JP7238689B2 - 情報処理装置 - Google Patents

Description

本発明は、情報処理装置に関する。

情報処理技術の発展により、現在、様々な取引が情報処理装置を用いて行われている。このような情報処理装置は、筐体内にプリント基板が設けられ、かかるプリント基板には、暗号鍵や個人情報などの秘匿情報や、プログラムコードなどの機密情報が記録された記録媒体が搭載されている。近年、このような機密情報を保持する情報処理装置を破壊、分解して記録媒体からデータを盗んだり、記録媒体に記録されているデータを書き換えたりといった不正行為が問題となっている。

このような不正行為に対して、下記特許文献１では、筐体の破壊や開放などのタンパ行為を監視し、タンパ行為が検出された場合に、記憶部のデータを消去させる技術が開示されている。具体的には、下記特許文献１に記載の発明は、筐体のほぼ全面を覆うよう電線を配線することで、筐体に穴を開けるなどの破壊行為が行われた場合、電線の一部がほぼ確実に断線されることとなる。そして電線の断線を検出した場合、制御部は、メモリに記憶されているデータを消去する。

また、下記特許文献２では、暗号鍵や個人情報などの秘匿情報が記憶されるメモリと、物理的不正行為が行われたか否かを検知するタンパ検知回路とを、対向する基板間に設けることで、セキュア領域のレイアウトの自由度を高くし、また、組み立てが容易でありながらセキュア領域を小型化する技術が開示されている。各基板には、基板配線パターンが設けられ、基板がフレーム部材から離間すると基板配線パターンの電気回路が開くよう構成され、各基板と（基板接続回路を介して）電気的に接続するタンパ検知回路は、離間によるセキュア領域の閉塞解除を検知することが可能である。

また、下記特許文献３では、タンパ検知用導電体が異常の寸前の状態にあることを異常の予兆として検知することで、タンパの誤検知を回避する技術が開示されている。特許文献３に記載のタンパ検知部は、複数の入出力ポートを有し、タンパ検知時には、出力ポートからタンパ検知パターン（タッチセンサ基板やセキュリティエリア基板などに波形に配置した導電線）に信号を出力し、これに応じた信号が入力ポートに入力され、この出力信号および入力信号に基づいてタンパ検知パターンの断線を検出する。したがって、タッチセンサ基板やセキュリティエリア基板に穴を開けたり、セキュリティシートを破断したりするなどの攻撃行為により、タンパ検知パターンに断線が発生すると、タンパ検知部においてタンパが検知される。

特開２００８－３３５９３号公報 特開２０１５－１９１５３６号公報 特開２０１７－１１７０５７号公報

しかしながら、電気回路の開閉や電線の断線の検出、すなわち、単純な導通と絶縁の状態変化では、正常な状態における導通を復元された場合には異常が検出できないという問題がある。

そこで、本発明は、上記問題に鑑みてなされたものであり、本発明の目的とするところは、正常な接続状態であるか否かを判定することで耐タンパ性を向上させることが可能な、新規かつ改良された装置を提供することにある。

上記課題を解決するために、本発明のある観点によれば、情報処理装置に固定された基板と、前記基板に固定された複数の端子と、前記複数の端子間をそれぞれ接続する複数のリード線と、前記基板を覆うカバーと、前記情報処理装置の動作を制御する制御部と、を備え、前記カバーには、前記複数のリード線が固定され、前記複数のリード線は、前記カバーに固定されていることで、前記カバーが開放されると前記複数の端子から前記複数のリード線が外れるよう、前記複数の端子にそれぞれ着脱可能に接続され、前記制御部は、前記複数のリード線による前記複数の端子間の接続状態が予め設定された接続状態と一致するか否かを判定し、不一致の場合は正常な動作と異なる動作を行うよう制御する、情報処理装置が提供される。

前記制御部は、前記正常な動作と異なる動作として、前記情報処理装置の記憶部に記憶されたデータを消去する制御を行ってもよい。

前記基板には、信号の出力および入力を行う一組の入出力ポートを複数有するタンパ検知部がさらに固定され、前記端子は、前記入出力ポートとそれぞれ電気的に接続し、前記制御部は、前記タンパ検知部から、前記端子間の接続状態として前記入出力ポート間の接続状態を取得してもよい。

前記カバーは、前記基板に固定された、前記制御部、前記記憶部、前記タンパ検知部、前記複数の端子、および前記複数のリード線を覆うよう前記基板に設置されてもよい。

前記複数の端子は、複数のピンを有するピンヘッダーであってもよい。

前記接続状態は、前記複数の端子間の導通状態であり、前記制御部は、予め設定された前記複数の端子間が導通していない場合、前記カバーが開放されたと判断し、前記正常な動作と異なる動作を行うよう制御してもよい。

前記制御部は、前記正常な動作と異なる動作として、所定の通知先に不正行為の通報を行うよう制御してもよい。

以上説明したように本発明によれば、正常な接続状態であるか否かを判定することで耐タンパ性を向上させることが可能である。

本発明の実施形態による情報処理装置の構成の一例を示すブロック図である。 本実施形態によるタンパ検知部の概略回路図である。 本実施形態によるタンパ検知部の外観構成例について説明する図である。 本実施形態によるカバーが開放されてリード線がピンヘッダーから抜けた状態となることを説明する図である。 本実施形態による情報処理装置の動作処理の全体の流れの一例を示すフローチャートである。

以下に添付図面を参照しながら、本発明の好適な実施の形態について詳細に説明する。なお、本明細書及び図面において、実質的に同一の機能構成を有する構成要素については、同一の符号を付することにより重複説明を省略する。

＜１．情報処理装置の構成例＞
図１は、本発明の実施形態による情報処理装置１の構成の一例を示すブロック図である。図１に示すように、本発明の実施形態による情報処理装置１は、機密情報を保持する記憶部１２０と、タンパ検知部１１０と、タンパ検知部１１０の検知結果に基づいて接続状態の正常／異常を判定し、異常状態の場合は記憶部１２０のデータを消去するなどの所定の動作を行うよう制御する制御部１００と、を有する。以下、各構成について具体的に説明する。

（制御部１００）
制御部１００は、例えばＣＰＵ（Ｃｅｎｔｒａｌ Ｐｒｏｃｅｓｓｉｎｇ Ｕｎｉｔ）により構成され、情報処理装置１の各機能部を制御する。本実施形態による制御部１００は、タンパ検知部１１０に設けられた内部メモリ１１１から、後述するリード線１１３（導電線の一例）の接続状態（具体的には、リード線１１３により電子的に接続される複数のピン間の導通状態、さらには各ピンに電子的に接続されるＩ／Ｏポート間の導通状態とも言える）を読み出し、正常な接続状態であるか否かを判定する。正常な接続状態は予め設定されており、制御部１００は、読み出した接続状態が、予め設定された接続状態と一致するか否かに基づいて、正常な接続状態であるか否かを判定し得る。予め設定された接続状態の情報は、例えば記憶部１２０に格納されている。

また、制御部１００は、正常な接続状態ではない（すなわち異常状態である）と判定した場合、正常な動作と異なる動作を行い、情報処理装置１に対する不正行為を防止する。例えば、制御部１００は、記憶部１２０に保持されているデータを消去する制御を行う。記憶部１２０には、暗号鍵や個人情報などの秘匿情報や、プログラムコードなどの機密情報が記録されており、制御部１００は、異常検知時にこれらの機密情報を消去することで、機密情報の漏洩や改変等の不正行為を防止することができる。また、制御部１００は、異常検知時における、正常な動作とは異なる動作として、機密情報の消去の他、さらにデバイスを動作不能状態にしたり、不正行為が図られたことを所定の通知先に通知したり（緊急通報）、表示部に表示したりしてもよい。

なお、制御部１００は、タンパ検知部１１０により、導電線の導通および絶縁といった状態変化からタンパが検知された場合（例えば導電線が断線された場合や導電線が外れている場合など）も、異常状態であると判定し、正常な動作と異なる動作を行うようにしてもよい。

（記憶部１２０）
記憶部１２０は、例えばＲＯＭ（Ｒｅａｄ Ｏｎｌｙ Ｍｅｍｏｒｙ）及びＲＡＭ（Ｒａｎｄｏｍ Ａｃｃｅｓｓ Ｍｅｍｏｒｙ）等から実現され、情報処理装置１の動作を制御するための制御プログラムや、秘匿情報、プログラムコードなど、保護すべき機密情報が記憶されている。

（タンパ検知部１１０）
タンパ検知部１１０は、導電線の接続状態を検知し、導電線の導通と絶縁といった状態変化から、情報処理装置１に対する物理的な不正行為（いわゆるタンパ）を検知することが可能である。また、タンパ検知部１１０は、後述するリード線１１３（導電線の一例）の接続状態を検知し、かかる検知結果を内部メモリ１１１に記録する機能を有する。内部メモリ１１１は、例えばレジスタにより実現される。タンパ検知部１１０は、情報処理装置１の起動時（電源投入時）や、所定時間毎に、導電線の接続状態を検知し、最新の検知結果をタンパ検知部１１０に記憶する（上書き保存してもよい）。内部メモリ１１１に記憶された接続状態のデータは、制御部１００により読み出され、接続状態の正常／異常判定に用いられる。本実施形態によるタンパ検知部１１０の具体的な構成については、図２～図４を用いて後述する。

以上、本実施形態による情報処理装置１の構成例について説明した。なお、情報処理装置１の構成は図１に示す例に限定されない。例えば、タンパ検知部１１０により検知される接続状態のデータは、内部メモリ１１１に記憶されずに制御部１００に直接出力されてもよい。

また、図１に示すブロック図は、機密情報を保持する記憶部１２０と、タンパ検知部１１０と、異常判定時に記憶部１２０の機密情報を消去するなどの制御を行う制御部１００といった、主に情報処理装置１におけるセキュリティ領域に含まれる構成を図示している。かかるセキュリティ領域を有する情報処理装置１は、様々な装置に対応することが可能である。装置の用途に応じて、情報処理装置１は、さらに表示部（液晶表示パネル、タッチパネルなど）および表示制御部、操作入力部（テンキー、キーボード、タッチセンサなど）、通信部（ネットワーク通信部、無線アンテナなど）、非接触または接触型ＩＣカードリーダ、磁気カードリーダ、カメラ、スピーカー、バッテリーおよび電源制御部などの構成を備える。

＜２．タンパ検知部１１０の構成例＞
次に、本実施形態によるタンパ検知部１１０の回路構成の一例について図２を参照して説明する。図２は、本実施形態によるタンパ検知部１１０の概略回路図である。図２に示すように、タンパ検知部１１０は、複数の入出力端子（以下、Ｉ／Ｏポートと称する）を有し、Ｉ／Ｏポートには、導電線（例えばリード線１１３）が接続されている。Ｉ／Ｏポートおよびリード線１１３はそれぞれ複数設けられ、各リード線１１３は、それぞれ所定のＩ／Ｏポート間を接続する。各リード線１１３がどのＩ／Ｏポート間を接続するかは予め設定されており、（出荷前の）組み立て時に各リード線１１３が所定のＩ／Ｏポートにそれぞれ接続される。

ユーザに使用される際、タンパ検知部１１０は、電源投入時（起動時）や、所定時間毎、また、制御部１００からの制御に従って、所定の出力ポートから信号を出力すると、これに応じた信号が入力ポートに入力され、この出力信号および入力信号に基づいて、導電線の導通や絶縁といった状態を検知し得る。さらに、タンパ検知部１１０は、同出力信号および入力信号に基づいて、各リード線１１３の接続状態を検知し得る。このように導通を確認する際、タンパ検知部１１０は、所定の時間電流を流してもよいし、予め決められたパルス信号を流して、そのパルス信号が確認できた場合に導通しているとしてもよい。パルス信号を利用することにより、消費電力を削減できる。また、タンパ検知部１１０は、予め決められた規則に従って、Ｉ／Ｏポート間の導通を確認する。かかる予め決められた規則に従った確認については、ハードウェア回路によって実現されてもよいし、ＰＬＤ（Ｐｒｏｇｒａｍｍａｂｌｅ Ｌｏｇｉｃ Ｄｅｖｉｃｅ）やＦＰＧＡ（Ｆｉｅｌｄ Ｐｒｏｇｒａｍｍａｂｌｅ Ｇａｔｅ Ａｒｒａｙ）といったプログラム可能なデバイスによって制御されてもよい。ＰＬＤやＦＰＧＡを利用することにより、出荷ロットや出荷時期に応じて設定を変えることが可能となる。

各リード線１１３の接続状態とは、各リード線１１３によりどのＩ／Ｏポート間（すなわち、対応するピン間）が接続されているかを示すものである。本実施形態において、リード線１１３は複数あるため、各Ｉ／Ｏポートの接続の組み合わせは、複数検知され得る。例えば図２に示す例では、Ｉ／Ｏポート１とＩ／Ｏポート４が接続され、Ｉ／Ｏポート２とＩ／Ｏポートｎが接続され、さらにＩ／Ｏポート３とＩ／Ｏポートｎ－１が接続されていることが、接続状態として検知される。また、各リード線１１３の識別が可能であれば、どのリード線１１３によってどのＩ／Ｏポートが接続されているかを検知することも可能であり、各リード線１１３の識別結果（どのリード線でどのＩ／Ｏポート間を接続しているか）を接続状態の情報に含み、本実施形態による正常／異常判定に用いてもよい。

続いて、図３を用いて、本実施形態によるタンパ検知部１１０の外観構成例について説明する。本実施形態による情報処理装置１は、筐体内にプリント基板１４０を有し、プリント基板１４０の上面（記憶部１２０やタンパ検知部１１０などの電子部品が搭載されている面、セキュリティ領域）は、プリント基板１４０の構成を隠蔽するためカバー１５０により覆われている。カバー１５０の形状は特に限定しないが、例えば図３に示すように略四角形状の上面部と、上面部と基板との間に位置する４つの側面部とを有する蓋であってもよく、カバー１５０をプリント基板１４０の上面にかぶせてセキュリティ領域を閉塞状態（閉じられた空間）にすることができる。

カバー１５０により覆われた基板上には、制御部１００（ＣＰＵなど）、耐タンパ機構（タンパ検知部１１０と、後述するピンヘッダー１１５およびリード線１１３など）、および記憶部１２０（不揮発性メモリなど）が少なくとも実装されている。カバー１５０は、プリント基板１４０の構成を隠蔽する他、ＣＰＵのヒートシンクとしても機能させてもよい。

ここで、図３では、特にタンパ検知部１１０の実装状態（耐タンパ機構の具体例）を図示する。タンパ検知部１１０のＩ／Ｏポート間は、図３に示すように、例えばプリント基板１４０に形成されたパターン１１６と、ピンヘッダー１１５と、リード線１１３（ジャンパー線）とを介して接続される。

ピンヘッダー１１５には複数のピン（端子）が設けられており、リード線１１３の両コネクタ（端子）が各々所定のピンに着脱可能に電子的に取り付けられ、各ピン間を接続する。また、ピンヘッダー１１５の各ピンは、パターン１１６によりタンパ検知部１１０の各Ｉ／Ｏポートに電子的に接続されている。これにより、リード線１１３の両端子を各々所定のピンに取り付けることで、所定のＩ／Ｏポート間を接続することが可能となる。

なお、ピン数ｍは、Ｉ／Ｏポート数ｎと同数とし、全てのピンがパターン１１６によりＩ／Ｏポートに電子的に接続されるようにしてもよいし、一部のピンのみがパターン１１６によりＩ／Ｏポートに接続されるようにしてもよい。また、ピン数ｍとＩ／Ｏポート数ｎが異なる数であってもよい。また、ピンとＩ／Ｏポートの間には、電気的に接続しない（絶縁させる）ダミーパターンを、１または複数形成してもよい。

また、図３に示すリード線１１３のコネクタとピンヘッダー１１５は、リード線１１３をＩ／Ｏポートに着脱可能に電子的に接続する接続部の一例であって、接続部に用いる電子部品や形状は、図３に示す例に限定されない。リード線１１３とＩ／Ｏポートとの接続部は、リード線１１３が着脱可能に電子的に接続するものであればよい。

さらに、リード線１１３は、図４に示すように、少なくとも一部がカバー１５０に固定されている。リード線１１３がカバー１５０に固定される強度（固定部の強度）は、リード線１１３とピンヘッダー１１５の接続強度より強いものである。これにより、図４に示すように、カバー１５０が開放されるとカバー１５０に固定された全てのリード線１１３が引っ張られてピンヘッダー１１５から抜けることとなる。

各リード線１１３を取り付けるべきピンは予め設定されているが（すなわち、接続されるべきＩ／Ｏポート間が予め規定されている）、第三者による不正行為でカバー１５０が開放されてリード線１１３が抜けた場合、第三者は各リード線１１３をどのピンに接続すべきか分からないため、正常な接続状態に復元することは困難である。このため、本実施形態による制御部１００は、リード線１１３によりＩ／Ｏポート間が導通されていても、その接続状態が予め設定された接続状態（すなわち、正常な状態）と異なる場合（すなわち、正常な接続状態と一致しない場合）、異常な接続状態であり、カバー１５０の開放、すなわちセキュリティ領域に対する物理的な攻撃行為があったと判断できる。したがって制御部１００は、正常な動作と異なる動作、すなわち上述したような機密情報の消去やデバイスを動作不能状態とする等の制御を行うことで、不正行為に対抗し、耐タンパ性を向上させることを可能とする。

復元の困難性は、ピン数とリード線１１３の数に応じて決定されるが、これらの数は特に限定せず、正常な接続を復元できる確率が低いほど好ましいと言える。例えばピンヘッダー１１５のピン数をｍ、リード線１１３の数をｒとした場合、正常な接続を復元できる確率は、下記式１の通りである。

（式１）
｛２ｒ！×（ｍ－２ｒ）！｝／ｍ！

上記式１において、例えば、ｍ＝１０、ｒ＝２の場合、正常な接続を復元できる確率は０．０７９４％と極めて低い値となる。

また、本実施形態によるタンパ検知部１１０は、さらにダミーの（電気的に接続しない）リード線もピンに接続する構成としてもよい。また、ダミーのリード線によりピンヘッダー１１５の一部または全部（正規のリード線１１３が取り付けられるピン以外のすべてのピン）を埋めてもよい。また、ピンヘッダー１１５の一部または全部に正規の（電気的に接続する）リード線１１３を接続し、タンパ検知部１１０が所定の（予め設定された）Ｉ／Ｏポートの導通や、所定のＩ／Ｏポート間が接続されているか否かを示す接続状態を検知するようにしてもよい。このように、所定のＩ／Ｏポート間を接続するリード線１１３以外にもリード線を用意してピンに接続することで、リード線１１３の端子がピンに固着したり、経年変化によりピンに接続の跡が残ったり等して正常な接続状態を推測されてしまうといった恐れを回避することができる。

なお、本実施形態による耐タンパ機構を組み込む基板の組み立て時における各リード線１１３のカバー１５０への固定は、例えば図３に示すように結束バンド１１８を用いてすべてのリード線１１３をまとめた後、結束バンド固定部（アンカー）１１９によりカバー１５０の上面部等のある一か所に固定するようにしてもよい。かかる固定方法は一例であって、本実施形態に限定されない。また、リード線１１３のカバー１５０への固定は一か所に限らず、二か所以上であってもよい。

＜３．動作処理＞
続いて、本実施形態による動作処理について図５を参照して説明する。図５は、本実施形態による情報処理装置１の動作処理の全体の流れの一例を示すフローチャートである。

図５に示すように、まず、制御部１００は、所定のタイミングで、タンパ検知部１１０からリード線の接続状態（すなわち、リード線を介したＩ／Ｏポート間の接続状態）を取得する（ステップＳ１０３）。制御部１００は、タンパ検知部１１０の内部メモリ１１１からリード線の接続状態を読み出してもよい。所定のタイミングとは、上述したように、情報処理装置１が起動した際（電源投入時）、または、情報処理装置１が動作中の場合の定期的な時間毎などである。これらのタイミングで制御部１００が接続状態をタンパ検知部１１０に要求し、タンパ検知部１１０により接続状態の検知が行われ、接続状態の情報が制御部１００に出力される。

次に、制御部１００は、タンパ検知部１１０から取得した接続状態が、予め決められた接続状態であるか否か（予め決められた接続状態と一致するか否か）を判定する（ステップＳ１０６）。これにより、制御部１００は、接続状態の正常／異常を判断することができる。予め決められた接続状態（正常な接続状態）と一致するか否かの判断は、接続されているべきＩ／Ｏポート間の導通のみの確認に基づいて判断されてもよいし、全てのＩ／Ｏポート間の導通を確認して、接続されるべきでないＩ／Ｏポート間が導通していないことを確認して判断するものであってもよい。

次いで、タンパ検知部１１０から取得した接続状態が、予め決められた接続状態である場合（すなわち正常状態である場合）（ステップＳ１０６／Ｙｅｓ）、制御部１００は、通常通り正常な動作を実行する（ステップＳ１０９）。

一方、タンパ検知部１１０から取得した接続状態が、予め決められた接続状態ではない場合（すなわち異常状態である場合）（ステップＳ１０６／Ｎｏ）、カバー１５０が開放され不正行為が図られたと判断できるため、制御部１００は、正常な動作と異なる動作、すなわち異常時用の所定動作を実行する（ステップＳ１１２）。異常時用の所定動作とは、上述したように、記憶部１２０に記憶された機密情報の消去や、情報処理装置１を動作不能状態にする制御、さらに、所定の通知先への通知や、警告の表示等が挙げられる。

以上、添付図面を参照しながら本発明の好適な実施形態について詳細に説明したが、本発明はかかる例に限定されない。本発明の属する技術の分野における通常の知識を有する者であれば、特許請求の範囲に記載された技術的思想の範疇内において、各種の変更例または修正例に想到し得ることは明らかであり、これらについても、当然に本発明の技術的範囲に属するものと了解される。

例えば、情報処理装置１に内蔵されるＣＰＵ、ＲＯＭ、およびＲＡＭ等のハードウェアに、情報処理装置１の機能を発揮させるためのコンピュータプログラムも作成可能である。また、当該コンピュータプログラムが記憶されたコンピュータ読み取り可能な記憶媒体も提供される。

１ 情報処理装置
１００ 制御部
１１０ タンパ検知部
１１１ 内部メモリ
１２０ 記憶部
１１３ リード線
１１５ ピンヘッダー
１１６ パターン
１４０ プリント基板
１５０ カバー

Claims (7)

1. 情報処理装置に固定された基板と、
   前記基板に固定された複数の端子と、
   前記複数の端子間をそれぞれ接続する複数のリード線と、
   前記基板を覆うカバーと、
   前記情報処理装置の動作を制御する制御部と、
   を備え、
   前記カバーには、前記複数のリード線が固定され、
   前記複数のリード線は、前記カバーに固定されていることで、前記カバーが開放されると前記複数の端子から前記複数のリード線が外れるよう、前記複数の端子にそれぞれ着脱可能に接続され、
   前記制御部は、前記複数のリード線による前記複数の端子間の接続状態が予め設定された接続状態と一致するか否かを判定し、不一致の場合は正常な動作と異なる動作を行うよう制御する、情報処理装置。
2. 前記制御部は、前記正常な動作と異なる動作として、前記情報処理装置の記憶部に記憶されたデータを消去する制御を行う、請求項１に記載の情報処理装置。
3. 前記基板には、信号の出力および入力を行う一組の入出力ポートを複数有するタンパ検知部がさらに固定され、
   前記端子は、前記入出力ポートとそれぞれ電気的に接続し、
   前記制御部は、前記タンパ検知部から、前記端子間の接続状態として前記入出力ポート間の接続状態を取得する、請求項２に記載の情報処理装置。
4. 前記カバーは、前記基板に固定された、前記制御部、前記記憶部、前記タンパ検知部、前記複数の端子、および前記複数のリード線を覆うよう前記基板に設置される、請求項３に記載の情報処理装置。
5. 前記複数の端子は、複数のピンを有するピンヘッダーである、請求項１～４のいずれか１項に記載の情報処理装置。
6. 前記接続状態は、前記複数の端子間の導通状態であり、
   前記制御部は、予め設定された前記複数の端子間が導通していない場合、前記カバーが開放されたと判断し、前記正常な動作と異なる動作を行うよう制御する、請求項１～５のいずれか１項に記載の情報処理装置。
7. 前記制御部は、前記正常な動作と異なる動作として、所定の通知先に不正行為の通報を行うよう制御する、請求項１～６のいずれか１項に記載の情報処理装置。

Images