オープンドメインからアビオニクスドメインまでの通信のオンボードアクセス制御システム
本発明は、オープンドメイン（12）からアビオニクスドメイン（11）までの通信のため、オンボード航空機の情報システムに対するオンボードアクセス制御システムに関し、これらの２つのドメインは、アビオニクスドメインからオープンドメインまで、単一方向のリンク（13）を通じて、相互に接続されている。このシステムは、これらの２つのドメインへのアクセスを制御するアクセススイッチ（14,15）と、制御装置（16）と、取得、データをバッファメモリ内に入れること、及びアビオニクスドメインへの転送ためのモジュール（17）と、データ制御モジュール（18）と、オープンドメインから、及び、バッファメモリ内に入れる取得モジュール（19）とを具備しているセキュリティデバイス（10）と、オペレータの認証手段（20）とを具備している。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、オープンドメインからアビオニクスドメインまでの通信のオンボードアクセス制御システムに関する。このシステムは、航空機（例えば、飛行機）にオンボード設置してもよい。
【背景技術】
【０００２】
オンボード情報システムは、２つの「ドメイン」で構成されたシステムであり、それは、アビオニクスドメイン（AW）（明確に定義された証明（certification）規則を満足する）と、オープンドメイン（OW）（公衆（general public）コンピュータコンポーネントに基づく）とである。現在では、この通信はアビオニクスドメインからオープンドメインへの方向に認可されるだけである（データ処理セキュリティ指示の後で）。それにも拘らず、両方向に通信する必要があり、かつ、この必要性はシステムのために必須になっている。
【０００３】
§アビオニクスドメイン
アビオニクスドメインは、航空管制などの重大な機能を含むすべてのアビオニクス機能を処理するアビオニクスコンピュータに割り当てられる。
【０００４】
その完全性、その結果、オペレーション上の信頼性を保証するために、データ処理攻撃に対してアビオニクスドメインを保護しなければならない。アビオニクス機器は、オフィシャルサービスによって命令され、その結果、飛行安全を保証した航空航行可能性規則に合意して開発される。オープンドメインから生じる非制御の侵入試みに対して安全なドメインを保護しなければならない。
【０００５】
アビオニクスドメインは、以下を含む項目を処理するのに割り当てられる。
１）航空機のオペレーション上の使用、及び、良好な飛行制御に貢献する即時のオペレーションに必要なすべてもの。
２）良好なオペレーション上の使用のための飛行準備に必要なすべてもの。
３）地上から発生する一部の「センシティブな」データの取得。
【０００６】
§オープンドメイン
「オープン」ドメインは、飛行安全に全く影響しないメインテナンスアプリケーション、オペレーション上のアプリケーション、および客室アプリケーションにホストキャパシティを供給するアプリケーションサーバを含んでいる。航空機のオンボードイーサネット（登録商標）ローカルネットワークは、オープンドメインの異なったコンポーネント間の情報交換を可能にする。また、オープンドメインは、高速衛星通信を介して、地上ベースの航空会社に属する情報システムと通信してもよい。
【０００７】
すべてのオペレータに対してオープンであるので、このドメインは「オープン」として取り扱われる。それは、公衆コンポーネント及びデータ処理規格（イーサネット（登録商標）ローカルネットワーク、COTS（Components Off The Shelf）ソフトウェア、およびハードウェア）を使用するので、非制御として取り扱われる。
【０００８】
使用されるコンピュータセキュリティ要素は、どのようなタイプのウイルス及び／又は攻撃も伝わらないのを保証しなければならない。
【０００９】
「オープン」ドメインは、以下を提供する。
１）セキュリティ、安全、および可用性に関する複雑さを減少させる低コストソリューション（例えば市場ソリューション）。
２）航空機製造会社による最小の関与か、又は、一切関与なく、自身のアプリケーション(「第三者アプリケーション」)をインストールすることを望むオペレータに対する最大の柔軟性（その結果、実施コストと時間を制限する）。
３）オペレーション上のルール(FAR121、FAR145…)を満たし、エアラインに責任のあるアプリケーションのインストールの容易さ。
４）即時オペレーションの主要でない（non-major）機能／アプリケーションを収容するキャパシティ。
【００１０】
本発明の別の目的は、特にデータセキュリティ、安全、性能、インストール、構成、および航空機証明（certification）に関するオンボード情報システムの必要性と、一般及び特定の目的とを考慮に入れることである（アビオニクスドメインとオープンドメインとの間の２方向の通信を可能にするために、オープンドメインからアビオニクスドメインまで、セキュアな通信を可能にするオンボードアクセス制御システムを提供することによって）。
【発明の概要】
【課題を解決するための手段】
【００１１】
本発明は、オンボード航空機の情報システムへのアクセスを制御するオンボードシステムに関し、
明確に定義された証明規則を満足するアビオニクスドメインと、
すべてのオペレータにアクセス可能な公衆コンポーネントに基づくオープンドメインと
を備え、
セキュリティ上の理由のため、これらの２つのドメインが、アビオニクスドメインからオープンドメインまでの単一方向リンクを通じて、相互に接続されるシステムにおいて、
オペレータ認証手段と、
・これらの２つのドメインのそれぞれへのアクセスを制御し、電子施錠のようにオペレーションする、１セットの２つのアクセススイッチと、
・オペレータのプロファイルによって決まる期間中に、これらの２つのスイッチのオープンを制御する、制御装置と、
・取得し、オープンドメインから生じるデータをバッファメモリ内に入れ、かつ、アビオニクスドメインに転送するためのモジュールと、
・オープンドメインからのデータを取得し、かつ、それをバッファメモリ内に入れる、取得モジュールと、
・バッファメモリ間のすべての交換に適用可能なフィルタ基準を定義する、データ制御モジュールと
を具備するセキュリティデバイスと
を具備し、
オープンドメインからアビオニクスドメインまでのセキュアな通信を可能にさせ、その結果、これらの２つのドメイン間で２方向の通信を可能にする。
【００１２】
第１変形例（variant）では、前記オペレータ認証手段は、電子カード読み出し手段か、バイオメトリックス手段か、又は、コード読み出し手段を具備している。
【００１３】
第２変形例では、前記オペレータ認証手段は、航空機と、地上に位置するオペレータが自身を認証することができる地上との間のセキュアなリンクを具備し、次いで、このリンクは、前記制御装置に接続される。
【００１４】
好ましくは、前記スイッチはハードウェアスイッチである。
【００１５】
前記制御モジュールは、ＯＳＩモデルのネットワーク、トランスポート、及びアプリケーション層における保護メカニズムを具備してもよい。好ましくは、前記制御モジュールは暗号化手段を具備している。前記制御モジュールは、データフィルタリングテーブルによって構成してもよい。
【００１６】
好ましくは、これらの２つのアビオニクス及びオープンドメインのそれぞれで使用されるプロトコルは異なり、かつ、これらの２つのドメイン間のデータ交換のセキュリティを向上させるのに関与する。
【図面の簡単な説明】
【００１７】
【図１】本発明のオンボードアクセス制御システムを示している。
【図２】本発明のオンボードアクセス制御システムのオペレーション方法の例を示すフローチャートである。
【発明を実施するための形態】
【００１８】
図１に示すように、本発明のオンボードアクセス制御システムは、アビオニクスドメイン11と、オープンドメイン12との間に接続されている。これらの２つのドメイン11,12は、アビオニクスドメイン11からオープンドメイン12に向かう方向で、単一方向リンク13によって、従来方法で接続されている。
【００１９】
本発明のシステムは、以下を具備している。
１）以下を具備するセキュリティデバイス10
・これらの２つのドメインのそれぞれにアクセスを実行させるハードウェアスイッチ14及び15
・制御装置16
・取得、バッファ記憶（memorization）、及び、アビオニクスドメイン11への転送のためのモジュール17
・データ制御モジュール（「ファイアウォール」）18
・オープンドメイン12からのデータ及びバッファ記憶のための取得モジュール19
２）オペレータ認証手段20
【００２０】
第１変形例では、オペレータ認証手段は、認証手段（例えば、電子カード読み出し手段、バイオメトリックス手段、又は、コード読み出し手段を含む）で構成される。
【００２１】
第２変形例では、オペレータ認証手段は、航空機と、地上に位置するオペレータが自身を認証することができる地上との間のセキュアなリンクを具備し、次いで、このリンクは、制御装置16に接続される。
【００２２】
本発明のオンボードアクセス制御システムは、「電子施錠」（アビオニクスドメインとオープンドメインとのそれぞれにアクセススイッチを備える）と類似している。他のドメインへのアクセススイッチがクローズされたとき、１つのドメインから他のドメインまでデータを通過させることができ、故に、２つのドメイン間の恒久的な物理リンクを回避し、かつ、これらの２つのドメイン間に保護された通信をもたらすことができる。
【００２３】
２つのハードウェアスイッチ14及び15の開閉は、オペレータが認証された以降に、セキュリティデバイス10によって制御される。このセキュリティデバイス10は、リンク13の反対方向（オープンドメイン12からアビオニクスドメイン11まで）で、セキュアなリンクを許可する。
【００２４】
転送されるデータ量は、２つの取得、バッファ記憶、及び、転送モジュール17及び19のキャパシティに基づいて決定される。
【００２５】
セキュリティデバイス10のため、オープンドメインからアビオニクスドメインまでのリンクは、常にオープンにされ、アビオニクスドメインへの恒久的なアクセスを回避し、不正侵入者のアクセスを禁止する。
【００２６】
このセキュリティデバイス10は、以下の機能を備える。
【００２７】
§制御装置16
制御装置16は、オペレータの認証を受理し、かつ、セキュリティデバイス10（オペレータのプロファイルのファンクションとしてオペレーションする）によって使用される規則を定義する。制御装置16は、オープンドメインとアビオニクスドメインとの間の接続を形成するオペレータのファンクションとして、セキュリティデバイス10を構成する。特に、制御装置16は、通信が可能である間に、オペレータのプロファイルによって決まるタイムウインドウを割り当てる。これを実行するために、それは、オペレータの認証の間に決定されたオペレータのプロファイルによって決まる期間に対して、アクセススイッチ14及び15のオープンを制御する。
【００２８】
§アクセスモジュール19
オープンドメイン12へのアクセスモジュール19は、第１プロトコルの使用を考慮に入れ、かつ、オープンドメイン12から生じるデータをバッファメモリ内に格納する。
【００２９】
§アクセスモジュール17
アビオニクスドメイン11へのアクセスモジュール17は、第２プロトコルの使用を許可し、かつ、オープンドメイン12から生じるデータをバッファメモリ（制御モジュール18を介して）内に格納する（それらを、アビオニクスドメイン11に転送することができるように）。
【００３０】
§制御モジュール18
制御モジュール18は、オープンドメイン12とアビオニクスドメイン11との間に保護を設ける。特に、それはファイアウォール機能を実行する。これを実行するために、それは、ロードされたデータフィルタリングテーブル（フィルタ基準が定義され、かつ、バッファメモリ間のすべての交換に適用可能である）によって構成することができる。この制御モジュール18は、データ完全性をチェックする。
【００３１】
適用されるセキュリティレベルは、転送されるデータのタイプのファンクションとして決定される。考慮に入れられるリストの例は、特に、侵入者による攻撃、商業スパイ、企業データ（ユーザ、従業員、及び企業データ）の予想外の公開、及びサービス妨害攻撃である。
【００３２】
第１及び第２プロトコルは、当業者には周知のプロトコルの中から選択される。それらは異なってもよく、その結果、オープンドメイン12とアビオニクスドメイン11との間のデータ交換を安全にすることに関与する。
【００３３】
そのような制御モジュール18は、従来の方法で、ＯＳＩ（Open System Interconnection）モデルの以下の層に対する保護メカニズムを含む。
・ネットワーク層
・トランスポート層
・アプリケーション層
【００３４】
秘匿性、認証を有効にし、かつ、完全性を向上させるたに、暗号化を使用してもよい。
【００３５】
§アクセススイッチ14及び15
制御装置16は、アクセススイッチ14及び15の開閉を管理する。それらは、電子施錠（反対側のドメインのスイッチがクローズされたときにだけ、１つのドメインから他のドメインまで、データを通過させることができる）のようにオペレーションし、２つのドメイン間の物理的なリンクを回避する。
【００３６】
オープンドメイン12とアビオニクスドメイン11との間でデータが転送されるプロセスは、以下のステップを具備している。
【００３７】
１）オペレータ認証
制御装置16は、以下のステップと共に、オペレータ認証デバイス20によって転送されたデータを取得し、かつ、ユーザのプロファイルのファンクションとして権利を割り当てる。
・オープンドメインアクセススイッチ15をクローズする。
・第１プロトコルを初期化する。
・データをバッファ内に格納する。
【００３８】
２）データをバッファメモリ内に格納する。
・データをバッファメモリ内に格納する。モジュール19では、転送されるすべての候補データのため、すべての以前のデータは除去されている。
・オープンドメインアクセススイッチ15をオープンにする。
【００３９】
３）データチェック／フィルタリング
・バッファメモリ内に格納されたデータを、制御モジュール18へ転送する。
・所定のフィルタ基準のファンクションとしてデータをフィルタリングする。
【００４０】
４）認証されたデータをバッファメモリ内に格納する。
・アビオニクスドメイン11とオープンドメイン12とへのアクセスを制御するスイッチ14及び15がそれぞれオープン及びクローズであるかをチェックする。
・すべての以前のデータが削除された後、データをバッファ記憶モジュール17へ転送する。
・モジュール19のメモリを消去する。
・アビオニクスドメインアクセススイッチ14（オープンにされているオープンドメインアクセススイッチ15）をクローズにする。
・第２プロトコルを初期化して、取得モジュール17からアビオニクスドメインまでデータを転送する。
【００４１】
図２は、本発明のシステムのオペレーション例を図示したフローチャートである。
【００４２】
このフローチャートは、以下のステップを具備している。
【００４３】
１）本発明のシステムの構成を初期化するためのステップ21
オープンドメイン12へのアクセススイッチ15はオープンにされ、かつ、アビオニクスドメイン11へのアクセススイッチ11はクローズにされる。
【００４４】
２）アクセス制御構成23及び認証又はアクセス制御規則24を受信する、本発明のシステムを更新するためのステップ22
【００４５】
３）以下のステップを備えた、本発明のシステムの構成を変更させるためのテスト25
・スイッチ15はオープンにされ、かつ、スイッチ14はクローズにされ、出力26が、その後、ステップ27によって、第２プロトコル（アビオニクスドメインエンド）を初期化し、かつ、ステップ21にリターンする。
・スイッチ15はクローズされ、かつ、スイッチ14はオープンにされ、出力28が、その後、
＊ステップ29によって、第１プロトコル（オープンドメインエンド）を初期化し、
＊ステップ30によって、データをバッファメモリ内に格納し、かつ、データをオープンドメインから取得し、
＊ステップ31によって、データフィルタ構成32を受信するデータをフィルタリングし（ファイアウォール機能）、
＊ステップ33によって、有効なデータを記憶し、かつ、変更構成ステップ25の以前に、リターンし、かつ、
＊ステップ34によって、バッファメモリを消去する。
【００４６】
データは、以下のように、オープンドメインとアビオニクスドメインとの間で転送される。
１）テスト25からの出力28が第１ステップで使用される。
２）同じテスト25からの出力26が第２ステップで使用される。
【符号の説明】
【００４７】
10 セキュリティデバイス
11 アビオニクスドメイン
12 オープンドメイン
13 単一方向リンク
14，15 ハードウェアスイッチ
16 制御装置
17，19 取得、バッファ記憶、及び、転送モジュール
18 データ制御モジュール（「ファイアウォール」）
20 オペレータ認証手段
【技術分野】
【０００１】
本発明は、オープンドメインからアビオニクスドメインまでの通信のオンボードアクセス制御システムに関する。このシステムは、航空機（例えば、飛行機）にオンボード設置してもよい。
【背景技術】
【０００２】
オンボード情報システムは、２つの「ドメイン」で構成されたシステムであり、それは、アビオニクスドメイン（AW）（明確に定義された証明（certification）規則を満足する）と、オープンドメイン（OW）（公衆（general public）コンピュータコンポーネントに基づく）とである。現在では、この通信はアビオニクスドメインからオープンドメインへの方向に認可されるだけである（データ処理セキュリティ指示の後で）。それにも拘らず、両方向に通信する必要があり、かつ、この必要性はシステムのために必須になっている。
【０００３】
§アビオニクスドメイン
アビオニクスドメインは、航空管制などの重大な機能を含むすべてのアビオニクス機能を処理するアビオニクスコンピュータに割り当てられる。
【０００４】
その完全性、その結果、オペレーション上の信頼性を保証するために、データ処理攻撃に対してアビオニクスドメインを保護しなければならない。アビオニクス機器は、オフィシャルサービスによって命令され、その結果、飛行安全を保証した航空航行可能性規則に合意して開発される。オープンドメインから生じる非制御の侵入試みに対して安全なドメインを保護しなければならない。
【０００５】
アビオニクスドメインは、以下を含む項目を処理するのに割り当てられる。
１）航空機のオペレーション上の使用、及び、良好な飛行制御に貢献する即時のオペレーションに必要なすべてもの。
２）良好なオペレーション上の使用のための飛行準備に必要なすべてもの。
３）地上から発生する一部の「センシティブな」データの取得。
【０００６】
§オープンドメイン
「オープン」ドメインは、飛行安全に全く影響しないメインテナンスアプリケーション、オペレーション上のアプリケーション、および客室アプリケーションにホストキャパシティを供給するアプリケーションサーバを含んでいる。航空機のオンボードイーサネット（登録商標）ローカルネットワークは、オープンドメインの異なったコンポーネント間の情報交換を可能にする。また、オープンドメインは、高速衛星通信を介して、地上ベースの航空会社に属する情報システムと通信してもよい。
【０００７】
すべてのオペレータに対してオープンであるので、このドメインは「オープン」として取り扱われる。それは、公衆コンポーネント及びデータ処理規格（イーサネット（登録商標）ローカルネットワーク、COTS（Components Off The Shelf）ソフトウェア、およびハードウェア）を使用するので、非制御として取り扱われる。
【０００８】
使用されるコンピュータセキュリティ要素は、どのようなタイプのウイルス及び／又は攻撃も伝わらないのを保証しなければならない。
【０００９】
「オープン」ドメインは、以下を提供する。
１）セキュリティ、安全、および可用性に関する複雑さを減少させる低コストソリューション（例えば市場ソリューション）。
２）航空機製造会社による最小の関与か、又は、一切関与なく、自身のアプリケーション(「第三者アプリケーション」)をインストールすることを望むオペレータに対する最大の柔軟性（その結果、実施コストと時間を制限する）。
３）オペレーション上のルール(FAR121、FAR145…)を満たし、エアラインに責任のあるアプリケーションのインストールの容易さ。
４）即時オペレーションの主要でない（non-major）機能／アプリケーションを収容するキャパシティ。
【００１０】
本発明の別の目的は、特にデータセキュリティ、安全、性能、インストール、構成、および航空機証明（certification）に関するオンボード情報システムの必要性と、一般及び特定の目的とを考慮に入れることである（アビオニクスドメインとオープンドメインとの間の２方向の通信を可能にするために、オープンドメインからアビオニクスドメインまで、セキュアな通信を可能にするオンボードアクセス制御システムを提供することによって）。
【発明の概要】
【課題を解決するための手段】
【００１１】
本発明は、オンボード航空機の情報システムへのアクセスを制御するオンボードシステムに関し、
明確に定義された証明規則を満足するアビオニクスドメインと、
すべてのオペレータにアクセス可能な公衆コンポーネントに基づくオープンドメインと
を備え、
セキュリティ上の理由のため、これらの２つのドメインが、アビオニクスドメインからオープンドメインまでの単一方向リンクを通じて、相互に接続されるシステムにおいて、
オペレータ認証手段と、
・これらの２つのドメインのそれぞれへのアクセスを制御し、電子施錠のようにオペレーションする、１セットの２つのアクセススイッチと、
・オペレータのプロファイルによって決まる期間中に、これらの２つのスイッチのオープンを制御する、制御装置と、
・取得し、オープンドメインから生じるデータをバッファメモリ内に入れ、かつ、アビオニクスドメインに転送するためのモジュールと、
・オープンドメインからのデータを取得し、かつ、それをバッファメモリ内に入れる、取得モジュールと、
・バッファメモリ間のすべての交換に適用可能なフィルタ基準を定義する、データ制御モジュールと
を具備するセキュリティデバイスと
を具備し、
オープンドメインからアビオニクスドメインまでのセキュアな通信を可能にさせ、その結果、これらの２つのドメイン間で２方向の通信を可能にする。
【００１２】
第１変形例（variant）では、前記オペレータ認証手段は、電子カード読み出し手段か、バイオメトリックス手段か、又は、コード読み出し手段を具備している。
【００１３】
第２変形例では、前記オペレータ認証手段は、航空機と、地上に位置するオペレータが自身を認証することができる地上との間のセキュアなリンクを具備し、次いで、このリンクは、前記制御装置に接続される。
【００１４】
好ましくは、前記スイッチはハードウェアスイッチである。
【００１５】
前記制御モジュールは、ＯＳＩモデルのネットワーク、トランスポート、及びアプリケーション層における保護メカニズムを具備してもよい。好ましくは、前記制御モジュールは暗号化手段を具備している。前記制御モジュールは、データフィルタリングテーブルによって構成してもよい。
【００１６】
好ましくは、これらの２つのアビオニクス及びオープンドメインのそれぞれで使用されるプロトコルは異なり、かつ、これらの２つのドメイン間のデータ交換のセキュリティを向上させるのに関与する。
【図面の簡単な説明】
【００１７】
【図１】本発明のオンボードアクセス制御システムを示している。
【図２】本発明のオンボードアクセス制御システムのオペレーション方法の例を示すフローチャートである。
【発明を実施するための形態】
【００１８】
図１に示すように、本発明のオンボードアクセス制御システムは、アビオニクスドメイン11と、オープンドメイン12との間に接続されている。これらの２つのドメイン11,12は、アビオニクスドメイン11からオープンドメイン12に向かう方向で、単一方向リンク13によって、従来方法で接続されている。
【００１９】
本発明のシステムは、以下を具備している。
１）以下を具備するセキュリティデバイス10
・これらの２つのドメインのそれぞれにアクセスを実行させるハードウェアスイッチ14及び15
・制御装置16
・取得、バッファ記憶（memorization）、及び、アビオニクスドメイン11への転送のためのモジュール17
・データ制御モジュール（「ファイアウォール」）18
・オープンドメイン12からのデータ及びバッファ記憶のための取得モジュール19
２）オペレータ認証手段20
【００２０】
第１変形例では、オペレータ認証手段は、認証手段（例えば、電子カード読み出し手段、バイオメトリックス手段、又は、コード読み出し手段を含む）で構成される。
【００２１】
第２変形例では、オペレータ認証手段は、航空機と、地上に位置するオペレータが自身を認証することができる地上との間のセキュアなリンクを具備し、次いで、このリンクは、制御装置16に接続される。
【００２２】
本発明のオンボードアクセス制御システムは、「電子施錠」（アビオニクスドメインとオープンドメインとのそれぞれにアクセススイッチを備える）と類似している。他のドメインへのアクセススイッチがクローズされたとき、１つのドメインから他のドメインまでデータを通過させることができ、故に、２つのドメイン間の恒久的な物理リンクを回避し、かつ、これらの２つのドメイン間に保護された通信をもたらすことができる。
【００２３】
２つのハードウェアスイッチ14及び15の開閉は、オペレータが認証された以降に、セキュリティデバイス10によって制御される。このセキュリティデバイス10は、リンク13の反対方向（オープンドメイン12からアビオニクスドメイン11まで）で、セキュアなリンクを許可する。
【００２４】
転送されるデータ量は、２つの取得、バッファ記憶、及び、転送モジュール17及び19のキャパシティに基づいて決定される。
【００２５】
セキュリティデバイス10のため、オープンドメインからアビオニクスドメインまでのリンクは、常にオープンにされ、アビオニクスドメインへの恒久的なアクセスを回避し、不正侵入者のアクセスを禁止する。
【００２６】
このセキュリティデバイス10は、以下の機能を備える。
【００２７】
§制御装置16
制御装置16は、オペレータの認証を受理し、かつ、セキュリティデバイス10（オペレータのプロファイルのファンクションとしてオペレーションする）によって使用される規則を定義する。制御装置16は、オープンドメインとアビオニクスドメインとの間の接続を形成するオペレータのファンクションとして、セキュリティデバイス10を構成する。特に、制御装置16は、通信が可能である間に、オペレータのプロファイルによって決まるタイムウインドウを割り当てる。これを実行するために、それは、オペレータの認証の間に決定されたオペレータのプロファイルによって決まる期間に対して、アクセススイッチ14及び15のオープンを制御する。
【００２８】
§アクセスモジュール19
オープンドメイン12へのアクセスモジュール19は、第１プロトコルの使用を考慮に入れ、かつ、オープンドメイン12から生じるデータをバッファメモリ内に格納する。
【００２９】
§アクセスモジュール17
アビオニクスドメイン11へのアクセスモジュール17は、第２プロトコルの使用を許可し、かつ、オープンドメイン12から生じるデータをバッファメモリ（制御モジュール18を介して）内に格納する（それらを、アビオニクスドメイン11に転送することができるように）。
【００３０】
§制御モジュール18
制御モジュール18は、オープンドメイン12とアビオニクスドメイン11との間に保護を設ける。特に、それはファイアウォール機能を実行する。これを実行するために、それは、ロードされたデータフィルタリングテーブル（フィルタ基準が定義され、かつ、バッファメモリ間のすべての交換に適用可能である）によって構成することができる。この制御モジュール18は、データ完全性をチェックする。
【００３１】
適用されるセキュリティレベルは、転送されるデータのタイプのファンクションとして決定される。考慮に入れられるリストの例は、特に、侵入者による攻撃、商業スパイ、企業データ（ユーザ、従業員、及び企業データ）の予想外の公開、及びサービス妨害攻撃である。
【００３２】
第１及び第２プロトコルは、当業者には周知のプロトコルの中から選択される。それらは異なってもよく、その結果、オープンドメイン12とアビオニクスドメイン11との間のデータ交換を安全にすることに関与する。
【００３３】
そのような制御モジュール18は、従来の方法で、ＯＳＩ（Open System Interconnection）モデルの以下の層に対する保護メカニズムを含む。
・ネットワーク層
・トランスポート層
・アプリケーション層
【００３４】
秘匿性、認証を有効にし、かつ、完全性を向上させるたに、暗号化を使用してもよい。
【００３５】
§アクセススイッチ14及び15
制御装置16は、アクセススイッチ14及び15の開閉を管理する。それらは、電子施錠（反対側のドメインのスイッチがクローズされたときにだけ、１つのドメインから他のドメインまで、データを通過させることができる）のようにオペレーションし、２つのドメイン間の物理的なリンクを回避する。
【００３６】
オープンドメイン12とアビオニクスドメイン11との間でデータが転送されるプロセスは、以下のステップを具備している。
【００３７】
１）オペレータ認証
制御装置16は、以下のステップと共に、オペレータ認証デバイス20によって転送されたデータを取得し、かつ、ユーザのプロファイルのファンクションとして権利を割り当てる。
・オープンドメインアクセススイッチ15をクローズする。
・第１プロトコルを初期化する。
・データをバッファ内に格納する。
【００３８】
２）データをバッファメモリ内に格納する。
・データをバッファメモリ内に格納する。モジュール19では、転送されるすべての候補データのため、すべての以前のデータは除去されている。
・オープンドメインアクセススイッチ15をオープンにする。
【００３９】
３）データチェック／フィルタリング
・バッファメモリ内に格納されたデータを、制御モジュール18へ転送する。
・所定のフィルタ基準のファンクションとしてデータをフィルタリングする。
【００４０】
４）認証されたデータをバッファメモリ内に格納する。
・アビオニクスドメイン11とオープンドメイン12とへのアクセスを制御するスイッチ14及び15がそれぞれオープン及びクローズであるかをチェックする。
・すべての以前のデータが削除された後、データをバッファ記憶モジュール17へ転送する。
・モジュール19のメモリを消去する。
・アビオニクスドメインアクセススイッチ14（オープンにされているオープンドメインアクセススイッチ15）をクローズにする。
・第２プロトコルを初期化して、取得モジュール17からアビオニクスドメインまでデータを転送する。
【００４１】
図２は、本発明のシステムのオペレーション例を図示したフローチャートである。
【００４２】
このフローチャートは、以下のステップを具備している。
【００４３】
１）本発明のシステムの構成を初期化するためのステップ21
オープンドメイン12へのアクセススイッチ15はオープンにされ、かつ、アビオニクスドメイン11へのアクセススイッチ11はクローズにされる。
【００４４】
２）アクセス制御構成23及び認証又はアクセス制御規則24を受信する、本発明のシステムを更新するためのステップ22
【００４５】
３）以下のステップを備えた、本発明のシステムの構成を変更させるためのテスト25
・スイッチ15はオープンにされ、かつ、スイッチ14はクローズにされ、出力26が、その後、ステップ27によって、第２プロトコル（アビオニクスドメインエンド）を初期化し、かつ、ステップ21にリターンする。
・スイッチ15はクローズされ、かつ、スイッチ14はオープンにされ、出力28が、その後、
＊ステップ29によって、第１プロトコル（オープンドメインエンド）を初期化し、
＊ステップ30によって、データをバッファメモリ内に格納し、かつ、データをオープンドメインから取得し、
＊ステップ31によって、データフィルタ構成32を受信するデータをフィルタリングし（ファイアウォール機能）、
＊ステップ33によって、有効なデータを記憶し、かつ、変更構成ステップ25の以前に、リターンし、かつ、
＊ステップ34によって、バッファメモリを消去する。
【００４６】
データは、以下のように、オープンドメインとアビオニクスドメインとの間で転送される。
１）テスト25からの出力28が第１ステップで使用される。
２）同じテスト25からの出力26が第２ステップで使用される。
【符号の説明】
【００４７】
10 セキュリティデバイス
11 アビオニクスドメイン
12 オープンドメイン
13 単一方向リンク
14，15 ハードウェアスイッチ
16 制御装置
17，19 取得、バッファ記憶、及び、転送モジュール
18 データ制御モジュール（「ファイアウォール」）
20 オペレータ認証手段
【特許請求の範囲】
【請求項１】
オンボード航空機の情報システムへのオンボードアクセス制御システムであって、
明確に定義された証明規則を満足するアビオニクスドメイン（11）と、
すべてのオペレータにアクセス可能な公衆コンポーネントに基づくオープンドメイン（12）と
を備え、
セキュリティ上の理由のため、これらの２つのドメインが、前記アビオニクスドメインから前記オープンドメインまでの単一方向リンク（13）を通じて、相互に接続されるシステムにおいて、
オペレータ認証手段（20）と、
・これらの２つのドメインのそれぞれへのアクセスを制御し、電子施錠のようにオペレーションする、１セットの２つのアクセススイッチ（14,15）と、
・前記オペレータのプロファイルによって決まる期間中に、これらの２つのスイッチ（14,15）のオープンを制御する、制御装置（16）と、
・取得し、前記オープンドメインから生じるデータをバッファメモリ内に入れ、かつ、前記アビオニクスドメインに転送するためのモジュール（17）と、
・前記オープンドメインからのデータを取得し、かつ、それをバッファメモリ内に入れる、取得モジュール（19）と、
・バッファメモリ間のすべての交換に適用可能なフィルタ基準を定義する、データ制御モジュール（18）と
を具備するセキュリティデバイス（10）と
を具備し、
前記オープンドメイン（12）から前記アビオニクスドメイン（11）までのセキュアな通信を可能にさせ、その結果、これらの２つのドメイン間で２方向の通信を可能にすることを特徴とするシステム。
【請求項２】
前記オペレータ認証手段（20）は、電子カード読み出し手段か、バイオメトリックス手段か、又は、コード読み出し手段を具備することを特徴とする請求項１に記載のシステム。
【請求項３】
前記オペレータ認証手段（20）は、地上のオペレータが自身を識別することができるように、航空機と地上との間にセキュアなリンクを具備することを特徴とする請求項１に記載のシステム。
【請求項４】
前記スイッチ（14,15）はハードウェアスイッチであることを特徴とする請求項１に記載のシステム。
【請求項５】
前記制御モジュール（18）は、ＯＳＩモデルのネットワーク、トランスポート、及びアプリケーション層における保護メカニズムを具備することを特徴とする請求項１に記載のシステム。
【請求項６】
前記制御モジュール（18）は、暗号化手段を具備することを特徴とする請求項１に記載のシステム。
【請求項７】
前記制御モジュール（18）は、データフィルタリングテーブルによって構成されることを特徴とする請求項１に記載のシステム。
【請求項８】
これらの２つのアビオニクス及びオープンドメインのそれぞれで使用されるプロトコルは異なり、かつ、
これらの２つのドメイン間のデータ交換のセキュリティを向上させるのに関与することを特徴とする請求項１に記載のシステム。
【請求項９】
前記航空機は飛行機であることを特徴とする請求項１乃至８のいずれか１項に記載のシステム。
【請求項１０】
請求項１乃至８のいずれか１項に記載のシステムを使用する航空機。
【請求項１】
オンボード航空機の情報システムへのオンボードアクセス制御システムであって、
明確に定義された証明規則を満足するアビオニクスドメイン（11）と、
すべてのオペレータにアクセス可能な公衆コンポーネントに基づくオープンドメイン（12）と
を備え、
セキュリティ上の理由のため、これらの２つのドメインが、前記アビオニクスドメインから前記オープンドメインまでの単一方向リンク（13）を通じて、相互に接続されるシステムにおいて、
オペレータ認証手段（20）と、
・これらの２つのドメインのそれぞれへのアクセスを制御し、電子施錠のようにオペレーションする、１セットの２つのアクセススイッチ（14,15）と、
・前記オペレータのプロファイルによって決まる期間中に、これらの２つのスイッチ（14,15）のオープンを制御する、制御装置（16）と、
・取得し、前記オープンドメインから生じるデータをバッファメモリ内に入れ、かつ、前記アビオニクスドメインに転送するためのモジュール（17）と、
・前記オープンドメインからのデータを取得し、かつ、それをバッファメモリ内に入れる、取得モジュール（19）と、
・バッファメモリ間のすべての交換に適用可能なフィルタ基準を定義する、データ制御モジュール（18）と
を具備するセキュリティデバイス（10）と
を具備し、
前記オープンドメイン（12）から前記アビオニクスドメイン（11）までのセキュアな通信を可能にさせ、その結果、これらの２つのドメイン間で２方向の通信を可能にすることを特徴とするシステム。
【請求項２】
前記オペレータ認証手段（20）は、電子カード読み出し手段か、バイオメトリックス手段か、又は、コード読み出し手段を具備することを特徴とする請求項１に記載のシステム。
【請求項３】
前記オペレータ認証手段（20）は、地上のオペレータが自身を識別することができるように、航空機と地上との間にセキュアなリンクを具備することを特徴とする請求項１に記載のシステム。
【請求項４】
前記スイッチ（14,15）はハードウェアスイッチであることを特徴とする請求項１に記載のシステム。
【請求項５】
前記制御モジュール（18）は、ＯＳＩモデルのネットワーク、トランスポート、及びアプリケーション層における保護メカニズムを具備することを特徴とする請求項１に記載のシステム。
【請求項６】
前記制御モジュール（18）は、暗号化手段を具備することを特徴とする請求項１に記載のシステム。
【請求項７】
前記制御モジュール（18）は、データフィルタリングテーブルによって構成されることを特徴とする請求項１に記載のシステム。
【請求項８】
これらの２つのアビオニクス及びオープンドメインのそれぞれで使用されるプロトコルは異なり、かつ、
これらの２つのドメイン間のデータ交換のセキュリティを向上させるのに関与することを特徴とする請求項１に記載のシステム。
【請求項９】
前記航空機は飛行機であることを特徴とする請求項１乃至８のいずれか１項に記載のシステム。
【請求項１０】
請求項１乃至８のいずれか１項に記載のシステムを使用する航空機。
【図１】
【図２】
【図２】
【公表番号】特表２０１０−５３１４８４（Ｐ２０１０−５３１４８４Ａ）
【公表日】平成２２年９月２４日（２０１０．９．２４）
【国際特許分類】
【出願番号】特願２０１０−５１０７６５（Ｐ２０１０−５１０７６５）
【出願日】平成２０年６月３日（２００８．６．３）
【国際出願番号】ＰＣＴ／ＥＰ２００８／０５６８４４
【国際公開番号】ＷＯ２００８／１４８７５６
【国際公開日】平成２０年１２月１１日（２００８．１２．１１）
【出願人】（５０９２３０４０３）エアバス・オペレーションズ (30)
【Ｆターム（参考）】
【公表日】平成２２年９月２４日（２０１０．９．２４）
【国際特許分類】
【出願日】平成２０年６月３日（２００８．６．３）
【国際出願番号】ＰＣＴ／ＥＰ２００８／０５６８４４
【国際公開番号】ＷＯ２００８／１４８７５６
【国際公開日】平成２０年１２月１１日（２００８．１２．１１）
【出願人】（５０９２３０４０３）エアバス・オペレーションズ (30)
【Ｆターム（参考）】
[ Back to top ]