ITTO20120257A1

ITTO20120257A1 - Apparecchio dotato di un contenitore, con rilevazione di intrusione

Info

Publication number: ITTO20120257A1
Application number: IT000257A
Authority: IT
Inventors: Guido Marco Bertoni; Fabio Tota
Original assignee: St Microelectronics Srl
Priority date: 2012-03-21
Filing date: 2012-03-21
Publication date: 2013-09-22
Also published as: US8963715B2; CN203588399U; US20130249691A1; CN103325198A

Description

DESCRIZIONE

del brevetto per invenzione industriale dal titolo:

â€œAPPARECCHIO DOTATO DI UN CONTENITORE, CON RILEVAZIONE DI INTRUSIONEâ€

La presente invenzione Ã ̈ relativa ad un apparecchio dotato di un contenitore, con rilevamento di intrusione. Nella descrizione che segue, si farÃ specifico riferimento ad un set-top box, ma l'invenzione Ã ̈ applicabile parimenti ad altri dispositivi ed apparecchi aventi un contenitore chiuso, ad esempio sigillato, il cui contenuto non Ã ̈ accessibile e non deve essere manipolato dal possessore, o a dispositivi ed apparecchi locati presso utenti o in posizione accessibile al pubblico, in cui il locatore o il pubblico non Ã ̈ autorizzato all'apertura del contenitore e all'accesso al contenuto. In particolare modo, l'apparecchio puÃ² contenere piastrine ("chip") formanti dispositivi elettronici, circuiti integrati e/o memorie, quale ad esempio un telefono cellulare, un televisore, un contatore di utenze (elettricitÃ , gas, acqua) e simili.

Come Ã ̈ noto, un set-top box Ã ̈ un apparecchio elettronico televisivo non portatile destinato ad aggiungere alcune funzionalitÃ televisive a televisori, schermi, computer o altri apparecchi elettronici in modo da incrementarne le funzionalitÃ . In particolare, i set-top box consentono la visione di canali televisivi satellitari e crittati, e/o la fruizione di servizi a pagamento tramite la sottoscrizione di abbonamenti e/o il pagamento di canoni o di specifici addebiti. A tale scopo, essi memorizzano codici o altre informazioni utilizzate per autorizzare la ricezione/decrittazione dei canali televisivi e/o la fruizione dei servizi previsti.

In generale, gli apparecchi del tipo considerato comprendono una o piÃ¹ schede ("board") portanti componenti e circuiti integrati in piastrine, quali memorie, sensori, controllori e simili, fissati ("bonded") alle schede stesse.

La comunicazione fra i componenti/piastrine puÃ² essere sensibile, e i dati scambiati tramite le interconnessioni e/o memorizzati nelle piastrine possono contenere informazioni riservate, quali codici, chiavi, informazioni su accessi e abilitazioni, e simili.

Data la loro posizione/locazione (ad esempio presso abbonati o in luoghi pubblici) e per evitare un uso fraudolento dell'apparecchio protetto ovvero la copiatura dei codici e/o l'accesso ai dati riservati, le piastrine che memorizzano tali codici o dati riservati e le loro interconnessioni sono protetti.

In particolare, tali apparecchi sono generalmente contenuti in scatole o involucri chiusi, ad esempio sigillati, la cui manomissione richiede un'azione forzata, ad esempio l'uso di cacciaviti, lame, leve di vario genere, forature, ecc. Sono quindi stati proposti sistemi di rilevamento dell'intrusione ("intrusion detection systems") che, qualora attivati, possono dare origine a contromisure di diverso tipo, dalla generazione e trasmissione di allarmi, all'interruzione del servizio fino alla distruzione dei dati riservati.

I sistemi di rilevamento dell'intrusione proposti attualmente comprendono strutture, quali fili, gabbie metalliche, strutture di contatto, disposte sul coperchio e sul corpo del contenitore, in modo che la manomissione di questo determini la separazione di due parti metalliche o comunque conduttive e/o l'interruzione di un circuito elettrico.

Tale soluzione Ã ̈ tuttavia facilmente aggirabile realizzando buchi o aperture nel contenitore che consentono l'accesso all'interno senza l'apertura del coperchio.

Un'altra soluzione proposta consiste nel disporre dei sensori luminosi all'interno del contenitore, in modo tale che la sua apertura fraudolenta, provocando l'ingresso di luce, possa essere rilevata per via ottica.

Anche tale soluzione non si Ã ̈ tuttavia dimostrata efficiente, dato che Ã ̈ sufficiente operare in camere buie o in ambienti poco illuminati.

Scopo della presente invenzione Ã ̈ mettere a disposizione un sistema anti-intrusione che superi gli inconvenienti della tecnica nota.

Secondo la presente invenzione vengono realizzati un dispositivo dotato di un contenitore, con rilevamento di intrusione ed un metodo di rilevamento di apertura non autorizzata di un apparecchio, come definiti rispettivamente nelle rivendicazioni 1 e 15.

Per una migliore comprensione della presente invenzione ne vengono ora descritte forme di realizzazione preferite, a puro titolo di esempio non limitativo, con riferimento ai disegni allegati, nei quali:

- la figura 1 Ã ̈ una sezione trasversale attraverso una forma di realizzazione del presente apparecchio; - la figura 2 mostra uno schema a blocchi di una parte dell'apparecchio di figura 1;

- la figura 3 mostra una sezione trasversale attraverso una diversa forma di realizzazione del presente apparecchio;

- la figura 4 mostra una sezione trasversale attraverso un'altra forma di realizzazione del presente apparecchio;

- la figura 5 mostra uno schema a blocchi di una parte dell'apparecchio di fig. 4; e

- la figura 6 Ã ̈ uno schema di flusso di un metodo di rilevamento dell'intrusione del presente apparecchio.

La figura 1 mostra un apparecchio 1, ad esempio un set-top box da utilizzare in connessione ad un televisore per la ricezione di canali televisivi a pagamento, segnali satellitari e simili. Il set-top box 1 comprende un contenitore 2 formato a sua volta da un involucro ("case") 3 sagomato a scatola ("box-shaped") e da un coperchio 4, fissato all'involucro 3 in modo da impedirne l'apertura da parte di terzi non autorizzati. Ad esempio, il coperchio 4 puÃ² essere incollato all'involucro 3 tramite colla 25 o dotato di mezzi di chiusura (non mostrati) cooperanti con l'involucro 3 e atti ad impedire l'apertura non autorizzata del coperchio 4. Ad esempio, i mezzi di chiusura possono comprendere una serratura a chiave fisica, mezzi di connessione meccanica non reversibili, quale aggraffatura, saldatura, incastro e simili.

L'involucro 3, dotato di una parete di fondo 3a e di pareti laterali 3b, porta una scheda a circuito stampato 5, di tipo noto, fissata alla parete di fondo 3a. Piastrine di dispositivo ("device chips") 6 sono saldate("bonded") alla scheda a circuito stampato 5 e sono collegate reciprocamente e con un'interfaccia verso l'esterno (non mostrata) attraverso connessioni e piste conduttive (di cui la fig. 1 mostra schematicamente una pista conduttiva 18) per l'alimentazione e il collegamento elettrico, ad esempio al televisore, all'antenna, ecc. Le piastrine di dispositivo 6 integrano circuiti elettronici, quali circuiti di codifica, multiplexing, conversione, ecc., e/o singoli componenti e almeno una di esse costituisce l'elemento da proteggere, eventualmente con piste conduttive (non mostrate) che collegano tale piastrina di dispositivo 6 alle altre piastrine di dispositivo 6 e/o all'esterno.

L'apparecchio 1 Ã ̈ dotato inoltre di un sistema di rilevamento di intrusione, includente un sensore di pressione 7 e una unitÃ di controllo 8.

Il sensore di pressione 7 puÃ² essere realizzato in una propria piastrina sensore 9, oppure, come mostrato tratteggiato, puÃ² essere integrato in una delle piastrine di dispositivo 6, integrante un circuito elettronico previsto nel set-top box. Il sensore di pressione 7 puÃ² essere realizzato in qualunque modo; ad esempio esso puÃ² essere realizzato come sensore di pressione MEMS, dotato di una membrana semiconduttrice sensibile alla pressione e collegata ad una elettronica di elaborazione (non mostrati), in modo da generare un segnale elettrico di pressione P, come mostrato nell'equivalente elettrico mostrato in fig. 2.

A sua volta, l'unitÃ di controllo 8 puÃ² essere integrata nella piastrina 7 del sensore di pressione, in una delle piastrine di dispositivo 6 integrante un circuito elettronico previsto nel set-top box, o in una apposita piastrina di dispositivo 6. In tutti i casi, l'unitÃ di controllo 8, ad esempio un circuito logico, una CPU, o un controllore, riceve il segnale di pressione P w, nel caso rilevi una brusca variazione, genera un segnale di allarme A.

Infatti, l'apertura dell'involucro 2, ad esempio tramite apertura del coperchio 4, determina una improvvisa variazione di pressione (gradino). Tale effetto puÃ² essere ulteriormente incrementato qualora all'interno dell'involucro 2 sia mantenuta una pressione inferiore o maggiore di quella esterna, prima dell'incollaggio e sigillatura del coperchio 4, in modo da avere un differenziale di pressione che viene annullato dopo l'apertura.

Secondo una forma di realizzazione, si veda lo schema di fig. 2, l'unitÃ di controllo 8 comprende un rilevatore di soglia di pressione 14, che confronta il valore di pressione P rilevato dal sensore di pressione 7 con una soglia ThP, preimpostata o determinata in base a precedenti letture, e genera in uscita un segnale di variazione di pressione Î”P utilizzabile per il rilevamento del tentativo di intrusione. Il segnale di variazione di pressione Î”P puÃ² essere direttamente memorizzato in una memoria intrusione 10, il cui contenuto puÃ² essere successivamente verificato da un tecnico, e/o puÃ² essere trasmesso ad una centrale esterna tramite modem 11, spesso presente in tale tipo di apparecchi, e/o puÃ² attivare circuiti 12 di reset o cancellazione di informazioni riservate dell'apparecchio, quali codici, chiavi di attivazione e simili, memorizzati in una memoria codici 15, in modo da impedirne l'acquisizione da parte di una persona non autorizzata. La memoria intrusione 10 e/o la memoria codici 15 possono essere integrate nella stessa piastrina sensore 9 o integrate in una delle piastrine di dispositivo 6. Lo stato di allarme puÃ² anche essere segnalato all'esterno dell'involucro 2 tramite accensione di una spia luminosa 13.

In una forma di realizzazione, l'unitÃ di controllo 8 puÃ² comprendere un circuito differenziale 16, collegato all'uscita del rilevatore di soglia di pressione 14, che calcola la velocitÃ di cambiamento della pressione, in modo noto, per consentire una valutazione piÃ¹ accurata, ed eliminare il rischio di falsi allarmi o addirittura la distruzione del codice o chiave in caso di drift di pressione nel tempo.

Vantaggiosamente, l'apparecchio 1 puÃ² essere dotato di accorgimenti che aumentano l'effetto di variazione di pressione all'interno dell'involucro. In particolare, nell'esempio di fig. 1, la scheda a circuito stampato 5 porta prime pareti interne 20 estendentisi trasversalmente alla parete di fondo 3a dell'involucro, verso il coperchio 4. Inoltre, il coperchio 4 Ã ̈ dotato di seconde pareti interne 21, estendentisi trasversalmente al coperchio 4, verso la scheda 5. Le pareti interne 20, 21, che definiscono un vano 22 all'interno dell'involucro 2, sono a contatto reciproco o comunque sono molto vicine in modo tale per cui l'apertura del coperchio 4 e quindi l'allontanamento reciproco delle pareti interne 20, 21 provoca, nel vano 22, una depressione ("effetto ventosa") di entitÃ tale da essere facilmente rilevata dall'unitÃ di controllo 8 e da essere facilmente distinguibile da variazioni di pressione accidentali, legate a situazioni ambientali, allo spostamento dell'apparecchio 1 o simili.

Nella forma di realizzazione di figura 3, un film 30 di materiale plastico copre e sigilla la zona delle piastrine di dispositivo 6, 7, creando una sorta di bolla.

In dettaglio, il film 30, ad esempio una pellicola di polietilene, Ã ̈ saldato alla scheda 3 in prossimitÃ dei suoi bordi 31. Preferibilmente, nello spazio 32 delimitato dal film 30 e dalla scheda 3, Ã ̈ intrappolata dell'aria o una miscela di gas a pressione maggiore di quella ambiente. In questo modo, nello spazio 32, si forma una sorta di "bolla" simile a quella del pluriball. L'accesso allo spazio 32 richiede quindi la perforazione del film 30 e lo scoppio della "bolla", causando un brusco cambiamento di pressione, rilevabile dal sensore di pressione 7 e dall'unitÃ di controllo 8, anche qui integrati in una apposita piastrina sensore 9 o in una delle piastrine di dispositivo 6.

E' inoltre possibile collegare parte del film 30 al coperchio 4, ad esempio tramite materiale adesivo 35, in modo tale che l'apertura del coperchio 4 determini automaticamente la rottura del film 30.

In una diversa forma di realizzazione, il film 30 puÃ² lavorare come generatore di depressione, analogamente alle pareti interne 20, 21. Ad esempio se il film 30 Ã ̈ parzialmente deformabile ed Ã ̈ fissato sia alla scheda 5 che al coperchio 4, come mostrato in fig.

3, l'apertura del coperchio 4 provoca lo stiro del film e quindi una depressione all'interno dello spazio 32, depressione che puÃ² essere rilevata dal sensore di pressione 7.

Secondo una forma di realizzazione mostrata in fig. 4, la scheda 3 puÃ² comprendere un accelerometro 40, integrato in un'apposita piastrina accelerometro 41. In alternativa, anche l'accelerometro 40 puÃ² essere integrato nella piastrina sensore 9 o in una delle piastrine di dispositivo 6 dell'apparecchio 1.

La soluzione di fig. 4 consente di effettuare un'elaborazione dei dati raccolti sia dal sensore di pressione 7 che dall'accelerometro 40 in modo da aumentare l'affidabilitÃ del sistema di rilevamento dei tentativi di intrusione. Infatti, in alcune applicazioni, l'apparecchio 1 Ã ̈ mobile e questo potrebbe portare, in alcune situazioni, ad una variazione della pressione rilevata dal sensore 7, provocando falsi allarmi.

La presenza ulteriore dell'accelerometro 40 puÃ² ovviare a tale problema. Infatti, nella forma di realizzazione di fig. 5, l'unitÃ di controllo 8 comprende, oltre al rilevatore di soglia di pressione 14, un rilevatore di soglia di movimento 44 collegato all'accelerometro 40 e generante un segnale di movimento M nel caso in cui il segnale generato dall'accelerometro 44 superi una prefissata soglia. Un'unitÃ di discriminazione 45, ricevente i segnali Î”P e M, genera un segnale di allarme A solo nel caso in cui il segnale di variazione di pressione Î”P venga generato in assenza del segnale di movimento M, ovvero qualora il cambiamento di pressione non sia associato ad un movimento. In questo caso, il sistema rileva un tentativo di intrusione e il segnale A cosÃ¬ generato viene fornito alla memoria intrusione 10, e/o al modem 11 e/o al circuito 12 di reset o cancellazione di informazioni rilevanti dell'apparecchio 1, analogamente a quanto descritto con riferimento alla fig. 2. In caso negativo (presenza contemporanea del segnale di variazione di pressione Î”P e del segnale di movimento M), il sistema riconosce il cambiamento di pressione come dovuto ad un movimento legittimo dell'apparecchio 1 e non interviene.

Tale metodo Ã ̈ rappresentato nello schema di flusso di fig. 6, in cui dapprima, passo 52, l'unitÃ di controllo 8 legge il valore di pressione P; verifica se questo supera una prima soglia ThP, passo 54; in questo caso legge il segnale di movimento M generato dall'accelerometro 40, passo 56; verifica se il segnale di movimento M supera una seconda soglia ThM, passo 58; se ciÃ² non avviene (uscita NO dal passo 58), vengono attivate le contromisure giÃ descritte, passo 60.

In una variante del metodo indicato sopra, dopo la lettura della pressione P, passo 52, e aver verificato che questa Ã ̈ cambiata in modo significativo, l'unitÃ di controllo 8 puÃ² calcolare la velocitÃ di variazione ed attivare le contromisure o verificare la condizione di movimento dell'apparecchio 1 solo nel caso in cui la velocitÃ di cambiamento della pressione Î”P superi una soglia prefissata.

All'interno dell'involucro 2 puÃ² essere prevista una batteria 48, collegata almeno alla piastrina 9 attraverso la scheda 3, per fornire l'energia necessaria per il funzionamento del sensore di pressione 7 anche in caso di mancanza di energia dall'esterno, sia per interruzione casuale della rete, sia in seguito a manomissione.

Il sistema di rilevamento di intrusioni sopra descritto presenta numerosi vantaggi.

In primo luogo, esso consente un rilevamento affidabile dei tentativi di intrusione con una soluzione non facilmente aggirabile. Inoltre, il sistema Ã ̈ semplice e poco costoso, per cui Ã ̈ utilizzabile anche in apparecchi e dispositivi a basso costo. L'ingombro richiesto puÃ² essere ridotto al minimo, in particolare nel caso che il sensore di pressione sia realizzato come sensore MEMS e sia integrato, insieme all'unitÃ di controllo 8, in una delle piastrine dispositivo 6, giÃ previste per il funzionamento dell'apparecchio 1, consentendone l'applicazione anche in dispositivi in cui le dimensioni sono critiche (cellulari e simili dispositivi palmari).

Risulta infine chiaro che all'apparecchio e al metodo qui descritti ed illustrati possono essere apportate modifiche e varianti senza per questo uscire dallâ€™ambito protettivo della presente invenzione, come definito nelle rivendicazioni allegate.

Ad esempio, in fig. 1, le prime pareti 20 possono essere fissate alla parete di fondo 3a dell'involucro 3, invece che alla scheda 5, e la zona di sovrapposizione fra le prime e le seconde pareti interne 20, 21 puÃ² essere solo parziale, ma comunque tale per cui, durante l'azione di apertura del coperchio 4, nella prima parte della corsa, le pareti interne 20, 21 rimangano sovrapposte per un certo tratto. Inoltre, invece di predisporre apposite pareti 20, 21 all'interno dell'involucro 2, l'effetto a ventosa puÃ² essere ottenuto utilizzando direttamente le pareti laterali 3a dell'involucro e predisponendo apposite contropareti estendentisi dal coperchio 4 e a contatto diretto con le pareti laterali 3a.

Il coperchio 4 puÃ² essere dotato di una finestra trasparente, per consentire anche una ispezione ottica.

La soluzione descritta puÃ² essere applicata anche a dispositivi/apparecchi di tipo differente, qualora si voglia rilevare/impedire l'accesso fraudolento ad una zona interna riservata e/o la manomissione di parti o informazioni riservate. Ad esempio, il contenitore potrebbe essere di tipo ermetico, con pareti saldate, senza distinzione fra l'involucro e il suo coperchio.

Inoltre, l'unitÃ di controllo 8 potrebbe comprendere un sistema di disabilitazione, per distinguere aperture fraudolente da aperture autorizzate (ad esempio da parte di un tecnico). In questo caso, utilizzando il modem 11, un utente autorizzato potrebbe compiere una procedura di autenticazione, ad esempio attraverso una password o metodi noti di autenticazione, che permetta di disabilitare il sistema dâ€™allarme.

Claims

RIVENDICAZIONI 1. Apparecchio (1) avente un contenitore chiuso (2) alloggiante un elemento da proteggere (6; 18) e un sensore di pressione (7) collegato ad un'unitÃ di controllo (8) configurata per rilevare variazioni di pressione all'interno del contenitore (2) in seguito ad apertura del contenitore.
2. Apparecchio secondo la rivendicazione 1, in cui l'unitÃ di controllo (8) Ã ̈ configurata per attivare contromisure al rilevamento dell'apertura del contenitore.
3. Apparecchio secondo la rivendicazione 1 o 2, in cui il sensore di pressione Ã ̈ un sensore MEMS.
4. Apparecchio secondo una qualsiasi delle rivendicazioni 1-3, in cui il contenitore (2) comprende un involucro (3) avente a forma di scatola ed un elemento di coperchio (4) fissato all'involucro.
5. Apparecchio secondo la rivendicazione 4, comprendente un generatore di depressione (20, 21; 30) all'interno del contenitore (2), configurato per generare una depressione all'interno del contenitore in caso di apertura dell'elemento di coperchio (4).
6. Apparecchio secondo la rivendicazione 5, in cui l'involucro (3) comprende una parete di fondo (3a) e il generatore di depressione (20, 21) comprende una prima parete (21) solidale all'involucro (3) ed estendentesi verso l'elemento di coperchio (4) ed una seconda parete (20) solidale all'elemento di coperchio ed estendentesi verso la parete di fondo (3a) dell'involucro (3), almeno parzialmente a contatto e in sovrapposizione con la prima parete.
7. Apparecchio secondo la rivendicazione 6, in cui la prima e la seconda parete (20, 21) si estendono internamente a pareti laterali esterne (3a) dell'involucro (3), delimitando in tal modo un vano (32) alloggiante il sensore di pressione (7) e l'elemento da proteggere (6; 18).
8. Apparecchio secondo la rivendicazione 5, in cui l'involucro (3) comprende una parete di fondo (3a) e il generatore di depressione comprende una pellicola (30) di materiale plastico saldata all'involucro (3) e all'elemento di coperchio (4) e circondante l'elemento da proteggere (6; 18) e il sensore di pressione (7).
9. Apparecchio secondo la rivendicazione 4, comprendente una struttura di incapsulamento in pressione (30) circondante l'elemento da proteggere (6; 18) e il sensore di pressione (7) e alloggiando gas in pressione.
10. Apparecchio secondo la rivendicazione 7, in cui la struttura di incapsulamento in pressione comprende una pellicola (30) di materiale plastico saldata all'involucro (3) e/o all'elemento di coperchio (4) e rompibile a strappo o foratura.
11. Apparecchio secondo una qualsiasi delle rivendicazioni 2-8, comprendente un accelerometro (40) configurato per generare un segnale di movimento dell'apparecchio (1) e l'unitÃ di controllo (8) comprende mezzi (44; 56-58) per rilevare una condizione di movimento a partire dal segnale di movimento e inibire le contromisure in caso di rilevamento della condizione di movimento.
12. Apparecchio secondo una qualsiasi delle rivendicazioni precedenti, comprendente una scheda a circuito stampato (5) portante l'elemento da proteggere (6; 18), il sensore di pressione (7) e l'unitÃ di controllo (8).
13. Apparecchio secondo una qualsiasi delle rivendicazioni precedenti, in cui l'elemento da proteggere (6; 18) Ã ̈ una piastrina a semiconduttori (6) e/o sue connessioni elettriche (18), il sensore di pressione (7) e l'unitÃ di controllo (8) essendo realizzati nella piastrina a semiconduttori (6) o in differenti piastrine (9).
14. Apparecchio secondo la rivendicazione 12 o 13, costituente uno fra un set-top box, un telefono cellulare, un televisore e un contatore di utenze.
15. Metodo di rilevamento di apertura non autorizzata di un apparecchio (1) avente un contenitore chiuso (2) alloggiante un elemento da proteggere (6, 18), comprendente le fasi di: rilevare (52) variazioni di pressione nel contenitore; rilevare (54) una condizione di apertura non autorizzata del contenitore in presenza di variazioni di pressione; e attivare (60) contromisure in seguito al rilevamento della condizione di apertura non autorizzata.
16. Metodo secondo la rivendicazione 15, comprendente inoltre le fasi di: rilevare (56) una condizione di movimento dell'apparecchio; inibire (58) le contromisure in caso di rilevamento della condizione di movimento.
17. Metodo la rivendicazione 15 o 16, in cui la fase di rilevare (54) una condizione di apertura comprende rilevare una velocitÃ di variazione della pressione e la fase di attivare contromisure viene eseguita nel caso in cui la velocitÃ di variazione di pressione Ã ̈ maggiore di una soglia.