JP2008123322A - デバイス及びタンパー検出システム - Google Patents

Abstract

【課題】電源ＯＦＦ時に実行される広範囲なタンパー行為の検出に対処でき、且つ、かかるタンパー行為の検出を比較的簡易な構成で実現することができるデバイスを提供する。
【解決手段】デバイス（電子機器２）に対するタンパー行為を検出するタンパー検出部２２と、タンパー検出部２２により検出された検出情報を記憶するとともに、タンパー行為がタンパー検出部２２により検出されるよう要求する要求情報を記憶する不揮発性メモリ２３と、を備え、タンパー検出部２２は、主電源部２１１がＯＦＦ状態の場合は予備電源部２１２により電源の供給を受けて、不揮発性メモリ２３に記憶された要求情報に従ってタンパー行為を検出し、不揮発性メモリ２３は、主電源部２１１がＯＦＦ状態の場合は予備電源部２１２により電源の供給を受けて、タンパー検出部２２により検出された検出情報を記憶するよう構成した。
【選択図】図２

Description

本発明は、デバイス及びタンパー検出システムに関する。

従来、デバイスを構成するハードウエアやソフトウエアの内部構造や記憶しているデータなどを不正に解析したり、或いは改ざんする行為（以下「タンパー行為」という。）がなされているという問題がある。

そこで、このような問題を解決するために、様々な技術が提案されている。
具体的には、例えば、情報処理端末で実行されるソフトウエアの偽造、改ざん、不正な目的での使用を防止することを目的として、電源ＯＮ時にネットワークを介してソフトウエアをダウンロードするとともに、電源ＯＦＦ時にそのダウンロードされたソフトウエアを消去するよう構成された情報処理端末が提案された（例えば、特許文献１参照）。
また、例えば、データの不正盗用や改ざんに対するセキュリティ性を高めるために、セキュリティがかけられていることを悟られないようにすることを目的として、電源スイッチにより電源ＯＮされた際には、ダミーＨＤＤ装置に記憶されたデータの読出し及び書換えが可能であるとともに、パスワード入力により電源ＯＮされた際には、マスタＨＤＤ装置に記憶されたデータの読出し及び書換えが可能となるよう構成されたセキュリティ装置が提案された（例えば、特許文献２参照）。
また、機器間で伝送されるデジタルコンテンツの入出力情報を安全且つ機密的に管理することを目的として、デジタルコンテンツが伝送される何れか一方の機器に、耐タンパー性記憶領域を有する装置を接続して、その耐タンパー性記憶領域に、機器間でのデジタルコンテンツの入出力情報を書き込むよう構成されたシステムが提案された（例えば、特許文献３参照）。
特開２００５−２２７８５２号公報 特開２００２−２４０９３号公報 特開２００２−７２６３号公報

しかしながら、特許文献１に開示された技術は、ダウンロード可能なソフトウエアに対するタンパー行為には対処できるものの、ハードウエアを含む広範囲のタンパー行為には対処できないという問題がある。
また、特許文献２に開示された技術は、マスタＨＤＤ装置に記憶しているデータに対するタンパー行為には対処できるものの、ハードウエアを含む広範囲のタンパー行為には対処できないという問題があり、さらに、マスタＨＤＤ装置に記憶しているデータに対するタンパー行為であっても、セキュリティ装置の電源ＯＦＦ時に実行された場合には対処できないという問題がある。
また、特許文献３に開示された技術は、耐タンパー性記憶装置に記憶しているデータに対するタンパー行為には対処できるものの、ハードウエアを含む広範囲のタンパー行為には対処できないという問題があり、さらに、電源ＯＦＦ時に実行されるタンパー行為は検出することができないという問題がある。

本発明の課題は、電源ＯＦＦ時に実行される広範囲なタンパー行為の検出に対処でき、且つ、かかるタンパー行為の検出を比較的簡易な構成で実現することができるデバイス及び当該デバイスを備えるタンパー検出システムを提供することにある。

上記課題を解決するために、請求項１に記載の発明は、
サーバと、当該サーバと通信ネットワークを介して接続されたデバイスと、を備えるタンパー検出システムにおいて、
前記デバイスは、
当該デバイスに対するタンパー行為を検出するため予め設定された複数の部位に関する所定の状態の変化を検出して検出情報を出力するタンパー検出手段と、
前記タンパー検出手段により出力された検出情報を記憶する不揮発性の検出情報記憶手段と、
前記複数の部位のうちの特定部位に関する所定の状態の変化が前記タンパー検出手段により検出されるよう要求する要求情報を記憶する不揮発性の要求情報記憶手段と、
当該デバイスに電源を供給する主電源部と、
前記タンパー検出手段と、前記検出情報記憶手段と、前記要求情報記憶手段と、に電源を供給する予備電源部と、
前記主電源部がＯＮ状態になると、前記検出情報記憶手段に記憶された検出情報を前記サーバに送信する検出情報送信手段と、
前記サーバにより送信された前記要求情報を受信する要求情報受信手段と、
を備え、
前記サーバは、
前記デバイスにより送信された検出情報を受信する検出情報受信手段と、
前記要求情報を前記デバイスに送信する要求情報送信手段と、
を備え、
前記タンパー検出手段は、前記主電源部がＯＦＦ状態の場合は前記予備電源部により電源の供給を受けて、当該予備電源部により電源の供給を受けている前記要求情報記憶手段に記憶された要求情報に従って、前記特定部位に関する所定の状態の変化を検出し、
前記検出情報記憶手段は、前記主電源部がＯＦＦ状態の場合は前記予備電源部により電源の供給を受けて、前記タンパー検出手段により出力された検出情報を記憶することを特徴とする。

請求項２に記載の発明は、
通信ネットワークを介してサーバに接続されたデバイスにおいて、
当該デバイスに対するタンパー行為を検出するため予め設定された複数の部位に関する所定の状態の変化を検出して検出情報を出力するタンパー検出手段と、
前記タンパー検出手段により出力された検出情報を記憶する不揮発性の検出情報記憶手段と、
前記複数の部位のうちの特定部位に関する所定の状態の変化が前記タンパー検出手段により検出されるよう要求する要求情報を記憶する不揮発性の要求情報記憶手段と、
当該デバイスに電源を供給する主電源部と、
前記タンパー検出手段と、前記検出情報記憶手段と、前記要求情報記憶手段と、に電源を供給する予備電源部と、
前記検出情報記憶手段に記憶された検出情報を所定のタイミングで前記サーバに送信する検出情報送信手段と、
を備え、
前記タンパー検出手段は、前記主電源部がＯＦＦ状態の場合は前記予備電源部により電源の供給を受けて、当該予備電源部により電源の供給を受けている前記要求情報記憶手段に記憶された要求情報に従って、前記特定部位に関する所定の状態の変化を検出し、
前記検出情報記憶手段は、前記主電源部がＯＦＦ状態の場合は前記予備電源部により電源の供給を受けて、前記タンパー検出手段により出力された検出情報を記憶することを特徴とする。

請求項３に記載の発明は、
請求項２に記載のデバイスにおいて、
前記検出情報送信手段は、前記主電源部がＯＮ状態になると、前記検出情報記憶手段に記憶された検出情報を前記サーバに送信することを特徴とする。

請求項４に記載の発明は、
請求項２又は３に記載のデバイスにおいて、
前記サーバにより送信された前記要求情報を受信する要求情報受信手段を備えることを特徴とする。

請求項１に記載の発明によれば、タンパー検出手段によって、デバイスに対するタンパー行為を検出するため予め設定された複数の部位に関する所定の状態の変化を検出して検出情報を出力することができる。すなわち、例えば、デバイスを構成するソフトウエアに対するタンパー行為のみならず、回路の追加や取替などのデバイスを構成するハードウエアに対するタンパー行為も検出可能となるため、結果として広範囲のタンパー行為に対処できる。
また、タンパー検出手段は、主電源部がＯＦＦ状態の場合は予備電源部により電源の供給を受けて、当該予備電源部により電源の供給を受けている要求情報記憶手段に記憶された要求情報に従って、デバイスを構成する複数の部位のうちの特定部位に関する所定の状態の変化を検出することができ、検出情報記憶手段は、主電源部がＯＦＦ状態の場合は予備電源部により電源の供給を受けて、タンパー検出手段により出力された検出情報を記憶することができる。すなわち、デバイスの電源ＯＦＦ時に実行されたタンパー行為を検出して、その検出情報を記憶しておくことができるため、結果として電源ＯＦＦ時に実行されるタンパー行為に対処することができる。したがって、タンパー検出手段の他に、不揮発性の検出情報記憶手段と要求情報記憶手段と予備電源部とからなる比較的簡易な構成で電源ＯＦＦ時に実行されるタンパー行為の検出を実現することができる。
また、検出情報送信手段によって、検出情報記憶手段に記憶された検出情報をサーバに送信することができる。すなわち、検出情報をサーバに送信することによって、デバイスの電源ＯＦＦ時に実行されるタンパー行為についての情報収集を行うことができるため、今後出荷する製品やアップデートに対する製品固有の脆弱性に対する対策を講じることができるとともに、デバイスの電源ＯＦＦ時におけるタンパー行為についての証拠性を確保することでタンパー行為に対する抑止効果も期待できる。

また、検出情報送信手段は、主電源部がＯＮ状態になると、検出情報記憶手段に記憶された検出情報をサーバに送信することができる。すなわち、デバイスの電源ＯＦＦ時には検出情報をサーバに送信しないため、予備電源部に蓄えられた電力の消費を抑えることができることとなって、デバイスの電源ＯＦＦ状態が長期間であっても、その間のタンパー行為を検出し続けることができるとともに、デバイスの電源ＯＦＦ時における検出情報をサーバに送信しない場合において、電源ＯＦＦ時に行われたタンパー行為に基づく検出情報を最も早くサーバに送信することができる。

また、要求情報受信手段によって、サーバにより送信された要求情報を受信することができる。したがって、サーバ側で要求情報を適宜変更することができるため、所望のタンパー行為を検出することができる。

請求項２に記載の発明によれば、タンパー検出手段によって、デバイスに対するタンパー行為を検出するため予め設定された複数の部位に関する所定の状態の変化を検出して検出情報を出力することができる。すなわち、例えば、ソフトウエアに対するタンパー行為のみならず、回路の追加や取替などのハードウエアに対するタンパー行為も検出できるため、結果として広範囲のタンパー行為に対処できる。
また、タンパー検出手段は、主電源部がＯＦＦ状態の場合は予備電源部により電源の供給を受けて、当該予備電源部により電源の供給を受けている要求情報記憶手段に記憶された要求情報に従って、デバイスを構成する複数の部位のうちの特定部位に関する所定の状態の変化を検出することができ、検出情報記憶手段は、主電源部がＯＦＦ状態の場合は予備電源部により電源の供給を受けて、タンパー検出手段により出力された検出情報を記憶することができる。すなわち、電源ＯＦＦ時に実行されたタンパー行為を検出して、その検出情報を記憶しておくことができるため、結果として電源ＯＦＦ時に実行されるタンパー行為に対処することができる。従って、タンパー検出手段の他に、不揮発性の検出情報記憶手段と要求情報記憶手段と予備電源部とからなる比較的簡易な構成で電源ＯＦＦ時に実行されるタンパー行為の検出を実現することができる。
また、検出情報送信手段によって、検出情報記憶手段に記憶された検出情報を所定のタイミングで前記サーバに送信することができる。すなわち、検出情報をサーバに送信することによって、電源ＯＦＦ時に実行されるタンパー行為についての情報収集を行うことができるため、今後出荷する製品やアップデートに対する製品固有の脆弱性に対する対策を講じることができるとともに、電源ＯＦＦ時におけるタンパー行為についての証拠性を確保することでタンパー行為に対する抑止効果も期待できる。

請求項３に記載の発明によれば、請求項２に記載の発明と同様の効果が得られることは無論のこと、検出情報送信手段は、主電源部がＯＮ状態になると、検出情報記憶手段に記憶された検出情報をサーバに送信することができる。すなわち、電源ＯＦＦ時には検出情報をサーバに送信しないため、予備電源部に蓄えられた電力の消費を抑えることができることとなって、電源ＯＦＦ状態が長期間であっても、その間のタンパー行為を検出し続けることができるとともに、デバイスの電源ＯＦＦ時には検出情報をサーバに送信しない場合において、電源ＯＦＦ時に行われたタンパー行為に基づく検出情報を最も早くサーバに送信することができる。

請求項４に記載の発明によれば、請求項２又は３に記載の発明と同様の効果が得られることは無論のこと、要求情報受信手段によって、サーバにより送信された要求情報を受信することができる。したがって、サーバ側で要求情報を適宜変更することができるため、所望のタンパー行為を検出することができる。

以下、図を参照して、本発明にかかるデバイス及び当該デバイスを備えるタンパー検出システムの最良の形態を詳細に説明する。なお、発明の範囲は、図示例に限定されない。
実施の形態では、デバイスとして電子機器を例示して説明することとする。

＜構成＞
まず、電子機器２及び電子機器２を備えるタンパー検出システム１の構成について、図１〜図３を参照して説明する。

［タンパー検出システム］
タンパー検出システム１は、例えば、図１に示すように、サーバ４と、サーバ４と通信ネットワークＮを介して接続された電子機器２と、を備えて構成される。

通信ネットワークＮは、インターネット、ＬＡＮ（Local Area Network）、ＷＡＮ（Wide Area Network）などの通信ネットワークであり、電話回線網、ＩＳＤＮ（Integrated Services Digital Network）回線網、広域帯通信回線網、専用線、移動体通信網、通信衛星回線、ＣＡＴＶ（Community Antenna TeleVision）回線網、光通信回線、無線通信回線などの各種通信回線と、それらを接続するインターネットサービスプロバイダを含む。

［電子機器］
電子機器２は、例えば、図２に示すように、電源部２１と、タンパー検出部２２と、不揮発性メモリ２３と、通信制御部２４と、制御部２５と、などを備えて構成される。各部は、バス２０によって接続されている。
なお、電子機器２は、具体的には、例えば、通信ネットワークＮを介したリモート制御やコンテンツのダウンロードなどの機能を持ったネットワーク家電製品（例えば、ＤＶＤレコーダ、デジタルテレビジョン装置、パーソナルコンピュータなど）であるが、このようなネットワーク家電製品としての構成については、一般的な構成をなすものであるため、その詳細な説明については省略する。

電源部２１は、例えば、電子機器２を構成する各部位に電源を供給するためのものであり、例えば、図２に示すように、主電源部２１１と、予備電源部２１２と、などから構成される。

主電源部２１１は、例えば、電子機器２を構成する各部位に、電源コード（図示省略）を介して供給された電源を供給する。
予備電源部２１２は、例えば、バッテリ（図示省略）などを内蔵し、例えば、主電源部２１１がＯＦＦの場合に、電子機器２を構成するタンパー検出部２２や不揮発性メモリ２３などに電源を供給する。

タンパー検出部２２は、例えば、タンパー検出手段として、電子機器２に対するタンパー行為を検出するため予め設定された複数の部位に関する所定の状態の変化を検出して検出情報を出力するスイッチやセンサーなどにより構成され、制御部２５から入力される制御信号に従って、例えば、電子機器２を構成する特定部位に関する所定の状態の変化を検出して、当該検出信号を制御部２５に出力する。

具体的には、タンパー検出部２２は、例えば、主電源部２１１がＯＮ状態の場合は主電源部２１１により電源の供給を受けて、主電源部２１１により電源の供給を受けている不揮発性メモリ２３に記憶された要求情報（後述）に従って、電子機器２を構成する複数の部位のうちの特定部位に関する所定の状態の変化を検出するとともに、主電源部２１１がＯＦＦ状態の場合は予備電源部２１２により電源の供給を受けて、予備電源部２１２により電源の供給を受けている不揮発性メモリ２３に記憶された要求情報（後述）に従って、電子機器２を構成する複数の部位のうちの特定部位に関する所定の状態の変化を検出する。

より具体的には、タンパー検出部２２は、例えば、電子機器２の筐体が開放されたこと、電子機器２を構成するハードウエア（回路など）の追加や取替がなされたこと、電子機器２を構成するソフトウエアが改ざんされたこと、などを検出する。

不揮発性メモリ２３は、例えば、ＥＥＰＲＯＭ（Electronically Erasable and Programmable Read Only Memory）などであり、例えば、主電源部２１１がＯＮ状態の場合は主電源部２１１により電源の供給を受けるとともに、主電源部２１１がＯＦＦ状態の場合は予備電源部２１２により電源の供給を受けるようになっている。

具体的には、不揮発性メモリ２３は、制御部２５から入力される制御信号に従って、例えば、検出情報記憶手段として、タンパー検出部２２により出力された検出情報を記憶する。
より具体的には、不揮発性メモリ２３は、例えば、主電源部２１１がＯＮ状態の場合は主電源部２１１により電源の供給を受けて、タンパー検出部２２により出力された検出情報を記憶するとともに、主電源部２１１がＯＦＦ状態の場合は予備電源部２１２により電源の供給を受けて、タンパー検出部２２により出力された検出情報を記憶する。

また、不揮発性メモリ２３は、例えば、要求情報記憶手段として、電子機器２に対するタンパー行為を検出するため予め設定された複数の部位のうちの特定部位に関する所定の状態の変化がタンパー検出部２２により検出されるよう要求する要求情報を記憶する。
より具体的には、不揮発性メモリ２２に記憶された要求情報には、予め設定された要求情報や通信制御部２４により受信された要求情報などが含まれる。

ここで、不揮発性メモリ２３に予め設定された要求情報（すなわち、例えば、電子機器２が工場から出荷される前に不揮発性メモリ２３に記憶された要求情報）は、例えば、電子機器２の筐体が開放されたことを検出するよう要求する要求情報などである。
また、通信制御部２４により受信されて不揮発性メモリ２３に記憶された要求情報は、例えば、電子機器２を構成するハードウエア（回路など）の追加や取替がなされたことを検出するよう要求する要求情報と、電子機器２を構成するソフトウエアが改ざんされたことを検出するよう要求する要求情報と、などの一又は複数の要求情報である。

なお、検出情報と要求情報とは、例えば、不揮発性メモリ２３の異なる領域内にそれぞれ記憶されることとする。
検出情報や要求情報は、例えば、図示しないカウンタによりカウントされたカウント値、又は図示しない計時部により計時されたその検出情報や要求情報を記憶する日時とともに、不揮発性メモリ２３に記憶され、そして、検出情報と要求情報との対応付け、検出情報や要求情報の新旧などは、そのカウント値又は日時によって管理されるようになっている。

通信制御部２４は、例えば、通信ネットワークＮを介して、外部機器（例えば、サーバ４）との間で各種データの送受信を行う。

具体的には、通信制御部２４は、制御部２５から入力される制御信号に従って、例えば、検出情報送信手段として、不揮発性メモリ２３に記憶された検出情報を所定のタイミングでサーバ４に送信する。
ここで、所定のタイミングとは、例えば、主電源部２１１がＯＮ状態になったときである。

また、通信制御部２４は、例えば、要求情報受信手段として、サーバ４により送信された要求情報を受信するとともに、例えば、サーバ４により送信された製品保証無効処理実行依頼（後述）を受信する。

制御部２５は、例えば、図２に示すように、ＣＰＵ（Central Processing Unit）２５１と、ＲＡＭ（Random Access Memory）２５２と、記憶部２５３と、などを備えている。

ＣＰＵ２５１は、例えば、記憶部２５３に記憶された電子機器２用の各種処理プログラムに従って各種の制御動作を行う。

ＲＡＭ２５２は、例えば、ＣＰＵ２５１によって実行される処理プログラムなどを展開するためのプログラム格納領域や、入力データや上記処理プログラムが実行される際に生じる処理結果などを格納するデータ格納領域などを備える。

記憶部２５３は、例えば、電子機器２で実行可能なシステムプログラム、当該システムプログラムで実行可能な各種処理プログラム、これら各種処理プログラムを実行する際に使用されるデータ、ＣＰＵ２５１によって演算処理された処理結果のデータなどを記憶する。なお、プログラムは、コンピュータが読み取り可能なプログラムコードの形で記憶部２５３に記憶されている。

具体的には、記憶部２５３は、例えば、図２に示すように、タンパー検出制御プログラム２５３ａと、検出情報送信制御プログラム２５３ｂと、製品保証無効処理プログラム２５３ｃと、などを記憶している。

タンパー検出制御プログラム２５３ａは、例えば、タンパー検出部２２に制御信号を入力して、不揮発性メモリ２３に記憶された要求情報に従って、電子機器２を構成する複数の部位のうちの特定部位に関する所定の状態の変化を検出して検出情報を出力させる機能を、ＣＰＵ２５１に実現させる。
さらに、タンパー検出制御プログラム２５３ａは、例えば、不揮発性メモリ２３に制御信号を入力して、タンパー検出部２２により出力された検出情報を記憶させるとともに、サーバ４により送信されて通信制御部２４により受信された要求情報を記憶させる機能を、ＣＰＵ２５１に実現させる。

検出情報送信制御プログラム２５３ｂは、例えば、主電源部２１がＯＮ状態になると、通信制御部２４に制御信号を入力して、不揮発性メモリ２３に記憶された検出情報をサーバ４に送信させる機能を、ＣＰＵ２５１に実現させる。

製品保証無効処理プログラム２５３ｃは、例えば、サーバ４により送信されて通信制御部２４により受信された製品保証無効処理実行依頼に従って、電子機器２の一部の重要な機能を無効化するなどの製品保証無効処理を実行する機能を、ＣＰＵ２５１に実現させる。
ここで、電子機器２の一部の重要な機能を無効化するなどの製品保証無効処理とは、例えば、電子機器２を構成するハードウエアやソフトウエアなどを無効化する処理である。

具体的には、ＣＰＵ２５１は、例えば、ハードウエア（回路など）の追加や取替がなされたことが検出された場合には、製品保証無効処理に従って、当該回路に関連する機能を無効化する処理を実行し、例えば、ソフトウエアが改ざんされたことが検出された場合には、製品保証無効処理に従って、当該ソフトウエアに関連する機能を無効化する処理を実行するようになっている。

（サーバ）
サーバ４は、例えば、通信ネットワークＮに接続された一又は複数の電子機器４を管理するための装置であり、例えば、図３に示すように、メモリ４１と、通信制御部４２と、制御部４３と、等を備えて構成される。各部は、バス４０によって接続されている。

メモリ４１は、例えば、ＥＥＰＲＯＭなどであり、例えば、電子機器２により送信されて通信制御部４２により受信された検出情報を記憶する。
なお、検出情報は、例えば、その検出情報を送信してきた電子機器２を識別するための識別情報や図示しない計時部により計時されたその検出情報を受信した日時とともに、メモリ４１に記憶されて、管理されるようになっている。

通信制御部４２は、例えば、通信ネットワークＮを介して、外部機器（例えば、電子機器２）との間で各種データの送受信を行う。

具体的には、通信制御部４２は、例えば、検出情報受信手段として、電子機器２により送信された検出情報を受信する。

また、通信制御部４２は、制御部４３から入力される制御信号に従って、例えば、要求情報送信手段として、要求情報を電子機器２に送信するとともに、例えば、製品保証無効処理実行依頼を電子機器２に送信する。

制御部４３は、例えば、図３に示すように、ＣＰＵ４３１と、ＲＡＭ４３２と、記憶部４３３と、などを備えている。

ＣＰＵ４３１は、例えば、記憶部４３３に記憶されたサーバ４用の各種処理プログラムに従って各種の制御動作を行う。

ＲＡＭ４３２は、例えば、ＣＰＵ４３１によって実行される処理プログラムなどを展開するためのプログラム格納領域や、入力データや上記処理プログラムが実行される際に生じる処理結果などを格納するデータ格納領域などを備える。

記憶部４３３は、例えば、サーバ４で実行可能なシステムプログラム、当該システムプログラムで実行可能な各種処理プログラム、これら各種処理プログラムを実行する際に使用されるデータ、ＣＰＵ４３１によって演算処理された処理結果のデータなどを記憶する。なお、プログラムは、コンピュータが読み取り可能なプログラムコードの形で記憶部４３３に記憶されている。

具体的には、記憶部４３３は、例えば、図３に示すように、要求情報送信制御プログラム４３３ａと、無効処理実行依頼送信制御プログラム４３３ｂと、などを記憶している。

要求情報送信制御プログラム４３３ａは、例えば、通信制御部４２に制御信号を入力して、電子機器２を構成するハードウエア（回路など）の追加や取替がなされたことを検出するよう要求する要求情報と、電子機器２を構成するソフトウエアが改ざんされたことを検出するよう要求する要求情報と、などの一または複数の要求情報を電子機器２に送信させる機能を、ＣＰＵ４３１に実現させる。

無効処理実行依頼送信制御プログラム４３３ｂは、例えば、通信制御部４２に制御信号を入力して、電子機器２の一部の重要な機能を無効化するなどの製品保証無効処理を実行するよう依頼する製品保証無効処理実行依頼を電子機器２に送信させる機能を、ＣＰＵ４３１に実現させる。

具体的には、ＣＰＵ４３１は、例えば、ハードウエア（回路など）の追加や取替がなされたことが検出された旨の検出情報が受信された場合には、当該回路に関連する機能を無効化する処理を実行するよう依頼する製品保証無効処理実行依頼を送信させ、ソフトウエアが改ざんされたことが検出された旨の検出情報が受信された場合には、当該ソフトウエアに関連する機能を無効化する処理を実行するよう依頼する製品保証無効処理実行依頼を送信させる。

＜処理＞
次に、タンパー検出システム１によるタンパー行為の検出に関する処理について、図４〜図６を参照して説明する。

まず、電子機器２のＣＰＵ２５１は、例えば、オペレータによる操作部（図示省略）の操作によって、電子機器２の筐体が開放されたことを検出するよう要求する要求情報を設定するよう指示されると、タンパー検出制御プログラム２５３ａを実行して、電子機器２の不揮発性メモリ２３に、電子機器２の筐体が開放されたことを検出するよう要求する要求情報を記憶させる（ステップＳ１）。
ここで、ステップＳ１の処理は、例えば、電子機器２が工場から出荷される前に実行される。

次いで、ＣＰＵ２５１は、不揮発性メモリ２３に記憶された電子機器２の筐体が開放されたことを検出するよう要求する要求情報に従って、タンパー検出部２２により、電子機器２の筐体が開放されたことが検出されたか否かを判断する（ステップＳ２）。
ここで、ステップＳ２以降の処理は、例えば、電子機器２が工場から出荷された後に実行される。

ステップＳ２で、タンパー検出部２２により、電子機器２の筐体が開放されたことが検出されていないと判断すると（ステップＳ２；Ｎｏ）、ＣＰＵ２５１は、ステップＳ２の処理を繰り返して行う。

一方、ステップＳ２で、タンパー検出部２２により、電子機器２の筐体が開放されたことが検出されたと判断すると（ステップＳ２；Ｙｅｓ）、ＣＰＵ２５１は、主電源部２１１がＯＦＦ状態であるか否かを判断する（ステップＳ３）。

ステップＳ３で、主電源部２１１がＯＦＦ状態でないと判断すると（ステップＳ３；Ｎｏ）、ＣＰＵ２５１は、ステップＳ６の処理に移行する。

一方、ステップＳ３で、主電源部２１１がＯＦＦ状態であると判断すると（ステップＳ３；Ｙｅｓ）、不揮発性メモリ２３に、電子機器２の筐体が開放されたことが検出された旨の検出情報を記憶させる（ステップＳ４）。

次いで、ＣＰＵ２５１は、主電源部２１１がＯＮ状態になったか否かを判断する（ステップＳ５）。

ステップＳ５で、主電源部２１１がＯＮ状態になっていないと判断すると（ステップＳ５；Ｎｏ）、ＣＰＵ２５１は、ステップＳ５の処理を繰り返して行う。

ステップＳ５で、主電源部２１１がＯＮ状態になったと判断すると（ステップＳ５；Ｙｅｓ）、ＣＰＵ２５１は、検出情報送信制御プログラム２５３ｂを実行して、通信制御部２４に、電子機器２の筐体が開放されたことが検出された旨の検出情報をサーバ４に送信させる（ステップＳ６）。

ステップＳ６で送信された検出情報をサーバ４の通信制御部４２が受信すると（ステップＳ７）、サーバ４のＣＰＵ４３１は、当該受信された検出情報をメモリ４１に記憶させる（ステップＳ８）。

ついで、ＣＰＵ４３１は、要求情報送信制御プログラム４３３ａを実行して、通信制御部４２に、電子機器２を構成するハードウエア（回路など）の追加や取替がなされたことを検出するよう要求する要求情報と、電子機器２を構成するソフトウエアが改ざんされたことを検出するよう要求する要求情報と、などを電子機器４に送信させる（ステップＳ９）。

ステップＳ９で送信された要求情報を電子機器２の通信制御部２４が受信すると（ステップＳ１０）、電子機器２のＣＰＵ２５１は、不揮発性メモリ２３に、当該受信された要求情報を記憶させる（ステップＳ１１）。

次いで、ＣＰＵ２５１は、タンパー検出制御プログラム２５３ａを実行して、不揮発性メモリ２３に記憶された要求情報に従って、電子機器２の筐体が開放されたこと、電子機器２を構成するハードウエア（回路など）の追加や取替がなされたこと、電子機器２を構成するソフトウエアが改ざんされたこと、などの電子機器２を構成する特定部位に関する所定の状態の変化が検出されたか否かを判断する（ステップＳ１２）。

ステップＳ１２で、タンパー検出部２２により、電子機器２を構成する特定部位に関する所定の状態の変化が検出されていないと判断すると（ステップＳ１２；Ｎｏ）、ＣＰＵ２５１は、ステップＳ１２の処理を繰り返して行う。

一方、ステップＳ１２で、タンパー検出部２２により、電子機器２を構成する特定部位に関する所定の状態の変化が検出されたと判断すると（ステップＳ１２；Ｙｅｓ）、ＣＰＵ２５１は、主電源部２１１がＯＦＦ状態であるか否かを判断する（ステップＳ１３）。

ステップＳ１３で、主電源部２１１がＯＦＦ状態でないと判断すると（ステップＳ１３；Ｎｏ）、ＣＰＵ２５１は、ステップＳ１６の処理に移行する。

一方、ステップＳ１３で、主電源部２１１がＯＦＦ状態であると判断すると（ステップＳ１３；Ｙｅｓ）、不揮発性メモリ２３に、当該検出された検出情報を記憶させる（ステップＳ１４）。

次いで、ＣＰＵ２５１は、主電源部２１１がＯＮ状態になったか否かを判断する（ステップＳ１５）。

ステップＳ１５で、主電源部２１１がＯＮ状態になっていないと判断すると（ステップＳ１５；Ｎｏ）、ＣＰＵ２５１は、ステップＳ１５の処理を繰り返して行う。

一方、ステップＳ１５で、主電源部２１１がＯＮ状態になったと判断すると（ステップＳ１５；Ｙｅｓ）、ＣＰＵ２５１は、検出情報送信制御プログラム２５３ｂを実行して、通信制御部２４に、電子機器２を構成する特定部位に関する所定の状態の変化が検出された旨の検出情報をサーバ４に送信させる（ステップＳ１６）。

ステップＳ１６で送信された検出情報をサーバ４の通信制御部４２が受信すると（ステップＳ１７）、サーバ４のＣＰＵ４３１は、当該受信された検出情報をメモリ４１に記憶させる（ステップＳ１８）。

次いで、ＣＰＵ４３１は、無効処理実行依頼送信制御プログラム４３３ｂを実行して、通信制御部４２に、電子機器２の一部の重要な機能を無効化するなどの製品保証無効処理を実行するよう依頼する製品保証無効処理実行依頼を電子機器４に送信させる（ステップＳ１９）。

ステップＳ１９で送信された製品保証無効処理実行依頼を電子機器２の通信制御部２４が受信すると（ステップＳ２０）、電子機器２のＣＰＵ２５１は、製品保証無効処理プログラム２５３ｃを実行して、当該受信された製品保証無効処理実行依頼に従って、電子機器２の一部の重要な機能を無効化するなどの製品保証無効処理を実行して（ステップＳ２１）、ステップＳ２以降の処理を繰り返して行う。

以上説明した本発明のタンパー検出システム１及び電子機器２によれば、タンパー検出部２２によって、電子機器２に対するタンパー行為を検出するため予め設定された複数の部位に関する所定の状態の変化を検出して検出情報を出力することができる。すなわち、例えば、電子機器２を構成するソフトウエアに対するタンパー行為のみならず、回路の追加や取替がなされたなどの電子機器２を構成するハードウエアに対するタンパー行為も検出可能となるため、結果として広範囲のタンパー行為に対処できる。

また、タンパー検出部２２は、主電源部２１１がＯＦＦ状態の場合は予備電源部２１２により電源の供給を受けて、予備電源部２１２により電源の供給を受けている不揮発性メモリ２３に記憶された要求情報に従って、電子機器２を構成する複数の部位のうちの特定部位に関する所定の状態の変化を検出することができ、不揮発性メモリ２３は、主電源部２１１がＯＦＦ状態の場合は予備電源部２１２により電源の供給を受けて、タンパー検出部２２により出力された検出情報を記憶することができる。すなわち、電子機器２の電源ＯＦＦ時に実行されたタンパー行為を検出して、その検出情報を記憶しておくことができるため、結果として電源ＯＦＦ時に実行されるタンパー行為に対処することができる。したがって、タンパー検出部２２の他に、不揮発性メモリ２３と予備電源部２１２とからなる比較的簡易な構成で電源ＯＦＦ時に実行されるタンパー行為の検出を実現することができる。

また、通信制御部２４によって、不揮発性メモリ２３に記憶された検出情報を所定のタイミングでサーバ４に送信することができる。すなわち、検出情報をサーバ４に送信することによって、電子機器２の電源ＯＦＦ時に実行されるタンパー行為についての情報収集を行うことができるため、今後出荷する製品やアップデートに対する製品固有の脆弱性に対する対策を講じることができるとともに、電子機器２の電源ＯＦＦ時におけるタンパー行為についての証拠性を確保することでタンパー行為に対する抑止効果も期待できる。

また、通信制御部２４は、主電源部２１１がＯＮ状態になると、不揮発性メモリ２３に記憶された検出情報をサーバ４に送信することができる。すなわち、電子機器２の電源ＯＦＦ時には検出情報をサーバ４に送信しないため、予備電源部２１２に蓄えられた電力の消費を抑えることができることとなって、電子機器２の電源ＯＦＦ状態が長期間であっても、その間のタンパー行為を検出し続けることができるとともに、電子機器２の電源ＯＦＦ時における検出情報をサーバ４に送信しない場合において、電源ＯＦＦ時に行われたタンパー行為に基づく検出情報を最も早くサーバ４に送信することができる。

また、通信制御部２４によって、サーバ４により送信された要求情報を受信することができる。したがって、サーバ４側で要求情報を適宜変更することができるため、所望のタンパー行為を検出することができる。

なお、本発明は、上記した実施の形態のものに限るものではなく、その要旨を逸脱しない範囲で適宜変更可能である。

デバイスは、電子機器２の限りでなく、通信ネットワークＮを介してサーバ４と接続されたデバイスであれば任意である。

要求情報は、電子機器２の筐体が開放されたことを検出するよう要求する要求情報、電子機器２を構成するハードウエア（回路など）の追加や取替がなされたことを検出するよう要求する要求情報、電子機器２を構成するソフトウエアが改ざんされたことを検出するよう要求する要求情報、の限りでなく、例えば、電子機器２を構成する特定部位に関する所定の状態の変化を検出するよう要求する要求情報であれば、電子機器２を構成するハードウエアが取り外されたことを検出するよう要求する要求情報や、電子機器２を構成する特定部位の温度が一定の閾値を越えたことを検出するよう要求する要求情報など任意である。無論、要求情報の内容に応じて、タンパー検出部２２により検出される内容も変化する。

不揮発性メモリ２３に予め設定される要求情報は、１つでなく複数であってもよい。
この場合、サーバ４は、不揮発性メモリ２３に予め設定された要求情報に従って検出された検出情報に応じて、送信する要求情報の内容を変更するよう構成してもよい。
具体的には、例えば、不揮発性メモリ２３に予め設定された要求情報が、電子機器２の筐体が開放されたことを検出するよう要求する要求情報と、電子機器２を構成するハードウエアが取り外されたこと、であり、そして、電子機器２の筐体が開放されたことを検出するよう要求する要求情報に従って検出された検出情報を受信した場合は、サーバ４は、電子機器２を構成するソフトウエアが改ざんされたことを検出するよう要求する要求情報を送信し、電子機器２を構成するハードウエアが取り外されたことを検出するよう要求する要求情報に従って検出された検出情報を受信した場合は、サーバ４は、電子機器２を構成するハードウエア（回路など）の追加や取替がなされたことを検出するよう要求する要求情報を送信する等のように構成してもよい。

検出情報をサーバ４に送信するタイミングは、主電源部２１１がＯＮ状態になった時の限りでなく、任意である。

本発明にかかるタンパー検出システムの構成を示す図である。 本発明にかかる電子機器（デバイス）の機能的構成を示すブロック図である。 本発明にかかるタンパー検出システムに備えられたサーバの機能的構成を示すブロック図である。 本発明にかかるタンパー検出システムによるタンパー行為の検出に関する第１の処理について説明するためのフローチャートである。 本発明にかかるタンパー検出システムによるタンパー行為の検出に関する第２の処理について説明するためのフローチャートである。 本発明にかかるタンパー検出システムによるタンパー行為の検出に関する第３の処理について説明するためのフローチャートである。

符号の説明

１ タンパー検出システム
２ 電子機器（デバイス）
２２ タンパー検出部（タンパー検出手段）
２３ 不揮発性メモリ（検出情報記憶手段、要求情報記憶手段）
２４ 通信制御部（検出情報送信手段、要求情報受信手段）
２１１ 主電源部
２１２ 予備電源部
４ サーバ
４２ 通信制御部（検出情報受信手段、要求情報送信手段）
Ｎ 通信ネットワーク

Claims (4)

1. サーバと、当該サーバと通信ネットワークを介して接続されたデバイスと、を備えるタンパー検出システムにおいて、
   前記デバイスは、
   当該デバイスに対するタンパー行為を検出するため予め設定された複数の部位に関する所定の状態の変化を検出して検出情報を出力するタンパー検出手段と、
   前記タンパー検出手段により出力された検出情報を記憶する不揮発性の検出情報記憶手段と、
   前記複数の部位のうちの特定部位に関する所定の状態の変化が前記タンパー検出手段により検出されるよう要求する要求情報を記憶する不揮発性の要求情報記憶手段と、
   当該デバイスに電源を供給する主電源部と、
   前記タンパー検出手段と、前記検出情報記憶手段と、前記要求情報記憶手段と、に電源を供給する予備電源部と、
   前記主電源部がＯＮ状態になると、前記検出情報記憶手段に記憶された検出情報を前記サーバに送信する検出情報送信手段と、
   前記サーバにより送信された前記要求情報を受信する要求情報受信手段と、
   を備え、
   前記サーバは、
   前記デバイスにより送信された検出情報を受信する検出情報受信手段と、
   前記要求情報を前記デバイスに送信する要求情報送信手段と、
   を備え、
   前記タンパー検出手段は、前記主電源部がＯＦＦ状態の場合は前記予備電源部により電源の供給を受けて、当該予備電源部により電源の供給を受けている前記要求情報記憶手段に記憶された要求情報に従って、前記特定部位に関する所定の状態の変化を検出し、
   前記検出情報記憶手段は、前記主電源部がＯＦＦ状態の場合は前記予備電源部により電源の供給を受けて、前記タンパー検出手段により出力された検出情報を記憶することを特徴とするタンパー検出システム。
2. 通信ネットワークを介してサーバに接続されたデバイスにおいて、
   当該デバイスに対するタンパー行為を検出するため予め設定された複数の部位に関する所定の状態の変化を検出して検出情報を出力するタンパー検出手段と、
   前記タンパー検出手段により出力された検出情報を記憶する不揮発性の検出情報記憶手段と、
   前記複数の部位のうちの特定部位に関する所定の状態の変化が前記タンパー検出手段により検出されるよう要求する要求情報を記憶する不揮発性の要求情報記憶手段と、
   当該デバイスに電源を供給する主電源部と、
   前記タンパー検出手段と、前記検出情報記憶手段と、前記要求情報記憶手段と、に電源を供給する予備電源部と、
   前記検出情報記憶手段に記憶された検出情報を所定のタイミングで前記サーバに送信する検出情報送信手段と、
   を備え、
   前記タンパー検出手段は、前記主電源部がＯＦＦ状態の場合は前記予備電源部により電源の供給を受けて、当該予備電源部により電源の供給を受けている前記要求情報記憶手段に記憶された要求情報に従って、前記特定部位に関する所定の状態の変化を検出し、
   前記検出情報記憶手段は、前記主電源部がＯＦＦ状態の場合は前記予備電源部により電源の供給を受けて、前記タンパー検出手段により出力された検出情報を記憶することを特徴とするデバイス。
3. 請求項２に記載のデバイスにおいて、
   前記検出情報送信手段は、前記主電源部がＯＮ状態になると、前記検出情報記憶手段に記憶された検出情報を前記サーバに送信することを特徴とするデバイス。
4. 請求項２又は３に記載のデバイスにおいて、
   前記サーバにより送信された前記要求情報を受信する要求情報受信手段を備えることを特徴とするデバイス。

Images