デバイスインテグリティの認証のための方法及びシステム
【課題】装置におけるエラーを検出し、遠隔のソフトウェアの不正使用又はインサイダ攻撃からネットワーク装置を保護する。
【解決手段】ネットワーク装置は、プロセッサを使用して装置の測定されたインテグリティの値を決定することでインテグリティの認証を行う。測定されたインテグリティの値は、装置の埋め込まれたインテグリティの値とプロセッサにより比較される。比較に基づいて、装置へのポリシーの適用がプロセッサにより容易にされる。
【解決手段】ネットワーク装置は、プロセッサを使用して装置の測定されたインテグリティの値を決定することでインテグリティの認証を行う。測定されたインテグリティの値は、装置の埋め込まれたインテグリティの値とプロセッサにより比較される。比較に基づいて、装置へのポリシーの適用がプロセッサにより容易にされる。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、ネットワーク装置に関し、より詳細には、デバイスインテグリティの認証の方法及びシステムに関する。
【背景技術】
【０００２】
次世代の使用に準備するため、国家の老朽化している配電網を近代化させる試みが増加している。この近代化は、ネットワーク化されて遠隔制御される多くの産業制御機器により配電網にデジタル化をもたらしている。しかし、これらの機器がどのように相互接続されて通信するかに関する詳細は、独自仕様のままである。近代化により、ますます多くの装置がネットワークに追加され、オープンスタンダード及び技術により実現される。ネットワーク化される機器の例は、電力使用のメータの読み取りを提供する顧客の敷地に配置されるスマートメータである。スマートメータは、制限された保護又は不十分なセキュリティの措置により配置される。幾つかのスマートメータは、メータが何時開いたか又は移動されたかを検出することができる不正検出メカニズムが設けられる場合がある。これに応じて、メータは、シャットダウンするか又は警告信号を送出する。多くの実現では、スマートメータは、あるメータから別のメータに重要データを送出する。ネットワークにおけるあるメータが危険にさらされると、この重要データは、不正利益のためにシステムの動作に悪影響を及ぼすために使用することができる。現在のスマートメータは、インサイダーによる攻撃、又はスマートメータにおいて実行されるソフトウェアに影響を及ぼすゼロデイ攻撃を遠隔的に検出する機能を有していない。
【発明の概要】
【課題を解決するための手段】
【０００３】
以上から、装置におけるエラーを検出し、遠隔のソフトウェアの不正使用又はインサイダ攻撃からネットワーク装置を保護する必要が生じていることが当業者により理解されるであろう。本発明によれば、ネットワークにおける従来の装置のセキュリティに関連する課題及び問題点を実質的に解消するか、大幅に低減するデバイスインテグリティの認証の方法及びシステムが提供される。
【０００４】
本発明の１実施の形態によれば、デバイスインテグリティの認証の方法が提供され、ある装置の測定されたインテグリティの値をプロセッサを使用して決定するステップを含む。装置の測定されたインテグリティの値は、プロセッサにより装置の埋め込まれたインテグリティの値と比較される。比較に基づいて装置へのポリシーの適用が支援される。
【０００５】
本発明の所定の実施の形態は、１以上の技術的利点を提供する。１実施の形態の技術的利点の例は、そのインテグリティを決定するためにセルフチェックを装置に実行させる。別の技術的利点は、インテグリティの認証の結果に基づいて、装置にポリシーを適用することである。
【０００６】
本発明の所定の実施の形態は、上記技術的利点の一部又は全部を含む。１以上の他の技術的利点は、図面、詳細な説明、及び本明細書に含まれる特許請求の範囲から当業者により容易に明らかとなるであろう。
【図面の簡単な説明】
【０００７】
本発明の更に完全な理解のため、及び本発明の更なる特徴及び利点の理解のため、添付図面と共に以下の説明が参照され、同じ参照符号は、同じ構成要素を表す。
【図１】ネットワーク装置をもつシステムの例示的な実施の形態を示す図である。
【図２】ネットワークにおける装置の例示的な実施の形態を示す図である。
【図３】装置においてセキュリティチェックを実行する方法の例示的な実施の形態を示す図である。
【図４】装置の測定されたインテグリティの値を計算する方法の例示的な実施の形態を示す図である。
【図５】２つの装置及びバックエンドサーバを持つシステムの例示的な実施の形態を示す図である。
【図６】第二の装置が第一の装置の信頼水準を決定するのを可能にする方法の例示的な実施の形態を示す図である。
【図７】第一の装置から第二の装置にデータを送信する方法の例示的な実施の形態を示す図である。
【図８】第一の装置から第二の装置でデータを受信する方法の例示的な実施の形態を示す図である。
【発明を実施するための形態】
【０００８】
図１は、１以上の装置１０５にポリシーを適用するのを容易にするシステム１００の実施の形態を示す。この実施の形態では、システム１００は、装置１０５、ゲートウェイ１１０及びバックエンドサーバ１１５を有するネットワークを含む。装置１０５は、互いに通信し、ゲートウェイ１１０と通信する。装置１０５は、所定の実施の形態では、直接に又はゲートウェイ１１０を通して、バックエンドサーバ１１５と通信する。以下の図で更に詳細に記載されるように、様々な状況下で、装置１０５は、あるポリシーに従って所定の動作を行う。装置１０５は、ローカルストレージにおいてポリシーを記憶するか、代替的に、外部ソースは、ポリシーを装置１０５に伝達する。たとえば、ポリシーは、他の装置１０５から、ゲートウェイ１１０及び／又は他の装置１０５を介してバックエンドサーバ１１５から、或いはバックエンドサーバ１１５から直接的に到来する。
【０００９】
装置１０５、ゲートウェイ１１０及びバックエンドサーバ１１５は、適切な通信ネットワークに結合される。通信ネットワークは、以下のうちの１以上の一部又は全部を有する。公衆交換電話網（PSTN）、公衆又は私設データネットワーク、ローカルエリアネットワーク（LAN）、メトロポリタンエリアネットワーク（MAN）、ワイドエリアネットワーク（WAN）、インターネットのようなローカル、地域又はグローバル通信又はコンピュータネットワーク、有線又は無線ネットワーク、企業イントラネット、他の適切な通信リンク、又は上述の何れかの組み合わせ。たとえば、所定の実施の形態では、ゲートウェイ１１０は、ファイババックボーンによりバックエンドサーバ１１５に接続される。さらに、装置１０５は、他の装置１０５、ある装置１０５からゲートウェイ１１０、及びバックエンドサーバ１１５に無線でデータを送信する無線送信機を有する。
【００１０】
システム１００の特定の実施の形態では、装置１０５は、電気公益事業の顧客の電力使用量を測定するスマートメータとして動作する。装置１０５がスマートメータとして動作するとき、これらの装置は、メッシュネットワークを形成し、このメッシュネットワークでは、管理データ、制御データ、及びメータデータは、装置から装置へと送信され、それぞれの装置は、中継ノードとしての役割を果たす。これらの実施の形態では、バックエンドサーバ１１５は、電気公益事業会社に位置される。メータデータは、特定の顧客の敷地内での電力使用に関する情報を含む。制御データは、１以上の装置１０５の特定のコンポーネントの制御に関連するデータを有する。管理データは、ネットワークの形成及び維持に関連するデータを有する。たとえば、管理データは、特定の装置１０５からのデータがバックエンドサーバ１１５に到達するために要する経路を示す。
【００１１】
スマートメータネットワークにおける装置又はノードが危険にさらされる場合、あるノードから送出されるデータは、様々な違法な目的で使用されるような危険にさらされる場合がある。たとえば、管理データは、ネットワークのルーティング機能を乱すために使用される。制御データは、電力を遠隔的に接続又は遮断するために使用される場合がある。メータデータは、経済的な利益のために電力使用量を偽って報告するために使用される。以下の図の説明において更に十分に記載されるように、あるポリシーは、異なるタイプのデータと関連付けされ、このポリシーは、危険にさらされたデータの送信を低減するのを助け、及び／又は危険にさらされたデータがネットワークにおける他のコンポーネントに有する影響を低減するのを助ける。システム１００のコンポーネントは、様々な暗号化及び鍵管理技術を使用して互いに通信する。
【００１２】
他の実施の形態では、装置１０５は、ある装置の範囲の何れかである場合がある。たとえば、スマートメータに加えて、装置１０５は、スマート配電網の他のコンポーネントの幾つかを有する。さらに広く言えば、装置１０５は、監督制御及びデータ取得（SCADA: Supervisory Control And Data Acquisition）又は産業用制御システムの１以上のコンポーネントを有する。他の実施の形態では、装置１０５は、ホームエリアネットワーク（HAN）で配置される装置である。当業者であれば、装置１０５がHANのような比較的に小規模ネットワークに配置されるか、或いは、地区又は市にわたり配置される配電網のような大規模ネットワークとして配置される。
【００１３】
図２は、あるポリシーの適用を容易にする装置１０５の実施の形態を示す。所定の実施の形態では、装置１０５は、制御処理モジュール２０５を含み、このモジュールは、装置１０５の動作及び機能にわたる一般的な制御を有する。制御処理モジュール２０５は、インテグリティチェック処理モジュール２１０、通信処理モジュール２１５、測定処理モジュール２２０及び他の一般的な処理モジュール２２５のような装置１０５の異なる機能を実行する幾つかの処理モジュールに結合される。これらの処理モジュールは、様々な機能を実行する。幾つかの実施の形態では、制御処理モジュール２０５は、ポリシーリポジトリ２３０、汎用ストレージ２３５、及び／又は装置識別子レジスタ２４５に結合される。ポリシーリポジトリ２３０は、所定の条件下で装置１０５に適用されるポリシーを含む。汎用ストレージ２３５は、制御処理モジュール２０５及び装置１０５に含まれる他の処理モジュールにより一般的にアクセス可能なストレージユニットを有する。装置識別子レジスタ２４５は、装置１０５の識別子の値を含むように構成される。
【００１４】
通信処理モジュール２１５、測定処理モジュール２２０及び汎用処理モジュール２２５は、広い範囲の機能を実行する。所定の実施の形態では、通信処理モジュール２１５は、他の装置１０５、ゲートウェイ１１０、バックエンドサーバ１１５又は任意の他の外部ソースからの通信を送信又は受信する。また、通信処理モジュールは、所定の情報が特定の目的地に到達するために要する経路の決定を支援する。たとえば、通信処理モジュール２１５は、あるデータの送信が特定の他の装置１０５、特定のゲートウェイ１１０又はバックエンドサーバ１１５に到達するために、どの他の装置１０５と通信すべきかを判定する。装置１０５が電力のスマートメータである実施の形態では、測定処理モジュール２２０は、電力の顧客の敷地内の電力使用量を測定する。汎用処理モジュール２２５は、装置１０５に近い周辺の環境要素の測定、装置１０５の各種エレメントの試験、及び装置１０５の適切な温度の維持、のような多数の機能を実行する。通信処理モジュール２１５、測定処理モジュール２２０、及び汎用処理モジュール２２５は、ポリシーリポジトリ２３０に記憶されるあるポリシーに従って制御処理モジュール２０５の指示の下で動作する。
【００１５】
装置識別子のレジスタ２４５を含む実施の形態では、装置１０５の識別子、以下に更に詳細に記載されるように、どのポリシーを装置１０５に適用すべきかを判定するために使用される。限定されるものではない例として、識別子は、MAC（Media Access Control）アドレス又はIP（Internet Protocol）アドレスを含む。識別子は、ランタイムで装置識別子レジスタ２４５といったハードウェアに組み込みされているか、ハードコードされているか、又は、代替的に、装置１０５の配置後に更新可能である場合がある。識別子は、複数の装置１０５における特定の装置１０５を一意的に識別する点で固有である。代替的に、特定の装置１０５の装置識別子レジスタ２４５に含まれる識別子は、１以上の他の装置１０５の識別子と同じである。これは、たとえば多数の地区を有する市において生じる場合がある。特定の地区に共通する装置は、共通の識別子を共有する。装置１０５の所定の実施の形態は、装置識別子レジスタ２４５を持たないか、１，２又は２を超える装置識別子レジスタを含む。これらは、本明細書で説明される識別子のタイプの組み合わせを含むように構成される。
【００１６】
所定の実施の形態では、装置１０５がひとたびフィールドに配置されると装置識別子レジスタ２４５が変更することが困難になるように、装置識別子レジスタ２４５は、装置１０５の保護されたセクションにある場合がある。装置１０５の保護されたセクションは、ハードウェア、ソフトウェア又はファームウェアで構成される。たとえば、装置識別子レジスタ２４５は、リードオンリメモリの一部であるか又は変更不可能であるように構成されるプログラムから計算される。
【００１７】
埋め込まれたインテグリティ値のレジスタ２４０は、以下に更に詳細に記載されるように、そのインテグリティチェックを実行するとき、インテグリティチェック処理モジュール２１０によりアクセスすることができる値を記憶する。埋め込まれたインテグリティ値のレジスタ２４０に記憶された値は、装置１０５の製造時にプログラムされる場合がある。代替的に、埋め込まれたインテグリティ値のレジスタ２４０に記憶された値は、たとえばシステムの大規模なアップグレードに応答して、後にプログラムされる場合がある。埋め込まれたインテグリティ値のレジスタ２４０は、装置識別子レジスタ２４５について上述されたのと同じやり方で装置１０５、保護されたセクションの一部である場合がある。幾つかの実施の形態では、装置１０８は、多数の埋め込まれたインテグリティ値レジスタ２４０を利用する場合がある。これらの実施の形態では、埋め込まれたインテグリティ値のレジスタは、ハードウェア、ファームウェア又はソフトウェアのような様々なフォーマットを利用する場合がある。このアプローチは、以下に更に記載されるように、インテグリティチェック処理モジュール２１０のインテグリティチェック機能における冗長度を許容する。
【００１８】
所定の実施の形態では、インテグリティチェック処理モジュール２１０は、装置測定されたインテグリティ値を決定し、決定されたインテグリティ値を埋め込まれたインテグリティ値のレジスタ２４０に記憶される埋め込まれたインテグリティ値に比較することで、インテグリティチェックを実行する。インテグリティチェック処理モジュール２１０は、装置１０５の他の処理モジュール及び／又はソフトウェアの１以上のセクタ値を集めることで、装置１０５の測定されたインテグリティ値を決定する。セクタ値は、指定されたレジスタ、メモリブロック、コードブロック又はモジュールの他のコンポーネントから到来する。インテグリティチェック処理モジュール２１０は、通信処理モジュール２１５、測定処理モジュール２２０、及び１以上の汎用処理モジュール２２５のセクタ値を決定する。次いで、インテグリティチェック処理モジュール２１０は、これらの処理モジュールのセクタ値を加算し、測定されたインテグリティ値がこれらセクタ値の合計となる。他の実施の形態では、インテグリティチェック処理モジュール２１０は、１以上の予め決定された処理モジュールのセクタ値に基づいてチェックサムを計算する。
【００１９】
インテグリティチェックの処理モジュール２１０は、本発明の開示の範囲のままで、多数の式の何れかを使用して測定されたインテグリティの値を決定する。所定の実施の形態では、式は、セクタ値に加えて、日時、日付、装置の周りの周囲光の大きさ、装置の周りの周囲温度、ゲートウェイ１１０又はバックエンドサーバ１１５への近さ、及び／又は装置１０５がスマートメータである場合にメータの使用量のような他の要素からなる関数である。これらの実施の形態では、埋め込まれた値のレジスタに記憶された値は、式に従ってこれら他の要素の値に依存して変化する。インテグリティチェックを行うときに様々な式の使用は、非道な第三者が装置を危険にすることのリスクを低減する場合がある。
【００２０】
多数の埋め込まれたインテグリティ値レジスタ２４０を採用した所定の実施の形態では、インテグリティチェック処理モジュール２１０は、埋め込まれたインテグリティ値レジスタ２４０のそれぞれの集合に対して測定されたインテグリティ値を比較するためにプログラムされる。代替的に、インテグリティチェック処理モジュール２１０は、インテグリティ値レジスタ２４０のサブセットの集合に対して測定されたインテグリティ値を比較する。幾つかの実施の形態では、インテグリティチェック処理モジュール２１０は、多数の測定されたインテグリティ値を計算するために構成される。インテグリティチェック処理モジュール２１０は、１以上の測定されたインテグリティ値を１以上の埋め込まれたインテグリティ値に比較する。インテグリティチェック処理モジュール２１０は、処理モジュール２０５を制御するため、多数の比較の結果を報告する。ポリシーリポジトリに記憶されるポリシーは、以下に更に説明されるように、比較の結果に依存して指示を提供する。
【００２１】
所定の実施の形態では、インテグリティチェック処理モジュール２１０は、最終的に測定されたインテグリティ値又はハッシュ値とも呼ばれる、上述された測定されたインテグリティ値に加えて、中間の測定された値を記憶する。これら中間の値は、最終的に測定されたインテグリティ値を決定するために使用されるセクタ値のサブセットに基づいている。たとえば、第一の中間値は、通信処理モジュール２１５及び測定処理モジュール２２０のセクタ値に基づいている。第二の中間値は、通信処理モジュール２１５、測定処理モジュール２２０、及び汎用処理モジュール２２５のうちの１つのセクタ値に基づいている。所定の実施の形態では、第一の中間値は、通信処理モジュール２１５と測定処理モジュール２２０のセクタ値の合計である。第二の中間値は、たとえば通信処理モジュール２１５、測定処理モジュール２２０、及び汎用処理モジュール２２５のうちの１つのセクタ値の、合計又は排他的論理和（XOR）を含む数値である。インテグリティチェック処理モジュール２１０は、これらの中間値を汎用ストレージ２３５に記憶する。制御処理モジュール２０５は、ポリシーリポジトリ２３０に記憶されたポリシーに従って、汎用ストレージ２０５からこれらの値にアクセスする。
【００２２】
インテグリティチェック処理モジュール２１０は、所定の実施の形態における信頼されるコンピュータグループからの信頼されるプラットフォームモジュール（TPM: Trusted Platform Module）により実現される場合がある。TPMは、オープンな国際標準に依存し、装置１０５の他の処理モジュールとの統合の試みを容易にする。
【００２３】
インテグリティチェック処理モジュール２１０は、処理モジュール２０５を制御するため、埋め込まれたインテグリティ値のレジスタ２４０における値と測定されたインテグリティ値との比較の結果を報告する。制御処理モジュール２０５は、インテグリティチェック処理モジュール２１０により実行されるインテグリティチェックの結果に基づいてポリシーリポジトリ２３０における１以上のポリシーを適用する。ポリシーリポジトリ２３０は、装置識別子レジスタ２４５について上述されたのと同様にやり方で装置１０５の保護されたセクションの一部である。ポリシーリポジトリ２３０の保護のレベルは、所定の状況下で個々のポリシーを、不正防止の機能をより高いものにする。
【００２４】
比較の結果に依存して、ポリシーは、装置１０５の１以上の処理モジュールの動作機能を変更するように制御処理モジュール２０５に指示する。所定の実施の形態では、値が整合しない場合、ポリシーは、装置１０５の１以上の処理モジュールを無効にするように制御処理モジュール２０５に指示する。たとえば、制御処理モジュール２０５は、通信処理モジュール２１５、測定処理モジュール２２０、又は１以上の汎用処理モジュール２２５の機能を無効にするか、又はさもなければ機能を制限する。通常の動作において、通信処理モジュール２１５は、他の装置１０５と通信し、任意のタイプのデータを他の装置１０５に伝達するように、フル機能のセットで動作する場合がある。測定されたインテグリティ値が埋め込まれたインテグリティ値と整合しない例では、制御処理モジュール２０５は、ポリシーに従って、通信処理モジュール２１５の機能を完全に無効にし、その通信機能を所定のデータタイプを伝達することに制限する。所定の実施の形態において、通信処理モジュール２１５は、メータデータを送信することが許可されるが、管理データ又は制御データの何れかを送信することは許可されない。他の実施の形態では、ポリシーは、装置１０５全体を無効にするように制御処理モジュール２０５に指示する。
【００２５】
所定の実施の形態では、装置１０５のデフォルト又は通常のポリシーは、装置１０５の所定の処理モジュールが無効にされたことを提供する。装置１０５の有効にされた処理モジュール又は（別の装置１０５のような）外部の動作主が装置１０５の正常に無効にされた処理モジュールにより実行される機能を要求する場合、ポリシーは、インテグリティチェック処理モジュール２１０によるインテグリティチェックを実行することを装置１０５に要求する。幾つかの実施の形態では、制御処理モジュール２０５は、インテグリティチェックが上述された説明に従って整合する場合に正常に無効にされた処理モジュールを有効にする。当業者であれば、あるポリシーが制御処理モジュール２０５に、インテグリティチェック処理モジュール２１０によるインテグリティチェックの結果に従って装置１０５の様々な処理モジュールの機能のレベルを開始、停止又は維持するように指示することを認識することであろう。
【００２６】
最終的に測定されたインテグリティ値が埋め込まれたインテグリティ値に整合しない場合、ポリシーリポジトリ２３０に記憶されているポリシーは、制御処理モジュール２０５に、汎用ストレージ２３５に記憶されている１以上の中間値を検索するように指示する。ポリシーリポジトリ２３０に記憶されているポリシーは、所定の中間値に依存して異なる対策を有する。たとえば、１以上の中間値に依存して、ポリシーは、装置１０５の唯一の処理モジュールを無効にするように制御処理モジュール２０５に指示する。この例に従って、他の汎用処理モジュール２２５及び通信処理モジュール２１５がそれらの現在の機能を維持したままにする一方、汎用処理モジュール２２５のうちの１つを無効にするように、制御処理モジュール２０５を指示する。最終的に測定されたインテグリティ値と同様に、所定の中間値が期待される。所定の中間値は、所定の処理モジュールのセクタ値に直接的に依存する。ポリシーは、セクタ値に対応する処理モジュールを無効にするように制御処理モジュールに指示し、このセクタ値は、測定されたインテグリティ値と合計されたとき、不適切な結果を生じる。
【００２７】
所定の実施の形態では、たとえば装置１０５が複数の埋め込まれたインテグリティ値のレジスタ２４０を含む場合に、インテグリティチェック処理モジュール２１０は、複数の比較の結果を報告する。複数の埋め込まれたインテグリティ値のレジスタ２４０を持つ実施の形態では、ポリシーリポジトリ２３０に記憶されたポリシーは、どの位多くの比較が整合することができないかに依存して様々なオプションを提供する。たとえば、３つの埋め込まれたインテグリティ値のレジスタ２４０を採用する装置１０５において、ポリシーは、残りの１又は複数の不覚が整合しない一方、１又は複数の比較が上手く整合する場合に、係属された機能を可能にする。これらの比較のそれぞれについて、１以上の中間値は、上述された手順に従って決定される。インテグリティチェック処理モジュール２１０は、制御処理モジュール２０５による後のアクセスのため、汎用ストレージ２３５において、比較のそれぞれについて１以上の決定された中間値を記憶する。制御処理モジュール２０５は、たとえば測定されたインテグリティ値が埋め込まれたインテグリティ値のレジスタ２４０に記憶されている値と整合しない場合に、１以上の中間値にアクセスする。
【００２８】
所定の実施の形態では、ポリシーリポジトリ２３０に記憶されているポリシーは、インテグリティチェックが失敗した場合に、通信処理モジュール２１５がバックエンドサーバ１１５に連絡するのを試みるのを可能にするように、制御処理モジュール２０５に指示する。バックエンドサーバ１１５は、装置１０５に適用すべきポリシーを決定する。どのような機能を装置１０５が実行するのを許可されるべきかを決定することにおいてバックエンドサーバ１１５を支援するため、装置１０５は、所定の情報をバックエンドサーバ１１５に送信する。この情報は、測定されたインテグリティ値、装置識別子レジスタ２４５に記憶されている値、中間の測定された値、及び／又は装置１０５に適用すべきポリシーを決定するためにバックエンドサーバを支援するのに適した他の情報を含む幾つかのアイテムを含む。この情報に基づいて、バックエンドサーバ１１５は、適用すべき装置１０５のポリシーを送信する。このポリシーは、ポリシーリポジトリ２３０に記憶されているポリシーに類似して、処理モジュール２１５，２２０及び／又は２２５がそれらの現在の機能を開始、停止又は維持するのを可能にするように、制御処理モジュール２０５に指示する。所定の実施の形態では、バックエンドサーバ１１５は、装置１０５を完全に無効にするように制御処理モジュール２０５に指示するポリシーを送信する。所定の実施の形態では、バックエンドサーバ１１５は、現場での故障修理のために装置１０５の位置に技術者を自動的に派遣する。
【００２９】
バックエンドサーバ１１５は、幾つかの実施の形態では、適用すべき装置１０５のポリシーの決定において、装置１０５により送信された識別子を使用する。たとえば、装置１０５が他の装置１０５による通信経路について強く依存しているように位置されることをバックエンドサーバが識別子から判定した場合、その通信処理モジュール２１５についてフルレベルの機能を維持するように装置１０５に指示するポリシーを送信する。別の例では、バックエンドサーバ１１５は、他の適切な通信ノードがすぐ近くにある場合にその通信処理モジュール２１５をシャットダウンする指示を提供する。
【００３０】
図３は、インテグリティチェックを開始し、インテグリティチェックの結果に従ってポリシーの適用を支援する方法３００の実施の形態を例示する。本方法はステップ３０５で開始し、ステップ３０５で、装置１０５のインテグリティチェック処理モジュールは、装置１０５の測定されたインテグリティ値を計算する。ステップ３０５の実施の形態は、図４の説明の間に更に十分に記載される。ステップ３１０で、埋め込まれたインテグリティ値は、装置１０５の測定されたインテグリティ値に比較される。ステップ３１５で、埋め込まれたインテグリティ値が測定されたインテグリティ値に整合するかに関する判定が行われる。値が整合する場合、本方法は、ステップ３２５で、パスしたインテグリティチェックについてポリシーが実行される。このポリシーは、装置１０５の１以上の処理モジュールの１以上の機能を有効にすること及び／又は無効にしないことを含む。
【００３１】
ステップ３１５で値が整合しない場合、本方法は、ステップ３２０で、失敗したインテグリティチェックについてポリシーを実行する。このポリシーは、装置１０５の１以上の処理モジュールの１以上の機能を無効にすること及び／又は有効にしないことを含む。ポリシーは、汎用ストレージ２３５に記憶されている中間値にアクセスすることを含む。ポリシーは、これら中間値に依存して特定の処理モジュールの１以上の特徴を無効にすること及び／又は有効にしないことを提供する。たとえば、所定の中間値が期待されたものではない場合、ポリシーは、期待されない中間値に対応する特定の処理モジュールの１以上の特徴を無効にすること及び／又は有効にしないことを提供する。また、ポリシーは、バックエンドサーバ１１５に連絡すること、バックエンドサーバ１１５に所定の情報を送出すること、バックエンドサーバ１１５から第二のポリシーの形式で指示を受信することを含む。第二のポリシーは、送出された情報に基づいている。どのポリシーが適用されるべきかに関する判定は、測定されたインテグリティ値と埋め込まれたインテグリティ値との間の１以上の差に依存する。
【００３２】
本方法３００の他の実施の形態は、複数の埋め込まれたインテグリティ値及び／又は複数の測定されたインテグリティ値に関連するステップを含む。これらの実施の形態では、本方法は、これらの複数の値を利用するポリシーを適用することに向けられるステップを含む。たとえば、複数の比較が行われる場合、ポリシーは、全てのチェックがパスしない場合に、所定の比較を他の比較よりも好む。この例に従って、ポリシーは、３回の比較のうちで２回失敗したときに、処理モジュールの１以上の機能を無効にすること及び／又は有効にしないことを提供する。幾つかの実施の形態では、ポリシーは、失敗した比較を生じた埋め込まれたインテグリティ値のレジスタのタイプに依存する（たとえばハードウェア、ソフトウェア又はファームウェア）。
【００３３】
また、本方法３００は、汎用ストレージ２３５のようなストレージユニットに測定されたインテグリティ値を記憶するステップを含む。測定されたインテグリティ値は、（インテグリティチェック処理モジュール２１０自身の一部である）装置上の位置されるセキュアストレージに記憶される。測定されたインテグリティ値は、インテグリティチェックのその後の要求に応答してアクセスされる。ポリシーは、比較に応答して後に実行される。前もってインテグリティ値を測定すること、測定されたインテグリティ値を記憶すること、その後、インテグリティチェックの要求に応答して、比較の結果に従ってポリシーを実行することで、処理の遅延を低減することができる。たとえば、測定されたインテグリティ値が既に決定されている場合、インテグリティチェックの要求に応答するために要する時間は、測定を実行するのに要する時間の一部を除く。これにより、処理時間を低減することができる。
【００３４】
所定の実施の形態では、装置がブートアップされたときに本方法３００を実行するようにプログラムされる。本装置は、比較に応答して自動的にポリシーを適用するか、又はその測定されたインテグリティ値をストレージに記憶する。装置は、インテグリティチェックの要求に応答してその比較の結果に従ってポリシーを適用する。測定されたインテグリティ値が後のアクセスのためにストレージに記憶されている場合、タイムアウトと関連付けされる。タイムアウトがパスした後、装置は、インテグリティチェックの結果を判定する前に、その測定されたインテグリティ値を計算するために必要とされる。所定の実施の形態では、装置は、予め決定されたスケジュールに従って本方法３００を実行する。たとえば、装置１０５は、一日に４回から６回の等しい時間間隔で本方法３００を実行するようにプログラムされる。他の実施の形態では、装置１０５は、オフピーク時間の間に本方法３００を実行するようにプログラムされ、この場合、オフピーク時間は、ネットワークトラヒックが他の時間よりも比較的低い時間を意味する。所定の実施の形態では、装置１０５は、装置１０５の外部からの要求に応答して本方法３００を実行する。たとえば、バックエンドサーバ１１５は、システム１００内の全ての装置１０５についてシステム全体のインテグリティチェックを開始する。
【００３５】
図４は、装置１０５の測定されたインテグリティ値を計算する方法３０５の例示的な実施の形態である。本方法は、ステップ４０５で開始し、ステップ４０５で、装置１０５において測定すべきセクタのリストが読み出される。セクタは、装置１０５の特定の処理モジュールに対応するか、特定の処理モジュールの一部である。幾つかの実施の形態では、セクタのリストは、予め決定されており、装置１０５の保護されたセクションに記憶される。他の実施の形態では、予め決定されたセクタは、業界で同意されている（すなわち、測定すべきセクタのリストについてストレージは不要であるが、特定の順序で所定のセクタを測定するためにプログラムされる）。
【００３６】
ステップ４１０で、ステップ４０５で取得されたリストにおける第一のセクタは、現在のセクタとして設定される。ステップ４１５は、現在のセクタ値が測定される。ステップ４２０で、本方法は、現在のセクタ値に基づいて装置１０５の最終的な測定された値を更新する。測定されたインテグリティがセクタ値の合計に依存する実施の形態では、ステップ４２０は、現在のセクタ値を最終的に測定された値に加える。合計は、最終的に測定された値として記憶される。本方法が終了したとき、最終的に測定された値は、装置１０５の測定されたインテグリティ値として報告される。合計の演算が記載されたが、（XOR演算を含む）他の算術演算が異なる実施の形態において実行される。
【００３７】
ステップ４２５で、ステップ４２０において最終的に測定された値として記憶された値は、中間の測定された値として記憶される。幾つかの実施の形態では、この中間の測定された値は、最終的に測定された値が装置１０５の埋め込まれたインテグリティ値に整合しない場合に使用される場合がある。ステップ４３０で、ステップ４０５の間に取得されたリストにおいて測定すべきセクションが存在するかに関する判定が行われる。測定すべきセクションが存在する場合、ステップ４３５で、次のセクタが現在のセクタとして設定され、本方法は、ステップ４１５に進む。ステップ４３０で、測定すべきセクタが存在しない場合、本方法はステップ４４０に進む。ステップ４４０で、最終的に測定された値は、装置１０５の測定されたインテグリティ値としてリターンされる。所定の実施の形態では、本方法３０５は、中間の測定された値をリターンする。これらは、装置１０５の汎用ストレージに記憶される。
【００３８】
所定の実施の形態では、本方法３０５は、様々な順序で、且つ図４に提供されたよりも少ないステップ又は多くのステップでそのステップを実行する。たとえば、本方法３０５は、中間値を記憶することなしに全てのセクタ値を合計する。代替的に、本方法３０５は、全ての中間値について対策を有さないポリシーに従って中間の値の幾つかのみを記憶する。幾つかの実施の形態では、本方法３０５は、最終的な測定された値と中間の測定された値とを決定するために必要とされる全ての計算を並列に実行する。これらの実施の形態は、「ルーピング」を必要とせず、同時の計算を実行するために、より多くのシステムリソースを必要とする。TPMの環境では、これらの値は、前の値とのXOR演算を必要とするので、並列ではなく、順次に計算される。
【００３９】
図５は、装置へのポリシーの適用を支援するシステム５００の実施の形態を例示する。システムには、装置５０５、装置５１０及びバックエンドサーバ５１５が含まれる。装置５０５及び５１０は、図２に示されるように、装置１０５に類似した特徴及びコンポーネントを有する。所定の実施の形態では、装置５０５は、装置５１０を介して装置５１０又はバックエンドサーバ５１５に通信するのを試みる。装置５０５は、制御データ、管理データ又はメータデータを含む異なるタイプのデータを送出するのを試みる。また、装置５０５は、失敗したインテグリティチェックに応答して、バックエンドサーバ５１５に診断データを送出するのを試みる。診断データは、測定されたインテグリティ値、識別子、中間の測定された値、バックエンドサーバ５１５がインテグリティチェックを失敗した装置の適切なポリシーを決定するのを助ける他の情報を含む。データのタイプに依存して、装置５０５は、その通信処理モジュール２１５がデータを送出するのを可能にする前に、インテグリティチェックをそれ自身で実行するポリシーを有する。インテグリティチェックが失敗した場合、装置５０５は、本方法３２０に従って失敗したインテグリティチェックについてポリシーを実行する。インテグリティチェックにパスした場合、装置５０５は、装置５１０及び／又はバックエンドサーバ５１５にデータを送出する試みを継続する。インテグリティチェックが失敗した場合、装置５０５は、１以上の特徴を無効にするか又は有効にしない。幾つかの実施の形態では、装置５０５は、装置５１０を介してバックエンドサーバ５１５に連絡を取ることを試みる。バックエンドサーバ５１５は、装置５１０を介して装置５０５にポリシーの形式で指示を送出する。
【００４０】
所定の実施の形態では、装置５１０は、装置５０５から通信のために要求を受け、インテグリティチェックを実行するように装置５０５に要求する。装置５１０は、装置５１０に装置５０５の測定されたインテグリティ値を送信するように装置５０５に要求する。次いで、装置５１０は、装置５１０の埋め込まれたインテグリティ値に対して、装置５０５の測定されたインテグリティ値をチェックする。装置５１０の埋め込まれたインテグリティ値及び装置５０５の測定されたインテグリティ値が整合する場合、装置５１０は、装置５０５が信頼できると判定する。次いで、装置５１０は、装置５０５から装置５１０に送出されたデータの処理を可能にする。
【００４１】
装置５１０の埋め込まれたインテグリティ値及び装置５０５の測定されたインテグリティチェックが整合しない場合、装置５１０は、ポリシーに依存して幾つかのオプションを有する。装置５１０に記憶されているポリシーは、装置５０５が信頼できないと判定することであり、装置５０５との全ての通信を拒否する。ポリシーは、装置５１０のために、装置５０５がそのインテグリティチェックを再び実行し、第二のインテグリティチェックから決定された測定されたインテグリティチェックを送信することを要求する。ポリシーは、指定された数の後続するインテグリティチェックを要求するように装置５１０に指示する。これは、別の測定を実行することで訂正される、測定されたインテグリティ値の可能性のある異例の測定を考慮するのを助ける。
【００４２】
別のポリシーは、装置５０５から到来する情報をどのように処理すべきかに関する更なる指示についてバックエンドサーバ５１５に連絡することである。バックエンドサーバ５１５からの指示を探し求めることにおいて、装置５１０は、バックエンドサーバ５１５が従うべき装置５１０の適切なポリシーを決定するように、装置５０５から受信された診断データを送出する。また、装置５１０は、識別子、測定されたインテグリティ値等のような装置５１０自身に関する情報を送出する。どのポリシーが適用されるべきかに関する判定は、装置５０５の測定されたインテグリティ値と装置５１０の埋め込まれたインテグリティ値との間の１以上の違いに依存する。バックエンドサーバ５１５は、システム５００に配置される装置の識別子のレコードを有する。バックエンドサーバ５１５が決定したポリシーは、識別子に依存し、この識別子は、装置５０５により送信された診断データに含まれる。バックエンドサーバ５１５は、装置５０５がインテグリティチェックに失敗したことをそのレコードに記録する。また、バックエンドサーバ５１５は、装置５０５を検査する技術者を派遣するような更なるアクションをスケジュールする。技術者は、所定の場合において装置５０５を修理、取替え、又は取り外するような多数のアクションを行う。
【００４３】
所定の実施の形態では、ポリシー（装置５１０に記憶されているポリシー又はバックエンドサーバ５１５１から受信されるポリシー）は、データタイプに依存して異なる対策を有する。たとえば、装置５０５がメータデータ又は診断データを送出するのを試みている場合、装置５１０は、装置５０５のインテグリティチェックを必要とすることなしに、そのポリシーに従ってデータの処理を可能にする。装置５０５から送出されているデータのタイプが制御データ及び／又は管理データである場合、装置５１０は、そのポリシーに従ってそのデータに関する処理を制限する。この制限は、そのタイプの通信を拒否すること、所定のタイプの処理に制限することを含む。
【００４４】
所定の実施の形態では、装置５０５は、起動したときに既存のネットワークが存在することを検出した場合に、装置の既存のネットワークに接続することを試みる。ネットワークが存在しない場合、それ自身のネットワークを開始することを試みる。装置５０５が装置５１０を通して既存のネットワークに接続するのを試みる場合、装置５１０は、上述されたものに類似したインテグリティチェックを実行するのを装置５０５に要求する。
【００４５】
ネットワークへの接続が認められた場合、装置５０５は、インテグリティチェックを受けるように装置５１０に要求し、この場合、装置５１０は、それ自身のインテグリティ値イを測定し、測定されたインテグリティ値を装置５０５に送信する必要がある。装置５０５は、装置５０５の埋め込まれたインテグリティ値に対して、装置５１０の測定されたインテグリティ値をチェックする。測定されたインテグリティ値は、セクタ値に基づいており、このセクタ値は、装置１０５のプロテクトされていないセクションに記憶される場合がある。これらプロテクトされていない（less protected）セクタは、最初のインテグリティチェック後に変更される場合がある。これは、ある装置のインテグリティチェックの結果が時間につれて変化することを意味する。たとえば、起動時にそのインテグリティチェックをパスした装置は、ネットワーク上の他の装置からの各種データの処理後に、インテグリティチェックにその後失敗する場合がある。従って、所定の装置は、他の装置がネットワークに対して既に許可されているとしても、所定の他の装置からのその後のインテグリティチェックを必要とする場合がある。
【００４６】
所定の実施の形態では、装置５１０は、装置５０５の所定の信頼水準を示す証明書を装置５０５に発行する。装置５１０の埋め込まれたインテグリティ値が装置５０５により送信された測定されたインテグリティ値に整合する場合、装置５１０は、信頼性の高い水準を有する。装置５１０の埋め込まれたインテグリティ値が装置５０５により送信された測定されたインテグリティ値に整合しない場合、装置５０５は、診断データを送信するように装置５０５に要求する。診断データに基づいて、装置５１０は、あるポリシーに従って適切な信頼の水準による証明書を発行する。信頼の水準は、装置５０５から送信されたデータに関する所定のタイプの処理に関連される。また、装置５１０は、バックエンドサーバ５１５に装置５０５により送信された診断データを送出する。診断データに基づいて、バックエンドサーバ５１５は、ある信頼のレベルを示す証明書を装置５０５に発行するように装置５１０に指示する。
【００４７】
装置５０５は、装置５１０との将来の通信を試みようとするときに証明書を提示する。これにより、装置５１０は、通信するのを試みる次回に新たなインテグリティチェックを実行するのを装置５０５に要求しない。幾つかの実施の形態では、装置５１０は、その自身の汎用ストレージに証明書を保持する。これらの実施の形態では、装置５１０は、証明書を装置５０５により送信された識別子と関連付けする。特定の実施の形態では、証明書は、指定された時間後に有効期限が切れる場合がある。証明書が存在するときでさえ、装置５１０は、所定の状況において新たなインテグリティチェックを要求する。たとえば、装置５１０は、別のインテグリティチェックを実行するように装置５０５に要求し、その装置５０５が送出しようと試みるデータのタイプが重大な特質からなる場合に、その測定されたインテグリティ値を送出する。所定の実施の形態では、証明書の使用は、装置５０５及び図５に示されない他の装置の証明書を保持及び管理することを装置５１０に要求しない。システム５００の所定の実施の形態では、証明書の使用なしで済ませ、代わりに、通信を試みるたびに、インテグリティチェックを受けるように送信する装置に要求する。幾つかの実施の形態では、それぞれの通信についてインテグリティチェックを受けるように送信する装置に要求するのではなく、証明書を使用する判定は、ネットワークの所定のセクションについて同じ形態を取る。たとえば、同じゲートウェイ下にある全ての装置は、それぞれの通信の前に、証明書を発行するか、又は測定されたインテグリティ値の送信を要求する。
【００４８】
ネットワークのコンポーネント間でデータを送信及び受信する幾つかの可能性は、この開示で議論される所与の条件を生じさせる。たとえば、メータデータは、送信する装置のインテグリティをチェックすることなしに、ネットワークを通過することが許可される場合があるが、管理データ又は制御データを送信する全ての試みは、有効な証明書又は成功したインテグリティの認証を必要とする。
【００４９】
所定の実施の形態では、装置５０５は、図５に示されない別の装置から装置５０５に送信された装置５１０にデータを送信するのを試みる。幾つかの実施の形態では、装置５１０は、装置５０５がデータの最初の情報発信源ではなかったと判定する。装置５１０は、装置５０５にデータを送信した装置がインテグリティチェックを行うこと、及びその測定されたインテグリティ値を装置５１０に送出することを必要とする。装置５１０は、この値を自身の埋め込まれたインテグリティ値と比較し、次いで比較の結果に依存してデータを処理する。なお、装置５０５にデータを送信した装置は、データの「最初の」情報発信源ではない場合があることに留意されたい。装置５１０は、装置５１０に情報を送るために使用される装置のチェインのうちの任意の装置からインテグリティチェックを要求する。所定の実施の形態では、発信する装置は、装置のネットワークを通して送出する任意のデータと共にその測定されたインテグリティ値を送信する。係るように、装置５１０は、装置５０５からデータの送信を受けたとき、発信する装置の測定されたインテグリティ値を有する。幾つかの実施の形態では、装置５１０は、その埋め込まれたインテグリティ値を、データを直接に受けた装置及び最初にデータを送出した装置の測定されたインテグリティ値と比較するのを装置５１０に要求するポリシーを有する。バックエンドサーバ５１５は、どの装置からインテグリティチェックを要求すべきかに関して、装置５１０に指示する。
【００５０】
幾つかの実施の形態では、装置のネットワークにおける埋め込まれたインテグリティ値は、同じように設定される。所定の装置の測定されたインテグリティ値は、変動する状況下において異なる場合がある。たとえば、ある市における新たな地区は、それらの測定されたインテグリティ値がその市における他の装置の埋め込まれたインテグリティ値に整合しないように設定される新たな装置を有する。この状況において、新たな地区における新たな装置は、たとえそれらが危険にさらされていないとしても、異なる測定されたインテグリティ値を有する。この状況において、他の装置のうちの１つは、先の説明に従ってこれらの新たな装置のうちの１つから到来するデータに対してどのようなポリシーを適用すべきかを判定するため、バックエンドサーバに連絡を取る。
【００５１】
図２に関して１つの装置のインテグリティチェックに関して説明された全てのオプションは、第一の装置が第二の装置と通信するのを試みるときにも利用可能である。たとえば、装置５０５及び装置５１０は、複数の埋め込まれたインテグリティ値のレジスタにより構成される。装置５０５が装置５１０と通信するのを試みるとき、装置５１０は、装置５１０の埋め込まれたインテグリティ値のレジスタに記憶されている１以上の値に対して、装置５０５の測定されたインテグリティ値を比較する。幾つかの実施の形態では、装置５０５は、様々な式に基づいた複数の測定されたインテグリティ値を有する。装置５１０は、装置５０５のそれぞれ測定されたインテグリティ値を装置５１０の１以上の埋め込まれたインテグリティ値と比較する。装置５１０は、図２の装置１０５に関して記載された比較と同様な様々な比較の結果に依存して異なる指示を提供するポリシーを有する。
【００５２】
図６は、第二の装置と通するのを試みる第一の装置の信頼水準を第二の装置が判定するのを可能にする方法６００の実施の形態を示す。本方法は、ステップ６０５で開始し、ステップ６０５で、第二の装置は、第一の装置の測定されたインテグリティ値を受信する。ステップ６１０では、第二の装置は、その埋め込まれたインテグリティ値を第一の装置により送信された測定されたインテグリティ値に比較する。ステップ６１５では、２つの値が整合するかに関する判定が行われる。２つの値が整合しない場合、ステップ６２０で、第二の装置は、第一の装置が信頼できないと判定し、第一の装置との通信が拒否される。２つの値が整合すると本方法が判定した場合、ステップ６２５で、第二の装置は第一の装置が信頼できると判定し、第一の装置との通信を継続する。
【００５３】
当業者であれば、本方法６００が様々な他のステップを含むことを認識されるであろう。たとえば、本方法６００は、第一の装置の測定されたインテグリティ値に依存して、第一の装置について異なる信頼水準を決定するステップを含む。信頼水準に依存して、第二の装置は、装置に記憶されているポリシーに従ってデータを処理する場合がある。第一の装置の測定されたインテグリティ値が第二の装置の埋め込まれたインテグリティ値に整合しない場合、第二の装置は、第一の装置がより多くの情報又は診断データを送信することを要求する。この情報は、第一の装置の識別子、第一の装置の１以上の中間の測定された値、及び第一の装置に割り当てる信頼水準の決定において、第二の装置を支援する他の情報を含む。この情報は、そのポリシーに従って第一の装置から送信されたデータをどのように処理すべきかの判定において第二の装置を誘導する。幾つかの実施の形態では、本方法は、第二の装置がバックエンドサーバに連絡を取ることを要求する。第二の装置は、第一の装置に割り当てる信頼水準の決定においてバックエンドサーバを支援するため、第一の装置から情報又は診断データを送信する。
【００５４】
図７は、第一の装置から第二の装置にデータを送信することに関連するポリシーの適用を容易にする方法７００の実施の形態を例示する。本方法は、ステップ７０５で開始し、この場合、第一の装置は、第二の装置にデータを送出する。ステップ７１０で、第一の装置が送出しようと試みるデータの少なくとも１部がプロテクトされた分類にあるかに関する判定が行われる。データがより重要なデータに対応する場合、データはプロテクトされた分類にある。幾つかの実施の形態では、管理データ及び／又は制御データはプロテクトされた分類にあり、メータデータは、プロテクトされていない。データの一部がプロテクトされた分類にない場合、本方法は、ステップ７１５に進み、ステップ７１５で、第一の装置は、第二の装置にデータを送出する試みを継続する。
【００５５】
第一の装置が送信しようとするデータの少なくとも一部がプロテクトされた分類にあると判定された場合、本方法はステップ７２０に進み、ステップ７２０で、第一の装置の測定されたインテグリティ値が決定される。ステップ７２０は、図４に示された方法３０５に挙げられたのと同じステップを有する。ステップ７２５では、第一の装置の測定されたインテグリティ値は、第一の装置の埋め込まれたインテグリティ値に比較される。ステップ７３０で、第一の装置の埋め込まれたインテグリティ値が第一の装置の測定されたインテグリティ値に整合するかに関する判定が行われる。値が整合する場合、本方法はステップ７１５に進み、ステップ７１５で、第一の装置は、第二の装置にデータを送出する試みを継続する。本方法が値が整合しないと判定した場合、本方法は、ステップ７３５に進み、ステップ７３５で、データ送信がポリシーに従って制限される。この制限は、データが全く送出されないか、又は制限された量のデータが送信において送出されることによる。たとえば、第一の装置は、データのプロテクトされていない部分を送出する試みを継続する。幾つかの実施の形態では、本方法７００は、更なる指示のためにバックエンドサーバに連絡を取ることを継続する。第一の装置が第二の装置にデータを送信する試みを継続するかの判定においてバックエンドサーバを支援するため、第一の装置は、バックエンドサーバに情報及び／又は診断データを送出する。
【００５６】
図８は、第一の装置から第二の装置でデータを受信することに関連するポリシーの適用を容易にする方法８００の実施の形態を例示する。本方法は、ステップ８０５で開始し、ステップ８０５で、第二の装置は、第一の装置からデータを受信する。ステップ８１０で、第一の装置から受信されたデータの少なくとも１部がプロテクトされた分類にあるかに関する判定が行われる。データの一部がプロテクトされた分類にないと判定された場合、本方法は、ステップ８１５に進み、ステップ８１５で、第二の装置は、そのポリシーに従って通常のやり方で第一の装置からのデータを処理する。
【００５７】
ステップ８１０で、データの少なくとも１部がプロテクトされた分類にあると判定された場合、本方法は、ステップ８２０に進む。ステップ８２０で、第一の装置の測定されたインテグリティ値は、第二の装置の埋め込まれたインテグリティ値と比較される。第一の装置がその最初のデータの送信によりその測定されたインテグリティ値を最初に送出していない場合、第二の装置は、この時、第一の装置の測定されたインテグリティ値を要求する。ステップ８２５で、第一の装置の測定されたインテグリティ値の値が第二の装置の埋め込まれたインテグリティ値に整合するかに関する判定が行われる。値が整合する場合、本方法はステップ８１５に進み、ステップ８１５で、第一の装置から送信されたデータは、通常のやり方で第二の装置により処理される。ステップ８２５で、値が整合しないと判定された場合、本方法はステップ８３０に進み、ステップ８３０で、第一の装置から送信されたデータの処理は、第二の装置のポリシーに従って制限される。所定の実施の形態では、第二の装置は、第一の装置から送信されたデータにどのようなデータが許可されるかを判定するため、バックエンドサーバに連絡する。第二の装置は、第二の装置が第一の装置により送出されたデータの処理を制限すべきかの判定においてバックエンドサーバを支援するため、バックエンドサーバに第一の装置の情報及び／又は診断データを送出する。
【００５８】
本発明の範囲から逸脱することなしに、本明細書で開示された方法に対して、変更、追加又は省略が行われる場合がある。本方法は、より多くのステップ、少ないステップ又は他のステップを含む場合がある。たとえば、本方法８００は、１以上の中間の測定された値を第一の装置から要求するステップを含む。第一の装置から送出されたデータに適用されるポリシーは、これら中間の測定された値の１以上に依存する。さらに、適切な順序でステップが実行される場合がある。
【００５９】
本発明の範囲から逸脱することなしに、本明細書で開示されるシステム及び方法に対して変更、追加又は省略が行われる場合がある。システム及び装置のコンポーネントは、統合されるか又は分離される場合がある。たとえば、ゲートウェイ１１０は、１つのゲートウェイ１１０に纏められる場合がある。システム及び装置の動作は、より多くの構成要素、少ない構成要素、又は他の構成要素により行われる場合がある。たとえば、通院処理モジュール２１５及び測定処理モジュール２２０の動作は、１つの構成要素により実行される場合があり、又は、制御処理モジュール２０５の動作は、１を超える構成要素により行われる場合がある。さらに、システム及び装置の動作は、ソフトウェア、ハードウェア及び／又は他のロジックを有する適切なロジックを使用して実行される場合がある。本明細書で使用されたとき、「それぞれ」は、あるセットのそれぞれのメンバ又はあるセットのサブセットのうちのそれぞれのメンバを示す。
【００６０】
本明細書で開示されるシステム及び装置の構成要素は、インタフェース、ロジック、メモリ、及び／又は他の適切な構成要素を含む場合がある。インタフェースは、入力を受信し、出力を送出し、入力及び／又は出力を処理し、及び／又は、他の適切な動作を実行する。インタフェースは、ハードウェア及び／又はソフトウェアを有する。
【００６１】
ロジックは、たとえば入力から出力を生成する命令を実行することで、コンポーネントの動作を実行する。ロジックは、ハードウェア、ソフトウェア、及び／又は他のロジックを含む場合がある。ロジックは、１以上の有形の媒体にエンコードされ、コンピュータにより実行されたときに動作を実行する場合がある。プロセッサのような所定のロジックは、構成要素の動作を管理する場合がある。プロセッサの例は、１以上のコンピュータ、１以上のマイクロプロセッサ、１以上のアプリケーション、及び／又は他のロジックを含む。
【００６２】
特定の実施の形態では、実施の形態の動作は、コンピュータプログラム、ソフトウェア、コンピュータ実行可能な命令、及び／又はコンピュータにより実行可能な命令でエンコードされた１以上のコンピュータ読み取り可能な記録媒体により実行される場合がある。特定の実施の形態では、実施の形態の動作は、コンピュータプログラムを記憶する１以上のコンピュータ読み取り可能な記録媒体、コンピュータプログラムで実施される１以上のコンピュータ読み取り可能な記録媒体、及び／又はコンピュータプログラムでエンコードされた１以上のコンピュータ読み取り可能な記録媒体、及び／又は、記憶及び／又はエンコードされたコンピュータプログラムを有する１以上のコンピュータ読み取り可能な記録媒体により実行される。
【００６３】
ストレージユニット、リポジトリ、及びレジスタは、それぞれメモリを有する場合がある。メモリは情報を記憶する。メモリは、１以上の一時的でない、有形のコンピュータ読み取り可能及び／又はコンピュータ実行可能な記憶媒体を有する場合がある。メモリの例は、コンピュータメモリ（たとえばランダムアクセスメモリ（RAM）又はリードオンリメモリ（ROM）、大容量記憶媒体（たとえばハードディスク）、取り外し可能な記憶媒体（たとえばコンパクトディスク（CD）又はデジタルビデオディスク（DVD）、データベース及び／又はネットワークストレージ（たとえばサーバ）、及び／又は他のコンピュータ読み取り可能な記録媒体）を含む場合がある。
【００６４】
本明細書の開示は、所定の実施の形態の観点で記載されたが、本実施の形態の変更及び置き換えは、当業者により明らかとなるであろう。従って、実施の形態の先の記載は、この開示の制限するものではない。以下の特許請求の範囲により定義されるように、この開示の精神及び範囲から逸脱することなしに、他の変形、置き換え、及び変更が可能である。
【００６５】
以下に、本発明の特徴点を付記として示す。
（付記１）
デバイスインテグリティの認証のための方法であって、
装置の測定されたインテグリティ値をプロセッサを使用して決定するステップと、
前記測定されたインテグリティ値を前記装置の埋め込まれたインテグリティ値とプロセッサを使用して比較するステップと、
前記比較に基づいて前記装置へのポリシーの適用を容易にするステップと、
を含むことを特徴とする方法。
（付記２）
前記装置の１以上のセクタ値に基づいて前記測定されたインテグリティ値を決定するステップを更に含む、
付記１記載の方法。
（付記３）
前記装置の１以上のセクタ値の合計を計算するステップを更に含む、
付記２記載の方法。
（付記４）
前記測定されたインテグリティ値を決定するために使用される複数のセクタ値のサブセットに基づいて中間の測定された値を決定するステップを更に含む、
付記１記載の方法。
（付記５）
前記装置のプロテクトされたセクションに前記埋め込まれたインテグリティ値及びポリシーの少なくとも１つを記憶するステップを更に含む、
付記１記載の方法。
（付記６）
前記装置の識別子に基づいて前記ポリシーの少なくとも１つを決定するステップを更に含む、
付記１記載の方法。
（付記７）
前記識別子は、前記装置に固有である、
付記６記載の方法。
（付記８）
前記ポリシーは、前記測定されたインテグリティ値が前記埋め込まれたインテグリティ値に整合しない場合に、前記装置の１以上の機能を変更することを含む、
付記１記載の方法。
（付記９）
前記ポリシーは、バックエンドサーバに情報を送信することを含む、
付記１記載の方法。
（付記１０）
前記情報は、前記測定されたインテグリティ値、前記装置の識別子、中間の測定された値の少なくとも１つを含み、前記中間の測定された値は、前記測定されたインテグリティ値を決定するために使用された複数のセクタ値のサブセットに基づく、
付記９記載の方法。
（付記１１）
前記バックエンドサーバから、前記バックエンドサーバに送信された情報に従って決定された装置のポリシーを受信するステップと、
前記装置のポリシーを前記装置に適用するステップと、
を更に含む付記９記載の方法。
（付記１２）
予め決定されたスケジュール及び前記装置の外部からの要求のうちの1つに応答して、前記測定されたインテグリティ値を決定するステップを更に含む、
付記１記載の方法。
（付記１３）
装置のインテグリティの認証のためのシステムであって、
装置の測定されたインテグリティ値を決定し、前記測定されたインテグリティ値を前記装置の埋め込まれたインテグリティ値と比較するインテグリティチェック処理モジュールと、
前記比較に基づいて複数のポリシーのうちの１つを前記装置に適用するのを容易にする制御処理モジュールと、
を備えることを特徴とするシステム。
（付記１４）
前記測定されたインテグリティ値は、前記装置の１以上のセクタ値に基づく、
付記１３記載のシステム。
（付記１５）
前記インテグリティチェック処理モジュールは、装置の１以上のセクタ値の合計を計算する、
付記１４記載のシステム。
（付記１６）
前記インテグリティチェック処理モジュールは、測定されたインテグリティ値を決定するために使用される複数のセクタ値のサブセットに基づいて中間の測定された値を決定し、前記中間の測定された値を記憶する、
付記１３記載のシステム。
（付記１７）
前記制御処理モジュールは、装置のプロテクトされたセクションに前記埋め込まれたインテグリティ値及びポリシーの少なくとも１つを記憶する、
付記１３記載のシステム。
（付記１８）
前記ポリシーの少なくとも１つは、前記装置の識別子に基づく、
付記１３記載のシステム。
（付記１９）
前記識別子は、前記装置に固有である、
付記１８記載のシステム。
（付記２０）
前記少なくとも１つのポリシーは、前記測定されたインテグリティ値が前記埋め込まれたインテグリティ値に整合しない場合に、前記装置の１以上の機能を変更することを含む、
付記１３記載のシステム。
（付記２１）
前記少なくとも１つのポリシーは、バックエンドサーバに情報を送信することを含む、
付記１３記載のシステム。
（付記２２）
前記情報は、前記測定されたインテグリティ値、前記装置の識別子、中間の測定された値の少なくとも１つを含み、前記中間の測定された値は、前記測定されたインテグリティ値を決定するために使用された複数のセクタ値のサブセットに基づく、
付記２１記載のシステム。
（付記２３）
前記制御処理モジュールは、前記バックエンドサーバから、前記バックエンドサーバに送信された情報に従って決定された装置のポリシーを受信し、
前記制御処理モジュールは、前記装置のポリシーを前記装置に適用する、
付記２１記載のシステム。
（付記２４）
前記インテグリティチェック処理モジュールは、予め決定されたスケジュール及び前記装置の外部からの要求のうちの１つに応答して、前記測定されたインテグリティ値を決定する、
付記１３記載のシステム。
【符号の説明】
【００６６】
１００：システム
１０５：装置
１１０：ゲートウェイ
１１５：バックエンドサーバ
【技術分野】
【０００１】
本発明は、ネットワーク装置に関し、より詳細には、デバイスインテグリティの認証の方法及びシステムに関する。
【背景技術】
【０００２】
次世代の使用に準備するため、国家の老朽化している配電網を近代化させる試みが増加している。この近代化は、ネットワーク化されて遠隔制御される多くの産業制御機器により配電網にデジタル化をもたらしている。しかし、これらの機器がどのように相互接続されて通信するかに関する詳細は、独自仕様のままである。近代化により、ますます多くの装置がネットワークに追加され、オープンスタンダード及び技術により実現される。ネットワーク化される機器の例は、電力使用のメータの読み取りを提供する顧客の敷地に配置されるスマートメータである。スマートメータは、制限された保護又は不十分なセキュリティの措置により配置される。幾つかのスマートメータは、メータが何時開いたか又は移動されたかを検出することができる不正検出メカニズムが設けられる場合がある。これに応じて、メータは、シャットダウンするか又は警告信号を送出する。多くの実現では、スマートメータは、あるメータから別のメータに重要データを送出する。ネットワークにおけるあるメータが危険にさらされると、この重要データは、不正利益のためにシステムの動作に悪影響を及ぼすために使用することができる。現在のスマートメータは、インサイダーによる攻撃、又はスマートメータにおいて実行されるソフトウェアに影響を及ぼすゼロデイ攻撃を遠隔的に検出する機能を有していない。
【発明の概要】
【課題を解決するための手段】
【０００３】
以上から、装置におけるエラーを検出し、遠隔のソフトウェアの不正使用又はインサイダ攻撃からネットワーク装置を保護する必要が生じていることが当業者により理解されるであろう。本発明によれば、ネットワークにおける従来の装置のセキュリティに関連する課題及び問題点を実質的に解消するか、大幅に低減するデバイスインテグリティの認証の方法及びシステムが提供される。
【０００４】
本発明の１実施の形態によれば、デバイスインテグリティの認証の方法が提供され、ある装置の測定されたインテグリティの値をプロセッサを使用して決定するステップを含む。装置の測定されたインテグリティの値は、プロセッサにより装置の埋め込まれたインテグリティの値と比較される。比較に基づいて装置へのポリシーの適用が支援される。
【０００５】
本発明の所定の実施の形態は、１以上の技術的利点を提供する。１実施の形態の技術的利点の例は、そのインテグリティを決定するためにセルフチェックを装置に実行させる。別の技術的利点は、インテグリティの認証の結果に基づいて、装置にポリシーを適用することである。
【０００６】
本発明の所定の実施の形態は、上記技術的利点の一部又は全部を含む。１以上の他の技術的利点は、図面、詳細な説明、及び本明細書に含まれる特許請求の範囲から当業者により容易に明らかとなるであろう。
【図面の簡単な説明】
【０００７】
本発明の更に完全な理解のため、及び本発明の更なる特徴及び利点の理解のため、添付図面と共に以下の説明が参照され、同じ参照符号は、同じ構成要素を表す。
【図１】ネットワーク装置をもつシステムの例示的な実施の形態を示す図である。
【図２】ネットワークにおける装置の例示的な実施の形態を示す図である。
【図３】装置においてセキュリティチェックを実行する方法の例示的な実施の形態を示す図である。
【図４】装置の測定されたインテグリティの値を計算する方法の例示的な実施の形態を示す図である。
【図５】２つの装置及びバックエンドサーバを持つシステムの例示的な実施の形態を示す図である。
【図６】第二の装置が第一の装置の信頼水準を決定するのを可能にする方法の例示的な実施の形態を示す図である。
【図７】第一の装置から第二の装置にデータを送信する方法の例示的な実施の形態を示す図である。
【図８】第一の装置から第二の装置でデータを受信する方法の例示的な実施の形態を示す図である。
【発明を実施するための形態】
【０００８】
図１は、１以上の装置１０５にポリシーを適用するのを容易にするシステム１００の実施の形態を示す。この実施の形態では、システム１００は、装置１０５、ゲートウェイ１１０及びバックエンドサーバ１１５を有するネットワークを含む。装置１０５は、互いに通信し、ゲートウェイ１１０と通信する。装置１０５は、所定の実施の形態では、直接に又はゲートウェイ１１０を通して、バックエンドサーバ１１５と通信する。以下の図で更に詳細に記載されるように、様々な状況下で、装置１０５は、あるポリシーに従って所定の動作を行う。装置１０５は、ローカルストレージにおいてポリシーを記憶するか、代替的に、外部ソースは、ポリシーを装置１０５に伝達する。たとえば、ポリシーは、他の装置１０５から、ゲートウェイ１１０及び／又は他の装置１０５を介してバックエンドサーバ１１５から、或いはバックエンドサーバ１１５から直接的に到来する。
【０００９】
装置１０５、ゲートウェイ１１０及びバックエンドサーバ１１５は、適切な通信ネットワークに結合される。通信ネットワークは、以下のうちの１以上の一部又は全部を有する。公衆交換電話網（PSTN）、公衆又は私設データネットワーク、ローカルエリアネットワーク（LAN）、メトロポリタンエリアネットワーク（MAN）、ワイドエリアネットワーク（WAN）、インターネットのようなローカル、地域又はグローバル通信又はコンピュータネットワーク、有線又は無線ネットワーク、企業イントラネット、他の適切な通信リンク、又は上述の何れかの組み合わせ。たとえば、所定の実施の形態では、ゲートウェイ１１０は、ファイババックボーンによりバックエンドサーバ１１５に接続される。さらに、装置１０５は、他の装置１０５、ある装置１０５からゲートウェイ１１０、及びバックエンドサーバ１１５に無線でデータを送信する無線送信機を有する。
【００１０】
システム１００の特定の実施の形態では、装置１０５は、電気公益事業の顧客の電力使用量を測定するスマートメータとして動作する。装置１０５がスマートメータとして動作するとき、これらの装置は、メッシュネットワークを形成し、このメッシュネットワークでは、管理データ、制御データ、及びメータデータは、装置から装置へと送信され、それぞれの装置は、中継ノードとしての役割を果たす。これらの実施の形態では、バックエンドサーバ１１５は、電気公益事業会社に位置される。メータデータは、特定の顧客の敷地内での電力使用に関する情報を含む。制御データは、１以上の装置１０５の特定のコンポーネントの制御に関連するデータを有する。管理データは、ネットワークの形成及び維持に関連するデータを有する。たとえば、管理データは、特定の装置１０５からのデータがバックエンドサーバ１１５に到達するために要する経路を示す。
【００１１】
スマートメータネットワークにおける装置又はノードが危険にさらされる場合、あるノードから送出されるデータは、様々な違法な目的で使用されるような危険にさらされる場合がある。たとえば、管理データは、ネットワークのルーティング機能を乱すために使用される。制御データは、電力を遠隔的に接続又は遮断するために使用される場合がある。メータデータは、経済的な利益のために電力使用量を偽って報告するために使用される。以下の図の説明において更に十分に記載されるように、あるポリシーは、異なるタイプのデータと関連付けされ、このポリシーは、危険にさらされたデータの送信を低減するのを助け、及び／又は危険にさらされたデータがネットワークにおける他のコンポーネントに有する影響を低減するのを助ける。システム１００のコンポーネントは、様々な暗号化及び鍵管理技術を使用して互いに通信する。
【００１２】
他の実施の形態では、装置１０５は、ある装置の範囲の何れかである場合がある。たとえば、スマートメータに加えて、装置１０５は、スマート配電網の他のコンポーネントの幾つかを有する。さらに広く言えば、装置１０５は、監督制御及びデータ取得（SCADA: Supervisory Control And Data Acquisition）又は産業用制御システムの１以上のコンポーネントを有する。他の実施の形態では、装置１０５は、ホームエリアネットワーク（HAN）で配置される装置である。当業者であれば、装置１０５がHANのような比較的に小規模ネットワークに配置されるか、或いは、地区又は市にわたり配置される配電網のような大規模ネットワークとして配置される。
【００１３】
図２は、あるポリシーの適用を容易にする装置１０５の実施の形態を示す。所定の実施の形態では、装置１０５は、制御処理モジュール２０５を含み、このモジュールは、装置１０５の動作及び機能にわたる一般的な制御を有する。制御処理モジュール２０５は、インテグリティチェック処理モジュール２１０、通信処理モジュール２１５、測定処理モジュール２２０及び他の一般的な処理モジュール２２５のような装置１０５の異なる機能を実行する幾つかの処理モジュールに結合される。これらの処理モジュールは、様々な機能を実行する。幾つかの実施の形態では、制御処理モジュール２０５は、ポリシーリポジトリ２３０、汎用ストレージ２３５、及び／又は装置識別子レジスタ２４５に結合される。ポリシーリポジトリ２３０は、所定の条件下で装置１０５に適用されるポリシーを含む。汎用ストレージ２３５は、制御処理モジュール２０５及び装置１０５に含まれる他の処理モジュールにより一般的にアクセス可能なストレージユニットを有する。装置識別子レジスタ２４５は、装置１０５の識別子の値を含むように構成される。
【００１４】
通信処理モジュール２１５、測定処理モジュール２２０及び汎用処理モジュール２２５は、広い範囲の機能を実行する。所定の実施の形態では、通信処理モジュール２１５は、他の装置１０５、ゲートウェイ１１０、バックエンドサーバ１１５又は任意の他の外部ソースからの通信を送信又は受信する。また、通信処理モジュールは、所定の情報が特定の目的地に到達するために要する経路の決定を支援する。たとえば、通信処理モジュール２１５は、あるデータの送信が特定の他の装置１０５、特定のゲートウェイ１１０又はバックエンドサーバ１１５に到達するために、どの他の装置１０５と通信すべきかを判定する。装置１０５が電力のスマートメータである実施の形態では、測定処理モジュール２２０は、電力の顧客の敷地内の電力使用量を測定する。汎用処理モジュール２２５は、装置１０５に近い周辺の環境要素の測定、装置１０５の各種エレメントの試験、及び装置１０５の適切な温度の維持、のような多数の機能を実行する。通信処理モジュール２１５、測定処理モジュール２２０、及び汎用処理モジュール２２５は、ポリシーリポジトリ２３０に記憶されるあるポリシーに従って制御処理モジュール２０５の指示の下で動作する。
【００１５】
装置識別子のレジスタ２４５を含む実施の形態では、装置１０５の識別子、以下に更に詳細に記載されるように、どのポリシーを装置１０５に適用すべきかを判定するために使用される。限定されるものではない例として、識別子は、MAC（Media Access Control）アドレス又はIP（Internet Protocol）アドレスを含む。識別子は、ランタイムで装置識別子レジスタ２４５といったハードウェアに組み込みされているか、ハードコードされているか、又は、代替的に、装置１０５の配置後に更新可能である場合がある。識別子は、複数の装置１０５における特定の装置１０５を一意的に識別する点で固有である。代替的に、特定の装置１０５の装置識別子レジスタ２４５に含まれる識別子は、１以上の他の装置１０５の識別子と同じである。これは、たとえば多数の地区を有する市において生じる場合がある。特定の地区に共通する装置は、共通の識別子を共有する。装置１０５の所定の実施の形態は、装置識別子レジスタ２４５を持たないか、１，２又は２を超える装置識別子レジスタを含む。これらは、本明細書で説明される識別子のタイプの組み合わせを含むように構成される。
【００１６】
所定の実施の形態では、装置１０５がひとたびフィールドに配置されると装置識別子レジスタ２４５が変更することが困難になるように、装置識別子レジスタ２４５は、装置１０５の保護されたセクションにある場合がある。装置１０５の保護されたセクションは、ハードウェア、ソフトウェア又はファームウェアで構成される。たとえば、装置識別子レジスタ２４５は、リードオンリメモリの一部であるか又は変更不可能であるように構成されるプログラムから計算される。
【００１７】
埋め込まれたインテグリティ値のレジスタ２４０は、以下に更に詳細に記載されるように、そのインテグリティチェックを実行するとき、インテグリティチェック処理モジュール２１０によりアクセスすることができる値を記憶する。埋め込まれたインテグリティ値のレジスタ２４０に記憶された値は、装置１０５の製造時にプログラムされる場合がある。代替的に、埋め込まれたインテグリティ値のレジスタ２４０に記憶された値は、たとえばシステムの大規模なアップグレードに応答して、後にプログラムされる場合がある。埋め込まれたインテグリティ値のレジスタ２４０は、装置識別子レジスタ２４５について上述されたのと同じやり方で装置１０５、保護されたセクションの一部である場合がある。幾つかの実施の形態では、装置１０８は、多数の埋め込まれたインテグリティ値レジスタ２４０を利用する場合がある。これらの実施の形態では、埋め込まれたインテグリティ値のレジスタは、ハードウェア、ファームウェア又はソフトウェアのような様々なフォーマットを利用する場合がある。このアプローチは、以下に更に記載されるように、インテグリティチェック処理モジュール２１０のインテグリティチェック機能における冗長度を許容する。
【００１８】
所定の実施の形態では、インテグリティチェック処理モジュール２１０は、装置測定されたインテグリティ値を決定し、決定されたインテグリティ値を埋め込まれたインテグリティ値のレジスタ２４０に記憶される埋め込まれたインテグリティ値に比較することで、インテグリティチェックを実行する。インテグリティチェック処理モジュール２１０は、装置１０５の他の処理モジュール及び／又はソフトウェアの１以上のセクタ値を集めることで、装置１０５の測定されたインテグリティ値を決定する。セクタ値は、指定されたレジスタ、メモリブロック、コードブロック又はモジュールの他のコンポーネントから到来する。インテグリティチェック処理モジュール２１０は、通信処理モジュール２１５、測定処理モジュール２２０、及び１以上の汎用処理モジュール２２５のセクタ値を決定する。次いで、インテグリティチェック処理モジュール２１０は、これらの処理モジュールのセクタ値を加算し、測定されたインテグリティ値がこれらセクタ値の合計となる。他の実施の形態では、インテグリティチェック処理モジュール２１０は、１以上の予め決定された処理モジュールのセクタ値に基づいてチェックサムを計算する。
【００１９】
インテグリティチェックの処理モジュール２１０は、本発明の開示の範囲のままで、多数の式の何れかを使用して測定されたインテグリティの値を決定する。所定の実施の形態では、式は、セクタ値に加えて、日時、日付、装置の周りの周囲光の大きさ、装置の周りの周囲温度、ゲートウェイ１１０又はバックエンドサーバ１１５への近さ、及び／又は装置１０５がスマートメータである場合にメータの使用量のような他の要素からなる関数である。これらの実施の形態では、埋め込まれた値のレジスタに記憶された値は、式に従ってこれら他の要素の値に依存して変化する。インテグリティチェックを行うときに様々な式の使用は、非道な第三者が装置を危険にすることのリスクを低減する場合がある。
【００２０】
多数の埋め込まれたインテグリティ値レジスタ２４０を採用した所定の実施の形態では、インテグリティチェック処理モジュール２１０は、埋め込まれたインテグリティ値レジスタ２４０のそれぞれの集合に対して測定されたインテグリティ値を比較するためにプログラムされる。代替的に、インテグリティチェック処理モジュール２１０は、インテグリティ値レジスタ２４０のサブセットの集合に対して測定されたインテグリティ値を比較する。幾つかの実施の形態では、インテグリティチェック処理モジュール２１０は、多数の測定されたインテグリティ値を計算するために構成される。インテグリティチェック処理モジュール２１０は、１以上の測定されたインテグリティ値を１以上の埋め込まれたインテグリティ値に比較する。インテグリティチェック処理モジュール２１０は、処理モジュール２０５を制御するため、多数の比較の結果を報告する。ポリシーリポジトリに記憶されるポリシーは、以下に更に説明されるように、比較の結果に依存して指示を提供する。
【００２１】
所定の実施の形態では、インテグリティチェック処理モジュール２１０は、最終的に測定されたインテグリティ値又はハッシュ値とも呼ばれる、上述された測定されたインテグリティ値に加えて、中間の測定された値を記憶する。これら中間の値は、最終的に測定されたインテグリティ値を決定するために使用されるセクタ値のサブセットに基づいている。たとえば、第一の中間値は、通信処理モジュール２１５及び測定処理モジュール２２０のセクタ値に基づいている。第二の中間値は、通信処理モジュール２１５、測定処理モジュール２２０、及び汎用処理モジュール２２５のうちの１つのセクタ値に基づいている。所定の実施の形態では、第一の中間値は、通信処理モジュール２１５と測定処理モジュール２２０のセクタ値の合計である。第二の中間値は、たとえば通信処理モジュール２１５、測定処理モジュール２２０、及び汎用処理モジュール２２５のうちの１つのセクタ値の、合計又は排他的論理和（XOR）を含む数値である。インテグリティチェック処理モジュール２１０は、これらの中間値を汎用ストレージ２３５に記憶する。制御処理モジュール２０５は、ポリシーリポジトリ２３０に記憶されたポリシーに従って、汎用ストレージ２０５からこれらの値にアクセスする。
【００２２】
インテグリティチェック処理モジュール２１０は、所定の実施の形態における信頼されるコンピュータグループからの信頼されるプラットフォームモジュール（TPM: Trusted Platform Module）により実現される場合がある。TPMは、オープンな国際標準に依存し、装置１０５の他の処理モジュールとの統合の試みを容易にする。
【００２３】
インテグリティチェック処理モジュール２１０は、処理モジュール２０５を制御するため、埋め込まれたインテグリティ値のレジスタ２４０における値と測定されたインテグリティ値との比較の結果を報告する。制御処理モジュール２０５は、インテグリティチェック処理モジュール２１０により実行されるインテグリティチェックの結果に基づいてポリシーリポジトリ２３０における１以上のポリシーを適用する。ポリシーリポジトリ２３０は、装置識別子レジスタ２４５について上述されたのと同様にやり方で装置１０５の保護されたセクションの一部である。ポリシーリポジトリ２３０の保護のレベルは、所定の状況下で個々のポリシーを、不正防止の機能をより高いものにする。
【００２４】
比較の結果に依存して、ポリシーは、装置１０５の１以上の処理モジュールの動作機能を変更するように制御処理モジュール２０５に指示する。所定の実施の形態では、値が整合しない場合、ポリシーは、装置１０５の１以上の処理モジュールを無効にするように制御処理モジュール２０５に指示する。たとえば、制御処理モジュール２０５は、通信処理モジュール２１５、測定処理モジュール２２０、又は１以上の汎用処理モジュール２２５の機能を無効にするか、又はさもなければ機能を制限する。通常の動作において、通信処理モジュール２１５は、他の装置１０５と通信し、任意のタイプのデータを他の装置１０５に伝達するように、フル機能のセットで動作する場合がある。測定されたインテグリティ値が埋め込まれたインテグリティ値と整合しない例では、制御処理モジュール２０５は、ポリシーに従って、通信処理モジュール２１５の機能を完全に無効にし、その通信機能を所定のデータタイプを伝達することに制限する。所定の実施の形態において、通信処理モジュール２１５は、メータデータを送信することが許可されるが、管理データ又は制御データの何れかを送信することは許可されない。他の実施の形態では、ポリシーは、装置１０５全体を無効にするように制御処理モジュール２０５に指示する。
【００２５】
所定の実施の形態では、装置１０５のデフォルト又は通常のポリシーは、装置１０５の所定の処理モジュールが無効にされたことを提供する。装置１０５の有効にされた処理モジュール又は（別の装置１０５のような）外部の動作主が装置１０５の正常に無効にされた処理モジュールにより実行される機能を要求する場合、ポリシーは、インテグリティチェック処理モジュール２１０によるインテグリティチェックを実行することを装置１０５に要求する。幾つかの実施の形態では、制御処理モジュール２０５は、インテグリティチェックが上述された説明に従って整合する場合に正常に無効にされた処理モジュールを有効にする。当業者であれば、あるポリシーが制御処理モジュール２０５に、インテグリティチェック処理モジュール２１０によるインテグリティチェックの結果に従って装置１０５の様々な処理モジュールの機能のレベルを開始、停止又は維持するように指示することを認識することであろう。
【００２６】
最終的に測定されたインテグリティ値が埋め込まれたインテグリティ値に整合しない場合、ポリシーリポジトリ２３０に記憶されているポリシーは、制御処理モジュール２０５に、汎用ストレージ２３５に記憶されている１以上の中間値を検索するように指示する。ポリシーリポジトリ２３０に記憶されているポリシーは、所定の中間値に依存して異なる対策を有する。たとえば、１以上の中間値に依存して、ポリシーは、装置１０５の唯一の処理モジュールを無効にするように制御処理モジュール２０５に指示する。この例に従って、他の汎用処理モジュール２２５及び通信処理モジュール２１５がそれらの現在の機能を維持したままにする一方、汎用処理モジュール２２５のうちの１つを無効にするように、制御処理モジュール２０５を指示する。最終的に測定されたインテグリティ値と同様に、所定の中間値が期待される。所定の中間値は、所定の処理モジュールのセクタ値に直接的に依存する。ポリシーは、セクタ値に対応する処理モジュールを無効にするように制御処理モジュールに指示し、このセクタ値は、測定されたインテグリティ値と合計されたとき、不適切な結果を生じる。
【００２７】
所定の実施の形態では、たとえば装置１０５が複数の埋め込まれたインテグリティ値のレジスタ２４０を含む場合に、インテグリティチェック処理モジュール２１０は、複数の比較の結果を報告する。複数の埋め込まれたインテグリティ値のレジスタ２４０を持つ実施の形態では、ポリシーリポジトリ２３０に記憶されたポリシーは、どの位多くの比較が整合することができないかに依存して様々なオプションを提供する。たとえば、３つの埋め込まれたインテグリティ値のレジスタ２４０を採用する装置１０５において、ポリシーは、残りの１又は複数の不覚が整合しない一方、１又は複数の比較が上手く整合する場合に、係属された機能を可能にする。これらの比較のそれぞれについて、１以上の中間値は、上述された手順に従って決定される。インテグリティチェック処理モジュール２１０は、制御処理モジュール２０５による後のアクセスのため、汎用ストレージ２３５において、比較のそれぞれについて１以上の決定された中間値を記憶する。制御処理モジュール２０５は、たとえば測定されたインテグリティ値が埋め込まれたインテグリティ値のレジスタ２４０に記憶されている値と整合しない場合に、１以上の中間値にアクセスする。
【００２８】
所定の実施の形態では、ポリシーリポジトリ２３０に記憶されているポリシーは、インテグリティチェックが失敗した場合に、通信処理モジュール２１５がバックエンドサーバ１１５に連絡するのを試みるのを可能にするように、制御処理モジュール２０５に指示する。バックエンドサーバ１１５は、装置１０５に適用すべきポリシーを決定する。どのような機能を装置１０５が実行するのを許可されるべきかを決定することにおいてバックエンドサーバ１１５を支援するため、装置１０５は、所定の情報をバックエンドサーバ１１５に送信する。この情報は、測定されたインテグリティ値、装置識別子レジスタ２４５に記憶されている値、中間の測定された値、及び／又は装置１０５に適用すべきポリシーを決定するためにバックエンドサーバを支援するのに適した他の情報を含む幾つかのアイテムを含む。この情報に基づいて、バックエンドサーバ１１５は、適用すべき装置１０５のポリシーを送信する。このポリシーは、ポリシーリポジトリ２３０に記憶されているポリシーに類似して、処理モジュール２１５，２２０及び／又は２２５がそれらの現在の機能を開始、停止又は維持するのを可能にするように、制御処理モジュール２０５に指示する。所定の実施の形態では、バックエンドサーバ１１５は、装置１０５を完全に無効にするように制御処理モジュール２０５に指示するポリシーを送信する。所定の実施の形態では、バックエンドサーバ１１５は、現場での故障修理のために装置１０５の位置に技術者を自動的に派遣する。
【００２９】
バックエンドサーバ１１５は、幾つかの実施の形態では、適用すべき装置１０５のポリシーの決定において、装置１０５により送信された識別子を使用する。たとえば、装置１０５が他の装置１０５による通信経路について強く依存しているように位置されることをバックエンドサーバが識別子から判定した場合、その通信処理モジュール２１５についてフルレベルの機能を維持するように装置１０５に指示するポリシーを送信する。別の例では、バックエンドサーバ１１５は、他の適切な通信ノードがすぐ近くにある場合にその通信処理モジュール２１５をシャットダウンする指示を提供する。
【００３０】
図３は、インテグリティチェックを開始し、インテグリティチェックの結果に従ってポリシーの適用を支援する方法３００の実施の形態を例示する。本方法はステップ３０５で開始し、ステップ３０５で、装置１０５のインテグリティチェック処理モジュールは、装置１０５の測定されたインテグリティ値を計算する。ステップ３０５の実施の形態は、図４の説明の間に更に十分に記載される。ステップ３１０で、埋め込まれたインテグリティ値は、装置１０５の測定されたインテグリティ値に比較される。ステップ３１５で、埋め込まれたインテグリティ値が測定されたインテグリティ値に整合するかに関する判定が行われる。値が整合する場合、本方法は、ステップ３２５で、パスしたインテグリティチェックについてポリシーが実行される。このポリシーは、装置１０５の１以上の処理モジュールの１以上の機能を有効にすること及び／又は無効にしないことを含む。
【００３１】
ステップ３１５で値が整合しない場合、本方法は、ステップ３２０で、失敗したインテグリティチェックについてポリシーを実行する。このポリシーは、装置１０５の１以上の処理モジュールの１以上の機能を無効にすること及び／又は有効にしないことを含む。ポリシーは、汎用ストレージ２３５に記憶されている中間値にアクセスすることを含む。ポリシーは、これら中間値に依存して特定の処理モジュールの１以上の特徴を無効にすること及び／又は有効にしないことを提供する。たとえば、所定の中間値が期待されたものではない場合、ポリシーは、期待されない中間値に対応する特定の処理モジュールの１以上の特徴を無効にすること及び／又は有効にしないことを提供する。また、ポリシーは、バックエンドサーバ１１５に連絡すること、バックエンドサーバ１１５に所定の情報を送出すること、バックエンドサーバ１１５から第二のポリシーの形式で指示を受信することを含む。第二のポリシーは、送出された情報に基づいている。どのポリシーが適用されるべきかに関する判定は、測定されたインテグリティ値と埋め込まれたインテグリティ値との間の１以上の差に依存する。
【００３２】
本方法３００の他の実施の形態は、複数の埋め込まれたインテグリティ値及び／又は複数の測定されたインテグリティ値に関連するステップを含む。これらの実施の形態では、本方法は、これらの複数の値を利用するポリシーを適用することに向けられるステップを含む。たとえば、複数の比較が行われる場合、ポリシーは、全てのチェックがパスしない場合に、所定の比較を他の比較よりも好む。この例に従って、ポリシーは、３回の比較のうちで２回失敗したときに、処理モジュールの１以上の機能を無効にすること及び／又は有効にしないことを提供する。幾つかの実施の形態では、ポリシーは、失敗した比較を生じた埋め込まれたインテグリティ値のレジスタのタイプに依存する（たとえばハードウェア、ソフトウェア又はファームウェア）。
【００３３】
また、本方法３００は、汎用ストレージ２３５のようなストレージユニットに測定されたインテグリティ値を記憶するステップを含む。測定されたインテグリティ値は、（インテグリティチェック処理モジュール２１０自身の一部である）装置上の位置されるセキュアストレージに記憶される。測定されたインテグリティ値は、インテグリティチェックのその後の要求に応答してアクセスされる。ポリシーは、比較に応答して後に実行される。前もってインテグリティ値を測定すること、測定されたインテグリティ値を記憶すること、その後、インテグリティチェックの要求に応答して、比較の結果に従ってポリシーを実行することで、処理の遅延を低減することができる。たとえば、測定されたインテグリティ値が既に決定されている場合、インテグリティチェックの要求に応答するために要する時間は、測定を実行するのに要する時間の一部を除く。これにより、処理時間を低減することができる。
【００３４】
所定の実施の形態では、装置がブートアップされたときに本方法３００を実行するようにプログラムされる。本装置は、比較に応答して自動的にポリシーを適用するか、又はその測定されたインテグリティ値をストレージに記憶する。装置は、インテグリティチェックの要求に応答してその比較の結果に従ってポリシーを適用する。測定されたインテグリティ値が後のアクセスのためにストレージに記憶されている場合、タイムアウトと関連付けされる。タイムアウトがパスした後、装置は、インテグリティチェックの結果を判定する前に、その測定されたインテグリティ値を計算するために必要とされる。所定の実施の形態では、装置は、予め決定されたスケジュールに従って本方法３００を実行する。たとえば、装置１０５は、一日に４回から６回の等しい時間間隔で本方法３００を実行するようにプログラムされる。他の実施の形態では、装置１０５は、オフピーク時間の間に本方法３００を実行するようにプログラムされ、この場合、オフピーク時間は、ネットワークトラヒックが他の時間よりも比較的低い時間を意味する。所定の実施の形態では、装置１０５は、装置１０５の外部からの要求に応答して本方法３００を実行する。たとえば、バックエンドサーバ１１５は、システム１００内の全ての装置１０５についてシステム全体のインテグリティチェックを開始する。
【００３５】
図４は、装置１０５の測定されたインテグリティ値を計算する方法３０５の例示的な実施の形態である。本方法は、ステップ４０５で開始し、ステップ４０５で、装置１０５において測定すべきセクタのリストが読み出される。セクタは、装置１０５の特定の処理モジュールに対応するか、特定の処理モジュールの一部である。幾つかの実施の形態では、セクタのリストは、予め決定されており、装置１０５の保護されたセクションに記憶される。他の実施の形態では、予め決定されたセクタは、業界で同意されている（すなわち、測定すべきセクタのリストについてストレージは不要であるが、特定の順序で所定のセクタを測定するためにプログラムされる）。
【００３６】
ステップ４１０で、ステップ４０５で取得されたリストにおける第一のセクタは、現在のセクタとして設定される。ステップ４１５は、現在のセクタ値が測定される。ステップ４２０で、本方法は、現在のセクタ値に基づいて装置１０５の最終的な測定された値を更新する。測定されたインテグリティがセクタ値の合計に依存する実施の形態では、ステップ４２０は、現在のセクタ値を最終的に測定された値に加える。合計は、最終的に測定された値として記憶される。本方法が終了したとき、最終的に測定された値は、装置１０５の測定されたインテグリティ値として報告される。合計の演算が記載されたが、（XOR演算を含む）他の算術演算が異なる実施の形態において実行される。
【００３７】
ステップ４２５で、ステップ４２０において最終的に測定された値として記憶された値は、中間の測定された値として記憶される。幾つかの実施の形態では、この中間の測定された値は、最終的に測定された値が装置１０５の埋め込まれたインテグリティ値に整合しない場合に使用される場合がある。ステップ４３０で、ステップ４０５の間に取得されたリストにおいて測定すべきセクションが存在するかに関する判定が行われる。測定すべきセクションが存在する場合、ステップ４３５で、次のセクタが現在のセクタとして設定され、本方法は、ステップ４１５に進む。ステップ４３０で、測定すべきセクタが存在しない場合、本方法はステップ４４０に進む。ステップ４４０で、最終的に測定された値は、装置１０５の測定されたインテグリティ値としてリターンされる。所定の実施の形態では、本方法３０５は、中間の測定された値をリターンする。これらは、装置１０５の汎用ストレージに記憶される。
【００３８】
所定の実施の形態では、本方法３０５は、様々な順序で、且つ図４に提供されたよりも少ないステップ又は多くのステップでそのステップを実行する。たとえば、本方法３０５は、中間値を記憶することなしに全てのセクタ値を合計する。代替的に、本方法３０５は、全ての中間値について対策を有さないポリシーに従って中間の値の幾つかのみを記憶する。幾つかの実施の形態では、本方法３０５は、最終的な測定された値と中間の測定された値とを決定するために必要とされる全ての計算を並列に実行する。これらの実施の形態は、「ルーピング」を必要とせず、同時の計算を実行するために、より多くのシステムリソースを必要とする。TPMの環境では、これらの値は、前の値とのXOR演算を必要とするので、並列ではなく、順次に計算される。
【００３９】
図５は、装置へのポリシーの適用を支援するシステム５００の実施の形態を例示する。システムには、装置５０５、装置５１０及びバックエンドサーバ５１５が含まれる。装置５０５及び５１０は、図２に示されるように、装置１０５に類似した特徴及びコンポーネントを有する。所定の実施の形態では、装置５０５は、装置５１０を介して装置５１０又はバックエンドサーバ５１５に通信するのを試みる。装置５０５は、制御データ、管理データ又はメータデータを含む異なるタイプのデータを送出するのを試みる。また、装置５０５は、失敗したインテグリティチェックに応答して、バックエンドサーバ５１５に診断データを送出するのを試みる。診断データは、測定されたインテグリティ値、識別子、中間の測定された値、バックエンドサーバ５１５がインテグリティチェックを失敗した装置の適切なポリシーを決定するのを助ける他の情報を含む。データのタイプに依存して、装置５０５は、その通信処理モジュール２１５がデータを送出するのを可能にする前に、インテグリティチェックをそれ自身で実行するポリシーを有する。インテグリティチェックが失敗した場合、装置５０５は、本方法３２０に従って失敗したインテグリティチェックについてポリシーを実行する。インテグリティチェックにパスした場合、装置５０５は、装置５１０及び／又はバックエンドサーバ５１５にデータを送出する試みを継続する。インテグリティチェックが失敗した場合、装置５０５は、１以上の特徴を無効にするか又は有効にしない。幾つかの実施の形態では、装置５０５は、装置５１０を介してバックエンドサーバ５１５に連絡を取ることを試みる。バックエンドサーバ５１５は、装置５１０を介して装置５０５にポリシーの形式で指示を送出する。
【００４０】
所定の実施の形態では、装置５１０は、装置５０５から通信のために要求を受け、インテグリティチェックを実行するように装置５０５に要求する。装置５１０は、装置５１０に装置５０５の測定されたインテグリティ値を送信するように装置５０５に要求する。次いで、装置５１０は、装置５１０の埋め込まれたインテグリティ値に対して、装置５０５の測定されたインテグリティ値をチェックする。装置５１０の埋め込まれたインテグリティ値及び装置５０５の測定されたインテグリティ値が整合する場合、装置５１０は、装置５０５が信頼できると判定する。次いで、装置５１０は、装置５０５から装置５１０に送出されたデータの処理を可能にする。
【００４１】
装置５１０の埋め込まれたインテグリティ値及び装置５０５の測定されたインテグリティチェックが整合しない場合、装置５１０は、ポリシーに依存して幾つかのオプションを有する。装置５１０に記憶されているポリシーは、装置５０５が信頼できないと判定することであり、装置５０５との全ての通信を拒否する。ポリシーは、装置５１０のために、装置５０５がそのインテグリティチェックを再び実行し、第二のインテグリティチェックから決定された測定されたインテグリティチェックを送信することを要求する。ポリシーは、指定された数の後続するインテグリティチェックを要求するように装置５１０に指示する。これは、別の測定を実行することで訂正される、測定されたインテグリティ値の可能性のある異例の測定を考慮するのを助ける。
【００４２】
別のポリシーは、装置５０５から到来する情報をどのように処理すべきかに関する更なる指示についてバックエンドサーバ５１５に連絡することである。バックエンドサーバ５１５からの指示を探し求めることにおいて、装置５１０は、バックエンドサーバ５１５が従うべき装置５１０の適切なポリシーを決定するように、装置５０５から受信された診断データを送出する。また、装置５１０は、識別子、測定されたインテグリティ値等のような装置５１０自身に関する情報を送出する。どのポリシーが適用されるべきかに関する判定は、装置５０５の測定されたインテグリティ値と装置５１０の埋め込まれたインテグリティ値との間の１以上の違いに依存する。バックエンドサーバ５１５は、システム５００に配置される装置の識別子のレコードを有する。バックエンドサーバ５１５が決定したポリシーは、識別子に依存し、この識別子は、装置５０５により送信された診断データに含まれる。バックエンドサーバ５１５は、装置５０５がインテグリティチェックに失敗したことをそのレコードに記録する。また、バックエンドサーバ５１５は、装置５０５を検査する技術者を派遣するような更なるアクションをスケジュールする。技術者は、所定の場合において装置５０５を修理、取替え、又は取り外するような多数のアクションを行う。
【００４３】
所定の実施の形態では、ポリシー（装置５１０に記憶されているポリシー又はバックエンドサーバ５１５１から受信されるポリシー）は、データタイプに依存して異なる対策を有する。たとえば、装置５０５がメータデータ又は診断データを送出するのを試みている場合、装置５１０は、装置５０５のインテグリティチェックを必要とすることなしに、そのポリシーに従ってデータの処理を可能にする。装置５０５から送出されているデータのタイプが制御データ及び／又は管理データである場合、装置５１０は、そのポリシーに従ってそのデータに関する処理を制限する。この制限は、そのタイプの通信を拒否すること、所定のタイプの処理に制限することを含む。
【００４４】
所定の実施の形態では、装置５０５は、起動したときに既存のネットワークが存在することを検出した場合に、装置の既存のネットワークに接続することを試みる。ネットワークが存在しない場合、それ自身のネットワークを開始することを試みる。装置５０５が装置５１０を通して既存のネットワークに接続するのを試みる場合、装置５１０は、上述されたものに類似したインテグリティチェックを実行するのを装置５０５に要求する。
【００４５】
ネットワークへの接続が認められた場合、装置５０５は、インテグリティチェックを受けるように装置５１０に要求し、この場合、装置５１０は、それ自身のインテグリティ値イを測定し、測定されたインテグリティ値を装置５０５に送信する必要がある。装置５０５は、装置５０５の埋め込まれたインテグリティ値に対して、装置５１０の測定されたインテグリティ値をチェックする。測定されたインテグリティ値は、セクタ値に基づいており、このセクタ値は、装置１０５のプロテクトされていないセクションに記憶される場合がある。これらプロテクトされていない（less protected）セクタは、最初のインテグリティチェック後に変更される場合がある。これは、ある装置のインテグリティチェックの結果が時間につれて変化することを意味する。たとえば、起動時にそのインテグリティチェックをパスした装置は、ネットワーク上の他の装置からの各種データの処理後に、インテグリティチェックにその後失敗する場合がある。従って、所定の装置は、他の装置がネットワークに対して既に許可されているとしても、所定の他の装置からのその後のインテグリティチェックを必要とする場合がある。
【００４６】
所定の実施の形態では、装置５１０は、装置５０５の所定の信頼水準を示す証明書を装置５０５に発行する。装置５１０の埋め込まれたインテグリティ値が装置５０５により送信された測定されたインテグリティ値に整合する場合、装置５１０は、信頼性の高い水準を有する。装置５１０の埋め込まれたインテグリティ値が装置５０５により送信された測定されたインテグリティ値に整合しない場合、装置５０５は、診断データを送信するように装置５０５に要求する。診断データに基づいて、装置５１０は、あるポリシーに従って適切な信頼の水準による証明書を発行する。信頼の水準は、装置５０５から送信されたデータに関する所定のタイプの処理に関連される。また、装置５１０は、バックエンドサーバ５１５に装置５０５により送信された診断データを送出する。診断データに基づいて、バックエンドサーバ５１５は、ある信頼のレベルを示す証明書を装置５０５に発行するように装置５１０に指示する。
【００４７】
装置５０５は、装置５１０との将来の通信を試みようとするときに証明書を提示する。これにより、装置５１０は、通信するのを試みる次回に新たなインテグリティチェックを実行するのを装置５０５に要求しない。幾つかの実施の形態では、装置５１０は、その自身の汎用ストレージに証明書を保持する。これらの実施の形態では、装置５１０は、証明書を装置５０５により送信された識別子と関連付けする。特定の実施の形態では、証明書は、指定された時間後に有効期限が切れる場合がある。証明書が存在するときでさえ、装置５１０は、所定の状況において新たなインテグリティチェックを要求する。たとえば、装置５１０は、別のインテグリティチェックを実行するように装置５０５に要求し、その装置５０５が送出しようと試みるデータのタイプが重大な特質からなる場合に、その測定されたインテグリティ値を送出する。所定の実施の形態では、証明書の使用は、装置５０５及び図５に示されない他の装置の証明書を保持及び管理することを装置５１０に要求しない。システム５００の所定の実施の形態では、証明書の使用なしで済ませ、代わりに、通信を試みるたびに、インテグリティチェックを受けるように送信する装置に要求する。幾つかの実施の形態では、それぞれの通信についてインテグリティチェックを受けるように送信する装置に要求するのではなく、証明書を使用する判定は、ネットワークの所定のセクションについて同じ形態を取る。たとえば、同じゲートウェイ下にある全ての装置は、それぞれの通信の前に、証明書を発行するか、又は測定されたインテグリティ値の送信を要求する。
【００４８】
ネットワークのコンポーネント間でデータを送信及び受信する幾つかの可能性は、この開示で議論される所与の条件を生じさせる。たとえば、メータデータは、送信する装置のインテグリティをチェックすることなしに、ネットワークを通過することが許可される場合があるが、管理データ又は制御データを送信する全ての試みは、有効な証明書又は成功したインテグリティの認証を必要とする。
【００４９】
所定の実施の形態では、装置５０５は、図５に示されない別の装置から装置５０５に送信された装置５１０にデータを送信するのを試みる。幾つかの実施の形態では、装置５１０は、装置５０５がデータの最初の情報発信源ではなかったと判定する。装置５１０は、装置５０５にデータを送信した装置がインテグリティチェックを行うこと、及びその測定されたインテグリティ値を装置５１０に送出することを必要とする。装置５１０は、この値を自身の埋め込まれたインテグリティ値と比較し、次いで比較の結果に依存してデータを処理する。なお、装置５０５にデータを送信した装置は、データの「最初の」情報発信源ではない場合があることに留意されたい。装置５１０は、装置５１０に情報を送るために使用される装置のチェインのうちの任意の装置からインテグリティチェックを要求する。所定の実施の形態では、発信する装置は、装置のネットワークを通して送出する任意のデータと共にその測定されたインテグリティ値を送信する。係るように、装置５１０は、装置５０５からデータの送信を受けたとき、発信する装置の測定されたインテグリティ値を有する。幾つかの実施の形態では、装置５１０は、その埋め込まれたインテグリティ値を、データを直接に受けた装置及び最初にデータを送出した装置の測定されたインテグリティ値と比較するのを装置５１０に要求するポリシーを有する。バックエンドサーバ５１５は、どの装置からインテグリティチェックを要求すべきかに関して、装置５１０に指示する。
【００５０】
幾つかの実施の形態では、装置のネットワークにおける埋め込まれたインテグリティ値は、同じように設定される。所定の装置の測定されたインテグリティ値は、変動する状況下において異なる場合がある。たとえば、ある市における新たな地区は、それらの測定されたインテグリティ値がその市における他の装置の埋め込まれたインテグリティ値に整合しないように設定される新たな装置を有する。この状況において、新たな地区における新たな装置は、たとえそれらが危険にさらされていないとしても、異なる測定されたインテグリティ値を有する。この状況において、他の装置のうちの１つは、先の説明に従ってこれらの新たな装置のうちの１つから到来するデータに対してどのようなポリシーを適用すべきかを判定するため、バックエンドサーバに連絡を取る。
【００５１】
図２に関して１つの装置のインテグリティチェックに関して説明された全てのオプションは、第一の装置が第二の装置と通信するのを試みるときにも利用可能である。たとえば、装置５０５及び装置５１０は、複数の埋め込まれたインテグリティ値のレジスタにより構成される。装置５０５が装置５１０と通信するのを試みるとき、装置５１０は、装置５１０の埋め込まれたインテグリティ値のレジスタに記憶されている１以上の値に対して、装置５０５の測定されたインテグリティ値を比較する。幾つかの実施の形態では、装置５０５は、様々な式に基づいた複数の測定されたインテグリティ値を有する。装置５１０は、装置５０５のそれぞれ測定されたインテグリティ値を装置５１０の１以上の埋め込まれたインテグリティ値と比較する。装置５１０は、図２の装置１０５に関して記載された比較と同様な様々な比較の結果に依存して異なる指示を提供するポリシーを有する。
【００５２】
図６は、第二の装置と通するのを試みる第一の装置の信頼水準を第二の装置が判定するのを可能にする方法６００の実施の形態を示す。本方法は、ステップ６０５で開始し、ステップ６０５で、第二の装置は、第一の装置の測定されたインテグリティ値を受信する。ステップ６１０では、第二の装置は、その埋め込まれたインテグリティ値を第一の装置により送信された測定されたインテグリティ値に比較する。ステップ６１５では、２つの値が整合するかに関する判定が行われる。２つの値が整合しない場合、ステップ６２０で、第二の装置は、第一の装置が信頼できないと判定し、第一の装置との通信が拒否される。２つの値が整合すると本方法が判定した場合、ステップ６２５で、第二の装置は第一の装置が信頼できると判定し、第一の装置との通信を継続する。
【００５３】
当業者であれば、本方法６００が様々な他のステップを含むことを認識されるであろう。たとえば、本方法６００は、第一の装置の測定されたインテグリティ値に依存して、第一の装置について異なる信頼水準を決定するステップを含む。信頼水準に依存して、第二の装置は、装置に記憶されているポリシーに従ってデータを処理する場合がある。第一の装置の測定されたインテグリティ値が第二の装置の埋め込まれたインテグリティ値に整合しない場合、第二の装置は、第一の装置がより多くの情報又は診断データを送信することを要求する。この情報は、第一の装置の識別子、第一の装置の１以上の中間の測定された値、及び第一の装置に割り当てる信頼水準の決定において、第二の装置を支援する他の情報を含む。この情報は、そのポリシーに従って第一の装置から送信されたデータをどのように処理すべきかの判定において第二の装置を誘導する。幾つかの実施の形態では、本方法は、第二の装置がバックエンドサーバに連絡を取ることを要求する。第二の装置は、第一の装置に割り当てる信頼水準の決定においてバックエンドサーバを支援するため、第一の装置から情報又は診断データを送信する。
【００５４】
図７は、第一の装置から第二の装置にデータを送信することに関連するポリシーの適用を容易にする方法７００の実施の形態を例示する。本方法は、ステップ７０５で開始し、この場合、第一の装置は、第二の装置にデータを送出する。ステップ７１０で、第一の装置が送出しようと試みるデータの少なくとも１部がプロテクトされた分類にあるかに関する判定が行われる。データがより重要なデータに対応する場合、データはプロテクトされた分類にある。幾つかの実施の形態では、管理データ及び／又は制御データはプロテクトされた分類にあり、メータデータは、プロテクトされていない。データの一部がプロテクトされた分類にない場合、本方法は、ステップ７１５に進み、ステップ７１５で、第一の装置は、第二の装置にデータを送出する試みを継続する。
【００５５】
第一の装置が送信しようとするデータの少なくとも一部がプロテクトされた分類にあると判定された場合、本方法はステップ７２０に進み、ステップ７２０で、第一の装置の測定されたインテグリティ値が決定される。ステップ７２０は、図４に示された方法３０５に挙げられたのと同じステップを有する。ステップ７２５では、第一の装置の測定されたインテグリティ値は、第一の装置の埋め込まれたインテグリティ値に比較される。ステップ７３０で、第一の装置の埋め込まれたインテグリティ値が第一の装置の測定されたインテグリティ値に整合するかに関する判定が行われる。値が整合する場合、本方法はステップ７１５に進み、ステップ７１５で、第一の装置は、第二の装置にデータを送出する試みを継続する。本方法が値が整合しないと判定した場合、本方法は、ステップ７３５に進み、ステップ７３５で、データ送信がポリシーに従って制限される。この制限は、データが全く送出されないか、又は制限された量のデータが送信において送出されることによる。たとえば、第一の装置は、データのプロテクトされていない部分を送出する試みを継続する。幾つかの実施の形態では、本方法７００は、更なる指示のためにバックエンドサーバに連絡を取ることを継続する。第一の装置が第二の装置にデータを送信する試みを継続するかの判定においてバックエンドサーバを支援するため、第一の装置は、バックエンドサーバに情報及び／又は診断データを送出する。
【００５６】
図８は、第一の装置から第二の装置でデータを受信することに関連するポリシーの適用を容易にする方法８００の実施の形態を例示する。本方法は、ステップ８０５で開始し、ステップ８０５で、第二の装置は、第一の装置からデータを受信する。ステップ８１０で、第一の装置から受信されたデータの少なくとも１部がプロテクトされた分類にあるかに関する判定が行われる。データの一部がプロテクトされた分類にないと判定された場合、本方法は、ステップ８１５に進み、ステップ８１５で、第二の装置は、そのポリシーに従って通常のやり方で第一の装置からのデータを処理する。
【００５７】
ステップ８１０で、データの少なくとも１部がプロテクトされた分類にあると判定された場合、本方法は、ステップ８２０に進む。ステップ８２０で、第一の装置の測定されたインテグリティ値は、第二の装置の埋め込まれたインテグリティ値と比較される。第一の装置がその最初のデータの送信によりその測定されたインテグリティ値を最初に送出していない場合、第二の装置は、この時、第一の装置の測定されたインテグリティ値を要求する。ステップ８２５で、第一の装置の測定されたインテグリティ値の値が第二の装置の埋め込まれたインテグリティ値に整合するかに関する判定が行われる。値が整合する場合、本方法はステップ８１５に進み、ステップ８１５で、第一の装置から送信されたデータは、通常のやり方で第二の装置により処理される。ステップ８２５で、値が整合しないと判定された場合、本方法はステップ８３０に進み、ステップ８３０で、第一の装置から送信されたデータの処理は、第二の装置のポリシーに従って制限される。所定の実施の形態では、第二の装置は、第一の装置から送信されたデータにどのようなデータが許可されるかを判定するため、バックエンドサーバに連絡する。第二の装置は、第二の装置が第一の装置により送出されたデータの処理を制限すべきかの判定においてバックエンドサーバを支援するため、バックエンドサーバに第一の装置の情報及び／又は診断データを送出する。
【００５８】
本発明の範囲から逸脱することなしに、本明細書で開示された方法に対して、変更、追加又は省略が行われる場合がある。本方法は、より多くのステップ、少ないステップ又は他のステップを含む場合がある。たとえば、本方法８００は、１以上の中間の測定された値を第一の装置から要求するステップを含む。第一の装置から送出されたデータに適用されるポリシーは、これら中間の測定された値の１以上に依存する。さらに、適切な順序でステップが実行される場合がある。
【００５９】
本発明の範囲から逸脱することなしに、本明細書で開示されるシステム及び方法に対して変更、追加又は省略が行われる場合がある。システム及び装置のコンポーネントは、統合されるか又は分離される場合がある。たとえば、ゲートウェイ１１０は、１つのゲートウェイ１１０に纏められる場合がある。システム及び装置の動作は、より多くの構成要素、少ない構成要素、又は他の構成要素により行われる場合がある。たとえば、通院処理モジュール２１５及び測定処理モジュール２２０の動作は、１つの構成要素により実行される場合があり、又は、制御処理モジュール２０５の動作は、１を超える構成要素により行われる場合がある。さらに、システム及び装置の動作は、ソフトウェア、ハードウェア及び／又は他のロジックを有する適切なロジックを使用して実行される場合がある。本明細書で使用されたとき、「それぞれ」は、あるセットのそれぞれのメンバ又はあるセットのサブセットのうちのそれぞれのメンバを示す。
【００６０】
本明細書で開示されるシステム及び装置の構成要素は、インタフェース、ロジック、メモリ、及び／又は他の適切な構成要素を含む場合がある。インタフェースは、入力を受信し、出力を送出し、入力及び／又は出力を処理し、及び／又は、他の適切な動作を実行する。インタフェースは、ハードウェア及び／又はソフトウェアを有する。
【００６１】
ロジックは、たとえば入力から出力を生成する命令を実行することで、コンポーネントの動作を実行する。ロジックは、ハードウェア、ソフトウェア、及び／又は他のロジックを含む場合がある。ロジックは、１以上の有形の媒体にエンコードされ、コンピュータにより実行されたときに動作を実行する場合がある。プロセッサのような所定のロジックは、構成要素の動作を管理する場合がある。プロセッサの例は、１以上のコンピュータ、１以上のマイクロプロセッサ、１以上のアプリケーション、及び／又は他のロジックを含む。
【００６２】
特定の実施の形態では、実施の形態の動作は、コンピュータプログラム、ソフトウェア、コンピュータ実行可能な命令、及び／又はコンピュータにより実行可能な命令でエンコードされた１以上のコンピュータ読み取り可能な記録媒体により実行される場合がある。特定の実施の形態では、実施の形態の動作は、コンピュータプログラムを記憶する１以上のコンピュータ読み取り可能な記録媒体、コンピュータプログラムで実施される１以上のコンピュータ読み取り可能な記録媒体、及び／又はコンピュータプログラムでエンコードされた１以上のコンピュータ読み取り可能な記録媒体、及び／又は、記憶及び／又はエンコードされたコンピュータプログラムを有する１以上のコンピュータ読み取り可能な記録媒体により実行される。
【００６３】
ストレージユニット、リポジトリ、及びレジスタは、それぞれメモリを有する場合がある。メモリは情報を記憶する。メモリは、１以上の一時的でない、有形のコンピュータ読み取り可能及び／又はコンピュータ実行可能な記憶媒体を有する場合がある。メモリの例は、コンピュータメモリ（たとえばランダムアクセスメモリ（RAM）又はリードオンリメモリ（ROM）、大容量記憶媒体（たとえばハードディスク）、取り外し可能な記憶媒体（たとえばコンパクトディスク（CD）又はデジタルビデオディスク（DVD）、データベース及び／又はネットワークストレージ（たとえばサーバ）、及び／又は他のコンピュータ読み取り可能な記録媒体）を含む場合がある。
【００６４】
本明細書の開示は、所定の実施の形態の観点で記載されたが、本実施の形態の変更及び置き換えは、当業者により明らかとなるであろう。従って、実施の形態の先の記載は、この開示の制限するものではない。以下の特許請求の範囲により定義されるように、この開示の精神及び範囲から逸脱することなしに、他の変形、置き換え、及び変更が可能である。
【００６５】
以下に、本発明の特徴点を付記として示す。
（付記１）
デバイスインテグリティの認証のための方法であって、
装置の測定されたインテグリティ値をプロセッサを使用して決定するステップと、
前記測定されたインテグリティ値を前記装置の埋め込まれたインテグリティ値とプロセッサを使用して比較するステップと、
前記比較に基づいて前記装置へのポリシーの適用を容易にするステップと、
を含むことを特徴とする方法。
（付記２）
前記装置の１以上のセクタ値に基づいて前記測定されたインテグリティ値を決定するステップを更に含む、
付記１記載の方法。
（付記３）
前記装置の１以上のセクタ値の合計を計算するステップを更に含む、
付記２記載の方法。
（付記４）
前記測定されたインテグリティ値を決定するために使用される複数のセクタ値のサブセットに基づいて中間の測定された値を決定するステップを更に含む、
付記１記載の方法。
（付記５）
前記装置のプロテクトされたセクションに前記埋め込まれたインテグリティ値及びポリシーの少なくとも１つを記憶するステップを更に含む、
付記１記載の方法。
（付記６）
前記装置の識別子に基づいて前記ポリシーの少なくとも１つを決定するステップを更に含む、
付記１記載の方法。
（付記７）
前記識別子は、前記装置に固有である、
付記６記載の方法。
（付記８）
前記ポリシーは、前記測定されたインテグリティ値が前記埋め込まれたインテグリティ値に整合しない場合に、前記装置の１以上の機能を変更することを含む、
付記１記載の方法。
（付記９）
前記ポリシーは、バックエンドサーバに情報を送信することを含む、
付記１記載の方法。
（付記１０）
前記情報は、前記測定されたインテグリティ値、前記装置の識別子、中間の測定された値の少なくとも１つを含み、前記中間の測定された値は、前記測定されたインテグリティ値を決定するために使用された複数のセクタ値のサブセットに基づく、
付記９記載の方法。
（付記１１）
前記バックエンドサーバから、前記バックエンドサーバに送信された情報に従って決定された装置のポリシーを受信するステップと、
前記装置のポリシーを前記装置に適用するステップと、
を更に含む付記９記載の方法。
（付記１２）
予め決定されたスケジュール及び前記装置の外部からの要求のうちの1つに応答して、前記測定されたインテグリティ値を決定するステップを更に含む、
付記１記載の方法。
（付記１３）
装置のインテグリティの認証のためのシステムであって、
装置の測定されたインテグリティ値を決定し、前記測定されたインテグリティ値を前記装置の埋め込まれたインテグリティ値と比較するインテグリティチェック処理モジュールと、
前記比較に基づいて複数のポリシーのうちの１つを前記装置に適用するのを容易にする制御処理モジュールと、
を備えることを特徴とするシステム。
（付記１４）
前記測定されたインテグリティ値は、前記装置の１以上のセクタ値に基づく、
付記１３記載のシステム。
（付記１５）
前記インテグリティチェック処理モジュールは、装置の１以上のセクタ値の合計を計算する、
付記１４記載のシステム。
（付記１６）
前記インテグリティチェック処理モジュールは、測定されたインテグリティ値を決定するために使用される複数のセクタ値のサブセットに基づいて中間の測定された値を決定し、前記中間の測定された値を記憶する、
付記１３記載のシステム。
（付記１７）
前記制御処理モジュールは、装置のプロテクトされたセクションに前記埋め込まれたインテグリティ値及びポリシーの少なくとも１つを記憶する、
付記１３記載のシステム。
（付記１８）
前記ポリシーの少なくとも１つは、前記装置の識別子に基づく、
付記１３記載のシステム。
（付記１９）
前記識別子は、前記装置に固有である、
付記１８記載のシステム。
（付記２０）
前記少なくとも１つのポリシーは、前記測定されたインテグリティ値が前記埋め込まれたインテグリティ値に整合しない場合に、前記装置の１以上の機能を変更することを含む、
付記１３記載のシステム。
（付記２１）
前記少なくとも１つのポリシーは、バックエンドサーバに情報を送信することを含む、
付記１３記載のシステム。
（付記２２）
前記情報は、前記測定されたインテグリティ値、前記装置の識別子、中間の測定された値の少なくとも１つを含み、前記中間の測定された値は、前記測定されたインテグリティ値を決定するために使用された複数のセクタ値のサブセットに基づく、
付記２１記載のシステム。
（付記２３）
前記制御処理モジュールは、前記バックエンドサーバから、前記バックエンドサーバに送信された情報に従って決定された装置のポリシーを受信し、
前記制御処理モジュールは、前記装置のポリシーを前記装置に適用する、
付記２１記載のシステム。
（付記２４）
前記インテグリティチェック処理モジュールは、予め決定されたスケジュール及び前記装置の外部からの要求のうちの１つに応答して、前記測定されたインテグリティ値を決定する、
付記１３記載のシステム。
【符号の説明】
【００６６】
１００：システム
１０５：装置
１１０：ゲートウェイ
１１５：バックエンドサーバ
【特許請求の範囲】
【請求項１】
装置のインテグリティの認証のためのシステムであって、
装置の測定されたインテグリティ値を決定し、前記測定されたインテグリティ値を前記装置の埋め込まれたインテグリティ値と比較するインテグリティチェック処理モジュールと、
前記比較に基づいて複数のポリシーのうちの１つを前記装置に適用するのを容易にする制御処理モジュールと、
を備えることを特徴とするシステム。
【請求項２】
前記少なくとも１つのポリシーは、前記測定されたインテグリティ値が前記埋め込まれたインテグリティ値に整合しない場合に、前記装置の１以上の機能を変更することを含む、
請求項１記載のシステム。
【請求項３】
前記少なくとも１つのポリシーは、バックエンドサーバに情報を送信することを含む、
請求項１記載のシステム。
【請求項４】
前記情報は、前記測定されたインテグリティ値、前記装置の識別子、中間の測定された値の少なくとも１つを含み、前記中間の測定された値は、前記測定されたインテグリティ値を決定するために使用された複数のセクタ値のサブセットに基づく、
請求項３記載のシステム。
【請求項５】
前記制御処理モジュールは、前記バックエンドサーバから、前記バックエンドサーバに送信された情報に従って決定された装置のポリシーを受信し、
前記制御処理モジュールは、前記装置のポリシーを前記装置に適用する、
請求項３記載のシステム。
【請求項６】
デバイスインテグリティの認証のための方法であって、
装置の測定されたインテグリティ値をプロセッサを使用して決定するステップと、
前記測定されたインテグリティ値を前記装置の埋め込まれたインテグリティ値とプロセッサを使用して比較するステップと、
前記比較に基づいて前記装置へのポリシーの適用を容易にするステップと、
を含むことを特徴とする方法。
【請求項７】
前記装置の１以上のセクタ値に基づいて前記測定されたインテグリティ値を決定するステップを更に含む、
請求項６記載の方法。
【請求項８】
前記測定されたインテグリティ値を決定するために使用される複数のセクタ値のサブセットに基づいて中間の測定された値を決定するステップを更に含む、
請求項７記載の方法。
【請求項１】
装置のインテグリティの認証のためのシステムであって、
装置の測定されたインテグリティ値を決定し、前記測定されたインテグリティ値を前記装置の埋め込まれたインテグリティ値と比較するインテグリティチェック処理モジュールと、
前記比較に基づいて複数のポリシーのうちの１つを前記装置に適用するのを容易にする制御処理モジュールと、
を備えることを特徴とするシステム。
【請求項２】
前記少なくとも１つのポリシーは、前記測定されたインテグリティ値が前記埋め込まれたインテグリティ値に整合しない場合に、前記装置の１以上の機能を変更することを含む、
請求項１記載のシステム。
【請求項３】
前記少なくとも１つのポリシーは、バックエンドサーバに情報を送信することを含む、
請求項１記載のシステム。
【請求項４】
前記情報は、前記測定されたインテグリティ値、前記装置の識別子、中間の測定された値の少なくとも１つを含み、前記中間の測定された値は、前記測定されたインテグリティ値を決定するために使用された複数のセクタ値のサブセットに基づく、
請求項３記載のシステム。
【請求項５】
前記制御処理モジュールは、前記バックエンドサーバから、前記バックエンドサーバに送信された情報に従って決定された装置のポリシーを受信し、
前記制御処理モジュールは、前記装置のポリシーを前記装置に適用する、
請求項３記載のシステム。
【請求項６】
デバイスインテグリティの認証のための方法であって、
装置の測定されたインテグリティ値をプロセッサを使用して決定するステップと、
前記測定されたインテグリティ値を前記装置の埋め込まれたインテグリティ値とプロセッサを使用して比較するステップと、
前記比較に基づいて前記装置へのポリシーの適用を容易にするステップと、
を含むことを特徴とする方法。
【請求項７】
前記装置の１以上のセクタ値に基づいて前記測定されたインテグリティ値を決定するステップを更に含む、
請求項６記載の方法。
【請求項８】
前記測定されたインテグリティ値を決定するために使用される複数のセクタ値のサブセットに基づいて中間の測定された値を決定するステップを更に含む、
請求項７記載の方法。
【図１】
【図２】
【図３】
【図４】
【図５】
【図６】
【図７】
【図８】
【図２】
【図３】
【図４】
【図５】
【図６】
【図７】
【図８】
【公開番号】特開２０１２−４３４３８（Ｐ２０１２−４３４３８Ａ）
【公開日】平成２４年３月１日（２０１２．３．１）
【国際特許分類】
【出願番号】特願２０１１−１７９５２１（Ｐ２０１１−１７９５２１）
【出願日】平成２３年８月１９日（２０１１．８．１９）
【出願人】（０００００５２２３）富士通株式会社 (25,993)
【Ｆターム（参考）】
【公開日】平成２４年３月１日（２０１２．３．１）
【国際特許分類】
【出願日】平成２３年８月１９日（２０１１．８．１９）
【出願人】（０００００５２２３）富士通株式会社 (25,993)
【Ｆターム（参考）】
[ Back to top ]