(57)【要約】  少なくとも１つのセキュリティプロセッサを含む保護下のデバイスにおいて、安全なリソースにアクセスすることを求める電子デバイスからの少なくとも１つの電子証明を受信することによって、安全な電子アクセスが提供されてもよく、少なくとも１つの証明は、電子デバイスのセキュリティに関連するデバイス情報を提供し、自律的なシステムの少なくとも１つの自律的なプロセッサで、デバイス情報をセキュリティ要件情報と比較する。少なくとも１つの自律的なプロセッサは、デバイス情報がセキュリティ要件情報を満たすとき、少なくとも１つのセキュリティプロセッサに、安全なリソースをデバイスに提供するように命令してもよい。保護下のデバイスは、命令に応答して、安全なリソースを電子デバイスに提供してもよい。
2017535871.tif 000002
【特許請求の範囲】
【請求項１】
安全な電子アクセスのためのシステムであって、
保護下のデバイス上の安全なリソースにアクセスすることを求める電子デバイスからの少なくとも１つの電子証明を受信する、少なくとも１つのセキュリティプロセッサを含む前記保護下のデバイスと、ここにおいて、前記少なくとも１つの証明は、前記電子デバイスのセキュリティに関連するデバイス情報を提供し、
少なくとも１つの自律的なプロセッサと、少なくとも１つの自律的なメモリとを含む自律的なシステムと、ここにおいて、前記少なくとも１つの自律的なメモリは、セキュリティ要件情報を記憶し、前記少なくとも１つの自律的なプロセッサは、前記デバイス情報を前記セキュリティ要件情報と比較し、前記少なくとも１つの自律的なプロセッサは、前記デバイス情報が前記セキュリティ要件情報を満たすとき、前記少なくとも１つのセキュリティプロセッサに、前記安全なリソースを前記デバイスに提供するように命令し、
前記保護下のデバイスは、前記命令に応答して、前記安全なリソースを前記電子デバイスに提供する、
を備える、システム。
【請求項２】
前記安全なリソースは、デジタルファイル又はデジタルファイル集を含む、請求項１に記載のシステム。
【請求項３】
前記安全なリソースは、ハードウェアリソースを含む、請求項１に記載のシステム。
【請求項４】
前記少なくとも１つの自律的なプロセッサは、前記比較に基づいて、前記電子デバイスによる前記安全なリソースの使用の条件を制御する、請求項１に記載のシステム。
【請求項５】
前記少なくとも１つの自律的なプロセッサは、前記デジタルファイル又はデジタルファイル集と、前記セキュリティ要件情報を含むセキュリティ要件証明と、許可キー値ペアのセットとを含む圧縮されたアーカイブを作成して、前記セキュリティシステムの前記少なくとも１つの電子証明を検証する、請求項２に記載のシステム。
【請求項６】
前記少なくとも１つの自律的なプロセッサは、暗号化されたデジタル署名を前記デジタルファイル又は前記デジタルファイル集におけるデジタルファイルのそれぞれに対して適用し、真正の認証とオーサーの認証を提供し、前記デジタル署名は、ファイル作成の際に適用されて、前記デジタルファイル又は前記デジタルファイル集が変化する度に、第２の暗号化されたデジタル署名として更新又は適用される、請求項５に記載のシステム。
【請求項７】
前記少なくとも１つの自律的なプロセッサは、前記セキュリティ要件情報に基づいて、前記デジタルファイル又は前記デジタルファイル集の、印刷、コピー、表示、編集、及び／又は、送信を制御するために、属性と設定と許可を実施する、請求項２に記載のシステム。
【請求項８】
前記自律的なシステムは、前記自律的なシステムにおいて配置された自律的なシステムプライベートキーを含み、前記自律的なシステムは、前記自律的なシステムプライベートキーによりメッセージにサインし、前記自律的なシステムでサインされたメッセージをソースに送り、前記ソースは、前記自律的なシステムへのオーソライズされていないアクセスがあったか否か、又は、前記自律的なシステムでの改竄があったか否かを決定する、請求項１に記載のシステム。
【請求項９】
前記ソースは、前記ソース内に配置されたソースプライベートキーを含み、前記ソースは、前記ソースプライベートキーによりメッセージにサインし、前記ソースでサインされたメッセージを前記自律的なシステムに送り、前記自律的なシステムは、前記ソースへのオーソライズされていないアクセスがあるか否か、又は、前記ソースでの改竄があるか否かを決定する、請求項８に記載のシステム。
【請求項１０】
安全な電子アクセスのためのシステムであって、
保護下のデバイスのセキュリティを記述する少なくとも１つの電子証明を受信する少なくとも１つのセキュリティプロセッサを含み、前記少なくとも１つの電子証明と、前記保護下のデバイスに対して使用不可能な形態におけるリソースと、セキュリティ要件情報とを出力する、前記保護下のデバイスと、
少なくとも１つの自律的なプロセッサと、前記少なくとも１つの電子証明を記憶する少なくとも１つのメモリとを含む自律的なシステムと、ここにおいて、前記少なくとも１つの電子証明を前記保護下のデバイスに提供し、
前記少なくとも１つの電子証明と、前記保護下のデバイスに対して使用不可能な形態における前記リソースと、前記保護下のデバイスからの前記セキュリティ要件情報とを受信し、前記少なくとも１つの電子証明を前記セキュリティ要件情報に比較し、前記少なくとも１つの電子証明が、前記セキュリティシステムは前記セキュリティ要件情報を満たすことを示すとき、前記保護下のデバイスに対して使用可能な形態に前記リソースを変形し、前記保護下のデバイスに対して使用可能な形態における前記リソースを前記保護下のデバイスに提供することによって、少なくとも１つのオーソライザプロセスを実行するように構成されて設計されたオーソライザシステムと、
を備える、システム。
【請求項１１】
前記リソースは、デジタルファイル又はデジタルファイル集を含む、請求項１０に記載のシステム。
【請求項１２】
前記少なくとも１つの自律的なプロセッサは、前記比較に基づいて、前記セキュリティシステムによる前記リソースの使用の条件を制御する、請求項１０に記載のシステム。
【請求項１３】
前記保護下のデバイスによって使用可能な形態における、前記デジタルファイル又は前記デジタルファイル集は、前記少なくとも１つの自律的なメモリにおいて記憶される、請求項１１に記載のシステム。
【請求項１４】
前記少なくとも１つの自律的なプロセッサは、前記自律的なシステムからの情報に基づいて、前記保護下のデバイスによる前記リソースの使用の条件を制御する、請求項１０に記載のシステム。
【請求項１５】
前記少なくとも１つの自律的なプロセッサは、前記セキュリティ要件情報に基づいて、前記デジタルファイル又は前記デジタルファイル集の、印刷、コピー、表示、編集、及び／又は、送信を制御するために、属性と設定と許可を実施する、請求項１１に記載のシステム。
【請求項１６】
前記自律的なシステムは、前記自律的なシステムにおいて配置された自律的なシステムプライベートキーを含み、前記自律的なシステムは、前記自律的なシステムプライベートキーによりメッセージにサインし、前記自律的なシステムでサインされたメッセージをソースに送り、前記ソースは、前記自律的なシステムへのオーソライズされていないアクセスがあったか否か、又は、前記自律的なシステムでの改竄があったか否かを決定する、請求項１０に記載のシステム。
【請求項１７】
前記ソースは、前記ソース内に配置されたソースプライベートキーを含み、前記ソースは、前記ソースプライベートキーによりメッセージにサインし、前記ソースでサインされたメッセージを前記自律的なシステムに送り、前記自律は、前記ソースへのオーソライズされていないアクセスがあったか否か、又は、前記ソースでの改竄があったか否かを決定する、請求項１６に記載のシステム。
【請求項１８】
電子アクセスを安全にする方法であって、
少なくとも１つのセキュリティプロセッサを含む保護下のデバイスにおいて、安全なリソースにアクセスすることを求める電子デバイスからの少なくとも１つの電子証明を受信することと、ここにおいて、前記少なくとも１つの証明は、前記電子デバイスのセキュリティに関連するデバイス情報を提供し、
自律的なシステムの少なくとも１つの自律的なプロセッサにより、前記デバイス情報を前記セキュリティ要件情報と比較することと、
前記デバイス情報が前記セキュリティ要件情報を満たすとき、前記少なくとも１つのセキュリティプロセッサに、前記安全なリソースを前記デバイスに提供するように命令する前記少なくとも１つの自律的なプロセッサと、
前記命令に応答して、前記安全なリソースを前記電子デバイスに提供する前記保護下のデバイスと、
を備える、方法。
【請求項１９】
前記安全なリソースは、デジタルファイル又はデジタルファイル集を含む、請求項１８に記載の方法。
【請求項２０】
前記安全なリソースは、ハードウェアリソースを含む、請求項１８に記載の方法。
【請求項２１】
前記比較することに基づいて、前記デバイスによる前記安全なリソースの使用の条件を制御する、前記少なくとも１つの自律的なプロセッサをさらに備える、請求項１８に記載の方法。
【請求項２２】
前記デジタルファイル又は前記デジタルファイル集と、前記セキュリティ要件情報と、許可キー値ペアのセットとを含む圧縮されたアーカイブを作成し、前記デバイス情報が前記セキュリティ要件情報を満たすことを検証する前記少なくとも１つの自律的なプロセッサをさらに備える、請求項１９に記載の方法。
【請求項２３】
暗号化されたデジタル署名を前記デジタルファイル及び前記デジタルファイル集におけるデジタルファイルのそれぞれに適用し、真正の認証とオーサーシップの認証を提供する、前記少なくとも１つの自律的なプロセッサをさらに備え、前記デジタル署名は、ファイル作成の際に適用されて、前記デジタルファイル又は前記デジタルファイル集が変化する度に、第２の暗号化されたデジタル署名として更新又は適用される、請求項２２に記載の方法。
【請求項２４】
前記セキュリティ要件情報に基づいて、前記デジタルファイル又は前記デジタルファイル集の、印刷、コピー、表示、編集、及び／又は、送信を制御するために、属性と設定と許可を実施する前記少なくとも１つの自律的なプロセッサをさらに備える、請求項１９に記載の方法。
【請求項２５】
自律的なシステムプライベートキーによりメッセージにサインし、前記自律的なシステムでサインされたメッセージをソースに送る自律的なシステムをさらに備え、前記ソースは、前記制御システムへのオーソライズされていないアクセスがあったか否か、又は、前記制御システムでの改竄があったか否かを決定する、請求項１８に記載の方法。
【請求項２６】
ソースプライベートキーによりメッセージにサインし、前記ソースでサインされたメッセージを前記自律的なシステムに送るソースをさらに備え、前記自律的なシステムは、前記ソースへのオーソライズされていないアクセスがあったか否か、又は、前記ソースでの改竄があったか否かを決定する、請求項２５に記載の方法。
【請求項２７】
電子アクセスを安全にする方法であって、
自律的なシステムの少なくとも１つの自律的なメモリにおいて、保護下のデバイスのセキュリティを記述する少なくとも１つの電子証明を記憶することと、
前記保護下のデバイスに対して前記少なくとも１つの証明を提供する前記自律的なシステムの少なくとも１つの自律的なプロセッサと、
前記少なくとも１つの電子証明と、前記保護下のデバイスに対する使用可能な形態におけるリソースと、セキュリティ要件情報とを、オーソライザシステムに出力する前記自律的なシステムと、
前記少なくとも１つの証明を前記セキュリティ要件情報と比較する、前記オーソライザシステムの少なくとも１つのオーソライザプロセスと、
前記少なくとも１つの電子証明が、前記保護下のデバイスが前記セキュリティ要件情報を満たすことを示すとき、前記リソースを、前記保護下のデバイスに対して使用可能な形態に変形する前記少なくとも１つのオーソライザプロセスと、
前記自律的なシステムに対して使用可能な形態における前記リソースを、前記保護下のデバイスに提供する前記少なくとも１つのオーソライザプロセスと、を備える方法。
【請求項２８】
前記リソースは、デジタルファイル又はデジタルファイル集を含む、請求項２７に記載の方法。
【請求項２９】
前記少なくとも１つの自律的なプロセスは、前記比較することに基づいて、前記保護下のデバイスによる前記リソースの使用の条件を制御する、請求項２７に記載の方法。
【請求項３０】
前記少なくとも１つの自律的なメモリにおいて、前記電子システムに対して使用可能な形態における前記リソースを記憶することをさらに備える、請求項２８に記載の方法。
【請求項３１】
前記オーソライザシステムからの情報に基づいて、前記保護下のデバイスによる前記リソースの使用の条件を制御する前記少なくとも１つの自律的なプロセッサをさらに備える、請求項２７に記載の方法。
【請求項３２】
前記セキュリティ要件情報に基づいて、前記デジタルファイル又は前記デジタルファイル集の、印刷、コピー、表示、編集、及び／又は、送信を制御するために、属性と設定と許可を実施する前記自律的なシステムをさらに備える、請求項２８に記載の方法。
【請求項３３】
自律的なシステムプライベートキーによりメッセージにサインし、前記自律的なシステムでサインされたメッセージをソースに送る自律的なシステムをさらに備え、前記ソースは、前記自律的なシステムへのオーソライズされていないアクセスがあったか否か、又は、前記自律的なシステムでの改竄があったか否かを決定する、請求項２７に記載の方法。
【請求項３４】
ソースプライベートキーによりメッセージにサインし、前記ソースでサインされたメッセージを前記自律的なシステムに送るソースをさらに備え、前記自律は、前記ソースへのオーソライズされていないアクセスがあったか否か、又は、前記ソースでの改竄があったか否かを決定する、請求項３３に記載の方法。
【発明の詳細な説明】
【関連出願への相互参照】
【０００１】
本開示は、２０１４年１１月１１日に出願された「安全な電子システムアクセスのための自律的なシステム」と題された米国仮特許出願番号第６２／０７８，１３７からの優先権を主張しており、その全体が、参照によってここに組み込まれる。本開示はまた、２０１４年１０月２４日に出願された米国特許出願番号第１４／５２３，５７７、及び２０１５年２月２７日に出願された米国特許出願番号第１４／６３４，５６２を、それらの全体において、参照によって、ここに組み込んでいる。
【図面の簡単な説明】
【０００２】
【図１】図１は、本発明の実施形態による、保護システム、自律的な制御システム、及び入力デバイスである。
【図２】図２は、本発明の実施形態による、直列にインタフェースされた自律的な制御システムである。
【図３】図３は、本発明の実施形態による制御方法を図示するフローダイヤグラムである。
【図４】図４は、本発明の実施形態による、直列にインタフェースされた自律的な制御システムである。
【図５】図５は、本発明の実施形態による、直列にインタフェースされた自律的な制御システムの動作を図示する概略的なダイヤグラムである。
【図６】図６は、本発明の実施形態による、直列にインタフェースされた自律的な制御システムである。
【図７】図７は、本発明の実施形態による、並列にインタフェースされた自律的な制御システムである。
【図８】図８は、本発明の実施形態による、並列にインタフェースされた自律的な制御システムである。
【図９】図９は、本発明の実施形態による、並列にインタフェースされた自律的な制御システムの動作を図示する概略的なダイヤグラムである。
【図１０】図１０は、本発明の実施形態による、直列及び並列にインタフェースされた自律的な制御システムである。
【図１１】図１１は、本発明の実施形態による、通信バスを備える自律的な制御システムである。
【図１２】図１２は、本発明の実施形態による、半導体マルチチップモジュールを備える自律的な制御システムである。
【図１３】図１３は、本発明の実施形態による、インタポーザＰＣＢ上に外部的に据え付けられている自律的な制御システムである。
【図１４】図１４は、本発明の実施形態による、自律的な制御システムの改竄（tamper）防止機能を図示するフローダイヤグラムである。
【図１５】図１５は、本発明の実施形態による、安全な共同処理のために、ホストＣＰＵに対するシステムサービスとして自律的な制御システムを使用するプロセスフローを示している。
【図１６】図１６は、本発明の実施形態による、セキュリティモジュールである。
【図１７】図１７は、本発明の実施形態による、セキュリティスコア導出である。
【図１８】図１８は、本発明の実施形態による、アセット分類（breakdown）である。
【図１９】図１９は、本発明の実施形態による、アセット評価である。
【図２０】図２０は、本発明の実施形態による、アセット細分(subdivision)である。
【図２１】図２１は、本発明の実施形態による、アセット細分である。
【図２２】図２２は、本発明の実施形態による、アセット細分である。
【図２３】図２３は、本発明の実施形態による、アセット細分である。
【図２４】図２４は、本発明の実施形態による、ベースセキュリティスコア証明（certificate）である。
【図２５】図２５は、本発明の実施形態による、ベースセキュリティスコア証明である。
【図２６】図２６は、本発明の実施形態による、セキュリティスコア劣化である。
【図２７】図２７は、本発明の実施形態による、セキュリティ要件証明である。
【図２８】図２８は、本発明の実施形態による、例示的なベースセキュリティスコア証明である。
【図２９】図２９は、実施形態による、例示的なセキュリティ要件証明である。
【図３０】図３０は、本発明の実施形態による、正規化セキュリティスコア比較である。
【図３１】図３１は、本発明の実施形態による、正規化セキュリティスコア比較である。
【図３２】図３２は、本発明の実施形態による、セキュリティベリフィケーション（verification）である。
【図３３】図３３は、本発明の実施形態による、セキュリティ比較である。
【図３４】図３４は、本発明の実施形態による、ネットワークアクセスベリフィケーションである。
【図３５】図３５は、本発明の実施形態による、相互セキュリティベリフィケーションである。
【図３６】図３６は、本発明の実施形態による、再評価を有するネットワークアクセスベリフィケーションである。
【図３７】図３７は、本発明の実施形態による、フォールバックネットワークアクセスを有するネットワークアクセスベリフィケーションである。
【図３８】図３８は、本発明の実施形態による、クライアント側のネットワークアクセスベリフィケーションである。
【図３９】図３９は、本発明の実施形態による、周辺ベリフィケーションである。
【いくつかの実施形態の詳細な説明】
【０００３】
電子的システム、機械的システム、化学的システム、及び生物学的システムは、破局故障へとつながることがある状態又は状態のシーケンスを有しているかもしれない。そのような致命的な状態は、内部の自然な力、外部の偶発的な力、又は外部の意図的に敵意のある力から生じることがある。産業システムにおいて、遠隔制御及び監視下で作動するデバイス又はシステムは、誤動作、ユーザエラー、又は、悪意のある動作もしくは敵意のある動作の結果として、制御システムによって許容されることがある既知の有害な状態を有しているかもしれない。作動するデバイスは、そのようなコマンド又は限度外の信号を受け入れて実行するかもしれず、関連するシステム全体が、そのような誘導される状態から、害され、劣化させられ、又は破壊させられる。例えば、誘導される有害なシステム状態は、高速過ぎる又は低速過ぎるプロセススピードや、開き過ぎている又は閉まり過ぎているバルブや、あるいは、高過ぎる又は低過ぎる圧力又は温度である。多くのデバイスは、これらの限度外の動作を物理的又は電子的に阻止するための、それら自身の内部安全装置を欠いているかもしれない。
【０００４】
ここで説明するシステム及び方法は、システムに重要なコンポーネントを保護するために、ビジネスルール及び／又はセキュリティルールにしたがって入力信号及び／又は出力信号を監視して修正又はブロックすることができる自律的な制御を提供する。望ましくないシステム影響を最小化するため、又は阻止するために、信号の修正及び／又はブロックにより、確実に、デバイス間及びデバイス内あるいはシステム間及びシステム内での限度外の接続状態が生じないようにするか、あるいは、取るに足らない時間量の間のみ生じるようにするかのいずれかにするかもしれない。（接続状態は、物理レイヤレベルでの特定の瞬間における、２つ以上のデバイス又はシステムの間の任意の監視される信号レベル又はコマンドであるかもしれない。物理レイヤは、例えば、デバイス又はシステムの、生信号が転送される最も低いハードウェイアレイヤである。）ルールに違反する信号が検出されたときに、自律的な制御システム（例えば、回路）は、信号を内部でスイッチオフすることによって、違反する信号をブロックすることができる。代わりに、回路は信号を送らなくてもよく、又は、自律的な制御システムによる保護下の任意のデバイス（ＤＵＰ）又はシステムである保護システムに、フェールセーフ信号を送ってもよい。回路は、例えば、システムアップグレードに設計することによって、又は、システムに後付けすることによって、レガシーシステムとともに使用するために構成することができる。
【０００５】
いくつかの実施形態において、自律的な制御は、量子セキュリティモデル（ＱＳＭ）に基づいてもよい。ＱＳＭは、セキュリティ測定と比較方法論である。ＱＳＭは、首尾一貫した方法で、システムを分類して主コンポーネントを評価することの正規化方法論を提供してもよく、これは、より正確に理解されて測定されるための相互依存を可能にしてもよい。ＱＳＭは、定量化できるスコアに対する主コンポーネントの、結果として生じる評価を正規化するための方法を提供してもよい。ＱＳＭは、リソース所有者が、彼らが識別して受け入れるオーソリティを評価する（サインする）ものを特定できるようにしてもよい。ＱＳＭ方法は、システム又はデバイスの、現在及び見込みの将来のセキュリティ状態の両方を評価するのに使用されてもよい。ＱＳＭは、個々のリソース所有者が、アクセスを許可する前に、アセットのセキュリティスコアを特定してベリファイ（verify）できるようにしてもよい。ＱＳＭは、リソース又はサービスを共有する前に、互いに相互にオーセンティケートする計算能力を有するアセットを可能にしてもよい。
【０００６】
ＱＳＭにおいて、一般的な測定は、デバイス、システム、又はエンティティ（「アセット」）上で行われる評価プロセスを通して到達されるかもしれず、ここにおいて、承諾済みの、再生可能な、独立してベリファイ可能なセキュリティレベル決定が望まれる。（「ｑＳ」）と記号で表されて、（「ｑＳｅｃ」）と発音される量子セキュリティ単位は、ＱＳＭに基づいたシステムのセキュリティに対する測定の標準単位であってもよい。ｑＳｅｃは、観測者によって測定が行われる瞬間に、これがせいぜい推定され、最もよく知られているだけであるような、量子物理学における粒子の位置に類似した時間的な値であってもよい。測定後、経時的に劣化する正確さにより、粒子の位置は、見込みに基づいて決定されるだけであるかもしれない。ｑＳｅｃは、量子測定であり、この特徴を共有してもよい。システムは、セキュリティの見地から、波状システムとして見られてもよく、量子力学の法則が適用され得ることが仮定されてもよい。システムのセキュリティは、そのシステムの特性である。システムの通常の機能及び動作に沿った時間の経過と、その環境は、システムのセキュリティにすべて影響を与え得る。結果として、システムのセキュリティは、動的であってもよく、セキュリティの既知の状態は、生来、一過性であってもよい。したがって、システムは波状システムとして、及び、システムセキュリティは量子特性として表されてもよい。粒子の位置と同様に、システムのセキュリティは、測定に対して量子力学法則を使用して、定量化して規定されてもよい。測定結果は、量子セキュリティ単位で表されたセキュリティ測定を提供してもよく、ここにおいて、ゼロの値は、システムにおける任意のセキュリティの完全な欠如を表し、増大する値は、より高いセキュリティを示す。
【０００７】
１つのｑＳｅｃが表す値は、システムセキュリティ測定プロセスの間に評価されることになる基準から導出されてもよい。各基準は、セキュリティに対するそれらのインパクトに関連した共通の値範囲を有してもよい。また、各基準は、その範囲内で結果を生成する、関係付けられた評価プロセスを有し得る。基準重み付け方法が、各基準に適用されてもよく、共通の値範囲は、ｑＳｅｃにおいて表示される、量子セキュリティ測定が表すものに対するセキュリティ値スケールとなってもよい。例えば、ｑＳｅｃ値は、行列力学における固有値を表し得る。異なる時間の期間における異なる測定者が、彼らの見地に依存して、違ったふうに、この値を理論的に解釈してもよく、彼ら自身の見込みのフィルタをｑＳｅｃ値に適用するか、又は、システムのｑＳｅｃ値を決定するために、彼ら自身の測定プロセスを行うことを望んでもよい。したがって、システムセキュリティを類別するとき、有意義な方法でｑＳｅｃ測定を利用するために、値が予め決定されてもよい。予め決定することは、自動的に行われてもよく、ユーザによって設定されてもよく、及び／又は、システム初期化において又はシステム初期化以前に設定されてもよい。
【０００８】
ここで説明するシステム及び方法は、プロセッサと呼ばれることもある１つ以上のコンピュータを備えている。コンピュータは、算術演算及び／又は論理演算を実行可能な、任意のプログラム可能な１つ以上の機械であるかもしれない。いくつかの実施形態において、コンピュータは、プロセッサ、メモリ、データ記憶デバイス、ならびに／あるいは、他の一般的に知られているコンポーネント又は新しいコンポーネントを備えている。これらのコンポーネントは、物理的に接続されていてもよく、あるいは、ネットワーク又はワイヤレスリンクを通して接続されていてもよい。コンピュータは、上述したコンポーネントの動作を指示することができるソフトウェアも備えているかもしれない。コンピュータは、サーバ、ＰＣ、移動体デバイス、ルータ、スイッチ、データセンタ、分散コンピュータ、及び他の用語のような、当業者によって一般的に使用される用語で呼んでもよい。コンピュータは、ユーザ及び／又は他のコンピュータの間の通信を容易にし、データベースを提供し、データの解析及び／又は変換を実行し、ならびに／あるいは、他の機能を実行する。ここで使用するこれらの用語が交換可能であり、説明する機能を実行することができる任意のコンピュータを使用してもよいことが、当業者によって理解されるだろう。コンピュータは、１つ以上のネットワークを介して互いにリンクされていてもよい。ネットワークは、完全に又は部分的に相互接続されている任意の複数のコンピュータであるかもしれず、コンピュータのいくつか又はすべてが互いに通信することができる。コンピュータ間の接続が、いくつかのケースにおいては（例えば、イーサネット（登録商標）、同軸、光学、又は他のワイヤードの接続を介した）ワイヤードであってもよく、あるいは、（例えば、Ｗｉ−Ｆｉ（登録商標）、ＷｉＭａｘ（登録商標）、４Ｇ、又は他のワイヤレスの接続を介した）ワイヤレスであってもよいことが、当業者によって理解されるだろう。コンピュータ間の接続は、ＴＣＰのような接続指向のプロトコル、又は、ＵＤＰのような無接続のプロトコルを含む、任意のプロトコルを使用してもよい。それを通して少なくとも２つのコンピュータがデータを交換することができる任意の接続を、ネットワークの基礎とすることができる。
【０００９】
いくつかの実施形態において、記述されたシステム及び方法において使用されるコンピュータは、特に、自律的なセキュリティに対して構成された特殊目的コンピュータであってもよい。例えば、サーバは、特殊化されたプロセッサ、メモリ、通信コンポーネント等に装備されてもよく、これらは一緒に働いて、以下でさらに詳細に記述される電子システムを自律的に安全にすることに関連する機能を実行するように構成される。
【自律的な制御システム及び方法】
【００１０】
図１は、保護システム２１００を図示している。保護システム２１００は、入力デバイス２１０２と通信することができる。入力デバイス２１０２は、保護システム２１００に信号を送り、及び／又は、保護システム２１００から信号を受け取る。入力デバイスは、例えば、アナログ又はデジタルの信号ポート、制御ノブ、タッチディスプレイ、キーボード、マウス、及び／又は、他の何らかの周辺デバイスである。入力デバイス２１０２はまた、保護システム２１００又はネットワーク上のデバイスに対するホストデバイスであってもよい。専用の監視及びアクションデバイス（ＤＭＡＤ）と呼ぶことがある自律的な制御システム２１０４は、入力デバイス２１０２と保護システム２１００との間に直列に、及び／又は、入力デバイス２１０２及び保護システム２１００と並列に位置付けられている。下記でより詳細に説明するように、自律的な制御システム２１０４のさまざまな実施形態は、ソフトウェアを実行するように構成されている電子回路、プロセッサ及びメモリ、あるいは、それらを組み合わせたものを備えている。自律的な制御システム２１０４は、（例えば、暗号化能力及び改竄防止能力を含み）内部で安全であるかもしれない。自律的な制御システム２１０４はまた、入力デバイス／ホスト１０２と保護システム２１００との間のデータ接続と、データフローの両方の方向において直列に又は並列に現されてもよく、自律的な制御システム２１０４は、保護システム２１００に到来する入力信号と、保護システム２１００から到来する出力信号とを監視することができる。
【００１１】
いくつかの実施形態において、自律的な制御システム２１０４は、ルールを実施するための決定論的なレースコンディションを作成する。決定論的なレースコンディションは、注入される信号と到来する信号との間の意図的に誘導されるレースコンディションであってもよく、注入される信号のみが出力に影響を及ぼすだろう高いレベルの確実性が存在する。保護システム２１００への又は保護システム２１００からのデータバス上にルールに違反する信号が現れるときに、自律的な制御システム２１０４が、違反を検出するようにレースし、直列にインタフェースされている場合には内部で信号をスイッチオフしてフェールセーフ信号に置換し、あるいは、並列にインタフェースされている場合には信号を修正しようと試行するかもしれない。到来信号及び／又は送出信号をバッファリングして、より多くの検出時間を提供し、検証(validate)された信号のみが自律的な制御システム２１０４によって保護システム２１００に送信され逆もまた同様であることを保証してもよい。
【００１２】
いくつかの実施形態において、自律的な制御システム２１０４は、シリコンダイオンダイ、集積回路パッケージオンパッケージ、モジュール化システムモジュールオンモジュール、光ファイバ、無線周波数、ワイヤ、プリント回路基板のトレース、量子エンタングルメント、又は、分子、熱、原子、もしくは化学的な接続のようなさまざまな方法で、保護システム２１００中に物理的に現されていてもよい、あるいは、保護システム２１００又は制御デバイスに物理的に接続されていてもよい。
【００１３】
いくつかの実施形態において、自律的な制御システム２１０４は、１つ以上のデバイス又はシステム（例えば、入力デバイス２１０２と保護システム２１００）の間で直列に、並列に、又は直列と並列との両方で接続する物理インタフェースを備えている。各物理接続のタイプは、有機、電子、又は無線周波数のような、所定のアプリケーション及びシステムタイプに対する異なるセットの設計の考慮事項及びトレードオフを有しているかもしれない。例えば、電子システムでは、接続方法を決定するために、電圧インタフェースレベル、信号完全性、駆動力、改竄防止、及び／又は、誘導される伝播遅延が評価される。
【００１４】
いくつかの実施形態において、自律的な制御システム２１０４は、特有のセキュリティルール及びビジネスルールをホストシステム又はデバイス上で自律的に実施するように設計されている、プログラムされている、及び位置付けられている、暗号化されたメモリ記憶機能と改竄防止機能とを有するコンピュータシステムである。自律的な制御システム２１０４は、処理論理、メモリ記憶装置、入力／出力バッファ、通信ポート、及び／又は再プログラミングポートのようなコンポーネントを備えているかもしれない。自律的な制御システム２１０４は、任意の数のデバイス又はシステムの間の接続状態をリアルタイムで絶えず解析することができ、予め定義されたビジネスルール及びセキュリティルールを実施することができる。限度外の状態が検出されたときに、自律的な制御システム２１０４は、禁止された接続状態をブロックする、無効にする、又は既知の良好な状態に変更することができる。類似する方法を、例えば、電気、光学、電子機械、電磁気、熱、生物、化学、分子、重力、原子、又は量子機械のシステムに適用することができる。
【００１５】
いくつかの実施形態において、自律的な制御システム２１０４は、刺激に決定論的に応答して自律的に挙動するようにプログラムできるプログラム可能デバイスを備えている。例えば、自律的な制御システム２１０４は、フィールドプログラム可能ゲートアレイ（ＦＰＧＡ）、マイクロ制御装置（ＭＣＵ）、マイクロプロセッサ（ＭＰＵ）、ソフトウェア定義無線、電気光学デバイス、量子計算デバイス、有機化合物、プログラム可能な素材、又はプログラム可能生物学的ウイルスを備えている。自律的な制御システム２１０４は、保護システム２１００に直接接続されていてもよく、又は、保護システム２１００上で動作する１つ以上の制御デバイスに接続されていてもよい。自律的な制御システム２１０４は、例えば、シリコンダイオンダイ、集積回路パッケージオンパッケージ、モジュール化システムモジュールオンモジュール、光ファイバ、無線周波数、ワイヤ、プリント回路基板のトレース、量子エンタングルメント、又は、分子、熱、原子、もしくは化学的な手段によって、物理的に接続されている。
【００１６】
いくつかの実施形態において、自律的な制御システム２１０４は、保護システム２１００メモリから離れて（暗号証明又はシステムログのような）データを安全に記憶させ、保護システム２１００が提供するよりも強力なオーセンティケーション（authentication）方法及びアクセス制御によってのみデータがアクセス又は修正できるようにする。例えば、セキュリティスコアリング方法論を実現するために、自律的な制御システム２１０４をコンピュータシステムによって使用する（例えば、自律的な制御システム２１０４を、セキュリティ証明及び要件情報の記憶のために使用する）。さらに、セキュリティスコアリング方法は、セキュリティスコア情報に基づく、外側のリソースの検証／ベリフィケーション、オーセンティケーション、及びオーソライゼーション(authorization)のために、自律的な制御システム２１０４を活用することができる。例えば、記憶されるデータを、他のシステムと組み合わせてセキュリティ完全性のベリフィケーションのために使用してもよい。
【００１７】
いくつかの実施形態では、内部システムのコンポーネントの、データの、及び／又は、外部インタフェースされたデバイスの、完全性及び真正性を確実にするために、自律的な制御システム２１０４を使用して電子暗号パブリックキーインフラストラクチャ（ＰＫＩ）を電子システムの内側で実現する。加えて、これらの証明を、安全な通信のために活用して、メッセージの機密性、完全性、及び／又は真正性を確実にするようにしてもよい。例えば、電子暗号ＰＫＩを実現及び実施する自律的な制御システム２１０４は、システムの初期製造の間にプログラムできる、パブリックキー又はグローバル一意識別子（ＧＵＩＤ）を収容するリードオンリーメモリ（ＲＯＭ）パーティションを含んでいる。その場合、自律的な制御システム２１０４の最初の起動の際に、例えば、ＲＳＡ及びＸ．５０９の証明のような業界標準の暗号方法を使用して、自律的な制御システム２１０４によってプライベートキーが内部で発生されるかもしれない。その後、このプライベートキーを使用して証明要求を発生させることができ、証明要求は、製造者の証明機関（ＣＡ）又は承認された第３者ＣＡによってサインされるかもしれない。サインされた証明は、その後、自律的な制御システム２１０４のＲＯＭ上に安全に記憶させてもよい。この証明は、その後、データのデジタルサイン及び暗号化／解読を可能にするために使用することができる。電子暗号ＰＫＩを実現する自律的な制御システム２１０４は、そのような能力を追加するために、電子暗号ＰＫＩを実現しない保護システム２１００に後付けしてもよい。このことは、追加されたセキュリティに関して、保護システム２１００がアクセス不可能なロケーション中にプライベートキーを記憶させておく利点を有している。
【００１８】
いくつかの実施形態では、内部保護システム２１００のコンポーネントが真正であることを検証するために、自律的な制御システム２１０４を電子暗号ＰＫＩとともに使用してもよく、他（内部保護システム２１００及び／又は外部入力デバイス２１０２）のコンポーネントがまた、公開鍵を交換、記憶、及びオーセンティケートできるように、ＰＫＩを実現することができる。ＰＫＩを実現する保護システム２１００又は入力デバイス２１０２のコンポーネントが改竄され偽造バージョンに代替されていた場合は、偽造デバイスの署名が存在していないか、又は、オリジナルのものとは異なっているかのいずれかであるので、自律的な制御システム２１０４が偽造を検出することができるかもしれない。
【００１９】
いくつかの実施形態において、保護システム２１００内及び他（例えば、外部入力デバイス２１０２）のシステムコンポーネント内でのデータの完全性を確実にするために、自律的な制御システム２１０４は（ＰＫＩのような）暗号方法を利用する。自律的な制御システムはまた、データが何らかの方法で変えられていないことを確認する暗号方法を実現してもよい。加えて、データの発信者が判明するときに、又は検証されるときに、データの真正性は保証されるかもしれない。例えば、自律的な制御システム２１０４は、周辺装置のパブリックキーを使用して、周辺装置に向けられているメッセージを暗号化し、周辺装置から受け取られるメッセージを検証する。
【００２０】
いくつかの実施形態では、自律的な制御システム２１０４は、電子暗号ＰＫＩを実現し、また、仮想システム（又は、そのコンポーネント）の暗号でサインされたハッシュを発生させてそれらのハッシュを記憶させることによって、（一般的に、“仮想システム”と呼ばれる）仮想機械及び／又はハイパーバイザの完全性及び真正性を確実にすることができる。その場合、自律的な制御システム２１０４は、ハッシュを再計算し、それと記憶されている値とを比較することによって、仮想システムの真正性及び完全性を検証することができる。さらに、自律的な制御システム２１０４は、全時間で、予め定められた又はランダム化された時間期間において、ならびに／あるいは、予め定められた又はランダム化された持続時間の間、受け取られる任意のコマンドが保護システム２１００に到達しないように、保護システム２１００をエミュレートするかもしれず、これにより、保護システム２１００上での影響が阻止される。この動作モードは、テストのために使用されるかもしれず、又は、悪意のある意図が実際には保護システム２１００において決して作動されなかったときに、攻撃が成功したという印象を攻撃者に与えるために、使用されるかもしれない。自律的な制御システム２１０４は、禁止された接続状態、コマンド、及び／又はコマンドのシーケンスが検出されたときに脅威を無効にできる攻撃的手段を備えていてもよい。例えば、オーソライズされていない（unauthorized）接続がＵＳＢポート上で検出された場合に、自律的な制御システム２１０４は、ＵＳＢ周辺入力デバイス２１０２に信号を注入して、それを損傷させる又は無効にすることができる。
【００２１】
いくつかの実施形態において、自律的な制御システム２１０４は、システムの性能及び機能上へのごくわずかな影響しかないような方法で、制御デバイス中の第２の集積回路チップの物理インタフェースに直列に接続されているかもしれない、集積回路チップ上の電子回路設計である。同時に、第１の集積回路チップは、第２の集積回路チップに対するある接続状態を禁止することができるかもしれない。接続状態は、すべてのデジタルＩ／Ｏ接続上での電圧レベルのような、所定の瞬間における２つのデバイス間のすべての接続ポイント上での信号レベルであるかもしれない。代替的に、１つ以上の電子デバイス又はシステムの間の信号レベル又は信号状態のいくつか又はすべての外部一定監視を備え、望ましくないシステム影響が生じないように、確実に、デバイス間又はシステム間での限度外の信号状態が生じないようにするか、あるいは、取るに足らない時間量の間のみ生じるようにするかのいずれかにするように動作する電子デバイスを、信号インタフェースにおいて挿入してもよい、又は、信号インタフェース上に追加してもよい。この方法を実現する電子デバイスは、１つ以上のデバイス又はシステムの間で直列に、並列に、又は直列と並列の両方で接続してもよく、コンピュータにより実現されるセキュリティスコアリング方法により、独立的にあるいは外部監視及び制御とともに機能することができる。
【００２２】
いくつかの実施形態において、自律的な制御システム２１０４は、ハードウェアベースの直列の“中間者”（ＭＩＴＭ）として動作する。保護システム２１００と入力デバイス２１０２（例えば、周辺装置）との間の通信は通常、予めプログラムされている禁止された信号パターン、パケット、又はアクセス試行を、自律的な制御システム２１０４の監視論理が信号ライン上で検出するまで継続する。禁止された信号が検出されたときに、自律的な制御システム２１０４は、代替の信号バス（又は、中断バス）を選択することによって、主信号バスを完全にディセーブルするかもしれない。代替の信号バスは、記録、中断、又は、周辺装置からの総切断のために使用してもよい。例えば、保護システム２１００にそれが攻撃下にあることを通知するために、保護システム２１００との通信を維持しつつ代替の信号バスを選択してもよい。例えば、保護システム２１００にプログラムされている特定用途向けの監視及びアクション論理によってそのチャネル選択ラインが制御される、内部のパラメータ化されたマルチプレクサインスタンシエーションを使用することによって、自律的な制御システム２１０４はこの通信を維持するかもしれない。
【００２３】
図２は、（示していない）入力デバイス２１０２と（示していない）保護システム２１００との直列の配置における、プロセッサ２２００とメモリ２２０２とを備える自律的な制御システム２１０４の実施形態を図示している。プロセッサ２２００は、ノード２２０４上で入力信号を受け取る。ノード２２０４は、入力デバイス２１０２に接続されているかもしれない。プロセッサは、ノード２２０６上で出力信号を発生させる。ノード２２０６は、保護システム２１００にルーティングされているかもしれない。メモリ２２０２は、禁止された入力信号状態を記憶することができる。プロセッサ２２００は、入力信号と禁止された入力信号状態とを比較し、一致信号又は不一致信号を生成させることができる。不一致信号に応答して、入力信号が保護システム２１００に供給されるかもしれない。一致信号に応答して、置換入力信号が保護システム２１００に供給されるかもしれない。置換入力信号は、保護システム２１００に損傷を生じさせない信号である。例えば、保護システム２１００のモーターにその最高スピードで動作するように指示する保護システム２１００への入力は、特定のプロセス動作に対して有害であるかもしれず、許容されるべきではない。そのようなコマンドが入力デバイス２１０２から入力される場合に、自律的な制御システム２１０４は、信号をインターセプトし、オーソライズされていない状態を阻止するための即時のアクションをとることができる。この例では、自律的な制御システム２１０４は、スピード選択の制御を完全にとり、以前のオーソライズされているスピード選択を維持する適切な信号を保護システム２１００に送る。加えて、自律的な制御システム２１０４は、ログエントリを作成してもよく、又は、オーソライズされていない接続状態が試行されたというアラートを送ってもよい。自律的な制御システム２１０４の応答は、アプリケーション依存であってもよく、予めプログラムされていてもよい。自律的な制御システム２１０４はまた、現在のスピードを保持する代わりに、例えば、物理プロセスを停止させるようにプログラムされていてもよい。
【００２４】
図３は、本発明の実施形態にしたがった制御方法を図示するフローダイヤグラムである。このダイヤグラムは、上記で説明した直列の自律的な制御システム２１０４の実施形態に対する例示的なプロセスフローを提示している。例示的なプロセスフローは、図２のプロセッサ２２００とメモリ２２０２とを備えている、又は備えていない、以下で説明する追加的な直列及び／又は並列の自律的な制御システム２１０４の実施形態にも適用することができる。自律的な制御システム２１０４が、保護システム２１００と入力デバイス２１０２との間の接続状態を監視する３４０５。状態がチェックされて、限度外であるか否かが決定される３４１０（例えば、上記の図２の例から、最大スピードコマンド）。状態が許容される場合は、監視が通常通り継続する３４０５。状態が限度外である場合は、自律的な制御システム２１０４は、（例えば、コマンドされたスピードよりも低いスピードにスピードを設定することによって、又は、保護システム２１００にそれの現在のスピードを維持するように命令することによって）状態に対してアクションをとる３４１５。自律的な制御システム２１０４は、それの介入が保護システム２１００を許容可能な状態に設定又は回復させたか否かを決定する３４２０。例えば、自律的な制御システム２１０４は、より低いスピードにモーターが損傷なく実際に復帰されたか否かを決定する。保護システム２１００がＯＫである場合は、監視が通常通り継続する３４０５。しかしながら、いくつかのケースでは、保護システム２１００を許容可能な状態に復帰させることは不可能であるかもしれない。例えば、保護システム２１００がロックされており、かつ、（例えば、以下の図７に関して説明するような並列配置において）自律的な制御システム２１０４が介入できるより前に、ロック解除するコマンドをそれが受け取る場合には、ロックによって制御されるドアは既に開かれているかもしれない。ロックを再度ロックすることは、この状況を修復しないだろう。このケースでは、さらなる外部入力から保護システム２１００を分離し、アラートを発生させる３４２５。
【００２５】
図４は、本発明の実施形態にしたがった、保護システム２１００と入力デバイス２１０２との間に直列インタフェースにより接続されている自律的な制御システム２１０４のブロックダイヤグラムである。この実施形態は、上記で説明した図２の実施形態と同様に機能することができるが、自律的な制御システム２１０４内のプロセッサ２２００とメモリ２２０２に加えて他のエレメントを有していてもよく、及び／又は、プロセッサ２２００とメモリ２２０２の代わりに他のエレメントを有していてもよい。この例において、自律的な制御システム２１０４は、監視論理２１４０を提供する、プログラム可能論理デバイス（ＰＬＤ）又は他のデバイス（例えば、回路、プロセッサ等）を備えている。監視論理２１４０は通常、保護システム２１００と周辺装置２１０２との間のすべての信号を、双方向マルチプレクサ（ＭＵＸ）２１６０を通過させる。同一の信号が、制御論理２１５０を提供する監視及びアクション回路にも供給されるかもしれない。制御論理２１５０を提供する監視及びアクション回路は、監視論理２１４０を提供するＰＬＤ、回路、又はプロセッサの一部であってもよい、あるいは、監視論理２１４０から離れていてもよい（例えば、離れたＰＬＤ、回路、プロセッサ等）。この図面中で図示する実施形態は、自律的な制御システム２１０４の、ハードウェアベースの直列の“中間者”（ＭＩＴＭ）インプリメンテーションである。この実施形態では、保護システム２１００と周辺装置２１０２との間の通信は通常、予めプログラムされている禁止された信号パターン、パケット、又はアクセス試行を、監視論理２１４０が信号ライン上で検出するまで継続する。禁止された信号が検出されたときに、自律的な制御システム２１０４中の制御論理２１５０が、記録、中断、又は、周辺装置２１０２からの総切断のために、代替の内部Ｉ／Ｏバス（又は、中断バス）を選択することによって、主周辺装置Ｉ／Ｏバスを完全にディセーブルすることができる。この方法は、保護システム２１００にそれが攻撃下にあることを通知するために、保護システム２１００との通信を維持しつつ自律的な制御システム２１０４中で実現してもよい。保護システム２１００にプログラムされている特定用途向け監視及びアクション論理によってそのチャネル選択ラインが制御される、内部のパラメータ化されたマルチプレクサインスタンシエーションを使用することによって、自律的な制御システム２１０４はこの通信を維持するかもしれない。
【００２６】
保護システム２１００ＣＰＵと、保護システム２１００の内部又は外部にあることがある接続されている周辺装置２１０２との間の物理レイヤにおいて、図４の自律的な制御システム２１０４は直列に接続されているかもしれない。通信バスは、所定のアプリケーションに対するルールに違反する信号を検出するようにプログラムされている、監視論理２１４０とＭＵＸ２１６０とを備える自律的な制御システム２１０４を通過するかもしれない。そのような信号が検出されたときに、自律的な制御システム２１０４は、それらが保護システム２１００に到達することを妨げるかもしれない、又は、それらが保護システム２１００においてプロセスに対して望ましくない長さの時間の間アサートすることを、少なくとも阻止するかもしれない。図４の例において、バスＡが通常、保護システム２１００ＣＰＵと周辺装置２１０２との間の自律的な制御システム２１０４を通過し、保護システム２１００ＣＰＵに信号を伝える、及び、保護システム２１００ＣＰＵから信号を伝える。そのようにする際に、バスＡは、自律的な制御システム２１０４の出力マルチプレクサを通過するかもしれない。保護システム２１００にバスＡが到達するか又はバスＢが到達するかは、マルチプレクサの“Ｓ０”制御ポートによって決定することができる。Ｓ０ポートが論理０であるときは、バスＡが通過するかもしれない。Ｓ０ポートが論理１であるときは、バスＢが通過するかもしれない。バスＢの各ラインの値は、ルールを実施するように構成されている、自律的な制御システム２１０４の状態機械制御論理２１５０によって制御される。この例において、バスＡのラインのすべてがハイであるときに、Ｓ０は論理１にアサートすることができる。応答として、４入力ＡＮＤゲートが、バスＢにスイッチするようにＳ０をトグルするかもしれない。ＡＮＤゲートはハードウェアゲートであってもよく、ハードウェアＡＮＤゲートを通した伝播時間はナノ秒のオーダーであるかもしれない。それゆえ、ほぼ瞬間的なスイッチを実行することができる。Ｓ０はまた、Ｓ０に供給される２入力ＯＲゲートを介して、自律的な制御システム２１０４の状態機械論理２１５０によって直接制御することができる。さまざまなインタフェース上でさまざまなルールを実施するために、自律的な制御システム２１０４の複数のインスタンスを、保護システム２１００及び入力デバイス２１０２のさまざまな入力及び／又は出力の間に置くことができる。
【００２７】
図４では、データを記憶及び暗号化することができる安全なメモリも示されている。メモリは、ホストＣＰＵに対する自律的な制御システム２１０４のシステムサービスとして用いてもよく、ならびに／あるいは、安全なアプリケーション又は外部周辺装置から読み出されるかもしれないルール違反イベントのログのような、ホストＣＰＵから分離されたデータを収容していてもよい。
【００２８】
監視されるラインに対して自律的な制御システム２１０４を通して誘導される信号伝播遅延が、システムタイミング要件に対してごくわずかであるという機能を有するプログラム可能論理デバイスを使用して、図４の例において図示される自律的な制御システム２１０４は直列インタフェースにおいて配置されているかもしれない。自律的な制御システム２１０４中のＰＬＤは、小量の伝播遅延、例えば２０ナノ秒のオーダーでの遅延を追加する通常の“通過”モードを含んでいるかもしれない。追加される遅延は、多くのシステムに対して取るに足らないものであり、したがって、通常のシステム動作に影響を及ぼさない。
【００２９】
図４の例において図示される自律的な制御システム２１０４の直列インタフェースは、改竄防止手段として、保護システム２１００を電気的に分離するように保護システム２１００を周辺装置２１０２から部分的に又は完全に切断することができる。その後、自律的な制御システム２１０４は、攻撃する又は誤動作する周辺装置２１０２に対して、何らかの攻撃的、防御的、又は診断／修復の信号を出力するかもしれない、あるいは、状態を単に保持するかもしれない。
【００３０】
図５は、本発明の実施形態にしたがって、直列インタフェースを有する電子的な自律的な制御システム２１０４が、オーソライズされていない接続状態を阻止する動作を図示する、概略的なダイヤグラムである。自律的な制御システム２１０４は、スピード選択入力デバイス（周辺装置２１０２）と、物理プロセスに適用されるバイナリエンコードされたスピードを受け入れる作動デバイス（保護システム２１００）との間に位置付けられている。自律的な制御システム２１０４は、入力を監視してそれらをマルチプレクサ（ＭＵＸ）又はスイッチ２１６０にパスする監視論理２１４０を備えている。入力が許容される場合は、それらはＭＵＸ２１６０から保護システム２１００に進行するかもしれない。入力が許容されない場合は、代わりに、状態機械の監視及び制御アクション論理２１５０が介入し、状態機械の監視及び制御アクション論理２１５０によって発生された出力を、ＭＵＸ２１６０に保護システム２１００へとパスさせるかもしれない。この例において、バイナリ“１１１１”によって表される最高のスピードは、特定のプロセス動作に対して有害であり、許容されるべきではない。図５において図示されるデバイスは、広範な異なる機能をエンコードする非常に多数の接続状態上で監視及び動作するようにスケーリングすることができる。この例における自律的な制御システム２１０４はまた、例えば、最低許容スピードから最高許容スピードに即時にジャンプするような、オーソライズされていないスピード選択のシーケンスを阻止するようにプログラムしてもよい。自律的な制御システム２１０４論理は、アプリケーション特有のものであってもよく、ゆえに、この例では“１１１１”が禁じられている入力である一方で、他の実施形態では他の入力が禁じられていてもよい。自律的な制御システム２１０４への入力は、この例の４ビットの実施形態に限定されるものではない。
【００３１】
図５．１において、スピード選択バスは、自律的な制御システム２１０４を通して信号を直列にパスし、自律的な制御システム２１０４の“バススイッチ”を介して作動デバイス上にパスする。自律的な制御システム２１０４は、プログラム可能なオーソライズされていないスピード（接続状態）に関してスピード選択バスを監視し、予めプログラムされているアクションをとることができ、この例では、バススイッチを制御する。図５．１では、選択されたスピードはオーソライズされているスピードであり、したがって、自律的な制御システム２１０４により、選択が作動デバイスへと通過することができる。
【００３２】
図５．２は、入力デバイス２１０２を通して自律的な制御システム２１０４に、偶然にか又は悪意をもってかのいずれかで送信される、スピードに対するオーソライズされていない信号“１１１１”を図示している。自律的な制御システム２１０４は、信号をインターセプトし、オーソライズされていない状態を阻止するための即時のアクションをとることができる。この例では、自律的な制御システム２１０４がスピード選択の制御を完全にとり以前のオーソライズされているスピード選択を維持する適切な信号を保護システム２１００に送るようにバススイッチをトグルするための、予めプログラムされているアクション論理を、自律的な制御システム２１０４は備えているかもしれない。加えて、自律的な制御システム２１０４は、ログエントリを作成してもよく、又は、オーソライズされていない接続状態が試行されたというアラートを送ってもよい。自律的な制御システム２１０４の応答は、アプリケーション依存のものであってもよく、予めプログラムされていてもよい。自律的な制御システム２１０４はまた、現在のスピードを保持する代わりに、例えば、物理プロセスを停止させるようにプログラムされていてもよい。
【００３３】
図５．３は、オーソライズされているスピードを選択するようにユーザ又は制御システムによって入力デバイス２１０２が再調整されるときに、バススイッチをデフォルトの安定状態の位置に戻すようにトグルすることによって、自律的な制御システム２１０４論理が入力デバイス２１０２に制御を戻すようにスイッチすることができることを図示している。
【００３４】
図６は、図５の実施形態に類似するが、ハードウェア論理の代わりにプロセッサ２２００とメモリ２２０２とを有する自律的な制御システム２１０４の実施形態を図示している。この実施形態において、ノード２２０４上の入力信号は、リンク２３００を介してプロセッサ２２００にルーティングされている。プロセッサ２２００は、入力信号と、メモリ２２０２中に記憶されている禁止された入力信号状態とを比較し、一致信号又は不一致信号を生成させることができる。プロセッサ２２００は、ライン２３０２上に選択信号を生成させ、選択信号がＭＵＸ２３０４を制御することができる。不一致信号の場合には、選択信号により、ライン２２０４上の信号が保護システム２１００へとマルチプレクサ２３０４を通過することができるかもしれない。一致信号の場合には、置換入力信号がライン２３０６に適用され、ライン２３０２上の選択信号が、ＭＵＸ２３０４を通して置換入力信号を通過させるかもしれない。
【００３５】
図７は、本発明の実施形態にしたがって、並列インタフェースにより保護システム２１００に接続されている、プログラム可能論理デバイス（ＰＬＤ）を備える自律的な制御システム２１０４のブロックダイヤグラムである。自律的な制御システム２１０４中のＰＬＤの入力を介して、又は、自律的な制御システム２１０４中に組み込まれているプロセッサを介して、保護システム２１００の入力及び／又は出力を監視することができる。図５において示した実施形態において、自律的な制御システム２１０４は、並列インタフェースにより保護システム２１００に接続されていてもよく、少なくとも１つの双方向信号ドライバを備えていてもよい。少なくとも１つの双方向信号ドライバは、入力を監視し、出力に対する状態を内部で変更させ、及び、追加の接続が必要でない場合に中断を生じさせることができる。ドライバのスイッチ２１６０を介して受け取られる入力が監視されるように、ドライバは監視論理２１４０に結合されているかもしれない。入力が許容される場合は、ドライバはそれの状態を維持するかもしれない。入力が許容されない場合は、アクション論理２１５０がスイッチ２１６０をアクションバス出力に入れるかもしれない。アクションバス出力は、例えば、接地されていてもよく、又は高信号であってもよい。上記で説明した直列インタフェースの例におけるように、保護システム２１００と周辺装置２１０２との間の通信は通常、オーソライズされていない信号パターン、パケット、又はアクセス試行を監視論理が検出するまで進行する。並列コンフィギュレーションでは、制御論理は、記録、中断、又は、周辺装置２１０２からの総切断のために代替Ｉ／Ｏパスにおいてスイッチすることによって、Ｉ／Ｏバスを内部で再ルーティングすること又は切断することができない。代わりに、保護下のデバイス２１００への信号が、スイッチ２１６０によって接地される、又は高く設定される。しかしながら、伝播遅延が容認されないかもしれない通信スピード及び信号スピードによる非常に高スピードのシステム（例えば、ＧＨｚのレンジで動作するシステム）に対しては、並列アプローチが有用であるかもしれない。さらに、並列の自律的な制御システム２１０４は、（すべての入力に対して一致出力を必要とする）それ自身を通して信号をパスする必要がないので、直列インタフェースよりも少ない全Ｉ／Ｏ接続を必要とするかもしれない。
【００３６】
図８は、並列インタフェースにより保護システム２１００に接続され、（図７のスイッチの代わりに）少なくとも１つのトライステート出力２１６０を備えている自律的な制御システム２１０４の実施形態のブロックダイヤグラムである。少なくとも１つのトライステート出力２１６０は、自律的な制御システム２１０４からの周辺バスに接続され、コマンドされるときにＩ／Ｏ中断を生じさせようとして論理ハイ又はローにトグルすることができる。このトライステート出力は、双方向Ｉ／Ｏインタフェースを有していない自律的な制御システム２１０４に対して使用することができる。
【００３７】
図９は、本発明の実施形態にしたがった、並列インタフェースを有する電子的な自律的な制御システム２１０４の動作を図示する概略的なダイヤグラムである。入力デバイス２１０２と保護デバイス２１００との間の信号が自律的な制御システム２１０４を直接通過しない並列インタフェースを、自律的な制御システム２１０４は備えている。代わりに、自律的な制御システム２１０４は、図９．１において示しているように、電気的に高インピーダンスの入力により各ラインのタップオフをして入力信号を監視する。オーソライズされていない入力試行が行われたときに、並列の自律的な制御システム２１０４は、ホストバスを無効にするのに適した駆動力（電流シンキング及びソーシング）を有する出力バスにバススイッチをトグルすることによって、オーソライズされていない入力を中断することができる。図９．２の例において、スピード＿選択＿３ラインを内部で接地することは、最高のプロセススピードを次に選択する論理ハイ状態にそれが到達することを阻止するかもしれない。図９．２において、自律的な制御システム２１０４は、自律的な制御システム２１０４のアクションバス出力からの干渉なしで入力デバイス２１０２からの入力を監視するために、バススイッチを位置３に戻すように周期的にトグルする。オーソライズされているスピードが選択されていることを自律的な制御システム２１０４が検出したときに、図９．３に示しているように、それは安定状態に戻るように移動することができる。直列インタフェースを有する自律的な制御システム２１０４とは異なり、並列インタフェースを有する自律的な制御システム２１０４は、信号を同時に監視しないかもしれない。
【００３８】
図１０は、直列インタフェースと並列インタフェースとの両方を利用して自律的な制御システム２１０４が保護システム２１００に接続されている実施形態のブロックダイヤグラムである。直列インタフェースは、監視論理２１４０Ａとアクション論理２１５０Ａとスイッチ２１６０Ａとを備えている。並列インタフェースは、監視論理２１４０Ｂとアクション論理２１５０Ｂとスイッチ２１６０Ｂとを備えている。この実施形態では、ある通信パスが速過ぎて通常のシステム動作を劣化させることなしに直列にパスすることができないときに、それらのパスを並列インタフェースによって取り扱うことができる。より遅いパスは、直列インタフェースによって取り扱うことができる。
【００３９】
図１１は、自律的な制御システム２１０４と保護システム２１００との間に、自律的な制御システム２１０４がインタフェースにかかわらず通信バス２１７０を備えている実施形態のブロックダイヤグラムである。通信バス２１７０は、悪意のある又はオーソライズされていない意図が検出された場合にオプション的に保護システム２１００にフラグするための機能を備えていてもよい。通信バスは、少なくとも１つの周辺装置２１０２をログ記録するための、少なくとも１つの周辺装置２１０２にアラートするための、又は、少なくとも１つの周辺装置２１０２をディセーブルするための機能も備えていてもよい。さらに、通信バス２１７０は、イベントを自律的にログ記録し、コンピュータにより実現されるセキュリティスコアリングシステムにそのようなイベントを報告してもよい。
【００４０】
図１２は、自律的な制御システム２１０４が半導体マルチチップモジュールを備えている実施形態のダイヤグラムである。半導体マルチチップモジュールは、スタック状に又は平面アレイにおいて機能的に接続されている、少なくとも２つの相互接続されているプロセッサダイを備えているかもしれない。モジュールは、単一の半導体パッケージの内側に、プリント回路基板（ＰＣＢ）に直接据え付けられるインタポーザボード及び／又はダイレクトワイヤボンディングも備えているかもしれない。この配置により、悪意のある改竄に対する保護を提供することができる自律的な制御システム２１０４を視覚的に検出することが難しくなるかもしれない。
【００４１】
図１３は、自律的な制御システム２１０４がインタポーザＰＣＢ上に外部的に据え付けられている実施形態のダイヤグラムである。インタポーザＰＣＢは、保護システム２１００より上か又は保護システム２１００より下かのいずれかに、スタック状に機能的に配置されているかもしれないカスタムソケットアセンブリを備えているかもしれない。この実施形態では、自律的な制御システム２１０４を使用して、既存のＣＰＵをセキュリティ保護し、ＣＰＵに対して作られている既存のマザーボード及びソケットを使用することができる。このインプリメンテーションは、２つの個々にパッケージされているコンポーネントを接続して１つを形成することを伴うので、パッケージオンパッケージのインプリメンテーションと呼ばれることがある。
【００４２】
いくつかの実施形態において、保護システム２１００を備えているかもしれないプリント回路基板（ＰＣＢ）上に据え付けられている表面であるかもしれない電子回路を、自律的な制御システム２１０４は備えている。自律的な制御システム２１０４は、例えば、１つ以上のＰＣＢトレース、フライングリード、同軸ケーブル、又は光ファイバを使用して、保護システム２１００に動作可能に接続されている。
【００４３】
いくつかの実施形態において、自律的な制御システム２１０４は、保護システム２１００上に動作可能に据え付けられているかもしれないモジュラースタッカブルシングルボードコンピューティングプラットフォームを備えている。例えば、プラットフォームは、ＰＣ１０４、ＥＰＩＣ、ＥＢＸ、Ｒａｓｐｂｅｒｒｙ  Ｐｉ、Ｐａｒａｌｌｅｌｌａ、又は類似するモジュラーコンピューティングプラットフォームである。この実施形態では、モジュラーコンピューティングスタックヘッダに取り付けられ、上記で説明したセキュリティ保護機能を実行するモジュラーキャリアを、自律的な制御システム２１０４は備えているかもしれない。これは、モジュールオンモジュールのインプリメンテーションと呼ばれることがある。
【００４４】
図１４は、本発明の実施形態にしたがった、自律的な制御システム２１０４の改竄防止機能を図示するフローダイヤグラムである。上記で着目したように、自律的な制御システム２１０４の暗号改竄防止チェックを可能とするためのデータを記憶させてもよい。周期的に、又は、ユーザの要求の際に、改竄防止チェックが開始される１３０５。自律的な制御システム２１０４が、自律的な制御システム２１０４と通信するシステム（すなわち、自律的な制御システム２１０４のチェックを実行するシステム）へのメッセージに、プライベートキーによりサインする１３１０。チェックを実行するシステムが、署名の検証をしようと試行する１３１５。署名が無効である場合は、自律的な制御システム２１０４が改竄されているかもしれないことを示すアラートが発生される１３２０。署名が有効である場合は、チェックを実行するシステムが、プライベートキーによりメッセージにサインする１３２５。自律的な制御システム２１０４が、署名の検証をしようと試行する１３３０。署名が無効である場合は、チェックを実行するシステムが改竄されているかもしれないことを示すアラートが発生される１３３５。署名が有効である場合は、改竄チェックがすべてセーフであると宣言される（すなわち、チェックシステムと自律的な制御システム２１０４との両方が改竄がないかもしれない）１３４０。このように、相互セキュリティを提供するために、自律的な制御システム２１０４は、別のシステムをチェックし、そのシステムによってチェックされる。
【００４５】
図１５は、本発明の実施形態にしたがって、安全な共同処理のために、ホストＣＰＵに対するシステムサービスとして自律的な制御システム２１０４を使用するプロセスフローを示している。自律的な制御システム２１０４のプロセッサが自律的な制御システムの複数のインスタンシエーションを有していてもよいので、自律的な制御システム２１０４に対して上記で説明したアーキテクチャはまた、ホストＣＰＵに対するシステムサービスとしての安全な処理を可能にすることができる。この実施形態において、自律的な制御システム２１０４が命令を受け取る１５０５。自律的な制御システム２１０４が、自律的な制御システム２１０４のメモリサブシステムに関係付けられているメモリ中に存在する予めプログラムされているオペコードとの一致を発見するために、コンパイラによって機械言語へと低減された、すなわち、オペコードへと低減された、（例えば、入力デバイス２１０２から）受け取った命令を比較する１５１０。一致が存在する場合は、自律的な制御システム２１０４がオペコードの予めプログラムされている機能を実行し１５１５、保護システム２１００はオペコードを受け取らないかもしれない。自律的な制御システム２１０４が安全な記憶装置にアクセスし１５２０、結果を返す１５２５。代わりに、自律的な制御システム２１０４の予めプログラムされているメモリ内で、受け取ったオペコードとの一致が存在しない場合は、オペコードが実行のために保護システム２１００にパスされ１５３０、保護システム２１００が結果を返す１５３５。自律的な制御システム２１０４とともに働くように特に設計されている、入力デバイス２１０２上で実行されるソフトウェアアプリケーションが、自律的な制御システム２１０４の安全な共同処理能力にアクセスするための、自律的な制御システム２１０４に特有のオペコード又は命令セットを収容するために必要とされるかもしれない。例えば、そのような自律的な制御システム２１０４に特有のオペコード又は一連のオペコードがデータセット上で暗号署名を要求する場合に、プロセッサ２２００がデータセット上で暗号ハッシュをまず実行することによって応答する。その後、プロセッサ２２００は、（安全な記憶装置２２０２中に記憶されている）それのプライベートキーを使用して、ハッシュされたデータセットにデジタル的にサインをし、その後、入力デバイス２１０２を介して、問題のオペコードを発生させた自律的な制御システム２１０４に特有のアプリケーションに戻すように、サインされたデータセットを返すかもしれない。
【ＱＳＭを用いる自律的な制御システム及び方法】
【００４６】
図１６は、本発明の実施形態による、セキュリティモジュール２１００である。セキュリティモジュール２１００は、プロセッサ２１１０と物理メモリ２１１５、例えば、ルールデータベース２１１２及び／又は証明データベース２１２４を含んでもよい。したがって、プロセッサ２１１０、ならびに、モジュール２１３２、２１３４及び２１３６は、自律的な制御システム２１０４のプロセッサ２２００の一部に、又は、これと同じエレメントに、結合されてもよい。同様に、ルールデータベース２１２２及び／又は証明データベース２１２４及び／又はメモリ２１１５は、自律的な制御システム２１０４の安全な記憶装置２２０２内に記憶されてもよい。
【００４７】
ルールデータベース２１２２は、以下でさらに詳細に記述されるような、さまざまなアクセス制御ルールを記憶してもよい。証明データベース２１２４は、以下でさらに詳細に記述されるような、デバイス、文書、ユーザ等についての、さまざまな証明を記憶してもよい。セキュリティモジュール２１００は、セキュリティスコアを導出及び／又は更新できるスコアリングモジュール２１３２、セキュリティルールが満たされるか否かを決定できるベリフィケーションモジュール２１３４、ならびに／あるいは、セキュリティルルール及び／又はアクセスパーミッション（permission）を、自動又は手動で規定し得るパーミッションモジュール２１３６のような、サブモジュールも含んでもよい。セキュリティ検証を実行するとして、又は、ＱＳＭ可能なデバイスとして、又は、ＱＳＭデバイスとしてここで記述された任意のデバイスは、セキュリティモジュール２１００を含んでもよく、記述されたようなＱＳＭに関連する検証、及び／又は、他のプロセスを実行するためのセキュリティモジュール２１００を使用してもよいことに留意されたい。
【００４８】
図１７は、本発明の実施形態による、セキュリティスコア導出２２００である。評価プロセスは、アセット上で、そのセキュリティレベルを決定するために行われてもよい。この結果を達成するために、アセットのセキュリティレベルを表わす正規化セキュリティスコアが、評価の終わりに発生されてもよい。セキュリティ基準（セキュリティ目標）２２１０の予め決定されたセットを、アセスメント目的で予め規定されたグループ化（セキュリティカテゴリ）２２２０によって分離されたアセットの主機能（それが行うこと、その目的）に対して適用するプロセスを通して、スコアは正規化されてもよい。各セキュリティ目標２２１０に対して、アセットのセキュリティカテゴリのそれぞれ上で、アセスメントが行われてもよく、セキュリティ目標に割り当てられる範囲内にあるセキュリティスコア（「セキュリティ目標スコア、ＳＯＳ」）が、発生されてもよい。各スコアに対する重大さの程度は、アセットからアセットで、又は、インスタンスからインスタンスでさえも変化し得る。目標スコアのすべてが発生されたとき、これらは、予め規定された目標スコア集約方法（例えば、重み付けされた平均）を使用して結合されてもよく、結果として、正規化セキュリティスコア（「ＮＳＳ」）２２３０となる。
【００４９】
図１８は、本発明の実施形態によるアセット（及びその分類）２２３０であり、いくつかの実施形態において使用され得るセキュリティカテゴリ２２２０とセキュリティ目標２２１０の特定の例を示している。例えば、アセット２２３０は、記憶装置、プロセス、及び、移送セキュリティカテゴリ２２２０を有してもよく、これは、アセット２２３０によって実行される主機能（例えば、データ記憶、データ処理、データ移送）に対応し得る。セキュリティカテゴリ２２２０のそれぞれは、オーソライゼーション（ＡＺ）、機密性（Ｃ）、完全性（Ｉ）、利用可能性（ＡＶ）、否認防止（ＮＲ）、及びオーセンティケーション（ＡＩ）セキュリティ目標２２１０を有し得る。アセキュリティカテゴリ２２２０に関係付けられた機能上のカテゴリのそれぞれがスコアセキュリティ目標２２１０上でいかに良くスコアするかに基づいて、アセット２２３０に対するＮＳＳは、セット２２３０がいかに良くセキュリティ目標２２１０全体を満たすかのインジケーションを提供し得る。
【００５０】
図１９は、本発明の実施形態による、アセット評価２３００フローダイヤグラムである。いくつかのアセットは、複雑であるかもしれない（例えば、多くのサブコンポーネントから作り上げられている）。これらの複雑なアセットに対して、図１９の技術２３００のような測定技術が、各サブコンポーネントに対するＮＳＳ値を導出するために、独立して各サブコンポーネント上で行われ得る。これらのサブコンポーネント値は、最高位アセットのＮＳＳを生成するために結合されてもよい。アセットは、評価のために選ばれて、評価が始まってもよい２３０５。１つ以上のセキュリティカテゴリ２２２０が識別されてもよく、各セキュリティカテゴリ２２２０が評価されてもよい２３１０。各セキュリティカテゴリ２２２０は、１つ以上のセキュリティ目標２２１０を含んでもよく、各セキュリティ目標２２１０が評価されてもよい２３１５。セキュリティモジュール２１００は、セキュリティ目標スコアがセキュリティ目標２２１０に対して算出され得るか否かを決定し得る２３２０。そうである場合、セキュリティ目標スコア算出が始まってもよく２３２５、そのセキュリティ目標スコアが発生されてもよい２３３０。セキュリティ目標スコア算出の例が、以下でさらに詳細に議論される。スコアが算出されたとき２３３５、次のセキュリティ目標２２１０が選択されてもよい２３１５。セキュリティ目標２２１０に対してセキュリティ目標スコアが算出され得ない場合２３２０、セキュリティモジュール２１００は、アセットが細分化されるべきか否かを決定してもよい２３４０。いくつかのアセットは複雑すぎて、セキュリティ目標スコアを直接導出できないかもしれず、又は、以前に評価されたコンポーネント、デバイス、及び／又はシステムを備えるかもしれない。これらの状況に適応するために、アセットは細分化されてもよい。
【００５１】
図２０〜図２３は、本発明の実施形態による、アセット細分化例３２００及び３２５０である。図２０は、例としてラップトップを使用するこの法則を描き、ここにおいて、ラップトップは、ＣＰＵ、オペレーティングシステム、及び、ＧＰＵコンポーネントに分割される。図２１は、別の例として、浄水プラントを描いており、ここにおいて、プラントは、水収集システム、浄化システム、及び、飲用水システムコンポーネントに分割される。示されるように、いくつかのサブアセットは、他のものが複数のセキュリティカテゴリに寄与するかもしれない一方、単一のセキュリティカテゴリスコアのみに寄与する可能性があるかもしれない。図２２は、図２０からのラップトップサブアセットが、さらに、どのように、ドライバサブアセット下の特定のドライバ、及び、アプリケーションサブアセット下の特定のアプリケーションに分類され得るかを示す。説明において、アプリケーションサブアセットの仮想機械（ＶＭ）サブアセットは、ＶＭ下で実行しているアプリケーションにさらに分類される。このプロセスは、毎サブアセットが正確に評価され得るまで、必要に応じて繰り返されてもよい。図２３は、ＱＳＭが、アセットのタイプに関わらず、図２１からの浄化以前のサブアセットの、浄水サブアセットのさらなる分類を示し、評価を必要とする任意のクリティカルなインフラストラクチャコンポーネント又はアセットに対して適用可能であり得ることを実証する。アセットが所属するエリアにおいて見識ある人は、この方法論にしたがって、任意の複雑なシステムを、システムが基本要素（評価が実行され得る、又は実行されたサブアセット）から成るようになるまで、さらなるサブアセットに再帰的に分類してもよい。水プラントの例において、これらは、フェンス、ガード、及び錠のようなサブアセットであってもよく、それらの物理セキュリティへのインパクトが、十分に記録されてもよく、量子化されてもよい。
【００５２】
図１９に戻って参照すると、可能である細分がない場合、デフォルトセキュリティ目標スコアが割り当てられてもよく２３４５、評価２３００は、次のセキュリティ目標２３１５に移動し得る。細分が行われる場合２３４０、セキュリティモジュール２１００は、サブアセット２３５０とサブアセット重み付け方程式２３５５を規定してもよい。上記のように、サブアセットは、さらにそれ自体で分割されてもよく、この場合において、解析は、さらに分割されたサブアセット上で実行されてもよい。各サブアセット２３６０に対して、アセット評価２３６５が実行されてもよく、セキュリティ目標スコア２３７０が発生されてもよい。すべてのセキュリティ目標スコアが評価されてもよく２３７５、セキュリティカテゴリスコアが評価されてもよい２３８０。評価するための、より多くのセキュリティカテゴリ２２２０がある場合、次のセキュリティカテゴリ２２２０が選択されてもよく２３１０、上述された評価は、次のセキュリティカテゴリ２２２０のセキュリティ目標２２１０に対して実行されてもよい。すべてのセキュリティカテゴリ２２２０が評価されたとき、アセット評価は終了してもよい２３８５。図１８のアセット２２３０に対して、それぞれ６つのセキュリティ目標２２１０を有する３つのセキュリティカテゴリ２２２０で、総計１８の評価が実行されてもよい。
【００５３】
公開鍵証明のような暗号化技術とともに、ＮＳＳ、目標スコアセット、及び、導出されたセキュリティルールを利用して、デジタルアセットは、ベースセキュリティスコア証明（ＢＳＳＣ）においてアセットの評価が実行された時間とともに、それらのセキュリティレベルを安全に記憶してもよい。図２４は、本発明の実施形態による、ＢＳＳＣ２７００である。ＢＳＳＣ２７００は、各セキュリティ目標２２１０とカテゴリ２２２０に対するスコアを含み得る。図１８の例示的なアセット２２３０、ＢＳＳＣ７００は、３タプルのセキュリティカテゴリ２２２０スコア（ＳＣＳ）であってもよく、これらのそれぞれは、次に、６タプルのセキュリティ目標２２１０スコアとなり得る。図２５は、図１８のアセット２２３０に対する例示的なＢＳＳＣ２７００である。この例示的なＢＳＳＣ２７００は、ベースセキュリティスコア（ＢＳＳ）を有してもよく、ＢＳＳ＝((移送ＳＣＳ))、(記憶装置ＳＣＳ)、(プロセスＳＣＳ))、又は、ＢＳＳ＝((ＴＣ、ＴＩ、ＴＡＺ、ＴＡＩ、ＴＡＶ、ＴＮＲ)、(ＳＣ、ＳＩ、ＳＡＺ、ＳＡＩ、ＳＡＶ、ＳＮＲ)、(ＰＣ、ＰＩ、ＰＡＺ、ＰＡＩ、ＰＡＶ、ＰＮＲ))のように表現され、ここにおいて、Ｃ＝機密性（confidentiality）、Ｉ＝完全性（integrity）、ＡＺ＝オーソライゼーション（authorization）、ＡＩ＝オーセンティケーション（authentication）、ＡＶ＝利用可能性（availability）、及び、ＮＲ＝否認防止（non-repudiation）である。ＢＳＳＣ２７００は、例えば、個人、法人、規制機関、又は、政府機関によってサインされてもよい。ＢＳＳＣ２７００は、証明が発行された日／時と、証明が満了する日／時を含んでもよい。ＢＳＳＣ２７００は、ＮＳＳについての減衰率も含んでもよく、これは、以下でさらに詳細に記述される。
【００５４】
セキュリティの一過性の性質を考慮に入れると、セキュリティは、後の測定を劣化する高い可能性を有するかもしれないことを意味するので、ＢＳＳＣで記された最後のＮＳＳ評価が行われてから生じた見込みのセキュリティ劣化を計算に入れるために、セキュリティ減衰率（ＲＯＤ）アルゴリズムが使用されてもよい。ＲＯＤは、ＢＳＳＣが最初に発行されてから経過した時間を与えられたシステムに対して、リアルのセキュリティスコアを決定するのに使用され得る。ＲＯＤを算出するためのアルゴリズムは、システムをスコアリングするために選ばれたメトリックに依存してもよい。ＮＳＳ及び目標スコアセットを、最後の評価の時間（及び、オプション的に、他のセキュリティルール、又は、記録されたアセット使用履歴）とともに入力として使用することによって、新たなＮＳＳスコアが、より正確な共通セキュリティ比較のために算出されて使用されてもよい。
【００５５】
セキュリティ目標スコアは、セキュリティメトリックを計算することによって決定された、見込みベースの評価を提供してもよく、これは、妥協の可能性を記述するかもしれない。この見込みに基づく方程式は、ＳＯＳ＝Ｐ（妥協│セキュリティ測定≠脅威）として表現されてもよい。ＳＯＳは、脅威に対して保護しない、実現されるセキュリティ測定による、アセットの妥協の見込みに基づく可能性（likelihood）であり、ここで脅威は、所定のモチベーションを有する行為者が開発を利用するかもしれない、経時的な見込み表現である。脅威＝Ｐ（時間│行為者│モチベーション│開発）。
【００５６】
ＳＯＳが値のセットになることができるようにするために、時間は、ＢＳＳＣにおいて引き出されて運ばれ、ＲＯＤとして表わされてもよい。ＲＯＤは、ＳＯＳが、時間露出に対してどのくらい敏感かを示してもよい。より高いＲＯＤは、アセットに対する脅威が、より低いＲＯＤよりも、より経時的に増大することを示し得る。
【００５７】
例えば、ＮＳＳは、セキュリティのないことを示すゼロと、完全に安全であることを示す１０とを有する、０から１０の範囲を有してもよい。所定のアセットが７７０日の保存期間（又は、パッチ又は更新が要求されるまでの時間）を有し、この保存期間を低減する又は延長するのに寄与する他の要因がない場合、ＲＯＤを算出する１つの方法は、最大のＮＳＳ値の１０をとって、それを７７０日で分割することによるものであってもよい。ＲＯＤ＝１０（最大ＮＳＳ値）／（１００％妥協の可能性までの日）＝１０／７７０＝．０１３／日。システムのセキュリティに関わらず、７７０日の最後に、ＲＯＤ×、時間（日）における変化、によって算出されたＮＳＳを低減することによって、スコアはゼロになる。言い換えれば、システムは、何らかのアクションなしで、安全でないと見なされてもよい。実際に、システムが安全でないと考えられ得る、ゼロを上回るいくらかの最小値があってもよく、この値は、ＳＲＣにおいて最小ＮＳＳとして表わされてもよい。
【００５８】
別の例は、軍事施設における弾薬庫に関係するかもしれない。弾薬庫上のボールト（vault）ドアは、セキュリティの１つのコンポーネント（「Ｓ１」）に寄与するかもしれない。ボールトは、６時間侵入レベルで評価され、テストするベンダー（vendor）は、その後毎時５％ずつ増加する６時間期間の後、制限されないアクセスを有する熟練したアタッカーに対して、６０％侵入率を示すとする。したがって、Ｓ１は、６時間におけるＲＯＤステップで．９５であり、０．６になり、その後一時間毎に定常的な．０５の減衰である。ボールトのＢＳＳにおいてクリアに明記されたこのことにより、指揮者は、衛兵に、３時間毎に弾薬庫を歩き回るように指令する（本質的に、ドアとしてのＲＯＤを再設定する）かもしれない。これらの２つの要因は、首尾一貫した．９５のドアに対して、ともにＳ１を寄与し得る。
【００５９】
図２６は、本発明の実施形態による、セキュリティスコア劣化９００である。ライン９１０は、経時的に一定にとどまるＲＯＤ値なしのシステムに対するセキュリティを示す。しかしながら、システムが長く動作すればするほど、システムは妥協されがちであるかもしれない。このセキュリティにおける低下は、ライン９２０によって示され、これは、時間の単位ごとに０．０１の線形のＲＯＤを示す。ライン９３０及び９４０は、システムのセキュリティに否定的にインパクトを与え得るイベントを考慮に入れる一方、経時的なシステムのセキュリティを示す。ライン９３０は、４つのセキュリティイベントを表わし、これは、システムのセキュリティを低下するが、ＲＯＤにおける変化を引き起こさない。ライン９４０は、同じ４つのイベントを描くが、これらのイベントのそれぞれも、ＲＯＤ値を変更すると仮定する。図２６において描かれたイベントは、例えば、結果としてＵＳＢデバイスをシステムに接続すること、システムを信頼できないネットワークに接続すること、悪意あるウェブサイトにブラウジングすること、又は、ダウンロードされたアプリケーションをインストールすることであってもよい。
【００６０】
アセットが、顕著なイベントの履歴を維持できるようにするために、ＱＳＭは、証明チェーン、又は、セキュリティスコアチェーン（ＳＳＣ）の概念をサポートしてもよい。ＢＳＳＣは、任意のＳＳＣにおいてベース証明を提供してもよい。アセットは、スコアを修正して、ＢＳＳＣで新たな証明をサインでき、これによりＳＳＣを作成する。ＳＳＣを作成するとき、アセットは、なぜ修正がなされたかの記録を含んでもよい。図２６において、ライン９３０又は９４０上の各イベントの後、ＳＳＣに対する更新は、ＲＯＤに対する変更を反映して、これらの変更を引き起こしたイベントを記録することで行われる。ＢＳＳＣがＲＯＤを与えられた場合、チェーン中の新たな証明が新たな発行日／時を有してから、新たなセキュリティスコアは、（例えば、ライン９４０において示されるような）任意の減衰に対して調節してもよい。満了日／時は、ＢＳＳＣの満了を過ぎて延長され得ないが、適切な場合、短くされてもよい。さらに、適切な場合、ＲＯＤは、新たなリスクと脅威を反映するように修正されてもよい。
【００６１】
図２７は、本発明の実施形態による、セキュリティ要件証明（ＳＲＣ）３４００である。ＢＳＳＣのようなＳＲＣは、セキュリティ目標２２１０スコア（ＳＯＳ）のそれぞれに対するセキュリティ要件重み付け（ＳＲＷ）、セキュリティ目標２２１０のそれぞれに対するセキュリティ重み付け、オーソライズされたＢＳＳＣ及びＳＳＣ署名者、及び／又は、最小の正規化セキュリティスコア（ＮＳＳ）を含んでいる、暗号で保護され、サインされた記録であってもよい。
【００６２】
ＳＲＣは、リソースへのアクセスを得るために見ているアセットのＢＳＳＣを評価するとき、リソースによってどの署名者が認識されて受け入れられるかを特定してもよい。これは、オーソライズされていない署名者によってサインされたＢＳＳＣを発生することによってセキュリティスコアを変造しようとする試行に対して、リソースを保護してもよい。さらに、信頼できる署名者を特定する能力は、使用されるセキュリティメトリックと、ＮＳＳに対する評価スケールとにおける変動を可能にしてもよい。例えば、セキュリティメトリックは、サンディアＲＡＭシリーズ評価に基づいていてもよく、このような仕様は、０〜１００の範囲において、サンディアＲＡＭシリーズ評価からＮＳＳへの変換を可能にしてもよい。同様に、別の実施形態は、ＣＡＲＶＥＲ方法論、又はいくつかのペアワイズ比較評価を使用してもよく、ＱＳＭ０〜１０スケールを使用してもよい。同様に、実施形態は、所有メトリックと、０．００から１．００までのスケールを利用できる。上の組み合わせのうちのいずれか及びすべてが、複雑なシステムの評価において利用されてもよく、ＮＳＳ及びＱＳＭ方法論は、それらの包含を可能にしてもよい。ＱＳＭは、メトリックの不確実性によって、減衰率を高めて、ＮＳＳを低減することによって、方法論における既知の欠陥を考慮に入れるかもしれない。したがって、既存のシステムと評価は、有効なＱＳＭ評価が実行され得るまで、短期において活用されてもよい。
【００６３】
アセット間の向上されたオーセンティケーション、及びオーソライゼーションプロセスは、上述の共通のセキュリティ測定及び比較方法の利点をとってもよい。ＮＳＳ及びアセットの目標スコアセットを導出するためにリアルタイム評価を強制すること、又は、過去の評価からＢＳＳＣにおいて記憶された情報を利用することとともに、オプション的にアセットの減衰率アルゴリズムを使用することによって、これは行われてもよい。ＢＳＳＣにおいて記憶されたもののような付加的なセキュリティルールは、オーセンティケーション又はオーソライゼーション基準としても使用されてもよい。セキュリティレベル変動は、上述された例示的なセキュリティベリフィケーションにおいて示されるように、オーセンティケーション又はオーソライゼーションプロセスにおいて携われるアセットの１つに対して一方向で行われてもよい。いくつかの実施形態において、二方向の変動（又は、２つ以上のアセットが、互いにオーセンティケート又はオーソライズしようと試みているとき、全方向の変動）が実行されてもよく、ここにおいて、各アセットは他のもののセキュリティレベルを検証する。
【００６４】
ＮＳＳは、ＱＳＭにおける最高レベルのスコアであってもよく、ベースセキュリティスコアにおけるセキュリティ目標スコアに対して、セキュリティ要求証明中の、セキュリティ要件重み付けを適用することによって算出されてもよい。数学的に、ＳＲＷは、ＢＳＳＣと同様であってもよく（例えば、３タプルのセキュリティカテゴリ重み付け（ＳＣＷ）（これは、カテゴリのそれぞれがＮＳＳに寄与する、パーセンテージ重み付けであってもよい）、各ＳＣＷは、セキュリティ目標重み付け（ＳＯＷ）の６タプルの値（これは、ＳＯＳ値のそれぞれに帰されるパーセンテージ重み付け）である。例えば、ＳＲＷは、図１８及び２５の例について、ＳＲＷ＝（移送ＳＣＷ（移送ＳＯＷ）、記憶装置ＳＣＷ（記憶装置ＳＯＷ）、プロセスＳＣＷ（プロセスＳＯＷ））又はＳＲＷ＝（ＳＣＷ（ＴＣ，ＴＩ，ＴＡＺ，ＴＡＩ，ＴＡＶ，ＴＮＲ）、ＳＣＷ（ＳＣ，ＳＩ，ＳＡＺ，ＳＡＩ，ＳＡＶ，ＳＮＲ）、ＳＣＷ（ＰＣ，ＰＩ，ＰＡＺ，ＰＡＩ，ＰＡＶ，ＰＮＲ））のように表されることができ得る。
【００６５】
ＮＳＳは、経時的に所定のアセットのセキュリティ状況を評価するのに使用されることができるメトリック（ΔＴ）を提供してもよい。このスコアは、アセットをオーセンティケートし、アクセスをオーソライズし、アセットのセキュリティユーティリティを比較し、又は、例えば、所定のアセットに対して改善がなされる場所を決定するのに使用されてもよい。ＮＳＳは、ＮＳＳ＝（ＢＳＳ＊ＳＲＷ）−（ＲＯＤ＊ΔＴ）のように算出されてもよい。したがって、図３及び７の例について、ＮＳＳは、ＮＳＳ＝（ＳＣＷＴ＊（ＴＣ＊ＴＷＣ＋ＴＩ＊ＴＷＩ＋ＴＡＺ＊ＴＷＡＺ＋ＴＡＩ＊ＴＷＡＩ＋ＴＡＶ＊ＴＷＡＶ＋ＴＮＲ＊ＴＷＮＲ）＋ＳＣＷＳ＊（ＳＣ＊ＳＷＣ＋ＳＩ＊ＳＷＩ＋ＳＡＺ＊ＳＷＡＺ＋ＳＡＩ＊ＳＷＡＩ＋ＳＡＶ＊ＳＷＡＶ＋ＳＮＲ＊ＳＷＮＲ）＋ＳＣＷＰ＊（ＰＣ＊ＰＷＣ＋ＰＩ＊ＰＷＩ＋ＰＡＺ＊ＰＷＡＺ＋ＰＡＩ＊ＰＷＡＩ＋ＰＡＶ＊ＰＷＡＶ＋ＰＮＲ＊ＰＷＮＲ））−（ＲＯＤ＊（ＴＣＵＲＲＥＮＴ−ＴＩＳＳＵＥＤ））であってもよい。
【００６６】
図２８は、本発明の実施形態による、ベースセキュリティスコア証明３５００である。この例において、ＢＳＳ＝（（６．０５、３．４７、３．８３、４．８９、５．４２、３．４６）、（６．５２、４．４５、５．７８、５．０９、６．４３、４．８０）、（４．５２、４．８９、２．６９、３．６８、６．７９、２．６４））。ＲＯＤは、．０１３／日であり、証明は、２０１４年２月２２日に発行されて、２０１４年８月２４日に満了を有する。
【００６７】
図２９は、本発明の実施形態による、セキュリティ要件証明３６００である。この例において、ＳＲＷ＝（０％（０％、０％、０％、０％、０％、０％）、６５％（２５％、４０％、５％、５％、２５％、０％）、３５％（１７％、１７％、１７％、１６％、１７％、１６％）)。移送セキュリティ目標重み付けにおける０．０重み付けは、この特定のアセット所有者が、移送アクティビティについて気にしない、又はこれを利用しないことを示す。このようなシナリオは、独立型の機械又はスマートカードとして存在してもよく、これは、データを移送する任意の手段を有し得ないが、記憶装置と処理能力を有する。ＳＲＣにおいてリストに記載された最小の要求されるＮＳＳは、５．０であり、発行日又はＴＣＵＲＲＥＮＴ＝２０１４年３月２２日。以下は、記憶装置部分の詳細な算出であり、他の詳細な算出は省かれている。
【００６８】
記憶装置部分＝０．６５＊（０.２５＊６．０５＋０．４＊３．４７＋０．０５＊３．８３＋０．０５＊４．８９＋０．２５＊５．４２＋０．０＊３．４６）＝３．０５
ＮＳＳ＝（０＋３．０５＋１．９３）−（０．０１３＊（２３  Ｍａｒｃｈ  ２０１４−２２  Ｆｅｂｒｕａｒｙ  ２０１４）＝（４．９８−（０．０１３＊２９））＝４．６
この計算されたＮＳＳは、記憶された最小のＮＳＳ値に対して比較されてもよく、これが最小のＮＳＳ値を上回る場合、これは承認されてもよい。上の例において、算出された４．６のＮＳＳは、ＳＲＣがパーミットする（５．０）より低いので、デバイスは、拒絶される。
【００６９】
ＮＳＳ値は、比較されて対比され、セキュリティレベルインデックスがアセットのセキュリティに適用されることができるようにしてもよい。図３０は、本発明の実施形態による、ＮＳＳ比較２４００である。ＮＳＳ値２４１０は、アセットに対するＮＳＳが、アセットが最小の要求されるセキュリティレベルを有することを示すか否かを決定するために、ＮＳＳインデックス２４２０と比較されてもよい。例えば、ＮＳＳインデックス２４２０は、５．５以上のスコアを有するアセットが、受け入れ可能なセキュリティレベルを有し、５．５より低いスコアを有するアセットが、受け入れ可能なセキュリティレベルを有しないことを示してもよい。図３０の例において、アセットは６．８のＮＳＳを有し、したがって、５．５の要件を超える。さらに、２つ以上のアセットは、それらが同じ又は対照的なセキュリティレベルを有するかどうかを決定するために、あるいは、どのアセットがより安全かを決定するために比較されてもよい。図３１は、本発明の実施形態による、ＮＳＳ比較２５００である。この例において、アセット１は、６．８のＮＳＳ値２５１０を有し、アセット２は、７．２のＮＳＳ値２５２０を有するので、アセット２は、アセット１よりも、より安全であると見なされてもよい。予め決定されたスコア集約プロセス及び共通セキュリティ測定方法とともに、承諾済みの、予め決定されたセキュリティ目標とカテゴリに基づいて、移行性は、セキュリティ比較が、承諾済みであり、再生可能であり、独立してベリファイ可能なセキュリティ比較であることを示唆してもよい。
【００７０】
ＮＳＳ及び目標スコアセットを利用して、延長されたセキュリティ比較が行われてもよく、これは、普通、アセットのさらに特定のセキュリティ寄与を測定してもよい。図３２は、本発明の実施形態による、セキュリティベリフィケーション２６００である。アセット２６１０（例えば、ＵＳＢデバイス）は、算出されたＮＳＳ（例えば、６．８）を有してもよく、ＱＳＭ可能なシステム２６２０は、アセットと対話する前に、アセットセキュリティ２６００をベリファイしてもよい。システム２６２０は、アセットを使用する動作（例えば、ＵＳＢデバイスへの書き込み動作）２６３０を、例えばユーザ入力を介して実行するように頼まれてもよい。アセット２６１０は、そのＮＳＳ２６４０をシステム２６２０に送ってもよい。システム２６２０は、（例えば、図３０において示されるような比較を実行することによって）ＮＳＳを評価してもよい。ＮＳＳ評価が適切なセキュリティを示す場合、動作は続行してもよい。そうでない場合、動作は妨げられ得る。
【００７１】
図３３の例において、本発明の実施形態による、セキュリティ比較２１００であり、ここにおいて、２つの異なるシステムが比較される。システム＃１は、システム＃２よりも低いＮＳＳスコアを有するが、システム＃１は、システム＃２よりも記憶の機密性について、より高いカテゴリスコアを有する。このような比較は、どの製品を買うか（例えば、どの製品が、ユーザのセキュリティニーズを最も良く満たすか）を決定するために、又は、どのシステムがまずアップグレードされるべきかを決定するために、又は、システムセキュリティについての他の決定を知らせるために、使用されてもよい。
【００７２】
図３４は、本発明の実施形態による、セキュリティベリフィケーション２８００であり、ここにおいて、アセットのＢＳＳＣ（ラップトップ２８１０）は、企業ネットワーク２８２０との対話のために使用されてもよい。アセット２８１０は、ネットワーク２８２０に加入するように試行してもよく、ＢＳＳＣ２８３０を提供してもよい。ネットワーク２８２０は、ＢＳＳＣを評価して、アセット２８１０が安全であるか否かを決定してもよい２８４０。この例において、アセット２８１０は、ネットワーク２８２０によって要求されるしきい値を下回るそのＢＳＳＣ中にＮＳＳを有するので、ネットワーク２８２０は、アセット２８１０へのアクセスを拒否する。
【００７３】
図３５は、本発明の実施形態による、相互セキュリティベリフィケーション３０００である。この例において、ラップトップ３０１０は、企業ネットワーク３０２０のＢＳＳＣを検証してもよく、企業ネットワーク３０２０は、ラップトップ３０１０のＢＳＳＣを検証してもよく、各アセットは、他のものが、対話をパーミット（permit）するのに十分高いセキュリティを有するか否かを別々に決定してもよい。
【００７４】
いくつかの実施形態において、ベリフィケーションプロセスの間のセキュリティルール強制は、オーセンティケーション又はオーソライゼーションに参加するアセットのうちの１つ以上の再評価を促進してもよい。
【００７５】
図３６は、本発明の実施形態による、セキュリティベリフィケーション３１００である。アセットのＢＳＳＣ（ラップトップ３１１０）は、企業ネットワーク３１２０との対話のために使用されてもよい。アセット３１１０は、ネットワーク３１２０に加入するように試行してもよく、そのＢＳＳＣ３１３０を提供してもよい。ネットワーク３１２０は、ＢＳＳＣを評価して、アセット３１１０が安全でないことを決定してもよい３１４０。この例において、アセット３１１０は、ネットワーク３１２０によって要求されるしきい値を下回るそのＢＳＳＣにおいて、ＮＳＳを有するので、ネットワーク３１２０はアセット３１１０へのアクセスを拒否する。アセット３１１０は、応答において、セキュリティモジュール２１００によって再評価されてもよい３１５０。上記のように、ＮＳＳ値は、経時的に低下するかもしれない。さらに、新たなセキュリティ機能が、経時的にアセット上で実現されてもよい。したがって、再評価３１５０は、更新されたＢＳＳＣのために新たなＮＳＳ値を発生してもよい。この例において、新たな値は、アセット３１１０がネットワーク３１２０と対話するのに十分安全であることを示す。アセット３１１０は、ネットワーク３１２０に加入するための第２の試行を行ってもよく、その更新されたＢＳＳＣ３１６０を提供してもよい。ネットワーク３１２０は、ＢＳＳＣを評価して、アセット３１１０が安全であることを決定してもよい３１７０。サーバ、ＰＣ、及びルータのような、ビルト・インの処理力を有するデバイスのＱＳＭ評価が、自動的に実行されてもよい。これは、ＮＳＳを発生するために、バックエンドデータベースの組み合わせ、コンピュータ上のコンフィギュレーション情報の走査、及び／又は、自動化された侵入テストツールを利用するＱＳＭプロセスを実行することによって達成されてもよい。これは、完全なＱＳＭ評価を受けなかったかもしれない、それらのサービスに接続したいと望むデバイスに対して、サービスプロバイダ又はネットワークが、少なくとも最小のセキュリティ状況を要求できるようにしてもよい。
【００７６】
この自動化は、先制でＱＳＭデバイスを保護するようにさらにステップがとられてもよい。新たな開発又は他の脅威が識別された場合、バックエンドデータベースは、影響されやすくて先制のアクションをとる、登録されたデバイスをサーチしてもよい。このアクションは、それらのＮＳＳを低下したり、それらの確実性（cert）を取り消し、及び／又は、アセット所有者に、例えば、彼らの特定のサービスをディセーブルにすべきこと、又は、パッチ又は更新をインストールすべきこと、又は、システム管理者に脅威を忠告すべきことをアドバイスしてもよい。多くのコンピュータネットワークの性質により、これらの先制サービスは、いくつかの実施形態において、デバイスとバックエンドサービスの間の周期的な通信を要求するかもしれない。
【００７７】
自動化された評価と証明発生は、例えば、数日古い証明でさえ受け入れ可能でないかもしれない、特定の高セキュリティ要件を有し得るシステムへのアクセスのために、リアルタイム評価が実行されてもよい。これらの高セキュリティシステムは、現在（例えば、その日、その週、等）通用している証明を要求するかもしれない。これは、いくつかの実施形態において、自動的に取り扱われてもよい。自動化されたＱＳＭ評価プロセスは、いくつかの実施形態において、システムが、システムリソースを利用するための各要求において、再評価と再証明を要求できるようにしてもよい。
【００７８】
以下の付加的な例は、シナリオを説明し、ここにおいて、ＱＳＭは、オーセンティケーション及び／又はオーソライゼーションのために使用されてもよい。このセクションの目的のために、ＱＳＭ内のデバイスがＳＳＣを有することが仮定されてもよい。それら自身の計算するリソースを有するデバイス又はシステムは、ＳＲＣも有するように仮定されてもよい。ＳＲＣを有し得ないデバイスの例は、ＵＳＢメモリスティックである。多くのＵＳＢメモリスティックは、それら自身の計算するリソースを有さないので、それらは、それらのＳＲＣを、それらが受け取ったＳＳＣと比較することができないかもしれないので、それらが、ＳＲＣを有する理由はないかもしれない。さらに、それ自身の計算リソースを有しないデバイスのためのＳＳＣは、デバイスがＢＳＳＣからのＳＳＣを更新できないので、単純にＢＳＳＣであるかもしれない。
【００７９】
ＱＳＭを使用するデバイスは、デバイスオーセンティケーションを実行して、ネットワークアクセスをオーソライズするために、ＳＳＣを活用してもよい。上述のように、このオーセンティケーションとオーソライゼーションは、相互であり、各エンティティが他のものをオーセンティケートしてオーソライズすることができるようにしてもよい。自動化されたＱＳＭ評価ツールを利用して、この相互オーセンティケーションは、共同オフィスでＷｉ−Ｆｉアクセスポイントに加入することや、オンライン商取引にアクセスすること等のような、ネットワークリソースへの一時的又は時折のアクセスを要求し得る外部デバイスに拡張されてもよい。リソース所有者は、彼らのリソースへの時折のアクセスを要求し得る、各デバイスの物理アセスメントを要求できないかもしれず、ここで、登録又は契約プロセスの一部として、ＱＳＭ評価ツールのダウンロード又はアクセスを要求することが実行可能であってもよい。ＱＳＭツールは、その後、上で議論されたように自動化された走査に基づいて、自動化されたＢＳＳＣを発生してもよく、その後、デバイスは、ネットワークリソースへのアクセスが許可される前に、相互オーセンティケーション交換に参加してもよい。
【００８０】
図３７は、本発明の実施形態による、セキュリティベリフィケーション３８００である。ネットワークに接続する際、デバイスは、そのＳＳＣ３８１０でネットワークを提供できる。ＳＳＣは暗号でサインされた証明であるので、ＳＳＣは、デバイスに対して唯一であってもよい。結果として、これは（ユーザよりもむしろ）デバイスをネットワークにオーセンティケートするために活用されてもよい。ネットワークは、悪意のある、又は不審な仕方で挙動しているかもしれない任意のデバイスを識別するために、ロギング目的で、ＳＳＣを活用できる。ネットワーク管理者は、いくつかの実施形態において、デバイスの現在のセキュリティレベルに基づいてネットワークに加入するために、デバイスがパーミットされるか否かを決めるように、ＳＳＣを活用できる。要件を満たすデバイスは、ネットワーク３８２０に加入できるようにされてもよい。アクセスを単純に許可すること、又は許可しないこととは別に、ＳＳＣは、どのネットワークセグメントにデバイスがアクセスすることをオーソライズされているかを決定するように活用されてもよい。例えば、企業のセキュリティ要件を満たしていないデバイスは、企業リソース３８３０にアクセスできないようにする一方、デバイスがインターネットにアクセスできるよう、ゲストネットワーク上に置かれてもよい。
【００８１】
図３８は、本発明の実施形態による、セキュリティベリフィケーション３９００である。デバイスはまた、ネットワーク自体をオーセンティケートしてオーソライズするために、ＳＳＣを活用できる。ネットワークそれら自体が、暗号的にサインされたＳＳＣを有するかもしれないので、デバイスは、それが加入するように試行しているネットワークを識別できるかもしれない。この方法論は、有線、無線、又はセルラー式であろうとなかろうと、ネットワーク妨害（spoofing）の可能性を取り除くことができる。ユーザ及び／又はシステム管理者は、どのネットワークをデバイスが使用するかを制限するためにＳＳＣを活用できる。例えば、企業管理者は、ラップトップが、企業ネットワーク、従業員の家における指定された在宅勤務ルータ、及び、指定されたセルラー式ネットワークにのみ接続できるように、ラップトップを構成できる。従業員は、彼らのデバイスを他の任意のネットワークに接続することはできないかもしれない。この例において、ラップトップは、そのＳＳＣをネットワークに送ってもよい３９１０。ネットワークは、これがＮＳＳコンプライアンスに対して評価されない場合、ＳＳＣを無視してもよい３９２０。この場合において、ＳＲＣが満たされていないので、ラップトップは、ネットワークに接続するのを拒絶してもよい３９３０。
【００８２】
さらに、ＳＳＣは時折更新されるかもしれないので、システム管理者は、デバイスがより安全でないネットワークに加入するのをパーミットするかもしれない。デバイスのＳＳＣは、どの安全でないネットワークにそれが加入したかを示すように更新されてもよい。ＳＳＣの結果としての減少によって、企業ネットワークは、デバイスが、それがネットワークに再加入できるようにする前に、再評価されるように強制してもよい。例えば、このような技術は、従業員が彼らのラップトップとともに移動するときに有用であるかもしれない。さらに、ユーザ又はシステム管理者は、どのデバイスリソースに、ネットワークがアクセスできるようにされてもよいかをオーソライズするために、ネットワークのＳＳＣを活用してもよい。例えば、デバイスのファイアウォールは、あるセキュリティレベルを満たさないネットワークが、デバイス上で実行しているファイル共有又はウェブサーバにアクセスするのをパーミットされることを妨げてもよい。
【００８３】
図３９は、本発明の実施形態による、セキュリティベリフィケーション４０００である。ネットワークをオーセンティケートしてオーソライズすることとは別に、コンピュータは、それらのＳＳＣに基づいて、デバイスをオーセンティケートしてオーソライズしてもよい。例えば、ＵＳＢ記憶デバイスは、ＳＳＣを含み、コンピュータに接続するとき、ＳＳＣをコンピュータに送ってもよい４０１０。ＳＳＣが、ある基準を満たさない（例えば、停止して、データを適切に暗号化していない）場合、ホストコンピュータは、ユーザが、情報をＵＳＢスティックにコピーするのを妨げてもよい４０２０。さらに、ホストコンピュータが、コピーされているデータの性質を検出できる場合、コピーが生じることができるか否かについての決定４０２０は、データ自体と、行き先デバイスのＳＳＣの組み合わせに基づいてもよい。同様の例が、他の多くのタイプのデバイスに対して存在し得る。いくつかの実施形態において、デバイス間のハンドシェーキングは、ＳＳＣがいつも確実に送信されるようにするために修正されてもよい。例えば、ＵＳＢハンドシェーキングプロトコルの一部として、ホスト及びスレーブデバイスの両方が、それらのＳＳＣを共有してもよい。これは、デバイスが、相互オーセンティケーションとオーソライゼーションを実行できるようにしてもよい。
【００８４】
デバイスはまた、デバイス自体上の敏感な情報にアクセスできるようにするために、ＳＳＣを利用し得る。例えば、信頼できる計算スペースを有するデバイスは、ＳＳＣがある基準を満たす場合、デバイス上の暗号化された情報へのアクセスのみを許可するように構成されてもよい。信頼できる計算プロセッサは、暗号化されたボリュームにアクセスするための試行を検出して、その後、現在のＳＳＣがその暗号化されたボリュームに対する基準を満たすか否かを決定してもよい。たとえユーザが解読鍵を知っていても、（妥協されたかもしれない）デバイスがもはや信頼できないので、デバイスは、それらが情報を解読するのを妨げてもよい。これは、敏感な記憶装置に対して別々のコンポーネントを活用するように特に設計された計算デバイスを可能にしてもよく、これは、ＳＳＣがＳＲＣに準拠することを要求してもよい。本質的に、敏感な記憶コンポーネントは、システムによって別のデバイスとして見られてもよい。
【００８５】
ハードウェア及びソフトウェア製品は、コンプライアンスを確実にするＳＯＳを確立するために、パラメータと設定を自動的に構成するように、（利用可能な範囲内で）ユーザ提供ＳＲＣと所望のＳＳＣを利用してもよい。製品コンフィギュレーションにおいて何のパラメータの組み合わせが利用可能かを決定するために、ユーザから負担を除去することは、機能性とセキュリティを提供するかもしれない。同様に、リソース所有者は、彼らのリソースにアクセスしている間、あるサービス又はデバイスが、ディセーブル又は停止されることを要求してもよい。自動コンフィギュレーションとＱＳＭ自動評価プロセスの両方を活用することは、このタイプの動的コンフィギュレーションがセキュリティ要件にマッチできるようにしてもよい。
【００８６】
ＳＳＣは、製品購入情報を提供してもよい。製品製造者は、製品オンラインのためにＳＳＣを提供してもよく、消費者が、彼らの特定のセキュリティ環境において、製品間の直接的な比較を実行できるようにする。同様に、何の製品がそれらのセキュリティ要件を満たすかを学習するために、ウェブサイトは、潜在的な消費者がＳＲＣを提出できるようにし得る。これは、消費者が、購入を行う前に、どの製品が所望のセキュリティ向上又は性能を生成するかを判断できるようにするかもしれない。新たな製品又はコンフィギュレーションを実現することが、どのようにセキュリティ全体にインパクトを与え得るかを学習するために、システムのシミュレーションを実行するようにシステムを開発することさえ、可能であるかもしれない。製造者は、彼らがユーザに提供できるセキュリティの量を定量化し、所定のセキュリティＳＲＣに対し、彼らが彼らの競争相手を超えて、どのくらいのセキュリティを付加するかを示すことができるかもしれない。
【００８７】
さまざまな実施形態を上記で説明してきたが、それらは例として提示したものであり、限定されるものではないことを理解すべきである。精神及び範囲から逸脱することなく、形態及び詳細においてさまざまな変更をそこで行うことができることが、当業者には明白となろう。事実、上記の説明を読んだ後に、代替的な実施形態の実現の仕方が当業者に明白となろう。
【００８８】
加えて、機能性及び利点を際立たせる任意の図面は、例示的な目的のためのみに提示していることを理解すべきである。開示した方法論及びシステムは各々、十分に柔軟なものであり、示した以外の方法でそれらを利用できるように構成可能である。
【００８９】
用語“少なくとも１つ”をしばしば明細書、特許請求の範囲、及び図面中で使用しているが、用語“a”、“an”、“the”、“said”等はまた、明細書、特許請求の範囲、及び図面中で“少なくとも１つ”又は“前記少なくも１つ”を表す。
【００９０】
最後に、表現言語“ための手段”又は“ためのステップ”を含む請求項のみが米国特許法第１１２条（ｆ）の下で解釈されるべきであることが出願人の意図である。フレーズ“ための手段”又は“ためのステップ”を明示的に含まない請求項は、米国特許法第１１２条（ｆ）の下で解釈するべきではない。
【図１】
2017535871.tif 000003
【図２】
2017535871.tif 000004
【図３】
2017535871.tif 000005
【図４】
2017535871.tif 000006
【図５】
2017535871.tif 000007
【図６】
2017535871.tif 000008
【図７】
2017535871.tif 000009
【図８】
2017535871.tif 000010
【図９】
2017535871.tif 000011
【図１０】
2017535871.tif 000012
【図１１】
2017535871.tif 000013
【図１２】
2017535871.tif 000014
【図１３】
2017535871.tif 000015
【図１４】
2017535871.tif 000016
【図１５】
2017535871.tif 000017
【図１６】
2017535871.tif 000018
【図１７】
2017535871.tif 000019
【図１８】
2017535871.tif 000020
【図１９】
2017535871.tif 000021
【図２０】
2017535871.tif 000022
【図２１】
2017535871.tif 000023
【図２２】
2017535871.tif 000024
【図２３】
2017535871.tif 000025
【図２４】
2017535871.tif 000026
【図２５】
2017535871.tif 000027
【図２６】
2017535871.tif 000028
【図２７】
2017535871.tif 000029
【図２８】
2017535871.tif 000030
【図２９】
2017535871.tif 000031
【図３０】
2017535871.tif 000032
【図３１】
2017535871.tif 000033
【図３２】
2017535871.tif 000034
【図３３】
2017535871.tif 000035
【図３４】
2017535871.tif 000036
【図３５】
2017535871.tif 000037
【図３６】
2017535871.tif 000038
【図３７】
2017535871.tif 000039
【図３８】
2017535871.tif 000040
【図３９】
2017535871.tif 000041
【手続補正書】
【提出日】平成29年7月24日(2017.7.24)
【手続補正１】
【補正対象書類名】特許請求の範囲
【補正対象項目名】全文
【補正方法】変更
【補正の内容】
【特許請求の範囲】
【請求項１】
安全な電子アクセスのためのシステムであって、
保護下のデバイス上の安全なリソースにアクセスすることを求める電子デバイスからの少なくとも１つの電子証明を受信する、少なくとも１つのセキュリティプロセッサを含む前記保護下のデバイスと、ここにおいて、前記少なくとも１つの電子証明は、前記電子デバイスのセキュリティに関連するデバイス情報を提供し、
少なくとも１つの自律的なプロセッサと、少なくとも１つの自律的なメモリとを含む自律的なシステムと、ここにおいて、前記少なくとも１つの自律的なメモリは、セキュリティ要件情報を記憶し、前記少なくとも１つの自律的なプロセッサは、前記デバイス情報を前記セキュリティ要件情報と比較し、前記少なくとも１つの自律的なプロセッサは、前記デバイス情報が前記セキュリティ要件情報を満たすとき、前記少なくとも１つのセキュリティプロセッサに、前記安全なリソースを前記電子デバイスに提供するように命令し、
前記保護下のデバイスは、前記命令に応答して、前記安全なリソースを前記電子デバイスに提供する、
を備える、システム。
【請求項２】
前記安全なリソースは、デジタルファイル又はデジタルファイル集を含む、請求項１に記載のシステム。
【請求項３】
前記安全なリソースは、ハードウェアリソースを含む、請求項１に記載のシステム。
【請求項４】
前記少なくとも１つの自律的なプロセッサは、前記比較に基づいて、前記電子デバイスによる前記安全なリソースの使用の条件を制御する、請求項１に記載のシステム。
【請求項５】
前記少なくとも１つの自律的なプロセッサは、前記デジタルファイル又はデジタルファイル集と、前記セキュリティ要件情報を含むセキュリティ要件証明と、許可キー値ペアのセットとを含む圧縮されたアーカイブを作成して、前記電子デバイスの前記少なくとも１つの電子証明を検証する、請求項２に記載のシステム。
【請求項６】
前記少なくとも１つの自律的なプロセッサは、暗号化されたデジタル署名を前記デジタルファイル又は前記デジタルファイル集におけるデジタルファイルのそれぞれに対して適用し、真正の認証とオーサーの認証を提供し、前記デジタル署名は、ファイル作成の際に適用されて、前記デジタルファイル又は前記デジタルファイル集が変化する度に、第２の暗号化されたデジタル署名として更新又は適用される、請求項５に記載のシステム。
【請求項７】
前記少なくとも１つの自律的なプロセッサは、前記セキュリティ要件情報に基づいて、前記デジタルファイル又は前記デジタルファイル集の、印刷、コピー、表示、編集、及び／又は、送信を制御するために、属性と設定と許可を実施する、請求項２に記載のシステム。
【請求項８】
前記自律的なシステムは、前記自律的なシステムにおいて配置された自律的なシステムプライベートキーを含み、前記自律的なシステムは、前記自律的なシステムプライベートキーによりメッセージにサインし、前記自律的なシステムでサインされたメッセージをソースに送り、前記ソースは、前記自律的なシステムへのオーソライズされていないアクセスがあったか否か、又は、前記自律的なシステムでの改竄があったか否かを決定する、請求項１に記載のシステム。
【請求項９】
前記ソースは、前記ソース内に配置されたソースプライベートキーを含み、前記ソースは、前記ソースプライベートキーによりメッセージにサインし、前記ソースでサインされたメッセージを前記自律的なシステムに送り、前記自律的なシステムは、前記ソースへのオーソライズされていないアクセスがあるか否か、又は、前記ソースでの改竄があるか否かを決定する、請求項８に記載のシステム。
【請求項１０】
安全な電子アクセスのためのシステムであって、
保護下のデバイスのセキュリティを記述する少なくとも１つの電子証明を受信する少なくとも１つのセキュリティプロセッサを含み、前記少なくとも１つの電子証明と、前記保護下のデバイスに対して使用不可能な形態におけるリソースと、セキュリティ要件情報とを出力する、前記保護下のデバイスと、
少なくとも１つの自律的なプロセッサと、前記少なくとも１つの電子証明を記憶する少なくとも１つのメモリとを含む自律的なシステムと、ここにおいて、前記少なくとも１つの電子証明を前記保護下のデバイスに提供し、
前記少なくとも１つの電子証明と、前記保護下のデバイスに対して使用不可能な形態における前記リソースと、前記保護下のデバイスからの前記セキュリティ要件情報とを受信し、前記少なくとも１つの電子証明を前記セキュリティ要件情報に比較し、前記少なくとも１つの電子証明が、前記保護下のデバイスは前記セキュリティ要件情報を満たすことを示すとき、前記保護下のデバイスに対して使用可能な形態に前記リソースを変形し、前記保護下のデバイスに対して使用可能な形態における前記リソースを前記保護下のデバイスに提供することによって、少なくとも１つのオーソライザプロセスを実行するように構成されて設計されたオーソライザシステムと、
を備える、システム。
【請求項１１】
前記リソースは、デジタルファイル又はデジタルファイル集を含む、請求項１０に記載のシステム。
【請求項１２】
前記少なくとも１つの自律的なプロセッサは、前記比較に基づいて、前記保護下のデバイスによる前記リソースの使用の条件を制御する、請求項１０に記載のシステム。
【請求項１３】
前記保護下のデバイスによって使用可能な形態における、前記デジタルファイル又は前記デジタルファイル集は、前記少なくとも１つの自律的なメモリにおいて記憶される、請求項１１に記載のシステム。
【請求項１４】
前記少なくとも１つの自律的なプロセッサは、前記自律的なシステムからの情報に基づいて、前記保護下のデバイスによる前記リソースの使用の条件を制御する、請求項１０に記載のシステム。
【請求項１５】
前記少なくとも１つの自律的なプロセッサは、前記セキュリティ要件情報に基づいて、前記デジタルファイル又は前記デジタルファイル集の、印刷、コピー、表示、編集、及び／又は、送信を制御するために、属性と設定と許可を実施する、請求項１１に記載のシステム。
【請求項１６】
前記自律的なシステムは、前記自律的なシステムにおいて配置された自律的なシステムプライベートキーを含み、前記自律的なシステムは、前記自律的なシステムプライベートキーによりメッセージにサインし、前記自律的なシステムでサインされたメッセージをソースに送り、前記ソースは、前記自律的なシステムへのオーソライズされていないアクセスがあったか否か、又は、前記自律的なシステムでの改竄があったか否かを決定する、請求項１０に記載のシステム。
【請求項１７】
前記ソースは、前記ソース内に配置されたソースプライベートキーを含み、前記ソースは、前記ソースプライベートキーによりメッセージにサインし、前記ソースでサインされたメッセージを前記自律的なシステムに送り、前記自律は、前記ソースへのオーソライズされていないアクセスがあったか否か、又は、前記ソースでの改竄があったか否かを決定する、請求項１６に記載のシステム。
【請求項１８】
電子アクセスを安全にする方法であって、
少なくとも１つのセキュリティプロセッサを含む保護下のデバイスにおいて、安全なリソースにアクセスすることを求める電子デバイスからの少なくとも１つの電子証明を受信することと、ここにおいて、前記少なくとも１つの電子証明は、前記電子デバイスのセキュリティに関連するデバイス情報を提供し、
自律的なシステムの少なくとも１つの自律的なプロセッサにより、前記デバイス情報を前記セキュリティ要件情報と比較することと、
前記デバイス情報が前記セキュリティ要件情報を満たすとき、前記少なくとも１つのセキュリティプロセッサに、前記安全なリソースを前記電子デバイスに提供するように命令する前記少なくとも１つの自律的なプロセッサと、
前記命令に応答して、前記安全なリソースを前記電子デバイスに提供する前記保護下のデバイスと、
を備える、方法。
【請求項１９】
前記安全なリソースは、デジタルファイル又はデジタルファイル集を含む、請求項１８に記載の方法。
【請求項２０】
前記安全なリソースは、ハードウェアリソースを含む、請求項１８に記載の方法。
【請求項２１】
前記比較することに基づいて、前記電子デバイスによる前記安全なリソースの使用の条件を制御する、前記少なくとも１つの自律的なプロセッサをさらに備える、請求項１８に記載の方法。
【請求項２２】
前記デジタルファイル又は前記デジタルファイル集と、前記セキュリティ要件情報と、許可キー値ペアのセットとを含む圧縮されたアーカイブを作成し、前記デバイス情報が前記セキュリティ要件情報を満たすことを検証する前記少なくとも１つの自律的なプロセッサをさらに備える、請求項１９に記載の方法。
【請求項２３】
暗号化されたデジタル署名を前記デジタルファイル及び前記デジタルファイル集におけるデジタルファイルのそれぞれに適用し、真正の認証とオーサーシップの認証を提供する、前記少なくとも１つの自律的なプロセッサをさらに備え、前記デジタル署名は、ファイル作成の際に適用されて、前記デジタルファイル又は前記デジタルファイル集が変化する度に、第２の暗号化されたデジタル署名として更新又は適用される、請求項２２に記載の方法。
【請求項２４】
前記セキュリティ要件情報に基づいて、前記デジタルファイル又は前記デジタルファイル集の、印刷、コピー、表示、編集、及び／又は、送信を制御するために、属性と設定と許可を実施する前記少なくとも１つの自律的なプロセッサをさらに備える、請求項１９に記載の方法。
【請求項２５】
自律的なシステムプライベートキーによりメッセージにサインし、前記自律的なシステムでサインされたメッセージをソースに送る自律的なシステムをさらに備え、前記ソースは、前記自律的なシステムへのオーソライズされていないアクセスがあったか否か、又は、前記自律的なシステムでの改竄があったか否かを決定する、請求項１８に記載の方法。
【請求項２６】
ソースプライベートキーによりメッセージにサインし、前記ソースでサインされたメッセージを前記自律的なシステムに送るソースをさらに備え、前記自律的なシステムは、前記ソースへのオーソライズされていないアクセスがあったか否か、又は、前記ソースでの改竄があったか否かを決定する、請求項２５に記載の方法。
【請求項２７】
電子アクセスを安全にする方法であって、
自律的なシステムの少なくとも１つの自律的なメモリにおいて、保護下のデバイスのセキュリティを記述する少なくとも１つの電子証明を記憶することと、
前記保護下のデバイスに対して前記少なくとも１つの電子証明を提供する前記自律的なシステムの少なくとも１つの自律的なプロセッサと、
前記少なくとも１つの電子証明と、前記保護下のデバイスに対する使用可能な形態におけるリソースと、セキュリティ要件情報とを、オーソライザシステムに出力する前記自律的なシステムと、
前記少なくとも１つの電子証明を前記セキュリティ要件情報と比較する、前記オーソライザシステムの少なくとも１つのオーソライザプロセスと、
前記少なくとも１つの電子証明が、前記保護下のデバイスが前記セキュリティ要件情報を満たすことを示すとき、前記リソースを、前記保護下のデバイスに対して使用可能な形態に変形する前記少なくとも１つのオーソライザプロセスと、
前記保護下のデバイスに対して使用可能な形態における前記リソースを、前記保護下のデバイスに提供する前記少なくとも１つのオーソライザプロセスと、を備える方法。
【請求項２８】
前記リソースは、デジタルファイル又はデジタルファイル集を含む、請求項２７に記載の方法。
【請求項２９】
前記少なくとも１つの自律的なプロセスは、前記比較することに基づいて、前記保護下のデバイスによる前記リソースの使用の条件を制御する、請求項２７に記載の方法。
【請求項３０】
前記少なくとも１つの自律的なメモリにおいて、前記保護下のデバイスに対して使用可能な形態における前記リソースを記憶することをさらに備える、請求項２８に記載の方法。
【請求項３１】
前記オーソライザシステムからの情報に基づいて、前記保護下のデバイスによる前記リソースの使用の条件を制御する前記少なくとも１つの自律的なプロセッサをさらに備える、請求項２７に記載の方法。
【請求項３２】
前記セキュリティ要件情報に基づいて、前記デジタルファイル又は前記デジタルファイル集の、印刷、コピー、表示、編集、及び／又は、送信を制御するために、属性と設定と許可を実施する前記自律的なシステムをさらに備える、請求項２８に記載の方法。
【請求項３３】
自律的なシステムプライベートキーによりメッセージにサインし、前記自律的なシステムでサインされたメッセージをソースに送る自律的なシステムをさらに備え、前記ソースは、前記自律的なシステムへのオーソライズされていないアクセスがあったか否か、又は、前記自律的なシステムでの改竄があったか否かを決定する、請求項２７に記載の方法。
【請求項３４】
ソースプライベートキーによりメッセージにサインし、前記ソースでサインされたメッセージを前記自律的なシステムに送るソースをさらに備え、前記自律は、前記ソースへのオーソライズされていないアクセスがあったか否か、又は、前記ソースでの改竄があったか否かを決定する、請求項３３に記載の方法。
【手続補正２】
【補正対象書類名】明細書
【補正対象項目名】００５３
【補正方法】変更
【補正の内容】
【００５３】
公開鍵証明のような暗号化技術とともに、ＮＳＳ、目標スコアセット、及び、導出されたセキュリティルールを利用して、デジタルアセットは、ベースセキュリティスコア証明（ＢＳＳＣ）においてアセットの評価が実行された時間とともに、それらのセキュリティレベルを安全に記憶してもよい。図２４は、本発明の実施形態による、ＢＳＳＣ２７００である。ＢＳＳＣ２７００は、各セキュリティ目標２２１０とカテゴリ２２２０に対するスコアを含み得る。図１８の例示的なアセット２２３０、ＢＳＳＣ２７００は、３タプルのセキュリティカテゴリ２２２０スコア（ＳＣＳ）であってもよく、これらのそれぞれは、次に、６タプルのセキュリティ目標２２１０スコアとなり得る。図２５は、図１８のアセット２２３０に対する例示的なＢＳＳＣ２７００である。この例示的なＢＳＳＣ２７００は、ベースセキュリティスコア（ＢＳＳ）を有してもよく、ＢＳＳ＝((移送ＳＣＳ))、(記憶装置ＳＣＳ)、(プロセスＳＣＳ))、又は、ＢＳＳ＝((ＴＣ、ＴＩ、ＴＡＺ、ＴＡＩ、ＴＡＶ、ＴＮＲ)、(ＳＣ、ＳＩ、ＳＡＺ、ＳＡＩ、ＳＡＶ、ＳＮＲ)、(ＰＣ、ＰＩ、ＰＡＺ、ＰＡＩ、ＰＡＶ、ＰＮＲ))のように表現され、ここにおいて、Ｃ＝機密性（confidentiality）、Ｉ＝完全性（integrity）、ＡＺ＝オーソライゼーション（authorization）、ＡＩ＝オーセンティケーション（authentication）、ＡＶ＝利用可能性（availability）、及び、ＮＲ＝否認防止（non-repudiation）である。ＢＳＳＣ２７００は、例えば、個人、法人、規制機関、又は、政府機関によってサインされてもよい。ＢＳＳＣ２７００は、証明が発行された日／時と、証明が満了する日／時を含んでもよい。ＢＳＳＣ２７００は、ＮＳＳについての減衰率も含んでもよく、これは、以下でさらに詳細に記述される。
【手続補正３】
【補正対象書類名】明細書
【補正対象項目名】００９０
【補正方法】変更
【補正の内容】
【００９０】
最後に、表現言語“ための手段”又は“ためのステップ”を含む請求項のみが米国特許法第１１２条（ｆ）の下で解釈されるべきであることが出願人の意図である。フレーズ“ための手段”又は“ためのステップ”を明示的に含まない請求項は、米国特許法第１１２条（ｆ）の下で解釈するべきではない。
以下に、本願出願時の特許請求の範囲に記載された発明を付記する。
［１］安全な電子アクセスのためのシステムであって、
保護下のデバイス上の安全なリソースにアクセスすることを求める電子デバイスからの少なくとも１つの電子証明を受信する、少なくとも１つのセキュリティプロセッサを含む前記保護下のデバイスと、ここにおいて、前記少なくとも１つの証明は、前記電子デバイスのセキュリティに関連するデバイス情報を提供し、
少なくとも１つの自律的なプロセッサと、少なくとも１つの自律的なメモリとを含む自律的なシステムと、ここにおいて、前記少なくとも１つの自律的なメモリは、セキュリティ要件情報を記憶し、前記少なくとも１つの自律的なプロセッサは、前記デバイス情報を前記セキュリティ要件情報と比較し、前記少なくとも１つの自律的なプロセッサは、前記デバイス情報が前記セキュリティ要件情報を満たすとき、前記少なくとも１つのセキュリティプロセッサに、前記安全なリソースを前記デバイスに提供するように命令し、
前記保護下のデバイスは、前記命令に応答して、前記安全なリソースを前記電子デバイスに提供する、
を備える、システム。
［２］前記安全なリソースは、デジタルファイル又はデジタルファイル集を含む、［１］に記載のシステム。
［３］前記安全なリソースは、ハードウェアリソースを含む、［１］に記載のシステム。
［４］前記少なくとも１つの自律的なプロセッサは、前記比較に基づいて、前記電子デバイスによる前記安全なリソースの使用の条件を制御する、［１］に記載のシステム。
［５］前記少なくとも１つの自律的なプロセッサは、前記デジタルファイル又はデジタルファイル集と、前記セキュリティ要件情報を含むセキュリティ要件証明と、許可キー値ペアのセットとを含む圧縮されたアーカイブを作成して、前記セキュリティシステムの前記少なくとも１つの電子証明を検証する、［２］に記載のシステム。
［６］前記少なくとも１つの自律的なプロセッサは、暗号化されたデジタル署名を前記デジタルファイル又は前記デジタルファイル集におけるデジタルファイルのそれぞれに対して適用し、真正の認証とオーサーの認証を提供し、前記デジタル署名は、ファイル作成の際に適用されて、前記デジタルファイル又は前記デジタルファイル集が変化する度に、第２の暗号化されたデジタル署名として更新又は適用される、［５］に記載のシステム。
［７］前記少なくとも１つの自律的なプロセッサは、前記セキュリティ要件情報に基づいて、前記デジタルファイル又は前記デジタルファイル集の、印刷、コピー、表示、編集、及び／又は、送信を制御するために、属性と設定と許可を実施する、［２］に記載のシステム。
［８］前記自律的なシステムは、前記自律的なシステムにおいて配置された自律的なシステムプライベートキーを含み、前記自律的なシステムは、前記自律的なシステムプライベートキーによりメッセージにサインし、前記自律的なシステムでサインされたメッセージをソースに送り、前記ソースは、前記自律的なシステムへのオーソライズされていないアクセスがあったか否か、又は、前記自律的なシステムでの改竄があったか否かを決定する、［１］に記載のシステム。
［９］前記ソースは、前記ソース内に配置されたソースプライベートキーを含み、前記ソースは、前記ソースプライベートキーによりメッセージにサインし、前記ソースでサインされたメッセージを前記自律的なシステムに送り、前記自律的なシステムは、前記ソースへのオーソライズされていないアクセスがあるか否か、又は、前記ソースでの改竄があるか否かを決定する、［８］に記載のシステム。
［１０］安全な電子アクセスのためのシステムであって、
保護下のデバイスのセキュリティを記述する少なくとも１つの電子証明を受信する少なくとも１つのセキュリティプロセッサを含み、前記少なくとも１つの電子証明と、前記保護下のデバイスに対して使用不可能な形態におけるリソースと、セキュリティ要件情報とを出力する、前記保護下のデバイスと、
少なくとも１つの自律的なプロセッサと、前記少なくとも１つの電子証明を記憶する少なくとも１つのメモリとを含む自律的なシステムと、ここにおいて、前記少なくとも１つの電子証明を前記保護下のデバイスに提供し、
前記少なくとも１つの電子証明と、前記保護下のデバイスに対して使用不可能な形態における前記リソースと、前記保護下のデバイスからの前記セキュリティ要件情報とを受信し、前記少なくとも１つの電子証明を前記セキュリティ要件情報に比較し、前記少なくとも１つの電子証明が、前記セキュリティシステムは前記セキュリティ要件情報を満たすことを示すとき、前記保護下のデバイスに対して使用可能な形態に前記リソースを変形し、前記保護下のデバイスに対して使用可能な形態における前記リソースを前記保護下のデバイスに提供することによって、少なくとも１つのオーソライザプロセスを実行するように構成されて設計されたオーソライザシステムと、
を備える、システム。
［１１］前記リソースは、デジタルファイル又はデジタルファイル集を含む、［１０］に記載のシステム。
［１２］前記少なくとも１つの自律的なプロセッサは、前記比較に基づいて、前記セキュリティシステムによる前記リソースの使用の条件を制御する、［１０］に記載のシステム。
［１３］前記保護下のデバイスによって使用可能な形態における、前記デジタルファイル又は前記デジタルファイル集は、前記少なくとも１つの自律的なメモリにおいて記憶される、［１１］に記載のシステム。
［１４］前記少なくとも１つの自律的なプロセッサは、前記自律的なシステムからの情報に基づいて、前記保護下のデバイスによる前記リソースの使用の条件を制御する、［１０］に記載のシステム。
［１５］前記少なくとも１つの自律的なプロセッサは、前記セキュリティ要件情報に基づいて、前記デジタルファイル又は前記デジタルファイル集の、印刷、コピー、表示、編集、及び／又は、送信を制御するために、属性と設定と許可を実施する、［１１］に記載のシステム。
［１６］前記自律的なシステムは、前記自律的なシステムにおいて配置された自律的なシステムプライベートキーを含み、前記自律的なシステムは、前記自律的なシステムプライベートキーによりメッセージにサインし、前記自律的なシステムでサインされたメッセージをソースに送り、前記ソースは、前記自律的なシステムへのオーソライズされていないアクセスがあったか否か、又は、前記自律的なシステムでの改竄があったか否かを決定する、［１０］に記載のシステム。
［１７］前記ソースは、前記ソース内に配置されたソースプライベートキーを含み、前記ソースは、前記ソースプライベートキーによりメッセージにサインし、前記ソースでサインされたメッセージを前記自律的なシステムに送り、前記自律は、前記ソースへのオーソライズされていないアクセスがあったか否か、又は、前記ソースでの改竄があったか否かを決定する、［１６］に記載のシステム。
［１８］電子アクセスを安全にする方法であって、
少なくとも１つのセキュリティプロセッサを含む保護下のデバイスにおいて、安全なリソースにアクセスすることを求める電子デバイスからの少なくとも１つの電子証明を受信することと、ここにおいて、前記少なくとも１つの証明は、前記電子デバイスのセキュリティに関連するデバイス情報を提供し、
自律的なシステムの少なくとも１つの自律的なプロセッサにより、前記デバイス情報を前記セキュリティ要件情報と比較することと、
前記デバイス情報が前記セキュリティ要件情報を満たすとき、前記少なくとも１つのセキュリティプロセッサに、前記安全なリソースを前記デバイスに提供するように命令する前記少なくとも１つの自律的なプロセッサと、
前記命令に応答して、前記安全なリソースを前記電子デバイスに提供する前記保護下のデバイスと、
を備える、方法。
［１９］前記安全なリソースは、デジタルファイル又はデジタルファイル集を含む、［１８］に記載の方法。
［２０］前記安全なリソースは、ハードウェアリソースを含む、［１８］に記載の方法。
［２１］前記比較することに基づいて、前記デバイスによる前記安全なリソースの使用の条件を制御する、前記少なくとも１つの自律的なプロセッサをさらに備える、［１８］に記載の方法。
［２２］前記デジタルファイル又は前記デジタルファイル集と、前記セキュリティ要件情報と、許可キー値ペアのセットとを含む圧縮されたアーカイブを作成し、前記デバイス情報が前記セキュリティ要件情報を満たすことを検証する前記少なくとも１つの自律的なプロセッサをさらに備える、［１９］に記載の方法。
［２３］暗号化されたデジタル署名を前記デジタルファイル及び前記デジタルファイル集におけるデジタルファイルのそれぞれに適用し、真正の認証とオーサーシップの認証を提供する、前記少なくとも１つの自律的なプロセッサをさらに備え、前記デジタル署名は、ファイル作成の際に適用されて、前記デジタルファイル又は前記デジタルファイル集が変化する度に、第２の暗号化されたデジタル署名として更新又は適用される、［２２］に記載の方法。
［２４］前記セキュリティ要件情報に基づいて、前記デジタルファイル又は前記デジタルファイル集の、印刷、コピー、表示、編集、及び／又は、送信を制御するために、属性と設定と許可を実施する前記少なくとも１つの自律的なプロセッサをさらに備える、［１９］に記載の方法。
［２５］自律的なシステムプライベートキーによりメッセージにサインし、前記自律的なシステムでサインされたメッセージをソースに送る自律的なシステムをさらに備え、前記ソースは、前記制御システムへのオーソライズされていないアクセスがあったか否か、又は、前記制御システムでの改竄があったか否かを決定する、［１８］に記載の方法。
［２６］ソースプライベートキーによりメッセージにサインし、前記ソースでサインされたメッセージを前記自律的なシステムに送るソースをさらに備え、前記自律的なシステムは、前記ソースへのオーソライズされていないアクセスがあったか否か、又は、前記ソースでの改竄があったか否かを決定する、［２５］に記載の方法。
［２７］電子アクセスを安全にする方法であって、
自律的なシステムの少なくとも１つの自律的なメモリにおいて、保護下のデバイスのセキュリティを記述する少なくとも１つの電子証明を記憶することと、
前記保護下のデバイスに対して前記少なくとも１つの証明を提供する前記自律的なシステムの少なくとも１つの自律的なプロセッサと、
前記少なくとも１つの電子証明と、前記保護下のデバイスに対する使用可能な形態におけるリソースと、セキュリティ要件情報とを、オーソライザシステムに出力する前記自律的なシステムと、
前記少なくとも１つの証明を前記セキュリティ要件情報と比較する、前記オーソライザシステムの少なくとも１つのオーソライザプロセスと、
前記少なくとも１つの電子証明が、前記保護下のデバイスが前記セキュリティ要件情報を満たすことを示すとき、前記リソースを、前記保護下のデバイスに対して使用可能な形態に変形する前記少なくとも１つのオーソライザプロセスと、
前記自律的なシステムに対して使用可能な形態における前記リソースを、前記保護下のデバイスに提供する前記少なくとも１つのオーソライザプロセスと、を備える方法。
［２８］前記リソースは、デジタルファイル又はデジタルファイル集を含む、［２７］に記載の方法。
［２９］前記少なくとも１つの自律的なプロセスは、前記比較することに基づいて、前記保護下のデバイスによる前記リソースの使用の条件を制御する、［２７］に記載の方法。
［３０］前記少なくとも１つの自律的なメモリにおいて、前記電子システムに対して使用可能な形態における前記リソースを記憶することをさらに備える、［２８］に記載の方法。
［３１］前記オーソライザシステムからの情報に基づいて、前記保護下のデバイスによる前記リソースの使用の条件を制御する前記少なくとも１つの自律的なプロセッサをさらに備える、［２７］に記載の方法。
［３２］前記セキュリティ要件情報に基づいて、前記デジタルファイル又は前記デジタルファイル集の、印刷、コピー、表示、編集、及び／又は、送信を制御するために、属性と設定と許可を実施する前記自律的なシステムをさらに備える、［２８］に記載の方法。
［３３］自律的なシステムプライベートキーによりメッセージにサインし、前記自律的なシステムでサインされたメッセージをソースに送る自律的なシステムをさらに備え、前記ソースは、前記自律的なシステムへのオーソライズされていないアクセスがあったか否か、又は、前記自律的なシステムでの改竄があったか否かを決定する、［２７］に記載の方法。
［３４］ソースプライベートキーによりメッセージにサインし、前記ソースでサインされたメッセージを前記自律的なシステムに送るソースをさらに備え、前記自律は、前記ソースへのオーソライズされていないアクセスがあったか否か、又は、前記ソースでの改竄があったか否かを決定する、［３３］に記載の方法。
【国際調査報告】
2017535871.tif 000042