(57)【要約】      （修正有）【課題】監視対象システムのセキュリティを劇的に向上させる防衛メカニズムおよびセキュリティシステムを提供する。【解決手段】防衛メカニズムおよびセキュリティシステムは、埋め込み型任務特化デバイス（ＥＭＳＤ）１０５、１１０における異常を検出する。メタマテリアルアンテナ１１５は、ＥＭＳＤから無線周波数信号を受信し、中央読取装置１２０は、メタマテリアルアンテナから信号を受信する。中央読取装置は、メタマテリアルアンテナから受信した信号に基づいてＥＭＳＤの有限状態機械モデルを構築し、構築された有限状態機械モデルに基づいてＥＭＳＤに異常が存在するかどうかを検出する。【選択図】図１Ａ
2019215858.tif 000002
【特許請求の範囲】
【請求項１】
埋め込み型任務特化デバイス（ＥＭＳＤ）における異常を検出するためのシステムであって、
前記ＥＭＳＤから無線周波数信号を受信するように構成されているメタマテリアルアンテナと、
前記メタマテリアルアンテナから信号を受信するように構成されている中央読取装置と、を含み、
前記中央読取装置が、
前記メタマテリアルアンテナから受信した信号に基づいて、前記ＥＭＳＤの有限状態機械モデルを構築する、および
前記構築された有限状態機械モデルに基づいて、前記ＥＭＳＤに異常が存在するかどうかを検出するようにさらに構成されている、システム。
【請求項２】
前記ＥＭＳＤの前記有限状態機械モデルが、前記メタマテリアルアンテナから受信した信号を分析するための機械学習を使用して構築される、請求項１に記載のシステム。
【請求項３】
前記中央読取装置が、
前記ＥＭＳＤの温度勾配に基づいて、前記ＥＭＳＤの前記有限状態機械モデルを構築するようにさらに構成されている、請求項１に記載のシステム。
【請求項４】
前記ＥＭＳＤの前記有限状態機械モデルが、前記温度勾配を分析するための機械学習を使用して構築されている、請求項３に記載のシステム。
【請求項５】
前記中央読取装置が、前記ＥＭＳＤの電力トレースに基づいて、前記ＥＭＳＤの前記有限状態機械モデルを構築するようにさらに構成されている、請求項１に記載のシステム。
【請求項６】
前記ＥＭＳＤの前記有限状態機械モデルが、前記電力トレースを分析するための機械学習を使用して構築される、請求項５に記載のシステム。
【請求項７】
前記中央読取装置が、
１セットの実行トレースから複数の実行トレースクラスタを形成すること、および
前記複数のクラスタ内の各クラスタについて別々の有限状態自動化（ＦＳＡ）を計算することによって、前記有限状態機械モデルを構築するようにさらに構成されている、請求項１に記載のシステム。
【請求項８】
前記メタマテリアルアンテナの長さおよび幅の両方がλ／４０未満であり、
λは、メガヘルツ（ＭＨｚ）範囲内にある前記メタマテリアルアンテナの動作波長である、請求項１に記載のシステム。
【請求項９】
前記メタマテリアルアンテナが、前記ＥＭＳＤ上に配置されるように構成されたステッカーを含む、請求項１に記載のシステム。
【請求項１０】
前記中央読取装置が、
攻撃ベクトルおよびそれらに対応する命令シーケンスのライブラリと、
前記有限状態機械モデルと、に基づいて、特定の攻撃を識別するようにさらに構成されている、請求項１に記載のシステム。
【請求項１１】
前記中央読取装置が、
前記ＥＭＳＤにおける異常の検出に応答して、前記ＥＭＳＤをシャットダウンするように構成されている、請求項１に記載のシステム。
【請求項１２】
前記構築された有限状態機械モデルが正常モデルであり、前記中央読取装置が、前記正常モデルの尤度と前記ＥＭＳＤの異常有限状態機械モデルの尤度との比率に基づいて、前記ＥＭＳＤに異常が存在するかどうかを検出するようにさらに構成されている、請求項１に記載のシステム。
【請求項１３】
埋め込み型任務特化デバイス（ＥＭＳＤ）における異常を検出するための方法であって、
メタマテリアルアンテナを用いて、前記ＥＭＳＤから無線周波数信号を受信することと、
中央読取装置を用いて、
前記メタマテリアルアンテナから信号を受信する、
前記メタマテリアルアンテナから受信した前記信号に基づいて前記ＥＭＳＤの有限状態機械モデルを構築する、および
前記構築された有限状態機械モデルに基づいて前記ＥＭＳＤに異常が存在することを検出することと、を含む方法。
【請求項１４】
前記ＥＭＳＤの前記有限状態機械モデルが、前記メタマテリアルアンテナから受信した前記信号を分析するための機械学習を使用して構築される、請求項１３に記載の方法。
【請求項１５】
前記ＥＭＳＤの温度勾配に基づいて、前記ＥＭＳＤの前記有限状態機械モデルを構築することをさらに含む、請求項１３に記載の方法。
【請求項１６】
前記ＥＭＳＤの前記有限状態機械モデルが、前記温度勾配を分析するための機械学習を使用して構築される、請求項１５に記載の方法。
【請求項１７】
前記ＥＭＳＤの電力トレースに基づいて、前記ＥＭＳＤの前記有限状態機械モデルを構築することをさらに含む、請求項１３に記載の方法。
【請求項１８】
前記ＥＭＳＤの前記有限状態機械モデルが、前記電力トレースを分析するための機械学習を使用して構築される、請求項１７に記載の方法。
【請求項１９】
埋め込み型任務特化デバイス（ＥＭＳＤ）における異常を検出するためのシステムであって、
ＥＭＳＤから無線周波数信号を受信するように構成されたメタマテリアルアンテナと、
前記メタマテリアルアンテナから信号を受信するように構成された１つ以上のプロセッサを含み、前記１つ以上のプロセッサが、
前記メタマテリアルアンテナから受信した信号に基づいて前記ＥＭＳＤの有限状態機械モデルを構築する、および
前記構築された有限状態機械モデルに基づいて前記ＥＭＳＤに異常が存在するかどうかを検出するように構成された、システム。
【請求項２０】
前記１つ以上のプロセッサは、シンクライアント、スマートフォン、またはラップトップに含まれる、請求項１９に記載のシステム。
【発明の詳細な説明】
【技術分野】
【０００１】
本出願は、概して、防衛メカニズムおよびセキュリティシステムに関する。現在、システム管理者は、ウイルス対策プログラム、時間およびパフォーマンス分析、ならびに侵入を検出するための音声など、さまざまな防御メカニズムを採用している。
【０００２】
有利なことに、本明細書に記載の実施形態は、監視対象システムのセキュリティを劇的に向上させる。実施形態は、原子力発電所および軍事施設などの機密性の高い環境に配備することができる。本明細書に記載のシステムおよび方法の明確な利点は、それらが全く非侵入型であることである。従来から知られているアプローチはハードウェア／ソフトウェアのインストールを必要としていたが、対照的に、本明細書に記載のシステムおよび方法は電磁信号および温度を分析する。
【０００３】
本出願の一態様によれば、埋め込み型任務特化デバイス（Ｅｍｂｅｄｄｅｄ  Ｍｉｓｓｉｏｎ  Ｓｐｅｃｉｆｉｃ  Ｄｅｖｉｃｅ、ＥＭＳＤ）における異常を検出するためのシステムが提供される。システムは、ＥＭＳＤから無線周波数信号を受信するように構成されたメタマテリアルアンテナと、メタマテリアルアンテナから信号を受信するように構成された中央読取装置とを含み得る。中央読取装置はさらに、メタマテリアルアンテナから受信した信号に基づいてＥＭＳＤの有限状態機械モデルを構築し、そして、構築された有限状態機械モデルに基づいてＥＭＳＤに異常が存在するかどうかを検出するように構成され得る。
【０００４】
先行の段落に記載したようなシステムでは、ＥＭＳＤの有限状態機械モデルは、メタマテリアルアンテナから受信した信号を分析するための機械学習を使用して構築され得る。中央読取装置はさらに、ＥＭＳＤの温度分布およびダイナミクスに基づいてＥＭＳＤの有限状態機械モデルを構築するように構成され得る。ＥＭＳＤの有限状態機械モデルは、温度分布を分析するための機械学習を使用して構築され得る。中央読取装置はさらに、ＥＭＳＤの電力トレースに基づいてＥＭＳＤの有限状態機械モデルを構築するように構成され得る。ＥＭＳＤの有限状態機械モデルは、電力トレースを分析するための機械学習を使用して構築され得る。
【０００５】
先行の段落のいずれかに記載したようなシステムでは、中央読取装置はさらに、１セットの実行トレースから複数の実行トレースクラスタを形成し、そして、複数のクラスタ内の各クラスタについて別々の有限状態自動化（ＦＳＡ）を計算することによって、有限状態機械モデルを構築するように構成され得る。メタマテリアルアンテナの長さと幅は両方がλ／４０未満であってよく、ここでλはメガヘルツ（ＭＨｚ）範囲内にあるメタマテリアルアンテナの動作波長である。メタマテリアルアンテナは、ＥＭＳＤ上に配置されるように構成されたステッカーを含み得る。中央読取装置はさらに、攻撃ベクトルおよびそれらに対応する命令シークエンスのライブラリと有限状態機械モデルとに基づいて特定の攻撃を識別するように構成され得る。中央読取装置はさらに、ＥＭＳＤ内の異常の検出に応答して、ＥＭＳＤをシャットダウンするように構成され得る。構築された有限状態機械モデルは正常モデルであり得、中央読取装置はさらに、ＥＭＳＤの正常モデルの尤度と異常な有限状態機械モデルの尤度との比に基づいてＥＭＳＤに異常が存在するかどうかを検出するように構成され得る。
【０００６】
別の態様では、ＥＭＳＤ内の異常を検出するための方法が提供される。方法は、メタマテリアルアンテナを用いて、ＥＭＳＤから無線周波数信号を受信することを含み得る。方法は、中央読取装置を用いて、メタマテリアルアンテナから信号を受信することと、メタマテリアルアンテナから受信した信号に基づいてＥＭＳＤの有限状態機械モデルを構築することと、構築された有限状態機械モデルに基づいてＥＭＳＤに異常が存在することを検出することと、をさらに含み得る。
【０００７】
別の態様では、ＥＭＳＤ内の異常を検出するためのシステムが提供される。システムは、ＥＭＳＤから無線周波数信号を受信するように構成されたメタマテリアルアンテナと、メタマテリアルアンテナから信号を受信するように構成された１つ以上のプロセッサとを含み得る。１つ以上のプロセッサはさらに、メタマテリアルアンテナから受信した信号に基づいてＥＭＳＤの有限状態機械モデルを構築し、そして、構築された有限状態機械モデルに基づいてＥＭＳＤに異常が存在するかどうかを検出するように構築され得る。１つ以上のプロセッサは、シンクライアント、スマートフォン、またはラップトップに含まれ得る。
【０００８】
いくつかの実施形態では、故障の根本原因を検出するために異なるレベルの分析を採用することができる。いくつかの実施形態では、デバイスは、侵入を検出するためだけでなく、物理的デバイスの診断を行うためにも使用することができる。
【０００９】
一態様は、ウイルス検出のための非侵入型ハードウェアデバイスを構築することにある。
【００１０】
別の態様は、埋め込み型デバイスの状態を検出するために電磁放射と赤外線データとを組み合わせることにある。
【００１１】
別の態様は、マイクロプロセッサの状態と、埋め込み型デバイスが感染しているかどうかとを判定するために機械学習を使用することにある。
【００１２】
別の態様は、改良されたアンテナ設計、および改良されたアンテナ／デバイス送信にある。
【００１３】
別の態様は、改良された特性抽出メカニズム、および改良された分析アルゴリズムにある。
【００１４】
別の態様は、ＣＰＵの状態を判定するためおよびモデルを構築するための機械学習の使用にある。
【００１５】
別の態様は、ハードウェアシステムのウイルスおよび侵入を検出するための電磁放射の使用にある。
【００１６】
別の態様は、ハードウェアシステムのウイルスおよび侵入を検出するための赤外線画像の使用にある。
【００１７】
別の態様は、侵入検出のための赤外線および電磁気の融合にある。
【００１８】
別の態様は、特定の周波数に対する開示されたタイプのアンテナの使用にある。
【図面の簡単な説明】
【００１９】
【図１Ａ】実施形態を示す。
【図１Ｂ】図１Ａの実施形態で使用され得る方法のフローチャートを示す。
【図２】別の実施形態を示す。
【図３】実施形態のブロック図を示す。
【図４】応答性材料使用アナログ論理分析（ＡＬＡＲＭ）タスク構造を含み、プロジェクトフローおよび相互依存性を示す、実施形態を示す。
【図５】電気的に小さい（＜λ／４０または２２インチ）１３．５６ＭＨｚのメタマテリアル風アンテナの実施形態を示す。
【図６Ａ】アイドル状態に対するスペクトル（ケース＃２）を示す。
【図６Ｂ】正常動作（ケース＃３）を示す。
【図７Ａ】正常動作の一例を示す。
【図７Ｂ】は特定のタイプの悪意ある攻撃の一例を示す。
【図８】典型的なマイクロプロセッサアーキテクチャの一例をＲＦ漏洩源に斜線をつけて示す。
【図９】ＲＧＢ画像と、ＲＧＢ画像の一部の温度分布とを示す。
【図１０】異常検出および制御フロー追跡のための隠れマルコフモデルを示す。
【図１１Ａ】正常ＨＭＭモデルのみを使用する異常検出を示す。
【図１１Ｂ】１つ以上の異常ＨＭＭモデルが利用可能である場合の識別を示す。
【発明を実施するための形態】
【００２０】
本明細書に記載のシステムおよび方法は、マイクロコントローラ、携帯電話、ラップトップ、デスクトップ、サーバ、および他のコンピュータの侵入、ウイルス、および違法または不審な変更を追跡するために、電磁スペクトル、赤外線放射、および他のモダリティ（例えば、音声およびビデオ）を分析する。いくつかの実施形態では、これは、インターネットに接続されていないハードウェアデバイスであり、したがって、攻撃者はそれを遠隔から無効にすることはできない。有利なことに、これは、攻撃者がユーザの防御（ファイアウォール、ウイルス対策プログラム、その他など）を無効化するという問題を解決する。
【００２１】
いくつかの実施形態は、革新的な高忠実度応答材料ベースのセンシング技術と、マルウェア検出のためのモデルベースでかつデータ分析のハイブリッドアプローチとを組み合わせた画期的なアナログ論理アナライザである、応答材料使用アナログ論理分析（ＡＬＡＲＭ）システムを使用する。図１Ａは、埋め込み型任務特化デバイス（ＥＭＳＤ）を監視するためのＡＬＡＲＭシステムを含む実施形態を示す。具体的には、図１Ａは、第１の監視対象デバイス１０５、第２の監視対象デバイス１１０、およびローカルセンシング用の超薄小型のカスタマイズされた近接場アンテナ１１５を示す。図１Ａは、複数のデバイスを監視し得る中央読取装置１２０と、信号取得および通信のためのＡＳＩＣベースのユニット１２５とをさらに示す。
【００２２】
図１Ｂは、ＥＭＳＤを監視するためのＡＬＡＲＭシステムを含む実施形態のフローチャートを示す。同様の概念は、シンクライアントやラップトップなどのデバイスにも適用可能である。新規のハードウェアおよびソフトウェア要素の協調設計を通して、ＡＬＡＲＭシステムはＥＭＳＤのための高精度命令レベル追跡と、シンクライアントおよびラップトップのための未知のコードの識別とを、低コストで達成することができる。
【００２３】
さらに図１Ｂを参照すると、図１Ｂは、信号センシング（ＲＦ放射およびデバイス電力）１５０、デジタル化および処理（例えば、ＦＦＴ）１５５、信号バッフィング１６０、モデル誘導信号処理１６５、ハイブリッドデータ駆動およびモデルベース状態追跡１７０、オフラインモデル化１７５、プログラムフロー分析１８０、ならびにアナログ放射モデル化１８５を示す。
【００２４】
近接場無線周波数（ＲＦ）センシングと、マイクロケルビン温度分解能センサおよびプログラム分析技術を使用した高忠実度デバイスモデル化と、モデルベースの信号処理および測定値分析とを活用した革新的なシステム設計により、
（ｉ）ＥＭＳＤについて、少なくとも１５フィートのスタンドオフ距離で９５％を超える精度を有する命令レベル追跡と、
（ｉｉ）シンクライアントおよびラップトップついて、少なくとも１５フィートのスタンドオフ距離で８０％を超える精度を有する既知ウイルス未知コードの分類と、が可能となる。
【００２５】
いくつかの実施形態では、ＡＬＡＲＭシステムハードウェアは、（１）ローカル信号取得、バッファリング、および無線通信用の電子機器に連結された監視対象デバイスの近傍（例えば、１フィート未満）に配置されたローカルセンサと、（２）無線通信チャンネル上で得られたデータを介して複数のデバイスを監視する中央読取装置と、の２つの構成要素を含む。ローカルセンサは、非自発的無線周波数（ＲＦ）放射とデバイス電力消費とを捕捉する。ＲＦ放射は、各クラスの埋め込み型任務特化デバイス（ＥＭＳＤ）について（プリンテッドエレクトロニクス技術によって容易にかつ安価に）カスタマイズされたパターンを有するメタマテリアル風アンテナを使用して検知され得る。
【００２６】
いくつかの実施形態では、ローカルアンテナは、監視対象デバイスから数インチ以内で消失する、情報豊富な近接場電磁（ＥＭ）放射を検知する。そのようなアンテナは、攻撃を検出するのに有望な早期結果を示す。それらは、クロック周波数の振幅として検知される、メインプロセッサによって消費される電力に関する情報も提供する。デバイス電力は、監視対象デバイスを低コストのチップスケール電力センサで増強することによっても検知し得る。小さなホール効果電流検知回路を使用することができ、パルス幅変調（ＰＷＭ）によって、出力を同じローカルアンテナに送信することが可能となる。アンテナによって受信されたアナログＲＦおよび電力データは、カスタムＡＳＩＣベースのローカルユニットを使用して、デジタル化され、処理され、バッファリングされ、そして、８０２．１１無線通信チャンネルを介して中央読取装置に通信され得る。ローカルチップは、測定データを、（重大なパケット損失を防ぐためのプログラムサイクルの１回の完全な実行を含むのに十分な）長いタイムウィンドウの間バッファリングしてから、バッファ全体を中央読取装置に転送し得る。中央読取装置は、ローカルセンサからデータを受信し、分析ソフトウェアを実行してマルウェアを検出および診断するコンピューティングプラットフォームである。
【００２７】
ＡＬＡＲＭシステムは低コストであり、幅広い使用事例に容易に適用可能である。コストがかかる主な構成要素は、局在電子機器と中央読取装置とである。市販の既製（ＣＯＴＳ）構成要素でさえ、局在電子機器（デジタル信号処理＋Ｗｉ−Ｆｉチップ）は中容量（＜５，０００ユニット）で２０ドル未満のコストとなる。大容量のＡＳＩＣでは、コストは１０分の１に下がる。中央読取装置はより強力なプロセッサを必要とするが、そのコストは、それを使用して監視できる多数のデバイス（＞５）に対して償却される。
【００２８】
図２は別の実施形態を示す。図２に示す実施形態は、２つの点で図１Ａの実施形態と異なる。第一に、ラップトップ２１０が、中央読取装置の代理として機能するように使用される。第二に、ＣＯＴＳ構成要素２２５から構成されたプリント回路基板がカスタムＡＳＩＣチップ１２５に取って代わる。図２のシステムは、図１Ａのシステムよりもはるかに低い単発コストを有するが、機能的には同一であるため、プロジェクトリソースのより効率的に使用を可能にする。
【００２９】
中央読取装置のＡＬＡＲＭシステムソフトウェアは、複数のＥＭＳＤを監督することができる。読取装置は、低レイテンシ（主なレイテンシ成分は前述のバッファリングウィンドウ長である）でローカルセンサからのデータストリームを処理し得る。ソフトウェア構成要素は、モデル誘導信号処理と、データ駆動かつモデルベースのハイブリッド状態追跡とを含む（例えば、図１Ｂを参照）。
【００３０】
オンラインソフトウェアは、オフラインで構築されたいくつかのモデルに依拠する（図３に示す）。それに関して、図３は、プログラムフロー分析およびアナログ放射モデル化がオフラインで行われる実施形態を示す。これらのモデルは、プログラムコードの有限状態機械モデルとデバイス放射モデルとを含む。デバイスのファームウェア／ソフトウェアの有限状態機械モデルは、プログラムフロー分析を通して作成され得る。デバイス放射モデルは、物理学ベースの技法と経験的な技法の組み合わせを使用して生成され得る。サーモクロミック材料を使用した高分解能温度センシング（マイクロケルビン分解能）を使用して、命令またはコードブロックの実行時に起動されるメモリアクセスパターンおよび機能ブロックを特徴付けることができる。この特性付けは、プログラムの状態をＲＦおよび電力の放射にマッピングする正確なデバイス機械モデルを構築するための重要な入力を提供する。
【００３１】
さらに図３を参照すると、オフラインモデル化３１０、機能ブロックおよびメモリアクセスの特徴付け（高分解能温度センシング）３１５、アナログ放射モデル化（ＲＦおよび電力）３２０、ならびにプログラムフロー分析３２５が示されている。
【００３２】
一態様では、サーモクロミック材料を使用する高分解能温度センシングは、電力消費およびＲＦ放射の高忠実度モデルの作成を可能にする。
【００３３】
ＡＬＡＲＭはソフトウェアブースティングを利用していないが、代わりに、革新的なセンシングおよび高忠実度アナログ放射モデル化に依拠する。
【００３４】
ＡＬＡＲＭアプローチは、いくつかの重要な課題に対処する。現代のソフトウェア設計および高クロック速度は、動作の遠距離場アナログ署名を最少化し、命令レベルの忠実度でデバイス動作を診断することを困難にする。遠距離場信号をデバイス上で実行されている特殊なソフトウェアでブーストすることができるが（Ｃａｌｌａｎ，Ｒｏｂｅｒｔ，Ａｌｅｎｋａ  Ｚａｊｉｃ，ａｎｄ  Ｍｉｌｏｓ  Ｐｒｖｕｌｏｖｉｃ．“ＦＡＳＥ：ｆｉｎｄｉｎｇ  ａｍｐｌｉｔｕｄｅ−ｍｏｄｕｌａｔｅｄ  ｓｉｄｅ−ｃｈａｎｎｅｌ  ｅｍａｎａｔｉｏｎｓ．”Ｐｒｏｃｅｅｄｉｎｇｓ  ｏｆ  ｔｈｅ  ４２ｎｄ  Ａｎｎｕａｌ  Ｉｎｔｅｒｎａｔｉｏｎａｌ  Ｓｙｍｐｏｓｉｕｍ  ｏｎ  Ｃｏｍｐｕｔｅｒ  Ａｒｃｈｉｔｅｃｔｕｒｅ．ＡＣＭ、２０１５）、そのようなアプローチは、ＣＯＴＳデバイスには容易に適用できない。代わりに、これは、近接場センシング技術と高忠実度モデル化アプローチの組み合わせで克服し得る。別の主要課題は、ほとんどプラグアンドプレイの様式で、容易に配備できるシステムを構築することである。従来のアンテナは必要とされる感度を欠いているかまたは大きすぎて実用的ではないが、本明細書に記載のアプローチは、ローカルセンサのカスタマイズおよびサイズ縮小（例えば、１６ＭＨｚ周波数に対して波長の〜２％または０．３２ｍ以下の近接場ＲＦアンテナサイズ）を可能にし、より実現可能な配備解決策をもたらす。本明細書に記載のシステムおよび方法は、メタマテリアル、機械学習、信号処理、プリンテッドエレクトロニクス、サイバーフィジカルシステムセキュリティ、光センシングなどの広範な専門分野を取り込んだ、これらの困難な問題に対処するための緊密に統合された集学的ハードウェア／ソフトウェアアプローチをもたらす。
【００３５】
本明細書に記載のシステムおよび方法の１つの目的は、現在利用可能な技術を使用しても測定不可能な非自発的信号を使用してＥＭＳＤ上で実行されるハイブリッドデバイス状態追跡アルゴリズムを設計することである。「ハイブリッド」とは、モデルベース（アナログ放射およびプログラムフロー用）および機械学習の両分析技術を組み合わせる本明細書に記載のアプローチを指す。デジタルデバイスのサイドチャンネル放射はＦＣＣコンプライアンスやハッキングの目的で詳細に研究されてきたが、セキュリティのためにそれらを活用することは非常に異なる提案である。コンプライアンスは、主に、異なるスペクトル帯域で放射される電力に焦点が当てられている。ハッカーは、攻撃を引き起こすので、いつサイドチャンネル上で盗聴すべきかを知っている。それでも、信号内のノイズを平均化して求めているデータ（典型的には暗号化キー）を回収するために、何千回もの攻撃を引き起こす必要がある。この方法は、攻撃者は何万回もの試行で１回だけ成功すればよいので、機能するのである。しかし、セキュリティのためにこれらの同じサイドチャンネルを使用するためには、異常な動作は、起動から数秒ないし数分以内に検出されなければならない。診断するのに十分にクリーンな信号を取得するために攻撃を何千回も実行させることは容認できない。
【００３６】
最先端技術よりもはるかに優れた分解能および識別力を有するセンサが必要とされている。本明細書に記載のシステムおよび方法は、正面から挑戦する攻撃に対していくつかの深遠な能力を活用する。いくつかの実施形態は、直接適用可能なパターン化メタマテリアル風アンテナと、従来の機器では検出できない信号を検知することができるサーモクロミックコーティングとを使用する。本明細書に記載されているように、新規の応答材料センサは、個々の命令レベルで信号の直接的な特徴付けを提供する。本明細書に記載のシステムおよび方法はまた、公称および攻撃のシナリオの下で、コード実行およびメモリアクセス動作を用いて、これらの信号における時間的変化（例えば、ＲＦスペクトルの変化）および空間的変化（例えば、チップを横切る温度勾配）を特徴付ける。この信号モデルに加えて、いくつかの実施形態は、モデルベースの診断（Ｔｒｏｐｐ，Ｊ．“Ｇｒｅｅｄ  ｉｓ  ｇｏｏｄ：Ａｌｇｏｒｉｔｈｍｉｃ  ｒｅｓｕｌｔｓ  ｆｏｒ  ｓｐａｒｓｅ  ａｐｐｒｏｘｉｍａｔｉｏｎ．”ＩＥＥＥ  Ｔｒａｎｓａｃｔｉｏｎｓ  ｏｎ  Ｉｎｆｏｒｍａｔｉｏｎ  Ｔｈｅｏｒｙ，５０．１０（２００４）：２２３１−２２４２、Ｄｕａｒｔｅ，Ｍ．Ｆ．，ｅｔ  ａｌ．“Ｄｉｓｔｒｉｂｕｔｅｄ  ｃｏｍｐｒｅｓｓｅｄ  ｓｅｎｓｉｎｇ  ｏｆ  ｊｏｉｎｔｌｙ  ｓｐａｒｓｅ  ｓｉｇｎａｌｓ．”Ａｓｉｌｏｍａｒ  Ｃｏｎｆ．Ｓｉｇｎａｌｓ，Ｓｙｓ．，Ｃｏｍｐｕｔ．２００５、Ｒａｂｉｎｅｒ，Ｌａｗｒｅｎｃｅ  Ｒ．，ａｎｄ  Ｂｉｉｎｇ−Ｈｗａｎｇ  Ｊｕａｎｇ．“Ａｎ  ｉｎｔｒｏｄｕｃｔｉｏｎ  ｔｏ  ｈｉｄｄｅｎ  Ｍａｒｋｏｖ  ｍｏｄｅｌｓ．”ＡＳＳＰ  Ｍａｇａｚｉｎｅ，ＩＥＥＥ  ３．１（１９８６）：４−１６、Ｐａｒｋ，Ｓｕｎｇ  Ｃｈｅｏｌ，Ｍｉｎ  Ｋｙｕ  Ｐａｒｋ，ａｎｄ  Ｍｏｏｎ  Ｇｉ  Ｋａｎｇ．“Ｓｕｐｅｒ−ｒｅｓｏｌｕｔｉｏｎ  ｉｍａｇｅ  ｒｅｃｏｎｓｔｒｕｃｔｉｏｎ：ａ  ｔｅｃｈｎｉｃａｌ  ｏｖｅｒｖｉｅｗ．”Ｓｉｇｎａｌ  Ｐｒｏｃｅｓｓｉｎｇ  Ｍａｇａｚｉｎｅ，ＩＥＥＥ  ２０．３（２００３）：２１−３６）と、複雑なデータベースにおいて時間的、地理空間的、およびネットワークの異常を見出すことができる機械学習（Ｌｉ，Ｊｉｎｇｙｕａｎ，Ｔｅｊａｓｗｉ  Ｔａｍｍｉｎｅｄｉ，Ｇｕｙ  Ｙｏｓｉｐｈｏｎ，Ａｎｕｒａｇ  Ｇａｎｇｕｌｉ，Ｌｅｉ  Ｚｈａｎｇ，Ｊｏｈｎ  Ａ．Ｓｔａｎｋｏｖｉｃ，ａｎｄ  Ｊａｃｏｂ  Ｙａｄｅｇａｒ．“Ｒｅｍｏｔｅ  ｐｈｙｓｉｏｌｏｇｉｃａｌ  ｍｏｎｉｔｏｒｉｎｇ  ｏｆ  ｆｉｒｓｔ  ｒｅｓｐｏｎｄｅｒｓ  ｗｉｔｈ  ｉｎｔｅｒｍｉｔｔｅｎｔ  ｎｅｔｗｏｒｋ  ｃｏｎｎｅｃｔｉｖｉｔｙ．”Ｉｎ  Ｗｉｒｅｌｅｓｓ  Ｈｅａｌｔｈ  ２０１０，ｐｐ．６４−７３．ＡＣＭ，２０１０、Ｅｌｄａｒｄｉｒｙ，Ｈｏｄａ，ｅｔ  ａｌ．“Ｍｕｌｔｉ−ｓｏｕｒｃｅ  ｆｕｓｉｏｎ  ｆｏｒ  ａｎｏｍａｌｙ  ｄｅｔｅｃｔｉｏｎ：ｕｓｉｎｇ  ａｃｒｏｓｓ−ｄｏｍａｉｎ  ａｎｄ  ａｃｒｏｓｓ−ｔｉｍｅ  ｐｅｅｒ−ｇｒｏｕｐ  ｃｏｎｓｉｓｔｅｎｃｙ  ｃｈｅｃｋｓ．”Ｊｏｕｒｎａｌ  ｏｆ  Ｗｉｒｅｌｅｓｓ  Ｍｏｂｉｌｅ  Ｎｅｔｗｏｒｋｓ，Ｕｂｉｑｕｉｔｏｕｓ  Ｃｏｍｐｕｔｉｎｇ，ａｎｄ  Ｄｅｐｅ��ｄａｂｌｅ  Ａｐｐｌｉｃａｔｉｏｎｓ（ＪｏＷＵＡ）５．２（２０１４）：３９−５８）とを活用することにより、リアルタイム状態追跡および異常検出ソフトウェア層を構築する。
【００３７】
革新的な側面
本明細書に記載のシステムおよび方法は、少なくとも以下を含む、多くの新規または有利な特性を含む。第一に、波長２％以下の小型アンテナを用いて、ＭＨｚ範囲内の非自発的近接場ＲＦ放射を検知する能力があり、これにより、目立たない分散配備が可能となる。第二に、チップ表面上のマイクロケルビン温度変化を検知する能力があり、命令によってアクセスされる機能ブロックおよびメモリアクセスパターンの正確な特徴付けを可能にする。第三に、上記の特徴付けを活用した高忠実度アナログ放射モデル化の開発がある。最後に、信号処理および状態追跡の両方について、モデルベースのアプローチと機械学習アプローチのハイブリッドの開発および使用がある。
【００３８】
影響
ネットワークの速度およびサイズの増大により、モノのインターネット（ＩｏＴ）が推進されており、オン／オフスイッチを備えたいかなるデバイスもオンライン接続が可能である。技術調査会社Ｇａｒｔｎｅｒは、インターネットに接続されたスマートデバイスの数は２０２０年までに世界で２６０億に達すると予測している。しかしながら、小型スマートデバイスは、ネットワーク内で「最弱リンク」であることが多い。ＩｏＴ、埋め込み型、およびモバイルまたはポータブルデバイスのセキュリティの脆弱性は、国家安全保障および軍事に重大な結果をもたらす可能性がある。スマートメーターは、全国の電力網および水道システムにますます普及している。これらのデバイスへの大規模な組織的攻撃は、不安定なグリッドダイナミクスや経済的悪影響を生み出す可能性がある。国の交通ネットワークも同様に脆弱である。交差点で使用されるスマートセンサは、交通の流れを円滑にするために重要である。これらのセンサへの攻撃は大規模な交通渋滞を生み出し、国家安全保障に、経済的に、および社会的に多大なコストをもたらす。重要なデータセンターは、例えば、接続されたサーモスタットを介して冷却システムに侵入することによっても影響を受ける可能性がある。軍事施設では、資産管理および施設管理の改善により、ＩｏＴには大幅なコスト削減の可能性がある。（“Ｃｏｎｔｉｎｕｉｎｇ  ｔｈｅ  ｍａｒｃｈ：Ｔｈｅ  ｐａｓｔ，ｐｒｅｓｅｎｔ，ａｎｄ  ｆｕｔｕｒｅ  ｏｆ  ｔｈｅ  ＩｏＴ  ｉｎ  ｔｈｅ  ｍｉｌｉｔａｒｙ”．ｈｔｔｐ：／／ｄｕｐｒｅｓｓ．ｃｏｍ／ａｒｔｉｃｌｅｓ／ｉｎｔｅｒｎｅｔ−ｏｆ−ｔｈｉｎｇｓ−ｉｏｔ−ｉｎ−ｍｉｌｉｔａｒｙ−ｄｅｆｅｎｓｅ−ｉｎｄｕｓｔｒｙ／．Ａｃｃｅｓｓｅｄ  ｏｎ  Ｎｏｖ  １２，２０１５）。しかしながら、ＩｏＴの脆弱性はこれらの施設の正常機能遂行に脅威をもたらす。次世代の軍用無線機もスマートフォンの脆弱性を共有する可能性がある。（同上）。Ｆ−３５統合打撃戦闘機などの近代的な軍用システムは、メンテナンスの必要性を予測し、それらをメンテナンス要員に伝えるためにセンサを使用する。（同上）。これらのセンサが危険にさらされると、重要な軍事機器の動作と寿命が劣下する可能性がある。
【００３９】
民間ドメインでは、ＩｏＴセキュリティは間違った理由でニュースになる。Ｗｉ−Ｆｉパスワードを漏らすスマート電球の報告は日常的である。自動更新のためのブラウザ内蔵のＣＡＴスキャン機を介して、コンピュータワームが病院のシステムに侵入する可能性がある。加えて、ＨｅａｒｔｂｌｅｅｄおよびＳｈｅｌｌｓｈｏｃｋバグなどの大規模なセキュリティ突破は、モノのインターネットの至る所で起こるとさらに深刻なものになりかねない。消費者ドメインにおける中核の問題は、セキュリティおよびプライバシーが、ＩｏＴソフトウェアおよびハードウェアの開発者にとっては、長い間、後からの思いつきであったことである。このプロジェクトで開発された技術は、この空白を埋める助けとなり得る。本明細書に記載のシステムおよび方法は、従来のリソグラフィまたはスクリーン印刷プロセスによって大規模に安価に製造することができる応答性材料ベースのセンサを提供する。車寄せに車を止めようとするときに作動する機器、または使い果たしたときに食料品を注文する冷蔵庫を所有するなど、ＩｏＴの利便性は、改ざんされたデータという犠牲のもとにあってはならない。この新興技術が普通の消費者にとって望ましい選択肢となり得るのは、プライバシーおよびセキュリティを保護することによってのみである。
【００４０】
技術成熟選択肢
市販準備が整ったシステムの２つの可能な選択肢は以下の通りである。
【００４１】
第一に、１つの選択肢は、集積化薄膜アンテナおよび信号処理回路である。可撓性のシート状トランスデューサ素子は、デバイスの後ろに支持面と同一平面で取り付けることができる。この薄いトランスデューサシートはまた、光学的に不可視になるよう塗装することができる。この構成では、ＩｏＴデバイスからのＲＦ放射はメタマテリアル風アンテナによって捕捉されるが、アンテナは、信号を、デジタル処理のためにそれに取り付けられたカスタムチップスケール検出器に直接送る。このローカルモニタリングパッケージは、誘導的にまたはＲＦ掃気を通して、中央読取装置から電力供給される。
【００４２】
第二に、もう１つ選択肢は、ステッカーとしての超小型アンテナである。ＥＭＳＤ内のマイクロプロセッサに直接取り付けることができる１インチ×１インチのステッカーというフォームファクタにメタマテリアルアンテナを小型化することには、効率と利得のトレードオフがある。これらのアンテナは、対象となるデバイス用にカスタムメイドされ、デバイスから局所的にかまたは薄膜電池によってのいずれかで電力供給される。それらは、中央読取装置が場の特定のデバイスを識別できることを可能にする、ＲＦＩＤタグに類似の、固有のＩＤを有するように設計することができる。アンテナの小型化による利得の低下は、近接性の向上、高度なノイズ除去、およびマルウェア検出で使用されるモデルの広範なトレーニングによって補うことができる。
【００４３】
持続性のリスクと軽減
有利なことに、ＡＬＡＲＭの特定の要素は持続性のリスクに対して回復力がある。デジタル印刷アンテナおよびデバイスは、新興技術によって急速に共進化することができる。物理学ベースのモデルは、我々の高分解能温感アプローチを使用して、新しいプロセッサ用に効率的に生成することができ、機械学習技術は進化するプログラミング基準に対応することができる。急速に進化する情報技術の世界でも、ＡＬＡＲＭは、近い将来に実行可能であり続ける基本的なアプローチを提供する。
【００４４】
研究課題
高度な研究課題と我々のハードウェア／ソフトウェア統合アプローチとの関連性を以下にまとめる。行１の「測定」および行３の「知識」はソフトウェアに対応し、行２の「モデル化」および行５の「システム設計」はハードウェアに対応し、行４の「識別可能性」はハードウェア／ソフトウェア要素の組み合わせに対応する。
【００４５】
【表１】
2019215858.tif 000003
【００４６】
プロジェクト概要
図４は、プロジェクトフローおよび相互依存関係を示すＡＬＡＲＭタスク構造を示す。これらのタスクについては、以降のセクションで詳細に説明する。以下の記述はＥＭＳＤのための命令レベル追跡の問題に対処するものであり、別様に記述されない限り、同じアプローチが、よりおおまかなレベルの追跡（例えば、制御フロー追跡）およびより複雑なデバイス（例えば、シンクライアントおよびラップトップ）に有効である。さらに図４を参照すると、図４は、動作の概念４１０、ハードウェア統合設計および製造４２０、デバイス調整４３０、信号モデル化４４０、デバイス診断４５０、検証試験４６０、ならびにプログラム管理４７０を示す。
【００４７】
動作の概念
このタスクの１つの目的は、ＡＬＡＲＭシステムが配備される可能性がある代表的な動作シナリオを定義することである。別の目的は、デバイスソフトウェアのモデル、有限状態オートマトンを構築するためにプログラムフロー分析を実行することである。
【００４８】
１つの動作シナリオの定義には、とりわけ、監視するデバイスのタイプ、デバイス数、それらの間の距離、ならびにノイズおよび干渉の源を特定することが含まれる。
【００４９】
デバイス選択
デバイス動作を命令レベルで分解するのを助けるために、デバイスのハードウェア、ファームウェア、プログラム、およびデータに関するできるだけ詳細な知識を得ることは有益である。この情報は、今日市場に出回っている多くの市販のデバイスでは容易に入手できないかもしれないが、適切な契約の下でデバイス製造業者によって共有されることがよくある。リスクをさらに軽減するために、本明細書に記載のアプローチでは、対象となる各デバイスクラス、つまりＩｏＴ、埋め込み型デバイス、シンクライアント、およびスマートフォン／ラップトップ、について同等の開発者プラットフォームを検討する。表２に、デバイスクラス、それらの特性、例、ならびに同等のハードウェアおよび命令セットの複雑さの開発者プラットフォームを列挙する。ＩｏＴおよび埋め込み型デバイスはいくつかのモード（各モードはプログラムとして考えることができる）で動作できるが、常にまさしく１つのモードで存在し、モードの変更はめったにないものとする。
【００５０】
【表２】
2019215858.tif 000004
【００５１】
プログラムフロー分析
プログラムフロー分析の目的は、デバイスソフトウェアの確率的有限状態機械モデルを構築することである。ソフトウェアシステムのモデル化は非常に時間がかかり困難な作業である。まったく複雑で進化を続けるソフトウェアシステムでは、ソフトウェアシステムの現在の状態を正確に捉えるモデルを作成して維持することは困難である。しかしながら、機械学習技術を使用して１セットの実行からソフトウェアのモデルを推測し、ＡＬＡＲＭワークフローの他のモジュールを支援することができる。生成されたモデルの性質に応じて、これらの技術は２つのカテゴリに分類される：（ｉ）オートマトンベースの技術（例えば、Ｓ．Ｆｏｒｒｅｓｔ，Ｓ．Ａ．Ｈｏｆｍｅｙｒ，Ａ．Ｓｏｍａｙａｊｉ，Ｉｎｔｒｕｓｉｏｎ  Ｄｅｔｅｃｔｉｏｎ  ｕｓｉｎｇ  Ｓｅｑｕｅｎｃｅｓ  ｏｆ  Ｓｙｓｔｅｍ  Ｃａｌｌｓ，Ｊｏｕｒｎａｌ  ｏｆ  Ｃｏｍｐｕｔｅｒ  Ｓｅｃｕｒｉｔｙ  Ｖｏｌ．６（１９９８）ｐｇ１５１−１８０、Ｉ．Ｋｒｋａ，Ｙ．Ｂｒｕｎ，ａｎｄ  Ｎ．Ｍｅｄｖｉｄｏｖｉｃ，“Ａｕｔｏｍａｔｉｃ  ｍｉｎｉｎｇ  ｏｆ  ｓｐｅｃｉｆｉｃａｔｉｏｎｓ  ｆｒｏｍ  ｉｎｖｏｃａｔｉｏｎ  ｔｒａｃｅｓ  ａｎｄ  ｍｅｔｈｏｄ  ｉｎｖａｒｉａｎｔｓ，”ｉｎ  Ｐｒｏｃｅｅｄｉｎｇｓ  ｏｆ  ｔｈｅ  ２２ｎｄ  ＡＣＭ  ＳＩＧＳＯＦＴ  Ｉｎｔｅｒｎａｔｉｏｎａｌ  Ｓｙｍｐｏｓｉｕｍ  ｏｎ  Ｆｏｕｎｄａｔｉｏｎｓ  ｏｆ  Ｓｏｆｔｗａｒｅ  Ｅｎｇｉｎｅｅｒｉｎｇ，（ＦＳＥ−２２），Ｈｏｎｇ  Ｋｏｎｇ，Ｃｈｉｎａ，Ｎｏｖｅｍｂｅｒ  １６−２２，２０１４，２０１４，ｐｐ．１７８−１８９、Ｍ．Ａｃｈａｒｙａ，Ｔ．Ｘｉｅ，Ｊ．Ｐｅｉ，ａｎｄＪ．Ｘｕ．Ｍｉｎｉｎｇ  ＡＰＩ  Ｐａｔｔｅｒｎｓ  ａｓ  Ｐａｒｔｉａｌ  Ｏｒｄｅｒｓ  ｆｒｏｍ  Ｓｏｕｒｃｅ  Ｃｏｄｅ：Ｆｒｏｍ  Ｕｓａｇｅ  Ｓｃｅｎａｒｉｏｓ  ｔｏ  Ｓｐｅｃｉｆｉｃａｔｉｏｎｓ．Ｉｎ  ｐｒｏｃｅｅｄｉｎｇｓ  ｏｆ  ｔｈｅ  ６ｔｈ  ｊｏｉｎｔ  ｍｅｅｔｉｎｇ  ｏｆ  ｔｈｅ  Ｅｕｒｏｐｅａｎ  Ｓｏｆｔｗａｒｅ  Ｅｎｇｉｎｅｅｒｉｎｇ  Ｃｏｎｆｅｒｅｎｃｅ  ａｎｄ  ｔｈｅ  ＡＣＭ  ＳＩＧＳＯＦＴ  Ｉｎｔｅｒｎａｔｉｏｎａｌ  Ｓｙｍｐｏｓｉｕｍ  ｏｎ  Ｆｏｕｎｄａｔｉｏｎｓ  ｏｆ  Ｓｏｆｔｗａｒｅ  Ｅｎｇｉｎｅｅｒｉｎｇ，２００７、Ｇ．Ａｍｍｏｎｓ，Ｒ．Ｂｏｄｉｋ，ａｎｄＪ．Ｒ．Ｌａｒｕｓ．Ｍｉｎｉｎｇ  Ｓｐｅｃｉｆｉｃａｔｉｏｎ．Ｉｎ  ｐｒｏｃｅｅｄｉｎｇｓ  ｏｆ  ｔｈｅ  ３５ｔｈ  Ａｎｎｕａｌ  ＡＣＭ  ＳＩＧＰＬＡＮ−ＳＩＧＡＣＴ  Ｓｙｍｐｏｓｉｕｍ  ｏｎ  Ｐｒｉｎｃｉｐｌｅｓ  ｏｆ  Ｐｒｏｇｒａｍｍｉｎｇ  Ｌａｎｇｕａｇｅｓ，２００２）、および（ｉｉ）非オートマトンベースの技術（例えば、Ｍ．Ｅｒｎｓｔ，Ｊ．Ｃｏｃｋｒｅｌｌ，Ｗ．Ｇｒｉｓｗｏｌｄ，ａｎｄ  Ｄ．Ｎｏｔｋｉｎ．Ｄｙｎａｍｉｃａｌｌｙ  ｄｉｓｃｏｖｅｒｉｎｇ  ｌｉｋｅｌｙ  ｐｒｏｇｒａｍ  ｉｎｖａｒｉａｎｔｓ  ｔｏ  ｓｕｐｐｏｒｔ  ｐｒｏｇｒａｍ  ｅｖｏｌｕｔｉｏｎ．ＩＥＥＥ  Ｔｒａｎｓａｃｔｉｏｎ  ｏｎ  Ｓｏｆｔｗａｒｅ  Ｅｎｇｉｎｅｅｒｉｎｇ，２７（２）：９９−１２３，Ｆｅｂｒｕａｒｙ  ２００１、Ｄ．Ｌｏ，Ｓ．−Ｃ．Ｋｈｏｏ，ａｎｄ  Ｃ．Ｌｉｕ．Ｍｉｎｉｎｇ  ｔｅｍｐｏｒａｌ  ｒｕｌｅｓ  ｆｏｒ  ｓｏｆｔｗａｒｅ  ｍａｉｎｔｅｎａｎｃｅ．Ｊｏｕｒｎａｌ  ｏｆ  Ｓｏｆｔｗａｒｅ  Ｍａｉｎｔｅｎａｎｃｅ  ａｎｄ  Ｅｖｏｌｕｔｉｏｎ：Ｒｅｓｅａｒｃｈ  ａｎｄ  Ｐｒａｃｔｉｃｅ，２０（４）：２２７−２４７，２００８）。
【００５２】
Ｆｏｒｒｅｓｔら（Ｓ．Ｆｏｒｒｅｓｔ，Ｓ．Ａ．Ｈｏｆｍｅｙｒ，Ａ．Ｓｏｍａｙａｊｉ，Ｉｎｔｒｕｓｉｏｎ  Ｄｅｔｅｃｔｉｏｎ  ｕｓｉｎｇ  Ｓｅｑｕｅｎｃｅｓ  ｏｆ  Ｓｙｓｔｅｍ  Ｃａｌｌｓ，Ｊｏｕｒｎａｌ  ｏｆ  Ｃｏｍｐｕｔｅｒ  Ｓｅｃｕｒｉｔｙ  Ｖｏｌ．６（１９９８）ｐｇ１５１−１８０）は、実行トレースから学習されたプログラムの振る舞いが、効果的な侵入検出技術を自動的に開発するための有望なテクニックであることを示した。Ｆｏｒｒｅｓｔらによって提案されたアプローチは、システムコールシーケンスを固定長Ｎのサブストリング（いわゆるＮｇｒａｍ）に分割することによって正常な振る舞いを特徴付ける。Ｎｇｒａｍを使用することの制限は、学習アルゴリズムが、一方では小さいＮに対して非効率的になり、他方では大きいＮに対して扱い難くなることである。
【００５３】
より有望なアプローチは、有限状態オートマトンとして実行トレースからプログラムの振る舞いを推測することである（例えば、Ｆｏｒｒｅｓｔ  ｅｔ  ａｌ，Ｉ．Ｋｒｋａ，Ｙ．Ｂｒｕｎ，ａｎｄ  Ｎ．  Ｍｅｄｖｉｄｏｖｉｃ，“Ａｕｔｏｍａｔｉｃ  ｍｉｎｉｎｇ  ｏｆ  ｓｐｅｃｉｆｉｃａｔｉｏｎｓ  ｆｒｏｍ  ｉｎｖｏｃａｔｉｏｎ  ｔｒａｃｅｓ  ａｎｄ  ｍｅｔｈｏｄ  ｉｎｖａｒｉａｎｔｓ，”ｉｎ  Ｐｒｏｃｅｅｄｉｎｇｓ  ｏｆ  ｔｈｅ  ２２ｎｄ  ＡＣＭ  ＳＩＧＳＯＦＴ  Ｉｎｔｅｒｎａｔｉｏｎａｌ  Ｓｙｍｐｏｓｉｕｍ  ｏｎ  Ｆｏｕｎｄａｔｉｏｎｓ  ｏｆ  Ｓｏｆｔｗａｒｅ  Ｅｎｇｉｎｅｅｒｉｎｇ，（ＦＳＥ−２２），Ｈｏｎｇ  Ｋｏｎｇ，Ｃｈｉｎａ，Ｎｏｖｅｍｂｅｒ１６−２２，２０１４，２０１４，ｐｐ．１７８−１８９、Ｍ．Ａｃｈａｒｙａ，Ｔ．Ｘｉｅ，Ｊ．Ｐｅｉ，ａｎｄＪ．Ｘｕ．Ｍｉｎｉｎｇ  ＡＰＩ  Ｐａｔｔｅｒｎｓ  ａｓ  Ｐａｒｔｉａｌ  Ｏｒｄｅｒｓ  ｆｒｏｍ  Ｓｏｕｒｃｅ  Ｃｏｄｅ：Ｆｒｏｍ  Ｕｓａｇｅ  Ｓｃｅｎａｒｉｏｓ  ｔｏ  Ｓｐｅｃｉｆｉｃａｔｉｏｎｓ．Ｉｎ  ｐｒｏｃｅｅｄｉｎｇｓ  ｏｆ  ｔｈｅ  ６ｔｈ  ｊｏｉｎｔ  ｍｅｅｔｉｎｇ  ｏｆ  ｔｈｅ  Ｅｕｒｏｐｅａｎ  Ｓｏｆｔｗａｒｅ  Ｅｎｇｉｎｅｅｒｉｎｇ  Ｃｏｎｆｅｒｅｎｃｅ  ａｎｄ  ｔｈｅ  ＡＣＭ  ＳＩＧＳＯＦＴ  Ｉｎｔｅｒｎａｔｉｏｎａｌ  Ｓｙｍｐｏｓｉｕｍ  ｏｎ  Ｆｏｕｎｄａｔｉｏｎｓ  ｏｆ  Ｓｏｆｔｗａｒｅ  Ｅｎｇｉｎｅｅｒｉｎｇ，２００７、Ｇ．Ａｍｍｏｎｓ，Ｒ．Ｂｏｄｉｋ，ａｎｄＪ．Ｒ．Ｌａｒｕｓ．Ｍｉｎｉｎｇ  Ｓｐｅｃｉｆｉｃａｔｉｏｎ．Ｉｎ  ｐｒｏｃｅｅｄｉｎｇｓ  ｏｆ  ｔｈｅ  ３５ｔｈ  Ａｎｎｕａｌ  ＡＣＭ  ＳＩＧＰＬＡＮ−ＳＩＧＡＣＴ  Ｓｙｍｐｏｓｉｕｍ  ｏｎ  Ｐｒｉｎｃｉｐｌｅｓ  ｏｆ  Ｐｒｏｇｒａｍｍｉｎｇ  Ｌａｎｇｕａｇｅｓ，２００２）。最近の進歩にもかかわらず、大きな実際のシステムを拡張し正確に特徴付けるためのアプローチには対処すべき制限がまだある。例えば、ｋ−テイルアルゴリズムを使用して推測された有限状態自動化（ＦＳＡ）は、特定の順序で頻繁に共起するがこれらの順序で正確に起こる必要はない方法を含む実行トレースに対して通常不正確である（Ｉ．Ｋｒｋａ，Ｙ．Ｂｒｕｎ，ａｎｄ  Ｎ．Ｍｅｄｖｉｄｏｖｉｃ，“Ａｕｔｏｍａｔｉｃ  ｍｉｎｉｎｇ  ｏｆ  ｓｐｅｃｉｆｉｃａｔｉｏｎｓ  ｆｒｏｍ  ｉｎｖｏｃａｔｉｏｎ  ｔｒａｃｅｓ  ａｎｄ  ｍｅｔｈｏｄ  ｉｎｖａｒｉａｎｔｓ，”  ｉｎ  Ｐｒｏｃｅｅｄｉｎｇｓ  ｏｆ  ｔｈｅ  ２２ｎｄ  ＡＣＭ  ＳＩＧＳＯＦＴ  Ｉｎｔｅｒｎａｔｉｏｎａｌ  Ｓｙｍｐｏｓｉｕｍ  ｏｎ  Ｆｏｕｎｄａｔｉｏｎｓ  ｏｆ  Ｓｏｆｔｗａｒｅ  Ｅｎｇｉｎｅｅｒｉｎｇ，（ＦＳＥ−２２），Ｈｏｎｇ  Ｋｏｎｇ，Ｃｈｉｎａ，Ｎｏｖｅｍｂｅｒ１６−２２，２０１４，２０１４，ｐｐ．１７８−１８９）。さらに、システムのモデルを推測するための最先端技術は詳細な実行トレースを必要とし、これは産業的環境では不可能であり得る。
【００５４】
本明細書に記載のシステムおよび方法は、１セットの実行トレースから確率的ＦＳＡを推測するアプローチ、すなわちモデル作成を自動化し、したがって人間の努力を減らすことを検討する。先行の段落で概説した現在最先端のアプローチの制限を克服するために、本明細書に記載のいくつかのアプローチは、最初に、実行トレースセットをクラスタ化し、各クラスタについて別々のＦＳＡを計算する。次いで、計算されたＦＳＡのセットを１つのＦＳＡに一般化する。
【００５５】
実行トレースの収集
ほとんどのオペレーティングシステムは、システム、例えば、ＭａｃＯＳ用のＯｐｅｎＢＳＭ、ａｕｄｉｔｃｔｌ（Ｕｎｉｘ）、およびＰｒｏｃｅｓｓ  Ｍｏｎｉｔｏｒ（Ｗｉｎｄｏｗｓ）などの内で、システムコールなどのイベントを追跡するためのメカニズムを提供する。メカニズムを活用し、さまざまなプラットフォームの監査証跡を記録する機能を提供する統合ツールセットさえある。特に、オープンソースＳＰＡＤＥツールセット（Ｓｕｐｐｏｒｔ  ｆｏｒ  Ｐｒｏｖｅｎａｎｃｅ  Ａｕｄｉｔｉｎｇ  ｉｎ  Ｄｉｓｔｒｉｂｕｔｅｄ  Ｅｎｖｉｒｏｎｍｅｎｔｓ、分散環境における来歴監査のサポート）（Ａｓｈｉｓｈ  Ｇｅｈａｎｉ  ａｎｄ  Ｄａｗｏｏｄ  Ｔａｒｉｑ，ＳＰＡＤＥ：Ｓｕｐｐｏｒｔ  ｆｏｒ  Ｐｒｏｖｅｎａｎｃｅ  Ａｕｄｉｔｉｎｇ  ｉｎ  Ｄｉｓｔｒｉｂｕｔｅｄ  Ｅｎｖｉｒｏｎｍｅｎｔｓ，１３ｔｈ  ＡＣＭ／ＩＦＩＰ／ＵＳＥＮＩＸ  Ｉｎｔｅｒｎａｔｉｏｎａｌ  Ｃｏｎｆｅｒｅｎｃｅ  ｏｎ  Ｍｉｄｄｌｅｗａｒｅ，２０１２）は、本明細書に記載の特定の実施形態のトレース収集によく適しているように見える。トレースを収集するために、本明細書に記載の１つのアプローチは、ファズテスト（Ｇｏｄｅｆｒｏｉｄ，Ｐａｔｒｉｃｅ．“Ｒａｎｄｏｍ  ｔｅｓｔｉｎｇ  ｆｏｒ  ｓｅｃｕｒｉｔｙ：ｂｌａｃｋｂｏｘ  ｖｓ．ｗｈｉｔｅｂｏｘ  ｆｕｚｚｉｎｇ．”Ｐｒｏｃｅｅｄｉｎｇｓ  ｏｆ  ｔｈｅ  ２ｎｄ  ｉｎｔｅｒｎａｔｉｏｎａｌ  ｗｏｒｋｓｈｏｐ  ｏｎ  Ｒａｎｄｏｍ  ｔｅｓｔｉｎｇ：ｃｏ−ｌｏｃａｔｅｄ  ｗｉｔｈ  ｔｈｅ  ２２ｎｄ  ＩＥＥＥ／ＡＣＭ  Ｉｎｔｅｒｎａｔｉｏｎａｌ  Ｃｏｎｆｅｒｅｎｃｅ  ｏｎ  Ａｕｔｏｍａｔｅｄ  Ｓｏｆｔｗａｒｅ  Ｅｎｇｉｎｅｅｒｉｎｇ（ＡＳＥ２００７）．ＡＣＭ、２００７）を適用することによって開始し、それには、適格な入力の生成を支援するための文法の使用を含む。ソフトウェアシステムを対象となる状態に至らせるための他の技術は、シンボリックおよびコンコリックな実行である（Ｆａｒｚａｎ，Ａｚａｄｅｈ，Ａｎｄｒｅａｓ  Ｈｏｌｚｅｒ，ａｎｄ  Ｈｅｌｍｕｔ  Ｖｅｉｔｈ．“Ｐｅｒｓｐｅｃｔｉｖｅｓ  ｏｎ  Ｗｈｉｔｅ−Ｂｏｘ  Ｔｅｓｔｉｎｇ：Ｃｏｖｅｒａｇｅ，Ｃｏｎｃｕｒｒｅｎｃｙ，ａｎｄ  Ｃｏｎｃｏｌｉｃ  Ｅｘｅｃｕｔｉｏｎ．”Ｓｏｆｔｗａｒｅ  Ｔｅｓｔｉｎｇ，Ｖｅｒｉｆｉｃａｔｉｏｎ  ａｎｄ  Ｖａｌｉｄａｔｉｏｎ（ＩＣＳＴ），２０１５  ＩＥＥＥ  ８ｔｈ  Ｉｎｔｅｒｎａｔｉｏｎａｌ  Ｃｏｎｆｅｒｅｎｃｅ  ｏｎ．ＩＥＥＥ、２０１５）。実行における多様性を得るために、本明細書に記載の１つのアプローチは、情報獲得を最大にするテストを生成するためのテスト生成プロセスを導くための技法を用いる（Ｇｏｎｚａｌｅｚ−Ｓａｎｃｈｅｚ，Ａ．，Ａｂｒｅｕ，Ｒ．，Ｇｒｏｓｓ，Ｈ．Ｇ．，＆ｖａｎ  Ｇｅｍｕｎｄ，Ａ．Ｊ．（２０１１，Ａｕｇｕｓｔ）．Ｓｐｅｃｔｒｕｍ−Ｂａｓｅｄ  Ｓｅｑｕｅｎｔｉａｌ  Ｄｉａｇｎｏｓｉｓ．Ｉｎ  ＡＡＡＩ、Ｃａｍｐｏｓ，Ｊ．，Ａｂｒｅｕ，Ｒ．，Ｆｒａｓｅｒ，Ｇ．，＆ｄ’Ａｍｏｒｉｍ，Ｍ．（２０１３，Ｎｏｖｅｍｂｅｒ）．Ｅｎｔｒｏｐｙ−ｂａｓｅｄ  ｔｅｓｔ  ｇｅｎｅｒａｔｉｏｎ  ｆｏｒ  ｉｍｐｒｏｖｅｄ  ｆａｕｌｔ  ｌｏｃａｌｉｚａｔｉｏｎ．Ｉｎ  Ａｕｔｏｍａｔｅｄ  Ｓｏｆｔｗａｒｅ  Ｅｎｇｉｎｅｅｒｉｎｇ  （ＡＳＥ），２０１３  ＩＥＥＥ／ＡＣＭ  ２８ｔｈ  Ｉｎｔｅｒｎａｔｉｏｎａｌ  Ｃｏｎｆｅｒｅｎｃｅ  ｏｎ（ｐｐ．２５７−２６７）．ＩＥＥＥ）。
【００５６】
以下を含むいくつかの研究疑問は、プログラムフロー分析の下で対処される。高忠実度のモデルを開発するために必要な機器の詳細は何であるか？モデルが実行トレースから学習されたとすると、モデルの不確実性のレベルをどのように定量化するのか？さらにどれだけの学習が必要であるか？モデル生成技法の情報獲得を最大化するための自動テスト生成技法の適合度関数は何であるか？オープンおよびクローズド（第三者、ＣＯＴＳ）両方のソースソフトウェアを取り扱うことができる技法を有することを意図しているので、ソースコードに基づく技法はカバーされない。
【００５７】
命令発生分布
プログラムフロー分析の副産物は、プログラム内の個々の命令の発生頻度である。これは、プログラム追跡のために我々のモデルベースの分析技法を適用するとき、プログラムの初期状態に関してより多くの情報に基づく事前知識を提供する。
【００５８】
デバイス調整
選択されたデバイスは、正常モードと異常モードとでプログラムされる。以下の異常モードは、技術的な奇襲を防ぐことに関連する。
【００５９】
タイプ１：デバイスまたはデバイスのネットワークの計算リソースが正常動作以外のタスクに迂回されている分散型サービス拒否攻撃。
【００６０】
タイプ２：ＳｔｕｘＮｅｔワームの犯行によるインフラストラクチャへの攻撃など、制御システムを監視する従来の手段では検出されない、微妙で長期にわたる妨害行為。
【００６１】
タイプ３：鉄道切り替え装置または危険ガスモニタなどの重要なインフラストラクチャへの攻撃など、破壊的で即時の妨害行為。
【００６２】
上記３つのタイプの攻撃に対応する異常コードは異なる。タイプ１は、正常動作に加えて余分動作を含み得る。一方で、タイプ２は、全体的なプログラム構造を変えることなく、アルゴリズムまたはプロセスパラメータにおける小さな変更を含み得る。このタイプの攻撃はおそらく検出が最も困難である。タイプ３は、プログラムに大幅な変更を加えることがあり、他の２つのタイプよりも検出が容易な場合がある。選択されたデバイスは、正常コードと、３つの異常モードのうちのそれぞれから、少なくとも１つの異常コードとでプログラムされる。プログラムされたデバイスは、ＡＬＡＲＭのテストおよび検証に使用される。このタスクでは、セキュリティの専門家がサイバーセキュリティコンサルタントの支援を受ける。
【００６３】
ハードウェアの統合、設計および製造
いくつかの実施形態では、ＲＦおよび電力センサは、ＡＬＡＲＭのための主要実現要因である。
【００６４】
メタマテリアル風近接場ＲＦセンサ
デバイスの非自発的ＲＦ放射のパターンを検出するために、主要実現化技術は、ＭＨｚ周波数帯域において検出が困難なＲＦ署名を捕捉するために、デバイスの近く（＜１フィート）に配置された印刷メタマテリアルアンテナである。このアプローチは、いかなる回路またはデバイスも連続的なノイズを発生するという事実に依拠している。そして、ＩｏＴまたは小型電子デバイスの場合、より安定で予測可能な信号は数十ＭＨｚの周波数範囲にある。プロセッサクロック、デバイス内の非線形構成要素、混合副産物など、システム内のさまざまな原因から発生するこれらの明確な署名は、異常および悪意あるソフトウェア攻撃を見抜くために信頼性をもって利用することができる。
【００６５】
これらの署名は低周波数ＭＨｚ範囲にあるため、原則として、それらを検出するためには〜１５ｍ（５０ｆｔ）までの大型ダイポールアンテナが必要である。このサイズのアンテナは、ほとんどの環境で使用するには明らかに非実用的である。実際、高利得ホーンアンテナをこれらの特大アンテナの代わりとして使用することもできるが、それらは十分に高感度ではない。したがって、ＲＦ署名は、主に実用的なサイズのアンテナを使用できないために、検出が困難である。
【００６６】
いくつかの実施形態は、信頼性をもって低周波信号を検知するために活用することができる、新規クラスの電気的に小型（λを動作波長とすると、アンテナの長さおよび幅の両方について＜λ／４０）で超薄型（＜＜λ深さ）の印刷メタマテリアルアンテナを含む。１３．５６ＭＨｚ（λ＝２２ｍまたは７２フィート）のピーク動作周波数および〜５５ｃｍ（２２インチ）以下の長さスケールを有する印刷メタマテリアルアンテナ１１５の例を図５に示す。このアーキテクチャでは、メタマテリアルパターンは、二重四角金属スパイラル、すなわちメタマテリアルの設計原理を利用して設計されたユニークな幾何学的形状から成る。特定の実施形態では、これらの低コストメタマテリアルアンテナは、可撓性基板上に大量生産することができる。
【００６７】
本明細書に記載のシステムおよび方法は、迅速で低コストの製造および試験によってアンテナ設計の最適化を可能にする。
【００６８】
メタマテリアルは、電気的に小さなアンテナを設計するための有望な方法論を提供した人工的に工作された構造である。メタマテリアルベースのアンテナは、ダブルネガティブ（ＤＮＧ）メタマテリアルシェルで囲まれたアンテナ、ミューネガティブ（ＭＮＧ）基板を装填したアンテナ、またはイプシロンネガティブ（ＥＮＧ）バックプレーンを組み込んで改良されたアンテナなど、理想的な均質化メタマテリアルで構成される送信アンテナである。メタマテリアル風アンテナは、メタマテリアル設計原理を適用することによって得られる送信アンテナであるが、それらは、サブ波長金属内包物を装填した従来のアンテナから構成される。「風（ｉｎｓｐｉｒｅｄ）」とは、寄生要素またはサブ波長金属内包物を単位セルとして使用して、典型的なメタマテリアルのようなＥＮＧ、ＭＮＧ、またはＤＮＧ媒体のいずれかを実現することができることを指す。メタマテリアル風アンテナの内包物はメタ原子であり、典型的には電気的に小さく、超薄型で、外部のマッチング回路なしで抵抗がソースにマッチングされる。
【００６９】
ＲＦセンシングの概念実証
提案したアプローチの有効性を実証するために、センシング用近接メタマテリアルアンテナを備えたＡｒｄｕｉｎｏデバイスで一連の実験を行った。Ａｒｄｕｉｎｏは、民間に普及したＡＴｍｅｇａ２５６０に基づくＭＥＧＡ２５６０マイクロコントローラ基板である。１６ＭＨｚで計時される８ビットマイクロコントローラを所有し、８ＫｂのスタティックＲＡＭを有する。完全を期すために、広帯域ホーンアンテナを使用してＡｒｄｕｉｎｏで対照実験も行った。実験設定を図５に示す。この設定では、アンテナをスペクトル分析器に接続し、スペクトル分析器は周波数ドメイン内の信号を分析した。時間ドメインとは対照的に、周波数ドメインを使用する理論的根拠は、周波数ドメインでは、複合信号（すなわち、１つを超える周波数からなる信号）がそれらの周波数成分で分離され、各周波数におけるレベルが表示されることである。時間ドメインでは、信号のすべての周波数成分が合わされて表示され、重要な情報を隠す。
【００７０】
これらの概念実証実験では、４つの異なる動作状態を区別できることを実証するために４つのテストケースを行った。
【００７１】
ケース＃１：Ａｒｄｕｉｎｏに電源を入れない。バックグラウンドスペクトルを記録する。
【００７２】
ケース＃２：Ａｒｄｕｉｎｏに電源を入れるが、アイドル状態である（例えば、何もしていない）。
【００７３】
ケース＃３：Ａｒｄｕｉｎｏは正常動作モードにある。内部的には、サイズが６ＫｂのＲＡＭバッファを０と１で上書きする。
【００７４】
ケース＃４：特定のタイプの悪意あるソフトウェア攻撃のシミュレーション。内部的には、デジタル出力に０と１を書き込むこと（つまり、情報を外部に送信すること）に対応する。
【００７５】
これらの実験では、ＲＦ信号を表示するために、スペクトル分析器を掃引同調させた。図６Ａは、アイドル状態（ケース＃２）に対するスペクトル６１０を示す。正常動作（ケース＃３）６２０を図６Ｂに示す。Ａｒｄｕｉｎｏの１６ＭＨｚクロック信号（Ｍ６ピーク）の振幅の増大が検出され、電力消費の代理として機能した。
【００７６】
図６Ａおよび図６Ｂから、アンテナがＡｒｄｕｉｎｏのクロック信号を１６ＭＨｚ（Ｍ６ピーク）で捕捉したことが分かる。クロック信号（Ｍ６）の振幅は、アイドル状態よりも、正常動作で３倍大きいことも分かる。これは予想通りである。スペクトルは、クロックがより多くの電力を消費していることを示唆する。
【００７７】
最後に、図７Ｂは、特定のタイプの「悪意ある攻撃」（ケース＃４）に対するスペクトル７２０を示し、図７Ａに示された正常動作（ケース＃３）７１０と比較することができる。このシナリオでは、Ａｒｄｕｉｎｏは外部に情報を送信していた（つまり、デジタル出力に０および１を書き込んでいた）。図７Ｂに見られるように、悪意ある攻撃７２０に対する署名は、さまざま周波数でいくつかの観察可能なサイドバンドピークを伴い非常に明確である。言い換えれば、図７Ａは、正常状態（ケース＃３）のスペクトル７１０を示し、図７Ｂは、シミュレートした悪意あるソフトウェア攻撃（ケース＃４）７２０を示す。得られたデータは、複数のピークを含む明らかな署名を示す。
【００７８】
対照実験では、メタマテリアルアンテナを従来の広帯域ホーンアンテナに置き換え、それ以外はすべて一定とした。同じテストケースを繰り返し、各シナリオについてスペクトルを取得した。ホーンアンテナは、先に観測されたＭＨｚの信号または署名を捕捉しなかった。これは、悪意ある攻撃を確実に検出するために重要なこれらの安定した署名が、従来のアプローチでは容易に検出できないことを裏付けている。この予備実験セットは、本明細書に記載されたようなメタマテリアル風アンテナのアプローチの利点を明らかに実証している。
【００７９】
電力センシング
いくつかの実施形態では、ＲＦおよび温度センシングは電力測定で増強される。電力プロファイル分析は、マイクロプロセッサにおける命令レベルの追跡と同様に、サイドチャンネル攻撃を与えるのに効果的であることが示されている（Ｅｉｓｅｎｂａｒｔｈ，Ｔｈｏｍａｓ，Ｃｈｒｉｓｔｏｆ  Ｐａａｒ，ａｎｄ  Ｂｊｏｒｎ  Ｗｅｇｈｅｎｋｅｌ．“Ｂｕｉｌｄｉｎｇ  ａ  ｓｉｄｅ  ｃｈａｎｎｅｌ  ｂａｓｅｄ  ｄｉｓａｓｓｅｍｂｌｅｒ．”Ｔｒａｎｓａｃｔｉｏｎｓ  ｏｎ  ｃｏｍｐｕｔａｔｉｏｎａｌ  ｓｃｉｅｎｃｅ  Ｘ．Ｓｐｒｉｎｇｅｒ  Ｂｅｒｌｉｎ  Ｈｅｉｄｅｌｂｅｒｇ，２０１０．７８−９９）。さらに、ＲＦおよび電力分析の組み合わせは、サイドチャンネル攻撃に対してより強力であることが示されている（Ｓｔａｎｄａｅｒｔ，Ｆｒａｎｃｏｉｓ−Ｘａｖｉｅｒ，ａｎｄ  Ｃｅｄｒｉｃ  Ａｒｃｈａｍｂｅａｕ．“Ｕｓｉｎｇ  ｓｕｂｓｐａｃｅ−ｂａｓｅｄ  ｔｅｍｐｌａｔｅ  ａｔｔａｃｋｓ  ｔｏ  ｃｏｍｐａｒｅ  ａｎｄ  ｃｏｍｂｉｎｅ  ｐｏｗｅｒ  ａｎｄ  ｅｌｅｃｔｒｏｍａｇｎｅｔｉｃ  ｉｎｆｏｒｍａｔｉｏｎ  ｌｅａｋａｇｅｓ．”Ｃｒｙｐｔｏｇｒａｐｈｉｃ  Ｈａｒｄｗａｒｅ  ａｎｄ  Ｅｍｂｅｄｄｅｄ  Ｓｙｓｔｅｍｓ−ＣＨＥＳ２００８．Ｓｐｒｉｎｇｅｒ  Ｂｅｒｌｉｎ  Ｈｅｉｄｅｌｂｅｒｇ，２００８．４１１−４２５）。これは、ＲＦおよび電力測定を融合する必要性の動機となる。
【００８０】
電力を測定するアプローチはいくつかある。１つのアプローチでは、ＣＯＴＳ電力計を使用することができる。別のアプローチでは、電力信号の代理として（我々のアンテナによって測定されるような）クロック周波数の振幅を使用することができる。本明細書に記載のシステムおよび方法は、消費される電力の変動に基づいてＲＦ信号を生成することになる低コストのチップスケール電力センサのためのデザインを開発する。このため、小型ホール効果電流検知回路をデバイスに統合し、次いで、パルス幅変調を使用して、ＲＦ信号に使用される同じアンテナおよび受信回路を使用して受信できる信号を生成することを計画する。
【００８１】
信号モデル化
このタスクの目的は、アナログ放射と、実行されているコードブロックまたは命令との間のマッピングを作成することである。簡略化のため、以下は、命令を使用するアプローチを、アプローチがコードブロックにも拡張されるという了解の下で、説明する。モデルはＲＦ放射および電力消費のために構築される。モデル化および後の説明の目的で、命令セットに、（Ｉ１、Ｉ２、．．．、Ｉｋ）で表されるｋ個の命令があるとする。
【００８２】
ＲＦ放射モデル
ＥＭＳＤ、シンクライアント、およびラップトップはすべて、非自発的ＲＦ放射を放射する。図８は、典型的なマイクロプロセッサアーキテクチャの例をＲＦ漏洩源に斜線をつけて示す。これらの放射のモデルを構築するために、監視対象デバイスは、図５と同様のハードウェアを使用して装備され得る。各命令について、試験プログラムが、命令の数回の反復実行を含んで書かれる。対応する周波数スペクトルが記録される。各点（ω１、ω２、．．．、ωＭ）で周波数が記録されると仮定する。最初は、点の数Ｍは大きい。（ω１、ω２、．．．、ωＭ）から周波数のサブセット（ωｓ１、ωｓ２、．．．、ωｓＫ）、周波数を選択することが必要であり、ここで、セット（ωｓ１、ωｓ２、．．．、ωｓＫ）によりｋ個の命令に対して固有の署名を作成することができるという条件でｋ＜＜Ｍである。スペクトルを計算する時間は、応答が計算される点の数とともに線形的に増加し、Ｍは大きな数であるため、Ｍ個の周波数すべてを使用することはできない。もし最初にＭが小さすぎるように選択された場合、最も顕著な特性を有する周波数を識別することは不可能となり得る。
【００８３】
周波数のサブセット（ωｓ１、ωｓ２、．．．、ωｓｋ）を選択することは、以下のように達成することができる。Ａｊｓをωｓにおける命令ｊの周波数応答とする。Ａは、（ｊ、ｓ）番目の要素がＡｊｓであるサイズｋ×Ｍの行列を表すとする。ＱＲ分解（Ｈｏｒｎ，Ｒｏｇｅｒ  Ａ．，ａｎｄ  Ｃｈａｒｌｅｓ  Ｒ．Ｊｏｈｎｓｏｎ．Ｍａｔｒｉｘ  ａｎａｌｙｓｉｓ．Ｃａｍｂｒｉｄｇｅ  ｕｎｉｖｅｒｓｉｔｙ  ｐｒｅｓｓ，２０１２）を使用すると、Ａ＝ＱＲと書くことができ、ここで、Ｑは、列がＡの正規直交基底を表すサイズｋの正方行列である。行列Ｒは上三角行列である。ＲｋがＲの最初のｋ個の列に限定された行列を表すものとする。そして、Ａｋ＝ＱＲｋとする。Ａｋはランクｋであり、Ａの列のうちのｋ個を含むことが知られている。Ａｋで表されるＡのｋ個の列に対応する周波数はセット（ωｓ１、ωｓ２、．．．、ωｓｋ）である。
【００８４】
各命令Ｉｊに対して、目的は、条件付き確率分布ｐ（Ａｊ１、Ａｊ２、．．．、Ａｊｋ｜Ｉｊ）を構築することであり、ここで、Ａｊｓは、周波数ωｓｊにおける周波数応答である。テスト実験を行って周波数応答ベクトル（Ａｊ１、Ａｊ２、．．．、Ａｊｋ）のいくつかのサンプルを測定することができる。確率分布ｐ（Ａｊ１、Ａｊ２、．．．、Ａｊｋ｜Ｉｊ）はサンプルから構築できる。
【００８５】
電力消費モデル
実験を行ってデバイスの電力消費を測定することができる。電力消費データは、総デバイス電力消費の時系列信号である。ＲＦ放射モデル化におけるように、１つの目的は、各命令Ｉｊに対して条件付き確率分布ｐ（Ｆｊ１、Ｆｊ２、．．．、ＦｊＴ｜Ｉｊ）を作成することである。ここで、Ｆｊｔは時系列信号の特性を指す。（Ｅｉｓｅｎｂａｒｔｈ，Ｔｈｏｍａｓ，Ｃｈｒｉｓｔｏｆ  Ｐａａｒ，ａｎｄ  Ｂｊｏｒｎ  Ｗｅｇｈｅｎｋｅｌ．“Ｂｕｉｌｄｉｎｇ  ａ  ｓｉｄｅ  ｃｈａｎｎｅｌ  ｂａｓｅｄ  ｄｉｓａｓｓｅｍｂｌｅｒ．”Ｔｒａｎｓａｃｔｉｏｎｓ  ｏｎ  ｃｏｍｐｕｔａｔｉｏｎａｌ  ｓｃｉｅｎｃｅ  Ｘ．Ｓｐｒｉｎｇｅｒ  Ｂｅｒｌｉｎ  Ｈｅｉｄｅｌｂｅｒｇ，２０１０．７８−９９．）に記載されているように、所与の命令に対する電力消費は、先行のまたは後続の命令および基本的データなどの外部要因に依存する。純粋にデータ駆動型のアプローチを使用してモデルを作成することは、必要とされる大量の実験データを考えると、実行可能ではない。本明細書に記載の実施形態は、機能レベル電力分析（ＦＬＰＡ）（Ｌａｕｒｅｎｔ，Ｊｏｈａｎｎ，ｅｔ  ａｌ．“Ｆｕｎｃｔｉｏｎａｌ  ｌｅｖｅｌ  ｐｏｗｅｒ  ａｎａｌｙｓｉｓ：Ａｎ  ｅｆｆｉｃｉｅｎｔ  ａｐｐｒｏａｃｈ  ｆｏｒ  ｍｏｄｅｌｉｎｇ  ｔｈｅ  ｐｏｗｅｒ  ｃｏｎｓｕｍｐｔｉｏｎ  ｏｆ  ｃｏｍｐｌｅｘ  ｐｒｏｃｅｓｓｏｒｓ．”Ｐｒｏｃｅｅｄｉｎｇｓ  ｏｆ  ｔｈｅ  ｃｏｎｆｅｒｅｎｃｅ  ｏｎ  Ｄｅｓｉｇｎ，ａｕｔｏｍａｔｉｏｎ  ａｎｄ  ｔｅｓｔ  ｉｎ  Ｅｕｒｏｐｅ−Ｖｏｌｕｍｅ  １．ＩＥＥＥ  Ｃｏｍｐｕｔｅｒ  Ｓｏｃｉｅｔｙ，２００４）を活用したハイブリッドアプローチを使用する。ＦＬＰＡは、ターゲットプラットフォームの電力消費に大きく影響する１セットの機能ブロックの識別に依拠する（Ｒｅｔｈｉｎａｇｉｒｉ，Ｓａｎｔｈｏｓｈ  Ｋｕｍａｒ，ｅｔ  ａｌ．“Ｓｙｓｔｅｍ−ｌｅｖｅｌ  ｐｏｗｅｒ  ｅｓｔｉｍａｔｉｏｎ  ｔｏｏｌ  ｆｏｒ  ｅｍｂｅｄｄｅｄ  ｐｒｏｃｅｓｓｏｒ  ｂａｓｅｄ  ｐｌａｔｆｏｒｍｓ．”Ｐｒｏｃｅｅｄｉｎｇｓ  ｏｆ  ｔｈｅ  ６ｔｈ  Ｗｏｒｋｓｈｏｐ  ｏｎ  Ｒａｐｉｄ  Ｓｉｍｕｌａｔｉｏｎ  ａｎｄ  Ｐｅｒｆｏｒｍａｎｃｅ  Ｅｖａｌｕａｔｉｏｎ：Ｍｅｔｈｏｄｓ  ａｎｄ  Ｔｏｏｌｓ．ＡＣＭ、２０１４）。機能ブロックの例は、プロセッサ、メモリ、およびＩ／Ｏ周辺機器である。各ブロックに対して、電力消費モデルが導出される。電力消費モデルは、ファームウェア（サイクル当たりの命令数、キャッシュミス率、外部メモリアクセス速度）およびデバイスアーキテクチャ（プロセッサの周波数、バスの周波数）の関数である（同上）。さらに、機能ブロックのセットは命令の継続時間にわたって変化するかもしれない。これは、単一の命令の実行の間に時間的に変化する電力消費パターンによって証明される（Ｅｉｓｅｎｂａｒｔｈ，Ｔｈｏｍａｓ，Ｃｈｒｉｓｔｏｆ  Ｐａａｒ，ａｎｄ  Ｂｊｏｒｎ  Ｗｅｇｈｅｎｋｅｌ．“Ｂｕｉｌｄｉｎｇ  ａ  ｓｉｄｅ  ｃｈａｎｎｅｌ  ｂａｓｅｄ  ｄｉｓａｓｓｅｍｂｌｅｒ．”Ｔｒａｎｓａｃｔｉｏｎｓ  ｏｎ  ｃｏｍｐｕｔａｔｉｏｎａｌ  ｓｃｉｅｎｃｅ  Ｘ．Ｓｐｒｉｎｇｅｒ  Ｂｅｒｌｉｎ  Ｈｅ���ｄｅｌｂｅｒｇ，２０１０．７８−９９）。このような動的電力消費モデルを構築することは、主要研究課題である。加えて、モデルはまた、先行または後続の命令および実行されているデータの効果を含むことができる。後者の効果は、明示的モデルは観測から命令を推測する際に伴う計算負荷を増加させるので、確率的にモデル化されなければならないであろう。
【００８６】
一旦命令の電力消費モデルが生成されると、モデルからシミュレーションされたデータを生成して確率分布ｐ（Ｆｊ１、Ｆｊ２、．．．、ＦｊＴ｜Ｉｊ）を構築することができる。しかしながら、時系列の電力消費データを特性ベクトル（Ｆｊ１、Ｆｊ２、．．．、ＦｊＴ）に変換する必要がある。これについては信号処理に関して後に説明する。
【００８７】
本明細書に記載のシステムおよび方法は、以下によって与えられる命令Ｉの動的電力消費モデルを構築する。
【００８８】
【数１】
2019215858.tif 000005
【００８９】
ここで、ｔは時間であり、ＴはＩの最大継続時間であり、δｉ（ｔ）は、時刻ｔにおいて機能ブロックｉがアクティブであるならば１であり、そうでない場合は０であり、Ｆは、デバイスの機能ブロックの総数であり、ｇｉは機能ブロックｉに対する電力消費モデルであり、Ｅは確率的ノイズ成分である。
【００９０】
命令固有の機能ブロックの特性付け
いくつかの実施形態では、命令セット内の各命令によって影響を受ける機能ブロックのセットが識別される。正確な識別のために、デバイス表面の高分解能温度変化検出を使用し得る。特に、マイクロケルビン温度変化用のサーモクロミック材料を使用し得る。ＰＣＢ基板およびそれらの個々の構成要素（例えば、プロセッサ、バッテリ、およびアンテナ）の温度マッピングは、市販のサーマルイメジャーを用いて容易に達成される。しかしながら、これらのデバイスは通常、空間的、時間的、および温度的な分解能に関して能力に限界がある（典型的にはＶＧＡ、６０Ｈｚ、＞２０ｍＫ）。一方、本明細書に記載のアプローチは、空間的変動および時間的変動の両方を細かいレベルで捉えるために、デバイス上の温度分布を高い忠実度および分解能で測定することを可能にする。
【００９１】
いくつかの実施形態は、サーモクロミックコーティング／オーバーレイステッカーをＰＣＢ基板および能動素子に適用し、サーモクロミック材料の色変化によって、これらの構成要素上の温度分布を測定する。サーモクロミック液晶（ＬＣ）は、幼児用比色体温計、水槽、および電池などの日用品に使用されているので、おそらく最もよく知られたサーモクロミック材料である。サーモクロミックＬＣは１０００ｎｍ／Ｋまでの波長シフトを示し（Ｐａｒｓｌｅｙ，Ｍ．“Ｔｈｅ  ｕｓｅ  ｏｆ  ｔｈｅｒｍｏｃｈｒｏｍｉｃ  ｌｉｑｕｉｄ  ｃｒｙｓｔａｌｓ  ｉｎ  ｒｅｓｅａｒｃｈ  ａｐｐｌｉｃａｔｉｏｎｓ，ｔｈｅｒｍａｌ  ｍａｐｐｉｎｇ  ａｎｄ  ｎｏｎ−ｄｅｓｔｒｕｃｔｉｖｅ  ｔｅｓｔｉｎｇ．”Ｓｅｍｉｃｏｎｄｕｃｔｏｒ  Ｔｈｅｒｍａｌ  Ｍｅａｓｕｒｅｍｅｎｔ  ａｎｄ  Ｍａｎａｇｅｍｅｎｔ  Ｓｙｍｐｏｓｉｕｍ，１９９１．ＳＥＭＩ−ＴＨＥＲＭ  ＶＩＩ．Ｐｒｏｃｅｅｄｉｎｇｓ．，Ｓｅｖｅｎｔｈ  Ａｎｎｕａｌ  ＩＥＥＥ．ＩＥＥＥ、１９９１）、そして多くの表面上に容易にスプレーコーティングすることができる（ＬＣＲ  Ｈａｌｌｃｒｅｓｔ，ｈｔｔｐ：／／ｗｗｗ．ｈａｌｌｃｒｅｓｔ．ｃｏｍ）。それらはプリント回路基板の非破壊試験にも使用されてきた（Ｐａｒｓｌｅｙ，Ｍ．“Ｔｈｅ  ｕｓｅ  ｏｆ  ｔｈｅｒｍｏｃｈｒｏｍｉｃ  ｌｉｑｕｉｄ  ｃｒｙｓｔａｌｓ  ｉｎ  ｒｅｓｅａｒｃｈ  ａｐｐｌｉｃａｔｉｏｎｓ，ｔｈｅｒｍａｌ  ｍａｐｐｉｎｇ  ａｎｄ  ｎｏｎ−ｄｅｓｔｒｕｃｔｉｖｅ  ｔｅｓｔｉｎｇ．”Ｓｅｍｉｃｏｎｄｕｃｔｏｒ  Ｔｈｅｒｍａｌ  Ｍｅａｓｕｒｅｍｅｎｔ  ａｎｄ  Ｍａｎａｇｅｍｅｎｔ  Ｓｙｍｐｏｓｉｕｍ，１９９１．ＳＥＭＩ−ＴＨＥＲＭ  ＶＩＩ．Ｐｒｏｃｅｅｄｉｎｇｓ．，Ｓｅｖｅｎｔｈ  Ａｎｎｕａｌ  ＩＥＥＥ．ＩＥＥＥ、１９９１）。ＲＧＢカメラがこれらの技術のうちでは最も洗練されていない色感受性画像形成技術と組み合わせて、温度マッピングを非常に高い時空間温度分解能で行うことができる。図９では、プラスチック支持構造体を、約６０ｎｍ／Ｋのスペクトルシフトを示す市販のサーモクロミック液晶コーティングでスプレーコーティングした。バックグラウンド温度変動に対してよりロバストである温度マップまたは温度勾配マップを単純なＲＧＢ画像（右上）から生成し、＜１０μｍ分解能温度画像を得ることができる。可視カメラは、赤外線（ＩＲ）カメラよりもはるかに高い分解能（メガピクセル、最高１０００ｆｐｓ）を有する傾向にある。最終的に、時間分解能は１〜４ｍｓの範囲であるＬＣ応答時間によって制限される（Ｄａｂｉｒｉ，Ｄ．Ｄｉｇｉｔａｌ  ｐａｒｔｉｃｌｅ  ｉｍａｇｅ  ｔｈｅｒｍｏｍｅｔｒｙ／ｖｅｌｏｃｉｍｅｔｒｙ：ａ  ｒｅｖｉｅｗ，Ｅｘｐ．Ｆｌｕｉｄｓ（２００９）４６：１９１−２４１）。可能な限り最良の色識別を達成するために、いくつかの実施形態は、同じ光学系を通して同じシーンを撮像する２つのモノクロカメラを使用するが、画像を分割するダイクロイックミラーを備える。したがって、一方のカメラはダイクロイックミラーのカットオフ波長より短い波長からの画像を記録し、他方のカメラはカットオフ波長より長い波長からの画像を記録する。次いで、この���差色読取値を使用して、サーモクロミックＬＣコーティングの波長重心を決定することができる。
【００９２】
図９は、プラスチック支持体上にスプレーコーティングされたサーモクロミック液晶のＲＧＢ画像９０６と、赤および緑のチャンネルを付け足しかつ青のチャンネルを差し引くことによる温度画像９０４と、斜線９０８を通る温度分布９０２と、を示す。
【００９３】
メモリアクセスパターン
メモリアクセス要求は、実行されているアプリケーションに基づいて反復パターンに追従する。今日のコンパイラはアプリケーションを分析してそのアクセスパターンを予測しようと試みることができるが、多くの場合、パターンは動的であり、したがって予測が困難である。このような不確実性の下では、メモリ動作のＲＦ放射を、メモリバンクのさまざまな部分に対する固有のアクセスパターンと関連付けることは困難であり得る。ここでは、アクセスされているメモリのさまざまな部分にＲＦ放射を関連付けるために、サーモクロミック材料の極端な感度を活用して、アクティブなチップの表面に沿った空間温度勾配を測定する。これは、プログラムおよびデータメモリが別々に保存されていて、予想されるメモリアクセスパターンが分かっている場合、マルウェア動作を診断する助けとなり得る。
【００９４】
いくつかの実施形態は、（ａ）各命令に関連付けられた機能ブロック、および（ｂ）メモリアクセスパターンを特徴付けるために、サーモクロミックセンシングを使用する高分解能温度測定を使用する。
【００９５】
デバイス診断
デバイスソフトウェアのタイプを診断するために、測定されたＲＦおよび電力放射は信号処理とそれに続くモデルベースの分析とを受ける。
【００９６】
モデル誘導信号処理
信号処理は少なくとも以下の目的を達成する。第一に、電力トレースについては、信号処理は、命令の特徴付けのためのロバストな特性を抽出する。第二に、ＲＦ放射につては、信号処理は、測定された信号に対する個々の命令の寄与を分解する。
【００９７】
可能な限り、特定の実施形態は、基礎となる物理的または測定プロセスの知識を利用する。言い換えれば、信号処理はモデル誘導される。例えば、ＲＦ放射の分解については、特定の実施形態は、後で説明するように測定プロセスの希薄性を活用する。
【００９８】
電力分析のための特性抽出
いくつかの実施形態は、外部要因の影響に対してよりロバストであるので、命令分析のために電力信号の形状ベースの特性を使用する。
【００９９】
命令の継続時間にわたる電力トレースは時系列信号である。命令推測に全時系列を使用することは可能である（Ｒｅｔｈｉｎａｇｉｒｉ，Ｓａｎｔｈｏｓｈ  Ｋｕｍａｒ，ｅｔ  ａｌ．“Ｓｙｓｔｅｍ−ｌｅｖｅｌ  ｐｏｗｅｒ  ｅｓｔｉｍａｔｉｏｎ  ｔｏｏｌ  ｆｏｒ  ｅｍｂｅｄｄｅｄ  ｐｒｏｃｅｓｓｏｒ  ｂａｓｅｄ  ｐｌａｔｆｏｒｍｓ．”Ｐｒｏｃｅｅｄｉｎｇｓ  ｏｆ  ｔｈｅ  ６ｔｈ  Ｗｏｒｋｓｈｏｐ  ｏｎ  Ｒａｐｉｄ  Ｓｉｍｕｌａｔｉｏｎ  ａｎｄ  Ｐｅｒｆｏｒｍａｎｃｅ  Ｅｖａｌｕａｔｉｏｎ：Ｍｅｔｈｏｄｓ  ａｎｄ  Ｔｏｏｌｓ．ＡＣＭ、２０１４）。しかしながら、これは、特に時系列のすべての部分が有用な情報を含むとは限らないため、複雑さの増大につながる。したがって、本明細書に記載のアプローチは、最も情報量の多い時系列内の主要特性を識別する。隣り合う命令または実行されているデータなどの外部要因が、所与の命令に対応する電力消費時系列を変化させる可能性があることが理解されよう。しかしながら、時系列の特定の形状記述子は、そのような外部要因の影響に対して比較的よりロバストであり得る。そのような記述子の例は（Ｘｉｅ，Ｊｉｅｒｕｉ，ａｎｄ  Ｍａｎｄｉｓ  Ｓ．Ｂｅｉｇｉ．“Ａ  ｓｃａｌｅ−ｉｎｖａｒｉａｎｔ  ｌｏｃａｌ  ｄｅｓｃｒｉｐｔｏｒ  ｆｏｒ  ｅｖｅｎｔ  ｒｅｃｏｇｎｉｔｉｏｎ  ｉｎ  １ｄ  ｓｅｎｓｏｒ  ｓｉｇｎａｌｓ．”Ｍｕｌｔｉｍｅｄｉａ  ａｎｄ  Ｅｘｐｏ，２００９．ＩＣＭＥ  ２００９．ＩＥＥＥ  Ｉｎｔｅｒｎａｔｉｏｎａｌ  Ｃｏｎｆｅｒｅｎｃｅ  ｏｎ．ＩＥＥＥ，２００９、Ｙｅ，Ｌｅｘｉａｎｇ，ａｎｄ  Ｅａｍｏｎｎ  Ｋｅｏｇｈ．“Ｔｉｍｅ  ｓｅｒｉｅｓ  ｓｈａｐｅｌｅｔｓ：ａ  ｎｅｗ  ｐｒｉｍｉｔｉｖｅ  ｆｏｒ  ｄａｔａ  ｍｉｎｉｎｇ．”Ｐｒｏｃｅｅｄｉｎｇｓ  ｏｆ  ｔｈｅ  １５ｔｈ  ＡＣＭ  ＳＩＧＫＤＤ  ｉｎｔｅｒｎａｔｉｏｎａｌ  ｃｏｎｆｅｒｅｎｃｅ  ｏｎ  Ｋｎｏｗｌｅｄｇｅ  ｄｉｓｃｏｖｅｒｙ  ａｎｄ  ｄａｔａ  ｍｉｎｉｎｇ．ＡＣＭ，２００９、Ｈｉｌｌｓ，Ｊｏｎ，ｅｔ  ａｌ．“Ｃｌａｓｓｉｆｉｃａｔｉｏｎ  ｏｆ  ｔｉｍｅ  ｓｅｒｉｅｓ  ｂｙ  ｓｈａｐｅｌｅｔ  ｔｒａｎｓｆｏｒｍａｔｉｏｎ．”Ｄａｔａ  Ｍｉｎｉｎｇ  ａｎｄ  Ｋｎｏｗｌｅｄｇｅ  Ｄｉｓｃｏｖｅｒｙ  ２８．４（２０１４）：８５１−８８１）に見ることができる。いくつかの実施形態は、命令分析のための特性ベクトルを作成する際に１つ以上のそのような記述子を使用する。
【０１００】
ＲＦ放射分解
いくつかの実施形態は、埋め込み型デバイス内のプロセッサがプログラム内の命令を実行したときに生成されるＲＦ信号の周波数応答を測定する。いくつかの実施形態では、モデルは、周波数応答によって測定されるように、命令セット内のどの命令も特有のＲＦ放射をもたらすという仮定に基づいている。
【０１０１】
検査中の埋め込み型デバイスがクロック周波数Ｃ  Ｈｚを有するとする。提案された測定システムでは、このデバイスのＲＦ放射の周波数応答は、はるかに低い速度で、例えばＴ＞＞１／Ｃ秒ごとに１回測定される。さらに、各周波数測定は瞬間的ではなく、ｔ＜＜Ｔ秒の短い時間にわたって行われる。これは、周波数範囲を掃引して周波数応答を収集する必要性によって課される物理的要件である。したがって、ｔ秒にわたって広がる測定ごとに、モニタは、単一の命令に関連付けられた純粋な周波数応答ではなく、一連の命令に関連付けられた周波数応答の混合を捉えることになる。いくつかの実施形態は、各測定についての混合周波数応答の測定ベクトルを以下のように表す。
ｙ＝ｍＡ＋ｅ
【０１０２】
ここで、ｅはシステム内のノイズとＲＦ放射モデルの不正確さを考慮する誤差項であり、ｍは、その要素がｔ秒の測定ウィンドウの間にプログラムによって実行される命令の数に対応する、長さｋの行ベクトルであり、Ａは、命令セットの周波数応答を記述するＲＦ放射モデルのセクション内に定義されている行列である。具体的には、命令セットに５つの命令があり、３番目の命令が２回実行され、５番目の命令が１回実行された場合、ｍ＝［０，０，２，０，１］となる。
【０１０３】
１つの設定では、ｍは未知であり、測定ベクトルｙおよびデバイス特性Ａが与えられて、推定されなければならない。設定はいくつかのそのような測定値を捉えるので、設定は、各測定に対してベクトルｙ、ｅ、ｍを積み重ねて以下を得る：
Ｙ＝ＭＡ＋Ｅ
【０１０４】
ここで、ＹおよびＥは測定および誤差項の配列であり、Ｍの各行は対応する測定間隔中に実行された命令のヒストグラムを含む。Ｍの行には、ｔ長の間隔で実行されていた小さなグループの命令の発生数しか含まれていないため、Ｍは疎行列である。一般に、疎条件がなければ、Ｍの推定は不良設定問題である。しかしながら、疎であることは、Ｍを正確に推定するための最先端のスパースコーディングアルゴリズムを使用する可能性を広げる（Ｄｏｎｏｈｏ，Ｄ．Ｌ．，ａｎｄ  Ｍｉｃｈａｅｌ  Ｅｌａｄ．“Ｏｐｔｉｍａｌｌｙ  ｓｐａｒｓｅ  ｒｅｐｒｅｓｅｎｔａｔｉｏｎ  ｉｎ  ｇｅｎｅｒａｌ（ｎｏｎｏｒｔｈｏｇｏｎａｌ）ｄｉｃｔｉｏｎａｒｉｅｓ  ｖｉａ  Ｌ１  ｍｉｎｉｍｉｚａｔｉｏｎ．”Ｐｒｏｃｅｅｄｉｎｇｓ  ｏｆ  ｔｈｅ  Ｎａｔｉｏｎａｌ  Ａｃａｄｅｍｙ  ｏｆ  Ｓｃｉｅｎｃｅｓ，１００．５（２００３）：２１９７−２２０２、Ｆｕｃｈｓ，Ｊ．“Ｏｎ  ｓｐａｒｓｅ  ｒｅｐｒｅｓｅｎｔａｔｉｏｎｓ  ｉｎ  ａｒｂｉｔｒａｒｙ  ｒｅｄｕｎｄａｎｔ  ｂａｓｅｓ．”ＩＥＥＥ  Ｔｒａｎｓａｃｔｉｏｎｓ  ｏｎ  Ｉｎｆｏｒｍａｔｉｏｎ  Ｔｈｅｏｒｙ，５０．６（２００４）：１３４１−１３４４．）。具体的には、特定の実施形態は、それらの単純性および低計算複雑性のために、マッチング追跡に基づくもののような欲張りアルゴリズムを利用する（Ｔｒｏｐｐ，Ｊ．“Ｇｒｅｅｄ  ｉｓ  ｇｏｏｄ：Ａｌｇｏｒｉｔｈｍｉｃ  ｒｅｓｕｌｔｓ  ｆｏｒ  ｓｐａｒｓｅ  ａｐｐｒｏｘｉｍａｔｉｏｎ．”ＩＥＥＥ  Ｔｒａｎｓａｃｔｉｏｎｓ  ｏｎ  Ｉｎｆｏｒｍａｔｉｏｎ  Ｔｈｅｏｒｙ，５０．１０（２００４）：２２３１−２２４２）。最近のスパースコーディングアルゴリズムの利点は、それらが行列Ｙの列間の相関関係を利用することを可能にすることである（Ｄｕａｒｔｅ，Ｍ．Ｆ．，ｅｔ  ａｌ．“Ｄｉｓｔｒｉｂｕｔｅｄ  ｃｏｍｐｒｅｓｓｅｄ  ｓｅｎｓｉｎｇ  ｏｆ  ｊｏｉｎｔｌｙ  ｓｐａｒｓｅ  ｓｉｇｎａｌｓ．”Ａｓｉｌｏｍａｒ  Ｃｏｎｆ．Ｓｉｇｎａｌｓ，Ｓｙｓ．，Ｃｏｍｐｕｔ．２００５）。例えば、そのプログラムコードがループを含むことが予想され、したがって行列Ｙを形成する周波数測定値のいくつかが高度に相関していると予想されるデバイスの場合を考える。スパースコーディングアルゴリズムは、このような相関関係を活用することができる。
【０１０５】
いくつかの実施形態では、スパースコーディングアルゴリズムは、個々の命令からの、測定されたＲＦへの寄与を分解するために活用される。
【０１０６】
ハイブリッド状態追跡
デバイス状態を追跡するために、いくつかの実施形態は、例えば、機械学習フレームワーク内で前述したアナログ放射モデルと有限状態機械モデルとを組み合わせたハイブリッドアプローチを使用する。このハイブリッドアプローチは、有限状態機械の状態を追跡するのに有効であることが証明されている隠れマルコフモデル（ＨＭＭ）を使用する。ＨＭＭ推測の出力は、有限状態機械（状態遷移モデル）のノードへの時刻のマッピングである。いくつかの実施形態では、有限状態機械はプログラムフロー分析から導出される（異常検出および制御フロー追跡のための隠れマルコフモデルを示す図１０を参照）。グラフのノードは、モデルの忠実度に応じてコードブロックまたは命令を表す。エッジは他のノードへの可能な遷移を表す。デバイスソフトウェア／ファームウェアに関する高度な知識がある場合は、グラフはより少ないエッジを有することが期待される。一方、デバイスソフトウェア／ファームウェアに関する知識がない場合、グラフは、所与のノードから、より大きなノードセットへの遷移が可能であることを表す、より多数のエッジを有することになる。各エッジには、遷移確率も関連付けられている。例えば、Ｐ（Ｃ｜Ａ）は、ノードＡからノードＣに遷移する確率を表す。観測モデルは、ソフトウェア／ファームウェアが存在できるノードごとに、各センシングモダリティに対して存在する。これらの観測モデルは、信号モデル化セクションで記述された条件確率分布である。
【０１０７】
機械学習は、有限状態機械モデルの構築を助けるために、ＲＦ信号、電力、および温度からのデータに適用することができる。
【０１０８】
バニラＨＭＭでは、所与のノードで費やすことができる継続時間は指数関数的に分布する。これは必ずしも有効な仮定ではない。本明細書に記載のアプローチは、この欠点に悩まされないより豊富なモデル化フレームワークを提供する明示的継続時間モデル化ＨＭＭ（Ｅｘｐｌｉｃｉｔ  Ｄｕｒａｔｉｏｎ  Ｍｏｄｅｌｅｄ  ＨＭＭ、ＥＤＨＭＭ）を使用することを提案する。観測シーケンスが与えられると、観測を生成した命令の最も可能性の高いシーケンスを推測することが可能である（Ｒａｂｉｎｅｒ，Ｌａｗｒｅｎｃｅ  Ｒ．，ａｎｄ  Ｂｉｉｎｇ−Ｈｗａｎｇ  Ｊｕａｎｇ．“Ａｎ  ｉｎｔｒｏｄｕｃｔｉｏｎ  ｔｏ  ｈｉｄｄｅｎ  Ｍａｒｋｏｖ  ｍｏｄｅｌｓ．”ＡＳＳＰ  Ｍａｇａｚｉｎｅ，ＩＥＥＥ  ３．１（１９８６）：４−１６．）。このシーケンスは、未知のシーケンスから既知のシーケンスを区別するために、異常検出フレームワークで使用できる。シーケンスは、攻撃ベクトルおよびそれらに対応する命令シーケンスのライブラリが利用可能な場合に、行われている攻撃の識別も提供する。図１１Ａ〜図１１Ｂは、正常モデルのみが利用可能であるとき、および１つ以上の異常モデルが利用可能であるときの、ＨＭＭベースの分析フレームワークのグラフによる説明を提供する。
【０１０９】
具体的には、図１１Ａは、正常ＨＭＭモデルのみを使用する異常検出を示す。ステップ１１１０では、ＨＭＭが正常である尤度を計算する。ステップ１１１５では、ステップ１１１０で計算された尤度をしきい値Ｌと比較して、システムが正常状態にあるのか異常状態にあるのか（例えば、異常が存在するか）を判定する。
【０１１０】
図１１Ｂは、１つ以上の異常ＨＭＭモデルが利用可能であるときの識別を示す。ステップ１１５０では、ＨＭＭが異常である尤度ＬＡを計算する。ステップ１１５５では、ＨＭＭが正常である尤度ＬＮを計算する。ステップ１１６０では、ＬＡに対するＬＮの比を計算する。ステップ１１６５では、ＬＡに対するＬＮの比をしきい値ＬＲと比較し、システムが正常状態にあるか異常状態にあるか（例えば、異常が存在するか）を判定する。１つを超える異常モデルの場合、対尤度比を計算し、最大対比に基づいた決定。加えて、異常が検出されると、システムは異常があるＥＭＤＳをシャットダウンすることがある。
【０１１１】
監視対象デバイスがすべて同じ物理現象を観測している場合、それらのアナログ放射が相関することが予想される。すべての監視対象デバイスが同じプログラムを、同期的にまたは既知の時間的ずれをもってのいずれかで、実行している場合を考える。これには、２つの理由で、より信頼性の高いプログラム分析の機会がある。第一に、前述のＨＭＭベースの分析アルゴリズムは、サンプリングされている命令のセットについての複数の従属仮説を使用して、公称動作と異常動作とを区別することができる。具体的には、あるデバイスによってサンプリングされた命令のセットは、同じ環境で別のデバイスによってサンプリングされた命令のセットを推定する間、サイド情報として機能する。第二に、ｔ長のサンプリングウィンドウをずらすことによって、命令グループがサンプリングされる有効頻度を増大することが可能である。サンプリング頻度が増大すると、サンプリングされた命令間の連続性が高まり、これは、ひいては、有限状態機械における状態遷移についての確実性が高まることを暗示する。
【０１１２】
上記の開発は、異なる種類のデバイスがあり、したがって同じ環境で異なるプログラムが実行されるとどうなるのか？という重要な研究上の問題を浮き彫りにする。各デバイスの命令セットは異なるため、この状況でのプログラム分析は、類似のデバイスの状況よりも困難である。この課題に取り組むための１つの方法は、デバイスによって検知された信号間の相関関係、例えばサーモスタットによって検知された温度とガスモニタによって検知されたガス漏れの有無との間の相関関係に関する高レベルの専門知識でＨＭＭを増強することである。
【０１１３】
検証試験
検証試験の目的で、対象となるデバイスからのアナログ放射を、公称モードと既知攻撃モードとの両方において特徴付ける。いくつかの試験実施は、センサおよび試験デバイスを有する試験台を含む。既存の無響室および他の実験室施設は、低電磁ノイズ環境を提供し、一方、サーバ室および重電機を備えた建物施設は高ノイズ環境を提供する。初期試験設定は、図１Ａと同様の設定であり得る。シンクライアントおよびラップトップについては、図２に類似の設定を使用し得る。
【０１１４】
【表３】
2019215858.tif 000006
【０１１５】
本明細書に開示された技術は、開示された技術を実行するために、電子データ処理デバイスによって読み取り可能および実行可能な命令を記憶する非一時的記憶媒体によって、具現化され得ることがさらに理解されるであろう。そのような非一時的記憶媒体は、ハードドライブまたは他の磁気記憶媒体、光ディスクまたは他の光学記憶媒体、ＲＡＩＤディスクアレイなどのクラウドベースの記憶媒体、フラッシュメモリまたは他の不揮発性電子記憶媒体などを含むことができる。
【図１Ａ】
2019215858.tif 000007
【図１Ｂ】
2019215858.tif 000008
【図２】
2019215858.tif 000009
【図３】
2019215858.tif 000010
【図４】
2019215858.tif 000011
【図５】
2019215858.tif 000012
【図６Ａ】
2019215858.tif 000013
【図６Ｂ】
2019215858.tif 000014
【図７Ａ】
2019215858.tif 000015
【図７Ｂ】
2019215858.tif 000016
【図８】
2019215858.tif 000017
【図９】
2019215858.tif 000018
【図１０】
2019215858.tif 000019
【図１１Ａ】
2019215858.tif 000020
【図１１Ｂ】
2019215858.tif 000021