JP2022527031A - 高度な短距離通信アーキテクチャのセキュリティ - Google Patents

Abstract

変調されたアクティブセンサの波形は、自律的または半自律的な動作環境において、システム内で意思決定コンピュータにデータを伝送するために使用される。変調により、多数の帯域内信号が存在する場合に異なる波形が生成される。波形のコンテンツは、ペアになった送信機と受信機との間で共有され、エコーのデータコンテンツを検証する。可変データは、システム内のプロセッサによって制御される変調パターンであり、受信機におけるマッチングパターンテストにより、重要な自律プロセスに入るデータが選択される。一致するエコーは、セキュアな制御通信である。受信機におけるシステムの送信機の変調の検証により、道路上、工場内、オフィス、家庭環境、持ち運び可能なコンピュータにおけるロボットシステムの自律動作の安全性が高まる。また、これらのセキュアで利用されていないリソースは、セキュアな通信が確立されると、主要機能に対するリスクなく、安全に集約および再利用することができる。

Description

関連出願の相互参照
本発明は、２０１９年４月３日に出願された仮特許出願第６２／８２８,７５６号に基
づくものであり、その利益を主張する。

一実施形態では、本発明は、送信機と関連する受信機との間のシステムのデータリンクを、同一場所に配置されたペアとしてセキュアにする方法である。送信機によって送信される一意に変調された波形は、エコーとして受信機に反射される。

自律動作は、社会において必須ではないにしても一般的となり、自律動作におけるコンピューティングシステムに対するさまざまな脅威が顕在化している。コンピュータは、人間が想定できるあらゆる新規の用途において互いに連携している。製品の安全性について、種々の挑戦において重要な分岐点にあることは、人間によって行われてきた意思決定や行動がロボットによりなされることを見れば明白である。ロボットアクションの背後にあるコンピューティングの信頼性は、一般的なテーマである。道路上の自律運転車両は安全とみなされているが、本当に安全であるのか？コンピュータの指示で制御されるアクチュエータは本当にセキュアであるのか？倉庫、とりわけ新設された設備における運営において、人間の代わりにロボット作業が普及している。近年の報告によれば、セキュリティが依然として完全に解決されていない懸念事項である。

コンピュータのセキュア化の試みは大いに進展してきたが、不正な存在も顕在化している。米国特許第９,７４９,３４２号では、独立した外部センサで機能を監視することによって、コンピューティングシステム上の不正なアクティビティを検出する。米国特許第１０,４１９,１３１では、通信リンクを測定して許可されたユーザによる認証を要求することによって、認証がインターネットおよびコンピュータの両方から隔離され、不正なアクティビティを阻止する。脅威や悪影響を及ぼす動作は、自律動作などの、単純に接続されたコンピューティングシステムの範囲を超える環境において対処される必要がある。不正なコード変更や不正な入力データに起因して、自律動作に対するコンピュータ処理の脅威が生じる。

車両の完全自律化はこの数十年にわたって議論されてきており、現在では、路上試験が行われている段階にある。ＳＡＥ（Society of Automotive Engineers）は、純粋なマニ
ュアル（レベル０またはＬ０）から、ヒューマンインタフェースが存在しなくなる完全な自律（レベル５またはＬ５）までの、自律運転車両に対する世界共通の定義を確立している。多くの道路上のＬ２車両は、運転者支援の車両であり、通常のシナリオ内であれば多かれ少なかれ動作する。Ｌ５のジオフェンスされた（境界が規定された範囲）のタクシーサービスは、いくつかの都市で利用可能である。

産業用ロボットには、長い歴史がある。オフィスのフロア上にメールサービス用の磁気テープ経路が貼られ人間がロボットを意識せざるをえなかったものが、今やロボット配送システムに姿を変えている。

同様に、困難な作業（大きさ、重さ、あるいは他の要素の面で困難な作業）のためのロボットアシスタントを有する工場も歓迎されている。倉庫運営においては、人手のアシスタントは、人間に変わるものに置き換わっている。

黎明期におけるロボットへの転換は、「通常のもの」として受け入れられた。例を挙げ
ると、キャッシュディスペンサ、ガソリンスタンドにおけるセルフサービス、食料品店などがある。これらの例は、依然として顧客に対する人間のやり取りがある。通路を歩いてショッピングすることのない雑貨店の「ピックアップ」は、限定的だが利用可能である。また、検出装置／送信装置がコンピュータに接続され、店舗内の通路を移動しながら商品を「チェックアウト」することで商品を販売する雑貨店もある。

人間主体のシナリオにおけるロボットの利用の実現が、家、学校、工場、オフィスなど場所を選ばずに達成されている。悪質な脅威がより大きくなり増加していることから、人間や他の価値ある資産を保護するべく人間とロボットの関わり合いを保護することは、より複雑になっている。しかしながら、自律動作など、人間がロボットとの関わり合いに気付くことがなく、認証目的のためにロックアウトされる可能性がある状況では、更なる段階のセキュリティが欠かせない。

より小型でより高性能のコンピューティングシステムは、グローブ、研究メッシュネットワークのチーム、クラウドソースコンピューティングなどをポピュレートして利用する。多数の車両は、計算能力を提供し、たいていはこれらのシステムはアイドル状態である。

変調されたアクティブセンサ波形は、システム内で、自律的または半自律的な動作環境において、データを意思決定コンピュータに伝送するために使用される。多数の帯域内信号が存在する場合、変調により異なる波形が生成される。波形の内容は、組にされた送信機と受信機との間で共有され、エコーのデータ内容が検証される。可変データは、システム内のプロセッサによって制御される変調パターンであり、受信機における整合パターンテストによって、どのデータが重要な自律プロセスに入るかが選択される。マッチングされたエコーによって、制御された通信が保証される。受信機におけるシステムの送信機変調の検証により、道路や工場のロボットシステムや、オフィスや家などの環境における持ち運び可能なコンピュータでの自律動作のセキュリティが向上する。また２次的には、安全な通信が確立されると、これらの安全で使われていないリソースは、主要機能にリスクを与えることなく安全に集約および再配分することが可能である。

一実施形態では、本発明は、送信機と関連する受信機との間のシステムのデータリンクを、同一場所に配置されたペアとして固定する方法である。送信機によって送信される一意に変調された波形は、エコーとして受信機に反射される。固有の変調された波形は、動的データから構築される。マッチングフィルタは、伝送された一意的に変調された波形の保存されたコピーを、受信機が収集したエコーと比較し、静止オブジェクトおよび移動オブジェクトからの反射による予想される変化を考慮する。マッチするエコーは、送信機からであり、２次発信源からではなく、意思決定の自律アルゴリズムのための安全な入力を提供する。

第２の実施形態では、本発明は、多数の独立したシステムの送信機と各送信機に関連付けられた受信機を相関するペアとして送信機と受信機の間の複数のデータリンクをセキュアにする方法である。任意のペアの送信機によって送信された個々の一意に変調された波形は、エコーとしてペアの受信機に反射される。一意の変調された波形は、動的システムデータから構築され、マッチングフィルタは、個々の送信機によって送信される一意の変調信号の各個々の波形の格納されたコピーを、ペアにされた受信機の収集されたエコーと比較し、静止する物体および移動する物体からの反射に起因する予想される変化を考慮する。マッチするエコーは、ペアの受信機に関連付けられたペアの送信機からのものであり、幾つかの２次発信源からではなく、集合的に、多くの個々のマッチするペアは、意思決
定アルゴリズムに対する複数のセキュアな入力を提供する。

第３の実施形態では、本発明は、単一のシステムからのパッシブ信号とアクティブ信号とを結合してコンポジット信号を形成する方法であり、アクティブコンポーネントのデータはパッシブコンポーネントデータによって検証される。アクティブデータは、意思決定アルゴリズムのための安全な入力を提供するシステム内の自律決定プロセスに渡される。

本発明の方法で使用される変調アクティブセンサの波形を示す図である。

アクティブ短距離レーダーおよびＬｉＤＡＲ、ならびに他の波長における同様のシステムに適用される変調技術は、レーダーまたはＬｉＤＡＲの利用を超えて、物体に対する範囲・相対速度・角度を決定するための広範な使用を提供する製品を生み出す。

図は、本発明の方法で使用される変調アクティブセンサの波形を示す。波形は、システム内でデータを自律的または半自律的な動作環境にある意思決定コンピュータに伝達するために使用される。変調を使用して、多数の離散的な帯域内信号が存在することを可能にする異なる波形を作成することができる。

第１の製品は、システム内データのいくつかの側面がシステム外のオブジェクト（オブジェクトのレーダーエコー）を表す、自律制御をサポートするために使用されるセキュアなシステム内通信である。従来のレーダーまたはＬｉＤＡＲ製品とは異なり、この波形が示すセキュリティは、基礎となる製品、車両自律運転に対応するために使用される。レーダーまたはＬｉＤＡＲデータが信頼できない場合、それらのデータに基づく結果として生じる動作も信頼できない。変調検証テストを従来のテスト（範囲、ドップラー、角度）に追加することにより、データが破損しないことが保証される。さらに、受信機における変調エコーパターンテストに失敗するレーダーまたはＬｉＤＡＲデータは、自律運転システムから除外される。自律センサスイートには、アクティブセンサの２次的な検証源としてパッシブセンサが含まれる。

第２の製品は、自律機能のない自己内蔵型システム内制御である。ファクタなどのシステム全体が変調レーダーまたはＬｉＤＡＲと統合されるとき、工場における設備の動作を確保するためのさらなる機能的利益が生じる。機械から機械、または機械から人間への制御は、単一の変調送信機／受信機のペアまたは複数の変調送信機／受信機のペアで固定することができる。

別の製品は、状況認識のためのデータのシステム間転送である。道路上の第１の車両が別の車両のレーダーまたはＬｉＤＡＲを検出すると、変調に使用されるデータメッセージは、第１の車両の近隣の移動に有用である可能性がある。自律運転が道路上の車両に広まると、車両の挙動は、鳥の群れのように、集団の行動を予測し得るかのように動く。行動の予測には、現在の状況および将来の予想の見通しが必要であり、手動によるシグナルランプは、将来の行動のアラートとなる。有意なデータが他の車両から利用可能であり、機械が共有できれば、予測も可能である。車両間（システム間）通信が有効であれば、道路上の危険など単純なものは、その危険に遭遇した車両と効率よく共有することができる。Dedicated Short-Range Communications（ＤＳＲＣ）システムは、実際のところ車両に必須のものではない。Collision Avoidance Systems（ＣＡＳ）におけるレーダーおよびＬ
ｉＤＡＲは、一般的であり、これらのユビキタス要素に新しい機能を追加することで、容易に機能向上手段が提供される。

セキュアなシステム内通信は、システムによって生成される完全性を定義し、データのいくつかの態様は、非システムオブジェクトを表す。レーダーエコーは、システム内で開始および終了される波形によって生成されるデータであるが、システム内にない物体を表す。ランダム変調によって通信をセキュアにすることで、偽の／不正な波形が任意の物体に対する範囲／相対速度／角度を誤表示することを防ぐ。変調はユニークであり、ペアリングされた送信機／受信機およびどのシステムプロセッサが変調シーケンスを生成するために使用されるデータを制御したかだけが既知である。

システム内では、多くの通信は、パフォーマンスの遠隔測定や標準のアクチュエータ機能（ウィンドウの上下）など、データセントリックである。偽の／不正な信号の結果としてのパフォーマンスにおける意図しない動作または機能的な変化を防止することは、変調リンク上で転送されるデータを任意の他の波形から分離することによって排除することができる。同様に、個々の送信機／受信機間の波形変調、または個々のペアリングされた送信機／受信機のグループは、変調において使用されるデータを生成した送信機／受信機およびシステムプロセッサを除き未知であり、偽の／不正な信号が動作を誘起しないようにする。

すべての送信機／受信機のペアがシステム内である場合、多層的な保護のための新しい手法を採用することができる。機構の作動（組立ライン上の物体）は、遠隔で（人間にとって安全な場所で）操作されるオーバーヘッドクレーンの遠隔制御装置などのヒューマンインタフェースを有する。人間は、遠隔制御装置を介して、遠隔制御装置の送信機／受信機が無線信号をいくつかの他のペアの送信機／受信機に転送するようにトリガし、追加のペアが信号を互いに有効化した場合にのみ、オーバーヘッドクレーンがオーバーヘッドクレーン機構にコマンドを実行する。作動中の送信機／受信機のペアの相対的幾何学的関係のテレメトリは、その時点において、ユニークであり、互いからの変調に含まれる。この工場では、商業専用ロケーションサービスが提供され、すべての機器の位置が特定される。

セキュアでないシステム間データもまた、変調された波形によって生成されるが、このシナリオでは、波形は、当該波形を処理したシステムの外部で生じる。これらのデータは、受信システムがデータを検証することができないためセキュアではないが、これらのデータは、環境を説明するのに有用であり得る。典型的な例は、道路上の車両の状況認識である。

コンピュータが自律的に動作している安全プロセスを構築する上で、自律動作を制御するコンピュータへのデータ入力を考慮する必要がある。自律制御システムへのすべての他のデータ入力から信頼できるデータを分離することは、短距離ワイヤレスレーダーやＬｉＤＡＲシステムを用いて達成することができる。送信機／受信機のペアのユニークな変調では、受信機が送信機の変調を定義するために使用されるデータの「コピー」を有するため、受信機が、そのペアの送信機から発信される信号を他のすべての帯域内信号と区別することができる。変調パターンは、他の送信機からデータを送信するのに「コピー」を使用すること（意図的に不正な行為）を防ぐために頻繁に変更されることが必要となる。

アクティブセンサの送信の波形を変調することにより、ペアにされた受信機によるデータのエコー検証が可能になる。多くの変調技術が知られている。レーダーおよびＬｉＤＡＲシステムは、単純な波形で動作し、場合によっては、これらの波形は変調されず、エコーはユニバーサル信号と効果的にペアリングされる。レーダーの場合、ユニバーサルチャープは、本質的に、振幅、位相、または他の信号変調を伴わない、ある開始周波数からある終了周波数までの周波数傾斜である。エコーは、飛行時間（これにより範囲が決まる）、ドップラーシフト（相対運動を規定する）、および角度についてチェックされる。Ｌｉ
ＤＡＲはレーダーとは多少異なるが、実質的に同じ距離、ドップラー、および角度能力を有する。ＬｉＤＡＲの一般的な変調は、データがパルス間の時間（クロック関数によって定義される）であるパルス位置である。

データ信頼のために、２つの定義された環境、すなわち、すべての波形のエコーが自律動作のシステム内に閉じ込められるイントラネットワークと、いくつかの波形が、それらのエコーを生成するために、自律動作のシステムの外側の外部表面と相互作用するイントラネットワークとがある。外部の波形エコーが許可されると、受信機は、潜在的に、同じ外部世界のインターフェースを共有する同様のシステムに対して同様の機能を実行する追加の帯域内信号を検出する。外部の波形からのこれらの追加の帯域内信号は、エコーまたは反射されなかった信号（未知の送信機とシステム受信機との間の直接の見通し線）であり得る。

閉じ込められたシナリオの例としては、固定式や可動式の機械が存在する工場である。それぞれの機械は、１つ以上の送信機／受信機を有し、データは、機械／工場に内蔵されたローカルプロセッサによって定義される。データは、信頼できる様々なネットワーク内ノード間で送信される。データは不正に変更されていない。この場合、建物が比較的大きな物理的寸法を有することで、同様の技術を使用する近くのシステムから受ける可能性が高い迷走帯域内エネルギー（stray in-band energy）を受ける可能性がある。迷走信号（stray signal）は、システム受信機によって検出されないように意図的に減衰される。壁または窓の設備による受信機のバッフルを含む種々の減衰対策が知られている。

自律運転は、自動車の内部のような小さな範囲内に制限できる。車両は工場と比較して小型であるが、地方の道路環境では、同じ技術を使用する他の車両が多数存在する。

Collision Avoidance Systems（ＣＡＳ）における現在のレーダー／ＬｉＤＡＲ送受信
機のペアは、数百メートルなどの範囲で設計され、工場設定にとって十分であり、自動車内に十分である。対応するレーダーおよびＬｉＤＡＲは、ペアの送信機／受信機の中心的役割を担うが、他の任意のアクティブセンサも可能である。

従来の自動車用ＣＡＳは、波形の反射を発生させる外面の例である。

自律データの信頼性は、データのフィールド内で変更パターンを有するワイヤレス送信機／受信機を使用するシステムにおいて確立することができ、変更パターンに対する制御は内部プロセスである。より高度な信頼シナリオでは、送信機／受信機のペアのグループが非常に実用的である。多様に変化するパターンに合わせてデータ信頼プロセスが設計されると、不正なデータを注入する試みを捕捉する可能性が高まる。

２種類のデータパターンが定義される。１つは固定メタデータであり、もう１つはデータ（システムが収集するテレメトリがデータ源となる）がパターンとなる場合である。ヘッダおよび他のオーバーヘッドビットはメタデータを表す。ヘッダ／オーバーヘッドビットは決定論的であり、メッセージの残りの部分にコンテキストの意味を提供する。残念ながら、これらのオーバーヘッドビットは、非常に決定論的であり、これは一般に、そのデータフィールドにおいてどの変更が生じるかに関してコピーまたは予測することができることを意味する。真のデータビットは、メッセージごとに一意に定義される。データビットは、サンプルごとに弱い関係を有し、前のメッセージのコピーを無駄にするために十分にランダムである。また、変化を予測することは困難である。マルチペアの送信機／受信機間のより複雑な関係は、予測不可能にし得る。

変調された波形のチェックは、ペアリングされた送信機から発信されるか、ペアリング
された送信機から発信されないかのいずれかとして、波形の発生源を直ちに分離することができる。このチェックは、「偽エコー」として使用されるコピーされたパルスを除外するためにパルスごとに十分な変動を有するデータを必要とする。「偽エコー」は、元のペアリングされた送信機の反射エコーの予想される属性を有する原点に送り返される波形として定義される。

７６～８１ＧＨｚ帯の典型的なレーダーチャープは、２ＫＨｚのパルス繰り返し率で、従来の手法を用いた変調により数百Ｍｂｐｓがサポートされる。参考として、ＤＳＲＣ（Dedicated Short-Range Communications）システムにおける７５ＭＨｚの帯域幅は、６～２７Ｍｂｐｓのデータに対応する。ＤＳＲＣのような業界の標準化は相互運用性にとって重要である。

本明細書の大部分はレーダー中心の説明に沿うものであるが、レーダーおよびＬｉＤＡＲの両方、ならびに発光ダイオード（ＬＥＤ）ならびに紫外線および赤外線波長を含むより新しい形態のフォトニック通信が適用される。

「中央」プロセッサに接続された単一の送信機／受信機のペアにおいて、プロセッサ（チップセット内の中央プロセッサまたはローカルプロセッサ）によって定義される可変データフィールドの寄与を表す変調データは、チャープを変調するために使用される。中央プロセッサがデータをどこで取得するかは重要ではない。チップセットは独自の処理を行い、「中央プロセッサ」ではないため、送信波形を受信したエコーにマッチングする処理は「オンチップ」で実行される。また、このオンチッププロセッサは、典型的な範囲、ドップラー、および角度の計算を実行する。

オンチッププロセッサが各チャープの４つの属性（パターンチェック、範囲、ドップラー、および角度）の処理が完了した後、受信信号の他のコンテンツを復号することができる。パターン内には情報データが存在する。変調のマッチングを含む４つすべての属性を満たすエコーについて、これらのデータは、任意の自律運転決定に寄与するものとして中央プロセッサに送信される。パターンマッチフィルタに失敗する波形については、波形は、何らかの方法でシステムのコンピュータにとって有用である可能性もあり有用でない可能性もある情報として処理される。前述の道路障害は、情報データの一例である。

レーダーは、光速で伝搬し、エコーは、ほとんどの距離ビンに対して、マイクロ秒未満で受信機に戻る。完全なチャープ持続時間（２ＫＨｚのパルス繰り返し数）は、約０．５ミリ秒の間持続する。２次受信機によるパルス列の検出（不正であると仮定）は単純であり、応答もまた単純であり、実際の２次受信機の位置よりも遠い物体の偽エコーを含み、これは、破損したデータを注入する時間を発生させる。しかし、ドップラーまたは角度では、それぞれのチェックは失敗する。

自動車における典型的な衝突回避システムは、全方位をカバーするアクティブセンサを有する。１つのセンサでも機能し得るが、複数のセンサを用いると偽信号発生が非実用的になる。ＣＡＳ（変調）を備える移動車両から何らかのランダムな距離にある単一の不正なレーダー源は、最初に、より長い範囲においていくつかのＣＡＳのＦｉｅｌｄ－ｏｆ－Ｒｅｇａｒｄの一部であり、範囲が近接すると、それまで重複していたＦｉｅｌｄ－ｏｆ－Ｒｅｇａｒｄの一部が重複しなくなる。不正なレーダー源のビーム内に存在するいずれのＣＡＳも、パターンテストが正常に機能しなくても、受信機によって収集されたエネルギーの一部に対して、いくつかのエコーテスト（範囲、ドップラー、角度）の失敗し続ける可能性がある。そのようなシナリオでは、受信機が、不正な信号または何らかの追加の信号によって引き起こされるＤｅｎｉａｌ－ｏｆ－Ｓｅｒｖｉｃｅ（ＤｏＳ）モードでない限り、元の波形が処理されている。この送信機／受信機のペアが車両自律運転にとって
重要である場合、車両は、ＤｏＳ自体を停止させるのに適切な動作を行う必要がある。

テレメトリを変調データとして供給する第２の目的は、いずれの車両の自律運転も損なうことなく、非制御データを情報として第２の車両に供給することである。各車両は、車両自体のレーダー信号を他のソースから分離することができる。

すべての電子制御ユニット（Electronic Control Unit；ＥＣＵ）からのテレメトリは
、波形の変調における「真のデータ」または可変データを満たすデータである。任意のサンプリングレートで収集された任意のセンサからのデータが、メインプロセッサ（またはプロセッサのカスケードシステムにおけるローカルスレーブプロセッサ）に接続する他の送信機／受信機のペアを介して車両のメインプロセッサに報告を返すと、多くのアクティブなセンサの波形に対するメインプロセッサの入力となる。

１つのシナリオでは、多くのペアはすべて、同じメインコンピュータ入力を使用して変調を定義する。別のシナリオでは、ペアは一意の変調を使用している。生のセンサデータは、多くのレーダーの利用可能な変調空間を満たすのには十分に速く収集されない。

典型的な道路車両は、１０～２０個のレーダーおよび／または自律運転をサポートするＬｉＤＡＲを有する。１つのオプションは、周波数ランプの一部をランダムにスキップすることである。別の手法は、他のデータ源からのメッセージを繰り返す外部データ源から収集されたビットを挿入することであり、これは、記録のフロック予測機会にとって非常に重要である。警告データが近くのシステムと共有されるとき、チェーンは、近接の関心領域の外側にシステムに警告するようにするができる。さらに別のオプションは、変調空間を擬似ランダム発生値で埋めることである。これらのオプションは例示にすぎず、完全または網羅的と見なすべきではない。すべてのチャープが変調される必要はなく、パターンは、複数のチャープ内のデータから作成されたものであってもよい。実際のところ、ＣＡＳレーダーおよびＬｉＤＡＲの製造者は、性能を提供し、統合契約者は、それらのサブシステム供給者と併せて規則を確立する。大部分のサブシステム供給者は、インテグレータ（車両製造者）に従う。自動車産業では、サブシステム供給者は電子制御ユニット（ＥＣＵ）の専門用語を用いる。同様のＥＣＵは、標準化を提供する多くの統合メーカー（主要な車両製造会社を意味する）によって使用される。

ＣＡＳレーダーおよび／またはＬｉＤＡＲは、非自動設計に開発されるため、他の機能性のロボットの場合、設計が柔軟であることで、市場へのカスタマイズが可能になる。固定構造および移動ユニットを有する工場内では、広範囲の制御されたシステムが組立ライン操作に統合され、数百から数千のレーダーが同時に作動することが可能である。ローカルのマスタプロセッサの制御下での選択的な送信機／受信機のペアは、ソース識別または波形のパターン、すなわち１００の異なるフィルタリング手法に基づいてデータをフィルタリングアウトすることができる。近接の機械は、チャープの他の部分に懸念のないスペクトルの領域を割り当てることができる。

家庭内の環境では、システムマスタ制御装置はコンピュータであってよく、電子機器が家の周りを移動すると、マスタは動的データ構造を選択する。２つの電子機器が他者のデータセキュリティを認識する必要はない。

一方、複数の送信機／受信機のペアが、データ源の真理値を確立することに関するより複雑な要件で、メッシュを構築するためにグループ化される場合は、複数のデータ源の波形を認識する必要がある。

例えば、道路上の車両は、他の車両及び道路標識や交通灯などのインフラストラクチャ
（他のシステム）に接続することができる。アクティブセンサ、レーダー、ＬｉＤＡＲを介した接続方法であれば、車内データをセキュリティで転送するために様々な変調技術が利用可能である。車両間データ転送は、定義上非セキュアである。単一の車両（システム）のセキュアな範囲を超える接続性が必要であり、非常に安全であり、それらの非セキュアなデータは、車両のアクチュエータの制御においてプロセッサにおいて決して許可されない点で安全が保証される。

レーダーおよびＬｉＤＡＲのようなアクティブシステムにおいて搬送波信号を変調するための従来の技術は、テスト可能なパターンを生成するための簡単かつ有効な手段を提供する。アクティブセンサの場合、これらのパターンは、インターネットプロトコル（ＩＰ）アドレスと、より新しいユニークな変数フィールドで以前の変数フィールドが置き換えられる前にユニークな変数フィールドとによく似た固定データフィールドを含むことができる。可変フィールドが作成されると、エコーが捕捉される際に、送信機／受信機のペアの送信サブシステムにコピーが提供され、送信機／受信機のペアのローカル受信機サブシステムに第２のコピーが比較のために提供される。変調された波形の可変部分には、可変であるように設計された情報コンテンツがある。ペアは、一般に、ＥＣＵ内の組み合わされた送信／受信モジュール内に配置される。したがって、両方とも、送信機データ構造コンテンツへのアクセスを有する。ペアの受信機によって取り込まれたエコーは、送信波形と比較される。他の送信機からの迷走エコーが捕捉され、他の送信機からのいくつか直接の見通し線の波形が検出され得るが、これらは比較テストに失敗するので、自律的な処理から除去される。

Ｆｉｅｌｄ－ｏｆ－Ｒｅｇａｒｄにおいて、任意の送信機パルスは、ペアになった受信機にエコーバックすることができ、直接の見通し線のデータを第２の受信機に提供することができ、または第２の受信機は、何らかのランダムな表面からのエコーを検出することができる。第２の受信機は、マッチングテストを実行するために元の波形を有してもよいし有さなくてもよい。受信機が可変データフィールドのコンテンツを生成したプロセッサに接続されているかどうかは、可変フィールド内のデータに生じる結果に重要である。

変調のためのデータテストを記述する簡単な方法は、ソースおよび受信機によって信号ストリームを分解することである。

ペアの受信機がそのペアの送信機のエコーを収集している場合、受信機は、各波形の変調を完全に認識している。エコー中のすべてのデータが真理値データである。

別の（第２の）受信機が同じ車両上の異なる送信機／受信機のペアの第１の送信機からのエコーを収集する場合、２つの結果が生じうる。第２の受信機が同じ波形を有する場合、第２の受信機は、ペアリングされた送信機から来たかのようにデータを処理する。このシーケンスは、ペアリングされた第２の送信機エコーもまた処理されることになるので、混乱した効果をもたらす可能性がある。これらの送信が絶対的に同期しない限り、２つの波形は処理中に衝突する。同期している場合でも、エコー中の多くの物体に対する角度のわずかな差異のために、これらの２つの波形は、異常な結果をもたらす。第２の受信部は、第１のペアの送信部に対応付けられていないと、エコーは処理されても真理値データが生じない。

他のシナリオでは、車両の任意の受信機が収集する別の車両やインフラストラクチャ源から波形を収集し、これらはtuneに複数のデータチェックに失敗する。この場合、メタデータが異なり、可変データも異なる。これらの一致しない波形は一致した波形のデータチェックに成功しないので、それらの内容はプロセッサに移動して、データフィールドのチェックにより情報が取得される。

１台の自動車（システム）では、多くのアクチュエータがＥＣＵ（Electronic Control
Unit）により制御される。各ＥＣＵは、ＣＡＮ（Connected Area Network）と呼ばれる
有線システムを介して接続されている。

ＣＡＮおよびアクチュエータコントローラインターフェースをワイヤレスＣＡＳベースの送信機／受信機システムに置き換えることは、次の段階の論理的システム内セキュリティである。車両内データフィールドはローカルのＣＡＳプロセッサの制御下にあり、ローカルのＣＡＳプロセッサはマスタプロセッサの制御下にある。

単一のアクチュエータコントローラ内の送信機／受信機のペアがデータを送受信するとき、データフィールドの一部は動的な識別として使用されている。自己認識は、送信パルスの内容に対する再同調エコーの単純な受信機チェックである。ドップラーが存在しないので、エコーと送信元のパルスとの間の周波数は変化しない。追加のチェックは、車両内パルスに興味深い値を有する。第１に、セルフチェックは、エコーが送信された変調された波形のコピーであることを検証することができる。第２に、エコーは、非常に短い距離から車内（車両の物理的な境界を超える距離からのエコーを除去する）までである必要がある。第３に、エコーは、ドップラーがなく、車両の一部は、車両の他の一部に対して動いていない。最後に、エコーの角度は、設計によって予めきめられている。これらの単純なチェックの一部または全部は、エコーを模倣しようとする他の任意の送信機から到来する波形に対して失敗する。

レーダーのエコーのこれらの典型的なチェック以外に、車両内に追加のチェックを確立することができる。動的データフィールドがプロセッサによって収集された入力から作成されている場合、プロセッサは、動的データの要素を他のノード、送信機／受信機のペアと共有し、ノード間にメッシュを構築することができる。メッシュノードのためのアンテナの適切な位置合わせにより、（エコーとは対照的に）様々な順方向信号をメッシュ内の受信機によって収集することができる。純粋に幾何学的な解決策としては、距離、ドップラー、および角度の典型的なレーダーテストのすべてを使用するものが存在する。共有動的データが一般的であると、ＥＣＵ内の第１送信機は、第２のＥＣＵ内の第２送信機の検証ノードになる。動的データフィールドを生成することは、車両内通信システムにとって重要である。

メッシュノードが他のノードの動的信号を有効化し、それぞれが自身のパルスのエコーを有効化するのと同様に、信号は潜在的に意図しない受信機によって捕捉され得る。波形の動的データの内容が急速に変化していない場合、周囲内に存在し得る不正な外部ノードは、いくつかのチェックをパスする可能性がある。不正なノードの範囲は、ある車両ノードについて満たすことができるが、他の車両ノードにとっては誤りであり、ドップラーはゼロであり通過するが、角度はペアとの整列がない限り誤りである。優れた車両設計では、車両のノードのメッシュのうち、これらの自己整合性チェックは、車両内のランダムノードを検出する。車両内のホワイトリストされたアドレスと通信するローカルのセキュアプロセッサは、不正なノード用の固定フィールドデータを生成していない。割り当てられた各ノードに対して変化するノーダル入力を用いて、範囲、角度、および幾何学的形状の同じ技術を使用してソースを識別することによって、不正な信号が見つかり、その後の処理から除去される。

不正な波形が車両の外部から生じる場合、いくつかの自己整合性チェックは失敗する。第１に、不正なソースは、波形の動的部分を復号し、データコンテンツをリバースエンジニアリングするする必要がある。車両が多くのチャープに対して同じ動的データコンテンツを使用していると仮定すると、原則として、不正なチャープは、車両の受信機（送信機
／受信機のペアの受信機構成要素）においてパターンチェックをパスできる。しかしながら、次の動的パターン変化において、ペアにされた受信機は、ペアにされた送信機のチャープのエコーとしての信号と、および不正なソースからの（エコーではない）第２のチャープとしての信号を収集する。これらは不一致であり、不正なソースはフラグが付される。理想的には、動的パターンは、数チャープ以下にわたって存在するが、パターンが数千チャープ（通常、チャープ速度は数千／秒である）を持続しても、この不正なソースが障害をもたらすのは１秒未満である。障害は、後続の自己整合性チェックも回避された場合にのみ発生する。ドップラーは、不正な発生源または車両のいずれかの潜在的な動きを補正するために不正なチャープ発生源によって適切に調整される場合に偽造される。同様に、角度は１つのペアリングを満たす場合があるが、複数のペアリングを満たすことは物理的に不可能である。

通信を提供する車両間の波形はどうであるか？車両間通信の自己整合チェックが失敗するすべての受信機テスト波形に対して２次処理ステップが実行される。動的データは、それらのデータを生成した車両にとって有効であり、これは情報に価値があることを意味する。

シナリオ：右車線のドライバー１が、中央車線で先頭車両になろうとする。

Ｌｅｖｅｌ４ Ｓｏｃｉｅｔｙ ｏｆ Ａｕｔｏｍｏｔｉｖｅ Ｅｎｇｉｎｅｅｒ Ａｕｔｏｎｏｍｏｕｓ Ｖｅｈｉｃｌｅｓ（人間は依然として制御可能なレベル）。レベル５では、人間制御のインターフェース、ハンドルおよびペダルは存在しない。自律運転は、状態記述的であるが、ＣＡＳ（Collision Avoidance System）は、センサおよびプロセッサを含む一群のコンポーネントである。

一例として、他の自律運転車両にとって問題となる人間によるレベル４自立運転である。

インターステートハイウェイの３車線を走行する１６車両を想定し、左車線で５車両、中央車線で８車両、右車線で３車両があるとする。

左車線の５台の車両は、他の１１台の車両の後方に位置している。左車線の５台の車両は、他の１１台の車両よりも速く走行している。したがって、左車線の５台の車両については、他の１１台の車両との離間距離が減少している。この場合、左車線の先頭車両と中央車線の最後尾の車両との間には、３秒の初期離間距離がある。これは、約２５０フィートの距離に対応すると想定される。

残りの１１台の車両は、中央車線の８台の車両と右車線の３台の車両とにわかれ、すべて同じ速度（速さ）で走行する。１６台すべての車両では、それぞれアクティブＣＡＳがレベル４で独立的に動作しており、１秒未満の密な間隔で走行している。

車両は、右車線の車両１が先頭位置にあると識別され、右車線の並びの最後尾に車両３があると識別される。

中央車線には８台の車両Ｃ１～Ｃ８がある。

左車線には５台の車両Ｌ１～Ｌ５がある。

先頭車両は、各車線において、それぞれ時系列的に１番目である。中央車線および右車線の先頭車両は互いに平行であり、両車線の車両間の間隔は実質的に同じである。

各車両は、１８個のアクティブレーダーユニットを有し、そのうち５個がフロントバンパーに、５個がリアバンパーに、車両の両側にそれぞれ４個ずつ取り付けられている。各レーダーは、ユニークな識別子を有する。レーダーはすべて、同じ単一帯域７６～８１ＧＨｚで動作する。また、すべてのレーダーは、同じブランド、同じメーカーであり、信号の重なりを最大化し、最も高いノイズフロアを生成する。この例では、ＬｉＤＡＲまたはパッシブカメラは使用されていないが、多くのシナリオではそれらのセンサも含まれる。

各車両のＣＡＳセンサは何を検出するか？パルス（送信）は、１６台の車両のそれぞれ１８個の送信機から送出され、合計２８８個の別個の発信源が存在する。受信機は、ペアにされた送信機から戻るエコーと、受信機とペアにされていない２８７の発信源（ノイズ）からの他のパルスとを検出する。ペアリングされていない２８７の発信源の大部分は、ほとんどの受信機では検出されない。１８台の各車両について、車両から生じる変調を有するレーダーからのペア入力が、自律的決定の一環としてＣＡＳで分析される。２７０個の情報データ源も利用可能であり、これらの２７０個の情報データ源の大部分は、ほとんどの受信機では検出されない。しかしながら、迷走パルスが検出される時間の一部は、多くのマルチパス迷走が発生する機会でもある。

右車線の先頭車両について：
右車線（Ｒ１）の先頭車両は、車両前方には移動する車両がない。Ｒ１の５個のフロントバンパーレーダーの受信機は、道路のインフラストラクチャを表す静止物体からのエコーを検出し、これらのエコーには２つの潜在的な車両源、すなわち、右車線の先頭車両と中央車線の先頭車車両が存在する。中央車線および右車線におけるこれら２台の先頭車両からのレーダー反射以外に、任意のインフラストラクチャ源によって放射されるレーダー信号が検出される。それらの送信信号に一致するＲ１エコーは、自律処理のための安全なデータであり、他のすべての信号は、安全でないとみなされ、情報データ源として有用である。５個の前方レーダーに基づく自律動作は、固定されたインフラストラクチャ、道路端検出などの予め定義された位置に基づいて、車線制御を維持することを除き、何ら動作を示唆しない。しかしながら、車線制御は、主な決定入力として側方レーダーの入力を有する。

Ｒ１の側方レーダーは、自律的な意思決定に対して大きく異なる入力を提供している。右側のレーダーは、道路の右側に沿って物体の輪郭が変化することに起因する変化する外観、植物や人工構造物を有する。右側のレーダーへの重要な入力データは、車線端距離の予想と比較して、道路表面がどこで終わるかを示す戻りエコーである。左側レーダーは、中央車線に沿って走行する車両の近接物体エコーを生成する。これらの４つのレーダーは、それぞれ、それ自体の送信機からのエコーと、右車線の受信機と整列したそれぞれの中央車線の車両送信機からの直接信号とを受信している。これらのレーダー信号は整列されておらず、ビーム広がりは、車両の比較的近接した関係のために十分に広くない可能性がある。整合フィルタは、真のセキュアなエコーを自律処理に渡し、中央車線の車両入力を情報データとして使用する、これら２つの信号を区別する。自律動作は、車線間の境界に関して車両の車線間の分離を維持する。自動車線制御を無効にする任意の運転者の動作は、車両製造業者の設計に基づく警告となる。実際の手動のオーバーライドは、隣接する車両が、手動制御への安全な移行を可能にするのに十分な間隔を有するまで発生させるべきではない。

Ｒ１の５個のリアバンパレーダーは、車両１の送信機と車両１の受信機のペアへの５つの独立した安全な入力を生成し、車両２の送信機からの５つの非安全な受信機入力を生成する。安全でない情報データは、車両１内のアクチュエータを制御するために使用されるべきではない。

同様の評価は、１６台の車両のそれぞれについて論理的である。一意に、左車線の車両、すなわち、少し速く走行している車両は、中央車線の車両の次のクラスタを検出する右前方の視界を有する。右車線の車両は直視からは遮られる。しかしながら、共有情報データでは、左車線の車両（それらすべて）は、見ている右車線の車両から隠されていることを完全に認識している。

右車線および中央車線の車両の並びにはいくつかの選択肢が存在する。１つの選択肢は、他の車両の走行速度が遅く、手動運転の車両は中央車線の先頭位置に移動させることである。別の選択肢は、中央車線の８台の車両すべてを左車線に移動させ、手動運転の動作が安全に行われるよう中央車線をクリアにすることである。８台の車両が車線変更を行うことは、左車線の使用に関する知識を必要とする。より少ない台数の中央車線の車両を移動させることができ（場合によっては、最初の１台または２台、またはさらには３台）、中央車線の残りの車両は、手動運転に切替て車線変更を行う影響を回避するために速度が遅くなる。

では、車両のグループはどの程度迅速にグループの決定を行うことができるか？また、グループは決定をどのように把握するか？どのように実行に移すのか？あるいは、自動運転中の１台の車両は、他の手動で決定を行う車両と異なり、１台の車両が行う多数の決定を行うことができるか？不思議なことに、鳥は集団の移動決定マトリックスの鍵を握っているかもしれない。鳥の移動が手がかりの一部として使用され、動物学者のウェイン・ポッツによれば、グループ内で近い・遠いを把握することで予測を行っている。

その論理がレベル５の自律運転車両のグループ移動に埋め込まれる場合、隣接車両のデータが必要となる。これらのデータは、「情報データ」と称される。

情報データは、複数の機能を有し、第１に、隣接車両に関する目的情報を提供する。このシナリオでは、車線変更（右から中央へ）を望む運転者は、そのターンシグナルに触れたか、またはハンドルを左に切る。

すべての車両の後方レーダーは、１秒分後方を走行する車両を検出するが、これは右車線の先頭車両にとって重要である。車線変更するという明確な行動を取るとき、チャープのデータコンテンツが直ちに変化する。これらのデータは、車両が車線変更する予定である目的の明確なメッセージを提供する。これらのデータは、取るべき行動を探す鳥の行動によく似ている。

右車線の先頭車両は、１８個のレーダーすべてにおいてチャープを変更し、データフィールドの情報コンテンツセクションは、車線変更要求を反映する。各パルスの絶対時間は名目上０.０００５秒であり、車両は各パルスに対して約１／２インチ移動する。したが
って、多くのパルスが車両が数フィート移動する範囲内で生じる。有効な入力が情報データとして受け取られると、チャープのデータフィールドにおけるコンテンツ変更に反映される。これにより、他の車両の運転者が右側を高速で移動する車両について警告を受けることを可能にする。

右車線の車両１（乱暴な運転をする）の４台の運転者側のレーダーは、並走する中央車線の車両にｐｉｎｇを送信する。一方、各車両内のすべてのレーダーは、ある車両から次の車両へデイジーチェーンされた新しいデータを受信し、各車両についての判定が行われる。「情報データ」は、受信機が捕捉するものであるが、変調テストは失敗する。車両１の変調パターンは、他のすべての車両の受信機において変調パターンのチェックに失敗する。この例において、右車線の車両１の運転者がハンドルを動かすと、自車両のチャープ
に新しい動的データが生成され、自車両の受信機は真のデータとして受け入れる（車両１の送信機から生じる）。しかしながら、これらのデータを受信する右車線の車両２（Ｒ２）や中央車線の車両１（Ｃ１）では、情報を迅速に取得することが重要である。これらの新しいデータは、他の車両からの後続のチャープにおいて共有される。

実際には、右車線の車両１の運転者に左側に車両があることを警告音、光などで通知し、運転者が望むように車線を変更できないので、右車線から中央車線への車両の移動は自律運転機能により遅延される。この遅延は、レーダーにステータス更新を共有する時間を与える。

情報データは、右車線の先頭車両から直接の視認できない車両を含むすべての近接の車両によって収集され、これらの情報データは、右車線の先頭車両に最も近い車両から最も遠い車両へ再送される。一部の車両の自律的決定プロセスは、第２の動作をトリガし、次いで第３の動作をトリガする。

関連する１５台の車両のそれぞれにおける各決定は、続いて生じる状況に対処するために、自律的に生じた動作を中断させる。

単一の車両の内部通信は、いくつかの同時プロセスによってセキュアにされる。第１に、通信システムはワイヤレスであり、表面上ではワイヤレス手段として反直観的であり、任意の遠隔ノードがシステム全体に統合され得る。第２に、すべての通信が意図的に内側に向けられ、これは、外部が実際の無線信号を良好に受信できないことを意味する。また、車両の左側が右側に向かって信号を送信すると、一部が外部に逃げることから、反直観的である。高い指向性のアンテナにおける適切なバッフル（baffle）により、限られた電力のビームが遠くまで伝搬しない。

車両内の機能は、典型的には、窓を上下に動かしたり、電気モータとの間の電流を増加させたりするアクチュエータからなる。コントローラは、名目上電子制御ユニット（ＥＣＵ）と呼ばれる各固有の機能用に構築される。小型の送信機／受信機では、これらのＥＣＵ装置は、コマンドを実行するトリガとして複数の入力を有し、部分的に認証器として、またはＣＡＳ動的コンテンツを構築するメインプロセッサとして動作するプロセッサにデータを送り返すことができる。

適切なフィルタリングにより、受信機は、距離、相対速度、および信号源の角度などの単純な信号特性をテストすることができる。内部ソースについては、これらの値は絶対的に確定的である。距離は数フィートであり、１インチまで細分化され、相対速度はゼロであり、角度は相対位置によって定義される。レベル４の自律運転車両は、ＣＡＳ入力に基づいて臨界アクチュエータ（ブレーキ操舵、加速）制御を決定する。上記の例において、一部の車両は車線変更することがある。アクチュエータが有効な入力にのみ応答することを確実にするために、各アクチュエータは、コマンドのソースへの専用のワイヤレスリンクを有する送信機／受信機のペアを有する。

車線変更のシナリオでは、多数のＣＡＳレーダーからの真理値データを含む。アクションを実行する実際のコマンドは、これらのＣＡＳ出力のすべてを取り込むプロセッサから送信される。中央プロセッサは、各ＣＡＳの位置、およびプロセッサによって提供される内部動的データを含む送信機／受信機の各ペアからのチャープを定式化する内部コードを認識しており、アクチュエータは、すべてのＥＣＵを把握するプロセッサから命令を受けていることを意味する。

窓の上下などのレッサアクチュエータ（lessor actuator）は、トグルスイッチまたは
ボタンを移動させる人間からの入力を必要とする。アップ／ダウンスイッチは、タッチされると、ＣＡＳ送信機／受信機のペアを作動させ、このペアは次にいくつかの付随する送信機／受信機のペアをフラッディングし、それらのペアの各々は、範囲、速度、および角度と、付随する新しいパラメータ固定ジオメトリをテストする。この４ウェイのテストでは、たった１つの解を有するだけであり、したがって、外部の送信機／受信機のＣＡＳは、窓を不正に動かすことができない。

Claims (20)

1. 送信機と受信機との間のデータリンクをセキュアにする方法であって、
   変調されたアクティブセンサ波形を用いて、自律的または半自律的な動作環境において、データを意思決定コンピュータに伝送するステップ
   を含むことを特徴とする方法。
2. 多数の個別の帯域内信号を許可する個別の波形を、変調を用いて生成するステップをさらに含むことを特徴とする請求項１に記載の方法。
3. 前記送信機と前記受信機との間で前記個別の波形を共有し、エコーの前記データを検証するステップをさらに含むことを特徴とする請求項２に記載の方法。
4. 前記コンピュータが前記データを変調パターンに制御することを特徴とする請求項１に記載の方法。
5. 前記コンピュータが前記受信機のパターンを選択し、前記動作環境に入るデータを決定することを特徴とする請求項４に記載の方法。
6. 前記選択されたパターンは、セキュアな制御された通信であるマッチングされたエコーである、ことを特徴とする請求項５に記載の方法。
7. 前記選択されたパターンは、前記送信機の変調の検証である、ことを特徴とする請求項５に記載の方法。
8. 前記検証は、前記動作環境のセキュリティを高める、ことを特徴とする請求項７に記載の方法。
9. 前記検証するステップは、道路上、工場内、オフィス内、家庭内、持ち運び可能なコンピュータ内のロボットシステムのセキュリティを高める、ことを特徴とする請求項９に記載の方法。
10. 相関するペアとしての送信機と受信機との間のシステムデータリンクをセキュアにする方法であって、前記送信機から変調された波形を送信し、前記受信機で前記波形を受信するステップを含み、前記受信機は前記波形をエコーとして前記送信機に反射し、前記変調された波形は動的データから構築される、ことを特徴とする方法。
11. マッチングフィルタにより、前記送信された波形の保存されたコピーを前記受信機からの前記エコーと比較する、ことを特徴とする請求項１０に記載の方法。
12. 前記マッチングフィルタは、静止する物体または移動する物体からの反射に起因する予想される変更を考慮する、ことを特徴とする請求項１１に記載の方法。
13. 前記マッチングフィルタは、意思決定アルゴリズムに対するセキュアな入力を提供する、ことを特徴とする請求項１２に記載の方法。
14. 送信機と関連付けられた受信機を相関するペアとして有する独立したシステムの間の複数のデータリンクをセキュアにする方法であって、前記ペアの前記送信機から変調された波形を送信し、前記ペアの前記受信機で前記波形を受信するステップを含み、前記受信機は前記波形をエコーとして前記送信機に反射し、前記変調された波形は動的データから構
    築される、ことを特徴とする方法。
15. マッチングフィルタにより、前記送信された波形の保存されたコピーを前記受信機からの前記エコーと比較する、ことを特徴とする請求項１４に記載の方法。
16. 前記マッチングフィルタは、前記創刊するペアの前記受信機からのみエコーを受信する、ことを特徴とする請求項１５に記載の方法。
17. 相関するペアとしての送信機と受信機との間のシステムデータリンクをセキュアにする方法であって、単一のシステムからのパッシブ信号とアクティブ信号を結合してコンポジット信号を形成する、ことを特徴とする方法。
18. 前記パッシブ信号はデータを含み、前記アクティブ信号はデータを含み、前記アクティブ信号の前記データが前記パッシブ信号の前記データによって検証される、ことを特徴とする請求項１７に記載の方法。
19. 前記アクティブ信号の前記データを自律的な意思決定プロセスに渡すステップを含む、ことを特徴とする請求項１８に記載の方法。
20. 第１のシステムの送信機と第２のシステムの受信機との間のセキュアでないデータリンクから情報データを生成する方法であって、第１のシステムから送信された変調された波形は、前記第２のシステムの前記受信機の保存された波形と一致せず、前記方法は、前記第２のシステムの前記一致しない波形を処理して、前記一致しない波形を情報データとして宣言し、前記第２のシステム前記情報データを処理して、前記第２のシステムのセキュアなデータに発散を警告することを特徴とする方法。

Images