０５）。状態が制限を超える場合、自律制御システム１０４は、その状態に対してアクションをとる（例えば、指令された速度よりも低い速度に速度を設定することにより、または、その現在の速度を維持するように保護されるシステム１００に指示することにより）（１４１５）。自律制御システム１０４は、その介入が、保護されるシステム１００を、許容される状態に設定したか、または、修復したか否かを決定し得る（１４２０）。例えば、自律制御システム１０４は、モータが、何ら損傷が起こらず、実際により低い速度に戻ったか否かを決定することができる。保護されるシステム１００がＯＫであれば、モニタリングが通常通り継続し得る（１４０５）。しかし、いくつかの場合には、保護されるシステム１００を許容される状態に戻すことは不可能であり得る。例えば、保護されるシステム１００がロックされ、自律制御システム１０４が介入する前に、それがアンロックコマンドを受けた場合（例えば、以下の図７に関して記載されたパラレル配置において）、ロックによって制御されるドアが既に開かれている可能性がある。ロックを再び締めることはこの状態を修正しない。この場合、保護されるシステム１００は、さらなる外部入力から隔離され得、警告が発せられ得る（１４２５）。

図４は、本発明の実施形態に係る、保護されるシステム１００と入力デバイス１０２との間のシリアルインターフェースに接続された自律制御システム１０４のブロック図である。この実施形態は、上述の図２の実施形態と同様に機能することができるが、自律制御システム１０４内に、プロセッサ２００とメモリ２０２に加えて、および／または代わりに、他のエレメントを有する。この例では、自律制御システム１０４は、モニタリングロジック１４０を提供するＰＬＤまたは他のデバイス（例えば、回路、プロセッサ、等）を含み得る。モニタリングロジック１４０は、通常、保護されるシステム１００と周辺機器１０２との間で、双方向マルチプレクサ（multiplexor：ＭＵＸ）１６０を介してすべての信号を渡し得る。また、モニタリングロジック１４０を提供するＰＬＤ、回路、または、プロセッサの一部であってもよい、または、モニタリングロジック１４０から分離してもよい（例えば、別個のＰＬＤ、回路、プロセッサ、等）、制御ロジック１５０を提供するモニタリングおよびアクション回路に、同じ信号が供給され得る。この図に示された実施形態は、自律制御システム１０４のハードウェアベースのシリアル「中間者」（“man-in-the-middle”：ＭＩＴＭ）実装である。この実施形態では、保護されるシステム１００と周辺機器１０２との間の通信は、モニタリングロジック１４０が、信号線上で、予めプログラムされた禁止された信号パターン、パケット、または、アクセスの企てを検出するまで、通常通り継続し得る。禁止された信号が検出されると、自律制御システム１０４における制御ロジック１５０は、記録、攪乱、または、周辺機器１０２からの全断のために代替の内部入／出力バスを選択することにより、主周辺入／出力バスを完全に無効にすることができる。保護されるシステム１００に、それが攻撃下にあることを通知するために、通信が自律制御システム１０４とで維持されるが、この方法が自律制御システム１０４に実装され得る。自律制御システム１０４は、そのチャネル選択線が、保護されるシステム１００の中にプログラムされる、用途特定モニタリングおよびアクションロジックによって制御される、内部のパラメータ化されたマルチプレクサインスタンスを使用することによって、この通信を維持することができる。

図４の自律制御システム１０４は、保護されるシステム１００の内部または外部であり得る、保護されるシステム１００−ＣＰＵと接続された周辺機器１０２との間で、物理的な層でシリアルに接続され得る。通信バスは、モニタロジックと、所与の用途のためのルールに違反する信号を検知するようプログラムされるＭＵＸ１６０とを備える自律制御システム１０４を通して通じ得る。このような信号が検出されると、自律制御システム１０４は、信号を保護されるシステム１００に到達することから止めるか、または、少なくとも、信号が、プロセスのために望ましくない時間の長さの間、保護されるシステム１００に行使することを防止するか、をし得る。図４の例において、バスＡは、保護されるシステム１００−ＣＰＵと周辺機器１０２との間で、自律制御システム１０４を介して通常に経路を取り得、保護されるシステム１００−ＣＰＵへの／からの信号を搬送することができる。そうすることにおいて、バスＡは、自律制御システム１０４の出力マルチプレクサを通して経路を取りえる。バスＡまたはＢが保護されるシステム１００に到達するかは、マルチプレクサの「Ｓ０」制御ポートによって決定され得る。Ｓ０ポートが論理０である場合、バスＡが通じ得る。Ｓ０ポートが論理１である場合、バスＢが通じ得る。バスＢの各線の値は、ルールを行使するよう構成され得る自律制御システム１０４の状態マシン制御ロジック１５０によって制御され得る。この例では、Ｓ０は、バスＡの線の全てが［ｈｉｇｈ」であると、論理１にアサートし得る。４入力ＡＮＤゲートは、応答してバスＢに切り替えるために、Ｓ０切り替えることができる。ＡＮＤゲートは、ハードウェアゲートであってもよく、ハードウェアＡＮＤゲートを介する伝搬時間はナノ秒のオーダーであり得、そのため、ほぼ瞬時の切り替えが実行され得る。Ｓ０は、また、Ｓ０を供給する２入力ＯＲゲートを介して、自律制御システム１０４の状態マシンロジック１５０によって直に制御され得る。自律制御システム１０４の複数のインスタンスは、様々なインターフェース上での様々なルールを行使するために、保護されるシステム１００と入力デバイス１０２の様々な入力および／または出力との間に介在させられ得る。

また、図４に示されるのは、データを記憶し、暗号化し得る安全なメモリである。メモリは、ホストＣＰＵへの自律制御システム１０４のシステムサービスとして使用されることができ、および／または、安全なアプリケーションまたは外部の周辺機器から読み出され得るルール違反イベントの記録等、ホストＣＰＵから隔離されたデータを含むことができる。

モニタされる線についての自律制御システム１０４を通した引き起こされた信号の伝搬遅延が、システムタイミング要件にとって無視することができるとの特徴をもったプログラム可能なロジックデバイスを使用して、図４の例に示された自律制御システム１０４はシリアルインターフェースに配置され得る。自律制御システム１０４におけるＰＬＤは、小さい量の伝搬遅延、例えば、２０ナノ秒のオーダーの遅延、を加える通常の「通過（pass-through）」モードを含み得る。加えられた遅延は、多くのシステムにとって重要でなくあり得、したがって、通常のシステム動作に影響を与え得ない。

図４の例に示された自律制御システム１０４のシリアルインターフェースは、耐タンパ対策として、保護されるシステム１００を電気的に隔離するために、周辺機器１０２から保護されるシステム１００を部分的にまたは簡単に切断することができ得る。そして、自律制御システム１０４は、攻撃している、または、故障している周辺機器１０２に、攻撃、防御、または、診断／修復の信号を出力し得、または、単に状態を保持し得る。

図５は、本発明の実施形態に係る、権限のない接続を防止するシリアルインターフェースを備えた電子的自律制御システム１０４の動作を示す概略図である。自律制御システム１０４は、速度選択入力デバイス（周辺機器１０２）と物理的プロセスに適用するために２値に符号化された速度を受け入れる作動装置（保護されるシステム１００）との間に配置され得る。自律制御システム１０４は、入力をモニタするために、モニタリングロジックを含み、それらをマルチプレクサ（multiplexer：ＭＵＸ）またはスイッチ１６０に渡し得る。入力が許容される場合、それらはＭＵＸ１６０から保護されるシステム１００に進み得る。入力が許容されない場合、状態マシンモニタおよび制御アクションロジック１５０が介入し、ＭＵＸ１６０に対し、状態マシンモニタおよび制御アクションロジック１５０によって生成された出力を、代わりに、保護されるシステム１００に渡させるようさせ得る。この例では、２値「１１１１」で表される最高速度は、特定プロセスの動作に有害であり、許容されるべきではない。図５に示されたデバイスは、広範囲の異なる機能をエンコードする多数の接続状態をモニタし、それら応じて動作するように規模変更され得る。この例における自律制御システム１０４は、また、例えば、最低から最高までの許容される速度を直ちにジャンプする等の速度選択の権限のないシーケンスを防止するようにプログラムされ得る。自律制御システム１０４のロジックは用途特定であり、そのため、「１１１１」はこの例では禁止された入力であるが、他の入力が、他の実施形態では禁止されてもよい。自律制御システム１０４への入力は、この例の４ビットの実施形態に限定されるものではない。

図５．１において、速度選択バスは、自律制御システム１０４を通して、および、自律制御システム１０４の「バススイッチ」を介して作動デバイス上に、信号をシリアルに渡す。自律制御システム１０４は、プログラム可能な権限を与えられない速度について速度選択バス（接続状態）をモニタし、この例ではバススイッチを制御するというように、予めプログラムされたアクションをとることができる。図５．１において、選択された速度は権限を与えられた速度であり、したがって、自律制御システム１０４は、選択を、作動デバイスに通過させることを許可する。

図５．２は、不注意で、または悪意をもって、のいずれかで、入力デバイス１０２を介して自律制御システム１０４に送信される、速度用の権限のない信号、「１１１１」、を示す。自律制御システム１０４は、信号を奪い、権限のない状態を防ぐために直ちに動作を取ることができる。この例では、自律制御システム１０４は、自律制御システム１０４が、速度選択全体を支配し、以前に権限を与えられた速度選択を維持する保護されるシステム１００への適切な信号を送るようにバススイッチを切り替えるために、予めプログラムされたアクションロジックを含み得る。加えて、自律制御システム１０４は、記録エントリを作成したり、または、権限のない接続状態が企てられたことの警告を送ったりすることができる。自律制御システム１０４の応答は用途依存であってよく、事前にプログラムされてもよい。自律制御システム１０４は、また、例えば、現在の速度を保つ代わりに、物理的プロセスを停止するようにプログラムされてもよい。

図５．３は、入力デバイス１０２が、権限が与えられた速度を選択するようにユーザまたは制御システムによって再調整されたときに、自律制御システム１０４のロジックが、デフォルトの定常状態の位置に戻るようにバススイッチを切り替えることにより、制御を入力デバイス１０２に切り替え戻し得ることを示す。

図６は、図５の実施形態と同様だが、ハードウェアロジックの代わりにプロセッサ２００とメモリ２０２とを有した自律制御システム１０４の実施形態を示す。この実施形態では、ノード２０４上の入力信号は、リンク３００を介して、プロセッサ２００に経路をとられる。プロセッサ２００は、入力信号を、メモリ２０２に記憶された禁止された入力信号状態と比較し、一致信号または不一致信号を生成することができる。プロセッサ２００は、ＭＵＸ３０４を制御し得る、線３０２上の選択信号を生成し得る。選択信号は、不一致信号の場合には、線２０４上の信号が、マルチプレクサ３０４を通して保護されるシステム１００に通過することを許可し得る。一致信号の場合には、代替の入力信号が線３０６に与えられ得、線３０２上の選択信号が、ＭＵＸ３０４を通して代替の入力信号を通過させ得る。

図７は、本発明の実施形態に係る、保護されるシステム１００にパラレルインターフェースで接続されたプログラム可能なロジックデバイス（programmable logic device：ＰＬＤ）を含む、自律制御システム１０４のブロック図である。保護されるシステム１００の入力および／または出力は、自律制御システム１０４におけるＰＬＤの入力を介して、または、自律制御システム１０４内に埋め込まれたプロセッサを介して、モニタされ得る。図５に示された実施形態において、自律制御システム１０４は、保護されるシステム１００に、パラレルインターフェースで接続され得、入力をモニタし、出力への状態を内部的に変更し、必要のされる追加の接続なしに攪乱を引き起こすことはできる少なくとも１つの双方向信号ドライバを含み得る。ドライバは、ドライバのスイッチ１６０を介して受け取られた入力をモニタするために、モニタロジック１４０に結合され得る。入力が許可される場合、ドライバはその状態を維持し得る。入力が許可されない場合、アクションロジック１５０は、例えば、「接地」または「ｈｉｇｈ」の信号であってもよい、アクションバス出力にスイッチ１６０を動かす。保護されるシステム１００と周辺機器１０２との間の通信は、モニタリングロジックが、シリアルインターフェースの上記例にあったように、権限を与えられない信号パターン、パケット、または、アクセスの企てを検出するまで、通常通りに進行し得る。パラレル構成では、制御ロジックは、記録、攪乱、または、周辺機器１０２からの全断のために代替の入／出力経路において切り替えることによって、入／出力バスを内部的に再経路付けし、または、切断することはできない。代わりに、保護下にあるデバイス１００への信号は、スイッチ１６０によって、「接地」されるか、または、「ｈｉｇｈ」に設定される。しかし、パラレルのアプローチは、伝搬遅延が許容されないことがあり得る、通信および信号速度をもった非常に高速なシステム（例えば、ギガヘルツ（ＧＨｚ）範囲で動作するシステム）にとって有用であり得る。さらに、パラレルの自律制御システム１０４は、それがそれ自身を通して信号を通過させる（入力毎に一致有無出力を必要とする）必要がないので、シリアルインターフェースより全体的に少ない入／出力接続しか必要としない。

図８は、保護されるシステム１００へのパラレルインターフェースに接続され、および、入／出力攪乱を引き起こすための企てにおいてコマンドが出されたときに論理「ｈｉｇｈ」または「ｌｏｗ」に切り替え得る、（図７のスイッチに代わる）自律制御システム１０４からの周辺バスに接続された少なくとも１つの３状態出力（tri-state output）１６０を含む、自律制御システム１０４の実施形態のブロック図である。この３状態出力は、双方向の入／出力インターフェースを持たない自律制御システム１０４のために使用され得る。

図９は、本発明の実施形態に係る、パラレルインターフェースを備えた電子的自律制御システム１０４の動作を示す概略図である。自律制御システム１０４は、入力デバイス１０２と保護されるデバイス１００との間の信号が、自律制御システム１０４を直接に通過しないパラレルインターフェースを含み得る。代わりに、自律制御システム１０４は、図９．１に示されたような入力信号をモニタするために、電気的に高インピーダンスの入力で、各線のタップオフができる。権限が与えられない入力の企てがなされると、パラレル自律制御システム１０４は、ホストバスを上書きするのに適したドライブ−強度（電流シンクおよびソース）を有する出力バスにバススイッチを切り替えることにより、権限のない入力を攪乱し得る。図９．２の例において、線Ｓｐｅｅｄ＿Ｓｅｌ＿３を内部で「接地」することは、それが、入れ替わって最高速のプロセス速度を選択する論理「ｈｉｇｈ」の状態に達することを防止し得る。図９．２において、自律制御システム１０４は、自律制御システム１０４のアクションバス出力からの介入なく、入力デバイス１０２からの入力をモニタするために、周期的に、バススイッチを「位置３」に切り替え戻し得る。自律制御システム１０４が、権限を与えられない速度が選択されたことを検出すると、それは、図９．３に示されるように、定常状態に戻って動くことができる。パラレルインターフェースを備えた自律制御システム１０４は、シリアルインターフェースを備えた自律制御システム１０４とは異なり、信号を同時にモニタしなくてもよい。

図１０は、自律制御システム１０４が、シリアルおよびパラレルの両方のインターフェースを利用する保護されるシステム１００に接続される実施形態のブロック図である。シリアルインターフェースは、モニタロジック１４０Ａ、アクションロジック１５０Ａ、および、スイッチ１６０Ａを含む。パラレルインターフェースは、モニタロジック１４０Ｂ、アクションロジック１５０Ｂ、および、スイッチ１６０Ｂを含む。この実施形態では、ある通信経路が、通常のシステム動作を劣化させることなくシリアルに通るには速すぎる場合、それらの回路は、パラレルインターフェースによって扱われ得る。より遅い経路は、シリアルインターフェースによって扱われ得る。

図１１は、インターフェースにかかわらず、自律制御システム１０４が、自律制御システム１０４と保護されるシステム１００との間の通信バス１７０を含む実施形態のブロック図である。通信バス１７０は、自律制御システム１０４の機能が、悪意のある、または、権限が与えられない意図が検出された場合に、保護されるシステム１００を任意にフラグ付けすることを可能にし得る。通信バスは、また、記録、警告、または、少なくとも１つの周辺機器１０２を非動作にするための、自律制御システム１０４の機能を可動にする。さらに、通信バス１７０は、自律制御システム１０４が、自律的にイベントを記録し、コンピュータに実装されたセキュリティスコアリングシステムにそのようなイベントを報告することを可能にし得る。

図１２は、自律制御システム１０４が、積層された、または、平面のアレイにおいて機能的に接続された少なくとも２つの相互接続されたプロセッサダイを含み得る、半導体マルチチップモジュールを含む実施形態の図である。モジュールは、印刷回路基板（printed circuit board：ＰＣＢ）に直接搭載する単一の半導体パッケージの内側の中継（インタポーザ：interposer）基板および／またはダイレクトワイヤボンディング（direct wire bonding）を含み得る。この配置は、悪意のタンパに対する保護を提供することができる、自律制御システム１０４を可視的に検出することを困難にし得る。

図１３は、自律制御システム１０４が、保護されるシステム１００の上または下のいずれかで積層に機能的に配置され得るカスタムソケットアセンブリを含み得る、中継ＰＣＢ上に外付けされる実施形態の図である。この実施形態では、自律制御システム１０４は、既存のＣＰＵを安全にし、ＣＰＵのために作られた既存のマザーボードとソケットを使うために使用され得る。この実装は、それが、実装を形成するために、２つの個別にパッケージされたコンポーネントを接続することを含むので、パッケージオンパッケージ実装と呼ばれ得る。

いくつかの実施形態では、自律制御システム１０４は、保護されるシステム１００を含み得る印刷回路基板（printed circuit board：ＰＣＢ）上に表面実装され得る電子回路を含み得る。自律制御システム１０４は、例えば、１つまたは複数のＰＣＢトレース、フライングリード、同軸ケーブル、または、光ファイバを使用する保護されるシステム１００に動作可能に接続され得る。

いくつかの実施形態では、自律制御システム１０４は、保護されるシステム１００上に動作可能に搭載され得る、モジュール積層可能な単一基板コンピューティングプラットフォームを含むことができる。例えば、プラットフォームは、ＰＣ１０４、ＥＰＩＣ、ＥＢＸ、ラズベリーパイ（Raspberry Pi）、Ｐａｒａｌｌｅｌｌａ、パッケージオンチップ（package on chip：ＰＯＣ）、または、同様のモジュールコンピューティングプラットフォームであってよい。この実施形態において、自律制御システム１０４は、モジュールのコンピューティングスタックヘッダに付随し、上述された安全化機能を実行することができるモジュールキャリアを含み得る。これは、モジュールオンモジュール実装と呼ばれ得る。

図１４は、本発明の実施形態に係る、自律制御システム１０４の耐タンパ態様を示すフロー図である。上述されたように、データは、自律制御システム１０４の暗号の耐タンパチェックを可能にするために記憶され得る。定期的に、または、ユーザ要求に応じて、耐タンパチェックが開始され得る（１３０５）。自律制御システム１０４は、秘密鍵を用いて、自律制御システム１０４と通信状態にあるシステム（即ち、自律制御システム１０４のチェックを実行するシステム）へのメッセージに署名し得る（１３１０）。チェックを実行するシステムは、署名を正当と認めるための企てをし得る（１３１５）。署名が無効である場合、自律制御システム１０４が不正な干渉をされている可能性があることを示して、警告が生成され得る（１３２０）。署名が有効である場合、チェックを行うシステムは、秘密鍵を用いてメッセージに署名する（１３２５）。自律制御システム１０４は、署名を正当と認めるための企てを行い得る（１３３０）。署名が無効である場合、チェックを行っているシステムが干渉されている可能性があることを示して、警告が生成され得る（１３３５）。署名が有効な場合、タンパチェックはすべて安全であること（即ち、チェックするシステムと自律制御システム１０４との両方がタンパなしであり得る）と宣言することができる（１３４０）。したがって、自律制御システム１０４は、別のシステムをチェックし、相互の安全性を提供するために、当該システムによりチェックされ得る。

図１５は、本発明の実施形態に係る、安全な共処理のためのホストＣＰＵへのシステムサービスとして自律制御システム１０４を使用するプロセスフローを示す。自律制御システム１０４に関して上述されたアーキテクチャは、また、自律制御システム１０４のプロセッサが、自律制御システムの複数のインスタンスを有し得るので、ホストＣＰＵへのシステムサービスとして、安全な処理を可能にし得る。本実施形態では、自律制御システム１０４は命令を受け得る。自律制御システム１０４は、自律制御システム１０４のメモリサブシステムに関連付けられたメモリの中に在る予めプログラムされたオペレーションコード（opcode）への一致を見出すために、コンパイラによって機械語に低減された（例えば、入力デバイス１０２から）受け取られた命令、または、オペレーションコードを比較し得る。一致がある場合、自律制御システム１０４は、オペレーションコードの予めプログラムされた機能を実行し得（１５１５）、保護されるシステム１００は、オペレーションコードを受け取らない。自律制御システム１０４は、安全にされた記憶装置をアクセスし（１５２０）、結果を戻す（１５２５）。代替的に、自律制御システム１０４の予めプログラムされたメモリの中で受け取られたオペレーションコードへの一致がない場合、オペレーションコードが実行のために保護されるシステムに渡され得（１５３０）、保護されるシステム１００は結果を戻し得る（１５３５）。入力デバイス１０２上で実行する自律制御システム１０４とともに働くよう特別に設計されたソフトウェアアプリケーションは、自律制御システム１０４の安全な共処理機能にアクセスするために、自律制御システム１０４の特定のオペレーションコードまたは命令セットを含むことを必要とされ得る。例えば、そのような自律制御システム１０４の特定のオペレーションコード、または、一連のオペレーションコードが、データセット上の暗号署名を要求することができたとしたら、プロセッサ２００は、そのデータセット上で暗号ハッシュをまず行うことによって応答し得る。そして、プロセッサ２００は、（安全にされた記憶装置２０２に記憶された）その暗号化鍵を用いて、ハッシュされたデータセットにデジタル的に署名し、その後、入力デバイス１０２を介して問題となったオペレーションコードを生成していた自律制御システム１０４の特定のアプリケーションに署名されたデータセットを戻し得る。

図１６は、本発明の実施形態に係る、認証／攪乱／修復ロジックを有する、シリアルにインターフェースされた自律制御システムである。自律制御システム１０４は、ＩＣＳ／ＳＣＡＤＡネットワーク１０２と保護されるエンドポイント１００との間でシリアルにインターフェースされ得る。自律制御システム１０４は、認証／攪乱／修復ロジック１６１０および／または安全にされたメモリ１６２０を含み得る。安全にされたメモリ１６２０は、例えば、電子的暗号ＰＫＩ、秘密鍵、デジタル真正性、および／または、セキュリティスコア証明書を保持し得る。そのような証明書は、外部デバイスとシステムコンポーネントとのメッセージをデジタル的に署名し、暗号化するために使用され得る。例えば、ＩＣＳ／ＳＣＡＤＡインターフェースデバイス１０２および／または保護されるエンドポイント１００がＰＫＩを実装する場合、自律制御システム１０４は、２つのデバイスが接続することを許可する前に、真正性を保証し得る。また、ＰＫＩを有する自律制御システム１０４は、同様のＰＫＩを実装する他のデバイスとの暗号化された通信を行い得る。

双方向のバスインターフェースは、自律制御システム１０４の認証／攪乱／修復ロジック１６１０からＩＣＳ／ＳＣＡＤＡデバイス１０２までに与えられる。このロジック１６１０とバスは、モニタロジック１４０が望まれない接続状態を検出すると、上述された認証対策のために、および／または、さらなる攻撃または防御対策のために使用され得る。例えば、望まれない接続状態が検出された場合、認証／攪乱／修復ロジック１６１０は、保護されるエンドポイント１００をエミュレートし得る。アクションロジック１５０は、望まれない接続状態の企ての間、（例えば、上記されるように、用途のために適切な以前の状態または新しい状態を保つことにより）保護されるエンドポイント１００の制御を引き受け得、認証／攪乱／修復ロジック１６１０は、保護されるエンドポイント１００があたかも状態を変化させたかのごとく、期待された応答をＩＳＣ／ＳＣＡＤＡデバイス１０２に送ることによって、保護されるエンドポント１００をエミュレートし得る。安全性／根本原因分析の監査が、望まれない接続状態の企ての意図は誤りからのものであったか、または、悪意を持ったものであったかを推測するために、さらなるコマンドを記録するために行われ得る。また、安全性／根本原因分析は、安全性違反に起因してエミュレータと現在通信していることをＳＣＡＤＡ／ＩＣＳデバイス１０２に通知するために、ＳＣＡＤＡ／ＩＣＳデバイス１０２に応答またはエラーメッセージを送ることにより、保護されるエンドポイント１００を既知の良好な状態に回復するのを助けるために使用され得る。自律制御システム１０４は、保護されるエンドポイント１００に接続された外部の暗号化されたインターフェースバス１６３０を含み得る。いくつかの実施形態では、自律制御システム１０４は、安全性／根本原因分析を実行している間、インターフェースバス１６３０を介して、保護されるエンドポイント１００の動作を停止することができる。他の実施形態では、最後の権限を与えられた接続状態（例えば、最後の許容され得るコマンドから生じた状態）が、安全性／根本原因分析の間に保持され得る。

図１７は、本発明の実施形態に係る、マルチインターフェース自律制御システムである。自律制御システム１０４は、シリアルおよびパラレルインターフェースの両方を介して、保護されるエンドポイント１００に接続され得る。上述されるように、これは、ある通信経路が、通常のシステム動作を劣化させることなくシリアルに通るには速すぎる場合に有用であり得る。これらの高速通信経路は、自律制御システム１０４の通常は高インピーダンスの攪乱出力へのパラレル接続を与えられる。また、シリアルおよびパラレルインターフェースは、信号が自律制御システム１０４にとって高すぎる電圧レベルを持つとき、使用され得る。例えば、いくつかの実施形態における自律制御システム１０４は、５ボルト（Ｖ）またはそれより小さい信号上で動作し得る。自律制御システム１０４は、入力デバイス１０２Ａとエンドポイント１００Ａ間の通信が、低電圧スイッチ１６０Ａで許可または禁止され得るように、低電圧入力デバイス１０２Ａと低電圧の保護されるエンドポイント１００Ａと直列に接続され得る。また、自律制御システム１０４は、入力デバイス１０２Ｂとエンドポイント１００Ｂとの間の通信が、高電圧スイッチ１６０Ｂで許可または禁止され得るように、高電圧入力デバイス１０２Ｂと高電圧エンドポイント１００Ｂと並列に接続され得る。シリアルおよびパラレルインターフェースは、一般的に、他の実施形態に関して上述されたように機能し得る。しかし、自律制御システム１０４が、パラレル線上で信号をモニタすることを可能とするために、レベルシフタ１７００（例えば、抵抗ラダー、光結合素子、等）が、パラレル線とモニタロジック１４０との間に配置され得る。レベルシフタ１７００は、より高い電圧を降圧し得、したがって、自律制御システム１０４は、それ自体に損傷を与えることなく、安全にモニタし、パラレルインターフェースに応じて動作することができる。望まれない接続状態が検出されると、自律制御システム１０４は、図１７に示された絶縁されたゲートバイポーラトランジスタ（insulated gate bipolar transistor：ＩＧＢＴ）１６０Ｂ等の高電力スイッチを使用することによって高電圧バス全体をショートし得る。いくつかの実施形態では、レベルシフタ１７００を備える自律制御システム１０４は、例えば、システムにおけるモニタリングのために利用可能な唯一の信号が高電圧信号であるとき、並列のみで接続され得る。

図１８は、本発明の実施形態に係る、メモリマップされた周辺機器を含むエンドポイントである。自律制御システム１０４は、様々なパラレルインターフェースであってよい、メモリマップされた入／出力を使用するＩＣＳ／ＳＣＡＤＡエンドポイント１００におけるメモリマップされた周辺機器としてインターフェースされ得る。
ＩＣＳ／ＳＣＡＤＡデバイス１０２は、エンドポイント１００のＣＰＵ１８００と通信することができる。この実施形態において、自律制御システム１０４は、バス通信を聴取し、その通信から、どの周辺機器１８１０Ａ、１８１０Ｂ、１８１０Ｃがアクセスされているか、それらは何をするように指示されているかを決定し得る。望まれない接続状態が検出されると、自律制御システム１０４は、バスと競合する（即ち、上述されたように信号を無視する）ことによって、または、ＣＰＵ１８００に割り込み、悪い状態であることをそれに知らせることによって、のいずれかで動作し得る。この実施形態における自律制御システム１０４は、自律制御システム１０４が、アドレス空間において周辺機器１８１０Ａ、１８１０Ｂ、１８１０Ｃを自律的にモニタし、直接制御することができる、ＩＢＭＰＯＷＥＲ８のコヒーレントアクセラレータプロセッサインターフェース（Coherent Accelerator Processor Interface:ＣＡＰＩ）バス等のメモリマップされたスキームで使用され得る。

様々な実施形態が上記されたが、それらは例示によるもので限定ではなく提示されていることが理解されるべきである。真髄や範囲から逸脱することなく、形態や細部における様々な変更がその中でなされることができることが、関連の技術において技量を有する者には明らかである。実際には、上の記載を読んだ後、どのように代替の実施形態を実装するかは、関連技術に技量を有する者に明らかである。

加えて、機能性および利点を強調する任意の特徴は、例示の目的のみのために提示されることが理解されるべきである。開示された方法およびシステムは、それぞれ、それらが、示されたもの以外の方法で利用され得るように、十分に柔軟で構成可能である。

「少なくとも１つ（at least one）」の用語がしばしば明細書、特許請求の範囲、および、図面において使用されるが、「ａ」、「ａｎ」、「ｔｈｅ」、「ｓａｉｄ」等の用語も、また、明細書、特許請求の範囲、および、図面中の「少なくとも１つ（“at least one”または“the at least one”）」を意味する。

最後に、「のための手段（means for）」または「のためのステップ（step for）」の明示的な文言を含む請求項のみが、米国特許法１１２条（ｆ）項（35 U.S.C. 112(f)）に基づいて解釈されることが出願人の意図である。「のための手段（means for）」または「のためのステップ（step for）」の語句を明示的には含まない請求項は、米国特許法１１２条（ｆ）項（35 U.S.C. 112(f)）に基づいて解釈されるべきではない。

最後に、「のための手段（means for）」または「のためのステップ（step for）」の明示的な文言を含む［Ｃのみが、米国特許法１１２条（ｆ）項（35 U.S.C. 112(f)）に基づいて解釈されることが出願人の意図である。「のための手段（means for）」または「のためのステップ（step for）」の語句を明示的には含まない［Ｃは、米国特許法１１２条（ｆ）項（35 U.S.C. 112(f)）に基づいて解釈されるべきではない。
以下、本願出願当初の特許請求の範囲に記載された発明を付記する。
［Ｃ１］
ルールの自律的行使のためのシステムであって、
入力信号に応答して動作するＩｎｄｕｓｔｒｉａｌＣｏｎｔｒｏｌＳｙｓｔｅｍｓ（ＩＣＳ）および／またはＳｕｐｅｒｖｉｓｏｒｙＣｏｎｔｒｏｌａｎｄＡｃｑｕｓｉｔｉｏｎ（ＳＣＡＤＡ）のネットワークの物理的な信号インターフェースにおいて保護されるシステムと、
前記ルールの違反について前記入力信号をモニタするために前記入力信号に結合されるモニタ回路と、前記保護されるシステムに結合され、違反する前記入力信号が前記保護されるシステムに影響を与えることを防止するアクション回路とを含む自律制御システムと、
を備えるシステム。
［Ｃ２］
前記入力信号は、前記アクション回路を通り、前記モニタ回路が前記ルールに違反する入力信号を検出すると、前記アクション回路によって、前記保護されるシステムに到達することからブロックされる、［Ｃ１］に記載のシステム。
［Ｃ３］
前記自律制御システムは、前記保護されるシステムと並列に、前記入力信号に結合される、［Ｃ１］に記載のシステム。
［Ｃ４］
前記モニタ回路と前記アクション回路は、
前記ルールを記憶するためのメモリと、
前記入力信号を受け取り、前記入力信号に前記ルールを適用し、前記ルールに違反する入力信号が前記保護されるシステムに影響を与えることを防止するプロセッサと、を含む、［Ｃ１］に記載のシステム。
［Ｃ５］
前記アクション回路は、違反する入力信号に応答して、入力信号を代替信号に置き換える、［Ｃ１］に記載のシステム。
［Ｃ６］
前記代替信号は、前記保護されるシステムに対し、違反する入力信号を与えようとする企てを示す、［Ｃ５］に記載のシステム。
［Ｃ７］
前記アクション回路は、違反する入力信号に応答して、前記保護される回路を非動作にする、［Ｃ１］に記載のシステム。
［Ｃ８］
前記自律制御システムは、メモリを含み、
前記自律制御システムは、違反する入力信号を前記メモリに記憶する、
［Ｃ１］に記載のシステム。
［Ｃ９］
前記アクション回路は、
前記入力信号を受け取り、ルールの無違反が検出されることに応答して、前記入力信号を前記保護されるシステムに渡すマルチプレクサ
を含む、［Ｃ１］に記載のシステム。
［Ｃ１０］
前記マルチプレクサは、前記ルールに違反する前記入力信号に応答して、代替信号を前記保護されるシステムに与える、［Ｃ９］に記載のシステム。
［Ｃ１１］
前記アクション回路は、前記入力信号の少なくとも第１の入力信号について、前記保護されるシステムと直列に、および、前記入力信号の少なくとも第２の入力信号について、前記保護されるシステムと並列に、接続される、［Ｃ１］に記載のシステム。
［Ｃ１２］
前記保護されるシステムと前記自律制御システムとの間に配置された通信バスをさらに含み、
前記自律制御システムは、前記通信バス上で前記ルールに違反する入力信号に応答して、前記保護されるシステムに信号を送る、
［Ｃ１］に記載のシステム。
［Ｃ１３］
前記自律制御システムは、前記保護されるシステムと共通のパッケージに含まれる、［Ｃ１］に記載のシステム。
［Ｃ１４］
前記自律制御システムは、前記自律制御システムに配置された制御システム秘密鍵を含み、
前記自律制御システムは、前記制御システム秘密鍵を用いてメッセージに署名し、ソースに対して制御システム署名がされた前記メッセージを送り、
前記ソースは、前記自律制御システムが不正に干渉されているかを決定する、［Ｃ１］に記載のシステム。
［Ｃ１５］
前記ソースは、前記ソースに配置されたソース秘密鍵を含み、
前記ソースは、前記ソース秘密鍵を用いてメッセージに署名し、ソース署名された前記メッセージを前記自律制御システムに送り、
前記自律制御システムは、前記ソースが不正に干渉されているかを決定する、［Ｃ１４］に記載のシステム。
［Ｃ１６］
前記モニタ回路は、前記ルールの違反について出力信号をモニタするために、前記保護される回路の前記出力信号に結合され、
前記アクション回路は、違反する出力信号に応答して、前記出力信号の散布を防止する、
［Ｃ１］に記載のシステム。
［Ｃ１７］
前記自律制御システムは、前記保護されるシステムによって利用されるものより強力なアクセス制御を行使する、［Ｃ１］に記載のシステム。
［Ｃ１８］
前記自律制御システムは、前記保護されるシステムの物理的な層に接続される、［Ｃ１］に記載のシステム。
［Ｃ１９］
保護されるシステムを保護するための方法であって、
ルールに違反する入力信号について、入力信号を供給するＩｎｄｕｓｔｒｉａｌＣｏｎｔｒｏｌＳｙｓｔｅｍｓ（ＩＣＳ）および／またはＳｕｐｅｒｖｉｓｏｒｙＣｏｎｔｒｏｌａｎｄＡｃｑｕｓｉｔｉｏｎ（ＳＣＡＤＡ）のネットワークに結合される自律制御システムのモニタ回路を用いて、前記保護されるシステムへの前記入力信号をモニタすることと、
前記保護されるシステムに結合される前記自律制御システムのアクション回路を用いて、違反する入力信号が前記保護されるシステムに影響を与えることを防止することと、を備える方法。
［Ｃ２０］
アクション回路が、前記ルールに違反する入力信号を検出する前記モニタ回路に応答して、前記保護されるシステムへの入力信号をブロックすることをさらに備える、［Ｃ１９］に記載の方法。
［Ｃ２１］
前記自律制御システムを、前記保護されるシステムと並列に、前記入力信号に結合することをさらに備える、［Ｃ１９］に記載の方法。
［Ｃ２２］
前記モニタ回路と前記アクション回路のメモリに前記ルールを記憶することと、
前記モニタ回路と前記アクション回路のプロセッサが、前記入力信号を受け取り、前記入力信号に前記ルールを適用し、前記ルールに違反する入力信号が前記保護されるシステムに影響を与えることを防止することと、
をさらに備える、［Ｃ１９］に記載の方法。
［Ｃ２３］
前記アクション回路が、違反する入力信号に応答して、入力信号を代替信号に置き換えることをさらに備える、［Ｃ１９］に記載の方法。
［Ｃ２４］
前記代替信号は、前記保護されるシステムに対し、違反する入力信号を与えようとする企てを示す、［Ｃ２３］に記載の方法。
［Ｃ２５］
前記アクション回路が、違反する入力信号に応答して、前記保護される回路を非動作にすることをさらに備える、［Ｃ１９］に記載の方法。
［Ｃ２６］
前記自律制御システムのメモリに、違反する入力信号を記憶することをさらに備える、［Ｃ１９］に記載の方法。
［Ｃ２７］
前記アクション回路のマルチプレクサによって前記入力信号を受け取ることと、
前記マルチプレクサが、前記ルールの無違反が検出されることに応答して、前記入力信号を前記保護されるシステムに渡すことと、
をさらに備える、［Ｃ１９］に記載の方法。
［Ｃ２８］
前記ルールが違反されたとき、前記マルチプレクサが、代替信号を前記保護されるシステムに与えることをさらに備える、［Ｃ２７］に記載の方法。
［Ｃ２９］
前記アクション回路を、前記入力信号の少なくとも第１の入力信号について、前記保護されるシステムと直列に、および、前記入力信号の少なくとも第２の入力信号について、前記保護されるシステムと並列に、接続することを更に備える、［Ｃ１９］に記載の方法。
［Ｃ３０］
前記自律制御システムが、前記保護されるシステムと前記自律制御システムとの間に配置された通信バス上でルールに違反する入力信号に応答して、前記保護されるシステムに信号を送ることをさらに備える、［Ｃ１９］に記載の方法。
［Ｃ３１］
前記自律制御システムと前記保護されるシステムとを共通のパッケージにひとまとめにすることをさらに備える、［Ｃ１９］に記載の方法。
［Ｃ３２］
前記自律制御システムが、前記自律制御システムの中に配置された制御システム秘密鍵を用いてメッセージに署名し、ソースに対して制御システム署名がされた前記メッセージを送ることと、
前記ソースが、前記自律制御システムが不正に干渉されているかを決定することと、をさらに備える、［Ｃ１９］に記載の方法。
［Ｃ３３］
前記ソースが、前記ソースの中に配置されたソース秘密鍵を用いてメッセージに署名し、ソース署名された前記メッセージを前記自律制御システムに送ることと、
前記自律制御システムが、ソース署名された前記メッセージから、前記ソースが不正に干渉されているかを決定することと、
をさらに備える、［Ｃ３２］に記載の方法。
［Ｃ３４］
前記ルールに違反する出力信号について、前記モニタ回路を用いて、前記保護されるシステムの出力信号をモニタすることと、
前記アクション回路を用いて、前記保護されるシステムからの違反する出力信号の散布を防止することと、
をさらに備える、［Ｃ１９］に記載の方法。
［Ｃ３５］
前記自律制御システムは、前記保護されるシステムによって利用されるものより強力なアクセス制御を行使する、［Ｃ１９］に記載の方法。
［Ｃ３６］
前記自律制御システムを、前記保護されるシステムの物理的な層に接続することをさらに備える、［Ｃ１９］に記載の方法。
［Ｃ３７］
ルールの自律的な行使のためのシステムであって、
入力信号に応答して動作する保護されるシステムと、
自律制御システムであって、
前記ルールの違反について前記入力信号をモニタするために、前記入力信号のソースと前記保護されるシステムとの間に直列に結合されるモニタ回路と、
違反する前記入力信号が前記保護されるシステムに影響を与えることを防止する、前記保護されるシステムに結合されたアクション回路と、
違反する入力信号の検出に応答して前記入力信号の前記ソースにメッセージを送る認証／攪乱／修復ロジックと、
を含む自律制御システムと、
を備えるシステム。
［Ｃ３８］
前記メッセージは、前記保護されるシステムをエミュレートする、［Ｃ３７］に記載のシステム。
［Ｃ３９］
前記メッセージは、エラーメッセージを含む、［Ｃ３７］に記載のシステム。
［Ｃ４０］
前記入力信号は、前記アクション回路を通り、前記モニタ回路が前記ルールに違反する入力信号を検出すると、前記保護されるシステムに到達することから前記アクション回路によってブロックされる、［Ｃ３７］に記載のシステム。
［Ｃ４１］
前記モニタ回路と前記アクション回路は、
前記ルールを記憶するためのメモリと、
前記入力信号を受け取り、前記入力信号に前記ルールを適用し、前記ルールに違反する入力信号が前記保護されるシステムに影響を与えることを防止するプロセッサと、を含む、［Ｃ３７］に記載のシステム。
［Ｃ４２］
前記アクション回路は、違反する入力信号に応答して、入力信号を代替信号に置き換える、［Ｃ３７］に記載のシステム。
［Ｃ４３］
前記代替信号は、前記保護されるシステムに対し、違反する入力信号を与えようとする企てを示す、［Ｃ４２］に記載のシステム。
［Ｃ４４］
前記アクション回路は、違反する入力信号に応答して、前記保護される回路を非動作にする、［Ｃ３７］に記載のシステム。
［Ｃ４５］
前記自律制御システムは、メモリを含み、
前記自律制御システムは、違反する入力信号を前記メモリに記憶する、
［Ｃ３７］に記載のシステム。
［Ｃ４６］
前記自律制御システムはメモリを含み、
前記自律制御システムは、前記メモリに認証データを記憶し、
前記自律制御システムは、前記入力信号の前記ソースと前記保護されるシステムとの間で接続を確立するために前記認証データを使用する、
［Ｃ３７］に記載のシステム。
［Ｃ４７］
前記アクション回路は、
前記入力信号を受け取り、ルールの無違反が検出されることに応答して、前記入力信号を前記保護されるシステムに渡すマルチプレクサ
を含む、［Ｃ３７］に記載のシステム。
［Ｃ４８］
前記マルチプレクサは、前記ルールに違反する前記入力信号に応答して、代替信号を前記保護されるシステムに与える、［Ｃ４７］に記載のシステム。
［Ｃ４９］
前記アクション回路は、前記入力信号の少なくとも第１の入力信号について、前記保護されるシステムと直列に、および、前記入力信号の少なくとも第２の入力信号について、前記保護されるシステムと並列に、接続される、［Ｃ３７］に記載のシステム。
［Ｃ５０］
前記保護されるシステムと前記自律制御システムとの間に配置された通信バスをさらに含み、
前記自律制御システムは、前記通信バス上で前記ルールに違反する入力信号に応答して、前記保護されるシステムに信号を送る、
［Ｃ３７］に記載のシステム。
［Ｃ５１］
前記自律制御システムは、前記保護されるシステムと共通のパッケージに含まれる、［Ｃ３７］に記載のシステム。
［Ｃ５２］
前記自律制御システムは、前記自律制御システムに配置された制御システム秘密鍵を含み、
前記自律制御システムは、前記制御システム秘密鍵を用いてメッセージに署名し、ソースに対して制御システム署名がされた前記メッセージを送り、
前記ソースは、前記自律制御システムが不正に干渉されているかを決定する、［Ｃ３７］に記載のシステム。
［Ｃ５３］
前記ソースは、前記ソースの中に配置されたソース秘密鍵を含み、
前記ソースは、前記ソース秘密鍵を用いてメッセージに署名し、ソース署名された前記メッセージを前記自律制御システムに送り、
前記自律制御システムは、前記ソースが不正に干渉されているかを決定する、［Ｃ５２］に記載のシステム。
［Ｃ５４］
前記モニタ回路は、前記ルールの違反について出力信号をモニタするために、前記保護される回路の前記出力信号に結合され、
前記アクション回路は、違反する出力信号に応答して、前記出力信号の散布を防止する、
［Ｃ３７］に記載のシステム。
［Ｃ５５］
前記自律制御システムは、前記保護されるシステムによって利用されるものより強力なアクセス制御を行使する、［Ｃ３７］に記載のシステム。
［Ｃ５６］
前記自律制御システムは、前記保護されるシステムの物理的な層に接続される、［Ｃ３７］に記載のシステム。
［Ｃ５７］
前記自律制御システムから前記保護されるシステムにメッセージを送るために、前記自律制御システムと前記保護されるシステムとの間のインターフェースバスをさらに備える、［Ｃ３７］に記載のシステム。
［Ｃ５８］
保護されるシステムを保護するための方法であって、
ルールに違反する入力信号について、前記入力信号のソースと前記保護されるシステムとの間で前記入力信号に直列に結合される自律制御システムのモニタ回路を用いて、前記保護されるシステムへの前記入力信号をモニタすることと、
前記保護されるシステムに結合される前記自律制御システムのアクション回路を用いて、違反する入力信号が前記保護されるシステムに影響を与えることを防止することと、
認証／攪乱／修復ロジック回路を用いて、違反する入力信号の検出に応答して、前記入力信号の前記ソースにメッセージを送ることと、
を備える方法。
［Ｃ５９］
前記メッセージは、前記保護されるシステムをエミュレートする、［Ｃ５８］に記載のシステム。
［Ｃ６０］
前記メッセージはエラーメッセージを含む、［Ｃ５８記載のシステム。
［Ｃ６１］
アクション回路が、前記ルールに違反する入力信号を検出する前記モニタ回路に応答して、前記保護されるシステムへの入力信号をブロックすることをさらに備える、［Ｃ５８］に記載の方法。
［Ｃ６２］
前記モニタ回路と前記アクション回路のメモリに前記ルールを記憶することと、
前記モニタ回路と前記アクション回路のプロセッサが、前記入力信号を受け取り、前記入力信号に前記ルールを適用し、前記ルールに違反する入力信号が前記保護されるシステムに影響を与えることを防止することと、
をさらに備える、［Ｃ５８］に記載の方法。
［Ｃ６３］
前記アクション回路が、違反する入力信号に応答して、入力信号を代替信号に置き換えることをさらに備える、［Ｃ５８］に記載の方法。
［Ｃ６４］
前記代替信号は、前記保護されるシステムに対し、違反する入力信号を与えようとする企てを示す、［Ｃ６３］に記載の方法。
［Ｃ６５］
前記アクション回路が、違反する入力信号に応答して、前記保護される回路を非動作にすることをさらに備える、［Ｃ５８］に記載の方法。
［Ｃ６６］
前記自律制御システムのメモリに、違反する入力信号を記憶することをさらに備える、［Ｃ５８］に記載の方法。
［Ｃ６７］
前記自律制御システムのメモリに認証データを記憶することと、
前記入力信号の前記ソースと前記保護されるシステムとの間の接続を確立するために、前記認証データを使用することと、
をさらに備える、［Ｃ５８］に記載の方法。
［Ｃ６８］
前記アクション回路のマルチプレクサによって前記入力信号を受け取ることと、
前記マルチプレクサが、前記ルールの無違反が検出されることに応答して、前記入力信号を前記保護されるシステムに渡すことと、
をさらに備える、［Ｃ５８］に記載の方法。
［Ｃ６９］
前記ルールが違反されたとき、前記マルチプレクサが、代替信号を前記保護されるシステムに与えることをさらに備える、［Ｃ６８］に記載の方法。
［Ｃ７０］
前記アクション回路を、前記入力信号の少なくとも第１の入力信号について、前記保護されるシステムと直列に、および、前記入力信号の少なくとも第２の入力信号について、前記保護されるシステムと並列に、接続することを更に備える、［Ｃ５８］に記載の方法。
［Ｃ７１］
前記自律制御システムが、前記保護されるシステムと前記自律制御システムとの間に配置された通信バス上でルールに違反する入力信号に応答して、前記保護されるシステムに信号を送ることをさらに備える、［Ｃ５８］に記載の方法。
［Ｃ７２］
前記自律制御システムと前記保護されるシステムとを共通のパッケージにひとまとめにすることをさらに備える、［Ｃ５８］に記載の方法。
［Ｃ７３］
前記自律制御システムが、前記自律制御システムの中に配置された制御システム秘密鍵を用いてメッセージに署名し、ソースに対して制御システム署名がされた前記メッセージを送ることと、
前記ソースが、前記自律制御システムが不正に干渉されているかを決定することと、をさらに備える、［Ｃ５８］に記載の方法。
［Ｃ７４］
前記ソースが、前記ソースの中に配置されたソース秘密鍵を用いてメッセージに署名し、ソース署名された前記メッセージを前記自律制御システムに送ることと、
前記自律制御システムが、ソース署名された前記メッセージから、前記ソースが不正に干渉されているかを決定することと、
をさらに備える、［Ｃ７３］に記載の方法。
［Ｃ７５］
前記ルールに違反する出力信号について、前記モニタ回路を用いて、前記保護されるシステムの出力信号をモニタすることと、
前記アクション回路を用いて、前記保護されるシステムからの違反する出力信号の散布を防止することと、
をさらに備える、［Ｃ５８］に記載の方法。
［Ｃ７６］
前記自律制御システムは、前記保護されるシステムによって利用されるものより強力なアクセス制御を行使する、［Ｃ５８］に記載の方法。
［Ｃ７７］
前記自律制御システムを、前記保護されるシステムの物理的な層に接続することをさらに備える、［Ｃ５８］に記載の方法。
［Ｃ７８］
前記自律制御システムと前記保護されるシステムとの間のインターフェースバスを介して、前記自律制御システムから前記保護されるシステムにメッセージを送ることをさらに備える、［Ｃ５８］に記載の方法。
［Ｃ７９］
ルールの自律的な行使のためのシステムであって、
入力信号に応答して動作する保護されるシステムと、
自律制御システムであって、
前記ルールの違反について前記入力信号をモニタするために、前記保護されるシステムと並列に前記入力信号に結合されるモニタ回路と、
違反する前記入力信号が前記保護されるシステムに影響を与えることを防止する、前記保護されるシステムに結合されたアクション回路と、
を含む自律制御システムと、
前記保護されるシステムによって使用可能な第１の電圧から前記自律制御システムによって利用可能な第２の電圧に前記入力信号をシフトするために、前記入力信号と前記保護される信号に前記自律制御システムを結合するレベルシフタと、
を備えるシステム。
［Ｃ８０］
前記モニタ回路と前記アクション回路は、
前記ルールを記憶するメモリと、
前記入力信号を受け取り、前記ルールを前記入力信号に適用し、前記ルールに違反する入力信号が前記保護されるシステムに影響を与えることを防止するプロセッサと、を含む、［Ｃ７９］に記載のシステム。
［Ｃ８１］
前記アクション回路は、違反する入力信号に応答して、入力信号を代替信号に置き換える、［Ｃ７９］に記載のシステム。
［Ｃ８２］
前記代替信号は、前記保護されるシステムに対し、違反する入力信号を与えようとする企てを示す、［Ｃ８１］に記載のシステム。
［Ｃ８３］
前記自律制御システムは、メモリを含み、
前記自律制御システムは、違反する入力信号を前記メモリに記憶する、
［Ｃ７９］に記載のシステム。
［Ｃ８４］
前記アクション回路は、また、前記入力信号の少なくとも第１の入力信号について、前記保護されるシステムと直列に接続される、［Ｃ７９］に記載のシステム。
［Ｃ８５］
前記入力信号の前記少なくとも第１の入力信号は、前記アクション回路を通り、前記モニタ回路が前記ルールに違反する入力信号を検出したら、前記アクション回路によって前記保護されるシステムに到達することからブロックされる、［Ｃ８４］に記載のシステム。
［Ｃ８６］
前記アクション回路は、違反する入力信号に応答して、前記保護される回路を非動作にする、［Ｃ８４］に記載のシステム。
［Ｃ８７］
前記アクション回路は、
前記入力信号の前記少なくとも第１の入力信号を受け取り、ルールの無違反が検出されることに応答して、前記入力信号の少なくとも第１の信号を前記保護されるシステムに渡すマルチプレクサ
を含む、［Ｃ８４］に記載のシステム。
［Ｃ８８］
前記マルチプレクサは、前記ルールに違反する前記入力信号に応答して、代替信号を前記保護されるシステムに与える、［Ｃ８７］に記載のシステム。
［Ｃ８９］
前記保護されるシステムと前記自律制御システムとの間に配置された通信バスをさらに含み、
前記自律制御システムは、前記通信バス上で前記ルールに違反する入力信号に応答して、前記保護されるシステムに信号を送る、
［Ｃ７９］に記載のシステム。
［Ｃ９０］
前記自律制御システムは、前記保護されるシステムと共通のパッケージに含まれる、［Ｃ７９］に記載のシステム。
［Ｃ９１］
前記自律制御システムは、前記自律制御システムに配置された制御システム秘密鍵を含み、
前記自律制御システムは、前記制御システム秘密鍵を用いてメッセージに署名し、ソースに対して制御システム署名がされた前記メッセージを送り、
前記ソースは、前記自律制御システムが不正に干渉されているかを決定する、［Ｃ７９］に記載のシステム。
［Ｃ９２］
前記ソースは、前記ソースの中に配置されたソース秘密鍵を含み、
前記ソースは、前記ソース秘密鍵を用いてメッセージに署名し、ソース署名された前記メッセージを前記自律制御システムに送り、
前記自律制御システムは、前記ソースが不正に干渉されているかを決定する、［Ｃ９１］に記載のシステム。
［Ｃ９３］
前記モニタ回路は、前記ルールの違反について出力信号をモニタするために、前記保護される回路の前記出力信号に結合され、
前記アクション回路は、違反する出力信号に応答して、前記出力信号の散布を防止する、
［Ｃ７９］に記載のシステム。
［Ｃ９４］
前記自律制御システムは、前記保護されるシステムによって利用されるものより強力なアクセス制御を行使する、［Ｃ７９］に記載のシステム。
［Ｃ９５］
前記自律制御システムは、前記保護されるシステムの物理的な層に接続される、［Ｃ７９］に記載のシステム。
［Ｃ９６］
保護されるシステムを保護するための方法であって、
前記保護されるシステムによって使用可能な第１の電圧から自律制御システムによって使用可能な第２の電圧に入力信号をレベルシフトすることと、
ルールに違反する入力信号について、前記入力信号にレベルシフタを介して前記保護されるシステムと並列に接続された、前記自律制御システムのモニタ回路を用いて、前記保護されるシステムへのレベルシフトされた前記入力信号をモニタすることと、
前記保護されるシステムに結合される前記自律制御システムのアクション回路を用いて、違反する入力信号が前記保護されるシステムに影響を与えることを防止することと、を備える方法。
［Ｃ９７］
前記モニタ回路と前記アクション回路のメモリに前記ルールを記憶することと、
前記モニタ回路と前記アクション回路のプロセッサが、前記入力信号を受け取り、前記入力信号に前記ルールを適用し、前記ルールに違反する入力信号が前記保護されるシステムに影響を与えることを防止することと、
をさらに備える、［Ｃ９６］に記載の方法。
［Ｃ９８］
前記アクション回路が、違反する入力信号に応答して、入力信号を代替信号に置き換えることをさらに備える、［Ｃ９６］に記載の方法。
［Ｃ９９］
前記代替信号は、前記保護されるシステムに対し、違反する入力信号を与えようとする企てを示す、［Ｃ９８］に記載の方法。
［Ｃ１００］
前記自律制御システムのメモリに、違反する入力信号を記憶することをさらに備える、［Ｃ９６］に記載の方法。
［Ｃ１０１］
前記入力信号の少なくとも第１の入力信号について、前記保護される回路と直列に前記アクション回路を接続することをさらに備える、［Ｃ９６］に記載の方法。
［Ｃ１０２］
前記アクション回路が、前記ルールに違反する入力信号を検出する前記モニタ回路に応答して、前記保護されるシステムへの前記入力信号の前記少なくとも第１の入力信号をブロックすることをさらに備える、［Ｃ１０１］に記載の方法。
［Ｃ１０３］
前記アクション回路が、違反する入力信号に応答して、前記保護される回路を非動作にすることをさらに備える、［Ｃ１０１］に記載の方法。
［Ｃ１０４］
前記アクション回路のマルチプレクサによって前記入力信号の前記少なくとも第１の入力信号を受け取ることと、
前記マルチプレクサが、前記ルールの無違反が検出されることに応答して、前記入力信号の前記少なくとも第１の入力信号を前記保護されるシステムに渡すことと、をさらに備える、［Ｃ１０１］に記載の方法。
［Ｃ１０５］
前記ルールが違反されたとき、前記マルチプレクサが、代替信号を前記保護されるシステムに与えることをさらに備える、［Ｃ１０４］に記載の方法。
［Ｃ１０６］
前記自律制御システムが、前記保護されるシステムと前記自律制御システムとの間に配置された通信バス上でルールに違反する入力信号に応答して、前記保護されるシステムに信号を送ることをさらに備える、［Ｃ９６］に記載の方法。
［Ｃ１０７］
前記自律制御システムと前記保護されるシステムとを共通のパッケージにひとまとめにすることをさらに備える、［Ｃ９６］に記載の方法。
［Ｃ１０８］
前記自律制御システムが、前記自律制御システムの中に配置された制御システム秘密鍵を用いてメッセージに署名し、ソースに対して制御システム署名がされた前記メッセージを送ることと、
前記ソースが、前記自律制御システムが不正に干渉されているかを決定することと、をさらに備える、［Ｃ９６］に記載の方法。
［Ｃ１０９］
前記ソースが、前記ソースの中に配置されたソース秘密鍵を用いてメッセージに署名し、ソース署名された前記メッセージを前記自律制御システムに送ることと、
前記自律制御システムが、ソース署名された前記メッセージから、前記ソースが不正に干渉されているかを決定することと、
をさらに備える、［Ｃ１０８］に記載の方法。
［Ｃ１１０］
前記ルールに違反する出力信号について、前記モニタ回路を用いて、前記保護されるシステムの出力信号をモニタすることと、
前記アクション回路を用いて、前記保護されるシステムからの違反する出力信号の散布を防止することと、
をさらに備える、［Ｃ９６］に記載の方法。
［Ｃ１１１］
前記自律制御システムは、前記保護されるシステムによって利用されるものより強力なアクセス制御を行使する、［Ｃ９６］に記載の方法。
［Ｃ１１２］
前記自律制御システムを、前記保護されるシステムの物理的な層に接続することをさらに備える、［Ｃ９６］に記載の方法。
［Ｃ１１３］
ルールの自律的な行使のためのシステムであって、
入力信号に応答して動作する保護されるシステムであって、入／出力（Ｉ／Ｏ）バスと、Ｉ／Ｏバスに結合された複数の周辺機器を含む保護されるシステムと、
自律制御システムであって、
前記ルールの違反について前記Ｉ／Ｏバス上の前記入力信号をモニタするために、および、前記複数の周辺機器のどれが前記入力信号によってアドレスされているかを決定するために、前記Ｉ／Ｏバスに結合されるモニタ回路と、
違反する前記入力信号が前記保護されるシステムに影響を与えることを防止する、前記保護されるシステムに結合されたアクション回路と、
を含む自律制御システムと、
を備えるシステム。
［Ｃ１１４］
前記自律制御システムは、前記複数の周辺機器と並列に前記入力信号に結合される、［Ｃ１１３］に記載のシステム。
［Ｃ１１５］
前記モニタ回路と前記アクション回路は、
前記ルールを記憶するメモリと、
前記入力信号を受け取り、前記ルールを前記入力信号に適用し、前記ルールに違反する入力信号が前記保護されるシステムに影響を与えることを防止するプロセッサと、を含む、［Ｃ１１３］に記載のシステム。
［Ｃ１１６］
前記アクション回路は、違反する入力信号に応答して、入力信号を代替信号に置き換える、［Ｃ１１３］に記載のシステム。
［Ｃ１１７］
前記代替信号は、前記保護されるシステムに対し、違反する入力信号を与えようとする企てを示す、［Ｃ１１６］に記載のシステム。
［Ｃ１１８］
前記代替信号は、前記複数の周辺機器のどの周辺機器が違反する前記入力信号によってアドレスされているかに基づいて選ばれる、［Ｃ１１６］に記載のシステム。
［Ｃ１１９］
前記アクション回路は、違反する入力信号に応答して、前記保護される回路を非動作にする、［Ｃ１１３］に記載のシステム。
［Ｃ１２０］
前記自律制御システムは、メモリを含み、
前記自律制御システムは、前記メモリに違反する入力信号を記憶する、
［Ｃ１１３］に記載のシステム。
［Ｃ１２１］
前記自律制御システムは、前記保護されるシステムと共通のパッケージに含まれる、［Ｃ１１３］に記載のシステム。
［Ｃ１２２］
前記自律制御システムは、前記自律制御システムに配置された制御システム秘密鍵を含み、
前記自律制御システムは、前記制御システム秘密鍵を用いてメッセージに署名し、ソースに対して制御システム署名がされた前記メッセージを送り、
前記ソースは、前記自律制御システムが不正に干渉されているかを決定する、［Ｃ１１３］に記載のシステム。
［Ｃ１２３］
前記ソースは、前記ソースの中に配置されたソース秘密鍵を含み、
前記ソースは、前記ソース秘密鍵を用いてメッセージに署名し、ソース署名された前記メッセージを前記自律制御システムに送り、
前記自律制御システムは、前記ソースが不正に干渉されているかを決定する、［Ｃ１２２］に記載のシステム。
［Ｃ１２４］
前記モニタ回路は、前記ルールの違反について出力信号をモニタするために、前記複数の周辺機器の前記出力信号に結合され、
前記アクション回路は、違反する出力信号に応答して、前記出力信号の散布を防止する、
［Ｃ１１３］に記載のシステム。
［Ｃ１２５］
前記自律制御システムは、前記保護されるシステムによって利用されるものより強力なアクセス制御を行使する、［Ｃ１１３］に記載のシステム。
［Ｃ１２６］
前記自律制御システムは、前記保護されるシステムの物理的な層に接続される、［Ｃ１１３］に記載のシステム。
［Ｃ１２７］
保護されるシステムを保護するための方法であって、
ルールに違反する入力信号について、入／出力（Ｉ／Ｏ）バスに結合された、自律制御システムのモニタ回路を用いて、前記保護されるシステムの前記Ｉ／Ｏバス上の入力信号をモニタし、前記Ｉ／Ｏバスに結合された複数の周辺機器のどれが前記入力信号によってアドレスされているかを決定することと、
前記保護されるシステムに結合された前記自律制御システムのアクション回路を用いて、違反する入力信号が前記保護されるシステムに影響を与えることを防止することと、を備える方法。
［Ｃ１２８］
前記複数の周辺機器と並列に、前記自律制御システムを前記入力信号に結合することをさらに備える、［Ｃ１２７］に記載の方法。
［Ｃ１２９］
前記ルールを前記モニタ回路と前記アクション回路のメモリに記憶することと、
前記モニタ回路と前記アクション回路のプロセッサが、前記入力信号を受け取り、前記ルールを前記入力信号に適用し、前記ルールに違反する入力信号が前記保護されるシステムに影響を与えることを防止することと、
をさらに備える、［Ｃ１２７］に記載の方法。
［Ｃ１３０］
前記アクション回路が、違反する入力信号に応答して、入力信号を代替信号に置き換えることをさらに備える、［Ｃ１２７］に記載の方法。
［Ｃ１３１］
前記代替信号は、前記複数の周辺機器のどの周辺機器が違反する前記入力信号によってアドレスされているかに基づいて選ばれる、［Ｃ１３０］に記載の方法。
［Ｃ１３２］
前記代替信号は、前記保護されるシステムに対し、違反する入力信号を与えようとする企てを示す、［Ｃ１３０］に記載の方法。
［Ｃ１３３］
前記アクション回路が、違反する入力信号に応答して、前記保護される回路を非動作にすることをさらに備える、［Ｃ１２７］に記載の方法。
［Ｃ１３４］
違反する入力信号を前記自律制御システムのメモリに記憶することをさらに備える、［Ｃ１２７］に記載の方法。
［Ｃ１３５］
前記自律制御システムと前記保護されるシステムとを共通のパッケージにひとまとめにすることをさらに備える、［Ｃ１２７］に記載の方法。
［Ｃ１３６］
前記自律制御システムが、前記自律制御システムに配置された制御システム秘密鍵を用いてメッセージに署名し、ソースに対して制御システム署名がされた前記メッセージを送ることと、
前記ソースが、前記自律制御システムが不正に干渉されているかを決定することと、をさらに備える、［Ｃ１２７］に記載の方法。
［Ｃ１３７］
前記ソースが、前記ソースの中に配置されたソース秘密鍵を用いてメッセージに署名し、ソース署名された前記メッセージを前記自律制御システムに送ることと、
前記自律制御システムが、前記ソースが不正に干渉されているかを決定することと、をさらに備える、［Ｃ１３６］に記載の方法。
［Ｃ１３８］
前記ルールに違反する出力信号について、前記モニタ回路を用いて前記複数の周辺機器の出力信号をモニタすることと、
前記アクション回路を用いて、前記保護されるシステムからの違反する出力信号の散布を防止することと、
をさらに備える、［Ｃ１２７］に記載の方法。
［Ｃ１３９］
前記自律制御システムは、前記保護されるシステムによって利用されるものより強力なアクセス制御を行使する、［Ｃ１２７］に記載の方法。
［Ｃ１４０］
前記保護されるシステムの物理的な層に前記自律制御システムを接続することをさらに備える、［Ｃ１２７］に記載の方法。

Claims

ルールの自律的行使のためのシステムであって、
入力信号に応答して動作するＩｎｄｕｓｔｒｉａｌＣｏｎｔｒｏｌＳｙｓｔｅｍｓ（ＩＣＳ）および／またはＳｕｐｅｒｖｉｓｏｒｙＣｏｎｔｒｏｌａｎｄＡｃｑｕｓｉｔｉｏｎ（ＳＣＡＤＡ）のネットワークの物理的な信号インターフェースにおいて保護されるシステムと、
前記ルールの違反について前記入力信号をモニタするために前記入力信号に結合されるモニタ回路と、前記保護されるシステムに結合され、違反する前記入力信号が前記保護されるシステムに影響を与えることを防止するアクション回路とを含む自律制御システムと、
を備えるシステム。
前記入力信号は、前記アクション回路を通り、前記モニタ回路が前記ルールに違反する入力信号を検出すると、前記アクション回路によって、前記保護されるシステムに到達することからブロックされる、請求項１に記載のシステム。
前記自律制御システムは、前記保護されるシステムと並列に、前記入力信号に結合される、請求項１に記載のシステム。
前記モニタ回路と前記アクション回路は、
前記ルールを記憶するためのメモリと、
前記入力信号を受け取り、前記入力信号に前記ルールを適用し、前記ルールに違反する入力信号が前記保護されるシステムに影響を与えることを防止するプロセッサと、
を含む、請求項１に記載のシステム。
前記アクション回路は、違反する入力信号に応答して、入力信号を代替信号に置き換える、請求項１に記載のシステム。
前記代替信号は、前記保護されるシステムに対し、違反する入力信号を与えようとする企てを示す、請求項５に記載のシステム。
前記アクション回路は、違反する入力信号に応答して、前記保護される回路を非動作にする、請求項１に記載のシステム。
前記自律制御システムは、メモリを含み、
前記自律制御システムは、違反する入力信号を前記メモリに記憶する、
請求項１に記載のシステム。
前記アクション回路は、
前記入力信号を受け取り、ルールの無違反が検出されることに応答して、前記入力信号を前記保護されるシステムに渡すマルチプレクサ
を含む、請求項１に記載のシステム。
前記マルチプレクサは、前記ルールに違反する前記入力信号に応答して、代替信号を前記保護されるシステムに与える、請求項９に記載のシステム。
前記アクション回路は、前記入力信号の少なくとも第１の入力信号について、前記保護されるシステムと直列に、および、前記入力信号の少なくとも第２の入力信号について、前記保護されるシステムと並列に、接続される、請求項１に記載のシステム。
前記保護されるシステムと前記自律制御システムとの間に配置された通信バスをさらに含み、
前記自律制御システムは、前記通信バス上で前記ルールに違反する入力信号に応答して、前記保護されるシステムに信号を送る、
請求項１に記載のシステム。
前記自律制御システムは、前記保護されるシステムと共通のパッケージに含まれる、請求項１に記載のシステム。
前記自律制御システムは、前記自律制御システムに配置された制御システム秘密鍵を含み、
前記自律制御システムは、前記制御システム秘密鍵を用いてメッセージに署名し、ソースに対して制御システム署名がされた前記メッセージを送り、
前記ソースは、前記自律制御システムが不正に干渉されているかを決定する、
請求項１に記載のシステム。
前記ソースは、前記ソースに配置されたソース秘密鍵を含み、
前記ソースは、前記ソース秘密鍵を用いてメッセージに署名し、ソース署名された前記メッセージを前記自律制御システムに送り、
前記自律制御システムは、前記ソースが不正に干渉されているかを決定する、
請求項１４に記載のシステム。
前記モニタ回路は、前記ルールの違反について出力信号をモニタするために、前記保護される回路の前記出力信号に結合され、
前記アクション回路は、違反する出力信号に応答して、前記出力信号の散布を防止する、
請求項１に記載のシステム。
前記自律制御システムは、前記保護されるシステムによって利用されるものより強力なアクセス制御を行使する、請求項１に記載のシステム。
前記自律制御システムは、前記保護されるシステムの物理的な層に接続される、請求項１に記載のシステム。
保護されるシステムを保護するための方法であって、
ルールに違反する入力信号について、入力信号を供給するＩｎｄｕｓｔｒｉａｌＣｏｎｔｒｏｌＳｙｓｔｅｍｓ（ＩＣＳ）および／またはＳｕｐｅｒｖｉｓｏｒｙＣｏｎｔｒｏｌａｎｄＡｃｑｕｓｉｔｉｏｎ（ＳＣＡＤＡ）のネットワークに結合される自律制御システムのモニタ回路を用いて、前記保護されるシステムへの前記入力信号をモニタすることと、
前記保護されるシステムに結合される前記自律制御システムのアクション回路を用いて、違反する入力信号が前記保護されるシステムに影響を与えることを防止することと、
を備える方法。
アクション回路が、前記ルールに違反する入力信号を検出する前記モニタ回路に応答して、前記保護されるシステムへの入力信号をブロックすることをさらに備える、請求項１９に記載の方法。
前記自律制御システムを、前記保護されるシステムと並列に、前記入力信号に結合することをさらに備える、請求項１９に記載の方法。
前記モニタ回路と前記アクション回路のメモリに前記ルールを記憶することと、
前記モニタ回路と前記アクション回路のプロセッサが、前記入力信号を受け取り、前記入力信号に前記ルールを適用し、前記ルールに違反する入力信号が前記保護されるシステムに影響を与えることを防止することと、
をさらに備える、請求項１９に記載の方法。
前記アクション回路が、違反する入力信号に応答して、入力信号を代替信号に置き換えることをさらに備える、請求項１９に記載の方法。
前記代替信号は、前記保護されるシステムに対し、違反する入力信号を与えようとする企てを示す、請求項２３に記載の方法。
前記アクション回路が、違反する入力信号に応答して、前記保護される回路を非動作にすることをさらに備える、請求項１９に記載の方法。
前記自律制御システムのメモリに、違反する入力信号を記憶することをさらに備える、請求項１９に記載の方法。
前記アクション回路のマルチプレクサによって前記入力信号を受け取ることと、
前記マルチプレクサが、前記ルールの無違反が検出されることに応答して、前記入力信号を前記保護されるシステムに渡すことと、
をさらに備える、請求項１９に記載の方法。
前記ルールが違反されたとき、前記マルチプレクサが、代替信号を前記保護されるシステムに与えることをさらに備える、請求項２７に記載の方法。
前記アクション回路を、前記入力信号の少なくとも第１の入力信号について、前記保護されるシステムと直列に、および、前記入力信号の少なくとも第２の入力信号について、前記保護されるシステムと並列に、接続することを更に備える、請求項１９に記載の方法。
前記自律制御システムが、前記保護されるシステムと前記自律制御システムとの間に配置された通信バス上でルールに違反する入力信号に応答して、前記保護されるシステムに信号を送ることをさらに備える、請求項１９に記載の方法。
前記自律制御システムと前記保護されるシステムとを共通のパッケージにひとまとめにすることをさらに備える、請求項１９に記載の方法。
前記自律制御システムが、前記自律制御システムの中に配置された制御システム秘密鍵を用いてメッセージに署名し、ソースに対して制御システム署名がされた前記メッセージを送ることと、
前記ソースが、前記自律制御システムが不正に干渉されているかを決定することと、
をさらに備える、請求項１９に記載の方法。
前記ソースが、前記ソースの中に配置されたソース秘密鍵を用いてメッセージに署名し、ソース署名された前記メッセージを前記自律制御システムに送ることと、
前記自律制御システムが、ソース署名された前記メッセージから、前記ソースが不正に干渉されているかを決定することと、
をさらに備える、請求項３２に記載の方法。
前記ルールに違反する出力信号について、前記モニタ回路を用いて、前記保護されるシステムの出力信号をモニタすることと、
前記アクション回路を用いて、前記保護されるシステムからの違反する出力信号の散布を防止することと、
をさらに備える、請求項１９に記載の方法。
前記自律制御システムは、前記保護されるシステムによって利用されるものより強力なアクセス制御を行使する、請求項１９に記載の方法。
前記自律制御システムを、前記保護されるシステムの物理的な層に接続することをさらに備える、請求項１９に記載の方法。
ルールの自律的な行使のためのシステムであって、
入力信号に応答して動作する保護されるシステムと、
自律制御システムであって、
前記ルールの違反について前記入力信号をモニタするために、前記入力信号のソースと前記保護されるシステムとの間に直列に結合されるモニタ回路と、
違反する前記入力信号が前記保護されるシステムに影響を与えることを防止する、前記保護されるシステムに結合されたアクション回路と、
違反する入力信号の検出に応答して前記入力信号の前記ソースにメッセージを送る認証／攪乱／修復ロジックと、
を含む自律制御システムと、
を備えるシステム。
前記メッセージは、前記保護されるシステムをエミュレートする、請求項３７に記載のシステム。
前記メッセージは、エラーメッセージを含む、請求項３７に記載のシステム。
前記入力信号は、前記アクション回路を通り、前記モニタ回路が前記ルールに違反する入力信号を検出すると、前記保護されるシステムに到達することから前記アクション回路によってブロックされる、請求項３７に記載のシステム。
前記モニタ回路と前記アクション回路は、
前記ルールを記憶するためのメモリと、
前記入力信号を受け取り、前記入力信号に前記ルールを適用し、前記ルールに違反する入力信号が前記保護されるシステムに影響を与えることを防止するプロセッサと、
を含む、請求項３７に記載のシステム。
前記アクション回路は、違反する入力信号に応答して、入力信号を代替信号に置き換える、請求項３７に記載のシステム。
前記代替信号は、前記保護されるシステムに対し、違反する入力信号を与えようとする企てを示す、請求項４２に記載のシステム。
前記アクション回路は、違反する入力信号に応答して、前記保護される回路を非動作にする、請求項３７に記載のシステム。
前記自律制御システムは、メモリを含み、
前記自律制御システムは、違反する入力信号を前記メモリに記憶する、
請求項３７に記載のシステム。
前記自律制御システムはメモリを含み、
前記自律制御システムは、前記メモリに認証データを記憶し、
前記自律制御システムは、前記入力信号の前記ソースと前記保護されるシステムとの間で接続を確立するために前記認証データを使用する、
請求項３７に記載のシステム。
前記アクション回路は、
前記入力信号を受け取り、ルールの無違反が検出されることに応答して、前記入力信号を前記保護されるシステムに渡すマルチプレクサ
を含む、請求項３７に記載のシステム。
前記マルチプレクサは、前記ルールに違反する前記入力信号に応答して、代替信号を前記保護されるシステムに与える、請求項４７に記載のシステム。
前記アクション回路は、前記入力信号の少なくとも第１の入力信号について、前記保護されるシステムと直列に、および、前記入力信号の少なくとも第２の入力信号について、前記保護されるシステムと並列に、接続される、請求項３７に記載のシステム。
前記保護されるシステムと前記自律制御システムとの間に配置された通信バスをさらに含み、
前記自律制御システムは、前記通信バス上で前記ルールに違反する入力信号に応答して、前記保護されるシステムに信号を送る、
請求項３７に記載のシステム。
前記自律制御システムは、前記保護されるシステムと共通のパッケージに含まれる、請求項３７に記載のシステム。
前記自律制御システムは、前記自律制御システムに配置された制御システム秘密鍵を含み、
前記自律制御システムは、前記制御システム秘密鍵を用いてメッセージに署名し、ソースに対して制御システム署名がされた前記メッセージを送り、
前記ソースは、前記自律制御システムが不正に干渉されているかを決定する、
請求項３７に記載のシステム。
前記ソースは、前記ソースの中に配置されたソース秘密鍵を含み、
前記ソースは、前記ソース秘密鍵を用いてメッセージに署名し、ソース署名された前記メッセージを前記自律制御システムに送り、
前記自律制御システムは、前記ソースが不正に干渉されているかを決定する、
請求項５２に記載のシステム。
前記モニタ回路は、前記ルールの違反について出力信号をモニタするために、前記保護される回路の前記出力信号に結合され、
前記アクション回路は、違反する出力信号に応答して、前記出力信号の散布を防止する、
請求項３７に記載のシステム。
前記自律制御システムは、前記保護されるシステムによって利用されるものより強力なアクセス制御を行使する、請求項３７に記載のシステム。
前記自律制御システムは、前記保護されるシステムの物理的な層に接続される、請求項３７に記載のシステム。
前記自律制御システムから前記保護されるシステムにメッセージを送るために、前記自律制御システムと前記保護されるシステムとの間のインターフェースバスをさらに備える、請求項３７に記載のシステム。
保護されるシステムを保護するための方法であって、
ルールに違反する入力信号について、前記入力信号のソースと前記保護されるシステムとの間で前記入力信号に直列に結合される自律制御システムのモニタ回路を用いて、前記保護されるシステムへの前記入力信号をモニタすることと、
前記保護されるシステムに結合される前記自律制御システムのアクション回路を用いて、違反する入力信号が前記保護されるシステムに影響を与えることを防止することと、
認証／攪乱／修復ロジック回路を用いて、違反する入力信号の検出に応答して、前記入力信号の前記ソースにメッセージを送ることと、
を備える方法。
前記メッセージは、前記保護されるシステムをエミュレートする、請求項５８に記載のシステム。
前記メッセージはエラーメッセージを含む、請求項５８記載のシステム。
アクション回路が、前記ルールに違反する入力信号を検出する前記モニタ回路に応答して、前記保護されるシステムへの入力信号をブロックすることをさらに備える、請求項５８に記載の方法。
前記モニタ回路と前記アクション回路のメモリに前記ルールを記憶することと、
前記モニタ回路と前記アクション回路のプロセッサが、前記入力信号を受け取り、前記入力信号に前記ルールを適用し、前記ルールに違反する入力信号が前記保護されるシステムに影響を与えることを防止することと、
をさらに備える、請求項５８に記載の方法。
前記アクション回路が、違反する入力信号に応答して、入力信号を代替信号に置き換えることをさらに備える、請求項５８に記載の方法。
前記代替信号は、前記保護されるシステムに対し、違反する入力信号を与えようとする企てを示す、請求項６３に記載の方法。
前記アクション回路が、違反する入力信号に応答して、前記保護される回路を非動作にすることをさらに備える、請求項５８に記載の方法。
前記自律制御システムのメモリに、違反する入力信号を記憶することをさらに備える、請求項５８に記載の方法。
前記自律制御システムのメモリに認証データを記憶することと、
前記入力信号の前記ソースと前記保護されるシステムとの間の接続を確立するために、前記認証データを使用することと、
をさらに備える、請求項５８に記載の方法。
前記アクション回路のマルチプレクサによって前記入力信号を受け取ることと、
前記マルチプレクサが、前記ルールの無違反が検出されることに応答して、前記入力信号を前記保護されるシステムに渡すことと、
をさらに備える、請求項５８に記載の方法。
前記ルールが違反されたとき、前記マルチプレクサが、代替信号を前記保護されるシステムに与えることをさらに備える、請求項６８に記載の方法。
前記アクション回路を、前記入力信号の少なくとも第１の入力信号について、前記保護されるシステムと直列に、および、前記入力信号の少なくとも第２の入力信号について、前記保護されるシステムと並列に、接続することを更に備える、請求項５８に記載の方法。
前記自律制御システムが、前記保護されるシステムと前記自律制御システムとの間に配置された通信バス上でルールに違反する入力信号に応答して、前記保護されるシステムに信号を送ることをさらに備える、請求項５８に記載の方法。
前記自律制御システムと前記保護されるシステムとを共通のパッケージにひとまとめにすることをさらに備える、請求項５８に記載の方法。
前記自律制御システムが、前記自律制御システムの中に配置された制御システム秘密鍵を用いてメッセージに署名し、ソースに対して制御システム署名がされた前記メッセージを送ることと、
前記ソースが、前記自律制御システムが不正に干渉されているかを決定することと、
をさらに備える、請求項５８に記載の方法。
前記ソースが、前記ソースの中に配置されたソース秘密鍵を用いてメッセージに署名し、ソース署名された前記メッセージを前記自律制御システムに送ることと、
前記自律制御システムが、ソース署名された前記メッセージから、前記ソースが不正に干渉されているかを決定することと、
をさらに備える、請求項７３に記載の方法。
前記ルールに違反する出力信号について、前記モニタ回路を用いて、前記保護されるシステムの出力信号をモニタすることと、
前記アクション回路を用いて、前記保護されるシステムからの違反する出力信号の散布を防止することと、
をさらに備える、請求項５８に記載の方法。
前記自律制御システムは、前記保護されるシステムによって利用されるものより強力なアクセス制御を行使する、請求項５８に記載の方法。
前記自律制御システムを、前記保護されるシステムの物理的な層に接続することをさらに備える、請求項５８に記載の方法。
前記自律制御システムと前記保護されるシステムとの間のインターフェースバスを介して、前記自律制御システムから前記保護されるシステムにメッセージを送ることをさらに備える、請求項５８に記載の方法。
ルールの自律的な行使のためのシステムであって、
入力信号に応答して動作する保護されるシステムと、
自律制御システムであって、
前記ルールの違反について前記入力信号をモニタするために、前記保護されるシステムと並列に前記入力信号に結合されるモニタ回路と、
違反する前記入力信号が前記保護されるシステムに影響を与えることを防止する、前記保護されるシステムに結合されたアクション回路と、
を含む自律制御システムと、
前記保護されるシステムによって使用可能な第１の電圧から前記自律制御システムによって利用可能な第２の電圧に前記入力信号をシフトするために、前記入力信号と前記保護される信号に前記自律制御システムを結合するレベルシフタと、
を備えるシステム。
前記モニタ回路と前記アクション回路は、
前記ルールを記憶するメモリと、
前記入力信号を受け取り、前記ルールを前記入力信号に適用し、前記ルールに違反する入力信号が前記保護されるシステムに影響を与えることを防止するプロセッサと、
を含む、請求項７９に記載のシステム。
前記アクション回路は、違反する入力信号に応答して、入力信号を代替信号に置き換える、請求項７９に記載のシステム。
前記代替信号は、前記保護されるシステムに対し、違反する入力信号を与えようとする企てを示す、請求項８１に記載のシステム。
前記自律制御システムは、メモリを含み、
前記自律制御システムは、違反する入力信号を前記メモリに記憶する、
請求項７９に記載のシステム。
前記アクション回路は、また、前記入力信号の少なくとも第１の入力信号について、前記保護されるシステムと直列に接続される、請求項７９に記載のシステム。
前記入力信号の前記少なくとも第１の入力信号は、前記アクション回路を通り、前記モニタ回路が前記ルールに違反する入力信号を検出したら、前記アクション回路によって前記保護されるシステムに到達することからブロックされる、請求項８４に記載のシステム。
前記アクション回路は、違反する入力信号に応答して、前記保護される回路を非動作にする、請求項８４に記載のシステム。
前記アクション回路は、
前記入力信号の前記少なくとも第１の入力信号を受け取り、ルールの無違反が検出されることに応答して、前記入力信号の少なくとも第１の信号を前記保護されるシステムに渡すマルチプレクサ
を含む、請求項８４に記載のシステム。
前記マルチプレクサは、前記ルールに違反する前記入力信号に応答して、代替信号を前記保護されるシステムに与える、請求項８７に記載のシステム。
前記保護されるシステムと前記自律制御システムとの間に配置された通信バスをさらに含み、
前記自律制御システムは、前記通信バス上で前記ルールに違反する入力信号に応答して、前記保護されるシステムに信号を送る、
請求項７９に記載のシステム。
前記自律制御システムは、前記保護されるシステムと共通のパッケージに含まれる、請求項７９に記載のシステム。
前記自律制御システムは、前記自律制御システムに配置された制御システム秘密鍵を含み、
前記自律制御システムは、前記制御システム秘密鍵を用いてメッセージに署名し、ソースに対して制御システム署名がされた前記メッセージを送り、
前記ソースは、前記自律制御システムが不正に干渉されているかを決定する、
請求項７９に記載のシステム。
前記ソースは、前記ソースの中に配置されたソース秘密鍵を含み、
前記ソースは、前記ソース秘密鍵を用いてメッセージに署名し、ソース署名された前記メッセージを前記自律制御システムに送り、
前記自律制御システムは、前記ソースが不正に干渉されているかを決定する、
請求項９１に記載のシステム。
前記モニタ回路は、前記ルールの違反について出力信号をモニタするために、前記保護される回路の前記出力信号に結合され、
前記アクション回路は、違反する出力信号に応答して、前記出力信号の散布を防止する、
請求項７９に記載のシステム。
前記自律制御システムは、前記保護されるシステムによって利用されるものより強力なアクセス制御を行使する、請求項７９に記載のシステム。
前記自律制御システムは、前記保護されるシステムの物理的な層に接続される、請求項７９に記載のシステム。
保護されるシステムを保護するための方法であって、
前記保護されるシステムによって使用可能な第１の電圧から自律制御システムによって使用可能な第２の電圧に入力信号をレベルシフトすることと、
ルールに違反する入力信号について、前記入力信号にレベルシフタを介して前記保護されるシステムと並列に接続された、前記自律制御システムのモニタ回路を用いて、前記保護されるシステムへのレベルシフトされた前記入力信号をモニタすることと、
前記保護されるシステムに結合される前記自律制御システムのアクション回路を用いて、違反する入力信号が前記保護されるシステムに影響を与えることを防止することと、
を備える方法。
前記モニタ回路と前記アクション回路のメモリに前記ルールを記憶することと、
前記モニタ回路と前記アクション回路のプロセッサが、前記入力信号を受け取り、前記入力信号に前記ルールを適用し、前記ルールに違反する入力信号が前記保護されるシステムに影響を与えることを防止することと、
をさらに備える、請求項９６に記載の方法。
前記アクション回路が、違反する入力信号に応答して、入力信号を代替信号に置き換えることをさらに備える、請求項９６に記載の方法。
前記代替信号は、前記保護されるシステムに対し、違反する入力信号を与えようとする企てを示す、請求項９８に記載の方法。
前記自律制御システムのメモリに、違反する入力信号を記憶することをさらに備える、請求項９６に記載の方法。
前記入力信号の少なくとも第１の入力信号について、前記保護される回路と直列に前記アクション回路を接続することをさらに備える、請求項９６に記載の方法。
前記アクション回路が、前記ルールに違反する入力信号を検出する前記モニタ回路に応答して、前記保護されるシステムへの前記入力信号の前記少なくとも第１の入力信号をブロックすることをさらに備える、請求項１０１に記載の方法。
前記アクション回路が、違反する入力信号に応答して、前記保護される回路を非動作にすることをさらに備える、請求項１０１に記載の方法。
前記アクション回路のマルチプレクサによって前記入力信号の前記少なくとも第１の入力信号を受け取ることと、
前記マルチプレクサが、前記ルールの無違反が検出されることに応答して、前記入力信号の前記少なくとも第１の入力信号を前記保護されるシステムに渡すことと、
をさらに備える、請求項１０１に記載の方法。
前記ルールが違反されたとき、前記マルチプレクサが、代替信号を前記保護されるシステムに与えることをさらに備える、請求項１０４に記載の方法。
前記自律制御システムが、前記保護されるシステムと前記自律制御システムとの間に配置された通信バス上でルールに違反する入力信号に応答して、前記保護されるシステムに信号を送ることをさらに備える、請求項９６に記載の方法。
前記自律制御システムと前記保護されるシステムとを共通のパッケージにひとまとめにすることをさらに備える、請求項９６に記載の方法。
前記自律制御システムが、前記自律制御システムの中に配置された制御システム秘密鍵を用いてメッセージに署名し、ソースに対して制御システム署名がされた前記メッセージを送ることと、
前記ソースが、前記自律制御システムが不正に干渉されているかを決定することと、
をさらに備える、請求項９６に記載の方法。
前記ソースが、前記ソースの中に配置されたソース秘密鍵を用いてメッセージに署名し、ソース署名された前記メッセージを前記自律制御システムに送ることと、
前記自律制御システムが、ソース署名された前記メッセージから、前記ソースが不正に干渉されているかを決定することと、
をさらに備える、請求項１０８に記載の方法。
前記ルールに違反する出力信号について、前記モニタ回路を用いて、前記保護されるシステムの出力信号をモニタすることと、
前記アクション回路を用いて、前記保護されるシステムからの違反する出力信号の散布を防止することと、
をさらに備える、請求項９６に記載の方法。
前記自律制御システムは、前記保護されるシステムによって利用されるものより強力なアクセス制御を行使する、請求項９６に記載の方法。
前記自律制御システムを、前記保護されるシステムの物理的な層に接続することをさらに備える、請求項９６に記載の方法。
ルールの自律的な行使のためのシステムであって、
入力信号に応答して動作する保護されるシステムであって、入／出力（Ｉ／Ｏ）バスと、Ｉ／Ｏバスに結合された複数の周辺機器を含む保護されるシステムと、
自律制御システムであって、
前記ルールの違反について前記Ｉ／Ｏバス上の前記入力信号をモニタするために、および、前記複数の周辺機器のどれが前記入力信号によってアドレスされているかを決定するために、前記Ｉ／Ｏバスに結合されるモニタ回路と、
違反する前記入力信号が前記保護されるシステムに影響を与えることを防止する、前記保護されるシステムに結合されたアクション回路と、
を含む自律制御システムと、
を備えるシステム。
前記自律制御システムは、前記複数の周辺機器と並列に前記入力信号に結合される、請求項１１３に記載のシステム。
前記モニタ回路と前記アクション回路は、
前記ルールを記憶するメモリと、
前記入力信号を受け取り、前記ルールを前記入力信号に適用し、前記ルールに違反する入力信号が前記保護されるシステムに影響を与えることを防止するプロセッサと、
を含む、請求項１１３に記載のシステム。
前記アクション回路は、違反する入力信号に応答して、入力信号を代替信号に置き換える、請求項１１３に記載のシステム。
前記代替信号は、前記保護されるシステムに対し、違反する入力信号を与えようとする企てを示す、請求項１１６に記載のシステム。
前記代替信号は、前記複数の周辺機器のどの周辺機器が違反する前記入力信号によってアドレスされているかに基づいて選ばれる、請求項１１６に記載のシステム。
前記アクション回路は、違反する入力信号に応答して、前記保護される回路を非動作にする、請求項１１３に記載のシステム。
前記自律制御システムは、メモリを含み、
前記自律制御システムは、前記メモリに違反する入力信号を記憶する、
請求項１１３に記載のシステム。
前記自律制御システムは、前記保護されるシステムと共通のパッケージに含まれる、請求項１１３に記載のシステム。
前記自律制御システムは、前記自律制御システムに配置された制御システム秘密鍵を含み、
前記自律制御システムは、前記制御システム秘密鍵を用いてメッセージに署名し、ソースに対して制御システム署名がされた前記メッセージを送り、
前記ソースは、前記自律制御システムが不正に干渉されているかを決定する、
請求項１１３に記載のシステム。
前記ソースは、前記ソースの中に配置されたソース秘密鍵を含み、
前記ソースは、前記ソース秘密鍵を用いてメッセージに署名し、ソース署名された前記メッセージを前記自律制御システムに送り、
前記自律制御システムは、前記ソースが不正に干渉されているかを決定する、
請求項１２２に記載のシステム。
前記モニタ回路は、前記ルールの違反について出力信号をモニタするために、前記複数の周辺機器の前記出力信号に結合され、
前記アクション回路は、違反する出力信号に応答して、前記出力信号の散布を防止する、
請求項１１３に記載のシステム。
前記自律制御システムは、前記保護されるシステムによって利用されるものより強力なアクセス制御を行使する、請求項１１３に記載のシステム。
前記自律制御システムは、前記保護されるシステムの物理的な層に接続される、請求項１１３に記載のシステム。
保護されるシステムを保護するための方法であって、
ルールに違反する入力信号について、入／出力（Ｉ／Ｏ）バスに結合された、自律制御システムのモニタ回路を用いて、前記保護されるシステムの前記Ｉ／Ｏバス上の入力信号をモニタし、前記Ｉ／Ｏバスに結合された複数の周辺機器のどれが前記入力信号によってアドレスされているかを決定することと、
前記保護されるシステムに結合された前記自律制御システムのアクション回路を用いて、違反する入力信号が前記保護されるシステムに影響を与えることを防止することと、
を備える方法。
前記複数の周辺機器と並列に、前記自律制御システムを前記入力信号に結合することをさらに備える、請求項１２７に記載の方法。
前記ルールを前記モニタ回路と前記アクション回路のメモリに記憶することと、
前記モニタ回路と前記アクション回路のプロセッサが、前記入力信号を受け取り、前記ルールを前記入力信号に適用し、前記ルールに違反する入力信号が前記保護されるシステムに影響を与えることを防止することと、
をさらに備える、請求項１２７に記載の方法。
前記アクション回路が、違反する入力信号に応答して、入力信号を代替信号に置き換えることをさらに備える、請求項１２７に記載の方法。
前記代替信号は、前記複数の周辺機器のどの周辺機器が違反する前記入力信号によってアドレスされているかに基づいて選ばれる、請求項１３０に記載の方法。
前記代替信号は、前記保護されるシステムに対し、違反する入力信号を与えようとする企てを示す、請求項１３０に記載の方法。
前記アクション回路が、違反する入力信号に応答して、前記保護される回路を非動作にすることをさらに備える、請求項１２７に記載の方法。
違反する入力信号を前記自律制御システムのメモリに記憶することをさらに備える、請求項１２７に記載の方法。
前記自律制御システムと前記保護されるシステムとを共通のパッケージにひとまとめにすることをさらに備える、請求項１２７に記載の方法。
前記自律制御システムが、前記自律制御システムに配置された制御システム秘密鍵を用いてメッセージに署名し、ソースに対して制御システム署名がされた前記メッセージを送ることと、
前記ソースが、前記自律制御システムが不正に干渉されているかを決定することと、
をさらに備える、請求項１２７に記載の方法。
前記ソースが、前記ソースの中に配置されたソース秘密鍵を用いてメッセージに署名し、ソース署名された前記メッセージを前記自律制御システムに送ることと、
前記自律制御システムが、前記ソースが不正に干渉されているかを決定することと、
をさらに備える、請求項１３６に記載の方法。
前記ルールに違反する出力信号について、前記モニタ回路を用いて前記複数の周辺機器の出力信号をモニタすることと、
前記アクション回路を用いて、前記保護されるシステムからの違反する出力信号の散布を防止することと、
をさらに備える、請求項１２７に記載の方法。
前記自律制御システムは、前記保護されるシステムによって利用されるものより強力なアクセス制御を行使する、請求項１２７に記載の方法。
前記保護されるシステムの物理的な層に前記自律制御システムを接続することをさらに備える、請求項１２７に記載の方法。