JP2018502352A - 自律的な制御のシステムおよび方法 - Google Patents

Abstract

ルールの自律的な実施のためのシステムは、入力信号に応答して動作可能な保護システムと、自律的な制御システムとを備えているかもしれない。自律的な制御システムは、ルールの違反に関して入力信号を監視するように入力信号に結合される監視回路と、違反する入力信号が保護システムに影響を及ぼすことを阻止する、保護システムに結合されるアクション回路とを備えているかもしれない。【選択図】図１

Description

優先権の主張

この出願は、２０１４年１０月２４日に出願された米国非仮特許出願番号第１４／５２３，５７７に対して優先権を主張しており、その内容は、参照によってここに組み込まれている。

図１は、本発明の実施形態にしたがった、保護システム、自律的な制御システム、および入力デバイスである。 図２は、本発明の実施形態にしたがった、直列にインタフェースされた自律的な制御システムである。 図３は、本発明の実施形態にしたがった制御方法を図示するフローダイヤグラムである。 図４は、本発明の実施形態にしたがった、直列にインタフェースされた自律的な制御システムである。 図５は、本発明の実施形態にしたがった、直列にインタフェースされた自律的な制御システムの動作を図示する概略的なダイヤグラムである。 図６は、本発明の実施形態にしたがった、直列にインタフェースされた自律的な制御システムである。 図７は、本発明の実施形態にしたがった、並列にインタフェースされた自律的な制御システムである。 図８は、本発明の実施形態にしたがった、並列にインタフェースされた自律的な制御システムである。 図９は、本発明の実施形態にしたがった、並列にインタフェースされた自律的な制御システムの動作を図示する概略的なダイヤグラムである。 図１０は、本発明の実施形態にしたがった、直列および並列にインタフェースされた自律的な制御システムである。 図１１は、本発明の実施形態にしたがった、通信バスを備える自律的な制御システムである。 図１２は、本発明の実施形態にしたがった、半導体マルチチップモジュールを備える自律的な制御システムである。 図１３は、本発明の実施形態にしたがった、インタポーザＰＣＢ上に外部的に据え付けられている自律的な制御システムである。 図１４は、本発明の実施形態にしたがった、自律的な制御システムの改竄防止機能を図示するフローダイヤグラムである。 図１５は、本発明の実施形態にしたがって、安全な共同処理のために、ホストＣＰＵに対するシステムサービスとして自律的な制御システムを使用するプロセスフローを示している。

いくつかの実施形態の詳細な説明

電子的システム、機械的システム、化学的システム、および生物学的システムは、破局故障へとつながることがある状態または状態のシーケンスを有しているかもしれない。そのような致命的な状態は、内部の自然な力、外部の偶発的な力、または外部の意図的に敵意のある力から生じることがある。産業システムにおいて、遠隔制御および監視下で作動するデバイスまたはシステムは、誤動作、ユーザエラー、または、悪意のある動作もしくは敵意のある動作の結果として、制御システムによって許容されることがある既知の有害な状態を有しているかもしれない。作動するデバイスは、そのようなコマンドまたは限度外の信号を受け入れて実行するかもしれず、関連するシステム全体が、そのような誘導される状態から、害され、劣化させられ、または破壊させられる。例えば、誘導される有害なシステム状態は、高速過ぎるまたは低速過ぎるプロセススピードや、開き過ぎているまたは閉まり過ぎているバルブや、あるいは、高過ぎるまたは低過ぎる圧力または温度である。多くのデバイスは、これらの限度外の動作を物理的または電子的に阻止するための、それら自身の内部安全装置を欠いているかもしれない。

ここで説明するシステムおよび方法は、システムに重要なコンポーネントを保護するために、ビジネスルールおよび／またはセキュリティルールにしたがって入力信号および／または出力信号を監視して修正またはブロックすることができる自律的な制御を提供する。望ましくないシステム影響を最小化するため、または阻止するために、信号の修正および／またはブロックにより、確実に、デバイス間およびデバイス内あるいはシステム間およびシステム内での限度外の接続状態が生じないようにするか、あるいは、取るに足らない時間量の間のみ生じるようにするかのいずれかにするかもしれない。（接続状態は、物理レイヤレベルでの特定の瞬間における、２つ以上のデバイスまたはシステムの間の任意の監視される信号レベルまたはコマンドであるかもしれない。物理レイヤは、例えば、デバイスまたはシステムの、生信号が転送される最も低いハードウェイアレイヤである。）ルールに違反する信号が検出されたときに、自律的な制御システム（例えば、回路）は、信号を内部でスイッチオフすることによって、違反する信号をブロックすることができる。代わりに、回路は信号を送らなくてもよく、または、自律的な制御システムによる保護下の任意のデバイスまたはシステムである保護システムに、フェールセーフ信号を送ってもよい。回路は、例えば、システムアップグレードに設計することによって、または、システムに後付けすることによって、レガシーシステムとともに使用するために構成することができる。

ここで説明するシステムおよび方法は、プロセッサと呼ばれることもある１つ以上のコンピュータを備えている。コンピュータは、算術演算および／または論理演算を実行可能な、任意のプログラム可能な１つ以上の機械であるかもしれない。いくつかの実施形態において、コンピュータは、プロセッサ、メモリ、データ記憶デバイス、ならびに／あるいは、他の一般的に知られているコンポーネントまたは新しいコンポーネントを備えている。これらのコンポーネントは、物理的に接続されていてもよく、あるいは、ネットワークまたはワイヤレスリンクを通して接続されていてもよい。コンピュータは、上述したコンポーネントの動作を指示することができるソフトウェアも備えているかもしれない。コンピュータは、サーバ、ＰＣ、移動体デバイス、ルータ、スイッチ、データセンタ、分散コンピュータ、および他の用語のような、当業者によって一般的に使用される用語で呼んでもよい。コンピュータは、ユーザおよび／または他のコンピュータの間の通信を容易にし、データベースを提供し、データの解析および／または変換を実行し、ならびに／あるいは、他の機能を実行する。ここで使用するこれらの用語が交換可能であり、説明する機能を実行することができる任意のコンピュータを使用してもよいことが、当業者によって理解されるだろう。コンピュータは、１つ以上のネットワークを介して互いにリンクされていてもよい。ネットワークは、完全にまたは部分的に相互接続されている任意の複数のコンピュータであるかもしれず、コンピュータのいくつかまたはすべてが互いに通信することができる。コンピュータ間の接続が、いくつかのケースにおいては（例えば、イーサネット（登録商標）、同軸、光学、または他のワイヤードの接続を介した）ワイヤードであってもよく、あるいは、（例えば、Ｗｉ−Ｆｉ（登録商標）、ＷｉＭａｘ（登録商標）、または他のワイヤレスの接続を介した）ワイヤレスであってもよいことが、当業者によって理解されるだろう。コンピュータ間の接続は、ＴＣＰのような接続指向のプロトコル、または、ＵＤＰのような無接続のプロトコルを含む、任意のプロトコルを使用してもよい。それを通して少なくとも２つのコンピュータがデータを交換することができる任意の接続を、ネットワークの基礎とすることができる。

図１は、保護システム１００を図示している。保護システム１００は、入力デバイス１０２と通信することができる。入力デバイス１０２は、保護システム１００に信号を送り、および／または、保護システム１００から信号を受け取る。入力デバイスは、例えば、アナログまたはデジタルの信号ポート、制御ノブ、タッチディスプレイ、キーボード、マウス、および／または、他の何らかの周辺デバイスである。入力デバイス１０２はまた、保護システム１００またはネットワーク上のデバイスに対するホストデバイスであってもよい。専用の監視およびアクションデバイス（ＤＭＡＤ）と呼ぶことがある自律的な制御システム１０４は、入力デバイス１０２と保護システム１００との間に直列に、および／または、入力デバイス１０２および保護システム１００と並列に位置付けられている。下記でより詳細に説明するように、自律的な制御システム１０４のさまざまな実施形態は、ソフトウェアを実行するように構成されている電子回路、プロセッサおよびメモリ、あるいは、それらを組み合わせたものを備えている。自律的な制御システム１０４は、（例えば、暗号化能力および改竄防止能力を含み）内部で安全であるかもしれない。自律的な制御システム１０４はまた、入力デバイス／ホスト１０２と保護システム１００との間のデータ接続と、データフローの両方の方向において直列にまたは並列に現されてもよく、自律的な制御システム１０４は、保護システム１００に到来する入力信号と、保護システム１００から到来する出力信号とを監視することができる。

いくつかの実施形態において、自律的な制御システム１０４は、ルールを実施するための決定論的なレースコンディションを作成する。決定論的なレースコンディションは、注入される信号と到来する信号との間の意図的に誘導されるレースコンディションであってもよく、注入される信号のみが出力に影響を及ぼすだろう高いレベルの確実性が存在する。保護システム１００へのまたは保護システム１００からのデータバス上にルールに違反する信号が現れるときに、自律的な制御システム１０４が、違反を検出するようにレースし、直列にインタフェースされている場合には内部で信号をスイッチオフしてフェールセーフ信号に置換し、あるいは、並列にインタフェースされている場合には信号を修正しようと試行するかもしれない。到来信号および／または送出信号をバッファリングして、より多くの検出時間を提供し、有効性確認された信号のみが自律的な制御システム１０４によって保護システム１００に送信され逆もまた同様であることを保証してもよい。

いくつかの実施形態において、自律的な制御システム１０４は、シリコンダイオンダイ、集積回路パッケージオンパッケージ、モジュール化システムモジュールオンモジュール、光ファイバ、無線周波数、ワイヤ、プリント回路基板のトレース、量子エンタングルメント、または、分子、熱、原子、もしくは化学的な接続のようなさまざまな方法で、保護システム１００中に物理的に現されていてもよい、あるいは、保護システム１００または制御デバイスに物理的に接続されていてもよい。

いくつかの実施形態において、自律的な制御システム１０４は、１つ以上のデバイスまたはシステム（例えば、入力デバイス１０２と保護システム１００）の間で直列に、並列に、または直列と並列との両方で接続する物理インタフェースを備えている。各物理接続のタイプは、有機、電子、または無線周波数のような、所定のアプリケーションおよびシステムタイプに対する異なるセットの設計の考慮事項およびトレードオフを有しているかもしれない。例えば、電子システムでは、接続方法を決定するために、電圧インタフェースレベル、信号完全性、駆動力、改竄防止、および／または、誘導される伝播遅延が評価される。

いくつかの実施形態において、自律的な制御システム１０４は、特有のセキュリティルールおよびビジネスルールをホストシステムまたはデバイス上で自律的に実施するように設計されている、プログラムされている、および位置付けられている、暗号化されたメモリ記憶機能と改竄防止機能とを有するコンピュータシステムである。自律的な制御システム１０４は、処理論理、メモリ記憶装置、入力／出力バッファ、通信ポート、および／または再プログラミングポートのようなコンポーネントを備えているかもしれない。自律的な制御システム１０４は、任意の数のデバイスまたはシステムの間の接続状態をリアルタイムで絶えず解析することができ、予め定義されたビジネスルールおよびセキュリティルールを実施することができる。限度外の状態が検出されたときに、自律的な制御システム１０４は、禁止された接続状態をブロックする、無効にする、または既知の良好な状態に変更することができる。類似する方法を、例えば、電気、光学、電子機械、電磁気、熱、生物、化学、分子、重力、原子、または量子機械のシステムに適用することができる。

いくつかの実施形態において、自律的な制御システム１０４は、刺激に決定論的に応答して自律的に挙動するようにプログラムできるプログラム可能デバイスを備えている。例えば、自律的な制御システム１０４は、フィールドプログラム可能ゲートアレイ（ＦＰＧＡ）、マイクロ制御装置（ＭＣＵ）、マイクロプロセッサ（ＭＰＵ）、ソフトウェア定義無線、電気光学デバイス、量子計算デバイス、有機化合物、プログラム可能な素材、またはプログラム可能生物学的ウイルスを備えている。自律的な制御システム１０４は、保護システム１００に直接接続されていてもよく、または、保護システム１００上で動作する１つ以上の制御デバイスに接続されていてもよい。自律的な制御システム１０４は、例えば、シリコンダイオンダイ、集積回路パッケージオンパッケージ、モジュール化システムモジュールオンモジュール、光ファイバ、無線周波数、ワイヤ、プリント回路基板のトレース、量子エンタングルメント、または、分子、熱、原子、もしくは化学的な手段によって、物理的に接続されている。

いくつかの実施形態において、自律的な制御システム１０４は、保護システム１００メモリから離れて（暗号証明書またはシステムログのような）データを安全に記憶させ、保護システム１００が提供するよりも強力な認証方法およびアクセス制御によってのみデータがアクセスまたは修正できるようにする。例えば、セキュリティスコアリング方法論を実現するために、自律的な制御システム１０４をコンピュータシステムによって使用する（例えば、自律的な制御システム１０４を、セキュリティ証明書および要件情報の記憶のために使用する）。さらに、セキュリティスコアリング方法は、セキュリティスコア情報に基づく、外側のリソースの有効性確認／検証、認証、および認可のために、自律的な制御システム１０４を活用することができる。例えば、記憶されるデータを、他のシステムと組み合わせてセキュリティ完全性の検証のために使用してもよい。

いくつかの実施形態では、内部システムのコンポーネントの、データの、および／または、外部インタフェースされたデバイスの、完全性および真正性を確実にするために、自律的な制御システム１０４を使用して電子暗号パブリックキーインフラストラクチャ（ＰＫＩ）を電子システムの内側で実現する。加えて、これらの証明書を、安全な通信のために活用して、メッセージの気密性、完全性、および／または真正性を確実にするようにしてもよい。例えば、電子暗号ＰＫＩを実現および実施する自律的な制御システム１０４は、システムの初期製造の間にプログラムできる、パブリックキーまたはグローバル一意識別子（ＧＵＩＤ）を収容するリードオンリーメモリ（ＲＯＭ）パーティションを含んでいる。その場合、自律的な制御システム１０４の最初の起動の際に、例えば、ＲＳＡおよびＸ．５０９の証明書のような業界標準の暗号方法を使用して、自律的な制御システム１０４によってプライベートキーが内部で発生されるかもしれない。その後、このプライベートキーを使用して証明書要求を発生させることができ、証明書要求は、製造者の証明機関（ＣＡ）または承認された第３者ＣＡによってサインされるかもしれない。サインされた証明書は、その後、自律的な制御システム１０４のＲＯＭ上に安全に記憶させてもよい。この証明書は、その後、データのデジタルサインおよび暗号化／解読を可能にするために使用することができる。電子暗号ＰＫＩを実現する自律的な制御システム１０４は、そのような能力を追加するために、電子暗号ＰＫＩを実現しない保護システム１００に後付けしてもよい。このことは、追加されたセキュリティに関して、保護システム１００がアクセス不可能なロケーション中にプライベートキーを記憶させておく利点を有している。

いくつかの実施形態では、内部保護システム１００のコンポーネントが真正であることを有効性確認するために、自律的な制御システム１０４を電子暗号ＰＫＩとともに使用してもよく、他（内部保護システム１００および／または外部入力デバイス１０２）のコンポーネントがまた、公開鍵を交換、記憶、および認証できるように、ＰＫＩを実現することができる。ＰＫＩを実現する保護システム１００または入力デバイス１０２のコンポーネントが改竄され偽造バージョンに代替されていた場合は、偽造デバイスの署名が存在していないか、または、オリジナルのものとは異なっているかのいずれかであるので、自律的な制御システム１０４が偽造を検出することができるかもしれない。

いくつかの実施形態において、保護システム１００内および他（例えば、外部入力デバイス１０２）のシステムコンポーネント内でのデータの完全性を確実にするために、自律的な制御システム１０４は（ＰＫＩのような）暗号方法を利用する。自律的な制御システムはまた、データが何らかの方法で変えられていないことを確認する暗号方法を実現してもよい。加えて、データの発信者が判明するときに、または有効性確認されるときに、データの真正性は保証されるかもしれない。例えば、自律的な制御システム１０４は、周辺装置のパブリックキーを使用して、周辺装置に向けられているメッセージを暗号化し、周辺装置から受け取られるメッセージを検証する。

いくつかの実施形態では、自律的な制御システム１０４は、電子暗号ＰＫＩを実現し、また、仮想システム（または、そのコンポーネント）の暗号でサインされたハッシュを発生させてそれらのハッシュを記憶させることによって、（一般的に、“仮想システム”と呼ばれる）仮想機械および／またはハイパーバイザの完全性および真正性を確実にすることができる。その場合、自律的な制御システム１０４は、ハッシュを再計算し、それと記憶されている値とを比較することによって、仮想システムの真正性および完全性を有効性確認することができる。さらに、自律的な制御システム１０４は、全時間で、予め定められたまたはランダム化された時間期間において、ならびに／あるいは、予め定められたまたはランダム化された持続時間の間、受け取られる任意のコマンドが保護システム１００に到達しないように、保護システム１００をエミュレートするかもしれず、これにより、保護システム１００上での影響が阻止される。この動作モードは、テストのために使用されるかもしれず、または、悪意のある意図が実際には保護システム１００において決して作動されなかったときに、攻撃が成功したという印象を攻撃者に与えるために、使用されるかもしれない。自律的な制御システム１０４は、禁止された接続状態、コマンド、および／またはコマンドのシーケンスが検出されたときに脅威を無効にできる攻撃的手段を備えていてもよい。例えば、認可されていない接続がＵＳＢポート上で検出された場合に、自律的な制御システム１０４は、ＵＳＢ周辺入力デバイス１０２に信号を注入して、それを損傷させるまたは無効にすることができる。

いくつかの実施形態において、自律的な制御システム１０４は、システムの性能および機能上へのごくわずかな影響しかないような方法で、制御デバイス中の第２の集積回路チップの物理インタフェースに直列に接続されているかもしれない、集積回路チップ上の電子回路設計である。同時に、第１の集積回路チップは、第２の集積回路チップに対するある接続状態を禁止することができるかもしれない。接続状態は、すべてのデジタルＩ／Ｏ接続上での電圧レベルのような、所定の瞬間における２つのデバイス間のすべての接続ポイント上での信号レベルであるかもしれない。代替的に、１つ以上の電子デバイスまたはシステムの間の信号レベルまたは信号状態のいくつかまたはすべての外部一定監視を備え、望ましくないシステム影響が生じないように、確実に、デバイス間またはシステム間での限度外の信号状態が生じないようにするか、あるいは、取るに足らない時間量の間のみ生じるようにするかのいずれかにするように動作する電子デバイスを、信号インタフェースにおいて挿入してもよい、または、信号インタフェース上に追加してもよい。この方法を実現する電子デバイスは、１つ以上のデバイスまたはシステムの間で直列に、並列に、または直列と並列の両方で接続してもよく、コンピュータにより実現されるセキュリティスコアリング方法により、独立的にあるいは外部監視および制御とともに機能することができる。

いくつかの実施形態において、自律的な制御システム１０４は、ハードウェアベースの直列の“中間者”（ＭＩＴＭ）として動作する。保護システム１００と入力デバイス１０２（例えば、周辺装置）との間の通信は通常、予めプログラムされている禁止された信号パターン、パケット、またはアクセス試行を、自律的な制御システム１０４の監視論理が信号ライン上で検出するまで継続する。禁止された信号が検出されたときに、自律的な制御システム１０４は、代替の信号バス（または、中断バス）を選択することによって、主信号バスを完全にディセーブルするかもしれない。代替の信号バスは、記録、中断、または、周辺装置からの総切断のために使用してもよい。例えば、保護システム１００にそれが攻撃下にあることを通知するために、保護システム１００との通信を維持しつつ代替の信号バスを選択してもよい。例えば、保護システム１００にプログラムされている特定用途向けの監視およびアクション論理によってそのチャネル選択ラインが制御される、内部のパラメータ化されたマルチプレクサインスタンシエーションを使用することによって、自律的な制御システム１０４はこの通信を維持するかもしれない。

図２は、（示していない）入力デバイス１０２と（示していない）保護システム１００との直列の配置における、プロセッサ２００とメモリ２０２とを備える自律的な制御システム１０４の実施形態を図示している。プロセッサ２００は、ノード２０４上で入力信号を受け取る。ノード２０４は、入力デバイス１０２に接続されているかもしれない。プロセッサは、ノード２０６上で出力信号を発生させる。ノード２０６は、保護システム１００にルーティングされているかもしれない。メモリ２０２は、禁止された入力信号状態を記憶することができる。プロセッサ２００は、入力信号と禁止された入力信号状態とを比較し、一致信号または不一致信号を生成させることができる。不一致信号に応答して、入力信号が保護システム１００に供給されるかもしれない。一致信号に応答して、置換入力信号が保護システム１００に供給されるかもしれない。置換入力信号は、保護システム１００に損傷を生じさせない信号である。例えば、保護システム１００のモーターにその最高スピードで動作するように指示する保護システム１００への入力は、特定のプロセス動作に対して有害であるかもしれず、許容されるべきではない。そのようなコマンドが入力デバイス１０２から入力される場合に、自律的な制御システム１０４は、信号をインターセプトし、認可されていない状態を阻止するための即時のアクションをとることができる。この例では、自律的な制御システム１０４は、スピード選択の制御を完全にとり、以前の認可されているスピード選択を維持する適切な信号を保護システム１００に送る。加えて、自律的な制御システム１０４は、ログエントリを作成してもよく、または、認可されていない接続状態が試行されたというアラートを送ってもよい。自律的な制御システム１０４の応答は、アプリケーション依存であってもよく、予めプログラムされていてもよい。自律的な制御システム１０４はまた、現在のスピードを保持する代わりに、例えば、物理プロセスを停止させるようにプログラムされていてもよい。

図３は、本発明の実施形態にしたがった制御方法を図示するフローダイヤグラムである。このダイヤグラムは、上記で説明した直列の自律的な制御システム１０４の実施形態に対する例示的なプロセスフローを提示している。例示的なプロセスフローは、図２のプロセッサ２００とメモリ２０２とを備えている、または備えていない、以下で説明する追加的な直列および／または並列の自律的な制御システム１０４の実施形態にも適用することができる。自律的な制御システム１０４が、保護システム１００と入力デバイス１０２との間の接続状態を監視する１４０５。状態がチェックされて、限度外であるか否かが決定される１４１０（例えば、上記の図２の例から、最大スピードコマンド）。状態が許容される場合は、監視が通常通り継続する１４０５。状態が限度外である場合は、自律的な制御システム１０４は、（例えば、コマンドされたスピードよりも低いスピードにスピードを設定することによって、または、保護システム１００にそれの現在のスピードを維持するように命令することによって）状態に対してアクションをとる１４１５。自律的な制御システム１０４は、それの介入が保護システム１００を許容可能な状態に設定または回復させたか否かを決定する１４２０。例えば、自律的な制御システム１０４は、より低いスピードにモーターが損傷なく実際に復帰されたか否かを決定する。保護システム１００がＯＫである場合は、監視が通常通り継続する１４０５。しかしながら、いくつかのケースでは、保護システム１００を許容可能な状態に復帰させることは不可能であるかもしれない。例えば、保護システム１００がロックされており、かつ、（例えば、以下の図７に関して説明するような並列配置において）自律的な制御システム１０４が介入できるより前に、ロック解除するコマンドをそれが受け取る場合には、ロックによって制御されるドアは既に開かれているかもしれない。ロックを再度ロックすることは、この状況を修復しないだろう。このケースでは、さらなる外部入力から保護システム１００を分離し、アラートを発生させる１４２５。

図４は、本発明の実施形態にしたがった、保護システム１００と入力デバイス１０２との間に直列インタフェースにより接続されている自律的な制御システム１０４のブロックダイヤグラムである。この実施形態は、上記で説明した図２の実施形態と同様に機能することができるが、自律的な制御システム１０４内のプロセッサ２００とメモリ２０２に加えて他のエレメントを有していてもよく、および／または、プロセッサ２００とメモリ２０２の代わりに他のエレメントを有していてもよい。この例において、自律的な制御システム１０４は、監視論理１４０を提供する、プログラム可能論理デバイス（ＰＬＤ）または他のデバイス（例えば、回路、プロセッサ等）を備えている。監視論理１４０は通常、保護システム１００と周辺装置１０２との間のすべての信号を、双方向マルチプレクサ（ＭＵＸ）１６０を通過させる。同一の信号が、制御論理１５０を提供する監視およびアクション回路にも供給されるかもしれない。制御論理１５０を提供する監視およびアクション回路は、監視論理１４０を提供するＰＬＤ、回路、またはプロセッサの一部であってもよい、あるいは、監視論理１４０から離れていてもよい（例えば、離れたＰＬＤ、回路、プロセッサ等）。この図面中で図示する実施形態は、自律的な制御システム１０４の、ハードウェアベースの直列の“中間者”（ＭＩＴＭ）インプリメンテーションである。この実施形態では、保護システム１００と周辺装置１０２との間の通信は通常、予めプログラムされている禁止された信号パターン、パケット、またはアクセス試行を、監視論理１４０が信号ライン上で検出するまで継続する。禁止された信号が検出されたときに、自律的な制御システム１０４中の制御論理１５０が、記録、中断、または、周辺装置１０２からの総切断のために、代替の内部Ｉ／Ｏバス（または、中断バス）を選択することによって、主周辺装置Ｉ／Ｏバスを完全にディセーブルすることができる。この方法は、保護システム１００にそれが攻撃下にあることを通知するために、保護システム１００との通信を維持しつつ自律的な制御システム１０４中で実現してもよい。保護システム１００にプログラムされている特定用途向け監視およびアクション論理によってそのチャネル選択ラインが制御される、内部のパラメータ化されたマルチプレクサインスタンシエーションを使用することによって、自律的な制御システム１０４はこの通信を維持するかもしれない。

保護システム１００ＣＰＵと、保護システム１００の内部または外部にあることがある接続されている周辺装置１０２との間の物理レイヤにおいて、図４の自律的な制御システム１０４は直列に接続されているかもしれない。通信バスは、所定のアプリケーションに対するルールに違反する信号を検出するようにプログラムされている、監視論理１４０とＭＵＸ１６０とを備える自律的な制御システム１０４を通過するかもしれない。そのような信号が検出されたときに、自律的な制御システム１０４は、それらが保護システム１００に到達することを妨げるかもしれない、または、それらが保護システム１００においてプロセスに対して望ましくない長さの時間の間アサートすることを、少なくとも阻止するかもしれない。図４の例において、バスＡが通常、保護システム１００ＣＰＵと周辺装置１０２との間の自律的な制御システム１０４を通過し、保護システム１００ＣＰＵに信号を伝える、および、保護システム１００ＣＰＵから信号を伝える。そのようにする際に、バスＡは、自律的な制御システム１０４の出力マルチプレクサを通過するかもしれない。保護システム１００にバスＡが到達するかまたはバスＢが到達するかは、マルチプレクサの“Ｓ０”制御ポートによって決定することができる。Ｓ０ポートが論理０であるときは、バスＡが通過するかもしれない。Ｓ０ポートが論理１であるときは、バスＢが通過するかもしれない。バスＢの各ラインの値は、ルールを実施するように構成されている、自律的な制御システム１０４の状態機械制御論理１５０によって制御される。この例において、バスＡのラインのすべてがハイであるときに、Ｓ０は論理１にアサートすることができる。応答として、４入力ＡＮＤゲートが、バスＢにスイッチするようにＳ０をトグルするかもしれない。ＡＮＤゲートはハードウェアゲートであってもよく、ハードウェアＡＮＤゲートを通した伝播時間はナノ秒のオーダーであるかもしれない。それゆえ、ほぼ瞬間的なスイッチを実行することができる。Ｓ０はまた、Ｓ０に供給される２入力ＯＲゲートを介して、自律的な制御システム１０４の状態機械論理１５０によって直接制御することができる。さまざまなインタフェース上でさまざまなルールを実施するために、自律的な制御システム１０４の複数のインスタンスを、保護システム１００および入力デバイス１０２のさまざまな入力および／または出力の間に置くことができる。

図４では、データを記憶および暗号化することができる安全なメモリも示されている。メモリは、ホストＣＰＵに対する自律的な制御システム１０４のシステムサービスとして用いてもよく、ならびに／あるいは、安全なアプリケーションまたは外部周辺装置から読み出されるかもしれないルール違反イベントのログのような、ホストＣＰＵから分離されたデータを収容していてもよい。

監視されるラインに対して自律的な制御システム１０４を通して誘導される信号伝播遅延が、システムタイミング要件に対してごくわずかであるという機能を有するプログラム可能論理デバイスを使用して、図４の例において図示される自律的な制御システム１０４は直列インタフェースにおいて配置されているかもしれない。自律的な制御システム１０４中のＰＬＤは、小量の伝播遅延、例えば２０ナノ秒のオーダーでの遅延を追加する通常の“通過”モードを含んでいるかもしれない。追加される遅延は、多くのシステムに対して取るに足らないものであり、したがって、通常のシステム動作に影響を及ぼさない。

図４の例において図示される自律的な制御システム１０４の直列インタフェースは、改竄防止手段として、保護システム１００を電気的に分離するように保護システム１００を周辺装置１０２から部分的にまたは完全に切断することができる。その後、自律的な制御システム１０４は、攻撃するまたは誤動作する周辺装置１０２に対して、何らかの攻撃的、防御的、または診断／修復の信号を出力するかもしれない、あるいは、状態を単に保持するかもしれない。

図５は、本発明の実施形態にしたがって、直列インタフェースを有する電子的な自律的な制御システム１０４が、認可されていない接続状態を阻止する動作を図示する、概略的なダイヤグラムである。自律的な制御システム１０４は、スピード選択入力デバイス（周辺装置１０２）と、物理プロセスに適用されるバイナリエンコードされたスピードを受け入れる作動デバイス（保護システム１００）との間に位置付けられている。自律的な制御システム１０４は、入力を監視してそれらをマルチプレクサ（ＭＵＸ）またはスイッチ１６０にパスする監視論理１４０を備えている。入力が許容される場合は、それらはＭＵＸ１６０から保護システム１００に進行するかもしれない。入力が許容されない場合は、代わりに、状態機械の監視および制御アクション論理１５０が介入し、状態機械の監視および制御アクション論理１５０によって発生された出力を、ＭＵＸ１６０に保護システム１００へとパスさせるかもしれない。この例において、バイナリ“１１１１”によって表される最高のスピードは、特定のプロセス動作に対して有害であり、許容されるべきではない。図５において図示されるデバイスは、広範な異なる機能をエンコードする非常に多数の接続状態上で監視および動作するようにスケーリングすることができる。この例における自律的な制御システム１０４はまた、例えば、最低許容スピードから最高許容スピードに即時にジャンプするような、認可されていないスピード選択のシーケンスを阻止するようにプログラムしてもよい。自律的な制御システム１０４論理は、アプリケーション特有のものであってもよく、ゆえに、この例では“１１１１”が禁じられている入力である一方で、他の実施形態では他の入力が禁じられていてもよい。自律的な制御システム１０４への入力は、この例の４ビットの実施形態に限定されるものではない。

図５．１において、スピード選択バスは、自律的な制御システム１０４を通して信号を直列にパスし、自律的な制御システム１０４の“バススイッチ”を介して作動デバイス上にパスする。自律的な制御システム１０４は、プログラム可能な認可されていないスピード（接続状態）に関してスピード選択バスを監視し、予めプログラムされているアクションをとることができ、この例では、バススイッチを制御する。図５．１では、選択されたスピードは認可されているスピードであり、したがって、自律的な制御システム１０４により、選択が作動デバイスへと通過することができる。

図５．２は、入力デバイス１０２を通して自律的な制御システム１０４に、偶然にかまたは悪意をもってかのいずれかで送信される、スピードに対する認可されていない信号“１１１１”を図示している。自律的な制御システム１０４は、信号をインターセプトし、認可されていない状態を阻止するための即時のアクションをとることができる。この例では、自律的な制御システム１０４がスピード選択の制御を完全にとり以前の認可されているスピード選択を維持する適切な信号を保護システム１００に送るようにバススイッチをトグルするための、予めプログラムされているアクション論理を、自律的な制御システム１０４は備えているかもしれない。加えて、自律的な制御システム１０４は、ログエントリを作成してもよく、または、認可されていない接続状態が試行されたというアラートを送ってもよい。自律的な制御システム１０４の応答は、アプリケーション依存のものであってもよく、予めプログラムされていてもよい。自律的な制御システム１０４はまた、現在のスピードを保持する代わりに、例えば、物理プロセスを停止させるようにプログラムされていてもよい。

図５．３は、認可されているスピードを選択するようにユーザまたは制御システムによって入力デバイス１０２が再調整されるときに、バススイッチをデフォルトの安定状態の位置に戻すようにトグルすることによって、自律的な制御システム１０４論理が入力デバイス１０２に制御を戻すようにスイッチすることができることを図示している。

図６は、図５の実施形態に類似するが、ハードウェア論理の代わりにプロセッサ２００とメモリ２０２とを有する自律的な制御システム１０４の実施形態を図示している。この実施形態において、ノード２０４上の入力信号は、リンク３００を介してプロセッサ２００にルーティングされている。プロセッサ２００は、入力信号と、メモリ２０２中に記憶されている禁止された入力信号状態とを比較し、一致信号または不一致信号を生成させることができる。プロセッサ２００は、ライン３０２上に選択信号を生成させ、選択信号がＭＵＸ３０４を制御することができる。不一致信号の場合には、選択信号により、ライン２０４上の信号が保護システム１００へとマルチプレクサ３０４を通過することができるかもしれない。一致信号の場合には、置換入力信号がライン３０６に適用され、ライン３０２上の選択信号が、ＭＵＸ３０４を通して置換入力信号を通過させるかもしれない。

図７は、本発明の実施形態にしたがって、並列インタフェースにより保護システム１００に接続されている、プログラム可能論理デバイス（ＰＬＤ）を備える自律的な制御システム１０４のブロックダイヤグラムである。自律的な制御システム１０４中のＰＬＤの入力を介して、または、自律的な制御システム１０４中に組み込まれているプロセッサを介して、保護システム１００の入力および／または出力を監視することができる。図５において示した実施形態において、自律的な制御システム１０４は、並列インタフェースにより保護システム１００に接続されていてもよく、少なくとも１つの双方向信号ドライバを備えていてもよい。少なくとも１つの双方向信号ドライバは、入力を監視し、出力に対する状態を内部で変更させ、および、追加の接続が必要でない場合に中断を生じさせることができる。ドライバのスイッチ１６０を介して受け取られる入力が監視されるように、ドライバは監視論理１４０に結合されているかもしれない。入力が許容される場合は、ドライバはそれの状態を維持するかもしれない。入力が許容されない場合は、アクション論理１５０がスイッチ１６０をアクションバス出力に入れるかもしれない。アクションバス出力は、例えば、接地されていてもよく、または高信号であってもよい。上記で説明した直列インタフェースの例におけるように、保護システム１００と周辺装置１０２との間の通信は通常、認可されていない信号パターン、パケット、またはアクセス試行を監視論理が検出するまで進行する。並列コンフィギュレーションでは、制御論理は、記録、中断、または、周辺装置１０２からの総切断のために代替Ｉ／Ｏパスにおいてスイッチすることによって、Ｉ／Ｏバスを内部で再ルーティングすることまたは切断することができない。代わりに、保護下のデバイス１００への信号が、スイッチ１６０によって接地される、または高く設定される。しかしながら、伝播遅延が容認されないかもしれない通信スピードおよび信号スピードによる非常に高スピードのシステム（例えば、ＧＨｚのレンジで動作するシステム）に対しては、並列アプローチが有用であるかもしれない。さらに、並列の自律的な制御システム１０４は、（すべての入力に対して一致出力を必要とする）それ自身を通して信号をパスする必要がないので、直列インタフェースよりも少ない全Ｉ／Ｏ接続を必要とするかもしれない。

図８は、並列インタフェースにより保護システム１００に接続され、（図７のスイッチの代わりに）少なくとも１つのトライステート出力１６０を備えている自律的な制御システム１０４の実施形態のブロックダイヤグラムである。少なくとも１つのトライステート出力１６０は、自律的な制御システム１０４からの周辺バスに接続され、コマンドされるときにＩ／Ｏ中断を生じさせようとして論理ハイまたはローにトグルすることができる。このトライステート出力は、双方向Ｉ／Ｏインタフェースを有していない自律的な制御システム１０４に対して使用することができる。

図９は、本発明の実施形態にしたがった、並列インタフェースを有する電子的な自律的な制御システム１０４の動作を図示する概略的なダイヤグラムである。入力デバイス１０２と保護デバイス１００との間の信号が自律的な制御システム１０４を直接通過しない並列インタフェースを、自律的な制御システム１０４は備えている。代わりに、自律的な制御システム１０４は、図９．１において示しているように、電気的に高インピーダンスの入力により各ラインのタップオフをして入力信号を監視する。認可されていない入力試行が行われたときに、並列の自律的な制御システム１０４は、ホストバスを無効にするのに適した駆動力（電流シンキングおよびソーシング）を有する出力バスにバススイッチをトグルすることによって、認可されていない入力を中断することができる。図９．２の例において、スピード＿選択＿３ラインを内部で接地することは、最高のプロセススピードを次に選択する論理ハイ状態にそれが到達することを阻止するかもしれない。図９．２において、自律的な制御システム１０４は、自律的な制御システム１０４のアクションバス出力からの干渉なしで入力デバイス１０２からの入力を監視するために、バススイッチを位置３に戻すように周期的にトグルする。認可されているスピードが選択されていることを自律的な制御システム１０４が検出したときに、図９．３に示しているように、それは安定状態に戻るように移動することができる。直列インタフェースを有する自律的な制御システム１０４とは異なり、並列インタフェースを有する自律的な制御システム１０４は、信号を同時に監視しないかもしれない。

図１０は、直列インタフェースと並列インタフェースとの両方を利用して自律的な制御システム１０４が保護システム１００に接続されている実施形態のブロックダイヤグラムである。直列インタフェースは、監視論理１４０Ａとアクション論理１５０Ａとスイッチ１６０Ａとを備えている。並列インタフェースは、監視論理１４０Ｂとアクション論理１５０Ｂとスイッチ１６０Ｂとを備えている。この実施形態では、ある通信パスが速過ぎて通常のシステム動作を劣化させることなしに直列にパスすることができないときに、それらのパスを並列インタフェースによって取り扱うことができる。より遅いパスは、直列インタフェースによって取り扱うことができる。

図１１は、自律的な制御システム１０４と保護システム１００との間に、自律的な制御システム１０４がインタフェースにかかわらず通信バス１７０を備えている実施形態のブロックダイヤグラムである。通信バス１７０は、悪意のあるまたは認可されていない意図が検出された場合にオプション的に保護システム１００にフラグするための機能を備えていてもよい。通信バスは、少なくとも１つの周辺装置１０２をログ記録するための、少なくとも１つの周辺装置１０２にアラートするための、または、少なくとも１つの周辺装置１０２をディセーブルするための機能も備えていてもよい。さらに、通信バス１７０は、イベントを自律的にログ記録し、コンピュータにより実現されるセキュリティスコアリングシステムにそのようなイベントを報告してもよい。

図１２は、自律的な制御システム１０４が半導体マルチチップモジュールを備えている実施形態のダイヤグラムである。半導体マルチチップモジュールは、スタック状にまたは平面アレイにおいて機能的に接続されている、少なくとも２つの相互接続されているプロセッサダイを備えているかもしれない。モジュールは、単一の半導体パッケージの内側に、プリント回路基板（ＰＣＢ）に直接据え付けられるインタポーザボードおよび／またはダイレクトワイヤボンディングも備えているかもしれない。この配置により、悪意のある改竄に対する保護を提供することができる自律的な制御システム１０４を視覚的に検出することが難しくなるかもしれない。

図１３は、自律的な制御システム１０４がインタポーザＰＣＢ上に外部的に据え付けられている実施形態のダイヤグラムである。インタポーザＰＣＢは、保護システム１００より上かまたは保護システム１００より下かのいずれかに、スタック状に機能的に配置されているかもしれないカスタムソケットアセンブリを備えているかもしれない。この実施形態では、自律的な制御システム１０４を使用して、既存のＣＰＵをセキュリティ保護し、ＣＰＵに対して作られている既存のマザーボードおよびソケットを使用することができる。このインプリメンテーションは、２つの個々にパッケージされているコンポーネントを接続して１つを形成することを伴うので、パッケージオンパッケージのインプリメンテーションと呼ばれることがある。

いくつかの実施形態において、保護システム１００を備えているかもしれないプリント回路基板（ＰＣＢ）上に据え付けられている表面であるかもしれない電子回路を、自律的な制御システム１０４は備えている。自律的な制御システム１０４は、例えば、１つ以上のＰＣＢトレース、フライングリード、同軸ケーブル、または光ファイバを使用して、保護システム１００に動作可能に接続されている。

いくつかの実施形態において、自律的な制御システム１０４は、保護システム１００上に動作可能に据え付けられているかもしれないモジュラースタッカブルシングルボードコンピューティングプラットフォームを備えている。例えば、プラットフォームは、ＰＣ１０４、ＥＰＩＣ、ＥＢＸ、Ｒａｓｐｂｅｒｒｙ Ｐｉ、Ｐａｒａｌｌｅｌｌａ、または類似するモジュラーコンピューティングプラットフォームである。この実施形態では、モジュラーコンピューティングスタックヘッダに取り付けられ、上記で説明したセキュリティ保護機能を実行するモジュラーキャリアを、自律的な制御システム１０４は備えているかもしれない。これは、モジュールオンモジュールのインプリメンテーションと呼ばれることがある。

図１４は、本発明の実施形態にしたがった、自律的な制御システム１０４の改竄防止機能を図示するフローダイヤグラムである。上記で着目したように、自律的な制御システム１０４の暗号改竄防止チェックを可能とするためのデータを記憶させてもよい。周期的に、または、ユーザの要求の際に、改竄防止チェックが開始される１３０５。自律的な制御システム１０４が、自律的な制御システム１０４と通信するシステム（すなわち、自律的な制御システム１０４のチェックを実行するシステム）へのメッセージに、プライベートキーによりサインする１３１０。チェックを実行するシステムが、署名の有効性確認をしようと試行する１３１５。署名が無効である場合は、自律的な制御システム１０４が改竄されているかもしれないことを示すアラートが発生される１３２０。署名が有効である場合は、チェックを実行するシステムが、プライベートキーによりメッセージにサインする１３２５。自律的な制御システム１０４が、署名の有効性確認をしようと試行する１３３０。署名が無効である場合は、チェックを実行するシステムが改竄されているかもしれないことを示すアラートが発生される１３３５。署名が有効である場合は、改竄チェックがすべてセーフであると宣言される（すなわち、チェックシステムと自律的な制御システム１０４との両方が改竄がないかもしれない）１３４０。このように、相互セキュリティを提供するために、自律的な制御システム１０４は、別のシステムをチェックし、そのシステムによってチェックされる。

図１５は、本発明の実施形態にしたがって、安全な共同処理のために、ホストＣＰＵに対するシステムサービスとして自律的な制御システム１０４を使用するプロセスフローを示している。自律的な制御システム１０４のプロセッサが自律的な制御システムの複数のインスタンシエーションを有していてもよいので、自律的な制御システム１０４に対して上記で説明したアーキテクチャはまた、ホストＣＰＵに対するシステムサービスとしての安全な処理を可能にすることができる。この実施形態において、自律的な制御システム１０４が命令を受け取る１５０５。自律的な制御システム１０４が、自律的な制御システム１０４のメモリサブシステムに関係付けられているメモリ中に存在する予めプログラムされているオペコードとの一致を発見するために、コンパイラによって機械言語へと低減された、すなわち、オペコードへと低減された、（例えば、入力デバイス１０２から）受け取った命令を比較する１５１０。一致が存在する場合は、自律的な制御システム１０４がオペコードの予めプログラムされている機能を実行し１５１５、保護システム１００はオペコードを受け取らないかもしれない。自律的な制御システム１０４が安全な記憶装置にアクセスし１５２０、結果を返す１５２５。代わりに、自律的な制御システム１０４の予めプログラムされているメモリ内で、受け取ったオペコードとの一致が存在しない場合は、オペコードが実行のために保護システム１００にパスされ１５３０、保護システム１００が結果を返す１５３５。自律的な制御システム１０４とともに働くように特に設計されている、入力デバイス１０２上で実行されるソフトウェアアプリケーションが、自律的な制御システム１０４の安全な共同処理能力にアクセスするための、自律的な制御システム１０４に特有のオペコードまたは命令セットを収容するために必要とされるかもしれない。例えば、そのような自律的な制御システム１０４に特有のオペコードまたは一連のオペコードがデータセット上で暗号署名を要求する場合に、プロセッサ２００がデータセット上で暗号ハッシュをまず実行することによって応答する。その後、プロセッサ２００は、（安全な記憶装置２０２中に記憶されている）それのプライベートキーを使用して、ハッシュされたデータセットにデジタル的にサインをし、その後、入力デバイス１０２を介して、問題のオペコードを発生させた自律的な制御システム１０４に特有のアプリケーションに戻すように、サインされたデータセットを返すかもしれない。

さまざまな実施形態を上記で説明してきたが、それらは例として提示したものであり、限定されるものではないことを理解すべきである。精神および範囲から逸脱することなく、形態および詳細においてさまざまな変更をそこで行うことができることが、当業者には明白となろう。事実、上記の説明を読んだ後に、代替的な実施形態の実現の仕方が当業者に明白となろう。

加えて、機能性および利点を際立たせる任意の図面は、例示的な目的のためのみに提示していることを理解すべきである。開示した方法論およびシステムは各々、十分に柔軟なものであり、示した以外の方法でそれらを利用できるように構成可能である。

用語“少なくとも１つ”をしばしば明細書、特許請求の範囲、および図面中で使用しているが、用語“a”、“an”、“the”、“said”等はまた、明細書、特許請求の範囲、および図面中で“少なくとも１つ”または“前記少なくも１つ”を表す。

最後に、表現言語“ための手段”または“ためのステップ”を含む請求項のみが米国特許法第１１２条（ｆ）の下で解釈されるべきであることが出願人の意図である。フレーズ“ための手段”または“ためのステップ”を明示的に含まない請求項は、米国特許法第１１２条（ｆ）の下で解釈するべきではない。

Claims (36)

1. ルールの自律的な実施のためのシステムにおいて、
   入力信号に応答して動作可能な保護システムと、
   自律的な制御システムとを具備し、
   前記自律的な制御システムは、
   前記ルールの違反に関して前記入力信号を監視するように、前記入力信号に結合される監視回路と、
   違反する入力信号が前記保護システムに影響を及ぼすことを阻止する、前記保護システムに結合されるアクション回路とを備えるシステム。
2. 前記入力信号は、前記アクション回路を通過し、前記ルールに違反する入力信号を前記監視回路が検出するときに、前記アクション回路によって、前記保護システムに到達することからブロックされる請求項１記載のシステム。
3. 前記自律的な制御システムは、前記保護システムと並列に前記入力信号に結合される請求項１記載のシステム。
4. 前記監視回路および前記アクション回路は、
   前記ルールを記憶するためのメモリと、
   前記入力信号を受け取り、前記ルールを前記入力信号に適用し、前記ルールに違反する入力信号が前記保護システムに影響を及ぼすことを阻止するプロセッサとを含む請求項１記載のシステム。
5. 前記アクション回路は、違反する入力信号に応答して、入力信号を代替信号に置換する請求項１記載のシステム。
6. 前記代替信号は、違反する入力信号を適用する試行を前記保護システムに示す請求項５記載のシステム。
7. 前記アクション回路は、違反する入力信号に応答して、前記保護回路をディセーブルする請求項１記載のシステム。
8. 前記自律的な制御システムはメモリを含み、前記自律的な制御システムは、違反する入力信号を前記メモリ中に記憶させる請求項１記載のシステム。
9. 前記入力信号を受け取り、前記ルールの違反が検出されないことに応答して、前記入力信号を前記保護システムにパスするマルチプレクサを、前記アクション回路は含む請求項１記載のシステム。
10. 前記マルチプレクサは、前記入力信号が前記ルールに違反することに応答して、代替信号を前記保護システムに提供する請求項９記載のシステム。
11. 前記アクション回路は、前記入力信号のうちの少なくとも第１の信号に関して、前記保護システムと直列に、前記入力信号のうちの少なくとも第２の信号に関して、前記保護システムと並列に接続されている請求項１記載のシステム。
12. 前記保護システムと前記制御システムとの間に配置される通信バスをさらに具備し、
    前記制御システムは、前記ルールに違反する入力信号に応答して、前記通信バスを通して前記保護システムにシグナリングする請求項１記載のシステム。
13. 前記制御システムは、前記保護システムと共通のパッケージに含まれる請求項１記載のシステム。
14. 前記制御システムは、前記制御システム中に配置される制御システムプライベートキーを含み、前記制御システムは、前記制御システムプライベートキーによりメッセージにサインし、前記制御システムがサインしたメッセージをソースに送り、前記ソースは、前記制御システムが改竄されているか否かを決定する請求項１記載のシステム。
15. 前記ソースは、前記ソース内に配置されるソースプライベートキーを含み、前記ソースは、前記ソースプライベートキーによりメッセージにサインし、前記ソースがサインしたメッセージを前記制御システムに送り、前記制御システムは、前記ソースが改竄されているか否かを決定する請求項１４記載のシステム。
16. 前記監視回路は、前記ルールの違反に関して前記保護回路の出力信号を監視するように、前記出力信号に結合され、前記アクション回路は、違反する出力信号に応答して、前記出力信号の配信を阻止する請求項１記載のシステム。
17. 前記制御システムは、前記保護システムによって利用されるよりも強度のアクセス制御を実施する請求項１記載のシステム。
18. 前記制御システムは、前記保護システムの物理レイヤに接続されている請求項１記載のシステム。
19. 保護システムを保護するための方法において、
    前記保護システムへの入力信号に結合される、自律的な制御システムの監視回路により、ルールに違反する入力信号に関して前記入力信号を監視することと、
    前記保護システムに結合される、前記自律的な制御システムのアクション回路により、違反する入力信号が前記保護システムに影響を及ぼすことを阻止することとを含む方法。
20. 前記ルールに違反する入力信号を前記監視回路が検出することに応答して、前記アクション回路が前記保護システムへの入力信号をブロックすることをさらに含む請求項１９記載の方法。
21. 前記自律的な制御システムを、前記保護システムと並列に前記入力信号に結合させることをさらに含む請求項１９記載の方法。
22. 前記監視回路および前記アクション回路のメモリ中に前記ルールを記憶させることと、
    前記監視回路および前記アクション回路のプロセッサが、前記入力信号を受け取り、前記ルールを前記入力信号に適用し、前記ルールに違反する入力信号が前記保護システムに影響を及ぼすことを阻止することとをさらに含む請求項１９記載の方法。
23. 前記アクション回路が、違反する入力信号に応答して、入力信号を代替信号に置換することをさらに含む請求項１９記載の方法。
24. 前記代替信号は、違反する入力信号を適用する試行を前記保護システムに示す請求項２３記載の方法。
25. 前記アクション回路が、違反する入力信号に応答して、前記保護回路をディセーブルすることをさらに含む請求項１９記載の方法。
26. 前記自律的な制御システムのメモリ中に、違反する入力信号を記憶させることをさらに含む請求項１９記載の方法。
27. 前記アクション回路のマルチプレクサによって前記入力信号を受け取ることと、前記マルチプレクサが、前記ルールの違反が検出されないことに応答して、前記入力信号を前記保護システムにパスすることとをさらに含む請求項１９記載の方法。
28. 前記マルチプレクサが、前記ルールが違反されるときに、代替信号を前記保護システムに提供することをさらに含む請求項２７記載の方法。
29. 前記アクション回路を、前記入力信号のうちの少なくとも第１の信号に関して、前記保護回路と直列に、前記入力信号のうちの少なくとも第２の信号に関して、前記保護システムと並列に接続することをさらに含む請求項１９記載の方法。
30. ルールに違反する入力信号に応答して、前記保護システムと前記制御システムとの間に配置される通信バスを通して、前記制御システムが前記保護システムにシグナリングすることをさらに含む請求項１９記載の方法。
31. 前記制御システムと前記保護システムとを共通のパッケージにパッケージングすることをさらに含む請求項１９記載の方法。
32. 前記制御システムが、前記制御システム内に配置される制御システムプライベートキーによりメッセージにサインすることと、前記制御システムがサインしたメッセージをソースに送ることとをさらに含み、前記ソースは、前記制御システムが改竄されているか否かを決定する請求項１９記載の方法。
33. 前記ソースが、前記ソース内に配置されるソースプライベートキーによりメッセージにサインすることと、前記ソースがサインしたメッセージを前記制御システムに送ることとをさらに含み、前記制御システムは、前記ソースがサインしたメッセージから、前記ソースが改竄されているか否かを決定する請求項３２記載の方法。
34. 前記監視回路により、前記ルールに違反する出力信号に関して前記保護システムの出力信号を監視することと、
    前記アクション回路により、違反する出力信号の、前記保護システムからの配信を阻止することとをさらに含む請求項１９記載の方法。
35. 前記制御システムは、前記保護システムによって利用されるよりも強度のアクセス制御を実施する請求項１９記載の方法。
36. 前記制御システムを前記保護システムの物理レイヤに接続することをさらに含む請求項１９記載の方法。