▶ ノースロップ グラマン システムズ コーポレイションの特許一覧
(19)【発行国】日本国特許庁(JP)
(12)【公報種別】公表特許公報(A)
(11)【公表番号】
(43)【公表日】2024-03-27
(54)【発明の名称】データへのアクセスを制御するための環境検証
(51)【国際特許分類】
G06F 21/62 20130101AFI20240319BHJP
G06F 21/57 20130101ALI20240319BHJP
【ＦＩ】
G06F21/62 318
G06F21/57 350
【審査請求】有
【予備審査請求】未請求
(21)【出願番号】P 2023561780
(86)(22)【出願日】2022-02-25
(85)【翻訳文提出日】2023-10-30
(86)【国際出願番号】 US2022017853
(87)【国際公開番号】W WO2022216378
(87)【国際公開日】2022-10-13
(31)【優先権主張番号】17/226,552
(32)【優先日】2021-04-09
(33)【優先権主張国・地域又は機関】US
(81)【指定国・地域】
(71)【出願人】
【識別番号】520128820
【氏名又は名称】ノースロップ グラマン システムズ コーポレーション
(74)【代理人】
【識別番号】100105957
【弁理士】
【氏名又は名称】恩田 誠
(74)【代理人】
【識別番号】100068755
【弁理士】
【氏名又は名称】恩田 博宣
(74)【代理人】
【識別番号】100142907
【弁理士】
【氏名又は名称】本田 淳
(72)【発明者】
【氏名】ラッツ、スティーブン ディ
(72)【発明者】
【氏名】ノエ、ブライアン ジェイ
(72)【発明者】
【氏名】シュミット、キャサリン イー
(72)【発明者】
【氏名】ボーチェ、アレクサンダー ジェイ
(72)【発明者】
【氏名】スティーブンス、アルバート シー
(72)【発明者】
【氏名】シュロズ、マイケル
(57)【要約】
環境検証に基づいてデータへのアクセスを制御するためのシステムは、一組の環境センサから環境内のノードの環境パラメータを特徴付けるデータを受信する物理環境認証器を含む。物理環境認証器は、複数の相関した環境パラメータを互いに比較し、かつ／または閾値と比較する。複数の相関する環境パラメータの少なくとも一部は、一組の環境センサからのデータに基づいており、複数の相関する環境パラメータがノードが認可された環境で動作していることを示す場合、データへのアクセスが許可され、複数の相関する環境パラメータがノードが認可された環境で動作していないことを示す場合、データへのアクセスが阻止される。
【特許請求の範囲】
【請求項1】
環境検証に基づいてデータへのアクセスを制御するためのシステムであって、機械実行可能命令を有する非一時的メモリと、
機械可読命令にアクセスするための処理ユニットと、を備え、前記機械可読命令は、物理環境認証器を含み、
前記物理環境認証器は、
一組の環境センサから環境内のノードの複数の環境パラメータを特徴付けるデータを受信し、
複数の相関する環境パラメータを互いに比較し、かつ／または閾値と比較し、ここで、前記複数の相関する環境パラメータの少なくとも一部は、前記一組の環境センサからの前記データに基づいており、前記複数の相関する環境パラメータが、前記ノードが認可された環境で動作していることを示す場合、データへのアクセスを許可し、前記複数の相関する環境パラメータが、前記ノードが前記認可された環境で動作していないことを示す場合、データへのアクセスを阻止する、システム。
【請求項2】
前記物理環境認証器が修正されていないことを確認するためのトラステッドブートを実行するトラストサーバのルートをさらに備える、請求項１に記載のシステム。
【請求項3】
前記物理環境認証器は、暗号エンジンから復号化されたデータを受信し、前記復号化されたデータを前記ノードに提供する、請求項１に記載のシステム。
【請求項4】
前記一組の環境センサは、特定用途向け集積回路（ＡＳＩＣ）チップ上に集積されている、請求項１に記載のシステム。
【請求項5】
前記物理環境認証器は、前記一組の環境センサの第１の環境センサから提供された第１の環境パラメータを、前記一組の環境センサの第２の環境センサから提供された第２の環境パラメータを特徴付けるために使用された測定単位に変換および／またはフォーマット化して、前記複数の相関する環境パラメータを形成する、請求項１に記載のシステム。
【請求項6】
前記一組の環境センサの第１の環境センサは、第１の環境パラメータを測定し、前記一組の環境センサの第２の環境センサは、前記第１の環境パラメータとは別の第２の環境パラメータを測定する、請求項１に記載のシステム。
【請求項7】
前記第１の環境パラメータは、前記ノードに加えられる剪断力であり、前記第２の環境パラメータは、前記ノードの温度である、請求項６に記載のシステム。
【請求項8】
前記第１の環境パラメータは、前記ノードの加速度であり、前記第２の環境パラメータは、前記ノードによって消費される燃料の量である、請求項６に記載のシステム。
【請求項9】
前記第１の環境センサは、全地球航法衛星システム（ＧＮＳＳ）受信機であり、前記第２の環境センサは、慣性測定ユニット（ＩＭＵ）である、請求項６に記載のシステム。
【請求項10】
前記第１の環境センサは、全地球航法衛星システム（ＧＮＳＳ）受信機であり、前記第２の環境センサは、加速度計である、請求項６に記載のシステム。
【請求項11】
前記第１の環境センサは、前記ノードの加速度を測定する加速度計であり、前記第２の環境センサは、質量流量計、温度センサ、および圧力センサのうちの１つである、請求項６に記載のシステム。
【請求項12】
前記第１の環境センサは、前記ノードの加速度を測定する加速度計であり、前記第２の環境センサは、前記ノードの表面の変形を測定する変形メータである、請求項６に記載のシステム。
【請求項13】
前記第１の環境パラメータは、前記ノードの衝撃または振動を特徴付け、前記第２の環境パラメータは、前記ノードの加速度を特徴付ける、請求項６に記載のシステム。
【請求項14】
前記第１の環境パラメータは、前記ノードの応力または歪みを特徴付け、前記第２の環境パラメータは、前記ノードの加速度を特徴付ける、請求項６に記載のシステム。
【請求項15】
前記第１の環境パラメータは、第１の周波数で前記ノードを通って伝搬する第１の音波を特徴付け、前記第２の環境パラメータは、前記ノードの衝撃、振動、加速度、速度、および圧力のうちの１つを特徴付ける、請求項６に記載のシステム。
【請求項16】
前記第１の環境パラメータは、前記ノードにおける燃料の量を特徴付け、前記第２の環境パラメータは、前記ノードの加速度を特徴付ける、請求項６に記載のシステム。
【請求項17】
前記第１の環境パラメータは、前記ノードの本体の迎角を特徴付け、前記第２の環境パラメータは、前記ノードの前記本体の周りのフローストリームの速度を特徴付ける、請求項６に記載のシステム。
【請求項18】
前記第１の環境パラメータは、前記ノードに対する流体のよどみ温度を特徴付け、前記第２の環境パラメータは、前記ノードに対する前記流体のよどみ圧を特徴付ける、請求項６に記載のシステム。
【請求項19】
前記第１の環境パラメータは、前記ノードに関する燃料の質量流量を特徴付け、前記第２の環境パラメータは、前記ノードに関する前記燃料の位置、速度、および加速度のうちの少なくとも１つを特徴付ける、請求項６に記載のシステム。
【請求項20】
前記第１の環境パラメータは、前記ノードの磁場の方位を特徴付け、前記第２の環境パラメータは、前記ノードの位置または方位を特徴付ける、請求項６に記載のシステム。
【請求項21】
前記第１の環境パラメータは、前記ノードの磁場の方位を特徴付け、前記第２の環境パラメータは、前記ノードの位置または方位を特徴付け、前記一組の環境センサのうちの第３の環境センサが、時間を特徴付ける第３の環境パラメータを測定する、請求項６に記載のシステム。
【請求項22】
一組の環境パラメータは、３軸加速度計を含み、前記複数の相関する環境パラメータは、３つの別個の軸における前記ノードの加速度を含み、前記物理環境認証器は、前記３つの別個の軸における前記ノードの前記加速度が所定の持続時間の間の微小重力に対応する場合、データへのアクセスを許可する、請求項１に記載のシステム。
【請求項23】
前記一組の環境センサのうちの所与の環境センサは、前記ノードから物理的に分離されており、前記所与の環境センサからのデータは、前記物理環境認証器に無線により送信される、請求項１に記載のシステム。
【請求項24】
前記一組の環境センサの各環境センサは、同じ環境パラメータを測定する、請求項１に記載のシステム。
【請求項25】
前記物理環境認証器は、前記複数の相関する環境パラメータの各々をさらにスコア付けし、前記物理環境認証器は、Ｍ個（Ｍは２以上の整数）の相関する環境パラメータに関するスコアが対応する閾値スコアを満たす場合、およびＮ個（Ｎは１以上の整数）の相関する環境パラメータに関するスコアが対応する閾値スコア未満である場合、データへのアクセスを許可する、請求項１に記載のシステム。
【請求項26】
前記物理環境認証器は、前記ノードが前記認可された環境で動作していることを示す前記複数の相関する環境パラメータに応答して、暗号化された形式のデータを復号化するために使用可能な秘密鍵へのアクセスを許可する、請求項１に記載のシステム。
【請求項27】
機械実行可能命令を有する非一時的な機械可読媒体であって、前記機械実行可能命令は、物理環境認証器を含み、前記物理環境認証器は、
データへのアクセスの要求をノードから受信し、
前記要求に応答して、一組の環境センサから前記ノードの複数の環境パラメータを特徴付けるデータをキャプチャし、
複数の相関する環境パラメータを互いに比較し、かつ／または閾値と比較し、ここで、前記複数の相関する環境パラメータの少なくとも一部は、前記一組の環境センサからの前記データに基づいており、前記一組の環境センサの各々からの前記複数の相関する環境パラメータが、前記ノードが認可された環境で動作していることを示す場合、データへのアクセスを認可し、前記複数の相関する環境パラメータのうちの少なくとも１つが、前記ノードが前記認可された環境で動作していないことを示す場合、データへのアクセスを拒否する、非一時的な機械可読媒体。
【請求項28】
前記物理環境認証器が修正されていないことを確認するためのトラステッドブートを実行するトラストサーバのルートをさらに備える、請求項２７に記載の非一時的な機械可読媒体。
【請求項29】
前記物理環境認証器は、復号化されたデータを前記ノード上のコンピューティングプラットフォームに提供する、請求項２７に記載の非一時的な機械可読媒体。
【請求項30】
前記一組の環境センサのうちの第１の環境センサは、第１の環境パラメータを測定し、前記一組の環境センサのうちの第２の環境センサは、前記第１の環境パラメータとは別の第２の環境パラメータを測定する、請求項２７に記載の非一時的な機械可読媒体。
【請求項31】
前記一組の環境センサのうちの所与のセンサは、前記ノードから物理的に分離されており、前記所与の環境センサからのデータは、前記物理環境認証器に無線により送信される、請求項２７に記載の非一時的な機械可読媒体。
【請求項32】
前記一組の環境センサのうちの少なくとも２つの環境センサは、同じ環境パラメータを測定する、請求項２７に記載の非一時的な機械可読媒体。
【請求項33】
前記一組の環境センサのうちの第１の環境センサは、第１の環境パラメータを測定し、前記一組の環境センサのうちの第２の環境センサは、前記第１の環境パラメータとは別の第２の環境パラメータを測定する、請求項２７に記載の非一時的な機械可読媒体。
【請求項34】
前記物理環境認証器は、複数の環境パラメータの各々が相関するように、前記複数の環境パラメータのうちの１つまたは複数を変換、フォーマット化、および／または融合する、請求項２７に記載の非一時的な機械可読媒体。
【請求項35】
前記物理環境認証器がデータへのアクセスを許可することに応答して、暗号エンジンは、秘密鍵を使用して暗号化されたデータを復号化する、請求項２７に記載の非一時的な機械可読媒体。
【請求項36】
環境検証に基づいてデータへのアクセスを制御するための方法であって、セキュアコンピューティングプラットフォーム上で実行される物理環境認証器が、ノードからデータへのアクセスの要求を受信するステップと、
前記物理環境認証器が、前記要求に応答して、一組の環境センサから前記ノードの複数の環境パラメータを特徴付けるデータをキャプチャするステップと、
前記物理環境認証器が、複数の相関する環境パラメータを互いに比較し、かつ／または閾値と比較し、ここで、前記複数の相関する環境パラメータの少なくとも一部は、前記一組の環境センサからのデータに基づいており、前記一組の環境センサの各々からの前記複数の相関する環境パラメータが、前記ノードが認可された環境で動作していることを示す場合、データへのアクセスを許可し、前記複数の相関する環境パラメータのうちの少なくとも１つが、前記ノードが前記認可された環境で動作していないことを示す場合、データへのアクセスを拒否するステップと、を含む方法。
【請求項37】
前記一組の環境センサのうちの１つまたは複数から提供されたデータを変換および／またはフォーマット化して、前記複数の相関する環境パラメータを形成するステップをさらに含む、請求項３６に記載の方法。
【請求項38】
前記一組の環境センサのうちの第１の環境センサは、第１の環境パラメータを測定し、前記一組の環境センサのうちの第２の環境センサは、前記第１の環境パラメータとは別の第２の環境パラメータを測定する、請求項３６に記載の方法。
【請求項39】
前記セキュアコンピューティングプラットフォームの暗号エンジンが、データへのアクセスが許可されたことに応答して、秘密鍵を使用して暗号化された形式のデータを復号化するステップをさらに含む、請求項３６に記載の方法。
【発明の詳細な説明】
【技術分野】
【0001】
本開示は、データアクセスに関する。より詳細には、本開示は、環境検証を用いてデータへのアクセスを制御するためのシステムおよび方法に関する。
【背景技術】
【0002】
セキュアコンピューティングプラットフォーム（セキュア暗号プロセッサとも呼ばれる）は、暗号化動作を実行するための専用コンピュータオンチップまたはマイクロプロセッサであり、セキュアコンピューティングプラットフォームにある程度の耐タンパー性を与える複数の物理的セキュリティ対策を有するパッケージングに埋め込まれる。トラステッドプラットフォームモジュール（ＴＰＭ：Ｔｒｕｓｔｅｄ Ｐｌａｔｆｏｒｍ Ｍｏｄｕｌｅ）は、セキュアコンピューティングプラットフォームのための国際標準である。ＴＰＭは、一体化された暗号鍵によってハードウェアを保護するように設計された専用マイクロコントローラとして実装され得る。
【0003】
セキュアコンピューティングプラットフォームは、オンボードセキュア暗号鍵の生成、保存、および管理を含む。加えて、セキュアコンピューティングプラットフォームは、コンテンツの復号化および暗号化を実行するために、そのような鍵を使用することができる。このようにして、セキュアコンピューティングプラットフォームは、秘密鍵（例えば、非対称鍵ペアの非対称鍵、または対称鍵）を使用して、秘密鍵を外部ソースに公開することなくデータを暗号化および／または復号化することができる。
【発明の概要】
【0004】
一例は、環境検証に基づいてデータへのアクセスを制御するためのシステムに関する。システムは、機械実行可能命令を有する非一時的メモリと、機械可読命令にアクセスするための処理ユニットとを含み得る。機械可読命令は、一組の環境センサから環境内のノードの環境パラメータを特徴付けるデータを受信する物理環境認証器を含み得る。物理環境認証器は、複数の相関した環境パラメータを互いに比較し、かつ／または閾値と比較し得る。複数の相関する環境パラメータの少なくとも一部は、一組の環境センサからのデータに基づいており、複数の相関する環境パラメータがノードが認可された環境で動作していることを示す場合、データへのアクセスが許可され、複数の相関する環境パラメータがノードが認可された環境で動作していないことを示す場合、データへのアクセスが阻止される。
【0005】
別の例は、機械実行可能命令を有する非一時的な機械可読媒体に関する。機械実行可能命令は、ノードからデータへのアクセスの要求を受信し、要求に応答して、一組の環境センサからノードの複数の環境パラメータを特徴付けるデータをキャプチャする物理環境認証器を含み得る。物理環境認証器はまた、複数の相関する環境パラメータを互いに比較し、かつ／または閾値と比較し得る。複数の相関する環境パラメータの少なくとも一部は、一組の環境センサからのデータに基づいており、複数の環境センサの各々からの複数の相関する環境パラメータが、ノードが認可された環境で動作していることを示す場合、データへのアクセスが許可され、複数の相関する環境パラメータのうちの少なくとも１つが、ノードが認可された環境で動作していないことを示す場合、データへのアクセスが拒否される。
【0006】
さらに別の例は、環境検証に基づいてデータへのアクセスを制御する方法に関する。方法は、セキュアコンピューティングプラットフォーム上で実行される物理環境認証器が、ノードからデータへのアクセスの要求を受信するステップを含み得る。方法はまた、物理環境認証器が、要求に応答して、一組の環境センサからノードの複数の環境パラメータを特徴付けるデータをキャプチャするステップを含み得る。方法は、物理環境認証器が、複数の相関する環境パラメータを互いに比較し、かつ／または閾値と比較するステップをさらに含み得る。複数の相関する環境パラメータの少なくとも一部は、一組の環境センサからのデータに基づいている。物理環境認証器は、一組の環境センサの各々の複数の相関する環境パラメータが、ノードが認可された環境で動作していることを示す場合、データへのアクセスを許可し、複数の相関する環境パラメータのうちの少なくとも１つが、ノードが認可された環境で動作していないことを示す場合、データへのアクセスを拒否する。
【図面の簡単な説明】
【0007】
【図1】データへのアクセスを制御するために環境検証を用いるシステムの一例を示す図である。
【図12】データへのアクセスを制御するために環境検証を用いる特徴を含むノードの例を示す図である。
【図13】環境検証を使用してデータへのアクセスを制御する例示的な方法のフローチャートを示す図である。
【発明を実施するための形態】
【0008】
本出願は、環境検証プロセスを用いてデータへのアクセスを制御するためのシステムおよび方法に関する。より具体的には、本出願は、偽装することが困難（または実行不可能）であり、従って、データへのアクセスを制御するための基礎として使用される、固有かつ特徴的な物理環境条件を検証するためのシステムに関する。そのようなシステムは、データの暗号化された形式を復号化するために必要とされる秘密鍵へのアクセスを許可（または拒否）するために、複雑な複数の組の相関する環境パラメータを確実に検証するために採用され得る。現在および以前に観測された実際の動作環境条件をロバストに検証することによって、本明細書で説明されるシステムおよび方法は、認可された環境の前または外で動作する際にデータへのアクセスを制限するために必要とされるシステムのサイバーセキュリティパフォーマンスを向上させる。
【0009】
より全般的には、システムは、一組の環境センサから提供される複数の相関する環境パラメータを分析および比較して、（データを復号化するために使用可能な）秘密鍵へのアクセスが認可されるかどうかを判定することができる。複数の組の環境パラメータは、複数のパラメータにわたって取得された測定値が複数のパラメータが観測されている実際の環境を反映するような環境の偽装に耐性があるような、２つ以上のパラメータが相関している任意の環境パラメータであり得る。
【0010】
実施形態の一例として、システムは、環境検証プロセスを使用して、暗号化されたデータの公開を制御することができるため、システムが、複数の相関する環境パラメータによって特徴付けられる認可された環境内で現在動作しているか、または以前に観測したことを確認した後にのみ、そのようなデータが復号化される。いくつかの例では、複数の環境パラメータは直接比較され得る。他の例では、システムは、物理法則の適用により相関させることで、認可された環境を偽装することを実行不可能にし、従って環境を確実に検証することができる。
【0011】
いくつかのシステム（例えば、衛星）は、特定の認可された環境（例えば、天体を周回する軌道または準軌道上などの特定の動作物理環境）に到達した後にのみ、特定の機能を実行するか、または特定のデータにアクセスするように意図されており、認可された環境に到達すると、そのようなシステムは、暗号化されたデータへのアクセスを必要とする。さらに、いくつかの例では、そのようなシステムは、認可された環境への経路を辿る間に、以前に他の異なる物理環境で時間を費やしている。従来の手法では、これらの状況において、そのようなシステムへの物理的アクセスを得た権限のない者（例えば、侵入者または敵対者）は、通常、認可された環境を複製することができないため、暗号化されていない形式でデータを明らかにしようとする試みが妨げられ、かつ／または阻止される。
【0012】
図１は、データへのアクセスを制御するために環境検証を用いるシステム１００の一例を示す。データは、ファイルに保存され得、いくつかの例では、データは、セキュアデータであり得る。本明細書で使用される場合、「ファイル」という用語は、単一のデジタルファイルまたは複数のデジタルファイルに対応し得る。加えて、ファイルは、データファイル、実行可能ファイル、テキストファイル等を含む、ほぼ全ての消費可能なファイル形式であり得る。
【0013】
システム１００は、ノード１０８とインタラクションすることができるセキュアコンピューティングプラットフォーム１０４を含み得る。セキュアコンピューティングプラットフォーム１０４は、シングルボードコンピュータなどのコンピューティングデバイスとして実装され得る。いくつかの例では、セキュアコンピューティングプラットフォーム１０４は、ノード１０８に物理的に組み込まれ得る。他の例では、セキュアコンピューティングプラットフォーム１０４は、セキュアコンピューティングプラットフォーム１０４がノード１０８の外部上に搭載される状況、またはセキュアコンピューティングプラットフォーム１０４がノード１０８から離間され、かつセキュアコンピューティングプラットフォーム１０４が無線通信を介してノード１０８と通信する状況を含んで、ノード１０８の外部にあり得る。いくつかの例として、ノード１０８は、特定の環境における配備のためのハードウェアデバイスとして実装され得る。いくつかの例として、ノード１０８は、ビークル（地上ビークルまたは航空機）、ロケット、武器（例えばミサイル）などとして実施され得る。いくつかの例では、ノード１０８の盗難は、国家安全保障上のリスクを表し得る。
【0014】
セキュアコンピューティングプラットフォーム１０４は、暗号プロセッサ１１２を含み得る。暗号プロセッサ１１２は、協調して動作するＩＣチップおよび／または他の電気部品の集合を表すことができるか、または暗号プロセッサ１１２は、単一のＩＣチップで実装され得る。セキュアコンピューティングプラットフォームは、メモリ１１６を含み得る。いくつかの例では、メモリ１１６は、暗号プロセッサ１１２に埋め込まれた非一時的な機械可読セキュアメモリであり得る。加えて、いくつかの例では、メモリ１１６のパーティションは、暗号プロセッサ１１２の外部にあり得る。メモリ１１６は、データおよび機械可読命令を保存し得る。暗号プロセッサ１１２は、メモリ１１６にアクセスして、機械可読命令を実行し得る。暗号プロセッサ１１２は、データの暗号化および復号化に特化した汎用プロセッサであり得る。メモリ１１６は、秘密鍵１２０を保存し得る。秘密鍵１２０は、対称鍵または非対称鍵とすることができる。いずれの状況においても、秘密鍵１２０は外部エンティティに対して公開されない。代わりに、セキュアコンピューティングプラットフォーム１０４は、物理環境認証器１２４と、秘密鍵１２０を使用してデータを復号化および／またはデータを暗号化するために活用され得る暗号エンジン１２８とを含む。
【0015】
より詳細には、システム１００は、秘密鍵１２０でのみ復号化可能な暗号化されたデータ１３２を含む。暗号化されたデータ１３２は、暗号化された形式のデータであり得る。いくつかの例では、秘密鍵１２０（または秘密鍵１２０のコピー）は、暗号化されたデータ１３２を暗号化するために使用されたものであり得る。他の例では、秘密鍵１２０の補数（例えば、非対称鍵ペアの非対称鍵）を使用して、暗号化されたデータ１３２を暗号化することができ、かつ／または秘密鍵１２０を使用して、秘密鍵１２０の補数によってのみ復号化可能なデータを暗号化することができる。このような状況では、秘密鍵１２０にアクセスしなければ、暗号化されたデータ１３２は分からない。いくつかの例では、暗号化されたデータ１３２は、ファイルストア１３６に保存され得る。いくつかの例では、ファイルストア１３６は、ノード１０８のためのセキュアコンピューティングプラットフォーム１０４に埋め込まれ得る。他の例では、ファイルストア１３６は、セキュアコンピューティングプラットフォーム１０４およびノード１０８の外部にあり得る。例えば、一例では、ファイルストア１３６は、セキュアコンピューティングプラットフォーム１０４と無線で通信し得、（暗号化された形式に）暗号化されたデータ１３２は、セキュアコンピューティングプラットフォーム１０４に提供され得る。
【0016】
暗号プロセッサ１２２は、ルートトラステッドサーバ（ｒｏｏｔ ｔｒｕｓｔｅｄ ｓｅｒｖｅｒ）１４０を含み得る。ルートトラステッドサーバ１４０は、ハードウェア（例えば、フィールドプログラマブルゲートアレイ（ＦＰＧＡ）、特定用途向け集積回路（ＡＳＩＣ）チップなど）、ソフトウェア（例えば、メモリ１１６に保存された機械実行可能命令）、またはそれらの組合せを表すことができる。ルートトラステッドサーバ１４０は、セキュアコンピューティングプラットフォーム１０４の動作を監視し得る。ルートトラステッドサーバ１４０は、セキュアコンピューティングプラットフォーム１０４上にトラステッドブート（ｔｒｕｓｔｅｄ ｂｏｏｔ）を実装するために使用可能である。いくつかの例では、ルートトラステッドサーバ１４０は、セキュアコンピューティングプラットフォーム１０４が信頼された動作のみを実行することを保証することができる、（例えば、信頼された機関によって署名された）デジタル署名された（例えば、デジタル署名証明書）機械可読命令を含む。この状況のいくつかの例では、物理環境認証器１２４および暗号エンジン１２８もデジタル署名され得、ルートトラステッドサーバ１４０は、物理環境認証器１２４および暗号エンジン１２８が、暗号プロセッサ１１２による実行の前に修正されていないことを確認することができる。他の例では、暗号エンジン１２８は、暗号エンジン１２８がデジタル署名される必要がないように、ハードウェアデバイス（例えば、ＦＰＧＡまたはＡＳＩＣ）として実装され得る。任意のそのような状況において、ルートトラステッドサーバ１４０は、セキュアコンピューティングプラットフォーム１０４が認可された動作のみを実行することを保証し得る。
【0017】
物理環境認証器１２４は、アクセスポータル１４４を含み得る。アクセスポータル１４４は、ノード１０８において実行するクライアント１４８から、暗号化されたデータ１３２の復号化の要求を受信し得る。クライアント１４８は、ノード１０８のコンピューティングプラットフォーム１５２上で実行され得る。ノード１０８のコンピューティングプラットフォーム１５２は、例えば、データおよび機械可読命令を保存するためのメモリと、メモリにアクセスして、機械可読命令を実行するための処理ユニット（例えば、１つまたは複数のプロセッサコア）とを含み得る。説明を簡単にするために、コンピューティングプラットフォーム１５２のいくつかの特徴は省略されている。
【0018】
いくつかの例では、クライアント１４８は、コンピューティングプラットフォーム１５２上で実行されるデータ消費モジュール（ｄａｔａ ｃｏｎｓｕｍｉｎｇ ｍｏｄｕｌｅ）１５３（例えば、アプリケーションソフトウェア）からの要求に応答して、暗号化されたデータ１３２の復号化の要求を生成し得る。他の例では、クライアント１４８は、データ消費モジュール１５３とのインタラクションなしに要求を生成することができ、かつ／またはクライアント１４８は、データ消費モジュール１５３と統合され得る。暗号化されたデータ１３２を復号化するための要求の受信に応答して、物理環境認証器１２４は、環境検証プロセスを実行し得る。環境検証プロセスは、暗号化されたデータ１３２を復号化する要求が受信されたときに、ノード１０８が予想される環境内に位置しているかどうかを検証する。
【0019】
環境検証プロセスを実行するために、物理環境認証器１２４は、２つの別個のソースからのノード１０８に関する実装の環境を特徴付けるデータを比較する。従って、システム１００は、Ｋ個の環境センサ１６０を含み得Ｒ、Ｋは、１以上の整数である。即ち、Ｋ個の環境センサ１６０は、一組の環境センサ１６０を提供する。Ｋ個の環境センサ１６０の各々は、別個のタイプの環境パラメータを測定し、そのデータを物理環境認証器１２４に提供する。一例として、１つの環境センサ１６０は温度センサ、圧力センサ、または流量計であり得、別の環境センサ１６０は加速度計であり得る。別の例として、１つの環境センサ１６０は、慣性測定ユニット（ＩＭＵ：ｉｎｅｒｔｉａｌ ｍｅａｓｕｒｅｍｅｎｔ ｕｎｉｔ）であり得、別の環境センサ１６０は、全地球航法衛星システム（ＧＮＳＳ：ｇｌｏｂａｌ ｎａｖｉｇａｔｉｏｎ ｓａｔｅｌｌｉｔｅ ｓｙｓｔｅｍ）受信機（または他の位置センサ）であり得る。更に別の例として、１つの環境センサ１６０は、方位センサ（例えば、３軸ジャイロスコープ、又は微小電気機械システム（ＭＥＭＳ：Ｍｉｃｒｏ－Ｅｌｅｃｔｒｏ－Ｍｅｃｈａｎｉｃａｌ Ｓｙｓｔｅｍｓ）ジャイロスコープ）であり得、別の環境センサ１６０は、加速度計又は速度計であり得る。さらに他の例では、１つの環境センサ１６０が変形メータ（ｄｅｆｏｒｍａｔｉｏｎ ｍｅｔｅｒ）であり得、別の環境センサが加速度計であり得る。このリストは、全てを網羅していることを意味していない。本明細書で説明する例を含む様々な例では、相関する環境パラメータを測定する任意の２つの環境センサが使用され得る。
【0020】
Ｋ個の環境センサ１６０（又はその一部）の各々は、ノード１０８に統合され得るか、またはノード１０８の外部にあり得る（ノード１０８から物理的に分離され得る）。所与の環境センサ１６０がノード１０８の外部にある例では、物理環境認証器１２４は、セキュア通信チャネルを介して無線で所与の環境センサ１６０からデータを（直接的または間接的に）受信し得る。例えば、所与の環境センサ１６０が速度計（例えば、赤外線速度計）である状況では、外部エンティティ（例えば、ドローン）は、外部エンティティ上に搭載された所与の環境センサ１６０を有し、かつノード１０８の速度を特徴付けるデータを物理環境認証器１２４に提供し得る。他の例では、Ｋ個の環境センサ１６０（又はその一部）の各々は、特定用途向け集積回路（ＡＳＩＣ）チップなどの集積回路（ＩＣ）チップ上に形成され得る。
【0021】
Ｋ個の環境センサ１６０の各々は、復号化されるデータの復号化の要求が物理環境認証器１２４に提供された時点またはその付近で、ノード１０８が実装されている環境のパラメータを特徴付けるデータを提供し、これらのパラメータは環境パラメータと呼ばれる。環境検証プロセス中に、物理環境認証器１２４は、別個であるが相関する環境パラメータを特徴付けるデータをキャプチャし、互いに比較し、かつ／または対応する閾値（または単一の閾値）と比較して、ノード１０８が認可された環境で動作しているかどうかを判定し得る。システム１００が１つの環境センサ１６０のみを含む状況などのいくつかの例では、環境センサ１６０は、２つ以上の別個の環境パラメータを測定し、２つ以上の別個の環境パラメータのデータを物理環境認証器１２４に提供するように構成され得る。他の例では、各々が独立して動作する複数の環境センサ１６０が存在する。さらに、いくつかの例では、時間などの特定の環境パラメータは、Ｋ個の環境センサ１６０のうちの１つからではなく、セキュアコンピューティングプラットフォーム１０４内のクロックまたはノード１０８におけるクロックなど、システム１００の別の部品から生じ得る。
【0022】
上述したように、２つの別個の環境パラメータのデータは相関している。いくつかの例では、物理環境認証器１２４は、２つの別個の環境パラメータのうちの１つまたは複数をフォーマット化、変換、および／または融合して、共通の環境パラメータを形成し得る。例えば、１つの環境センサ１６０が加速度計であり、別の環境センサ１６０が位置センサである場合、物理環境認証器１２４は、加速度計からのデータを積分し、位置センサからのデータを導出して、そのような両方の環境センサ１６０からのデータに基づいて速度（同じ環境パラメータ）を決定し得る。即ち、物理環境認証器１２４は、方程式を用いて物理法則を適用して特定の物理パラメータの単位を変更し、かつ／または複数の物理パラメータ（例えば、位置および時間）を組み合わせて、複数の物理パラメータを別の物理パラメータ（例えば、速度）に変換し得る。
【0023】
いくつかの例では、複数の相関する環境パラメータを特徴付けるデータが（環境パラメータ間の比較に基づいて、および／または対応する閾値との比較に基づいて）許容可能な範囲内にある場合、物理環境認証器１２４は、暗号化されたデータ１３２を取り出し、暗号化されたデータを暗号エンジン１２８に提供し、物理環境認証器１２４は、ノード１０８が暗号化されたデータ１３２を復号化することを認可されているという通知を暗号エンジン１２８に提供する。それに応答して、暗号エンジン１２８は、秘密鍵１２０にアクセスし、暗号化されたデータ１３２を秘密鍵１２０を用いて復号化し、暗号エンジン１２８は、復号化されたデータ１５４を物理環境認証器１２４に返す。物理環境認証器１２４は、暗号化されたデータ１３２を復号化する要求に応答して、復号化されたデータ１５４をクライアント１４８に提供し得る。このようにして、復号化されたデータ１５４は、コンピューティングプラットフォーム１５２上のデータ消費モジュール１５３などのノード１０８によって消費され得る。
【0024】
逆に、Ｋ個の環境センサ１６０によって提供される環境パラメータを特徴付けるデータの比較が、ノード１０８が認可された環境内に位置していないことを示す状況では、物理環境認証器１２４は、秘密鍵１２０へのアクセスを許可しない。いくつかの状況では、物理環境認証器１２４は、（暗号化されていない形式での暗号化されたデータ１３２に対応する）データへのアクセスが認可されていないという通知をクライアント１４８に提供し得る。他の例では、ノード１０８が認可された環境内に位置していることを物理環境認証器１２４が確認できない場合、物理環境認証器１２４は、データの要求に応答し得ない。
【0025】
追加的または代替的に、いくつかの例では、物理環境認証器１２４は、秘密鍵１２０（従って、データ）へのアクセスが認可されているかどうかを判定するために、環境パラメータにスコアを付ける（例えば、スコアを割り当てる）ことができる。例えば、そのような状況では、物理認証器１２４は、重み付けされたスコアを各環境パラメータに適用して、そのようなスコアの各々を対応する閾値と比較することができる。スコア付けは、例えば、各パラメータの予測精度（例えば、ノイズによる）に基づくことができる。一例として、環境パラメータに対するＭ個のスコアが対応する閾値を満たすかまたは超えるが、環境パラメータのＮ個のスコアが対応する閾値を満たさない場合、物理環境認証器１２４は、秘密鍵１２０およびデータへのアクセスを許可することができる。この状況では、Ｍは２以上の選択された整数であり、Ｎは１より大きい選択された整数であり、ＭはＮより大きい。この状況を続けると、対応する閾値スコアを超えるスコアがＭ個未満である場合、秘密鍵１２０および（暗号化されていない形式での）データへのアクセスは拒否される。このようにして、１つまたは複数の環境パラメータが他の環境パラメータと相関しない（例えば、ノイズのために）特定の状況においても、秘密鍵１２０およびデータへのアクセスが許可され得る。
【0026】
システム１００は、ノード１０８を物理的に所有し得る権限のない者（例えば、侵入者または敵対者）が、秘密鍵１２０および暗号化されたデータ１３２に暗号化されていない形式でアクセスすることを阻止することができる。所与の例（以下、「所与の例」という）として、ノード１０８がロケットとして実施され、剪断力（ｓｈｅａｒ ｆｏｒｃｅ）が剪断センサ（例えば、第１の環境センサ１６０）によって測定され、表層（ｓｋｉｎ）温度が温度センサ（例えば、第２の環境センサ１６０）によって測定され、これらの環境パラメータが相関している状況を考える。即ち、そのような状況では、剪断センサによって測定される剪断力が大きいほど、（例えば、燃焼室からの熱伝達が大気摩擦と結合することに起因して）表層温度が高くなる。従って、所与の例を続けると、第１の環境センサ１６０が物理環境認証器１２４に剪断力を提供すると仮定する。物理環境認証器１２４は、剪断力に対する予想表層温度を計算することができる。従って、第２の環境センサ１６０から提供された表層温度が予想表層温度と許容範囲を超えて異なる状況では、物理環境認証器１２４は、ノード１０８が認可された環境内にないと判定し得る。例えば、所与の例では、ノード１０８を所有する権限のない者が、ロケットの動作をシミュレートするためにノード１０８を風洞内に取り付けた場合、表層温度は剪断力と一致しないため、物理環境認証器１２４は、権限のない者が秘密鍵１２０にアクセスすることを阻止し、従って権限のない者が暗号化されたデータ１３２を復号化することを阻止して、権限のない者が暗号化されたデータ１３２に対応するデータを所有することができないようにする。
【0027】
図２～図１１は、別個のタイプの環境センサ（例えば、図１のＫ個の環境センサ１６０）の例を示し、それらは、環境検証プロセス中に使用される、ノード１０８の環境パラメータを図１のシステム１００の物理環境認証器１２４に提供するために使用可能である。説明を簡単にするために、いくつかの詳細は図２～図１１から省略されている。
【0028】
より具体的には、図２は、図１のノード１０８の位置を特徴付けるデータを提供する全地球航法衛星システム（ＧＮＳＳ）受信機２００と、ノードの位置（推測航法を使用）およびノード１０８の速度を特徴付けるデータを提供する慣性測定ユニット（ＩＭＵ）２１０とを含むシステム１００の一例を示す。いくつかの例では、物理環境認証器１２４は、時間に応じたノード１０８の位置を決定して（例えば、時間は環境パラメータであり得る）、環境検証プロセス中に、ノード１０８が現在、認可された環境のある境界（ジオロケーション）の内側または外側のいずれかにあることを確認または反証し得る。他の例では、物理環境認証器１２４は、ノード１０８の以前の位置に対する時間に応じたノード１０８の位置を監視して、環境検証プロセス中に、ノード１０８が認可された環境に移動したかどうかを判定し得る。
【0029】
ＧＮＳＳ受信機２００の使用は、時間相関位置測定値を生成することができる。次いで、そのような測定値を微分して速度を推定することができ、その速度を微分して加速度を推定することができ、従って、位置対時間を効果的に監視して速度値および加速度値を推定することができる。ＩＭＵ２１０の使用により、加速度を積分してノード１０８の速度の推定値を提供し、ノード１０８の速度を積分してノード１０８の位置を取得することで表されるノード１０８の現在位置の推定値が提供されるため、物理環境認証器１２４は、加速度対時間を効果的に監視して位置を推定し、時間相関のある位置値、速度値、および加速度値を生成することができる。
【0030】
他の例では、ＧＮＳＳ受信機２００および／またはＩＭＵ２１０からの位置測定値は、物理環境認証器１２４によって、圧力、温度、磁気環境などの他の測定値と相関され得る。実際、ノード１０８の位置は、環境検証プロセス中に位置に依存するかまたは関係することが示され得る任意の他の環境パラメータと相関され得る。
【0031】
同様に、他の例では、ノード１０８の速度は、（例えば、ピトー管などを介した）よどみ圧（ｓｔａｇｎａｔｉｏｎ ｐｒｅｓｓｕｒｅ）などのものを含む複数の機構によって、またはＩＭＵ２１０、ＧＮＳＳ受信機２００からの副産物として、または別個のタイプの環境センサ（例えば、図１の別の環境センサ１６０）によって感知（測定）され得る。従って、いくつかの例では、認証プロセス中に、物理環境認証器１２４は、上述したように速度、加速度、および位置を相関させることができる。追加的または代替的に、ノード１０８の速度は、ノード１０８のエンジンによって消費される燃料の圧力、温度、質量流量などと相関させることもできる。実際に、ノード１０８の速度は、速度に依存または関係することが示され得る任意の他の環境パラメータと相関され得る。
【0032】
図３は、ノード１０８の加速度を特徴付ける環境パラメータを物理環境認証器１２４に提供する加速度計２２０と、ノード１０８によって（例えば、ノード１０８のエンジン燃焼室によって）消費される燃料を特徴付ける環境パラメータを物理環境認証器１２４に提供する流量計２３０とを含むシステム１００の例を示す。そのような状況では、物理環境認証器１２４は、報告された加速度に対する予想燃料消費を計算することによって、加速度を燃料の流量と相関させることができる。流量計２３０が、燃料が予想される速度で消費されていることを示すデータを提供する状況では、物理環境認証器１２４は、ノード１０８の環境を認証することができる。
【0033】
代替的な状況では、ノード１０８の加速度を直接測定する加速度計２２０を含める代わりに、他の例では、ノード１０８の加速度は、（例えば、図２のＧＮＳＳ受信機２００またはＩＭＵ２１０による）位置対時間の測定値から導出され得る。加えて、いくつかの例では、流量計２３０の代わりに（またはそれに加えて）、温度センサおよび／または圧力センサが、ノード１０８の予想速度と相関され得るシステム１００の温度および／または圧力（例えば、よどみ圧）を特徴付けるデータを提供するために含まれ得る。これらの状況のいずれにおいても、物理環境認証器１２４は、加速度を予想燃料消費に対応するデータと相関させて、ノード１０８の環境を認証するように構成／プログラムされ得る。実際に、加速度は、物理環境認証器１２４によって、加速度に依存および／または関係することが示され得る任意の他の環境パラメータと相関され得る。
【0034】
さらに、ノード１０８が燃料を消費するエンジンを使用する例では、物理環境認証器１２４は、位置、速度および加速度を燃料の質量流量に相関させるように構成／プログラムされ得る。また、燃料の質量流量は、ノード１０８（例えば、燃焼室）の内部、またはノード１０８と外部環境との間の境界における温度および圧力などのものと相関され得る。
【0035】
図４は、３つの軸におけるノード１０８の加速度を特徴付けるデータを提供する３軸加速度計２４０を含むシステム１００の一例を示す。図４のシステム１００の例は、例えば、ノード１０８が衛星として実施され、認可された環境が、地球の大気圏外にある間に天体の周りを周回する軌道または準軌道の弾道軌道である状況において使用され得る。この状況では、環境検証プロセス中に、物理環境認証器１２４は、３つの軸における加速度を比較して、ノード１０８が微小重力内に位置するかどうかを判定することができる。
【0036】
ノード１０８が天体の軌道または準軌道にあり、微小重力を経験している場合、３つの軸は全て、所定の時間量よりも長い（例えば、１分よりも長い）持続時間にわたって０．２５ｇ未満の加速度（微小重力に対応する）を提供する。従って、環境検証プロセス中に、物理環境認証器１２４は、３軸加速度計２４０からのデータが、３つの軸全てが１分以上の持続時間（例えば、所定の時間量）にわたって０．２５ｇ未満の加速度（例えば、微小重力）を提供することを示している場合、ノード１０８の環境を認証することを決定するように構成／プログラムされ得る。持続時間を含めることにより、認可された者が、放物線状の弧軌道で軌道または準軌道にあることの効果をシミュレートすることが阻止され、その理由は、そのような軌道にあるのは約３０秒以下の持続時間に制限されるからである。従って、図４に示される例では、環境センサの単一のインスタンス、即ち３軸加速度計２４０が、環境検証プロセスにおいて必要とされる複数の環境パラメータを提供するために使用可能である。
【0037】
さらに、いくつかの例では、物理環境認証器１２４は、３軸加速度計２４０を使用して、ノード１０８の衝撃を測定し得る。衝撃は、典型的には衝突又は他の突然の加速（例えば爆発など）から生じる過渡的な物理的影響である。加速度と同様に、衝撃も同じ種類の単位（速度の変化率）を有するベクトルである。いくつかの例では、物理環境認証器１２４は、３軸加速度計２４０から報告された加速度の３つの軸における加速度を変換して、ノード１０８に対する衝撃パルスを導出するための論理を含む。衝撃パルスは、ピーク加速度、持続時間、およびパルスの形状（三角形、台形など）によって特徴付けられ得る。さらに、そのような状況では、環境検証プロセス中に、物理環境認証器１２４は、ノード１０８の衝撃を３軸加速度計２４０によって直接測定された加速度と相関させて、ノード１０８が認可された環境において動作しているかどうかを判定することができる。
【0038】
さらに、いくつかの例では、物理環境認証器１２４は、３軸加速度計２４０を使用して、ノード１０８の測定された振動を導出し得る。振動とは、ノード１０８が平衡点を中心に加速度の振動を経験する状況である。このような振動は、周期的なもの、またはランダムなものがあり得る。いくつかの例では、物理環境認証器１２４は、３軸加速度計２４０から報告された加速度の３つの軸における加速度を変換して、ノード１０８の振動を導出するための論理を含む。さらに、そのような状況では、環境検証プロセス中に、物理環境認証器１２４は、ノード１０８の振動を３軸加速度計２４０によって直接測定された加速度と相関させて、ノード１０８が認可された環境で動作しているかどうかを判定することができる。
【0039】
図５は、ノード１０８の要素（例えば、表面または部品）の変形を特徴付ける環境パラメータを物理環境認証器１２４に提供する変形メータ２５０と、ノード１０８の加速度を特徴付ける環境パラメータを物理環境認証器１２４に提供する加速度計２６０とを含むシステム１００の一例を示す。このような状況において、物理環境認証器１２４は、ノード１０８の要素の変形による加速度を、ノード１０８の加速度に基づいて算出されるノード１０８の応力と関連付けることができる。
【0040】
より全般的には、所与の断面積にわたって加えられる力に対応する応力は、変形メータ２５０によって特徴付けることができるノード１０８の要素の弾性変形を引き起こし得る。この応力は、経時的に測定され得るとともに、加速度計２６０から提供される加速度に基づいて計算することができる、ノード１０８に加えられる力と相関され得る。垂直応力は、応力が作用する材料断面に対して法線方向（または垂直方向）の力から生じる応力である。同様に、剪断応力は、ノード１０８の要素の断面に平行な力から生じる応力である。剪断応力は、剪断力から生じ、剪断力は、物体の両側に作用する一対の等しく、かつ反対の力である。いくつかの実施例では、固体の境界に沿って移動するノードの流体（液体および気体の両方を含む）は、その境界において剪断応力が生じることになり、従って、剪断応力は、そのような流れにおけるノード１０８の速度（加速度から導出される）に相関され得る。さらに、いくつかの例では、物理環境認証器１２４は、剪断応力を大気の動圧に相関させることができ、時間の経過とともに、摩擦による加熱に起因して生成される温度に相関させることもできる。これらの状況では、加速度計２６０の代わりに（またはそれに加えて）圧力センサおよび／または温度センサを使用することができる。
【0041】
他の例では、変形メータ２５０を使用して、ノード１０８の要素に対する歪みを計算することができる。要素の歪みは、要素の永久変形に対応する。物理環境認証器１２４は、経時的に歪みを測定することができ、歪みは、ノード１０８に加えられた加速度（力に対応する）と相関され得る。ほとんどの例において、歪みは、加えられる力が弾性変形範囲を超える期間にわたって応力下に置かれる材料に対して生じ、その結果、ノード１０８の要素内の材料の永久変形が生じる。従って、これらの状況では、歪みの量は、環境検証プロセス中に、物理環境認証器によって加速度と相関され得る。他の例では、歪みは、温度、材料強度などの他の環境パラメータと相関され得る。
【0042】
図６は、ノード１０８において測定された音波を特徴付ける環境パラメータを物理環境認証器１２４にそれぞれ提供する第１の音波センサ２７０および第２の音波センサ２８０を含むシステム１００の一例を示す。音波は、気体、液体、および固体などの様々な媒体を通って進行する機械波として現れ、ノード１０８において音波の生成、伝搬、および受信が行われる。第１の音波センサ２７０および第２の音波センサ２８０は、音波がノード１０８の表面材料を通って伝搬する際の機械的応力を検出する。より具体的には、第１の音波センサ２７０および第２の音波センサ２８０は、ノード１０８における伝搬経路および速度を観測することにより、音波の振幅および周波数特性を測定する。
【0043】
ノード１０８において特定の時間間隔で第１の音波センサ２７０および第２の音波センサ２８０によって検出された音波の周波数および振幅（または音量）の特性変化を使用して、ノード１０８が認可された環境で動作していることを確認することができる。さらに、第１の音波センサ２７０および第２の音波センサ２８０は、ノード１０８内の物理的に別個の場所において、別個の周波数範囲に合わせて調整されて、音波の方向性を提供することができる。いくつかの例では、物理環境認証器１２４は、検出された音波を、衝撃、振動、加速度、速度、圧力など、別の環境センサ（例えば、加速度計）によって測定された別の環境パラメータと相関させて、環境検証プロセスを実行することができる。
【0044】
図７は、ノード１０８によって消費される燃料の圧力を特徴付ける環境パラメータを提供する圧力センサ２８５と、ノード１０８の温度を物理環境認証器１２４に提供する温度センサ２９０とを含むシステム１００の一例を示す。そのような状況では、物理環境認証器１２４は、報告された燃料の圧力に基づいて燃料の予想量を算出し得る。この例では、物理環境認証器１２４は、算出された燃料量に基づいてシステムの予想温度を算出し得、物理環境認証器１２４は、ノード１０８の予想温度を温度センサ２９０によって測定された温度と比較して、環境検証プロセスを実行し得る。
【0045】
そのような状況では、物理環境認証器１２４は、報告された燃料の圧力に基づいて燃料の予想量を算出し得る。この例では、物理環境認証器１２４は、算出された燃料量に基づいてシステムの予想温度を算出し得、物理環境認証器１２４は、ノード１０８の予想温度を温度センサ２９０によって測定された温度と比較して、環境検証プロセスを実行し得る。他の例では、加速度計などの追加または代替の環境センサが、ノード１０８の測定された圧力および／または温度と相関させることができる環境パラメータを提供し得る。
【0046】
さらに、いくつかの例では、ノード１０８が大気中を移動する際に、圧力センサ２８５によって報告された圧力を用いてノード１０８のよどみ圧を算出することができ、温度センサ２９０によって報告された温度を用いてノード１０８のよどみ温度（ｓｔａｇｎａｔｉｏｎ ｔｅｍｐｅｒａｔｕｒｅ）を算出することができる。この状況では、よどみ圧およびよどみ温度は相関され、かつ環境検証プロセス中に使用され得る。
【0047】
図８は、ノード１０８の方位および／または角速度を物理環境認証器１２４に提供する方位センサ３００と、ノード１０８の加速度を物理環境認証器１２４に提供する加速度計３１０とを含むシステム１００の一例を示す。方位センサ３００は、微小電気機械システム（ＭＥＭＳ）ジャイロスコープ、固体リングレーザジャイロスコープ、光ファイバジャイロスコープ、量子ジャイロスコープなどとして実施することができる。いくつかの例では、方位センサ３００は、エアデータプローブ（ａｉｒ ｄａｔａ ｐｒｏｂｅ）として実施され得る。他の例では、方位センサ３００は、ＩＭＵと一体化され得る。
【0048】
一例として、物理環境認証器１２４は、ノード１０８の加速度をノード１０８の方位と相関させて、環境検証プロセスを実行し得る。例えば、ノード１０８がロケット上に実装されている場合、高い加速度が検出され得るが、ノード１０８が認可された環境で動作している場合、依然として比較的一定の方位と相関付けられる。逆に、権限のない者が、遠心分離機を使用して加速度をシミュレートする偽装環境を提供しようとした場合、方位センサ３００は、常に変化する方位を報告するため、物理環境認証器１２４は、偽装環境を認証しない。
【0049】
他の例では、ノード１０８の方位は、ノード１０８の本体の周りのフローストリーム（ｆｌｏｗ ｓｔｒｅａｍ）などの他の環境パラメータと相関され得る。例えば、ノード１０８が航空機として実施され、システム１００が流量計（例えば、図３の流量計２３０）を含む場合、物理環境認証器１２４は、ノード１０８の迎角を決定し得る。迎角は、環境を認証するために、ノード１０８の本体上の予想気流と相関され得る。
【0050】
図９は、ノード１０８の測定された磁場の強度（大きさ）を物理環境認証器１２４に提供する磁力計３２０を含むシステム１００の一例を示す。磁場のこの大きさは、物理環境認証器１２４がノード１０８に関して結果的に得られる測定磁場ベクトルを算出することができるように、３つの直交次元で測定され得る。ノード１０８が動いている例において（認可された環境で動作しているとき）、この磁場ベクトルは、時間とともに変化することが予想され得る。これらの状況では、物理環境認証器１２４は、磁場ベクトルを、システムの位置および方位（回転）などの他の環境パラメータに相関させ得る。実際には、環境検証プロセスを実行するために、磁場強度および方位は、磁場の強度または方位のいずれかに依存または関連する任意の他の環境パラメータと相関され得る。
【0051】
図１０は、図８の方位センサ３００および加速度計３１０、ならびに図９の磁力計３２０を含むシステム１００の一例を示す。方位センサ３００は、ノード１０８の方位および／または角速度を物理環境認証器１２４に提供し、加速度計３１０は、ノード１０８の加速度を物理環境認証器１２４に提供する。磁力計３２０は、ノード１０８の測定された磁場の強度（大きさ）を物理環境認証器１２４に提供する。磁場のこの大きさは、物理環境認証器１２４がノード１０８に関して結果的に得られる測定磁場ベクトルを算出することができるように、３つの直交次元で測定され得る。
【0052】
ノード１０８が動いている例において（認可された環境で動作しているとき）、磁力計３２０によって測定される磁場ベクトルは、時間とともに変化することが予想され得る。これらの状況では、物理環境認証器１２４は、磁場ベクトルを、方位センサ３００によって測定された方位および加速度計３１０によって測定された加速度に相関させ得る。従って、ノード１０８がロケット上に実装されている場合、変化する磁場および高い加速度が検出され得るが、ノード１０８が認可された環境で動作している場合、依然として比較的一定の方位と相関付けられる。逆に、権限のない者が、遠心分離機を使用して加速度をシミュレートする偽装環境を提供しようとした場合、磁力計３２０は変化する磁場を報告するが、方位センサ３００は常に変化する方位を報告するため、物理環境認証器１２４は、偽装環境を認証しない。従って、この状況では、３つの別個のセンサによって測定された、３つが独立しているが、相関している環境条件を比較することで、物理的環境を認証することができる。
【0053】
図１１は、ノード１０８の表層温度を特徴付ける環境パラメータを物理環境認証器１２４に提供する温度センサ３３０と、ノード１０８の要素（例えば、面または部品）に加えられる剪断力を特徴付ける環境パラメータを物理環境認証器１２４に提供する剪断センサ３３４とを含むシステム１００の一例を示す。そのような状況では、物理環境認証器１２４は、表層温度をノード１０８の要素の剪断力と相関させ得る。ノード１０８はロケットを代表し得、認可された環境は、ノード１０８が空中を移動することであり得る。
【0054】
ノード１０８がロケット（または他の発射体）を代表する例では、持続的な高速空気流（例えば、マッハ５より大きい空気流に対応する極超音速流）は、温度センサ３３０によって測定可能な空気力学的加熱をもたらす。さらに、持続的な高速空気流は、剪断センサ３３４で測定することができる、ノード１０８の要素上の比較的一定の剪断力を誘発する。従って、物理認証器１２４は、ノード１０８の予想される表層温度を、ノード１０８の要素の予想される比較的一定の剪断力と相関させ得る。
【0055】
さらに、ノード１０８の認可された環境（ロケットが空気中を移動すること）を偽装しようとして、権限のない者が、ノード１０８上の気流をシミュレートするために風洞を使用する可能性がある。しかしながら、そのような風洞を通る空気流は、ノード１０８の表層温度を上昇させるのに十分長い期間にわたって一定ではない。加えて、気流のパルス（例えば、持続していない気流）は、剪断センサ３３４によって測定可能なノード１０８の要素上加わる剪断力の対応するパルスを引き起こす。従って、物理環境認証器１２４は、環境パラメータが認可された環境と相関しないことを決定し得る。
【0056】
図２～図１１に提供される例は、網羅的であることを意味していない。実際に、秘密鍵１２０へのアクセスを許可する前のノード１０８の動作の一部または全部の間に特徴的である任意の測定可能な物理環境パラメータは、認証される環境条件のセットに含まれ得る。可能性のある環境パラメータのうちのいくつかは、個々に偽装することが比較的簡単なもの（例えば、温度）もあるが、他の環境パラメータと組み合わされることで、ノード１０８が認可された環境内で動作していない限り、権限のない者が全ての相関付けられた物理パラメータを信頼できる形で偽装することは実行不可能であり得る。
【0057】
さらに、図２～図９に示す環境センサの例は、多くの様々な方法で組み合わされ得る。説明したように、相関する物理パラメータの数を増加させることによって、認可された環境を偽装することの困難性が増加して、セキュリティが向上する。相関する物理パラメータの数及びタイプは、例えば、図１の暗号化されたデータ１３２の機密性に基づいて選択され得る。
【0058】
図１２は、図１のシステム１００のコンポーネントを含むノード４００の一例を示す。いくつかの例として、ノード４００は、ビークル（地上ビークルまたは航空機）、ロケット、衛星、武器（例えばミサイル）などとして実施され得る。いくつかの例では、ノード４００の盗難は、国家安全保障上のリスクを表し得る。ノード４００は、環境検証に基づいてセキュアコンテンツへのアクセスを制御するための特徴を含む。ノード４００は、図１のセキュアコンピューティングプラットフォーム１０４を実施するために採用され得るセキュアコンピューティングプラットフォーム４０４を含み得る。説明を簡単にするために、セキュアコンピューティングプラットフォーム４０４のいくつかの詳細は省略されている。セキュアコンピューティングプラットフォーム４０４は、セキュアコンピューティングプラットフォーム４０４上で実行される物理環境認証器４０８を含む。
【0059】
物理環境認証器４０８は、ノード１０８が認可された環境で動作していることを検証する環境検証プロセスを実行し得る。セキュアコンピューティングプラットフォーム４０４は、セキュアコンピューティングプラットフォーム４０４に保存された秘密鍵４１２を含む。環境検証プロセス中に、ノード４００が認可された環境で動作していることを物理環境認証器４０８が確認した場合に、物理環境認証器４０８は、秘密鍵４１２へのアクセス（直接または間接）が許可されるように構成される。逆に、物理環境認証器４０８が、ノード４００が認可された環境で動作していることを確認できない場合、秘密鍵４１２へのアクセスは拒否される。秘密鍵４１２は、対称鍵または非対称鍵ペアの非対称鍵とすることができる。いずれの状況においても、秘密鍵４１２は外部エンティティに対して公開されない。代わりに、秘密鍵４１２は、セキュアコンピューティングプラットフォーム４０４上のデータを復号化するために使用され得る。
【0060】
ノード４００は、図１のコンピューティングプラットフォーム１５２を実施するために採用され得るコンピューティングプラットフォーム４２０を含み得る。即ち、コンピューティングプラットフォーム４２０は、データおよび機械可読命令を保存する非一時的メモリ、ならびにコンピューティングプラットフォーム４２０のメモリにアクセスし、機械可読命令を実行するための処理ユニット（１つまたは複数のプロセッサコア）を含み得る。いくつかの例では、コンピューティングプラットフォームは、ノード４００が適切に動作するためにデータへのアクセスを必要とするデータ消費モジュール４２４（例えば、アプリケーションソフトウェア）を含み得る。データは、暗号化されたデータ４２８として暗号化された形式で保存され得る。暗号化されたデータ４２８は、ファイルストア４３２に保存され得、ファイルストア４３２は、図示された例ではノード４００上に含まれ得る。暗号化されたデータ４２８は、秘密鍵４１２によってのみ復号化され得る。従って、秘密鍵４１２へのアクセスが許可されなければ、暗号化されたデータは分からない。
【0061】
物理環境認証器４０８は、データの要求を受信する。これに応答して、物理環境認証器４０８は、環境検証プロセスを実行して、ノード４００が認可された環境で動作しているか否かを検証する。環境検証プロセスは、暗号化されたデータ１３２を復号化する要求が受信されたときに、ノード１０８が予想される環境内に位置しているかどうかを検証する。
【0062】
環境検証プロセスを実行するために、物理環境認証器４０８は、ノード４００に関する実装の環境の少なくとも２つの環境パラメータを特徴付けるデータをキャプチャして比較する。従って、ノード４００は、Ｋ個の環境センサ４３４を含み得る。Ｋ個の環境センサ４３４の各々は、別個のタイプの環境パラメータを測定し、Ｋ個の環境センサ４３４は、図１の環境センサ１６０を実施するために使用され得る。Ｋ個の環境センサ４３４の各々は、図２～図９に提供される例と同様の方法で実施され得る。いくつかの例として、Ｋ個の環境センサ４３４は、加速度計、ＩＭＵ、ＧＮＳＳ（または他の位置センサ）、方位センサ、温度センサ、圧力センサ、流量センサ、速度センサ、音波センサなどを含むことができるが、これらに限定されない。このリストは、全てを網羅していることを意味しない。本明細書で説明する例を含む様々な例では、相関する環境パラメータを測定する任意の２つの環境センサが使用され得る。図示された例では、Ｋ個の環境センサ４３４の各々は、ノード４００と統合されているが、他の例では、Ｋ個の環境センサ４３４の各々、またはその一部は、ノード４００の外部に存在する。そのような状況では、環境センサ４３４は、ノード４００全体にわたって配置される。さらに、図１２は、セキュアコンピューティングプラットフォーム４０４と通信するものとしてＫ個の環境センサ４３４を示しているが、いくつかの例では、Ｋ個の環境センサ４３４は、コンピューティングプラットフォーム４２０および／またはノード４００の他のコンポーネントとさらに通信し得る。
【0063】
Ｋ個の環境センサ４３４の各々は、復号化されるデータの復号化の要求が物理環境認証器４０８に提供された時点またはその付近で、ノード４００が実装されている環境のパラメータを特徴付けるデータを提供する。環境検証プロセス中に、物理環境認証器４０８は、２つの相関する環境パラメータを特徴付けるデータを比較して、ノード１０８が認可された環境で動作しているかどうかを判定し得る。ノード４００が１つの環境センサ４３４のみを含む状況などのいくつかの例では、環境センサ４３４は、２つの別個の環境パラメータを測定し、２つの別個の環境パラメータのデータを物理環境認証器４０８に提供するように構成され得る。他の例では、各々が独立して動作する複数の環境センサ４３４が存在する。
【0064】
上述したように、２つの別個の環境パラメータのデータは相関している。いくつかの例では、物理環境認証器４０８は、２つの別個の環境パラメータのうちの１つまたは複数を変換して、共通の環境パラメータを形成し得る。複数の相関する環境パラメータが異なるが、相関する環境パラメータが許容範囲内にある場合、物理環境認証器４０８は、暗号化されたデータ４２８を取り出し、暗号化されたデータ４２８が暗号エンジン（図示せず）によって秘密鍵４１２を用いて復号化されることを要求する。これに応答して、物理環境認証器４０８は、データ消費モジュール４２４に提供される復号化されたデータ４４０を受信する。このようにして、復号化されたデータ４４０は、データ消費モジュール４２４またはノード４００内の他のモジュール（例えば、アプリケーションソフトウェア）によって消費され得る。
【0065】
逆に、Ｋ個の環境センサ４３４によって提供される環境パラメータを特徴付けるデータの比較が、ノード４００が認可された環境内に位置していないことを示す状況では、物理環境認証器４０８は、秘密鍵４１２へのアクセスを認可しない。いくつかの状況では、物理環境認証器４０８は、データに対する要求に応答して、暗号化されたデータ４２８（暗号化されていない形式）へのアクセスが認可されていないという通知を提供し得る。他の例では、ノード４００が認可された環境内に位置することを物理環境認証器が確認できない場合、物理環境認証器４０８は、暗号化されたデータ４２８を復号化するための要求に応答し得ない。
【0066】
ノード４００は、ノード４００を物理的に所有し得る権限のない者（例えば、侵入者または敵対者）が、秘密鍵４１２および暗号化されていない形式での暗号化されたデータ４２８にアクセスすることを阻止することができる。さらに、図２～図９に示す例で説明したように、複数の環境パラメータを使用することによって、認可された環境を偽装することが実行不可能になり得る。さらに、環境検証プロセスにおいて相関付けられる環境パラメータの数およびタイプは、データ（復号化されたデータ４４０）の機密性に見合ったものとすることができる。
【0067】
上述の構造的及び機能的特徴を考慮して、例示的な方法は、図１３を参照してより良く理解されるであろう。説明を簡単にするために、図１３の例示的な方法は、連続して実行されるものとして示され、説明されているが、他の例においていくつかの動作が、本明細書に示され、かつ説明されているものとは異なる順序で、複数回、および／または同時に行われ得るため、本例は、図示されている順序によって限定されないことを理解および認識されたい。さらに、方法を実施するために全ての説明された動作が実行される必要はない。図１３の例示的な方法は、非一時的な機械可読媒体に保存された命令として実施され得る。命令は、処理リソース（例えば、１つまたは複数のプロセッサコア）によってアクセスされ、かつ本明細書に開示される方法を行うために実行され得る。
【0068】
図１３は、データへのアクセスを制御するための方法５００の一例を示す。方法５００は、例えば、図１のシステム１００のセキュアコンピューティングプラットフォーム１０４および／または図１２のノード４００のコンピューティングプラットフォーム４０４によって実施され得る。そのような状況では、セキュアコンピューティングプラットフォーム１０４は、セキュアコンピューティングプラットフォーム１０４上で実行される物理環境認証器（例えば、図１の物理環境認証器１２４および／または図１０の物理環境認証器４０８）を含み得る。
【0069】
５１０において、物理環境認証器のアクセスポータル（例えば、図１のアクセスポータル１４４）は、コンピューティングプラットフォーム（例えば、図１のコンピューティングプラットフォーム１５２）からデータの要求を受信する。５１５において、要求に応答して、物理環境認証器は、一組の環境センサ（例えば、図１のＫ個の環境センサ１６０及び／又は図１２のＫ個の環境センサ４３４）から少なくとも２つの環境パラメータを特徴付けるデータをキャプチャする。５２０において、物理環境認証器は、データを変換および／またはフォーマット化して、相関する環境パラメータを形成する。フォーマット化および／または変換は、例えば、物理法則を別個の環境パラメータに適用するための数式の適用（例えば、測定単位の変更）を含み得る。
【0070】
５２５において、物理環境認証器は、相関するパラメータを比較し得る。相関するパラメータの比較は、直接比較であるか、または期待値の比較であり得る。５３０において、比較に基づいて、物理環境認証器は、ノードが認可された環境で動作しているかどうかを判定し得る。５３０における判定が否定（例えば、ノー）である場合、方法５００は５３５に移行する。５３０における判定が肯定（例えば、イエス）である場合、方法５００は５３７に移行する。５３５において、物理環境認証器は、データへのアクセスを拒否する。
【0071】
５３７において、データへのアクセスが許可される。５４０において、暗号エンジン（例えば、図１の暗号エンジン１２８）は、秘密鍵（例えば、図１の秘密鍵１２０）を使用して、秘密鍵でのみ復号され得る暗号化されたデータ（例えば、図１の暗号化されたデータ１３２）を復号化して、データに対応する復号化されたデータを公開する。秘密鍵は、セキュアコンピューティングプラットフォームにセキュアに保存される。５４５において、物理環境認証器は、ノード上のモジュール（例えば、アプリケーションソフトウェア）が復号化されたデータを消費することができるように、復号化されたデータ（データに対応する）をノードのコンピューティングプラットフォームに返す。
【0072】
上記した説明は一例である。もちろん、構成要素または方法の考えられる全ての組み合わせを説明することは不可能であるが、当業者は、さらに多くの組み合わせおよび置換が可能であることを認識するであろう。従って、本開示は、添付の特許請求の範囲を含む本出願の範囲内にあるそのような全ての変更、修正、および変形を包含することを意図している。本明細書で使用される場合、「含む」という用語は、限定することなく含むことを意味する。「に基づく」という用語は、少なくとも部分的に基づくことを意味する。さらに、開示または請求項が「１つの」、「第１の」、または「別の」要素、またはそれらの同等物を記載する場合、１つまたは複数のそのような要素を含むと解釈されるべきであり、２つ以上のそのような要素の要求も除外もされない。
【図1】
【図2】
【図3】
【図4】
【図5】
【図6】
【図7】
【図8】
【図9】
【図10】
【図11】
【図12】
【図13】
【手続補正書】
【提出日】2023-10-30
【手続補正1】
【補正対象書類名】特許請求の範囲
【補正対象項目名】全文
【補正方法】変更
【補正の内容】
【特許請求の範囲】
【請求項1】
環境検証に基づいてデータへのアクセスを制御するためのシステムであって、機械実行可能命令を有する非一時的メモリと、
機械可読命令にアクセスするための処理ユニットと、を備え、前記機械可読命令は、物理環境認証器を含み、
前記物理環境認証器は、
一組の環境センサから環境内のノードの複数の環境パラメータを特徴付けるデータを受信し、
複数の相関する環境パラメータを互いに比較し、かつ／または閾値と比較し、ここで、前記複数の相関する環境パラメータの少なくとも一部は、前記一組の環境センサからの前記データに基づいており、前記複数の相関する環境パラメータが、前記ノードが認可された環境で動作していることを示す場合、データへのアクセスを許可し、前記複数の相関する環境パラメータが、前記ノードが前記認可された環境で動作していないことを示す場合、データへのアクセスを阻止する、システム。
【請求項2】
前記物理環境認証器が修正されていないことを確認するためのトラステッドブートを実行するトラストサーバのルートをさらに備える、請求項１に記載のシステム。
【請求項3】
前記物理環境認証器は、暗号エンジンから復号化されたデータを受信し、前記復号化されたデータを前記ノードに提供する、請求項１に記載のシステム。
【請求項4】
前記一組の環境センサは、特定用途向け集積回路（ＡＳＩＣ）チップ上に集積されている、請求項１に記載のシステム。
【請求項5】
前記物理環境認証器は、前記一組の環境センサの第１の環境センサから提供された第１の環境パラメータを、前記一組の環境センサの第２の環境センサから提供された第２の環境パラメータを特徴付けるために使用された測定単位に変換および／またはフォーマット化して、前記複数の相関する環境パラメータを形成する、請求項１に記載のシステム。
【請求項6】
前記一組の環境センサの第１の環境センサは、第１の環境パラメータを測定し、前記一組の環境センサの第２の環境センサは、前記第１の環境パラメータとは別の第２の環境パラメータを測定する、請求項１に記載のシステム。
【請求項7】
前記第１の環境パラメータは、前記ノードに加えられる剪断力であり、前記第２の環境パラメータは、前記ノードの温度である、請求項６に記載のシステム。
【請求項8】
前記第１の環境パラメータは、前記ノードの加速度であり、前記第２の環境パラメータは、前記ノードによって消費される燃料の量である、請求項６に記載のシステム。
【請求項9】
前記第１の環境センサは、全地球航法衛星システム（ＧＮＳＳ）受信機であり、前記第２の環境センサは、慣性測定ユニット（ＩＭＵ）である、請求項６に記載のシステム。
【請求項10】
前記第１の環境センサは、前記ノードの加速度を測定する加速度計であり、前記第２の環境センサは、質量流量計、温度センサ、および圧力センサのうちの１つである、請求項６に記載のシステム。
【請求項11】
前記第１の環境パラメータは、前記ノードの磁場の方位を特徴付け、前記第２の環境パラメータは、前記ノードの位置または方位を特徴付け、前記一組の環境センサのうちの第３の環境センサが、時間を特徴付ける第３の環境パラメータを測定する、請求項６に記載のシステム。
【請求項12】
一組の環境パラメータは、３軸加速度計を含み、前記複数の相関する環境パラメータは、３つの別個の軸における前記ノードの加速度を含み、前記物理環境認証器は、前記３つの別個の軸における前記ノードの前記加速度が所定の持続時間の間の微小重力に対応する場合、データへのアクセスを許可する、請求項１に記載のシステム。
【請求項13】
環境検証に基づいてデータへのアクセスを制御するための方法であって、セキュアコンピューティングプラットフォーム上で実行される物理環境認証器が、ノードからデータへのアクセスの要求を受信するステップと、
前記物理環境認証器が、前記要求に応答して、一組の環境センサから前記ノードの複数の環境パラメータを特徴付けるデータをキャプチャするステップと、
前記物理環境認証器が、複数の相関する環境パラメータを互いに比較し、かつ／または閾値と比較し、ここで、前記複数の相関する環境パラメータの少なくとも一部は、前記一組の環境センサからのデータに基づいており、前記一組の環境センサの各々からの前記複数の相関する環境パラメータが、前記ノードが認可された環境で動作していることを示す場合、データへのアクセスを許可し、前記複数の相関する環境パラメータのうちの少なくとも１つが、前記ノードが前記認可された環境で動作していないことを示す場合、データへのアクセスを拒否するステップと、を含む方法。
【請求項14】
前記一組の環境センサのうちの１つまたは複数から提供されたデータを変換および／またはフォーマット化して、前記複数の相関する環境パラメータを形成するステップをさらに含む、請求項１３に記載の方法。
【請求項15】
前記セキュアコンピューティングプラットフォームの暗号エンジンが、データへのアクセスが許可されたことに応答して、秘密鍵を使用して暗号化された形式のデータを復号化するステップをさらに含む、請求項１３に記載の方法。
【手続補正2】
【補正対象書類名】明細書
【補正対象項目名】００７２
【補正方法】変更
【補正の内容】
【0072】
上記した説明は一例である。もちろん、構成要素または方法の考えられる全ての組み合わせを説明することは不可能であるが、当業者は、さらに多くの組み合わせおよび置換が可能であることを認識するであろう。従って、本開示は、添付の特許請求の範囲を含む本出願の範囲内にあるそのような全ての変更、修正、および変形を包含することを意図している。本明細書で使用される場合、「含む」という用語は、限定することなく含むことを意味する。「に基づく」という用語は、少なくとも部分的に基づくことを意味する。さらに、開示または請求項が「１つの」、「第１の」、または「別の」要素、またはそれらの同等物を記載する場合、１つまたは複数のそのような要素を含むと解釈されるべきであり、２つ以上のそのような要素の要求も除外もされない。
以下に、上記実施形態から把握できる技術思想を付記として記載する。
［付記１］
環境検証に基づいてデータへのアクセスを制御するためのシステムであって、
機械実行可能命令を有する非一時的メモリと、
機械可読命令にアクセスするための処理ユニットと、を備え、前記機械可読命令は、物理環境認証器を含み、
前記物理環境認証器は、
一組の環境センサから環境内のノードの複数の環境パラメータを特徴付けるデータを受信し、
複数の相関する環境パラメータを互いに比較し、かつ／または閾値と比較し、ここで、前記複数の相関する環境パラメータの少なくとも一部は、前記一組の環境センサからの前記データに基づいており、前記複数の相関する環境パラメータが、前記ノードが認可された環境で動作していることを示す場合、データへのアクセスを許可し、前記複数の相関する環境パラメータが、前記ノードが前記認可された環境で動作していないことを示す場合、データへのアクセスを阻止する、システム。
［付記２］
前記物理環境認証器が修正されていないことを確認するためのトラステッドブートを実行するトラストサーバのルートをさらに備える、付記１に記載のシステム。
［付記３］
前記物理環境認証器は、暗号エンジンから復号化されたデータを受信し、前記復号化されたデータを前記ノードに提供する、付記１に記載のシステム。
［付記４］
前記一組の環境センサは、特定用途向け集積回路（ＡＳＩＣ）チップ上に集積されている、付記１に記載のシステム。
［付記５］
前記物理環境認証器は、前記一組の環境センサの第１の環境センサから提供された第１の環境パラメータを、前記一組の環境センサの第２の環境センサから提供された第２の環境パラメータを特徴付けるために使用された測定単位に変換および／またはフォーマット化して、前記複数の相関する環境パラメータを形成する、付記１に記載のシステム。
［付記６］
前記一組の環境センサの第１の環境センサは、第１の環境パラメータを測定し、前記一組の環境センサの第２の環境センサは、前記第１の環境パラメータとは別の第２の環境パラメータを測定する、付記１に記載のシステム。
［付記７］
前記第１の環境パラメータは、前記ノードに加えられる剪断力であり、前記第２の環境パラメータは、前記ノードの温度である、付記６に記載のシステム。
［付記８］
前記第１の環境パラメータは、前記ノードの加速度であり、前記第２の環境パラメータは、前記ノードによって消費される燃料の量である、付記６に記載のシステム。
［付記９］
前記第１の環境センサは、全地球航法衛星システム（ＧＮＳＳ）受信機であり、前記第２の環境センサは、慣性測定ユニット（ＩＭＵ）である、付記６に記載のシステム。
［付記１０］
前記第１の環境センサは、全地球航法衛星システム（ＧＮＳＳ）受信機であり、前記第２の環境センサは、加速度計である、付記６に記載のシステム。
［付記１１］
前記第１の環境センサは、前記ノードの加速度を測定する加速度計であり、前記第２の環境センサは、質量流量計、温度センサ、および圧力センサのうちの１つである、付記６に記載のシステム。
［付記１２］
前記第１の環境センサは、前記ノードの加速度を測定する加速度計であり、前記第２の環境センサは、前記ノードの表面の変形を測定する変形メータである、付記６に記載のシステム。
［付記１３］
前記第１の環境パラメータは、前記ノードの衝撃または振動を特徴付け、前記第２の環境パラメータは、前記ノードの加速度を特徴付ける、付記６に記載のシステム。
［付記１４］
前記第１の環境パラメータは、前記ノードの応力または歪みを特徴付け、前記第２の環境パラメータは、前記ノードの加速度を特徴付ける、付記６に記載のシステム。
［付記１５］
前記第１の環境パラメータは、第１の周波数で前記ノードを通って伝搬する第１の音波を特徴付け、前記第２の環境パラメータは、前記ノードの衝撃、振動、加速度、速度、および圧力のうちの１つを特徴付ける、付記６に記載のシステム。
［付記１６］
前記第１の環境パラメータは、前記ノードにおける燃料の量を特徴付け、前記第２の環境パラメータは、前記ノードの加速度を特徴付ける、付記６に記載のシステム。
［付記１７］
前記第１の環境パラメータは、前記ノードの本体の迎角を特徴付け、前記第２の環境パラメータは、前記ノードの前記本体の周りのフローストリームの速度を特徴付ける、付記６に記載のシステム。
［付記１８］
前記第１の環境パラメータは、前記ノードに対する流体のよどみ温度を特徴付け、前記第２の環境パラメータは、前記ノードに対する前記流体のよどみ圧を特徴付ける、付記６に記載のシステム。
［付記１９］
前記第１の環境パラメータは、前記ノードに関する燃料の質量流量を特徴付け、前記第２の環境パラメータは、前記ノードに関する前記燃料の位置、速度、および加速度のうちの少なくとも１つを特徴付ける、付記６に記載のシステム。
［付記２０］
前記第１の環境パラメータは、前記ノードの磁場の方位を特徴付け、前記第２の環境パラメータは、前記ノードの位置または方位を特徴付ける、付記６に記載のシステム。
［付記２１］
前記第１の環境パラメータは、前記ノードの磁場の方位を特徴付け、前記第２の環境パラメータは、前記ノードの位置または方位を特徴付け、前記一組の環境センサのうちの第３の環境センサが、時間を特徴付ける第３の環境パラメータを測定する、付記６に記載のシステム。
［付記２２］
一組の環境パラメータは、３軸加速度計を含み、前記複数の相関する環境パラメータは、３つの別個の軸における前記ノードの加速度を含み、前記物理環境認証器は、前記３つの別個の軸における前記ノードの前記加速度が所定の持続時間の間の微小重力に対応する場合、データへのアクセスを許可する、付記１に記載のシステム。
［付記２３］
前記一組の環境センサのうちの所与の環境センサは、前記ノードから物理的に分離されており、前記所与の環境センサからのデータは、前記物理環境認証器に無線により送信される、付記１に記載のシステム。
［付記２４］
前記一組の環境センサの各環境センサは、同じ環境パラメータを測定する、付記１に記載のシステム。
［付記２５］
前記物理環境認証器は、前記複数の相関する環境パラメータの各々をさらにスコア付けし、前記物理環境認証器は、Ｍ個（Ｍは２以上の整数）の相関する環境パラメータに関するスコアが対応する閾値スコアを満たす場合、およびＮ個（Ｎは１以上の整数）の相関する環境パラメータに関するスコアが対応する閾値スコア未満である場合、データへのアクセスを許可する、付記１に記載のシステム。
［付記２６］
前記物理環境認証器は、前記ノードが前記認可された環境で動作していることを示す前記複数の相関する環境パラメータに応答して、暗号化された形式のデータを復号化するために使用可能な秘密鍵へのアクセスを許可する、付記１に記載のシステム。
［付記２７］
機械実行可能命令を有する非一時的な機械可読媒体であって、前記機械実行可能命令は、物理環境認証器を含み、
前記物理環境認証器は、
データへのアクセスの要求をノードから受信し、
前記要求に応答して、一組の環境センサから前記ノードの複数の環境パラメータを特徴付けるデータをキャプチャし、
複数の相関する環境パラメータを互いに比較し、かつ／または閾値と比較し、ここで、前記複数の相関する環境パラメータの少なくとも一部は、前記一組の環境センサからの前記データに基づいており、前記一組の環境センサの各々からの前記複数の相関する環境パラメータが、前記ノードが認可された環境で動作していることを示す場合、データへのアクセスを認可し、前記複数の相関する環境パラメータのうちの少なくとも１つが、前記ノードが前記認可された環境で動作していないことを示す場合、データへのアクセスを拒否する、非一時的な機械可読媒体。
［付記２８］
前記物理環境認証器が修正されていないことを確認するためのトラステッドブートを実行するトラストサーバのルートをさらに備える、付記２７に記載の非一時的な機械可読媒体。
［付記２９］
前記物理環境認証器は、復号化されたデータを前記ノード上のコンピューティングプラットフォームに提供する、付記２７に記載の非一時的な機械可読媒体。
［付記３０］
前記一組の環境センサのうちの第１の環境センサは、第１の環境パラメータを測定し、前記一組の環境センサのうちの第２の環境センサは、前記第１の環境パラメータとは別の第２の環境パラメータを測定する、付記２７に記載の非一時的な機械可読媒体。
［付記３１］
前記一組の環境センサのうちの所与のセンサは、前記ノードから物理的に分離されており、前記所与の環境センサからのデータは、前記物理環境認証器に無線により送信される、付記２７に記載の非一時的な機械可読媒体。
［付記３２］
前記一組の環境センサのうちの少なくとも２つの環境センサは、同じ環境パラメータを測定する、付記２７に記載の非一時的な機械可読媒体。
［付記３３］
前記一組の環境センサのうちの第１の環境センサは、第１の環境パラメータを測定し、前記一組の環境センサのうちの第２の環境センサは、前記第１の環境パラメータとは別の第２の環境パラメータを測定する、付記２７に記載の非一時的な機械可読媒体。
［付記３４］
前記物理環境認証器は、複数の環境パラメータの各々が相関するように、前記複数の環境パラメータのうちの１つまたは複数を変換、フォーマット化、および／または融合する、付記２７に記載の非一時的な機械可読媒体。
［付記３５］
前記物理環境認証器がデータへのアクセスを許可することに応答して、暗号エンジンは、秘密鍵を使用して暗号化されたデータを復号化する、付記２７に記載の非一時的な機械可読媒体。
［付記３６］
環境検証に基づいてデータへのアクセスを制御するための方法であって、
セキュアコンピューティングプラットフォーム上で実行される物理環境認証器が、ノードからデータへのアクセスの要求を受信するステップと、
前記物理環境認証器が、前記要求に応答して、一組の環境センサから前記ノードの複数の環境パラメータを特徴付けるデータをキャプチャするステップと、
前記物理環境認証器が、複数の相関する環境パラメータを互いに比較し、かつ／または閾値と比較し、ここで、前記複数の相関する環境パラメータの少なくとも一部は、前記一組の環境センサからのデータに基づいており、前記一組の環境センサの各々からの前記複数の相関する環境パラメータが、前記ノードが認可された環境で動作していることを示す場合、データへのアクセスを許可し、前記複数の相関する環境パラメータのうちの少なくとも１つが、前記ノードが前記認可された環境で動作していないことを示す場合、データへのアクセスを拒否するステップと、を含む方法。
［付記３７］
前記一組の環境センサのうちの１つまたは複数から提供されたデータを変換および／またはフォーマット化して、前記複数の相関する環境パラメータを形成するステップをさらに含む、付記３６に記載の方法。
［付記３８］
前記一組の環境センサのうちの第１の環境センサは、第１の環境パラメータを測定し、前記一組の環境センサのうちの第２の環境センサは、前記第１の環境パラメータとは別の第２の環境パラメータを測定する、付記３６に記載の方法。
［付記３９］
前記セキュアコンピューティングプラットフォームの暗号エンジンが、データへのアクセスが許可されたことに応答して、秘密鍵を使用して暗号化された形式のデータを復号化するステップをさらに含む、付記３６に記載の方法。
以下に、上記実施形態から把握できる技術思想を付記として記載する。
［付記１］
環境検証に基づいてデータへのアクセスを制御するためのシステムであって、
機械実行可能命令を有する非一時的メモリと、
機械可読命令にアクセスするための処理ユニットと、を備え、前記機械可読命令は、物理環境認証器を含み、
前記物理環境認証器は、
一組の環境センサから環境内のノードの複数の環境パラメータを特徴付けるデータを受信し、
複数の相関する環境パラメータを互いに比較し、かつ／または閾値と比較し、ここで、前記複数の相関する環境パラメータの少なくとも一部は、前記一組の環境センサからの前記データに基づいており、前記複数の相関する環境パラメータが、前記ノードが認可された環境で動作していることを示す場合、データへのアクセスを許可し、前記複数の相関する環境パラメータが、前記ノードが前記認可された環境で動作していないことを示す場合、データへのアクセスを阻止する、システム。
［付記２］
前記物理環境認証器が修正されていないことを確認するためのトラステッドブートを実行するトラストサーバのルートをさらに備える、付記１に記載のシステム。
［付記３］
前記物理環境認証器は、暗号エンジンから復号化されたデータを受信し、前記復号化されたデータを前記ノードに提供する、付記１に記載のシステム。
［付記４］
前記一組の環境センサは、特定用途向け集積回路（ＡＳＩＣ）チップ上に集積されている、付記１に記載のシステム。
［付記５］
前記物理環境認証器は、前記一組の環境センサの第１の環境センサから提供された第１の環境パラメータを、前記一組の環境センサの第２の環境センサから提供された第２の環境パラメータを特徴付けるために使用された測定単位に変換および／またはフォーマット化して、前記複数の相関する環境パラメータを形成する、付記１に記載のシステム。
［付記６］
前記一組の環境センサの第１の環境センサは、第１の環境パラメータを測定し、前記一組の環境センサの第２の環境センサは、前記第１の環境パラメータとは別の第２の環境パラメータを測定する、付記１に記載のシステム。
［付記７］
前記第１の環境パラメータは、前記ノードに加えられる剪断力であり、前記第２の環境パラメータは、前記ノードの温度である、付記６に記載のシステム。
［付記８］
前記第１の環境パラメータは、前記ノードの加速度であり、前記第２の環境パラメータは、前記ノードによって消費される燃料の量である、付記６に記載のシステム。
［付記９］
前記第１の環境センサは、全地球航法衛星システム（ＧＮＳＳ）受信機であり、前記第２の環境センサは、慣性測定ユニット（ＩＭＵ）である、付記６に記載のシステム。
［付記１０］
前記第１の環境センサは、全地球航法衛星システム（ＧＮＳＳ）受信機であり、前記第２の環境センサは、加速度計である、付記６に記載のシステム。
［付記１１］
前記第１の環境センサは、前記ノードの加速度を測定する加速度計であり、前記第２の環境センサは、質量流量計、温度センサ、および圧力センサのうちの１つである、付記６に記載のシステム。
［付記１２］
前記第１の環境センサは、前記ノードの加速度を測定する加速度計であり、前記第２の環境センサは、前記ノードの表面の変形を測定する変形メータである、付記６に記載のシステム。
［付記１３］
前記第１の環境パラメータは、前記ノードの衝撃または振動を特徴付け、前記第２の環境パラメータは、前記ノードの加速度を特徴付ける、付記６に記載のシステム。
［付記１４］
前記第１の環境パラメータは、前記ノードの応力または歪みを特徴付け、前記第２の環境パラメータは、前記ノードの加速度を特徴付ける、付記６に記載のシステム。
［付記１５］
前記第１の環境パラメータは、第１の周波数で前記ノードを通って伝搬する第１の音波を特徴付け、前記第２の環境パラメータは、前記ノードの衝撃、振動、加速度、速度、および圧力のうちの１つを特徴付ける、付記６に記載のシステム。
［付記１６］
前記第１の環境パラメータは、前記ノードにおける燃料の量を特徴付け、前記第２の環境パラメータは、前記ノードの加速度を特徴付ける、付記６に記載のシステム。
［付記１７］
前記第１の環境パラメータは、前記ノードの本体の迎角を特徴付け、前記第２の環境パラメータは、前記ノードの前記本体の周りのフローストリームの速度を特徴付ける、付記６に記載のシステム。
［付記１８］
前記第１の環境パラメータは、前記ノードに対する流体のよどみ温度を特徴付け、前記第２の環境パラメータは、前記ノードに対する前記流体のよどみ圧を特徴付ける、付記６に記載のシステム。
［付記１９］
前記第１の環境パラメータは、前記ノードに関する燃料の質量流量を特徴付け、前記第２の環境パラメータは、前記ノードに関する前記燃料の位置、速度、および加速度のうちの少なくとも１つを特徴付ける、付記６に記載のシステム。
［付記２０］
前記第１の環境パラメータは、前記ノードの磁場の方位を特徴付け、前記第２の環境パラメータは、前記ノードの位置または方位を特徴付ける、付記６に記載のシステム。
［付記２１］
前記第１の環境パラメータは、前記ノードの磁場の方位を特徴付け、前記第２の環境パラメータは、前記ノードの位置または方位を特徴付け、前記一組の環境センサのうちの第３の環境センサが、時間を特徴付ける第３の環境パラメータを測定する、付記６に記載のシステム。
［付記２２］
一組の環境パラメータは、３軸加速度計を含み、前記複数の相関する環境パラメータは、３つの別個の軸における前記ノードの加速度を含み、前記物理環境認証器は、前記３つの別個の軸における前記ノードの前記加速度が所定の持続時間の間の微小重力に対応する場合、データへのアクセスを許可する、付記１に記載のシステム。
［付記２３］
前記一組の環境センサのうちの所与の環境センサは、前記ノードから物理的に分離されており、前記所与の環境センサからのデータは、前記物理環境認証器に無線により送信される、付記１に記載のシステム。
［付記２４］
前記一組の環境センサの各環境センサは、同じ環境パラメータを測定する、付記１に記載のシステム。
［付記２５］
前記物理環境認証器は、前記複数の相関する環境パラメータの各々をさらにスコア付けし、前記物理環境認証器は、Ｍ個（Ｍは２以上の整数）の相関する環境パラメータに関するスコアが対応する閾値スコアを満たす場合、およびＮ個（Ｎは１以上の整数）の相関する環境パラメータに関するスコアが対応する閾値スコア未満である場合、データへのアクセスを許可する、付記１に記載のシステム。
［付記２６］
前記物理環境認証器は、前記ノードが前記認可された環境で動作していることを示す前記複数の相関する環境パラメータに応答して、暗号化された形式のデータを復号化するために使用可能な秘密鍵へのアクセスを許可する、付記１に記載のシステム。
［付記２７］
機械実行可能命令を有する非一時的な機械可読媒体であって、前記機械実行可能命令は、物理環境認証器を含み、
前記物理環境認証器は、
データへのアクセスの要求をノードから受信し、
前記要求に応答して、一組の環境センサから前記ノードの複数の環境パラメータを特徴付けるデータをキャプチャし、
複数の相関する環境パラメータを互いに比較し、かつ／または閾値と比較し、ここで、前記複数の相関する環境パラメータの少なくとも一部は、前記一組の環境センサからの前記データに基づいており、前記一組の環境センサの各々からの前記複数の相関する環境パラメータが、前記ノードが認可された環境で動作していることを示す場合、データへのアクセスを認可し、前記複数の相関する環境パラメータのうちの少なくとも１つが、前記ノードが前記認可された環境で動作していないことを示す場合、データへのアクセスを拒否する、非一時的な機械可読媒体。
［付記２８］
前記物理環境認証器が修正されていないことを確認するためのトラステッドブートを実行するトラストサーバのルートをさらに備える、付記２７に記載の非一時的な機械可読媒体。
［付記２９］
前記物理環境認証器は、復号化されたデータを前記ノード上のコンピューティングプラットフォームに提供する、付記２７に記載の非一時的な機械可読媒体。
［付記３０］
前記一組の環境センサのうちの第１の環境センサは、第１の環境パラメータを測定し、前記一組の環境センサのうちの第２の環境センサは、前記第１の環境パラメータとは別の第２の環境パラメータを測定する、付記２７に記載の非一時的な機械可読媒体。
［付記３１］
前記一組の環境センサのうちの所与のセンサは、前記ノードから物理的に分離されており、前記所与の環境センサからのデータは、前記物理環境認証器に無線により送信される、付記２７に記載の非一時的な機械可読媒体。
［付記３２］
前記一組の環境センサのうちの少なくとも２つの環境センサは、同じ環境パラメータを測定する、付記２７に記載の非一時的な機械可読媒体。
［付記３３］
前記一組の環境センサのうちの第１の環境センサは、第１の環境パラメータを測定し、前記一組の環境センサのうちの第２の環境センサは、前記第１の環境パラメータとは別の第２の環境パラメータを測定する、付記２７に記載の非一時的な機械可読媒体。
［付記３４］
前記物理環境認証器は、複数の環境パラメータの各々が相関するように、前記複数の環境パラメータのうちの１つまたは複数を変換、フォーマット化、および／または融合する、付記２７に記載の非一時的な機械可読媒体。
［付記３５］
前記物理環境認証器がデータへのアクセスを許可することに応答して、暗号エンジンは、秘密鍵を使用して暗号化されたデータを復号化する、付記２７に記載の非一時的な機械可読媒体。
［付記３６］
環境検証に基づいてデータへのアクセスを制御するための方法であって、
セキュアコンピューティングプラットフォーム上で実行される物理環境認証器が、ノードからデータへのアクセスの要求を受信するステップと、
前記物理環境認証器が、前記要求に応答して、一組の環境センサから前記ノードの複数の環境パラメータを特徴付けるデータをキャプチャするステップと、
前記物理環境認証器が、複数の相関する環境パラメータを互いに比較し、かつ／または閾値と比較し、ここで、前記複数の相関する環境パラメータの少なくとも一部は、前記一組の環境センサからのデータに基づいており、前記一組の環境センサの各々からの前記複数の相関する環境パラメータが、前記ノードが認可された環境で動作していることを示す場合、データへのアクセスを許可し、前記複数の相関する環境パラメータのうちの少なくとも１つが、前記ノードが前記認可された環境で動作していないことを示す場合、データへのアクセスを拒否するステップと、を含む方法。
［付記３７］
前記一組の環境センサのうちの１つまたは複数から提供されたデータを変換および／またはフォーマット化して、前記複数の相関する環境パラメータを形成するステップをさらに含む、付記３６に記載の方法。
［付記３８］
前記一組の環境センサのうちの第１の環境センサは、第１の環境パラメータを測定し、前記一組の環境センサのうちの第２の環境センサは、前記第１の環境パラメータとは別の第２の環境パラメータを測定する、付記３６に記載の方法。
［付記３９］
前記セキュアコンピューティングプラットフォームの暗号エンジンが、データへのアクセスが許可されたことに応答して、秘密鍵を使用して暗号化された形式のデータを復号化するステップをさらに含む、付記３６に記載の方法。
【国際調査報告】