JP6249302B2

JP6249302B2 - 取引端末装置およびタンパ検知装置

Info

Publication number: JP6249302B2
Application number: JP2015249566A
Authority: JP
Inventors: 松本　正人; 正人松本; 誠一山田; 邦巳綴木
Original assignee: Panasonic Intellectual Property Management Co Ltd
Current assignee: Panasonic Intellectual Property Management Co Ltd
Priority date: 2015-12-22
Filing date: 2015-12-22
Publication date: 2017-12-20
Anticipated expiration: 2035-12-22
Also published as: JP2017117057A

Description

本発明は、タンパ検知用導電体の異常によりタンパを検知する取引端末装置およびタンパ検知装置に関するものである。

クレジットカードやデビットカードなどによるキャッシュレスでの決済に用いられる取引端末装置、いわゆるモバイル決済端末では、暗証番号が入力キーを用いて入力され、また、決済センタやＩＣカードとの間の通信などに用いられる暗号鍵がメモリに保持されている。そこで、取引端末装置に対する攻撃行為、いわゆるタンパを検知して、暗証番号や暗号鍵などの機密情報が盗み取られて不正利用されることを防止する必要がある。

このようなタンパにより機密情報が盗み取られることを防止する、すなわち、耐タンパ性を確保する技術として、従来、機密情報を保持するメモリなどの電子部品が配置されたセキュリティエリアの周囲に、導電線を波形状に配したタンパ検知パターンを設けて、タンパにより発生するタンパ検知パターンの断線やショートによりタンパを検知するようにして、タンパが検知されると、メモリに保持されている機密情報を消去する技術が知られている（特許文献１，２参照）。

特開２０１３−３９７９号公報特開２００８−３３５９３号公報

さて、前記従来の技術のように、タンパ検知パターンによりタンパを検知する場合、出荷時には、断線が発生していない正常な状態でも、ユーザが使用するうちにタンパ検知パターンに断線が発生して、タンパの誤検知が発生することが想定される。このようなタンパの誤検知が発生すると、以後、装置を使用することができなくなることから、タンパの誤検知を回避する必要がある。

特に、タンパ検知パターンを可撓性のシート材に形成して、所要の形状に撓ませることができるようにしたセキュリティシートを用いると、タンパ検知パターンの配置の自由度が向上するが、タンパを確実に検知するためにセキュリティシートを比較的脆弱に形成すると、組み付け時のシートの変形により、タンパ検知パターンが断線の寸前の状態となる場合があり、この場合、出荷後にタンパ検知パターンに断線が発生してタンパの誤検知が発生しやすくなる。

本発明は、このような従来技術の問題点を解消するべく案出されたものであり、その主な目的は、タンパの誤検知により装置を使用することができなくなる不具合を回避することができるように構成された取引端末装置およびタンパ検知装置を提供することにある。

本発明の取引端末装置は、タンパ検知用導電体の異常によりタンパを検知する取引端末装置であって、前記タンパ検知用導電体と、このタンパ検知用導電体における異常によりタンパを検知するタンパ検知部と、を備え、前記タンパ検知部は、前記タンパ検知用導電体に異常検知用の信号を出力して、前記タンパ検知用導電体における異常を検知するとともに、前記タンパ検知用導電体に異常予兆検知用の信号を出力して、前記タンパ検知用導電体における異常の予兆を検知し、このタンパ検知部での異常の予兆の検知結果に関する情報を外部に出力する構成とする。

また、本発明のタンパ検知装置は、タンパ検知用導電体の異常によりタンパを検知するタンパ検知装置であって、前記タンパ検知用導電体に異常検知用の信号を出力して、前記タンパ検知用導電体における異常を検知するとともに、前記タンパ検知用導電体に異常予兆検知用の信号を出力して、前記タンパ検知用導電体における異常の予兆を検知する構成とする。

本発明によれば、タンパ検知用導電体が異常の寸前の状態にあることを異常の予兆として検知して、その検知結果に関する情報を外部に出力するため、タンパ検知用導電体が異常の寸前の状態から異常な状態に変化してタンパの誤検知が発生する前に、装置の交換や修理などの必要な対策をとることができ、取引端末装置が突然使用できなくなる不都合を回避することができる。

本実施形態に係る取引端末装置１の斜視図取引端末装置１の背面図取引端末装置１の縦断面図セキュリティモジュール３８の縦断面図セキュリティモジュール３８の要部斜視図セキュリティモジュール３８に設けられるタンパ検知パターン６１およびタンパ検知スイッチ６２を説明する説明図タンパ検知パターン６１の異常およびその予兆を検知するための構成を示す回路図異常検知時におけるタンパ検知部６８の入出力ポートの状態を示す説明図異常予兆検知時におけるタンパ検知部６８の入出力ポートの状態を示す説明図取引端末装置１の概略構成を示す機能ブロック図タンパ検知パターン６１の異常およびその予兆を検知するための構成の変形例を示す回路図タンパ検知パターン６１の異常およびその予兆を検知するための構成の変形例を示す回路図第２実施形態に係るタンパ検知パターン６１の異常およびその予兆を検知するための構成を示す回路図

前記課題を解決するためになされた第１の発明は、タンパ検知用導電体の異常によりタンパを検知する取引端末装置であって、前記タンパ検知用導電体と、このタンパ検知用導電体における異常によりタンパを検知するタンパ検知部と、を備え、前記タンパ検知部は、前記タンパ検知用導電体に異常検知用の信号を出力して、前記タンパ検知用導電体における異常を検知するとともに、前記タンパ検知用導電体に異常予兆検知用の信号を出力して、前記タンパ検知用導電体における異常の予兆を検知し、このタンパ検知部での異常の予兆の検知結果に関する情報を外部に出力する構成とする。

これによると、タンパ検知用導電体が異常の寸前の状態にあることを異常の予兆として検知して、その検知結果に関する情報を外部に出力するため、タンパ検知用導電体が異常の寸前の状態から異常な状態に変化してタンパの誤検知が発生する前に、装置の交換や修理などの必要な対策をとることができ、取引端末装置が突然使用できなくなる不都合を回避することができる。

また、第２の発明は、さらに、前記タンパ検知用導電体に接続された分圧用抵抗を備え、前記タンパ検知部は、前記タンパ検知用導電体の抵抗値に対応する電圧を抵抗分圧により測定し、この電圧の測定値に基づいて、前記タンパ検知用導電体における異常の予兆を検知する構成とする。

これによると、タンパ検知用導電体における異常の予兆、例えば、タンパ検知用導電体が断線の寸前の状態であることを精度よく検知することができる。

また、第３の発明は、前記タンパ検知用導電体は、複数系統設けられ、前記タンパ検知部は、各系統の前記タンパ検知用導電体における異常を検知するために、前記タンパ検知用導電体に対して前記異常検知用の信号の出力および入力を行う２つの入出力ポートを系統ごとに備え、前記分圧用抵抗は、各系統の前記タンパ検知用導電体と前記タンパ検知部とを結ぶ２つの入出力ラインの少なくとも一方に設けられ、異なる系統の前記タンパ検知用導電体の入出力ラインを相互に接続する橋絡ラインが設けられ、検知対象となる系統の前記入出力ポートと、前記橋絡ラインを介して接続された別系統の前記入出力ポートとを用いて、前記異常予兆検知用の信号として高電圧の信号および低電圧の信号を前記タンパ検知部から前記タンパ検知用導電体に出力するとともに、これに応じて前記タンパ検知用導電体から出力される信号を前記タンパ検知部に入力させる構成とする。

これによると、検知対象となるタンパ検知パターンとは別系統のタンパ検知パターンの入出力ポートを利用するため、異常予兆検知専用の入出力ポートを確保する必要がなく、構成を簡素化することができる。

また、第４の発明は、前記タンパ検知用導電体は、波形状に導電線を配したタンパ検知パターンである構成とする。

これによると、タンパ検知パターンが断線の寸前の状態であることを異常の予兆として検知することができる。

また、第５の発明は、前記タンパ検知用導電体は、１対の電極と、この１対の電極を導通させる導電部とにより構成され、前記導電部は、２つの部材の間に挟み込まれた組み立て状態における弾性変形部の弾性変形による付勢力により、前記電極に接触した導通状態に保持される構成とする。

これによると、弾性変形部の付勢力が不足して導通状態が解除される寸前の状態であることを異常の予兆として検知することができる。なお、この場合、攻撃行為により２つの部材のいずれかが取り外されることで、電極の導通状態が解除されることにより、タンパを検知する。

また、第６の発明は、タンパ検知用導電体の異常によりタンパを検知するタンパ検知装置であって、前記タンパ検知用導電体に異常検知用の信号を出力して、前記タンパ検知用導電体における異常を検知するとともに、前記タンパ検知用導電体に異常予兆検知用の信号を出力して、前記タンパ検知用導電体における異常の予兆を検知する構成とする。

これによると、タンパ検知用導電体における異常の予兆を検知することができる。

以下、本発明の実施の形態を、図面を参照しながら説明する。

（第１実施形態）
図１は、本実施形態に係る取引端末装置１の斜視図である。図２は、図１に示した取引端末装置１の背面図である。図３は、図１に示した取引端末装置１の縦断面図である。

図１に示すように、この取引端末装置１は、クレジットカードやデビットカードなどとしての磁気カードＣ１、接触型ＩＣカードＣ２、および非接触型ＩＣカード（図示せず）などを用いてキャッシュレスで決済を行うモバイル決済端末であり、筐体２の前面３に、表示入力パネル４と、キーパッド部５と、が配置されている。

筐体２は、アッパーケース２ａおよびロアーケース２ｂで構成されている。表示入力パネル４は、液晶表示パネルとタッチパネルとを組み合わせた、いわゆるタッチパネルディスプレイである。この表示入力パネル４は、その周縁部を枠パネル７で覆われるように設けられている。キーパッド部５には、複数の操作キー、具体的には電源キーと、テンキーおよびファンクションキーなどの入力キーとが配列されている。また、筐体２の側面部分には、電源プラグおよびメモリカードスロットを覆うカバー６が設けられている。

図２に示すように、筐体２の背面側には、カメラ８と、スピーカ９と、接続端子１０と、が設けられている。カメラ８は、バーコードなどを撮影するものである。スピーカ９は、アラーム音などの音声を出力するものである。接続端子１０は、図示しないクレードルの接続端子に接続されて、充電用の電力を供給するものである。

図３に示すように、この取引端末装置１は、感熱式のプリンタ１２と、磁気カードリーダ１３と、接触型ＩＣカードリーダ１４と、を備えている。プリンタ１２では、記録紙をロール状に巻いたロール紙ＲＰから引き出された記録紙に印字が行われて排紙口１６から排出される。磁気カードリーダ１３は、筐体２に設けられたカードスロット１７に挿入された磁気カードＣ１を読み取るものである（図１参照）。接触型ＩＣカードリーダ１４は、筐体２に設けられたカードスロット１８に挿入された接触型ＩＣカードＣ２を読み取るものである（図１参照）。

また、筐体２の内部には、ＮＦＣアンテナ２１と、通信モジュール２２と、バッテリー２３と、が設けられている。ＮＦＣアンテナ２１は、ＮＦＣ（近距離無線通信）により電子マネー機能を備えた非接触型ＩＣカードなどとの間で通信を行うものである。通信モジュール２２は、決済処理システムのサーバなどとの間で無線通信を行うものである。

バッテリー２３は、取引端末装置１の各部に給電するものである。このバッテリー２３が収容されるバッテリー収容部２４には、バッテリー２３を出し入れするための開口を閉鎖するバッテリーカバー２５が設けられている。

このように取引端末装置１は、磁気カード、接触型ＩＣカード、非接触型ＩＣカードなどを用いてキャッシュレスで決済が行われ、その決済の内容を記録した控票を印字することができる。このほか、取引端末装置１では、ＩＤカードを用いたユーザ認証、例えば取引端末装置１の使用者を認証する機能を備えたものとしてもよい。

また、筐体２の内部における表示入力パネル４の背面側には、メイン基板３１と、サブ基板３２と、が設けられている。このメイン基板３１およびサブ基板３２には、取引端末装置１の各部を制御するための各種の電子部品が実装されている。例えば、メイン基板３１には、表示入力パネル４を構成する液晶表示パネルおよびタッチパネルが接続され、それらの制御を行う電子部品が実装されている。

また、筐体２の内部におけるキーパッド部５の背面側には、タッチセンサ基板３４と、セキュリティエリアメイン基板３５と、が配置されており、これらの基板３４，３５と、これらの基板３４，３５の間隔に保持するためのフレーム部材３６とが、磁気カードリーダ１３と接触型ＩＣカードリーダ１４とともに、モジュールケース３７に収容されて、セキュリティモジュール３８を構成している。

次に、図３に示したセキュリティモジュール３８について説明する。図４は、セキュリティモジュール３８の縦断面図である。図５は、セキュリティモジュール３８の要部斜視図である。

図４に示すように、このセキュリティモジュール３８では、モジュールケース３７の前面の開口部を閉鎖するようにタッチセンサ基板３４が配置され、このタッチセンサ基板３４の前面には、機密情報を入力する複数の入力キー４１が配列されたキーシート４３が配置されている。なお、キーシート４３およびタッチセンサ基板３４との間には、メタルドームシート（図示せず）が配置されており、このメタルドームシートと、キーシート４３と、タッチセンサ基板３４とでキーパッド部５が構成される。

タッチセンサ基板３４では、入力キー４１の操作を検出する静電容量式のタッチセンサが表面に設けられている。また、タッチセンサ基板３４の裏面側には、タッチセンサの出力信号を処理する制御回路などが実装されている。

セキュリティエリアメイン基板３５には、暗証番号や暗号鍵などの機密情報を記憶するフラッシュメモリなどの電子部品が実装されている。また、セキュリティエリアメイン基板３５には、以下に説明するタンパ検知パターンに電気的に接続されて、タンパを検知するタンパ検知部としてのプロセッサが実装されている。

タッチセンサ基板３４およびセキュリティエリアメイン基板３５には、導電線を波形に配置したタンパ検知パターンが設けられている。

フレーム部材３６は、タッチセンサ基板３４およびセキュリティエリアメイン基板３５を所定の間隔をおいて対向配置した状態に支持するものである。このフレーム部材３６には、タンパ検知パターンが設けられたセキュリティシート５５が、タッチセンサ基板３４およびセキュリティエリアメイン基板３５とで区画された空間の外周部を周回するように貼り付けられている（図５参照）。

セキュリティシート５５は、ＰＥＴなどの合成樹脂材料からなる可撓性のシート材上に銀ペーストなどの導電性材料を用いてタンパ検知パターンを印刷により形成することで得ることができる。

これにより、タッチセンサ基板３４およびセキュリティエリアメイン基板３５とで区画されたセキュリティエリアが、タンパ検知パターンを備えたタッチセンサ基板３４とセキュリティエリアメイン基板３５とセキュリティシート５５とで周囲を覆われた状態となっており、これらの部材に設けられたタンパ検知パターンにより、タッチセンサ基板３４およびセキュリティエリアメイン基板３５に実装された電子部品や、接触型ＩＣカードリーダ１４が保護され、機密情報を記憶するフラッシュメモリの記憶情報や、入力キー４１による入力情報や、接触型ＩＣカードリーダ１４による読み取り情報を盗み取る攻撃行為に対して、耐タンパ性を確保することができる。

また、モジュールケース３７では、セキュリティモジュール３８に関する耐タンパ性を確保する観点から弱点となる部位、具体的には、モジュールケース３７におけるバッテリー収容部２４（図３参照）に面した部分の内面に、セキュリティシート５８が貼り付けられている。これにより、磁気カードリーダ１３が保護され、磁気カードリーダ１３による読み取り情報を盗み取る攻撃行為に対して、耐タンパ性を確保することができる。

次に、図４に示したセキュリティモジュール３８に設けられるタンパ検知パターン６１およびタンパ検知スイッチ６２について説明する。図６は、セキュリティモジュール３８に設けられるタンパ検知パターン６１およびタンパ検知スイッチ６２を説明する説明図である。

本実施形態では、セキュリティモジュール３８のタッチセンサ基板３４、セキュリティエリアメイン基板３５、フレーム部材３６に貼り付けられるセキュリティシート５５、およびモジュールケース３７に貼り付けられるセキュリティシート５８にそれぞれタンパ検知パターン６１が設けられており、合計で４系統のタンパ検知パターン６１を備えている。これらのタンパ検知パターン６１では、導電線（タンパ検知ライン）が波形状に配されている。

また、タッチセンサ基板３４およびセキュリティエリアメイン基板３５の各タンパ検知パターン６１には、タンパ検知スイッチ６２が直列で接続されている。このタンパ検知スイッチ６２は、タッチセンサ基板３４およびセキュリティエリアメイン基板３５に設けられた１対の電極６３と、スイッチ部材６４とで構成されている。

スイッチ部材６４は、タッチセンサ基板３４とセキュリティエリアメイン基板３５との間に挟み込まれるように設けられ、１対の電極６３を導通させる導電部６５と、タッチセンサ基板３４とセキュリティエリアメイン基板３５との間に挟み込まれた組み立て状態における弾性変形による付勢力により導電部６５を電極６３に接触させた導通状態に保持する弾性変形部６６とを有している。

したがって、タッチセンサ基板３４やセキュリティエリアメイン基板３５を取り外す攻撃行為が行われると、タンパ検知スイッチ６２がオフとなる、すなわち電極６３の導通状態が解除されることで、タンパを検知することができる。

各タンパ検知パターン６１は、タンパ検知部６８に接続されている。このタンパ検知部６８は、プロセッサで構成され、複数の入出力ポートが設けられており、タンパ検知時には、出力ポートからタンパ検知パターン６１にハイ／ロー信号を出力し、これに応じた信号がタンパ検知パターン６１から入力ポートに入力され、この出力信号および入力信号に基づいて、タンパ検知パターン６１の断線や、タンパ検知スイッチ６２のオフ状態を検出する。

したがって、タッチセンサ基板３４やセキュリティエリアメイン基板３５に穴を開けたり、フレーム部材３６に貼り付けられたセキュリティシート５５を破断したり、モジュールケース３７に貼り付けられるセキュリティシート５８に穴を開けたりするなどの攻撃行為により、タンパ検知パターン６１に断線が発生すると、タンパ検知部６８においてタンパが検知される。また、タッチセンサ基板３４やセキュリティエリアメイン基板３５を取り外して第１のセキュリティエリアが開封されると、タンパ検知スイッチ６２がオフとなり、タンパ検知パターン６１に断線が発生した場合と同様に、タンパ検知部６８においてタンパが検知される。

ここで、セキュリティシート５５，５８では、タンパを確実に検知するために、タンパ検知パターン６１が形成される可撓性のシート材が、通常のフレキシブル基板に用いられるものより脆弱で、比較的小さな外力で破断するように形成されている。このため、組み立て時にシートが変形しやすく、このシートの変形により、タンパ検知パターン６１が断線の寸前の状態となっている場合もある。この場合、出荷時には、タンパ検知パターン６１に断線が発生していない正常な状態でも、ユーザが使用するうちに断線が発生して、タンパの誤検知が発生することが想定される。

また、タンパ検知スイッチ６２では、弾性変形部６６の弾性変形による付勢力により導電部６５を電極６３に接触させた導通状態に保持するようにしており、弾性変形部６６の寸法が正規の値より小さく形成されていると、弾性変形部６６の付勢力が不足しているため、出荷時には、導電部６５が電極６３に接触した導通状態に保持された正常な状態でも、ユーザが使用するうちに弾性変形部６６がわずかに劣化しただけで導通状態が解除されて、タンパの誤検知が発生することが想定される。

そこで、本実施形態では、タンパ検知パターン６１が断線の寸前の状態にあることを、タンパ検知パターン６１の異常の予兆として検知する。また、タンパ検知スイッチ６２の導通状態が解除される寸前の状態にあることを、タンパ検知スイッチ６２の異常の予兆として検知する。

次に、図６に示したタンパ検知パターン６１の異常およびその予兆を検知するための構成について説明する。図７は、タンパ検知パターン６１の異常およびその予兆を検知するための構成を示す回路図である。

タンパ検知部６８は、プロセッサで構成され、複数の入出力ポートを備えている。この入出力ポートは、いわゆる汎用入出力ポート（ＧＰＩＯ：General Purpose Input/Output）であり、出力、入力、アナログ入力、オープンのいずれかに切り替えることができる。

タンパ検知パターン６１は、前記のように、複数の系統（ここでは４系統）が設けられており、タンパ検知部６８は、各系統のタンパ検知パターン６１における異常をタンパとして検知するために、タンパ検知パターン６１に対して異常検知用の信号の出力および入力を行う２つの入出力ポートを系統ごとに備えている。すなわち、各系統のタンパ検知パターン６１の２つの入出力ライン７２がそれぞれ、タンパ検知部６８の入出力ポートに接続されている。

そして、各系統の２つの入出力ポートの一方が、異常検知用の信号をタンパ検知パターン６１に出力する出力ポートとなり、他方が、異常検知用の信号に応じてタンパ検知パターン６１から信号が入力される入力ポートとなり、この入力ポートに入力される信号に基づいて、タンパ検知パターン６１における異常、すなわちタンパ検知パターン６１の断線を検知する。なお、この異常検知時の動作については図８を用いて後に詳しく説明する。

また、タンパ検知部６８は、タンパ検知パターン６１の抵抗値に対応する電圧を抵抗分圧により測定し、この電圧の測定値に基づいて、タンパ検知パターン６１が断線の寸前の状態であることを、タンパ検知パターンにおける異常の予兆として検知するようにしており、タンパ検知パターン６１の抵抗値に対応する電圧を抵抗分圧により測定するための抵抗分圧部７１がタンパ検知パターン６１とタンパ検知部６８との間に設けられている。

この抵抗分圧部７１では、各系統のタンパ検知パターン６１とタンパ検知部６８とを結ぶ２つの入出力ライン７２の一方に分圧用抵抗７３が設けられている。また、異なる系統のタンパ検知パターン６１の入出力ライン７２を相互に接続する橋絡ライン７４が設けられている。

タンパ検知パターン６１における異常の予兆を検知する際には、検知対象となる系統の入出力ポートと、橋絡ライン７４を介して接続された別系統の入出力ポートとを用いて、異常予兆検知用の信号として高電圧の信号および低電圧の信号をタンパ検知部６８からタンパ検知パターン６１に出力するとともに、これに応じてタンパ検知パターン６１から出力される信号をタンパ検知部６８に入力させる。

すなわち、検知対象となる系統の２つの入出力ポートのうちの一方が、高電圧の信号をタンパ検知パターン６１に出力する出力ポートとなり、他方が、高電圧の信号に応じてタンパ検知パターン６１から信号が入力されるアナログ入力ポートとなり、橋絡ライン７４を介して接続された別系統の２つの入出力ポートのうち、分圧用抵抗７３が設けられた入出力ライン７２に接続された一方の入出力ポートが、低電圧の信号をタンパ検知パターン６１に出力する出力ポートとなる。

そして、アナログ入力ポートに入力される信号に基づいて、タンパ検知パターン６１の抵抗値に対応する電圧を測定し、この電圧の測定値に基づいて、タンパ検知パターン６１における異常の予兆、すなわちタンパ検知パターン６１が断線の寸前の状態であることを検知する。なお、この異常予兆検知時の動作については図９を用いて後に詳しく説明する。

なお、タンパ検知パターン６１の異常を検知する動作は、出荷後に、常時実行される。一方、タンパ検知パターン６１の異常の予兆を検知する動作は、出荷検査時に実行される。

次に、図７に示したタンパ検知パターン６１の異常を検知する動作について説明する。図８は、異常検知時におけるタンパ検知部６８の入出力ポートの状態を示す説明図であり、図８（Ａ）〜図８（Ｄ）に、４系統のタンパ検知パターン６１を検知対象とした場合をそれぞれ示す。

タンパ検知パターン６１の異常を検知する場合には、タンパ検知部６８の複数の入出力ポートのうち、検知対象となる系統の２つの入出力ポートの一方を出力ポート（ＯＵＴ）とし、他方を入力ポート（ＩＮ）とする。そして、出力ポートから異常検知用の信号（ハイ／ロー信号）を出力し、この信号に応じてタンパ検知パターン６１から出力される信号を入力ポートに入力させる。

このとき、検知対象となる系統に橋絡ライン７４を介して接続された別系統の入出力ポートは、オープン、すなわちハイインピーダンスとなっており、検知対象となる系統の信号に影響を与えない。

なお、図８（Ａ）〜図８（Ｄ）では、４系統のタンパ検知パターン６１のそれぞれを検知対象とした場合を示しているが、橋絡ライン７４で接続されていない別系統のタンパ検知パターン６１については、異常検知を同時に実施することができる。また、出力ポートと入力ポートとは図示した例と逆に設定することも可能である。

次に、図７に示したタンパ検知パターン６１の異常の予兆を検知する動作について説明する。図９は、異常予兆検知時におけるタンパ検知部６８の入出力ポートの状態を示す説明図であり、図９（Ａ）〜図９（Ｄ）に、４系統のタンパ検知パターン６１を検知対象とした場合をそれぞれ示す。

タンパ検知パターン６１における異常の予兆を検知する場合には、タンパ検知部６８の複数の入出力ポートのうち、検知対象となる系統の２つの入出力ポートの一方をハイ側の出力ポート（ＯＵＴ）とし、他方をアナログ入力ポート（ＡＤ）とする。また、検知対象となる系統に橋絡ラインを介して接続された別系統の２つの入出力ポートのうち、分圧用抵抗７３が接続された一方の入出力ポートをロー側の出力ポート（ＯＵＴ）とし、他方の入出力ポートをオープン、すなわちハイインピーダンスとする。そして、異常予兆検知用の信号として、ハイ側の出力ポートから所定の電圧（例えば３Ｖ）の信号を出力し、ロー側の出力ポートから接地電圧（０Ｖ）の信号を出力し、アナログ入力ポートに入力される信号の電圧を測定する。

このようにして抵抗分圧によりタンパ検知パターン６１の抵抗値に対応する電圧が測定されると、その電圧の測定値を所定のしきい値と比較して、異常の予兆の有無を判定する。タンパ検知パターン６１に異常の予兆があると、タンパ検知パターン６１の抵抗値が大きくなり、これに応じて電圧の測定値が低くなり、電圧の測定値がしきい値より低くなると、異常の予兆があるものと判定する。

例えば、ハイ側の出力ポートの電圧を３Ｖとし、ロー側の出力ポートの電圧を０Ｖとし、分圧用抵抗７３の抵抗値Ｒを１．２ｋΩとして、タンパ検知パターンの抵抗値Ｒｘが６００Ωであると、電圧の測定値は２Ｖとなる。一方、タンパ検知パターン６１に異常の予兆がある、すなわち、タンパ検知パターン６１が断線の寸前の状態となり、例えばタンパ検知パターン６１の抵抗値Ｒｘが２ｋΩとなると、電圧の測定値は１Ｖ近くまで低下する。ここで、例えば、Ｒｘ＞１００Ωとなる場合に異常の予兆があるものと判定するようにすると、電圧のしきい値は２．８Ｖとなり、電圧の測定値が２．８Ｖより低くなると、異常の予兆があるものと判定する。

なお、図９（Ａ）〜図９（Ｄ）では、４系統のタンパ検知パターン６１のそれぞれを検知対象とした場合を示しているが、橋絡ライン７４で接続されていない別系統のタンパ検知パターン６１については、異常予兆検知を同時に実施することができる。

また、ハイ側の出力ポートとロー側の出力ポートとを図示する例とは逆に設定することも可能である。また、アナログ入力ポートとロー側の出力ポートとを図示する例とは逆に設定することも可能である。また、必ずしもロー側の出力ポートは接地電圧（０Ｖ）とする必要はなく、ハイ側の出力ポートとロー側の出力ポートとで異なる電圧の信号を出力すればよい。

次に、図１に示した取引端末装置１の概略構成について説明する。図１０は、取引端末装置１の概略構成を示す機能ブロック図である。

取引端末装置１には、主制御部８１と、表示制御部８２と、電源制御部８３と、が設けられている。これらの制御部８１〜８３は、プロセッサで構成され、メイン基板３１およびサブ基板３２に実装される（図３参照）。主制御部８１により、表示入力パネル４の液晶表示パネル８４が表示制御部８２を介して制御され、また、表示入力パネル４のタッチパネル８５が制御される。また、主制御部８１により、通信モジュール２２、カメラ８、およびスピーカ９が制御される。また、主制御部８１により、バッテリー２３による給電を制御する電源制御部８３が制御される。

キーパッド部５では、テンキーなどの入力キー４１の操作が、タッチセンサ基板３４（図３参照）に設けられたタッチセンサ９３で検出され、また、電源キー４２の操作が電源キースイッチ９４で検出される。この電源キースイッチ９４で電源キー４２の操作が検出されると、主制御部８１からの指示に応じて電源制御部８３においてタッチセンサ９３への給電が開始され、入力キー４１による入力が可能になる。

セキュリティモジュール３８には、セキュリティエリア制御部９１と、フラッシュメモリ９２と、タンパ検知部６８と、が設けられている。セキュリティエリア制御部９１およびタンパ検知部６８は、プロセッサで構成され、セキュリティエリアメイン基板３５（図３参照）に実装される。フラッシュメモリ９２は、暗証番号や暗号鍵などの機密情報を記憶するものであり、セキュリティエリアメイン基板３５に実装される。

セキュリティエリア制御部９１では、磁気カードリーダ１３、接触型ＩＣカードリーダ１４、およびタッチセンサ９３の制御が行われる。このセキュリティエリア制御部９１は、主制御部８１に接続されており、磁気カードリーダ１３、接触型ＩＣカードリーダ１４、およびタッチセンサ９３で取得した情報が、セキュリティエリア制御部９１から主制御部８１に送られ、その情報が主制御部８１からの指示に応じて通信モジュール２２から決済処理システムのサーバに送信される。

タンパ検知部６８では、タンパ検知パターン６１に対する出力信号および入力信号に基づいて、タンパ検知パターンの異常、すなわちタンパ検知パターンの断線やショートを検知する。このタンパ検知部６８においてタンパ検知パターンの異常が検知されると、セキュリティエリア制御部９１において、フラッシュメモリ９２に保持された暗号鍵などの機密情報を消去し、また、タンパが検知されたことを表す履歴情報をフラッシュメモリ９２に記憶させる。

また、タンパ検知部６８では、タンパ検知パターン６１の抵抗値に対応する電圧を抵抗分圧により測定し、この電圧の測定値に基づいて、タンパ検知パターン６１における異常の予兆、すなわち、タンパ検知パターン６１が断線の寸前の状態にあることを検知する。このタンパ検知部６８においてタンパ検知パターン６１の異常の予兆が検知されると、異常の予兆が検知されたことをユーザに通知するため、セキュリティエリア制御部９１から主制御部８１に、異常の予兆が検知されたことを表す信号を送り、主制御部８１および表示制御部８２において、異常の予兆があることの表示や、装置の交換や修理を促す表示を表示入力パネル４に行わせる。

なお、図７〜図１０では、図６に示したタンパ検知スイッチ６２を省略したが、前記の手順により、タンパ検知パターン６１における異常の予兆を検知すると同時に、タンパ検知スイッチ６２における異常の予兆も検知することができる。すなわち、タンパ検知スイッチ６２の弾性変形部６６の寸法が正規の値より小さく形成されていると、弾性変形部６６による付勢力が不足して、導電部６５と電極６３との接触が不十分となり、導電部６５が電極６３に接触した導通状態での抵抗値が大きくなる。このため、前記のように、抵抗値に対応する電圧を抵抗分圧により測定することで、タンパ検知スイッチ６２における異常の予兆を検知することができる。

次に、タンパ検知パターン６１の異常およびその予兆を検知するための構成の変形例について説明する。図１１および図１２は、タンパ検知パターン６１の異常およびその予兆を検知するための構成の変形例を示す回路図である。

この変形例では、１系統のタンパ検知パターン６１ｖにタンパ検知ライン（導電線）が２重に設けられる、すなわち、２本のタンパ検知ライン１０１ｖａ，１０１ｖｂが併走するように設けられている。この場合、本実施形態では、４系統のタンパ検知パターン６１ｖ，６１ｗ，・・・があるため、タンパ検知ラインは合計で８本となる。

橋絡ライン７４ｖ，７４ｗは、それぞれ、タンパ検知パターン６１ｖの入出力ライン７２ｖａ，７２ｖｂから、別系統のタンパ検知パターン６１ｗの入出力ライン７２ｗａ，７２ｗｂに接続されている。

図１１に示すように、タンパ検知パターン６１ｖの異常を検知する場合には、タンパ検知部６８の複数の入出力ポートのうち、検知対象となるタンパ検知ライン１０１ｖａに接続された２つの入出力ポートの一方を出力ポート（ＯＵＴ）とし、他方を入力ポート（ＩＮ）とする。そして、同一系統のもう１つのタンパ検知ライン１０１ｖｂに接続された２つの入出力ポートを入力ポート（ＩＮ）とする。

ここで、穴を開けるなどの攻撃行為により、併走する２本のタンパ検知ライン１０１ｖａ，１０１ｖｂにショートが発生すると、検知対象となるタンパ検知ライン１０１ｖａに接続された出力ポートがハイのときに、同一系統のもう１つのタンパ検知ライン１０１ｖｂに接続された入力ポートがハイとなる。これにより、タンパ検知部６８において、タンパ検知ライン１０１ｖａ，１０１ｖｂのショートを検知することができる。

図１２に示すように、タンパ検知ライン１０１ｖａ，１０１ｖｂは橋絡ライン７４ｖ又は７４ｗでそれぞれ別系統のタンパ検知ライン１０１ｗａ，１０１ｗｂに接続され、同一系統の２つのタンパ検知ライン１０１ｖａ，１０１ｖｂ同士は橋絡ライン７４ｖ，７４ｗで接続されていない。このため、タンパ検知パターンにおける異常の予兆を検知する場合には、検知対象とする系統の２つのタンパ検知ライン１０１ｖａと１０１ｖｂの異常予兆検知を同時に実施することができる。

なお、以上の異常予兆検知に関する構成及び動作については、タンパ検知ライン１０１ｖａ，１０１ｖｂとは別系統のタンパ検知ラインを検知対象とした場合においても同様である。例えば、２つのタンパ検知ライン１０１ｗａ，１０１ｗｂの異常予兆検知についても、上記と同様に、同時に実施することができる。

（第２実施形態）
次に、第２実施形態について説明する。図１３は、第２実施形態に係るタンパ検知パターン６１の異常およびその予兆を検知するための構成を示す回路図である。

第１実施形態では、図７に示したように、検知対象となるタンパ検知パターン６１とは異なる別系統のタンパ検知パターン６１に接続された入出力ポートを利用して、検知対象となるタンパ検知パターン６１の抵抗値に対応する電圧を測定するようにしたが、この第２実施形態では、タンパ検知部６８に異常予兆検知専用の入出力ポートを設けるようにしている。

すなわち、図１３に示すように、タンパ検知パターン６１の入出力ライン７２に一端が接続された分圧用抵抗１１１の他端の接地をオン／オフするスイッチング素子（ＦＥＴ）１１２を設けて、このスイッチング素子１１２を、タンパ検知部６８の異常予兆検知専用の入出力ポートに接続して、スイッチング素子１１２のオン／オフを切り替えるようにしている。

異常検知時には、検知対象となるタンパ検知パターン６１に接続された２つの入出力ポートを出力ポートおよび入力ポートとし、スイッチング素子１１２をオフとする。そして、出力ポートから異常検知用の信号（ハイ／ロー信号）を出力し、この信号に応じてタンパ検知パターン６１から出力される信号を入力ポートに入力させる。これにより、タンパ検知パターン６１の異常を検知することができ、また、分圧用抵抗１１１が、検知対象となるタンパ検知パターン６１の信号に影響を与えずに済む。

一方、異常予兆検知時には、検知対象となるタンパ検知パターン６１に接続された２つの入出力ポートの一方を出力ポート（ＯＵＴ）とし、他方をアナログ入力ポート（ＡＤ）とし、スイッチング素子１１２をオンとする。そして、出力ポートから所定の電圧の信号を出力し、アナログ入力ポートに入力される信号の電圧を測定する。これにより、検知対象となるタンパ検知パターン６１の抵抗値に対応する電圧を抵抗分圧により測定することができ、電圧の測定値を所定のしきい値と比較することで、異常の予兆を検知することができる。

このような構成では、タンパ検知パターンの系統ごとに、分圧用抵抗のほかにスイッチング素子１１２が設けられ、さらに、スイッチング素子１１２を駆動するために異常予兆検知専用の入出力ポートが確保される。

一方、第１実施形態では、図７に示したように、分圧用抵抗７３のほかに橋絡ライン７４を設けるだけで済み、さらに、検知対象となるタンパ検知パターン６１とは別系統のタンパ検知パターン６１の入出力ポートを利用するため、異常予兆検知専用の入出力ポートも確保する必要がなく、構成を簡素化することができる。

以上、本発明を特定の実施形態に基づいて説明したが、これらの実施形態はあくまでも例示であって、本発明はこれらの実施形態によって限定されるものではない。また、上記実施形態に示した本発明に係る取引端末装置およびタンパ検知装置の各構成要素は、必ずしも全てが必須ではなく、少なくとも本発明の範囲を逸脱しない限りにおいて適宜取捨選択することが可能である。

例えば、前記の実施形態では、取引端末装置の一例として、磁気カードや接触型ＩＣカードなどを用いてキャッシュレスで決済を行うモバイル決済端末について説明したが、本発明における取引端末装置は、このような決済の用途に限定されるものではない。また、本発明における取引端末装置は、このような携帯型のものに限定されるものではなく、据え置き型のものであってもよい。

また、前記の実施形態では、タンパ検知部においてタンパ検知パターンの異常の予兆が検知されると、異常の予兆があることの表示や、装置の交換や修理を促す表示を表示入力パネルに行わせるようにしたが、スピーカやその他の出力手段を用いて、アラームなどとしてユーザに通知するようにしてもよい。また、取引端末装置からサポートセンタなどに通知するようにしてもよく、いずれにしても、タンパの誤検知により装置が使用できなくなる前に装置の交換や修理を実施することができるように、適当な人物に通知すればよい。

また、前記の実施形態では、タンパ検知用導電体（タンパ検知パターンなど）の抵抗値に対応する電圧を測定して、この電圧の測定値に基づいて、タンパ検知用導電体における異常の予兆を検知するようにしたが、本発明はこれに限定されるものではなく、例えばタンパ検知用導電体の静電容量を測定して、この静電容量の測定値に基づいて、タンパ検知用導電体における異常の予兆を検知するようにしてもよい。

また、前記の実施形態では、各系統のタンパ検知用導電体（タンパ検知パターンなど）とタンパ検知部とを結ぶ２つの入出力ラインの一方に分圧用抵抗を設けたが、２つの入出力ラインの両方に分圧用抵抗を設けることも可能である。

本発明に係る取引端末装置およびタンパ検知装置は、タンパの誤検知により装置を使用することができなくなる不具合を回避することができる効果を有し、タンパ検知用導電体の異常によりタンパを検知する取引端末装置およびタンパ検知装置などとして有用である。

１取引端末装置
６１タンパ検知パターン
６２タンパ検知スイッチ
６３電極
６４スイッチ部材
６５導電部
６６弾性変形部
６８タンパ検知部（タンパ検知装置）
７１抵抗分圧部
７２入出力ライン
７３分圧用抵抗
７４橋絡ライン
１０１タンパ検知ライン
１１１分圧用抵抗
１１２スイッチング素子

Claims

タンパ検知用導電体の異常によりタンパを検知する取引端末装置であって、
前記タンパ検知用導電体と、
このタンパ検知用導電体における異常によりタンパを検知するタンパ検知部と、
を備え、
前記タンパ検知部は、前記タンパ検知用導電体に異常検知用の信号を出力して、前記タンパ検知用導電体における異常を検知するとともに、前記タンパ検知用導電体に異常予兆検知用の信号を出力して、前記タンパ検知用導電体における異常の予兆を検知し、
このタンパ検知部での異常の予兆の検知結果に関する情報を外部に出力することを特徴とする取引端末装置。
さらに、前記タンパ検知用導電体に接続された分圧用抵抗を備え、
前記タンパ検知部は、前記タンパ検知用導電体の抵抗値に対応する電圧を抵抗分圧により測定し、この電圧の測定値に基づいて、前記タンパ検知用導電体における異常の予兆を検知することを特徴とする請求項１に記載の取引端末装置。
前記タンパ検知用導電体は、複数系統設けられ、
前記タンパ検知部は、各系統の前記タンパ検知用導電体における異常を検知するために、前記タンパ検知用導電体に対して前記異常検知用の信号の出力および入力を行う２つの入出力ポートを系統ごとに備え、
前記分圧用抵抗は、各系統の前記タンパ検知用導電体と前記タンパ検知部とを結ぶ２つの入出力ラインの少なくとも一方に設けられ、
異なる系統の前記タンパ検知用導電体の入出力ラインを相互に接続する橋絡ラインが設けられ、
検知対象となる系統の前記入出力ポートと、前記橋絡ラインを介して接続された別系統の前記入出力ポートとを用いて、前記異常予兆検知用の信号として高電圧の信号および低電圧の信号を前記タンパ検知部から前記タンパ検知用導電体に出力するとともに、これに応じて前記タンパ検知用導電体から出力される信号を前記タンパ検知部に入力させることを特徴とする請求項２に記載の取引端末装置。
前記タンパ検知用導電体は、波形状に導電線を配したタンパ検知パターンであることを特徴とする請求項１から請求項３のいずれかに記載の取引端末装置。
前記タンパ検知用導電体は、１対の電極と、この１対の電極を導通させる導電部とにより構成され、
前記導電部は、２つの部材の間に挟み込まれた組み立て状態における弾性変形部の弾性変形による付勢力により、前記電極に接触した導通状態に保持されることを特徴とする請求項１から請求項４のいずれかに記載の取引端末装置。
タンパ検知用導電体の異常によりタンパを検知するタンパ検知装置であって、
前記タンパ検知用導電体に異常検知用の信号を出力して、前記タンパ検知用導電体における異常を検知するとともに、前記タンパ検知用導電体に異常予兆検知用の信号を出力して、前記タンパ検知用導電体における異常の予兆を検知することを特徴とするタンパ検知装置。