(57)【要約】      （修正有）【課題】セーフティクリティカルシステム内のサブシステムの安全な動作を提供する。【解決手段】サブシステム２のコンポーネントと通信し、同システムの他のサブシステムと通信するシステム通信インターフェース３と、セーフティクラウドバックエンドと通信するバックエンド通信インターフェース５と、サブシステムの一意の識別子を格納する識別子メモリ６と、認可制御ユニット７とを有する。認可制御ユニット７は、サブシステム２が同システムの別のターゲット・サブシステム上のセーフティクリティカルな機能を実行するための認可を取得するために、両サブシステムの各一意の識別子に基づき、システム通信インターフェース３を介して、同システムの別のターゲット・サブシステムとのハンドシェイク認可手順と、バックエンド通信インターフェース５を介して、セーフティクラウドバックエンドとのハンドシェイク認可手順とを実施する。【選択図】図１
2016181251.tif 000002
【特許請求の範囲】
【請求項１】
セーフティクリティカルシステムＳＣＳ内のサブシステム（２）の安全な動作を提供するための安全装置（１）であって、前記安全装置（１）は、
・前記サブシステム（２）のコンポーネント（ｃ）と通信するため、かつ、前記セーフティクリティカルシステムＳＣＳの他のサブシステムと通信するための、システム通信インターフェースＳＣＩ（３）と、
・セーフティクラウドバックエンドと通信するための、バックエンド通信インターフェースＢＣＩ（５）と、
・前記サブシステム（２）の一意の識別子を格納する、組み込まれた識別子メモリ（６）と、
・認可制御ユニットＡＣＵ（７）とを有し、
前記認可制御ユニットＡＣＵ（７）は、前記サブシステム（２）が前記セーフティクリティカルシステムＳＣＳの別のターゲット・サブシステム上のセーフティクリティカルな機能ＳＣＦを実行するための認可を取得するために、これら２つのサブシステムの各一意の識別子に基づき、前記システム通信インターフェースＳＣＩ（３）を介して、前記セーフティクリティカルシステムＳＣＳの前記別のターゲット・サブシステムとのハンドシェイク認可手順を実施し、かつ、前記バックエンド通信インターフェースＢＣＩ（５）を介して、前記セーフティクラウドバックエンドとのハンドシェイク認可手順を実施するように適合されている、
ことを特徴とする安全装置。
【請求項２】
前記システム通信インターフェースＳＣＩ（３）は、
前記サブシステム（２）のローカルコンポーネント（ｃ）と通信するための、ローカルネットワーク通信インターフェースＮＣＩ（３Ａ）と、
前記セーフティクリティカルシステムＳＣＳの他のサブシステムと通信するための、通信バスインターフェースＣＢＩ（３Ｂ）とを含む、
請求項１記載の安全装置。
【請求項３】
前記一意の識別子は、前記サブシステム（２）のベンダによって設定され、かつ、前記ベンダによって前記サブシステム（２）の納入時に前記ハンドシェイク認可手順において使用するためにアクティベートされるベンダ識別子である、
請求項１又は２記載の安全装置。
【請求項４】
前記安全装置（１）は、前記サブシステムに組み込まれている、又は埋め込まれている、
請求項１から３のいずれか１項記載の安全装置。
【請求項５】
前記サブシステム（２）の前記安全装置（１）の前記認可制御ユニットＡＣＵ（７）は、前記サブシステム（２）に対して別のターゲット・サブシステム上のセーフティクリティカルな機能ＳＣＦを実行するための認可を与える認可手順を開始するために、前記サブシステム（２）から受信したリクエストに呼応して、認可要求メッセージＡＲＭを作成するように適合されており、かつ、作成した前記認可要求メッセージＡＲＭを、前記安全装置（１）の前記通信バスインターフェースＣＢＩ（３Ｂ）を介して前記別のサブシステムの安全装置へと送信するように適合されている、
請求項１から４のいずれか１項記載の安全装置。
【請求項６】
前記サブシステム（２）の前記安全装置（１）の前記認可制御ユニットＡＣＵ（７）はさらに、別のサブシステムの安全装置から前記安全装置（１）の前記通信バスインターフェースＣＢＩ（３Ｂ）を介して受信した、前記サブシステム（２）の一意の識別子を要求するＩＤ要求メッセージに呼応して、前記サブシステム（２）の一意の識別子を、前記安全装置（１）の前記通信バスインターフェース（３Ｂ）を介して前記別のサブシステムの前記安全装置へと送信するように適合されている、
請求項１から５のいずれか１項記載の安全装置。
【請求項７】
前記サブシステム（２）の前記安全装置（１）の前記認可制御ユニットＡＣＵ（７）は、前記安全装置（１）の前記識別子メモリ（６）に格納されている前記サブシステム（２）の一意の識別子を、前記安全装置（１）が送信したＩＤ要求メッセージに呼応して別のサブシステムの安全装置から前記安全装置（１）の前記通信バスインターフェースＣＢＩ（３Ｂ）を介して受信した、前記別のサブシステムの一意の識別子と一緒に、前記安全装置（１）の前記バックエンド通信インターフェースＢＣＩ（５）を介して、前記セーフティクラウドバックエンド（８）へと送信するように適合されている、
請求項６記載の安全装置。
【請求項８】
前記セーフティクラウドバックエンド（８）は、受信した認可問い合わせメッセージＡＩＭに含まれている各サブシステムの各受信した一意の識別子を評価し、前記各受信した一意のサブシステム識別子を、認可照会メッセージＡＱＭにおいて、各前記サブシステム（２）の各ベンダの各ベンダサーバ（９）に転送するように適合されている、
請求項７記載の安全装置。
【請求項９】
前記ベンダサーバ（９）は、前記認可照会メッセージＡＱＭに含まれている、２つのサブシステムの各受信した一意のサブシステム識別子に基づいて、前記ターゲット・サブシステム上で前記サブシステム（２）によって前記セーフティクリティカルな機能ＳＣＦを実行するための認可を交渉するように適合されており、
両方のベンダサーバ（９）が、前記セーフティクリティカルな機能ＳＣＦを実行するための認可の交渉に成功した場合に、対応する認可承認メッセージＡＡＭが、前記セーフティクラウドバックエンド（８）へと返送される、
請求項８記載の安全装置。
【請求項１０】
前記セーフティクラウドバックエンド（８）は、前記ベンダサーバ（９）から前記認可承認メッセージＡＡＭを受信した後、当該セーフティクラウドバックエンド（８）に前記認可問い合わせメッセージＡＩＭを送信してきた前記安全装置（１）へと、認可データＡＤを返送する、
請求項９記載の安全装置。
【請求項１１】
前記安全装置（１）の前記認可制御ユニットＡＣＵ（７）は、前記認可問い合わせメッセージＡＩＭに呼応して、セーフティクラウドバックエンド（８）から前記安全装置（１）の前記バックエンド通信インターフェースＢＣＩ（５）を介して認可データＡＤを受信し、当該認可制御ユニットＡＣＵ（７）に前記認可要求メッセージＡＲＭを送信してきた前記安全装置（１）の前記通信バスインターフェースＣＢＩ（３Ｂ）を介して、受信した前記認可データＡＤを転送するように適合されている、
請求項１から１０のいずれか１項記載の安全装置。
【請求項１２】
前記安全装置（１）の前記認可制御ユニットＡＣＵ（７）は、前記安全装置（１）の前記通信バスインターフェースＣＢＩ（３Ｂ）を介して別の安全装置から認可データＡＤを受信し、受信した前記認可データＡＤを、前記別のターゲット・サブシステム上で実行すべき前記セーフティクリティカルな機能ＳＣＦへと配信するように適合されている、
請求項１から１１のいずれか１項記載の安全装置。
【請求項１３】
前記安全装置（１）の前記サブシステム（２）は、セーフティクリティカルな機能ＳＣＦを要求するリクエストを、受信した前記認可データＡＤと一緒に、当該認可データＡＤを用いて前記セーフティクリティカルな機能ＳＣＦを実行する前記別のターゲット・サブシステムに送信するように適合されており、
前記ターゲット・サブシステムは、受信した前記認可データＡＤの妥当性確認のために、受信した前記セーフティクリティカルな機能ＳＣＦを要求する前記リクエストを、当該ターゲット・サブシステムの安全装置（１）の前記認可制御ユニットＡＣＵに転送するように適合されており、
前記ターゲット・サブシステム（２）の前記安全装置（１）の前記認可制御ユニットＡＣＵが、受信した前記認可データＡＤの妥当性を確認した場合には、前記ターゲット・サブシステム上で前記セーフティクリティカルな機能ＳＣＦが実行される、
請求項１から１２のいずれか１項記載の安全装置。
【請求項１４】
セーフティクリティカルシステムＳＣＳ内のサブシステム（２）の安全な動作を提供する方法であって、
前記サブシステム（２）が前記セーフティクリティカルシステムＳＣＳの別のターゲット・サブシステム上のセーフティクリティカルな機能ＳＣＦを実行するための認可を取得するために、これら２つのサブシステムの各一意の識別子に基づき、前記サブシステム（２）の安全装置（１）の認可制御ユニットＡＣＵ（７）によって、前記セーフティクリティカルシステムＳＣＳの前記別のターゲット・サブシステムとのハンドシェイク認可手順と、セーフティクラウドバックエンド（８）とのハンドシェイク認可手順とを実施することを含む、
方法。
【請求項１５】
請求項１から１３のいずれか１項記載の安全装置（１）をそれぞれ１つ有する複数のサブシステム（２）を含む、セーフティクリティカルシステム（ＳＣＳ）であって、
前記安全装置（１）は、システム通信インターフェースＳＣＩ（３）を介して相互に接続されており、かつ、バックエンド通信インターフェースＢＣＩ（５）を介してセーフティクラウドバックエンド（８）に接続されている、
セーフティクリティカルシステム（ＳＣＳ）。
【請求項１６】
前記セーフティクラウドバックエンド（８）は、前記セーフティクリティカルシステム（ＳＣＳ）の前記サブシステム（２）を提供しているベンダのベンダサーバ（９）に接続されている、
請求項１５記載のセーフティクリティカルシステム。
【請求項１７】
前記セーフティクリティカルシステム（ＳＣＳ）は、当該セーフティクリティカルシステム（ＳＣＳ）の実行時に、請求項１４に記載の方法を実施するように適合されている、
請求項１５又は１６記載のセーフティクリティカルシステム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、セーフティクリティカルシステム、特にサイバー物理システム内のサブシステムの安全な動作を提供するための安全装置及び方法に関する。
【０００２】
１つのシステムは、複数の異なるシステムコンポーネント及び／又はサブシステムを含むことができる。これらのサブシステムは、ソフトウェア及び／又はハードウェアのコンポーネントを含むことができる。サブシステム内のコンポーネントは、同一又は別のサブシステムの他のコンポーネントによってアクティベート可能な機能を提供している機能コンポーネントを含む。１つのサブシステムのコンポーネント同士は、ローカル通信ネットワークを介して相互に通信し合うことができる。システム、特にセーフティクリティカルシステムは、複数の埋め込まれたサブシステムを含むことができる。これらのサブシステムは、相互に通信し合っており、実行時に未知の構成を有する、ルーズに結合された１つのより大きいシステムを構築している。このようにルーズに結合されたシステムは、多くの場合、サイバー物理システムと呼ばれている。セーフティクリティカルシステムは、例えばインテリジェント配電網、医療システム、又は、交通制御システムとすることができる。この種のシステムは、動作中の関連リスクに起因してセーフティクリティカルになる可能性がある。このようなシステムの複雑さが増加するにつれ、システム構成数は、設計時にほぼ無限となるか、又は未知となりうる。従って、実行時における全てのシステム参加者の全ての考えられる構成に対する安全な相互作用をドキュメント化した、システム設計時の認証（certification）が必要不可欠となりうる。複雑なセーフティクリティカルシステムでは、セーフティクリティカルシステムの実行時に、このようなセーフティクリティカルシステムの一部又はサブシステムと、別の部分又は別のサブシステムとを同時に使用（相互運用）することが、安全であるか否かを判断する必要がある。セーフティクリティカルシステムの一部又はサブシステムが、それぞれ異なるベンダによって提供されている場合であっても、このことを判断する必要があるので、これらの相互作用は、それぞれのベンダ間における信用問題となってしまう。
【発明の概要】
【発明が解決しようとする課題】
【０００３】
従って、本発明の課題は、互いに相互運用される複数のサブシステムが含まれたセーフティクリティカルシステム内のサブシステムの安全な動作を提供するための装置及び方法を提供することである。
【課題を解決するための手段】
【０００４】
この課題は、請求項１に記載の特徴を有する、セーフティクリティカルシステム内のサブシステムの安全な動作を提供する安全装置によって解決される。
【０００５】
従って、本発明は、第１の態様によれば、セーフティクリティカルシステム内のサブシステムの安全な動作を提供するための安全装置であって、前記安全装置は、前記サブシステムのコンポーネントと通信するため、かつ、前記セーフティクリティカルシステムの他のサブシステムと通信するための、システム通信インターフェースと、セーフティクラウドバックエンドと通信するための、バックエンド通信インターフェースと、前記サブシステムの一意の識別子を格納する、組み込まれた識別子メモリと、認可制御ユニットとを有し、前記認可制御ユニットは、前記サブシステムが前記セーフティクリティカルシステムの別のターゲット・サブシステム上のセーフティクリティカルな機能を実行するための認可を取得するために、これら２つのサブシステムの各一意の識別子に基づき、前記システム通信インターフェースを介して、前記セーフティクリティカルシステムの前記別のターゲット・サブシステムとのハンドシェイク認可手順を実施し、かつ、前記バックエンド通信インターフェースを介して、前記セーフティクラウドバックエンドとのハンドシェイク認可手順を実施するように適合されている、安全装置を提供する。
【０００６】
本発明の第１の態様に基づく安全装置の１つの可能な実施形態では、前記システム通信インターフェースは、前記サブシステムのローカルコンポーネントと通信するための、ローカルネットワーク通信インターフェースと、前記セーフティクリティカルシステムの他のサブシステムと通信するための、通信バスインターフェースとを含む。
【０００７】
本発明の第１の態様に基づく安全装置の１つの可能な実施形態では、前記一意の識別子は、前記サブシステムのベンダによって設定され、かつ、前記ベンダによって前記サブシステムの納入時に前記ハンドシェイク認可手順において使用するためにアクティベートされるベンダ識別子である。
【０００８】
本発明の第１の態様に基づく安全装置の１つの可能な実施形態では、前記安全装置は、前記サブシステムに組み込まれている、又は埋め込まれている。
【０００９】
本発明の第１の態様に基づく安全装置の別の１つの可能な実施形態では、前記サブシステムの前記安全装置の前記認可制御ユニットは、前記サブシステムに対して別のターゲット・サブシステム上のセーフティクリティカルな機能を実行するための認可を与える認可手順を開始するために、前記サブシステムから受信したリクエストに呼応して、認可要求メッセージを作成するように適合されており、かつ、作成した前記認可要求メッセージを、前記安全装置の前記通信バスインターフェースを介して前記別のサブシステムの安全装置へと送信するように適合されている。
【００１０】
本発明の第１の態様に基づく安全装置の１つの可能な実施形態では、前記サブシステムの前記安全装置はさらに、別のサブシステムの安全装置から前記安全装置の前記通信バスインターフェースを介して受信した、前記サブシステムの一意の識別子を要求するＩＤ要求メッセージに呼応して、前記サブシステムの一意の識別子を、前記通信バスインターフェースを介して前記別のサブシステムの前記安全装置へと送信するように適合されている。
【００１１】
本発明の第１の態様に基づく安全装置の別の１つの可能な実施形態では、前記サブシステムの前記安全装置の前記認可制御ユニットは、前記安全装置の前記識別子メモリに格納されている前記サブシステムの一意の識別子を、前記安全装置が送信したＩＤ要求メッセージに呼応して別のサブシステムの安全装置から前記安全装置の前記通信バスインターフェースを介して受信した、前記別のサブシステムの一意の識別子と一緒に、前記安全装置の前記バックエンド通信インターフェースを介して、前記セーフティクラウドバックエンドへと送信するように適合されている。
【００１２】
本発明の第１の態様に基づく安全装置の別の１つの可能な実施形態では、前記セーフティクラウドバックエンドは、受信した認可問い合わせメッセージに含まれている各サブシステムの各受信した一意の識別子を評価し、前記各受信した一意のサブシステム識別子を、認可照会メッセージにおいて、各前記サブシステムの各ベンダの各ベンダサーバに転送するように適合されている。
【００１３】
本発明の第１の態様に基づく安全装置の別の１つの可能な実施形態では、前記ベンダサーバは、認可照会メッセージに含まれている、２つのサブシステムの各受信した一意のサブシステム識別子に基づいて、前記ターゲット・サブシステム上で前記サブシステムによって前記セーフティクリティカルな機能を実行するための認可を交渉するように適合されている。
【００１４】
本発明の第１の態様に基づく安全装置の別の１つの可能な実施形態では、両方のベンダサーバが、前記セーフティクリティカルな機能を実行するための認可の交渉に成功した場合に、対応する認可承認メッセージが、前記セーフティクラウドバックエンドへと返送される。
【００１５】
本発明の第１の態様に基づく安全装置の別の１つの可能な実施形態では、前記セーフティクラウドバックエンドは、前記ベンダサーバから前記認可承認メッセージを受信した後、当該セーフティクラウドバックエンドに前記認可問い合わせメッセージを送信してきた前記安全装置へと、認可データを返送する。
【００１６】
本発明の第１の態様に基づく安全装置のさらなる別の１つの可能な実施形態では、前記安全装置の前記認可制御ユニットは、前記認可問い合わせメッセージに呼応して、セーフティクラウドバックエンドから前記安全装置の前記バックエンド通信インターフェースを介して認可データを受信し、当該認可制御ユニットに前記認可要求メッセージを送信してきた前記安全装置の前記通信バスインターフェースを介して、受信した前記認可データを転送するように適合されている。
【００１７】
本発明の第１の態様に基づく安全装置のさらなる別の１つの可能な実施形態では、前記安全装置の前記認可制御ユニットは、前記安全装置の前記通信バスインターフェースを介して別の安全装置から認可データを受信し、受信した前記認可データを、前記別のターゲット・サブシステム上で実行すべき前記セーフティクリティカルな機能へと配信するように適合されている。
【００１８】
本発明の第１の態様に基づく安全装置のさらなる別の１つの可能な実施形態では、前記安全装置の前記サブシステムは、セーフティクリティカルな機能ＳＣＦを要求するリクエストを、受信した前記認可データＡＤと一緒に、当該認可データを用いて前記セーフティクリティカルな機能を実行する前記別のターゲット・サブシステムに送信するように適合されている。
【００１９】
本発明の第１の態様に基づく安全装置のさらなる別の１つの可能な実施形態では、前記ターゲット・サブシステムは、受信した前記認可データの妥当性確認のために、受信した、前記セーフティクリティカルな機能を要求する前記リクエストを、当該ターゲット・サブシステムの安全装置の前記認可制御ユニットに転送するように適合されている。
【００２０】
本発明の第１の態様に基づく安全装置のさらなる別の１つの可能な実施形態では、前記ターゲット・サブシステムの前記安全装置の前記認可制御ユニットが、受信した前記認可データの妥当性を確認した場合には、前記ターゲット・サブシステム上で前記セーフティクリティカルな機能が実行される。
【００２１】
本発明はさらに、第２の態様によれば、セーフティクリティカルシステム内のサブシステムの安全な動作を提供するための、請求項１４に記載の特徴を有する方法を提供する。
【００２２】
本発明は、第２の態様によれば、セーフティクリティカルシステムＳＣＳ内のサブシステムの安全な動作を提供する方法であって、前記サブシステムが前記セーフティクリティカルシステムの別のターゲット・サブシステム上のセーフティクリティカルな機能を実行するための認可を取得するために、これら２つのサブシステムの各一意の識別子に基づき、前記サブシステムの安全装置の認可制御ユニットによって、前記セーフティクリティカルシステムの前記別のターゲット・サブシステムとのハンドシェイク認可手順と、セーフティクラウドバックエンドとのハンドシェイク認可手順とを実施することを含む、方法を提供する。
【００２３】
本発明はさらに、第３の態様によれば、請求項１５に記載の特徴を有するセーフティクリティカルシステムを提供する。
【００２４】
本発明は、第３の態様によれば、本発明の第１の態様に基づく安全装置をそれぞれ１つ有する複数のサブシステムを含む、セーフティクリティカルシステムであって、前記安全装置は、システム通信インターフェースＳＣＩを介して相互に接続されており、かつ、バックエンド通信インターフェースＢＣＩを介してセーフティクラウドバックエンドに接続されている、セーフティクリティカルシステムを提供する。
【００２５】
本発明の第３の態様に基づくセーフティクリティカルシステムの１つの可能な実施形態では、前記セーフティクラウドバックエンドは、前記セーフティクリティカルシステムの前記サブシステムを提供しているベンダのベンダサーバに接続されている。
【００２６】
本発明の第３の態様に基づくセーフティクリティカルシステムの１つの可能な実施形態では、前記セーフティクリティカルシステムは、当該セーフティクリティカルシステムの実行時に、本発明の第２の態様に基づく方法を実施するように適合されている。
【００２７】
以下では、本発明の複数の異なる態様の各可能な実施形態を、添付図面を参照しながらより詳細に説明する。
【図面の簡単な説明】
【００２８】
【図１】セーフティクリティカルシステムのサブシステム内に埋め込まれた、本発明の第１の態様に基づく安全装置の、１つの可能な例示的な実施形態を示す図である。
【図２】本発明の第１の態様に基づく安全装置がそれぞれ埋め込まれており、本発明の第２の態様に基づく方法を実施するように適合された、複数のサブシステムを有するセーフティコントロールシステムの１つの可能な例示的な実施形態を示す線図である。
【図３】本発明の第１の態様に基づく安全装置をそれぞれ有する複数のサブシステムを含むセーフティクリティカルシステムの動作を説明するための例示的な信号線図である。
【発明を実施するための形態】
【００２９】
図１から見て取れるように、セーフティクリティカルシステムＳＣＳ内のサブシステム２に、当該サブシステム２の安全な動作を提供するための安全装置１を組み込む又は埋め込むことができる。従って、１つの可能な実施形態では、セーフティクリティカルシステムＳＣＳの少なくともいくつかの又は全てのサブシステム２は、図１に図示された組み込まれた安全装置１を含むことができる。これに代わる実施形態では、安全装置１を各サブシステム２に取り付けることも可能であり、また、安全装置１をインターフェースを介してサブシステム２内の少なくとも１つのコンポーネントｃに接続させることも可能である。図示された実施形態では、安全装置１は、サブシステム２のコンポーネントｃと通信するため、かつ、セーフティクリティカルシステムＳＣＳの他のサブシステムと通信するための、システム通信インターフェース３を含む。１つの可能な実施形態におけるこのシステム通信インターフェース３は、サブシステム２のローカルコンポーネントと通信するためのローカルネットワーク通信インターフェースＮＣＩ，３Ａと、セーフティクリティカルシステムＳＣＳの他のサブシステムと通信するための通信バスインターフェースＣＢＩ，３Ｂとを含む。１つの可能な実施形態では、ローカルネットワーク通信インターフェース３Ａは、図１に図示されたサブシステム２の、複数の異なる機能コンポーネントｃ同士を接続しているローカルネットワークに接続されている。１つの可能な実施形態では、通信バスインターフェース３Ｂは、図１に図示されるようにシステム通信バス４に接続されている。
【００３０】
安全装置１はさらに、セーフティクラウドバックエンドと通信するためのバックエンド通信インターフェースＢＣＩ，５を含む。バックエンド通信インターフェース５は、少なくとも１つのセーフティクラウドサーバを含むセーフティクラウドバックエンドとの無線又は有線のインターフェースを含むことができる。
【００３１】
図示された実施形態では、安全装置１はさらに、組み込まれた識別子メモリ６を含む。組み込まれた識別子メモリ６は、埋め込まれた安全装置１を含むサブシステム２の一意の識別子を格納するように適合されている。
【００３２】
安全装置１はさらに、認可制御ユニット７を含む。この認可制御ユニット７は、システム通信インターフェース３を介して、セーフティクリティカルシステムＳＣＳの別のターゲット・サブシステムとのハンドシェイク認可手順を実施するように適合されており、かつ、バックエンド通信インターフェース５を介して、セーフティクラウドバックエンドとのハンドシェイク認可手順を実施するように適合されている。認可制御ユニット７は、サブシステム２がセーフティクリティカルシステムＳＣＳのターゲット・サブシステム上のセーフティクリティカルな機能ＳＣＦを実行するための認可を取得するために、これら２つのサブシステムの各一意の識別子、すなわち図１に図示されたサブシステム２の一意の識別子と、同一のセーフティクリティカルシステムＳＣＳの別のターゲット・サブシステムの一意の識別子とに基づき、ターゲット・サブシステムとのハンドシェイク認可手順と、セーフティクラウドバックエンドとのハンドシェイク認可手順とを実施するように適合されている。セーフティクリティカルな機能ＳＣＦの不正操作のない安全な動作を保証するために、図１に図示された安全装置１を、埋め込まれたシステム又はサブシステム内に構築することができる。バックエンド通信インターフェース５は、セーフティクリティカルな機能ＳＣＦが安全に実行可能であるか否かを判断することができるサーバと通信するために使用することができる。システム通信インターフェース３は、サイバー物理サブシステムのローカルコンポーネントｃとの通信、及び、セーフティクリティカルシステムＳＣＳの他のサブシステムとの通信を可能にする。１つの可能な実施形態では、組み込まれた識別子メモリ６が、それぞれのサブシステム２のベンダによって設定可能なデジタルキーフレーズを格納し、書き込むことができる。１つの可能な実施形態では、一意の識別子は、サブシステム２のベンダによって設定され、かつ、ハンドシェイク認可手順で使用するためにベンダによってサブシステム２の納入時にアクティベートされるベンダ識別子である。サブシステム２の一意の識別子は、安全装置１の一意の識別を可能にし、不正な読み取り操作から高度に保護することができる。
【００３３】
図２は、本発明のさらなる別の態様に基づくセーフティクリティカルシステムＳＣＳの例示的な実施形態を図示している。このセーフティクリティカルシステムＳＣＳは、本発明の第１の態様に基づく安全装置１がそれぞれ含まれた、複数の異なるサブシステム２からなる。図２に図示された例示的な実施形態では、セーフティクリティカルシステムＳＣＳは、それぞれ１つの安全装置１−１，１−２が埋め込まれている２つのサブシステム２−１，２−２を含む。サブシステム２−ｉの個数は異なっていても良い。図２に図示された実施形態では、セーフティクリティカルシステムＳＣＳは、ｎ個のサブシステム２−ｉを含み、これらのサブシステム２−ｉは、当該セーフティクリティカルシステムＳＣＳの１つのシステム通信バス４に接続されている。各サブシステム２−ｉは、それぞれ複数の機能コンポーネントｃを含むことができ、これらの機能コンポーネントｃは、各サブシステムのローカルネットワークを介して相互に接続されている。図２に図示された例では、第１サブシステム２−１は、１つのローカルネットワークを介して相互に通信し合う５つのコンポーネントｃ１，ｃ２，ｃ３，ｃ４，ｃ５を含む。第２サブシステム２−２は、別の１つのローカルネットワークを介して相互に接続された４つのコンポーネントｃ１，ｃ２，ｃ３，ｃ４を含む。第１サブシステム２−１の安全装置１−１は、第１サブシステム２−１のローカルコンポーネントｃ１〜ｃ５と通信するためのローカルネットワーク通信インターフェースＮＣＩを含むシステム通信インターフェースを含む。第２サブシステム２−２は、第２サブシステム２−２のローカルコンポーネントｃ１〜ｃ４と通信するためのローカルネットワーク通信インターフェースＮＣＩを有するシステム通信インターフェース３を含む。これらの安全装置１−１，１−２の２つのシステム通信インターフェースＳＣＩは、それぞれ通信バスインターフェースＣＢＩを含み、この通信バスインターフェースＣＢＩによって、安全装置１−１は、システム通信バス４を介してセーフティクリティカルシステムＳＣＳの他のサブシステムと通信することが可能となる。２つの安全装置１−１，１−２は、図２に図示されたセーフティクラウドバックエンド８と通信するためのバックエンド通信インターフェースＢＣＩをそれぞれ有する。セーフティクラウドバックエンド８は、セーフティクリティカルシステムＳＣＳの複数の異なるサブシステム２−ｉを提供している複数の異なるベンダの、複数の異なるベンダサーバ９−１，９−２，９−３に接続することができるか、又はこれらを含むことができる。セーフティクリティカルシステムＳＣＳのサブシステム２−ｉの個数は異なっていても良い。さらには、１つのサブシステム内に含まれるシステムコンポーネントｃの個数は、サブシステム２−ｉごとに異なっていても良い。サブシステム２−ｉのコンポーネントｃは、ハードウェア及び／又はソフトウェアのコンポーネントｃを含むことができる。図２に図示されたセーフティクリティカルシステムＳＣＳは、例えばインテリジェント配電網又は高信頼性の医療システムとすることができる。セーフティクリティカルシステムＳＣＳのさらなる例は、交通制御システム、自動車運転者支援システム、産業用オートメーションシステム、及び、工程管理システム（process-steering Systems）である。セーフティクリティカルシステムＳＣＳはさらに、持続可能な環境システム又は環境インフラストラクチャや、通信システムを含むことができる。図２に図示されたサブシステム２−ｉは、より大きなサイバー物理システムのサブシステムを含むことができる。例えばサブシステム２−１が、セーフティクリティカルな機能ＳＣＦのうちのいくつかを使用することを希望して、セーフティクリティカルシステムＳＣＳの構成を変更しようとした場合には、各サブシステム２−ｉ同士は既に、互いに安全かつ確実に相互作用して、いくつかのセーフティクリティカルな機能ＳＣＦを実行することが可能である。サブシステム２−１に対し、セーフティクラウドバックエンドを用いてセーフティクリティカルシステムＳＣＳのサブシステム２−２上の特定のセーフティクリティカルな機能ＳＣＦを使用する認可を与えるために、安全装置１−１，１−２を使用することができ、この安全装置１−１，１−２は、セーフティクリティカルな機能ＳＣＦがサブシステム２−１によって呼び出され、認可されていない他のサブシステムによっては呼び出されないことを保証するために確実な通信を可能にする。
【００３４】
図３は、本発明の第１の態様に基づく安全装置１の動作を説明するための信号線図を図示している。図３は、本発明の第１の態様に基づく安全装置１−ｉの内の認可制御ユニットＡＣＵによって実施される例示的なハンドシェイク認可手順を図示している。このハンドシェイク認可手順は、ステップごとに説明される。図３に図示されたメッセージは、一方の参加者（送信側）から他方の参加者（受信側）への矢印によって表されている。送信されたメッセージは、時系列順に上から下へと分類されている。まず初めに、システム２−１は、セーフティクリティカルなある１つの機能を実施するようサブシステム２−２に要求することによって、このセーフティクリティカルな機能ＳＣＦを呼び出す。この与えられた例では、サブシステム２−１は認可されていないので、セーフティクリティカルな機能ＳＣＦの実行は、セーフティクリティカルシステムＳＣＳのサブシステム２−２によって拒否される。
【００３５】
サブシステム２−１は、この拒否を受信した後、サブシステム２−２上のこのセーフティクリティカルな機能ＳＣＦに対する認可手順を開始するために、サブシステム２−１の安全装置１−１へとリクエストを送信する。その後、サブシステム２−１の安全装置１−１は、当該サブシステム２−１に対し、サブシステム２−２上のセーフティクリティカルな機能ＳＣＦを実行する認可を与えるよう、サブシステム２−２の安全装置１−２へとリクエストを送信する。図３に図示されているようにこのリクエストは、認可要求メッセージ（authorization request message）ＡＲＭとして送信される。さらなるステップでは、図３に図示されているように、サブシステム２−２の安全装置１−２が、サブシステム２−１の安全装置１−１からの一意の識別子を要求する。図３に図示された例では、サブシステム２−１の安全装置１−１は、当該サブシステム２−１の一意の識別子を、サブシステム２−２の安全装置１−２へと送信する。サブシステム２−２の安全装置１−２は、サブシステム２−１の一意の識別子と、自身の一意の識別子、すなわちサブシステム２−２の一意の識別子とを、認可問い合わせメッセージ（authorization inquiry message）ＡＩＭにおいてセーフティクラウドバックエンド８に送信し、サブシステム２−２上のセーフティクリティカルな機能ＳＣＦを実行するための認可がサブシステム２−１に与えられるかどうかの回答を受信する。１つの可能な実施形態では、認可問い合わせメッセージＡＩＭは、セーフティクラウドのセーフティクラウドサーバ８へと送信され、このセーフティクラウドサーバ８は、１つの可能な実施形態では、受信した一意の識別子に基づいてサブシステム２−１のベンダを識別する。図３から見て取れるように、セーフティクラウドサーバ８は、受信した認可問い合わせメッセージＡＩＭを、第１認可照会メッセージ（authorization query message）ＡＱＭ１において第１ベンダサーバ９−１に転送し、第２認可照会メッセージＡＱＭ２において第２ベンダサーバ９−２に転送する。これら２つの認可照会メッセージＡＱＭ１，ＡＱＭ２は、２つのサブシステム２−１，２−２の一意の識別子を運ぶ。第１ベンダサーバ９−１は、セーフティクリティカルシステムＳＣＳの第１サブシステム２−１のベンダのサーバである。第２ベンダサーバ９−２は、セーフティクリティカルシステムＳＣＳの第２サブシステム２−２のベンダのサーバである。その後、サブシステム２−１のベンダとサブシステム２−２のベンダで、図３に図示されたように相互に認可を交渉する。１つの好ましい実施形態では、この交渉は、２つのサブシステム２−１，２−２の一意の識別子を用いて自動的に実施される。これに代わる実施形態では、この交渉を、２つのサブシステムのベンダによって手動で実施することも可能である。
【００３６】
サブシステム２−１を提供している第１ベンダの観点から、サブシステム２−１に対して、サブシステム２−２上のセーフティクリティカルな機能ＳＣＦの実行を許すことが安全である場合には、セーフティクラウドサーバ８から受信したリクエストを認可することができ、第１ベンダのサーバ９−１は、セーフティクラウドサーバ８へと第１認可承認メッセージ（authorization acknowledgement message）ＡＡＭ１を送信する。
【００３７】
サブシステム２−２を提供している第２ベンダの観点から、サブシステム２−１に対して、サブシステム２−２上のセーフティクリティカルな機能ＳＣＦの実行を許すことが安全である場合には、セーフティクラウドサーバ８のリクエストを認可することができ、第２ベンダのサーバ９−２は、図３に図示されているように、セーフティクラウドサーバ８へと第２認可承認メッセージＡＡＭ２を送信する。
【００３８】
セーフティクラウドサーバ８が、両方のベンダサーバ９−１，９−２から認可承認メッセージＡＡＭを受信した場合、すなわち２つの認可がポジティブである場合には、セーフティクラウドサーバ８は、認可を要求してきた安全装置へと認可データ（authorization data）ＡＤを返送する。図示された図３の例では、セーフティクラウド８は、認可問い合わせメッセージＡＩＭをセーフティクラウドサーバ８に送信してきた第２サブシステム２２の安全装置１−２へと認可データＡＤを送信する。
【００３９】
ターゲット・サブシステム２−２の安全装置１−２が、セーフティクラウドサーバ８からポジティブな認可データＡＤを受信すると直ぐに、安全装置１−２は、この認可データＡＤを第１サブシステム２−１の安全装置へと転送する。そうでない場合には、サブシステム２−２の安全装置は、サブシステム２−１の安全装置１−１に対して、アクションが拒否されたことを通知することができる（図示せず）。
【００４０】
図３に図示されているように、第１サブシステム２−１の安全装置１−１は、ターゲット・サブシステムの安全装置１−２から認可データＡＤを受信し、受信したこの認可データを、ターゲット・サブシステム２−２上のセーフティクリティカルな機能を実行するよう要求された機能へと配信する。今や図３に図示されているように、サブシステム２−１は、受信した認可データＡＤを用いて、セーフティクリティカルな機能を実行するよう要求するリクエストを、サブシステム２−２へと送信することが可能である。サブシステム２−１上のセーフティクリティカルな機能ＳＣＦの実行を担当している機能は、このリクエストと認可データＡＤとを受信して、当該サブシステム２−２の安全装置１−２へと、妥当性確認を要求するリクエストを送信することができる。ターゲット・サブシステム２−２の安全装置１−２の認可制御ユニットＡＣＵ７が、受信した認可データＡＤの妥当性を確認できた場合には、認可制御ユニットＡＣＵ７は、ポジティブの回答を送信し、そうでない場合にはネガティブな回答を送信する（図示せず）。安全装置１−２の認可制御ユニット７が、認可データＡＤの妥当性を確認することができた場合には、ターゲット・サブシステム２−２上にてセーフティクリティカルな機能ＳＣＦが実行される。
【００４１】
セーフティクリティカルシステムＳＣＳは、性能、利用可能エネルギ、無線ネットワークの接続性、又は通信帯域幅の点で異なる種々の環境において実行される可能性があるので、安全な通信を、それぞれの用途に対して要求された安全性レベルに適合させることが可能である。
【００４２】
セーフティクリティカルシステムＳＣＦの１つの可能な実施形態では、参加者間の通信が、安全装置によって完全に保護されている。この実施形態では、全ての通信が、安全装置を介してルーティングされ、暗号化される。
【００４３】
これに代わる実施形態では、通信は、安全装置１を用いてただ開始されるだけである。この実施形態では、複数の異なるサブシステム２の機能ユニット又は機能コンポーネント同士の間で直接的に通信することが可能である。１つの可能な実施形態では、通信を保護するために、一意の識別子を使用して使い捨てトランザクションコードを作成することができる。この実施形態では、情報が交換される時には毎回、対応する安全装置１から新しい使い捨てトランザクションコードを要求することができ、トランザクションコードの妥当性を確認するために他のデバイスが使用される。
【００４４】
本発明によれば、セーフティクリティカルシステムＳＣＳにおいて、当該セーフティクリティカルシステムＳＣＳの複数の異なるサブシステム２−１，２−２を提供している複数の異なるベンダの、複数のベンダサーバ９−１，９−２間における交渉手順により、これら２つのサブシステムの各一意の識別子に基づいて、認可が実施される。１つの可能な実施形態では、この認可を、ベンダサーバ間における交渉手順によって自動的に実施することが可能であり、この場合には、これら２つのベンダサーバは、セーフティクリティカルシステムＳＣＳ全体の安全性リスクを引き起こすことなく、要求を送信してきたサブシステムのために、このターゲット・サブシステムがセーフティクリティカルな機能ＳＣＦを実行することが可能かどうかを調査するための安全性解析を実施する。１つの可能な実施形態では、ベンダサーバ９−ｉは、安全性解析ＦＴＡのために、各サブシステム２及びそのコンポーネントｃのフォルトツリーモデル内のフォルトツリー解析を採用することができる。
【図１】
2016181251.tif 000003
【図２】
2016181251.tif 000004
【図３】
2016181251.tif 000005
【外国語明細書】
2016181251.tif 000006
2016181251.tif 000007
2016181251.tif 000008
2016181251.tif 000009
2016181251.tif 000010
2016181251.tif 000011
2016181251.tif 000012
2016181251.tif 000013
2016181251.tif 000014
2016181251.tif 000015
2016181251.tif 000016
2016181251.tif 000017
2016181251.tif 000018
2016181251.tif 000019
2016181251.tif 000020
2016181251.tif 000021
2016181251.tif 000022
2016181251.tif 000023
2016181251.tif 000024
2016181251.tif 000025
2016181251.tif 000026
2016181251.tif 000027
2016181251.tif 000028
2016181251.tif 000029