JP2007066008A

JP2007066008A - 電子装置

Info

Publication number: JP2007066008A
Application number: JP2005251418A
Authority: JP
Inventors: Shinichi Idomukai; 慎一井戸向
Original assignee: Seiko Instruments Inc
Current assignee: Seiko Instruments Inc
Priority date: 2005-08-31
Filing date: 2005-08-31
Publication date: 2007-03-15

Abstract

【課題】
実装ケースの不正な方法による開封、親機からの不正な方法による取り外および不正なソフト的なアクセスがあった場合、内部の電子データを消去するだけでなく、データ記憶手段への不正なデータの書き込みを防止することのできる電子装置を提供する。
【解決手段】
セキュリティ動作モードにおいて、不正なアクセスに対し異常検知コマンドが送信されると、データ記憶手段の通信インターフェース回路が異常検知コマンドを受信し、アクセス管理手段が不正アクセスと認識すると、電子データを消去し、全電子データが消去完了すると高電圧発生手段を動作開始し、データ記憶手段の回路の一部を破壊することでデータ記憶手段への電気的アクセスを不可能とする。
【選択図】図２

Description

本発明は、データ記憶手段を備えた電子装置に関する。更に詳しくは電子装置のデータ記憶手段に記録された電子データへの不正アクセスを防止する手段を備えた電子装置に関する。

データ記憶手段を備えた電子装置は、日常生活の中で近年多種多様に利用されている。中でも、通常は単独に保管あるいは携行され、使用時には、大きなシステム（以後、これを親機と称す）に組み込まれる記憶手段を備えた脱着可能な小型な電子装置は、例えば、銀行預貯金口座の利用時に利用されるキャッシュカードにクレジットカードの機能と電子マネーの機能を付加したＩＣカードとして、広く利用されている。以下、ＩＣカードを例としてデータ記憶手段を備えた電子装置のデータ記憶手段への不正アクセスについて説明する。

ＩＣカードは、正当なＩＣカード所有者が正当に使用する限り、旧来の印鑑などによる認証に比べて便利なものである。然るに、ＩＣカードが正当でない第三者の手に渡り、例えばＩＣカードが記録する重要な機密情報である利用者番号やパスワード等の電子データを、第三者が所有者の承諾なしに不正に入手する（以後、「重要な機密情報である電子データを第三者が不正に入手する。」ことを不正アクセスと称する。）ことが起こりうる。そして、不正アクセスに成功した第三者は、たとえば、正当なＩＣカード所有者の預貯金口座から預貯金を不正に引き落とすことができる。こうした不正アクセスを防止することは、社会秩序を維持するために欠くことはできない重要な課題である。

ＩＣカード等に対する不正アクセスは、第三者によりソフト的、電気的または物理的に行われる。
１．ソフト的不正アクセスの方法
例えば、第三者は、ＩＤカード所有者から当該パスワードの聞き取りや、ＩＤカードを適当なコンピュータ等のシステム（以後、これを単にシステムと称する。）に接続し、適当なプログラムを悪用してデータ記憶手段、例えば半導体メモリ素子であるEEPROMに記憶されている当該ＩＤや当該パスワード等の電子データを不正入手する。
２．電気的不正アクセスの方法
例えば、ＩＤカードの外装ケースを開封し、データ記憶手段、例えば半導体メモリ素子であるEEPROMが実装された回路基板の電気配線に探針を立て、これらの電気配線を流れる電気信号を電気計測器の一種であるロジックアナライザ等で観測して、データ記憶手段に記憶されている当該ＩＤや当該パスワード等の電子データを不正入手する。
３．物理的不正アクセスの方法
例えば、ＩＤカードの外装ケースを開封し、データ記憶手段、例えば半導体メモリ素子であるEEPROMのパッケージを開けて、走査型電子顕微鏡等を用いてデータ記憶手段に記憶されている当該ＩＤや当該パスワード等の電子データを不正入手する。

以後、本明細書で単に不正アクセスと記述した場合は、ソフト的、電気的または物理的不正アクセスを含む広い意味での不正アクセスを意味するものとする。

さて、従来技術によるソフト的不正アクセスを防止する電子装置としては、第三者が利用できない身体的特徴を電子データ化してＩＤとし、パスワードを暗号化したものが多数提案されている。しかし、この種の電子装置でも電気的不正アクセスや物理的不正アクセスを防止するには十分ではない。

一方、従来技術には、図１０に示したように電気的不正アクセスや物理的不正アクセスを防止する手段を備えたものがある（例えば、特許文献１参照)。これを、以下図面を用いて説明する。

従来技術による記憶手段を備えた脱着可能で小型な電子装置１０は、電子装置１０が組み込まれるシステムと電気的に接続するデータＩ／Ｏ手段５、電子装置１０がシステムから取り外されたことを検知する取り外し検知センサ手段４、電子装置１０の回路動作を制御する回路制御手段３、回路制御手段３の指示を受信する通信インターフェース回路２５を備えた電子データを記録保持する例えばEEPROMを有するデータ記憶手段２０および通信インターフェース回路２５が受信した電子データに基づき記憶手段２０を管理するアクセス管理手段２３とを有している。電子装置１０に含まれる複数手段間のデータ通信は、データバス９を介して行われる。電源手段１７は上記の手段に電力を供給する。電源手段１７から上記の手段への電源配線は本図では省略してある。さらに、データ記憶手段２０は、公知のソフト的不正アクセスの防止手段を備えているとする。ソフト的不正アクセスの防止手段の内容については、ここでは省略する。

次に、電子装置１０の不正アクセス防止動作について説明する。電子装置１０がシステムから取り外されたことを、例えば、機械的コネクタを監視する取り外し検知センサ手段４が、電子装置１０がシステムから外れたことを検知して電子装置１０がシステムから取り外されたとする取り外し信号Ｓｔを発生する。取り外し信号Ｓｔを受けた回路制御手段３は、予め電子装置１０の正当な取り外し手続きをデータ記憶手段２０に記憶しており、取り外し手続が正当な取り外し手続によるものか否かを判断する。正当な取り外し手続による場合は、データ記憶手段２０の電子データはそのまま保持される。しかし、不正な取り外し手続による場合は、回路制御手段３はデータ記憶手段２０に対してデータ消去の命令を送信し、データ記憶手段２０内部の、例えばEEPROMに含まれるユーザメモリ２１の電子データを消去して不正アクセスを防止する。従って、電子データが消去されているので、図示されていない回路基板の電気配線へ探針して、目的とする電子データに電気的不正アクセスすることはできない。また、電子データが消去されているので、データ記憶手段２０内部の、たとえばEEPROMのパッケージを開封し、走査型電子顕微鏡等を用いてデータ記憶手段２０に物理的不正アクセスすることもできない。電源手段１７は、取り外し後の不正アクセスを防止する一連の回路動作に必要な電力を供給する。なお、不正アクセスを防止するには、当該電子データを破壊しても良いし、当該電子データを偽電子データに書換えても良い。従って従来技術は、システムから不正に取り外しされたデータ記憶手段２０のユーザメモリ２１を消去することが出来るので、電子装置１０に対するソフト的不正アクセス防止は無論のこと、電気的不正アクセスや物理的不正アクセスを高い確度で防止できる。
特開平１１−１７５４０６号公報

然るに従来技術では、データ記憶手段２０のユーザメモリ２１の電子データを消去することにより情報漏洩防止はできるが、データ記憶手段２０に不正な電子データを書き込まれる恐れがある。また、データ記憶手段２０と回路制御手段３との通信に、不正アクセスに対抗してパスワード認証等を含む特殊な通信プロトコルを用いている場合においては、通信プロトコルが解析/解読されて電子データが漏洩する恐れがある。即ち、電子装置１０は不正アクセス防止手段を備えていたとしても、特殊な通信プロトコルを解析/解読されてしまった場合には、電子装置１０に不正アクセスと認識できないことが大きな課題となっている。

本発明は、以下の手段を提供することにより、前述の課題を解決する。

親機に組み込まれて使用できるように着脱自在なケースに収められた電子装置であり、前記電子装置の外部と電子データを入出力するデータＩ／Ｏ手段と、前記電子データを記録するデータ記憶手段と、前記電子装置が不正アクセスされたことを検知し異常検知信号を発するセンサ手段と、前記異常検知信号を得て、データ記憶手段内の前記セキュリティ情報格納領域を参照して不正アクセスを認知し、不正アクセス認識信号を発するアクセス管理手段と、前記データ記憶手段が前記不正アクセス認識信号を得て前記電子データを消去した後に前記データ記憶手段の一部を破壊する破壊手段と、前記電子装置が有する複数の前記手段を制御する回路制御手段と、前記電子装置が有する複数の前記手段に電力を供給する電源手段と、を備えた電子装置とすることで、不正アクセスを防止する。

さらに、前記アクセス管理手段はセキュリティ情報格納領域を参照して、前記破壊手段の動作及び解除を制御することができる。

前記破壊手段は高電圧発生回路と電圧切り替えスイッチとから成っている。

前記センサ手段は前記パッケージが開封されたこと。あるいは前記パッケージが前記親機から取り外されたことを検知することで不正アクセスを防止する。

前記データ記憶手段の中で電子データを格納するメモリは不揮発性であり、電源電圧の開閉に関わらず格納した情報を保持する。

さらに、前記破壊手段が動作しているセキュリティ動作モードを有し、さらに、セキュリティ動作モード時には前記データ記憶手段へのデータをやり取りする通信インターフェース回路への正しくないコマンドは前記アクセス管理手段が不正アクセスと認識し、前記電子データの消去と前記データ記憶手段の一部を破壊する機能を有する電子装置とすることでソフト的不正アクセスを防止する。

本発明は、多様な利用形態の電子装置において、各種不正アクセスを高い確度で防止できる安全な電子装置を実現すると共に、電子装置を実装中に引き起こされると想定される問題を回避できる実装上の問題のない電子装置を実現する。

本発明の実施の形態を示す概略構成を図１に示す。本発明の電子装置１は、一般に図示していない親機と電気的に接続して利用される。図２には、図１に示す本発明による電子装置１の回路ブロック図を示す。電子装置１は、データ記憶手段２、回路制御手段３、ＲＯＭ３１、ＲＡＭ３２、センサ手段４、データＩ／Ｏ手段５、回路基板６、電源手段７、外装ケース８、から構成される。電子装置１とシステムとのデータ通信は、データＩ／Ｏ手段５を介して行う。データＩ／Ｏ手段５は、回路制御手段３とのみ通信が行われる。回路制御手段３と、ＲＯＭ３１と、ＲＡＭ３２と、センサ手段４と、データ記憶手段２は、データバス９によって相互接続されている。センサ手段４は、例えば電子装置１が親機から不正に取り外しされたり、外装ケース８が開封されたりした不正アクセスを検知して異常検知信号を発する。図２のデータ記憶手段２は不揮発性メモリ、例えばＥＥＰＲＯＭ、でありユーザデータを電子データとして格納するユーザメモリ２１と、ユーザメモリ２１のセキュリティ情報を格納するセキュリティ情報格納領域２２を備え、回路制御手段３との通信を行う通信インターフェース回路２５を備える。更に、不正アクセス検知を判断するアクセス管理手段２３と、アクセス管理手段２３が不正アクセスと判断した場合に動作する高電圧発生手段２４とを備えている。データＩ／Ｏ手段５は、電子装置１とシステムとの通信を仲立ちする。回路制御手段３は、各手段とのやり取りを通じて電子装置１の全体制御を行う。ＲＯＭ３１は、回路制御手段３のプログラムを格納している。ＲＡＭ３２は、回路制御手段３の電子データを格納する。センサ手段４は、不正アクセスを検知し、データバス９を介して、回路制御手段３へ異常検知信号を発する。異常検知信号を得た回路制御手段３は、データバス９を介して、データ記憶手段２へ異常検知信号が発せられたことを通知する。異常検知信号を得たデータ記憶手段２は、アクセス管理手段２３がセキュリティ情報格納領域２２のセキュリティ情報を参照して不正アクセス検知と判断した場合に、ユーザメモリ２１の電子データを消去および、高圧発生回路２４を作動させて、電子装置１に含まれる回路、例えば通信インターフェース回路２５を破壊し、データ記憶手段２に含まれる電子データが外部に漏洩しないようにする。このアクセス管理手段２３の不正アクセス検知判断、ユーザメモリ２１の電子データ消去及び通信インターフェース回路２５破壊の詳細は、各実施例の中で詳しく説明する。

本発明の第1の実施例である電子装置１においては、図１および図２におけるセンサ手段４は外装ケース８が開封されたことを検知するセンサを有している。

まず、本実施例による電子装置の組み立て実装方法を説明する。

本発明第１の実施例の組み立て実装手順を図３（ａ）に示す。先ず、ステップP01で、実装前の初期状態として、データ記憶手段２が実装中において、センサ手段４が動作して不正検知をしてもデータ記憶手段２が破壊されないように、実装前にセキュリティ機能を解除した状態（以後、これをセキュリティ解除モードと称する）とするように、データ記憶手段２のセキュリティ情報格納領域２２にセキュリティ解除データDoffを格納しておく。その後ステップP02で、電子装置１の構成要素であるデータ記憶手段２と回路制御手段３とＲＯＭ３１とＲＡＭ３２とセンサ手段４とデータＩ／Ｏ手段５を回路基板６に実装する。次にステップP03で、電源手段７を回路基板６に実装する。電子装置１に電源手段７が接続されると、電子装置１が動作開始する。この状態の時、電子装置１は外装ケース８に覆われていない状態であるため、センサ手段４が動作し、回路制御手段３は物理的不正アクセスと検知し、データ記憶手段２に対し、メモリデータ消去命令Cerを送信する。データ記憶手段２がメモリデータ消去命令Cerを受信すると、アクセス管理手段２３は、セキュリティ情報格納領域２２からセキュリティ解除モードか否かの判断を行うが、予めセキュリティ解除モードとしてあるので、実装中の物理的不正アクセスの検知によるユーザメモリ２１の消去および、通信インターフェース回路２５の破壊動作は行われない。次にステップP04で、前記手段を実装した回路基板６を外装ケース８に実装することにより、センサ手段４からの異常検知信号が停止する。最後にステップP05で、セキュリティ情報格納領域２２へセキュリティ機能を作動する状態（以後、セキュリティ動作モードと称す）になるようにＩ／Ｏ手段５からでセキュリティ動作データDonを格納する。この時、セキュリティ情報格納領域２２にはユーザが任意の電子データを書き込むことができず、セキュリティ情報格納領域２２の情報を初期化する目的などのためにセキュリティ情報格納領域２２に書き込みを行うためには所定の命令を、通信インターフェース回路２５を介して行うことでセキュリティ情報格納領域２２に書き込みを行うことができる。なお、本実装工程のステップP01は必ず最初に実行し、ステップP05は最後に行う必要があるが、他のステップの実装順序やステップP02の各手段の実装順序は必要に応じて変更しても、本発明の効果は変わらないことは明白である。

次に本発明による電子装置の開封方法を説明する。

電子装置１を実装後に、電源手段７の電圧低下等による交換等の作業ためにデータ記憶手段２を破壊せずに正規に外装ケース８を開封する手順を図４ａに示す。先ずステップP11で、セキュリティ解除モードに遷移させるようにデータＩ／Ｏ手段５からセキュリティ解除データDoffをセキュリティ情報格納領域２２へ格納後、ステップP12で外装ケース８の開封を行う。この状態の時、電子装置１は外装ケース８に覆われていない状態であるため、センサ手段４が動作し、回路制御手段３は、物理的不正アクセスと検知し、データ記憶手段２に対し、メモリデータ消去コマンドCerを送信する。データ記憶手段２がメモリデータ消去命令Cerを受信すると、アクセス管理手段２３は、セキュリティ情報格納領域２２からセキュリティ解除モードか否かの判断を行う。セキュリティ解除モードであれば、実装中の物理的不正アクセスの誤検知によるユーザメモリ２１の消去および、通信インターフェース回路２５の破壊動作は行われない。上記の方法により、ユーザメモリ２１の消去や通信インターフェース回路２５の破壊動作を行わずに、外装ケース８を開封して電源手段７を交換することができる。なお、この電子装置１の開封手順のステップ順序は、変更してはならない。

次に、本実施例の電子装置へ不正アクセスをした場合の動作について説明する。

セキュリティ動作モードにおける電子装置１へ外装ケースの開封という物理的不正アクセスがあった場合の、電子装置１の動作フローを図５に示す。不正に外装ケース８が開封される（ステップP21）と、センサ手段４は開封されたことを検知して異常検知信号を回路制御手段３にデータバス９を介して送信する（ステップP22）。回路制御手段３は、不正アクセスの異常検知信号を受信し、データ記憶手段２へ不正アクセスを受けたことを示す異常検知コマンドCkを送信する（ステップP23）。データ記憶手段２の通信インターフェース回路２５が異常検知コマンドCkを受信し、アクセス管理手段２３が不正アクセスと認識する（ステップP24）と、今現在の状態はセキュリティ動作モードであるか否かの判断を行う（ステップP25）。セキュリティ動作モードである場合には、通信インターフェース回路２５へ不正アクセス認識信号を通知する。セキュリティ解除モードの場合は、不正アクセス認識信号を通知しない（ステップP26）で、セキュリティ動作を終了する。通信インターフェース回路２５は、不正アクセス認識信号を受信すると、ユーザメモリ２１への緊急消去コマンドCsを送信する（ステップP27）。消去コマンドに従いユーザメモリ２１内の電子データを消去する（ステップP28）ことにより、不正アクセスによる第三者への情報漏洩防止を図ることができる。

ユーザメモリ２１から全電子データの消去が完了したことを通知された通信インターフェース回路２５は、アクセス管理手段２３へユーザメモリ２１の全消去が完了したことを通知し、電源手段７の電圧を昇圧する高電圧発生手段２４の動作を開始する（ステップP29）。通信インターフェース回路２５は耐圧の低いトランジスタで構成し、高圧電圧２７で破壊される構成となっているので、高圧電圧２７を通信インターフェース回路２５に印加することにより、通信インターフェース回路２５は破壊（ステップP30）され、データ記憶手段２との電気的アクセスは不可能となる。データ記憶手段２のユーザメモリ２１へのアクセスに、セキュリティを高めるためのパスワード認証等のカスタムプロトコルを用いている場合においても、通信プロトコルの解析・解読を不可能にすることで、更なる情報漏洩防止を図ることができる。

以下では通信インターフェース回路の破壊方法について図６乃至図８を用いて説明する。

図６、図７及び図８に示したデータ記憶手段２に含まれる通信インターフェース回路２５は、通信インターフェースロジック回路２５２、電圧切り替えスイッチ２５１、センスアンプ回路２５３及びセンスアンプ回路２５３のリファレンスレベルを決定する基準電圧２５４を含んでいる。また、本発明の実施例である電子装置１の破壊手段は、少なくとも高電圧発生手段２４と電圧切り替えスイッチ２５１から構成されている。図６、図７及び図８には、電源手段７の電圧をもとに発生される昇圧電圧２７の供給経路を太字矢印で示すが、電源手段７による電源配線は省略する。

先ず、図６を用いて、通信インターフェース回路２５の第１の破壊方法を説明する。通信インターフェース回路２５に含まれる通信インターフェースロジック回路２５２の電源電圧を、電圧切り替えスイッチ２５１を用いて電源手段７から高電圧発生手段２４へ切り替えることで通信インターフェース回路２５を破壊する。通信インターフェースロジック回路２５２のＭＯＳトランジスタの耐圧は、例えば７Vとする。高電圧発生手段２４で耐圧７ＶのＭＯＳトランジスタが破壊する電圧、例えば２０Ｖの高圧電圧２７を通信インターフェースロジック回路２５２に印加することにより、通信インターフェースロジック回路２５２は破壊される。

次に、通信インターフェース回路２５の第２の破壊方法を図７に示す。ここでは通信インターフェース回路２５に含まれるセンスアンプ回路２５３の電源電圧を、電圧切り替えスイッチ２５１を用いて電源手段７から高電圧発生手段２４へ切り替える。センスアンプ２５３回路のＭＯＳトランジスタの耐圧は、例えば７Ｖとする。高電圧発生手段２４で２０Ｖの電圧をセンスアンプ回路２５３に印加することにより、センスアンプ回路２５３は破壊される。

次に、通信インターフェース回路２５の第３の破壊方法を図８に示す。２５５は高電圧が印加されることにより導通するアンチヒューズを用いた短絡回路である。この短絡回路をセンスアンプのリファレンス側に入れておく。電圧切り替えスイッチ２５１を用いて短絡回路に高電圧２７を印加することで、アンチヒューズを導通させ、その結果リファレンスレベルがずれることでセンスアンプ回路２５３は正しく動作しなくなる。もし電子データを読み出しても電子データはは不定の出力となり、データ記憶手段２から正しいデータを読み出すことはできなくなる。

電子装置が記憶する電子データの電気的読み出しを不可能にする本発明の破壊手段は、図６、図７及び図８に示された本実施例の高電圧発生手段２４と電圧切り替えスイッチ２５１に限定されるものではなく、通信インターフェース回路２５を破壊する他の手段を用いても同様の効果が得られる、また、ヒューズスイッチ回路２５５には、抵抗素子と組み合わせることにより、高圧電圧２７の印加で開放される開放ヒューズ回路を用いることも出来る。

本発明の第２の実施例である電子装置１は、親機から取り外しされたことを検知するセンサ手段４を有する。本実施例のセンサとしては光を感知する光センサを用いている。

最初に本実施例による電子装置の実装方法を説明する。

本発明の第２の実施例における組み立て実装手順を図３（ｂ）に示す。先ず、ステップS01で、実装前の初期状態として、データ記憶手段２の実装において、センサ手段４が動作して不正アクセスを検知してもデータ記憶手段２が破壊されないように、実装前にセキュリティ解除モードとするように、データ記憶手段２のセキュリティ情報メモリ２２にセキュリティ解除データDoffを格納しておく。その後ステップS02で、電子装置１の構成要素であるデータ記憶手段２と回路制御手段３とＲＯＭ３１とＲＡＭ３２とセンサ手段４とデータＩ／Ｏ手段５を回路基板６に実装する。次にステップS03で、電源手段７を回路基板６に実装する。電子装置１に電源手段７が接続されると、電子装置１が動作開始する。この状態の時、電子装置１は外装ケース８に覆われていない状態であるため、光を感知するセンサ手段４が動作し、回路制御手段３は物理的不正アクセスと検知し、データ記憶手段２に対し、メモリデータ消去命令Cerを送信する。データ記憶手段２がメモリデータ消去命令Cerを受信すると、アクセス管理手段２３は、セキュリティ情報格納領域２２からセキュリティ解除モードか否かの判断を行う。予めセキュリティ解除モードとしておいたため、実装中の物理的アクセス誤検知によるユーザメモリ２１の消去および、通信インターフェース回路２５の破壊動作は行われない。次にステップS04で、前記手段を実装した回路基板６を外装ケース８に実装するが、本実施例では、センサ手段４は、外装ケース８外からの光の検知を続けるため、異常検知信号２８は停止しない。次にステップS05で、電子装置１を親機へ電気的に接続する。この時親機または電子装置の図示されていない遮光器が、センサ手段４を遮光する。ステップS06でのセキュリティ情報格納領域２２へセキュリティ動作モードとなる様にＩ／Ｏ手段５を介して親機からセキュリティ動作データDonを格納する。この時、セキュリティ情報格納領域２２の情報を初期化する目的などのためにセキュリティ情報格納領域２２に書き込みを行うためには所定の命令を、通信インターフェース回路２５を介して行うことでセキュリティ情報格納領域２２に書き込みを行うことができる。なお、本実装工程のステップS01は必ず最初に実行し、ステップS05は最後のステップS06の直前に行う必要があるが、他のステップの実装順序やステップS02の各手段の実装順序は必要に応じて変更しても、本発明の効果は変わらないことは明白である。

次に、本実施例による電子装置の取り外し方法について説明する。

電子装置１を親機に接続後、保管や電源手段７交換等の作業ためにデータ記憶手段２を破壊せずに正規に親機から取り外す手順を図４ｂに示す。先ずステップS11で、セキュリティ情報格納領域２２へセキュリティ解除モードに遷移させるようにデータＩ／Ｏ手段５からセキュリティ解除データDoffを格納後、ステップS12で電子装置１を親機から取り外す。この状態の時、電子装置１は前記遮光器に覆われていない状態であるため、センサ手段４が動作し、回路制御手段３は、物理的不正アクセスと検知し、データ記憶手段２に対し、メモリデータ消去コマンドCerを送信する。データ記憶手段２がメモリデータ消去命令Cerを受信すると、アクセス管理手段２３は、セキュリティ情報格納領域２２からセキュリティ解除モードか否かの判断を行う。セキュリティ解除モードであれば、実装中の物理的アクセス誤検知によるユーザメモリ２１の消去および、通信インターフェース回路２５の破壊動作は行われない。上記の方法により、ユーザメモリ２１の消去や通信インターフェース回路２５の破壊動作を行わずに、電子装置１を親機から取り外すことができる。なお、この電子装置１の取り外し手順のステップ順序は、変更してはならない。

次に、セキュリティ動作モードにおける電子装置１へ物理的不正アクセスがあった場合の、電子装置１の動作フローを図５に示す。電子装置１が不正に親機から取り外しされる（ステップS21）と、センサ手段４は取り外されたことを検知して異常検知信号２８を回路制御手段３にデータバス９を介して送信する（ステップS22）。回路制御手段３は、不正アクセスの異常検知信号を受信し、データ記憶手段２へ不正アクセスを受けたことを示す異常検知コマンドCkを送信する（ステップS23）。データ記憶手段２の通信インターフェース回路２５が異常検知コマンドCkを受信し、アクセス管理手段２３が不正アクセスと認識する（ステップS24）と、今現在の状態はセキュリティ動作モードであるか否かの判断を行う（ステップS25）。セキュリティ動作モードである場合には、通信インターフェース回路２５へ不正アクセス認識信号を通知する。セキュリティ解除モードの場合は、不正アクセス認識信号を通知しない（ステップS2６）で、セキュリティ動作を終了する。通信インターフェース回路２５は、不正アクセス認識信号を受信すると、ユーザメモリ２１への緊急消去コマンドCsを送信する（ステップS27）。ユーザメモリ２１内の電子データを消去する（ステップS2８）ことにより、不正アクセスによる第三者への情報漏洩防止を図ることができる。

ユーザメモリ２１から全メモリデータが消去完了したことを通知された通信インターフェース回路２５は、アクセス管理手段２３へユーザメモリ２１の全消去が完了したことを通知し、電源手段７の電圧を昇圧する高電圧発生手段２４を動作開始する（ステップS29）。通信インターフェース回路２５は耐圧の低いトランジスタで構成され、高圧電圧２７で破壊される回路構成となっている。高圧電圧２７を通信インターフェース回路２５に印加することにより、通信インターフェース回路２５を破壊（ステップS30）し、データ記憶手段２との電気的アクセスが不可能となる。データ記憶手段２のユーザメモリ２１へのアクセスに、セキュリティを高めるためのパスワード認証等のカスタムプロトコルを用いている場合においても、通信プロトコルの解析・解読を不可能にすることで、更なる情報漏洩防止を図ることができる。

第２の実施例における破壊手段の構成と動作は、第１の実施例と同様なので、説明は省略する。

以上、本発明の構成と動作をセンサ手段４に光センサを用いた実施例で説明したが、センサ手段４に、振動を検知する振動センサや加速度センサを用いても、同様な効果が得られる。更に、電子装置１を親機に電気的に接続する手段、たとえばコネクタ等を利用した取り外し検知信号などを利用しても、不正アクセスを防止することが出来る。

また、本発明の動作の不正検知方法について、センサ手段４からの通知を、回路制御手段３を介さずに、データ記憶手段２で直接受信を行うことによっても、第１の実施例と同様にデータ隠蔽を行うことが出来る。

本発明の第３の実施例による電子装置１は、セキュリティ動作モードを有し、さらに、セキュリティ動作モード時には通信インターフェース回路２５への正しくないコマンドはアクセス管理手段２３が不正アクセスと認識する機能を有する。

本実施例による電子回路１に対し、セキュリティ動作モードでソフト的不正アクセスがあった場合の動作フローを図９に示す。データ記憶手段２の通信インターフェース回路２５が何らかのコマンドを受信し、アクセス管理手段２３が不正アクセスと認識すると、今現在の状態がセキュリティ動作モードであるか否かの判断を行う。セキュリティ動作モードである場合には、通信インターフェース回路２５へ不正アクセスであったことを通知する。通信インターフェース回路２５は、不正アクセス認識信号２６を受信すると、ユーザメモリ２１への全消去コマンドを送信する。ユーザメモリ２１を消去することにより、不正アクセスによる第三者への情報漏洩防止を図ることができる。

ユーザメモリ２１から全消去が完了したことを、通信インターフェース回路２５が通知されると、アクセス管理手段２３へユーザメモリ２１の全消去が完了したことを通知し、高電圧発生手段２４を動作開始する。通信インターフェース回路２５を耐圧の低いトランジスタで構成し、高電圧発生手段２４の発生電圧で破壊される回路構成とする。高電圧発生手段２４で発生した電圧を通信インターフェース回路２５に印加することにより、通信インターフェース回路２５を破壊し、データ記憶手段２との電気的アクセスが不可能となり、上記と同様に、データ記憶手段２のユーザメモリ２１へのアクセスに、セキュリティを高めるためのパスワード認証等のカスタムプロトコルを用いている場合において、通信プロトコルの解析を不可能にすることで、更なる情報漏洩防止を図ることができる。

以上３つの実施例について説明したが、これらの実施例は容易に組み合わせて実施することができる。組み合わせることで実装ケースの不正な開封、親機からの不正な取り外し、不正なソフト的アクセスに対し、データ記憶手段２に収められたデータを消去するだけでなく、データ記憶手段２の一部を恒久的に破壊することで不正なデータの書き込みを防ぐことができる。

本発明実施例の電子装置の外観と断面図である。本発明実施例の電子装置の回路ブロック図である。本発明実施例の電子装置の実装手順を示すフローチャートである。本発明実施例の電子装置の正規取り外しし手順を示すフローチャートである。本発明実施例の不正アクセス時における電子装置の動作フローチャートである。本発明実施例における第１の破壊手段の詳細回路図である。本発明実施例における第２の破壊手段の詳細回路図である。本発明実施例における第３の破壊手段の詳細回路図である。本発明第３の実施例においてソフト的不正アクセスがなされた場合の動作を示すフローチャートである。従来技術による電子装置の回路ブロック図である。

符号の説明

１電子装置
２データ記憶手段
３回路制御手段
４センサ手段
５データＩ／Ｏ手段
６回路基板
７電源手段
８外装ケース
９データバス
２１ユーザメモリ
２２セキュリティ情報格納領域
２３アクセス管理手段
２４高電圧発生手段
２５通信インターフェース回路
２６不正アクセス認識信号
２７高圧電圧
３１ＲＯＭ
３２ＲＡＭ
２５１電圧切り替えスイッチ
２５２通信インターフェースロジック回路
２５３センスアンプ回路
２５４センスアンプ基準電圧
２５５短絡回路

Claims

親機に組み込まれて使用できるように着脱自在なケースに収められた電子装置であり、
前記電子装置の外部と電子データを入出力するデータＩ／Ｏ手段と、
前記電子データを記録するデータ記憶手段と、
前記電子装置が不正アクセスされたことを検知し異常検知信号を発するセンサ手段と、前記異常検知信号を得て、データ記憶手段内の前記セキュリティ情報格納領域を参照して不正アクセスを認知し、不正アクセス認識信号を発するアクセス管理手段と、
前記データ記憶手段が前記不正アクセス認識信号を得て前記電子データを消去した後に前記データ記憶手段の一部を破壊する破壊手段と、
前記電子装置が有する複数の前記手段を制御する回路制御手段と、
前記電子装置が有する複数の前記手段に電力を供給する電源手段と、を備えた電子装置。
前記アクセス管理手段はセキュリティ情報格納領域を参照して、前記破壊手段の動作及び解除を制御する請求項１に記載の電子装置。
前記破壊手段は高電圧発生回路と電圧切り替えスイッチとを含む請求項１ないし２に記載の電子装置。
前記センサ手段は前記パッケージが開封されたこと。あるいは前記パッケージが前記親機から取り外されたことを検知する請求項１に記載の電子装置。
前記データ記憶手段の中で電子データを格納するメモリは不揮発性であり、電源電圧の開閉に関わらず格納した情報を保持する事を特徴とする請求項１に記載の電子装置。
前記破壊手段が動作しているセキュリティ動作モードを有し、さらに、セキュリティ動作モード時には前記データ記憶手段へのデータをやり取りする通信インターフェース回路への正しくないコマンドは前記アクセス管理手段が不正アクセスと認識し、前記電子データの消去と前記データ記憶手段の一部を破壊する機能を有する請求項１に記載の電子装置。