JP7254822B2 - コンピュータ化された装置の地理位置情報をプロビジョニング及び処理するためのシステム、方法、並びに装置 - Google Patents

Description

（関連出願の相互参照）
本出願は、２０１８年２月１６日に出願された米国仮特許出願第６２／６３１，５９３号の利益を主張し、また本出願は、２０１８年１１月１４日に出願された米国特許出願第１６／１９１，０３０号の一部継続出願であり、これらの両方は、その全体が参照により本明細書に組み込まれるものとする。

本発明は、セキュリティ証明書及びデジタル証明書などの特定のタイプのデジタル資産を安全に生成し、かつ提供するためのシステム、装置、及び方法に関する。より詳細には、本発明は、Ｖ２Ｘインフラストラクチャのコンピュータ化装置に対して、地理位置固有のデジタル資産を安全にプロビジョニングするための改良されたシステム、方法、及び技術に関する。

コンピュータの小型化及びコモディティ化が進むにつれ、メーカーは、１つ又はそれ以上の組込みコンピュータ又はプロセッサを含むさまざまな装置をますます製造するようになっている。コンピュータ化装置内のコンピュータは、とりわけ装置の動作の制御、データの収集、保存、及び共有、他のコンピュータ及び他のコンピュータ化装置との通信、並びに当該コンピュータ自体が有するソフトウェアの更新を行うことができる。

モノのインターネット（ＩｏＴ）は、１つ又はそれ以上の組込みプロセッサ、電子機器、ソフトウェア、データ、センサ、アクチュエータ、及び／又はこれらの装置が、たとえばインターネット、携帯電話ネットワーク、及び他の無線ネットワークを含むデジタルネットワーク経由で接続され、かつデータ交換できるようにするネットワーク接続を有する、コンピュータ化された物理的装置のネットワークである。通常、「モノ」はそれぞれ、各自の組込みコンピューティングシステムを通じて一意に識別可能であり、かつ既存のインターネットインフラストラクチャ内で、又は他の通信媒体を使用することで、相互に作動できる状態となる必要がある。

「モノ」とは、ＩｏＴ的な意味では多種多様なコンピュータ化装置、たとえば民生機器、ビジネスや企業環境で使用される企業向け装置、製造機械、耕作機械、住宅や建物内のエネルギー消費装置（スイッチ、コンセント、電化製品、照明装置、電球、テレビ、ガレージドア開閉装置、スプリンクラー装置、防犯装置など）、医療機器及び健康管理装置、インフラ管理装置、ロボット、ドローン、並びに輸送用機器及び輸送車両などの多数のコンピュータ化装置を指している可能性がある。

たとえば、最新の車両及び輸送用機械（たとえば、自動車、トラック、航空機、列車、船艇、オートバイ、及びスクーターなど）は、全てとまではいかなくとも、ほとんどがそのサブシステムにいくつかの組込みプロセッサ又は組込みコンピュータを含み、少なくとも一部の側面では、これらはコンピュータ制御されている。同様に、増加の一途をたどる最新の交通インフラストラクチャ装置（たとえば、信号機、交通カメラ、交通センサ、ブリッジモニタ、ブリッジ制御装置、及び路側機など）には、少なくとも１つ、そして多くの場合、多数の組込みプロセッサ又は組込みコンピュータが含まれており、少なくとも一部の側面では、これらはコンピュータ制御されている。

交通網におけるこれらのコンピュータ制御要素は通常、相互に通信し合い、さまざまなタイプの情報をやり取りしている。たとえば、路側機（ｒｏａｄｓｉｄｅ ｕｎｉｔ：ＲＳＵ）は、道路沿いにあるコンピュータ化装置であり、通過する車両や他のＲＳＵと通信している。ＲＳＵは１つの場所（たとえば、高速道路沿いに埋め込まれたボックス内）に固定することもでき、あるいは道路工事作業員や救急隊員などが必要に応じて持ち運び、配備する移動式の可搬型装置であってもよい。交通網におけるさまざまなコンピュータ制御要素は、安全で正確、かつ効率的で確実な操作を行うために、車車間（Ｖｅｈｉｃｌｅ‐ｔｏ‐Ｖｅｈｉｃｌｅ：Ｖ２Ｖ、車両間（Ｃａｒ‐ｔｏ‐Ｃａｒ：Ｃ２Ｃ）とも呼ばれる）通信を行う他の車両、及び／又は路車間（Ｖｅｈｉｃｌｅ‐ｔｏ‐Ｉｎｆｒａｓｔｒｕｃｔｕｒｅ：Ｖ２Ｉ、道路・車両間（Ｃａｒ‐ｔｏ‐Ｉｎｆｒａｓｔｒｕｃｔｕｒｅ：Ｃ２Ｉ）とも呼ばれる）通信を行うインフラストラクチャ要素（ＲＳＵなど）との間で送受信される情報に反応し、応答し、あるいはこれに応じてその動作を変更することができる。通常、車両からその車両に影響を与える可能性のあるエンティティ（たとえば、他の車両（Ｖ２Ｖ）及びインフラストラクチャ要素（Ｖ２Ｉ））への情報の受渡し、及びその逆は車車間・路車間通信（Ｖｅｈｉｃｌｅ‐ｔｏ‐ｅｖｅｒｙｔｈｉｎｇ：Ｖ２Ｘ）又は道路・車両間通信（Ｃａｒ‐ｔｏ‐ｅｖｅｒｙｔｈｉｎｇ：Ｃ２Ｘ）と呼ばれている。Ｖ２Ｘが目指すいくつかの主要な目標は、交通安全、高い交通効率、及び省エネルギーを実現することである。

これらのコンピュータ化装置内のコンピュータは、そのソフトウェア並びに／又はファームウェア及びデータに従って動作している。安全で正常な操作を確実に行うために、これらのコンピュータ化装置は、正常なソフトウェア、ファームウェア、実行可能命令、デジタル証明書（たとえば、公開キー証明書など）、及び暗号化キーなど（以下、「デジタル資産」又は「ソフトウェア」と総称する）を使用して、製造元又はＶ２Ｘシステムのオペレータが意図したとおりに正常に初期化され、かつ更新され（たとえば、プロビジョニングされる）、その結果当該ＩｏＴが、承認済みの、優良であることが確認されているソフトウェア及びデータを実行する装置のみで構成されるようにする必要がある。ただし、非承認の人物又は組織（たとえば、ハッカー）がコンピュータ化装置のソフトウェアを置換又は変更すると、いくつかの課題が発生することになる。古いソフトウェア、未検証のソフトウェア、非承認のソフトウェア、及び／又は既知のバグのあるソフトウェアがコンピュータ化装置にインストールされている場合にも、いくつかの課題が発生する。

Ｖ２ＸインフラストラクチャのＲＳＵなど、ＲＳＵに提供される地理位置固有のデジタル資産が適切でないか、かつ／又は最新のものでないか、かつ／又は当該ＲＳＵの実際の地理的動作位置と一致していない場合は、これらのＲＳＵは正常に機能しないようになるなど、地理的制限下で動作するように設計されたコンピュータ化装置のプロビジョニングにおいて、特定の課題が発生することになる。

したがって、地理位置固有のデジタル資産を、Ｖ２ＸインフラストラクチャのＲＳＵなどのコンピュータ化装置にプロビジョニングするための、改良されたシステム、方法、及び技術を提供することが望ましい。

本明細書には、登録証明書及びアプリケーション証明書を含む、路側機（ＲＳＵ）装置などのコンピュータ化装置を安全にプロビジョニングするためのシステム、方法、及び装置について記載しており、これらのコンピュータ化装置（たとえば、ＲＳＵ）は、この登録証明書及びアプリケーション証明書の両方の地理情報に従って、地理的に制限されることで正常に動作している。開示しているさまざまな実施形態は、１つ又はそれ以上のサーバコンピュータなどの１つ又はそれ以上のコンピューティングシステムによってホストされ得る、拡張セキュリティ証明書管理システム（ｓｅｃｕｒｉｔｙ ｃｒｅｄｅｎｔｉａｌ ｍａｎａｇｅｍｅｎｔ ｓｙｓｔｅｍ：ＳＣＭＳ）によって実現されてもよい。さまざまな実施形態では、コンピュータ化装置（たとえば、ＲＳＵ）に対して登録証明書を提供することであって、この登録証明書は、コンピュータ化装置（たとえば、ＲＳＵ）の地理領域を指定している、ことと、コンピュータ化装置（たとえば、ＲＳＵ）のアプリケーション証明書を求める要求を受信することとを含む操作を、本システム及び装置が実行してもよく、また本方法が含んでいてもよい。アプリケーション証明書を求める要求に応答して、これらの操作は、コンピュータ化装置（たとえば、ＲＳＵ）の地理的動作位置を特定することと、この地理的動作位置が当該地理領域内にあるかどうかを確認することと、この地理的動作位置の情報を含むアプリケーション証明書を生成することと、この地理的動作位置の情報を含むアプリケーション証明書をコンピュータ化装置（たとえば、ＲＳＵ）に対して提供することとをさらに含んでいてもよい。さまざまな実施形態では、このコンピュータ化装置の正常な動作は、アプリケーション証明書の地理的動作位置の情報に従って地理的に制限される。

さまざまな実装形態では、この要求は、コンピュータ化装置（たとえば、ＲＳＵ）の地理的動作位置の情報を含み、またこの要求に応答して、コンピュータ化装置の地理的動作位置を特定する操作は、この要求から地理的動作位置の情報を取得することを含む。別の実装形態では、この要求はコンピュータ化装置から受信される。さらに別の実装形態では、コンピュータ化装置は地理的動作位置の情報で構成されていてもよく、またこのコンピュータ化装置は、当該要求内に地理的動作位置の情報を含む。

別のさまざまな実装形態では、これらの操作は、コンピュータ化装置（たとえば、ＲＳＵ）の地理的動作位置の情報の保存を求める要求を受信することであって、この要求は、当該コンピュータ化装置の地理的動作位置の情報を含む、ことと、この要求に応答して、コンピュータ化装置の地理的動作位置の情報を保存すること（これは、アプリケーション証明書を求める要求を受信する前に実行されてもよい）とをさらに含んでいてもよく、この要求に応答して、コンピュータ化装置の地理的動作位置を特定することは、保存された地理的動作位置の情報を取得することを含んでいてもよい。いくつかのそのような実装形態では、地理的動作位置の情報の保存を求める要求は、当該コンピュータ化装置のユーザから受信される。いくつかの実装形態では、この地理領域は国又は州であり、また地理的動作位置でもある。

本明細書に記載のさらに別の実装形態は、ひとたびプロビジョニングされると、コンピュータ化装置の（たとえば、路側機（ＲＳＵ）装置の）動作領域を地理的に制限するアプリケーション証明書を含む、ＲＳＵ装置などのコンピュータ化装置を安全にプロビジョニングするためのシステム、方法、及び装置である。

別のさらなる実装形態は、コンピュータ化装置（たとえば、ＲＳＵ）の地理領域を指定している登録証明書と、コンピュータ化装置（たとえば、ＲＳＵ）のアプリケーション証明書を求めるアプリケーション証明書要求を受信し、この要求は、所望の地理的動作位置の情報を含み（この地理的動作位置は当該地理領域内にあり得る）、この地理的動作位置が当該地理領域内にあるかどうかを確認し、この地理的動作位置の情報を含む１つ又はそれ以上のアプリケーション証明書を生成し、アプリケーション証明書要求に応答して、この地理的動作位置の情報を含む１つ又はそれ以上のアプリケーション証明書をＲＳＵ装置に対して提供し、これにより、アプリケーション証明書の地理的動作位置の情報に従って、当該ＲＳＵ装置は地理的に制限される、拡張ＳＣＭＳとを備える。

本明細書に組み込まれ、その一部を構成している添付の図面は、本発明の実装形態を例示し、本明細書と共に、本発明の原理を説明する役割を果たすものである。図では、
本発明の実装形態と一致する、セキュア・プロビジョニング・システムで実行される、証明書を必要とするエンティティのコンピュータ化装置をプロビジョニングし、かつ追跡するための方法の一実施例を示した図である。 本発明の実装形態と一致する、セキュア・プロビジョニング・システムで実行される、コンピュータ化装置のローカル・ポリシー・ファイル（ｌｏｃａｌ ｐｏｌｉｃｙ ｆｉｌｅ：ＬＰＦ）を構成し、かつ提供するための方法の一実施例を示した図である。 本発明の実装形態と一致する、セキュア・プロビジョニング・システムで実行される、コンピュータ化装置にセキュリティ資産の補充を行うための方法の一実施例を示した図である。 本発明の実装形態と一致する、マルチテナント操作をサポートするように構成された、セキュア・プロビジョニング・システムの一実施例を示した図である。 本発明の実装形態と一致する、セキュア・プロビジョニング・システムのマルチテナントに対応している、コンピュータ化装置を示した図である。 本発明の実装形態と一致する、証明書管理システム（ｃｅｒｔｉｆｉｃａｔｅ ｍａｎａｇｅｍｅｎｔ ｓｙｓｔｅｍ：ＣＭＳ）管理ポータル（ｍａｎａｇｅｍｅｎｔ ｐｏｒｔａｌ：ＣＭＰ）を備える、セキュア・プロビジョニング・システム内の例示的なワークフローを示した図である。 本発明の実装形態と一致する、マルチテナント操作をサポートするように構成された、セキュア・プロビジョニング・システムの例示的な操作環境を示した図である。 本発明の実装形態と一致する、証明書などの資格情報を複数のテナントに対して安全に提供するためのプロセスの一実施例を示す、スイムレーン図の第１の部分である。 本発明の実装形態と一致する、証明書などの資格情報を複数のテナントに対して安全に提供するためのプロセスの一実施例を示す、スイムレーン図の第２の部分である。 本発明の実装形態と一致する、ホスティングシステム及び方法に使用できる、コンピューティングシステムの一実施例を示したブロック図である。 本発明の実装形態と一致する、ＲＳＵを初期プロビジョニングし、かつ追跡するための方法の一実施例を示した図である。 本発明の実装形態と一致する、配備されるＲＳＵを構成するための方法の一実施例を示した図である。 本発明の実装形態と一致する、配備されるＲＳＵ装置に対して非初期のデジタル資産を提供するための方法の一実施例を示した図である。 本発明の実装形態と一致する、地理位置情報を含むアプリケーション証明書などのデジタル資産を、複数のテナントに対して安全に提供するためのプロセスの一実施例を示す、スイムレーン図の第１の部分である。 本発明の実装形態と一致する、地理位置情報を含むアプリケーション証明書などのデジタル資産を、複数のテナントに対して安全に提供するためのプロセスの一実施例を示す、スイムレーン図の第２の部分である。

ここで、本発明の例示的な実装形態を詳細に参照するが、これらの実装形態の実施例を添付の図面に例示している。同一又は同様の部品に言及するために、図面全体を通して可能な限り、同一の参照番号を使用するものとする。

さまざまな実装形態では、組込みコンピュータ制御装置を、その装置内にセキュリティ資産をプロビジョニングすることによって保護することができる。これらのセキュリティ資産としては、たとえば暗号化キー、一意識別子、デジタル証明書、及びセキュリティソフトウェアなどが挙げられる。さらに、これらのセキュリティ資産は、たとえば装置の認証や無線プログラミング（ｏｖｅｒ‐ｔｈｅ‐ａｉｒ ｐｒｏｇｒａｍｍｉｎｇ：ＯＴＡ）ソフトウェアの更新などを行うための安全な通信に使用することができる。

現場で安全かつ正常な動作が確実に行われるようにするために、たとえば車両に使用される電子制御装置（Ｅｌｅｃｔｒｏｎｉｃ Ｃｏｎｔｒｏｌ Ｕｎｉｔｓ：ＥＣＵｓ）などの組込み機器は、セキュリティ資産などのデジタル資産をプロビジョニングすることにより、製造中に正常に初期化される必要がある。デジタル資産としては、さまざまなデジタル証明書、暗号化キー、一意識別子、及びソフトウェアが挙げられる。多くの場合、さまざまなテナントや製造工場向けにこれらのデジタル資産を生成しているＳＣＭＳは地理的に異なる場所にあり、これらは従来方式では、安全でないインターネット通信を介して相互接続されている。したがって、これらのデジタル資産の出所から複数のテナントの装置へと至るエンド・ツー・エンドの安全なチャネルを形成して、悪意のある当事者によって、又は偶然によってこれらのデジタル資産にアクセスされたり、若しくは改変されたりできないようにすることが望ましい。通常、個々の製造工場やテナント（たとえば、クライアント、顧客、加入者）では、別々のＳＣＭＳ構成が必要になる。さまざまな実装形態では、テナントは、会社又はメーカー、ＳＣＭＳのクライアント、あるいはＳＣＭＳの加入者などのエンティティとすることができる。従来方式では、専用ハードウェアを備える別個のＳＣＭＳを、テナントごとに構成する必要がある。したがって、専用のカスタム構成されたＳＣＭＳを使用して、これらのデジタル資産を複数のテナントへと提供することに関連した冗長性及びコストを、最小限に抑えることが望ましい。

以下の説明では、車車間通信及び路車間通信（Ｖ２Ｘ）装置内でプロビジョニングされるセキュリティ資産を参照する。Ｖ２Ｘ装置としては、たとえば車載装置（Ｏｎ Ｂｏａｒｄ Ｕｎｉｔ：ＯＢＵ）、電子制御装置（ＥＣＵ）、及び路側機（ＲＳＵ）が挙げられる。ＯＢＵは、全てとまではいかなくとも、多くの自動運転車に含まれている。ただし、本明細書に記載の実装形態はＶ２Ｘ装置に限定されるものではないので、開示している原理も、他のタイプのコンピュータ制御装置に適用することができる。たとえば、付加的な又は代替的な実装形態では、マルチテナントプロセス及びシステムを使用して、たとえばＣ２Ｘ装置などの他のコンピュータ化装置に対して証明書を提供することができる。たとえば、図４に示すものと同様のＣＭＰ、仮想登録局、ＳＭＳ、及びＳＭＳデータベースコンポーネントを備える拡張ＳＣＭＳは、１つ又はそれ以上のＯＢＵ、ＥＣＵ、及びＲＳＵに対して証明書を提供することができる。さまざまな実装形態では、自動運転車、船艇（たとえば、ボート）、航空機（たとえば、飛行機やドローン）、宇宙船を含む車両や、医療機器、ロボット、無線又は有線通信モジュール、及びＩｏＴ装置にこれらのＯＢＵとＥＣＵとが設置されるように、これらを構成することができる。同様に、交通制御装置（たとえば、交通信号）、路側コンテンツ配信システム、自動料金収受システム、電子サイネージ装置、及びデジタル表示装置（たとえば、電子掲示板）にＲＳＵを設置することができる。

Ｖ２Ｘエコシステムでは、セキュリティ資産（たとえば、登録証明書）を使用して、エンドエンティティ（たとえば、Ｖ２Ｘ装置）を識別し、またこのエンドエンティティが他のセキュリティ資産（たとえば、仮名（pseudonym）証明書及び／又はアプリケーション証明書）をセキュリティ証明書管理システム（ＳＣＭＳ）に要求し、かつ当該システムからこれらを受信することを許可することができる。従来のＸ．５０９証明書とは異なり、Ｖ２Ｘ登録証明書及び仮名証明書には、これらに一致するエンドエンティティの識別情報が含まれておらず、したがって外部のオブザーバはこれらの使用を、特定の車両又は装置と関連付けることができない。また、Ｖ２Ｘ装置で使用されるセキュリティ資産は、当該装置の動作期間中に定期的に変更される。

Ｖ２Ｘ装置の製造中、セキュリティ資産プロビジョニングプロセスが別々の場所で（したがって、別々のタイミングで）行われてもよく、またこれらの場所は、別々の会社（たとえば、ＳＣＭＳのサードパーティの委託製造業者、別々のテナント、顧客、又は加入者など）に属していてもよいし、属していなくてもよい。たとえば、製造要件を満たしやすくしたり、政府の規制に準拠したりするために、初期のセキュリティ資産プロビジョニングプロセスが行われてもよい。たとえば、Ｖ２Ｘ装置のティア１メーカーは、自社のＯＢＵに登録証明書をプロビジョニングし、当該装置が相手先ブランド供給業者（ｏｒｉｇｉｎａｌ ｅｑｕｉｐｍｅｎｔ ｍａｎｕｆａｃｔｕｒｅｒ：ＯＥＭ）の車両に設置された後、仮名証明書及びその他のデータをプロビジョニングして、完全に機能するＯＢＵを形成することができる。

セキュリティ資産プロビジョニングプロセスが別々の場所で行われ得るという事実によって、従前のシステムではその技術的能力を欠いているために対処できないような課題が生じる可能性がある。

たとえば、セキュリティ資産を別々の場所にプロビジョニングするために、一部のシステムでは、当該場所間でセキュリティ資産を送信し合うことができる。ただし、証明書がインストール可能となる前に、まず証明書を要求し、次いでこれが送信される必要があるため、製造中に時間遅延が発生する可能性がある。

その上、従来のＸ．５０９証明書とは異なり、Ｖ２Ｘ登録証明書及び仮名証明書には、これらと一致するエンドエンティティの識別情報が含まれておらず、したがって、とりわけ別々の場所にセキュリティ資産がプロビジョニングされる場合は、正しいセキュリティ資産を正しいＶ２Ｘ装置と照合する際に、別途課題が発生することになる。

また、従来のＳＣＭＳでは、ＳＣＭＳはそれぞれ、特定のＯＢＵ／ＲＳＵ情報（たとえば、構成情報）を正しいセキュリティ資産と共にＶ２Ｘ装置へと配信するように構成されている。したがって、従来のＳＣＭＳは、特定のエンティティ（たとえば、ＳＣＭＳのテナントやクライアント）がカスタム情報を提供したい場合にのみ、その１つの特定のエンティティによって使用され得る。したがって、カスタム情報を提供するエンティティは全て、それぞれが独自のカスタマイズされたＳＣＭＳを必要とすることになり、これには費用がかかり、容易に規模を拡大できない。

本明細書に記載しているように、ＣＭＰ、ＳＭＳ、及び仮想登録局を備えるＳＣＭＳ（総称して、「拡張ＳＣＭＳ」）を含む、マルチステージ型プロビジョニング及びマルチテナント型セキュア・プロビジョニング・システムは、上記の技術的な課題に対処することができる。

拡張ＳＣＭＳは、複数のエンティティ（たとえば、複数のテナント、クライアント、顧客及び加入者）によって使用することができ、各エンティティに対して固有の構成機能をもたらすことができ、また配備されたコンピュータ化装置（たとえば、Ｖ２Ｘ装置又はＣ２Ｘ装置）に対して、エンティティ固有の更新を行うことができる。例示的なエンティティとしては、ティア１メーカー（Ｖ２Ｘ装置又はＣ２Ｘ装置を製造しているエンティティ）、ＯＥＭ（消費者に装置を提供したり、かつ／又は複数のＶ２Ｘ装置又はＣ２Ｘ装置を組み合わせて、大型の製品（たとえば、車両）にしたりしているエンティティ）、及び交通管理センター（ｔｒａｆｆｉｃ ｍａｎａｇｅｍｅｎｔ ｃｅｎｔｅｒ：ＴＭＣ（ＲＳＵを使用又は管理しているエンティティ））が挙げられる。さまざまな実装形態では、エンティティを、ティア１メーカー、ＯＥＭ、及び／又は交通管理センターの組み合わせとすることもできる。

さまざまな実装形態によれば、拡張ＳＣＭＳは、登録時にコンピュータ化装置を特定のテナント（たとえば、クライアント、顧客、加入者）又は配備にリンクすることにより、マルチテナント操作をもたらす機能を有する。

本明細書に記載しているように、拡張ＳＣＭＳは、プロビジョニングの第１の段階でＣＭＰを介して登録証明書をＶ２Ｘ装置に提供し、次いでこのＣＭＰを介した当該装置の識別後に、プロビジョニングの別の段階を実行することにより、セキュリティ資産のマルチステージ型プロビジョニングをもたらすことができる。

さまざまな実装形態では、図４～図６を参照して以下でさらに詳述しているように、拡張ＳＣＭＳは、後の段階で装置を識別するための情報をＳＭＳデータベースに保存することができ、また各装置を、その装置をプロビジョニングしているエンドエンティティとさらに関連付けることができる。さらに、装置に登録証明書がプロビジョニングされた後、当該装置を、初期プロビジョニングが完了したことを示すステータスと関連付けることができる。

たとえば、登録証明書は、装置の製造段階で当該装置にプロビジョニングすることができる（たとえば、ティア１メーカーによって）。この段階で、拡張ＳＣＭＳが装置識別子（たとえば、数字コード又は英数字コード、当該装置のマイクロプロセッサのシリアル番号など）を要求できるので、装置識別子が受信されるまで、登録証明書をプロビジョニングすることができない場合がある。装置識別子を受信すると、拡張ＳＣＭＳは、受信した装置識別子を保存し、この装置識別子を、当該装置用にプロビジョニングされた登録証明書、及び／又は当該装置をプロビジョニングしたエンドエンティティと関連付けることができる。

特定の実装形態では、登録証明書がすでに装置にプロビジョニングされている場合でも、アフターマーケット装置をＳＭＳデータベースに含めることができる。本明細書に記載しているように、アフターマーケット装置は、ティア１メーカーによって製造されておらず、かつ／又は拡張ＳＣＭＳを使用していないエンティティによって製造されている装置とすることができる。アフターマーケット装置がＳＭＳデータベースに追加された場合、このアフターマーケット装置を、拡張ＳＣＭＳによるプロビジョニングができる状態にあることを示すステータスと関連付けることができる。

いくつかの実装形態では、拡張ＳＣＭＳは、当該装置のタイプ及び／又は当該装置の機能を識別することができる場合がある。たとえば、装置のタイプは装置識別子によって、かつ／又は装置にセキュリティ資産をプロビジョニングしているエンドエンティティとの通信を介して、特定することができる。さまざまな実装形態では、装置のタイプを使用して、たとえばプロビジョニングする対象として互換性のあるセキュリティ資産を指定したり、プロビジョニングするセキュリティ資産の数を決定したりすることができる。

たとえば、一部の装置の物理的セキュリティは、他の装置よりも高い場合がある。物理的セキュリティがより高い装置は、盗まれたり、又は侵害されたりする可能性が低くなる。したがって、装置が侵害された場合にセキュリティ資産が開示される可能性が低くなるため、物理的により安全な装置に対しては、より多くの証明書をプロビジョニングすることができる。また、プロビジョニングされたセキュリティ資産を装置が使い果たすと、当該装置は拡張ＳＣＭＳに接続してセキュリティ資産を「補充」（すなわち、より多く取得する）することができるため、物理的に安全でない装置にとっては、証明書の数が少ないほど有利となり得る。プロビジョニングされるセキュリティ資産の数が少ない場合、装置はセキュリティ資産をより頻繁に補充することになる。したがって、装置が侵害された場合、拡張ＳＣＭＳに接続して「補充」するときに、当該装置をシャットダウンしたり、その位置を特定したり、あるいは対応したりすることができる。したがって、装置が補充を受ける頻度が高いほど、侵害される可能性の高い装置に対応する見込みが高くなる。

いくつかの実装形態では、Ｖ２Ｘ装置のプロビジョニングにおける第２の段階は、ＯＥＭで仮名証明書及び／又はアプリケーション証明書がＶ２Ｘ装置にプロビジョニングされたときに（たとえば、車両内の他の装置と組み合わされた後）、行われ得る。この段階で、Ｖ２Ｘ装置から装置識別子を受信することができ、拡張ＳＣＭＳは、この装置識別子を使用してＶ２Ｘ装置を識別し、次いで識別した装置に基づいて（たとえば、従前にプロビジョニングされた登録証明書に基づいてや、当該装置の物理的セキュリティのレベルに基づいてなど）、仮名証明書及びアプリケーション証明書をプロビジョニングすることができる。いくつかの実装形態では、拡張ＳＣＭＳはこの装置識別子に加えて、当該装置が正常に設置されたことを示すテストデータなどの他のデータを、サードパーティからさらに取得することができる。拡張ＳＣＭＳは、装置識別子と正しく設置されたことの確認とに基づいて、その後仮名証明書及び／又はアプリケーション証明書をプロビジョニングすることができる。

本明細書にさらに記載しているように、拡張ＳＣＭＳは、テナント（たとえば、エンドエンティティ）用のＳＭＳ（又はエンティティ管理システム）を設けることにより、またＶ２Ｘエコシステム内の各エンドエンティティに固有の情報を含むローカル・ポリシー・ファイル（ＬＰＦ）を管理することにより、マルチテナント操作をもたらすことができる。たとえば、カスタマイズされたワークフローを作成することができ、加入者管理システム（ｓｕｂｓｃｒｉｂｅｒ ｍａｎａｇｅｍｅｎｔ ｓｙｓｔｅｍ：ＳＭＳ、本明細書ではエンティティ管理システムとも呼ぶ）を介して、エンドエンティティによってカスタマイズされた構成を管理することができる。ＳＭＳは、テナント及び当該テナントに関連する情報を管理するように動作可能であり、この情報の一部は、当該テナントのＯＢＵ、ＲＳＵ、及びＴＭＣ装置（ＴＭＣ ｄｅｖｉｃｅｓ：ＴＭＣＤ）に送信されてもよい。

特定の実装形態では、複数のテナントのうちの各テナントの構成情報を、そのテナントのＬＰＦに要素又はデータフィールドとして保存することができる。つまり、ＬＰＦはテナント固有のデータを保存している。たとえば、ＬＰＦは、テナントと関連付けられたコンピュータ化装置のタイプ又はクラスに関連する情報を保存しているが、証明書を必要とする特定のエンドエンティティ又は特定のコンピュータ化装置の情報は保存していない。たとえば、これらの要素は、初期プロビジョニング量（たとえば、テナントの装置に初期プロビジョニングする証明書の量）、暗号化キー及び証明書、リンケージ認証局（すなわち、テナントが使用するリンケージ認証局を特定した情報）、並びに当該テナントにバックエンドのサービス品質（Ｑｕａｌｉｔｙ ｏｆ Ｓｅｒｖｉｃｅ：ＱｏＳ）レベルをもたらすために使用される専用ハードウェアの有無の表示などを含み得るが、これらに限定されない。さまざまな実装形態では、テナントのＬＰＦに示される初期プロビジョニング量は、特定の種類の証明書（たとえば、１０，０００通の仮名証明書）の数によって、又は期間（たとえば、６か月にわたる証明書の供給）によって示すことができる。

いくつかの実装形態によれば、所定のテナントのＬＰＦは、証明書の有効期間（たとえば、証明書有効期限）、当該エンティティが所有できる証明書の数、証明書のオーバーラップ期間、証明書が将来有効になる期間（たとえば、初期プロビジョニングの場合、将来のどの時点まで証明書が有効となるか）、及び当該テナントが証明書の補充をいつ要求する必要があるのかを示す指標（たとえば証明書を使用する場合、エンドエンティティは、追加の証明書を要求する前にどのくらいの期間待機することになるのか）のうちの１つ又はそれ以上を保存する。

カスタマイズされたワークフロー及びカスタマイズされた構成を使用して、ＬＰＦをカスタマイズすることができ、またこれらのＬＰＦをＶ２Ｘ装置に対して送信して、Ｖ２Ｘ装置の動作及び／又は構成をカスタマイズすることができる。たとえば、カスタマイズされたワークフロー及び／又はカスタマイズされた構成により、受信して保存する必要のある情報や、セキュリティ資産のプロビジョニング方法（たとえば、使用すべき登録局、セキュリティ資産に追加すべきカスタム情報、装置にプロビジョニングすべきセキュリティ資産のカスタム数量など）を決定することができる。

さまざまな実装形態では、ＬＰＦは、たとえばＶ２Ｘ装置など、証明書を必要とするコンピュータ化装置にインストールすることができる。これにより、エンドエンティティはＶ２Ｘ装置によって実行されるプロセスをカスタマイズしたり、かつ／又はＶ２Ｘ装置用にカスタマイズされたインターフェースを設けたりすることができる。たとえば、ＬＰＦはＶ２Ｘ装置に対し、特定のエンティティのサーバ（たとえば、カスタムのユニフォーム・リソース・ロケータ（Ｕｎｉｆｏｒｍ Ｒｅｓｏｕｒｃｅ Ｌｏｃａｔｏｒ：ＵＲＬ）経由で）及び／又は特定のＳＣＭＳに接続するように指示することができる。別の実施例として、ＬＰＦは、Ｖ２Ｘ装置に限られた量のセキュリティ資産をダウンロードさせたり、あるいはＶ２Ｘ装置によってダウンロードされる証明書の有効期間を定義させたり（たとえば、３年ではなく１週間）することができる。

いくつかの実装形態では、ＬＰＦは、セキュリティ資産がプロビジョニングされる装置のタイプに基づいて、カスタマイズされたワークフロー及び／又はカスタマイズされた構成をさらに含み得る。たとえば、エンティティ管理システムを使用すると、エンドエンティティはさまざまなタイプの装置にプロビジョニングすべきセキュリティ資産の数を指定でき、カスタマイズされた構成をエンティティのＬＰＦに保存でき、また装置がセキュリティ資産を要求した場合は、このＬＰＦを使用して、プロビジョニングすべきセキュリティ資産の数を決定することができる。

拡張ＳＣＭＳで実行できる追加の機能には、たとえばＶ２Ｘ装置が接続できる仮想登録局を設けること、ＳＣＭＳで、各エンドエンティティのカスタムアカウントを作成することと、ＳＣＭＳで、新規のＶ２Ｘ装置のタイプを形成すること、運輸省（Ｄｅｐａｒｔｍｅｎｔ ｏｆ Ｔｒａｎｓｐｏｒｔａｔｉｏｎ：ＤＯＴ）又は承認されているその他の認定機関として装置のタイプを検証すること、登録又はその他のタイプの公開キー（たとえば、署名キー／暗号化キー、高度暗号化標準（Ａｄｖａｎｃｅｄ Ｅｎｃｒｙｐｔｉｏｎ Ｓｔａｎｄａｒｄ：ＡＥＳ）バタフライキー拡張値など）を取得すること、アフターマーケット装置の公開キー、ＬＰＦ、及びローカル証明書チェーンファイル（Ｌｏｃａｌ Ｃｅｒｔｉｆｉｃａｔｅ Ｃｈａｉｎ Ｆｉｌｅｓ：ＬＣＣＦ）を返送すること、フィールド装置の最終プログラミング用の登録局ＵＲＬを返送すること、装置識別子に基づいて装置を追跡すること、及びアフターマーケット装置をプロビジョニングすることなどが含まれる。さまざまな実装形態では、ＬＣＣＦを、そのエンドエンティティに公開するために登録局によって作成される、バイナリエンコードされた証明書の配列とすることができる。

図１は、開示している実装形態と一致する、セキュア・プロビジョニング・システムで実行される方法の一実施例を示した図である。例示的な本方法は、拡張ＳＣＭＳのエンティティ管理システムでエンティティのカスタムアカウントが作成される１００で開始することができる。さらに、いくつかの実装形態では、図１に関して記載したものを例示するために、当該エンドエンティティを、Ｖ２Ｘ装置のティア１メーカーとすることができる。

いくつかの実装形態では、この拡張ＳＣＭＳは、エンドエンティティからの要求を受信したことに基づいて、当該エンドエンティティのアカウントを作成することができる。当該アカウントの作成を求める要求には、たとえば、エンドエンティティの識別子、エンドエンティティに関する情報、エンドエンティティのタイプ（たとえば、ティア１メーカー）、エンドエンティティと関連付けられたセキュリティ資産などを含めることができる。

１１０では、拡張ＳＣＭＳは、この拡張ＳＣＭＳのＣＭＰにおいて装置のタイプを登録することができる。たとえば、装置のタイプの登録を求める要求は、エンドエンティティからそれらのアカウント経由で受信したり、拡張ＳＣＭＳの管理者から受信したりすることができる。いくつかの実装形態では、この装置のタイプの登録を求める要求は、当該装置のタイプの識別子又は当該装置のタイプと関連付けられたセキュリティ資産を含み得る。拡張ＳＣＭＳは、装置のタイプの識別子を、たとえばＳＭＳデータベースなどに保存することで、装置のタイプを登録することができる。

１２０では、拡張ＳＣＭＳは、当該装置のタイプが認定機関（たとえば、ＤＯＴ）によって承認済みであるかどうかを確認することができる。たとえば、本ＳＣＭＳは、認定機関と関連付けられたサーバに識別子及び／又はセキュリティ資産を送信して検証を要求したり、かつ／又は識別子及び／又はセキュリティ資産を、ＳＭＳデータベースに保存されている承認済み装置のタイプのリストと照合したりすることができる。次いで、本ＳＣＭＳは、当該装置のタイプが検証されたかどうかの表示を、たとえばＳＭＳデータベースに保存することができる。

１３０で、本ＳＣＭＳは、装置の公開キー（たとえば、登録証明書公開キー、署名キー、暗号化キー、及びＡＥＳバタフライキー拡張値など）を取得し、次いで当該装置の識別子を取得又は生成することができる。たとえば、これらの公開キーを装置から受信するか、又はエンドエンティティがエンティティ管理システムを介してアカウントにアクセスし、これらの公開キーを入力したり、かつ／又は識別子を入力したりすることができる。装置の公開キー及び／又は識別子は、ＳＭＳデータベースに保存することができる。

１４０では、拡張ＳＣＭＳは、１３０で取得した公開キーに基づいて、登録証明書を装置にプロビジョニングするエンドエンティティ及び／又は装置自体に返送することができる。いくつかの実装形態では、拡張ＳＣＭＳは、最終プログラミング用の登録局ＵＲＬ及び特定の構成データを装置に返送することもできる。たとえば、登録局ＵＲＬはエンドエンティティに固有であってもよく、かつ／又は（エンティティ管理システムを介して）エンドエンティティによってカスタマイズされてもよい。別の実施例として、ＵＲＬと関連付けられた登録局を、拡張ＳＣＭＳのうちの１つのＳＣＭＳと関連付けられた仮想登録局とすることができる。

さまざまな実装形態では、拡張ＳＣＭＳは、証明書を必要としているコンピュータ化装置から公開キーを受信する。たとえば、拡張ＳＣＭＳは登録公開キーのみを受信してもよく、又は拡張ＳＣＭＳは、登録公開キー及び他のアプリケーション公開キー／仮名公開キーを受信してもよい。拡張ＳＣＭＳは、装置から受信される１つ又はそれ以上の公開キーに応じて、登録証明書（ＬＰＦなどの他のデータを含む）のみを返送するか、又は拡張ＳＣＭＳは、アプリケーション証明書／仮名証明書も同様に返送してもよい。コンピュータ化装置がアフターマーケット装置である特定の実装形態では、拡張ＳＣＭＳはアフターマーケット装置の公開キーを受信してもよく、次いで公開キー、ＬＰＦ、ＬＣＣＦ、及びその他のデータをアフターマーケット装置に返送してもよい。特定の実装形態によれば、コンピュータ化装置のＬＰＦ及びＬＣＣＦのダウンロードは、Ｒｅｐｒｅｓｅｎｔａｔｉｏｎａｌ Ｓｔａｔｅ Ｔｒａｎｓｆｅｒ（ＲＥＳＴ）サービス呼び出しを通じて行われ、このダウンロードには登録証明書（たとえば、署名付きメッセージ）は含まれない。他の全てのＲＥＳＴサービス呼び出しの場合は、拡張ＳＣＭＳのＳＣＭＳホストが検索を実行して、装置の特定の登録証明書が特定のテナントによって所有されているか、又はこれと関連付けられているかどうかを確認することができる。つまり、これらのサービス呼び出しの暗号化検証を行って、これらが許可されているかどうかを確認することができる。ＬＰＦ及びＬＣＣＦのダウンロードの場合、ＵＲＬのテナント識別子（ＩＤ）、ルート、ＨＴＴＰヘッダ、又はその他のメカニズムを使用して、コンピュータ化装置に提供すべきファイルを決定する。ＬＣＣＦは、拡張ＳＣＭＳの全てのテナント（すなわち、含まれる全ての証明書）で共通している可能性があるが、ＬＰＦはテナントごとに異なっている場合がある。他のサービス呼び出しの場合、強力な暗号化リンクにより、単一の登録局（たとえば、仮想登録局）又はＳＣＭＳのバックエンドコンポーネントの単一のセットが別々のポリシーを処理していても、コンピュータ化装置及び証明書の管理が確実に安全に行われるようにしている。

１５０では、拡張ＳＣＭＳは、当該装置の状態を初期プロビジョニング済みと設定し、あるいは当該装置がアフターマーケット装置である場合はプロビジョニング済みと設定する（たとえば、ＳＭＳデータベース内に）ことができ、また、図２に関して以下に記載しているように、プロビジョニングの後続の段階でＯＥＭ又は交通管理センターによって当該装置がさらにプロビジョニングされる場合に備えて、当該装置を追跡することができる。

図２は、開示している実装形態と一致する、セキュア・プロビジョニング・システムで実行される方法の一実施例を示した図である。例示的な方法は、拡張ＳＣＭＳでエンドエンティティのカスタムアカウントが作成される２００で開始することができる。さまざまな実装形態では、このカスタムアカウントを、拡張ＳＣＭＳのエンティティ管理システムを介して作成し、かつ／又は管理することができる。さらに、いくつかの実装形態では、図２に関して記載したものを例示するために、当該エンティティを、Ｖ２Ｘ装置を運用し、かつ／又は１つ又はそれ以上のＶ２Ｘ装置を搭載した製品を運用しているＯＥＭ又は交通管理センターとすることができる。他の実装形態では、ティア１メーカーが部分的に、又は完全にプロビジョニングされた装置をＯＥＭに対して出荷している場合、当該エンティティをＶ２Ｘ装置のティア１メーカーとすることができる。また、当該エンドエンティティは、ＵＳＤＯＴ又はその他の認定機関であってもよく、また当該エンティティを使用して、証明書が発行され得る承認済み装置のデータベースを作成し、かつ管理してもよい。

いくつかの実装形態では、この拡張ＳＣＭＳは、エンドエンティティからの要求を受信したことに基づいて、当該エンドエンティティのアカウントを作成することができる。当該アカウントの作成を求める要求には、たとえばエンドエンティティの識別子、エンドエンティティに関する情報、エンドエンティティのタイプ（たとえば、ＯＥＭ又は交通管理センター）、エンドエンティティと関連付けられたセキュリティ資産などを含めることができる。

いくつかの実装形態では、エンドエンティティのアカウントを作成することは、当該エンティティの１つ又はそれ以上のデフォルトＬＰＦを生成することを含み得る。たとえば、個々のデフォルトＬＰＦを個々の装置のタイプと関連付けることができる。

２１０では、拡張ＳＣＭＳは、ＬＰＦを構成することを求める要求を受信することができる。たとえば、このＬＰＦを構成することを求める要求は、特定の装置のタイプのワークフローを構成することを求める要求、登録局のＵＲＬの設定を求める要求、地理的制限の変更又は設定を求める要求（たとえば、ＲＳＵが作動できる地理座標）、及び補充ポリシーを構成することを求める要求（たとえば、プロビジョニングすべきセキュリティ資産の数を変更する、承認されるセキュリティ資産のタイプを設定するなど）などとすることができる。いくつかの実装形態では、補充ポリシーを使用して、以下の図３に関して記載しているように、補充要求への応答方法を決定することができる。別の実装形態では、装置のタイプに基づいて、あるいは装置と関連付けられたアプリケーション証明書に基づいて、かつ／又は当該装置の位置に基づいて、補充ポリシーを設定することができる。

２２０では、本ＳＣＭＳはＣＭＰ及びＶ２Ｘ装置の識別子を介して、Ｖ２Ｘ装置から登録証明書のハッシュ又は初期証明書要求のハッシュを受信することができる。いくつかの実装形態では、このハッシュと識別子とを、２００でエンドエンティティ用に作成されたアカウントを介して受信することができる。

いくつかの実装形態では、この登録証明書を、上記の１４０で拡張ＳＣＭＳによって当該装置に返送される登録証明書とすることができる。他の実装形態では、当該装置をアフターマーケット装置とすることができ、またこの場合登録証明書は、拡張ＳＣＭＳによって提供されなかったものであってもよい。

いくつかの実装態様では、当該識別子を、上記の１４０で拡張ＳＣＭＳによって受信され、又は生成された識別子とすることができ、また拡張ＳＣＭＳはＶ２Ｘ装置の識別子に基づいて、Ｖ２Ｘ装置及び／又はタイプＶ２Ｘ装置を識別することができる。

２３０では、拡張ＳＣＭＳは、公開キーのバンドル、ＬＰＦ、及びＬＣＣＦを装置に返送することができる。いくつかの実装形態では、装置に返送すべき情報を、２２０で装置を識別したことに基づいて決定することができる。たとえば、ここで返送されるＬＰＦは、Ｖ２Ｘ装置と関連付けられたエンドエンティティによって選択され、かつ／又はカスタマイズされた装置のタイプのＬＰＦと一致している可能性がある。Ｖ２Ｘ装置に情報を返送したことに基づいて、拡張ＳＣＭＳは、当該装置の状態をプロビジョニング済み、又は部分的にプロビジョニング済みに設定することができる。さまざまな実装形態では、プロビジョニング済みの装置の状態とは、装置が自身の登録証明書の仮名／アプリケーション証明書、並びに、たとえばＬＰＦ及びＬＣＣＦなどの他のファイルを有することを示すものである。部分的にプロビジョニング済みの装置の状態を使用して、コンピュータ化装置がこのデータの一部のみを有することを示すことができる。いくつかの実装形態では、拡張ＳＣＭＳは、この拡張ＳＣＭＳ及び／又は各エンドエンティティと関連付けられたプロビジョニング済み装置の数をカウントしていてもよく、また当該装置の状態をプロビジョニング済みに設定したことに基づいて、そのカウントを更新してもよい。たとえば、拡張ＳＣＭＳは、プロビジョニング済み装置の数を使用して、プロビジョニング済み装置の数が所定の生産実行サイズを超えていないかどうかを確認することができる。したがって、拡張ＳＣＭＳは、許可されない過剰生産が発生していないかどうかを確認することができる。

２４０では、拡張ＳＣＭＳは、配備された装置の管理を求める要求を受信することができる。いくつかの実装形態では、この配備された装置の管理を求める要求は、当該装置が配備された後にＬＰＦを構成することを求める要求とすることができる。たとえば、このＬＰＦを構成することを求める要求を、地理的制限の変更又は設定を求める要求、プロビジョニングすべきセキュリティ資産の数の変更を求める要求などとすることができる。ＬＰＦが更新された後、拡張ＳＣＭＳは、更新済みのＬＰＦを適切な装置に、当該装置が次にこの拡張ＳＣＭＳに接続するときに送信することができる。たとえば、図３に関して記載しているように、当該装置は拡張ＳＣＭＳに接続して、セキュリティ資産の補充を要求してもよい。

図３は、開示している実装形態と一致する、セキュア・プロビジョニング・システムで実行される方法の一実施例を示した図である。例示的な方法は、仮ＩＤ初期プロビジョニング要求のハッシュが拡張ＳＣＭＳで受信される３００で開始することができる。さまざまな実装形態では、仮ＩＤ初期プロビジョニング要求のハッシュは、拡張ＳＣＭＳを介してプロビジョニングされたＶ２Ｘ装置から、又は拡張ＳＣＭＳを介してプロビジョニングされなかったアフターマーケットＶ２Ｘ装置から受信することができる。

いくつかの実装形態では、仮ＩＤ初期プロビジョニング要求のハッシュを、Ｖ２Ｘ装置でのセキュリティ資産の補充を求める要求の一部として含めることができる。

別の実装形態では、コンテンツ配信ネットワーク（たとえば、以下で述べる図４のコンテンツ配信ネットワーク４１２を参照のこと）を、セキュア・プロビジョニング・システムと関連付けることができる。このコンテンツ配信ネットワークは、セキュリティ資産を保存し、かつ／又は取得できる装置の分散ネットワークを含み得、また、Ｖ２Ｘ装置が、これらＶ２Ｘ装置の近傍に物理的に接近している装置からセキュリティ資産を補充できるようにすることができる（たとえば、ネットワーク遅延を低減するために）。

３１０で、拡張ＳＣＭＳは、当該装置が承認済みであるかどうかを確認することができる。たとえば、拡張ＳＣＭＳは、Ｖ２Ｘ装置と関連付けられたエンドエンティティのアカウントと関連付けられた情報にアクセスして、当該装置が承認済みであり、またアクティブステータスであるかどうかを判定することができる。図３に示すように、３１０で、コンピュータ化装置が承認済みであるかどうかを確認することができる。３１０で、コンピュータ化装置が承認されていない（たとえば、盗難、誤動作、非アクティブなど）場合、その装置は補充を拒否されることになる。３１０で当該装置が承認済みであるかどうかを確認することにより、エコシステムにおけるコンピュータ化装置の正常かつ承認された動作に関するセキュリティ意図が保証される。拡張ＳＣＭＳは、非承認の装置に対して証明書を提供することはない。支払いの失敗、侵害、ステータスの失効などにより、装置が非承認となる場合がある。

さまざまな実装形態では、エンドエンティティは、このエンドエンティティと関連付けられたＶ２Ｘ装置のステータスを、アクティブと非アクティブとの間で変更できる場合がある。たとえば、Ｖ２Ｘ装置が盗難又は侵害されたものであると報告された場合、当該エンドエンティティはＶ２Ｘ装置のステータスをアクティブから非アクティブへと変更してもよい。

３２０でＶ２Ｘ装置がアクティブであると確認された場合、拡張ＳＣＭＳは、３３０でセキュリティ資産の補充を行うことができる。いくつかの実装形態では、本ＳＣＭＳは、Ｖ２Ｘ装置と関連付けられたエンドエンティティによって設定された補充ポリシーに基づいて、セキュリティ資産の補充を行うことができる。たとえば、エンドエンティティは、Ｖ２Ｘ装置にプロビジョニングすべきセキュリティ資産の数を指定したり、かつ／又は上記のように、Ｖ２Ｘ装置にプロビジョニングを許可すべきセキュリティ資産のタイプを指定したりすることができる。さらに、いくつかの実装形態では、拡張ＳＣＭＳは必要に応じて、更新済みのＬＰＦをＶ２Ｘ装置に提供することができる。別の実装形態では、拡張ＳＣＭＳは、当該Ｖ２Ｘ装置に物理的に接近している装置を特定し、またその接近中の装置から補充を得るように当該Ｖ２Ｘ装置に指示することにより、コンテンツ配信ネットワークを介してセキュリティ資産の補充を得るように、当該Ｖ２Ｘ装置に指示することができる。

３２０でＶ２Ｘ装置がアクティブであると確認されなかった場合、拡張ＳＣＭＳは３４０で、セキュリティ資産の補充を行わなくてもよいが、その代わりに、当該装置と関連付けられたエンドエンティティによって設定された、未検証のカスタムワークフローに従うことができる（たとえば、ＣＭＰを介して）。たとえば、拡張ＳＣＭＳはＶ２Ｘ装置に対してシャットダウン要求を送信してもよいし、当該装置から全地球測位システム（ｇｌｏｂａｌ ｐｏｓｉｔｉｏｎｉｎｇ ｓｙｓｔｅｍ：ＧＰＳ）座標を取得してもよいし、またＶ２Ｘ装置に対して更新済みＬＰＦを提供するなどしてもよい。

いくつかの実装形態では、本明細書に記載している機能により、Ｖ２Ｘ装置の無許可のプロビジョニング又は不正なプロビジョニングを防止することができる。たとえば、公共安全車両は、Ｖ２Ｘエコシステムにおいて、交差点の交通信号を制御するための独自の機能を備えている場合がある。上記の機能により、Ｖ２Ｘエコシステムの正常動作を全体的に維持するこれらの機能を備えていることを示す証明書が、公共安全車両に対してのみ確実に発行されるようにすることができる。

別の実装形態では、拡張ＳＣＭＳは再登録機能を提供してもよい。場合によっては、フィールド装置は、工場出荷時の「デフォルト」のプロビジョニングにリセットする必要があり、このプロビジョニングでは、当初プロビジョニングされた全てのキー及びデータが消去される。このような装置を再登録するために、拡張ＳＣＭＳは、マルチステージプロセスを使用してこの装置を安全に再プロビジョニングし、これによって、非承認の装置が再登録されるのを防止することができる。たとえば、拡張ＳＣＭＳは、ＯＥＭの修理工場など、既知のエンドロケーションへのセキュア通信パスを確立する。相互認証済みのトランスポート層セキュリティを使用して、このようなセキュア通信パスを確立することができる。拡張ＳＣＭＳは、次いで装置のマイクロプロセッサのシリアル番号又はその他の永久識別子が、新規の登録キー証明書署名要求と共に当該装置から取得されるように要求することができる。次いで拡張ＳＣＭＳは、この永久識別子を使用して従前に装置をプロビジョニングしたかどうかを確認することができる。このことを確認できた場合、拡張ＳＣＭＳは、ＬＰＦなどの他の装置プロビジョニング情報を含む登録証明書を返送する。拡張ＣＭＳは、当該装置が再登録されたことを示す装置の状態記録を保持することができる。当該装置は、次いでＳＣＭＳプロトコルを使用して、仮名／アプリケーション証明書バンドルを要求することができる。拡張ＳＣＭＳの構成設定に基づき、本ＳＣＭＳはその柔軟なプロビジョニングメカニズムを使用して、受信が許可されているものだけを当該装置にダウンロードする。これにより、ＯＥＭ及び／又はその修理現場に照会して、再登録プロビジョニングが許可されているかどうかを確認することができる。この追加の確認は、不正行為が発生している可能性がある場合、又は重要なエンティティ（たとえば、交差点の信号を制御する特別な機能を備えるパトカーなど）を再登録する場合に実行してもよい。

例示的なＶ２Ｘシステムを使用して、これらの新たな機能を例示してきたが、これらの機能は、たとえば欧州Ｃ‐ＩＴＳの車両間通信（Ｃ２Ｃ）や道路・車両間通信（Ｃ２Ｉ、Ｃ２Ｘ）システム、又はインテリジェント医療機器などの他のＩｏＴ装置で同様に使用してもよい。

図４は、開示している実装形態と一致する、セキュア・プロビジョニング・システム４００の一実施例を示した図である。セキュア・プロビジョニング・システム４００は、仮想登録局を含むＳＣＭＳホスト４０８と、ＣＭＳ管理ポータル（ＣＭＰ）４０２と、加入者管理システム（ＳＭＳ）４０４と、ＳＭＳデータベース４０６と、製造中の１つ又はそれ以上のコンピュータ化装置４１０と、コンテンツ配信ネットワーク４１２と、１つ又はそれ以上の配備された装置４１４とを備え得る。いくつかの実装形態では、ＳＭＳ４０４は、加入者エンティティの構成情報を管理するためのエンティティ管理システムとして機能している。さまざまな実装形態では、ＳＭＳ４０４は、テナント及び当該テナントに関連する情報を管理するように動作可能であり、その情報の一部は、当該テナントのＯＢＵ、ＲＳＵ、及びＴＭＣ装置へと送信されてもよい。図４に示すように、配備された装置４１４は、ＯＢＵを備えるコンピュータ化装置（たとえば、Ｖ２Ｘ装置又はＣ２Ｘ装置を備える車両）及び／又は１つ又はそれ以上のＲＳＵを含み得る。図４の実施例では、ＣＭＰ４０２は加入者ポータルとして機能することができる。特定の実装形態では、ＣＭＰ４０２は、テナント（たとえば、クライアント）からテナント情報を受信し、次いでＣＭＰ４０２は、このテナントからのパラメータをＬＰＦに保存する。そのような実装形態によれば、テナントごとに別個のＬＰＦが生成され、必要に応じて各テナントがＣＭＰ４０２を使用して、セキュア・プロビジョニング・システム４００のテナントそれぞれのバージョンを構成する。たとえば、テナントは、証明書の有効期間（たとえば、証明書有効期限）、当該テナントの装置が所有できる証明書の数、当該テナントの証明書のオーバーラップ期間、当該テナントの証明書が将来有効になる期間（たとえば、当該テナントの装置における初期プロビジョニングの場合、将来のどの時点まで証明書が有効となるか）、及び当該テナントが証明書の補充をいつ要求する必要があるのかを示す指標（たとえば証明書を使用する場合、エンドエンティティは、追加の証明書を要求する前にどのくらいの期間待機することになるのか）を構成している、ＬＰＦに保存すべきパラメータを指定することができる。

引き続き図４を参照すると、セキュア・プロビジョニング・システム４００のコンポーネントは、ＳＭＳ４０４と、仮想登録局を含むＳＣＭＳホスト４０８と、ＣＭＰ４０２と、ＳＭＳデータベース４０６とを備え得る、拡張ＳＣＭＳを形成している。いくつかの実装形態では、ＣＭＰ４０２、ＳＭＳ４０４（たとえば、エンティティ管理システム）、ＳＭＳデータベース４０６、及び仮想登録局を含むＳＣＭＳホスト４０８のそれぞれを、それぞれが１つ又はそれ以上のプロセッサ、及び１つ又はそれ以上のコンピュータで読み取り可能な非一時的媒体などを含む、別個の装置とすることができる。代替的な又は付加的な実装形態では、ＣＭＰ４０２、ＳＭＳ４０４、ＳＭＳデータベース４０６、及び仮想登録局を含むＳＣＭＳホスト４０８のうちの２つ以上を、単一のコンピューティング装置へと統合することができる。図４に示すように、セキュア・プロビジョニング・システム４００のコンポーネントは、セキュア・プロビジョニング・システム４００の他のコンポーネントに通信可能に結合された。

さまざまな実装形態では、仮想登録局を含むＳＣＭＳホスト４０８は、セキュリティ資産を提供し、また上記のようなセキュリティ資産のハッシュを検証してもよい。別の実装形態では、ＣＭＰ４０２は、エンティティ（たとえば、テナント、加入者、クライアント）及びコンピュータ化装置（たとえば、Ｖ２Ｘ装置又はＣ２Ｘ装置）が拡張ＳＣＭＳと通信するためのインターフェースを提供してもよい。たとえば、ＣＭＰ４０２は、複数のテナント、及びこれら複数のテナントのコンピュータ化装置がＳＣＭＳホスト４０８と交信するために使用できる、通信インターフェースを提供することができる。このような通信は、たとえば、プロビジョニング要求、ＨＴＴＰＳ ＰＯＳＴ要求、要求確認、要求結果、バッチ証明書のダウンロード、及びその他のメッセージを含み得る。代替的な又は付加的な実装形態では、ＳＭＳ４０４は、拡張ＳＣＭＳを使用するさまざまなエンティティ（たとえば、テナント、加入者、クライアント、顧客）のアカウント（たとえば、アカウント情報）を保存し、かつ／又は管理できるエンティティ管理システムとして機能する。さらに別の実装形態では、ＳＭＳデータベース４０６は、拡張ＳＣＭＳに関する情報を保存してもよい。たとえば、ＳＭＳデータベース４０６は、後の段階でコンピュータ化装置を識別するための情報を保存でき、また各コンピュータ化装置を、このコンピュータ化装置をプロビジョニングするエンドエンティティ（たとえば、テナント）とさらに関連付けることができる。

図４にさらに示すように、製造中の装置４１０は、（上記のような）ティア１メーカーと現在関連付けられているＶ２Ｘ装置又はＣ２Ｘ装置を表すことができ、また配備された車両及びＲＳＵは、ＯＥＭ及び／又は交通管理センターと現在関連付けられている装置を表すことができる。

図４に示す例示的な実装形態では、コンテンツ配信ネットワーク４１２は、セキュア・プロビジョニング・システム４００のコンポーネントとするか、又はこれと関連付けることができる。コンテンツ配信ネットワーク４１２は、セキュリティ資産を保存し、かつ／又は取得することができる装置の分散ネットワークを含み得、また配備された装置４１４が、これら配備された装置４１４の近傍に物理的に接近している装置からセキュリティ資産を補充できるようにすることができる（たとえば、ネットワーク遅延を低減するために）。たとえば、配備されたＶ２Ｘ装置は、コンテンツ配信ネットワーク４１２を介して通信することにより、近傍の装置からの証明書を補充することができる。

図５は、本発明の実装形態と一致する、セキュア・プロビジョニング・システムのマルチテナント（たとえば、テナントＡ、テナントＢ、及びテナントＮ）に対応している、コンピュータ化装置５０２、５０４、５０６を示した図である。さまざまな実装形態によれば、拡張ＳＣＭＳは、登録時にコンピュータ化装置を特定のテナント（たとえば、クライアント、顧客、及び加入者）又は配備にリンクすることにより、マルチテナント操作をもたらす機能を有する。

図５の実施例では、ｎ個のテナントグループがあり、また拡張ＳＣＭＳは装置５０２をテナントＡにリンクでき、装置５０４をテナントＢにリンクでき、装置５０６をｎ個のテナントグループの最後のｎ番目のテナント（すなわち、テナントｎ）にリンクすることができる。図５に示すように、装置５０２、５０４、５０６をそれらが対応しているテナントにリンクすることは、装置５０２、５０４、５０６が登録局にアクセスしてテナント識別子（テナントＩＤ）を特定するために使用する、それぞれのネットワークアドレス、パス、又はＵＲＬを解析することによって実行され得る。図５の実施例では、ＵＲＬ５０３は、ＵＲＬ５０３に追加されたテナントＡのテナントＩＤを含み、ＵＲＬ５０５は、テナントＢのテナントＩＤを含み、ＵＲＬ５０７は、テナントｎのテナントＩＤを含む。これらのＵＲＬ５０３、５０５、５０７は、コンピュータ化装置５０２、５０４、５０６が使用し、これによって拡張ＳＣＭＳの登録局にアクセスすることができる。代替的な又は付加的な実装形態では、追加されたか、あるいはＵＲＬ５０３、５０５、５０７で示されているテナントＩＤを含めることにより、登録時に装置５０２、５０４、５０６に対してテナントのテナントＩＤを提供することができる。他の代替的な又は付加的な実装形態では、テナントのテナントＩＤを、登録時に新規のファイルで装置（たとえば、装置５０２）に提供することができ、その際当該装置は、たとえば「ＳＣＭＳテナント」ヘッダ要素などの新規のＨＴＴＰヘッダ要素にテナントＩＤを追加する。さまざまな実装形態によれば、テナントＩＤなどのテナント情報をメッセージ内で暗号化して、これにより、特定の装置と関連付けられたテナントの識別情報を保護することができる。

図６は、本発明の実装形態と一致する、証明書管理システム（ＣＭＳ）管理ポータル（ＣＭＰ）６０２と、ＳＭＳ６０４と、ＳＭＳデータベース６０６とを備える、セキュア・プロビジョニング・システム内の例示的なワークフロー６００を示した図である。
さまざまな実装形態によれば、テナントはＣＭＰ６０２を介して登録される。ＣＭＰ６０２内で、装置所有者（たとえば、図５を参照して上述した装置５０２、５０４、５０６のうちの１つの所有者）は、アカウント登録装置を設定し、装置の証明書を送信し、次いでＣＭＰ６０２によってテナントＩＤを付与される。

例示的なワークフロー６００は、ＣＭＰ６０２に新規の顧客情報（たとえば、テナント情報又は加入者情報）を登録することを含む。ワークフロー６００は、テナントの装置、当該装置のターゲット用途（たとえば、当該テナントのコンピュータ化装置の意図された用途）、及び証明書を提供するテナントを識別することをさらに含む。この情報は、次いで認証を行うためにテナントからＣＭＰ６０２へと送信される。ＣＭＰ６０２で帯域外認証が行われると、次いでテナントは、生成されたテナントＩＤ及びアカウント情報を受信する。テナントＩＤ及びそのテナントのアカウント情報をＳＭＳデータベース６０６に保存することでき、その後、必要に応じてＣＭＰ６０２とＳＭＳ６０４とがこれらをＳＭＳデータベース６０６から検索取得することができる。

図６では、ＣＭＰ６０２を、テナントのＳＬＡ詳細を受信し、かつ構成するように動作可能とすることができる。いくつかの実装形態では、ＣＭＰ６０２を、テナントが要求する、特定のカスタマイズのビジネス要件に関する詳細を構成するようにさらに動作可能とすることもできる。たとえば、テナントは、証明書作成のためのハードウェアの分離（たとえば、以下に記載している、図７の分離され、かつ独立しているＳＣＭＳのバックエンドコンポーネント７２４のセットを参照のこと）、暗号化計算のための暗号分離、機密計算のためのハードウェア・セキュリティ・モジュール（ｈａｒｄｗａｒｅ ｓｅｃｕｒｉｔｙ ｍｏｄｕｌｅ：ＨＳＭ）の分離、証明書認証局下での一意の証明書チェーン、１週間あたりの予想使用量、ローカルポリシーのパラメータ（たとえば、ＬＰＦなどからの）、及び当該テナントの他のＳＬＡ詳細を当該テナントが要求しているかどうかを、ＣＭＰ６０２に示すことができる。ワークフロー６００では、ＣＭＰ６０２はこれらのＳＬＡ詳細をＳＭＳデータベース６０６に送信してこれに保存し、次いでＳＭＳ６０４に通知して、契約及び決済業務を実行させる。さまざまな実装形態では、ＳＭＳ６０４は、テナント及び当該テナントに関連する情報を管理するように構成されており、その情報の一部はＳＭＳデータベース６０６に保存され、かつ当該テナントのＯＢＵ、ＲＳＵ、及びＴＭＣ装置へと送信されてもよい。新規のテナントの構成及びサービスレベルに応じて、ＳＣＭＳのバックエンドサービスを形成することができ、また当該テナントのニーズ及びＳＬＡ詳細に応じて、当該新規テナント用にハードウェアを配備することができる。たとえば、以下に記載の図７に示すように、専用の登録局７２１及び独立したＳＣＭＳのバックエンドコンポーネント７２４は、他のテナントよりも上位のサービスレベルを有するテナントＮ用に配備することができる。

図７は、本発明の実装形態と一致する、マルチテナント操作をサポートするように構成された、セキュア・プロビジョニング・システムの例示的な操作環境７００を示した図である。図示のように、操作環境７００は、ＳＣＭＳホスト７０８と、ｎ個のテナントのグループのうちの複数のテナント（たとえば、テナントＡ、Ｂ、…Ｎ）と関連付けられたコンピュータ化装置７０２、７０４、７０６と、登録局７２０、７２１と、ＳＣＭＳのバックエンドコンポーネント７２２、７２４のセットとを備える。

例示的な操作環境７００では、単一のＳＣＭＳホスト７０８は、単一のＩＰアドレスを有するハードウェアプラットフォームであり、ＳＣＭＳホスト７０８は、ｎ個のテナントのグループのうちのテナント間で共有されている。つまり、ＳＣＭＳホスト７０８は、コンピュータ化装置７０２、７０４、７０６からの初期プロビジョニング要求７０３、７０５、７０７を処理する。一部のテナントは、必要なサービスレベル及び購入したサービスティア（たとえば、サービスレベル契約（ｓｅｒｖｉｃｅ ｌｅｖｅｌ ａｇｒｅｅｍｅｎｔ：ＳＬＡ）で取得されたものなど）に基づいて、ＳＣＭＳのバックエンドコンポーネントを共有することを選択してもよい。図７の実施例では、テナントＡ及びＢは、ＳＣＭＳの共有バックエンドコンポーネント７２２のセットを使用することを選択している。あるいは、上位のサービスティアが必要であるか、又はより多くの証明書を迅速にプロビジョニングする必要性が高い他のテナントは、当該テナントに対し、個別のハードウェアコンポーネントを含む個別の専用ＳＣＭＳのバックエンドコンポーネント（たとえば、単一のテナントに対して暗号化操作を実行する専用の分離され、かつ独立しているハードウェアコンポーネント）にアクセス権を付与するＳＬＡを有し得る。図７の実施例では、テナントＮは、分離され、かつ独立しているＳＣＭＳのバックエンドコンポーネント７２４のセットを使用することを選択している。特定の実装形態では、テナントＡ、Ｂ、…ＮのそれぞれのＬＰＦのパラメータは、ＳＣＭＳの共有バックエンドコンポーネント７２２のセット又は分離され、かつ独立しているＳＣＭＳのバックエンドコンポーネント７２４のセットのいずれの使用も指定することができる。

図７に示すように、複数のコンピュータ化装置７０２、７０４、７０６のそれぞれは、ＳＣＭＳホスト７０８を介して、それぞれの初期プロビジョニング要求７０３、７０５、７０７をそれらの構成済み登録局へと送信することができ、ここでプロビジョニング要求７０３、７０５、７０７はそれぞれのテナントＩＤを示している。いくつかの実装形態によれば、テナントＡ、Ｂ、…ＮのテナントＩＤは、ＳＣＭＳホスト７０８に送信されるルート情報に含めることができる。つまり、操作環境７００では、コンピュータ化装置７０２、７０４、７０６のそれぞれは、特定のテナント（たとえば、テナントＡ、Ｂ、…Ｎのうちの１つ）によって登録されており、またそれぞれの初期プロビジョニング要求７０３、７０５、７０７において、当該テナントはそれぞれのテナントＩＤを提供する。さまざまな実装形態では、これらのテナントＩＤはＵＲＬ（たとえば、図５のＵＲＬ ５０３、５０５、５０７など）内、ルート内、又はＨＴＴＰヘッダ要素（たとえば、「ＳＣＭＳテナント」要素）内に、あるいは他のメカニズムによって設けることができる。

ＳＣＭＳホスト７０８は、中央集権型サービスのための単一のＳＣＭＳ登録局のエンドポイントである。ＳＣＭＳホスト７０８は、初期プロビジョニング要求７０３、７０５、７０７を含む全ての要求を受信し、これらの要求からのテナントＩＤを解析し、かつ検証を実行する（たとえば、登録証明書の正しいテナントを特定するために）。ＳＣＭＳホスト７０８は、仮想の共有登録局７２０、又は専用登録局７２１に対して、さまざまな要求をルーティングする。さまざまな実装形態では、ＳＣＭＳホスト７０８が初期プロビジョニング要求７０３、７０５、７０７からのテナントＩＤを解析した後に、操作環境７００内で送信される全てのメッセージにこのテナントＩＤが追加される。いくつかの実装形態によれば、このテナントＩＤは、ハッシュを使用して、又はこのテナントＩＤを汎用一意識別子（ｕｎｉｖｅｒｓａｌｌｙ ｕｎｉｑｕｅ ｉｄｅｎｔｉｆｉｅｒ：ＵＵＩＤ）にマッピングすることにより、そのようなメッセージで難読化されてもよい。これらのテナントＩＤをそれらのＵＵＩＤに各自マッピングすることにより、図６を参照して上述したＳＭＳデータベース６０６に保存することができる。このような難読化により、複数のテナント（たとえば、テナントＡ及びＢ）間で共有される仮想登録局７２０を介して送信される、メッセージのプライバシーを確保するのが支援される。次いで、このテナントＩＤを操作環境７００で使用して、使用すべきキー又は証明書チェーンを決定する。このテナントＩＤにより、登録局７２０、７２１は、特定の要求（たとえば、プロビジョニング要求７０３、７０５、７０７のうちの１つ）に関して準拠すべきポリシーパラメータをさらに決定することができる。

操作環境７００では、ＳＣＭＳホスト７０８を、登録局７２０、７２１の上方にある抽象化レイヤ又は仮想レイヤとすることができる。ＳＣＭＳホスト７０８は、初期プロビジョニング要求７０３、７０５、７０７からのテナントＩＤを解析する。装置７０２、７０４、７０６及び操作環境７００の外部にある装置の視点から見ると、全てのテナント（たとえば、クライアント）がＳＣＭＳホスト７０８に接続するために使用するＳＣＭＳ ＵＲＬが１つ設定されている。このようにして、またＳＣＭＳホスト７０８を使用して、初期プロビジョニング要求７０３、７０５、７０７からのテナントＩＤを解析することにより、操作環境７００は、コンピュータ化装置７０２、７０４、７０６のうちの特定の１つを特定のテナントが所有しているかどうか、又はこれと関連付けられているかどうかを判定する際に、確実にスヌーピングが使用できないようにしている。これにより、操作環境７００に渡されたネットワークトラフィックをスヌープしようと試みる恐れのあるユーザから、テナントの識別情報及びプライバシーが保護されることになる。

操作環境７００では、ＳＣＭＳホスト７０８が、初期プロビジョニング要求７０３、７０５、７０７に使用されるルート、ＵＲＬ、ＨＴＴＰヘッダ、又は他のメカニズムからのテナントＩＤを解析し、これらの初期プロビジョニング要求７０３、７０５、７０７を正しい登録局（たとえば、共有登録局７２０又は専用登録局７２１）へとルーティングすることができる。図７に示すように、ＳＣＭＳホスト７０８は、初期プロビジョニング要求７０３及び７０５からのテナントＡ並びにＢのテナントＩＤを解析し、次いで解析したこれらのテナントＩＤに基づいて、それらの要求を登録局７２０へとルーティングする。同様に、ＳＣＭＳホスト７０８は、初期プロビジョニング要求７０７からのテナントＮのテナントＩＤを解析し、次いで解析したこのテナントＮのテナントＩＤに基づいて、その要求を専用登録局７２１へとルーティングする。代替的な又は付加的な実装形態では、ＳＣＭＳホスト７０８と単一の登録局との間で交換される内部メッセージに埋め込まれたテナントＩＤを使用して要求をルーティングする登録局を、ただ１つ設けている可能性がある。他の代替的な又は付加的な実装形態では、初期プロビジョニング要求７０３、７０５、７０７をフィールドし、次いでこれらの要求を正しいバックエンドコンポーネントへとルーティングする、完全に独立した内部仮想登録局コンポーネントを設けている可能性がある。

図７の実施例では、ＳＣＭＳの共有バックエンドコンポーネント７２２のセットは、テナントＡとテナントＢとの間で共有されるコンポーネントである。このＳＣＭＳの共有バックエンドコンポーネント７２２のセットは、仮名証明書共有認証局７４０と、リンケージ共有認証局１の７５０と、リンケージ共有認証局２の７６０と、登録証明書共有認証局７３０とを備え、これらはテナントＡ及びＢに証明書とリンケージ値とを提供している。図７にさらに示すように、分離され、かつ独立しているＳＣＭＳのバックエンドコンポーネント７２４のセットは、単一のテナント、すなわちテナントＮからの証明書要求を実行する専用のコンポーネントである。このＳＣＭＳの独立バックエンドコンポーネント７２４のセットは、仮名証明書独立認証局７４１と、リンケージ独立認証局１の７５１と、リンケージ独立認証局２の７６１と、登録証明書独立認証局７３１とを備え、これらはテナントＮのみに証明書とリンケージ値とを提供している。図７の実施例では、テナントＮのサービスレベルがテナントＡ及びＢのサービスレベルよりも上位となっており（たとえば、上位のサービスティア又はサービス優先度）、その結果、テナントＮは、ＳＣＭＳの独立バックエンドコンポーネント７２４のセットによりサービスを受けることになる。特定の実装形態では、サービスティアは、Ｎ個のテナントのグループのうちの各テナントと関連付けられ、また各テナントのサービスティアは、最下位のサービスレベルから最上位のサービスレベルまでの範囲にある複数のティアのうちの１つに対応している。

特定の実装形態では、専用登録局７２１は、ＳＣＭＳの共有バックエンドコンポーネント７２２をさらに使用することができる。つまり、いくつかの実装形態では、テナントＮに一意のインターフェースを付与するテナントＮの専用登録局７２１を形成することができるが、テナントＮによって使用されるＳＣＭＳの共有バックエンドコンポーネント７２２は、他のテナント（たとえば、テナントＡ及びＢ）と共有されてもよい。代替的な又は付加的な実装形態では、この専用登録局７２１は、証明書を必要とするテナントのコンピュータ化装置の１つ又はそれ以上の製品タイプに応じて、ＳＣＭＳの別の共有バックエンドコンポーネント７２２のセットにアクセスすることができる。つまり、所定のテナントのＯＢＵはＳＣＭＳの１つの共有バックエンドコンポーネント７２２のセットを使用してもよく、そのテナントのＲＳＵは、ＳＣＭＳの別の共有バックエンドコンポーネント７２２のセットを使用することができる。

いくつかの実装形態によれば、上位のサービスティアは、他のテナントによって共有又は使用されていない専用登録局７２１へのアクセス権を、テナントＮに付与することができる。そのような実装形態の１つでは、専用登録局７２１を形成し、そのテナントの上位のサービスティアに基づいて、テナントＮ用にこれを構成することにより、専用登録局７２１がテナントＮに一意のインターフェースを付与するようにすることができる。いくつかの実装形態では、上位のサービスティアを有するテナントＮには、他のテナントと共有されていない、分離され、かつ独立しているＳＣＭＳのバックエンドコンポーネント７２４へのアクセス権が付与される。付加的な又は代替的な実装形態では、上位のサービスティアと専用登録局とを有する別のテナントが、証明書を必要とするそのテナントの装置の製品タイプに応じて、ＳＣＭＳの別の共有バックエンドコンポーネント７２２へとアクセスすることができる。つまり、テナントのＯＢＵ装置はＳＣＭＳの共有バックエンドコンポーネント７２２のうちの１つを使用してもよく、またＲＳＵ装置は、ＳＣＭＳの別の共有バックエンドコンポーネント７２２を使用することができる。

図８Ａ及び図８Ｂは共に、本発明の実装形態と一致する、証明書などの資格情報を安全に提供するための例示的なプロセス８００を示す、スイムレーン図である。プロセス８００では、仮想登録局を使用して、複数のテナントに証明書を提供する。

具体的には、図８Ａ及び図８Ｂに示す例示的なプロセス８００は、装置８１０などのＶ２Ｘ装置に証明書を提供するために、拡張ＳＣＭＳのコンポーネント間で発生する要求及び応答の交換を含む。ただし、本明細書に記載の実装形態はＶ２Ｘ装置のマルチテナント操作に限定されるものではないので、開示している原理も、Ｃ２Ｘ装置などの他のタイプのコンピュータ化装置及びコンピュータ制御装置に適用することができる。つまり、拡張ＳＣＭＳは、Ｖ２Ｘ又はＣ２Ｘ証明書管理サービスとして機能してもよい。図８Ａ及び図８Ｂに示す例示的なプロセス８００は、マルチテナント環境においてＶ２Ｘ装置に証明書を提供している。つまり、図８Ａ及び図８Ｂは、要求及び応答のＶ２Ｘフローのコンテキストにおける例示的な拡張ＳＣＭＳのコンポーネントを示す。

さまざまな実装形態では、プロセス８００又は示している操作の一部若しくは全部は、コンピューティングシステム（１つ又はそれ以上のプロセッサあるいは１つ又はそれ以上のコンピューティングサブシステムを含んでいてもよい）上で実行されるコードによって、又はハードウェアのみのシステムによって、あるいはこれら２つを組み合わせたシステムによって実行されてもよい。図８Ａ及び図８Ｂの上部に示すように、プロセス８００に関与するエンティティは、装置８１０と、ＳＣＭＳホスト８０８と、仮想登録局８２０と、リンケージ認証局８５０、８６０と、仮名証明書認証局８４０とを備える。さまざまな実装形態では、図８Ａ及び図８Ｂに関して以下に、また本開示全体を通して記載しているように、これらのエンティティは、証明書を提供するためのプロセス８００の一部としてタスクを実行するために、互いと通信し合ってもよい。いくつかの実装形態では、装置８１０は、ある製造元（図示せず）に配置されたＶ２Ｘ装置であってもよい。

特定の実装形態では、ＳＣＭＳホスト８０８は、仮想登録局８２０をホストしてもよい。プロセス８００は、拡張ＳＣＭＳによって実行することができ、この拡張ＳＣＭＳはプロビジョニング要求を送信する装置（たとえば、装置８１０）と通信している。

拡張ＳＣＭＳは、仮想登録局８２０と、１つ又はそれ以上のリンケージ認証局８５０、８６０と、仮名証明書認証局８４０とを備える。例示的なＣＭＳは、仮想登録局８２０用のアプリケーションを実行している１つ又はそれ以上のアプリケーションプラットフォームを備えていてもよい。これらのアプリケーションプラットフォームは、仮想登録局８２０が要求する暗号化計算を実行している、１つ又はそれ以上の計算エンジンに通信可能に接続されている。これら１つ又はそれ以上のアプリケーションプラットフォームは、１つ又はそれ以上の仮想マシン（ＶＭ）あるいは１つ又はそれ以上のハードウェアプラットフォーム（たとえば、サーバ、コンピュータ、又はソフトウェアアプリケーションをホストし、かつ実行することができる他のコンピュータハードウェア）を含んでいてもよい。拡張ＳＣＭＳは、登録証明書認証局（図示せず）を運用し、かつこの登録証明書認証局が要求する暗号化計算を実行している１つ又はそれ以上の計算エンジンに通信可能に接続された、１つ又はそれ以上のＶＭをさらに備えていてもよい。この登録証明書認証局は登録証明書を生成し、かつ仮想登録局８２０に条件付きでこれらを送信するように動作可能である。図８Ａ及び図８Ｂの仮想登録局８２０をホストしている例示的なＣＭＳホストは、仮名証明書認証局８４０のアプリケーションを実行し、かつこの仮名証明書認証局８４０が要求する暗号化計算を実行している１つ又はそれ以上の計算エンジンに通信可能に接続された、１つ又はそれ以上のＶＭをさらに含んでいてもよい。仮名証明書認証局８４０は仮名証明書を生成し、かつ仮想登録局８２０に条件付きでこれらを送信するように動作可能である。拡張ＳＣＭＳは、第１及び第２のリンケージ認証局８５０、８６０を運用し、かつこれらの第１及び第２のリンケージ認証局８５０、８６０が要求する暗号化計算を実行している１つ又はそれ以上の計算エンジンに通信可能に接続された、１つ又はそれ以上のＶＭをさらに備えていてもよい。第１のリンケージ認証局８５０及び第２のリンケージ認証局８６０のそれぞれのアプリケーションは、リンケージ値を生成し、かつ仮想登録局８２０に条件付きでこれらを送信するように動作可能であってもよい。

図８Ａ及び図８Ｂに示す仮想登録局８２０を備える拡張ＳＣＭＳは、仮想登録局８２０のアプリケーションを実行し、かつこの仮想登録局８２０が要求する暗号化計算を実行している１つ又はそれ以上の計算エンジンに通信可能に接続された、１つ又はそれ以上のアプリケーションプラットフォームをさらに備え得る。拡張ＳＣＭＳは、登録証明書認証局のアプリケーションを実行し、かつこの登録証明書認証局が要求する暗号化計算を実行している１つ又はそれ以上の計算エンジンに通信可能に接続された、１つ又はそれ以上のアプリケーションプラットフォームをさらに備え得、この登録証明書認証局は登録証明書を生成し、かつ仮想登録局８２０に条件付きでこれらを送信するように動作可能であってもよい。拡張ＳＣＭＳは、仮名証明書認証局８４０のアプリケーションを実行し、かつこの仮名証明書認証局８４０が要求する暗号化計算を実行している１つ又はそれ以上の計算エンジンに通信可能に接続された、１つ又はそれ以上のアプリケーションプラットフォームをさらに備え得、この仮名証明書認証局８４０は仮名証明書を生成し、かつ仮想登録局８２０に条件付きでこれらを送信するように動作可能であってもよい。さらに、拡張ＳＣＭＳは、第１のリンケージ認証局８５０のアプリケーションを実行し、かつこの第１のリンケージ認証局８５０が要求する暗号化計算を実行している１つ又はそれ以上の計算エンジンに通信可能に接続された、１つ又はそれ以上のアプリケーションプラットフォームをさらに備え得る。最後に、拡張ＳＣＭＳは、第２のリンケージ認証局８６０のアプリケーションを実行し、かつこの第２のリンケージ認証局８６０が要求する暗号化計算を実行している１つ又はそれ以上の計算エンジンに通信可能に接続された、１つ又はそれ以上のアプリケーションプラットフォームをさらに備え得る。リンケージ認証局８５０、８６０はリンケージ値を生成し、かつ仮想登録局８２０に条件付きでこれらを送信するように動作可能であってもよい。

さらに他の実装形態では、登録証明書認証局は、仮想登録局８２０から登録証明書を求める要求を受信したことに応答して、登録証明書を生成するように動作可能であってもよく、仮名証明書認証局８４０は、仮想登録局８２０から仮名証明書を求める要求を受信したことに応答して、仮名証明書を生成するように動作可能であってもよく、また、第１のリンケージ認証局８５０及び第２のリンケージ認証局８６０は、仮想登録局８２０からリンケージ値を求める要求を受信したことに応答して、リンケージ値を生成するように動作可能であってもよい。代替的な又は付加的な実装形態では、登録証明書認証局は、コンピュータ化装置から直接要求を受信したことに応答して、登録証明書を生成するように動作可能であってもよい。つまり、証明書を取得する複数の方法があり、図８Ａ及び図８Ｂに示す例示的なプロセス８００は、単に１つの例示的な方法にすぎない。

図８Ａの実施例に示すように、プロセス８００は、装置８１０（たとえば、エンドエンティティのＶ２Ｘ装置）が仮名証明書を求める初期プロビジョニング要求をＳＣＭＳホスト８０８へと送信する操作８０５で開始される。図示のように、８０５は、テナントＡのテナントＩＤを含むＵＲＬを備えるＨＴＴＰＳ ＰＯＳＴコマンドを装置８１０が送信することを含み得る。いくつかの実装形態では、装置８１０は登録時にＵＲＬを付与されており、操作８０５の初期プロビジョニング要求は、装置８１０から直接送信されており、また図８Ａに示すように、このプロビジョニング要求は、そのＵＲＬ及び仮想登録局８２０のポート番号を含むＨＴＴＰＳ ＰＯＳＴコマンドとすることができ、その際、ルートが定義され、テナント識別子（ＩＤ）がそのＵＲＬに埋め込まれた状態となっている。これにより、ＳＣＭＳホスト８０８は、装置８１０又はプロセス８００を変更若しくは再構成する必要なく、テナントを識別し、かつ当該要求を正しい仮想登録局８２０へとルーティングすることができる。

いくつかの実装形態では、このプロビジョニング要求は、当該テナントの構成の詳細、必要となるアプリケーションのアクセス許可（たとえば、プロバイダーサービス識別子（Ｐｒｏｖｉｄｅｒ Ｓｅｒｖｉｃｅ Ｉｄｅｎｔｉｆｉｅｒ：ＰＳＩＤ）値で示される）、及び証明書の有効期間情報を示すことができる。このような情報は、ルート又はＨＴＴＰＳヘッダで渡すことができる。たとえば、「ＳＣＭＳテナント」ヘッダ要素のキーと値とのペアには、「テナントＡ」という値を含めることができる。この情報のプライバシーは、装置８１０とＳＣＭＳホスト８０８との間のトランスポート層セキュリティ（Ｔｒａｎｓｐｏｒｔ Ｌａｙｅｒ Ｓｅｃｕｒｉｔｙ：ＴＬＳ）ハンドシェイク内で保護することができる。

付加的な又は代替的な実装形態では、２つの異なるＵＲＬ又はルートが同じサーバ若しくはウェブページに解決される（たとえば、ポイントする）形式のドメイン・ネーム・システム（Ｄｏｍａｉｎ Ｎａｍｅ Ｓｙｓｔｅｍ：ＤＮＳ）で、プロビジョニング要求を送信することができる。つまり、ＤＮＳを使用することにより、２つのテナントそれぞれのテナントＩＤを示す２つの異なるテナントからの要求は、別々のルート又はＵＲＬを有する可能性があるが、これらは両方とも、依然として同じ拡張ＳＣＭＳ及び同じＳＣＭＳホスト８０８に解決されることになる。Ｖ２Ｘ環境（たとえば、衝突回避メトリクスパートナー、ＬＬＣ（Ｃｒａｓｈ Ａｖｏｉｄａｎｃｅ Ｍｅｔｒｉｃｓ Ｐａｒｔｎｅｒｓ，ＬＬＣ（「ＣＡＭＰ」）で規定されている）では、登録証明書には、アプリケーションのアクセス許可（ＰＳＩＤ値で識別される）と、ＲＳＵ及びＯＢＵそれぞれに許可された地理的領域とを含める必要がある。ＲＳＵ装置又はＯＢＵ装置は、当該登録証明書に含まれるＰＳＩＤ値と一致しているアプリケーション証明書及び／又は仮名証明書のみを取得することができる。

操作８０７で、装置８１０が仮想登録局８２０のＵＲＬと共に、プロビジョニング要求をＳＣＭＳホスト８０８へと送信した後、ＳＣＭＳホスト８０８は、次いで当該要求からのテナントＩＤ（たとえば、テナントＡのＵＵＩＤ又は他の一意識別子）を解析し、これにより、そのテナントを処理している仮想登録局８２０に対して、当該要求をルーティングできるようにする。このように、プロセス８００では、単一のＳＣＭＳホスト８０８で複数のテナントにサービスを提供し、かつカスタム構成を処理することができる。図８Ａの実施例では、操作８０７で、ＳＣＭＳホスト８０８は当該要求からのテナントＡのテナントＩＤを解析する。特定の実装形態では、プロビジョニング要求には、テナントＡのテナントＩＤを示すメタデータが含まれ、この場合、このテナントＩＤをハッシュ、ＵＵＩＤ、又はテナントの識別情報を表示しない他のタイプの一意ＩＤとすることができる。

次いで、８０９でＳＣＭＳホスト８０８は、登録証明書認証局に照らして当該テナントの検証を行って、当該テナントに別個の登録証明書認証局が存在しているかどうかを判定する。特定の実装形態によれば、装置８１０のＬＰＦ及びＬＣＣＦのダウンロードは、Ｒｅｐｒｅｓｅｎｔａｔｉｏｎａｌ Ｓｔａｔｅ Ｔｒａｎｓｆｅｒ（ＲＥＳＴ）サービス呼び出しを通じて行われ、このダウンロードには登録証明書（たとえば、署名付きメッセージ）は含まれない。プロセス８００内の他の全てのＲＥＳＴサービス呼び出しの場合、操作８０９でＳＣＭＳホスト８０８が検索を実行して、装置８の特定の登録証明書が特定のテナント（たとえば、図８Ａの実施例ではテナントＡ）によって所有されているか、又はこれと関連付けられているかどうかを確認することができる。したがって、これらのサービス呼び出しの暗号化検証を行って、これらが認証されているかどうかを確認することができる。ＬＰＦ及びＬＣＣＦのダウンロードの場合、ＵＲＬのテナントＡのテナントＩＤ（図８Ａに示す）、ルート、ＨＴＴＰヘッダ、又はその他のメカニズムを使用して、装置８１０に提供すべきファイルを決定する。ダウンロードされるＬＣＣＦは、全てのテナント（すなわち、含まれる全ての証明書）で共通している可能性がある。ただし、ダウンロードされるＬＰＦは、テナントごとに異なっている場合がある。プロセス８００内の他のサービス呼び出しの場合、強力な暗号化リンクにより、単一の登録局（たとえば、仮想登録局８２０）又はＳＣＭＳのバックエンドコンポーネントの単一のセット（たとえば、図７を参照して上述したＳＣＭＳの共有バックエンドコンポーネント７２２のセット）が別々のポリシーを処理していても、装置８１０及び証明書の管理が確実に安全に行われるようにすることができる。

登録証明書認証局の主要な役割は、仮想登録局８２０で発生する可能性のある要求を実行し、たとえば装置８１０などのエンドユーザ装置に対して登録証明書を発行することである。この登録証明書認証局は、要求されている登録証明書を装置８１０に対して発行するために、ＳＣＭＳホスト８０８と直接対話してもよい。付加的な又は代替的な実装形態では、登録証明書認証局は、拡張ＳＣＭＳと登録証明書を必要とするコンピュータ化装置との間でプロキシとして機能するように動作可能である、装置８１０と直接通信することができ、その際、これらコンピュータ化装置が登録証明書を必要としており、またサーバが、登録証明書を要求するクライアントのプロキシとして機能している。たとえば、登録証明書認証局は、製造元の現場（たとえば、製造元の工場）にある装置８１０と直接通信することができる。登録証明書とは、全ての参加者が有効な登録証明書を共有する必要があり、またその内部で承認済み参加者が、装置８１０の通信及び操作を可能にする（たとえば、ＵＳＤＯＴのＶ２Ｘエコシステムの実施例では、車両と路側インフラストラクチャとの間での通信及び操作を可能にする）仮名証明書をさらに受信することができるエコシステム（たとえば、ＵＳＤＯＴ Ｖ２Ｘエコシステムなど）で、承認済み参加者としてその所有者を識別する公開キー証明書のことである。

さまざまな実装形態では、操作８０９で実行される検証は、ＳＣＭＳホスト８０８が、署名の検証を含む、プロビジョニング要求を復号化して検証することと、非承認の装置のリスト（たとえば、ブラックリスト）を使用して、当該証明書の送信先である装置８１０（たとえば、コンピュータ化装置）の失効ステータスを確認することと、当該要求者（たとえば、装置８１０）がＳＣＭＳホスト８０８から証明書を要求することを許可されているかどうかを判定することとを含んでいてもよい。たとえば、操作８０９は、メーカー所属のユーザが承認済みユーザ（たとえば、スタッフの一部）であるかどうかを判定することを含んでいてもよい。いくつかの実装形態では、ＳＣＭＳホスト８０８は８０９で、証明書を受信するためのコンピュータ化装置（たとえば、ある製品）が、その使用を承認されているかどうかをさらに判定してもよい。場合によっては、承認済み装置のリスト（たとえば、ホワイトリスト）が規制者によって提供され、この判定を行うために、プロビジョニング制御部がこのリストを使用してもよい。

次いで８１１で、ＳＣＭＳホスト８０８は、プロビジョニング要求が受信されたことを確認する一般的な確認応答（ＡＣＫ）メッセージで装置８１０に返信する。

証明書を求める要求が検証された後、８１３でＳＣＭＳホスト８０８は、テナントＡのテナントＩＤを含むプロビジョニング要求を開始する。図８Ａの実施例では、このテナントＩＤはＵＵＩＤとして具体化されている。

操作８１５～８２２で、リンケージ値を求める要求を実行するために、リンケージ認証局８５０、８６０は仮想登録局８２０と直接対話する。８１５で、プロビジョニング要求が仮想登録局８２０において受信され、この仮想登録局８２０は、リンケージ値の第１のセット（ＬＡ１）を求める要求をリンケージ認証局１の８５０に送信する。

８１６で、リンケージ値の第１のセットを求める要求を受信したことに応答して、リンケージ認証局１の８５０は、このリンケージ値の第１のセットを仮想登録局８２０へと送信する。リンケージ認証局１の８５０は、従前に生成されたリンケージ値の第１のセット（すなわち、事前に生成されたリンケージ値）を送信することができ、又はこれらの値が事前に生成されていない場合、リンケージ認証局１の８５０は、リンケージ値の第１のセットを生成し、次いで送信することができる。８１７で、リンケージ値の第１のセットが仮想登録局８２０において受信される。８１９で、仮想登録局８２０は、リンケージ値の第２のセット（ＬＡ２）を求める要求をリンケージ認証局２の８６０へと送信する。

次いで図８Ａに示すように、８２１で、リンケージ値の第２のセットを求める要求を受信したことに応答して、リンケージ認証局２の８６０は、このリンケージ値の第２のセットを仮想登録局８２０へと送信する。さまざまな実装形態では、リンケージ認証局２の８６０は、事前に生成されたリンケージ値の第２のセットを送信することができ、又は、リンケージ認証局２の８６０は、リンケージ値の第２のセットを生成し、次いで送信することができる。８２２で、リンケージ値の第２のセットが仮想登録局８２０において受信される。

特定の実装形態では、図８Ａ及び図８Ｂに示すリンケージ認証局８５０、８６０は、証明書要求者の識別情報（すなわち、証明書要求者の装置の一意識別子）を、失効を理由に発行された仮名証明書にリンクすることができる。つまり、リンケージ認証局１の８５０及びリンケージ認証局２の８６０は、リンケージ値の第１及び第２のセットを、証明書要求者の装置の一意識別子として、プロセス８００の一部として仮名証明書認証局８４０によって発行される仮名証明書にそれぞれ提供する。これらリンケージ認証局１の８５０及びリンケージ認証局２の８６０は、操作８１５及び８１９で仮想登録局８２０から送信されるリンケージ値を求める要求を受信し、次いで操作８１６及び８２１で、これらの要求されているリンケージ値を仮想登録局８２０へと提供する。

図８Ａを引き続き参照すると、８２３でＳＣＭＳホスト８０８は、テナントＡのポリシーパラメータを確認し、これらのポリシーパラメータに応じて、仮名証明書認証局８４０から正しい量の仮名証明書を求める要求を生成する。一実施例では、操作８２３は、操作８０７から解析されたテナントＩＤを使用して、ＳＣＭＳホスト８０８が、特定の仮名証明書要求に関して準拠すべきポリシーパラメータを決定することを含んでいてもよい。たとえば、８２３は、装置８１０のローカルポリシーパラメータをその装置のＬＰＦから取得することを含んでいてもよい。

８２５で、仮想登録局８２０は、仮名証明書を求める要求を仮名証明書認証局８４０に対して送信する。この要求は、仮想登録局８２０によって作成される仮名証明書生成要求のバッチとして送信されてもよい。

８２７で、仮名証明書を求める要求が仮名証明書認証局８４０において受信される。８２７で当該要求を受信したことに応答して、仮名証明書認証局８４０は、テナントＡが異なる証明書チェーン又はキーを使用して証明書に署名するための情報を、必要に応じて使用する。８２７で、仮名証明書認証局８４０は、要求されている仮名証明書を生成し、次いで生成された仮名証明書を仮想登録局８２０へと返送する。８２９で、仮名証明書が仮想登録局８２０において受信される。

次いで図８Ｂに示すように、８３１で装置８１０は、証明書のバッチのダウンロードを求める要求をＳＣＭＳホスト８０８に対して送信してもよい。図示のように、操作８３１で送信される要求は、テナントＡのテナントＩＤを含むＵＲＬを備えるＨＴＴＰ ＰＯＳＴ要求であってもよい。

操作８３３で、ＳＣＭＳホスト８０８は、バッチのダウンロード要求からのテナントＩＤを解析する。次いで８３５で、ＳＣＭＳホスト８０８は、登録証明書認証局に照らして当該テナントの検証を行って、当該テナントに別個の登録証明書認証局が存在しているかどうかを判定する。

次いで８３７で、ＳＣＭＳホスト８０８は、テナントＡのポリシーが実施されていることを確認する。操作８３７は、操作８３３から解析されたテナントＩＤを使用して、ＳＣＭＳホスト８０８が、特定のバッチの仮名証明書ダウンロード要求に関して準拠すべきポリシーパラメータを決定することを含み得る。たとえば、８３７は、装置８１０のローカルポリシーパラメータをその装置のＬＰＦから取得することを含んでいてもよい。テナントＡのポリシーが、要求されている仮名証明書のバッチに関して実施されていることを確認した後、制御が操作８３９へと渡される。

仮名証明書が準備されると、８３９でＳＣＭＳホスト８０８は、仮名証明書を含むダウンロード済みファイルを装置８１０へと送信する。８４１で、装置８１０は仮名証明書を受信する。この時点で、装置８１０は仮名証明書をプロビジョニングされ、また装置８１０は、これらの仮名証明書を使用することができるようになり、また仮名証明書をプロビジョニングする操作が完了する。

付加的な又は代替的な実装形態では、上記のプロセス８００と同様のプロセスを使用して、たとえばＣ２Ｘ装置などの他のコンピュータ化装置に対して証明書を提供することができる。たとえば、図８Ａ及び図８Ｂに示すものと同様のコンポーネントを備えるＣＭＳは、１つ又はそれ以上の車載装置（ＯＢＵ）、電子制御装置（ＥＣＵ）、路側機（ＲＳＵ）、及びＴＭＣ装置に対して証明書を提供することができる。このようなＯＢＵ及びＥＣＵが車両、船艇（たとえば、ボート）、航空機（たとえば、飛行機やドローン）、宇宙船、医療機器、ロボット、無線又は有線通信モジュール、及びＩｏＴ装置に設置されるように、これらを構成することができる。同様に、交通制御装置（たとえば、交通信号）、路側コンテンツ配信システム、自動料金収受システム、電子サイネージ装置、及びデジタル表示装置（たとえば、電子掲示板）にＲＳＵを設置することができる。ＴＭＣＤは、政府（地方自治体、州政府、又は連邦政府など）の交通管理センターに設置され、ＲＳＵによるブロードキャスト又は表示を行うために、メッセージへのデジタル署名時に使用されるように動作可能である。

図９は、本発明の実装形態と一致するシステム及び方法を実装するのに使用できる、コンピューティングシステム９００を含む、コンピューティング環境９０１の一実施例を示したブロック図である。他のコンポーネント及び／又は配置を同様に使用してもよい。いくつかの実装形態では、コンピューティングシステム９００を使用して、たとえば図８Ａ及び図８Ｂにおける装置８１０、仮想登録局８２０、ＳＣＭＳホスト８０８、リンケージ認証局８５０、８６０、及び仮名証明書認証局８４０、図４におけるセキュア・プロビジョニング・システム４００のコンポーネント、並びに図７における操作環境７００のコンポーネントなど、図１～図８におけるさまざまなコンポーネントを少なくとも部分的に実装してもよい。たとえば、コンピューティングシステム９００を使用して、とりわけ図４及び図６における仮想登録局を含むＳＣＭＳホスト４０８、ＣＭＰ４０２、６０２、ＳＭＳ４０４、６０４、及びＳＭＳデータベース４０６、６０６を少なくとも部分的に実装してもよい。また、たとえばコンピューティングシステム９００を使用して、とりわけ図７のＳＣＭＳホスト７０８、登録局７２０、７２１、及びＳＣＭＳのバックエンドコンポーネント７２２、７２４を少なくとも部分的に実装してもよい。いくつかの実装形態では、コンピューティングシステム９００と同様の一連のコンピューティングシステムをそれぞれ専用ハードウェアでカスタマイズし、かつ／又は専用サーバとしてプログラムすることにより、ネットワーク９３５を介して互いと通信し合うことができる、図１～図８におけるコンポーネントのうちの１つを実装してもよい。

図９に示す実施例では、コンピューティングシステム９００は、ＣＰＵ９０５、メモリ９１０、１つ又はそれ以上の入力／出力（Ｉ／Ｏ）装置９２５、ハードウェア・セキュリティ・モジュール（ＨＳＭ）９４０、及び不揮発性ストレージ装置９２０などのいくつかのコンポーネントを備える。システム９００はさまざまな方法で実装することができる。たとえば、統合プラットフォーム（サーバ、ワークステーション、パーソナルコンピュータ、ラップトップなど）としての実装は、ＣＰＵ９０５、メモリ９１０、不揮発性ストレージ９２０、及びＩ／Ｏ装置９２５を備えていてもよい。そのような構成において、コンポーネント９０５、９１０、９２０、及び９２５は、ローカル・データ・バスを介して接続され、かつ通信してもよく、また外部Ｉ／Ｏ接続を介して、データリポジトリ９３０（たとえば、別個のデータソース又はデータベースシステムとして実装される）にアクセスしてもよい。１つ又はそれ以上のＩ／Ｏコンポーネント９２５を、直接通信リンク（たとえば、有線又はローカルのＷｉＦｉ（登録商標）接続）を介して、またローカル・エリア・ネットワーク（ＬＡＮ）又はワイド・エリア・ネットワーク（ＷＡＮ、たとえば携帯電話ネットワークやインターネットなど）などのネットワークを介して、かつ／又は他の適切な接続を介して、外部装置に接続してもよい。システム９００は、スタンドアロンであってもよいし、大型のシステムのサブシステムであってもよい。

ＣＰＵ９０５は、たとえばカリフォルニア州サンタクララのＩｎｔｅｌ（商標）社によって製造されているＣｏｒｅ（商標）ファミリーのマイクロプロセッサ、カリフォルニア州サニーベールのＡＭＤ（商標）社によって製造されているＡｔｈｌｏｎ（商標）ファミリーのマイクロプロセッサなど、１つ又はそれ以上の既知のプロセッサ又は処理装置であってもよい。ＣＰＵ９０５は、ＡＲＭ ＣＰＵ又は専用ＣＰＵとすることもできる。メモリ９１０は、本発明の実装形態に関連する特定の機能、方法、及びプロセスを実行するために、ＣＰＵ９０５によって実行又は使用される命令と情報とを保存するように構成された、１つ又はそれ以上の高速ストレージ装置であってもよい。ストレージ９２０は、揮発性若しくは不揮発性装置、磁気装置、半導体装置、テープ装置、又は光学装置、あるいは長期保存を意図したＣＤ及びＤＶＤ、並びにソリッドステート装置などの装置を含む、他のタイプのストレージ装置又はコンピュータで読み取り可能な媒体であってもよい。

図示している実装形態では、メモリ９１０は、ストレージ９２０又はリモートシステム（図示せず）からロードされ、ＣＰＵ９０５によって実行されると、本発明と一致するさまざまな操作、手順、プロセス、又は方法を実行する、１つ又はそれ以上のプログラム若しくはアプリケーション９１５を含む。あるいは、ＣＰＵ９０５は、コンピューティングシステム９００から遠隔配置された１つ又はそれ以上のプログラムを実行してもよい。たとえば、コンピューティングシステム９００はネットワーク９３５を介して、実行時に本発明の実装形態に関連する機能及びプロセスを実行する、１つ又はそれ以上の遠隔プログラムにアクセスしてもよい。

特定の実装形態では、メモリ９１０は、図４、図６、図７、図８Ａ及び図８Ｂにおける仮想登録局を含むＳＣＭＳホスト４０８、ＣＭＰ４０２、６０２、ＳＭＳ４０４、６０４、ＳＣＭＳホスト７０８、登録局７２０、７２１、ＳＣＭＳのバックエンドコンポーネント７２２、７２４のセット、装置８１０、仮想登録局８２０、ＳＣＭＳホスト８０８、リンケージ認証局８５０、８６０、及び仮名証明書認証局８４０に関する、本明細書に記載の特殊機能及び操作を実行する１つ又はそれ以上のプログラム９１５を含んでいてもよい。いくつかの実装形態では、メモリ９１０は、本発明に補助的機能をもたらす他の方法及びプロセスを実行する、他のプログラム又はアプリケーションをさらに含んでいてもよい。

メモリ９１０は、本発明に関連していない他のプログラム（図示せず）、及び／又はＣＰＵ９０５によって実行されると、当技術分野で周知のいくつかの機能を実行するオペレーティングシステム（図示せず）でさらに構成されていてもよい。一例として、このオペレーティングシステムは、Ｍｉｃｒｏｓｏｆｔ Ｗｉｎｄｏｗｓ（登録商標）、Ｕｎｉｘ（登録商標）、Ｌｉｎｕｘ（登録商標）、Ａｐｐｌｅ Ｃｏｍｐｕｔｅｒｓ（商標）のオペレーティングシステム、又はリアルタイム・オペレーティング・システムを含む他のオペレーティングシステムであってもよい。オペレーティングシステムの選択、及びオペレーティングシステムの使用さえも、本発明にとって重要ではない。

ＨＳＭ９４０は、デジタルセキュリティ資産を安全に生成及び保存し、かつ／又はさまざまな暗号及び機密計算を安全に実行する、それ自体のプロセッサを備える装置であってもよい。このＨＳＭ９４０は、暗号化キーなどのデジタルセキュリティ資産やその他の機密データを、想定される攻撃者によるアクセスから保護している。いくつかの実装形態では、このＨＳＭは、コンピューティングシステム９００に直接接続するプラグインカード又はプラグインボードであってもよい。

１つ又はそれ以上のＩ／Ｏ装置９２５は、コンピューティングシステム９００によるデータの受信及び／又は送信を可能にする、１つ又はそれ以上の入力／出力装置を含んでいてもよい。たとえばこのＩ／Ｏ装置９２５は、ユーザからのデータ入力を可能にする、キーボード、タッチスクリーン、及びマウスなどの１つ又はそれ以上の入力装置を含んでいてもよい。さらに、Ｉ／Ｏ装置９２５は、ユーザに対するデータの出力又は表示を可能にする、ディスプレイ画面、ＣＲＴモニタ、ＬＣＤモニタ、プラズマディスプレイ、プリンタ、及びスピーカ装置などの１つ又はそれ以上の出力装置を含んでいてもよい。Ｉ／Ｏ装置９２５は、たとえばデジタルで他の機械及び装置とコンピューティングシステム９００とが通信することを可能にする、１つ又はそれ以上のデジタル及び／又はアナログ通信入力／出力装置をさらに含んでいてもよい。他の構成及び／又は他の個数の入力及び／又は出力装置を、Ｉ／Ｏ装置９２５に搭載していてもよい。

図示している実装形態では、コンピューティングシステム９００はネットワーク９３５（インターネット、プライベートネットワーク、仮想プライベートネットワーク、携帯電話ネットワーク又は他のネットワークあるいはこれらの組み合わせなど）に接続され、一方でこのネットワーク９３５は、たとえばサーバ、パーソナルコンピュータ、ラップトップコンピュータ、クライアント装置などのさまざまなシステム及びコンピュータに接続されていてもよい。コンピューティングシステム９００は通常、ネットワーク９３５を介して、外部マシン及び装置からデータを入力し、外部マシン及び装置に対してデータを出力してもよい。

図９に示す例示的な実装形態では、リポジトリ９３０は、データベースなど、システム９００の外部にあるスタンドアロンのデータソースである。他の実装形態では、このリポジトリ９３０は、コンピューティングシステム９００によってホストされていてもよい。さまざまな実装形態では、リポジトリ９３０は、本発明と一致するシステム及び方法を実装するために使用されるデータを管理し、かつ保存してもよい。たとえば、リポジトリ９３０を使用して、図４及び図６のＳＭＳデータベース４０６、６０６、並びに本明細書に記載のＬＰＦ及びＬＣＣＦを実装してもよい。いくつかの実装形態では、リポジトリ９３０は、図４のセキュア・プロビジョニング・システム４００などによってプロビジョニングされた証明書を有する各コンピュータ化装置のステータス及びログ情報を含むデータ構造を管理し、かつ保存してもよい。

リポジトリ９３０は、情報を保存し、またコンピューティングシステム９００を通じてアクセスされ、かつ／又は管理される１つ又はそれ以上のデータベースを含んでいてもよい。一例として、リポジトリ９３０は、Ｏｒａｃｌｅ（商標）データベース、Ｓｙｂａｓｅ（商標）データベース、他のリレーショナルデータベース、又は非リレーショナルデータベースであってよい。ただし、本発明と一致するシステム及び方法は、別個のデータ構造又はデータベースに限定されるものではなく、あるいはデータベース又はデータ構造を使用することにさえ限定されるものではない。

当業者であれば、図９の本システムのコンポーネント及び実装の詳細が、説明を簡潔かつ明瞭にするために提示している実施例であることを認識する。他のコンポーネント及び実装の詳細を使用してもよい。

一実装形態例としてのＶ２Ｘ環境では、衝突回避メトリクスパートナー、ＬＬＣ（ＣＡＭＰ）によって規定されている現行（従来）のセキュリティ証明書管理システム（ＳＣＭＳ）は、都市や州の運輸省などの特定のエンティティが所有又は運用しているＶ２Ｘ装置のグループに対して、カスタマイズ可能な構成機能を提供できていない。ＣＡＭＰメカニズムでは、そのような機能を求める顧客ごとに、従来のものが独立したＳＣＭＳシステムが必要となる。カスタム構成を提供する機能があることが望ましいが、このＣＡＭＰメカニズムでは利用できていない。従来のＶ２Ｘ環境（たとえば、ＣＡＭＰで規定されている）では、登録証明書には、アプリケーションのアクセス許可（ＰＳＩＤ値で識別される）と、ＲＳＵ及びＯＢＵそれぞれに許可された地理的領域（地理領域）とを含める必要がある。ＲＳＵ装置又はＯＢＵ装置は、当該登録証明書に含まれるＰＳＩＤ値と一致しているアプリケーション証明書及び／又は仮名証明書のみを取得することができ、また、その後発行されるアプリケーション証明書及び／又は仮名証明書（たとえば、補充証明書）には、当該登録証明書に含まれているのと同様に許可された地理領域の情報を含める必要がある。
従来のＶ２Ｘ環境（たとえば、ＣＡＭＰで規定されている）では、登録証明書が要求され、これがＲＳＵ装置又はＯＢＵ装置に設置される初期プロビジョニング手順を、たとえばハッカーなどの非承認の個人から保護された、安全で信頼できるプログラミング／プロビジョニング場所で実行する必要がある。

以下の図１０～図１３に関して記載している本発明の実装形態の例は、路側機器（Ｒｏａｄｓｉｄｅ Ｅｑｕｉｐｍｅｎｔ：ＲＳＥ）としても知られる路側機（ＲＳＵ）に関連する一連の地理的制限による技術的課題を解決するのに、とりわけ有用である。技術的な課題の１つは、従来のＲＳＵ及び従来のＳＣＭＳ（たとえば、衝突回避メトリクスパートナー、ＬＬＣ（ＣＡＭＰ）によって規定されている）が地理的位置制限情報をＲＳＵの登録証明書にのみ保存又は維持しているという事実に関連して生じており、この登録証明書は、ＲＳＵが従来のデバイス構成マネージャ（Ｄｅｖｉｃｅ Ｃｏｎｆｉｇｕｒａｔｉｏｎ Ｍａｎａｇｅｒ：ＤＣＭ）システムに物理的に接続されている場合に限り、従来のＳＣＭＳによって提供されるものであり、またこのデバイス構成マネージャは、ＲＳＵの製造元の、又は他の何らかの許容可能な安全で信頼できるプログラミング場所に配置されている必要がある。

ＲＳＵの製造時に、製造エンティティは運用証明書に挿入する必要のある全ての情報（たとえば、登録証明書及び／又はアプリケーション証明書）をほとんど有することがなく、とりわけＲＳＵがその購入者によって配備され、かつ運用される時点でのＲＳＵのその後の地理的な位置（地理位置）を記載した正確な情報を有することもない。Ｖ２Ｘ環境でのＲＳＵの正常な動作はその地理位置に制限されているため、装置の登録証明書から得られるこの地理的動作位置情報が重要となる。

つまり、ＲＳＵの正確な地理的動作位置情報は、製造時及び登録証明書の生成時には不明であり、これはなぜなら、正確な地理的動作位置は、通常当該ユニットが製造元によって装置の購入者／所有者／オペレータ／ユーザへと出荷された後にのみ知られることになるためであり、その後、この装置の購入者／所有者／オペレータ／ユーザがＲＳＵを特定の位置で稼働状態にすることになる。これは、注文されユーザに販売かつ出荷されるかなり前に、製造元が在庫用のＲＳＵ装置を製造する場合にとりわけ当てはまる。製造時、製造元は通常、ＲＳＵの最終的な販売先や、ＲＳＵの最終的な稼働位置を認識していない。本明細書に記載しているいくつかの実施形態で使用する場合、「正確な地理的動作位置」という用語は、たとえば９００，０００平方メートル、８００，０００平方メートル、７００，０００平方メートル、６００，０００平方メートル、５００，０００平方メートル、４００，０００平方メートル、３００，０００平方メートル、２００，０００平方メートル、１００，０００平方メートル、５０，０００平方メートル、４０，０００平方メートル、３０，０００平方メートル、２０，０００平方メートル、１０，０００平方メートル、９，５００平方メートル、７，０００平方メートル、５，０００平方メートル、３，０００平方メートル、２，０００平方メートル、１，０００平方メートル、６００平方メートル、５００平方メートル、４００平方メートル、３００平方メートル、２００平方メートル、１００平方メートル、又は５０平方メートルなど、約２，０００，０００平方メートル（２平方キロメートル）未満の地域を指し、またこの用語には、緯度座標と経度座標との交点などの地理的位置が含まれる。この地域を任意の形状とすることができる。通常地理領域は、国又は州など、これよりも広範な地域となる。

したがって、従来のシステムを使用して、製造時にＲＳＵに正確な地理位置制限付きの登録証明書をロードすることはできない。この課題に対処するために、製造元は、たとえば国全体（たとえば、米国）、州のグループ（たとえば、ニューイングランド、中部大西洋岸諸州など）又は州（たとえば、バージニア）など、ＲＳＵが販売され、かつ配備される可能性の高い広範な地理的領域（地理領域）を指定する登録証明書を、ＲＳＵにロードしている。これにより、ＲＳＵを容易に配備できる（たとえば、このＲＳＵが米国の至る所で正常に稼働するようになるため）が、このＲＳＵの運用に広範な地理領域を指定するのは望ましいことではなく、これはなぜなら、特定の道路交差点を使用する機能、物理的な地図情報を使用する機能、盗難の検出及び防止、紛失物の検出、許可されていないか、又は誤った作業現場の検出、並びに悪意のある使用の防止など、狭くすることで正確になる地理位置がもたらす多くの利点や機能が無効になるか、あるいは大幅に低減してしまうためである。

また、可搬型ＲＳＵ装置の場合、地理的動作位置情報などのデータは、時間の経過とともに頻繁に変化することが多い。たとえば、ＲＳＵを使用する作業員が作業現場から作業現場へと移動するにつれて、可搬型ＲＳＵの正確な地理的動作位置が日々変化することはよくある。作業員は、たとえば作業員がいることを警告したり、あるいは高速道路の車線が作業員によって閉鎖されていることを示したりするメッセージを車両にブロードキャストするために、可搬型ＲＳＵを使用してもよい。Ｖ２Ｘ環境では、ＲＳＵによるブロードキャストからの情報を使用して、接続されているＶ２Ｘ車両で接近中のドライバーに対し、作業現場について通知又は警告したり、あるいは自律走行型Ｖ２Ｘ車両を誘導したりしてもよい。

現行（従来）のＳＣＭＳ及びＶ２Ｘのプロビジョニングシステムと手順とを使用して、最新の正確な地理的動作位置情報をそのような移動式ＲＳＵに提供するには、当該ＲＳＵを製造元に（又は信頼でき、かつ安全な別のプログラミング／プロビジョニング場所に）物理的に搬送することと、当該ＲＳＵを安全な場所にあるＤＣＭ装置に接続することと、当該ＲＳＵ及び作業員の正確な地理的動作位置情報を含む新規の登録証明書を、当該ＲＳＵにプロビジョニングすることとが必要になる。これは、作業員が毎日のように作業場所の変更を要求するたびに、所有者がその安全な場所との間でＲＳＵを物理的に移動させる必要があるため、実現困難であり、費用がかかり、時間もかかり、かつ非効率的である。

さらに、そのような信頼できる安全なプログラミング／プロビジョニング場所は広く普及してはおらず、たとえば、現在、都市交通管理センターや地方のＤＯＴ、州のＤＯＴ又は連邦のＤＯＴではこれらを利用できない。また、従来の登録証明書ベースの手法における重大な技術的欠点は、正確な地理的動作位置情報を提供されたＲＳＵが、信頼できる安全なプロビジョニング場所に物理的に搬入されて、なおかつ新たな作業現場の地理的動作位置を指定している新規の登録証明書を再プロビジョニングされるまでは、Ｖ２Ｘ環境ではこれらのＲＳＵが別の作業現場での使用に際し、基本的に動作不能になるということである。その結果、地理的制限情報を更新するためにＲＳＵに登録証明書を再プロビジョニングすることは、既存のＲＳＵでは事実上決して行われず、代わりに広範な地理領域（たとえば、米国）が製造元によってプロビジョニングされ、それが変更されないままとなる。

本明細書に記載のシステム、方法、及び装置は、とりわけ正確な地理的動作位置情報を含む改良された、容易に更新可能なアプリケーション証明書、要求者が正確な地理的動作位置を指定できるようにする、改良されたアプリケーション証明書のプロビジョニング要求、精度が高く正確な地理的制限情報を有するアプリケーション証明書を生成かつ提供するための新たなプロセス、及びこれらのプロセスを実行する拡張ＳＣＭＳ、並びに自身にプロビジョニングされる地理的に制限された改良済みのアプリケーション証明書から得られる正確な地理的動作位置情報を使用する、ＲＳＵなどの改良されたコンピュータ化装置を提供することにより、上記の課題及び欠点に対処している。

図１０は、本発明の実装形態と一致する、ＲＳＵを初期プロビジョニングし、かつ追跡するための方法１００１の一実施例を示した図である。さまざまな実装形態では、方法１００１は前述のように、拡張ＳＣＭＳ４００によって実行されてもよい。たとえば、方法１００１は、ＲＳＵが新規製造されたときにＲＳＵ装置の製造元と連携して、拡張ＳＣＭＳ４００によって実行されてもよい。

図示している実施例では、本方法は、拡張ＳＣＭＳ４００のエンティティ管理システムで、あるエンティティ用にカスタマイズされたアカウントが作成される１０００で開始される。さまざまな実装形態では、そして図１０に関して記載したものを例示するために、当該エンドエンティティは、Ｖ２Ｘ ＲＳＵ装置４１０の製造元などの、ＲＳＵ装置の製造元であってもよい。ただし、当業者であれば、本明細書に記載しているものと同じ又は同様の装置及びプロセスが、地理位置固有のデジタル資産を使用するか、又は必要とする他のタイプのコンピュータ化装置（たとえば、ＩｏＴ装置又は他の装置４１０）に使用されてもよいことを認識する。

さまざまな実装形態では、拡張ＳＣＭＳ４００は、ＲＳＵの製造元からの要求を受信した後、ＲＳＵの製造元のアカウントを（１０００で）作成することができる。当該アカウントの作成を求める要求には、たとえばＲＳＵの製造元の識別子、ＲＳＵの製造元に関する情報、ＲＳＵの製造元の加入者タイプ（たとえば、ティア１メーカー）、ＲＳＵの製造元と関連付けられた１つ又はそれ以上のセキュリティ資産などを含めることができる。

１０１０では、拡張ＳＣＭＳ４００によって実行される方法１００１により、拡張ＳＣＭＳ４００に装置のタイプを登録することができる。たとえば、ＲＳＵ装置のタイプの登録を求める要求は、ＲＳＵの製造元からそのアカウントを介して受信するか、又は拡張ＳＣＭＳ４００の管理者から受信することができる。いくつかの実装形態では、このＲＳＵ装置のタイプの登録を求める要求は、ＲＳＵ装置のタイプの識別子又はＲＳＵ装置のタイプと関連付けられたセキュリティ資産を含み得る。拡張ＳＣＭＳ４００は、たとえばＳＭＳデータベース４０６にＲＳＵ装置のタイプの識別子を保存することにより、装置のタイプを登録することができる。

１０２０では、拡張ＳＣＭＳ４００は、ＲＳＵ装置のタイプが認定機関（たとえば、ＲＳＵの場合はＤＯＴ）によって承認済みであるかどうかを必要に応じて確認することができる。たとえば、ＳＣＭＳ４００は、認定機関と関連付けられたサーバに識別子及び／又はセキュリティ資産を送信して、検証を要求するか、かつ／又は識別子及び／又はセキュリティ資産を、ＳＭＳデータベース４０６内に従前に保存された承認済み装置のタイプのリストと照合することができる。次いで本ＳＣＭＳは、たとえばＳＭＳデータベース４０６内に、当該装置のタイプが検証されたかどうかの表示を保存することができる。

１０３０では、ＳＣＭＳ４００は、ＲＳＵ装置用の１つ又はそれ以上のデジタル資産（たとえば、公開キー）（たとえば、登録証明書公開キー、署名キー、暗号化キー、及びＡＥＳバタフライキー拡張値など）を取得し、次いで当該ＲＳＵ装置の識別子を取得又は生成することができる。たとえば、これらの公開キーをＲＳＵ装置から受信するか、又はＲＳＵの製造元がエンティティ管理システム４０４を介して自身のアカウントにアクセスし、これらの１つ又はそれ以上のデジタル資産（たとえば、公開キー）を入力したり、かつ／又は識別子を入力したりすることができる。当該装置のこれら１つ又はそれ以上のデジタル資産及び／又は識別子は、ＳＭＳデータベース４０６に保存することができる。

１０４０では、拡張ＳＣＭＳ４００は、新規のデジタル資産（たとえばＳＣＭＳ４００によって従前に生成かつ／又は保存されたデジタル資産）をＲＳＵの製造元へと送信、転送、返送、又は提供して、このデジタル資産がＲＳＵの製造元によってプロビジョニングされ、かつ／又はＲＳＵ装置それ自体に新規のデジタル資産が返送されるようにすることができる。いくつかの実施形態では、これら新規のデジタル資産は、１０３０で取得された１つ又はそれ以上のデジタル資産から導出されてもよいし、又はこれを使用して、あるいはこれに基づいて作成されてもよい。さまざまな実施形態では、拡張ＳＣＭＳ４００は、ＲＳＵのプロビジョニングライフサイクルのこの時点で、登録証明書並びに／又はＬＰＦ及び／又はＬＣＣＦを送信、返送、若しくは提供してもよい。さらに、拡張ＳＣＭＳ４００は、ＳＣＭＳ接続情報（たとえば、ＵＲＬ）を当該ＲＳＵへと送信又は提供してもよく、当該ＲＳＵはその後この情報を使用して、拡張ＳＣＭＳ４００に接続することにより、他のデジタル資産を取得することができる。

登録証明書とは、全ての参加者が有効な登録証明書を共有する必要があり、またその内部で承認済み参加者が、当該環境又はインフラストラクチャでのコンピュータ化装置の通信及び操作を可能にする（たとえば、ＵＳＤＯＴのＶ２Ｘ環境又はインフラストラクチャの実施例では、車両と路側インフラストラクチャ装置との間での通信及び操作を可能にする）仮名証明書及びアプリケーション証明書をさらに受信することができるエコシステム（たとえば、ＵＳＤＯＴ Ｖ２Ｘエコシステムなど）で、承認済み参加者としてその所有者を識別する公開キー証明書のことである。

さまざまな実施形態では、１０４０で返送される、登録証明書などの少なくとも１つのデジタル資産は、当該ＲＳＵ装置が稼働することを承認又は許可される地理領域を指定している情報を含む。さまざまな実施形態では、この地理領域情報は、当該ＲＳＵ装置がＶ２Ｘ環境の一部として正常に機能することができる、地理的地域又は領域を指定してもよい。この地理的領域は、当該ＲＳＵの「許可された地理領域」と呼ばれる場合があり、これらの例には、特定の国（たとえば、米国）、１つ又はそれ以上の州（たとえば、バージニア州又はニューイングランド州）、郡（たとえば、バージニア州フェアファックス郡）、都市（たとえば、バージニア州リッチモンド）、あるいは座標、又は境界などで画定された他の何らかの地理的地域若しくは領域が含まれる。そのような実施形態では、ＲＳＵ装置は、返送されるデジタル資産、たとえば登録証明書内で指定されるように、当該ＲＳＵの許可された地理領域内でのみ、他のＶ２Ｘ装置（すなわち、Ｖ２Ｘ環境内）で正常に動作、機能、かつ／又は協働することができる。

なお、さまざまな実施形態では、操作１０４０で拡張ＳＣＭＳ４００によって返送されるデジタル資産（たとえば、登録証明書）は通常、国、州のグループ、又は州などの広範な「許可された」地理的領域を指定しており、これはなぜなら、この時点では通常、ＲＳＵ装置はいまだ配備されておらず（たとえば、ＲＳＵの製造元の工場に依然としてある）、このために前述のように、当該ＲＳＵのその後の正確な稼働位置がいまだ不明であるためである。

いくつかの実装形態では、拡張ＳＣＭＳ４００は、ＲＳＵ装置に対する最終プログラミング用の登録局ＵＲＬ及び特定の構成データをさらに返送してもよい。たとえば、登録局ＵＲＬはエンドエンティティに固有であってもよく、かつ／又は（エンティティ管理システムを介して）エンドエンティティによってカスタマイズされてもよい。別の実施例として、当該ＵＲＬと関連付けられた登録局を、拡張ＳＣＭＳ４００のＳＣＭＳホスト４０８と関連付けられた仮想登録局とすることができる。

さまざまな実装形態では、拡張ＳＣＭＳ４００は、最終的に地理位置固有のアプリケーション証明書を必要とするコンピュータ化ＲＳＵ装置から公開キーを受信する。たとえば、拡張ＳＣＭＳ４００は、ＲＳＵ装置の公開キーを受信することができ、また公開キー、ＬＰＦ、ＬＣＣＦ、及び他のデータをＲＳＵ装置に返送することができる。

１０５０では、拡張ＳＣＭＳは、当該ＲＳＵ装置の状態を、たとえば当該ＲＳＵ装置のＳＭＳデータベース４０６の記録に初期プロビジョニング済みと設定することができ、またこのＳＭＳデータベース４０６内の当該ＲＳＵの記録を使用して、たとえば図１１に関して以下に記載しているように、当該ＲＳＵのライフサイクルにおける後続の段階で所有者又はオペレータ（たとえば、ＤＯＴ）によって当該装置がさらにプロビジョニングされる場合に備えて、当該ＲＳＵ装置とのその後の対話を追跡することができる。

図１１は、本発明の実装形態と一致する、新たに配備されるＲＳＵを構成するための方法１１０１の一実施例を示した図である。たとえば、方法１１０１は、拡張ＳＣＭＳ４００及び、ＲＳＵ装置をその製造元から受け取ったばかりのＲＳＵ装置の所有者又はユーザによって実行されてもよく、ここでこの所有者／ユーザは、操作使用を行うための当該ＲＳＵの構成を完了する必要がある。

図示している実施例では、方法１１０１は、州政府の運輸省などのＲＳＵの購入者、ユーザ、オペレータ、又は所有者によって、又はそれらのために装置のユーザ用アカウントが作成される１１００で開始され、このアカウントの作成は、拡張ＳＣＭＳ４００を使用して行われてもよい。さまざまな実装形態では、エンティティ又は拡張ＳＣＭＳ４００の加入者管理システム４０４を介して、当該装置のユーザ用アカウントを作成し、かつ／又は管理することができる。さらにいくつかの実装形態では、そして図１１に関して記載したものを例示するために、当該装置のユーザを、ＲＳＵ Ｖ２Ｘ装置を購入して操作し、かつ／又は１つ又はそれ以上のＲＳＵ装置を搭載したＶ２Ｘ製品若しくは装置を操作しているＤＯＴの交通管理センターとすることができる。いくつかの実装形態では、当該アカウントを作成するエンティティを、ＵＳＤＯＴ又は認定機関などの政府のエンティティとすることができ、これらのエンティティはＳＣＭＳ４００を使用して、デジタル資産を発行できる承認済みＶ２Ｘ装置のデータベースを作成し、かつ管理してもよい。

いくつかの実装形態では、拡張ＳＣＭＳ４００は、ＲＳＵユーザからの要求において受信されたデータに基づいて、当該ＲＳＵのユーザ用アカウントを作成することができる。当該アカウントの作成を求める要求には、たとえば当該ＲＳＵユーザの識別子、当該ＲＳＵユーザに関する情報、当該ＲＳＵユーザを表すタイプ（たとえば、認可機関、交通管理センター、民間建設会社など）、当該ＲＳＵユーザと関連付けられたデジタル資産などを含めることができる。

いくつかの実装形態では、当該ＲＳＵユーザ用アカウントを作成することは、当該ＲＳＵユーザの１つ又はそれ以上のデフォルトＬＰＦを生成することを含み得る。場合によっては、別々のデフォルトＬＰＦを別々の装置のタイプと関連付けることができる。

１１１０では、拡張ＳＣＭＳ４００は、たとえばＬＰＦを構成することを求める要求を、一例として当該ＲＳＵユーザから受信したことに応答して、ＬＰＦを構成することができる。たとえば、このＬＰＦを構成することを求める要求は、ＲＳＵのワークフローを構成することを求める要求、登録局のＵＲＬの設定を求める要求、承認されるデジタル資産のタイプを設定するなど）、及びＰＳＩＤを構成することを求める要求などとすることができる。いくつかの実装形態では、補充ポリシーを使用して、上記の図３に関して記載したように、補充要求への応答方法を決定することができる。別の実装形態では、装置のタイプに基づいて、あるいは装置と関連付けられた登録証明書に基づいて、かつ／又は当該装置と関連付けられた地理領域若しくは正確な地理位置に基づいて、補充ポリシーを設定することができる。

１１１５で、正確な地理的動作位置情報がＲＳＵ装置で構成されてもよく、１１１５のボックスを形成する破線で示しているように、この操作は任意選択である。たとえば、そのＲＳＵ所有者は、地理的位置制限情報を当該ＲＳＵ装置の不揮発性メモリに書き込んだり、保存したりしてもよい。当該ＲＳＵが道路工事作業員などが使用する可搬型ＲＳＵである場合、当該ＲＳＵの所有者（たとえば、州の運輸省）は、道路工事作業員がその日に作業又は稼働している場所（すなわち、当該ＲＳＵが稼働する予定の場所）を表す地理的動作位置情報を書き込んだり、保存したりしてもよく、この場所としては、たとえば一連の地理座標（たとえば、ＧＰＳ座標又は緯度座標及び経度座標）、特定の交差点、特定の道路区間、又は一連の座標によって画定された狭い領域などが挙げられる。さまざまな実施形態では、当該ＲＳＵ所有者は、ＲＳＵの製造元の指示に従って、かつ／又は拡張ＳＣＭＳ４００のＣＭＰ４０２を介して、当該ＲＳＵに地理的動作位置情報を入力してもよい。

さまざまな実施形態では、当該ＲＳＵ装置は、そのアプリケーション証明書の地理的動作位置情報によって指定されている場所で、又はその場所内でのみ、Ｖ２Ｘ環境の一部として正常に機能することができる。そのような実施形態では、当該ＲＳＵが地理的動作位置以外の場所にあるか、又はこれから遠方に離隔し過ぎている（たとえば、これから１０～５００メートルを超えて）場合に、当該ＲＳＵ装置と通信するＶ２Ｘ装置は、当該ＲＳＵ装置がその正常な位置の外側で動作していることを認識でき、またその結果、当該ＲＳＵからの信号を無視したり、かつ／又は当該ＲＳＵに関して、Ｖ２Ｘインフラストラクチャ内で正常に機能していないか、あるいは異常動作していると報告したりしてもよい。

いくつかの実装形態では、操作１１１５は、サブプロセス又はサブ操作（図示せず）によって置換若しくは補足されてもよく、ここで地理位置情報は、当該ＲＳＵの所有者／ユーザによって、たとえばＣＭＳ４０２を介して拡張ＳＣＭＳ４００内に（たとえば、ＳＭＳデータベース４０６内に）構成又は保存されてもよい。たとえば、当該ＲＳＵ所有者は、ＣＭＳ４０２を使用して拡張ＳＣＭＳ４００へとログオンし、かつ特定のＲＳＵ装置の地理的動作位置情報の保存を求める要求を送信してもよく、この要求には、当該ＲＳＵ装置の所望の地理的動作位置情報を含めていてもよい。これに応じて、拡張ＳＣＭＳ４００は、その特定のＲＳＵの所望の、又は要求されている地理的動作位置をＳＭＳデータベース４０６内に保存してもよい。そのような実装形態では、拡張ＳＣＭＳ４００は、当該ＲＳＵの一意識別子を使用して、保存された地理的動作位置情報を後で検索することができ、これにより拡張ＳＣＭＳ４００は、当該所有者／ユーザによってＳＭＳ４０６内に保存された地理的動作位置情報を使用して、その特定のＲＳＵのアプリケーション証明書を生成することができる。

さまざまな実装形態では、任意選択の操作１１１５及び／又は前段落のサブプロセスを、方法１１０１から削除してもよい。いくつかの実装形態では、任意選択の操作１１１５及び／又は置換したサブプロセスを、方法１１０１が開始される前に実行してもよい。

図１１に示す方法の実施例による１１２０では、ＳＣＭＳ４００は、たとえば当該ＲＳＵから、又は当該ＲＳＵ装置の所有者から、ＣＭＰ４０２を介して当該ＲＳＵ装置のアプリケーション証明書を求める初期要求を受信してもよい。さまざまな実装形態では、この要求は当該ＲＳＵ装置の識別子を含んでいてもよく、また当該ＲＳＵ装置から受信してもよい。いくつかの実装形態では、この識別子を受信して、１１００で当該ＲＳＵ装置ユーザ用に作成されたアカウントと照合することができる。

いくつかの実装形態では、当該識別子を、上記の１０４０で拡張ＳＣＭＳ４００によって受信され、又は生成された識別子とすることができ、また拡張ＳＣＭＳ４００はこの受信した識別子に基づいて、ＲＳＵ装置及び／又は「ＲＳＵ」であるＶ２Ｘ装置のタイプを識別することができる。

いくつかの実装形態では、当該ＲＳＵのアプリケーション証明書を求める初期要求は、ＲＳＵ識別子に加えて、ＲＳＵに提供されるアプリケーション証明書の一部になる可能性があり、また当該ＲＳＵの稼働予定の場所を指定している（たとえば、この要求は、特定の交差点又は緯度座標及び経度座標あるいは他の地理的若しくは幾何仕様を指定している地理位置情報を含んでいてもよい）所望の、又は要求されている地理的動作位置をさらに含むことになる。いくつかの実装形態では、所望の地理的動作位置を、ゼロより大きい領域を形成している３つ以上の地理座標を含む情報又はデータを使用して指定してもよく、この領域は任意の形状であってもよい。付加的に又は代替的な、所望の地理的動作位置を、中心点（たとえば、緯度点及び経度点）、及び円形領域を画定している半径を含む情報又はデータを使用して指定してもよい。地理的領域を指定するための他の形式も使用することができる。

そのようないくつかの実装形態では、１１２０で当該要求に含まれる、要求されている地理的動作位置情報は、１１１５で当該ＲＳＵ装置に任意選択で入力される地理位置情報と一致していてもよい。１１２０で受信される初期要求をＲＳＵ装置が送信しているいくつかの実施形態では、当該ＲＳＵ装置は、１１１５で当該ＲＳＵ装置に保存される地理的動作位置情報を読み取り、その地理的動作位置情報を使用して、初期要求を定式化又は含めてもよい。

１１２０でアプリケーション証明書を求める初期要求に地理的動作位置情報を含むいくつかの実装形態では、従来の要求構造とプロトコルであるＥｅＲａ＊証明書プロビジョニング要求（星印はあらゆるＥＥ証明書及びＲＡ証明書の要求を示す）とを修正して、新規の地理位置情報フィールドを、従来のＥｅＲａ＊証明書プロビジョニング要求で使用される共通プロビジョニング要求フィールドに追加してもよく、これはなぜなら、この地理位置情報フィールドは従来のＣＡＭＰで規定されたソフトウェア及びデータには存在しないためである。そのような実装形態では、この新規のフィールドを使用して、当該ＲＳＵの登録証明書に含まれている地理領域（たとえば、これのサブセットなど）内にあるはずの、当該装置の所望の地理的動作位置を指定する。この新規のフィールドと改良されたＥｅＲａ＊証明書プロビジョニング要求の形式により、当該ＲＳＵは、その所有者／オペレータがこのフィールド又はＴＭＣから当該ＲＳＵを検索取得して転送し、これを専用の安全なプログラミング／プロビジョニング場所で再プログラミングする必要を生じさせることなく、適切な地理的動作位置情報を含むアプリケーション証明書を要求することができる。

いくつかの実施形態（図１１には図示せず）では、拡張ＳＣＭＳ４００はこの時点で（たとえば、１１２０で要求を受信した後）、図１２の操作１２１０、１２２０、及び１２４０に関して以下で記載しているように、１１２５に進む前に当該ＲＳＵ装置が拡張ＳＣＭＳ４００からデジタル資産を要求し、かつ受信することを許可されているかどうかを判定してもよい。

１１２２で、方法１１０１は、当該ＲＳＵ装置の所望の、又は要求されている地理的動作位置を特定する。これは、個々の実施形態及び実装形態のために別々の方法で行ってもよい。

１１２０で受信した要求内に当該ＲＳＵ装置の所望の地理的動作位置を含む実装形態の場合、拡張ＳＣＭＳ４００は、たとえばこの受信した要求を解析するか、あるいはこの要求のデータの適切なフィールドを読み取るなどして、この要求から地理的動作位置情報を取得することにより、所望の地理的動作位置を特定する。

当該ＲＳＵの所有者／オペレータ／ユーザが従前に拡張ＳＣＭＳ４００内に当該ＲＳＵ装置の地理的動作位置情報を保存している（たとえば、１１１５に関連して上述したように）実装形態の場合、拡張ＳＣＭＳ４００は、たとえば当該ＲＳＵ装置の一意識別子を使用するか、又はこれに基づいて保存場所を検索したり（たとえば、データベース検索）、地理的動作位置情報を読み取ったりするなどして、その保存場所から地理的動作位置情報を取得することにより、所望の地理的動作位置を特定する。

１１２５で、方法１１０１は、所望の地理的動作位置が許可された地理領域内にあるか、そのサブセットであるか、その一部であるか、あるいはこれと一致しているかを確認する。さまざまな実装形態では、この許可された地理領域は、当該ＲＳＵ装置の登録証明書内で指定されているか、１１２０で受信した初期要求の一部として指定されているか、かつ／又は図１０の方法１００１の操作１０１０若しくは操作１０５０の一部として、当該ＲＳＵ装置と関連付けられたＳＭＳデータベース４０６内に保存されていてもよく、また拡張ＳＣＭＳ４００は、許可された地理領域をそれらのソースのうちの１つ又はそれ以上から取得してもよい。

図示している実装形態では、拡張ＳＣＭＳ４００は、所望の地理的動作位置を許可された地理領域（たとえば、当該ＲＳＵの登録証明書で指定されている地理領域）と照合するか、又は解析し、この所望の地理位置が許可された地理領域内にないか、そのサブセットでないか、あるいはこれと一致していない場合（操作１１２５で「いいえ」）、方法１１０１は操作１１２７へと分岐して、当該ＲＳＵ用のそのアプリケーション証明書を求める要求を却下する。たとえば、この所望の地理位置がバージニア州の道路の一区間であり、なおかつ許可された地理領域がメリーランド州及びデラウェア州である場合、この要求は却下される。さまざまな実装形態では、この要求を却下することは、要求側ＲＳＵ若しくは当該ＲＳＵの所有者／ユーザなどの要求側エンティティ又は装置に対して、拡張ＳＣＭＳ４００がエラーメッセージを送信することを含んでいてもよい。

一方、この所望の地理位置が許可された地理領域内にあるか、あるいはこれと一致している場合（操作１１２５で「はい」）、方法１１０１は操作１１３０へと分岐し、当該ＲＳＵ用に要求されている１つ又はそれ以上のアプリケーション証明書を生成して、提供又は返送する。この所望の地理位置がメリーランド州にある交差点であり、なおかつ許可された地理領域がメリーランド州及びデラウェア州である場合、ＳＣＭＳ４００は当該ＲＳＵのアプリケーション証明書を生成することになり、またこのアプリケーション証明書には、当該地理的動作位置をメリーランド州にある交差点として指定する情報が含まれることになる。ＳＣＭＳ４００は、次いで新規のアプリケーション証明書を要求者に送信するか、又は提供する。

いくつかの実施形態では、１１３０で拡張ＳＣＭＳ４００は、要求されているアプリケーション証明書と共に、ＬＰＦ及び／又はＬＣＣＦを当該ＲＳＵ装置に対してさらに提供又は返送してもよい。いくつかの実装形態では、当該ＲＳＵ装置に返送される情報を、１１２０で受信される装置識別子に基づいて決定することができる。たとえば、ここで返送されるＬＰＦは、当該ＲＳＵ装置と関連付けられた当該ＲＳＵの所有者によって選択かつ／又はカスタマイズされる、当該ＲＳＵ装置のタイプのＬＰＦと一致させることができる。さらに、１１３０でアプリケーション証明書及び／又は他の情報を当該ＲＳＵ装置に提供した後、拡張ＳＣＭＳ４００は当該ＲＳＵ装置の状態を、ＳＭＳデータベース４０６において「プロビジョニング済み」、又は「部分的にプロビジョニング済み」に設定してもよい。さまざまな実装形態では、プロビジョニング済みの装置の状態とは、装置が自身のアプリケーション証明書、並びにたとえばＬＰＦ及びＬＣＣＦなどの他のファイルを有することを示すものである。部分的にプロビジョニング済みの装置の状態を使用して、コンピュータ化装置がこれらのデジタル資産の一部のみを有することを示すことができる。

図１２は、本発明の実装形態と一致する、配備されるＲＳＵ装置に対して非初期のデジタル資産を提供するための方法１２０１の一実施例を示した図である。さまざまな実施形態では、方法１２０１は、拡張ＳＣＭＳ４００、及び当該ＲＳＵを使用しており、なおかつ現時点で、従前に配備された場所とは異なる新たな地理位置へと当該ＲＳＵを配備する必要のある当該ＲＳＵ又は当該ＲＳＵ装置の所有者／ユーザによって実行されてもよい。たとえば、可搬型ＲＳＵは従前に図１１で初期プロビジョニングされていてもよく、また当該ＲＳＵは、たとえば当該ＲＳＵがその日に道路工事作業員によって使用される予定の新たな地理的動作位置を反映している、１つ又はそれ以上の新規のアプリケーション証明書での再プロビジョニングを要求してもよい。当該ＲＳＵが、新たな地理的動作位置を反映している１つ又はそれ以上の新規のアプリケーション証明書で再プロビジョニングされていない場合、Ｖ２Ｘ車両は当該ＲＳＵによってブロードキャストされる情報を無視又は却下することになり、これはなぜなら、その現在の地理位置にその情報が該当しないことを、これらの車両が認識するためである。

図示している実施例では、方法１２０１を、１１１５にあるように、ＲＳＵ装置内に地理位置情報を構成することから任意で開始することができる。たとえば、当該ＲＳＵ所有者は、前述したように、地理的動作位置情報を当該ＲＳＵ装置の不揮発性メモリに書き込んだり、保存したりしてもよい。

１２０５で、方法１２０１は、１つ又はそれ以上の非初期のアプリケーション証明書、すなわちそのＲＳＵの最初又は初期の証明書（図１１に記載したもの）ではない証明書を求める要求を受信することを含む。さまざまな実装形態では、この１２０５の要求は、期限が切れているか、又は交換が必要である可能性のあるアプリケーション証明書をすでに有するＲＳＵ装置によって、ＳＣＭＳ４００に対して送信又は提供されるか、あるいはＣＭＰ４０２を介してユーザからこの要求が送信されてもよい。さまざまな実装形態では、この要求は、図１１に関して前述したように、当該ＲＳＵ装置の識別子を含んでいてもよい。

いくつかの実装形態では、当該ＲＳＵの非初期のアプリケーション証明書を求める要求は、当該ＲＳＵに提供される非初期のアプリケーション証明書に含まれるか、又はその一部になり、また前述したように、当該ＲＳＵの地理的に稼働予定の場所を指定している、当該ＲＳＵの所望の地理的動作位置を示す情報をさらに含むことになる。１２０５で受信される非初期要求をＲＳＵ装置が送信しているいくつかの実施形態では、当該ＲＳＵ装置は、１１１５で当該ＲＳＵ装置に保存される地理的動作位置情報を読み取り、その地理的動作位置情報を使用して、非初期要求を定式化してもよい。さまざまな実施形態では、この非初期要求は、所望の地理的動作位置情報フィールドが追加されて改良されたＥｅＲａ＊証明書プロビジョニング要求であってもよく、これにより、当該ＲＳＵは、適切な地理的動作位置情報を含むアプリケーション証明書を要求することができる。

１２１０で、たとえば拡張ＳＣＭＳ４００によって実行されるような方法１２０１は、当該ＲＳＵ装置がＳＣＭＳシステム４００を使用すること、及び／又は非初期のアプリケーション証明書などのデジタル資産の提供を受けることを許可されているかどうかを判定又は確認することができる。たとえば、拡張ＳＣＭＳ４００は、当該ＲＳＵ装置のユーザ、又はこれと関連付けられたユーザのアカウントからの情報、あるいはこれと関連付けられた情報にアクセスして、当該ＲＳＵ装置が、たとえばアクティブステータスの承認済み装置であるかどうかを判定することができる。

１２２０で、当該ＲＳＵ装置が承認済みでない場合（１２２０で「いいえ」）、方法１２０１は非承認のワークフロー１２４０へと分岐し、この場合当該ＲＳＵ装置は、要求されている非初期のアプリケーション証明書の受信を拒否又は却下される。拡張ＳＣＭＳ４００は、非承認の装置に対して証明書を提供することはない。支払いの失敗、侵害、失効ステータス、盗難ステータス、誤操作ステータス、非アクティブステータスなどにより、装置が非承認となる場合がある。さまざまな実装形態では、ＲＳＵ所有者などのエンドエンティティは、このエンティティによって登録されたか、又はこれと関連付けられたＶ２Ｘ装置のステータスを、アクティブと非アクティブとの間で変更してもよい。たとえば、ＲＳＵ装置が作業員から盗まれたり、又は侵害された場合、当該ＲＳＵの所有者は拡張ＳＣＭＳ４００へとログインして、そのＲＳＵ装置のステータスをアクティブから非アクティブへと変更してもよい。いくつかの実装形態では、非承認のワークフロー１２４０を、図３に関して前述したように、当該ＲＳＵ装置と関連付けられたエンドエンティティ（たとえば、所有者）用にカスタマイズしてもよい。

一方、当該ＲＳＵ装置がデジタル資産を受信することを許可されている場合（１２２０で「はい」）、方法１２０１は１１２２へと岐する。

１１２２で、方法１２０１は、当該ＲＳＵ装置の所望の、又は要求されている地理的動作位置を特定する。これは、図１１に関して上述したように、個々の実施形態及び実装形態のために別々の方法で行ってもよい。

１１２５で、方法１２０１は、図１１に関して上述したように、１１２２で特定された所望の地理的動作位置が許可された地理領域内にあるか、そのサブセットであるか、その一部であるか、あるいはこれと一致しているかを確認する。

図示している実装形態では、この所望の地理的動作位置が許可された地理領域のサブセットでない場合（操作１１２５で「いいえ」）、方法１２０１は操作１１２７へと分岐して、当該ＲＳＵ用のそのアプリケーション証明書を求める要求を却下する。たとえば、この所望の地理的動作位置がバージニア州の緯度座標と経度座標とによって指定されており、なおかつ許可された地理領域がメリーランド州及びデラウェア州である場合、この要求は１１２７で却下される。

一方、この所望の地理的動作位置が許可された地理領域内にある場合（操作１１２５で「はい」）、方法１２０１は操作１２３０へと分岐し、当該ＲＳＵ用に要求されている１つ又はそれ以上の非初期のアプリケーション証明書を生成して、提供又は返送する。ここで生成される１つ又はそれ以上の非初期のアプリケーション証明書は、１１２２で特定された地理的動作位置を示す情報を包含しているか、又は含んでいてもよい。たとえば、この所望の地理的動作位置がメリーランド州の緯度座標と経度座標とによって指定されており、なおかつ許可された地理領域がメリーランド州及びデラウェア州である場合、ＳＣＭＳ４００は当該ＲＳＵの１つ又はそれ以上の非初期のアプリケーション証明書を生成して送信してもよく、またここで提供される１つ又はそれ以上のアプリケーション証明書には、当該地理的動作位置を緯度座標と経度座標とによって指定されたものとして指定する情報が含まれていてもよい。

図１２に示す実装形態の変形形態では、拡張ＳＣＭＳ４００は、方法１２０１と同様の方法で、配備されたＲＳＵなどの配備された装置に関連する他の要求を処理してもよい。たとえば、拡張ＳＣＭＳ４００は、当該装置が初期配備された後、ＲＳＵなどの装置に対してＬＰＦを提供又は構成することを求める要求を受信してもよい。そのような変形形態では、このＬＰＦを提供又は構成することを求める要求は、１週間あたりに発行して使用すべき許可済みのアプリケーション証明書の数の変更を求める要求であってもよく、また拡張ＳＣＭＳ４００は、要求側ＲＳＵ装置の既存のＬＰＦをこの新たな構成で更新し（又は新規のＬＰＦを作成した）、次いでこの更新済みの、又は新規のＬＰＦを要求側ＲＳＵに対し、たとえば当該ＲＳＵ装置が次に拡張ＳＣＭＳ４００に接続するときに送信するか、あるいは提供してもよい。

図１３Ａ及び図１３Ｂは、本発明の実装形態と一致する、地理位置情報を含むアプリケーション証明書などのデジタル資産を、１つ又はそれ以上のテナントに対して安全に提供するためのプロセス１３００の一実施例を示す、スイムレーン図である。プロセス１３００によって示す実装形態では、仮想登録局を使用して、複数のテナントに証明書を提供する。

具体的には、図１３Ａ及び図１３Ｂに示すプロセス１３００の実施例は、ＲＳＵ装置８１０などのＶ２Ｘ装置に地理位置情報を含む証明書を提供するために拡張ＳＣＭＳのコンポーネント間で発生する、要求及び応答の交換を含む。ただし、本明細書に記載の実装形態は、Ｖ２Ｘ装置のマルチテナント操作に限定されるものではなく、また開示している原理は、たとえばＩｏＴ装置など、他のタイプのコンピュータ化装置及びコンピュータ制御装置に適用することができる。

さまざまな実装形態では、プロセス１３００又は示している操作の一部若しくは全部は、コンピューティングシステム（１つ又はそれ以上のプロセッサあるいは１つ又はそれ以上のコンピューティングサブシステムを含んでいてもよい）上で実行されるコードによって、又はハードウェアのみのシステムによって、あるいはこれら２つを組み合わせたシステムによって実行されてもよい。図１３Ａ及び図１３Ｂの上部に示すように、プロセス１３００に関与するエンティティ又は装置は、ＲＳＵ装置１３１０と、ＳＣＭＳホスト１３０８と、仮想登録局１３２０と、仮名証明書認証局１３４０とを備える。さまざまな実装形態では、これらの装置は、図１３Ａ及び図１３Ｂに関して以下に、かつ本開示全体にわたって記載しているように、地理位置情報付き証明書を提供するプロセス１３００の一部としてタスクを実行するために、互いに通信し合ってもよい。

いくつかの実装形態では、ＳＣＭＳホスト１３０８は、仮想登録局１３２０をホストする１つ又はそれ以上のコンピューティングシステム（たとえば、安全なサーバ又は専用サーバ）であってもよい。プロセス１３００は、プロビジョニング要求を送信するコンピュータ化装置（たとえば、ＲＳＵ装置８１０）と通信している拡張ＳＣＭＳ（たとえば、拡張ＳＣＭＳ４００）によって実行することができる。

拡張ＳＣＭＳは、図８に関して上述したものと同様に、仮想登録局１３２０と、１つ又はそれ以上のリンケージ認証局１３５０、１３６０と、仮名証明書認証局１３４０とを備えていてもよい。

図１３Ａの実施例に示すように、プロセス１３００は、ＲＳＵ装置１３１０において地理情報を構成することを含む１３０３で開始される。さまざまな実装形態では、これは、たとえば図１０の操作１０４０に関して記載したように、ＲＳＵ装置１３１０に地理領域情報と共にインストールされる登録証明書を構成することによって、かつ／又は、たとえば図１１の操作１１１５に関して記載したように、ＲＳＵ装置１３１０のメモリに地理的動作位置情報を書き込むか、若しくは保存することによって行われてもよい。

次いで操作１３０５で、ＲＳＵ装置１３１０は、地理的動作位置情報を含むアプリケーション証明書を求めるプロビジョニング要求を、ＳＣＭＳホスト１３０８に対して送信する。いくつかの実施形態では、図示のように、操作１３０５におけるプロビジョニング要求はＲＳＵ装置１３１０から直接送信され、また図８に関して前述したように、テナント識別子（ＩＤ）と共にＲＳＵ装置１３１０の所望の地理的動作位置を含んでいてもよい。

さまざまな実施形態では、ＲＳＵ装置１３１０は、その登録証明書からの情報を使用して、プロビジョニング要求を形成してもよい。Ｖ２Ｘ環境（たとえば、ＣＡＭＰで規定されている）では、登録証明書には、アプリケーションのアクセス許可（ＰＳＩＤ値で識別される）と、ＲＳＵ及びＯＢＵそれぞれに許可された地理領域とを含める必要がある。ＣＡＭＰで規定されている従来の環境では、ＲＳＵ装置又はＯＢＵ装置は、当該登録証明書に含まれるＰＳＩＤ値と一致しているアプリケーション証明書及び／又は仮名証明書のみを取得することができる。

ＲＳＵ装置１３１０が仮想登録局１３２０の識別子を含むプロビジョニング要求をＳＣＭＳホスト１３０８に対して送信した後、操作１３０７でＳＣＭＳホスト１３０８は、次いで当該要求からのテナントＩＤ（たとえば、テナントＡのＵＵＩＤ又は他の一意識別子）を解析し、これによってそのテナントを処理する仮想登録局１３２０に対して当該要求をルーティングできるようにする。このように、プロセス１３００では、単一のＳＣＭＳホスト１３０８で複数のテナントにサービスを提供し、カスタム構成を処理することができる。図１３Ａの実施例では、ＳＣＭＳホスト１３０８は操作１３０７で、当該要求からのテナントＡのテナントＩＤを解析する。特定の実装形態では、プロビジョニング要求には、テナントＡのテナントＩＤを示すメタデータが含まれ、この場合、このテナントＩＤをハッシュ、ＵＵＩＤ、又はテナントの識別情報を表示しない他のタイプの一意ＩＤとすることができる。

次いで１３０９で、ＳＣＭＳホスト１３０８は、登録証明書認証局に照らして当該テナントの検証を行って、当該テナントに別個の登録証明書認証局が存在しているかどうかを判定する。たとえば、ＳＣＭＳホスト１３０８は検索を実行して、装置１３１０の特定の登録証明書が特定のテナント（たとえば、図１３Ａの実施例ではテナントＡ）によって所有されているか、又はこれと関連付けられているかどうかを確認することができる。したがって、これらのサービス呼び出しの暗号化検証を行って、これらがＲＳＵ装置１３１０に対して認証されているかどうかを確認することができる。

さまざまな実装形態では、操作１３０９で実行される検証又は認証チェックは、ＳＣＭＳホスト１３０８が、署名の検証を含む、プロビジョニング要求を復号化して検証することと、非承認の装置のリスト（たとえば、ブラックリスト）を使用して、当該証明書の送信先であるＲＳＵ装置１３１０の失効ステータスを確認することと、当該要求者（たとえば、装置１３１０）がＳＣＭＳホスト１３０８から証明書を要求することを許可されているかどうかを判定することとを含んでいてもよい。たとえば、操作１３０９は、メーカー所属のユーザが承認済みユーザ（たとえば、スタッフの一部）であるかどうかを判定することを含んでいてもよい。いくつかの実装形態では、ＳＣＭＳホスト１３０８は１３０９で、証明書を受信するためのコンピュータ化装置（たとえば、ＲＳＵ１３１０）が、その使用を承認されているかどうかをさらに判定してもよい。場合によっては、承認済み装置のリスト（たとえば、ホワイトリスト）が規制者によって提供され、この判定を行うために使用されてもよい。

当該テナントが検証又は認証チェックに合格した場合、次いで１３１１で、ＳＣＭＳホスト１３０８は、プロビジョニング要求が受信されたことを確認する一般的な確認応答（ＡＣＫ）メッセージを送信し、このメッセージはＲＳＵ装置１３１０が１３１２で受信することになる。

１３１１で、ＳＣＭＳホスト１３０８は、図１１の操作１１２５に関して前述したように、所望の地理的動作位置がＲＳＵ装置１３１０の許可された地理領域内にあるか、そのサブセットであるか、あるいはこれと一致しているかを確認又は判定する。

１３１３で、証明書を求める要求及び所望の地理的動作位置が検証された後、ＳＣＭＳホスト１３０８は、テナントＡのテナントＩＤを含むプロビジョニング要求を開始する。図１３Ａの実施例では、テナントＩＤはＵＵＩＤとして具体化されている。これにより、要求されている１つ又はそれ以上の証明書を生成するための操作が開始され、この証明書には、地理的動作位置情報が含まれることになる。

図１３Ａに示す実施例では、１３２３でＳＣＭＳホスト１３０８は、テナントＡのポリシーパラメータを確認し、これらのポリシーパラメータに応じて、仮名証明書認証局１３４０から正しい量の地理位置制限付きアプリケーション証明書を求める要求を生成する。一実施例では、操作１３２３は、操作１３０７から解析されたテナントＩＤを使用して、ＳＣＭＳホスト１３０８が、特定のアプリケーション証明書要求に関して準拠すべきポリシーパラメータを決定することと、要求１３０５からの地理的動作位置情報を使用して、仮名証明書認証局１３４０からのアプリケーション証明書に含めるべき地理的動作位置を指定することとを含んでいてもよい。

１３２５で、仮想登録局１３２０は、アプリケーション証明書を求める要求を仮名証明書認証局１３４０に対して送信する。この要求は、仮想登録局１３２０によって作成されるアプリケーション証明書生成要求のバッチとして送信されてもよい。

１３２７で、アプリケーション証明書を求める要求が仮名証明書認証局１３４０において受信される。１３２７で当該要求を受信したことに応答して、仮名証明書認証局１３４０は、テナントＡが異なる証明書チェーン又はキーを使用して証明書に署名するための情報を、必要に応じて使用する。１３２７で、仮名証明書認証局１３４０は、要求されている地理位置制限付きアプリケーション証明書を生成し、次いで生成されたアプリケーション証明書を仮想登録局１３２０へと返送する。１３２９で、地理位置制限付きアプリケーション証明書が仮想登録局１３２０において受信される。

次いで図１３Ｂに示すように、１３３１でＲＳＵ装置１３１０は、たとえば図８Ｂに関して前述したように、地理位置制限付きアプリケーション証明書のバッチのダウンロードを求める要求をＳＣＭＳホスト１３０８に対して送信してもよい。

操作１３３３で、ＳＣＭＳホスト１３０８は、バッチのダウンロード要求からのテナントＩＤを解析する。次いで１３３５で、ＳＣＭＳホスト１３０８は、登録証明書認証局に照らして当該テナントの検証を行って、当該テナントに別個の登録証明書認証局が存在しているかどうかを判定する。

次いで１３３７で、ＳＣＭＳホスト１３０８は、テナントＡのポリシーが実施されていることを確認する。操作１３３７は、操作１３３３から解析されたテナントＩＤを使用して、ＳＣＭＳホスト１３０８が、特定のバッチアプリケーション証明書ダウンロード要求に関して準拠すべきポリシーパラメータを決定することを含み得る。たとえば、１３３７は、ＲＳＵ装置１３１０のローカルポリシーパラメータをその装置のＬＰＦから取得することを含んでいてもよい。テナントＡのポリシーが、要求されているアプリケーション証明書のバッチに関して実施されていることを確認した後、制御が操作１３３９へと渡される。

１３３９で、地理位置制限付きアプリケーション証明書が、たとえば仮想登録局１３２０から準備されると、ＳＣＭＳホスト１３０８は、このアプリケーション証明書を装置１３１０へと送信又は返送する。１３４１で、装置１３１０は地理位置制限付きアプリケーション証明書を受信する。この時点で、装置１３１０は地理位置制限付きアプリケーション証明書をプロビジョニングされ、また装置１３１０は、これらのアプリケーション証明書を使用することができるようになる。

付加的な又は代替的な実装形態では、上記の図１０～図１３に関して記載したものと同様のシステム、装置、及びプロセスを使用して、たとえば現在の地理的動作制限を含むデジタル資産を必要としている他のＶ２Ｘ装置などの他のコンピュータ化装置に対して証明書をプロビジョニングすることができる。

他の付加的な又は代替的な実装形態では、上記の図１０～図１３に関して記載したものと同様のシステム、装置、及びプロセスを使用して、５つの異なる交差点の地理座標を含むアプリケーション証明書、又は１０個の異なる道路区間と一致している１０個の異なる地理的領域の仕様を含むアプリケーション証明書など、複数の地理的動作位置情報を含む地理的制限付きアプリケーション証明書を作成し、プロビジョニングし、かつ使用することができる。そのような実装形態では、ＲＳＵ装置は、当該ＲＳＵのアプリケーション証明書に保存されている複数の地理的動作位置のいずれかで、又はその中で正常に稼働することになる。そのような実装形態の使用例では、２週間にわたって１０か所の異なる場所で作業することを計画している作業員は、それら１０か所の異なる地理的動作位置情報を含むアプリケーション証明書を要求し、かつそのＲＳＵ装置にプロビジョニングしてもよく、これにより、アプリケーション証明書を再プロビジョニングする必要性及び頻度が低下することになる。

いくつかのそのような実装形態では、複数の地理的動作位置情報を含むアプリケーション証明書は、当該ＲＳＵ装置が地理的動作位置のそれぞれにおいて正常に稼働している間の各地理的動作位置と関連付けられた期間（たとえば、１日又は１週間）をさらに含んでいてもよい。たとえば、アプリケーション証明書の情報に従って、第１の地理的動作位置情報は１月１日に正常に稼働させる場合にのみ有効となってもよく、第２の地理的動作位置情報は１月２日～１月４日までの期間に正常に稼働させる場合にのみ有効となってもよい。

別の同様の付加的な又は代替的な実装形態では、本システムは、当該ＲＳＵに複数のアプリケーション証明書をプロビジョニングすることができ、また当該ＲＳＵは複数のアプリケーション証明書を使用することができ、これら複数のアプリケーション証明書はそれぞれ、単一の地理的動作位置情報、及びその証明書によって当該ＲＳＵが正常な稼働を許可される特定の期間のみが含まれる。この変形形態の実施例では、第１のアプリケーション証明書は当該ＲＳＵが１月１日にのみ使用してもよく、またその日に第１の地理的動作位置で正常に稼働させる場合にのみ有効であってもよく、一方で第２の地理的動作位置情報を含む第２のアプリケーション証明書は、当該ＲＳＵを１月２日～１月４日までの期間中、第２の地理的動作位置で正常に稼働させる場合にのみ使用してもよい。本実装形態では、ＲＳＵユーザは、その後数日間（たとえば、その後１～２週間）にいくつかの作業現場の場所それぞれに必要な地理的制限付きアプリケーション証明書をＲＳＵにプロビジョニングすることができる。

本明細書に記載しているように、本発明と一致するさまざまな実装形態は、現行（従来）のプロビジョニングシステムの技術的欠点を解決し、またＶ２Ｘ環境の技術的要件を満たすものである。本明細書の実施例に記載しているように、さまざまな実装形態は、複数の加入者（たとえば、テナント）が使用でき、各加入者に一意の設定機能を付与することができ、なおかつ配備されるＶ２Ｘ装置に必要な加入者固有の更新をもたらすことができる拡張ＳＣＭＳ４００を提供する。本発明と一致するさまざまな実装形態により、ＲＳＵが製造現場で地理領域情報を初期プログラム／プロビジョニングされ、次いで所有者／オペレータに出荷された後、当該所有者／オペレータの現場（特別な現場である必要はない）において、たとえば現在のアプリケーションのアクセス許可及び地理的制限情報などを有するアプリケーション証明書など、正常に運用されるデジタル資産を安全にプログラム又はプロビジョニングされるようになる。

本明細書に記載しているように、本発明と一致するさまざまな実施形態により、ＳＣＭＳ加入者（たとえば、ＲＳＵを所有又は使用しているテナント）が、ＣＭＳ管理ポータル４０２、安全な電子メール、ＣＡＭＰ規定のエンドエンティティからＲＡへの通信（本明細書に記載しているように修正された）を介して、又は当該装置のシリアル番号を使用し、かつ従来のインターネット接続されたコンピュータを使用することでＲＥＳＴ ＡＰＩにより、１つ又はそれ以上の新規の地理位置制限付き証明書を要求できるようになる。ここに記載している拡張ＳＣＭＳ４００は、初期の製造プロビジョニング手順から、当該シリアル番号が拡張ＳＣＭＳ４００に認識されているかどうかを（たとえば、当該装置が承認済みであるかどうかを）確認又は判定しており、これはなぜなら、本システムが製造時に、記載している我々のマルチステップ型プロビジョニングプロセスの一部として、このシリアル番号を取得しているためである。シリアル番号の検証に成功すると、本ＳＣＭＳは、当該ＲＳＵに関して要求されている新たな地理位置が当該ＲＳＵの許可された地理領域内にある（たとえば、初期プロビジョニング時に製造元が設定したとおり）ことを確認し、次いで要求されている新たな地理位置を含む要求されたアプリケーション証明書を、当該ＲＳＵに対して発行する。

本発明と一致するいくつかの実装形態により、ＳＣＭＳ加入者（たとえば、テナント）は、ＣＭＳ管理ポータル４０２、安全な電子メール、又はＲＥＳＴ ＡＰＩを介して、拡張ＳＣＭＳ４００においてそれらが関連付けられる元となる、必要なＰＳＩＤ（プロバイダーサービス識別子）及び当該装置のシリアル番号を事前登録することができるようになる。当該ＲＳＵからアプリケーション証明書を求める要求を受信すると（たとえば、１１２０、１２０５で）、ＳＣＭＳ４００は登録証明書を使用して、当該装置の関連付けられたシリアル番号を識別することになる。ＳＣＭＳ４００は、次いでシリアル番号を使用して、正しいＰＳＩＤと、地理領域情報などの他のデータとを識別し、その後ＳＣＭＳ４００は、適切に構成されたアプリケーション証明書を作成し、それらを要求側ＲＳＵへと返送することになる。

前述の実施例では、説明を明確にするために、ＯＢＵ、ＥＣＵ、及びＲＳＵなどのコンピュータ化装置の特定の例を使用しているが、本発明はそれらの特定の例に限定されない。これらの新たな機能、装置、及び方法を例示するために本明細書で使用しているＶ２Ｘ装置に加えて、地理的な動作制限が必要な装置を含むあらゆるＩｏＴ装置に対して、これらを同様に適用してもよい。したがって、本発明と一致するさまざまな実装形態を、とりわけ医療機器（たとえば、透析装置、輸液ポンプなど）、ロボット、ドローン、自動運転車、及び無線通信モジュール（たとえば、埋込みユニバーサル集積回路カード（ｅｍｂｅｄｄｅｄ Ｕｎｉｖｅｒｓａｌ Ｉｎｔｅｇｒａｔｅｄ Ｃｉｒｃｕｉｔ Ｃａｒｄｓ：ｅＵＩＣＣ））などの多種多様なコンピュータ化装置と共に、かつそれらのために使用してもよい。

本明細書に記載のアプリケーションのさまざまな操作は、１つ又はそれ以上のＶＭによって少なくとも部分的に実行されてもよい。付加的な又は代替的な実装形態では、本明細書に記載のアプリケーションの操作は、関連する操作を実行するように一時的に（たとえばソフトウェアによって）構成されているか、又は永続的に構成されている１つ又はそれ以上のプロセッサによって、少なくとも部分的に実行されてもよい。一時的に又は永続的に構成されているかどうかにかかわらず、そのようなプロセッサは、本明細書に記載している１つ又はそれ以上のアプリケーション操作、機能、及び役割を実行するように動作するプロセッサ実装モジュールを構成していてもよい。本明細書で使用する場合、「プロセッサ実装モジュール」という用語は、１つ又はそれ以上のプロセッサを使用して実装されたハードウェアモジュールを指す。

同様に、本明細書に記載している方法は、少なくとも部分的にプロセッサ実装されていてもよく、ここで特定のプロセッサ又は複数のプロセッサは、ハードウェアの例である。たとえば、ある方法の操作の少なくとも一部は、１つ又はそれ以上のプロセッサ若しくはプロセッサ実装モジュールによって実行されてもよい。さらに、これら１つ又はそれ以上のプロセッサは、「クラウドコンピューティング」環境で、あるいは「サービスとしてのソフトウェア」（ｓｏｆｔｗａｒｅ ａｓ ａ ｓｅｒｖｉｃｅ：ＳａａＳ）として関連する操作の実行性をサポートするように動作してもよい。たとえば、これらの操作の少なくとも一部は、コンピュータのグループによって実行されてもよく（プロセッサを含む機械の例として）、これらの操作はネットワーク（たとえば、インターネット）を介して、かつ１つ又はそれ以上の適切なインターフェース（たとえば、ＡＰＩ）を介して利用可能である。

これらの操作のある部分の実行性はプロセッサ間で分散し、単一のマシン内に存在するだけでなく、複数のマシンを横断してもたらされる場合がある。いくつかの例示的な実装形態では、プロセッサ又はプロセッサ実装モジュールは単一の地理的位置（たとえば、オフィス環境、製造環境、又はサーバファーム内）に配置されてもよい。他の例示的な実装形態では、これらのプロセッサ又はプロセッサ実装モジュールは、複数の地理的位置にわたって分配されてもよい。

本発明の他の実装形態は、本明細書に開示している本発明の仕様及び実施を考慮すれば、当業者には明らかとなる。本明細書及び実施例は例示としてのみ考慮されることを意図しており、本発明の真の範囲は以下の特許請求の範囲によって示される。

Claims (20)

1. 拡張セキュリティ証明書管理システム（ＳＣＭＳ）ホストによって実行される、登録証明書及びアプリケーション証明書を含む路側機（ＲＳＵ）装置を安全にプロビジョニングするための方法であって、前記ＲＳＵ装置は、前記登録証明書及び前記アプリケーション証明書の両方に従って地理的に制限されており、前記方法は、
   前記ＲＳＵ装置に対して前記登録証明書を提供することであって、前記登録証明書は、前記ＲＳＵ装置の地理領域を指定している、ことと、
   前記ＲＳＵ装置のアプリケーション証明書を求める要求を受信することと、
   前記要求に応答して、前記ＲＳＵ装置の地理的動作位置を特定することと、
   前記地理的動作位置が前記地理領域内にあるかどうかを確認することと、
   前記地理的動作位置の情報を含むアプリケーション証明書を生成することと、
   前記要求に応答して、前記地理的動作位置の情報を含む前記アプリケーション証明書を前記ＲＳＵ装置に対して提供することとを含み、これにより前記ＲＳＵ装置は、前記アプリケーション証明書の前記地理的動作位置の情報に従って地理的に制限される、
   登録証明書及びアプリケーション証明書を含む路側機（ＲＳＵ）装置を安全にプロビジョニングするための方法。
2. 前記要求が、前記ＲＳＵ装置の前記地理的動作位置の情報を含み、また前記要求に応答して、前記ＲＳＵ装置の地理的動作位置を特定することが、前記要求から前記地理的動作位置の情報を取得することを含む、請求項１に記載の方法。
3. 前記要求が前記ＲＳＵ装置から受信される、請求項２に記載の方法。
4. 前記ＲＳＵ装置が前記地理的動作位置の情報で構成されており、また前記ＲＳＵ装置が、前記要求内に前記地理的動作位置の情報を含む、請求項３に記載の方法。
5. 前記アプリケーション証明書を求める前記要求を受信する前に、前記ＲＳＵ装置の前記地理的動作位置の情報の保存を求める要求を受信することであって、前記要求が、前記ＲＳＵ装置の前記地理的動作位置の情報を含む、ことと、
   前記要求に応答して、前記ＲＳＵ装置の前記地理的動作位置の情報を保存することとをさらに含み、
   前記要求に応答して、前記ＲＳＵ装置の地理的動作位置を特定することが、保存された前記地理的動作位置の情報を取得することを含む、
   請求項１に記載の方法。
6. 前記地理的動作位置の情報の保存を求める前記要求が、前記ＲＳＵ装置のユーザから受信される、請求項５に記載の方法。
7. 前記地理領域が国又は州である、請求項１に記載の方法。
8. １つ又はそれ以上のプロセッサによって実行されると、登録証明書及びアプリケーション証明書を含む路側機（ＲＳＵ）装置を安全にプロビジョニングするための方法を実行する命令を含む、コンピュータで読み取り可能な非一時的媒体であって、前記ＲＳＵ装置は前記アプリケーション証明書に従って地理的に制限されており、前記方法は、
   前記ＲＳＵ装置に対して前記登録証明書を提供することであって、前記登録証明書は、前記ＲＳＵ装置の地理領域を指定している、ことと、
   前記ＲＳＵ装置のアプリケーション証明書を求める要求を受信することと、
   前記要求に応答して、前記ＲＳＵ装置の地理的動作位置を特定することと、
   前記地理的動作位置が前記地理領域内にあるかどうかを確認することと、
   前記地理的動作位置の情報を含むアプリケーション証明書を生成することと、
   前記要求に応答して、前記地理的動作位置の情報を含む前記アプリケーション証明書を前記ＲＳＵ装置に対して提供することとを含み、これにより前記ＲＳＵ装置は、前記アプリケーション証明書の前記地理的動作位置の情報に従って地理的に制限される、
   コンピュータで読み取り可能な非一時的媒体。
9. 前記要求が、前記ＲＳＵ装置の前記地理的動作位置の情報を含み、また前記要求に応答して、前記ＲＳＵ装置の地理的動作位置を特定することが、前記要求から前記地理的動作位置の情報を取得することを含む、請求項８に記載のコンピュータで読み取り可能な非一時的媒体。
10. 前記要求が前記ＲＳＵ装置から受信される、請求項９に記載のコンピュータで読み取り可能な非一時的媒体。
11. 前記ＲＳＵ装置が前記地理的動作位置の情報で構成されており、また前記ＲＳＵ装置が、前記要求内に前記地理的動作位置の情報を含む、請求項１０に記載のコンピュータで読み取り可能な非一時的媒体。
12. 前記方法が、
    前記アプリケーション証明書を求める前記要求を受信する前に、前記ＲＳＵ装置の前記地理的動作位置の情報の保存を求める要求を受信することであって、前記要求が、前記ＲＳＵ装置の前記地理的動作位置の情報を含む、ことと、
    前記要求に応答して、前記ＲＳＵ装置の前記地理的動作位置の情報を保存することとをさらに含み、
    前記要求に応答して、前記ＲＳＵ装置の地理的動作位置を特定することが、保存された前記地理的動作位置の情報を取得することを含む、
    請求項８に記載のコンピュータで読み取り可能な非一時的媒体。
13. 前記地理的動作位置の情報の保存を求める前記要求が、前記ＲＳＵ装置のユーザから受信される、請求項１２に記載のコンピュータで読み取り可能な非一時的媒体。
14. 前記地理領域が国又は州である、請求項８に記載のコンピュータで読み取り可能な非一時的媒体。
15. 登録証明書及びアプリケーション証明書を含む路側機（ＲＳＵ）装置を安全にプロビジョニングするためのシステムであって、前記ＲＳＵ装置は前記アプリケーション証明書に従って地理的に制限されており、前記システムは、
    命令を含む１つ又はそれ以上のメモリと、
    以下の操作を実施する命令を実行する、前記１つ又はそれ以上のメモリと動作可能に結合された、１つ又はそれ以上のプロセッサとを備え、前記操作は、
    前記ＲＳＵ装置に対して前記登録証明書を提供することであって、前記登録証明書は、前記ＲＳＵ装置の地理領域を指定している、ことと、
    前記ＲＳＵ装置のアプリケーション証明書を求める要求を受信することと、
    前記要求に応答して、前記ＲＳＵ装置の地理的動作位置を特定することと、
    前記地理的動作位置が前記地理領域内にあるかどうかを確認することと、
    前記地理的動作位置の情報を含むアプリケーション証明書を生成することと、
    前記要求に応答して、前記地理的動作位置の情報を含む前記アプリケーション証明書を前記ＲＳＵ装置に対して提供することとを含み、これにより前記ＲＳＵ装置は、前記アプリケーション証明書の前記地理的動作位置の情報に従って地理的に制限される、
    登録証明書及びアプリケーション証明書を含む路側機（ＲＳＵ）装置を安全にプロビジョニングするためのシステム。
16. 前記要求が、前記ＲＳＵ装置の前記地理的動作位置の情報を含み、また前記要求に応答して、前記ＲＳＵ装置の地理的動作位置を特定することが、前記要求から前記地理的動作位置の情報を取得することを含む、請求項１５に記載のシステム。
17. 前記要求が前記ＲＳＵ装置から受信される、請求項１６に記載のシステム。
18. 前記ＲＳＵ装置が前記地理的動作位置の情報で構成されており、また前記ＲＳＵ装置が、前記要求内に前記地理的動作位置の情報を含む、請求項１７に記載のシステム。
19. 前記操作が、
    前記アプリケーション証明書を求める前記要求を受信する前に、前記ＲＳＵ装置の前記地理的動作位置の情報の保存を求める要求を受信することであって、前記要求が、前記ＲＳＵ装置の前記地理的動作位置の情報を含む、ことと、
    前記要求に応答して、前記ＲＳＵ装置の前記地理的動作位置の情報を保存することとをさらに含み、
    前記要求に応答して、前記ＲＳＵ装置の地理的動作位置を特定することが、保存された前記地理的動作位置の情報を取得することを含む、
    請求項１５に記載のシステム。
20. 前記地理的動作位置の情報の保存を求める前記要求が、前記ＲＳＵ装置のユーザから受信される、請求項１９に記載のシステム。

Images