JP2021135735A - 情報処理装置 - Google Patents

Abstract

【課題】耐タンパ性の利便性を向上させ、かつ、消費電力を低減することができる。【解決手段】情報処理装置に固定された基板と、前記基板に固定された複数の端子と、前記複数の端子間をそれぞれ接続する複数のリード線と、前記基板を覆うカバーと、前記情報処理装置の動作を制御する制御部と、を備え、前記カバーには、前記複数のリード線が固定され、前記複数のリード線は、前記カバーに固定されていることで、前記カバーが開放されると前記複数の端子から前記複数のリード線が外れるよう、前記複数の端子にそれぞれ着脱可能に接続され、さらに、前記複数の端子間の一方から所定のパルス信号を出力して他方の端子で検出した検出結果が、予め設定された値と一致するか否かを判定する判定部を備え、前記制御部は、前記判定の結果が不一致の場合は正常な動作と異なる動作を行うよう制御する、情報処理装置。【選択図】図１

Description

本発明は、情報処理装置に関する。

情報処理技術の発展により、現在、様々な取引が情報処理装置を用いて行われている。このような情報処理装置は、筐体内にプリント基板が設けられている。かかるプリント基板には、暗号鍵や個人情報などの秘匿情報や、プログラムコードなどの機密情報が記録された記録媒体が搭載されている。近年、このような機密情報を保持する情報処理装置を破壊、分解して記録媒体からデータを盗んだり、記録媒体に記録されているデータを書き換えたりといった不正行為が問題となっている。

このような不正行為に対して、下記特許文献１では、筐体の破壊や開放などのタンパ行為を監視し、タンパ行為が検出された場合に、記憶部のデータを消去させる技術が開示されている。具体的には、下記特許文献１に記載の発明は、筐体のほぼ全面を覆うよう電線を配線することで、筐体に穴を開けるなどの破壊行為が行われた場合、電線の一部がほぼ確実に断線されることとなる。そして電線の断線を検出した場合、制御部は、メモリに記憶されているデータを消去する。

また、下記特許文献２では、暗号鍵や個人情報などの秘匿情報が記憶されるメモリと、物理的不正行為が行われたか否かを検知するタンパ検知回路とを、対向する基板間に設けることで、セキュア領域のレイアウトの自由度を高くし、また、組み立てが容易でありながらセキュア領域を小型化する技術が開示されている。各基板には、基板配線パターンが設けられ、基板がフレーム部材から離間すると基板配線パターンの電気回路が開くよう構成され、各基板と（基板接続回路を介して）電気的に接続するタンパ検知回路は、離間によるセキュア領域の閉塞解除を検知することが可能である。

また、下記特許文献３では、パルス電圧を印加して導通を確認することが記載されている。また、下記特許文献４では、電磁流量計の信号線の誤配線を簡易に検出する方法として、信号出力中における電流量に基づいて判定することが記載されている。

特開２００８−３３５９３号公報 特開２０１５−１９１５３６号公報 特開平０７−２８０８６４号公報 特開２０１７−２１５２３２号公報

しかしながら、電気回路の開閉や電線の断線の検出、すなわち、単純な導通と絶縁の状態変化では、配線の特定が困難であり、導通が復元された場合には異常を検出することが困難となる。また、配線の特定に電流量を用いる場合、電流を常時流し続ける必要があるため、消費電力が大きくなる問題がある。

そこで、本発明は、上記問題に鑑みてなされたものであり、本発明の目的とするところは、耐タンパ性の利便性を向上させ、かつ、消費電力を低減することが可能な、新規かつ改良された装置を提供することにある。

上記課題を解決するために、本発明のある観点によれば、情報処理装置に固定された基板と、前記基板に固定された複数の端子と、前記複数の端子間をそれぞれ接続する複数のリード線と、前記基板を覆うカバーと、前記情報処理装置の動作を制御する制御部と、を備え、前記カバーには、前記複数のリード線が固定され、前記複数のリード線は、前記カバーに固定されていることで、前記カバーが開放されると前記複数の端子から前記複数のリード線が外れるよう、前記複数の端子にそれぞれ着脱可能に接続され、さらに、前記複数の端子間の一方から所定のパルス信号を出力して他方の端子で検出した検出結果が、予め設定された値と一致するか否かを判定する判定部を備え、前記制御部は、前記判定の結果が不一致の場合は正常な動作と異なる動作を行うよう制御する、情報処理装置が提供される。

前記制御部は、前記正常な動作と異なる動作として、前記情報処理装置の記憶部に記憶されたデータを消去する制御を行ってもよい。

上記課題を解決するために、本発明の別の観点によれば、リード線の一方が着脱可能に接続された端子に出力する所定のパルス信号を生成する生成部と、前記リード線の他方が着脱可能に接続された端子からパルス信号を検出する検出部と、前記検出した検出結果が予め設定された値と一致するか否かを判定する判定部と、を備える、情報処理装置が提供される。

前記所定のパルス信号は、所定数の連続したパルスを含む信号であってもよい。

前記所定のパルス信号は、前記一方の端子毎に異なってもよい。

前記予め設定された値は、パルス数であってもよい。

以上説明したように本発明によれば、耐タンパ性の利便性を向上させ、かつ、消費電力を低減することが可能である。

本発明の実施形態による情報処理装置の構成の一例を示すブロック図である。 本実施形態によるタンパ検知部の内部構成の一例を示すブロック図である。 本実施形態による耐タンパ性の構造の一例を示す図である。 本実施形態によるタンパ検知部によるタンパ検知処理の全体の流れの一例を示すフローチャートである。

以下に添付図面を参照しながら、本発明の好適な実施の形態について詳細に説明する。なお、本明細書及び図面において、実質的に同一の機能構成を有する構成要素については、同一の符号を付することにより重複説明を省略する。

＜１．情報処理装置の構成例＞
図１は、本発明の実施形態による情報処理装置１の構成の一例を示すブロック図である。図１に示すように、本発明の実施形態による情報処理装置１は、機密情報を保持する記憶部１２０と、リード線１１３（導電線の一例）の接続状態を判定してタンパ行為を検知するタンパ検知部１１０と、タンパ検知部１１０よる検知結果に基づいて記憶部１２０のデータを消去する制御を行う制御部１００と、を有する。以下、各構成について具体的に説明する。

（制御部１００）
制御部１００は、例えばＣＰＵ（Ｃｅｎｔｒａｌ Ｐｒｏｃｅｓｓｉｎｇ Ｕｎｉｔ）により構成され、情報処理装置１の各機能部を制御する。また、本実施形態による制御部１００は、タンパ検知部１１０に設けられた内部メモリ１１０４から、タンパ検知結果（本実施形態では、具体的には導電線の接続状態が正常か否かの判定結果）を読み出し、タンパ行為が検知されたと判断した場合（すなわち、導電線の接続状態が異常と判定されていた場合）、正常な動作と異なる動作を行い、情報処理装置１に対する不正行為を防止する。

例えば、制御部１００は、「正常な動作と異なる動作」として、記憶部１２０に保持されているデータを消去する制御を行う。記憶部１２０には、暗号鍵や個人情報などの秘匿情報や、プログラムコードなどの機密情報が記録されており、制御部１００は、タンパ検知時（異常判定時）にこれらの機密情報を消去することで、機密情報の漏洩や改変等の不正行為を防止することができる。また、制御部１００は、「正常な動作と異なる動作」として、さらにデバイスを動作不能状態にしたり、不正行為が行われたことを所定の通知先に通知（緊急通報）または表示部に表示したりしてもよい。

（記憶部１２０）
記憶部１２０は、例えばＲＯＭ（Ｒｅａｄ Ｏｎｌｙ Ｍｅｍｏｒｙ）及びＲＡＭ（Ｒａｎｄｏｍ Ａｃｃｅｓｓ Ｍｅｍｏｒｙ）等から実現され、情報処理装置１の動作を制御するための制御プログラムや、秘匿情報、プログラムコードなど、保護すべき機密情報が記憶されている。

（タンパ検知部１１０）
タンパ検知部１１０は、導電線の接続状態を判定し、判定結果により情報処理装置１に対する物理的な不正行為（いわゆるタンパ行為）を検知することが可能である。また、タンパ検知部１１０は、判定結果を内部メモリ１１０４に記憶する。タンパ検知部１１０は、例えばＣＰＵ、ＭＰＵ（Micro processing unit）、またはＦＰＧＡ（field programmable gate array）などにより実現されてもよい。本実施形態によるタンパ検知部１１０の具体的な構成については、図３を用いて後述する。

以上、本実施形態による情報処理装置１の構成例について説明した。なお、本実施形態による情報処理装置１の構成は図１に示す例に限定されない。例えば、タンパ検知部１１０による検知結果がリアルタイムで制御部１００に出力され、記憶部１２０に記憶されるようにしてもよい。

また、図１に示すブロック図は、タンパ行為を検知するタンパ検知部１１０と、機密情報を保持する記憶部１２０と、タンパ検知結果に応じて記憶部１２０の機密情報を消去する制御を行う制御部１００といった、タンパ検知結果を用いたセキュリティ制御に関連する構成のみを図示しているが、情報処理装置１の構成はこれに限定されない。タンパ検知部１１０や、タンパ検知結果を用いた制御を行う制御部１００は、様々な装置に対応（搭載）することが可能である。したがって、情報処理装置１は、表示部、表示制御部、操作入力部、センサ部、通信部、読取部（イメージスキャナ、非接触または接触型ＩＣカードリーダ、磁気カードリーダ等）、カメラ、スピーカー、または電源制御部などの構成をさらに有する構成であってもよい。

＜２．タンパ検知の詳細＞
次に、本実施形態によるタンパ検知の詳細について説明する。以下では、タンパ検知部１１０の構成および動作処理について、図２〜図４を参照して順次説明する。

（２−１．タンパ検知部１１０の内部構成）
図２は、本実施形態によるタンパ検知部１１０の内部構成の一例を示すブロック図である。図２に示すように、タンパ検知部１１０は、判定部１１０１、内部メモリ１１０４、パルス信号生成部１１０２、パルス信号検出部１１０３を有する。

判定部１１０１は、導電線の接続状態を判定してタンパ有無の検知を行う機能を有する。図２に示すように、タンパ検知部１１０は、複数の入出力端子（以下、Ｉ／Ｏポートと称する）を有し、Ｉ／Ｏポートには、導電線（例えばリード線１１３）が電子的に接続されている。Ｉ／Ｏポートおよびリード線１１３はそれぞれ複数設けられ、各リード線１１３（１１３ａ〜１１３ｂ）は、それぞれ所定のＩ／Ｏポート間を接続する。各リード線１１３がいずれのＩ／Ｏポート間を接続するかは予め設定されており、（出荷前の）組み立て時に各リード線１１３が所定のＩ／Ｏポートにそれぞれ接続される。

所定の出力ポートから信号が出力されると、これに応じた信号が入力ポートに入力されるため、判定部１１０１は、かかる出力信号および入力信号に基づいて、導電線の導通や絶縁といった接続状態（どのＩ／Ｏポート間が接続されているかを示すものであって、各リード線１１３が電子的に接続されるピン間の接続状態とも言える）を検出できる。本実施形態において、リード線１１３は複数あるため、Ｉ／Ｏポート間の接続の組み合わせは複数検出される。

さらに、本実施形態による判定部１１０１は、所定のパルス信号（例えば連続する所定数のパルスから成る信号）を出力ポートから出力し、検出側（入力ポート側）でパルス数をカウントし、予め設定されている値と一致するか否かに応じて、正常な接続（配線）であるか、異常な配線（誤配線など）であるかを、判定することができる。本実施形態では、常時電流を流すことなく、所定のチェック時に（例えば起動時、動作時における所定タイミング時など）、パルス信号を出力して接続状態を判定することができ、消費電力を抑制することが可能となる。

パルス信号生成部１１０２は、パルス信号を生成して出力ポート（不図示）からリード線１１３へパルス信号を送信する。例えばパルス信号生成部１１０２は出力ポートに対応してそれぞれ設けられ、各パルス信号生成部１１０２で生成するパルス信号が予め設定されている。また、パルス信号検出部１１０３は、リード線１１３から入力ポート（不図示）に入力されたパルス信号を受信する。例えばパルス信号検出部１１０３も入力ポートに対応してそれぞれ設けられ、各パルス信号検出部１１０３で受信すべき所定の値（カウント）が予め設定されている。パルス信号検出部１１０３では、受信したパルス信号のカウント（連続するパルス数のカウント）を行い、カウント結果を判定部１１０１に出力する。

判定部１１０１は、各パルス信号検出部１１０３（または各入力ポート）に対応付けて予め設定されている値と、各パルス信号検出部１１０３でのカウント結果とを比較し、一致している場合は正常な接続状態と判定し（すなわちタンパ行為無し）、不一致の場合は異常な接続状態（誤配線）と判定する（すなわちタンパ行為有り）。上述したように、配線チェックのために生成するパルス信号はパルス信号生成部１１０２毎に予め設定されているため、リード線１１３の配線が正常であれば、所定の入力ポートから所定の値のパルス信号を受信することが可能となる。配線チェックのために生成するパルス信号は全て異なるパルス信号（異なるパルス数）としてもよい。

なお、リード線１１３が切断したり外れているためパルス信号検出部１１０３によりパルス信号が検出されない場合もある。この場合はカウント結果無しと認識され、判定では不一致と判定される。判定部１１０１は、判定結果を内部メモリ１１０４に記憶する。

（耐タンパ性について）
本実施形態では、機器を覆い隠すカバーを有する装置において、第三者により意図せずカバーが開封された場合には不可逆となる接続が設けられた耐タンパ性の構造を有することで、上記接続状態を判定することによりタンパ検知が行えるようにすることができる。

ここで、このような本実施形態による耐タンパ性の構造について、図３を参照して具体的に説明する。図３は、本実施形態による耐タンパ性の構造の一例を示す図である。

図３では、プリント基板１４０と、プリント基板１４０に搭載されるタンパ検知部１１０と、プリント基板１４０に形成されるパターンと、ピンヘッダー１１５と、リード線１１３（ジャンパー線）と、固定部１１９と、プリント基板１４０の所定領域（セキュリティ領域）を覆って閉塞状態とするカバー１５０と、が示されている。

カバー１５０の形状は特に限定しないが、例えば略四角形状の上面部と、上面部と基板との間に位置する４つの側面部とを有する蓋形状により構成され、セキュリティ領域を閉塞状態（閉じられた空間）としてもよい。

また、本実施形態によるセキュリティ領域には、図３には図示していないが、さらに制御部１００および記憶部１２０も少なくとも搭載され得る。また、カバー１５０は、耐タンパ性の構造を隠蔽する他、ＣＰＵのヒートシンクとしても機能させてもよい。

タンパ検知部１１０のＩ／Ｏポート間は、図３左に示すように、基板上に形成されたパターンと、ピンヘッダー１１５と、リード線１１３とを介して接続される。より具体的には、ピンヘッダー１１５には複数のピン（端子）が設けられており、リード線１１３の両コネクタ（端子）がそれぞれ所定のピンに着脱可能に電子的に取り付けられ、各ピン間を接続する。また、ピンヘッダー１１５の各ピンは、基板上のパターンによりタンパ検知部１１０の各Ｉ／Ｏポートに電子的に接続されている。これにより、リード線１１３の両端子をそれぞれ所定のピンに取り付けることで、所定のＩ／Ｏポート間を接続することが可能となる。

なお、ピン数ｍは、Ｉ／Ｏポート数ｎと同数とし、全てのピンがパターンによりＩ／Ｏポートに電子的に接続されるようにしてもよいし、一部のピンのみがパターンによりＩ／Ｏポートに接続されるようにしてもよい。また、ピン数ｍとＩ／Ｏポート数ｎが異なる数であってもよい。また、ピンとＩ／Ｏポートの間には、電気的に接続しない（絶縁させる）ダミーパターンを、基板上において１または複数形成してもよい。また、ダミーの（電気的に接続しない）リード線もピンに接続する構成としてもよい。

また、図３に示すリード線１１３のコネクタとピンヘッダー１１５は、リード線１１３をＩ／Ｏポートに着脱可能に電子的に接続する接続部の一例であって、接続部に用いる電子部品や形状は、図３に示す例に限定されない。リード線１１３とＩ／Ｏポートとの接続部は、リード線１１３が着脱可能に電子的に接続するものであればよい。

さらに、リード線１１３は、図３に示すように、少なくとも一部が固定部１１９によりカバー１５０に固定されている。リード線１１３がカバー１５０に固定される強度（固定部の強度）は、リード線１１３とピンヘッダー１１５の接続強度より強いものとする。これにより、図３右に示すように、カバー１５０が開放されるとカバー１５０に固定された全てのリード線１１３がピンヘッダー１１５から引き抜かれることとなる。

第三者による不正行為でカバー１５０が開放されてリード線１１３が抜けた場合、第三者は各リード線１１３をどのピンに接続すべきか分からないため、正常な接続状態を復元することは困難である（不可逆な接続と言える）。

したがって、本実施形態では、上述したように、リード線１１３によるＩ／Ｏポート間の接続状態が予め設定された接続状態（すなわち、正常な状態）であるか否かに基づいて、タンパ検知を行うことが可能となる。

なお、復元の困難性は、ピン数とリード線１１３の数に応じて決定されるが、これらの数は特に限定せず、正常な接続を復元できる確率が低いほど好ましいと言える。また、導通を確認する所定のＩ／Ｏポート間を接続するリード線１１３以外にもリード線を用意して（ダミーであってもよい）ピンに接続することで、リード線１１３の端子がピンに固着したり、経年変化によりピンに接続の跡が残ったりなどで正常な接続状態を推測される恐れを回避することができる。

また、本実施形態による耐タンパ機構を組み込む基板の組み立て時における各リード線１１３のカバー１５０への固定は、例えば図３に示すような結束バンド１１８を用いてすべてのリード線１１３をまとめた後に、結束バンドの固定部１１９（アンカー）によりカバー１５０の上面部等の所定の箇所に固定するようにしてもよい。かかる固定方法は一例であって、本実施形態に限定されない。また、リード線１１３のカバー１５０への固定箇所は一か所に限らず、二か所以上であってもよい。

また、タンパ検知部１１０は、予め決められた規則に従って、Ｉ／Ｏポート間の導通を確認する。かかる予め決められた規則に従った確認については、ハードウェア回路によって実現されてもよいし、ＰＬＤ（Ｐｒｏｇｒａｍｍａｂｌｅ Ｌｏｇｉｃ Ｄｅｖｉｃｅ）やＦＰＧＡ（Ｆｉｅｌｄ Ｐｒｏｇｒａｍｍａｂｌｅ Ｇａｔｅ Ａｒｒａｙ）といったプログラム可能なデバイスによって制御されてもよい。ＰＬＤやＦＰＧＡを利用することにより、出荷ロットや出荷時期に応じて設定を変えることが可能となる。

（内部メモリ１１０４）
内部メモリ１１０４は、例えばレジスタにより実現される。内部メモリ１１０４には、判定部１１０１の判定結果（タンパ検知結果）が記憶される。内部メモリ１１０４に記憶された判定結果（タンパ検知結果）は、制御部１００により適宜読み出される。

（２−２．タンパ検知処理）
続いて、本実施形態によるタンパ検知部１１０によるタンパ検知処理について図４を参照して説明する。図４は、本実施形態によるタンパ検知部１１０によるタンパ検知処理の全体の流れの一例を示すフローチャートである。

図４に示すように、まず、タンパ検知部１１０は、１以上のパルス信号生成部１１０２によりそれぞれ所定のパルス信号を生成し、リード線１１３に出力する（ステップＳ１０３）。

次に、１以上のパルス信号検出部１１０３は、リード線１１３から入力されるパルス信号を検出し、連続するパルス数をカウントし、カウント結果を判定部１１０１に出力する（ステップＳ１０６）。

次いで、判定部１１０１は、１以上のパルス信号検出部１１０３から出力された各検出結果に基づいて、接続状態を判定する（ステップＳ１０９）。すなわち、予め設定された各値と各カウント結果がそれぞれ一致するか否かを判定する。

そして、判定部１１０１は、判定結果をタンパ検知結果として内部メモリ１１０４に記憶する（ステップＳ１１２）。具体的には、判定部１１０１は、接続状態が異常と判定された場合は、タンパ行為が行われたとする検知結果を記憶する。

以上、本実施形態による動作処理について具体的に説明した。

＜３．まとめ＞
以上、添付図面を参照しながら本発明の好適な実施形態について詳細に説明したが、本発明はかかる例に限定されない。本発明の属する技術の分野における通常の知識を有する者であれば、特許請求の範囲に記載された技術的思想の範疇内において、各種の変更例または修正例に想到し得ることは明らかであり、これらについても、当然に本発明の技術的範囲に属するものと了解される。

本発明は、装置のドアを開ける等の物理的な開閉動作を伴う部分にも適用可能である。

例えば、情報処理装置１に内蔵されるＣＰＵ、ＲＯＭ、およびＲＡＭ等のハードウェアに、情報処理装置１の機能を発揮させるためのコンピュータプログラムも作成可能である。また、当該コンピュータプログラムが記憶されたコンピュータ読み取り可能な記憶媒体も提供される。

１ 情報処理装置
１００ 制御部
１１０ タンパ検知部
１１０１ 判定部
１１０２ パルス信号生成部
１１０３ パルス信号検出部
１１０４ 内部メモリ
１２０ 記憶部
１１３ リード線
１１５ ピンヘッダー
１１６ パターン
１４０ プリント基板
１５０ カバー

Claims (6)

1. 情報処理装置に固定された基板と、
   前記基板に固定された複数の端子と、
   前記複数の端子間をそれぞれ接続する複数のリード線と、
   前記基板を覆うカバーと、
   前記情報処理装置の動作を制御する制御部と、
   を備え、
   前記カバーには、前記複数のリード線が固定され、
   前記複数のリード線は、前記カバーに固定されていることで、前記カバーが開放されると前記複数の端子から前記複数のリード線が外れるよう、前記複数の端子にそれぞれ着脱可能に接続され、
   さらに、前記複数の端子間の一方から所定のパルス信号を出力して他方の端子で検出した検出結果が、予め設定された値と一致するか否かを判定する判定部を備え、
   前記制御部は、前記判定の結果が不一致の場合は正常な動作と異なる動作を行うよう制御する、情報処理装置。
2. 前記制御部は、前記正常な動作と異なる動作として、前記情報処理装置の記憶部に記憶されたデータを消去する制御を行う、請求項１に記載の情報処理装置。
3. リード線の一方が着脱可能に接続された端子に出力する所定のパルス信号を生成する生成部と、
   前記リード線の他方が着脱可能に接続された端子からパルス信号を検出する検出部と、
   前記検出した検出結果が予め設定された値と一致するか否かを判定する判定部と、
   を備える、情報処理装置。
4. 前記所定のパルス信号は、所定数の連続したパルスを含む信号である、請求項１〜３のいずれか１項に記載の情報処理装置。
5. 前記所定のパルス信号は、前記一方の端子毎に異なる、請求項４に記載の情報処理装置。
6. 前記予め設定された値は、パルス数である、請求項４または５に記載の情報処理装置。
   
   

Images