特表 2022-517964 ネットワーク接続可能な感知装置

(19)【発行国】日本国特許庁(JP)

(12)【公報種別】公表特許公報(A)

(11)【公表番号】

(43)【公表日】2022-03-11

(54)【発明の名称】ネットワーク接続可能な感知装置

(51)【国際特許分類】

   H04L 9/32 20060101AFI20220304BHJP

   H04L 9/08 20060101ALI20220304BHJP

   G06F 21/64 20130101ALI20220304BHJP

   G06F 21/73 20130101ALI20220304BHJP

   G06F 21/44 20130101ALI20220304BHJP

   H04L 9/10 20060101ALI20220304BHJP

【ＦＩ】

H04L9/32 200B

H04L9/32 200E

H04L9/08 C

G06F21/64

G06F21/73

G06F21/44

H04L9/10 Z

【審査請求】未請求

【予備審査請求】未請求

(21)【出願番号】P 2021539980

(86)(22)【出願日】2019-12-24

(85)【翻訳文提出日】2021-07-08

(86)【国際出願番号】 IB2019061332

(87)【国際公開番号】W WO2020144527

(87)【国際公開日】2020-07-16

(31)【優先権主張番号】00029/19

(32)【優先日】2019-01-10

(33)【優先権主張国・地域又は機関】CH

(81)【指定国・地域】

(71)【出願人】

【識別番号】521249645

【氏名又は名称】エムアッシュエム・ミクロテクニク・ソシエテ・ア・レスポンサビリテ・リミテ

(74)【代理人】

【識別番号】100069556

【弁理士】

【氏名又は名称】江崎 光史

(74)【代理人】

【識別番号】100111486

【弁理士】

【氏名又は名称】鍛冶澤 實

(74)【代理人】

【識別番号】100191835

【弁理士】

【氏名又は名称】中村 真介

(74)【代理人】

【識別番号】100208258

【弁理士】

【氏名又は名称】鈴木 友子

(74)【代理人】

【識別番号】100221981

【弁理士】

【氏名又は名称】石田 大成

(72)【発明者】

【氏名】マイヤー・シュテファン

(72)【発明者】

【氏名】オルチェフスキー・イヴァン

(72)【発明者】

【氏名】バルメール・ステファーヌ

(72)【発明者】

【氏名】トリファ・ヴラド

(57)【要約】

【課題】なりすまし及び悪意のある攻撃を防いで、物理エンティティを測定して測定結果を遠隔伝送可能な感知装置を提供する。
【解決手段】本発明は製造モードと、未プロビジョンモードと、プロビジョンモードと、寿命終了モードとを選択的に操作されるべく構成されている感知装置（１）に関する。製造モードにおいて、電子回路（１４）が永続的に固有コード（１４９）を記憶媒体（１２）に格納するように構成されていて、
未プロビジョンモードにおいて、秘密鍵（１４２）及び公開鍵（１４３）を生成するため、電子回路（１４）はプロビジョニングコード（３１）を待つ。プロビジョンモードにおいて、電子回路（１４）は、計時ユニット（１３）により提供されたタイムスタンプと感知ユニットにより提供されたデータ（１１０）に署名する。集められたデータ（１１０）と、タイムスタンプ（１４６）と、デジタル署名（１４４）と、公開鍵（１４３）とはそれから伝送される。寿命終了モードにおいて、電子回路（１４）は永続的に秘密鍵を消去する。

【特許請求の範囲】

【請求項1】

所与の現象を少なくとも感知する感知ユニット（１１）と、
デジタルデータを格納する記憶媒体（１２）と、
デジタルデータと信号との少なくとも一方を受信及び伝送する通信ユニット（１５）と、
タイムスタンプを提供する計時ユニット（１３）と、
記憶媒体（１２）と、感知ユニット（１１）と、通信ユニット（１５）と、計時ユニット（１３）とに、操作上接続されている、電子回路（１４）と
を備える感知装置（１）において、
感知装置（１）は、製造モードと、未プロビジョンモードと、プロビジョンモードと、寿命終了モードとを選択的に操作されるべく構成されていて、
製造モードにおいて、電子回路（１４）が永続的に固有コード（１４９）を記憶媒体（１２）に格納するように構成されていて、
未プロビジョンモードにおいて、プロビジョニング装置（３）からプロビジョニングコード（３１）を受信するように、電子回路（１４）が待つように構成されていて、かつ
前記感知装置の固有コード（１４９）に一致しているプロビジョニングコード（３１）に応答して、データに署名する秘密鍵（１４２）を生成して、公開鍵（１４３）を控除するように、
プロビジョンモードにおいて、感知ユニット（１１）によって提供されるデータを集めるように、かつ
公開鍵（１４３）で検証可能なデジタル署名（１４４）を提供するように、秘密鍵（１４２）で、集められたデータ及び計時ユニット（１３）により提供されたタイムスタンプに署名するように
電子回路（１４）が構成されていて、かつ
パックされたデータ（１４０）をゲートウェイ装置（４）とサーバ（５）との少なくとも一方に伝送するように、電子回路（１４）が構成されていて、
パックされたデータ（１４０）が、集められたデータ（１１０）と、タイムスタンプ（１４６）と、デジタル署名（１４４）と、公開鍵（１４３）とを備え、
寿命終了モードにおいて、電子回路（１４）が永続的に秘密鍵（１４２）を消去するように構成されている、感知装置（１）。

【請求項2】

製造モードにおいて、電子回路（１４）は固有コード（１４９）を製造装置（２）から受信するように構成されている、請求項１に記載の感知装置（１）。

【請求項3】

製造モードにおいて、電子回路（１４）はシリアル番号（１４８）を製造装置（２）に送るように構成されていて、好ましくは前記シリアル番号は、感知装置（１）に割り当てられた固有の識別子である、請求項２に記載の感知装置（１）。

【請求項4】

固有コード（１４９）の記憶媒体（１２）への格納と、製造装置（２）から提供されるスリープ信号（２０）の受付との少なくとも一方に応答して、製造モードから未プロビジョンモードに切り替えるように、感知装置（１）が構成されている、請求項１から３のいずれか一項に記載の感知装置（１）。

【請求項5】

前記感知装置の固有コード（１４９）に一致しているプロビジョニングコード（３１）に応答して、プロビジョニング装置（３）により提供されるプロビジョニング設定（３２）を適用するように、電子回路（１４）が構成されていて、
プロビジョニング設定（３２）は、
パックされたデータ内で伝送されることになっている感知装置識別子１４１と、
測定速度又は測定頻度と、測定精度と、感知しきい値と、感知ユニットの感知要素を有効化するしないのような、感知ユニットの設定と、
通信ユニットの設定と、
設定と同期信号との少なくとも一方のような、時計と計時ユニットとの少なくとも一方の設定と、
測定と、感知ユニットにより提供されるデータの収集との少なくとも一方を起動する起動イベントと、
パッケージ情報と
の少なくともいずれか１つを備える、請求項１から４のいずれか一項に記載の感知装置（１）。

【請求項6】

未プロビジョンモードにおいて、通信ユニット（１５）は、プロビジョニング装置（３）との近距離通信（１５１）を設立するように構成されている、請求項１から５のいずれか一項に記載の感知装置（１）。

【請求項7】

未プロビジョンモードにおいて、通信ユニット（１５）は共有鍵（１４７）に基づいて、プロビジョニング装置（３）との、安全が確保されていない通信か、安全な通信を設立するように構成されていて、
好ましくは共有鍵（１４７）は電子回路（１４）によって取得と生成との少なくとも一方がなされ、
好ましくは共有鍵（１４７）は記憶媒体（１２）に格納されている、請求項１から６のいずれか一項に記載の感知装置（１）。

【請求項8】

事前共有鍵（３０）をプロビジョニング装置（３）から取得するように電子回路（１４）が構成されていて、共有鍵（１４７）を事前共有鍵（３０）及び秘密データとりわけ固有コード（１４９）から生成するように電子回路（１４）が構成されている、請求項７に記載の感知装置（１）。

【請求項9】

秘密鍵（１４２）の生成と、公開鍵（１４３）の控除と、プロビジョニング設定（３２）の適用と、プロビジョニング装置（３）から提供されるウェイクアップ信号（３３）の受信との少なくとも１つに応答して、感知装置（１）が未プロビジョンモードからプロビジョンモードに切り替えるように構成されてる、請求項１から８のいずれか一項に記載の感知装置（１）。

【請求項10】

プロビジョンモードにおいて、
集められたデータを記憶媒体（１２）に格納するように、電子回路（１４）が構成されていて、
ゲートウェイ装置（４）とサーバ（５）との少なくとも一方により提供される要求信号（４０）に応答して、集められたデータ（１１０）及びタイムスタンプ（１４６）に署名して、パックされたデータ（１４０）を伝送するように、電子回路（１４）が構成されている、請求項１から９のいずれか一項に記載の感知装置（１）。

【請求項11】

プロビジョンモードにおいて、
パックされたデータの安全な受け取りを確認して、確認信号（３３）をゲートウェイ装置（４）とサーバ（５）との少なくとも一方から受信するように、電子回路（１４）は構成されていて、
確認信号（４１）の受付に応答して、集められたデータを記憶媒体（１２）から除去するように、電子回路（１４）は構成されている、請求項１０に記載の感知装置（１）。

【請求項12】

寿命終了信号の受付に応答して、感知装置が、寿命終了モードに切り替えるように構成されている、請求項１から１１のいずれか一項に記載の感知装置（１）。

【請求項13】

プロビジョンモードにおいて、通信ユニット（１５）が、ゲートウェイ装置（４）とのローカル通信（１５２）を設立するように構成されていて、
好ましくは前記ローカル通信は、無線エリアネットワーク通信と、無線ローカルエリア通信と、ブルートゥース（登録商標）通信と、ＡＮＴ通信と、有線通信と、ＵＳＢ通信と、左記の組み合わせとのいずれかである、請求項１から１２のいずれか一項に記載の感知装置（１）。

【請求項14】

プロビジョンモードにおいて、通信ユニット（１５）がゲートウェイ装置（４）とのポイントツーポイント通信（１５２）を設立するように構成されていて、好ましくは前記ポイントツーポイント通信が、有線セルラーネットワークと無線セルラーネットワークとの少なくとも一方と、衛星ネットワークと、有線ネットワークと、左記の組み合わせとの少なくともいずれか一種類のような、少なくともポイントツーポイントコンピュータネットワーク接続に依拠している、請求項１から１３のいずれか一項に記載の感知装置（１）。

【請求項15】

寿命終了モードにおいて、感知ユニット（１１）により提供された集められたデータ（１１０）を永続的に消去して、かつ感知装置を未プロビジョンモードに切り替えるように、電子回路（１４）が構成されている、請求項１から１４のいずれか一項に記載の感知装置（１）。

【請求項16】

寿命終了モードにおいて、感知装置（１）を永続的に作動不能にするように電子回路（１４）が構成されている、請求項１から１４のいずれか一項に記載の感知装置（１）。

【請求項17】

同期信号の取得によって、基準時、とりわけ協定世界時との時計同期を提供するように、計時ユニット（１３）が構成されていて、
好ましくは同期信号は、
通信ユニット（１５）と、全地球測位システム（１７）と、無線アンテナとの少なくとも１種類により提供される、無線と、衛星と、有線との少なくともいずれか１種類の同期信号であり、
好ましくは計時ユニット（１３）は、制御されている時計（１３１）、好ましくは無線制御されている時計（１３１）を、備えているか、操作上接続されている、請求項１から１６のいずれか一項に記載の感知装置（１）。

【請求項18】

改造から保護する保護ケーシング（１０）をさらに備え、保護ケーシング（１０）は好ましくは水密と気密との少なくとも一方であり、
保護ケーシング（１０）は、通信ユニット（１５）と、感知ユニット（１１）と、記憶媒体（１２）と、電子回路（１４）と、計時ユニット（１３）と、全地球測位システム（１７）とを囲んでいて、及び／又は無線アンテナと、時計（１３１）とを囲んでいる、請求項１から１７のいずれか一項に記載の感知装置（１）。

【請求項19】

保護ケーシング（１０）の改造を検出するように構成されている改造検出器（１６）をさらに備え、好ましくは改造検出器（１６）は保護ケーシング（１０）に囲まれていて、改造の検出に応答して、感知装置は寿命終了モードに切り替わるように構成されている、請求項１８に記載の感知装置（１）。

【請求項20】

電子回路（１４）と、通信ユニット（１５）と、感知ユニット（１１）と、記憶媒体（１２）と、電子回路（１４）と、計時ユニット（１３）と、改造検出器（１６）と、全地球測位システム（１７）と、時計（１３）と、及び／又は無線アンテナとに電力を供給するエネルギー貯蔵モジュール（１８）をさらに備え、
好ましくはエネルギー貯蔵モジュール（１８）は、保護ケーシング（１０）に囲まれていて、
貯蔵モジュール（１８）の残りのエネルギーが所与のエネルギーしきい値を下回っていることを検出するように電子回路（１４）が構成されていて、
所与のエネルギーしきい値を下回っていることの検出に応じて、感知装置（１）を寿命終了モードに切り替えるように電子回路（１４）が構成されている、請求項１から１９のいずれか一項に記載の感知装置（１）。

【請求項21】

電子回路（１４）は、加速度計（１９）により検出された動きと加速との少なくとも一方に応答して、感知ユニット（１１）により提供されるデータを集めるように構成されていて、好ましくは検出しきい値を超える動きと加速との少なくとも一方に応答して、好ましくはプロビジョニング設定（３２）が前記検出しきい値を備える、請求項１から２０のいずれか一項に記載の感知装置（１）。

【請求項22】

固有コード（１４９）を、感知装置（１）の記憶媒体（１２）に永続的に格納するステップと、
固有コード（１４９）に一致しているプロビジョニングコード（３１）に応答して、秘密鍵（１４２）及び公開鍵（１４３）を感知装置（１）上に生成するステップであって、固有コード（１４９）は好ましくはプロビジョニング装置（３）により提供される、秘密鍵（１４２）及び公開鍵（１４３）を生成するステップと、
感知ユニット（１１）により提供される集められたデータと、計時ユニット（１３）により提供されるタイムスタンプ（１４６）に感知装置（１）上で秘密鍵（１４２）によって署名することでデジタル署名を提供するステップと、
集められたデータ（１１０）と、タイムスタンプ（１４６）とデジタル署名（１４４）と公開鍵（１４３）とを備えるパックされているデータ（１４０）を、サーバ（５）に伝送するステップと、それから
感知装置の保護ケーシング（１０）の改造の検出と、感知装置の貯蔵モジュール（１８）の残りエネルギーが所与のエネルギーしきい値を下回っていることの検出と、寿命終了信号の受信との少なくとも１つに応答して、秘密鍵（１４２）を感知装置（１）上から永続的に消去するステップと
を備える、感知装置（１）からデータを伝送する方法。

【請求項23】

サーバ（５）上での、感知装置（１）により生成された公開鍵（２４３）の有効化をさらに備え、
好ましくは前記有効化が、プロビジョニング装置（３）を通ってサーバ（５）への公開鍵（１４３）の伝送を含む、請求項２２に記載の方法。

【発明の詳細な説明】

【技術分野】

【0001】

本発明は、ネットワーク接続可能な感知（センシング）装置、とりわけ、ネットワーク接続可能なマルチセンシング装置に関する。

【背景技術】

【0002】

物のインターネット（ＩｏＴ）のようなネットワーク接続可能な感知装置は、直接又はゲートウェイを介して、物理エンティティの測定値（データ）を受信装置（サーバなど）にリモートで提供する電子機器である。それらのほとんどは、これらのデータを伝送するためにブルートゥース（登録商標）低消費電力（Ｂｌｕｅｔｏｏｔｈ（登録商標） Ｌｏｗ Ｅｎｅｒｇｙ（ＢＬＥ））通信に依存している。

【0003】

データは制御不能な媒体で伝送されるため、データは、不快又は深刻な状況につながり得るなりすましや悪意のある攻撃に対して脆弱である。

【0004】

ネットワーク接続可能な感知装置の一部がデータを暗号化するように構成されている場合でも、ネットワーク接続可能な感知装置は、依然として、なりすましや悪意のある攻撃、特にＩＤの置換や、キーの置換や、過去の傍受されたデータの再伝送に基づく攻撃に対して脆弱なままである。

【発明の概要】

【発明が解決しようとする課題】

【0005】

本発明の目的は、物理エンティティを測定し、既知のシステム及び方法よりも優れてなりすまし及び悪意のある攻撃に抵抗する方法で、物理エンティティを測定可能でありかつ結果を遠隔伝送可能な感知装置を提供することである。

【課題を解決するための手段】

【0006】

本発明によれば、これらの目的は、請求項１に記載のネットワーク接続可能な感知装置、及び感知装置から請求項２２に記載のサーバにデータを伝送する方法によって達成される。

【0007】

この解決手段は、
永続的な固有コードが、秘密鍵と公開鍵の不正又は悪意のある生成又は再生成を防止して、
パックされたデータが、（測定のような）集められたデータの完全性を検証可能にする公開鍵を提供して、かつ
署名された各パックされたデータが、タイムスタンプによって一意なものに作られるので、
感知装置によって提供される物理エンティティの測定値のより堅牢な伝送を提供する。

【0008】

本発明は、例として与えられ、図によって示される実施形態の説明の助けを借りて、よりよく理解されるであろう。

【図面の簡単な説明】

【0009】

【図1】図１は、本発明による、ネットワーク接続可能な感知装置を備える通信システムの概略図を示す。

【図2】図２は、製造モードで動作する図１の感知装置の例示的な流れ図を示す。

【図3】図３は、非プロビジョニングモードで動作する図１の感知装置の例示的な流れ図を示す。

【図4】図４は、プロビジョニングモードで動作する図１の感知装置の例示的な流れ図を示す。

【図5】図５は、図１の感知装置の複数の動作モードの例示的な流れ図を示す。

【発明を実施するための形態】

【0010】

図１は、所与の物理量又は事象の測定を、遠隔配置されているサーバ５に、とりわけデジタルデータの形態で遠隔提供するように構成されている、ネットワーク接続可能な感知装置１を備える通信システムの概略図を示す。

【0011】

サーバ５は、提供された手段の記憶と、分析との少なくとも一方を提供する任意の電子装置であり得る。任意の電子装置は、コンピュータ、ラップトップ、スマートフォン、スマートウォッチ、タブレット、携帯装置、又は他の任意の適切な装置のような装置である。

【0012】

図１の感知装置１は、１つ又はそれより多い所望の（物理的）事象、すなわち、感知装置又は感知装置が配置されている環境の事象、あるいは感知装置又は感知装置が配置されている環境の変化、あるいは感知装置又は感知装置が配置されている環境への影響を感知する感知ユニット１１を備える。特に、感知ユニット１１は、（環境と感知装置との少なくとも一方の）温度、湿度、光、感知装置の（相対的及び／又は絶対的）位置、感知装置の加速、あるいは感知装置に影響する衝撃、あるいはそれらの組み合わせを感知（測定）するように構成可能である。

【0013】

感知装置１は、感知ユニット１１から収集されたデータを直接又はゲートウェイ装置４を介して、とりわけパックされたデータ１４０の形態でサーバ５に伝送する通信ユニット１５を備える。通信ユニット１５はまた、サーバ５、ゲートウェイ装置４、又は別の装置２、３から、デジタルデータと信号との少なくとも一方を受信するように構成されている。

【0014】

ゲートウェイ装置は、感知装置１とサーバとの間でデータの伝送を提供する任意の装置であり得る。ゲートウェイ装置は、モバイル、転移可能な、又は静的装置にしてもよい。

【0015】

感知装置１は、それから、所与の非対称鍵の秘密鍵による伝送データ１１０の署名１４４を提供する、電子回路１４を備える。これにより、サーバ５とゲートウェイ装置４との少なくとも一方が、所与の非対称鍵の公開鍵１４３によって、伝送されたデータの完全性を検証可能である。公開かつ永続的な検証は、デジタル署名１４４及び公開鍵１４３にパックされたデータ１４０を提供することによって可能になる。

【0016】

パックされたデータ１４０はまた、感知装置１の計時ユニット１３によって提供されるタイムスタンプ１４６を備え、タイムスタンプも（同じ）秘密鍵によって署名される。

【0017】

タイムスタンプ１４６は、発生した事象感知と、データ取得事象と、伝送事象との少なくとも１つを識別する（デジタル形式で表される）一連の記号である。記号は、特定の日時の機能又は表現し得るもので、好ましくは秒単位の正確さであり得る。代替的に、タイムスタンプは、事象感知と、データ取得と、伝送事象との少なくともいずれかに割り当てられた固有な記号の配列（例えば、記号のランダム又は疑似ランダムな配列）である。

【0018】

タイムスタンプ１４６の記号は、英数字記号と、１つ又は複数の数字記号と、１つ又はそれより多い数字記号、１つ又はそれより多い二進法の数字と、１つ又はそれより多い印字記号と、１つ又はそれより多いグラフィック記号と、それらの組み合わせとからなるか、あるいは含むものであり得る。

【0019】

タイムスタンプの絶対的（又は少なくとも相対的）な固有性により、（各パックデータの署名は他のパックデータの署名とは異なるという）生成された署名の固有性が保証され、データのコピー又は再伝送に基づいたなりすまし又は悪意のある攻撃の（本質的な）検出を提供する。

【0020】

計時ユニット１３は、専用の時計を備るものとしてもよいし、あるいは感知装置１又はその構成要素（例えば、電子回路１４）の（共有）時計に依拠するものとしてもよい。

【0021】

有利には、専用又は共有時計は、制御されている時計３１１、すなわち、原子時計と協定世界時（ＵＴＣ）との少なくとも一方のような標準時に接続されている単一又は複数の伝送器によって伝送される同期信号（例えば、タイムコード）によって自動的に（すなわち、それ自体で、人の直接制御なしに）同期される時計であり得る。伝送器は、国又は地域の時間伝送器又はユニバーサル時間伝送器であり得る。複数伝送器は、全地球（衛星）測位システム（例、ＧＰＳ、ガリレオ又はＧＬＯＮＡＳＳ（グロナス））のような時間同期を要する相対又は絶対位置決めシステムの一部であり得る。そのようなシステムが、制御された時計の、自動設定と自動同期との少なくとも一方に使用されてもよい。

【0022】

同期信号は、通信ユニット（１５）と感知装置１の無線アンテナとの少なくとも一方を通じて、無線伝送機によって伝送されて取得される無線信号であり得る。

【0023】

代替的に又は補完的に、同期信号は、感知ユニット１１と感知装置１との少なくとも一方の相対的又は絶対的位置決めシステム１７によって提供可能であり、システムは、時間基準との時計同期を提供するように構成されている。好ましくは、相対的又は絶対的測位システム１７は、とりわけ、ＧＰＳと、ガリレオと、ＧＬＯＮＡＳＳ衛星コンステレーションとの少なくともいずれかに依拠する、全地球衛星測位システム（ＧＮＳＳ）である。

【0024】

代替的又は補完的に、同期信号は、通信ユニット１５によってと、通信ユニット１５と感知装置１との少なくともどちらかの接続インターフェースによってとの少なくとも一方によって提供される有線同期信号であり得る。

【0025】

ネットワーク接続可能な感知装置１は、有利には、スタンドアロン装置、すなわち、オフグリッドで給電される装置である。

【0026】

感知装置は、それゆえ、その能動的構成要素に電力を供給するエネルギー貯蔵モジュール１８を備え得る。エネルギー貯蔵モジュール１８は、とりわけ、蓄電池と電池との少なくとも一方の１つ又はそれより多くを含むか、又はそれらで構成されている、非充電式又は充電式の電力パックであり得る。

【0027】

感知装置は、感知装置を、とりわけその構成要素を、改変から保護する保護ケース又はケーシング１０を備え得る。保護ケーシング１０は、感知装置の構成要素を取り囲むものであり、有利には、ケーシングは、水密性と気密性との少なくとも一方のケーシングであり得る。

【0028】

本発明の装置は、複数の動作モードを予見し、利用可能なモードのいずれかで選択的に動作するように構成されている。アイデンティティ置換と鍵置換との少なくとも一方に基づく攻撃に対するロバスト性を高めるために、少なくとも、製造モードと、未プロビジョンモードと、プロビジョンモードと、寿命モードとを、感知装置１は予見かつ選択的に動作するべく構成されている（図５を参照）。

【0029】

図２は、製造モードで動作する感知装置１の例示的な流れ図を示す。

【0030】

製造モードでは、電子回路１４は、固有コード１４９を感知装置１の記憶媒体１２に、とりわけデジタル形式で、永続的に格納するように構成されている。

【0031】

特に、固有コード１４９は、記憶媒体１２の専用記憶ユニットに格納可能であり、専用の記憶ユニットは、固有コード１４９の一意に一度だけの格納を提供する。

【0032】

固有コード１４９は、他の感知装置に使用される全てのコードの中で一意であることを保証する一連の記号である。

【0033】

記憶媒体１２は、データ（デジタル形式で）の記憶を提供する任意の単一又は複数のユニット（例えば、電子回路又は装置の形態を有する）であり、データは、とりわけ、収集と、動作上感知装置１の構成要素への割り当てとの少なくとも一方がなされる。

【0034】

特に、固有コード１４９は、特に、感知装置１のシリアル番号（例えば、割り当てられた固有製造識別子）を提供することに応答して、製造装置２から提供可能である。感知装置１のシリアル番号は、感知装置１の製造中にハード書き込みしてもよいし、あるいは電子回路１４によってアクセス可能な（すなわち、読み取り可能な）読み取り専用記憶媒体に記憶させてもよい。

【0035】

特に、感知装置１は、特に感知装置に初めて電力が、例えばエネルギー貯蔵モジュール１８によって供給されたときに、製造装置２からの固有のコード１４９の受信を１回待つように（とりわけ電子回路１４を介して）構成してもよい。

【0036】

図５に示されるように、感知装置１は、次の、
記憶媒体１２における固有コード１４９の、受信と記憶との少なくとも一方をおこなうことと、
とりわけ通信ユニット１５を介して、製造装置２によって提供されるスリープ信号２０の受信と
の少なくともどちらかに応答して、製造モードから未プロビジョンモード（Ｓ１）に（自動的に）切り替えるように構成できる。

【0037】

感知装置１と製造装置２との間の通信は、通信ユニット１５によって提供される、有線と無線との少なくともどちらかのデータリンク１５０に依拠してもよい。データリンク１５０は、単方向又は双方向であり得る（特に、製造装置２へのシリアル番号の伝送の場合）。

【0038】

図３は、未プロビジョンモードで動作する図１の感知装置の例示的な流れ図を示す。

【0039】

未プロビジョンモードでは、感知装置は、集められたデータ及びパックされたデータのタイムスタンプに署名するために使用される非対称鍵の対を生成するプロビジョニング信号の受信を待機するように構成されている。待機中、感知装置は、有利には、スリープモードで動作するように構成され、通信ユニット１５は、受信専用モードで動作するように構成されている（すなわち、伝送は、許可されないか、動作されないかの少なくとも一方）。

【0040】

特に、電子回路１４は、プロビジョニングコード３１から構成されているプロビジョニング信号、又はプロビジョニングコード３１を含むプロビジョニング信号の受信を待つように構成されていて、感知装置の固有コード１４９に一致するプロビジョニングコード３１に応答して、
（デジタル）データに署名する秘密鍵１４２を生成することと、
前記秘密鍵１４２によって署名されているデータを検証する公開鍵１４３を差し引く（生成する）こととを
行う。

【0041】

固有コード１４９に一致するプロビジョニングコード３１は、提供する装置の認証を提供する。

【0042】

より有利には、例えば、通信ユニット１５を、プロビジョニング装置３との近距離無線通信１５１を一意に確立するべく構成する、例えば、例えば、感知装置とプロビジョニング装置を４ｃｍ以内に、好ましくはＮＦＣ通信プロトコルに従って、配置することにより、電子回路を、プロビジョニング信号が近距離無線通信（ＮＦＣ）信号であるのを待つように構成してよい。

【0043】

近距離無線通信１５１は、通信ユニット１５のＮＦＣ読取器を（一意に）有効化することによって作動されるようにしてよい。

【0044】

（ＮＦＣ）プロビジョニング信号がウェイクアップするのを待っている間、感知装置がスリープモードにある限り、感知装置を遠隔攻撃しようとする試みは妨げられる。これにより、品質が保たてる期間は、より安全で長くなる。

【0045】

有利には、スリープモードでは、電力消費を低減するために、感知ユニットと計時ユニット１３との少なくとも一方が無効にされる。これにより、品質が保たれる期間をさらに長く提供できる。

【0046】

未プロビジョンモードでは、通信ユニット１５は、共有キー１４７に基づいて、前記プロビジョニング装置３とのセキュリティで保護されていない通信か、あるいは有利にはセキュリティで保護された通信を確立するように構成してよい。

【0047】

共有キー１４７は、記憶媒体１２から取り出せるようにしてよい。

【0048】

代替的又は補完的に、共有キー１４７は、とりわけ、感知装置の秘密データ（例えば、固有コード１４９）及びプロビジョニング装置３によって提供される事前共有キー３０に基づいて、電子回路１４によって生成されるようにしてよい。好ましくは、電子回路１４は、プロビジョニング装置が共有鍵を（直接）伝送せずに同じ共有鍵を生成することを許可する、関連した事前共有キーを提供するようにしてもよい。特に、共有鍵１４７は、ディフィーヘルマン（Ｄｉｆｉｅ－Ｈｅｌｌｍａｎ）鍵交換プロトコルに依拠して生成されるようにしてよい。

【0049】

生成された共有キー１４７は、それから（同じ）提供装置との後の通信を可能にするために、記憶媒体１２に格納されるようにしてよい。

【0050】

これにより、感知装置と提供装置間の安全な接続の作成だけでなく、帯域外の事前共有キー交換を用いて、感知装置と提供装置間の信頼できるペアリングも可能になる。

【0051】

さらに、感知装置の固有のコード１４９に一致するプロビジョニングコード３１に応答して、電子回路は、プロビジョニング装置３によって提供されるプロビジョニング設定３２を受信するように構成されてよい。ひとたびプロビジョニング設定３２が受信されると、とりわけ、受信した設定を記憶媒体に格納することと、受信されたプロビジョニング設定３２に従って感知装置のコンポーネントをセットアップすることとの少なくとも一方によって、受信されたプロビジョニング設定３２を適用するように、感知装置が構成されてよい。

【0052】

プロビジョニング設定３２は、
パックされたデータ内で伝送される対象である感知装置識別子１４１と、
測定速度又は測定周波数、測定精度、感知しきい値、感知ユニットの感知要素の有効化をするしないなどの感知ユニットの設定と、
通信ユニットの設定と、
セットアップや同期信号などの、時計と計時モジュールとの少なくとも一方の設定と、
感知ユニットによって提供されるデータ、とりわけ、測定された動きと測定された加速度との少なくとも一方の検出しきい値の、測定と収集との少なくとも一方をトリガーするトリガーイベントと、
パッケージ情報と
の少なくとも１つを備え得る。

【0053】

有利なことに、電子回路は、生成された公開鍵１４３をプロビジョニング装置に伝送して、サーバ５上で公開鍵１４３を有効化（アクティベート）するように構成してよい。

【0054】

感知装置１は、
秘密鍵１４２の生成と、
公開鍵１４３の控除と、
プロビジョニング設定３２の適用と、
プロビジョニング装置３によって提供されるウェイクアップ信号３３の受信と、
サーバ５での公開鍵１４３の起動と、
の少なくとも１つに応答して、未プロビジョンモードからプロビジョンモード（Ｓ２）に（自動的に）切り替えるように構成してよい。

【0055】

図４は、プロビジョンモードで動作する図１の感知装置の例示的な流れ図を示す。

【0056】

プロビジョンモードでは、電子回路１４は、感知ユニット１１によって提供されるデータ１１０を集めるように構成されている。電子回路１４は、さらに
デジタル署名１４４を提供するために、計時ユニット１３によって提供される、集められたデータ１１０及びタイムスタンプ１４６に秘密鍵１４２によって署名して、
パックされたデータ１４０をサーバ５に直接又はゲートウェイ装置４を介して伝送するように構成されている。ここで、パックされたデータ１４０は、集められたデータ１１０と、タイムスタンプ１４６と、デジタル署名１４４と、公開鍵（１４３）と、最終的には装置識別子１４１とを備える。

【0057】

特に、プロビジョンモードでは、電子回路１４は、とりわけ、
所与の収集規則と感知規則との少なくとも一方と、
プロビジョニング装置によって、提供されるプロビジョニング設定３２と
の少なくとも一方に従って、感知ユニット１１によって提供されるデータ１１０を収集するように構成されている。提供されるプロビジョニング設定３２は、とりわけ、
測定とデータの収集との少なくとも一方をトリガーする、提供されたトリガーイベントと、
提供された検出しきい値と
の少なくとも一方に従って提供される。

【0058】

有利には、電子回路１４は、集められたデータを記憶媒体１２に格納し、ゲートウェイ装置４とサーバ５との少なくとも一方によって提供される要求信号４０を待つように構成されている。ゲートウェイ装置４とサーバ５との少なくとも一方によって提供される要求信号４０に応答して、電子回路１４は、
集められたデータ１１０（例えば、記憶媒体１２に格納されたデータ）及びタイムスタンプ１４６に署名するように、かつ
パックされたデータ１４０を伝送するように
構成されている。

【0059】

特に、電子回路１４は、感知装置１の加速度計１９によって感知された動きと加速度との少なくとも一方に応答して、検出しきい値を超えていて、好ましくはプロビジョニング設定３２によって提供されている、感知ユニット１１によって提供されたデータを収集及び格納するように、電子回路を構成してよい。

【0060】

電子回路１４は、ゲートウェイ装置４とサーバ５との少なくとも一方によって提供される確認信号４１を待機し、記憶媒体１２から伝送されたデータを削除するべく、確認応答信号４１の受信に応答して、パックされたデータの安全な受信と署名検証との少なくとも一方を確認するように構成してよい。代替的又は補完的に、確認信号４１は、サーバ５上の公開鍵の有効化（アクティベート）をチェックすることによって提供するようにしてよい。

【0061】

データ除去は、データ消去（すなわち、記憶媒体１２上の選択されたデータを完全に（確実に）破壊するために複数の０及び複数の１を使って選択されたデータを上書きする）を包含し得る。

【0062】

パックされたデータ１４０は、感知装置とゲートウェイ装置との間に確立されたローカル通信１５２（すなわち、感知装置とゲートウェイ装置が最大１ｋｍ離れて、好ましくは、通信ユニット１５を用いて４ｃｍから５００メートルまでの範囲内）によってゲートウェイ装置に伝送してよい。ローカル通信は、ワイヤレスエリアネットワークと、無線ローカルエリア通信と、Ｂｌｕｅｔｏｏｔｈ（登録商標）通信と、ＡＮＴ通信と、（ＵＳＢ通信のような）有線通信と、あるいは左記の組み合わせとであり得る。

【0063】

代替的又は補完的に、パックされたデータ１４０は、感知装置とゲートウェイ装置及び／又はサーバ５との間に確立されたポイントツーポイント通信１５２によって伝送してよい。ここで、ポイントツーポイント通信は、少なくとも、（有線と無線との少なくとも一方のセルラーネットワーク、衛星ネットワーク、有線ネットワークのような）ポイントツーポイントのコンピュータネットワーク接続に依拠している。

【0064】

ゲートウェイ装置３は、署名１４４の検証の前又は有利に、（全体の）パックされたデータ１４０を、好ましくは安全な記録を提供するブロックチェーンを使用して、記憶のためにサーバ５に伝送してよい。サーバ上に、格納とブロックチェーン（すなわち、ブロックチェーンを使用して格納又は記録）化との少なくとも一方を行うと、パックされたデータ１４０は、とりわけ、パックされたデータ１４０で提供される署名１４４及び公開鍵１４３を用いて、感知装置１によって提供されるデータの完全性を常に検証できるユーザの処分にまかせてよい。

【0065】

図５に示すように、寿命終了モードでは、感知装置は（とりわけ電子回路を介して）、
とりわけ秘密鍵１４２を永続的に消去することにより、一時的又は永続的に無効にされるように構成されている。

【0066】

電子回路１４は、特に、感知装置１の１つ又は複数の構成要素の（機械的及び／又は電子的）無効化をトリガーすることによって、感知装置１を永続的に無効にするように構成してよい。

【0067】

特に、電子回路１４は、
例えば、電池の電極を短絡又は作動体を用いた、電池の破損又は破壊と、
電池の完全な放電と、
例えば、作動体を用いた、密閉されているケーシングの破損又は開放と、
例えば、過電圧を引き起こすか作動体を用いた、センサーユニットの破損又は破壊と、
例えば、過電圧を引き起こすか作動体を用いた、記憶媒体の破損又は破壊と、
感知装置（とりわけ記憶媒体上と、電子回路上との少なくとも一方）にある命令データであって、電子回路１４の１つ又はそれより多いタスクを可能にするために、とりわけ電子回路１４によって読み取り可能な命令データの破壊と、
例えば、過電圧を引き起こすか作動体を用いた、感知装置の電気接続、例えば、感知装置の他の構成要素への電子回路１４に電気的に依拠している電気接続の中断又は短絡と、
の少なくともいずれか１つを起動してもよい。

【0068】

代替的に、感知装置１の安全な再利用を提供するために、寿命終了モードにおいて、電子回路１４は、記憶媒体からデータ１１０を永続的に消去（収集）し、感知装置１を未プロビジョンモード（Ｓ３１）に切り替えるように構成してよい。好ましくは、電子回路１４は、公開鍵とプロビジョニング設定との少なくとも一方を永続的に（例えば、データ消去によって）消去するように構成してよい。

【0069】

特に、感知装置は、
装置、とりわけ条件設定装置によって提供される寿命終了信号の受信と、
（電子回路によって）与えられているエネルギー閾値を下回る、好ましくは（例えば、プロビジョニング設定３２による）製造装置とプロビジョニング装置３との少なくとも一方によって提供されるエネルギー閾値を下回る、記憶モジュール１８の残りのエネルギーの検出と、
感知装置１の改造検出器１６によって提供される保護ケーシング１０の改造の検出と
の少なくとも１つに応答して（特に電子回路によって）寿命終了モードに切り替わるように構成してよい。

【0070】

感知装置１はまた、（連結されている）プロビジョニング装置３によって提供されるプロビジョニングコード３１の受信に応答して、寿命終了モードから、又はプロビジョンモードから未プロビジョンモード（Ｓ２１、Ｓ３１）に（自動的に）切り替えるように構成してもよい。ここで、プロビジョニングコード３１は、感知装置の固有のコード１４９と一致する。これにより、感知装置１の信頼できる再初期化が許可される。

【0071】

感知装置１は、それゆえ、
永続的な固有コードが、秘密鍵と公開鍵の不正又は悪意のある生成又は再生成を防止して、
パックされたデータが、（測定のような）集められたデータの完全性を検証可能にする公開鍵を提供して、かつ
署名された各パックされたデータが、タイムスタンプによって一意なものに作られるので、
感知装置によって提供される物理的エンティティの測定値のよりロバストな伝送を提供する。

【0072】

実際、パックされたデータは伝送ごとに異なるため、既に保存されているデータやブロックチェーンで記録されたパックされたデータを比較することで、サーバ上でデータ複製攻撃が簡単に検出される。タイムスタンプは、生成される署名が異なることを保証するため、パッケージは単純複製不能である。

【0073】

感知装置によって提供される公開鍵は、データの発信元を提供し、ＩＤ盗難攻撃を回避可能である。これは、プロビジョニング時に（関連する）秘密鍵が装置自体でランダムに生成されるためである（つまり、感知装置だけが秘密鍵を唯一知っていて、秘密鍵は固有である）。さらに、公開鍵はパックされたデータ内で伝送されるため、ユーザが情報が実際に装置によって署名されていることを確認可能である。この署名は、認証証明書として機能する。

【0074】

伝送のロバスト性は、サーバ５上で、感知装置１上で生成される公開鍵２４３、好ましくはプロビジョニング装置３によってサーバ５に伝送される公開鍵１４３を有効化（アクティベート）することによってさらに高められる。起動は、サーバ上とゲートウェイ装置上との少なくとも一方で、受信したパックデータ（とりわけその公開鍵）を検証するためと、受信したパックデータの格納とブロックチェーン化との少なくとも一方を許可するためとの少なくとも一方に使用可能である。

【符号の説明】

【0075】

１ 感知装置
１０ ケーシング
１１ 感知ユニット
１１０ データ
１２ 記憶媒体
１３ 計時ユニット
１３１ 時計
１４ 電子回路
１４０ パックされたデータ
１４１ 識別子（ＩＤ）
１４２ 秘密鍵
１４３ 公開鍵
１４４ 署名
１４５ キーコード
１４６ タイムスタンプ
１４７ 共有キー
１４８ シリアルナンバー
１４９ 固有コード
１５ 通信ユニット
１５０ データリンク
１５１ 近距離無線通信（ＮＦＣ）データリンク
１５２ （無線）データリンク
１６ 改造検出器
１７ 全地球測位システム
１８ エネルギー貯蔵モジュール
１９ 加速度計
２ 製造装置
２０ スリープ信号
３ プロビジョニング装置
３０ 事前共有鍵
３１ プロビジョニングコード
３２ プロビジョニング設定
３３ ウェイクアップ信号
３４ データリンク
４ ゲートウェイ装置
４０ 要求信号
４１ 確認信号
４４ データリンク
５ サーバ
５１ 確認信号
Ｓ１、Ｓ２１、Ｓ３１ 未プロビジョンモードに切り替え
Ｓ２ プロビジョンモードに切り替え
Ｓ３ 寿命終了モードに切り替え

【図1】

【図2】

【図3】

【図4】

【図5】

【手続補正書】

【提出日】2021-07-13

【手続補正1】

【補正対象書類名】特許請求の範囲

【補正対象項目名】全文

【補正方法】変更

【補正の内容】

【特許請求の範囲】

【請求項1】

所与の現象を少なくとも感知する感知ユニットと、
デジタルデータを格納する記憶媒体と、
デジタルデータと信号との少なくとも一方を受信及び伝送する通信ユニットと、
タイムスタンプを提供する計時ユニットと、
記憶媒体と、感知ユニットと、通信ユニットと、計時ユニットとに、操作上接続されている、電子回路と
を備える感知装置において、
感知装置は、製造モードと、未プロビジョンモードと、プロビジョンモードと、寿命終了モードとを選択的に操作されるべく構成されていて、
製造モードにおいて、電子回路が永続的に固有コードを記憶媒体に格納するように構成されていて、
未プロビジョンモードにおいて、プロビジョニング装置からプロビジョニングコードを受信するように、電子回路が待つように構成されていて、かつ
前記感知装置の固有コードに一致しているプロビジョニングコードに応答して、データに署名する秘密鍵を生成して、公開鍵を控除するように、
プロビジョンモードにおいて、感知ユニットによって提供されるデータを集めるように、かつ
公開鍵で検証可能なデジタル署名を提供するように、秘密鍵で、集められたデータ及び計時ユニットにより提供されたタイムスタンプに署名するように
電子回路が構成されていて、かつ
パックされたデータをゲートウェイ装置とサーバとの少なくとも一方に伝送するように、電子回路が構成されていて、
パックされたデータが、集められたデータと、タイムスタンプと、デジタル署名と、公開鍵とを備え、
寿命終了モードにおいて、電子回路が永続的に秘密鍵を消去するように構成されている、感知装置。

【請求項2】

製造モードにおいて、電子回路は固有コードを製造装置から受信するように構成されている、請求項１に記載の感知装置。

【請求項3】

製造モードにおいて、電子回路はシリアル番号を製造装置に送るように構成されていて、好ましくは前記シリアル番号は、感知装置に割り当てられた固有の識別子である、請求項２に記載の感知装置。

【請求項4】

固有コードの記憶媒体への格納と、製造装置から提供されるスリープ信号の受付との少なくとも一方に応答して、製造モードから未プロビジョンモードに切り替えるように、感知装置が構成されている、請求項１に記載の感知装置。

【請求項5】

前記感知装置の固有コードに一致しているプロビジョニングコードに応答して、プロビジョニング装置により提供されるプロビジョニング設定を適用するように、電子回路が構成されていて、
プロビジョニング設定は、
パックされたデータ内で伝送されることになっている感知装置識別子１４１と、
測定速度又は測定頻度と、測定精度と、感知しきい値と、感知ユニットの感知要素を有効化するしないのような、感知ユニットの設定と、
通信ユニットの設定と、
設定と同期信号との少なくとも一方のような、時計と計時ユニットとの少なくとも一方の設定と、
測定と、感知ユニットにより提供されるデータの収集との少なくとも一方を起動する起動イベントと、
パッケージ情報と
の少なくともいずれか１つを備える、請求項１に記載の感知装置。

【請求項6】

未プロビジョンモードにおいて、通信ユニットは、プロビジョニング装置との近距離通信を設立するように構成されている、請求項１に記載の感知装置。

【請求項7】

未プロビジョンモードにおいて、通信ユニットは、電子回路によって取得と生成との少なくとも一方がなされていてかつ記憶媒体に格納されている共有鍵に基づいて、プロビジョニング装置との、安全が確保されていない通信か、安全な通信を設立するように構成されている、請求項１に記載の感知装置。

【請求項8】

事前共有鍵をプロビジョニング装置から取得するように電子回路が構成されていて、共有鍵を事前共有鍵と、秘密データ又は固有コードとから生成するように電子回路が構成されている、請求項７に記載の感知装置。

【請求項9】

秘密鍵の生成と、公開鍵の控除と、プロビジョニング設定の適用と、プロビジョニング装置から提供されるウェイクアップ信号の受信との少なくとも１つに応答して、感知装置が未プロビジョンモードからプロビジョンモードに切り替えるように構成されてる、請求項１に記載の感知装置。

【請求項10】

プロビジョンモードにおいて、
集められたデータを記憶媒体に格納するように、電子回路が構成されていて、
ゲートウェイ装置とサーバとの少なくとも一方により提供される要求信号に応答して、集められたデータ及びタイムスタンプに署名して、パックされたデータを伝送するように、電子回路が構成されている、請求項１に記載の感知装置。

【請求項11】

プロビジョンモードにおいて、
パックされたデータの安全な受け取りを確認して、確認信号をゲートウェイ装置とサーバとの少なくとも一方から受信するように、電子回路は構成されていて、
確認信号の受付に応答して、集められたデータを記憶媒体から除去するように、電子回路は構成されている、請求項１０に記載の感知装置。

【請求項12】

寿命終了信号の受付に応答して、感知装置が、寿命終了モードに切り替えるように構成されている、請求項１に記載の感知装置。

【請求項13】

プロビジョンモードにおいて、通信ユニットが、ゲートウェイ装置とのローカル通信又はゲートウェイ装置とのポイントツーポイント通信を設立するように構成されている、請求項１に記載の感知装置。

【請求項14】

寿命終了モードにおいて、
感知ユニットにより提供された集められたデータを永続的に消去して、かつ感知装置を未プロビジョンモードに切り替え、及び／又は感知装置を永続的に作動不能にするように、電子回路が構成されている、請求項１に記載の感知装置。

【請求項15】

改造から保護する保護ケーシングをさらに備え、
保護ケーシングの改造を検出するように構成されている改造検出器をさらに備え、好ましくは改造検出器は保護ケーシングに囲まれていて、改造の検出に応答して、感知装置は寿命終了モードに切り替わるように構成されている、請求項１に記載の感知装置。

【請求項16】

電子回路と、通信ユニットと、感知ユニットと、記憶媒体と、電子回路と、計時ユニットと、改造検出器と、全地球測位システムと、時計と、及び／又は無線アンテナとに電力を供給するエネルギー貯蔵モジュールをさらに備え、
貯蔵モジュールの残りのエネルギーが所与のエネルギーしきい値を下回っていることを検出するように電子回路が構成されていて、
所与のエネルギーしきい値を下回っていることの検出に応じて、感知装置を寿命終了モードに切り替えるように電子回路が構成されている、請求項１に記載の感知装置。

【請求項17】

固有コードを、感知装置の記憶媒体に永続的に格納するステップと、
固有コードに一致しているプロビジョニングコードに応答して、秘密鍵及び公開鍵を感知装置上に生成するステップであって、固有コードは好ましくはプロビジョニング装置により提供される、秘密鍵及び公開鍵を生成するステップと、
感知ユニットにより提供される集められたデータと、計時ユニットにより提供されるタイムスタンプに感知装置上で秘密鍵によって署名することでデジタル署名を提供するステップと、
集められたデータと、タイムスタンプとデジタル署名と公開鍵とを備えるパックされているデータを、サーバに伝送するステップと、それから
感知装置の保護ケーシングの改造の検出と、感知装置の貯蔵モジュールの残りエネルギーが所与のエネルギーしきい値を下回っていることの検出と、寿命終了信号の受信との少なくとも１つに応答して、秘密鍵を感知装置上から永続的に消去するステップと
を備える、感知装置からデータを伝送する方法。

【請求項18】

サーバ上での、感知装置により生成された公開鍵の有効化をさらに備え、
好ましくは前記有効化が、プロビジョニング装置を通ってサーバへの公開鍵の伝送を含む、請求項１７に記載の方法。

【国際調査報告】