DE102021111472A1

DE102021111472A1 - Tamper-proof device for protecting an electronic memory element against being read out

Info

Publication number: DE102021111472A1
Application number: DE102021111472.1A
Authority: DE
Inventors: gleich Anmelder Erfinder
Original assignee: Individual
Current assignee: Individual
Priority date: 2021-05-04
Filing date: 2021-05-04
Publication date: 2022-11-10

Abstract

Die Erfindung betrifft eine manipulationssichere Vorrichtung zum Schutz eines elektronischen Speicherelements (100) gegen Auslesen, umfassend ein das Speicherelement (100) umhüllendes Abschirmmittel (101), welches eine Mehrzahl von Leitungsmitteln (1, 2, 3, 4) enthält, mindestens ein elektromagnetische Energie in das mindestens eine Leitungsmittel abgebendes Emissionsmittel, mindestens ein auf elektromagnetische Energie in dem mindestens einen Leitungsmittel ansprechendes Erfassungsmittel, ein Komparatormittel (103) zum Vergleichen eines Signalwertes des mindestens einen Erfassungsmittels mit einer vorgegebenen Referenz und Erzeugen eines Ausgangssignals bei dessen Abweichung von der Referenz sowie ein auf das Ausgangssignal des Komparatormittels (101) ansprechendes Beschädigungsmittel (104) zur Beschädigung des Speicherelements (100) oder Löschen dessen Inhalts. Diese soll einen besseren Schutz gegen physische Angriffe auf das Speicherelement und dessen Inhalt bieten. Dies wird erfindungsgemäß dadurch erreicht, dass jedes Leitungsmittel (1, 2, 3, 4) über je ein dem Leitungsmittel zugeordnetes Emissionsmittel (11, 12, 13, 14) und Erfassungsmittel (21, 22, 23, 24) verfügt, sowie die Vorrichtung ferner ein die Emissionsmittel (11, 12, 13, 14) aller Leitungsmittel ansteuerndes Signalerzeugungsmittel (102) aufweist, welches eingerichtet ist zur Erzeugung einer ersten Impulsfolge mit einer ersten Impulsfolgeperiode in einem ersten Leitungsmittel (1) sowie mindestens einer weiteren Impulsfolge mit einer von der ersten Impulsfolgeperiode abweichenden Impulsfolgeperiode in mindestens einem anderen Leitungsmittel (2, 3, 4), wobei die erste Impulsfolgeperiode und jede weitere Impulsfolgeperiode um ein Differenzmaß voneinander abweichen.The invention relates to a tamper-proof device for protecting an electronic memory element (100) against being read out, comprising a shielding means (101) encasing the memory element (100) and containing a plurality of conduction means (1, 2, 3, 4), at least one electromagnetic energy emission means emitting into the at least one line means, at least one detection means responsive to electromagnetic energy in the at least one line means, a comparator means (103) for comparing a signal value of the at least one detection means with a predetermined reference and generating an output signal when it deviates from the reference, and a corrupting means (104) responsive to the output of the comparator means (101) for corrupting the memory element (100) or erasing its contents. This is intended to offer better protection against physical attacks on the storage element and its content. According to the invention, this is achieved in that each line means (1, 2, 3, 4) has an emission means (11, 12, 13, 14) and detection means (21, 22, 23, 24) assigned to the line means, as well as the device further has a signal generating means (102) that controls the emission means (11, 12, 13, 14) of all line means, which is set up to generate a first pulse train with a first pulse train period in a first line means (1) and at least one further pulse train with one of the first pulse train period deviating pulse train period in at least one other line means (2, 3, 4), wherein the first pulse train period and each further pulse train period deviate from each other by a differential amount.

Description

Die Erfindung betrifft eine manipulationssichere Vorrichtung zum Schutz eines elektronischen Speicherelements gegen Auslesen, umfassend:

■ ein das Speicherelement umhüllendes Abschirmmittel, welches eine Mehrzahl von Leitungsmitteln enthält,
■ mindestens ein elektromagnetische Energie in das mindestens eine Leitungsmittel abgebendes Emissionsmittel,
■ mindestens ein auf elektromagnetische Energie in dem mindestens einen Leitungsmittel ansprechendes Erfassungsmittel,
■ ein Komparatormittel zum Vergleichen eines Signalwertes des mindestens einen Erfassungsmittels mit einer vorgegebenen Referenz und Erzeugen eines Ausgangssignals bei dessen Abweichung von der Referenz,
■ sowie ein auf das Ausgangssignal des Komparatormittels ansprechendes Beschädigungsmittel zur Beschädigung des Speicherelements oder Löschen dessen Inhalts.

The invention relates to a tamper-proof device for protecting an electronic memory element against being read out, comprising:

■ a shielding means encasing the storage element, which contains a plurality of line means,
■ at least one emission means emitting electromagnetic energy into the at least one line means,
■ at least one detection means responsive to electromagnetic energy in the at least one conduit means,
■ a comparator means for comparing a signal value of the at least one detection means with a predetermined reference and generating an output signal when it deviates from the reference,
■ and damaging means responsive to the output of the comparator means for damaging the memory element or erasing its contents.

Der Schutz von elektronischen Speicherelementen gegen unbefugtes Auslesen der darin gespeicherten Daten ist von großer Bedeutung, insbesondere für Software-basierte Anwendungen, deren Daten mittels Verschlüsselungsverfahren gegen nichtauthorisiertes Lesen geschützt werden. Die hierbei für Codierung und Dekodierung verwendeten Chiffrierschlüssel und Algorithmen sind oftmals in Speicherelementen von elektronischen Schaltungen abgelegt. Diese Datenspeicher müssen nicht nur gegen Angriffe über die Datenleitung abgesichert werden, sondern auch gegen Angriffe, die auf einen physischen Zugriff auf die Hardware-Komponenten der Datenspeicher gerichtet sind.The protection of electronic memory elements against unauthorized reading of the data stored therein is of great importance, especially for software-based applications whose data are protected against unauthorized reading by means of encryption methods. The encryption keys and algorithms used here for coding and decoding are often stored in memory elements of electronic circuits. These data memories not only have to be secured against attacks via the data line, but also against attacks aimed at physical access to the hardware components of the data memory.

Aus dem Stand der Technik sind hierzu zahlreiche Vorschläge bekannt, die sich im Kern darum drehen, einen vor Angriffen zu schützenden elektronischen Datenspeicher mit einem aus elektrisch leitfähigen Drähten gebildeten engmaschigen Netzwerk zu umhüllen, welches auf Unterbrechung oder Kurzschluss überwacht wird. Bei Detektion einer solchen Unterbrechung bzw. eines solchen Kurzschlusses wird der Dateninhalt des Datenspeichers mittels eines „Beschädigungsmittels“ unbrauchbar gemacht oder gelöscht. Wenn also ein Angreifer versucht, auf physischem Wege zu einem solchen Datenspeicher vorzudringen, werden zwangsläufig ein oder mehrere Drähte des Netzwerkes entweder durchtrennt oder kurzgeschlossen, was dann wiederum einen Datenverlust im Datenspeicher bewirkt. Auf diese Weise soll der Inhalt des Datenspeichers vor einem unauthorisierten und böswilligen Zugriff geschützt werden. Derartige Anordnungen sind beispielsweise aus DE 195 36 477 A1 oder DE 10 2007 044 602 A1 bekannt.Numerous proposals are known from the prior art, which essentially revolve around enclosing an electronic data memory to be protected from attacks with a close-meshed network formed from electrically conductive wires, which is monitored for interruptions or short circuits. If such an interruption or such a short circuit is detected, the data content of the data memory is made unusable or deleted by means of a "damaging agent". Thus, if an attacker attempts to physically gain access to such a data store, one or more wires in the network will inevitably either be severed or shorted out, which in turn will cause data loss in the data store. This is to protect the content of the data store from unauthorized and malicious access. Such arrangements are, for example, from DE 195 36 477 A1 or DE 10 2007 044 602 A1 known.

Aus EP 268 142 A2 ist ein Gehäuse zum Schutz eines elektronischen Schaltkreises bekannt, welches aus einem in der Art einer Spule gewickelten elektrischen Leiter gebildet ist, welcher den Schaltkreis umhüllt und mit einer elektrischen Spannung beaufschlagt ist. Auf diese Weise wird ein elektromagnetisches Feld erzeugt, dessen Pegel mit sensorischen Mitteln überwacht wird. Der Leiter umhüllt den Schaltkreis in engen Wicklungen; die Wicklungsmuster sind irregulär und mehrlagig ausgeführt. Mechanische Angriffe auf eine solche Spule führen deshalb zu einer sensorisch erfassbaren Pegeländerung des von der Spule erzeugten elektromagnetischen Feldes. Diese wird als Versuch zum physischen Eindringen in das Schutzgehäuse interpretiert und aktiviert ein die Funktion des elektronischen Schaltkreises beeinträchtigendes Beschädigungsmittel, welches beispielsweise das Löschen des Speicherinhaltes eines Speicherbausteins des Schaltkreises bewirkt. Bekannte Angriffsszenarien zielen deshalb auch darauf ab, die elektrischen Leiter anzuschleifen und mittels einer Überbrückungsleitung die elektromagnetische Wirkung des elektrischen Leiters nachzuahmen, so dass dieser entfernt werden kann und einen Zugangsweg zum innenliegenden Schaltkreis freigibt. Deshalb ist für den elektrischen Leiter des Spulenkörpers gemäß des bekannten Standes der Technik die Verwendung eines Leitungsdrahts mit extrem dünnem Leitungsquerschnitt vorgesehen, so dass sich schon beim Anschleifen des Leiters ein frühzeitiger Drahtbruch einstellt. Beispielsweise ist durch Verwendung von Chrom-Nickel-Widerstandsdrähten mit extrem kleinen Leitungsquerschnitten das Anbringen von Überbrückungsleitungen erschwert. Zusätzlich ist die Spule in eine undurchsichtige Vergußmasse aus Epoxidharz eingebettet, so dass die Lage der Drahtwicklungen nicht von außen mit optischen Mitteln analysierbar ist. Chemische Angriffe auf diese Vergußmasse unter Verwendung von Lösungsmitteln sollen dadurch erschwert werden, dass das Isolationsmaterial der Wicklungsdrähte und eventuell sogar der Wicklungsdraht selbst früher als das Epoxidharz in Lösung gehen. Mechanische Angriffe werden zusätzlich durch irreguläres Einlagern von Ton- und Kieselerde-Partikeln in die Vergußmasse erschwert.Out of EP 268 142 A2 a housing for protecting an electronic circuit is known, which is formed from an electrical conductor wound in the manner of a coil, which encloses the circuit and is subjected to an electrical voltage. In this way, an electromagnetic field is generated, the level of which is monitored with sensory means. The conductor wraps the circuit in tight coils; the winding patterns are irregular and multi-layered. Mechanical attacks on such a coil therefore lead to a change in the level of the electromagnetic field generated by the coil that can be detected by sensors. This is interpreted as an attempt to physically penetrate the protective housing and activates a means of damage which impairs the function of the electronic circuit and which, for example, causes the memory content of a memory chip in the circuit to be erased. Known attack scenarios therefore also aim to grind the electrical conductors and to imitate the electromagnetic effect of the electrical conductor by means of a bridging line, so that it can be removed and an access path to the internal circuit is released. Therefore, according to the known state of the art, the use of a conductor wire with an extremely thin conductor cross-section is provided for the electrical conductor of the coil former, so that wire breakage occurs early even when the conductor is ground. For example, the use of chromium-nickel resistance wires with extremely small cable cross-sections makes it difficult to attach bridging cables. In addition, the coil is embedded in an opaque epoxy resin casting compound so that the position of the wire windings cannot be analyzed from the outside with optical means. Chemical attacks on this casting compound using solvents are said to be made more difficult by the fact that the insulation material of the winding wires and possibly even the winding wire itself dissolves earlier than the epoxy resin. Mechanical attacks are also made more difficult by the irregular incorporation of clay and silica particles in the casting compound.

In hierzu sehr analoger Weise sind aus dem Stand der Technik weitere gattungsgemäße Vorrichtungen bekannt, bei denen die Schutzeinrichtung aus einer Mehrzahl von elektrischen Leitern in Form eines Netzwerkes gebildet wird, von denen nur eine erste Teilmenge der Leiter bestromt bzw. mit Spannung beaufschlagt ist, während die verbleibende zweite Teilmenge von Leitern unbestromt bleibt. Eine solche Anordnung von stromführenden und stromlosen Leitern in Form eines Netzwerkes erzeugt ein sensorisch erfassbares elektromagnetisches Muster. Zusätzlich kann mittels eines Selektors zu definierten Zeitpunkten zwischen verschiedenen Anordnungen von bestromten bzw. unbestromten Leitern und somit zwischen verschiedenen elektromagnetischen Mustern umgeschaltet werden. Abweichungen zwischen dem sensorisch erfassten Ist-Muster und einem theoretisch erwarteten Soll-Muster werden als physischer Angriff auf die Schutzvorrichtung interpretiert und aktivieren wiederum ein die Funktion des elektronischen Schaltkreises beeinträchtigendes Beschädigungsmittel, welches beispielsweise das Löschen des Speicherinhaltes eines Speicherbausteins des Schaltkreises bewirkt.In this very analogous manner, other generic devices are known from the prior art, in which the protective device is formed from a plurality of electrical conductors in the form of a network, of which only a first subset of the conductors is energized or subjected to voltage, while the remaining second subset of conductors remains unenergized. Such an arrangement of live and currentless conductors in the form of a network creates an electromagnetic pattern that can be detected by sensors. In addition, a selector can be used to switch between different arrangements of energized and de-energized conductors and thus between different electromagnetic patterns at defined points in time. Deviations between the actual pattern detected by sensors and a theoretically expected target pattern are interpreted as a physical attack on the protective device and in turn activate a means of damage that impairs the function of the electronic circuit, which, for example, causes the memory content of a memory module in the circuit to be deleted.

Dennoch haben sich solche Schutzvorrichtungen in der Praxis bislang als noch nicht vollständig sicher gegen unbefugten Zugriff erwiesen.Nevertheless, such protective devices have not yet proved to be completely secure against unauthorized access in practice.

Die Aufgabe der vorliegenden Erfindung besteht somit darin, eine gattungsgemäße manipulationssichere Vorrichtung zum Schutz eines elektronischen Speicherelements gegen Auslesen bereitzustellen, welche einen noch besseren Schutz gegen physische Angriffe auf das Speicherelement und dessen Inhalt bietet.The object of the present invention is therefore to provide a generic tamper-proof device for protecting an electronic memory element against being read out, which offers even better protection against physical attacks on the memory element and its content.

Diese Aufgabe wird dadurch gelöst, dass jedes Leitungsmittel über je ein dem Leitungsmittel zugeordnetes Emissionsmittel und Erfassungsmittel verfügt, sowie die Vorrichtung ferner ein die Emissionsmittel aller Leitungsmittel ansteuerndes Signalerzeugungsmittel aufweist, welches eingerichtet ist zur Erzeugung einer ersten Impulsfolge mit einer ersten Impulsfolgeperiode in einem ersten Leitungsmittel sowie mindestens einer weiteren Impulsfolge mit einer von der ersten Impulsfolgeperiode abweichenden weiteren Impulsfolgeperiode in mindestens einem anderen Leitungsmittel, wobei die erste Impulsfolgeperiode und jede weitere Impulsfolgeperiode um ein Differenzmaß voneinander abweichen.This object is achieved in that each line means has an emission means and a detection means assigned to the line means, and the device also has a signal generation means that controls the emission means of all line means, which is set up to generate a first pulse train with a first pulse train period in a first line means and at least one further pulse train having a further pulse train period differing from the first pulse train period in at least one other line means, the first pulse train period and each further pulse train period differing by a differential amount.

Das erfinderische Grundkonzept zielt also darauf ab, dass für jedes Leitungsmittel eines Abschirmmittels ein individuelle Impulsfolge erzeugt und überwacht wird, die sich von den Impulsfolgen anderer Leitungsmittel desselben Abschirmmittels unterscheidet. Die erfindungsgemäße Vorrichtung erhöht die Sicherheit gegen physische Angriffe dadurch, dass die jedem Leitungsmittel beaufschlagte elektromagnetische Energie einem Impulsmuster unterworfen ist, dessen Ausgestaltung und zeitliche Dynamik für jedes Leitungsmittel individuell abweichend ist und welches somit in der Gesamtheit aller einer Schutzvorrichtung bzw. einem Abschirmmittel zugeordneten Leitungsmittel nur mit einem extrem hohen und in der Realität kaum zu leistenden Aufwand durch einen potentiellen Angreifer analysiert werden könnte. Da die Korrektheit des Impulsmusters in jedem Leitungsmittel eigenständig mit sensorischen Mitteln überwacht wird, besteht eine hohe Wahrscheinlichkeit dafür, dass einem Angreifer beim Ausmessen und Überbrücken zumindest eines einzelnen Leitungsmittels ein Fehler oder eine Ungenauigkeit unterläuft, welche sodann durch ein das sensorische Impulsmuster dieses Leitungsmittels gegen die diesem Leitungsmittel zugeordnete individuelle Referenz abgleichendes Komparatormittel erkannt wird und hierdurch eine Beschädigung des Inhalts des Speicherelements oder dessen vollständiges Löschen ausgelöst wird. Somit führt also schon ein einziges beim Überbrücken durch den Angreifer zeitlich nicht korrektes gesetztes Signal zur Brucherkennung und Löschung des Speicherelements.
Die Impulsfolgeperiode eines Leitungsmittels charakterisiert hierbei den zeitlichen Abstand zwischen aufeinanderfolgenden Impulsen der in einem Leitungsmittel erzeugten Impulsfolge. Mindestens zwei verschiedene Leitungsmittel desselben Abschirmmittels weisen Impulsfolgen mit voneinander differierenden Impulsfolgeperioden auf. Die Erfindung zielt darauf ab, dass bei einem auf ein erfindungsgemäßes Abschirmmittel gerichteten physischen Angriff über einen sehr langen Zeitraum keine eindeutige Analyse der auf sämtlichen Leitungsmitteln emittierten individuellen Impulsfolgen möglich ist. Dies erhöht signifikant die Wahrscheinlichkeit eines durch das Komparatormittel detektierbaren Fehlers des Angreifers beim Versuch des Überbrückens von Leitungsmitteln.
Als Erfassungsmittel sind im Kontext dieser Erfindung Sensoren vorgesehen. Es versteht sich für den mit der Realisierung der Erfindung befassten Fachmann in diesem Kontext von selbst, dass das Signalerzeugungsmittel, das Komparatormittel und das Beschädigungsmittel physisch in einen Mikrocontroller integrierbar sind. Unter einem „Beschädigungsmittel“ im Sinne der Erfindung sind auch solche Mittel zu verstehen, die zur Herbeiführung der elektrischen Spannungslosigkeit des Speicherelementes und einem hierdurch bedingten Datenverlust im Speicherelement eingerichtet sind.
Die für den Vergleich der Signalwerte erforderlichen Referenzen können gemäß einer ersten Ausführungsvariante in einem durch das Komparatormittel auslesbaren Speicher abgelegt sein, beispielsweise in Form von Signalerzeugungsalgorithmen. Gemäß einer hierzu alternativen Ausführungsvariante kann das Komparatormittel aber auch über eine signaltechnische Ankopplung an das Signalerzeugungsmittel oder die Emissionsmittel verfügen und auf diese Weise deren Signalpegel als Referenz-Impulsfolge für jedes Leitungsmittel nutzen.The basic inventive concept is therefore aimed at generating and monitoring an individual pulse sequence for each line of a shielding means, which pulse sequence differs from the pulse sequences of other lines of the same shielding means. The device according to the invention increases security against physical attacks in that the electromagnetic energy applied to each line means is subjected to a pulse pattern, the design and temporal dynamics of which differ individually for each line means and which is therefore only could be analyzed by a potential attacker with an extremely high level of effort that is hardly possible in reality. Since the correctness of the pulse pattern in each line is monitored independently with sensory means, there is a high probability that an attacker will make an error or an inaccuracy when measuring and bridging at least one individual line, which can then be detected by a sensory pulse pattern of this line against the individual reference matching comparator means associated with this line means is recognized and as a result damage to the content of the memory element or its complete erasure is triggered. Thus, even a single signal that is set incorrectly in terms of time when the attacker is bridging leads to the detection of a break and the erasure of the memory element.
The pulse train period of a line characterizes the time interval between successive pulses of the pulse train generated in a line. At least two different lines of the same shielding means have pulse trains with pulse train periods that differ from one another. The aim of the invention is that in the event of a physical attack directed at a shielding means according to the invention over a very long period of time, no clear analysis of the individual pulse sequences emitted on all line means is possible. This significantly increases the probability of an error on the part of the attacker, which can be detected by the comparator means, when attempting to bridge line means.
Sensors are provided as detection means in the context of this invention. In this context, it goes without saying for a person skilled in the art concerned with the implementation of the invention that the signal generation means, the comparator means and the damage means can be physically integrated into a microcontroller. A “means of damage” within the meaning of the invention is also to be understood as meaning such means which are set up to bring about the de-energization of the memory element and a resulting loss of data in the memory element.
According to a first embodiment variant, the references required for the comparison of the signal values can be stored in a memory that can be read out by the comparator means, for example in the form of signal generation algorithms. According to an alternative embodiment variant, the comparator means can also have a signal-technical coupling to the signal generation means or the emission means and in this way use their signal level as a reference pulse sequence for each line means.

Gemäß einer ersten bevorzugten Ausführungsform umfasst die Vorrichtung ein zufallsgesteuertes Selektionsmittel, welches bei erstmaliger Initialisierung der Vorrichtung eine zufallsbasierte Zuordnung jeweils einer Impulsfolgeperiode zu einem Kanalmittel durchführt. Auf diese Weise wird die Wahrscheinlichkeit einer parallelen Existenz zweier Vorrichtungen mit jeweils identischer Zuordnung zwischen Impulsfolgeperioden und Kanalmitteln deutlich reduziert. Hierdurch wird das „Ausspähen“ einer erfindungsgemäßen Schutzvorrichtung deutlich erschwert. Selbst wenn es einem Angreifer gelungen sein sollte, die Leitungsmittel einer ersten Schutzvorrichtung vollständig zu analysieren, kann die hieraus gewonnene Erkenntnis über die Leitungsmittel und deren Impulsfolgeperioden nicht auf weitere Schutzvorrichtungen übertragen werden.According to a first preferred embodiment, the device comprises a randomly controlled selection means which, when the device is initialized for the first time, uses a randomly based selection means Assignment of a pulse train period to a channel means. In this way, the probability of a parallel existence of two devices, each with an identical association between pulse repetition periods and channel means, is significantly reduced. This makes it significantly more difficult to "spy" on a protective device according to the invention. Even if an attacker should have succeeded in completely analyzing the line means of a first protective device, the knowledge gained from this about the line means and their pulse repetition periods cannot be transferred to other protective devices.

Gemäß einer weiteren besonders bevorzugten Ausführungsform enthält das Abschirmmittel zumindest ein weiteres Leitungsmittel, welches über kein Emissionsmittel verfügt bzw. nicht vom Signalerzeugungsmittel angesteuert wird, und das somit auch mit keiner Impulsfolge beaufschlagt ist. Es handelt sich bei diesem weiteren Leitungsmittel also um ein „totes“ Leitungsstück ohne induzierte elektromagnetische Energie. Ein potentieller Angriff wird dadurch erschwert, dass für den Angreifer während eines sehr langen Zeitraums nicht erkennbar ist, ob es sich um ein Leitungsmittel mit extrem langer Impulsfolgeperiode oder um ein totes Leitungsmittel ohne jeglicher Beaufschlagung einer Impulsfolge handelt. Die für das Ausmessen der Leitungsmittel benötigte Zeit verlängert sich auf diese Weise nochmals auf extrem lange Werte. Gleichwohl würde ein Angriff selbst bei sehr langem Zuwarten nicht ohne dem Risiko einer Fehleinschätzung und somit des Aktivierens des Beschädigungsmittels bleiben.According to a further particularly preferred embodiment, the shielding means contains at least one further line means, which has no emission means or is not controlled by the signal generating means, and which is therefore also not acted upon by a pulse sequence. This further line means is therefore a “dead” line section without induced electromagnetic energy. A potential attack is made more difficult by the fact that the attacker cannot tell for a very long period of time whether it is a line with an extremely long pulse train period or a dead line without any impingement of a pulse train. In this way, the time required for measuring the line means is again extended to extremely long values. Nevertheless, even if you waited a very long time, an attack would not remain without the risk of a misjudgment and thus the activation of the means of damage.

Die Erfindung sieht weiter vor, dass die erste und die mindestens eine weitere Impulsfolgeperiode zweiter Leitungsmittel um einen Faktor von mindestens 100 voneinander abweichen. Somit liegen die Impulsfolgen zweier verschiedener Leitungsmittel in deutlich voneinander abweichenden Frequenzbändern. Wenn einzelne Leitungsmittel mit Impulsfolgen mit jeweils sehr kurzen Impulsfolgeperioden beaufschlagt sind (d.h. also die auf diesen Leitungsmitteln sensorisch überwachten elektromagnetischen Signale sehr schnell getaktet sind, bevorzugt in Intervallen von wenigen Zehntelsekunden), würden deren sensorisch detektierbare Beschädigung innerhalb kürzester Zeit zu einer Erkennung eines physischen Angriffs auf das Abschirmmittel bzw. die Schutzvorrichtung und somit zu einer Beschädigung oder Löschung des Speicherelements führen. Solche schnell getakteten Leitungsmittel sind sehr schwierig fehlerfrei (d.h. ohne sensorische Alarm-Auslösung) zu überbrücken. Gleichzeitig müsste für die Überbrückung der sehr langsam (z.B. bevorzugt in Intervallen von mehr als einer Stunde) getakteten Leitungsmittel eine sehr große Zeitspanne für deren Ausmessen vorgesehen werden, bevor deren Impulsfolgen hineinreichend zuverlässig analysierbar wären und deren Überbrückung tatsächlich realisierbar wäre. Die für einen Angreifer unvorhersehbare Kombination solcher stark gespreizter Impulsfolgeperioden auf den individuellen Leitungsmitteln innerhalb desselben Abschirmmittels stellt einen sehr wirksamen Schutz gegen physische Angriffe auf das Speicherelement dar. Hierbei ist eine sehr große Spreizung zwischen der am langsamsten und der am schnellsten getakteten Impulsfolge je Leitungsmittel von besonderem Vorteil. So könnte für ein erstes Leitungsmittel eine erste Impulsfolgeperiode im Bereich einer Zehntel-Sekunde und für ein weiteres Leitungsmittel eine weitere Impulsfolgeperiode im Bereich von einer oder mehreren Stunden vorgesehen sein.The invention further provides that the first and the at least one further pulse train period of the second line means differ from one another by a factor of at least 100. The pulse sequences of two different line means are thus in frequency bands that differ significantly from one another. If individual lines are subjected to pulse trains, each with very short pulse train periods (i.e. the electromagnetic signals monitored by sensors on these lines are clocked very quickly, preferably at intervals of a few tenths of a second), their sensor-detectable damage would lead to a detection of a physical attack within a very short time on the shielding means or the protective device and thus lead to damage or erasure of the memory element. Such rapidly clocked line means are very difficult to bridge correctly (i.e. without triggering a sensory alarm). At the same time, to bridge the very slowly (e.g. preferably at intervals of more than one hour) clocked line means, a very long period of time would have to be provided for their measurement before their pulse sequences could be reliably analyzed and their bridging would actually be realizable. The combination of such widely spread pulse train periods on the individual lines within the same shielding means, which is unpredictable for an attacker, represents a very effective protection against physical attacks on the memory element. A very large spread between the slowest and the fastest clocked pulse train per line is of particular importance Advantage. A first pulse train period in the range of a tenth of a second could be provided for a first line means and a further pulse train period in the range of one or more hours could be provided for a further line means.

Gemäß einer sinnvollen Weiterentwicklung der erfinderischen Grundidee ist das Signalerzeugungsmittel dazu eingerichtet ist, die Impulsfolgeperiode einer einem Leitungsmittel zugeordneten Impulsfolge zu verändern.
Gemäß einer ersten Alternative ist das Signalerzeugungsmittel dazu eingerichtet, die Impulsfolgen eines Emissionsmittels bzw. eines Leitungsmittels in definierten oder zufallsbasiert generierten zeitlichen Intervallen auf ein völlig anderes Frequenzband umzustellen. In besonders bevorzugter Weise ist das Signalerzeugungsmittel zum wechselseitigen Tauschen der zwei verschiedenen Leitungsmitteln zugeordneten Impulsfolgeperioden eingerichtet. Infolge eines solchen Tauschs wird eine ursprünglich auf ein erstes Leitungsmittel emittierte erste Impulsfolgeperiode auf ein hierzu abweichendes zweites Leitungsmittel emittiert (und vice versa). Dies erhöht die Unkalkulierbarkeit der auf einem Leitungsmittel tatsächlich realisierten Impulsfolge und reduziert damit auch die Erfolgswahrscheinlichkeit eines Angriffs auf dieses Leitungsmittel.According to a sensible further development of the basic idea of the invention, the signal generation means is set up to change the pulse train period of a pulse train assigned to a line means.
According to a first alternative, the signal generating means is set up to switch the pulse sequences of an emission means or a line means to a completely different frequency band at defined or randomly generated time intervals. In a particularly preferred manner, the signal generation means is set up for mutually exchanging the pulse repetition periods assigned to two different line means. As a result of such an exchange, a first pulse train period originally emitted on a first line means is emitted on a second line means that differs therefrom (and vice versa). This increases the incalculability of the pulse sequence actually implemented on a line and thus also reduces the probability of success of an attack on this line.

Gemäß einer hierzu zweiten Alternative ist das Signalerzeugungsmittel zu einer zusätzlichen Variation der Periodenlänge der Impulse mindestens einer in einem Leitungsmittel erzeugten Impulsfolge um einen Mittelwert eingerichtet. In diesem Fall stellt die Impulsfolgeperiode den Mittelwert aller tatsächlichen Periodenlängen der während einer definierten Zeitspanne durch ein Emissionsmittel erzeugten Impulsen dar und bleibt während dieses Zeitraums - trotz zwischenzeitlicher Variationen der tatsächlichen Periodenlängen - gesamthaft betrachtet unverändert. Dies erhöht die Unkalkulierbarkeit der auf einem Leitungsmittel tatsächlich realisierten Impulsfolge und reduziert damit auch die Erfolgswahrscheinlichkeit eines Angriffs auf dieses Leitungsmittel. In besonders vorteilhafter Weise können die Periodenlängen der in einem Leitungsmittel mittels eines Emissionsmittels erzeugten Impulsfolge um bis zu 10% von einem Mittelwert abweichen; In besonders vorteilhafter Weise ist das Signalerzeugungsmittel mittels eines Zufallsgenerators zu einer zufallsbasierten Ermittlung des Abweichungsbetrags eingerichtet.According to a second alternative to this, the signal generating means is set up for an additional variation of the period length of the pulses of at least one pulse train generated in a line means around a mean value. In this case, the pulse train period represents the mean value of all actual period lengths of the pulses generated by an emission means during a defined period of time and remains unchanged during this period - despite intermediate variations in the actual period lengths - considered as a whole. This increases the incalculability of the pulse sequence actually implemented on a line and thus also reduces the probability of success of an attack on this line. In a particularly advantageous manner, the period lengths of the pulse sequence generated in a line means by means of an emission means can deviate from a mean value by up to 10%; In a particularly advantageous manner, the signal generating means is by means of a random number generator to a set up a random determination of the variance amount.

Ein weitere sinnvolle Ausgestaltung des Erfindungskonzepts sieht vor, dass das Signalerzeugungsmittel zur Variation der Sendeimpulsdauern der in mindestens einem Leitungsmittel erzeugten Impulse eingerichtet ist. Eine solche Variation erhöht ebenso die Unkalkulierbarkeit der auf einem Leitungsmittel tatsächlich realisierten Impulsfolge und bildet somit einen wesentlichen Beitrag zur Reduzierung der Erfolgswahrscheinlichkeit eines Angriffs auf dieses Leitungsmittel. In besonders vorteilhafter Weise können die Sendeimpulsdauern der in einem Leitungsmittel mittels eines Emissionsmittels erzeugten Impulsfolge um bis zu 10% von einem Mittelwert abweichen; In besonders vorteilhafter Weise ist das Signalerzeugungsmittel mittels eines Zufallsgenerators zu einer zufallsbasierten Ermittlung des Abweichungsbetrags eingerichtet.A further useful embodiment of the inventive concept provides that the signal generation means is set up to vary the transmission pulse durations of the pulses generated in at least one line means. Such a variation also increases the incalculability of the pulse sequence actually implemented on a line and thus makes a significant contribution to reducing the probability of success of an attack on this line. In a particularly advantageous manner, the transmission pulse durations of the pulse sequence generated in a line means by means of an emission means can deviate from a mean value by up to 10%; In a particularly advantageous manner, the signal generating means is set up by means of a random generator for a random-based determination of the amount of deviation.

Die Erfindung sieht ferner vor, dass mindestens ein Leitungsmittel als elektrisch leitfähiger Hochspannungs-Leiter ausgeführt ist. Die Stromversorgungsleitung kann im Abschirmmittel integriert sein, beispielsweise durch gemeinsames Verwickeln mit den übrigen Leitungsmitteln. Wird ein solcher Hochspannungs-Leiter beispielsweise im Kontext eines physischen Angriffsversuches freigelegt, so erfolgt ein sofortiger Spannungsüberschlag, beispielsweise auf andere Leitungsmittel desselben Abschirmmittels. Deren Erfassungsmittel sprechen auf diese Spannungssprünge an. Da es sich hierbei um Abweichungen zur vorgegebenen Referenz handelt, hat dies zwangsläufig eine Brucherkennung und Löschung des Speicherelements zur Folge. Hierzu alternativ können im Abschirmmittel auch eigenständige neutrale Kabel als Detektoren für derartige Spannungsüberschläge eingeflochten sein. Die Hochspannungs-Leiter sind aus elektrisch leitenden Werkstoffen und in bevorzugter Weise als metallische Leiter ausgeführt, können aber alternativ auch durch feine Kohlefasern gebildet sein. Unter einer „Hochspannung“ ist im Kontext dieser Erfindung eine solche Spannung zu verstehen, deren Höhe ausreichend für ein Überspringen der Spannung auf einen um wenige Zentimeter entfernten weiteren Leiter ist. Gemäß einer weiteren Ausführungsvariante kann der Hochspannungs-Leiter an eine dauerhafte Stromversorgung von geringer Stärke (d.h. geringer Amperezahl) angeschlossen sein, so dass hieraus kein großer Leistungsbedarf resultiert. Sofern die erfindungsgemäße Vorrichtung einen bestromten Hochspannungs-Leiter aufweist, ist darauf zu achten, dass die von der erfindungsgemäßen Schutzvorrichtung zu schützende elektronische Schaltung durch einen solchen Spannungs-Überschlag in keinen undefinierten Zustand gerät. Andernfalls besteht die Gefahr, dass ein physikalischer Angriff auf ein noch aktives Speicherelement trifft. Es ist deshalb im Kontext einer solchen Ausführungsvariante der Erfindung auch eine in die Stromversorgung der elektronischen Schaltung bzw. des Speicherelements integrierte Unterbrechungsvorrichtung vorgesehen, die durch Unterbrechen der Stromversorgung einen definierten Systemzustand herbeiführt, sobald die Funktionsfähigkeit der elektronischen Schaltung bzw. des Speicherelements beeinträchtigt sein könnte. Eine solche Unterbrechungsvorrichtung kann in der Art einer üblichen, auf starke Schwankungen elektromagnetischer Eingangsgrößen reagierender Sicherung ausgeführt sein. Hierzu alternativ könnte die Unterbrechungsvorrichtung auch ein einfaches Kommunikationselement umfassen, welches die Funktionsfähigkeit der elektronischen Schaltung mittels einfacher Abfragealgorithmen überprüft.The invention also provides that at least one line means is designed as an electrically conductive high-voltage conductor. The power supply line can be integrated in the shielding means, for example by winding it together with the other line means. If such a high-voltage conductor is exposed, for example, in the context of an attempted physical attack, an immediate voltage flashover occurs, for example to other conductors of the same shielding means. Their detection means respond to these voltage jumps. Since these are deviations from the specified reference, this inevitably results in a breakage detection and deletion of the memory element. As an alternative to this, independent neutral cables can also be woven into the shielding means as detectors for such voltage flashovers. The high-voltage conductors are made of electrically conductive materials and are preferably metallic conductors, but can alternatively also be made of fine carbon fibers. In the context of this invention, a “high voltage” is to be understood as meaning a voltage whose level is sufficient for the voltage to jump over to another conductor a few centimeters away. According to a further embodiment variant, the high-voltage conductor can be connected to a permanent power supply of low strength (i.e. low amperage) so that this does not result in a large power requirement. If the device according to the invention has an energized high-voltage conductor, it must be ensured that the electronic circuit to be protected by the protective device according to the invention does not enter an undefined state as a result of such a voltage flashover. Otherwise there is a risk that a physical attack will hit a memory element that is still active. Therefore, in the context of such an embodiment variant of the invention, an interruption device integrated into the power supply of the electronic circuit or the memory element is also provided, which brings about a defined system state by interrupting the power supply as soon as the functionality of the electronic circuit or the memory element could be impaired. Such an interrupting device can be designed in the manner of a conventional fuse which reacts to strong fluctuations in electromagnetic input variables. As an alternative to this, the interruption device could also include a simple communication element which checks the functionality of the electronic circuit using simple query algorithms.

Gemäß einer Ausführungsvariante des erfinderischen Grundkonzepts ist mindestens ein Leitungsmittel als optischer Leiter ausgeführt. Lichtleiter sind wesentlich schwieriger zu überbrücken als metallische Leiter. Schon beim Freilegen des Leitungsmittels kommt es zu einem erhöhten Lichteinfall auf das Leitungsmittel und damit zu einem Ansprechen des zugehörigen sensorischen Erfassungsmittels. Dies ist insbesondere bei schnell gepulsten Leitungsmitteln (d.h. also mit kurzen Impulsfolgeperioden) sehr vorteilhaft zur Detektion von physischen Angriffen auf das Leitungsmittel. Im Kontext dieser Ausführungsvariante sind eine steuerbare Lichtquelle als Emissionsmittel sowie ein Fotosensor als Erfassungsmittel je Leitungsmittel vorgesehen. Das als „Licht“ für das menschliche Auge sichtbare elektromagnetische Spektrum umfasst die Frequenzbereiche, in denen die elektromagnetischen Wellen mit Wellenlängen von 400 bis 700 Nanometern liegen. Gemäß einer sehr bevorzugten Ausführungsvariante weist das Abschirmmittel eine Mischung von unterschiedlich schnell gepulsten optischen Leitungsmitteln und unterschiedlich langsam gepulsten metallischen Leitungsmitteln auf.According to an embodiment variant of the basic inventive concept, at least one line means is designed as an optical conductor. Optical fibers are much more difficult to bridge than metallic conductors. As soon as the line is uncovered, there is an increased incidence of light on the line and thus the associated sensory detection means respond. This is very advantageous for detecting physical attacks on the line means, particularly in the case of rapidly pulsed line means (i.e. with short pulse repetition periods). In the context of this embodiment variant, a controllable light source is provided as emission means and a photo sensor is provided as detection means for each line means. The electromagnetic spectrum visible to the human eye as "light" includes the frequency ranges in which the electromagnetic waves with wavelengths of 400 to 700 nanometers lie. According to a very preferred embodiment variant, the shielding means has a mixture of optical line means pulsed at different speeds and metallic line means pulsed at different speeds.

Eine Weiterentwicklung der erfinderischen Grundidee sieht vor, dass die Vorrichtung ferner ein das Abschirmmittel unter Ausbildung eines Zwischenraumes umgreifendes Gehäuse mit einer auf das Abschirmmittel gerichteten reflektierenden Innenfläche sowie eine Mehrzahl steuerbarer Lichtquellen und Photosensoren, welche über die in Bezug auf den Zwischenraum außenliegende Oberfläche des Abschirmmittels verteilt angeordnet sind, aufweist. Der Zwischenraum ist mit einem lichtdurchlässigen Medium gefüllt, welches gasförmig (Luft) oder fest (lichtdurchlässige bzw. transparente Vergußmasse) sein kann. Die Lichtquellen sind durch das Signalerzeugungsmittel angesteuert, wobei das Signalerzeugungsmittel zur Erzeugung individueller Impulsfolgen für jede Lichtquelle eingerichtet ist. Die Signalausgänge der Photosensoren sind an das Komparatormittel angschlossen. Auf diese Weise wird durch das individuell getaktete An- bzw. Abschalten der Lichtquellen eine Abfolge von Beleuchtungsmustern im Zwischenraum erzeugt, auf dessen Beleuchtungszustände die Photosensoren ansprechen. Die Signalausgänge der Photosensoren werden duch das Komparatormittel mit einer vorgegebenen Referenz (nämlich den optischen Zuständen in einem lichtdicht gegen die Außenwelt abgeschlossenen Zwischenraum) verglichen und bei Abweichung von der Referenz ein an das Beschädigungsmittel gerichtetes Ausgangssignal zur Beschädigung oder zum Löschen des Speicherelements erzeugt. Auf diese Weise ist eine das innenliegende Abschirmmittel vollständig umgreifende zusätzliche Umhüllung realisiert, deren mechanische Beschädigung die Belichtungsverhältnisse im Zwischenraum verändert und eine Aktivierung des Beschädigungsmittels der Schutzvorrichtung verursacht.A further development of the basic idea of the invention provides that the device also has a housing that encompasses the shielding means, forming a gap, with a reflecting inner surface directed towards the shielding means, and a plurality of controllable light sources and photosensors, which are distributed over the surface of the shielding means that is on the outside in relation to the gap are arranged, has. The space is filled with a translucent medium, which can be gaseous (air) or solid (translucent or transparent potting compound). The light sources are controlled by the signal generating means, the signal generating means being set up to generate individual pulse sequences for each light source. The signal outputs of the photosensors are connected to the comparator means. In this way, a sequence of illumination patterns is generated in the intermediate space by the individually timed switching on and off of the light sources, to the illumination states of which the photosensors respond. The signal outputs of the photo sensors are compared by the comparator means with a predetermined reference (namely the optical states in an intermediate space sealed off from the outside world) and, if there is a deviation from the reference, an output signal directed to the damage means is generated to damage or erase the memory element. In this way, an additional casing that completely encompasses the inner shielding means is realized, mechanical damage to which changes the lighting conditions in the intermediate space and causes activation of the means for damaging the protective device.

Die vorliegende Erfindung wird nachfolgend anhand eines Ausführungsbeispiels und dazugehöriger Zeichnungen näher erläutert. Es zeigen:

1: schematischer Aufbau einer erfindungsgemäßen Schutzvorrichtung im Querschnitt
2: schematisches Schaltbild der Schutzvorrichtung aus 1
3: schematischer Aufbau einer alternativen Ausführungsvariante der erfindungsgemäßen Schutzvorrichtung

The present invention is explained in more detail below using an exemplary embodiment and associated drawings. Show it:

1 : schematic structure of a protective device according to the invention in cross section
2 : schematic diagram of the protection device off 1
3 : Schematic structure of an alternative embodiment variant of the protective device according to the invention

Die in 1 beispielhafte dargestellte Schutzvorrichtung umfasst ein elektronisches Speicherelement (100) mit eingespeicherten Verschlüsselungsalgorithmen sowie ein Abschirmmittel (101), welches das Speicherelement vollständig (d.h. in sämtlichen Raumrichtungen) umhüllt und vor physischem Zugriff schützt. Das Abschirmmittel (101) ist gebildet aus einer Mehrzahl von Leitungsmitteln bzw. Leitungen, die vielfach miteinander verwoben und dabei zugleich mehrfach um das Speicherelement gewickelt sind. Das so entstandene Gewirk von Leitungen ist mittels eines nicht-transparenten Epoxidharzes ausgegossen und bildet nach Aushärten des Harzes einen Festkörper aus. Des weiteren sind Aufnahmen (107) vorhanden, mittels denen die Schutzvorrichtung zum Erzielen eines allseitig gleichmäßigen Vergusses in einer Rotationsgußmaschine aufgenommen werden kann. Nach Verguss ist die exakte Lage der diversen Leitungen visuell von außen nicht mehr erkennbar.In the 1 The protective device illustrated by way of example comprises an electronic storage element (100) with stored encryption algorithms and a shielding means (101) which encloses the storage element completely (ie in all spatial directions) and protects it from physical access. The shielding means (101) is formed from a plurality of line means or lines, which are often interwoven with one another and at the same time are wound around the storage element several times. The resulting knitted fabric of cables is filled with a non-transparent epoxy resin and forms a solid body after the resin has hardened. There are also receptacles (107) by means of which the protective device can be accommodated in a rotary casting machine in order to achieve encapsulation which is uniform on all sides. After casting, the exact position of the various lines can no longer be seen from the outside.

In 2 ist die Schaltung der Komponenten der erfindungsgemäßen Schutzvorrichtung exemplarisch dargestellt. Das zu schützende elektronische Speicherelement (100) ist von zwei metallischen Leitern (1, 2), beispielsweise Kupferdrähten mit extrem kleinen Leitungsquerschnitten, sowie einem optischen Leiter (3), beispielsweise einem Lichtwellenleiterkabel, und einem Hochspannungsleiter (4) in mehrfachen Lagen umwickelt (die mehrlagige Umwicklung des elektronischen Speicherelements ist in 2 aus Gründen der Übersichtlichkeit nicht dargestellt). Jedem Leiter (1, 2, 3, 4) ist jeweils ein eigenes Emissionsmittel zugeordnet, wobei beiden metallischen Leitern (1, 2) jeweils ein elektrischer Emitter (11, 12) und dem optischen Leiter (3) ein LED-Emitter (13) zugeordnet sind. Die Schutzvorrichtung umfasst ein Signalerzeugungsmittel (102), welches alle Emitter (11, 12, 13) derart ansteuert, dass jeder Emitter eine Impulsfolge mit individueller Impulsfolgeperiode erzeugt und in den ihm zugeordneten Leiter abgibt. Im Ergebnis sind alle Leiter mit unterschiedlich schnell getakteten elektromagnetischen Impulsfolgen beaufschlagt. Es ist hierbei eine möglichst große Spreizung zwischen den Impulsfolgeperioden der drei Leiter angestrebt. So sendet beispielsweise der Emitter (11) des ersten metallischen Leiters (1) eine erste Impulsfolge mit einer kurzen Impulsfolgeperiode (z.B. Taktzeit von 1/10 Sekunde) als elektrisches Signal aus. Zusätzlich ist vorgesehen, dass das Signalerzeugungsmittel (102) mittels eines Zufallsgenerators die Impulsfolgeperiode der ersten Impulsfolge leicht variiert; d.h. die vorgenannte Taktzeit von 1/10 Sekunde bildet lediglich einen Mittelwert, um den sich die vom Signalerzeugungsmittel für den ersten Leiter (1) generierten Soll-Vorgaben bewegen. Im Gegensatz hierzu sendet der Emitter (12) des zweiten metallischen Leiters (2) eine zweite Impulsfolge, deren mittlere Impulsfolgeperiode bei 60 Minuten liegt. Die Taktung des optischen Leiters (3) erfolgt im Untersekunden-Bereich, um das Überbrücken bei physischen Angriffen zu erschweren.In 2 the circuit of the components of the protection device according to the invention is shown as an example. The electronic memory element (100) to be protected is wrapped in multiple layers by two metallic conductors (1, 2), for example copper wires with extremely small conductor cross-sections, and an optical conductor (3), for example an optical fiber cable, and a high-voltage conductor (4). multi-layer wrapping of the electronic memory element is in 2 not shown for reasons of clarity). Each conductor (1, 2, 3, 4) is assigned its own emission means, with the two metallic conductors (1, 2) each having an electrical emitter (11, 12) and the optical conductor (3) having an LED emitter (13). assigned. The protective device includes a signal generating means (102) which controls all emitters (11, 12, 13) in such a way that each emitter generates a pulse train with an individual pulse train period and emits it in the conductor assigned to it. As a result, all conductors are subjected to electromagnetic pulse sequences clocked at different speeds. The aim here is to achieve the greatest possible spread between the pulse repetition periods of the three conductors. For example, the emitter (11) of the first metallic conductor (1) emits a first pulse train with a short pulse train period (eg cycle time of 1/10 second) as an electrical signal. In addition, it is provided that the signal generating means (102) slightly varies the pulse train period of the first pulse train by means of a random number generator; ie the aforesaid cycle time of 1/10 of a second merely forms an average value around which the target specifications generated by the signal generating means for the first conductor (1) move. In contrast to this, the emitter (12) of the second metallic conductor (2) emits a second train of pulses, the mean train period of which is 60 minutes. The optical conductor (3) is clocked in the sub-second range to make bridging more difficult in the event of physical attacks.

Ferner weist jeder Leiter (1, 2, 3) jeweils ein auf die elektromagnetischen Impulsfolgen ansprechendes Erfassungsmittel auf. Bei den beiden metallischen Leitern (1, 2) ist dies jeweils ein elektrischer Signalempfänger (21, 22), beim optischen Leiter (3) ist dies ein Photosensor (23). Die von den Signalempfängern und dem Photosensor erfassten Signalwerte der auf den Leitungen detektierten Impulsfolgen werden einem Komparatormittel (103) zugeführt. Durch Vergleich mit für jede Leitung vorgegebenen Referenzwerten erfolgt im Komparatormittel (103) ein Soll-Ist-Abgleich der Impulsfolgen jedes einzelnen Leiters. Das Komparatormittel (103) ist seinerseits an ein Beschädigungsmittel (104) angebunden, welches zum Löschen des Speicherinhaltes des Speicherelementes (100) eingerichtet ist. Sobald im Komparatormittel (103) eine Abweichung zwischen der vom Signalerzeugungsmittel (102) für einen der drei Leitungen (1, 2, 3) bzw.drei Emitter (11, 12, 13) vorgegebenen Soll-Impulsfolge und der von den Erfassungsmitteln (21, 22, 23) jeweils tatsächlich erfassten Ist-Impulsfolgen erkannt wird, gibt das Komparatormittel (103) ein Aktivierungssignal an das Beschädigungsmittel (104) und der Speicherinhalt des Speicherelementes (100) wird gelöscht. Hierzu erfolgt eine Unterbrechung der Spannungsversorgung (110) des Speicherelementes.Furthermore, each conductor (1, 2, 3) has a detection means that responds to the electromagnetic pulse sequences. In the case of the two metallic conductors (1, 2), this is an electrical signal receiver (21, 22) in each case, and in the case of the optical conductor (3), this is a photo sensor (23). The signal values of the pulse sequences detected on the lines, recorded by the signal receivers and the photo sensor, are supplied to a comparator (103). By comparison with reference values specified for each line, a setpoint/actual comparison of the pulse sequences of each individual conductor takes place in the comparator means (103). The comparator means (103) is in turn connected to a damage means (104) which is set up to erase the memory content of the memory element (100). As soon as a discrepancy is detected in the comparator means (103) between the desired pulse sequence specified by the signal generating means (102) for one of the three lines (1, 2, 3) or three emitters (11, 12, 13) and the desired pulse sequence determined by the detection means (21, 22, 23) is recognized in each case actually detected actual pulse sequences, the comparator means (103) gives an activation signal nal to the damage means (104) and the memory content of the memory element (100) is deleted. For this purpose, the voltage supply (110) of the storage element is interrupted.

Es ist für den Fachmann ersichtlich, dass die in diesem Ausführungsbeispiel gezeigte Beschränkung auf zwei metallische Leitungsmittel und ein optisches Leitungsmittel lediglich aus Gründen der Übersichtlichkeit erfolgt und keineswegs den Schutzumfang der Erfindung limitierenden Charakter haben soll. In der Realität wird eine Vielzahl von Leitungsmitteln angestrebt, da die erzielte Schutzwirkung in einer direkten Abhängigkeit zur Anzahl der zur Anwendung gebrachten Leitungsmittel steht.It is obvious to a person skilled in the art that the restriction to two metal lines and one optical line shown in this exemplary embodiment is only for reasons of clarity and is in no way intended to limit the protective scope of the invention. In reality, a large number of conduits is aimed for, since the protective effect achieved is directly dependent on the number of conduits used.

Darüber hinaus weist die Schutzvorrichtung einen Hochspannungsleiter (4) auf. Sobald dieser Hochspannungs-Leiter (4) im Kontext eines physischen Angriffsversuches freigelegt wird, erfolgt ein sofortiger Spannungsüberschlag auf die anderen Leiter im Nahbereich zum Hochspannungs-Leiter. Deren Erfassungsmittel sprechen auf diese Spannungssprünge an, was in einer Brucherkennung resultiert und die Löschung des Speicherelements zur Folge hat. Darüber hinaus verfügt der Hochspannungsleiter (4) aber ebenfalls über jeweils einen eigenen elektrischen Emitter (14) sowie elektrischen Signal-Empfänger (24). In analoger Weise wie bei den übrigen Leitungsmitteln sendet auch dieser Emitter eine für diesen Leiter individuelle Impulsfolgeperiode (T3), die sich von den Impulsfolgeperioden der übrigen Leiter (T1, T2) unterscheidet, und welche mittels des Empfängers (24) der Komparatoreinheit zum Vergleich mit einer vorgegebenen Referenz zugeführt wird. Somit wird auch auf dem Hochspannungs-Leiter (4) ein Signalmuster aufgeprägt und auf Störungen überwacht. Auf diese Weise können auch Störungen detektiert werden, bei denen die Hochspannung des Hochspannungs-Leiters lediglich auf ein Werkzeug des Angreifers überspringt und sich über dieses erdet; d.h. ohne hierbei eine detektierbare Signalveränderung auf einem der anderen Leitungsmittel des Abschirmmittels zu erzeugen.In addition, the protective device has a high-voltage conductor (4). As soon as this high-voltage conductor (4) is exposed in the context of an attempted physical attack, an immediate voltage flashover occurs on the other conductors in the vicinity of the high-voltage conductor. Its detection means respond to these voltage jumps, which results in a break detection and the erasure of the memory element as a result. In addition, the high-voltage conductor (4) also has its own electrical emitter (14) and electrical signal receiver (24). In a manner analogous to that of the other line means, this emitter also sends an individual pulse train period (T3) for this conductor, which differs from the pulse train periods of the other conductors (T1, T2), and which, by means of the receiver (24) of the comparator unit, is compared with is fed to a predetermined reference. A signal pattern is thus also impressed on the high-voltage conductor (4) and monitored for faults. In this way, faults can also be detected in which the high voltage of the high-voltage conductor merely jumps over to a tool of the attacker and is grounded via this; i.e. without generating a detectable signal change on one of the other line means of the shielding means.

In 3 ist der schematische Aufbau einer alternativen Ausführungsvariante der erfindungsgemäßen Schutzvorrichtung in der Art einer sogenannten „Spiegelbox“ dargestellt. Diese ist gebildet durch ein Gehäuse (106), welches das Abschirmmittel (101) unter Ausbildung eines mit Luft gefüllten Zwischenraumes (105) umgreift und eine auf das Abschirmmittel (101) gerichtete reflektierende („verspiegelte“) Innenfläche aufweist. Dieses Gehäuse (106) schließt den Zwischenraum (105) lichtdicht gegen die Außenumgebung ab. Auf der hierzu gegenüberliegenden Oberfläche des Abschirmmittels (101) ist eine Mehrzahl steuerbarer Lichtquellen (108) und Photosensoren (109) verteilt angeordnet. Die Lichtquellen sind durch das Signalerzeugungsmittel (102) angesteuert, wobei das Signalerzeugungsmittel zur Erzeugung individueller Impulsfolgen für jede Lichtquelle eingerichtet ist. Die Signalausgänge der Photosensoren sind an das Komparatormittel (103) angschlossen. Auf diese Weise wird durch das individuell getaktete An- bzw. Abschalten der Lichtquellen eine Abfolge von Beleuchtungsmustern im Zwischenraum (105) erzeugt, auf dessen Beleuchtungszustände die Photosensoren ansprechen. Die Signalausgänge der Photosensoren werden duch das Komparatormittel mit einer vorgegebenen Referenz (nämlich den optischen Zuständen im lichtdicht gegen die Außenwelt abgeschlossenen Zwischenraum) verglichen und bei Abweichung von der Referenz ein an das Beschädigungsmittel (104) gerichtetes Ausgangssignal zur Beschädigung oder zum Löschen des Speicherelements (100) erzeugt. Auf diese Weise ist eine das innenliegende Abschirmmittel vollständig umgreifende zusätzliche Umhüllung realisiert, deren mechanische Beschädigung die Belichtungsverhältnisse im Zwischenraum verändert und eine Aktivierung des Beschädigungsmittels der Schutzvorrichtung verursacht.In 3 shows the schematic structure of an alternative embodiment variant of the protective device according to the invention in the form of a so-called "mirror box". This is formed by a housing (106) which surrounds the shielding means (101) forming an air-filled space (105) and has a reflective (“mirrored”) inner surface directed towards the shielding means (101). This housing (106) closes the intermediate space (105) from the outside environment in a light-tight manner. A plurality of controllable light sources (108) and photosensors (109) are distributed on the opposite surface of the shielding means (101). The light sources are controlled by the signal generating means (102), the signal generating means being set up to generate individual pulse sequences for each light source. The signal outputs of the photosensors are connected to the comparator means (103). In this way, the individually timed switching on and off of the light sources generates a sequence of lighting patterns in the intermediate space (105), to the lighting states of which the photosensors respond. The signal outputs of the photo sensors are compared by the comparator means with a predetermined reference (namely the optical states in the space sealed off from the outside world) and if there is a deviation from the reference, an output signal directed to the damage means (104) is sent to damage or erase the memory element (100 ) generated. In this way, an additional casing that completely encompasses the inner shielding means is realized, mechanical damage to which changes the lighting conditions in the intermediate space and causes activation of the means for damaging the protective device.

BezugszeichenlisteReference List

1, 21, 2: metallischer Feinleitermetallic fine conductor
33: optischer Leiteroptical conductor
44: Hochspannungsleiterhigh voltage conductor
1111: elektrischer Emitter mit erster Impulsfolgeperiode (T1)electric emitter with first pulse train period (T1)
1212: elektrischer Emitter mit zweiter Impulsfolgeperiode (T2)electric emitter with second pulse train period (T2)
1313: LED-EmitterLED emitter
1414: elektrischer Emitter mit dritter Impulsfolgeperiode (T3)electric emitter with third pulse repetition period (T3)
21, 22, 2421, 22, 24: elektrische Signal-Empfängerelectrical signal receivers
2323: Photosensorphotosensor
100100: elektronisches Speicherelementelectronic storage element
101101: Abschirmmittelshielding means
102102: Signalerzeugungsmittelsignal generating means
103103: Komparatormittelcomparator means
104104: Beschädigungsmitteldamage agent
105105: Zwischenraumspace
106106: GehäuseHousing
107107: Aufnahmen für RotationsgußmaschineRecordings for rotational molding machine
108108: Lichtquellelight source
109109: Photosensorphotosensor
110110: Spannungsversorgungpower supply

ZITATE ENTHALTEN IN DER BESCHREIBUNGQUOTES INCLUDED IN DESCRIPTION

Diese Liste der vom Anmelder aufgeführten Dokumente wurde automatisiert erzeugt und ist ausschließlich zur besseren Information des Lesers aufgenommen. Die Liste ist nicht Bestandteil der deutschen Patent- bzw. Gebrauchsmusteranmeldung. Das DPMA übernimmt keinerlei Haftung für etwaige Fehler oder Auslassungen.This list of documents cited by the applicant was generated automatically and is included solely for the better information of the reader. The list is not part of the German patent or utility model application. The DPMA assumes no liability for any errors or omissions.

Zitierte PatentliteraturPatent Literature Cited

DE 19536477 A1 [0003]
DE 102007044602 A1 [0003]
EP 268142 A2 [0004]

Claims

Tamper-proof device for protecting an electronic memory element (100) against being read out, comprising ■ a shielding means (101) encasing the memory element (100) and containing a plurality of conduction means (1, 2, 3, 4), ■ at least one electromagnetic energy into the Emission means emitting at least one line means, ■ at least one detection means responsive to electromagnetic energy in the at least one line means, ■ a comparator means (103) for comparing a signal value of the at least one detection means with a predetermined reference and generating an output signal if it deviates from the reference, ■ and damage means (104) responsive to the output signal of the comparator means (101) for damaging the memory element (100) or erasing its contents, characterized in that each line means (1, 2, 3, 4) has an emission means ( 11, 12, 13, 14) and detection means (21, 22, 23, 24), and the device also has signal generating means (102) which activate the emission means (11, 12, 13, 14) of all line means and which is set up to generate a first pulse train with a first pulse train period in a first line means (1) and at least one further pulse train with a pulse train period that differs from the first pulse train period in at least one other line means (2, 3, 4), the first pulse train period and each further pulse train period deviating from one another by a differential amount.

Tamper-proof device for protecting an electronic memory element against being read out Claim 1 , characterized in that the first pulse train period and the at least one further pulse train period differ from one another by a factor of at least 100.

Tamper-proof device for protecting an electronic memory element against being read out Claim 1 or 2 , characterized in that the signal generating means (102) is arranged to vary the pulse train period of a pulse train associated with a line means.

Tamper-proof device for protecting an electronic memory element against being read out patent claim 3 , characterized in that the signal generating means (102) is set up to generate a pulse train with period lengths varying around a mean value between two consecutive pulses.

Tamper-proof device for protecting an electronic memory element against being read according to one of the preceding patent claims 1 until 4 , characterized in that the signal generating means (102) is set up to generate a first pulse sequence and at least one further second pulse sequence, the respective transmission pulse durations of which are different.

Tamper-proof device for protecting an electronic memory element against being read according to one of the preceding patent claims 1 until 5 , characterized in that at least one line means is designed as an electrically conductive high-voltage conductor (4).

Tamper-proof device for protecting an electronic memory element against being read according to one of the preceding patent claims 1 until 5 , characterized in that at least one line means is designed as an optical conductor (3).

Tamper-proof device for protecting an electronic memory element against being read according to one of the preceding patent claims 1 until 7 , characterized in that the device further comprises a housing (106) which encloses the shielding means (101) forming an intermediate space (105) and has a reflecting inner surface directed towards the shielding means (101) and a plurality of controllable light sources (16) and photosensors (26) , which are distributed over the outer surface of the shielding means (101) with respect to the intermediate space (6).