JP2023180257A - モノのインターネットシステムにおけるセキュアエレメントのアレイ - Google Patents

Abstract

【課題】半二重接続を介して衝突耐性全二重通信プロトコルを使用してデータを送信するための方法を提供する。
【解決手段】方法は、データを送信する第１のデバイスに対するデータ受信モードを終了させるステップと、第１のデバイスが、第２のデバイスによる受信のために半二重接続を介してデータフレームを送信するステップと、第１のデバイスが、第２のデバイスからの肯定応答に関して監視するステップと、肯定応答は、巡回冗長検査値を含んでおり、データフレームが再送される必要があると決定するステップと、第１のデバイスのデバイス役割を識別するステップと、デバイス役割の識別に応じた時間にデータフレームを再送信するステップと、を含む。
【選択図】 図６

Description

本明細書は、概して、限定するものではないが、モノのインターネット（ＩｏＴ：Ｉｎｔｅｒｎｅｔ－ｏｆ－ｔｈｉｎｇｓ）システムに関し、詳しくは、限定するものではないが、ＩｏＴシステムのための透過型アーキテクチャに関する。

モノのインターネット（ＩｏＴ）システムは、多くの場合、データを収集および通信する様々なセンサまたは他の方法を含むエッジデバイスを含む。これらのエッジデバイスのうちのいくつかは、直接ネットワーク接続を有していない場合があり、またはそうでなければリソース制約されている場合がある。加えて、これらのエッジデバイスがキーマテリアルを保存し、かつ安全な処理を実行する必要があることが多い。しかしながら、ＩｏＴシステム内のエッジデバイスは、処理リソースおよびセキュリティ機能を欠いていることが多く、また、エッジデバイスの物理的場所がエッジデバイスがキーマテリアルを保存するのに推奨できない場合がある。また、これらのエッジデバイスは、定期的な更新を必要とするソフトウェアを実装している場合がある。これらのエッジデバイスのいくつかに対する制限されたネットワーク接続に起因して、これは、ソフトウェア更新が必要とされるたびに、技術者に各個別のエッジデバイスにアクセルすることを要求し得る。これは、多くのエッジデバイスを備えるシステムにおいて、時間およびリソースを消費することとなり得る。

本発明は、特許請求の範囲に記載されるような、エッジデバイスに関するシステム機能の安全な実行を提供するためのシステムおよび方法、非一時的コンピュータ可読媒体、並びに物理アクセス制御システムを提供する。

必ずしも一定の縮尺で描かれていない図面において、同様の参照番号は、異なる図における同様の構成要素を説明し得る。異なる添え字を有する同様の参照番号は、同様の構成要素の異なる例を表し得る。いくつかの実施形態は、添付の図面の図において、限定ではなく例として示される。
例示的な物理アクセス制御システムを示す図である。 セキュアエレメントのアレイを含む例示的なモノのインターネット（ＩｏＴ）アーキテクチャを示すブロック図である。 例示的なセキュアＩｏＴゲートウェイを示すブロック図である。 コントローラによってセキュアエレメントのアレイを認証するための例示的なワークフローを示す。 セキュアエレメントのシスターボードによってポリシーおよび／またはコントローラを認証するための例示的なワークフローを示す。 半二重システムにおいて使用するための全二重プロトコルのための例示的な送信フレームを示す図である。 全二重プロトコルを使用して半二重通信回線上でメッセージングを伝送する例示的な方法を示すフローチャートである。 １つまたは複数の実施形態が実施され得るマシンの例を示すブロック図である。

セキュアエレメントのアレイを使用して、モノのインターネット（ＩｏＴ）システムのための透過型アーキテクチャを実装するためのシステムおよび方法が本明細書で開示される。例示的なＩｏＴアーキテクチャは、セキュアエレメントの内蔵アレイまたは接続可能なアレイを装備したゲートウェイを含む。セキュアエレメントは、例えば、暗号化、暗号解読、署名生成、署名検証、および／またはキー（鍵）生成などの暗号化機能又はプロセスを実行するためのハードウェアおよび／またはソフトウェアを含む。セキュアエレメントは、暗号モジュールの物理的境界を確立し、かつ暗号モジュールの任意のソフトウェアおよびファームウェアコンポーネントを格納および保護する任意のプロセッサおよび／または他のハードウェアコンポーネントを含む明示的に定義された境界（ペリメータ：ｐｅｒｉｍｅｔｅｒ）内に含まれる。セキュアエレメントは、セキュア暗号プロセッサ、スマートカード、セキュアデジタル（ＳＤ：ｓｅｃｕｒｅ ｄｉｇｉｔａｌ）カード、マイクロＳＤカード、ＳＩＭカード、及び／又は任意の他の暗号モジュールの形態をとる（または含む）ことができる。

セキュアエレメント（ＳＥ：ｓｅｃｕｒｅ ｅｌｅｍｅｎｔ）は、一組の正当に特定された信頼性のある機関によって規定された規則およびセキュリティ要件に従って、複数のアプリケーションおよびそれらの秘密データおよび暗号データを安全にホストすることが可能な耐タンパー性プラットフォームである。ＳＥは、データを安全に保存し、データを安全に処理し、外部エンティティとの通信を安全に実行するための動的環境を提供するチップであると考えることができる。

物理アクセス制御システム（ＰＡＣＳ：Ｐｈｙｓｉｃａｌ Ａｃｃｅｓｓ Ｃｏｎｔｒｏｌ Ｓｙｓｔｅｍｓ）は、リーダ（エッジデバイス）およびコントローラ（中間サーバ／デバイス）を含む。従来のＰＡＣＳシステムでは、リーダは、リーダの通信範囲内に入るカードまたは携帯電話と安全に通信するためのソフトウェアをホストし実行するスマートデバイスである。成功裏に進むＰＡＣＳシステムは、ユーザ体験とセキュリティの両方に焦点を当てている。従って、リーダデバイスは、遅延問題ならびにハードウェアベースおよびソフトウェアベースのセキュリティの基本（ｓｅｃｕｒｉｔｙ ｐｒｉｍｉｔｉｖｅｓ）の両方に対処するのに十分な処理能力を有している必要がある。リーダデバイスは、（トランスポートレベルおよびアプリケーションレベルの両方において）異なるプロトコルを有し、かつ異なるデータモダリティを有する広範囲のカードデバイスからのデータを認証し、かつ読み取るためのサポートを有する。これは、新たなカードのモダリティ、バグ修正などをサポートするために更新されなければならない、リーダデバイスによって実装される多くのソフトウェアが生じる結果となる。リーダデバイスは、ネットワーク接続を有していないことが多いため、リーダデバイスは、これらの更新を実行するために技術者によって物理的にアクセスされる必要がある。さらに、これは、安全なソフトウェアおよびキーマテリアルを保存する、リーダ上に物理的に位置するセキュアエレメントをもたらす結果となる。いくつかのリーダは、例えば、建物の外側部分に物理的に配置され、これは、企業、認証エンティティ、または、実質的にキーの全ての安全な保存が建物の周辺などの安全な周辺内に物理的に配置されることを所望するか、または必要とするＰＡＣＳシステムの他のユーザにセキュリティ上の懸念を生じさせる可能性がある。

上記の状況を改善するために、リーダから離れたセキュアエレメントのアレイを使用して、リーダデバイスのためのセキュリティおよびアプリケーションソフトウェアを実行し得る。セキュアエレメントのアレイは、ＰＡＣＳコントローラと一体化されるか、またはＰＡＣＳコントローラに取り付けられ、かつ複数のエッジデバイス（リーダ）への複数の並列要求および接続を処理するように構成され得る。ＰＡＣＳコントローラは、セキュアエレメントのためのソフトウェアまたはファームウェア更新を保存および提供し得る１つまたは複数のリモートデバイスへのネットワーク接続を有し得る。このようにして、セキュアエレメントは、技術者が各個々のエッジデバイス（リーダ）にアクセスする必要なく更新することができる。ＰＡＣＳコントローラはまた、建物または他の安全な周辺内に物理的に配置され得、いくつかのリーダ上に配置された複数のセキュアエレメントを有することについてのセキュリティ上の懸念が排除される。

一例では、セキュアエレメントのアレイは、シリアルペリフェラルインタフェース（ＳＰＩ：ｓｅｒｉａｌ ｐｅｒｉｐｈｅｒａｌ ｉｎｔｅｒｆａｃｅ）、インター集積回路（Ｉ２Ｃ：ｉｎｔｅｒ－ｉｎｔｅｇｒａｔｅｄ ｃｉｒｃｕｉｔ）、ユニバーサルシリアルバス（ＵＳＢ：ｕｎｉｖｅｒｓａｌ ｓｅｒｉａｌ ｂｕｓ）などのバスプロトコルを有する１つまたは複数のバスを使用してホストデバイスに接続し得るシスターボード（ｓｉｓｔｅｒ ｂｏａｒｄ）上に配置され得る。セキュアエレメントは、いくつかの機能のために使用され得る。例えば、セキュアエレメントは、セキュリティアルゴリズムを提供し、かつ機密キーマテリアルの安全な保存を提供する暗号プロセッサとして動作し得る。他の例では、セキュアエレメントは、セキュリティアルゴリズムおよびキーマテリアルの保存とともに、アプリケーション固有のソフトウェアを実行するアプリケーションプラットフォームとして使用され得る。例えば、ＰＡＣＳシステムでは、セキュアエレメントは、ＰＡＣＳリーダに認証資格（クレデンシャル：ｃｒｅｄｅｎｔｉａｌ）を提示するユーザの認証を実行するように使用され得る。このようにして、ユーザ認証を実行するためのソフトウェア機能は、リーダデバイス自体には必要とされない。

図１は、ＰＡＣＳが使用され得る例示的な想定事例１００を示す。図１に示すように、壁１０２にはドア１０４が配置されている。例示的な状況では、セキュリティ保護された領域がドア１０４の背後にあり、ドアは、ロック解除状態にあるときにセキュリティ保護された領域へのアクセスを許可し、ロック状態にあるときにセキュリティ保護された領域へのアクセスを防止するロック可能なハンドル１０６を有する。

リーダデバイス１０８は、ドア１０４のハンドル１０６に近接して配置される。一例では、ハンドル１０６は、デフォルト状態でロックされている。リーダシステム１０８は、無線インタフェース１１０を介してリーダデバイス１０８と通信することができるクレデンシャルデバイス１１２に含まれる承認された認証資格が提示されることに応答して、ハンドル１０６を選択的にロック解除状態にするように動作可能である。様々な例において、クレデンシャルデバイス１１２は、キーカード、フォブ、モバイルデバイス（例えば、スマートフォン）、又は通信機能および認証資格情報を有する任意の他の適切なクレデンシャルデバイスであり得る。

従来のシステムでは、ユーザを認証するためのアプリケーションソフトウェアは、リーダデバイス１０８自体に実装され得る。例えば、ユーザは、リーダデバイス１０８と通信して、認証資格をリーダデバイス１０８に提供するクレデンシャルデバイス１１２を提示する。次いで、リーダデバイス１０８は、受信した認証資格を使用して、ユーザを安全に認証し、ハンドル１０６をロック解除する。他の従来例では、この機能の一部はリーダデバイス１０８に含まれ、一部は遠隔に配置されたＰＡＣＳコントローラに含まれる。例えば、リーダデバイスは、クレデンシャルデバイス１１２との安全なトランザクションを実行し、次いで、ユーザを認証するためにＰＡＣＳコントローラにデータを送信し得る。次いで、コントローラは、ハンドル１０６をロック解除するように伝達し得る。

リーダデバイス１０８は、安全なトランザクションおよび／または認証を実行するため、リーダデバイス１０８に対してソフトウェアまたはファームウェアの更新が必要とされ得る。いくつかの例では、リーダデバイス１０８は、ネットワーク接続を含んでおらず、ＲＳ－４８５または他の接続等の単一有線接続を介してＰＡＣＳコントローラに接続されているのみである。これは、ＰＡＣＳシステム内の各リーダデバイス１０８のソフトウェアまたはファームウェアを更新するために、技術者がリーダデバイス１０８まで物理的に移動することを必要とする。メンテナンスを容易にするために、この機能の一部をリーダから離して移動させながら、リーダデバイス１０８と同じか、またはより良好なユーザ体験をユーザに提供することが望ましい。

これを実現するために、セキュアエレメントのアレイが、ＰＡＣＳコントローラにおいて実装され得、各セキュアエレメントは、個別のリーダデバイス１０８に対する安全なソフトウェア実行を実施するように構成される。これらのＰＡＣＳコントローラは、多くの場合、１つまたは複数のネットワーク接続を含み、セキュアエレメントによって実行されるソフトウェアの遠隔更新を可能にし、技術者が各リーダデバイス１０８にまで物理的に移動する必要性を排除する。本開示は、ＰＡＣＳシステムに加えて、多数のタイプのＩｏＴシステムに適用可能であることを理解されたい。図１に示すシステム１００は、単に例として提示されたものであり、限定されるものではない。

図２は、ＩｏＴシステム２００を示す図である。システム２００は、複数のエッジデバイスクラスタ２１０と、セキュアＩｏＴゲートウェイ（ＳＩＧ：ｓｅｃｕｒｅ ＩｏＴ ｇａｔｅｗａｙ）２２０とを含む。複数のエッジデバイスクラスタ２１０は、それぞれ、図１のリーダデバイス１０８などの１つまたは複数のエッジデバイス２３０を含み得る。ＳＩＧ２２０は、ローカルエリアネットワーク、またはインターネットなどのワイドエリアネットワーク２８０を介してリモートソース２４０と通信し得る。ＳＩＧ２２０は、コントローラ２５０と、複数のセキュアエレメント２７０を含むシスターボード２６０とを含み得る。一例では、コントローラ２５０は、ＰＡＣＳコントローラであり得る。各々５個のエッジデバイス２３０からなる２つのクラスタ２１０および４個のセキュアエレメント２７０として図示されているが、任意の数のエッジデバイス２３０を有する任意の数のクラスタ２１０および任意の数のセキュアエレメント２７０が、システム２００に関して実装され得る。別個のコントローラ２５０およびシスターボード２６０として図示されているが、いくつかの例では、複数のセキュアエレメント２７０は、コントローラ２５０と統合され得る。コントローラ２５０は、ＳＰＩ、Ｉ２Ｃ、ＵＳＢなどの任意のバスプロトコルを使用して、シスターボード２６０と通信するように接続され得る。

ＳＩＧ２２０は、リモートソース（単数または複数）２４０と通信するためにネットワーク接続２８０を介して接続され、個別のエッジデバイス２３０と通信するために個別の接続２９０を介して接続される。例えば、接続２８０は、ローカルエリアネットワーク接続、またはインターネット接続などのワイドエリアネットワーク接続であり得る。個々の接続２９０は、イーサネット（登録商標）、Ｗｉ－Ｆｉ、ＵＳＢ、ＲＳ－４８５などの有線接続または無線接続であり得る。各クラスタ２１０に対して単一の接続２９０として図示されているが、各個々のエッジデバイス２３０に対して接続２９０が設けられ得る。リモートソース２４０は、１つまたは複数のサーバまたは他のコンピューティングデバイスであり得るとともに、複数のセキュアエレメント２７０用のファームウェアファイルまたは他のソフトウェア更新を保存し得る。いくつかの例では、ＳＩＧ２２０は、リモートソース２４０と通信して、ファームウェアファイルまたは他のソフトウェア更新を取得して、ＳＩＧ２２０によって実装される１つまたは複数のセキュアエレメント２７０を更新する。

図１に示すようなＰＡＣＳシステムにおいて、リーダデバイス１０８は、ＰＡＣＳコントローラなどのコントローラ２５０と通信するように接続されたエッジデバイス２３０であり得る。接続２９０は、有線全二重接続、ＲＳ－４８５接続等の有線半二重接続、または任意の他の接続であり得る。セキュアエレメント２７０は、リーダ１０８に対して、アプリケーション固有のハードウェアを使用して機能を実行するソフトウェアを実行するように構成され得る。例えば、ユーザがリーダデバイス１０８に接近して、クレデンシャルデバイス１１２を使用して認証資格を提示すると、セキュアエレメント２７０は、セキュリティアルゴリズム、機密キーマテリアルの安全な保存、ならびにユーザ認証を実行するためのトランザクションに割り当てられ得る。いくつかの例では、リーダデバイス１０８は、クレデンシャルデバイス１１２から認証資格情報を取得し、コントローラに認証資格情報を提供するのみでよく、セキュアエレメント２７０が、ユーザを認証してドアハンドル１０６をロック解除するためのアプリケーション固有の機能の全てを実行する。他の例では、アプリケーション固有の機能のうちのいくつかは、リーダデバイス１０８によって実行され得、いくつかは、セキュアエレメント２７０によって実行され得る。

ユーザがリーダデバイス１０８に接近すると、またはリーダデバイス１０８がユーザの認証資格を受信すると、コントローラ２５０または他の電子回路は、リーダデバイス１０８と共に使用するためのセキュアエレメント２７０を選択し、かつ割り当て得る。これは、リーダデバイス１０８のためのソフトウェアの実行に現在利用可能である任意のセキュアエレメント２７０であり得る。

一例では、各エッジデバイス２３０は、個別のエッジデバイス２３０が個別のセッションのために割り当てられるセキュアエレメント２７０への参照を動的に受信し得る。例えば、エッジデバイス２３０がセキュアエレメント２７０を必要とする場合、コントローラ２５０は、個別のエッジデバイス２３０に必要な機能を提供することが可能である利用可能なセキュアエレメント２７０を識別し得る。コントローラ２５０はまた、「ディスパッチャ（ｄｉｓｐａｔｃｈｅｒ）」として実装され得、メッセージまたはデータを個別のセキュアエレメント２７０にディスパッチする役割を担い、セキュアエレメントのアレイを個別のエッジデバイス２３０から遮蔽する。これにより、コード開発および管理における高レベルのモジュール性が可能となるとともに、システム内のエッジデバイス２３０または他のアクタのクラッシュ（ｃｒａｓｈ）または終了（ｔｅｒｍｉｎａｔｉｏｎ）から保護される。

エッジデバイス２３０またはセキュアエレメント２７０のライフサイクルを監視し、例えば、個別のデバイスを再生成するか、またはデバイスを終了した状態に維持してシステム管理者に通知するかのいずれかのポリシーを実装するための他のデバイスまたは回路もまた、システム２００内に実装され得る。他の例では、エッジデバイス２３０、コントローラ２５０、またはセキュアエレメント２７０のうちの１つまたは複数は、システム内の複数のデバイスのライフサイクルを監視し得、これは、システム内の複数のデバイスの個別の状態をクリーンアップまたはリセットする際に使用され得る。

いくつかの場合では、リモートデバイス２４０または他のエンティティによってアクセス可能でないエッジデバイスに対するアプリケーションおよびキーマテリアルを実装することが所望される場合がある。例えば、ＰＡＣＳシステムにおいて、エンティティは、リモートデバイス２４０を介するなどして他のエンティティによってアクセス可能でない特定の認証コードを用いてコントローラ２５０またはセキュアエレメント２７０をプログラムすることを所望する場合がある。これを可能にするために、セキュアエレメント２７０は、セキュアエレメント２７０が高水準言語でプログラム可能であるように構成され得る。いくつかの例では、セキュアエレメント２７０がリソース制約デバイスであっても、セキュアエレメント２７０のための言語ランタイムを稼動することが可能なランタイムが実装され得る。従って、エンティティは、アプリケーションを開発し、セキュアエレメント２７０上にアプリケーションをインストールすることができる。

上記の想定事例では、セキュアエレメント２７０上にこれらのアプリケーションをインストールできる者を制限することが望ましい。一例では、セキュアエレメント２７０にインストールされるアプリケーションは、エンティティによって署名される必要があり、次いで、より高いレベルのエンティティまたは他のエンティティが、対応するキーを用いてアプリケーションに二重に署名する。アプリケーションが二重に署名されている場合、セキュアエレメント２７０のうちの１つまたは複数またはコントローラ２５０の内蔵セキュアエレメントは、アプリケーションが個別のセキュアエレメント２７０にインストールされることを可能にする。これは、エンティティがアプリケーションを独立して開発し、かつそれらをセキュアエレメント２７０にロードすることを可能にする。いくつかの例では、セキュアエレメント２７０によってインストールされたアプリケーションが互いに干渉することを防止するために、仮想ファイアウォールもセキュアエレメント２７０によって実装され得る。

図３は、ＳＩＧ２２０の例示的な実装形態を示すブロック図である。ゲートウェイ２２０は、制御回路構成３００と、処理エレメント３１０と、図２のセキュアエレメント２７０であり得る１つまたは複数のセキュアエレメント３２０とを含む。いくつかの場合では、ゲートウェイ２２０は、４個のセキュアエレメント３２０を含む。ゲートウェイ２２０の各セキュアエレメント３２０は、同じ機能を実行するように構成され得る。いくつかの実装形態では、セキュアエレメント３２０は、典型的な汎用マイクロプロセッサよりも高いレベルのセキュリティ保証を提供するように（ハードウェアおよびソフトウェアの両方で）実装される。いくつかの実装形態において、セキュアエレメント３２０は、より高いレベルのセキュリティ保証を提供することなく、汎用マイクロプロセッサとして実装される。

制御回路構成３００および処理エレメント３１０は、セキュアエレメント３２０を個別のエッジデバイス２３０に割り当てるための割り当てプロトコルを実装するように構成され得る。制御回路構成３００および処理エレメント３１０は、コントローラ２５０によって実装され、かつ／またはシスターボード２６０上に実装され得る。エッジデバイス２３０と共にセキュアエレメント３２０の使用を可能にするために、エッジデバイス２３０、セキュアエレメント３２０、プロトコルなどは、それら自体の状態を管理し、かつプロセス内メッセージングを使用してシステム内の他のアクタとのみ通信するアクタとして実装され得る。これらのアクタは、アクタの個別のデバイスの設定状態を維持し、かつアクタが所与のセッションに割り当てられたセキュアエレメント３２０への参照を動的に受信する。同様に、アクタは、所望のトランスポートおよびアプリケーションプロトコルを使用して通信することが可能なアクタに接続／登録され得る。

制御回路構成３００および／または処理エレメント３１０は、関連する適切なセキュアエレメント３２０にメッセージ／データをディスパッチする役割を担い、それによって、例えば、エッジデバイス２３０を代表するアクタからセキュアエレメント３２０のアレイ全体を遮蔽するディスパッチャアクタとして動作するソフトウェアを実行し得る。アクタおよびプロセス内メッセージングの使用は、コード開発およびメンテナンスにおける高レベルのモジュール性、コンポーネントが全て同じプロセスの一部であるためコンポーネント間の相互作用におけるオーバーヘッドがゼロであることによる優れた性能、ならびに任意のコンポーネントの誤動作からの保護を可能にする。通常、プロセスのソフトウェアコンポーネントにおける障害またはバグは、プロセス全体のクラッシュにつながる。アクタのモデルは、システムが個々のアクタ内に障害を封じ込めることを可能にし、それによってプロセスを障害から保護する。このメカニズムは、最終的には、ほぼ１００％の連続稼働時間（ｕｐｔｉｍｅ）およびプロセスにおける不良挙動のコンポーネント／アクタからの回復力を提供する。

リモートソース２４０は、ネットワーク接続２８０を介してセキュアエレメント３２０に関する更新を提供し得る。例えば、第１のセキュアエレメント３２０のファームウェアは、処理エレメント３１０によって実装される、信頼できる実行環境などのセキュリティエンクレーブ（ｓｅｃｕｒｉｔｙ ｅｎｃｌａｖｅ）を介して更新され得る。このような場合では、セキュリティエンクレーブは、暗号サポート（ｃｒｙｐｔｏ ｓｕｐｐｏｒｔ）を利用し、かつ全体的なコンピューティング環境からの分離を提供するアプリケーションを実行し得る。いくつかの実装形態では、処理エレメント３１０によって実装されるセキュリティエンクレーブは、別のデバイスと通信するためにセキュリティエンクレーブによって使用される対称キーマテリアル又は非対称キーマテリアル（ｓｙｍｍｅｔｒｉｃ ｏｒ ａｓｙｍｍｅｔｒｉｃ ｋｅｙ ｍａｔｅｒｉａｌ）を含む。複数のデバイスと通信するためにセキュリティエンクレーブによって使用される暗号プロセス及び技術は、ゲートウェイ２２０の複数のセキュアエレメントによって実装される暗号プロセスとは異なる。

セキュアエレメント３２０の数は、セキュアエレメント３２０によってサービスされるエッジデバイス２３０の数より少なくてもよい。これは、全てのエッジデバイス２３０が同時にアクティブであると予想されない場合に有利であり得る。さらに、これは、１個のセキュアエレメントへの要求を交互的に行う（ｉｎｔｅｒｌｅａｖｅ）能力を助長する。いくつかの例では、１個のセキュアエレメントのアクタが２個のエッジデバイスのアクタに関連付けられ得る。２個のエッジデバイスのアクタが同時にアクティブであっても、２個のエッジデバイスのアクタは、異なる通信段階にあり得る。各エッジデバイスのアクタからの要求は、単一のセキュアエレメントのアクタに交互的に行われ得る。例えば、トランザクションは、エッジデバイスとセキュアエレメントとの間のいくつかのコマンド・応答ペアを含み得る。セキュアエレメントが第１のエッジデバイスからの特定のコマンドに対する応答を返すときまでに、コントローラは、第２のエッジデバイスから異なるコマンドを受信することができる。この状況では、２個のエッジデバイスからの通信を交互的に行うことにより、単一のセキュアエレメントの効率的な使用が可能となる。

セキュアエレメント３２０が、コントローラ２５０から物理的に分離可能なシスターボード上に配置される例では、シスターボードをコントローラ２５０に差し込むか、または他の方法で接続するときに、シスターボードを認証することが望ましい。これを実現するために、コントローラ２５０は、コントローラ２５０に内蔵され、セキュアエレメント３２０のアレイを認証する機能と、個別のコントローラ２５０とのポリシー互換性を検証する機能との両方を有する追加のセキュアエレメントを含み得る。別の実施形態では、コントローラ２５０上に内蔵セキュアエレメントを含むのではなく、マイクロプロセッサによって提供されるセキュアエンクレーブを使用することができる。

図４Ａは、コントローラ２５０によってセキュアエレメント３２０のアレイを認証するための例示的なワークフローを示す。一例では、コントローラ２５０のエンクレーブセキュアエレメントまたは内蔵セキュアエレメントは、署名付きルートデジタル証明書と共に非対称キーペアを含む。署名付きデジタル証明書を有することにより、コントローラ２５０内のエンクレーブセキュアエレメント又は内蔵セキュアエレメントが、セキュアエレメントのセキュアアレイに乱数を送信することが可能となる。次いで、アレイ内のセキュアエレメント３２０は、セキュアエレメント３２０によって使用された証明書とともに、署名付き乱数を返信する。アレイ内の各セキュアエレメントは異なる証明書およびキーを有しているが、全ての証明書は同じ親（ルート）証明書を有していることに留意されたい。次に、コントローラ２５０内のエンクレーブセキュアエレメント又は内蔵セキュアエレメントは、乱数の署名を検証するとともに、セキュアエレメント３２０の証明書を検証する。パブリックキーインフラストラクチャ（ＰＫＩ：ｐｕｂｌｉｃ ｋｅｙ ｉｎｆｒａｓｔｒｕｃｔｕｒｅ）と同様であるこのプロセスは、コントローラ２５０がセキュアエレメント３２０を認証するために使用することができる。このプロセスは、例えば、中間者攻撃によって生じる脆弱性から保護するために、シスターボードがコントローラに接続されたときに実行され、その後、再び実行されるか、または代替的に、ランダムな間隔で実行され得る。

上記のプロセスは、シスターボードの真正性（ａｕｔｈｅｎｔｉｃｉｔｙ）を検証するのみであるが、シスターボードがコントローラ２５０および／またはシステムポリシーを認証することも所望される場合がある。図４Ｂは、セキュアエレメント３２０のシスターボードによってポリシーおよび／またはコントローラ２５０を認証するための例示的なワークフローを示す。ポリシーは、１つまたは複数のリモートデバイス２４０の支援により認証され得る。コントローラ２５０内のエンクレーブセキュアエレメント又は内蔵セキュアエレメントは、リモートデバイス２４０と認証を行い、当該コントローラ２５０に固有の署名付き暗号文（ｓｉｇｎｅｄ ｃｒｙｐｔｏｇｒａｍ）を取得することができる。次いで、この署名付き暗号文は、シスターボード内のセキュアエレメント３２０のアレイに送信される。署名が正しい場合にのみ、セキュアエレメント３２０は機能する。いくつかの例では、セキュアエレメントはまた、ポリシーを解析し、解析されたポリシーに基づいてコントローラ２５０に一部の機能を提供するのみの機能を含み得る。

いくつかのＰＡＣＳシステムは、リーダとＰＡＣＳコントローラとの間で通信するために全二重接続を使用して接続される。しかしながら、いくつかの従来のシステムでは、セキュアエレメント３２０とエッジデバイス２３０との間の通信は、半二重接続２９０を使用する。これらのシステムでは、所望のユーザ体験を保証するために、レガシーな半二重接続に対して全二重通信プロトコルを実装することが望ましい。例えば、いくつかの従来のＰＡＣＳシステムは、接続２９０に対してＲＳ－４８５接続を含み得る。これらの従来のシステムでは、リーダまたはコントローラのうちの一方が一次コミュニケータとして動作し、他方が二次コミュニケータとして動作する。エッジデバイス２３０とセキュアエレメント３２０との間の通信を容易にするために、全二重プロトコルが、全てのデバイスが一次コミュニケータとして動作し得るように、半二重接続に対して実装され得る。

全二重プロトコルは、既存のデバイスに対するハードウェア修正を必要とせずに、最新のマイクロコントローラ内に存在する一般的な汎用非同期送受信機（ＵＡＲＴ：ｕｎｉｖｅｒｓａｌ ａｓｙｎｃｈｒｏｎｏｕｓ ｒｅｃｅｉｖｅｒ－ｔｒａｎｓｍｉｔｔｅｒ）ハードウェア上でプロトコルを使用することができるように設計され得る。データ衝突を解決することと共に、このプロトコルは、ノイズが多いかまたはそうでなければ低品質のＲＳ－４８５回線のために起こり得るデータの破損を軽減するのに役立つ。このプロトコルは、より上位レベルのプロトコルに大きな制限を課すことなく、それらと組み合わせて使用されることが意図されている。開放型システム間相互接続（ＯＳＩ：ｏｐｅｎ ｓｙｓｔｅｍｓ ｉｎｔｅｒｃｏｎｎｅｃｔｉｏｎ）モデルでは、プロトコルはデータリンク層で実施することができる。送信側によって送信された全てのデータは、受信側によって肯定応答される。適切な肯定応答が送信側によって時間内に受信されない場合、プロトコルは、図６に関して説明されるように、データ配信の成功をもたらす衝突解決アルゴリズムを組み込んでいる。

図５Ａ－５Ｃは、半二重システムにおいて使用するための全二重プロトコルのための例示的なデータフレームフォーマットを示す図である。図５Ａは、半二重接続を介してデータを通信するために使用されるデータフレーム５００を示す。データフレーム５００は、３７バイトを含むものとして示されているが、任意の数のバイトを含み得る。データフレーム５００は、オプションバイト（図５Ｂ）、データペイロード、および４バイトの巡回冗長検査（ＣＲＣ：ｃｙｃｌｉｃ ｒｅｄｕｎｄａｎｃｙ ｃｈｅｃｋ）を含む。３２バイトとして図示されているが、データフレーム５００は、任意のサイズのデータペイロードを有するように構成され得る。ＣＲＣは、データフレーム５００内のデータの送信における誤りを検出するために使用され得る。

図５Ｂは、データフレーム５００のための例示的なオプションフィールド５１０を示す。オプションフィールド５１０は、エラーインジケータビット、将来の使用のために予約された（ＲＦＵ：ｒｅｓｅｒｖｅｄ ｆｏｒ ｆｕｔｕｒｅ ｕｓｅ）ものである６ビット、およびトグルビットを含む。ＲＦＵビットは、任意の目的のために割り当てられ得る。エラーインジケータは、送信プロトコルにおけるエラーを示す単一ビットである。０に設定された場合、フレームはデータを転送する。１に設定された場合、フレームは、クリティカルエラーがエッジデバイス２３０等のデバイス上で発生したことを示し、コントローラ２５０等の他のデバイスは、それに応じて動作する必要がある。エラー表示は、プロトコルが実施されるよりも上位レベルのレイヤにおけるエラー検出に加えて使用され得る。トグルビットは、データフレームを送信するときに使用され、連続するフレームごとにトグルされる。トグルビットは、同じデータを有する２つの連続するフレームと単一フレームの再送信とを区別するために使用される。

図５Ｃは、データフレームが送信側から正常に受信されたときに受信側によって提供される例示的な肯定応答フレーム５２０を示す。この例では、肯定応答フレームは、データフレーム５００のＣＲＣフレームのコピーであるＣＲＣフィールドを含む。肯定応答フレーム５２０のためにＣＲＣを使用するものとして示されているが、データフレーム５００が受信側によって受信されたことを送信側が妥当な確実性で検証することを可能にする肯定応答のために、任意のデータが使用され得る。例えば、肯定応答をデータフレーム５００に関連付けるとともに、ランダムノイズまたは破損したフレームが有効な肯定応答として識別される確率が非常に小さくなるように十分に大きくかつ十分にランダムである任意のビットパターンが挙げられる。

通信プロトコルを実施する際、２つの異なる役割が、２つのデバイスに、役割「Ａ」および役割「Ｂ」として静的に割り当てられ得る。例えば、コントローラ２５０は、役割「Ａ」が割り当てられ、エッジデバイス２３０は、役割「Ｂ」が割り当てられ得る。ボーレート（ｂａｕｄ ｒａｔｅ）、使用されるストップビットの数、およびビット順序は、デバイス間で事前に合意され得る。プロトコルの推定時間単位（ＥＴＵ：ｅｓｔｉｍａｔｅｄ ｔｉｍｅ ｕｎｉｔ）値も定義され得る。ＥＴＵ値は、一般に、データフレーム５００を送信し、いくらかの追加マージンを有して肯定応答フレーム５２０を受信するために必要とされる時間よりも大きくなるように選択され得る。例えば、１１５２００ビット／秒（ｂｐｓ）のボーレートに対して、５ミリ秒の値が使用され得る。

図６は、半二重接続上で全二重プロトコルに従ってデータを送信するための方法６００を示すフローチャートである。データフレーム５００を送信する際に、デバイスは、回線がアイドルになるまで待機する必要がある。回線がアイドル状態になると、データフレームは指定されたバイト数で送信される。フレームを受信すると、指定されたバイト数が受信され、次にデバイスは回線がアイドルになるまでの間待機する。アイドル時には、両方のノードが受信モードにあり（ステップ６０２）、データを受信するために待機している。受信されると、受信データフレーム５００のＣＲＣがチェックされる。ＣＲＣが正しくない場合、ノードは別のデータフレームの受信を開始する。ＣＲＣが正しい場合、ノードは、対応する肯定応答を送信し、別のデータフレームの受信を開始する。新たなデータフレームが受信されると、そのフレームのＣＲＣが最後に受信したフレームのＣＲＣに等しいかどうかがチェックされる。それらが一致する場合、フレームは複製と見なされ、上位層に報告されない。肯定応答は、複製フレームに対しても送信される。

データフレーム５００を送信するとき、ステップ６０４において、デバイスは受信モードを停止する。ステップ６０６において、データフレーム５００は、指定されたバイト数を使用して送信される。データフレーム５００の送信に続いて、デバイスは、肯定応答が受信される（ステップ６０８）か、またはＥＴＵが満了する（ステップ６１０）まで待機する。肯定応答を受信する前にＥＴＵが満了した場合、方法６００はステップ６１４に移行する。肯定応答が正常に受信された場合、方法６００はステップ６１２に移行し、肯定応答フレーム５２０のＣＲＣをチェックする。ＣＲＣが送信されたデータフレーム５００のものと一致しない場合、方法６００はステップ６１４に移行する。ＣＲＣが一致する場合、データフレーム５００は正常に送信され、方法はステップ６０２に戻り、デバイスは受信モードに再び入る。ステップ６１４において、デバイスの役割がチェックされる。デバイスが役割「Ａ」デバイスである場合、方法６００はステップ６０６に戻り、データフレーム５００を再送信する。デバイスが役割「Ｂ」デバイスである場合、デバイスはステップ６１６に移行し、回線上の衝突を最小限に抑えるために２つのＥＴＵの受信モードに入り、次にステップ６０６に戻ってデータフレーム５００を再送信する。方法６００は、半二重回線上で使用するために、衝突を解決する全二重プロトコルを提供する。

図７は、本明細書において説明されている技法（例えば、方法）のうちの任意の１つまたは複数が実行され得る例示的なマシン７００のブロック図を示す。例えば、マシン７００は、エッジデバイス２３０、コントローラ２５０、またはセキュアエレメント２７０のうちの任意の１つまたは複数であり得る。複数の例は、本明細書で説明されるように、マシン７００内の論理コンポーネントまたはいくつかのコンポーネント、または機構を含むか、またはそれらによって動作し得る。回路構成（例えば、処理回路）は、ハードウェア（例えば、簡単な回路、ゲート、ロジックなど）を含むマシン７００の有形のエンティティに具体化された回路の集合である。回路構成の要素は、経時的に柔軟に変化し得る。回路は、動作時に指定された動作を単独で又は組み合わせて実行し得る構成要素を含む。一例では、回路構成のハードウェアは、特定の動作を実行するように（例えば、配線接続されるなど）不変的に設計され得る。一例では、回路構成のハードウェアは、特定の動作の命令を符号化するように物理的に（例えば、磁気的に、電気的に、不変質量粒子の可動配置など）変更されたマシン可読媒体を含む、可変接続の物理的コンポーネント（例えば、実行ユニット、トランジスタ、簡単な回路など）を含み得る。物理的コンポーネントを接続する際に、例えば、絶縁体から導体に（または、その逆に）、ハードウェア構成物の基礎となる電気的特性が変化する。命令は、埋め込みハードウェア（例えば、実行ユニットまたはローディング機構）が、可変接続を介してハードウェア内に回路構成の要素を作成して、動作時に特定の動作の一部を実行することを可能にする。従って、一例では、マシン可読媒体要素は、回路構成の一部であるか、またはデバイスが動作する際に回路構成の他のコンポーネントに通信可能に接続される。一例では、物理的コンポーネントのいずれも、２つ以上の回路構成の２つ以上の要素において使用し得る。例えば、動作中、実行ユニットは、ある時点で第１の回路構成の第１の回路において使用され、かつ第１の回路構成の第２の回路によって再使用されるか、または異なる時点で第２の回路構成の第３の回路によって使用され得る。マシン７００に関するこれらのコンポーネントの追加の例を以下に示す。

代替的な実施形態において、マシン７００は、スタンドアロンデバイスとして動作し得るか、または他のマシンに接続（例えば、ネットワーク接続）され得る。ネットワーク化された構成では、マシン７００は、サーバ・クライアントネットワーク環境において、サーバマシン、クライアントマシン、またはその両方として動作し得る。一例では、マシン７００は、ピアツーピア（Ｐ２Ｐ）（または他の分散型）ネットワーク環境におけるピアマシンとして動作し得る。マシン７００は、パーソナルコンピュータ（ＰＣ）、タブレットＰＣ、セットトップボックス（ＳＴＢ）、携帯情報端末（ＰＤＡ）、携帯電話機、ウェブアプライアンス、ネットワークルータ、スイッチもしくはブリッジ、またはそのマシンによって実行される動作を指定する命令（シーケンシャルまたはそれ以外のもの）を実行することが可能な任意のマシンであり得る。さらに、単一のマシンのみが図示されているが、「マシン」という用語は、クラウドコンピューティング、サービス型ソフトウェア（ＳａａＳ：ｓｏｆｔｗａｒｅ ａｓ ａ ｓｅｒｖｉｃｅ）、他のコンピュータクラスタ構成などの、本明細書で説明される方法のうちの任意の１つまたは複数を実行するために、一組（または複数の組）の命令を個別にまたは共同で実行するマシンの任意の集合を含むものと解釈されるべきである。

マシン（例えば、コンピュータシステム）７００は、ハードウェアプロセッサ７０２（例えば、中央処理ユニット（ＣＰＵ）、グラフィックス処理ユニット（ＧＰＵ）、ハードウェアプロセッサコア、またはそれらの任意の組み合わせ）、メインメモリ７０４、スタティックメモリ７０６（例えば、ファームウェア、マイクロコード、基本入出力（ＢＩＯＳ）、統合拡張可能ファームウェアインタフェース（ＵＥＦＩ）などのためのメモリまたはストレージ）、および大容量ストレージ７０８（例えば、ハードドライブ、テープドライブ、フラッシュストレージ、または他のブロックデバイス）を含み得、これらのうちのいくつかまたは全ては、インターリンク（例えば、バス）７３０を介して互いに通信し得る。マシン７００は、ディスプレイユニット７１０、英数字入力デバイス７１２（例えば、キーボード）、およびユーザインタフェース（ＵＩ）ナビゲーションデバイス７１４（例えば、マウス）をさらに含み得る。一例では、ディスプレイユニット７１０、入力デバイス７１２、およびＵＩナビゲーションデバイス７１４は、タッチスクリーンディスプレイであり得る。マシン７００は、ストレージデバイス７０８（例えば、ドライブユニット）、信号発生デバイス７１８（例えば、スピーカ）、ネットワークインタフェースデバイス７２０、全地球測位システム（ＧＰＳ）センサ、コンパス、加速度計、または他のセンサなどの１つまたは複数のセンサ７１６をさらに含み得る。マシン７００は、１つまたは複数の周辺デバイス（例えば、プリンタ、カードリーダなど）と通信または制御するために、シリアル（例えば、ユニバーサルシリアルバス（ＵＳＢ））、パラレル、または他の有線または無線（例えば、赤外線（ＩＲ）、近距離通信（ＮＦＣ）など）接続などの出力コントローラ７２８を含得る。

プロセッサ７０２のレジスタ、メインメモリ７０４、スタティックメモリ７０６、または大容量ストレージ７０８は、本明細書で説明される技法または機能のうちの任意の１つまたは複数を具現化するか、またはそれらによって利用される１つまたは複数の組のデータ構造または命令７２４（例えば、ソフトウェア）が記憶されるマシン可読媒体７２２であるか、またはそれを含み得る。命令７２４はまた、マシン７００によるその実行中に、プロセッサ７０２のレジスタ、メインメモリ７０４、スタティックメモリ７０６、または大容量ストレージ７０８のいずれかの中に完全にまたは少なくとも部分的に存在し得る。一例では、ハードウェアプロセッサ７０２、メインメモリ７０４、スタティックメモリ７０６、または大容量ストレージ７０８のうちの１つまたは任意の組合せが、マシン可読媒体７２２を構成し得る。マシン可読媒体７２２が単一の媒体として示されているが、「マシン可読媒体」という用語は、１つまたは複数の命令７２４を記憶するように構成された単一の媒体または複数の媒体（例えば、集中型または分散型データベース、および／または関連するキャッシュおよびサーバ）を含み得る。

「マシン可読媒体」という用語は、マシン７００による実行のために命令を記憶、符号化、または搬送することが可能であり、かつマシン７００に本開示の技法のうちの任意の１つまたは複数を実行させる、またはそのような命令によって使用されるかまたはそのような命令に関連付けられるデータ構造を記憶、符号化、もしくは搬送することを可能にする任意の媒体を含み得る。非限定的なマシン可読媒体の例は、ソリッドステートメモリ、光媒体、磁気媒体、及び信号（例えば、無線周波数信号、他の光子ベースの信号、音声信号など）を含み得る。一例では、非一時的マシン可読媒体は、不変（例えば、静止）質量を有する複数の粒子を有するマシン可読媒体を含み、従って、物質の組成物である。従って、非一時的マシン可読媒体は、一時的な伝搬信号を含まないマシン可読媒体である。非一時的マシン可読媒体の具体例は、半導体メモリデバイス（例えば、電気的プログラム可能な読み出し専用メモリ（ＥＰＲＯＭ）、電気的消去可能なプログラム可能読み出し専用メモリ（ＥＥＰＲＯＭ））およびフラッシュメモリデバイスなどの不揮発性メモリ、内部ハードディスクおよびリムーバブルディスクなどの磁気ディスク、光磁気ディスク、ならびにＣＤ－ＲＯＭディスクおよびＤＶＤ－ＲＯＭディスクを含み得る。

命令７２４は、いくつかの転送プロトコル（例えば、フレームリレー、インターネットプロトコル（ＩＰ）、伝送制御プロトコル（ＴＣＰ）、ユーザデータグラムプロトコル（ＵＤＰ）、ハイパーテキスト転送プロトコル（ＨＴＴＰ）など）のうちのいずれか１つを利用するネットワークインタフェースデバイス７２０を介して、伝送媒体を使用して通信ネットワーク７２６上でさらに送信または受信され得る。例示的な通信ネットワークは、とりわけ、ローカルエリアネットワーク（ＬＡＮ）、ワイドエリアネットワーク（ＷＡＮ）、パケットデータネットワーク（例えば、インターネット）、携帯電話ネットワーク（例えば、セルラーネットワーク）、基本電話（ＰＯＴＳ）ネットワーク、および無線データネットワーク（例えば、Ｗｉ－Ｆｉ（登録商標）として知られる米国電気電子技術者協会（ＩＥＥＥ）８０２．１１規格ファミリー）、ＩＥＥＥ８０２．１６．４規格ファミリー、ピアツーピア（Ｐ２Ｐ）ネットワークを含み得る。一例では、ネットワークインタフェースデバイス７２０は、通信ネットワーク７２６に接続するための１つまたは複数の物理的ジャック（例えば、イーサネット（登録商標）、同軸、または電話ジャック）または１つまたは複数のアンテナを含み得る。一例では、ネットワークインタフェースデバイス７２０は、単一入力複数出力（ＳＩＭＯ）技法、複数入力複数出力（ＭＩＭＯ）技法、または複数入力単一出力（ＭＩＳＯ）技法のうちの少なくとも１つを使用して無線通信するための複数のアンテナを含み得る。「伝送媒体」という用語は、マシン７００による実行のための命令を記憶、符号化、または搬送することが可能である任意の無形媒体を含むとともに、そのようなソフトウェアの通信を可能にするためのデジタルもしくはアナログ通信信号または他の無形媒体を含むものと解釈される。伝送媒体は、マシン可読媒体である。

上記の説明は、詳細な説明の一部を形成する添付図面への参照を含む。図面は、例示を目的として、本発明を実施することができる特定の実施形態を示す。これらの実施形態は、本明細書では「例」とも呼ばれる。そのような例は、図示または説明されたものに加えて要素を含むことができる。しかしながら、本発明者らは、図示または説明された要素のみが提供される例も企図している。さらに、本発明者らはまた、特定の例（または、その１つもしくは複数の態様）に関して、または本明細書で図示もしくは説明される他の例（または、その１つもしくは複数の態様）に関して、図示または説明される要素（または、その１つもしくは複数の態様）の任意の組合せまたは置換を使用する例を企図している。

本明細書においては、「または」という用語は、別段の指示がない限り、非排他的なものを意味するように、或いは、「ＡまたはＢ」は、「ＡではなくＢ」、「ＢではなくＡ」、および「ＡおよびＢ」を含むように使用されている。要約書は、読者が技術的開示の内容を迅速に確認することを可能にする目的で提供されている。要約書は、特許請求の範囲または意味を解釈または限定する目的で使用されないという理解の下で提供されている。また、上記の詳細な説明では、様々な特徴が本開示を簡素化するために共にグループ化され得る。これは、特許請求されていない開示された特徴が任意の請求項に必須であることを意図するものとして解釈されるべきではない。むしろ、本発明の主題は、特定の開示された実施形態の全ての特徴よりも少ない特徴に存在し得る。従って、添付の態様は、各態様が別個の実施形態として独立している状態で、例または実施形態として本明細書の詳細な説明に組み込まれ、そのような実施形態は、様々な組合せまたは置換において互いに組み合わせることができることが企図される。本発明の範囲は、添付の態様を参照して、そのような態様が権利を与えられる均等物の全範囲とともに決定されるべきである。

Claims (31)

1. エッジデバイスに関するシステム機能の安全な実行を提供するためのシステムであって、
   複数のエッジデバイスとの通信のために接続するように構成されたコントローラであって、各エッジデバイスは、前記システムのアプリケーションのためのデータを取得するように構成され、前記コントローラは、前記複数のエッジデバイスの各々から前記データを受信するようにさらに構成される、前記コントローラと、
   前記コントローラに接続可能なセキュアエレメントのアレイであって、前記複数のエッジデバイスから受信した前記データを使用して機能を実行するように構成された前記セキュアエレメントのアレイと、を備え、
   前記コントローラは、前記複数のエッジデバイスのうちの１つの個別のエッジデバイスから受信したデータに対して前記機能を実行するために、前記セキュアエレメントのアレイのうちの１つの識別されたセキュアエレメントを前記個別のエッジデバイスに関連付けるように構成されており、
   前記コントローラは、実行した前記機能の結果を前記個別のエッジデバイスに伝達するように構成されている、システム。
2. 前記コントローラは、イーサネット（登録商標）、Ｗｉ－Ｆｉ、ＲＳ－４８５、またはユニバーサルシリアルバス（ＵＳＢ）を含む接続を介して前記複数のエッジデバイスの各々と通信のために接続するように構成されている、請求項１に記載のシステム。
3. 前記システムは、物理アクセス制御システムであり、前記複数のエッジデバイスは、物理アクセスデバイスと物理的に同じ場所に配置されたリーダである、請求項１または２に記載のシステム。
4. 前記複数のエッジデバイスの総数は、前記セキュアエレメントの総数よりも多い、請求項１乃至３のいずれか一項に記載のシステム。
5. 前記コントローラは、前記複数のエッジデバイスのうちの少なくとも２つを前記セキュアエレメントのアレイのうちの単一のセキュアエレメントに関連付けるように構成されており、前記単一のセキュアエレメントは、前記複数のエッジデバイスのうちの前記少なくとも２つからの通信を交互的に行うように構成されている、請求項４に記載のシステム。
6. 複数のセキュアエレメントは、シスターボード上に配置され、前記シスターボードは、前記コントローラに物理的に接続し、かつ１つまたは複数のバスプロトコルを介して前記コントローラと通信する、請求項１乃至５のいずれか一項に記載のシステム。
7. 前記コントローラは、前記セキュアエレメントのアレイの複数のセキュアエレメントの各々によって署名された少なくとも１つの証明書を使用して、前記シスターボードの真正性を検証するように構成されている、請求項６に記載のシステム。
8. 前記シスターボードは、ポリシーを管理する１つまたは複数のリモートソースを介して前記コントローラから受信したポリシー暗号文の暗号署名を検証することによって、前記コントローラを認証するように構成される、請求項６または７に記載のシステム。
9. 前記セキュアエレメントが、カスタム機能を実行するようにプログラム可能であり、前記セキュアエレメントのアレイの複数のセキュアエレメントが、前記カスタム機能のインストールおよび実行を許可にするために、前記カスタム機能の真正性を検証するように構成されている、請求項１乃至８のいずれか一項に記載のシステム。
10. 前記複数のエッジデバイスをさらに備える、請求項１乃至９のいずれか一項に記載のシステム。
11. モノのインターネット（以下、ＩｏＴとする）システムにおいて複数のエッジデバイスに関する機能の安全な実行を提供するための方法であって、
    前記ＩｏＴシステムのコントローラが、前記ＩｏＴシステムの前記複数のエッジデバイスのうちの１つの個別のエッジデバイスからデータを受信するステップと、
    前記コントローラに接続されたセキュアエレメントのアレイのうちの識別されたセキュアエレメントを前記個別のエッジデバイスに関連付けるステップと、
    受信した前記データを前記識別されたセキュアエレメントに提供するステップと、前記セキュアエレメントは、前記データを使用して機能を実行するものであり、
    前記コントローラを介して、前記識別されたセキュアエレメントが実行した前記機能の結果を前記個別のエッジデバイスに伝達するステップと、を含む方法。
12. 前記ＩｏＴシステムは物理アクセス制御システムであり、前記複数のエッジデバイスは、物理アクセスデバイスと物理的に同じ場所に配置されたリーダである、請求項１１に記載の方法。
13. 前記コントローラは、ＲＳ－４８５、イーサネット（登録商標）、Ｗｉ－Ｆｉ、またはユニバーサルシリアルバス（ＵＳＢ）接続を使用して、前記個別のエッジデバイスと通信するように接続される、請求項１１または１２に記載の方法。
14. 前記複数のエッジデバイスの総数は、前記セキュアエレメントの総数よりも多く、前記コントローラは、前記複数のエッジデバイスのうちの少なくとも２つを前記セキュアエレメントのアレイのうちの単一のセキュアエレメントに関連付けるように構成されており、前記単一のセキュアエレメントは、前記複数のエッジデバイスのうちの前記少なくとも２つからの通信を交互的に行うように構成されている、請求項１１乃至１３のいずれか一項に記載の方法。
15. 前記複数のセキュアエレメントは、シスターボード上に配置され、前記シスターボードは、前記コントローラに物理的に接続し、かつ１つまたは複数のバスプロトコルを介して前記コントローラと通信する、請求項１１乃至１４のいずれか一項に記載の方法。
16. 前記コントローラが、前記セキュアエレメントのアレイの複数のセキュアエレメントの各々によって署名された少なくとも１つの証明書を使用して、前記シスターボードの真正性を検証するステップをさらに含む、請求項１５に記載の方法。
17. 実行可能なプログラムコードを含む非一時的コンピュータ可読媒体であって、前記実行可能なプログラムコードは、１つまたは複数のプロセッサによる実行時に、前記１つまたは複数のプロセッサに、
    ＩｏＴシステムの複数のエッジデバイスのうちの１つの個別のエッジデバイスからデータを受信すること、
    セキュアエレメントのアレイのうちの１つの識別されたセキュアエレメントを前記個別のエッジデバイスに関連付けること、
    受信した前記データを前記識別されたセキュアエレメントに提供すること、前記セキュアエレメントは前記データを使用して機能を実行するものであり、
    前記識別されたセキュアエレメントが実行した前記機能の結果を前記個別のエッジデバイスに伝達すること、を行わせる、非一時的コンピュータ可読媒体。
18. 前記実行可能なプログラムコードはさらに、前記１つまたは複数のプロセッサに、前記複数のエッジデバイスのうちの少なくとも２つを前記セキュアエレメントのアレイのうちの単一のセキュアエレメントに関連付けることを行わせ、前記単一のセキュアエレメントは、前記複数のエッジデバイスのうちの前記少なくとも２つからの通信を交互的に行うように構成されている、請求項１７に記載の非一時的コンピュータ可読媒体。
19. 物理アクセス制御システムであって、
    複数のリーダの各々に接続して前記複数のリーダの各々から認証資格情報を受信するように構成されたコントローラと、前記複数のリーダの各々は、個別の認証資格情報を使用して個別のセキュリティ保護された領域へのアクセスを制御するために、クレデンシャルデバイスと通信して前記クレデンシャルデバイスから前記個別の認証資格情報を受信するように配置されており、
    前記複数のリーダから受信した前記認証資格情報を使用してユーザ認証を実行するように構成されたセキュアエレメントのアレイと、を備え、
    前記コントローラは、前記複数のリーダのうちの１つの個別のリーダから受信した前記認証資格情報を使用してユーザ認証を実行するために、前記セキュアエレメントのアレイのうちの１つの識別されたセキュアエレメントを前記個別のリーダに関連付けるように構成されており、
    前記コントローラは、前記ユーザ認証の結果を前記個別のリーダに伝達するために接続される、物理アクセス制御システム。
20. 前記複数のリーダをさらに備える、請求項１９に記載の物理アクセス制御システム。
21. 前記コントローラは、イーサネット（登録商標）、Ｗｉ－Ｆｉ、ＲＳ－４８５、またはユニバーサルシリアルバス（ＵＳＢ）を含む接続を通して前記複数のリーダの各々と通信のために接続するように構成されている、請求項１９または２０に記載の物理アクセス制御システム。
22. 前記複数のリーダの総数は、前記セキュアエレメントの総数よりも多い、請求項１９乃至２１のいずれか一項に記載の物理アクセス制御システム。
23. 前記コントローラは、前記複数のリーダのうちの少なくとも２つを前記セキュアエレメントのアレイのうちの単一のセキュアエレメントに関連付けるように構成されており、前記単一のセキュアエレメントは、前記複数のリーダのうちの前記少なくとも２つからの通信を交互的に行うように構成されている、請求項２２に記載の物理アクセス制御システム。
24. 半二重接続を介して衝突耐性全二重通信プロトコルを使用してデータを送信するための方法であって、
    前記データを送信する第１のデバイスに対するデータ受信モードを終了させるステップと、
    前記第１のデバイスが、第２のデバイスによる受信のために前記半二重接続を介してデータフレームを送信するステップと、
    前記第１のデバイスが、前記第２のデバイスからの肯定応答に関して監視するステップと、前記肯定応答は、送信された前記データフレームからの巡回冗長検査値を含んでおり、
    前記データフレームが再送される必要があると決定するステップと、
    前記第１のデバイスのデバイス役割を識別するステップと、
    前記デバイス役割の識別に応じた時間に前記データフレームを再送信するステップと、を含む方法。
25. 前記半二重接続は、ＲＳ－４８５接続である、請求項２４に記載の方法。
26. 前記第１のデバイスは、物理アクセス制御システムのコントローラであり、前記第２のデバイスは、前記物理アクセス制御システムのリーダである、請求項２４または２５に記載の方法。
27. 前記データフレームは、オプションフィールドと、ペイロードフィールドと、巡回冗長検査フィールドとを含んでおり、前記データフレームが再送信される必要があると決定するステップは、
    前記第２のデバイスから前記肯定応答を受信すること、
    前記肯定応答を前記データフレームの前記巡回冗長検査フィールドと比較すること、
    前記肯定応答が前記巡回冗長検査フィールドに一致しない場合、前記データフレームが再送信される必要があると決定することを含む、請求項２４乃至２６のいずれか一項に記載の方法。
28. 前記データフレームが再送信される必要があると決定するステップは、前記第１のデバイスが、指定された時間期間内に前記第２のデバイスから肯定応答フレームを受信することに失敗することを含む、請求項２４乃至２６のいずれか一項に記載の方法。
29. 実行可能なプログラムコードを含む非一時的コンピュータ可読媒体であって、前記実行可能なプログラムコードは、１つまたは複数のプロセッサによる実行時に、前記１つまたは複数のプロセッサに、
    第１のデバイスのデータ受信モードを終了させること、
    第２のデバイスによる受信のために半二重接続を介して前記第１のデバイスからデータフレームを送信すること、
    前記第２のデバイスからの肯定応答を監視すること、前記肯定応答は、送信された前記データフレームからの巡回冗長検査値を含んでおり、
    前記データフレームが再送信される必要があると決定すること、
    前記第１のデバイスのデバイス役割を識別すること、
    前記デバイス役割の識別に応じた時間に前記データフレームを再送信すること、を行わせる、非一時的コンピュータ可読媒体。
30. 前記データフレームは、オプションフィールドと、ペイロードフィールドと、巡回冗長検査フィールドとを含んでおり、前記データフレームが再送信される必要があると決定することは、
    前記第２のデバイスから前記肯定応答を受信すること、
    前記肯定応答を前記データフレームの前記巡回冗長検査フィールドと比較すること、
    前記肯定応答が前記巡回冗長検査フィールドに一致しない場合、前記データフレームが再送信される必要があると決定することを含む、請求項２９に記載の非一時的コンピュータ可読媒体。
31. 前記データフレームが再送信される必要があると決定することは、前記第２のデバイスから指定された時間期間内に前記第２のデバイスから肯定応答フレームを受信することに失敗することを含む、請求項２９に記載の非一時的コンピュータ可読媒体。