DE3789002T2

DE3789002T2 - Gegen unbefugte Manipulation gesichertes Gehäuse für den Schutz von Informationen, gespeichert in einem elektronischen Schaltkreis.

Info

Publication number: DE3789002T2
Application number: DE3789002T
Authority: DE
Inventors: Steve Harris Weingart
Original assignee: International Business Machines Corp
Current assignee: International Business Machines Corp
Priority date: 1986-11-05
Filing date: 1987-11-03
Publication date: 1994-08-04
Anticipated expiration: 2007-11-04
Also published as: EP0268142A2; JPH0568727B2; JPS63124155A; EP0268142A3; US4860351A; DE3789002D1; EP0268142B1

Description

Fachgebiet

Die Erfindung betrifft die Erzielung physischer Sicherheit für Informationen, die elektronisch gespeichert sind, und insbesondere einen adaptiven Schutz, der zugleich eine gute Empfindlichkeit und einen Schutz gegen Fehlalarme bietet.
Die gleichzeitig anhängige Anmeldung EP-A-266748 beschreibt einen Software-Schutzmechanismus, der teilweise auf der Sicherheit von Informationen beruht, die in Hardware-Geräten gespeichert sind. Die vorliegende Erfindung kann eingesetzt werden, um die physische Sicherheit zu erzielen, die für das in der gleichzeitig anhängigen Anmeldung beschriebene Verfahren erforderlich ist.
Die gleichzeitig anhängige Anmeldung EP-A-268882 beschreibt ein anderes gegen unbefugte Manipulation gesichertes Gehäuse für den Schutz von Informationen, die in einem elektronischen Schaltkreis gespeichert sind.

Stand der Technik

Auf dem Stand der Technik wird eine Vielzahl von Vorrichtungen zur Erzielung physischer Sicherheit zum Schutz von Objekten gegen unbefugtes Wegnehmen beschrieben. Im allgemeinen verfügen solche geschützten Objekte über makroskopische Eigenschaften. Es besteht jedoch eine Notwendigkeit, für die Sicherheit von Informationen statt von Objekten zu sorgen. Der für die heimliche Wegnahme von Informationen erforderliche Sicherheitsbruch kann äußerst gering sein im Vergleich zu dem zur Wegnahme eines physischen Objekts erforderlichen Bruch. Daher können die Sicherheitsvorkehrungen für Informationen anders geartet sein als die zum Schutz von Objekten erforderlichen Maßnahmen.
Zum Schutz von in maschinenlesbarer Form vorliegenden Programmen oder Daten verläßt sich die Computerindustrie traditionell auf die physische Sicherheit der Computeranlage selbst oder auf diese Sicherheit in Verbindung mit dem rechtlichen Schutz durch Urheber-, Vertrags-, Betriebsgeheimnis- und Patentrecht. Damit Unbefugte keine abgefangenen Informationen verwerten konnten, wird von der Verschlüsselung Gebrauch gemacht. Im PC-Bereich sind viele verschiedene Kopierschutzkonzepte für Software im Einsatz, die jedoch alle auf einer oder mehreren in das Programm eingebauten Software-Fallen beruhen und gegen den entschlossenen Piraten wirkungslos sind.
Ein Software-Schutzmechanismus ist in US-A-4,471,163 beschrieben. Um physische Sicherheit für die Informationen zu gewährleisten, die in einer elektronischen Vorrichtung gespeichert sein können, beschreibt das Patent, daß eine Leiterplatte, auf der das Programmschloß montiert ist, oben und unten von Schutzplatten umschlossen ist. Der Batteriestrom für die Komponenten wird durch einen Leiter geliefert, der an den Innenseiten der Schutzplatten festgeklebt ist. Durch dieses Verfahren müßte jemand, der sich zu den Komponenten auf der Leiterplatte Zugang zu verschaffen versucht, zwangsläufig zumindest eine der Schutzplatten bewegen. Diese Bewegung führt zum Durchbrechen des Stromkabels, so daß einige der Komponenten ohne Strom sind. Wenn, wie vorgeschlagen wird, der Speicher, der die zu schützenden Informationen speichert, Strom erfordert, würde diese Unterbrechung des Stromkabels die Informationen zerstören, nach denen ein Pirat suchte, und daher blieben die Informationen geschützt. Dieser Manipulationsschutz ist von begrenztem Nutzen, weil er bestenfalls die Bewegung des Teils der oberen und unteren Deckplatten erkennen kann, der unmittelbar an dem Stromkabel festgeklebt ist. Ein entschlossener Pirat mit Zugang zu mehreren solchen Programmschlössern könnte diesen Schutz leicht umgehen, obwohl dies die Zerstörung einer oder mehrerer Leiterplatten bedeuten könnte, bis er den Umfang des Schutzes entdeckt hätte.
In einem ganz anderen Bereich beschreibt US-A-3,763,795 einen Alarmbedingungssensor zur Erkennung des Eindringens in einen Tresor oder Safe. Von oben, unten, vorne, hinten und von den Seiten wird außen an dem Tresor eine Platte angebracht. Jede Platte ist ein Verbund aus einem zerbrechlichen, undurchsichtigen Material, auf dem eine Leiterplatte befestigt ist. Die Leiterplatte wird mit Strom versorgt und ist so eingestellt, daß Versuche, die Platte zu durchbohren, zu zerschneiden oder auf sonstige Weise zu durchdringen, die elektrische Kontinuität der Leiterplatte unterbrechen oder sie mit der Außenwand des Tresors kurzschließen. Dieser Schutz mag zwar im Zusammenhang mit dem Schutz eines Tresors recht wirksam sein, hat jedoch im Zusammenhang mit dem Schutz von Informationen schwere Nachteile.
Solche Tresore sind meist so aufgestellt, daß ein ununterbrochener Zugang zu dem Tresor entweder unmöglich oder aber schwer zu bekommen ist. Da Tresore meist separat aufgestellt sind, ist es für einen Dieb praktisch nicht durchführbar, das bei einem fehlgeschlagenen Versuch, einen ersten Tresor auf zubrechen, erlangte Wissen in einem Versuch anzuwenden, in andere und andersartige Tresore einzudringen.
Andererseits können elektronische Vorrichtungen, die Informationen speichern, eine große Verbreitung haben, so daß ein ununterbrochener Zugang zu einer solchen Vorrichtung nicht nur problemlos zu erreichen ist, sondern regelmäßig ganz selbstverständlich vorkommt. Es ist vorstellbar, daß ein Angriff auf eine Vorrichtung oder Anlage zur Erlangung von Informationen in mehreren Stufen vorgenommen wird:
1. Entfernung der Abdeckung oder Abdeckungen und jeglicher Kapselung;
2. Feststellung der Position und Funktion von Sicherheitssensoren;
3. Umgehung der Sensoren zur Ermöglichung des Zugangs zur nächsten Schicht des Schutzes, usw.
Der Einsatz solcher sorgfältig gezielter Techniken (die mit einer Gehirnoperation zu vergleichen sind) könnten bei ausreichender Zeit und Mitteln bestehende Schutzsysteme überwinden. Es versteht sich von selbst, daß bei einem solchen Angriff das Schutzsystem von Wetz mit großer Gewißheit versagen würde.
Die Gestaltung der meisten, wenn nicht gar aller Alarmsysteme, unterliegt zwei konkurrierenden Aspekten, die bei der Verwirklichung der gewünschten Eigenschaften der Alarmvorrichtung in der Regel einen Kompromiß erfordern. Einerseits soll unsere Alarmvorrichtung extrem empfindlich auf Anzeichen einer Bedrohung reagieren; je höher die Empfindlichkeit ist, desto mehr schrumpft der Spielraum für Andererseits wird unser Alarmsystem aus Vorrichtungen der realen Welt konstruiert, und diese sind Umwelteinwirkungen (Veränderungen von Temperatur, Druck, Feuchtigkeit usw.) und der Alterung ausgesetzt (die eine Spannungsversorgung sowie auch die Parameter von Vorrichtungen wie etwa Widerstand und Kapazität ändern kann). Der letztere Effekt begrenzt die Empfindlichkeit auf einen Wert, der keine Fehlalarme auslöst, wenn sich die Parameter von Vorrichtungen ändern.
Die in US-A-3,825,920, US-A-4,459,583, US-A-4,205,307, US-A- 4,225,859, US-A-4,514,720 und US-A-4,543,565 beschriebenen Systeme bieten verbesserte Alarmsensoren, die sich nicht auf den Schutz von Informationen, sondern auf den Schutz makroskopischer Objekte oder Räume richten.
DE-A-3 032 427 wie auch WO-A-86/03861 beschreiben gegen unbefugte Manipulationen gesicherte Gehäuse zum Schutz von Informationen, die in einem elektronischen Schaltkreis gespeichert sind. In jeder beschriebenen Anordnung umfaßt das Gehäuse ein Wahrnehmungsmittel, das zur Wahrnehmung eines Eindringens um einen elektronischen Schaltkreis herum verteilt ist, mit einem Mittel zur Verteilung elektromagnetischer Energie um den elektronischen Schaltkreis herum und einem Mittel zur Erkennung von Änderungen in der elektromagnetischen Energie, die anzeigen, daß ein Eindringen stattgefunden hat. Die Anordnung in DE-A-3 025 427 umfaßt einen Sensor und einen Taktgeber in dem Wahrnehmungsmittel und auch ein Beschädigungsmittel zur Beschädigung des elektrischen Schaltkreises oder der darin gespeicherten Informationen als Reaktion auf ein Anzeichen dafür, daß ein Eindringen stattgefunden hat.
US-A-4 459 583 beschreibt ein Alarmsystem zur Feuererkennung oder für Sicherheitszwecke, das mindestens eine primäre Erkennungsvorrichtung umfaßt, die ein analoges Ausgangssignal liefert. Die Veränderungsrate des Analogsignals wird überwacht, und wenn die Veränderungsrate eine vorbestimmte Grenze überschreitet, wird ein Alarmsignal erzeugt. Das System umfaßt Mittel zur Kompensation der Drift des Wertes des Analogsignals infolge von Veränderungen in den Parametern des Systems.
Es ist somit ein Ziel der Erfindung, ein System zum Schutz von Informationen zu liefern, die in elektronischen Schaltkreisen oder ähnlichem gespeichert werden kann, wobei die Empfindlichkeit zur Erkennung eines Eindringens nicht dadurch eingeschränkt ist, daß ein Schutz gegen Fehlalarme geboten wird. Es ist ein begleitendes Ziel der Erfindung, physischen Schutz für Informationen zu bieten, die in elektronischen Schaltkreisen gespeichert werden können, wobei die Erzielung der wünschenswerten Empfindlichkeit nicht zu Fehlalarmen führt.

Zusammenfassung der Erfindung

Die vorliegende Erfindung betrifft ein gegen unbefugte Manipulation gesichertes Gehäuse zum Schutz von Informationen, die in einem elektronischen Schaltkreis gespeichert sind, bestehend aus einem Mittel zur Verteilung elektromagnetischer Energie um den elektronischen Schaltkreis herum, einem Sensor zur Erzeugung einer ersten Ausgabe, die den Pegel der elektromagnetischen Energie darstellt, um ein Eindringen in das Gehäuse zu erkennen, einem Taktgeber, einem Abtast- und Haltemittel, das an den Sensor gekoppelt ist und periodisch von dem Taktgeber getaktet wird, um eine zweite Ausgabe des Sensors abzutasten und zu speichern, einem Komparatormittel zum Vergleichen der ersten Sensorausgabe und der zweiten Sensorausgabe, das periodisch von dem Taktgeber getaktet wird, und einem Beschädigungsmittel zur Beschädigung des elektronischen Schaltkreises oder der darin gespeicherten Informationen als Reaktion auf ein vorbestimmtes Ausgabesignal des Komparatormittels, das für eine Veränderung im Pegel der elektromagnetischen Energie steht, die für ein Eindringen in das Gehäuse steht.
Gemäß der Erfindung ist das Gehäuse dadurch gekennzeichnet, daß das Komparatormittel eine Komparatoreinheit umfaßt sowie einen Spannungsteiler, der zwischen zwei Vergleichsspannungspegeln mit einem dazwischenliegenden Punkt gekoppelt ist, der an den Ausgang des Abtast- und Haltemittels angeschlossen ist, wodurch die Spannungen an drei internen Knoten (H, S, L) des Spannungsteilers von der Ausgabe des Abtast- und Haltemittels abhängig sind, eine Verbindung zwischen dem Sensor und einer ersten Eingabe in die Komparatoreinheit, Verbindungen zwischen zwei Knoten (H, L) des Spannungsteilers und einer zweiten Eingabe bzw. einer dritten Eingabe in die Komparatoreinheit, wodurch die Ausgabe der Komparatoreinheit die relativen Werte der ersten Eingabe in die Komparatoreinheit und der zweiten und dritten Eingaben in die Komparatoreinheit repräsentiert und das vorbestimmte Ausgangssignal ist, wenn der Wert der ersten Eingabe in die Komparatoreinheit entweder größer als der Wert der zweiten Eingabe oder kleiner als der Wert der dritten Eingabe ist.
Das Gehäuse umfaßt meist eine Einfassung, die den elektronischen Schaltkreis im wesentlichen umgibt. Zur Wahrnehmung eines Eindringens in die Einfassung befindet sich innerhalb der Einfassung eine Wahrnehmungsanordnung. Zur Ausführung der Wahrnehmungsfunktion wird innerhalb der elektrischen Einfassung elektromagnetische Energie verteilt.
Zur Erkennung der Energieverteilung wird eine Vorrichtung geliefert. Diese Vorrichtung umfaßt einen Sensor, einen Taktgeber, einen Abtast- und Halteschaltkreis, der von dem Sensor getrieben wird und periodisch getaktet wird, um eine Ausgabe des Sensors abzutasten und zu speichern.
In einem bevorzugten Ausführungsbeispiel umfaßt der Sensor einen integrierenden Schaltkreis. In diesem bevorzugten Ausführungsbeispiel wird die elektromagnetische Energie unter dem Einfluß einer elektrischen Stromquelle und einer Spule aus isolierten elektrischen Leitern verteilt, die an einem Anschluß an diese Quelle gekoppelt sind und so gewickelt sind, daß sie den elektronischen Schaltkreis umgeben, wobei ein anderer Anschluß des elektrischen Leiters an den Sensor gekoppelt ist.
Entsprechend wird elektrischer Strom in den Sensor eingegeben, dessen Amplitude in Zusammenhang mit dem Widerstand steht, den der elektrische Leiter bietet. Die Ausgabe des Sensors einschließlich des integrierenden Schaltkreises weist im Normalfall eine ansteigende Wellenform auf, bei der die Veränderungsrate der Ausgabe linear und umgekehrt proportional zu dem Widerstand des elektrischen Leiters ist. Im Normalfall ist der Widerstand konstant und führt zu einer konstant abfallenden oder ansteigenden Wellenform. In dem Maß, wie der Widerstand im Laufe der Integrationsperiode schwankt, schwankt auch der Abfall der Wellenform, und infolgedessen schwankt auch die Amplitude, die von der Wellenform zu einem beliebigen Zeitpunkt während der Integrationsperiode erreicht wird.
Ein Komparator wird bereitgestellt und an den Ausgang der Wahrnehmungsanordnung angeschlossen. Der Komparator ist an mindestens einen Referenzwert gekoppelt, mit dem die Eingabe aus dem Sensor verglichen wird. Dieser Referenzwert wird zum Teil von der Ausgabe des Abtast- und Halteschaltkreises bestimmt. Der Komparator erzeugt eine distinktive Ausgabe, wenn diese beiden Eingaben um mehr als eine vorbestimmte Schwelle differieren.
Die Empfindlichkeit der Erfindung wird gesteigert, während zugleich ein Schutz gegen Fehlalarme geboten wird, die durch die langsame Drift der Parameterwerte oder dergleichen hervorgerufen werden. Ohne einen Abtast- und Halteschaltkreis oder etwas Ähnliches wären wir darauf beschränkt, für den Vergleich mit der Ausgabe der Wahrnehmungsanordnung eine konstante Referenz bereitzustellen.
Aufgrund der naturgegebenen Drift in Vorrichtungen der realen Welt und zur Minimierung von Fehlalarmen wären wir darauf beschränkt, mit einer relativ großen Schwelle zu leben. Wenn wir zum Beispiel vorhersagen würden, daß zur Minimierung von Fehlalarmen eine Drift um 10% während der Lebensdauer der Vorrichtung berücksichtigt werden müßte, dann müßte die Schwelle mindestens 10% betragen. Diese Schwelle bestimmt dann die Empfindlichkeit.
Die Empfindlichkeit wird jedoch erhöht, ohne daß dadurch zugleich das Risiko von Fehlalarmen steigt, indem der Abtast- und Halteschaltkreis eingesetzt wird, der den Wert der Referenz steuert. Anstelle einer festen Referenz haben wir also eine variable oder adaptierbare Referenz, die von der Ausgabe des Abtast- und Halteschaltkreises bestimmt wird. Der Taktgeber bestimmt die Rate, mit der neue Abtastwerte gesammelt werden. Die Schwelle muß nun nur noch groß genug sein, um die Drift zu berücksichtigen, die bei einem Taktzyklus zu erwarten ist. Wir können daher mit einer relativ geringen Toleranz arbeiten, um eine erhöhte Empfindlichkeit zu ermöglichen. Fehlalarme werden minimiert, da eine langsame Drift (langsam im Verhältnis zum Taktgeber) die Referenz aktualisiert oder die Referenz schnell genug anpaßt, um Fehlalarme zu vermeiden.
Wenn der Komparator tatsächlich eine Ausgabe produziert, die eine Veränderung des Sensorwertes über unsere Schwelle hinaus darstellt, liegt ein Anzeichen für eine unbefugte Manipulation vor. Entsprechend stellen wir eine Vorrichtung zur Beschädigung des elektronischen Schaltkreises oder zumindest der in ihm gespeicherten Informationen bereit. Bei dem elektronischen Schaltkreis kann es sich typischerweise um einen Speicher mit wahlfreiem Zugriff (RAM) handeln. Viele solcher Vorrichtungen sind dynamisch in dem Sinne, daß sie eine Stromversorgung benötigen, um die Informationen zu behalten. Entsprechend kann es sich bei den Beschädigungsmitteln einfach um eine Anordnung zur Beendigung oder Behinderung des Energieflusses handeln, der verwendet wird, um die Informationen im RAM zu behalten. Möglich sind auch andere Anordnungen: Bei manchen Speicherformen (EPROM) wird der Speicher mit UV-Licht "gelöscht". Ein alternatives Beschädigungsmittel kann daher eine solche UV-Lichtquelle und eine Anordnung umfassen, die diese Quelle erregt, wenn der Komparator die Ausgabe erzeugt, die wir suchen.
Ein Ausführungsbeispiel der Erfindung bietet ein gegen unbefugte Manipulationen gesichertes Gehäuse zum Schutz von Informationen, die in einem elektronischen Schaltkreis gesichert sind, bestehend aus einem Wahrnehmungsmittel zur Wahrnehmung eines Eindringens, das um den elektronischen Schaltkreis herum verteilt ist, wobei das Wahrnehmungsmittel umfaßt: ein Mittel zur Verteilung elektromagnetischer Energie um den elektronischen Schaltkreis herum, ein Mittel zur Erkennung der Energieverteilung mit einem Sensor, einem Taktgeber, einem Abtast- und Halteschaltkreismittel, das mit dem Sensor gekoppelt ist und periodisch von dem Taktgeber getaktet wird, um eine Ausgabe des Sensors abzutasten und zu speichern, einem Komparator mit mindestens einem Eingang, an dem ein Signal von dem Abtast- und Halteschaltkreismittel anliegt, und einem anderen Eingang von dem Sensor, und einem Beschädigungsmittel zur Beschädigung des elektronischen Schaltkreises oder der darin gespeicherten Informationen als Reaktion auf ein Zeichen auf dem Komparator für ein Eindringen oder ein versuchtes Eindringen in diese Einfassung.
Da der Abtast- und Halteschaltkreis in der Lage ist, dem Komparator nur eine einzige Eingabe zu liefern, müssen wir die vom Sensor erzeugte Eingabe in einer entsprechenden Weise bereitstellen. Wir könnten zum Beispiel einfach ein Maß für den Widerstand der elektrischen Leiter in einem bestimmten Augenblick mit dem Signal vergleichen, das den in dem Abtast- und Halteschaltkreis gespeicherten Wert vertritt. Ein Nachteil dieses Ansatzes liegt darin, daß wir letztlich nur in diskreten Augenblicken wahrnehmen und Wahrnehmungen letztlich nur in diskreten Augenblicken stattfinden und Ereignisse, die außerhalb der Wahrnehmungsaugenblicke stattfinden, nicht abgedeckt werden. Entsprechend umfaßt der Sensor einen integrierenden Schaltkreis, der so angeordnet ist, daß er eine Integration auf der Widerstandsmessung über die Periode des Taktgebers durchführt. Der in dem Abtast- und Halteschaltkreis gespeicherte Wert ist eine entsprechende Messung, so daß wir letztlich, wenn wir den Wert aus dem Abtast- und Halteschaltkreis mit dem Wert vergleichen, der vom Sensor geliefert wird, die gesamte Taktperiode abdecken. Der Integrator hat ferner den Vorteil, daß er die Rauschunempfindlichkeit verbessert.
Unbefugte Manipulationen können den Widerstand des elektrischen Leiters in beiden Richtungen beeinflussen, d. h. wenn der Leiter offengeschaltet wird, steigt der Widerstand dramatisch an, wenn ein Leiter beschädigt ist, steigt der Widerstand meist ebenfalls an, doch wenn ein Teil des Leiters mit einem anderen Teil kurzgeschlossen wird, nimmt der Widerstand meist ab.
Wir wollen in der Lage sein, Schwankungen in beiden Richtungen wahrzunehmen. Zu diesem Zweck ist der Komparator für drei Eingaben ausgerüstet, eine vom Sensor sowie eine hohe und eine niedrige Referenzeingabe. Die Referenzeingaben sind von einem Spannungsteiler abgeleitet, der zwischen einer vorbestimmten Spannung und Erde oder einem sonstigen geeigneten Potential angeschlossen ist. Die Ausgabe des Abtast- und Halteschaltkreises ist an einem dazwischengelegenen Punkt ebenfalls an den Spannungsteiler gekoppelt. Der Spannungsteiler ist mit zwei Abgriffstellen ausgestattet, von denen die eine an die hohe Referenzeingabe des Komparators und die andere an die niedrige Referenzeingabe angeschlossen ist. Das Signal, das von der Abgriffstelle für die hohe Referenz geliefert wird, ist somit eine Funktion der Differenz zwischen der vorbestimmten Referenzspannung und der Ausgabe des Abtast- und Halteschaltkreises, während die Abgriffstelle für die niedrige Referenz eine Spannung aufweist, die die Differenz zwischen Erde (oder einem anderen Potential) und dem Ausgang des Abtast- und Halteschaltkreises darstellt. Auf diese Weise leiten wir hohe und niedrige adaptive Referenzsignale für den Komparator ab.
Um ein Gehäuse für empfindliche Schaltkreisvorrichtungen zu produzieren, das ausreichend Schutz bietet, darf das Wahrnehmungselement keine "Löcher" lassen, durch die kleine Sonden oder sonstige Gegenstände eingeführt werden könnten. Das Wahrnehmungselement sollte zerbrechlich sein, damit Versuche, sich an das Element oder eine Komponente des Elements anzuklemmen, um es zu umgehen, zum Zerbrechen des Wahrnehmungselements oder zumindest einer Komponente davon führen. Das Material des Wahrnehmungselements ist so gewählt, daß ein Anklemmen schwierig ist. Auch ein hoher Widerstand pro Längeneinheit ist eine wünschenswerte Eigenschaft. Die Zufälligkeit in der Plazierung des Elements ist ebenfalls wünschenswert. Dies minimiert die Aufschlüsse, die ein Pirat erhalten kann, indem er eine Einheit zu Meßzwecken "opfert", um mit den so gewonnenen Informationen eine zweite Einheit anzugreifen.
Gemäß einem bevorzugten Ausführungsbeispiel der Erfindung wurde als Wahrnehmungselement ein sehr feiner Draht gewählt. Ein isolierter Nichrom-Draht mit einem Durchmesser von 35/10.000 Zoll wird verwendet und um den oder die zu schützenden Schaltkreise herumgewickelt. Vorzugsweise werden mehrere Schichten verwendet, und jede Schicht wird eng oder wild gewickelt, so daß alle freiliegenden Oberflächen vollständig bedeckt sind. Bei Nichrom-Draht ist ein Anklemmen nur schwer möglich, und die geringe Größe des Drahtes erhöht diese Schwierigkeit zusätzlich. Getrennte Wicklungen um verschiedene Achsen machen das Gehäuse noch sicherer. Es dürfte deutlich sein, daß auch andere geeignete Wahrnehmungselemente zur Verfügung stehen; Aluminium, andere Stahllegierungen und manche exotische Materialien sind mögliche Ersatzstoffe für den oben ausdrücklich genannten Nichrom-Draht.
Ein weiterer Schutz wird erzielt, indem das Gehäuse nach dem Einwickeln vergossen wird. Bevorzugtes Vergußmaterial ist ein undurchsichtiges, vernetztes, gefülltes Epoxyharz. Durch die Verwendung einer etwas lockeren Wicklungsspannung in Verbindung mit der kleinen Größe des gewählten Drahtes und der Undurchsichtigkeit des Epoxyharzes ist eine Zufälligkeit in der Lage der einzelnen Windungen gegeben. Dadurch muß der Pirat langsam arbeiten, wenn er versucht, sich mechanisch in das Epoxyharz hineinzuarbeiten, aber aufzuhören, bevor er einen der Drähte beschädigt. Die Wahrnehmungsanordnung ist so angeordnet, daß der Bruch oder die bloße Beschädigung eines Drahtes (die zur Öffnung des Schaltkreises oder zur Erhöhung des Widerstandes führt) oder das Kurzschließen verschiedener Stellen des Drahtes (da die resultierende Änderung des Widerstands erkannt wird) erkannt werden. Der Füllstoff des Epoxyharzes (Ton- oder Kieselerde) erschwert eine spanabhebende Bearbeitung. Wenn der Pirat ein Lösungsmittel oder eine Chemikalie einsetzt, löst sich die Isolierung der Drähte (zum Beispiel Polyurethan oder Polyolefin) und vielleicht sogar der Draht selbst leichter auf als das Epoxyharz. Beim Einsatz von UV-Laser-Ablation erzeugen die anorganischen Füllstoffe große Hitze, und dies kann aufgrund der mechanischen Belastung durch den Temperaturgradienten zum Aufreißen führen. Dadurch bricht meist ein Draht, und dies fördert die Erkennung. Die Reaktion auf Wärme zur Erleichterung der Erkennung kann verbessert werden, indem eine wärmeempfindliche Vorrichtung wie zum Beispiel ein Bimetall in das Vergußmaterial integriert wird. Die Integration einer solchen Vorrichtung hat die Tendenz, als Reaktion auf Wärme mechanische Bewegung zu erzeugen, um die Wahrscheinlichkeit des mechanischen Aufreißens des Wahrnehmungselementes zu erhöhen.
Der um das zu schützende Gehäuse herumgewickelte Nichrom- Draht bildet ein verteiltes Widerstandselement. Der Widerstand wird von dem Sensor gemessen. Wenn das Element zerbrochen wird oder sein Widerstand geändert wird, neigt die Schaltung dazu, dies zu erkennen. Um die Empfindlichkeit des Sensors für Kurzschlüsse zu erhöhen, wird der Draht in mehreren Litzen gewickelt, die nach dem Wickeln in Reihe angeschlossen werden. Dadurch liegen benachbarte Windungen der Wicklung auf dem verteilten Element weiter auseinander, als es benachbarte Windungen einer einzelnen Litze wären. Dies erhöht die Empfindlichkeit, weil (zum Beispiel) drei von vier nahe beieinandergelegenen Drähten in bezug auf ihren Widerstand weiter auseinanderliegen als die nächste Windung, die um das Gehäuse herumführt. Wenn zwei zufällig ausgewählte, aber benachbarte Drähte miteinander kurzgeschlossen werden, ist es wahrscheinlich, daß es zu einer erheblichen Änderung im Gesamtwiderstand kommt, die die Erkennung fördert. Ein weiterer Vorteil des Wickelns in mehreren Litzen liegt in dem von ihm ausgehenden Effekt der Bifilarwicklung. Dies vermindert die Aufnahme elektromagnetischer Beeinflussungen, die sich so aufheben. Der Sensor wird in einem harten, undurchsichtigen Epoxyharz vergossen, um den Zugang zu der innerhalb des Drahtes liegenden Schaltung durch einfaches Verschieben des Drahtes zu erschweren. Die Drahtwicklung bildet auch eine elektromagnetische Abschirmung, die die Abstrahlung der darinliegenden Schaltung reduziert und die Sicherheit dadurch weiter steigert.

Kurze Beschreibung der Zeichnungen

Um den Fachmann in die Lage zu versetzen, die Erfindung auszuführen, wird diese in den nachstehenden Abschnitten im Zusammenhang mit den folgenden beigefügten Zeichnungen im einzelnen beschrieben, wobei gleiche Bezugszeichen jeweils die gleichen Vorrichtungen bezeichnen:
Fig. 1 ist eine schematische Darstellung der Anwendung der Erfindung zum Schutz von Informationen, die in elektronischen Schaltkreisen gespeichert sind;
Fig. 2 zeigt im Querschnitt eine elektronische Schaltkreiskarte, die gemäß der Erfindung geschützt ist;
Fig. 3 ist ein Schaltkreisdiagramm der Wahrnehmungsvorrichtung, die bei der in Fig. 1 schematisch dargestellten Vorrichtung zum Einsatz kommt;
Fig. 4 ist ein Wellendiagramm, das die Ausgabe des Integrators 110 in Fig. 2 unter bestimmten Umständen zeigt;
Fig. 5 ist ein Wicklungsdiagramm, das zeigt, wie der Leiter 30 gemäß einem Ausführungsbeispiel der Erfindung gewickelt werden kann; und
Fig. 6 ist ein alternatives Wicklungsdiagramm.

Detaillierte Beschreibung der bevorzugten Ausführungsbeispiele

Fig. 1 zeigt eine elektronischen Schaltkreiskarte 10, auf der elektronische Schaltkreise in Form der Chips 11-13 montiert sind. Die Leiterplattenverdrahtung, die die Chips 11-13 verbindet, ist nicht speziell dargestellt, und die Darstellung umfaßt auch nicht die Leiterplattenverdrahtung, die diese Chips mit dem externen Anschluß 14 verbindet. Die Karte 10 steht stellvertretend für eine breite Vielfalt von Vorrichtungen, die zur Speicherung von empfindlichen Informationen verwendet werden. Ein Beispiel für solche Informationen wird in der gleichzeitig anhängigen Anmeldung EP-A-266748 beschrieben. Auf die gespeicherten Informationen kann über den Anschluß 14 zugegriffen werden; Schutz vor unbefugten Zugriffen über diesen Weg liegt außerhalb der Reichweite dieser Erfindung. Es ist der Zweck der Erfindung, dafür zu sorgen, daß auf die Informationen, die in dem Schaltkreis gespeichert sind, nicht auf andere Weise zugegriffen werden kann. Der zugrundeliegende Zweck der Erfindung wird erreicht, indem dafür gesorgt wird, daß nichts in der Lage ist, in einen geschützten Raum einzudringen, der die Karte 10 umschließt. In Fig. 1 ist eine Einfassung gestrichelt dargestellt, die typisch für viele Einfassungen ist, in denen sich eine Karte wie die Karte 10 befinden kann. Um ein Eindringen zu erkennen, verfügt die Erfindung über eine in der Einfassung verteilte Wahrnehmungsvorrichtung zur Wahrnehmung eines Eindringens in die Einfassung. Die Wahrnehmungsvorrichtung umfaßt eine Vorrichtung zur Verteilung elektromagnetischer Energie sowie eine weitere Vorrichtung zur Erkennung dieser Verteilung. Anhand einer Schwankung oder Unterbrechung in der Verteilung der elektromagnetischen Energie wird ein Eindringen erkannt. In vielen Anwendungen werden die zu schützenden Informationen in flüchtigen Vorrichtungen gespeichert, in denen die Informationen durch das Anliegen von Strom gehalten werden. Die Erfindung dient dazu, das Anliegen von Strom an flüchtige Vorrichtungen zu steuern, um nach der Wahrnehmung eines Eindringens dieses Anliegen von Strom zu unterbrechen (und den Stromanschluß vorzugsweise zu erden) oder die Funktion der elektronischen Vorrichtungen zu unterbrechen. Diese Unterbrechung kann durch einen einfachen Schalter erfolgen, wenn er richtig gesteuert wird. Die Anwendung der Erfindung erfordert die Verwendung flüchtiger Informationsspeichervorrichtungen jedoch nicht. In anderen Ausführungsbeispielen der Erfindung werden Vorrichtungen vorgesehen, deren einziger Zweck es ist, die Speicherung von Informationen zu unterbrechen oder zu beschädigen, wenn ein Eindringen entdeckt wird. EEPROM-Vorrichtungen zum Beispiel können durch Bestrahlung mit ultraviolettem Licht gelöscht werden. Es liegt innerhalb der Reichweite der Erfindung, eine ultraviolette Lichtquelle und eine Vorrichtung zur Erregung dieser Lichtquelle im Falle der Wahrnehmung eines Eindringens vorzusehen.
Wie in Fig. 1 gezeigt, ist bin Element zur Wahrnehmung des Vorliegens eines Eindringens eine eng gewickelte Spule aus einem isolierten Leiter 30; in Fig. 1 ist der Abstand zwischen benachbarten Windungen des Leiters 30 vergrößert dargestellt, um den Blick auf die Karte 10 freizugeben, die sich innerhalb der von dem Leiter 30 gebildeten Spule befindet. In der Praxis ist die Spule so eng gewickelt, daß das Vorhandensein der Spule selbst den Zugriff auf die Karte 10 physisch verhindert. Der Angreifer ist dann gezwungen, eine oder mehrere Wicklungen des Leiters 30 zu verlagern, um einen Zugang zu bekommen, und es ist eine These der Erfindung, daß die Vorrichtung so angeordnet ist, daß sie das Verlagern des Leiters be- oder verhindert oder zumindest jeden Versuch einer Verlagerung des Leiters 30 wahrnimmt. In einem bevorzugten Ausführungsbeispiel wird der Leiter 30 aus einem isolierten Nichrom-Draht gebildet, der relativ dünn ist, wie zum Beispiel 35/10.000 Zoll. Dies bietet zwei Vorteile: Der Leiter 30 ist relativ zerbrechlich, so daß viele Versuche, ihn zu verlagern, tatsächlich zum Bruch des Leiters führen, und dies ist eine Grundlage für die Erkennung, wie unten beschrieben wird. Es ist vorstellbar, daß ein Angreifer versuchen würde, Teile des Leiters 30 physisch zu entfernen und dem Schutzsystem vorzutäuschen, der Leiter 30 sei vorhanden, indem er den entfernten Teil des Leiters 30 umgeht oder dessen Effekt simuliert. Die Verwendung von relativ dünnem Nichrom-Draht erschwert diesen Versuch jedoch, da ein Anklemmen an den Nichrom-Draht schwierig ist.
Fig. 2 zeigt im Querschnitt, wie eine Karte wie zum Beispiel die Prozessorkarte 10 gemäß der Erfindung geschützt werden kann. Insbesondere ist die Schutzkarte 210 gemeinsam mit der Prozessorkarte innerhalb einer Einfassung montiert; die Schutzkarte umfaßt die in Fig. 3 schematisch gezeigten Schaltkreise. Um die Prozessorkarte 10 herum verteilt (so daß darin auch die Schutzkarte 210 enthalten ist) ist die aus dem Leiter 30 bestehende Wicklung. Wie in Fig. 2 gezeigt, werden zwei Rampen 35 eingesetzte um die Wicklung jenseits der Enden der Prozessorkarte 10/Schutzkarte 210 zu unterstützen. Die aus dem Leiter 30 bestehende Wicklung sowie die Komponenten darin sind innerhalb des Vergußmaterials 50 eingeschlossen. Die aus dem Leiter 30 bestehende Wicklung ist so angeordnet, daß ein Eindringen in das Innere, also in den Raum, der von der Prozessorkarte 10 eingenommen wird, nicht möglich ist, ohne eine oder mehrere Windungen des Leiters 30 zu stören, und es ist eine These der Erfindung, daß eine solche Störung als Zeichen für ein Eindringen entdeckt wird.
Fig. 3 zeigt einen Erkennungsschaltkreis. Insbesondere ist eine Spannungsquelle an ein Ende des Leiters 30 gekoppelt, dessen anderes Ende als Eingang mit einem Integrator 110 gekoppelt ist. Der Ausgang des Integrators ist als Eingang über den Leiter 112 mit einem Abtast- und Halteschaltkreis 120 und über den Leiter 113 mit dem Eingangsanschluß eines Komparators 130 verbunden. Der Integrator 110 wird über den Leiter 101 periodisch von einem Signal des Taktgebers 100 getaktet. Ebenso wird der Abtast- und Halteschaltkreis 120 über den Leiter 102 periodisch von einem anderen Signal des Taktgebers 100 zurückgesetzt. Jedesmal, wenn der Abtast- und Halteschaltkreis 120 getaktet wird, holt er sich einen neuen Abtastwert vom Ausgang des Integrators 110. Der Ausgang des Abtast- und Halteschaltkreises 120 ist an einen Spannungsteiler V an einem Anschluß S gekoppelt. Der Spannungsteiler V ist zwischen zwei Referenzpotentiale wie zum Beispiel positive Spannung und Erde gekoppelt. An einem Punkt H zwischen einem der Referenzpotentiale und dem Anschlußpunkt S wird eine Eingabe für einen hohen Referenzeingang des Komparators 130 abgegriffen. An einem anderen Punkt L, der zwischen dem anderen Referenzpotential und dem Punkt S liegt, wird eine andere Eingabe für einen niedrigen Referenzeingang des Komparators 130 abgegriffen. Der Komparator 130 wird ebenfalls über den Leiter 103 von einem Signal des Taktgebers 100 getaktet. Vorrichtungen, die dem Taktgeber 100, dem Integrator 110, dem Abtast- und Halteschaltkreis 120 und dem Komparator 130 entsprechen, sind im Handel erhältlich und werden hier nicht näher beschrieben.
Unter normalen Umständen fließt Strom durch den Leiter 30, und die Amplitude dieses Stroms hängt teilweise von dem Widerstand ab, den der Leiter 30 bietet. Dieser Strom fließt als Eingabe zu dem Integrator 110. Der Integrator liefert eine Ausgabe auf dem Leiter 113, deren Spannung sich mit der Zeit ändert. Fig. 4 zeigt die Wellenform am Ausgang des Integrators 110 unter der Annahme, daß der Widerstand des Leiters 30 und die Spannungsversorgung über die Zeit hinweg konstant bleiben; unter diesen Umständen hat die Ausgangsspannung des Integrators 110 die Form einer Steigung. Fig. 4 zeigt, daß der Integrator periodisch von dem Taktgeber 100 zurückgesetzt wird, zum Beispiel zum Zeitpunkt t&sub1;. Wenn der Integrator zurückgesetzt wird, sinkt seine Ausgangsspannung auf Null und beginnt dann wieder zu steigen.
Die Takteingabe des Abtast- und Halteschaltkreises 120 ist vor (vorzugsweise erst kurz vor) dem Zeitpunkt aktiv, zu dem der Integrator 110 zurückgesetzt wird (t&sub1;), damit sich der Abtast- und Halteschaltkreis 120 über den Leiter 112 einen Spannungsabtastwert holen kann. Eine Spannung, die diesem Abtastwert entspricht, wird von dem Abtast- und Halteschaltkreis 120 an dem Punkt S geliefert, und diese Spannung wird konstant gehalten, bis es der nächste Taktimpuls auf dem Leiter 102 dem Abtast- und Halteschaltkreis ermöglichte sich einen neuen Abtastwert zu holen.
Der Komparator 130 vergleicht seine Eingangsspannung mit den Signalen an seinem hohen und seinem niedrigen Eingangsanschluß; falls die Eingangsspannung die hohe Eingangsspannung überschreitet oder die niedrige Eingangsspannung unterschreitet, erfolgt eine Ausgabe an die Schaltkreis-Stromversorgungssteuerung 140. Es gibt also ein Fenster zwischen den Potentialen bei den Punkten H und L, innerhalb dessen der Komparator 130 nicht reagiert. Da dieses Fenster teilweise von dem Abtast- und Halteschaltkreis 120 festgelegt wird, paßt sich das Fenster an Änderungen bei den Sensorparametern an. Bei der Schaltkreis- Stromversorgungssteuerung 140 kann es sich in einigen Ausführungsbeispielen um einen einfachen Schalter handeln, der die Stromversorgung der Chips 11-13 unterbricht, die die zu schützenden Informationen enthalten. Andererseits kann die Schaltkreis-Stromversorgungssteuerung 140 eine Vorrichtung in Betrieb setzen oder aktivieren, um in irgendeiner Weise die Fähigkeit der Chips 11-13 zu beschädigen, die in ihnen gespeicherten Informationen zu behalten.
Es dürfte für den Fachmann deutlich sein, daß der Pegel der Referenzeingänge (hoch und niedrig) des Komparators 130 eine Funktion der Spannung an dem Punkt S ist, die von dem Abtast- und Halteschaltkreis 120 erzeugt wird. Wenn diese Spannung zum Ansteigen neigt, werden auch die Referenzspannungen bei H und L ansteigen, und wenn die Spannung an dem Punkt S sinkt, werden auch die Referenzspannungen bei H und L sinken. In jedem Augenblick des Abtastens vergleicht der Komparator 130 seine Eingabe von dem Integrator 110 mit dem Referenzpegel, der von dem Abtastwert bestimmt wird, der im vorigen Zyklus geholt wurde. Nominell sind die Parameter so arrangiert, daß die Ausgabe des Integrators 110 im wesentlichen gleich der Spannung am Punkt S ist, wenn der Taktgeber 100 den Komparator 130 taktet. Wenn aufgrund von Parameterveränderungen die Ausgabe des Integrators 110 zum Vergleichszeitpunkt von Zyklus zu Zyklus schwankt, kann der Komparator 130 je nach dem Ausmaß der Schwankung eine Ausgabe erzeugen. Wenn die Ausgabe des Integrators 110 zwischen den bei H und L festgestellten Spannungen liegt, dann erzeugt der Komparator 130 keine Ausgabe, und umgekehrt. Der Schaltkreis liefert dem Komparator 130 letztlich die Mittel zur Wahrnehmung der Widerstandsänderung im Leiter 30. Wegen des Abtast- und Halteschaltkreises 120 und seiner Verbindung zu dem Spannungsteiler V ist der Schaltkreis dem Wesen nach adaptiv; wenn die Parameter schwanken, schwanken auch die Referenzpegel. Der Komparator 130 wird erst ausgelöst, wenn die Schwankung innerhalb eines Zyklus die von dem Teiler R&sub1;, R&sub2;, R&sub3;&sub1; R&sub4; gestattete Schwankung überschreitet.
Wenn wir insbesondere von einem Fenster mit hoher (EH) und niedriger (EL) Schwelle ausgehen, wird
EH als I&sub1; + (V - I&sub1;) R&sub2;/(R&sub1;+R&sub2;) angegeben, und
EL kann als I&sub1; · R&sub4;/(R&sub3;+R&sub4;) angegeben werden,
wobei gilt:
I&sub2; ist die Ausgabe des Integrators an den Komparator bei einem Taktimpuls,
I&sub1; ist die Ausgabe des Integrators an den Abtast- und Halteschaltkreis beim vorherigen Taktimpuls,
R&sub1;, R&sub2;, R&sub3; und R&sub4; bilden die Spannungsteilerkette, wobei Ii zwischen R&sub2; und R&sub3; eingegeben wird.
Die obere Spanne ist = EH-I&sub2; und die untere Spanne = I&sub2;-EL, wie aus den obigen Gleichungen und aus Fig. 3 hervorgeht.
Der Komparator erzeugt eine Ausgabe, die auf eine unbefugte Manipulation hinweist, wenn:
I&sub2; > EH oder
I&sub2; < EL.
Der Widerstand des Leiters 30 kann durch einen von drei physikalischen Mechanismen schwanken; der Widerstand schwankt, wenn der Leiter 30 offengeschaltet wird oder wenn benachbarte oder nah beieinanderliegende Windungen miteinander kurzgeschlossen werden oder wenn der Leiter beschädigt wird, so daß sich sein Querschnitt vermindert. Bei der Erkennung eines dieser Umstände kann eindeutig auf ein Eindringen geschlossen werden.
Die Offenschaltung des Leiters 30 führt zu einer dramatischen Änderung der Ausgabe des Integrators 110, und in allen oder fast allen Fällen wird diese Änderung von dem Komparator 130 fast unverzüglich und unzweifelhaft erkannt.
In welchem Umfang ein Kurzschluß zwischen den benachbarten oder nah beieinanderliegenden Windungen des Leiters 30 entdeckt wird, hängt von der Widerstandsänderung ab, die durch den Kurzschluß herbeigeführt wird. Es ist vorstellbar, wie deutlich sein dürfte, daß ein Kurzschluß eine Widerstandsänderung herbeiführen würde, die leicht unentdeckt bleiben könnte (1% oder weniger), wenn die Spule nur aus einer einzelnen Litze bestünde. Fig. 5 ist ein Wicklungsdiagramm, das zeigt, wie der Effekt eines Kurzschlusses dramatisch gesteigert werden kann. Statt eine einzige Litze für den Leiter 30 zu verwenden, besteht dieser aus mehreren Litzen, die in Fig. 5 als 30-1 bis 30-4 dargestellt sind. Die vier Litzen werden zunächst an den Schaltkreis angeschlossen, wobei Litze 1 mit V verbunden wird, Litze 2 und 3 miteinander verknüpft werden und Litze 4 mit dem Eingang des Integrators gekoppelt wird. Die vier Litzen werden dann gleichzeitig auf die Einfassung gewickelt. Danach werden die äußeren Enden von Litze 1 und 2 sowie die Litzen 3 und 4 miteinander verknüpft, so daß sie einen einzigen Leiter bilden. Die Enden werden dann unter die Oberfläche der Wicklung gesteckt. Fig. 5 zeigt auch einen beispielhaften Kurzschluß SC. Es ist auch möglich (wird allerdings nicht bevorzugt), die Litzen nacheinander aufzuwickeln und dann die entsprechenden Litzenenden zu verbinden, so daß sich ein einziger zusammenhängender Leiter ergibt. Es dürfte aus Fig. 5 klar hervorgehen, daß (bei einer Spule mit vier Litzen) die Widerstandsänderung bis zu 25% betragen kann, selbst wenn nur zwei benachbarte Windungen miteinander kurzgeschlossen werden. Wenn mehr als zwei benachbarte Windungen miteinander kurzgeschlossen werden, kann die Widerstandsänderung sogar noch dramatischer sein.
Fig. 6 zeigt eine alternative Wicklungsanordnung, bei der alle Litzen (zum Beispiel) von links nach rechts gewickelt werden und "versteckt", zurückgeführt werden, so daß alle Litzenenden (zum Beispiel) links zur Verfügung stehen. Insbesondere umfaßt die Litze 30-1, wie in Fig. 6 dargestellt, einen ersten Teil 30-1a, der von links nach rechts gewickelt ist, doch ein angrenzender Teil 30-1b wird zur linken Kante zurückgeführt. Der Rückführungsteil 30-1b wird im Inneren der Wicklung zurückgeführt. Auf ähnliche Weise verfügt die Litze 30-2 über eine "versteckte" Rückführung 30-2b. Wenn alle Litzen aufgewickelt sind, kann der Endteil von 30-1b mit dem verfügbaren Ende von 30-3a verbunden werden usw. Es dürfte klar sein, daß diese Wicklungsanordnung den Effekt eines Kurzschlusses weiter erhöht, besonders bei Kurzschlüssen in der Nähe eines Wicklungsendes.
Um den Schutz weiter zu steigern, den die Erfindung bietet, wird das gesamte Gehäuse, zum Beispiel die Karte und die Spule zusammen mit dem Wahrnehmungsschaltkreis, nach dem Wickeln des Leiters 30 vorzugsweise in einem undurchsichtigen, vernetzten, gefüllten Epoxyharz vergossen. Füllmaterialien wie Ton- oder Kieselerde bieten hier Vorteile, weil sie die spanabhebende Bearbeitung (die ein Angreifer einsetzen könnte) erschweren. Ein weiterer möglicher Angriff durch das Epoxyharz könnte mit Lösungsmitteln oder Chemikalien erfolgen; in diesem Fall kann sich die Isolierung der Drähte (zum Beispiel Polyurethan oder Polyolefin) und vielleicht sogar der Draht selbst noch vor dem Epoxyharz auflösen. Beim Einsatz von UV-Laser-Ablation erzeugen die anorganischen Füllstoffe große Hitze; diese Hitze greift den Leiter 30 an und kann aufgrund der mechanischen Belastung durch den Temperaturgradienten zum Aufreißen führen. Das Brechen eines Drahtes öffnet natürlich den Schaltkreis und wird erkannt.
Gemäß der Erfindung gibt es bei der Auswahl der Art und Weise, wie die Litzen gewickelt werden, einen breiten Spielraum. Möglich ist das Engwickeln, ein herkömmliches Verfahren, das eine glatte, gleichmäßige Wicklung wie bei einer Garnrolle erzeugt. Die Windungen sind hier gleichmäßig und verlaufen im wesentlichen parallel zueinander. Andererseits ist auch das Wildwickeln möglich, ein weiteres herkömmliches Wickelverfahren, das eine unregelmäßige Wicklung erzeugt, wie man sie zum Beispiel bei einem Schnurknäuel sieht.
Ein weiterer Vorteil ergibt sich durch das Wickeln des Leiters 30 um mehr als eine Achse. Hierbei wird eine erste Schicht des Leiters 30 um eine Achse gewickelt, eine zweite Schicht wird um eine andere Achse gewickelt usw. Es können zum Beispiel zwei Achsen verwendet werden, die im rechten Winkel aufeinander stehen. Beim Umwickeln der Karte 10 mit dem Leiter 30 wird ein vollständig umschlossener Raum erzeugt, der keine "Löcher" aufweist. Jenseits der Enden der Karte 10 stößt daher eine einzelne Wicklungsschicht an, um "die Enden abzuschließen".
Die Verwendung mehrerer Litzen und mehrerer Schichten verbessert den Schutz vor der Aufnahme elektromagnetischer Beeinflussungen, die sich so aufheben. Die von dem Leiter 30 gebildete Drahtwicklung bildet auch eine Abschirmung gegen elektromagnetische Strahlung.
Nach der bisherigen Beschreibung sieht die Erfindung ein einzelnes Wahrnehmungselement vor, das aus einer Stromquelle, einem Leiter und einem Wahrnehmungsschaltkreis besteht; es liegt aber innerhalb der Reichweite dieser Erfindung, mehrere Sensoren zu verwenden, von denen jeder die genannten Elemente enthält.

Claims

1. Ein gegen unbefugte Manipulation geschütztes Gehäuse zum Schutz von Informationen, die in einem elektronischen Schaltkreis gespeichert sind, umfassend

ein Mittel (30) zur Verteilung elektromagnetischer Energie um den elektronischen Schaltkreis herum,

einen Sensor (110) zur Erzeugung einer ersten Ausgabe, die den Pegel der elektromagnetischen Energie repräsentiert, um ein Eindringen in das Gehäuse zu erkennen,

einen Taktgeber (100),

ein Abtast- und Haltemittel (120), das an den Sensor (110) gekoppelt ist und periodisch von dem Taktgeber getaktet wird, um eine zweite Ausgabe des Sensors abzutasten und zu speichern,

ein Komparatormittel zum Vergleichen der ersten Sensorausgabe und der zweiten Sensorausgabe, das periodisch von dem Taktgeber getaktet wird, und

ein Beschädigungsmittel (140) zur Beschädigung des elektronischen Schaltkreises oder der darin gespeicherten Informationen als Reaktion auf ein vorbestimmtes Ausgangssignal aus dem Komparatormittel, das eine Veränderung im Pegel der elektromagnetischen Energie repräsentiert, was ein Eindringen in das Gehäuse repräsentiert, dadurch gekennzeichnet, daß das Komparatormittel umfaßt:

eine Komparatoreinheit (130),

einen Spannungsteiler (R1, R2, R3, R4), der zwischen zwei Referenzspannungspegeln mit einem dazwischenliegenden Punkt (S) gekoppelt ist, der an den Ausgang des Abtast- und Haltemittels (120) angeschlossen ist, wobei die Spannungen an drei internen Knoten (H, S, L) des Spannungsteilers von der Ausgabe des Abtast- und Haltemittels abhängen,

eine Verbindung zwischen dem Sensor (110) und einem ersten Eingang (EIN) der Komparatoreinheit,

Verbindungen zwischen zwei Knoten (H, L) des Spannungsteilers und einem zweiten Eingang (HOCH) bzw. einem dritten Eingang (NIEDR.) der Komparatoreinheit,

wobei die Ausgabe der Komparatoreinheit die relativen Werte des ersten Eingangs der Komparatoreinheit und der zweiten und dritten Eingänge der Komparatoreinheit repräsentieren und das vorbestimmte Ausgangssignal ist, wenn der Wert des ersten Eingangs (EIN) des Komparators entweder größer als der Wert des zweiten Eingangs (HOCH) oder niedriger als der Wert des dritten Eingangs (NIEDR.) ist.

2. Ein Gehäuse nach Anspruch 1, dadurch gekennzeichnet, daß der Sensor (110) einen integrierenden Schaltkreis umfaßt, dessen Ausgang periodisch von dem Taktgeber abgetastet wird, um die erste Sensorausgabe zu erzeugen.

3. Das gegen unbefugte Manipulation geschützte Gehäuse nach Anspruch 1 oder 2, bei dem das Mittel zur Verteilung der elektromagnetischen Energie umfaßt:

eine elektrische Stromquelle,

eine Spule (30) aus isolierten elektrischen Leitern mit Nichrom-Draht, die an einem Anschluß (31) mit der Quelle gekoppelt ist und um den elektronischen Schaltkreis herumgewickelt ist, wobei ein anderer Anschluß (32) der elektrischen Leiter an den Sensor gekoppelt ist.

4. Das gegen unbefugte Manipulation geschützte Gehäuse nach Anspruch 3, wobei der Leiter einen Durchmesser in der Größenordnung von 0,09 mm (0,0035 Zoll) hat.

5. Das gegen unbefugte Manipulation geschützte Gehäuse nach Anspruch 3 oder 4, das weiter ein vernetztes Epoxyharz umfaßt, in dem der zu schützende elektrische Schaltkreis und die Spule aus isolierten elektrischen Leitern vergossen ist.

6. Das gegen unbefugte Manipulation geschützte Gehäuse nach Anspruch 5, in dem das Epoxyharz mit Ton- oder Kieselerde gefüllt ist.

7. Das gegen unbefugte Manipulation geschützte Gehäuse nach einem der Ansprüche 3 bis 6, bei dem die Spule einen ersten Spulenteil umfaßt, der um eine erste Achse gewickelt ist, und in Reihe daran ein zweiter Spulenteil angeschlossen ist, der um eine zweite, verschiedene Achse gewickelt ist.