JP7074498B2 - 機器のマシンツーマシン認証のためのシステム及びコンピュータ実装された方法 - Google Patents

Description

本開示は、通信のセキュリティの分野に含まれる。具体的には、本開示は、強化型多要素認証（ＭＦＡ）メカニズムを使用したマシンツーマシン（Ｍ２Ｍ）認証に関する。

認証とは、ある人物またはある物体が、実際に「それであるとされる」ものであるかどうかを判定するプロセスである。従来型の認証では、人とマシンの間の相互作用に焦点が当てられており、マシンは、識別されたユーザの有効性を自動的に実証するものである。最近の認証は、マシンツーマシンの環境（例えばオンラインバックアップサービス、遠隔医療用センサ、及びスマートグリッド）もまた、対象としている。この目的のために、いくつかの技術が採用されている。

証明書ベースの認証技術は、固有である公開及び非公開の暗号化キーを使用して、確実に認証を行う技術である。これらのトークンは、トランザクションに対してデジタル上で署名するのにも、また使用され得る。通常、デジタル証明書の発行及び実証は、公開キーインフラストラクチャの一部として、認証機関（ＣＡ）が責任を持っている。

システムのアイデンティティが真正なものであるかどうかを判定するためにＧＰＳの位置といったコンテキスト情報を用いる、コンテキストベースの認証に基づく技術も、また存在している。しかし、コンテキストベースの認証だけでは不十分であり、通常、他の強力な認証技術と補い合っている。

短時間おきに変更され認証システムと同期されるランダムな数字または文字列を生成する、ハードウエア及びソフトウエアのトークンのような、他の認証ツールが存在する。しかし、この種の認証ツールは認証システムに接続される必要がある。このことは、容易には満たし得ない強い必要条件である。

同様に、人間指向（例えばチャレンジ・レスポンス式、生体認証、または帯域外通信）であるために、マシンツーマシン環境には適さない認証ツールが存在する。

デジタル証明書は、多くの環境において認証として不十分である。例えば、無人航空システム（ＵＡＳ）の場合には、デジタル証明書は、有用ではない。なぜならば、このプラットフォームは多くのオペレーション用積載物（ｏｐｅｒａｔｉｏｎａｌ ｐａｙｌｏａｄ）を運び得るが、デジタル証明書では、加えられる積載物の安全な使用が保証されないからである。

多要素認証（ＭＦＡ）技術は、機載の認証装置内と認証バックエンド内とに保存されている共有秘密鍵またはシードを使用する、使い捨てパスワードに基づいている。この技術は、トークンの秘密鍵に基づいて使い捨てパスワードを生成することによって、認証を確保する。

要約すると、現在利用可能なアイデンティティ実証技術の多くが、完全にはＭ２Ｍ環境に適用可能でない。従来から、「何を知っているか、何を持っているか、そして誰であるか」という３つの問いが、対応を必要としている。現行技術は、人の参画に依存しており、認証される主体が人であること、または認証手順の中に人が関与していることを前提としている。このため、様々な制約を受ける。具体的には、「あなたは誰か」即ちこのシナリオでは「この機器は何か」という問いに、適切な答えを提供することができない。

従来技術を再検討することによって、多要素（ＭＦＡ）のマシンツーマシン（Ｍ２Ｍ）認証のためのシステム及び方法の必要性が示されている。

Ｍ２Ｍシナリオへの転換によって、現存の認証技術の徹底的な改変が必要とされている。本開示の教示のいくつかでは、生体認証のコンセプト、即ち、アイデンティティ実証用の固有の物理的特性または行動特性の測定及び分析を、マシン間の相互作用へと戦略的に拡張することによって、新たなモデルが提供されている。この新たなコンセプトは、「マシンメトリック」と呼ばれてよい。

本開示は概して、コンピュータと他の装置が互いに相互作用して、認可された情報を、人の介在なしに且つ安全に自動で交換できるようにすることを目的としている。

このゴールとは別に、本開示の１つの目的は、機器内のサードパーティ製付加製品（サードパーティ製サブシステム）を管理する技術に関し、欠陥部品で機器を認証する可能性を低減することを意図している。

さらに別の目的は、信頼できるシステム内または欠陥構成要素内で、あらゆるセキュリティ侵害をより良く検知するメカニズムを提供することである。

本開示の別の目的は、自律性に負の影響を与えることなく、動作の健全性（ｉｎｔｅｇｒｉｔｙ）を確保する技術に関する。本開示では、自律性とは、人による制御から独立して動作する能力であるとして理解されるべきである。

開示されている技法は、セキュリティを顕著に向上させ、人の介在の必要性を取り除く。このことは、人間指向ではないほとんどのシステムにとって適切である。具体的には、ＵＡＳは、ミッションの健全性を確保するために、本書に開示されるコンセプトから受益し得る。無人海洋システム、ＩｏＴ（Ｉｎｔｅｒｎｅｔ ｏｆ Ｔｈｉｎｇｓ）の枠組み内でデータを収集及び交換している物体、自律要素を有する産業用ロボット、特定の証券取引ツールといった自律的なソフトウェアエージェント、及び高度の自律性を要求する他のシステムもまた、本開示から受益することが可能である。

本発明のさらなる目的及び利点は、添付の図面を参照している以下の詳細な説明によって明らかになるであろう。添付の図面では、好適な実施例が明確に示される。

本開示のより良い理解の助けとなり、非限定的な実施例として提示されている一連の図面について、以下で簡潔に説明する。

一実施例によるシステムの、例示的な図解を概略的に示す。 いくつかの重要構成要素を持つ機器を概略的に示す。 不正の（ｒｏｇｕｅ）構成要素を持つ図２Ａの機器を概略的に示す。 ＵＡＳの選ばれた構成要素間の従属関係ネットワークを概略的に示す。 図３Ａの隣接する二構成要素間の従属関係を示す図解である。 種々のタイプの署名に関する、あり得る一分類法を示す。 ３Ｄの署名空間内の陽性認証領域を概略的に示す。 ある機器の自律認証のプロセスを概略的に示す。 ある機器の構成要素の多要素認証に関する、図６のサブプロセスを概略的に示す。 構成要素認証を実施するための、データ伝送アーキテクチャを概略的に示す。 選ばれたＵＡＶ構成要素に関する構成要素認証を実施するための、例示のアーキテクチャを概略的に示す。

本開示の完全な理解を提供するために、説明を目的として、具体的な詳細が明示される。しかし、これらの具体的な詳細なしに、または均等物による構成によって、本開示が実施され得ることは、当業者には明らかであろう。

具体的には、提案されている認証技術は、有人及び無人のビークル、無人ビークルの群れ、自律要素を持った産業用ロボット、選ばれた共有マネジメントツール及びＩｏＴといった自律的なソフトウェアエージェント、並びにＩｏＴ全般の、全カテゴリーに適用可能である。しかしここでは、主に無人航空システム（ＵＡＳ）を使って説明を行う。なぜならば、無人航空システムは、複雑なシナリオにおいて様々な操作を説明するのに役立つし、更新が頻繁に実施されるからである。

図１は、機器１１０の重要構成要素１０２に対して、即ち機器自身に対して、多要素のＭ２Ｍ認証を提供することができる、システム１００のブロック図である。本開示を不必要に分かりにくくしないため、図１中の周知の構造及び装置は、ブロック形態で示されている。設定用データベース１４０は、選ばれた重要構成要素を保存している。データベース１４０は別のものとして示されているが、システム１００の一部であってもよい。代わりに、データベース１４０は、機器１１０自体の一部であってもよい。同様に、システム１００は、機器１１０内に設置された特定のユニットを有していてもよい。

機器１１０が機能またはタスクを実行するよりも前に、一定の条件が満たされるということは、望ましくあり得る。これらの条件は、主として、こうした機能の実施に関わる機器１１０の構成要素１０２といった、重要構成要素の認証に関する。システム１００が提供する認証は、この目的に資する。

装置１１０は、一定の数の重要構成要素１０２が有効に認証されたときに、認証される。このように、認証は、二つの異なるレベルで確立されてよい。上位レベルでは、各重要構成要素１０２を認証するため、重要構成要素１０２との関連を有する１つ以上の補助的構成要素１０４が検討される。こうして、種々の構成要素１０２、１０４間の関係にしたがって、従属関係ネットワークを規定することができる。下位レベルでは、各構成要素はｋ個の要素（Ｋ－ファクタ認証）による認証を要求してよい。即ち、各構成要素について、ｋ個の異なる署名が有効と確認されなければならない。

再び図１を参照すると、機器１１０は、第１の構成要素１０２に関わる機能を実施するよう命令される。この機能を可能にするには、Ｍ２Ｍ認証が要求される。まず、システム１００の読み出しユニット１２０が、第１の構成要素１０２に関する認証要求を機器１１０に送信する。さらに、読み出しユニット１２０は、設定用データベース１４０内に保存されている従属関係リストの読み出しも行う。従属関係リストは、第１の構成要素１０２と、第１の構成要素１０２に関連付けられた１つ以上の追加構成要素１０４の認証情報を含む。従属関係リスト内の認証情報は、構成要素１０４、１０２の、物理的署名及びデジタル署名に関する、保存された値を含む。

システム１００内の取得ユニット１６０は、従属関係リスト内に存在する、第１の構成要素１０２用及び各従属構成要素１０４用の現在の署名（ｐｒｅｓｅｎｔ ｓｉｇｎａｔｕｒｅ）を取得する。物理的署名は、センサによって取得することができる。具体的には、機器１１０が、いつ不具合が発生するかのモニタリングと判定を管理する統合ビークル健全性管理（ＩＶＨＭ）システムを含んでいる場合、システム１００は有利には、現在の署名を取得するために、ＩＶＨＭシステムのツール及びアセットを使用し得る。具体的には、温度センサ、振動センサ、電気センサといったＩＶＨＭセンサが、現在の物理特性を測定し得る。現在の署名は、適正なフォーマットに変換される必要があり得る。それによって、システム１００の確認ユニット１８０が、現在の署名を、各構成要素に関する保存されている対応する署名と順次比較することが可能になる。比較の結果、署名が有効だった場合には、確認ユニット１８０は第１の構成要素１０２を認証する。以下で検討されるように、署名が同一でなくても、期待範囲内に収まっていれば、比較は成功とされてよい。全ての重要構成要素１０２が有効に認証された場合、機器１１０自体が認証されたとみなされる。

上記の状況は、認証が、機器１１０の特定の機能を可能にするという事象によってトリガされたケースを示している。しかし、機器１１０の健全性をコンスタントに確保するため、認証が時間間隔ベースで実施されてよいことも、また考えられる。

図２Ａは、Ｓ１、Ｓ２、Ｓ３、及びＳ４と名付けられた４つの構成要素からなる概略的な機器２００を示す。ここで、図２Ｂに示すように、機器２００に追加された不正な構成要素Ｓ５について検討する。この結果、１つ以上の構成要素Ｓ１～Ｓ４に、及び機器２００自体に、欠陥が生じ得る。これは、故障、乗っ取り、または他の予期せぬもしくは有害な動作につながり得る。

例えばＩＦＦベースの認証といった、従来型の上位レベルのセキュリティ対策が適用された場合、予測できない結果によってミッションに欠陥が生じても、認証は陽性のままであり得る。

例えば、機器２００が無人航空ビークル（ＵＡＶ）であり、重要構成要素が乗っ取られた場合、ＵＡＶは、ホームの基地ではなく不正な基地への着陸を強いられ得る。

これらのセキュリティ問題に対処するため、代わりの対策がいくつか提案される。第１に、図１を検討する際、上記のように、重要構成要素を区別する必要がある。こうした重要構成要素は、欠陥が生じた場合には、全体的な不具合をトリガし得るものであり得る。したがって、これらの重要構成要素を継続的にモニタして認証することが賢明である。このことは、例えばプラットフォームと搭載カメラといった、認証経路内で相互依存している構成要素間の、関連する情報のやりとりを意味する。

一般的に、初期のセキュリティプロセスは、識別、認証、及び認可という、逐次的なサブタスクを含んでいる。検討されているＵＡＳのシナリオでは、認可はミッション管理システム（ＭＭＳ）の一部であり、先行する識別と認証の正しさに、完全に依存する。したがって、本書で提示されている技術は、識別と認証という先行する２つのサブタスクの改良に、主として焦点が当てられる。これらのサブタスクは、現状では、非常に頻繁に人の介在を伴う。本開示は、代わりに、人の介在のあらゆる必要性を回避する、マシンツーマシン（Ｍ２Ｍ）アプローチを提案する。この目的のため、ＵＡＳの逐次的な識別／認証に関して、以下でより詳細に記載する。

ＵＡＳミッションの健全性は、命令・制御（Ｃ２）ユニット内に入るＵＡＶの識別と認証の成功に依存する。Ｃ２ユニットは、機載のオペレーション用積載物及びサブシステム（カメラ、センサ、アクチュエータ、アンテナ、データリンクなど）のような重要構成要素を含め、ＵＡＶに対して、排他的なアクセスと制御を有する必要がある。ＵＡＶの重要構成要素が完全に健全であることは、安全で、主権を持った（ｓｏｖｅｒｅｉｇｎ）、順調なミッション遂行のための条件である。「主権（ｓｏｖｅｒｅｉｇｎｔｙ）とは、本開示では、機器に対する完全且つ独立した制御として規定される。

図３Ａは、認証従属関係のネットワークの一例を示す。第１のノードが第２のノードを指しており、矢印は、ある構成要素への従属を示している。１つの構成要素は、従属経路内の全ノードの有効性確認が済んだときに、有効性が確認されたとみなされる。したがって、全体の認証を達成するためには、このネットワーク内における有効性の確認は、特定の順序を辿らなくてはならない。この点に関して、図３Ｂは、ネットワーク内にある２つの例示的なノード間の第１の隣接従属関係を示す構成要素の図解を示している。

より詳細には、図３Ａは、動力装置への電源供給を調節するコントローラ３１２に信号を送信する機載コンピュータ３１０を含む、バッテリ駆動のＵＡＳに関する。地上局（図示せず）からの命令が、受信器３０２から機載コンピュータ３１０に送信される。機載コンピュータ３１０は、（起こり得るバッテリの過熱と熱暴走反応の影響を軽減するために）安全容器３０６内に置かれた、メインバッテリ３０８から動力を受けている。この機載コンピュータ３１０はまた、ＩＦＦトランスポンダ３１４及びメインバッテリ３０８の温度を調節するのに使われる、冷却ファン３０４もまた制御している。

この具体的なケースでは、コントローラ３１２及びＩＦＦトランスポンダ３１４を認証するための最低限の要件（設定用データベースを使って従属関係リストから読み出される）は、機載コンピュータ３１０及び冷却ファン３０４を、それぞれ認証することである。機載コンピュータ３１０は、デジタル署名認証に楽々と適しているという訳ではない。冷却ファン３０４は、その物理的特性、例えばファンの回転速度とその結果の振動の署名を使って、認証することができる。したがって、ファンの現在の物理的な署名を測定するために、適切なセンサが必要とされる。ＵＡＶは典型的に多くの機載センサを含んでいるので、必要な物理的署名を得るのに、機載センサが使われてよい。

階層的認証関係の以下のシーケンスが、図３Ａ及び図３Ｂに示されている。
－ 機載コンピュータ３１０の認証は、受信器３０２及びメインバッテリ３０８の認証に依存する。
－ コントローラ３１２の認証は、機載コンピュータ３１０の認証に依存する。

言うまでもなく、認証従属関係のネットワークは、必要に応じて拡張されてよい。例えば、認証チェーンは、従属経路内の他の構成要素に対して延びていてもよい。例えば、コントローラ３１２に関する認証関係は、機載コンピュータ３１０のみではなく、受信器３０２もまた含んでいてよい。同様に、ＩＦＦトランスポンダ３１４を機載コンピュータ３１０及び受信器３０２にリンクさせるための、追加の経路が含まれていてもよい。この従属関係モデルは、検討されているＵＡＳのシナリオに加えて、多くの他の実施例に対して適用されてもよい。

図４は、機器自体または、ある単一の構成要素のみの認証に有効であり得る、いくつかのデジタル署名及び物理的署名の概略を示している。いずれのケースでも、認証を受ける機器の全ての構成要素は、物理的署名４０８もしくはデジタル署名４０４またはその両方であり得る、１つ以上の署名を有していなければならない。デジタル署名４０２は、プロセスＩＤ、スマートカード４０４、またはＲＦＩＤ４０６であってよい。物理的署名４０８は、その構成要素を一意的に識別する特性に関する。例えば、コンピュータ特性４１０、空力特性４１２、電気特性４１４、機械特性４１６、例えば、機械的振動の署名、体積、形状、アルベド、エネルギー消費パターン、電気に関する署名、磁気に関する署名、無線周波数の署名、またはこれらの任意の組み合わせである。これらの署名は、均一なフォーマットに変換され、機載の調整用データベースに保存される必要があり得る。

デジタル署名認証の処理は簡明直截であり、起こり得る物理的データ測定の不正確さまたは伝送の不具合をカバーするために、専用のアルゴリズムによって、保存されている署名値からの一定の逸脱が許可されるか、または許可されなくてよい。例えば、デジタルの有効性確認が１つ不足していても、容認可能とみなされ得る。条件の緩和は、環境次第である。いくつかのケースについて、以下を参照されたい。

物理的署名の有効性確認に関しては、一定の逸脱が常に存在する。提案されている解決法は、例えば温度のばらつきや境界条件の変化（地上か飛行中か）などといった、物理的環境において不可避であるばらつきをカバーするために、予期される厳密値から一定の範囲については容認する必要があり得る。機器の構成要素を認証するためにｋ個の独立した有効性確認パラメータが存在し得る場合、これらの有効性確認パラメータによって、「マシンメトリック」な署名空間が規定される。この概念については、図５に示されている。

図５は、所与のＵＡＶに関する物理的署名、即ち、選ばれたサブシステムｆの第１のモード周波数（Ｈｚ）、ステップスラスト入力（ｓｔｅｐ ｔｈｒｕｓｔ ｉｎｐｕｔ）を印加した後の電流立ち上がりのタイムラグｔ１、及び昇降舵にステップ入力を印加した後の胴体のピッチのタイムラグｔ２からなる、３次元空間５００を図によって示す。

上記で検討したように、頑健性を向上させるため、署名の期待値に関して有効な信頼区間が規定される。値が一定の範囲内に収まる場合、この署名は有効であり得る。例えば、図５の平行六面体５０２に示すように、２．０Ｈｚ＜ｆ（Ｈｚ）＜４．５Ｈｚ、０．１ｓ＜ｔ１＜０．６ｓ、及び０．５ｓ＜ｔ２＜０．７ｓである。したがって、得られたパラメータがこれらの範囲内に収まる場合には、このＵＡＶは順調に認証される。

図６は、一実施例による、機器を認証するために実施されるいくつかの操作の、単純化したフローチャートを示す。このフローチャートは、認証を必要とする、機器のｎ個の重要構成要素からなるセットを得るための、設定用データベース６０４からの読み出しステップ６０２を含む。次に、構築ステップ６０６で、ｎ個の重要構成要素に関する従属関係リストが構築される。従属関係リストが作成されると、ループがｎ回実行され、１つの要素を従属関係リストから取り出すための選択ステップ６１０が実施される。この要素は、多要素認証プロセス６１２に従って、処理され実証される。多要素認証は、「マシンメトリクス」の署名空間（要素）の全ての次元に対して、ループで実行される。単一の各構成要素に対する多要素認証プロセス６１２を、図７に示す。所与の要素に関して確認ステップ６１４の結果が陽性である度に、この構成要素は認証される。確認ステップ６０８によって従属関係リストが空であることが示されると、機器の認証は陽性になる。機器の認証は、最初の重要構成要素が「認証失敗」と判断されたときに失敗するということは、留意されたい。

図７は、別の単純化されたフローチャートにおける、下位レベルの認証６１２を示す。これは、図６に示すプロセス内部の内部ループである。構成要素は、所与の重要構成要素と関連づけられたｋ個の署名のそれぞれが有効と確認されたときに、ｋ個の要素による認証（ｋ－ファクタ認証）が与えられる。ｋ個の署名を有する構成要素は、有効性確認ステップ７０２をｋ回通過する必要がある。１つの署名が有効とされる都度、構成要素に関連付けられた署名がこれ以上なくなったことが確認７０４されるまで（または代わりに「認証失敗」との結果が出るまで）、次の署名が処理される。したがって、ｋ個の署名の全てが有効と確認された場合には、構成要素の認証７０６は陽性となる。この構成要素レベルの認証プロセスは、周期的または非同期的（例えば、新たな構成要素が追加される都度）のどちらかで、単一の構成要素に関して実施されるべきである。

機器がＵＡＶ３００である場合、新たな構成要素の追加によって、設定用データベース６０４の更新が必要になる。設定用データベースの更新は、自動プロセスによって実現されてよいか、または命令・制御（Ｃ２）ユニットによって直接要求されてよい。１つ以上の重要構成要素で認証が失われると、その結果、全体に関して認証が失われる。この事象によって、所定のセキュリティ緊急時動作が自動的にトリガされてよい。これらの動作は、Ｃ２ユニットとの情報交換、再認証プロセスの始動、ホームの基地への帰還、フライト／ミッションタスクの中止、ＵＡＶ３００の破壊、などを含んでいてよい。認証失敗後にこの機器に関してどう進めるかは、本開示の範囲の外である。

図８は、ＵＡＶ３００における、本教示の実施形態に関するデータ伝送アーキテクチャを示す。このアーキテクチャの主要な構成部品の１つは、認証モジュール８１０である。この認証モジュール８１０は、フライト／ミッションデータベース８０６とリンクされているので、物理的な変化をモニタしており、あらゆるアイデンティティの変化に相関している。認証モジュール８１０は、各重要構成要素に関して識別のタスクと認証のタスクを実行する。このアーキテクチャは、図１のブロック図と対応している。認証モジュール８１０は、読み出しユニット１２０及び確認ユニット１８０を持つＵＡＶに関する、あり得るＳＷ実装である。フライト／ミッションデータベース８０６もまた、設定用データベース１４０と同様に、ＵＡＶの構成要素に関する認証情報を保存する。

重要と考えられるＵＡＶの各構成要素は個別の認証を受け、より重要でない構成要素は簡素な証明書ベースの認証のみを必要とするが、その一方で、必須であると考えられる構成要素は、上記の多要素認証を必要としてよい。認証モジュール８１０は、認証ステータスの評価を担っている。認証モジュールは、状況に応じて、陽性の認証を与えるかもしくは拒絶し、または関連した助言をＣ２ユニット宛てに送信してよい。

ＵＡＶのほとんどは、様々な構成要素（例えば航空電子機器及びセンサ）間のデータ交換を促進するための、デジタルバス８１８を装備している。デジタルバス８１８を通じた安全なデータ交換は、認証モジュール８１０によって与えられる３ステップのセキュリティプロセス（識別、認証、認可）を完全に適用することを必要とする。このバス８１８を通じて送信されたデータは、バス８１８に接続された如何なる新しい構成要素をも検出して認証するため、認証モジュール８１０によって継続的にモニタされてよい。セキュリティ要件は、ＵＡＶがバス８１８を通じてデータを送受信する都度、アイデンティティが有効性確認される（ＡＲＩＮＣ４２９規格のラベル、及びＡＲＩＮＣ仕様６６４第７部のバーチャルリンクと同様）ことを意味している。

あるケースでは、エンドツーエンド通信は、通信を仲介するためまたは完成させるために、何らかの他のモジュールを必要とする。モジュールは、単一の構成要素とみなされるか、または、構成要素の群とみなされてよい。構成要素の群はサブシステムであり、まとめて認証される。本アーキテクチャの利点の一つは、既に陽性と識別された情報源からのデータを認証する機能である。図８に示すように、モジュールＡ８０２が、バス８１８にデータを書き込み、モジュールＢ８０４が、識別及び認証のプロセスを順調に通過したフライトデータベース８０６からのフライトデータと共に、このデータを読み出す。好ましくは、認証エージェント８１２、８１４、８１６は、認証モジュール８１０によって自動的に生成及び分配された、認証の主なタスクを管理しデジタルバス８１８と各モジュールとの間を仲介するための、ソフトウェアアプリケーションである。認証エージェント８１２、８１６、８１４はサーバーとして働く。認証エージェント８１２、８１４、８１６の役割について、以下に記載する。認証エージェントは、モジュールの健全性を確認し、認証情報を認証モジュールに渡し、対応するモジュールの入力／出力を制御する。

図８のアーキテクチャは、データ層（バス８１８）とアプリケーション層（モジュールＡ８０２、モジュールＢ８０４、並びに、フライト及びミッションデータベース８０６といったデータのソース）との間への、動的認証の挿入を可能にする。モジュールのうちの１つが識別もしくは認証されない場合（または認可されない場合はもちろん）、関連付けられたエージェント８１２、８１６、８１４が認証モジュール８１０に通知し、認証モジュール８１０は、こうしたモジュールの機能の重要性レベルに応じて、識別されないモジュールをバス８１８から切断してよいか、または、所定の信頼モデルに従って、信頼レベルを低下させてよい。各エージェントの連携を確保するためには、ユーザ定義された信頼モデルが必要である。

ＵＡＶ３００の各構成要素の信頼レベル、識別または認証のステータスは、フライトデータベース８０６から構築されたプロキシテーブルからクエリすることができる。このプロキシテーブルは、全構成要素の更新された認証ステータスを含む。そのデータは公開されており、全認証エージェント８１２、８１６、８１４からアクセス可能である。認証モジュール８１０があるモジュールに対する認証を拒絶すると決定した場合、プロキシテーブル内のこのモジュールのステータスが更新され、対応するエージェントはそれに応じて動作する。各認証エージェント８１２、８１６、８１４は、当該データの拒絶／承認の動作に先だって、プロキシテーブルをバス８１８に読み込む。実装形態の詳細の多くが、アーキテクチャまたはリソースの要件に応じて様々であってよいことは、留意される。例えば、認証エージェントは、モジュールの健全性をテストしてその結果について認証モジュールに通知するだけでもよく、またはテストして、認証モジュールが判定する根拠となる何らかの動作を実施してもよい。

図９は、ＵＡＶ９２４及び地上制御ステーション９２２を含む、ＵＡＳ用システム１００の別の例示的な実施例を示す。特定の構成要素の認証に使われるデジタル署名及び物理的署名が、斜体を使って細い点線で示されている。システム１００の認証経路は、太い点線で示されている。この具体的な実施例では、システム１００は、ＵＡＶ９２４のメインの機載コンピュータの一部である。多要素認証は、丸で囲まれた大文字のＣで表されている。

モータ９０４の認証が、物理的署名を使って実施される。具体的には、所与のフライトモードにおける電気信号（抵抗（Ｒ）及び電流（Ｉ））、並びに温度（Ｔ）である。機載コンピュータ９２０の認証は、物理的署名及びデジタル署名（コンピュータデジタル識別及びコンピュータ電圧）を使って実施される。モータ９０４及び他の構成要素に関しては、任意の関連する制御ソフトウエア特性もまた、多要素認証のために使用され得る。

ＵＡＶ９２４は、地上制御ステーション９２２からミッションのインプットを受信する。機載コンピュータ９２０は、ミッションのインプットを処理してそのインプットに応じてタスクを実施し（例えばカメラ制御または具体的な航行タスク）、障害物の検知と回避といった、地上制御ステーションからのインプットから独立したタスクを実行する。

特定のミッションに関して、ＵＡＶ９２４の認証が、重要構成要素の１つとしてモータ９０４の認証を要求していると仮定する。関連する認証プロセスは、開示されている「マシンメトリクス」の手法に基づいた、典型的なものであるだろう。モータ９０４の認証は、物理的署名が予期された電気抵抗の範囲Ｒ、電流の範囲Ｉ、及び温度の範囲Ｔ内に収まるかどうかの確認を通じた物理的署名の認証のみを必要とするのではなく、隣接する構成要素、モータ制御ユニット９１６及びプロペラ９０２の認証が陽性であることにもまた依存する。ソフトウエア認証エージェントは、モータ制御ユニット９１６のデジタル署名を、プロキシテーブル内に保存された認証情報と比較する。これは、例えば、固定子コイルに電圧を加えるシーケンスのタイミングに関連する情報であり得る。次に、モータ制御ユニット９１６の認証に関する成功／失敗情報が、認証モジュール９１８に渡される。モータ制御ユニット９１６の認証手順が、例えばその終端信号の確認を通じてさらに延長され得ることは、留意されたい。同様に、コントローラ９１６の署名と整合する、電気の入力に対応するプロペラの音響署名の情報が、認証モジュール９１８に渡される。全ての認証ステップに合格した場合にのみ、認証モジュール９１８によってモータ９０４が認証されたとみなされる。そうでない場合は、認証モジュール９１８はそれに応じて動作する。例えば、認証モジュール９１８は、認証エージェントに対して、モータ制御ユニット９１６の動作を変更するように命令してよい。それによって、モータへの電気入力が低減され、ＵＡＶ９２４は着陸を強いられる。同様に、カメラ９０６の従属経路は、パンサーボ９１０及びチルトサーボ９０８を含むサーボシステム、並びに機載コンピュータ９２０を含む。コンピュータとカメラのどちらもが、多要素認証によって認証される必要がある。

さらに、本開示は以下の条項による実施例を含む。

条項１．マシンツーマシン認証の方法であって、
ｉ）機器（１１０）の少なくとも１つの重要構成要素（１０２）を、機器（１１０）の認証要求に応答して識別するステップと、
ｉｉ）重要構成要素（１０２）に関する認証情報を読み出すステップであって、認証情報は、重要構成要素（１０２）及び重要構成要素（１０２）に関連付けられた少なくとも１つの追加構成要素（１０４）に関する、複数の予期される物理的署名及びデジタル署名を含む、読み出すステップと、
ｉｉｉ）重要構成要素（１０２）及び少なくとも１つの追加構成要素（１０４）に関する現在の署名を取得するステップと、
ｉｖ）各構成要素（１０２、１０４）に関して、各現在の署名の有効性を対応している予期される署名によって確認して、各構成要素（１０２、１０４）に関する署名が有効な場合に機器（１１０）を認証するステップと、
を含む、認証方法。

条項２．重要構成要素（１０２）に関する認証情報が、逐次的に確認されるべき、重要構成要素（１０２）に関連付けられた追加構成要素（１０４）のシーケンスを伴う従属関係リストを含む、条項１に記載の認証方法。

条項３．重要構成要素（１０２）の識別が、機器（１１０）が実施する機能に依存する、条項１または２に記載の認証方法。

条項４．機器（１１０）に事象が発生したことを受けて、認証要求がトリガされる、条項１から３のいずれか一項に記載の認証方法。

条項５．機器（１１０）に関する認証要求が、周期的にトリガされる、条項１から４のいずれか一項に記載の認証方法。

条項６．構成要素（１０２、１０４）の物理的署名が、機器（１１０）のセンサによる測定から取得される、条項１から５のいずれか一項に記載の認証方法。

条項７．構成要素（１０２、１０４）の１つ以上の署名が、機器（１１０）をモニタする統合ビークル健全性管理システムとの通信によって取得される、条項１から６のいずれか一項に記載の認証方法。

条項８．構成要素（１０２、１０４）の物理的署名が、保存または確認のためにデジタルフォーマットに変換される、条項１から７のいずれか一項に記載の認証方法。

条項９．現在の署名が対応している予期される署名の所定の範囲内である場合に、現在の署名が有効である、条項１から８のいずれか一項に記載の認証方法。

条項１０．機器（１１０）のマシンツーマシン認証のためのシステムであって、
ｉ）機器（１１０）の少なくとも１つの重要構成要素（１０２）を、機器（１１０）の認証要求に応答して識別するように構成され、重要構成要素（１０２）に関する認証情報を読み出すようにさらに構成された読み出しユニット（１２０）であって、認証情報は、重要構成要素（１０２）及び重要構成要素（１０２）に関連付けられた少なくとも１つの追加構成要素（１０４）に関する、複数の予期される物理的署名及びデジタル署名を含む、読み出しユニット（１２０）と、
ｉｉ）重要構成要素（１０２）及び少なくとも１つの追加構成要素（１０４）に関する現在の署名を取得するように構成されている、取得ユニット（１６０）と、
ｉｉｉ）各構成要素（１０２、１０４）に関して、各現在の署名の有効性を対応している予期される署名によって確認するように構成され、各構成要素（１０２、１０４）に関する署名が有効な場合に機器（１１０）を認証するようにさらに構成された確認ユニット（１８０）と、
を含む、システム。

条項１１．機器（１１０）の構成要素（１０２、１０４）の予期される署名を保存するための設定用データベース（１４０）をさらに備える、条項１０に記載のシステム。

条項１２．機器（１１０）の構成要素（１０２、１０４）の物理的署名を測定するためのセンサをさらに備える、条項１０または１１に記載のシステム。

条項１３．取得ユニット（１６０）が、構成要素（１０２、１０４）の物理的署名を機器（１１０）のセンサから取得するように構成されている、条項１０または１１に記載のシステム。

条項１４．取得ユニット（１６０）が、物理的署名またはデジタル署名を取得するために機器（１１０）をモニタする統合ビークル健全性管理システムと通信するように構成されている、条項１０または１１に記載のシステム。

条項１５．プロセッサによって実行されたときに、プロセッサに条項１から９のいずれか一項に記載の方法を実施させるコンピュータコード命令を含む、機器のマシンツーマシン認証用のコンピュータプログラム製品。

これまで検討してきたこれらの及びこの他の特徴、機能、及び利点は、様々な実施例において独立して実現可能であるか、またはさらに別の実施例において組み合わせ可能である。

Claims (8)

1. マシンツーマシン認証の方法であって、
   ｉ）機器（１１０）の少なくとも１つの重要構成要素（１０２）を、前記機器（１１０）の認証要求に応答して識別することと、
   ｉｉ）前記重要構成要素（１０２）に関する認証情報を読み出すことであって、前記認証情報は、前記重要構成要素（１０２）及び前記重要構成要素（１０２）に関連付けられた少なくとも１つの追加構成要素（１０４）に関する、予期される物理的署名及び予期されるデジタル署名を含む、読み出すことと、
   ｉｉｉ）前記重要構成要素（１０２）及び前記少なくとも１つの追加構成要素（１０４）に関する、現在の物理的署名及び現在のデジタル署名を取得することであって、前記現在の物理的署名は、各構成要素（１０２、１０４）の現在の物理的特性であってセンサによって測定され、前記現在のデジタル署名は、各構成要素（１０２、１０４）に付されたデジタル識別情報である、取得することと、
   ｉｖ）各構成要素（１０２、１０４）に関して、前記現在の物理的署名及び前記現在のデジタル署名の有効性を、対応している前記予期される物理的署名及び前記予期されるデジタル署名によって確認して、各構成要素（１０２、１０４）に関する前記現在の物理的署名及び前記現在のデジタル署名が有効な場合に前記機器（１１０）を認証することと、
   を含む、認証方法。
2. 前記重要構成要素（１０２）に関する認証情報が、逐次的に確認されるべき、前記重要構成要素（１０２）に関連付けられた追加構成要素（１０４）のシーケンスを伴う従属関係リストを含む、請求項１に記載の認証方法。
3. 前記重要構成要素（１０２）の識別が、前記機器（１１０）が実施する機能に依存する、請求項１または２に記載の認証方法。
4. 前記機器（１１０）に事象が発生したことを受けて、認証要求がトリガされる、請求項１から３のいずれか一項に記載の認証方法。
5. 前記現在の物理的署名が、対応している前記予期される物理的署名の所定の範囲内である場合に、前記現在の物理的署名が有効である、請求項１から４のいずれか一項に記載の認証方法。
6. 機器（１１０）のマシンツーマシン認証のためのシステムであって、
   ｉ）機器（１１０）の少なくとも１つの重要構成要素（１０２）を、前記機器（１１０）の認証要求に応答して識別するように構成され、前記重要構成要素（１０２）に関する認証情報を読み出すようにさらに構成された読み出しユニット（１２０）であって、前記認証情報は、前記重要構成要素（１０２）及び前記重要構成要素（１０２）に関連付けられた少なくとも１つの追加構成要素（１０４）に関する、予期される物理的署名及び予期されるデジタル署名を含む、読み出しユニット（１２０）と、
   ｉｉ）前記重要構成要素（１０２）及び前記少なくとも１つの追加構成要素（１０４）の現在の物理的署名を測定するためのセンサであって、前記現在の物理的署名は、各構成要素（１０２、１０４）の現在の物理的特性である、センサと、
   ｉｉｉ）前記重要構成要素（１０２）及び前記少なくとも１つの追加構成要素（１０４）に関して、前記現在の物理的署名を前記センサから取得し、さらに現在のデジタル署名を取得するように構成されている、取得ユニット（１６０）であって、前記現在のデジタル署名は、各構成要素（１０２、１０４）に付されたデジタル識別情報である、取得ユニット（１６０）と、
   ｉｖ）各構成要素（１０２、１０４）に関して、前記現在の物理的署名及び前記現在のデジタル署名の有効性を、対応している前記予期される物理的署名及び前記予期されるデジタル署名によって確認するように構成され、各構成要素（１０２、１０４）に関する前記現在の物理的署名及び前記現在のデジタル署名が有効な場合に前記機器（１１０）を認証するようにさらに構成された確認ユニット（１８０）と、
   を含む、システム。
7. 前記機器（１１０）の構成要素（１０２、１０４）の前記予期される物理的署名及び前記予期されるデジタル署名を保存するための設定用データベース（１４０）をさらに備える、請求項６に記載のシステム。
8. 前記取得ユニット（１６０）が、前記現在の物理的署名または前記現在のデジタル署名を取得するために前記機器（１１０）をモニタする統合ビークル健全性管理システム（１１０）と通信するように構成されている、請求項６または７に記載のシステム。

Images