JP2895060B2 - 改ざん保護のための方法および装置 - Google Patents

Description

【発明の詳細な説明】 〔産業上の利用分野〕 この発明は、改ざん保護のための方法および装置、特
に、郵便メータ等の対価印刷システムにおいて証印の印
刷に利用されるプリンタを改ざんから保護する方法およ
び装置に関する。 〔従来技術〕 郵便メータは典型的に、郵便料金等の郵便情報を郵便
物上に印刷するプリンタを含んでいる。この種の郵便メ
ータは、米国特許第4097923号明細書に開示されている
ところである。プリンタを利用するメータの他の例は米
国特許第4422148号明細書にも開示されている。 上記の郵便メータはすべて、メータの一部としてプリ
ンタを含んでいる。上記のようなメータは例示的にその
所期の目的にかなっているが、新規かつ改良された郵便
計量装置を開発して費用を減じ、さらに速度と能率を改
善することは常に重要なことである。 周知のように、典型的なシステムにおいて、郵便メー
タは郵便物への郵税付与を容易にするプリンタを含んで
いる。郵便メータ内に備えられるプリンタはメータの費
用および複雑性を増加させる。 典型的には、電子郵便メータシステムにおいて、メー
タ内の郵便資金が安全であることは重要である。資金が
安全であるという意味は、プリンタが郵便物に郵便証印
を印刷したとき、郵便メータ内の計算レジスタがそのこ
とを常に計算内容に反映しなければならないということ
である。典型的な郵便システムにおいては、メータとプ
リンタは一体のユニットとして構成されるから、郵便証
印の印刷が計算なしには生じないことが確認されるよう
に連動される。郵便当局者は一般に、計算情報が郵便メ
ータ内に記憶され、そこに安全な方法で保持されること
を願っている。従って、改良された郵便システムには、
メータ内に保持される郵税資金量が不正に、または計算
抜きにならないようにする安全性を持っていなければな
らない。郵便当局者はまた、メータを、その登録および
定期（例えば、毎６ヶ月）の検査条件に厳密に従って使
用状態にしたり不使用状態にさせることを求めている。
これにより郵便局はメータの使用上の記録を保持し不正
使用を検知したりすることができる。従って、記録の保
存や、メータの点検、サービスに関連する管理費用の問
題も派生する。 一方、安価な高速郵便メータが求められている。前述
のように、典型的に、郵便メータは種々の周辺状況と関
連しその費用が追加させられる。費用が安く能率の良い
一方、郵便メータと関連して高レベルの安全性を維持で
きる郵便システムに適用できる郵便メータを開発するこ
とが重要である。また、開発される新規な郵便システム
は、安全性が前述の郵便システムにおけるように維持で
きるシステムであることが重要である。 しかし、郵便メータとプリンタとが共通のエンクロー
ジャ内に一体的に収容されていないとき問題が生じ得
る。つまり、その場合、プリンタは、印刷内容の計算を
メータで行なうことなく郵便証印を印刷しようとする故
意または不注意に基づく正しくない印刷が行なわれない
ように保護されねばならない。例えば、プリンタが郵便
システムから遮断され、その後、郵便証印を印刷するよ
う命令されれば、メータ内の計算レジスタは印刷される
べき正しい郵税を生ずるようには更新されないことにな
る。従って、郵便システムについてのこのような改ざん
は郵税の詐欺的印刷となる。 不安全な通信ラインを介し相互接続される印刷ステー
ションと計算ステーションによって行なわれる郵便印刷
トランザクションを保護する一つのシステムが米国特許
第4253158号明細書に開示されている。この米国特許明
細書のものでは、メータが作動されるごとに、印刷ステ
ーションの番号発生機が作動し、予見できないように暗
号化された番号信号を発生する。この番号信号はまた計
算ステーションへ伝送される。計算ステーションにおい
て、印刷される郵便料金が計算され、番号信号が暗号化
され応答信号を得る。応答信号は印刷ステーションヘ伝
送されて、比較器がそれを印刷ステーションで発生され
る暗号と比較する。発声暗号と応答暗号とが一致すれ
ば、印刷されるべき郵税が計算され、プリンタが作動し
て郵税を印刷する。 このようなシステムは不安全な通信リンクを有する郵
便メータ印刷ステーションの作動を保護するのには適当
であるが、不当な改ざんに対しては印刷ステーションを
容易には保護することができない。このような侵入的改
ざんは、プリンタの部品を直接動かし証印を詐欺的に印
刷することを企図する、ステーションへの物理的侵入ま
たはプリンタ部品またはプリンタヘッドへの侵入を含
む。 〔発明の目的〕 従って本発明の目的は、不当な改ざんに対して印刷ス
テーションを容易に保護することの可能な、改ざん保護
のための方法および装置を提供することである。 さらに本発明の目的は、電気的に作動される被保護装
置、例えばプリンタを詐欺的に作動させるための物理的
侵入による改ざんから保護する改ざん保護のための方法
および装置を提供することである。 〔発明の概要〕 上記目的を達成するために本発明は、電気的に操作さ
れる被保護装置が、入力信号により送られ暗号キーを用
いて暗号化された暗号化情報に応答して作動する、被保
護装置の作動を改ざんから保護する、改ざん保護のため
の装置において、暗号キーを表す暗号キー信号により使
用可能とされ、暗号化情報を暗号翻訳して被保護装置を
作動させる暗号翻訳手段と、暗号翻訳手段に電気的に接
続され、暗号キー信号の少なくとも一部を特定するため
の連続性監視ラインを有し、この連続性監視ラインの連
続性を検知することによって暗号キー信号を完結して暗
号翻訳手段を使用可能とする連続性検知手段とを備えた
ことを特徴とする。 さらに本発明は、暗号キーに従って暗号化されて送ら
れてきた暗号化情報に応答して作動する被保護装置を改
ざんから保護する、改ざん保護のための方法において、
一連の暗号キー情報から一部を除いたものに相当する第
１の暗号キー情報を披保護装置へ送るステップと、一連
の暗号キー情報から除かれた一部の暗号キー情報を第２
の暗号キー情報として被保護装置へ送るための連続性監
視ラインを有する連続性検知手段を用意し、この連続性
検知手段が連続性監視ラインの連続性を検知したとき第
２の暗号キー情報の被保護装置への送りを許可し、連続
性検知手段が連続性監視ラインの連続性を検知できなか
ったとき第２の暗号キー情報の送りを阻止するステップ
と、第１の暗号キー情報が第２の暗号キー情報によって
完結されたとき完結された暗号キー情報に従って、送ら
れてきた暗号化情報を暗号翻訳するステップと、暗号翻
訳された情報に従って所望の出力を生じさせるステップ
とを有することを特徴とするものである。 〔実施例） 本発明の一実施例として、ここではインクジェット・
プリンタを有する郵便機械について開示されるが、他の
型式のプリンタにも本発明は同等に適用することができ
る。このような他の型式の機構にはインパクト式ドット
マトリックス機構を含む。さらに、本発明は、改ざんに
対して、電子ロック機構におけるように、装置を作動し
てある出力を発生するため入力データに応答する他の型
式の装置を保護するのにも好適なものである。 第１図は本発明の印刷ヘッドを備えた郵便システムの
概略をブロック線図で示すものである。この郵便システ
ムは郵便メータ１を備えている。この郵便メータ１はホ
スト２と連通している。ホスト２は典型的には郵便機械
であるが、郵便メータ１と連通できる種々の他の装置で
あってもよい。ホスト２はプリンタ17によって郵便物３
上に他の情報と共に郵便料金を含む郵便証印18を印刷す
る。 郵便メータ１は安全ロジック12を介し不揮発性メモリ
（NVM）11に結合される処理ユニットすなわちマイクロ
コンピュータ（μＣ）10を備えている。このμC10は、
処理能力のあるマイクロプロセッサー、あるいはマイク
ロコントローラ、マイクロコンピュータ、または他のイ
ンテリジェント装置によって構成される。この実施例の
郵便メータ１はこれに連動するプリンタを有せず、それ
に代えて、典型的には認証番号や郵便証印の一定パター
ンを表わす電子信号をホスト２へ送る。 図示のように、ホスト２は第２処理ユニットすなわち
マイクロコンピュータ（μＣ）16およびプリンタ17を含
んでいる。プリンタ17はまた別ユニットであってもよ
い。μC16は、μC10およびプリンタ17との間の通信を行
なうためのインテリジェンス機能を持っており、固有の
情報が与えられるとプリンタ17に印刷を開始させる。 典型的には、郵便料金を表わす情報はキーボード（図
示せず）等からμC16へ送られる。その後、μC16はμC1
0へ郵便料金を表す信号を送り、印刷の認証番号を得
る。 μC16から信号を受信するとμC10はNVM11に記憶され
た暗号キーに基づいた暗号認証番号を計算する。NVM11
へのアクセスは、会計、暗号その他NVM11に記憶される
データの安全性を確認する安全ロジック12を介して得ら
れる。例えば、認証番号は郵便メータ１のシリアル番号
とNVM11に記憶された秘密コードとを組合せて計算する
ことができる。 その後、認証番号は、証印ROM13に記憶された郵便証
印の一定パターンの暗号表示と共にインターフェース14
および通信ライン15を介してホスト２のμC16へ伝送さ
れ、μC16からの指令によってプリンタ17は印刷工程を
開始する。一定パターンを暗号翻訳した後、プリンタ17
はμC16から得られた情報を郵便物３上に印刷する。従
って、メータ１はホスト２へ、郵便証印、メータのシリ
アル番号および郵便物33上に印刷される認証番号を送
る。ホスト２は郵便料金を与える。この実施例におい
て、ホスト２または郵便メータ１は市、州および日付情
報を与える。 次に第２図を参照する。証印18には、グラフィック状
の一定の模様19、郵便料金相当のドル量22、日付と発信
地名23、および郵便メータ１のシリアル番号21を有す
る。証印18は認証番号24を含む。模様19は、ドル量22と
は異なり、印刷される証印ごとに決定される必要はな
く、一定とされる。なお、模様19は第２図ではワシをグ
ラフィック表示したものとして示されているが、本発明
を実施する対価印刷システムの適用例に応じて、予め定
められた特定の種々の模様を使用することができる。例
えば、バーコード等のアブストラクトまたはコード化し
た模様も使用することができる。 第３図および第４図は郵便システムの作動を説明する
フローチャートである。最初に、ホスト２（第１図）
は、ブロック40で示される、オペレータまたは他のソー
スから所要の郵便料に対応するドル量を受け入れる。そ
の後、ドル量は郵便メータ１（第１図）に伝送される
（ブロック41）。第４図を参照すると、郵便メータ１は
ホスト２からそのドル量を受け入れ（ブロック42）、そ
の後、認証番号を発生する（ブロック43）。認証番号発
生後、郵便メータ１はホスト２へ、メータシリアル番
号、認証番号、郵便情報および証印の一定部分を戻す
（ブロック44）。第３図に戻ると、ホスト２は次いで郵
便メータ１から、メータシリアル番号、認証番号および
証印の一定部分を受け入れる。その後、プリンタ17（第
１図）は郵便メータ１から受け入れた郵便証印19の一定
部分、ドル量22、日付23、メータシリアル番号21および
認証番号24を郵便物３上に印刷する。 郵便機械の主要な目的は郵便証印を郵便物上に高速印
刷することであるから、郵便メータ１とホスト２間のデ
ータの転送は高速かつ能率良く行なわれねばならない。
この条件は第１図のROM13に記憶される郵便証印の一定
模様19の表示を考えるとさらに明らかになる。 典型的には、ドットマトリックス型プリンタによる印
刷に適するフォーマットで表示される郵便証印は標準サ
イズが25.4mm×50.8mm（１インチ×２インチ）で、各々
120ドットを有する240のカラムで構成され、各ドットは
なるべく３つの明暗度レベルのうちの一つを有する。こ
のようなドットマトリックス型証印を表示するのに要す
る合計ビット数は86400つまり10800バイトである。な
お、印刷される書類ごとに郵便証印がホスト２へ供給さ
れるとすれば、特に高速郵便メータリングシステムで３
つ以上の書類が毎秒印刷されることを考えると、かなり
の量のデータが郵便メータ１とホスト２間で迅速に転送
されねばならないことになる。 郵便メータ１とホスト２を連結する高速データ通信バ
スの条件に加え、このような高速ドットマトリックス印
刷条件には適当な高速プリンタを使用しなければならな
い。このようなプリンタは、高速作動能力に加え、郵便
その他貴重な証印の印刷に適する印刷品質および印刷特
性を備え得るものでなければならない。このような適当
なプリンタの一つとして、当該技術分野で周知である、
霧状のインク滴が電子制御偏向板によって高速で静電偏
向されるインクジェット・プリンタがある。 次に第５図を参照する。高速動作型のモジュール化し
た郵便料金メータシステム50の一実施例がブロック線図
で示されている。このシステム50は３つの主モジュー
ル、すなわち、安全計量モジュールとして構成された貴
重品収納室つまりボールト52、印刷制御モジュールとし
て構成されたホスト54、および本発明の一実施例を有す
るインクジェット・プリンタ・モジュール56からなって
いる。ボールト52およびホスト54の内部構成については
第５図を参照して説明するが、インクジェット・プリン
タ・モジュール56については第６図以下で詳述する。 ボールト52は会計CPU58を備えている。この会計CPU58
はZilog社その他のメーカーによって製造されるZ-80等
マイクロプロセッサでよい。 周知のように、このようなマイクロプロセッサは制御
バス60と、データバス62と、アドレスバス64を有するこ
とを特徴とするバス構成を有する。これらバスの目的
は、バスに接続されるメモリや入出力（I/O）装置へ
の、またはそれらからのプログラム命令を制御したり識
別したり転送したりすることである。 郵便料金計算データが記憶される２つのランダム・ア
クセス・メモリ（RAM）68,70に対するアクセスを制御す
るために、会計CPU58によって発生されるアドレスをモ
ニタする安全ロジック66がバス60,62,64に接続されてい
る。RAM68は不揮発性RAM（NOVRAM）であり、RAM70はバ
ッテリバックアップRAM（BBRAM）である。BBRAM70に
は、郵便料金メータシステム50から電源が除去されたと
き、BBRAM70内に記憶されるデータを維持するためにバ
ッテリ72が接続されている。この種の技術分野で周知の
ように、NOVRAM68等の不揮発性RAMはたとえ電源が除去
されても、記憶されているデータを維持する特性を持っ
ている。 安全ロジック66に利用される安全ロジック回路は、米
国特許第4998203号明細書に開示されている。この明細
書に開示されている回路は、郵便料金メモリが連続的に
使用可能とされる時間量を制限する手段を提供すると共
に、記憶されている貴重な郵便料金情報が不注意により
修正または破壊されないような他の保護機構を提供する
ものである。 郵便料金情報を保持する２つの別個のメモリの使用
は、このようなメモリ冗長度を利用して電子郵便メータ
に生ずる誤り状態の可能性を最小にするようにした米国
特許第4481604号の明細書に記載されている。 会計CPU58によって要求される作動命令および定数が
記憶されるプログラム記憶読取り専用メモリ（ROM）74
がバス60,62,64を介して会計CPU58に接続される。またR
AM76を設けて、その通常作動プログラムの実行中に会計
CPU58により必要な仮データその他の情報を記憶する。
周知のように、このようなメモリは普通、「メモ帳」RA
Mと呼ばれる。 現在の日時情報を維持するクロック・カレンダ78が会
計CPU58に接続される。このような情報は、典型的に
は、郵便証印の一部として印刷に必要なものである。こ
の実施例においては、ボールト52は現在日時をホスト54
へ送り印刷する。なお別に、クロック・カレンダ78はホ
スト54に含まれることによって、印刷される各郵便証印
ごとにボールト52によってホスト54へ送らねばならない
データ量を減ずる。本発明の他の実施例においては、ボ
ールト52とホスト54は共にそれぞれこのようなクロック
・カレンダを含む。ボールト52とホスト54各々における
適当なソフトウェア・ルーチンを利用して、郵便証印の
印刷前に、各モジュールの日時が一致していることを確
認することによって、さらに安全度を高めることができ
る。 バス60,62,64に接続される上記装置に加えて、証印RO
M80が設けられる。証印ROM80内には郵便証印18の（第２
図に示す）一定模様19の表示またはコピーが永久的に記
憶されている。上記のように、一定模様19は、これを印
刷するのに必要なドットマトリックス・パターンを表わ
す一連のデータとして記憶される。この一定模様19を表
わすデータはボールト52により印刷される郵便証印ごと
に暗号でホスト54に送られる。従って、ボールト52が接
続されなければ、さらには、２つのモジュール間に所定
の通信路が予め形成されなければ、郵便証印のグラフィ
ック・フォーマットがホスト54によって故意にまたは不
注意に再生されないという点で、郵便料金メータシステ
ム50の使用において高度の安全性が得られる。従って、
印刷される各郵便証印のボールト52による料金計算が保
証される。 ボールト52とホスト54間になるべく多量のデータを転
送する能率的かつ高速手段を得るためには、高速データ
通信手段が必要である。この通信手段は、会計CPU58を
ホスト54内の制御CPU84に結合するインターCPUインター
フェース82により得られる。 制御CPU84の機能は、郵便物の位置と、ホスト54に結
合される（図示していない）郵便機械により得られるシ
ステム・タイミングとの入力信号に応答してプリンタ・
モジュール56によって郵便物への郵便証印の印刷を制御
することである。このような郵便機械は典型的に郵便物
フィーダとコンベヤとを備えていて、封筒に入れる書類
を照合する働きをし、封筒には次いで予め定めた一定の
対価を有する正確な郵送料が印刷される。高速郵便機械
においては、郵送料を印刷しなければならない毎秒３つ
以上の封筒を有する。このような高速作動では、制御CP
U84を「実時間」状況で作動させ、従ってこの作動に適
する形式でなければならない。このような即時適用に対
する適当な形式のマイクロプロセッサの一つは68000フ
ァミリに含まれるマイクロプロセッサである。これらマ
イクロプロセッサはMotorola社その他のメーカーにより
製造されている。 制御CPU84を複数個のメモリ・I/O装置に結合するた
め、複数個のバス、すなわち、制御バス86、データバス
88およびアドレスバス90が制御CPU84に接続される。 制御CPU84のバス86,88,90へ接続される装置のうち適
当な装置を作動させるように（図示しない）複数個の装
置選択信号のうちの一つを発生するために、デコーダロ
ジック92がアドレスバス90と制御バス86の信号をデコー
ドする。 命令用のROM94は郵便証印の印刷を制御する機能を行
なうため制御CPU84が要求する作動命令と定数を記憶し
ている。メモ帳RAM96が制御CPU84によって利用されて作
動に必要な可変かつ仮データを記憶する。 制御CPU84に、郵便機械を他の外部装置と通信させる
ようにするため、同期・確認ロジック98と郵便入力ロジ
ック102とが設けられる。同期・確認ロジック98の目的
は、制御CPU84に（図示せず）郵便機械から入力を与え
ることである。ここで入力とは郵便機械により処理され
る郵便物に関するタイミングと位置の情報を表わす。さ
らに、同期・確認ロジック98は所定の制御信号を制御CP
U84から郵便機械（図示せず）へ出力する。 郵便入力ロジック102は各郵便物に必要な郵便のドル
量を表わすデータを入力する。この入力は、例えば、オ
ペレータキーボードまたは郵便物重量計の出力により得
られる。各郵便物に必要な郵便料金は、ボールト52がド
ル量を計算できるようにするため、前述のように、制御
CPU84によって会計CPU58に送られる。 上記ロジックブロックに加えて、RS-232-CまたはIEEE
-488もしくは他の一般目的のシリアルまたはパラレル通
信チャネル等標準通信リンクによって制御CPU84を他の
装置へとインターフェースするため、コム・リンク100
すなわち通信ロジックブロックが設けられる。コム・リ
ンク100に接続できる装置の例としては、システム状態
や郵便用金情報を印刷するためのプリンタ、または郵便
料金計算コンピュータ等の中央コンピュータとの電話通
信を可能にするためのモデム等がある。 制御CPU84に、その基本的機能の一つとして郵便証印
の印刷を行なう能力を与えるために、高速直接メモリア
クセス（DMA）104を設けてバス86,88,90をインクジェッ
ト・プリンタ・モジュール56に結合する。作動中におい
て、制御CPU84はRAM96内に、ボールト52により得られる
郵便証印の一定模様を表わす暗号化データ、さらに（第
２図に示すような）ドル量22と日付等可変部分を表わす
データを一時的に記憶する。それによって、完全な証印
が、例えば、証印18を形成するのに必要なドットマトリ
ックスパターンを表わす複数個の暗号化データとして表
示される。制御CPU84による作動後、DMA104はモジュー
ル56に、郵便物上に印刷するためRAM96から証印ドット
マトリックス・データを自動的に与える機能を有する。 周知のように、DMA104等のDMA装置は典型的に、シス
テム処理手段を介在させないで、データをあるメモリ位
置から他の位置へ転送する典型的な機能を有する。例え
ば第５図の郵便料金メータシステム50において、DMA104
は暗号化証印データを印刷のためにRAM96からプリンタ
・モジュール56へ転送する。RAM96をアドレスし、それ
に記憶されているデータを読取り、プリンタ・モジュー
ル56を作動してデータを受け入れるためバス86,88,90の
制御を一時的に想定してDMA104によって行なわれる。 転送後、データDMA104は、制御CPU84が制御プログラ
ムを実行し続けるようにするため、制御CPU84に対する
バス86,88,90の制御を止める。 通常は、プリンタ・モジュール56はデータ転送サイク
ルを開始するためDMAサービス・リクエスト信号ライン1
06を作動させ、DMA104は、すでに述べたように、バス8
6,88,90の制御を行なってリクエスト信号ライン106の作
動に応答する。 なお、DMA104が作動しない場合、すなわち、DMA104が
バス86,88,90の制御をしない場合は、制御CPU84はこれ
ら同じバスを利用してプリンタ・モジュール56に対する
データの通信を行なう。 次に第６図を参照する。ここには本発明によるプリン
タ・モジュール56が示されている。すでに述べたよう
に、プリンタ・モジュール56の機能は郵便物上に郵便証
印18を印刷することである。このような印刷されるべき
証印18がボールト52により得られるようにするために
は、プリンタ・モジュール56を不正作動や改ざんから保
護する手段を設けねばならない。このような改ざん防止
手段は侵入的改ざんおよび非侵入的改ざんの両者に対し
効果的なものでなければならない。 一般に、侵入的改ざんはプリンタ・モジュール56その
ものに対する物理的強襲を伴うものである。このような
強襲は、多分、郵便証印を詐欺的に印刷するため構成部
品に直接手を加える意図をもって、内蔵されている構成
部品に物理的にアクセスして行なわれる。これと対照的
に、非侵入的改ざんは郵便証印を詐欺的に印刷するため
外部から通信手段を介してプリンタ・モジュール56に不
法にアクセスして不法に作動させるものである。後者の
意図を達成するために考え得る一つの方法は、まず証印
の印刷中にプリンタ・モジュール56へ入力されるデータ
の流れをモニターまたは記録することである。この記録
された古いデータを後で１回またはそれ以上、証印を印
刷するためプリンタ・モジュール56に入力する。侵入的
な改ざんにしても非侵入的な改ざんにしても、ボールト
52はプリンタ・モジュール56が証印を印刷していること
が分らないため、印刷される証印の対価を計算すること
ができないことになる。 第６図に示すように、プリンタ・モジュール56は暗号
翻訳マイクロコンピュータ（CPU）110、アドレス・デマ
ルチプレクサ（DEMUX）112、改ざんラッチ114、およ
び、インクジェット・ドライバー・ラッチ116とインク
ジェット偏向板118からなるインクジェット・プリンタ
を備えている。 作動の場合、プリンタ・モジュール56の機能は、矢印
120の方向ヘインクジェット偏向板118を通って移送され
る郵便物（図示せず）上に証印18を印刷することであ
る。この機能を実行するため、データの流れは、第５図
に示すようにホスト54の制御バス86、データバス88およ
びアドレスバス90を経てCPU110に供給される。この供給
されたデータは典型的には、CPU110によるDMAリクエス
ト（DMAREQ）ライン106の信号に応答してDMA104により
得られ、CPU110は正しい回数でDMAREQライン106を作動
してデータの流れを一定に維持して証印18（図示せず）
を郵便物上に印刷させる。 本発明によれば、得られたデータはまずボールト52に
より暗号化される。この暗号化は典型的には、郵便情
報、すなわち、郵便料金（ドル量）、日付、レジスタ内
容および郵便物通数カウンタ内容を暗号キーに従いデー
タ暗号化基準（DES）FIPSPUB46に一致させる。暗号デー
タは通常文データを暗号と呼ばれる難解な形式のものに
変換する。暗号翻訳データは暗号化されたデータをその
元の通常文形式に変換し直す。前述の基準で記述される
アルゴリズムは、キーまたはキーデータと呼ばれる２進
数に基づく暗号化と暗号翻訳の両作動方式を規定してい
る。 キーデータは典型的には、郵便物上に印刷される郵便
メータ１のシリアル番号と秘密定数とである。キーおよ
び郵便情報はその後、前記DESアルゴリズムにより、証
印ROM80に記憶されるパターンデータと組合されて証印
パターンデータの暗号形式を出力する。この暗号化証印
パターンデータはその後ボールト52によってインターフ
ェース82と制御CPU84を経てRAM96に転送される。その
後、暗号化データは前記のように、DMA104によりプリン
タ・モジュール56に送られる。 周知のように、データは、暗号化するのに使用される
全く同じキーのみを使用して暗号翻訳される。従って、
プリンタ・モジュール56内のCPU110は、データを暗号化
するためボールト52の会計CPU58により使用されたもの
と同じキーをパターンデータの暗号翻訳のために使用し
なければならない。 そこで、CPU110に証印パターンデータの暗号翻訳をさ
せるため会計CPU58はキーをCPU110に送らなければなら
ない。この本発明の実施例においては、キーはボールト
52によってCPU110に送られ、会計CPU58は送られたキー
を改ざんラッチ114内に書き込み、その後、キーは要求
によりラッチ114からキーバス（KEYBUS）122を介してCP
U110に送られる。 改ざんラッチ114は、郵便料金メータシステム50の電
源が停電したとき、内部に記憶されたデータを保持する
のに適した不揮発性メモリその他の適当なメモリであ
る。または、キーは改ざんラッチ114等外部メモリ内で
はなくCPU110の内部メモリ領域内に記憶されてもよい。
キーがこのように内部に記憶される場合、CPU110にはシ
ステム電源が除去されたときCPU110を動作状態に維持す
るバッテリーを備える。このような用途には、動作パワ
ーの小さいCMOS技術により構成されるCPUが特に好適で
ある。 作動時において、キーデータはCPU110によってローカ
ルデータバス（LDB）124を介して改ざんラッチ114内に
記憶され、また、CPU110はDEMUXイネーブル信号128をDE
MUXl12に送出してラッチストローブ信号126を発生させ
る。DEMUXイネーブル信号128の発生により、DEMUXl12が
動作可能となって、第６図に示すアドレスバス90の一部
の信号すなわち最下位（LSB）５ビットA0〜A4の信号130
〜138をデコードする。キーデータがCPU110によって改
ざんラッチ114内に記憶されている間中、制御CPU84はま
ず、インターフェース82を経てボールト52から得られる
キーデータをCPU110へ送る。制御CPU84はまた、それぞ
れビットA0〜A4の信号130〜138を、DEMUXl12がこれら信
号をデコードしてストローブ信号126を発生できるよう
な状態にする。このようなデマルチプレクサの動作態様
は周知の技術である。 ストローブ信号126の発生に加えてDEMUXl12はまた複
数個のプリンタ・データ・ストローブ信号142〜164を発
生するように作動する。このような各ストローブ信号14
2〜164はドライバー・ラッチ116のストローブ信号入力
端子（ST1〜ST11）に入力される。その機能はドライバ
ー・ラッチ116内の対応データラッチ（L1〜L11）を作動
して、CPU110により得られる暗号翻訳された証印データ
を記憶しLDB124に出力することである。このようにして
記憶されたデータは次に、ドライバ・ラッチ116内の複
数個のドライバー（図示せず）によってドライバ・ラッ
チ116から出力される。ドライバー出力はドライブ・ラ
イン166を介してインクジェット傾向板118を駆動し証印
18を印刷する。このようなインクジェット傾向板自体の
機構は周知の技術である。 正しいデータをドライバ・ラッチ116内の複数のラッ
チのうちのいずれか正しいラッチに送るため、DEMUXl12
はアドレスバス90の信号の下位５ビットをデコードし
て、前述のように駆動信号128により動作可能となった
とき対応ストローブ出力を発生する。DMA104によりアド
レスバス90およびDEMUXl12を介してストローブ信号142
〜164が発生されたとき、アドレスバス90の状態は、暗
号化データを記憶したRAM96内の位置に対応している。 本発明の一実施態様によれば、ボールト52は証印18が
印刷されるごとにユニークキーを計算することによっ
て、プリンタ・モジュール56により非侵入的に改ざんし
ようとする意図に対抗する。なお、証印18を表わす暗号
化データが記録され、その後、プリンタ・モジュール56
に再入力されれば、CPU110は、記録される特定のデータ
の流れのため対応キーを備えなければ、データの暗号翻
訳をすることはできない。 プリンタ・モジュール56による改ざん意図に対抗する
ため、ボールト52はまた、ラッチ114内にすでに記憶さ
れているキーを読み戻す能力を備え、キーはCPU110、制
御CPU84およびインターフェース82を経て読み戻され
る。従って、ボールト52は、ラッチ114内に現に記憶さ
れているキーは前に記憶されたキーであって、予め記録
されたデータを暗号翻訳するため詐欺的に記憶されたキ
ーではないことを検査する。 プリンタ・モジュール56は上記以外にも付加的な安全
特性を有し、侵入的および非侵入的な改ざんから保護す
るようにすることができる。 第７図に見られるように、プリンタ・モジュール56は
コンパクトな密封構造のものであって、インクジェット
・ドライバー・ラッチ116とインクジェット偏向板118に
は電子モジュール200が付設されている。電子モジュー
ル200は典型的には、CPU110と、DEMUXl12と、改ざんラ
ッチ114（第７図には図示せず）とを含み、これら装置
は、図示していないプリント回路板に配設され、これら
装置は互いにインクジェット・ドライバー・ラッチ116
に接続されている。さらに、複数本の導体を有するケー
ブル202が電子モジュール200から導出され、コネクタ20
4によってバス86,88,90、DMAREQ106、および（第６図に
は示されていない）所定の電源ラインをホスト54に接続
する。 組立を終え試験を行なってから、モジュール200には
好ましくはエポキシ・ベースの「ポッティング」材料20
6が充てんされる。それによって、各装置部分をポッテ
ィング材料内に埋込む。硬化後、ポッティング材料は、
埋込まれた装置部分が環境汚染から保護され、さらに改
ざんから保護されるように、剛性または半剛性の材料と
なる。 ポッティング材料206が、プリンタ・モジュール56内
の装置部分に物理的にアクセスして除去されることによ
る不都合を回避するするため、本発明はさらに、ポッテ
ィング材料206内に埋込まれた連続性検知手段を備え
る。 第６図に戻ると、ここには連続性検知手段に含まれる
連続性監視ラインとして電気導体140が示されている。
電気導体140は改ざんラッチ114に接続されて、改ざんラ
ッチ114内に記憶された一連の暗号キービットのうちの
１ビットの論理状態が電気導体140の連続性、すなわち
電気導体の有無もしくは断線状態の有無により決定され
るようになっている。例えば、電気導体140が完全な状
態にあれば、特定ビットのキーデータは論理「１」の状
態となる。また、電気導体140が切断されたとすると、
特定ビットは論理「０」の状態となる。前述のように、
ボールト52の作動により改ざんラッチ114内に記憶され
るキーデータを読み戻すことによって暗号キーの有効性
をチェックすることができる。このキーデータ読み戻し
においてボールト52により特定ビットが正しい状態でな
いと決定された場合、ボールト52はホスト54を使用不能
とし、さらに証印18の印刷を不能とし、また、改ざんが
行なわれたことを示す改ざんフラグビットがボールト52
に設定される。電気導体140は外力によって容易に切断
する細線からなり、電子モジュール200を充てんするポ
ッティング材料206内にランダムに配設される。従っ
て、この実施の態様は、典型的にはポッティング材料20
6の除去による電子モジュール200内の装置部分への物理
的なアクセスすなわち侵入しようとする意図をうち破る
ことができる。というのは、このような企てが実行され
ると、電気導体140が破断されることが確実だからであ
る。電気導体140の破断により、電気導体140が接続され
ている特定ビットのキーデータが論理「０」となり、一
連の暗号キーを無効にするとともに、改ざんフラグビッ
トをボールト52に設定する。 電気導体140がプリンタ・モジュール56への侵入的改
ざんの企図中に断線すると、特定ビットのキーデータ
は、印刷されるデータを暗号翻訳させるキーを不作動に
する。従って、CPU110が使用不能とされ、暗号翻訳デー
タをインクジェット・ドライバー・ラッチ116に送るこ
とができず、それによってさらにプリンタ・モジュール
56の安全が確保される。 前述のように、キーがCPU110の内部に記憶される場
合、電気導体140はCPU110に直結され、電気導体140の状
態がCPU110によって直接検知することができる。このよ
うな場合、CPU110および導体140は少なくとも一方がポ
ッティング材料206内に埋設される。 従って、作動時、ボールト52は暗号キー情報を不完全
暗号キー情報としてプリンタ・モジュール56に送る一
方、連続性検知手段としての電気導体140の導通状態に
従って不完全暗号キー情報を補完する補完キー情報が発
生される。さらに、ボールト52は暗号化情報、または被
印刷証印を表わすデータをプリンタ・モジュール56に送
る。暗号化情報受入れ後、CPU110は不完全暗号キー情報
および補完キー情報に従っで情報を暗号翻訳し、暗号翻
訳された情報はその後、インクジェット・ドライバー・
ラッチ116に送られて所望の印刷を実行する。 なお、電気導体140は細線として説明したが、他の適
当な導通手段をポッティング材料206内に埋設してもよ
い。 例えば、連続性検知手段は、発光ダイオード（LED）
等の光源とフォトトランジスタ等の光学的な検知手段に
より構成し、これをポッティング材料206によって互い
に光学的に適切な相対配置に埋込み保持するようにして
もよい。光学的な検知手段の場合、その連続性は、ポッ
ティング材料206が除去または妨害された場合、ポッテ
ィング材料206内にLEDとフォトトランジスタを含んで形
成された適当な開放チャネルの当初の光学的配置関係が
失われ、光学的な信号路の連続性が失われることによっ
て検知される。 同様に、なおこの発明は特定の、情報の暗号化・暗号
翻訳の方法の面で説明されるが、それは例示にすぎな
い。従って、この発明は他の暗号化・暗号翻訳の方法と
共に利用することができ、それらの教示はなお本発明の
精神および範囲内に含まれる。なお同様に、この発明は
特定の、キーデータ発生に使用される情報の組合せの面
で説明されているが、これも例示にすぎない。従ってこ
の発明は他の形式および情報の組合せと共に利用するこ
とができ、それら教示は本発明の精神と範囲内に含まれ
る。 同様に、ボールト52、ホスト54およびプリンタ・モジ
ュール56にマイクロコンピュータが使用されていても、
この発明は他の情報処理方法と共に使用でき、なおこの
発明の精神および範囲内に含まれる。 最後にまた、本発明はインクジェット型プリンタの安
全面において説明してきたが、本発明の使用は、多様な
プリンタその他の装置を安全にするのにも適用される。
例えば、本発明は、印刷ヘッドが、所望のパターンを印
刷するため特定の仕方で作動される複数個のソレノイド
を有するドットマトリックス・インパクト型プリンタを
安全化するのにも利用することができる。 第８図にはドットマトリックス・インパクト型印刷ヘ
ッド250が示されている。印刷ヘッド250は複数個のソレ
ノイド252〜260を備えている。ソレノイド252〜260に対
応するドライバ274〜282を介して通電すると、対応する
プリントワイヤ262〜270が駆動される。プリントワイヤ
262〜270はプリントリボン（図示せず）に対向して配設
されてそのプリントリボンを打撃して対応するドットを
図示していない郵便物上に印刷する。典型的には、印刷
ヘッド250はキャリジ・アセンブリ（図示せず）に装着
させ、このキャリジ・アセンブリの作動より１列の英数
字文字の印刷中に静止している郵便物に対し移動され
る。ソレノイド252〜260を正しいシーケンスで通電する
ことによって、英数字文字272が郵便物上に印刷され
る。 所望の英数字文字を正しく形成するために、ドライバ
ー274〜282は特定回数だけ選択的に作動されねばならな
い。この作動は典型的には、コンピュータ等のホスト28
4によって行なわれる。このホスト284は所望の文字を印
刷するため、ドライバー274〜282に電子作動信号を送
る。この信号は典型的には１対１の関係で印刷されるド
ットと対応する。 しかし、システムによっては、信号を暗号化した形で
送って、例えば印刷ヘッドでペイロールチェックを印刷
するとき等に、印刷ヘッドが不正または不注意に使用さ
れないことが望ましい。このようなシステムにおいて、
本発明は有利に採用されて改ざんに対し印刷ヘッドの作
動を保護することができる。 第８図に示すように、ホスト284とドライバ274〜282
間に暗号化電子モジュール286が介挿されている。本発
明によれば、電子モジュール286は暗号化マイクロコン
ピュータ（CPU）288と改ざんラッチ289とから構成され
る。CPU288は単一チップ型CPUであって、プログラムメ
モリと作業RAMが内装され、かつ複数個の入出力ライン
がCPUを外部装置にインターフェースするために設けら
れている。本発明のこの実施例において、CPU288は双方
向データバス290、アドレスバス292、および制御バス29
4を経てホスト284と通信し、多数の異種通信方法が使用
され得る。CPU288はまた、ローカルデータバス（LDB）2
96、ストローブバス298およびキーデータバス（KDB）30
0を経て改ざんラッチ289と通信することができる。CPU2
88はまたドライバ274〜282の入力端に、出力ライン302
〜310を経て結合されることによって、各ドライバを選
択的に作動してドットマトリックス文字を印刷する。 作動時において、ホスト284は適当な暗号化アルゴリ
ズムに従って暗号キーを使用して所望のドットマトリッ
クスデータを暗号化する。キーおよび暗号化データはバ
ス290,292,294を経てCPU288に送られる。暗号キーを受
けるとCPU288はLDB296とストローブバス298を経て改ざ
んラッチ289内にキーを記憶する。ホスト284から受け入
れたドットマトリックス・データを暗号化するため、CP
U288はKDB300を経て改ざんラッチ289からキーを検索す
る。ホスト284から受け入れたデータを暗号翻訳した
後、CPU288は所望の英数字文字を印刷するため暗号翻訳
化データに従いライン302〜310を駆動する。 本発明によれば、電子モジュール286に適当なポッテ
ィング材料が充てんされることによってそこにCPU288と
改ざんラッチ289を埋設する。ホスト284が、ポッティン
グ材料が除去その他の妨害を受けたかどうかを決定でき
るようにするため、連続性検知手段として電気導体312
が改ざんラッチ289に接続される。電気導体312は細線か
らなり、ポッティング材料中にランダムに埋設される。
電子モジュール286に物理的にアクセスしようとしてポ
ッティング材料を除去ないし破壊すると、細線からなる
電気導体312が断線する。すでに述べたように、電気導
体312は印刷されるデータの翻訳化を可能にするために
必要な暗号キーの一部を特定し、暗号キーを全体として
補完するために用いられる。そのため電気導体312の断
線により暗号キーデータを使用不能にすることができ
る。それによって、CPU288が有意の英数字文字を印刷し
ないようにする。さらに、ホスト284はCPU288を経て、
改ざんラッチ289内の暗号キーを読み戻して、電気導体3
12により形成される暗号キー補完部分が正しい特定状態
であるかどうかを決定する。ホスト284がその状態が不
正確であると決定すれば、ホスト284はそれ以上の文字
の印刷を不能にする。 印刷用途以外の例として、本発明を利用して電子式ロ
ッキング機構に対する安全策を構成することもできる。
この電子式ロッキング機構は入力データに応答して機械
的ボルトまたはロックをかけたり外したりする。 第９図を参照すると、このような電子式ロッキング機
構が例示されている。この電子式ロッキング機構は、ロ
ータ358を回転させる複数個の電機子巻線352,354,356を
有するステップ・モータ等のモータ350を備えている。
図示していないウォームギヤ等の適当な手段によってロ
ータ358に、隔壁362内に形成されたチャネル内に摺動可
能に配設されたボルト360が結合されている。ボルト360
を受け入れるため凹部366を有するドア364がボルト360
に隣接して配設されることによって、ボルト360の挿入
時ドアが開かないようになっている。モータ350を付勢
するため、適当な電流ドライバ368,370,372がそれぞれ
対応する電機子巻線352,354,356に接続されている。 作動時において、モータ350が駆動されて、オペレー
タによりボルト360を挿脱してリモート・キーパッド374
にデータを入力する。このデータは組合せその他の秘密
番号に相当するシーケンス状の数字または文字である。
リモート・キーパッド374は、マイクロコンピュータか
らなるホスト376に連動されることによって、秘密番号
は暗号キーに従って暗号化される。暗号化番号・暗号キ
ーが暗号翻訳のため電子モジュール378に送られること
によって、暗号翻訳番号がモジュール378内に記憶され
た有効アクセスコード番号の一つに一致すれば、ボルト
360は係合状態にされたり、その係合状態が外されたり
する。秘密番号を確かめるため、番号を暗号化してホス
ト376と電子モジュール378間の通信が不正にモニタされ
ないようにする。電子モジュール378は第８図の電子モ
ジュール286と同一構成のものである。すなわち、双方
向データバス380と、アドレスバス382と制御バス384に
より構成され暗号翻訳CPU386とホスト376間の通信を行
なう。さらに、電子モジュール378は暗号キーを記憶す
る改ざんラッチ388を備えている。この改ざんラッチ388
はLDB390と、ストローブバス392とKDB394を経てCPU386
に結合される。CPU386はまた３つの出力ライン396,398
および400を有し、それぞれ電流ドライバ368,370,372を
介してモータ350を駆動する。 本実施例によれば、電子モジュール378にはポッティ
ング材料が充てんされてCPU386と改ざんラッチ388を埋
設することによって、これら装置部分に物理的にアクセ
スしたら電子式ロッキング機構が作動しないようにす
る。これら埋設装置をさらに安全にするため、改ざんラ
ッチ388には、上記のように暗号キーの一部を特定する
ように機能する連続性検知手段として電気導体402を備
えている。この電気導体402は電子モジュール378または
改ざんラッチ388に物理的にアクセスしようとしてポッ
ティング材料を除去することによって断線し、暗号キー
の完結を阻止し、電子式ロッキング機構が作動しないよ
うにする。

【図面の簡単な説明】 第１図は本発明の一実施例による安全プリンタを有する
電子郵便システムのブロック線図、第２図は第１図の郵
便システムにより印刷される郵便証印を示す略図、第３
図は第１図の郵便システムにおけるホストの作動を示す
フローチャート、第４図は第１図の郵便システムにおけ
る郵便料金メータの作動を示すフローチャート、第５図
は郵便システムの一実施例を示すブロック線図、第６図
は第５図のインクジェット・プリンタ・モジュールのブ
ロック線図、第７図は第６図に示すインク・ジェット・
プリンタ・モジュールの斜視図、第８図はインパクト型
プリンタに使用される本発明の他の実施例を示すブロッ
ク線図、第９図は電子式ロッキング機構に使用される本
発明のさらに他の実施例のブロック線図である。 １……郵便メータ、２……ホスト、３……郵便物、18…
…証印、50……郵便料金メータシステム、60,62,64,86,
88,90……バス、142〜164……プリンタ・データストロ
ーブライン、56……インクジェット・プリンタ・モジュ
ール、206……ポッティング材料、202……ケーブル、11
8……インクジェット偏向板、200……電子モジュール、
116……インクジェット・ドライバ・ラッチ、250……印
刷ヘッド、252〜260……ソレノイド、262〜270……プリ
ントワイヤ、286……暗号化電子モジュール、350……モ
ータ、358……ロータ、360……ボルト、364……ドア。

フロントページの続き (72)発明者 ポール、シー、タルマッジ アメリカ合衆国コネチカット州、アンソ ニア、ウッドブリッジ、アベニュ、78 (56)参考文献 特開 昭55−131867（ＪＰ，Ａ) 特開 昭49−100939（ＪＰ，Ａ) 実開 昭61−89965（ＪＰ，Ｕ) 米国特許4501958（ＵＳ，Ａ)

Claims (1)

1. (57)【特許請求の範囲】 １．電気的に操作される被保護装置（17）が、入力信号
   により送られ暗号キーを用いて暗号化された暗号化情報
   に応答して作動する、被保護装置の作動を改ざんから保
   護する、改ざん保護のための装置において、 暗号キーを表す暗号キー信号により使用可能とされ、暗
   号化情報を暗号翻訳して被保護装置（17）を作動させる
   暗号翻訳手段（110）と、 暗号翻訳手段（110）に電気的に接続され、前記暗号キ
   ー信号の少なくとも一部を特定するための連続性監視ラ
   イン（140）を有し、この連続性監視ラインの連続性を
   検知することによって暗号キー信号を完結して暗号翻訳
   手段（110）を使用可能とする連続性検知手段と を備えたことを特徴とする改ざん保護のための装置。 ２．暗号翻訳手段がマイクロコンピュータ（110）によ
   って構成されていることを特徴とする特許請求の範囲第
   １項に記載の改ざん保護のための装置。 ３．被保護装置は書類上に印刷するためのプリンタ（5
   6）であることを特徴とする特許請求の範囲第１項に記
   載の改ざん保護のための装置。 ４．暗号キーを記憶し、暗号翻訳手段（110）に電気的
   に接続されて暗号翻訳手段（110）に暗号キー信号を送
   る記憶手段（114）をさらに備えたことを特徴とする特
   許請求の範囲第１項に記載の改ざん保護のための装置。 ５．連続性検知手段は記憶手段（114）に電気的に接続
   され、連続性検知手段は連続性監視ライン（140）の連
   続性を検知することによって暗号キー信号の一部を特定
   することを特徴とする特許請求の範囲第４項に記載の改
   ざん保護のための装置。 ６．被保護装置はプリンタ（56）であり、さらに、 暗号キー情報を記憶し、暗号翻訳手段（110）に電気的
   に接続され、それに暗号キー情報を送る記憶手段（11
   4）と、 プリンタ（56）の印刷動作を制御するプリント制御手段
   （112）と を備え、暗号翻訳手段（110）は、記憶手段（114）から
   暗号キー情報が送られたとき、暗号化情報に従って書類
   上にプリンタ（56）を介して証印（18）を印刷させるこ
   とを特徴とする特許請求の範囲第１項に記載の改ざん保
   護のための装置。 ７．暗号翻訳手段（110）およびプリント制御手段（11
   2）がマイクロコンピュータ（110）によって構成されて
   いることを特徴とする特許請求の範囲第６項に記載の改
   ざん保護のための装置。 ８．連続性検知手段（140）は、連続性を検知しなかっ
   たとき暗号翻訳手段（110）を使用不能とすることを特
   徴とする特許請求の範囲第６項に記載の改ざん保護のた
   めの装置。 ９．連続性検知手段は連続性監視ラインとして所定長さ
   の電気導体（140）を備えていることを特徴とする特許
   請求の範囲第８項に記載の改ざん保護のための装置。 １０．記憶手段（114）への物理的アクセスを防止する
   ために記憶手段（114）および電気導体（140）がエンク
   ロージャ（206）内に収容されていることを特徴とする
   特許請求の範囲第９項に記載の改ざん保護のための装
   置。 １１．エンクロージャ（206）はポッティング材料から
   成っており、そのポッティング材料の中に記憶手段（11
   4）および電気導体（140）が埋設されていることを特徴
   とする特許請求の範囲第10項に記載の改ざん保護のため
   の装置。 １２．電気導体（140）は断面積が十分小さく、ポッテ
   ィング材料（206）の除去により電気導体（140）が切断
   されることによって、連続性検知手段が電気導体（14
   0）の連続性を検知できなかったとき暗号翻訳手段（11
   0）を使用不能にすることを特徴とする特許請求の範囲
   第11項に記載の改ざん保護のための装置。 １３．被保護装置は料金を含む証印（18）を印刷するた
   めのプリンタ（56）であり、暗号キーに従って暗号化さ
   れた印刷されるべき証印（18）を表わす暗号化データを
   発生する手段、および暗号化データおよび暗号キーをプ
   リンタ（56）に送る手段を含んでいる計量装置（52）
   と、 暗号キーを記憶し、暗号翻訳手段（110）に電気的に接
   続されてその暗号翻訳手段に暗号キーを送る記憶手段
   （114）と を備え、連続性検知手段は記憶手段（114）に接続さ
   れ、連続性監視ライン（140）の連続性を検知したとき
   記憶手段（114）に対する暗号キーの少なくとも一部を
   特定し、連続性を検知しなかったとき記憶手段（114）
   に対する暗号キーの一部を特定することなく暗号翻訳手
   段（110）を使用不能にすることを特徴とする特許請求
   の範囲第１項に記載の改ざん保護のための装置。 １４．プリンタ（56）がインクジェット・プリンタであ
   ることを特徴とする特許請求の範囲第13項に記載の改ざ
   ん保護のための装置。 １５．暗号翻訳手段がマイクロコンピュータ（110）に
   よって構成されていることを特徴とする特許請求の範囲
   第13項に記載の改ざん保護のための装置。 １６．連続性監視ラインが所定長さの電気導体（140）
   を含んでいることを特徴とする特許請求の範囲第15項に
   記載の改ざん保護のための装置。 １７．記憶手段（114）への物理的アクセスを防止する
   ために記憶手段（114）および電気導体（140）がエンク
   ロージャ（206）内に収容されていることを特徴とする
   特許請求の範囲第16項に記載の改ざん保護のための装
   置。 １８．エンクロージャ（206）が記憶手段（114）および
   電気導体（140）を埋設するポッティング材料（206）を
   含んでいることを特徴とする特許請求の範囲第17項に記
   載の改ざん保護のための装置。 １９．電気導体（140）はその断面積が十分に小さく、
   ポッティング材料（206）の除去により電気導体（140）
   が切断されることによって、暗号キーの特定を不能にす
   ることを特徴とする特許請求の範囲第18項に記載の改ざ
   ん保護のための装置。 ２０．暗号翻訳手段は暗号キーが送られたときのみ暗号
   化された入力データから暗号翻訳されたデータを得て、
   この暗号翻訳されたデータに従って所望の出力を得るマ
   イクロコンピュータ（110）によって構成され、 連続性監視ライン（140）を埋設するポッティング材料
   （206）と、 暗号キーを一部除いて記憶し、マイクロコンピュータ
   （110）に電気的に接続されてそれに一部を除いた暗号
   キーを送る記憶手段（114）とを備え、 連続性検知手段はマイクロコンピュータ（110）に電気
   的に接続され、連続性監視ライン（140）の連続性を検
   知したときのみ暗号キーの除かれた一部を送ることによ
   って暗号キーを完結して暗号翻訳手段に暗号翻訳を行な
   わせることを特徴とする特許請求の範囲第１項に記載の
   改ざん保護のための装置。 ２１．暗号キーに従って暗号化されて送られてきた暗号
   化情報に応答して作動する被保護装置（56）を改ざんか
   ら保護する、改ざん保護のための方法において、 一連の暗号キー情報から一部を除いたものに相当する第
   １の暗号キー情報を被保護装置（56）へ送るステップ
   と、 一連の暗号キー情報から除かれた一部の暗号キー情報を
   第２の暗号キー情報として被保護装置（56）へ送るため
   の連続性監視ライン（140）を有する連続性検知手段を
   用意し、この連続性検知手段が連続性監視ライン（14
   0）の連続性を検知したとき第２の暗号キー情報の被保
   護装置（56）への送りを許可し、連続性検知手段が連続
   性監視ライン（140）の連続性を検知できなかったとき
   第２の暗号キー情報の送りを阻止するステップと、 第１の暗号キー情報が第２の暗号キー情報によって完結
   されたとき完結された暗号キー情報に従って、送られて
   きた暗号化情報を暗号翻訳するステップと、 暗号翻訳された情報に従って所望の出力を生じさせるス
   テップと を有することを特徴とする改ざん保護のための方法。 ２２．被保護装置は暗号化された情報を暗号翻訳する手
   段を有するマイクロコンピュータ（110）を含んでいる
   ことを特徴とする特許請求の範囲第21項に記載の改ざん
   保護のための方法。 ２３．第１の暗号キー情報を送るステップは、マイクロ
   コンピュータ（110）に電気的に接続されてそのマイク
   ロコンピュータ（110）に第１の暗号キー情報を送る記
   憶手段（114）に第１の暗号キー情報を記憶するステッ
   プを含んでいることを特徴とする特許請求の範囲第22項
   に記載の改ざん保護のための方法。 ２４．連続性検知手段（140）が記憶手段（114）に電気
   的に接続され、マイクロコンピュータ（110）に第２の
   暗号キー情報を送るステップを含んでいることを特徴と
   する特許請求の範囲第23項に記載の改ざん保護のための
   方法。 ２５．記憶手段（114）への物理的アクセスを防止する
   ために記憶手段（114）および連続性検知手段（140）を
   ポッティング材料（206）内に埋込むステップを含んで
   いることを特徴とする特許請求の範囲第24項に記載の改
   ざん保護のための方法。 ２６．連続性検知手段は連続性監視ラインとして断面積
   が十分に小さい所定長さの電気導体（140）を含み、ポ
   ッティング材料（206）の除去により電気導体（140）が
   切断されることによって第２の暗号キー情報の送りが阻
   止され、それにより所望の出力（116）を生じさせるス
   テップの発生を禁止するステップを含んでいることを特
   徴とする特許請求の範囲第25項に記載の改ざん保護のた
   めの方法。