(57)【要約】      （修正有）【課題】オンボード電子機器間の検知可能な差異を用いて航空機通信を承認するシステム及び方法を提供する。【解決手段】航空機１３０とオフボードシステム１１０との間でのデータ交換のリクエストを検知し、リクエストの少なくとも１つのパラメータに基づいて、航空機１３０の列線交換ユニットＬＲＵ１４０を選択する。ＬＲＵ１４０の少なくとも１つの電子部品１４２に接続された物理的複製防止手段ＰＵＦ１４４に対してチャレンジを発し、チャレンジに対するＬＲＵ１４０の少なくとも１つの電子部品１４２のレスポンスに基づいてハードウェア署名を取得する。ＰＵＦ１４４は、少なくとも１つの電子部品１４２の固有の物理的特性に基づいてハードウェア署名を引き出す。ハードウェア署名を認証することにより、リクエストを承認するとともに、航空機１３０とオフボードシステム１１０との間のデータ交換を開始する。【選択図】図１
2018113680.tif 000002
【特許請求の範囲】
【請求項１】
航空機とオフボードシステムとの間でのデータ交換のリクエストを検知し、
前記リクエストの少なくとも１つのパラメータに基づいて、前記航空機の列線交換ユニット（ＬＲＵ）を選択し、
前記ＬＲＵの少なくとも１つの電子部品に接続された物理的複製防止手段（ＰＵＦ）に対してチャレンジを発し、
前記チャレンジに対する前記ＬＲＵの前記少なくとも１つの電子部品のレスポンスに基づいてハードウェア署名を取得し、その際に、前記ＰＵＦは、前記少なくとも１つの電子部品の固有の物理的特性に基づいて前記ハードウェア署名を引き出し、
前記ハードウェア署名を認証することにより、前記リクエストを承認するとともに、前記航空機と前記オフボードシステムとの間のデータ交換を開始する、方法。
【請求項２】
さらに、前記リクエストにおける前記データのセキュリティレベルを決定し、
前記データの前記セキュリティレベルに基づいて、ＬＲＵの組み合わせを選択し、
その組み合わせのＬＲＵに接続されたＰＵＦを用いてハードウェア署名を取得し、
前記ハードウェア署名が、信頼できるエンティティーのデータベースに保存されたチャレンジ‐レスポンスの対と一致するかどうかを判断する、請求項１に記載の方法。
【請求項３】
前記リクエストの前記少なくとも１つのパラメータは、前記交換を行おうとする航空機データの種類を含む、請求項１又は２に記載の方法。
【請求項４】
前記リクエストの前記少なくとも１つのパラメータは、前記交換が、前記オフボードシステムから前記航空機へのアップロード作業であることを示すものである、請求項１〜３のいずれか１つに記載の方法。
【請求項５】
前記オフボードシステムは、前記少なくとも１つの電子部品について記録されたチャレンジ‐レスポンスの対のデータベースを含む、請求項１〜４のいずれか１つに記載の方法。
【請求項６】
プロセッサによって実行された際に方法を遂行させるための命令プログラムが記録された非一時的なコンピュータ可読媒体であって、前記方法は、
航空機とオフボードシステムとの間でのデータ交換のリクエストを検知し、
前記リクエストの少なくとも１つのパラメータに基づいて、前記航空機の列線交換ユニット（ＬＲＵ）を選択し、
前記ＬＲＵの１つ又は複数の電子部品に接続された物理的複製防止手段（ＰＵＦ）に対してチャレンジを発し、
前記チャレンジに対する前記ＬＲＵの前記１つ又は複数の電子部品のレスポンスに基づいてハードウェア署名を取得し、その際に、前記ＰＵＦは、前記１つ又は複数の電子部品の固有の物理的特性に基づいて前記ハードウェア署名を引き出し、
前記ハードウェア署名を認証することにより、前記リクエストを承認するとともに、前記航空機と前記オフボードシステムとの間のデータ交換を開始させるようにした、
コンピュータ可読媒体。
【請求項７】
ネットワークを介して航空機データを列線交換ユニット（ＬＲＵ）にアップロードするように動作可能な地上システムを含んで構成され、前記地上システムは、
航空機のＬＲＵへの前記航空機データの前記アップロードをリクエストするように動作可能な航空会社装置と、
前記ＬＲＵに関連付けられた前記航空会社装置からチャレンジを抽出し、前記ＬＲＵに接続されたＰＵＦ回路からハードウェア署名を取得し、前記ハードウェア署名と、前記航空会社装置に保存された、前記チャレンジを含むチャレンジ‐レスポンスの対との一致に基づいて、前記航空機が前記アップロードを受信することを承認するように動作可能なハードウェア承認システムと、を含んでいる、システム。
【請求項８】
前記ハードウェア承認システムは、さらに、前記ＬＲＵに関連付けられたセキュリティレベルを特定するように動作可能である、請求項７に記載のシステム。
【請求項９】
前記ハードウェア承認システムは、さらに、前記ハードウェア署名とチャレンジ‐レスポンスの対との間に不一致があると判断された場合に、警告を生成するように動作可能である、請求項７又は８に記載のシステム。
【請求項１０】
前記ハードウェア承認システムは、さらに、前記ハードウェア署名とチャレンジ‐レスポンスの対との間に不一致があると判断された場合に、前記アップロードを制限するように動作可能である、請求項７〜９のいずれか１つに記載のシステム。
【発明の詳細な説明】
【技術分野】
【０００１】
本開示は、航空機の通信に関し、特に、航空機のデータ交換の承認に関する。
【背景技術】
【０００２】
航空機が空港に着陸すると、航空会社によって運営されているオフボード（off-board）地上システムが、当該航空機と通信して、先の飛行情報を分析用にダウンロードしたり、今後のフライトのために新たなデータを航空機にアップロードしたりすることがある。種々なセキュリティレベルの大量のデータが、航空機が駐機している比較的短期間の間に、交換されることになるかもしれない。認証された当事者間で航空機データが安全に伝送されるように、地上システムのユーザーは、航空機のアイデンティティーを認証しデータ交換を承認するためのデジタルの証明書を用いて、航空機と通信する。しかしながら、航空機とのデータ交換を承認するこの手法は、長期間維持することが難しく、特に追加のクロスチェック及び／又は様々なレベルのセキュリティクリアランスが所望される場合には、効率的且つ確実な承認の実現性が限られている。
【発明の概要】
【０００３】
本明細書に記載の実施形態は、オンボード電子機器間の検知可能な差異を用いて、航空機データ交換を承認する。航空機のオンボードシステムの電子部品に固有の製造変数から、固有のハードウェア署名が得られる。この固有のハードウェア署名を、航空機のマシン同士の自動的な承認に利用することができる。
【０００４】
一実施形態は、航空機とオフボードシステムとの間でのデータ交換のリクエストを検知することと、リクエストの少なくとも１つのパラメータに基づいて、航空機の列線交換ユニット（ＬＲＵ）を選択することとを含む方法である。当該方法は、ＬＲＵの少なくとも１つの電子部品に接続された物理的複製防止手段（ＰＵＦ）に対してチャレンジを発することと、チャレンジに対するＬＲＵの少なくとも１つの電子部品のレスポンスに基づいてハードウェア署名を取得することと、をさらに含む。ＰＵＦは、少なくとも１つの電子部品の固有の物理的特性に基づいてハードウェア署名を引き出す。当該方法は、ハードウェア署名を認証することにより、リクエストを承認するとともに、航空機とオフボードシステムとの間のデータ交換を開始することをさらに含む。
【０００５】
他の例示的な実施形態（例えば、前述の実施形態に関連する方法及びコンピュータ可読媒体）が、以下において説明されうる。上述した特徴、機能、利点は、本願の開示の様々な実施形態によって個別に達成することができ、あるいは、さらに他の実施形態と組み合わせてもよく、そのさらなる詳細は、以下の記載及び図面を参照することによって明らかになるものである。
【図面の簡単な説明】
【０００６】
次に、本開示のいくつかの実施形態を、単なる例示として、添付図面を参照しつつ説明する。全ての図面において、同じ参照符号は、同じ要素又は同じ種類の要素を示している。
【０００７】
【図１】例示的な実施形態における、航空機データを交換するためのシステムを示す図である。
【図２】例示的な実施形態における、航空機データ交換を承認する方法のフローチャートである。
【図３】別の例示的な実施形態における、航空機データを交換するためのシステムを示す図である。
【図４】別の例示的な実施形態における、航空機データ交換を承認する方法のフローチャートである。
【発明を実施するための形態】
【０００８】
図面及び以下の記載は、本開示の特定の例示的な実施形態を説明するものである。なお、当業者であれば、本明細書に明確に記載あるいは図示していないものの、本開示の原理を具体化するとともに本開示の範囲内に含まれる様々な変形を、創出することができるであろう。また、本明細書で説明されているいずれの実施例も、本開示の原理に対する理解を助けるためのものであり、これらの具体的に説明された実施例又は条件は限定的なものではない。従って、本開示は、以下に説明する特定の実施形態又は実施例に限定されるものではなく、請求の範囲及びその均等範囲のみによって限定される。
【０００９】
図１は、例示的な実施形態における、航空機データを交換するためのシステム１００を示している。システム１００は、１つ又は複数のオフボード（off-board）システム１１０、ネットワーク１２０、及び、航空機１３０を含んでいる。航空機１３０が着陸したりオフボードシステム１１０に十分に接近したりすると、航空機１３０と、航空機１３０とは別に当該航空機の外部にある外部オフボードシステム１１０との間で航空機データ（例えば、航空機のソフトウェア部分、コマンド、フライト・オペレーション・ログなど）を交換するために、ネットワーク１２０を介して接続が確立されうる。オフボードシステム１１０は、航空会社、空港、軍隊、あるいは、一群の航空機１３０を管理するその他の団体によって運営される地上システムに組み込むことができる。従って、オフボードシステム１１０は、地上システムとして、航空機データを伝送する、様々なセキュリティレベルの１つ又は複数の航空会社装置１１２（例えば、コンピュータ、ラップトップ、スマートフォンなど）を含みうる。これに代えて、又はこれに加えて、オフボードシステム１１０は、航空機１３０とデータを交換する別の航空機に組み込むこともできる。
【００１０】
各航空機１３０は、通信システム１３２、ファイルサーバー１３４、及び、複数の列線交換ユニット（Line Replaceable Unit：ＬＲＵ）を含む。通信システム１３２は、ネットワーク１２０を介して、航空機１３０の外部にあるオフボードシステム１１０とデータ交換するように動作可能な、通信装置／インターフェイスの任意の組み合わせを含みうる。ネットワーク１２０は、有線または無線の通信媒体の任意の組み合わせを含みうる。ファイルサーバー１３４は、データベース、ファイルシステム、及び／又は、航空機データを保存したり、航空機１３０の内部オンボードシステム及び装置に航空機データを分配したりするように動作可能な他のアーキテクチャを含みうる。
【００１１】
ＬＲＵ１４０は、航空機１３０のオンボード（on-board）システムを構成している。各ＬＲＵ１４０は、他のＬＲＵ１４０から相対的に独立して動作して航空機１３０の特定の機能を担うものであり、航空機機能のモジュール化を実現するとともに、トラブルシューティング及びメンテナンス（例えばソフトウェア更新、部品交換など）の容易化を実現することができる。数多くあるうちでも代表的なＬＲＵ１４０としては、オートパイロット機能をサポートするフライト・コントロール・コンピュータ（ＦＣＣ）、乗客にビデオを表示するインフライト・エンターテインメント・システム（ＩＦＥＳ）、スイッチ及びセンサーの状態を監視するプロキシミティ・スイッチング・エレクトロニクス・ユニット（ＰＳＥＵ）、及び、メンテナンス記録をコンパイルするセントラル・メンテナンス・コンピュータ（ＣＭＣ）がある。従って、各ＬＲＵ１４０は、固有の電子部品１４２（例えば集積回路、プロセッサ、メモリなど）を含みうる。
【００１２】
アビオニクスにおいては、１つの種類のＬＲＵ１４０（例えば、ＦＣＣ、ＩＦＥＳなど）は、同じシリコン製造プロセスによって、まとめて製造されるのが一般的である。これらの同じように製造されたＬＲＵ１４０が、複数の航空機１３０に分配され、これらの航空機は、同じ種類の電子部品１４２、回路レイアウト、ファームウェア、ソフトウェアなどを備えた種類の共通するＬＲＵ１４０を有することになる。一群全体でＬＲＵ１４０の性質が共通していることによって、オフボードシステム１１０は、各航空機１３０とのデータ交換ルーティンを繰り返し行って、効率的な一群の管理及び高品質の制御を行うことができる。オフボードシステム１１０は、一群の各航空機１３０がネットワーク接続に戻ってくると、特定のＬＲＵ１４０又はＬＲＵ１４０の組み合わせを対象として、航空機データのダウンロード及び／又はアップロードを行う。例えば、オフボードシステム１１０は、先の飛行中にプロキシミティ・センサー・エレクトロニクス・ユニット（ＰＳＥＵ）について記録されたセンサー状態のログを抽出したり、インフライト・エンターテインメント・システム（ＩＦＥＳ）に新たなコンテンツを送信したり、今後の飛行のために、フライト・コントロール・コンピュータ（ＦＣＣ）のソフトウェア・アップデートを指示したりすることができる。従って、航空機１３０に対するアップロード／ダウンロードが可能な比較的短期間の間に、種々なセキュリティレベルの大量のデータを交換することができる。
【００１３】
以前のシステムでは、航空機データ交換を承認するために、オフボードシステム１１０のユーザー（及び／又は航空機１３０の乗務員）が、手動でログインするようになっている。いくつかの航空会社システムは、承認を行うために、割り当てられたデジタルの証明書の交換を行っており、これによれば、装置、ユーザー、及び証明書が適切に割り当てられるようにするために、頻繁にメンテナンス及びアップテートが必要である。航空機のデータ交換を承認するためのこの手法は、手間がかかるとともに、長期間維持することが難しく、また、データ交換の適時性を阻害するシステムエラー及びユーザーエラーが起きやすい。
【００１４】
従って、システム１００は、ＬＲＵ１４０の物理的複製防止手段（ＰＵＦ：Physically Unclonable Function）１４４を用いて航空機１３０とオフボードシステム１１０とのデータ交換を承認するように動作可能なハードウェア承認システム１５０によって、改良されている。ハードウェア承認システム１５０は、ＰＵＦ署名回路１５２を含んでおり、当該回路は、ＰＵＦ１４４と１つ又は複数の電子部品１４２との接続を利用して、デジタル署名を取得するようしたものであり、当該デジタル署名は、製造中に不可避的に発生する僅かなばらつきによって電子部品１４２を特徴付ける固有の物理的／電気的特性から生成されるものである。ハードウェア承認システム１５０は、一群の航空機１３０に関する電子部品１４２とＬＲＵ１４０とのマッピングを活用することによって、固有のデジタル署名を用いてＬＲＵ１４０を認証するとともに、ユーザー入力又はデジタル証明書の保存／維持の必要の無い、マシン同士の自動処理にて、データ交換を承認することができる。これに代えて又は加えて（例えば双方向承認のために）、ハードウェア承認システム１５０は、ＰＵＦ１１６と航空会社装置１１２における１つ又は複数の電子コンポーネント１１４との接続を利用して、航空会社装置１１２を認証し、データ交換を承認するようにしてもよい。さらに、以下により詳しく説明するように、ハードウェア承認システム１５０は、耐エラー性の高いクロスチェック能力を有する、非常に安全なデータ交換を可能にする。
【００１５】
なお、図示及び本明細書に記載するシステム１００は、説明を目的とした例であり、部品の代替の配置及び構成が可能である。例えば、ハードウェア承認システム１５０は、オフボードシステム１１０、航空機１３０のＬＲＵ１４０及び／又は電子部品１４２、オフボードシステム１１０及び航空機１３０から独立した別体のシステム、又はこれらの何らかの組み合わせと一体化してもよい。ＰＵＦ１４４は、任意の種類又は組み合わせのＰＵＦ回路（例えば、ＰＵＦ測定回路、スタティックランダムアクセスメモリ（ＳＲＡＭ）ＰＵＦ回路、遅延ベースＰＵＦ回路、リング・オシレータＰＵＦ回路など）を含むことができ、また、ハードウェア承認システム１５０の部品として、電子部品１４２／１１４が埋設された集積回路として実現することもでき、あるいはこれらの組み合わせとすることもできる。電子部品１４２／１１４は、（例えば、結晶シリコン、ヒ化ガリウム（ＧａＡｓ）、又はその他の半導体によって形成された）基板又はダイ、ならびに、プロセッサ（例えば、中央処理装置（ＣＰＵ）、マイクロプロセッサ、デジタル信号プロセッサ（ＤＳＰ）、特定用途向け集積回路（ＡＳＩＣ等））、メモリチップ、ならびに、トランジスタ、抵抗器、コンデンサ及び他の電気的構造を形成するための他の材料を含みうる。従って、ＰＵＦ１４４／１１６は、抵抗レスポンス、静電容量レスポンス、電圧レスポンス、又は、電気部品１４２／１１４の他の何らかの物理的又は電気的シリコン特性を測定するように動作可能である。動作の他の詳細は、以下に説明する。
【００１６】
図２は、例示的な実施形態における、航空機データ交換を承認する方法２００のフローチャートである。方法２００の工程を、図１を参照して説明するが、当業者であればわかるように、方法２００は、他のシステムにおいて行うこともできる。また、同図に記載のフローチャートの工程が、すべてを含んでいるものとは限らず、図示しない他の工程も含まれうる。また、同図に記載の工程を、別の順序で行うこともできる。
【００１７】
工程２０２において、ハードウェア承認システム１５０は、航空機１３０とオフボードシステム１１０との間での航空機データ交換のリクエストを検知する。当該リクエストは、オフボードシステム１１０又は航空機１３０のいずれかから出されるものであり、ネットワーク１２０を介して送信されるメッセージとして手作業で発信してもよいし、これに加えて又はこれに代えて、航空機１３０がネットワーク１２０の範囲内にあること、及び／又は、オフボードシステム１１０と航空機１３０との間に通信が確立されたことを検知すると自動的に生成されるようにしてもよい。リクエストは、当該リクエストの発信元／送信先、航空機データの発信元／送信先、航空機データの種類、航空機データのセキュリティレベル、当該リクエストが航空機データのアップロード作業を求めるものであるか、あるいは、ダウンロード作業を求めるものであるか、ネットワーク１２０又は接続を確立するインターフェイスのアイデンティティーもしくは種類などを示すパラメータを含みうる、あるいは、伴いうる。
【００１８】
工程２０４において、ハードウェア承認システム１５０は、リクエストのパラメータに基づいて、航空機１３０のＬＲＵ１４０を選択する。ハードウェア承認システム１５０は、リクエストのデータ及び／又はメタデータを分析して、１つ又は複数のパラメータを特定する。ハードウェア承認システム１５０は、リクエストのために選択すべき適切なＬＲＵ１４０を判断するために、パラメータ、ＬＲＵ１４０、及びデータ・セキュリティレベルの相関関係を保存／アクセスするようにしてもよい。これに代えて又はこれに加えて、ハードウェア承認システム１５０は、リクエストの少なくとも１つのパラメータに基づいて、オフボードシステム１１０の１つ又は複数の航空会社装置１１２を選択するようにしてもよい。
【００１９】
工程２０６において、ハードウェア承認システム１５０は、ＬＲＵ１４０の１つ又は複数の電子部品１４２と接続されたＰＵＦ１４４に、チャレンジを発する。その際に、ＰＵＦ署名回路１５２は、工程２０４での選択に関連しているＬＲＵ１４０、電子部品１４２、及び／又はＰＵＦ１４４のアドレスを取得することができる。ＰＵＦ署名回路１５２は、航空機１３０のＬＲＵ１４０のためのチャレンジ‐レスポンスの対を保存しているデータベースからチャレンジを抽出し、当該チャレンジを、選択されたＬＲＵ１４０のＰＵＦ１４４を直接的又は間接的に起動する目標指向メッセージ（targeted message）として、ネットワーク１２０を介して送信する。これに代えて又はこれに加えて、ハードウェア承認システム１５０は、オフボードシステム１１０の航空会社装置１１２内の１つ又は複数の電子部品１１４に接続されたＰＵＦ１１６に対して、上述したのと同様の方法でチャレンジを発するようにしてもよい。
【００２０】
工程２０８において、ハードウェア承認システム１５０は、チャレンジに対する１つ又は複数の電子部品１４２のレスポンスに基づいて、ＬＲＵ１４０のハードウェア署名を取得する。ＰＵＦ署名回路１５２は、ネットワーク１２０を介して、チャレンジに対するＰＵＦ１４４からのレスポンスをリッスン（listen）したり、当該レスポンスを抽出／受信したりすることができる。ＰＵＦ１４４は、ＬＲＵ１４０の電子部品１４２の固有の物理的特性を利用することによって、同一群に属する別の航空機に設置された同一種類及び同時製造のＬＲＵを含む他のＬＲＵから当該ＬＲＵ１４０を区別する固有のハードウェア署名を、動的に導出するように構成されている。ＰＵＦ署名回路１５２及び／又はＰＵＦ１４４は、エラー訂正技術を用いてＰＵＦ１４４のレスポンス中のノイズを処理したり、１つ又は複数の暗号技術を適用したりすることによって、ハードウェア署名を生成することができる。換言すれば、ＰＵＦ１４４のレスポンス内の未加工の測定値／データを後処理（post-processed）することによって、ＰＵＦレスポンスにおけるランダムなばらつきを補償するとともに、セキュリティ攻撃からさらに保護することができる。これに代えて又はこれに加えて、ハードウェア承認システム１５０は、上述したのと同様の方法で、オフボードシステム１１０の航空会社装置１１２のハードウェア署名を取得することができる。
【００２１】
工程２１０において、ハードウェア承認システム１５０は、ハードウェア署名を認証することにより、当該リクエストを承認するとともに、航空機１３０とオフボードシステム１１０との間でのデータ交換を開始する。その際に、ＰＵＦ署名回路１５２は、ＰＵＦ１４４によって生成されたハードウェア署名を、一群の航空機１３０についてＬＲＵの識別子（ＩＤ）及び／又は航空機のＩＤ（例えばテール（tail)ＩＤ）にてチャレンジ‐レスポンスの対をマッピングすることができる、信頼のあるエンティティーに照会するようにしてもよい。従って、ＰＵＦ署名回路１５２は、そのＬＲＵ１４０及び／又は航空機１３０が、リクエストされたデータ交換に参加すべき適切且つ真正な発信元／送信先であるかどうかを判断することができる。これに代えて又はこれに加えて、ハードウェア承認システム１５０は、同様の方法で、オフボードシステム１１０の航空会社装置１１２のＰＵＦ１１６のハードウェア署名を認証するようにしてもよい。
【００２２】
方法２００によれば、ハードウェア承認モジュール１５０は、電子部品１４２の固有の特性を利用して、航空機１３０のＬＲＵ１４０の固有のハードウェア署名を「その場で（on-the-fly）」生成することを可能にする。ハードウェア署名は、電子部品１４２の物理的構造に基づいて生成することができるので、ＬＲＵ１４０を表す固有の署名は、航空機の機内のどのメモリにも保存する必要は無く、従って、メモリ内にデジタルキーを保存するものに比べて、セキュリティが向上する。また、航空機１３０の承認は、ＬＲＵ１４０自体の固有の物理的特性に基づいているため、失効した証明を頻繁に更新するためのメンテナンスを長期間行う必要なく、ハードウェア署名を取得して認証を受けることができる。さらに、ハードウェア署名は、署名のコピーを航空機１３０に保存することなく航空機１３０から取得することができるため、ＰＵＦ１４４に基づくＬＲＵ１４０の承認において、複製が不可能ではないにしても困難な方法で、同一種類又は同時製造の他のＬＲＵからＬＲＵ１４０を区別することができる。
【００２３】
図３は、別の例示的な実施形態における、航空機データを交換するためのシステム３００を示している。システム３００は、航空会社によって運営される地上システム３１０を含んでおり、当該地上システムは、航空会社ＩＴシステム３２０の管理下で航空機１３０（図３には図示せず）とデータ交換するための航空会社装置１１２を配備している。航空会社ＩＴシステムは、他にもバックエンド・コンポーネントを含むが、特に、ＬＲＵチャレンジ‐レスポンスデータベース３２２を含みうる。航空会社装置１１２は、航空機１３０のＬＲＵ１４０に対する航空機データのアップロード又はダウンロードをリクエストするように動作可能である。航空会社装置１１２はまた、地上システム３１０に含まれるハードウェア承認システム１５０によって確立された適切な承認を与えられると、航空機１３０のＬＲＵ１４０に対する航空機データのアップロード／ダウンロードを許可される。
【００２４】
本例に示すように、ＬＲＵ１４０は、セントラル・メンテナンス・コンピュータ（ＣＭＣ）３６０、フライト・コントロール・コンピュータ（ＦＣＣ）３６２、プロキシミティ・センサー・エレクトロニクス・ユニット（ＰＳＥＵ）３６４、ターミナル・ワイヤレス・ＬＡＮ・ユニット（ＴＷＬＵ）３６６、及び、インフライト・エンターテインメント・システム（ＩＦＥＳ）３６８を含む。各ＬＲＵ１４０は、ＰＵＦ１４４と一体化された１つ又は複数の集積回路（ＩＣ）２７０を含みうる。ＬＲＵ１４０は、バス３０６を介して互いにリンクすることができる。例えば、ＣＭＣ３６０は、航空機１３０の１つ又は複数のバス３０６、ファイルサーバー１３４等を介して、ＦＣＣ３６２、ＰＳＥＵ３６４などの、航空機１３０の他のＬＲＵ１４０のための航空機データを維持することができる。加えて、航空機１３０のある種のＬＲＵ１４０、例えばＴＷＬＵ３６６は、ＷＬＡＮ３０２などのネットワーク１２０の特定のセグメントのための、データを交換する通信システム１３２の部品を含みうる。これに関連して、ＬＲＵ１４０は、ブロードバンド電力線３０４を介して地上システム３１０と電力及びデータ接続を確立するブロードバンド電力線モジュールを含みうる。以下により詳しく説明するように、ネットワーク１２０における様々なセグメントは、同時にデータ交換を行ったり、特定の種類のＬＲＵ１４０やセキュリティレベルのための、種類の異なる航空機データを交換したりすることができる。
【００２５】
ハードウェア承認システム１５０は、ＰＵＦ署名回路１５２、インターフェイス３５２、及び、セキュリティレベルモジュール３５４を含む。インターフェイス３５２は、地上システム３１０（例えば、航空会社装置１１２及び航空会社ＩＴシステム３２０）と、航空機１３０のＬＲＵ１４０との間の航空機データの交換を、ネットワーク１２０の一部として航空機１３０を地上システム３１０にリンクさせるＷＬＡＮ３０２及び／又はブロードバンド電力線３０４を介して、促進するように動作可能である。セキュリティレベルモジュール３５４は、交換がリクエストされた航空機データの１つ又は複数のセキュリティレベルを決定するように動作可能である。ＰＵＦ署名回路１５２は、セキュリティレベルモジュール３５４を用いて、ＬＲＵチャレンジ‐レスポンスデータベース３２２から取得したマッピング情報に基づいて、特定の組のＬＲＵチャレンジ３７０とレスポンス３７２とを送受信することができる。以下により詳しく説明するように、これによって、ＰＵＦ署名回路１５２は、承認を様々なセキュリティレベルに適合させる一連のクロスチェックを行うことができる。
【００２６】
ハードウェア承認システム１５０の具体的なハードウェアの実施態様は、設計上の選択によるが、特定の一実施形態は、メモリ３５８に接続された１つ又は複数のプロセッサ３５６を含みうる。プロセッサ３５６は、機能を果たすことができる任意のハードウェア装置を含む。プロセッサ３５６は、１つ又は複数の中央処理ユニット（ＣＰＵ）、マイクロプロセッサ、デジタル信号プロセッサ（ＤＳＰ）、アプリケーション専用集積回路（ＡＳＩＣ）等を含む。プロセッサの例としては、例えば、Intel（登録商標）Core（商標）プロセッサや、新型縮小命令セット演算（ＲＩＳＣ：Advanced Reduced Instruction Set Computing）マシン（ＡＲＭ（登録商標））プロセッサ等が挙げられる。メモリ３５８は、データを保存可能な任意のハードウェア装置を含む。メモリ３５８は、１つ又は複数の揮発性又は不揮発性のダイナミックランダムアクセスメモリ（ＤＲＡＭ）装置、フラッシュデバイス、揮発性又は不揮発性スタティックＲＡＭ装置、ハードドライブ、ソリッドステートディスク（ＳＳＤ）等を含みうる。不揮発性ＤＲＡＭ及びＳＲＡＭの例としては、バッテリバックアップ式ＤＲＡＭ及びバッテリバックアップ式ＳＲＡＭが挙げられる。
【００２７】
図４は、例示的な実施形態における、航空機データ交換を承認する方法４００のフローチャートである。方法４００の工程を、図１及び図３を参照して説明するが、当業者であればわかるように、方法４００は、他のシステムにおいて実施することもできる。また、同図に記載のフローチャートの工程が、すべてを含んでいるものとは限らず、図示しない他の工程も含まれうる。また、同図に記載の工程を、別の順序で行うこともできる。
【００２８】
工程４０２において、セキュリティレベルモジュール３５４が、リクエストされた航空機データのセキュリティレベルを判定する。セキュリティレベルモジュール３５４は、好適には、例えば、データの種類及び／又は関連付けられた感度、データ交換に関連するあるいはデータ交換の影響を受ける又はデータ交換に関与するＬＲＵ１４０の種類、リクエストされたデータ交換に関与すべきユーザー又は航空会社装置１１２の種類、リクエストされた交換がアップロード作業であるか又はダウンロード作業であるか、及び／又は、リクエストされた交換に関与するネットワーク１２０のセグメント、に基づいて、セキュリティレベルを判定する。例えば、セキュリティレベルモジュール３５４は、航空機１３０への航空機データのアップロードが、ダウンロードよりも高いレベルのセキュリティを伴うと判断しうる。セキュリティレベルモジュール３５４は、さらに、アップロード及び／又はダウンロードのデータを、いくつかのセキュリティドメインのうちの１つに分類することができる。例えば、アップロード作業は、降順に、航空機コントロールドメイン（ＡＣＤ：Aircraft Control Domain）、飛行機情報システム（ＡＩＳ：Airplane Information Systems）、インフライト・エンターテインメント（ＩＦＥ）、及び、乗客データを含むセキュリティレベルのいくつかのドメインのうちの１つに、さらに分類することができる。従って、セキュリティレベルモジュール３５４は、ＩＦＥドメインのＩＦＥＳ３６８にデータをアップロードするためのセキュリティレベルに比べて、ＡＣＤに関連付けられたＦＣＣ３６２にデータをアップロードするためのセキュリティレベルを、高レベルに設定しうる。セキュリティドメイン構成の数多くの組み合わせが可能である。
【００２９】
工程４０４において、セキュリティレベルモジュール３５４は、セキュリティレベルに基づいて、航空機１３０のＬＲＵ１４０の組み合わせを選択する。例えば、ＬＲＵ１４０の組み合わせは、データのセキュリティレベルが閾値より高いという判断、あるいは、所定の組み合わせのＬＲＵ１４０を、ある特定のセキュリティレベルに関連付けることができるという判断に基づいて、選択することができる。そして、工程４０６において、ＰＵＦ署名回路１５２が、その組み合わせのＬＲＵ１４０のＩＣ２７０に接続されたＰＵＦ１４４を用いて、ハードウェア署名を取得する。セキュリティレベルモジュール３５４は、任意の数の様々なセキュリティレベルを、ＬＲＵ１４０の多くの構成及び組み合わせと関連付けることができる。例えば、比較的高いレベルのセキュリティ感度と関連付けられた航空機データの場合、セキュリティレベルモジュール３５４は、これに応じて、より低いレベルのセキュリティ感度の航空機データの場合よりも多数のＬＲＵ１４０を、ＰＵＦ署名回路１５２が相互作用するＬＲＵとして選択し、統合されたハードウェア署名を取得することができる。一実施形態において、セキュリティレベルモジュール３５４は、航空機１３０のすべてのＬＲＵ１４０にチャレンジを発することにより、データロード、ソフトウェア／ファームウェアのアップデート等を含む航空機のデータ交換の全機能を可能にするフルトラストモデル（full trust model）をサポートすることを決定してもよい。一実施形態において、セキュリティレベルモジュール３５４は、交換すべき航空機データの様々なセグメントを、互いに異なるセキュリティレベルに割り当て、様々なＬＲＵ１４０の組み合わせによって、承認を行ってもよい。
【００３０】
工程４０８において、ハードウェア承認システム１５０は、その組み合わせの各ＬＲＵ１４０のハードウェア署名と、航空会社ＩＴシステム３２０のＬＲＵチャレンジ‐レスポンスデータベース３２２との間に、一致があるかどうかを判断する。航空会社ＩＴシステム３２０は、一群の各ＬＲＵ１４０（例えば、航空会社の管理下にある一群の航空機１３０のすべて又はほとんどすべてのＬＲＵ２４０）のＬＲＵ  ＩＤまたはシリアルナンバーの保存／これらに対するアクセスを、行うことができる。航空会社ＩＴシステム３２０はまた、ＬＲＵチャレンジ‐レスポンスデータベース３２２にチャレンジ‐レスポンスの対の組を保存すること／これらに対してアクセスすること、及び／又は、（例えばデータベース３２２を用いて）これらのチャレンジ‐レスポンスの対をＬＲＵ  ＩＤと関連付けること、を行うことができる。
【００３１】
信頼できるエンティティー（例えば、航空機１３０又はＬＲＵ１４０の製造業者、航空会社ＩＴシステム３２０を運営する航空会社、信頼できる第三者など）が、事前のどこかの時点で（例えば航空機１３０及び／又はＬＲＵ１４０の製造の直後に）、各ＬＲＵ１４０についてのチャレンジ‐レスポンスの対を決定し、これらのチャレンジ‐レスポンスの対をＬＲＵチャレンジ‐レスポンスデータベース３２２に確実に配給するようにしてもよい。加えて、チャレンジ‐レスポンスの対のサブセットを、航空会社装置１１２のローカルデータベース３１２に確実に配給するようにしてもよい。ローカルデータベース３１２が、ＬＲＵ１４０についての少なくとも１つのチャレンジ‐レスポンスの対を有している場合、航空会社装置１１２は、航空機のデータ交換、航空機１３０、及び／又はＬＲＵ１４０の承認を行うことができる。高いセキュリティを確保するためには、ハードウェア承認システム１５０によってチャレンジが送信／抽出／使用されると、航空会社装置１１２及び／又は航空会社ＩＴシステム３２０は、其々のデータベース３１２／３２２のチャレンジ‐レスポンスエントリーを削除するようにするのが有利である。このように、ハードウェア承認システム１５０は、航空会社ＩＴシステム３２０及び／又は航空会社装置１１２から、ＬＲＵ  ＩＤのマッピング情報、及び、チャレンジ‐レスポンスの対を取得することによって、一致があるかどうかを判断する。これに代えて又はこれに加えて、ハードウェア承認システム１５０は、一致／不一致の確認（confirmation）を、航空会社ＩＴシステム３２０及び／又は航空会社装置１１２にリクエストしたり、あるいは航空会社ＩＴシステム及び／又は航空会社装置から受信するようにしてもよい。
【００３２】
すべての一致が存在することが工程４０８において確認された場合、方法４００は、工程４１２に進み、ハードウェア承認システム１５０が、ハードウェア署名を認証し、データ交換の開始を許可する。これとは異なり、工程４０８において１つ又は複数の不一致があった場合、方法４００は工程４１０に進み、ハードウェア承認システム１５０は、地上システム３１０及び／又は航空機１３０の１又は複数のユーザーにフォローアップ作業を促す警告メッセージ又はフラグを発する。これに代えて又はこれに加えて、ハードウェア承認システム１５０は、例えば、不一致の数、特定の不一致に関連付けられたセキュリティレベル、及び／又は、不一致に関連付けられたセキュリティレベルを総合したものが閾値を超えているという判断に基づいて、データ交換を全体的又は部分的に制限することもできる。例えば、ＩＦＥＳ３６８に関連付けられた中レベルのセキュリティレベルに関して１つの不一致が発生した場合、ハードウェア承認システム１５０は、リモートのデータロード機能を不可能にする一方で、他については承認して航空機データ交換を許可することができる。
【００３３】
さらに、本開示は、以下の付記による実施形態を含む。
【００３４】
付記１：  航空機とオフボードシステムとの間でのデータ交換のリクエストを検知し、前記リクエストの少なくとも１つのパラメータに基づいて、前記航空機の列線交換ユニット（ＬＲＵ）を選択し、前記ＬＲＵの少なくとも１つの電子部品に接続された物理的複製防止手段（ＰＵＦ）に対してチャレンジを発し、前記チャレンジに対する前記ＬＲＵの前記少なくとも１つの電子部品のレスポンスに基づいてハードウェア署名を取得し、その際に、前記ＰＵＦは、前記少なくとも１つの電子部品の固有の物理的特性に基づいて前記ハードウェア署名を引き出し、前記ハードウェア署名を認証することにより、前記リクエストを承認するとともに、前記航空機と前記オフボードシステムとの間のデータ交換を開始する、方法。
【００３５】
付記２：  さらに、前記リクエストにおける前記データのセキュリティレベルを決定し、前記データの前記セキュリティレベルに基づいて、ＬＲＵの組み合わせを選択し、その組み合わせのＬＲＵに接続されたＰＵＦを用いてハードウェア署名を取得し、前記ハードウェア署名が、信頼できるエンティティーのデータベースに保存されたチャレンジ‐レスポンスの対と一致するかどうかを判断する、付記１に記載の方法。
【００３６】
付記３：  前記リクエストの前記少なくとも１つのパラメータは、前記交換を行おうとする航空機データの種類を含む、付記１に記載の方法。
【００３７】
付記４：  前記リクエストの前記少なくとも１つのパラメータは、前記交換が、前記オフボードシステムから前記航空機へのアップロード作業であることを示すものである、付記１に記載の方法。
【００３８】
付記５：  前記オフボードシステムは、前記少なくとも１つの電子部品について記録されたチャレンジ‐レスポンスの対のデータベースを含む、付記１に記載の方法。
【００３９】
付記６：  さらに、前記ハードウェア署名と前記データベース内のチャレンジ‐レスポンスの対のエントリーとの一致に基づいて、前記航空機のアイデンティティーを認証し、前記航空機の前記アイデンティティーが認証された場合に前記データ交換を承認する、付記５に記載の方法。
【００４０】
付記７：  さらに、前記承認が行われた場合に、前記データベースから前記チャレンジ‐レスポンスの対のエントリーを削除する、付記６に記載の方法。
【００４１】
付記８：  プロセッサによって実行された際に方法を遂行させるための命令プログラムが記録された非一時的なコンピュータ可読媒体であって、前記方法は、航空機とオフボードシステムとの間でのデータ交換のリクエストを検知し、前記リクエストの少なくとも１つのパラメータに基づいて、前記航空機の列線交換ユニット（ＬＲＵ）を選択し、前記ＬＲＵの１つ又は複数の電子部品に接続された物理的複製防止手段（ＰＵＦ）に対してチャレンジを発し、前記チャレンジに対する前記ＬＲＵの前記１つ又は複数の電子部品のレスポンスに基づいてハードウェア署名を取得し、その際に、前記ＰＵＦは、前記１つ又は複数の電子部品の固有の物理的特性に基づいて前記ハードウェア署名を引き出し、前記ハードウェア署名を認証することにより、前記リクエストを承認するとともに、前記航空機と前記オフボードシステムとの間のデータ交換を開始させるようにした、コンピュータ可読媒体。
【００４２】
付記９：  前記方法は、さらに、前記リクエストにおける前記データのセキュリティレベルを決定し、前記データの前記セキュリティレベルに基づいて、ＬＲＵの組み合わせを選択し、その組み合わせのＬＲＵに接続されたＰＵＦを用いてハードウェア署名を取得し、前記ハードウェア署名が、信頼できるエンティティーのデータベースに保存されたチャレンジ‐レスポンスの対と一致するかどうかを判断する、付記８に記載の媒体。
【００４３】
付記１０：  前記リクエストの前記少なくとも１つのパラメータは、前記交換を行おうとする航空機データの種類を含む、付記８に記載の媒体。
【００４４】
付記１１：  前記リクエストの前記少なくとも１つのパラメータは、前記交換が、前記オフボードシステムから前記航空機へのアップロード作業であることを示すものである、付記８に記載の媒体。
【００４５】
付記１２：  前記オフボードシステムは、前記１つ又は複数の電子部品について記録されたチャレンジ‐レスポンスの対のデータベースを含む、付記８に記載の媒体。
【００４６】
付記１３：  前記方法は、さらに、前記ハードウェア署名と前記データベース内のチャレンジ‐レスポンスの対のエントリーとの一致に基づいて、前記航空機のアイデンティティーを認証し、前記航空機の前記アイデンティティーが認証された場合に前記データ交換を承認する、付記１２に記載の媒体。
【００４７】
付記１４：  前記方法は、さらに、前記承認が行われた場合に、前記データベースから前記チャレンジ‐レスポンスの対エントリーを削除する、付記１３に記載の媒体。
【００４８】
付記１５：  ネットワークを介して航空機データを列線交換ユニット（ＬＲＵ）にアップロードするように動作可能な地上システムを含んで構成され、前記地上システムは、
航空機のＬＲＵへの前記航空機データの前記アップロードをリクエストするように動作可能な航空会社装置と、
前記ＬＲＵに関連付けられた前記航空会社装置からチャレンジを抽出し、前記ＬＲＵに接続されたＰＵＦ回路からハードウェア署名を取得し、前記ハードウェア署名と、前記航空会社装置に保存された、前記チャレンジを含むチャレンジ‐レスポンスの対との一致に基づいて、前記航空機が前記アップロードを受信することを承認するように動作可能なハードウェア承認システムと、を含んでいる、システム。
【００４９】
付記１６：  前記ハードウェア承認システムは、さらに、前記ＬＲＵに関連付けられたセキュリティレベルを特定するように動作可能である、付記１５に記載のシステム。
【００５０】
付記１７：  前記ハードウェア承認システムは、さらに、前記セキュリティレベルが閾値を超えていると判断した場合に、前記アップロードを承認するための少なくとも１つの追加のＬＲＵを特定するように動作可能である、付記１６に記載のシステム。
【００５１】
付記１８：  前記ハードウェア承認システムは、さらに、前記ハードウェア署名とチャレンジ‐レスポンスの対との間に不一致があると判断された場合に、警告を生成するように動作可能である、付記１５に記載のシステム。
【００５２】
付記１９：  前記ハードウェア承認システムは、さらに、前記ハードウェア署名とチャレンジ‐レスポンスの対との間に不一致があると判断された場合に、前記アップロードを制限するように動作可能である、付記１５に記載のシステム。
【００５３】
付記２０：  前記ハードウェア承認システムは、さらに、物理的複製機能（ＰＵＦ）回路に接続された少なくとも１つの電子部品を其々が有する複数の列線交換ユニット（ＬＲＵ）のハードウェア署名を取得するように動作可能である、付記１５に記載のシステム。
【００５４】
図示あるいは本明細書に記載した様々な制御要素（例えば電気又は電子部品）は、いずれも、ハードウェア、ソフトウェアを実現するプロセッサ、ファームウェアを実現するプロセッサ、又はこれらの何らかの組み合わせとして、実現することができる。例えば、ある要素は、専用ハードウェアとして実現することができる。専用ハードウェア要素は、「プロセッサ」、「コントローラ」、又は、他の同様の用語で称されうる。プロセッサによって実現される場合、機能は、単一の専用プロセッサ、単一の共有プロセッサ、又は、いくつかを共有可能な複数の個別プロセッサによって、実現することができる。更に、「プロセッサ」又は「コントローラ」という用語の明示的な使用は、ソフトウェアを実行可能なハードウェアのみを指すと解釈されるべきではなく、限定することなくデジタル信号プロセッサ（ＤＳＰ）ハードウェア、ネットワークプロセッサ、特定用途向け集積回路（ＡＳＩＣ）若しくは他の回路、フィールドプログラマブルゲートアレイ（ＦＰＧＡ）、ソフトウェアの保存用の読み取り専用メモリ（ＲＯＭ）、ランダムアクセスメモリ（ＲＡＭ）、不揮発性記憶装置、論理回路、又は、他の物理的なハードウェア部品若しくはモジュールを暗黙的に含みうる。
【００５５】
また、制御要素は、当該要素の機能を実行するための、プロセッサ又はコンピュータによって実行可能な命令として、実現することができる。命令の例をいくつか挙げると、ソフトウェア、プログラムコード、及び、ファームウェアがある。命令は、プロセッサにより実行されると稼働して、当該プロセッサに対して要素の機能を果たすように指示する。命令は、プロセッサによる読み取りが可能な記憶装置に保存することができる。記憶装置の例としては、デジタル若しくはソリッドステートメモリ、磁気ディスクや磁気テープなどの磁気記憶媒体、ハードドライブ、又は、光学的に読み取り可能なデジタルデータ記憶媒体などが挙げられる。
【００５６】
本明細書において特定の実施形態を説明したが、本開示の範囲は、これらの特定の実施形態に限定されるものではない。本開示の範囲は、以下の請求の範囲及びその均等範囲によって規定される。
【図１】
2018113680.tif 000003
【図２】
2018113680.tif 000004
【図３】
2018113680.tif 000005
【図４】
2018113680.tif 000006
【外国語明細書】
2018113680000001.pdf
2018113680000002.pdf
2018113680000003.pdf
2018113680000004.pdf