JP2009110077A - 計算機システム - Google Patents

Abstract

【課題】低コストおよび簡易構成で、不正アクセス検出時に、目的の動作を実現するための特定の情報を確実に破壊することのできる計算機システムを得る。
【解決手段】不正アクセス検出時にシステム内部に含まれている設計情報の漏洩を防止するための情報破壊実行部３０を備えた計算機システム１０であって、情報破壊実行部３０は、システム内に含まれている汎用部品の中で、目的の動作を実現するための特定の情報が書き込まれた部品を破壊対象とし、不正アクセス検出時に、破壊対象の部品４１の少なくとも一部を物理的に破壊するか、または破壊対象の部品４１に書き込まれた特定の情報の少なくとも一部を消去する。
【選択図】図１

Description

本発明は、軍事、宇宙用途の機種に適用され、不正アクセス検出時にシステム内部に含まれている設計情報の漏洩を防止するための情報破壊実行部を備えた計算機システムに関する。

軍事、宇宙用途の機種に適用される計算機システムは、その計算機システムに関連した設計情報の漏洩を確実に防ぐことが必要である。この点は、機種に適用される計算機システムが盗難にあった場合でも同様である。盗難にあった場合には、計算機システムの内部を解析することにより、設計情報が知られてしまうおそれが想定される。従って、盗難を考慮した場合には、計算機システムの内部解析をされないようにすることが重要である。

従来技術においては、計算機システムの内部解析を防ぐ手段として、「不正アクセスの検出」に伴い、「アクセス制限による保護」、「計算機システムの破壊」といった手法を用いるもの、またはこれらを組み合わせた手法を用いるものが存在する。

「不正アクセスの検出」に関しては、例えば、以下のような検出により実現されている。
１）筐体のパネル開閉、カバーの着脱のスイッチ等による検出
２）計算機システムへのアクセス時にパスワードの入力による認証、ライセンス、キー情報の確認による検出
３）計算機システムの構成部品であるデバイスのアクセス（読み出し、書き込み）に際して正しいアクセスコード（特定アドレスへの特定データによるアクセス）による検出

「アクセス制限による保護」に関しては、以下のような保護により実現されている（例えば、特許文献１参照）。
１）上述したような検出に伴うデータの保護（ダミーデータの出力、データ更新の停止）
２）データの暗号化による保護

また、「計算機システムの破壊」に関しては、以下のような対応により実現されている（例えば、特許文献２、３参照）。
１）発火するシステム（火薬等）を用いた焼失、爆破
２）予備電源、大容量キャパシタによる過電圧、過電流印加による静電破壊
３）揮発性メモリのデータをバッテリと組み合わせることで保持するシステムにおけるバッテリ保持回路部の解除
４）システム運用時のマニュアルで人手による破壊

特開平８−９５８６６号公報 特開２００１−２５６１１９号公報 特開２００３−３３７７５３号公報

しかしながら、従来技術には次のような課題がある。
従来技術において、「アクセス制限による保護」に関しては、暗号化、パスワードによるアクセスブロックによる防御策が講じられている。しかしながら、計算機システム上、あるいはデバイス上にデータが存在する限りは、暗号化、パスワードによるアクセスブロックによる防御策では、レスポンスデータの集積と解析に伴う暗号、パスワードの解読によるリスクが存在する。

また、「計算機システムの破壊」に関しては、計算機システム内に破壊のための仕組みが必要となる。従って、計算機システムが大きくなってくれば、実装コストと実装空間が問題となる。人手による破壊という手段も軍事関連の器材には講じられているが、状況によって、確実に破壊できるとは言えない。

本発明は上述のような課題を解決するためになされたもので、低コストおよび簡易構成で、不正アクセス検出時に、目的の動作を実現するための特定の情報を確実に破壊することのできる計算機システムを得ることを目的とする。

本発明に係る計算機システムは、不正アクセス検出時にシステム内部に含まれている設計情報の漏洩を防止するための情報破壊実行部を備えた計算機システムであって、情報破壊実行部は、システム内に含まれている汎用部品の中で、目的の動作を実現するための特定の情報が書き込まれた部品を破壊対象とし、不正アクセス検出時に、破壊対象の部品の少なくとも一部を物理的に破壊するか、または破壊対象の部品に書き込まれた特定の情報の少なくとも一部を消去するものである。

本発明によれば、計算機システムに対する不正アクセス検出と同時に破壊対象となる部品の少なくとも一部を物理的に破壊するか、または破壊対象の部品に書き込まれた特定の情報の少なくとも一部を消去し、情報の痕跡を残さずに再現不可能とすることにより、低コストおよび簡易構成で、不正アクセス検出時に、目的の動作を実現するための特定の情報を確実に破壊することのできる計算機システムを得ることができる。

以下、本発明の計算機システムの好適な実施の形態につき図面を用いて説明する。

実施の形態１．
図１は、本発明の実施の形態１における計算機システムの構成図である。図１における計算機システム１０は、不正アクセス検出部２０、情報破壊実行部３０、機能動作部４０を備えている。また、機能動作部４０内には、破壊処理の対象となる回路・電子部品４１と、破壊処理の対象でない回路・電子部品４２が含まれている。

不正アクセス検出部２０は、計算機システム１０に対する不正アクセスを検出する手段である。不正アクセス検出部２０による不正アクセス検出方式としては、従来から存在するパスワードアクセス、ライセンス、キー情報によるコミットといった手法が適用されている。

情報破壊実行部３０は、機能動作部４０内の破壊処理の対象となる回路・電子部品４１を破壊するための手段である。本実施の形態１では、破壊処理の対象となる回路・電子部品４１の全部または一部を、物理的に破壊するか、または、破壊処理の対象となる回路・電子部品４１に書き込まれた特定の情報の一部または全部を消去する場合について説明する。

情報破壊実行部３０による物理的な破壊手段としては、従来から存在する以下のような手法が適用されている。
１）発火するシステム（火薬等）を用いた焼失、爆破
２）予備電源、大容量キャパシタによる過電圧、過電流印加による静電破壊

また、情報破壊実行部３０による、破壊処理の対象となる回路・電子部品４１に書き込まれた特定の情報の少なくとも一部を消去する破壊手段としては、従来から存在する以下のような手法が適用されている。
１）揮発性メモリのデータをバッテリを組み合わせることで保持するシステムにおけるバッテリ保持回路部の解除

ここで、破壊処理の対象となる回路・電子部品４１は、具体的には、プログラマブルデバイスであるＰＬＤ、ＦＰＧＡ等、非揮発性メモリであるＦＬＡＳＨメモリ等、および揮発性メモリであるＳＲＡＭ等のデータをバッテリと組み合わせることで保持する回路で構成されるものとする。

本実施の形態１の計算機システム１０は、不正アクセス検出部２０で検出した不正アクセスに伴い、内部のアクセスを拒絶（２２）するとともに、情報破壊実行部３０に対して破壊指示２１を出すことにより、破壊処理の対象となる回路・電子部品４１を破壊する。

この際、計算機システム１０として動作不能とし、その復旧に当たっては、単に計算機システム１０に採用されている部品を交換するだけではできないようにし、かつ内部解析の実施が不可能となるようにすることが重要である。

汎用のＣＰＵ回路、電源ユニットのようなものであると、同等品の交換により復旧できてしまう可能性が高い。しかしながら、プログラマブルデバイスであるＰＬＤ、ＦＰＧＡ等、非揮発性メモリであるＦＬＡＳＨメモリ等、揮発性メモリであるＳＲＡＭ等のデータをバッテリと組み合わせることで保持する回路の場合には、書き込まれているデータが重要なので、これを破壊すれば、同等部品の交換だけでは復旧できない。

また、動作不能、解析不能とするために、計算機システム１０全体を破壊することは、規模が大きくなれば、情報破壊実行部３０もそれに応じた規模が必要になり、コスト、実装スペースの面で、計算機システム１０としては大きな負担となる。

そこで、本発明では、同等部品の交換だけでは復旧できない上述した部品を、破壊処理の対象となる回路・電子部品４１とすることで、情報破壊実行部３０の簡略化を図っている。この結果、計算機システム１０全体として、実装コスト、スペースの最適化を実現できる。

以上のように、実施の形態１によれば、不正アクセス検出時に、目的の動作を実現するための特定の情報が書き込まれた重要部品（すなわち、同等部品の交換だけではシステムの復旧ができない重要部品）の少なくとも一部を物理的に破壊するか、またはこのような重要部品に書き込まれた特定の情報の少なくとも一部を消去することができる。これにより、低コストおよび簡易構成で、不正アクセス検出時に、目的の動作を実現するための特定の情報を確実に破壊することのできる計算機システムを得ることができる。

実施の形態２．
本実施の形態２では、不正アクセス検出時に、破壊処理の対象となる回路・電子部品４１の有しているデータを消去する場合について説明する。先の実施の形態１では、バッテリ保持回路部の解除によりデータを消去する方法について説明したが、本実施の形態２では、不正アクセス検出時に、データ消去プログラムを起動させることにより、目的の動作を実現するための特定の情報を確実に破壊する方法について説明する。

図２は、本発明の実施の形態２における計算機システムの構成図である。図２における計算機システム１０は、不正アクセス検出部２０、情報破壊実行部３０、機能動作部４０、ＣＰＵ５０、電源６０、バッテリ部７０を備えている。また、情報破壊実行部３０内には、起動プログラム３１ａおよびデータ消去プログラム３１ｂが記憶された非揮発性メモリデバイス３１が含まれている。

また、機能動作部４０内には、消去するデータ４１ａ（目的の動作を実現するための特定の情報に相当）が書き込まれている破壊処理の対象となる回路・電子部品４１と、破壊処理の対象でない回路・電子部品４２が含まれている。

このように、データ消去プログラム３１ｂは、起動プログラム３１ａと同じように、ＣＰＵ５０により動作するプログラムが格納されている非揮発性メモリデバイス３１上に存在している。ここで、不正アクセス検出部２０にて不正アクセスを検出しない場合は、起動プログラム３１ａを選択する（２３）。そして起動プログラム３１ａは、ＣＰＵ５０により実行される。これに対して、不正アクセス検出部２０にて不正アクセスを検出した場合は、データ消去プログラム３１ｂを選択する（２４）。そしてデータ消去プログラム３１ｂは、ＣＰＵ５０により実行される。

なお通常動作時には電源６０より電力が供給され（６１）、ＣＰＵ５０を動作させてデータ消去プログラム３１ｂを実行する。また不正アクセス検出時において、電源６０から電力が供給されない場合においても、別途設けたバッテリ部７０により電力供給を受けて（７１）ＣＰＵ５０を起動させることにより、データ消去プログラム３１ｂを実行する。

このようなデータ消去プログラム３１ｂの具体例としては、次のようなものが挙げられる。
１）プログラマブルデバイスが論理回路を構成するＰＬＤ、ＦＰＧＡ等の場合には、「デバイスのコンフィグレーションＲＯＭ」に依存したデータアクセスパターンの実行を行うプログラム
２）メモリデバイスが「非揮発性メモリ」であるＦＬＡＳＨメモリ等の場合には、メモリデバイス依存のデータアクセスパターンの実行を行うプログラム

通常の動作時におけるＣＰＵ５０の動作周波数は、計算機システム１０に要求される性能を満たすために、高速に設定されている。この周波数が高速であればあるほど、消費電力は、大きくなる。

ＣＰＵ５０によっては、周波数を下げることで、より低電力で駆動できる機能を持つものが存在する。そこで、不正アクセスの検出時は、ＣＰＵ５０がデータ消去プログラム３１ｂを低周波数で動作する設定とすることにより、バッテリ部７０に必要とされる駆動電力を低減することができる。

以上のように、実施の形態２によれば、目的の動作を実現するための特定の情報を消去するためのデータ消去プログラムをあらかじめ備え、不正アクセス検出時に、バッテリ部から電源供給されるＣＰＵによりデータ消去プログラムを起動することにより、低コストおよび簡易構成で、不正アクセス検出時に、目的の動作を実現するための特定の情報を確実に破壊することのできる計算機システムを実現できる。

さらに、不正アクセス検出時の動作周波数を低速に設定できるＣＰＵを採用することにより、バッテリ部に必要とされる駆動電力を低減することが可能となる。

実施の形態３．
先の実施の形態２では、不正アクセス検出時に、バッテリ部から電源供給されるＣＰＵによりデータ消去プログラムを起動させ、目的の動作を実現するための特定の情報を確実に破壊する方法について説明した。これに対して、本実施の形態３では、ＣＰＵの代わりに専用のデータ消去回路を備え、このデータ消去回路によりデータ消去プログラムを起動させ、目的の動作を実現するための特定の情報を確実に破壊する方法について説明する。

図３は、本発明の実施の形態３における計算機システムの構成図である。図３における計算機システム１０は、不正アクセス検出部２０、情報破壊実行部３０、機能動作部４０、電源６０、バッテリ部７０を備えている。また、情報破壊実行部３０内には、データ消去専用のデータ消去回路３２が設けられている。

また、機能動作部４０内には、消去するデータ４１ａ（目的の動作を実現するための特定の情報に相当）が書き込まれている破壊処理の対象となる回路・電子部品４１と、破壊処理の対象でない回路・電子部品４２が含まれている。

そして、このデータ消去回路３２に含まれているデータ消去プログラム３２ａが起動されることにより、破壊処理の対象となる回路・電子部品４１内の消去するデータ４１ａが消去される。

さらに、本実施の形態３では、先の実施の形態２において、ＣＰＵ５０に接続されていた電源６０およびバッテリ部７０が、データ消去回路３２に接続されている。このような構成により、不正アクセス検出時において、データ消去プログラム３２ａは、電源６０から電力が供給されない場合においても、バッテリ部７０により電力供給を受けてデータ消去回路３２が起動可能となることにより実行される。

このようなデータ消去回路３２の具体例としては、次のようなものが挙げられる。
１）プログラマブルデバイスが論理回路を構成するＰＬＤ、ＦＰＧＡ等の場合には、デバイスのコンフィグレーションＲＯＭに対応したデータ消去プログラム（デバイス依存のデータアクセスパターン）の実行を行う回路
２）メモリデバイスが非揮発性メモリであるＦＬＡＳＨメモリ等の場合には、メモリデバイスに対応したデータ消去プログラム（デバイス依存のデータアクセスパターン）の実行を行う回路

先の実施の形態２におけるＣＰＵ５０によりデータ消去プログラムを実施する場合と比較すると、データ消去回路３２を備えた本実施の形態３によれば、ＣＰＵその他対象デバイスにアクセスするために必要な回路部の起動に伴う処理時間が不要になる。この結果、実行時間の短縮を図ることができる。さらに、ＣＰＵその他対象デバイスにアクセスするために必要な回路部の駆動のための駆動電力が不要となり、バッテリ部に必要とされる駆動電力の低減を図ることができる。

以上のように、実施の形態３によれば、目的の動作を実現するための特定の情報を消去するためのデータ消去プログラムをあらかじめ備え、不正アクセス検出時に、バッテリ部から電源供給される専用のデータ消去回路によりデータ消去プログラムを起動することにより、低コストおよび簡易構成で、不正アクセス検出時に、目的の動作を実現するための特定の情報を確実に破壊することのできる計算機システムを実現できる。

さらに、データ消去プログラムを実行するために、ＣＰＵの代わりに専用のデータ消去回路を用いることにより、実行時間の短縮化、およびバッテリ部に必要とされる駆動電力の低減を図ることができる。

実施の形態４．
本実施の形態４では、計算機システム上で動作するプログラム、およびその動作に必要となるデータが、破壊処理の対象となる回路・電子部品４１と、破壊処理の対象でない回路・電子部品４２とに分離されて記憶されている場合において、情報破壊実行部の働きにより、目的の動作を実現するための特定の情報を破壊する具体例について説明する。

図４は、本発明の実施の形態４における計算機システムの構成図である。図４における計算機システム１０は、不正アクセス検出部２０、情報破壊実行部３０、機能動作部４０、ＣＰＵ５０、バッテリ部７０を備えている。また、情報破壊実行部３０内には、データ保護回路３３が設けられている。

本実施の形態４においては、計算機システム上で動作するプログラム、およびその動作に必要となるデータの中で、計算機システムに依存して「保護すべきコード、データ４３ａ」が、破壊処理の対象となる回路・電子部品４１内の揮発性メモリデバイス４３に記憶されている。この保護すべきコード、データ４３ａが、目的の動作を実現するための特定の情報に相当する。

この揮発性メモリデバイス４３の一例としては、ＳＲＡＭが挙げられる。また、バッテリ部７０は、不正アクセスが検出されない場合には、電源未投入時でも揮発性メモリデバイス４３の書き込みデータを保持するための回路である。本実施の形態４では、このバッテリ部７０と揮発性メモリデバイス４３との間に、データ保護回路３３が設けられている。

そして、データ保護回路３３は、不正アクセス検出部２０により不正アクセスが検出されない場合（正常なアクセスの場合）には、バッテリ部７０から揮発性メモリデバイス４３への電源を投入状態とする。また、データ保護回路３３は、不正アクセス検出部２０により不正アクセスが検出された場合には、バッテリ部７０から揮発性メモリデバイス４３への電源を未投入状態とする。これにより、不正アクセス検出時には、揮発性メモリデバイス４３上に記憶された保護すべきコード、データ４３ａは、保持されない状態となる。

一方、計算機システム上で動作するプログラム、およびその動作に必要となるデータの中で、「汎用のソフトウェアコード、データ４４ａ」が、破壊処理の対象でない回路・電子部品４２内の非揮発性メモリデバイス４４に記憶されている。この非揮発性メモリデバイス４４の一例としては、ＦＬＡＳＨが挙げられる。

このように、揮発性メモリデバイス４３と非揮発性メモリデバイス４４とに分割されて保持されている、計算機システム上で動作するプログラムおよびその動作に必要となるデータは、展開処理プログラム４４ｂにより、１つにマージされたプログラム４５ａとして生成される。なお、このマージされたプログラム４５ａは、非揮発性メモリデバイス４４とは別のプログラム実行用非揮発性メモリデバイス４５上に展開され、起動される。

展開処理プログラム４４ｂは、保護すべき情報ではないので、汎用のＳ／Ｗコード、データ４４ａの一部となっており、非揮発性メモリデバイス４４上に格納され、電源投入時に最初に実行される。

また、非揮発性メモリデバイス４４、およびプログラム実行用非揮発性メモリデバイス４５は、破壊処理の対象でない回路・電子部品４２に含まれる。

一般的には、ＦＬＡＳＨのような非揮発性メモリは、単位容量当たりのコストが高く、低速アクセスであるのでプログラムの格納領域として利用される。一方、ＳＲＡＭのような揮発性メモリは、単位容量当たりのコストが低く、高速アクセスであるのプログラムの実行領域（キャッシュ）として利用される。従って、一般的には、プログラムの実行も、揮発性メモリ上で行われ、ＳＤＲＡＭ等が利用される。

しかしながら、このタイプのメモリは、情報保持のための処理を定期的に実施する必要があり、バッテリのみでは情報保持ができないため、本願発明の計算機システムの目的には適さない。

また、揮発性メモリでプログラムの格納を行うには、電源バックアップの必要があり、コスト的な面で現実的ではない。よって、本実施の形態４では、必要な領域のみ（すなわち、目的の動作を実現するための特定の情報に相当する保護すべきコード、データ４３ａのみ）を、揮発性メモリデバイスに記憶させ、バッテリ部７０とデータ保護回路３３により保持し、その他の領域は、非揮発性メモリデバイスに記憶させることで、コスト面とセキュリティ面のバランスをとった構成としている。

以上のように、実施の形態４によれば、計算機システム上で動作するプログラム、およびその動作に必要となるデータの中で、計算機システムに依存して保護すべきコード、データを、目的の動作を実現するための特定の情報として、揮発性メモリデバイスからなる破壊処理の対象となる回路・電子部品に記憶させておき、その他のプログラム、データは、破壊処理の対象でない回路・電子部品に記憶させておく構成を取っている。この結果、不正アクセス検出時には、揮発性メモリデバイスへの電源供給を絶つことで、特定の情報を確実に破壊することのできる計算機システムを得ることができ、低コストおよび簡易構成を実現できる。

本発明の実施の形態１における計算機システムの構成図である。 本発明の実施の形態２における計算機システムの構成図である。 本発明の実施の形態３における計算機システムの構成図である。 本発明の実施の形態４における計算機システムの構成図である。

符号の説明

１０ 計算機システム、２０ 不正アクセス検出部、３０ 情報破壊実行部、３１ 非揮発性メモリデバイス、３１ａ 起動プログラム、３１ｂ データ消去プログラム、３２ データ消去回路、３２ａ データ消去プログラム、３３ データ保護回路、４０ 機能動作部、４１ 破壊処理の対象となる回路・電子部品、４１ａ 消去するデータ、４２ 破壊処理の対象でない回路・電子部品、４３ 揮発性メモリデバイス、４３ａ 保護すべきコード、データ、４４ 非揮発性メモリデバイス、４４ａ 汎用のＳ／Ｗコード、データ、４４ｂ 展開処理プログラム、４５ プログラム実行用非揮発性メモリ、４５ａ マージされたプログラム、５０ ＣＰＵ、６０ 電源、７０ バッテリ部。

Claims (4)

1. 不正アクセス検出時にシステム内部に含まれている設計情報の漏洩を防止するための情報破壊実行部を備えた計算機システムであって、
   前記情報破壊実行部は、システム内に含まれている汎用部品の中で、目的の動作を実現するための特定の情報が書き込まれた部品を破壊対象とし、不正アクセス検出時に、破壊対象の部品の少なくとも一部を物理的に破壊するか、または前記破壊対象の部品に書き込まれた特定の情報の少なくとも一部を消去する
   ことを特徴とする計算機システム。
2. 請求項１に記載の計算機システムにおいて、
   前記情報破壊実行部は、前記破壊対象の部品として論理回路を構成するプログラム可能なデバイスが含まれている場合には、不正アクセス検出時に、前記デバイスの特定の情報に相当するコンフィギュレーション情報を保持するメモリデバイスを物理的に破壊するか、または前記メモリデバイスに書き込まれたコンフィギュレーション情報を消去する
   ことを特徴とする計算機システム。
3. 請求項１に記載の計算機システムにおいて、
   前記情報破壊実行部は、前記破壊対象の部品として特定の情報が書き込まれた不揮発性メモリデバイスが含まれている場合には、不正アクセス検出時に、前記不揮発性メモリデバイスを物理的に破壊するか、または前記メモリデバイスに書き込まれた特定の情報を消去する
   ことを特徴とする計算機システム。
4. 請求項１に記載の計算機システムにおいて、
   前記破壊対象の部品は、システム上で動作するプログラムおよび動作に必要となるデータの中で、システムに依存して保護すべきコード、データを前記特定の情報として保持する揮発性メモリデバイスであり、
   前記情報破壊実行部は、不正アクセス検出時に、前記揮発性メモリデバイスへの電源供給を遮断することで前記特定の情報を消去するデータ保護回路で構成される
   ことを特徴とする計算機システム。

Images