JP5702900B1 - ビルオートメーション及び制御システムのアクセス判定評価のためのシステム及び方法 - Google Patents

Abstract

本発明は、ビルオートメーション及び制御システムにおけるアクセス判定評価方法に関し、この方法は、アクセス側装置１０から被アクセス装置２０にアクセス要求を送るステップと、被アクセス装置２０から中央判定評価機器３０に、そのアクセス要求が許可されるか拒否されるかを尋ねる評価要求を送るステップと、アクセス要求が許可されるか拒否されるかの判定を下すために、１つ又は複数の中央アクセス制御ポリシを使用してその評価要求を中央判定評価機器３０において評価するステップと、中央判定評価機器３０において、評価に使用された１つ又は複数の中央アクセス制御ポリシを装置固有のアクセスポリシ内に導出するステップと、中央判定評価機器３０から被アクセス装置２０に判定及び装置固有のアクセスポリシを送るステップと、被アクセス装置２０においてその装置固有のアクセスポリシを記憶するステップとを含む。

Description

本発明は、ビルオートメーション及び制御システムにおけるアクセス判定評価方法に関する。本発明は更に、ビル制御システムにおけるアクセス判定評価システム、アクセス判定評価システムにおける中央判定評価機器、及びアクセス判定評価システムにおける被アクセス装置に関する。

ＨＶＡＣ（暖房・換気及び空調）、安全、アクセス、照明システム等、ビル内の様々なインテリジェントシステムの監視及び制御を可能にするために、ビルオートメーション及び制御システム（ＢＡＣＳ：Building Automation and Control System）が商業ビル内に導入されている。ＢＡＣＳは、ビル内のエネルギ、安全、及び利用者ニーズに基づき、様々なシステムの統合制御を行う。この制御は、（実時間ステータスを提供する）インテリジェントセンサ網に接続される様々なコントローラ及び（実時間制御を行う）アクチュエータを使用して実現される。利用者はディスプレイからステータスを読み、スイッチを使用して自身の好みに応じて設定を変えることができる。ＢＡＣＳは、ビルネットワークに付加されるスーパーバイザから構成及び管理され、スーパーバイザは様々な状況下でのシステムの挙動を正確に定めることを可能にする。更に、ＢＡＣＳは、バックエンド管理サーバから、又はウェブブラウザ等のリモートインターフェイスによって動作中に制御され得る。

従来より、ＢＡＣＳ内の様々なシステムは、システムの運営及び保守の責任を負う異なる従業員の手元で独立していた。しかし、ビル制御ネットワークにおける無線メッシュオープンスタンダード（ZigBee、Bluetooth（登録商標）、ＮＦＳ等）及びＩＰベース通信の出現により、様々なシステム間の垣根が大幅に除去され、このことはより密に統合されたシステムを作り出す。その結果、新たな機能性をもたらす機能レベルでの統合がはるかに簡単になった。しかし、これは様々なシステムのセキュリティ及びアクセスが、その運営及び保守オーナーに保証され得ることを必要とする。

ＢＡＣＳ分野の現在の流行は、十分な情報セキュリティの需要を考慮に入れながら、ＢＡＣＳを設計するために不十分な作業が行われていることを明らかにする。現在、ＢＡＣＳのセキュリティは、不正アクセスを防ぐためにシステムを互いに物理的に隔離することによって機能する。しかし、統合され、オープンスタンダードに基づくＢＡＣＳでは、このことは様々なインテリジェントビルシステムによって提供され、消費される全てのサービスに対する（認証及び承認を含む）アクセス制御について新たな要件を生じさせる。

セキュリティ攻撃が不所望の結果を引き起こす可能性がある場合、ＢＡＣＳ内の適切な情報フローが懸念事項になる。これらの不所望の結果は、単純なプライバシの侵害（例えば特定の事務室の動向にスパイ行為を働くこと）から命を脅かす状況（例えば障害が起きた換気システム）まで多岐にわたる。

アクセス制御メカニズムは良く研究され、コンピュータネットワークに適用されている。しかし、かかるアクセス制御メカニズムは、様々な制約、例えば利用者が感知する動作遅延（例えば照明を動作させるときのスイッチによる）、メモリ及び計算的に制限された装置、システム内にある潜在的に多数の装置、共用される低スループットの通信リンク、起こり得る緊急状況（火災等）により、ＢＡＣＳに直接適用することができない。

このことは、ＢＡＣＳ向けのアクセス制御システムが以下の要件を有することを必要とし、その要件とはつまり、低レイテンシ動作（利用者が感知する動作遅延を最小限にするため）、資源効率の良い実装形態（メモリ及び計算量的に制限された装置のため）、スケーラブルな設計（多数の装置のため）、通信効率が良いこと（共用される低スループットの通信リンクのため）、及び耐故障性（起こり得る緊急状況のため）である。

ＢＡＣＳが一例である分散型システムの承認の分野における研究の現状は、アクセス制御システムに関する集中型の手法と分散型の手法とに分けられ得る。集中型の手法及び分散型の手法が以下で簡潔に解説され、集中型の手法及び分散型の手法についてのより詳細な解説は、更に以下の詳細な説明を参照されたい。

集中型の手法では、中央判定ポイントがネットワーク内の別個のエンティティである。２つの装置間のアクセス制御要求ごとに、コンテキスト情報に基づき、この中央判定ポイントによって判定が行われなければならない。ここでは、コンテキストは、位置、時間、状況（緊急、通常等）、室内の人数、環境の状況（温度、換気水準等）、及び特定のアクセス制御判定を行うことに関係する他の情報を含意する。集中型の手法は、ネットワークに追加可能な装置の数についてスケーラビリティをもたらすが、特に単純なアクセス要求に関し、低スループットリンク上の通信オーバヘッドにより効率を著しく妨げる。

分散型の手法では、ポリシの評価及び記憶が、分散型の手法を使用するシステム内に存在しない集中型判定ポイントの関与なしに様々な装置内でローカルに行われる。分散型の手法は、通信オーバヘッド及びレイテンシを減らす。しかし、この種の承認の問題点は、異なるコンテキストの下で必要とされる様々なアクセス制御ポリシを複製する必要があるのでスケーラブルではないことである。現在、ＢＡＣＳ内で使用されるセンサやアクチュエータ等の装置は、ネットワーク内の全ての関連装置及びユーザの規則を記憶するのに十分なメモリ資源を有さない。

本発明の目的は、上記の問題点を集中型の手法及び分散型の手法のそれぞれを用いて克服することである。

本明細書では、アクセス制御システムに関する以下の用語が使用される。

認証：多くの場合、情報システム内の資源へのアクセスを許可する前提条件として、利用者、プロセス、又は装置の同一性を検証すること。

承認：利用者、プログラム、又はプロセスに付与されるアクセス特権、又はそれらの特権を付与する行為。

アクセス：システム資源を使用して情報を処理し、システムが含む情報の知識を取得し、又はシステムの構成要素及び機能を制御するために、システムと通信し又は他の方法で対話する能力及び手段。

アクセス制御：情報を取得し、関連する情報処理サービスを使用するための特定のアクセス要求を許可し又は拒否するプロセス。

アクセス制御システム：情報システムへの不正アクセスを検出及び拒否し、許可されたアクセスを認めるように設計されたセキュリティセーフガード（即ちハードウェア及びソフトウェアの機能、物理的制御、操作手順、管理手順、並びにこれらの様々な組合せ）。

アクセス制御ポリシ（本明細書ではポリシとも呼ばれる）：資源へのアクセスを与えるための１組の基準。

コンテキスト源とは、コンテキスト情報、例えば位置、時間、状況（緊急、通常等）、室内の人数、環境の状況（温度、換気水準等）、及び特定のアクセス制御判定を行うことに関係する他の情報を与えるように構成される情報源である。コンテキスト源の幾つかの非限定的な例は、カレンダサービス、人数計数器、温度計、光強度測定装置、酸素濃度測定装置、風量計、圧力センサ、及び湿度センサである。

アクセス側装置とは、ビルオートメーション及び制御システムにおける装置の機能を制御するために、ビルオートメーション及び制御システム内の或る装置にアクセスするように構成される装置である。アクセス側装置は、例えば携帯型計算装置（例えばスマートフォン、ＰＤＡ、又はタブレットコンピュータ）、ＲＦＩＤチップを含む装置、スイッチ、運動センサ、（或るシーンを作り出すために他の点灯装置を制御する）点灯装置等とすることができる。

被アクセス装置とは、アクセス側装置によってアクセスされる、又はアクセス可能な装置である。被アクセス装置は、ビルオートメーション及び制御システムの機能を実行するビルオートメーション及び制御システム内の装置である。被アクセス装置の幾つかの非限定的な例は、照明装置、空調、ブラインド、電子ロック、及び加湿器である。

本発明の第１の態様によれば、上記の目的が、ビルオートメーション及び制御システムにおけるアクセス判定評価方法によって実現される。この方法は、アクセス側装置から被アクセス装置にアクセス要求を送るステップと、被アクセス装置から中央判定評価機器に、そのアクセス要求が許可されるか拒否されるかを尋ねる評価要求を送るステップと、アクセス要求が許可されるか拒否されるかの判定を下すために、１つ又は複数の中央アクセス制御ポリシを使用してその評価要求を中央判定評価機器において評価するステップと、中央判定評価機器において、評価に使用された１つ又は複数の中央アクセス制御ポリシから装置固有のアクセスポリシを導出するステップと、中央判定評価機器から被アクセス装置に判定及び装置固有のアクセスポリシを送るステップと、被アクセス装置においてその装置固有のアクセスポリシを記憶するステップとを含む。

この方法によれば、ＢＡＣＳのためのスケーラブルな、即ちネットワークに追加可能な装置の数の点でスケーラブルなアクセス制御システムが提供される。更に、要求を受けてアクセス制御ポリシを被アクセス装置に導入できるようにすることにより、アクセス側装置が被アクセス装置への後続のアクセス要求で被アクセス装置の資源にアクセスしたいとき、通信オーバヘッド及びレイテンシが最小限にされる。

この方法は、アクセス側装置から被アクセス装置に後続のアクセス要求を送り、後続のアクセス要求が被アクセス装置内に記憶される装置固有のアクセスポリシとマッチするかどうかを被アクセス装置において評価し、マッチする場合、装置固有のアクセスポリシに基づき、後続のアクセス要求が許可されるか拒否されるかを被アクセス装置において判定するステップを更に含み得る。

装置固有のアクセスポリシを導出するステップは、様々なコンテキストの下、アクセス側装置からの後続のアクセス要求を被アクセス装置が評価できるようにするための変数としてコンテキスト属性を持つ装置固有のアクセスポリシを導出するステップを更に含み得る。このことは、コンテキストが変わったときの新たなアクセス要求に対する判定に関し、中央判定評価機器との通信を最小限にする。

後続のアクセス要求が許可されるか拒否されるかを判定するステップは、コンテキスト源からのコンテキスト情報を要求するステップを更に含み得る。

この方法は、装置固有のアクセスポリシを中央判定評価機器において符号化するステップを更に含み得る。装置固有のアクセスポリシを符号化することにより、そのサイズを小さくすることができ、その結果ビルオートメーション及び制御システム内で伝送されるデータの量が減らされ、被アクセス装置上に記憶される必要があるポリシデータの量も減らす。

装置固有のアクセスポリシは、被アクセス装置のローカルメモリ内に記憶されても良く、ローカルメモリは一定量の装置固有のアクセスポリシしか記憶できないサイズ制限ローカルメモリである。

ローカルメモリ内に記憶される装置固有のアクセスポリシは優先順位付けされても良く、装置固有のアクセスポリシは、被アクセス装置によってローカルに又は中央判定評価機器によって中央で優先順位付けされる。装置固有のアクセスポリシを優先順位付けすることにより、被アクセス装置のメモリが限られていても、最も重要な装置固有のアクセスポリシが依然として被アクセス装置上に記憶されることが保証され得る。更に、最も重要な装置固有のアクセスポリシが高い優先順位を有する場合、かかるアクセスポリシが被アクセス装置上で直ぐ見つかることも保証され得る。

被アクセス装置において記憶される装置固有のアクセスポリシは、中央判定評価機器における１つ又は複数の中央アクセス制御ポリシと同期することによって更新されても良く、装置固有のアクセスポリシの更新は、中央判定評価機器での導出中に装置固有のアクセスポリシに加えられる追加の属性によって制御される。従って、装置固有のアクセスポリシが中央判定評価ポイントにおける現在のアクセス制御ポリシを表すことを保証することができ、これは中央アクセス制御ポリシが中央判定評価機器において時間と共に変化し得るからである。従って、装置固有のアクセスポリシを中央アクセス制御ポリシと同期させることにより、装置固有のアクセスポリシが現在の中央アクセスポリシを反映するように更新される。

この方法は、アクセス側装置と被アクセス装置との間に、及び被アクセス装置と中央判定評価機器との間に認証済みチャネルを作り出すステップを更に含むことができる。ビルオートメーション及び制御システム内の装置間の通信を認証することにより、不正アクセスが回避されることが確実にされる。従って、ビルオートメーション及び制御システムの要素であることが意図される装置だけが互いにアクセスすることができる。

本発明の第２の態様によれば、上記の目的が、ビル制御システムにおけるアクセス判定評価システムによって実現される。アクセス判定評価システムは、アクセス側装置と、１つ又は複数の装置固有のアクセスポリシを記憶するローカルメモリ、マッチングポイント、及びポリシ判定ポイントを含む被アクセス装置と、１つ又は複数の中央アクセス制御ポリシのデータベース、アクセスポリシ判定ポイント、及びアクセスポリシ導出部を含む中央判定評価機器とを含み、アクセス側装置は被アクセス装置にアクセス要求を送るように構成され、被アクセス装置のマッチングポイントは、アクセス要求を評価し、アクセス要求がローカルメモリ内に記憶される装置固有のアクセスポリシにマッチするかどうかを確かめるように構成され、マッチする場合、マッチした装置固有のアクセスポリシに基づきアクセス要求が許可されるか拒否されるかを判定するように被アクセス装置のポリシ判定ポイントが構成され、マッチしない場合、アクセス要求が許可されるか拒否されるかを尋ねる評価要求を中央判定評価機器に送るように被アクセス装置が構成され、中央判定評価機器のアクセスポリシ判定ポイントは、アクセス要求が許可されるか拒否されるかの判定を下すために、１つ又は複数の中央アクセス制御ポリシを用いて評価要求を評価するように構成され、中央判定評価機器のアクセスポリシ導出部は、評価に使用された１つ又は複数の中央アクセス制御ポリシから導出済みの装置固有のアクセスポリシを導出するように構成され、中央判定評価機器は、判定及び導出された装置固有のアクセスポリシを被アクセス装置に送るように構成される。

アクセスポリシ導出部は、様々なコンテキストの下、アクセス側装置からの後続のアクセス要求を被アクセス装置が評価できるようにするための変数としてコンテキスト属性を持つ装置固有のアクセスポリシを導出するように更に構成されても良く、被アクセス装置のポリシ判定ポイントは、アクセス判定評価システム内に含まれるコンテキスト源からのコンテキスト情報を要求することにより、後続のアクセス要求が許可されるか拒否されるかを判定するように構成される。

本発明の第３の態様によれば、上記の目的が、アクセス側装置、被アクセス装置、及び中央判定評価機器を含むアクセス判定評価システムにおける中央判定評価機器によって実現される。中央判定評価機器は、１つ又は複数の中央アクセス制御ポリシのデータベースと、アクセス側装置から被アクセス装置に送られるアクセス要求が許可されるか拒否されるかの判定を下すために、データベース内に記憶される１つ又は複数の中央アクセス制御ポリシを用いて被アクセス装置からの評価要求を評価するように構成されるアクセスポリシ判定ポイントと、評価に使用された１つ又は複数の中央アクセス制御ポリシから装置固有のアクセスポリシを導出するように構成されるアクセスポリシ導出部とを含み、中央判定評価機器は判定及び装置固有のアクセスポリシを被アクセス装置に送るように構成される。

アクセスポリシ導出部は、様々なコンテキストの下、アクセス側装置からの後続のアクセス要求を被アクセス装置が評価できるようにするための変数としてコンテキスト属性を持つ装置固有のアクセスポリシを導出するように更に構成され得る。

本発明の第４の態様によれば、上記の目的が、アクセス側装置、被アクセス装置、及び中央判定評価機器を含むアクセス判定評価システムにおける被アクセス装置によって実現される。被アクセス装置は、１つ又は複数の装置固有のアクセスポリシを記憶するローカルメモリ、マッチングポイント、及びポリシ判定ポイントを含み、マッチングポイントはアクセス側装置からのアクセス要求を評価し、アクセス要求がローカルメモリ内に記憶される装置固有のアクセスポリシにマッチするかどうかを確かめるように構成され、マッチする場合、マッチした装置固有のアクセスポリシに基づきアクセス要求が許可されるか拒否されるかを判定するようにポリシ判定ポイントが構成され、マッチしない場合、アクセス要求が許可されるか拒否されるかを尋ねる評価要求を中央判定評価機器に送るように被アクセス装置が構成される。

ローカルメモリは、一定量の装置固有のアクセスポリシしか記憶できないサイズ制限ローカルメモリであり得る。

本発明は、特許請求の範囲の中で列挙される特徴の全ての可能な組合せに関することを指摘しておく。

次に、本発明の実施形態を示す添付図面を参照して、本発明のこの態様及び他の態様がより詳細に説明される。

分散型の手法を使用するアクセス制御システムの構成要素を示す。 図１のアクセス制御システム内の通信経路を示す。 集中型の手法を使用するアクセス制御システムの構成要素を示す。 図３のアクセス制御システム内の通信経路を示す。 本発明によるアクセス制御システムの構成要素を示す。 図５のアクセス制御システム内の通信経路を示す。

図１及び図２を参照して、上述の分散型の手法が説明される。アクセス側装置１０は、被アクセス装置２０を発見でき、従って被アクセス装置２０のアドレス及びサービスを知ると仮定される。認証は、アクセス制御手続きにおける最初のステップ、ステップ７０である。アクセス側装置１０及び被アクセス装置２０は限られた資源を有するので、難読化のために対称鍵暗号化及び／又は効率的なハッシュ関数が使用されると仮定する。当業者によって知られる幾つかの方法の１つを使用し、相互認証が行われる。相互認証が確立されると、アクセス側装置１０が、被アクセス装置２０にアクセス要求を送ることにより（ステップ７２）、被アクセス装置２０によって提供される幾つかのサービスにアクセスしようと試みる。その後、被アクセス装置２０が、被アクセス装置２０内に記憶されるアクセス制御ポリシＡＰを用いてアクセス要求を評価し、アクセス側装置１０が自らが要求する動作を行うことを許可されるかどうかを判定する。従って、ポリシ判定ポイントＤＰは被アクセス装置２０自体の中にある。判定の後に実施が続く。判定結果がアクセス側装置１０に送り返される（ステップ７４）。ポリシ判定ポイントＤＰは、ポリシ実施ポイントＥＰを使用して実施を行いたい同一装置内にあるので、実施はむしろ取るに足りないことである。ポリシ判定ポイントＤＰとして装置を実行するプロセスは、ポリシ実施ポイントＥＰを使用してサービスプロバイダとして実行されるプロセスにアクセス判定を知らせる。

装置を監視し管理するために、同じ方式が繰り返される。装置は、ドメインモニタ、オートメータ、メインテナ等のための適切なアクセス制御規則を含む。ドメインモニタ、オートメータ、又はメインテナが装置上で何らかの動作を実行したい場合、判定及び実施のための上記の方式が適用される。

図３及び図４に示されている集中型の手法では、中央判定評価機器３０がネットワーク内の別個のエンティティである。アクセス側装置１０と被アクセス装置２０との間のアクセス要求ごとに、コンテキスト源４０によって提供されるコンテキスト情報に基づき、中央判定評価機器３０によって判定が行われなければならない。ここでは、コンテキストは、位置、時間、状況（緊急、通常等）、室内の人数、環境の状況（温度、換気水準等）、及び特定のアクセス制御判定を行うことに関係する他の情報を含意する。これによれば、アクセス側装置１０が被アクセス装置２０と通信したいとき、アクセス側装置１０及び被アクセス装置２０内に鍵が依然としてあるので、認証段階は分散型の手法における認証段階と同じになる。アクセス側装置１０と被アクセス装置２０との間の相互認証後、被アクセス装置２０と中央判定評価機器３０との間でも相互認証が必要である。アクセス側装置１０と被アクセス装置２０との間の相互認証、及び被アクセス装置２０と中央判定評価機器３０との間の相互認証が、図４のステップ８０として示されている。相互認証が確立されると、アクセス側装置１０が、被アクセス装置２０にアクセス要求を送ることにより（ステップ８２）、被アクセス装置２０によって提供される幾つかのサービスにアクセスしようと試みる。次いで被アクセス装置２０が、評価要求を中央判定装置３０に送る（ステップ８４）。中央判定評価機器３０は、アクセス側装置１０からのアクセス要求が許可されるか拒否されるかの判定を下すために、中央判定評価機器３０内に記憶されるアクセス制御ポリシＡＰを用いて評価要求を評価する。従って、集中型の手法によれば、ポリシ判定ポイントＤＰが中央判定評価機器３０内で中央に位置する。被アクセス装置２０に判定が送られ（ステップ８６）、分散型の手法と同じ方法で実施が行われ、判定結果がアクセス側装置１０に送り返される（ステップ８８）。

上記の方式の単純な修正形態も可能である。かかる修正形態は、中央判定評価機器３０に対するアクセス側装置１０によるアクセス要求を可能にするためである。そうすることにより、アクセス側装置と被アクセス装置２０との間の相互認証ステップが必要ない。この背後にある論理は単純であり、アクセス側装置１０が被アクセス装置２０上で特定の動作を実行できないことを既に知っている場合、アクセス側装置１０はそもそも自らを被アクセス装置２０に対して認証しない。

ここで、本発明が添付図面を参照してて以下でより完全に説明され、添付図面では本発明の現在好ましい実施形態が示されている。但し、本発明は多くの異なる形態で実施されても良く、本明細書に記載の実施形態に限定されるものと解釈されるべきでなく、むしろこれらの実施形態は徹底性及び完全性を得るために、及び本発明の範囲を当業者に完全に伝えるために提供される。

本発明は、ハイブリッドアクセス判定評価（ＨＡＤＥ）として示され、集中型の手法及び分散型の手法の両方を活用するが、それらの不利点を克服する新規のアクセス制御手法を提案する。このＨＡＤＥ技法は、（中央で定められたアクセス制御ポリシから）特定の装置に関連するアクセス制御ポリシを導出し符号化するために、集中型判定ポイントに依拠し、かかるアクセス制御ポリシは装置上にローカルにキャッシュされても良く、今後は装置固有のアクセスポリシと呼ぶ。これらの装置固有のアクセスポリシは、位置、時間、状況（緊急、通常等）、室内の人数、環境の状況（温度、換気水準等）等の様々なコンテキストの下で、その評価を可能にするように生成される。こうすることは、様々なコンテキストの下、新たなアクセス要求に対する判定について、中央判定ポイントとの通信を最小限にする。

図５及び図６を参照して、ハイブリッドアクセス判定評価（ＨＡＤＥ）の手法が解説される。ビル制御システムは、信頼できる機関によってシステム内にコミッショニングされる様々な装置（例えばセンサ、アクチュエータ、及びユーザインターフェイス）からなる。従って、コミッショニング後、安全な認証を可能にするためにそれらの装置が単一の信頼ポイントに結合される。信頼ポイントは、ドメイン内の信頼できるノードとして認証するために使用される認証トークン又は予め設定された秘密鍵を作成できる物理サーバとすることができる。

本発明による、ＨＡＤＥを使用するビルオートメーション及び制御システムにおけるアクセス判定評価システム６０の主な要素が図５に示されている。

アクセス判定評価システム６０は、アクセス側装置１０、被アクセス装置２０、及び中央判定評価機器３０を含む。

図５に開示されているアクセス判定評価システム６０は、１つのアクセス側装置１０と１つの被アクセス装置２０しか含まないが、アクセス判定評価システム６０の設計に応じて複数のアクセス側装置１０及び被アクセス装置２０があっても良いことを理解すべきである。更に、アクセス判定評価システム６０は、１つ又は複数の集中型判定評価装置３０も含むことができる。

集中型判定評価機器３０は、ポリシ管理者３２、アクセス制御ポリシデータベース３３、アクセスポリシ判定ポイント３４、アクセスポリシ導出部３６、及びアクセスポリシ符号器３８を含む。

ポリシ管理者３２は、管理インターフェイス５５からの入力に基づき、アクセス制御ポリシデータベース３３内に記憶される中央アクセス制御ポリシを管理するようになされる。この管理は、従業員を適切に認証した後、ビルの運営管理者又は保守管理者に限られず、役割を有する任意の従業員により、中央評価機器３０に物理的に取り付けられる端末を介して、又は中央評価機器３０へのネットワーク接続を有する任意の端末から遠隔的に行われる。従業員にはポリシ管理インターフェイスが提示され、このインターフェイスで既存のポリシが編集又は削除されても良く、従業員に適用される認証規則に基づき新たなポリシが追加され得る。ポリシ管理インターフェイスでの変更及び従業員の認証規則に基づき、ポリシ管理者３２がアクセスポリシデータベース３３内の適切な変更を行う。

アクセス制御ポリシデータベース３３は、中央アクセス制御ポリシを含む。各中央アクセス制御ポリシは、ＢＡＣＳ内の被アクセス装置の資源へのアクセスを提供するための１組の基準である。

アクセスポリシ判定ポイント３４は、アクセス側装置１０からのアクセス要求が許可されるか拒否されるかの判定を下すために、アクセス制御ポリシデータベース３３の中央アクセス制御ポリシの１つ又は複数を使用し、被アクセス装置２０から生じる評価要求を評価するように構成される。更に、中央判定評価機器３０は、アクセス判定評価システム６０内に位置するコンテキスト源４０と通信するように構成される。下される判定がコンテキスト状況に基づくように、アクセスポリシ判定ポイント３４は、評価要求を評価するときコンテキスト源４０にコンテキスト情報を要求するように更に構成される。

アクセスポリシ導出部３６は、評価要求を評価するために使用されたポリシを装置固有のアクセスポリシに導出するように構成される。更に、アクセスポリシ導出部３６は、様々なコンテキストの下、アクセス側装置１０からの後続のアクセス要求を被アクセス装置２０が評価できるようにするための変数としてコンテキスト属性を持つ装置固有のアクセスポリシを導出するように更に構成される。

アクセスポリシ符号器３８は、被アクセス装置２０に送られる前に装置固有のアクセスポリシを符号化するように構成される。そうすることにより、通信オーバヘッドが減らされる。

従って、アクセスポリシ符号器３８と共にアクセスポリシ導出部３６は、アクセス制御ポリシデータベース３３内に記憶される中央で定められたアクセスポリシから、装置固有のアクセスポリシを導出し、符号化するように構成される。装置固有のアクセスポリシは、被アクセス装置２０に有効な関連規則しか含まない。従って、装置固有のアクセスポリシはサイズが小さい場合がある。更に、装置固有のアクセスポリシは、被アクセス装置２０に伝送し、被アクセス装置２０上に記憶するために圧縮され得るように符号化される。例えばこの圧縮は、ＪＳＯＮ（JavaScript（登録商標） Object Notation）に基づくポリシ又はバイナリＴＬＶ（Type-Length-Value）に基づくポリシを小さくするために、拡張マークアップ言語（ＸＭＬ）に基づくポリシを符号化することであり得る。

従って、中央判定評価機器３０は、分散型のアクセス判定を可能にして、アクセス側装置１０がその後の要求で被アクセス装置２０の資源にアクセスしたいときに通信オーバヘッド及びレイテンシを最小限にするように被アクセス装置２０に固有のアクセスポリシを導出し、符号化するように構成される。

従って、集中型判定評価装置３０は、被アクセス装置２０に固有のアクセスポリシを導出し、符号化し、導出され、符号化された被アクセス装置２０に固有のアクセスポリシを被アクセス装置２０に配るように構成される。そうすることにより、分散型のアクセス判定が可能にされる。分散型のアクセス判定は、アクセス側装置１０が被アクセス装置２０への後続のアクセス要求で被アクセス装置２０の資源にアクセスしたいとき、通信オーバヘッド及びレイテンシを最小限にする。

更に、中央判定評価機器３０内で導出される装置固有のアクセスポリシは、柔軟性を保つために、評価される必要があるコンテキスト変数を保持する。コンテキスト変数を保持することは、コンテキストが変わったときの、被アクセス装置２０と中央判定評価機器３０との間の後続のアクセス要求の通信オーバヘッドを減らす。

被アクセス装置２０は、装置固有のアクセスポリシのデータベース２２、マッチングポイント２４、ポリシ判定ポイント２６、及びポリシ実施ポイント２８を含む。

装置固有のアクセスポリシのデータベース２２は、中央判定評価機器３０において導出される装置固有のアクセスポリシを含む。装置固有のアクセスポリシのデータベース２２は、ローカルメモリである。通常そのローカルメモリは、一定量の装置固有のアクセスポリシしか記憶できないサイズ制限ローカルメモリである。非限定的な一例として、かかる装置用のＳＲＡＭメモリサイズを５１２バイトとすることができ、そのうちの１００バイト等の一部分しか、装置固有のアクセスポリシ用のローカルメモリとして使用することができない。但し、他のメモリサイズが使用されても良いことが理解される。

装置固有のアクセスポリシは、被アクセス装置２０のローカルメモリ２２内に記憶される。装置固有のアクセスポリシをサイズ制限装置上にキャッシュする手法は、頻繁に使用されるポリシ及び重要な（緊急時関連の）ポリシがより高い優先順位で保持されることを確実にする、多重キャッシング技法に基づき得る。制限なしに、かかる技法の幾つかの例は以下の通りである。
使用頻度が最も低いポリシを置換すること、
キャッシュ以来最も長期間使用されていないポリシを置換すること、
物理的に固定されたアクセス側装置に関連するポリシを置換する前に、移動式のアクセス側装置に関連するポリシを置換すること。

装置固有のアクセスポリシをローカルメモリ２２内に保持する判定は、或る重要な装置固有のアクセスポリシ（緊急時関連等）が置換されるのを防ぐ、被アクセス装置２０上でローカルに定められる優先順位を用いて実施され得る。これは、廊下灯、換気システム等の緊急時に極めて重要な被アクセス装置に関連し得る。被アクセス装置が、緊急アクセス要求に直ぐ応答できることが重要である。従って、かかる装置には、衝突する如何なる集中型キャッシュ優先順位付け規則も覆すことができる、ローカルに実施される優先順位規則が与えられ得る。

中央判定評価機器３０は、被アクセス装置２０が自らのローカルメモリ２２内に保持されることになる装置固有のアクセスポリシを優先順位付けするのを助ける「キャッシュ優先順位」属性等の追加の属性を、装置固有のアクセスポリシの導出中に加えることができる。

装置固有のアクセスポリシをキャッシュする判定は、装置の製造業者又は運転者によって装置上で定められるローカルポリシに基づいて行われても良い。かかるポリシは、どの種類の要求が滅多に起こらないにせよ最小限のレイテンシを必要とするのかを運営管理者が知る、運営環境についての既有知識に基づいて決定される。他の側面はポリシの種類とすることができ、例えば（火災等の）緊急時の判定は、危機的な時期の間のネットワークのボトルネックを防ぎ、耐故障性であるように常にキャッシュされ得る。

従って、装置固有のアクセスポリシを装置のローカルメモリ内にキャッシュする判定は、複数の側面又は複数の側面の組合せに基づいて下され得る。

装置固有のアクセスポリシは、中央判定評価機器３０における現在のアクセス制御ポリシしか表さないが、このアクセス制御ポリシは中央判定評価機器３０において時間と共に変化し得る。従って、装置固有のアクセスポリシは、中央判定評価機器３０における中央アクセス制御ポリシと同期されるように定期的に更新される必要がある。被アクセス装置２０は、例えば「生存時間」属性の導出中に中央判定評価機器３０によって加えられる追加の属性に基づいて更新され得る。パブリッシュ−サブスクライブモデル又は更新済みポリシを求める明確な要求により、被アクセス装置２０の更新がどのように行われるのかを指定する「更新通信」等の追加の属性が加えられても良い。

マッチングポイント２４は、アクセス側装置１０からの新たなアクセス要求を、被アクセス装置２０のローカルメモリ２２内の装置固有のアクセスポリシの何れかとマッチさせるように構成される。マッチが見出されない場合、被アクセス装置２０は、中央判定評価機器３０に評価要求を送るように構成される。マッチが見出される場合、被アクセス装置２０のポリシ判定ポイント２６が、アクセス側装置１０からのアクセス要求を許可し又は拒否する判定を下すように構成される。

ポリシ実施ポイント２８は、アクセス側装置１０からのアクセス要求を許可し又は拒否する判定を実施するように構成される。要求を許可し又は拒否する判定は、集中型判定評価装置３０において又は被アクセス装置２０自体において行われても良い。

更に、装置固有のアクセスポリシは、現在のコンテキスト情報に基づいて被アクセス装置２０上で評価される。従って被アクセス装置２０は、認証済みチャネルを介してコンテキスト情報を受け取るために、コンテキスト源４０と通信するように構成される。コンテキスト通信は、コンテキスト情報のパブリッシュ及びサブスクライブや、明確なコンテキスト情報の要求等の様々なモデルの下でも行われ得る。更に、コンテキスト源４０は、被アクセス装置２０のローカルメモリ２２内への特定の装置固有のアクセスポリシの保持を優先順位付けするための追加情報（コンテキスト情報の種類（例えば緊急火災））を被アクセス装置２０に与える。

図６には、アクセス側装置１０が被アクセス装置２０上の特定の資源を求めるアクセス要求を送るときの通信ステップが示されている。最初のステップ１００は、アクセス側装置１０と被アクセス装置２０との間に認証済みチャネルを作り出すことであり、これは事前に共有された秘密によって、Kerberos鍵配布（例えばNeuman, B., and Ts’o, T. Kerberos: An authentication service for computer networks. Communications Magazine, IEEE 32, 9 (1994), 33-38を参照されたい）等の他の鍵配布メカニズムによって、又は装置間の認証済みチャネルを作り出すための他の任意の適切な方法によって行われる。こうして、アクセス側装置１０と被アクセス装置２０との間の認証済みチャネル、及び被アクセス装置２０と中央判定評価機器３０との間の認証済みチャネルが作り出される。その後、以下のステップが実行される。

アクセス側装置１０が、認証済みのアクセス要求を被アクセス装置２０上の実施ポイントに送る（ステップ１０２）。

被アクセス装置２０が、新たなアクセス要求が自らのローカルメモリ内の装置固有のアクセスポリシの何れかとマッチするかどうかを確認する。マッチが見出されない場合、被アクセス装置２０は中央判定評価機器３０に評価要求を送る（ステップ１０６）。

中央判定評価機器３０は評価要求を評価するだけでなく、評価に使用された１つ又は複数の中央アクセス制御ポリシを、装置固有のアクセスポリシ内に導出し符号化することも行う。これらが被アクセス装置２０に送り返される（ステップ１１０）。

装置固有のアクセスポリシを受け取ると、被アクセス装置２０はそれを装置固有のアクセスポリシの自らのデータベース２２内に記憶する。データベース２２が既に満杯の場合、被アクセス装置２０は（上記の）複数の技法の何れか１つを使用し、既存の装置固有のアクセスポリシが新たなポリシで置換され得るかどうかを判定する。

被アクセス装置２０の資源へのアクセスを許可する判定が、被アクセス装置２０のポリシ実施ポイント２８によって実施され、アクセス側装置１０にフィードバックが送り返される（ステップ１１８）。

キャッシュされた装置固有のアクセスポリシに基づいて判定され得る、アクセス側装置１０からの後続のアクセス要求（ステップ１２０）で、被アクセス装置２０においてローカルに記憶された装置固有のアクセスポリシに基づき、その判定が被アクセス装置２０自体によって実行され、分散型の制御を可能にする。この評価中、被アクセス装置２０は認証済みのコンテキスト源４０にコンテキスト情報を要求することができる。アクセス側装置１０にフィードバックが送り返される（ステップ１２６）。

以下、本発明に関する例示的応用シナリオが短く解説される。或る例示的応用シナリオは、オフィスビル内の照明をブラインド及びＨＶＡＣと統合することである。デイライトハーヴェスティングは、照明のエネルギ効率を改善できることが良く知られている。デイライトハーヴェスティングは、十分な昼光がある場合、ブラインドが開くことができ、更に照明を薄暗くすることを必要とする。但し、ブラインドが開いていると空調の無駄なエネルギの原因になり得るため、これは部屋に人がいるときにだけ行われるべきである。この動作は、相互制御を可能にする、局所的な（部屋）レベルでの両システムの密な相互作用を必要とする。この制御は、変更を無効にしたい利用者又は照明水準について特定の好みを有する利用者の影響を付加的に受ける場合がある。利用者は、室内に設置されたユーザインターフェイスから、又はより柔軟に自身のスマートフォンを使用して制御を行うことができる。この構造は、動作面での通信のボトルネック及びレイテンシを作り出すことなしに、システム間の適切な認証及び承認要件が必要であることを示す。従って、装置の部屋レベルの制御及び利用者のスマートフォン装置を許容するようにシステムを作動させるポリシを作り出すために、中央判定ポイントが使用される。部屋、照明、ブラインド等の中で制御される装置のそれぞれは、実施エンジン、及び装置固有のアクセスポリシをキャッシュするためのローカルメモリを有する。これにより、バックエンド管理システムによって使用可能にされた装置固有のアクセスポリシを装置が知ると、装置間の低レイテンシの直接制御要求が可能になる。勤務時間中及び週末の間の装置の異なる挙動を可能にする追加のコンテキストが、例えば時間及びカレンダサービスについて入手可能にされ得る。

本発明は、上記の好ましい実施形態に決して限定されないことを当業者なら理解する。逆に、添付の特許請求の範囲の中で多くの修正形態及び改変形態が可能である。

例えば図５に示されているように、中央判定評価機器３０のポリシ管理者３２、アクセス制御ポリシデータベース３３、アクセスポリシ判定ポイント３４、アクセスポリシ導出部３６、及びアクセスポリシ符号器３８は、単一の装置の要素とすることができる。しかし、中央判定評価機器３０のポリシ管理者３２、アクセス制御ポリシデータベース３３、アクセスポリシ判定ポイント３４、アクセスポリシ導出部３６、及びアクセスポリシ符号器３８の１つ又は複数が中央判定評価機器３０を構成する特定装置として構成されても良い。

更に、ビル制御システムにおけるアクセス判定評価システムは１つ又は複数のコンテキスト源を含むことができ、異なるコンテキスト源は異なるコンテキストに関するフィードバックを与える。

更に、被アクセス装置２０及び／又は中央判定装置３０の機能は、ハードウェア、ソフトウェア、又はその組合せによって実装され得る。

更に、開示された実施形態の改変形態が、特許請求の範囲に記載の本発明を実施する際に、図面、本開示、及び添付の特許請求の範囲を検討することにより、当業者によって理解され果たされ得る。特許請求の範囲では、「含む」という語は他の要素又はステップを排除せず、不定冠詞「ａ」又は「ａｎ」は複数形を排除しない。或る手段が互いに異なる従属請求項の中で列挙されているという単なる事実は、これらの手段の組合せが有利に使用されてはならないことを示すものではない。

Claims (15)

1. ビルオートメーション及び制御システムにおけるアクセス判定評価方法であって、
   アクセス側装置から被アクセス装置にアクセス要求を送るステップと、
   前記被アクセス装置から中央判定評価機器に、前記アクセス要求が許可されるか拒否されるかを尋ねる評価要求を送るステップと、
   前記アクセス要求が許可されるか拒否されるかの判定を下すために、１つ又は複数の中央アクセス制御ポリシを使用して前記評価要求を前記中央判定評価機器において評価するステップと、
   前記中央判定評価機器において、評価に使用された１つ又は複数の中央アクセス制御ポリシから装置固有のアクセスポリシを導出するステップと、
   前記中央判定評価機器から前記被アクセス装置に前記判定及び前記装置固有のアクセスポリシを送るステップと、
   前記被アクセス装置において前記装置固有のアクセスポリシを記憶するステップと、
   前記装置固有のアクセスポリシに基づき、後続のアクセス要求が許可されるか拒否されるかを前記被アクセス装置において判定するステップと
   を含む、方法。
2. 前記アクセス側装置から前記被アクセス装置に後続のアクセス要求を送るステップと、
   前記後続のアクセス要求が前記被アクセス装置内に記憶される前記装置固有のアクセスポリシとマッチするかどうかを前記被アクセス装置において評価し、マッチする場合、前記装置固有のアクセスポリシに基づき、前記後続のアクセス要求が許可されるか拒否されるかを前記被アクセス装置において判定するステップと
   を更に含む、請求項１に記載の方法。
3. 前記装置固有のアクセスポリシを導出する前記ステップが、様々なコンテキストの下、前記アクセス側装置からの後続のアクセス要求を前記被アクセス装置が評価できるようにするための変数としてコンテキスト属性を持つ前記装置固有のアクセスポリシを導出するステップを更に含む、請求項１又は２に記載の方法。
4. 前記後続のアクセス要求が許可されるか拒否されるかを判定する前記ステップが、コンテキスト源からのコンテキスト情報を要求するステップを更に含む、請求項２又は３に記載の方法。
5. 前記装置固有のアクセスポリシを前記中央判定評価機器において符号化するステップを更に含む、請求項１乃至４の何れか一項に記載の方法。
6. 前記装置固有のアクセスポリシが、前記被アクセス装置のローカルメモリ内に記憶され、前記ローカルメモリは一定量の装置固有のアクセスポリシしか記憶できないサイズ制限ローカルメモリである、請求項１乃至５の何れか一項に記載の方法。
7. 前記ローカルメモリ内に記憶される前記装置固有のアクセスポリシが優先順位付けされ、前記装置固有のアクセスポリシは、前記被アクセス装置によってローカルに又は前記中央判定評価機器によって中央で優先順位付けされる、請求項６に記載の方法。
8. 前記被アクセス装置において記憶される前記装置固有のアクセスポリシが、前記中央判定評価機器における１つ又は複数の中央アクセス制御ポリシと同期することによって更新され、前記装置固有のアクセスポリシの前記更新は、前記中央判定評価機器での導出中に前記装置固有のアクセスポリシに加えられる追加の属性によって制御される、請求項１乃至７の何れか一項に記載の方法。
9. 前記アクセス側装置と前記被アクセス装置との間に、及び前記被アクセス装置と前記中央判定評価機器との間に認証済みチャネルを作り出すステップを更に含む、請求項１乃至８の何れか一項に記載の方法。
10. ビル制御システムにおけるアクセス判定評価システムであって、
    アクセス側装置と、
    １つ又は複数の装置固有のアクセスポリシを記憶するローカルメモリ、マッチングポイント、及びポリシ判定ポイントを含む被アクセス装置と、
    １つ又は複数の中央アクセス制御ポリシのデータベース、アクセスポリシ判定ポイント、及びアクセスポリシ導出部を含む中央判定評価機器と
    を含み、
    前記アクセス側装置は前記被アクセス装置にアクセス要求を送り、
    前記被アクセス装置のマッチングポイントは、前記アクセス要求を評価し、前記アクセス要求が前記ローカルメモリ内に記憶される前記１つ又は複数の装置固有のアクセスポリシの一つにマッチするかどうかを確かめ、マッチする場合、前記マッチした装置固有のアクセスポリシに基づき前記アクセス要求が許可されるか拒否されるかを前記被アクセス装置の前記ポリシ判定ポイントが判定し、マッチしない場合、前記アクセス要求が許可されるか拒否されるかを尋ねる評価要求を前記被アクセス装置が前記中央判定評価機器に送り、
    前記中央判定評価機器の前記アクセスポリシ判定ポイントは、前記アクセス要求が許可されるか拒否されるかの判定を下すために、１つ又は複数の中央アクセス制御ポリシを用いて前記評価要求を評価し、前記中央判定評価機器の前記アクセスポリシ導出部は、前記評価に使用された前記１つ又は複数の中央アクセス制御ポリシから導出済みの装置固有のアクセスポリシを導出し、
    前記中央判定評価機器は、前記判定及び前記導出された装置固有のアクセスポリシを前記被アクセス装置に送る、
    アクセス判定評価システム。
11. 前記アクセスポリシ導出部は、様々なコンテキストの下、前記アクセス側装置からの後続のアクセス要求を前記被アクセス装置が評価できるようにするための変数としてコンテキスト属性を持つ前記導出済みの装置固有のアクセスポリシを更に導出し、前記被アクセス装置の前記ポリシ判定ポイントは、前記アクセス判定評価システム内に含まれるコンテキスト源からのコンテキスト情報を要求することにより、後続のアクセス要求が許可されるか拒否されるかを判定する、請求項１０に記載のアクセス判定評価システム。
12. アクセス側装置、被アクセス装置、及び中央判定評価機器を含むアクセス判定評価システムにおける中央判定評価機器であって、
    １つ又は複数の中央アクセス制御ポリシのデータベースと、
    前記アクセス側装置から前記被アクセス装置に送られるアクセス要求が許可されるか拒否されるかの判定を下すために、前記データベース内に記憶される１つ又は複数の中央アクセス制御ポリシを用いて前記被アクセス装置からの評価要求を評価するアクセスポリシ判定ポイントと、
    前記評価に使用された前記１つ又は複数の中央アクセス制御ポリシから装置固有のアクセスポリシを導出するアクセスポリシ導出部と
    を含み、前記中央判定評価機器は前記判定及び前記装置固有のアクセスポリシを前記被アクセス装置に送り、前記被アクセス装置が前記装置固有のアクセスポリシに基づき、後続のアクセス要求が許可されるか拒否されるかを判定する、中央判定評価機器。
13. 前記アクセスポリシ導出部が、様々なコンテキストの下、前記アクセス側装置からの後続のアクセス要求を前記被アクセス装置が評価できるようにするための変数としてコンテキスト属性を持つ前記装置固有のアクセスポリシを更に導出する、請求項１２に記載の中央判定評価機器。
14. アクセス側装置、被アクセス装置、及び中央判定評価機器を含むアクセス判定評価システムにおける被アクセス装置であって、
    １つ又は複数の装置固有のアクセスポリシを記憶するローカルメモリと、
    マッチングポイントと、
    ポリシ判定ポイントと
    を含み、前記マッチングポイントは前記アクセス側装置からのアクセス要求を評価し、前記アクセス要求が前記ローカルメモリ内に記憶される前記１つ又は複数の装置固有のアクセスポリシの一つにマッチするかどうかを確かめ、マッチする場合、マッチした装置固有のアクセスポリシに基づき前記アクセス要求が許可されるか拒否されるかを前記ポリシ判定ポイントが判定し、マッチしない場合、前記アクセス要求が許可されるか拒否されるかを尋ねる評価要求を前記中央判定評価機器に前記被アクセス装置が送る、被アクセス装置。
15. 前記ローカルメモリが一定量の装置固有のアクセスポリシしか記憶できないサイズ制限ローカルメモリである、請求項１４に記載の被アクセス装置。