JP2010250412A

JP2010250412A - キー入力装置

Info

Publication number: JP2010250412A
Application number: JP2009096789A
Authority: JP
Inventors: Hiroo Horiuchi; 啓生堀内; Makoto Isobe; 誠礒部
Original assignee: Hitachi Omron Terminal Solutions Corp
Current assignee: Hitachi Omron Terminal Solutions Corp
Priority date: 2009-04-13
Filing date: 2009-04-13
Publication date: 2010-11-04
Anticipated expiration: 2029-04-13
Also published as: JP5183557B2

Abstract

【課題】キー入力装置でのキー操作に伴う情報の漏洩防止の実効性を高める。
【解決手段】暗証番号入力装置のＥＰＰ１００では、フレーム１２０に対してスプリング１３２、１３４でキー１１０を付勢しつつ保持し、両スプリングを電圧印加経路とした上で、両スプリングが接するキー下面の接点間パターン１１６に通電する。キー操作のないキー非操作状況下とキー押圧を行うキー通常操作状況下とでは、接点間パターン１１６の通電状況は定常に維持されるが、キー１１０の取り外しと言った通常想定されない不正なキーアクセスがあると、スプリングは第１接点１１２等から離れて接点間パターン１１６の通電状況は変化するので、これにより不正なキーアクセスを検知する。
【選択図】図３

Description

本発明は、複数のキーを備えるキー入力装置に関する。

キー入力装置は、現金自動支払機における暗証番号の入力装置や、クレジット決済に際しての暗証番号の入力装置として多用されている。これらの暗証番号入力装置（以下、ＥＰＰと称する）では、利用者の機密情報である暗証番号を扱うため、機密情報に関与するＣＰＵやメモリなどのデバイスを不正なアクセスから防御することがなされている。例えば、これらデバイスはカバーで覆われて外部からの不正なアクセスは通常行えないが、ＥＰＰのカバーを不正に開いたりドリルによってカバーを破壊する等してデバイスを露出させ、当該デバイスに不正なアクセスがされる場合がある。こうした場合には、カバーの不正開閉や破壊を検知し、自動的にデバイスの機密情報を消去するセキュリティ機能（タンパ機能）を設けることが業界の自主規制として求められており、種々のタンパ機能が提案されている（例えば、特許文献１）。

特開平７−２１９８５３号公報

上記特許文献で提案されたタンパ機能では、カバーの不正開閉や破損を経たＣＰＵやメモリへの不正アクセスの対処を想定しているものの、不正行為への更なる対処が求められるに至った。例えば、カバー開閉を伴わずにキー接点に情報漏洩の細工を行って暗証番号をスキミングする不正行為がなされることも想定されるので、情報漏洩への対処強化が求められている。

本発明は、上記した課題を踏まえ、キー入力装置でのキー操作に伴う情報の漏洩防止の実効性を高めることをその目的とする。

上記した目的の少なくとも一部を達成するために、本発明では、以下の構成を採用した。

［適用：キー入力装置］
キー入力装置であって、
使用者により操作されるキートップを有し、キー下面側に位置するキー接点の接点信号を前記キートップの操作により生成するようフレームに保持された複数のキーと、
前記キートップの操作のためのキーアクセス以外の不正なキーアクセスの有無をキーごとに検知する非正常アクセス検知機構とを備える
ことを要旨とする。

キー入力装置のキーに対応するキー接点は、キーの下面側に位置することから、何らかの不正行為をキー接点に行うには、キーを単独でフレームから或いはフレームごと一旦取り外したり、フレームに保持されたキー自体に通常想定されないアクセスを行ってキーを一旦取り外す必要がある。しかしながら、上記構成のキー入力装置では、キートップの操作によりキー接点の接点信号を生成するキーに対して、キートップ操作のためのキーアクセス以外の不正なキーアクセスがあると、その不正なキーアクセスを検知するので、こうした不正なキーアクセスの後のキー接点への不正行為の無効化が可能となる。このため、情報漏洩のためのキー接点への不正行為があっても、当該不正行為後における情報漏洩を防止できる。例えば、前記非正常アクセス検知機構が前記不正なキーアクセスを検知すると、該検知以降の前記キー接点のオンオフを無効とすれば、不正なキーアクセスが無意味となり、これを持ってキー接点に対する不正行為を防止できると共に、不正行為後における情報漏洩を防止できる。また、順番に前記キートップ操作がなされた前記キーの順序に関連付けたデータを記憶手段に記憶するようにした上で、前記非正常アクセス検知機構が前記不正なキーアクセスを検知すると、前記記憶手段の記憶データを消去手段にて消去するようにもできる。こうしても、不正なキーアクセスが無意味となってキー接点に対する不正行為を防止できると共に、情報漏洩の防止の実効性がより高まる。

以上説明したキー入力装置では、種々の態様を採ることができる。例えば、前記複数のキーを包囲する前記フレームに対して前記複数のキーを保持するキー保持機構を備え、該キー保持機構によるキー保持を、前記フレームに対して前記キーをスプリングにより付勢することで行って、前記キートップの押圧による前記接点信号の生成動作としてのキー降下動作と、前記接点信号の停止動作としての上昇復帰動作とを可能とし、その上で、前記非正常アクセス検知機構による不正なキーアクセスの有無を、前記スプリングの付勢状況により検知するようにすることができる。こうすれば、キー接点への不正行為を目的としたキーの取り外しと言った不正なキーアクセスが仮にあるとすれば、キー取り外しによりスプリングの付勢状況は変化する。例えばキー取り外しによりスプリングが外れるので、不正なキーアクセスの有無を容易に検知できる。

また、前記キーの下面に形成された導電パターンへの電圧印加を行った上で、前記非正常アクセス検知機構による不正なキーアクセスの有無を、前記導電パターンの導通状況により検知するようにすることができる。こうすれば、キー接点への不正行為を目的としたキーの取り外しや、キーとフレームとの隙間からキーの切り外しと言った不正なキーアクセスが仮にあるとすれば、これら不正なキーアクセスにより導電パターンの導通状況は導通遮断や電流の変化として現れる。よって、不正なキーアクセスの有無を容易に検知できる。

この場合、前記導電パターンを、前記キーの下面に離間して形成された第１、第２の接点と、該第１接点から第２接点に至る接点間パターンとを備えるものとし、該接点間パターンを前記キーの下面領域に亘って一条で形成することができる。こうすれば、キーのどの箇所において不正なキーアクセスがあっても通電状況が変化することから、不正なキーアクセスの有無の検知感度を高めることができる。

そして、前記キー保持機構によるキー保持を、前記第１接点と第２接点に配置したスプリングにより前記フレームに対して前記キーを付勢して行った上で、前記キートップの押圧による前記接点信号の生成動作としてのキー降下動作と、前記接点信号の停止動作とを可能とし、前記スプリングを前記導電パターンへの電圧印加経路とすることができる。こうすれば、キー接点への不正行為を目的としたキーの取り外しと言った不正なキーアクセスが仮にあれば、既述したようにスプリングが外れて導電パターンの導通状況に変化を来すので、不正なキーアクセスの有無を容易に検知できる。

本発明の一実施態様としての実施例の暗証番号入力装置（ＥＰＰ）１００の外観を概略的に正面視して示す説明図である。ＥＰＰ１００が有するキー１１０の下面に形成した導電パターンの様子を示す説明図である。ＥＰＰ１００が有するキー１１０を概略的に断面視して示す説明図である。本実施例のＥＰＰ１００が不正アクセス検知に関して備える電気的な構成を概略的に示す説明図である。不正アクセス検知処理の内容を示すフローチャートである。不正アクセス処理において消去されるメモリー内容を説明する説明図である。

以下、本発明の実施の形態について、その実施例を図面に基づき説明する。図１は本発明の一実施態様としての実施例の暗証番号入力装置（ＥＰＰ）１００の外観を概略的に正面視して示す説明図、図２はＥＰＰ１００が有するキー１１０の下面に形成した導電パターンの様子を示す説明図、図３はＥＰＰ１００が有するキー１１０を概略的に断面視して示す説明図である。

図１に示すように、ＥＰＰ１００は、複数のキー１１０を４列４行で備え、それぞれのキー１１０をフレーム１２０で包囲している。複数のキー１１０は、数値０〜９までのテンキーと、百桁数値入力のための入力支援キーと、小数点キーと、キャンセル、クリアおよびエンターの実行キーとされている。そして、ＥＰＰ１００は、例えば４桁の数値の並びからなる暗証番号を、四つの数値キーの順次入力を経て受け付ける。入力支援キーは、例えば、ＥＰＰ１００を現金自動支払機に組み込んだ場合に、入出金金額の入力の利便性を高めるために用いられる。小数点キーは、外貨両替の際の外貨金額の入力に用いられる。実行キーは、入力操作を行ったテンキーの取消（一字取消や全部取消）やキー操作の完了のために用いられる。

キー１１０の各キーは、樹脂成型品であり、図２に示すように、キー下面に第１接点１１２と第２接点１１４を離間して備え、第１接点１１２と第２接点１１４とを結ぶ接点間パターン１１６を備える。この第１接点１１２と第２接点１１４と接点間パターン１１６は、導電ペーストをスクリーン印刷手法等を用いて印刷形成されたものであり、本願におけるキー裏面の導電パターンとなる。接点間パターン１１６は、第１接点１１２から第２接点１１４に至るよう形成されている。本実施例の接点間パターン１１６は、第１接点１１２から当該接点に近い側のキー端部にまで繰り返し屈曲形成され、最端部に達した後は、キー下面の一端側（図２では下端側）の領域において繰り返し屈曲形成されて第２接点１１４に近い側のキー端部まで形成され、その後は、キー下面の他端側（図２では上端側）の領域において繰り返し屈曲形成されて第２接点１１４に達する。つまり、接点間パターン１１６は、一条でありながらキー１１０の下面領域に亘って一条で形成されており、キー下面領域においてくまなく張り巡らされていることになる。

上記した導電パターンをキー下面に有するキー１１０のそれぞれは、フレーム１２０に対して保持されている。つまり、キー１１０は、その下面側に周縁部１１１を突出して備え、フレーム１２０の貫通孔１２２にフレーム下面側から組み込まれている。こうしてフレーム１２０に組み込まれたキー１１０を保持すべく、ＥＰＰ１００は、フレーム１２０とこれに対向する基板１４０との間に、非導電性で弾発性のラバーシート１５０を介在させる。ラバーシート１５０は、フレーム１２０と基板１４０の周縁にて挟持されており、それぞれのキー１１０の下面側では、キー形状に倣って環状に隆起した隆起部１５２でキー１１０をその周縁部１１１にて支える。また、ラバーシート１５０は、基板１４０の側に凸部１５４を備え、当該凸部を、基板１４０に組み込まれた板バネ１４２に接触させている。

この他、ＥＰＰ１００は、それぞれのキー１１０の下面と基板１４０との間に、圧縮状態のスプリング１３２、１３４をラバーシート１５０を貫通して備え、スプリング付勢力をキー１１０に下面側から及ぼしている。このため、それぞれのキー１１０は、ラバーシート１５０の隆起部１５２の上端で支えられた上で、圧縮状態のスプリング１３２、１３４によりその付勢力を受けてフレーム１２０に対して保持され、キー頂上面に当たるキートップでのキー押圧によるキー降下動作と、キー押圧解除後の上昇復帰動作とを起こす。基板１４０は、板バネ１４２の中央部位と対向する位置にそれぞれのキー１１０に対応したキー接点１４４を有する。よって、キー１１０は、キートップでのキー押圧によるキー降下動作により、ラバーシート１５０の凸部１５４にて板バネ１４２を押し下げて板バネ１４２をキー接点１４４に接触させて当該キー接点をオンするオン動作（接点信号の生成動作）を起こす。また、キー１１０は、キー押圧解除後の上昇復帰動作により、板バネ１４２をキー接点１４４から遠ざけて当該キー接点をオフするオフ動作（接点信号の停止動作）を起こす。キー１１０のこの上昇復帰動作は、上記の両スプリングの付勢力とラバーシート１５０自身の弾発性により起きる。この場合、キー１１０の周縁部１１１はフレーム１２０の貫通孔１２２より大きくされていることから、それぞれのキー１１０は、その周縁部１１１を貫通孔１２２の周縁に接合させて保持されることになる。

上記したスプリング１３２は、ラバーシート１５０を貫通した箇所で、スプリング上端をキー１１０の下面の第１接点１１２に接触させ、スプリング下端を基板１４０の接点１４６に接触させている。スプリング１３４は、ラバーシート１５０を貫通した箇所で、スプリング上端をキー１１０の下面の第２接点１１４に接触させ、スプリング下端を基板１４０の接点１４８に接触させている。この場合、ラバーシート１５０におけるスプリングの貫通孔の孔径はスプリング径より大きくされているので、スプリング１３２、１３４は、ラバーシート１５０の貫通孔においてフリーな状態とされている。つまり、両スプリングは、図３に示すようにキー１１０を保持しているが、キー１１０が取り外されると、自身の付勢力が解放されることから、基板１４０の接点１４６、１４８から離れる。この場合、両スプリングは、ラバーシート１５０の貫通孔から飛び出て外れたりする。

次に、上記のように保持したキー１１０に対する不正なキーアクセスの検知について説明する。図４は本実施例のＥＰＰ１００が不正アクセス検知に関して備える電気的な構成を概略的に示す説明図、図５は不正アクセス検知処理の内容を示すフローチャート、図６は不正アクセス処理において消去されるメモリー内容を説明する説明図である。

図４に示すように、ＥＰＰ１００は、基板１４０にＣＰＵ４０１とメモリー４０２を搭載して備える。メモリー４０２は、キー１１０の順次押圧操作により入力される暗証番号の暗号化等に必要な情報を記憶する。ＣＰＵ４０１は、不正アクセス検知の他、キー１１０の順次押圧操作による暗証番号の入力等に関与し、暗証番号入力に際して、メモリー４０２の記憶情報を参照する。

ＥＰＰ１００は、基板１４０に上記した接点１４６と接点１４８に至る給電ライン４１０を備え、この給電ライン４１０は、接点１４６とキー１１０の第１接点１１２に上下端で接触するスプリング１３２、および接点１４８とキー１１０の第２接点１１４に上下端で接触するスプリング１３４を介してキー１１０下面の接点間パターン１１６と繋がれている。スプリング１３２とスプリング１３４は、その付勢力にて保持したキー１１０がキー接点１４４のオンのためにキー押圧されるのであれば、既述したようにそのキー押圧によるキー降下動作と、キー押圧解除後の上昇復帰動作とを起こすのであって、スプリング上下端の上記接点との接触状態を維持する。つまり、上記の両スプリングは、給電ライン４１０から接点間パターン１１６への電圧印加経路として機能する。そして、ＣＰＵ４０１は、この給電ライン４１０および上記両スプリングを介して接点間パターン１１６に常時、所定電圧を印加させているので、キー接点１４４のオンのためのキー押圧操作がない状況下（キー非操作状況）と、キー接点１４４のオンのためのキー押圧が正常になされている状況下（キー通常操作状況）とにおいて、接点間パターン１１６の通電状況は定常状態に維持される。

接点間パターン１１６のこうした通電状況下において、ＣＰＵ４０１は、図５の不正アクセス検知の処理を繰り返し実行する。この処理では、まず、ＣＰＵ４０１は、接点間パターン１１６の通電遮断の有無を判定する（ステップＳ１００）。既述したキー非操作状況下とキー通常操作状況下とでは、接点間パターン１１６は通電状況下にあるので、ステップＳ１００では否定判定され、不正なキーアクセスはないとして何の処理を行うことなく本ルーチンを終了する。

次に、ステップＳ１００における肯定判定（通電遮断）が下される状況について説明する。接点間パターン１１６の通電遮断が起きるのは、図３や図４で説明したキー保持構造や通電構造を取る都合上、接点間パターン１１６の切断と、スプリング１３２と第１接点１１２との接触解消、スプリング１３２と接点１４６との接触解消、スプリング１３４と第２接点１１４との接触解消、スプリング１３４と接点１４８との接触解消のいずれかが起きた場合となる。そして、接点間パターン１１６の切断は、キー１１０をそのキー押圧面の側からカッター等の工具で破断したり、キー１１０の周囲の隙間１１０Ｓ（図３参照）に差し込んだカッター等の工具でキー１１０を破断する場合に起き得る。上記の両スプリングが関与した接点解消は、キー１１０がフレーム１２０から取り外されて両スプリングがその付勢力の解放によりラバーシート１５０の貫通孔に沿って移動したり貫通孔から外れたりする場合に起き得る。フレーム１２０からのキー１１０の取り外しは、フレーム１２０の貫通孔１２２が何らかの工具等にて拡張された場合や、キー１１０がフレームごと基板１４０から外された場合に起きる。上記したようなキー破断やキー取り外しを起こす行為は、キー接点への情報漏洩機器の設置と言った不正行為を意図してなされ、既述したキー非操作状況下とキー通常操作状況下とでは通常想定し得ない不正なキーアクセスの行為と言える。

こうしたことから、ＣＰＵ４０１は、ステップＳ１００にて接点間パターン１１６の通電遮断ありと肯定判定すると、不正なキーアクセスがあったとして、メモリー４０２のメモリー内容、詳しくは暗証番号受け付けや解読に関与するメモリー４０２のメモリー内容５００を消去し（ステップＳ１２０）、本ルーチンを終了する。こうして消去されるメモリー内容５００としては、図６に示すように、複数のキー１１０のキー操作の順に基づく暗証番号を暗号化するための暗号キーなどである。こうしたメモリー内容の消去により、ＣＰＵ４０１は、その後にキー１１０のキー押圧操作がなされても、当該キー押圧操作を無効としてキー操作順に基づいた暗証番号の受け付けや暗号化を不能とすると共に、メモリー４０２からのメモリー情報の漏洩も回避できる。

以上説明したように、本実施例のＥＰＰ１００によれば、フレーム１２０にラバーシート１５０の隆起部１５２とスプリング１３２、１３４でキー１１０を保持し、このキー１１０に既述したキー非操作状況下とキー通常操作状況下とでは通常想定されない不正なキーアクセスがあると、その不正なキーアクセスを検知できる（ステップＳ１００）。そして、不正なキーアクセスの検知後には、暗証番号受け付けや解読に関与するメモリー４０２のメモリー内容を消去することで（ステップＳ１２０）、その後のキー押圧操作の無効化を図る共に、暗証番号に関連する情報の漏洩を防止できる。

また、本実施例のＥＰＰ１００では、キー１１０を付勢力を及ぼしつつ保持するスプリング１３２とスプリング１３４を電圧印加経路とした上で、両スプリングが接するキー下面の接点間パターン１１６の導通状況により不正なキーアクセスの有無を検知する（ステップＳ１００）。よって、既述した不正行為を目的としたキーの取り外しや切り外しと言った不正なキーアクセスの有無を容易に検知でき好ましい。

この場合、接点間パターン１１６をキー下面において第１接点１１２から第２接点１１４に至らしめるに当たり、キー下面のほぼ全域に亘るよう屈曲した一条の接点間パターン１１６とした。このため、キー１１０のどの箇所において不正なキーアクセスがあっても接点間パターン１１６の切断に基づく通電状況変化（通電遮断）が確実に起きるようにできるので、不正なキーアクセス有無の検知感度を高めて情報漏洩回避の実効性を高めることができる。

また、本実施例では、フレーム１２０と基板１４０との間にラバーシート１５０を介在させた上で、それぞれのキー１１０をその周縁部１１１の下面にてラバーシート１５０の隆起部１５２で囲んで支えるようにした。このため、キー１１０の周囲の隙間１１０Ｓから雨水が仮に進入したとしても、当該雨水をキー下面の接点間パターン１１６やスプリング上端の第１、第２接点に近づけないようにできる。ラバーシート１５０の下方側、即ち基板１４０の側の接点へも雨水を近づけないようにできる。この結果、雨水による接点間パターン１１６のショートや接点腐食を防止できる。

本発明は上記した実施例や実施形態に限られるものではなく、その要旨を逸脱しない範囲において、種々の態様で実施可能である。例えば、上記の実施例では、接点間パターン１１６の通電状況の変化により不正なキーアクセスの検知を行うようにしたが、キー１１０を保持するスプリング自体で不正なキーアクセス検知を行うようにすることもできる。スプリング自体での不正なキーアクセス検知は、キー１１０を保持するスプリング１３２とスプリング１３４が共に付勢力をキー１１０に及ぼしていることを利用している。既述したように既述した不正行為を目的としたキーの取り外しや切り外しと言った不正なキーアクセスがあると、両スプリングは、その付勢力の解放によりラバーシート１５０の貫通孔に沿って移動したり貫通孔から外れて、スプリングによるキーの付勢状況は変化する。よって、スプリング１３２とスプリング１３４の少なくとも一方の下端が基板１４０に接する箇所、例えば上記実施例における接点１４６、１４８の形成箇所に歪みゲージや圧力センサーのセンシング部位を設置して、スプリングの付勢状況を監視する。そして、付勢力解放と言った事態の検出により、既述した不正なキーアクセスの有無を容易に検知できる。

また、キー接点のオン動作をキー１１０の押圧操作により起こす構成について説明したが、キー１１０をスライドさせる動作でキー接点のオン動作を起こし、スライド動作解除後のキー復帰動作でキー接点のオフ動作を起こす構成に適用することもできる。

１１０…キー
１１０Ｓ…隙間
１１１…周縁部
１１２…第１接点
１１４…第２接点
１１６…接点間パターン
１２０…フレーム
１２２…貫通孔
１３２…スプリング
１３４…スプリング
１４０…基板
１４２…板バネ
１４４…キー接点
１４６…接点
１４８…接点
１５０…ラバーシート
１５２…隆起部
１５４…凸部
４０１…ＣＰＵ
４０２…メモリー
４１０…給電ライン
５００…メモリー内容

Claims

キー入力装置であって、
使用者により操作されるキートップを有し、キー下面側に位置するキー接点の接点信号を前記キートップの操作により生成するようフレームに保持された複数のキーと、
前記キートップの操作のためのキーアクセス以外の不正なキーアクセスの有無をキーごとに検知する非正常アクセス検知機構とを備える
キー入力装置。
請求項１に記載のキー入力装置であって、
前記複数のキーを包囲する前記フレームに対して前記複数のキーを保持するキー保持機構を備え、該キー保持機構は、前記フレームに対して前記キーをスプリングにより付勢して保持することで、前記キートップの押圧による前記接点信号の生成動作としてのキー降下動作と、前記接点信号の停止動作としての上昇復帰動作とを可能とし、
前記非正常アクセス検知機構は、前記スプリングの付勢状況により前記不正なキーアクセスの有無をキーごとに検知する
キー入力装置。
請求項１に記載のキー入力装置であって、
前記非正常アクセス検知機構は、
前記キーの下面に形成された導電パターンと、
該導電パターンに電圧を印加し、前記導電パターンの導通状況により前記不正なキーアクセスの有無を検知する通電検知部とを備える
キー入力装置。
前記導電パターンは、前記キーの下面に離間して形成された第１、第２の接点と、該第１接点から第２接点に至る接点間パターンとを備え、該接点間パターンを前記キーの下面領域に亘って一条で形成している請求項４に記載のキー入力装置。
請求項４に記載のキー入力装置であって、
前記キー保持機構は、前記第１接点と第２接点に配置したスプリングにより前記フレームに対して前記キーを付勢して保持することで、前記キートップの押圧による前記接点信号の生成動作としてのキー降下動作と、前記接点信号の停止動作としての上昇復帰動作とを可能とし、
前記通電検知部は、前記スプリングを前記導電パターンへの電圧印加経路としている
キー入力装置。
請求項１ないし請求項５いずれかに記載のキー入力装置であって、
前記非正常アクセス検知機構が前記不正なキーアクセスを検知すると、該検知以降の前記キー接点のオンオフを無効とする
キー入力装置。
請求項１ないし請求項５いずれかに記載のキー入力装置であって、
順番に前記接点信号の生成動作がなされた前記キーの順序に関連付けたデータを記憶する記憶手段を備え、
前記非正常アクセス検知機構が前記不正なキーアクセスを検知すると、前記記憶手段の記憶データを消去する消去手段とを備える
キー入力装置。