JP4941144B2 - 通信制御装置 - Google Patents

Description

本発明は、マイクロプロセッサを内蔵し、そのプログラムによって、制御機能を実現する通信制御機器のプログラム機密保持のための通信制御装置に関するものである。

現在、マイクロプロセッサを使用し、そのプログラムの実行によって、制御機能を行う通信制御装置では、その装置特有の制御機能をソフトウェアによって実現している。また、一般にそのソフトウェア（プログラム）は、マイクロプロセッサの信号バスに接続された不揮発のメモリ（フラッシュＲＯＭなど）に格納されていて、装置の電源投入によって、その不揮発メモリからプログラムの読み出しを行なって制御動作を行うことが普通である。

上述のように、マイクロプロセッサによって制御機能を行う通信制御装置では、その装置特有の制御機能をソフトウェアの実行によって実現しているが、その技術の核となるソフトウェア（プログラム）は、マイクロプロセッサのバスに接続されたデバイス、例えば、Ｆｌａｓｈ ＲＯＭ等、装置内の不揮発メモリに格納されるのが普通である。

図１８に、従来の一般的な通信制御装置の構成を示す。図１８において、１００は、通信制御装置の制御を司るマイクロプロセッサ部で、１０１は、そのマイクロプロセッサ部１００のアドレス・バス、１０２は、そのデータ・バスを示す。また、１１０は、制御用のソフトウェア（プログラム）を予め格納してあるプログラム・メモリであり、通常、不揮発性のメモリ（フラッシュＲＯＭ：Ｆｌａｓｈ Ｒｅａｄ Ｏｎ１ｙ Ｍｅｍｏｒｙ）で実現される。１２０は、プログラム実行上のワーク・メモリであり、通常、ＲＡＭ（Ｒａｎｄｏｍ Ａｃｃｅｓｓ Ｍｅｍｏｒｙ）で実現される。

更に、１３０は、その通信制御機器の制御対象となる通信インタフェース（Ｉ／Ｆ）回路であり、２００はその通信回線を示している。

上記従来の通信制御装置では、マイクロプロセッサ部１００が、バス１０１と１０２を用いて、プログラム・メモリ１１０上に格納されたソフトウェア（プログラム）に従い、ワークメモリ１２０を使用しながら、通信インタフェース１３０を制御して、通信回線２００との間のデータの授受を行っている。

また、プログラム・メモリ１１０上に格納されるソフトウェア（プログラム）は、図１９に示すように、初期化プログラム１１１（ＩＰＬ：Ｉｎｉｔｉａｌ Ｐｒｏｇｒａｍ Ｌｏａｄｅｒと呼ぶ場合がある）部分と、制御プログラム１１２本体部分とに分けられる。

この通信制御装置で使用されるソフトウェアの内、初期化プログラム１１１は装置の完成時に必ず書き込まれていなければならないが、制御プログラム１１２は、予め書き込んで置くこともできるし、また、メインテナンス通信インタフェース（Ｉ／Ｆ）１４０を介して、プログラム開発装置（パソコンなど）３００からダウンロードをして後から書き込むこともできる。特に、後者の場合、そのダウンロードと書き込みのプログラムが初期化プログラム１１１内に格納されるのが普通である。
特開２００５−３４６１７２号公報

各社が提供する通信制御装置では、その装置独特の優位な機能を実現するプログラムを、前記制御プログラム１１２本体内に実装することが一般的である。しかし、この優位性のあるプログラムは、供給メーカにとって重要な資産であって、機密事項である。つまり、このプログラムの内容が容易に、外部に盗み出されることの無いようにすることが求められている。

一般的に、図１８に示す通信制御装置のハードウェアは、プリント基板（ＰＣＢ）という形で実現されており、制御プログラム１１２が格納されたプログラム・メモリ１１０（不揮発メモリであり、以下Ｆｌａｓｈ ＲＯＭであることを想定する）も部品単位で、このプリント基板上に半田付けされて搭載されていて、安直に取り外すことはできないが、悪意ある者がこの半田付けを外し、Ｆｌｓａｈ ＲＯＭメモリデバイスを取り外して、このデバイスに格納されたデータ（プログラム）を読み出すことは不可能ではない。

また、一旦このメモリに搭載されているデータが読み出されれば、逆コンパイルによって、機密事項とされる制御プログラムを解読することが可能となる虞がある。

折角、オリジナルで優位性のあるプログラムを製作しても、このような悪意ある行為によって、それを盗まれて海賊版を安価に製造販売されてしまうという問題も発生している。

本発明は、上記の事情に鑑みてなされたもので、優位性のある制御プログラムを、第三者が安直に盗み出すことができないように構成した通信制御装置を提供することを課題とする。

上記の課題を解決するために、第１発明は、マイクロプロセッサと、制御用ソフトウェア（プログラム）を格納するプログラム・メモリと、プログラム実行上のワークメモリとを有し、マイクロプロセッサがプログラム・メモリ上に格納されたソフトウェア（プログラム）に従い、ワークメモリを使用しながら、通信インタフェースを制御して通信回線との間でデータの授受を行う通信制御装置において、（ａ）前記マイクロプロセッサが実行するプログラムの格納領域（デバイス）を、初期化プログラム・メモリと制御プログラム・メモリとに分割する手段と、
（ｂ）前記初期化プログラム・メモリは、マイクロプロセッサのアドレス・バスに直結し、制御プログラム・メモリは、アドレス・ラインをバスに直結せず、バスとの間にアドレス変換（スクランブル）回路を挿入し、マイクロプロセッサから与えられるアドレスをスクランブルに入れ替えて接続する手段と、を有し、
前記アドレス変換（スクランブル）回路のスクランブルパターン選択をするキーコードを、揮発性のＳＲＡＭによって実現されるキーコード・レジスタから与えることによって、数多く用意されたスクランブルパターンの中から所望の一つを選択し、その後メインテナンス用通信インタフェースを介して外部から制御プログラムをダウンロードして、前記制御プログラム・メモリにそのプログラムを書き込んで、制御動作させるようにし、このＳＲＡＭによるキーコード・レジスタは、バッテリによってバックアップするかどうかを、筐体分解検出手段からの検出信号の有無の状態によって切り替えるよう構成し、装置内には乱数発生回路を設け、初期段階での制御プログラムのダウンロードと制御プログラムメモリヘの書き込みに先立って、筐体を含んだ装置の組み立てを完成させて置き、乱数発生回路から発生させたランダムな値を、ＳＲＡＭによるキーコードレジスタにセットし、その後にプログラムの書き込みを行うようにすることによって、アドレス変換（スクランブル）回路のスクランブルパターンを切り替えるためのキーコードを格納しているキーコード・レジスタの内容が、前記検出信号の無のときに、バッテリ・バックアップが切断して消滅してしまうことを特徴とするものである。

そして、第４発明では、上記のような手段を通信制御装置に搭載して、制御プログラム・メモリにプログラムを書き込むことが特徴である。このような構成によって、この通信制御装置は、稼動時、全く通常の装置と同じ機能を持ち、同じ動作をするが、休止時、この装置が盗難に遭遇しても、その制御プログラム・メモリ（Ｆｌａｓｈ ＲＯＭ）を取り外して、外部からそのソフトウェア（プログラム）を読み出そうとしても、アドレスがスクランブルに入れ替えてあるので、データが「ごちゃごちゃ」になっていて正しく読み出せないことから、プログラムの読み出しを防ぐことができるようになる。

本発明によれば、機器本体内部に、その本体を構成する筐体が分解されたことを電気信号の有無から判断する筐体分解検出手段を設け、この手段で電気信号が無いと判断されたとき、筐体が分解されたと判断して、通信制御装置の正常な動作を行えなくするようにして、優位性のある制御プログラムを、積極的に消去して第三者によってその制御プログラムが安直に盗み出せないようにした。

筐体分解検出手段にはスイッチ機構や、制御基板と筐体とを組み合わせて、ランドパターン、ねじ、ボスによる電気回路接離手段を用いて装置を組み立ててスイッチ機構の一部に置き換える構成にしても良い。

また、本発明によれば、装置内の制御プログラム・メモリのアドレスラインにアドレス変換（スクランブル）回路を挿入することによって、この装置内で書き込まれたデータは、これを分解して、制御プログラム・メモリを取り外し、その内容（プログラム）を不正に読み出そうとしてもデータを正しく読み出すことはできなくなる効果を持っている。これは、「スクランブルされて与えられたアドレス」を用いて書き込まれたデータは、「スクランブルされていない正常なアドレス」で読み出しても、正しいデータが得られないからである。これによって、本発明は、機密保持ができるようになる
また、本発明によれば、この装置が不使用中で、キーカードまたはＵＳＢデバイスが実装されていない状態で盗まれた場合、この装置を第三者が悪意を持って分解し、制御プログラム・メモリを取り外して、その内容（プログラム）を不正に読み出そうとしても、この書き込まれたデータを正しく読み出すことはできないという利点がある。これは、アドレス変換（スクランブル）回路も取り外して、このスクランブル回路の結線まで解読をしようとしても、これらの場合は、アドレス変換（スクランブル）回路に与えられるキーコードが消えているために、そのスクランブルパターンの内どれを使用していたのかを判定することができなくなり、そのため、正しいデータを読み出すことは、まず不可能となる。これによっても、本発明の機密保持は実現される。

また、本発明によれば、キーコード入力機構を備えることは、盗難時のプログラム不正コピーを防ぐだけでなく、通常の運用時にも、正しいキーコードを持たない人間による装置の不正使用を防ぐことに役立つ。つまり、正しいキーコードを与えない限り、利用しているスクランブルパターンが一致しないため、この装置自体が、正しい制御プログラムを実行できず、装置が正しく動作しないことになる。その意味でもこの機構によって、セキュリティが確保されるという利点を有する。この利点は上記と同等である。

また、本発明によれば、このプログラム保護の方式を更に発展させ、当該の通信装置が分解されたことを検出するための筐体分解検出手段部分を加え、この手段を用いたプログラム保護のセキュリティ機能を付加することにより、装置が分解されているか完成状態かを検出し、装置が分解された状態では、正常な制御動作を行えなくするようにし、また、装置が分解されると、自らの設定状態やプログラムを積極的に消去して、その内容の流出を防ぐことができる。

また、本発明によれば、筐体分解検出手段部分を、制御基板と筐体とを組み合わせて、装置を組み立てるための機構の一部に置き換えることにより、スイッチ部品を省略することによって、装置をより安価に実現した上、更に基板を筐体から取り外した場合に、正常動作をロックする機構やその動作を外部からより分かりにくくするという効果を得る。

以下本発明の実施の形態を図面に基づいて説明するに当り、一般的な通信制御装置について述べる。一般的な通信制御装置では、マイクロプロセッサによるソフトウェア（プログラム）の実行により、その通信制御を司っているのが普通であるが、このプログラムは、通常、装置のハードウェアとして不揮発性のＲＯＭ（Ｆｌａｓｈ ＲＯＭ等のデバイス）に書き込んで実現されている。このＦｌａｓｈ ＲＯＭ等のデバイスは、第三者が悪意を持って取り外せば外部からデータを盗み出すことができるため、折角、オリジナルで優位性のあるプログラムを製作しても、このような行為によって、それが盗まれ、海賊版が安価に製造販売されてしまうという問題も発生している。そこで、以下のような実施の形態でプログラムが読み出せないように対処するようにした。

［実施の形態１］
図１に、本発明による制御プログラムの盗難防止機構を備えた構成図を示す。図１では、図１８に於けるプログラム・メモリ１１０（Ｆｌａｓｈ ＲＯＭ）部分を、図１９に示すような２つの領域に分割した初期化プログラム・メモリ１１１と、制御プログラム・メモリ１１２に構成し、これらメモリ１１１，１１２は、それぞれ別々のＦ１ａｓｈ ＲＯＭデバイスにて実現する。

初期化プログラム・メモリ１１１は、マイクロプロセッサ部１００のアドレス・バス１０１とデーターバス１０２に直結されるが、制御プログラム・メモリ１１２は、アドレス・ラインをバスに直結せず、間にアドレス変換（スクランブル）回路１５０を挿入している。

このアドレス変換（スクランブル）回路１５０を設けることが、図１８との違いであり、その他の部分については、図１８と同等の機能を有している。

図１のアドレス変換（スクランブル）回路１５０は、本発明の核となる回路であり、その動作の概要を図２にて説明する。

図２に於いて、制御プログラム・メモリ１１２とアドレス変換（スクランブル）回路１５０は、図１の同部位を詳細に示したものである。

制御プログラム・メモリ１１２を構成するＦｌａｓｈ ＲＯＭは、Ａ０からＡｎの（ｎ＋１）本のアドレス信号ラインを持っているものとする。一般的には、このアドレス・ラインには、同じ番号のアドレス・バス・ラインが接続されるのが普通であり、図１８の構成の場合には、Ａ０端子にはバスのＡ０信号が、Ａ１端子にはバスのＡ１信号がというように順序よく接続される。

ところが、図２に示すアドレス変換（スクランブル）回路１５０には、アドレス・バスから入力された（ｎ＋１）本のアドレス信号ラインを、制御プログラム・メモリ１１２のＦｌａｓｈ ＲＯＭ側に出力する際に、その接続をスクランブル（ごちゃまぜ）するという機能を持たせている。

例えば、この例では、制御プログラム・メモリ１１２のＦｌａｓｈ ＲＯＭのＡ０端子にはバスのＡｎ−１信号が、Ａｎ端子にはバスのＡ４信号が接続されるという条件を作り出している。（図２の例はあくまで１つの例であって、アドレスがスクランブルされていれば、どの番号のラインがどのアドレス端子に接続されていても構わない。）
このアドレス変換（スクランブル）回路１５０は、物理的な配線をクロスするワイアード・ロジツクでも良いし、ＰＬＤ（プログラマブル論理デバイス）などを利用しても構成することができる。

この様な機構を用いた回路構成では、制御プログラム・メモリ１１２に予め外部のＦｌａｓｈ ＲＯＭ書き込み機でデータを書き込んだデバイスを実装しても、マイクロプロセッサ部１００は、この書き込まれたプログラムを正常に実行することはできない。これは、マイクロプロセッサ部１００が与えるアドレス情報が、アドレス変換回路１５０によってスクランブルされ、制御プログラム・メモリ１１２のＦｌａｓｈ ＲＯＭにそのまま伝えられないためで、所望する正しいデータを読み出すことができないからである。

ところが、この装置では、初期化プログラム・メモリ１１１は、正しくアドレス・バス１０１に接続されているため、このメモリ１１１内に、書き込まれたプログラムは正しく実行される。そこで、この初期化プログラム・メモリ１１１上に、メインテナンス用通信Ｉ／Ｆ１４０を介して、外部の開発装置３００などから、制御プログラムをダウンロードし、このデータを制御プログラム・メモリ１１２に書き込むためのプログラムを用意しておけば、この処理を行うことによって、実行すべき制御プログラムを、制御プログラム・メモリ１１２上にセットすることができる。

この方法で制御プログラム・メモリ１１２上に書き込まれたプログラムは、マイクロプロセッサ部１００が正しく読み出すことができ、正しく実行することができる。

これは、「スクランブルされて与えられたアドレス」を用いて書き込まれたデータを、「スクランブルされて与えられた同じアドレス」で読み出せば、正しいデータが得られるからである。

以上より、図１の回路構成の通信制御装置では、アドレス変換（スクランブル）回路１５０を搭載しているが、上述のような手法で、装置の完成後に後からダウンロードして書き込んだソフトウェアは、正常に実行して機能を実現することができる。

ところが、この装置が悪意を以って第三者が分解し、制御プログラム・メモリ１１２を構成するＦｌａｓｈ ＲＯＭを取り外して、その内容（プログラム）を不正に読み出そうとして、外部のＦｌａｓｈ ＲＯＭライタ装置（読み出しのできるもの）などを用いてもこの書き込まれたデータを正しく読み出すことはできない。

これは、「スクランブルされて与えられたアドレス」を用いて書き込まれたデータを、「スクランブルされていない正常なアドレス」で読み出しても、正しいデータが得られないからである。つまり、対象の機器の中で行われているアドレスのスクランブルの条件が得られない限り、そこから制御プログラム・メモリ１１２だけを取り外しても、そのプログラム自体を盗み出すことができない。これが、本発明の実現する機密保持のための機能である。

［実施の形態２］
上記実施の形態１のように、対象となる通信機器装置内の制御プログラム・メモリ１１２のアドレス入カラインに、図１に示したアドレス変換（スクランブル）回路１５０が実装されれば、多くの場合に於いて、そのメモリ・デバイスが取り外されたとしても、その内部のデータの盗難を防止することができると思われるが、悪意ある第三者が更に深く追求して、アドレス変換（スクランブル）回路１５０ごと取り外し、このアドレス変換（スクランブル）回路１５０の結線まで解読することは全く不可能という訳ではなく、このアドレス変換（スクランブル）回路１５０の条件を、外部に成立させた上で外部のＦ１ａｓｈ ＲＯＭライタ装置（読み出しのできるもの）などを用いれば、正しくソフトウェア（プログラム）のデータを読み出すことが出来てしまう惧れがある。

そこで、実施の形態２では、アドレス変換（スクランブル）回路１５０のスクランブル条件（結線状態）を多数のパターン用意し、実際に正当にその装置を使用する者以外には、それら多数のパターンの内の、どのスクランブル条件が利用されたのかが分からなくするための手段を提供する。

図３に、本発明の実施の形態２による、制御プログラムの盗難防止機構の構成図を示す。図３では、図１で示した実施の形態１の構成に加えて、キーコード入力回路１６０と、それに接続されるキーカード４００が追加されている。また、アドレス変換（スクランブル）回路１５０には、キーコード入力回路１６０を介して入力されたキーコード入力信号が追加されている。

この例では、アドレス変換（スクランブル）回路１５０は、前記実施の形態１の場合のように単一のスクランブル条件だけではなく、上述の説明のように多数のスクランブル条件の内の一つを選択することができるように構成する。つまり、アドレス変換回路１５０に入カされるキーコード信号の状態によって、多数のスクランブル条件の内から特定の１つの条件が選択されるように構成しておく。

キーカード４００は、その名の通り、この対象となる通信制御装置の動作のキーとなるカードで、ある特定のコードパターンをキーコード入力回路１６０に与えることができるものである。物理的には単純なワイアード・ロジックであっても構わないし、ＲＦ回路を用いた特定小電力無線のタグのようなものであっても良い。

この実施の形態２の場合には、この特定の通信装置に対して固有のキーコードが与えられた状態で、前記実施の形態１の場合と同じ様に、初期化プログラム・メモリ１１１上に置かれたプログラムにより、メインテナンス用通信Ｉ／Ｆ１４０を介して、外部の開発装置３００などから、制御プログラムをダウンロードし、このデータを制御プログラム・メモリ１１２のＦｌａｓｈ ＲＯＭに書き込めば良い。この方法で、制御プログラム・メモリ１１２上に書き込まれたプログラムは、マイクロプロセッサ部１００が正しく読み出すことができ、正しく実行することができる。

これにより、図３の回路構成の通信制御装置の場合も、アドレス変換（スクランブル）回路１５０を搭載しているが、上述のような手法で、装置の完成後に後からダウンロードして書き込んだソフトウェアは、正常に実行して機能を実現することができる。

一方、この実施の形態２の場合には、この装置が不使用で、キーカード４００が実装されていない状態で盗まれた様な場合、この装置が第三者により悪意を持って分解され、制御プログラム・メモリ１１２を取り外して、その内容（プログラム）を不正に読み出そうとしても、この書き込まれたデータを正しく読み出すことはできない。

当初の懸念のように、悪意ある第三者が更に深く追求をし、アドレス変換（スクランブル）回路１５０も取り外して、このアドレス変換（スクランブル）回路１５０の結線まで解読をしようとしても、この実施の形態２の場合は、そのスクランブルパターンの内どれを使用していたのかを判定することが極めて難しくなるため、正しいデータを読み出すことのできる確率は極めて小さいものになる。

結局、対象の機器の中で行われているアドレスのスクランブルの条件が得られることは、まず考えられず、そこから制御プログラム・メモリ１１２を取り外しても、そのプログラムを盗み出すことはできないと考えて良い。これが、本発明の実施の形態２の実現する機密保持のための機能である。

また、このようなキーコード入力回路１６０の機構を備えることは、盗難時のプログラム不正コピーを防ぐだけでなく、通常の運用時にも、正しいキーコードを持たない人間による装置の不正使用を防ぐことに役立つ。つまり、正しいキーコード４００を与えない限り、利用しているスクランブルパターンが一致しないため、この装置自体が、正しい制御プログラムを実行できず、装置が正しく動作しないことになる。その意味でもこの機構によって、セキュリティが確保されるという利点を有している。

［実施の形態３］
実施の形態３は、前記実施の形態２を更に発展させたものであり、図３に示す実施の形態に於ける、キーカード４００の代わりに、一般的なＵＳＢテバイスを利用するものである。

図４は、本発明の実施の形態３による制御プログラムの盗難防止機構の構成図を示す。ここでは、図３の実施の形態２の構成の内、キーコード入力回路１６０の代わりにＵＳＢインタフェース１８０と、キーコード・レジスタ１７０を設けたことである。また、キーカード４００の代わりに、ＵＳＢデバイス１８５を利用している。

実施の形態３の場合も、アドレス変換（スクランブル）回路１５０には、キーコード・レジスタ１７０からキーコード入力信号が与えられている。キーコード・レジスタ１７０には、マイクロプロセッサ部１００が任意のコード（データ）を書き込むことができ、このコードがアドレス変換（スクランブル）回路１５０に与えられることによって、多数用意されたスクランブルパターンの中の一つが選択されるようになっている。

この実施の形態３の特徴は、一般的なＵＳＢデバイス１８５の中に、対象の通信制御装置を利用する上でのキーコードを格納しておき、これをＵＳＢインタフェース回路１８０に接続することによって、動作させる点である。

マイクロプロセッサ部１００は、初期化プログラム・メモリ１１１内のソフトウェアに従って、まずＵＳＢインタフェース回路１８０に接続されたＵＳＢデバイス１８５から、予め格納されているキーコードを読み出し、キーコードーレジスタ１７０にその値をセットする。すると、このコードが与えられたアドレス変換（スクランブル）回路１５０では、多数のスクランブルパターンの中から一つのパターンを抽出してアドレス変換動作を行う。

この状態で、マイクロプロセッサ部１００は、初期化プログラム・メモリ１１１上に置かれたプログラムにより、メインテナンス用通信Ｉ／Ｆ１４０を介して、外部の開発装置３００などから、制御プログラムをダウンロードし、このデータを制御プログラム・メモリ１１２に書き込めば良い。この方法で制御プログラム・メモリ１１２上に書き込まれたプログラムは、マイクロプロセッサ部１００が正しく読み出すことができ、正しく実行することができる。

これにより、図４の回路構成の通信制御装置の場合も、装置の完成後に、後からダウンロードして書き込んだソフトウェアを正常に実行して機能を実現することができる。

尚、この実施の形態３の場合には、この装置が不使用で、ＵＳＢデバイス１８５が実装されていない状態で盗まれた場合、この装置が悪意を以って第三者により分解され、制御プログラム・メモリ１１２を取り外して、その内容（プログラム）を不正に読み出そうとしても、この書き込まれたデータを正しく読み出すことはできない。

当初の懸念のように、悪意ある第三者が更に深く追求をし、アドレス変換（スクランブル）回路１５０も取り外して、このスクランブル回路１５０の結線まで解読をしようとしても、この実施の形態３の場合は、キーコードレジスタ１７０の内容が揮発して消えているために、そのスクランブルパターンの内、どれを使用していたのかを判定することができない。そのため、正しいデータを読み出すことは、まず不可能となる。

結局、対象の機器の中で行われているアドレスのスクランブルの条件が得られることは、まず考えられず、そこから制御プログラム・メモリ１１２を取り外しても、そのプログラムを盗み出すことはできない。これが、本発明の実施の形態３の実現する機密保持のための機能である。

また、このようなキーコード入力機構を備えることは、盗難時のプログラム不正コピーを防ぐだけでなく、通常の運用時にも、正しいキーコードを持たない人間による装置の不正使用を防ぐことに役立つ。つまり、正しいキーコードを与えない限り、利用しているスクランプルパターンが一致しないため、この装置自体が、正しい制御プログラムを実行できず、装置が正しく動作しないことになる。その意味でもこの機構によって、セキュリティが確保されるという利点を有している。この利点は実施の形態２と同等である。

［実施の形態４］
実施の形態４では、基本的なアドレススクランブルによる保護に加えて、装置が分解されたことを検出するための、「筐体分解検出手段（筐体分解検出スイッチ）」を導入し、このスイツチの状態如何（オン・オフ）で装置のプログラムの実行ルーチンや、スクランブル回路網そのもの、更にはスクランブルの回路網を指定するためのキーコード等を変化させることによって、制御プログラム・メモリの内容（プログラム）を盗まれないように保護するものである。

実施の形態４において、図５は、上述の「筐体分解検出スイッチ」を備えた筐体の斜視図で、この図５に於いて、５００は、今回保護の対象となっている通信制御装置の全体を示す筐体（ケース）本体である。

５０１はその装置のケース本体５００の上ケース部材、５０２はその装置のケース本体５００の下ケース部材、そして５０３は、そのケース本体５００内に収められる制御用のプリント配線基板（以下基板と言う）である。

通信制御装置のケース本体５００は、基板５０３を、上下ケース部材５０１と５０２で覆うことで完成状態とする。図５（ａ）が完成の状態であり、一方、この装置を分解して上ケース部材５０１を取り外したところを図５（ｂ）に示す。図５では、基板５０３（制御回路が搭載されている）上に、マイクロスイッチ５１０を搭載し、上ケース部材５０１が被せられた状態で「ＯＮ」、上ケース部材５０１が取り外された状態では「ＯＦＦ」になる様な位置に設置したことを示している。（この例では分かりやすくするために、最も目立つ位置に設置してあるが、できるだけ分かり難い部分に設置することが望ましい。）このマイクロスイッチ５１０を「筐体分解検出スイッチ」と呼ぶことにする。

次に、実施の形態４を実現する構成図を図６に示す。図６は、図１８に示した従来の通信制御装置の構成図に、「筐体分解検出スイッチ」５１０と、スイッチ状態入力回路６００を加えたものである。「筐体分解検出スイッチ」５１０の状態（スイッチＯＮ、ＯＦＦの状態）は、スイッチ状態入力回路（ＤＩ回路）６００を介して、マイクロプロセッサ部１００によって、常時読み込むことができるようになっている。例えば、スイッチＯＮのとき、筐体は分解されていないと判断し、スイッチＯＦＦのとき、筐体は分解されたと判断する。

この構成は、極めて単純なハードウェアにて実現するものであって、知的財産であるプログラムの保護手法は、そのプログラム自体の中に埋め込まれ、そのプログラムの実行によって実現する。

実施の形態４では、マイクロプロセッサ部１００は、電源が投入後の装置の立ち上がりシーケンスの中で、スイッチ状態入カ回路６００を介して、「筐体分解検出スイッチ」５１０のＯＮ・ＯＦＦ状態を読み込む。

「１」スイッチ状態が「ＯＮ」であった場合には、本装置は上ケース部材５０１が下ケース部材５０２に嵌められているとき、完成（組立て）状態であると判断し、マイクロプロセッサ部１００は、正常なプログラム実行（通信制御装置としての正規の制御動作を実行）を行う。

「２」一方、マイクロプロセッサ部１００によって、「筐体分解検出スイッチ」５１０の状態を読み込んだ際に、この状態が「ＯＦＦ」であった場合には、本装置の上ケース部材５０１が外されているか、または、完全に分解されていると判断し、マイクロプロセッサ部１００は、ノウハウが埋め込まれている通信制御に関わるプログラム部分（プログラムメモリ１１０のプログラム格納Ｆｌａｓｈ ＲＯＭ内）を消去するという処理を実行する。

プログラムメモリ１１０に格納されるプログラムのＩＰＬ（Ｉｎｉｔｉａｌ Ｐｒｏｇｒａｍ Ｌｏａｄｅｒ）部分には、上記のような動作を行うプログラムを実装しておく。

つまり、実施の形態４による手法を取り込んだ通信制御装置は、筐体を正しく組み立てた完成状態で電源を投入すれば正しい制御動作を行うが、分解された状態で電源が投入されると、自ら制御プログラムを消去し、その内容が外部からコピー（Ｃｏｐｙ）されることを防止することができる。一旦消去されたプログラムは、自動的には復元されないので、正しく動作させるためにはプログラムの再書き込みが必要となる。この処理は製造者しか行うことはできない。

［実施の形態５］
図７は実施の形態５を示す構成図で、この実施の形態５は、「筐体分解検出スイッチ」５１０を使用したプログラム盗難防止のための手段を示すものである。図７に示す実施の形態５は、図３に示した実施の形態１による通信制御装置の構成に、「筐体分解検出スイッチ」５１０を加えたものである。

上述した実施の形態１に説明した通り、アドレス変換（スクランブル）回路１５０では、マイクロプロセッサ部１００から制御プログラム・メモリ１１２に与えるアドレスラインをクロス（入れ替え）して、これが取り外されても外部のＲＯＭライタ等では正しく読み出せない状態を作ることを特徴としていた。

しかし、ここでは、このアドレス変換（スクランブル）回路１５０の入力に、この「筐体分解検出スイッチ」５１０のＯＮ・ＯＦＦ状態を加える。アドレス変換（スクランブル）回路１５０では、複数のスクランブルパターンを用意しておき、「筐体分解検出スイッチ」５１０の状態（ＯＮ・ＯＦＦ）によって選択されるスクランブルパターンを切り替えるようにして置く。

このような機構の下に、この通信制御装置が完全に組み立てられた状態（上ケース部材５５１も嵌められて、「筐体分解検出スイッチ」５１０が「ＯＮ」の状態）で、メインテナンス用通信１／Ｆ１４０を介して外部から制御プログラムをダウンロードして制御プログラム・メモリ１１２に書き込めば、この装置は、この完成状態では正しい制御動作を実行できる。

一方、一旦この完成状態で正しい制御動作を行うようプログラムの書き込みが行われていても、これが製造者以外の悪意のある第三者によって、分解され、上ケース部材５５１が取り外されると、「筐体分解検出スイッチ」５１０の状態が「ＯＦＦ」に反転し、アドレス変換（スクランブル）回路１５０内のスクランブルパターンが切り替わる。すると、この状態でこの装置の電源が投入されて立ち上げを行っても、制御プログラムに対しては正しいアドレスが与えられないので、マイクロプロセッサ部１００は正しい制御を行うことが出来ずに暴走をする。

これによって、この機構を組み込んだ通信制御装置は、分解された状態では、正しい制御動作を行うことはなく、その動作を、計測器等を利用して観測したり、解析することも出来なくなる。これによってこの装置の技術的ノウハウの流出を極めて困難な状態にすることができる。

［実施の形態６］
図８は、実施の形態６を示す構成図で、この実施の形態６は、先の実施の形態２の機構の中に、「筐体分解検出スイッチ」５１０を加えたものである。図８では、アドレス変換（スクランブル）回路１５０のスクランブルパターンを選択するためのキーコードを、外部から挿入するキーカード４００からキーコード入力回路１６０経由で取り込んで動作する。「筐体分解検出スイッチ」５１０のＯＮ・ＯＦＦ状態が、キーコード入力回路１６０に与えられていて、これがキーコードをスクランブルするか否かの条件になっている。

このような機構を用いると、先の実施の形態２で示したプログラム盗難防止の仕組みを更に強化することができる。

つまり、筐体が組み立てられ、装置が完成した状態の場合には、「筐体分解検出スイッチ」５１０の状態は「ＯＮ」になっており、この状態では、キーコード入力回路１６０の出力であるアドレス変換（スクランブル）回路１５０のためのキーコードは、正しい値として、アドレス変換（スクランブル）回路１５０に与えられる。

これによって、制御プログラム・メモリ１１２には正しいアドレスが与えられ、正常なプログラム実行が行われてこの通信制御装置は正常に動作する。一方、この装置の筐体が分解され、上ケース部材５０１が取り外されて、電源が入れられた場合には、「筐体分解検出スイッチ」５１０の状態が「ＯＦＦ」状態となっている。この状態では、キーコード入カ回路１６０では出力であるアドレス変換（スクランブル）回路１５０のためのキーコードを変換し、誤った値として、アドレス変換（スクランブル）回路１５０に与えられる。

これによって、制御プログラム・メモリ１１２には正しいアドレスが与えられないため、マイクロプロセッサ部１００は正しい制御を行うことが出来ずに暴走をする。このため、この機構を組み込んだ通信制御装置は、たとえ、セキュリティ強化のために用意されたキーコード（キーカード）が盗まれて準備されたとしても、分解された状態では、正しい制御動作を行うことはなく、その動作を、計測器等を利用して観測したり、解析することも出来なくなる。これによって、この装置の技術的ノウハウの流出を極めて困難な状態にすることができる。

［実施の形態７］
図９は、実施の形態７を示す構成図で、この実施の形態７は、上記実施の形態を更に進歩させた方式である。図９において、１７０はキーコード・レジスタであり、揮発性のＳＲＡＭ（スタティックＲＡＭ）で構成し、バッテリ１８０でバックアップできるように構成する。

また、９００は、乱数発生回路であり、「筐体分解検出スイッチ」５１０が「ＯＮ」状態では、キーコード・レジスタ１７０はバッテリ・バックアップされるが、「ＯＦＦ」状態になると、このレジスタ１７０のバツテリ・バツクアツプは解除される。その他の構成要素は、図８と同じである。

この実施の形態７では、装置の制御用プログラムは、筐体を含めて全てを組み立てて、構造的に完成させた後に、メインテナンス用通信１／Ｆ１４０を介して、開発装置３００等から制御用のプログラムをダウンロードして制御プログラムメモリ１１２に書き込む。この制御プログラムの書き込み処理に先立って、乱数発生回路９００から、乱数を読み出し、この値をユニークなキーコードとしてキーコードレジスタ１７０にセットする。

この状態で生成されたキーコードをアドレス変換（スクランブル）回路１５０に与えて、スクランブル・パターンを選択する。この状態で、制御プログラムを書き込めば、その後は、キーコードレジスタ１７０にセットされた値が書き換わらない限りは、この装置は正常な動作を続けることができる。つまり、この装置の筐体が不正に分解され、その内容や動作を、計測器等を利用して観測したり、解析したりしようとしない限りは、正常動作を続けることができる。

一方、この装置を分解して、その内容や動作を、計測器等を利用して観測したり、解析したりしようとすると、上ケース部材５０１を取り外した時点で、「筐体分解検出スイッチ」５１０が「ＯＦＦ」となり、キーコード・レジスタ（ＳＲＡＭ）１７０のバッテリ・バックアップが解除され、同時にここにセットされていたキーコードが消去される。

すると、この状態で電源を投入すると、このキーコード・レジスタ１７０は正しいキーコードを生成することができないので、これがアドレス変換（スクランブル）回路１５０に与えられても、正しいスクランブル・パターンが選択されない。つまり、この状態では、正しく動作させることはできない。

更に、この実施の形態７の装置では、一度、このキーコード・レジスタ１７０の設定値が消去されてしまうと、再度、乱数発生回路９００から、乱数を読み出しても、正常動作のためのキーコードの設定値と一致することはまず考えられないため、この装置は、改めて正しい制御プログラムを書き込むまでは使用できなくなる。更に、この方式では筐体を組み立てて、装置を完成状態にしてもこの装置を正常動作させることができない。これによって、この機構を組み込んだ通信装置は、技術的ノウハウの流出を極めて困難な状態にすることができる。

上記実施の形態では、プログラム保護の方式を更に発展させ、当該の通信制御装置が分解されたことを検出するための「筐体分解検出スイッチ」部分を加え、このスイッチを用いたプログラム保護のセキュリティ機能を付加するようにしたものである。

上記実施の形態の方式では、この「筐体分解検出スイッチ」により、装置が分解されているか完成状態か（上ケース部材が嵌っているか否か）を検出し、装置が分解された状態では、正常な制御動作を行えなくするような工夫や、または、装置が分解されると、自らの設定状態やプログラムを故意に消去して、その内容の流出を防ぐことができる。

上記実施の形態による機構を実際の製品に適用するに当たって、具体的な設計を実施する際に生じる問題点（サイズや加工のし易さ、価格等の問題）を解決する。本発明は、実際の製品をよりコンパクト化し、低価格にて提供することを目指すものである。

本発明は、基本的に、図５以降、符号５１０で記載されている「筐体分解検出スイッチ」部分について、専用の電気部品（スイッチ部品）を使用せず、筐体と制御基板を組み立てて装置を構成する際の機構の中に、この機能を取り込んでしまい、スイッチ部品を使用する場合よりコストを低減させると共に、外部から技術を盗むための悪意ある分解調査を行われても、より判別しにくい仕組みとすることを特長としている。

［実施の形態８］
実施の形態８を述べる前に、図１０により、一般的な通信制御装置の制御基板を、筐体に取り付ける部分の構造について説明する。図１０はその一部拡大斜視図で、図１０において、１０１０は通信制御装置の制御基板、１０１１は制御基板を筐体に取り付ける際の取り付け孔、１００１は通信制御装置の筐体の底板部、１００２は制御基板を取り付ける際に、ねじ止めをするためのボス、１００３は取り付け用のねじ（金属）である。この場合、ボス１００２の上に基板１０１０を載置してから取り付け、ねじ１００３を締め付けることによって、基板１０１０が筐体に固定される。

なお、筐体の底板部１００１と、ボス１００２は、金属（導電体）の場合とプラスチックのような絶縁体の場合が考えられる。

ここで、この装置を完成させる場合には、図１０の如き構造によって必ず基板１０１０を、筐体の底板部１００１にねじ止めすることを前提とすると、この部分の構造を用いて、上記した図５〜図９に於ける「筐体分解検出スイッチ」５１０の代わりをさせることが可能となる。

次に、実施の形態８について述べる。図１１は、実施の形態８を示す一部拡大斜視図で、図１１において、通信制御装置の筐体の底板部１００１とボス１００２が、金属である場合、制御基板１０１０の上面のねじ孔１０１１の周囲部分に銅箔によるランドパターン（以下ランド）１０１２を形成する。このランド１０１２部分に、抵抗Ｒを介して電源レベル（Ｖｃｃレベル）にプルアップされた「筐体分解検出信号」を接続する。一方、金属筐体の底板部１００１と金属製のボス１００２は、シグナル・グラウンド・レベルに接地しておく。

すると、制御基板１０１０上の「筐体分解検出信号」は、この基板１０１０が金属製のねじ１００３で筐体の底板部１００１に取り付けられた場合には、グラウンド・レベルとなり、取り外されて使用される（電源が供給された）場合には、「Ｈ」レベル（論理「１」）となる。

図７に示す実施の形態５を、この実施の形態８に当てはめた構成図が、図１２である。図１２に示すように、図７に示した「筐体分解検出スイッチ」５１０のあった部分が、取り付けねじと電気的に接触するランド１０１２となっており、ボス１００２がグラウンドに結ばれている。これにより、この基板が筐体に取り付けられると、ランド１０１２がボス１００２のグラウンドと接続され、スイッチであれば「ＯＮ」したのと同じ状態となる。

一方、基板が取り外された場合には、ランド１０１２はボス１００２と電気的に切り離され、スイッチが「ＯＦＦ」したのと同じ状態になる。この構成により、専用のスイッチ部品を用いることなく、図７、図８に示した実施の形態２，３の機能を実現できる。

このように構成したことにより、図１１に示すように、取り外されたり、その内容を外部からスキミングしてデータを盗まれる可能性のあるフラッシュＲＯＭ等の部品１０３０は、基板１０１０の裏側（筐体に取り付ける際に筐体側になり、外から部品に触れない面）にすることが必要であり、この部品１０３０を調べるためには、必ず基板を筐体から取り外さなくてはならない様にしておく。このようにしておけば、外部の悪意ある第三者が、この制御プログラムを奪おうとする際には、必ず制御基板１０１０を筐体から取り外さざるを得ず、制御基板１０１０が筐体から外された状態では、プログラムは正常に実行できなくなる。

［実施の形態９］
次に、図１３〜図１５により実施の形態９について述べる。筐体１００１と、ボス１００２が共に、プラスチック・モールドのような絶縁物で出来ている場合については、図１１に於けるランド１０１２の代わりに、図１３に示すような形状のランドを形成し、その片側ランドを１０１３ａ、対になった片側ランドを１０１３ｂとする。ここで、その片側ランド１０１３ａ部分を、抵抗Ｒを介して電源レベル（Ｖｃｃレベル）にプルアップされた「筐体分解検出信号」に接続し、一方の片側ランド１０１３ｂは、シグナル・グラウンド・レベルに接地する。

この場合の回路を図７に示す実施の形態５の例に当てはめると、図１４に示すようになる。図１４に示すように、図７における「筐体分解検出スイッチ」５１０のあった部分が、ランド１０１３ａと、ランド１０１３ｂとなっており、ランド１０１３ｂ側がグランドに結ばれた形になる。

このようなパターンを制御基板上に設けた上で、図１５のように組み立てる。ここでは、符号１０２０で示す金属製のワッシャを使用する。

図１５のように、この基板が筐体に取り付けられると、金属製のワッシャ１０２０によってランド１０１３ａとランド１０１３ｂが電気的に接続され、「筐体分解検出信号」がグラウンドと接続されて、スイッチであれば「ＯＮ」したのと同じ状態となる。一方、基板が取り外され、ワッシャ１０２０が外された場合には、ランド１０１３ａは、ランド１０１３ｂと電気的に切り離され、スイッチが「ＯＦＦ」したのと同じ状態になる。（ワッシャ１０２０がスイッチの接片機能を果たす。）
このように構成したことにより、専用のスイッチ部品を用いることなく、図７、図８で示した実施の形態５と形態６の機能を実現できる。この構成の場合も、実施の形態８と同様に、取り外されたり、その内容を外部からスキミングしてデータを盗まれる可能性のあるフラッシュＲＯＭ等の部品１０３０は、基板１０１０の裏側（筐体に取り付ける際に筐体側になり、外から部品１０３０に触れない面）にすることが必要であり、この部品１０３０を調べるためには、必ず制御基板１０１０を筐体から取り外さなくてはならない様にしておく。

［実施の形態１０］
次に、図１６と図１７により実施の形態１０について述べる。筐体１００１が、プラスチック・モールドのような絶縁物、ボス１００２が金属で出来ている場合については、図１１に示すランド１０１２と同様にランド１０１４を設けると共に、図１６に示すように丁度その裏面にランド１０１５を形成する。

ここで、そのランド１０１４部分を、抵抗Ｒを介して電源レベル（Ｖｃｃレベル）にプルアップされた「筐体分解検出信号」に接続し、一方の裏面側のランド１０１５はシグナル・グラウンド・レベルに接地する。この場合の回路を図７に示す実施の形態５の例に当てはめると図１７に示すようになる。図１７に示すように、図７に示した「筐体分解検出スイッチ」５１０のあった部分が、ランド１０１４と、ランド１０１５になっており、ランド１０１５側がグランドに結ばれた形になる。

この例の場合、この基板が筐体に取り付けられると、ランド１０１４が金属のねじ１００３を介してボス（金属）１００２と接続され、更に、このボス１００２は、ランド１０１５と接触するので、スイッチであれば「ＯＮ」したのと同じ状態となる。一方、基板が取り外された場合には、ランド１０１４は、ボス１００２およびランド１０１５とは電気的に切り離され、スイッチが「ＯＦＦ」したのと同じ状態となる。

このような構成としたことにより、専用のスイッチ部品を用いることなく、図７、図８で示した実施の形態５と形態６の機能を実現できる。この構成の場合も、取り外されたり、その内容を外部からスキミングしてデータを盗まれる可能性のあるフラッシュＲＯＭ等の部品１０３０は、基板１０１０の裏側（筐体に取り付ける際に筐体側になり、外から部品１０３０に触れない面）にすることが必要であり、この部品１０３０を調べるためには、必ず基板１０１０を筐体から取り外さなくてはならない様にしておく。このようにしておけば、外部の悪意ある第三者、この制御プログラムを奪おうとする際には、必ず制御基板１０１０を筐体から取り外さざるを得ず、制御基板１０１０が筐体から外された状態では、プログラムは正常に実行できなくなる。

本発明の実施の形態１を示す構成図。 アドレス変換（スクランブル）回路の動作説明図。 本発明の実施の形態２を示す構成図。 本発明の実施の形態３を示す構成図。 通信機器の筐体分解検出スイッチの配置手段を示す斜視図。 本発明の実施の形態４を示す構成図。 本発明の実施の形態５を示す構成図。 本発明の実施の形態６を示す構成図。 本発明の実施の形態７を示す構成図。 通信機器の制御基板を筐体に取り付ける構成を示す斜視図。 実施の形態８で使用されるランドパターンとねじ等の斜視図。 本発明の実施の形態８を示す構成図。 制御基板取り付け孔部のランドパターンの形状構成図。 本発明の実施の形態９を示す構成図。 実施の形態９におけるランドパターンとねじ等の状態を示す具体的な構成図。 実施の形態１０におけるランドパターンとねじ等の状態を示す具体的な構成図。 本発明の実施の形態１０を示す構成図。 従来の通信制御装置の概略構成図。 プログラムメモリ内のソフトウェア（プログラム）の構成説明図。

符号の説明

１００…マイクロプロセッサ部
１１１…初期化プログラム・メモリ
１１２…制御プログラム・メモリ
１２０…ワークメモリ
１３０…通信インターフェース
１４０…メインテナンス用通信インターフェース
１５０…アドレス変換（スクランブル）回路
１６０…キーコード入力回路
１７０…キーコードレジスタ
１８０…ＵＳＢインターフェース
２００…通信回線
３００…プログラム開発装置
４００…キーカード
５００…筐体本体
５１０…筐体分解検出スイッチ

Claims (1)

1. マイクロプロセッサと、制御用ソフトウェア（プログラム）を格納するプログラム・メモリと、プログラム実行上のワークメモリとを有し、マイクロプロセッサがプログラム・メモリ上に格納されたソフトウェア（プログラム）に従い、ワークメモリを使用しながら、通信インタフェースを制御して通信回線との間でデータの授受を行う通信制御装置において、
   （ａ）前記マイクロプロセッサが実行するプログラムの格納領域（デバイス）を、初期化プログラム・メモリと制御プログラム・メモリとに分割する手段と、
   （ｂ）前記初期化プログラム・メモリは、マイクロプロセッサのアドレス・バスに直結し、制御プログラム・メモリは、アドレス・ラインをバスに直結せず、バスとの間にアドレス変換（スクランブル）回路を挿入し、マイクロプロセッサから与えられるアドレスをスクランブルに入れ替えて接続する手段と、を有し、
   前記アドレス変換（スクランブル）回路のスクランブルパターン選択をするキーコードを、揮発性のＳＲＡＭによって実現されるキーコード・レジスタから与えることによって、数多く用意されたスクランブルパターンの中から所望の一つを選択し、その後メインテナンス用通信インタフェースを介して外部から制御プログラムをダウンロードして、前記制御プログラム・メモリにそのプログラムを書き込んで、制御動作させるようにし、
   このＳＲＡＭによるキーコード・レジスタは、バッテリによってバックアップするかどうかを、筐体分解検出手段からの検出信号の有無の状態によって切り替えるよう構成し、装置内には乱数発生回路を設け、初期段階での制御プログラムのダウンロードと制御プログラムメモリヘの書き込みに先立って、筐体を含んだ装置の組み立てを完成させて置き、乱数発生回路から発生させたランダムな値を、ＳＲＡＭによるキーコードレジスタにセットし、その後にプログラムの書き込みを行うようにすることによって、アドレス変換（スクランブル）回路のスクランブルパターンを切り替えるためのキーコードを格納しているキーコード・レジスタの内容が、前記検出信号の無のときに、バッテリ・バックアップが切断して消滅してしまうことを特徴とする通信制御装置。

Images